JP7679802B2 - 制御システム - Google Patents

Description

本開示は、制御システム、制御装置、制御プログラム更新方法、およびプログラムに関する。

従来、複数の制御装置を含む制御システムが搭載された車両が知られている。複数の制御装置の各々には、例えば車両に搭載されたアクチュエータを制御するためのソフトウェアが実装される。車両が市場に供給された後は、例えばＯＴＡ（Over The Air）により更新プログラム（制御プログラムの更新版）が車両に提供され得る。車両は、提供された更新プログラムを用いて、制御システムのソフトウェアを更新することができる。上記制御システムに含まれる少なくとも１つの制御装置においてソフトウェアの更新が行われることによって、車両が備える機能の更新（例えば、修正または追加）が行われる。ただし、複数の制御装置によって連携して行われる制御（例えば、自動運転制御のような運転支援系の制御）に関しては、それら制御装置において、実行される制御プログラムのバージョンが整合していることが要求される。

特開２０１９－１４４６７０号公報（特許文献１）には、制御システムに含まれる各実行部が、他の実行部の実行対象とする制御プログラムに含まれる識別子を他の実行部から取得し、その識別子に基づいて、他の実行部の実行対象とする制御プログラムが変更されたか否かを判断する技術が開示されている。

特開２０１９－１４４６７０号公報

各制御装置の実行対象とする制御プログラムの識別子を確認することで、制御装置間でソフトウェアの不整合が生じたか否かを確認することができる。しかし、ソフトウェアの不整合が生じる前にソフトウェアの不整合を抑制することが望ましい。また、ユーザの利便性の観点から、複数の制御装置における制御プログラム（ソフトウェア）の更新は、各制御装置の起動時に一斉に行われることが望ましい。

ＯＴＡを利用した車両ソフトウェアの更新は、例えば、ダウンロード（新しいソフトウェアを車両へ送信）、インストール（新しいソフトウェアを制御装置へ書込み）、アクティベート（制御装置に書き込まれた新しいソフトウェアの有効化）のような手順で行われる。こうした手順を経て新しいソフトウェアのアクティベートが完了した複数の制御装置を、一斉にシャットダウンさせた後、一斉に起動させることで、各制御装置のソフトウェアが新しいソフトウェアに更新される。

しかしながら、複数の制御装置が所望のタイミングで一斉にシャットダウンするとは限らない。電源の瞬断などに起因して一部の制御装置のみがアクティベート完了前にシャットダウンしてしまうと、アクティベートが完了していない制御装置は、更新前のソフトウェアで起動し、アクティベートが完了した他の制御装置は新しいソフトウェア（更新後のソフトウェア）で起動する。こうした場合に、制御装置間でのソフトウェアの不整合が生じ得る。

本開示は、上記課題を解決するためになされたものであり、その目的は、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することである。

本開示の第１の観点に係る形態に従うと、以下に示す制御システムが提供される。
（第１項）当該制御システムは、複数の制御装置を含む。複数の制御装置の各々は、複数の記憶領域を含む記憶部を備え、複数の記憶領域のいずれかである実行用記憶領域に記憶された制御プログラムを実行するように構成される。複数の制御装置の各々の実行用記憶領域以外の記憶領域に制御プログラムの更新版がインストールされた状態で複数の制御装置の各々が制御プログラムの更新を行う場合には、複数の制御装置の各々が実行用記憶領域を切り替える準備を行い、複数の制御装置の全てが切替準備完了状態になったことに基づいて複数の制御装置の全てがシャットダウンする。複数の制御装置の全てが切替準備完了状態でシャットダウンした場合には、複数の制御装置の各々が、次の起動時に、制御プログラムの更新版がインストールされた記憶領域を実行用記憶領域として設定する。

以下、上記実行用記憶領域を、「アクティブ面」とも称する。また、上記実行用記憶領域に記憶された制御プログラムの更新版がインストールされた上記記憶領域を、「書込み面」とも称する。

上記制御システムでは、アクティベートに係る処理のうち、アクティブ面の切替準備に係る処理はシャットダウン前に実行され、アクティブ面の切替えに係る処理はシャットダウン後の起動時に実行される。ソフトウェア（制御プログラム）を更新するためには、新しいソフトウェア（制御プログラムの更新版）をインストールした後、アクティブ面を切り替える準備（すなわち、アクティブ面として書込み面を設定する準備）を行う必要がある。切替準備に係る処理では、制御装置を切替準備完了状態（すなわち、現時点でアクティブ面として設定されている記憶領域から書込み面にアクティブ面を切り替えても制御装置が正常に動作する状態）にする。切替準備完了状態の制御装置においては、更新前の制御プログラムによって実行すべきタスクが残っておらず、更新前の制御プログラムの実行が不要な状態になっている。このため、切替準備完了状態の制御装置は、シャットダウン後、次の起動時にアクティブ面の切替えを行う（アクティブ面として書込み面を設定する）だけで、スムーズにソフトウェアを更新することができる。

上記制御システムでは、複数の制御装置の全てが切替準備完了状態でシャットダウンした場合に、それら制御装置の各々が、次の起動時にアクティブ面の切替えを行う。起動直後の短期間（アクティブ面の切替えが行われる期間）に電源の瞬断などでいずれかの制御装置がシャットダウンする可能性は低い。このため、上記制御システムによれば、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することが可能になる。

上記第１項に記載の制御システムは、以下に示す第２項～第７項のいずれか１項に記載の構成を有し得る。

（第２項）第１項に記載の制御システムが以下の特徴をさらに有する。複数の制御装置の少なくとも１つが切替準備完了状態になる前にシャットダウンした場合には、複数の制御装置の全てが、次の起動時に実行用記憶領域を切り替えない。

アクティブ面の切替えよりも切替準備のほうが長時間かかる傾向がある。このため、アクティブ面の切替準備中に電源の瞬断などでいずれかの制御装置がシャットダウンする可能性がある。この点、上記構成によれば、複数の制御装置の少なくとも１つが切替準備完了状態になる前に電源の瞬断などでシャットダウンした場合には、複数の制御装置の全てが次の起動時にアクティブ面の切替えを行わない。このため、それら制御装置間でソフトウェアの不整合が生じにくい。

（第３項）第１項または第２項に記載の制御システムが以下の特徴をさらに有する。複数の制御装置の各々は、実行用記憶領域の切替え準備が完了すると、当該制御装置が切替準備完了状態になったことを示す準備完了信号を送信するように構成される。複数の制御装置は、リング型の通信により、それら制御装置間で準備完了信号をやり取りするように構成される。

上記構成によれば、複数の制御装置に含まれる一の制御装置が、他の制御装置から受信した上記準備完了信号に基づいて、当該他の制御装置が切替準備完了状態になったことを把握することが可能になる。また、リング型の通信により、制御装置間における通信の逼迫を抑制しやすくなる。

（第４項）第１項または第２項に記載の制御システムが以下の特徴をさらに有する。複数の制御装置の各々は、実行用記憶領域の切替え準備が完了すると、当該制御装置が切替準備完了状態になったことを示す準備完了信号を送信するように構成される。複数の制御装置は、スター型の通信により、それら制御装置間で準備完了信号をやり取りするように構成される。

上記構成によれば、複数の制御装置に含まれる所定の制御装置が、他の制御装置から受信した上記準備完了信号に基づいて、当該他の制御装置が切替準備完了状態になったことを把握することが可能になる。また、他の制御装置は、スター型の通信により、所定の制御装置に直接的に上記準備完了信号を送信することができる。これにより、所定の制御装置は早期に他の制御装置の状態を把握しやすくなる。

（第５項）第１項～第４項のいずれか１項に記載の制御システムが以下の特徴をさらに有する。複数の制御装置は、第１制御装置、第２制御装置、および第３制御装置を含む。第１制御装置は、ユーザからのシャットダウン要求を受け付けるように構成される。第１制御装置は、シャットダウン要求を受けたときに、第１～第３制御装置の全てに制御プログラムの更新版がインストールされている場合には、第２制御装置および第３制御装置の各々に切替指示を送信した後、実行用記憶領域の切替え準備を開始する。第２制御装置および第３制御装置の各々は、切替指示を受けると、実行用記憶領域の切替え準備を開始する。

