JP7461755B2 - 情報処理装置、プログラム更新システム、及びプログラム更新方法 - Google Patents

Description

本発明は、情報処理装置や制御装置に関し、特に、プログラム更新方法に関する。

プログラム更新の失敗時におけるリカバリー対策として、同じ種類のプログラムを保持可能な二つの記憶領域（起動領域、待機領域）を備える装置を対象に、一方の記憶領域（待機領域）のプログラムのみを更新するプログラム更新技術が検討されている。このようなプログラム更新技術では、万一プログラムの更新に失敗した場合、更新対象ではない起動領域で起動する。特に、可能な限り最新のバージョンで復旧させるために、プログラムの更新対象となる待機領域は、直近に起動している領域ではなく、待機している領域とすることが好ましい。例えば、特許文献１（特開平１０－６３４９７号公報）には、実行中のプログラムを更新するとき、当該プログラムが格納されたメモリ領域とは異なるメモリ領域に更新後の前記プログラムを格納し、前記プログラムを次に実行するときには、複数の前記メモリ領域に格納された前記プログラムのうちの最新のプログラムを選択し、これを実行するようにしたことを特徴とするプログラム更新方法が記載されている。

特許文献１に記載された技術によれば、実行中のプログラムが格納されたメモリ領域とは異なるメモリ領域を更新対象として特定することは可能である。

特開平１０－６３４９７号公報

２つのメモリ領域を持つ装置では、メモリ領域ごとにアドレス値が異なる等の影響によって更新用プログラムが完全には一致しない場合がある。このような場合、特許文献１の技術では、プログラムの更新作業者は、更新対象領域を事前に確認できないため、プログラム更新時に更新対象領域を確認し、当該更新対象領域に適した更新プログラムを選定する処理が必要になってしまう。

本発明は、以上の問題に鑑みなされたものであり、制御プログラムの実行中にも、待機中の領域のプログラム更新可能な装置において、プログラム更新時に必要となる一時的なメモリ領域の使用量を削減しつつ、プログラムの更新作業者の運用負荷を低減することを目的とする。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、プログラムを実行する情報処理装置であって、書換え可能なプログラムを格納する複数の領域を含む記憶部と、前記記憶部に格納されたプログラムを実行する演算部とを備え、前記演算部がプログラムを実行中の起動領域を前記複数の領域から特定する起動領域特定部と、前記特定された起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定するルール更新部と、前記書換対象領域に格納される書換プログラムを選択的に受信する受信選択部とを有し、前記ルール更新部は、前記起動領域の情報と、前記プログラムを書き換えるべき領域の情報を参照して、受信する書換プログラムを定めることを特徴とする。

本発明によれば、更新プログラムの一時保管用メモリの使用量を低減できる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。

本発明の実施例１の情報処理装置の構成を示す図である。 本発明の実施例１の情報処理装置がプログラムを更新する処理のフローチャートである。 本発明の実施例１のプログラム更新対象フラグ情報のデータ構造の例を示す図である。 本発明の実施例１の起動領域情報のデータ構造の例を示す図である。 本発明の実施例１のパッケージ構造情報のデータ構造の例を示す図である。 本発明の実施例１の受信ルールのデータ構造の例を示す図である。 本発明の実施例１の検証期待値組合せ情報のデータ構造の例を示す図である。 本発明の実施例１の更新対象となる検証期待値組合せ情報による受信ルールのデータ構造の例を示す図である。 本発明の実施例２のプログラム更新システムの構成を示す図である。 本発明の実施例２のプログラム更新システムにおける更新処理シーケンス図である。

以下、本発明の実施例について、図面を参照しながら詳細に説明する。

＜実施例１＞
本発明の実施例として、車載ネットワークに接続された情報処理装置（例えば、車両を制御するＥｌｅｃｔｒｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を対象としたプログラム更新方法の例を説明する。但し、本発明の技術的思想は、この例に限定されるものではない。例えば、車載制御装置（ＥＣＵ）ではなく、起動中領域と待機中領域の２面構成を有し、プログラムを更新する情報処理装置であれば、車両制御装置以外にも本発明を適用可能である。

