特許 7524750 車両の制御装置、車両の制御方法及び制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-22

(45)【発行日】2024-07-30

(54)【発明の名称】車両の制御装置、車両の制御方法及び制御プログラム

(51)【国際特許分類】

   G06F 9/445 20180101AFI20240723BHJP

   G06F 21/12 20130101ALI20240723BHJP

   G06F 21/64 20130101ALI20240723BHJP

【ＦＩ】

G06F9/445

G06F21/12 310

G06F21/64

【請求項の数】 7

(21)【出願番号】P 2020203435

(22)【出願日】2020-12-08

(65)【公開番号】P2022090870

(43)【公開日】2022-06-20

【審査請求日】2023-07-18

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001519

【氏名又は名称】弁理士法人太陽国際特許事務所

(72)【発明者】

【氏名】恩田 祐輔

(72)【発明者】

【氏名】山本 剛

【審査官】円子 英紀

(56)【参考文献】

【文献】特開２００６－０３１２０３（ＪＰ，Ａ）

【文献】国際公開第２０１０／１００７６９（ＷＯ，Ａ１）

【文献】特開２００６－３５０４８９（ＪＰ，Ａ）

【文献】米国特許第０７２６３７００（ＵＳ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ９／４４５

Ｇ０６Ｆ ２１／１２

Ｇ０６Ｆ ２１／６４

(57)【特許請求の範囲】

【請求項1】

車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部と、
各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証部と、
を備える車両の制御装置。

【請求項2】

各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用するか否かを決定する流用判断部を更に備え、
前記検証部は、
他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用すると決定した場合には、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用して、前記ＶＭのソフトウェアを検証し、
他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用しないと決定した場合には、前記ＶＭのＶＭソフトウェア及び前記共通ソフトウェアを検証
する請求項１記載の車両の制御装置。

【請求項3】

前記検証部は、前記ＶＭのソフトウェアの真正性を検証する請求項１又は２記載の車両の制御装置。

【請求項4】

前記検証部は、前記複数のＶＭのソフトウェアを起動するときに、各前記ＶＭのソフトウェアを検証する請求項１～請求項３の何れか１項記載の車両の制御装置。

【請求項5】

前記指標は、前記ＶＭが制御する機器の機能安全に関する機能安全指標、又は前記ＶＭのソフトウェアのセキュリティに関するセキュリティ指標である請求項１～請求項４の何れか１項記載の車両の制御装置。

【請求項6】

車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部を含むコンピュータが、
各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証ステップ
を備える車両の制御方法。

【請求項7】

車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部を含むコンピュータに、
各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証ステップ
を含む処理を実行させるための制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両の制御装置、車両の制御方法及び制御プログラムに関する。

【背景技術】

【0002】

車両のＥＣＵの機能をソフトウェアとして１つの制御装置に統合するような開発が行われている。例えば、特許文献１には、バーチャルマシン（ＶＭ）間でプログラムモジュールを共用し、ＶＭの起動時間短縮やメモリ節約をする技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第５２３６３６７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ここで、車両のＥＣＵの機能を有する複数のソフトウェアを１つの制御装置で実行する場合、複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）を構成することで実現される。この場合、ＥＣＵの起動時に、ＶＭを構成するのに必要なソフトウェアの真正性を検証するため、ＶＭの数が増加すると、真正性の検証にかかる時間がＶＭの数に比例して増加し、全てのＶＭを起動し終わるまでの時間が増加してしまう。

【0005】

本発明は、複数のＶＭで共用するソフトウェアの検証の結果を流用することにより、複数のＶＭのソフトウェアの検証にかかる時間を短くする車両の制御装置、車両の制御方法及び制御プログラムを提供することを目的とする。

【課題を解決するための手段】

【0006】

請求項１に記載の車両の制御装置は、車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部と、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証部と、を備えている。

【0007】

請求項１に記載の車両の制御装置では、車両に搭載された機器を制御する複数のＶＭのソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアが、記憶部に記憶されている。当該車両の制御装置では、検証部により、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する。これにより、共通ソフトウェアの検証を重複して行わない分だけ、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。すなわち、複数のＶＭで共用するソフトウェアの検証の結果を流用することにより、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。

【0008】

請求項２に記載の車両の制御装置は、請求項１に記載の車両の制御装置において、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用するか否かを決定する流用判断部を更に備え、前記検証部は、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用すると決定した場合には、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用して、前記ＶＭのソフトウェアを検証し、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用しないと決定した場合には、前記ＶＭのＶＭソフトウェア及び前記共通ソフトウェアを検証する。これにより、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用すると決定した場合には、共通ソフトウェアの検証を重複して行わないため、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。

【0009】

請求項３に記載の車両の制御装置は、請求項１又は２に記載の車両の制御装置において、前記検証部は、前記ＶＭのソフトウェアの真正性を検証する。これにより、複数のＶＭのソフトウェアの真正性の検証にかかる時間を短くすることができる。なお、真正性を検証する、とは、改ざんされていないことを検証することである。

