JP2023019042A - 車両用のシステム、センタ、方法、及びプログラム - Google Patents

Abstract

【課題】ＯＴＡを用いたソフトウェア更新の際に車両のユーザーや管理者などがソフトウェア更新に関する情報を受け取ることができる車両用のシステムなどを提供する。
【解決手段】車両に搭載された電子制御ユニットのソフトウェアの更新を制御するシステムであって、ソフトウェアを更新するための処理を車両に対して行う第１センタと、第１センタによる処理に基づいて、電子制御ユニットのソフトウェアの更新を実行する車両と、ソフトウェアの更新に関する情報を車両のユーザーに提供する第２センタと、を備え、第２センタは、ソフトウェアの更新に関する情報を車両のユーザーに提供した旨の通知を第１センタに送信し、第１センタは、第２センタから通知を受信した後に通知に基づく処理を車両に対して行う。
【選択図】図１

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御する車両用のシステムなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバーからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットに書き込んでインストールし、インストールしたソフトウェアを有効化するアクティベートを行うことにより、電子制御ユニットのソフトウェアの更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

特開２０１７－１４９３２３号公報

ＯＴＡを用いたソフトウェア更新の際には、車両のユーザーや管理者などに対してソフトウェア更新があることの通知やソフトウェア更新の承諾を要求する処理などが行われる。これらの通知や承諾要求などは、一般的に、車両に搭載されたカーナビゲーション装置を通じて車両のユーザーや管理者などに対して行われる。

しかしながら、車両にカーナビゲーション装置などの高機能の表示装置が搭載されていない場合、カーナビゲーション装置のような表示装置に代わる機器（例えば、車両と無線通信可能なスマートフォンやパソコンなどの情報端末）を別途所有していないユーザーや管理者などは、ＯＴＡを用いたソフトウェア更新が必要になったときに更新に関する情報を受け取ることができないという課題がある。

本開示は、上記課題を鑑みてなされたものであり、ＯＴＡを用いたソフトウェア更新の際に車両のユーザーや管理者などがソフトウェア更新に関する情報を受け取ることができる車両用のシステムなどを提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するシステムであって、ソフトウェアを更新するための処理を車両に対して行う第１センタと、第１センタによる処理に基づいて、電子制御ユニットのソフトウェアの更新を実行する車両と、ソフトウェアの更新に関する情報を車両のユーザーに提供する第２センタと、を備え、第２センタは、ソフトウェアの更新に関する情報を車両のユーザーに提供した旨の通知を第１センタに送信し、第１センタは、第２センタから通知を受信した後に通知に基づく処理を車両に対して行う、システムである。

本開示の車両用のシステムなどによれば、ＯＴＡを用いたソフトウェア更新の際に車両のユーザーや管理者などがソフトウェア更新に関する情報を受け取ることができる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 第１センタの概略構成を示すブロック図 第１センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 第１センタ及び第２センタが行うソフトウェア更新に関する情報の送信処理のフローチャート 第２センタが記憶する管理情報の一例 第１センタ、ＯＴＡマスタ、及びターゲット電子制御ユニットが実行するソフトウェア更新制御処理の一例を説明するフローチャート

本開示によるシステムは、車両に搭載された電子制御ユニットのソフトウェア更新を行う際、車両に搭載された表示装置がソフトウェアの更新に関する情報を十分に表示できない場合には、カスタマーセンタなどが車両ユーザーや管理者などにソフトウェアの更新に関する情報を電話やハガキなどによって提供する。これにより、車両ユーザーや管理者などは、カーナビゲーション装置のような高機能機器を所有していなくても、ＯＴＡを用いたソフトウェア更新に関する必要な情報を受け取ることができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システム構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にある第１センタ１０ａ及び第２センタ１０ｂと、車両内に構築される車載ネットワーク９０と、を備える。

