JP7320126B2 - 車両制御装置及び車両制御システム - Google Patents

Description

本発明は、無線通信を用いてプログラムの更新を行う車両制御装置及び車両制御システムに関する。

車両の電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）のプログラム更新手法のひとつとして、プログラム配信センタより無線配信するプログラムをネットワーク経由でダウンロードし、ＥＣＵのプログラムを更新する、オンライン更新機能が存在する。

ただしこのプログラム更新において、更新先の電子制御装置と更新プログラムが適切な組み合わせになっている必要があり、誤った組み合わせでは車両が誤作動したり、車両が動かなくなってしまう可能性がある。例えば、電子制御装置とプログラムの組み合わせは何通りもあり、同一型式のＥＣＵがシステム構成の異なる車両に共用される場合、異なる構成のプログラムは、ＥＣＵに書き込み可能であるが、正常に処理できない。

上記の課題の解決手段として、プログラムを該当ユニットに送信するゲートウェイ装置で、プログラムの整合性を検証する、特許文献１に記載の装置が存在する。

特開２０１７－５９２１０号公報

特許文献１に記載の装置は、ゲートウェイ装置で更新プログラムを実行させ、対象のＥＣＵで正しく機能することを確認したのち、対象のＥＣＵに送信することを特徴としている。

しかしながら、プログラム配信センタより無線配信するプログラムを、ネットワーク経由でダウンロードし、ＥＣＵのプログラムを更新するオンライン更新機能においては、セキュリティの観点から、プログラムが暗号化されて配信される。暗号の復号は更新対象のＥＣＵでしか行うことができない。

ゲートウェイ装置では送信先のユニット情報を参照して、対象のユニット（ＥＣＵ）に送信されるため、プログラム配信センタで暗号化したプログラムと送信先のユニット情報の組み合わせを間違えて配信してしまった場合でも、配信されたユニットでは、更新の対象ではないプログラムが書き込まれてしまう。

したがって、かかる暗号化が必要な場合には、ゲートウェイ装置では送信されたプログラムを復号することができず、よって送信されたプログラムが間違ったプログラムであるか否かを判定することができない、という問題があった。

本発明の目的は、誤りを含むプログラムが配信された場合でも、暗号化したプログラムを受信した車両制御装置でプログラムの正当性を検証することで、正常な制御を確保する車両制御装置を提供することである。

本発明は、演算部とメモリを含み、前記メモリに格納されたソフトウェアを更新する車両制御装置であって、暗号化されたソフトウェアを受信する通信部と、前記暗号化されたソフトウェアを平文へ復号する復号部と、前記メモリに設定されて前記復号されたソフトウェアを格納する書き換え部と、前記メモリに予め設定された第１の照合情報と、前記ソフトウェアに付与された第２の照合情報と、前記第１の照合情報を照合し、照合結果に基づいて前記復号されたソフトウェアを格納するか否かを判定し、前記復号されたソフトウェアを格納する場合には、前記復号されたソフトウェアを次回の起動用として選択する判定部と、を有し、前記メモリは、不揮発性メモリを含み、前記不揮発性メモリは、前記第１の照合情報を格納する非書き換え部を有する。

本発明におけるソフトウェアの更新は、更新対象の車両制御装置に書き込まれたソフトウェアの正当性が検証される。間違ったソフトウェア（プログラム）が配信された場合に、車両制御装置は、誤ったソフトウェア（プログラム）によって車両が誤作動したり、制御が不安定になることを防止できる。また、ソフトウェアの更新対象の車両制御装置において更新ソフトウェアの正当性を判断することにより、オンラインのソフトウェア更新機能の信頼性を向上できる。

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

本発明の実施例１を示し、車両制御装置の一例を示すブロック図である。 本発明の実施例１を示し、車両の制御システムの構成の一例を示すブロック図である。 本発明の実施例１を示し、セントラルゲートウェイと更新対象の電子制御装置で行われる処理の一例を示す図である。 本発明の実施例１を示し、更新プログラムの配信の一例を示す図である。 本発明の実施例１を示し、制御システムで行われる処理の一例を示すタイムチャートの前半部である。 本発明の実施例１を示し、制御システムで行われる処理の一例を示すタイムチャートの後半部で、非書き換え部に格納された情報の照合結果が正当な場合を示す。 本発明の実施例２を示し、制御システムで行われる処理の一例を示すタイムチャートの後半部で、非書き換え部に格納された情報の照合結果が不正な場合を示す。 本発明の実施例３を示し、制御システムで行われる処理の一例を示すタイムチャートで、キャリブレーションデータが配信された場合を示す。 本発明の実施例４を示し、制御システムで行われる処理の一例を示すタイムチャートで、非書き換え部に格納されたキャリブレーションデータの照合結果が不正な場合を示す。 本発明の実施例５を示し、制御システムで行われる処理の一例を示すタイムチャートで、データ格納領域に格納されたデータの照合結果が正当な場合を示す。 本発明の実施例６を示し、制御システムで行われる処理の一例を示すタイムチャートで、データ格納領域に格納されたデータの照合結果が不正な場合を示す。 本発明の実施例７を示し、制御システムで行われる処理の一例を示すタイムチャートで、システム構成情報を書き換える場合を示す。 本発明の実施例８を示し、制御システムで行われる処理の一例を示すタイムチャートの前半部で、固定データ領域に格納した情報の照合結果が正当な場合を示す。 本発明の実施例８を示し、制御システムで行われる処理の一例を示すタイムチャートの後半部で、固定データ領域に格納した情報の照合結果が正当な場合を示す。 本発明の実施例８を示し、制御システムで行われる処理の一例を示すタイムチャートの後半部で、固定データ領域に格納した情報の照合結果が不正な場合を示す。 本発明の実施例９を示し、制御システムで行われる処理の一例を示すタイムチャートの前半部である。 本発明の実施例９を示し、制御システムで行われる処理の一例を示すタイムチャートの後半部で、システム構成情報の照合結果が正当な場合を示す。 本発明の実施例１０を示し、制御システムで行われる処理の一例を示すタイムチャートで、システム構成情報の照合結果が不正な場合を示す。 本発明の実施例１１を示し、ＥＣＵ管理テーブルの一例を示す図である。 本発明の実施例１２を示し、構成管理テーブルの一例を示す図である。 本発明の実施例１３を示し、照合方法の一例を示す図である。

以下、本発明の実施形態を添付図面に基づいて説明する。

本発明の実施例１におけるオンライン更新機能を利用する車両制御装置について、図１～５を用いて説明する。

図１は車両制御装置１の構成の一例を示すブロック図である。車両制御装置１は、電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）で構成され、電源２と、演算部３と、通信部４と、ハードウェア設定部５と、不揮発性メモリ６と、揮発性メモリ１４を含む。

前記揮発性メモリ１４は、プログラム一時格納領域１５を含む。前記不揮発性メモリ６は、非書き換え部２０と書き換え部３０を含む。揮発性メモリ１４は、ＤＲＡＭ（Ｄｙｎａｍｍｉｃ Ｒａｎｄｏｍ Ａａｃｃｅｓｓ Ｍｅｍｏｒｙ）等で構成することができ、不揮発性メモリ６はフラッシュメモリ等で構成することができる。

不揮発性メモリ６の非書き換え部２０は、ソフトウェア（プログラム又はキャリブレーションデータ）の書き換えを実行する判定部１３を格納する。また、判定部１３には、予めデータを設定した固定データ領域１３０が含まれる。

不揮発性メモリ６の書き換え部３０は、車両制御装置１の機能を提供するプログラムを格納するプログラム部Ａ（８）とプログラム部Ｂ（９）と、車両制御装置１の機能を提供するプログラムの出力を調整するキャリブレーションデータを格納するキャリブレーション部Ａ（１１）とキャリブレーション部Ｂ（１２）と、データ格納領域１０と、復号部７を含む。

プログラム部Ａ（８）とプログラム部Ｂ（９）の一方には、起動用のプログラムが格納され、他方が待機用の領域として利用される。キャリブレーション部Ａ（１１）とキャリブレーション部（１２）の一方には、起動用のプログラムが使用するキャリブレーションデータが格納され、他方が待機用の領域として利用される。

データ格納領域１０には、車両制御装置１を含む制御システムの構成情報などが格納される。復号部７は、暗号化された更新プログラムを復号するためのプログラムと鍵などが格納される。なお、受信した更新プログラムが圧縮されている場合には、復号部７で展開するようにしてもよい。

揮発性メモリ１４には、受信した更新プログラムを格納するプログラム一時格納領域１５が含まれる。通信部４が受信した更新プログラムは、一旦揮発性メモリ１４のプログラム一時格納領域１５に格納された後に書き換え部３０の待機用の領域に書き込まれる。

電源２は、バッテリー電源やアクセサリ（ＡＣＣ）電源などの給電装置１６から電力の供給を受けて、車両制御装置１の各部に電力を供給する。演算部３は、プロセッサを含んで、不揮発性メモリ６や揮発性メモリ１４に格納されたプログラムを実行する。

