特開 2024-132313 電子制御装置及びソフトウェアの冗長化プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024132313

(43)【公開日】2024-09-30

(54)【発明の名称】電子制御装置及びソフトウェアの冗長化プログラム

(51)【国際特許分類】

   G06F 8/654 20180101AFI20240920BHJP

【ＦＩ】

G06F8/654

【審査請求】未請求

【請求項の数】14

【出願形態】ＯＬ

(21)【出願番号】P 2023043056

(22)【出願日】2023-03-17

(71)【出願人】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【識別番号】110000567

【氏名又は名称】弁理士法人サトー

(72)【発明者】

【氏名】笠嶋 達也

(72)【発明者】

【氏名】柏原 一輝

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA36

5B376CA43

5B376CA54

5B376CA55

5B376CA56

(57)【要約】

【課題】リソースを有効に活用しつつ、システムの安全性をシームレスに担保する。
【解決手段】電子制御装置１は、ソフトウェアを配置可能な第１記憶部１２と、ソフトウェアを配置可能な第２記憶部１３と、第１記憶部と第２記憶部とのうち一方を稼働領域に設定すると共に他方を非稼働領域に設定する制御部１０と、を備える。制御部は、所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える。
【選択図】図１

【特許請求の範囲】

【請求項1】

ソフトウェアを配置可能な第１記憶部（１２）と、
ソフトウェアを配置可能な第２記憶部（１３）と、
前記第１記憶部と前記第２記憶部とのうち一方を稼働領域に設定すると共に他方を非稼働領域に設定する制御部（１０）と、を備え、
前記制御部は、所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える電子制御装置。

【請求項2】

前記制御部は、所定条件を満たす場合として、非稼働領域のソフトウェアの書き換えを終了して稼働領域と非稼働領域とを切り替えた後に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える請求項１に記載した電子制御装置。

【請求項3】

前記制御部は、外部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える請求項２に記載した電子制御装置。

【請求項4】

前記制御部は、自装置とネットワークを介して接続されている接続装置からの冗長化指示の入力を検知した場合に、外部要因の成立を特定する請求項３に記載した電子制御装置。

【請求項5】

前記制御部は、内部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える請求項２に記載した電子制御装置。

【請求項6】

前記制御部は、装置内部のエラーを検知した場合、セキュリティ的な脅威を検知した場合、書き換え対象の新ソフトウェアによるアップデートの飛躍レベルが一定値以上であることを検知した場合、前回のソフトウェアの書き換えから一定時間が経過していることを検知した場合、稼働領域の異常を検知した場合のうち少なくとも何れか一つにより、内部要因の成立を特定する請求項５に記載した電子制御装置。

【請求項7】

前記制御部は、稼働領域のソフトウェアと非稼働領域のソフトウェアとを冗長化してから稼働領域又は非稼働領域の故障を特定した場合に、その故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復する請求項１に記載した電子制御装置。

【請求項8】

前記制御部は、外部要因の成立を条件として、故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復する請求項７に記載した電子制御装置。

【請求項9】

前記制御部は、自装置とネットワークを介して接続されている接続装置から修復指示の入力を検知した場合に、外部要因の成立を特定する請求項８に記載した電子制御装置。

【請求項10】

前記制御部は、内部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに修復する請求項７に記載した電子制御装置。

【請求項11】

前記制御部は、装置内部のエラーを検知した場合、セキュリティ的な脅威を検知した場合、稼働領域又は非稼働領域の異常を検知した場合のうち少なくとも何れか一つにより、内部要因の成立を特定する請求項１０に記載した電子制御装置。

【請求項12】

前記制御部は、稼働領域と非稼働領域との冗長状態が有効であると判定し、非稼働領域が正常であると判定した場合に、稼働領域のソフトウェアを実行する請求項１から１１の何れか一項に記載した電子制御装置。

【請求項13】

ソフトウェアを配置可能な第１記憶部（１２）と、ソフトウェアを配置可能な第２記憶部（１３）と、前記第１記憶部と前記第２記憶部とのうち一方を稼働領域に設定すると共に他方を非稼働領域に設定する制御部（１０）と、を備える電子制御装置（１）の前記制御部に、
所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える書き換え手順を実行させるソフトウェアの冗長化プログラム。

【請求項14】

稼働領域のソフトウェアと非稼働領域のソフトウェアとを冗長化してから稼働領域又は非稼働領域の故障を特定した場合に、その故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復する修復手順を実行させる請求項１３に記載したソフトウェアの冗長化プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電子制御装置及びソフトウェアの冗長化プログラムに関する。

【背景技術】

【0002】

例えば車両に搭載されている車載用の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）として、記憶領域を２つ以上に分割し、例えばＡ面を稼働面に設定すると共にＢ面を非稼働面に設定している場合に、Ａ面のソフトウェアを実行中に、Ｂ面のソフトウェアの書き換えを可能とする構成が供されている。記憶領域はメモリバンクやバンクと称される場合がある。２面の記憶領域はデュアルバンクと称される場合がある。

【0003】

一方、書き換え後のソフトウェアに異常が発生することで記憶領域に故障が混入する可能性が想定される。この点に関し、安全性を確保する観点から、ソフトウェアに異常が発生した場合の対処としてソフトウェアを速やかに修復することで、システムの安全性を担保することが要求されている。

