JP7464013B2

JP7464013B2 - センタ、ｏｔａマスタ、方法、プログラム、及び車両

Info

Publication number: JP7464013B2
Application number: JP2021111639A
Authority: JP
Inventors: 智康石川; 俊介谷森
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-07-05
Filing date: 2021-07-05
Publication date: 2024-04-09
Anticipated expiration: 2041-07-05
Also published as: JP2023008241A; US20230004376A1; CN115586908A

Description

本開示は、電子制御ユニットのソフトウェアの更新を制御するセンタやＯＴＡマスタなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニットが搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバーからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットにインストールすることにより、電子制御ユニットのソフトウェア更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

特開２００４－３２６６８９号公報

車両に搭載された電子制御ユニットには、車両の運動を制御する電子制御ユニットやメーターの電子制御ユニットのように、安全に関わる電子制御ユニットと、娯楽系の電子制御ユニットのようにそれほど安全には関係しない電子制御ユニットとがある。従って、安全に関わる電子制御ユニットに合わせてソフトウェアの更新を行うために必要なデータや情報を含んだ配信パッケージのセキュリティレベル（暗号化レベル）を一律に設定してしまうと、配信パッケージの復号処理の負荷が高くなってソフトウェア更新に要する時間が長くなることが考えられる。このため、配信パッケージのセキュリティレベルの設定には改善の余地がある。

本開示は、上記課題を鑑みてなされたものであり、更新対象の電子制御ユニットに応じてセキュリティレベルを動的に設定して配信パッケージを好適に送受信することができるセンタやＯＴＡマスタなどを提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載される電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタであって、車両に搭載される電子制御ユニットごとにソフトウェア更新に要求されるセキュリティレベルを関連付けた、セキュリティ情報を記憶する記憶部と、複数の電子制御ユニットの各バージョンを示すバージョン情報を、車両から受信する受信部と、バージョン情報に基づいて、ソフトウェア更新の対象となる電子制御ユニットであるターゲット電子制御ユニットがあるか否かを判定する判定部と、判定部によってターゲット電子制御ユニットがあると判定された場合、セキュリティ情報に基づいて、ターゲット電子制御ユニットに対応するセキュリティレベルで暗号化が施された配信パッケージを生成する制御部と、ＯＴＡマスタからの要求に基づいて、配信パッケージをＯＴＡマスタに送信する送信部と、を備える、センタである。

本開示によれば、センタがソフトウェア更新時の更新対象の電子制御ユニットの種類などに応じたセキュリティレベルを配信パッケージに設定するので、更新対象の電子制御ユニットにとって好適なセキュリティレベルの配信パッケージをＯＴＡマスタへ配信することができる。

実施形態に係るネットワークシステムの全体構成を示すブロック図センタの概略構成を示すブロック図センタの機能ブロック図センタが記憶するセキュリティ情報の一例ＯＴＡマスタの概略構成を示すブロック図ＯＴＡマスタの機能ブロック図センタが実行する配信制御処理のフローチャートＯＴＡマスタが実行するソフトウェア更新制御処理のフローチャート

本開示は、センタが、車両に搭載される電子制御ユニットごとにソフトウェア更新に要求されるセキュリティレベルを関連付けた情報を予め記憶しておき、ＯＴＡマスタから更新データのダウンロード要求があった場合に、更新対象となる電子制御ユニットに対応するセキュリティレベルで暗号化が施された配信パッケージを生成して、ＯＴＡマスタに送信する。この処理によって、更新対象となる電子制御ユニットにおいて要求されるセキュリティレベルでソフトウェア更新を実行することができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット４０ａ～４０ｄのソフトウェアを更新するためのシステムであり、車両の外にあるセンタ１０と、車両内に構築される車載ネットワーク２０と、を備える。

