JP7373366B2

JP7373366B2 - 電子制御装置、演算方法

Info

Publication number: JP7373366B2
Application number: JP2019208977A
Authority: JP
Inventors: 桃伽粕谷; 裕紀山▲崎▼; 伸義森田; 周平金子
Original assignee: Hitachi Astemo Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2019-11-19
Filing date: 2019-11-19
Publication date: 2023-11-02
Anticipated expiration: 2039-11-19
Also published as: US20220405226A1; WO2021100527A1; JP2021082002A; CN114746310A

Description

本発明は、電子制御装置および演算方法に関する。

車載ネットワークがインターネットや無線ＬＡＮなどの外部ネットワークに接続され、ユーザーの利便性が向上した反面、車外からのサイバー攻撃によって電子制御装置が乗っ取られる危険性が指摘されている。そのため、自動車が安全であることを証明するために、自動車の起動時に、自動車内のプログラムが改竄されないことを確認した上で、機能を動作させることが望まれる。また、ユーザーの利便性の観点から早期に機能を稼動させることが望まれている。プログラムの安全性を検証する方法として、事前に作成された署名値と現在のプログラムから作成した署名値が一致するか比較する方法が一般的に知られ、安全性を検証した上でプログラムを起動させる方法はセキュアブートと呼ばれる。このセキュアブートを行うことにより、従前よりも起動に長い時間を要することが避けられない。特許文献１には、コンピューターが、システムのプログラム起動毎に、前記プログラムを複数に区分した部分プログラムのうち、ハッシュ値の検証対象となる異なる部分プログラムを選択する選択工程と、前記選択した部分プログラムのハッシュ値を算出する算出工程と、前記算出したハッシュ値が、複数の前記部分プログラムそれぞれの正解のハッシュ値である正解部分ハッシュ値と一致するか否か判定し、一致する場合に前記システムの起動処理を継続し、一致しない場合に前記システムの起動処理を中断する検証工程と、を実行することを特徴とするセキュアブート方法が開示されている。

特開２０１５－０２２５２１号公報

特許文献１に記載されている発明では、起動処理が完了する前は通信データを処理できない。

本発明の第１の態様による電子制御装置は、第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、前記転送制御部は、前記転送情報を自ら書き換えることにより前記通信データの転送先を変更する、または前記第２処理部により前記転送情報が書き換えられることにより前記通信データの転送先が変更される。
本発明の第２の態様による電子制御装置は、第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、前記第２処理部は、改竄を検出する第２セキュリティ検証部を備え、前記第２処理部の前記起動処理は、第１起動処理と第２起動処理とから構成され、前記第１起動処理では、前記第２セキュリティ検証部が前記転送情報を書き換える出力先設定部を実現するプログラム実現データ、および前記第２処理部を前記通信データの転送先としない旨の情報である初期情報の改竄を検出し、前記出力先設定部が前記初期情報を前記転送記憶部に書き込む。
本発明の第３の態様による電子制御装置は、第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、前記第２処理部の前記起動処理は、第１起動処理と第２起動処理とから構成され、前記第１起動処理では、前記第２処理部が読み出し専用領域から、前記転送情報を書き換える出力先設定部を実現するプログラム実現データ、および前記第２処理部を前記通信データの転送先としない旨の情報である初期情報を読み出し、前記出力先設定部が前記初期情報を前記転送記憶部に書き込む。
本発明の第４の態様による電子制御装置は、第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、前記第１処理部および前記転送制御部はデータ転送部に含まれ、前記第２処理部は前記データ転送部に接続され、前記データ転送部はデータリンク層またはネットワーク層におけるスイッチであり、前記転送制御部はスイッチコアであり、前記第１処理部は前記スイッチの内部プロセッサであり、前記第２処理部は前記スイッチに接続されたマイコンである。
本発明の第５の態様による電子制御装置は、第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、前記第２処理部および前記転送制御部はデータ転送部に含まれ、前記第１処理部は前記データ転送部に接続され、前記データ転送部はデータリンク層またはネットワーク層におけるスイッチであり、前記転送制御部はスイッチコアであり、前記第２処理部は前記スイッチの内部プロセッサであり、前記第１処理部は前記スイッチに接続されたマイコンである。
本発明の第６の態様による演算方法は、第１処理部、第２処理部、および転送制御部を備える電子制御装置が実行する演算方法であって、前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能であり、前記第１処理部が、前記転送制御部から転送される前記通信データを処理することと、前記第２処理部は、前記転送制御部から転送される前記通信データを処理することと、前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とすることとを含み、前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、前記転送制御部は、前記転送情報を自ら書き換えることにより前記通信データの転送先を変更する、または前記第２処理部により前記転送情報が書き換えられることにより前記通信データの転送先が変更される。

本発明によれば、起動処理が完了する前でも受信した通信データを処理できる。

第１の実施の形態における電子制御装置の構成図第１の実施の形態における電子制御装置のシーケンス図内部処理部の処理を示すフローチャート転送情報の例を示す図転送更新情報の一例を示す図内部ルート情報の一例を示す図外部ルート情報の一例を示す図第２の実施の形態における電子制御装置の構成図第２の実施の形態における電子制御装置のシーケンス図第２の実施の形態における内部処理部の処理を示すフローチャート第３の実施の形態における電子制御装置の構成図第３の実施の形態における電子制御装置のシーケンス図第４の実施の形態における電子制御装置の構成図第４の実施の形態における電子制御装置のシーケンス図

―第１の実施の形態―
以下、図１～図７を参照して、電子制御装置の第１の実施の形態を説明する。

図１は、第１の実施の形態における電子制御装置１０の構成図である。電子制御装置１０はデータ転送部１００と外部処理部２００とを備える。データ転送部１００は転送制御部１１０と内部処理部１２０を備える。転送制御部１１０は通信部１１１、転送情報制御部１１２、および転送記憶部１１３を備える。転送記憶部１１３には転送情報１１４が格納される。また、内部処理部１２０は、内部制御部１２１、内部セキュリティ検証部１２２、出力先設定部１２３、および内部記憶部１２４を備える。内部記憶部１２４には、内部ルート情報１２５、初期情報１２６、および転送更新情報１２７が格納される。

外部処理部２００は、外部制御部２１０、外部セキュリティ検証部２２０、および外部記憶部２３０を備える。外部記憶部２３０には外部ルート情報２３１が格納される。なお以下では、外部処理部２００を「第１処理部」と呼ぶことがあり、外部セキュリティ検証部２２０を「第１セキュリティ検証部」と呼ぶことがある。また内部処理部１２０を「第２処理部」と呼ぶことがあり、内部セキュリティ検証部１２２を「第２セキュリティ検証部」と呼ぶことがある。

