知財求人 - 知財ポータルサイト「IP Force」
▶ 株式会社オートネットワーク技術研究所の特許一覧 ▶ 住友電装株式会社の特許一覧 ▶ 住友電気工業株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024154953
(43)【公開日】2024-10-31
(54)【発明の名称】車載装置、更新方法、及び更新プログラム
(51)【国際特許分類】
G06F 21/57 20130101AFI20241024BHJP
B60R 16/02 20060101ALI20241024BHJP
【ＦＩ】
G06F21/57 320
B60R16/02 660U
【審査請求】未請求
【請求項の数】15
【出願形態】ＯＬ
(21)【出願番号】P 2023069206
(22)【出願日】2023-04-20
(71)【出願人】
【識別番号】395011665
【氏名又は名称】株式会社オートネットワーク技術研究所
(71)【出願人】
【識別番号】000183406
【氏名又は名称】住友電装株式会社
(71)【出願人】
【識別番号】000002130
【氏名又は名称】住友電気工業株式会社
(74)【代理人】
【識別番号】110000280
【氏名又は名称】弁理士法人サンクレスト国際特許事務所
(72)【発明者】
【氏名】小林 拓也
(57)【要約】
【課題】車載装置の部品点数を抑制しつつ、セキュリティを確保する。
【解決手段】
車載装置は、第１論理領域及び第２論理領域を含む記憶部と、前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、前記第２ソフトウェアを更新する更新部と、前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、を備え、前記領域間通信部は、前記第１ソフトウェアによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、前記更新データを前記更新部へ引き渡し、前記更新部は、前記更新データに基づいて、前記第２ソフトウェアを更新する。
【選択図】図４
【解決手段】
車載装置は、第１論理領域及び第２論理領域を含む記憶部と、前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、前記第２ソフトウェアを更新する更新部と、前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、を備え、前記領域間通信部は、前記第１ソフトウェアによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、前記更新データを前記更新部へ引き渡し、前記更新部は、前記更新データに基づいて、前記第２ソフトウェアを更新する。
【選択図】図４
【特許請求の範囲】
【請求項1】
車載ネットワークに接続された車載装置であって、
互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部と、
前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、
前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、
前記第２ソフトウェアを更新する更新部と、
前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、
を備え、
前記領域間通信部は、前記第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、受け取った前記更新データを前記更新部へ引き渡し、
前記更新部は、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新する、
車載装置。
互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部と、
前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、
前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、
前記第２ソフトウェアを更新する更新部と、
前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、
を備え、
前記領域間通信部は、前記第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、受け取った前記更新データを前記更新部へ引き渡し、
前記更新部は、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新する、
車載装置。
【請求項2】
前記更新部は、前記第２論理領域に記憶された更新ソフトウェアを前記プロセッサが実行することによって実現される、
請求項１に記載の車載装置。
請求項１に記載の車載装置。
【請求項3】
前記更新部は、前記第１ソフトウェアを更新することが可能である、
請求項２に記載の車載装置。
請求項２に記載の車載装置。
【請求項4】
前記更新部は、前記第１ソフトウェアを更新する第１更新部と、前記第２ソフトウェアを更新する第２更新部とを含み、
前記第１更新部は、前記第１論理領域に記憶された第１更新ソフトウェアを前記プロセッサが実行することによって実現され、
前記第２更新部は、前記第２論理領域に記憶された第２更新ソフトウェアを前記プロセッサが実行することによって実現される、
請求項１に記載の車載装置。
前記第１更新部は、前記第１論理領域に記憶された第１更新ソフトウェアを前記プロセッサが実行することによって実現され、
前記第２更新部は、前記第２論理領域に記憶された第２更新ソフトウェアを前記プロセッサが実行することによって実現される、
請求項１に記載の車載装置。
【請求項5】
前記第１更新部は、前記車載ネットワークから前記データ通信部が受信した第１更新データを前記データ通信部から受け取り、受け取った前記第１更新データに基づいて、前記第１ソフトウェアを更新する、
請求項４に記載の車載装置。
請求項４に記載の車載装置。
【請求項6】
前記記憶部は、物理的に分離された第１記憶部と第２記憶部とを含み、
前記領域間通信部は、前記第１記憶部に記憶された第１管理ソフトウェアを前記プロセッサが実行することによって実現される第１領域間通信部と、前記第２記憶部に記憶された第２管理ソフトウェアを前記プロセッサが実行することによって実現される第２領域間通信部とを含み、
前記第１領域間通信部は、前記第２領域間通信部が停止している間に動作し、
前記第２領域間通信部は、前記第１領域間通信部が停止している間に動作する、
請求項１に記載の車載装置。
前記領域間通信部は、前記第１記憶部に記憶された第１管理ソフトウェアを前記プロセッサが実行することによって実現される第１領域間通信部と、前記第２記憶部に記憶された第２管理ソフトウェアを前記プロセッサが実行することによって実現される第２領域間通信部とを含み、
前記第１領域間通信部は、前記第２領域間通信部が停止している間に動作し、
前記第２領域間通信部は、前記第１領域間通信部が停止している間に動作する、
請求項１に記載の車載装置。
【請求項7】
前記第１領域間通信部は、前記第２管理ソフトウェアが更新さている間に動作し、
前記第２領域間通信部は、前記第１管理ソフトウェアが更新さている間に動作する、
請求項６に記載の車載装置。
前記第２領域間通信部は、前記第１管理ソフトウェアが更新さている間に動作する、
請求項６に記載の車載装置。
【請求項8】
前記記憶部は、前記第１論理領域及び前記第２論理領域のそれぞれから論理的に分離され、前記第１論理領域及び前記第２論理領域のそれぞれに対するデータの授受が制限された第３論理領域を含み、
前記第１管理ソフトウェア及び前記第２管理ソフトウェアは、前記第３論理領域に記憶されている、
請求項６に記載の車載装置。
前記第１管理ソフトウェア及び前記第２管理ソフトウェアは、前記第３論理領域に記憶されている、
請求項６に記載の車載装置。
【請求項9】
前記第１論理領域は、前記第１記憶部の第１部分領域と、前記第２記憶部の第１部分領域とを含み、
前記第２論理領域は、前記第１記憶部の第２部分領域と、前記第２記憶部の第２部分領域とを含み、
前記第１記憶部の前記第１部分領域と、前記第２記憶部の前記第１部分領域とのそれぞれには、２つの前記第１ソフトウェアが記憶されており、
前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止し、
前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止する、
請求項６に記載の車載装置。
前記第２論理領域は、前記第１記憶部の第２部分領域と、前記第２記憶部の第２部分領域とを含み、
前記第１記憶部の前記第１部分領域と、前記第２記憶部の前記第１部分領域とのそれぞれには、２つの前記第１ソフトウェアが記憶されており、
前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止し、
