JP7131498B2 - 演算装置およびデータ送信方法 - Google Patents

Description

演算装置、および、その演算装置が実行するデータ送信方法に関する。

特許文献１には、２つのプラットフォームを備えた車載装置が開示されている。ソフトウェアであるプラットフォームはオペレーティングシステムと呼ばれることも多い。

特開２０１４－１３９７７２号公報

複数のオペレーティングシステムを備える場合、車両情報などの重要な情報は、相対的にセキュリティレベルの高いオペレーティングシステム上で動作するアプリケーションソフトウェアが扱うようにすることが考えられる。相対的にセキュリティレベルが高いオペレーティングシステムを、説明の便宜上、高オペレーティングシステムとし、相対的にセキュリティレベルが低いオペレーティングシステムを、以下、便宜上、低オペレーティングシステムとする。

高オペレーティングシステムとしては、たとえば、ＡＧＬ、ＱＮＸ（登録商標）などを例示できる。低オペレーティングシステムとしては、ＡＮＤＲＯＩＤ（登録商標）などの汎用オペレーティングシステムを例示できる。

汎用オペレーティングシステム上で種々のアプリケーションソフトウェアが動作する。汎用オペレーティングシステム上で動作するアプリケーションソフトウェアとして、ディスプレイや入力装置など、ユーザインターフェースのうちのハードウェア部分（以下、ユーザインターフェース機構）を利用するものがある。

高オペレーティングシステム上で動作するアプリケーションソフトウェア（以下、高ＯＳ側アプリケーション）も、ユーザインターフェース機構を利用することがある。高ＯＳ側アプリケーションもユーザインターフェース機構を利用する場合、調停や表示態様の統一性を出すために、高ＯＳ側アプリケーションは直接的にはユーザインターフェース機構を制御せず、ユーザインターフェース機構へ送信するデータを、低オペレーティングシステム側に送信することが考えられる。そして、低オペレーティングシステム上で動作し、ユーザインターフェース機構を制御するユーザインターフェースアプリケーションを設ける。

ユーザインターフェースアプリケーションを低オペレーティングシステム側に設けることで、ユーザインターフェース機構を利用する、低オペレーティングシステム側のアプリケーションとの間で調停や表示態様の統一が容易になる。

しかし、低オペレーティングシステムは、高オペレーティングシステムよりもハッキングに弱い。高オペレーティングシステムから低オペレーティングシステムへデータを送信すると、低オペレーティングシステムがハッキングされることで、高オペレーティングシステム側のデータの流出する恐れが高くなる。

本開示は、この事情に基づいて成されたものであり、その目的とするところは、セキュリティレベルが高いオペレーティングシステム上で扱われるデータの流出を抑制することができる演算装置およびデータ送信方法を提供することにある。

上記目的は独立請求項に記載の特徴の組み合わせにより達成され、また、下位請求項は更なる有利な具体例を規定する。特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、開示した技術的範囲を限定するものではない。

上記目的を達成するための演算装置に係る１つの開示は、
相互にセキュリティレベルが異なる複数のオペレーティングシステムを実行する演算装置であって、
複数のオペレーティングシステムのうちの相対的にセキュリティレベルが低いオペレーティングシステムを低オペレーティングシステム（６２）とし、
複数のオペレーティングシステムのうち、低オペレーティングシステムよりもセキュリティレベルが高いオペレーティングシステムを高オペレーティングシステム（６１）としたとき、
高オペレーティングシステム上で動作するアプリケーションソフトウェアである少なくとも１つの高ＯＳ側アプリケーション（７０）と、
低オペレーティングシステム上で動作するアプリケーションソフトウェアであって、高ＯＳ側アプリケーションと通信する低ＯＳ側通信アプリケーション（８３）とを備え、
高ＯＳ側アプリケーションと低ＯＳ側通信アプリケーションとの間は、チップ内アプリケーション通信または有線通信によりデータ通信が行われ、
少なくとも１つの高ＯＳ側アプリケーションから低ＯＳ側通信アプリケーションへ送信されるデータは暗号化されており、
低ＯＳ側通信アプリケーションは、高ＯＳ側アプリケーションと通信し、暗号化されているデータを復号し、復号したデータに基づいて、ユーザインターフェース機構であるディスプレイ（２１）の表示内容を制御するアプリケーションを含み、
演算装置は、さらに、
低オペレーティングシステム上で動作するアプリケーション（８１）から入力されたデータに基づいて定まる表示内容をディスプレイに表示する、低オペレーティングシステム上で動作するユーザインターフェースアプリケーション（８２）を備える演算装置である。

