JP7484814B2 - 車両用電子制御装置及び更新プログラム - Google Patents

Description

本発明は、車両用電子制御装置及び更新プログラムに関する。

近年、運転支援機能や自動運転機能等の車両制御の多様化に伴い、車両の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）等のノードに搭載される車両制御や診断等のプログラムやデータを含むソフトウェアの規模が増大している。又、機能改善等によるバージョンアップに伴い、ノードの動作に必要なソフトウェアを更新する（リプログする）機会も増えつつある。一方、通信ネットワークの進展等に伴い、コネクッテッドカーの技術も普及している。このような事情から、車両側にゲートウェイＥＣＵとして機能する車両用電子制御装置が設けられ、車両用電子制御装置において、センター装置からダウンロードした更新データを更新対象ノードに配信し、更新対象ノードのソフトウェアをＯＴＡ（Over The Air）により更新する技術が提案されている（例えば特許文献１参照）。

特開２０２０－２７６２７号公報

車両用電子制御装置は、更新データを書込むインストール指示を更新対象ノードに送信した後に、インストール処理の完了を示すインストール完了通知を更新対象ノードから受信すると、イグニッション（以下、ＩＧと称する）オンからＩＧオフに切替わった後に、アクティベート処理の承諾可否をユーザに対して問合わせるアクティベート承諾を行う。その後、車両用電子制御装置は、ユーザからのアクティベートの承諾許可を特定すると、アクティベート処理の実行を指示する切替指示を更新対象ノードに送信する。更新対象ノードは、車両用電子制御装置から切替指示を受信すると、更新後のソフトウェアを有効とするアクティベート処理を行う。車両用電子制御装置は、アクティベート処理の完了を示すアクティベート完了通知を更新対象ノードから受信すると、システム整合性チェック処理を行い、整合結果が否であれば、切替指示を更新対象ノードに再送するリトライ処理を行ったり、更新対象ノードのソフトウェアをインストール処理の前の状態に戻すロールバック処理を行ったりする。

しかしながら、上記したようにＩＧオンからＩＧオフに切替わった後に、即ち、ＩＧオフの状態でアクティベート承諾を行う構成では、車両バッテリの電力消費が増大する可能性がある。

本発明は、上記した事情に鑑みてなされたものであり、車両バッテリの電力消費を抑制しつつ、安全安心なソフトウェアの更新を担保することができる車両用電子制御装置及び更新プログラムを提供することにある。

請求項１に記載した発明によれば、アクティベート承諾実行部（４０ｂ）は、更新対象ノードにおいて更新データを書込んで更新後のソフトウェアを生成するインストール処理の完了後に、更新後のソフトウェアを有効とするアクティベート処理の承諾可否をユーザに対して問合わせるアクティベート承諾を行う。切替指示送信部（４０ｇ）は、アクティベートの承諾許可が特定されたことを条件とし、充電可能状態中に、アクティベート処理を充電可能状態中において実行させるための切替指示を、充電可能状態中にアクティベート処理を実行する更新対象ノードに送信する。切替設定指示送信部（４０ｅ）は、アクティベートの承諾許可が特定されたことを条件とし、充電可能状態中に、アクティベート処理を充電不能状態中において実行させるための切替設定指示を、充電不能状態中にアクティベート処理を実行する更新対象ノードに送信する。アクティベート承諾実行部は、車両状態が車両バッテリを充電可能な充電可能状態中にアクティベート承諾を行う。

車両状態が車両バッテリを充電可能な充電可能状態中にアクティベート承諾を行うことで、ＩＧオフの状態でアクティベート承諾を行う従来とは異なり、車両バッテリの電力消費を抑制しつつ、安全安心なソフトウェアの更新を担保することができる。

一実施形態の全体構成を示す図 ＣＧＷの電気的な構成を示す図 ＥＣＵの電気的な構成を示す図 ＣＧＷの機能ブロック図 アクティベート処理指示部の機能ブロック図 システム整合チェック処理実行部の機能ブロック図 処理の流れを示す図（その１） 処理の流れを示す図（その２） 処理の流れを示す図（その３） 処理の流れを示す図（その４） 処理の流れを示す図（その５） フローチャート（その１） フローチャート（その２） フローチャート（その３） フローチャート（その４） 処理の流れを概略的に示す図（その１） 処理の流れを概略的に示す図（その２）

以下、一実施形態について図面を参照して説明する。本実施形態では、内燃機関としてのエンジンを搭載する自動車に搭載される車両用電子制御システムを対象とし、エンジンの駆動状態であるＩＧオンが車両バッテリを充電可能な充電可能状態であり、エンジンの停止状態であるＩＧオフが車両バッテリを充電不能な充電不能状態である構成を前提として説明する。車両バッテリを充電可能な充電可能状態と充電不能な充電不能状態とを切替可能な車両であれば、エンジンを搭載せずにモータで走行する電気自動車に搭載される車両用電子制御システムを対象としても良い。

車両用電子制御システムは、電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）に搭載されている車両制御や診断等のソフトウェアをＯＴＡ（Over The Air）により更新可能なシステムである。ソフトウェアは、車両制御や診断等の機能を実現するためのプログラムやデータを含み、アプリケーションと表現することもできる。本実施形態では、車両制御や診断等のソフトウェアを更新する場合について説明するが、例えば地図アプリや当該地図アプリで使用される地図データ等を更新する場合にも適用することができる。

図１に示すように、車両用電子制御システム１は、通信ネットワーク２側のセンター装置３と、車両側の車両側システム４及び表示端末５とを有する。通信ネットワーク２は、例えば４Ｇ回線等による移動体通信ネットワーク、インターネット、ＷｉＦｉ（Wireless Fidelity）（登録商標）等を含んで構成される。

ＨＭＩ（Human Machine Interface）としての表示端末５は、ユーザからの操作入力を受付ける機能や各種画面を表示する機能を有する端末であり、例えばユーザが携帯可能なスマートフォンやタブレット等の携帯端末６、車室内に配置されている車載ディスプレイ７である。携帯端末６は、移動体通信ネットワークの通信圏内であれば、通信ネットワーク２を介してセンター装置３とデータ通信可能である。車載ディスプレイ７は、車両側システム４に接続されており、ナビゲーション機能を兼用する構成であっても良い。又、車載ディスプレイ７は、ＥＣＵの機能を有する車載ディスプレイＥＣＵであっても良いし、センターディスプレイやメータディスプレイ等への表示を制御する機能を有していても良い。

ユーザは、車室外であって移動体通信ネットワークの通信圏内であれば、ソフトウェアの更新に関与する各種画面を携帯端末６により確認しながら操作入力を行い、ソフトウェアの更新に関与する手続きを可能である。ユーザは、車室内では、ソフトウェアの更新に関与する各種画面を車載ディスプレイ７により確認しながら操作入力を行い、ソフトウェアの更新に関与する手続きを可能である。即ち、ユーザは、車室外と車室内で携帯端末６と車載ディスプレイ７を使い分け、ソフトウェアの更新に関与する手続きを可能である。

