特開 2024-120144 電子制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024120144

(43)【公開日】2024-09-04

(54)【発明の名称】電子制御装置

(51)【国際特許分類】

   G06F 8/65 20180101AFI20240828BHJP

   G06F 21/57 20130101ALI20240828BHJP

【ＦＩ】

G06F8/65

G06F21/57

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023026811

(22)【出願日】2023-02-23

(71)【出願人】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【氏名又は名称】矢作 和行

(74)【代理人】

【識別番号】100121991

【弁理士】

【氏名又は名称】野々部 泰平

(74)【代理人】

【識別番号】100145595

【弁理士】

【氏名又は名称】久保 貴則

(72)【発明者】

【氏名】村松 裕希

(72)【発明者】

【氏名】藤田 剛憲

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376AB01

5B376CA16

5B376CA43

5B376FA11

5B376GA08

(57)【要約】

【課題】ソフトウェアのバージョンダウンが可能な電子制御装置を提供すること。
【解決手段】電子制御装置１００は、マイコンと、マイコンが実行するソフトウェアが書換え可能な状態で記憶されたメモリ２０と、ソフトウェアを書換える配信ソフトウェア１を受信する通信インタフェース７０とを備えている。マイコンは、配信ソフトウェアがＲＯＭに記憶されたソフトウェアよりも新しいバージョンでない場合に、配信ソフトウェアがセキュリティ基準を満たしているか否かを判定するセキュリティ検証部１１５を備えている。また、マイコンは、セキュリティ基準を満たしていると判定された場合に、ＲＯＭに記憶されたソフトウェアを配信ソフトウェアに書換えるロールバック部１１６を備えている。
【選択図】図２

【特許請求の範囲】

【請求項1】

処理装置（１０）と、前記処理装置が実行するソフトウェアが書換え可能な状態で記憶された記憶装置（２１）と、前記ソフトウェアを書換える配信ソフトウェアを受信する通信装置（７０）と、を備えた電子制御装置であって、
前記処理装置は、
前記ソフトウェアと前記配信ソフトウェアのバージョンを確認するバージョン確認部（１１２）と、
前記配信ソフトウェアが前記ソフトウェアよりも新しいバージョンでない場合に、前記配信ソフトウェアがセキュリティ基準を満たしているか否かを判定するセキュリティ判定部（１１５）と、
前記セキュリティ基準を満たしていると判定された場合に、前記ソフトウェアを前記配信ソフトウェアに書換える書換部（１１６）と、を備えている電子制御装置。

【請求項2】

前記セキュリティ判定部は、
電子制御装置の現在位置を示す現在位置情報を取得する第１取得部（１１５ａ）と、
前記配信ソフトウェアの種別を示す配信ソフトウェア情報を取得する第２取得部（１１５ｃ）と、
取得した前記現在位置と取得した前記種別との組み合わせが正当な場合は前記配信ソフトウェアが前記セキュリティ基準を満たしていると判定し、前記組み合わせが正当でない場合は前記配信ソフトウェアが前記セキュリティ基準を満たしていないと判定する判定部（１１５ｂ、１１５ｄ）と、を備えている請求項１に記載の電子制御装置。

【請求項3】

前記判定部は、
複数の位置情報と、各位置情報のセキュリティレベルと、各セキュリティレベルに対応する前記配信ソフトウェアの前記種別との関係を規定するセキュリティレベルリストが記憶されたリスト保存部（２０ｃ）を参照可能に構成されており、
取得した前記現在位置と前記セキュリティレベルリストと照合し、取得した前記現在位置の前記セキュリティレベルを判定する第１判定部（１１５ｂ）と、
取得した前記種別と前記第１判定部の判定結果である前記セキュリティレベルを前記セキュリティレベルリストと照合し、前記種別の前記セキュリティレベルと判定結果である前記セキュリティレベルの関係を判定する第２判定部（１１５ｄ）と、を備え、
前記第２判定部は、前記種別の前記セキュリティレベルと判定結果である前記セキュリティレベルの関係が、前記セキュリティレベルリストで規定された関係を満たしている場合に前記組み合わせが正当であるとみなし、前記セキュリティレベルリストで規定された関係を満たしていない場合に前記組み合わせが正当でないとみなす請求項２に記載の電子制御装置。

