WO2020202886A1 - 演算装置、判定方法 - Google Patents

演算装置、判定方法 Download PDF

Info

Publication number
WO2020202886A1
WO2020202886A1 PCT/JP2020/007013 JP2020007013W WO2020202886A1 WO 2020202886 A1 WO2020202886 A1 WO 2020202886A1 JP 2020007013 W JP2020007013 W JP 2020007013W WO 2020202886 A1 WO2020202886 A1 WO 2020202886A1
Authority
WO
WIPO (PCT)
Prior art keywords
function
information
electronic control
unit
ecu
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/007013
Other languages
English (en)
French (fr)
Inventor
秀敏 寺岡
矢野　正
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Automotive Systems Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Automotive Systems Ltd filed Critical Hitachi Automotive Systems Ltd
Priority to US17/433,080 priority Critical patent/US11928900B2/en
Priority to CN202080023945.9A priority patent/CN113632155B/zh
Publication of WO2020202886A1 publication Critical patent/WO2020202886A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • G—PHYSICS
    • G08—SIGNALLING
    • G08C—TRANSMISSION SYSTEMS FOR MEASURED VALUES, CONTROL OR SIMILAR SIGNALS
    • G08C17/00—Arrangements for transmitting signals characterised by the use of a wireless electrical link
    • G08C17/02—Arrangements for transmitting signals characterised by the use of a wireless electrical link using a radio link
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B60W2050/0083—Setting, resetting, calibration
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/45—External transmission of data to or from the vehicle
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/70—Software maintenance or management
    • G06F8/71—Version control; Configuration management