（１）第１センタ
第１センタ１０ａは、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、車両のユーザーや管理者などに対するソフトウェア更新があることの通知やソフトウェア更新についての説明などの送信や、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。この第１センタ１０ａは、いわゆるサーバーとしての機能を有する。また、第１センタ１０ａは、ネットワーク１００を介して第２センタ１０ｂと通信可能であり、第２センタ１０ｂから必要な通知を受信することができる。

図２は、図１における第１センタ１０ａの概略構成を示すブロック図である。図２で示すように、第１センタ１０ａは、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。第１センタ１０ａにおいて、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０や第２センタ１０ｂと通信を行うための装置である。

図３は、図２に示した第１センタ１０ａの機能ブロック図である。図３で示す第１センタ１０ａは、記憶部１６と、通信部１７と、制御部１８と、取得部１９と、処理部２０と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７、制御部１８、取得部１９、及び処理部２０は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、ＯＴＡマスタ３０に対して制御の指示を行うための、ソフトウェア更新処理の手順を示した更新シーケンスに関する情報を記憶することができる。また、記憶部１６は、後述する取得部１９が取得した車両に搭載された表示装置７０に関する情報を記憶することができる。

通信部１７は、ＯＴＡマスタ３０（車両）との間や第２センタ１０ｂとの間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０から第１センタ１０ａへと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認を第１センタ１０ａに要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると（受信部）、後述する制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データなどを含む配信パッケージを、ＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、処理部２０の指示に基づいて、車両に対して車両のユーザーや管理者などに向けたソフトウェア更新があることの通知やソフトウェア更新についての説明やソフトウェア更新の承諾要求など（以下、これらをまとめて「ソフトウェアの更新に関する情報」という）を送信する（送信部）。また、通信部１７は、車両に搭載された表示装置７０に関する情報やソフトウェアの更新に関する情報の再送信の要求を、車両から受信することができる（受信部）。また、通信部１７は、ソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供したことを示す通知を、第２センタ１０ｂから受信することができる（受信部）。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当する更新データなどを含む１つ又は複数の配信パッケージを生成する。また、制御部１８は、処理部２０が送信処理したソフトウェアの更新に関する情報の応答として車両から受信する車両のユーザーや管理者などからの更新承諾通知や、第２センタ１０ｂから受信するソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供したことを示す通知に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理を制御する。

取得部１９は、車両に搭載された表示装置７０に関する情報を、通信部１７を介して車両から取得する。表示装置７０に関する情報には、ＯＴＡを用いたソフトウェア更新に際して、車両のユーザーや管理者などに対して事前に説明すべき情報（制御の変更内容など）を表示装置７０の画面で表示することが可能か否かを示した情報が、少なくとも含まれる。画面で表示することが可能とは、典型的には、画面表示を通して事前に説明すべき情報の全てを車両のユーザーや管理者などに提示できることを意味する。この表示装置７０に関する情報は、例えば第１センタ１０ａが、車両が電源ＯＮされるごとに車両から取得してもよいし、それ以外の方法で予め取得してもよい。

処理部２０は、ＯＴＡを用いたソフトウェア更新を実施するにあたり、車両に搭載された表示装置７０に基づいて、ソフトウェアの更新に関する情報を送信する処理を行う。より具体的には、表示装置７０が、ＯＴＡを用いたソフトウェア更新に際し車両のユーザーや管理者などに事前に説明すべき情報の画面表示が可能であれば、ソフトウェアの更新に関する情報を車両（ＯＴＡマスタ３０）に送信するように処理する。これに対して、表示装置７０が、ＯＴＡを用いたソフトウェア更新に際し車両のユーザーや管理者などに事前に説明すべき情報の画面表示が不可能であれば、ソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供するように第２センタ１０ｂに指示する。このように、処理部２０は、いわゆるヒューマンマシンインターフェイス（ＨＭＩ）機能部として動作する。なお、第１センタ１０ａから車両への通知は、ＯＴＡマスタ３０が取得して表示装置７０に対してこの通知に基づく表示を制御してもよいし、ＯＴＡマスタ３０を介さずに表示装置７０が直接受信して自らが通知に基づく表示を行うようにしてもよい。