【請求項4】

前記リスト保存部は、前記記憶装置に設けられている請求項３に記載の電子制御装置。

【請求項5】

車両に搭載された電子制御装置であって、
前記リスト保存部は、前記車両に搭載された電子制御装置とは異なる他制御装置に設けられている請求項３に記載の電子制御装置。

【請求項6】

車両に搭載された電子制御装置であって、
前記セキュリティレベルリストは、前記セキュリティレベルが三段階に設定されており、
最も高い前記セキュリティレベルである高レベルには、前記位置情報として前記車両の製造会社の位置を示す情報と、前記種別として全ての前記配信ソフトウェアを示す情報が規定されており、
前記高レベルよりも低い前記セキュリティレベルである中レベルには、前記位置情報として前記車両のディーラの位置を示す情報と、機能アップデートと不具合修正のいずれか一方を示す情報が規定されており、
前記中レベルよりも低い前記セキュリティレベルである低レベルには、前記位置情報としてユーザの自宅の位置を示す情報と、前記種別としてオプション変更を示す情報が規定されている請求項３～５のいずれか１項に記載の電子制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、電子制御装置に関する。

【背景技術】

【0002】

電子制御装置の一例として、特許文献１に開示された情報処理装置がある。情報処理装置は、アップデート用ソフトウェアのバージョンの方が現在のソフトウェアのバージョンより新しいと判断された場合にアップデート用ソフトウェアを用いてソフトウェアを更新する。一方、情報処理装置は、アップデート用ソフトウェアのバージョンの方が現在のソフトウェアのバージョンより新しいと判断されなかった場合にソフトウェアの書換えを中断する。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特許第６５９５８２２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記のように、情報処理装置では、アップデート用ソフトウェアのバージョンの方が現在のソフトウェアのバージョンより新しい場合にソフトウェアの書換えを中断する。このため、情報処理装置では、ソフトウェアのバージョンダウンができないという問題がある。

【0005】

開示される一つの目的は、ソフトウェアのバージョンダウンが可能な電子制御装置を提供することである。

【課題を解決するための手段】

【0006】

ここに開示された電子制御装置は、
処理装置（１０）と、処理装置が実行するソフトウェアが書換え可能な状態で記憶された記憶装置（２１）と、ソフトウェアを書換える配信ソフトウェアを受信する通信装置（７０）と、を備えた電子制御装置であって、
処理装置は、
ソフトウェアと配信ソフトウェアのバージョンを確認するバージョン確認部（１１２）と、
配信ソフトウェアがソフトウェアよりも新しいバージョンでない場合に、配信ソフトウェアがセキュリティ基準を満たしているか否かを判定するセキュリティ判定部（１１５）と、
セキュリティ基準を満たしていると判定された場合に、ソフトウェアを配信ソフトウェアに書換える書換部（１１６）と、を備えている電子制御装置。

【0007】

このように、電子制御装置は、配信ソフトウェアが新しいバージョンでなくても、セキュリティ基準を満たしていれば、ソフトウェアを配信ソフトウェアに書換えることができる。よって、電子制御装置は、バージョンダウンであっても、ソフトウェアを配信ソフトウェアに書換えることができる。

【0008】

この明細書において開示された複数の態様は、それぞれの目的を達成するために、互いに異なる技術的手段を採用する。請求の範囲およびこの項に記載した括弧内の符号は、後述する実施形態の部分との対応関係を例示的に示すものであって、技術的範囲を限定することを意図するものではない。この明細書に開示される目的、特徴、および効果は、後続の詳細な説明、および添付の図面を参照することによってより明確になる。

【図面の簡単な説明】

【0009】

【図1】ＥＣＵの概略構成を示すブロック図である。

【図2】ＥＣＵの機能を示す機能ブロック図である。

【図3】セキュリティ検証部の機能を示す機能ブロック図である。

【図4】ＥＣＵの動作を示すフローチャートである。

【図5】セキュリティ検証部の動作を示すフローチャートである。

【図6】セキュリティレベルを示すフローチャートである。

【図7】セキュリティレベルの項目関係を示す図面である。

【図8】変形例におけるセキュリティ検証部の機能を示す機能ブロック図である。

【図9】変形例におけるセキュリティ検証部の動作を示すフローチャートである。

【発明を実施するための形態】

【0010】

（実施形態）
以下において、図面を参照しながら、本開示を実施するための形態を説明する。本実施形態では、一例として、車両に搭載可能な電子制御装置（ＥＣＵ）１００を採用する。車両には、制御対象が異なる複数の電子制御装置が搭載されている。電子制御装置１００は、そのうちの一つである。複数の電子制御装置のうち、電子制御装置１００以外の電子制御装置を他制御装置とも称する。