図１は、本発明の実施例１の情報処理装置１の構成を示す図である。情報処理装置１は、通信バス２を介して他の情報処理装置３に接続されている。但し、通信バス２は物理的には複数の通信バスで構成されてもよく、これらの通信バスの規格は同一でもよいし異なってもよい。これら通信バスの規格は、ＣＡＮ（登録商標）、ＬＩＮ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、イーサネット（登録商標）などを用いることができる。以下、情報処理装置１について説明するが、情報処理装置３も同じ構成を有する。

情報処理装置１は、不図示のＣＰＵ、不図示のＲＯＭ、及び不図示のＲＡＭを有し、ＲＯＭに格納されたプログラムをＣＰＵがＲＡＭに展開して実行することによって以下の機能を実現する。すなわち、情報処理装置１は、その機能として、プログラム更新対象フラグ検証部１２、起動領域特定部１３、プログラム更新範囲特定部１４、受信ルール更新部１５、受信フィルタ部１６、検証期待値検証部１７、及びプログラム更新部１８を有する。また、情報処理装置１は、不揮発性の記憶装置である記憶部１９、及び通信インタフェースであり通信に必要な演算を行う通信部１１を有する。

情報処理装置１は、物理的に複数の計算機装置に分かれて構成されており、各装置で使用する記憶部１９の記憶領域が異なっている。なお、情報処理装置１は、論理的に複数の計算機装置に分かれて構成されており、各装置で使用する記憶部１９の記憶領域が異なっているものでもよい。

通信部１１は、通信バス２を介して他の情報処理装置３から送信されたメッセージを受信し、通信バス２を介して他の情報処理装置３にメッセージを送信する。前述のとおり通信バス２は物理的に複数の通信バスから構成されてもよい。情報処理装置１は、通信部１１を用いてプログラム更新に必要な情報を送受信する。プログラム更新対象フラグ検証部１２は、複数の情報処理装置３のうち、記憶部１９に格納された、プログラムを更新すべき装置を示すプログラム更新対象フラグに基づいて、プログラムの更新対象となる装置を特定する。なお、プログラムの更新対象となる装置は、Ｍｉｃｒｏｃｏｐｍｕｔｅｒ、通信スイッチ、ＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）等のプログラム更新可能なメモリを有する装置であればよい。

起動領域特定部１３は、同種のプログラムを異なる領域に分けて管理可能な記憶領域において、起動時に実行されるプログラムが保持される記憶領域と実行されないプログラムが保持される記憶領域のうち、実行されるプログラムが保持される記憶領域を起動領域、実行されないプログラムが保持される記憶領域を待機領域として特定する。プログラム更新範囲特定部１４は、更新用プログラムパッケージのうち、前記待機領域に関連するパッケージの範囲を特定する。受信ルール更新部１５は、受信する範囲を定義する受信ルール１９３を、プログラム更新範囲特定部１４が特定したパッケージの範囲を選択的に受信するルールに更新する。

受信フィルタ部１６は、受信ルール１９３に従って該当する箇所の更新用プログラムパッケージを選択的に受信する。検証期待値検証部１７は、受信した更新用プログラムパッケージに含まれる検証期待値を用いて、更新用プログラムパッケージの真偽を検証する。例えば、更新用プログラムパッケージの一部が欠落、或いは改ざんされた場合、更新用プログラムパッケージに含まれる検証期待値と、受信した更新用プログラムデータから算出された検証期待値とは異なる値になり、更新用プログラムパッケージの完全性が欠如していることが分かる。検証期待値検証部１７による検証結果が正しいと判断された場合、プログラム更新部１８は、検証された更新用プログラムで前記待機領域となる記憶領域を更新する。

記憶部１９は、起動時に実行されるプログラムが保持される領域を示す起動領域情報１９１、プログラム更新時に情報処理装置が受信する更新用プログラムパッケージの構造を示す更新パッケージ構造情報１９２、更新用プログラムパッケージから受信フィルタ部１６が受信するデータの範囲を定義する受信ルール１９３を記憶する。なお、一つの情報処理装置１が複数の計算機装置に分かれて構成されている場合には、各計算機装置に対応する記憶部１９の記憶領域は異なるが、装置起動領域情報１９１、更新パッケージ構造情報１９２及び受信ルール１９３は、各計算機装置に対応する記憶領域に格納されていなくても、一つの記憶領域に記憶されてれおり、当該計算機装置がこれらの情報１９１～１９３をまとめて管理してもよい。

