JP2023511209A - 車載デバイスアップグレード方法および装置 - Google Patents

Abstract

本出願の実施形態は、インテリジェント車両の分野における車載デバイスのアップグレードに適用され得る車載デバイスアップグレード方法および装置を提供する。本方法は、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定し、第２の車載デバイスが、第１のサブキーを第１の車載デバイスに送信し、第１のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第１の車載デバイスが、第１のサブキーおよび第２のサブキーを受信し、第２のサブキーが、第１のキーを構築するために使用され、第１の車載デバイスのアップグレードを実施するために、第１のサブキーおよび第２のサブキーに基づいて第１のキーを復元することを含む。本出願の実施形態では、車載デバイスが依存する車載デバイスがアップグレードされた後にのみ、車載デバイスがアップグレードされることが保証される。これは、正しいアップグレード順序を保証し、各車載デバイスの正常な動作を保証する。

Description

本出願は、２０２０年１月２３日に中国国家知識産権局に提出された、「車載デバイスアップグレード方法および装置」と題された中国特許出願第２０２０１００７６９５４．６号の優先権を主張するものであり、その全体は、参照によりここに組み込まれる。

本出願は、車両のインターネットの技術の分野に関し、特に、車載デバイスアップグレード方法および装置に関する。

車載デバイスのファームウェアおよびソフトウェアのオーバ・ザ・エアは、将来の車両のインターネットにおいて、車両の必須の機能である。しかしながら、車載デバイスのファームウェアおよびソフトウェアをアップグレードする従来の方法によれば、車両はリコールされて、次にアップグレードされる。この方法では、長いアップグレード期間のせいでアップグレード効率が低い。

したがって、車載デバイスをアップグレードするために、より柔軟なオーバ・ザ・エア（ＯＴＡ）方式が使用されるべきである。しかしながら、車両上の車載デバイスのアップグレードには特殊性がある。具体的には、アップグレード依存関係を有する複数の車載デバイスが１つのアップグレードプロセスに含まれ得る。例えば、デバイスＡのアップグレードは、デバイスＢおよびデバイスＣのアップグレードの完了に依存し、デバイスＢおよびデバイスＣは被依存デバイスであり、デバイスＡは依存デバイスである。したがって、被依存デバイスがアップグレードされた後にのみ依存デバイスがアップグレードされ得ることを保証する方法は、緊急に解決される必要がある技術的問題である。

本出願の実施形態は、車載デバイスが依存するすべての車載デバイスがアップグレードされた後にのみ車載デバイスがアップグレードされることを保証するために、車載デバイスアップグレード方法および装置を提供する。言い換えれば、正しいアップグレード順序が保証され、車載デバイスの正常な動作が保証される。

第１の態様によれば、本出願の一実施形態は、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定し、第２の車載デバイスが、第１のサブキーを第１の車載デバイスに送信し、第１のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得されることを含む車載デバイスアップグレード方法を提供する。

この解決策では、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存するとき、第２の車載デバイスは、第２の車載デバイスのアップグレードが成功したと判定した後に第１のサブキーを第１の車載デバイスに送信する。第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される。これは、第２の車載デバイスのアップグレードが完了したときにのみ第１の車載デバイスがアップグレードされることを保証し、その結果、車載デバイスの正しいアップグレード順序および正常な動作を保証する。

可能な実施態様では、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定する前に、本方法は、第２の車載デバイスが第２の暗号文を受信し、第２の暗号文が、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得され、第２の車載デバイスが、第１のサブキーを取得するために第２の暗号文を復号化することをさらに含む。

この解決策は、第２の車載デバイスによって第１のサブキーを取得する特定の実施態様を提供する。第１のキーを構築するために使用される第１のサブキーは、第２の車載デバイスの第２のアップグレードファイルの暗号文を生成するために使用される。このようにして、第２の車載デバイスは、第２の暗号文が復号化された後にのみ第１のサブキーを取得し得、その結果、送信プロセスにおける第２のサブキーのセキュリティが改善される。

可能な実施態様では、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定する前に、本方法は、第２の車載デバイスが第１のサブキーを受信することをさらに含む。第１のサブキーは、平文または暗号文であり得る。

この解決策では、第２の車載デバイスによって第１のサブキーを取得する別の特定の実施態様が提供される。この解決策では、第２の車載デバイスによって第１のサブキーを取得する効率は比較的高く、その結果、車載デバイスのアップグレード効率が改善される。加えて、サーバの消費電力が削減される。

第２の態様によれば、本出願の一実施形態は、第１の車載デバイスが第１の暗号文を受信し、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第１の車載デバイスが、第１のサブキーおよび第２のサブキーを受信し、第１のサブキーおよび第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の車載デバイスが、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行することを含む車載デバイスアップグレード方法を提供する。

この解決策では、第１のキーを分割することによって取得された複数のサブキーを取得した後、第１の車載デバイスは、第１の暗号文を復号化するために第１のキーを復元または構築する。これは、第１の車載デバイスの正常なアップグレードを保証する。

可能な実施態様では、第１の車載デバイスが第１のサブキーおよび第２のサブキーを受信することは、第１の車載デバイスが第１のデバイスから第１のサブキーを受信し、第１の車載デバイスが第２のデバイスから第２のサブキーを受信し、第１のデバイスが第２の車載デバイスであり、第２のデバイスが、第１の車載デバイスが配置された車両または第３の車載デバイスであることを含む。

この解決策では、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存するとき、第１のキーを分割することによって取得されたサブキーのうちの第１のサブキーは、第２の車載デバイス内にある。第２の車載デバイスのアップグレードが完了した後、第１の車載デバイスは、第１のキーを復号化してアップグレードを完了するために、第２の車載デバイスから第１のサブキーを受信し、次に、第１の暗号文を復号化するための第１のキーを構築し得る。これは、第２の車載デバイスのアップグレードが完了したときにのみ第１の車載デバイスがアップグレードされることを保証し、その結果、車載デバイスの正しいアップグレード順序および正常な動作を保証する。

可能な実施態様では、本方法は、第１の車載デバイスが第２の車載デバイスの識別子を受信すること、または第１の車載デバイスが、第２の車載デバイスの識別子および第３の車載デバイスの識別子を受信することをさらに含む。

この解決策では、第１の車載デバイスは、第１の車載デバイスのアップグレードが依存する車載デバイスを知り得、第１のキーを分割することによって取得されたサブキーが受信されたかどうかを判定し得、アップグレードを完了するために正しい第１のキーが復元されることを保証し得る。

第３の態様によれば、本出願の一実施形態は、車両が第１の暗号文を第１の車載デバイスに送信し、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、車両が、第２のサブキーを第１の車載デバイスに送信し、第２のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用されることを含む車載デバイスアップグレード方法を提供する。

この解決策では、車両は、第１の暗号文と、第１の暗号文を復号化するための第１のキーを構築するために使用される第２のサブキーとを第１の車載デバイスに送信し、これにより、第１の車載デバイスは第１のキーを復元または構築する。これは、第１の車載デバイスの正常なアップグレードを保証する。

可能な実施態様では、本方法は、車両が第１のサブキーを第２の車載デバイスに送信し、第２のサブキーが第１のキーを構築するために使用されることをさらに含む。

この解決策では、第２の車載デバイスによって第１のサブキーを取得する効率は比較的高く、その結果、車載デバイスのアップグレード効率が改善される。加えて、サーバの消費電力が削減される。

可能な実施態様では、本方法は、車両がアップグレードポリシーを受信し、アップグレードポリシーが、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示すことをさらに含む。

この解決策では、車両は、アップグレードポリシーに従って車両の正常なアップグレードを管理し得る。

可能な実施態様では、本方法は、車両が第２の車載デバイスの識別子を第１の車載デバイスに送信することをさらに含む。

この解決策では、第１の車載デバイスは、第１の車載デバイスのアップグレードが依存する車載デバイスを知り得、第１のキーを分割することによって取得されたサブキーが受信されたかどうかを判定し得、アップグレードを完了するために正しい第１のキーが復元されることを保証し得る。

第４の態様によれば、本出願の一実施形態は、サーバが情報の第１の部分に基づいて第２の暗号文を生成し、情報の第１の部分が第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、サーバが、第２の暗号文を第２の車載デバイスに送信することを含む車載デバイスアップグレード方法を提供する。

この解決策では、第１のサブキーは、第２の車載デバイスの第２のアップグレードファイルの第２の暗号文を生成するために使用される。第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存するとき、第２の車載デバイスは、第１のサブキーを取得し、第２の車載デバイスのアップグレードが成功したと判定した後に第１のサブキーを第１の車載デバイスに送信し、これにより、第１の車載デバイスはアップグレードを完了する。これは、第２の車載デバイスのアップグレードが完了したときにのみ第１の車載デバイスがアップグレードされることを保証し、その結果、車載デバイスの正しいアップグレード順序および正常な動作を保証する。

可能な実施態様では、情報の第１の部分は第１の車載デバイスの第１の識別子をさらに含み、第１の識別子は第１のサブキーに関連付けられる。

この解決策では、第２の車載デバイスは、サブキーが送信される必要があるデバイスを知り得、その結果、正常なアップグレードが保証される。

可能な実施態様では、情報の第１の部分は指示情報をさらに含み、指示情報は依存車載デバイスの数を示し、依存車載デバイスのアップグレードは第２の車載デバイスのアップグレードの完了に依存し、依存デバイスは第１の車載デバイスを含む。

この解決策は、正常なアップグレードを保証する。

可能な実施態様では、情報の第１の部分は、第２の車載デバイスのタイプ識別子をさらに含む。

この解決策では、第２の車載デバイスは、アップグレードを正常に完了するために第２の車載デバイスのタイプを知り得る。

可能な実施態様では、本方法は、サーバが第２のサブキーを車両に送信し、第２のサブキーが、第１のキーを構築するために使用されることをさらに含む。

この解決策では、車両は、第１の暗号文を復号化するための第１のキーを構築するために使用される第２のサブキーを第１の車載デバイスに送信し得、これにより、第１の車載デバイスは第１のキーを復元または構築する。これは、第１の車載デバイスの正常なアップグレードを保証する。

可能な実施態様では、本方法は、サーバがアップグレードポリシーを車両に送信し、アップグレードポリシーが、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示すことをさらに含む。

この解決策では、車両は、アップグレードポリシーに従って車両の正常なアップグレードを管理し得る。

第５の態様によれば、本出願の一実施形態は、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定し、第２の車載デバイスが、第１のサブキーを車両に送信し、第１のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得されることを含む車載デバイスアップグレード方法を提供する。

この解決策では、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存するとき、第１のキーを分割することによって取得されたサブキーのうちの第１のサブキーは、第２の車載デバイス内にある。第２の車載デバイスのアップグレードが完了した後、車両は、第１の暗号文を復号化してアップグレードを完了するために、第２の車載デバイスから第１のサブキーを受信した後にのみ、第１の暗号文を復号化するための第１のキーを構築し、第１のキーを第１の車載デバイスに送信し得る。これは、第２の車載デバイスのアップグレードが完了したときにのみ第１の車載デバイスがアップグレードされることを保証し、その結果、車載デバイスの正しいアップグレード順序および正常な動作を保証する。

可能な実施態様では、第２の車載デバイスが、第２の車載デバイスのアップグレードが成功したと判定する前に、本方法は、第２の車載デバイスが第２の暗号文を受信し、第２の暗号文が、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得され、第２の車載デバイスが、第１のサブキーを取得するために第２の暗号文を復号化することをさらに含む。

この解決策は、第２の車載デバイスによって第１のサブキーを取得する特定の実施態様を提供する。第１のキーを構築するために使用される第１のサブキーは、第２の車載デバイスの第２のアップグレードファイルの暗号文を生成するために使用される。このようにして、車両は、第２の暗号文が復号化された後にのみ第１のサブキーを取得し得、その結果、送信プロセスにおける第２のサブキーのセキュリティが改善される。

第６の態様によれば、本出願の一実施形態は、車両が第１のサブキーおよび第２のサブキーを受信し、第１のサブキーおよび第２のサブキーが、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文が、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、車両が、第１のサブキーおよび第２のサブキーに基づいて第１のキーを構築し、車両が、第１のキーを第１の車載デバイスに送信することを含む車載デバイスアップグレード方法を提供する。

この解決策では、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存するとき、第１のキーを分割することによって取得されたサブキーのうちの第１のサブキーは、第２の車載デバイス内にある。第２の車載デバイスは、アップグレードが完了した後に第１のサブキーを車両に送信し得る。車両は、第２の車載デバイスから第１のサブキーを受信する。次に、車両は、第１の暗号文を復号化してアップグレードを完了するために、受信された第２のサブキーおよび第１のサブキーに基づいて、第１の暗号文を復号化するための第１のキーを構築し、第１のキーを第１の車載デバイスに送信し得る。これは、第２の車載デバイスのアップグレードが完了したときにのみ第１の車載デバイスがアップグレードされることを保証し、その結果、車載デバイスの正しいアップグレード順序および正常な動作を保証する。

可能な実施態様では、車両が第１のサブキーおよび第２のサブキーを受信することは、車両が第１のデバイスから第１のサブキーを受信し、車両が第２のデバイスから第２のサブキーを受信し、第１のデバイスが第２の車載デバイスであり、第２のデバイスがサーバまたは第３の車載デバイスであることを含む。

車両によって第１のサブキーおよび第２のサブキーを受信する２つの特定の実施態様がこの解決策で提供される。第１のサブキーと第２のサブキーとの両方が車載デバイスから受信される場合、サーバの消費電力が削減され得る。

第７の態様によれば、本出願の一実施形態は、アップグレード装置であって、アップグレード装置のアップグレードが成功したと判定するように構成された処理モジュールと、第１のサブキーを第１の車載デバイスに送信し、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールとを含むアップグレード装置を提供する。

可能な実施態様では、処理モジュールがアップグレード装置のアップグレードが成功したと判定する前に、トランシーバモジュールは、第２の暗号文を受信し、第２の暗号文は、アップグレード装置の第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得される、ようにさらに構成され、処理モジュールは、第１のサブキーを取得するために第２の暗号文を復号化するようにさらに構成される。

可能な実施態様では、処理モジュールがアップグレード装置のアップグレードが成功したと判定する前に、トランシーバモジュールは、第１のサブキーを受信するようにさらに構成される。

第８の態様によれば、本出願の一実施形態は、アップグレード装置であって、第１の暗号文を受信し、第１の暗号文は、アップグレード装置の第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールであって、トランシーバモジュールは、第１のサブキーおよび第２のサブキーを受信し、第１のサブキーおよび第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される、ようにさらに構成されている、トランシーバモジュールと、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行するように構成された処理モジュールとを含むアップグレード装置を提供する。

可能な実施態様では、トランシーバモジュールは、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信し、第１のデバイスは第２の車載デバイスであり、第２のデバイスは、アップグレード装置が配置された車両または第３の車載デバイスである、ように特に構成される。

可能な実施態様では、トランシーバモジュールは、第２の車載デバイスの識別子を受信するようにさらに構成されるか、またはトランシーバモジュールは、第２の車載デバイスの識別子および第３の車載デバイスの識別子を受信するようにさらに構成される。

第９の態様によれば、本出願の一実施形態は、アップグレード装置であって、第１の暗号文を第１の車載デバイスに送信し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールであって、トランシーバモジュールは、第２のサブキーを第１の車載デバイスに送信し、第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される、ようにさらに構成されている、トランシーバモジュールを含むアップグレード装置を提供する。

可能な実施態様では、トランシーバモジュールは、第１のサブキーを第２の車載デバイスに送信し、第１のサブキーは、第１のキーを構築するために使用される、ようにさらに構成される。

可能な実施態様では、トランシーバモジュールは、アップグレードポリシーを受信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

可能な実施態様では、トランシーバモジュールは、第２の車載デバイスの識別子を第１の車載デバイスに送信するようにさらに構成される。

第１０の態様によれば、本出願の一実施形態は、アップグレード装置であって、情報の第１の部分に基づいて第２の暗号文を生成し、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成された処理モジュールと、第２の暗号文を第２の車載デバイスに送信するように構成されたトランシーバモジュールとを含むアップグレード装置を提供する。

