JP2022074461A - 車載ｅｃｕ、プログラム及びフェールセーフ方法 - Google Patents

Abstract

【課題】起動できなかったアプリケーションの代替を行うことができる車載ＥＣＵ等を提供する。【解決手段】車載ＥＣＵは、車両に搭載される車載ＥＣＵであって、複数のアプリケーションを実行する制御部と、前記制御部が複数のアプリケーションを実行するにあたり、前記複数のアプリケーションそれぞれの検証を行う検証部とを備え、前記制御部は、前記検証部による検証が肯定的なアプリケーションを実行し、前記検証部による検証が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、前記フェールセーフ処理は、前記否定的なアプリケーションを特定し、特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む。【選択図】図１

Description

本発明は、車載ＥＣＵ、プログラム及びフェールセーフ方法に関する。

車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するためのＥＣＵ（Electronic Control Unit）が搭載されている。ＥＣＵは、ＭＰＵ等の演算処理部、ＲＡＭ等の書換可能な不揮発性の記憶部、及び他のＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。当該制御プログラムを実行するにあたり、ＥＣＵの起動時に制御プログラムの完全性を検証し、当該検証に成功した場合にＥＣＵの起動（ブート）を許可するセキュアブート方法が、知られている（例えば特許文献１参照）。

特許文献１は、制御プログラムの完全性の検証において、失敗回数が規定値を超えた場合は問題のある制御プログラム（ソフトウェア）を起動しないフェールセーフを行う。

特開２０２０－１４４５３１号公報

しかしながら、特許文献１のＥＣＵは、セキュアブートの検証結果により起動できなかったアプリケーションの代替を行う点が考慮されていないという問題点がある。

本発明の目的は、起動できなかったアプリケーションの代替を行うことができる車載ＥＣＵ等を提供する。

本開示の一態様に係る車載ＥＣＵは、車両に搭載される車載ＥＣＵであって、複数のアプリケーションを実行する制御部と、前記制御部が複数のアプリケーションを実行するにあたり、前記複数のアプリケーションそれぞれの検証を行う検証部とを備え、前記制御部は、前記検証部による検証が肯定的なアプリケーションを実行し、前記検証部による検証が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、前記フェールセーフ処理は、前記否定的なアプリケーションを特定し、特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む。

本開示の一態様によれば、起動できなかったアプリケーションの代替を行う車載ＥＣＵ等を提供することができる。

実施形態１に係る車載ＥＣＵを含む車載システムの構成を例示する模式図である。 車載ＥＣＵの物理構成を例示するブロック図である。 車載ＥＣＵの制御部に含まれる機能部を例示する機能ブロック図である。 代替信号テーブル（パターン情報）を例示する説明図である。 車載ＥＣＵの制御部の処理を例示するフローチャートである。 実施形態２（仮想環境）に係る車載ＥＣＵの論理構成を例示するブロック図である。 車載ＥＣＵの制御部に含まれる機能部を例示する機能ブロック図である。 動作環境テーブル（動作環境情報）を例示する説明図である。 車載ＥＣＵの制御部の処理を例示するフローチャートである。

［本発明の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載ＥＣＵは、車両に搭載される車載ＥＣＵであって、複数のアプリケーションを実行する制御部と、前記制御部が複数のアプリケーションを実行するにあたり、前記複数のアプリケーションそれぞれの検証を行う検証部とを備え、前記制御部は、前記検証部による検証が肯定的なアプリケーションを実行し、前記検証部による検証が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、前記フェールセーフ処理は、前記否定的なアプリケーションを特定し、特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む。

本態様にあたっては、車載ＥＣＵ（Electronic Control Unit）の制御部は、複数のアプリケーションに対する検証部の検証結果に基づき、複数のアプリケーションそれぞれの実行可否（起動判定）を行うものであり、当該車載ＥＣＵにおいては、セキュアブートが行われるものとなる。当該セキュアブートの一端を担う検証部により否定的な検証結果となったアプリケーションを、制御部は実行しないため、車載ＥＣＵにおいて実行されるアプリケーションの適正性（完全性）を担保することができる。更に、車載ＥＣＵの制御部は、否定的なアプリケーションに応じた代替信号を出力する処理を含むフェールセーフ処理を実行することにより、セキュアブートの検証結果により起動できなかったアプリケーションの代替を効率的に行うことができる。

（２）本開示の一態様に係る車載ＥＣＵは、前記フェールセーフ処理を実行するためのフェールセーフプログラムは、書換不可の記憶領域に記憶されている。

本態様にあたっては、車載ＥＣＵが備える記憶部において、フェールセーフ処理を実行するためのフェールセーフプログラムは、書換不可の記憶領域に記憶されているため、例えば、車両内外から当該フェールセーフプログラムへの改竄等の攻撃（アタック）に対する堅牢性を向上させることができる。

（３）本開示の一態様に係る車載ＥＣＵは、前記書換不可の記憶領域には、前記アプリケーションの組み合わせと、前記代替信号に関する情報とが関連付けられたパターン情報が記憶されており、前記制御部による前記フェールセーフ処理は、前記パターン情報を参照して、特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む。

本態様にあたっては、車載ＥＣＵの制御部は複数のアプリケーションを実行するところ、検証部の検証結果によって、単一のアプリケーションのみが否定的な検証結果となる場合もあり、又は複数のアプリケーションが否定的な検証結果となる場合もある。これに対し、車載ＥＣＵの記憶領域に記憶されているパターン情報は、当該複数のアプリケーションにおける各アプリケーションの組み合わせと、当該組み合わせに関連付けられた代替信号に関する情報とを含む。当該アプリケーションの組み合わせは、２つ以上のアプリケーションの組み合わせに限定されず、単一のアプリケーションについても含む。従って、車載ＥＣＵの制御部は、特定したアプリケーションが単一の場合のみならず、複数である場合であっても、パターン情報を参照することにより、当該特定した単数又は複数のアプリケーションの組み合わせに応じた代替信号に関する情報を効率的に取得し、当該情報に基づき代替信号を出力することができる。