（２）第２センタ
第２センタ１０ｂは、いわゆるカスタマーセンタやコールセンタなど、オペレーターなどが駐在する施設であり、制御には人為的な操作が介在する。第２センタ１０ｂの一部の機能は、図３に示したようなブロック図として表すことができる。この第２センタ１０ｂには、車両と車両のユーザーや管理者などとが紐付けて管理されており、ユーザーや管理者などの連絡先として住所や電話番号などが施設のサーバーなどに予め登録されている。第２センタ１０ｂでは、ＯＴＡを用いたソフトウェア更新の対象となる車両の表示装置７０が、オペレーターなどが電話やハガキを介してソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供することを行う。また、ソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供した場合は、その旨の通知を第１センタ１０ａに送信する。この送信は、通信装置などによって自動で行われてもよいし、オペレーターなどによって手動で行われてもよい。また、第２センタ１０ｂでは、提供したソフトウェアの更新に関する情報に対する車両のユーザーや管理者など承諾を受領することを行う。これらの処理については、後述する。

（３）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由で第１センタ１０ａと無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、第１センタ１０ａから取得した更新データなどに基づき、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。また、ＯＴＡマスタ３０は、第１センタ１０ａから受信するソフトウェアの更新に関する情報や通知に基づいて、表示装置７０に適切な画面表示を制御することができる。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０のそれぞれと通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、第１センタ１０ａからダウンロードしたソフトウェアの更新データなどを記憶する。また、記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報を記憶することができる。また、記憶部３７は、表示装置７０に関する情報を記憶することができる。

通信部３８は、第１センタ１０ａとの間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求を第１センタ１０ａに送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、第１センタ１０ａが車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答として第１センタ１０ａから更新データの有無を示す通知を受信する（受信部）。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データなどを含む配信パッケージのダウンロード要求を第１センタ１０ａに送信し（送信部）、第１センタ１０ａから送信される配信パッケージを受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、第１センタ１０ａに送信する（送信部）。また、通信部３８は、制御部３９の指示に基づいて、ソフトウェアの更新に関する情報やその情報の送信に関する通知、ソフトウェアの更新状態を、表示装置７０に表示させることができる。また、通信部３８は、表示装置７０に関する情報を第１センタ１０ａに送信することができる（送信部）。

制御部３９は、通信部３８が受信した更新確認要求に対する第１センタ１０ａからの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８が第１センタ１０ａから配信パッケージで受信（ダウンロード）して記憶部３７に格納した更新データの真正性を検証する。また、制御部３９は、第１センタ１０ａからダウンロードした更新データを用い、電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理（インストール、アクティベートなど）を制御する。具体的には、制御部３９は、ダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、車載ネットワーク９０が４つの電子制御ユニット５０ａ～５０ｄを備えている例を示したが、電子制御ユニットの個数は特に限定されない。また、電子制御ユニット５０ａ～５０ｄをＯＴＡマスタ３０に接続するバスの本数も特に限定されない。

表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、ソフトウェア更新についての説明などの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果や状態の表示など、各種の表示を行うために用いられるヒューマンマシンインターフェイス（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、ソフトウェアの更新処理時に必要な情報を表示可能なものであれば特に限定されない。例えば、ソフトウェアの更新に関する情報を提示できないメーターなどの簡易的なＨＭＩ装置も表示装置７０に含まれる。本実施形態では、第１センタ１０ａから送信される情報や通知を、表示装置７０がＯＴＡマスタ３０経由で受信する場合を説明したが、ＯＴＡマスタ３０を介さず通信モジュール８０から直接あるいは通信モジュール８０ではなく図示しない他の通信機器を介して直接表示装置７０が受信してもよい。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットなどがさらに接続されていてもよい。

通信モジュール８０は、第１センタ１０ａと車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０を第１センタ１０ａに接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由で第１センタ１０ａと無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