（１）センタ
センタ１０は、ネットワーク７０を介して、車載ネットワーク２０が備える後述するＯＴＡマスタ３０と通信可能である。センタ１０は、ＯＴＡマスタ３０との間で、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データの送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット４０ａ～４０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク７０を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、判定部１５と、記憶部１６と、通信部１７と、制御部１８と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。判定部１５、通信部１７、及び制御部１８は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット４０ａ～４０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット４０ａ～４０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット４０ａ～４０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両に搭載される電子制御ユニットごとに、ソフトウェア更新に要求されるセキュリティレベルを関連付けたセキュリティ情報を記憶する。図４に、記憶部１６が記憶するセキュリティ情報の一例を示す。図４に例示するセキュリティ情報は、車両に搭載される複数の電子制御ユニットとソフトウェア更新に要求されるセキュリティレベルとがそれぞれ対応付けられている。セキュリティレベルは、一例として、電子制御ユニットが、車両の制御を行う電子制御ユニット（パワートレイン、ブレーキ、操舵など）や車両の状態を提示する電子制御ユニット（メーターなど）などの安全に関係する電子制御ユニットか、娯楽コンテンツを提供する電子制御ユニット（マルチメディアなど）などの安全にあまり関係しない電子制御ユニットかによって、すなわち電子制御ユニットの種類によって、設定を変えることが可能である。具体例としては、安全に関係する電子制御ユニットには相対的に高いセキュリティレベルを設定し、安全にあまり関係しない電子制御ユニットのセキュリティレベルは相対的に低いセキュリティレベルを設定することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。さらに、記憶部１６は、複数の電子制御ユニット４０ａ～４０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報を記憶することができる。

通信部１７は、ＯＴＡマスタ３０との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）時に、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット４０ａ～４０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データを含む配信パッケージを、更新対象の電子制御ユニットに対応するセキュリティレベルに応じた暗号化を施した上で（後述する）、ＯＴＡマスタ３０に送信する。

判定部１５は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報（電子制御ユニットのバージョンなど）に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット４０ａ～４０ｄについてソフトウェアの更新データがあるか否かを判定する。判定部１５による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。

制御部１８は、判定部１５によって電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあると判定された場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、ＯＴＡマスタ３０に送信する更新データを含む配信パッケージを生成する。この際、制御部１８は、記憶部１６が記憶するセキュリティ情報と、判定部１５によって判定された更新対象の電子制御ユニットの情報とに基づいて、所定のセキュリティレベルで暗号化が施された配信パッケージを生成する。配信パッケージには、暗号方法を特定する情報を含ませてもよい。このセキュリティレベルに応じた暗号化については、後述する。

（２）車載ネットワーク
車載ネットワーク２０は、ＯＴＡマスタ３０と、複数の電子制御ユニット４０ａ～４０ｄと、通信モジュール５０と、を備える。ＯＴＡマスタ３０と通信モジュール５０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット４０ａ及び４０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット４０ｃ及び４０ｄとは、バス６０ｃを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール５０を介してネットワーク７０経由でセンタ１０と無線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、センタ１０から取得した更新データなどに基づいて、電子制御ユニット４０ａ～４０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図５は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図５で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｃを介して、通信モジュール５０及び電子制御ユニット４０ａ～４０ｄのそれぞれと通信を行うための装置である。

図６は、図５に示したＯＴＡマスタ３０の機能ブロック図である。図６に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図５に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図５に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット４０ａ～４０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データなどを記憶する。また、記憶部３７は、複数の電子制御ユニット４０ａ～４０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報を記憶することができる。さらには、記憶部３７は、センタ１０から送信されてくる配信パッケージに施された暗号化の手法を、予め記憶していてもよい。

通信部３８は、センタ１０との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄのソフトウェアの現バージョンに関するバージョン情報と、を含む。また、この更新確認要求には、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄの種類に関する情報を含んでもよい。車両ＩＤ及び電子制御ユニット４０ａ～４０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。電子制御ユニット４０ａ～４０ｄの種類に関する情報は、センタ１０が配信パッケージのセキュリティレベルを決定するために用いることができる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する（受信部）。電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データの配信パッケージのダウンロード要求をセンタ１０に送信し（送信部）、センタ１０から送信される配信パッケージを、制御部３９による制御に基づいて受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット４０ａ～４０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する（送信部）。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、自らの制御に基づいて通信部３８がセンタ１０から受信（ダウンロード）して記憶部３７に格納した配信パッケージの復号や真正性の検証を行う。また、制御部３９は、センタ１０から受信（ダウンロード）した更新データを用い、電子制御ユニット４０ａ～４０ｄのソフトウェア更新処理（各種の検証、インストール、アクティベートなど）を制御する。具体的には、制御部３９は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。このソフトウェア更新処理の際、制御部３９は、複数の電子制御ユニット４０ａ～４０ｄにおける各種の検証、インストール、アクティベートなどの手順を好適に制御する。

