特開 2025-135254 車載装置、車載装置の起動方法、及び起動プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025135254

(43)【公開日】2025-09-18

(54)【発明の名称】車載装置、車載装置の起動方法、及び起動プログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20250910BHJP

   G06F 9/4401 20180101ALI20250910BHJP

   B60R 16/02 20060101ALI20250910BHJP

【ＦＩ】

G06F21/57 350

G06F9/4401

B60R16/02 660W

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2024033008

(22)【出願日】2024-03-05

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】110000280

【氏名又は名称】弁理士法人サンクレスト国際特許事務所

(72)【発明者】

【氏名】井上 和之

(72)【発明者】

【氏名】河野 仁志

(72)【発明者】

【氏名】松本 真

(72)【発明者】

【氏名】菊地 慶剛

(72)【発明者】

【氏名】竹内 祐介

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376AE13

5B376AE52

5B376AE56

5B376AE61

5B376FA11

5B376GA08

(57)【要約】

【課題】複数のプログラムの検証を効率的に行う。
【解決手段】
車載装置は、第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムを格納する格納部と、前記格納部に格納された前記第１プログラム及び前記第２プログラムのそれぞれを検証する検証部と、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動し、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しない起動制御部と、を備える。
【選択図】図３

【特許請求の範囲】

【請求項1】

第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムを格納する格納部と、
前記格納部に格納された前記第１プログラム及び前記第２プログラムのそれぞれを検証する検証部と、
前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動し、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しない起動制御部と、
を備える、
車載装置。

【請求項2】

前記検証部は、前記第１プログラムを検証した後に、前記第２プログラムを検証する、
請求項１に記載の車載装置。

【請求項3】

前記格納部は、前記第１プログラム及び前記第２プログラムの検証の順番を示す順番情報を格納し、
前記検証部は、前記順番情報に基づいて、前記第１プログラム及び前記第２プログラムを順番に検証する、
請求項２に記載の車載装置。

【請求項4】

前記検証部は、前記順番情報をさらに検証する、
請求項３に記載の車載装置。

【請求項5】

前記検証部は、前記順番情報を検証した後に、前記第１プログラムを検証する、
請求項４に記載の車載装置。

【請求項6】

前記検証部は、前記順番情報の検証に失敗した場合、前記第１プログラムの検証を行わない、
請求項５に記載の車載装置。

【請求項7】

前記起動制御部は、前記第１プログラムの検証が成功した場合において、前記検証部によって前記第２プログラムの検証が行われている間に前記第１プログラムを起動する、
請求項１から請求項６のいずれか１項に記載の車載装置。

【請求項8】

前記格納部は、前記第２プログラムを用いて実行される第３プログラムを格納し、
前記検証部は、前記第１プログラムと、前記第２プログラムとを検証した後に、前記第３プログラムを検証し、
前記起動制御部は、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第３プログラムの検証が成功した場合に、前記第１プログラムと、前記第２プログラムと、前記第３プログラムとのそれぞれを起動し、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第３プログラムの検証が失敗した場合に、前記第１プログラムと、前記第２プログラムとを起動し、前記第３プログラムを起動しない、
請求項１から請求項６のいずれか１項に記載の車載装置。

【請求項9】

前記格納部は、前記第１プログラムを用いて実行される第４プログラムを格納し、
前記検証部は、前記第１プログラムと、前記第２プログラムとを検証した後に、前記第４プログラムを検証し、
前記起動制御部は、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第４プログラムの検証が成功した場合に、前記第１プログラムと、前記第２プログラムと、前記第４プログラムとのそれぞれを起動し、前記第１プログラムの検証が成功し、前記第２プログラムの検証が失敗し、且つ、前記第４プログラムの検証が成功した場合に、前記第１プログラムを起動し、前記第２プログラムとを起動せず、前記第４プログラムを起動する、
請求項１から請求項６のいずれか１項に記載の車載装置。

【請求項10】

前記第１プログラム及び前記第２プログラムを実行するプロセッサをさらに備え、
前記起動制御部は、前記プロセッサに前記第１プログラムの実行を指示することにより、前記第１プログラムを起動し、前記プロセッサに前記第２プログラムの実行を指示することにより、前記第２プログラムを起動する、
請求項１から請求項６のいずれか１項に記載の車載装置。

【請求項11】

前記検証部及び前記起動制御部は、ＨＳＭにより実現される、
請求項１０に記載の車載装置。

【請求項12】

第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムのそれぞれを検証するステップと、
前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動するステップと、
前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しないステップと、
を含む、
車載装置の起動方法。

【請求項13】

車載装置の起動時に実行される起動プログラムであって、
コンピュータに、
第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムのそれぞれを検証するステップと、
前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動するステップと、
前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しないステップと、
を実行させるための、
起動プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載装置、車載装置の起動方法、及び起動プログラムに関する。

【背景技術】

【0002】

車両には、エンジン、トランスミッション等を制御する制御系ＥＣＵ（Electronic Control Unit）、ヘッドライト、パワーウインドウ等を制御するボディ系ＥＣＵ、ナビゲーション装置、マルチメディア機器等の情報系ＥＣＵ等、多種の車載装置が搭載される。各車載装置は、車載ネットワークに接続され、相互に通信することができる。これらのＥＣＵでは、それぞれの機能を実現するために様々なコンピュータプログラム（以下、単に「プログラム」ともいう）が稼働する。

【0003】

ＥＣＵの起動時に、プログラムの改竄を検出するための処理であるセキュアブートが実行される。特許文献１には、プログラムを分割した複数の分割プログラム及び検証用認証子を予め記憶しておき、暗号演算により複数の分割プログラムそれぞれの部分認証子を生成し、生成した複数の部分認証子を用いた論理演算を行って演算認証子を生成し、検証用認証子と演算認証子とが一致するか否かによってプログラムの改竄の有無を検証する方法が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１９－２０８７２号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

１つのＥＣＵには、オペレーティングシステム、アプリケーションソフトウェア等の複数のプログラムが稼働するため、各プログラムに対して改竄の検出が行われる必要がある。しかしながら、特許文献１に開示された方法は、１つのプログラムを複数に分割し、各分割プログラムに対して暗号演算を行うことで複数の部分認証子を生成することによって、１つのプログラムを検証しているのであって、複数のプログラムの検証についてはなんら考慮されていない。

【課題を解決するための手段】

【0006】

本開示の一態様に係る車載装置は、第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムを格納する格納部と、前記格納部に格納された前記第１プログラム及び前記第２プログラムのそれぞれを検証する検証部と、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動し、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しない起動制御部と、を備える。

