JP2025035610A - 情報処理装置 - Google Patents

Abstract

【課題】ソフトウェアプログラムのアップデートを適切に行う情報処理装置を提供する。
【解決手段】方法は、第１ソフトウェアプログラムとそれよりも先頭側の領域に格納される第１ソフトウェアプログラムについての第１バージョン情報とを含むアップデートデータのうち、第１バージョン情報が含まれ第１ソフトウェアプログラムが含まれない一部データを受信する第１受信処理と、一部データを第１記憶領域に記憶する処理と、第１ソフトウェアプログラムが記憶される予定の第２記憶領域に記憶されているアップデート前の第２ソフトウェアプログラムについてのバージョンを示す第２バージョン情報と、一部データに含まれる第１バージョン情報との新旧を比較する処理と、第１バージョン情報の方が第２バージョン情報よりも新しいと判定された場合に、第１ソフトウェアプログラムを第２受信処理によって受信して第２記憶領域に記憶する処理と、を含む。
【選択図】図８

Description

本発明は、車両に搭載される情報処理装置のソフトウェアをアップデートする技術分野に関する。

車両には制御の電子化によりＥＣＵ（Electronic Control Unit）などの情報処理装置が多く搭載されている。
このような情報処理装置では、ソフトウェアプログラムのバグの解消や性能の向上を目的としてアップデートが行われる（例えば特許文献１参照）。

特開２０２３－０５２９３８号公報

ところで、ソフトウェアプログラムの更新を行う場合には、リプログラミングツールがインストールされた接続端末（外部端末）を用いることが多い。
接続端末では、ＥＣＵにインストールされているソフトウェアプログラムのバージョンと書き込み対象のソフトウェアプログラムのバージョンを比較することにより、旧バージョンへのダウングレードを回避している。

しかし、接続端末が不正に改造されてしまった場合には、バージョン比較の処理が無効化されるなどしてＥＣＵにおけるダウングレードを回避できなくなってしまう虞がある。

本発明は上記事情に鑑みて為されたものであり、ソフトウェアプログラムのアップデートを適切に行うことを目的とする。

本発明の一態様に係る情報処理装置は、一または複数のプロセッサと、前記一または複数のプロセッサによって実行されるプログラムが記憶された記憶媒体と、を備え、前記プログラムは一または複数の命令を含み、前記一または複数の命令は、前記一または複数のプロセッサに、第１ソフトウェアプログラムと前記第１ソフトウェアプログラムよりも先頭側の領域に格納される情報であって前記第１ソフトウェアプログラムについてのバージョンを示す第１バージョン情報とを含むアップデートデータのうち、前記第１バージョン情報が含まれ前記第１ソフトウェアプログラムが含まれない一部データを受信する第１受信処理と、前記一部データを第１記憶領域に記憶する処理と、前記第１ソフトウェアプログラムが記憶される予定の第２記憶領域に記憶されているアップデート前の第２ソフトウェアプログラムについてのバージョンを示す第２バージョン情報と、前記一部データに含まれる前記第１バージョン情報との新旧を比較する処理と、前記第１バージョン情報の方が前記第２バージョン情報よりも新しいと判定された場合に、前記第１受信処理の後に行われる第２受信処理によって受信した前記第１ソフトウェアプログラムを前記第２記憶領域に記憶する処理と、を実行させるものである。

本発明によれば、ソフトウェアプログラムのアップデートを適切に行うことができる。

車両の構成例を示すブロック図である。 車両とサーバ装置の間の通信経路について説明するための図である。 ＥＣＵの構成例を示すブロック図である。 コンピュータ装置の構成例を示すブロック図である。 ソフトウェアプログラムからアップデートデータを生成する過程を示す図である。 アップデートデータから暗号化済アップデートデータを生成する過程を示す図である。 アップデート処理としてＣＧＷＥＣＵが実行する処理の一例を示すフローチャートである。 図９と共にアップデート対象のＥＣＵが実行する処理の一例を示すフローチャートである。 図８と共にアップデート対象のＥＣＵが実行する処理の一例を示すフローチャートである。 アップデート処理においてサーバ装置が実行する処理の一例を示すフローチャートである。 アップデート処理において接続端末が実行する処理の一例を示すフローチャートである。

＜１．車両の構成＞
本発明の情報処理装置としての一実施形態に係るＥＣＵ１を備えた車両１００の構成例を図１に示す。

車両１００は、第１バス１０１と第２バス１０２とを備えている。第１バス１０１や第２バス１０２は、例えば、ＣＡＮ（Controller Area Network（登録商標））通信によるバスとして構成されており、機器同士の情報の送受信が可能とされている。

第１バス１０１には、ＥＣＵ１とそれ以外の各種のＥＣＵ１０３とＤＣＭ（Data Communication Module）１０４が接続されている。

ここで、ＥＣＵ１と各種のＥＣＵ１０３について説明する。
ＥＣＵ１０３は、例えば、ＡＣＥＣＵ（Air Conditioner ECU）やエンジン制御ＥＣＵや充電制御ＥＣＵやエアバッグＥＣＵや表示制御ＥＣＵなどとされている。

各ＥＣＵ１０３には、ソフトウェアプログラムＳＷＰがインストールされることにより所定の機能を発揮可能に構成されている。ＥＣＵ１０３は、新しいソフトウェアプログラムＳＷＰが提供された場合に、それぞれ任意のタイミングで更新される。

以降の説明においては、ソフトウェアプログラムＳＷＰの更新対象とされたＥＣＵ１０３をＥＣＵ１とする。そして、ソフトウェアプログラムＳＷＰの更新対象とされていないものをＥＣＵ１０３として記載する。

また、ＥＣＵ１０３の中には、車両用のゲートウェイ機能を備えたものが含まれている。このＥＣＵ１０３をＣＧＷＥＣＵ（Central Gateway Electronic Control Unit）１０３ａとする。なお、ＣＧＷＥＣＵ１０３ａが更新対象とされたＥＣＵ１とされていてもよい。