前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止する、
請求項６に記載の車載装置。
【請求項10】
前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが更新されている間、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行され、
前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが更新されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行される、
請求項９に記載の車載装置。
前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが更新されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行される、
請求項９に記載の車載装置。
【請求項11】
前記第１記憶部の前記第２部分領域と、前記第２記憶部の前記第２部分領域とのそれぞれには、２つの前記第２ソフトウェアが記憶されており、
前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止し、
前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止する、
請求項９に記載の車載装置。
前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止し、
前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止する、
請求項９に記載の車載装置。
【請求項12】
前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが更新されている間、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行され、
前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが更新されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行される、
請求項１１に記載の車載装置。
前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが更新されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行される、
請求項１１に記載の車載装置。
【請求項13】
前記データ通信部は、外部からの攻撃を防御する第１防御機能を有し、
前記第２ソフトウェアをプロセッサが実行することによって実現されるデータ授受部は、外部からの攻撃を防御する第２防御機能を有する、
請求項１から請求項１２のいずれか１項に記載の車載装置。
前記第２ソフトウェアをプロセッサが実行することによって実現されるデータ授受部は、外部からの攻撃を防御する第２防御機能を有する、
請求項１から請求項１２のいずれか１項に記載の車載装置。
【請求項14】
車載ネットワークに接続された車載装置においてソフトウェアを更新するための更新方法であって、
記憶部に設けられた第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部が受け取るステップと、
記憶部に設けられ、前記第１論理領域と論理的に分離された第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新する更新部へ、前記領域間通信部が前記更新データを引き渡すステップと、
前記更新部が、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新するステップと、
を含む、
更新方法。
記憶部に設けられた第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部が受け取るステップと、
記憶部に設けられ、前記第１論理領域と論理的に分離された第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新する更新部へ、前記領域間通信部が前記更新データを引き渡すステップと、
前記更新部が、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新するステップと、
を含む、
更新方法。
【請求項15】
車載ネットワークに接続された車載装置においてソフトウェアを更新するための更新プログラムであって、
互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部を含むコンピュータに、
前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部を介して受け取るステップと、
前記領域間通信部から受け取った前記更新データに基づいて、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新するステップと、
実行させるための
更新プログラム。
互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部を含むコンピュータに、
前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部を介して受け取るステップと、
前記領域間通信部から受け取った前記更新データに基づいて、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新するステップと、
実行させるための
更新プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、車載装置、更新方法、及び更新プログラムに関する。
【背景技術】
【0002】
車両には、エンジン、トランスミッション等を制御する制御系ＥＣＵ（Electronic Control Unit）、ヘッドライト、パワーウインドウ等を制御するボディ系ＥＣＵ、ナビゲーション装置、マルチメディア機器等の情報系ＥＣＵ等、多種の車載装置が搭載される。
【0003】
特許文献１には、第１ＣＰＵ（Central Processing Unit）及び第２ＣＰＵを備える車載中継装置が開示されている。第１ＣＰＵは、車両の内部の車載ネットワーク２から切り離されており、車両の外部との通信は、第１ＣＰＵにより行われる。第２ＣＰＵは、車両の外部から切り離して設けられ、車載ネットワークに通信可能に接続されている。特許文献１に開示された車載中継装置は、物理的に分離された第１ＣＰＵ及び第２ＣＰＵによって、車両の外部からの車載ネットワークへの攻撃を多層的に防御することで、セキュリティを向上させている。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０２２－１７３９２３号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、特許文献１に開示された車載中継装置では、２つのＣＰＵを必要とするため、部品点数が多く、製品コストが嵩むという問題がある。
【課題を解決するための手段】
【0006】
本開示の一態様に係る車載装置は、車載ネットワークに接続された車載装置であって、互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部と、前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、前記第２ソフトウェアを更新する更新部と、前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、を備え、前記領域間通信部は、前記第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、受け取った前記更新データを前記更新部へ引き渡し、前記更新部は、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新する。
【発明の効果】
【0007】
本開示によれば、車載装置の部品点数を抑制しつつ、セキュリティを確保することができる。
【図面の簡単な説明】
【0008】
【発明を実施するための形態】
【0009】
＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。
以下、本開示の実施形態の概要を列記して説明する。
【0010】