通信部４は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＬＡＮ（Ｌｏｃａｌ Ａｒｅａ ｎｅｔｗｏｒｋ）を介して接続された外部装置１７や制御対象（図２参照）と通信を行う。更新プログラムは、外部装置１７から通信部４を経由して受信する。また、プログラム更新処理に必要な制御信号は、通信部４経由で車両制御装置１が送受信する。

ハードウェア設定部５は起動するプログラムとキャリブレーションデータを、プログラム部Ａ、Ｂ、キャリブレーション部Ａ、Ｂの一方に設定する。なお、ハードウェア設定部５は、プログラム部Ａ（８）とキャリブレーション部Ａ（１１）のうち起動用の設定を保持し、また、プログラム部Ｂ（９）とキャリブレーション部Ｂ（１２）のうち起動用の設定を保持すればよいので、ハードウェアで実装してもよいし、ソフトウェアで実装してもよい。

判定部１３と、復号部７の各機能部はプログラムとして演算部３で実行される。演算部３は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、演算部３は、判定プログラムに従って処理を実行することで判定部１３として機能する。他のプログラムについても同様である。さらに、演算部３は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

また、車両制御装置１は、プログラム部Ａ（８）又はプログラム部Ｂ（９）で実行するプログラムに応じて所定の機能を実現し、例えば、自動運転プログラムを起動することで、車両制御装置１は自動運転制御部として機能する。

外部装置１７の形態の一例を図２で説明する。図２は、車両の制御システムの構成の一例を示すブロック図である。

図中２０１は無線通信により更新プログラムを配信するプログラム配信センタである。
プログラム配信センタ２０１には、サービスの対象である車両制御装置１（ＥＣＵ）の全機種の更新プログラムとサービス対象車と、各車のプログラム搭載情報と、その他サービスに関する必要なデータが保管され、指令を受け付けた更新プログラムを配信する。

ある車両について、車両の性能改良等の目的でプログラムの最新版への更新が決定されると、プログラム配信センタ２０１は該当車両に向けて必要な更新プログラムを無線通信で配信する。配信された情報は該当車両のアンテナＥＣＵ（無線通信部）２０２において、自車に対する通信として受信する。

なお、図中アンテナＥＣＵ２０２と、セントラルゲートウェイ（中継装置）２０３と、車両制御装置１と制御対象装置５０は車両に搭載されている。また、制御対象装置５０は、コントローラやアクチュエータあるいは他の車両制御装置を含む。

該受信された更新プログラムは、ＣＡＮ等のネットワークを介してセントラルゲートウェイ２０３に転送される。セントラルゲートウェイ２０３は、該情報に付帯している情報（ヘッダ等）により、セントラルゲートウェイ２０３と通信可能である複数の車両制御装置１のうち、該当更新プログラムの書き換え対象である車両制御装置１を特定する。

セントラルゲートウェイ２０３は、該車両制御装置１に対し更新プログラムをＣＡＮを使用して配信する。更新対象である車両制御装置１が、更新プログラムを受信して実行待機用の領域に格納することでプログラムを更新する。

プログラム配信センタ２０１から車両制御装置１までの情報通信は、外部からの監視や操作が否定できない、無線通信や車内優先通信の１種であるＣＡＮを介して行うため、制御システムの安全性に対し完全ではない部分もある。

そこで、周知又は公知の技術では、通信内容を暗号化し、外部からの介入を防止するようにしている。かつ、情報の暗号化及び暗号からの復号は、暗号化装置と復号装置のみが共有する固有情報、いわゆる暗号鍵により行い、外部に対する秘匿性を向上させるようにしている。

セントラルゲートウェイ２０３と更新対象の車両制御装置１で行われる処理の一例を図３によって説明する。

セントラルゲートウェイ２０３には、車両制御装置１用の更新プログラムとして受信した暗号文３０２が格納されている。更新プログラムのサイズは、車両制御装置１内の不揮発性メモリ６の大半を占める大容量の場合もある。

ここで暗号文３０２はさらに細分化（分割）された暗号文３０３の集合体として構成されている。すなわち、暗号文３０２は、例えば、パケットやブロックなどの所定のサイズに分割された複数の暗号文３０３で構成されている。セントラルゲートウェイ２０３は、細分化された暗号文３０３を通信により送信して車両制御装置１のプログラム一時格納領域１５に格納される。

車両制御装置１の復号部７は受信した暗号文３０３を、自身が保有する暗号復号の固有情報（暗号鍵）を用いて平文３１２に復号する。次に車両制御装置１は、復号した平文３１２を不揮発性メモリ６の待機用の領域（例えば、プログラム部Ａ（８））に書き込む。
車両制御装置１は、かかる一連の処理を、セントラルゲートウェイ２０３が保持する細分化された暗号文３０３の全てを受信し、書き込みが完了するまで繰り返す。

ここで、１回で不揮発性メモリ６に書き込む平文３１２のサイズは、少なくとも細分化された暗号文３０３の１個分であり、細分化された暗号文３０３の１個を受領し、復号する処理が単位時間で処理できる情報量と、平文３１２を不揮発性メモリ６に書き込む処理が単位時間で処理できる情報量、との割合に応じて設定すればよい。

例えば、復号までの処理が不揮発性メモリ６に平文３１２を書き込む処理の４倍速いとすると、細分化された暗号文３０３の４個を平文に復号処理し、不揮発性メモリ６に書き込みを実施すると、車両制御装置１は、平文への復号までの処理と不揮発性メモリ６への書き込み処理を並行して行うことができ、必要時間を短縮できる。

この方法でプログラムの更新処理を行うとプログラム一時格納領域１５の中の細分化された暗号文３０３を記憶しておく領域及び平文３１２を記憶しておく領域は繰り返し異なる内容を記憶する。

このため、車両制御装置１では、更新プログラムの全体を一度に記憶する必要がなく、よってプログラム全体の必要容量より十分小さい容量で書き換えを実施できる。これにより、車両制御装置１に搭載する記憶媒体の容量を削減して、製造コストを低減することが可能となる。

セントラルゲートウェイ２０３から細分化された暗号文３０３のひとつであるブロックデータが車両制御装置１に送信される。車両制御装置１は、ブロックデータのうち、暗号の復号に適切な量の一部を分割し、暗号文３０３の復号処理要求とともに復号部７に要求する。

復号部７は暗号文３０３の復号処理を行って、ブロックデータに対する復号処理を完了する。ここで、本実施例では１つのブロックデータに対応する復号処理が複数回である例を示したが、復号を実施する回数は更新の処理速度とメモリの容量を勘案して最適値を選定すればよい。

図３の説明において、セントラルゲートウェイ２０３には細分化されたプログラムの一群がプログラム全体にわたって分割されて記憶されていることを説明したが、それを実現する実施例を図４で説明する。図４は、更新プログラムの配信の一例を示す図である。

更新プログラムは図２で説明したように、プログラム配信センタ２０１で保管されている。更新プログラムは、ソフトウェアハウス５１０で設計及び製作される。ソフトウェアハウス５１０では、車両制御装置１での更新処理までを含んで更新プログラムの全体を最適化設計する。

したがって、ソフトウェアハウス５１０は、一連の更新処理の前提である車両制御装置１のメモリ空間仕様や、一連の処理ごとの所要時間等を勘案し、適切な暗号化の単位を設計する。ソフトウェアハウス５１０は、設計に従い更新プログラムを分割したうえで暗号化する。通称鍵と呼ばれる暗号の固有情報は、車両制御装置１の非書き換え部２０に配置して秘匿性を確保する。

かかる方法によりソフトウェアハウス５１０が製造した更新プログラムは、更新対象の車両制御装置１を示す情報と、書き換えられるべき書き換え前のプログラムの情報とともにプログラム配信センタ２０１に提供される。

プログラム配信センタ２０１では、別途判定するプログラムの更新対象車に対し、暗号化されたままの該更新プログラムと、対象の車両制御装置１の情報とを配信する。上記一連の処理で、プログラム配信センタ２０１は暗号化した更新プログラムに対して暗号鍵を持たないため、内容を観察することも変更することもできず、また行わない。

同様にセントラルゲートウェイ２０３でも、暗号化された更新プログラムに対して暗号鍵を持たないため、内容を観察することも変更することもできず、また行わない。

以上の処理により、ソフトウェアハウス５１０で製造された暗号化済みの更新プログラムは、変更を加えられることなくセントラルゲートウェイ２０３に配信され、格納される。

次に本発明の制御システムにおける実施例を時間の流れにより記述した図５Ａ、図５Ｂを用いて説明する。図５Ａは、制御システムで行われる処理の一例を示すタイムチャートの前半部で、非書き換え部２０に格納された情報の照合結果が正当（又は一致）な場合を示す。図５Ｂは、制御システムで行われる処理の一例を示すタイムチャートの後半部を示す。

