JP5864510B2 - 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置 - Google Patents

修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置 Download PDF

Info

Publication number
JP5864510B2
JP5864510B2 JP2013217473A JP2013217473A JP5864510B2 JP 5864510 B2 JP5864510 B2 JP 5864510B2 JP 2013217473 A JP2013217473 A JP 2013217473A JP 2013217473 A JP2013217473 A JP 2013217473A JP 5864510 B2 JP5864510 B2 JP 5864510B2
Authority
JP
Japan
Prior art keywords
information
software
update
program
control unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2013217473A
Other languages
English (en)
Other versions
JP2015079440A (ja
Inventor
誠剛 小谷
誠剛 小谷
鈴木　雅人
雅人 鈴木
小熊　寿
寿 小熊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Toyota Motor Corp
Original Assignee
Fujitsu Ltd
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd, Toyota Motor Corp filed Critical Fujitsu Ltd
Priority to JP2013217473A priority Critical patent/JP5864510B2/ja
Priority to EP14185730.0A priority patent/EP2863303B1/en
Priority to US14/495,195 priority patent/US10157050B2/en
Priority to CN201410525010.7A priority patent/CN104572320B/zh
Publication of JP2015079440A publication Critical patent/JP2015079440A/ja
Application granted granted Critical
Publication of JP5864510B2 publication Critical patent/JP5864510B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1433—Saving, restoring, recovering or retrying at system level during software upgrading
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Quality & Reliability (AREA)
  • Stored Programmes (AREA)

