JP7380468B2 - ソフトウェア更新装置、更新制御方法、更新制御プログラム、サーバ、ｏｔａマスタ及びセンタ - Google Patents

Description

本開示は、電子制御ユニットのソフトウェアの更新を制御するためのソフトウェア更新装置、更新制御方法、更新制御プログラム、サーバ、ＯＴＡマスタ及びセンタに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ）が搭載されている。ＥＣＵは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが不揮発性の記憶部に記憶されるソフトウェアを実行することによりＥＣＵの制御機能を実現する。各ＥＣＵが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各ＥＣＵの機能を改善したり、新たな車両制御機能を追加したりすることができる。

ＥＣＵのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネット等の通信ネットワークとを無線で接続し、無線通信を介してサーバからソフトウェアをダウンロードし、ダウンロードしたソフトウェアをインストールすることによりＥＣＵのプログラム更新や追加を行うＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）技術が知られている（例えば、特許文献１参照）。

ＥＣＵに搭載される不揮発性のメモリ（記憶部）として、ソフトウェアを格納するための１つの格納領域を有するメモリ（１面メモリ）と、ソフトウェアを格納するための２つの格納領域を有するメモリ（２面メモリ）とがあり、ＥＣＵの仕様等に応じて使い分けられる。２面メモリを搭載したＥＣＵは、２つの格納領域に新旧２バージョンのプログラムを格納することができる。

特開２００４－３２６６８９号公報

ＯＴＡによるソフトウェアの更新処理は、ソフトウェア更新装置がサーバから更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットの格納領域に更新データをインストールするフェーズと、更新対象の電子制御ユニットにおいて更新後のソフトウェアをアクティベートするフェーズとを含む。

上述した２面メモリを搭載したＥＣＵでは、一方の格納領域に格納された現行のソフトウェアを維持しつつ、他方の格納領域に更新版のソフトウェアをインストールすることができる。これに対して、これに対して、上述した１面メモリを搭載したＥＣＵでは、更新版のソフトウェアのインストールにより、格納領域に記憶された現行のソフトウェアが、更新版のソフトウェアによって書き換えられる。

ＯＴＡによるソフトウェア更新を行う場合、ソフトウェア更新により変更される車両機能や、ソフトウェアの更新過程で生じる機能制限等をユーザや管理者に通知し、ユーザや管理者の承諾を求める必要がある。

しかしながら、更新対象の電子制御ユニットに影響が生じるタイミングは、上記の通り、電子制御ユニットに搭載される不揮発性メモリの仕様によって異なるため、承諾を求めるタイミングについて検討の余地がある。

それ故に、本開示は、ソフトウェア更新時における承諾タイミングを電子制御ユニットの仕様に応じて変更できるソフトウェア更新装置、更新制御方法、更新制御プログラム、サーバ、ＯＴＡマスタ及びセンタを提供することを目的とする。

本開示に係るソフトウェアの更新処理は、電子制御ユニットのソフトウェア更新を制御する装置であって、更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、実行タイミングに関する情報に基づいて承諾要求を実行する制御部を備える。

本開示に係る更新制御方法は、プロセッサと、メモリと、記憶装置とを備えるコンピュータが、電子制御ユニットのソフトウェア更新を制御するために実行する方法であって、更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、実行タイミングに関する情報に基づいて承諾要求を実行するステップを含む。

本開示に係る更新制御プログラムは、プロセッサと、メモリと、記憶装置とを備えるコンピュータが、電子制御ユニットのソフトウェア更新を制御するために実行するプログラムであって、更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、実行タイミングに関する情報に基づいて承諾要求を実行するステップを含む。

本開示によれば、ソフトウェア更新時におけるユーザ承諾タイミングを電子制御ユニットの仕様に応じて変更できるソフトウェア更新装置、更新制御方法、更新制御プログラム、サーバ、ＯＴＡマスタ及びセンタを提供できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 図１に示したサーバの概略構成を示すブロック図 図１に示したソフトウェア更新装置の概略構成を示すブロック図 電子制御ユニットの概略構成を示すブロック図 電子制御ユニットの概略構成を示すブロック図 図１に示したサーバの機能ブロック図 図１に示したソフトウェア更新装置の機能ブロック図 第１の実施形態に係るサーバが実行する制御処理の一例を示すフローチャート 第１の実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャート 図８に示すインストール／アクティベート処理の詳細を示すフローチャート 第２の実施形態に係るサーバが実行する制御処理の一例を示すフローチャート 第２の実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャート

（第１の実施形態）
図１は、実施形態に係るネットワークシステムの全体構成を示すブロック図であり、図２は、図１に示したサーバの概略構成を示すブロック図であり、図３は、図１に示したソフトウェア更新装置の概略構成を示すブロック図である。

図１に示すネットワークシステムは、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェアを更新するためのシステムであり、サーバ１（センタ）と、車両に搭載される車載ネットワーク２とを備える。

サーバ１は、ネットワーク５を介して車両に搭載されたソフトウェア更新装置１１と通信可能であり、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェア更新を管理する。