図示の例では、プログラム部Ｂ（９）を起動用としてハードウェア設定部５に予め設定し、工場から車両制御装置１が出荷されるタイミングで非書き換え部２０に制御対象情報を書き込んでおく場合を示す。なお、制御対象情報は、車両制御装置１で実行するプログラムの正当性を判定するための照合情報であり、実施例１１で詳述する。

まず、車両制御装置１は外部装置（給電装置１２）からの電源供給（電源ＯＮ）を受け、非書き換え部２０の判定部１３を起動する。

判定部１３は、ハードウェア設定部５に設定した起動用のプログラム部Ａ（８）又はプログラム部Ｂ（９）の情報を取得する（６２１）。判定部１３は、設定されたプログラム部Ａ（８）又はプログラム部Ｂ（９）に応じた書き換え部３０のプログラムを起動する（６２２）。図示の例はプログラム部Ｂ（９）を起動用とする例を示す。

プログラム部Ｂ（９）は、当該プログラム部Ｂ（９）に対応するキャリブレーション部Ｂ（１２）のキャリブレーションデータを参照し、所定の処理を実行する（６２３）。このプログラム部Ｂ（９）は電源２への供給が遮断される（電源ＯＦＦ）まで通常制御を続行する。

上記処理によって、判定部１３はハードウェア設定部５に設定された起動用のプログラム部からプログラムを起動して、キャリブレーションデータで調整を行って起動が完了する。

プログラム配信センタ２０１から更新プログラムが配信されると（６２４）、セントラルゲートウェイ２０３は、更新の開始要求を通信部４を介して、現在起動しているプログラム部Ｂ（９）に通知する（６２５、６２６）。

プログラム部Ｂ（９）は、プログラムの更新開始要求を受け付けて、リプログラミング（プログラムの更新）モードに遷移し、前記通信部４を介して、前記セントラルゲートウェイ２０３にデータの送信を要求する（６２７、６２８）。

送信要求を受け付けたセントラルゲートウェイ２０３は、図３で示したように、プログラム配信センタ２０１から受信した更新プログラムを、所定のサイズに分割された暗号文３０３として、更新対象の車両制御装置１に送信する（６２９）。

以下、ステップ６２９～６３６の処理は、セントラルゲートウェイ２０３からの暗号文３０３を車両制御装置１が受信する度に繰り返して実行されるループ処理となる。

その後、ステップ６２６、６３０の更新プログラムの送信では、前記セントラルゲートウェイ２０３から前記通信部４を介して、揮発性メモリ１４のプログラム一時格納領域１５に暗号文３０３が一時的に格納される。

ステップ６２９、６３０の更新プログラムの送信処理では、更新プログラムは暗号化されたまま送信される。ステップ６３１では、予め暗号鍵を保持している復号部７が前記プログラム一時格納領域１５にアクセスし、暗号文３０３を復号し、平文３１２に変換する。

更新プログラムを構成する複数の暗号文３０３のうち、先頭の暗号文３０３には、更新プログラムの制御対象情報が含まれる。なお、更新プログラムの制御対象情報は、平文で更新プログラムの先頭（ヘッダ）に付与されてもよい。

前記復号後は、復号部７が前記プログラム部Ｂ（９）に書き込みを要求する（６３２）。プログラム部Ｂ（９）は、前記プログラム一時格納領域１５にアクセスし（６３３）、待機用として設定されたプログラム部Ａ（８）に復号された更新プログラムを書き込む（６３４）。プログラム部Ｂ（９）は、書き込みが終了した後は書き込み完了通知を、前記通信部４を介して前記セントラルゲートウェイ６０２に通知する（６３５、６３６）。

上記ステップ６２９から書き込み完了通知のステップ６３６までは、プログラム配信センタ２０１から配信された更新プログラムの書き込みが完了するまでループする。更新プログラムの書き込みが全て完了すると、図５Ｂのステップ６３７に進んで、前記セントラルゲートウェイ２０３から前記通信部４を介して起動用のプログラムの切り換え要求が前記プログラム部Ｂ（９）に通知される（６３７、６３８）。

プログラム部Ｂ（９）は、起動用のプログラムの切り換え要求を受け付けると、前記ハードウェア設定部５に設定されている起動用のプログラムを切り換えておく（６３９）。
ハードウェア設定部５の起動用プログラムの切り換え設定により、車両制御装置１は次回の電源ＯＮになった際、まず、判定部１３が起動してからステップ６４１で、ハードウェア設定部５から起動用プログラムを取得し、図示の例では更新プログラムが書き込まれた、前記プログラム部Ａ（８）に切り換える。

更新プログラムが書き込まれた前記プログラム部Ａ（８）を起動させる際には、判定部１３が工場出荷時に非書き換え部２０に書き込まれている制御対象情報を取得し（６４２）、更新処理で書き換えられた前記プログラム部Ａ（８）に記載されている制御対象情報を読み出す（６４３）。

そして、ステップ６４４では判定部１３が、上記ステップ６４２で取得した、前記非書き換え部２０に書き込まれている前記制御対象情報と、ステップ６４３で読み出したプログラム部Ａ（８）に記載されている制御対象情報を比較する（６４４）。

判定部１３は、２つの制御対象情報が一致していることが検証できた場合には、前記プログラム部Ａ（８）の更新プログラムを起動させる（６４５）。プログラムの起動後は、プログラム部Ａ（８）がキャリブレーション部Ａ（１１）のキャリブレーションデータを参照し、所定の調整を行ってから制御対象装置５０の制御を開始する。

上記処理によって判定部１３は、ハードウェア設定部５に設定された起動用のプログラム部Ａ（８）に記載された制御対象情報と、非書き換え部２０に設定された工場出荷時の制御対象情報が一致することを検証することで、起動するプログラムが正当なソフトウェアであるか否かを判定することができる。

判定部１３が実行するプログラムの正当性を判定することにより、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

実施例２は実施例１と同様に、工場から車両制御装置１が出荷されるタイミングで非書き換え部２０に制御対象情報を書き込んでおく場合の実施例を図６を用いて説明する。図６は、制御システムで行われる処理の一例を示すタイムチャートの後半部で、非書き換え部２０に格納された制御対象情報の照合結果が不正（又は不一致）の場合を示す。

実施例１との相違点は、前記図５Ｂのステップ６４４の制御対象情報の照合処理において、照合結果が一致しなかった場合を示す。図中ステップ６４４までの処理は前記実施例１の図５Ｂに示した処理と同様である。また、ステップ６３７以前の処理は図５Ａと同様であるので図示を省略した。その他の構成については、前記実施例１と同様である。

給電装置１６からの電源供給(電源ＯＮ)を受けて、車両制御装置１は非書き換え部２０の判定部１３を起動し、前記起動用プログラムの確認処理（６２１）から、前記制御対象情報読み出し（６４３）までは実施例１に記載の処理と同様である。

ステップ６４４では、前記実施例１と同様に判定部１３が、ハードウェア設定部５に設定された起動用のプログラム部Ａ（８）に記載された制御対象情報と、非書き換え部２０に設定された工場出荷時の制御対象情報が一致するかを照合する。

判定部１３は、照合結果が、一致しなかった場合、前記ハードウェア設定部５にアクセスして、起動用プログラムの切り換え設定を行う（７４１）。本実施例では、判定部１３が、ハードウェア設定部５に設定されていたプログラム部Ａ（８）をプログラム部Ｂ（９）に切り換える。

判定部１３が起動用のプログラムを切り換えることにより、前記プログラム部Ａ（８）に書き込まれた更新プログラムの起動を禁止して、間違ったプログラムによって車両の制御が実施されて誤作動が発生するのを防ぐことが可能となる。

判定部１３は、２つの制御対象情報が一致していない場合には、ハードウェア設定部５で書き換えた起動用のプログラム部Ｂ（９）を起動させる（７４２）。プログラム部Ｂ（９）は起動すると、キャリブレーション部Ｂ（１２）のキャリブレーションデータを参照し、制御対象装置５０の制御を開始する。

起動が完了したプログラム部Ｂ（９）は、更新プログラム（プログラム部Ａ）が起動不可であることを通信部４に通知し（７４４）、通信部４は、セントラルゲートウェイ２０３に対して新しい更新プログラムを要求する（７４５）。以降、プログラム部Ｂ（９）による制御が継続される。

上記処理によって判定部１３は、車両制御装置１の電源２がＯＮとなる度に、ハードウェア設定部５に設定された起動用のプログラム部に記載された制御対象情報と、非書き換え部２０に設定された工場出荷時の制御対象情報が一致しない場合、更新プログラムが書き込まれた待機用の領域を起動せず、電源ＯＦＦの前に起動していた更新プログラムが書き込まれていない前記プログラム部を起動させる。