【0010】

請求項４に記載の車両の制御装置は、請求項１～請求項３の何れか１項記載の車両の制御装置において、前記検証部は、前記複数のＶＭのソフトウェアを起動するときに、各前記ＶＭのソフトウェアを検証する。これにより、複数のＶＭのソフトウェアを起動するのにかかる時間を短くすることができる。なお、ＶＭのソフトウェアを起動する、とは、ＶＭのＶＭソフトウェア及び共通ソフトウェアを記憶部から読み出して展開することである。

【0011】

請求項５に記載の車両の制御装置は、請求項１～請求項４の何れか１項記載の車両の制御装置において、前記指標は、前記ＶＭが制御する機器の機能安全に関する機能安全指標、又は前記ＶＭのソフトウェアのセキュリティに関するセキュリティ指標である。これにより、ＶＭが制御する機器の機能安全、又はＶＭのソフトウェアのセキュリティと、複数のＶＭのソフトウェアの検証にかかる時間の短縮とを両立することができる。

【0012】

請求項６に記載の車両の制御方法は、車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部を含むコンピュータが、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証ステップ、を備えている。

【0013】

請求項６に記載の車両の制御方法は、検証ステップにより、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する。これにより、共通ソフトウェアの検証を重複して行わない分だけ、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。すなわち、複数のＶＭで共用するソフトウェアの検証の結果を流用することにより、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。

【0014】

請求項７に記載の制御プログラムは、車両に搭載された機器を制御する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）のソフトウェアであるＶＭソフトウェア、及び２以上の前記ＶＭで共用される共通ソフトウェアを記憶する記憶部を含むコンピュータに、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する検証ステップを含む処理を実行させる。

【0015】

請求項７に記載の制御プログラムは、検証ステップにより、各前記ＶＭのソフトウェアを検証する際に、前記ＶＭに対して予め付与された指標に応じて、他の前記ＶＭのソフトウェアの検証で得られた、前記共通ソフトウェアの検証結果を流用する。これにより、共通ソフトウェアの検証を重複して行わない分だけ、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。すなわち、複数のＶＭで共用するソフトウェアの検証の結果を流用することにより、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。

【発明の効果】

【0016】

本発明によれば、複数のＶＭで共用するソフトウェアの検証の結果を流用することにより、複数のＶＭのソフトウェアの検証にかかる時間を短くすることができる。

【図面の簡単な説明】

【0017】

【図1】第１の実施形態に係る車両のハードウェア構成を示すブロック図である。

【図2】第１の実施形態の車両の機能構成の例を示すブロック図である。

【図3】第１の実施形態における起動処理の流れを示すフローチャートである。

【図4】第１の実施形態における起動処理の流れを示すフローチャート（図３の具体例）である。

【図5】第２の実施形態の車両の機能構成の例を示すブロック図である。

【図6】第３の実施形態の車両の機能構成の例を示すブロック図である。

【図7】第４の実施形態の車両の機能構成の例を示すブロック図である。

【図8】第５の実施形態の車両の機能構成の例を示すブロック図である。

【図9】第５の実施形態における起動処理の流れを示すフローチャートである。

【図10】第５の実施形態の他の例における起動処理の流れを示すフローチャートである。

【図11】実施形態の他の例における車両の機能構成の例を示すブロック図である。

【図12】実施形態の他の例における起動処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0018】

［第１の実施形態］
図１は、第１の実施形態に係る車両１２の制御系を示すブロック図である。

【0019】

（構成）
図１に示されるように、第１の実施形態に係る車両１２は、車両の制御装置（以下、単に「制御装置」とする）１０としてのＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０と、ＥＣＵ２０に接続される車載機器群１６とを含んで構成されている。車載機器群１６は、車両１２に設けられたセンサ類であって、ボデー各部、エンジン各部に装着されたセンサを含む。また、車載機器群１６は、車両１２に設けられた駆動用の装置類であって、ボデー各部、エンジン各部に装着されたモータ、バルブ、アクチュエータを含む。

【0020】

ＥＣＵ２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０Ａ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０Ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０Ｃ、通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）２０Ｄ及び入出力Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）２０Ｅ、ストレージ２０Ｆ及びセキュリティモジュール２０Ｇを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ、入出力Ｉ／Ｆ２０Ｅ、ストレージ２０Ｆ及びセキュリティモジュール２０Ｇは、バス２０Ｈを介して相互に通信可能に接続されている。

【0021】

ＣＰＵ２０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａは、ＲＯＭ２０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃを作業領域としてプログラムを実行する。本実施形態では、ＣＰＵ２０Ａ自体を複数備えてもよいし（いわゆる、マルチプロセッサ）、ＣＰＵ２０Ａにおいてコアを複数有していてもよい（いわゆる、マルチコア）。

【0022】

ＲＯＭ２０Ｂは、各種プログラム及び各種データを記憶している。本実施形態のＲＯＭ２０Ｂには、制御プログラム２００が記憶されている。制御プログラム２００は、後述する起動処理を行うためのプログラムである。また、ＲＯＭ２０Ｂには、複数のＶＭで共用される共通ソフトウェア群２１０が記憶されている。