センター装置３は、車両用電子制御システム１において通信ネットワーク２側のソフトウェアの更新機能を統括し、ＯＴＡサービスを提供するＯＴＡセンターとして機能する。センター装置３は、ファイルサーバ８と、ウェブサーバ９と、管理サーバ１０とを有し、各サーバ８～１０が相互にデータ通信可能に構成されている。即ち、センター装置３は、機能毎に異なる複数のサーバを含んで構成されている。センター装置３は、単一のサーバにより構成されていても良い。

ファイルサーバ８は、センター装置３から車両側システム４に配信されるソフトウェアのファイルを管理するサーバである。ファイルサーバ８は、センター装置３から車両側システム４に配信されるソフトウェアの提供事業者であるサプライヤ等から提供される更新データ、ＯＥＭ（Original Equipment Manufacturer）から提供される諸元データ、車両側システム４から取得する車両状態等を管理する。

ファイルサーバ８は、通信ネットワーク２を介して車両側システム４との間でデータ通信可能であり、キャンペーン情報を車両側システム４に送信し、諸元データを車両側システム４に送信する。又、ファイルサーバ８は、車両側システム４からパッケージデータのダウンロード要求を受信すると、更新データがパッケージ化されたパッケージデータを車両側システム４に送信する。パッケージデータは、圧縮されているｚｉｐ形式のファイルを含む。尚、ファイルサーバ８は、諸元データと更新データとがパッケージ化されたパッケージデータを車両側システム４に送信することで、諸元データと更新データとを車両側システム４に同時に送信しても良い。

ウェブサーバ９は、ウェブ情報を管理するサーバである。ウェブサーバ９は、携帯端末６等が有するウェブブラウザからの要求に応じて自己が管理するウェブデータを送信する。管理サーバ１０は、ソフトウェアの更新のサービスに登録しているユーザの個人情報、車両毎のソフトウェアの更新履歴等を管理するサーバである。

車両側システム４は、車両用マスタ装置１１を有する。車両用マスタ装置１１は、車両用電子制御システム１において車両側のソフトウェアの更新機能を統括し、ＯＴＡマスタとして機能する。車両用マスタ装置１１は、ＤＣＭ（Data Communication Module）１２と、ＣＧＷ（Central Gate Way）１３とを有する。

ＤＣＭ１２は、センター装置３との間で通信ネットワーク２を介してデータ通信を行い、ダウンロード処理実行部に相当する。ＣＧＷ１３は、ゲートウェイＥＣＵとして機能し、車両用電子制御装置に相当する。ＤＣＭ１２とＣＧＷ１３とは、第１バス１４を介してデータ通信可能に接続されている。図１では、ＤＣＭ１２と車載ディスプレイ７が同一の第１バス１４に接続されている構成を例示しているが、ＤＣＭ１２と車載ディスプレイ７とが別々のバスに接続されている構成でも良い。又、ＤＣＭ１２の機能の一部又は全体をＣＧＷ１３が有する構成でも良いし、ＣＧＷ１３の機能の一部又は全体をＤＣＭ１２が有する構成でも良い。即ち、車両用マスタ装置１１において、ＤＣＭ１２とＣＧＷ１３との機能分担がどのように構成されていても良い。車両用マスタ装置１１は、ＤＣＭ１２及びＣＧＷ１３の２つのＥＣＵから構成されても良いし、ＤＣＭ１２の機能とＣＧＷ１３の機能とを有する１つの統合ＥＣＵで構成されても良い。

ＣＧＷ１３には、第１バス１４に加え、第２バス１５と、第３バス１６と、第４バス１７と、第５バス１８とが車内側のバスとして接続されており、バス１５～１７を介して各種ＥＣＵ１９が接続されていると共に、バス１８を介して電源管理ＥＣＵ２０が接続されている。ＥＣＵ１９はノードに相当する。

第２バス１５は、例えばマルチメディア系のバスであり、マルチメディア系の制御を行うＥＣＵ１９が接続されている。第３バス１６は、例えば運転支援や自動運転のためのＡＤＡＳ（Advanced Driver-Assistance Systems）系のバスであり、ＡＤＡＳ系の制御を行うＥＣＵ１９が接続されている。第４バス１７は、例えば車両走行のための駆動系のバスであり、駆動系の制御を行うＥＣＵ１９が接続されている。バス１５～１７は、マルチメディア系のバス、ＡＤＡＳ系のバス、駆動系のバス以外の系統のバスであっても良い。又、バスの本数やＥＣＵ１９の個数は例示した構成に限らない。電源管理ＥＣＵ２０は、ＤＣＭ１２、ＣＧＷ１３、各種ＥＣＵ１９等に供給する電源を管理するＥＣＵである。

ＣＧＷ１３には、第６バス２１が車外側のバスとして接続されている。第６バス２１には、サービスツールとして機能するツール２３が着脱可能に接続されるＤＬＣ（Data Link Coupler）コネクタ２２が接続されている。車内側のバス１４～１８及び車外側のバス２１は、例えばＣＡＮ（Controller Area Network、登録商標）バスにより構成されており、ＣＧＷ１３は、ＣＡＮのデータ通信規格や診断通信規格（ＵＤＳ（Unified Diagnosis Services）：ＩＳＯ１４２２９）にしたがってＤＣＭ１２と、各種ＥＣＵ１９と、ツール２３との間でデータ通信を行う。尚、ＤＣＭ１２とＣＧＷ１３とがイーサーネットにより接続されていても良いし、ＤＬＣコネクタ２２とＣＧＷ１３とがイーサーネットにより接続されても良い。

ＣＧＷ１３は、車両バッテリ２４から供給される電力を動作電力として動作する。車両バッテリ２４は、ＩＧオンの状態でエンジンのオルタネータにより発電された電力が供給されることで充電可能である。即ち、ＩＧオンの状態は、車両状態が車両バッテリ２４を充電可能な充電可能状態中にあり、ＩＧオフの状態は、車両状態が車両バッテリ２４を充電不能な充電不能状態である。

ＣＧＷ１３は、パッケージデータをダウンロード可能な条件が成立していることを条件とし、パッケージデータのダウンロード要求をＤＣＭ１２を介してセンター装置３に送信する。パッケージデータをダウンロード可能な条件とは、ダウンロードの承諾が得られていること、ＣＧＷ１３がＤＣＭ１２を介してセンター装置３とデータ通信可能であること、ＤＣＭ１２のストレージの空き容量が所定容量以上であること、車載バッテリの残容量が所定容量以上であること等である。ＣＧＷ１３は、センター装置３からＤＣＭ１２を介してパッケージデータをダウンロードすると、そのダウンロードしたパッケージデータから更新データを取得する。