制御対象情報の照合結果が不一致（不正）となった場合には、更新プログラムでの起動を禁止することで、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。換言すれば、照合結果が不正な場合には起動用と待機用のプログラム部Ａ、Ｂの切り換えを禁止することで、正当ではないプログラムによって車両の制御が行われることを確実に防ぐことが可能となる。

また、車両制御装置１は、照合結果が一致しない更新プログラムに代わって新たな更新プログラムをセントラルゲートウェイ２０３に要求し、プログラムの更新を再開することができる。

実施例１、２において、プログラム配信センタ２０１から配信されるデータは更新プログラムであるが、配信されるデータはプログラムに限定されない。実施例３ではキャリブレーションデータがプログラム配信センタ２０１から配信された場合の書き込み処理を図７を用いて説明する。図７は、制御システムで行われる処理の一例を示すタイムチャートで、キャリブレーションデータが配信された場合を示す。その他の構成については、前記実施例１と同様である。

まず、車両制御装置（ＥＣＵ）１は外部装置（給電装置１２）からの電源供給（電源ＯＮ）を受け、非書き換え部２０の判定部１３を起動する。ステップ６２１の起動用のプログラムの取得からステップ６２８のデータ送信要求までは前記実施例１の図５Ａの処理と同様である。

なお、本実施例のステップ６２４では、プログラム配信センタ２０１はセントラルゲートウェイ２０３にキャリブレーションデータを送信する。

ステップ８２１では、前記セントラルゲートウェイ６０２は前記通信部４にキャリブレーションデータを送信する（８２１）。なお、セントラルゲートウェイ２０３は、図３で示したように、キャリブレーションデータを所定のサイズに分割した暗号文３０３として送信する。

次に、通信部４は、受信した暗号文３０３を揮発性メモリ１４のプログラム一時格納領域１５に格納する。ここで、ステップ８２１、８２２では前記実施例１の更新プログラムと同様に、暗号化されたまま送信される。

ステップ６３１では暗号鍵を保持している復号部７が、前記プログラム一時格納領域１５にアクセスして、暗号文３０３を復号する。

前記復号後は、復号部７が前記プログラム部Ｂ（９）にキャリブレーションデータの書き込みを要求する（６３２）。プログラム部Ｂ（９）は、前記プログラム一時格納領域１５にアクセスし（６３３）、キャリブレーション部Ａ（１１）に復号されたキャリブレーションデータを書き込む（６３４１）。プログラム部Ｂ（９）は、書き込みが終了した後は書き込み完了通知を、前記通信部４を介して前記セントラルゲートウェイ６０２に通知する（６３５１、６３６）。

上記ステップ８２１からステップ６３６の書き込み完了通知まではプログラム配信センタ２０１から配信されたキャリブレーションデータの書き込みが完了するまでループする。

キャリブレーションデータの書き込み完了後の処理は、図５Ｂで説明した前記実施例１の照合結果が正常の場合の処理と同様である。なお、更新するキャリブレーションデータには制御対象情報（照合情報）を含んで、前記更新プログラムと同様に照合を実施してもよい。

以上のように、本実施例の車両制御装置１は、書き換え部３０に設定されたプログラム部Ａ（８）とキャリブレーション部Ａ（１１）は、それぞれ独立して内容を書き換えることができ、プログラムの更新と、データの更新を柔軟に実施することができる。

また、更新プログラムとキャリブレーションデータに制御対象情報を含めることで、更新処理の信頼性を向上させることが可能となる。

また、キャリブレーションデータの値の変更がある場合、キャリブレーションデータの値のみ更新することが可能なため、プログラムとキャリブレーションデータを一緒に送付する必要はない。この結果、リプログラミング時の処理負荷の低減や、リプログラミング時間の短縮が可能となる。

実施例４は、前記実施例３と同様、キャリブレーションデータが配信された場合の書き込み処理について説明する。前記実施例３との違いは、制御対象情報の照合結果が一致しなかった場合の処理である。その他の構成については前記実施例３と同様である。図８は、制御システムで行われる処理の一例を示すタイムチャートで、キャリブレーションデータの照合結果が不正（又は不一致）の場合を示す。

まず、車両制御装置（ＥＣＵ）１は外部装置（給電装置１２）からの電源供給（電源ＯＮ）を受け、非書き換え部２０の判定部１３を起動する。ステップ６２１の起動用のプログラムの取得からステップ６３６の書き込み完了通知までは前記実施例３の図７の処理と同様であり、キャリブレーション部Ａ（１１）には、更新されたキャリブレーションデータが格納される。また、更新されたキャリブレーションデータには、制御対象情報（照合情報）が含まれている。

次に、処理の後半部は、図８に示すとおりで、ステップ６３７～６４２までは、前記実施例２に示した処理と同様である。外部の給電装置１２からの電源供給(電源ＯＮ)を受け、車両制御装置１は、非書き換え部２０の判定部１３を起動する。

判定部１３は、ステップ６４１の前記起動プログラムの取得でハードウェア設定部５に設定された情報からプログラム部Ａ（８）を選択し、ステップ６４２で、非書き換え部２０から工場出荷時に設定された制御対象情報（照合情報）を読み込む。

次に、ステップ８００で、判定部１３は、キャリブレーション部Ａ（１１）の更新されたキャリブレーションデータから制御対象情報を取得する。ステップ８０１では、判定部１３が、非書き換え部２０の制御対象情報と、キャリブレーションデータの制御対象情報を照合する。

ステップ８０１の照合結果が一致しなかった場合、判定部１３は、前記ハードウェア設定部５にアクセスし、起動プログラムの切り換え設定を行う（７４１）。この処理は前記実施例２で説明した更新プログラムの書き込みが行われた際、照合結果が不正となった場合の処理と同様である。

車両制御装置１は、起動するプログラムを切り換ることにより、キャリブレーション部Ａ（１１）に書き込まれた更新キャリブレーションデータは参照せず、間違ったキャリブレーションデータを参照したプログラムによって車両が誤作動することを防ぐ。

判定部１３は、２つの制御対象情報が一致していない場合には、ハードウェア設定部５で書き換えた起動用のプログラム部Ｂ（９）を起動させる（７４２）。プログラム部Ｂ（９）が起動すると、キャリブレーション部Ｂ（１２）のキャリブレーションデータを参照し、制御対象装置５０の制御を開始する。

起動が完了したプログラム部Ｂ（９）は、更新されたキャリブレーションデータ（キャリブレーション部Ａ）が起動不可（不正）であることを通信部４に通知し（８０２）、通信部４は、セントラルゲートウェイ２０３に対して新しいキャリブレーションデータを要求する（８０３）。以降、プログラム部Ｂ（９）による制御が継続される。

上記処理によって判定部１３は、車両制御装置１の電源２がＯＮとなる度に、ハードウェア設定部５に設定された起動用のプログラムが使用するキャリブレーションデータに記載された制御対象情報と、非書き換え部２０に設定された工場出荷時の制御対象情報が一致しない場合、更新キャリブレーションが書き込まれた待機用の領域を起動せず、電源ＯＦＦの前に起動していた更新プログラムが書き込まれていない前記プログラム部を起動させる。

このように、車両制御装置１は、更新キャリブレーションデータの照合結果が不正な場合には、待機用のプログラムの起動を禁止することで、リプログラミングの信頼性を向上させることが可能となる。

実施例１から実施例４までは、工場から車両制御装置１が出荷されるタイミングで前記非書き換え部２０に制御対象情報を書き込み、前記制御対象情報と、書き込み後のデータに格納されている制御対象情報を照合している例を示した。

実施例５では前記制御対象情報で更新プログラムの正当性を照合するのではなく、車両ごとのシステム構成情報を書き換え部３０のデータ格納領域１０に格納しておき、プログラムを書き換える場合にシステム構成情報で照合する例を図９を用いて説明する。図９では、制御システムで行われる処理の一例を示すタイムチャートで、データ格納領域に格納されたデータの照合結果が正当な場合を示す。なお、システム構成情報については、実施例１２で詳述する。

実施例１との相違点は、データ格納領域１０に格納されたシステム構成情報とプログラムに含まれるシステム構成情報（システム情報又は制御システムの識別子）で照合する点である。また、図９のステップ６３７以前の処理は図５Ａと同様であるので図示を省略した。その他の構成については、前記実施例１と同様である。

給電装置１６からの電源供給(電源ＯＮ)を受けて、車両制御装置１は非書き換え部２０の判定部１３を起動し、ハードウェア設定部５から起動用プログラムを取得する（６４１）。本実施例では、ハードウェア設定部５にプログラム部Ａが設定されている。

判定部１３は、ステップ１０４１のシステム構成情報の読み出しでは、書き換え部３０のデータ格納領域１０にアクセスし、システム構成情報を読み出す。

その後、判定部１３は、ステップ１０４２でプログラム部Ａ（８）の更新プログラムに格納されているシステム構成情報を読み出す。ステップ１０４３のシステム構成情報の照合処理では、判定部１３が前記データ格納領域１０から読み出したシステム構成情報と、前記プログラム部Ａ（８）から読み出したシステム構成情報を照合する。