【0023】

ＲＡＭ２０Ｃは、作業領域として一時的にプログラム又はデータを記憶する。

【0024】

通信Ｉ／Ｆ２０Ｄは、車両１２に設けられた他の装置と接続するためのインタフェースである。当該インタフェースは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、イーサネット（登録商標）等による通信規格が用いられる。

【0025】

入出力Ｉ／Ｆ２０Ｅは、車両１２に搭載される車載機器群１６と通信するためのインタフェースである。

【0026】

ストレージ２０Ｆには、ＶＭ起動順序リスト２２０が記憶されている。ＶＭ起動順序リスト２２０は、各ＶＭを起動する場合における各ＶＭの起動順序を規定したリストである。ＶＭ起動順序リスト２２０には、更に、各ＶＭに対して予め定められた指標が付与されている。指標としては、例えば、ＶＭに対して求められるシステム安全性要求レベルが用いられる。ここで、システム安全性要求レベルは、ＥＣＵの誤動作、故障などにより引き起こされる問題の種類と発生確率の組み合わせから、当該ＶＭに求められる安全性のレベルである。車両の場合は、ＩＳＯ２６２６２で車両の電子制御システムに対し、安全性のレベルは、ＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｒｇｒｉｔｙ Ｌｅｖｅｌ）として定義されている。具体的には、システム異常が生じることにより人体へ危害を及ぼしたり物的損害を与えるなどの可能性があるＶＭには、システム安全性要求レベル「高」が付与されている。一方、システム安全性が要求されないＶＭ、つまり、システム異常が生じることにより人体へ危害を及ぼしたり物的損害を与えるなどの可能性がないＶＭには、システム安全性要求レベル「低」が付与されている。それ以外のＶＭには、システム安全性要求レベル「中」が付与されている。

【0027】

また、ストレージ２０Ｆには、２つ以上のＶＭの各々を構成するためのＶＭソフトウェア群２３０が記憶されている。２つ以上のＶＭソフトウェア群２３０は、例えば、後述するマルチメディアＶＭを構成するためのマルチメディアＶＭソフトウェア群２３０Ａ、後述するボデー制御ＶＭを構成するためのボデー制御ＶＭソフトウェア群２３０Ｂ、及び後述する自動運転制御ＶＭを構成するための自動運転制御ＶＭソフトウェア群２３０Ｃを含んでいる。なお、ＶＭソフトウェア群２３０は、用途に応じたＶＭソフトウェア群２３０をさらに含んでいる。

【0028】

ストレージ２０Ｆは、ＲＯＭやハードディスク、又は各種Ｆｌａｓｈデバイス（ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ ＭｕｌｔｉＭｅｄｉａＣａｒｄ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）など）で実現される。

【0029】

セキュリティモジュール２０Ｇは、ハードウェアでソフトウェアの真正性を検証するものであり、例えば、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）、又はＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）である。セキュリティモジュール２０Ｇは、例えば、保管している鍵と、暗号又は復号アクセラレータとを用いた暗号又は復号を行ったり、ハッシュ値等の演算を行ったりして、ソフトウェアの真正性を検証する。

【0030】

図２は、ＥＣＵ２０の機能構成の例を示すブロック図である。各機能構成は、ＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶された制御プログラム２００を読み出し、これを実行することによって実現される。

【0031】

図２に示されるように、ＥＣＵ２０は、２つ以上のＶＭ１１０と、ＶＭ構成部３００とを有している。ＶＭ１１０は、例えば、マルチメディアＶＭ１１０Ａ、ボデー制御ＶＭ１１０Ｂ及び自動運転制御ＶＭ１１０Ｃを含んでいる。

【0032】

なお、ＥＣＵ２０において実現されるＶＭ１１０はこの限りでなく、用途に応じたＶＭ１１０をさらに含んでいてもよい。

【0033】

ＶＭ構成部３００は、各ＶＭ１１０を仮想的に構成する機能を有している。このＶＭ構成部３００は、いわゆるハイパーバイザーの機能により実現され、起動時に、ストレージ２０Ｆから、ＶＭ起動順序リスト２２０を読み出し、ＶＭ起動順序リスト２２０に規定されている起動順序に従って、ＶＭソフトウェア群２３０及び共通ソフトウェア群２１０を読み出し、ＶＭ１１０を起動する。具体的には、ＶＭ構成部３００は、ＶＭのソフトウェア群２３０及び共通ソフトウェア群２１０をＲＡＭ２０Ｃに展開し、ＶＭ１１０を起動させる。

【0034】

ＶＭ構成部３００は、起動ＶＭ判断部３１０と、流用判断部３２０と、検証部３３０と、起動部３４０とをさらに含んでいる。

【0035】

起動ＶＭ判断部３１０は、ＶＭ起動順序リスト２２０に規定されている起動順序に従って、起動するＶＭ１１０を判断すると共に、当該ＶＭ１１０のシステム安全性要求レベルを取得する。