【0004】

システムの安全性を担保する技術として、例えば特許文献１には、メイン系処理装置とサブ系処理装置とを用いた二重系の制御装置を用いる構成が開示されている。特許文献１の技術では、メイン系処理装置のソフトウェアを書き換える際に、ソフトウェアを書き換えるためのプログラムを予めサブ系処理装置の記憶領域にバックアップしておき、メイン系処理装置のソフトウェアの書き換えに失敗した場合に、サブ系処理装置にバックアップしておいたプログラムにより復帰させる。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１６－１４３１０３号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

特許文献１の技術では、メイン系処理装置のソフトウェアを書き換えるためのプログラムをバックアップするための記憶領域を予めサブ系処理装置に用意する必要がある。又、メイン系処理装置のソフトウェアを書き換えるための限定的な用途のプログラムの記憶領域を用意する構成では、リソースを有効に活用することができない。更に、メイン系処理装置のソフトウェアの書き換え時のみにバックアップする構成では、システムの安全性をシームレスに担保することができない。

【0007】

本発明は、上記した事情に鑑みてなされたものであり、その目的は、リソースを有効に活用しつつ、システムの安全性をシームレスに適切に担保することができる電子制御装置及びソフトウェアの冗長化プログラムを提供することにある。

【課題を解決するための手段】

【0008】

請求項１に記載した発明によれば、ソフトウェアを配置可能な第１記憶部（１２）と、ソフトウェアを配置可能な第２記憶部（１３）と、前記第１記憶部と前記第２記憶部とのうち一方を稼働領域に設定すると共に他方を非稼働領域に設定する制御部（１０）と、を備える。前記制御部は、所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える。

【0009】

所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換えるようにした。第１記憶部及び第２記憶部を稼働領域と非稼働領域とに切り替えることで、限定的な用途のソフトウェアの記憶領域を用意する従来とは異なり、リソースを有効に活用することができる。又、所定条件を満たす場合として、例えば非稼働領域のソフトウェアの書き換えを終了して稼働領域と非稼働領域とを切り替えた後に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換えることで、メイン系処理装置のソフトウェアの書き換え時のみにバックアップする従来とは異なり、稼働領域のソフトウェアと非稼働領域のソフトウェアとをシームレスに冗長化することができ、システムの安全性をシームレスに適切に担保することができる。これにより、リソースを有効に活用しつつ、システムの安全性をシームレスに適切に担保することができる。

【図面の簡単な説明】

【0010】

【図1】一実施形態の全体構成を示す機能ブロック図

【図2】制御部の機能ブロック図

【図3】冗長化判定処理を示すフローチャート

【図4】起動時判定処理を示すフローチャート

【図5】ソフトウェア実行処理を示すフローチャート

【図6】タイミングチャート

【図7】タイミングチャート

【発明を実施するための形態】

【0011】

以下、一実施形態について図面を参照して説明する。図１に示すように、ＥＣＵ１は、車両に搭載されているＥＣＵであり、車載ネットワーク２と接続されている。尚、ＥＣＵは車載用ＥＣＵでも良いし、汎用ＥＣＵでも良い。車載ネットワーク２は、ＣＡＮ（Controller Area Network）（登録商標）である。車載ネットワーク２は、ＦＬＥＸＲＡＹ（登録商標）、ＣＸＰＩ（Clock Extension Peripheral Interface）（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）等であっても良い。本実施形態では、１つのＥＣＵが車載ネットワーク２と接続されている構成を例示しているが、車載ネットワーク２と接続されるＥＣＵの個数は任意である。又、車載ネットワーク２の個数は任意である。ＥＣＵ１は、例えば駆動系の制御を行う装置、ＡＤＡＳ（Advanced Driving Assistant System）系の制御を行う装置、マルチメディア系の制御を行う装置等であり、ソフトウェアの改修や機能向上等によりソフトウェアの書き換え対象となり得る。ソフトウェアとは、コンピュータに動作を行わせるための処理手順を指示する所謂プログラムに加え、プログラムを実行する上で参照されるファイル、データ、ライブラリ等を含む。

【0012】

セントラルＥＣＵ３は、ＯＴＡ（Over The Air）マスタとして機能する装置であり、データ通信機として機能するＤＣＭ（Data Communication Module）５と接続されている。ＤＣＭ５は、ＯＴＡセンターとして機能するサーバ６と通信ネットワーク７を介して無線接続することで当該サーバ６から送信された配信パッケージを受信可能となる。ＤＣＭ５は、サーバ６から送信された配信パッケージを受信すると、その受信した配信パッケージをセントラルＥＣＵ３へ転送する。セントラルＥＣＵ３は、ＤＣＭ５から配信パッケージが転送されると、その転送された配信パッケージから書き換えデータを抽出し、その抽出した書き換えデータを書き換え対象ＥＣＵ１へ送信すると共に書き換え指示を書き換え対象ＥＣＵ１へ送信し、ソフトウェアの書き換えを書き換え対象ＥＣＵ１に実施させる。即ち、書き換え対象ＥＣＵ１は、セントラルＥＣＵ３から書き換えデータを受信すると共に書き換え指示を受信し、書き換えデータを記憶領域へ書き込むことでソフトウェアの書き換えを実施する。サーバ６から通信ネットワーク７を介して受信された書き換えデータが書き換え対象ＥＣＵ１に書き込まれる態様は所謂無線リプロと称される。セントラルＥＣＵ３は、ＤＣＭ５から配信パッケージが転送されると、その転送された配信パッケージを書き換え対象ＥＣＵ１へ送信しても良い。或いは、ＤＣＭ５は、サーバ６から送信された配信パッケージを受信すると、その受信した配信パッケージから書き換えデータを抽出し、その抽出した書き換えデータをセントラルＥＣＵ３へ転送しても良い。

