JP7434205B2

JP7434205B2 - プログラム更新管理システム、移動体故障診断装置、プログラム更新管理方法

Info

Publication number: JP7434205B2
Application number: JP2021052604A
Authority: JP
Inventors: 知明滝; 岳神田
Original assignee: Honda Motor Co Ltd
Current assignee: Honda Motor Co Ltd
Priority date: 2021-03-26
Filing date: 2021-03-26
Publication date: 2024-02-20
Anticipated expiration: 2041-03-26
Also published as: JP2022150141A; CN115129336A; US20220309843A1

Description

本発明は、移動体が搭載する電子制御装置についてのプログラム更新の管理をおこなうプログラム更新管理システム、移動体故障診断装置、及び、プログラム更新管理方法に関する。

近年の移動体、車両は無線技術を利用してネットワークと接続される、いわゆるコネクテッド化が進行している。コネクテッド化は将来的に自動運転等の快適な運用が期待される反面、ネットワークを介して車両が攻撃されるセキュリティリスクを増大させている。現在の車両には多くの電子制御機器が使用されており、それら電子機器を制御するためのソフトウェアについては機能追加や修正を伴う更新が必要である。ソフトウェアの更新管理については車両の安全性と直結するため、国際標準規格に基づく法令による規制が適用されようとしている。その規制においては、ソフトウェアについて更新管理の徹底が求められており、ソフトウェアの更新については、有線接続を介する場合、無線接続を介する場合のいずれについても履歴管理が必要になる。

特開２０２０－９６３２１号公報

特許文献１には、悪意ある第三者によるプログラムの書き換え等を防ぐため、ネットワーク圏外であっても車両に接続される更新装置が認証されたものであるかどうかを判定する技術が開示されている。しかし認証された更新装置が車両に有線接続されて更新作業をしていた場合にも誤ってケーブルが外れて適正にプログラム更新がなされないことや、適正にプログラム更新がなされてもそれが確認できないことも考えられ、そのようなアクシデントについては、更新作業をおこなう販売店や車両の使用者が気づき難いという課題がある。
本発明は上記背景に鑑みてなされたものであり、移動体が搭載する電子制御装置についてのプログラム更新を有線接続でおこなうときで更新処理作業の途中である場合に、処理中であることを報知するプログラム更新管理システム、移動体故障診断装置、及びプログラム更新管理方法を提供することを目的とする。

上記目的を達成するための一態様として、移動体を制御するプログラムを更新し管理する移動体故障診断装置と、更新プログラムを管理する更新履歴管理装置と、前記移動体に備えられて該移動体の動作を制御する移動体制御装置と、を備えるプログラム更新管理システムであって、前記移動体は、情報を出力する出力部と、前記出力部を制御する出力制御部と、個別ＥＣＵと、を備え、前記移動体故障診断装置は、前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する前記更新履歴管理装置から、前記更新プログラムを取得する取得部と、前記更新プログラムを、前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに書き込む書き込み部と、通信部を制御して、前記更新プログラムの書き込みが完了していない場合に、前記更新プログラムの書き込みの進捗に関する書き込み進捗情報を前記更新履歴管理装置に送信し、前記更新プログラムの書き込みが完了した場合に、前記更新プログラムの書き込みが完了した旨を示す書き込み完了情報を前記更新履歴管理装置に送信する通信制御部と、を有し、前記更新履歴管理装置は、予め定められたプログラム構成を前記移動体故障診断装置に送信し、前記移動体故障診断装置は、前記更新履歴管理装置から前記プログラム構成を取得し、前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定可能であり、前記出力制御部は、前記移動体故障診断装置が前記更新プログラムの書き込みを開始する際に、前記出力部による所定の出力を開始し、前記移動体故障診断装置から前記移動体制御装置にプログラムの更新が完了したことを示す完了通知情報が送信されたことに対応して、前記所定の出力を停止し、前記移動体故障診断装置は、前記移動体故障診断装置によるプログラムの更新が実行されていないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止させることを特徴とするプログラム更新管理システムが挙げられる。

上記プログラム更新管理システムにおいて、前記移動体故障診断装置は、前記個別ＥＣＵに書き込まれた前記更新プログラムが前記移動体で利用可能な状態にされたことを示すアクティベート情報を前記更新履歴管理装置に送信する構成としてもよい。

上記プログラム更新管理システムにおいて、前記移動体制御装置は、前記移動体故障診断装置によるプログラムの更新が完了したことを示す完了通知情報を前記移動体故障診断装置から取得する完了通知情報取得部を有し、前記出力制御部は前記完了通知情報に基づいて前記所定の出力を停止する構成としてもよい。

上記プログラム更新管理システムにおいて、前記移動体はセルラー通信をおこなう通信装置を備えない構成としてもよい。

上記プログラム更新管理システムにおいて、前記通信制御部及び前記取得部は前記移動体故障診断装置に備えられ、前記移動体制御装置と前記移動体故障診断装置とは有線通信手段を介して接続され、前記更新プログラムの取得と、前記更新プログラムの書き込みと、前記書き込み進捗情報についての前記更新履歴管理装置への送信と、は、前記有線通信手段を介して行われる構成としてもよい。

