NORフラッシュメモリが信頼性の高いFOTAアップデートを実現する仕組み

スコット ホ (インフィニオン テクノロジーズ)

接続から保護へ: NORフラッシュメモリが信頼性の高いファームウェアOTAアップデートを実現する仕組み

コネクテッド製品の機能が向上するにつれ、ソフトウェアを最新の状態に保つことは、もはや差別化要因ではなく、当然の前提条件となっています。Firmware over-the-air (FOTA) アップデートは、工場でのリコールやサービス訪問なしに、新機能の展開、脆弱性の修正、進化する規制への対応を可能にする仕組みです。しかし、FOTAの成功の裏には、十分に注目されることの少ないハードウェア上の判断があります。適切なフラッシュメモリを選定することです。

この記事では、FOTAを現場で確実に動作させるために必要な主要アーキテクチャ、更新メカニズム、セキュリティ要件を整理して解説します。

FOTA用フラッシュメモリ構成

FOTAアーキテクチャは通常、2つのメモリ構成のいずれかを基に構築されます。デュアルバンク内部NORフラッシュ方式では、MCUのオンチップフラッシュをアクティブ スロットとパッシブ スロットに分割します。一方は現在のファームウェアを実行し、もう一方は新しいイメージを受け取ります。これは、小さいペイロード向けにコンパクトでコスト効率の良い構成を提供し、アドレス再マッピングによって高速なバンク切り替えを実現します。

外部NORフラッシュ方式では、専用メモリをQSPIまたはOSPIインターフェースを介してアプリケーション プロセッサまたはMCUに接続します。容量が大幅に大きいため、大容量のファームウェア イメージを扱え、複数のバックアップ コピーを保存でき、緊急復旧イメージも利用できます。ファームウェアがRTOSスタック、AI推論エンジン、グラフィックス ライブラリなどを含むようになり (多くの場合、数十MB)、外部NORフラッシュは産業用および車載システムにおける実用上の標準になりつつあります。

FOTA向けストレージ アーキテクチャ

フルA/Bアップデート

これは、2つの独立したメモリ領域を持つことを意味します。ファームウェア イメージ全体は一方の領域に書き込まれ、もう一方の領域はアプリケーションの実行に使用されます。アップデートが完了すると、アプリケーションは新しく更新された領域に切り替えるだけで済みます。

通常、内蔵フラッシュの場合、2つの完全なファームウェア イメージを保存する必要があるため、コードサイズが制限されます。これは、外部NORフラッシュを使用することで解決できます。

これには2つの方法があります。

  1.  内部ストレージを備えたホスト コントローラーでは、完全なファームウェア イメージを保存するのに十分かどうかを評価する必要があります。十分であれば、同等のストレージ容量を持つ外部NORフラッシュを使用してバックアップ イメージを保存できます。
  2. インプレース実行 (XIP) : 内部ストレージがほとんどない、またはまったくないシステムでは、パーティション分割可能な単一の大容量外部NORフラッシュ、または2つの別々の外部NORフラッシュを使用してA/Bイメージを保存できます。XIPを使用すると、外部NORフラッシュから直接コードを実行できます。

差分アップデート

変更されたコードのみを送信することで、帯域幅、転送時間、フラッシュの書き換えサイクルを削減できます。これは、製品ライフサイクルを通じて更新頻度が増加するにつれて重要な利点となります。変更点を処理する必要があるため、これはフル アップデートよりも実装が複雑です。

設計段階からのセキュリティとレジリエンス

FOTAは単なる物流上の課題ではなく、セキュリティ上の課題でもあります。ハードウェア セキュリティ モジュール (HSM) またはTrustZoneで検証されたデジタル署名により、書き込み操作の前にイメージの完全性が確認されます。書き込み後のCRCチェックにより、保存されたイメージが検証されます。ロールバック機能により、アップデートが失敗した場合でも、以前のファームウェア バージョンに確実に戻せます。ハードウェアの信頼の基点 (Root of Trust) に基づくセキュア ブートにより、信頼できるイメージのみが実行されます。

UNECE WP.29 R155およびR156が、あらゆる車両カテゴリーにおけるサイバーセキュリティとソフトウェア アップデート管理に関する拘束力のある要件を定めたことで、これらの仕組みはベストプラクティスから規制上の義務へと変わりました。インフィニオンのSEMPER™ NOR フラッシュファミリーのような、組み込みのデータ整合性保護、ECC、ハードウェアベースのセキュリティをサポートするメモリを選択することで、システムの複雑さを増すことなくこれらの要件を満たすことが容易になります。

結論

FOTAは今や、スマート産業用コントローラーからソフトウェア定義車両まで、あらゆるコネクテッド製品にとって不可欠な要件となっています。メモリ アーキテクチャを最初から正しく設計できるかどうかが、アップデートが競争上の優位性となるか、現場でのリスクとなるかを左右します。容量、性能、セキュリティのバランスが取れた適切なNORフラッシュの選択が、信頼性の高いアップデート戦略を実際に展開可能なものにする鍵となります。

FOTA向けメモリ ソリューションについてもっと詳しく知りたいですか？ SEMPER™ NOR フラッシュ ポートフォリオの詳細