Definitions

  • the present invention relates to an arithmetic unit and a determination method.
  • Patent Document 1 is a system for identifying a vehicle provided with a plurality of electronic control devices, and provides identification data of each electronic control device mounted on each vehicle and connection data indicating a connection status between the electronic control devices.
  • It has a pattern storage means for storing as a pattern and a collation means for collating a pattern of an arbitrary vehicle with a pattern stored in the pattern storage means, and the sameness between the pattern of an arbitrary vehicle and the stored pattern.
  • a vehicle identification system characterized by identifying the arbitrary vehicle.
  • the arithmetic unit is an arithmetic unit connected to a plurality of electronic control devices, and the plurality of electronic control devices constitute their respective functions by one or more of the electronic control devices. For each of the functions, from the external communication unit that receives the function configuration information including the first identification information and the first verification information of one or more electronic control devices constituting the function, and from each of the plurality of electronic control devices.
  • the acquisition unit that acquires the version information of the software mounted on the electronic control device and the second identification information of the electronic control device, and the version information of all the electronic control devices constituting the function for each function.
  • a calculation unit that creates second verification information using the version information acquired by the acquisition unit and the second identification information of all the electronic control devices constituting the function, and the first verification for each function. It is provided with a determination unit for determining the consistency of the information and the second verification information.
  • the determination method according to the second aspect of the present invention is a determination method executed by an arithmetic unit connected to a plurality of electronic control devices, wherein the plurality of electronic control devices are each operated by one or more of the electronic control devices.
  • the function is configured, and for each of the functions, the first identification information and the first verification information of one or more electronic control devices constituting the function are received, and the electrons are received from each of the plurality of electronic control devices.
  • the version information of the software installed in the control device and the second identification information of the electronic control device are acquired, and the version information of all the electronic control devices constituting the function is acquired for each of the functions.
  • the second verification information is created by using the version information and the second identification information of all the electronic control devices constituting the function, and the first verification information and the second verification information are described for each function. Includes determining consistency.
  • configuration information for each function can be confirmed.
  • FIG. 10 shows the structure of the functional structure information management system S which concerns on 1st Embodiment Block diagram showing the hardware configuration of gateway 10
  • Block diagram showing a hardware configuration example of the engine control ECU 13.
  • Block diagram showing the configuration of the control program 130 operating on the engine control ECU 13.
  • Block diagram showing a configuration example of server 2
  • the figure which shows an example of the function configuration information 61 Block diagram showing the configuration of the gateway program 100 operating on the gateway 10.
  • Conceptual diagram showing verification of table verification information 604 in this embodiment The figure which shows an example of the display screen displayed on HMI12 Flowchart showing verification processing in gateway 10 Flow chart showing recovery processing in gateway 10 Sequence diagram showing the procedure of software update of ECU
  • the figure which shows an example of the function configuration information 64 in the modification 2 The figure which shows an example of the function configuration information 65 in the modification 3
  • the figure which shows an example of the version information 951 by function in 2nd Embodiment The figure which shows an example of the function configuration information 62 in the 2nd Embodiment
  • the figure which shows the functional composition information 61c of the function D in 4th Embodiment The figure which shows an example of the function limitation information 91 in 4th Embodiment
  • FIG. 1 is a diagram showing a configuration of a functional configuration information management system S according to the first embodiment.
  • the functional configuration information management system S includes a vehicle 1 and a server 2.
  • the vehicle 1 and the server 2 are connected via the Internet 3 that connects the access network and the base, and the access network 4 provided by the communication service provider.
  • the vehicle 1 includes a gateway 10, a communication module 11, a Human Machine Interface (HMI) 12, and a plurality of ECUs (electronic control units).
  • the gateway 10, the communication module 11, and the HMI 12 are connected by the in-vehicle network 10a.
  • the ECU provided in the vehicle 1 is not particularly limited, but in the present embodiment, for example, an engine control ECU 13, a brake control ECU 14, an automatic driving ECU 15, and an advanced driver assistance system (ADAS) ECU 16 are provided.
  • the gateway 10 and these ECUs are connected by the in-vehicle network 10b. These ECUs connected to the gateway 10 are collectively referred to as "subordinate ECUs" below.
  • the in-vehicle network 10a and the in-vehicle network 10b adopt one of known communication standards such as Control Area Network (CAN) (registered trademark), Local Internet Network (LIN), and FlexRay and Ethernet (registered trademark).
  • CAN Control Area Network
  • LIN Local Internet Network
  • FlexRay and Ethernet registered trademark
  • the in-vehicle network 10b is composed of CAN
  • the in-vehicle network 10a is composed of Ethernet.
  • the same communication standard may be adopted for the in-vehicle network 10a and the in-vehicle network 10b.
  • each component in the vehicle such as various ECUs is connected to the storage battery by a power line to receive electric power.
  • the gateway 10 relays communication data between subordinate ECUs, updates software of subordinate ECUs, and confirms consistency of software installed in subordinate ECUs.
  • software consistency confirmation is also referred to as "verification” or “verification processing”.
  • the gateway 10 does not update the software of the gateway 10 itself and check the consistency, but the gateway 10 may update the software of the gateway 10 itself and check the consistency.
  • “verification” and “matching” are used interchangeably.
  • the communication module 11 relays communication between the gateway 10, the HMI 12, and the subordinate ECU and the server 2.
  • the HMI 12 is a device for presenting information to a user who is an occupant of the vehicle 1 and receiving input from the user.
  • the HMI 12 is composed of a display device that displays a screen, an input device such as various switches, or a touch panel that combines these.
  • the engine control ECU 13 controls the engine.
  • the brake control ECU 14 controls the brake.
  • the automatic driving ECU 15 recognizes the environment, gives an instruction to start the vehicle, and the like during automatic driving.
  • the ADAS ECU 16 performs driving support control such as automatic braking.
  • the server 2 transmits the function configuration information 61 to the gateway 10.
  • the gateway 10 manages the functional configuration of the vehicle 1 based on the functional configuration information 61.
  • FIG. 2 is a block diagram showing a hardware configuration of the gateway 10.
  • the gateway 10 includes a microcomputer 101, a FROM (FlashROM) 102, a communication I / F (interface) 104 for CAN, and a communication I / F 105 for Ethernet.
  • the microcomputer 101 includes a CPU 1011, a SRAM 1012, a FROM 1013, a CAN communication controller 1014, and an Ether communication controller 1015.
  • the CPU 1011 of the microcomputer 101 executes a program stored in the FROM 1013, controls other components in the gateway 10, and gives a data transmission / reception instruction to other devices connected by the in-vehicle network to control the gateway 10. Make it work.
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the FROM 102 is a non-volatile memory, and information received from the server 2 is stored in the FROM 102.
  • the CAN communication controller 1014 is an interface for CAN communication, and transmits / receives data to / from a subordinate ECU connected to the in-vehicle network 10b via the in-vehicle network 10b based on an instruction from the microcomputer 101.
  • the Ethernet communication controller 1015 is an interface for Ethernet communication, and transmits / receives data to / from a device connected to the in-vehicle network 10a via the in-vehicle network 10a based on an instruction from the microcomputer 101.
  • FIG. 3 is a block diagram showing a hardware configuration example of the engine control ECU 13.
  • each ECU to which the software is updated has at least the hardware configuration shown in FIG.
  • the engine control ECU 13 includes a microcomputer 131 and a communication I / F 133 for CAN.
  • the microcomputer 131 includes a CPU 1311, SRAM 1312, FROM 1313, a communication controller 1314, and an I / O controller 1315.
  • the microcomputer 131 executes a control program stored in the FROM 1313 to control other components in the engine control ECU 13 and a sensor / actuator 132 connected via I / O, and is connected by an in-vehicle network.
  • Engine control is performed by instructing data transmission / reception with the equipment of.
  • the sensor / actuator 132 executes engine control while acquiring data required for engine control according to instructions from the microcomputer 131.
  • the version information of the control program stored in the FROM 1313 is also stored in the FROM 1313.
  • the FROM 1313 also stores an ECU ID, which is identification information that identifies the type and function of the ECU.
  • the ECU ID is also called a "part number” or a "model number”.
  • the ECU ID is not a so-called serial number for identifying individual products, but can be replaced with another product having the same ECU ID when the ECU fails.
  • FIG. 4 is a block diagram showing a configuration of a control program 130 that operates on the engine control ECU 13. However, in each of the ECUs to which the software is updated in the present embodiment has at least the same configuration as the control program 130 shown in FIG.
  • the control program 130 that realizes the functions of the ECU 13 is stored in the FROM 1313 of the microcomputer 131 and executed by the CPU 1311.
  • a functional group is represented as a block, and each block may be divided into a plurality of blocks, or some blocks may be integrated.
  • the control program may be realized by one software or may be realized by a combination of two or more softwares.
  • the control program 130 includes a control processing unit 13001, an update control unit 13003, an information management unit 13004, and a communication control unit 13005.
  • the control processing unit 13001 controls the I / O controller 1315 and controls the sensor / actuator 132 to perform engine control.
  • the stop unit 130011 receives a stop command and a restart command from the gateway 10 via the communication control unit 13005, and performs stop / restart control of the function.
  • the update control unit 13003 receives an operation command from the gateway 10 and data used for software update via the communication control unit 13005, and controls the software update.
  • the information management unit 13004 reads the software version information and ECU ID stored in the FROM 1313, and rewrites the version information when the software is updated.
  • the communication control unit 13005 controls the communication controller 1314 according to the instruction of the update control unit 13003 or the like, and communicates with the device connected to the in-vehicle network 10b. At the time of communication, the CAN frame is analyzed and configured. Further, the communication control unit 13005 generates and analyzes a command based on a diagnostic communication protocol such as UDS.
  • a diagnostic communication protocol such as UDS.
  • the functions of the vehicle 1 are realized by one ECU or by the cooperation of a plurality of ECUs.
  • Collaboration means that they operate in cooperation with each other, but it is not always necessary for each ECU to recognize other ECUs that cooperate with each other, and as a result, a plurality of ECUs may be involved in the realization of the function.
  • a certain function X is realized by the collaboration between the engine control ECU 13 and the automatic operation ECU 15, in the present embodiment, the engine control ECU 13 and the automatic operation ECU 15 are said to "configure” the function X. It is also said that the engine control ECU 13 and the automatic operation ECU 15 "realize" the function X.
  • FIG. 5 is a block diagram showing a configuration example of the server 2.
  • the server 2 includes a CPU 201, a main storage unit 202, an auxiliary storage unit 203, a communication unit 204, an input unit 205, and a display unit 206.
  • the CPU 201 executes a server program stored in the auxiliary storage unit 203 or the like on the main storage unit 202 to control registration and distribution of functional configuration management information.
  • the auxiliary storage unit 203 stores functional configuration management information and data for updating ECU software to be distributed to the vehicle.
  • the communication unit 204 transmits / receives data to / from the vehicle 1 via the Internet.
  • the input unit 205 receives operations and input information from an operator who operates the server 2.
  • the display unit 206 provides the operator who operates the server 2 with information regarding the registration of functional configuration management information.
  • FIG. 6 is a diagram showing an example of the function configuration information 61 generated by the server 2 and managed by the table management unit 10001 of the diagnostic device 5 and the gateway 10.
  • FIG. 6A shows the function configuration information 61a which is the function configuration information 61 before the change
  • FIG. 6B shows the function configuration information 61b which is the function configuration information 61 after the change.
  • FIG. 6 shows an example in which the function configuration information 61 is managed as a table and the configuration information for each function is recorded.
  • the functional configuration information 61 has a plurality of records.
  • Each record of the function configuration information 61 includes fields of a function identification ID 601, a function identification verification information 602, a combination table 603, a combination table verification information 604, and a flag 605.
  • the functional configuration information 61 has three records of R11, R21, and R31, but the number of records possessed by the functional configuration information 61 may be 1 or more, and there is no upper limit.
  • the fields of the function identification verification information 602 and the table verification information 604 store the result of the calculation by the CPU 201 of the server 2. Information on other fields is entered by the operator.
  • the function identification ID 601 is a field in which identification information for identifying the combination of the hardware and software of the ECU constituting the function is stored.
  • "software" here is a concept that includes the version number. Therefore, the value of the function identification ID 601 is changed not only when the ECU ID registered in the combination table 603 is changed, but also when the software version is changed.
  • the function identification ID 601 is, for example, a combination of a character string that identifies a function and a number corresponding to a change in the ECU ID or version.
  • the function identification verification information 602 is an area for storing the integrity verification information of the function identification ID 601.
  • the integrity verification information of the function identification ID 601 is, for example, a digital signature of the function identification ID 601.
  • the combination table 603 is composed of NET ID6031, ECU ID6032, and software version 6033.
  • the combination table 603 stores information on the combination of ECU hardware and software related to the function indicated by the function identification ID 601.
  • the NET ID6031 stores an ID indicating the identification information of the ECU on the in-vehicle network.
  • the vehicle-mounted network 10b is CAN
  • the CAN ID is stored in the NET ID 6031
  • the vehicle-mounted network 10b is Ethernet, the IP address and MAC address are stored.
  • NET ID6031 may include information (not shown) such as a network type and a channel number.
  • Information for identifying the type and function of the ECU is stored in the ECU ID 6032.
  • the ECU ID 6032 for example, an "engine” which is identification information indicating the type and function of the engine control ECU 13 is stored. Part numbers and the like may be used as the identification information of the ECU. That is, the NET ID6031 is an identifier on the ECU network, while the ECU ID6032 is an identifier indicating the type of the ECU. Further, in the following, the NET ID 6031 may be referred to as "first identification information”, and the ECU ID 6032 may be referred to as "second identification information”.
  • the software version 6033 is a field in which information for identifying the version of the software installed in the ECU is stored.
  • the information stored in the ECU ID 6032 and the information stored in the software version 6033 are collectively referred to as "configuration information”.
  • the combination table verification information 604 is an area for storing the integrity verification information of the information registered in the combination table 603.
  • the combination table verification information 604 is, for example, a digital signature of a value obtained by concatenating the function identification ID 601, the ECU ID 6032, and the software version 6033.
  • the flag 605 stores information indicating whether or not to allow the operation continuation of the function indicated by the function identification ID 601 when there is a contradiction between the information registered in the combination table 603 and the information collected from the subordinate ECU. .. "Operation permission” is stored when continuous operation is permitted, and “stop” is stored when operation permission is not permitted and stop is required.
  • the record R1 in FIG. 6A is a record in which information related to the function A whose function identification ID is indicated by "A1" is stored.
  • “Aaa” is stored in the field of the function identification verification information 602 of the record R1
  • "700” is stored in the field of NET ID6031
  • "engine” indicating that it is the engine control ECU 13 is stored in the field of ECU ID6032.
  • Stored, "1.0.0.0” is stored in the field of software version 6033
  • "taaa” is stored in the field of combination table verification information 604, and inconsistency occurs in the field of flag 605. Even if this is done, an "operation permission" that permits the continuation of the operation of the function is stored.
  • the record R2 in FIG. 6A is a record in which information related to the function B whose function identification ID is indicated by "B1" is stored.
  • “Bbb” is stored in the field of the function identification verification information 602 of the record R2
  • "701” is stored in the field of NET ID6031
  • "brake” indicating that it is the brake control ECU 14 is stored in the field of ECU ID6032. It is stored, “1.0.0.0” is stored in the field of software version 6033, “tbbb” is stored in the field of combination table verification information 604, and an inconsistency occurs in the field of flag 605. If this is the case, a "stop” indicating that the operation of the function needs to be stopped is stored.
  • the record R3 in FIG. 6A is a record in which information related to the function C whose function identification ID is indicated by "C1" is stored.
  • “Ccc” is stored in the field of the function identification verification information 602 of the record R3. Since there are three ECUs constituting the function C, "700", “701”, and “702” are stored in the fields of NET ID6031, and “engine”, “brake”, and “ADAS” are stored in the fields of ECU ID6032, respectively. It is stored, and "1.0.0.0", “1.0.0.0”, and “1.0.0.0” are stored in the fields of software version 6033, respectively.
  • "Tccc” is stored in the field of the combination table verification information 604 of the record R3, and "stop” indicating that the operation of the function needs to be stopped when an inconsistency occurs is stored in the field of the flag 605. Has been done.
  • one function may be composed of any number of ECUs, and the upper limit of the number of ECUs constituting one function is limited. Absent.
  • FIG. 6B is a diagram showing the function configuration information 61b which is the updated function configuration information 61 when the software of the engine control ECU 13 is updated from the function configuration information 61a shown in FIG. 6B.
  • the software version of the engine control ECU 13 has been updated from "1.0.0.0" to "1.0.0.1".
  • the records R12, R22, and R32 shown in FIG. 6B correspond to the records R11, R21, and R31 shown in FIG. 6A, respectively.
  • the software version 6033 of the record whose ECU ID 6032 is the "engine” has been updated to "1.0.0.1". ..
  • the function identification ID 601 of the functions of the record D101b and the record D103b including the engine control ECU 13 as a component is updated to "A2" and "C2", respectively.
  • FIG. 7 is a block diagram showing a configuration of a gateway program 100 operating on the gateway 10.
  • the gateway program 100 that realizes the function of the gateway 10 is stored in the FROM 1013 of the microcomputer 101 and executed by the CPU 1011.
  • a functional group is represented as a block, and each block may be divided into a plurality of blocks, or some blocks may be integrated.
  • the control program may be realized by one software or may be realized by a combination of two or more softwares.
  • the gateway program 100 includes a control unit 10000, a table management unit 10001, a calculation determination unit 10002, an acquisition unit 10004, a stop control unit 10005, and a communication control unit 10006.
  • the control unit 10000 controls the table management unit 10001, the calculation determination unit 10002, the acquisition unit 10004, the stop control unit 10005, and the communication control unit 10006.
  • the table management unit 10001 manages the function configuration information 61 stored in the FROM 1013.
  • the calculation determination unit 10002 calculates the verification value using the configuration information acquired from the acquisition unit 1004, and determines the consistency with the table verification information 604 included in the function configuration information 61.
  • the calculation determination unit 10002 outputs the determination result to the stop control unit 10055.
  • the method of calculating the verification value is the same as that of the server 2. If the value used by the calculation determination unit 10002 for calculating the verification value, that is, the ECU ID and the software version are the same as the value used for the calculation by the server 2, the verification value and the table verification information 604 are matched.
  • the acquisition unit 1004 acquires configuration information such as the ECU ID and software version from the ECU based on the information managed by the table management unit 10001, and outputs the configuration information to the verification information calculation unit.
  • the stop control unit 10055 controls the operation continuation / stop of the function in which the inconsistency has occurred, based on the flag indicating the operation permission / stop managed by the table management unit 10001 and the output information of the calculation determination unit 10002.
  • the communication control unit 10006 controls the CAN communication controller 1014 and the Ether communication controller 1015 in accordance with the instructions of the stop control unit 10055 and the like, and communicates with the devices connected to the in-vehicle networks 10a and 10b.
  • the communication control unit 10007 analyzes and generates packets such as TCP / IP and UDP / IP. Further, when communicating with a device connected to the in-vehicle network 10b, the communication control unit 10006 analyzes and generates a CAN frame. Since the communication control unit 10006 can communicate with the outside of the vehicle 1 via the communication module 11, it can also be called an "external communication unit".
  • FIG. 8 is a conceptual diagram showing verification of the table verification information 604 in the present embodiment. Step numbers are assigned to FIG. 8 for convenience in order to show the correspondence with the following description. This step number does not correspond to the step number in the flowchart described later.
  • the private key SK is stored in advance in the server 2, and the public key PK is stored in advance in the gateway 10.
  • the CPU 201 of the server 2 creates a bit string X in which configuration information is connected for each function according to a predetermined rule (S901). For example, in the case of only the ECU "engine control ECU” that constitutes the function A as shown in FIG. 6, in order to create the table verification information 604 of the function A, the CPU 201 sets the "engine” according to a predetermined rule, for example, UTF-. Convert to the character code number of 8 to obtain "0x834712345", and convert the version number "1.0.0.0" according to a predetermined rule to obtain "0x1000". Then, "0x8347123451000" obtained by concatenating these two bit strings is defined as the bit string X.
  • a predetermined rule for example, UTF-.
  • rules such as arranging the bit strings when creating the bit string X in ascending order of NET ID are predetermined.
  • the CPU 201 targets the bit string X and creates a digital signature Y using the private key SK (S902).
  • the created digital signature Y is stored as the table verification information 604 of the function configuration information 61 and transmitted to the gateway 10.
  • the method for creating the digital signature Y is shared with the gateway 10 in advance.
  • the gateway 10 refers to the function configuration information 61 received from the server 2, reads the configuration information from the ECU for each function, and creates a bit string Z which is a verification value according to a predetermined rule (S903).
  • the rule of the bit string Z is the same as the creation rule of the bit string X stored in the server 2.
  • the gateway 10 decodes the table verification information 604 stored in the function configuration information 61, that is, the digital signature Y, using the public key PK to obtain the bit string X (S904).
  • the gateway 10 determines whether the verification is successful or not by determining whether or not the bit string X and the bit string Z are the same (S905).
  • the digital signature Y may be created for the hash value of the bit string X or the XOR value of the bit string X and the predetermined value without using the bit string X as it is.
  • S903 and S904 in the above description may be executed in a different order or may be executed substantially at the same time.
  • the bit string Z is also referred to as a “verification value”.
  • the comparison target of the bit string Z is the bit string X as described above, but in the following description, in order to avoid redundant description, simply "determine the matching between the bit string Z and the digital signature Y" or “verification value and table verification”. The consistency of the information 604 is determined. "
  • FIG. 9 is a diagram showing an example of a display screen displayed on the HMI 12.
  • the display G1a shown in FIG. 9A is an example of a screen showing to the user that a mismatch between the functional configuration information and the actual configuration has been detected. If the function is stopped due to inconsistency, information indicating that the function is stopped may be further displayed on this screen.
  • the display G1b shown in FIG. 9B is a screen example showing to the user that a part of the function has been stopped because the function configuration information is inconsistent.
  • the display G1c shown in FIG. 9C is an example of a screen prompting the user to contact the dealer for recovery because the function configuration information is inconsistent and countermeasures cannot be taken.
  • the display G1d shown in FIG. 9D is a screen example showing to the user that the inconsistency of the function configuration information has been recovered and a part of the functions has become widespread.
  • FIG. 10 is a flowchart showing a verification process in the gateway 10. The process shown in FIG. 10 is executed when the ignition switch of the vehicle 1 is turned on.
  • the gateway 10 may be connected to the ignition switch by a signal line and directly receive a signal indicating an on / off state from the ignition switch, or may receive an operation command signal from an ECU (not shown) connected to the ignition switch. You may start the operation.
  • control unit 10000 first sets the processing handling record x to 1 (S101).
  • the function configuration information 61 is shown in FIG. 6A
  • the gateway program 100 repeats the processes of S103 to S111 for the number of records stored in the function configuration information 61.
  • the control unit 10000 reads the NET ID of the processing target record x in the function configuration information 61, and instructs the acquisition unit 1004 to read the configuration information from the ECU having the NET ID (S103).
  • the acquisition unit 1004 reads the configuration information from the ECU, that is, the combination of the ECU ID and the software version, and passes the read configuration information to the calculation determination unit 10002 via the communication control unit 10006 (S104).
  • the configuration information is read out for all the NET IDs.
  • the calculation determination unit 10002 calculates the verification information using the received configuration information (S105).
  • the calculation determination unit 10002 reads out the table verification information 604 in the processing handling record x of the function configuration information 61, and determines the consistency with the verification value calculated in S105 (S106). When the calculation determination unit 10002 determines that the verification value and the table verification information 604 match (S107: YES), the calculation determination unit 10002 proceeds to S112 and the control unit 10000 confirms the presence or absence of an unconfirmed record. When the control unit 10000 determines that there is no unconfirmed record (S112: NO), the control unit 10000 confirms whether or not the confirmed record is inconsistent.
  • control unit 10000 determines that there is no inconsistency, that is, the verification value calculated by the calculation determination unit 10002 for all the records of the function configuration information 61 and the table verification information 604 read from the function configuration information 61 match (S113). : NO) ends the process.
  • control unit 10000 determines that there is an inconsistency, that is, the verification value calculated by the calculation determination unit 10002 and the table verification information 604 read from the function configuration information 61 do not match in any record of the function configuration information 61. (S113: YES), the HMI is instructed to display the screen G1a of FIG. 9 (S114), and the process ends. If there is an unconfirmed record (S112: YES), the control unit 10000 updates the processing target record x to the next record (S115), and returns to S103.
  • the control unit 10000 When it is determined that the control unit 10000 does not match (S107: NO), the control unit 10000 records a failure code indicating that the version information does not match, that is, a DTC (diagnostic trouble code) code (S108).