この演算装置では、少なくとも１つの高ＯＳ側アプリケーションは、データを暗号化して低ＯＳ側通信アプリケーションに送信する。これにより、低オペレーティングシステムがハッキングされた場合に、高ＯＳ側アプリケーションが扱うデータが流出してしまうことが抑制される。

上記目的を達成するためのデータ送信方法に係る１つの開示は、上記演算装置が実行するデータ送信方法である。すなわち、そのデータ送信方法は、
相互にセキュリティレベルが異なる複数のオペレーティングシステムのうちの相対的にセキュリティレベルが低いオペレーティングシステムを低オペレーティングシステム（６２）とし、
複数のオペレーティングシステムのうち、低オペレーティングシステムよりもセキュリティレベルが高いオペレーティングシステムを高オペレーティングシステム（６１）としたとき、
高オペレーティングシステム上で動作するアプリケーションソフトウェアである少なくとも１つの高ＯＳ側アプリケーション（７０）から、低オペレーティングシステム上で動作するアプリケーションソフトウェアである低ＯＳ側通信アプリケーション（８３）へデータを送信するデータ送信方法であって、
低オペレーティングシステム上で動作するユーザインターフェースアプリケーション（８２）が、低オペレーティングシステム上で動作するアプリケーション（８１）から入力されたデータに基づいて定まる表示内容をディスプレイに表示し、
高ＯＳ側アプリケーションと低ＯＳ側通信アプリケーションとの間は、チップ内アプリケーション通信または有線通信によりデータ通信が行われ、
少なくとも１つの高ＯＳ側アプリケーションが低ＯＳ側通信アプリケーションへ送信する元データを生成し（Ｓ２）、
生成した元データを暗号化したデータを低ＯＳ側通信アプリケーションへ送信し（Ｓ４）、
低ＯＳ側通信アプリケーションは、暗号化されているデータを復号し、復号したデータに基づいて、ディスプレイ（２１）の表示内容を制御するデータ送信方法である。

車載システム１の全体構成を示す図である。 ＣＰＵ４１が実行するソフトウェアを示す図である。 ＯＳ間通信に関する処理を示すフローチャートである。

以下、実施形態を図面に基づいて説明する。図１に示す車載システム１は、車両Ｃに搭載されている。車載システム１は、ユーザインターフェース機構２０と、無線通信装置３０と、演算装置であるコンピュータ４０とを備えている。

ユーザインターフェース機構２０は、ユーザとコンピュータ４０との間の情報伝達を行う構成のうちのハードウェア構成を意味する。図１には、ユーザインターフェース機構２０として、ディスプレイ２１と入力装置２２を開示している。

ディスプレイ２１は、車両Ｃの車室において乗員が視認できる位置に配置されている。ディスプレイ２１は、種々の画像が表示可能である。ディスプレイ２１として、液晶ディスプレイや有機ＥＬディスプレイを用いることができる。

入力装置２２は、車両Ｃの乗員が種々の入力操作をする部分である。入力装置２２は、たとえば、ディスプレイ２１の表示面に重畳されたタッチパネル、メカニカルスイッチである。また、音声入力を行うためのマイクを入力装置２２として設けることもできる。無線通信装置３０は、車両Ｃの外部との間で無線通信を行う。無線通信装置３０は、たとえば、クラウドサーバと通信を行う。