図２は、情報処理装置１がプログラムを更新する処理のフローチャートである。以下に説明する各ステップの実行主体は、情報処理装置１の不図示のＣＰＵである。

ステップ２０１では、情報処理装置１は通信部１１を用いてプログラム更新依頼を含む通信メッセージを受信する。

ステップ２０２では、情報処理装置１は通信部１１を用いてプログラム更新対象フラグ情報を受信し、プログラム更新対象フラグ検証部１２はプログラム更新対象フラグに基づいて、更新対象となる装置を特定する。

図３に、ステップ２０２においてプログラム更新対象フラグ検証部１２が更新対象となる装置を特定するために参照するプログラム更新対象フラグ情報の例を示す。プログラム更新対象フラグ情報は、プログラムを更新すべき装置に対応する記憶領域３０１と、該当又は非該当を示す識別子３０２を含む。例えば、領域３０１の「領域１」の値が「１」なのでプログラムの更新対象領域に該当し、「領域２」の値が「０」なのでプログラムの更新対象領域に該当しない。

ステップ２０３では、起動領域特定部１３は、起動領域情報１９１を用いて、各領域の起動領域及び待機領域を特定する。なお、ステップ２０３の処理はステップ２０１又はステップ２０２の前に実行してもよい。

図４に、ステップ２０３において記憶部１９の各領域が起動領域であるかを起動領域特定部１３が特定するために参照する起動領域情報１９１の例を示す。起動領域情報１９１は、プログラムを更新すべき装置に対応する記憶領域４０１と、起動領域と待機領域を示す識別子４０２を含む。例えば、各記憶領域の起動領域を「Ａ面」、待機領域を「Ｂ面」と定義し、領域４０１の「領域１」の値が「Ａ面」であれば、領域１の起動領域がＡ面であることを示し、「領域１」の値が「Ｂ面」であれば、領域１の起動領域がＢ面であることを示す。なお、図示した様に起動領域の情報を識別子４０２に登録しても、これとは異なり待機領域の情報を識別子４０２に登録しても、各領域が起動領域であるか待機領域であるかを示す情報を識別子５０２に登録してもよい。また、各領域が起動領域であることは、情報処理装置１が起動した際に登録されるとよいが、他のタイミングで各記憶領域の起動領域を登録してもよく、例えば、プログラム更新依頼の受信時に登録してもよい。

ステップ２０４では、プログラム更新範囲特定部１４は、ステップ２０２で特定された更新対象領域とステップ２０３で特定された起動領域に基づいて、プログラム更新範囲を特定する。例えば、プログラム更新範囲特定部１４は、ステップ２０２で、プログラム更新対象フラグ情報を参照して「領域１」と「領域３」がプログラム更新対象領域として特定され、起動領域情報１９１を参照してプログラム更新対象領域における領域１の待機領域を「Ｂ面」、領域３の待機領域を「Ｂ面」と特定し、「領域１／Ｂ面」、「領域３／Ｂ面」をプログラム更新範囲として特定する。

ステップ２０５では、受信ルール更新部１５は、前記ステップ２０４で特定したプログラム更新範囲に基づいて、更新用プログラムパッケージにおける「領域１／Ｂ面」、「領域３／Ｂ面」に該当するデータを選択的に受信するように受信ルール１９３を更新する。

図６に、ステップ２０５において、受信ルール更新部１５が更新する受信ルール１９３の例を示す。受信ルール１９３は、更新用プログラムパッケージにおける受信対象領域及び検証期待値を示す識別子である受信対象領域６０１と、受信するか否かを示す識別子６０２を含む。例えば、受信対象領域６０１の「領域１／Ａ面」の値が「１」であれば、当該記憶領域「領域１／Ａ面」を受信対象とし、「領域１／Ａ面」の値が「０」であれば、当該記憶領域「領域１／Ａ面」を受信対象外とする。