【0011】

＜構成＞
図１に示すように、電子制御装置１００は、マイコン１０、メモリ２０、入力インタフェース３０、出力インタフェース４０、保護素子５０、内部電源６０、通信インタフェース７０などを備えている。

【0012】

マイコン１０（ＭＩＣ）は、マイコン１０は、内部電源６０から電力供給されて動作可能な状態となる。マイコン１０は、メモリ２０のＲＯＭ２１に記憶されたソフトウェアを実行可能に構成されている。マイコン１０は、ソフトウェアを実行することで各種演算処理を行う。マイコン１０は、演算処理を行う際に、メモリ２０のＲＡＭ２２に記憶されたデータや入力インタフェース３０を介して入力されたセンサ信号を用いる。マイコン１０は、演算結果を制御信号として出力インタフェース４０を介して出力する。なお、マイコン１０は、プロセッサともいえる。マイコン１０は、処理装置に相当する。

【0013】

メモリ２０（ＭＥＭ）は、ＲＯＭ２１、ＲＡＭ２２などを備えている。ＲＯＭ２１は、ソフトウェアなどが書換え可能に記憶されている。ＲＯＭ２１は、ＥＥＰＲＯＭ（登録商標）やフラッシュメモリなどを採用できる。ＲＡＭ２２は、マイコン１０が演算処理に用いるデータなどが一時的に記憶されている。ＲＯＭ２１は、記憶装置に相当する。

【0014】

図２に示すように、ＲＯＭ２１は、バージョン情報保存部２０ａ、ソフトウェア保存部２０ｂ、セキュリティレベルリスト保存部２０ｃを備えている。図２では、バージョン情報保存部２０ａをＶＩＳ、ソフトウェア保存部２０ｂをＳＷＳ、セキュリティレベルリスト保存部２０ｃをＳＬＳと記載している。

【0015】

バージョン情報保存部２０ａは、ＲＯＭ２１に記憶されているソフトウェアのバージョン情報（番号）が記憶されている。ソフトウェア保存部２０ｂは、ソフトウェアが記憶されている。以下では、ソフトウェア保存部２０ｂに記憶されているソフトウェアを単にソフトウェアとも称する。セキュリティレベルリスト保存部２０ｃは、セキュリティレベルリスト（ＳＬＬ）が記憶されている。セキュリティレベルリスト保存部２０ｃは、リスト保存部に相当する。

【0016】

電子制御装置１００は、車両の外部に設けられた書換装置から配信された配信ソフトウェア１でソフトウェアを書換え可能に構成されている。電子制御装置１００は、ソフトウェアをリプログラミング可能に構成されているともいえる。

【0017】

配信ソフトウェア１は、ソフトウェアよりもバージョンが新しいものだけでなく、バージョンが古いものもある。つまり、電子制御装置１００は、ソフトウェア保存部２０ｂに記憶されているソフトウェアを、新しいバージョンの配信ソフトウェア１で書換えることでバージョンアップできる。また、電子制御装置１００は、ソフトウェア保存部２０ｂに記憶されているソフトウェアを、古いバージョンの配信ソフトウェア１で書換えることでロールバックできる。しかしながら、古いバージョンの配信ソフトウェア１で書換える場合は、後ほど説明するセキュリティ基準を満たす必要がある。なお、電子制御装置１００は、ソフトウェアを同じバージョンの配信ソフトウェア１に書換えるものであってもよい。この場合もロールバックとみなしてもよい。

【0018】

ここで、図６、図７を用いて、セキュリティレベルリストに関して説明する。セキュリティレベルリストは、複数のＧＰＳ情報３と、各ＧＰＳ情報３のセキュリティレベル（ＳＬ）と、各セキュリティレベルに対応する配信ソフトウェア１の種別との関係を規定するものである。なお、種別は、配信ソフトウェア１の書換えソフトレベルと言い換えることができる。

【0019】

セキュリティレベルリストは、項目としてセキュリティレベル、ＧＰＳ情報３、配信ソフトウェア情報２を含んでいる。各項目の関係は、図７に示すようになっている。ソフトウェアのバージョン番号は、配信ソフトウェア情報２に含まれており、配信ソフトウェア１の種別ごとに異なる。よって、バージョン番号によって種別を判定できる。また、配信ソフトウェア情報２は、バージョン番号に加えて、配信ソフトウェア１の種別を示す情報がふくまれていてもよい。