【0036】

流用判断部３２０は、各ＶＭ１１０のＶＭソフトウェア群２３０を検証する際に、当該ＶＭ１１０に対して予め付与されたシステム安全性要求レベルに応じて、他のＶＭ１１０のＶＭソフトウェア群２３０の検証で得られた、共通ソフトウェア群２１０の検証結果を流用するか否かを決定する。具体的には、流用判断部３２０は、当該ＶＭ１１０のシステム安全性要求レベルが「高」である場合には、共通ソフトウェア群２１０の検証結果を流用しないと決定する。例えば、ボデー制御ＶＭ１１０Ｂには、システム安全性要求レベル「高」が付与されているため、ボデー制御ＶＭ１１０Ｂについて、共通ソフトウェア群２１０の検証結果を流用しないと決定する。

【0037】

流用判断部３２０は、当該ＶＭ１１０のシステム安全性要求レベルが「中」である場合には、他のＶＭ１１０のＶＭソフトウェア群２３０の検証で得られた、共通ソフトウェア群２１０の検証結果を流用すると決定する。例えば、自動運転制御ＶＭ１１０Ｃには、システム安全性要求レベル「中」が付与されているため、自動運転制御ＶＭ１１０Ｃについて、共通ソフトウェア群２１０の検証結果を流用すると決定する。

【0038】

流用判断部３２０は、当該ＶＭのシステム安全性要求レベルが「低」である場合には、当該ＶＭ１１０のＶＭソフトウェア群２３０の検証を行わないと決定する。例えば、マルチメディアＶＭ１１０Ａには、システム安全性要求レベル「低」が付与されているため、マルチメディアＶＭソフトウェア群２３０Ａの検証を行わないと決定する。

【0039】

検証部３３０は、複数のＶＭ１１０を起動するときに、各ＶＭ１１０のＶＭソフトウェア群２３０の真正性を検証する。このとき、検証部３３０は、他のＶＭ１１０のＶＭソフトウェア群２３０の検証で得られた、共通ソフトウェア群２１０の検証結果を流用しないと決定した場合には、他のＶＭ１１０のＶＭソフトウェア群２３０の検証で得られた、共通ソフトウェア群２１０の検証結果を流用しないで、当該ＶＭ１１０のＶＭソフトウェア群２３０の真正性を検証する。例えば、検証部３３０は、共通ソフトウェア群２１０の検証結果を流用しないと決定された場合には、セキュリティモジュール２０Ｇを用いて、当該ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の真正性を検証する。

【0040】

検証部３３０は、共通ソフトウェア群２１０の検証結果を流用すると決定された場合には、セキュリティモジュール２０Ｇを用いて、当該ＶＭ１１０のＶＭソフトウェア群２３０の真正性を検証し、共通ソフトウェア群２１０の検証を省略する。

【0041】

検証部３３０は、ＶＭソフトウェア群２３０の検証を行わないと決定された場合には、当該ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の検証を省略する。

【0042】

起動部３４０は、各ＶＭ１１０について、当該ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の真正性の検証が成功した場合に、当該ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０をＲＡＭ２０Ｃに展開して、当該ＶＭ１１０を起動する。

【0043】

（制御の流れ）
本実施形態において、ＥＣＵ１０が実行する起動処理の流れの例を図３のフローチャートで説明する。

【0044】

図３のステップＳ１００において、ＣＰＵ２０Ａは、ソフトウェアとしてのハイパーバイザーを起動する。

【0045】

ステップＳ１０１において、起動ＶＭ判断部３１０は、ＶＭ起動順序リスト２２０に規定されている起動順序に従って、起動するＶＭ１１０を判断すると共に、当該ＶＭ１１０のシステム安全性要求レベルを取得する。

【0046】

ステップＳ１０２において、起動ＶＭ判断部３１０は、起動していないＶＭ１１０があるか否かを判定する。上記ステップＳ１０１で起動するＶＭ１１０が判断された場合には、ステップＳ１０３へ進む。一方、上記ステップＳ１０１で起動するＶＭ１１０が判断されなかった場合には、起動処理を終了する。

【0047】

ステップＳ１０３においては、流用判断部３２０は、起動するＶＭ１１０のシステム安全性要求レベルが「高」、「中」、及び「低」の何れかであるかを判定する。起動するＶＭ１１０のシステム安全性要求レベルが「高」である場合には、ステップＳ１０５へ進む。起動するＶＭ１１０のシステム安全性要求レベルが「中」である場合には、ステップＳ１０４へ進む。起動するＶＭ１１０のシステム安全性要求レベルが「低」である場合には、ステップＳ１０９へ進む。

【0048】

ステップＳ１０４において、流用判断部３２０は、共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みであるか否かを判定する。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みである場合には、流用判断部３２０は、共通ソフトウェア群２１０についての検証結果を流用すると判断し、ステップＳ１０７へ進む。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証されていない場合には、ステップＳ１０５へ進む。