上記目的を達成するための他の態様として、移動体を制御するプログラムを更新し管理する移動体故障診断装置であって、情報を出力する出力部を有する前記移動体に設けられ、前記出力部を制御する出力制御部と、前記移動体が含む装置の制御をおこなう個別ＥＣＵと、を備える移動体制御装置に接続され、前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する更新履歴管理装置から、更新プログラムを取得する取得部と、前記更新プログラムを前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに書き込む書き込み部と、を備え、前記書き込み部は、予め定められたプログラム構成を前記更新履歴管理装置から取得し、前記更新プログラムの書き込みを開始する際に、前記移動体の前記出力制御部によって前記出力部による所定の出力を開始させ、プログラムの更新が完了したことに対応して前記所定の出力を停止させ、前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定可能であり、前記移動体故障診断装置によるプログラムの更新が実行されていないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止するように前記出力制御部を制御することを特徴とする移動体故障診断装置が挙げられる。

上記目的を達成するための他の態様として、情報を出力する出力部を有する移動体において、前記移動体が含む装置の制御をおこなう個別ＥＣＵのプログラムを、移動体故障診断装置によって更新し管理するプログラム更新管理方法であって、前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する更新履歴管理装置から、更新プログラムを取得するステップと、前記更新プログラムを前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに対して前記プログラムの更新プログラムを書き込む書き込みステップと、を有し、前記書き込みステップにおいては、予め定められたプログラム構成を前記更新履歴管理装置から取得し、前記更新プログラムの書き込みを開始する際に、前記移動体の前記出力部による所定の出力を開始させ、プログラムの更新が完了したことに対応して前記所定の出力を停止させ、さらに、前記書き込みステップを実行していないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止させるステップを有する、ことを特徴とするプログラム更新管理方法が挙げられる。

移動体が搭載する電子制御装置についてのプログラム更新処理作業の途中で、ケーブル抜けや断線等なんらかのエラーが生じた場合、そのエラーを更新作業者や移動体の管理者に気付かせることができる。そのためプログラム更新履歴が適正に管理されていることを保証することができる。

図１は、移動体におけるプログラム更新の説明図である。図２は、プログラム更新管理システムの構成図である。図３は、移動体と移動体故障診断装置の機能ブロック図である。図４は、第１の実施形態に係るプログラム更新管理のフローチャートである。図５は、第１の実施形態に係るプログラム更新管理のフローチャートである。

以下、図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明、または、実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が必要以上に冗長になるのを避け、当業者の理解を容易にするためである。
なお、添付図面および以下の説明は、当業者が本開示を十分に理解するために提供されるのであって、これらにより特許請求の範囲に記載の主題を限定することを意図していない。

［１－１．第１の実施形態に係るプログラム更新管理システムの構成］
図１は、移動体（車両）Ｖにおけるプログラム更新の説明図である。移動体Ｖが有する装置が無線通信によるプログラム更新に対応している場合、すなわちＯＴＡ（ＯｖｅｒＴｈｅＡｉｒ）によるソフトウェア更新が可能な場合には、無線配信サーバ３０から更新プログラムが、ネットワークＮと基地局Ｂを介して移動体Ｖに配信され、プログラムが更新される。このときプログラムの更新履歴は、移動体Ｖの車両識別番号に紐づけられて更新履歴管理装置１０で管理される。また販売店や整備工場などでは、有線接続によりプログラムを更新する。具体的には更新履歴管理装置１０から更新プログラムをプログラム更新管理システム１に送信する。もちろんこの場合もプログラムの更新履歴は更新履歴管理装置１０で管理される。プログラム更新管理システム１は、移動体Ｖの制御をおこなう移動体制御装置１００を有する移動体Ｖと、移動体制御装置１００に接続されて移動体の故障診断やプログラムの更新をおこなう移動体故障診断装置３００を含み、移動体故障診断装置３００は整備ＰＣ（パーソナルコンピュータ）２００と接続装置５０を有する。整備ＰＣ２００と接続装置５０は有線接続手段、具体的にはケーブル６２で接続され、接続装置５０と移動体制御装置１００も有線接続手段、具体的にはケーブル６１で接続される。具体的には有線接続に用いられるケーブルは、例えばＵＳＢケーブルであってもよい。もちろんケーブルは、移動体である車両と、車載式故障診断装置（ＯＢＤ：Ｏｎ－ＢｏａｒｄＤｉａｇｎｏｓｔｉｃｓ）とを接続する場合に一般的に用いられるＯＢＤコネクタを備えてよい。