コンピュータ４０は、ユーザインターフェース機構２０に接続されているとともに車内ＬＡＮバス５０に接続されている。コンピュータ４０は、車内ＬＡＮバス５０を介して、車両Ｃに搭載された種々の機器との間で信号の送受信が可能である。

コンピュータ４０が車内ＬＡＮバス５０を介して受信する信号としては、たとえば、ディスプレイ２１に画像として表示される車両計器類において現在の状態を示す信号がある。この信号には、たとえば、車速を示す信号、燃料残量を示す信号などが含まれる。他にも、入力装置２２の入力操作により要求された種々の車載機器の制御情報、無線通信装置３０が受信した車外の情報を、コンピュータ４０が取得できるようにしてもよい。なお、コンピュータ４０は、無線通信装置３０が受信した車外の情報を、車両Ｃに搭載されたＥＣＵを介して取得してもよい。

［コンピュータ４０の構成］
コンピュータ４０は、図１に示すように、プロセッサモジュール４１、ＲＡＭ４２、フラッシュメモリ４３、バスライン４４などを備えている。プロセッサモジュール４１は、複数のプロセッサコアを備える。

ＲＡＭ４２は、フラッシュメモリ４３から読み出された情報などを一時的に記憶する。フラッシュメモリ４３は不揮発性のメモリであり、プロセッサモジュール４１が実行する種々のソフトウェアを記憶している。

プロセッサモジュール４１は、図２に示すソフトウェアを実行する。したがって、フラッシュメモリ４３には図２に示す各ソフトウェアが記憶されている。なお、図２に示す種々のソフトウェアは、コンピュータ４０が他の不揮発性有形記憶媒体を備えている場合には、図２に示す種々のソフトウェアは、フラッシュメモリ４３以外の不揮発性有形記憶媒体に記憶されていてもよい。

図２は、コンピュータ４０が各ソフトウェアを実行する際のソフトウェア間の階層構造も概略的に示している。図２に示すように、プロセッサモジュール４１は、ハイパーバイザー６０、高オペレーティングシステム６１、汎用オペレーティングシステム６２、高ＯＳ側アプリケーション７０、低ＯＳ側アプリケーション８０を備えている。なお、アプリケーションは、アプリケーションソフトウェアともいう。

ハイパーバイザー６０は、コンピュータ４０に仮想化環境を作り出すソフトウェアである。ハイパーバイザー６０は具体的には、１つのコンピュータ４０にて、高オペレーティングシステム６１と汎用オペレーティングシステム６２が並列に動作可能な環境を作り出すソフトウェアである。高オペレーティングシステム６１は、汎用オペレーティングシステム６２に比べてセキュリティレベルが高いオペレーティングシステムである。

本実施形態では、プロセッサモジュール４１^--は、高オペレーティングシステム６１として、第１オペレーティングシステム６１ａと第２オペレーティングシステム６１ｂの２種類のオペレーティングシステムを実行する。第１オペレーティングシステム６１ａを実行するプロセッサコアと、第２オペレーティングシステム６１ｂを実行するプロセッサコアと、汎用オペレーティングシステム６２を実行するプロセッサコアは、互いに異なるプロセッサコアとすることができる。ただし、プロセッサモジュール４１が備える一部または全部のプロセッサコアを、複数のオペレーティングシステムを実行するプロセッサコアとして共用してもよい。なお、プロセッサモジュール４１が実行する高オペレーティングシステム６１は１種類のみでもよい。

第１オペレーティングシステム６１ａは、たとえば、リアルタイムオペレーティングシステムとすることができる。リアルタイムオペレーティングシステムは、リアルタイム処理を行うオペレーティングシステムである。リアルタイムオペレーティングシステムは、安定性に優れているという特徴を持つ。リアルタイムオペレーティングシステムは、たとえば、ＱＮＸである。