【発明の効果】

【0007】

本開示によれば、複数のプログラムの検証を効率的に行うことができる。

【図面の簡単な説明】

【0008】

【図1】図１は、実施形態に係る車載システムの構成の一例を示すブロック図である。

【図2】図２は、実施形態に係る中継ＥＣＵのハードウェア構成の一例を示すブロック図である。

【図3】図３は、実施形態に係る中継ＥＣＵの機能の一例を示す機能ブロック図である。

【図4】図４は、不揮発性メモリにおけるプログラムの格納位置の一例を説明するための図である。

【図5】図５は、実施形態に係る中継ＥＣＵのセキュリティプロセッサによる起動処理の一例を示すフローチャートである。

【図6】図６は、実施形態に係る中継ＥＣＵにおける起動シーケンスの一例を示すシーケンス図である。

【発明を実施するための形態】

【0009】

＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。

【0010】

（１） 本実施形態に係る車載装置は、第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムを格納する格納部と、前記格納部に格納された前記第１プログラム及び前記第２プログラムのそれぞれを検証する検証部と、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動し、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しない起動制御部と、を備える。第１プログラム及び第２プログラムを個別に検証することにより、第１プログラム及び第２プログラムの検証を効率的に行うことができる。

【0011】

（２） 上記（１）において、前記検証部は、前記第１プログラムを検証した後に、前記第２プログラムを検証してもよい。これにより、第１プログラム及び第２プログラムを依存関係に応じて順番に検証することができる。

【0012】

（３） 上記（２）において、前記格納部は、前記第１プログラム及び前記第２プログラムの検証の順番を示す順番情報を格納し、前記検証部は、前記順番情報に基づいて、前記第１プログラム及び前記第２プログラムを順番に検証してもよい。これにより、順番情報によって第１プログラム及び第２プログラムを順番に検証することができる。

【0013】

（４） 上記（３）において、前記検証部は、前記順番情報をさらに検証してもよい。これにより、順番情報の改竄を検出することができる。

【0014】

（５） 上記（４）において、前記検証部は、前記順番情報を検証した後に、前記第１プログラムを検証してもよい。これにより、第１プログラム及び第２プログラムの検証に先立って、順番情報を検証することができる。

【0015】

（６） 上記（５）において、前記検証部は、前記順番情報の検証に失敗した場合、前記第１プログラムの検証を行わなくてもよい。これにより、順番情報が改竄された場合に、不正な順番でプログラムの検証が行われることを防止することができる。

【0016】

（７） 上記（１）から（６）のいずれか１つにおいて、前記起動制御部は、前記第１プログラムの検証が成功した場合において、前記検証部によって前記第２プログラムの検証が行われている間に前記第１プログラムを起動してもよい。第１プログラムの起動と第２プログラムの検証とを同時に行うことで、車載装置を短時間に起動することができる。

【0017】

（８） 上記（１）から（７）のいずれか１つにおいて、前記格納部は、前記第２プログラムを用いて実行される第３プログラムを格納し、前記検証部は、前記第１プログラムと、前記第２プログラムとを検証した後に、前記第３プログラムを検証し、前記起動制御部は、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第３プログラムの検証が成功した場合に、前記第１プログラムと、前記第２プログラムと、前記第３プログラムとのそれぞれを起動し、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第３プログラムの検証が失敗した場合に、前記第１プログラムと、前記第２プログラムとを起動し、前記第３プログラムを起動しなくてもよい。これにより、第１プログラム、第２プログラム、及び第３プログラムそれぞれの検証結果によって、依存関係に応じて正しく選択されたプログラムを起動することができる。

【0018】

（９） 上記（１）から（８）のいずれか１つにおいて、前記格納部は、前記第１プログラムを用いて実行される第４プログラムを格納し、前記検証部は、前記第１プログラムと、前記第２プログラムとを検証した後に、前記第４プログラムを検証し、前記起動制御部は、前記第１プログラムの検証が成功し、前記第２プログラムの検証が成功し、且つ、前記第４プログラムの検証が成功した場合に、前記第１プログラムと、前記第２プログラムと、前記第４プログラムとのそれぞれを起動し、前記第１プログラムの検証が成功し、前記第２プログラムの検証が失敗し、且つ、前記第３プログラムの検証が成功した場合に、前記第１プログラムを起動し、前記第２プログラムとを起動せず、前記第３プログラムを起動してもよい。これにより、第１プログラム、第２プログラム、及び第４プログラムそれぞれの検証結果によって、依存関係に応じて正しく選択されたプログラムを起動することができる。

【0019】

（１０） 上記（１）から（９）のいずれか１つにおいて、前記車載装置は、前記第１プログラム及び前記第２プログラムを実行するプロセッサをさらに備え、前記起動制御部は、前記プロセッサに前記第１プログラムの実行を指示することにより、前記第１プログラムを起動し、前記プロセッサに前記第２プログラムの実行を指示することにより、前記第２プログラムを起動してもよい。これにより、プログラムの実行をプロセッサに指示することで、プロセッサにプログラムを起動させることができる。

【0020】

（１１） 上記（１０）において、前記検証部及び前記起動制御部は、ＨＳＭ（Hardware Security Module）により実現されてもよい。これにより、プログラムの検証及びプログラムの起動指示を安全に行うことができる。

【0021】

（１２） 本実施形態に係る車載装置の起動方法は、第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムのそれぞれを検証するステップと、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動するステップと、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しないステップと、を含む。第１プログラム及び第２プログラムを個別に検証することにより、第１プログラム及び第２プログラムの検証を効率的に行うことができる。

【0022】

（１３） 本実施形態に係る起動プログラムは、車載装置の起動時に実行される起動プログラムであって、コンピュータに、第１プログラム、及び前記第１プログラムを用いて実行される第２プログラムのそれぞれを検証するステップと、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が成功した場合に、前記第１プログラム及び前記第２プログラムのそれぞれを起動するステップと、前記第１プログラムの検証が成功し、且つ、前記第２プログラムの検証が失敗した場合に、前記第１プログラムを起動し、前記第２プログラムを起動しないステップと、を実行させる。第１プログラム及び第２プログラムを個別に検証することにより、第１プログラム及び第２プログラムの検証を効率的に行うことができる。