可能な実施態様では、情報の第１の部分は第１の車載デバイスの第１の識別子をさらに含み、第１の識別子は第１のサブキーに関連付けられる。

可能な実施態様では、情報の第１の部分は指示情報をさらに含み、指示情報は依存車載デバイスの数を示し、依存車載デバイスのアップグレードは第２の車載デバイスのアップグレードの完了に依存し、依存デバイスは第１の車載デバイスを含む。

可能な実施態様では、情報の第１の部分は、第２の車載デバイスのタイプ識別子をさらに含む。

可能な実施態様では、トランシーバモジュールは、第２のサブキーを車両に送信し、第２のサブキーは、第１のキーを構築するために使用される、ようにさらに構成される。

可能な実施態様では、トランシーバモジュールは、アップグレードポリシーを車両に送信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

第１１の態様によれば、本出願の一実施形態は、アップグレード装置であって、第２の車載デバイスのアップグレードが成功したと判定するように構成された処理モジュールと、第１のサブキーを車両に送信し、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールとを含むアップグレード装置を提供する。

可能な実施態様では、処理モジュールが第２の車載デバイスが正常にアップグレードされたと判定する前に、トランシーバモジュールは、第２の暗号文を受信し、第２の暗号文は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得される、ようにさらに構成され、処理モジュールは、第１のサブキーを取得するために第２の暗号文を復号化するようにさらに構成される。

第１２の態様によれば、本出願の一実施形態は、アップグレード装置であって、第１のサブキーおよび第２のサブキーを受信し、第１のサブキーおよび第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールと、第１のサブキーおよび第２のサブキーに基づいて第１のキーを構築するように構成された処理モジュールとを含み、トランシーバモジュールは、第１のキーを第１の車載デバイスに送信するようにさらに構成される、アップグレード装置を提供する。

可能な実施態様では、トランシーバモジュールは、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信し、第１のデバイスは第２の車載デバイスであり、第２のデバイスはサーバまたは第３の車載デバイスである、ように特に構成される。

第１３の態様によれば、本出願の一実施形態は、少なくとも１つのプロセッサと、少なくとも１つのプロセッサに通信可能に接続されたメモリとを含むアップグレードデバイスを提供する。メモリは、少なくとも１つのプロセッサによって実行され得る命令を記憶し、命令は、少なくとも１つのプロセッサによって実行され、これにより、少なくとも１つのプロセッサは、第１の態様もしくは第１の態様の可能な実施態様のいずれか１つによる方法、または第２の態様もしくは第２の態様の可能な実施態様のいずれか１つによる方法、または第３の態様もしくは第３の態様の可能な実施態様のいずれか１つによる方法、または第４の態様もしくは第４の態様の可能な実施態様のいずれか１つによる方法を実行し得る。

第１４の態様によれば、本出願の一実施形態は、コンピュータ命令を記憶する非一時的コンピュータ可読記憶媒体であって、コンピュータ命令は、コンピュータが、第１の態様もしくは第１の態様の可能な実施態様のいずれか１つによる方法、第２の態様もしくは第２の態様の可能な実施態様のいずれか１つによる方法、第３の態様もしくは第３の態様の可能な実施態様のいずれか１つによる方法、または第４の態様もしくは第４の態様の可能な実施態様のいずれか１つによる方法を実行することを可能にするために使用される、非一時的コンピュータ可読記憶媒体を提供する。

一実施形態によるシステムのアーキテクチャ図である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図１である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図１である。 本出願の一実施形態によるアップグレードファイルの概略図である。 本出願の一実施形態によるＮ個の信頼キーユニットの概略図である。 本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツの概略図である。 本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツの別の概略図である。 本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツのさらに別の概略図である。 本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第２の部分の概略図である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図２である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図２である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図３である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図３である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図４である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図４である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図５である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図５である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図６である。 本出願の一実施形態による車載デバイスアップグレード方法の相互作用図６である。 本出願の一実施形態によるアップグレード装置の構造の概略図である。 本出願の一実施形態による電子デバイスの実施態様の概略ブロック図である。 本出願の一実施形態による車載デバイスアップグレードシステムの構造の概略図である。

本出願におけるいくつかの要素が最初に説明される。

１．アップグレードの観点から、車載デバイスは、以下の１～５のサブタイプに分類され得る。

（１）独立した車載デバイス：独立したデバイスのアップグレードは、他の車載デバイスのアップグレードの完了に依存せず、別の車載デバイスとともにアップグレードされる必要がない。

（２）依存車載デバイス：依存車載デバイスのアップグレードは、少なくとも１つの他の車載デバイスのアップグレードの完了に依存する必要がある。ここでの少なくとも１つの他の車載デバイスは、依存車載デバイスのアップグレードが依存するデバイスである。依存車載デバイスのアップグレードが依存するデバイスは、本実施形態では被依存車載デバイスと呼ばれる。言い換えれば、被依存車載デバイスのアップグレードが完了した後にのみ依存車載デバイスはアップグレードされ得る。例えば、車載デバイスＡのアップグレードは、車載デバイスＢおよび車載デバイスＣのアップグレードの完了に依存する必要がある。車載デバイスＢと車載デバイスＣとの両方は、車載デバイスＡの被依存デバイスである。

（３）被依存車載デバイス：車載デバイスＡがアップグレードされた後にのみ別の車載デバイスがアップグレードされ得る場合、車載デバイスＡは被依存デバイスである。

（４）同種車載デバイス：車載デバイスＡに関して、車両が、車載デバイスＡと同じタイプの少なくとも１つの他の車載デバイスＢをさらに含み、車載デバイスＡと少なくとも１つの車載デバイスＢとが同時にアップグレードされる必要がある場合、車載デバイスＡと少なくとも１つの車載デバイスＢとは互いに同種車載デバイスである。例えば、車両には複数のマイクロフォンが配置され、複数のマイクロフォンは互いに同種車載デバイスである。

（５）異種デバイス：車載デバイスＡに関して、車両が、車載デバイスＡとは異なるタイプの少なくとも１つの他の車載デバイスＢをさらに含む場合、車載デバイスＡと少なくとも１つの車載デバイスＢとは同時にアップグレードされる必要がある。この場合、車載デバイスＡと少なくとも１つの車載デバイスＢとは互いに異種の装置である。

車載デバイスのタイプは、前述の１～５のサブタイプのうちの１つを含み得、車載デバイスのタイプは、前述の２～５のサブタイプのうちの少なくとも２つをさらに含み得ることが理解されよう。例えば、車載デバイスは、依存車載デバイスかつ同種車載デバイスであるか、または依存車載デバイスかつ異種デバイスであるか、または同種車載デバイスかつ異種デバイスであるか、または依存車載デバイス、同種車載デバイス、かつ異種デバイスであるか、または被依存デバイスかつ依存デバイスである。

２．アップグレードファイルは、ファイルヘッダおよびファイルコンテンツを含み、ファイルヘッダは、以下のうちの少なくとも１つ、すなわち、デバイス識別子、バージョン番号、およびファイルコンテンツのサイズのうちの少なくとも１つを少なくとも含む。

図１は、一実施形態によるシステムのアーキテクチャ図である。図１を参照されたい。システムアーキテクチャは、サーバ、車両、および車載デバイスを含む。車両のオーバ・ザ・エア（ｏｖｅｒ ｔｈｅ ａｉｒ、略してＯＴＡ）オーケストレータ（ｏｒｃｈｅｓｔｒａｔｏｒ）は、車載デバイスのアップグレードを制御するために使用される。ＯＴＡオーケストレータは、電子制御ユニット（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ、略してＥＣＵ）、ヒューマンマシンインターフェース（ｈｕｍａｎ ｍａｃｈｉｎｅ ｉｎｔｅｒｆａｃｅ、略してＨＭＩ）、およびＢＭＳ（ｂａｔｔｅｒｙ ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ、略してＢＭＳ）を含み得る。

一方法では、サーバはアップグレード管理ノードおよびキー管理ノードを含み得、車載デバイスは車両に配置される。

以下では、特定の実施形態を使用して、本出願における車載デバイスアップグレード方法について説明する。本出願の本実施形態では、対称キー技術が使用され、すなわち、アップグレードファイルの暗号文を取得するためにアップグレードファイルを暗号化するためのキーは、暗号文を復号化するためのキーと同じである。

図２Ａおよび図２Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図１である。本実施形態は、任意の依存デバイスのアップグレード方法に関する。本実施形態では、任意の依存デバイスは第１の車載デバイスと呼ばれる。図２Ａおよび図２Ｂを参照されたい。本実施形態の方法は、以下のステップを含む。

ステップＳ２０１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、情報の第１の部分を暗号化することによって取得され、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される。

本実施形態では、第１の車載デバイスは依存デバイスであり、第２の車載デバイスは被依存デバイスであり、第１の車載デバイスのアップグレードは、少なくとも第２の車載デバイスのアップグレードの完了に依存する。車載デバイスのタイプは複数のサブタイプを含み得るため、第１の車載デバイスは被依存デバイスでもあり得、第２の車載デバイスは依存デバイスでもあり得ることが理解されよう。第１の車載デバイスおよび第２の車載デバイスは、車両上のアップグレードされるべき車載デバイスのうちの車載デバイスである。

以下では、サーバによって第１の暗号文および第２の暗号文を生成するための方法について説明する。

第１の車載デバイスの第１のアップグレードファイルを取得した後、サーバは、第１のアップグレードファイルを暗号化するために使用される第１のキーを生成する。第１のアップグレードファイルは図３に示されているものであり得る。図３を参照されたい。第１のアップグレードファイルは、ファイルヘッダおよびファイルコンテンツを含む。次に、第１のキーは、Ｍ個のサブキーに分割され、Ｍは、１と、第１の車載デバイスのアップグレードが依存する車載デバイスの数とを加算することによって取得される値であり、すなわち、第１の車載デバイスのアップグレードは、Ｍ－１個の車載デバイスのアップグレードの完了に依存し、Ｍ個のサブキーは、第１のサブキーを含む。例えば、車載デバイス１が車載デバイス２および車載デバイス３のアップグレードの完了に依存する場合、車載デバイス１のアップグレードファイルの第１のキーは、３つのサブキーに分割される。別の例では、車載デバイス１が、車載デバイス２、車載デバイス３、および車載デバイス４のアップグレードの完了に依存する場合、車載デバイス１のアップグレードファイルの第１のキーは、４つのサブキーに分割される。Ｍ個のサブキーのうちのＭ－１個のサブキーは、第１の車載デバイスのアップグレードが依存するＭ－１個の他の車載デバイスのアップグレードファイルの暗号文を生成するためにそれぞれ使用され、Ｍ－１個のサブキー以外のＭ個のサブキーのうちの第２のサブキーは、サーバに記憶される。サーバがアップグレード管理ノードおよびキー管理ノードを含む場合、第２のサブキーはキー管理ノードに記憶される。

例えば、第１の車載デバイスのアップグレードは、４つの車載デバイスのアップグレードの完了に依存する。この場合、第１のキーは５つのサブキーに分割され、第２のサブキーはサーバに記憶され、第２のサブキー以外の４つのサブキーは、１つの車載デバイスのアップグレードが依存する４つの車載デバイスのアップグレードファイルの暗号文を生成するためにそれぞれ使用される。

第２の車載デバイスは、第１の車載デバイスのアップグレードが依存するＭ－１個の他の車載デバイスのうちの１つであり、Ｍ－１個のサブキーは第１のサブキーを含み、第１のサブキーは、第２の車載デバイスの第２のアップグレードファイルの第２の暗号文を生成するために使用される。以下では、サーバが第１のサブキーを使用して第２の暗号文を生成するために使用されることについて説明する。

第２の車載デバイスの第２のアップグレードファイルを取得した後、サーバは、第２の暗号文を生成する。第２のアップグレードファイルも図３に示されている。

サーバは、第２の暗号文を生成する前に情報の第１の部分を生成する。情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルと、Ｍ個のサブキーのうちの第１のサブキーとを含む。情報の第１の部分は、第１の車載デバイスの第１の識別子をさらに含み、第１の識別子は第１のサブキーに関連付けられ、第１の識別子および第１のサブキーは、信頼キーサブユニットと呼ばれ得る。他の依存車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存する必要がある場合、他の依存車載デバイスの各々に関して、情報の第１の部分は、他の依存車載デバイスの各々のアップグレードファイルの暗号文を復号化するためのキーを構築するために使用されるサブキーと、サブキーに関連付けられた他の依存車載デバイスの各々の識別子とをさらに含むことが理解されよう。サブキー、およびサブキーに関連付けられた他の依存車載デバイスの各々の識別子も信頼キーサブユニットである。言い換えれば、Ｎ個の依存車載デバイスのアップグレードが、第２の車載デバイスのアップグレードの完了に依存する必要がある場合、情報の第１の部分は、Ｎ個の信頼キーユニットを含む。一方法では、Ｎ個の信頼キーユニットは、第２のアップグレードファイルのファイルコンテンツの末尾に隣接してもよい。

図４は、Ｎ個の信頼キーユニットの概略図である。図４を参照されたい。アップグレードが第２の車載デバイスのアップグレードの完了に依存する依存車載デバイスの数は、依存車載デバイス１、依存車載デバイス２、および依存車載デバイス３の３つであり、Ｎ＝３である。依存車載デバイス１のアップグレードファイルの暗号文を復号化するために使用される第１のキーは、サブキー１１、サブキー１２、サブキー１３、およびサブキー１４の４つの部分に分割される。依存車載デバイス２のアップグレードファイルの暗号文を復号化するために使用される第１のキーは、サブキー２１およびサブキー２２の２つの部分に分割される。依存車載デバイス３のアップグレードファイルの暗号文を復号化するために使用される第１のキーは、サブキー３１、サブキー３２、およびサブキー３３の３つの部分に分割される。各信頼キーユニットは、アップグレードが第２の車載デバイスのアップグレードの完了に依存する依存車載デバイスの識別子と、分割によって取得された複数のサブキーのうちの１つとを含む。

任意選択で、情報の第１の部分は指示情報をさらに含んでもよく、指示情報は、アップグレードが第２の車載デバイスのアップグレードの完了に依存する依存車載デバイスの数Ｎを示す。一方法では、指示情報は、第２のアップグレードファイルのファイルコンテンツの末尾に隣接し、Ｎ個の信頼キーユニットは、指示情報に隣接する。

情報の第１の部分が指示情報を含まないとき、Ｎ個の信頼キーユニットは、信頼キーコンテンツと呼ばれ得る。情報の第１の部分が指示情報を含むとき、Ｎ個の信頼キーユニットおよび指示情報は、信頼キーコンテンツと呼ばれ得る。

任意選択で、情報の第１の部分は、第２の車載デバイスのタイプ識別子をさらに含んでもよい。第２の車載デバイスのタイプが複数のサブタイプを含むとき、第２の車載デバイスのタイプ識別子は、複数のサブタイプのうちで相対的に高い優先度を有するサブタイプの識別子である。一方法では、依存デバイスのサブタイプの優先度は、異種デバイスのサブタイプの優先度よりも高く、異種デバイスのサブタイプの優先度は、同種デバイスのサブタイプの優先度よりも高く、同種デバイスのサブタイプの優先度は、被依存デバイスのサブタイプの優先度よりも高い。任意選択で、第２の車載デバイスのタイプ識別子は、新しいファイルヘッダを取得するために、第２のアップグレードファイルのヘッダに追加されてもよい。

任意選択で、第２のアップグレードファイルのファイルコンテンツの完全性を保証するために、情報の第１の部分は、第１のメッセージ認証コード（ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ、略してＭＡＣ）をさらに含んでもよい。一方法では、第１のメッセージ認証コードは、第２のアップグレードファイルのファイルコンテンツおよび信頼キーコンテンツのハッシュ値であり得る。別の方法では、第１のメッセージ認証コードはまた、第１のコンテンツおよび第２のコンテンツのハッシュ値であり得、第１のコンテンツは、暗号化された第２のアップグレードファイルのファイルコンテンツであり、第２のコンテンツは、暗号化された信頼キーのコンテンツである。さらに別の方法では、第１のメッセージ認証コードはさらに、第３のコンテンツのハッシュ値であり得、第３のコンテンツは、第２のアップグレードファイルのファイルコンテンツおよび信頼キーコンテンツが暗号化された後に取得されるコンテンツである。