図２は、第１の実施形態に係るプログラム更新管理システム１の構成図である。プログラム更新管理システム１は、移動体Ｖが有する移動体制御装置１００と、移動体故障診断装置３００を含む。移動体故障診断装置３００は、整備ＰＣ２００と接続装置５０を含む。整備ＰＣ２００はネットワークＮと通信をおこなう通信部２３１と、情報が入力される入力部２３２と、画像等で情報が表示される表示部２３３と、整備ＰＣ２００全体の制御をおこなう制御部２０１と、外部との情報の送受信をおこなうための接続部であるＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）コネクタ２３４と、接続装置５０と情報の送受信をおこなうためのインターフェイス２３５を備える情報処理装置である。接続装置５０は、移動体故障診断装置３００と移動体制御装置１００の間に設けられ、制御をおこなう制御部５１と、情報が入力される入力部５５と、情報が出力される表示部５４と、整備ＰＣ２００との情報の送受信をおこなうためのインターフェイスである外部インターフェイス５３と、移動体制御装置１００との情報の送受信をおこなうための車両側インターフェイス５２を有する。接続装置５０は、ＶＣＩ（ＶｅｉｃｌｅＣｏｎｔｒｏｌＩｎｔｅｒｆａｃｅ）であってよい。

移動体制御装置１００は、接続装置５０とケーブル６１で接続される接続コネクタであるＤＬＣ（ＤａｔａＬｉｎｋＣｏｕｐｌｅｒ）１２１と、車載機器１０１と、移動体Ｖの備える各装置を制御する制御装置である個別のＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ：電子制御装置）を管理する管理ＥＣＵ１１０と、情報が入力される入力部１２５と、情報が出力される出力部１２６を備える。入力部１２５は、車載のＩＶＩ（Ｉｎ－ＶｅｈｉｃｌｅＩｎｆｏｔａｉｎｍｅｎｔ）システムにおけるタッチパネルであってよい。出力部１２６はＩＶＩが備える画像表示装置や、メーター部分に設けられた画像表示装置であってよい。出力部１２６は、例えば運転者席のインスツルメントパネルに設けられてよい。具体的に出力部１２６は、メーターパネルに組み込まれた、いわゆるマルチインフォメーション・ディスプレイ（ＭＩＤ：ＭｕｌｔｉＩｎｆｏｒｍａｔｉｏｎＤｉｓｐｌａｙ）として構成されてもよい。出力部１２６は音声を出力するスピーカであってもよい。また出力部１２６は、ハザードランプであってもよい。

車載機器１０１は、車両に搭載される複数の装置と、それらを制御する電子制御装置（ＥＣＵ：ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）を含んで構成されている。装置としては、例えば、無線通信をおこなうためのＴＣＵ（ＴｅｌｅｍａｔｉｃｓＣｏｎｔｒｏｌＵｎｉｔ）１２２を含んでよい。またＩＶＩシステム１３１と、エンジン１５２を制御するエンジンＥＣＵ１３２と、シフト装置１５３を制御するシフトＥＣＵ１３３と、ステアリグ装置１５４を制御するステアリングＥＣＵ１３４と、メーター１５５を制御するメーターＥＣＵ１３５を含んでよい。各ＥＣＵは、バス１０２を介して管理ＥＣＵ１１０と接続されて、プログラム（ソフトウェア）を含む情報の送受信をおこなう。

ＩＶＩシステム１３１は、ソフトウェアＳＷ－ＩＶＩ１４１を実行することでその機能を実現し、エンジンＥＣＵ１３２は、ソフトウェアＳＷ－ＥＧ１４２を実行することでその機能を実現し、シフトＥＣＵ１３３は、ソフトウェアＳＷ－ＳＦ１４３を実行することでその機能を実現し、ステアリングＥＣＵ１３４は、ソフトウェアＳＷ－ＳＴ１４４を実行することでその機能を実現し、メーターＥＣＵ１３５は、ＳＷ－ＭＴ１４５を実行することでその機能を実現する。そして各ソフトウェアはケーブル６１を用いた有線接続を介し、プログラム更新管理システム１によりプログラムが更新される。

ＥＣＵは具体的にはＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）等のプロセッサ、プログラムが書き込まれたＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、データの一時記憶のためのＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等を有するコンピュータである。具体的には更新履歴管理装置１０から整備ＰＣ２００を介して受信したプログラムをコンピュータであるＥＣＵが実行することで上記制御が実行される。上記各ＥＣＵに代えて又はこれに加えて、上記各ＥＣＵの全部又は一部を、それぞれ一つ以上の電子回路部品を含むハードウェアにより構成することもできる。

図３は、移動体Ｖと、整備ＰＣ２００の機能ブロック図である。整備ＰＣ２００は、制御部２０１と、ＵＳＢコネクタ２３４と、インターフェイス２３５を有する。制御部２０１は、情報を記憶する記憶部２２０と、記憶部２２０に記憶される情報を処理するプロセッサ２１０を有する。プロセッサ２１０は、いわゆるＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）であってよい。記憶部２２０は整備ＰＣ２００や接続装置５０の制御をおこなうプログラムを格納する制御プログラム格納領域２２１と、ＥＣＵの更新プログラムを格納するＳＷ格納領域を有する。記憶部２２０はＨＤＤ（ハードディスクドライブ）やＳＳＤ（ソリッドステートドライブ）であってよい。図３では記憶部２２０に更新プログラムが格納される態様を示したが、更新プログラムについては、整備ＰＣ２００の内部には保持せず、ＵＳＢコネクタ２３４を介してメモリデバイス６０から直接読み込んでもよい。プロセッサ２１０は、記憶部２２０の制御プログラム格納領域２２１に格納される制御プログラムを実行することで、外部と情報の送受信をおこなう通信部２３１を制御する通信制御部２１１と、更新履歴管理装置１０（図１参照）から更新プログラムを取得する取得部２１２と、接続装置５０を介して、移動体制御装置１００のＥＣＵに更新プログラムを書き込む書き込み部２１３と、更新プログラムに基づいた更新が完了し、さらに当該完了に関する情報を更新履歴管理装置１０に対して通知したことを示す完了通知情報を取得する完了通知情報取得部２１４の機能を実現する。