電子制御装置１０は、内部制御部１２１、出力先設定部１２３、および外部制御部２１０を、次のように実現する。すなわち電子制御装置１０は、不図示の中央演算装置であるＣＰＵが、不図示の書き換え可能な記憶領域に記録されたプログラムを不図示のＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）に展開して実行することにより、内部制御部１２１、出力先設定部１２３、および外部制御部２１０を実現する。このことは、内部制御部１２１、出力先設定部１２３、および外部制御部２１０は、第三者により改竄される可能性が存在することを意味する。そのため第１セキュリティ検証部や第２セキュリティ検証部を用いて、これらの機能ブロックを実現するプログラムを起動前に確認する必要がある。

電子制御装置１０は、転送制御部１１０が備える不図示の複数の通信ポートを介して通信バス２、３、４と接続している。また、通信バス２は第２装置２０に接続され、通信バス３は第３装置３０に接続され、通信バス４は第４装置４０に接続される。以下では、第２装置２０、第３装置３０、および第４装置４０をまとめて「各装置」と呼ぶことがある。

ここで、電子制御装置１０の各機能構成を説明する前に、電子制御装置１０の想定される接続構成を説明する。電子制御装置１０は、データリンク層またはネットワーク層におけるスイッチ、いわゆるＬ２スイッチまたはＬ３スイッチである。第２装置２０、第３装置３０、および第４装置４０は、ある１台の車両に搭載されるＥＣＵ（Electronic Control Unit；電子制御装置）またはゲートウェイ装置である。通信バス２、３、４の通信規格は特に限定されないが、たとえばＣＡＮ（登録商標）、ＬＩＮ（登録商標）、およびＩＥＥＥ８０２．３などを用いることができる。通信バスは第２装置２０だけではなく、その他の電子制御装置に接続され、バス型やスター型のネットワークを構築してもよい。以下では、一例として通信バス２、３、４にＩＥＥＥ８０２．３が利用されているものとして説明する。

本実施の形態では、各装置が通信バスに出力するディジタル信号を「通信データ」と呼ぶ。通信データの具体的な名称は通信プロトコルにより異なるが、たとえばフレーム、データグラム、パケットなどが通信データに相当する。

次に、図１に示した電子制御装置１０の各機能を説明する。電子制御装置１０は、第２装置２０、第３装置３０、および第４装置４０から送信された通信データを適切な装置に転送する機能を有する。以下に説明するように、転送制御部１１０、内部処理部１２０、および外部処理部２００のいずれが通信データの転送における主たる役割を担うかは、状況や通信データの内容により異なる。

転送制御部１１０は、通信部１１１、転送情報制御部１１２、および転送記憶部１１３を備える。転送制御部１１０は、ある通信ポートにおいて受信した通信データを他の通信ポートに転送する。ただし転送先の通信ポートの決定は、転送制御部１１０が行う場合もあるが、内部処理部１２０や外部処理部２００が行う場合もある。通信部１１１および転送情報制御部１１２はハードウエア回路で構成されており、改竄の危険性がない。内部処理部１２０や外部処理部２００とは異なり、起動時に通信部１１１および転送情報制御部１１２の安全性を確認する必要がない。

通信部１１１は、第２装置２０、第３装置３０、第４装置４０、内部処理部１２０、および外部処理部２００からの通信データを送受信する。受信した通信データの転送先は転送情報制御部１１２から指示される。転送情報制御部１１２は、通信部１１１で受信した通信データの転送先を転送情報１１４を参照して決定し、通信部１１１に受信した通信データの転送先を指示する。転送記憶部１１３は、揮発性または不揮発性の記憶領域である。

転送情報１１４は、受信した通信データの転送先に関するデータが格納されている。後述するように、転送情報１１４は内部処理部１２０の出力先設定部１２３により書き換えられる。本実施の形態における転送先は、内部処理部１２０、外部処理部２００、第２装置２０、第３装置３０、および第４装置４０がある。転送情報１１４のデータ構造は、後に図４を参照して説明する。

内部処理部１２０は、受信した通信データの転送先を書き換える機能を有する。たとえば内部処理部１２０は、スイッチの内部プロセッサ上に実装される。内部制御部１２１、および出力先設定部１２３は、不揮発性の記憶領域、たとえば内部記憶部１２４に格納されたプログラムをＣＰＵがＲＡＭに展開して実行することにより実現される。内部セキュリティ検証部１２２はハードウエア回路により実現、またはＲＯＭやＯＴＰ（ＯｎｅＴｉｍｅＰｒｏｇｒａｍ）領域などの書換え不可能な領域に格納されたプログラムをＲＡＭに読み込むことにより実現される。

内部制御部１２１は、内部ルート情報１２５に基づいて、受信した通信データの通信ヘッダに記載されている転送先を書き換え、転送制御部１１０に通信データを送信する。
内部セキュリティ検証部１２２は、内部処理部１２０に保存されているプログラムやデータが改竄されていないことを確認する機能を有する。なお内部処理部１２０のプログラムやデータは、プログラムの起動前やデータの読み込み前に内部セキュリティ検証部１２２で改竄の有無が確認され、安全性が確認された後に用いられる。内部セキュリティ検証部１２２はたとえば、内部制御部１２１を実現するためのプログラムのハッシュ値を計算し、その署名値が予め記録されている値と一致する場合には改竄なしと判断し、ハッシュ値が一致しない場合には改竄ありと判断する。ただし、事前に作成されたハッシュ値はＨＳＭ（Hardware Security Module）のような読み出し専用メモリに格納する必要がある。

出力先設定部１２３は転送制御部１１０の転送記憶部１１３への書き込みを行い、転送情報１１４の作成および更新を行う。転送情報１１４の作成及び更新には、内部記憶部１２４に格納される初期情報１２６および転送更新情報１２７が用いられる。内部記憶部１２４は、揮発性、または不揮発性の記憶領域である。内部記憶部１２４が揮発性の場合には、不図示の不揮発性の記憶領域に格納される内部ルート情報１２５、初期情報１２６、および転送更新情報１２７が電子制御装置１０の起動の際に内部記憶部１２４に読み込まれる。

内部ルート情報１２５は、内部制御部１２１により通信データの転送先の書換えに用いられる。初期情報１２６は、通信データの転送先に関する情報である。初期情報１２６は、出力先設定部１２３を通じて転送記憶部１１３に書き込まれる。これにより後述するように転送情報１１４が作成される。初期情報１２６は、転送情報１１４と同じデータ構造をとる。転送更新情報１２７は、通信データの転送先の書換えに必要なデータが格納されており、転送情報１１４の更新に用いられる。

外部処理部２００は、内部処理部１２０と同様に、受信した通信データの転送先を書き換える。外部処理部２００はマイコン上に実装され、内部処理部１２０と比較すると小規模である。そのため外部処理部２００は内部処理部１２０に比べて処理能力は低いが内部処理部１２０よりも早く起動処理が完了する。外部制御部２１０は、外部ルート情報２３１に基づいて、受信した通信データの通信ヘッダに記載されている転送先を書換え、転送制御部１１０に通信データを送信する。

外部セキュリティ検証部２２０は、内部セキュリティ検証部１２２と同様の機能をもち、外部処理部２００に保存されているプログラムやデータが改竄されていないことを確認する機能を有する。なお以下では、外部セキュリティ検証部２２０や内部セキュリティ検証部１２２がプログラムおよびデータの改竄がされていないことを確認して使用可能な状態にすることを「セキュアブート」とも呼ぶ。外部ルート情報２３１は、受信した通信データの転送先の書換えに必要な情報である。外部ルート情報２３１は、内部ルート情報１２５と同様の構造を有する。

図２は電子制御装置１０の処理の流れを説明するシーケンス図である。図２で示す処理は電子制御装置１０で実行されるものである。内部処理部１２０の起動処理は２段階に分かれており、前半を「第１起動処理」と呼び、後半を「第２起動処理」と呼ぶ。まず、ステップＳ３００では、電子制御装置１０の電源がオンにされ、内部処理部１２０、外部処理部２００、および転送制御部１１０に電気が供給される。なお図２の左端には、電子制御装置１０が通信データを処理する処理能力の時系列変化を示している。この処理能力は、図示横方向の幅が広いほど処理能力が高いことを示している。

ステップＳ３０１では、外部セキュリティ検証部２２０が、外部処理部２００のプログラムやデータが改竄されていないか検証する。外部セキュリティ検証部２２０による検証が完了すると、外部処理部２００はステップＳ３０２に移行し、プログラムを起動させることで、通信データの転送処理が可能な状態、すなわちルーティング受付状態に遷移する。ルーティング受付状態では、通信データを受信すると、外部制御部２１０が外部ルート情報２３１に基づいて、通信ヘッダの転送先を書き換えて転送制御部１１０の通信部１１１に送信することで、通信データを他の装置へ転送させる。

内部処理部１２０の第１起動処理であるステップＳ３０３では、内部処理部１２０の全体ではなく、転送制御部１１０の転送情報１１４の設定に関するプログラムやデータを内部セキュリティ検証部１２２で安全性検証をして起動させる。具体的には、内部処理部１２０の出力先設定部１２３と初期情報１２６をセキュアブートさせる。内部処理部１２０は、出力先設定部１２３および初期情報１２６が使用可能になると、ステップＳ３０４に進む。

ステップＳ３０４では、出力先設定部１２３が初期情報１２６を転送制御部１１０の転送記憶部１１３に書き込みを行い、転送情報１１４を生成する。ステップＳ３０４で生成される転送情報１１４は、転送先の１つに外部処理部２００が設定されており、転送制御部１１０で受信した通信データを外部処理部２００に転送できるようになる。外部処理部２００はルーティング受付状態であることから、ルーティング機能を稼動させる。なおステップＳ３０４で生成される転送情報１１４では、転送先に内部処理部１２０は含まれない。

内部処理部１２０は、出力先設定部１２３による転送記憶部１１３への書き込みが終了するとステップＳ３０５に進む。内部処理部１２０の第２起動処理であるステップＳ３０５では内部セキュリティ検証部１２２は、前述のステップＳ３０３でセキュアブートしなかった残りのプログラムおよびデータを対象として、セキュアブートを行う。具体的には、内部セキュリティ検証部１２２は内部制御部１２１、内部ルート情報１２５、転送更新情報１２７を対象としてセキュアブートを行う。これらのセキュアブートが完了するとステップＳ３０６に進む。

内部処理部１２０はステップＳ３０６では、出力先設定部１２３が転送更新情報１２７を転送記憶部１１３に書き込むことで転送情報１１４を更新する。この更新により転送情報１１４の転送先に内部処理部１２０が含まれるようになる。ステップＳ３０７では、内部処理部１２０は、通信データの転送処理が可能な状態、すなわちルーティング受付状態に遷移し、転送制御部１１０から受信した通信データを転送情報１１４に従って転送させる。

図２の左端に示す電子制御装置１０の処理能力の時系列変化を説明する。ステップＳ３０４が完了するまでは通信データの処理ができないので処理能力はゼロである。ステップＳ３０４が完了すると、転送制御部１１０および外部処理部２００による通信データの処理が可能となる。そしてステップＳ３０６が完了すると転送制御部１１０、外部処理部２００および内部処理部１２０による通信データの処理が可能となるので処理能力が増強される。

図３は内部処理部１２０の詳細な処理手順を示すフローチャートである。内部処理部１２０に電源が入力されると、ステップＳ４００が開始される。ステップＳ４００では、内部セキュリティ検証部１２２がセキュアブートを実行し、転送制御部１１０の転送情報１１４への書き込みに関連する機能が改竄されていないことを確認する。具体的には、内部処理部１２０の出力先設定部１２３および初期情報１２６をセキュアブートする。

続くステップＳ４０１では内部処理部１２０は、ステップＳ４００で実施したセキュアブートが成功し、起動できたか否かを確認する。内部処理部１２０は、セキュアブートが失敗したと判断する場合は、ステップＳ４０２に移行し、処理を停止して図３の処理を終了する。内部処理部１２０はセキュアブートが成功したと判断すると、ステップＳ４０３に移行する。

ステップＳ４０３では内部処理部１２０は、外部処理部２００のセキュアブートが完了し、すでにルーティング受付状態であるかを確認する。なおこのステップは、内部処理部１２０のセキュアブートが完了するよりも短時間で外部処理部２００のセキュアブートが完了していることが既知の場合や、より短時間で転送機能を起動させたい場合など、状況によりスキップしてもよい。内部処理部１２０は、外部処理部２００がルーティング受付状態であると判断する場合はステップＳ４０４に進む。内部処理部１２０は、外部処理部２００がルーティング受付状態にないと判断する場合は、ステップＳ４０２に移行し、処理を停止して図３の処理を終了する。