Description

本発明は、ネットワークを介したソフトウェアの更新方法に関する。
情報処理装置のソフトウェアの更新方法の一例として、情報処理装置が、ネットワークを介して接続された更新サーバから更新ソフトウェアを取得して、取得したソフトウェアを適用する方法がある。ネットワークを介してソフトウェアを更新する方法の一例として、例えば以下の第１と第２の技術がある。
第１の技術は、先ず、ベンダシステムで、ユーザシステムにインストールされているソフトウェア情報やハードウェア情報を含むユーザシステム情報を取得する。次に、取得したユーザシステム情報を基にテスト環境を構築して、そのテスト環境においてソフトウェア更新パッチを適用したシステムの動作を検証し、テスト環境においてシステムが正常に動作するかを確認する。そして、正常動作が確認された場合に、ソフトウェア更新パッチをユーザシステムに送信し、ユーザシステムでは、そのソフトウェア更新パッチを適用して、自らのシステムを更新する。
第２の技術では、顧客システムに導入されているＯＳ（Operating System）およびアプリケーションを示す情報を含む顧客システム情報とパッチが適用できるＯＳおよびアプリケーションを規定する条件である排他条件を含むパッチ詳細情報とが保持される。そして、顧客システム情報とパッチ詳細情報に基づいて、顧客システムに対するパッチの適用の可否が判断される。パッチの適用が可であると判断された場合、パッチが顧客システムに送付されパッチの適用指示が出される。
特開２００５−１０７８０３号公報 特開２００４−１０２３７９号公報
更新対象のソフトウェアを自動車で稼動させる場合、自動車に搭載可能な計算機の資源は乏しく、更新処理の失敗時の復旧のための資源の確保が難しい。また自動車に搭載される計算機にかかる負荷の軽減が望まれる。そこで、更新サーバにおける、ソフトウェアの更新処理の確実な成否確認が重要となる。
しかしながら、上記第１及び第２の技術では、自動車で稼動するソフトウェアの更新の成否を更新サーバ側で確認することについては開示されていない。
そこで、１つの側面では、本発明は、自動車に対して更新ソフトウェアを送信して適用させる更新サーバが、更新ソフトウェアの適用の成否を確認する方法を提供することを目的とする。
一態様の方法は、自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、自動車に搭載された当該制御部から、制御プログラムの状態に関する情報である第一の情報を受信し、受信した、第一の情報に基づいて、制御プログラムについての修正プログラムを制御部に適用した場合の制御プログラムの状態である第二の情報を算出し、制御部へ修正プログラムを送信し、送信した修正プログラムを制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、制御部から受信し、受信した第三の情報と、算出した第二の情報とを比較し、比較した結果に基づいて、制御部に対する修正プログラムの適用処理が成功したか失敗したかを判断する。
１実施態様によれば、自動車に対して更新ソフトウェアを送信して適用させる更新サーバが、更新ソフトウェアの適用の成否を確認する方法を提供することができる。
情報処理装置の一実施例の構成を図解した機能ブロック図である。 本実施形態に係る情報処理システムの構成の一例を示す。 自動車と更新サーバのシーケンス図の一例を示す。 本実施形態に係る更新サーバの構成の一例を示す。 ホワイトリストＸの構成の一例を示す。 ホワイトリストＹの構成の一例を示す。 ホワイトリストＺの構成の一例を示す。 状態情報のデータ構造の一例を示す。 更新指示のデータ構造の一例を示す。 最終指示のデータ構造の一例を示す。 認証部が車載器の公開鍵とハッシュ関数を管理するための鍵管理情報の一例を示す。 本実施形態に係る車載器の構成の一例を示す。 本実施形態に係るＥＣＵの構成の一例を示す。 更新サーバの処理内容を図解したフローチャートである。 車載器の処理内容を図解したフローチャートである。 ＥＣＵの処理内容を図解したフローチャートである。 更新サーバのハードウェア構成の一例を示す。 車載器のハードウェア構成の一例を示す。 ＥＣＵのソフトウェアの更新機能の実現方法の一例（その１）を示す。 ＥＣＵのソフトウェアの更新機能の実現方法の一例（その２）を示す。 情報処理システムの変形例の構成の一例を示す。
図１は、情報処理装置の一実施例の構成を図解した機能ブロック図である。図１において情報処理装置１０は、第１の受信部１、算出部２、送信部３、第２の受信部４、比較部５、判断部６、最終指示部７、及び状態判定部８を含む。
第１の受信部１は、自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、自動車に搭載された当該制御部から、制御プログラムの状態に関する情報である第一の情報を受信する。
算出部２は、受信された、第一の情報に基づいて、制御プログラムについての修正プログラムを制御部に適用した場合の制御プログラムの状態である第二の情報を算出する。
送信部３は、制御部へ修正プログラムを送信する。
第２の受信部４は、送信された修正プログラムを制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、制御部から受信する。
比較部５は、第２の受信部４により受信された第三の情報と、算出部２により算出された第二の情報とを比較する。
判断部６は、比較部５により比較された結果に基づいて、制御部に対する修正プログラムの適用処理が成功したか失敗したかを判断する。
最終指示部７は、制御部に対する修正プログラムの適用処理が成功したと判断部６により判断された場合、修正プログラムが適用された制御プログラムを有効化させる指示を制御部へ送信する。また、最終指示部７は、制御部に対する修正プログラムの適用処理が失敗したと判断部６により判断された場合、修正プログラムの適用処理をロールバックさせる指示を制御部へ送信する。
状態判定部８は、第１の受信部１が受信した第一の情報に基いて、制御プログラムの状態が正常か否かを判定する。そして送信部３は、状態判定部８により制御プログラムの状態が正常であると判定された場合に、制御部へ修正プログラムを送信する。
また、第一の情報及び第三の情報は、ＴＰＭ（Trusted Platform Module）に搭載されている機能により真正性が確認されているソフトウェアにより作成された情報である。
図２は、本実施形態に係る、自動車に搭載されたＥＣＵ（Electronic Control Unit）の更新システムの一例を示す。
図２において、更新システム２０は自動車２１と更新サーバ２２を含む。そして自動車２１は車載器２３とＥＣＵ２４Ａ、２４Ｂ、２４Ｃを含む。更新サーバ２２と車載器２３はネットワークを介して接続される。そして、車載器２３とＥＣＵ２４はネットワークまたはバスを介して接続される。更新サーバ２２と車載器２３を接続するネットワークには、例えば無線ネットワークがある。ＥＣＵ２４と車載器２３を接続するネットワークには、例えばＣＡＮ（Controller Area Network）やＦｌｅｘＲａｙなどがある。以下の説明では、ＥＣＵ２４Ａ、２４Ｂ、２４Ｃを特に区別しない場合には、単にＥＣＵ２４と記す。
車載器２３は、ネットワークを介して更新サーバ２２と情報の通信が可能な装置である。車載器２３は、更新サーバ２２から更新ソフトウェアを受信し、受信した更新ソフトウェアを更新対象のＥＣＵ２４に適用するように指示する。また、車載器２３は、各ＥＣＵ２４で稼動するソフトウェアの状態を示す構成情報を収集して、更新サーバ２２に送信する。車載器２３は、更新サーバ２２と各ＥＣＵ２４に対して通信可能であれば特に限定されず、カーナビゲーション装置や、自動車２１に設置可能なスマートフォンなどでもよい。
ＥＣＵ２４は、エンジンの制御で用いられる各種のセンサを含むセンサ系統及びエンジンの動作を制御する。ＥＣＵ２４は車載器２３から構成情報の収集を指示されると、自身の構成情報を取得して車載器２３に通知する。また、ＥＣＵ２４は車載器２３からソフトウェアの更新指示を受信し、指示された内容に自身のソフトウェアを更新する。ソフトウェアの更新は、更新ソフトウェアのインストール処理と、更新ソフトウェアの有効化処理の２段階で行われ、更新ソフトウェアの有効化は、更新サーバ２２からの更新の有効化の指示を受け取った後に行われる。尚、ソフトウェアの構成情報は例えば、ソフトウェアの各種パラメータであって、当該パラメータが正常であればソフトウェアが正常であることが保証されるパラメータである。
更新サーバ２２は、車載器２３に対してＥＣＵ２４の構成情報の取得要求を送信し、その応答としてＥＣＵ２４の構成情報を受信する。そして更新サーバ２２は、受信した構成情報に基いて、自動車２１の各ＥＣＵ２４の状態を把握し、最適な更新ソフトウェアを選別する。更新サーバ２２は、構成情報に基いて作成した、車両と同様の構成の実機またはシミュレータを用いて、選定したソフトウェアの適用が成功した場合の各ソフトウェアの構成情報の値が格納されたホワイトリストを算出する。そして、更新サーバ２２は選別した更新ソフトウェアの適用指示を車載器２３に送信する。その後更新サーバ２２は、車載器２３から更新ソフトウェア適用後の構成情報を受信して、受信した構成情報とホワイトリストとに基いてソフトウェアの更新の成否を判定する。ソフトウェアの更新が成功したと判定した場合、更新サーバ２２は車載器２３に対して更新ソフトウェアの有効化を指示し、更新が失敗したと判定した場合、更新サーバ２２は車載器２３に対して更新処理のロールバックを指示する。
尚、更新ソフトウェアは不具合の見つかったソフトウェアに適用される形式のソフトウェアでもよいし、不具合の見つかったソフトウェアと入れ替わる形式のソフトウェアでもよい。具体的には例えば更新ソフトウェアはソフトウェアのパッチである。
このような構成とすることで、ソフトウェアの更新の成否を更新サーバ２２で判定し、成功したと判定された場合に実際の更新の反映がなされるため、更新後のＥＣＵ２４の信頼性を高めることができ、また、更新後のＥＣＵ２４の不具合を未然に防ぐことができる。また、適切な更新ソフトウェアの選定を更新サーバ２２が行うため、自動車２１の各ＥＣＵ２４のソフトウェアの更新に伴うＥＣＵ２４及び車載器２３の負荷を軽減することができる。
図３に、本実施形態に係る、自動車２１と更新サーバ２２のシーケンス図の一例を示す。
先ず、更新サーバ２２は、自動車２１に対してＥＣＵ２４の構成情報の取得要求を送信する（Ｓ１０１）。自動車２１は構成情報の取得要求を受信すると、各ＥＣＵ２４から構成情報を収集して、収集した構成情報を更新サーバ２２に送信する（Ｓ１０２）。更新サーバ２２は構成情報を受信すると、受信した構成情報に基いてソフトウェアが更新可能か否かを判定する。更新可能と判定した場合、更新サーバ２２は更新ソフトウェアを選定し、選定したソフトウェアの適用が成功した場合の各ソフトウェアの構成情報の値が格納されたホワイトリストを算出する。そして、更新サーバ２２は選定した更新ソフトウェアを自動車２１に送信する（Ｓ１０３）。自動車２１は更新ソフトウェアを受信すると、更新ソフトウェアのインストール処理を行う。ただしこの時点においては、自動車２１はソフトウェアの更新内容の有効化は行わない。次に自動車２１は、更新ソフトウェアインストール処理後の構成情報を取得して更新サーバ２２に送信する（Ｓ１０４）。更新サーバ２２は、更新ソフトウェアインストール処理後の構成情報を受信すると、受信した構成情報とホワイトリストの値を比較することでソフトウェアの更新が正常に行われたかを検証する。そしてソフトウェアの更新の成否に基づいて、更新サーバ２２は自動車２１に最終指示を送信する（Ｓ１０５）。最終指示は、更新ソフトウェアのインストール処理が正常に行われたと判定された場合には、更新内容を有効にするように指示するものとなる。一方ソフトウェアの更新が正常に行われていないと判定された場合には、最終指示は自動車２１にロールバックを指示するものとなる。最終指示を受信すると自動車２１は指示内容に応じた処理である更新確定処理を行う。すなわち、自動車２１は、更新ソフトウェアの有効化の指示を受信すると更新ソフトウェアの有効化を行い、ロールバックの指示を受信するとロールバックを行う。
図４は、本実施形態に係る更新サーバの構成の一例を示す。
更新サーバ２２は、管理部３１、認証部３２、状態情報取得部３３、決定部３４、選定部３５、検証部３６、記憶部３７、及び履歴管理部３８を含む。更新サーバ２２は、情報処理装置１０の一例である。状態情報取得部３３は、第１の受信部１、及び第２の受信部４の一例である。選定部３５は、算出部２の一例である。検証部３６は、比較部５、判断部６、及び最終指示部７の一例である。決定部３４は、状態判定部８の一例である。
管理部３１は、更新サーバ２２の管理対象車両の出荷前の時点におけるソフトウェアの構成情報を記憶部３７に記憶して管理する。以下の説明では、出荷前における各ＥＣＵ２４のソフトウェアの構成情報が格納されたソフトウェア管理情報をホワイトリストＸ（４０）と記す。
図５に、ホワイトリストＸ（４０）の構成の一例を示す。ホワイトリストＸ（４０）は、ソフトウェア名４１、製造者４２、種別４３、ハッシュ値４４、ハッシュ値取得方法４５、ソフトウェア実体４６、登録日４７のデータ項目を含む。尚、ホワイトリストＸ（４０）は車両毎に管理されるものとする。
ソフトウェア名４１は、車両に搭載可能なソフトウェアを一意に識別するための情報である。製造者４２は、ソフトウェアの製造元の会社名の情報である。種別４３は、ソフトウェアが稼動するＥＣＵ２４の種別を表す情報である。ハッシュ値４４は、ソフトウェアの構成情報のハッシュ値をハッシュ値取得方法４５で取得した結果の値である。このハッシュ値４４は、ソフトウェアが正常な状態か否かを判定するために使用される。ソフトウェアから取得した構成情報のハッシュ値が、このハッシュ値４４の値と一致する場合に、そのソフトウェアは正常であると判定される。ハッシュ値取得方法４５は、ハッシュ値４４を取得する際に用いられる方法である。尚、ハッシュ値取得方法４５は、ソフトウェア名と対応付けて、車載器２３も保持する。ソフトウェア実体４６は、ソフトウェアの実体、すなわち、ソフトウェアのバイナリデータが格納される。登録日４７は、当該レコードのソフトウェアがソフトウェア管理情報に登録された日付である。尚、ソフトウェア実体４６には、ソフトウェアの実ファイルが格納された記憶領域のアドレスが格納されてもよい。
また管理部３１は、ソフトウェアに不具合が見つかった場合、不具合が見つかったソフトウェアを修正するためのソフトウェアである更新ソフトウェアを取得する。例えば管理部３１は、不具合のあったソフトウェアの製造元から、更新対象のソフトウェア名４１と更新ソフトウェアとを取得する。そして管理部３１は、ホワイトリストＸ（４０）の複製である新たなホワイトリストＹを作成し、ホワイトリストＹから、取得した更新対象のソフトウェア名４１と一致するレコードを抽出する。そして抽出したレコードの各フィールドの情報を、管理部３１は、取得した更新ソフトウェアの情報に更新する。更新ソフトウェアは、更新サーバ２２に接続された他の情報処理装置から入力されてもよいし、ユーザにより入力されてもよい。管理部３１は、作成したホワイトリストＹを記憶部３７に格納する。