更新プログラムは、有線ケーブルで接続されるインターフェイス２３５と接続装置５０を介して、移動体制御装置１００のＤＬＣ１２１へと送信され、管理ＥＣＵ１１０が、車載機器１０１の制御をおこなう個別ＥＣＵへ更新プログラムを送信する。管理ＥＣＵ１１０は、出力部１２６の制御をおこなう出力制御部１１１と、更新プログラムの管理をおこなうＳＷ管理部１１４と、各ＥＣＵを制御する個別ＥＣＵ制御部１１６の機能を実現する。

具体的にはプログラム更新管理システム１が、プログラム更新をおこなう処理を行っている間、処理中であることを示す出力を出力部１２６がおこなうように出力制御部１１１は制御する。出力は、例えば処理中であることを示す画像であり画像表示装置に継続的に表示されてよい。他の例としては、出力は出力部１２６から発せられる警報音であってもよく、ハザードランプを所定の周期にて点滅させることであってもよい。

なお更新履歴管理装置１０は更新プログラムを管理するサーバであってよい。更新履歴管理装置１０は、移動体制御装置１００の各ＥＣＵにインストールされたプログラムのバージョン管理を行い、法令に則った状態にあるかどうかを判定することが望ましい。プログラム更新管理システム１の動作については図４と図５で詳細に説明する。また更新履歴管理装置１０と整備ＰＣ２００は、ネットワークＮを介して常時接続されてよい。

［１－２．プログラム更新管理システムの動作］
図４は、第１の実施形態に係るプログラム更新管理システム１によるプログラム更新管理のフローチャートである。

まず移動体故障診断装置３００は、移動体制御装置１００の更新プログラム、具体的には移動体Ｖに搭載された各装置の制御をおこなう個別ＥＣＵの更新プログラムを、更新履歴管理装置１０に要求する（ステップＳ１）。更新履歴管理装置１０は、その要求に応じて更新プログラムを移動体故障診断装置３００に送信する。移動体故障診断装置３００は、移動体制御装置１００の出力制御部１１１へ所定の出力をおこなうように指示する。具体的には書き込み部２１３が出力フラグに１を入力する（ステップＳ２）。移動体制御装置１００は、出力フラグが１になったことに応じて、出力部１２６が所定の出力をおこなうように制御する（ステップＳ３）。移動体故障診断装置３００は、移動体制御装置１００の個別ＥＣＵに更新プログラムを書き込む（ステップＳ４）。次に移動体故障診断装置３００は、更新プログラムの書き込みが完了したかどうかを判定する（ステップＳ５）。更新プログラムが完了していない場合（ステップＳ５：ＮＯ）、移動体故障診断装置３００は、更新プログラムの書き込みの進捗状況についての情報である書き込み進捗情報を更新履歴管理装置１０へ送信し（ステップＳ７）、ステップＳ５に戻る。更新プログラムの書き込みが完了した場合（ステップＳ５：ＹＥＳ）、移動体故障診断装置３００は、更新プログラムの書き込みが完了した旨を示す書き込み完了情報を更新履歴管理装置１０へ送信する。更新履歴管理装置１０は、書き込み完了情報を受けて、移動体Ｖの車両識別番号に紐づけられたプログラム更新履歴を更新する（ステップＳ１０）。また移動体故障診断装置３００は、移動体制御装置１００へプログラムの更新が完了したことを示す完了通知情報を送信する。すなわち完了通知情報を完了通知情報取得部２１４が取得して、その完了通知情報を移動体制御装置１００へ送る。具体的には書き込み部２１３が出力フラグに０を入力する（ステップＳ８）。移動体制御装置１００の出力制御部１１１は出力フラグが０になったことを受けて、所定の出力を停止するように出力部１２６を制御する（ステップＳ９）。具体的には、出力部１２６である画像表示部に表示されていた処理中であることを示す画像を消去する。

図５は、移動体故障診断装置３００の更新作業者や移動体Ｖの管理者が、プログラムの更新を完了したと考えた後においても、出力部１２６が処理中であることを示す出力を行っている場合のプログラム更新管理システム１の動作を示す。