（４）本開示の一態様に係る車載ＥＣＵは、前記制御部による代替信号を出力する処理は、実行された肯定的なアプリケーションに対し代替信号を出力する処理を含む。

本態様にあたっては、車載ＥＣＵの制御部は実行される複数のアプリケーションは、これらアプリケーション間にて、例えばプロセス間通信を行い協調動作又は依存動作を行う。これに対し、制御部による代替信号を出力する処理は、当該代替信号を自ＥＣＵ以外の他の車載ＥＣＵに出力する処理のみならず、自ＥＣＵ（制御部）にて実行されるアプリケーション（検証結果が肯定的なアプリケーション）に対しても代替信号を出力する処理を含む。従って、自ＥＣＵ（車載ＥＣＵ）において実行されるべき複数のアプリケーションにおいて、これらアプリケーション間にて動作処理の依存性がある場合であっても、制御部は、実行された肯定的なアプリケーションに対し代替信号を出力する。従って、当該車載ＥＣＵにおける複数のアプリケーションに対する全体的又は包括的なフェールセーフ処理を行うことができる。

（５）本開示の一態様に係る車載ＥＣＵは、前記制御部は、仮想化オペレーティングシステムによって複数の仮想環境を生成し、前記複数のアプリケーションそれぞれは、前記複数の仮想環境のうちのいずれかの仮想環境を動作環境とするものであり、前記検証部は、複数の仮想環境それぞれの検証を行い、前記制御部は、前記検証部による検証が肯定的な仮想環境を生成し、前記検証部による検証が否定的な仮想環境は生成せず、該否定的な仮想環境を動作環境とするアプリケーションを代替する前記フェールセーフ処理を実行する。

本態様にあたっては、車載ＥＣＵの制御部は、仮想化オペレーティングシステムによって複数の仮想環境を生成し、複数のアプリケーションそれぞれは、いずれかの仮想環境の上にて実行される。すなわち、複数のアプリケーションそれぞれは、ＣＰＵ等の物理的なハードウェア環境にて動作するものでなく、仮想化オペレーティングシステムによって生成された仮想環境を動作環境として、実行される。これにより、単一の車載ＥＣＵ（自ＥＣＵ）において、生成した仮想環境と同数の仮想ＥＣＵを構成することができる。当該仮想環境は、アプリケーションを実行するためのプラットフォームとなるゲストＯＳを含むところ、検証部は当該仮想環境（ゲストＯＳ）の検証を行い、制御部は、当該検証結果に基づき、肯定的な仮想環境は生成し、否定的な仮想環境は生成しない。従って、これら仮想環境（ゲストＯＳ）それぞれに対する適正性（完全性）を担保することができる。否定的な仮想環境は生成されないため、当該否定的な仮想環境を動作環境とするアプリケーションも実行されないものとなるが、これに対し、制御部は、否定的な仮想環境を動作環境とするアプリケーションを代替するフェールセーフ処理を実行する。従って、仮想化オペレーティングシステムによって生成された仮想環境（仮想ＥＣＵ）を、動作環境としてアプリケーションを実行するように構成された車載ＥＣＵにおいても、セキュアブートの検証結果により起動できなかったアプリケーション（生成されなかった仮想環境を動作環境とするアプリケーション）の代替を、効率的に行うことができる。

（６）本開示の一態様に係る車載ＥＣＵは、前記フェールセーフ処理を実行するためのフェールセーフプログラムが記憶される書換不可の記憶領域には、前記仮想環境と、前記仮想環境を動作環境とする一つ以上のアプリケーションとが関連付けられた動作環境情報が記憶されており、前記制御部による前記フェールセーフ処理は、前記動作環境情報を参照して、前記否定的な仮想環境を動作環境とするアプリケーションを特定する処理を含む。

本態様にあたっては、車載ＥＣＵの制御部は複数の仮想環境を生成し、生成されたそれぞれの仮想環境においては、単一又は複数のアプリケーションが実行されるところ、書換不可の記憶領域には、仮想環境と、仮想環境を動作環境とする一つ以上のアプリケーションとが関連付けられた動作環境情報が記憶されている。従って、車載ＥＣＵの制御部は、当該動作環境情報を参照することにより、否定的な検証結果のため生成しなかった仮想環境を動作環境とするアプリケーションを特定し、例えばパターン情報を参照することにより、特定したアプリケーションに応じた代替信号を出力する処理を効率的に行うことができる。

（７）本開示の一態様に係るプログラムは、車両に搭載され、複数のアプリケーションを実行するコンピュータに、前記複数のアプリケーションそれぞれの検証を行い、前記検証の結果が肯定的なアプリケーションを実行し、前記検証の結果が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、前記フェールセーフ処理は、前記否定的なアプリケーションを特定し、特定した前記否定的なアプリケーションに応じた代替信号の出力を含む処理を実行させる。

本態様にあたっては、コンピュータを、起動できなかったアプリケーションの代替を行うことができる車載ＥＣＵとして機能させることができる。

（８）本開示の一態様に係るフェールセーフ方法は、車両に搭載され、複数のアプリケーションを実行するコンピュータに、前記複数のアプリケーションそれぞれの検証を行い、前記検証の結果が肯定的なアプリケーションを実行し、前記検証の結果が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、前記フェールセーフ処理は、前記否定的なアプリケーションを特定し、特定した前記否定的なアプリケーションに応じた代替信号の出力を含む処理を実行させる。

本態様にあたっては、コンピュータを、起動できなかったアプリケーションの代替を行うことができる車載ＥＣＵとして機能させるフェールセーフ方法を提供することができる。

[本開示の実施形態の詳細]
本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載ＥＣＵ２を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載ＥＣＵ２を含む車載システムの構成を例示する模式図である。図２は、車載ＥＣＵ２の物理構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載される複数の車載ＥＣＵ２及び、当該車載ＥＣＵ２に接続される車載装置３を含む。

複数の車載ＥＣＵ２は、車両Ｃの全体を制御する統合的な車載ＥＣＵ２（統合ＥＣＵ）、及び当該統合的な車載ＥＣＵ２と通信可能に接続され、車載装置３と直接、接続される個別的な車載ＥＣＵ２（個別ＥＣＵ）を含むものであってもよい。統合的な車載ＥＣＵ２は、車外通信装置１を介して、インターネット等の外部ネットワークに接続される外部サーバ１００と、通信可能に接続されるものであってもよい。本実施形態において図示においては、統合的な車載ＥＣＵ２と、複数の個別的な車載ＥＣＵ２とは、スター状のネットワークトポロジーを形成する車載ネットワーク４によって通信可能に接続され、当該統合的な車載ＥＣＵ２は、スター状のネットワークトポロジーの中心（センター）に位置して設けられている。更に、隣接する個々の個別的な車載ＥＣＵ２同士が接続され、ループ状のネットワークトポロジーを構成し、双方向通信を可能として冗長化を図るものであってもよい。