図６は、ホワイトリストＹ（５０）の構成の一例を示す。ホワイトリストＹ（５０）のデータ構造はホワイトリストＸ（４０）と同様である。図６の例では、図５のホワイトリストＸ（４０）のうち、ソフトウェア名４１が「Ａ−ＦＦ０３」に不具合が見つかり、その更新ソフトウェアとして、「Ａ−ＦＦ０４」が取得された場合の例を示している。図５のホワイトリストＸ（４０）と比較すると、図６のホワイトリストＹ（５０）では、ソフトウェア名４１が「Ａ−ＦＦ０３」のレコードの情報が「Ａ−ＦＦ０４」の情報に更新されている。
さらに管理部３１は、不具合の見つかったソフトウェアに更新ソフトウェアを適用した場合に影響が及ぶソフトウェアの範囲を特定する。
不具合のあるソフトウェアを修正した場合には、そのソフトウェアの出力値が変化する可能性がある。そこで管理部３１は、例えば以下のように更新ソフトウェアを適用した場合に影響の及ぶソフトウェアを特定する。ここでは説明のため、所定のＥＣＵ２４のソフトウェアに不具合が見つかった場合を考え、不具合の見つかったソフトウェアをソフトウェアＸと記す。管理部３１は、ソフトウェアＸからの出力値であってソフトウェアＸの修正により変化する当該出力値を入力とするソフトウェア（ソフトウェアＹと記す）を特定する。さらに、特定したソフトウェアＹからの出力値であってソフトウェアＸの修正により変化する当該出力値を入力とするソフトウェアを特定する。さらに同様に、新たに特定されたソフトウェアからの出力値であってソフトウェアＸの修正により変化する当該出力値を入力とするソフトウェアを特定していく。このように管理部３１はソフトウェアＸの修正により影響の及ぶソフトウェアを特定する。
さらに、ソフトウェアＸの修正により影響の及ぶソフトウェアのそれぞれについて、管理部３１は修正が必要である場合にはそのソフトウェアの更新ソフトウェアを、例えば外部から取得する。そして、取得した更新ソフトウェアのそれぞれに対して、さらに管理部３１は影響の及ぶソフトウェアを特定し、特定したソフトウェアのそれぞれについてソフトウェアの修正が必要であれば更新ソフトウェアを取得する。
以下の説明では、管理部３１により特定された、不具合の見つかったソフトウェア、及び、不具合の見つかったソフトウェアの更新により影響の及ぶソフトウェアであって修正が必要なソフトウェアの集合を、更新対象ソフトウェアの集合と記す。
さらに管理部３１は、ホワイトリストＹにおける、更新対象ソフトウェアの集合に含まれるソフトウェアのレコードを更新ソフトウェアの情報に更新した、新たな管理情報を作成する。以下の説明では、ホワイトリストＹの更新対象ソフトウェアのレコードを更新ソフトウェアの情報に更新した新たな管理情報を、ホワイトリストＺと記す。管理部３１は、作成したホワイトリストＺを記憶部３７に格納する。
図７は、ホワイトリストＺの構成の一例を示す。ホワイトリストＺ（６０）のデータ構造はホワイトリストＸ（４０）と同様である。図７は、図５のホワイトリストＸ（４０）の例において、「Ａ−ＦＦ０３」に不具合が見つかり、「Ａ−ＦＦ０４」に更新される場合の例である。この例では、「Ｂ−ＴＴ７７」は「Ａ−ＦＦ０３」の出力値を入力とするものとし、「Ａ−ＦＦ０３」と「Ｂ−ＴＴ７７」は連携して動作するものとする。この場合、管理部３１は「Ｂ−ＴＴ７７」を更新対象ソフトウェアであると判定し、判定結果を例えば出力装置に出力する。その後、判定結果を参照したＡ社とＢ社とが協議の結果、Ｂ社が今回の変更に対応するため「Ｂ−ＴＴ７７」の更新を了承し、「Ｂ−ＴＴ７７」の更新ソフトウェアである「Ｂ−ＴＴ７８」を作成する。そして、「Ａ−ＦＦ０３」と「Ｂ−ＴＴ７７」の組み合わせの場合に、「Ａ−ＦＦ０３」を原因とする不具合が発生する事、それぞれを「Ａ−ＦＦ０４」と「Ｂ−ＴＴ７８」に同時に更新する事によって、その不具合が解消される事が確認されたとする。すると管理部３１は「Ｂ−ＴＴ７８」を、例えばＢ社から取得し、ホワイトリストＹのソフトウェア名４１が「Ｂ−ＴＴ７７」のレコードの各フィールドの情報を「Ｂ−ＴＴ７８」の対応する情報に更新してホワイトリストＺを作成する。
例えば、上記の例のように、ソフトウェア単独では不具合は発生せず、他のソフトウェアとの組み合わせが所定の条件である場合に不具合が発生する場合も考えられる。さらに、同じ車種でも出荷時期によって、ソフトウェアのバージョンが異なることも考えられる。よって、実際の車両のソフトウェアのバージョンやソフトウェア間の関係性なども考慮して、更新対象ソフトウェアが決定されてもよい。本実施形態では、管理部３１は、想定される全ての対象車両の状態毎の更新対象ソフトウェアの集合を記憶部３７に格納する。ここで、想定される全ての対象車両の状態とは、例えば、車両で稼動するソフトウェアの種類、バージョン、複数のソフトウェア間の接続関係等を考慮した、想定されるすべての状態を指す。
またホワイトリストＺ（６０）は、想定される全ての対象車両の状態毎に作成される。ホワイトリストＺの更新対象ソフトウェアのレコードのハッシュ値４４の値は、想定される各対象車両の各状態を再現した実機もしくはシミュレータにより検証されたものが格納される。
尚、ホワイトリストＺ（６０）は、車種毎に雛形を作成しておき、更新対象車両の状態情報を取得した後に、車両の状態情報に基いて、実機もしくはシミュレータを用いて正確なホワイトリストＺ（６０）を作成してもよい。
本実施形態では、ソフトウェアの修正においては、更新ソフトウェアを適用する形とするが、このような更新ソフトウェアには、ソフトウェアの設定値（パラメータ）を変更するプログラムを含んでもよい。
また、ホワイトリストＹ（５０）、Ｚ（６０）の更新ソフトウェアのレコードのハッシュ値４４の算出の基となった構成情報には、更新ソフトウェアの実機又はシミュレータにおける適用時の戻り値などの、更新ソフトウェア適用時のログの情報が含まれてもよい。
認証部３２は、更新サーバ２２と車載器２３の間の通信のセキュリティを確保するための仕組みを提供する。車載器２３と更新サーバ２２間の通信のセキュリティの確保については、後ほど説明する。
状態情報取得部３３は、所定の車両に対して、車両で稼動するソフトウェアの構成情報をまとめた状態情報の取得要求を送信する。そして状態情報取得部３３は、取得対象の車両の車載器２３から状態情報を受信する。
図８は、状態情報のデータ構造の一例を示す。状態情報７０は、ソフトウェア名７１とハッシュ値７２を含む。ソフトウェア名７１はソフトウェアを一意に識別するための情報である。ハッシュ値７２は、構成情報からハッシュ関数を用いて算出されたハッシュ値の情報である。
決定部３４は、車載器２３から受信した状態情報７０に基いて、車両に更新ソフトウェアを適用することが可能か否かを判定する。例えば対象車両の更新対象ソフトウェアが不正に改造されている場合等には、更新処理を行うと新たな障害が発生する可能性がある。このようなケースを防ぐために、更新に先立ち、車両に搭載されているソフトウェアが正常か否かの確認が行われる。更新ソフトウェアの適用が不能であると判定した場合には、決定部３４は、車載器２３に対して、警告表示を行うように指示する。警告表示の内容は、例えば、リモートでのソフトウェアの更新が不可能である旨や、車両の回収勧告などを含んでもよい。
具体的には例えば、決定部３４は、各更新対象のソフトウェアについて、構成情報のハッシュ値と、ホワイトリストＸ（４０）のハッシュ値４４とが一致するか否かを判定する。そして決定部３４は、更新対象ソフトウェアのすべてのハッシュ値が、構成情報とホワイトリストＸ（４０）間で一致する場合に、対象車両に更新ソフトウェアを適用可能であると判定する。更新対象ソフトウェアのいずれかのハッシュ値が、構成情報とホワイトリストＸ（４０）で一致しない場合には、対象車両に更新ソフトウェアを適用することは不可であると決定部３４は判定する。
さらに具体的には決定部３４は、各更新対象ソフトウェアに対して、状態情報７０からソフトウェア名７１が更新対象ソフトウェアのソフトウェア名と一致するレコードを抽出する。そして決定部３４は、抽出したレコードのハッシュ値７２と、ホワイトリストＸ（４０）においてソフトウェア名４１が同一のレコードのハッシュ値４４とが同一か否かを判定する。すべての更新対象ソフトウェアで、状態情報７０のレコードとホワイトリストＸ（４０）のレコードのハッシュ値が一致することを確認した場合、決定部３４は、対象車両は更新ソフトウェアの適用が可能であると判定する。
尚、ホワイトリストＸ（４０）に格納されている情報は、車両の出荷時点のものであるため、車両のソフトウェアが例えば、出荷時点から最新のバージョンに更新されている場合には、ハッシュ値が一致しない可能性がある。そこで例えば、予め管理部３１は、車両が正常と判断される、想定されるソフトウェアのすべての組み合わせのホワイトリストを作成しておく。そして決定部３４は、車両から取得した構成情報を何れかのホワイトリストと比較したときに、対応するソフトウェアのハッシュ値がすべて一致するものがあれば、更新ソフトウェアの適用が可能と判定してもよい。
選定部３５は、状態情報７０に基いて更新対象ソフトウェア及びホワイトリストＺ（６０）を選定し、ソフトウェアの更新指示を車載器２３に送信する。すなわち、先ず選定部３５は、状態情報７０に基いて、想定される全ての対象車両の状態毎に対応付けられて記憶部３７に記憶された更新ソフトウェアの集合のうち、対象車両の状態に対応する更新ソフトウェアの集合を特定する。次に、選定部３５は、状態情報７０に基いて、想定される全ての対象車両の状態毎に作成されているホワイトリストＺ（６０）から、対象車両の状態に対応するホワイトリストＺ（６０）を特定する。以下の説明においては、「更新対象ソフトウェア」、「ホワイトリストＺ（６０）」と記す場合には、それぞれ、更新対象車両の状態情報７０に応じて選定された、「更新対象ソフトウェア」、「ホワイトリストＺ（６０）」を指すものとする。
図９は、更新指示８０のデータ構造の一例を示す。更新指示８０は、対象ソフトウェア名８１、ＥＣＵ名８２、及び更新ソフトウェア実体８３のデータ項目を含む。対象ソフトウェア名８１は、更新対象ソフトウェアを一意に識別するための情報である。ＥＣＵ名８２は、対象ソフトウェアが稼動しているＥＣＵ２４を一意に識別するための情報である。更新ソフトウェア実体８３は、更新ソフトウェアの実体である。選定部３５は、更新対象ソフトウェアの集合に含まれるすべてのソフトウェアに対応するレコードを作成し、更新指示に含ませる。
図９の例において更新指示８０には、対象ソフトウェア名８１、ＥＣＵ名８２、更新ソフトウェア実体８３がそれぞれ、「Ａ−ＦＦ０３」、「ＥＣＵ２０１」、「Ａ−ＦＦ０４」の実体のレコードが格納されている。また、更新指示８０には、対象ソフトウェア名８１、ＥＣＵ名８２、更新ソフトウェア実体８３がそれぞれ、「Ｂ−ＴＴ７７」、「ＥＣＵ２０２」、「Ｂ−ＴＴ７８」の実体のレコードが格納されている。
検証部３６は、更新ソフトウェアが正しくインストール（適用）されたか否かの検証を行う。具体的には検証部３６は、更新ソフトウェアのインストール後に車載器２３から送られてくる状態情報７０と、ホワイトリストＺ（６０）の情報とを用いて検証を行う。更新ソフトウェアの適用後に車載器２３から送られてくる状態情報は図８の状態情報７０の形式と同様である。
検証部３６は、受信した状態情報７０に含まれる更新対象ソフトウェアのハッシュ値７２が、ホワイトリストＺ（６０）の対応するソフトウェアのハッシュ値４４と一致するか否かを判定する。そして検証部３６は、更新対象ソフトウェアのすべてのハッシュ値が、状態情報７０のレコードとホワイトリストＺ（６０）のレコード間で一致する場合に、対象車両の更新ソフトウェアの適用が正常に行われたと判定する。更新対象ソフトウェアのいずれかのハッシュ値が、状態情報７０のレコードとホワイトリストＺ（６０）のレコードとで一致しない場合には、対象車両の更新ソフトウェアの適用が失敗したと検証部３６は判定する。なお、失敗したと判定された場合でも、予め定められた条件を満たしている場合には、正常に行われたと判定しなおすことも考えられる。条件として例えば、更新対象ソフトウェアに、自動車の走行に影響する第１種のソフトウェアと、走行に直接には影響しない第二種のソフトウェアとがある場合、第１種のソフトウェアについては全て、ハッシュ値が、状態情報７０のレコードとホワイトリストＺ（６０）のレコード間で一致することという条件が考えられる。
検証部３６は、更新ソフトウェアのインストールの成否の判定結果に応じて、車載器に最終指示を送信する。図１０は、最終指示のデータ構造の一例を示す。図１０において最終指示８５は、対象ソフトウェア名８６、ＥＣＵ名８７、及び指示内容８８のデータ項目を含む。対象ソフトウェア名８６は、更新対象ソフトウェアを一意に識別するための情報である。ＥＣＵ名８７は、対象ソフトウェアが稼動しているＥＣＵ２４を一意に識別するための情報である。指示内容８８は、対象ソフトウェアに対する指示内容である。検証部３６は、ソフトウェアの更新が成功したと判定した場合、指示内容８８に更新の有効化を設定する。一方検証部３６は、更新が失敗したと判定した場合、指示内容８８に更新処理のロールバックを設定する。更新が失敗したと判定した場合には、検証部３６はロールバックの指示とともに再度更新ソフトウェアを車載器２３に送付して再度更新指示８０を送信してもよい。尚、検証部３６は、更新対象ソフトウェアの集合に含まれるすべてのソフトウェアに対応するレコードを作成し、最終指示８５に含ませる。
記憶部３７は、ホワイトリストＸ（４０）、ホワイトリストＹ（５０）、ホワイトリストＺ（６０）、及び更新対象ソフトウェアの集合を記憶する。また記憶部３７は、更新ソフトウェアのインストール作業ログを記憶する。
履歴管理部３８は、車載器２３からソフトウェアの更新処理の作業ログを受信し、受信した作業ログを記憶部３７に記録する。
次に、車載器２３と更新サーバ２２の通信のセキュリティの確保について説明する。
本実施形態では、更新サーバ２２と車載器２３との通信のセキュリティを確保するために、暗号化およびデジタル署名が用いられる。デジタル署名のための公開鍵と秘密鍵とのペアは、更新サーバと車載器との組み合わせ毎に生成され、車載器の鍵ペアは、各車両の出荷時点に生成される。暗号化の対象となるデータは、相手の公開鍵により暗号化され、自らの秘密鍵で復号化される。デジタル署名は、更新サーバおよび車載器のそれぞれが保持する自らの秘密鍵により署名されることで行われる。よって、公開鍵と秘密鍵のペアは複数存在し、第一のペア（更新サーバの鍵ペア）については、更新サーバ２２が更新サーバ２２の秘密鍵を、車載器２３が更新サーバ２２の公開鍵を保持し、第二のペア（車載器の鍵ペア）は車載器２３が車載器２３の秘密鍵を、更新サーバ２２が車載器２３の公開鍵を保持することとなる。
車載器の鍵ペアは、各車載器２３に含まれるＴＰＭにより作成されたものが用いられてもよい。
更新サーバ２２の認証部３２は、更新サーバ２２の秘密鍵を保持する。また、更新サーバ２２は、車載器２３の公開鍵、及び、送信データとデジタル署名の比較で用いるハッシュ関数を、車載器毎に管理する。図１１は、認証部３２が車載器２３の公開鍵とハッシュ関数を管理するための鍵管理情報９０の一例を示す。鍵管理情報９０は、車載器識別情報９１、公開鍵９２、及びハッシュ関数９３のデータ項目を含む。車載器識別情報９１は車載器２３を一意に識別するための識別情報である。公開鍵９２は、車載器識別情報９１で識別される車載器２３の公開鍵９２の情報である。公開鍵９２は車載器識別情報９１の車載器２３の秘密鍵と対応する。ハッシュ関数９３は、送信データとデジタル署名の比較のために用いられるハッシュ関数９３である。このハッシュ関数９３は、車載器識別情報９１の車載器２３にも同じハッシュ関数が記憶される。鍵管理情報９０には、各車両の出荷時点に登録される。