複数の電子制御ユニット４０ａ～４０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ：Electronic Control Unit）である。図１においては、車載ネットワーク２０が４つの電子制御ユニット４０ａ～４０ｄを備えている例を示したが、電子制御ユニットの数は特に限定されない。例えば、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果の表示など、各種の表示を行うための表示装置（ＨＭＩ）が、ＯＴＡマスタ３０に接続されていてもよい。表示装置としては、カーナビゲーションシステムなどを用いることが可能である。また、電子制御ユニットをＯＴＡマスタ３０に接続するバスの数も特に限定されない。例えば、上述の表示装置が、バス６０ａ～６０ｃ以外のバスでＯＴＡマスタ３０に接続されてもよい。

通信モジュール５０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク２０をセンタ１０に接続するための通信機器である。通信モジュール５０は、ネットワーク７０経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。なお、この通信モジュール５０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェアの更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を少なくとも含む。車両構成情報は、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット４０ａ～４０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知をＯＴＡマスタ３０に送信する。電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、自らが記憶するセキュリティ情報に基づいてターゲット電子制御ユニットに応じたセキュリティレベルを与えた（後述する）更新データを含む配信パッケージを、ＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、配信パッケージに施した暗号化の手法を特定する情報、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、センタ１０から受信した更新確認要求に対する応答に基づいて、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの復号や真正性の検証を行う。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。

また、ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク２０に設けられた表示による通知を行う表示装置（図示せず）や音声による通知を行う音声出力装置（図示せず）などを利用できる。例えば、承諾要求処理において、表示装置を出力装置として用いる場合、ＯＴＡマスタ３０は、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面を表示装置に表示させたり、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置に表示させたり、することができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための１つの格納領域を有するシングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを待機（保留）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後かつアクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし省略されてもよい。

ソフトウェア更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶部３７に記憶する処理である。ダウンロードにおいては、後述する所定のセキュリティレベルに応じた暗号化が施された配信パッケージを用いた更新データのダウンロードが行われる。ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、配信パッケージの復号、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。ダウンロードされる配信パッケージには、単一の電子制御ユニットのみの更新データ又は複数の電子制御ユニットの更新データが含まれ得る。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、複数のターゲット電子制御ユニットの不揮発性メモリに更新ソフトウェア（更新版のプログラム）を定められた順序で書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、不揮発性メモリにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図７及び図８をさらに参照して、本実施形態に係るネットワークシステムにおいて実行される処理を説明する。

図７は、センタ１０の各構成が実行する配信制御処理の一例を説明するフローチャートである。この図７に示す配信制御処理は、ＯＴＡマスタ３０が送信する更新確認要求を、センタ１０が受信することによって開始される。

（ステップＳ７０１）
センタ１０の通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求があったか否かを判断する。更新確認要求があった場合は（ステップＳ７０１、はい）、ステップＳ７０２に処理が進み、更新確認要求がない場合は（ステップＳ７０１、いいえ）、ステップＳ７０４に処理が進む。

（ステップＳ７０２）
センタ１０の制御部１８は、更新が必要なソフトウェアの有無をチェックする。このチェックは、更新確認要求に含まれる車両構成情報から取得する車両に搭載される各電子制御ユニット４０ａ～４０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンとに、基づいて行われる。更新が必要なソフトウェアの有無のチェックが行われると、ステップＳ７０３に処理が進む。

（ステップＳ７０３）
センタ１０の制御部１８は、センタ１０の記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両に搭載された電子制御ユニット４０ａ～４０ｄについてソフトウェアの更新データがあるか否かを判断し、判断結果に基づいて更新データの有無を示す情報をＯＴＡマスタ３０に送信する。更新データの有無が送信されると、ステップＳ７０４に処理が進む。

（ステップＳ７０４）
センタ１０の通信部１７は、ＯＴＡマスタ３０から配信パッケージのダウンロード要求があったか否かを判断する。ダウンロード要求があった場合は（ステップＳ７０４、はい）、ステップＳ７０５に処理が進み、ダウンロード要求がない場合は（ステップＳ７０４、いいえ）、ステップＳ７０１に処理が進む。