複数の個別的な車載ＥＣＵ２は、車両Ｃにおける各エリアに配置され、イルミネーションランプ等のアクチュエータ３０、及びセンサ等の車載装置３が、シリアルケーブル（じか線）等のワイヤーハーネスにて、直接接続されている。個別的な車載ＥＣＵ２は、例えば、センサから出力された信号（入力信号）を取得（受信）し、取得した入力信号に基づき生成した要求信号を統合的な車載ＥＣＵ２に送信する。個別的な車載ＥＣＵ２は、統合的な車載ＥＣＵ２から送信された制御信号に基づき、自ＥＣＵに直接、接続されたイルミネーションランプ等のアクチュエータ３０の駆動制御を行う。個別的な車載ＥＣＵ２は、当該個別的な車載ＥＣＵ２に接続される複数の車載装置３間の通信、又は車載装置３と他の車載ＥＣＵ２との通信を中継するゲートウェイ又はイーサスイッチ等の車載中継装置として機能する中継制御ＥＣＵであってもよい。個別的な車載ＥＣＵ２は、通信に関する中継に加え、蓄電装置５から出力された電力を分配及び中継し、自ＥＣＵに接続される車載装置３に供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。

統合的な車載ＥＣＵ２は、個別的な車載ＥＣＵ２等、他の車載ＥＣＵ２を介して中継された車載装置３からのデータに基づき、個々の車載装置３への制御信号を生成及び出力するものであり、例えばヴィークルコンピュータ等の中央制御装置である。統合的な車載ＥＣＵ２は、個別的な車載ＥＣＵ２等、他の車載ＥＣＵ２から出力（送信）される要求信号等の情報又はデータに基づき、当該要求信号の対象となるアクチュエータ３０を制御するための制御信号を生成し、生成した制御信号を他の車載ＥＣＵ２に出力（送信）する。本実施形態においては、統合的な車載ＥＣＵ２（統合ＥＣＵ）及び個別的な車載ＥＣＵ２（個別ＥＣＵ）により車載システムは構成されるとしたがこれに限定されない。車載システムは、例えばＣＡＮ（Controller Area Network）ゲートウェイ又はイーサスイッチ等の中継装置によってピアツーピアに接続された複数の車載ＥＣＵ２によって構成されるものであってもよい。

車載装置３は、例えばＬｉＤＡＲ（Light Detection and Ranging）、ライトセンサ、ＣＭＯＳカメラ、赤外線センサ等の各種センサ３１及び、ドアＳＷ（スイッチ）、ランプＳＷ等のスイッチ、ランプ、ドア開閉装置、モータ装置等のアクチュエータ３０を含む。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部を備える。統合的な車載ＥＣＵ２（統合ＥＣＵ）は、車外通信装置１と通信可能に接続され、車外通信装置１を介して車外ネットワークを介して接続された外部サーバ１００と通信し、外部サーバ１００と、車両Ｃに搭載される他の車載ＥＣＵ２又は車載装置３との間の通信を中継するものであってもよい。

車外通信装置１は、車外通信部（図示せず）及び、統合的な車載ＥＣＵ２（統合ＥＣＵ）と通信するための入出力Ｉ／Ｆ（図示せず）を含む。車外通信部は、４Ｇ、ＬＴＥ（Long Term Evolution／登録商標）、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナ１１を介して外部サーバ１００とデータの送受信を行う。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。入出力Ｉ／Ｆ２２は、車載ＥＣＵ２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と車載ＥＣＵ２とは、入出力Ｉ／Ｆ及び入出力Ｉ／Ｆに接続されたシリアルケーブル等のワイヤーハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、車載ＥＣＵ２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載ＥＣＵ２の一構成部位として、車載ＥＣＵ２に内蔵されるものであってもよい。

車載ＥＣＵ２（統合ＥＵＣ、個別ＥＣＵ）は、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２、車内通信部２３及び検証部２４を含む。制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２１に予め記憶された制御プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。制御部２０は、ＣＰＵ等のソフトウェア処理を行うソフトウェア処理部のみに限定されず、ＦＰＧＡ、ＡＳＩＣ又はＳＯＣ等のハードウェア処理にて種々の制御処理及び演算処理等を行うハードウェア処理部を含むものであってもよい。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子、又は、これら記憶デバイスの組み合わせにより構成してあり、制御プログラム及び処理時に参照するデータが予め記憶してある。当該制御プログラムは、例えば、各種の車載装置３を制御するためのアプリケーション、又はＬｉＤＡＲ又はＣＭＯＳカメラからの出力データ基づき自動化運転を行うための物標認識を行うアプリケーション等の複数のアプリケーションを含む。これら複数のアプリケーションは、記憶部２１に含まれ、ＲＡＭ等により構成される書込み可能な記憶領域に記憶されているものであってもよい。記憶部２１は、ＲＯＭ等により構成される書込み不可な記憶領域を含み、当該書込み不可な記憶領域には、後述するフェールセーフプログラム、代替信号テーブル２１１等のフェールセーフ処理に必要なプログラム及びデータが記憶されている。

入出力Ｉ／Ｆ２２は、車外通信装置１の入出力Ｉ／Ｆ２２と同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２２及びシリアルケーブル等のワイヤーハーネスを介して、車載ＥＣＵ２は、車外通信装置１と通信可能に接続される。

車内通信部２３は、例えばＣＡＮ（Controller Area Network）又はイーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイスであり、制御部２０は、車内通信部２３を介して車載ネットワーク４に接続されている他の車載ＥＣＵ２と相互に通信する。

検証部２４は、例えばＨＳＭ（Hardware Security Module）であり、ＣＰＵ等で構成される制御部２０とは別デバイス又は別モジュールとして構成されている。ＨＳＭにて構成される検証部２４は、車載ＥＣＵ２（自ＥＣＵ）が起動（ブート）される際に行われるセキュアブート処理の一端を担うものであり、記憶部２１に記憶されている複数のアプリケーション等、車載ＥＣＵ２の起動において実行されるソフトウェアの適正性（完全性）又は健全性を検証する機能モジュールである。検証部２４は、例えば、暗号処理用のプロセッサを含み、例えばＣＭＡＣ（Cipher-based Message Authentication Code）等の暗号アルゴリズムを用いて、検証対象となるアプリケーション等のソフトウェアの適正性（完全性）を検証する。検証部２４は、車載ＥＣＵ２の起動時に行われるセキュアブート処理（セキュアブートシーケンス）において、検証対象となる複数のアプリケーションそれぞれの適正性（完全性）を検証し、アプリケーションそれぞれに対する検証結果を出力する。当該検証結果は、アプリケーションが正当である旨を示す肯定的検証結果、又はアプリケーションが例えば改竄等され不正である旨を示す否定的検証結果を含む。