次に、認証部３２による車載器２３の認証及び車載器２３からのデータの機密性の確認方法の一例として、デジタル署名を用いた方法について説明する。尚、認証及び機密性の確認の方法は以下で説明するデジタル署名を用いたものに限定されず、種々の方法が用いられてもよい。ここでは、認証部３２と車載器２３の間で送受信されるデータは暗号化される一例を説明する。
認証に当たって先ず車載器２３は、送信対象データのハッシュ値を、車載器２３に記憶されたハッシュ関数を用いて算出する。次に車載器２３は、算出したハッシュ値を自身の秘密鍵を用いて暗号化し、デジタル署名を作成する。そして車載器２３は、作成したデジタル署名と送信対象データとを、サーバ２２の公開鍵を用いて暗号化する。そして車載器２３は、暗号化した、送信対象データとデジタル署名とを、更新サーバ２２に送信する。
車載器２３から、暗号化された、送信対象データとデジタル署名とを受信すると、認証部３２は、サーバ２２の秘密鍵を用いて受信した情報を復号する。次に認証部３２は、車載器２３の公開鍵９２を鍵管理情報９０から取得して、その公開鍵９２で、デジタル署名を復号してハッシュ値を取得する。次に認証部３２は、車載器２３に対応するハッシュ関数９３を鍵管理情報９０から取得し、取得したハッシュ関数９３を用いて、送信対象データのハッシュ値を算出する。そして認証部３２は、算出したハッシュ値と、デジタル署名を復号して得たハッシュ値とを比較し、比較の結果が一致した場合に、車載器２３が正当な車載器２３であると判定し、車載器２３から受信したデータは改竄されていないと判定する。
尚、認証部３２と車載器２３の間で送受信されるデータの暗号化については、共通鍵暗号と公開鍵暗号を組み合わせたハイブリッド暗号方式を用いてもよいし、種々の方法が用いられてもよい。
このように更新サーバ２２の認証部３２は、車載器２３の認証と車載器２３から受信した情報が改竄されていないことを確認する。
次に、車載器２３の構成について説明する。図１２は、本実施形態に係る車載器の構成の一例を示す。
車載器２３は、認証情報格納部２０１、サーバ認証部２０２、構成情報収集部２０３、更新ソフトウェア適用部２０４、及び信頼性チェック部２０５を含む。
認証情報格納部２０１は、更新サーバとの通信のセキュリティを確保するために使用される、更新サーバ２２の公開鍵、車載器２３の秘密鍵、及びハッシュ関数を格納する。更新サーバ２２の公開鍵、車載器２３の秘密鍵、及びハッシュ関数は車両の出荷前に格納される。尚、車載器２３の秘密鍵とハッシュ関数は、鍵管理情報９０の公開鍵９２とハッシュ関数９３に対応する。
サーバ認証部２０２は、更新サーバ２２と車載器２３の間の通信セキュリティを確保する。サーバ認証部２０２による、更新サーバ２２の認証、及び更新サーバ２２から受信した情報が改竄されていないことの判定も、上記の認証部３２による車載器２３の認証と同様にして行われる。すなわち、認証に当たって、先ず更新サーバ２２の認証部３２は、送信対象データのハッシュ値を、ハッシュ関数を用いて算出する。次に認証部３２は、算出したハッシュ値を、サーバ２２の秘密鍵を用いて暗号化し、デジタル署名を作成する。そしてサーバ２２は、作成したデジタル署名と送信対象データとを、車載器２３の公開鍵を用いて暗号化する。そしてサーバ２２は、暗号化した、送信対象データとデジタル署名とを、車載器２３に送信する。
更新サーバ２２から、暗号化された、送信対象データとデジタル署名とを受信すると、サーバ認証部２０２は、車載器２３の秘密鍵を用いて受信した情報を復号する。次にサーバ認証部２０２は、サーバ２２の公開鍵を用いてデジタル署名を復号しハッシュ値を取得する。次にサーバ認証部２０２は、認証情報格納部２０１に格納されたハッシュ関数を用いて、送信対象データのハッシュ値を算出する。そしてサーバ認証部２０２は、算出したハッシュ値と、デジタル署名を復号して得たハッシュ値とを比較し、比較の結果が一致した場合に、更新サーバ２２が正当であると判定し、更新サーバ２２から受信した送信対象データは改竄されていないと判定する。
構成情報収集部２０３は、車両の各ＥＣＵ２４のソフトウェアの構成情報を取得し、取得した構成情報に基づいて状態情報７０を作成し、更新サーバ２２に送信する。すなわち構成情報収集部２０３は、先ず各ＥＣＵ２４に対してソフトウェアの構成情報の取得要求を送信する。次にこの取得要求の応答として、構成情報収集部２０３は各ＥＣＵ２４からソフトウェアの構成情報を取得する。次に、構成情報収集部２０３は取得した構成情報から状態情報７０を作成する。そして構成情報収集部２０３は作成した状態情報７０を更新サーバ２２に送信する。
状態情報７０の作成については、具体的には構成情報収集部２０３は、各ＥＣＵ２４から受信したソフトウェアに対してレコードを作成する。そして構成情報収集部２０３は、ソフトウェア名７１に収集した構成情報に対応するソフトウェア名を格納し、ハッシュ値７２に、そのソフトウェアに対応付けられたハッシュ値取得方法４５を用いて算出した、ソフトウェアのハッシュ値を格納する。
構成情報の収集は、更新サーバ２２からの構成情報取得要求を受信したとき、及び、ソフトウェアの適用処理が完了した直後に行われる。
更新ソフトウェア適用部２０４は、更新サーバ２２からソフトウェアの更新指示８０を受信し、更新指示８０で指示された各ＥＣＵ２４に対してソフトウェアの更新を指示する。具体的には、更新ソフトウェア適用部２０４は、受信した更新指示８０の各レコードのＥＣＵ名８２のＥＣＵ２４に対して、そのレコードの対象ソフトウェア名８１と更新ソフトウェア実体８３とを対応付けて送信する。
さらに更新ソフトウェア適用部２０４は、更新サーバ２２から最終指示８５を受信し、最終指示８５で指示された各ＥＣＵ２４に対して指示内容を送信する。具体的には、更新ソフトウェア適用部２０４は、受信した最終指示８５の各レコードのＥＣＵ名８７のＥＣＵ２４に対して、そのレコードの対象ソフトウェア名８６と指示内容８８とを対応付けて送信する。また、更新ソフトウェア適用部２０４は、最終指示８５の指示内容８８がロールバックであった場合には、ユーザに対して警告表示を行ってもよい。警告表示の内容には、例えば、ソフトウェアの更新が失敗した旨や、車両の回収勧告などが含まれてもよい。
信頼性チェック部２０５は、車載器２３で稼動するアプリケーションの真正性をチェックする。具体的には、信頼性チェック部２０５は、予め所定の記憶領域に、車載器２３で起動する各アプリケーションの真正性を確認するためのハッシュ値を記憶しておく。そして、アプリケーションの起動時にアプリケーションのハッシュ値を取得して予め記憶しておいた真正性を確認するためのハッシュ値と比較し、ハッシュ値が一致した場合、アプリケーションは真正であると判定する。信頼性チェック部２０５による真正性のチェックの対象となるアプリケーションには、サーバ認証部２０２、構成情報収集部２０３、更新ソフトウェア適用部２０４の機能を提供するものが含まれる。また、信頼性チェック部２０５は、構成情報収集部２０３と通信を行うＥＣＵ２４のアプリケーションについても同様に、ハッシュ値の比較による真正性のチェックを行う。尚、信頼性チェック部２０５の機能は、ＴＰＭにより提供されてもよい。ＴＰＭは、ハードウェア耐タンパー性をもつセキュリティチップであり、信頼性基点として、ＴＰＭがハッシュ値のチェックを行う各アプリケーションの信頼性の確保に用いることができる。
信頼性チェック部２０５が、構成情報収集部２０３、及び、構成情報収集部２０３と通信を行うＥＣＵ２４のアプリケーションの信頼性をチェックするため、構成情報収集部２０３が更新サーバ２２に送信する状態情報７０の信頼性を確保することができる。また、状態情報７０は、デジタル署名により機密性が確保される。よって、更新サーバ２２が車載器２３から受信する状態情報７０のセキュリティが確保される。
次に、ＥＣＵ２４の構成について説明する。図１３は、本実施形態に係るＥＣＵ２４の構成の一例を示す。
ＥＣＵ２４は、構成情報取得部３０１、及びソフトウェア更新部３０２を含む。
構成情報取得部３０１は、当該ＥＣＵ２４で稼動するソフトウェアの構成情報を取得し、取得した構成情報を車載器２３に送信する。構成情報の取得は、車載器２３からの構成情報取得要求を受信したとき、及び、ソフトウェアの適用処理が完了した直後に行われる。構成情報は、ソフトウェアを一意に識別するためのソフトウェア名の情報と、ソフトウェア名に対応付けられた構成情報とが含まれる。
ソフトウェア更新部３０２は、車載器２３からソフトウェアの更新指示を受信する。するとソフトウェア更新部３０２は、受信した更新ソフトウェアをインストールする。すなわち、ソフトウェア更新部３０２は、更新指示に含まれる対象ソフトウェア名のソフトウェアに、更新ソフトウェアを適用する。ただし、更新ソフトウェアの適用処理では、更新の有効化（例えば、更新したソフトウェアでの起動）は行なわずに、車載器２３から有効化の指示を受信した後に更新したソフトウェアの有効化を行うものとする。車載器２３からロールバックの指示を受けた場合にはソフトウェア更新部３０２は、適用した情報を破棄して、ソフトウェアを適用処理の直前の状態に戻す。
さらにソフトウェア更新部３０２は、作業ログを車載器２３に送信する。ここで、作業ログは、ソフトウェア更新部３０２によるインストール処理と、その後の有効化処理またはロールバック処理の作業ログのデータである。
尚、ロールバック処理は、更新ソフトウェアのインストール処理の開始直前のソフトウェアの状態を所定の記憶領域にバックアップ（またはスナップショットを取得）することにより実現してもよい。この場合、ソフトウェア更新部３０２は、車載器２３からソフトウェアの更新指示を受信すると、先ず、更新対象ソフトウェアのバックアップを取得する。バックアップの取得が完了するとソフトウェア更新部３０２は更新ソフトウェアをインストールする。その後車載器２３からロールバックの指示を受信すると、ソフトウェア更新部３０２は、バックアップしたデータを戻すことにより、インストール処理開始直前の状態に更新対象ソフトウェアを復元する。
また、ソフトウェアの有効化は、更新ソフトウェアのインストール処理を実施したソフトウェアを再起動することにより実現してもよい。この場合、ソフトウェア更新部３０２は、更新ソフトウェアのインストール処理においては、インストール処理が完了した状態でのソフトウェアの起動は行わずにおいておく。その後車載器２３から有効化の指示を受信すると、ソフトウェア更新部３０２は、インストール処理が完了した状態でのソフトウェアを起動することにより更新対象ソフトウェアの有効化を行う。
尚、本実施形態においては、車載器２３とＥＣＵ２４間の通信のセキュリティは確保されているものとする。車載器２３とＥＣＵ２４間のセキュリティが確保されていない場合には、車載器２３と更新サーバ２２の通信と同様に、通信データに署名を付与することによって、車載器２３とＥＣＵ２４間の通信のセキュリティを確保してもよい。
次に更新サーバ２２の動作フローについて説明する。図１４は、更新サーバ２２の処理内容を図解したフローチャートである。
図１４のフローにおいて、先ず状態情報取得部３３は対象車両の状態情報７０の取得要求を車載器２３に送信し、取得要求の応答として、状態情報７０を受信する（Ｓ４０１）。状態情報７０を受信すると認証部３２は、状態情報７０の送信元である車載器２３の認証を行い、状態情報７０の機密性が確保されていることを確認する。
次に決定部３４は、状態情報７０に基いて、対象車両に更新ソフトウェアを適用することが可能か否かを判定する（Ｓ４０２）。対象車両に更新ソフトウェアが適用可能でないと判定した場合（Ｓ４０２でＮｏ）、決定部３４は、対象車両の車載器２３に警告表示を行うように指示する（Ｓ４０３）。そして処理は終了する。
一方Ｓ４０２において、決定部３４により対象車両に更新ソフトウェアが適用可能であると判定された場合（Ｓ４０２でＹｅｓ）、管理部３１は、状態情報７０に基いてホワイトリストＺ（６０）を算出する（Ｓ４０４）。
次に、決定部３４は対象車両に更新指示８０を送信して、対象車両のＥＣＵ２４のソフトウェアの更新指示８０を送信する（Ｓ４０５）。更新指示８０の送信に際しては、更新ソフトウェアの機密性を確保するために署名が付与される。
次に、検証部３６は、対象車両から更新後の状態情報７０を受信する（Ｓ４０６）。状態情報７０を受信すると、状態情報７０の送信元である車載器２３の認証を行い、状態情報７０の機密性が確保されていることを確認する。
次に、検証部３６は、更新後の状態情報７０とホワイトリストＺ（６０）とに基づいて、対象車両のソフトウェアの更新が成功したか否かを判定する（Ｓ４０７）。ソフトウェアの更新に失敗したと判定した場合（Ｓ４０７でＮｏ）、検証部３６は、最終指示としてロールバックの指示を車載器２３に送信する（Ｓ４０８）。そして処理はＳ４１０に遷移する。
一方、ソフトウェアの更新に成功したと判定した場合（Ｓ４０７でＹｅｓ）、検証部３６は、最終指示としてソフトウェアの更新を有効にするように車載器２３に指示を送信する（Ｓ４０９）。
そして、履歴管理部３８は、車載器２３から作業ログを受信し、受信した作業ログを所定の記憶領域に保存する（Ｓ４１０）。そして、処理は終了する。
次に車載器２３の動作フローについて説明する。図１５は、車載器の処理内容を図解したフローチャートである。
図１５のフローにおいて、先ず構成情報収集部２０３は、更新サーバ２２から状態情報７０の取得要求を受信する（Ｓ５０１）。状態情報７０の取得要求を受信すると、サーバ認証部２０２は取得要求の送信元である更新サーバ２２の認証を行う。
次に、構成情報収集部２０３は、車両に搭載されている全てのＥＣＵ２４から構成情報を収集し、収集した構成情報に基づいて状態情報７０を作成して更新サーバ２２に送信する（Ｓ５０２）。状態情報７０の送信に際しては、サーバ認証部２０２は送信元の認証及び状態情報７０の機密性確保のために署名を付与して、状態情報７０を送信する。
次に、更新ソフトウェア適用部２０４は、更新ソフトウェアを含むソフトウェアの更新指示８０を更新サーバ２２から受信する（Ｓ５０３）。ソフトウェアの更新指示８０を受信すると、サーバ認証部２０２は更新指示の送信元である更新サーバ２２の認証を行い、また、受信した更新指示８０の機密性が確保されていることを確認する。
次に、更新ソフトウェア適用部２０４は、更新対象ソフトウェアが稼動している各ＥＣＵ２４に対して、更新ソフトウェアとともに更新の指示を送信する（Ｓ５０４）。
次に、構成情報収集部２０３は、Ｓ５０４で更新を指示したＥＣＵ２４から、更新後の構成情報を受信して、更新後の構成情報に基いて状態情報７０を作成し更新サーバ２２に送信する（Ｓ５０５）。尚、Ｓ５０５の情報収集では、すべてのＥＣＵ２４から構成情報を取得してもよい。
次に、更新ソフトウェア適用部２０４は、更新サーバ２２から最終指示８５を受信する（Ｓ５０６）。最終指示８５を受信すると、サーバ認証部２０２は最終指示８５の送信元である更新サーバ２２の認証を行い、また、受信した最終指示の機密性が確保されていることを確認する。