【0020】

ＧＰＳ情報は、位置情報に相当する。図２などでは、配信ソフトウェア１をＤＳＷ、配信ソフトウェア情報２をＤＳＩ、ＧＰＳ情報３をＧＳＩと記載している。

【0021】

図６に、セキュリティレベルリストの一例を示す。セキュリティレベルリストは、セキュリティレベルがレベル１～３の三段階に設定されている。

【0022】

レベル３は、最も高いセキュリティレベルである。レベル３は、ＧＰＳ情報３として車両の製造会社の位置を示す情報と、種別として全ての配信ソフトウェア１を示す情報が規定されている。つまり、電子制御装置１００の現在位置が製造会社内であった場合は、全ての配信ソフトウェア１がセキュリティ基準を満たしているとみなせる。レベル３は、高レベルに相当する。

【0023】

レベル２は、高レベルよりも低いセキュリティレベルである。レベル２には、ＧＰＳ情報として車両のディーラ（正規ディーラ）の位置を示す情報と、種別として機能アップデートに関する配信ソフトウェア１と不具合修正に関する配信ソフトウェア１のいずれか一方を示す情報が規定されている。つまり、電子制御装置１００の現在位置がディーラであり、配信ソフトウェア１の種別が機能アップデートを示す場合は、セキュリティ基準を満たしているとみなせる。レベル２は、中レベルに相当する。

【0024】

レベル１は、中レベルよりも低いセキュリティレベルである。レベル１には、ＧＰＳ情報としてユーザの自宅の位置を示す情報と、種別としてオプション変更に関する配信ソフトウェア１を示す情報が規定されている。また、位置情報は、予め登録された車専門店の位置を示す情報を含んでいてもよい。つまり、電子制御装置１００の現在位置がユーザの自宅であり、配信ソフトウェア１の種別がオプション変更を示す場合は、セキュリティ基準を満たしているとみなせる。レベル１は、低レベルに相当する。

【0025】

また、位置情報のセキュリティレベルよりも低いセキュリティレベルの種別の場合、セキュリティ基準をみたしているとみなせる。つまり、位置情報が正規ディーラの場合、種別がオプション変更に関する配信ソフトウェア１であってもセキュリティ基準をみなしていることなる。

【0026】

ここで、図１の説明に戻る。入力インタフェース３０（ＩＩＦ）は、センサ３００（ＳＥＮ）と接続されている。入力インタフェース３０は、センサ３００から出力されたセンサ信号が入力される。マイコン１０は、センサ信号を用いて演算処理を行う。センサ３００は、マイコン１０が演算に用いる信号を出力する出力装置である。なお、入力インタフェース３０は、センサ３００以外の出力装置と接続されていてもよい。

【0027】

出力インタフェース４０（ＯＩＦ）は、アクチュエータ４００（ＡＣＴ）と接続されている。電子制御装置１００は、出力インタフェース４０を介して、マイコン１０で生成された制御信号を出力する。アクチュエータ４００は、電子制御装置１００の制御対象である。よって、アクチュエータ４００は、対象装置ともいえる。なお、出力インタフェース４０は、アクチュエータ４００以外の対象装置と接続されていてもよい。

【0028】

保護素子５０（ＰＲＴ）は、バッテリ２００および内部電源６０（ＰＷＳ）と接続されている。保護素子５０は、バッテリ２００から過電圧が印加されることを防ぐための素子である。

【0029】

内部電源６０（ＰＷＳ）は、電子制御装置１００の内部で用いる電力を生成して、マイコン１０などに供給する。内部電源６０は、保護素子５０を介してバッテリ２００から電力が供給される。内部電源６０は、バッテリ２００からの電力を電子制御装置１００の内部で用いる電力を生成する。

【0030】

通信インタフェース７０（ＣＩＦ）は、通信線５００と接続されている。通信インタフェース７０は、通信線５００を介して他制御装置などと通信を行う通信装置である。通信インタフェース７０は、ＲＯＭ２１に記憶されたソフトウェアを書換える配信ソフトウェア１などを受信する。電子制御装置１００は、車両の製造会社やディーラなどにおいて、書換装置から配信ソフトウェア１などを、通信線５００を介して受信できる。つまり、書換装置は、車両の外部である製造会社やディーラなどに設けられているといえる。

【0031】

電子制御装置１００は、配信ソフトウェア１に加えて、配信ソフトウェア１の種別を示す配信ソフトウェア情報２、電子制御装置１００の現在位置を示すＧＰＳ情報３を受信可能である。ＧＰＳ情報３は、電子制御装置１００が車両に搭載されている場合、車両の現在位置を示す情報である。

【0032】

なお、ここでの通信は、ＣＡＮ（登録商標）プロトコルに準拠したものを採用できる。この場合、通信インタフェース７０は、ＣＡＮインタフェースである。通信インタフェース７０は、通信装置に相当する。