図３は、車載ＥＣＵ２の制御部２０に含まれる機能部を例示する機能ブロック図である。車載ＥＣＵ２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、取得部２０１、アプリ起動判定部２０２、フェールセーフ部２０３、及び出力部２０４として機能し、これら機能部が連関することにより、フェールセーフ処理が行われる。すなわち、制御部２０は、セキュアブート処理（セキュアブートシーケンス）にてアプリケーションの検証を行う検証部２４と協働することにより、当該フェールセーフ処理を行うものとなる。

フェールセーフ処理を制御部２０に実行させるためのフェールセーフプログラムは、記憶部２１における（含まれる）書換不可の記憶領域に記憶されているものであってもよい。書換不可の記憶領域にフェールセーフプログラムを記憶することにより、例えば、車両Ｃ内外から当該フェールセーフプログラムへの改竄等の攻撃（アタック）に対する堅牢性を向上させることができる。

フェールセーフ処理を行う車載ＥＣＵ２の制御部２０（各機能部）は、検証部２４から取得した検証結果に基づき、適正性（完全性）が検証されたアプリケーションを実行する。制御部２０（は、検適正性（完全性）が検証されなかったアプリケーションについては実行することなく、当該実行しなかったアプリケーションを代替するための代替信号（フェールセーフ値）を出力する。

取得部２０１は、セキュアブート処理の一環として行われた検証部２４による検証の結果（検証結果）を、当該検証部２４から取得する。検証部２４から出力される検証結果には、アプリケーションそれぞれに対する検証結果が肯定的な結果であるか、又は否定的な結果であるかが、含まれている。肯定的な結果である場合、当該肯定的なアプリケーションに対する改竄等の不正処理は行われおらず、当該アプリケーションの適正性（完全性）が保証されるものとなる。否定的な結果である場合、当該否定的なアプリケーションに対し改竄等の不正処理が行われた蓋然性があり、当該アプリケーションの適正性（完全性）が否定されるものとなる。取得部２０１は、取得した検証結果を、アプリ起動判定部２０２及びフェールセーフ部２０３に出力する。

アプリ起動判定部２０２は、検証結果に基づき、個々のアプリケーションの実行（起動）の可否を判定し、実行が可能（肯定的な検証結果）であるアプリケーションを実行する。当該アプリケーションを実行することにより、アプリケーションに対応したプロセス又はスレッドが生成される。アプリ起動判定部２０２は、肯定的なアプリケーションは実行（起動）し、否定的なアプリケーションは実行（起動）しない。実行されるアプリケーションの適正性（完全性）は保証されているため、複数のアプリケーションが実行される車載ＥＣＵ２において、当該車載ＥＣＵ２の健全性を担保することができる。

フェールセーフ部２０３は、検証結果に基づき、検証結果が否定的なアプリケーションを特定する。検証部２４から出力される検証結果には、複数のアプリケーションそれぞれに対する肯定的検証結果又は否定的検証結果が含まれている。又は、当該検証結果には、肯定的な検証結果のアプリケーションに関する情報のみが含まれる場合であっても、フェールセーフ部２０３は、記憶部２１に記憶されている複数のアプリケーションとの対比（差分）を行うことにより、否定的な検証結果のアプリケーションを特定することができる。否定的なアプリケーションの特定においては、否定的なアプリケーションが皆無な場合、否定的なアプリケーションが一つである場合、又は否定的なアプリケーションが複数である場合に大別される。これら各場合において、当該否定的なアプリケーションの組み合わせが、特定されるものとなる。すなわち、当該否定的なアプリケーションの組み合わせは、２つ以上のアプリケーションの組み合わせに限定されず、単一のアプリケーション、又は否定的なアプリケーションが無い旨についても、含まれる。

フェールセーフ部２０３は、特定した否定的なアプリケーションの組み合わせに基づき、例えば、記憶部２１に記憶されているパターン情報を参照し、実行しなかった当該否定的なアプリケーションを代替するための代替信号（フェールセーフ値）を生成する。パターン情報は、例えばテーブル形式のデータ（代替信号テーブル２１１）として、フェールセーフプログラムと同様に記憶部２１に含まれる書換不可の記憶領域に記憶されているものであってもよい。

図４は、代替信号テーブル２１１（パターン情報）を例示する説明図である。代替信号テーブル２１１は、管理項目として、車載ＥＣＵ２の制御部２０が実行するアプリケーションそれぞれの名称の項目、及び代替信号のバターンの項目を含む。車載ＥＣＵ２の制御部２０が実行するアプリケーションそれぞれの名称の項目に対し、個々のアプリケーションが、肯定的な検証結果（〇にて図示）であるか、否定的な検証結果（×にて図示）であるかを示す値が格納される。代替信号テーブル２１１には、全アプリケーションが肯定的（〇）又は否定的（×）である場合における、全ての組み合わせパターン（全網羅パターン）が含まれている。当該個々の組み合わせが、検証結果が否定的なアプリケーションの組み合わせそれぞれに相当する。当該組み合わせは、２つ以上のアプリケーションの組み合わせに限定されず、単一のアプリケーションについても含む。

代替信号のバターンの項目には、当該組み合わせ（否定的なアプリケーションの組み合わせ）に対応する代替信号パターンが、格納されている。代替信号パターンは、例えば、予め定義されている値（フェールセーフ値）によって、示されるものであってもよい。

フェールセーフ部２０３は、検証結果に基づき特定した否定的なアプリケーションに基づき当該否定的なアプリケーションを特定し、パターン情報（代替信号テーブル２１１）を参照することにより、特定したアプリケーションの組み合わせに応じた代替信号パターン（フェールセーフ値）を導出（抽出）する。