次に、更新ソフトウェア適用部２０４は、最終指示８５で指示された各ＥＣＵ２４に対して、最終指示を送信する（Ｓ５０７）。
次に、更新ソフトウェア適用部２０４は、作業ログを各ＥＣＵ２４から受信し、更新サーバ２２に送信する。また、更新ソフトウェア適用部２０４は、作業ログに含まれる最終指示の処理結果を、例えば、表示装置に出力してもよい（Ｓ５０８）。そして、処理は終了する。
次にＥＣＵ２４の動作フローについて説明する。図１６は、ＥＣＵ２４の処理内容を図解したフローチャートである。
図１６のフローにおいて、先ず構成情報取得部３０１は、車載器２３から構成情報取得要求を受信する（Ｓ６０１）。
次に、構成情報取得部３０１は、ＥＣＵ２４で稼動する全てのソフトウェアの構成情報を収集し、収集した構成情報を車載器２３に送信する（Ｓ６０２）。
次に、ソフトウェア更新部３０２は、車載器２３からソフトウェアの更新指示を受信する（Ｓ６０３）。すると、ソフトウェア更新部３０２は更新ソフトウェアのインストール処理を行う（Ｓ６０４）。インストール処理が完了すると、構成情報取得部３０１はインストール処理が完了したソフトウェアの構成情報を収集して車載器２３に送信する（Ｓ６０５）。
次に、ソフトウェア更新部３０２は車載器２３から最終指示を受信する（Ｓ６０６）。
ソフトウェア更新部３０２は最終指示の内容を確認し（Ｓ６０７）、指示内容がロールバックである場合は（Ｓ６０７でロールバック）、ソフトウェアのロールバックを行う（Ｓ６０８）。そして処理はＳ６１０に遷移する。
一方、指示内容が更新の有効化の場合は（Ｓ６０７で有効化）、ソフトウェア更新部３０２はソフトウェアの有効化を行う（Ｓ６０９）。そして、ソフトウェア更新部３０２は、作業ログを車載器に送信する（Ｓ６１０）。そして、処理は終了する。
次に、更新サーバ２２の構成について説明する。図１７は、更新サーバ２２のハードウェア構成の一例を示す。
更新サーバ２２は、ＣＰＵ（Central Processing Unit）４０１、メモリ４０２、記憶装置４０３、読取装置４０４、通信インターフェース４０５、及び入出力装置４０６を含む。ＣＰＵ４０１、メモリ４０２、記憶装置４０３、読取装置４０４、通信インターフェース４０５、及び入出力装置４０６はバスを介して接続される。
ＣＰＵ４０１は、メモリ４０２を利用して上述のフローチャートの手順を記述したプログラムを実行することにより、管理部３１、認証部３２、状態情報取得部３３、決定部３４、選定部３５、検証部３６、及び履歴管理部３８の一部または全部の機能を提供する。
メモリ４０２は、例えば半導体メモリであり、ＲＡＭ（Random Access Memory）領域およびＲＯＭ（Read Only Memory）領域を含んで構成される。記憶装置４０３は、例えばハードディスクであり、記憶部３７の機能の一部または全てを提供する。なお、記憶装置４０３は、フラッシュメモリ等の半導体メモリであってもよい。また、記憶装置４０３は、外部記録装置であってもよい。
読取装置４０４は、ＣＰＵ４０１の指示に従って着脱可能記憶媒体４５０にアクセスする。着脱可能記憶媒体４５０は、たとえば、半導体デバイス（ＵＳＢメモリ等）、磁気的作用により情報が入出力される媒体（磁気ディスク等）、光学的作用により情報が入出力される媒体（ＣＤ−ＲＯＭ、ＤＶＤ等）などにより実現される。尚、読取装置４０４は更新サーバ２２に含まれなくてもよい。
通信インターフェース４０５は、車載器２３に接続し、ＣＰＵ４０１の指示に従ってネットワークを介して、車載器２３との間でデータを送受信する。また、通信インターフェース４０５は、他の情報処理装置と接続してもよい。例えば管理部３１により更新ソフトウェアが通信インターフェース４０５を介して取得される。
入出力装置４０６は、例えば、ユーザからの指示を受け付けるデバイス、情報を表示する表示装置などである。尚、入出力装置４０６は更新サーバ２２に含まれなくてもよい。
実施形態のプログラムは、例えば、下記の形態で更新ンサーバ２２に提供される。
（１）記憶装置４０３に予めインストールされている。
（２）着脱可能記憶媒体４５０により提供される。
（３）プログラムサーバ（図示せず）から通信インターフェース４０５を介して提供される。
さらに、実施形態の更新サーバ２２の一部は、ハードウェアで実現してもよい。或いは、実施形態の更新サーバ２２は、ソフトウェアおよびハードウェアの組み合わせで実現してもよい。
次に、車載器２３の構成について説明する。図１８は、車載器のハードウェア構成の一例を示す。
車載器２３は、ＣＰＵ５０１、メモリ５０２、記憶装置５０３、読取装置５０４、通信インターフェース５０５、出力装置５０６、及びＴＰＭ５０７を含む。ＣＰＵ５０１、メモリ５０２、記憶装置５０３、読取装置５０４、通信インターフェース５０５、出力装置５０６、及びＴＰＭ５０７はバス等を介して接続される。
ＣＰＵ５０１は、メモリ５０２を利用して上述のフローチャートの手順を記述したプログラムを実行することにより、サーバ認証部２０２、構成情報収集部２０３、更新ソフトウェア適用部２０４の一部または全部の機能を提供する。
メモリ５０２は、例えば半導体メモリであり、ＲＡＭ領域およびＲＯＭ領域を含んで構成される。記憶装置５０３は、例えばハードディスクであり、認証情報格納部２０１の機能の一部または全部の機能を提供し、また、実施形態のプログラムを格納する。なお、記憶装置５０３は、フラッシュメモリ等の半導体メモリであってもよい。また、記憶装置５０３は、外部記録装置であってもよい。
読取装置５０４は、ＣＰＵ５０１の指示に従って着脱可能記憶媒体５５０にアクセスする。着脱可能記憶媒体５５０は、たとえば、半導体デバイス（ＵＳＢメモリ等）、磁気的作用により情報が入出力される媒体（磁気ディスク等）、光学的作用により情報が入出力される媒体（ＣＤ−ＲＯＭ、ＤＶＤ等）などにより実現される。尚、読取装置５０４は車載器２３に含まれなくてもよい。
通信インターフェース５０５は、更新サーバ２２に接続し、ＣＰＵ５０１の指示に従ってネットワークを介してデータを送受信する。また、通信インターフェース５０５は、ＥＣＵ２４に接続し、ＣＰＵ５０１の指示に従ってネットワークを介してデータを送受信する。
出力装置５０６は、例えば、情報を表示する表示装置などである。ユーザに対する警告や更新ソフトウェアの更新結果は、出力装置５０６に出力される。
ＴＰＭ５０７は、ＣＰＵ５０１で稼動するプログラムの信頼性をチェックすることが可能なセキュリティチップであり、信頼性チェック部２０５の機能の一部または全てを提供する。信頼性チェック部２０５がアプリケーションの真正性のチェックにおいて使用するハッシュ値は、ＴＰＭ５０７内の所定の記憶領域に格納される。
実施形態のプログラムは、例えば、下記の形態で車載器２３に提供される。
（１）記憶装置５０３に予めインストールされている。
（２）着脱可能記憶媒体５５０により提供される。
（３）プログラムサーバ（図示せず）または更新サーバ２２から通信インターフェース５０５を介して提供される。
さらに、実施形態の車載器２３の一部は、ハードウェアで実現してもよい。或いは、実施形態の車載器２３は、ソフトウェアおよびハードウェアの組み合わせで実現してもよい。
次に、ＥＣＵ２４のソフトウェアの更新機能の実現方法を説明する。図１９及び図２０は、ＥＣＵのソフトウェアの更新機能の実現方法の一例を示す。
図１９におけるＥＣＵ２４は、ブートローダ６０１が構成情報取得部３０１とソフトウェア更新部３０２の機能を実現する。この例の場合、ソフトウェアの更新作業は、更新対象ソフトウェアが起動する前に行われる。すなわち、更新対象ソフトウェアに対する更新ソフトウェアのインストール処理が行われた後に、更新対象ソフトウェアが起動されて更新が有効になる。よって、図１６において、Ｓ６０４で更新ソフトウェアのインストール処理が行われてからＳ６０８までは、更新対象ソフトウェアは起動されず、Ｓ６０９において更新を有効化されてから更新ソフトウェアが起動される構成としてもよい。
一方、図２０におけるＥＣＵ２４では、仮想マシンマネージャ６０２が稼動しており、構成情報取得部３０１とソフトウェア更新部３０２の機能は仮想マシンマネージャ上の仮想マシンにより実現する。また、更新対象ソフトウェアも仮想マシンで動作させることにより、動作中の更新対象ソフトウェアと同じ構成のインストール用のソフトウェアを動作させてもよい。そして、図１６において、Ｓ６０４の更新ソフトウェアのインストール処理は更新用のソフトウェアに対して行い、Ｓ６０９の更新の有効化において、動作中の仮想マシンからインストール用の仮想マシンに切り替える構成としてもよい。この場合、Ｓ６０８のロールバック処理を行う場合は、インストール用の仮想マシンを破棄すればよい。
（変形例）
自動車２１の各ＥＣＵ２４にＴＰＭ５０７を搭載し、更新サーバ２２とＥＣＵ２４の間の通信において、車載器２３を介さない構成とすることも可能である。
図２１は、情報処理システムの変形例の構成の一例を示す。図２１で示される情報処理システム２９の第１の実施形態との違いは、各ＥＣＵ２４が車載器２３を介さずに更新サーバ２２と通信を行う点である。第１の実施形態の車載器２３の各機能は、第２の実施形態では各ＥＣＵ２４に組み込まれる。ただし、更新サーバ２２とＥＣＵ２４が直接通信するため、構成情報収集部２０３の機能については省略可能である。なお、各ＥＣＵ２４Ａ、２４Ｂ、２４Ｃにはそれぞれ、ＴＰＭ５０７Ａ、５０７Ｂ、５０７Ｃが含まれる。
尚、本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。
上記実施形態に関し、更に以下の付記を開示する。
（付記１）
自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信し、
受信した、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出し、
前記制御部へ前記修正プログラムを送信し、
送信した前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信し、
受信した前記第三の情報と、算出した前記第二の情報とを比較し、
該比較した結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する
ことを特徴とする、コンピュータにより実行される修正プログラム確認方法。
（付記２）
前記第一の情報及び前記第三の情報は、真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする、付記１に記載のコンピュータにより実行される修正プログラム確認方法。
（付記３）
前記第一の情報及び前記第三の情報は、ＴＰＭに搭載されている機能により真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする、付記２に記載のコンピュータにより実行される修正プログラム確認方法。
（付記４）
さらに、前記制御部に対する前記修正プログラムの適用処理が成功したと判断した場合、前記修正プログラムが適用された前記制御プログラムを有効化させる指示を前記制御部へ送信する
ことを特徴とする、付記１〜３のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
（付記５）
さらに、前記制御部に対する前記修正プログラムの適用処理が失敗したと判断した場合、前記修正プログラムの適用処理をロールバックさせる指示を前記制御部へ送信する
ことを特徴とする、付記１〜４のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
（付記６）
さらに、前記受信した第一の情報に基いて、前記制御プログラムの状態が正常か否かを判定し、
前記送信する処理は、前記制御プログラムの状態が正常であると判定された場合に、前記制御部に前記修正プログラムを送信することを含む
ことを特徴とする、請求項１〜５のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
（付記７）
コンピュータに、
自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信し、
受信した、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出し、
前記制御部へ前記修正プログラムを送信し、
送信した前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信し、
受信した前記第三の情報と、算出した前記第二の情報とを比較し、
該比較した結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する
処理を実行させることを特徴とする修正プログラム確認プログラム。
（付記８）
前記第一の情報及び前記第三の情報は、真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする付記６に記載の修正プログラム確認プログラム。
（付記９）
前記第一の情報及び前記第三の情報は、ＴＰＭに搭載されている機能により真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする付記７に記載の修正プログラム確認プログラム。
（付記１０）
さらに、
前記制御部に対する前記修正プログラムの適用処理が成功したと判断した場合、前記修正プログラムが適用された前記制御プログラムを有効化させる指示を前記制御部へ送信する
処理を実行させることを特徴とする付記６〜８のうちいずれか１項に記載の修正プログラム確認プログラム。
（付記１１）
自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信する第１の受信部と、
受信された、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出する算出部と、
前記制御部へ前記修正プログラムを送信する送信部と、
送信された前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信する第２の受信部と、
受信された前記第三の情報と、算出された前記第二の情報とを比較する比較部と、
該比較された結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する判断部と、
を備えることを特徴とする情報処理装置。
（付記１２）
前記第一の情報及び前記第三の情報は、真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする付記１１に記載の情報処理装置。
（付記１３）
前記第一の情報及び前記第三の情報は、ＴＰＭに搭載されている機能により真正性が確認されているソフトウェアにより作成された情報である
ことを特徴とする付記１２に記載の情報処理装置。
（付記１４）
前記情報処理装置は、さらに、
前記制御部に対する前記修正プログラムの適用処理が成功したと判断された場合、前記修正プログラムが適用された前記制御プログラムを有効化させる指示を送信する最終指示部
を備えることを特徴とする付記１１〜１３のうちいずれか１項に記載の情報処理装置。
１ 第１の受信部
２ 算出部
３ 送信部
４ 第２の受信部
５ 比較部
６ 判断部
７ 最終指示部
８ 状態判定部
１０ 情報処理装置

