JP7439720B2 - 更新データを配信するサーバ、方法及びプログラム - Google Patents

Description

本開示は、電子制御ユニットのソフトウェアの更新データを配信するサーバ、方法及びプログラムに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ）が搭載されている。ＥＣＵは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが不揮発性の記憶部に記憶されるソフトウェアを実行することによりＥＣＵの制御機能を実現する。各ＥＣＵが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各ＥＣＵの機能を改善したり、新たな車両制御機能を追加したりすることができる。

ＥＣＵのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネット等の通信ネットワークとを無線で接続し、無線通信を介してサーバからソフトウェアをダウンロードし、ダウンロードしたソフトウェアをインストールすることによりＥＣＵのプログラム更新や追加を行うＯＴＡ（Over the Air）技術が知られている（例えば、特許文献１参照）。

ＯＴＡによるソフトウェアの更新は、車両のＩＧ－ＯＮまたは電源ＯＮ時に、車両に搭載された更新制御装置が、車両に搭載された通信機器を介して、車載装置のプログラムのバージョン情報をサーバに送信すること（更新確認）を契機として開始することができる（例えば、特許文献１参照）。更新制御装置は、サーバから更新データをダウンロードすると、車内の表示装置等に表示を行うことにより、更新データがあることをユーザに通知し、ボタン等の入力装置の操作によりユーザの承諾を受け付けたことを契機として、更新データのインストール及びアクティベートを行う。

特開２０１８－１８１３７７号公報

電波状況や故障等により、車両に搭載された通信モジュールがサーバと通信できないケースが想定される。また、車種や車両の用途等によっては、車両にサーバと通信するための通信モジュール自体が搭載されないことも考えられる。これらの場合、ＯＴＡにより電子制御ユニットのプログラムを更新できないため、改善の余地がある。

それ故に、本開示は、サーバと車両とが通信できない場合でも、電子制御ユニットのソフトウェアの更新を可能とするサーバ、方法及びプログラムを提供することを目的とする。

本開示に係るサーバは、車両に搭載された電子制御ユニットのソフトウェアの更新データを配信するサーバであって、車両に関する情報と、車両と通信可能な外部端末に関する情報と、を紐づけて記憶する記憶部と、更新データのダウンロード要求の受信に応じて、１）サーバと無線通信が可能な通信モジュールを車両が搭載している場合に、車両へ更新データを送信し、２）サーバと無線通信が可能な通信モジュールを車両が搭載していない場合に、外部端末へ更新データを送信する送信部と、を備える。

本開示に係る方法は、車両に搭載された電子制御ユニットのソフトウェアの更新データを配信する方法であって、車両に関する情報と、車両と通信可能な外部端末に関する情報と、を紐づけて記憶するステップと、更新データのダウンロード要求の受信に応じて、１）サーバと無線通信が可能な通信モジュールを車両が搭載している場合に、車両へ更新データを送信し、２）サーバと無線通信が可能な通信モジュールを車両が搭載していない場合に、外部端末へ更新データを送信するステップと、を備える。

本開示に係るプログラムは、車両に搭載された電子制御ユニットのソフトウェアの更新データを配信させるプログラムであって、コンピュータに、車両に関する情報と、車両と通信可能な外部端末に関する情報と、を紐づけて記憶するステップと、更新データのダウンロード要求の受信に応じて、１）サーバと無線通信が可能な通信モジュールを車両が搭載している場合に、車両へ更新データを送信し、２）サーバと無線通信が可能な通信モジュールを車両が搭載していない場合に、外部端末へ更新データを送信するステップと、を実行させる。

本開示によれば、サーバと車両とが通信できない場合でも、電子制御ユニットのソフトウェアの更新を可能とするサーバ、方法及びプログラムを提供できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 図１に示したサーバの概略構成を示すブロック図 図１に示したソフトウェア更新装置の概略構成を示すブロック図 図１に示した携帯端末の概略構成を示すブロック図 第１の実施形態に係るサーバの機能ブロック図 サーバが記憶する機器識別情報の一例を示す図 サーバが記憶する更新管理情報の一例を示す図 第１の実施形態に係るソフトウェア更新装置の機能ブロック図 第１の実施形態に係る携帯端末の機能ブロック図 第１の実施形態に係るサーバが実行する制御処理の一例を示すフローチャート 第１の実施形態に係るサーバが実行する更新データ配信処理の一例を示すフローチャート ソフトウェア更新装置が実行するソフトウェア更新処理の一例を示すフローチャート ソフトウェア更新装置が実行するソフトウェア更新処理の他の一例を示すシーケンス図 第２の実施形態に係るサーバが記憶する機器識別情報の一例を示す図 第２の実施形態に係るサーバが行う制御処理の一例を示すフローチャート

（第１及び第２の実施形態に共通の構成）
図１は、実施形態に係るネットワークシステムの全体構成を示すブロック図であり、図２は、図１に示したサーバの概略構成を示すブロック図であり、図３は、図１に示したソフトウェア更新装置の概略構成を示すブロック図であり、図４は、図１に示した携帯端末の概略構成を示すブロック図である。

図１に示すネットワークシステムは、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェアを更新するためのシステムであり、サーバ１（センタ）と、車両に搭載される車載ネットワーク２とを備える。

サーバ１は、ネットワーク５を介して車両に搭載されたソフトウェア更新装置１１と通信可能であり、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェア更新を管理する。

図２に示すように、サーバ１は、ＣＰＵ２１と、ＲＡＭ２２と、記憶装置２３と、通信装置２４とを備える。記憶装置２３は、ハードディスクやＳＳＤ等の読み書き可能な記憶媒体を備え、ソフトウェアの更新管理を実行するためのプログラムや、更新管理に用いる情報、電子制御ユニットの更新データを記憶する。サーバ１において、ＣＰＵ２１は、記憶装置２３から読み出したプログラムを、ＲＡＭ２２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置２４は、ネットワークを介してソフトウェア更新装置１１と通信を行う機器である。