上記構成によれば、ユーザからの要求に応じてアクティブ面の切替準備に係る処理が開始される。このため、ソフトウェア更新のための処理が、ユーザの利便性を損なわないタイミングで実行されやすくなる。

（第６項）第５項に記載の制御システムが以下の特徴をさらに有する。第２制御装置および第３制御装置のいずれかに制御プログラムの更新版がインストールされていない状態で第１制御装置が制御プログラムの更新を行う場合には、第１制御装置は、第２制御装置と第３制御装置とのいずれに制御プログラムの更新版がインストールされているかを特定する。そして、第１制御装置は、上記特定後に、制御プログラムの更新版がインストールされている制御装置には切替指示を送信し、制御プログラムの更新版がインストールされていない制御装置には切替指示を送信しない。

上記構成によれば、新しいソフトウェアがインストールされていない制御装置に対しては切替指示が送信されない。これにより、不要な通信が抑制される。

（第７項）第５項または第６項に記載の制御システムが以下の特徴をさらに有する。複数の制御装置の各々は、車両を制御するように構成される。車両は、ユーザが車両システムを起動させるための起動スイッチを備える。ユーザが起動スイッチをオフ操作すると、シャットダウン要求が第１制御装置に入力される。複数の制御装置の各々は、ユーザによる起動スイッチのオン操作に応じて起動する。

上記構成によれば、ユーザによる車両の起動スイッチ操作に応じて、アクティブ面の切替準備に係る処理が開始されるとともにシャットダウン後に各制御装置が起動する。このため、ソフトウェア更新のための処理が、ユーザの利便性を損なわないタイミングで実行されやすくなる。

車両は、電力を動力源の全てまたは一部として利用する電動車両（ｘＥＶ）であってもよい。ｘＥＶには、ＢＥＶ（電気自動車）、ＰＨＥＶ（プラグインハイブリッド車）、ＨＥＶ（ハイブリッド車）、ＦＣＥＶ（燃料電池車）などが含まれる。

本開示の第２の観点に係る形態に従うと、以下に示す制御装置が提供される。
（第８項）当該制御装置は、複数の記憶領域を含む記憶部と、複数の記憶領域のいずれかを実行用記憶領域として設定する設定部と、実行用記憶領域に記憶された制御プログラムを実行する実行部と、制御プログラムの更新版である更新プログラムを複数の記憶領域のいずれかにインストールする書込部とを備える。複数の記憶領域は、第１記憶領域および第２記憶領域を含む。第１記憶領域が実行用記憶領域として設定され、かつ、第２記憶領域に更新プログラムがインストールされた状態で、当該制御装置を含む複数の制御装置が制御プログラムの更新を行う場合に、設定部が、実行用記憶領域を第２記憶領域に切り替える準備を行う。そして、複数の制御装置の全てが切替準備完了状態になったことに基づいて当該制御装置はシャットダウンする。設定部は、切替準備完了状態でシャットダウンした当該制御装置の次の起動時に、実行用記憶領域を第１記憶領域から第２記憶領域に切り替える。

上記制御装置でも、前述した制御システムと同様、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することが可能になる。

本開示の第３の観点に係る形態に従うと、以下に示す制御プログラム更新方法が提供される。

（第９項）当該制御プログラム更新方法は、複数の制御装置の各々の実行用記憶領域に記憶された制御プログラムの更新版を、複数の制御装置の各々の実行用記憶領域以外の記憶領域にインストールすることと、制御プログラムの更新版がインストールされた複数の制御装置の各々が実行用記憶領域を切り替える準備を行うことと、複数の制御装置の全てが実行用記憶領域を切り替える準備を完了したことに基づいて複数の制御装置の全てがシャットダウンすることと、切替準備完了状態でシャットダウンした複数の制御装置の全てが、次の起動時に、制御プログラムの更新版がインストールされた記憶領域に実行用記憶領域を切り替えることとを含む。

上記制御プログラム更新方法でも、前述した制御システムと同様、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することが可能になる。

他の観点に係る形態に従うと、第９項に記載の方法をコンピュータに実行させるプログラムが提供される。ある形態においては、上記プログラムを記憶する記憶装置と、記憶装置に記憶されたプログラムを実行するプロセッサとを備えるコンピュータ装置が提供される。他の形態においては、上記プログラムを配信するコンピュータ装置が提供される。

本開示によれば、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することが可能になる。

本開示の実施の形態に係る車両の構成を示す図である。 本開示の実施の形態に係る制御システムに含まれる各制御装置の構成および機能について説明するための図である。 本開示の実施の形態に係るアクティベート方法におけるアクティブ面の切替準備に係る処理を示すフローチャートである。 本開示の実施の形態に係るアクティベート方法におけるアクティブ面の切替えに係る処理を示すフローチャートである。 本開示の実施の形態に係る制御システムに含まれる各制御装置のインストール完了後の動作の一例について説明するための図である。 図５に示した形態の第１変形例を示す図である。 図５に示した形態の第２変形例を示す図である。

本開示の実施の形態について、図面を参照しながら詳細に説明する。図中、同一または相当部分には同一符号を付してその説明は繰り返さない。

図１は、この実施の形態に係る車両１００の構成を示す図である。図１を参照して、車両１００は、例えば内燃機関を備えない電気自動車（ＢＥＶ）である。車両１００は、ＥＣＵ１０，２０，３０と、起動スイッチ５０と、運転装置６１と、ＡＤＳ（Autonomous Driving System）６２と、ＨＭＩ（Human Machine Interface）７０とを備える。ＥＣＵ１０，２０，３０、運転装置６１、ＡＤＳ６２、およびＨＭＩ７０の各々は、図示しない電源（例えば、車載バッテリ）から電力の供給を受ける。「ＥＣＵ」は、電子制御装置（Electronic Control Unit）を意味する。

起動スイッチ５０は、ユーザが車両システム（車両１００の制御システム）を起動させるためのスイッチであり、例えば車両１００の車室内に設置される。一般に、起動スイッチは「パワースイッチ」または「イグニッションスイッチ」などと称される。ユーザが起動スイッチ５０を操作することによって車両システムのオン（作動）／オフ（停止）が切り替わる。起動スイッチ５０がオン操作されることによって停止状態の車両システム（ＥＣＵ１０，２０，３０を含む）が起動し、車両システムは作動状態（以下、「ＩＧオン」とも称する）になる。また、車両システムが作動しているときに、起動スイッチ５０がオフ操作されると、車両システムは停止状態（以下、「ＩＧオフ」とも称する）になる。

起動スイッチ５０のオン操作は、車両１００の状態をＩＧオフからＩＧオンに切り替える操作である。ユーザが起動スイッチ５０をオン操作すると、起動要求がＥＣＵ１０，２０，３０の各々に入力される。すなわち、ＥＣＵ１０，２０，３０の各々は、ユーザからの起動要求を受け付ける。一方、起動スイッチ５０のオフ操作は、車両１００の状態をＩＧオンからＩＧオフに切り替える操作である。ユーザが起動スイッチ５０をオフ操作すると、シャットダウン要求がＥＣＵ１０，２０，３０の各々に入力される。すなわち、ＥＣＵ１０，２０，３０の各々は、ユーザからのシャットダウン要求を受け付ける。ただし、走行中の車両１００においては、起動スイッチ５０のオフ操作が禁止される。

ＨＭＩ７０は入力装置および表示装置を含む。ＨＭＩ７０は、タッチパネルディスプレイを含んでもよい。ＨＭＩ７０は、ＩＶＩ（In-Vehicle Infotainment）システムと、メータパネルと、ヘッドアップディスプレイと、ステアリングスイッチとの少なくとも１つを含んでもよい。