ＣＧＷＥＣＵ１０３ａは、第１バス１０１に接続されたＥＣＵ１にインストールされているソフトウェアプログラムＳＷＰを更新するためのアップデートデータＤｕを車外の装置から受信する。
ＣＧＷＥＣＵ１０３ａは、車外から受け取ったアップデートデータＤｕをＥＣＵ１に供給する。

アップデートデータＤｕを受信したＥＣＵ１は、後述する所定の処理を行うことでアップデートデータＤｕの正当性を確認した後、アップデートデータＤｕを用いてソフトウェアプログラムＳＷＰの更新処理を行う。

ＤＣＭ１０４は、車外の通信ネットワークＮＷを介して他の装置とデータ通信を行う車両用通信機である。ＤＣＭ１０４は、例えば、車外のファイルサーバ（例えば後述するサーバ装置３００）から上述したアップデートデータＤｕをＯＴＡ（Over The Air）方式で取得可能とされていてもよい。取得したアップデートデータＤｕは、第１バス１０１を介してＣＧＷＥＣＵ１０３ａに提供される。

第２バス１０２には、ＣＧＷＥＣＵ１０３ａとＤＬＣ（Data Link Connector）１０５が接続されている。

ＤＬＣ１０５は、例えば、ＯＢＤＩＩ（On-Board Diagnostics II）方式で通信を行う機器が接続されたコネクタとして設けられている。

ＤＬＣ１０５は、接続された車外の機器（例えば後述する接続端末２００）からアップデートデータＤｕを取得することが可能とされており、取得したアップデートデータＤｕは第２バス１０２を介してＣＧＷＥＣＵ１０３ａに提供される。

図２は、ＤＬＣ１０５を介して取得されたアップデートデータＤｕがＣＧＷＥＣＵ１０３ａに提供されるまでの通信経路を例示した図である。なお、図２においては車両１００が備える各バスの図示を省略している。

車両１００はＤＬＣ１０５を介して接続端末２００が接続される。

接続端末２００は、リプログラミングツール（以降、「リプロツールＲＴ」と記載）がインストールされており、リプロツールＲＴを用いることによりＣＧＷＥＣＵ１０３ａ及びその他のＥＣＵ１０３のアップデート操作が可能とされている。

通信ネットワークＮＷには、接続端末２００や車両１００のＤＣＭ１０４やサーバ装置３００が接続されている。

サーバ装置３００には、接続端末２００やＤＣＭ１０４を介してＣＧＷＥＣＵ１０３ａに提供されるアップデートデータＤｕが記憶されたデータベースＤＢが接続されている。

即ち、ＣＧＷＥＣＵ１０３ａは、サーバ装置３００がデータベースＤＢから取得したアップデートデータＤｕを、ＤＬＣ１０５またはＤＣＭ１０４を介して取得し、更新対象とされたＥＣＵ１に対して提供する。アップデートデータＤｕを受け取ったＥＣＵ１は、正当性を検証した後にソフトウェアプログラムＳＷＰの更新を行う。

＜２．情報処理装置の構成＞
上述したＥＣＵ１、ＥＣＵ１０３及びＣＧＷＥＣＵ１０３ａの構成について図３を参照して説明する。
ＥＣＵ１は、マイクロコンピュータ２と通信回路３を有して構成されている。

マイクロコンピュータ２は、ＣＰＵ（Central Processing Unit）４とＲＯＭ（Read Only Memory）５とＲＡＭ（Random Access Memory）６とを備えている。

ＣＰＵ４とＲＯＭ５とＲＡＭ６は、バス７によって相互通信可能に接続されている。

ＣＰＵ４は、ＲＯＭ５に記憶されているプログラム、またはＲＡＭ６にロードされたプログラムに従って各種の処理を実行する。

例えば、更新対象のＥＣＵ１におけるＣＰＵ４は、アップデートデータＤｕの一部を先ずＣＧＷＥＣＵ１０３ａから受信して復号する処理を実行する。

ＣＰＵ４は更に、アップデートデータＤｕから取得したバージョン情報ＤｖｅｒとＥＣＵ１にインストールされているソフトウェアプログラムＳＷＰのバージョン情報Ｄｖｅｒを比較し、アップデート処理を続けるべきか否かを判定する。

ＣＰＵ４は、アップデート処理を続けるべきと判定した場合に、アップデートデータＤｕのうち未受信のデータをＣＧＷＥＣＵ１０３ａを介して受信する処理を行い、受信したデータを復号してソフトウェアプログラムＳＷＰをアップデートする。

このような処理を行う上でＣＰＵ４が扱うデータなどは、例えば、ＲＡＭ６に一時的に記憶される。

ＲＯＭ５は例えばＮＶＭ（Non Volatile Memory）とされている。

通信回路３は、第１バス１０１や第２バス１０２を介したＣＡＮ通信の規格等に準拠したデータ通信の制御を行う。

ＥＣＵ１０３及びＣＧＷＥＣＵ１０３ａは、ＥＣＵ１と同様に、図３に示すように、マイクロコンピュータ２と通信回路３を有して構成されている。

ＥＣＵ１の通信回路３は、第１バス１０１を介したＣＡＮ通信の規格等に準拠したデータ通信の制御を行う。

続いて、接続端末２００やサーバ装置３００等のコンピュータ装置Ｃｏｍの構成について図４を参照して説明する。なお、各コンピュータ装置Ｃｏｍは図４に示す各部を全て備える必要はない。例えば、各コンピュータ装置Ｃｏｍが図４に示す各部の内の一部を備えていなくてもよいし、図４に不図示とされた各部を備えていてもよい。