フェールセーフ部２０３は、導出した代替信号パターン（フェールセーフ値）に基づき、代替信号を生成し、出力部２０４に出力する。フェールセーフ部２０３は、代替信号パターン（フェールセーフ値）に基づき代替信号を生成するにあたり、代替対象となるアプリケーションが正常動作していた際に出力したデータに基づき、当該代替信号を生成するものであってもよい。又は、代替対象となるアプリケーションの機能仕様等に基づき予め定められた信号を、代替信号として生成するものであってもよい。又は、フェールセーフ部２０３は、導出した代替信号パターン（フェールセーフ値）を、車外通信装置１を介して外部サーバ１００に送信し、当該代替信号パターン（フェールセーフ値）に基づき外部サーバ１００が生成した代替信号を取得することにより、当該代替信号として生成するものであってもよい。

出力部２０４は、フェールセーフ部２０３が生成した代替信号を、車内通信部２３を介して他の車載ＥＣＵ２に出力する。又は、出力部２０４は、フェールセーフ部２０３が生成した代替信号を、自ＥＣＵにて実行されたアプリケーション（実行中のアプリケーション）に対し、例えばプロセス間通信を行うことにより、当該アプリケーションのプロセスに出力（送信）するものであってもよい。

出力部２０４から出力（送信）された代替信号を取得（受信）した他の車載ＥＣＵ２、又は自ＥＣＵにて実行中のアプリケーションは、当該代替信号に基づき、所定の処理を行う。これにより、セキュアブートの検証結果により起動できなかったアプリケーションの代替を効率的に行うことができる。当該所定の処理は、例えば、機能を一部限定した縮退運転を行う処理、又は車両Ｃを適切に停止状態に遷移させる処理を含むものであってもよい。

本実施形態において、取得部２０１、アプリ起動判定部２０２フェールセーフ部２０３、及び出力部２０４は、車載ＥＣＵ２の制御部２０における機能部として説明したが、これに限定されない。これら機能部における一部の機能部、又は単一の機能部における処理の一部は、車載ＥＣＵ２と通信可能に接続される外部サーバ１００等のクラウドサーバ、又は、制御部２０とは別体で構成される検証部２４が担うものであってもよい。制御部２０は、これら外部サーバ１００又は検証部２４と協働して、当該機能部による一連の処理を行うものであってもよい。

図５は、車載ＥＣＵ２の制御部２０の処理を例示するフローチャートである。車載ＥＣＵ２の制御部２０は、例えば、車両Ｃが停止状態（ＩＧスイッチがオフ）から起動状態（ＩＧスイッチがオン）に状態遷移するにあたり、車載ＥＣＵ２（自ＥＣＵ）が起動（ブート）される際に行われるセキュアブート処理（セキュアブートシーケンス）に基づき、以下の処理を行う。

セキュアブート処理において最初に行われるのは、検証部２４によるアプリケーションそれぞれに対する検証である。当該検証部２４は、例えばＨＳＭ（Hardware Security Module）であり、ＣＰＵ等で構成される制御部２０とは別デバイス又は別モジュールとして構成されている。車載ＥＣＵ２の制御部２０による一連の処理は、検証部２４によるアプリケーションそれぞれに対する検証の処理後に行われる。

車載ＥＣＵ２の制御部２０は、検証部２４から検証結果を取得する（Ｓ１０１）。検証部２４から出力される検証結果には、アプリケーションそれぞれに対する検証結果が肯定的な結果であるか、又は否定的な結果であるかが、含まれている。肯定的な結果である場合、肯定的なアプリケーションに対する改竄等の不正処理は行われおらず、当該アプリケーションの適正性（完全性）が保証されるものとなる。否定的な結果である場合、否定的なアプリケーションに対し改竄等の不正処理が行われた蓋然性があり、当該アプリケーションの適正性（完全性）が否定されるものとなる。車載ＥＣＵ２の制御部２０は、検証結果を参照することにより、各アプリケーションの検証結果が肯定的であるか否定的であるかを把握することができる。

車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、肯定的な検証結果のアプリケーションを実行（起動）する（Ｓ１０２）。車載ＥＣＵ２の制御部２０は、検証結果に基づき、肯定的な検証結果のアプリケーションを実行可能なアプリケーションとして特定（判定）し、当該アプリケーションを実行する。アプリケーションを実行することにより、当該アプリケーションに対応したプロセス又はスレッドが生成される。

車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、否定的な検証結果のアプリケーションを特定する（Ｓ１０３）。車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、否定的な検証結果のアプリケーションを実行不可なアプリケーションとして特定（判定）し、当該アプリケーションは実行しない。

車載ＥＣＵ２の制御部２０は、否定的な検証結果のアプリケーションに対応する代替信号を生成する（Ｓ１０４）。車載ＥＣＵ２の制御部２０は、例えば、記憶部２１に記憶されている代替信号テーブル２１１を参照して、特定したアプリケーションの組み合わせに対応する代替信号パターン（フェールセーフ値）を導出する。車載ＥＣＵ２の制御部２０は、導出した代替信号パターン（フェールセーフ値）に基づき、代替信号を生成する。

車載ＥＣＵ２の制御部２０は、生成した代替信号を出力する（Ｓ１０５）。車載ＥＣＵ２の制御部２０は、生成した代替信号を、他の車載ＥＣＵ２、又は自ＥＣＵにて実行中のアプリケーションに出力（送信）する。代替信号を取得（受信）した他の車載ＥＣＵ２、又は自ＥＣＵにて実行中のアプリケーションは、当該代替信号に基づき、縮退運転を行う処理、又は車両Ｃを適切に停止状態に遷移させる処理等、所定の処理を行うものであってもよい。

本実施形態によれば、セキュアブートの一端を担う検証部２４により否定的な検証結果となったアプリケーションは、車載ＥＣＵ２の制御部２０によって実行（起動）されないため、車載ＥＣＵ２としての健全性を担保することができる。更に、車載ＥＣＵ２の制御部２０は、否定的なアプリケーションに応じた代替信号を出力する処理を含むフェールセーフ処理を実行することにより、セキュアブートの検証結果により実行（起動）できなかったアプリケーションがある場合であっても、当該実行されなかったアプリケーションの代替を効率的に行うことができる。