第２オペレーティングシステム６１ｂは、たとえば、ＡＧＬとすることができる。なお、第１オペレーティングシステム６１ａと第２オペレーティングシステム６１ｂとの間のセキュリティレベルはどちらが高くてもよい。

汎用オペレーティングシステム６２は、高オペレーティングシステム６１よりもセキュリティレベルが低いオペレーティングシステムである。汎用オペレーティングシステム６２は低オペレーティングシステムの一例である。汎用オペレーティングシステム６２は、たとえばＡＮＤＲＯＩＤである。

高ＯＳ側アプリケーション７０として、図２には、メータアプリケーション７１、クラウド通信アプリケーション７２、車両内通信アプリケーション７３、暗号化アプリケーション７４が示されている。

これらのうち、メータアプリケーション７１は、第１オペレーティングシステム６１ａ上で動作する。一方、クラウド通信アプリケーション７２、車両内通信アプリケーション７３、暗号化アプリケーション７４は、第２オペレーティングシステム６１ｂ上で動作する。

メータアプリケーション７１は、ディスプレイ２１に表示される車両計器類の画像を決定するための情報である車速等を決定する。メータアプリケーション７１は、決定した車速等を示すデータを、ユーザインターフェースアプリケーション（以下、ＵＩアプリケーション）８３に送信する。

クラウド通信アプリケーション７２は、無線通信装置３０を制御して、クラウドサーバとの間でデータの送受信を行う。クラウド通信アプリケーション７２がクラウドサーバから取得することができるデータには、車両Ｃに関する種々の情報または車両Ｃの乗員に関する種々の情報の少なくとも一方が含まれることがある。クラウド通信アプリケーション７２は、クラウドサーバから取得した情報を、ＵＩアプリケーション８３に提供できる情報に変換する。そして、変換後の情報を、暗号化アプリケーション７４を介してＵＩアプリケーション８３に送る。

車両内通信アプリケーション７３は、ＵＩアプリケーション８３からの指示に従い、車両Ｃに搭載された種々のＥＣＵ等と通信を行って種々の車両内情報を取得する。そして、車両内通信アプリケーション７３は、取得した車両内情報をＵＩアプリケーション８３が理解可能な形式に変更する。ＵＩアプリケーション８３は、形式を変更した後のデータを、暗号化アプリケーション７４を介してＵＩアプリケーション８３に送る。

暗号化アプリケーション７４は、クラウド通信アプリケーション７２、車両内通信アプリケーション７３から供給されたデータを暗号化して、ＵＩアプリケーション８３に送信する。暗号化アプリケーション７４から見た場合、クラウド通信アプリケーション７２、車両内通信アプリケーション７３は、ＵＩアプリケーション８３に送信する元データを作成する元データ作成アプリケーションである。

暗号化アプリケーション７４とＵＩアプリケーション８３との間の通信方式に特に制限はない。共有メモリ方式、ソケット通信など、種々の通信方式を用いて暗号化アプリケーション７４とＵＩアプリケーション８３は通信することができる。

暗号化アプリケーション７４とＵＩアプリケーション８３は、ともに、同じプロセッサモジュール４１が実行する。したがって、通信方式によらず、暗号化アプリケーション７４とＵＩアプリケーション８３との間の通信はチップ内アプリケーション通信である。チップ内アプリケーション通信は、１つのチップが備える１つまたは複数のプロセッサが実行するアプリケーション間の通信を意味する。また、暗号化の方式は特に制限はない。たとえば、ＳＳＨにより、暗号化アプリケーション７４とＵＩアプリケーション８３は通信することができる。

低ＯＳ側アプリケーション８０は、マルチメディアアプリケーション８１、ＵＩアプリケーション８２、８３を備える。図２には、１つのマルチメディアアプリケーション８１を示しているが、マルチメディアアプリケーション８１の数は複数でもよい。マルチメディアアプリケーション８１は、具体的には、ナビゲーションアプリケーション、オーディオアプリケーションなどである。