コンピュータ装置Ｃｏｍは、ＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３、バス３４、入出力インタフェース３５、入力部３６、出力部３７、記憶部３８、通信部３９、メディアドライブ４０などを備えて構成されている。

ＣＰＵ３１は、ＲＯＭ３２に記憶されているプログラム、または記憶部３８からＲＡＭ３３にロードされたプログラムに従って各種の処理を実行する。ＲＡＭ３３にはまた、ＣＰＵ３１が各種の処理を実行する上において必要なデータなども適宜記憶される。

ＣＰＵ３１、ＲＯＭ３２、及びＲＡＭ３３は、バス３４を介して相互に接続されている。また、バス３４には、入出力インタフェース３５も接続されている。

入出力インタフェース３５には、入力部３６、出力部３７、記憶部３８、通信部３９、メディアドライブ４０が接続されている。
入力部３６はキーボード、マウス、タッチパネル、マイクなどにより構成される。
出力部３７はＬＣＤ（Liquid Crystal Display）、ＣＲＴ（Cathode Ray Tube）、有機ＥＬ（Electro Luminescence）パネルなどよりなるディスプレイ、並びにスピーカなどにより構成される。

記憶部３８はＨＤＤ（Hard Disk Drive）やフラッシュメモリ装置などにより構成される。
通信部３９は通信ネットワークＮＷを介しての通信処理や機器間通信を行う。
メディアドライブ４０には、必要に応じて磁気ディスク、光ディスク、光磁気ディスク、或いは半導体メモリなどのリムーバブルメディア４１が装着され、リムーバブルメディア４１に対する情報の書き込みや読み出しが行われる。

コンピュータ装置Ｃｏｍでは、通信部３９による通信によりデータやプログラムのアップロード、ダウンロードが行われる。またリムーバブルメディア４１を介したデータやプログラムの受け渡しが可能である。
ＣＰＵ３１が各種のプログラムに基づいて処理動作を行うことで、コンピュータ装置Ｃｏｍとしての必要な情報処理や通信が実行される。

コンピュータ装置Ｃｏｍには、ＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３等によって各種の機能が構築される。
これにより、例えば、サーバ装置３００としてのコンピュータ装置Ｃｏｍにおいては、アップデートに用いられるアップデートデータＤｕをデータベースＤＢから取得して送信する処理が実現される。
また、接続端末２００としてのコンピュータ装置Ｃｏｍにおいては、サーバ装置３００から受信したアップデートデータＤｕを車両１００が備えるＣＧＷＥＣＵ１０３ａに提供する処理等が実現される。

＜３．アップデートデータの生成＞
アップデートデータＤｕの構成について図５を参照して説明する。
アップデートデータＤｕは、例えば、サーバ装置３００で用意されるデータである。

サーバ装置３００のＣＰＵ３１は、バージョン情報Ｄｖｅｒを含むソフトウェアプログラムＳＷＰを用意する。

サーバ装置３００のＣＰＵ３１は、先ずソフトウェアプログラムＳＷＰから抜き出されたバージョン情報Ｄｖｅｒについての検証データＤｖａｌを生成する。
検証データＤｖａｌは、例えば、バージョン情報Ｄｖｅｒの誤り検出や誤り訂正が可能なＣＲＣ（Cyclic Redundancy Check）符号などとされる。

また、サーバ装置３００のＣＰＵ３１は、バージョン情報Ｄｖｅｒを含むソフトウェアプログラムＳＷＰ全体を用いて認証子ＡＣを生成する。

認証子ＡＣは、ソフトウェアプログラムＳＷＰの正当性の有無を判定可能なデータであり、例えば、電子署名やＭＡＣ（Message Authentication Code）などとされる。

サーバ装置３００は、バージョン情報Ｄｖｅｒと検証データＤｖａｌとソフトウェアプログラムＳＷＰ全体と、認証子ＡＣを順に並べたアップデートデータＤｕを生成する。
このとき、アップデートデータＤｕにおいては、ソフトウェアプログラムＳＷＰから抜き出したバージョン情報Ｄｖｅｒと検証データＤｖａｌをソフトウェアプログラムＳＷＰよりも先頭側の領域に配置する。

なお、アップデートデータＤｕの先頭領域或いはそれに準ずる領域に含まれるバージョン情報Ｄｖｅｒは、旧バージョンの情報と区別するために第１バージョン情報Ｄｖｅｒ１とする。

また、ソフトウェアプログラムＳＷＰについても旧バージョンのものと区別するために第１ソフトウェアプログラムＳＷＰ１とする。

サーバ装置３００は、図５に示すようなアップデートデータＤｕを接続端末２００を介して或いはＤＣＭ１０４を介してＣＧＷＥＣＵ１０３ａに提供する。

なお、サーバ装置３００は、図５に示すアップデートデータＤｕを暗号化した暗号化済アップデートデータＤｕｅｎをＣＧＷＥＣＵ１０３ａに提供してもよい（図６参照）。
また、認証子ＡＣは、暗号化済アップデートデータＤｕｅｎから生成されてもよい。

なお、暗号化済アップデートデータＤｕｅｎにおいては、先頭領域或いはそれに準ずる領域に暗号化された第１バージョン情報Ｄｖｅｒ１が格納されており、第１バージョン情報Ｄｖｅｒ１は、少なくとも第１ソフトウェアプログラムＳＷＰ１よりも先頭側の領域に格納されている。

なお、アップデートデータＤｕの暗号化処理では、ＡＥＳ（Advanced Encryption Standard）やＣａｍｅｌｌｉａ暗号などのブロック暗号が用いられる。
これにより、復号処理において暗号化済アップデートデータＤｕｅｎにおける先頭から所定の領域のみを先に復号することが可能となり、全てを復号しなくてもバージョン検証が可能となる。