ＯＴＡセンタ１０００は、ＯＴＡ（Over The Air）技術を活用し、当該センタから通信区画を経由して遠隔での車載ＥＣＵソフトウェア更新を実施するように構成される。ＥＣＵ１０は、ＯＴＡマスタとして機能する。具体的には、ＥＣＵ１０は、ＯＴＡセンタ１０００と無線通信を行う。ＥＣＵ１０は、車両内情報を管理し、キャンペーンを受け取り、ソフトウェア更新シーケンスを管理する。ＥＣＵ１０は、車載診断装置として、ＯＴＡ機能を有する各ＥＣＵを制御する。車両１００では、ＥＣＵ１０，２０，３０がＯＴＡ機能を有する。車両１００は、ＥＣＵ１０，２０，３０に加えて、ＯＴＡ機能を有しないＥＣＵ（図示せず）をさらに備えてもよい。

車両１００は、自動運転可能に構成される自動運転車両である。この実施の形態に係る車両１００は、有人走行と無人走行との両方を実行可能に構成される。車両１００は、無人で自律走行可能に構成されるが、ユーザによる手動運転で走行（有人走行）することもできる。また、車両１００は、有人走行中に自動運転（例えば、オートクルーズコントロール）を実行することも可能である。自動運転のレベルは、完全自動運転（レベル５）であってもよいし、条件付きの自動運転（例えば、レベル４）であってもよい。

ＥＣＵ２０，３０は、運転装置６１を制御するように構成される。運転装置６１は、アクセル装置、ブレーキ装置、および操舵装置を含む。アクセル装置は、例えば、車両１００の駆動輪を回転させるモータジェネレータ（以下、「ＭＧ」と表記する）と、ＭＧを駆動するＰＣＵ（Power Control Unit）と、ＭＧを駆動するための電力をＰＣＵに供給するバッテリとを含む。ＭＧは、車両１００の走行用モータとして機能する。ブレーキ装置は、例えば、車両１００の各車輪に設けられた制動装置と、制動装置を駆動するアクチュエータとを含む。操舵装置は、例えば、ＥＰＳ（Electric Power Steering）と、ＥＰＳを駆動するアクチュエータとを含む。

ＡＤＳ６２は、車両１００の外部環境を認識する認識用センサ（例えば、カメラ、ミリ波レーダ、ライダーの少なくとも１つ）を含み、認識用センサによって逐次取得される情報に基づいて自動運転に係る処理を実行する。具体的には、ＡＤＳ６２は、ＥＣＵ２０，３０と連携しながら、車両１００の外部環境に応じた走行計画（今後の車両１００の挙動を示す情報）を生成する。そして、ＡＤＳ６２は、その走行計画に従って車両１００を走行させるように、運転装置６１に含まれる各種アクチュエータの制御をＥＣＵ２０，３０に要求する。

なお、この実施の形態では、ＡＤＳ６２が車両１００に内蔵される。しかしこれに限られず、ＡＤＳ６２は、車両１００に対して着脱可能な自動運転キットであってもよい。自動運転キットのセンサユニット（認識用センサを含む）は、車両１００のルーフトップに取り付けられてもよい。

この実施の形態に係るＯＴＡソフトウェア更新（ＯＴＡを利用した車両ソフトウェアの更新）は、構成同期、キャンペーン通知と適用承諾、ダウンロード、インストール、アクティベート、ソフトウェア更新完了通知のような手順で行われる。

車両１００は、例えば起動スイッチ５０がオン操作されたことを契機として構成同期を開始する。車両１００による構成同期処理は、車両構成情報をＯＴＡセンタ１０００に送信することを含む。車両構成情報は、例えば、車両１００に含まれるＥＣＵごとのハードウェア情報（ハードウェアの品番、ＥＣＵの識別子などを示す情報）およびソフトウェア情報（ソフトウェアの品番などを示す情報）を含む。車両構成情報は、認可対象ごとのＲＸＳＷＩＮをさらに含んでもよい。ＲＸＳＷＩＮは、機能型式認可を構成するソフトウェアを特定可能な識別番号である。

ＯＴＡセンタ１０００は、車両１００から上記車両構成情報を受信すると、現時点で発生しているキャンペーンを確認し、車両１００に適用可能なキャンペーンが存在すれば、車両構成情報受信の応答でそのキャンペーンに関する情報（キャンペーン情報）を車両１００へ送信する。キャンペーン情報は、例えば、キャンペーン属性情報（ソフトウェア更新の目的、および更新で影響の可能性がある車両の機能などを示す情報）と、キャンペーン対象車両のリストと、キャンペーン対象ＥＣＵに関する情報（例えば、更新前後のソフトウェア情報）と、更新前後のユーザへの通知に関する情報とを含む。

車両１００は、上記キャンペーン情報を受信すると、そのキャンペーンの適用を承諾するか否かの入力をユーザに求める。具体的には、車両１００は、例えば「新しいソフトウェアが見つかりました。この車に適用しますか？」のようなメッセージをＨＭＩ７０に表示させて、「承諾」と「拒否」とのいずれか一方を示す入力をユーザに要求する。そして、ユーザがＨＭＩ７０に対して「承諾」を示す入力を行うと、車両１００はダウンロードを実行する。他方、ユーザがＨＭＩ７０に対して「拒否」を示す入力を行うと、車両１００はダウンロード以降の処理を実行しない。

車両１００においては、ＯＴＡマスタであるＥＣＵ１０が、例えば以下に説明する手順でダウンロードに係る処理を実行する。ＥＣＵ１０は、新しいソフトウェアを含む配信パッケージをＯＴＡセンタ１０００に要求する。そして、ＥＣＵ１０は、ＯＴＡセンタ１０００と無線通信を行いながら、その配信パッケージのダウンロード（受信および保存）を実行する。配信パッケージは、新しいソフトウェア（例えば、キャンペーンの対象となるＥＣＵごとの更新データのセット）に加えて、パッケージ属性情報（更新区分、配信パッケージ中の更新データ数、各ＥＣＵのインストール順序などを示す情報）、および更新データ属性情報（ターゲットＥＣＵの識別子、更新データの正当性を検証するための検証用データなど）を含んでもよい。ターゲットＥＣＵは、ＯＴＡマスタ以外のソフトウェア更新対象となるＥＣＵである。

上述したダウンロードに係る処理により、ＥＣＵ１０が備えるストレージ（図示せず）に上記配信パッケージが保存される。ダウンロード中は、ＨＭＩ７０がユーザにダウンロードの進捗を報知する。ダウンロード完了後、ＥＣＵ１０は、ダウンロードされた配信パッケージの真正性を検証する。そして、検証の結果が「正常」であれば、ＥＣＵ１０は、ソフトウェア更新状態（ダウンロード完了）をＯＴＡセンタ１０００に通知する。この通知が行われることは、ダウンロードが成功したことを意味する。

ダウンロードが成功すると、車両１００はインストールを実行する。具体的には、ＥＣＵ１０は、各ターゲットＥＣＵ（例えば、ＥＣＵ２０，３０）に、当該ターゲットＥＣＵの状態およびＤＴＣ（Diagnostic Trouble Code）の出力を要求する。ＥＣＵ１０は、各ターゲットＥＣＵの状態およびＤＴＣに基づいて、ターゲットＥＣＵごとにインストール実行可否を判断する。そして、ＥＣＵ１０は、インストール実行可能なターゲットＥＣＵに新しいソフトウェア（更新データ）を転送する。更新データを受信したターゲットＥＣＵは、その更新データのインストール（不揮発性メモリへの書込み）を実行する。また、ＥＣＵ１０（ＯＴＡマスタ）自身も、ターゲットＥＣＵと同様に、配信パッケージに含まれる自らの更新データのインストールを実行する。インストール中は、ＨＭＩ７０がユーザにインストールの進捗を報知する。