図２に示すように、サーバ１は、ＣＰＵ２１と、ＲＡＭ２２と、記憶装置２３と、通信装置２４とを備える。記憶装置２３は、ハードディスクやＳＳＤ等の読み書き可能な記憶媒体を備え、ソフトウェアの更新管理を実行するためのプログラムや、更新管理に用いる情報、電子制御ユニットの更新データを記憶する。サーバ１において、ＣＰＵ２１は、記憶装置２３から読み出したプログラムを、ＲＡＭ２２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置２４は、ネットワークを介してソフトウェア更新装置１１と通信を行う機器である。

車載ネットワーク２は、ソフトウェア更新装置１１（ＯＴＡマスタ）と、通信モジュール１２と、複数の電子制御ユニット１３ａ～１３ｄと、表示装置１４とを備える。ソフトウェア更新装置１１は、バス１５ａを介して通信モジュール１２と接続され、バス１５ｂを介して電子制御ユニット１３ａ及び１３ｂと接続され、バス１５ｃを介して電子制御ユニット１３ｃ及び１３ｄと接続され、バス１５ｄを介して表示装置１４と接続されている。ソフトウェア更新装置１１は、通信モジュール１２を介してサーバ１と無線での通信が可能である。ソフトウェア更新装置１１は、サーバ１から取得した更新データに基づいて、電子制御ユニット１３ａ～１３ｄのうちの更新対象の電子制御ユニットのソフトウェア更新を制御する。ソフトウェア更新装置１１は、セントラルゲートウェイと称される場合もある。通信モジュール１２は、車載ネットワーク２とサーバ１とを接続する通信機器である。電子制御ユニット１３ａ～１３ｄは、車両の各部の動作を制御するＥＣＵである。表示装置１４（ＨＭＩ）は、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新処理時に、更新データがあることの表示や、ユーザや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、更新結果の表示等の各種表示を行うために用いられる。表示装置１４としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、プログラムの更新処理時に必要な情報を表示可能なものであれば特に限定されない。尚、図１においては、４つの電子制御ユニット１３ａ～１３ｄを例示したが、電子制御ユニットの数は特に限定されない。また、図１に示すバス１５ｄには、表示装置１４以外の電子制御ユニットが更に接続されていても良い。

図３に示すように、ソフトウェア更新装置１１は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ３３と、記憶装置３４とを備えるマイクロコンピュータ３５と、通信装置３６とを備える。ソフトウェア更新装置１１において、マイクロコンピュータ３５のＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置３６は、図１に示したバス１５ａ～１５ｄを介して、通信モジュール１２、電子制御ユニット１３ａ～１３ｄ、表示装置１４と通信を行う機器である。

図４Ａ及び図４Ｂは、電子制御ユニットの概略構成を示すブロック図である。

図４Ａに示す電子制御ユニット１３ａは、ＣＰＵ４１と、ＲＡＭ４２と、不揮発性メモリ４３ａと、通信装置４４とを備える。ＣＰＵ４１は、不揮発性メモリ４３ａから読み出したプログラムを、ＲＡＭ４２を作業領域として用いて実行することにより、電子制御ユニット１３ａの機能を実現する。不揮発性メモリ４３ａは、ソフトウェアを格納するための１つの格納領域４５を有する。以下、この構成の不揮発性メモリ４３ａの種別を「第１種別」という。格納領域４５には、電子制御ユニット１３ａの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラム等が格納される場合がある。通信装置４４は、ソフトウェア更新装置１１や車載ネットワーク２に接続される他の電子制御ユニット１３ｂ～１３ｄ、表示装置１４との通信を行う機器である。

図４Ｂに示す電子制御ユニット１３ｂは、電子制御ユニット１３ａと同様に、ＣＰＵ４１と、ＲＡＭ４２と、不揮発性メモリ４３ｂと、通信装置４４とを備える。ただし、電子制御ユニット１３ｂに搭載される不揮発性メモリ４３ｂは、プログラムを格納するための２つの格納領域４６ａ及び４６ｂを有する。以下、この構成の不揮発性メモリ４３ｂの種別を「第２種別」という。格納領域４６ａ及び４６ｂには、電子制御ユニット１３ａの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラム等が格納される場合がある。電子制御ユニット１３ｂのＣＰＵ４１は、不揮発性メモリ４３ｂが有する２つの格納領域４６ａ及び４６ｂのうち、何れか一方を読み出し対象の格納領域（運用面）とし、読み出し対象の格納領域に格納されるソフトウェアを実行する。読み出し対象でない他方の格納領域（非運用面）には、読み出し対象の格納領域（運用面）のプログラムの実行中に、バックグラウンドで更新データを書き込み可能である。ソフトウェア更新処理におけるアクティベート時には、ＣＰＵ４１によるプログラムの読み出し対象の格納領域を切り替えることにより、更新版のソフトウェアをアクティベートすることができる。具体例として、格納領域４６ａに現行のソフトウェアが格納されており、格納領域４６ｂに更新版のソフトウェアがインストールされた場合を想定する。ソフトウェア更新装置１１から更新版のソフトウェアのアクティベートが指示されると、例えば、ＣＰＵ４１の読み出し開始アドレスを、格納領域４６ａの先頭アドレスから格納領域４６ｂの先頭アドレスに切り替えることにより、ＣＰＵ４１の読み出し対象（運用面）の格納領域を切り替え、格納領域４６ｂにインストールされた更新版のソフトウェアを実行することができる。尚、本開示においては、１面の格納領域を擬似的に２面に区画し、一方の面のプログラムを実行中に他方の面にプログラムを書き込み可能にした「１面サスペンドメモリ」と呼ばれる構成も第２種別のメモリに分類されるものとする。