判定部１３は、データ格納領域１０から読み出したシステム構成情報と、前記プログラム部Ａ（８）に書き込まれているシステム構成情報が一致していたら前記プログラム部Ａ（８）のプログラムを起動する（６４５）。

プログラム部Ａ（８）の起動後は前記実施例１の処理と同様であり、前記プログラム部Ａ（８）に対応するキャリブレーション部Ａ（１１）に格納されているキャリブレーションデータを参照して制御対象装置５０の制御を開始し、電源がＯＦＦになるまで制御を行う。

本実施例では、判定部１３が、更新プログラムの正当性を不揮発性メモリ６のデータ格納領域１０に格納されたシステム構成情報で照合する。システム構成情報は工場出荷時に非書き換え部２０に格納する必要はなく、また、非書き換え部２０に格納している制御対象情報では照合不可能となってしまった場合にも、照合が可能となる。

実施例６は実施例５と同様であり、データ格納領域１０に格納されている車両のシステム構成情報を読み出して、書き込まれた更新プログラムに格納されているシステム構成情報と照合する処理を図１０を用いて説明する。

図１０は、制御システムで行われる処理の一例を示すタイムチャートで、データ格納領域に格納されたデータの照合結果が不正な場合を示す。実施例５との違いは、ステップ１０４３のシステム構成情報の照合結果が一致しなかった場合の処理である。また、図１０のステップ６３７以前の処理は図５Ａと同様であるので図示を省略した。なお、その他の構成については、前記実施例５と同様である。

給電装置１６からの電源供給(電源ＯＮ)を受けて、車両制御装置１は非書き換え部２０の判定部１３を起動し、ハードウェア設定部５から起動用プログラムを取得するステップ６４１の処理からステップ１０４３のシステム構成情報の照合処理までは実施例５に記載の処理と同様である。

判定部１３は、ステップ１０４３で照合結果が不正となった場合は、プログラム部Ａ（８）を起動させないため、ステップ１１４１の起動プログラム切り換え設定で、ハードウェア設定部５に格納されている起動プログラムを切り換える。本実施例では、ハードウェア設定部５の起動プログラムをプログラム部Ａからプログラム部Ｂに切り換える。

その後は実施例２の図６の処理と同様で、プログラム部Ｂ（９）を起動させて（１１４２）、プログラム部Ｂ（９）は、キャリブレーション部Ｂ（１２）を参照して制御を開始する（１１４３）。プログラム部Ｂ（９）は、照合結果が不正で、更新プログラムの起動が不可であったことを通信部４へ通知し（１１４４）、通信部４はセントラルゲートウェイ２０３に新たな更新プログラムを要求する（１１４５）。

本実施例では、判定部１３が更新プログラムの正当性を不揮発性メモリ６のデータ格納領域１０に格納されたシステム構成情報で照合し、照合結果が不正な場合には、プログラムの切り換えを中止する。システム構成情報は工場出荷時に非書き換え部２０に格納する必要はなく、また、非書き換え部２０に格納している制御対象情報では照合不可能となってしまった場合にも、照合が可能となる。

実施例５、６ではプログラムの書き換え処理についての説明であるが、実施例３、４と同様にキャリブレーションデータの書き込みの際に、システム構成情報による照合を実施することができる。

実施例５、６ではデータ格納領域１０に格納しておいた車両のシステム構成情報を読み出して、更新プログラムに含まれるシステム構成情報と照合する例を示したが、前記システム構成情報は、外部装置１７である診断装置（コンサルト）１２０１から書き換えることが可能である。車両に接続された診断装置１２０１がシステム構成情報を書き換えた後、車両制御装置１が書き込まれたプログラムに格納されているシステム構成情報を照合する処理を図１１を用いて説明する。図１１は、制御システムで行われる処理の一例を示すタイムチャートで、システム構成情報の書き換え後に、システム情報の照合結果が正当な場合を示す。

給電装置１６からの電源供給(電源ＯＮ)を受けて、前記実施例１と同様に車両制御装置１は非書き換え部２０の判定部１３を起動し、ハードウェア設定部５から起動用プログラムを取得し（６２１）、プログラム部Ｂ（９）を起動させ（６２２）、プログラム部Ｂ（９）はキャリブレーション部Ｂ（１２）を参照して制御を開始する。

プログラム部Ｂ（９）の制御開始後、診断装置１２０１は、車両制御装置１のシステム構成情報を書き換えるため、ステップ１２２１でシステム構成情報の書き換え要求を送信する。通信部４は、受信した書き換え要求をプログラム部Ｂ（９）に通知する。

プログラム部Ｂ（９）は、診断装置１２０１からの書き換え要求に応じて、データ格納領域１０に格納されているシステム構成情報を書き換える。

この後、ステップ６２４でプログラム配信センタ２０１から更新プログラムが配信された後の処理は請求項１と同様である。

以上のように、車両制御装置１に格納されたシステム構成情報は、外部の診断装置１２０１からも書き換え可能である。前記外部の診断装置１２０１からシステム構成情報の書き換えが可能なため、車両のユーザがオプションでセンサやカメラ等の制御システムの構成要素を変更したり、工場出荷時に書き込みした制御対象情報では照合できなくなってしまった場合にも、同様の照合が可能となる。

実施例１から実施例７までは、車両制御装置１の照合はリプログラミング後、再度電源がＯＮとなった際に行っていた。本実施例では電源がＯＦＦになる前に車両制御装置１が制御対象情報の照合を行う例を図１２、図１３を用いて説明する。図１２は、制御システムで行われる処理の一例を示すタイムチャートの前半部で固定データ領域に格納した制御対象情報の照合結果が正当な場合を示す。図１３は、制御システムで行われる処理の一例を示すタイムチャートの後半部である。

実施例１との相違点は、車両制御装置１の制御対象情報を非書き換え部２０の固定データ領域１３０に格納する点と、電源の遮断前に照合を実行する点である。その他の構成については、前記実施例１と同様である。

給電装置１６からの電源供給(電源ＯＮ)を受けて、非書き換え部２０の判定部１３が起動し、起動プログラムの取得（６２１）からデータ送信要求（６２７）までは、前記実施例１と同様の処理である。

ステップ６２８Ａでは、通信部４が、更新プログラムの複数の暗号文３０３のうち先頭の暗号文３０３をセントラルゲートウェイ２０３に対して要求する。ステップ６２９Ａでは、セントラルゲートウェイ２０３が、先頭の暗号文３０３を通信部４へ送信する。通信部４は、先頭の暗号文３０３をプログラム一時格納領域１５に格納する（６３０Ａ）。

次に、復号部７は、プログラム一時格納領域１５の先頭の暗号文３０３を復号する（６３１Ａ）。先頭の暗号文３０３には、更新プログラムの制御対象情報（照合情報）が含まれ、プログラム一時格納領域１５には、更新プログラムの部分と制御対象情報が復号される。

前記復号後、実施例１では、通信部４が前記プログラム部Ｂ（９）に更新プログラムの書き込み要求をし、プログラム部Ａ（８）に更新プログラムの書き込みをしていたが、実施例８のステップ１３２１では、通信部４がプログラム一時格納領域１５から復号後の更新プログラム（平文３１２）の制御対象情報を取得する。

ステップ１３２２では、通信部４が、非書き換え部２０の固定データ領域１３０に格納されている制御対象情報を取得する。次に、通信部４は、更新プログラムの制御対象情報と固定データ領域１３０の制御対象情報を照合する（１３２３）。

通信部４は、制御対象情報の照合結果が正当な場合には、更新プログラムの書き込み処理を開始する。

照合結果が正当な場合、通信部４は、復号された先頭の更新プログラムをプログラム一時格納領域１５からプログラム部Ａ（８）に書き込む（６３４Ａ）。そして、通信部４は、セントラルゲートウェイ２０３に対して２番目以降の暗号文３０３の送信を要求する（６２８Ｂ）。

次に、ステップ６２９Ｂ～６３６のループ処理が行われ、２番目以降の暗号文３０３が順次復号されて、プログラム部Ａ（８）へ格納される。

ステップ６２９Ｂでは、セントラルゲートウェイ２０３が２番目以降の暗号文３０３を通信部４へ順次送信し、ステップ６３０Ｂでは、通信部４が２番目以降の暗号文３０３を順次プログラム一時格納領域１５へ格納する。そして、ステップ６３１Ｂでは復号部７がプログラム一時格納領域１５へ格納された暗号文３０３を復号する。

通信部４は、プログラム一時格納領域１５で復号された２番目以降の更新プログラムの書き込み要求をプログラム部Ｂ（９）に送信する。プログラム部Ｂ（９）は、書き込み要求を受け付けてプログラム一時格納領域１５にアクセスし（６３３）、復号された更新プログラムの部分をプログラム部Ａ（８）に書き込む（６３４Ｂ）。