図５は、本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツの概略図である。図５を参照されたい。情報の第１の部分は、第２の車載デバイスのタイプ識別子と、第２のアップグレードファイルのファイルヘッダと、第２のアップグレードファイルのファイルコンテンツと、命令情報と、Ｎ個の信頼キーユニットとを含む。タイプ識別子は、ファイルヘッダとファイルコンテンツとの間に配置され、指示情報は、第２のアップグレードファイルのファイルコンテンツの末尾に隣接し、Ｎ個の信頼キーユニットは、指示情報に隣接する。

図６は、本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツの別の概略図である。図６を参照されたい。情報の第１の部分は、第２の車載デバイスのタイプ識別子と、第２のアップグレードファイルのファイルヘッダと、第２のアップグレードファイルのファイルコンテンツと、指示情報と、Ｎ個の信頼キーユニットと、第１のメッセージ認証コードとを含む。タイプ識別子は、ファイルヘッダとファイルコンテンツとの間に配置され、第１のメッセージ認証コードは、第２のアップグレードファイルのファイルコンテンツの末尾に隣接し、指示情報は、第１のメッセージ認証コードに隣接し、Ｎ個の信頼キーユニットは、指示情報に隣接する。

図７は、本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第１の部分に含まれるコンテンツのさらに別の概略図である。図７を参照されたい。情報の第１の部分は、第２の車載デバイスのタイプ識別子と、第２のアップグレードファイルのファイルヘッダと、第２のアップグレードファイルのファイルコンテンツと、指示情報と、Ｎ個の信頼キーユニットと、第１のメッセージ認証コードとを含む。タイプ識別子は、ファイルヘッダとファイルコンテンツとの間に配置され、指示情報は、第２のアップグレードファイルのファイルコンテンツの末尾に隣接し、Ｎ個の信頼キーユニットは、指示情報に隣接し、第１のメッセージ認証コードは、Ｎ個の信頼キーユニットに隣接する。

情報の第１の部分を取得した後、サーバは、情報の第１の部分に基づいて第２の暗号文を生成する。

第１の実施態様では、サーバが情報の第１の部分に基づいて第２の暗号文を生成することは、以下のａ１～ａ３を含む。

ａ１：サーバは、第１のコンテンツを取得するために第２のキーを使用して第２のアップグレードファイルのファイルコンテンツを暗号化し、第２のキーはサーバによってランダムに選択される。

ａ２：サーバは、第２のコンテンツを取得するために、第２のキーを使用して信頼キーコンテンツを暗号化する。

ａ３：サーバは、第１のコンテンツ、第２のコンテンツ、および新しいファイルヘッダに基づいて第２の暗号文を取得する。すなわち、第２の暗号文は、第１のコンテンツ、第２のコンテンツ、および新しいファイルヘッダを含む。

この実施態様で第２の暗号文を取得する効率は高い。

第２の実施態様では、サーバが情報の第１の部分に基づいて第２の暗号文を生成することは、以下のｂ１およびｂ２を含む。

ｂ１：サーバは、第３のコンテンツを取得するために、第２のキーを使用して第２のアップグレードファイルのファイルコンテンツおよび信頼キーコンテンツを暗号化する。

ｂ２：サーバは、第３のコンテンツおよび新しいファイルヘッダに基づいて第２の暗号文を取得する。すなわち、第２の暗号文は、第３のコンテンツおよび新しいファイルヘッダを含む。

この実施態様で第２の暗号文を取得する効率は高い。

第３の実施態様では、サーバが情報の第１の部分に基づいて第２の暗号文を生成することは、以下のｃ１～ｃ４を含む。

ｃ１：サーバは、第１のコンテンツを取得するために、第２のキーを使用して第２のアップグレードファイルのファイルコンテンツを暗号化する。

ｃ２：サーバは、第２のコンテンツを取得するために、第２のキーを使用して信頼キーコンテンツを暗号化する。

ｃ３：サーバは、第４のコンテンツを取得するために第３のキーを使用して第１のメッセージ認証コードを暗号化し、第２のキーと第３のキーとは同じであっても同じでなくてもよく、第３のキーはまた、ランダムに選択されてもよい。

ｃ４：サーバは、第１のコンテンツ、第２のコンテンツ、第４のコンテンツ、および新しいファイルヘッダに基づいて第２の暗号文を取得する。すなわち、第２の暗号文は、第１のコンテンツ、第２のコンテンツ、第４のコンテンツ、および新しいファイルヘッダを含む。

この実施態様は、第２のアップグレードファイルの完全性を保証し得る。

第４の実施態様では、サーバが情報の第１の部分に基づいて第２の暗号文を生成することは、以下のｄ１～ｄ３を含む。

ｄ１：サーバは、第３のコンテンツを取得するために、第２のキーを使用して第２のアップグレードファイルのファイルコンテンツおよび信頼キーコンテンツを暗号化する。

ｄ２：サーバは、第４のコンテンツを取得するために、第３のキーを使用して第１のメッセージ認証コードを暗号化する。

ｄ３：サーバは、第３のコンテンツ、第４のコンテンツ、および新しいファイルヘッダに基づいて第２の暗号文を取得する。すなわち、第２の暗号文は、第３のコンテンツ、第４のコンテンツ、および新しいファイルヘッダを含む。

この実施態様は、第２のアップグレードファイルの完全性を保証し得る。

第１の暗号文の生成に関して、第１の車載デバイスが被依存車載デバイスではなく依存車載デバイスである場合、サーバは、情報の第２の部分に基づいて第１の暗号文を生成する。情報の第２の部分は、第１の車載デバイスの第１のアップグレードファイルを含む。

任意選択で、情報の第２の部分は、第１の車載デバイスのタイプ識別子をさらに含む。第１の車載デバイスのタイプが複数のサブタイプを含むとき、第１の車載デバイスのタイプ識別子は、複数のサブタイプのうちで相対的に高い優先度を有するサブタイプの識別子である。一方法では、依存デバイスのサブタイプの優先度は、異種デバイスのサブタイプの優先度よりも高く、異種デバイスのサブタイプの優先度は、同種デバイスのサブタイプの優先度よりも高く、同種デバイスのサブタイプの優先度は、被依存デバイスのサブタイプの優先度よりも高い。任意選択で、第１の車載デバイスのタイプ識別子は、新しいファイルヘッダを取得するために、第１のアップグレードファイルのヘッダに追加されてもよい。

任意選択で、情報の第２の部分は第２のメッセージ認証コードをさらに含む。第２のメッセージ認証コードは、第１のアップグレードファイルのファイルコンテンツのハッシュ値であってもよいし、第５のコンテンツのハッシュ値であってもよく、第５のコンテンツは第１のアップグレードファイルの暗号化ファイルコンテンツである。

図８は、本出願の一実施形態による、アップグレードファイルの暗号文を生成するために使用される情報の第２の部分の概略図である。図８を参照されたい。情報の第２の部分は、第１の車載デバイスのタイプ識別子と、第１のアップグレードファイルのファイルヘッダと、第１のアップグレードファイルのファイルコンテンツと、メッセージ認証コードとを含む。タイプ識別子は、ファイルヘッダとファイルコンテンツとの間に配置され、メッセージ認証コードは、第１のアップグレードファイルのファイルコンテンツの末尾に隣接する。

情報の第２の部分を取得した後、サーバは、情報の第２の部分に基づいて第１の暗号文を生成する。

第１の実施態様では、サーバが情報の第２の部分に基づいて第１の暗号文を生成することは、以下のｅ１およびｅ２を含む。

ｅ１：サーバは、第５のコンテンツを取得するために、第１のキーを使用して第１のアップグレードファイルのファイルコンテンツを暗号化する。

ｅ２：サーバは、第５のコンテンツおよび新しいファイルヘッダに基づいて第１の暗号文を取得する。すなわち、第１の暗号文は、第５のコンテンツおよび新しいファイルヘッダを含む。

この実施態様で第１の暗号文を取得する効率は高い。

第２の実施態様では、サーバが情報の第２の部分に基づいて第１の暗号文を生成することは、以下のｂ１およびｂ２を含む。

ｆ１：サーバは、第５のコンテンツを取得するために、第１のキーを使用して第２のアップグレードファイルのファイルコンテンツを暗号化する。

ｆ２：サーバは、第６のコンテンツを取得するために第４のキーを使用して第２のメッセージ認証コードを暗号化し、第１のキーと第４のキーとは同じであっても同じでなくてもよく、第４のキーはまた、ランダムに選択されてもよい。

ｆ３：サーバは、第５のコンテンツ、第６のコンテンツ、および新しいファイルヘッダに基づいて第１の暗号文を取得する。すなわち、第１の暗号文は、第５のコンテンツ、第６のコンテンツ、および新しいファイルヘッダを含む。

この実施態様は、第１のアップグレードファイルの完全性を保証し得る。

第１の暗号文の生成に関して、第１の車載デバイスが依存車載デバイスと被依存車載デバイスとの両方である場合、サーバによって第１の暗号文を生成するための方法は、サーバによって第２の暗号文を生成するための方法と同じである。

車両上のアップグレードされるべき各車載デバイスが、第１の車載デバイスおよび第２の車載デバイスに加えて別の車載デバイスを含むとき、第１の暗号文および第２の暗号文を生成することに加えて、サーバは、別の車載デバイスのアップグレードファイルの暗号文をさらに生成することが理解されよう。車両上のアップグレードされるべきすべての車載デバイスにおいて、依存車載デバイスであるが被依存車載デバイスではない車載デバイスは、第１の車載デバイスが依存車載デバイスであるが被依存デバイスではないとき、第１のアップグレードファイルの第１の暗号文を生成するための前述の方法に従って、対応するアップグレードファイルの暗号文を生成し得ることが理解されよう。車両上のアップグレードされるべきすべての車載デバイスのうちの被依存車両デバイスは、第２の車載デバイスの第２のアップグレードファイルの第２の暗号文を生成するための方法に従って、対応するアップグレードファイルの暗号文を生成し得る。サーバは、各車両上のアップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に基づいてアップグレードパッケージを生成し得る。

一方法では、サーバは、アップグレードポリシーをさらに取得し得る。この場合、車両上のアップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に加えて、アップグレードパッケージは、アップグレードポリシーをさらに含む。アップグレードポリシーは、車両上のアップグレードされるべき車載デバイス間のアップグレード依存関係を含み、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを少なくとも示し得る。任意選択で、アップグレードポリシーは、車両上のアップグレードされるべき各車載デバイスのタイプおよび／またはアップグレードされるべき各車載デバイスのアップグレード順序をさらに含んでもよい。加えて、アップグレードパッケージの安全な送信を保証するために、サーバは、アップグレードパッケージのデジタル署名をさらに生成し得る。

特定の実施態様では、サーバは、アップグレード管理ノードおよびキー管理ノードを含む。アップグレード管理ノードは、アップグレードパッケージを生成し、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキー、またはキーを分割することによって取得されたサブキーを記憶のためにキー管理ノードに送信するように構成される。アップグレードされるべき車載デバイスが依存デバイスでないとき、キー管理ノードに送信されるキーは、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーであることが理解されよう。アップグレードされるべき車載デバイスが依存デバイスであるとき、キー管理ノードに送信されるキーは、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを分割することによって取得された複数のサブキーのうちの１つである。アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードをさらに含む場合、アップグレード管理ノードは、メッセージ認証コードを暗号化するために使用されるキーを記憶のためにキー管理ノードにさらに送信する。

ステップＳ２０２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

一方法では、サーバは、アップグレードパッケージを車両に送信し、アップグレードパッケージは、第１の暗号文および第２の暗号文を含む。サーバがアップグレード管理ノードおよびキー管理ノードを含む場合、アップグレード管理ノードは、アップグレードパッケージを車両に送信し、アップグレードパッケージは、第１の暗号文および第２の暗号文を含む。

ステップＳ２０３：サーバは第２のサブキーを車両に送信し、第２のサブキーは第１のキーを構築するために使用される。

サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して第２のサブキーを車両に送信する。加えて、キー管理ノードは、アップグレードされるべき別の車載デバイスのアップグレードファイルの暗号文を復号化するために使用される車両のキー、またはキーを分割することによって取得されたサブキーを車両にさらに送信する。

加えて、第１の暗号文が暗号化された第２のメッセージ認証コードを含むとき、本方法は、サーバが第４のキーを車両に送信することをさらに含む。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、アップグレード管理ノードは、第４のキーをキー管理ノードに送信し、キー管理ノードは、安全なチャネルを介して第４のキーを車両に送信する。言い換えれば、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードを含むとき、本方法は、サーバが、暗号化されたメッセージ認証コードを復号化するために使用されるキーを車両に送信することをさらに含む。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して、暗号化されたメッセージ認証コードを復号化するために使用されるキーを車両に送信する。

ステップＳ２０４：車両は、第１の暗号文を第１の車載デバイスに送信する。

車両が、アップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に基づいてアップグレードパッケージを取得するとき、サーバによって送信されたアップグレードパッケージを受信した後、車両は、アップグレードパッケージのデジタル署名を使用してアップグレードパッケージを検証し得る。検証が成功した後、車両は、アップグレードパッケージ内の第１の暗号文を取得し、第１の暗号文を第１の車載デバイスに送信する。

第１の車載デバイスは依存デバイスであるため、第１の暗号文は、第１の車載デバイスが依存デバイスであることを示すタイプ識別子を含む。任意選択の方法では、車両は、アップグレードポリシーに含まれるアップグレード依存関係に基づいて、第１の車載デバイスが依存する各車載デバイスを取得し、第１の車載デバイスが依存する各車載デバイスの識別子を第１の車載デバイスに送信し得、これにより、第１の車載デバイスは、第１の車載デバイスのアップグレードが依存する車載デバイスを知る。第１の車載デバイスが依存する車載デバイスは、第２の車載デバイスを含む。

ステップＳ２０５：車両は、第２のサブキーを第１の車載デバイスに送信する。

第１の暗号文が暗号化された第２のメッセージ認証コードを含むとき、車両は、第４のキーを第１の車載デバイスにさらに送信する。

ステップＳ２０６：車両は、第２の暗号文を第２の車載デバイスに送信する。

車両が、アップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に基づいてアップグレードパッケージを取得するとき、サーバによって送信されたアップグレードパッケージを受信した後、車両は、アップグレードパッケージのデジタル署名を使用してアップグレードパッケージを検証し得る。検証が成功した後、車両は、アップグレードパッケージ内の第２の暗号文を取得し、第２の暗号文を第２の車載デバイスに送信する。

ステップＳ２０７：第２の車載デバイスは、第２のアップグレードファイルおよび第１のサブキーを取得するために第２の暗号文を復号化する。

第２の車載デバイスは、第２の暗号文を受信する。第２の暗号文は情報の第１の部分に基づいて生成され、情報の第１の部分は第２のアップグレードファイルおよび第１のサブキーを含む。したがって、第２の暗号文は、第２のアップグレードファイルおよび第１のサブキーを取得するために復号化され得る。

第２の車載デバイスが依存デバイスでない場合、第２の暗号文を復号化するための第２のキーまたは第２のキーおよび第３のキーは、車両によって第２の車載デバイスに送信されることが理解されよう。第２の車載デバイスが依存デバイスである場合、第２の暗号文を復号化するために使用される第２のキーを第２の車載デバイスによって取得するための方法については、第１の暗号文を復号化するために使用される第１のキーを第１の車載デバイスによって取得するための方法を参照されたく、第３のキーは、車両によって第２の車載デバイスに送信される。

ステップＳ２０８：第２の車載デバイスは、第２のアップグレードファイルに基づいてアップグレードを実行する。

第２の暗号文が暗号化された第１のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第３のキーを使用して、暗号化されたメッセージ認証コードをさらに復号化し、メッセージ認証コードに基づいて、取得された第２のアップグレードファイルおよび信頼キーコンテンツの完全性を検証し、検証が成功した場合、第２のアップグレードファイルに基づいてアップグレードを実行し得る。