車載ネットワーク２は、ソフトウェア更新装置１１（ＯＴＡマスタ）と、通信モジュール１２と、複数の電子制御ユニット１３ａ～１３ｄと、表示装置１４とを備える。ソフトウェア更新装置１１は、バス１５ａを介して通信モジュール１２と接続され、バス１５ｂを介して電子制御ユニット１３ａ及び１３ｂと接続され、バス１５ｃを介して電子制御ユニット１３ｃ及び１３ｄと接続され、バス１５ｄを介して表示装置１４と接続されている。ソフトウェア更新装置１１は、通信モジュール１２を介してサーバ１と無線での通信が可能である。また、ソフトウェア更新装置１１は、スマートフォンや電子キー等の携帯端末３と無線での通信が可能である。ソフトウェア更新装置１１は、サーバ１から配信される更新データに基づいて、電子制御ユニット１３ａ～１３ｄのうちの更新対象の電子制御ユニット（ターゲットＥＣＵ）のソフトウェア更新を制御する。ソフトウェア更新装置１１は、セントラルゲートウェイと称される場合もある。通信モジュール１２は、車載ネットワーク２とサーバ１とを接続する通信機器である。電子制御ユニット１３ａ～１３ｄは、車両の各部の動作を制御する。表示装置１４（ＨＭＩ）は、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新処理時に、更新データがあることの表示や、ユーザや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、更新結果の表示等の各種表示を行うために用いられる。表示装置１４としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、プログラムの更新処理時に必要な情報を表示可能なものであれば特に限定されない。尚、図１においては、４つの電子制御ユニット１３ａ～１３ｄを例示したが、電子制御ユニットの数は特に限定されない。また、図１に示すバス１５ｄには、表示装置１４以外の電子制御ユニットが更に接続されていても良い。

電子制御ユニット１３ａ～１３ｄは、ＣＰＵと、ＲＡＭと、不揮発性メモリ（ストレージ）と、通信装置とを備える。ＣＰＵは、不揮発性メモリから読み出したソフトウェア（プログラム）を、ＲＡＭを作業領域として用いて実行することにより、各電子制御ユニットの機能を実現する。ここで、電子制御ユニットには、ソフトウェアを格納するための１つのデータ格納領域（バンク）を有するものと、ソフトウェアを格納するための２つのデータ格納領域（バンク）を有するものとがある。電子制御ユニットのデータ格納領域には、電子制御ユニットの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラム等が格納される場合がある。１つのデータ格納領域を持つ電子制御ユニットにおいては、データ格納領域に更新データをインストールすることにより、電子制御ユニットのソフトウェアに影響が生じる。一方、２つのデータ格納領域を持つ電子ユニットにおいては、２つのデータ格納領域のうち、いずれか一方を読み出し対象の格納領域（運用面）とし、読み出し対象の格納領域に格納されるソフトウェアを実行する。読み出し対象でない他方の格納領域（非運用面）には、読み出し対象の格納領域（運用面）のプログラムの実行中に、バックグラウンドで更新データを書き込み可能である。ソフトウェア更新処理におけるアクティベート時には、ＣＰＵによるプログラムの読み出し対象の格納領域を切り替えることにより、更新版のソフトウェアを有効化することができる。

尚、本開示において、２つのデータ格納領域を有する電子制御ユニットには、不揮発性メモリが有する１面のデータ格納領域を擬似的に２面に区画し、一方の面のプログラムを実行中に他方の面にプログラムを書き込み可能にした「１面サスペンドメモリ」と呼ばれる構成のメモリを備えた電子制御ユニットと、１面のデータ格納領域を有する不揮発性メモリに加え、１面のデータ格納領域を有する拡張不揮発性メモリを備え、これら２つの不揮発性メモリを運用面及び非運用面として使用可能な電子制御ユニットも含まれる。

図３に示すように、ソフトウェア更新装置１１は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ３３と、記憶装置３４と、通信装置３５及び３６とを備える。ソフトウェア更新装置１１において、ＣＰＵ３１は、ＲＯＭ３３または記憶装置３４から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置３５は、図１に示したバス１５ａ～１５ｄを介して、通信モジュール１２、電子制御ユニット１３ａ～１３ｄ、表示装置１４と通信を行う機器である。また、通信機器３６は、携帯端末３と無線通信を行う機器であり、例えば、ＢＬＥ（Bluetooth（登録商標） Low Energy）、Ｗｉ－Ｆｉ（登録商標）、ＲＦ／ＬＦ通信等の通信方式により通信が可能である。

ここで、ソフトウェアの更新処理は、更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットの記憶領域に更新データをインストールするフェーズと、更新対象の電子制御ユニットにおいてインストールした更新版のソフトウェアを有効化するアクティベートのフェーズとからなる。

ダウンロードは、電子制御ユニットのソフトウェアを更新するための更新データをサーバ１から受信して記憶する処理である。ダウンロードのフェーズでは、更新データの受信だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含む。インストールは、ダウンロードした更新データに基づいて、更新対象の電子制御ユニットに車載機器の記憶部に更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールのフェーズでは、インストール実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含む。アクティベートは、インストールした更新版のプログラムを有効化（アクティベート）する処理である。アクティベートする制御は、アクティベート実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含む。

更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。また、更新データは、更新対象の電子制御ユニットを識別する識別子（ＥＣＵ ＩＤ）と、更新前のソフトウェアを識別する識別子（ＥＣＵ ソフトウェア ＩＤ）を含んでいても良い。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一または複数の電子制御ユニットの更新データが含まれる。

更新データが更新ソフトウェアそのものを含む場合は、インストールのフェーズにおいて、ソフトウェア更新装置が更新データ（更新ソフトウェア）を更新対象の電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、差分データあるいは分割データを含む場合、ソフトウェア更新装置１１が更新対象の電子制御ユニットに更新データを転送し、更新対象の電子制御ユニットが更新データから更新ソフトウェアを生成しても良いし、ソフトウェア更新装置１１が更新データから更新ソフトウェアを生成してから、更新ソフトウェアを更新対象の電子制御ユニットに転送しても良い。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データまたは分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ソフトウェア更新装置１１からのインストール要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にインストールを行っても良い。

更新ソフトウェアのアクティベートは、ソフトウェア更新装置１１からのアクティベート要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にアクティベートを行っても良い。

尚、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード・インストール・アクティベートの全てを連続して行う処理だけでなく、ダウンロード・インストール・アクティベートの一部のみを行う処理も含む。

図４に示すように、携帯端末３は、ＣＰＵ４１と、ＲＡＭ４２と、不揮発性メモリ等の記憶装置（ストレージ）４３と、通信装置４４とを備える。ＣＰＵ４１は、記憶装置４３から読み出したソフトウェア（プログラム）を、ＲＡＭ４２を作業領域として用いて実行することにより、種々の機能を実現する。携帯端末３は、本実施形態では、サーバ１及びソフトウェア更新装置１１と通信可能な端末装置であり、例えば、車両のキーとして利用される携帯機（ワイヤレスキー）やスマートフォン等である。携帯端末３と電子制御ユニット１３ｅとの通信方式は、特に限定されず、ＢＬＥ（Bluetooth（登録商標） Low Energy）、Ｗｉ－Ｆｉ（登録商標）、ＲＦ／ＬＦ通信等を利用することができる。