まず移動体故障診断装置３００が更新履歴管理装置１０に対して、予め定められたプログラム構成を要求する（ステップＴ１）。予め定められたプログラム構成は、法令に則った更新プログラムの組み合わせについての情報を含む。更新履歴管理装置１０は、要求に応じてその時点で移動体Ｖに適したプログラム構成についての情報を移動体故障診断装置３００へ送信する。具体的には移動体Ｖの車両識別番号に紐づけられたプログラム構成についての情報を移動体故障診断装置３００へ送信する。次に移動体故障診断装置３００は、移動体制御装置１００に対して、移動体制御装置１００におけるＥＣＵを制御するプログラムの更新履歴を要求する。具体的には、個別ＥＣＵにおける更新プログラムのバージョン情報を移動体制御装置１００に要求する（ステップＴ２）。この更新履歴要求に応じて移動体制御装置１００はその時点での更新履歴である第１更新履歴を移動体故障診断装置３００へ送信する。移動体故障診断装置３００は、第１更新履歴と、更新履歴管理装置１０から送信されたプログラム構成を比較して、一致するかどうかを判定する。具体的には個別ＥＣＵの更新されたプログラムのバージョンの組み合わせが更新履歴管理装置１０から送られた法令に適合したプログラム構成と一致するかどうかを判定する（ステップＴ３）。第１更新履歴とプログラム構成が一致する場合（ステップＴ３：ＹＥＳ）、出力部１２６が処理中を示す出力を行っているかどうかを判定する。具体的には出力フラグが１であるかどうかを判定する（ステップＴ５）。出力フラグが１である場合（ステップＴ５：ＹＥＳ）、書き込み部２１３が出力フラグに０を入力する。具体的には出力部１２６における所定の出力を停止するように出力制御部１１１に指示する（ステップＴ６）。移動体制御装置１００は出力フラグが０になったことに応じて、出力部１２６が所定の出力を停止するように出力制御部１１１を制御する。具体的には出力部１２６である画像表示部に表示されていた処理中であることを示す画像を消去する。第１更新履歴とプログラム構成が一致しない場合（ステップＴ３：ＮＯ）、法令不適合時の動作へ遷移する（ステップＴ４）。本明細書では法令不適合時のフローについては説明しないが、法令不適合時には移動体故障診断装置３００は、移動体制御装置１００が、法令に適合した更新プログラムの組み合わせを実現するように個別ＥＣＵにおける制御プログラムを更新することが望ましい。

［２－１．第２の実施形態に係る移動体故障診断装置の構成］
第２の実施形態に係る移動体故障診断装置３００は、移動体Ｖの制御をおこなうＥＣＵに対してプログラムの更新プログラムを書き込む書き込み部２１３（図３参照）と、書き込み部２１３の書き込みについての進捗に関する情報をプログラムの更新履歴を管理する更新履歴管理装置１０（図１参照）に送信する通信部２３１を制御する通信制御部２１１と、更新履歴管理装置１０に進捗に関する情報を送信するまでの間、所定の出力をおこなうように、移動体制御装置１００の出力部１２６を制御する出力制御部１１１とを有する。
第２の実施形態に係る移動体故障診断装置３００の構成は、第１の実施形態に係るプログラム更新管理システム１が含む移動体故障診断装置３００の構成と同様なので詳細な記載を省略する。

［２－２．移動体故障診断装置の動作］
第２の実施形態に係る移動体故障診断装置３００の動作は、第１の実施形態に係るプログラム更新管理システム１が含む移動体故障診断装置３００の動作（図４と図５を参照）と同様なので詳細な記載は省略する。
［３．第３の実施形態に係るプログラム更新管理方法］
第３の実施形態に係るプログラム更新管理方法は、情報を出力する出力部を有する移動体を制御するプログラムを更新し管理するプログラム更新管理方法であって、前記移動体の制御をおこなうＥＣＵに対して前記プログラムの更新プログラムを書き込む書き込みステップと、前記書き込みステップの書き込みにおける進捗に関する書き込み進捗情報を、前記プログラムの更新履歴を管理する更新履歴管理装置に送信する通信制御ステップと、前記更新履歴管理装置に前記進捗に関する情報を送信するまでの間、所定の出力をおこなうように前記出力部を制御する出力制御ステップとを有する。
［４．他の実施形態］
上記実施形態では、更新プログラムの個別ＥＣＵへのインストールは、整備ＰＣ２００の書き込み部２１３がおこなう例を示したが、管理ＥＣＵ１１０がおこなってもよい。このとき更新プログラムを更新履歴管理装置１０から取得する動作も移動体制御装置１００がおこなうことも考えられる。

上記実施形態では、更新プログラムを移動体故障診断装置３００が新たに個別ＥＣＵへ書き込む態様を示したが、更新プログラムは予め個別ＥＣＵにインストールされていて、移動体故障診断装置３００からの指示で、移動体Ｖで利用可能な状態にされてもよい。このとき各更新プログラムが利用可能な状態にされたことを示すアクティベート情報が更新履歴管理装置１０へ送信されることも考えられる。具体的には更新プログラムの書き込みについての進捗に関する書き込み進捗情報を、移動体制御装置１００が更新履歴管理装置１０に送信する場合、書き込み進捗情報には書き込まれた更新プログラムが移動体Ｖで利用可能な状態にされたことを示すアクティベート情報が含まれる。

また上記実施形態では、更新履歴管理装置１０から更新プログラムを取得する態様を示したが、更新プログラムはメモリデバイス６０等で配布し、プログラムの更新履歴の管理だけを更新履歴管理装置１０がおこなってもよい。またＳＷ格納領域２２２に更新プログラムを記憶する態様を示したが、セキュリティレベルを高めるために更新プログラムを記憶部２２０に格納させないことも考えられる。

［５．上記実施形態によりサポートされる構成］
上記実施形態は、以下の構成をサポートする。

（構成１）移動体Ｖを制御するプログラムを更新し管理する移動体故障診断装置３００と、前記移動体Ｖに備えられて該移動体Ｖの動作を制御する移動体制御装置１００と、を備えるプログラム更新管理システム１であって、前記プログラムの更新について更新履歴を管理する更新履歴管理装置１０から、更新プログラムを取得する取得部２１２と、前記更新プログラムを前記移動体Ｖが含む装置の制御をおこなう個別ＥＣＵに書き込む書き込み部２１３と、前記更新プログラムの書き込みについての進捗に関する書き込み進捗情報を前記プログラムの前記更新履歴管理装置１０に送信する通信部２３１を制御する通信制御部２１１と、を有し、前記移動体Ｖは、情報を出力する出力部１２６を備え、前記プログラムは、前記移動体故障診断装置３００を介して前記移動体制御装置１００にインストールされ、前記移動体制御装置１００は、前記出力部１２６を制御する出力制御部１１１と、前記移動体Ｖが含む前記装置の制御をおこなう前記個別ＥＣＵと、を備え、前記出力制御部１１１は、前記移動体故障診断装置３００が、前記更新履歴管理装置１０に前記進捗に関する情報を送信するまでの間、所定の出力をおこなうように前記出力部１２６を制御する、ことを特徴とするプログラム更新管理システム。
構成１のプログラム更新管理システムによれば、移動体の制御に利用されるプログラムの更新処理中に、ケーブル抜けや断線などのトラブルが生じた場合、更新作業者や移動体の管理者に更新処理の進捗を報知することができる。そのためプログラムが適正に履歴管理可能になる効果を奏する。

（構成２）前記書き込み進捗情報には、前記個別ＥＣＵへの前記更新プログラムの書き込みが完了したことを示す書き込み完了情報が含まれる、ことを特徴とする構成１に記載のプログラム更新管理システム。
構成２のプログラム更新管理システムによれば、プログラムの更新が完了したことを更新作業者や移動体の管理者に報知することができるので、プログラムが適正に更新されたことを確認できる。

（構成３）前記書き込み進捗情報には、書き込まれた前記更新プログラムが前記移動体Ｖで利用可能な状態にされたことを示すアクティベート情報が含まれる、ことを特徴とする構成１又は構成２に記載のプログラム更新管理システム。
構成３のプログラム更新管理システムによれば、予め更新プログラムは移動体を制御する移動体制御装置に記憶されているが利用不可能な状態に置かれていて、条件が整った場合にアクティベートされて利用可能な状態になる態様においても、移動体ごとにどのようなプログラムが利用可能にされているかという履歴を管理することができる。

（構成４）前記移動体故障診断装置３００から取得した前記更新プログラムに基づいた更新が完了し、さらに当該完了に関する情報を前記更新履歴管理装置１０に対して通知したことを示す完了通知情報を取得する完了通知情報取得部２１４を有し、前記出力制御部１１１は前記完了通知情報に基づいて前記所定の出力を停止する、ことを特徴とする構成１から構成３のうちのいずれかに記載のプログラム更新管理システム。
構成４のプログラム更新管理システムによれば、プログラムの更新が完了したことを更新履歴管理装置に通知することができるので、プログラムの更新管理が適切に行われる。またプログラムの更新が完了したことを受けて更新処理中であったことを示す出力を停止することができるので、更新作業者や移動体の管理者へプログラムの更新が完了したことを報知することができる。

（構成５）前記移動体Ｖはセルラー通信をおこなう通信装置を備えない構成１から構成４のうちのいずれかに記載のプログラム更新管理システム。
構成５のプログラム更新管理システムによれば、プログラムの更新をセルラー通信によっておこなえない移動体であってもプログラムの更新履歴を適正に管理することができる。

（構成６）前記通信制御部２１１及び前記取得部２１２は前記移動体故障診断装置３００に備えられ、前記移動体制御装置１００と前記移動体故障診断装置３００とは有線通信手段を介して接続され、前記更新プログラムの取得と、前記更新プログラムの書き込みと、前記書き込み進捗情報についての前記更新履歴管理装置１０への送信と、は、前記有線通信手段を介して行われる、ことを特徴とする構成１から構成５のうちのいずれかに記載のプログラム更新管理システム。
構成６のプログラム更新管理システムによれば、プログラムの更新と更新履歴の管理を有線通信手段でおこなうので、セキュリティレベルを上げることができる。また書き込み進捗情報の送受信についても確実におこなうことができるのでプログラムの更新履歴を適正に管理することができる。