Claims (8)

  1. 自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信し、
    受信した、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出し、
    前記制御部へ前記修正プログラムを送信し、
    送信した前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信し、
    受信した前記第三の情報と、算出した前記第二の情報とを比較し、
    該比較した結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する
    ことを特徴とする、コンピュータにより実行される修正プログラム確認方法。
  2. 前記第一の情報及び前記第三の情報は、真正性が確認されているソフトウェアにより作成された情報である
    ことを特徴とする、請求項１に記載のコンピュータにより実行される修正プログラム確認方法。
  3. 前記第一の情報及び前記第三の情報は、ＴＰＭ（Trusted Platform Module）に搭載されている機能により真正性が確認されているソフトウェアにより作成された情報である
    ことを特徴とする、請求項２に記載のコンピュータにより実行される修正プログラム確認方法。
  4. さらに、前記制御部に対する前記修正プログラムの適用処理が成功したと判断した場合、前記修正プログラムが適用された前記制御プログラムを有効化させる指示を前記制御部へ送信する
    ことを特徴とする、請求項１〜３のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
  5. さらに、前記制御部に対する前記修正プログラムの適用処理が失敗したと判断した場合、前記修正プログラムの適用処理をロールバックさせる指示を前記制御部へ送信する
    ことを特徴とする、請求項１〜４のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
  6. さらに、前記受信した第一の情報に基いて、前記制御プログラムの状態が正常か否かを判定し、
    前記送信する処理は、前記制御プログラムの状態が正常と判定した場合に、前記制御部に前記修正プログラムを送信することを含む
    ことを特徴とする、請求項１〜５のうちいずれか１項に記載のコンピュータにより実行される修正プログラム確認方法。
  7. コンピュータに、
    自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信し、
    受信した、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出し、
    前記制御部へ前記修正プログラムを送信し、
    送信した前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信し、
    受信した前記第三の情報と、算出した前記第二の情報とを比較し、
    該比較した結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する
    処理を実行させることを特徴とする修正プログラム確認プログラム。
  8. 自動車に搭載された機器を制御する制御プログラムを実行する制御部であって、前記自動車に搭載された該制御部から、該制御プログラムの状態に関する情報である第一の情報を受信する第１の受信部と、
    受信された、前記第一の情報に基づいて、前記制御プログラムについての修正プログラムを前記制御部に適用した場合の該制御プログラムの状態である第二の情報を算出する算出部と、
    前記制御部へ前記修正プログラムを送信する送信部と、
    送信された前記修正プログラムを前記制御部に適用した後の制御プログラムの状態に関する情報である第三の情報を、前記制御部から受信する第２の受信部と、
    受信された前記第三の情報と、算出された前記第二の情報とを比較する比較部と、
    該比較された結果に基づいて、前記制御部に対する前記修正プログラムの適用処理が成功したか失敗したかを判断する判断部と、
    を備えることを特徴とする情報処理装置。
JP2013217473A 2013-10-18 2013-10-18 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置 Expired - Fee Related JP5864510B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2013217473A JP5864510B2 (ja) 2013-10-18 2013-10-18 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置
EP14185730.0A EP2863303B1 (en) 2013-10-18 2014-09-22 Method for confirming correction program, confirming program for confirming correction program, and information processing apparatus
US14/495,195 US10157050B2 (en) 2013-10-18 2014-09-24 Method for confirming correction program and information processing apparatus
CN201410525010.7A CN104572320B (zh) 2013-10-18 2014-10-08 用于确认校正程序的方法以及信息处理设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013217473A JP5864510B2 (ja) 2013-10-18 2013-10-18 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置