ＣＧＷ１３は、更新データを書込むインストールを指示可能な条件が成立していることを条件とし、その取得した更新データのインストールをソフトウェアの更新対象ＥＣＵ１９に指示する。インストールを指示可能な条件とは、インストールの承諾が得られていること、車両状態がインストール可能な状態であること、更新対象ＥＣＵ１９がインストール可能な状態であること、更新データが正常なデータであること、車載バッテリの残容量が所定容量以上であること等である。更新対象ＥＣＵ１９は、ＣＧＷ１３から更新データのインストールが指示されると、更新データのインストールを実行する。

ＣＧＷ１３は、更新対象ＥＣＵ１９において更新データのインストールが完了すると、インストール完了後のソフトウェアを有効とするアクティベートを指示可能な条件が成立していることを条件とし、アクティベートを更新対象ＥＣＵ１９に指示する。アクティベートを指示可能な条件とは、アクティベートの承諾が得られていること、車両状態がアクティベート可能な状態であること、更新対象ＥＣＵ１９がアクティベート可能な状態であること、車載バッテリの残容量が所定容量以上であること等である。更新対象ＥＣＵ１９は、ＣＧＷ１３からアクティベートが指示されると、アクティベートを実行する。

図２に示すように、ＣＧＷ１３は、電気的な機能ブロックとして、マイクロコンピュータ（以下、マイコンと称する）２５と、ストレージ２６と、データ転送回路２７と、電源回路２８と、電源検出回路２９とを有する。マイコン２５は、ＣＰＵ（Central Processing Unit）２５ａと、ＲＯＭ（Read Only Memory）２５ｂと、ＲＡＭ（Random Access Memory）２５ｃと、フラッシュメモリ２５ｄとを有する。フラッシュメモリ２５ｄには、ＣＧＷ１３の外部から情報の読出しが不可であるセキュア領域が含まれる。マイコン２５は、非遷移的実体的記憶媒体に格納されている各種制御プログラムを実行して各種処理を行い、ＣＧＷ１３の動作を制御する。本実施形態では、ＣＧＷ１３に１個のマイコン２５が搭載されている構成を例示しているが、ＣＧＷ１３に搭載されるマイコンの個数、スペック、組み合わせは、ＣＧＷ１３に要求される処理能力に応じて決定される。即ち、ＣＧＷ１３に比較的高い処理能力が要求される場合であれば、比較的高いスペックのマイコンが採用されたり、分散処理や並列処理を実現するために複数のマイコンが採用されたりする。

ストレージ２６は、例えばｅＭＭＣ（embedded Multi Media Card）、ＮｏｒＦｌａｓｈである。データ転送回路２７は、バス１４～１８，２１との間のＣＡＮのデータ通信規格や診断通信規格に準拠したデータ通信を制御する。電源回路２８は、バッテリ電源、アクセサリ（以下、ＡＣＣと称する）電源、ＩＧ電源を入力する。電源検出回路２９は、電源回路２８が入力するバッテリ電源の電圧値、ＡＣＣ電源の電圧値、ＩＧ電源の電圧値を検出し、これらの検出した電圧値を所定の電圧閾値と比較し、その比較結果をマイコン２５～２６に出力する。マイコン２５～２６は、電源検出回路２９から入力する比較結果により、車両バッテリ２４からＣＧＷ１３に供給されているバッテリ電源、ＡＣＣ電源、ＩＧ電源が正常であるか異常であるかを判定する。

図３に示すように、ＥＣＵ１９は、電気的な機能ブロックとして、マイコン３０と、データ転送回路３１と、電源回路３２と、電源検出回路３３とを有する。マイコン３０は、ＣＰＵ３０ａと、ＲＯＭ３０ｂと、ＲＡＭ３０ｃと、フラッシュメモリ３０ｄとを有する。フラッシュメモリ３０ｄには、ＥＣＵ１９の外部から情報の読出しが不可であるセキュア領域が含まれる。マイコン３０は、非遷移的実体的記憶媒体に格納されている各種制御プログラムを実行して各種処理を行い、ＥＣＵ１９の動作を制御する。

データ転送回路３１は、バス１５～１７との間のＣＡＮのデータ通信規格に準拠したデータ通信を制御する。電源回路３２は、バッテリ電源、ＡＣＣ電源、ＩＧ電源を入力する。電源検出回路３３は、電源回路３２が入力するバッテリ電源の電圧値、ＡＣＣ電源の電圧値、ＩＧ電源の電圧値を検出し、これらの検出した電圧値を所定の電圧閾値と比較し、その比較結果をマイコン３０に出力する。マイコン３０は、電源検出回路２７から入力する比較結果により、車両バッテリ２４からＥＣＵ１９に供給されているバッテリ電源、ＡＣＣ電源、ＩＧ電源が正常であるか異常であるかを判定する。尚、ＥＣＵ１９は、自己が接続する接続対象の例えばセンサやアクチュエータ等の負荷が異なり、基本的には同等の構成である。

次に、ＥＣＵ１９のメモリ構成について説明する。ＥＣＵ１９に搭載されているフラッシュメモリ３０ｄの種類として、１面メモリ、疑似２面メモリ、２面メモリ、外付けメモリがある。１面メモリは、フラッシュ面を１面で持つ構成であり、運用面及び非運用面の概念がなく、ソフトウェアを実行中に当該実行中のソフトウェアを更新不可である。１面メモリを搭載するＥＣＵ（以下、１面メモリＥＣＵと称する）１９は、インストール処理及びアクティベート処理をＩＧオフの状態で行う。疑似２面メモリは、フラッシュ面を疑似的に２面で持つ構成であり、運用面及び非運用面の概念があり、運用面のソフトウェアを実行中に非運用面のソフトウェアを更新可能であるが、読出しや書込みを正常に行えるタイミングに制約がある。疑似２面メモリを搭載するＥＣＵ（以下、疑似２面メモリＥＣＵと称する）１９は、インストール処理及びアクティベート処理をＩＧオフの状態で行う。

２面メモリは、フラッシュ面を実質的に２面で持つ構成であり、運用面及び非運用面の概念があり、運用面のソフトウェアを実行中に非運用面のソフトウェアを更新可能であり、読出しや書込みを正常に行えるタイミングに制約がない。２面メモリを搭載するＥＣＵ（以下、２面メモリＥＣＵと称する）１９は、インストール処理をＩＧオンの状態で行うことができ、アクティベート処理をＩＧオフの状態で行う。外付けメモリは、フラッシュ面を１面で持つ構成であり、運用面及び非運用面の概念がないが、フラッシュ面に格納されているソフトウェアを外付けメモリに複製することで、ソフトウェアの一時的な退避領域として外付けメモリを使用する。外付けメモリを搭載するＥＣＵ（以下、外付けメモリＥＣＵと称する）１９は、インストール処理及びアクティベート処理をＩＧオフの状態で行う。

図４に示すように、ＣＧＷ１３は、機能毎の構成として、制御部３４と、ダウンローダ３５と、キャンペーン情報記憶部３６と、車両構成情報記憶部３７と、ＩＧオフ前後更新フラグ記憶部３８と、試作量産フラグ記憶部３９とを有する。制御部３４は、アクティベート処理指示部４０と、システム整合チェック処理実行部４１と、ロールバック処理実行部４２とを有する。