図５は、図１に示したサーバの機能ブロック図である。

サーバ１は、記憶部２６と、通信部２７と、制御部２８とを備える。通信部２７及び制御部２８は、図２に示したＣＰＵ２１がＲＡＭ２２を用いて記憶装置２３に記憶されるプログラムを実行することにより実現され、記憶部２６は、図２に示した記憶装置２３により実現される。

記憶部２６は、車両を識別する車両識別情報（車両ＩＤ）毎に、車両に搭載された１以上の電子制御ユニットで利用可能なソフトウェアを示す情報とを関連付けた更新管理情報と、電子制御ユニットのソフトウェアの更新データとを記憶する。電子制御ユニットで利用可能なソフトウェアを示す情報として、例えば、複数の電子制御ユニットのそれぞれのソフトウェアの最新のバージョン情報の組み合わせが定義される。

通信部２７は、ソフトウェア更新装置１１からソフトウェアの更新確認要求を受信可能である。更新確認要求は、例えば、車両において電源またはイグニッションがオンされたときに、ソフトウェア更新装置１１からサーバ１へと送信される情報であって、電子制御ユニットの更新データがあるか否かの確認をサーバ１に要求するための情報である。また、通信部２７は、ソフトウェア更新装置１１からの配信パッケージの送信要求（ダウンロード要求）を受信する。通信部２７は、配信パッケージのダウンロード要求を受信すると、電子制御ユニットのソフトウェアの更新データを含む配信パッケージをソフトウェア更新装置１１に送信する。

制御部２８は、通信部２７が更新確認要求を受信すると、記憶部２６に記憶される更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両のソフトウェアの更新データがあるか否かを判定する。制御部２８は、電子制御ユニットの更新データがあると判定した場合、ソフトウェア更新装置１１から配信パッケージのダウンロード要求を受信すると、記憶部２６に記憶される更新データを含む配信パッケージを生成する。

図６は、図１に示したソフトウェア更新装置の機能ブロック図である。

ソフトウェア更新装置１１は、記憶部３７と、判定部３８と、通信部３９と、制御部４０とを備える。記憶部３７は、図３に示した記憶装置３４によって実現され、判定部３８と、通信部３９と、制御部４０とは、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することにより実現される。

記憶部３７は、電子制御ユニット１３ａ～１３ｄのそれぞれに搭載される不揮発性メモリの種別が第１種別及び第２種別のいずれであるかを記憶する。電子制御ユニットに搭載される不揮発性メモリの種別に関する情報（種別情報）は、車載ネットワーク２を構成する電子制御ユニットの仕様に基づいて予め作成し、車両の製造時に記憶部３７に格納しても良い。あるいは、ソフトウェアの更新処理時に、後述する通信部３９が、更新対象の電子制御ユニットの不揮発性メモリの種別を車載ネットワーク２内の通信により取得しても良い。

判定部３８は、ソフトウェアの更新処理時に、更新対象の電子制御ユニットに搭載される不揮発性メモリが、１つの格納領域を有する第１種別のメモリであるか、２つの格納領域を有する第２種別のメモリであるかを判定する。判定部３８による不揮発性メモリの種別の判定は、記憶部３７に記憶される不揮発性メモリの種別情報に基づいて行うことができる。上述したように、記憶部３７に記憶される不揮発性の種別情報は、車両の製造時等に予め作成されたものであっても良いし、ソフトウェアの更新処理時に更新対象の電子制御ユニットから取得した不揮発性メモリの種別に基づいて作成されたものであっても良い。

通信部３９は、例えば、車両の電源またはイグニッションがオンされたことを契機として、ソフトウェアの更新確認要求をソフトウェア更新装置１１に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク２に接続される電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンとを含む。車両ＩＤ及び電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンは、サーバ１が車両ＩＤ毎に保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニットのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３９は、更新確認要求に対する応答としてサーバ１から更新データの有無を示す通知を受信する。電子制御ユニットのソフトウェアの更新データがある場合、通信部３９は、配信パッケージのダウンロード要求をサーバ１に送信し、サーバ１から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種制御情報等を含んでいても良い。また、ソフトウェアの更新処理時に電子制御ユニットの不揮発性メモリの種別情報を更新対象の電子制御ユニットから取得する場合は、通信部３９が更新対象の電子制御ユニットとの通信により種別情報を取得する。

制御部４０は、通信部３９が受信した更新確認要求に対する応答に基づき、電子制御ユニットのソフトウェアの更新データの有無を判定する。制御部４０は、通信部３９がサーバ１から受信して記憶部３７に格納した配信パッケージの真正性を検証する。制御部４０は、ダウンロードした１以上の更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットに更新データをインストールさせる。インストールの完了後、制御部４０は、更新対象の電子制御ユニットに対して、インストールした更新版のソフトウェアを有効とするよう指示する。