ステップ２０６では、受信フィルタ部１６は、ステップ２０５で更新された受信ルール１９３に該当するデータを受信する。受信データは、通信部１１の受信バッファに一旦格納された後、揮発性のＲＡＭ又は不揮発メモリに設けられる一時保管メモリに格納され、記憶部１９に設けられるプログラム格納領域に格納される。本実施例において、該当データを選択的に受信する方法は、不要な受信データを受信バッファ又は一時メモリのいずれかに格納しない又は破棄することで実現できる。具体的には、該当箇所以外を受信せず、受信バッファに格納しなくてもよく、受信バッファにおいて該当箇所以外のデータを該当箇所のデータで上書きしてもよく、該当箇所かを問わずに受信データを受信バッファに格納して該当箇所を選択的にＲＡＭに設けられる一時保管メモリに格納してもよく、該当箇所かを問わずに受信データを受信バッファに格納して該当箇所を選択的に不揮発メモリに設けられる一時保管メモリに格納してもよく、最終的に該当箇所が選択的に格納されていれば、いかなる方法でもよい。

ステップ２０７では、検証期待値検証部１７は、ステップ２０６で受信ルール１９３に基づいて受信した更新用プログラムデータと、当該更新用プログラムデータを対象とした検証期待値を用いて、更新用プログラムデータが正しいデータであるかを検証する。更新用プログラムデータを用いた演算処理結果と検証期待値が一致する場合は（ステップ２０８でｙｅｓ）、ステップ２０９に進み、演算処理結果と検証期待値が一致しない場合は（ステップ２０８でｎｏ）、ステップ２１０に進む。ここで、ステップ２０７の検証期待値検証処理で使用される検証期待値は、共通鍵を用いたＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）による検証処理でもよく、公開鍵を用いたＲＳＡ、ＥＣＤＳＡ等でもよく、ハッシュやチェックサムでもよい。

ステップ２０９では、プログラム更新部１８は、所定の手順に基づいて該当記憶領域のプログラムを、受信した更新用プログラムデータで更新する。

ステップ２１０では、情報処理装置１は、ステップ２０８で検証期待値の検証失敗となった場合の所定の手順に従ってエラー処理を実行し、本処理を終了する。

以上のステップによって、車載ネットワークに接続された情報処理装置１のプログラムを更新できる。

本実施例では、更新パッケージ構造情報１９２における検証期待値を、対象領域ごとに有する例を説明した。その他の方法として、更新パッケージ構造情報１９２における検証期待値として、対象領域の組み合わせごとに生成した検証期待値を有する例を図７に示す。図５に図示する更新パッケージ構造情報１９２は、対象領域５０１において、対象領域の組み合わせ数に合わせた検証期待値と、そのデータサイズ５０２を含む。図示した更新パッケージ構造情報１９２が示す更新用プログラムパッケージは、記憶領域（領域１のＡ面から領域ｎのＢ面）に格納される更新用プログラムデータと、各更新用プログラムデータの全ての組み合わせの検証期待値を含む。更新用プログラムパッケージは、各更新用プログラムデータの最新性情報（例えば、タイムスタンプ、カウンタ値など）を含んでもよい。

例えば、ステップ２０５では、受信ルール更新部１５は、前記ステップ２０４で特定されたプログラム更新範囲に基づいて、図８に示す通り、更新用プログラムパッケージにおける「領域１／Ｂ面」の検証期待値と、「領域３／Ｂ面」の検証期待値に加えて、「領域１／Ｂ面」と「領域３／Ｂ面」の両方を合わせた検証期待値である「検証期待値（領域１／Ｂ面＆領域３／Ｂ面）」を選択的に受信するルールに、受信ルール１９３を更新する。

これにより、受信する検証期待値のデータ量を低減し、検証期待値検証処理の回数を低減できる。

以上に説明したように、実施例１によれば、プログラムの更新依頼を受信した場合に、起動中の記憶領域と待機中の記憶領域の情報に基づいて、全領域のプログラムデータを含む更新用プログラムパッケージから、待機中の記憶領域に該当する更新用プログラムに限定して受信できる。また、情報処理装置１はプログラムを更新する領域を自ら判断できる。これにより、情報処理装置１の更新対象領域となる記憶領域を更新用プログラムで更新する際に、情報処理装置１が使用する一時保管用メモリ量を低減し、プログラムの更新作業者の運用負荷の低減が期待できる。