マルチメディアアプリケーション８１は、ＵＩアプリケーション８２に種々のデータを送信する。また、ＵＩアプリケーション８２からの指示に応じた処理を実行する。たとえば、マルチメディアアプリケーション８１がナビゲーションアプリケーションである場合には、ＵＩアプリケーション８２から、経路探索の指示などが入力される。ＵＩアプリケーション８２は、経路探索の指示などを入力装置２２から取得する。経路探索の指示が入力された場合には、ナビゲーションアプリケーションは、経路探索処理を実行する。経路探索処理を実行したことにより探索された経路を示すデータは、ＵＩアプリケーション８２に送信される。なお、マルチメディアアプリケーション８１とＵＩアプリケーション８２との間の通信は暗号化されていない。

ＵＩアプリケーション８２は、マルチメディアアプリケーション８１とユーザとの間のインターフェースのうちのソフトウェア部分である。マルチメディアアプリケーション８１とユーザとの間のインターフェースのうちのハードウェア部分はユーザインターフェース機構２０である。

ＵＩアプリケーション８２は、入力装置２２から入力された信号に基づいて定まる指示を、マルチメディアアプリケーション８１に出力する。また、ＵＩアプリケーション８２は、マルチメディアアプリケーション８１から入力されたデータに基づいてディスプレイ２１に表示する表示内容を決定し、その表示内容をディスプレイ２１に表示する。

ＵＩアプリケーション８３は、低ＯＳ側通信アプリケーションに相当しており、高ＯＳ側アプリケーション７０とユーザとの間のインターフェースのうちのソフトウェア部分である。ＵＩアプリケーション８３は、入力装置２２から入力された信号が高ＯＳ側アプリケーション７０に対する指示である場合には、その指示を、指示内容に基づいて定まる高ＯＳ側アプリケーション７０に送信する。

また、ＵＩアプリケーション８３は、暗号化アプリケーション７４からデータが送信されてきた場合には、そのデータを復号し、復号したデータに基づいて定まる処理を実行する。たとえば、復号したデータが車速を示す場合には、ディスプレイ２１に表示している車速を、新たに取得した車速を表すように変更する。

また、ＵＩアプリケーション８３は、入力装置２２から、クラウドサーバに保存されているデータ取得要求があった場合には、クラウドサーバからデータを取得する指示を、クラウド通信アプリケーション７２に送信する。クラウド通信アプリケーション７２はこの指示を受けると、指示に基づいて定まるデータを、クラウドサーバから取得する。そして、そのデータを、暗号化アプリケーション７４を介してＵＩアプリケーション８３に送信する。ＵＩアプリケーション８３は、このデータを復号して、ユーザインターフェース機構２０に出力する。

［ＯＳ間通信に関する処理］
図３に、ＯＳ間でデータを通信する際の処理の一例をフローチャートにして示す。図３によりデータ送信方法が説明されている。ステップ（以下、ステップを省略）Ｓ１～Ｓ３は、クラウド通信アプリケーション７２、車両内通信アプリケーション７３のいずれかが実行する。Ｓ４、Ｓ５は、暗号化アプリケーション７４が実行する。Ｓ６～Ｓ８はＵＩアプリケーション８３が実行する。

Ｓ１ではトリガ信号を取得する。トリガ信号は、クラウド通信アプリケーション７２であれば、たとえば、クラウドサーバに記憶された情報を取得する指示信号である。車両内通信アプリケーション７３であれば、トリガ信号は、たとえば車載機器の設定状態を示す信号である。

Ｓ２では、Ｓ１で取得したトリガ信号により定まる元データを生成する。元データは、ＵＩアプリケーション８３へ送信するデータであって、暗号化前のデータである。Ｓ３では、Ｓ２で生成した元データを暗号化アプリケーション７４へ送る。Ｓ４において、暗号化アプリケーション７４は元データを暗号化する。そして、Ｓ５において、暗号したデータをＵＩアプリケーション８３に送信する。

