特許 7707884 制御装置、管理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-07-07

(45)【発行日】2025-07-15

(54)【発明の名称】制御装置、管理方法

(51)【国際特許分類】

   G06F 8/654 20180101AFI20250708BHJP

   B60R 16/02 20060101ALI20250708BHJP

【ＦＩ】

G06F8/654

B60R16/02 660U

【請求項の数】 4

(21)【出願番号】P 2021201706

(22)【出願日】2021-12-13

(65)【公開番号】P2023087366

(43)【公開日】2023-06-23

【審査請求日】2023-11-08

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110003199

【氏名又は名称】弁理士法人高田・高橋国際特許事務所

(72)【発明者】

【氏名】佐藤 文哉

【審査官】児玉 崇晶

(56)【参考文献】

【文献】特開２０００－２０７６８１（ＪＰ，Ａ）

【文献】特開２０２１－００５１４８（ＪＰ，Ａ）

【文献】特開２０１８－０１８１８６（ＪＰ，Ａ）

【文献】特開２００２－２０７５９９（ＪＰ，Ａ）

【文献】特開２０１２－００９９３８（ＪＰ，Ａ）

【文献】特開２０２０－０２７６６６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５４

Ｂ６０Ｒ １６／０２

(57)【特許請求の範囲】

【請求項1】

車両の制御装置であって、
前記車両を制御するソフトウェアを格納する第１の不揮発メモリと、
前記ソフトウェアを実行する１又は複数のプロセッサと
を備え、
前記１又は複数のプロセッサは、
前記ソフトウェアを更新するときに、更新前の旧ソフトウェアを、前記車両に搭載された第２の不揮発メモリに退避させ、前記ソフトウェアを前記第１の不揮発メモリに格納し、
前記ソフトウェアを前記旧ソフトウェアに戻す必要がある場合に、前記第２の不揮発メモリに、更新前の前記旧ソフトウェアが格納されているか否かを判定し、
前記第２の不揮発メモリに前記旧ソフトウェアが格納されている場合に、前記旧ソフトウェアの暗号鍵が管理センタによって正しく認証されたことを確認した上で、前記第２の不揮発メモリから前記第１の不揮発メモリに前記旧ソフトウェアを格納する
ように構成され、
前記第２の不揮発メモリは、前記制御装置及び他の制御装置の外部に搭載された、前記第１の不揮発メモリとは異なる不揮発メモリであり、前記車両から取り外し可能に構成される
制御装置。

【請求項2】

請求項１に記載の制御装置であって、
前記第１の不揮発メモリは前記ソフトウェアが格納される第１領域と、前記第１領域と異なる領域の第２領域を有し、
前記第２の不揮発メモリから前記第１の不揮発メモリに前記旧ソフトウェアを格納することは、
前記第２の不揮発メモリから非稼働状態の前記第２領域に前記旧ソフトウェアを格納することと、
前記旧ソフトウェアを前記第２領域に格納後、前記第１領域を非稼働状態に切り替え、前記第２領域を稼働状態に切り替えることと
を含む
制御装置。

【請求項3】

請求項２に記載の制御装置であって、
前記１又は複数のプロセッサは、更に、
前記ソフトウェアを更新前の前記旧ソフトウェアに戻す必要がある場合に、前記第１の不揮発メモリの前記第２領域に、前記旧ソフトウェアが格納されているか否かを判定し、
前記第２領域に前記旧ソフトウェアが格納されている場合に、
前記第１領域を非稼働状態に切り替え、前記第２領域を稼働状態に切り替え、
前記車両に搭載された前記第２の不揮発メモリに、更新前の前記旧ソフトウェアが格納されているか否かの判定をスキップする、
制御装置。

【請求項4】

請求項２又は３に記載の制御装置であって、
前記１又は複数のプロセッサは、更に、
前記旧ソフトウェアから前記ソフトウェアへの更新時に、前記ソフトウェアを前記第１の不揮発メモリの非稼働状態の前記第１領域に格納し、格納後、前記第１領域を稼働状態に切り替え、前記第２領域を非稼働状態に切り替え、切り替え後、前記旧ソフトウェアを前記第２の不揮発メモリに退避させる、
制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車両の制御装置、及び制御装置を管理する管理方法に関する。

【背景技術】

【0002】

特許文献１は、コンピュータプログラムに基づいて制御処理を行う制御装置のプログラムの更新が失敗した場合に、安全に復旧するための制御システム及びプログラム更新方法を開示している。複数の制御装置が接続されているシステム系において、対象となる制御装置のプログラムを更新する際に、他の制御装置に更新前のプログラム情報を一時的に退避させる。更新対象の制御装置におけるプログラムの更新が失敗した場合は、退避させたプログラムに書き戻すことでプログラムの復旧を可能とする。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１４－０２９６１９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