なお、車載ネットワーク９０を含む車両には、車両のユーザーや管理者などがソフトウェアの更新処理を承諾するためのスイッチ（図示せず）などの入力部が設けられてもよい。この承諾用のスイッチは、例えば、表示装置７０の近傍やステアリングなどに設けることができる。

［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求を第１センタ１０ａに送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、第１センタ１０ａが車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。第１センタ１０ａは、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知やソフトウェアの更新に関する情報などをＯＴＡマスタ３０に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求を第１センタ１０ａに送信する。第１センタ１０ａは、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、更新データなどを含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、第１センタ１０ａから受信した更新確認要求に対する応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、第１センタ１０ａから受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。

また、第１センタ１０ａは、承諾要求処理において、ソフトウェアの更新を説明する情報、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた表示装置７０を利用できる。例えば、承諾要求処理において、車両のユーザーや管理者などに対して事前に説明すべき情報を表示装置７０の画面で表示することが可能であれば、表示装置７０が出力装置として用いられる。表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ソフトウェアの更新に関する情報、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知などを、表示装置７０に表示させることができる。承諾要求処理において、車両のユーザーや管理者などに対して事前に説明すべき情報を表示装置７０の画面で表示すること不が可能であれば、第２センタ１０ｂによる車両のユーザーや管理者などに対する情報提供が行われる。この場合、ソフトウェアの更新内容に関する説明やユーザー又は管理者にソフトウェア更新の承諾の確認などが、実施される。第１センタ１０ａは、ＯＴＡマスタ３０を介して、又は第２センタ１０ｂからの通知を介して、ユーザー又は管理者から承諾を得られたことを判断すると、ＯＴＡマスタ３０に対して上述したインストール及びアクティベートの制御処理の実行を指示し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための１つの格納領域を有するシングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、第１センタ１０ａから指示される更新シーケンスに関する情報によっては、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを保留（待機）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後かつアクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェア更新処理は、ＯＴＡマスタ３０が第１センタ１０ａから更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、第１センタ１０ａから配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶部３７に記憶する処理である。ダウンロードによる更新データの受信については、ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

第１センタ１０ａからＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一の電子制御ユニット又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、第１センタ１０ａからダウンロードした更新データに基づいて、ターゲット電子制御ユニットの不揮発性メモリに更新ソフトウェア（更新版のプログラム）を書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、自身の不揮発性メモリにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図６及び図７をさらに参照して、本実施形態に係るネットワークシステムにおいて実行されるソフトウェアの更新処理を説明する。

図６は、第１センタ１０ａ及び第２センタ１０ｂが行うソフトウェア更新に関する情報の送信処理の手順を説明するフローチャートである。第１センタ１０ａと第２センタ１０ｂとは、随時通信を行って処理の判断に必要な情報などを共有している。

（ステップＳ６０１）
第１センタ１０ａは、車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、第１センタ１０ａの記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合は（ステップＳ６０１、はい）、ステップＳ６０２に処理が進む。一方、対象となる車両において更新が必要なソフトウェアがない場合は（ステップＳ６０１、いいえ）、本処理が終了する。

（ステップＳ６０２）
第１センタ１０ａは、ソフトウェア更新の対象となる車両に搭載された表示装置７０が、所定の条件を満足するか否かを判断する。ここで、所定の条件とは、ＯＴＡを用いたソフトウェア更新に際して、車両のユーザーや管理者などに対して事前に説明すべき情報（制御の変更内容など）を表示装置７０の画面で表示することが可能である、という条件である。この条件を満足するか否かの判断は、取得部１９が取得する表示装置７０に関する情報に基づいて行われる。ソフトウェア更新の対象となる車両の表示装置７０が所定の条件を満足する場合は（ステップＳ６０２、はい）、ステップＳ６０４に処理が進む。一方、ソフトウェア更新の対象となる車両の表示装置７０が所定の条件を満足しない場合は（ステップＳ６０２、いいえ）、ステップＳ６０３に処理が進む。