Ｓ６において、ＵＩアプリケーション８３は、暗号化アプリケーション７４が送信したデータを受信する。Ｓ７において、ＵＩアプリケーション８３は、受信したデータを復号する。Ｓ８では、Ｓ７で復号したデータにより定まる処理を実行する。

［実施形態のまとめ］
以上、説明した本実施形態の車載システム１では、高オペレーティングシステム６１と汎用オペレーティングシステム６２は、同じプロセッサモジュール４１で動作する。同じプロセッサモジュール４１上で動作する複数のオペレーティングシステム間でデータを送受信する場合、通常、データは暗号化されずに送受信される。しかし、高オペレーティングシステム６１のセキュリティレベルが高くても、汎用オペレーティングシステム６２がハッキングされることで、高オペレーティングシステム６１側で動作するアプリケーションが扱うデータが流出する恐れや改ざんされる恐れがある。

そこで、本実施形態の車載システム１では、高ＯＳ側アプリケーション７０は、データを暗号化して汎用オペレーティングシステム６２側に送信する。これにより、汎用オペレーティングシステム６２がハッキングされた場合に、高ＯＳ側アプリケーション７０が扱うデータが流出したり改ざんされたりしてしまうことが抑制される。

また、本実施形態では、高ＯＳ側アプリケーション７０と通信し、ユーザインターフェース機構２０を制御するＵＩアプリケーション８３を、汎用オペレーティングシステム６２上で動作するアプリケーションとしている。これにより、高ＯＳ側アプリケーション７０と低ＯＳ側アプリケーション８０との間で調停や表示態様の統一性を維持することができる。しかも、クラウド通信アプリケーション７２と車両内通信アプリケーション７３からＵＩアプリケーション８３へ送信するデータは暗号化されている。よって、クラウド通信アプリケーション７２と車両内通信アプリケーション７３からＵＩアプリケーション８３へデータを送信することにより、そのデータが流出したり、改ざんされたりしてしまうことも抑制される。

また、本実施形態では、高ＯＳ側アプリケーション７０としてクラウド通信アプリケーション７２を備えている。クラウド通信アプリケーション７２は、クラウドサーバから車両Ｃに関する種々の情報または車両Ｃの乗員に関する種々の情報の少なくとも一方を取得し、取得した情報をＵＩアプリケーション８３に提供することができる。車両Ｃに関する種々の情報または車両Ｃの乗員に関する種々の情報が流出したり改ざんされたりしてしまうと、車両の走行に支障をきたす以上の問題が生じる恐れもある。しかし、本実施形態では、クラウド通信アプリケーション７２がＵＩアプリケーション８３に送信するデータも暗号化される。よって、車両Ｃに関する種々の情報または車両Ｃの乗員に関する種々の情報が流出したり改ざんされたりしてしまうことが抑制される。

また、本実施形態では、暗号化アプリケーション７４が、クラウド通信アプリケーション７２、車両内通信アプリケーション７３からデータを取得して、取得したデータを暗号化する。そして、暗号化したデータをＵＩアプリケーション８３へ送信する。このようにすることで、複数の高ＯＳ側アプリケーション７０が個別にデータを暗号化するよりも、高ＯＳ側アプリケーション７０全体のプログラムを小さくできる。

以上、実施形態を説明したが、開示した技術は上述の実施形態に限定されるものではなく、次の変形例も開示した範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施できる。なお、以下の説明において、それまでに使用した符号と同一番号の符号を有する要素は、特に言及する場合を除き、それ以前の実施形態における同一符号の要素と同一である。また、構成の一部のみを説明している場合、構成の他の部分については先に説明した実施形態を適用できる。