車両の制御装置は、コンピュータプログラムなどのソフトウェアに基づいて制御処理を行う。ソフトウェアは、機能の追加、利便性の向上などのため、新しいソフトウェアに更新されることがある。ソフトウェアの更新は、通信途絶などが発生すると失敗することがあり、特許文献１には、ソフトウェアの更新が失敗した場合でも復旧を可能とする技術が開示されている。しかし、ソフトウェアの更新が正常に完了した後であっても、更新後のソフトウェアそのものに関して何らかの不具合が発覚し、対応が必要になる場合がある。

【0005】

本開示の目的は、車両の制御装置において、更新後のソフトウェアに関して不具合が発覚した場合に、適切に不具合に対応することのできる技術を提供することにある。

【課題を解決するための手段】

【0006】

第１の観点は、車両の制御装置に関連する。
車両の制御装置は、
車両を制御するソフトウェアを格納する第１の不揮発メモリと、
ソフトウェアを実行する１又は複数のプロセッサと
を備える。
上記１又は複数のプロセッサは、
ソフトウェアを更新前の旧ソフトウェアに戻す必要がある場合に、車両に搭載された第２の不揮発メモリに、更新前の旧ソフトウェアが格納されているか否かを判定し、
第２の不揮発メモリに旧ソフトウェアが格納されている場合に、第２の不揮発メモリから第１の不揮発メモリに旧ソフトウェアを格納する。

【0007】

第２の観点は、制御装置を管理する管理方法に関連する。
制御装置は、車両に搭載され、車両を制御するソフトウェアを格納する第１の不揮発メモリを備える。
管理方法は、
ソフトウェアを更新前の旧ソフトウェアに戻す必要がある場合に、車両に搭載された第２の不揮発メモリに、更新前の旧ソフトウェアが格納されているか否かを判定することと、
第２の不揮発メモリに旧ソフトウェアが格納されている場合に、第２の不揮発メモリから第１の不揮発メモリに旧ソフトウェアを格納することと、
を含む。

【発明の効果】

【0008】

本開示によれば、車両の制御装置において、ソフトウェアに関して不具合が発覚した場合に、適切に不具合に対応することができる。

【図面の簡単な説明】

【0009】

【図1】本実施の形態に係る車両の構成例を説明するためのブロック図である。

【図2】本実施の形態に係る車両の構成例を示すブロック図である。

【図3】本実施の形態に係る車両の他の構成例を示すブロック図である。

【図4】本実施の形態に係る第１の不揮発メモリの例を説明するための概念図である。

【図5】本実施の形態に係るロールバックに関連する処理の第１の例を説明するための概念図である。

【図6】本実施の形態に係るロールバックに関連する処理の第１の例を説明するための概念図である。

【図7】本実施の形態に係るロールバックに関連する処理の第１の例を示すフローチャートである。

【図8】本実施の形態に係るバックアップに関連する処理の例を示すフローチャートである。

【図9】本実施の形態に係るロールバックに関連する処理の第２の例を示すフローチャートである。

【図10】本実施の形態に係るロールバックに関連する処理の第３の例を説明するための概念図である。

【発明を実施するための形態】

【0010】

添付図面を参照して、本開示の実施の形態を説明する。

【0011】

１．概要
本実施の形態に係る制御装置は、車両の制御装置である。制御装置は、メモリ及びプロセッサを備え、メモリに格納されたソフトウェアをプロセッサが実行することにより車両の制御を行う。車両の制御装置としてはＥＣＵ（Electronic Control Unit）が代表的である。ＥＣＵを含む車両は、例えば図１のように構成される。

【0012】

図１には、車両１０００及び管理サーバ２０００が図示されている。管理サーバ２０００は、ソフトウェアの登録や配信などの管理を行うサーバである。ソフトウェアの配信は、無線通信又は有線通信により行われ、無線通信により行われる場合は、管理サーバ２０００はＯＴＡ（Over the Air）サーバと呼ばれることもある。車両１０００は、ＥＣＵ１００及び通信装置２００を含む。車両１０００は、ＥＣＵ１００以外にも、図示しない他のＥＣＵを含んでいても良い。通信装置２００は、車両１０００の外部と通信可能に構成され、例えば、ソフトウェアの更新の際に管理サーバ２０００と通信を行う。ＥＣＵ１００は、不揮発メモリ１０、ＲＡＭ（Random Access Memory）２０、及びプロセッサ３０を含む。プロセッサ３０は、１つのプロセッサであっても良いし、複数のプロセッサから成っていても良い。