ステップＳ２０９：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを第１の車載デバイスに送信する。

ステップＳ２１０：第１の車載デバイスは、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のサブキー、第２のサブキー、および第１の暗号文を受信し、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、第１の車載デバイスは、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキー、第２のサブキー、および第３のサブキーの３つのサブキーに分割され、第１の車載デバイスは、第３の車載デバイスによって送信される第３のサブキーをさらに受信する。第３の車載デバイスによって第３のサブキーを取得するための方法は、第２の車載デバイスによって第２のサブキーを取得するための方法と同じである。すなわち、第３の車載デバイスは、第３のアップグレードファイルおよび第３のサブキーを取得するために第３の暗号文を復号化する。第３の暗号文を取得するための方法は、第２の暗号文を取得するための方法と同じである。すなわち、第３の暗号文は、第３の情報を暗号化することによって取得され、第３の情報は、第３の車載デバイスの第３のアップグレードファイルと第３のサブキーとを少なくとも含む。言い換えれば、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、第１の車載デバイスは、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ個のサブキーのうちの１つを別々に受信し、車両から１つのサブキーを受信し、合計でＭ個のサブキーを受信する。

第１の暗号文を受信した後、第１の車載デバイスは、第１の暗号文に含まれる新しいファイルヘッダ内の、第１の車載デバイスが依存デバイスであることを示すタイプ識別子に基づいて、第１の車載デバイスが、アップグレードを実行するために、第１の車載デバイスが依存する各車載デバイスによって送信される、第１のキーを分割することによって取得される１つのサブキーを待つ必要があると判定する。

第１のサブキーおよび第２のサブキーを受信した後、第１の車載デバイスは、第１のサブキーおよび第２のサブキーに基づいて第１のキーを復元する、すなわち、受信されたＭ個のサブキーに基づいて第１のキーを復元する。第１の暗号文は、第１のアップグレードファイルを取得するために、第１のキーを使用して復号化される。第１の暗号文が、暗号化された信頼キーコンテンツをさらに含む場合、第１の暗号文が復号化された後に、信頼キーコンテンツがさらに取得される。

第１の暗号文が暗号化された第２のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第４のキーを使用して、暗号化された第２のメッセージ認証コードをさらに復号化し、第２のメッセージ認証コードに基づいて、取得された第１のアップグレードファイルの完全性または取得された第１のアップグレードファイルおよび信頼キーコンテンツの完全性を検証する。検証が成功した場合、第１の車載デバイスは、第１のアップグレードファイルに基づいてアップグレードを実行し得る。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは複数のサブキーに分割され、１つのサブキーを除く複数のサブキーのうちの他のサブキーは、依存車載デバイスが依存する車載デバイスのアップグレードファイルを生成するために別々に使用され、これにより、他のサブキーは、依存車載デバイスが依存する車載デバイスが正常にアップグレードされた後に依存車載デバイスに送信され、依存車載デバイスは、アップグレードを完了するために、キーを分割することによって取得されたサブキーに基づいてキーを復元し得る。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。

加えて、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後、別のサブキーが依存車載デバイスに自動的に送信され、車両は、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされたかどうかを判定する必要がなく、その結果、車両の負荷が軽減される。

以下では、図９Ａおよび図９Ｂに示されている実施形態を参照して、別の車載デバイスアップグレード方法について説明する。

図９Ａおよび図９Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図２である。本実施形態は、依存デバイスをアップグレードするための方法に関する。本実施形態では、任意の依存デバイスは第１の車載デバイスと呼ばれる。図９Ａおよび図９Ｂを参照されたい。本実施形態の方法は、以下のステップを含む。

ステップＳ９０１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、情報の第１の部分を暗号化することによって取得され、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０１の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ９０２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０２の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ９０３：サーバは第２のサブキーを車両に送信し、第２のサブキーは第１のキーを構築するために使用される。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０３の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ９０４：車両は、第１の暗号文を第１の車載デバイスに送信する。

このステップと、図２Ａに示されている実施形態のステップＳ２０４との違いは、本実施形態では、車両は、第１の車載デバイスが依存する車載デバイスの識別子を第１の車載デバイスに送信する必要がない場合があることにある。他の具体的な実施態様については、ステップＳ２０４を参照されたい。

第１の暗号文が暗号化された第２のメッセージ認証コードを含むとき、車両は、第４のキーを第１の車載デバイスにさらに送信する。

ステップＳ９０５：車両は、第２の暗号文を第２の車載デバイスに送信する。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０５の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ９０６：第２の車載デバイスは、第２のアップグレードファイルおよび第１のサブキーを取得するために第２の暗号文を復号化する。

このステップの具体的な実施態様については、図２Ｂに示されている実施形態のステップＳ２０７の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ９０７：第２の車載デバイスは、第２のアップグレードファイルに基づいてアップグレードを実行する。

ステップＳ９０８：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを車両に送信する。

ステップＳ９０９：車両は、第１のサブキーおよび第２のサブキーに基づいて第１のキーを復元する。

車両は、第１のサブキーおよび第２のサブキーを受信し、第１のサブキーおよび第２のサブキーに基づいて第１のキーを復元する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、車両は、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキー、第２のサブキー、および第３のサブキーの３つのサブキーに分割され、車両は、第３の車載デバイスによって送信される第３のサブキーをさらに受信する。第３の車載デバイスによって第３のサブキーを取得するための方法は、第２の車載デバイスによって第２のサブキーを取得するための方法と同じである。すなわち、第３の車載デバイスは、第３のアップグレードファイルおよび第３のサブキーを取得するために第３の暗号文を復号化する。第３の暗号文を取得するための方法は、第２の暗号文を取得するための方法と同じである。すなわち、第３の暗号文は、第３の情報を暗号化することによって取得され、第３の情報は、第３の車載デバイスの第３のアップグレードファイルと第３のサブキーとを少なくとも含む。すなわち、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、車両は、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ個のサブキーのうちの１つを別々に受信し、サーバから１つのサブキーを受信し、合計でＭ個のサブキーを受信し、Ｍ個のサブキーに基づいて第１のキーを復元する。

ステップＳ９１０：車両は、第１のキーを第１の車載デバイスに送信する。

ステップＳ９１１：第１の車載デバイスは、第１のキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のキーおよび第１の暗号文を受信する。第１の車載デバイスは、第１のアップグレードファイルを少なくとも取得するために、第１のキーを使用して第１の暗号文を復号化する。第１の暗号文が、暗号化された信頼キーコンテンツをさらに含む場合、第１の暗号文が復号化された後に、信頼キーコンテンツがさらに取得される。

第１の暗号文が暗号化された第２のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第４のキーを使用して、暗号化された第２のメッセージ認証コードをさらに復号化し、第２のメッセージ認証コードに基づいて、取得された第１のアップグレードファイルのファイルコンテンツの完全性または取得された第１のアップグレードファイルのファイルコンテンツおよび信頼キーコンテンツの完全性を検証する。検証が成功した場合、第１の車載デバイスは、第１のアップグレードファイルに基づいてアップグレードを実行し得る。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは複数のサブキーに分割され、１つのサブキーを除く複数のサブキーのうちの他のサブキーは、車載デバイスが依存する車載デバイスのアップグレードファイルを生成するために別々に使用され、これにより、他のサブキーは、車載デバイスが依存する車載デバイスが正常にアップグレードされた後に車両に送信され、車両は、依存車載デバイスのアップグレードを完了するために、キーの分割によって取得されたサブキーに基づいてキーを復元し、キーを依存車載デバイスに送信し得る。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。

加えて、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後、別のサブキーが車両に自動的に送信され、車両は、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされたかどうかを判定する必要がなく、その結果、車両の負荷が軽減される。

以下では、図１０Ａおよび図１０Ｂに示されている実施形態を参照して、さらに別の車載デバイスアップグレード方法について説明する。

図１０Ａおよび図１０Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図３である。本実施形態は、任意の依存デバイスのアップグレード方法に関する。本実施形態では、任意の依存デバイスは第１の車載デバイスと呼ばれる。図１０Ａおよび図１０Ｂを参照されたい。本実施形態による方法は、以下を含む。

ステップＳ１００１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、情報の第１の部分を暗号化することによって取得され、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される。

このステップの具体的な実施態様と、図２Ａに示されている実施形態のステップＳ２０１との違いは、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合に、第１のキーが、Ｍ個のサブキーの代わりにＭ－１個のサブキーに分割され、Ｍ－１個のサブキーが、第１の車載デバイスのアップグレードが依存するＭ－１個の他の車載デバイスのアップグレードファイルの暗号文を生成するためにそれぞれ使用されることにある。したがって、本実施形態では、サーバがキー管理ノードおよびアップグレード管理ノードを含む場合、キー管理ノードは、依存車載デバイスの暗号文を復号化するために使用されるキーを分割することによって取得される複数のサブキーのうちのいずれのサブキーも記憶せず、キー管理ノードは、独立した車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを記憶し得る。アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードをさらに含む場合、アップグレード管理ノードは、メッセージ認証コードを暗号化するために使用されるキーを記憶のためにキー管理ノードにさらに送信する。

言い換えれば、本実施形態とステップＳ２０１との違いは、第２の暗号文を生成するために使用される情報の第１の部分内の第１のサブキーが、第１のキーを分割することによって取得されるＭ－１個のサブキーのうちの１つであることにある。

このステップの他の具体的な実施態様は、図２Ａに示されている実施形態のステップＳ２０１と同じである。ここでは詳細は再び説明されない。

ステップＳ１００２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

サーバがアップグレード管理ノードおよびキー管理ノードを含む場合、アップグレード管理ノードは、第１の暗号文および第２の暗号文を車両に送信する。

本方法は、サーバが、独立した車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを車両に送信することをさらに含み得ることが理解されよう。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して、独立した車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを車両に送信する。

加えて、第１の暗号文が暗号化された第２のメッセージ認証コードを含むとき、本方法は、サーバが第４のキーを車両に送信することをさらに含む。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、アップグレード管理ノードは、第４のキーをキー管理ノードに送信し、キー管理ノードは、安全なチャネルを介して第４のキーを車両に送信する。言い換えれば、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードを含むとき、本方法は、サーバが、メッセージ認証コードを復号化するために使用されるキーを車両に送信することをさらに含む。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して、暗号化されたメッセージ認証コードを復号化するために使用されるキーを車両に送信する。

ステップＳ１００３：車両は、第１の暗号文を第１の車載デバイスに送信する。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０４の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１００４：車両は、第２の暗号文を第２の車載デバイスに送信する。

ステップＳ１００５：第２の車載デバイスは、第２のアップグレードファイルおよび第１のサブキーを取得するために第２の暗号文を復号化する。

このステップの具体的な実施態様については、図２Ｂに示されている実施形態のステップＳ２０７の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１００６：第２の車載デバイスは、第２のアップグレードファイルに基づいてアップグレードを実行する。

このステップの具体的な実施態様については、図２Ｂに示されている実施形態のステップＳ２０８の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１００７：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを第１の車載デバイスに送信する。

ステップＳ１００８：第１の車載デバイスは、第１のサブキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のサブキーおよび第１の暗号文を受信し、第１の車載デバイスは、第１のサブキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、第１の車載デバイスは、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキーおよび第２のサブキーの２つのサブキーに分割され、第１の車載デバイスは、第３の車載デバイスによって送信される第２のサブキーをさらに受信する。第３の車載デバイスによって第２のサブキーを取得するための方法は、第２の車載デバイスによって第１のサブキーを取得するための方法と同じである。言い換えれば、第３の車載デバイスは、第３のアップグレードファイルおよび第２のサブキーを取得するために第３の暗号文を復号化する。第３の暗号文を取得するための方法は、第２の暗号文を取得するための方法と同じである。言い換えれば、第３の暗号文は、第３の情報を暗号化することによって取得され、第３の情報は、第３のアップグレードファイルと第３の車載デバイスの第２のサブキーとを少なくとも含む。言い換えれば、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、第１の車載デバイスは、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ－１個のサブキーのうちの１つを別々に受信し、合計でＭ－１個のサブキーを受信する。

第１の暗号文を受信した後、第１の車載デバイスは、第１の暗号文に含まれる新しいファイルヘッダ内の、第１の車載デバイスが依存デバイスであることを示すタイプ識別子に基づいて、第１の車載デバイスが、アップグレードを実行するために、第１の車載デバイスが依存する各車載デバイスによって送信される、第１のキーを分割することによって取得される１つのサブキーを待つ必要があると判定する。

Ｍ－１個のサブキーを受信した後、第１の車載デバイスは、Ｍ－１個のサブキーに基づいて第１のキーを復元する。第１の暗号文は、第１のアップグレードファイルを取得するために、第１のキーを使用して復号化される。第１の暗号文が、暗号化された信頼キーコンテンツをさらに含む場合、第１の暗号文が復号化された後に、信頼キーコンテンツがさらに取得される。

第１の暗号文が暗号化された第２のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第４のキーを使用して、暗号化された第２のメッセージ認証コードをさらに復号化し、第２のメッセージ認証コードに基づいて、取得された第１のアップグレードファイルの完全性または取得された第１のアップグレードファイルおよび信頼キーコンテンツの完全性を検証する。検証が成功した場合、第１の車載デバイスは、第１のアップグレードファイルに基づいてアップグレードを実行し得る。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは少なくとも１つのサブキーに分割され、少なくとも１つのサブキーは、依存車載デバイスが依存する車載デバイスのアップグレードファイルを生成するために別々に使用され、これにより、少なくとも１つのサブキーのうちの１つは、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後に依存車載デバイスに送信され、依存車載デバイスは、アップグレードを完了するために、キーを分割することによって取得されたサブキーに基づいてキーを復元し得る。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。加えて、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後、少なくとも１つのサブキーのうちの１つが依存車載デバイスに自動的に送信され、車両は、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされたかどうかを判定する必要がなく、その結果、車両の負荷が軽減される。加えて、車両は、少なくとも１つのサブキーのサブキーを依存車載デバイスに送信する必要がなく、その結果、車両の消費電力がさらに削減される。加えて、サーバは、少なくとも１つのサブキーのサブキーを車両に送信する必要がなく、その結果、サーバの消費電力が削減される。

以下では、図１１Ａおよび図１１Ｂに示されている実施形態を参照して、さらに別の車載デバイスアップグレード方法について説明する。

図１１Ａおよび図１１Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図４である。本実施形態は、依存デバイスをアップグレードするための方法に関する。本実施形態では、任意の依存デバイスは第１の車載デバイスと呼ばれる。図１１Ａおよび図１１Ｂを参照されたい。本実施形態の方法は、以下のステップを含む。

ステップＳ１１０１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、情報の第１の部分を暗号化することによって取得され、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される。

このステップの具体的な実施態様については、ステップＳ１００１の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１１０２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

このステップの具体的な実施態様については、図１０Ａおよび図１０Ｂに示されている実施形態のステップＳ１００２の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１１０３：車両は、第１の暗号文を第１の車載デバイスに送信する。

このステップの具体的な実施態様については、図２Ａに示されている実施形態のステップＳ２０４の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１１０４：車両は、第２の暗号文を第２の車載デバイスに送信する。

ステップＳ１１０５：第２の車載デバイスは、第２のアップグレードファイルおよび第１のサブキーを取得するために第２の暗号文を復号化する。

このステップの具体的な実施態様については、図２Ｂに示されている実施形態のステップＳ２０７の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１１０６：第２の車載デバイスは、第２のアップグレードファイルに基づいてアップグレードを実行する。

ステップＳ１１０７：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを車両に送信する。

ステップＳ１１０８：車両は、第１のサブキーに基づいて第１のキーを復元する。

車両は、第１のサブキーを受信し、第１のサブキーに基づいて第１のキーを復元する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、車両は、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキーおよび第２のサブキーの２つのサブキーに分割され、車両は、第３の車載デバイスによって送信される第２のサブキーをさらに受信する。第３の車載デバイスによって第２のサブキーを取得するための方法は、第２の車載デバイスによって第１のサブキーを取得するための方法と同じである。言い換えれば、第３の車載デバイスは、第３のアップグレードファイルおよび第２のサブキーを取得するために第３の暗号文を復号化する。第３の暗号文を取得するための方法は、第２の暗号文を取得するための方法と同じである。言い換えれば、第３の暗号文は、第３の情報を暗号化することによって取得され、第３の情報は、第３のアップグレードファイルと第３の車載デバイスの第２のサブキーとを少なくとも含む。言い換えれば、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、車両は、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ－１個のサブキーのうちの１つを別々に受信し、合計でＭ－１個のサブキーを受信し、Ｍ－１個のサブキーに基づいて第１のキーを復元する。