【0013】

リプログツール４は、車載ネットワーク２と接続されている状態で書き換えデータを書き換え対象ＥＣＵ１へ送信すると共に書き換え指示を書き換え対象ＥＣＵ１へ送信し、ソフトウェアの書き換えを書き換え対象ＥＣＵ１に実施させる。即ち、書き換え対象ＥＣＵ１は、リプログツール４から書き換えデータを受信すると共に書き換え指示を受信し、書き換えデータを記憶領域へ書き込むことでソフトウェアの書き換えを実施する。リプログツール４から通信ネットワーク７を介さずに受信された書き換えデータが書き換え対象ＥＣＵ１に書き込まれる態様は所謂有線リプロと称される。本実施形態では、リプログツール４が車載ネットワーク２と直接接続される構成を例示しているが、リプログツール４がセントラルＥＣＵ３を介して車載ネットワーク２と接続される構成でも良い。

【0014】

ＥＣＵ１は、ＣＰＵを主体とする制御部１０と、ＣＡＮモジュール１１と、第１フラッシュＲＯＭ１２（第１記憶部に相当する）と、第２フラッシュＲＯＭ１３（第２記憶部に相当する）と、データフラッシュ１４と、ＲＡＭ１５とが内部バス１６を介して相互接続されて構成されている。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３は、コードフラッシュと称される場合がある。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３と、データフラッシュ１４とは、メモリサイズ、書き換え回数、バスサイクル等の電気的特性が異なる。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３はプログラムを記憶する。データフラッシュ１４はユーザカスタム情報を記憶する。

【0015】

詳しくは後述するように、冗長状態が有効である場合、第１フラッシュＲＯＭ１２に記憶されているソフトウェアと第２フラッシュＲＯＭ１３に記憶されているソフトウェアとは同一であり、ＣＰＵを主体とする制御部１０が、第１フラッシュＲＯＭ１２に記憶されているソフトウェア、又は第２フラッシュＲＯＭ１３に記憶されているソフトウェアの何れかを実行する。

【0016】

第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３は、例えばデュアルバンクフラッシュＲＯＭとして構成される。この場合、物理的には１つのＲＯＭにおいて、メモリ領域を２つのバンクを含むように設定し、一方を第１フラッシュＲＯＭ１２とし、他方を第２フラッシュＲＯＭ１３とする。又は、第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３は、物理的に別体のＲＯＭでも良い。

【0017】

制御部１０は、非遷移的実体的格納媒体に格納されているコンピュータプログラムを実行することでコンピュータプログラムに対応する処理を実施し、ＥＣＵ１の動作を制御する。ＣＡＮモジュール１１は、車載ネットワーク２との間でのＣＡＮ信号の入出力を制御する。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３は、それぞれ独立したアドレス空間が割当てられた記憶領域であり、ソフトウェアを記憶可能となっている。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３に記憶されるソフトウェアは、車両の走行制御に関与する走行制御系のソフトウェアであっても良いし、車両の走行制御に関与しない非走行制御系のソフトウェアであっても良い。

【0018】

図２に示すように、制御部１０は、ソフトウェアの書き換えを制御する機能としての書き換え制御部１７と、ソフトウェアの冗長化を制御する機能としての冗長化制御部１８とを備える。書き換え制御部１７は、書き換えデータを書き込むデータ書き込み部１７ａと、書き換えデータの書き込みにより配置されたソフトウェアをＭＡＣやハッシュ値により検証するソフトウェア検証部１７ｂと、稼働面（稼働領域に相当する）と非稼働面（非稼働領域に相当する）との切り替えを制御する面切り替え部１７ｃとを備える。

【0019】

制御部１０は、第１フラッシュＲＯＭ１２と第２フラッシュＲＯＭ１３とのうち一方を稼働面に設定すると共に他方を非稼働面に設定し、稼働面のソフトウェアを実行中に、非稼働面のソフトウェアをデータ書き込み部１７ａにより書き換え可能である。制御部１０は、セントラルＥＣＵ３又はリプログツール４から書き換えデータを受信すると共に書き換え指示を受信すると、書き換えデータの非稼働面への書き込みをデータ書き込み部１７ａにより開始してソフトウェアの書き換えを開始する。

【0020】

制御部１０は、書き換えデータの非稼働面への書き込みを終了してソフトウェアの書き換えを終了すると、その配置されたソフトウェアをソフトウェア検証部１７ｂにより検証する。制御部１０は、ソフトウェア検証部１７ｂによる検証結果が正常であれば、面切り替え条件が成立すると、面切り替え部１７ｃにより稼働面と非稼働面とを切り替える。制御部１０は、例えば車両走行中における走行制御系のソフトウェアの書き換えであれば、面切り替えによる車両走行への影響が懸念されるので、走行制御系のソフトウェアの書き換えを終了しても稼働面と非稼働面とを切り替えずに車両走行中から駐車中への状態移行を待機し、駐車中に移行してから稼働面と非稼働面とを切り替える。制御部１０は、例えば車両走行中における非走行制御系のソフトウェアの書き換えであれば、面切り替えによる車両走行への影響が懸念されないので、非走行制御系のソフトウェアの書き換えを終了すると、車両走行中から駐車中への状態移行を待機することなく稼働面と非稼働面とを切り替える。制御部１０は、非走行制御系のソフトウェアの書き換えであっても、走行中から駐車中への状態移行を待機し、駐車中に移行してから稼働面と非稼働面とを切り替えても良い。尚、エンジン自動車であれば、車両走行中とは例えばイグニッションオン状態であり、駐車中とは例えばイグニッションオフ状態であることを意味する。電気自動車であれば、車両走行中とは例えばＥＶ（Electric Vehicle）システムオン状態であり、駐車中とは例えばＥＶシステムオフ状態であることを意味する。