【0013】

車両１０００の制御を行うためのソフトウェアは、不揮発メモリ１０に格納される。不揮発メモリ１０は、ソフトウェアを１つのみ格納することもできるし、複数のソフトウェアを同時に格納することもできる。ＥＣＵ１００が起動されると、ブートソフトウェアと呼ばれる図示しないソフトウェアにより、不揮発メモリ１０に格納されたソフトウェアのうち、実際に車両１０００の制御に使用されるソフトウェアがＲＡＭ２０に読み出される。そして、読み出されたソフトウェアをプロセッサ３０が実行することにより車両１０００の制御が行われる。ソフトウェアをＲＡＭ２０に読み出し、プロセッサ３０に実行させることを、ソフトウェアの起動と言う。以下、特に断りのない限り、ソフトウェアというときは、車両１０００の制御を行うためのソフトウェアのことを言うものとする。

【0014】

ソフトウェアは、機能を追加するため、不具合の解消のため、あるいはより快適な車両の制御のためなど様々な理由により、新しいソフトウェアに更新されることがある。ソフトウェアの更新は、例えば、管理サーバ２０００が、通信装置２００を介してデータを配信することにより行われる。あるいは、車両１０００の外部のコンピュータからの書込みにより行われても良い。管理サーバ２０００からデータが配信される場合は、新しいソフトウェアのデータは、ソフトウェアのサプライヤなどにより、管理サーバ２０００に登録される。管理サーバ２０００は、新しいソフトウェアのデータ、又は更新前のソフトウェアと新しいソフトウェアとの差分データを車両１０００に配信する。配信されたデータはＲＡＭ２０においてソフトウェアに復元処理され、不揮発メモリ１０に格納される。

【0015】

不揮発メモリ１０への格納が完了すると、新しいソフトウェアに基づいて車両１０００の制御が行われる。しかし、更新が完了した後になって、更新前のソフトウェアに戻すことが必要になる場合もある。例えば、ソフトウェアに不具合が含まれていることが発覚した場合などである。ソフトウェアに不具合が含まれているとは、ソフトウェアにバグが見つかった場合や、ソフトウェアが正常に稼働しない場合、実際には問題を起こしていないが正常に稼働しなくなる可能性がある場合などを含む。

【0016】

例えば、不揮発メモリ１０に格納されていたＶｅｒ５．０のソフトウェアをＶｅｒ．６．０のソフトウェアに更新したところ、Ｖｅｒ６．０のソフトウェアに不具合が含まれていることが発覚したとする。Ｖｅｒ６．０に含まれる不具合を解消した更に新しいソフトウェアが即座に提供されることは少ないため、正常に稼働することがわかっている、更新前のＶｅｒ５．０のソフトウェアに戻すことが必要になる。

【0017】

このように、車両の制御に用いるソフトウェアを更新前のソフトウェアへ戻すことを、ロールバックと呼ぶ。以下の説明において、更新後の新しいソフトウェアを「ソフトウェアＰＲＯＧ」、ロールバックの対象となる更新前のソフトウェアを「旧ソフトウェアＰＲＯＧ－ＯＬＤ」と呼ぶ。

【0018】

ロールバックが必要な場面において、旧ソフトウェアＰＲＯＧ－ＯＬＤが常に管理サーバ２０００に登録されているとは限らない。ロールバックできる旧ソフトウェアＰＲＯＧ－ＯＬＤが管理サーバ２０００にない場合は、新しいソフトウェアの更新を待たなければいけなくなってしまう。また、管理サーバ２０００に旧ソフトウェアＰＲＯＧ－ＯＬＤが登録されていたとしても、車両１０００の通信状況によっては管理サーバ２０００からのロールバックを行えないこともある。

【0019】

そこで、本実施の形態においては、不揮発メモリ１０とは異なる不揮発メモリを車両１０００に搭載することで、ロールバックを容易にする。以下の説明において、不揮発メモリ１０を「第１の不揮発メモリ１０」、不揮発メモリ１０と異なる不揮発メモリを「第２の不揮発メモリ４０」と呼ぶ。第２の不揮発メモリ４０は、車両１０００に組み込まれたメモリであっても良いし、車両１０００から取り外し可能に構成されていても良い。第２の不揮発メモリ４０にも、第１の不揮発メモリ１０と同様に、旧ソフトウェアＰＲＯＧ－ＯＬＤを含むソフトウェアを格納しておくことができる。

【0020】

本実施の形態に係るＥＣＵ１００は、第１の不揮発メモリ１０に格納されたソフトウェアＰＲＯＧを旧ソフトウェアＰＲＯＧ－ＯＬＤに戻すことが必要になった場合は、第２の不揮発メモリ４０に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されているか否かを判定する。第２の不揮発メモリ４０に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されていれば、ＥＣＵ１００は、旧ソフトウェアＰＲＯＧ－ＯＬＤを第２の不揮発メモリ４０から第１の不揮発メモリ１０にロールバックする。これにより、管理サーバ２０００に頼ることなく迅速にロールバックを行うことができ、例えば、ソフトウェアＰＲＯＧに不具合が含まれていることが発覚した場合にも、適切に対応することができる。