ステップＳ４０４では、出力先設定部１２３が転送制御部１１０の転送記憶部１１３に初期情報１２６の情報を書き込むことで転送情報１１４を作成する。転送情報１１４の作成が完了すると、転送制御部１１０が受信した通信データは外部処理部２００に転送可能となる。したがって、転送機能はステップＳ４０４が完了した時点で既に稼動している。

続くステップＳ４０５では内部セキュリティ検証部１２２は、ステップＳ４００において安全性を検証しなかった内部処理部１２０の残りのプログラムおよびデータを対象にセキュアブートを実行する。具体的には、内部制御部１２１、内部ルート情報１２５および転送更新情報１２７をセキュアブートさせる。

続くステップＳ４０６では内部処理部１２０は、ステップＳ４０５において実施したセキュアブートが成功したか否かを確認する。内部処理部１２０はセキュアブートに成功したと判断する場合はステップＳ４０７に進み、セキュアブートに失敗したと判断する場合はステップＳ４０２に移行し、処理を停止して図３の処理を終了する。

ステップＳ４０７では出力先設定部１２３が、出力先設定部１２３が転送制御部１１０の転送記憶部１１３に転送更新情報１２７の情報を書き込むことで転送情報１１４を更新する。続くステップＳ４０８では、内部処理部１２０がルーティング受付状態になり、転送制御部１１０で受信した通信データの処理が可能になり、図３に示す処理が終了する。

図４は、転送情報１１４の一例を示す図である。図４（ａ）は、図２のステップＳ３０４や図３のステップＳ４０４の処理により作成される転送情報１１４である。図４（ｂ）は、図２のステップＳ３０６や図３のステップＳ４０７により作成される転送情報１１４である。以下では、図４（ａ）に示す転送情報１１４を「更新前」の転送情報１１４と呼び、図４（ｂ）に示す転送情報１１４を「更新後」の転送情報１１４と呼ぶ。

転送情報１１４は、ＭＡＣアドレス１１３０および転送先１１３１から構成される。ＭＡＣアドレス１１３０は受信した通信データを識別し、登録されている転送先を調査するために使用される。転送先１１３１には、受信した通信データの転送先が記載されている。たとえば、内部処理部１２０、外部処理部２００、および第２装置２０や第３装置３０に接続されるポート番号が記載される。

転送情報１１４の更新前に受信した通信データは、内部処理部１２０には転送されず、いずれかの装置、また外部処理部２００に転送される。これは、内部処理部１２０の転送機能の起動が完了していないので、内部処理部１２０への転送を避ける意図で更新前の転送情報１１４が作成されているためである。転送制御部１１０が内部処理部１２０、および外部処理部２００から受信した通信データは通信ヘッダに含まれる転送先ＭＡＣアドレスが書換えられている。そのため転送情報制御部１１２は、転送情報１１４を再び参照して転送先を検索し、該当する転送先に送信する。

なお図４では、通信データの識別のためにＭＡＣアドレス１１３０を用いる例を示したが、通信データの転送先を判別可能な値であれば他の値を使用してもよい。たとえば、ＭＡＣアドレス１１３０の一部の値を使用したり、ＩＰアドレスやその一部を使用したりすることによって転送先を判別してもよい。

図５は、転送更新情報１２７の一例を示す図である。転送更新情報１２７は、転送情報１１４の更新部分、たとえば図４（ａ）と図４（ｂ）の差分である。出力先設定部１２３は、転送記憶部１１３に格納される転送情報１１４を参照し、転送更新情報１２７のＭＡＣアドレスが一致した場合に転送先１１３１に格納されている情報を転送先１２６１の情報に更新する。図５の例では、ＭＡＣアドレス「００：０１：０２：０３：０５」の転送先が内部処理部１２０に更新される。図４（ｂ）に示す更新後の転送情報１１４では、通信データの処理負荷分散のため、更新後に外部処理部２００と内部処理部１２０とで分散して処理している。ただし更新後は、外部処理部２００は通信データの転送処理を行わず、内部処理部１２０がすべての通信データを処理してもよい。

図６は、内部ルート情報１２５の一例を示す図である。内部ルート情報１２５は、ＩＰアドレス１２４０と転送用ＭＡＣアドレス１２４１から構成される。内部制御部１２１は内部ルート情報１２５を参照し、受信した通信データのヘッダに含まれるＩＰアドレスから転送先のＭＡＣアドレスを検索し、検索したＭＡＣアドレスにヘッダ情報を書換え、転送制御部１１０に送信する。たとえば、ＭＡＣアドレスが「００：０１：０２：０３：０４：０５」でＩＰアドレスが「２５５．２５５．１．３」の通信データを受信した場合、データベースから転送先ＭＡＣアドレスを検索し、通信ヘッダを「００：０１：０２：０３：０４：０５」から「１Ａ：２Ｂ：３Ｃ：４Ｄ：５Ｅ：６Ｆ」に書き換える。

図７は、外部ルート情報２３１の一例を示す図である。外部ルート情報２３１のデータの構造は図６の内部ルート情報１２５と同一である。外部処理部２００は、内部処理部１２０が稼動する前に受信した通信データに対しても、通信データの転送先ＭＡＣアドレスの書換えを実施する必要があるため、外部ルート情報２３１は内部ルート情報１２５よりもデータ量が多い。

上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）電子制御装置１０は、外部処理部２００（第１処理部）、内部処理部１２０（第２処理部）、および転送制御部１１０を備える。外部処理部２００よりも内部処理部１２０は起動処理に長い時間を要する。転送制御部１１０は、外部から受信する通信データを外部処理部２００および内部処理部１２０に転送可能である。転送制御部１１０は、図４（ａ）に示すように起動から内部処理部１２０の起動処理が完了するまでは内部処理部１２０をデータの転送先とせず外部処理部２００を転送先に含め、図４（ｂ）に示すように内部処理部１２０の起動処理が完了すると少なくとも内部処理部１２０をデータの転送先とする。そのため、内部処理部１２０が起動処理が完了する以前であっても通信データの処理が可能であり、起動時に受信した通信データの処理能力が担保される。また、内部処理部１２０の起動処理が完了すれば内部処理部１２０を用いて通信データを処理するため、処理能力が向上する。

たとえば、内部処理部１２０および外部処理部２００の全体の起動処理が完了するまでは転送制御部１１０は通信データを一切処理しない構成も考えられる。その場合は、全体の起動処理が完了するまでは、処理能力はゼロである。これに対して本実施の形態では、外部処理部２００の起動処理が完了しなくても転送制御部１１０および内部処理部１２０により通信データを処理するので、処理能力が低いながらも起動中から処理を開始することができる。すなわち本実施の形態では、処理能力がゼロの期間を短くすることができる。