【0021】

冗長化制御部１８は、冗長化の条件の成立を判定する冗長化判定部１８ａと、稼働面及び非稼働面の状態を判定する面状態判定部１８ｂと、機能安全を実行する機能安全実行部１８ｃとを備える。各部１８ａ～１８ｃは、ソフトウェアの冗長化プログラムを実行する。

【0022】

冗長化判定部１８ａは、非稼働面のソフトウェアの書き換えを終了して稼働面と非稼働面とを切り替えた後に（所定条件を満たす場合に相当する）、外部要因による条件又は内部要因による冗長化の条件が成立すると、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換える。この場合、外部要因による条件は、セントラルＥＣＵ３又はリプログツール４からの冗長化指示の入力を検知したことである。内部要因による条件は、ＥＣＵ１の装置内部のエラーを検知したこと、セキュリティ的な脅威を検知したこと、書き換え対象の新ソフトウェアによるアップデートの飛躍レベルが一定値以上であること、前回のソフトウェアの書き換えから一定時間が経過していること、稼働面の異常を検知したこと等である。

【0023】

ここで、新ソフトウェアによるアップデートの飛躍レベルについて説明する。アップデートの飛躍レベルは、例えばソフトウェアのバージョン情報やサーバ６から配信されるアップデートに関する情報により判断することができる。例えばバージョン１．０からバージョン２．０へのアップデート等のようにメジャーアップデートの場合はアップデートの飛躍レベルが一定値以上であると判定する。一方、バージョン１．０からバージョン１．１へのアップデート等のようにマイナーアップデートの場合はアップデートの飛躍レベルが一定値未満であると判定する。サーバ６から配信されたアップデートに関する情報において、アップデートの飛躍レベルが一定値以上であることを示しても良い。

【0024】

稼働面のソフトウェアと非稼働面のソフトウェアについて説明する。非稼働面のソフトウェアと稼働面のソフトウェアは共に実行可能な状態であり、非稼働面のソフトウェアでも圧縮されていない。書き換え制御部１７は、冗長化の条件が成立していると判定すると、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換える。書き換え制御部１７は、冗長化の対象となる稼働面のソフトウェアを記憶するアドレス領域を指定し、非稼働面のアドレス領域へ複製しても良いし、ファイル名を指定して非稼働面に複製しても良い。

【0025】

又、冗長化判定部１８ａは、稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化してから稼働面又は非稼働面の故障を特定した場合に、外部要因による条件又は内部要因による冗長化の条件が成立すると、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換えて故障を修復する。この場合、外部要因による条件は、セントラルＥＣＵ３又はリプログツール４からの冗長化指示の入力を検知したことである。内部要因による条件は、ＥＣＵ１の装置内部のエラーを検知したこと、セキュリティ的な脅威を検知したこと、稼働面又は非稼働面の異常を検知したこと等である。

【0026】

ＥＣＵ１は、車載ネットワーク２の通信状態を監視する機能、フラッシュＲＯＭ１２，１３の動作状態を監視する機能、フラッシュＲＯＭ１２，１３のデータを検証する機能等の各種機能を有する。又、フラッシュＲＯＭ１２，１３上のプログラムは、例えば不正な引数が入力されたときや、スタックが破壊されたとき等の通常では想定し得ないプログラム動作の異常を監視する機能を有する。これらの監視機能は、異常や故障を検知すると、検知レポートを作成する。冗長化判定部１８ａは、検知レポートが作成されているか否か、又は作成された検知レポートの内容に基づいて内部要因による条件が成立したか否かを判定する。

【0027】

次に、上記した構成の作用について図２から図７を参照して説明する。制御部１０は、冗長化判定処理、起動時判定処理、ソフトウェア実行処理を行う。以下、各処理について順次説明する。

【0028】

（１）冗長化処理（図３参照）
制御部１０は、冗長化処理を車両のイグニッションオン状態で繰返し実行する。制御部１０は、冗長化処理を開始すると、稼働面のソフトウェア情報と非稼働面のソフトウェア情報とを取得して比較し、稼働面と非稼働面との冗長状態が有効であるか否かを判定する（Ｓ１）。ソフトウェア情報とは、例えばソフトウェアのバージョン情報やソフトウェアのＩＤ等のソフトウェアを識別可能な情報である。

【0029】

制御部１０は、稼働面のソフトウェアと非稼働面のソフトウェアとが異なっており、稼働面と非稼働面との冗長状態が有効でないと判定すると（Ｓ１：ＮＯ）、冗長化の条件が成立しているか否かを判定する（Ｓ２）。即ち、制御部１０は、外部要因による条件として、セントラルＥＣＵ３又はリプログツール４からの冗長化指示の入力を検知したか否かを判定する。制御部１０は、内部要因による条件として、ＥＣＵ１の装置内部のエラーを検知したか否か、セキュリティ的な脅威を検知したか否か、書き換え対象の新ソフトウェアによるアップデートの飛躍レベルが一定値以上であることを検知したか否か、前回のソフトウェアの書き換えから一定時間が経過していることを検知したか否か、稼働面の異常を検知したこと等を判定する。制御部１０は、これらの条件が全て成立しておらず、冗長化の条件が成立していないと判定すると（Ｓ２：ＮＯ）、冗長化処理を終了する。