（第１の実施形態）
図５は、第１の実施形態に係るサーバの機能ブロック図であり、図６は、サーバが記憶する機器識別情報の一例を示す図であり、図７は、サーバが記憶する更新管理情報の一例を示す図である。

サーバ１は、第１記憶部２５と、第２記憶部２６と、通信部２７と、制御部２８とを備える。第１記憶部２５及び第２記憶部２６は、図２に示した記憶装置２３によって実現され、通信部２７及び制御部２８は、図２に示したＣＰＵ２１がＲＡＭ２２を用いて記憶装置２３に記憶されるプログラム（ソフトウェア更新装置１１の制御用プログラム）を実行することにより実現される。

第１記憶部２５は、機器識別情報と、更新管理情報とを記憶する。

機器識別情報は、図６に示すように、車両を識別する車両識別情報（車両ＩＤ）毎に、車両に搭載された通信モジュール１２を特定する情報と、ソフトウェア更新装置１１と通信可能な携帯端末３を特定する情報とを関連付けた情報である。通信モジュール１２を特定する情報及び携帯端末３を特定する情報は、例えば、サーバ１がデータの送信先を一意に指定することができる情報であり、例えば、ＩＰアドレスのようなネットワーク上のアドレスである。機器識別情報は、サーバ１が、通信モジュール１２を介した車両との通信により電子制御ユニットのソフトウェアの更新データを送信できない場合に、更新データの第２の送信先を取得するために用いる。図６の例では、車両ＩＤ「ＶＩＤ＿１００１」及び「ＶＩＤ＿１００２」で特定される車両には、通信モジュール１２及び携帯端末のアドレスが登録され、車両ＩＤ「ＶＩＤ＿１００３」で特定される車両には、携帯端末のアドレスが登録されている。

更新管理情報は、図７に示すように、車両を識別する車両識別情報（車両ＩＤ）毎に、無線通信によるソフトウェア更新の可否（ＯＴＡ可否）を示す情報と、車両に搭載された１以上の電子制御ユニットで利用可能なソフトウェアを示す情報とを関連付けた情報である。電子制御ユニットで利用可能なソフトウェアを示す情報として、例えば、複数の電子制御ユニットのそれぞれのソフトウェアの最新のバージョン情報の組み合わせが定義される。図６に示したように、車両ＩＤ「ＶＩＤ＿１００３」で特定される車両にはサーバ１と通信可能な通信モジュールが搭載されていないため、ＯＴＡ可否を示す情報として、「不可」が設定されている。

第２記憶部２６は、電子制御ユニットの更新データを記憶する。上述したように、更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。

通信部２７は、ソフトウェア更新装置１１からソフトウェアの更新確認要求を受信可能である。更新確認要求は、例えば、車両において電源またはイグニッションがオンされたときに、ソフトウェア更新装置１１からサーバ１へと送信される情報であって、電子制御ユニットの更新データがあるか否かの確認をサーバ１に要求するための情報である。通信部２７は、ソフトウェア更新装置１１から受信した更新確認要求に応答して、更新データの有無を示す情報をソフトウェア更新装置１１に送信する。また、通信部２７は、ソフトウェア更新装置１１から、配信パッケージの送信要求（ダウンロード要求）を受信可能である。通信部２７は、配信パッケージのダウンロード要求を受信すると、電子制御ユニットのソフトウェアの更新データを含む配信パッケージを、ダウンロード要求を行ったソフトウェア更新装置１１に送信する。また、通信部２７は、サーバ１とソフトウェア更新装置１１との間の通信が可能でない場合、電子制御ユニットの更新データがある旨を示す通知を、機器識別情報においてソフトウェア更新装置１１に関連付けられている携帯端末３に送信する。この場合、通信部２７は、携帯端末３からダウンロード要求を受信すると、電子制御ユニットのソフトウェアの更新データを含む配信パッケージを、ダウンロード要求を行った携帯端末３に送信する。

制御部２８は、通信部２７が更新確認要求を受信すると、第１記憶部２５に記憶される更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両のソフトウェアの更新データがあるか否かを判定する。制御部２８による更新データがあるか否かの判定結果は、通信部２７によってソフトウェア更新装置１１に送信される。制御部２８は、電子制御ユニットの更新データがあると判定した場合、ソフトウェア更新装置１１から配信パッケージのダウンロード要求を受信すると、第２記憶部２６に記憶される更新データを含む配信パッケージを生成する。この配信パッケージは、通信部２７によりソフトウェア更新装置１１に送信される。

また、制御部２８は、サーバ１とソフトウェア更新装置１１との通信の可否を判定する。制御部２８は、サーバ１とソフトウェア更新装置との通信が途絶している場合、または、ソフトウェア更新装置１１を備える車両に、ソフトウェア更新に必要な車載機器が搭載されていない場合に、サーバ１とソフトウェア更新装置１１（車両）との通信が可能でないと判定する。制御部２８は、通信部２７の通信ログに基づいて、サーバ１とソフトウェア更新装置１１間の通信（ＯＴＡに関する通信、あるいは、それ以外の通信）が所定期間に行われていない場合に、サーバ１とソフトウェア更新装置１１との通信が可能でないと判定することができる。あるいは、制御部２８は、更新管理情報に記録された各電子制御ユニットのソフトウェアのバージョンと最新のソフトウェアのバージョンとの差が所定以上である場合や、電子制御ユニットのソフトウェアの更新履歴において、電子制御ユニットのソフトウェア更新が一定期間記録されていない場合に、サーバ１とソフトウェア更新装置１１間の通信が可能でないと判定しても良い。車両にソフトウェア更新に必要な車載機器が搭載されているか否かは、図６に示した機器識別情報または図７に示した更新管理情報に基づいて判定することができる。ソフトウェア更新に必要な車載機器としては、上述した通信モジュール１２の他に、ユーザによる承諾処理を行うために利用されるカーナビゲーションシステム等の表示装置を備えた機器を例示することができる。