【0033】

電子制御装置１００は、通信装置として、無線通信装置を備えてもよい。この場合、電子制御装置１００は、無線通信装置を介して、車両の外部に設けられ、書換装置を備えた外部センターなどと通信を行うことができる。電子制御装置１００は、無線通信装置を備えることで、配信ソフトウェア１などを無線で受信できる。つまり、電子制御装置１００は、ＯＴＡ（Over the Air）を活用してソフトウェアを書換えることができる。

【0034】

＜機能ブロック、処理動作＞
ここで、図２～図５を用いて、電子制御装置１００の機能ブロックと処理動作に関して説明する。電子制御装置１００は、マイコン１０が演算処理を実行する各種機能を提供する。図２、図３には、各種機能の関係を示す各種機能ブロックを示す。図２に示すように、マイコン１０は、機能ブロックとして、ソフトウェアを書換えるアップデータ１１０を有している。

【0035】

マイコン１０は、書換装置からソフトウェアの更新リクエストがあると図４のフローチャートに示す処理を開始する。

【0036】

ステップＳ１１では、配信ソフトウェア１をダウンロードする。マイコン１０は、通信インタフェース７０を介してダウンロードする。以下、ダウンロードした配信ソフトウェア１を単に配信ソフトウェア１とも称する。

【0037】

ステップＳ１２では、バージョン番号の正当性を確認する。第１検証部１１１（１ＶＤＴ）は、配信ソフトウェア１のバージョン番号が正当なものであるか否かを確認する。なお、バージョン番号は、配信ソフトウェア１に付与されている。このため、第１検証部１１１は、配信ソフトウェア１を参照することで正当性を確認できる。マイコン１０は、バージョン番号が正当でないと判断した場合、図４のフローチャートを終了してもよい。

【0038】

ステップＳ１３では、バージョンを確認する。ここでは、配信ソフトウェア１がバージョンアップのためのものかバージョンダウンのためのものかを確認する。ロールバック検知部１１２（ＲＢＤ）は、ソフトウェアのバージョンと配信ソフトウェア１のバージョンを確認する。このとき、バージョン管理部１１３（ＶＣＮＴ）は、バージョン情報保存部２０ａ（ＶＩＳ）からソフトウェアのバージョン番号を読み出して、ロールバック検知部１１２に出力する。つまり、ロールバック検知部１１２は、バージョン管理部１１３を介してバージョン情報保存部２０ａに記憶されているバージョン番号を参照する。ロールバック検知部１１２は、ソフトウェアのバージョン番号と配信ソフトウェア１のバージョン番号とを比較する。ロールバック検知部１１２は、バージョン確認部に相当する。

【0039】

ステップＳ１４では、新しいバージョンであるか否かを確認する。ロールバック検知部１１２は、ソフトウェアのバージョン番号と配信ソフトウェア１のバージョン番号とを比較する。そして、ロールバック検知部１１２は、ソフトウェアのバージョン番号よりも配信ソフトウェア１のバージョン番号の方が新しいことを示す場合に新しいバージョンと判定する。また、ロールバック検知部１１２は、ソフトウェアのバージョン番号よりも配信ソフトウェア１のバージョン番号の方が新しいことを示さない場合に新しいバージョンと判定しない。マイコン１０は、新しいバージョンであると判定した場合はステップＳ１５へ進み、新しいバージョンであると判定しなかった場合はステップＳ１６へ進む。

【0040】

ステップＳ１６では、セキュリティ確認を行う。セキュリティ検証部１１５（ＳＶＤＴ）は、配信ソフトウェア１の種別と現在位置との関係でセキュリティをクリアしているか否か、すなわち、セキュリティ基準をみたしているか否かを確認する。つまり、セキュリティ検証部１１５は、配信ソフトウェア１がソフトウェアよりも新しいバージョンでない場合に、配信ソフトウェア１がセキュリティ基準を満たしているか否かを判定する。セキュリティ検証部１１５は、セキュリティ判定部に相当する。

【0041】

ここは、図３、図５を用いて、セキュリティ確認処理に関して説明する。セキュリティ検証部１１５は、図３に示す各機能ブロックを含んでいる。

【0042】

ステップＳ２０では、ＧＰＳ情報３を取得する。ＧＰＳ情報取得部１１５ａ（ＧＰＡ）は、電子制御装置１００の現在位置を示すＧＰＳ情報３を取得する。ＧＰＳ情報取得部１１５ａは、通信インタフェース７０を介して、他制御装置の一つであるナビ制御装置などからＧＰＳ情報３を取得する。ＧＰＳ情報取得部１１５ａは、第１取得部に相当する。ＧＰＳ情報３は、現在位置情報に相当する。