Publications (2)

Publication Number Publication Date
JP2015079440A JP2015079440A (ja) 2015-04-23
JP5864510B2 true JP5864510B2 (ja) 2016-02-17

Family

ID=51687781

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013217473A Expired - Fee Related JP5864510B2 (ja) 2013-10-18 2013-10-18 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置

Country Status (4)

Country Link
US (1) US10157050B2 (ja)
EP (1) EP2863303B1 (ja)
JP (1) JP5864510B2 (ja)
CN (1) CN104572320B (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10268557B2 (en) 2016-09-13 2019-04-23 Kabushiki Kaisha Toshiba Network monitoring device, network system, and computer program product
EP3493054A1 (en) 2017-11-30 2019-06-05 Hitachi, Ltd. In-vehicle software distribution system, in-vehicle software distribution server, and in-vehicle software distribution method

Families Citing this family (79)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140058532A1 (en) * 2012-08-23 2014-02-27 GM Global Technology Operations LLC Method for partial flashing of ecus
DE102014116172A1 (de) * 2014-11-06 2016-05-12 Dr. Ing. H.C. F. Porsche Aktiengesellschaft Datenübertragungseinheit für ein Fahrzeug
US9639344B2 (en) * 2014-12-11 2017-05-02 Ford Global Technologies, Llc Telematics update software compatibility
DE102015204362A1 (de) * 2015-03-11 2016-09-15 Robert Bosch Gmbh Stromtankstelle und Elektrofahrzeug
DE102015207795A1 (de) * 2015-04-28 2016-11-03 Robert Bosch Gmbh Verfahren und Vorrichtung zum Aktualisieren von Software in einem Transportmittel
JP6481489B2 (ja) * 2015-04-30 2019-03-13 富士通株式会社 修正適用情報作成プログラム、修正適用情報作成装置及び修正適用情報作成方法
DE102015214390A1 (de) * 2015-07-29 2017-02-02 Robert Bosch Gmbh Verfahren und Vorrichtung zum Betreiben wechselnder Gastsysteme unter einem Hypervisor
CN107851383B (zh) * 2015-07-31 2021-07-13 三菱电机株式会社 车辆用信息通信***及车辆用信息通信方法
US9916151B2 (en) * 2015-08-25 2018-03-13 Ford Global Technologies, Llc Multiple-stage secure vehicle software updating
US9767318B1 (en) * 2015-08-28 2017-09-19 Frank Dropps Secure controller systems and associated methods thereof
JP2017090092A (ja) * 2015-11-04 2017-05-25 株式会社デンソー 車載用ダウンロード制御装置、及びダウンロード制御方法
JP6508067B2 (ja) * 2016-01-14 2019-05-08 株式会社デンソー 車両用データ通信システム
US10114634B2 (en) * 2016-01-22 2018-10-30 2236008 Ontario Inc. Updating a controller unit in a vehicle
US11106454B2 (en) * 2016-04-15 2021-08-31 Nec Corporation Software update control device, software update control method, and recording medium having software update control program stored thereon
JP6665728B2 (ja) * 2016-08-05 2020-03-13 株式会社オートネットワーク技術研究所 車載更新装置、車載更新システム及び通信装置の更新方法
WO2018029905A1 (ja) * 2016-08-10 2018-02-15 Kddi株式会社 データ提供システム、データ保安装置、データ提供方法、及びコンピュータプログラム
US10055215B2 (en) * 2016-10-05 2018-08-21 Sap Se Enabling corrections during upgrade procedure
US10055260B2 (en) * 2017-01-05 2018-08-21 Guardknox Cyber Technologies Ltd. Specially programmed computing systems with associated devices configured to implement centralized services ECU based on services oriented architecture and methods of use thereof
US11036484B2 (en) * 2017-01-06 2021-06-15 Ford Global Technologies, Llc Software update management
EP3575954B1 (en) * 2017-01-25 2023-08-02 Hitachi Astemo, Ltd. Vehicle control device and program updating system
ES2901207T3 (es) * 2017-03-02 2022-03-21 Actility Interfaz de comunicación para una red de área extensa de baja potencia, dispositivo inalámbrico y servidor que usan tal interfaz de comunicación
US10908983B2 (en) 2017-03-31 2021-02-02 Cae Inc. Method and system for preventing an anomaly in a simulator
US10269192B2 (en) 2017-04-07 2019-04-23 Airbiquity Inc. Technologies for verifying control system operation
US11294661B2 (en) * 2017-04-25 2022-04-05 Microsoft Technology Licensing, Llc Updating a code file
US10387139B2 (en) 2017-07-25 2019-08-20 Aurora Labs Ltd. Opportunistic software updates during select operational modes
JP6773617B2 (ja) * 2017-08-21 2020-10-21 株式会社東芝 更新制御装置、ソフトウェア更新システムおよび更新制御方法
US10545751B2 (en) 2017-10-03 2020-01-28 Accenture Global Solutions Limited Automated usage driven engineering
CN111279310B (zh) * 2017-10-24 2023-09-12 华为国际有限公司 一种车载设备升级方法及相关设备
JP6915500B2 (ja) * 2017-11-06 2021-08-04 トヨタ自動車株式会社 更新システム、電子制御装置、更新管理装置、及び更新管理方法
US10009325B1 (en) * 2017-12-07 2018-06-26 Karamba Security End-to-end communication security
CN108460273B (zh) 2017-12-27 2022-10-14 ***股份有限公司 一种终端的应用管理方法、应用服务器及终端
DE102018200318A1 (de) * 2018-01-11 2019-07-11 Bayerische Motoren Werke Aktiengesellschaft Absicherung eines Softwareupdates eines Steuergerätes eines Fortbewegungsmittels
US10666767B1 (en) 2018-01-30 2020-05-26 State Farm Mutual Automobile Insurance Company Systems and methods for vehicle configuration verification using smart contracts
US10409585B2 (en) * 2018-02-14 2019-09-10 Micron Technology, Inc. Over-the-air (OTA) update for firmware of a vehicle component
JP7311245B2 (ja) * 2018-03-07 2023-07-19 トヨタ自動車株式会社 マスタ装置、マスタ、制御方法、プログラム及び車両
US11003537B2 (en) 2018-05-29 2021-05-11 Micron Technology, Inc. Determining validity of data read from memory by a controller
US11579865B2 (en) 2018-08-10 2023-02-14 Denso Corporation Vehicle information communication system
WO2020032196A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両情報通信システム
JP7159989B2 (ja) * 2018-08-10 2022-10-25 株式会社デンソー 車両用マスタ装置、車両用電子制御システム、アクティベート要求の指示方法及びアクティベート要求の指示プログラム
JP7059985B2 (ja) 2018-08-10 2022-04-26 株式会社デンソー 車両用電子制御システム、車両用マスタ装置、データ格納面情報の送信制御方法、データ格納面情報の送信制御プログラム、車両用マスタ装置側プログラム、センター装置、更新データの選定方法及びセンター装置側プログラム
JP7047819B2 (ja) * 2018-08-10 2022-04-05 株式会社デンソー 電子制御装置、車両用電子制御システム、アクティベートの実行制御方法及びアクティベートの実行制御プログラム
WO2020032192A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 電子制御装置、車両用電子制御システム、アクティベートの実行制御方法及びアクティベートの実行制御プログラム
US11163549B2 (en) 2018-08-10 2021-11-02 Denso Corporation Vehicle information communication system
WO2020032195A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両情報通信システム
KR102529916B1 (ko) * 2018-09-14 2023-05-08 현대자동차주식회사 가상머신 기반 차량 제어 검증 시스템 및 방법
JP2020088458A (ja) * 2018-11-16 2020-06-04 株式会社デンソーテン 情報処理装置
JP7139971B2 (ja) * 2019-01-23 2022-09-21 トヨタ自動車株式会社 ソフトウェア配布システムおよびソフトウェア配布方法
US11665001B1 (en) * 2019-02-12 2023-05-30 Ethernovia Inc. Network security using root of trust
JP2020140636A (ja) * 2019-03-01 2020-09-03 株式会社デンソー アプリケーションサーバ装置及び電子制御装置
JP7211224B2 (ja) * 2019-04-09 2023-01-24 住友電気工業株式会社 管理装置、通信システム、車両通信管理方法および車両通信管理プログラム
KR20200119601A (ko) * 2019-04-10 2020-10-20 현대모비스 주식회사 차량의 바이너리 데이터 처리 장치 및 방법
CN110065501B (zh) * 2019-05-14 2022-07-26 上汽通用五菱汽车股份有限公司 电子控制器的软件控制方法、配置设备及可读存储介质
JP7008661B2 (ja) * 2019-05-31 2022-01-25 本田技研工業株式会社 認証システム
US11837411B2 (en) 2021-03-22 2023-12-05 Anthony Macaluso Hypercapacitor switch for controlling energy flow between energy storage devices
US11685276B2 (en) 2019-06-07 2023-06-27 Anthony Macaluso Methods and apparatus for powering a vehicle
US11289974B2 (en) 2019-06-07 2022-03-29 Anthony Macaluso Power generation from vehicle wheel rotation
US11641572B2 (en) 2019-06-07 2023-05-02 Anthony Macaluso Systems and methods for managing a vehicle's energy via a wireless network
US11615923B2 (en) 2019-06-07 2023-03-28 Anthony Macaluso Methods, systems and apparatus for powering a vehicle
US11409874B2 (en) 2019-07-03 2022-08-09 International Business Machines Corporation Coprocessor-accelerated verifiable computing
JP7063853B2 (ja) * 2019-07-03 2022-05-09 本田技研工業株式会社 ソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラム
US11366879B2 (en) * 2019-07-08 2022-06-21 Microsoft Technology Licensing, Llc Server-side audio rendering licensing
CN110413348B (zh) * 2019-07-31 2023-01-06 中国工商银行股份有限公司 数据处理方法、装置、***及介质
JP7331931B2 (ja) * 2019-08-28 2023-08-23 株式会社デンソー 車両用電子制御システム
JP7346187B2 (ja) * 2019-09-13 2023-09-19 東芝テック株式会社 サーバー装置及びプログラム
WO2021061715A1 (en) * 2019-09-25 2021-04-01 Shift5, Inc. Passive monitoring and prevention of unauthorized firmware or software upgrades between computing devices
US11422792B2 (en) 2019-10-09 2022-08-23 Toyota Motor North America, Inc. Management of transport software updates
US11294662B2 (en) 2019-10-09 2022-04-05 Toyota Motor North America, Inc. Management of transport software updates
US11169795B2 (en) 2019-10-09 2021-11-09 Toyota Motor North America, Inc. Management of transport software updates
JP6970156B2 (ja) * 2019-10-18 2021-11-24 トヨタ自動車株式会社 車両の制御に用いるデータの生成方法、車両用制御装置、車両用制御システム、車載装置および車両用学習装置
JP7392407B2 (ja) * 2019-11-14 2023-12-06 株式会社デンソー センター装置、車両用電子制御システム、プログラム更新の進捗制御方法及びプログラム更新の進捗制御プログラム
CN111769903A (zh) * 2020-06-09 2020-10-13 国家数字交换***工程技术研究中心 应用于网络安全防御***的网络安全防御方法及相关装置
US11281450B2 (en) 2020-06-23 2022-03-22 Toyota Motor North America, Inc. Secure transport software update
US11880670B2 (en) 2020-06-23 2024-01-23 Toyota Motor North America, Inc. Execution of transport software update
JP7405033B2 (ja) * 2020-07-20 2023-12-26 トヨタ自動車株式会社 サーバ、更新管理方法、更新管理プログラム、ソフトウェア更新装置、サーバ及びソフトウェア更新装置を備えるシステム、センタ、ｏｔａマスタ、センタ及びｏｔａマスタを備えるシステム
DE102022104321A1 (de) 2021-03-05 2022-09-08 Toyota Jidosha Kabushiki Kaisha Center, aktualisierungsmanagementverfahren und nicht-transitorisches speichermedium
CN112925546B (zh) * 2021-03-10 2023-07-25 云度新能源汽车股份有限公司 一种防止车载ecu刷新出错的多级校验方法及***
US11472306B1 (en) 2022-03-09 2022-10-18 Anthony Macaluso Electric vehicle charging station
US11577606B1 (en) 2022-03-09 2023-02-14 Anthony Macaluso Flexible arm generator
US11955875B1 (en) 2023-02-28 2024-04-09 Anthony Macaluso Vehicle energy generation system