【0021】

図２及び図３は、第２の不揮発メモリ４０を含む車両１０００の構成の例を示す。なお、図２及び図３においては、ＲＡＭ２０、通信装置２００、及び管理サーバ２０００は省略されている。図２においては、第２の不揮発メモリ４０はＥＣＵ１００の外部に搭載される。図３においては、第２の不揮発メモリ４０は、ＥＣＵ１００の内部に含まれる。

【0022】

本実施の形態において、第２の不揮発メモリ４０は、車両１０００の内部であればどこに搭載されていても良い。ただし、第２の不揮発メモリ４０がＥＣＵ１００以外の他のＥＣＵに含まれる場合には、通信負荷により他のＥＣＵに影響を与える可能性がある。そのため、第２の不揮発メモリ４０は、図３のようにＥＣＵ１００に含まれるか、ＥＣＵ１００及び他のＥＣＵの外部に搭載されることがより望ましい。第２の不揮発メモリ４０は、１つであっても複数であっても良い。

【0023】

図２及び図３の例では、第１の不揮発メモリ１０はソフトウェアＰＲＯＧを格納し、第２の不揮発メモリ４０は旧ソフトウェアＰＲＯＧ－ＯＬＤを格納している。ソフトウェアＰＲＯＧを旧ソフトウェアＰＲＯＧ－ＯＬＤに戻す必要がある場合、プロセッサ３０は、第２の不揮発メモリ４０から第１の不揮発メモリ１０へ旧ソフトウェアＰＲＯＧ－ＯＬＤをロールバックする。第２の不揮発メモリ４０からロールバックを行うことで、旧ソフトウェアＰＲＯＧ－ＯＬＤを迅速にロールバックすることができる。

【0024】

以下、ロールバックに関連する処理の様々な例を説明する。

【0025】

２．第１の例
２－１．２面の不揮発メモリ
第１の例では、第１の不揮発メモリ１０は２面の不揮発メモリである。２面の不揮発メモリとは、ソフトウェアを格納することのできる２つの領域を有する不揮発メモリのことであり、それぞれの領域を面と呼ぶこともある。図４において、２つの領域は、第１領域１０－Ａ及び第２領域１０－Ｂとして図示されている。例えば、第１の不揮発メモリ１０が有するソフトウェアの格納領域が、２つの領域１０－Ａ、１０－Ｂに分けられる。他の例として、第１の不揮発メモリ１０が２つの不揮発メモリを含み、２つの不揮発メモリが第１領域１０－Ａ及び第２領域１０－Ｂとして機能してもよい。

【0026】

第１の不揮発メモリ１０が２つの領域を有する場合、ＥＣＵ１００の起動時に、ブートソフトウェアにより、第１領域１０－Ａ及び第２領域１０－Ｂのうちのいずれか１つの領域が選択される。そして、選択された領域に格納されたソフトウェアのうち、車両１０００の制御に使用されるソフトウェアが起動される。選択された領域を稼働状態の領域又は稼働面と呼び、選択されていない領域を非稼働状態の領域又は非稼働面と呼ぶ。

【0027】

例えば、図４の（１）では、第１領域１０－Ａが稼働面、第２領域１０－Ｂが非稼働面となっている。（２）では、稼働面と非稼働面が入れ替えられ、第１領域１０－Ａが非稼働面、第２領域１０－Ｂが稼働面となっている。稼働面と非稼働面を入れ替えることを、稼働面の切替と呼ぶ。

【0028】

例を挙げて説明すると、図４において、第１領域１０－ＡにＶｅｒ２．５のソフトウェアＰＲＯＧが、第２領域１０－ＢにＶｅｒ２．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されているとする。プロセッサ３０が実行するソフトウェアは、（１）ではＶｅｒ２．５のソフトウェアＰＲＯＧであり、稼働面が切り替えられて（２）になるとＶｅｒ２．０の旧ソフトウェアＰＲＯＧ－ＯＬＤとなる。稼働面の切替は、ＥＣＵ１００の停止中又はＥＣＵ１００の起動直後に行われる。

【0029】

第１の不揮発メモリ１０が稼働面及び非稼働面の２つの領域を有することで、稼働面に格納されたソフトウェアを実行しながら、非稼働面へ別なソフトウェアの書込みを行うことができる。制御を止めずにソフトウェアの書込みができるため、よりスムーズなロールバックが可能となる。

【0030】

２－２．処理例
図５は、第１の例の場合のロールバックに関連する処理例を示す概念図である。図５の例では、ソフトウェアＰＲＯＧに相当するソフトウェアはＶｅｒ４．０のソフトウェアであり、旧ソフトウェアＰＲＯＧ－ＯＬＤに相当するソフトウェアはＶｅｒ３．０のソフトウェアである。（１）の状態では、稼働面の第２領域１０－Ｂに格納されたＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが起動されている。

