JP7447864B2

JP7447864B2 - Ｏｔａマスタ、方法およびプログラム

Info

Publication number: JP7447864B2
Application number: JP2021074037A
Authority: JP
Inventors: 智康石川; 俊介谷森; 菜那菊入
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-04-26
Filing date: 2021-04-26
Publication date: 2024-03-12
Anticipated expiration: 2041-04-26
Also published as: JP2022168516A; DE102022109778A1; CN115248696A; US20220342652A1

Description

本開示は、ＥＣＵ（電子制御ユニット）のソフトウェアの更新を制御するためのＯＴＡマスタ、方法およびプログラム等に関する。

車両には、車両の動作を制御するための複数のＥＣＵ（電子制御ユニット）が搭載されている。ＥＣＵは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが不揮発性の記憶部に記憶されるソフトウェアを実行することによりＥＣＵの制御機能を実現する。各ＥＣＵが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各ＥＣＵの機能を改善したり、新たな車両制御機能を追加したりすることができる。

ＥＣＵのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネット等の通信ネットワークとを無線で接続し、無線通信を介してＯＴＡセンタからソフトウェア（更新データ）をダウンロードし、ダウンロードしたソフトウェアをインストールすることによりＥＣＵのプログラムの更新や追加を行うＯＴＡ（ＯｖｅｒＴｈｅＡｉｒ）技術が知られている（例えば、特許文献１参照）。

また、ＯＴＡセンタから車両に送信する更新データは暗号化されており、車両側で更新データを復号してＥＣＵのプログラム（ソフトウェア）を更新する。

特開２００４－３２６６８９号公報

車両側において、ＯＴＡセンタから受信した更新データを復号できない場合がある。例えば、車両のＥＣＵが交換されたことによりＥＣＵに復号機能が無くなった場合、ＥＣＵのソフトウェアのバージョンが不適切に変化して復号できない場合（更新データの暗号化方式にＥＣＵのソフトウェアが対応していない場合等）、暗号化された更新データが破損した場合、更新データが改竄されている場合等、様々な場合が想定される。このような場合には、車両側においてＯＴＡセンタから受信した更新データを復号できない場合があり、適切な対応が必要となる。

それ故に、本開示は、ＯＴＡセンタから受信した更新データを車両側で復号できない場合において、適切な対応を行うことができるＯＴＡマスタ、方法およびプログラム等を提供することを目的とする。

本開示に係るＯＴＡマスタは、車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタであって、ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信部と、更新データを用いたＥＣＵのソフトウェア更新を制御する制御部とを備え、制御部は、更新データが暗号化されており復号処理が必要である場合において当該復号処理が失敗した場合、復号処理に失敗したことを示す通知を、通信部により前記ＯＴＡセンタに送信する。

本開示に係る方法は、プロセッサとメモリとを備え、車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタのコンピュータが実行する方法であって、ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信ステップと、更新データを用いたＥＣＵのソフトウェア更新を制御する制御ステップとを備え、制御ステップでは、更新データが暗号化されており復号処理が必要である場合において当該復号処理が失敗した場合、復号処理に失敗したことを示す通知をＯＴＡセンタに送信する。

本開示に係るプログラムは、プロセッサとメモリとを備え、車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタのコンピュータが実行するプログラムであって、ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信ステップと、更新データを用いたＥＣＵのソフトウェア更新を制御する制御ステップとをコンピュータに実行させ、制御ステップでは、更新データが暗号化されており復号処理が必要である場合において当該復号処理が失敗した場合、復号処理に失敗したことを示す通知をＯＴＡセンタに送信する。

本開示によれば、ＯＴＡセンタから受信した更新データを車両側で復号できない場合において、適切な対応を行うことができるＯＴＡマスタ、方法およびプログラム等を提供できる。

一実施形態に係るネットワークシステムの全体構成の一例を示すブロック図図１に示したＯＴＡセンタの概略構成の一例を示すブロック図図１に示したＯＴＡマスタの概略構成の一例を示すブロック図図１に示したＥＣＵの概略構成の一例を示すブロック図図１に示したＯＴＡセンタの一例を示す機能ブロック図図１に示したＯＴＡマスタの一例を示す機能ブロック図図１に示したＯＴＡマスタおよび各ＥＣＵが実行する制御処理の一例を示すフローチャート

（一実施形態）
図１は、一実施形態に係るネットワークシステムの全体構成の一例を示すブロック図である。図２は、図１に示したＯＴＡセンタの概略構成の一例を示すブロック図である。図３は、図１に示したＯＴＡマスタの概略構成の一例を示すブロック図である。

図１に示すネットワークシステムは、車両に搭載されたＥＣＵ（Electronic Control Unit；電子制御ユニット）１３ａ～１３ｄのソフトウェアを更新するためのシステムであり、ＯＴＡセンタ１と、車両に搭載される車載ネットワーク２とを備える。

ＯＴＡセンタ１は、インターネット等の通信ネットワーク５を介して車両に搭載されたＯＴＡマスタ１１と無線等で通信可能であり、車両に搭載されたＥＣＵ１３ａ～１３ｄのソフトウェア更新を管理する。

図２に示すように、ＯＴＡセンタ１は、ＣＰＵ２１と、ＲＡＭ２２と、記憶装置２３と、通信装置２４とを備える。記憶装置２３は、ハードディスクやＳＳＤ等の読み書き可能な記憶媒体を備え、ソフトウェアの更新管理を実行するためのプログラムや、更新管理に用いる情報、ＥＣＵの更新データ等を記憶する。ＣＰＵ２１は、記憶装置２３から読み出したプログラムを、ＲＡＭ２２を作業領域として用いて実行することにより、制御処理を実行する。通信装置２４は、通信ネットワーク５を介してＯＴＡマスタ１１と通信を行う。

図１に示すように、車載ネットワーク２は、ＯＴＡマスタ１１と、通信モジュール１２と、複数のＥＣＵ１３ａ～１３ｄと、ＨＭＩ（Human Machine Interface；例えば、入力操作が可能なカーナビゲーションシステムの表示装置）１４とを備える。ＯＴＡマスタ１１は、バス１５ａを介して通信モジュール１２と接続され、バス１５ｂを介してＥＣＵ１３ａ及び１３ｂと接続され、バス１５ｃを介してＥＣＵ１３ｃ及び１３ｄと接続され、バス１５ｄを介してＨＭＩ１４と接続されている。ＯＴＡマスタ１１は、通信モジュール１２を介してＯＴＡセンタ１と無線での通信が可能である。ＯＴＡマスタ１１は、ＯＴＡセンタ１から取得した更新データに基づいて、ＥＣＵ１３ａ～１３ｄのうちのソフトウェア（「ＳＷ」という場合がある）の更新対象であるＥＣＵ（「ターゲットＥＣＵ」という場合がある）のソフトウェア更新を制御する。通信モジュール１２は、車載ネットワーク２とＯＴＡセンタ１とを接続する通信機器である。ＥＣＵ１３ａ～１３ｄは、車両の各部の動作を制御する。ＨＭＩ１４は、ＥＣＵ１３ａ～１３ｄのソフトウェアの更新処理の際に、更新データがあることの表示や、ユーザや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、更新結果の表示等の各種表示を行うために用いられる。なお、図１では、４つのＥＣＵ１３ａ～１３ｄを例示したが、ＥＣＵの数は限定されない。

図３に示すように、ＯＴＡマスタ１１は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ３３と、記憶装置３４とを備えるマイクロコンピュータ３５と、通信装置３６とを備える。ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、制御処理を実行する。通信装置３６は、図１に示したバス１５ａ～１５ｄを介して、通信モジュール１２、ＥＣＵ１３ａ～１３ｄ、ＨＭＩ１４と通信を行う。

図４に示すように、ＥＣＵ１３（１３ａ～１３ｄ）は、ＣＰＵ４１と、ＲＡＭ４２と、不揮発性メモリ４３と、通信装置４５とを備える。ＣＰＵ４１は、不揮発性メモリ４３から読み出したプログラムを、ＲＡＭ４２を作業領域として用いて実行し、又、通信装置４５を用いて他の機器と通信することにより、ＥＣＵ１３の機能を実現する。

ここで、ソフトウェアの更新処理は、ＯＴＡセンタ１からＯＴＡマスタ１１に更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象であるターゲットＥＣＵに転送し、ターゲットＥＣＵの記憶領域に更新データをインストールするフェーズと、ターゲットＥＣＵにおいてインストールした更新版のソフトウェアを有効化するアクティベートのフェーズとからなる。

ダウンロードは、ＯＴＡセンタ１から送信された、ＥＣＵのソフトウェアを更新するための更新データを受信して、記憶装置３４に記憶する処理である。ダウンロードのフェーズは、更新データの受信だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含む。インストールは、ダウンロードした更新データに基づいて、ターゲットＥＣＵの不揮発性メモリに更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールのフェーズは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含む。アクティベートは、インストールした更新版のプログラムをアクティベート（有効化）する処理である。アクティベートのフェーズは、アクティベートの実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含む。

ＯＴＡセンタ１からＯＴＡマスタ１１に送信される更新データは、ＥＣＵの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。また、更新データは、ターゲットＥＣＵを識別する識別子（ＥＣＵＩＤ）と、更新前のソフトウェアを識別する識別子（ＥＣＵソフトウェアＩＤ）を含んでいても良い。更新データは、配信パッケージとしてダウンロードされるが、配信パッケージには、単一または複数のＥＣＵの更新データが含まれる。

更新データが更新ソフトウェアそのものを含む場合は、インストールのフェーズにおいて、ＯＴＡマスタ１１が更新データ（つまり、更新ソフトウェア）をターゲットＥＣＵに転送する。また、更新データが更新ソフトウェアの圧縮データ、差分データあるいは分割データを含む場合、ＯＴＡマスタ１１がターゲットＥＣＵに更新データを転送し、ターゲットＥＣＵが更新データから更新ソフトウェアを生成しても良いし、ＯＴＡマスタ１１が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲットＥＣＵに転送しても良い。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データまたは分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ１１からのインストール要求に基づき、ターゲットＥＣＵが行うことができる。または、更新データを受信したターゲットＥＣＵが、ＯＴＡマスタ１１からの明示の指示を受けることなく、自律的にインストールを行っても良い。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ１１からのアクティベート要求に基づき、ターゲットＥＣＵが行うことができる。または、更新データを受信したターゲットＥＣＵが、ＯＴＡマスタ１１からの明示の指示を受けることなく、自律的にアクティベートを行っても良い。

図５は、図１に示したＯＴＡセンタ１の機能ブロック図の一例である。図５に示すように、ＯＴＡセンタ１は、記憶部２６と、通信部２７と、制御部２８とを備える。通信部２７及び制御部２８は、図２に示したＣＰＵ２１がＲＡＭ２２を用いて記憶装置２３に記憶されるプログラムを実行することにより実現される。記憶部２６は、図２に示した記憶装置２３により実現される。

図６は、図１に示したＯＴＡマスタ１１の機能ブロック図の一例である。図６に示すように、ＯＴＡマスタ１１は、記憶部３７と、通信部３８と、制御部３９とを備える。通信部３８及び制御部３９は、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することにより実現される。記憶部３７は、図３に示した記憶装置３４によって実現される。

図７は、本実施形態においてＯＴＡマスタ１１および各ＥＣＵ１３が実行する制御処理の一例を示すフローチャートである。以下では、図７に示すフローチャートに沿って、本実施形態に係る制御処理について説明する。

図７に示す処理は、ＯＴＡキャンペーンによりＯＴＡセンタ１から送信されたソフトウェアの配信パッケージ（更新データ）をＯＴＡマスタ１１（図６参照）の通信部３８が受信して記憶部３７が記憶すること（つまりダウンロードすること）で開始される。なお、配信パッケージは、例えばＩＧ－ＯＮ状態（イグニッション電源がＯＮの状態）において受信され、記憶部３７に記憶される。

ＯＴＡセンタ１から送信される配信パッケージには、ソフトウェアの更新対象であるターゲットＥＣＵ（およびターゲットＥＣＵの更新対象のソフトウェア）を示す情報と、各ターゲットＥＣＵについてソフトウェア更新を行うための更新データとが含まれる。また、配信パッケージにおいて、更新データが個別に暗号化されている場合がある。例えば、２つの更新データ（第１のＥＣＵのソフトウェア更新を行うための第１の更新データと、第２のＥＣＵのソフトウェア更新を行うための第２の更新データ）を有する配信パッケージにおいて、この２つの更新データがそれぞれ個別に暗号化されている場合がある。また、配信パッケージにおいて、複数の更新データがまとめて暗号化されている場合がある。例えば、２つの更新データ（第１のＥＣＵのソフトウェア更新を行うための第１の更新データと、第２のＥＣＵのソフトウェア更新を行うための第２の更新データ）を有する配信パッケージにおいて、この２つの更新データがまとめて一纏まりで暗号化されている場合がある。また、配信パッケージにおいて、複数の更新データが上記のように個別に暗号化され、更に、個別に暗号化された複数の更新データが上記のようにまとめて暗号化されている場合がある。

ステップＳ１において、ＯＴＡマスタ１１の制御部３９は、記憶部３７に記憶されている配信パッケージの更新データについて、ＯＴＡマスタ１１による復号が必要か否かを判定する。例えば、この判定は、復号処理を実行するデバイスを示す情報が配信パッケージに含まれており、その情報に基づいて実行される。また例えば、この判定は、更新データ自体に復号処理を実行するデバイスを示す情報（復号前に読み取り可能な情報）が含まれており、その情報に基づいて実行される。ステップＳ１での判定がＹＥＳの場合、処理はステップＳ２に移り、この判定がＮＯの場合、処理はステップＳ５に移る。

ステップＳ２において、ＯＴＡマスタ１１の制御部３９は、記憶部３７に予め記憶されている鍵情報を用いて、配信パッケージの更新データについて復号処理を実行する。その後、処理は、ステップＳ３に移る。

ステップＳ３において、ＯＴＡマスタ１１の制御部３９は、ステップＳ２で実行した復号処理に成功したか否かを判定する。つまり、更新データを復号できたか否かを判定する。ステップＳ３での判定がＹＥＳの場合、処理はステップＳ５に移り、この判定がＮＯの場合、処理はステップＳ４に移る。

ステップＳ４において、ＯＴＡマスタ１１の制御部３９は、ＯＴＡマスタ１１において更新データの復号ができないこと（復号に失敗したこと）をＯＴＡセンタ１に通知する。具体的には、制御部３９は、通信部３７（および通信モジュール１２）を用いて、復号できない更新データを示す情報、および、ＯＴＡマスタ１１によって復号ができないことを示す情報を含む通知をＯＴＡセンタ１に行う。また、ステップＳ４において、ＯＴＡマスタ１１の制御部３９は、ユーザに対して、更新データの復号ができないこと等を通知する。例えば、制御部３９は、ＨＭＩ（例えば、入力操作が可能なカーナビゲーションシステムの表示装置）１４に、「更新ソフトの解読に失敗しました。販売店にお問い合わせください。」等のメッセージを表示させる。その後、図７に示す処理は終了する。

ステップＳ５において、ＯＴＡマスタ１１の制御部３９は、記憶部３７に記憶されている配信パッケージの更新データについて、ターゲットＥＣＵによる復号が必要か否かを判定する。例えば、この判定は、復号処理を実行するデバイスを示す情報が配信パッケージに含まれており、その情報に基づいて実行される。また例えば、この判定は、更新データ自体に復号処理を実行するデバイスを示す情報（復号前に読み取り可能な情報）が含まれており、その情報に基づいて実行される。ステップＳ５での判定がＹＥＳの場合、処理はステップＳ６に移り、この判定がＮＯの場合、処理はステップＳ１０に移る。

ステップＳ１０において、ＯＴＡマスタ１１の制御部３９は、更新データ（平文の更新データ）をターゲットＥＣＵに送信する。具体的には、制御部３９は、ステップＳ５においてターゲットＥＣＵでの復号が必要でないと判定した更新データ（平文の更新データ）を、通信部３８を用いて当該ターゲットＥＣＵに送信する。そして、更新データを受信したターゲットＥＣＵは、当該更新データのインストールを実行した後にアクティベートを実行して、ソフトウェア更新を完了する。その後、図７に示す処理は終了する。

一方、ステップＳ６において、ＯＴＡマスタ１１の制御部３９は、更新データ（暗号文の更新データ）をターゲットＥＣＵに送信する。具体的には、制御部３９は、ステップＳ５においてターゲットＥＣＵでの復号が必要と判定した更新データ（暗号文の更新データ）を、通信部３８を用いて当該ターゲットＥＣＵに送信する。その後、処理はステップＳ７に移る。

ステップＳ７において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、不揮発性メモリ４３（又はＯＴＡマスタ１１の記憶部３７）に予め記憶されている鍵情報を用いて、ステップＳ６の処理によりＯＴＡマスタ１１から送信された更新データについて、復号処理を実行する。その後、処理は、ステップＳ８に移る。

ステップＳ８において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ステップＳ７で実行した復号処理に成功したか否かを判定する。つまり、更新データを復号できたか否かを判定する。ステップＳ８での判定がＹＥＳの場合、処理はステップＳ９に移り、この判定がＮＯの場合、処理はステップＳ１１に移る。

ステップＳ９において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ステップＳ７で復号した更新データを不揮発性メモリ４３にインストールした後にアクティベートを実行して、ソフトウェア更新を完了する。その後、図７に示す処理は終了する。

一方、ステップＳ１１において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ステップＳ７において更新データを復号できなかった理由を特定できたか否かを判定する。例えば、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ステップＳ７において復号処理に失敗した場合であっても、復号対象の更新データの暗号化方式（暗号化アルゴリズム）を認識できる場合がある。具体的には、共通鍵暗号方式のＡＥＳ（Advanced Encryption Standard）の暗号化方式の場合において、鍵長（鍵情報の桁数）１２８ビットの共通鍵を用いて暗号化されている更新データについて、鍵長２５６ビットの共通鍵を用いて復号処理を実行した場合には、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、復号には失敗するが、（例えば、更新データに、暗号化方式を特定できる情報が復号前において読み取り可能に含まれていることにより）更新データの暗号化方式がＡＥＳであることを認識できる。この場合、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、復号に用いた鍵情報が正規の鍵情報と異なることが複合失敗の理由（原因）とみなし、ステップＳ７において更新データを復号できなかった理由を特定できたと判定する。ステップＳ１１での判定がＹＥＳの場合、処理はステップＳ１２に移り、この判定がＮＯの場合、処理はステップＳ１４に移る。

ステップＳ１２において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ターゲットＥＣＵにおいて更新データの復号ができないこと（復号に失敗したこと）、および、復号できない理由をＯＴＡマスタ１１に通知する。具体的には、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、通信装置４５を用いて、復号できない更新データを示す情報、ターゲットＥＣＵ（自身）によって復号ができないことを示す情報、および、復号できない理由（原因）を示す情報を含む通知をＯＴＡマスタ１１に行う。その後、処理はステップＳ１３に移る。

一方、ステップＳ１４において、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、ターゲットＥＣＵにおいて更新データの復号ができないこと（復号に失敗したこと）をＯＴＡマスタ１１に通知する。具体的には、ターゲットＥＣＵの制御部（ＣＰＵ４１）は、通信装置４５を用いて、復号できない更新データを示す情報、ターゲットＥＣＵ（自身）によって復号ができないことを示す情報を含む通知をＯＴＡマスタ１１に行う。その後、処理はステップＳ１３に移る。

ステップＳ１３において、ＯＴＡマスタ１１の制御部３９は、ステップＳ１２又はＳ１４の処理によってターゲットＥＣＵから通知された情報を、通信部３７（および通信モジュール１２）を用いて、ＯＴＡセンタ１に通知（送信）する。また、ステップＳ１３において、ＯＴＡマスタ１１の制御部３９は、ユーザに対して、更新データの復号ができないこと等を通知する。例えば、制御部３９は、ＨＭＩ１４に、「更新ソフトの解読に失敗しました。販売店にお問い合わせください。」等のメッセージを表示させる。その後、図７に示す処理は終了する。

以上に説明したように、本実施形態では、暗号化された更新データの複合に失敗した場合には、更新データの複合に失敗ことをＯＴＡセンタ１に通知する。これにより、ＯＴＡセンタ１は、ソフトウェア更新対象の車両のターゲットＥＣＵについてソフトウェア更新に失敗したことを認識できるので、適切な対応を取ることができる。例えば、ＯＴＡセンタ１は、ターゲットＥＣＵのバージョンや、ターゲットＥＣＵのソフトウェアのバージョンや、送信した更新データ等について、適切か否かをチェックして、適切な対応を取ることができる。

また、以上に説明したように、本実施形態では、暗号化された更新データの複合に失敗した場合において、更新データの複合に失敗したデバイス（ＯＴＡマスタ、ＥＣＵ）を示す情報をＯＴＡセンタ１に通知する。これにより、ＯＴＡセンタ１は、ソフトウェア更新に失敗したデバイスを認識できるので、対応を取りやすくなる。

また、以上に説明したように、本実施形態では、暗号化された更新データの複合に失敗した場合において、複合に失敗した理由（原因）をＯＴＡセンタ１に通知する場合がある。これにより、ＯＴＡセンタ１は、複合に失敗した理由（原因）を認識できるので、対応を取りやすくなる。

また、以上に説明したように、本実施形態では、暗号化された更新データの複合に失敗した場合において、ユーザに所定の通知（更新データの解読に失敗したことや販売店に問い合わせをする必要があること等を知らせる通知）を行う。これにより、問題の解決を促進できる。

（変形例）
なお、上記した本実施形態において、ＯＴＡマスタ１１による複合処理に失敗したことをＯＴＡセンタ１に通知する場合に（図７のＳ４参照）、ターゲットＥＣＵによる複合処理に失敗した場合と同様に（図７のＳ１１～Ｓ１４参照）、複合に失敗した理由を特定できる場合にはその理由を特定してＯＴＡセンタ１に通知してもよい。

また、上記した本実施形態で例示したＯＴＡセンタ１の機能は、プロセッサ（ＣＰＵ）とメモリと通信装置とを備えるコンピュータが実行する管理方法、あるいは、当該コンピュータに実行させる管理プログラム、管理プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。同様に、上記した本実施形態として例示したＯＴＡマスタ１１の機能は、プロセッサ（ＣＰＵ）とメモリと通信装置とを備える、車載されたコンピュータが実行する制御方法、あるいは、当該車載されたコンピュータに実行させる制御プログラム、制御プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。

本開示技術は、ＥＣＵ（電子制御ユニット）のプログラムを更新するためのネットワークシステムに利用できる。

１ＯＴＡセンタ
１１ＯＴＡマスタ
１３ａ～１３ｄＥＣＵ
２６、３７記憶部
２７、３８通信部
２８、３９制御部

Claims

車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタであって、
前記ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信部と、
前記更新データを用いた前記ＥＣＵのソフトウェア更新を制御する制御部とを備え、
前記制御部は、
前記更新データが暗号化されており、当該更新データについて前記ＥＣＵによる復号処理が必要である場合、当該更新データを当該ＥＣＵに送信して復号処理を行わせ、
前記ＥＣＵから前記復号処理に失敗したことを示す情報を受信した場合、当該ＥＣＵにおいて復号処理に失敗したことを示す通知を、前記通信部により前記ＯＴＡセンタに送信する、ＯＴＡマスタ。
前記制御部は、
前記更新データが暗号化されており、当該更新データについて前記ＯＴＡマスタによる復号処理が必要である場合、復号処理を行い、
前記復号処理に失敗した場合、前記ＯＴＡマスタにおいて復号処理に失敗したことを示す通知を、前記通信部により前記ＯＴＡセンタに送信する、請求項１に記載のＯＴＡマスタ。
前記制御部は、
前記復号処理が失敗した場合、当該復号処理が失敗した理由を示す情報を含む前記通知を、前記通信部により前記ＯＴＡセンタに送信する、請求項１又は２に記載のＯＴＡマスタ。
前記制御部は、前記通知を前記ＯＴＡセンタに送信する場合、ユーザに情報を通知する通知部によりユーザに所定の通知を行う、請求項１～３の何れかに記載のＯＴＡマスタ。
プロセッサとメモリとを備え、車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタのコンピュータが実行する方法であって、
前記ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信ステップと、
前記更新データを用いた前記ＥＣＵのソフトウェア更新を制御する制御ステップとを備え、
前記制御ステップでは、
前記更新データが暗号化されており、当該更新データについて前記ＥＣＵによる復号処理が必要である場合、当該更新データを当該ＥＣＵに送信して復号処理を行わせ、
前記ＥＣＵから前記復号処理に失敗したことを示す情報を受信した場合、当該ＥＣＵにおいて復号処理に失敗したことを示す通知を前記ＯＴＡセンタに送信する、方法。
プロセッサとメモリとを備え、車両に搭載されたＥＣＵのソフトウェア更新を制御するＯＴＡマスタのコンピュータが実行するプログラムであって、
前記ＥＣＵのソフトウェアの更新データをＯＴＡセンタからダウンロードする通信ステップと、
前記更新データを用いた前記ＥＣＵのソフトウェア更新を制御する制御ステップとを前記コンピュータに実行させ、
前記制御ステップでは、
前記更新データが暗号化されており、当該更新データについて前記ＥＣＵによる復号処理が必要である場合、当該更新データを当該ＥＣＵに送信して復号処理を行わせ、
前記ＥＣＵから前記復号処理に失敗したことを示す情報を受信した場合、当該ＥＣＵにおいて復号処理に失敗したことを示す通知を前記ＯＴＡセンタに送信する、プログラム。