ここで、電子制御ユニットの不揮発性メモリが第１種別のメモリである場合、インストールとアクティベートとが一続きに行われるため、インストールの実行前に、ソフトウェア更新に対するユーザまたは管理者の承諾を要求する承諾要求処理を行う。電子制御ユニットの不揮発性メモリが第２種別のメモリである場合、少なくとも、インストールの実行後、かつ、アクティベートの実行前に、ソフトウェア更新に対する承諾要求処理を行う。電子制御ユニットの不揮発性メモリが第２種別のメモリである場合、インストールの実行前に、ソフトウェアの更新に対する承諾要求処理を行っても良いし、省略しても良い。

制御部４０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知や、ソフトウェア更新を承諾した旨の入力を促す通知を出力装置に出力させる。出力装置としては、車載ネットワーク２に設けられた表示装置１４や、音声による通知を行う音声出力装置等を利用できる。例えば、承諾要求処理において、表示装置１４を出力装置として用いる場合、制御部４０は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置１４に表示させ、ユーザまたは管理者が承諾した場合に承諾ボタンを押下する等の特定の入力操作を促す通知を表示装置１４に表示させる。また、制御部４０は、承諾要求処理において、電子制御ユニットのソフトウェアの更新データがあることを通知する文言やアイコン等を表示装置１４に表示させたり、ソフトウェア更新処理の実行中における制限事項等を表示装置１４に表示させたりする。

制御部４０は、更新対象の電子制御ユニットのメモリ種別に応じたタイミングで承諾要求処理を行い、ユーザまたは管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、更新対象の電子制御ユニットのソフトウェアを更新する。

ここで、ソフトウェアの更新処理は、サーバ１から更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットの記憶領域に更新データをインストールするフェーズと、更新対象の電子制御ユニットにおいてインストールした更新版のソフトウェアを有効化するアクティベートのフェーズとからなる。

ダウンロードは、サーバ１から送信された、電子制御ユニットのソフトウェアを更新するための更新データを受信して記憶する処理である。ダウンロードのフェーズでは、更新データの受信だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含む。インストールは、ダウンロードした更新データに基づいて、更新対象の電子制御ユニットに車載機器の記憶部に更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールのフェーズでは、インストール実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含む。アクティベートは、インストールした更新版のプログラムを有効化（アクティベート）する処理である。アクティベートする制御は、アクティベート実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含む。

サーバ１からソフトウェア更新装置１１に送信される更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。また、更新データは、更新対象の電子制御ユニットを識別する識別子（ＥＣＵ ＩＤ）と、更新前のソフトウェアを識別する識別子（ＥＣＵ ソフトウェア ＩＤ）を含んでいても良い。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一または複数の電子制御ユニットの更新データが含まれる。

更新データが更新ソフトウェアそのものを含む場合は、インストールのフェーズにおいて、ソフトウェア更新装置が更新データ（更新ソフトウェア）を更新対象の電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、差分データあるいは分割データを含む場合、ソフトウェア更新装置１１が更新対象の電子制御ユニットに更新データを転送し、更新対象の電子制御ユニットが更新データから更新ソフトウェアを生成しても良いし、ソフトウェア更新装置１１が更新データから更新ソフトウェアを生成してから、更新ソフトウェアを更新対象の電子制御ユニットに転送しても良い。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データまたは分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ソフトウェア更新装置１１からのインストール要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にインストールを行っても良い。

更新ソフトウェアのアクティベートは、ソフトウェア更新装置１１からのアクティベート要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にアクティベートを行っても良い。

尚、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「プログラム更新処理」は、ダウンロード・インストール・アクティベートの全てを連続して行う処理だけでなく、ダウンロード・インストール・アクティベートの一部のみを行う処理も含む。

図７は、第１の実施形態に係るサーバが実行する制御処理の一例を示すフローチャートである。図７に示す制御処理は、例えば所定の時間間隔で繰り返し実行される。

ステップＳ１において、通信部２７は、ソフトウェア更新装置１１から更新確認要求を受信したか否かを判定する。ステップＳ１の判定がＹＥＳの場合、処理はステップＳ２に進み、それ以外の場合、処理はステップＳ３に進む。

ステップＳ２において、通信部２７は、更新確認要求を送信した車両に対して、電子制御ユニットのソフトウェアの更新データがあるか否かを示す情報を送信する。更新データの有無は、例えば、制御部２８が、更新確認要求に含まれる車両ＩＤに関連付けて更新管理情報に記憶されているソフトウェアのバージョンの組み合わせと、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせとを比較し、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせが、更新管理情報に記憶されているバージョンの組み合わせより古い場合に、更新データがあると判定することができる。その後、処理はステップＳ３に進む。

ステップＳ３において、通信部２７は、配信パッケージのダウンロード要求をソフトウェア更新装置１１から受信したか否かを判定する。ステップＳ３の判定がＹＥＳの場合、処理はステップＳ４に進み、それ以外の場合、処理はステップＳ１に進む。