（１） 本実施形態に係る車載装置は、車載ネットワークに接続された車載装置であって、互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部と、前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアと、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアと、前記第２ソフトウェアを更新する更新部と、前記第１論理領域との間でのデータの授受が可能であり、且つ、前記第２論理領域との間でのデータの授受が可能である領域間通信部と、を備え、前記領域間通信部は、前記第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部が前記車載ネットワークから受信した更新データを、前記データ通信部から受け取り、受け取った前記更新データを前記更新部へ引き渡し、前記更新部は、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新する。これにより、車載装置のハードウェアを冗長な構成とすることなく、第１ソフトウェア及び第２ソフトウェアを車載装置に搭載することができ、車載装置の部品点数を抑制することができる。さらに、第１ソフトウェア及び第２ソフトウェアを論理的に分離した第１論理領域及び第２論理領域のそれぞれに配置し、領域間通信部によってのみ第１ソフトウェアと第２ソフトウェアとの間のデータの授受を可能とすることにより、セキュリティを確保することができる。
【0011】
（２） 上記（１）において、前記更新部は、前記第２論理領域に記憶された更新ソフトウェアを前記プロセッサが実行することによって実現されてもよい。これにより、車載ネットワークからの直接的なデータの授受が制限された第２論理領域に更新ソフトウェアを配置することで、さらに高いセキュリティを確保することができる。
【0012】
（３） 上記（２）において、前記更新部は、前記第１ソフトウェアを更新することが可能であってもよい。これにより、第１ソフトウェアの更新においても、領域間通信部を介してデータを授受するため、高いセキュリティを確保することができる。
【0013】
（４） 上記（１）において、前記更新部は、前記第１ソフトウェアを更新する第１更新部と、前記第２ソフトウェアを更新する第２更新部とを含み、前記第１更新部は、前記第１論理領域に記憶された第１更新ソフトウェアを前記プロセッサが実行することによって実現され、前記第２更新部は、前記第２論理領域に記憶された第２更新ソフトウェアを前記プロセッサが実行することによって実現されてもよい。これにより、第１ソフトウェアの更新においては、領域間通信部を介してデータを授受する必要がなく、処理負荷を軽減することができる。第２ソフトウェアの更新においては、領域間通信部を介して更新データを授受するため、高いセキュリティを確保することができる。
【0014】
（５） 上記（４）において、前記第１更新部は、前記車載ネットワークから前記データ通信部が受信した第１更新データを前記データ通信部から受け取り、受け取った前記第１更新データに基づいて、前記第１ソフトウェアを更新してもよい。これにより、第１更新部が車載ネットワークから第１更新データを直接受信することがなく、セキュリティを高めることができる。
【0015】
（６） 上記（１）から（５）のいずれか１つにおいて、前記記憶部は、物理的に分離された第１記憶部と第２記憶部とを含み、前記領域間通信部は、前記第１記憶部に記憶された第１管理ソフトウェアを前記プロセッサが実行することによって実現される第１領域間通信部と、前記第２記憶部に記憶された第２管理ソフトウェアを前記プロセッサが実行することによって実現される第２領域間通信部とを含み、前記第１領域間通信部は、前記第２領域間通信部が停止している間に動作し、前記第２領域間通信部は、前記第１領域間通信部が停止している間に動作してもよい。これにより、第１領域間通信部の動作と第２領域間通信部の動作とを切り替えることで、領域間通信部の動作が停止する期間を短くする、又はなくすことができる。
【0016】
（７） 上記（６）つにおいて、前記第１領域間通信部は、前記第２管理ソフトウェアが更新さている間に動作し、前記第２領域間通信部は、前記第１管理ソフトウェアが更新さている間に動作してもよい。これにより、第１管理ソフトウェア又は第２管理ソフトウェアが更新している間において、領域間通信部の動作を停止する期間を短くする、又はなくすことができる。
【0017】
（８） 上記（６）又は（７）において、前記記憶部は、前記第１論理領域及び前記第２論理領域のそれぞれから論理的に分離され、前記第１論理領域及び前記第２論理領域のそれぞれに対するデータの授受が制限された第３論理領域を含み、前記第１管理ソフトウェア及び前記第２管理ソフトウェアは、前記第３論理領域に記憶されていてもよい。これにより、第１管理ソフトウェア及び第２管理ソフトウェアが、第１ソフトウェア及び第２ソフトウェアと論理的に分離されるため、さらにセキュリティを高めることができる。
【0018】
（９） 上記（６）から（８）のいずれか１つにおいて、前記第１論理領域は、前記第１記憶部の第１部分領域と、前記第２記憶部の第１部分領域とを含み、前記第２論理領域は、前記第１記憶部の第２部分領域と、前記第２記憶部の第２部分領域とを含み、前記第１記憶部の前記第１部分領域と、前記第２記憶部の前記第１部分領域とのそれぞれには、２つの前記第１ソフトウェアが記憶されており、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止し、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが停止してもよい。これにより、第１ソフトウェアを停止する期間を短くする、又はなくすことができる。
【0019】
（１０） 上記（９）において、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが更新されている間、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行され、前記第２記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが更新されている間、前記第１記憶部の前記第１部分領域に記憶された前記第１ソフトウェアが実行されてもよい。これにより、第１ソフトウェアが更新されている間において、第１ソフトウェアを停止する期間を短くする、又はなくすことができる。
【0020】
（１１） 上記（９）において、前記第１記憶部の前記第２部分領域と、前記第２記憶部の前記第２部分領域とのそれぞれには、２つの前記第２ソフトウェアが記憶されており、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止し、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが停止してもよい。これにより、第２ソフトウェアを停止する期間を短くする、又はなくすことができる。
【0021】
（１２） 上記（１１）において、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが更新されている間、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行され、前記第２記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが更新されている間、前記第１記憶部の前記第２部分領域に記憶された前記第２ソフトウェアが実行されてもよい。これにより、第２ソフトウェアが更新されている間において、第２ソフトウェアを停止する期間を短くする、又はなくすことができる。
【0022】
（１３） 上記（１）から（１２）のいずれか１つにおいて、前記データ通信部は、外部からの攻撃を防御する第１防御機能を有し、前記第２ソフトウェアをプロセッサが実行することによって実現されるデータ授受部は、外部からの攻撃を防御する第２防御機能を有してもよい。これにより、第１防御機能及び第２防御機能によって高いセキュリティを確保することができる。特に、第２ソフトウェアにおいては、車載ネットワークからのデータの受け取りにおいて第１防御機能及び第２防御機能の２段階の防御機能が働くため、さらに高いセキュリティを確保することができる。
【0023】
（１４） 本実施形態に係る更新方法は、車載ネットワークに接続された車載装置においてソフトウェアを更新するための更新方法であって、記憶部に設けられた第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部が受け取るステップと、記憶部に設けられ、前記第１論理領域と論理的に分離された第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新する更新部へ、前記領域間通信部が前記更新データを引き渡すステップと、前記更新部が、前記領域間通信部から引き渡された前記更新データに基づいて、前記第２ソフトウェアを更新するステップと、を含む。これにより、車載装置のハードウェアを冗長な構成とすることなく、第１ソフトウェア及び第２ソフトウェアを車載装置に搭載することができ、車載装置の部品点数を抑制することができる。さらに、第１ソフトウェア及び第２ソフトウェアを論理的に分離した第１論理領域及び第２論理領域のそれぞれに配置し、領域間通信部によってのみ第１ソフトウェアと第２ソフトウェアとの間のデータの授受を可能とすることにより、セキュリティを確保することができる。
【0024】
（１５） 本実施形態に係る更新プログラムは、車載ネットワークに接続された車載装置においてソフトウェアを更新するための更新プログラムであって、互いに論理的に分離され、データの授受が制限された第１論理領域及び第２論理領域を含む記憶部を含むコンピュータに、前記第１論理領域に記憶され、前記車載ネットワークに対してデータの送受信が可能な第１ソフトウェアをプロセッサが実行することによって実現されるデータ通信部によって前記車載ネットワークから受信された更新データを、前記第１論理領域との間でのデータの授受が可能な領域間通信部を介して受け取るステップと、前記領域間通信部から受け取った前記更新データに基づいて、前記第２論理領域に記憶され、前記車載ネットワークに対してデータの送受信が制限された第２ソフトウェアを更新するステップと、実行させる。これにより、車載装置のハードウェアを冗長な構成とすることなく、第１ソフトウェア及び第２ソフトウェアを車載装置に搭載することができ、車載装置の部品点数を抑制することができる。さらに、第１ソフトウェア及び第２ソフトウェアを論理的に分離した第１論理領域及び第２論理領域のそれぞれに配置し、領域間通信部によってのみ第１ソフトウェアと第２ソフトウェアとの間のデータの授受を可能とすることにより、セキュリティを確保することができる。
【0025】
本開示は、上記のような特徴的な構成を備える車載装置、車載装置における特徴的な処理をステップとする更新方法、及び車載装置に特徴的な処理を実行させるための更新プログラムとして実現することができるだけでなく、車載装置を含む車載システムとして実現したり、車載装置の一部又は全部を半導体集積回路として実現したりすることができる。
【0026】
＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
【0027】
［１．第１実施形態］
［１－１．車載ネットワーク］
図１は、第１実施形態に係る車載ネットワークの構成の一例を示すブロック図である。車載ネットワーク１００は、複数のＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…と、外部通信装置３００とを含む。
［１－１．車載ネットワーク］
図１は、第１実施形態に係る車載ネットワークの構成の一例を示すブロック図である。車載ネットワーク１００は、複数のＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…と、外部通信装置３００とを含む。
【0028】
車載ネットワーク１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…と、外部通信装置３００と、それらを繋ぐ通信線（通信バス）とによって構成される。
【0029】
複数のＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…は、車両の各部に配置される。ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…は、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態を監視したりする。例えば、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…は、制御系、ボディ系、情報系のＥＣＵである。なお、以下の説明では、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…を総称して「ＥＣＵ２００」ともいう。
【0030】
ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…のそれぞれはＣＡＮ（Controller Area Network）バスのような通信バス５００を介して接続されている。ＥＣＵ２００は、フレームを送信することができる。フレームは、上述した通信プロトコルに準拠したメッセージである。
【0031】
図示していないが、車両には複数のＥＣＵ２００間のフレームを中継する中継ＥＣＵが含まれていてもよい。例えば、中継ＥＣＵは、複数の通信バスに接続されており、通信バス間でフレームを中継することができる。
【0032】
ＥＣＵ２００は、周期的又は非周期的にメッセージを送受信するための通信プロトコルを使用する。通信プロトコルは、例えば、ＣＡＮ又はＣＡＮ ＦＤ（CAN with Flexible Data Rate）である。他の例では、通信プロトコルは、イーサネット（登録商標）である。
【0033】
図１には、ＥＣＵ２００及び外部通信装置３００がＣＡＮプロトコルを使用する場合の車載ネットワーク１００を示している。すなわち、図１に示される車載ネットワーク１００は、バス型のネットワークトポロジを有する。ＥＣＵ２００及び外部通信装置３００がイーサネットプロトコルを使用する場合には、車載ネットワーク１００のネットワークトポロジはスター型となる。
【0034】
外部通信装置３００は、通信バス５００に接続されている。外部通信装置３００は通信バス５００を介してＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，…との間でフレームを送受信することができる。外部通信装置３００は、例えばＴＣＵ（Telematics Control Unit）であり、車外の装置と通信することができる。外部通信装置３００は、例えば第５世代移動通信システム（５Ｇ）、又は第４世代移動通信システム（４Ｇ）等の移動通信システム用の無線通信インタフェースを備える。外部通信装置３００は、例えば、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のパケットを送受信することができる。外部通信装置３００は、移動通信ネットワークの基地局（図示せず）に接続し、インターネットに接続された装置と、基地局を介して通信することができる。具体的には、外部通信装置３００は、サーバ４００と通信することができる。外部通信装置３００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃとサーバ４００との間の通信を中継する。
【0035】
サーバ４００は、ＥＣＵ２００用のソフトウェアの更新に用いられる更新データをＥＣＵ２００を格納する。サーバ４００は、ＥＣＵ２００からの要求に応じて、更新データをＥＣＵ２００が搭載された車両（すなわち、外部通信装置３００）へ送信する。サーバ４００は、いわゆるＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）サーバである。
【0036】
［１－２．ＥＣＵのハードウェア構成］
図２は、第１実施形態に係るＥＣＵのハードウェア構成の一例を示すブロック図である。ＥＣＵ２００は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信インタフェース（以下、「通信Ｉ／Ｆ」ともいう）２０４とを含む。プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信Ｉ／Ｆ２０４とのそれぞれは、通信線であるバス２０５によって互いに接続されている。プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信Ｉ／Ｆ２０４とのそれぞれは、バス２０５を介して互いにデータを伝送することができる。ＥＣＵ２００は、「車載装置」の一例である。
図２は、第１実施形態に係るＥＣＵのハードウェア構成の一例を示すブロック図である。ＥＣＵ２００は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信インタフェース（以下、「通信Ｉ／Ｆ」ともいう）２０４とを含む。プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信Ｉ／Ｆ２０４とのそれぞれは、通信線であるバス２０５によって互いに接続されている。プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信Ｉ／Ｆ２０４とのそれぞれは、バス２０５を介して互いにデータを伝送することができる。ＥＣＵ２００は、「車載装置」の一例である。
【0037】
揮発性メモリ２０３は、例えばＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等の半導体メモリである。
【0038】
図３は、第１実施形態に係るＥＣＵが搭載する不揮発性メモリの構成の一例を示すブロック図である。
【0039】
不揮発性メモリ２０２は、データの書き換えが可能である。すなわち、不揮発性メモリ２０２は、例えばフラッシュメモリ、ハードディスク等である。不揮発性メモリ２０２は、「記憶部」の一例である。
【0040】
具体的な一例では、不揮発性メモリ２０２はデュアルバンクメモリである。つまり、不揮発性メモリ２０２は、物理的に分離された第１バンク２０２Ａ及び第２バンク２０２Ｂを含む。第１バンク２０２Ａ及び第２バンク２０２Ｂは、互いに異なるメモリ領域（アドレス空間）が割り当てられる。第１バンク２０２Ａ及び第２バンク２０２Ｂは、互いに独立して動作することができる。すなわち、第１バンク２０２Ａ及び第２バンク２０２Ｂは、互いに独立してデータの書き込み及び読み出しが可能である。第１バンク２０２Ａは、「第１記憶部」の一例であり、第２バンク２０２Ｂは、「第２記憶部」の一例である。
【0041】
不揮発性メモリ２０２には、コンピュータプログラムである第１アプリケーションソフトウェア２１１、第１更新ソフトウェア２２１、第２アプリケーションソフトウェア２１２、第２更新ソフトウェア２２２、管理ソフトウェア２３０Ａ，２３０Ｂ及びこれらのソフトウェアの実行に使用されるデータが格納される。以下、「アプリケーションソフトウェア」を「ＡＰＰ」ともいい、「ソフトウェア」を「ＳＷ」ともいう。ＥＣＵ２００の後述する機能は、第１アプリケーションソフトウェア２１１、第１更新ソフトウェア２２１、第２アプケーションソフトウェア２１２、第２更新ソフトウェア２２２、管理ソフトウェア２３０Ａ，２３０Ｂがプロセッサ２０１によって実行されることで実現される。
【0042】
第１ＡＰＰ２１１は、例えば、１つのＥＣＵの機能を実現するためのアプリケーションソフトウェアである。第２ＡＰＰ２１２は、例えば、第１ＡＰＰ２１１とは異なるＥＣＵの機能を実現するためのアプリケーションソフトウェアである。すなわち、ＥＣＵ２００は、２つのＥＣＵの機能を集約したＥＣＵである。第１ＡＰＰ２１１及び第２ＡＰＰ２１２は、オペレーティングシステム又はハイパーバイザ（後述する管理ＳＷ２３０Ａ，２３０Ｂ）上で動作する。例えば、第１ＡＰＰ２１１は、ヘッドライト制御用のソフトウェアであり、第２ＡＰＰ２１２は、ドアミラー制御用のＥＣＵである。
【0043】
第１実施形態では、第１ＡＰＰ２１１，第１更新ＳＷ２２１，第２ＡＰＰ２１２，第２更新ＳＷ２２２，及び管理ＳＷ２３０Ａは、第１バンク２０２Ａに格納されている。管理ＳＷ２３０Ｂは、第２バンク２０２Ｂに格納されている。管理ＳＷ２３０Ａは、「第１管理ソフトウェア」の一例である。管理ＳＷ２３０Ｂは、「第２管理ソフトウェア」の一例である。
【0044】
管理ＳＷ２３０Ａ及び管理ＳＷ２３０Ｂは、例えば、バージョンが異なる同一ソフトウェアである。例えば、管理ＳＷ２３０Ａは最新バージョンのソフトウェアであり、管理ＳＷ２３０Ｂは古いバージョンのソフトウェアである。管理ＳＷ２３０Ａ及び２３０Ｂは、同時にいずれか１つのみが実行される。例えば、新しいバージョンの管理ＳＷ２３０Ａが実行され、古いバージョンの管理ＳＷ２３０Ｂは停止されている。新規バージョンの管理ＳＷがリリースされた場合、停止されている管理ＳＷ２３０Ｂが更新される。管理ＳＷ２３０Ｂが更新されている間も、管理ＳＷ２３０Ａは稼働を継続する。管理ＳＷ２３０Ｂの更新が完了すると、稼働対象が管理ＳＷ２３０Ａ（古いバージョンのソフトウェア）から管理ＳＷ２３０Ｂ（最新バージョンのソフトウェア）へ切り替わる。これにより、更新による管理ＳＷの停止期間を短くする、又はなくすことができる。
【0045】
図２に戻り、プロセッサ２０１は、例えばＣＰＵ（Central Processing Unit）である。ただし、プロセッサ２０１は、ＣＰＵに限られない。プロセッサ２０１は、ＧＰＵ（Graphics Processing Unit）であってもよい。具体的な一例では、プロセッサ２０１は、マルチコアプロセッサである。プロセッサ２０１は、シングルコアプロセッサであってもよい。プロセッサ２０１は、コンピュータプログラムを実行可能に構成される。ただしプロセッサ２０１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）であってもよいし、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスであってもよい。
【0046】
通信Ｉ／Ｆ２０４は、上述した車載ネットワーク用の通信プロトコルに準拠した通信インタフェースである。通信Ｉ／Ｆ２０４は、例えばＣＡＮインタフェースである。通信Ｉ／Ｆ２０４は、イーサネットインタフェースであってもよい。
【0047】
通信Ｉ／Ｆ２０４は、バス５００に接続されている。通信Ｉ／Ｆ２０４によって、ＥＣＵ２００は他のＥＣＵ２００及び外部通信装置３００と通信することができる。ＥＣＵ２００は、通信Ｉ／Ｆ２０４によって、外部通信装置３００を介してサーバ４００と通信することができる。
【0048】
［１－３．不揮発性メモリの論理領域］
【0049】
不揮発性メモリ２０２は、ＭＰＵ（Memory Protection Unit）を備える（図示せず）。不揮発性メモリ２０２には、１又は複数の論理領域（パーティション）を作成することができる。ＭＰＵは、パーティション間におけるデータ交換を制限する。
【0050】
管理ＳＷ２３０Ａ，２３０Ｂは、例えばＯＳ（オペレーティングシステム）又はハイパーバイザである。管理ＳＷ２３０Ａ，２３０Ｂは、パーティション間でのデータ交換、すなわち、パーティション間通信をサポートしている。
【0051】
図４は、第１実施形態に係る不揮発性メモリにおけるパーティションの構成を示す図である。
【0052】
不揮発性メモリ２０２は、第１論理領域２５１及び第２論理領域２５２を含む。第１論理領域２５１及び第２論理領域２５２は、互いに論理的に分離されている。第１論理領域２５１及び第２論理領域２５２間におけるデータの授受は、ＭＰＵによって制限されている。第１論理領域２５１及び第２論理領域２５２のそれぞれはパーティションである。
【0053】
不揮発性メモリ２０２は、第３論理領域２５３をさらに含む。第３論理領域２５３は、第１論理領域２５１及び第２論理領域２５２のそれぞれと論理的に分離されたパーティションである。第３論理領域２５３と第１論理領域２５１との間のデータの授受は、ＭＰＵによって制限されており、第３論理領域２５３と第２論理領域２５２との間のデータの授受も、ＭＰＵによって制限されている。
【0054】
第１論理領域２５１、第２論理領域２５２、及び第３論理領域２５３は、管理ソフトウェア２３０Ａの機能によって作成されている。第１論理領域２５１は、上述した第１バンク２０２Ａに作成されている。第２論理領域２５２は、第１バンク２０２Ａに作成されている。すなわち、第１論理領域２５１は、第１バンク２０２Ａの一部の領域であり、第２論理領域２５２は、第１バンク２０２Ａの他の一部の領域である。
【0055】
第３論理領域２５３は、第１バンク２０２Ａ及び第２バンク２０２Ｂを横切って設けられている。第３論理領域２５３の一部は、第１バンク２０２Ａに作成されており、第３論理領域２５３の他の部分は、第２バンク２０２Ｂに作成されている。言い換えれば、第３論理領域２５３は、第１バンク２０２Ａの一部分の領域と、第２バンク２０２Ｂの一部分の領域とを含む。
【0056】
第１論理領域２５１には、第１ＡＰＰ２１１と、第１更新ＳＷ２２１とが格納されている。第２論理領域２５２には、第２ＡＰＰ２１２と、第２更新ＳＷ２２２とが格納されている。第１ＡＰＰ２１１と第２ＡＰＰ２１２とを異なる論理領域に格納することにより、第１ＡＰＰ２１１と第２ＡＰＰ２１２との干渉を防止することができる。
【0057】
第３論理領域２５３には、管理ＳＷ２３０Ａ，２３０Ｂが格納されている。さらに具体的には、管理ＳＷ２３０Ａは、第３論理領域２５３における第１バンク２０２Ａの領域に格納されており、管理ＳＷ２３０Ｂは、第３論理領域２５３における第２バンク２０２Ｂの領域に格納されている。
【0058】
［１－４．ＥＣＵの機能］
次に、ＥＣＵ２００の機能について説明する。
次に、ＥＣＵ２００の機能について説明する。
【0059】
ＥＣＵ２００は、更新部２４０と、データ通信部２４３と、領域間通信部２４４Ａと、データ授受部２４５との各機能を有する。
【0060】
プロセッサ２０１が第１ＡＰＰ２１１を実行することにより、データ通信部２４３が実現される。データ通信部２４３は、車載ネットワーク１００に対してデータ（フレーム）の送受信を行う。すなわち、データ通信部２４３は、他のＥＣＵ２００との間でフレームを送受信することができ、外部通信装置３００との間でフレームを送受信することができる。
【0061】
データ通信部２４３は、第１論理領域２５１に格納された第１ＡＰＰ２１１が実行されることによって実現される機能であり、第１論理領域２５１に属する機能である。
【0062】
プロセッサ２０１が第２ＡＰＰ２１２を実行することにより、データ授受部２４５が実現される。データ授受部２４５は、領域間通信部２４４Ａに対してのみ、データを授受することができる。
【0063】
データ授受部２４５は、第２論理領域２５２に格納された第２ＡＰＰ２１２が実行されることによって実現される機能であり、第２論理領域２５２に属する機能である。
【0064】
プロセッサ２０１が管理ＳＷ２３０Ａを実行することにより、領域間通信部２４４Ａが実現される。領域間通信部２４４Ａは、第１論理領域２５１、第２論理領域２５２、及び第３論理領域２５３を作成した管理ＳＷ２３０Ａの機能であり、パーティション間通信によって実現される機能である。
【0065】