【0023】

本開示は、上記のような特徴的な構成を備える車載装置、特徴的な処理をステップとする車載装置の起動方法、及び車載装置に特徴的な処理を実行させるための起動プログラムとして実現することができるだけでなく、車載装置を含む車載システムとして実現したり、車載装置の一部又は全部を半導体集積回路として実現したりすることができる。

【0024】

＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0025】

［１．車載システム］
図１は、実施形態に係る車載システムの構成の一例を示すブロック図である。車両には、車載ネットワーク１００が搭載されている。実施形態に係る車載ネットワーク１００は、ＣＡＮ（Controller Area Network）による通信が可能なＣＡＮネットワークである。車載ネットワーク１００は、ＣＡＮバスであるバス４００Ａ，４００Ｂ，４００Ｃを含む。

【0026】

車載システム１０は、中継ＥＣＵ２００と、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅとを含む。

【0027】

複数のＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両の各部に配置される。ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態、車両の周囲の状態、若しくは車両の周囲の物体を検出若しくは監視したりする。例えば、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、制御系、ボディ系、情報系のＥＣＵである。なお、以下の説明では、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄを総称して「ＥＣＵ３００」ともいう。

【0028】

ＥＣＵ３００の機能は、ソフトウェアによって実現される。すなわち、ＥＣＵ３００は、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態、車両の周囲の状態、若しくは車両の周囲の物体を検出若しくは監視したりするためのアプリケーションソフトウェアを記憶し、アプリケーションソフトウェアを実行することができる。

【0029】

中継ＥＣＵ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれとバス４００Ａ，４００Ｂ，４００Ｃを介して接続されている。具体的には、バス４００Ａには、ＥＣＵ３００Ａ，３００Ｂが接続されている。バス４００Ｂには、ＥＣＵ３００Ｃ，３００Ｄが接続されている。バス４００Ｃには、ＥＣＵ３００Ｅが接続されている。中継ＥＣＵ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれと相互に通信することができる。中継ＥＣＵ２００，ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、「車載装置」の例である。

【0030】

中継ＥＣＵ２００及びＥＣＵ３００は、周期的又は非周期的にメッセージを送受信するための通信プロトコルを使用する。通信プロトコルは、例えば、ＣＡＮ又はＣＡＮ ＦＤ（CAN with Flexible Data Rate）である。他の例では、通信プロトコルは、イーサネット（登録商標）である。イーサネットプロトコルを使用する場合、車載ネットワークは、スター型のネットワークトポロジを有するイーサネットネットワークとなる。

【0031】

中継ＥＣＵ２００は、複数のＥＣＵ３００間の通信を中継するゲートウェイとしての機能を有する。具体的には、中継ＥＣＵ２００は、バス４００Ａ，４００Ｂ，４００Ｃの間で通信（フレーム）を中継する。ＥＣＵ３００は、フレームを送信することができる。フレームは、上述した通信プロトコルに準拠したメッセージである。中継ＥＣＵ２００は、バス４００Ａ，４００Ｂ，４００Ｃの間でフレームを中継する。

【0032】

中継ＥＣＵ２００の機能は、プログラムによって実現される。すなわち、中継ＥＣＵ２００は、フレームを中継するためのアプリケーションソフトウェアを記憶し、アプリケーションソフトウェアを実行することができる。

【0033】

中継ＥＣＵ２００は、バス４００Ｃを介して外部通信装置３５０に接続されている。外部通信装置３５０は、例えばＴＣＵ（Telematics Control Unit）であり、車外の装置と通信することができる。外部通信装置３５０は、例えば第５世代移動通信システム（５Ｇ）、又は第４世代移動通信システム（４Ｇ）等の移動通信システム用の無線通信インタフェースを備える。外部通信装置３５０は、例えば、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のパケットを送受信することができる。外部通信装置３５０は、移動通信ネットワークの基地局（図示せず）に論理的に接続し、インターネットに接続された装置と、基地局を介して通信することができる。具体的には、外部通信装置３５０は、サーバ５００と通信することができる。外部通信装置３５０は、中継ＥＣＵ２００とサーバ５００との間の通信を中継する。

【0034】

サーバ５００は、中継ＥＣＵ２００及びＥＣＵ３００のアプリケーションソフトウェアの更新を管理する。サーバ５００は、アプリケーションソフトウェアの更新用のソフトウェア（更新ソフトウェア）を中継ＥＣＵ２００及びＥＣＵ３００に提供する。すなわち、サーバ５００は、アプリケーションソフトウェアの更新が必要であるとき、更新ソフトウェアを送信する。外部通信装置３５０は、更新ソフトウェアを受信し、受信した更新ソフトウェアを更新対象の車載装置、つまり中継ＥＣＵ２００又はＥＣＵ３００へ転送する。更新対象の車載装置は、更新ソフトウェアを受信すると再起動し、再起動後に更新ソフトウェアを実行することにより、アプリケーションソフトウェアを更新する。

【0035】

［２．中継ＥＣＵのハードウェア構成］
図２は、実施形態に係る中継ＥＣＵのハードウェア構成の一例を示すブロック図である。中継ＥＣＵ２００は、メインプロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、インタフェース（以下、「Ｉ／Ｆ」ともいう）２０４Ａ，２０４Ｂ，２０４Ｃと、セキュリティモジュール２７０とを含む。

【0036】

メインプロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃと、セキュリティモジュールとのそれぞれは、バス（データバス）２０５によって互いに接続されている。メインプロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃと、セキュリティモジュール２７０とのそれぞれは、バス２０５を介して互いにデータを伝送することができる。

【0037】

揮発性メモリ２０３は、例えばＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等の半導体メモリである。不揮発性メモリ２０２は、例えばフラッシュメモリ、ハードディスク等の書き換え可能な不揮発性メモリである。不揮発性メモリ２０２には、ブートローダ２１０、オペレーティングシステム（ＯＳ）２２０、アプリケーションソフトウェア２３０が格納される。なお、ここでいう「ソフトウェア」とは、複数のコンピュータプログラムの集合体である。すなわち、ソフトウェアに含まれる複数のプログラムが協調して動作することにより、１又は複数の機能が実現される。中継ＥＣＵ２００の中継機能は、アプリケーションソフトウェア２３０がメインプロセッサ２０１によって実行されることで実現される。以下、「ソフトウェア」を「ＳＷ」ともいう。