書き込みが完了すると、プログラム部Ｂ（９）は通信部４に書き込みの完了を通知し（６３５）、通信部４は、セントラルゲートウェイ２０３に書き込みの完了を通知する（６３６）。

配信された更新プログラムのプログラム部Ａ（８）への書き込みが終了した後は、図１３で示すステップ６３７で、通信部４は、起動プログラムの切り換え要求をセントラルゲートウェイ６０２から受け付ける。

通信部４は、前記プログラム部Ｂ（９）に起動プログラムの切り換えを要求し（６３８）、プログラム部Ｂ（９）はハードウェア設定部５に格納されている起動プログラムの情報をセントラルゲートウェイ２０３から指定されたプログラムＡ（８）に切り換える（６３９）。

車両制御装置１の次回の起動の際には、図１３のステップ６４１で判定部１３がハードウェア設定部５から起動プログラムの設定を取得し、ステップ６４５でプログラム部Ａ（８）を起動させ、ステップ６４６でプログラム部Ａ（８）がキャリブレーションデータＡ（１１）の参照を行う。

前記実施例１では上記ステップ６４５のプログラム部Ａ（８）の起動前に、図５Ｂで示したステップ６４２の制御対象情報の取得からステップ６４４の照合までの処理を判定部１３が行っていた。これに対して、本実施例では、前記復号（６３１Ａ）の直後に制御対象情報の照合を行っているため、再起動後の照合は行わなくてもよい。

図１４は、制御システムで行われる処理の一例を示すタイムチャートで、固定データ領域に格納した制御対象情報の照合結果が不正な場合を示す。ステップ６２１～１３２２までは、図１２と同様の処理である。

ステップＳ１３２３では、通信部４が、プログラム一時格納領域１５から取得した制御対象情報と、固定データ領域１３０から取得した制御対象情報を比較した結果が不正となった場合である。

この場合、通信部４は、上記図１２のステップ６３２～６３６のループ処理を実施せず、セントラルゲートウェイ２０３に照合結果が不正であるため更新プログラムの書き込みが不可であったことを通知して、更新処理を終了する。

車両制御装置１の次回の起動の際には、図１４のステップ１４４１で判定部１３が起動プログラムの設定を取得し、ステップ１４４２でプログラム部Ｂ（９）を起動させ、ステップ１４４３でプログラム部Ｂ（９）がキャリブレーションデータの参照を行う。

本実施例では、復号（６３１Ａ）の直後に照合を行っているため、照合結果が不正な場合には、更新プログラムをプログラム部へ書き込む処理を中止するため、無駄な処理を低減することが可能となる。

このように実施例８では、車両制御装置１は、複数に分割された前記暗号文３０３を受信し、前記判定部（１３）は、前記分割された暗号文３０３のうち、最初に受信した暗号文３０３に含まれる制御対象情報２１８を取得して、制御対象情報２１１と照合する。

これにより、復号後の更新プログラムを書き換え部３０に書き込む前の段階で制御対象情報（２１１、２１８）の照合を実施するため、前記実施例１と同様に、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

前記実施例８では、車両制御装置１が制御対象情報で照合を行う例を示したが、本実施例では電源がＯＦＦとなる前にシステム構成情報で更新プログラムを照合する例を図１５Ａ，図１５Ｂを用いて説明する。図１５Ａは、制御システムで行われる処理の一例を示すタイムチャートの前半部で、システム構成情報の照合結果が正当な場合を示す。図１５Ｂは、タイムチャートの後半部である。

給電装置１６からの電源供給(電源ＯＮ)を受けて、車両制御装置１は非書き換え部２０の判定部１３を起動する。起動プログラムの取得（６２１）から復号（６３０Ａ）までは前記実施例８と同様の処理である。

通信部４は、複数の暗号文３０３で構成された更新プログラムのうち、先頭の暗号文３０３を受信してプログラム一時格納領域１５に格納し、平文へ復号する（６３１Ａ）。プログラム一時格納領域１５には、更新プログラムの先頭部分とシステム構成情報が復号される。

ステップ１３２４では、通信部４が復号されたシステム構成情報をプログラム一時格納領域１５から取得する。ステップ１５２１では、通信部４が、センサ１５０２と通信し、センサの構成情報を取得する。ステップ１５２２では通信部４が、カメラ１５０１と通信し、カメラの構成情報を取得する。

通信部４は、前記プログラム一時格納領域１５から取得したシステム構成情報と、センサ及びカメラの構成情報を照合する。この照合は、図１８で後述するように、制御システムの構成を示す情報を更新プログラムのヘッダに付与し、通信部４が取得したセンサ及びカメラの構成情報（数）と一致するか否かを判定する。センサ及びカメラの数が、更新プログラムに付与されたシステム構成情報と一致していれば、照合結果は正当となる。

通信部４は、ステップ１３２５の照合結果が正当な場合は書き込み処理を開始する。照合結果が正当な場合、通信部４は、復号された先頭の更新プログラムをプログラム一時格納領域１５からプログラム部Ａ（８）に書き込む（６３４Ａ）。そして、通信部４は、セントラルゲートウェイ２０３に対して２番目以降の暗号文３０３の送信を要求する（６２８Ｂ）。

次に、図１５Ｂに示すステップ６２９Ｂ～６３６のループ処理が前記実施例８と同様に行われる。配信された更新プログラムの書き込みが終了した後は、ステップ６３７の起動プログラム部の切り換え要求がセントラルゲートウェイ２０３から前記通信部４を介して前記プログラム部Ｂ（９）に送信される（６３８）。

プログラム部Ｂ（９）は、ハードウェア設定部５に設定されている起動用のプログラム部の情報を切り換える。本実施例では、起動用のプログラム部は、プログラム部Ａ（８）に切り換えられる。

次回の起動時は、ステップ６４１で判定部１３が起動用のプログラム部を取得し、ステップ６４５で判定部１３がプログラム部Ａ（８）のプログラムを起動させ、ステップ６４６でプログラム部Ａ（８）がキャリブレーション部Ａ（１１）のデータを参照し、制御対象装置５０の制御を開始する。

前記実施例１では上記ステップ６４５のプログラム部Ａ（８）の起動前に、図５Ｂで示したステップ６４２の制御対象情報の取得からステップ６４４の照合までの処理を判定部１３が行っていた。これに対して、本実施例では、前記復号（６３１Ａ）の直後にシステム構成情報の照合を行っているため、再起動後の照合は行わなくてもよい。

以上のように、実施例９の車両制御装置１は、先頭の暗号文３０３を復号した直後でプログラム部Ａ（８）へ書き込む前の段階で照合を実施するため。これにより、車両制御装置１は誤りを含む更新プログラムを不揮発性メモリ６へ書き込むのを防止して、プログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

実施例１０では実施例９と同様、車両制御装置１の電源ＯＦＦになる前にシステム構成情報の照合を実施して、照合結果が不正となった際の処理について図１６を用いて説明する。

車両制御装置１は、給電装置１６からの電源供給(電源ＯＮ)を受けて、非書き換え部２０の判定部１３を起動する。ステップ６２１の起動用のプログラムの取得からステップ１３２５のシステム構成情報の照合までは前記実施例９と同様の処理である。

通信部４は、ステップ１３２５の前記照合で不正となった場合は、通信部４からデータ書き込み不可通知をセントラルゲートウェイ６０２に通知する。車両制御装置１は照合結果が不正な場合は、送信された更新プログラムをプログラム部Ａ（８）に書き込まない。
また、車両制御装置１は、ハードウェア設定部５の設定も変更しないので、次回の起動時には、前回同様のプログラム部Ｂ（９）で起動する。

これにより、車両制御装置１は誤りを含む更新プログラムを不揮発性メモリ６へ書き込むのを防止して、プログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

実施例１から実施例５と、実施例８、９までの照合対象は制御対象情報を用いた例である。制御対象情報は、工場から車両制御装置１を出荷するタイミングで、非書き換え部２０に設定される。前記制御対象情報とプログラムに格納された制御対象情報の一例について図１７を用いて説明する。

図１７は、ＥＣＵ管理テーブル２１０の一例を示す図である。なお、本実施例ではＥＣＵ管理テーブル２１０を、プログラム配信センタ２０１で管理する例を示す。ＥＣＵ管理テーブル２１０は、制御対象情報２１１と、ＥＣＵ型番２１２と、仕向地２１３と、エンジン２１４と、搭載機能の有無を示すフィールド群（２１５～２１７）と、プログラムに記載された制御対象情報２１８をひとつのエントリに含む。

制御対象情報２１１には、車両制御装置１の識別子が格納される。ＥＣＵ型番２１２には、車両制御装置１の種別が格納される。仕向地２１３には、車両制御装置１を搭載した車両の販売地域が格納される。エンジン２１４には、車両の動力源の種類が格納される。