ステップＳ４において、通信部２７は、ソフトウェアの更新データを含む配信パッケージをソフトウェア更新装置１１に送信する。その後、処理はステップＳ１に進む。

図８は、第１の実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャートである。図８に示す制御処理は、例えば、車両の電源またはイグニッションがオンされたことを契機として実行される。

ステップＳ１１において、通信部３９は、車両ＩＤと電子制御ユニットのソフトウェアのバージョンの組み合わせとを含む更新確認要求をサーバ１に送信する。その後、処理はステップＳ１２に進む。

ステップＳ１２において、通信部３９は、サーバ１から確認結果を受信する。その後、処理はステップＳ１３に進む。

ステップＳ１３において、制御部４０は、ステップＳ１で送信した更新確認要求に対するサーバ１からの応答に基づいて、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新データがあるか否かを判定する。ステップＳ１３の判定がＹＥＳの場合、処理はステップＳ１４に進み、それ以外の場合、処理を終了する。

ステップＳ１４において、通信部３９は、ダウンロード処理を実行する。より詳細には、通信部３９は、サーバ１に配信パッケージのダウンロード要求を送信し、ダウンロード要求に応答して送信される配信パッケージを受信し、受信した配信パッケージを記憶部３７に格納する。制御部４０は、受信した配信パッケージに含まれる更新データの真正性を検証する。ステップＳ１４において、ダウンロードの実行可否の判定や、サーバ１に対してダウンロードが完了したことの通知を行っても良い。その後、処理はステップＳ１５に進む。

ステップＳ１５において、判定部３８は、更新対象の電子制御ユニットが有する不揮発性メモリのメモリ種別を判定し、承諾要求処理の実行タイミングを決定する。電子制御ユニットの各々に搭載される不揮発性メモリのメモリ種別を含む種別情報が予め記憶部３７に記憶されている場合、判定部３８は、記憶部に記憶される種別情報に基づいて、更新対象の電子制御ユニットのメモリ種別を判定する。また、ステップＳ１５において、通信部３９が更新対象の電子制御ユニットとの通信によりメモリ種別を取得して記憶部３７に格納する処理を行い、通信部３９が記憶部３７に格納した種別情報に基づいて、判定部３８が、更新対象の電子制御ユニットのメモリ種別を判定しても良い。更新対象の電子制御ユニットの少なくとも１つが第１種別のメモリを有する場合は、インストール前の承諾が必須であるため、判定部３８は、少なくともインストール前に承諾要求処理を実行すると決定する。この場合、判定部３８は、予め登録された設定等に基づき、インストール前に加えて、アクティベート前にも承諾要求処理を実行することを決定しても良い。一方、更新対象の全ての電子制御ユニットが第２種別のメモリを有する場合は、アクティベート前の承諾が必須であるため、判定部３８は、少なくともアクティベート前に承諾要求処理を実行すると決定する。この場合、判定部３８は、予め登録された設定等に基づき、アクティベート前に加えて、インストール前にも承諾要求処理を実行することを決定しても良い。その後、処理はステップＳ１６に進む。

ステップＳ１６において、制御部４０は、更新対象の電子制御ユニットに対してインストール処理及びアクティベート処理を実行し、処理を終了する。

図９は、図８に示すインストール／アクティベート処理の詳細を示すフローチャート
である。

ステップＳ２１において、制御部４０は、図８のステップＳ１５で判定部３８が決定した承諾要求処理の実行タイミングに基づいて、インストールの実行前の承諾要求処理諾が必要であるか否かを判定する。ステップＳ２１の判定がＹＥＳの場合、処理はステップＳ２２に進み、それ以外の場合、処理はステップＳ２４に進む。

ステップＳ２２において、制御部４０は、インストールに対する承諾要求処理を実行する。例えば、制御部４０は、電子制御ユニットのソフトウェア更新を開始する旨の表示と、ソフトウェア更新に対するユーザの承諾を要求する旨の表示と、必要に応じて、更新データのインストールに要する時間や、インストール中の制限事項や注意事項の表示を行い、タッチパネルや操作ボタン等の入力手段を用いたユーザによる操作入力を受け付ける。その後、処理はステップＳ２３に進む。

ステップＳ２３において、制御部４０は、ソフトウェア更新（インストール）を承諾する旨の操作入力が行われた否かを判定する。インストールを承諾する旨の操作入力は、例えば、表示装置１４に表示された「承諾する」あるいは「更新を開始する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェアの更新開始（インストール）をすぐに承諾せず、後でソフトウェアの更新開始（インストール）を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができ、この場合、制御部４０はステップＳ２４でＮＯと判定する。ステップＳ２３の判定がＹＥＳの場合、処理はステップＳ２４に進み、それ以外の場合、処理を終了する。

ステップＳ２４において、制御部４０は、更新対象の電子制御ユニットに、更新データを転送し、インストールを指示する。その後、処理はステップＳ２５に進む。更新対象のデン制御ユニットは、ソフトウェア更新装置１１から受信した更新データをソフトウェア格納領域に書き込む。