図５に示すように、アクティベート処理指示部４０は、車両状態判定部４０ａと、アクティベート承諾実行部４０ｂと、メモリ構成特定部４０ｃと、複製指示送信部４０ｄと、切替設定指示送信部４０ｅと、降車条件成立判定部４０ｆと、切替指示送信部４０ｇと、操作遅延要求部４０ｈとを有する。図６に示すように、システム整合チェック処理実行部４１は、車両構成情報取得部４１ａと、整合性判定部４１ｂとを有する。各部４０～４２，４０ａ～４０ｈ，４１ａ～４１ｂは更新プログラムにより実行される機能に相当する。即ち、制御部３４は、更新プログラムを実行し、各部４０～４２，４０ａ～４０ｈ，４１ａ～４１ｂの機能を行う。

ダウンローダ３５は、制御部３４からダウンロード実行要求を受信することを契機としてＤＣＭ１２に対してダウンロード処理の実行を指示する。キャンペーン情報記憶部３６は、センター装置３からＤＣＭ１２を介してＣＧＷ１３にダウンロードされたキャンペーン情報を記憶する。キャンペーン情報には更新後の車両構成情報が含まれる。更新後の車両構成情報には、更新対象ＥＣＵ１９と、当該更新対象ＥＣＵ１９と連携して動作する非更新対象ＥＣＵ１９とを含む管理対象ＥＣＵ１９を特定可能なターゲットＩＤ、更新後のハードウェアのバージョン、更新後のソフトウェアのバージョン等が含まれる。

車両構成情報記憶部３７は、管理対象ＥＣＵ１９から取得された車両構成情報を記憶する。車両構成情報には、管理対象ＥＣＵ１９を特定可能なターゲットＩＤ、更新前のハードウェアのバージョン、更新前のソフトウェアのバージョン、更新後のハードウェアのバージョン、更新後のソフトウェアのバージョン等が含まれる。

ＩＧオフ前後更新フラグ記憶部３８は、ＩＧオフ前更新フラグ及びＩＧオフ後更新フラグを記憶する。ＩＧオフ前更新フラグ及びＩＧオフ後更新フラグは択一的に設定され、ＥＣＵ１９毎に記憶される。ＩＧオフ前更新フラグは、ＩＧオンでのアクティベート処理の実行を許可するフラグであり、例えばマルチメディア系等の車両走行制御に影響しないソフトウェアを更新するＥＣＵ１９にはＩＧオフ前更新フラグが設定される。ＩＧオフ後更新フラグは、ＩＧオンでのアクティベート処理の実行を禁止するフラグであり、例えばＡＤＡＳ系や駆動系等の車両走行制御に影響するソフトウェアを更新するＥＣＵ１９にはＩＧオフ後更新フラグが設定されている。

試作量産フラグ記憶部３９は、試作フラグ及び量産フラグを記憶する。試作フラグ及び量産フラグは択一的に設定される。試作フラグは、車両用電子制御システム１を搭載した車両が出荷される前の試作時に設定されるフラグであり、第１フラグに相当する。量産フラグは、車両用電子制御システム１を搭載した車両が出荷された後の量産時に設定されるフラグであり、第２フラグに相当する。試作フラグが設定されている状態では、認証が成立したことを条件とし、試作フラグから量産フラグへの設定変更が可能である。又、量産フラグから試作フラグへの設定変更は不可である。

車両状態判定部４０ａは、例えば車速情報やドライバーステータスモニタ情報等に基づいて車両状態を判定する。アクティベート承諾実行部４０ｂは、更新対象ＥＣＵ１９においてインストール処理を完了している状態で、運転操作を阻害しない車両状態であると車両状態判定部４０ａにより判定されていることを条件とし、アクティベート処理の承諾可否をユーザに対して問合わせるアクティベート承諾を行う。具体的には、アクティベート承諾実行部４０ｂは、例えば車速が「０ｋｍ／ｈ」であり且つブレーキが作動中である車両が停止中に、アクティベート承諾要求を車載ディスプレイ７に送信し、アクティベート処理の承諾可否を選択可能なアクティベート承諾画面を車載ディスプレイ７に表示させることで、アクティベート処理の承諾可否をユーザに対して問合わせる。

メモリ構成特定部４０ｃは、諸元データに基づいて更新対象ＥＣＵ１９のメモリ構成を特定し、更新対象ＥＣＵ１９に搭載されているフラッシュメモリ３０ｄが１面メモリ、疑似２面メモリ、２面メモリ、外付けメモリの何れであるかを特定する。

複製指示送信部４０ｄは、更新対象ＥＣＵ１９が外付けメモリＥＣＵ１９であれば、メモリ領域に格納されているソフトウェアの外付けメモリへの複製処理の実行を指示する複製指示を更新対象ＥＣＵ１９に送信する。

切替設定指示送信部４０ｅは、アクティベート処理の実行を次のＩＧオンからＩＧオフに切替わったタイミングで指示する切替設定指示を更新対象ＥＣＵ１９に送信する。

降車条件成立判定部４０ｆは、ユーザ降車する降車条件の成立を判定する。 降車条件成立判定部４０ｆは、例えば車速が「０ｋｍ／ｈ」であること、車両位置が駐車場内や自宅であること、パーキングブレーキが作動したこと、シートベルトの装着が解除されたこと等を特定すると、ユーザがＩＧオンからＩＧオフへの切替操作を行った後に降車することを予測し、降車条件が成立したと判定する。

切替指示送信部４０ｇは、切替指示を更新対象ＥＣＵ１９に送信する。切替指示送信部４０ｇは、上記したＩＧオフ前後更新フラグ記憶部３８を参照し、更新対象ＥＣＵ１９にＩＧオフ前更新フラグ及びＩＧオフ後更新フラグの何れが設定されているかを判定する。切替指示送信部４０ｇは、更新対象ＥＣＵ１９にＩＧオフ前更新フラグが設定されており、車両走行制御に影響しないソフトウェアを更新する場合には、降車条件が成立したと降車条件成立判定部４０ｆにより判定されると、切替指示を当該更新対象ＥＣＵ１９に送信する。

操作遅延要求部４０ｈは、更新対象ＥＣＵ１９にＩＧオフ前更新フラグが設定されており、車両走行制御に影響しないソフトウェアを更新する場合には、降車条件が成立したと降車条件成立判定部４０ｆにより判定されると、操作遅延表示要求を車載ディスプレイ７に送信し、ＩＧオンからＩＧオフへの切替操作の遅延を要求する操作遅延要求画面を車載ディスプレイ７に表示させることで、ＩＧオンからＩＧオフへの切替操作の遅延をユーザに対して要求する。

車両構成情報取得部４１ａは、更新前の車両構成情報及び更新後の車両構成情報を管理対象ＥＣＵ１９から取得し、その取得した更新前の車両構成情報及び更新後の車両構成情報を上記した車両構成情報記憶部３７に記憶する。