ステップＳ１１０９：車両は、第１のキーを第１の車載デバイスに送信する。

ステップＳ１１１０：第１の車載デバイスは、第１のキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のキーおよび第１の暗号文を受信し、第１のキーおよび第１の暗号文に基づいてアップグレードを実行する。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは少なくとも１つのサブキーに分割され、少なくとも１つのサブキーは、依存車載デバイスが依存する車載デバイスのアップグレードファイルを生成するために別々に使用され、これにより、少なくとも１つのサブキーのうちの１つは、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後に車両に送信され、車両は、キーを分割することによって取得されたサブキーに基づいてキーを復元し、キーを依存車載デバイスに送信し得、これにより、車載デバイスはアップグレードを完了する。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。加えて、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後、依存車載デバイスは、少なくとも１つのサブキーのうちの１つを車両に自動的に送信し、車両は第１のキーを復元する。したがって、第１の車載デバイスは、第１のキーを復元する必要がなく、第１の車載デバイスの消費電力が削減される。加えて、サーバは、少なくとも１つのサブキーのサブキーを車両に送信する必要がなく、その結果、サーバの消費電力が削減される。

図２Ａから図１１Ｂに示されている実施形態の技術的解決策では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは複数のサブキーに分割され、複数のサブキーの全部または一部は、依存車載デバイスが依存する車載デバイスのアップグレードファイルの暗号文を生成するために使用される。別の解決策では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを分割することによって取得された複数のサブキーは、依存車載デバイスが依存する車載デバイスのアップグレードファイルの暗号文を生成するために使用される。以下では、図１２Ａ～図１３Ｂに示されている実施形態を使用して別の解決策について説明する。

図１２Ａおよび図１２Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図５である。本実施形態は、任意の依存車載デバイスのアップグレード方法に関する。本実施形態では、任意の依存車載デバイスは第１の車載デバイスと呼ばれる。図１２Ａおよび図１２Ｂを参照されたい。本実施形態の方法は、以下のステップを含む。

ステップＳ１２０１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、第２の車載デバイスの第２のアップグレードファイルを暗号化することによって取得される。

本実施形態では、第１の車載デバイスは依存デバイスであり、第２の車載デバイスは被依存デバイスであり、第１の車載デバイスのアップグレードは、少なくとも第２の車載デバイスのアップグレードの完了に依存する。車載デバイスのタイプは複数のサブタイプを含み得るため、第１の車載デバイスは被依存デバイスでもあり得、第２の車載デバイスは依存デバイスでもあり得ることが理解されよう。第１の車載デバイスおよび第２の車載デバイスは、車両上のアップグレードされるべき車載デバイスのうちの車載デバイスである。

本実施形態において第１の暗号文を生成するための方法および第２の暗号文を生成するための方法の両方は、図２Ａおよび図２Ｂに示されている実施形態において、第１の車載デバイスが、依存車載デバイスであるが被依存車載デバイスではないときに第１のアップグレードファイルの第１の暗号文を生成するための方法と同じである。第１の暗号文および第２の暗号文を生成することに加えて、サーバは、別の車載デバイスのアップグレードファイルの暗号文をさらに生成する。車両上のアップグレードされるべきすべての車載デバイスのアップグレードファイル生成方法は同じであることが理解されよう。サーバは、各車両上のアップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に基づいてアップグレードパッケージを生成し得る。

第１の暗号文を生成するプロセスにおいて、第１の車載デバイスのアップグレードがＭ－１個の車載デバイスのアップグレードの完了に依存する場合、サーバは、第１のキーをＭ個のサブキーに分割し、Ｍ個のサブキーのすべてがサーバに記憶される。第１の暗号文が暗号化されたメッセージ認証コードを含む場合、サーバは第４のキーをさらに記憶する。第１のキーの意味は、図２Ａおよび図２Ｂに示されている実施形態における第１のキーの意味と同じであり、第４のキーの意味は、図２Ａおよび図２Ｂに示されている実施形態における第４のキーの意味と同じである。

特定の実施態様では、サーバは、アップグレード管理ノードおよびキー管理ノードを含む。アップグレード管理ノードは、各アップグレードファイルの暗号文を生成し、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用される各キー、またはキーを分割することによって取得された複数のサブキーを記憶のためにキー管理ノードに送信するように構成される。アップグレードされるべき車載デバイスが依存デバイスでないとき、アップグレード管理ノードは、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを記憶のためにキー管理ノードに送信することが理解されよう。アップグレードされるべき車載デバイスが依存デバイスであるとき、アップグレード管理ノードは、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーを分割することによって取得された複数のサブキーを記憶のためにキー管理ノードに送信する。アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードを含むとき、アップグレード管理ノードは、暗号化されたメッセージ認証コードを復号化するために使用されるキーを記憶のためにキー管理ノードにさらに送信する。

一方法では、サーバは、アップグレードポリシーをさらに取得し得る。この場合、車両上のアップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に加えて、アップグレードパッケージは、アップグレードポリシーをさらに含む。アップグレードポリシーは、車両上のアップグレードされるべき車載デバイス間のアップグレード依存関係を含み、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを少なくとも示し得る。任意選択で、アップグレードポリシーは、車両上のアップグレードされるべき各車載デバイスのタイプおよび／またはアップグレードされるべき各車載デバイスのアップグレード順序をさらに含んでもよい。加えて、アップグレードパッケージの安全な送信を保証するために、サーバは、アップグレードパッケージのデジタル署名をさらに生成し得る。

ステップＳ１２０２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

サーバがアップグレード管理ノードおよびキー管理ノードを含む場合、アップグレード管理ノードは、第１の暗号文および第２の暗号文を車両に送信する。

一方法では、サーバは、アップグレードパッケージを車両に送信し、アップグレードパッケージは、第１の暗号文および第２の暗号文を含む。サーバがアップグレード管理ノードおよびキー管理ノードを含む場合、アップグレード管理ノードは、アップグレードパッケージを車両に送信し、アップグレードパッケージは、第１の暗号文および第２の暗号文を含む。

ステップＳ１２０３：サーバは、第１のキーを分割することによって取得された複数のサブキーを車両に送信する。

サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して、第１のキーを分割することによって取得された複数のサブキーを車両に送信する。加えて、キー管理ノードは、アップグレードされるべき別の車載デバイスのアップグレードファイルの暗号文を復号化するために使用される車両のキー、またはキーを分割することによって取得された複数のサブキーを車両にさらに送信する。

第１の暗号文が暗号化されたメッセージ認証コードを含む場合、キー管理ノードは、安全なチャネルを介して第４のキーを車両にさらに送信する。言い換えれば、アップグレードされるべき車載デバイスのアップグレードファイルの暗号文が暗号化されたメッセージ認証コードを含むとき、本方法は、サーバが、暗号化されたメッセージ認証コードを復号化するために使用されるキーを車両に送信することをさらに含む。サーバがアップグレード管理ノードおよびキー管理ノードを含むとき、キー管理ノードは、安全なチャネルを介して、暗号化されたメッセージ認証コードを復号化するために使用されるキーを車両に送信する。

ステップＳ１２０４：車両は、第１の暗号文を第１の車載デバイスに送信する。

車両が、アップグレードされるべき各車載デバイスのアップグレードファイルの暗号文に基づいてアップグレードパッケージを取得するとき、サーバによって送信されたアップグレードパッケージを受信した後、車両は、アップグレードパッケージのデジタル署名を使用してアップグレードパッケージを検証し得る。検証が成功した後、車両は、アップグレードパッケージ内の第１の暗号文を取得し、第１の暗号文を第１の車載デバイスに送信する。

第１の車載デバイスは依存デバイスであるため、第１の暗号文は、第１の車載デバイスが依存デバイスであることを示すタイプ識別子を含む。任意選択の方法では、車両は、アップグレードポリシーに含まれるアップグレード依存関係に基づいて、第１の車載デバイスが依存する各車載デバイスを取得し、第１の車載デバイスが依存する各車載デバイスの識別子を第１の車載デバイスに送信し得、これにより、第１の車載デバイスは、第１の車載デバイスのアップグレードが依存する車載デバイスを知る。第１の車載デバイスが依存する車載デバイスは、第２の車載デバイスを含む。

ステップＳ１２０５：車両は、第１のキーを分割することによって取得された複数のサブキーのうちの第２のサブキーを第１の車載デバイスに送信する。言い換えれば、第２のサブキーは、第１のキーを構築するために使用される。

車両は、第１のキーを分割することによって取得された複数のサブキーを受信し、第１のキーを分割することによって取得された複数のサブキーのうちの第２のサブキーを第１の車載デバイスに送信する。

車両がサーバから第４のキーを受信する場合、車両は、第４のキーを第１の車載デバイスにさらに送信する。

ステップＳ１２０６：車両は、第２の暗号文を第２の車載デバイスに送信する。

ステップＳ１２０７：車両は、第１のキーを分割することによって取得された複数のサブキーのうちの第１のサブキーを第２の車載デバイスに送信する。言い換えれば、第１のサブキーは、第１のキーを構築するために使用される。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、車両は、第１のキーを分割することによって取得された複数のサブキーのうちの１つを別の被依存車載デバイスにさらに別々に送信する。

例えば、第１の車載デバイスのアップグレードがＭ－１個の第２の車載デバイスのアップグレードの完了に依存する場合、第１のアップグレードファイルの第１のキーはＭ個のサブキーに分割され、車両は、第２のサブキー以外のＭ個のサブキーの各々をＭ－１個の第２の車載デバイスに送信し、Ｍ－１個の第２の車載デバイスはそれぞれ、Ｍ個のサブキーのうちの１つを受信する。

ステップＳ１２０８：第２の車載デバイスは、第２のアップグレードファイルを取得するために第２の暗号文を復号化する。

ステップＳ１２０９：第２の車載デバイスは、第２のアップグレードファイルに基づいてアップグレードを実行する。

ステップＳ１２１０：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを第１の車載デバイスに送信する。

第２の車載デバイスは、第１のサブキーを受信し、アップグレードが成功したと判定した後に第１のサブキーを第１の車載デバイスに送信する。

ステップＳ１２１１：第１の車載デバイスは、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のサブキー、第２のサブキー、および第１の暗号文を受信し、第１のサブキー、第２のサブキー、および第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、第１の車載デバイスは、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキー、第２のサブキー、および第３のサブキーの３つのサブキーに分割される。第１の車載デバイスは、第３の車載デバイスによって送信された第３のサブキーをさらに受信する。第３の車載デバイスによって第１の車載デバイスに送信される第３のサブキーは、車両によって第３の車載デバイスに送信される。言い換えれば、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、第１の車載デバイスは、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ個のサブキーのうちの１つを別々に受信し、車両から１つのサブキーを受信し、合計でＭ個のサブキーを受信する。

第１の暗号文を受信した後、第１の車載デバイスは、第１の暗号文に含まれる新しいファイルヘッダ内の、第１の車載デバイスが依存デバイスであることを示すタイプ識別子に基づいて、第１の車載デバイスが、アップグレードを実行するために、第１の車載デバイスが依存する各車載デバイスによって送信される、第１のキーを分割することによって取得される１つのサブキーを待つ必要があると判定する。

第１のサブキーおよび第２のサブキーを受信した後、第１の車載デバイスは、第１のサブキーおよび第２のサブキーに基づいて第１のキーを復元する、すなわち、受信されたＭ個のサブキーに基づいて第１のキーを復元する。第１の暗号文は、第１のアップグレードファイルを取得するために、第１のキーを使用して復号化される。第１の暗号文が暗号化された第２のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第４のキーを使用して、暗号化された第２のメッセージ認証コードをさらに復号化し、第２のメッセージ認証コードに基づいて、取得された第１のアップグレードファイルの完全性を検証する。検証が成功した場合、第１の車載デバイスは、第１のアップグレードファイルに基づいてアップグレードを実行し得る。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは複数のサブキーに分割され、１つのサブキーを除く複数のサブキーのうちの他のサブキーは、依存車載デバイスが依存する車載デバイスに別々に送信され、これにより、他のサブキーは、依存車載デバイスが依存する車載デバイスが正常にアップグレードされた後に依存車載デバイスに送信され、依存車載デバイスは、アップグレードを完了するために、キーを分割することによって取得されたサブキーに基づいてキーを復元し得る。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。加えて、本実施形態の方法によれば、アップグレードパッケージを生成するプロセスは単純であり、アップグレード効率は比較的高い。

図１３Ａおよび図１３Ｂは、本出願の一実施形態による車載デバイスアップグレード方法の相互作用図６である。本実施形態は、任意の依存デバイスのアップグレード方法に関する。本実施形態では、任意の依存デバイスは第１の車載デバイスと呼ばれる。図１３Ａおよび図１３Ｂを参照されたい。本実施形態の方法は、以下のステップを含む。

ステップＳ１３０１：サーバは、第１の暗号文および第２の暗号文を生成し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２の暗号文は、第２の車載デバイスの第２のアップグレードファイルを暗号化することによって取得される。

このステップの具体的な実施態様と図１２Ａに示されている実施形態のステップＳ１２０１の具体的な実施態様との違いは、第１の車載デバイスのアップグレードがＭ－１個の他の車載デバイスのアップグレードの完了に依存する場合に、第１の暗号文を復号化するために使用される第１のキーがＭ個のサブキーの代わりにＭ－１個のサブキーに分割されることにある。

このステップの他の具体的な実施態様は、図１２Ａに示されている実施形態のステップＳ１２０１と同じである。ここでは詳細は再び説明されない。

ステップＳ１３０２：サーバは、第１の暗号文および第２の暗号文を車両に送信する。

このステップの具体的な実施態様については、図１２Ａに示されている実施形態のステップＳ１２０２の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１３０３：サーバは、第１のキーを分割することによって取得された複数のサブキーを車両に送信する。

このステップの具体的な実施態様については、図１２Ａに示されている実施形態のステップＳ１２０３の説明を参照されたい。ここでは詳細は再び説明されない。

ステップＳ１３０４：車両は、第１の暗号文を第１の車載デバイスに送信する。

このステップの具体的な実施態様については、図１２Ａに示されている実施形態のステップＳ１２０４の説明を参照されたい。ここでは詳細は再び説明されない。

第１の暗号文が暗号化されたメッセージ認証コードをさらに含む場合、車両は、第４のキーを第１の車載デバイスにさらに送信する。

ステップＳ１３０５：車両は、第２の暗号文を第２の車載デバイスに送信する。

ステップＳ１３０６：車両は、第１のキーを分割することによって取得された複数のサブキーのうちの第１のサブキーを第２の車載デバイスに送信する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、車両は、第１のキーを分割することによって取得された複数のサブキーのうちの１つを別の被依存車載デバイスにさらに別々に送信する。

例えば、第１の車載デバイスのアップグレードがＭ－１個の第２の車載デバイスのアップグレードの完了に依存する場合、第１のアップグレードファイルの第１のキーはＭ－１個のサブキーに分割され、車両は、第２のサブキー以外のＭ－１個のサブキーの各々をＭ－１個の第２の車載デバイスに送信し、Ｍ－１個の第２の車載デバイスはそれぞれ、Ｍ－１個のサブキーのうちの１つを受信する。

ステップＳ１３０７：第２の車載デバイスは、第２のアップグレードファイルを取得するために第２の暗号文を復号化する。

ステップＳ１３０８：第２の車載デバイスは、アップグレードが成功したと判定した後に、第１のサブキーを第１の車載デバイスに送信する。

第２の車載デバイスは、第１のサブキーを受信し、アップグレードが成功したと判定した後に第１のサブキーを第１の車載デバイスに送信する。

ステップＳ１３０９：第１の車載デバイスは、第１のサブキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスは、第１のサブキーおよび第１の暗号文を受信し、第１のサブキーおよび第１の暗号文に基づいてアップグレードを実行する。