＜変形例１＞
たとえば、実施形態では、１つのコンピュータ４０が備える１つのプロセッサモジュール４１が、高オペレーティングシステム６１と汎用オペレーティングシステム６２を並列に実行していた。しかし、これに限られず、１つのコンピュータが複数のプロセッサモジュールを備え、高オペレーティングシステム６１を実行するプロセッサモジュールと汎用オペレーティングシステム６２を実行するプロセッサモジュールが異なっていてもよい。

また、複数のコンピュータを備え、各コンピュータが有線接続されており、高オペレーティングシステム６１を実行するコンピュータと、汎用オペレーティングシステム６２を実行するコンピュータが別のコンピュータになっていてもよい。この場合、高ＯＳ側アプリケーション７０と低ＯＳ側通信アプリケーションであるＵＩアプリケーション８３との間は、有線通信によりデータ通信が行われる。

＜変形例２＞
実施形態では、クラウド通信アプリケーション７２、車両内通信アプリケーション７３が作成したデータを暗号化する暗号化アプリケーション７４を備えていた。しかし、クラウド通信アプリケーション７２、車両内通信アプリケーション７３がそれぞれ、データを暗号化してＵＩアプリケーション８３に送信してもよい。

＜変形例３＞
実施形態では、低ＯＳ側通信アプリケーションとして、ユーザインターフェース機構２０を制御するＵＩアプリケーション８３を備えていた。しかし、低ＯＳ側通信アプリケーションは、高ＯＳ側アプリケーション７０と通信する機能を備えていればよく、ユーザインターフェース機構２０を制御する機能以外の機能を備えたアプリケーションでもよい。

＜変形例４＞
実施形態では、高ＯＳ側アプリケーション７０からＵＩアプリケーション８３へ送信するデータが暗号化されていた。これに加えて、ＵＩアプリケーション８３から高ＯＳ側アプリケーション７０へ送信するデータが暗号化されていてもよい。

＜変形例５＞
実施形態では、メータアプリケーション７１は、データを暗号化せずに、ＵＩアプリケーション８３に送信していた。しかし、メータアプリケーション７１もデータを暗号化してＵＩアプリケーション８３に送信してもよい。この場合、メータアプリケーション７１がデータを暗号化すればよい。あるいは、第１オペレーティングシステム６１ａ上で動作する暗号化アプリケーションを設けてもよい。

１：車載システム ２０：ユーザインターフェース機構 ２１：ディスプレイ ２２：入力装置 ３０：無線通信装置 ４０：コンピュータ（演算装置） ４１：プロセッサモジュール ４２：ＲＡＭ ４３：フラッシュメモリ ４４：バスライン ５０：車内ＬＡＮバス ６０：ハイパーバイザー ６１：高オペレーティングシステム ６１ａ：第１オペレーティングシステム ６１ｂ：第２オペレーティングシステム ６２：汎用オペレーティングシステム（低オペレーティングシステム） ７０：高ＯＳ側アプリケーション ７１：メータアプリケーション ７２：クラウド通信アプリケーション ７３：車両内通信アプリケーション ７４：暗号化アプリケーション ８０：低ＯＳ側アプリケーション ８１：マルチメディアアプリケーション ８２：ＵＩアプリケーション ８３：ＵＩアプリケーション（低ＯＳ側通信アプリケーション） Ｃ：車両

Claims (6)