整合性判定部４１ｂは、車両構成情報記憶部３７及びキャンペーン情報記憶部３６を参照し、管理対象ＥＣＵ１９から取得した更新後の車両構成情報と、センター装置３からダウンロードしたキャンペーン情報に含まれている更新後の車両構成情報とを照合し、車両構成情報の整合性を判定する。整合性判定部４１ｂは、両者が一致すると判定すると、車両構成情報の整合正を判定し、両者が一致しないと判定すると、車両構成情報の整合否を判定する。

又、整合性判定部４１ｂは、管理対象ＥＣＵ１９から取得した更新後の車両構成情報と、更新前の車両構成情報とを照合し、車両構成情報の整合性を判定する。整合性判定部４１ｂは、管理対象ＥＣＵ１９から取得した更新後の車両構成情報のバージョンが更新前の車両構成情報のバージョンから増えていると判定すると、車両構成情報の整合正を判定し、増えていないと判定すると、車両構成情報の整合否を判定する。尚、車両構成情報のバージョンが増えているとは、バージョンアップやバージョン番号の増加を意味する。

上記した切替指示送信部４０ｇは、車両構成情報の整合否が整合性判定部４１ｂにより判定されると、切替指示を更新対象ＥＣＵ１９に再送するリトライ処理を行う。

ロールバック処理実行部４２は、車両構成情報の整合否が整合性判定部４１ｂにより判定されると、更新対象ＥＣＵ１９のソフトウェアをインストール処理の前の状態に戻すロールバック処理を行う。この場合、ロールバック処理実行部４２は、切替指示送信部４０ｇがリトライ処理を行うことなく、ロールバック処理を行っても良いし、切替指示送信部４０ｇがリトライ処理を行ったが依然として車両構成情報の整合否が整合性判定部４１ｂにより判定されると、ロールバック処理を行っても良い。又、ロールバック処理実行部４２は、試作量産フラグ記憶部３９を参照し、量産フラグを設定していることを条件とし、ロールバック処理を行う。更に、ロールバック処理実行部４２は、更新対象ＥＣＵ１９におけるアクティベート処理の完了後から所定期間内であり、ロールバック実行可能期間内であることを条件とし、ロールバック処理を行う。

次に、上記した構成の作用について図７から図１７を参照して説明する。尚、図７から図１１において、第１更新対象ＥＣＵ１９は、外付けメモリのメモリ構成であり、ＩＧオフ後更新フラグが設定されているＥＣＵ１９である。第２更新対象ＥＣＵ１９は、外付けメモリ以外のメモリ構成であり、ＩＧオフ後更新フラグが設定されているＥＣＵ１９である。第３更新対象ＥＣＵ１９は、外付けメモリのメモリ構成であり、ＩＧオフ前更新フラグが設定されているＥＣＵである。第４更新対象ＥＣＵ１９は、外付けメモリ以外のメモリ構成であり、ＩＧオフ前更新フラグが設定されているＥＣＵである。

ＣＧＷ１３において、制御部３４は、例えば更新対象ＥＣＵ１９においてインストール処理を完了したことで、アクティベート承諾要求の車載ディスプレイ７への送信要求が発生すると、車両状態を確認し（Ａ１）、運転操作を阻害しない車両状態であるか否かを判定する（Ａ２）。

制御部３４は、例えば車速が「０ｋｍ／ｈ」であり且つブレーキが作動中であり、運転操作を阻害しない車両状態であると判定すると（Ａ２：ＹＥＳ）、アクティベート承諾要求を車載ディスプレイ７に送信し（Ａ３、ｔ１、アクティベート承諾実行手順に相当する）、車載ディスプレイ７からの承諾結果の受信を待機する（Ａ４）。ブレーキが作動中とは、例えばシフトポジションがＰレンジに入っている状態も含む。車載ディスプレイ７は、ＣＧＷ１３からアクティベート承諾要求を受信すると、アクティベート処理の承諾可否を選択可能なアクティベート承諾画面を表示し（Ｂ１）、アクティベート処理の承諾可否をユーザに対して問合わせる。ユーザがアクティベート承諾を許可すると、車載ディスプレイ７は、承諾結果として承諾許可をＣＧＷ１３に送信する（ｔ２）。尚、本実施形態では、更新対象ＥＣＵ１９が何れのメモリ構成でも、アクティベート承諾要求と承諾確認をＩＧオン状態のときに行う。つまり、更新対象ＥＣＵ１９が外付けメモリＥＣＵや１面メモリＥＣＵの場合も、アクティベート承諾要求と承諾確認をＩＧオン状態のときに行う。

制御部３４は、車載ディスプレイ７から承諾結果を受信したと判定すると（Ａ４：ＹＥＳ）、その承諾結果が承諾許可であるか否かを判定し（Ａ５）、その承諾結果が承諾許可であると判定すると（Ａ５：ＹＥＳ）、諸元データに基づいて更新対象ＥＣＵ１９のメモリ構成を特定する（Ａ６）。制御部３４は、更新対象ＥＣＵ１９に外付けメモリＥＣＵ１９が含まれているか否かを判定する（Ａ７）。

制御部３４は、更新対象ＥＣＵ１９に外付けメモリＥＣＵ１９が含まれていると判定すると（Ａ７：ＹＥＳ）、メモリ領域に格納されているソフトウェアの外付けメモリへの複製処理の実行を指示する複製指示を当該外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９に送信し（Ａ８、ｔ３）、外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９からのＡＣＫの受信を待機する（Ａ９）。外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９は、ＣＧＷ１３から複製指示を受信すると、メモリ領域に格納されているソフトウェアの外付けメモリへの複製処理を行い（Ｃ１、Ｅ１）、ＡＣＫをＣＧＷ１３に返信する（ｔ４）。

制御部３４は、外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９からＡＣＫを受信したと判定すると（Ａ９：ＹＥＳ）、ＩＧオフ前後更新フラグ記憶部３８を参照し（Ａ１０）、ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９が存在するか否かを判定する（Ａ１１）。制御部３４は、ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９が存在すると判定すると（Ａ１１：ＹＥＳ）、アクティベート処理の実行を次のＩＧオンからＩＧオフに切替わったタイミングで指示する切替設定指示を当該ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９に送信し（Ａ１２、ｔ５）、ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９からのＡＣＫの受信を待機する（Ａ１３）。ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９は、ＣＧＷ１３から切替設定指示を受信すると、次のＩＧオンからＩＧオフに切替わったタイミングでアクティベート処理を実行するように切替設定を行い（Ｃ２、Ｄ１）、ＡＣＫをＣＧＷ１３に返信する（ｔ６）。

制御部３４は、ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９からＡＣＫを受信したと判定すると（Ａ１３：ＹＥＳ）、ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９が存在するか否かを判定する（Ａ１４）。制御部３４は、ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９が存在すると判定すると（Ａ１４：ＹＥＳ）、ユーザが降車する降車条件の成立を判定する（Ａ１５）。