【0043】

ステップＳ２１では、ＧＰＳ情報３を電子制御装置１００内で保存するセキュリティレベルリストと照合する。セキュリティレベル検証部１１５ｂ（ＳＬＤ）は、ＧＰＳ情報３を、セキュリティレベルリスト保存部２０ｃに記憶されているセキュリティレベルリストと照合する。

【0044】

ステップＳ２２では、セキュリティレベルを判定する。セキュリティレベル検証部１１５ｂは、ＧＰＳ情報３のセキュリティレベル、すなわち、電子制御装置１００の現在位置のセキュリティレベルを判定する。つまり、セキュリティレベル検証部１１５ｂは、セキュリティレベルリストにおいてＧＰＳ情報３に関連付けられているセキュリティレベルを判定する。セキュリティレベル検証部１１５ｂは、判定部、第１判定部に相当する。

【0045】

ステップＳ２３では、配信ソフトウェア情報２を取得する。配信ソフトウェア情報取得部１１５ｃ（ＤＳＡ）は、配信ソフトウェア情報２を取得する。言い換えると、配信ソフトウェア情報取得部１１５ｃは、配信ソフトウェア１の種別、または、配信ソフトウェア１の種別を示すバージョン番号を取得する。ここでの配信ソフトウェア情報２は、ステップＳ１１でダウンロードした配信ソフトウェア１における情報である。配信ソフトウェア情報取得部１１５ｃは、第２取得部に相当する。

【0046】

ステップＳ２４では、配信ソフトウェア情報２とセキュリティレベルを電子制御装置１００で保存するセキュリティレベルリストと照合する。セキュリティクリア検証部１１５ｄ（ＳＣＤ）は、ステップＳ２３で取得した配信ソフトウェア情報２とステップＳ２２の判定結果であるセキュリティレベルを、セキュリティレベルリスト保存部２０ｃに記憶されているセキュリティレベルリストと照合する。つまり、セキュリティクリア検証部１１５ｄは、配信ソフトウェア１の種別とＧＰＳ情報３のセキュリティレベルを、セキュリティレベルリストと照合する。セキュリティクリア検証部１１５ｄは、判定部、第２判定部に相当する。

【0047】

ステップＳ２５では、場所（ＧＰＳ情報３）と配信ソフトウェア１とが正当な組み合わせであるか否かを判定する。セキュリティクリア検証部１１５ｄは、取得したＧＰＳ情報３と取得した種別との組み合わせが正当な場合は配信ソフトウェア１がセキュリティ基準を満たしていると判定する。また、マイコン１０は、取得したＧＰＳ情報３と取得した種別との組み合わせが正当でない場合は配信ソフトウェア１がセキュリティ基準を満たしていないと判定する。

【0048】

そこで、セキュリティクリア検証部１１５ｄは、ステップＳ２４で照合した結果を用いて、種別のセキュリティレベルとＧＰＳ情報３のセキュリティレベルの関係が、セキュリティレベルリストで規定された関係を満たしているか否かを判定する。

【0049】

セキュリティクリア検証部１１５ｄは、種別のセキュリティレベルとＧＰＳ情報３のセキュリティレベルの関係が、セキュリティレベルリストで規定された関係を満たしている場合に、ＧＰＳ情報３と種別との組み合わせが正当であるとみなす。よって、セキュリティクリア検証部１１５ｄは、配信ソフトウェア１がセキュリティ基準を満たしていると判定する。

【0050】

一方、セキュリティクリア検証部１１５ｄは、両セキュリティレベルの関係がセキュリティレベルリストで規定された関係を満たしていない場合に、ＧＰＳ情報３と種別との組み合わせが正当でないとみなす。よって、セキュリティクリア検証部１１５ｄは、配信ソフトウェア１がセキュリティ基準を満たしていないと判定する。

【0051】

たとえば、ＧＰＳ情報３が製造会社の社内であることを示す場合、全ての種別の配信ソフトウェア１は、セキュリティ基準を満たすことになる。ＧＰＳ情報３が正規ディーラ内であることを示す場合、種別が不具合修正の配信ソフトウェア１は、セキュリティ基準を満たすことになる。しかしながら、ＧＰＳ情報３が自宅であることを示す場合、種別が不具合修正の配信ソフトウェア１は、セキュリティ基準を満たさないことになる。

【0052】

ステップＳ２６では、セキュリティをクリアしていると決定する。セキュリティクリア決定部１１５ｅ（ＳＣＣ）は、セキュリティクリア検証部１１５ｄの検証結果に応じて、セキュリティをクリアしている、すなわち、セキュリティ基準を満たしていると決定する。ここでは、セキュリティクリア決定部１１５ｅは、組み合わせが正当であるとみなされた場合、たとえばＲＡＭ２２などに、セキュリティ基準を満たしていることを示す情報を記憶させる。

【0053】

なお、マイコン１０は、ステップＳ２５でＹＥＳ判定した場合にステップＳ１５へ進み、ＮＯ判定した場合に図４、図５のフローチャートを終了してもよい。

【0054】

ここで、図４のフローチャートに戻る。ステップＳ１７では、セキュリティをクリアしているか否かを確認する。セキュリティ検証部１１５は、ステップＳ１６において、セキュリティをクリアしているとの検証結果が得られているか否かを判定する。セキュリティ検証部１１５は、ＲＡＭ２２などにセキュリティ基準を満たしていることを示す情報が記憶されている場合、セキュリティをクリアしていると判定する。また、セキュリティ検証部１１５は、ＲＡＭ２２などにセキュリティ基準を満たしていることを示す情報が記憶されていない場合、セキュリティをクリアしていると判定しない。マイコン１０は、セキュリティをクリアしていると判定した場合はステップＳ１５へ進み、セキュリティをクリアしていると判定しなかった場合は図４のフローチャートを終了する。つまり、マイコン１０は、セキュリティをクリアしていない配信ソフトウェア１でのソフトウェアの書換えは行わない。なお、ＲＡＭ２２の容量が小さい場合は、一旦ＲＯＭ２１に配信ソフトウェア１を書いておき、セキュリティをクリアしたタイミングで、配信ソフトウェア１の使用を許可する場合もある。

【0055】

ステップＳ１５では、ソフトウェアの書換えを行う。ステップＳ１４でＹＥＳ判定した場合は、アップデート部１１４（ＵＰＤ）でソフトウェアの書換えを行う。アップデート部１１４は、ソフトウェア保存部２０ｂに記憶されているソフトウェアを配信ソフトウェア１で書換える。

【0056】

一方、ステップＳ１４でＮＯ判定した場合は、ロールバック部１１６（ＲＢＰ）でソフトウェアの書換えを行う。ロールバック部１１６は、ソフトウェア保存部２０ｂに記憶されているソフトウェアを配信ソフトウェア１で書換える。ステップＳ１４でＮＯ判定の場合は、ロールバック攻撃の可能がある。そのため、ロールバック部１１６は、上記のようにステップＳ１６、Ｓ１７でセキュリティ基準を満たしていると判定された場合に限ってソフトウェアの書換えを行う。ロールバック部１１６は、書換部に相当する。

【0057】

ステップＳ１８では、書換えが成功したか否かを判定する。第２検証部１１７（２ＶＤＴ）は、ソフトウェア保存部２０ｂに記憶されているソフトウェアの書換えが成功したか否かを判定する。マイコン１０は、成功したと判定した場合はステップＳ１９へ進み、成功したと判定しなかった場合は図４のフローチャートを終了する。なお、書換えが成功したか否かの判定方法は特に限定されない。

【0058】

ステップＳ１９では、バージョン情報を書換える。バージョン管理部１１３は、バージョン情報保存部２０ａに記憶されているバージョン番号を、配信ソフトウェアのバージョン番号に書き換える。これによって、ソフトウェア保存部２０ｂに記憶されているソフトウェアのバージョン番号と、バージョン情報保存部２０ａに記憶されているバージョン番号とが一致する。

【0059】

＜効果＞
このように、電子制御装置１００は、配信ソフトウェア１が新しいバージョンでなくても、セキュリティ基準を満たしていれば、ソフトウェアを配信ソフトウェア１に書換えることができる。よって、電子制御装置１００は、バージョンダウンであっても、ソフトウェアを配信ソフトウェア１に書換えることができる。つまり、電子制御装置１００は、セキュリティ基準を満たしていることを条件にロールバックを行うことができる。このため、電子制御装置１００は、ロールバック攻撃を防ぎつつ、ソフトウェアのバージョンダウンができる。