搭載機能には車両制御装置１に付与された機能の有無が設定され、図示の例ではＡＣＣ（Ａｄａｐｔｉｖｅ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）２１５、ＴＪＰ（Ｔｒａｆｆｉｃ Ｊａｍ Ｐｉｌｏｔ）２１６、ＬＫＡ（Ｌａｎｅ Ｋｅｅｐｉｎｇ Ａｓｓｉｓｔ）２１７の機能の有無を示す。

制御対象情報２１８には、プログラム配信センタ２０１から配信されるプログラムやキャリブレーションデータに記載される車両制御装置１の識別子が格納される。

ＥＣＵ型番２１２が「Ａ１」、仕向地２１３が「日本」、エンジン２１４が「ガソリン」、搭載機能のうちＡＣＣ２１５が「あり」、ＴＪＰ２１６が「あり」、ＬＫＡ２１７が「あり」である車両制御装置１を出荷する際は、前記非書き換え部２０に制御対象情報２１１＝「００１」を格納しておく。

制御対象情報２１１＝「００１」の車両制御装置１に対して、プログラム又はキャリブレーションデータに変更がある場合は、プログラムの先頭データに「００１」を格納し、プログラム配信センタ２０１からプログラムを配信する。

実施例１で記載した図５Ｂのステップ６４４の照合の際には、判定部１３が、前記非書き換え部２０に格納した制御対象情報「００１」と、更新プログラムの先頭データに格納した制御対象情報「００１」を照合する。

判定部１３は、制御対象情報が一致している場合は、プログラム部Ａ（８）を起動し（６４９）、一致していない場合は、更新プログラムを書き込んだプログラム部Ａ（８）は起動させず、電源遮断前に起動していたプログラム部Ｂ（９）を起動する。プログラム部Ａ（８）の起動は、次のプログラムがセントラルゲートウェイ２０３から送信され、正しく書き込まれるまで待つ。

以上のように、車両制御装置１を識別する制御対象情報を更新プログラムに記載することで、車両制御装置１の非書き換え部２０の制御対象情報と照合することができ、更新プログラムの正当性を判定することができる。

実施例６、７、９、１０の照合対象は、システム構成情報である。システム構成情報は、車両制御装置１を工場から出荷するタイミングで、書き換え部３０のデータ格納領域１０に格納される。前記システム構成情報とプログラムに格納されたシステム情報の一例を図１８を用いて説明する。

図１８は、構成管理テーブル２２０の一例を示す図である。なお、本実施例では構成管理テーブル２２０を、プログラム配信センタ２０１で管理する例を示す。構成管理テーブル２２０は、システム情報２２１と、車両の制御システムを構成するデバイスの種類と数を格納するシステム構成（２２２～２２４）をひとつのエントリに含む。

システム情報２２１には、車両の制御システムの構成要素を特定するための識別子が格納される。システム構成は、図示の例では、車両の前方を監視するフロントカメラ数２２２と、後方を監視するバックカメラ数２２３と、側方を監視するサイドレーダ数２２４で構成される。

図示のシステム情報２２１＝「００１」の車両では、フロントカメラを３個、バックカメラを１個、サイドレーダを３個搭載した車両の制御システムである。

車両制御装置１を出荷する際は、前記データ格納領域１０にシステム情報＝「００１」を格納しておく。このシステム情報２２１＝「００１」に対して、プログラム又はキャリブレーションデータに変更がある場合は、プログラムの先頭データに「００１」を格納し、プログラム配信センタ２０１から更新プログラムを配信する。

前記実施例６の図１０でステップ１０４３の照合処理では、判定部１３が前記データ格納領域１０に格納したシステム情報＝「００１」と、前記プログラムの先頭データに格納したシステム情報＝「００１」を照合する。

判定部１３は、システム情報が一致している場合は、ハードウェア設定部５で指定されたプログラム部Ａ（８）を起動し、一致していない場合は、ハードウェア設定部５で指定されたプログラムは起動せず、前回起動したプログラム部Ｂ（９）を起動する。プログラム部Ａ（８）の起動は、次の更新プログラムがセントラルゲートウェイ２０３から送信されて、書き換え部３０に正しく書き込まれるまで待機する。

本実施例では、判定部１３が、書き換え可能なデータ格納領域１０に格納されているシステム情報を読み出して、更新プログラムに記載されたシステム情報と照合することで、更新プログラムの正当性を判定することができる。

書き換え可能なデータ格納領域１０にシステム情報を設定することにより、工場出荷時に非書き換え部２０に情報を格納する必要がなく、また、非書き換え部２０に格納している制御対象情報では照合不可能となってしまった場合にも、照合が可能となる。

実施例１３では、照合処理の一例を図１９を用いて説明する。図１９は、データ格納領域１０に格納されたシステム情報の照合処理の一例を示す図である。

図１９の１９０１は暗号化された更新プログラムであり、車両制御装置１は復号した後にプログラム一時格納領域１５に格納する。プログラム１９０１の先頭データには更新プログラムの識別子（バージョン情報）１９０２が格納され、図示の例は「ＩＤ３」とする。

図中１９０３の照合処理では、判定部１３がデータ格納領域１０に格納されている更新プログラムの識別子の値の最大値（ＩＤ２）よりも、復号された更新プログラムに格納されている識別子（ＩＤ２）１９０２のＩＤの値が大きければ書き込みを許可する。

この場合、データ格納領域１０の更新プログラムの識別子は更新の度、更新されるものとする。すなわち。判定部１３は前記更新プログラムの識別子１９０２（ＩＤ３）を前記データ格納領域１０に格納する。この処理によって、配信された更新プログラムのデータが古いバージョンでの場合、書き込みが実施されることはない。

以上のように、プログラム配信センタ２０１は、更新プログラムを配信する際に更新プログラムの識別子の値を増大させて付与し、車両制御装置１は、受信した更新プログラムの識別子の値が、データ格納領域１０の識別子の値以下の場合には、更新プログラムの書き込みを禁止することで、古いバージョンの更新プログラムが書き込まれるのを防ぐことができる。

＜結び＞
以上のように、上記実施例の車両制御装置１は、以下のような構成とすることができる。

（１）演算部（３）とメモリ（不揮発性メモリ６、揮発性メモリ１４）を含み、前記メモリ（６）に格納されたソフトウェア（暗号文３０３）を更新する車両制御装置（１）であって、暗号化されたソフトウェア（３０３）を受信する通信部（４）と、前記暗号化されたソフトウェア（３０３）を平文（３１２）へ復号する復号部（７）と、前記メモリ（６）に設定されて前記復号されたソフトウェアを格納する書き換え部（２０）と、前記メモリ（６）に予め設定された第１の照合情報（制御対象情報２１１）と、前記ソフトウェア（３０３）に付与された第２の照合情報（識別子１９０２、制御対象情報２１８）と、前記第１の照合情報（２１１）を照合し、照合結果に基づいて前記復号されたソフトウェア（平文３１２）を格納するか否かを判定し、前記復号されたソフトウェア（３１２）を格納する場合には、前記復号されたソフトウェア（３１２）を次回の起動用として選択する判定部（１３）と、を有することを特徴とする車両制御装置。

上記構成により、判定部１３は、起動用のプログラム部Ａ（８）に記載された制御対象情報（２１８）と、非書き換え部２０に設定された工場出荷時の制御対象情報（２１１）が一致することを検証することで、起動するプログラムが正当なソフトウェアであるか否かを判定することができる。判定部１３が実行するプログラム（ソフトウェア）の正当性を判定することにより、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

（２）上記（１）に記載の車両制御装置であって、前記ソフトウェア（３０３）は、プログラムと前記プログラムの出力を調整するキャリブレーションデータの少なくとも一方を含み、前記書き換え部（２０）は、起動用の前記プログラムを格納する第１のプログラム部（プログラム部Ｂ９）と、前記起動用のキャリブレーションデータを格納する第１のキャリブレーション部（キャリブレーション部Ｂ１２）と、更新用の前記プログラムを格納する第２のプログラム部（プログラム部Ａ８）と、前記更新用のキャリブレーションデータを格納する第２のキャリブレーション部（キャリブレーション部Ａ１１）とを独立して有し、前記判定部（１３）は、前記復号された前記プログラム（３１２）を前記第２のプログラム部（８）に格納し、前記復号された前記キャリブレーションデータ（３１２）を前記第２のキャリブレーション部（１１）に格納することを特徴とする車両制御装置。

上記構成により、判定部１３は、制御対象情報（２１１、２１８）の照合結果が不一致（不正）となった場合には、更新プログラムでの起動を禁止することで、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。換言すれば、照合結果が不正な場合には起動用と待機用のプログラム部Ａ（８）、プログラム部Ｂ（９）の切り換えを禁止することで、正当ではないプログラムによって車両の制御が行われることを確実に防ぐことが可能となる。