【0031】

（１）で、管理サーバ２０００から、Ｖｅｒ４．０のソフトウェアＰＲＯＧが配信され、第１の不揮発メモリ１０に格納される。このとき、Ｖｅｒ４．０のソフトウェアＰＲＯＧは、第１領域１０－Ａ及び第２領域１０－Ｂのどちらにも格納することができる。ただし、格納する領域を非稼働面となっている第１領域１０－Ａとすると、制御を止めずにソフトウェアＰＲＯＧの書込みができるため、ソフトウェアＰＲＯＧの更新がよりスムーズとなる。加えて、ソフトウェアＰＲＯＧの書込みによって稼働面のＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤに影響を与えることもない。非稼働面の第１領域１０－ＡへのＶｅｒ４．０のソフトウェアＰＲＯＧの書込みが完了すると、稼働面の切替が行われる。稼働面の切替により、（２）のように起動されるソフトウェアがＶｅｒ４．０のソフトウェアＰＲＯＧとなることで、更新が完了する。

【0032】

更新完了後、（２）のようにバックアップを行っても良い。バックアップとは、旧ソフトウェアＰＲＯＧ－ＯＬＤを第２の不揮発メモリ４０へ退避させることである。つまり、図５の例では、非稼働面に格納されたＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤを第２の不揮発メモリ４０に格納することでバックアップが行われる。バックアップによって、より確実なロールバックを実現することができる。

【0033】

その後、（３）のように、更に新しいＶｅｒ５．０のソフトウェアが管理サーバ２０００から配信されることもある。このときは、Ｖｅｒ５．０のソフトウェアは非稼働面の第２領域１０－Ｂに格納される。Ｖｅｒ５．０のソフトウェアの書込みが完了すれば、再び稼働面が切り替えられ、Ｖｅｒ５．０のソフトウェアの更新が完了となる。ただし、（３）及び（４）では、ソフトウェアの書込み途中の状態が図示されている。

【0034】

（４）では、Ｖｅｒ４．０のソフトウェアＰＲＯＧに不具合が含まれていることが発覚し、旧ソフトウェアＰＲＯＧ－ＯＬＤに戻すことが必要となる。図５の例では、第２の不揮発メモリ４０にＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されているため、プロセッサ３０は、第２の不揮発メモリ４０からのロールバックを行う。つまり、プロセッサ３０は、（５）のように非稼働面の第２領域１０－ＢにＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤを格納する。このとき、非稼働面にＶｅｒ５．０のソフトウェアを書込み途中であったとしても、ロールバックが優先され、Ｖｅｒ５．０のソフトウェアの更新は停止させられる。

【0035】

格納後、（６）のように稼働面を切り替え、起動されるソフトウェアがＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤとなることで、ロールバックは完了となる。（５）に示すように、旧ソフトウェアＰＲＯＧ－ＯＬＤは非稼働面に格納されるため、車両１０００を制御しながら旧ソフトウェアＰＲＯＧ－ＯＬＤの書込みをすることが可能となる。このように、第１の不揮発メモリ１０が２つの領域を有することで、よりスムーズにロールバックを行うことができ、ソフトウェアに関する不具合などにも適切に対応できる。

【0036】

ここで、比較例として、第２の不揮発メモリ４０が設けられていない場合について考える。この場合、Ｖｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤを利用することはできない。何故なら、第２領域１０－Ｂに格納されていたＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤの少なくとも一部は、Ｖｅｒ５．０のソフトウェアによって上書きされているからである。一方、本実施の形態によれば、第２の不揮発メモリ４０が設けられているため、ロールバックによって、Ｖｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤに戻すことができる。更に、バックアップを行うことにより、ロールバックをより確実なものとすることができる。このようにして、本実施の形態に係るＥＣＵ１００は、ソフトウェアＰＲＯＧに関する不具合などの理由で旧ソフトウェアＰＲＯＧ－ＯＬＤに戻す必要がある場合においても、適切な対応を行うことができる。

【0037】

２－３．非稼働面からのロールバック
本実施の形態の変形例として、非稼働面に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されている場合は、非稼働面からのロールバックが行われても良い。

【0038】

図６は、非稼働面からのロールバックの例を示している。図６の例では、ソフトウェアＰＲＯＧに相当するソフトウェアはＶｅｒ４．０のソフトウェアであり、旧ソフトウェアＰＲＯＧ－ＯＬＤに相当するソフトウェアはＶｅｒ３．０のソフトウェアである。（１）では、図５（１）と同様に、管理サーバ２０００からＶｅｒ４．０のソフトウェアＰＲＯＧが配信され、第１の不揮発メモリ１０の非稼働面に格納される。格納後、稼働面の切替が行われる。稼働面の切替後、（２）において、図５の場合と同様にＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップが行われる。