【0030】

一方、制御部１０は、これらの条件の何れかが成立しており、冗長化の条件が成立していると判定すると（Ｓ２：ＹＥＳ）、稼働面のソフトウェアを検証し、その検証結果を判定する（Ｓ３）、制御部１０は、稼働面のソフトウェアの検証結果が正常であると判定すると（Ｓ３：ＹＥＳ）、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換え、稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化し（Ｓ４）、冗長化処理を終了する。制御部１０は、稼働面のソフトウェアの検証結果が異常であると判定すると（Ｓ３：ＮＯ）、ＥＣＵ１をリセットし（Ｓ５）、冗長化処理を終了する。上記したステップＳ１：ＮＯ、Ｓ２：ＹＥＳ、Ｓ３：ＹＥＳ、Ｓ４の処理は、書き換え手順に相当する。尚、以上は、制御部１０は、上記した条件の何れかが成立している場合に冗長化の条件が成立していると判定する構成を例示したが、全ての条件が成立している場合に冗長化の条件が成立していると判定しても良いし、予め設定されている所定数の条件が成立している場合に冗長化の条件が成立していると判定しても良い。

【0031】

又、制御部１０は、稼働面のソフトウェアと非稼働面のソフトウェアとが同じであり、稼働面と非稼働面との冗長状態が有効であると判定すると（Ｓ１：ＹＥＳ）、非稼働面が正常であるか否かを判定する（Ｓ６）。制御部１０は、非稼働面が正常でないと判定すると（Ｓ６：ＮＯ）、非稼働面を書き換え中であるか否かを判定する（Ｓ７）。制御部１０は、非稼働面を書き換え中であると判定すると（Ｓ７：ＹＥＳ）、冗長化処理を終了する。

【0032】

一方、制御部１０は、非稼働面を書き換え中でないと判定すると（Ｓ７：ＮＯ）、この場合も、稼働面のソフトウェアを検証し、その検証結果を判定する（Ｓ３）、制御部１０は、稼働面のソフトウェアの検証結果が正常であると判定すると（Ｓ３：ＹＥＳ）、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換え、稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化し（Ｓ４）、冗長化処理を終了する。制御部１０は、稼働面のソフトウェアの検証結果が異常であると判定すると（Ｓ３：ＮＯ）、ＥＣＵ１をリセットし（Ｓ５）、冗長化処理を終了する。上記したステップＳ１：ＹＥＳ、Ｓ６：ＮＯ、Ｓ７：ＮＯ、Ｓ３：ＹＥＳ、Ｓ４の処理は、修復手順に相当する。

【0033】

制御部１０は、非稼働面が正常であると判定すると（Ｓ６：ＹＥＳ）、稼働面が正常であるか否かを判定する（Ｓ８）。制御部１０は、稼働面が正常であると判定すると（Ｓ８：ＹＥＳ）、冗長化処理を終了する。一方、制御部１０は、稼働面が正常でないと判定すると（Ｓ８：ＮＯ）、稼働面と非稼働面とを切り替え（Ｓ９）、冗長化処理を終了する。

【0034】

（２）起動時判定処理（図４参照）
制御部１０は、起動時判定処理を開始すると、稼働面のソフトウェアを検証し、その検証結果を判定する（Ｓ１１）、制御部１０は、稼働面のソフトウェアの検証結果が正常であると判定すると（Ｓ１１：ＹＥＳ）、稼働面と非稼働面との冗長状態が有効であるか否かを判定する（Ｓ１２）。制御部１０は、稼働面と非稼働面との冗長状態が有効でないと判定すると（Ｓ１２：ＮＯ）、稼働面のソフトウェアを実行し（Ｓ１３）、起動時判定処理を終了する。

【0035】

制御部１０は、稼働面と非稼働面との冗長状態が有効であると判定すると（Ｓ１２：ＹＥＳ）、非稼働面のソフトウェアを検証し、その検証結果を判定する（Ｓ１４）。制御部１０は、非稼働面のソフトウェアの検証結果が正常であると判定すると（Ｓ１４：ＹＥＳ）、稼働面及び非稼働面の両方が正常であることを特定し（Ｓ１５）、稼働面のソフトウェアを実行し（Ｓ１３）、起動時判定処理を終了する。制御部１０は、非稼働面のソフトウェアの検証結果が異常であると判定すると（Ｓ１４：ＮＯ）、稼働面が正常である一方で非稼働面が異常であることを特定し（Ｓ１６）、稼働面のソフトウェアを実行し（Ｓ１３）、起動時判定処理を終了する。

【0036】

一方、制御部１０は、稼働面のソフトウェアの検証結果が異常であると判定すると（Ｓ１１：ＮＯ）、非稼働面のソフトウェアを検証し、その検証結果を判定する（Ｓ１７）、制御部１０は、非稼働面のソフトウェアの検証結果が正常であると判定すると（Ｓ１７：ＹＥＳ）、稼働面と非稼働面とを切り替え（Ｓ１８）、稼働面と非稼働面との冗長状態が有効であるか否かを判定する（Ｓ１９）。この場合、稼働面と非稼働面には同じソフトウェアが記憶されているので、稼働面と非稼働面とを切り替えるのみで、直ちに正常なソフトウェアを起動することができる。