ステップＳ２５において、制御部４０は、図８のステップＳ１５で判定部３８が決定した承諾要求処理の実行タイミングに基づいて、アクティベート前の承諾要求処理が必要であるか否かを判定する。ステップＳ２５の判定がＹＥＳの場合、処理はステップＳ２６に進み、それ以外の場合、処理はステップＳ２７に進む。

ステップＳ２６において、制御部４０は、アクティベートに対する承諾要求処理を実行する。例えば、制御部４０は、例えば、電子制御ユニットのソフトウェア更新の準備が整い、電源またはイグニッションＯＦＦ等の特定の操作を行うことによりプログラムが更新される旨の表示と、必要に応じて、アクティベートに要する時間や、アクティベート中の制限事項や注意事項の表示を行い、タッチパネルや操作ボタン等の入力手段を用いたユーザによる操作入力を受け付ける。その後、処理はステップＳ２７に進む。

ステップＳ２７において、制御部４０は、ソフトウェア更新（アクティベート）を承諾する旨の操作入力が行われたか否かを判定する。アクティベートを承諾する旨の操作入力は、例えば、表示装置１４に表示された「承諾する」あるいは「更新する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェア更新（アクティベート）をすぐに承諾せず、後でソフトウェア更新を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができ、この場合、制御部４０はステップＳ２７でＮＯと判定する。ステップＳ２７の判定がＹＥＳの場合、処理はステップＳ２８に進み、それ以外の場合、処理を終了する。

ステップＳ２８において、制御部４０は、更新対象の電子制御ユニットに対して、更新版のソフトウェアの有効化を指示する。その後、処理を終了する。尚、更新対象の電子制御ユニットは、電源またはイグニッションＯＦＦにより等の特定の操作が行われたことを契機として、再起動し、更新後のソフトウェアを実行する。これにより、電子制御ユニットのソフトウェア更新（機能更新）が完了する。

上述の通り、更新対象の電子制御ユニットに搭載された不揮発性メモリが第１種別のメモリである場合、更新データをインストールすることにより現行のソフトウェアが上書きされるため、更新データのインストールの段階で更新対象の電子制御ユニットに影響が生じる。そこで、更新対象の電子制御ユニットの中に、第１種別のメモリが搭載された電子制御ユニットが含まれる場合、更新データが書き込まれる前に、承諾を求める承諾要求処理を行うことが必須であり、承諾を受け付けることがインストール開始の条件である。これに対して、更新対象の電子制御ユニットに搭載された不揮発性メモリが第２種別のメモリである場合、更新データのインストールの段階ではなく、インストール後に更新版のソフトウェアをアクティベートする段階で更新対象の電子制御ユニットに影響が生じる。そこで、更新対象の電子制御ユニットの全てが第２種別のメモリが搭載された電子制御ユニットである場合、更新データのインストール後、かつ、更新版のソフトウェアのアクティベート前に、ユーザに承諾を求める承諾要求画面を表示装置１４に表示させることが必須であり、プログラム更新（更新プログラムの有効化）に対するユーザの承諾があることが、承諾を求める承諾要求処理を行うことが必須であり、承諾を受け付けることがアクティベート開始の条件である。

本実施形態に係るソフトウェア更新装置１１は、更新対象の電子制御ユニットの不揮発性メモリの種別に応じて、ソフトウェア更新時における承諾要求処理の実行タイミングを変化させる。したがって、本実施形態に係るソフトウェア更新装置によれば、更新対象の電子制御ユニットの仕様に応じて、適切なタイミングで承諾を要求することができる。

具体的には、更新対象の少なくとも１つ電子制御ユニットに搭載される不揮発性メモリが第１種別のメモリである場合、不揮発性メモリの格納領域に更新プログラムが書き込まれる前に、承諾要求画面を表示画面に表示させる。一方、更新対象の電子制御ユニットに搭載される不揮発性メモリが全て第２種別のメモリである場合、不揮発性メモリの読み出し対象でない格納領域に更新データがインストールされた後、かつ、更新版のソフトウェアが書き込まれた格納領域がアクティベートされる前に、承諾要求表示を表示画面に表示させる。したがって、本実施形態に係るソフトウェア更新装置１１によれば、更新対象の電子制御ユニットに搭載された不揮発性メモリが有する格納領域の数に応じて、適切なタイミングで承諾要求処理を行うことができる。

（第１の実施形態の変形例）
上記の例では、ソフトウェア更新装置１１が、予め記憶部３７に格納された電子制御ユニットのメモリ種別、または、更新対象の電子制御ユニットから通信により取得したメモリ種別に基づいて、承諾要求処理を決定する例を説明した。車両に搭載されている電子制御ユニットの構成（種類やメモリ種別）はサーバ１によって管理されているため、更新対象の電子制御ユニットの不揮発性メモリの種別を通信部３９が通信によりサーバ１から取得して記憶部３７に格納しても良い。このように構成する場合、図７のステップＳ４において、サーバ１の通信部２７が、更新データと更新対象の電子制御ユニットのメモリ種別を示す情報とを配信パッケージに含めて車両に送信する。ソフトウェア更新装置１１においては、図８のステップＳ１４で通信部３９が受信した配信パッケージに含まれる、更新対象の電子制御ユニットのメモリ種別を示す情報に基づいて、制御部４０がステップＳ１５の処理を実行することにより、承諾要求処理の実行タイミングを決定することができる。