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002144983A (ja) * 2000-11-14 2002-05-22 Toyoda Mach Works Ltd 車両制御装置の制御ソフト変更装置及びその方法
US7373643B2 (en) * 2001-03-06 2008-05-13 Cybersoft, Inc. Apparatus, methods and articles of manufacture for data transmission
JP2004102379A (ja) 2002-09-05 2004-04-02 Hitachi Ltd パッチ適用管理プログラム、方法、およびシステム
JP2004326689A (ja) * 2003-04-28 2004-11-18 Nissan Motor Co Ltd 車載機器のソフトウェア書き換え方法、テレマティクスシステムおよびテレマティクス装置
JP2005107803A (ja) 2003-09-30 2005-04-21 Hitachi Ltd システム更新方法、および、それを実行するための計算機システム
US20080222604A1 (en) * 2005-03-07 2008-09-11 Network Engines, Inc. Methods and apparatus for life-cycle management
JP2006331185A (ja) 2005-05-27 2006-12-07 Fujitsu Ten Ltd 制御装置、書換装置、書換方法および書換プログラム
US7870379B2 (en) * 2006-10-10 2011-01-11 Exaflop Llc Updating a power supply microcontroller
JP5024036B2 (ja) 2007-12-27 2012-09-12 沖電気工業株式会社 プログラムの配信サーバ、配信システム、配信方法、および、配信対象プログラム
JP2010128844A (ja) 2008-11-28 2010-06-10 Hitachi Software Eng Co Ltd ソフトウェア更新システム
TWI386847B (zh) * 2009-02-04 2013-02-21 Novatek Microelectronics Corp 可安全復原的韌體更新方法及可安全復原之韌體更新的嵌入式電子裝置
US9195455B2 (en) * 2009-04-01 2015-11-24 Oracle International Corporation Reducing downtime when patching multiple inter-dependent software components
US8166341B2 (en) * 2009-08-31 2012-04-24 Red Hat, Inc. Systems and methods for testing results of configuration management activity
JP2011108167A (ja) * 2009-11-20 2011-06-02 Toyota Infotechnology Center Co Ltd コンピューターシステム
US20110238980A1 (en) * 2010-03-23 2011-09-29 Fujitsu Limited System and methods for remote maintenance in an electronic network with multiple clients
US9189357B2 (en) * 2010-05-25 2015-11-17 Red Hat, Inc. Generating machine state verification using number of installed package objects
US9464905B2 (en) * 2010-06-25 2016-10-11 Toyota Motor Engineering & Manufacturing North America, Inc. Over-the-air vehicle systems updating and associate security protocols
US9256745B2 (en) * 2011-03-01 2016-02-09 Microsoft Technology Licensing, Llc Protecting operating system configuration values using a policy identifying operating system configuration settings
DE112012007197T5 (de) * 2012-12-05 2015-08-20 Bendix Commercial Vehicle Systems Llc Verfahren und Vorrichtung zum Aktualisieren von Softwarekomponenten in Koordination mit Betriebsablaufbedingungen eines Motorfahrzeugs
US10509639B2 (en) * 2014-06-04 2019-12-17 Rimini Street, Inc. Automatic software-update framework

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10268557B2 (en) 2016-09-13 2019-04-23 Kabushiki Kaisha Toshiba Network monitoring device, network system, and computer program product
EP3493054A1 (en) 2017-11-30 2019-06-05 Hitachi, Ltd. In-vehicle software distribution system, in-vehicle software distribution server, and in-vehicle software distribution method
US10891123B2 (en) 2017-11-30 2021-01-12 Hitachi, Ltd. In-vehicle software distribution system, in-vehicle software distribution server, and in-vehicle software distribution method

Also Published As

Publication number Publication date
EP2863303B1 (en) 2020-01-15
EP2863303A1 (en) 2015-04-22
CN104572320A (zh) 2015-04-29
US10157050B2 (en) 2018-12-18
CN104572320B (zh) 2018-09-14
JP2015079440A (ja) 2015-04-23
US20150113520A1 (en) 2015-04-23

Similar Documents

Publication Publication Date Title
JP5864510B2 (ja) 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置
EP3319266B1 (en) Software distribution processing device, vehicle, software distribution processing method, and computer program
CN108762783B (zh) 车辆***的软件更新方法、装置及车辆***
KR102347659B1 (ko) 디바이스의 보안 프로비저닝 및 관리
JP6719079B2 (ja) 情報機器、データ処理システム、データ処理方法およびコンピュータプログラム
US10360018B2 (en) Update control apparatus, software update system, and update control method
JP5975964B2 (ja) 情報処理プログラム、情報処理方法、情報処理装置、及び情報処理システム
US9792440B1 (en) Secure boot for vehicular systems
CN109314639B (zh) 管理***、密钥生成装置、车载计算机、管理方法以及记录介质
JP6625269B2 (ja) 車載認証システム、車両通信装置、認証管理装置、車載認証方法および車載認証プログラム
US9807268B2 (en) Image forming apparatus having firmware update function, method of controlling the same, program for executing the method, and storage medium
WO2015080108A1 (ja) プログラム更新システム及びプログラム更新方法
JP6190443B2 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
JP5861597B2 (ja) 認証システムおよび認証方法
JP2011108167A (ja) コンピューターシステム
US20170293753A1 (en) Electronic device and system
Adelsbach et al. Secure software delivery and installation in embedded systems
CN113127930A (zh) 充电数据处理方法、装置和计算机可读存储介质
WO2013161371A1 (ja) プログラム提供装置、システム、プログラム提供方法およびプログラム
CN111226214B (zh) 用于确认密码密钥的***和方法
WO2022009464A1 (ja) 制御装置およびプログラム検証方法
CN118103841A (zh) 用于准许授权由交通工具的交通工具部件运行计算机程序的方法、交通工具部件和计算机程序
CN117519812A (zh) 一种软件启动方法、控制器、车辆及存储介质
CN117040859A (zh) 激活认证方法、装置和电子设备及存储介质
CN117579325A (zh) 一种数字证书验证方法及相关装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20150716

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20151111

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20151208

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20151224

R150 Certificate of patent or registration of utility model

Ref document number: 5864510

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees