JP7741295B2 - 更新管理システム - Google Patents

Description

本発明は、車両に搭載されたＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）のプログラム更新技術に関する。

自動車の自動運転技術に関しては、安全性確保のためにＥＣＵやセンサ系に冗長性を持たせることが求められている。すなわち、同一の機能を有するＥＣＵを例えば２台用意し、一方が緊急停止した際にもう一方のＥＣＵによって機能を発揮させることにより、機能安全を確保することが求められている。

このように稼働中のプログラムを切り替える際には、稼働中のシステムへの影響を抑えることが求められる。この技術に関連して、特許文献１には、「動作検証・切替え部は，アップデート対象の制御プログラムと同じ実行環境の制御プログラムを代替プログラムとして準備」することが記載されている。

国際公開２０１５／０３７１１６号

近年の車両搭載ＥＣＵに搭載されたプログラムは、ＯＴＡ（Ｏｖｅｒ ｔｈｅ Ａｉｒ）技術を用いて更新されることが多くなっている。ＯＴＡを用いたＥＣＵのプログラム更新に関する従来技術においては、車両走行中（ＥＣＵプログラム稼働中）に新プログラムを書き込むために２面メモリ構造を要し、現プログラム稼働中に新プログラムへの切替えができない。換言すると、例えば２台のＥＣＵ構成を冗長化させようとした場合、一方のＥＣＵ（ＥＣＵ＿１）が他方のＥＣＵ（ＥＣＵ＿２）のプログラム稼働状態を常に監視する必要があり、ＥＣＵ＿２が実行中のプログラムを更新することができない。したがって、ＥＣＵ＿２に格納されたプログラムを更新しようとする場合には、ＥＣＵ＿２が実行中のプログラムが格納されているプログラム格納領域と同容量の格納領域を別個搭載して２面メモリ構造として、この領域に格納されたプログラムを更新し、その後切り替える必要があった。

本発明は、冗長性を持ったＥＣＵの構成において、２面メモリ構造を持たずに車両走行中のプログラム書込みおよび切替えを可能にすることを目的としている。

本発明の一実施例に係る更新管理システムは、車両に搭載されているとともに、複数の演算装置と、複数の演算装置を制御する更新管理装置と、を有し、複数の演算装置は、少なくとも第１の演算装置と第２の演算装置とを有し、更新管理装置は、車両の走行中に、第２の演算装置が冗長処理を実行しているか否かを判断し、該冗長処理を実行していないと判断した場合に、第１の演算装置による冗長処理の実行を制限するとともに、第２の演算装置に格納されたプログラムを更新する。

本発明によれば、冗長構成を持つＥＣＵにおいて最小限のメモリリソースで車両走行中のプログラム更新・切替が可能になる。
本発明に関連する更なる特徴は、本明細書の記述、添付図面から明らかになるものである。また、上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

本発明の一実施例に係る更新管理システムの構成を示すブロック図。 プログラム更新処理の一例を示すフローチャート図。 プログラム更新処理の他の一例を示すフローチャート図。 同期処理から切替え処理までの一例を示すシーケンス図。 本発明の他の実施例に係る更新管理システムの構成を示すブロック図。

以下、図面を用いて実施例を説明する。

［実施例１］
図１は、本発明の実施例１に係る更新管理システムの全体構成を示すブロック図である。更新管理システム１００は、第１演算装置１０１及び第２演算装置１０２、並びにこれらの演算装置を制御する車両制御装置１０３を有する。第１演算装置１０１及び第２演算装置１０２、並びに車両制御装置１０３は、例えば車両に搭載され、各種機能を発揮するＥＣＵであり、互いにＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の通信ネットワークを介して接続されている。なお、これらの装置は車両内にそれぞれ別個に搭載されていてもよいし、まとめて一つのＥＣＵ内に搭載したゾーンアーキテクチャの構成としてもよい。

第１演算装置１０１の構成について説明する。なお、本実施例において第１演算装置１０１と第２演算装置１０２とは同一の構成・機能を有している。したがって、第２演算装置１０２については説明を省略する。第１演算装置１０１は、動作部１０４、通信ＩＦ（Ｉｎｔｅｒｆａｃｅ）１１２、及び電源１１３を有する。動作部１０４は、記憶されたプログラムを実行して各種の機能を実現する。通信ＩＦ１１２はネットワークを介して第２演算装置１０２及び車両制御装置１０３と各種のデータの送受信を行う。電源１１３は、外部電源から給電された電力を蓄電して電源として機能する。