ＥＣＵ１０からターゲットＥＣＵへの上記更新データの転送が完了すると、ターゲットＥＣＵは、転送完了通知をＥＣＵ１０に送信する。そして、転送完了通知を受けたＥＣＵ１０は、ターゲットＥＣＵに完全性検証を要求する。この要求を受けたターゲットＥＣＵは、完全性検証データ（検証用データ）を用いて検証を行い、その検証結果をＥＣＵ１０へ送信する。ＥＣＵ１０は、ターゲットＥＣＵごとの検証結果（インストールの完了／失敗／中止）を保存する。全てのターゲットＥＣＵの完全性検証が完了し、全ての検証結果が「正常」であれば、ＥＣＵ１０は、ソフトウェア更新状態（インストール完了）をＯＴＡセンタ１０００に通知する。この通知が行われることは、インストールが成功したことを意味する。

ダウンロードに続けてインストールにも成功すると、車両１００はアクティベート（インストールされたソフトウェアの有効化）を実行する。この実施の形態に係るアクティベート方法については後述する。車両１００は、アクティベート完了後の構成確認が成功すると、ソフトウェア更新の結果をＨＭＩ７０に表示させる。ＨＭＩ７０は、例えば更新の成功を示すソフトウェア更新完了画面を表示する。その後、ＥＣＵ１０は、ソフトウェア更新状態（ソフトウェア更新完了）をＯＴＡセンタ１０００に通知する。この通知が行われることは、ＯＴＡソフトウェア更新が成功したことを意味する。

なお、この実施の形態では、ユーザ端末として車載端末（ＨＭＩ７０）を採用しているが、車載端末以外の端末も、ユーザ端末として採用可能である。例えば、ユーザ端末は、ラップトップ、タブレット端末、スマートフォン、ウェアラブルデバイス（スマートウォッチ、スマートグラスなど）、または電子キーのような携帯端末であってもよい。ユーザ端末としては、ユーザが所持する任意の端末を採用できる。また、ユーザに対する報知方法は、表示に限られず、音声で報知してもよい。

図２は、ＥＣＵ１０，２０，３０の構成および機能について説明するための図である。図２を参照して、ＥＣＵ１０，２０，３０は、それぞれプロセッサ１１，２１，３１およびメモリ１２，２２，３２を備える。プロセッサ１１，２１，３１の各々は、例えばＣＰＵ（Central Processing Unit）である。メモリ１２，２２，３２の各々は、例えばフラッシュメモリのような不揮発性メモリである。メモリ１２，２２，３２は、それぞれ第１記憶領域１２１，２２１，３２１および第２記憶領域１２２，２２２，３２２を含む。この実施の形態では、ＥＣＵ１０、ＥＣＵ２０、ＥＣＵ３０が、それぞれ本開示に係る「第１制御装置」、「第２制御装置」、「第３制御装置」の一例に相当する。また、メモリ１２，２２，３２の各々は、本開示に係る「記憶部」として機能する。

ＥＣＵ１０は、車両外部の装置と通信を行うための通信モジュール１５を含む。ＥＣＵ１０は携帯電話網を経由して車両外部の装置（例えば、ＯＴＡセンタ１０００）と無線通信してもよい。通信モジュール１５は、無線通信を行うＴＣＵ（Telematics Control Unit）および／またはＤＣＭ（Data Communication Module）を含んでもよい。さらに、通信モジュール１５は、車両外部の装置と有線通信を行う通信Ｉ／Ｆ（インターフェース）を含んでもよい。ＥＣＵ１０は、図示しないＤＬＣ（Data Link Connector）を介してスキャンツール（有線ソフトウェア更新を行う専用ツール）と有線通信してもよい。

ＥＣＵ１０，２０，３０は、通信バスを介して接続されており、相互に有線通信可能に構成される。ＥＣＵ間の通信方式は、特に限定されないが、例えばＣＡＮ（Controller Area Network）またはＥｔｈｅｒｎｅｔ（登録商標）であってもよい。

ＥＣＵ１０，２０，３０の各々で前述のインストールが完了した直後においては、ＥＣＵ１０，２０，３０の各々が例えば図２に示す状態になっている。第１記憶領域１２１，２２１，３２１の各々には、制御プログラム（旧ソフトウェア）が記憶されている。プロセッサ１１，２１，３１はそれぞれ、前述のインストールにおいて、第１記憶領域１２１，２２１，３２１に記憶された制御プログラムの更新版である更新プログラム（新しいソフトウェア）を第２記憶領域１２２，２２２，３２２にインストールする。第１記憶領域１２１および第２記憶領域１２２の各々に記憶された制御プログラム（旧ソフトウェアおよび新しいソフトウェア）は、例えば、プロセッサ１１が複数のＥＣＵ（例えば、ＥＣＵ２０，３０）を統合制御するためのプログラムである。第１記憶領域２２１および第２記憶領域２２２の各々に記憶された制御プログラム（旧ソフトウェアおよび新しいソフトウェア）は、例えば、プロセッサ２１が前述した自動運転制御を行うためのプログラムである。第１記憶領域３２１および第２記憶領域３２２の各々に記憶された制御プログラム（旧ソフトウェアおよび新しいソフトウェア）は、例えば、プロセッサ３１が前述した自動運転制御を行うためのプログラムである。

プロセッサ１１，２１，３１はそれぞれ、第１記憶領域１２１，２２１，３２１と第２記憶領域１２２，２２２，３２２とのいずれかをアクティブ面Ｐ１，Ｐ２，Ｐ３（実行用記憶領域）として設定する。図２に示す状態では、第１記憶領域１２１，２２１，３２１がそれぞれアクティブ面Ｐ１，Ｐ２，Ｐ３として設定されている。プロセッサ１１，２１，３１は、それぞれアクティブ面Ｐ１，Ｐ２，Ｐ３（第１記憶領域１２１，２２１，３２１）に記憶された制御プログラムを実行する。図２に示す状態では、第２記憶領域１２２，２２２，３２２の各々が、書込み面（すなわち、アクティブ面Ｐ１，Ｐ２，Ｐ３に記憶された制御プログラムの更新版がインストールされた記憶領域）に相当する。

プロセッサ１１，２１，３１の各々は、インストール完了後にアクティベートを実行する。この実施の形態では、プロセッサ１１，２１，３１がそれぞれ、アクティベートに係る処理を、アクティブ面Ｐ１，Ｐ２，Ｐ３の切替準備に係る処理（以下、「ＡＣＶ準備処理」とも称する）と、アクティブ面Ｐ１，Ｐ２，Ｐ３の切替えに係る処理（以下、「ＡＣＶ切替処理」とも称する）とに分けて実行する。プロセッサ１１，２１，３１の各々は、シャットダウン前にＡＣＶ準備処理を実行し、シャットダウン後の起動時にＡＣＶ切替処理を実行する。

ＡＣＶ準備処理では、プロセッサ１１，２１，３１が、それぞれＥＣＵ１０，２０，３０を切替準備完了状態にする。切替準備完了状態は、後述するＡＣＶ切替処理を行ってもＥＣＵが正常に動作する状態である。プロセッサ１１，２１，３１の各々は、例えば、旧ソフトウェアによって実行すべきタスクを完了させ、旧ソフトウェアに係る全てのタスクをクローズする。

ＡＣＶ切替処理では、プロセッサ１１，２１，３１が、それぞれ第１記憶領域１２１，２２１，３２１から第２記憶領域１２２，２２２，３２２にアクティブ面Ｐ１，Ｐ２，Ｐ３を切り替える。すなわち、プロセッサ１１，２１，３１は、それぞれ第２記憶領域１２２，２２２，３２２をアクティブ面Ｐ１，Ｐ２，Ｐ３として設定する。

図２に示す状態のＥＣＵ１０，２０，３０が制御プログラムの更新を行う場合には、プロセッサ１１，２１，３１がそれぞれ、アクティブ面Ｐ１，Ｐ２，Ｐ３を第２記憶領域１２２，２２２，３２２に切り替える準備（ＡＣＶ準備処理）を行う。ＡＣＶ準備処理は、ユーザが起動スイッチ５０をオフ操作したことに基づいて開始される。その後、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったことに基づいて、ＥＣＵ１０，２０，３０の各々がシャットダウンする。そして、切替準備完了状態でシャットダウンしたＥＣＵ１０，２０，３０はそれぞれ、次の起動時に、アクティブ面Ｐ１，Ｐ２，Ｐ３を第１記憶領域１２１，２２１，３２１から第２記憶領域１２２，２２２，３２２に切り替える処理（ＡＣＶ切替処理）を行う。ＥＣＵ１０，２０，３０の各々は、ユーザによる起動スイッチ５０のオン操作に応じて起動する。