【0038】

メインプロセッサ２０１は、例えばＣＰＵ（Central Processing Unit）である。ただし、メインプロセッサ２０１は、ＣＰＵに限られない。メインプロセッサ２０１は、ＧＰＵ（Graphics Processing Unit）であってもよい。具体的な一例では、メインプロセッサ２０１は、マルチコアプロセッサである。メインプロセッサ２０１は、シングルコアプロセッサであってもよい。メインプロセッサ２０１は、コンピュータプログラムを実行可能に構成される。ただしメインプロセッサ２０１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）を一部に含んでもよいし、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスを一部に含んでもよい。

【0039】

ブートローダ２１０は、中継ＥＣＵ２００の起動に必要な処理（ブートストラップ）を実行するためのプログラムである。ブートストラップでは、ＯＳ２２０が不揮発性メモリ２０２から読み出され、揮発性メモリ２０３にロードされる。

【0040】

ＡＰＰ２３０は、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態、車両の周囲の状態、若しくは車両の周囲の物体を検出若しくは監視したりするためのソフトウェアである。中継ＥＣＵ２００のＡＰＰ２３０は、フレームの中継機能を実現するためのソフトウェアである。

【0041】

ＡＰＰ２３０は、プログラムＡ、プログラムＢ、及びプログラムＣを含む。プログラムＡ、プログラムＢ、及びプログラムＣの間には、依存関係が存在する。例えば、プログラムＡは、通信機能を実現するためのプログラムである。プログラムＢは、ＥＣＵ３００との同期機能を実現するためのプログラムである。プログラムＣは、中継ＥＣＵ２００の自己診断機能を実現するためのプログラムである。

【0042】

さらに具体的な例を用いてプログラムＡ，Ｂ，Ｃについて説明する。プログラムＡは、例えば、ＣＡＮプロトコルを用いた診断機能を実現する。プログラムＢは、例えば、ＥＣＵ３００とＣＡＮプロトコルによる通信を行い、ＥＣＵ３００と同期をとる機能を実現する。プログラムＣは、例えば、車載ネットワーク１００に接続された診断装置から診断の実行指令をＣＡＮプロトコルによって受信し、診断を実行し、診断結果を診断装置へＣＡＮプロトコルによって送信する機能を実現する。プログラムＢは、プログラムＡの実行を必要とする。プログラムＣは、プログラムＡの実行を必要とする。すなわち、プログラムＢ及びプログラムＣは、プログラムＡを用いて実行されるプログラムである。プログラムＢは、プログラムＡの実行中に実行され、プログラムＣは、プログラムＡの実行中に実行される。

【0043】

不揮発性メモリ２０２には、さらに、順番情報２４０が格納される。順番情報２４０は、ブートローダ２１０、ＯＳ２２０、プログラムＡ、プログラムＢ、及びプログラムＣの検証の順番を示す。順番情報２４０の詳細は、後述する。

【0044】

更新データ２５０は、更新ＳＷ２５１を含むデータである。更新ＳＷ２５１は、ＡＰＰ２３０を更新するためのソフトウェアである。更新ＳＷ２５１は、新バージョンのＡＰＰ２３０が公開されたときに提供され、更新ＳＷ２５１を実行することによってＡＰＰ２３０がバージョンアップされる。サーバ５００から更新データ２５０が提供されたときにのみ、更新データ２５０は不揮発性メモリ２０２に格納される。ＡＰＰ２３０の更新後は、更新データ２５０は不揮発性メモリ２０２から削除される。

【0045】

ＡＰＰ２３０が更新されると、ＡＰＰ２３０の部品であるプログラムの構成が変更される。したがって、ＡＰＰ２３０の更新に伴って、順番情報２４０を更新する必要がある。更新データ２５０には、新バージョンのＡＰＰ２３０に対応した順番情報２５２が含まれる。ＡＰＰ２３０の更新の際には、順番情報２４０があらたな順番情報２５２に書き換えられる。

【0046】

Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、上述した車載ネットワーク用の通信プロトコルに準拠した通信インタフェースである。すなわち、Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、例えばＣＡＮインタフェースである。他の例では、Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、イーサネットインタフェースである。

【0047】

Ｉ／Ｆ２０４Ａは、バス４００Ａに接続されている。Ｉ／Ｆ２０４Ｂは、バス４００Ｂに接続されている。Ｉ／Ｆ２０４Ｃは、バス４００Ｃに接続されている。中継ＥＣＵ２００は、Ｉ／Ｆ２０４Ａによって、ＥＣＵ３００Ａ及び３００Ｂと通信することができる。中継ＥＣＵ２００は、Ｉ／Ｆ２０４Ｂによって、ＥＣＵ３００Ｃ及び３００Ｄと通信することができる。中継ＥＣＵ２００は、Ｉ／Ｆ２０４Ｃによって、ＥＣＵ３００Ｅと通信することができる。さらに、中継ＥＣＵ２００は、Ｉ／Ｆ２０４Ｃによって、外部通信装置３５０を介してサーバ５００と通信することができる。

【0048】

セキュリティモジュール２７０は、プログラムの検証を行うためのハードウェアモジュールであり、例えばＨＳＭ（Hardware Security Module）である。セキュリティモジュール２７０は、セキュリティプロセッサ２７１と、不揮発性メモリ２７２と、揮発性メモリ２７３とを含む。

【0049】

揮発性メモリ２７３は、例えばＳＲＡＭ、ＤＲＡＭ等の半導体メモリである。不揮発性メモリ２７２は、例えばフラッシュメモリ等の書き換え可能な不揮発性メモリである。不揮発性メモリ２７２には、起動プログラム２８０が格納される。起動プログラム２８０は、中継ＥＣＵ２００の起動時にプログラムの検証処理を実行し、検証に成功したプログラムを起動させるためのプログラムである。

【0050】

セキュリティプロセッサ２７１は、例えばＣＰＵである。ただし、セキュリティプロセッサ２７１は、ＣＰＵに限られない。セキュリティプロセッサ２７１は、ＧＰＵであってもよい。具体的な一例では、セキュリティプロセッサ２７１は、マルチコアプロセッサである。セキュリティプロセッサ２７１は、シングルコアプロセッサであってもよい。セキュリティプロセッサ２７１は、コンピュータプログラムを実行可能に構成される。ただしセキュリティプロセッサ２７１は、例えば、ＡＳＩＣ又はプログラマブルロジックデバイスを一部に含んでもよい。

【0051】

セキュリティモジュール２７０は、プログラムの検証処理を内部において完結させる。セキュリティモジュール２７０は、プログラムの検証処理において生成されたデータを、セキュリティモジュール２７０の外部に漏出しないように構成されている。