【0039】

（３）で、Ｖｅｒ４．０のソフトウェアＰＲＯＧに不具合が含まれていることが発覚し、Ｖｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤに戻すことが必要となる。このとき、非稼働面の第２領域１０－Ｂには、Ｖｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されている。よって、第２の不揮発メモリ４０からのロールバックを行う代わりに、稼働面を切り替える。稼働面を切り替えることで、起動されるソフトウェアは切替後の稼働面に格納されたＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤとなる。つまり、旧ソフトウェアＰＲＯＧ－ＯＬＤにロールバックされる。

【0040】

このような稼働面の切替によるロールバックを、非稼働面からのロールバックと呼ぶ。非稼働面からのロールバックにおいては、稼働面を切り替えるだけで良く、ソフトウェアを格納しなおす必要がないため、より迅速にロールバックを行うことができる。

【0041】

２－４．処理フロー
図７は、第１の例の場合のロールバックに関連する処理を示すフローチャートである。図７に例示されるフローチャートは、プロセッサ３０により実行される。

【0042】

ステップＳ１０１において、ＥＣＵ１００に対してロールバックの指示が出される。ロールバックの指示は、例えば、管理サーバ２０００や車両１０００のユーザーにより、ソフトウェアを旧ソフトウェアＰＲＯＧ－ＯＬＤに戻す必要があるときに出される。ＥＣＵ１００がロールバックの指示を受け取ると、処理は、ステップＳ１０２に進む。

【0043】

ステップＳ１０２において、第１の不揮発メモリ１０にソフトウェアが更新中か否かが判定される。ソフトウェアの更新中の場合（ステップＳ１０２；Ｙｅｓ）、処理は、ステップＳ１０３に進む。更新中でない場合、（ステップＳ１０２；Ｎｏ）、処理は、ステップＳ１０４に進む。

【0044】

ステップＳ１０３において、ロールバックを実行するために、ソフトウェアの更新が停止される。その後、処理はステップＳ１０４に進む。

【0045】

ステップＳ１０４において、第１の不揮発メモリ１０の非稼働面に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されているか否かが判定される。このとき、旧ソフトウェアＰＲＯＧ－ＯＬＤが改竄されたり書き換えられたりしていない完全性の保たれた状態であるか否かを同時に判定しても良い。旧ソフトウェアＰＲＯＧ－ＯＬＤが完全性を保持して格納されている場合（ステップＳ１０４；Ｙｅｓ）、処理は、ステップＳ１０５に進む。旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されていない場合、又は旧ソフトウェアＰＲＯＧ－ＯＬＤの完全性が保たれていない場合（ステップＳ１０４；Ｎｏ）、処理は、ステップＳ１０６に進む。

【0046】

ステップＳ１０５において、稼働面の切替が行われる。その後、処理は終了する。ステップＳ１０５で行われる稼働面の切替が、非稼働面からのロールバックである。

【0047】

ステップＳ１０６において、第２の不揮発メモリ４０に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されているか否かが判定される。このとき、旧ソフトウェアＰＲＯＧ－ＯＬＤが改竄されたり書き換えられたりしていない完全性の保たれた状態であるか否かを同時に判定しても良い。旧ソフトウェアＰＲＯＧ－ＯＬＤが完全性の保たれた状態で格納されている場合（ステップＳ１０６；Ｙｅｓ）、処理は、ステップＳ１０８に進む。旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されていない場合、又は旧ソフトウェアＰＲＯＧ－ＯＬＤの完全性が保たれていない場合（ステップＳ１０６；Ｎｏ）、処理は、ステップＳ１０７に進む。

【0048】

ステップＳ１０７において、プロセッサ３０は、必要なソフトウェアをダウンロードするように外部への通知を行う。例えば、専用のツールを使った有線によるダウンロードや外部のコンピュータからのダウンロードを行うように、車両１０００のユーザーに通知する。その後、処理はステップＳ１０１に戻る。

【0049】

ステップＳ１０８において、第２の不揮発メモリ４０から第１の不揮発メモリ１０の非稼働面に旧ソフトウェアＰＲＯＧ－ＯＬＤが格納される。その後、処理は、ステップＳ１０９に進む。

【0050】

ステップＳ１０９において、稼働面が切り替えられる。稼働面が切り替えられることにより、旧ソフトウェアＰＲＯＧ－ＯＬＤが起動される。その後、処理は終了する。ステップＳ１０８及びステップＳ１０９の処理が、第２の不揮発メモリ４０からのロールバックである。

【0051】

旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップは、例えば、図８に示すフローチャートをプロセッサ３０が実行することにより実現される。

【0052】

ステップＳ２０１において、ソフトウェアの更新が行われる。ソフトウェアの更新が行われると、処理は、ステップＳ２０２に進む。

【0053】

ステップＳ２０２において、ソフトウェアの更新が完了したか否かが判定される。例えば、第１の不揮発メモリ１０の非稼働面へ新しいソフトウェアを格納することによりソフトウェアの更新が行われる場合は、非稼働面へのソフトウェアの格納及び稼働面の切替が完了したときにソフトウェアの更新が完了したと判定される。ソフトウェアの更新が完了している場合（ステップＳ２０２；Ｙｅｓ）、処理は、ステップＳ２０３に進む。更新が完了していない場合、（ステップＳ２０２；Ｎｏ）、処理は、ステップＳ２０１に戻る。