（ステップＳ６０３）
第２センタ１０ｂは、ソフトウェア更新の対象となる車両のユーザーや管理者などに、ソフトウェア更新に関する情報（ソフトウェアの更新内容についての説明やソフトウェア更新の承諾要求など）を提供する。情報提供の方法としては、（ｉ）第２センタ１０ｂのオペレーターがユーザーや管理者などの連絡先に電話して、口頭でソフトウェア更新に関する情報を説明する方法、（ii）第２センタ１０ｂからユーザーや管理者などの連絡先にハガキや封書を郵送して、ハガキや封書に記載した文面でソフトウェア更新に関する情報を説明する方法、（iii）第２センタ１０ｂからユーザーや管理者などの連絡先にハガキや封書を郵送して、ハガキや封書に記載したコールセンタへのユーザーや管理者などからの連絡を受けてソフトウェア更新に関する情報を説明する方法、などを例示できる。ソフトウェア更新に関する情報が車両のユーザーや管理者などに提供されると、ステップＳ６０５に処理が進む。

（ステップＳ６０４）
第１センタ１０ａは、ソフトウェア更新の対象となる車両（ＯＴＡマスタ３０）に、ソフトウェアの更新に関する情報（ソフトウェアの更新内容についての説明やソフトウェア更新の承諾要求など）を送信する。この情報を受信した車両では、表示装置７０にソフトウェアの更新に関する情報に基づいた画面表示が行われる。ソフトウェアの更新に関する情報が車両に送信されると、ステップＳ６０６に処理が進む。

（ステップＳ６０５）
第２センタ１０ｂは、車両のユーザーや管理者などからソフトウェア更新について承諾が得られたか否かを判断する。この更新承諾によって、車両のユーザーや管理者などがソフトウェアの更新内容を理解した上で更新を同意したものと判断することができる。更新承諾の得かたとしては、例えば、上記ステップＳ６０３で述べた情報提供方法（ｉ）や（iii）であればオペレーターが電話口でユーザーや管理者などから直接承諾を得ることができ、上記ステップＳ６０３で述べた情報提供方法（ii）であれば承諾する旨の返信用ハガキを郵送してもらうことで得ることができる。また、例えば、車両内に予め設けられた承諾用スイッチを押すことで更新承諾を得ることができる。

なお、車両のユーザーや管理者などに対するソフトウェアの更新内容についての説明と、ユーザーや管理者などからのソフトウェア更新の承諾とが同時に行われない場合も考えられる。よって、各ユーザーや管理者などについてどこまで完了したかを示す管理情報を第２センタ１０ｂが記憶していてもよい。第２センタ１０ｂが記憶する管理情報の一例を、図７に示す。図７では、車両（ＶＩＮ）ごとにソフトウェアの更新内容についての説明が完了したか否か、及びソフトウェア更新の承諾を受領したか否かが、それぞれ記憶されている。この管理情報のフォーマットは、第１センタ１０ａと第２センタ１０ｂとが共有しておけば、第１センタ１０ａは、第２センタ１０ｂから受信する管理情報を容易に理解することができる。また、この第２センタ１０ｂが記憶する管理情報は、第２センタ１０ｂから通知を受けることなく第１センタ１０ａがいつでも参照できるようにしてもよい。

ステップＳ６０５において、車両のユーザーや管理者などからソフトウェア更新について承諾が得られた場合にのみ（ステップＳ６０５、はい）、ステップＳ６０７に処理が進む。なお、車両のユーザーや管理者などからソフトウェア更新について承諾が得られない場合には、期限を設けてソフトウェアの更新処理を行うことなく本処理を終了させてもよい。