この実施の形態では、プロセッサ１１，２１，３１の各々が、本開示に係る「設定部」、「実行部」、および「書込部」として機能する。より具体的には、プロセッサ１１，２１，３１の各々は、後述する図３および図４に示す一連の処理を実行する。これら各部の機能は、記憶装置（例えば、メモリ１２，２２，３２または図示しないストレージ）に記憶されたプログラムと、プログラムを実行するプロセッサ１１，２１，３１とによって具現化されてもよい。あるいは、専用のハードウェア（電子回路）によって、これら各部の機能が具現化されてもよい。また、ソフトウェアとハードウェアとの機能分割によって、同様の機能を実現してもよい。なお、各ＥＣＵが備えるプロセッサおよびメモリの各々の数は任意である。ＥＣＵ１０，２０，３０の少なくとも１つが、複数のプロセッサを備えてもよいし、複数のメモリを備えてもよい。ＥＣＵは、メインマイコンおよびサブマイコンのような形態で、複数のマイコン（マイクロコンピュータ）を備えてもよい。

図３は、この実施の形態に係るアクティベート方法におけるアクティブ面の切替準備に係る処理（ＡＣＶ準備処理）を示すフローチャートである。このフローチャートに示される処理は、ＯＴＡマスタおよびターゲットＥＣＵの各々がインストール完了状態であるときに起動スイッチ５０のオフ操作が行われると、実行される。フローチャート中の「Ｓ」は、ステップを意味する。

この実施の形態では、ＥＣＵ１０がＯＴＡマスタであり、ＥＣＵ２０，３０がターゲットＥＣＵである。図２に示すインストール完了状態で起動スイッチ５０のオフ操作が行われると、ＥＣＵ１０（ＯＴＡマスタ）が以下に説明するＳ１１～Ｓ１９の一連の処理を開始する。なお、以下に示す一連の処理で使用される切替フラグは、ＥＣＵ１０，２０，３０の各々が備える記憶装置（例えば、メモリ１２，２２，３２または図示しないストレージ）に予め記憶されている。切替フラグがＯＮであることは、ＥＣＵ起動時のＡＣＶ切替処理を許可することを意味する。切替フラグがＯＦＦであることは、ＥＣＵ起動時のＡＣＶ切替処理を禁止することを意味する。切替フラグの初期値は「ＯＦＦ」である。

図１，図２とともに図３を参照して、Ｓ１１では、ＥＣＵ１０がターゲットＥＣＵ（ＥＣＵ２０，３０）に切替指示を送信する。この実施の形態では、ＥＣＵ１０がユーザからシャットダウン要求を受けたときに、ＥＣＵ１０，２０，３０の全てに更新プログラム（制御プログラムの更新版）がインストールされている場合には、Ｓ１１の処理が実行され、ＥＣＵ１０がＥＣＵ２０，３０の各々に切替指示を送信する。

続けて、ＥＣＵ１０は、Ｓ１２において、前述したＡＣＶ準備処理（アクティブ面の切替え準備）を開始し、Ｓ１３において、ＡＣＶ準備処理が完了したか否かを判断する。Ｓ１３において「完了していない」と判断されている間は（Ｓ１３にてＮＯ）、ＥＣＵ１０は、ＡＣＶ準備処理（Ｓ１２）を継続的に実行する。

ターゲットＥＣＵ（ＥＣＵ２０，３０）は、ＥＣＵ１０から前述の切替指示（Ｓ１１）を受信すると、Ｓ２１～Ｓ２７の一連の処理を開始する。ターゲットＥＣＵは、Ｓ２１において、前述したＡＣＶ準備処理（アクティブ面の切替え準備）を開始し、Ｓ２２において、ＡＣＶ準備処理が完了したか否かを判断する。Ｓ２２において「完了していない」と判断されている間は（Ｓ２２にてＮＯ）、ターゲットＥＣＵは、ＡＣＶ準備処理（Ｓ２１）を継続的に実行する。このように、ＥＣＵ２０，３０の各々は、上記切替指示を受けると、アクティブ面の切替え準備を開始する。

ＥＣＵ１０によるＡＣＶ準備処理が完了すると（Ｓ１３にてＹＥＳ）、ＥＣＵ１０は、Ｓ１４において、当該ＥＣＵ（ＥＣＵ１０）が切替準備完了状態になったことを示す信号（個別準備完了通知）を送信する。以下、Ｓ１４でＥＣＵ１０が送信する個別準備完了通知を、「第１準備完了信号」と称する。詳細は後述するが、この実施の形態では、ＥＣＵ１０，２０，３０が、リング型の通信により、ＥＣＵ間で個別準備完了通知をやり取りする（図５参照）。ＥＣＵ１０は、第１準備完了信号をＥＣＵ２０へ送信する。

いずれかのターゲットＥＣＵ（ＥＣＵ２０または３０）によるＡＣＶ準備処理が完了すると（Ｓ２２にてＹＥＳ）、そのターゲットＥＣＵは、Ｓ２３において、当該ターゲットＥＣＵが切替準備完了状態になったことを示す信号（個別準備完了通知）を送信する。

詳しくは、ＥＣＵ２０は、Ｓ２３において、上記第１準備完了信号をすでに受信していれば、すぐに個別準備完了通知をＥＣＵ３０に送信する。他方、ＥＣＵ２０は、Ｓ２３において、上記第１準備完了信号を受信していなければ、上記第１準備完了信号を待って、上記第１準備完了信号を受信してから個別準備完了通知をＥＣＵ３０に送信する。以下、Ｓ２３でＥＣＵ２０が送信する個別準備完了通知を、「第２準備完了信号」と称する。

ＥＣＵ３０は、Ｓ２３において、上記第２準備完了信号をすでに受信していれば、すぐに個別準備完了通知をＥＣＵ１０に送信する。他方、ＥＣＵ３０は、Ｓ２３において、上記第２準備完了信号を受信していなければ、上記第２準備完了信号を待って、上記第２準備完了信号を受信してから個別準備完了通知をＥＣＵ１０に送信する。以下、Ｓ２３でＥＣＵ３０が送信する個別準備完了通知を、「第３準備完了信号」と称する。

ＥＣＵ１０は、上記第１準備完了信号を送信した後、Ｓ１５において、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったか否かを判断する。ＥＣＵ１０は、例えば上記第３準備完了信号を受信したか否かに基づいてＳ１５の判断を行う。ＥＣＵ１０が上記第３準備完了信号を受信したことは、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったことを意味する。

ＥＣＵ１０，２０，３０のいずれかが切替準備完了状態になっていない場合には（Ｓ１５にてＮＯ）、ＥＣＵ１０は、Ｓ１６において、いずれかのターゲットＥＣＵ（ＥＣＵ２０または３０）が電源の瞬断などに起因してアクティベート準備中にシャットダウンしたか否かを判断する。Ｓ１５およびＳ１６の両方でＮＯと判断されている間は、Ｓ１５およびＳ１６の処理が繰り返される。

ＥＣＵ１０，２０，３０の全てが切替準備完了状態になる前にいずれかのターゲットＥＣＵがシャットダウンした場合には、Ｓ１６においてＹＥＳと判断され、処理がＳ１９に進む。そして、ＥＣＵ１０はＳ１９においてシャットダウンする。この場合、シャットダウン時のＥＣＵ１０の切替フラグはＯＦＦである。