【0052】

［３．中継ＥＣＵの機能］
図３は、実施形態に係る中継ＥＣＵの機能の一例を示す機能ブロック図である。

【0053】

中継ＥＣＵ２００は、実行部２１１と、検証部２８１と、起動制御部２８２との各機能を有する。実行部２１１は、メインプロセッサ２０１によって実現される第１機能２０１Ａであり、検証部２８１と、起動制御部２８２とのそれぞれは、セキュリティプロセッサ２７１によって実現される第２機能２７１Ａである。

【0054】

検証部２８１は、不揮発性メモリ２０２に格納されたプログラムを検証する。具体的な一例では、検証部２８１は、不揮発性メモリ２０２に格納されたブートローダ２１０、ＯＳ２２０、プログラムＡ、プログラムＢ、及びプログラムＣのそれぞれを検証する。不揮発性メモリ２０２は、「格納部」の一例である。

【0055】

ここで、検証処理について説明する。セキュリティモジュール２７０では、公開鍵方式の検証処理が実行される。まず、セキュリティモジュール２７０が検証対象のプログラムを不揮発性メモリ２０２から読み出す。プログラムには、予めプログラム作成者が秘密鍵を用いて作成した電子署名が付与されている。電子署名は、プログラムのコードから生成されたハッシュ値を秘密鍵で暗号化することによって生成された情報である。セキュリティプロセッサ２７１は、セキュリティモジュール２７０が予め保持する公開鍵を用いて電子署名を復号化し、復号化によって得られたハッシュ値と、プログラムのコードから生成したハッシュ値とを比較し、プログラムが正当であるか否かを検証する。

【0056】

プログラムの検証の順番は、プログラム間の依存関係にしたがって定まる。すなわち、他のプログラムの実行に用いられるプログラムは、優先度が高く、他のプログラムよりも先に検証される。例えば、ＯＳ２２０は、全てのプログラムの実行の基礎となるプログラムであり、最も優先度が高い。したがって、ＯＳ２２０を起動するためのプログラムであるブートローダ２１０及びＯＳ２２０は、最初に検証される。プログラムＡは、プログラムＢ及びプログラムＣの実行に必要なプログラムである。したがって、プログラムＡは、プログラムＢ及びプログラムＣよりも優先度が高く、プログラムＢ及びプログラムＣよりも先に検証される。プログラムＢ及びプログラムＣは、他のプログラムの実行には使用されない。このため、プログラムＢ及びプログラムＣは、最も優先度が低く、最後に検証される。なお、プログラムＢ及びプログラムＣは、どちらが先に検証されてもよい。ここでは、プログラムＢがプログラムＣよりも先に検証されることとして説明する。すなわち、ブートローダ２１０、ＯＳ２２０、プログラムＡ、プログラムＢ、及びプログラムＣの順番で検証される。

【0057】

順番情報２４０は、プログラムの検証の順番を規定する。すなわち順番情報２４０には、ブートローダ２１０、ＯＳ２２０、プログラムＡ、プログラムＢ、及びプログラムＣの順番が定められている。実施形態では、検証部２８１は、順番情報２４０に基づいて、ブートローダ２１０、ＯＳ２２０、プログラムＡ、プログラムＢ、及びプログラムＣを順番に検証する。ＯＳ２２０を「第１プログラム」とする場合、プログラムＡは「第２プログラム」に相当し、プログラムＢ及びプログラムＣは「第３プログラム」に相当する。プログラムＡを「第１プログラム」とする場合、プログラムＢ及びプログラムＣは「第２プログラム」に相当する。

【0058】

順番情報２４０は、検証対象のプログラムの格納位置を特定するための格納位置情報を含む。

【0059】

図４は、不揮発性メモリにおけるプログラムの格納位置の一例を説明するための図である。図４の例では、不揮発性メモリ２０２におけるブートローダ２１０の格納領域の先頭アドレスは「ＡＤＤＲ０１」であり、ブートローダ２１０のデータサイズは「ＳＺ０１」である。すなわち、先頭アドレス「ＡＤＤＲ０１」及びデータサイズ「ＳＺ０１」によって、ブートローダ２１０の格納位置が特定される。順番情報２４０では、例えば、ブートローダ２１０の格納位置情報として、先頭アドレス「ＡＤＤＲ０１」及びデータサイズ「ＳＺ０１」が含まれる。

【0060】

同様に、図４の例では、不揮発性メモリ２０２におけるＯＳ２２０の格納領域の先頭アドレスは「ＡＤＤＲ０２」であり、ＯＳ２２０のデータサイズは「ＳＺ０２」である。順番情報２４０では、例えば、ＯＳ２２０の格納位置情報として、先頭アドレス「ＡＤＤＲ０２」及びデータサイズ「ＳＺ０２」が含まれる。

【0061】

同様に、図４の例では、不揮発性メモリ２０２におけるプログラムＡの格納領域の先頭アドレスは「ＡＤＤＲ０３」であり、プログラムＡのデータサイズは「ＳＺ０３」である。順番情報２４０では、例えば、プログラムＡの格納位置情報として、先頭アドレス「ＡＤＤＲ０３」及びデータサイズ「ＳＺ０３」が含まれる。

【0062】

同様に、図４の例では、不揮発性メモリ２０２におけるプログラムＢの格納領域の先頭アドレスは「ＡＤＤＲ０４」であり、プログラムＢのデータサイズは「ＳＺ０４」である。順番情報２４０では、例えば、プログラムＢの格納位置情報として、先頭アドレス「ＡＤＤＲ０４」及びデータサイズ「ＳＺ０４」が含まれる。

【0063】

同様に、図４の例では、不揮発性メモリ２０２におけるプログラムＣの格納領域の先頭アドレスは「ＡＤＤＲ０５」であり、プログラムＣのデータサイズは「ＳＺ０５」である。順番情報２４０では、例えば、プログラムＣの格納位置情報として、先頭アドレス「ＡＤＤＲ０５」及びデータサイズ「ＳＺ０５」が含まれる。

【0064】

順番情報２４０において、上述したプログラムの格納位置情報が、検証の順番で並んでいる。検証部２８１は、順番情報２４０の先頭の格納位置情報に示される格納位置からプログラムを読み出し、読み出したプログラムの検証処理を実行する。

【0065】

順番情報２４０は、さらに、各プログラムについて、そのプログラムの実行に必要なプログラムを特定する情報（以下、「使用プログラム特定情報」という）を含む。例えば、プログラムＢの実行にはプログラムＡが必要である。したがって、プログラムＢの実行に必要なプログラムＡを特定する使用プログラム特定情報が、順番情報２４０に含まれる。同様に、プログラムＣの実行にはプログラムＡが必要である。したがって、プログラムＣの実行に必要なプログラムＡを特定する使用プログラム特定情報が、順番情報２４０に含まれる。

【0066】

図３に戻り、起動制御部２８２は、検証したプログラムを起動する。具体的には、第１プログラムの検証が成功し、且つ、第２プログラムの検証が成功した場合に、起動制御部２８２は、第１プログラム及び第２プログラムのそれぞれを起動する。第１プログラムの検証が成功し、且つ、第２プログラムの検証が失敗した場合に、起動制御部２８２は、第１プログラムを起動し、第２プログラムを起動しない。

【0067】

上述したように、第１プログラムがブートローダ２１０及びＯＳ２２０であり、第２プログラムがプログラムＡであると考えることができる。したがって、ブートローダ２１０及びＯＳ２２０の検証が成功し、且つ、プログラムＡの検証が成功した場合、起動制御部２８２は、ブートローダ２１０を起動する。ブートローダ２１０が実行されると、ＯＳ２２０が起動する。起動制御部２８２は、ＯＳ２２０の起動後、検証が成功したプログラムＡを起動する。

【0068】

ブートローダ２１０及びＯＳ２２０の検証が成功し、且つ、プログラムＡの検証が失敗した場合、起動制御部２８２は、ブートローダ２１０を起動する。ブートローダ２１０が実行されると、ＯＳ２２０が起動する。起動制御部２８２は、ＯＳ２２０の起動後、検証が失敗したプログラムＡを起動しない。

【0069】

上述したように、第１プログラムがプログラムＡであり、第２プログラムがプログラムＢ又はプログラムＣであると考えることができる。したがって、プログラムＡの検証が成功し、且つ、プログラムＢの検証が成功した場合、起動制御部２８２は、プログラムＡを起動し、プログラムＡの起動後、プログラムＢを起動することができる。同様に、プログラムＡの検証が成功し、且つ、プログラムＣの検証が成功した場合、起動制御部２８２は、プログラムＡを起動し、プログラムＡの起動後、プログラムＣを起動することができる。

【0070】

プログラムＡの検証が成功し、且つ、プログラムＢの検証が失敗した場合、起動制御部２８２は、プログラムＡを起動する。プログラムＡの起動後、検証が失敗したプログラムＢを起動しない。同様に、プログラムＡの検証が成功し、且つ、プログラムＣの検証が失敗した場合、起動制御部２８２は、プログラムＡを起動する。プログラムＡの起動後、検証が失敗したプログラムＣを起動しない。

【0071】

起動制御部２８２は、第１プログラムの検証が成功し、第２プログラムの検証が成功し、且つ、第３プログラムの検証が成功した場合に、第１プログラムと、第２プログラムと、第３プログラムとのそれぞれを起動する。起動制御部２８２は、第１プログラムの検証が成功し、第２プログラムの検証が成功し、且つ、第３プログラムの検証が失敗した場合に、第１プログラムと、第２プログラムとを起動し、第３プログラムを起動しない。

【0072】

第１プログラムがブートローダ２１０及びＯＳ２２０であり、第２プログラムがプログラムＡであるとした場合、第３プログラムがプログラムＢ又はプログラムＣであると考えることができる。したがって、ブートローダ２１０及びＯＳ２２０の検証が成功し、プログラムＡの検証が成功し、且つ、プログラムＢ（又はプログラムＣ）の検証が成功した場合、起動制御部２８２は、ブートローダ２１０を起動する。ブートローダ２１０が実行されると、ＯＳ２２０が起動する。起動制御部２８２は、ＯＳ２２０の起動後、検証が成功したプログラムＡを起動する。起動制御部２８２は、プログラムＡの起動後、検証が成功したプログラムＢ（又はプログラムＣ）を起動する。

【0073】

ブートローダ２１０及びＯＳ２２０の検証が成功し、プログラムＡの検証が成功し、且つ、プログラムＢ（又はプログラムＣ）の検証が失敗した場合、起動制御部２８２は、ブートローダ２１０を起動する。ブートローダ２１０が実行されると、ＯＳ２２０が起動する。起動制御部２８２は、ＯＳ２２０の起動後、検証が成功したプログラムＡを起動する。起動制御部２８２は、プログラムＡの起動後、検証が失敗したプログラムＢ（又はプログラムＣ）を起動しない。

【0074】

第１プログラムの検証が成功し、且つ、第２プログラムの検証が失敗した場合に、検証部２８１は、第３プログラムの検証を行わない。この場合、起動制御部２８２は、第３プログラムを起動しない。すなわち、第１プログラムの検証が成功し、且つ、第２プログラムの検証が失敗した場合に、起動制御部２８２は、第１プログラムを起動し、且つ、第２プログラム及び第３プログラムを起動しない。

【0075】

第１プログラムがブートローダ２１０及びＯＳ２２０であり、第２プログラムがプログラムＡであり、第３プログラムがプログラムＢ及びプログラムＣであると考える。ブートローダ２１０及びＯＳ２２０の検証が成功し、且つ、プログラムＡの検証が失敗した場合、検証部２８１は、プログラムＢ及びプログラムＣの検証を行わない。この場合、起動制御部２８２は、ブートローダ２１０及びＯＳ２２０を起動し、プログラムＡ、プログラムＢ及びプログラムＣを起動しない。

【0076】

検証部２８１は、さらに、順番情報２４０を検証する。検証部２８１は、最初に順番情報２４０を検証することができる。すなわち、検証部２８１は、順番情報２４０を検証した後に、ブートローダ２１０及びＯＳ２２０を検証する。

【0077】

さらに具体的には、順番情報２４０の検証が成功した場合、検証部２８１は、第１プログラムであるブートローダ２１０及びＯＳ２２０を検証する。順番情報２４０の検証が失敗した場合、検証部２８１は、第１プログラムであるブートローダ２１０及びＯＳ２２０を検証しない。この場合、起動制御部２８２は、第１プログラムであるブートローダ２１０及びＯＳ２２０を起動しない。

【0078】

起動制御部２８２は、メインプロセッサ２０１にプログラムの実行を指示することにより、プログラムの起動を制御する。すなわち、起動制御部２８２は、メインプロセッサ２０１によって実現される実行部２１１にプログラムの実行を指示する。