  • the stop control unit 10055 receives the processing target record X and the comparison result from the control unit 10000, and reads the flag 605 of the corresponding record from the function configuration information 61 (S109). When the read flag 605 is "operation permission" (S110: YES), the stop control unit 10055 continues the process without doing anything.
  • the read flag 605 is not "operation permission" (S110: NO)
  • the related ECU registered in the processing target record X of the function configuration information 61 is instructed to stop the function via the communication control unit 10006. (S111). The above is the description of FIG.
  • FIG. 11 is a flowchart showing a recovery process in the gateway 10.
  • the process shown in FIG. 11 is executed after the process shown in FIG. 10 is completed and when any record of the function configuration information 61 is inconsistent.
  • the process shown in FIG. 11 does not necessarily have to wait for the completion of the process shown in FIG. 10 before starting. For example, when a negative determination is made in S107, execution may be started in parallel with S108.
  • the control unit 10000 first transmits the configuration information including the information in which the functional configuration information is inconsistent to the server 2 (S201).
  • the server 2 transmits one of the following three responses based on the configuration information received from the gateway 10.
  • the first response is an instruction to update the function configuration information 61
  • the second response is an instruction to update the software of the ECU
  • the third response is an instruction to update the function configuration information 61 and the software of the ECU.
  • the server 2 selects which of the first to third responses is to be made based on the update date and time of the function configuration information 61, the update date and time of the software of the ECU, and the version number of the software.
  • the server 2 may return a response that does not include the update instruction.
  • control unit 10000 When the control unit 10000 receives the response from the server 2 (S202), it determines whether the update instruction is included in the response. When the control unit 10000 determines that the update instruction is not included (S203: NO), the control unit 10000 instructs the HMI 12 to display the screen G1c shown in FIG. 9 (c) (S204), and ends the process shown in FIG. ..
  • the control unit 10000 determines whether or not the response from the server 2 includes the update instruction of the function configuration information 61.
  • the control unit 10000 determines that the update instruction of the function configuration information 61 is included (S205: YES)
  • the control unit 10000 updates the function configuration information 61 (S206).
  • the control unit 10000 determines whether or not the response from the server 2 includes the software update instruction of the ECU.
  • the control unit 10000 determines that the software update instruction of the ECU is not included (S207: NO)
  • the control unit 10000 instructs the ECU that has stopped the function to restore the function (S209), and the HMI 12 is shown in FIG. 9 (d).
  • the display of the screen G1d shown is instructed (S210), and the process shown in FIG. 11 ends.
  • the control unit 10000 determines that the software update instruction of the ECU is included (S207: YES)
  • the control unit 10000 executes the software update process of the ECU (S208).
  • control unit 10000 instructs the ECU that has stopped the function to restore the function (S209), and instructs the HMI 12 to display the screen G1d shown in FIG. 9D (S210). The process shown in FIG. 11 is terminated.
  • FIG. 12 is a sequence diagram showing a procedure for updating software of the ECU.
  • the engine control ECU 13 is described as a software update processing target as an example of processing, but the sequence described below is common regardless of the processing target ECU.
  • the gateway 10 first reads the ECU ID and software version from the engine control ECU 13 to be updated (S2081). The gateway 10 then transmits the collected ECU ID and software version, that is, configuration information to the server (S2082). The server 2 determines whether or not the software of the vehicle has been updated based on the received configuration information, and transmits the resulting update information to the gateway 10 (S2083). Next, the gateway 10 downloads the data required for the update from the server 2 (S2084). The data required for the update includes new software and the updated functional configuration information 61.
  • the gateway 10 controls the engine control ECU 13 to be updated and updates the software of the engine control ECU 13 (S2085).
  • the gateway 10 updates the function configuration information 61 (S2086).
  • FIG. 13 is a diagram showing an example of a registration screen of the function configuration information 61 in the server 2.
  • the registration screen G2 is displayed on the display unit 206 of the server 2.
  • the registration screen G2 of the function configuration information 61 is composed of a target function G21, a function identification ID G22, a function realization ECU G23, a mismatch operation G24, a registration button G25, and a line addition button G26.
  • the target function G21 is an area for setting information for identifying a function to be managed such as an emergency braking function, and in this example, "function C" is set as shown by reference numeral G21a.
  • the function identification ID G22 is an area for setting identification information for uniquely identifying the configuration to be managed, and in this example, "C1" is set as shown by the reference numeral G22a.
  • the related ECU G23 is an area for setting information for uniquely identifying the ECU that realizes the target function G21, and is composed of a NET ID, an ECU ID, and a software version.
  • the function C is realized by the three ECUs represented by the reference numerals G23a to G23c.
  • the ECU represented by the reference numeral G23a has a NET ID of "700", an ECU ID of "engine”, and a software version of "1.0.0.0".
  • the ECU indicated by reference numeral G23b has a NET ID of "701", an ECU ID of "brake”, and a software version of "1.0.0.0".
  • the ECU represented by the reference numeral G23c has a NET ID of "702", an ECU ID of "ADAS”, and a software version of "1.0.0.0".
  • the inconsistent operation G24 is an area picture for setting the operation of the function when an inconsistency is detected in the configuration information of the function shown in the target function G21.
  • "stop" is set as shown by the reference numeral G24a.
  • the registration button G25 is a button for registering the input information in the server 2, and when the operator presses this button, the values of the fields of the function identification verification information 602 and the table verification information 604 are calculated by the CPU 201.
  • the row addition button G26 is a button for increasing the input field of the function realization ECU.
  • the gateway 10 is connected to a plurality of ECUs. Each of the plurality of ECUs constitutes its own function by one or more ECUs. For each function, the gateway 10 is an external communication unit that receives first identification information of one or more ECUs constituting the function, that is, NET ID 6031 and first verification information, that is, function configuration information 61 including table verification information 604, that is, The communication control unit 10006, the software version 6033 mounted on the ECU and the second identification information of the ECU, that is, the acquisition unit 1004 for acquiring the ECU ID 6032 from each of the plurality of ECUs, and all the functions constituting the functions for each function.
  • first identification information of one or more ECUs constituting the function that is, NET ID 6031 and first verification information, that is, function configuration information 61 including table verification information 604, that is,
  • the communication control unit 10006, the software version 6033 mounted on the ECU and the second identification information of the ECU that is, the acquisition unit 1004 for acquiring the ECU ID 6032 from
  • Calculation determination unit 10002 that calculates the second verification information, that is, the bit string Z, using the software version 6033 that is the version information of the ECU and the software version 6033 acquired by the acquisition unit and the second identification information of all the ECUs constituting the function, that is, the ECU ID 6032. And, for each function, a calculation determination unit 10002 for determining the consistency of the first verification information and the second verification information is provided. Therefore, the gateway 10 can confirm the configuration information for each function for all the functions configured by the ECU connected to the gateway 10.
  • the software versions installed in the plurality of ECUs are a combination as intended. For example, the operation may not be guaranteed with a combination that has not been verified in advance. Also, since software updates can be performed via wireless communication, there is a higher possibility that the combination of software versions will be unplanned compared to when the software is updated by bringing it to a specialty store. Further, when an ECU fails, it may be replaced with another ECU having the same model number, and the software version of the ECU may not match the ECU before the replacement. In such a case, by performing the verification process shown in the present embodiment, it is possible to confirm the configuration information for each function, find a problem, and confirm that there is no problem.
  • the first identification information is an identifier on the ECU network, that is, NET ID6031.
  • the second identification information is an identifier indicating the type of ECU, that is, ECU ID 6032.
  • the function configuration information 61 includes a flag 605 indicating permission or denial of execution at the time of inconsistency for each function.
  • the stop control unit 10055 is a function related to the second verification information determined to be inconsistent, and is a function related to the second verification information in the function configuration information. Stop the function that has a flag indicating that the execution is rejected when the flag is inconsistent. Therefore, the gateway 10 can stop the function at the time of inconsistency according to the setting of the flag 605.
  • the control unit 10000 determines the function configuration information 61 and the software of the ECU based on the command received from the Ether communication controller 1015. Update at least one of them. Therefore, the gateway 10 can update at least one of the function configuration information 61 and the software of the ECU at the time of inconsistency.
  • the control unit 10000 records the occurrence of the inconsistency in the FROM 102, which is a storage unit, as a failure code. .. Therefore, the occurrence of inconsistency can be confirmed ex post facto by referring to FROM 102.
  • the control unit 10000 causes the display unit, that is, the HMI 12 to display that the inconsistency has occurred. Therefore, the occupant of the vehicle 1 can know the occurrence of the inconsistency by the display of the HMI 12.
  • the gateway 10 is mounted on the vehicle 1.
  • the acquisition unit 1004 and the calculation determination unit 10002 start operation when the ignition switch of the vehicle 1 is turned on. Therefore, by operating when the vehicle 1 is started, software inconsistency can be detected before the vehicle 1 starts traveling or while the vehicle 1 is traveling at a low speed.
  • a device other than the gateway 10 may realize the confirmation of the configuration information of each function. For example, it may be executed by a diagnostic device that can be connected to the vehicle 1.
  • FIG. 14 is a diagram showing the configuration of the functional configuration information management system Sa in the first modification.
  • FIG. 14 is different from the first embodiment in that the diagnostic device 5 is added.
  • the diagnostic device 5 receives the functional configuration information 61 transmitted by the server 2.
  • the diagnostic device 5 and the gateway 10 are connected via a general-purpose connector 600 such as OBD2.
  • the communication module 11 and the server 2 are not connected in FIG. 14, when the software of the ECU is updated, the communication module 11 communicates with the server 2 as in the first embodiment.
  • FIG. 15 is a block diagram showing a configuration example of the diagnostic device 5.
  • the diagnostic device 5 includes a CPU 501, a main storage unit 502, an auxiliary storage unit 503, a first communication unit 504, a second communication unit 505, an input unit 506, and a display unit 507.
  • the CPU 501 executes a program stored in the auxiliary storage unit 503 or the like on the main storage unit 502 to control the function configuration management.
  • the auxiliary storage unit 503 stores functional configuration management information and data for updating ECU software to be distributed to the vehicle.
  • the first communication unit 504 transmits / receives data to / from the server 2 via the Internet 3.
  • the second communication unit 505 transmits / receives data to / from the vehicle 1.
  • the input unit 506 receives operations and input information from an operator who operates the diagnostic device 5.
  • the display unit 507 displays the function configuration management information to the operator who operates the diagnostic device 5.
  • the functional configuration information 61 also includes the ECU ID 6032 and the software version 6033.
  • the gateway 10 does not particularly require the ECU ID 6032 and the software version 6033 including the verification process, it is not necessary to include the ECU ID 6032 and the software version 6033 in the function configuration information 61.
  • FIG. 16 is a diagram showing an example of the functional configuration information 64 in the modified example 1.
  • the combination table 603 is composed only of the NET ID 6031.
  • the operation of the gateway 10 is the same as that of the first embodiment.
  • the gateway 10 did not have an opportunity to refer to the ECU ID 6034 and the function version 6035 described in the function configuration information 61 received from the server 2. Therefore, even if the ECU ID 6034 and the function version 6035 are deleted from the function configuration information 64, there is no effect.
  • the functional configuration information 61 also includes the NET ID 6031 and the software version 6033. However, the functional configuration information 61 does not have to include the NET ID 6031 and the software version 6033.
  • FIG. 17 is a diagram showing an example of the functional configuration information 65 in the modified example 3.
  • the combination table 603 is composed only of the ECU ID 6032.
  • S103 to S105 of FIG. 10 of the gateway 10 are changed as follows. That is, the gateway 10 transmits a message inquiring about the ECU ID and the software version to all the connected ECUs. Then, for each function described in the function configuration information 65, verification information, that is, the bit string Z in FIG. 8 is created using the acquired ECU ID and software version.
  • the gateway 10 uses the NET ID 6031 to specify the ECU constituting the function for each function and make an inquiry.
  • the function configuration information 65 does not include the NET ID 6031, all the connected ECUs are inquired.
  • the gateway 10 since the ECU constituting each function in the function configuration information 65 is specified by the ECU ID 6032, the gateway 10 uses the ECU ID and the version information obtained as an answer to the inquiry to set the bit string Z for each function. Can be created.
  • the flag 605 is included in the functional configuration information 61.
  • the gateway 10 is configured to allow uniform operation in S110 of FIG. 10 or not uniformly allow operation.
  • the function may be restricted instead of stopping the operation. Function limitation is to reduce the processing power and the types of functions to be realized.
  • the stop control unit 10055 stops or functions the function related to the second verification information determined to be inconsistent. To limit. Therefore, it is possible to uniformly stop or limit the functions in which software inconsistency is detected.
  • Modification 5 In the first embodiment described above, information is verified between the server 2 and the gateway 10 using a public key cryptosystem.
  • the verification method is not particularly limited, and replacement with various known methods and combination of known methods are also included in the scope of the present invention. For example, even if the same public key cryptosystem is used, verification may be performed by encrypting with the private key SK at the server 2 and decrypting with the public key PK at the gateway 10. Further, a symmetric encryption method may be used instead of the public key encryption method, or a message authentication code or salt may be used.
  • the recovery / rejection flag may be included in the response from the server 2 to the gateway 10.
  • the control unit 10000 of the gateway 10 instructs the ECU in step S209 of FIG. 11 to restore the function only to the ECU for which the flag indicating that the restoration is possible is set by the restoration possibility flag.
  • the gateway 10 may verify the function identification verification information 602 in the same manner as the table verification information 604. In this case, the gateway 10 verifies the function identification verification information 602 immediately before S108 in FIG. 10, and proceeds to S112 if the verification is successful, and proceeds to S108 if the verification fails. According to this modification, the function identification ID 601 can be verified.
  • the server 2 may further use at least one of the function identification ID 601 and the NET ID 6031 for calculating the table verification information 604.
  • the gateway 10 also performs the same calculation in the verification process.
  • the gateway 10 starts the verification process when the ignition switch of the vehicle 1 is turned on.
  • the gateway 10 may start the verification process by receiving an operation command from the outside.
  • the gateway 10 may receive an operation command from the outside of the vehicle 1 via the communication module 11, or may start the operation by receiving an operation command from an ECU or the like mounted on the vehicle 1.
  • the function configuration information 61 is created by the server 2 based on the information input by the operator.
  • the operator may create the function configuration information 61 in advance, and the operator may store the function configuration information 61 itself in the auxiliary storage unit 203 of the server 2.
  • FIGS. 18 to 19 A second embodiment of the gateway, which is an arithmetic unit according to the present invention, will be described with reference to FIGS. 18 to 19.
  • the same components as those in the first embodiment are designated by the same reference numerals, and the differences will be mainly described.
  • the points not particularly described are the same as those in the first embodiment.
  • This embodiment is different from the first embodiment in that the software version is mainly managed in the ECU for each function. Further, in the present embodiment, the information stored in the functional configuration information is different from that in the first embodiment.
  • FIG. 18 is a diagram showing an example of function-specific version information 951 stored in each ECU in the second embodiment.
  • the engine control ECU 13 is used as a specific example
  • FIG. 18A shows the function-specific version information 951a of the engine control ECU 13 before the update
  • FIG. 18B shows the function-specific version of the engine control ECU 13 after the update.
  • Information 951b is shown.
  • the engine control ECU 13 contributes to the realization of the functions A and C. Therefore, the function-specific version information 951 stored in the engine control ECU 13 includes the software version "1.0.0.0" and the function A version "1" as shown in FIG. 18A. It is composed of "1" which is a function C version.
  • the function-specific version information 950 is updated with the software update.
  • the software version is updated to "1.0.1.0” and the function A version is updated to "2".
  • the function C version has not changed from "1".
  • FIG. 19 is a diagram showing an example of the functional configuration information 62 according to the present embodiment.
  • FIG. 19A is a diagram showing the function configuration information 62a before the update
  • FIG. 19B is a diagram showing the function configuration information 62b after the update.
  • the example shown in FIG. 19 (a) includes records of R41, R51, and R61
  • the example shown in FIG. 19 (b) includes records of R42, R52, and R62. Comparing the functional configuration information 62 in the present embodiment with the functional configuration information 61 in the first embodiment, the field of software version 6033 in the functional configuration information 61 is deleted, and instead the fields of DID 6034 and functional version 6035 are deleted. Is added.
  • DID6034 stores identification information used when reading a version for each function from the ECU.
  • DID6034 is the identification information of the function set for reading the version information.
  • the DID 6034 may have a 1: 1 correspondence with the function common to all ECUs, or the correspondence between the DID and the function may be different for each ECU.
  • FIG. 19 shows that in the record R61, the version information of the function C is read by "F003", which is a DID 6034 common to all three ECUs.
  • record R41 and record R42 are different, but record R51 and record R61 are the same as record R52 and record R62. This is because the software version information itself is not stored in the function configuration information 62, but only the version information of each function of each software is stored in the function configuration information 62.
  • each ECU performs the following operation when it receives an inquiry about software version information from the gateway 10 together with the DID 6034. That is, the ECU refers to the function configuration information 62 stored in the FROM 1313 and returns the version information of the function corresponding to the received DID6034.
  • the server 2 creates the bit string X by using the ECU ID 6032 and the function version 6035, and creates the table verification information 604 which is the digital signature thereof.
  • the gateway 10 creates a bit string Z using the ECU ID 6032 and the function version 6035, and verifies the table verification information 604.
  • the server 2 may further use the value of DID6034 in creating the bit string X.
  • the gateway 10 also uses the value of DID6034 in creating the bit string Z.
  • FIGS. 20 to 21 A third embodiment of the gateway, which is an arithmetic unit according to the present invention, will be described with reference to FIGS. 20 to 21.
  • the same components as those in the second embodiment are designated by the same reference numerals, and the differences will be mainly described.
  • the points not particularly described are the same as those in the second embodiment.
  • the information stored in the functional configuration information is mainly different from that in the second embodiment.
  • FIG. 20 is a diagram showing an example of function-specific version information 952 stored in each ECU in the present embodiment.
  • the engine control ECU 13 is used as a specific example
  • FIG. 20A shows the function-specific version information 952a before the update of the engine control ECU 13
  • FIG. 20B shows the function-specific version after the engine control ECU 13 is updated.
  • Information 952b is shown.
  • the function-specific version information 952 is composed of 6 bytes, and indicates information that uniquely identifies each software version of the boot loader, BSW, ASW, calibration data, function A, and function C from the beginning.
  • the value of each digit of the function-specific version information 952 is updated as the software of the target portion is updated.
  • the function-specific version information 952 is actually composed of only a 6-byte value.
  • the function-specific version information 952a before the update shown in FIG. 20A is "1,1,1,1,1,1". Since the updated function-specific version information 952b shown in FIG. 20 (b) has the part related to the function A updated, the identification information corresponding to the function A is updated to "2", and the application including the function A is included. The ASW identification information indicating the entire software has been updated to "2".
  • FIG. 21 is a diagram showing an example of the functional configuration information 63 according to the present embodiment.
  • 21 (a) is a diagram showing the functional configuration information 63a before the update
  • FIG. 21 (b) is a diagram showing the functional configuration information 63b after the update.
  • the example shown in FIG. 21A includes records of R71, R81, and R91
  • the example shown in FIG. 21B includes records of R72, R82, and R92.
  • a field of mask 6036 is added instead of the DID 6034 in the functional configuration information 62.
  • the mask 6036 is identification information indicating how many bytes from the beginning of the function-specific version information 952 the identification information of the function corresponds to.
  • the gateway 10 reads the function-specific version information 952 from the ECU and then uses the mask 6036 to specify the identification information related to the function from the read function-specific version information 952. However, the gateway 10 may transmit the value of the mask 6036 to the ECU together with the request for the software function-specific version information 952, and the ECU may return only the value of the bit corresponding to the mask 6036 in the function-specific version information 952.
  • FIGS. 22 to 24 A third embodiment of the gateway, which is an arithmetic unit according to the present invention, will be described with reference to FIGS. 22 to 24.
  • the same components as those in the second embodiment are designated by the same reference numerals, and the differences will be mainly described.
  • the points not particularly described are the same as those in the second embodiment.
  • the behavior when the table verification information does not match is mainly different from that in the first embodiment.
  • FIG. 22 is a diagram showing the function configuration information 61c of the function D
  • FIG. 23 is a diagram showing the function restriction information 91 of the function D.
  • the record R4 in FIG. 22 is a record in which information related to the function D whose function identification ID is indicated by "D2" is stored.
  • "Dzzz” is stored in the field of the function identification verification information 602 of the record R4. Since there are three ECUs constituting the function D, "701", “702”, and “703” are stored in the fields of NET ID6031, and “brake”, “ADAS”, and “camera” are stored in the fields of ECU ID6032, respectively. It is stored, and "1.0.0.0", “1.0.0.1”, and “1.0.0.0” are stored in the fields of software version 6033, respectively.
  • Tdddd is stored in the field of the table verification information 604 of the record R4, and "restriction” indicating that the operation restriction of the function is necessary when an inconsistency occurs is stored in the field of the flag 605.
  • the operation restriction of the function means that a part of the function is continuously operated instead of stopping the function. That is, in the present embodiment, either "stop” or “restriction” is stored in the field of flag 605, and the value "operation permission" is not stored.
  • FIG. 23 is a diagram showing an example of the function restriction information 91 to be referred to when the field of the flag 605 is “restriction”, and is managed in the same manner as the function configuration information 61c.
  • the record R41 in FIG. 23 is a record in which the function restriction information related to the function D is stored. Since “D" is stored in the field of function 600 of the record R41 and there are three ECUs constituting function D, "brake”, “ADAS”, and “camera” are stored in the fields of the version mismatch ECU ID6038, respectively. In the field of restriction content 6037, “warning only operation”, “function complete stop”, and “function complete stop” are stored.
  • the contents illustrated in FIG. 23 will be described below by taking the case where the function D is the automatic braking function as an example.
  • the automatic braking function of the function D is realized by the cooperation of three ECUs having IDs of "brake”, “ADAS”, and “camera”.
  • the automatic braking function consists of three basic functions: detection of an obstacle to be braked, warning to the driver when an obstacle approaches, and braking. In this function configuration, if the versions of the "brake" ECU do not match, the camera and ADAS ECU can operate normally, so obstacle detection and warning to the driver among the basic functions can be realized without problems, and these functions Is preferably operated.
  • FIG. 24 is a flowchart showing the function restriction process in the gateway 10. This process is realized by replacing the process S111 of FIG. First, the stop control unit 10055 determines whether or not the flag is "stop", and if it is "stop” (YES in S121), instructs the related ECU to stop (S111). When the flag is not "stop", that is, "function restriction” (NO in S121), the record R41 of the function D of the function restriction information 91 is read (S122).
  • the gateway 10 compares the version acquired from the ECU with the version of the function configuration information 61c for each ECU, and confirms the difference (S123). If the gateway 10 determines that the versions match, it does nothing (YES in S124). When the gateway 10 determines that the versions do not match (NO in S124), the gateway 10 limits a part of the function according to the content defined in the restriction content 6037 of the function restriction information 91 (S125). Next, it is determined whether or not there is an ECU that has not compared the gateway 10 versions (S126), and if the comparison of all versions is completed, the process ends (NO in S126). When the gateway 10 determines that there is an ECU whose version has not been compared (NO in S126), it returns to S123 and repeats the process.
  • the stop control unit 10055 is a function related to the second verification information determined to be inconsistent, and is a flag.
  • the function restriction information 91 is referred to, and it is determined whether or not to restrict the function based on the second identification information whose version information does not match. Therefore, it is possible to operate a useful function even when the table verification information does not match.
  • the present invention is not limited to the above-mentioned examples, and includes various modifications.
  • the above-described embodiment has been described in detail in order to explain the present invention in an easy-to-understand manner, and is not necessarily limited to those having all the described configurations.
  • the functional configuration information management device is the gateway 10, but the communication module 11 and the HMI 12 may be the functional configuration information management device. Further, a dedicated device may be provided.
  • the configuration of the functional block is only an example.
  • Several functional configurations shown as separate functional blocks may be integrally configured, or the configuration represented by one functional block diagram may be divided into two or more functions. Further, a part of the functions of each functional block may be provided in another functional block.
  • Each of the above configurations, functions, processing units, processing means, etc. may be realized by hardware by designing a part or all of them by, for example, an integrated circuit. Further, each of the above configurations, functions, and the like may be realized by software by the processor interpreting and executing software that realizes each function.
  • control lines and information lines indicate what is considered necessary for explanation, and not all control lines and information lines are necessarily shown on the product. In practice, it can be considered that almost all configurations are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Automation & Control Theory (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Signal Processing (AREA)
  • Stored Programmes (AREA)