（２）転送制御部１１０は、データの識別子とデータの転送先の対応情報である転送情報１１４を格納する転送記憶部１１３を備える。転送制御部１１０は、転送情報１１４を参照してデータの転送先を決定する。転送制御部１１０は、内部処理部１２０により転送情報１１４が書き換えられることにより通信データの転送先が変更される。

（３）転送制御部１１０は、内部処理部１２０の起動処理が完了すると転送情報１１４を参照してデータを、外部処理部２００および内部処理部１２０を含む転送先のいずれかに転送する。そのため、内部処理部１２０の起動処理が完了すると、外部処理部２００だけでなく内部処理部１２０も利用して通信データの転送処理を実行するので処理がより高速となる。

（４）内部処理部１２０は、改竄を検出する内部セキュリティ検証部１２２（第２セキュリティ検証部）を備える。内部処理部１２０は、内部処理部１２０を構成する内部セキュリティ検証部１２２を除く少なくとも１つの構成の改竄の検出を内部セキュリティ検証部１２２を用いて起動処理の一部として行う。

（５）転送制御部１１０は、データの識別子とデータの転送先の対応情報である転送情報１１４を格納する転送記憶部１１３を備える。転送制御部１１０は、転送情報１１４を参照してデータの転送先を決定する。内部処理部１２０は、改竄を検出する内部セキュリティ検証部１２２（第２セキュリティ検証部）を備える。内部処理部１２０の起動処理は、図２のＳ３０３である第１起動処理と、図２のＳ３０５である第２起動処理とから構成される。第１起動処理では、内部セキュリティ検証部１２２が転送情報１１４を書き換える出力先設定部１２３を実現するプログラム、および内部処理部１２０をデータの転送先としない旨の情報である初期情報１２６の改竄を検出し、出力先設定部１２３が初期情報１２６を転送記憶部１１３に書き込む。そのため、内部セキュリティ検証部１２２を用いて改竄がされていなことが確認された安全な転送情報１１４の作成ができる。

（変形例１）
上述した第１の実施の形態では、データ転送部１００は転送制御部１１０と内部処理部１２０とを独立した構成として説明した。しかし、転送制御部１１０と内部処理部１２０とが明示的に分離されない構成でもよい。

（変形例２）
上述した第１の実施の形態では、内部処理部１２０および外部処理部２００の両者ともセキュアブートを行った。しかし内部処理部１２０および外部処理部２００の少なくとも一方は、セキュアブートを行わなくてもよい。セキュアブートを行わなくてもよい場合とはたとえば、プログラムやデータが読み出し専用のメモリに格納される場合や、改竄の可能性を考慮しなくてよい場合などである。セキュアブートを行わない場合であっても、たとえばプログラムやデータのデータサイズが大きいことなどを理由として外部処理部２００の起動が内部処理部１２０よりも長時間を要する場合には、本実施の形態の構成が有効である。すなわち、起動処理に長時間を有する外部処理部２００の起動処理が完了するまでは外部処理部２００が転送制御部１１０からの転送先の１つとなり、外部処理部２００の起動処理が完了すると外部処理部２００および内部処理部１２０が転送制御部１１０からの転送先に含まれることで、起動処理が完了する前に通信データの処理を開始できる。

（変形例３）
上述した第１の実施の形態では、内部処理部１２０の出力先設定部１２３が転送制御部１１０の転送記憶部１１３に書き込みを行った。しかし内部処理部１２０は転送制御部１１０に書き込みの指令を送信して転送制御部１１０が転送記憶部１１３への書き込みを行ってもよい。この場合には、初期情報１２６および転送更新情報１２７が転送制御部１１０に備えられる。内部処理部１２０が転送制御部１１０に書き換え指令を送信し、転送制御部１１０が自ら転送情報１１４を書き換える。

（変形例４）
上述した第１の実施の形態では、内部処理部１２０の起動処理が完了すると、内部処理部１２０および外部処理部２００の両方を転送先に含むように転送情報１１４が書き換えられた。しかし転送情報１１４は、内部処理部１２０の起動処理が完了すると、内部処理部１２０は転送先に含むが外部処理部２００は転送先に含まないように書き換えられてもよい。この場合はたとえば、内部処理部１２０の起動処理が完了すると転送情報１１４は、図４（ｂ）の３行目における「外部処理部」を「内部処理部」に書き換えたものとなる。本変形例によれば、内部処理部１２０の起動処理が完了すると外部処理部２００は通信データの転送処理を行わないので、外部処理部２００は別の処理を実行することができる。

（変形例５）
上述した第１の実施の形態では、内部制御部１２１および出力先設定部１２３は不図示のＣＰＵがプログラムを実行することにより実現された。しかし内部制御部１２１および出力先設定部１２３は、書き換え可能な論理回路であるＦＰＧＡ（Field Programmable Gate Array）を用いて実現されてもよい。ＦＰＧＡに書き込むコンフィギュレーションデータが書き換え可能な記憶領域に格納される場合には、内部セキュリティ検証部１２２はセキュアブートの処理として、コンフィギュレーションデータの改竄を検出する。内部セキュリティ検証部１２２は、コンフィギュレーションデータもプログラムと同様に署名値を計算し、その署名値が予め記録されている値と一致するか否かにより改竄されているか否かを判断する。

なおプログラムとコンフィギュレーションデータは、読み込まれる対象は異なるが上述した機能ブロックを実現するプログラムコードという点では類似する。以下では、プログラムとコンフィギュレーションデータとをあわせて、「プログラム実現データ」と呼ぶ。この変形例５によれば、電子制御装置１０の構成にＦＰＧＡが含まれる場合にも第１の実施の形態と同様の作用効果を得ることができる。

（変形例６）
上述した第１の実施の形態では、通信データの一部は転送制御部１１０だけでも処理可能であった。たとえば図４（ａ）に示す上から２つのＭＡＣアドレスを有する通信データは、内部処理部１２０や外部処理部２００に転送することなく転送制御部１１０だけで処理が完結した。しかし転送制御部１１０は、転送制御部１１０だけでは処理を完結させず通信データを常に内部処理部１２０や外部処理部２００に転送してもよい。