（ステップＳ７０５）
センタ１０の制御部１８は、ソフトウェアの更新データがあると判断した電子制御ユニット、つまりターゲット電子制御ユニットに対応するセキュリティレベルを、センタ１０の記憶部１６が記憶するセキュリティ情報に基づいて取得する。例えば、図４の例において、電子制御ユニットＡのみがターゲット電子制御ユニットである場合には、配信パッケージのセキュリティレベルとして電子制御ユニットＡに対応する「レベル１」が、取得される。また例えば、複数の電子制御ユニットＡ、Ｂ、及びＣがターゲット電子制御ユニットである場合には、電子制御ユニットＡに対応するセキュリティレベル１、電子制御ユニットＢに対応するセキュリティレベル２、及び電子制御ユニットＣに対応するセキュリティレベル３のうち、最もセキュリティが高い「レベル３」が配信パッケージのセキュリティレベルとして取得される。ターゲット電子制御ユニットに対応するセキュリティレベルが取得されると、ステップＳ７０６に処理が進む。

（ステップＳ７０６）
センタ１０の制御部１８は、ＯＴＡマスタ３０に送信する更新データなどを含む配信パッケージとして、取得したセキュリティレベルに応じた強度で暗号化を施した配信パッケージを生成する。暗号化の一例としては、セキュリティレベルが所定の閾値以上の（高い）場合には、車両に固有の情報（キー）に基づいて配信パッケージに暗号化を施し、セキュリティレベルが所定の閾値未満の（低い）場合には、複数の車両に共通の情報（キー）に基づいて配信パッケージに暗号化を施すことができる。セキュリティレベルが所定の閾値以上の場合における車両に固有の情報は、ＶＩＮなどの車両識別情報を用いて生成されてもよいし、ＶＩＮごと（車両ごと）に異なる暗号化が施されてもよい。また、この配信パッケージには、暗号化の手法を特定する情報を含ませてもよい。ターゲット電子制御ユニットに応じたセキュリティレベルに基づいて暗号化が施された配信パッケージが生成されると、ステップＳ７０７に処理が進む。

（ステップＳ７０７）
センタ１０の通信部１７は、ターゲット電子制御ユニットに応じたセキュリティレベルに基づいて暗号化が施された配信パッケージを、ＯＴＡマスタ３０に送信する。配信パッケージが送信されると、ステップＳ７０１に処理が進む。

なお、上記実施形態では、ＯＴＡマスタ３０から要求を受信するタイミングで、センタ１０が、ターゲット電子制御ユニットに応じたセキュリティレベルに基づいて暗号化が施された配信パッケージを生成する例を説明した。しかし、センタ１０は、更新データがセンタ１０に登録されたタイミングで、全てのターゲット電子制御ユニットに応じたセキュリティレベルに基づく暗号化を施した配信パッケージを予め生成しておいてもよい。

図８は、ＯＴＡマスタ３０の各構成が実行するソフトウェア更新制御処理の一例を説明するフローチャートである。この図８に示すソフトウェア更新制御処理は、例えば、車両の電源ＯＮを契機として実行される。

（ステップＳ８０１）
ＯＴＡマスタ３０の通信部３８は、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新データがあるか否かの確認要求を、センタ１０に送信する。この確認要求には、車両ＩＤと、電子制御ユニット４０ａ～４０ｄのソフトウェアの現バージョンとが、含まれる。確認要求がセンタ１０に送信されると、ステップＳ８０２に処理が進む。

（ステップＳ８０２）
ＯＴＡマスタ３０の通信部３８は、センタ１０から更新データの確認要求に対する確認結果を受信する。確認結果が受信されると、ステップＳ８０３に処理が進む。

（ステップＳ８０３）
ＯＴＡマスタ３０の制御部３９は、ＯＴＡマスタ３０の通信部３８が受信した更新データの確認要求に対する確認結果に基づいて、電子制御ユニット４０ａ～４０ｄのうち少なくとも１つに対するソフトウェアの更新データがあるか否かを判断する。ソフトウェアの更新データが少なくとも１つある場合は（ステップＳ８０３、はい）、ステップＳ８０４に処理が進み、ソフトウェアの更新データが全くない場合は（ステップＳ８０３、いいえ）、本ソフトウェア更新制御処理が終了する。

（ステップＳ８０４）
ＯＴＡマスタ３０の制御部３９は、更新データのダウンロードを行う。より詳細には、ＯＴＡマスタ３０の通信部３８がセンタ１０に更新データを含む配信パッケージのダウンロード要求を送信し、通信部３８がダウンロード要求に応答してセンタ１０から送信される配信パッケージを受信する。通信部３８は、受信した配信パッケージをＯＴＡマスタ３０の記憶部３７に格納する。更新データのダウンロードが行われると、ステップＳ８０５に処理が進む。