（実施形態２）
図６は、実施形態２（仮想環境）に係る車載ＥＣＵ２の論理構成を例示するブロック図である。実施形態２の車載ＥＣＵ２は、アプリケーションを仮想環境上で実行する点で、実施形態１と異なる。実施形態２の車載ＥＣＵ２は、実施形態１の車載ＥＣＵ２と同様に、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２、車内通信部２３及び検証部２４を含む。すなわち、実施形態１の車載ＥＣＵ２と実施形態２の車載ＥＣＵ２のハードウェア構成は、同様の構成である。本実施形態における図示にて、実施形態２の車載ＥＣＵ２の論理構成を例示するものであり、制御部２０等によるハードウェア層（物理基盤）を最下層とし、仮想環境にて実行されるアプリケーション、フェールセーフプログラム、及び仮想環境管理プログラム等によるソフトウェア層を最上層とした階層構造を例示するブロック図である。

車載ＥＣＵ２の記憶部２１には、例えば、Ｈｙｐｅｒｖｉｓｏｒ又はＶＭｗａｒｅ等の仮想オペレーティングシステムが記憶されており、車載ＥＣＵ２の制御部２０は、仮想オペレーティングシステムを用いて起動することにより、仮想オペレーティングシステム上にて複数の仮想環境を構築することができる。仮想化の方式は、本実施形態の図示のように仮想オペレーティングシステムによって直接的に制御部２０等のハードウェアリソースにアクセスするハイパーバイザー方式、又は仮想オペレーティングシステムとハードウェアリソースとの間にＬｉｎｕｘ（登録商標）等のオペレーティングシステムが介在するホストＯＳ方式であってもよい。

仮想オペレーティングシステムを用いて起動した車載ＥＣＵ２は、仮想オペレーティングシステムの機能により、複数の仮想環境を構築することができ、複数の仮想環境には、車載ＥＣＵ２が備える制御部２０等のハードウェアリソースが割り当てられる。これらハードウェアリソースが割り当てられた仮想環境夫々は、仮想的な制御部２０（仮想制御部）、記憶部２１（仮想記憶部）及び車内通信部２３（仮想車内通信部）を備えるものとなり、仮想ＥＣＵ２０５１として機能する。制御部２０とは別個のデバイである検証部２４は、仮想オペレーティングシステムによる仮想化の対象外となり、当該検証部２４は、いずれかの仮想ＥＣＵ２０５１、又は個々の仮想ＥＣＵ２０５１と通信するものとなる。

仮想ＥＣＵ２０５１夫々の仮想記憶部夫々には、例えばＵｂｕｎｔｕ（登録商標）等のゲストＯＳ（Operation System）が記憶され、仮想ＥＣＵ２０５１夫々はゲストＯＳを起動し、当該ゲストＯＳの上でアプリケーションを実行する。当該ゲストＯＳは、個々の仮想ＥＣＵ２０５１に応じて、異なる種類のＯＳであってもよい。上述のごとく仮想記憶部の実体は、仮想ＥＣＵ２０５１夫々割り当てられた記憶部２１の記憶領域であるため、ゲストＯＳも仮想オペレーティングシステムと同様に記憶部２１に記憶されていることは、言うまでもない。

仮想オペレーティングシステムを用いて起動した車載ＥＣＵ２の制御部２０は、構築したいずれかの仮想環境（仮想ＥＣＵ２０５１）のうちの一つの仮想ＥＣＵ２０５１にて、全ての仮想環境を管理するプログラム（仮想環境管理プログラム）を実行する。すなわち、仮想環境管理プログラムを実行する仮想ＥＣＵ２０５１は、仮想オペレーティングシステムのコントロールパネルとして機能する。フェールセーフ処理を実行させるためのフェールセーフプログラムは、当該コントロールパネルとして機能する仮想ＥＣＵ２０５１（仮想環境）にて実行されるものであってもよい。当該フェールセーフプログラムを実行する仮想ＥＣＵ２０５１は、検証部２４と通信し、セキュアブート処理にて検証部２４が行った検証結果を、当該検証部２４より取得する。

図７は、車載ＥＣＵ２の制御部２０に含まれる機能部を例示する機能ブロック図である。車載ＥＣＵ２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、実施形態１と同様に取得部２０１、アプリ起動判定部２０２、フェールセーフ部２０３、及び出力部２０４として機能し、更に仮想環境生成判定部２０５として機能し、フェールセーフ処理を行う。本実施形態における図示において、フェールセーフ処理を行うためのフェールセーフプログラムは、例えば、仮想オペレーティングシステムのコントロールパネルとして機能する仮想ＥＣＵ２０５１（仮想環境）の制御部２０（仮想制御部）、記憶部２１（仮想記憶部）及び車内通信部２３（仮想車内通信部）を用いて、実行されるものとなる。すなわち、本実施形態において図示される取得部２０１等の各機能部は、仮想ＥＣＵ２０５１（仮想環境）の制御部２０（仮想制御部）がフェールセーフプログラムを実行することにより、構成されるものとなる。

実施形態２の検証部２４は、実施形態１の検証部２４と同様にアプリケーションそれぞれに対する検証を行うと共に、仮想環境それぞれを生成するにあたり起動されるゲストＯＳそれぞれに対する検証を行い、当該検証の結果（検証結果）を取得部２０１に出力する。従って、当該検証結果には、アプリケーションそれぞれの検証結果（肯定的又は否定的）、及びゲストＯＳそれぞれの検証結果（肯定的又は否定的）が、含まれる。

取得部２０１は、検証部２４から取得した検証結果を、仮想環境生成判定部２０５、アプリ起動判定部２０２、及びフェールセーフ部２０３に出力する。

仮想環境生成判定部２０５は、検証結果に基づき、肯定的な検証結果のゲストＯＳは起動して当該肯定的なゲストＯＳによる仮想環境を生成し、否定的な検証結果のゲストＯＳは起動せず当該否定的なゲストＯＳによる仮想環境を生成しない。従って、これら仮想環境（ゲストＯＳ）それぞれに対する適正性（完全性）を担保することができる。

アプリ起動判定部２０２は、検証結果に基づき、肯定的な検証結果のゲストＯＳによる仮想環境を動作環境とし、かつ肯定的な検証結果のアプリケーションを実行（起動）する。否定的な仮想環境は生成されないため、当該否定的な仮想環境を動作環境とするアプリケーションも実行されないものとなる。すなわち、アプリケーション自体の検証結果は肯定的であっても、当該アプリケーションの動作環境となる仮想環境のゲストＯＳが否定的な検証結果である場合は、当該肯定的アプリケーションは、実行されないものとなる。

アプリ起動判定部２０２は、当該否定的な仮想環境を動作環境とするアプリケーションを特定するにあたり、仮想環境（ゲストＯＳ）と、仮想環境を動作環境とする一つ以上のアプリケーションとが関連付けられた動作環境情報を参照して、当該アプリケーションを特定するものであってもよい。当該動作環境情報は、例えばテーブル形式のデータ（動作環境テーブル２１２）として、代替信号テーブル２１１と同様に記憶部２１に含まれる書換不可の記憶領域に記憶されているものであってもよい。

図８は、動作環境テーブル２１２（動作環境情報）を例示する説明図である。動作環境テーブル２１２は、管理項目として、アプリケーション名称の項目、及び仮想環境（ゲストＯＳ）を含む。アプリケーション名称の項目には、車載ＥＣＵ２にて実行される複数のアプリケーションの名称が格納される。仮想環境（ゲストＯＳ）の項目には、対応するアプリケーション（同じレコードに格納されるアプリケーション）の動作環境となる仮想環境（ゲストＯＳ）の名称が格納される。

アプリ起動判定部２０２は、動作環境テーブル２１２を参照することにより、仮想環境（ゲストＯＳ）と、当該仮想環境を動作環境とするアプリケーションとの関連性を取得することができる。アプリ起動判定部２０２は、検証結果に基づき、肯定的な検証結果のゲストＯＳを特定し、動作環境テーブル２１２を参照することにより、当該特定したゲストＯＳの仮想環境を動作環境とするアプリケーションを特定する。特定されたアプリケーションにおいて、更に肯定的な検証結果のアプリケーションを、実行可能なアプリケーションとして特定する。アプリ起動判定部２０２は、特定した実行可能なアプリケーションを、これらアプリケーションの動作環境となる仮想環境（ゲストＯＳ）にて実行する。

フェールセーフ部２０３は、実行不可なアプリケーションを特定し、当該特定した実行不可なアプリケーションに対応する代替信号を生成する。フェールセーフ部２０３は、検証結果に基づき否定的な検証結果のゲストＯＳを特定し、動作環境テーブル２１２を参照することにより、当該否定的な検証結果のゲストＯＳの仮想環境を動作環境とするアプリケーションを特定する。フェールセーフ部２０３は、特定したアプリケーション（否定的なゲストＯＳの仮想環境を動作環境とするアプリケーション）と、検証結果に含まれる否定的な検証結果のアプリケーションに基づき、実施形態１と同様に実行不可なアプリケーションの組み合わせを特定する。

フェールセーフ部２０３は、実施形態１と同様に代替信号テーブル２１１を参照して、実行不可なアプリケーションの組み合わせに対応する代替信号パターン（フェールセーフ値）を導出する。フェールセーフ部２０３は、実施形態１と同様に導出した代替信号パターン（フェールセーフ値）に基づき、代替信号を生成し、出力部２０４に出力する。

出力部２０４は、実施形態１と同様にフェールセーフ部２０３が生成した代替信号を、他の車載ＥＣＵ２、又は自ＥＣＵにて実行中のアプリケーションに出力（送信）する。

図９は、車載ＥＣＵ２の制御部２０の処理を例示するフローチャートである。車載ＥＣＵ２の制御部２０は、例えば、車両Ｃが停止状態（ＩＧスイッチがオフ）から起動状態（ＩＧスイッチがオン）に状態遷移するにあたり、車載ＥＣＵ２（自ＥＣＵ）が起動（ブート）される際に行われるセキュアブート処理（セキュアブートシーケンス）に基づき、以下の処理を行う。当該処理（フェールセーフ処理）を実行させるためのフェールセーフプログラムが、仮想オペレーティングシステムのコントロールパネルとして機能する仮想ＥＣＵ２０５１（仮想環境）にて実行される場合、制御部２０は、当該仮想ＥＣＵ２０５１の制御部２０（仮想制御部）に相当する。

実施形態２の検証部２４は、アプリケーションのみならず、仮想環境を生成するにあたり起動されるゲストＯＳについても検証する。車載ＥＣＵ２の制御部２０による一連の処理は、検証部２４によるゲストＯＳ及びアプリケーションそれぞれに対する検証の処理後に行われる。

車載ＥＣＵ２の制御部２０は、検証部２４から検証結果を取得する（Ｓ２０１）。車載ＥＣＵ２の制御部２０は、実施形態１のＳ１０１と同様にＳ２０１の処理を行う。検証部２４から出力される検証結果は、アプリケーションそれぞれの検証結果（肯定的又は否定的）、及びゲストＯＳそれぞれの検証結果（肯定的又は否定的）が含まれており、車載ＥＣＵ２の制御部２０は、アプリケーション及びゲストＯＳの検証結果を取得することができる。

車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、肯定的な検証結果のゲストＯＳを起動して仮想環境を生成する（Ｓ２０２）。車載ＥＣＵ２の制御部２０は、検証結果に基づき、肯定的な検証結果のゲストＯＳは起動し、当該肯定的なゲストＯＳによる仮想環境を生成する。車載ＥＣＵ２の制御部２０は、否定的な検証結果のゲストＯＳは起動せず、当該否定的なゲストＯＳによる仮想環境を生成しない。

車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、肯定的な検証結果のゲストＯＳによる仮想環境を動作環境とし、肯定的な検証結果のアプリケーションを実行（起動）する（Ｓ２０３）。車載ＥＣＵ２の制御部２０は、検証結果に基づき肯定的な検証結果のゲストＯＳを特定し、動作環境テーブル２１２を参照することにより、当該特定したゲストＯＳの仮想環境を動作環境とするアプリケーションを特定する。制御部２０は、更に、特定されたアプリケーションにおいて肯定的な検証結果のアプリケーションを、実行可能なアプリケーションとして特定する。すなわち、肯定的な検証結果のゲストＯＳによる仮想環境を動作環境するアプリケーションであって、更に肯定的な検証結果のアプリケーションが、実行可能なアプリケーションとして特定される。車載ＥＣＵ２の制御部２０は、当該特定したアプリケーションを、対応するそれぞれの仮想環境にて実行させる。

車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき、否定的な検証結果のゲストＯＳを特定する（Ｓ２０４）。検証結果には、ゲストＯＳそれぞれの検証結果が含まれており、車載ＥＣＵ２の制御部２０は、取得した検証結果に基づき否定的な検証結果のゲストＯＳを特定する。

車載ＥＣＵ２の制御部２０は、取得した検証結果及び特定した否定的な検証結果のゲストＯＳに基づき、実行不可なアプリケーションを特定する（Ｓ２０５）。実行不可なアプリケーションは、否定的な検証結果のゲストＯＳによる仮想環境を動作環境とするアプリケーション、及び否定的な検証結果のアプリケーションである。車載ＥＣＵ２の制御部２０は、例えば、記憶部２１に記憶されている動作環境テーブル２１２を参照し、否定的な検証結果のゲストＯＳによる仮想環境を動作環境とする単一又は複数のアプリケーションを特定する。車載ＥＣＵ２の制御部２０は、動作環境テーブル２１２を参照して特定したアプリケーション（否定的な検証結果のゲストＯＳによる仮想環境を動作環境とするアプリケーション）、及び検証結果に含まれる否定的な検証結果のアプリケーションに基づき、実施形態１と同様に実行不可なアプリケーションの組み合わせを特定する。

車載ＥＣＵ２の制御部２０は、実行不可なアプリケーションに対応する代替信号を生成する（Ｓ２０６）。車載ＥＣＵ２の制御部２０は、実施形態１の処理Ｓ１０４と同様に代替信号テーブル２１１を参照して、実行不可なアプリケーションの組み合わせに対応する代替信号パターン（フェールセーフ値）を導出する。

車載ＥＣＵ２の制御部２０は、生成した代替信号を出力する（Ｓ２０７）。車載ＥＣＵ２の制御部２０は、実施形態１の処理Ｓ１０５と同様に生成した代替信号を、他の車載ＥＣＵ２、又は自ＥＣＵにて実行中のアプリケーションに出力（送信）する。

本実施形態においては、否定的な検証結果となった仮想ＯＳによる仮想環境は生成されないため、当該否定的な仮想環境を動作環境とするアプリケーションも実行されないものとなる。これに対し、制御部２０は、否定的な仮想環境を動作環境とするアプリケーションを代替する代替信号を生成及び出力するフェールセーフ処理を実行する。従って、仮想化オペレーティングシステムによって生成された仮想環境（仮想ＥＣＵ２０５１）を、動作環境としてアプリケーションを実行するように構成された車載ＥＣＵ２においても、セキュアブートの検証結果により起動できなかったアプリケーション（生成されなかった仮想環境を動作環境とするアプリケーション）の代替を、効率的に行うことができる。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載システム
１００ 外部サーバ
１ 車外通信装置
１１ アンテナ
２ 車載ＥＣＵ
２０ 制御部
２０１ 取得部
２０２ アプリ起動判定部
２０３ フェールセーフ部
２０４ 出力部
２０５ 仮想環境生成判定部
２０５１ 仮想ＥＣＵ
２１ 記憶部
２１１ 代替信号テーブル
２１２ 動作環境テーブル
２２ 入出力Ｉ／Ｆ
２３ 車内通信部
２４ 検証部
３ 車載装置
３０ アクチュエータ（ＡＣＴ）
３１ センサ
４ 車載ネットワーク

Claims (8)

1. 車両に搭載される車載ＥＣＵであって、
   複数のアプリケーションを実行する制御部と、
   前記制御部が複数のアプリケーションを実行するにあたり、前記複数のアプリケーションそれぞれの検証を行う検証部とを備え、
   前記制御部は、
   前記検証部による検証が肯定的なアプリケーションを実行し、
   前記検証部による検証が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、
   前記フェールセーフ処理は、
   前記否定的なアプリケーションを特定し、
   特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む
   車載ＥＣＵ。
2. 前記フェールセーフ処理を実行するためのフェールセーフプログラムは、書換不可の記憶領域に記憶されている
   請求項１に記載の車載ＥＣＵ。
3. 前記書換不可の記憶領域には、前記アプリケーションの組み合わせと、前記代替信号に関する情報とが関連付けられたパターン情報が記憶されており、
   前記制御部による前記フェールセーフ処理は、前記パターン情報を参照して、特定した前記否定的なアプリケーションに応じた代替信号を出力する処理を含む
   請求項２に記載の車載ＥＣＵ。
4. 前記制御部による代替信号を出力する処理は、実行された肯定的なアプリケーションに対し代替信号を出力する処理を含む
   請求項１から請求項３のいずれか１項に記載の車載ＥＣＵ。
5. 前記制御部は、仮想化オペレーティングシステムによって複数の仮想環境を生成し、
   前記複数のアプリケーションそれぞれは、前記複数の仮想環境のうちのいずれかの仮想環境を動作環境とするものであり、
   前記検証部は、複数の仮想環境それぞれの検証を行い、
   前記制御部は、
   前記検証部による検証が肯定的な仮想環境を生成し、
   前記検証部による検証が否定的な仮想環境は生成せず、該否定的な仮想環境を動作環境とするアプリケーションを代替する前記フェールセーフ処理を実行する
   請求項１から請求項４のいずれか１項に記載の車載ＥＣＵ。
6. 前記フェールセーフ処理を実行するためのフェールセーフプログラムが記憶される書換不可の記憶領域には、前記仮想環境と、前記仮想環境を動作環境とする一つ以上のアプリケーションとが関連付けられた動作環境情報が記憶されており、
   前記制御部による前記フェールセーフ処理は、前記動作環境情報を参照して、前記否定的な仮想環境を動作環境とするアプリケーションを特定する処理を含む
   請求項５に記載の車載ＥＣＵ。
7. 車両に搭載され、複数のアプリケーションを実行するコンピュータに、
   前記複数のアプリケーションそれぞれの検証を行い、
   前記検証の結果が肯定的なアプリケーションを実行し、
   前記検証の結果が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、
   前記フェールセーフ処理は、
   前記否定的なアプリケーションを特定し、
   特定した前記否定的なアプリケーションに応じた代替信号の出力を含む
   処理を実行させるプログラム。
8. 車両に搭載され、複数のアプリケーションを実行するコンピュータに、
   前記複数のアプリケーションそれぞれの検証を行い、
   前記検証の結果が肯定的なアプリケーションを実行し、
   前記検証の結果が否定的なアプリケーションは実行せず、前記否定的なアプリケーションを代替するフェールセーフ処理を実行し、
   前記フェールセーフ処理は、
   前記否定的なアプリケーションを特定し、
   特定した前記否定的なアプリケーションに応じた代替信号の出力を含む
   処理を実行させるフェールセーフ方法。

Images