【0079】

起動制御部２８２は、ブートローダ２１０及びＯＳ２２０を起動する場合、実行部２１１にブートローダ２１０の実行を指示する。実行部２１１は、ブートローダ２１０の実行指示を受け付けると、不揮発性メモリ２０２に格納されたブートローダ２１０を起動する。ブートローダ２１０が実行されると、揮発性メモリ２０３にＯＳ２２０がロードされ、ＯＳ２２０が起動する。

【0080】

起動制御部２８２は、プログラムＡを起動する場合、実行部２１１にプログラムＡの実行を指示する。実行部２１１は、プログラムＡの実行指示を受け付けると、ＯＳ２２０が起動した後に、不揮発性メモリ２０２に格納されたプログラムＡを起動する。

【0081】

起動制御部２８２は、プログラムＢ（又はプログラムＣ）を起動する場合、実行部２１１にプログラムＢ（又はプログラムＣ）の実行を指示する。実行部２１１は、プログラムＢ（又はプログラムＣ）の実行指示を受け付けると、プログラムＡが起動した後に、不揮発性メモリ２０２に格納されたプログラムＢ（又はプログラムＣ）を起動する。

【0082】

［４．中継ＥＣＵの動作］
中継ＥＣＵ２００は、例えば停止状態から電源を投入された場合に起動する。他の例では、中継ＥＣＵ２００は、スリープ状態において、ＮＭフレーム（ＮＭ：Network Management）を受信した場合に起動（ウェイクアップ）する。このように中継ＥＣＵ２００が起動する場合、セキュリティプロセッサ２７１が起動プログラム２８０を開始する。これにより、セキュリティプロセッサ２７１によって起動処理が実行される。図５は、実施形態に係る中継ＥＣＵのセキュリティプロセッサによる起動処理の一例を示すフローチャートである。

【0083】

セキュリティプロセッサ２７１は、検証順番を示す変数ｉを初期化する（ステップＳ１０１）。例えば、変数ｉの初期値は０である。

【0084】

セキュリティプロセッサ２７１は、不揮発性メモリ２０２から順番情報２４０を読み出し、順番情報２４０に対する検証処理を実行する（ステップＳ１０２）。

【0085】

セキュリティプロセッサ２７１は、順番情報２４０の検証が成功したか否かを判定する（ステップＳ１０３）。順番情報２４０の検証が失敗した場合（ステップＳ１０３においてＮＯ）、セキュリティプロセッサ２７１は、起動処理を終了する。

【0086】

順番情報２４０の検証が成功した場合（ステップＳ１０３においてＹＥＳ）、セキュリティプロセッサ２７１は、順番情報２４０を参照し、ブートローダ２１０及びＯＳ２２０の格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置からブートローダ２１０及びＯＳ２２０を読み出し、ブートローダ２１０及びＯＳ２２０のそれぞれに対する検証処理を実行する（ステップＳ１０４）。

【0087】

セキュリティプロセッサ２７１は、ブートローダ２１０又はＯＳ２２０の検証が成功したか否かを判定する（ステップＳ１０５）。ブートローダ２１０及びＯＳ２２０のすくなくとも１つの検証が失敗した場合（ステップＳ１０５においてＮＯ）、セキュリティプロセッサ２７１は、起動処理を終了する。

【0088】

ブートローダ２１０及びＯＳ２２０の検証が成功した場合（ステップＳ１０５においてＹＥＳ）、セキュリティプロセッサ２７１は、メインプロセッサ２０１へブートローダ２１０の実行を指示する（ステップＳ１０６）。メインプロセッサ２０１は、この実行指示を受け付けると、ブートローダ２１０を起動する。ブートローダ２１０が実行されると、ＯＳ２２０が揮発性メモリ２０３にロードされ、ＯＳ２２０が起動する。

【0089】

セキュリティプロセッサ２７１は、変数ｉの値をインクリメントする（ステップＳ１０７）。

【0090】

セキュリティプロセッサ２７１は、順番情報２４０の使用プログラム特定情報を参照し、検証順番がｉ番目のプログラムの実行に必要なプログラムあれば、そのプログラムを特定する。セキュリティプロセッサ２７１は、ｉ番目のプログラムの実行に必要なプログラムがある場合、そのプログラムの検証が失敗したか否かを判定する。すなわち、セキュリティプロセッサ２７１は、検証順番がｉ番目のプログラムが、検証に失敗したプログラムを必要とするプログラムであるか否かを判定する（ステップＳ１０８）。

【0091】

検証順番がｉ番目のプログラムが、検証に失敗したプログラムを必要とするプログラムである場合（ステップＳ１０８においてＹＥＳ）、セキュリティプロセッサ２７１は、以下のステップＳ１０９からＳ１１１をスキップし、ステップＳ１１２へ進む。

【0092】

検証順番がｉ番目のプログラムが、検証に失敗したプログラムを必要とするプログラムでない場合（ステップＳ１０８においてＮＯ）、セキュリティプロセッサ２７１は、順番情報２４０を参照し、検証順番がｉ番目のプログラムの格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置のプログラムに対する検証処理を実行する（ステップＳ１０９）。

【0093】

セキュリティプロセッサ２７１は、ｉ番目のプログラムの検証が成功したか否かを判定する（ステップＳ１１０）。

【0094】

ｉ番目のプログラムの検証が成功した場合（ステップＳ１１０においてＹＥＳ）、セキュリティプロセッサ２７１は、メインプロセッサ２０１へｉ番目のプログラムの実行を指示する（ステップＳ１１１）。メインプロセッサ２０１は、この実行指示を受け付けると、ｉ番目のプログラムを起動する。

【0095】

ｉ番目のプログラムの検証が失敗した場合（ステップＳ１１０においてＮＯ）、セキュリティプロセッサ２７１は、ステップＳ１１１をスキップする。これにより、ｉ番目のプログラムが起動しない。

【0096】

セキュリティプロセッサ２７１は、ｉがＮに一致しているか否かを判定する（ステップＳ１１２）。ここで、Ｎは、中継ＥＣＵ２００において検証する対象のプログラムの総数である。すなわち、ｉがＮより小さい場合、検証されていないプログラムが残っている。ｉがＮに一致している場合、全てのプログラムの検証が完了している。

【0097】

ｉがＮに一致していない場合（ステップＳ１１２においてＮＯ）、セキュリティプロセッサ２７１は、ステップＳ１０７に戻る。これにより、検証順番が次のプログラムが検証される。