（ステップＳ８０５）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットに対して更新データに基づくソフトウェアのインストールを実行する。より詳細には、制御部３９は、配信パッケージに含まれるＯＴＡマスタ用情報（識別情報で特定が可能）に基づいて、配信パッケージに含まれる更新データをターゲット電子制御ユニットに転送し、更新ソフトウェアのインストールを指示する。ターゲット電子制御ユニットは、ＯＴＡマスタ３０から受信した更新データをデータ格納領域に書き込む。更新ソフトウェアのインストールが実行されると、ステップＳ８０６に処理が進む。

（ステップＳ８０６）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアのアクティベートを実行する。より詳細には、制御部３９は、配信パッケージに含まれるＯＴＡマスタ用情報に基づいて、更新ソフトウェアをデータ格納領域に書き込んだターゲット電子制御ユニットに対して、更新ソフトウェアのアクティベートを指示する。ターゲット電子制御ユニットは、電源ＯＦＦなどの特定の入力操作が行われたことを契機として再起動し、更新ソフトウェアを実行する。更新ソフトウェアのアクティベート処理が実行されると、本ソフトウェア更新制御処理が終了する。

＜効果＞
以上のように、本開示の一実施形態に係るネットワークシステムによれば、センタが、車両に搭載される電子制御ユニットとソフトウェア更新に要求されるセキュリティレベルとを関連付けた情報（セキュリティ情報）を予め記憶しておく。そして、センタは、ＯＴＡマスタから更新データのダウンロード要求があった場合、更新対象となる電子制御ユニット（ターゲット電子制御ユニット）に対応するセキュリティレベルで暗号化が施された配信パッケージを生成して、ＯＴＡマスタに送信する。この処理によって、同じソフトウェア更新であっても、ターゲット電子制御ユニットに応じたセキュリティレベルで、適切にソフトウェア更新を実行することができる。

この配信パッケージには、配信パッケージに施された暗号化の手法を特定する情報を含めることができる。この情報を含めておけば、配信パッケージを受信したＯＴＡマスタが、配信パッケージを容易に復号することができる。

また、ターゲット電子制御ユニットに応じたセキュリティレベルが所定の閾値以上であるセキュリティレベル要求が高い場合には、車両に固有の情報に基づいて暗号化を施すことによって改ざんなどを抑制することができる。また、ターゲット電子制御ユニットに応じたセキュリティレベルが所定の閾値未満であるセキュリティレベル要求が低い場合には、複数の車両に共通の情報に基づいて暗号化を施すことによって配信パッケージの復号を簡単にして、ソフトウェア更新に要する時間を短縮することができる。

以上、本開示技術の一実施形態を説明したが、本開示は、センタだけでなく、センタと通信可能なＯＴＡマスタ、プロセッサとメモリとを備えたセンタやＯＴＡマスタが実行する方法、プログラム、あるいはプログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体、あるいはＯＴＡマスタを備えた車両など、として捉えることが可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０センタ
１１、３１ＣＰＵ
１２、３２ＲＡＭ
１３、３４記憶装置
１４、３６通信装置
１６、３７記憶部
１７、３８通信部
１８、３９制御部
２０車載ネットワーク
３０ＯＴＡマスタ
３３ＲＯＭ
３５マイクロコンピューター
４０ａ～４０ｄ電子制御ユニット（ＥＣＵ）
５０通信モジュール
６０ａ～６０ｃバス
７０ネットワーク