Abstract

演算装置は、複数の電子制御装置と接続され、複数の電子制御装置は、１以上の電子制御装置によりそれぞれの機能を構成し、機能ごとに、機能を構成する１以上の電子制御装置の第１識別情報および第１検証情報を含む機能構成情報を受信する外部通信部と、複数の電子制御装置のそれぞれから、電子制御装置に搭載されたソフトウェアのバージョン情報および電子制御装置の第２識別情報を取得する取得部と、機能ごとに、機能を構成するすべての電子制御装置のバージョン情報であって取得部が取得したバージョン情報および機能を構成するすべての電子制御装置の第２識別情報を用いて第２検証情報を作成する算出部と、機能ごとに、第１検証情報および第２検証情報の整合を判定する判定部とを備える。

Description

演算装置、判定方法
　本発明は、演算装置、および判定方法に関する。
　近年、運転支援機能や自動運転技術の進展により、自動車用の電子制御装置（ＥＣＵ：Electric　Control　Unit）に搭載されるソフトウェアの規模が増大している。また、それに伴ってソフトウェア不具合に起因するリコールの回数だけでなく、１回あたりに対応が必要な台数も増加している。そのため、ＥＣＵに搭載されるソフトウェアを遠隔で更新する技術へのニーズが高まっている。ソフトウェアの更新が容易になることで、自動車を構成する各機能に対するハードウェアとソフトウェアの構成を管理することが課題となる。特許文献１には、複数の電子制御装置を備えた車両を特定するシステムであって、各車両に搭載された各電子制御装置の識別データ及び各電子制御装置間の接続状況を示す接続データをパターンとして記憶するパターン記憶手段と、任意の車両のパターンを前記パターン記憶手段に記憶されたパターンと照合する照合手段と、を有し、任意の車両のパターンと記憶された前記パターンとの同一性により前記任意の車両を特定することを特徴とする車両特定システムが開示されている。
日本国特開２００４－２７６８２８号公報
　特許文献１に記載されている発明では、機能ごとの構成情報を確認できない。
　本発明の第１の態様による演算装置は、複数の電子制御装置と接続される演算装置であって、前記複数の電子制御装置は、１以上の前記電子制御装置によりそれぞれの機能を構成し、前記機能ごとに、前記機能を構成する１以上の前記電子制御装置の第１識別情報および第１検証情報を含む機能構成情報を受信する外部通信部と、前記複数の電子制御装置のそれぞれから、前記電子制御装置に搭載されたソフトウェアのバージョン情報および前記電子制御装置の第２識別情報を取得する取得部と、前記機能ごとに、前記機能を構成するすべての前記電子制御装置のバージョン情報であって前記取得部が取得したバージョン情報および前記機能を構成するすべての前記電子制御装置の前記第２識別情報を用いて第２検証情報を作成する算出部と、前記機能ごとに、前記第１検証情報および前記第２検証情報の整合を判定する判定部とを備える。
　本発明の第２の態様による判定方法は、複数の電子制御装置と接続される演算装置が実行する判定方法であって、前記複数の電子制御装置は、１以上の前記電子制御装置によりそれぞれの機能を構成し、前記機能ごとに、前記機能を構成する１以上の前記電子制御装置の第１識別情報および第１検証情報を受信することと、前記複数の電子制御装置のそれぞれから、前記電子制御装置に搭載されたソフトウェアのバージョン情報および前記電子制御装置の第２識別情報を取得することと、前記機能ごとに、前記機能を構成するすべての前記電子制御装置のバージョン情報であって取得したバージョン情報および前記機能を構成するすべての前記電子制御装置の前記第２識別情報を用いて第２検証情報を作成することと、前記機能ごとに、前記第１検証情報および前記第２検証情報の整合を判定することとを含む。
　本発明によれば、機能ごとの構成情報を確認できる。
第１の実施の形態にかかる機能構成情報管理システムＳの構成を示す図 ゲートウェイ１０のハードウェア構成を示すブロック図 エンジン制御ＥＣＵ１３のハードウェア構成例を示すブロック図 エンジン制御ＥＣＵ１３上で動作する制御プログラム１３０の構成を示すブロック図 サーバ２の構成例を示すブロック図 機能構成情報６１の一例を示す図 ゲートウェイ１０で動作するゲートウェイプログラム１００の構成を示すブロック図 本実施の形態におけるテーブル検証情報６０４の検証を示す概念図 ＨＭＩ１２に表示される表示画面の一例を示す図 ゲートウェイ１０における検証処理を示すフローチャート ゲートウェイ１０における復旧処理を示すフローチャート ＥＣＵのソフトウェア更新の手順を示すシーケンス図 サーバ２における機能構成情報６１の登録画面の一例を示す図 変形例１における機能構成情報管理システムＳａの構成を示す図 変形例１における診断装置５の構成例を示すブロック図 変形例２における機能構成情報６４の一例を示す図 変形例３における機能構成情報６５の一例を示す図 第２の実施の形態における機能別バージョン情報９５１の一例を示す図 第２の実施の形態における機能構成情報６２の一例を示す図 第３の実施の形態における機能別バージョン情報９５２の一例を示す図 第３の実施の形態における機能構成情報６３の一例を示す図 第４の実施の形態における機能Ｄの機能構成情報６１ｃを示す図 第４の実施の形態における機能制限情報９１の一例を示す図 第４の実施の形態におけるゲートウェイ１０における機能制限処理を示すフローチャート
―第１の実施の形態―
　以下、図１～図１３を参照して、本発明に係る演算装置であるゲートウェイの第１の実施の形態に係る機能構成情報管理システムを説明する。
　（システム構成）
　図１は、第１の実施の形態にかかる機能構成情報管理システムＳの構成を示す図である。機能構成情報管理システムＳは車両１、およびサーバ２を備える。車両１とサーバ２は、アクセスネットワークや拠点を接続するインターネット３、および通信サービスプロバイダが提供するアクセスネットワーク４を介して接続される。
　車両１は、ゲートウェイ１０、通信モジュール１１、Ｈｕｍａｎ　Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ（ＨＭＩ）１２、および複数のＥＣＵ（電子制御装置）を備える。ゲートウェイ１０、通信モジュール１１、およびＨＭＩ１２は、車内ネットワーク１０ａにより接続される。
　車両１に備えられるＥＣＵは特に限定しないが、本実施の形態ではたとえばエンジン制御ＥＣＵ１３、ブレーキ制御ＥＣＵ１４、自動運転ＥＣＵ１５、および先進運転支援システム（ＡＤＡＳ）　ＥＣＵ１６を備える。ゲートウェイ１０とこれらのＥＣＵは、車内ネットワーク１０ｂにより接続される。ゲートウェイ１０と接続されるこれらのＥＣＵをまとめて、以下では「配下ＥＣＵ」と呼ぶ。
　車内ネットワーク１０ａおよび車内ネットワーク１０ｂは既知の通信規格、たとえばＣｏｎｔｒｏｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（ＣＡＮ）（登録商標）、Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ（ＬＩＮ）、およびＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔ（登録商標）のいずれかを採用する。本実施の形態では、車内ネットワーク１０ｂはＣＡＮで、車内ネットワーク１０ａはＥｔｈｅｒｎｅｔで構成される。ただし車内ネットワーク１０ａおよび車内ネットワーク１０ｂは同一の通信規格を採用してもよい。また、図１では図示しないが、各種ＥＣＵなどの車両内の各構成要素は電力線で蓄電池に接続され、電力供給を受けている。
　ゲートウェイ１０は、配下ＥＣＵ同士の通信データの中継、配下ＥＣＵのソフトウェア更新、および配下ＥＣＵに搭載されるソフトウェアの整合性確認を行う。ただし以下では、ソフトウェアの整合性確認を「検証」や「検証処理」とも呼ぶ。なお本実施の形態ではゲートウェイ１０はゲートウェイ１０自身のソフトウェア更新および整合性確認を行わないが、ゲートウェイ１０がゲートウェイ１０自身のソフトウェア更新および整合性確認を行ってもよい。なお本実施の形態では、「検証」と「整合」は同じ意味で用いる。
　通信モジュール１１は、ゲートウェイ１０、ＨＭＩ１２、および配下ＥＣＵとサーバ２との通信を中継する。ＨＭＩ１２は、車両１の乗員であるユーザへの情報提示やユーザからの入力を受け付けるための装置である。ＨＭＩ１２は、画面表示を行う表示装置および各種スイッチ等の入力装置、またはこれらを組み合わせたタッチパネル等により構成される。エンジン制御ＥＣＵ１３は、エンジンの制御を行う。ブレーキ制御ＥＣＵ１４は、ブレーキの制御を行う。自動運転ＥＣＵ１５は、自動運転時に環境の認識や車両の起動指示等を行う。ＡＤＡＳ　ＥＣＵ１６は、自動ブレーキなどの運転支援制御を行う。
　サーバ２は機能構成情報６１をゲートウェイ１０に送信する。ゲートウェイ１０は、機能構成情報６１に基づいて車両１の機能構成を管理する。
（ゲートウェイのハードウェア構成）
　図２は、ゲートウェイ１０のハードウェア構成を示すブロック図である。ゲートウェイ１０は、マイコン１０１、ＦＲＯＭ（ＦｌａｓｈＲＯＭ）１０２、ＣＡＮ用の通信Ｉ／Ｆ（インタフェース）１０４、およびＥｔｈｅｒｎｅｔ用の通信Ｉ／Ｆ１０５を備える。
　マイコン１０１は、ＣＰＵ１０１１、ＳＲＡＭ１０１２、ＦＲＯＭ１０１３、ＣＡＮ通信コントローラ１０１４、およびＥｔｈｅｒ通信コントローラ１０１５を備える。マイコン１０１のＣＰＵ１０１１は、ＦＲＯＭ１０１３に格納されるプログラムを実行し、ゲートウェイ１０内の他の構成要素を制御するとともに、車内ネットワークにより接続された他の機器とデータ送受信指示を行うなどしてゲートウェイ１０を機能させる。ただしＣＰＵ１０１１の代わりにＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）を用いてもよい。
　ＦＲＯＭ１０２は、不揮発メモリであり、サーバ２から受信した情報が格納される。ＣＡＮ通信コントローラ１０１４は、ＣＡＮ通信用のインタフェースであり、マイコン１０１の指示に基づき車内ネットワーク１０ｂを介して、車内ネットワーク１０ｂに接続された配下ＥＣＵとの間でデータの送受信を行う。Ｅｔｈｅｒ通信コントローラ１０１５は、Ｅｔｈｅｒｎｅｔ通信用のインタフェースであり、マイコン１０１の指示に基づき車内ネットワーク１０ａを介して、車内ネットワーク１０ａに接続された機器との間でデータの送受信を行う。
（ＥＣＵの構成）
　図３は、エンジン制御ＥＣＵ１３のハードウェア構成例を示すブロック図である。ただし本実施の形態においてソフトウェアが更新される対象となるＥＣＵはいずれも、少なくとも図３に示すハードウェア構成を備える。エンジン制御ＥＣＵ１３は、マイコン１３１、およびＣＡＮ用の通信Ｉ／Ｆ１３３を備える。
　マイコン１３１は、ＣＰＵ１３１１、ＳＲＡＭ１３１２、ＦＲＯＭ１３１３、通信コントローラ１３１４、およびＩ／Ｏコントローラ１３１５を備える。マイコン１３１は、ＦＲＯＭ１３１３に格納される制御プログラムを実行し、エンジン制御ＥＣＵ１３内の他の構成要素やＩ／Ｏを介して接続されたセンサ／アクチュエータ１３２を制御するとともに、車内ネットワークで接続された他の機器とデータ送受信指示を行うなどしてエンジン制御を実施する。センサ／アクチュエータ１３２は、マイコン１３１の指示によってエンジン制御に必要となるデータを取得しつつ、エンジンの制御を実行する。
　ＦＲＯＭ１３１３には、ＦＲＯＭ１３１３に格納される制御プログラムのバージョン情報も格納される。またＦＲＯＭ１３１３にはそのＥＣＵの種類や機能を特定する識別情報であるＥＣＵ　ＩＤも格納される。なおＥＣＵ　ＩＤは、「部品番号」や「型番」とも呼ばれる。ＥＣＵ　ＩＤは個々の製品を識別するための、いわゆる製造番号ではなく、ＥＣＵの故障時には同一のＥＣＵ　ＩＤを有する別の製品に交換が可能である。
　図４は、エンジン制御ＥＣＵ１３上で動作する制御プログラム１３０の構成を示すブロック図である。ただし本実施の形態においてソフトウェアが更新される対象となるＥＣＵはいずれも、少なくとも図４に示す制御プログラム１３０と同様の構成を備える。　
　ＥＣＵ１３の機能を実現する制御プログラム１３０は、マイコン１３１のＦＲＯＭ１３１３に格納されＣＰＵ１３１１で実行される。図４では、機能的なまとまりをブロックとして表現しており、各ブロックが複数に分割されてもよいし、いくつかのブロックが統合されてもよい。また制御プログラムは、１つのソフトウェアにより実現されてもよいし、２以上のソフトウェアの組合せにより実現されてもよい。
　制御プログラム１３０は、制御処理部１３００１、更新制御部１３００３、情報管理部１３００４、および通信制御部１３００５を備える。制御処理部１３００１は、Ｉ／Ｏコントローラ１３１５を制御し、センサ／アクチュエータ１３２を制御してエンジン制御を実施する。停止部１３００１１は、通信制御部１３００５を介してゲートウェイ１０からの停止指令や再開指令を受信し、機能の停止・再開制御を行う。
　更新制御部１３００３は、通信制御部１３００５を介してゲートウェイ１０からの動作指令やソフトウェアの更新に用いるデータを受信しソフトウェアの更新を制御する。情報管理部１３００４は、ＦＲＯＭ１３１３に格納されるソフトウェアのバージョン情報やＥＣＵ　ＩＤの読み出し、およびソフトウェアの更新に伴うバージョン情報の書き換えを行う。
　通信制御部１３００５は、更新制御部１３００３等の指示に従って、通信コントローラ１３１４を制御し、車内ネットワーク１０ｂに接続された機器と通信を行う。通信の際には、ＣＡＮフレームを解析・構成する。また通信制御部１３００５は、ＵＤＳ等の診断通信プロトコルに準拠したコマンドの生成・解析を行う。
（機能と構成）
　本実施の形態では、車両１が有する機能はある１つのＥＣＵにより、または複数のＥＣＵが協業することにより実現される。協業とは、連携して動作することを意味するが、必ずしも各ＥＣＵが協業する他のＥＣＵを認識する必要はなく、結果的に複数のＥＣＵがその機能の実現に関与していればよい。たとえばある機能Ｘがエンジン制御ＥＣＵ１３と、自動運転ＥＣＵ１５との協業により実現される場合には、本実施の形態では、エンジン制御ＥＣＵ１３および自動運転ＥＣＵ１５が機能Ｘを「構成する」と言う。また、エンジン制御ＥＣＵ１３および自動運転ＥＣＵ１５が機能Ｘを「実現する」とも言う。
（サーバの構成）
　図５は、サーバ２の構成例を示すブロック図である。サーバ２は、ＣＰＵ２０１、主記憶部２０２、補助記憶部２０３、通信部２０４、入力部２０５、表示部２０６を備える。ＣＰＵ２０１は、補助記憶部２０３等に蓄積されたサーバ用プログラムを主記憶部２０２上で実行し機能構成管理情報の登録や配信の制御を行う。補助記憶部２０３は、機能構成管理情報や車両に配信するＥＣＵソフトウェア更新用のデータを記憶する。
　通信部２０４は、インターネットを介して車両１との間でデータの送受信を行う。入力部２０５は、サーバ２を操作するオペレータからの操作や入力情報を受け付ける。表示部２０６は、サーバ２を操作するオペレータに機能構成管理情報登録に関する情報を提供する。
（機能構成管理情報）
　図６は、サーバ２で生成され、診断装置５やゲートウェイ１０のテーブル管理部１０００１が管理する機能構成情報６１の一例を示す図である。図６（ａ）は変更前の機能構成情報６１である機能構成情報６１ａを示し、図６（ｂ）は変更後の機能構成情報６１である機能構成情報６１ｂを示す。
　図６では、機能構成情報６１をテーブルとして管理し、機能毎の構成情報を記録する場合の例が示されている。機能構成情報６１は複数のレコードを有する。機能構成情報６１の各レコードは、機能識別ＩＤ６０１、機能識別検証情報６０２、組み合わせテーブル６０３、組み合わせテーブル検証情報６０４、およびフラグ６０５のフィールドを備える。図６に示す例では、機能構成情報６１はＲ１１、Ｒ２１、およびＲ３１の３つのレコードを有するが、機能構成情報６１が有するレコードは１以上であればよく上限はない。また、機能識別検証情報６０２およびテーブル検証情報６０４のフィールドはサーバ２のＣＰＵ２０１による演算の結果が格納される。他のフィールドの情報は、オペレータにより入力される。