【0098】

ｉがＮに一致している場合（ステップＳ１１２においてＹＥＳ）、セキュリティプロセッサ２７１は、起動処理を終了する。

【0099】

図６は、実施形態に係る中継ＥＣＵにおける起動シーケンスの一例を示すシーケンス図である。ここで、起動シーケンスとは、中継ＥＣＵ２００の起動開始（電源投入又はＮＭフレームの受信）から、検証に成功した全てのプログラムの起動が完了するまでの処理をいう。

【0100】

まず、セキュリティプロセッサ２７１は、不揮発性メモリ２０２から順番情報２４０を読み出し、順番情報２４０に対する検証処理を実行する（ステップＳ２１）。

【0101】

セキュリティプロセッサ２７１は、順番情報２４０を参照し、ブートローダ２１０及びＯＳ２２０の格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置からブートローダ２１０及びＯＳ２２０を読み出し、ブートローダ２１０及びＯＳ２２０に対する検証処理を実行する（ステップＳ２２）。

【0102】

ブートローダ２１０及びＯＳ２２０の検証が成功した場合、セキュリティプロセッサ２７１は、メインプロセッサ２０１へブートローダ２１０の実行を指示する（ステップＳ２３）。メインプロセッサ２０１は、ブートローダ２１０の実行指示を受け付けると、ブートローダ２１０を起動する（ステップＳ１１）。これにより、ＯＳ２２０が起動する。

【0103】

セキュリティプロセッサ２７１は、順番情報２４０を参照し、プログラムＡの格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置からプログラムＡを読み出し、プログラムＡに対する検証処理を実行する（ステップＳ２４）。プログラムＡの検証処理は、メインプロセッサ２０１におけるＯＳ２２０の起動と同時に実行される。

【0104】

プログラムＡの検証が成功した場合、セキュリティプロセッサ２７１は、メインプロセッサ２０１へプログラムＡの実行を指示する（ステップＳ２５）。メインプロセッサ２０１は、プログラムＡの実行指示を受け付けると、プログラムＡを起動する（ステップＳ１２）。例えば、プログラムＡの実行指示は、ＯＳ２２０の起動完了の後にメインプロセッサ２０１へ出力される。

【0105】

セキュリティプロセッサ２７１は、順番情報２４０を参照し、プログラムＢの格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置からプログラムＢを読み出し、プログラムＢに対する検証処理を実行する（ステップＳ２６）。プログラムＢの検証処理は、メインプロセッサ２０１におけるプログラムＡの起動と同時に実行される。

【0106】

プログラムＢの検証が成功した場合、セキュリティプロセッサ２７１は、メインプロセッサ２０１へプログラムＢの実行を指示する（ステップＳ２７）。メインプロセッサ２０１は、プログラムＢの実行指示を受け付けると、プログラムＢを起動する（ステップＳ１３）。例えば、プログラムＢの実行指示は、プログラムＢの実行に必要なプログラムＡの起動完了の後にメインプロセッサ２０１へ出力される。

【0107】

セキュリティプロセッサ２７１は、順番情報２４０を参照し、プログラムＣの格納位置を特定する。セキュリティプロセッサ２７１は、特定した格納位置からプログラムＣを読み出し、プログラムＣに対する検証処理を実行する（ステップＳ２８）。プログラムＣの検証処理は、メインプロセッサ２０１におけるプログラムＢの起動と同時に実行される。

【0108】

プログラムＣの検証が成功した場合、セキュリティプロセッサ２７１は、メインプロセッサ２０１へプログラムＣの実行を指示する（ステップＳ２９）。メインプロセッサ２０１は、プログラムＣの実行指示を受け付けると、プログラムＣを起動する。例えば、プログラムＣの実行指示は、プログラムＣの実行に必要なプログラムＡの起動完了の後にメインプロセッサ２０１へ出力される。プログラムＢは、プログラムＣの実行に必要ではないため、プログラムＢの起動中に、プログラムＣの実行指示がメインプロセッサ２０１へ出力されてもよい。

【0109】

上記の起動シーケンスにおいて、プログラムＢの検証が失敗した場合、セキュリティプロセッサ２７１は、プログラムＢの実行指示を出力せずに、プログラムＣの検証処理を実行する。このため、検証に失敗したプログラムＢは起動されず、検証に成功したプログラムＡ及びプログラムＣが起動される。

【0110】

上記の起動シーケンスにおいて、プログラムＡの検証が失敗した場合、セキュリティプロセッサ２７１は、プログラムＡの実行指示を出力しない。さらに、セキュリティプロセッサ２７１は、プログラムＡを必要とするプログラムＢ及びプログラムＣの検証処理をスキップし、このため、プログラムＢ及びプログラムＣの実行指示も出力しない。このように、プログラムＡの検証が失敗した場合に、検証する必要がないプログラムＢ及びプログラムＣの検証処理が省略される。

【0111】

［５．変型例］
上述した実施形態では、順番情報２４０が不揮発性メモリ２０２に格納され、順番情報２４０によってプログラムの検証順番を特定したが、これに限定されない。例えば、起動プログラム２８０に、プログラムの検証順番を示す情報が含まれてもよい。この場合、順番情報２４０の検証を省略することができる。

【0112】

上述した各実施形態では、中継ＥＣＵ２００の起動シーケンスについて説明したが、これに限定されるものではない。ＥＣＵ３００の起動シーケンスにおいても、上記と同様の処理とすることができる。

【0113】

［６．補記］
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。

【符号の説明】

【0114】

１０ 車載システム
１００ 車載ネットワーク
２００ 中継ＥＣＵ（車載装置）
２０１ メインプロセッサ
２０１Ａ 第１機能
２０２ 不揮発性メモリ
２０３ 揮発性メモリ
２０４Ａ，２０４Ｂ，２０４Ｃ インタフェース（Ｉ／Ｆ）
２０５ バス
２１０ ブートローダ
２１１ 実行部
２２０ オペレーティングシステム（ＯＳ）
２３０ アプリケーションソフトウェア（ＡＰＰ）
２４０ 順番情報
２５０ 更新データ
２５１ 更新ソフトウェア（更新ＳＷ）
２５２ 順番情報
２７０ セキュリティモジュール
２７１ セキュリティプロセッサ
２７１Ａ 第２機能
２７２ 不揮発性メモリ
２７３ 揮発性メモリ
２８０ 起動プログラム
２８１ 検証部
２８２ 起動制御部
３００，３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ ＥＣＵ（車載装置）
３５０ 外部通信装置
４００Ａ，４００Ｂ，４００Ｃ バス
５００ サーバ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】