ＥＣＵ１０は、上記第１準備完了信号（Ｓ１４）を送信してから所定時間経過しても、ＥＣＵ３０から上記第３準備完了信号を受信しない場合に、Ｓ１６においてＹＥＳと判断してもよい。あるいは、ＥＣＵ１０は、各ターゲットＥＣＵに確認信号を送信し、いずれかのターゲットＥＣＵから応答がない場合に、Ｓ１６においてＹＥＳと判断してもよい。なお、ＥＣＵがシャットダウンしたか否かの確認方法は、上記に限られず任意の方法を採用可能である。

ＥＣＵ１０，２０，３０の全てが切替準備完了状態になった場合には（Ｓ１５にてＹＥＳ）、ＥＣＵ１０は、Ｓ１７において、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったことを示す信号（全ＥＣＵ準備完了通知）を送信する。Ｓ１７でＥＣＵ１０が送信する全ＥＣＵ準備完了通知は、シャットダウン指示に相当する。ＥＣＵ１０は、Ｓ１７において全ＥＣＵ準備完了通知（シャットダウン指示）をＥＣＵ２０，３０の各々に送信する。

ＥＣＵ１０は、上記全ＥＣＵ準備完了通知を送信した後、Ｓ１８において切替フラグをＯＮにする。続けて、ＥＣＵ１０はＳ１９においてシャットダウンする。この場合、シャットダウン時のＥＣＵ１０の切替フラグはＯＮである。Ｓ１９の処理が実行されると、Ｓ１１～Ｓ１９の一連の処理は終了する。

ターゲットＥＣＵ（ＥＣＵ２０，３０）は、Ｓ２３で個別準備完了通知を送信した後、Ｓ２４において、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったか否かを判断する。例えば、ターゲットＥＣＵは、全ＥＣＵ準備完了通知（Ｓ１７）を受信していればＳ２４においてＹＥＳと判断し、全ＥＣＵ準備完了通知（Ｓ１７）を受信していなければＳ２４においてＮＯと判断する。ＥＣＵ１０，２０，３０のいずれかが切替準備完了状態になっていない場合には（Ｓ２４にてＮＯ）、ターゲットＥＣＵは、Ｓ２５において、他のＥＣＵが電源の瞬断などに起因してアクティベート準備中にシャットダウンしたか否かを判断する。ＥＣＵ２０がＳ２５の処理を実行する場合には、ＥＣＵ１０，３０が「他のＥＣＵ」に相当する。ＥＣＵ３０がＳ２５の処理を実行する場合には、ＥＣＵ１０，２０が「他のＥＣＵ」に相当する。ターゲットＥＣＵは、Ｓ２３で個別準備完了通知を送信してから所定時間経過しても、ＥＣＵ１０から全ＥＣＵ準備完了通知（Ｓ１７）を受信しない場合に、Ｓ２５においてＹＥＳと判断してもよい。ただし、ＥＣＵがシャットダウンしたか否かの確認方法（Ｓ２５の判断方法）としては、任意の方法を採用可能である。

Ｓ２４およびＳ２５の両方でＮＯと判断されている間は、Ｓ２４およびＳ２５の処理が繰り返される。そして、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になる前にいずれかのＥＣＵがシャットダウンした場合には（Ｓ２５にてＹＥＳ）、処理がＳ２７に進む。そして、ターゲットＥＣＵはＳ２７においてシャットダウンする。この場合、シャットダウン時のターゲットＥＣＵ（ＥＣＵ２０，３０）の切替フラグはＯＦＦである。

ＥＣＵ１０，２０，３０の全てが切替準備完了状態になった場合には（Ｓ２４にてＹＥＳ）、ターゲットＥＣＵ（ＥＣＵ２０，３０）は、Ｓ２６において切替フラグをＯＮにする。続けて、ターゲットＥＣＵはＳ２７においてシャットダウンする。この場合、シャットダウン時のターゲットＥＣＵ（ＥＣＵ２０，３０）の切替フラグはＯＮである。Ｓ２７の処理が実行されると、Ｓ２１～Ｓ２７の一連の処理は終了する。

図４は、この実施の形態に係るアクティベート方法におけるアクティブ面の切替えに係る処理（ＡＣＶ切替処理）を示すフローチャートである。このフローチャートに示される処理は、起動スイッチ５０のオン操作が行われたときに、起動したＥＣＵ１０，２０，３０の各々によって実行される。ＥＣＵ１０，２０，３０の各々による図４に示す一連の処理は並行して実行される。起動スイッチ５０のオン操作に応じて起動して図４に示す一連の処理を実行するＥＣＵ（ＥＣＵ１０、ＥＣＵ２０、またはＥＣＵ３０）を、以下では「起動ＥＣＵ」と称する。

図１，図２とともに図４を参照して、起動ＥＣＵは、Ｓ３１において、当該ＥＣＵの切替フラグがＯＮであるか否かを判断する。そして、切替フラグがＯＮである場合には（Ｓ３１にてＹＥＳ）、起動ＥＣＵは、Ｓ３２において、前述したＡＣＶ切替処理を実行する。例えば、ＥＣＵ１０は、アクティブ面Ｐ１を第１記憶領域１２１から第２記憶領域１２２に切り替える。これにより、第２記憶領域１２２がアクティブ面Ｐ１として設定される。また、ＥＣＵ２０は、アクティブ面Ｐ２を第１記憶領域２２１から第２記憶領域２２２に切り替える。これにより、第２記憶領域２２２がアクティブ面Ｐ２として設定される。また、ＥＣＵ３０は、アクティブ面Ｐ３を第１記憶領域３２１から第２記憶領域３２２に切り替える。これにより、第２記憶領域３２２がアクティブ面Ｐ３として設定される。

起動ＥＣＵは、上記ＡＣＶ切替処理を実行した後、Ｓ３３において切替フラグをＯＦＦにする。続けて、起動ＥＣＵは、Ｓ３４において、Ｓ３２で切り替えられた新たなアクティブ面に記憶された更新プログラム（新しいソフトウェア）を起動させる。Ｓ３４の処理が実行されると、図４に示す一連の処理は終了する。

他方、切替フラグがＯＦＦである場合には（Ｓ３１にてＮＯ）、起動ＥＣＵは、ＡＣＶ切替処理を実行することなく、Ｓ３５において、アクティブ面に記憶された制御プログラム（旧ソフトウェア）を起動させる。例えば、電源の瞬断などに起因してアクティベート準備中にＥＣＵ１０，２０，３０のいずれかがシャットダウンした場合には、図３に示した処理（Ｓ１８，Ｓ２６）によって切替フラグがＯＮにならないため、Ｓ３１においてＮＯと判断される。この場合、ＥＣＵ１０，２０，３０の各々はインストール完了状態であるため、次に起動スイッチ５０のオフ操作が行われたときに、再び図３に示した処理が実行される。また、起動ＥＣＵに更新プログラムがインストールされていない場合にも、Ｓ３１においてＮＯと判断される。この場合、当該起動ＥＣＵについて図３に示した処理が実行されない。Ｓ３５の処理が実行されると、図４に示す一連の処理は終了する。

上述のように、この実施の形態に係る制御システム（車両１００の制御システム）では、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったことに基づいてＥＣＵ１０，２０，３０の全てがシャットダウンする（図３のＳ１５，Ｓ１９，Ｓ２４，Ｓ２７）。ＥＣＵ１０，２０，３０の全てが切替準備完了状態でシャットダウンした場合には、ＥＣＵ１０，２０，３０の各々が、次の起動時に、図４に示した一連の処理を実行し、制御プログラムの更新版がインストールされた記憶領域（第２記憶領域１２２，２２２，３２２）をアクティブ面として設定する（Ｓ３２）。他方、図３に示した一連の処理において、ＥＣＵ１０，２０，３０の少なくとも１つが切替準備完了状態になる前にシャットダウンした場合には、ＥＣＵ１０，２０，３０の各々の切替フラグがＯＦＦになったまま、ＥＣＵ１０，２０，３０の全てがシャットダウンする（Ｓ１６，Ｓ１９，Ｓ２５，Ｓ２７）。この場合、各ＥＣＵの次の起動時に図４のＳ３１においてＮＯと判断されるため、ＥＣＵ１０，２０，３０の全てがアクティブ面を切り替えない。