アップデートデータＤｕにおいて第１ソフトウェアプログラムＳＷＰ１よりも先頭側の領域に格納された情報をまとめて一部データＤｐと記載する。
即ち、一部データＤｐには、少なくとも第１バージョン情報Ｄｖｅｒ１と検証データＤｖａｌが含まれている。

なお、暗号化済アップデートデータＤｕｅｎにおける一部データＤｐは、少なくとも暗号化された第１バージョン情報Ｄｖｅｒ１と検証データＤｖａｌが含まれている。

＜４．処理フロー＞
ＥＣＵ１０３（またはＣＧＷＥＣＵ１０３ａ）のソフトウェアをアップデートするために車両１００のＣＧＷＥＣＵ１０３ａのＣＰＵ４が実行するアップデート処理の一例を図７に、ＥＣＵ１のＣＰＵ４が実行するアップデート処理の一例を図８及び図９に示す。
なお、図中のコネクタＣｎ１は、処理の接続を表す。

ＣＧＷＥＣＵ１０３ａのＣＰＵ４は先ず図７のステップＳ１０１において、車両検証処理を行う。車両検証処理は、ＣＧＷＥＣＵ１０３ａと接続端末２００（或いはサーバ装置３００）との間でＥＣＵ１０３のアップデート対象の車両１００であるか否かを検証する処理である。以降の処理では、接続端末２００からアップデートデータＤｕが送信される例を主に説明する。

車両検証処理では、例えば、ＣＰＵ４は、車両１００におけるアップデート対象とされたＥＣＵ１にインストールされているソフトウェアプログラムＳＷＰのバージョン情報Ｄｖｅｒや車両１００を特定する車台番号やＶＩＮ（Vehicle Identification Number）などの情報を送信する。

車両検証処理が正常に終了しなかった場合には、ＣＰＵ４はステップＳ１０２以降の各処理を実行せずに図８及び図９に示す一連の処理を終了させる。

一方、車両検証処理を正常に終えた後、ＣＰＵ４はステップＳ１０２において、アップデートセッションへ移行する。

ＣＰＵ４はステップＳ１０３において、暗号化済アップデートデータＤｕｅｎにおける一部データＤｐ（例えば先頭の数ｋＢｙｔｅのデータ）を受信し、例えばＲＡＭ６に記憶する。

ＣＰＵ４はステップＳ１０４において、一部データＤｐをＥＣＵ１に送信する処理を行う。このとき、ＣＰＵ４は、一部データＤｐに続く残りのデータの送信を一時的に停止させるための停止要求を接続端末２００に送信してもよい。

ＣＰＵ４はステップＳ１０５において、ＥＣＵ１から一部データＤｐに続く残りデータの送信要求をＥＣＵ１から受信したか否かを判定する。

送信要求を受信していないと判定した場合に、ＣＰＵ４はステップＳ１０６でアップデートの中止要求をＥＣＵ１から受信したか否かを判定する。

中止要求を受信したと判定した場合に、ＣＰＵ４はステップＳ１０７へと進み、中止要求を接続端末２００に送信する。これにより、接続端末２００では、一部データＤｐに続く残りのデータの送信が回避され、アップデートを行わないままアップデート処理が中止される。

一方、送信要求と中止要求のいずれもＥＣＵ１から受信していないと判定した場合には、ＣＧＷＥＣＵ１０３ａのＣＰＵ４はステップＳ１０５の処理を再度実行する。

また、ステップＳ１０５において送信要求をＥＣＵ１から受信したと判定した場合には、ＣＰＵ４はステップＳ１０８へと進み、暗号化済アップデートデータＤｕｅｎにおける一部データＤｐに続く残りデータの送信要求を接続端末２００に送信する。

ＣＰＵ４はステップＳ１０９において、残りデータを受信する受信処理を行う。そして、ＣＰＵ４はステップＳ１１０において、受信した残りデータをＥＣＵ１に送信する処理を行い、図７に示す一連の処理を終える。

続いて、アップデート対象とされたＥＣＵ１のＣＰＵ４が実行する処理について説明する。

ＥＣＵ１のＣＰＵ４は、図８のステップＳ１５１において、暗号化済アップデートデータＤｕｅｎにおける一部データＤｐをＣＧＷＥＣＵ１０３ａから受信し、例えばＲＡＭ６に記憶する。

ＣＰＵ４は、ステップＳ１５２において、受信した一部データＤｐの復号処理を行う。
更に、ＣＰＵ４は、ステップＳ１５３において、誤り検証処理を実行する。誤り検証処理では、ステップＳ１５２の復号処理で得られた一部データＤｐに含まれる検証データＤｖａｌを用いて同じく一部データＤｐに含まれる第１バージョン情報Ｄｖｅｒ１の誤りの有無を検証する。このとき、所定ｂｉｔ数の誤りについては訂正されるようにしてもよい。

ＣＰＵ４はステップＳ１５４において、誤りがあるか否かを判定する。なお、ステップＳ１５３において誤り訂正を行っている場合には、誤り訂正を適切に行えたか否かをステップＳ１５４において判定してもよい。

誤りありと判定した場合、或いは、誤りを訂正したが正常な第１バージョン情報Ｄｖｅｒ１を得られなかった場合には、ＣＰＵ４はステップＳ１５５においてアップデートの中止要求をＣＧＷＥＣＵ１０３ａに対して行う。

一方、誤りなしと判定した場合、或いは、誤りを訂正した結果正常な第１バージョン情報Ｄｖｅｒ１を得られた場合には、ＣＰＵ４はステップＳ１５６で新旧比較処理（バージョン検証処理）を実行する。

新旧比較処理では、ＥＣＵ１に現在インストールされている更新前のソフトウェアプログラムＳＷＰ（第２ソフトウェアプログラムＳＷＰ２と記載）のバージョン情報（第２バージョン情報Ｄｖｅｒ２と記載）と、ステップＳ１５２またはステップＳ１５３で得られた第１バージョン情報Ｄｖｅｒ１の比較を行う。