　機能識別ＩＤ６０１は、機能を構成するＥＣＵのハードウェアとソフトウェアの組み合わせを識別するための識別情報が格納されるフィールドである。ただしここで言う「ソフトウェア」とはバージョン番号も含んだ概念である。したがって機能識別ＩＤ６０１は、組み合わせテーブル６０３に登録されたＥＣＵ　ＩＤが変更された場合だけでなく、ソフトウェアのバージョンが変化した場合にも値が変更される。機能識別ＩＤ６０１はたとえば、機能を識別する文字列とＥＣＵ　ＩＤやバージョンの変化に対応する数字の組み合わせである。
　機能識別検証情報６０２は、機能識別ＩＤ６０１の完全性検証情報を格納する領域である。機能識別ＩＤ６０１の完全性検証情報は、たとえば、機能識別ＩＤ６０１のデジタル署名である。
　組み合わせテーブル６０３は、ＮＥＴ　ＩＤ６０３１、ＥＣＵ　ＩＤ６０３２、およびソフトウェアバージョン６０３３から構成される。組み合わせテーブル６０３には、機能識別ＩＤ６０１が示す機能に関連するＥＣＵのハードウェアとソフトウェアの組み合わせの情報が格納される。ＮＥＴ　ＩＤ６０３１には、車載ネットワーク上での当該ＥＣＵの識別情報を示すＩＤが格納される。車載ネットワーク１０ｂがＣＡＮの場合にはＮＥＴ　ＩＤ６０３１にはＣＡＮ　ＩＤが格納され、車載ネットワーク１０ｂがＥｔｈｅｒｎｅｔの場合にはＩＰアドレスやＭＡＣアドレスが格納される。ＮＥＴ　ＩＤ６０３１にはネットワーク種別や、チャンネル番号など、不図示の情報が含まれてもよい。
　ＥＣＵ　ＩＤ６０３２には、ＥＣＵの種類や機能を識別するための情報が格納される。ＥＣＵ　ＩＤ６０３２には、たとえばエンジン制御ＥＣＵ１３の種類や機能を示す識別情報である「エンジン」が格納される。ＥＣＵの識別情報としては部品番号などが利用されてもよい。すなわちＮＥＴ　ＩＤ６０３１はＥＣＵのネットワーク上の識別子であるのに対して、ＥＣＵ　ＩＤ６０３２はＥＣＵの種類を示す識別子である。また以下では、ＮＥＴ　ＩＤ６０３１を「第１識別情報」と呼ぶことがあり、ＥＣＵ　ＩＤ６０３２を「第２識別情報」と呼ぶことがある。
　ソフトウェアバージョン６０３３は、ＥＣＵに搭載されたソフトウェアのバージョンを識別するための情報が格納されるフィールドである。なお以下では、ＥＣＵ　ＩＤ６０３２に格納される情報とソフトウェアバージョン６０３３に格納される情報とを合わせて「構成情報」とも呼ぶ。
　組み合わせテーブル検証情報６０４は、組み合わせテーブル６０３に登録された情報の完全性検証情報を格納する領域である。組み合わせテーブル検証情報６０４は、たとえば、機能識別ＩＤ６０１とＥＣＵ　ＩＤ６０３２、ソフトウェアバージョン６０３３を連結した値のデジタル署名である。
　フラグ６０５は、組み合わせテーブル６０３に登録された情報と、配下ＥＣＵから収集した情報に矛盾がある場合に、機能識別ＩＤ６０１により示される機能の動作継続を許可するか否かを示す情報が格納される。継続動作を許可する場合には「動作許可」が格納され、動作許可を許容せず停止が必要な場合には「停止」が格納される。
　図６（ａ）のレコードＲ１は、機能識別ＩＤが”Ａ１”で示される機能Ａに関連する情報が格納されたレコードである。レコードＲ１の機能識別検証情報６０２のフィールドには「ａａａ」が格納され、ＮＥＴ　ＩＤ６０３１のフィールドには「７００」が格納され、ＥＣＵ　ＩＤ６０３２のフィールドにはエンジン制御ＥＣＵ１３であることを示す「エンジン」が格納され、ソフトウェアバージョン６０３３のフィールドには「１．０．０．０」が格納され、組み合わせテーブル検証情報６０４のフィールドには「ｔａａａ」が格納され、フラグ６０５のフィールドには、不整合が発生した場合も当該機能の動作継続を許可する「動作許可」が格納されている。
　図６（ａ）のレコードＲ２は、機能識別ＩＤが”Ｂ１”で示される機能Ｂに関連する情報が格納されたレコードである。レコードＲ２の機能識別検証情報６０２のフィールドには「ｂｂｂ」が格納され、ＮＥＴ　ＩＤ６０３１のフィールドには「７０１」が格納され、ＥＣＵ　ＩＤ６０３２のフィールドにはブレーキ制御ＥＣＵ１４であることを示す「ブレーキ」が格納され、ソフトウェアバージョン６０３３のフィールドには「１．０．０．０」が格納され、組み合わせテーブル検証情報６０４のフィールドには「ｔｂｂｂ」が格納され、フラグ６０５のフィールドには、不整合が発生した場合は当該機能の動作停止が必要であることを示す「停止」が格納されている。
　図６（ａ）のレコードＲ３は、機能識別ＩＤが”Ｃ１”で示される機能Ｃに関連する情報が格納されたレコードである。レコードＲ３の機能識別検証情報６０２のフィールドには「ｃｃｃ」が格納される。機能Ｃを構成するＥＣＵは３つであるため、ＮＥＴ　ＩＤ６０３１のフィールドには「７００」「７０１」「７０２」がそれぞれ格納され、ＥＣＵ　ＩＤ６０３２のフィールドには「エンジン」「ブレーキ」「ＡＤＡＳ」がそれぞれ格納され、ソフトウェアバージョン６０３３のフィールドには「１．０．０．０」「１．０．０．０」「１．０．０．０」がそれぞれ格納される。レコードＲ３の組み合わせテーブル検証情報６０４のフィールドには「ｔｃｃｃ」が格納され、フラグ６０５のフィールドには、不整合が発生した場合は当該機能の動作停止が必要であることを示す「停止」が格納されている。
　なおここでは、機能Ｃが３つのＥＣＵにより構成される例を示したが、前述のように１つの機能がいくつのＥＣＵにより構成されてもよく、１つの機能を構成するＥＣＵの数に上限はない。
　図６（ｂ）は図６（ｂ）に示す機能構成情報６１ａからエンジン制御ＥＣＵ１３のソフトウェアが更新された場合の更新後の機能構成情報６１である機能構成情報６１ｂを示す図である。具体的には図６（ｂ）ではエンジン制御ＥＣＵ１３のソフトウェアバージョンが「１．０．０．０」から「１．０．０．１」に更新された。図６（ｂ）に示すレコードＲ１２、Ｒ２２、およびＲ３２は、図６（ａ）に示すレコードＲ１１、Ｒ２１、およびＲ３１にそれぞれ対応する。
　ソフトウェアの更新に伴って、図６（ｂ）のレコードＲ１２およびＲ３２に示すように、ＥＣＵ　ＩＤ６０３２が「エンジン」であるレコードのソフトウェアバージョン６０３３が「１．０．０．１」に更新されている。また、エンジン制御ＥＣＵ１３を構成要素に含むレコードＤ１０１ｂとレコードＤ１０３ｂの機能の機能識別ＩＤ６０１がそれぞれ”Ａ２”と”Ｃ２”に更新されている。このように、機能構成情報においては、機能実現に関連するＥＣＵの構成変更に伴い、機能識別ＩＤが更新する必要がある。
（ゲートウェイまたは診断装置のソフトウェア構成）
　図７は、ゲートウェイ１０で動作するゲートウェイプログラム１００の構成を示すブロック図である。
　ゲートウェイ１０の機能を実現するゲートウェイプログラム１００は、マイコン１０１のＦＲＯＭ１０１３に格納されＣＰＵ１０１１により実行される。図７では、機能的なまとまりをブロックとして表現しており、各ブロックが複数に分割されてもよいし、いくつかのブロックが統合されてもよい。また制御プログラムは、１つのソフトウェアにより実現されてもよいし、２以上のソフトウェアの組合せにより実現されてもよい。
　ゲートウェイプログラム１００は、制御部１００００、テーブル管理部１０００１、算出判定部１０００２、取得部１０００４、停止制御部１０００５、および通信制御部１０００６を含む。制御部１００００は、テーブル管理部１０００１、算出判定部１０００２、取得部１０００４、停止制御部１０００５、および通信制御部１０００６を制御する。テーブル管理部１０００１は、ＦＲＯＭ１０１３に格納される機能構成情報６１を管理する。
　算出判定部１０００２は、取得部１０００４から取得した構成情報を用いて検証値を算出し、機能構成情報６１に含まれるテーブル検証情報６０４との整合を判定する。算出判定部１０００２は、判定の結果を停止制御部１０００５に出力する。検証値の算出方法はサーバ２と同様である。算出判定部１０００２が検証値の算出に用いる値、すなわちＥＣＵ　ＩＤとソフトウェアのバージョンがサーバ２が算出に用いた値と同じであれば、検証値とテーブル検証情報６０４は整合する。
　取得部１０００４は、テーブル管理部１０００１が管理する情報に基づいて、ＥＣＵからＥＣＵ　ＩＤやソフトウェアバージョンなどの構成情報を取得し、検証情報算出部に出力する。停止制御部１０００５は、テーブル管理部１０００１が管理する動作許可・停止を示すフラグと、算出判定部１０００２の出力情報に基づいて、不整合が発生した機能の動作継続・停止制御を行う。
　通信制御部１０００６は、停止制御部１０００５等の指示に従って、ＣＡＮ通信コントローラ１０１４およびＥｔｈｅｒ通信コントローラ１０１５を制御し、車内ネットワーク１０ａおよび１０ｂに接続された機器と通信を行う。車内ネットワーク１０ａに接続された機器と通信する際には、通信制御部１０００７は、ＴＣＰ／ＩＰやＵＤＰ／ＩＰなどのパケットを解析・生成する。また車内ネットワーク１０ｂに接続された機器と通信する際には、通信制御部１０００６は、ＣＡＮフレームを解析・生成する。なお通信制御部１０００６は、通信モジュール１１を介して車両１の外部との通信が可能なので、「外部通信部」とも呼べる。
（検証）
　図８は、本実施の形態におけるテーブル検証情報６０４の検証を示す概念図である。図８には以下の説明との対応関係を示すために便宜的にステップ番号を付与している。このステップ番号は後述するフローチャートのステップ番号とは対応しない。
　サーバ２には予め秘密鍵ＳＫが格納され、ゲートウェイ１０には予め公開鍵ＰＫが格納されている。サーバ２のＣＰＵ２０１は、あらかじめ定めたルールにしたがって、機能ごとに構成情報を繋げたビット列Ｘを作成する（Ｓ９０１）。たとえば図６に示したように機能Ａを構成するＥＣＵ「エンジン制御ＥＣＵ」だけの場合は、機能Ａのテーブル検証情報６０４を作成するために、ＣＰＵ２０１は「エンジン」を所定のルールによりたとえばＵＴＦ－８の文字コード番号に変換して「０ｘ８３４７１２３４５」を得て、バージョン番号「１．０．０．０」を所定のルールにより変換して「０ｘ１０００」を得る。そしてこの２つのビット列を連結して得られる「０ｘ８３４７１２３４５１０００」をビット列Ｘとする。
　なお、ある機能が複数のＥＣＵから構成される場合には、ビット列Ｘを作成する際のビット列を並べる順番は、たとえばＮＥＴ　ＩＤが小さい順番に並べるなどのルールがあらかじめ定められている。
　そしてＣＰＵ２０１は、そのビット列Ｘを対象とし、秘密鍵ＳＫを用いてデジタル署名Ｙを作成する（Ｓ９０２）。作成したデジタル署名Ｙは、機能構成情報６１のテーブル検証情報６０４として格納され、ゲートウェイ１０に送信される。デジタル署名Ｙの作成方式はあらかじめゲートウェイ１０と共有されている。
　ゲートウェイ１０は、サーバ２から受信した機能構成情報６１を参照し、機能ごとにＥＣＵから構成情報を読み出し、あらかじめ定めたルールにしたがって検証値であるビット列Ｚを作成する（Ｓ９０３）。このビット列Ｚのルールは、サーバ２に格納されているビット列Ｘの作成ルールと同一である。そしてゲートウェイ１０は、機能構成情報６１に格納されたテーブル検証情報６０４、すなわちデジタル署名Ｙを公開鍵ＰＫを用いて復号化し、ビット列Ｘを得る（Ｓ９０４）。
　念のために記載すると、あらかじめ用意された秘密鍵ＳＫと公開鍵ＰＫの組合せが適切ならば、ゲートウェイ１０に接続されているＥＣＵの如何にかかわらず、ゲートウェイ１０において復号化されて得られるビット列Ｘはサーバ２において作成されたビット列Ｘと同一である。最後にゲートウェイ１０は、ビット列Ｘとビット列Ｚが同一か否かを判断することで検証の合否を判断する（Ｓ９０５）。
　ただしビット列Ｘを用いたデジタル署名Ｙの作成において、ビット列Ｘをそのまま用いずにビット列Ｘのハッシュ値やビット列Ｘとあらかじめ定めた値とのＸＯＲ値に対してデジタル署名Ｙを作成してもよい。また上述した説明におけるＳ９０３とＳ９０４は実行の順番を入れ替えてもよいし略同時に実行してもよい。なお以下では、ビット列Ｚを「検証値」とも呼ぶ。またビット列Ｚの比較対象は上述した通りビット列Ｘであるが、以下の説明では冗長な記載を避けるために、単に「ビット列Ｚとデジタル署名Ｙの整合を判定する」、または「検証値とテーブル検証情報６０４の整合を判定する」と記載する。
（車両側画面表示例）
　図９は、ＨＭＩ１２に表示される表示画面の一例を示す図である。図９（ａ）に示す表示Ｇ１ａは、機能構成情報と実際の構成の不整合が検出されたことをユーザに示す画面例である。不整合により機能を停止させている場合は、さらに本画面に機能停止している旨の情報を表示してもよい。図９（ｂ）に示す表示Ｇ１ｂは、機能構成情報が不整合なため、機能の一部を停止したことをユーザに示す画面例である。
　図９（ｃ）に示す表示Ｇ１ｃは、機能構成情報が不整合で対策できないため、回復のためにディーラに連絡することをユーザに促す画面例である。図９（ｄ）に示す表示Ｇ１ｄは、機能構成情報の不整合が回復され、機能の一部が普及したことをユーザに示す画面例である。
（確認シーケンス）
　図１０は、ゲートウェイ１０における検証処理を示すフローチャートである。図１０に示す処理は、車両１のイグニッションスイッチがオンにされると実行される。なおゲートウェイ１０は、イグニッションスイッチと信号線で接続されてイグニッションスイッチからオン／オフの状態を示す信号を直接受信してもよいし、イグニッションスイッチと接続される不図示のＥＣＵから動作指令信号をうけて動作を開始してもよい。
　まず制御部１００００は、最初に処理対処のレコードｘを１に設定する（Ｓ１０１）。機能構成情報６１が図６（ａ）に示すものの場合は、Ｘ＝１の場合にはレコードＲ１１が読み込まれ、Ｘ＝２の場合にはレコードＲ２１が読み込まれる。後述するＳ１１２の判断により、ゲートウェイプログラム１００は、機能構成情報６１に格納されたレコードの数だけＳ１０３～Ｓ１１１の処理を繰り返す。
　制御部１００００は、機能構成情報６１における処理対象レコードｘのＮＥＴ　ＩＤを読み出し、取得部１０００４にそのＮＥＴ　ＩＤを有するＥＣＵからの構成情報の読み出しを指示する（Ｓ１０３）。取得部１０００４は、通信制御部１０００６を介して、ＥＣＵから構成情報、すなわちＥＣＵ　ＩＤとソフトウェアバージョンの組合せを読み出し、算出判定部１０００２に読み出した構成情報を渡す（Ｓ１０４）。なお図６（ａ）に示すレコードＲ３１のようにＮＥＴ　ＩＤが複数存在する場合には、そのすべてのＮＥＴ　ＩＤに対して構成情報を読み出す。算出判定部１０００２は、受信した構成情報を用いて検証情報を算出する（Ｓ１０５）。
　算出判定部１０００２は、機能構成情報６１の処理対処のレコードｘにおけるテーブル検証情報６０４を読みだし、Ｓ１０５において算出した検証値との整合を判断する（Ｓ１０６）。算出判定部１０００２は、検証値とテーブル検証情報６０４が整合すると判断する場合は（Ｓ１０７：ＹＥＳ）、Ｓ１１２に進んで制御部１００００が未確認のレコード有無を確認する。制御部１００００は、未確認のレコードがないと判断する場合は（Ｓ１１２：ＮＯ）、確認済みレコードの不整合の有無を確認する。制御部１００００は、不整合が全くない、すなわち機能構成情報６１の全レコードについて算出判定部１０００２が算出する検証値と機能構成情報６１から読み出したテーブル検証情報６０４が整合すると判断する場合は（Ｓ１１３：ＮＯ）は、処理を終了する。
　制御部１００００は、不整合がある、すなわち機能構成情報６１のいずれかのレコードにおいて算出判定部１０００２が算出する検証値と機能構成情報６１から読み出したテーブル検証情報６０４が整合しないと判断する場合は（Ｓ１１３：ＹＥＳ）、ＨＭＩに図９の画面Ｇ１ａの表示を指示し（Ｓ１１４）、処理を終了する。未確認のレコードがある場合（Ｓ１１２：ＹＥＳ）は、制御部１００００は処理対象レコードｘを次のレコードに更新して（Ｓ１１５）、Ｓ１０３に戻る。
　制御部１００００は、整合しないと判断する場合（Ｓ１０７：ＮＯ）、バージョン情報が整合しない旨の故障コード、すなわちＤＴＣ（diagnostic　trouble　code）コードを記録する（Ｓ１０８）。停止制御部１０００５は、制御部１００００から処理対象レコードＸと比較結果を受信し、機能構成情報６１から該当レコードのフラグ６０５を読み出す（Ｓ１０９）。停止制御部１０００５は、読み出したフラグ６０５が「動作許可」の場合（Ｓ１１０：ＹＥＳ）は、何もせずに処理を継続する。読み出したフラグ６０５が「動作許可」ではない場合（Ｓ１１０：ＮＯ）は、通信制御部１０００６を介して、機能構成情報６１の処理対象レコードＸに登録された関連ＥＣＵに当該機能の停止を指示する（Ｓ１１１）。以上が図１０の説明である。