【0049】

ステップＳ１０５において、検証部３３０は、セキュリティモジュール２０Ｇを用いて、共通ソフトウェア群２１０の真正性を検証する。

【0050】

ステップＳ１０６において、検証部３３０は、上記ステップＳ１０５の検証結果が、真正であるとの検証結果であるか否かを判定する。上記ステップＳ１０５の検証結果が、真正でないとの検証結果である場合には、ステップＳ１１０へ進み、ＣＰＵ２０Ａが、起動エラーを出力し、起動処理を終了する。一方、上記ステップＳ１０５の検証結果が、真正であるとの検証結果である場合には、ステップＳ１０７へ進む。

【0051】

ステップＳ１０７において、検証部３３０は、セキュリティモジュール２０Ｇを用いて、当該ＶＭ１１０のＶＭソフトウェア群２３０の真正性を検証する。

【0052】

ステップＳ１０８において、検証部３３０は、上記ステップＳ１０７の検証結果が、真正であるとの検証結果であるか否かを判定する。上記ステップＳ１０７の検証結果が、真正でないとの検証結果である場合には、ステップＳ１１０へ進む。一方、上記ステップＳ１０７の検証結果が、真正であるとの検証結果である場合には、ステップＳ１０９へ進む。

【0053】

ステップＳ１０９において、起動部３４０は、起動するＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０をＲＡＭ２０Ｃに展開して、当該ＶＭ１１０を起動し、上記ステップＳ１０１へ戻る。

【0054】

ＥＣＵ１０が実行する起動処理の流れの具体例を図４のフローチャートで説明する。ここでは、ＶＭ起動順序リスト２２０に、マルチメディアＶＭ１１０Ａ、ボデー制御ＶＭ１１０Ｂ、自動運転制御ＶＭ１１０Ｃの順に起動することが規定されている場合を例に説明する。

【0055】

ステップＳ１０１Ａ～ステップＳ１０９Ａにおいて、マルチメディアＶＭ１１０Ａを、起動するＶＭ１１０として、上記図３のステップＳ１０１～ステップＳ１０９と同様に処理を行う。このとき、マルチメディアＶＭ１１０Ａのシステム安全性要求レベルが「低」であるため、ステップＳ１０３Ａにおいて、起動するマルチメディアＶＭ１１０Ａのシステム安全性要求レベルが「低」であると判定され、マルチメディアＶＭソフトウェア群２３０Ａ及び共通ソフトウェア群２１０の何れについても真正性の検証を行わずに、ステップＳ１０９Ａへ進む。

【0056】

そして、ステップＳ１０１Ｂ～ステップＳ１０９Ｂにおいて、ボデー制御ＶＭ１１０Ｂを、起動するＶＭ１１０として、上記図３のステップＳ１０１～ステップＳ１０９と同様に処理を行う。このとき、ボデー制御ＶＭ１１０Ｂのシステム安全性要求レベルが「高」であるため、ステップＳ１０３Ｂにおいて、起動するボデー制御ＶＭ１１０Ｂのシステム安全性要求レベルが「高」であると判定され、ステップＳ１０５Ｂ、ステップＳ１０７Ｂにおいて、ボデー制御ＶＭソフトウェア群２３０Ｂ及び共通ソフトウェア群２１０の双方について真正性の検証を行う。

【0057】

そして、ステップＳ１０１Ｃ～ステップＳ１０９Ｃにおいて、自動運転制御ＶＭ１１０Ｃを、起動するＶＭ１１０として、上記図３のステップＳ１０１～ステップＳ１０９と同様に処理を行う。このとき、自動運転制御ＶＭ１１０Ｃのシステム安全性要求レベルが「中」であるため、ステップＳ１０３Ｃにおいて、起動する自動運転制御ＶＭ１１０Ｃのシステム安全性要求レベルが「中」であると判定される。また、ステップＳ１０４Ｃにおいて、共通ソフトウェア群２１０について、ボデー制御ＶＭ１１０Ｂの検証において検証済みであると判定され、ステップＳ１０７へ進む。そして、ステップＳ１０７Ｃにおいて、自動運転制御ＶＭソフトウェア群２３０Ｃについて真正性の検証を行う。

【0058】

（第１の実施形態のまとめ）
本実施形態の制御装置１０では、複数のＶＭで共用する共通ソフトウェア群の検証の結果を流用することにより、複数のＶＭのソフトウェア群の検証にかかる時間を短くすることができる。

【0059】

また、本実施形態の制御装置１０では、ＶＭが制御する機器の機能安全と、複数のＶＭのソフトウェアの検証にかかる時間の短縮とを両立することができる。

【0060】

また、本実施形態の制御装置１０では、ＥＣＵの故障時安全性担保のために、ＥＣＵ起動時に、ＶＭのソフトウェア群に改ざんがないことを検証する。ＥＣＵ起動時に行う共通ソフトウェア群の検証を、特定条件下では検証済みであると認め、起動時間の短縮を図りつつ、共通ソフトウェア群の検証は、ＶＭに求められる安全性のレベルに応じて、再検証するかどうかを決定し、自システムの安全性担保を図る。