第１の車載デバイスのアップグレードが、第２の車載デバイス以外の別の被依存車載デバイスのアップグレードの完了にさらに依存する場合、第１の車載デバイスは、別の被依存車載デバイスによって送信される別のサブキーをさらに受信し、別のサブキーは、第１のキーを構築するために使用されることが理解されよう。例えば、第１の車載デバイスのアップグレードが、第２の車載デバイスおよび第３の車載デバイスのアップグレードの完了に依存する場合、第１のキーは、第１のサブキーおよび第２のサブキーの２つのサブキーに分割され、第１の車載デバイスは、第３の車載デバイスによって送信される第２のサブキーをさらに受信する。第３の車載デバイスによって第１の車載デバイスに送信される第２のサブキーは、車両によって第３の車載デバイスに送信される。言い換えれば、第１の車載デバイスのアップグレードがＭ－１個の被依存車載デバイスのアップグレードの完了に依存する場合、第１の車載デバイスは、Ｍ－１個の被依存車載デバイスから、第１のキーを分割することによって取得されたＭ－１個のサブキーのうちの１つを別々に受信し、合計でＭ－１個のサブキーを受信する。

第１の暗号文を受信した後、第１の車載デバイスは、第１の暗号文に含まれる新しいファイルヘッダ内の、第１の車載デバイスが依存デバイスであることを示すタイプ識別子に基づいて、第１の車載デバイスが、アップグレードを実行するために、第１の車載デバイスが依存する各車載デバイスによって送信される、第１のキーを分割することによって取得される１つのサブキーを待つ必要があると判定する。

第１のサブキーを受信した後、第１の車載デバイスは、第１のサブキーに基づいて第１のキーを復元する、すなわち、受信されたＭ－１個のサブキーに基づいて第１のキーを復元する。第１の暗号文は、第１のアップグレードファイルを取得するために、第１のキーを使用して復号化される。第１の暗号文が暗号化された第２のメッセージ認証コードをさらに含む場合、第１の車載デバイスは、第４のキーを使用して、暗号化された第２のメッセージ認証コードをさらに復号化し、第２のメッセージ認証コードに基づいて、取得された第１のアップグレードファイルの完全性を検証する。検証が成功した場合、第１の車載デバイスは、第１のアップグレードファイルに基づいてアップグレードを実行し得る。

本実施形態では、依存車載デバイスのアップグレードファイルの暗号文を復号化するために使用されるキーは少なくとも１つのサブキーに分割され、少なくとも１つのサブキーのサブキーは、車載デバイスのアップグレードが依存する車載デバイスに別々に送信され、これにより、依存車載デバイスが依存する各車載デバイスが正常にアップグレードされた後に、少なくとも１つのサブキーのうちの１つのサブキーは、依存車載デバイスに送信され、依存車載デバイスは、アップグレードを完了するために、キーを分割することによって取得された少なくとも１つのサブキーに基づいてキーを復元し得る。言い換えれば、本実施形態の方法によれば、依存車載デバイスが依存する車載デバイスのアップグレードが完了した後にのみ、依存車載デバイスがアップグレードされることが保証され、その結果、正しいアップグレード順序が保証され、各車載デバイスの正常な動作がさらに保証される。加えて、本実施形態の方法によれば、アップグレードパッケージを生成するプロセスは単純であり、アップグレード効率は比較的高い。

以上、車両上のアップグレードされるべき各車載デバイスの依存車載デバイスアップグレード方法について説明した。以下では、依存車載デバイスではない独立した車載デバイスのアップグレード方法について説明する。

独立した車載デバイスについては、受信されたアップグレードパッケージから独立した車載デバイスのアップグレードファイルを取得した後、車両は、独立した車載デバイスのアップグレードファイルを独立した車載デバイスに送信する。サーバから独立した車載デバイスのアップグレードファイルのキーを受信した後、車両は、独立したデバイスのアップグレードファイルのキーを独立した車載デバイスに送信し、これにより、独立した車載デバイスは、アップグレードファイルおよびキーに基づいてアップグレードを実行する。

独立した車載デバイスのうちの独立したデバイスに関して、車両は、独立したデバイスのアップグレードファイルおよびキーを独立したデバイスに１対１の方法で送信し得る。

独立した車載デバイスのうちの同種車載デバイスに関して、車両は、対応するアップグレードファイルを同種車載デバイスにブロードキャストする。車両は、対応するアップグレードファイルのキーを相互に同種の同種車載デバイスに１対１の方法で送信する。相互に同種の同種車載デバイスの中に、アップグレードに失敗した車載デバイスが存在する場合、ロールバックが実行されるか、またはアップグレードに失敗した車載デバイスが再びアップグレードされる。それでも車載デバイスがアップグレードに失敗した場合、ロールバックが実行される。

独立した車載デバイスのうちの相互に異種の異種車載デバイスの複数のグループに関して、車両は、異種車載デバイスのグループのアップグレードファイルおよびキーを異種車載デバイスの各グループに送信する。相互に異種の異種車載デバイスの複数のグループの中に、アップグレードに失敗した車載デバイスが存在する場合、ロールバックが実行されるか、またはアップグレードに失敗した車載デバイスが再びアップグレードされる。それでも車載デバイスがアップグレードに失敗した場合、ロールバックが実行される。異種車載デバイスの各グループは、１つ以上の車載デバイスを含む。異種車載デバイスのグループが複数の車載デバイスを含む場合、複数の車載デバイスは、互いに同種の同種デバイスである。

以上、本出願における車載デバイスアップグレード方法について説明した。以下では、本出願におけるアップグレード装置について説明する。

図１４は、本出願の一実施形態によるアップグレード装置の構造の概略図である。図１４に示されているように、アップグレード装置は、前述の第１の車載デバイスであってもよいし、前述の第１の車載デバイスの構成要素（例えば、集積回路またはチップ）であってもよい。あるいは、アップグレード装置は、前述の第２の車載デバイスであってもよいし、前述の第２の車載デバイスの構成要素（例えば、集積回路またはチップ）であってもよい。あるいは、アップグレード装置は、前述の車両であってもよいし、車両の構成要素（例えば、集積回路またはチップ）であってもよい。あるいは、アップグレード装置は、前述のサーバであってもよいし、サーバの構成要素（例えば、集積回路またはチップ）であってもよい。あるいは、アップグレード装置は、本出願の方法の実施形態の方法を実施するように構成された別の通信モジュールであってもよい。アップグレード装置１４００は、処理モジュール１４０２（処理ユニット）を含み得る。任意選択で、アップグレード装置１４００は、トランシーバモジュール１４０１（トランシーバユニット）および記憶モジュール１４０３（記憶ユニット）をさらに含んでもよい。

可能な設計では、図１４における１つ以上のモジュールは、１つ以上のプロセッサによって実施されてもよいし、１つ以上のプロセッサおよびメモリによって実施されてもよいし、１つ以上のプロセッサおよびトランシーバによって実施されてもよいし、１つ以上のプロセッサ、メモリ、およびトランシーバによって実施されてもよい。これは、本出願の実施形態では限定されない。プロセッサ、メモリ、およびトランシーバは、別々に配置されてもよいし、統合されてもよい。

アップグレード装置は、本出願の実施形態で説明されている第１の車載デバイスを実施する機能を有する。例えば、アップグレード装置は、本出願の実施形態で説明されている、第１の車載デバイスに関連するステップを第１の車載デバイスが実行するために使用される対応するモジュール、ユニット、または手段（ｍｅａｎｓ）を含む。機能、ユニット、または手段（ｍｅａｎｓ）は、ソフトウェアを使用して実施されてもよいし、対応するソフトウェアを実行するハードウェアによって実施されてもよいし、ソフトウェアとハードウェアとの組み合わせによって実施されてもよい。詳細については、前述の対応する方法の実施形態の対応する説明を参照されたい。

あるいは、アップグレード装置は、本出願の実施形態で説明されている第２の車載デバイスを実施する機能を有する。例えば、アップグレード装置は、本出願の実施形態で説明されている、第２の車載デバイスに関連するステップを第２の車載デバイスが実行するために使用される対応するモジュール、ユニット、または手段（ｍｅａｎｓ）を含む。機能、ユニット、または手段（ｍｅａｎｓ）は、ソフトウェアを使用して実施されてもよいし、対応するソフトウェアを実行するハードウェアによって実施されてもよいし、ソフトウェアとハードウェアとの組み合わせによって実施されてもよい。詳細については、前述の対応する方法の実施形態の対応する説明を参照されたい。

あるいは、アップグレード装置は、本出願の実施形態で説明されている車両を実施する機能を有する。例えば、アップグレード装置は、本出願の実施形態で説明されている、車両に関連するステップを車両が実行するために使用される対応するモジュール、ユニット、または手段（ｍｅａｎｓ）を含む。機能、ユニット、または手段（ｍｅａｎｓ）は、ソフトウェアまたはハードウェアによって実施されてもよいし、対応するソフトウェアを実行するハードウェアによって実施されてもよいし、ソフトウェアとハードウェアとの組み合わせによって実施されてもよい。詳細については、前述の対応する方法の実施形態の対応する説明を参照されたい。

あるいは、アップグレード装置は、本出願の実施形態で説明されているサーバを実施する機能を有する。例えば、アップグレード装置は、本出願の実施形態で説明されている、サーバに関連するステップをサーバが実行するために使用される対応するモジュール、ユニット、または手段（ｍｅａｎｓ）を含む。機能、ユニット、または手段（ｍｅａｎｓ）は、ソフトウェアまたはハードウェアによって実施されてもよいし、対応するソフトウェアを実行するハードウェアによって実施されてもよいし、ソフトウェアとハードウェアとの組み合わせによって実施されてもよい。詳細については、前述の対応する方法の実施形態の対応する説明を参照されたい。

任意選択で、本出願の本実施形態におけるアップグレード装置１４００内のモジュールは、本出願の方法の実施形態で説明された方法を実行するように構成されてもよい。

第１の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１および処理モジュール１４０２を含み得る。

処理モジュール１４０２は、アップグレード装置１４００が正常にアップグレードされたと判定するステップＳ２０９、ステップＳ１００７、ステップＳ１２１０、およびステップＳ１３０８を実行するように構成される。

トランシーバモジュール１４０１は、第１のサブキーを第１の車載デバイスに送信するステップＳ２０９、ステップＳ１００７、ステップＳ１２１０、およびステップＳ１３０８を実行し、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成される。

任意選択で、第１の車載デバイスのアップグレードは、アップグレード装置１４００のアップグレードの完了に依存する。

任意選択で、処理モジュール１４０２が、アップグレード装置１４００が正常にアップグレードされたと判定する前に、トランシーバモジュール１４０１は、第２の暗号文を受信するステップＳ２０７およびステップＳ１００５を実行し、第２の暗号文は、アップグレード装置の第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得される、ようにさらに構成され、処理モジュール１４０２は、第１のサブキーを取得するために、第２の暗号文を復号化するステップＳ２０７およびステップＳ１００５を実行するようにさらに構成される。

任意選択で、処理モジュール１４０２が、アップグレード装置１４００が正常にアップグレードされたと判定する前に、トランシーバモジュール１４０１は、第１のサブキーを受信するステップＳ１３０８およびステップＳ１２１０を実行するようにさらに構成される。

第２の車載デバイスは、復号化された第２のアップグレードファイルに従ってアップグレードのステップＳ２０８、ステップＳ１００６、ステップＳ１２０９、およびステップＳ１３０７をさらに実行する。

第１の可能な設計におけるアップグレード装置１４００は、図２Ａおよび図２Ｂ、図１０Ａおよび図１０Ｂ、図１２Ａおよび図１２Ｂ、または図１３Ａおよび図１３Ｂに示されている方法の実施形態における第２の車載デバイスまたは第２の車載デバイスの構成要素であり得る。

第２の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１および処理モジュール１４０２を含み得る。

トランシーバモジュール１４０１は、第１の暗号文、第１のサブキー、および第２のサブキーを受信するステップＳ２１０、ステップＳ１００８、ステップＳ１２１１、およびステップＳ１３０９を実行し、第１の暗号文は、アップグレード装置１４００の第１のアップグレードファイルを暗号化することによって取得され、第１のサブキーおよび第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される、ように構成される。

処理モジュール１４０２は、第１のサブキー、第２のサブキー、および第１の暗号文に従ってアップグレードのステップＳ２１０、ステップＳ１００８、ステップＳ１２１１、およびステップＳ１３０９を実行するように構成される。

任意選択で、トランシーバモジュール１４０１は、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信するステップＳ２１０およびステップＳ１２１１を実行し、第１のデバイスは第２の車載デバイスであり、第２のデバイスは、アップグレード装置が配置された車両である、ように特に構成される。

任意選択で、トランシーバモジュール１４０１は、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信するステップＳ１００８およびステップＳ１３０９を実行し、第１のデバイスは第２の車載デバイスであり、第２のデバイスは第３の車載デバイスである、ように特に構成される。

任意選択で、トランシーバモジュール１４０１は、第２の車載デバイスの識別子を受信するようにさらに構成されるか、またはトランシーバモジュールは、第２の車載デバイスの識別子および第３の車載デバイスの識別子を受信するようにさらに構成される。

第２の可能な設計におけるアップグレード装置１４００は、図２Ａおよび図２Ｂ、図１０Ａおよび図１０Ｂ、図１２Ａおよび図１２Ｂ、または図１３Ａおよび図１３Ｂに示されている方法の実施形態における第１の車載デバイスまたは第１の車載デバイスの構成要素であり得る。

第３の可能な設計では、アップグレード装置１４００はトランシーバモジュール１４０１を含み得る。

トランシーバモジュール１４０１は、第１の暗号文を第１の車載デバイスに送信するステップＳ２０４およびステップＳ１２０４を実行し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第２のサブキーを第１の車載デバイスに送信するステップＳ２０５およびステップＳ１２０５を実行し、第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される、ように構成される。

任意選択で、トランシーバモジュール１４０１は、第１のサブキーを第２の車載デバイスにさらに送信するためにステップＳ１２０７を実行し、第１のサブキーは、第１のキーを構築するために使用される、ようにさらに構成される。

任意選択で、トランシーバモジュールは、アップグレードポリシーを受信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

任意選択で、トランシーバモジュールは、アップグレードポリシーを車両に送信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

任意選択で、トランシーバモジュール１４０１は、第２の車載デバイスの識別子を第１の車載デバイスに送信するステップＳ２０４およびステップＳ１２０４を実行するようにさらに構成される。

任意選択で、トランシーバモジュール１４０１は、第２の暗号文を第２の車載デバイスに送信するステップＳ２０６およびステップＳ１２０６を実行するようにさらに構成される。

第３の可能な設計におけるアップグレード装置１４００は、図２Ａおよび図２Ｂ、または図１２Ａおよび図１２Ｂに示されている方法の実施形態における車両または車両の構成要素であり得る。

第４の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１を含み得る。

第１のアップグレードファイルを第１の車載デバイスに送信するステップＳ８０４を実行するように構成されたトランシーバモジュール１４０１であって、アップグレード装置１４００は、第１の車載デバイスが配置された装置である、トランシーバモジュール１４０１。

トランシーバモジュール１４０１は、第１のアップグレードファイルの第１のキーの各部分を各第２の車載デバイスに別々に送信するために、ステップＳ８０６を実行するようにさらに構成される。

トランシーバモジュール１４０１は、第１の暗号文を第１の車載デバイスに送信するステップＳ１３０４を実行し、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得され、第１のサブキーを第２の車載デバイスに送信するステップＳ１３０６を実行し、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用される、ように構成される。

任意選択で、トランシーバモジュールは、アップグレードポリシーを受信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

任意選択で、トランシーバモジュールは、アップグレードポリシーを車両に送信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