（不整合時の復旧シーケンス）
　図１１は、ゲートウェイ１０における復旧処理を示すフローチャートである。図１１に示す処理は、図１０に示す処理の完了後であって、機能構成情報６１のいずれかのレコードに不整合がある場合に実行される。ただし図１１に示す処理は必ずしも図１０に示す処理の完了を待機してから開始しなくてもよく、たとえばＳ１０７において否定判断がされた際にＳ１０８と並列に実行を開始してもよい。
　制御部１００００は、最初に機能構成情報が不整合である情報を含む構成情報をサーバ２に送信する（Ｓ２０１）。サーバ２は、ゲートウェイ１０から受信した構成情報に基づき、次の３つのいずれかの応答を送信する。第１の応答は機能構成情報６１の更新指示、第２の応答はＥＣＵのソフトウェア更新指示、第３の応答は機能構成情報６１およびＥＣＵのソフトウェアの更新指示である。サーバ２はたとえば、機能構成情報６１の更新日時やＥＣＵのソフトウェアの更新日時、ソフトウェアのバージョン番号に基づき第１～第３の応答のいずれにするかを選択する。ただしサーバ２は更新指示を含めない応答を返してもよい。
　制御部１００００はサーバ２からの応答を受信すると（Ｓ２０２）、その中に更新指示が含まれるかを判定する。制御部１００００は、更新指示が含まれないと判断する場合は（Ｓ２０３：ＮＯ）、ＨＭＩ１２に図９（ｃ）に示す画面Ｇ１ｃの表示を指示し（Ｓ２０４）、図１１に示す処理を終了する。制御部１００００は、応答に更新指示が含まれると判断する場合は、サーバ２からの応答に機能構成情報６１の更新指示が含まれるかどうかを判定する。制御部１００００は、機能構成情報６１の更新指示が含まれると判断する場合は（Ｓ２０５：ＹＥＳ）、機能構成情報６１を更新する（Ｓ２０６）。
　次に制御部１００００は、サーバ２からの応答にＥＣＵのソフトウェア更新指示が含まれるか否かを判定する。制御部１００００は、ＥＣＵのソフトウェア更新指示が含まれないと判断する場合は（Ｓ２０７：ＮＯ）、機能を停止していたＥＣＵに機能復旧を指示し（Ｓ２０９）、ＨＭＩ１２に図９（ｄ）に示す画面Ｇ１ｄの表示を指示（Ｓ２１０）して、図１１に示す処理を終了する。制御部１００００は、ＥＣＵのソフトウェア更新指示が含まれると判断する場合は（Ｓ２０７：ＹＥＳ）、ＥＣＵのソフトウェア更新処理を実行（Ｓ２０８）する。そして制御部１００００は、ソフトウェア更新が完了すると、機能を停止していたＥＣＵに機能復旧を指示し（Ｓ２０９）、ＨＭＩ１２に図９（ｄ）に示す画面Ｇ１ｄの表示を指示（Ｓ２１０）して、図１１に示す処理を終了する。
（ソフトウェア更新シーケンス）
　図１２は、ＥＣＵのソフトウェア更新の手順を示すシーケンス図である。なお図１２では処理の一例としてエンジン制御ＥＣＵ１３をソフトウェア更新の処理対象として説明するが、以下に説明するシーケンスは処理対象のＥＣＵによらず共通である。
　ゲートウェイ１０は、最初に更新対象であるエンジン制御ＥＣＵ１３からＥＣＵ　ＩＤとソフトウェアバージョンを読み出す（Ｓ２０８１）。ゲートウェイ１０は、次に収集したＥＣＵ　ＩＤとソフトウェアバージョン、すなわち構成情報をサーバに送信する（Ｓ２０８２）。サーバ２は、受信した構成情報をもとに、当該車両のソフトウェア更新有無を判断し、その結果としての更新情報をゲートウェイ１０に送信する（Ｓ２０８３）。次に、ゲートウェイ１０は、サーバ２から更新に必要なデータをダウンロードする（Ｓ２０８４）。更新に必要なデータには、新しいソフトウェアや、更新後の機能構成情報６１が含まれる。
　次に、ゲートウェイ１０は、更新対象のエンジン制御ＥＣＵ１３を制御してエンジン制御ＥＣＵ１３のソフトウェアを更新する（Ｓ２０８５）。ゲートウェイ１０は、更新が完了すると機能構成情報６１を更新する（Ｓ２０８６）。
　なお、図１１のＳ２０８におけるソフトウェア更新処理では、Ｓ２０８１～Ｓ２０８３は、図１１のＳ２０１で実施済みのため実施を省略できる。またゲートウェイ１０は、ダウンロードしたデータに機能構成情報６１が含まれない場合は、Ｓ２０８６は実施しなくてよい。
（サーバ側画面表示例）
　図１３は、サーバ２における機能構成情報６１の登録画面の一例を示す図である。登録画面Ｇ２は、サーバ２の表示部２０６に表示される。機能構成情報６１の登録画面Ｇ２は、対象機能Ｇ２１、機能識別ＩＤ　Ｇ２２、機能実現ＥＣＵ　Ｇ２３、不整合時動作Ｇ２４、登録ボタンＧ２５、および行追加ボタンＧ２６から構成される。
　対象機能Ｇ２１は、緊急ブレーキ機能などの管理対象の機能を識別する情報を設定する領域であり、本例では符号Ｇ２１ａに示すように「機能Ｃ」が設定されている。機能識別ＩＤ　Ｇ２２は、管理対象の構成を一意に識別するための識別情報を設定する領域であり、本例では符号Ｇ２２ａに示すように「Ｃ１」が設定されている。
　関連ＥＣＵ　Ｇ２３は、対象機能Ｇ２１を実現するＥＣＵを一意に特定するための情報を設定する領域であり、ＮＥＴ　ＩＤ、ＥＣＵ　ＩＤ、ソフトウェアバージョンで構成される。本例では、符号Ｇ２３ａ～Ｇ２３ｃで示す３つのＥＣＵにより機能Ｃが実現されることが示されている。符号Ｇ２３ａに示すＥＣＵは、ＮＥＴ　ＩＤが「７００」、ＥＣＵ　ＩＤが「エンジン」、ソフトウェアバージョンが「１．０．０．０」である。符号Ｇ２３ｂに示すＥＣＵは、ＮＥＴ　ＩＤが「７０１」、ＥＣＵ　ＩＤが「ブレーキ」、ソフトウェアバージョンが「１．０．０．０」である。符号Ｇ２３ｃに示すＥＣＵは、ＮＥＴ　ＩＤが「７０２」、ＥＣＵ　ＩＤが「ＡＤＡＳ」、ソフトウェアバージョンが「１．０．０．０」である。
　不整合時動作Ｇ２４は、対象機能Ｇ２１に示す機能の構成情報に不整合を検出した場合の当該機能の動作を設定する領域絵であり、本例では符号Ｇ２４ａに示すように「停止」が設定されている。登録ボタンＧ２５は入力した情報をサーバ２に登録するためのボタンであり、オペレータがこのボタンを押すと機能識別検証情報６０２およびテーブル検証情報６０４のフィールドの値がＣＰＵ２０１によって算出される。行追加ボタンＧ２６は、機能実現ＥＣＵの入力欄を増加させるためのボタンである。
　上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）ゲートウェイ１０は、複数のＥＣＵと接続される。複数のＥＣＵのそれぞれは、１以上のＥＣＵによりそれぞれの機能を構成する。ゲートウェイ１０は、機能ごとに、機能を構成する１以上のＥＣＵの第１識別情報、すなわちＮＥＴ　ＩＤ６０３１および第１検証情報、すなわちテーブル検証情報６０４を含む機能構成情報６１を受信する外部通信部、すなわち通信制御部１０００６と、複数のＥＣＵのそれぞれから、ＥＣＵに搭載されたソフトウェアバージョン６０３３およびＥＣＵの第２識別情報、すなわちＥＣＵ　ＩＤ６０３２を取得する取得部１０００４と、機能ごとに、機能を構成するすべてのＥＣＵのバージョン情報であって取得部が取得したソフトウェアバージョン６０３３および機能を構成するすべてのＥＣＵの第２識別情報、すなわちＥＣＵ　ＩＤ６０３２を用いて第２検証情報、すなわちビット列Ｚを算出する算出判定部１０００２と、機能ごとに、第１検証情報および第２検証情報の整合を判定する算出判定部１０００２とを備える。そのためゲートウェイ１０は、ゲートウェイ１０に接続されるＥＣＵが構成する全ての機能について、機能ごとの構成情報を確認することができる。
　ある機能が複数のＥＣＵにより構成される場合には、それら複数のＥＣＵに搭載されるソフトウェアのバージョンは、意図された通りの組合せであることが望ましい。たとえば事前に検証されていない組合せでは動作が保証できない場合があるからである。また、ソフトウェアの更新は無線通信を介して実行することも可能なので、専門店に持ち込んでソフトウェアを更新する場合に比べれば、ソフトウェアのバージョンの組合せが予定していないものになる可能性が高まる。また、ＥＣＵが故障した際に同一の型番の他のＥＣＵと交換し、そのＥＣＵのソフトウェアのバージョンが交換前のＥＣＵと一致していないことも起こりうる。このような場合に、本実施の形態で示した検証処理を行うことで、機能ごとの構成情報を確認し、問題の発見や問題がないことの確認が可能となる。
（２）第１識別情報とは、ＥＣＵのネットワーク上の識別子、すなわちＮＥＴ　ＩＤ６０３１である。第２識別情報とは、ＥＣＵの種類を示す識別子、すなわちＥＣＵ　ＩＤ６０３２である。
（３）機能構成情報６１には、機能ごとに不整合時の実行を許可または拒否を示すフラグ６０５が含まれる。停止制御部１０００５は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、整合しないと判定された第２検証情報に関する機能であって、機能構成情報におけるフラグが不整合時に実行を拒否することを示すフラグを有する機能を停止させる。そのためゲートウェイ１０は、フラグ６０５の設定に応じて不整合時に機能を停止させることができる。
（４）制御部１００００は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、Ｅｔｈｅｒ通信コントローラ１０１５から受ける指令に基づき、機能構成情報６１およびＥＣＵのソフトウェアの少なくとも一方を更新する。そのためゲートウェイ１０は、不整合時に機能構成情報６１およびＥＣＵのソフトウェアの少なくとも一方を更新できる。
（５）制御部１００００は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、不整合が生じたことを故障コードとして記憶部であるＦＲＯＭ１０２に記録する。そのため、ＦＲＯＭ１０２を参照することで不整合の発生を事後的に確認できる。
（６）制御部１００００は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、不整合が生じたことを表示部、すなわちＨＭＩ１２に表示させる。そのため車両１の乗員は不整合の発生をＨＭＩ１２の表示により知ることができる。
（７）ゲートウェイ１０は車両１に搭載される。取得部１０００４、および算出判定部１０００２は、車両１のイグニッションスイッチがオンにされると動作を開始する。そのため、車両１の起動時に動作することで、車両１が走行を開始する前に、または車両１が低速で走行している間にソフトウェアの不整合を検出できる。
（変形例１）
　各機能の構成情報の確認は、ゲートウェイ１０以外の装置が実現してもよい。たとえば車両１に接続可能な診断装置により実行してもよい。
　図１４は変形例１における機能構成情報管理システムＳａの構成を示す図である。図１４では、診断装置５が追加されている点が第１の実施の形態と異なる。本変形例では、サーバ２が送信する機能構成情報６１は診断装置５が受信する。診断装置５とゲートウェイ１０は、ＯＢＤ２などの汎用コネクタ６００を介して接続される。なお図１４では通信モジュール１１とサーバ２は接続されていないが、ＥＣＵのソフトウェアを更新する際には、第１の実施の形態と同様に通信モジュール１１はサーバ２と通信を行う。
（診断装置の構成）
　図１５は、診断装置５の構成例を示すブロック図である。診断装置５は、ＣＰＵ５０１、主記憶部５０２、補助記憶部５０３、第１通信部５０４、第２通信部５０５、入力部５０６、および表示部５０７を備える。ＣＰＵ５０１は、補助記憶部５０３等に蓄積されたプログラムを主記憶部５０２上で実行し機能構成管理の制御を行う。補助記憶部５０３は、機能構成管理情報や車両に配信するＥＣＵソフトウェア更新用のデータを記憶する。
　第１通信部５０４は、インターネット３を介してサーバ２との間でデータの送受信を行う。第２通信部５０５は、車両１との間でデータの送受信を行う。入力部５０６は、診断装置５を操作するオペレータからの操作や入力情報を受け付ける。表示部５０７は、診断装置５を操作するオペレータに機能構成管理情報を表示する。
（動作）
　本変形例では、オペレータが入力部５０６から動作指示を与えることで図１０に示した検証処理が開始される。本変形例ではゲートウェイ１０は、診断装置５の動作指令に基づき各ＥＣＵとの通信を仲介する。その他の動作は第１の実施の形態と同様である。
（変形例２）
　上述した第１の実施の形態では、機能構成情報６１にＥＣＵ　ＩＤ６０３２およびソフトウェアバージョン６０３３も含まれた。しかしゲートウェイ１０は検証処理も含めて特にＥＣＵ　ＩＤ６０３２およびソフトウェアバージョン６０３３を必要としないので、機能構成情報６１にＥＣＵ　ＩＤ６０３２およびソフトウェアバージョン６０３３を含めなくてもよい。
　図１６は変形例１における機能構成情報６４の一例を示す図である。機能構成情報６４では組合せテーブル６０３がＮＥＴ　ＩＤ６０３１のみで構成される。本変形例においてもゲートウェイ１０の動作は第１の実施の形態と同様である。前述のように、第１の実施の形態においてゲートウェイ１０は、サーバ２から受信した機能構成情報６１に記載されたＥＣＵ　ＩＤ６０３４および機能バージョン６０３５を参照する機会がなかった。そのため、機能構成情報６４からＥＣＵ　ＩＤ６０３４および機能バージョン６０３５が削除されても何ら影響がないためである。
（変形例３）
　上述した第１の実施の形態では、機能構成情報６１にＮＥＴ　ＩＤ６０３１およびソフトウェアバージョン６０３３も含まれた。しかし機能構成情報６１にＮＥＴ　ＩＤ６０３１およびソフトウェアバージョン６０３３を含めなくてもよい。
　図１７は変形例３における機能構成情報６５の一例を示す図である。機能構成情報６５では組合せテーブル６０３がＥＣＵ　ＩＤ６０３２のみで構成される。本変形例ではゲートウェイ１０の図１０のＳ１０３～Ｓ１０５を次のように変更する。すなわちゲートウェイ１０は、接続されている全てのＥＣＵに対してＥＣＵ　ＩＤとソフトウェアのバージョンを問い合わせるメッセージを送信する。そして、機能構成情報６５に記載された機能ごとに、取得したＥＣＵ　ＩＤとソフトウェアのバージョンを用いて検証情報、すなわち図８のビット列Ｚを作成する。
　第１の実施の形態ではゲートウェイ１０は、機能ごとに機能を構成するＥＣＵを特定して問い合わせを行うためにＮＥＴ　ＩＤ６０３１を利用していた。しかし本変形例では機能構成情報６５にＮＥＴ　ＩＤ６０３１が含まれないので、接続されているＥＣＵの全てに問い合わせを行う。本変形例では、機能構成情報６５においてそれぞれの機能を構成するＥＣＵはＥＣＵ　ＩＤ６０３２により特定されるので、ゲートウェイ１０は問い合わせに対する回答として得られるＥＣＵ　ＩＤとバージョン情報を用いて、機能ごとにビット列Ｚを作成できる。
（変形例４）
　上述した第１の実施の形態では、機能構成情報６１にフラグ６０５が含まれた。しかし機能構成情報６１にフラグ６０５を含めなくてもよい。この場合にはゲートウェイ１０は、図１０のＳ１１０において一律に動作を許可する、または一律に動作を許可しない構成とする。さらにこの場合に、動作を停止させる代わりに機能を制限してもよい。機能の制限とは、処理能力を低下させることや実現する機能の種類を減少させることである。
　本変形例によれば次の作用効果が得られる。
（８）停止制御部１０００５は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、整合しないと判定された第２検証情報に関する機能を停止、または機能を制限させる。そのため、ソフトウェアの不整合が検出された機能を一律に停止、または機能を制限させることができる。
（変形例５）
　上述した第１の実施の形態では、公開鍵暗号方式を利用してサーバ２とゲートウェイ１０の間で情報の検証を行った。しかし検証の方式は特に限定されず既知の様々な手法に置き換えることや既知の手法を組み合わせることも本発明の範囲に含まれる。たとえば同じ公開鍵暗号方式であっても、サーバ２では秘密鍵ＳＫによる暗号化を行いゲートウェイ１０では公開鍵ＰＫによる複合化を行うことで検証を行ってもよい。また公開鍵暗号方式の代わりに対称暗号方式を利用してもよいし、メッセージ認証コードやソルトを利用してもよい。
（変形例６）
　サーバ２からのゲートウェイ１０への応答に復旧可否フラグを含めてもよい。その場合はゲートウェイ１０の制御部１００００は、図１１のステップＳ２０９において、復旧可否フラグにより復旧させてもよい旨のフラグが設定されているＥＣＵに対してのみ機能の復旧を指示する。
（変形例７）
　第１の実施の形態では特に説明しなかったが、ゲートウェイ１０は機能識別検証情報６０２もテーブル検証情報６０４と同様に検証を行ってもよい。この場合はゲートウェイ１０は、たとえば図１０のＳ１０８の直前に機能識別検証情報６０２の検証を行い、検証に成功するとＳ１１２に進み、検証に失敗するとＳ１０８に進む。本変形例によれば、機能識別ＩＤ６０１を検証できる。
（変形例８）
　サーバ２は、テーブル検証情報６０４の算出に機能識別ＩＤ６０１およびＮＥＴ　ＩＤ６０３１の少なくとも一方をさらに利用してもよい。この場合にはゲートウェイ１０も検証処理において同様の算出を行う。
（変形例９）
　上述した第１の実施の形態では、ゲートウェイ１０は車両１のイグニッションスイッチがオンにされると検証処理を開始した。しかしゲートウェイ１０は、外部から動作指令を受けて検証処理を開始してもよい。たとえばゲートウェイ１０は、通信モジュール１１を介して車両１の外部から動作指令を受けてもよいし、車両１に搭載されるＥＣＵなどから動作指令を受けて動作を開始してもよい。
（変形例１０）
　上述した第１の実施の形態では、機能構成情報６１はオペレータが入力した情報に基づきサーバ２により作成された。しかしあらかじめオペレータが機能構成情報６１を作成し、オペレータが機能構成情報６１そのものをサーバ２の補助記憶部２０３に格納してもよい。
―第２の実施の形態―
　図１８～図１９を参照して、本発明に係る演算装置であるゲートウェイの第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、機能毎にＥＣＵ内でソフトウェアのバージョンを管理する点で、第１の実施の形態と異なる。また本実施の形態では機能構成情報に格納される情報が第１の実施の形態と異なる。
　図１８は第２の実施の形態において各ＥＣＵに格納される機能別バージョン情報９５１の一例を示す図である。図１８ではエンジン制御ＥＣＵ１３を具体例として使用し、図１８（ａ）はエンジン制御ＥＣＵ１３の更新前の機能別バージョン情報９５１ａを示し、図１８（ｂ）はエンジン制御ＥＣＵ１３の更新後の機能別バージョン情報９５１ｂを示す。エンジン制御ＥＣＵ１３は、機能Ａおよび機能Ｃの実現に寄与している。そのため、エンジン制御ＥＣＵ１３に保存される機能別バージョン情報９５１は、図１８（ａ）に示すようにソフトウェアバージョンである「１．０．０．０」と、機能Ａバージョンである「１」と、機能Ｃバージョンである「１」とから構成される。機能別バージョン情報９５０はソフトウェアの更新に伴い更新される。
　図１８（ｂ）に示す更新後の機能別バージョン情報９５１ｂでは、ソフトウェアバージョンが「１．０．１．０」に更新され、機能Ａバージョンが「２」に更新されている。しかし機能Ｃに関する更新は行われなかったので、機能Ｃバージョンは「１」から変更がない。
　図１９は、本実施の形態における機能構成情報６２の一例を示す図である。図１９（ａ）は更新前の機能構成情報６２ａを示す図、図１９（ｂ）は更新後の機能構成情報６２ｂを示す図である。図１９（ａ）に示す例ではＲ４１、Ｒ５１、およびＲ６１のレコードが含まれ、図１９（ｂ）に示す例ではＲ４２、Ｒ５２、およびＲ６２のレコードが含まれる。本実施の形態における機能構成情報６２と第１の実施の形態における機能構成情報６１とを比較すると、機能構成情報６１におけるソフトウェアバージョン６０３３のフィールドが削除され、その代わりにＤＩＤ６０３４と機能バージョン６０３５のフィールドが追加される。
　ＤＩＤ６０３４には、ＥＣＵから機能毎のバージョンを読み出す際に用いる識別情報が格納される。ＤＩＤ６０３４はバージョン情報の読み出しのために設定された機能の識別情報である。ＤＩＤ６０３４は、図１９に示すように全ＥＣＵに共通して機能と１：１で対応してもよいし、ＥＣＵごとにＤＩＤと機能との対応を異ならせてもよい。たとえば図１９では、レコードＲ６１では３つのＥＣＵが共通するＤＩＤ６０３４である「Ｆ００３」により機能Ｃのバージョン情報が読み出されることが示されている。
　図１９（ａ）と図１９（ｂ）を比較すると、レコードＲ４１とレコードＲ４２は相違するが、レコードＲ５１およびレコードＲ６１は、レコードＲ５２およびレコードＲ６２と同一である。これは、ソフトウェアのバージョン情報そのものは機能構成情報６２に格納せず、各ソフトウェアの各機能のバージョン情報のみを機能構成情報６２に格納しているためである。
（その他の相違点）
　本実施の形態では、それぞれのＥＣＵはゲートウェイ１０からＤＩＤ６０３４とともにソフトウェアのバージョン情報の問い合わせを受けると、次の動作を行う。すなわちＥＣＵは、ＦＲＯＭ１３１３に格納されている機能構成情報６２を参照して、受信したＤＩＤ６０３４に対応する機能のバージョン情報を返す。
　ゲートウェイ１０は、図１０のＳ１０４において、機能構成情報６２に格納されているＮＥＴ　ＩＤのＥＣＵに対してＤＩＤ６０３４とともにバージョン情報の問い合わせを行う。たとえばゲートウェイ１０は、処理対象レコードＸ＝１の場合には、ＮＥＴ　ＩＤが「７００」のＥＣＵに対して「Ｆ００１」のＤＩＤ６０３４とともにバージョン情報の問い合わせを行う。
　本実施の形態では、サーバ２は、ＥＣＵ　ＩＤ６０３２、および機能バージョン６０３５を用いてビット列Ｘを作成し、そのデジタル署名であるテーブル検証情報６０４を作成する。ゲートウェイ１０はＥＣＵ　ＩＤ６０３２、および機能バージョン６０３５を用いてビット列Ｚを作成し、テーブル検証情報６０４を検証する。
　以上のように、機能毎にＥＣＵ内で関連するソフトウェア部分のバージョン情報を管理することによって、ソフトウェア更新時の機能構成情報への影響低減を図り、機能構成情報６２の変更箇所を減らすことができる。
（第２の実施の形態の変形例）
　サーバ２は、ビット列Ｘの作成においてさらにＤＩＤ６０３４の値を用いてもよい。この場合にはゲートウェイ１０もビット列Ｚの作成においてＤＩＤ６０３４の値を用いる。
―第３の実施の形態―
　図２０～図２１を参照して、本発明に係る演算装置であるゲートウェイの第３の実施の形態を説明する。以下の説明では、第２の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第２の実施の形態と同じである。本実施の形態では、主に、機能構成情報に格納される情報が第２の実施の形態と異なる。
　図２０は本実施の形態において各ＥＣＵに格納される機能別バージョン情報９５２の一例を示す図である。図２０ではエンジン制御ＥＣＵ１３を具体例として使用し、図２０（ａ）はエンジン制御ＥＣＵ１３の更新前の機能別バージョン情報９５２ａを示し、図２０（ｂ）はエンジン制御ＥＣＵ１３の更新後の機能別バージョン情報９５２ｂを示す。
　機能別バージョン情報９５２は６バイトで構成され、先頭から、ブートローダ、ＢＳＷ、ＡＳＷ、キャリブレーションデータ、機能Ａ、機能Ｃのそれぞれのソフトウェアのバージョンを一意に識別する情報を示す。機能別バージョン情報９５２の各桁の値は、それぞれ対象とする部分のソフトウェアの更新にともない更新される。なお図２０では説明のために各桁に対応する情報を記載しているが、実際には機能別バージョン情報９５２には６バイトの値のみから構成される。
　図２０（ａ）に示す更新前の機能別バージョン情報９５２ａは、「１，１，１，１，１，１」である。図２０（ｂ）に示す更新後の機能別バージョン情報９５２ｂは、機能Ａに関連する部分が更新されているため、機能Ａに該当する識別情報が「２」に更新され、機能Ａを含むアプリケーション全体のソフトウェアを示すＡＳＷの識別情報が「２」に更新されている。
　図２１は、本実施の形態における機能構成情報６３の一例を示す図である。図２１（ａ）は更新前の機能構成情報６３ａを示す図、図２１（ｂ）は更新後の機能構成情報６３ｂを示す図である。図２１（ａ）に示す例ではＲ７１、Ｒ８１、およびＲ９１のレコードが含まれ、図２１（ｂ）に示す例ではＲ７２、Ｒ８２、およびＲ９２のレコードが含まれる。本実施の形態における機能構成情報６３と第２の実施の形態における機能構成情報６２とを比較すると、機能構成情報６２におけるＤＩＤ６０３４の代わりにマスク６０３６のフィールドが追加されている。
　マスク６０３６は、当該機能の識別情報が機能別バージョン情報９５２の先頭から何バイト目に相当するかを示す識別情報である。ゲートウェイ１０は、機能別バージョン情報９５２をＥＣＵから読み出したのちにマスク６０３６を利用することで、読み出した機能別バージョン情報９５２から、当該機能に関する識別情報を特定する。ただしゲートウェイ１０がＥＣＵに対してソフトウェアの機能別バージョン情報９５２の要求とともにマスク６０３６の値を送信し、ＥＣＵが機能別バージョン情報９５２のうちマスク６０３６に該当するビットの値だけを返してもよい。
　図２１（ａ）と図２１（ｂ）とを比較すると、レコードＲ１とレコードＲ７２は相違するが、レコードＲ８１およびレコードＲ９１は、レコードＲ８２およびレコードＲ９２と同一である。これは、ソフトウェアのバージョン情報そのものは機能構成情報６３に格納せず、各ソフトウェアの各機能のバージョン情報のみを機能構成情報６３に格納しているためである。
　その他の点は第２の実施の形態と同様なので説明を省略する。
　以上のように、機能毎にＥＣＵ内で関連するソフトウェア部分のバージョンを管理することによって、ソフトウェア更新時の機能構成情報への影響低減を図り、不要な変更を減らすことができる。
―第４の実施の形態―
　図２２～図２４を参照して、本発明に係る演算装置であるゲートウェイの第３の実施の形態を説明する。以下の説明では、第２の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第２の実施の形態と同じである。本実施の形態では、主に、テーブル検証情報が不一致の場合の振る舞いが第１の実施の形態と異なる。
　図２２は機能Ｄの機能構成情報６１ｃを示す図、図２３は機能Ｄの機能制限情報９１を示す図である。
　図２２のレコードＲ４は、機能識別ＩＤが”Ｄ２”で示される機能Ｄに関連する情報が格納されたレコードである。レコードＲ４の機能識別検証情報６０２のフィールドには「ｄｚｚｚ」が格納される。機能Ｄを構成するＥＣＵは３つであるため、ＮＥＴ　ＩＤ６０３１のフィールドには「７０１」「７０２」「７０３」がそれぞれ格納され、ＥＣＵ　ＩＤ６０３２のフィールドには「ブレーキ」「ＡＤＡＳ」「カメラ」がそれぞれ格納され、ソフトウェアバージョン６０３３のフィールドには「１．０．０．０」「１．０．０．１」「１．０．０．０」がそれぞれ格納される。レコードＲ４のテーブル検証情報６０４のフィールドには「ｔｄｄｄ」が格納され、フラグ６０５のフィールドには、不整合が発生した場合は当該機能の動作制限が必要であることを示す「制限」が格納されている。ここで、当該機能の動作制限とは、機能を停止するのではなく、機能の一部を継続して動作させることをいう。すなわち本実施の形態では、フラグ６０５のフィールドには、「停止」および「制限」のいずれかが格納され、「動作許可」という値が格納されることはない。
　図２３は、フラグ６０５のフィールドが「制限」の場合に参照する機能制限情報９１の一例を示す図であり、機能構成情報６１ｃと同様に管理される。図２３のレコードＲ４１は、機能Ｄに関連する機能制限情報が格納されたレコードである。レコードＲ４１の機能６００のフィールドには「Ｄ」が格納され、機能Ｄを構成するＥＣＵは３つであるため、バージョン不一致ＥＣＵ　ＩＤ６０３８のフィールドには「ブレーキ」「ＡＤＡＳ」「カメラ」がそれぞれ格納され、制限内容６０３７のフィールドには「警告のみ動作」「機能全停止」「機能全停止」が格納される。
　図２３に例示した内容について、機能Ｄが自動ブレーキ機能の場合を例に以下説明する。機能Ｄの自動ブレーキ機能は、「ブレーキ」「ＡＤＡＳ」「カメラ」のＩＤを有する３つのＥＣＵが連携して機能が実現される。また、自動ブレーキ機能は、ブレーキをかけるべき障害物の検知と障害物が接近した場合のドライバへの警告、ブレーキと３つの基本機能から構成される。本機能構成において、「ブレーキ」ＥＣＵのバージョンが不一致の場合は、カメラやＡＤＡＳ　ＥＣＵは正常に動作できるため、基本機能のうち障害物の検知とドライバへの警告は問題なく実現でき、これらの機能は動作させることが好ましい。一方で、「カメラ」や「ＡＤＡＳ」ＥＣＵのバージョンが不一致の場合は、障害物の検知や警告にも問題がある可能性があるため、自動ブレーキ機能の全停止が好ましい。以上により、テーブル検証情報６０４が不一致の場合でも有用な機能を動作させることが可能になる。
　図２４は、ゲートウェイ１０における機能制限処理を示すフローチャートである。本処理は、図１０の処理Ｓ１１１を置き換えることで実現する。まず停止制御部１０００５は、フラグが「停止」であるか否かを判定し、「停止」の場合（Ｓ１２１のＹＥＳ）は関連ＥＣＵに停止を指示する（Ｓ１１１）。フラグが「停止」でない、すなわち「機能制限」の場合（Ｓ１２１のＮＯ）は、機能制限情報９１の機能ＤのレコードＲ４１を読み出す（Ｓ１２２）。
　次にゲートウェイ１０はＥＣＵごとに、ＥＣＵから取得したバージョンと機能構成情報６１ｃのバージョンを比較し、相違を確認する（Ｓ１２３）。ゲートウェイ１０は、バージョンが一致すると判断する場合は、何もしない（Ｓ１２４のＹＥＳ）。ゲートウェイ１０は、バージョンが不一致と判断する場合（Ｓ１２４のＮＯ）は、機能制限情報９１の制限内容６０３７に規定された内容に従って、機能の一部を制限する（Ｓ１２５）。次に、ゲートウェイ１０バージョンを比較していないＥＣＵが存在するか否かを判断し（Ｓ１２６）、すべてのバージョンの比較が完了している場合は処理を終了する（Ｓ１２６のＮＯ）。ゲートウェイ１０は、バージョン未比較のＥＣＵがあると判断する場合（Ｓ１２６のＮＯ）は、Ｓ１２３に戻って処理を繰り返す。
　以上説明した第４の実施の形態では、次の作用効果が得られる。
（９）停止制御部１０００５は、算出判定部１０００２により第１検証情報と第２検証情報とが整合しないと判断されると、整合しないと判定された第２検証情報に関する機能であって、フラグが不整合時に実行を許可することを示すフラグを有する機能について、機能制限情報９１を参照して、バージョン情報が一致しない第２識別情報に基づき機能を制限するか否かを決定する。そのため、テーブル検証情報が不一致の場合でも有用な機能を動作させることが可能になる。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。たとえば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることや各処理における処理の順番を入れ替えることも可能である。たとえば、本実施の形態１では機能構成情報管理装置はゲートウェイ１０であるとしたが、通信モジュール１１やＨＭＩ１２が機能構成情報管理装置であってもよい。また、専用の装置を設けてもよい。
　上述した各実施の形態および変形例において、機能ブロックの構成は一例に過ぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。
　上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、たとえば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するソフトウェアを解釈し、実行することによりソフトウェアで実現してもよい。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
　上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。
　次の優先権基礎出願の開示内容は引用文としてここに組み込まれる。
　日本国特許出願２０１９－６６８８７（２０１９年３月２９日出願）
１…車両
５…診断装置
６…機能構成情報
１０…ゲートウェイ
６１、６２、６３、６４、６５…機能構成情報
６０４…テーブル検証情報
６０５…フラグ
６０３１…ＮＥＴ　ＩＤ
６０３２…ＥＣＵ　ＩＤ
１０００２…算出判定部
１０００５…停止制御部
 

Claims (12)

  1. 　複数の電子制御装置と接続される演算装置であって、
    　前記複数の電子制御装置は、１以上の前記電子制御装置によりそれぞれの機能を構成し、
    　前記機能ごとに、前記機能を構成する１以上の前記電子制御装置の第１識別情報および第１検証情報を含む機能構成情報を受信する外部通信部と、
    　前記複数の電子制御装置のそれぞれから、前記電子制御装置に搭載されたソフトウェアのバージョン情報および前記電子制御装置の第２識別情報を取得する取得部と、
    　前記機能ごとに、前記機能を構成するすべての前記電子制御装置のバージョン情報であって前記取得部が取得したバージョン情報および前記機能を構成するすべての前記電子制御装置の前記第２識別情報を用いて第２検証情報を算出する算出部と、
    　前記機能ごとに、前記第１検証情報および前記第２検証情報の整合を判定する判定部とを備える演算装置。
  2. 　請求項１に記載の演算装置において、
    　前記第１識別情報とは、前記電子制御装置のネットワーク上の識別子であり、
    　前記第２識別情報とは、前記電子制御装置の種類を示す識別子である演算装置。
  3. 　請求項１に記載の演算装置において、
    　前記第１識別情報および前記第２識別情報は、前記電子制御装置の種類を示す識別子である演算装置。
  4. 　請求項１に記載の演算装置において、
    　前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、整合しないと判定された前記第２検証情報に関する前記機能を停止または制限させる停止制御部をさらに備える演算装置。
  5. 　請求項１に記載の演算装置において、
    　前記機能構成情報には、前記機能ごとに不整合時の実行を許可または拒否を示すフラグが含まれ、
    　前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、整合しないと判定された前記第２検証情報に関する前記機能であって、前記機能構成情報における前記フラグが不整合時に実行を拒否することを示すフラグを有する機能を停止させる停止制御部をさらに備える演算装置。
  6. 　請求項５に記載の演算装置において、
    　前記停止制御部は、前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、整合しないと判定された前記第２検証情報に関する前記機能であって、前記フラグが不整合時に実行を許可することを示すフラグを有する機能について、前記バージョン情報が一致しない前記第２識別情報に基づき前記機能を制限するか否かを決定する演算装置。
  7. 　請求項１に記載の演算装置において、
    　前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、前記外部通信部から受ける指令に基づき、前記機能構成情報および前記電子制御装置のソフトウェアの少なくとも一方を更新する更新制御部をさらに備える演算装置。
  8. 　請求項１に記載の演算装置において、
    　前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、不整合が生じたことを記憶部に記録する制御部をさらに備える演算装置。
  9. 　請求項１に記載の演算装置において、
    　前記判定部により前記第１検証情報と前記第２検証情報とが整合しないと判断されると、不整合が生じたことを表示部に表示させる制御部をさらに備える演算装置。
  10. 　請求項１に記載の演算装置において、
    　前記演算装置は車両に搭載され、
    　前記取得部、前記算出部、および前記判定部は、前記車両のイグニッションスイッチがオンにされると動作を開始する演算装置。
  11. 　請求項１に記載の演算装置において、
    　前記取得部、前記算出部、および前記判定部は、外部から動作指令を受けると動作を開始する演算装置。
  12. 　複数の電子制御装置と接続される演算装置が実行する判定方法であって、
    　前記複数の電子制御装置は、１以上の前記電子制御装置によりそれぞれの機能を構成し、
    　前記機能ごとに、前記機能を構成する１以上の前記電子制御装置の第１識別情報および第１検証情報を受信することと、
    　前記複数の電子制御装置のそれぞれから、前記電子制御装置に搭載されたソフトウェアのバージョン情報および前記電子制御装置の第２識別情報を取得することと、
    　前記機能ごとに、前記機能を構成するすべての前記電子制御装置のバージョン情報であって取得したバージョン情報および前記機能を構成するすべての前記電子制御装置の前記第２識別情報を用いて第２検証情報を作成することと、
    　前記機能ごとに、前記第１検証情報および前記第２検証情報の整合を判定することとを含む判定方法。
     
PCT/JP2020/007013 2019-03-29 2020-02-21 演算装置、判定方法 Ceased WO2020202886A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US17/433,080 US11928900B2 (en) 2019-03-29 2020-02-21 Arithmetic operation device and determination method
CN202080023945.9A CN113632155B (zh) 2019-03-29 2020-02-21 运算装置、判定方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-066887 2019-03-29
JP2019066887A JP7123843B2 (ja) 2019-03-29 2019-03-29 演算装置、判定方法

Publications (1)

Publication Number Publication Date
WO2020202886A1 true WO2020202886A1 (ja) 2020-10-08

Family

ID=72667980

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/007013 Ceased WO2020202886A1 (ja) 2019-03-29 2020-02-21 演算装置、判定方法

Country Status (4)

Country Link
US (1) US11928900B2 (ja)
JP (1) JP7123843B2 (ja)
CN (1) CN113632155B (ja)
WO (1) WO2020202886A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024127841A1 (ja) * 2022-12-13 2024-06-20 パナソニックＩｐマネジメント株式会社 アクセス許可装置、および、アクセス許可方法

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7003975B2 (ja) * 2018-08-10 2022-01-21 株式会社デンソー 車両情報通信システム，センター装置及びセンター装置のメッセージ送信方法
CN114901450B (zh) * 2020-02-14 2025-11-28 住友重机械工业株式会社 注射成型机系统、注射成型机
JP7359055B2 (ja) * 2020-03-26 2023-10-11 株式会社オートネットワーク技術研究所 車載情報処理装置、情報処理方法及びクライアントプログラム
JP7512908B2 (ja) * 2021-01-14 2024-07-09 トヨタ自動車株式会社 センタ、管理方法および管理プログラム
JP7540391B2 (ja) * 2021-05-13 2024-08-27 トヨタ自動車株式会社 Ｏｔａマスタ、更新制御方法、更新制御プログラム
CN118302745A (zh) * 2021-06-23 2024-07-05 大众汽车股份公司 用于交通工具的软件更新管理
JP7812671B2 (ja) 2022-01-24 2026-02-10 トヨタ自動車株式会社 通信制御装置、車両、通信制御方法及び通信制御プログラム
JP7704051B2 (ja) * 2022-03-09 2025-07-08 株式会社オートネットワーク技術研究所 車載通信装置及び車載通信システム
JP7574829B2 (ja) * 2022-06-22 2024-10-29 トヨタ自動車株式会社 制御装置、制御方法および記録媒体
JP7619335B2 (ja) * 2022-06-30 2025-01-22 トヨタ自動車株式会社 電子制御装置、車両制御システム、車両制御方法、及びプログラム
JP7737963B2 (ja) * 2022-07-05 2025-09-11 株式会社日立製作所 モジュール情報管理システム及びモジュール情報管理方法。
JP7775789B2 (ja) * 2022-07-06 2025-11-26 トヨタ自動車株式会社 Ｏｔａマスタ
JP7859898B2 (ja) * 2022-07-19 2026-05-15 Ａｓｔｅｍｏ株式会社 ソフトウェア分析システム、ソフトウェア分析方法
JP2024154731A (ja) * 2023-04-19 2024-10-31 株式会社オートネットワーク技術研究所 車載装置、プログラム及び、情報処理方法
WO2025048365A1 (ko) * 2023-08-30 2025-03-06 현대자동차주식회사 차량의 ecu 소프트웨어를 업데이트하기 위한 방법 및 장치

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009199497A (ja) * 2008-02-25 2009-09-03 Panasonic Corp プログラム管理装置、プログラム管理方法及びプログラム管理プログラム
WO2015011840A1 (ja) * 2013-07-26 2015-01-29 株式会社日立製作所 差分データ転送システム及び方法
WO2016147766A1 (ja) * 2015-03-16 2016-09-22 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法
JP2016188016A (ja) * 2015-03-30 2016-11-04 本田技研工業株式会社 プログラム書換装置及びプログラム書換方法
JP2018124749A (ja) * 2017-01-31 2018-08-09 京セラドキュメントソリューションズ株式会社 電子機器、バージョンチェックシステム及びバージョンチェックプログラム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4004422B2 (ja) 2003-03-18 2007-11-07 トヨタ自動車株式会社 車両特定システム及び車両特定方法
JP2011148398A (ja) * 2010-01-21 2011-08-04 Denso Corp 車両用プログラム更新システム
US20180081671A1 (en) 2015-03-30 2018-03-22 Honda Motor Co., Ltd. Program rewriting device and program rewriting method
JP6197000B2 (ja) * 2015-07-03 2017-09-13 Kddi株式会社 システム、車両及びソフトウェア配布処理方法
JP6723829B2 (ja) * 2015-09-14 2020-07-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ゲートウェイ装置、ファームウェア更新方法及び制御プログラム
JP6675271B2 (ja) * 2015-09-14 2020-04-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ゲートウェイ装置、車載ネットワークシステム及びファームウェア更新方法
JP6678548B2 (ja) * 2015-11-13 2020-04-08 株式会社東芝 中継装置、中継方法およびプログラム
JP6609508B2 (ja) * 2016-04-27 2019-11-20 日立オートモティブシステムズ株式会社 車両用電子制御装置、プログラム更新方法
EP3534257B1 (en) * 2016-10-28 2021-09-15 Kabushiki Kaisha Toshiba System for updating software in moving body using vehicle-mounted gateway
JP6440334B2 (ja) * 2017-08-18 2018-12-19 Kddi株式会社 システム、車両及びソフトウェア配布処理方法
JP2019036238A (ja) * 2017-08-21 2019-03-07 株式会社東芝 更新制御装置、端末、更新制御方法およびプログラム
JP6953947B2 (ja) * 2017-09-22 2021-10-27 コニカミノルタ株式会社 情報処理装置、ファームウェア更新プログラム
JP7311245B2 (ja) * 2018-03-07 2023-07-19 トヨタ自動車株式会社 マスタ装置、マスタ、制御方法、プログラム及び車両
US11934865B2 (en) * 2018-06-13 2024-03-19 Hitachi, Ltd. Vehicle control system for dynamically updating system components
KR102529916B1 (ko) * 2018-09-14 2023-05-08 현대자동차주식회사 가상머신 기반 차량 제어 검증 시스템 및 방법
US11520891B1 (en) * 2019-12-11 2022-12-06 Amazon Technologies, Inc. Secure boot of an integrated circuit

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009199497A (ja) * 2008-02-25 2009-09-03 Panasonic Corp プログラム管理装置、プログラム管理方法及びプログラム管理プログラム
WO2015011840A1 (ja) * 2013-07-26 2015-01-29 株式会社日立製作所 差分データ転送システム及び方法
WO2016147766A1 (ja) * 2015-03-16 2016-09-22 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法
JP2016188016A (ja) * 2015-03-30 2016-11-04 本田技研工業株式会社 プログラム書換装置及びプログラム書換方法
JP2018124749A (ja) * 2017-01-31 2018-08-09 京セラドキュメントソリューションズ株式会社 電子機器、バージョンチェックシステム及びバージョンチェックプログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024127841A1 (ja) * 2022-12-13 2024-06-20 パナソニックＩｐマネジメント株式会社 アクセス許可装置、および、アクセス許可方法
WO2024127532A1 (ja) * 2022-12-13 2024-06-20 パナソニックＩｐマネジメント株式会社 アクセス許可装置、および、アクセス許可方法

Also Published As

Publication number Publication date
JP2020166583A (ja) 2020-10-08
CN113632155A (zh) 2021-11-09
US20220148344A1 (en) 2022-05-12
US11928900B2 (en) 2024-03-12
CN113632155B (zh) 2024-04-12
JP7123843B2 (ja) 2022-08-23

Similar Documents

Publication Publication Date Title
JP7123843B2 (ja) 演算装置、判定方法
JP7816459B2 (ja) プログラム更新システム、方法、およびプログラム
JP6724717B2 (ja) 車載機器判定システム
US9126601B2 (en) Method and system for a vehicle information integrity verification
US20180152341A1 (en) Gateway device, firmware update method, and recording medium
US20210397433A1 (en) On-board update device, update processing program, program update method, and on-board update system
CN105635108B (zh) 具有应用包分类器的防火墙
JP6036643B2 (ja) 産業機器生産システム、産業機器生産サーバ、産業機器生産方法、プログラム、及び情報記憶媒体
CN104571003A (zh) 工业设备管理系统、工业设备管理服务器、及工业设备管理方法
US20150066289A1 (en) Vehicle electronic control unit calibration
US11558404B2 (en) On-board communication system, switching device, verification method, and verification program
US20200389436A1 (en) On-vehicle communication device, communication control method, and communication control program
KR102031241B1 (ko) 블록체인 기반의 분산형 자율 주행 정보 관리 장치 및 방법
CN113261253A (zh) 用于控制资源的释放的方法和系统
DE112005001808T5 (de) Verfahren und Vorrichtung für das ausfallsichere Schalten einer intelligenten Steuereinrichtung
CN120112907A (zh) 用于车辆软件的远程证明的数字影子
US20120179838A1 (en) Relay server and relay communication system
CN111869165B (zh) 用于控制和/或监控装置的方法和控制系统
JP6992611B2 (ja) 中継装置
JP6524905B2 (ja) 電子制御装置
CN116894235B (zh) 用于安全执行控制应用程序的方法、系统、主机
US20120185603A1 (en) Relay server and relay communication system
JP2009284119A (ja) フィールドバス通信システム及びデータ管理装置
JP7083456B2 (ja) ゲートウェイ装置及び通信方法
JP7582423B2 (ja) 制御装置、制御システム及び制御装置の機能又は動作の決定方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20785265

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20785265

Country of ref document: EP

Kind code of ref document: A1