【0061】

また、システム安全性要求レベルが高いＶＭに関しては、システム異常が生じることにより人体へ危害を及ぼしたり、物的損害を与えるなどの可能性があり、ＶＭ起動前にそのＶＭを構成するＶＭソフトウェア群２３０、及び共通ソフトウェア群２１０が何らかの要因によって改ざんされてしまっていないかを、ＥＣＵ２０は、セキュリティモジュールを用いて検証する。一方で、システム安全性が要求されないＶＭ、つまり、システム異常により人体へ危害を及ぼしたり、物的損害を与えるなどの可能性がないＶＭについては、そのソフトウェアの真正性検証は必須ではないため、ＶＭ起動時間の短縮のためにソフトウェア群の真正性検証を行わないこととする。

【0062】

［第２の実施形態］
第１の実施形態では、ＥＣＵ２０にＲＯＭ２０Ｂを設けていた。これに対して、第２の実施形態では、ＥＣＵ２０にＲＯＭ２０Ｂを設けていない点で第１の実施形態と異なる。以下、第１の実施形態との相違点について説明する。なお、同一の構成には同一の符号を付しており、説明については省略する。

【0063】

図５に示されるように、本実施形態のＥＣＵ２０は、ＣＰＵ２０Ａ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ及び入出力Ｉ／Ｆ２０Ｅ、ストレージ２０Ｆ及びセキュリティモジュール２０Ｇを含んで構成されている。

【0064】

ストレージ２０Ｆには、制御プログラム２００及び共通ソフトウェア群２１０が記憶されている。

【0065】

本実施形態においても、第１の実施形態と同様の作用効果を得ることができる。

【0066】

［第３の実施形態］
第１の実施形態では、ＥＣＵ２０にストレージ２０Ｆを設けていた。これに対して、第３の実施形態では、ＥＣＵ２０にストレージ２０Ｆを設けていない点で第１の実施形態と異なる。以下、第１の実施形態との相違点について説明する。なお、同一の構成には同一の符号を付しており、説明については省略する。

【0067】

図６に示されるように、本実施形態のＥＣＵ２０は、ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ、入出力Ｉ／Ｆ２０Ｅ及びセキュリティモジュール２０Ｇを含んで構成されている。

【0068】

ＲＯＭ２０Ｂには、ＶＭ起動順序リスト２２０及び２つ以上のＶＭソフトウェア群２３０が記憶されている。

【0069】

本実施形態においても、第１の実施形態と同様の作用効果を得ることができる。

【0070】

［第４の実施形態］
第１の実施形態に対して、第４の実施形態では、ＲＯＭ２０Ｂの代わりにＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）４２０Ｂを設けた点で第１の実施形態と異なる。以下、第１の実施形態との相違点について説明する。なお、同一の構成には同一の符号を付しており、説明については省略する。

【0071】

図７に示されるように、本実施形態のＥＣＵ２０は、ＣＰＵ２０Ａ、ＥＥＰＲＯＭ４２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ、入出力Ｉ／Ｆ２０Ｅ、ストレージ２０Ｆ及びセキュリティモジュール２０Ｇを含んで構成されている。

【0072】

ＥＥＰＲＯＭ２０Ｂには、制御プログラム２００及び共通ソフトウェア群２１０が記憶されている。

【0073】

本実施形態においても、第１の実施形態と同様の作用効果を得ることができる。

【0074】

［第５の実施形態］
第１の実施形態に対して、第５の実施形態では、セキュリティモジュール２０Ｇの他に、セキュリティモジュール２０ＩをＥＣＵ２０に設けた点で異なる。以下、第１の実施形態との相違点について説明する。なお、同一の構成には同一の符号を付しており、説明については省略する。

【0075】

（構成）
図８に示されるように、本実施形態のＥＣＵ２０は、ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ、入出力Ｉ／Ｆ２０Ｅ、ストレージ２０Ｆ、セキュリティモジュール２０Ｇ及びセキュリティモジュール２０Ｉを含んで構成されている。

【0076】

検証部３３０は、複数のＶＭのソフトウェアを起動するときに、各ＶＭのソフトウェアの真正性の検証を、セキュリティモジュール２０Ｇ及びセキュリティモジュール２０Ｉを用いて並列に行う。

【0077】

（制御の流れ）
本実施形態において、ＥＣＵ１０が実行する起動処理の流れの例を図９のフローチャートで説明する。なお、上記実施形態と同一の処理には同一の符号を付しており、説明については省略する。

【0078】

図９のステップＳ１００において、ＣＰＵ２０Ａは、ソフトウェアとしてのハイパーバイザーを起動する。

【0079】

ステップＳ１０１において、起動ＶＭ判断部３１０は、ＶＭ起動順序リスト２２０に規定されている起動順序に従って、起動するＶＭ１１０を判断すると共に、当該ＶＭ１１０のシステム安全性要求レベルを取得する。ここでは、起動するＶＭ１１０を２つ判断する。

【0080】

ステップＳ１０２において、起動ＶＭ判断部３１０は、起動していないＶＭ１１０があるか否かを判定する。上記ステップＳ１０１で起動するＶＭ１１０が判断された場合には、ステップＳ５００へ進む。一方、上記ステップＳ１０１で起動するＶＭ１１０が判断されなかった場合には、起動処理を終了する。

【0081】

ステップＳ５００において、ＣＰＵ２０Ａは、起動する２つのＶＭ１１０の起動処理を並列に実行する。このステップＳ５００は、起動する２つのＶＭ１１０に対して、セキュリティモジュール２０Ｇ及びセキュリティモジュール２０Ｉを用いて、上記図３のステップＳ１０３～ステップＳ１１０と同様の処理を並列に行う。そして、ステップＳ１０１へ戻る。

【0082】

本実施形態においても、第１の実施形態と同様の作用効果を得ることができる。

【0083】

また、ＶＭ１１０の起動を並列化することが可能となり、安全性の担保はそのままにＶＭの起動時間の短縮を図ることができる。

【0084】

［備考］
なお、上記第５実施形態では、ＶＭ１１０の起動を並列化する場合を例に説明したが、これに限定されない。ソフトウェア群の真正性の検証を並列化するようにしてもよい。この場合における、ＥＣＵ１０が実行する起動処理の流れの例を図１０のフローチャートで説明する。なお、上記実施形態と同一の処理には同一の符号を付しており、説明については省略する。

【0085】

図１０のステップＳ１０４において、流用判断部３２０は、共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みであるか否かを判定する。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みである場合には、流用判断部３２０は、共通ソフトウェア群２１０についての検証結果を流用すると判断し、ステップＳ１０７へ進む。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証されていない場合には、ステップＳ６００へ進む。

【0086】

ステップＳ６００において、検証部３３０は、セキュリティモジュール２０Ｇを用いた、ＶＭソフトウェア群２３０の真正性の検証と、セキュリティモジュール２０Ｉを用いた、共通ソフトウェア群２１０の真正性の検証と、を並列に行う。

【0087】

ステップＳ６０１において、検証部３３０は、上記ステップＳ１０７又はＳ６００の検証結果が、真正であるとの検証結果であるか否かを判定する。上記ステップＳ１０７又はＳ６００の検証結果が、真正でないとの検証結果である場合には、ステップＳ１１０へ進む。一方、上記ステップＳ１０７又はＳ６００の検証結果が、真正であるとの検証結果である場合には、ステップＳ１０９へ進む。

【0088】

また、上記実施形態では、システム安全性要求レベルを「高」、「中」、「低」の３段階としたが、ＥＣＵの特性や安全性要件などに合わせて、システム安全性要求レベルが更に細分化されてもよい。ＩＳＯ２６２６２では、ＡＳＩＬはＡ～Ｄの４段階と対象外とからなる５段階である。この５段階の何れであるかに応じて、共通ソフトウェア群２１０の検証結果を流用するか否かを決定してもよい。

【0089】

また、上記実施形態では、安全性要求レベルが最上位のＶＭを起動するときにはＶＭソフトウェア群２３０と共通ソフトウェア群２１０との双方の真正性の検証を行う場合を例に説明したが、これに限定されない。安全性要求レベルが細分化されたとき、上位２レベルまでは、ＶＭソフトウェア群２３０と共通ソフトウェア群２１０との双方の真正性の検証を行うようにしてもよい。

【0090】

また、上記実施形態では、共通ソフトウェア群２１０を１つとしてあげたが、起動するＶＭの内容によっては、共通ソフトウェア群２１０が複数存在することも考えられる。この場合、図１１に示すように、ＲＯＭ２０Ｂは、共通ソフトウェア群２１０ＡＢ及び共通ソフトウェア群２１０ＣＤを記憶している。例えば、共通ソフトウェア群２１０ＡＢは、マルチメディアＶＭ１１０Ａとボデー制御ＶＭ１１０Ｂとで共用され、共通ソフトウェア群２１０ＣＤは、自動運転制御ＶＭ１１０Ｃと他のＶＭ１１０とで共用される。この場合、ＶＭ起動順序リスト２２０には、各ＶＭ１１０について、当該ＶＭ１１０と関係する共通ソフトウェア群２１０の情報を更に規定しておく必要がある。また、ＶＭ構成部３００は、どの共通ソフトウェア群２１０を、どのシステム安全性要求レベルのＶＭ起動時に真正性検証を行ったかを記憶しておく必要がある。

【0091】

また、上記実施形態では、共通ソフトウェア群２１０の真正性の検証を行い、その後、ＶＭソフトウェア群２３０の真正性の検証を行う場合を例に説明したが、これに限定されない。共通ソフトウェア群２１０の真正性の検証と、ＶＭソフトウェア群２３０の真正性の検証との順序を入れ替えてもよい。この場合には、図１２に示すように、ステップＳ１０３において、流用判断部３２０は、起動するＶＭ１１０のシステム安全性要求レベルが「高」、「中」、及び「低」の何れかであるかを判定する。起動するＶＭ１１０のシステム安全性要求レベルが「中」又は「高」である場合には、ステップＳ１０７へ進む。起動するＶＭ１１０のシステム安全性要求レベルが「低」である場合には、ステップＳ１０９へ進む。