任意選択で、トランシーバモジュール１４０１は、第２の車載デバイスの識別子を第１の車載デバイスに送信するステップＳ１３０４を実行するようにさらに構成される。

任意選択で、トランシーバモジュール１４０１は、第２の暗号文を第２の車載デバイスに送信するステップＳ１３０５を実行するようにさらに構成される。

第４の可能な設計におけるアップグレード装置１４００は、図１３Ａおよび図１３Ｂに示されている方法の実施形態における車両または車両の構成要素であり得る。

第５の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１および処理モジュール１４０２を含み得る。

処理モジュール１４０２は、情報の第１の部分に基づいて第２の暗号文を生成するステップＳ２０１、ステップＳ９０１、ステップＳ１００１、およびステップＳ１１０１を実行し、情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成される。

トランシーバモジュール１４０１は、第２の暗号文を第２の車載デバイスに送信するステップＳ２０２、ステップＳ９０２、ステップＳ１００２、およびステップＳ１１０２を実行するように構成される。

任意選択で、情報の第１の部分は第１の車載デバイスの第１の識別子をさらに含み、第１の識別子は第１のサブキーに関連付けられる。

任意選択で、情報の第１の部分は指示情報をさらに含み、指示情報は依存車載デバイスの数を示し、依存車載デバイスのアップグレードは第２の車載デバイスのアップグレードの完了に依存し、依存デバイスは第１の車載デバイスを含む。

任意選択で、情報の第１の部分は、第２の車載デバイスのタイプ識別子をさらに含む。

任意選択で、トランシーバモジュール１４０１は、アップグレードポリシーを車両に送信し、アップグレードポリシーは、第１の車載デバイスのアップグレードが第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成される。

任意選択で、トランシーバモジュール１４０１は、第２のサブキーを車両に送信するステップＳ２０３およびステップＳ９０３を実行し、第２のサブキーは、第１のキーを構築するために使用される、ようにさらに構成される。

第５の可能な設計におけるアップグレード装置１４００は、図２Ａおよび図２Ｂ、図９Ａおよび図９Ｂ、図１０Ａおよび図１０Ｂ、または図１１Ａおよび図１１Ｂの方法の実施形態におけるサーバの構成要素であり得る。

第６の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１および処理モジュール１４０２を含み得る。

処理モジュール１４０２は、アップグレード装置１４００のアップグレードが成功したと判定するステップＳ９０８およびステップＳ１１０７を実行するように構成される。トランシーバモジュール１４０１は、第１のサブキーを車両に送信するステップＳ９０３を実行し、第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成される。

処理モジュール１４０２がアップグレード装置１４００が正常にアップグレードされたと判定する前に、トランシーバモジュール１４０１は、第２の暗号文を受信し、第２の暗号文は、アップグレード装置１４００の第２のアップグレードファイルおよび第１のサブキーを暗号化することによって取得される、ようにさらに構成され、処理モジュールは、第１のサブキーを取得するために第２の暗号文を復号化するようにさらに構成される。

第６の可能な設計におけるアップグレード装置１４００は、図９Ａおよび図９Ｂ、または図１１Ａおよび図１１Ｂに示されている方法の実施形態における第２の車載デバイスまたは第２の車載デバイスの構成要素であり得る。

第７の可能な設計では、アップグレード装置１４００は、トランシーバモジュール１４０１および処理モジュール１４０２を含み得る。

トランシーバモジュール１４０１は、第１のサブキーおよび第２のサブキーを受信するステップＳ９０９およびステップＳ１１０８を実行し、第１のサブキーおよび第２のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成される。処理モジュール１４０２は、第１のサブキーおよび第２のサブキーに基づいて第１のキーを構築するステップＳ９０９およびステップＳ１１０８を実行するように構成される。トランシーバモジュール１４０１は、第１のキーを第１の車載デバイスに送信するステップＳ９１０およびステップＳ１１０９を実行するようにさらに構成される。

可能な実施態様では、トランシーバモジュールは、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信するステップＳ９０９を実行し、第１のデバイスは第２の車載デバイスであり、第２のデバイスはサーバである、ように特に構成される。

可能な実施態様では、トランシーバモジュールは、第１のデバイスから第１のサブキーを受信し、第２のデバイスから第２のサブキーを受信するステップＳ１１０８を実行し、第１のデバイスは第２の車載デバイスであり、第２のデバイスは第３の車載デバイスである、ように特に構成される。

第７の可能な設計におけるアップグレード装置１４００は、図９Ａおよび図９Ｂ、または図１１Ａおよび図１１Ｂに示されている方法の実施形態における車両または車両の構成要素であり得る。

本実施形態の装置は、前述の方法の実施形態の技術的解決策を実行するように構成され得る。本装置の実施原理および技術的効果は、前述の方法の実施形態のものと同様である。ここでは詳細は再び説明されない。

図１５は、本出願の一実施形態による電子デバイスの実施態様の概略ブロック図である。本実施形態の電子デバイスは、前述の第１の車載デバイスであってもよいし、前述の第２の車載デバイスであってもよいし、前述の車両であってもよいし、前述のサーバであってもよい。電子デバイスは、前述の方法の実施形態で説明された第１の車載デバイス、第２の車載デバイス、車両、またはサーバに対応する方法を実施するように構成され得る。詳細については、前述の方法の実施形態の説明を参照されたい。

電子デバイスは、１つ以上のプロセッサ１５０１を含み得、プロセッサ１５０１は、処理ユニットと呼ばれる場合もあり、特定の制御機能を実施し得る。プロセッサ１５０１は、汎用プロセッサまたは専用プロセッサなどであり得る。

任意選択の設計では、プロセッサ１５０１はまた、命令および／またはデータ１５０３を記憶してもよく、命令および／またはデータ１５０３は、電子デバイスが前述の方法の実施形態で説明された方法を実行するように、プロセッサ上で実行されてもよい。

別の任意選択の設計では、プロセッサ１５０１は、送信機能および受信機能を実施するように構成されたトランシーバユニットを含んでもよい。例えば、トランシーバユニットは、トランシーバ回路、インターフェース、またはインターフェース回路であってもよい。送受信機能を実施するように構成されたトランシーバ回路、インターフェース、またはインターフェース回路は分離されてもよいし、統合されてもよい。トランシーバ回路、インターフェース、またはインターフェース回路は、コード／データを読み書きするように構成されてもよい。あるいは、トランシーバ回路、インターフェース、またはインターフェース回路は、信号を送信または転送するように構成されてもよい。

任意選択で、電子デバイスは、１つ以上のメモリ１５０２を含んでもよく、メモリ１５０２は、命令１５０４を記憶してもよい。命令は、電子デバイスが前述の方法の実施形態で説明された方法を実行するように、プロセッサ上で実行されてもよい。任意選択で、メモリはデータをさらに記憶してもよい。任意選択で、プロセッサはまた、命令および／またはデータを記憶してもよい。プロセッサとメモリとは別々に配置されてもよいし、一緒に統合されてもよい。例えば、前述の方法の実施形態で説明された対応関係は、メモリに記憶されてもよいし、プロセッサに記憶されてもよい。

任意選択で、電子デバイスは、トランシーバ１５０５および／またはアンテナ１５０６をさらに含んでもよい。プロセッサ１５０１は、電子デバイスを制御する処理ユニットと呼ばれ得る。トランシーバ１５０５は、トランシーバユニット、トランシーバデバイス、トランシーバ回路、またはトランシーバなどと呼ばれ得、送受信機能を実施するように構成される。

本実施形態で説明されているプロセッサおよびトランシーバは、相補型金属酸化膜半導体（ｃｏｍｐｌｅｍｅｎｔａｒｙ ｍｅｔａｌ ｏｘｉｄｅ ｓｅｍｉｃｏｎｄｕｃｔｏｒ、ＣＭＯＳ）、ｎ型金属酸化膜半導体（ｎＭｅｔａｌ－ｏｘｉｄｅ－ｓｅｍｉｃｏｎｄｕｃｔｏｒ、ＮＭＯＳ）、ｐ型金属酸化膜半導体（ｐｏｓｉｔｉｖｅ ｃｈａｎｎｅｌ ｍｅｔａｌ ｏｘｉｄｅ ｓｅｍｉｃｏｎｄｕｃｔｏｒ、ＰＭＯＳ）、バイポーラ接合トランジスタ（Ｂｉｐｏｌａｒ Ｊｕｎｃｔｉｏｎ Ｔｒａｎｓｉｓｔｏｒ、ＢＪＴ）、バイポーラＣＭＯＳ（ＢｉＣＭＯＳ）、シリコンゲルマニウム（ＳｉＧｅ）、およびガリウムヒ素（ＧａＡｓ）などの様々なＩＣプロセス技術を使用して製造され得る。

本出願の実施形態におけるプロセッサは、集積回路チップであってもよく、信号処理能力を有することを理解されたい。実施プロセスでは、前述の方法の実施形態におけるステップは、プロセッサ内のハードウェア集積論理回路を使用して、またはソフトウェアの形態の命令を使用して実施され得る。前述のプロセッサは、汎用プロセッサ、デジタル信号プロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ、ＦＰＧＡ）もしくは別のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタ論理デバイス、またはディスクリートハードウェア構成要素であり得る。

本出願の実施形態におけるメモリは、揮発性メモリもしくは不揮発性メモリであってもよいし、揮発性メモリと不揮発性メモリとの両方を含んでもよいことが理解されよう。不揮発性メモリは、読み出し専用メモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）、プログラマブル読み出し専用メモリ（ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ、ＰＲＯＭ）、消去可能プログラマブル読み出し専用メモリ（ｅｒａｓａｂｌｅ ＰＲＯＭ、ＥＰＲＯＭ）、電気的消去可能プログラマブル読み出し専用メモリ（ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ、ＥＥＰＲＯＭ）、またはフラッシュメモリであってもよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）であってもよい。限定的な説明ではなく例として、多くの形態のＲＡＭ、例えば、スタティックランダムアクセスメモリ（ｓｔａｔｉｃ ＲＡＭ、ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ｄｙｎａｍｉｃ ＲＡＭ、ＤＲＡＭ）、シンクロナス・ダイナミック・ランダム・アクセス・メモリ（ｓｙｎｃｈｒｏｎｏｕｓ ＤＲＡＭ、ＳＤＲＡＭ）、ダブル・データ・レート・シンクロナス・ダイナミック・ランダム・アクセス・メモリ（ｄｏｕｂｌｅ ｄａｔａ ｒａｔｅ ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ）、拡張シンクロナス・ダイナミック・ランダム・アクセス・メモリ（ｅｎｈａｎｃｅｄ ＳＤＲＡＭ、ＥＳＤＲＡＭ）、シンクリンク・ダイナミック・ランダム・アクセス・メモリ（ｓｙｎｃｈｌｉｎｋ ＤＲＡＭ、ＳＬＤＲＡＭ）、およびダイレクト・ラムバス・ランダム・アクセス・メモリ（ｄｉｒｅｃｔ ｒａｍｂｕｓ ＲＡＭ、ＤＲ ＲＡＭ）が使用されてもよい。本明細書で説明されたシステムおよび方法におけるメモリは、これらのメモリおよび別の適切なタイプの任意のメモリを含むが、これらに限定されないことを意図されていることに留意されたい。

本出願の本実施形態で説明されている電子デバイスの範囲は、これに限定されず、電子デバイスの構造は図１５において限定され得ない。本出願の本実施形態で説明されている電子デバイスは、独立したデバイスであってもよいし、より大きなデバイスの一部であってもよい。

図１６は、本出願の一実施形態による車載デバイスアップグレードシステムの構造の概略図である。図１６を参照されたい。車載デバイスのためのアップグレードシステムは、第１の車載デバイスと、少なくとも１つの第２の車載デバイスと、車両と、サーバとを含む。

一方法では、第１の車載デバイスは、図２Ａおよび図２Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図２Ａおよび図２Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図２Ａおよび図２Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図２Ａおよび図２Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

別の方法では、第１の車載デバイスは、図９Ａおよび図９Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図９Ａおよび図９Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図９Ａおよび図９Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図９Ａおよび図９Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

さらに別の方法では、第１の車載デバイスは、図１０Ａおよび図１０Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図１０Ａおよび図１０Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図１０Ａおよび図１０Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図１０Ａおよび図１０Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

さらに別の方法では、第１の車載デバイスは、図１１Ａおよび図１１Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図１１Ａおよび図１１Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図１１Ａおよび図１１Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図１１Ａおよび図１１Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

さらに別の方法では、第１の車載デバイスは、図１２Ａおよび図１２Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図１２Ａおよび図１２Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図１２Ａおよび図１２Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図１２Ａおよび図１２Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

さらに別の方法では、第１の車載デバイスは、図１３Ａおよび図１３Ｂに示されている実施形態における第１の車載デバイスに対応する方法を実施し得、第２の車載デバイスは、図１３Ａおよび図１３Ｂに示されている実施形態における第２の車載デバイスに対応する方法を実施するように構成され得、車両は、図１３Ａおよび図１３Ｂに示されている実施形態における車両に対応する方法を実施するように構成され得、サーバは、図１３Ａおよび図１３Ｂに示されている実施形態におけるサーバに対応する方法を実施し得る。

本実施形態におけるシステムは、前述の方法の実施形態のいずれか１つにおける技術的解決策を実行するように構成され得、本システムの実施原理および技術的効果は、前述の方法の実施形態におけるものと同様である。ここでは詳細は再び説明されない。

本出願は、コンピュータ可読媒体をさらに提供する。コンピュータ可読媒体は、コンピュータプログラムを記憶する。コンピュータプログラムがコンピュータによって実行されるとき、前述の方法の実施形態のいずれか１つにおける第１の車載デバイスの機能、第２の車載デバイスの機能、サーバの機能、または車両の機能が実施される。

本出願は、コンピュータプログラム製品をさらに提供する。コンピュータプログラム製品がコンピュータによって実行されるとき、前述の方法の実施形態のいずれか１つにおける第１の車載デバイスの機能、第２の車載デバイスの機能、サーバの機能、または車両の機能が実施される。

ソフトウェアが前述の実施形態を実施するために使用されるとき、前述の実施形態は、完全にまたは部分的にコンピュータプログラム製品の形態で実施されてもよい。コンピュータプログラム製品は、１つ以上のコンピュータ命令を含む。コンピュータ命令がコンピュータ上でロードされて実行されるとき、本出願の実施形態による手順または機能がすべてまたは部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または別のプログラマブル装置であってもよい。コンピュータ命令は、コンピュータ可読記憶媒体に記憶されてもよいし、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に送信されてもよい。例えば、コンピュータ命令は、有線（例えば、同軸ケーブル、光ファイバ、もしくはデジタル加入者回線（ｄｉｇｉｔａｌ ｓｕｂｓｃｒｉｂｅｒ ｌｉｎｅ，ＤＳＬ））方式またはワイヤレス（例えば、赤外線、無線、もしくはマイクロ波）方式で、あるウェブサイト、コンピュータ、サーバ、またはデータセンタから別のウェブサイト、コンピュータ、サーバ、またはデータセンタに送信されてもよい。コンピュータ可読記憶媒体は、コンピュータによってアクセス可能な任意の使用可能な媒体、または１つ以上の使用可能な媒体を組み込んだ、サーバもしくはデータセンタなどのデータ記憶デバイスであってもよい。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスクドライブ、もしくは磁気テープ）、光学媒体（例えば、高密度デジタルビデオディスク（ｄｉｇｉｔａｌ ｖｉｄｅｏ ｄｉｓｃ、ＤＶＤ））、または半導体媒体（例えば、ソリッドステートドライブ（ｓｏｌｉｄ－ｓｔａｔｅ ｄｉｓｋ、ＳＳＤ））などであってもよい。

本出願で提供されるいくつかの実施形態では、開示されたシステム、装置、および方法が他の方法で実施されてもよいことを理解されたい。例えば、前述の装置の実施形態は例にすぎない。例えば、ユニットの分割は、論理的な機能の分割にすぎず、実際の実施時には他の分割であってもよい。例えば、複数のユニットまたは構成要素は別のシステムに組み合わされても統合されてもよく、または一部の機能は無視されてもよいし、実行されなくてもよい。加えて、提示されたまたは述べられた相互結合または直接的な結合もしくは通信接続は、いくつかのインターフェースを使用して実施されてもよい。装置またはユニット間の間接的な結合または通信接続は、電気的な、機械的な、または別の形態で実施されてもよい。