（第２の実施形態）
上記の第１の実施形態では、ソフトウェア更新装置１１が電子制御ユニットのメモリ種別を記憶する記憶部を備え、記憶部に予め記憶される電子制御ユニットのメモリ種別、もしくは、ソフトウェア更新装置１１が通信により電子制御ユニットまたはサーバ１から取得したメモリ種別に基づいて、承諾要求処理の実行タイミングを制御する構成を説明した。これに対して、本実施形態では、電子制御ユニットに搭載された不揮発性メモリの種別をサーバ１が記憶部２６に保持しており、サーバ１から車両のソフトウェア更新装置１１へと、承諾要求処理の実行タイミングを指示する指示情報を送信する。以下、本実施形態と第１の実施形態との相違点を中心に説明する。

図１０は、第２の実施形態に係るサーバが実行する制御処理の一例を示すフローチャートである。図１０に示す制御処理は、図７に示した制御処理のステップＳ４をステップＳ４’に置き換えたものである。

ステップＳ３において、通信部２７が配信パッケージのダウンロード要求をソフトウェア更新装置１１から受信すると、ステップＳ４’において、通信部２７は、電子制御ユニットのソフトウェアの更新データと、指示情報とを含む配信パッケージをソフトウェア更新装置１１に送信する。指示情報は、ソフトウェア更新装置１１がソフトウェアの更新処理を行う際における承諾要求処理の実行タイミングを指示するための情報であり、更新対象の電子制御ユニットに搭載された不揮発性メモリの種別に応じて生成される。例えば、指示情報は、制御部２８が以下の手順を行うことにより生成することができる。

まず、制御部２８は、ステップＳ３で受信したダウンロード要求に含まれる車両ＩＤで特定される車両に関して、ステップＳ２で更新データがあると判定した電子制御ユニットとそのメモリ種別とを特定する。各車両に搭載されている電子制御ユニットの種類やメモリ種別は、製造時等に予めサーバ１の記憶部２６に登録されている。したがって、制御部２８は、予め登録された情報に基づいて、ステップＳ２で判定した更新対象の電子制御ユニット（すなわち、更新データがある電子制御ユニット）のそれぞれのメモリ種別を取得することができる。次に、制御部２８は、更新対象の電子ユニットに搭載された不揮発性メモリのメモリ種別に応じて、指示情報を生成する。具体的に、更新対象の電子制御ユニットに第１種別のメモリを搭載した電子制御ユニットが含まれる場合、制御部２８は、更新対象の電子制御ユニットに実質的な影響を及ぼすインストール前に承諾要求処理を行うよう指示する情報を生成する。また、更新対象の電子制御ユニットの全てが第２種別のメモリを搭載した電子制御ユニットである場合、制御部２８は、更新対象の電子制御ユニットに実質的な影響を及ぼすアクティベート前に承諾要求処理を行うよう指示する情報を生成する。通信部２７は、更新対象の電子制御ユニットの更新データと共に制御部２８が生成した指示情報を配信パッケージに含めて、ダウンロード要求を送信した車両に送信する。

図１１は、第２の実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャートである。図１１に示す制御処理は、図８に示した制御処理のステップＳ１５をステップＳ１５’に置き換えたものである。

ソフトウェア更新装置１１において、通信部３９が配信パッケージを受信すると（ステップＳ１４）、ステップＳ１５’において、制御部４０は、配信パッケージに含まれる指示情報に基づいて、承諾要求処理の実行タイミングを決定する。ステップＳ１６のインストール／アクティベート処理（図９）においては、ステップＳ１５において決定された実行タイミングに基づいて、図９に示すステップＳ２１及びステップＳ２５の判定が行われる。

本実施形態のように、サーバ１において承諾要求処理の実行タイミングを指示する指示情報を生成して車両に送信する構成であれば、ソフトウェア更新装置１１において更新対象の電子制御ユニットのメモリ種別を判定する必要がないため、ソフトウェア更新装置１１の制御処理をより簡易なものとすることができる。

上記の各実施形態で例示したサーバ１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備えるコンピュータが実行する更新管理方法、あるいは、当該コンピュータに実行させる更新管理プログラム、更新管理プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。同様に、実施形態として例示したソフトウェア更新装置１１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備える、車載されたコンピュータが実行する更新制御方法、あるいは、当該車載されたコンピュータに実行させる更新制御プログラム、更新制御プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。

上記の各実施形態では、車両側において、車載ネットワークに設けられたソフトウェア更新装置１１が、マスタ装置として、全ての電子制御ユニット１３ａ～１３ｄのプログラム更新を制御する例を説明したが、ソフトウェア更新装置１１を設ける代わりに、電子制御ユニット１３ａ～１３ｄのいずれか１つが図８及び図９に示した更新制御機能を有しており、他の電子制御ユニットのプログラム更新を制御しても良い。また、ソフトウェア更新装置１１を設ける代わりに、図８及び図９に示した更新制御機能を、車載ネットワーク２に有線で接続可能な外部機器に設け、この外部機器を用いて電子制御ユニット１３ａ～１３ｄのプログラム更新処理を行うことも可能である。