図５は、ＥＣＵ１０，２０，３０の各々のインストール完了後の動作の一例について説明するための図である。図５を参照して、ＥＣＵ１０，２０，３０の各々のアクティブ面以外の記憶領域に更新プログラム（制御プログラムの更新版）がインストールされた状態で起動スイッチ５０のオフ操作が行われると、ＥＣＵ１０（ＯＴＡマスタ）がＥＣＵ２０（第１ターゲットＥＣＵ）およびＥＣＵ３０（第２ターゲットＥＣＵ）の各々に切替指示を送信する。

ＥＣＵ１０によるＡＣＶ準備処理が完了すると、ＥＣＵ１０は、第１準備完了信号をＥＣＵ２０へ送信する。その後、ＥＣＵ２０によるＡＣＶ準備処理が完了すると、ＥＣＵ２０は、第２準備完了信号をＥＣＵ３０へ送信する。さらにその後、ＥＣＵ３０によるＡＣＶ準備処理が完了すると、ＥＣＵ３０は、第３準備完了信号をＥＣＵ１０へ送信する。このように、ＥＣＵ１０，２０，３０は、一方向のリング型の通信により、ＥＣＵ間で準備完了信号をやり取りする。

ＥＣＵ１０が第３準備完了信号を受信すると、ＥＣＵ１０は、全ＥＣＵ準備完了通知（シャットダウン指示）をＥＣＵ２０，３０の各々に送信する。これにより、ＥＣＵ１０，２０，３０の各々の切替フラグがＯＮになる。その後、ＥＣＵ１０，２０，３０の全てがシャットダウンする。

上記のようにＥＣＵ１０，２０，３０の全てが切替準備完了状態でシャットダウンした後、起動スイッチ５０のオン操作が行われると、ＥＣＵ１０，２０，３０の各々で更新プログラム（新しいバージョンのソフトウェア）が起動する。

以上説明したように、この実施の形態に係る制御プログラム更新方法は、図２～図４に示した処理を含む。具体的には、ＥＣＵ１０，２０，３０の各々は、図３に示した一連の処理に先立ち、ＥＣＵ１０，２０，３０の各々の実行用記憶領域（第１記憶領域１２１，２２１，３２１）に記憶された制御プログラムの更新版を、ＥＣＵ１０，２０，３０の各々の実行用記憶領域以外の記憶領域（第２記憶領域１２２，２２２，３２２）にインストールする（図２参照）。その後、図３に示した一連の処理において、制御プログラムの更新版がインストールされたＥＣＵ１０，２０，３０の各々が実行用記憶領域を切り替える準備を行う。また、図３に示した一連の処理においては、ＥＣＵ１０，２０，３０の全てが実行用記憶領域を切り替える準備を完了したことに基づいてＥＣＵ１０，２０，３０の全てがシャットダウンする。そして、図３に示した一連の処理により切替準備完了状態でシャットダウンしたＥＣＵ１０，２０，３０の全てが、次の起動時に、図４に示した一連の処理により、制御プログラムの更新版がインストールされた記憶領域（第２記憶領域１２２，２２２，３２２）に実行用記憶領域を切り替える。

上記制御プログラム更新方法では、複数の制御装置（ＥＣＵ１０，２０，３０）の全てが切替準備完了状態でシャットダウンした場合に、それら制御装置の各々が、次の起動時にアクティブ面の切替えを行う。起動直後の短期間（アクティブ面の切替えが行われる期間）に電源の瞬断などでいずれかの制御装置がシャットダウンする可能性は低い。このため、上記制御プログラム更新方法によれば、複数の制御装置においてソフトウェアを更新するときにそれら制御装置間でのソフトウェアの不整合を抑制することが可能になる。

上記実施の形態では、ＥＣＵ１０，２０，３０が、リング型の通信により、ＥＣＵ間で準備完了信号をやり取りする。リング型の通信により、ＥＣＵ間における通信の逼迫を抑制しやすくなる。しかしこれに限られず、ＥＣＵ１０，２０，３０が、スター型の通信により、ＥＣＵ間で準備完了信号をやり取りしてもよい。

図６は、図５に示した形態の第１変形例を示す図である。図６を参照して、この変形例では、ＥＣＵ１０による切替指示の送信後に、ＥＣＵ２０によるＡＣＶ準備処理が完了すると、ＥＣＵ２０は、第２準備完了信号をＥＣＵ１０へ送信する。また、ＥＣＵ３０によるＡＣＶ準備処理が完了すると、ＥＣＵ３０は、第３準備完了信号をＥＣＵ１０へ送信する。このように、ＥＣＵ１０，２０，３０は、ＥＣＵ１０を中心（基準）とするスター型の通信により、ＥＣＵ間で準備完了信号をやり取りする。

ＥＣＵ１０が第２および第３準備完了信号の両方を受信すると、ＥＣＵ１０は、全ＥＣＵ準備完了通知（シャットダウン指示）をＥＣＵ２０，３０の各々に送信する。これにより、ＥＣＵ１０，２０，３０の各々の切替フラグがＯＮになる。その後、ＥＣＵ１０，２０，３０の全てがシャットダウンする。

上記第１変形例に係る方法によっても、ＥＣＵ１０，２０，３０の全てが切替準備完了状態になったことに基づいてＥＣＵ１０，２０，３０の全てをシャットダウンさせることができる。

上記実施の形態では、ＯＴＡ機能を有する複数の制御装置（ＥＣＵ１０，２０，３０）の全てがＯＴＡによるソフトウェア更新の対象（ＯＴＡ対象）になっている。しかしこれに限られず、ＯＴＡ機能を有する複数の制御装置の一部が、ＯＴＡ対象となってもよい。

図７は、図５に示した形態の第２変形例を示す図である。図７を参照して、この変形例では、図３のＳ１１において、ＥＣＵ１０（ＯＴＡマスタ）がＯＴＡ対象を特定する。ＥＣＵ１０は、ＯＴＡセンタ１０００から受信した配信パッケージ（例えば、ターゲットＥＣＵの識別子、または更新データの差分）に基づいてＯＴＡ対象を特定してもよい。ＥＣＵ２０，３０のいずれかに制御プログラムの更新版がインストールされていない状態でＳ１１～Ｓ１９の一連の処理が開始された場合には、ＥＣＵ１０は、ＥＣＵ２０とＥＣＵ３０とのいずれに制御プログラムの更新版がインストールされているかを特定する。そして、ＥＣＵ１０は、ＯＴＡ対象であるターゲットＥＣＵ（すなわち、制御プログラムの更新版がインストールされているＥＣＵ）に切替指示を送信し、ＯＴＡ対象ではないＥＣＵ（すなわち、制御プログラムの更新版がインストールされていないＥＣＵ）には切替指示を送信しない。図７に示す例では、ＥＣＵ１０，２０の各々がＯＴＡ対象であり、ＥＣＵ３０（他のＥＣＵ）がＯＴＡ非対象である。

ＥＣＵ１０による切替指示の送信後に、ＥＣＵ１０によるＡＣＶ準備処理が完了すると、ＥＣＵ１０は、第１準備完了信号をＥＣＵ２０（ターゲットＥＣＵ）へ送信する。その後、ＥＣＵ２０によるＡＣＶ準備処理が完了すると、ＥＣＵ２０は、第２準備完了信号をＥＣＵ１０へ送信する。ＥＣＵ１０が第２準備完了信号を受信すると、ＥＣＵ１０は、全ＥＣＵ準備完了通知（シャットダウン指示）をＥＣＵ２０に送信する。これにより、ＥＣＵ１０，２０の各々の切替フラグがＯＮになる。その後、ＥＣＵ１０，２０の各々がシャットダウンする。ＯＴＡ非対象であるＥＣＵ３０は、ＥＣＵ１０，２０と一緒にシャットダウンしてもよいし、起動スイッチ５０のオフ操作に応じてシャットダウンしてもよい。