図８は、第１の実施形態に係るソフトウェア更新装置の機能ブロック図である。

ソフトウェア更新装置１１は、記憶部３７と、通信部３８と、制御部３９とを備える。記憶部３７は、図３に示した記憶装置３４によって実現され、通信部３８及び制御部３９は、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラム（ソフトウェア更新装置１１の制御用プログラム）を実行することにより実現される。

記憶部３７は、電子制御ユニット１３ａ～１３ｄのソフトウェア更新を実行するためのプログラムや、ソフトウェア更新を実行する際に用いる各種データの他、サーバ１からダウンロードしたソフトウェアの更新データを記憶する。

通信部３８は、車両の電源またはイグニッションがオンされたこと等を契機として、ソフトウェアの更新確認要求をサーバ１に送信する。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク２に接続される電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンとを含む。車両ＩＤ及び電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンは、サーバ１が車両ＩＤ毎に保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニットのソフトウェアの更新データがあるか否かを判定するために用いられる。また、制御部３９は、更新確認要求に対する応答としてサーバ１から更新データの有無を示す確認結果を受信し、確認結果に基づいて更新データの有無を判定する。いずれかの電子制御ユニットのソフトウェアの更新データがある場合、制御部３９は、配信パッケージのダウンロード要求をサーバ１に送信し、サーバ１から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種制御情報等を含んでいても良い。制御部３９は、サーバ１から更新データを含む配信パッケージを受信すると、受信した配信パッケージの真正性を検証する。

制御部３９は、更新データを含む配信パッケージがダウンロードされた後、更新データのインストール処理、アクティベート処理、インストール処理またはアクティベート処理の承諾要求処理を行う。制御部３９は、ソフトウェア更新の実行時に、承諾要求処理として、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を出力装置に出力させる処理と、ユーザからの操作入力を受け付ける処理とを行う。出力装置としては、車載ネットワーク２に設けられた表示装置１４や、音声による通知を行う音声出力装置等を利用できる。例えば、承諾要求処理において、表示装置１４を出力装置として用いる場合、制御部３９は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置１４に表示させ、ユーザまたは管理者が承諾した場合に承諾ボタンを押下する等の特定の入力操作を促す通知を表示装置１４に表示させる。また、制御部３９は、承諾要求処理において、電子制御ユニットのソフトウェアの更新データがあることを通知する文言やアイコン等を表示装置１４に表示させたり、ソフトウェア更新処理の実行中における制限事項等を表示装置１４に表示させたりする。

図９は、第１の実施形態に係る携帯端末の機能ブロック図である。

携帯端末３は、記憶部４６と、通信部４７と、制御部４８と、表示部４９とを備える。記憶部４６は、図４に示した記憶装置４３によって実現され、通信部４７及び制御部４８は、図４に示したＣＰＵ４１がＲＡＭ４２を用いて記憶装置４３に記憶されるプログラムを実行することにより実現される。

記憶部４６は、電子制御ユニット１３ａ～１３ｄのソフトウェア更新を実行するためのプログラムや、ソフトウェア更新を実行する際に用いる各種データの他、サーバ１からダウンロードしたソフトウェアの更新データを記憶する。

通信部４７は、サーバ１及びソフトウェア更新装置１１と無線での通信が可能である。通信部４７は、電子制御ユニットのソフトウェアの更新データがあることを示す通知をサーバ１から受信する。この通知は、サーバ１とソフトウェア更新装置１１との通信が可能でない場合に、サーバ１から送信される。通信部４７は、電子制御ユニットのソフトウェアの更新データがあることを示す通知を受信した場合、配信パッケージのダウンロード要求をサーバ１に送信し、サーバ１から送信される配信パッケージを受信することができる。通信部４７は、配信パッケージのダウンロード要求を、ユーザからの明示の指示に基づいてサーバ１に送信しても良いし、サーバ１からの上記通知に応答して自動的に送信しても良い。上述の通り、配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種制御情報等を含んでいても良い。携帯端末３及びソフトウェア更新装置１１の通信により、電子制御ユニットのソフトウェア更新を行う場合、通信部４７は、サーバ１からダウンロードした更新データをソフトウェア更新装置１１に転送する。

制御部４８は、更新データを含む配信パッケージがダウンロードされた後、ダウンロードされた更新データを用いて、ソフトウェア更新装置１１との無線通信により、電子制御ユニットのソフトウェアの更新処理を行う。携帯端末３が実行するソフトウェアの更新処理には、更新データのインストール処理、アクティベート処理、インストールまたはアクティベートの承諾要求処理が含まれる。制御部４８は、インストール処理において、ソフトウェア更新装置１１に対してインストールを指示する。制御部４８は、アクティベート処理において、ソフトウェア更新装置１１に対して更新後のソフトウェアの有効化を指示する。また、制御部４８は、承諾要求処理として、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を表示部４９に出力させ、ユーザの承諾を求める処理と、ソフトウェア更新に対するユーザの承諾を受け付ける処理とを行う。制御部４８は、表示部４９に加えて、携帯端末３が備える音声出力装置等に通知を出力させても良い。例えば、承諾要求処理において、制御部４８は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示部４９に表示させ、ユーザまたは管理者が承諾した場合に承諾ボタンを押下する等の特定の入力操作を促す通知を表示部４９に表示させる。また、制御部４８は、承諾要求処理において、電子制御ユニットのソフトウェアの更新データがあることを通知する文言や画像等を表示部４９に表示させたり、ソフトウェア更新処理の実行中における制限事項等を表示部４９に表示させたりする。

表示部４９は、表示画面を有し、制御部４８がソフトウェア（アプリケーション）を実行するのに伴う各種の表示内容を表示する。

図１０は、第１の実施形態に係るサーバが実行する制御処理の一例を示すフローチャートであり、より詳細には、サーバとソフトウェア更新装置との通信の可否を判定する処理の一例を示したものである。図１０の処理は、例えば、一定期間ごとに定期的に実行することができる。

ステップＳ１１において、制御部２８は、各車両におけるソフトウェアの更新状況を確認する。具体的には、制御部２８は、第１記憶部２５に記憶される更新管理情報（図７）を参照し、更新管理情報に記録された電子制御ユニットのソフトウェアのバージョンと、最新のソフトウェアのバージョンとの比較に基づいて、電子制御ユニットのソフトウェア更新が必要な車両のレコードを抽出する。例えば、図７の例において、ＥＣＵ１、ＥＣＵ２、ＥＣＵ３、ＥＣＵ４の最新のソフトウェアのバージョンが、２．０、２．０、１．４、１．０である場合、車両ＩＤ「ＶＩＤ＿１００１」で特定される車両は、最新のソフトウェアを保持しているため、ソフトウェア更新を必要としないが、車両ＩＤ「ＶＩＤ＿１００２」及び「ＶＩＤ＿１００３」で特定される車両は、ソフトウェア更新を必要とする。尚、説明を簡略化するため、図７に示す３台の車両は、車種が同じであり、同じ電子制御ユニットを搭載しているものとする。制御部２８は、車両ＩＤ「ＶＩＤ＿１００２」及び「ＶＩＤ＿１００３」で特定される車両のレコードを、ソフトウェア更新が必要な車両のレコードとして抽出する。尚、以下の説明では、ステップＳ１１で抽出された、ソフトウェア更新が必要な車両を「対象車両」という。その後、処理はステップＳ１２に進む。

ステップＳ１２において、制御部２８は、ソフトウェア更新が必要な車両があるか否かを判定する。制御部２８は、ステップＳ１１においてソフトウェア更新が必要な車両のレコードが抽出された場合に、ＹＥＳと判定する。ステップＳ１２の判定がＹＥＳの場合、処理はステップＳ１３に進み、それ以外の場合、処理を終了する。

ステップＳ１３において、制御部２８は、ステップＳ１１で特定した対象車両が、無線通信（ＯＴＡ）によるソフトウェア更新が可能な車両であるか否かを判定する。より詳細には、制御部２８は、ステップＳ１１で抽出した対象車両のレコードから、１つのレコードを選択する。制御部２８は、選択したレコードに含まれるＯＴＡ可否を示す情報に基づいて、ＯＴＡによるソフトウェア更新が可能であるか否かを判定する。ステップＳ１３の判定がＹＥＳの場合、処理はステップＳ１４に進み、それ以外の場合、処理はステップＳ１５に進む。

ステップＳ１４において、制御部２８は、所定期間内にサーバ１と車両（ソフトウェア更新装置１１）間で通信があったか否かを判定する。ステップＳ１４の判定は、通信部２７の通信ログに基づいて行うことができる。ステップＳ１４の判定がＹＥＳの場合、処理はステップＳ１７に進み、それ以外の場合、処理はステップＳ１５に進む。

ステップＳ１５において、制御部２８は、携帯端末の登録があるか否かを判定する。より詳細には、制御部１５は、機器識別情報（図６）を参照し、ステップＳ１３で選択したレコードの車両ＩＤに関連付けられた携帯端末の情報が登録されているか否かを判定する。ステップＳ１５の判定がＹＥＳの場合、処理はステップＳ１５に進み、それ以外の場合、処理はステップＳ１７に進む。

ステップＳ１６において、通信部２７は、電子制御ユニットのソフトウェア更新が必要であることを示す通知を、ステップＳ１３で選択したレコードの車両ＩＤに関連付けられた携帯端末に対して送信する。その後、処理はステップＳ１７に進む。

ステップＳ１７において、制御部２８は、ステップＳ１１で抽出した全ての対象車両のレコードが処理済みであるか否か（上記ステップＳ１３～Ｓ１６の処理を行ったか否か）を判定する。ステップＳ１７の処理がＹＥＳの場合、処理を終了し、それ以外の場合、ステップＳ１３に進む。

図１１は、第１の実施形態に係るサーバが実行する更新データ配信処理の一例を示すフローチャートである。図１１に示す制御処理は、例えば所定の時間間隔で繰り返し実行される。尚、機器識別情報、更新管理情報及び更新データは、図１１の制御処理の実行前に予め記憶部（第１記憶部２５、第２記憶部２６）に登録される、

ステップＳ２１において、通信部２７は、ソフトウェア更新装置１１から更新確認要求を受信したか否かを判定する。ステップＳ２１の判定がＹＥＳの場合、処理はステップＳ２２に進み、それ以外の場合、処理はステップＳ２３に進む。

ステップＳ２２において、通信部２７は、更新確認要求を送信した車両に対して、電子制御ユニットのソフトウェアの更新データがあるか否かを示す情報を送信する。更新データの有無は、例えば、制御部２８が、更新確認要求に含まれる車両ＩＤに関連付けて更新管理情報に記憶されているソフトウェアのバージョンの組み合わせと、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせとを比較し、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせが、更新管理情報に記憶されているバージョンの組み合わせより古い場合に、更新データがあると判定することができる。その後、処理はステップＳ２３に進む。

ステップＳ２３において、通信部２７は、更新データ（配信パッケージ）のダウンロード要求を受信したか否かを判定する。ステップＳ２３の判定がＹＥＳの場合、処理はステップＳ２４に進み、それ以外の場合、処理はステップＳ２１に進む。

ステップＳ２４において、制御部２８は、ステップＳ２３で受信したダウンロード要求の送信元が車両（ソフトウェア更新装置１１）であるか、携帯端末３であるかを判定する。ダウンロード要求の送信元が車両である場合、処理はステップＳ２５に進み、ダウンロード要求の送信元が携帯端末３である場合、処理はステップＳ２６に進む。

ステップＳ２５において、通信部２７は、制御部２８が生成した、ソフトウェアの更新データを含む配信パッケージをソフトウェア更新装置１１に送信する。その後、処理はステップＳ２１に進む。

ステップＳ２６において、通信部２７は、制御部２８が生成した、ソフトウェアの更新データを含む配信パッケージを携帯端末３に送信する。その後、処理はステップＳ２１に進む。

尚、図１１に示したステップＳ２５の処理は、サーバ１とソフトウェア更新装置１１とが通信可能である場合に実行される更新データの配信処理であり、ステップＳ２６の処理は、サーバ１とソフトウェア更新装置とが通信可能出ない場合に実行される更新データの配信処理である。

図１２は、ソフトウェア更新装置が実行するソフトウェア更新処理の一例を示すフローチャートである。図１２に示す制御処理は、ソフトウェア更新装置１１がサーバ１との通信により電子制御ユニットのソフトウェア更新を行う処理であり、例えば、車両の電源またはイグニッションがオンされたことを契機として実行される。

ステップＳ３１において、通信部３８は、車両ＩＤと電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンの組み合わせとを含む更新確認要求をサーバ１に送信する。その後、処理はステップＳ３２に進む。

ステップＳ３２において、通信部３８は、サーバ１から更新データの確認結果を受信する。その後、処理はステップＳ３３に進む。

ステップＳ３３において、制御部３９は、サーバ１から受信した確認結果に基づいて、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新データがあるか否かを判定する。ステップＳ３３の処理がＹＥＳの場合、処理はステップＳ３４に進み、それ以外の場合、処理を終了する。

ステップＳ３４において、通信部３８は、ダウンロード処理を実行する。より詳細には、通信部３８は、サーバ１に配信パッケージのダウンロード要求を送信し、ダウンロード要求に応答して送信される配信パッケージを受信し、受信した配信パッケージを記憶部３７に格納する。通信部３８は、受信した配信パッケージに含まれる更新データの真正性を検証する。ステップＳ３４において、ダウンロードの実行可否の判定や、サーバ１に対してダウンロードが完了したことの通知を行っても良い。その後、処理はステップＳ３５に進む。

ステップＳ５において、制御部３９は、更新対象の電子制御ユニットに対してインストール処理を実行する。ステップＳ３５のインストール処理は、インストールの実行可否の判断、ユーザにインストールの承諾を要求し、承諾の入力を受け付ける処理、ソフトウェア更新装置１１から更新対象の電子制御ユニットへの更新データの転送、更新対象の電子制御ユニットへのインストール要求、更新対象の電子制御ユニットへのインストールの検証要求等を含む。更新対象の電子制御ユニットは、ソフトウェア更新装置１１から受信した更新データを用いて更新版のソフトウェアを格納領域にインストールする。その後、処理はステップＳ３６に進む。

ステップＳ３６において、制御部３９は、更新対象の電子制御ユニットに対してアクティベート処理を実行する。ステップＳ２６のアクティベート処理は、アクティベートの実行可否の判断、ユーザにアクティベートの承諾を要求し、承諾の入力を受け付ける処理、更新対象の電子制御ユニットへのアクティベート要求等を含む。更新対象の電子制御ユニットは、実行対象のソフトウェアを更新板のソフトウェアに切り替えることにより、更新版のソフトウェアを有効化して起動する。その後、処理を終了する。

図１３は、ソフトウェア更新装置が実行するソフトウェア更新処理の他の一例を示すシーケンス図である。図１３に示す制御処理は、ソフトウェア更新装置１１が携帯端末３との通信により電子制御ユニットのソフトウェア更新を行う処理であり、例えば、携帯端末３またはソフトウェア更新装置１１に入力されたユーザからの指示を契機として実行される。

ステップＳ４１において、携帯端末３の通信部４７は、ソフトウェア更新装置１１に接続要求を送信する。ステップＳ４１の接続要求は、例えば、ユーザからの指示入力を契機として送信される。その後、処理はステップＳ４２に進む。

ステップＳ４２において、ソフトウェア更新装置１１の制御部３９は、接続要求を送信した携帯端末を認証するために認証処理を行う。認証処理の方法は特に限定されず、既知の認証処理を採用することができる。認証処理において、ソフトウェア更新装置１１は、携帯端末と複数回通信を行っても良い。尚、ステップＳ４２の認証処理は、ソフトウェア更新装置１１が行う代わりに、車両の解錠や始動時の認証を行う電子制御ユニットが行っても良い。この場合、電子制御ユニットのソフトウェア更新を、車両の電子キーとして使用される携帯端末３を利用して行うため、セキュリティを向上させることができる。その後、処理はステップＳ４３に進む。

ステップＳ４３において、ソフトウェア更新装置１１の通信部３８は、認証結果を携帯端末３に送信する。図１３の例では、ソフトウェア更新装置１１がステップＳ４３で認証に成功したことを示す認証結果を送信したものとする。その後、処理はステップＳ４４に進む。

ステップＳ４４において、携帯端末３の制御部４８は、更新データのダウンロードに対する許諾を求めるための許諾要求画面を表示部４９に表示させる。その後、処理はステップＳ４５に進む。

ステップＳ４５において、携帯端末３の制御部４８は、ダウンロードをユーザが許諾した旨の入力を受け付ける。制御部４８は、タッチパネルやボタン操作等により許諾した旨の入力が行われたことを検出すると、処理はステップＳ４６に進む。

ステップＳ４６において、携帯端末３の通信部４７は、記憶部４６に記憶される更新データをソフトウェア更新装置１１に転送する。その後、処理はステップＳ４７に進む。

ステップＳ４７において、ソフトウェア更新装置１１の制御部３９は、携帯端末３から受信した更新データの真正性をチェックする。その後、処理はステップＳ４８に進む。

ステップＳ４８において、ソフトウェア更新装置１１の通信部３８は、更新データの真正性のチェック結果を携帯端末３に送信する。図１３の例では、ソフトウェア更新装置１１がステップＳ４７で更新データが真正なもので合ったことを示すチェック結果を送信したものとする。その後、処理はステップＳ４９に進む。

ステップＳ４９において、携帯端末３の制御部４８は、更新データのインストールに対する許諾を求めるための許諾要求画面を表示部４９に表示させる。制御部４８は、例えば、電子制御ユニットのソフトウェア更新を開始する旨の表示と、必要に応じて、インストールに要する時間や、インストール中の制限事項や注意事項の表示を表示部４９に表示させる。その後、処理はステップＳ５０に進む。

ステップＳ５０において、携帯端末３の制御部４８は、タッチパネルや操作ボタン等の入力手段を用いたユーザによる操作入力を受け付ける。インストールを承諾する旨の操作入力は、例えば、表示部４９に表示された「承諾する」あるいは「更新を開始する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェアの更新開始（インストール）をすぐに承諾せず、後でソフトウェアの更新開始（インストール）を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができる。制御部４８は、タッチパネルやボタン操作等により許諾した旨の入力が行われたことを検出すると、処理はステップＳ５１に進む。

ステップＳ５１において、携帯端末の通信部４７は、更新データのインストールの指示をソフトウェア更新装置１１に送信する。その後、処理はステップＳ５２に進む。

ステップＳ５２において、ソフトウェア更新装置１１の制御部３９は、更新対象の電子制御ユニットに対してインストール処理を実行する。ステップＳ５２のインストール処理は、インストールの実行可否の判断、ソフトウェア更新装置１１から更新対象の電子制御ユニットへの更新データの転送、更新対象の電子制御ユニットへのインストール要求、更新対象の電子制御ユニットへのインストールの検証要求等を含む。更新対象の電子制御ユニットは、ソフトウェア更新装置１１から受信した更新データを用いて更新版のソフトウェアを格納領域にインストールする。その後、処理はステップＳ５３に進む。

ステップＳ５３において、ソフトウェア更新装置１１の通信部３８は、インストールが完了したことを示すインストール完了通知を携帯端末３に送信する。その後、処理はステップＳ５４に進む。

ステップＳ５４において、携帯端末３の制御部４８は、更新版のソフトウェアのアクティベートに対する許諾を求めるための許諾要求画面を表示部４９に表示させる。制御部４８は、例えば、電子制御ユニットのソフトウェア更新の準備が整い、電源またはイグニッションＯＦＦ等の特定の操作を行うことによりプログラムが更新される旨の表示と、必要に応じて、アクティベートに要する時間や、アクティベート中の制限事項や注意事項の表示を表示部４９に表示させる。その後、処理はステップＳ５５に進む。

ステップＳ５５において、携帯端末３の制御部４８は、タッチパネルや操作ボタン等の入力手段を用いたアクティベートを承諾する旨の操作入力を受け付ける。アクティベートを承諾する旨の操作入力は、例えば、表示部４９に表示された「承諾する」あるいは「更新する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェア更新（アクティベート）をすぐに承諾せず、後でソフトウェア更新を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができる。制御部４８は、タッチパネルやボタン操作等により許諾した旨の入力が行われたことを検出すると、処理はステップＳ５６に進む。

ステップＳ５６において、携帯端末の通信部４７は、更新版のソフトウェアのアクティベートの指示をソフトウェア更新装置１１に送信する。その後、処理はステップＳ５７に進む。

ステップＳ５７において、ソフトウェア更新装置１１の制御部３９は、更新対象の電子制御ユニットに対してアクティベート処理を実行する。ステップＳ５７のアクティベート処理は、アクティベートの実行可否の判断、承諾の入力を受け付ける処理、更新対象の電子制御ユニットへのアクティベート要求等を含む。更新対象の電子制御ユニットは、実行対象のソフトウェアを更新板のソフトウェアに切り替えることにより、更新版のソフトウェアを有効化して起動する。その後、処理を終了する。

尚、更新対象の電子制御ユニットが１つのデータ格納領域を持つ構成である場合、データ格納領域に更新データをインストールした時点で電子制御ユニットのソフトウェアに影響が及ぶため、インストール及びアクティベートを連続して行うことが好ましい。また、この場合、更新対象の電子制御ユニットが１つのデータ格納領域を持つ構成である場合、インストール実行前にインストール及びアクティベートに対する承諾要求処理を行い、アクティベート実行前の承諾要求処理を省略しても良い。

以上説明したように、本実施形態に係るサーバ１は、車両に搭載されたソフトウェア更新装置１１及びこれと通信可能な携帯端末（スマートフォン、スマートキー）の情報（アドレス等）を機器識別情報として保持している。サーバ１とソフトウェア更新装置１１との通信によりソフトウェア更新ができない場合、サーバ１において、対象車両のソフトウェア更新装置１１と通信可能な携帯端末３を介して、電子制御ユニットのソフトウェア更新を実行させることができる。したがって、サーバ１が車両と通信できない場合でも、電子制御ユニットのソフトウェアを適時に更新することが可能となる。また、サーバ１がソフトウェア更新装置との通信によるソフトウェア更新ができない場合、携帯端末３に対して更新データを選択的に送信して更新処理の実行を指示できるので、サーバ１と車両との通信によるソフトウェア更新と、携帯端末を介したソフトウェア更新とが並行して行われず、ソフトウェア更新の重複や不整合を防止できる。

また、本実施形態に係るサーバ１は、通信モジュール１２や表示装置１４等のソフトウェア更新に必要な車載機器が搭載されていない場合、携帯端末３の通信機能や表示画面を利用してソフトウェア更新を行うことが可能となる。

（第２の実施形態）
第２の実施形態に係るサーバについて、第１の実施形態との相違点を中心に説明する。

図１４は、第２の実施形態に係るサーバが記憶する機器識別情報の一例を示す図である。

図１４に示す機器識別情報は、車両を識別する車両識別情報（車両ＩＤ）毎に、車両に搭載された通信モジュール１２を特定する情報と、ソフトウェア更新装置１１と通信可能な携帯端末３を特定する情報とを優先度順に関連付けた情報である。第１の実施形態と同様に、ソフトウェア更新装置１１を特定する情報及び携帯端末３を特定する情報は、例えば、サーバ１がデータの送信先を一意に指定することができる情報であり、例えば、ＩＰアドレスのようなネットワーク上のアドレスである。本実施形態に係る機器識別情報は、サーバ１が、電子制御ユニットのソフトウェアの更新データの送信先を取得するために用いる。図１４の例では、車両ＩＤ「ＶＩＤ＿１００１」で特定される車両には、優先度が高い順に、通信モジュール１２及び携帯端末３のアドレスが登録され、車両ＩＤ「ＶＩＤ＿１００２」で特定される車両には、優先度が高い順に、携帯端末３及び通信モジュール１２のアドレスが登録されている。また、車両ＩＤ「ＶＩＤ＿１００３」及び「ＶＩＤ＿１００４」で特定される車両には、それぞれ、通信モジュール１２及び携帯端末３のアドレスが登録されている。図１４の例では、１つの車両ＩＤに対して２つの端末の情報が登録されているが、３以上の端末が優先度順に登録されていても良い。

図１５は、第２の実施形態に係るサーバが行う制御処理の一例を示すフローチャートである。

ステップＳ６１において、制御部２８は、各車両におけるソフトウェアの更新状況を確認する。具体的には、制御部２８は、第１記憶部２５に記憶される更新管理情報（図７）を参照し、更新管理情報に記録された電子制御ユニットのソフトウェアのバージョンと、最新のソフトウェアのバージョンとの比較に基づいて、電子制御ユニットのソフトウェア更新が必要な車両のレコードを抽出する。尚、以下の説明では、ステップＳ１１で抽出された、ソフトウェア更新が必要な車両を「対象車両」という。その後、処理はステップＳ６２に進む。

ステップＳ６２において、制御部２８は、ソフトウェア更新が必要な車両があるか否かを判定する。制御部２８は、ステップＳ６１においてソフトウェア更新が必要な車両のレコードが抽出された場合に、ＹＥＳと判定する。ステップＳ１２の判定がＹＥＳの場合、処理はステップＳ１３に進み、それ以外の場合、処理を終了する。