ＣＰＵ４は、ステップＳ１５７において、新旧比較処理の結果に応じた分岐処理を行う。具体的には、ＣＰＵ４は第２バージョン情報Ｄｖｅｒ２の方が新しいと判定した場合にステップＳ１５７で「Ｎｏ」判定とする。この場合には、ＣＰＵ４はステップＳ１５５で中止要求をＣＧＷＥＣＵ１０３ａに対して送信し、一連のアップデート処理を中止する。

一方、ＣＰＵ４は、第１バージョン情報Ｄｖｅｒ１の方が新しいと判定した場合にステップＳ１５７で「Ｙｅｓ」判定とする。この場合には、ＣＰＵ４は、図９のステップＳ１５８へと進み、一部データＤｐに続く残りデータの送信要求をＣＧＷＥＣＵ１０３ａに送信する。

ＣＰＵ４は、ステップＳ１５９においてＣＧＷＥＣＵ１０３ａから残りデータを受信し、ステップＳ１６０で残りデータの復号処理を行う。

ＣＰＵ４はステップＳ１６１において、復号した残りデータに含まれる第１ソフトウェアプログラムＳＷＰ１を第２ソフトウェアプログラムＳＷＰ２が格納されている領域に上書きする処理を行う。これにより、ＥＣＵ１にインストールされている第２ソフトウェアプログラムＳＷＰ２が削除され代わりに第１ソフトウェアプログラムＳＷＰ１がインストールされる。

ＣＰＵ４はステップＳ１６２において、認証子ＡＣの生成を行う。この認証子生成処理では、復号された残りデータに含まれる第１ソフトウェアプログラムＳＷＰ１から新たに認証子ＡＣとしての電子署名やＭＡＣを生成する処理である。

ＣＰＵ４はステップＳ１６３において、認証子ＡＣの比較処理を行う。この比較処理では、ステップＳ１６２で新たに生成された認証子ＡＣと、ステップＳ１６０の復号処理によって得られた残りデータから取り出された認証子ＡＣ（サーバ装置３００で生成された認証子ＡＣ）を比較することにより、ＥＣＵ１に書き込まれた第１ソフトウェアプログラムＳＷＰ１の正当性を検証する処理である。

ＣＰＵ４は、ステップＳ１６３の比較処理（検証処理）の結果に応じた分岐処理をステップＳ１６４で行う。

第１ソフトウェアプログラムＳＷＰ１の正当性が検証された場合には、ＣＰＵ４はＹｅｓ判定として図８及び図９に示す一連のアップデート処理を完了する。

一方、第１ソフトウェアプログラムＳＷＰ１の正当性が得られなかった場合には、ＣＰＵ４はＮｏ判定としてステップＳ１６５で対応処理を行う。

対応処理では、例えば、ＥＣＵ１に再びアップデート前の第２ソフトウェアプログラムＳＷＰ２を書き込むために、第２ソフトウェアプログラムＳＷＰ２を送信するようにＣＧＷＥＣＵ１０３ａを介して接続端末２００に要求する処理を行う。

或いは、ＥＣＵ１のアップデートが失敗し不正なプログラムが書き込まれた可能性があることをユーザに通知すると共に、当該プログラムを適正化するためにディーラー等を訪れることを勧める通知処理を実行してもよい。

このように、アップデート対象とされたＥＣＵ１のＲＯＭ５は、ソフトウェアプログラムＳＷＰを複数記憶するだけの容量を持っておらず、且つ、ＲＡＭ６が数ｋＢｙｔｅや数十ｋＢｙｔｅのみとされていてもよい。

具体的には、ＲＯＭ５（第２記憶領域）には、旧バージョンの第２ソフトウェアプログラムＳＷＰ２が記憶されている。

ＥＣＵ１のＣＰＵ４は、図８のステップＳ１５１において一部データＤｐを受信し、ＲＡＭ６（第１記憶領域）に記憶する。

そして、ＥＣＵ１のＣＰＵ４は、ＲＡＭ６（第１記憶領域）上において一部データＤｐを復号して得られた第１バージョン情報Ｄｖｅｒ１と旧バージョンについての第２バージョン情報Ｄｖｅｒ２の比較を行う。
更に、ＥＣＵ１のＣＰＵ４は、第１バージョン情報Ｄｖｅｒ１に誤りがなく第２バージョン情報Ｄｖｅｒ２よりも新しいと判定した場合に、ステップＳ１５８において暗号化済アップデートデータＤｕｅｎの残りデータの送信要求をＣＧＷＥＣＵ１０３ａに送信する。

続いて、ＥＣＵ１のＣＰＵ４は、ステップＳ１５９、Ｓ１６０、Ｓ１６１を実行することにより、ＲＯＭ５（第２記憶領域）に記憶された第２ソフトウェアプログラムＳＷＰ２を削除すると共に受信した残りデータについての復号処理及び記憶処理を行う。

このようにＥＣＵ１の記憶領域に余裕がそれほどない状況においても、ソフトウェアプログラムＳＷＰのダウングレードやデグレードを回避しつつ適切な第１ソフトウェアプログラムＳＷＰ１を上書きすることが可能となる。

また、この例では、ＲＡＭ６が第１記憶領域とされＲＯＭ５が第２記憶領域とされていたが、ＲＯＭ５上にバージョン検証の作業領域としての第１記憶領域とソフトウェアプログラムＳＷＰが記憶される第２記憶領域の双方が設けられていてもよい。

即ち、バージョン検証の作業領域としての第１記憶領域とソフトウェアプログラムＳＷＰが記憶される第２記憶領域は、同じメモリの異なる領域に設けられていてもよいし、異なるメモリ上に設けられていてもよい。

