JP2023119314A - 電子制御装置 - Google Patents

Abstract

【課題】バージョン管理の煩雑さを抑制する技術を提供する。【解決手段】書き換え可能な記憶装置３４を含む電子制御装置１０、２０は、実行部と、プログラム受信部と、プログラム更新部と、差分更新部と、を備える。プログラム更新部は、プログラム受信部によって新たな制御プログラムが受信される毎に、新たな制御プログラムによって、実行部が実行する制御プログラムを更新するように構成される。差分更新部は、プログラム更新部によって実行部が実行する制御プログラムが更新される毎に、更新された制御プログラムと、当該電子制御装置が使用可能な制御プログラムであって記憶装置に含まれる制御プログラム領域とは異なる特定プログラム領域に記憶される特定プログラムとの差分を示す差分データを生成し、生成された差分データを新たな差分データとして記憶装置に記憶するように構成される。【選択図】図１

Description

本開示は、車両に搭載され、プログラムを書き換え可能な電子制御装置に関する。

車両に搭載される電子制御装置（以下、ＥＣＵ）では、制御プログラム等を記憶するメモリとして、プログラムのバージョンアップ等に対応して記憶内容の書き換えが可能なフラッシュメモリ等が使用されている。ＥＣＵのプログラムの書き換えは、例えば車両に備えられたコネクタに書き込みツールを接続し、この書き込みツールがＥＣＵと通信を行うことによって実行される。

例えば、下記特許文献１には、ＰＣ（例えば、ディーラのＰＣ等）によって差分プログラムを生成し、書き込みツールによって差分プログラムを書き換え対象となるＥＣＵに書き込む、といった差分更新に関する技術が提案されている。

特許６８３８７１４号公報

差分更新における上述の差分プログラムとは、バージョンアップされた新プログラムと、書き換え対象となるＥＣＵに既に記憶されているプログラムと、の差を示すプログラムであり得る。しかしながら、プログラムがバージョンアップされていたりされていなかったりといった状況は、例えばプログラム更新に対応するか否かといった車両の所有者の意識等によって、車両毎に異なると考えられる。

つまり、新プログラムの書き換え時に、ＥＣＵに既に記憶されているプログラムのバージョンは、車両毎に異なると考えられる。このため、差分更新では、複数種類の差分プログラムを生成しておく必要があり、車両の所有者やディーラにとって、ＥＣＵのプログラムの書き換えにおけるバージョン管理が煩雑になるという問題があった。

本開示の１つの局面は、バージョン管理の煩雑さを抑制する技術を提供することにある。

本開示の一態様は、書き換え可能な記憶装置（３４）を含む電子制御装置（１０、２０）であって、実行部（Ｓ１３０）と、プログラム受信部（Ｓ２０）と、プログラム更新部（Ｓ３０）と、差分更新部（Ｓ７０、Ｓ８０）と、を備える。実行部は、制御対象を制御するためのプログラムを制御プログラムとして、記憶装置に含まれる制御プログラム領域に記憶される制御プログラムを実行し制御対象を制御するように構成される。

プログラム受信部は、外部の書き換え装置との間で通信を行うことによって新たな制御プログラムを受信するように構成される。プログラム更新部は、プログラム受信部によって新たな制御プログラムが受信される毎に、新たな制御プログラムによって、実行部が実行する制御プログラムを更新するように構成される。

差分更新部は、プログラム更新部によって実行部が実行する制御プログラムが更新される毎に、更新された制御プログラムと、特定プログラムとの差分を示す差分データを生成し、生成された差分データを新たな差分データとして記憶装置に記憶するように構成される。特定プログラムは、当該電子制御装置が使用可能な制御プログラムであって記憶装置に含まれる領域ＳＡとは異なる領域ＳＢに記憶される。

このような構成によれば、外部の書き換え装置は、制御プログラムを書き換える際、差分プログラムではなく新たな制御プログラムそのものを電子制御装置に送信するため、差分更新の様に複数種類の差分プログラムを予め生成しておく必要が無い。結果として、本開示の電子制御装置を用いることによって、電子制御装置の制御プログラムを書き換える際、書き換え装置における制御プログラムのバージョン管理の煩雑さを抑制することができる。また、差分データと特定プログラムとを備えるので、これらを用いることで、仮に実行部が実行する制御プログラムに異常が生じたとしても、差分データが生成されたときの制御プログラムを復元することができる。

車載システムの構成を示すブロック図。 フラッシュメモリの構成及び更新処理による作動を説明する説明図。 接続ノードの機能を示すブロック図。 更新処理のフローチャート。 起動処理のフローチャート。 修復処理のフローチャート。 特定プログラムの更新を説明する説明図。 修復処理による作動を説明する説明図。 バージョンを経たプログラムであるほどオリジナルのプログラムとの差分が大きくなる様子を説明する説明図。

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．第１実施形態］
［１－１．構成］
図１に示す車載電子制御システム（以下、車載システム１）は、車両に搭載されており、接続ノード１０、接続ノード２０、及び中継装置５０を備える。接続ノード１０、接続ノード２０、及び中継装置５０は、ＣＡＮやイーサネットの通信線で接続されて、車両ネットワークを構成している。なお、ＣＡＮ及びイーサネットは登録商標である。

接続ノード１０は、車載の電子制御装置（以下、ＥＣＵ）であり、例えばエンジンやブレーキなどの車両に搭載された制御対象の制御を行う。ＥＣＵは、Electronic Control Unitの略である。

接続ノード１０は、ＣＰＵ３１と、ＲＡＭ３２、ＲＯＭ３３、フラッシュメモリ３４等といったメモリ３５と、データ送受信部３６とを備えたマイクロコンピュータ（以下、マイコン３８）を主体として構成されている。ＣＰＵ３１は、演算装置であり、ＲＡＭ３２は、ＣＰＵ３１の演算結果等を一時記憶するための揮発性メモリである。ＲＯＭ３３は、書き換え不可能な記憶領域を有するメモリであり、フラッシュメモリ３４は書き換え可能な記憶領域を有する不揮発性メモリである。フラッシュメモリ３４は、例えば、ＥＥＰＲＯＭであってもよい。フラッシュメモリ３４には、ＣＰＵ３１により実行される各種プログラムが記憶される。

データ送受信部３６は、車両ネットワークを構成する各装置との間で、通信線を介してデータの送受信を行う。なお、フラッシュメモリ３４の構成の詳細については後述する。
接続ノード２０は、 接続ノード１０と同様に、車両に搭載された制御対象の制御を行うＥＣＵである。図１では省略しているが、車両には多くの制御対象が搭載されており、各制御対象を制御する多くのＥＣＵが接続ノードとして車両ネットワークを構成している。

中継装置５０は、コネクタ６０と、各接続ノードとに接続されている。中継装置５０は、外部の書き換えツール７０とコネクタ６０を介して有線接続され、書き換えツール７０と接続ノードと間のデータの送受信を中継する。中継装置５０は、図示しないが、書き換えツール７０と有線通信を行うための通信部を備える。

なお、書き換えツール７０は、プログラムの書き換えを行うための装置である。例えば、書き換えツール７０は、プログラムの書き換えの対象となる接続ノードに、この接続ノードの制御対象に関するプログラム（以下、制御プログラム）であって新たな制御プログラムを送信する。制御プログラムは、接続ノード１０が制御対象を制御するためのプログラムである。書き換えツール７０は、書き換えの対象となる接続ノードの、制御プログラムを書き換えるための装置であるともいえる。

制御プログラムは、所謂バージョンが管理されているプログラムである。バージョンは、プログラムにおいて更新が行われてきた状況や、更新が行われてきた回数等を示す。本実施形態では、一例として、バージョンが、１、２、３…といった数値で示される例を説明する。但し、バージョンの表記はこれに限定されるものではない。更新が行われる毎に、バージョンを示す数値が増加するものとする。

なお、ここでいうプログラムは、図９に示すように、バージョンを経るほど（すなわち、バージョンを示す数値が大きくなるほど）、更新によってオリジナルのプログラムとの差分が大きくなるプログラムをいう。図９では、例として、オリジナルのプログラムをバージョン０のプログラム（すなわち、ｖ０）として示している。そして、図９は、バージョン１（すなわち、ｖ１）→バージョン２（すなわち、ｖ２）→バージョン３（すなわち、ｖ３）…と、オリジナルのプログラム（すなわち、ｖ０）からバージョンを経るにつれて差分が増加する様子をイメージとして示している。

例えば、書き換えツール７０から送信される新たな制御プログラムには、プログラムを示すデータと共に、バージョン情報が含まれていてもよい。バージョン情報とは、制御プログラムのバージョンを示す情報をいう。

次に、フラッシュメモリ３４の構成について、図２を参照して説明する。
フラッシュメモリ３４は、Ｓｉｇｎａｔｕｒｅ（以下、シグネチャ情報）が書き込まれるシグネチャ領域ＳＧと、プログラムに関するデータが書込まれる複数の領域ＳＡ、ＳＢ、ＳＣ、ＳＤ、ＳＥを有する。

領域ＳＡには、現行プログラムＰＡが記憶されている。現行プログラムＰＡとは、書き換えツール７０から受信され、現在のフラッシュメモリ３４に既に書き込まれている制御プログラムであって、現在の接続ノード１０が制御対象を制御するために実行する制御プログラムをいう。

シグネチャ情報は、現行プログラムＰＡとして領域ＳＡに記憶されている制御プログラムが改ざんされていないことを確認（すなわち、検証）するための情報（すなわち、検証期待値）である。シグネチャ情報は、書き換えツール７０から、例えば制御プログラムと共に、送信され得る。

領域ＳＢには、特定プログラムＰＢが記憶されている。特定プログラムＰＢとは、現行プログラムＰＡ以前に書き換えツール７０から受信された制御プログラムをいう。つまり、現行プログラムＰＡと特定プログラムＰＢとは、接続ノード１０が車両に搭載された同じ制御対象を制御するための制御プログラムである。特定プログラムＰＢは、現行プログラムＰＡとして記憶された制御プログラム以前のバージョンの制御プログラムである。

換言すれば、特定プログラムＰＢは、現行プログラムＰＡとして記憶された制御プログラムと同じ、又は、それよりも前のバージョンの制御プログラムである。領域ＳＢに記憶されている特定プログラムＰＢは、通常時は現行プログラムＰＡが実行されるため制御対象の制御に用いられないが、制御対象を制御するために使用可能な制御プログラムである。

領域ＳＣには差分データΔが記憶されている。差分データΔとは、現在接続ノード１０が実行する現行プログラムＰＡと、フラッシュメモリ３４に記憶されているプログラムであって接続ノード１０が使用可能な特定プログラムＰＢとの差分を示すデータをいう。

領域ＳＤには、リプロプログラムが記憶されており、領域ＳＥには、ブートプログラムが記憶されている。リプロプログラムは、フラッシュメモリ３４に記憶されている現行プログラムＰＡ及び特定プログラムＰＢを新たな制御プログラムに書き換えるためのプログラムである。例えば、ＣＰＵ３１がリプロプログラムを実行する処理により、図３に示す、書き換え制御部４１、差分生成部４２、記憶部４３、の機能が実現される。

ブートプログラムは、接続ノード１０の電源がオフからオンに切り替わった際に、ＣＰＵ３１により実行される、接続ノード１０を起動させるためのプログラムである。例えば、ＣＰＵ３１がブートプログラムを実行する処理により、図３に示す、起動部４４、検証部４５、及び差分復元部４６、の機能が実現される。

［１－２．処理］
［２．１ 更新処理］
次に、接続ノード１０がリプロプログラムを実行する手順について、図４のフローチャートを用いて説明する。本処理手順は、書き換えツール７０から接続ノード１０に更新要求が出力された際に実行される。なお、本処理を更新処理ともいう。また、Ｓ１０－Ｓ８０の一連の処理を処理サイクルともいう。

まず、ステップ（以下、Ｓ）１０では、接続ノード１０は、接続線を介して、外部の書き換えツール７０から更新要求を受信する。更新要求は、制御プログラムの更新対象となる接続ノード（すなわち、本実施形態では接続ノード１０）に対して、フラッシュメモリ３４の領域ＳＡに既に書き込まれている制御プログラムである現行プログラムＰＡを消去させる命令を含む。接続ノード１０は、更新要求に従って、領域ＳＡを消去する（すなわち、領域ＳＡに記憶されている現行プログラムＰＡを消去する）。そして、接続ノード１０は、消去完了の応答を書き換えツール７０へ送信する。

続くＳ２０では、接続ノード１０は、書き換えツール７０との間で通信を行うことによって、新たな制御プログラムを受信する。なお、本ステップにて、接続ノード１０は、新たな制御プログラムを受信したか否かを判定し、新たな制御プログラムを受信していない場合は新たな制御プログラムを受信する迄待機する。

続くＳ３０では、接続ノード１０は、Ｓ２０にて受信された新たな制御プログラムによって、現行プログラムＰＡを更新する。具体的には、接続ノード１０は、Ｓ１０にて消去した領域ＳＡに、書き換えツール７０から受信した新たな制御プログラムを書き込む。

接続ノード１０は、新たな制御プログラムによって現行プログラムＰＡを更新すると、書き込み完了の応答を書き換えツール７０へ送信する。
なお、接続ノード１０は、上述のＳ１０では、更新要求を受信した際に、領域ＳＡと領域ＳＧとを消去してもよい。また、接続ノード１０は、上述のＳ２０では、新たな制御プログラムと新たな制御プログラムに関するシグネチャ情報とを書き換えツール７０から受信してもよい。そして、接続ノード１０は、上述のＳ３０では、現行プログラムＰＡの更新と、シグネチャ情報の更新（すなわち、Ｓ１０にて消去された領域ＳＧに書き換えツール７０から受信した新たなシグネチャ情報を書き込むこと）とを行ってもよい。接続ノード１０は、その後に、書き込み完了の応答を送信してもよい。

次にＳ４０では、接続ノード１０は、特定プログラムＰＢの更新が必要であるか否かを判定する。接続ノード１０は、予め定められた特定更新条件が満たされるか否かを判定し、特定更新条件が満たされると判定される場合に、特定プログラムＰＢの更新が必要であると判定する。特定更新条件は、特定プログラムＰＢを更新するための予め定められた条件である。

例えば、特定更新条件は、現行プログラムＰＡとして記憶されている制御プログラムと特定プログラムＰＢとして記憶されている制御プログラムとの間に、所定回数以上のプログラムの更新が行われていること、であってもよい。このような特定更新条件が満たされる場合は、特定プログラムＰＢが領域ＳＢに書き込まれた後に現行プログラムＰＡの更新が行われた回数が相対的に大きい場合である。

ところで、フラッシュメモリ３４には、後述するＳ８０において差分データΔが生成される際に、差分容量情報がフラッシュメモリ３４における所定の領域に書き込まれる。差分容量情報は、生成された差分データΔのデータ容量を示している。特定更新条件が満たされる場合（すなわち、特定プログラムＰＢが領域ＳＢに書き込まれた後に現行プログラムＰＡの更新が行われた回数が相対的に大きい場合）は、差分容量情報によって示されるデータ容量が相対的に大きくなる。

そこで、本実施形態では、差分容量情報が示すデータ容量の大きさに基づいて、特定更新条件が満たされるか否かを判定する。なお、本ステップにて取得する差分容量情報は、前回の処理サイクルにおける差分データΔが生成された際のデータ容量を示していることになる。

具体的には、本実施形態では、フラッシュメモリ３４から差分容量情報を取得し、差分容量情報が示すデータ量（すなわち、前回処理サイクルにて生成された差分データΔのデータ容量）が予め定められた容量閾値以上であること、を特定更新条件とする。容量閾値は、例えばバイト等の単位で示される、データ容量を示す数値であり得る。つまり、接続ノード１０は、本ステップにて差分容量データを取得し、差分容量データΔ示すデータ量（すなわち、前回処理サイクルの差分データΔのデータ容量）が容量閾値以上である場合に、特定プログラムＰＢの更新が必要であると判定する。

差分容量データ示すデータ量（すなわち、前回処理サイクルの差分データΔのデータ容量）が容量閾値以上である場合は、特定プログラムＰＢが書き込まれた後に更新が行われてきた回数が相対的に大きいこと、を示す。

ここで、接続ノード１０は、Ｓ４０にて肯定判定される（すなわち、特定更新条件が満たされると判定される）場合に処理をＳ５０へ移行し、以降の処理にて、受信された新たな制御プログラムによって特定プログラムＰＢを更新する。更新とは、上書きして（すなわち、記憶領域を消去して新たに書き込みを行うことによって）記憶することをいう。

具体的には、Ｓ５０では、接続ノード１０は、フラッシュメモリ３４の領域ＳＢを消去する。これにより、領域ＳＢに記憶されていた特定プログラムＰＢが消去される。
続くＳ６０では、接続ノード１０は、領域ＳＢに、Ｓ２０にて受信された新たな制御プログラムを新たな特定プログラムＰＢとして記憶する。そして、接続ノード１０は処理をＳ７０へ移行する。

一方、接続ノード１０は、Ｓ４０にて否定判定される（すなわち、特定更新条件が満たされていないと判定される）場合に、特定プログラムＰＢを更新すること無く、処理をＳ７０へ移行する。

Ｓ７０では、接続ノード１０は、差分データΔを生成する。つまり、接続ノード１０は、今回の処理サイクルにおいて領域ＳＡに記憶されている現行プログラムＰＡと領域ＳＢに記憶されている特定プログラムＰＢとの差分データΔを生成する。また同時に、接続ノード１０は、生成した差分データΔのデータ容量を示す差分容量情報を生成し、生成した差分容量情報によってフラッシュメモリ３４の所定の領域（以下、差分容量領域ともいう）を更新する。

これにより、今回の処理サイクルにおいて領域ＳＡに記憶されている現行プログラムＰＡと領域ＳＢに記憶されている特定プログラムＰＢとの差分データΔのデータ容量を示す差分容量情報が上書きにより差分容量領域に記憶される。

続くＳ８０では、接続ノード１０は、Ｓ７０にて生成した差分データΔによって、領域ＳＣに既に記憶されている差分データΔを更新する。これにより、今回の処理サイクルにおいて領域ＳＡに記憶されている現行プログラムＰＡと領域ＳＣに記憶されている特定プログラムＰＢとの差分データΔが上書きにより領域ＳＣに記憶される。そして、接続ノード１０は、以上で本更新処理を終了する。

なお、書き換え制御部４１としての処理がＳ１０－Ｓ３０に相当し、差分生成部としての処理がＳ７０に相当し、記憶部４３としての処理がＳ８０に相当する。
［２．２ 起動処理］
次に、接続ノード１０がブートプログラムを実行することによって行う起動処理について、図５のフローチャートを用いて説明する。本処理手順は、接続ノード１０の電源がオフからオンに切り替わった際に実行される。該電源のオフからオンへの切り替えは、例えば、イグニションスイッチがオンされることや、スタートスイッチがオンされること等といった、所謂車両の起動をきっかけとして行われ得る。

まずＳ１１０では、接続ノード１０は、フラッシュメモリ３４の領域ＳＡの検証を実行する。つまり、接続ノード１０は、現行プログラムＰＡが記憶される領域ＳＡに異常（例えば、改ざん等）が生じているか否かを検証する。検証方式は、例えば、署名検証であってもよい。

接続ノード１０は、上述のように、リプロプログラムの実行時（すなわち、更新処理時）に、書き換えツール７０から新たな制御プログラムと共に受信したシグネチャ情報を領域ＳＧに記憶していてもよい。シグネチャ情報は、上述のように、書き換えツール７０から受信した検証期待値である。

接続ノード１０は、本ステップでは、領域ＳＡについて検証期待値を生成し、生成した検証期待値が更新処理時に領域ＳＧに記憶されたシグネチャ情報と一致する場合に、検証が成功したと判定してもよい。なお、検証方式としては、任意の検証方式が用いられ得る。例えば、署名検証に代えてＭＡＣ認証が用いられてもよい。ＭＡＣは、Message Authentication Codeの略である。

続くＳ１２０では、接続ノード１０は、検証が成功したと判定された場合に処理をＳ１３０へ移行させ、検証が失敗したと判定された場合に処理をＳ１４０へ移行させる。
ここで、検証が成功したと判定された場合に移行するＳ１３０では、接続ノード１０は、領域ＳＡに記憶されている制御プログラム（すなわち、現行プログラムＰＡ）を実行し、以上で本起動処理を終了する。

一方、検証が失敗したと判定された場合に移行するＳ１４０では、接続ノード１０は、修復処理を実行し、続くＳ１５０では復元された制御プログラムを実行し、以上で本起動処理を終了する。なお以下では、復元を修復と記載することがある。

続いて、接続ノード１０が上述の起動処理のＳ１４０にて実行する修復処理について、図６に示すフローチャートを用いて説明する。
まずＳ２１０では、接続ノード１０は、領域ＳＡを消去する。つまり、領域ＳＡに記憶されている現行プログラムＰＡを消去する。

続くＳ２２０では、接続ノード１０は、差分復元及び書き込みを実行する。具体的には、接続ノード１０は、特定プログラムＰＢと差分データΔとを用いて、これらの足し合わせで、差分データΔが生成されたときの現行プログラムＰＡとしての制御プログラムを復元する。そして、接続ノード１０は、復元した制御プログラムを現行プログラムＰＡとして領域ＳＡに書き込む。そして、接続ノード１０は、以上で修復処理を終了する。

なお、接続ノード１０は、復元した制御プログラムを現行プログラムＰＡとして領域ＳＡに書き込む際に、検証期待値を生成してもよい。そして、接続ノード１０は、生成した検証期待値と領域ＳＧに記憶されているシグネチャ情報とが一致する場合に、書き込みが成功したと判定して、以上で修復処理を終了してもよい。接続ノード１０は、書き込みが失敗したと判定した場合（すなわち、生成した検証期待値と領域ＳＧに記憶されているシグネチャ情報とが一致しない場合）、再度書き込みを実行してもよい。

なお、起動部４４としての処理（すなわち、ブートプログラムの実行により行われる処理）がＳ１１０－Ｓ１５に相当し、そのうち、検証部４５としての処理がＳ１１０に相当し、差分復元部４６（プログラム復元部）としての処理がＳ１４０に相当する。

［２．３ 作動］
＜更新処理による作動＞
更新処理による作動について図２及び図７を用いて説明する。例えば図２に示すように、更新前のフラッシュメモリ３４には、領域ＳＡにバージョン１の制御プログラムＶ１が現行プログラムＰＡとして記憶されており、領域ＳＢにバージョン１の制御プログラムＶ１が特定プログラムＰＢとして記憶されている。

なお、以下では、特定プログラムＰＢを単にＰＢと記載することがある。また、例えばバージョン１の制御プログラムＶ１を単にｖ１の様に記載することがある。また、例えばバージョン１の制御プログラムＶ１が現行プログラムＰＡとして用いられている場合、現行プログラムＰＡをＰＡ（ｖ１）の様に記載することがある。

領域ＳＣに記憶される差分データΔは、この時点での現行プログラムＰＡと特定プログラムＰＢとの差分であり（すなわち、ＰＡ（ｖ１）－ＰＢ）、ＰＢ＝ｖ１であることから、この時点では、そのデータ容量はほぼ０である。

ここで、接続ノード１０は、書き換えツール７０からバージョン２の新たな制御プログラムｖ２を受信すると、受信した新たな制御プログラムによって現行プログラムＰＡを更新する。つまり、接続ノード１０は、バージョン２の新たな制御プログラムｖ２を新たな現行プログラムＰＡとして領域ＳＡに書き込む（すなわち、現行プログラムＰＡはＰＡ（ｖ２））。

続いて、接続ノード１０は、更新された現行プログラムＰＡ（すなわち、受信した新たな制御プログラム）と特定プログラムＰＢとの差分データΔ（すなわち、ＰＡ（ｖ２）－ＰＢ）を生成し、領域ＳＣに生成した差分データΔを新たな差分データΔとして書き込む。接続ノード１０は、書き換えツール７０から新たな制御プログラムを受信する毎に、同様の作動を繰り返す。

このようにして、新たな（すなわち、バージョンが新しい）制御プログラムが受信される毎に、領域ＳＡには最新の制御プログラムが記憶され、領域ＳＣには、最新の制御プログラムと特定プログラムＰＢとの差分データΔが上書きされ記憶される。

これにより、後述するように、例えば、特定プログラムＰＢと差分データΔとに基づいて、仮に現行プログラムＰＡに異常が生じた場合にも、最新の制御プログラムを復元することが可能となる。

なお、図７に、図２に引き続き領域ＳＡに記憶される制御プログラムがバージョン１、２、…５の様に順次更新された後、更にバージョン６の新たな制御プログラムｖ６の受信によって領域ＳＡと領域ＳＣとが更新される例を示す。ここで、特定プログラムＰＢはバージョン１の制御プログラムｖ１のままであるため（すなわち、ＰＢ＝ｖ１）、差分データΔのデータ容量は、図示されていないが、領域ＳＡに記憶される制御プログラムが順次更新される毎に、増加している。

例えば、領域ＳＡに現行プログラムＰＡとしてのバージョン６の新たな制御プログラムｖ６（すなわち、ＰＡ（ｖ６））が書き込まれた時点（すなわち、更新後）で、差分データΔ（すなわち、（ＰＡ（ｖ５）－ＰＢ）のデータ容量が容量閾値以上であったとする。この場合、接続ノード１０は、特定更新条件が満たされると判定し、最新のバージョン６の新たな制御プログラムｖ６によって特定プログラムＰＢを更新する（すなわち、ＰＢ＝ｖ６）。更に、接続ノード１０は、領域ＳＣに、最新の制御プログラムｖ６である現行プログラムＰＡ（すなわち、ＰＡ（ｖ６））と特定プログラムＰＢとの差分データΔ（すなわち、ＰＡ（ｖ６）－ＰＢ）を上書きし記憶する。

領域ＳＣに記憶される差分データΔは、この時点での現行プログラムＰＡと特定プログラムＰＢとの差分であり、ＰＢ＝ｖ６であることから、この時点では、そのデータ容量はほぼ０である。

接続ノード１０では、このようにして特定プログラムＰＢが更新されることによって、差分データΔのデータ容量が抑制される。
＜修復処理による作動＞
修復処理による作動について図８を用いて説明する。例えば、フラッシュメモリ３４には、図２の「差分生成後」に示されているように、領域ＳＧ及び領域ＳＡ－領域ＳＢのそれぞれに各プログラム及び各データが書き込まれているものとする。フラッシュメモリ３４がこの状態のとき、接続ノード１０の電源がオフからオンとなり、接続ノード１０がブートプログラム（すなわち、起動処理）を実行して領域ＳＡの検証が失敗すると、接続ノード１０は修復処理を実行する。

具体的には、接続ノード１０は、まず領域ＳＧ及び領域ＳＡを消去する（すなわち、図８の「復元前」）。続いて、接続ノード１０は、この時点で領域ＳＣに記憶されている差分データΔ（すなわち、ＰＡ（ｖ２）－ＰＢ）と、特定プログラムＰＢとに基づいて、これらの足し合わせで、現行プログラムＰＡとして作動していたバージョン２の制御プログラムｖ２を復元する。そして、復元した制御プログラムｖ２を現行プログラムＰＡとして領域ＳＡに書き込む（すなわち、領域ＳＡにＰＡ（ｖ２）を書き込む）。また、接続ノード１０は、復元された現行プログラムＰＡ（すなわち、バージョン２の制御プログラムｖ２）に含まれるシグネチャ情報を領域ＳＧに書き込む。

このようにして、接続ノード１０では、特定プログラムＰＢと差分データΔとに基づいて、その時点での最新の制御プログラム（例えば、図８の場合であれば、バージョン２の制御プログラムｖ２）が復元される。

［１－３．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）接続ノード１０は、Ｓ３０では、Ｓ２０にて新たな制御プログラムが受信される毎に、新たな制御プログラムによって現行プログラムＰＡを更新する。接続ノード１０は、Ｓ７０、Ｓ８０では、Ｓ３０にて現行プログラムＰＡが更新される毎に、更新された現行プログラムＰＡと特定プログラムＰＢとの差分を示す差分データΔを生成する。接続ノード１０は、生成された差分データΔによってフラッシュメモリ３４に既に記憶されている差分データΔを更新する。

つまり、接続ノード１０は、新たな制御プログラムを受信する毎に、接続ノード１０自らが差分データΔを生成する。これによると、外部の書き換えツール７０は、制御プログラムを書き換える際、差分プログラムではなく新たな制御プログラムそのものを接続ノード１０に送信すればよい。このため、差分更新によるプログラム書き換えの様に、複数種類の差分プログラムを予め生成しておく必要が無い。例えば、ディーラのＰＣ等によって、予め差分プログラムを生成しておく必要が無い。また、車両の所有者は制御プログラムの差分を意識する必要が無い。

結果として、本実施形態の接続ノード１０を用いることによって、接続ノード１０の制御プログラムを書き換える際、書き換えツール７０における制御プログラムのバージョン管理の煩雑さを抑制することができる。ひいては、車両の所有者やディーラによる、制御プログラムのバージョン管理の煩雑さを抑制することができる。

また、接続ノード１０では、差分データΔと特定プログラムＰＢとが記憶されている。このため、差分データΔと特定プログラムＰＢとに基づいて、仮に接続ノード１０が実行する現行プログラムＰＡに異常が生じたとしても、差分データΔが生成されたときの制御プログラムを復元することができる。

また、接続ノード１０は、現行プログラムＰＡが更新される毎に、更新された現行プログラムＰＡと特定プログラムＰＢとの差分を示す差分データΔを更新する。つまり、差分データΔが生成されたときに現行プログラムＰＡとして用いられた制御プログラムは、現行プログラムＰＡが更新されたときの制御プログラムであり、接続ノード１０にて受信した最新の制御プログラムである。このため、差分データΔと特定プログラムＰＢとを用いた復元の際、接続ノード１０にて受信した最新の制御プログラムを復元することができる。

（１ｂ）特定プログラムＰＢは、接続ノード１０が使用可能な制御プログラムであって、Ｓ３０によって更新された制御プログラム以前の制御プログラムである。ここでいう以前とは、以前のバージョンをいう。これにより、仮に現行プログラムＰＡに異常が生じた際、差分データΔと特定プログラムＰＢとに基づいて差分データΔが生成されたときの制御プログラムを復元できなかったとしても、接続ノード１０は特定プログラムＰＢを用いて制御対象を制御することができる。

（１ｃ）接続ノード１０は、Ｓ１４０では、特定プログラムＰＢと差分データΔとに基づいて、差分データΔが生成されたときの制御プログラムを復元する。これにより、差分データΔが生成されたときの制御プログラムであり、接続ノード１０にて受信した最新の制御プログラムを復元することができる。

（１ｄ）接続ノード１０は、Ｓ１４０では、接続ノード１０が起動される際に領域ＳＡに異常が生じていると診断された場合に、制御プログラムを復元する。これにより、接続ノード１０が起動される際に現行プログラムＰＡに異常が生じている場合であっても、復元後の制御プログラムを新たな現行プログラムＰＡとして、該現行プログラムＰＡを用いて制御対象の制御を行うことができる。つまり、最新且つ書込み状態が正常であると保証された制御プログラムを、確実に実行することができる。

（１ｅ）接続ノード１０は、Ｓ４０では、新たな制御プログラムが受信されたときに、特定更新条件が満たされるか否かを判定する。接続ノード１０は、Ｓ６０では、Ｓ４０にて特定更新条件が満たされると判定された場合に、受信された新たな制御プログラムによって特定プログラムＰＢを更新する。これにより、差分データΔのデータ容量を抑制することができる。

（１ｆ）特定更新条件は、差分データΔのデータ容量が予め定められた容量を示す容量閾値以上であること、である。これにより、特定プログラムＰＢが領域ＳＢに書き込まれた後に現行プログラムＰＡの更新が行われた回数が相対的に大きい場合に、特定プログラムＰＢを更新し、差分データΔのデータ容量を抑制することができる。

なお、上述の実施形態では、接続ノード１０が電子制御装置、実行部、プログラム受信部、プログラム更新部、差分更新部、プログラム復元部、特定プログラム部、条件判定部に相当する。フラッシュメモリ３４が記憶装置に相当し、書き換えツール７０が書き換えツールに相当する。領域ＳＡが制御プログラム領域に相当し、領域ＳＢが特定プログラム領域に相当する。Ｓ２０がプログラム受信部としての処理に相当し、Ｓ３０がプログラム更新部としての処理に相当し、Ｓ４０が条件判定部としての処理相当し、Ｓ６０が特定プログラム部としての処理に相当する。Ｓ７０、Ｓ８０が差分更新部としての処理相当し、Ｓ１３０が実行部としての処理に相当し、Ｓ１４０がプログラム復元部としての処理に相当する。現行プログラムＰＡが、実行部が実行する制御プログラムに相当する。

［２．第２実施形態］
［２－１．第１実施形態との相違点］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

上述した第１実施形態では、差分データΔのデータ容量が容量閾値以上であること、を特定更新条件とした。第２実施形態では、Ｓ１３０にて実行する制御プログラム（すなわち、現行プログラムＰＡ）のバージョンを示す数値と、特定プログラムＰＢのバージョンを示す数値とが、バージョン閾値以上離れていること、を特定更新条件とする点で、第１実施形態と相違する。バージョン閾値は、予め定められた数値を示す。

［２－２．処理］
第２実施形態の接続ノード１０は、起動処理については、第１実施形態と同様の処理（すなわち、図５－図６）を実行するため、説明を省略する。接続ノード１０は、図４に示す更新処理において、Ｓ４０にて上述の特定更新条件を用いる点で、第１実施形態とは異なる。

具体的には、接続ノード１０は、Ｓ４０では、現行プログラムＰＡとしての制御プログラムのバージョンを示す数値と、特定プログラムＰＢとしての制御プログラムのバージョンを示す数値と、を取得する。以下では、現行プログラムＰＡとしての制御プログラムのバージョンを、単に、現行プログラムＰＡのバージョンともいう。また、特定プログラムＰＢとしての制御プログラムのバージョンを、単に、特定プログラムＰＢのバージョンともいう。

ここで、接続ノード１０は、書き換えツール７０から新たな制御プログラムを受信して現行プログラムＰＡを更新するとき（例えば、Ｓ３０）に、新たな制御プログラムのバージョンを示す数値を、フラッシュメモリ３４の所定の領域に記憶してもよい。

一方、接続ノード１０は、特定プログラムＰＢを更新するとき（例えば、Ｓ６０）に、更新に用いられる新たな制御プログラムのバージョンを示す数値を、特定プログラムＰＢのバージョンを示す数値として、フラッシュメモリ３４の所定の領域に記憶していてもよい。

接続ノード１０は、現行プログラムＰＡのバージョンを示す数値と、特定プログラムＰＢのバージョンを示す数値とが、バージョン閾値（例えば、５）以上離れている場合に、特定更新条件が満たされており、特定プログラムＰＢの更新が必要であると判定する。なお、バージョン閾値は、バージョンが離れていることを示すための任意の数値であり得る。バージョン閾値は、フラッシュメモリ３４の所定の領域に記憶されていてもよい。

［２－３．効果］
以上詳述した第２実施形態によれば、上述した第１実施形態の効果（１ａ）－（１ｅ）を奏し、さらに、以下の効果を奏する。

（２ａ）特定更新条件は、現行プログラムＰＡのバージョンを示す数値と特定プログラムＰＢのバージョンを示す数値とが予め定められた数値を示すバージョン閾値以上離れていること、である。これにより、現行プログラムＰＡとしての制御プログラムのバージョンと特定プログラムＰＢとしての制御プログラムのバージョンとが離れている場合に、特定プログラムＰＢを更新し、差分データΔのデータ容量を抑制することができる。

［３．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

（３ａ）上述の実施形態では、接続ノード１０が、更新処理を実行することにより制御プログラムの更新を行い、修復処理を実行することにより制御プログラムの復元を実行したが、本開示はこれに限定されるものではない。接続ノード２０が接続ノード１０と同様に構成され、接続ノード２０が接続ノード１０と同様に更新処理及び修復処理を実行して制御プログラムの更新及び復元を実行してもよい。車載システム１に含まれる他の接続ノードについても接続ノード２０と同様である。

（３ｂ）上述の実施形態において、バージョンは、例えばバージョン１．１、バージョン１．２…といったように、メインバージョン（例えば、上述の例では１）とサブバージョン（例えば、上述の例では１、２）との組み合わせで示されてもよい。なお、バージョンを示す情報はこのような数値に限定されるものではなく、数値、アルファベット、各種名称、及びこれらの組み合わせ等で示されてもよい。

（３ｃ）上述の実施形態の接続ノード１０において、現行プログラムＰＡと特定プログラムＰＢとの間に、所定回数以上の制御プログラムの更新が行われていること、特定更新条件としてもよい。

具体的には、例えば、特定プログラムＰＢのデータ容量に対する差分データΔのデータ容量の割合が、所定割合（例えば、５０％）以上になっていること、を特定更新条件として用いてもよい。所定割合は、５０％に限定されるものではなく、任意の割合に設定され得る。特定プログラムＰＢのデータ容量は、特定プログラムＰＢが更新されるとき（例えば、Ｓ６０）に、フラッシュメモリ３４の所定の領域に記憶されてもよい。また、特定プログラムＰＢのデータ容量に対する差分データΔのデータ容量の割合は、差分データΔが更新されるとき（例えば、Ｓ８０）に、フラッシュメモリ３４の所定の領域に記憶されてもよい。

また例えば、バージョンがメインバージョンとサブバージョンとの組み合わせによって示される場合、メインバージョンが異なっていること、を特定更新条件として用いてもよい。

（３ｄ）特定更新条件は、上述の各種の特定更新条件のうちの１つであってもよく、上述の各種の特定更新条件のうち複数の条件の組み合わせであってもよい。
（３ｅ）上述の実施形態の接続ノード１０において、Ｓ１０－Ｓ３０では、新たな制御プログラムのデータ量が多く書き換えツール７０から複数回に分けて新たな制御プログラムが送信される場合、上述のＳ１０－Ｓ３０の処理が複数回繰り返される。また、Ｓ１０－Ｓ３０では、ＩＳＯ１４２２９に従ったプロトコルで現行プログラムＰＡの書き換えが実行されてもよい。但し、本開示はこれに限定されるものではなく、ＩＳＯ１４２２９以外のプロトコルに従って書き換えが行われてもよい。

（３ｆ）上述の実施形態において、中継装置５０は、外部の書き換えツール７０とコネクタ６０を介して有線接続されていたが、中継装置５０は、無線通信を行う通信部を備え、書き換えツール７０と無線接続されてもよい。又は、書き換えツール７０は、図示しないコネクタを介して接続ノード１０に直接有線接続されてもよい。

（３ｇ）本開示に記載の接続ノード１０及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の接続ノード１０及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の接続ノード１０及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。接続ノード１０に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

（３ｈ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

（３ｉ）上述した接続ノード１０の他、当該接続ノード１０を構成要素とする車載システム１、書き換えツール７０と当該接続ノード１０を含む車載システム１とを構成要素とする書き換えシステム、当該接続ノード１０を機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、プログラムの書き換え方法など、種々の形態で本開示を実現することもできる。

１０…接続ノード、２０…接続ノード、７…書き換えツール、３４…フラッシュメモリ。

Claims (7)

1. 書き換え可能な記憶装置（３４）を含む電子制御装置（１０、２０）であって、
   制御対象を制御するためのプログラムを制御プログラムとして、前記記憶装置に含まれる制御プログラム領域に記憶される前記制御プログラムを実行し前記制御対象を制御するように構成された実行部（Ｓ１３０）と、
   外部の書き換え装置との間で通信を行うことによって新たな前記制御プログラムを受信するように構成されたプログラム受信部（Ｓ２０）と、
   前記プログラム受信部によって新たな前記制御プログラムが受信される毎に、新たな前記制御プログラムによって、前記実行部が実行する前記制御プログラムを更新するように構成されたプログラム更新部（Ｓ３０）と、
   前記プログラム更新部によって前記実行部が実行する前記制御プログラムが更新される毎に、更新された前記制御プログラムと、当該電子制御装置が使用可能な前記制御プログラムであって前記記憶装置に含まれる前記制御プログラム領域とは異なる特定プログラム領域に記憶される特定プログラムとの差分を示す差分データを生成し、生成された前記差分データを新たな前記差分データとして前記記憶装置に記憶するように構成された差分更新部（Ｓ７０、Ｓ８０）と、
   を備える電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   前記特定プログラムは、当該電子制御装置が使用可能な前記制御プログラムであって、前記プログラム更新部によって更新された前記制御プログラム以前の前記制御プログラムである
   電子制御装置。
3. 請求項１又は請求項２に記載の電子制御装置であって、
   前記特定プログラムと前記差分データとに基づいて、前記差分データが生成されたときの前記制御プログラムを復元するように構成されたプログラム復元部（Ｓ１４０）
   を更に備える電子制御装置。
4. 請求項３に記載の電子制御装置であって、
   前記プログラム復元部は、当該電子制御装置が起動される際に前記制御プログラム領域に異常が生じていると診断された場合に、前記制御プログラムを復元する
   電子制御装置。
5. 請求項１から請求項４のいずれか一項に記載の電子制御装置であって、
   新たな前記制御プログラムが受信されたときに、前記特定プログラムを更新するための予め定められた特定更新条件が満たされるか否かを判定するように構成された条件判定部（Ｓ４０）と、
   前記条件判定部によって前記特定更新条件が満たされると判定された場合に、受信された新たな前記制御プログラムによって前記特定プログラムを更新するように構成された特定プログラム部（Ｓ６０）と、を更に備える
   電子制御装置。
6. 請求項５に記載の電子制御装置であって
   前記特定更新条件は、前記差分データのデータ容量が予め定められた容量を示す容量閾値以上であることを少なくとも含む
   電子制御装置。
7. 請求項５又は請求項６に記載の電子制御装置であって
   前記特定更新条件は、前記実行部が実行する前記制御プログラムのバージョンを示す数値と前記特定プログラムのバージョンを示す数値とが予め定められた数値を示すバージョン閾値以上離れていることを少なくとも含む
   電子制御装置。

Images