【0092】

ステップＳ１０７において、検証部３３０は、セキュリティモジュール２０Ｇを用いて、当該ＶＭ１１０のＶＭソフトウェア群２３０の真正性を検証する。

【0093】

ステップＳ１０８において、検証部３３０は、上記ステップＳ１０７の検証結果が、真正であるとの検証結果であるか否かを判定する。上記ステップＳ１０７の検証結果が、真正でないとの検証結果である場合には、ステップＳ１１０へ進む。一方、上記ステップＳ１０７の検証結果が、真正であるとの検証結果である場合には、ステップＳ１０４へ進む。

【0094】

ステップＳ１０４において、流用判断部３２０は、共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みであるか否かを判定する。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証済みである場合には、流用判断部３２０は、共通ソフトウェア群２１０についての検証結果を流用すると判断し、ステップＳ１０９へ進む。共通ソフトウェア群２１０について、他のＶＭ１１０の検証において検証されていない場合には、ステップＳ１０５へ進む。

【0095】

ステップＳ１０５において、検証部３３０は、セキュリティモジュール２０Ｇを用いて、共通ソフトウェア群２１０の真正性を検証する。

【0096】

ステップＳ１０６において、検証部３３０は、上記ステップＳ１０５の検証結果が、真正であるとの検証結果であるか否かを判定する。上記ステップＳ１０５の検証結果が、真正でないとの検証結果である場合には、ステップＳ１１０へ進み、ＣＰＵ２０Ａが、起動エラーを出力し、起動処理を終了する。一方、上記ステップＳ１０５の検証結果が、真正であるとの検証結果である場合には、ステップＳ１０９へ進む。

【0097】

また、上記実施形態では、各ＶＭ１１０に対して付与される指標として、安全性要求レベルを用いる場合を例に説明したが、これに限定されない。各ＶＭ１１０に対して付与される指標として、例えば、当該ＶＭ１１０のソフトウェアのセキュリティレベルを付与してもよい。この場合、ソフトウェアのセキュリティレベルが高い場合には、他のＶＭ１１０の検証で得られた共通ソフトウェア群２１０の真正性の検証結果を流用すると判断し、一方、ソフトウェアのセキュリティレベルが低い場合には、他のＶＭ１１０の検証で得られた共通ソフトウェア群２１０の真正性の検証結果を流用せずに、当該ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の真正性を検証する。

【0098】

また、上記実施形態では、各ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の真正性を検証する場合を例に説明したが、これに限定されない。例えば、各ＶＭ１１０のＶＭソフトウェア群２３０及び共通ソフトウェア群２１０の発行者の妥当性を検証するようにしてもよい。

【0099】

また、上記実施形態では、ＶＭ起動順序リスト２２０を基にＶＭ１１０を起動していく場合を例に説明したが、これに限定されない。制御プログラム２００内でＶＭ１１０の起動順序を固定的にしてもよい。この場合、起動処理内における、起動するＶＭ１１０の判定が不要となる。あるいは、起動ＶＭ判断部３１０が、ＶＭ起動順序リスト２２０を用いずに、ストレージ２０Ｆ又はＲＯＭ２０Ｂ内のＶＭソフトウェア群２３０を走査し、ＶＭ１１０の起動順序を決めるようにしてもよい。

【0100】

また、上記実施形態でＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した処理は、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

【0101】

また、上記実施形態において、プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、ＥＣＵ２０において制御プログラム２００は、ＲＯＭ２０Ｂに予め記憶されている。しかしこれに限らず、各プログラムは、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、及びＳＳＤ等のストレージに記憶されていてもよい。また、各プログラムは、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、各プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

【0102】

上記実施形態で説明した処理の流れも、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。

【符号の説明】

【0103】

１０ 車両の制御装置
１２ 車両
２０ ＥＣＵ
２０Ｂ ＲＯＭ（記憶部）
２０Ｆ ストレージ（記憶部）
１１０ ＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）
１１０Ａ マルチメディアＶＭ
１１０Ｂ ボデー制御ＶＭ
１１０Ｃ 自動運転制御ＶＭ
２００ 制御プログラム
２１０、２１０ＡＢ、２１０ＣＤ 共通ソフトウェア群（共通ソフトウェア）
２２０ 起動順序リスト
２３０ ＶＭソフトウェア群（ＶＭソフトウェア）
２３０Ａ マルチメディアＶＭソフトウェア群
２３０Ｂ ボデー制御ＶＭソフトウェア群
２３０Ｃ 自動運転制御ＶＭソフトウェア群
３００ ＶＭ構成部
３２０ 流用判断部
３３０ 検証部
３４０ 起動部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】