【0060】

電子制御装置１００は、セキュリティ基準を満たしていることを条件にロールバックを行うことができるため、ユーザと開発側に対して柔軟な対応が可能となる。たとえば、電子制御装置１００は、オプション変更の配信ソフトウェア１がバージョンダウンに相当したとしても、ユーザの自宅であればソフトウェアを書換えることができる。また、電子制御装置１００は、バージョンダウンであることを理由にソフトウェアの書換えが却下されることを防げる。また、電子制御装置１００は、ソフトウェアのカスタマイズの選択肢を増やすことができる。

【0061】

電子制御装置１００は、上記のような三段階のセキュリティレベルが設定されたセキュリティレベルリストを用いて、キュリティ基準を満たしているか否かを判定している。このため、電子制御装置１００は、適切な場所と配信ソフトウェア１の組み合わせによって、安全なロールバックを実現できる。

【0062】

さらに、電子制御装置１００は、自身のメモリ２０内にセキュリティレベルリストが記憶されている。このため、電子制御装置１００は、セキュリティレベルリストやセキュリティ検証部１１５などの組み込み作業や、それらの検証作業を一つ電子制御装置１００に対してのみ実施すればよい。つまり、電子制御装置１００は、後ほど説明する変形例に比べて、組み込み作業や検証作業を小規模化することができる。

【0063】

（変形例）
ここで、図８、図９を用いて、電子制御装置１００の変形例に関して説明する。図８に示すように、車両１００ｘ（ＣＡＲ）には、電子制御装置１００の外部にメモリ２０ｘが設けられている。メモリ２０ｘは、たとえばマスタ制御装置などの他制御装置に設けられている。そして、セキュリティレベルリスト保存部２０ｃは、メモリ２０ｘに設けられている。

【0064】

また、車両制御システムは、通信可能に構成された複数の電子制御装置を備えているとみなせる。車両制御システムは、電子制御装置１００と、メモリ２０ｘを備えたマスタ制御とを備えている。

【0065】

セキュリティレベル検証部１１５ｂおよびセキュリティクリア検証部１１５ｄは、メモリ２０ｘにアクセス可能に構成されている。言い換えると、セキュリティレベル検証部１１５ｂおよびセキュリティクリア検証部１１５ｄは、メモリ２０ｘに記憶されたセキュリティレベルリスト保存部２０ｃのセキュリティレベルリストを参照可能に構成されている。

【0066】

図９に示すように、ステップＳ２１ａでは、セキュリティレベル検証部１１５ｂは、ＧＰＳ情報３を車両１００ｘ内で保存するセキュリティレベルリストと照合する。ステップＳ２４ａでは、セキュリティクリア検証部１１５ｄは、配信ソフトウェア情報２とセキュリティレベルを車両１００ｘで保存するセキュリティレベルリストと照合する。

【0067】

このため、電子制御装置１００は、セキュリティレベルリストをメモリ２０に記憶しておく必要がない。よって、電子制御装置１００は、セキュリティレベルリストのために機能を縮小する必要が無い。また、電子制御装置１００は、メモリ２０のサイズを考慮せずにセキュリティレベルリストを組み込むことができる。さらに、車両制御システムは、複数の電子制御装置でセキュリティレベルリストを共有できる。変形例の電子制御装置１００は、上記実施形態と同様の効果を奏することができる。

【0068】

以上、本開示の好ましい実施形態について説明した。しかしながら、本開示は、上記実施形態に何ら制限されることはなく、本開示の趣旨を逸脱しない範囲において、種々の変形が可能である。

【0069】

本開示は、実施形態に準拠して記述されたが、本開示は当該実施形態や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態が本開示に示されているが、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

【符号の説明】

【0070】

１…配信ソフトウェア、２…配信ソフトウェア情報、３…ＧＰＳ情報、１０…マイコン、２０，２０ｘ…メモリ、２０ａ…バージョン情報保存部、２０ｂ…ソフトウェア保存部、２０ｃ…セキュリティレベルリスト保存部、２１…ＲＯＭ、２２…ＲＡＭ、３０…入力インタフェース、４０…出力インタフェース、５０…保護素子、６０…内部電源、７０…通信インタフェース、１００…電子制御装置、１００ｘ…車両、１１０…アップデータ、１１１…第１検証部、１１２…ロールバック検知部、１１３…バージョン管理部、１１４…アップデート部、１１５…セキュリティ検証部、１１５ａ…ＧＰＳ情報取得部、１１５ｂ…セキュリティレベル検証部、１１５ｃ…配信ソフトウェア情報取得部、１１５ｄ…セキュリティクリア検証部、１１５ｅ…セキュリティクリア決定部、１１６…ロールバック部、１１７…第２検証部、２００…バッテリ、３００…センサ、４００…アクチュエータ、５００…通信線

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】