（ステップＳ６０６）
第１センタ１０ａは、ソフトウェアの更新に関する情報に対する応答として、車両（ＯＴＡマスタ３０）から更新承諾通知を受信したか否かを判断する。更新承諾通知を受信することによって、センタ１０は、車両のユーザーや管理者などがソフトウェアの更新内容を理解した上で更新の同意が得られたものと判断することができる。更新承諾通知は、例えば、車両内に予め設けられた承諾用スイッチを押すことで第１センタ１０ａに送信できるようにすることができる。車両（ＯＴＡマスタ３０）から更新承諾通知を受信した場合にのみ（ステップＳ６０６、はい）、ステップＳ６０８に処理が進む。なお、車両（ＯＴＡマスタ３０）から更新承諾通知を受信できない場合には、期限を設けてソフトウェアの更新処理を行うことなく本処理を終了させてもよい。

（ステップＳ６０７）
第２センタ１０ｂは、ソフトウェアの更新に関する情報を車両のユーザーや管理者などに提供した旨の通知を、第１センタ１０ａに送信する。この通知によって、第１センタ１０ａは、車両のユーザーや管理者などにソフトウェアの更新に関する説明が完了したこと、及び車両のユーザーや管理者などからソフトウェアの更新承諾を受領したことを、判断することができる。通知が第１センタ１０ａに送信されると、ステップＳ６０８に処理が進む。

（ステップＳ６０８）
第１センタ１０ａは、車両に搭載されたターゲット電子制御ユニットのソフトウェアを更新する処理（ダウンロード、インストール、アクティベート）を実行させる。これにより、本ソフトウェア更新に関する情報の送信処理が終了する。

図８は、第１センタ１０ａ、ＯＴＡマスタ３０、及びターゲット電子制御ユニットが実行するソフトウェア更新制御処理の一例を説明するフローチャートである。この図８は、上述したソフトウェア更新に関する情報の送信処理（図６）が、ソフトウェアの更新処理におけるダウンロードの許可を得るためにダウンロードフェーズで実施された後のソフトウェア更新シーケンスの例である。

なお、ソフトウェア更新に関する情報の送信処理（図６）は、本実施形態で説明するダウンロードフェーズだけではなく、ソフトウェアの更新処理におけるインストールの許可を得るためにインストールフェーズで実施されてもよいし、ソフトウェアの更新処理におけるアクティベートの許可を得るためにアクティベートフェーズで実施されてもよい。

（ステップＳ８０１）
第１センタ１０ａは、ＯＴＡマスタ３０から配信パッケージのダウンロード要求があったか否かを判断する。ダウンロード要求があった場合にのみ（ステップＳ８０１、はい）、ステップＳ８０２に処理が進む。

（ステップＳ８０２）
ＯＴＡマスタ３０は、更新データのダウンロードを行う。より詳細には、ＯＴＡマスタ３０は、第１センタ１０ａから送信される更新データを含む配信パッケージを受信する。ＯＴＡマスタ３０は、受信した配信パッケージを記憶部３７に格納する。更新データのダウンロードが行われると、ステップＳ８０３に処理が進む。

（ステップＳ８０３）
ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して更新データに基づくソフトウェアのインストールを実行する。より詳細には、ＯＴＡマスタ３０は、配信パッケージに含まれる情報に基づいて、配信パッケージに含まれる更新データをターゲット電子制御ユニットに転送し、更新データをデータ格納領域に書き込む処理である、更新ソフトウェアのインストールを指示する。更新ソフトウェアのインストールが実行されると、ステップＳ８０４に処理が進む。

（ステップＳ８０４）
ＯＴＡマスタ３０は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアのアクティベートを実行する。より詳細には、ＯＴＡマスタ３０は、配信パッケージに含まれる情報に基づいて、更新ソフトウェアをデータ格納領域に書き込んだターゲット電子制御ユニットに対して、更新ソフトウェアのアクティベートを指示する。ターゲット電子制御ユニットは、電源ＯＦＦなどの特定の入力操作が行われたことを契機として再起動し、更新ソフトウェアを実行する。更新ソフトウェアのアクティベート処理が実行されると、本ソフトウェア更新制御処理が終了する。

＜作用・効果＞
以上のように、本開示の一実施形態に係るネットワークシステムによれば、車両に搭載された電子制御ユニットのソフトウェア更新を行う際、車両に搭載された表示装置７０がソフトウェアの更新に関する情報を十分に表示できない場合には、第２センタ１０ｂが車両のユーザーや管理者などにソフトウェアの更新に関する情報を電話やハガキなどによって提供する。