制御部３４は、降車条件が成立したと判定すると（Ａ１５：ＹＥＳ）、操作遅延表示要求を車載ディスプレイ７に送信し（Ａ１６、ｔ７）、車載ディスプレイ７からのＡＣＫの受信を待機する（Ａ１７）。車載ディスプレイ７は、ＣＧＷ１３から操作遅延表示要求を受信すると、操作遅延要求画面を表示し（Ｂ２）、ＡＣＫをＣＧＷ１３に返信する（ｔ８）。

制御部３４は、車載ディスプレイ７からＡＣＫを受信したと判定すると（Ａ１７：ＹＥＳ）、切替指示を当該ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９に送信し（Ａ１８、ｔ９）、ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９からのＡＣＫの受信を待機する（Ａ１９）。ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９は、ＣＧＷ１３から切替指示を受信すると、アクティベート処理を実行し（Ｅ２、Ｆ１）、ＡＣＫをＣＧＷ１３に送信する（ｔ１０）。制御部３４は、ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９からＡＣＫを受信したと判定すると（Ａ１９：ＹＥＳ）、ＩＧオンからＩＧオフへの切替わりを待機する（Ａ２０）。

ここで、ＩＧオンからＩＧオフへの切替操作が行われ、ＩＧオンからＩＧオフに切替わると、ＩＧオフ後更新フラグが設定されている更新対象ＥＣＵ１９は、上記したように先立ってＣＧＷ１３から切替設定指示を受信しているので、ＩＧオンからＩＧオフに切替わったことを契機としてアクティベート処理を実行する（Ｃ３、Ｄ２）。

制御部３４は、ＩＧオンからＩＧオフへの切替わり判定すると（Ａ２０：ＹＥＳ）、車両構成情報要求を管理対象ＥＣＵ１９に送信し（Ａ２１）、管理対象ＥＣＵ１９から更新後の車両構成情報を受信したか否かを判定すると共に（Ａ２２）、ＩＧオンからＩＧオフへの切替から一定時間が経過したか否かを判定する（Ａ２３）。

制御部３４は、ＩＧオンからＩＧオフへの切替から一定時間が経過する前に、管理対象ＥＣＵ１９から更新後の車両構成情報を受信したと判定すると（Ａ２２：ＹＥＳ）、管理対象ＥＣＵ１９から受信した更新後の車両構成情報を、キャンペーン情報に含まれている更新後の車両構成情報と照合し（Ａ２４）、車両構成情報の整合性を判定する（Ａ２５）。制御部３４は、両者が一致し、車両構成情報の整合正を判定すると（Ａ２５：ＹＥＳ）、試作量産フラグ記憶部３９を参照し（Ａ２６）、量産フラグが設定されているか否かを判定する（Ａ２７）。

制御部３４は、量産フラグが設定されていると判定すると（Ａ２７：ＹＥＳ）、管理対象ＥＣＵ１９から受信した更新後の車両構成情報を、更新前の車両構成情報と照合し（Ａ２８）、車両構成情報の整合性を判定する（Ａ２９）。制御部３４は、管理対象ＥＣＵ１９から受信した更新後の車両構成情報のバージョンが更新前の車両構成情報のバージョンから増えており、車両構成情報の整合正を判定すると（Ａ２９：ＹＥＳ）、スリープ指示を管理対象ＥＣＵ１９に送信する（Ａ３０、ｔ１３）。管理対象ＥＣＵ１９は、ＣＧＷ１３からスリープ指示を受信すると、ウエイクアップ状態からスリープ状態に移行する（Ｃ４、Ｄ３、Ｅ３、Ｆ２）。

一方、制御部３４は、管理対象ＥＣＵ１９から更新後の車両構成情報を受信する前に、ＩＧオンからＩＧオフへの切替から一定時間が経過したと判定すると（Ａ２３：ＹＥＳ）、又は管理対象ＥＣＵ１９から受信した更新後の車両構成情報とキャンペーン情報に含まれている更新後の車両構成情報とが一致せず、又は管理対象ＥＣＵ１９から受信した更新後の車両構成情報のバージョンが更新前の車両構成情報のバージョンから増えておらず、車両構成情報の整合否を判定すると（Ａ２５：ＮＯ、又はＡ２９、ＮＯ）、切替指示を更新対象ＥＣＵ１９に再送するリトライ処理を実行する（Ａ３１）。

制御部３４は、リトライ処理を実行すると、上記したように管理対象ＥＣＵ１９から受信した更新後の車両構成情報を、キャンペーン情報に含まれている更新後の車両構成情報と照合し、更に更新前の車両構成情報と照合し、車両構成情報の整合性を再度判定する（Ａ３２）。制御部３４は、車両構成情報の整合正を判定すると（Ａ３２：ＹＥＳ）、スリープ指示を管理対象ＥＣＵ１９に送信する（Ａ３０、ｔ１３）。

一方、制御部３４は、車両構成情報の整合否を判定し（Ａ３２：ＮＯ）、リトライ処理の実行回数が所定回数を超えていると判定すると、アクティベート処理の完了後から所定期間内であるか否かを判定し、ロールバックの実行可能期間内であるか否かを判定する（Ａ３３）。制御部３４は、アクティベート処理の完了後から所定期間内であると判定し、ロールバックの実行可能期間内であると判定すると（Ａ３３：ＹＥＳ）、ロールバック処理を実行する（Ａ３４）。

制御部３４は、ロールバック処理を実行すると、ロールバック処理を正常に完了したか否かを判定し（Ａ３５）、ロールバック処理を正常に完了したと判定すると（Ａ３５：ＹＥＳ）、スリープ指示を管理対象ＥＣＵ１９に送信する（Ａ３０、ｔ１３）。一方、制御部３４は、ロールバック処理を正常に完了していないと判定すると（Ａ３５：ＮＯ）、エラー処理を行い（Ａ３６）、スリープ指示を管理対象ＥＣＵ１９に送信する（Ａ３０、ｔ１３）。

このように本実施形態では、図１６に示すようなＩＧオフの後にアクティベート承諾を行う従来とは異なり、図１７に示すように、ＩＧオフの前にアクティベート承諾を行うことで、車両バッテリ２４を充電可能なＩＧオンの状態でアクティベート承諾を行うことができ、車両バッテリ２４の電力消費を抑制することができる。

以上に説明したように実施形態によれば、次に示す作用効果を得ることができる。
ＣＧＷ１３において、車両状態が車両バッテリ２４を充電可能なＩＧオンの状態でアクティベート承諾を行うようにした。ＩＧオフの状態でアクティベート承諾を行う従来とは異なり、ＩＧオンの状態でアクティベート承諾を行うことで、車両バッテリ２４の電力消費を抑制しつつ、安全安心なソフトウェアの更新を担保することができる。

ＣＧＷ１３において、ＩＧオンの状態で切替設定指示を更新対象ＥＣＵ１９に送信するようにした。ＩＧオフからＩＧオフに切替わったことを契機として更新対象ＥＣＵ１９においてアクティベート処理を速やかに行わせることができる。