（３）上記（１）に記載の車両制御装置であって、前記メモリ（６、１４）は、不揮発性メモリ（６）を含み、前記不揮発性メモリ（６）は、前記第１の照合情報（２１１）を格納する非書き換え部（２０）を有することを特徴とする車両制御装置。

上記構成により、非書き換え部（２０）が、照合情報（制御対象情報２１１）を保持することで、照合情報の改竄を防止することができる。

（４）上記（１）に記載の車両制御装置であって、前記メモリ（６、１４）は、不揮発性メモリ（６）を含み、前記不揮発性メモリ（６）は、前記書き換え部（２０）が設定され、前記書き換え部（２０）は、前記第１の照合情報として車両のシステム構成情報（システム情報２２１）を格納するデータ格納領域（１０）を有し、前記第２の照合情報は、車両のシステム構成情報（２２２～２２４）が設定され、前記判定部（１３）は、前記データ格納領域（１０）の前記システム構成情報（２２１）と、前記ソフトウェア（３０３）に付与された前記システム構成情報（２２２）を照合することを特徴とする車両制御装置。

上記構成により、判定部１３が、更新プログラムの正当性を不揮発性メモリ６のデータ格納領域１０に格納されたシステム構成情報で照合する。システム構成情報は工場出荷時に非書き換え部２０に格納する必要はなく、また、非書き換え部２０に格納している制御対象情報では照合不可能となってしまった場合にも、照合が可能となる。また、判定部１３は照合結果が不正な場合には、起動用のプログラムの切り換えを禁止することで、正当ではないプログラムによって車両の制御が行われることを確実に防ぐことが可能となる。

（５）上記（４）に記載の車両制御装置であって、前記データ格納領域（１０）は、当該車両制御装置（１）に接続された診断装置（１２０１）から書き換え可能なことを特徴とする車両制御装置。

上記構成により、以上のように、車両制御装置１に格納されたシステム構成情報は、外部の診断装置１２０１からも書き換え可能である。前記外部の診断装置１２０１からシステム構成情報の書き換えが可能なため、車両のユーザがオプションでセンサやカメラ等の制御システムの構成要素を変更したり、工場出荷時に書き込みした制御対象情報では照合できなくなってしまった場合にも、同様の照合が可能となる。

（６）上記（２）に記載の車両制御装置であって、前記判定部（１３）は、前記照合結果が正当な場合には、前記第２のプログラム部（８）を起動用に切り換え、前記第１のプログラム部（プログラム部Ｂ９）を更新用に切り換えて、前記照合結果が不正な場合には、前記起動用と更新用の切り換えを禁止することを特徴とする車両制御装置。

上記構成により、判定部１３は照合結果が不正な場合には、起動用のプログラムの切り換えを禁止することで、正当ではないプログラムによって車両の制御が行われることを確実に防ぐことが可能となる。

（７）上記（１）に記載の車両制御装置であって、前記通信部（４）は、複数に分割された前記ソフトウェア（３０３）を受信し、前記判定部（１３）は、前記分割されたソフトウェア（３０３）のうち、最初に受信した部分に含まれる第２の照合情報（２１８）を取得して、前記第１の照合情報（２１１）と照合することを特徴とする車両制御装置。

上記構成により、判定部１３は、復号後の更新プログラムを書き換え部３０に書き込む前の段階で制御対象情報（２１１、２１８）の照合を実施するため、前記実施例１と同様に、車両制御装置１におけるプログラムの更新処理（リプログラミング）の信頼性を向上させることが可能となる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。
例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１ 車両制御装置
２ 電源
３ 演算部
４ 通信部
５ ハードウェア設定部(ＵＣＢ)
６ 不揮発性メモリ
７ 復号部
８ プログラム部Ａ
９ プログラム部Ｂ
９ 不揮発性メモリ内部のデータ格納領域
１０ データ格納領域
１１ キャリブレーション部Ａ
１２ キャリブレーション部Ｂ
１３ 判定部
１４ 揮発性メモリ
１５ プログラム一時格納部
１６ 給電装置
１７ 外部装置
２０ 非書き換え部
３０ 書き換え部
２０１ プログラム配信センタ
２０２ アンテナＥＣＵ
２０３ セントラルゲートウェイ

Claims (8)

1. 演算部とメモリを含み、前記メモリに格納されたソフトウェアを更新する車両制御装置であって、
   暗号化されたソフトウェアを受信する通信部と、
   前記暗号化されたソフトウェアを平文へ復号する復号部と、
   前記メモリに設定されて前記復号されたソフトウェアを格納する書き換え部と、
   前記メモリに予め設定された第１の照合情報と、
   前記ソフトウェアに付与された第２の照合情報と、前記第１の照合情報を照合し、照合結果に基づいて前記復号されたソフトウェアを格納するか否かを判定し、前記復号されたソフトウェアを格納する場合には、前記復号されたソフトウェアを次回の起動用として選択する判定部と、を有し、
   前記メモリは、
   不揮発性メモリを含み、
   前記不揮発性メモリは、前記第１の照合情報を格納する非書き換え部を有することを特徴とする車両制御装置。
2. 請求項１に記載の車両制御装置であって、
   前記ソフトウェアは、
   プログラムと前記プログラムの出力を調整するキャリブレーションデータの少なくとも一方を含み、
   前記書き換え部は、
   起動用の前記プログラムを格納する第１のプログラム部と、前記起動用のキャリブレーションデータを格納する第１のキャリブレーション部と、更新用の前記プログラムを格納する第２のプログラム部と、前記更新用のキャリブレーションデータを格納する第２のキャリブレーション部とを独立して有し、
   前記判定部は、
   前記復号された前記プログラムを前記第２のプログラム部に格納し、前記復号された前記キャリブレーションデータを前記第２のキャリブレーション部に格納することを特徴とする車両制御装置。
3. 請求項２に記載の車両制御装置であって、
   前記判定部は、
   前記照合結果が正当な場合には、前記第２のプログラム部を起動用に切り換え、前記第１のプログラム部を更新用に切り換えて、
   前記照合結果が不正な場合には、前記起動用と更新用の切り換えを禁止することを特徴とする車両制御装置。
4. 請求項１に記載の車両制御装置であって、
   前記通信部は、
   複数に分割された前記ソフトウェアを受信し、
   前記判定部は、
   前記分割されたソフトウェアのうち、最初に受信した部分に含まれる第２の照合情報を取得して、前記第１の照合情報と照合することを特徴とする車両制御装置。
5. 無線通信によってソフトウェアを受信する無線通信部と、
   前記無線通信部が受信した前記ソフトウェアを配信する中継装置と、
   演算部とメモリを有して前記ソフトウェアを更新する車両制御装置と、を含む車両制御システムであって、
   前記車両制御装置は、
   暗号化されたソフトウェアを受信する通信部と、
   前記暗号化されたソフトウェアを平文へ復号する復号部と、
   前記メモリに設定されて前記復号されたソフトウェアを格納する書き換え部と、
   前記メモリに予め設定された第１の照合情報と、
   前記ソフトウェアに付与された第２の照合情報と、前記第１の照合情報を照合し、照合結果に基づいて前記復号されたソフトウェアを格納するか否かを判定し、前記復号されたソフトウェアを格納する場合には、前記復号されたソフトウェアを次回の起動用として選択する判定部と、を有し、
   前記メモリは、
   不揮発性メモリを含み、
   前記不揮発性メモリは、
   前記第１の照合情報を格納する非書き換え部を有することを特徴とする車両制御システム。
6. 請求項５に記載の車両制御システムであって、
   前記ソフトウェアは、
   プログラムと前記プログラムの出力を調整するキャリブレーションデータの少なくとも一方を含み、
   前記書き換え部は、
   起動用の前記プログラムを格納する第１のプログラム部と、起動用のキャリブレーションデータを格納する第１のキャリブレーション部と、更新用の前記プログラムを格納する第２のプログラム部と、前記更新用のキャリブレーションデータを格納する第２のキャリブレーション部とを独立して有し、
   前記判定部は、
   前記復号された前記プログラムを前記第２のプログラム部に格納し、前記復号された前記キャリブレーションデータを前記第２のキャリブレーション部に格納することを特徴とする車両制御システム。
7. 請求項６に記載の車両制御システムであって、
   前記判定部は、
   前記照合結果が正当な場合には、前記第２のプログラム部を起動用に切り換え、前記第１のプログラム部を更新用に切り換えて、
   前記照合結果が不正な場合には、前記起動用と更新用の切り換えを禁止することを特徴とする車両制御システム。
8. 請求項５に記載の車両制御システムであって、
   前記通信部は、
   複数に分割された前記ソフトウェアを受信し、
   前記判定部は、
   前記分割されたソフトウェアのうち、最初に受信した部分に含まれる第２の照合情報を取得して、前記第１の照合情報と照合することを特徴とする車両制御システム。

Images