（変形例７）
内部制御部１２１および外部制御部２１０は、受信した通信データのヘッダ情報を書き換えた。しかし内部制御部１２１および外部制御部２１０の少なくとも一方は、受信した通信データのヘッダ情報を書き換えなくてもよい。この場合には内部制御部１２１および外部制御部２１０は、通信データを用いる何らかの処理を行う。この処理とはたとえば、通信データが所定の規則に従ったものであるか否かを判断し、所定の規則に従っていなければ通信データを破棄する処理である。

（変形例８）
内部処理部１２０と外部処理部２００は、その所在が入れ替わってもよい。すなわち外部処理部２００がデータ転送部１００に含まれ、内部処理部１２０はデータ転送部１００の外部に存在してもよい。

―第２の実施の形態―
図８～図１０を参照して、電子制御装置の第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、一部のプログラムの改竄の恐れがない点で、第１の実施の形態と異なる。

図８は、第２の実施の形態における電子制御装置１０Ａの構成図である。第１の実施の形態における電子制御装置１０と同一の構成には同一の符号を付して説明を省略する。本実施の形態では、内部処理部１２０の出力先設定部１２３を実現するプログラム、および初期情報１２６がＨＳＭやＯＴＰ（One Time Program）領域などの書換え不可のメモリ領域１２９に保存される。すなわち、転送制御部１１０の転送記憶部１１３への書き込みに必要な機能を実現するプログラム、および転送記憶部１１３に書き込む情報が書換え不可領域に保存される対象である。

図９は、第２の実施の形態における電子制御装置１０Ａの動作を示すシーケンス図である。図２と同様の処理については、同じ番号を付し、説明を省略する。図２のシーケンス図と比較すると、内部処理部１２０の動作開始直後の処理、すなわち転送制御部１１０の転送記憶部１１３へ書き込むための機能を起動させる方法が異なる。

ステップＳ９００では内部処理部１２０は、転送記憶部１１３への書き込みを行うプログラム、すなわち出力先設定部１２３の起動、および初期情報１２６の読み出しを行う。本実施の形態では、出力先設定部１２３を実現するためのプログラムおよび初期情報１２６は書き込み不可領域に保存されており改竄の危険性がないため、内部セキュリティ検証部１２２による検証を省略できる。その後の処理は第１の実施の形態と同様なので説明を省略する。

図１０は、第２の実施の形態における内部処理部１２０の処理を示すフローチャートである。図３で示したステップと同様の処理については、同じ番号を付して説明を省略する。図３と比較し、ステップＳ４００およびＳ４０１がステップＳ９００に代替される。

ステップＳ１０００では、転送情報１１４の書き込みに関するプログラムがＨＳＭに保存されているため、改竄の危険性がないことから、セキュアブートせずに、出力先関連部分を読み出して起動させる。具体的には、出力先設定部１２３および初期情報１２６を呼び出す。

上述した第２の実施の形態によれば、次の作用効果が得られる。
（６）電子制御装置１０Ａの転送制御部１１０は、データの識別子とデータの転送先の対応情報である転送情報１１４を格納する転送記憶部１１３を備える。転送制御部１１０は、転送情報１１４を参照してデータの転送先を決定する。内部処理部１２０の起動処理は、第１起動処理と第２起動処理とから構成される。第１起動処理では、読み出し専用領域から、内部セキュリティ検証部１２２が転送情報１１４を書き換える出力先設定部１２３を実現するプログラムコード、および内部処理部１２０をデータの転送先としない旨の情報である初期情報１２６を読み出し、出力先設定部１２３が初期情報１２６を転送記憶部１１３に書き込む。そのため、本実施の形態では内部セキュリティ検証部１２２が出力先設定部１２３および初期情報１２６のセキュアブートを要しないので、第１の実施の形態よりも早期に第１処理を完了できる。

―第３の実施の形態―
図１１～図１２を参照して、電子制御装置の第３の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、終了時に転送情報が書き換えられる点で、第１の実施の形態と異なる。

図１１は、第３の実施の形態における電子制御装置１０Ｂの構成図である。第１の実施の形態における電子制御装置１０と同一の構成には同一の符号を付して説明を省略する。本実施の形態では、内部処理部１２０が終了処理部１２８をさらに備える。また、内部セキュリティ検証部１２２および出力先設定部１２３の処理が第１の実施の形態と異なっている。また本実施の形態では、転送記憶部１１３は不揮発性の記憶装置、たとえばフラッシュメモリ、相変化メモリ、磁気メモリなどである。そのため電子制御装置１０Ｂに電源が供給されると、転送記憶部１１３には電源供給が停止された際に格納されていた情報がそのまま残っている。

本実施の形態では、電子制御装置１０Ｂは、外部からの電源供給が停止される前に動作停止指令信号が入力される。出力先設定部１２３は、動作停止指令信号が入力されると、転送記憶部１１３に初期情報１２６を書き込み、転送情報１１４を図４（ａ）に示すように転送先に内部処理部１２０が含まれないものに書き換える。この書き換えの後に電子制御装置１０Ｂへの電源供給が停止される。

電子制御装置１０Ｂは、電源が供給されると内部処理部１２０と外部処理部２００のそれぞれがセキュアブートを開始する。ただし内部処理部１２０の内部セキュリティ検証部１２２は、内部制御部１２１、出力先設定部１２３、内部ルート情報１２５、および転送更新情報１２７をセキュアブートの対象とする。すなわち起動時には初期情報１２６はセキュアブートの対象としない。初期情報１２６は、起動後の処理負荷が低いタイミングで検証が行われる。内部処理部１２０は、セキュアブートが完了すると出力先設定部１２３を用いて転送記憶部１１３に転送更新情報１２７を書き込むことで、転送情報１１４を図４（ｂ）に示すように転送先に内部処理部１２０が含まれるものに書き換える。この書き換えが完了すると、内部処理部１２０はルーティング受付状態に遷移する。

図１２は、第３の実施の形態における電子制御装置１０Ｂの動作を示すシーケンス図である。第１の実施の形態や第２の実施の形態と同様の処理については、同じ番号を付し、説明を省略する。図１２に示すシーケンス図の上部では、電子制御装置１０Ｂの起動からしばらく時間が経過し、内部処理部１２０および外部処理部２００の両方ともがルーティング受付状態に遷移している。なおこのときの転送情報１１４は、図４（ｂ）に示すように転送先に内部処理部１２０が含まれるものである。