ＣＧＷ１３において、例えば車両が停止中にある等の運転操作を阻害しない車両状態であると判定したことを条件とし、ＩＧオンの状態でアクティベート承諾を行うようにした。安全安心な環境でユーザにアクティベート承諾を行わせることができる。

ＣＧＷ１３において、更新対象ＥＣＵ１９に外付けメモリＥＣＵ１９が含まれていると、ＩＧオンの状態で複製指示を当該外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９に送信するようにした。ＩＧオンの状態で外付けメモリＥＣＵ１９においてメモリ領域に格納されているソフトウェアの外付けメモリへの複製処理を行わせることで、車両バッテリ２４の電力消費をより抑制することができる。

ＣＧＷ１３において、更新対象ＥＣＵ１９にＩＧオフ前更新フラグが設定されており、車両走行制御に影響しないソフトウェアを更新する場合には、降車条件が成立すると、操作遅延表示要求を車載ディスプレイ７に送信し、ＩＧオンからＩＧオフへの切替操作の遅延を要求する操作遅延要求画面を車載ディスプレイ７に表示させることで、ＩＧオンからＩＧオフへの切替操作の遅延をユーザに対して要求するようにした。ＩＧオンからＩＧオフへの切替操作の遅延を要求することで、ＩＧオンからＩＧオフへの切替操作を遅延させることをユーザに対して促すことができる。又、降車条件が成立すると、切替指示を当該更新対象ノードに送信することで、ＩＧオフ前更新フラグが設定されている更新対象ＥＣＵ１９においてアクティベート処理を適切に行わせることができる。

ＣＧＷ１３において、管理対象ＥＣＵ１９から更新後の車両構成情報を取得し、その取得した更新後の車両構成情報を、キャンペーン情報に含まれている更新後の車両構成情報と照合し、車両構成情報の整合性を判定するようにした。ソフトウェアの更新を正常に完了したか否かを適切に検証することができる。

ＣＧＷ１３において、管理対象ＥＣＵ１９から更新後の車両構成情報を取得し、その取得した更新後の車両構成情報を、更新前の車両構成情報と照合し、車両構成情報の整合性を判定するようにした。ソフトウェアの更新を正常に完了したか否かをより適切に検証することができる。

ＣＧＷ１３において、車両構成情報の整合否を判定すると、切替指示を更新対象ＥＣＵ１９に再送するリトライ処理を行うようにした。ソフトウェアの更新を正常に完了しなかった場合に、リトライ処理を行うことで適切に対処することができる。

ＣＧＷ１３において、車両構成情報の整合否を判定すると、更新対象ＥＣＵ１９のソフトウェアをインストール処理の前の状態に戻すロールバック処理を行うようにした。ソフトウェアの更新を正常に完了しなかった場合に、リトライ処理を行うことで適切に対処することができる。

ＣＧＷ１３において、リトライ処理を行った後にロールバック処理を行うようにした。更新対象ＥＣＵ１９のソフトウェアをインストール処理の前の状態に直ぐに戻さず、リトライ処理を行うことで、ソフトウェアの更新を正常に完了する可能性を高めることができる。

ＣＧＷ１３において、更新対象ＥＣＵ１９におけるアクティベート処理の完了後から所定期間内であることを条件とし、ロールバック処理を行うようにした。ロールバック処理を行える期間に制限を持たせることで、不正なアクセス等によりソフトウェアが古いバージョンに書戻されてしまうことを未然に回避することができる。

ＣＧＷ１３において、ロールバック処理を行うか否かの判定基準となる所定期間を動的に決定するようにした。ロールバック処理を行える期間の制限を任意に変更することができる。例えばソフトウェアの更新が機能改善等によるバージョンアップを目的とする場合であれば、所定期間を比較的長くし、ソフトウェアの更新が不具合修正を目的とする場合であれば、所定期間を比較的長短くする等、ロールバック処理を行える期間の制限を任意に変更することができる。

ＣＧＷ１３において、量産フラグを設定していることを条件とし、ロールバック処理を行うようにした。試作フラグを設定している場合にロールバック処理を行えないようにすすることで、試作中だけ古いバージョンへのソフトウェアの更新を可能とすることができる。

ＣＧＷ１３において、認証が成立していることを条件とし、試作フラグから量産フラグへの設定変更を可能とした。試作フラグから量産フラグへの設定変更を行う場合のセキュリティを適切に担保することができる。

ＣＧＷ１３において、量産フラグから試作フラグへの設定変更が不可であるようにした。量産フラグから試作フラグへの設定変更が不可とすることで、バージョン管理の複雑化してしまうことを未然に回避することができる。

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

更新対象ＥＣＵ１９が外付けメモリＥＣＵ１９である場合に、複製指示を当該外付けメモリＥＣＵ１９である更新対象ＥＣＵ１９に送信する場合を例示したが、必ずしも複製指示を送信する必要はなく、複製指示を送信しなくても良い。即ち、必ずしもＩＧオフの前に外付けメモリＥＣＵ１９においてメモリ領域に格納されているソフトウェアの外付けメモリへの複製処理を行わせなくても良い。

ＩＧオフ前更新フラグ及びＩＧオフ後更新フラグがＩＧオフ前後更新フラグ記憶部３８に記憶されている構成を例示したが、ＩＧオフ前更新フラグ及びＩＧオフ後更新フラグに相当する情報が諸元データに格納されていても良い。その場合、制御部３４は、諸元データを参照し、ＩＧオフの前にアクティベート処理の実行を許可するか禁止するかを判定しても良い。又、ＩＧオフ前更新フラグ及びＩＧオフ後更新フラグを設けなくても良く、切替設定指示を全ての更新対象ＥＣＵ１９に送信しても良い。

リトライ処理を実行する場合を説明したが、リトライ処理を実行せずに省いても良い。即ち、制御部３４は、管理対象ＥＣＵ１９から更新後の車両構成情報を受信する前に、ＩＧオンからＩＧオフへの切替から一定時間が経過したと判定すると（Ａ２２：ＹＥＳ）、又は車両構成情報の整合否を判定すると（Ａ２４：ＮＯ、Ａ２８、ＮＯ）、切替指示を更新対象ＥＣＵ１９に再送するリトライ処理を実行せずに、ロールバックの実行可能期間内であることを条件とし、ロールバック処理を実行しても良い（Ａ３３）。

本開示に記載の制御部及びそのパターンは、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びそのパターンは、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びそのパターンは、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、１は車両用電子制御システム、１３はＣＧＷ（車両用電子制御装置）、１９はＥＣＵ（ノード）、３４は制御部、４０はアクティベート処理指示部、４０ａは車両状態判定部、４０ｂはアクティベート承諾実行部、４０ｃはメモリ構成特定部、４０ｄは複製指示送信部、４０ｅは切替設定指示送信部、４０ｆは降車条件成立判定部、４０ｇは切替指示送信部、４０ｈは操作遅延要求部、４１はシステム整合チェック処理実行部、４１ａは車両構成情報取得部、４１ｂは整合性判定部、４２はロールバック処理実行部である。