上記第２変形例に係る構成によれば、新しいソフトウェアがインストールされていない制御装置に対しては切替指示が送信されない。これにより、不要な通信が抑制される。

ＥＣＵ間をつなぐＬＡＮ（Local Area Network）の構成は、通信形態に合わせて適宜変更可能である。ＬＡＮ構成としては、バス型、リング型、スター型のいずれのネットワークトポロジーが採用されてもよい。また、切替指示およびシャットダウン指示を送信する制御装置（ＥＣＵ）はＯＴＡマスタに限られず、複数のターゲットＥＣＵの中から選ばれた代表機であってもよい。車両においてＯＴＡ機能を有するＥＣＵの数は、３個に限られず、４個以上１０個未満であってもよいし、１０個以上であってもよい。

更新される制御プログラムは、前述した自動運転制御プログラムのような運転支援系の制御プログラムに限られず任意である。車両が自動運転可能に構成されることは必須ではない。

車両は、ＢＥＶ以外のｘＥＶであってもよい。車両は、内燃機関（例えば、ガソリンエンジン、バイオ燃料エンジン、または水素エンジン）を備えるＰＨＥＶまたはＨＥＶであってもよい。車両は、４輪の乗用車に限られず、バスまたはトラックであってもよいし、３輪のｘＥＶであってもよい。車載バッテリは、接触充電可能に構成されてもよいし、駐車中または走行中に非接触充電（ワイヤレス充電）可能に構成されてもよいし、バッテリ交換可能に構成されてもよい。車両はソーラーパネルを備えてもよい。車両は飛行機能を備えてもよい。車両は、ＭａａＳ（Mobility as a Service）車両であってもよい。ＭａａＳ車両は、ＭａａＳ事業者が管理する車両である。車両は、ユーザの使用目的に応じてカスタマイズされる多目的車両であってもよい。車両は、移動店舗車両、ロボタクシー、無人搬送車（ＡＧＶ）、または農業機械であってもよい。車両は、無人または１人乗りの小型ＢＥＶ（例えば、ラストワンマイル用のＢＥＶ）であってもよい。

上記の各種変形例は任意に組み合わせて実施されてもよい。
今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１０，２０，３０ ＥＣＵ、１１，２１，３１ プロセッサ、１２，２２，３２ メモリ、５０ 起動スイッチ、１００ 車両、１２１，２２１，３２１ 第１記憶領域、１２２，２２２，３２２ 第２記憶領域、１０００ ＯＴＡセンタ、Ｐ１，Ｐ２，Ｐ３ アクティブ面。

Claims (5)

1. 複数の制御装置を含む制御システムであって、
   前記複数の制御装置の各々は、複数の記憶領域を含む記憶部を備え、前記複数の記憶領域のいずれかである実行用記憶領域に記憶された制御プログラムを実行するように構成され、
   前記複数の制御装置の各々の前記実行用記憶領域以外の前記記憶領域に前記制御プログラムの更新版がインストールされた状態で前記複数の制御装置の各々が前記制御プログラムの更新を行う場合には、前記複数の制御装置の各々が前記実行用記憶領域を切り替える準備を行い、前記複数の制御装置の全てが切替準備完了状態になったことに基づいて前記複数の制御装置の全てがシャットダウンし、
   前記複数の制御装置の全てが前記切替準備完了状態でシャットダウンした場合には、前記複数の制御装置の各々が、次の起動時に、前記制御プログラムの更新版がインストールされた前記記憶領域を前記実行用記憶領域として設定し、
   前記複数の制御装置の少なくとも１つが前記切替準備完了状態になる前にシャットダウンした場合には、前記複数の制御装置の全てが、次の起動時に前記実行用記憶領域を切り替えず、
   前記複数の制御装置の各々は、前記実行用記憶領域の切替え準備が完了すると、当該制御装置が前記切替準備完了状態になったことを示す準備完了信号を送信するように構成され、
   前記複数の制御装置は、リング型の通信により、それら制御装置間で前記準備完了信号をやり取りするように構成される、制御システム。
2. 複数の制御装置を含む制御システムであって、
   前記複数の制御装置の各々は、複数の記憶領域を含む記憶部を備え、前記複数の記憶領域のいずれかである実行用記憶領域に記憶された制御プログラムを実行するように構成され、
   前記複数の制御装置の各々の前記実行用記憶領域以外の前記記憶領域に前記制御プログラムの更新版がインストールされた状態で前記複数の制御装置の各々が前記制御プログラムの更新を行う場合には、前記複数の制御装置の各々が前記実行用記憶領域を切り替える準備を行い、前記複数の制御装置の全てが切替準備完了状態になったことに基づいて前記複数の制御装置の全てがシャットダウンし、
   前記複数の制御装置の全てが前記切替準備完了状態でシャットダウンした場合には、前記複数の制御装置の各々が、次の起動時に、前記制御プログラムの更新版がインストールされた前記記憶領域を前記実行用記憶領域として設定し、
   前記複数の制御装置の少なくとも１つが前記切替準備完了状態になる前にシャットダウンした場合には、前記複数の制御装置の全てが、次の起動時に前記実行用記憶領域を切り替えず、
   前記複数の制御装置の各々は、前記実行用記憶領域の切替え準備が完了すると、当該制御装置が前記切替準備完了状態になったことを示す準備完了信号を送信するように構成され、
   前記複数の制御装置は、スター型の通信により、それら制御装置間で前記準備完了信号をやり取りするように構成される、制御システム。
3. 複数の制御装置を含む制御システムであって、
   前記複数の制御装置の各々は、複数の記憶領域を含む記憶部を備え、前記複数の記憶領域のいずれかである実行用記憶領域に記憶された制御プログラムを実行するように構成され、
   前記複数の制御装置の各々の前記実行用記憶領域以外の前記記憶領域に前記制御プログラムの更新版がインストールされた状態で前記複数の制御装置の各々が前記制御プログラムの更新を行う場合には、前記複数の制御装置の各々が前記実行用記憶領域を切り替える準備を行い、前記複数の制御装置の全てが切替準備完了状態になったことに基づいて前記複数の制御装置の全てがシャットダウンし、
   前記複数の制御装置の全てが前記切替準備完了状態でシャットダウンした場合には、前記複数の制御装置の各々が、次の起動時に、前記制御プログラムの更新版がインストールされた前記記憶領域を前記実行用記憶領域として設定し、
   前記複数の制御装置は、第１制御装置、第２制御装置、および第３制御装置を含み、
   前記第１制御装置は、ユーザからのシャットダウン要求を受け付け、
   前記第１制御装置は、前記シャットダウン要求を受けたときに、前記第１～第３制御装置の全てに前記制御プログラムの更新版がインストールされている場合には、前記第２制御装置および前記第３制御装置の各々に切替指示を送信した後、前記実行用記憶領域の切替え準備を開始し、
   前記第２制御装置および前記第３制御装置の各々は、前記切替指示を受けると、前記実行用記憶領域の切替え準備を開始する、制御システム。
4. 前記第２制御装置および前記第３制御装置のいずれかに前記制御プログラムの更新版がインストールされていない状態で前記第１制御装置が前記制御プログラムの更新を行う場合には、前記第１制御装置は、前記第２制御装置と前記第３制御装置とのいずれに前記制御プログラムの更新版がインストールされているかを特定し、前記制御プログラムの更新版がインストールされている制御装置には前記切替指示を送信し、前記制御プログラムの更新版がインストールされていない制御装置には前記切替指示を送信しない、請求項３に記載の制御システム。
5. 前記複数の制御装置の各々は、車両を制御するように構成され、
   前記車両は、ユーザが車両システムを起動させるための起動スイッチを備え、
   ユーザが前記起動スイッチをオフ操作すると、前記シャットダウン要求が前記第１制御装置に入力され、
   前記複数の制御装置の各々は、ユーザによる前記起動スイッチのオン操作に応じて起動する、請求項３に記載の制御システム。

Images