動作部１０４は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）から構成され、プログラムを実行する演算部１０５、データの書き込み／読み出しが可能なＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０６、及びデータの読み出しが可能なＲＯＭ１０７を有する。ＲＯＭ１０７は例えば不揮発性メモリである。ＲＯＭ１０７はさらに、制御データを保存するデータ格納領域１０８及び実行プログラムを保存するプログラム格納領域１０９を有する。プログラム格納領域１０９のプログラム更新対象部１１１に格納されたプログラムを、プログラム更新処理部１１０の有する書き換え手段によって書き換え、更新する。

車両制御装置１０３は、プログラム制御部１２４及び演算結果監視部１２５を有する。プログラム制御部１２４は、各演算装置の動作状態（冗長処理、制御値出力、同期処理等）を切り替える。各演算装置に演算結果監視部１２５は、各演算装置の演算結果を監視して、例えば冗長処理が正確に行われているか、等を判定する。また、車両制御装置１０３は外部サーバ等から各演算装置に格納されたプログラムに更新が必要であるかどうかに関する情報及び更新プログラムを受信し、更新プログラムを各演算装置に送信する。すなわち、車両制御装置１０３は、本実施例において更新管理装置として機能する。

ここで、本発明における冗長処理は、２系統以上の、同一または代替可能な異なるハードウェアやソフトウェアを有するシステムにより実行される処理であり、例えば車両制御などの演算を異なる系統同士で相互監視する処理や、１系統が故障した際に他系統が代替する処理を指す。上述の通り本実施例においては第１演算装置１０１および第２演算装置１０２は同一の機能構成を有するとして説明するが、互いに少なくとも一部の機能構成を代替可能であるならば、異なるハードウェアや、ＯＳや使用するコンパイラの異なるソフトウェアにより構成されていてもよい。

図２は、本実施例に係る更新管理システム１００が行う処理の示すフローチャートである。なお、本実施例においては、第１演算装置１０１をＥＣＵ＿Ａ、第２演算装置１０２をＥＣＵ＿Ｂと表記する。まず、車両制御装置１０３は、ＥＣＵ＿Ａ及びＥＣＵ＿Ｂに格納されたプログラムを更新する必要があるかどうかを判定する（ステップ２０１）。判定については、例えば車両制御装置１０３内のプログラム制御部１２４が外部から更新情報を受信したか否か、で判定できる。

車両制御装置１０３は、更新が必要と判断または更新の指令を受けたとき、ＥＣＵ＿Ｂが冗長処理をしているか判定する（ステップ２０２）。冗長処理をしていると判定した場合、ドライバーにプログラム更新の存在を通知し、冗長処理終了まで待機する（ステップ２０３／２０４）。

ステップ２０２でＥＣＵ＿Ｂが冗長処理を実行していないと判定されると、プログラム制御部１２４は、ＥＣＵ＿Ａに対して冗長処理を用いる機能を制限する。すなわち、冗長処理に関わる全機能の実行を停止する。そして、ドライバーにプログラム更新の開始と冗長処理を用いる機能を制限することを通知する（ステップ２０５）。そして、プログラム制御部１２４によってＥＣＵ＿Ｂを冗長処理状態からプログラム書込み状態に切り替えて、プログラムの更新処理を開始する（ステップ２０６）。このときプログラム書込み状態へ切り替える前にドライバーにプログラム更新開始の同意を求めてもよい。

ＥＣＵ＿Ｂへの更新プログラム書込み完了後（ステップ２０７）、車両制御装置１０３は車両走行中か否か、すなわちＥＣＵ＿Ａによるプログラム実行が継続中であるか否かを判定し、走行停止まで待機する（ステップ２０８）。なお、ここでいう「走行停止」とは、赤信号等による一時的な停止は含まれず、エンジンやモータが完全に停止した状態のことをいう。

車両が走行停止すると、プログラム制御部１２４によってＥＣＵ＿Ｂをプログラム書込み状態から稼働状態に切り替える。すなわち、更新したプログラムの実行を開始する。そしてプログラム制御部１２４によってＥＣＵ＿Ａを稼働状態からプログラム書込み状態に切り替える（ステップ２０９）。なお、ステップ２０９には、ステップ２０８で走行停止まで待機した後走行が再開されない場合に、次回起動時にＥＣＵ＿Ｂを稼働させるようにプログラム制御部１２４を設定する処理も含まれる。

ＥＣＵ＿Ａの更新プログラム書込みが完了後（ステップ２１０）、車両制御装置１０３は再び車両が走行停止するまで待機する（ステップ２１１）。車両が停止した後、プログラム制御部１２４によってＥＣＵ＿Ａを稼働状態に切り替える。すなわち、更新したプログラムの実行を開始する。そして、ＥＣＵ＿Ｂを冗長処理可能状態に切り替える（ステップ２１２）。なお、冗長処理可能状態とは、プログラム制御部１２４から出力された冗長処理開始指令の受信に応じて冗長処理を開始することが可能である状態のことを指し、実際に冗長処理が行われている状態のみを指すものではない。最後に、プログラム制御部１２４によってプログラム更新処理の終了及び冗長処理の機能制限の解除を行い、ドライバーにその旨を通知し（ステップ２１３）、更新処理を終了する。

以上説明したように、本実施例においては、２つの演算装置のいずれも冗長処理中でない場合に、冗長処理の機能制限を行い、一方の演算装置に格納されたプログラムを更新している。このため、１つの演算装置内に、複数のプログラム格納領域を設けなくても、プログラムを更新することが可能になり、メモリリソース及び製造コストを削減することが可能になる。

［実施例２］
次に、本発明の実施例２に係る更新管理システムについて説明する。実施例２に係る更新管理システム１００については実施例１に係る更新管理システム１００と同一の構成を有しており、構成、及び実施例１において実行する処理と同一の処理についての説明は省略する。

実施例２に係る更新管理システムについては、図３で示すように、実施例１の構成・処理に加え、ステップ３０１から３０４に示す処理を行う点が異なる。すなわち、ステップ２０７においてＥＣＵ＿Ｂに更新プログラムを書き込んだ後、車両制御装置１０３は、車両が走行中であるか否かを判定する（ステップ３０１）。走行中でなければ、実施例１と同様にステップ２０９へと移行する。車両走行中であると判定した場合には、稼働状態のＥＣＵ＿ＡのＲＡＭ１０６およびデータ格納領域１０８に格納された制御データと、ＥＣＵ＿ＢのＲＡＭ１１６及びデータ格納領域１１８に格納された制御データとを同期させる（ステップ３０２）。同期の具体的な方法については後述する。そして、車両走行中のまま、ＥＣＵ＿Ｂを稼働状態に切替えて、更新後のプログラムの実行を開始するとともに、ＥＣＵ＿Ａをプログラム書込み状態に切り替える（ステップ２０９）。

ステップ３０３で車両走行中であると判定された場合には、稼働状態のＥＣＵ＿ＢのＲＡＭ１１６およびデータ格納領域１１８に格納された制御データと、書込み状態のＥＣＵ＿ＡのＲＡＭ１０６およびデータ格納領域１０８に格納された制御データとを同期させる（ステップ３０４）。その後の処理は実施例１と同様である。

上述した制御データの同期処理について詳述する。上述したように、異なるＥＣＵ間における冗長構成について、一部の機能構成を代替可能な、異なるソフトウェア構成を有するＥＣＵ間で構成される場合がある。このように、異なるソフトウェア間で同期処理を行う必要があり、更新前のプログラムによる制御データと新しいプログラムによる制御データとを適合させる必要がある。これを実現するために、本実施例においては、以下の３つの手段のうち少なくとも１つの同期処理を行うものとする。ここで、ａ’は更新後ＥＣＵの制御データ（更新後のプログラムによる制御データ）、ａは更新前ＥＣＵの制御データ（稼働中のプログラムによる制御データ）とする。
手段１ 更新後ＥＣＵに適合するために各制御データを変換する（例：ａ’＝ａ＋５）。
手段２ 更新後ＥＣＵに更新前ＥＣＵの制御データをそのまま格納する（例：ａ’＝ａ）。
手段３ 更新後ＥＣＵが独自の初期値を生成する（例：ａ’＝５）。

手段１は、ＲＡＭ値や変数の初期値やデータ型およびデータ構造などが、プログラム更新前後で異なる場合を考慮し、更新後ＥＣＵにおける初期値の代入や補正値の加減算、データ型のキャストなどを同期処理として実施し、更新後ＥＣＵに適合させるものである。

手段２は、プログラム更新前後においてＲＡＭ値や変数等の内容が一致している場合、更新前プログラムの値を代入する。このとき、ＲＡＭ値や変数は必ずとも一致している必要はなく、初期値やデータ型およびデータ構造などが異なっていたとしても、更新前データを代入したときの影響を考慮しなくて良い場合は手段２を採用してもよい。

手段３は、更新後プログラム独自のＲＡＭ値や変数の初期値を持った状態で起動し、更新前データは参照しない方法である。

以上の同期処理いずれかを実施し、稼働するＥＣＵを連続的に切替える場合、更新前後のプログラム間において制御値が離散的になる可能性がある。更新されるプログラムが、例えば操舵角制御やトルク制御等に関するものである場合には、更新タイミングで制御値が離散的になると、車両の挙動に大きな影響を及ぼし、安全性が著しく低下する恐れがある。したがって、このような制御値の離散的推移については抑制する必要がある。これを実現するためには例えば、同期処理完了後に更新前プログラム側により演算された値で制御しつつも、更新後プログラム側で制御値を演算し、両プログラムの制御値が近似的になったときに切り替える方法などが挙げられる。

図４は、この方法におけるＥＣＵ＿Ａ／Ｂの同期処理から稼働ＥＣＵを切替えるまでの一例を示すシーケンス図である。ここでは、ＥＣＵ＿Ａ／Ｂはそれぞれ操舵角の制御値４０１／４０２を出力するものとする。実線は出力先に操舵角に関する制御値を出力している状態を示しており、破線は操舵角を演算しているが出力していない状態を示している。切替制御状態４０３が同期処理のとき、ＥＣＵ＿Ａ状態４０４は操舵角を出力している状態であり、ＥＣＵ＿Ｂ状態４０５は同期処理状態である。

ＥＣＵ＿Ｂの同期が完了したとき、切替制御状態４０３は両ＥＣＵの制御値を監視する状態になっている。すなわち、演算結果監視部１２５によって両ＥＣＵの演算結果が監視されている状態になっている。この間、ＥＣＵ＿Ｂは操舵角を演算する。このとき、ＥＣＵ＿Ｂは操舵角を演算するのみであり、操舵角の出力先に出力することはない。プログラム制御部１２４は、両ＥＣＵの操舵角の近似度が一定値を超えたときに切替指令を両ＥＣＵに送り、ＥＣＵ＿Ａ状態４０４は操舵角を演算する状態となり、ＥＣＵ＿Ｂ状態４０５は操舵角を出力する状態になるように切り替わる。その後、ＥＣＵ＿Ａを更新する処理へと移る。

上記のように、本実施例においては、更新後のプログラムによる制御データを、冗長処理機能を制限した状態で更新前のプログラムによる制御データと同期させている。したがって、車両が走行中であっても、稼働させるプログラムを更新後のプログラムに切り替えることが可能になり、利便性の向上が期待できる。

また、本実施例の適用例として、ＳＯＴＡ（Ｓｏｆｔｗａｒｅ Ｏｖｅｒ ｔｈｅ Ａｉｒ）におけるプログラムの部分更新が挙げられ、プログラム更新が常時実現可能となり利便性のさらなる向上が期待できる。

［実施例３］
次に、本発明の実施例３に係る更新管理システムについて説明する。実施例３に係る更新管理システム５００は、図５に示すように、実施例１に係る更新管理システム１００の構成に加えて、地図・経路情報管理装置５０１をさらに有する点が異なる。

上述した実施例１及び実施例２においては、ステップ２０１で更新要と判定された場合に、ＥＣＵ＿Ｂが冗長処理中であるかどうか否かを更新開始の条件としていた（ステップ２０２）。本実施例においては、冗長処理中か否かを、車両の自動運転レベルによって判定することが可能である。レベル３以上の自動運転においては、運転タスクはシステムによって監視される。すなわち運転主体がシステムである。ゆえに、運転主体が人間である場合に比べて、システムの安全性を担保する必要があり、少なくとも自動運転レベル３以上の機能に関するＥＣＵについては冗長構成を有する必要がある。したがって、ＥＣＵが冗長処理中であるか否かを判定する方法として、車両の自動運転レベルを判定する方法が採用できる。

車両の自動運転レベルを判定する際に、プログラム制御部１２４によって、実際に自動運転レベル３以上の機能を発揮するためのプログラムが実行されているか否かを判定することもできるが、以下に説明するように地図・経路情報管理装置５０１が記憶する地図・経路情報５０２を利用することも可能である。なお、地図・経路情報管理装置５０１は、ＧＰＳ機能を有することが望ましく、カーナビゲーションシステムとして車両内に搭載されていてもよい。また、車両制御装置１０３の中に搭載される構成としてもよい。

レベル３以上の自動運転レベルを実現できる条件の１つに、場所の限定がある。つまり、高速道路、駐車場、その他特定の場所、等である。したがって、地図・経路情報管理装置５０１が記憶する地図・経路情報５０２に含まれている情報と、レベル３以上の自動運転レベルを実現できる場所に関する情報とを関連付けることで、レベル３以上の自動運転レベルが適用される場所か否か、すなわち冗長処理が実行される場所か否かを判定できる。具体的には、プログラム制御部１２４によって実行される以下の手段４～６を採用できる。なお、以下での「自動運転」は、冗長処理が必要なレベル（例えばレベル３）の自動運転のことを意味する。

手段４ 地図・経路情報管理装置５０１による地図・経路情報５０２を用いて、自動運転可能区間と車両の位置とを比較、車両が自動運転可能区間外または区間から所定距離以上離れている場合は冗長処理が行われず、更新可能と判断する。

手段５ 地図・経路情報管理装置５０１による地図・経路情報５０２を用いて、ドライバーの操作によって目的地までのナビゲーション経路を生成後、自動運転可能区間を通過するかを検出し、該区間を通過しない経路であれば冗長処理が行われず、更新可能と判断する。

手段６ 手段４または５の判断に加え、プログラム更新の予想所要時間が自動運転可能区間への予想到達時間より短い場合、自動運転可能区間へ進入予定であっても、該区間到達までは冗長処理が行われず、更新可能と判断する。

上記手段４～６の処理により、ドライバーに更新実行是非の判断を委ねる必要性を抑え、利便性の向上が見込める。

以上で説明した本発明の実施例によれば、以下の作用効果を奏する。
（１）本発明の一実施例に係る更新管理システムは、車両に搭載されているとともに、複数の演算装置と、複数の演算装置を制御する更新管理装置と、を有し、複数の演算装置は、少なくとも第１の演算装置と第２の演算装置とを有し、更新管理装置は、車両の走行中に、第２の演算装置が冗長処理を実行しているか否かを判断し、該冗長処理を実行していないと判断した場合に、第１の演算装置による冗長処理の実行を制限するとともに、第２の演算装置に格納されたプログラムを更新する。

上記構成により、第２の演算装置に格納されたプログラム更新を、第１の演算装置が冗長処理を行っていない間に実行できる。したがって、冗長処理中にプログラム更新する際に従来必須であった追加のプログラム格納領域を演算装置に設ける必要がなくなり、メモリリソース及び製造コストの削減を実現することが可能になる。

（２）更新管理装置は、第２の演算装置に格納されたプログラムを更新した後、車両が停止したと判断した際に、該第２の演算装置に、更新されたプログラムの実行を命令するとともに、第１の演算装置に格納されたプログラムを更新する。これにより、第１の演算装置についても第２の演算装置が冗長処理を行っていない状態でプログラムを更新するため、メモリリソース及び製造コストの削減が可能になる。

（３）更新管理装置は、第１の演算装置に格納されたプログラムを更新した後、車両が停止したと判断した際に、該第１の演算装置に、更新されたプログラムの実行を命令するとともに、複数の演算装置による冗長処理の実行制限を解除する。これにより、第１及び第２の演算装置のいずれもが、更新されたプログラムによって冗長処理を再開することが可能になる。

（４）更新管理装置が第２の演算装置に対して行う命令には、更新されたプログラムを実行する前に、第１の演算装置が実行中のプログラムとの同期処理を実行させる命令が含まれている。これにより、例えば第１及び第２の演算装置が異なるソフトウェア構成を有しているような場合であっても、実行プログラム切替のタイミングで出力値が離散的になって車両の制御に異常が生じるといった危険性を排除できる。

（５）同期処理は、第１の演算装置の出力値を更新されたプログラムに基づいて再演算した値を、第２の演算装置が出力する処理、第１の演算装置の出力値と同一の値を第２の演算装置が出力する処理、または更新されたプログラムが有する初期値を第２の演算装置が出力する処理を含む。これにより、更新対象のプログラムの性質によって上記同期処理のうち適切なものを選択できる。

（６）地図・経路情報管理装置をさらに有し、更新管理装置は、地図・経路情報管理装置から地図・経路情報を取得し、車両の走行状態と該地図・経路情報とに基づいて、複数の演算装置が冗長処理を実行しているか否かを判断する。これにより、例えば自動運転レベル等の車両の走行状態を地図・経路情報と関連付けて記憶させておくことにより、自動的に地図・経路情報の取得によって自動的に冗長処理中か否かを判定できるようになる。

（７）更新管理装置は、第１の演算装置及び第２の演算装置に格納されたプログラムを部分的に更新する。これにより、第１及び第２の演算装置が一部で異なるハードウェア構成またはソフトウェア構成を有していたとしても、例えば共通する部分のみ更新すること等が可能になり、本発明の有用性を向上させることが可能になる。

本発明は、技術的範囲は上記実施の形態に記載の範囲には限定されるものではなく、本発明の主要な特徴から逸脱することなく、様々な変形例が含まれる。そのため、前述の実施例は単なる例示に過ぎず、限定的に解釈してはならない。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能であって、すべて本発明の範囲内のものである。

１００、５００ 更新管理システム、１０１ 第１演算装置、１０２ 第２演算装置、１０３ 車両制御装置（更新管理装置）、５０１ 地図・経路情報管理装置

Claims (9)

1. 車両に搭載された更新管理システムであって、複数の演算装置と、前記複数の演算装置を制御する更新管理装置と、を有し、
   前記複数の演算装置は、少なくとも第１の演算装置と第２の演算装置とを有し、
   前記更新管理装置は、前記車両の走行中に、前記第２の演算装置が冗長処理を実行しているか否かを判断し、該冗長処理を実行していないと判断した場合に、前記第１の演算装置による冗長処理の実行を制限するとともに、前記第２の演算装置に格納されたプログラムを更新する、
   ことを特徴とする更新管理システム。
2. 請求項１に記載の更新管理システムであって、
   前記更新管理装置は、前記第２の演算装置に格納されたプログラムを更新した後、前記車両が停止したと判断した際に、該第２の演算装置に、前記更新されたプログラムの実行を命令するとともに、前記第１の演算装置に格納されたプログラムを更新する、
   ことを特徴とする更新管理システム。
3. 請求項２に記載の更新管理システムであって、
   前記更新管理装置は、前記第１の演算装置に格納されたプログラムを更新した後、前記車両が停止したと判断した際に、該第１の演算装置に、前記更新されたプログラムの実行を命令するとともに、前記複数の演算装置による前記冗長処理の実行制限を解除する、
   ことを特徴とする更新管理システム。
4. 請求項２に記載の更新管理システムであって、
   前記更新管理装置が前記第２の演算装置に対して行う前記命令には、前記更新されたプログラムを実行する前に、前記第１の演算装置が実行中のプログラムとの同期処理を実行させる命令が含まれている、
   ことを特徴とする更新管理システム。
5. 請求項４に記載の更新管理システムであって、
   前記同期処理は、前記第１の演算装置の出力値を前記更新されたプログラムに基づいて再演算した値を、前記第２の演算装置が出力する処理を含む、
   ことを特徴とする更新管理システム。
6. 請求項４に記載の更新管理システムであって、
   前記同期処理は、前記第１の演算装置の出力値と同一の値を前記第２の演算装置が出力する処理を含む、
   ことを特徴とする更新管理システム。
7. 請求項４に記載の更新管理システムであって、
   前記同期処理は、前記更新されたプログラムが有する初期値を前記第２の演算装置が出力する処理を含む、
   ことを特徴とする更新管理システム。
8. 請求項１に記載の更新管理システムであって、
   地図・経路情報管理装置をさらに有し、
   前記更新管理装置は、前記地図・経路情報管理装置から地図・経路情報を取得し、前記車両の走行状態と該地図・経路情報とに基づいて、前記複数の演算装置が前記冗長処理を実行しているか否かを判断する、
   ことを特徴とする更新管理システム。
9. 請求項１に記載の更新管理システムであって、
   前記更新管理装置は、前記第１の演算装置及び前記第２の演算装置に格納されたプログラムを部分的に更新する、
   ことを特徴とする更新管理システム。