【0054】

ステップＳ２０３において、第２の不揮発メモリ４０へ、ソフトウェアの書込み通知が出される。その後、処理は、ステップＳ２０４へ進む。

【0055】

ステップＳ２０４において、ソフトウェアの書込み通知に対して第２の不揮発メモリ４０からの正常な応答があったか否かが判定される。正常な応答があった場合（ステップＳ２０４；Ｙｅｓ）、処理は、ステップＳ２０５に進む。応答がない場合、又は応答が異常な場合（ステップＳ２０４；Ｎｏ）、処理は、ステップＳ２０７に進む。異常な応答は、第２の不揮発メモリ４０の故障や容量不足などの場合に発せられる。

【0056】

ステップＳ２０７において、バックアップの失敗が車両１０００のユーザーに通知される。その後、処理は終了する。ステップＳ２０７の通知により、第２の不揮発メモリ４０の故障や容量不足などがあった場合に、ユーザーに対応を促すことができる。

【0057】

ステップＳ２０５において、旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップ、つまり、旧ソフトウェアＰＲＯＧ－ＯＬＤの第２の不揮発メモリ４０への格納が開始する。その後、処理は、ステップＳ２０６に進む。

【0058】

ステップＳ２０６において、旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップが完了したか否かが判定される。バックアップが完了していない場合（ステップＳ２０６；Ｎｏ）、処理は、ステップＳ２０５に戻る。バックアップが完了した場合は（ステップＳ２０６；Ｙｅｓ）、バックアップ処置制御ソフトウェアによりバックアップ処理が停止されることで、処理は終了する。

【0059】

３．第２の例
第２の例では、第２の不揮発メモリ４０からのロールバックの際に、管理センタによる認証を行うステップが追加される。第２の不揮発メモリ４０は第１の不揮発メモリ１０よりも書き換えが容易であり、悪意を持った第三者による攻撃を受けやすい。また、第２の不揮発メモリ４０に、ソフトウェアＰＲＯＧよりも古いバージョンのソフトウェアとして、複数のバージョンのソフトウェアが格納されている場合には、誤ったバージョンのソフトウェアにロールバックされてしまう恐れもある。第２の例においては、認証のステップを追加することで、第２の不揮発メモリ４０に格納されている旧ソフトウェアＰＲＯＧ－ＯＬＤが正しいバージョンの正規のソフトウェアであることを確認する。こうして、改竄されたソフトウェアや誤ったバージョンのソフトウェアへのロールバックを防ぐことができる。認証のステップは、以下のように行われる。

【0060】

管理センタは、ソフトウェアに対し、それぞれのバージョンに対応した暗号鍵を付与する。管理センタは、管理サーバ２０００と同じであってもよい。第２の不揮発メモリ４０からのロールバックを行う際、ＥＣＵ１００は、通信装置２００を介して旧ソフトウェアＰＲＯＧ－ＯＬＤの暗号鍵を管理センタに送信する。管理センタは、ＥＣＵ１００から受信した暗号鍵を解読し、正規のソフトウェアであることを検証する。例えば、ソフトウェアに付与したＨａｓｈ値を利用して認証を行うことで、ソフトウェアの一意性を検証する。あるいは、秘密鍵や、公開鍵、ＳＨＡ－２５６などを利用した認証を行っても良い。管理センタによる認証が正しく行われた場合にのみ、第２の不揮発メモリ４０からの旧ソフトウェアＰＲＯＧ－ＯＬＤのロールバックが行われる。

【0061】

図９は、第２の例における処理例を示すフローチャートである。

【0062】

ステップＳ３０１からステップＳ３０７においては、図７のステップＳ１０１からステップＳ１０７と同様の処理が行われる。ステップＳ３０６において、ソフトウェアが格納されている場合（ステップＳ３０６；Ｙｅｓ）、処理は、ステップＳ３０８に進む。

【0063】

ステップＳ３０８において、管理センタによって旧ソフトウェアＰＲＯＧ－ＯＬＤが正しく認証されたか否かが判定される。管理センタによる認証には、上記に説明したように、暗号鍵が使われる。正しく認証された場合（ステップＳ３０８；Ｙｅｓ）、処理は、ステップＳ３１０に進む。正しく認証されない場合、（ステップＳ３０８；Ｎｏ）、処理は、ステップＳ３０９に進む。