（構成７）前記移動体制御装置１００にインストールされた前記プログラムの更新履歴である第１更新履歴と、予め定められたプログラム構成が一致している場合で、且つ、前記出力部１２６が前記所定の出力をおこなっている状態であると判定された場合に、前記移動体故障診断装置３００が、前記出力制御部１１１に対して前記所定の出力を停止するように指示することを特徴とする構成１から構成６のうちのいずれかに記載のプログラム更新管理システム。
構成７のプログラム更新管理システムによれば、更新されたプログラムが、法に適合したプログラム構成になっていることを確認した後に、更新作業者や移動体の管理者へプログラムの更新処理が完了したことを報知できる。

（構成８）情報を出力する出力部１２６を有する移動体Ｖを制御するプログラムを更新し管理する移動体故障診断装置３００であって、前記移動体Ｖの制御をおこなうＥＣＵに対して前記プログラムの更新プログラムを書き込む書き込み部２１３と、前記書き込み部２１３の書き込みについての進捗に関する情報を前記プログラムの更新履歴を管理する更新履歴管理装置１０に送信する通信部２３１を制御する通信制御部２１１と、前記更新履歴管理装置１０に前記進捗に関する情報を送信するまでの間、移動体制御装置１００の有する出力部１２６が所定の出力をおこなうように制御する制御信号を書き込む書き込み部２１３とを有することを特徴とする移動体故障診断装置。
構成８の移動体故障診断装置によれば、移動体の制御に利用されるプログラムの更新処理中に、ケーブル抜けや断線などのトラブルが生じた場合、更新作業者や移動体の管理者に更新処理の進捗を報知することができる。そのためプログラムが適正に履歴管理可能になる効果を奏する。

（構成９）情報を出力する出力部１２６を有する移動体Ｖを制御するプログラムを更新し管理するプログラム更新管理方法であって、前記移動体Ｖの制御をおこなうＥＣＵに対して前記プログラムの更新プログラムを書き込む書き込みステップと、前記書き込みステップの書き込みにおける進捗に関する書き込み進捗情報を、前記プログラムの更新履歴を管理する更新履歴管理装置１０に送信する通信制御ステップと、前記更新履歴管理装置１０に前記進捗に関する情報を送信するまでの間、所定の出力をおこなうように前記出力部１２６を制御する出力制御ステップとを有する、ことを特徴とするプログラム更新管理方法。
構成９のプログラム更新管理方法によれば、移動体の制御に利用されるプログラムの更新処理中に、ケーブル抜けや断線などのトラブルが生じた場合、更新作業者や移動体の管理者に更新処理の進捗を報知することができる。そのためプログラムが適正に履歴管理可能になる効果を奏する。

以上のように、本出願において開示する技術の例示として、実施の形態を説明した。しかしながら、本開示における技術は、これに限定されず、変更、置き換え、付加、省略などを行った実施の形態にも適用できる。また、上記実施の形態で説明した各構成要素を組み合わせて、新たな実施の形態とすることも可能である。

例えば、図４、図５に示す制御動作のステップ単位は、プログラム更新管理システム１の各部の動作の理解を容易にするために、主な処理内容に応じて分割したものであり、処理単位の分割の仕方や名称によって、本発明が限定されることはない。処理内容に応じて、さらに多くのステップ単位に分割してもよい。また、１つのステップ単位がさらに多くの処理を含むように分割してもよい。また、そのステップの順番は、本発明の趣旨に支障のない範囲で適宜に入れ替えてもよい。

１プログラム更新管理システム
１０更新履歴管理装置
３０無線配信サーバ
５０接続装置
５１制御部
５２車両側インターフェイス
５３外部インターフェイス
５４表示部
５５入力部
６０メモリデバイス
６１ケーブル
６２ケーブル
１００移動体制御装置
１０１車載機器
１０２バス
１１０管理ＥＣＵ
１１１出力制御部
１１４ＳＷ管理部
１１６個別ＥＣＵ制御部
１２１ＤＬＣ
１２２ＴＣＵ
１２３ＧＰＳユニット
１２４ＵＳＢコネクタ
１２５入力部
１２６出力部
１３１ＩＶＩシステム
１３２エンジンＥＣＵ
１３３シフトＥＣＵ
１３４ステアリングＥＣＵ
１３５メーターＥＣＵ
１４１ＳＷ－ＩＶＩ
１４２ＳＷ－ＥＧ
１４３ＳＷ－ＳＦ
１４４ＳＷ－ＳＴ
１４５ＳＷ－ＭＴ
１５２エンジン
１５３シフト装置
１５４ステアリング装置
１５５メーター
２００整備ＰＣ
２０１制御部
２１０プロセッサ
２１１通信制御部
２１２取得部
２１３書き込み部
２１４完了通知情報取得部
２２０記憶部
２２１制御プログラム格納領域
２２２ＳＷ格納領域
２３１通信部
２３２入力部
２３３表示部
２３４ＵＳＢコネクタ
２３５インターフェイス
３００移動体故障診断装置
Ｂ基地局
Ｖ移動体（車両）
Ｎ通信ネットワーク