【0037】

制御部１０は、稼働面と非稼働面との冗長状態が有効であると判定すると（Ｓ１９：ＹＥＳ）、この場合も、稼働面が正常である一方で非稼働面が異常であることを特定し（Ｓ１６）、稼働面のソフトウェアを実行し（Ｓ１３）、起動時判定処理を終了する。制御部１０は、稼働面と非稼働面との冗長状態が有効でないと判定すると（Ｓ１９：ＮＯ）、稼働面のソフトウェアを実行し（Ｓ１３）、起動時判定処理を終了する。制御部１０は、非稼働面のソフトウェアの検証結果が異常であると判定すると（Ｓ１７：ＮＯ）、ソフトウェアの実行を中止し（Ｓ２０）、起動時判定処理を終了する。

【0038】

（３）ソフトウェア実行処理（図５参照）
制御部１０は、ソフトウェア実行処理を開始すると、稼働面と非稼働面との冗長状態が有効であるか否かを判定する（Ｓ２１）。制御部１０は、稼働面と非稼働面との冗長状態が有効であると判定すると（Ｓ２１：ＹＥＳ）、非稼働面が正常であるか否かを判定する（Ｓ２２）。制御部１０は、非稼働面が正常であると判定すると（Ｓ２２：ＹＥＳ）、ソフトウェアを実行し（Ｓ２３）、ソフトウェア実行処理を終了する。この場合、制御部１０は、稼働面と非稼働面との冗長状態が有効であり、且つ非稼働面が正常である状態でソフトウェアを実行することで、稼働面のソフトウェアの実行結果と非稼働面のソフトウェアの実行結果とが一致することを確認する。即ち、制御部１０は、稼働面のソフトウェアを実行すると共に、非稼働面の対応するソフトウェアを実行し、それらの実行結果を比較し、実行結果が一致するか否かを判定し、実行結果の一致を確認すると、稼働面のソフトウェアを実行する。これにより、プログラムの実行方法をより安全な実行方法にてプログラムを実行することができる。即ち、ソフトウェア実行処理は機能安全の仕様を実装した処理となる。

【0039】

一方、制御部１０は、稼働面と非稼働面との冗長状態が有効でないと判定すると（Ｓ２１：ＮＯ）、又は稼働面と非稼働面との冗長状態が有効であると判定したが（Ｓ２１：ＹＥＳ）、非稼働面が正常でないと判定すると（Ｓ２２：ＮＯ）、稼働面のソフトウェアを実行し（Ｓ２４）、ソフトウェア実行処理を終了する。この場合、制御部１０は、稼働面と非稼働面との冗長状態が有効でない状態、又は稼働面と非稼働面との冗長状態が有効であるが、非稼働面が正常でない状態でソフトウェアを実行することで、上記した実行結果の一致を確認した場合とは異なり、稼働面のソフトウェアの実行結果と非稼働面のソフトウェアの実行結果とが一致することを確認していない状態で稼働面のソフトウェアを実行する。

【0040】

稼働面のソフトウェアと非稼働面のソフトウェアとの冗長化の処理について図６から図７を参照して説明する。図６から図７では、第１フラッシュＲＯＭ１２をＡ面と称し、第２フラッシュＲＯＭ１３をＢ面と称して説明する。図６から図７では、Ａ面に「Ｖｅｒ２．１」のソフトウェアが配置されていると共にＢ面に「Ｖｅｒ２．０」のソフトウェアが配置されている状態から、Ｂ面のソフトウェアを「Ｖｅｒ２．０」から「Ｖｅｒ３．０」へ書き換えた後に、Ａ面のソフトウェアを「Ｖｅｒ２．１」から「Ｖｅｒ３．０」へ書き換えることで、Ａ面とＢ面とを冗長化する場合を例示している。図６は、Ａ面とＢ面とを冗長化した後にＡ面に故障が混入した場合を示している。図７は、Ａ面とＢ面とを冗長化した後にＢ面に故障が混入した場合を示している。以下、各場合について順次説明する。尚、図６から図７では、無線リプロを例示しているが、有線リプロも同様である。

【0041】

（１）Ａ面とＢ面とを冗長化した後にＡ面に故障が混入した場合
制御部１０は、稼働面をＡ面に設定すると共に非稼働面をＢ面に設定している状態でＢ面のソフトウェアの「Ｖｅｒ２．０」から「Ｖｅｒ３．０」への書き換え要求を検知すると、Ｂ面のソフトウェアの「Ｖｅｒ２．０」から「Ｖｅｒ３．０」への書き換えを開始する（ｔ１）。制御部１０は、書き換えを終了し（ｔ２）、面切り替えの条件が成立したと判定すると、稼働面をＡ面からＢ面へ切り替える。

【0042】

制御部１０は、この状態から冗長化の条件が成立したと判定すると、Ａ面のソフトウェアの「Ｖｅｒ２．１」から「Ｖｅｒ３．０」への書き換えを開始する（ｔ３）。書き換えを終了すると（ｔ４）、Ａ面とＢ面との両面に「Ｖｅｒ３．０」のソフトウェアが配置されている状態となり、稼働面と非稼働面との冗長状態が有効となる。このとき、制御部１０は、稼働面をＢ面からＡ面へ切り替えても良いし、稼働面をＢ面からＡ面へ切り替えずにＢ面で継続しても良い。図６及び図７では、稼働面がＡ面及びＢ面の何れでも良い状態をＡｎｙと表記している。図６では、稼働面をＢ面からＡ面へ切り替え、Ａ面を稼働面とする場合を例示している。Ａ面及びＢ面の何れを稼働面としても良い状態でＡ面を稼働面としている状態をＡｎｙ（Ａ）と表記している。稼働面をＢ面からＡ面に切り替えずにＢ面で継続する場合は、Ａｎｙ（Ｂ）となる。

【0043】

制御部１０は、Ａ面とＢ面とを冗長化した後にＡ面の故障を特定すると、Ａ面の修復を開始する（ｔ５）。この場合、制御部１０は、稼働面をＢ面からＡ面へ切り替えていれば、稼働面をＡ面からＢ面へ切り替え、稼働面をＢ面で継続していれば、稼働面をＢ面で継続する。Ａ面の修復を終了すると（ｔ６）、この場合も、Ａ面とＢ面との両面に「Ｖｅｒ３．０」のソフトウェアが配置されている状態となり、稼働面と非稼働面との冗長状態が再度有効となる。このときも、制御部１０は、稼働面をＢ面からＡ面へ切り替えても良いし、稼働面をＢ面からＡ面へ切り替えずにＢ面で継続しても良い。

【0044】

尚、サーバ６から配信された書き換え指示において、書き換え対象の面が指定されても良いし、制御部１０がＡ面のソフトウェアとＢ面のソフトウェアのバージョンを取得して比較し、古い方のバージョンが書き込まれている面を選択しても良い。冗長状態が有効になっている場合は、Ａ面とＢ面には同一バージョンのソフトウェアが書き込まれているので、非稼働面を新しいバージョンのソフトウェアにより書き換える。或いは、メモリ寿命に関する情報を取得し、Ａ面とＢ面のうち残りの寿命が長い方を選択しても良い。

【0045】

制御部１０は、Ｂ面のソフトウェアの「Ｖｅｒ３．０」から「Ｖｅｒ３．１」への書き換え要求を検知すると、稼働面をＢ面からＡ面へ切り替えていれば、稼働面をＡ面で継続し、稼働面をＢ面で継続していれば、稼働面をＢ面からＡ面へ切り替え、Ｂ面のソフトウェアの「Ｖｅｒ３．０」から「Ｖｅｒ３．１」への書き換えを開始する（ｔ７）。制御部１０は、書き換えを終了し（ｔ８）、面切り替えの条件が成立したと判定すると、稼働面をＡ面からＢ面へ切り替える。

【0046】

（２）Ａ面とＢ面とを冗長化した後に冗長化した後にＢ面に故障が混入した場合
制御部１０は、ｔ１からｔ４までは同様の処理を行う。制御部１０は、Ａ面とＢ面とを冗長化した後にＢ面の故障を特定すると（ｔ１１）、Ｂ面の修復を開始し、稼働面をＢ面からＡ面へ切り替えていれば、稼働面をＡ面で継続し、稼働面をＢ面からＡ面へ切り替えずにＢ面で継続していれば、稼働面をＢ面からＡ面へ切り替える。Ｂ面の修復を終了すると（ｔ１２）、この場合も、Ａ面とＢ面との両面に「Ｖｅｒ３．０」のソフトウェアが配置されている状態となり、稼働面と非稼働面との冗長状態が再度有効となる。このときも、制御部１０は、稼働面をＡ面からＢ面へ切り替えても良いし、稼働面をＡ面からＢ面へ切り替えずにＡ面で継続しても良い。

【0047】

制御部１０は、Ｂ面のソフトウェアの「Ｖｅｒ３．０」から「Ｖｅｒ３．１」への書き換え要求を検知すると、稼働面をＢ面からＡ面へ切り替えていれば、稼働面をＡ面で継続し、稼働面をＢ面で継続していれば、稼働面をＢ面からＡ面へ切り替え、Ｂ面のソフトウェアの「Ｖｅｒ３．０」から「Ｖｅｒ３．１」への書き換えを開始する（ｔ１３）。制御部１０は、書き換えを終了し（ｔ１４）、面切り替えの条件が成立したと判定すると、稼働面をＡ面からＢ面へ切り替える。

【0048】

以上に説明したように本実施形態によれば、以下に示す作用効果を得ることができる。電子制御装置１において、非稼働面のソフトウェアの書き換えを終了して稼働面と非稼働面とを切り替えた後に、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換えるようにした。第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３を稼働面と非稼働面とに切り替えることで、限定的な用途のソフトウェアの記憶領域を用意する従来とは異なり、リソースを有効に活用することができる。又、非稼働面のソフトウェアの書き換えを終了して稼働面と非稼働面とを切り替えた後に、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換えることで、メイン系処理装置のソフトウェアの書き換え時のみにバックアップする従来とは異なり、稼働面のソフトウェアと非稼働面のソフトウェアとをシームレスに冗長化することができ、システムの安全性をシームレスに適切に担保することができる。これにより、リソースを有効に活用しつつ、システムの安全性をシームレスに適切に担保することができる。

【0049】

外部要因の成立を条件とし、セントラルＥＣＵ３又はリプログツール４からの冗長化指示の入力を検知すると、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換えるようにした。非稼働面のソフトウェアの書き換えを終了して稼働面と非稼働面とを切り替えた後に、外部要因の成立を条件として冗長化することができる。

【0050】

内部要因の成立を条件とし、ＥＣＵ１の装置内部のエラーを検知すると、セキュリティ的な脅威を検知すると、書き換え対象の新ソフトウェアによるアップデートの飛躍レベルが一定値以上であると、前回のソフトウェアの書き換えから一定時間が経過していると、又は稼働面の異常を検知すると、非稼働面のソフトウェアを稼働面のソフトウェアと同じソフトウェアに書き換えるようにした。非稼働面のソフトウェアの書き換えを終了して稼働面と非稼働面とを切り替えた後に、内部要因の成立を条件として冗長化することができる。

【0051】

稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化してから稼働面又は非稼働面のソフトウェアの異常を特定すると、その故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復するようにした。稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化してから稼働面又は非稼働面のソフトウェアの異常が発生しても、故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復することで、稼働面のソフトウェアと非稼働面のソフトウェアとをシームレスに冗長化することができ、システムの安全性をシームレスに適切に担保することができる。

【0052】

外部要因の成立を条件とし、セントラルＥＣＵ３又はリプログツール４からの冗長化指示の入力を検知すると、故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復するようにした。稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化してから稼働面又は非稼働面のソフトウェアの異常が発生しても、外部要因の成立を条件として冗長化することができる。

【0053】

内部要因の成立を条件とし、装置内部のエラーを検知すると、セキュリティ的な脅威を検知すると、又は稼働面又は非稼働面の異常を検知すると、故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復するようにした。稼働面のソフトウェアと非稼働面のソフトウェアとを冗長化してから稼働面又は非稼働面のソフトウェアの異常が発生しても、内部要因の成立を条件として冗長化することができる。

【0054】

稼働面と非稼働面との冗長状態が有効であると判定し、非稼働面が正常であると判定すると、稼働面のソフトウェアを実行するようにした。稼働面と非稼働面との冗長状態が有効な状態で稼働面のソフトウェアを実行することで、機能安全を担保した上でソフトウェアを適切に実行することができる。

【0055】

本実施形態では、第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３がそれぞれ独立したアドレス空間が割り当てられた記憶領域である構成を例示したが、第１記憶部と第２記憶部に同じソフトウェアが書き込まれた状態になれば良く、例えば第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３に同一アドレスを割り当て、切り替えフラグを用いることで第１フラッシュＲＯＭ１２又は第２フラッシュＲＯＭ１３のアドレスにアクセスする構成でも良い。

【0056】

第１フラッシュＲＯＭ１２をＡ面と称し、第２フラッシュＲＯＭ１３をＢ面と称したが、第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３はページやセグメントと称される小さな単位でもよい。この場合、ＥＣＵ１は、複数の第１フラッシュＲＯＭ１２と、複数の第１フラッシュＲＯＭ１２の各々に対応する複数の第２フラッシュＲＯＭ１３とを備える。又、第１フラッシュＲＯＭ１２及び第２フラッシュＲＯＭ１３は、仮想記憶として構成されていても良い。

【0057】

本開示は、特許請求の範囲の記載に加え、以下の発明も含む。
［１］
ソフトウェアを配置可能な第１記憶部（１２）と、
ソフトウェアを配置可能な第２記憶部（１３）と、
前記第１記憶部と前記第２記憶部とのうち一方を稼働領域に設定すると共に他方を非稼働領域に設定する制御部（１０）と、を備え、
前記制御部は、所定条件を満たす場合に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える電子制御装置。

【0058】

［２］
前記制御部は、所定条件を満たす場合として、非稼働領域のソフトウェアの書き換えを終了して稼働領域と非稼働領域とを切り替えた後に、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える［１］に記載した電子制御装置。

【0059】

［３］
前記制御部は、外部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える［２］に記載した電子制御装置。

【0060】

［４］
前記制御部は、自装置とネットワークを介して接続されている接続装置からの冗長化指示の入力を検知した場合に、外部要因の成立を特定する［３］に記載した電子制御装置。

【0061】

［５］
前記制御部は、内部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに書き換える［１］から［４］の何れか一項に記載した電子制御装置。

【0062】

［６］
前記制御部は、装置内部のエラーを検知した場合、セキュリティ的な脅威を検知した場合、書き換え対象の新ソフトウェアによるアップデートの飛躍レベルが一定値以上であることを検知した場合、前回のソフトウェアの書き換えから一定時間が経過していることを検知した場合、稼働領域の異常を検知した場合のうち少なくとも何れか一つにより、内部要因の成立を特定する［５］に記載した電子制御装置。

【0063】

［７］
前記制御部は、稼働領域のソフトウェアと非稼働領域のソフトウェアとを冗長化してから稼働領域又は非稼働領域の故障を特定した場合に、その故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復する［１］から［６］の何れか一項に記載した電子制御装置。

【0064】

［８］
前記制御部は、外部要因の成立を条件として、故障を特定した一方の面のソフトウェアを他方の面のソフトウェアと同じソフトウェアに修復する［７］に記載した電子制御装置。

【0065】

［９］
前記制御部は、自装置とネットワークを介して接続されている接続装置から修復指示の入力を検知した場合に、外部要因の成立を特定する［８］に記載した電子制御装置。

【0066】

［１０］
前記制御部は、内部要因の成立を条件として、非稼働領域のソフトウェアを稼働領域のソフトウェアと同じソフトウェアに修復する［７］から［９］の何れか一項に記載した電子制御装置。

【0067】

［１１］
前記制御部は、装置内部のエラーを検知した場合、セキュリティ的な脅威を検知した場合、稼働領域又は非稼働領域の異常を検知した場合のうち少なくとも何れか一つにより、内部要因の成立を特定する［１０］に記載した電子制御装置。

【0068】

［１２］
前記制御部は、稼働領域と非稼働領域との冗長状態が有効であると判定し、非稼働領域が正常であると判定した場合に、稼働領域のソフトウェアを機能安全的に実行する［１］から［１１］の何れか一項に記載した電子制御装置。

【0069】

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

【0070】

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

【符号の説明】

【0071】

図面中、１は電子制御装置、１０は制御部、１２は第１フラッシュＲＯＭ（第１記憶部）、１３は第２フラッシュＲＯＭ（第２記憶部）である。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】