なお、上述したように、管理ＳＷ２３０Ａがプロセッサ２０１によって実行されている間、管理ＳＷ２３０Ｂはプロセッサ２０１によって実行されない。すなわち、管理ＳＷ２３０Ｂは停止状態である。図において、斜線のハッチングは停止状態を示している。
【0066】
領域間通信部２４４Ａは、管理ＳＷ２３０Ａのパーティション間通信機能により、データ通信部２４３からデータを受け取ることができる。すなわち、領域間通信部２４４Ａは、第１論理領域２５１から第３論理領域２５３へデータを移動させることができる。さらに、領域間通信部２４４Ａは、管理ＳＷ２３０Ａのパーティション間通信機能により、データ通信部２４３へデータを引き渡すことができる。すなわち、領域間通信部２４４Ａは、第３論理領域２５３から第１論理領域２５１へデータを移動させることができる。
【0067】
データ通信部２４３は、領域間通信部２４４Ａに対してのみ、データを授受することができる。データ通信部２４３による（すなわち、第１ＡＰＰ２１１による）第１論理領域２５１と第２論理領域２５２との間のデータ交換、及び、第１論理領域２５１と第３論理領域２５３との間のデータ交換のそれぞれがＭＰＵにより制限（禁止）されている。すなわち、データ通信部２４３は、第１論理領域２５１から第２論理領域２５２へデータを移動させることができず、第２論理領域２５２から第１論理領域２５１へデータを移動させることができない。さらに、データ通信部２４３は、領域間通信部２４４Ａによらずに、第１論理領域２５１から第３論理領域２５３へデータを移動させることができず、第３論理領域２５３から第１論理領域２５１へデータを移動させることができない。
【0068】
領域間通信部２４４Ａは、管理ＳＷ２３０Ａのパーティション間通信機能により、データ授受部２４５へデータを引き渡すことができる。すなわち、領域間通信部２４４Ａは、第３論理領域２５３から第２論理領域２５２へデータを移動させることができる。さらに、領域間通信部２４４Ａは、管理ＳＷ２３０Ａのパーティション間通信機能により、データ授受部２４５からデータを受け取ることができる。すなわち、領域間通信部２４４Ａは、第２論理領域２５２から第３論理領域２５３へデータを移動させることができる。
【0069】
データ授受部２４５は、領域間通信部２４４Ａに対してのみ、データを授受することができる。データ授受部２４５による（すなわち、第２ＡＰＰ２１２による）第２論理領域２５２と第１論理領域２５１との間のデータ交換、及び、第２論理領域２５２と第３論理領域２５３との間のデータ交換のそれぞれがＭＰＵにより制限（禁止）されている。すなわち、データ授受部２４５は、第２論理領域２５２から第１論理領域２５１へデータを移動させることができず、第１論理領域２５１から第２論理領域２５２へデータを移動させることができない。さらに、データ授受部２４５は、領域間通信部２４４Ａによらずに、第２論理領域２５２から第３論理領域２５３へデータを移動させることができず、第３論理領域２５３から第２論理領域２５２へデータを移動させることができない。
【0070】
データ通信部２４３は、外部からの攻撃を防御する第１防御機能を有する。第１防御機能は、データ通信部２４３が第１防御処理を実行することによって実現される。第１防御処理は、ＥＣＵ２００が使用する通信プロトコルがＣＡＮである場合、例えば、特定のＣＡＮ ＩＤを含むフレーム以外を異常なフレームとするフィルタリング機能である。第１防御処理は、ＥＣＵ２００が使用する通信プロトコルがイーサネットである場合、例えば、ファイアウォール、パケットフィルタリングである。
【0071】
データ授受部２４５は、外部からの攻撃を防御する第２防御機能を有する。第２防御機能は、データ授受部２４４が第２防御処理を実行することによって実現される。第２防御処理は、ＥＣＵ２００が使用する通信プロトコルがＣＡＮである場合、例えば、上述した異常なフレームを検出するフィルタリング機能である。第２防御処理は、ＥＣＵ２００が使用する通信プロトコルがイーサネットである場合、例えば、ファイアウォール、パケットフィルタリングである。
【0072】
図５は、第１実施形態に係るＥＣＵにおけるデータの流れの一例を説明するための図である。
【0073】
例えば、第２ＡＰＰ２１２が、ドアミラー制御用のソフトウェアである場合を考える。ユーザ（ドライバ）がドアミラーの格納を指示するためのスイッチを押下した場合、ドアミラーの格納の指令データ（を含むフレーム）が外部のＥＣＵ２００から車載ネットワーク１００へ送信される。
【0074】
データ通信部２４３は、指令データを受信し、第１防御処理を実行する。指令データに異常が検出された場合、指令データは破棄され、ユーザに異常を通知するなどの異常処理が実行される。
【0075】
指令データに異常が無い場合、領域間通信部２４４Ａがデータ通信部２４３から指令データを受け取り、データ授受部２４５へ指令データを引き渡す。
【0076】
データ授受部２４５は、指令データを受け取り、第２防御処理を実行する。指令データに異常が検出された場合、指令データは破棄され、異常処理が実行される。
【0077】
指令データに異常が無い場合、第２ＡＰＰ２１２（を実行するプロセッサ２０１）によって指令データが解釈され、ドアミラーが格納される。
【0078】
図６は、第１実施形態に係るＥＣＵにおけるデータの流れの他の例を説明するための図である。
【0079】
プロセッサ２０１が管理ＳＷ２３０Ｂを実行することにより、領域間通信部２４４Ｂが実現される。領域間通信部２４４Ｂは、管理ＳＷ２３０Ｂのパーティション間通信によって実現される機能である。
【0080】
なお、管理ＳＷ２３０Ｂがプロセッサ２０１によって実行されている間、管理ＳＷ２３０Ａはプロセッサ２０１によって実行されない。すなわち、管理ＳＷ２３０Ａは停止状態である。
【0081】
領域間通信部２４４Ｂは、領域間通信部２４４Ａと同じ機能である。すなわち、領域間通信部２４４Ｂは、管理ＳＷ２３０Ｂのパーティション間通信機能により、第１論理領域２５１から第３論理領域２５３へデータを移動させることができる。領域間通信部２４４Ａは、管理ＳＷ２３０Ｂのパーティション間通信機能により、第３論理領域２５３から第１論理領域２５１へデータを移動させることができる。
【0082】
領域間通信部２４４Ｂは、管理ＳＷ２３０Ｂのパーティション間通信機能により、第３論理領域２５３から第２論理領域２５２へデータを移動させることができる。領域間通信部２４４Ｂは、管理ＳＷ２３０Ｂのパーティション間通信機能により、第２論理領域２５２から第３論理領域２５３へデータを移動させることができる。
【0083】
ユーザ（ドライバ）がドアミラーの格納を指示するためのスイッチを押下した場合、ドアミラーの格納の指令データ（を含むフレーム）が外部のＥＣＵ２００から車載ネットワーク１００へ送信される。
【0084】
データ通信部２４３は、指令データを受信し、第１防御処理を実行する。指令データに異常が検出された場合、指令データは破棄され、異常処理が実行される。
【0085】
指令データに異常が無い場合、領域間通信部２４４Ｂがデータ通信部２４３から指令データを受け取り、データ授受部２４５へ指令データを引き渡す。
【0086】
データ授受部２４５は、指令データを受け取り、第２防御処理を実行する。指令データに異常が検出された場合、指令データは破棄され、異常処理が実行される。
【0087】
指令データに異常が無い場合、第２ＡＰＰ２１２（を実行するプロセッサ２０１）によって指令データが解釈され、ドアミラーが格納される。
【0088】
図４に戻り、更新部２４０について説明する。更新部２４０は、第１更新部２４１と、第２更新部２４２とを含む。
【0089】
プロセッサ２０１が第１更新ＳＷ２２１を実行することにより、第１更新部２４１が実現される。第１更新部２４１は、上述したデータ通信部２４３と同様に、第２論理領域２５２に対してはデータの授受を行うことができない。第１更新部２４１は、第３論理領域２５３に対しては、領域間通信部２４４Ａに対してのみ、データを授受することができる。
【0090】
プロセッサ２０１が第２更新ＳＷ２２２を実行することにより、第２更新部２４２が実現される。第２更新部２４２は、上述したデータ通信部２４３と同様に、第１論理領域２５１に対してはデータの授受を行うことができない。第２更新部２４２は、第３論理領域２５３に対しては、領域間通信部２４４Ａに対してのみ、データを授受することができる。
【0091】
第１更新部２４１は、第１ＡＰＰ２１１を更新する。第２更新部２４２は、第２ＡＰＰ２１２を更新する。
【0092】
【0093】
図７に示すように、第１ＡＰＰ２１１を更新する場合、第１ＡＰＰ２１１を更新するための更新データ（第１更新データ）がサーバ４００から外部通信装置３００へ送信される。外部通信装置３００は、例えば更新データを複数のフレームに分割し、各フレームを対象のＥＣＵ２００へ送信する。
【0094】
データ通信部２４３は、外部通信装置３００から送信された各フレーム、すなわち更新データを受信し、第１防御処理を実行する。フレームに異常が検出された場合、フレームは破棄され、異常処理が実行される。
【0095】
フレームに異常が無い場合、データ通信部２４３は、各フレームに含まれるデータを結合し、更新データを復元する。データ通信部２４３は、第１更新部２４１に更新データを引き渡す。第１更新部２４１は、データ通信部２４３から更新データを受け取る。
【0096】
図８に示すように、第１更新部２４１は、受け取った更新データを用いて、第１ＡＰＰ２１１を更新する。更新が完了すると、更新された第１ＡＰＰ２１１が再起動される。
【0097】
【0098】
図９に示すように、第２ＡＰＰ２１２を更新する場合、第２ＡＰＰ２１２を更新するための更新データ（第２更新データ）がサーバ４００から外部通信装置３００へ送信される。外部通信装置３００は、例えば更新データを複数のフレームに分割し、各フレームを対象のＥＣＵ２００へ送信する。
【0099】
データ通信部２４３は、外部通信装置３００から送信された各フレーム、すなわち更新データを受信し、第１防御処理を実行する。フレームに異常が検出された場合、フレームは破棄され、異常処理が実行される。
【0100】
フレームに異常が無い場合、データ通信部２４３は、各フレームに含まれるデータを結合し、更新データを復元する。領域間通信部２４４Ａがデータ通信部２４３から更新データを受け取り、データ授受部２４５へ更新データを引き渡す。
【0101】
データ授受部２４５は、更新データを受け取り、第２防御処理を実行する。更新データに異常が検出された場合、更新データは破棄され、異常処理が実行される。
【0102】
更新データに異常が無い場合、第２更新部２４２は、データ授受部２４５から更新データを受け取る。
【0103】
なお、ここでは領域間通信部２４４Ａからデータ授受部２４５を介して第２更新部２４２へ更新データが引き渡されているが、これに限定されない。例えば、領域間通信部２４４Ａから直接第２更新部２４２へ更新データが引き渡されてもよい。この場合、第２更新部２４２が防御機能を有してもよい。
【0104】
図１０に示すように、第２更新部２４２は、受け取った更新データを用いて、第２ＡＰＰ２１２を更新する。更新が完了すると、更新された第２ＡＰＰ２１２が再起動される。
【0105】
［１－５．ＥＣＵの動作］
以下、第１実施形態に係るＥＣＵの動作について説明する。図１１は、第１実施形態に係るＥＣＵにおいて第２ＡＰＰの更新を行う場合の車載ネットワークにおけるデータの流れを示すシーケンス図である。
以下、第１実施形態に係るＥＣＵの動作について説明する。図１１は、第１実施形態に係るＥＣＵにおいて第２ＡＰＰの更新を行う場合の車載ネットワークにおけるデータの流れを示すシーケンス図である。
【0106】
第２ＡＰＰ２１２用のの更新データがリリースされると、サーバ４００は更新データを格納する。サーバ４００は、例えばＥＣＵ２００からの要求に応じて、第２ＡＰＰ２１２用のの更新データを外部通信装置３００へ送信する（ステップＳ１１）。
【0107】
外部通信装置３００は、更新データを受信すると、例えば複数のフレームに分割し、対象のＥＣＵ２００へ各フレームを送信する（ステップＳ１２）。
【0108】
プロセッサ２０１は、第１ＡＰＰ２１１の機能により、外部通信装置３００から送信されたフレームを受信する。プロセッサ２０１は、第１防御処理を実行する（ステップＳ１３）。
【0109】
フレームに異常が無い場合、プロセッサ２０１は、各フレームに含まれるデータから更新データを復元する。プロセッサ２０１は、管理ＳＷ２３０Ａ（又は２３０Ｂ）のパーティション間通信機能により、第１ＡＰＰ２１１から管理ＳＷ２３０Ａ（又は２３０Ｂ）へ更新データを移す（ステップＳ１４）。
【0110】
さらにプロセッサ２０１は、管理ＳＷ２３０Ａ（又は２３０Ｂ）のパーティション間通信機能により、管理ＳＷ２３０Ａ（又は２３０Ｂ）から第２ＡＰＰ２１２へ更新データを移す（ステップＳ１５）。
【0111】
プロセッサ２０１は、第２ＡＰＰ２１２の機能により、第２防御処理を実行する（ステップＳ１６）。
【0112】
更新データに異常が無い場合、プロセッサ２０１は、第２ＡＰＰ２１２から第２更新ＳＷ２２２へ更新データを移す（ステップＳ１７）。
【0113】
プロセッサ２０１は、第２更新ＳＷ２２２の機能により、更新データを用いて第２ＡＰＰ２１２の更新処理を実行する（ステップＳ１８）。これにより、第２ＡＰＰ２１２が更新される（ステップＳ１９）。
【0114】
第２ＡＰＰ２１２の更新が完了すると、プロセッサ２０１は、第２ＡＰＰ２１２を再起動する（ステップＳ２０）。
【0115】
図１２は、第１実施形態に係るＥＣＵが第２ＡＰＰの更新を行う場合のＥＣＵの動作の一例を示すフローチャートである。
【0116】
例えば、プロセッサ２０１は、サーバ４００に問い合わせることにより、又は、サーバ４００からの通知の有無により、第２ＡＰＰ２１２の新規更新データが存在するか否か、すなわち、新規更新データをサーバ４００が提供可能であるか否かを判定する（ステップＳ１０１）。
【0117】
新規更新データが存在しない場合（ステップＳ１０１においてＮＯ）、プロセッサ２０１は、ステップＳ１０１を再度実行する。
【0118】
新規更新データが存在する場合（ステップＳ１０１においてＹＥＳ）、プロセッサ２０１は、例えばサーバ４００へ更新データのダウンロードを要求する。サーバ４００は、例えば要求に応じて、更新データをダウンロードする。車外通信装置３００は更新データを受信し、複数のフレームに分割してＥＣＵ２００へ送信する。
【0119】
プロセッサ２０１は、第１ＡＰＰ２１１の機能により、更新データ（フレーム）を受信する（ステップＳ１０２）。
【0120】
プロセッサ２０１は、フレームの受信の際、第１防御処理を実行する（ステップＳ１０３）。プロセッサ２０１は、第１防御処理によって異常が検出されたか否かを判定する（ステップＳ１０４）。異常が検出された場合（ステップＳ１０４においてＮＯ）、プロセッサ２０１は、例えば、受信したフレームを破棄し、異常処理を実行する。この場合、プロセッサ２０１は、ステップＳ１０１へ戻る。
【0121】
第１防御処理によって異常が検出されなかった場合（ステップＳ１０４においてＹＥＳ）、プロセッサ２０１は、管理ＳＷ２３０Ａ（又は２３０Ｂ）のパーティション間通信機能により、更新データの領域間通信を行う（ステップＳ１０５）。すなわち、プロセッサ２０１は、第１論理領域２５１に格納された第１ＡＰＰ２１１から第３論理領域２５３に格納された管理ＳＷ２３０Ａ（又は２３０Ｂ）へ更新データを移し、さらに、管理ＳＷ２３０Ａ（又は２３０Ｂ）から第２論理領域２５２に格納された第２ＡＰＰ２１２へ更新データを移す。
【0122】
プロセッサ２０１は、第２ＡＰＰ２１２が更新データを受け取る際、第２防御処理を実行する（ステップＳ１０６）。プロセッサ２０１は、第２防御処理によって異常が検出されたか否かを判定する（ステップＳ１０７）。異常が検出された場合（ステップＳ１０７においてＮＯ）、プロセッサ２０１は、例えば、受信したフレームを破棄し、異常処理を実行する。この場合、プロセッサ２０１は、ステップＳ１０１へ戻る。
【0123】
第２防御処理によって異常が検出されなかった場合（ステップＳ１０７においてＹＥＳ）、プロセッサ２０１は、第２ＡＰＰ２１２から第２更新ＳＷ２２２へ更新データを移す。さらにプロセッサ２０１は、第２更新ＳＷ２２２の機能により、更新データを用いて、第２ＡＰＰ２１２を更新する（ステップＳ１０８）。
【0124】
更新が完了すると、プロセッサ２０１は、第２ＡＰＰ２１２を再起動する（ステップＳ１０９）。
【0125】
［２．第２実施形態］
図１３は、第２実施形態に係るＥＣＵが搭載する不揮発性メモリの構成の一例を示すブロック図である。
図１３は、第２実施形態に係るＥＣＵが搭載する不揮発性メモリの構成の一例を示すブロック図である。
【0126】
第２実施形態においては、第１バンク２０２Ａに第１ＡＰＰ２１１Ａが格納され、第２バンク２０２Ｂに第１ＡＰＰ２１１Ｂが格納される。
【0127】
第１ＡＰＰ２１１Ａ及び第１ＡＰＰ２１１Ｂは、例えば、バージョンが異なる同一ソフトウェアである。例えば、第１ＡＰＰ２１１Ａは最新バージョンのソフトウェアであり、第１ＡＰＰ２１１Ｂは古いバージョンのソフトウェアである。第１ＡＰＰ２１１Ａ及び２１１Ｂは、同時にいずれか１つのみが実行される。例えば、新しいバージョンの第１ＡＰＰ２１１Ａが実行され、古いバージョンの第１ＡＰＰ２１１Ｂは停止されている。新規バージョンの第１ＡＰＰがリリースされた場合、停止されている第１ＡＰＰ２１１Ｂが更新される。第１ＡＰＰ２１１Ｂが更新されている間も、第１ＡＰＰ２１１Ａは稼働を継続する。第１ＡＰＰ２１１Ｂの更新が完了すると、稼働対象が第１ＡＰＰ２１１Ａ（古いバージョンのソフトウェア）から第１ＡＰＰ２１１Ｂ（最新バージョンのソフトウェア）へ切り替わる。これにより、更新による第１ＡＰＰの停止期間を短くする、又はなくすことができる。
【0128】
さらに、第１バンク２０２Ａに第２ＡＰＰ２１２Ａが格納され、第２バンク２０２Ｂに第２ＡＰＰ２１２Ｂが格納される。
【0129】
第１ＡＰＰ２１１Ａ，２１１Ｂと同様に、第２ＡＰＰ２１２Ａ及び第２ＡＰＰ２１２Ｂは、例えば、バージョンが異なる同一ソフトウェアである。第２ＡＰＰ２１２Ａ及び２１２Ｂは、同時にいずれか１つのみが実行される。新規バージョンの第２ＡＰＰがリリースされた場合、停止されている第２ＡＰＰ２１２Ｂが更新される。第２ＡＰＰ２１２Ｂが更新されている間も、第２ＡＰＰ２１２Ａは稼働を継続する。第２ＡＰＰ２１２Ｂの更新が完了すると、稼働対象が第２ＡＰＰ２１２Ａ（古いバージョンのソフトウェア）から第２ＡＰＰ２１２Ｂ（最新バージョンのソフトウェア）へ切り替わる。これにより、更新による第２ＡＰＰの停止期間を短くする、又はなくすことができる。
【0130】
第２実施形態に係るＥＣＵのその他の構成は、第１実施形態に係るＥＣＵ２００の構成と同じであるので、説明を省略する。
【0131】
図１４は、第２実施形態に係る不揮発性メモリにおけるパーティションの構成を示す図である。
【0132】
プロセッサ２０１が第１ＡＰＰ２１１Ａを実行することにより、データ通信部２４３Ａが実現される。第１ＡＰＰ２１１Ａは、上述した第１ＡＰＰ２１１と同じソフトウェアであり、データ通信部２４３Ａは、上述したデータ通信部２４３と同じ機能である。
【0133】
プロセッサ２０１が第２ＡＰＰ２１２Ａを実行することにより、データ授受部２４５Ａが実現される。第２ＡＰＰ２１２Ａは、上述した第２ＡＰＰ２１２と同じソフトウェアであり、データ授受部２４５Ａは、上述したデータ授受部２４５と同じ機能である。
【0134】
図１４において斜線のハッチングで示すように、第１ＡＰＰ２１１Ｂは停止状態であり、第２ＡＰＰ２１２Ｂは停止状態である。
【0135】
図１５は、第１ＡＰＰ及び第２ＡＰＰの実行対象が切り替わった場合のソフトウェアの稼働状態を示す図である。
【0136】
例えば、第１ＡＰＰ２１１Ｂが新たなバージョンに更新された場合、実行対象が第１ＡＰＰ２１１Ａから第１ＡＰＰ２１１Ｂに切り替わる。すなわち、第１ＡＰＰ２１１Ａが停止し、第１ＡＰＰ２１１Ｂが起動する。プロセッサ２０１が第１ＡＰＰ２１１Ｂを実行することにより、データ通信部２４３Ｂが実現される。
【0137】
例えば、第２ＡＰＰ２１２Ｂが新たなバージョンに更新された場合、実行対象が第２ＡＰＰ２１２Ａから第２ＡＰＰ２１２Ｂに切り替わる。すなわち、第２ＡＰＰ２１２Ａが停止し、第２ＡＰＰ２１２Ｂが起動する。プロセッサ２０１が第２ＡＰＰ２１２Ｂを実行することにより、データ授受部２４５Ｂが実現される。
【0138】
［３．第３実施形態］
図１６は、第３実施形態に係るＥＣＵが搭載する不揮発性メモリの構成の一例を示すブロック図である。
図１６は、第３実施形態に係るＥＣＵが搭載する不揮発性メモリの構成の一例を示すブロック図である。
【0139】
第３実施形態においては、第１更新ＳＷ２２１が第１論理領域２５１に格納されておらず、第２更新ＳＷ２２２に代えて、更新ＳＷ２２３が第２論理領域２５２に格納されている。なお、第３実施形態に係るＥＣＵのその他の構成は、第２実施形態に係るＥＣＵ２００の構成と同じであるので、同一構成要素には同一符号を付し、説明を省略する。
【0140】
更新ＳＷ２２３は、第１ＡＰＰ２１１Ａ，２１１Ｂ及び第２ＡＰＰ２１２Ａ，２１２Ｂのそれぞれを更新するためのソフトウェアである。
【0141】
さらに具体的に説明する。プロセッサ２０１が更新ＳＷ２２３を実行することにより、更新部２４６が実現される。更新部２４６は、第１ＡＰＰ２１１Ａ，２１１Ｂ及び第２ＡＰＰ２１２Ａ，２１２Ｂのそれぞれを更新することができる。
【0142】
第２ＡＰＰ２１２Ｂを更新する場合、第２ＡＰＰ２１２Ｂを更新するための更新データ（第２更新データ）がサーバ４００から外部通信装置３００へ送信される。外部通信装置３００は、例えば更新データを複数のフレームに分割し、各フレームを対象のＥＣＵ２００へ送信する。
【0143】
データ通信部２４３Ａは、外部通信装置３００から送信された各フレーム、すなわち更新データを受信し、第１防御処理を実行する。フレームに異常が検出された場合、フレームは破棄され、異常処理が実行される。
【0144】
フレームに異常が無い場合、データ通信部２４３Ａは、各フレームに含まれるデータを結合し、更新データを復元する。領域間通信部２４４Ａがデータ通信部２４３Ａから更新データを受け取り、データ授受部２４５Ａへ更新データを引き渡す。
【0145】
データ授受部２４５Ａは、更新データを受け取り、第２防御処理を実行する。更新データに異常が検出された場合、更新データは破棄され、異常処理が実行される。
【0146】
更新データに異常が無い場合、更新部２４６は、データ授受部２４５Ａから更新データを受け取る。
【0147】
なお、ここでは領域間通信部２４４Ａからデータ授受部２４５を介して更新部２４６へ更新データが引き渡されているが、これに限定されない。例えば、領域間通信部２４４Ａから直接更新部２４６へ更新データが引き渡されてもよい。この場合、更新部２４６が防御機能を有してもよい。
【0148】
更新部２４６は、受け取った更新データを用いて、第２ＡＰＰ２１２Ｂを更新する。更新が完了すると、第２ＡＰＰ２１２Ａが停止され、更新された第２ＡＰＰ２１２Ｂが起動される。
【0149】
第１ＡＰＰ２１１Ｂを更新する場合、第１ＡＰＰ２１１Ｂを更新するための更新データ（第１更新データ）がサーバ４００から外部通信装置３００へ送信される。外部通信装置３００は、例えば更新データを複数のフレームに分割し、各フレームを対象のＥＣＵ２００へ送信する。
【0150】
データ通信部２４３Ａは、外部通信装置３００から送信された各フレーム、すなわち更新データを受信し、第１防御処理を実行する。フレームに異常が検出された場合、フレームは破棄され、異常処理が実行される。
【0151】
フレームに異常が無い場合、データ通信部２４３Ａは、各フレームに含まれるデータを結合し、更新データを復元する。領域間通信部２４４Ａがデータ通信部２４３Ａから更新データを受け取り、データ授受部２４５Ａへ更新データを引き渡す。
【0152】
データ授受部２４５Ａは、更新データを受け取り、第２防御処理を実行する。更新データに異常が検出された場合、更新データは破棄され、異常処理が実行される。
【0153】
更新データに異常が無い場合、更新部２４６は、データ授受部２４５Ａから更新データを受け取る。
【0154】
更新部２４６は、受け取った更新データを用いて、第１ＡＰＰ２１１Ｂを更新する。
【0155】
ここで、第１論理領域２５１と第２論理領域２５２との間でのデータ通信は制限されている。このため、例えば更新部２４６は、新たな第１ＡＰＰ２１１Ｂを複数のデータに分割し、各データを領域間通信部２４４Ａを介して第１論理領域２５１へ送ることができる。第１論理領域２５１では、送られてきたデータを結合することで新たな第１ＡＰＰ２１１Ｂを作成することができる。これにより、第１ＡＰＰ２１１Ｂが更新される。
【0156】
更新が完了すると、第１ＡＰＰ２１１Ａが停止され、更新された第１ＡＰＰ２１１Ｂが起動される。
【0157】
［４．補記］
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。
【符号の説明】
【0158】
１００ 車載ネットワーク
２００，２００Ａ，２００Ｂ，２００Ｃ，… ＥＣＵ
２０１ プロセッサ
２０２ 不揮発性メモリ
２０２Ａ 第１バンク
２０２Ｂ 第２バンク
２０３ 揮発性メモリ
２０４ 通信インタフェース（通信Ｉ／Ｆ）
２０５ バス
２１１，２１１Ａ，２１１Ｂ 第１アプリケーションソフトウェア（第１ＡＰＰ）
２１２，２１２Ａ，２１２Ｂ 第２アプリケーションソフトウェア（第２ＡＰＰ）
２２１ 第１更新ソフトウェア（第１更新ＳＷ）
２２２ 第２更新ソフトウェア（第２更新ＳＷ）
２２３ 更新ソフトウェア（更新ＳＷ）
２３０Ａ 管理ソフトウェア（管理ＳＷ，第１管理ソフトウェア）
２３０Ｂ 管理ソフトウェア（管理ＳＷ，第２管理ソフトウェア）
２４０ 更新部
２４１ 第１更新部
２４２ 第２更新部
２４３，２４３Ａ，２４３Ｂ データ通信部
２４４Ａ，２４４Ｂ 領域間通信部
２４５，２４５Ａ，２４５Ｂ データ授受部
２４６ 更新部
２５１ 第１論理領域
２５２ 第２論理領域
２５３ 第３論理領域
３００ 外部通信装置
４００ サーバ
５００ 通信バス
２００，２００Ａ，２００Ｂ，２００Ｃ，… ＥＣＵ
２０１ プロセッサ
２０２ 不揮発性メモリ
２０２Ａ 第１バンク
２０２Ｂ 第２バンク
２０３ 揮発性メモリ
２０４ 通信インタフェース（通信Ｉ／Ｆ）
２０５ バス
２１１，２１１Ａ，２１１Ｂ 第１アプリケーションソフトウェア（第１ＡＰＰ）
２１２，２１２Ａ，２１２Ｂ 第２アプリケーションソフトウェア（第２ＡＰＰ）
２２１ 第１更新ソフトウェア（第１更新ＳＷ）
２２２ 第２更新ソフトウェア（第２更新ＳＷ）
２２３ 更新ソフトウェア（更新ＳＷ）
２３０Ａ 管理ソフトウェア（管理ＳＷ，第１管理ソフトウェア）
２３０Ｂ 管理ソフトウェア（管理ＳＷ，第２管理ソフトウェア）
２４０ 更新部
２４１ 第１更新部
２４２ 第２更新部
２４３，２４３Ａ，２４３Ｂ データ通信部
２４４Ａ，２４４Ｂ 領域間通信部
２４５，２４５Ａ，２４５Ｂ データ授受部
２４６ 更新部
２５１ 第１論理領域
２５２ 第２論理領域
２５３ 第３論理領域
３００ 外部通信装置
４００ サーバ
５００ 通信バス
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】