ステップＳ６３において、制御部２８は、ステップＳ６１で抽出した対象車両のレコードから１つのレコードを選択し、機器識別情報を参照して、選択したレコードの車両ＩＤに対応付けられた、最も優先度の高い端末が携帯端末３であるか否かを判定する。ステップＳ６３の判定がＹＥＳの場合、処理はステップＳ６４に進み、それ以外の場合、処理はステップＳ６５に進む。

ステップＳ６４において、通信部２７は、電子制御ユニットのソフトウェア更新が必要であることを示す通知を、ステップＳ６４で参照した携帯端末３に対して送信する。その後、処理はステップＳ６５に進む。

ステップＳ６５において、制御部２８は、ステップＳ６１で抽出した全ての対象車両のレコードが処理済みであるか否か（上記ステップＳ６３～Ｓ６５６の処理を行ったか否か）を判定する。ステップＳ６５の処理がＹＥＳの場合、処理を終了し、それ以外の場合、ステップＳ６３に進む。

本実施形態に係る機器識別情報を用いた場合、主たる端末（優先度高の端末）との通信ができない場合に、従たる端末（優先度低の端末）を更新データの第２の送信先として選択することができる。したがって、サーバ１が主たる端末と通信できない場合でも、従たる端末との通信を利用して、電子制御ユニットのソフトウェアを適時に更新することが可能となる。また、サーバ１は、主たる端末及び従たる端末のいずれかに更新データを選択的に送信して更新処理の実行を指示できるので、サーバ１と車両との通信によるソフトウェア更新と、携帯端末を介したソフトウェア更新とが並行して行われず、ソフトウェア更新の重複や不整合を防止できる。

また、本実施形態においては、機器識別情報に主たる端末として携帯端末３を登録することができるので、車両に通信モジュール１２や表示装置１４等のソフトウェア更新に必要な車載機器が搭載されていない場合に、電子制御ユニットのソフトウェアの更新データがあることを確実に通知することができる。また、機器識別情報に主たる端末として携帯端末３を登録した場合、予め登録した携帯端末を用いてソフトウェア更新を管理できるので、レンタカーやカーシェアリング等で複数台の車両を管理する場合に好適である。

（その他の変形例）
上記の各実施形態で例示したサーバ１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備えるコンピュータが実行する更新データの配信方法、あるいは、当該コンピュータに実行させる配信プログラム、配信プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。同様に、各実施形態で例示したソフトウェア更新装置１１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備える、車載されたコンピュータが実行する更新制御方法、あるいは、当該車載されたコンピュータに実行させる更新制御プログラム、更新制御プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。

上記の各実施形態では、車両側において、車載ネットワークに設けられたソフトウェア更新装置１１が、マスタ装置として、全ての電子制御ユニット１３ａ～１３ｄのプログラム更新を制御する例を説明したが、ソフトウェア更新装置１１を設ける代わりに、電子制御ユニット１３ａ～１３ｄのいずれか１つが更新制御機能を有しており、他の電子制御ユニットのプログラム更新を制御しても良い。また、ソフトウェア更新装置１１を設ける代わりに、ソフトウェア更新装置１１の更新制御機能を、車載ネットワーク２に有線で接続可能な外部機器に設け、この外部機器を用いて電子制御ユニット１３ａ～１３ｄのプログラム更新処理を行うことも可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１ サーバ
２ 車載ネットワーク
３ 携帯端末
５ ネットワーク
１１ ソフトウェア更新装置
１３ａ～１３ｄ 電子制御ユニット
２５ 第１記憶部
２６ 第２記憶部
２７ 通信部
２８ 制御部
２９ 第２通信部
４６ 記憶部
４７ 通信部
４８ 制御部
４９ 表示部

Claims (7)

1. 車両に搭載された電子制御ユニットのソフトウェアの更新データを配信するサーバであって、
   前記車両に関する情報と、前記車両と通信可能な外部端末に関する情報と、を紐づけて記憶する記憶部と、
   前記更新データのダウンロード要求の受信に応じて、
   １）前記サーバと無線通信が可能な通信モジュールを前記車両が搭載している場合に、前記車両へ前記更新データを送信し、
   ２）前記サーバと無線通信が可能な通信モジュールを前記車両が搭載していない場合に、前記外部端末へ前記更新データを送信する送信部と、
   を備えるサーバ。
2. 前記車両と無線通信可能であるかを判定する判定部を更に備え、
   前記判定部は、前記サーバと無線通信が可能な通信モジュールを前記車両が搭載している場合であって当該通信モジュールとの通信が途絶している場合、および、前記サーバと無線通信が可能な通信モジュールを前記車両が搭載していない場合に、前記車両と無線通信が可能でないと判定する請求項１に記載のサーバ。
3. 前記外部端末は、前記車両の電子キーである請求項１または２に記載のサーバ。
4. 前記記憶部は、前記車両に関する情報としての車両識別情報と、前記外部端末に関する情報としての前記外部端末のアドレスと、を紐づけて記憶する請求項１から３のいずれか１項に記載のサーバ。
5. 前記更新データは、前記電子制御ユニットが用いる更新ソフトウェアの圧縮データ、もしくは、当該更新ソフトウェアないし前記圧縮データを分割した分割データである請求項１から４のいずれか１項に記載のサーバ。
6. 車両に搭載された電子制御ユニットのソフトウェアの更新データを配信する方法であって、
   前記車両に関する情報と、前記車両と通信可能な外部端末に関する情報と、を紐づけて記憶するステップと、
   前記更新データのダウンロード要求の受信に応じて、
   １）サーバと無線通信が可能な通信モジュールを前記車両が搭載している場合に、前記車両へ前記更新データを送信し、
   ２）前記サーバと無線通信が可能な通信モジュールを前記車両が搭載していない場合に、前記外部端末へ前記更新データを送信するステップと、
   を備える方法。
   
7. 車両に搭載された電子制御ユニットのソフトウェアの更新データを配信させるプログラムであって、前記電子制御ユニットに、
   前記車両に関する情報と、前記車両と通信可能な外部端末に関する情報と、を紐づけて記憶させるステップと、
   前記更新データのダウンロード要求の受信に応じて、
   １）サーバと無線通信が可能な通信モジュールを前記車両が搭載している場合に、前記車両へ前記更新データを送信させ、
   ２）前記サーバと無線通信が可能な通信モジュールを前記車両が搭載していない場合に、前記外部端末へ前記更新データを送信させるステップと、
   を実行させるプログラム。

Images