Claims

車両に搭載される電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタであって、
前記車両に搭載される前記電子制御ユニットごとに前記ソフトウェア更新に要求されるセキュリティレベルを関連付けた、セキュリティ情報を記憶する記憶部と、
複数の前記電子制御ユニットの各バージョンを示すバージョン情報を、前記車両から受信する受信部と、
前記バージョン情報に基づいて、前記ソフトウェア更新の対象となる前記電子制御ユニットであるターゲット電子制御ユニットがあるか否かを判定する判定部と、
前記判定部によって前記ターゲット電子制御ユニットがあると判定された場合、前記セキュリティ情報に基づいて、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルで暗号化が施された配信パッケージを生成する制御部と、
前記ＯＴＡマスタからの要求に基づいて、前記配信パッケージを前記ＯＴＡマスタに送信する送信部と、を備え、
前記制御部は、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルが所定の閾値以上の場合、前記車両に固有の情報に基づいて前記暗号化を行う、センタ。
前記制御部は、前記暗号化の手法を特定する情報を含む前記配信パッケージを生成する、請求項１に記載のセンタ。
前記制御部は、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルが所定の閾値未満の場合、複数の前記車両に共通の情報に基づいて前記暗号化を行う、請求項１又は２に記載のセンタ。
車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタであって、
前記車両に搭載された前記電子制御ユニットの各バージョンを示すバージョン情報をセンタに送信する送信部と、
前記バージョン情報に基づいて更新対象となる前記電子制御ユニットであるターゲット電子制御ユニットに対応するセキュリティレベルで暗号化が施された配信パッケージを前記センタから受信する受信部と、
前記受信部が受信した前記配信パッケージに基づいて、前記ターゲット電子制御ユニットの前記ソフトウェア更新を制御する制御部と、を備え、
前記制御部は、前記車両に固有の情報に基づいて前記配信パッケージを復号する、ＯＴＡマスタ。
前記制御部は、前記配信パッケージに含まれる前記暗号化の手法を特定する情報に基づいて、前記配信パッケージを復号する、請求項４に記載のＯＴＡマスタ。
前記制御部は、複数の前記車両に共通の情報に基づいて前記配信パッケージを復号する、請求項４又は５に記載のＯＴＡマスタ。
プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタが実行する方法であって、
前記車両に搭載される前記電子制御ユニットごとに前記ソフトウェア更新に要求されるセキュリティレベルを関連付けた、セキュリティ情報を記憶するステップと、
複数の前記電子制御ユニットのバージョンを示すバージョン情報を前記車両から受信するステップと、
前記バージョン情報に基づいて、前記ソフトウェア更新の対象となる前記電子制御ユニットであるターゲット電子制御ユニットがあるか否かを判定するステップと、
前記ターゲット電子制御ユニットがあると判定された場合、前記セキュリティ情報に基づいて、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルで暗号化が施された配信パッケージを生成するステップと、
前記ＯＴＡマスタからの要求に基づいて、前記配信パッケージを前記ＯＴＡマスタに送信するステップと、を含み、
前記生成するステップは、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルが所定の閾値以上の場合、前記車両に固有の情報に基づいて前記暗号化を行う、方法。
プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタが実行する方法であって、
前記車両に搭載された前記電子制御ユニットの各バージョンを示すバージョン情報をセンタに送信するステップと、
前記バージョン情報に基づいて更新対象となる前記電子制御ユニットであるターゲット電子制御ユニットに対応するセキュリティレベルで暗号化が施された配信パッケージを前記センタから受信するステップと、
前記車両に固有の情報に基づいて、前記受信した前記配信パッケージを復号するステップと、
前記復号した前記配信パッケージに基づいて、前記ターゲット電子制御ユニットの前記ソフトウェア更新を制御するステップと、を含む、方法。
プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタのコンピューターが実行するプログラムであって、
前記車両に搭載される前記電子制御ユニットごとに前記ソフトウェア更新に要求されるセキュリティレベルを関連付けた、セキュリティ情報を記憶するステップと、
複数の前記電子制御ユニットのバージョンを示すバージョン情報を前記車両から受信するステップと、
前記バージョン情報に基づいて、前記ソフトウェア更新の対象となる前記電子制御ユニットであるターゲット電子制御ユニットがあるか否かを判定するステップと、
前記ターゲット電子制御ユニットがあると判定された場合、前記セキュリティ情報に基づいて、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルで暗号化が施された配信パッケージを生成するステップと、
前記ＯＴＡマスタからの要求に基づいて、前記配信パッケージを前記ＯＴＡマスタに送信するステップと、を含み、
前記生成するステップは、前記ターゲット電子制御ユニットに対応する前記セキュリティレベルが所定の閾値以上の場合、前記車両に固有の情報に基づいて前記暗号化を行う、プログラム。
プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタのコンピューターが実行するプログラムであって、
前記車両に搭載された前記電子制御ユニットの各バージョンを示すバージョン情報をセンタに送信するステップと、
前記バージョン情報に基づいて更新対象となる前記電子制御ユニットであるターゲット電子制御ユニットに対応するセキュリティレベルで暗号化が施された配信パッケージを前記センタから受信するステップと、
前記車両に固有の情報に基づいて、前記受信した前記配信パッケージを復号するステップと、
前記復号した前記配信パッケージに基づいて、前記ターゲット電子制御ユニットの前記ソフトウェア更新を制御するステップと、を含む、プログラム。
請求項４乃至６のいずれか１項に記載のＯＴＡマスタを搭載した、車両。