Claims (17)

1. 車両バッテリを充電可能な充電可能状態と充電不能な充電不能状態とを切替可能な車両に搭載され、前記車両バッテリから供給される電力を動作電力として動作する車両用電子制御装置であって、
   更新対象ノードにおいて更新データを書込んで更新後のソフトウェアを生成するインストール処理の完了後に、前記更新後のソフトウェアを有効とするアクティベート処理の承諾可否をユーザに対して問合わせるアクティベート承諾を行うアクティベート承諾実行部（４０ｂ）と、
   アクティベートの承諾許可が特定されたことを条件とし、前記充電可能状態中に、前記アクティベート処理を前記充電可能状態中において実行させるための切替指示を、前記充電可能状態中に前記アクティベート処理を実行する前記更新対象ノードに送信可能な切替指示送信部（４０ｇ）と、
   アクティベートの承諾許可が特定されたことを条件とし、前記充電可能状態中に、前記アクティベート処理を前記充電不能状態中において実行させるための切替設定指示を、前記充電不能状態中に前記アクティベート処理を実行する前記更新対象ノードに送信可能な切替設定指示送信部（４０ｅ）と、を備え、
   前記アクティベート承諾実行部は、前記充電可能状態中に前記アクティベート承諾を行う車両用電子制御装置。
2. 前記切替設定指示送信部は、前記アクティベート処理を次の前記充電可能状態から前記充電不能状態への切替時において実行させるための前記切替設定指示を前記更新対象ノードに送信する請求項１に記載した車両用電子制御装置。
3. 車両状態を判定する車両状態判定部（４０ａ）を備え、
   前記アクティベート承諾実行部は、運転操作を阻害しない車両状態であると判定されたことを条件とし、前記充電可能状態中に前記アクティベート承諾を行う請求項１又は２に記載した車両用電子制御装置。
4. 前記更新対象ノードのメモリ構成を特定するメモリ構成特定部（４０ｃ）と、
   前記更新対象ノードが外付けメモリを有するメモリ構成のノードである場合に、メモリ領域に格納されているソフトウェアの前記外付けメモリへの複製処理の実行を指示する複製指示を当該更新対象ノードに送信する複製指示送信部（４０ｄ）と、を備え、
   前記複製指示送信部は、前記充電可能状態中に前記複製指示を前記更新対象ノードに送信する請求項１から３の何れか一項に記載した車両用電子制御装置。
5. ユーザが降車する降車条件の成立を判定する降車条件成立判定部（４０ｆ）と、
   前記車両バッテリの前記充電可能状態から前記充電不能状態への切替操作の遅延を要求する操作遅延要求部（４０ｈ）と、を備え、
   前記操作遅延要求部は、前記更新対象ノードが車両走行制御に影響しないソフトウェアを更新するノードである場合に、前記降車条件が成立したと判定されると、前記切替操作の遅延を要求する請求項１から４の何れか一項に記載した車両用電子制御装置。
6. 前記切替指示送信部は、前記更新対象ノードが車両走行制御に影響しないソフトウェアを更新するノードである場合に、前記降車条件が成立したと判定されると、前記切替指示を当該更新対象ノードに送信する請求項５に記載した車両用電子制御装置。
7. 前記更新対象ノードを含む管理対象ノードから更新後の車両構成情報を取得する車両構成情報取得部（４１ａ）と、
   前記更新後の車両構成情報を、キャンペーン情報に含まれている更新後の車両構成情報と照合し、前記車両構成情報の整合性を判定する整合性判定部（４１ｂ）と、を備える請求項１から６の何れかに記載した車両用電子制御装置。
8. 前記車両構成情報取得部は、前記管理対象ノードから更新前の車両構成情報を取得し、
   前記整合性判定部は、前記更新後の車両構成情報を、前記更新前の車両構成情報と照合し、前記車両構成情報の整合性を判定する請求項７に記載した車両用電子制御装置。
9. 前記切替指示送信部は、前記整合性判定部により前記車両構成情報の整合否が判定された場合に、前記切替指示を前記更新対象ノードに再送するリトライ処理を行う請求項７又は８に記載した車両用電子制御装置。
10. 更新対象ノードのソフトウェアをインストール処理の前の状態に戻すロールバック処理を行うロールバック処理実行部（４２）を備え、
    前記ロールバック処理実行部は、前記整合性判定部により前記車両構成情報の整合否が判定された場合に、前記ロールバック処理を行う請求項７又は８に記載した車両用電子制御装置。
11. 前記ロールバック処理実行部は、前記整合性判定部により前記車両構成情報の整合否が判定されたことで前記切替指示送信部が前記切替指示を前記更新対象ノードに再送する前記リトライ処理を行った後に、前記整合性判定部により前記車両構成情報の整合否が再度判定された場合に、前記ロールバック処理を行う請求項１０に記載した車両用電子制御装置。
12. 前記ロールバック処理実行部は、前記更新対象ノードにおけるアクティベート処理の完了後から所定期間内であることを条件とし、前記ロールバック処理を行う請求項１０又は１１に記載した車両用電子制御装置。
13. 前記ロールバック処理実行部は、前記所定期間を動的に決定する請求項１２に記載した車両用電子制御装置。
14. 第１フラグと第２フラグを択一的に設定可能であり、
    前記ロールバック処理実行部は、前記第２フラグを設定していることを条件とし、前記ロールバック処理を行う請求項１０から１３の何れか一項に記載した車両用電子制御装置。
15. 認証が成立していることを条件とし、前記第１フラグから前記第２フラグへの設定変更が可能である請求項１４に記載した車両用電子制御装置。
16. 前記第２フラグから前記第１フラグへの設定変更が不可である請求項１４又は１５に記載した車両用電子制御装置。
17. 車両バッテリを充電可能な充電可能状態と充電不能な充電不能状態とを切替可能な車両に搭載され、前記車両バッテリから供給される電力を動作電力として動作する車両用電子制御装置（１３）の制御部（３４）に、
    更新対象ノードにおいて更新データを書込んで更新後のソフトウェアを生成するインストール処理の完了後であって前記充電可能状態中に、更新後のソフトウェアを有効とするアクティベート処理の承諾可否をユーザに対して問合わせるアクティベート承諾を行うアクティベート承諾実行手順と、
    アクティベートの承諾許可が特定されたことを条件とし、前記充電可能状態中に、前記アクティベート処理を前記充電可能状態中において実行させるための切替指示を、前記充電可能状態中に前記アクティベート処理を実行する前記更新対象ノードに送信する手順と、
    アクティベートの承諾許可が特定されたことを条件とし、前記充電可能状態中に、前記アクティベート処理を前記充電不能状態中において実行させるための切替設定指示を、前記充電不能状態中に前記アクティベート処理を実行する前記更新対象ノードに送信する手順と、を実行させる更新プログラム。

Images