【0064】

ステップＳ３０９においては、図７のステップＳ１０７と同様の処理が行われる。その後、処理は、ステップＳ３０１に戻る。

【0065】

ステップＳ３１０及びステップＳ３１１では、図７のステップＳ１０８及びステップＳ１０９と同様に、第２の不揮発メモリ４０からの旧ソフトウェアＰＲＯＧ－ＯＬＤのロールバックが行われる。ステップＳ３１１で稼働面の切替が行われた後、処理は終了する。

【0066】

このように、管理センタによる旧ソフトウェアＰＲＯＧ－ＯＬＤの認証のステップを追加することで、第１の不揮発メモリ１０に、改ざんされたソフトウェアや間違ったバージョンのソフトウェアがロールバックされるのを防ぐことができる。第２の不揮発メモリ４０に正しく認証される旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されていない場合は、ユーザーへの通知がされることで、正しいソフトウェアへの更新を促すことができる。

【0067】

３．第３の例
第１の不揮発メモリ１０は１面の不揮発メモリであっても良い。本実施の形態に係る制御装置は、第１の不揮発メモリ１０が１面の不揮発メモリである場合においても、上記と同様に旧ソフトウェアＰＲＯＧ－ＯＬＤのロールバックやバックアップを行うことができる。以下、ロールバック及びバックアップを行う例について説明する。

【0068】

図１０では、第１の不揮発メモリ１０は、ソフトウェアを格納する領域として、１つの領域１０－Ａのみを有している。そのため、領域１０－Ａが常に稼働面となる。図１０の例では、ソフトウェアＰＲＯＧに相当するソフトウェアはＶｅｒ４．０のソフトウェアであり、旧ソフトウェアＰＲＯＧ－ＯＬＤに相当するソフトウェアはＶｅｒ３．０のソフトウェアである。

【0069】

（１）では、領域１０－ＡにはＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが格納されている。（１）においては、旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップが行われ、第２の不揮発メモリ４０にＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤが退避させられる。（２）において、管理サーバ２０００からＶｅｒ４．０のソフトウェアＰＲＯＧが配信され、第１の不揮発メモリ１０のソフトウェアがＶｅｒ４．０のソフトウェアＰＲＯＧに更新される。図１０では、ソフトウェアＰＲＯＧの更新中はＥＣＵ１００を含む車両１０００の制御システムは停止した状態となる。

【0070】

更新が完了した後、（３）においてＶｅｒ４．０のソフトウェアＰＲＯＧに不具合が含まれていることが発覚し、旧ソフトウェアＰＲＯＧ－ＯＬＤに戻すことが必要となる。そこで、（４）で第２の不揮発メモリ４０からＶｅｒ３．０の旧ソフトウェアＰＲＯＧ－ＯＬＤのロールバックが行われる。このときロールバックが完了するまで車両１０００の制御システムは停止した状態となる。

【0071】

図１０に示すように、本実施の形態に係る制御装置は、第１の不揮発メモリ１０が１面であるか２面であるかに関わらずロールバックを行うことができ、ソフトウェアに不具合が含まれていることが発覚したとしても、適切に対応できる。センサＥＣＵなどの高い性能を必要としないＥＣＵにおいては、第１の不揮発メモリ１０が有する領域を１つにすることで、コストを抑えることができる。

【0072】

４．その他の例
旧ソフトウェアＰＲＯＧ－ＯＬＤは、２つ以上前のバージョンのソフトウェアを含んでいても良い。例えば、ソフトウェアにバグが含まれていることが発覚した場合において、１つ前のバージョンのソフトウェアにも同様のバグが含まれており、２つ以上前のバージョンのソフトウェアに戻すことが必要となる場合もある。このような場合には、本実施の形態に係る制御装置は、２つ以上前のバージョンの旧ソフトウェアＰＲＯＧ－ＯＬＤへのロールバックを行っても良い。本実施の形態においては、任意のバージョンのソフトウェアにロールバックできるように、第２の不揮発メモリ４０にコンピュータなどの外部端末から事前に任意のバージョンのソフトウェアのデータをダウンロードしておいても良い。

【0073】

５．まとめ
以上に説明したように、第２の不揮発メモリ４０を車両１０００に搭載することにより、本実施の形態に係る制御装置は、迅速なロールバックを実現できる。第２の不揮発メモリ４０を搭載することによって、メモリの空き容量を確実に確保することができ、旧ソフトウェアＰＲＯＧ－ＯＬＤのバックアップを行うこともできる。また、第２の不揮発メモリ４０は取り外し可能に構成することもできるため、既存の多様な容量のメモリを選択して利用することができ、車両のシステムに対してロバスト性を持たせることができる。

【符号の説明】

【0074】

１０ 第１の不揮発メモリ
１０－Ａ 第１領域
１０－Ｂ 第２領域
３０ プロセッサ
４０ 第２の不揮発メモリ
２００ 通信装置
１０００ 車両
２０００ 管理サーバ
ＰＲＯＧ ソフトウェア
ＰＲＯＧ－ＯＬＤ 旧ソフトウェア

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】