1. 相互にセキュリティレベルが異なる複数のオペレーティングシステムを実行する演算装置であって、
   複数の前記オペレーティングシステムのうちの相対的にセキュリティレベルが低いオペレーティングシステムを低オペレーティングシステム（６２）とし、
   複数の前記オペレーティングシステムのうち、前記低オペレーティングシステムよりもセキュリティレベルが高いオペレーティングシステムを高オペレーティングシステム（６１）としたとき、
   前記高オペレーティングシステム上で動作するアプリケーションソフトウェアである少なくとも１つの高ＯＳ側アプリケーション（７０）と、
   前記低オペレーティングシステム上で動作するアプリケーションソフトウェアであって、前記高ＯＳ側アプリケーションと通信する低ＯＳ側通信アプリケーション（８３）とを備え、
   前記高ＯＳ側アプリケーションと前記低ＯＳ側通信アプリケーションとの間は、チップ内アプリケーション通信または有線通信によりデータ通信が行われ、
   少なくとも１つの前記高ＯＳ側アプリケーションから前記低ＯＳ側通信アプリケーションへ送信されるデータは暗号化されており、
   前記低ＯＳ側通信アプリケーションは、前記高ＯＳ側アプリケーションと通信し、暗号化されているデータを復号し、復号したデータに基づいて、ユーザインターフェース機構であるディスプレイ（２１）の表示内容を制御するアプリケーションを含み、
   前記演算装置は、さらに、
   前記低オペレーティングシステム上で動作するアプリケーション（８１）から入力されたデータに基づいて定まる表示内容を前記ディスプレイに表示する、前記低オペレーティングシステム上で動作するユーザインターフェースアプリケーション（８２）を備える演算装置。
2. コンピュータ（４０）を備え、
   前記高オペレーティングシステムおよび前記低オペレーティングシステムは、前記コンピュータが並列に実行する、請求項１に記載の演算装置。
3. 前記コンピュータは少なくとも１つのプロセッサ（４１）を備え、
   前記高オペレーティングシステムおよび前記低オペレーティングシステムは、同じ前記プロセッサが実行する、請求項２に記載の演算装置。
4. 前記演算装置は車両（Ｃ）で使用され、
   前記高ＯＳ側アプリケーションは、前記車両に関する情報または前記車両の乗員に関する情報の少なくとも一方を示すデータを、前記低ＯＳ側通信アプリケーションを介して前記ユーザインターフェース機構へ送信する、請求項１～３のいずれか１項に記載の演算装置。
5. 前記高ＯＳ側アプリケーションとして、
   前記低ＯＳ側通信アプリケーションへ送信する元データを作成する複数の元データ作成アプリケーション（７２、７３）と、
   複数の前記元データ作成アプリケーションから前記元データを取得して、取得した元データを暗号化したデータを、前記低ＯＳ側通信アプリケーションへ送信する暗号化アプリケーション（７４）とを備える、請求項１～４のいずれか１項に記載の演算装置。
6. 相互にセキュリティレベルが異なる複数のオペレーティングシステムのうちの相対的にセキュリティレベルが低いオペレーティングシステムを低オペレーティングシステム（６２）とし、
   複数の前記オペレーティングシステムのうち、前記低オペレーティングシステムよりもセキュリティレベルが高いオペレーティングシステムを高オペレーティングシステム（６１）としたとき、
   前記高オペレーティングシステム上で動作するアプリケーションソフトウェアである少なくとも１つの高ＯＳ側アプリケーション（７０）から、前記低オペレーティングシステム上で動作するアプリケーションソフトウェアである低ＯＳ側通信アプリケーション（８３）へデータを送信するデータ送信方法であって、
   前記低オペレーティングシステム上で動作するユーザインターフェースアプリケーション（８２）が、前記低オペレーティングシステム上で動作するアプリケーション（８１）から入力されたデータに基づいて定まる表示内容をディスプレイに表示し、
   前記高ＯＳ側アプリケーションと前記低ＯＳ側通信アプリケーションとの間は、チップ内アプリケーション通信または有線通信によりデータ通信が行われ、
   少なくとも１つの前記高ＯＳ側アプリケーションが前記低ＯＳ側通信アプリケーションへ送信する元データを生成し（Ｓ２）、
   生成した元データを暗号化したデータを前記低ＯＳ側通信アプリケーションへ送信し（Ｓ４）、
   前記低ＯＳ側通信アプリケーションは、暗号化されているデータを復号し、復号したデータに基づいて、ディスプレイ（２１）の表示内容を制御する、データ送信方法。

Images