本開示技術は、電子制御ユニットのプログラムを更新するためのネットワークシステムに利用できる。

１ サーバ
２ 車載ネットワーク
５ ネットワーク
１１ ソフトウェア更新装置
１３ａ～１３ｄ 電子制御ユニット
３７ 記憶部
３８ 判定部
３９ 通信部
４０ 更新部
４８ 表示制御部

Claims (12)

1. 電子制御ユニットのソフトウェア更新を制御するソフトウェア更新装置であって、
   更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、前記実行タイミングに関する情報に基づいて前記承諾要求を実行する制御部を備える、ソフトウェア更新装置。
2. 前記制御部は、
   更新対象の電子制御ユニットに搭載される不揮発性メモリが１つの格納領域を有する第１種別のメモリである場合、前記不揮発性メモリの格納領域に更新データがインストールされる前に、前記承諾要求を実行し、
   更新対象の電子制御ユニットに搭載される不揮発性メモリが２つの格納領域を有する第２種別のメモリである場合、前記不揮発性メモリの読み出し対象でない格納領域に更新データがインストールされた後、かつ、更新データが書き込まれた格納領域が読み出し対象としてアクティベートされる前に、前記承諾要求を実行する、請求項１に記載のソフトウェア更新装置。
3. 更新対象の車載機器に搭載される不揮発性メモリが、前記第１種別のメモリであるか、前記第２種別のメモリであるかを判定する判定部を備え、
   前記制御部は、前記サーバから受信した情報と前記判定部による判定結果とに基づいて、前記承諾要求を実行する処理、請求項２に記載のソフトウェア更新装置。
4. 前記電子制御ユニットに搭載される不揮発性メモリの種別を記憶する記憶部を備え、
   前記判定部は、前記サーバから受信した情報と前記記憶部に記憶される不揮発性メモリの種別とに基づいて、更新対象の電子制御ユニットの不揮発性メモリの種別を判定する、請求項３に記載のソフトウェア更新装置。
5. 電子制御ユニットに搭載される不揮発性メモリの種別をサーバから受信する通信部と、
   受信した不揮発性メモリの種別を記憶する記憶部とを備え、
   前記判定部は、前記サーバから受信した情報と前記記憶部に記憶される不揮発性メモリの種別とに基づいて、更新対象の電子制御ユニットの不揮発性メモリの種別を判定する、請求項３に記載のソフトウェア更新装置。
6. 更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて、前記承諾要求の実行タイミングに関する情報を前記サーバから受信する通信部を備える、請求項２に記載のソフトウェア更新装置。
7. 前記制御部は、前記承諾要求において、ソフトウェア更新に対する承諾を要求する画面を表示装置に表示させる、請求項１～６のいずれかに記載のソフトウェア更新装置。
8. プロセッサと、メモリと、記憶装置とを備えるコンピュータが、電子制御ユニットのソフトウェア更新を制御するために実行する更新制御方法であって、
   更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、前記実行タイミングに関する情報に基づいて前記承諾要求を実行するステップを含む、更新制御方法。
9. プロセッサと、メモリと、記憶装置とを備えるコンピュータが、電子制御ユニットのソフトウェア更新を制御するために実行する更新制御プログラムであって、
   更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、前記実行タイミングに関する情報に基づいて前記承諾要求を実行するステップを含む、更新制御プログラム。
10. 車両を識別する車両識別情報毎に、前記車両に搭載された電子制御ユニットが有する不揮発性メモリの種別を記憶する記憶部と、
    前記車両から車両識別情報を含む確認要求を受信する通信部と、
    前記通信部が前記確認要求を受信すると、前記確認要求に含まれる車両識別情報で識別される車両のソフトウェアの更新データがあるか否かを判定する制御部とを備え、
    前記制御部が前記車両のソフトウェアの更新データがあると判定した場合、前記通信部は、更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングを指示する指示情報を前記車両に送信する、サーバ。
11. 電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタであって、
    更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて決定される、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングに関する情報をサーバから受信し、前記実行タイミングに関する情報に基づいて前記承諾要求を実行する制御部を備える、ＯＴＡマスタ。
12. 車両を識別する車両識別情報毎に、前記車両に搭載された電子制御ユニットが有する不揮発性メモリの種別を記憶する記憶部と、
    前記車両から車両識別情報を含む確認要求を受信する通信部と、
    前記通信部が前記確認要求を受信すると、前記確認要求に含まれる車両識別情報で識別される車両のソフトウェアの更新データがあるか否かを判定する制御部とを備え、
    前記制御部が前記車両のソフトウェアの更新データがあると判定した場合、前記通信部は、更新対象の電子制御ユニットが有する不揮発性メモリの種別に基づいて、前記更新対象の電子制御ユニットのソフトウェア更新処理の承諾要求の実行タイミングを指示する指示情報を前記車両に送信する、センタ。

Images