続いて、サーバ装置３００が実行する処理の一例を図１０に示す。
サーバ装置３００のＣＰＵ３１は、ステップＳ２０１において、送信対象の第１ソフトウェアプログラムＳＷＰ１の第１バージョン情報Ｄｖｅｒ１を取得し検証データＤｖａｌを生成する。

サーバ装置３００のＣＰＵ３１はステップＳ２０２において、第１ソフトウェアプログラムＳＷＰ１から認証子ＡＣを生成する。

サーバ装置３００のＣＰＵ３１はステップＳ２０３において、第１バージョン情報Ｄｖｅｒ１と検証データＤｖａｌと第１ソフトウェアプログラムＳＷＰ１と認証子ＡＣからアップデートデータＤｕを生成する。

サーバ装置３００のＣＰＵ３１はステップＳ２０４において、アップデートデータＤｕを暗号化して暗号化済アップデートデータＤｕｅｎを生成する。

サーバ装置３００のＣＰＵ３１はステップＳ２０５において、暗号化済アップデートデータＤｕｅｎを接続端末２００に送信する。

なお、サーバ装置３００のＣＰＵ３１は、ステップＳ２０５の後に、アップデート処理の結果を接続端末２００から受信してもよい。
これにより、サーバ装置３００において車両１００ごとのアップデート状況を記録しておくことができる。

なお、上述したように、暗号化済アップデートデータＤｕｅｎから認証子ＡＣを生成する場合には、ステップＳ２０２の処理をステップＳ２０４の暗号化処理の後に行えばよい。

次に、接続端末２００のＣＰＵ３１が実行する処理の一例を図１１に示す。
接続端末２００のＣＰＵ３１はステップＳ３０１において、車両検証処理を行う。この処理は図７のステップＳ１０１の処理と連動して行われるものであり、車両１００がアップデート対象のＥＣＵ１を備えた車両１００であるか否かを検証する処理である。

続いて、接続端末２００のＣＰＵ３１はステップＳ３０２において、アップデートセッションへ移行する。この処理は図７のステップＳ１０２の処理と連動して行われるものである。本処理は、例えば、接続端末２００にインストールされたリプロツールＲＴがアップデートモードへと移行するための処理である。

接続端末２００のＣＰＵ３１はステップＳ３０３において、車両１００のＣＧＷＥＣＵ１０３ａに暗号化済アップデートデータＤｕｅｎの一部データＤｐを送信する。

接続端末２００のＣＰＵ３１はステップＳ３０４において、送信要求を受信したか否かを判定する。この送信要求は、ＣＧＷＥＣＵ１０３ａにおいて、受信した一部データＤｐに基づいてバージョン情報Ｄｖｅｒの判定を行いアップデートしても問題ないと判定した場合にＥＣＵ１からＣＧＷＥＣＵ１０３ａを介して送られてくる要求であり、具体的には図７のステップＳ１０８でＣＧＷＥＣＵ１０３ａから送信される要求である。

送信要求を受信したと判定した場合には、接続端末２００のＣＰＵ３１はステップＳ３０５へと進み、暗号化済アップデートデータＤｕｅｎにおいて未送信の残りデータをＣＧＷＥＣＵ１０３ａに送信して図１０に示す一連の処理を終える。

一方、送信要求を受信していないと判定した場合には、接続端末２００のＣＰＵ３１は続くステップＳ３０６で中止要求を受信したか否かを判定する。この中止要求は、バージョン検証がうまく行かなかった場合などに送られてくる要求であり、具体的には図７のステップＳ１０７でＣＧＷＥＣＵ１０３ａから送信される要求である。

中止要求を受信したと判定した場合には、接続端末２００のＣＰＵ３１は図１０に示す一連の処理を終了する。これにより、暗号化済アップデートデータＤｕｅｎは一部データＤｐのみがＣＧＷＥＣＵ１０３ａに送信されただけで済む。

中止要求を受信していないと判定した場合には、接続端末２００のＣＰＵ３１は再びステップＳ３０４の処理に戻る。
即ち、接続端末２００のＣＰＵ３１はステップＳ３０４、Ｓ３０６の両処理を繰り返し実行することで、何らかの要求をＣＧＷＥＣＵ１０３ａから受信するまで待機する。

なお、ステップＳ３０４、Ｓ３０６の両処理を繰り返しながら所定時間が経過した場合には、接続端末２００のＣＰＵ３１は何らかの要求をＣＧＷＥＣＵ１０３ａから受信することなく図１０に示す一連の処理を終えてもよい。

また、接続端末２００のＣＰＵ３１は、ステップＳ３０５またはステップＳ３０６の後に、アップデート結果をサーバ装置３００に送信してもよい。

＜５．変形例＞
上述した例では更新対象とされたＥＣＵ１が図８及び図９に示す処理を実行する例を示したが、ＣＧＷＥＣＵ１０３ａにおいて図８及び図９に示す一部の処理が実行されてもよい。

例えば、ＣＧＷＥＣＵ１０３ａのＣＰＵ４は、ステップＳ１５２の一部データＤｐの復号処理、ステップＳ１５３の誤り検出処理、ステップＳ１５４の判定処理、ステップＳ１５５の新旧比較処理、ステップＳ１５７の判定処理、ステップＳ１６０の残りデータの復号処理を実行してもよい。

また、ＣＧＷＥＣＵ１０３ａのＣＰＵ４は、更にステップＳ１６２からステップＳ１６５の各処理をＥＣＵ１に代わって実行してもよい。

上述した例では、ＣＧＷＥＣＵ１０３ａと車外の接続端末２００が別々に設けられていたが、接続端末２００の機能がＣＧＷＥＣＵ１０３ａに設けられていてもよい。即ち、ＣＧＷＥＣＵ１０３ａにリプロツールＲＴがインストールされ、ＣＧＷＥＣＵ１０３ａがＤＣＭ１０４、通信ネットワークＮＷを介してサーバ装置３００からアップデートデータＤｕ（暗号化済アップデートデータＤｕｅｎ）を取得可能とされていてもよい。

＜６．まとめ＞
上述した情報処理装置としてのＥＣＵ１（またはＣＧＷＥＣＵ１０３ａ）は、 一または複数のプロセッサ（ＣＰＵ４）と、一または複数のプロセッサによって実行されるプログラムが記憶された記憶媒体（ＲＯＭ５またはＲＡＭ６）と、を備え、プログラムは一または複数の命令を含み、一または複数の命令は、一または複数のプロセッサに、以下の処理を実行させるものである。
即ち、一または複数の命令は、ＣＰＵ４に対して、第１ソフトウェアプログラムＳＷＰ１と第１ソフトウェアプログラムＳＷＰ１よりも先頭側の領域に格納される情報であって第１ソフトウェアプログラムＳＷＰ１についてのバージョンを示す第１バージョン情報Ｄｖｅｒ１とを含むアップデートデータＤｕのうち、第１バージョン情報Ｄｖｅｒ１が含まれ第１ソフトウェアプログラムＳＷＰ１が含まれない一部データＤｐを受信する第１受信処理（ステップＳ１５１）と、一部データＤｐを第１記憶領域（ＲＯＭ５またはＲＡＭ６）に記憶する処理（ステップＳ１５１）と、第１ソフトウェアプログラムＳＷＰ１が記憶される予定の第２記憶領域（ＲＯＭ５）に記憶されているアップデート前の第２ソフトウェアプログラムＳＷＰ２についてのバージョンを示す第２バージョン情報Ｄｖｅｒ２と、一部データＤｐに含まれる第１バージョン情報Ｄｖｅｒ１との新旧を比較する処理（ステップＳ１５６）と、第１バージョン情報Ｄｖｅｒ１の方が第２バージョン情報Ｄｖｅｒ２よりも新しいと判定された場合（ステップＳ１５７：Ｙｅｓ判定）に、第１受信処理の後に行われる第２受信処理（ステップＳ１５９）によって受信した第１ソフトウェアプログラムＳＷＰ１を第２記憶領域に記憶する処理（ステップＳ１６１）と、を実行させる。
これにより、バージョン情報Ｄｖｅｒの新旧を比較した結果に基づいて第２ソフトウェアプログラムＳＷＰ２を第１ソフトウェアプログラムＳＷＰ１に更新するアップデート処理が実行される。
従って、例えば、第１ソフトウェアプログラムＳＷＰ１が第２ソフトウェアプログラムＳＷＰ２よりも古いバージョンである場合に、アップデート処理を中止することが可能となり、古いソフトウェアプログラムＳＷＰのバグが再発してしまうことを防止することができる。
また、リプロツールＲＴがインストールされた接続端末２００が不正に改造され、ＥＣＵ１のプログラムを不正に書き換えることが可能となっていたとしても、バージョン情報Ｄｖｅｒを比較する処理を車両１００側で行うことにより、ダウングレードや不正プログラムへの書き換えを抑制することができる。
即ち、ＥＣＵ１（ＥＣＵ１０３、ＣＧＷＥＣＵ１０３ａ）の異常動作や故障（文鎮化）を防止することができ、更に、正常プログラムへの再書き換えの手間やコストの発生を防止することができる。
特に、ＲＯＭ５の容量が小さく新旧双方のソフトウェアプログラムＳＷＰを記憶することができない場合には、ソフトウェアプログラムＳＷＰの書き換え時に古いものが削除されてしまうため、正常なプログラムへ戻すことが難しい。
このような場合であっても、新旧比較処理の結果によってソフトウェアプログラムＳＷＰの書き換えを中止することができるため好適である。

情報処理装置としてのＥＣＵ１（またはＣＧＷＥＣＵ１０３ａ）において、アップデートデータＤｕは暗号化されたデータ（暗号化済アップデートデータＤｕｅｎ）とされ、一部データＤｐは第１バージョン情報Ｄｖｅｒ１の正誤検証に用いられる検証データＤｖａｌを含み、一または複数の命令は、一または複数のプロセッサ（ＣＰＵ４）に、第１受信処理（ステップＳ１５１）に対応して一部データＤｐの復号を実行させ（ステップＳ１５２）、復号された検証データＤｖａｌを用いて第１バージョン情報Ｄｖｅｒ１の正誤判定処理を実行させ（ステップＳ１５３）、第１バージョン情報Ｄｖｅｒ１に誤りがなく（ステップＳ１５４：Ｎｏ判定）且つ新旧を比較する処理（ステップＳ１５６）において第１バージョン情報Ｄｖｅｒ１の方が第２バージョン情報Ｄｖｅｒ２よりも新しいと判定された場合に（ステップＳ１５７：Ｙｅｓ判定）、第２受信処理（ステップＳ１５９）に対応して第１ソフトウェアプログラムＳＷＰ１の復号（ステップＳ１６０）を実行させてもよい。
これにより、バージョン情報Ｄｖｅｒに対する誤り（改竄）の有無が判定される。
従って、古いバージョンのソフトウェアプログラムＳＷＰを用いてアップデート処理が行われてしまうことを防止することができる。即ち、ＥＣＵ１（ＥＣＵ１０３、ＣＧＷＥＣＵ１０３ａ）の異常動作や故障を適切に防止することができる。

情報処理装置としてのＥＣＵ１（またはＣＧＷＥＣＵ１０３ａ）においては、一または複数の命令は、一または複数のプロセッサ（ＣＰＵ４）に、新旧を比較する処理（ステップＳ１５６）において第１バージョン情報Ｄｖｅｒ１の方が第２バージョン情報Ｄｖｅｒ２よりも古いと判定された場合（ステップＳ１５７：Ｎｏ判定）に、第２記憶領域（ＲＯＭ５）に第１ソフトウェアプログラムＳＷＰ１を記憶させる処理を中止させてもよい（ステップＳ１５５）。
これにより、記憶領域に記憶されたソフトウェアプログラムＳＷＰは新しい方のプログラムとされる。
従って、プログラムのダウングレードやデグレードを防止することができる。

情報処理装置としてのＥＣＵ１（またはＣＧＷＥＣＵ１０３ａ）においては、一または複数の命令は、一または複数のプロセッサ（ＣＰＵ４）に、新旧を比較する処理（ステップＳ１５６）において第１バージョン情報Ｄｖｅｒ１の方が第２バージョン情報Ｄｖｅｒ２よりも新しいと判定された場合（ステップＳ１５７：Ｙｅｓ判定）に、アップデートデータＤｕにおける第１ソフトウェアプログラムＳＷＰ１を含む残りデータの送信要求を送信させてもよい（ステップＳ１５８）。
これにより、車両１００側に設けられる記憶領域は、一つのソフトウェアプログラムＳＷＰがインストールされている状態において一部データＤｐが余分に記憶されるだけの容量が設けられていればよい。
即ち、少ない容量の記憶領域で構成された記憶部（ＲＯＭ５、ＲＡＭ６）を備えるＥＣＵ１であっても、不正なソフトウェアプログラムＳＷＰが書き込まれるのを防止し適切なアップデート処理を行うことが可能となる。

情報処理装置としてのＥＣＵ１（またはＣＧＷＥＣＵ１０３ａ）においては、一または複数の命令は、前記一または複数のプロセッサ（ＣＰＵ４）に、新旧を比較する処理（ステップＳ１５６）において第１バージョン情報Ｄｖｅｒ１の方が第２バージョン情報Ｄｖｅｒ２よりも古いと判定された場合（ステップＳ１５７：Ｎｏ判定）に、アップデートデータＤｕにおける第１ソフトウェアプログラムＳＷＰ１を含む残りデータの送信の中止要求を送信させてもよい（ステップＳ１５５）。
これにより、古いバージョンのソフトウェアプログラムＳＷＰを送受信する処理が削減される。即ち、不要な通信を削減することができる。

上述した各実施の形態及び各変形例などは、適宜組み合わせることが可能である。

１ ＥＣＵ（情報処理装置）
４ ＣＰＵ（プロセッサ）
５ ＲＯＭ（記憶媒体、第１記憶領域、第２記憶領域）
６ ＲＡＭ（記憶媒体、第１記憶領域）
１０３ａ ＣＧＷＥＣＵ（情報処理装置）
Ｄｕ アップデートデータ
ＳＷＰ１ 第１ソフトウェアプログラム
ＳＷＰ２ 第２ソフトウェアプログラム
Ｄｖｅｒ１ 第１バージョン情報
Ｄｖｅｒ２ 第２バージョン情報
Ｄｖａｌ 検証データ
Ｄｐ 一部データ

Claims (5)

1. 一または複数のプロセッサと、
   前記一または複数のプロセッサによって実行されるプログラムが記憶された記憶媒体と、を備え、
   前記プログラムは一または複数の命令を含み、
   前記一または複数の命令は、前記一または複数のプロセッサに、
   第１ソフトウェアプログラムと前記第１ソフトウェアプログラムよりも先頭側の領域に格納される情報であって前記第１ソフトウェアプログラムについてのバージョンを示す第１バージョン情報とを含むアップデートデータのうち、前記第１バージョン情報が含まれ前記第１ソフトウェアプログラムが含まれない一部データを受信する第１受信処理と、
   前記一部データを第１記憶領域に記憶する処理と、
   前記第１ソフトウェアプログラムが記憶される予定の第２記憶領域に記憶されているアップデート前の第２ソフトウェアプログラムについてのバージョンを示す第２バージョン情報と、前記一部データに含まれる前記第１バージョン情報との新旧を比較する処理と、
   前記第１バージョン情報の方が前記第２バージョン情報よりも新しいと判定された場合に、前記第１受信処理の後に行われる第２受信処理によって受信した前記第１ソフトウェアプログラムを前記第２記憶領域に記憶する処理と、を実行させる
   情報処理装置。
2. 前記アップデートデータは暗号化されたデータとされ、
   前記一部データは前記第１バージョン情報の正誤検証に用いられる検証データを含み、
   前記一または複数の命令は、前記一または複数のプロセッサに、
   前記第１受信処理に対応して前記一部データの復号を実行させ、
   復号された前記検証データを用いて前記第１バージョン情報の正誤判定処理を実行させ、
   前記第１バージョン情報に誤りがなく且つ前記新旧を比較する処理において前記第１バージョン情報の方が前記第２バージョン情報よりも新しいと判定された場合に、前記第２受信処理に対応して前記第１ソフトウェアプログラムの復号を実行させる
   請求項１に記載の情報処理装置。
3. 前記一または複数の命令は、前記一または複数のプロセッサに、
   前記新旧を比較する処理において前記第１バージョン情報の方が前記第２バージョン情報よりも古いと判定された場合に、前記第２記憶領域に前記第１ソフトウェアプログラムを記憶させる処理を中止させる
   請求項１に記載の情報処理装置。
4. 前記一または複数の命令は、前記一または複数のプロセッサに、
   前記新旧を比較する処理において前記第１バージョン情報の方が前記第２バージョン情報よりも新しいと判定された場合に、前記アップデートデータにおける前記第１ソフトウェアプログラムを含む残りデータの送信要求を送信させる
   請求項１に記載の情報処理装置。
5. 前記一または複数の命令は、前記一または複数のプロセッサに、
   前記新旧を比較する処理において前記第１バージョン情報の方が前記第２バージョン情報よりも古いと判定された場合に、前記アップデートデータにおける前記第１ソフトウェアプログラムを含む残りデータの送信の中止要求を送信させる
   請求項１に記載の情報処理装置。

Images