ステップＳ３９０において、動作停止指令信号が入力されると、内部処理部１２０の出力先設定部１２３は次の処理を行う。すなわち出力先設定部１２３は、ステップＳ９１０において内部記憶部１２４から初期情報１２６を読み出して、ステップＳ３１４において転送制御部１１０の転送記憶部１１３に書き込む。この書き込みの完了の後に、内部処理部１２０の電源供給が終了する。その後、ステップＳ３００において内部処理部１２０に電源が供給される。外部処理部２００は、第１の実施の形態と同様にステップＳ３０１においてセキュアブートを行い、完了するとルーティング受付状態に遷移する（ステップＳ３０２）。

ステップＳ３０１が完了した段階において、電源がオフになる直前のステップＳ３１４における書き換えにより、第１の実施の形態におけるＳ３０４に相当する処理が完了している。そのため、外部処理部２００がステップＳ３０２によってルーティング受付状態に遷移すると、外部処理部２００を用いたルーティング処理が可能となる。

上述した第３の実施の形態によれば、次の作用効果が得られる。
（７）転送記憶部１１３は不揮発性の記憶領域である。電子制御装置１０Ｂの終了処理として、転送先に内部処理部１２０が含まれないように転送情報１１４を書き換える終了処理部１２８を備える。そのため電子制御装置１０Ｂは、第１の実施の形態や第２の実施の形態よりも早期に転送データの処理を開始することができる。

―第４の実施の形態―
図１３～図１４を参照して、電子制御装置の第４の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、内部処理部と外部処理部のいずれが先に起動処理が完了する場合にも対応する点で、第１の実施の形態と異なる。

図１３は、第４の実施の形態における電子制御装置１０Ｃの構成図である。第１の実施の形態における電子制御装置１０と同一の構成には同一の符号を付して説明を省略する。本実施の形態における内部処理部１２０は、第１の実施の形態における構成に加えて、内部決定部９６１をさらに備える。また内部記憶部１２４には、初期情報１２６の代わりに内部初期情報９５１が格納される。本実施の形態における外部処理部２００は、第１の実施の形態における構成に加えて、外部決定部９６２と外部出力先設定部９６３とを備える。外部記憶部２３０には、外部初期情報９５２が格納される。

内部処理部１２０の内部セキュリティ検証部１２２は、起動時には内部制御部１２１、出力先設定部１２３、内部決定部９６１、内部ルート情報１２５、および内部初期情報９５１のセキュアブートを行う。第１の実施の形態では内部処理部１２０は２段階に分けてセキュアブートを行ったが、本実施の形態ではこれらすべてを一気に処理する。

外部処理部２００の外部セキュリティ検証部２２０は、起動時に、外部制御部２１０、外部決定部９６２、外部出力先設定部９６３、外部ルート情報２３１、および外部初期情報９５２のセキュアブートを行う。

内部初期情報９５１とは、受信した通信データの転送先に関するデータであり、転送先の少なくとも１つに内部処理部１２０が設定され、外部処理部２００は転送先に含まないものである。外部初期情報９５２とは、受信した通信データの転送先に関するデータであり、転送先の少なくとも１つに外部処理部２００が設定され、内部処理部１２０は転送先に含まないものである。外部初期情報９５２はたとえば図４（ａ）に示したものである。

内部決定部９６１は、内部処理部１２０のセキュアブートが完了すると次の動作を行う。内部決定部９６１は外部処理部２００のセキュアブートが完了しているか否かを判断する。外部処理部２００のセキュアブートが完了しているか否かは、たとえば内部決定部９６１が転送記憶部１１３の内容を読み込んで判断してもよいし、内部処理部１２０と外部処理部２００がセキュアブートが完了した旨の信号を相互に送りあうことにより実現してもよい。

内部決定部９６１は外部処理部２００のセキュアブートが完了していないと判断すると、出力先設定部１２３を用いて転送記憶部１１３に内部初期情報９５１を書き込み、内部処理部１２０を転送先として含む転送情報１１４を作成する。内部決定部９６１は外部処理部２００のセキュアブートが完了していなると判断すると、出力先設定部１２３を用いて転送記憶部１１３に書き込みを行い転送情報１１４の転送先に内部処理部１２０と外部処理部２００の両方を含む状態、たとえば図４（ｂ）に示す状態に書き換える。

外部決定部９６２は、外部処理部２００のセキュアブートが完了すると次の動作を行う。外部決定部９６２は内部処理部１２０のセキュアブートが完了しているか否かを判断する。この判断は内部決定部９６１と同様の手法で実現できる。外部決定部９６２は内部処理部１２０のセキュアブートが完了していないと判断すると、外部出力先設定部９６３を用いて転送記憶部１１３に外部初期情報９５２を書き込み、外部処理部２００を転送先として含む転送情報１１４を作成する。外部決定部９６２は内部処理部１２０のセキュアブートが完了していなると判断すると、外部出力先設定部９６３を用いて転送記憶部１１３に書き込みを行い転送情報１１４の転送先に内部処理部１２０と外部処理部２００の両方を含む状態、たとえば図４（ｂ）に示す状態に書き換える。

図１４は、第４の実施の形態における電子制御装置１０Ｃの処理の流れを説明するシーケンス図である。ステップＳ９１１とステップＳ９２１が同時に開始される。ステップＳ９１１では、外部セキュリティ検証部２２０が、セキュアブートを開始する。ステップＳ９２１では、内部セキュリティ検証部１２２が、セキュアブートを開始する。内部セキュリティ検証部１２２によるセキュアブートが完了すると内部決定部９６１が動作を開始し、外部処理部２００によるセキュアブートが完了しているか否かを判断する。図１４に示す例では外部処理部２００によるセキュアブートが完了していないので、内部決定部９６１はステップＳ９３１において内部初期情報９５１を転送記憶部１１３に書き込み、ステップＳ９２２においてルーティング受付状態に遷移する。

外部処理部２００は、セキュアブートが９１１が完了すると、外部決定部９６２が内部処理部１２０のセキュアブートがすでに完了していること判断する。そして外部決定部９６２はステップＳ９３２において転送情報１１４を書き換え、外部処理部２００はステップＳ９１２においてルーティング受付状態に遷移する。

上述した第４の実施の形態によれば、内部処理部１２０および外部処理部２００のいずれが先に起動した場合であっても、先に起動した方を利用した転送データの処理を開始できる。

なお本実施の形態では、内部処理部１２０と外部処理部２００のいずれが先に起動するかで転送情報１１４に記載される情報が変化したが、転送情報１１４に記載される情報は変更せずに構成の名称を変更してもよい。たとえば内部処理部１２０と外部処理部２００を仮に第１演算部と第２演算部に呼び変え、転送情報１１４に書き込む情報は第１の実施の形態と同様とする。すなわち最初に作成される転送情報１１４の転送先には、図４（ａ）に示すように外部処理部２００は含まれるが内部処理部１２０は含まれない。

そして、第１演算部と第２演算部のうち、先に起動した方を外部処理部２００と呼び、起動が遅い方を内部処理部１２０と呼ぶ。このように名称を呼び変えることで本実施の形態における動作を表すことができる。すなわち本実施の形態は次のように表現することもできる。

（８）電子制御装置１０Ｃにおいて、内部処理部１２０および外部処理部２００のそれぞれは、第１演算部および第２演算部のいずれかである。電子制御装置１０Ｃは、第１演算部および第２演算部のうち起動処理が先に完了した方を外部処理部２００として転送情報１１４を書き換え、第１演算部および第２演算部のうち起動処理が後に完了した方を内部処理部１２０として転送情報１１４を書き換える決定部、すなわち内部決定部９６１および外部決定部９６２を備える。そのため、内部処理部１２０および外部処理部２００のいずれが先に起動した場合であっても、先に起動した方を利用した転送データの処理を開始できる。

上述した各実施の形態および変形例において、機能ブロックの構成は一例に過ぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。

上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

１０、１０Ａ、１０Ｂ…電子制御装置
１００…データ転送部
１１０…転送制御部
１１１…通信部
１１２…転送情報制御部
１１３…転送記憶部
１１４…転送情報
１２０…内部処理部
１２１…内部制御部
１２２…内部セキュリティ検証部
１２３…出力先設定部
１２４…内部記憶部
１２６…初期情報
１２７…転送更新情報
１２８…終了処理部
１２９…書換え不可のメモリ領域
２００…外部処理部
２１０…外部制御部
２２０…外部セキュリティ検証部
２３０…外部記憶部
９５１…内部初期情報
９５２…外部初期情報
９６１…内部決定部
９６２…外部決定部
９６３…外部出力先設定部

Claims

第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、
前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、
前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、
前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、
前記転送制御部は、前記転送情報を自ら書き換えることにより前記通信データの転送先を変更する、または前記第２処理部により前記転送情報が書き換えられることにより前記通信データの転送先が変更される電子制御装置。
請求項１に記載の電子制御装置において、
前記転送制御部は、前記第２処理部の起動処理が完了すると前記転送情報を参照して前記通信データを、前記第１処理部および前記第２処理部を含む転送先のいずれかに転送する電子制御装置。
請求項１に記載の電子制御装置において、
前記第２処理部は、前記第２処理部の起動処理が完了すると前記転送記憶部の前記転送情報を転送先に前記第２処理部が含まれるように書き換える出力先設定部をさらに備える電子制御装置。
請求項１に記載の電子制御装置において、
前記転送記憶部は不揮発性の記憶領域であり、
前記電子制御装置の終了処理として、転送先に前記第２処理部が含まれないように前記転送情報を書き換える終了処理部をさらに備える電子制御装置。
請求項１に記載の電子制御装置において、
前記第１処理部および前記第２処理部のそれぞれは、第１演算部および第２演算部のいずれかであり、
前記第１演算部および前記第２演算部のうち起動処理が先に完了した方を前記第１処理部として前記転送情報を書き換え、前記第１演算部および前記第２演算部のうち起動処理が後に完了した方を前記第２処理部として前記転送情報を書き換える決定部をさらに備える、電子制御装置。
第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、
前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、
前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、
前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、
前記第２処理部は、改竄を検出する第２セキュリティ検証部を備え、
前記第２処理部の前記起動処理は、第１起動処理と第２起動処理とから構成され、
前記第１起動処理では、前記第２セキュリティ検証部が前記転送情報を書き換える出力先設定部を実現するプログラム実現データ、および前記第２処理部を前記通信データの転送先としない旨の情報である初期情報の改竄を検出し、前記出力先設定部が前記初期情報を前記転送記憶部に書き込む、電子制御装置。
第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、
前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、
前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、
前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、
前記第２処理部の前記起動処理は、第１起動処理と第２起動処理とから構成され、
前記第１起動処理では、前記第２処理部が読み出し専用領域から、前記転送情報を書き換える出力先設定部を実現するプログラム実現データ、および前記第２処理部を前記通信データの転送先としない旨の情報である初期情報を読み出し、前記出力先設定部が前記初期情報を前記転送記憶部に書き込む、電子制御装置。
第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、
前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、
前記第１処理部および前記転送制御部はデータ転送部に含まれ、前記第２処理部は前記データ転送部に接続され、
前記データ転送部はデータリンク層またはネットワーク層におけるスイッチであり、
前記転送制御部はスイッチコアであり、
前記第１処理部は前記スイッチの内部プロセッサであり、
前記第２処理部は前記スイッチに接続されたマイコンである、電子制御装置。
第１処理部、第２処理部、および転送制御部を備える電子制御装置であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能な通信部を備え、
前記第１処理部は、前記転送制御部から転送される前記通信データを処理する第１制御部を備え、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理する第２制御部を備え、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とし、
前記第２処理部および前記転送制御部はデータ転送部に含まれ、前記第１処理部は前記データ転送部に接続され、
前記データ転送部はデータリンク層またはネットワーク層におけるスイッチであり、
前記転送制御部はスイッチコアであり、
前記第２処理部は前記スイッチの内部プロセッサであり、
前記第１処理部は前記スイッチに接続されたマイコンである、電子制御装置。
第１処理部、第２処理部、および転送制御部を備える電子制御装置が実行する演算方法であって、
前記第１処理部よりも前記第２処理部は起動処理に長い時間を要し、
前記転送制御部は、外部から受信する通信データを前記第１処理部および前記第２処理部に転送可能であり、
前記第１処理部が、前記転送制御部から転送される前記通信データを処理することと、
前記第２処理部は、前記転送制御部から転送される前記通信データを処理することと、
前記転送制御部は、前記第２処理部の起動処理が完了するまでは前記第２処理部を前記通信データの転送先とせず前記第１処理部を転送先に含め、前記第２処理部の起動処理が完了すると少なくとも前記第２処理部を前記通信データの転送先とすることとを含み、
前記転送制御部は、前記通信データの識別子と前記通信データの転送先の対応情報である転送情報を格納する転送記憶部をさらに備え、
前記転送制御部は、前記転送情報を参照して前記通信データの転送先を決定し、
前記転送制御部は、前記転送情報を自ら書き換えることにより前記通信データの転送先を変更する、または前記第２処理部により前記転送情報が書き換えられることにより前記通信データの転送先が変更される、演算方法。