＜実施例２＞
実施例２では、車載ネットワークに接続された情報処理装置１が、車載ネットワークに接続された他の制御装置４のプログラムを更新するプログラム更新システムの例を示す。以下では、実施例１との差異を中心に実施例２について説明し、実施例１と同じ機能及び構成には同じ符号を付し、それらの説明は省略する。

図９は、実施例２のプログラム更新システムの構成を示す図である。実施例２のプログラム更新システムでは、情報処理装置１は、通信バス２を介して制御装置４、車外通信装置５、及び診断装置６に接続されている。但し、通信バス２は物理的には複数の通信バスで構成されてもよく、これらの通信バスの規格は同一でもよいし異なってもよい。これら通信バスの規格は、ＣＡＮ（登録商標）、ＬＩＮ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、イーサネット（登録商標）などを用いることができる。また、制御装置４は、車の走行を制御する機能を有する車両制御装置（ＥＣＵ）、又は走行以外のアクチュエータを制御する機能を有する車両制御装置（ＥＣＵ）である。また、車外通信装置５は、３Ｇ／ＬＴＥやＷｉ－Ｆｉ通信等の無線通信を介して車外の装置との通信を制御する装置である。また、診断装置６は、車載システムと有線を介して接続され、情報処理装置１及び制御装置４の状態を確認する診断機能やプログラム更新機能を有する装置である。

情報処理装置１は、実施例１の図１で示した情報処理装置１の構成要素のうち、通信部１１、プログラム更新対象フラグ検証部１２、プログラム更新範囲特定部１４、受信ルール更新部１５、及び受信フィルタ部１６を有する。情報処理装置１は、不図示のＣＰＵ、不図示のＲＯＭ、及び不図示のＲＡＭを有し、ＲＯＭに格納されたプログラムをＣＰＵがＲＡＭに展開して実行することによって上記機能を実現する。また、情報処理装置１は、実施例１の図１で示した情報処理装置１の記憶部１９のうち、更新パッケージ構造情報１９２、及び受信ルール１９３が記憶部１９に記憶される。制御装置４は、実施例１の図１で示した情報処理装置１の構成要素のうち、通信部１１、起動領域特定部１３、検証期待値検証部１７、及びプログラム更新部１８を有する。制御装置４は、不図示のＣＰＵ、不図示のＲＯＭ、及び不図示のＲＡＭを有し、ＲＯＭに格納されたプログラムをＣＰＵがＲＡＭに展開して実行することによって上記機能を実現する。また、制御装置４は、実施例１の図１で示した情報処理装置１の記憶部１９のうち、起動領域情報１９１が記憶部１９に記憶される。

図１０は、プログラム更新システムにおいて、情報処理装置１が制御装置４のプログラムを更新する処理のシーケンス図である。なお、図１０において、実施例１の図２に記載した処理と同じ処理には、同じ符号を付し、重複した説明は省略する。

ステップ２０３は、実施例１と同じく、起動領域特定部１３は、起動領域情報１９１を用いて、各領域の起動領域及び待機領域を特定する。なお、ステップ２０３の処理は、制御装置４の起動時などの任意のタイミングや、情報処理装置１からの要求に応じて実行してもよい。

ステップ１０１では、起動領域特定部１３は、ステップ２０３で特定された制御装置４の起動領域を通信部１１を介して情報処理装置１に通知する。

ステップ２０１では、情報処理装置１の通信部１１はプログラム更新依頼を受信する。プログラム更新依頼は、車外通信装置５から受信する場合と、診断装置６による診断結果によってプログラムの更新が必要と判定され、診断装置６から受信する場合がある。

ステップ２０２からステップ２０６までは、実施例１と同一の処理である。

ステップ１０２では、情報処理装置１は、ステップ２０６で通信部１１を介して受信した該当データを制御装置４に送信する。なお、ステップ１０２の処理は、情報処理装置１が任意のタイミングで送信してもよく、制御装置４が特定の状態（例えば、プログラムの更新が可能な状態）になったことを確認した後に送信してもよく、制御装置４又は他の装置からの所定の通信を受信したときに送信してもよい。

ステップ２０７からステップ２１０までは、実施例１と同一の処理である。なお、ステップ２０７の検証期待値検証処理は、情報処理装置１で実行してもよい。

以上のステップによって、車載ネットワークに接続された情報処理装置１が制御装置４のプログラムを更新できる。

以上に説明したように、実施例２によれば、制御装置４は所定のタイミングで起動領域を確認し、情報処理装置１は前記制御装置４から起動領域情報１９１を受信し、プログラムの更新依頼を受信した場合に、起動中の記憶領域と待機中の記憶領域の情報に基づいて、全領域のプログラムデータを含む更新用プログラムパッケージから、待機中の記憶領域に該当する更新用プログラムを選択的に受信できる。これにより、制御装置４の更新対象領域となる記憶領域を更新用プログラムで更新する際に、情報処理装置１が使用する一時保管用メモリ量を低減し、プログラムの更新作業者の運用負荷の低減が期待できる。

以上に説明したように、本発明の実施例１の情報処理装置１は、書換え可能なプログラムを格納する複数の記憶領域を含む記憶部１９と、記憶部１９に格納されたプログラムを実行する演算部（ＣＰＵ）とを備え、演算部がプログラムを実行中の起動領域を複数の記憶領域から特定する起動領域特定部１３と、特定された起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定する受信ルール更新部１５と、書換対象領域に格納される書換プログラムを選択的に受信する受信選択部（受信フィルタ部１６）とを有するので、プログラム更新対象である情報処理装置１が全ての更新プログラムを含む更新用プログラムパッケージから自律的に必要な更新用プログラムを取得して、一時保管用メモリの使用量を低減でき、プログラムの更新時の運用負荷を低減できる。また、更新用プログラムパッケージを送信するサーバ側では、情報処理装置１の個々の状態を把握する必要がなく（例えば、起動面確認処理を実行しなくてよい）、全ての更新用プログラムを一括して送信すればよく、サーバ側の処理の複雑さや負荷を軽減できる。さらに、従来のリプロベースの診断機を改修しなくてもよい。

また、受信した書換プログラムを前記書換対象領域に格納するプログラム更新部１８を有するので、一時保管用メモリの使用量を低減しつつ、プログラムを更新できる。

また、書換プログラムは、記憶部１９の各領域に格納されるプログラムデータと、プログラムデータの検証期待値を含む更新用プログラムパッケージとして配信され、情報処理装置１は、更新用プログラムパッケージに含まれる検証期待値を用いてプログラムデータを検証する検証期待値検証部１７を有するので、通信経路上で生じるデータの改変を検出でき、不正なプログラムに対する耐性を向上できる。

また、更新用プログラムパッケージは、当該更新用プログラムパッケージに含まれるプログラムデータの複数の組み合わせに対応する複数の検証期待値を含み、検証期待値検証部１７は、起動領域の情報と、前記プログラムを書き換えるべき領域の情報を参照して、前記パッケージに含まれる複数の検証期待値から、受信した書換プログラムの検証期待値を特定するので、情報処理装置１の側の状態によって必要な検証期待値を提供できる。

また、受信ルール更新部１５は、起動領域の情報と、プログラムを書き換えるべき領域の情報を参照して、受信する書換プログラムを定めるので、更新すべきプログラムを正確に決定できる。

また、本発明の実施例２のプログラム更新システムは、プログラムを実行する制御装置４と、制御装置４のプログラムの書き換えを制御する情報処理装置１とを備え、制御装置４は、書換え可能なプログラムを格納する複数の記憶領域を含む記憶部１９と、記憶部１９に格納されたプログラムを実行する演算部（ＣＰＵ）とを有し、情報処理装置１は、制御装置４において演算部（ＣＰＵ）がプログラムを実行中の起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定する受信ルール更新部１５と、書換対象領域に格納される書換プログラムを選択的に受信する受信選択部（受信フィルタ部１６）とを有するので、情報処理装置１が全ての更新プログラムを含む更新用プログラムパッケージから制御装置４に必要な更新用プログラムを取得して、一時保管用メモリの使用量を低減でき、プログラムの更新時の運用負荷を低減できる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ、ＢＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１、３ 情報処理装置
２ 通信バス
１１ 通信部
１２ プログラム更新対象フラグ検証部
１３ 起動領域特定部
１４ プログラム更新範囲特定部
１５ 受信ルール更新部
１６ 受信フィルタ部
１７ 検証期待値検証部
１８ プログラム更新部
１９ 記憶部

Claims (6)

1. プログラムを実行する情報処理装置であって、
   書換え可能なプログラムを格納する複数の領域を含む記憶部と、
   前記記憶部に格納されたプログラムを実行する演算部とを備え、
   前記演算部がプログラムを実行中の起動領域を前記複数の領域から特定する起動領域特定部と、
   前記特定された起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定するルール更新部と、
   前記書換対象領域に格納される書換プログラムを選択的に受信する受信選択部とを有し、
   前記ルール更新部は、前記起動領域の情報と、前記プログラムを書き換えるべき領域の情報を参照して、受信する書換プログラムを定めることを特徴とする情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   受信したデータを受信バッファに一時的に格納する通信部を有し、
   前記通信部は、当該書換プログラム以外のデータを前記受信バッファに格納しない、前記受信バッファに格納された当該書換プログラム以外のデータを後続のデータで上書きする、又は前記受信バッファに格納された当該書換プログラム以外のデータを前記受信選択部へ転送しない、のいずれかによって、前記受信選択部が前記書換プログラムを選択的に受信することを特徴とする情報処理装置。
3. 請求項１に記載の情報処理装置であって、
   前記受信した書換プログラムを前記書換対象領域に格納する更新部を有することを特徴とする情報処理装置。
4. プログラムを実行する情報処理装置であって、
   書換え可能なプログラムを格納する複数の領域を含む記憶部と、
   前記記憶部に格納されたプログラムを実行する演算部とを備え、
   前記演算部がプログラムを実行中の起動領域を前記複数の領域から特定する起動領域特定部と、
   前記特定された起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定するルール更新部と、
   前記書換対象領域に格納される書換プログラムを選択的に受信する受信選択部と、
   検証期待値を用いてプログラムデータを検証する検証部を有し、
   前記書換プログラムは、前記記憶部の各領域に格納されるプログラムデータと、前記プログラムデータの複数の組み合わせに対応する複数の検証期待値を含むパッケージとして配信され、
   前記検証部は、前記起動領域の情報と、前記プログラムを書き換えるべき領域の情報を参照して、前記パッケージに含まれる複数の検証期待値から、前記受信した書換プログラムの検証期待値を特定することを特徴とする情報処理装置。
5. プログラムを実行する制御装置と、
   前記制御装置のプログラムの書き換えを制御する情報処理装置とを備えるプログラム更新システムであって、
   前記制御装置は、書換え可能なプログラムを格納する複数の領域を含む記憶部と、前記記憶部に格納されたプログラムを実行する演算部とを有し、
   前記情報処理装置は、
   前記制御装置において前記演算部がプログラムを実行中の起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定するルール更新部と、
   前記書換対象領域に格納される書換プログラムを選択的に受信する受信選択部とを有することを特徴とするプログラム更新システム。
6. プログラムを実行する情報処理装置のプログラムを更新するプログラム更新方法であって、
   前記情報処理装置は、書換え可能なプログラムを格納する複数の領域を含む記憶部と、前記記憶部に格納されたプログラムを実行する演算部とを有し、
   前記プログラム更新方法は、
   前記情報処理装置が、前記演算部がプログラムを実行中の起動領域を前記複数の領域から特定する起動領域特定手順と、
   前記情報処理装置が、前記特定された起動領域の情報に基づいて、プログラムが書き換え可能な書換対象領域を特定するルール更新手順と、
   前記情報処理装置が、前記書換対象領域に格納される書換プログラムを選択的に受信する受信選択手順とを含み、
   前記ルール更新手順では、前記起動領域の情報と、前記プログラムを書き換えるべき領域の情報を参照して、受信する書換プログラムを定めることを特徴とするプログラム更新方法。

Images