この処理により、車両ユーザーや管理者などが、カーナビゲーション装置のような表示装置に代わる機器（例えば、車両と無線通信可能なスマートフォンやパソコンなどの情報端末）を別途所有していなくても、ＯＴＡを用いたソフトウェア更新に関する必要な情報を、ユーザーや管理者などが受け取ることができる。そして、車両のユーザーや管理者などがソフトウェアの更新内容を理解し、かつ、更新の同意が得られたことを判断した後に、車両に搭載されたターゲット電子制御ユニットのソフトウェアを更新する処理を実行させることができる。

なお、上述の実施形態では、最初に車両に搭載された表示装置７０がソフトウェアの更新に関する情報を十分に表示できるか否かを第１センタ１０ａで判断するようにしたが、この判断をすることなく予め定められたルールで一律に車両のユーザーや管理者などにソフトウェアの更新に関する情報を提供してもよい。あるいは、車両のユーザーや管理者などが希望した連絡方法によって、ソフトウェアの更新に関する情報をそれぞれ提供してもよい。

以上、本開示技術の一実施形態を説明したが、本開示は、第１センタと第２センタとを備えるシステム、第１センタだけでなく、プロセッサとメモリを備えた第１センタが実行する方法、プログラム、プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体、第１センタと通信可能なＯＴＡマスタ、あるいはＯＴＡマスタを備えた車両など、として捉えることが可能である。

本開示技術は、車両に搭載された電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０ａ 第１センタ
１０ｂ 第２センタ
１１、３１ ＣＰＵ
１２、３２ ＲＡＭ
１３、３４ 記憶装置
１４、３６ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
１９ 取得部
２０ 処理部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
１００ ネットワーク

Claims (6)

1. 車両に搭載された電子制御ユニットのソフトウェアの更新を制御するシステムであって、
   前記ソフトウェアを更新するための処理を前記車両に対して行う第１センタと、
   前記第１センタによる前記処理に基づいて、前記電子制御ユニットの前記ソフトウェアの更新を実行する前記車両と、
   前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供する第２センタと、を備え、
   前記第２センタは、前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供した旨の通知を前記第１センタに送信し、
   前記第１センタは、前記第２センタから前記通知を受信した後に前記通知に基づく処理を前記車両に対して行う、システム。
2. 前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供した旨の通知には、前記車両のユーザーが前記ソフトウェアの更新処理を承諾したことを含む、請求項１に記載のシステム。
3. 前記車両のユーザーが前記ソフトウェアの更新処理を承諾するためのスイッチが、前記車両に設けられており、
   前記スイッチを介して入力された前記ソフトウェアの更新処理の承諾に関する通知が、前記車両から前記第２センタに送信される、請求項２に記載のシステム。
4. 前記ソフトウェアの更新処理には、前記ソフトウェアを更新するための更新データの前記車両へのダウンロード、前記更新データに基づく更新ソフトウェアのインストール、及び前記更新ソフトウェアのアクティベートの処理が含まれる、請求項２又は３に記載のシステム。
5. プロセッサとメモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するシステムを構成する、前記ソフトウェアを更新するための処理を前記車両に対して行う第１センタが実行する方法であって、
   前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供する第２センタから前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供した旨の通知を受信するステップと、
   前記第２センタから前記通知を受信した後に前記通知に基づく処理を前記車両に対して行うステップと、を備える、方法。
6. プロセッサとメモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するシステムを構成する、前記ソフトウェアを更新するための処理を前記車両に対して行う第１センタが実行する方法であって、
   前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供する第２センタから前記ソフトウェアの更新に関する情報を前記車両のユーザーに提供した旨の通知を受信するステップと、
   前記第２センタから前記通知を受信した後に前記通知に基づく処理を前記車両に対して行うステップと、を含む、プログラム。

Images