Claims

移動体を制御するプログラムを更新し管理する移動体故障診断装置と、
更新プログラムを管理する更新履歴管理装置と、
前記移動体に備えられて該移動体の動作を制御する移動体制御装置と、
を備えるプログラム更新管理システムであって、
前記移動体は、情報を出力する出力部と、前記出力部を制御する出力制御部と、個別ＥＣＵと、を備え、
前記移動体故障診断装置は、
前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する前記更新履歴管理装置から、前記更新プログラムを取得する取得部と、
前記更新プログラムを、前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに書き込む書き込み部と、
通信部を制御して、前記更新プログラムの書き込みが完了していない場合に、前記更新プログラムの書き込みの進捗に関する書き込み進捗情報を前記更新履歴管理装置に送信し、前記更新プログラムの書き込みが完了した場合に、前記更新プログラムの書き込みが完了した旨を示す書き込み完了情報を前記更新履歴管理装置に送信する通信制御部と、
を有し、
前記更新履歴管理装置は、予め定められたプログラム構成を前記移動体故障診断装置に送信し、
前記移動体故障診断装置は、前記更新履歴管理装置から前記プログラム構成を取得し、前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定可能であり、
前記出力制御部は、前記移動体故障診断装置が前記更新プログラムの書き込みを開始する際に、前記出力部による所定の出力を開始し、
前記移動体故障診断装置から前記移動体制御装置にプログラムの更新が完了したことを示す完了通知情報が送信されたことに対応して、前記所定の出力を停止し、
前記移動体故障診断装置は、前記移動体故障診断装置によるプログラムの更新が実行されていないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止させる
ことを特徴とするプログラム更新管理システム。
前記移動体故障診断装置は、前記個別ＥＣＵに書き込まれた前記更新プログラムが前記移動体で利用可能な状態にされたことを示すアクティベート情報を前記更新履歴管理装置に送信する、ことを特徴とする請求項１に記載のプログラム更新管理システム。
前記移動体制御装置は、前記移動体故障診断装置によるプログラムの更新が完了したことを示す完了通知情報を前記移動体故障診断装置から取得する完了通知情報取得部を有し、
前記出力制御部は前記完了通知情報に基づいて前記所定の出力を停止する、ことを特徴とする請求項１又は請求項２に記載のプログラム更新管理システム。
前記移動体はセルラー通信をおこなう通信装置を備えない、ことを特徴とする請求項１から請求項３のうちのいずれか一項に記載のプログラム更新管理システム。
前記通信制御部及び前記取得部は前記移動体故障診断装置に備えられ、
前記移動体制御装置と前記移動体故障診断装置とは有線通信手段を介して接続され、
前記更新プログラムの取得と、
前記更新プログラムの書き込みと、
前記書き込み進捗情報についての前記更新履歴管理装置への送信と、
は、前記有線通信手段を介して行われる、ことを特徴とする請求項１から請求項４のうちのいずれか一項に記載のプログラム更新管理システム。
移動体を制御するプログラムを更新し管理する移動体故障診断装置であって、
情報を出力する出力部を有する前記移動体に設けられ、前記出力部を制御する出力制御部と、前記移動体が含む装置の制御をおこなう個別ＥＣＵと、を備える移動体制御装置に接続され、
前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する更新履歴管理装置から、更新プログラムを取得する取得部と、
前記更新プログラムを前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに書き込む書き込み部と、
を備え
前記書き込み部は、
予め定められたプログラム構成を前記更新履歴管理装置から取得し、前記更新プログラムの書き込みを開始する際に、前記移動体の前記出力制御部によって前記出力部による所定の出力を開始させ、プログラムの更新が完了したことに対応して前記所定の出力を停止させ、
前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定可能であり、
前記移動体故障診断装置によるプログラムの更新が実行されていないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止するように前記出力制御部を制御する
ことを特徴とする移動体故障診断装置。
情報を出力する出力部を有する移動体において、前記移動体が含む装置の制御をおこなう個別ＥＣＵのプログラムを、移動体故障診断装置によって更新し管理するプログラム更新管理方法であって、
前記プログラムの更新について、前記移動体の車両識別番号に紐づけられた更新履歴を管理する更新履歴管理装置から、更新プログラムを取得するステップと、
前記更新プログラムを前記移動体が含む装置の制御をおこなう前記個別ＥＣＵに対して前記プログラムの更新プログラムを書き込む書き込みステップと、を有し、
前記書き込みステップにおいては、予め定められたプログラム構成を前記更新履歴管理装置から取得し、前記更新プログラムの書き込みを開始する際に、前記移動体の前記出力部による所定の出力を開始させ、プログラムの更新が完了したことに対応して前記所定の出力を停止させ、
さらに、前記書き込みステップを実行していないときに、前記更新履歴管理装置から前記プログラム構成を取得して、前記移動体の前記個別ＥＣＵにインストールされた前記更新プログラムのバージョンの組み合わせが、前記更新履歴管理装置から取得した前記プログラム構成に適合するどうかを判定し、前記個別ＥＣＵのプログラムのバージョンの組み合わせが前記更新履歴管理装置から取得した前記プログラム構成と一致している場合であって、前記出力部によって前記所定の出力が行われている場合に、前記出力部による前記所定の出力を停止させるステップを有する、ことを特徴とするプログラム更新管理方法。