別個の部分として説明されているユニットは、物理的に分離されていてもいなくてもよく、ユニットとして提示されている部分は物理ユニットであってもなくてもよいし、１つの位置に配置されてもよいし、複数のネットワークユニットに分散されてもよい。実施形態における解決策の目的を達成するために、実際の要件に基づいて、ユニットの一部または全部が選択されてもよい。

加えて、本出願の実施形態における機能ユニットは、１つの処理ユニットに統合されてもよいし、各ユニットは物理的に単独で存在してもよいし、２つ以上のユニットが１つのユニットに統合されてもよい。

機能が、ソフトウェア機能ユニットの形態で実施され、独立した製品として販売または使用されるとき、機能は、コンピュータ可読記憶媒体に記憶されてもよい。このような理解に基づいて、本質的に本出願の技術的解決策、現在の技術に寄与する部分、または技術的解決策の一部は、ソフトウェア製品の形態で実施されてもよい。コンピュータソフトウェア製品は、記憶媒体に記憶され、本出願の実施形態の方法のステップの全部または一部を実行するようにコンピュータデバイス（パーソナルコンピュータ、サーバ、またはネットワークデバイスなどであり得る）に命令するためのいくつかの命令を含む。

前述の説明は、本出願の特定の実施態様にすぎず、本出願の保護範囲はこれに限定されない。本出願に開示された技術的範囲内で当業者によって容易に考え出されるいかなる変形または置換も、本出願の保護範囲内にあるものとする。したがって、本出願の保護範囲は、特許請求の範囲の保護範囲に従うものとする。

本明細書の全体にわたって言及されている「実施形態」は、実施形態に関連する特定の特徴、構造、または特性が本出願の少なくとも１つの実施形態に含まれることを意味することを理解されたい。したがって、本明細書全体の実施形態は、必ずしも同じ実施形態を指さない。さらに、特定の特徴、構造、または特性は、任意の適切な方法で１つ以上の実施形態において組み合わされてもよい。前述のプロセスの連続番号は、本出願の様々な実施形態における実行順序を意味しないことを理解されたい。プロセスの実行順序は、プロセスの機能および内部論理に基づいて決定されるべきであり、本出願の実施形態の実施プロセスに対する限定として解釈されるべきではない。

本出願では、「とき」、「場合」、および「場合」はすべて、端末デバイスまたはサーバが、目的の場合に、対応する処理を実行し、時間的に限定されず、端末デバイスまたはサーバは、実施中に決定動作を実行する必要が必ずしもないことを意味し、これは、別の限定があることを意味しないことがさらに理解されるべきである。

本出願では、特に明記されない限り、単数形で表される要素は、「１つ以上」を表すことを意図されているが、「唯一」を表すことを意図されていない。本出願では、特に明記されない限り、「少なくとも１つ」は「１つ以上」を表すことを意図されており、「複数」は「２つ以上」を表すことを意図されている。

加えて、本明細書における用語「および／または」は、関連付けられた対象を説明するための関連付け関係のみを説明しており、３つの関係が存在し得ることを表す。例えば、Ａおよび／またはＢは、以下の３つのケース、すなわち、Ａのみが存在するケース、ＡとＢとの両方が存在するケース、およびＢのみが存在するケースを表し得る。Ａは単数であっても複数であってもよく、Ｂは単数であっても複数であってもよい。

記号「／」は通常、関連付けられた対象間の「または」関係を示す。

本明細書における「…のうちの少なくとも１つ」という用語は、列挙されたもののすべてまたは任意の組み合わせを示す。例えば、「Ａ、Ｂ、およびＣのうちの少なくとも１つ」は、以下の６つのケース、すなわち、Ａのみが存在するケース、Ｂのみが存在するケース、Ｃのみが存在するケース、ＡとＢとの両方が存在するケース、ＢとＣとの両方が存在するケース、ならびにＡ、Ｂ、およびＣが存在するケースを示し得る。Ａは単数であっても複数であってもよく、Ｂは単数であっても複数であってもよく、Ｃは単数であっても複数であってもよい。

本出願の実施形態では、「Ａに対応するＢ」は、ＢがＡに関連付けられ、ＢがＡに基づいて決定され得ることを示すことを理解されたい。しかしながら、Ａに基づいてＢを決定することは、ＢがＡのみに基づいて決定されることを意味しないことがさらに理解されるべきである。すなわち、Ｂはまた、Ａおよび／または他の情報に基づいて決定されてもよい。

前述の説明は、本発明の特定の実施態様にすぎず、本発明の保護範囲を限定することを意図されていない。本発明に開示されている技術的範囲内で当業者によって容易に考え出されるいかなる変形または置換も、本発明の保護範囲内にあるものとする。したがって、本発明の保護範囲は、特許請求の範囲の保護範囲に従うものとする。

１４００ アップグレード装置
１４０１ トランシーバモジュール
１４０２ 処理モジュール
１４０３ 記憶モジュール
１５０１ プロセッサ
１５０２ メモリ
１５０３ 命令および／またはデータ
１５０４ 命令
１５０５ トランシーバ
１５０６ アンテナ

Claims (34)

1. 第２の車載デバイスによって、前記第２の車載デバイスのアップグレードが成功したと判定するステップと、
   前記第２の車載デバイスによって、第１のサブキーを第１の車載デバイスに送信するステップであって、前記第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、前記第１の暗号文は、前記第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ステップと
   を含む車載デバイスアップグレード方法。
2. 第２の車載デバイスによって、前記第２の車載デバイスのアップグレードが成功したと判定する前記ステップの前に、前記方法は、
   前記第２の車載デバイスによって、第２の暗号文を受信するステップであって、前記第２の暗号文は、前記第２の車載デバイスの第２のアップグレードファイルおよび前記第１のサブキーを暗号化することによって取得される、ステップと、
   前記第２の車載デバイスによって、前記第１のサブキーを取得するために前記第２の暗号文を復号化するステップと
   をさらに含む、請求項１に記載の方法。
3. 第２の車載デバイスによって、前記第２の車載デバイスのアップグレードが成功したと判定する前記ステップの前に、前記方法は、
   前記第２の車載デバイスによって、前記第１のサブキーを受信するステップ
   をさらに含む、請求項１に記載の方法。
4. 第１の車載デバイスによって、第１の暗号文を受信するステップであって、前記第１の暗号文は、前記第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ステップと、
   前記第１の車載デバイスによって、第１のサブキーおよび第２のサブキーを受信するステップであって、前記第１のサブキーおよび前記第２のサブキーは、前記第１の暗号文を復号化するための第１のキーを構築するために使用される、ステップと、
   前記第１の車載デバイスによって、前記第１のサブキー、前記第２のサブキー、および前記第１の暗号文に基づいてアップグレードを実行するステップと
   を含む車載デバイスアップグレード方法。
5. 前記第１の車載デバイスによって、第１のサブキーおよび第２のサブキーを受信する前記ステップは、
   前記第１の車載デバイスによって、第１のデバイスから前記第１のサブキーを受信するステップと、
   前記第１の車載デバイスによって、第２のデバイスから前記第２のサブキーを受信するステップと
   を含み、
   前記第１のデバイスは、第２の車載デバイスであり、前記第２のデバイスは、前記第１の車載デバイスが配置された車両または第３の車載デバイスである、請求項４に記載の方法。
6. 前記第１の車載デバイスによって、前記第２の車載デバイスの識別子を受信するステップ、または
   前記第１の車載デバイスによって、前記第２の車載デバイスの識別子および前記第３の車載デバイスの識別子を受信するステップ
   をさらに含む、請求項５に記載の方法。
7. 車両によって、第１の暗号文を第１の車載デバイスに送信するステップであって、前記第１の暗号文は、前記第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ステップと、
   前記車両によって、第１のサブキーを前記第１の車載デバイスに送信するステップであって、前記第１のサブキーは、前記第１の暗号文を復号化するための第１のキーを構築するために使用される、ステップと
   を含む車載デバイスアップグレード方法。
8. 前記車両によって、第２のサブキーを第２の車載デバイスに送信するステップであって、前記第２のサブキーは、前記第１のキーを構築するために使用される、ステップ
   をさらに含む、請求項７に記載の方法。
9. 前記車両によって、アップグレードポリシーを受信するステップであって、前記アップグレードポリシーは、前記第１の車載デバイスのアップグレードが前記第２の車載デバイスのアップグレードの完了に依存することを示す、ステップ
   をさらに含む、請求項８に記載の方法。
10. 前記方法は、
    前記車両によって、前記第２の車載デバイスの識別子を前記第１の車載デバイスに送信するステップ
    をさらに含む、請求項８または９に記載の方法。
11. サーバによって、情報の第１の部分に基づいて第２の暗号文を生成するステップであって、前記情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、前記第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、前記第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ステップと、
    前記サーバによって、前記第２の暗号文を前記第２の車載デバイスに送信するステップと
    を含む車載デバイスアップグレード方法。
12. 前記情報の第１の部分は前記第１の車載デバイスの第１の識別子をさらに含み、前記第１の識別子は前記第１のサブキーに関連付けられる、請求項１１に記載の方法。
13. 前記情報の第１の部分は指示情報をさらに含み、前記指示情報は依存車載デバイスの数を示し、前記依存車載デバイスのアップグレードは、前記第２の車載デバイスのアップグレードの完了に依存し、前記依存デバイスは前記第１の車載デバイスを含む、請求項１１または１２に記載の方法。
14. 前記情報の第１の部分は前記第２の車載デバイスのタイプ識別子をさらに含む、請求項１１から１３のいずれか一項に記載の方法。
15. 前記サーバによって、第２のサブキーを車両に送信するステップであって、前記第２のサブキーは、前記第１のキーを構築するために使用される、ステップ
    をさらに含む、請求項１１から１４のいずれか一項に記載の方法。
16. 前記サーバによって、アップグレードポリシーを前記車両に送信するステップであって、前記アップグレードポリシーは、前記第１の車載デバイスのアップグレードが前記第２の車載デバイスのアップグレードの完了に依存することを示す、ステップ
    をさらに含む、請求項１１から１５のいずれか一項に記載の方法。
17. アップグレード装置であって、
    前記アップグレード装置が正常にアップグレードされたと判定するように構成された処理モジュールと、
    第１のサブキーを第１の車載デバイスに送信し、前記第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、前記第１の暗号文は、前記第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールと
    を備えるアップグレード装置。
18. 前記処理モジュールが、前記アップグレード装置が正常にアップグレードされたと判定する前に、
    前記トランシーバモジュールは、第２の暗号文を受信し、前記第２の暗号文は、前記アップグレード装置の第２のアップグレードファイルおよび前記第１のサブキーを暗号化することによって取得される、ようにさらに構成されており、
    前記処理モジュールは、前記第１のサブキーを取得するために前記第２の暗号文を復号化するようにさらに構成されている、請求項１７に記載の装置。
19. 前記処理モジュールが、前記アップグレード装置が正常にアップグレードされたと判定する前に、前記トランシーバモジュールは、前記第１のサブキーを受信するようにさらに構成されている、請求項１７に記載の装置。
20. アップグレード装置であって、
    第１の暗号文を受信し、前記第１の暗号文は、前記アップグレード装置の第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールであって、
    前記トランシーバモジュールは、第１のサブキーおよび第２のサブキーを受信し、前記第１のサブキーおよび前記第２のサブキーは、前記第１の暗号文を復号化するための第１のキーを構築するために使用される、ようにさらに構成されている、トランシーバモジュールと、
    前記第１のサブキー、前記第２のサブキー、および前記第１の暗号文に基づいてアップグレードを実行するように構成された処理モジュールと
    を備えるアップグレード装置。
21. 前記トランシーバモジュールは、
    第１のデバイスから前記第１のサブキーを受信し、
    第２のデバイスから前記第２のサブキーを受信し、
    前記第１のデバイスは第２の車載デバイスであり、前記第２のデバイスは、前記アップグレード装置が配置された車両または第３の車載デバイスである、
    ように特に構成されている、請求項２０に記載の装置。
22. 前記トランシーバモジュールは、前記第２の車載デバイスの識別子を受信するようにさらに構成されているか、または
    前記トランシーバモジュールは、前記第２の車載デバイスの識別子および前記第３の車載デバイスの識別子を受信するようにさらに構成されている、
    請求項２１に記載の装置。
23. アップグレード装置であって、
    第１の暗号文を第１の車載デバイスに送信し、前記第１の暗号文は、前記第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成されたトランシーバモジュールであって、
    前記トランシーバモジュールは、第１のサブキーを前記第１の車載デバイスに送信し、前記第１のサブキーは、前記第１の暗号文を復号化するための第１のキーを構築するために使用される、ようにさらに構成されている、トランシーバモジュール
    を備えるアップグレード装置。
24. 前記トランシーバモジュールは、第２のサブキーを第２の車載デバイスに送信し、前記第２のサブキーは、前記第１のキーを構築するために使用される、ようにさらに構成されている、請求項２３に記載の装置。
25. 前記トランシーバモジュールは、アップグレードポリシーを受信し、前記アップグレードポリシーは、前記第１の車載デバイスのアップグレードが前記第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成されている、請求項２４に記載の装置。
26. 前記トランシーバモジュールは、前記第２の車載デバイスの識別子を前記第１の車載デバイスに送信するようにさらに構成されている、請求項２４または２５に記載の装置。
27. アップグレード装置であって、
    情報の第１の部分に基づいて第２の暗号文を生成し、前記情報の第１の部分は、第２の車載デバイスの第２のアップグレードファイルおよび第１のサブキーを含み、前記第１のサブキーは、第１の暗号文を復号化するための第１のキーを構築するために使用され、前記第１の暗号文は、第１の車載デバイスの第１のアップグレードファイルを暗号化することによって取得される、ように構成された処理モジュールと、
    前記第２の暗号文を前記第２の車載デバイスに送信するように構成されたトランシーバモジュールと
    を備えるアップグレード装置。
28. 前記情報の第１の部分は前記第１の車載デバイスの第１の識別子をさらに含み、前記第１の識別子は前記第１のサブキーに関連付けられる、請求項２７に記載の装置。
29. 前記情報の第１の部分は指示情報をさらに含み、前記指示情報は依存車載デバイスの数を示し、前記依存車載デバイスのアップグレードは、前記第２の車載デバイスのアップグレードの完了に依存し、前記依存デバイスは前記第１の車載デバイスを含む、請求項２７または２８に記載の装置。
30. 前記情報の第１の部分は前記第２の車載デバイスのタイプ識別子をさらに含む、請求項２７から２９のいずれか一項に記載の装置。
31. 前記トランシーバモジュールは、第２のサブキーを車両に送信し、前記第２のサブキーは、前記第１のキーを構築するために使用される、ようにさらに構成されている、請求項２７から３０のいずれか一項に記載の装置。
32. 前記トランシーバモジュールは、アップグレードポリシーを前記車両に送信し、前記アップグレードポリシーは、前記第１の車載デバイスのアップグレードが前記第２の車載デバイスのアップグレードの完了に依存することを示す、ようにさらに構成されている、請求項２７から３１のいずれか一項に記載の装置。
33. アップグレードされるデバイスであって、
    少なくとも１つのプロセッサと、
    前記少なくとも１つのプロセッサと通信接続するメモリと
    を備え、
    前記メモリは、前記少なくとも１つのプロセッサによって実行され得る命令を記憶しており、前記命令は、前記少なくとも１つのプロセッサが、請求項１から３のいずれか一項に記載の方法、請求項４から６のいずれか一項に記載の方法、請求項７から１０のいずれか一項に記載の方法、または請求項１１から１６のいずれか一項に記載の方法を実行し得るように、前記少なくとも１つのプロセッサによって実行される、アップグレードされるデバイス。
34. コンピュータ命令を記憶する非一時的コンピュータ可読記憶媒体であって、前記コンピュータ命令は、前記コンピュータが請求項１から３のいずれか一項に記載の方法、請求項４から６のいずれか一項に記載の方法、請求項７から１０のいずれか一項に記載の方法、または請求項１１から１６のいずれか一項に記載の方法を実行することを可能にするために使用される、非一時的コンピュータ可読記憶媒体。

Images