JP2017204227A - 車載制御装置、制御方法及びコンピュータプログラム - Google Patents

Abstract

【課題】 制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減する。【解決手段】 本発明は、車両に搭載された対象機器を制御する車載制御装置に関する。車載制御装置は、前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部と、前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部と、を備える。【選択図】 図５

Description

本発明は、車載制御装置、制御方法及びコンピュータプログラムに関する。具体的には、本発明は、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減する技術に関する。

近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための車載制御装置である、所謂ＥＣＵ（Electronic Control Unit）が多数搭載されている。
ＥＣＵには、例えば、アクセル、ブレーキ、ハンドルの操作に対してエンジンやブレーキ、ＥＰＳ（Electric Power Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じてヘッドライトの点灯／消灯やワイパーＯＮ／ＯＦＦ、ドアロック／アンロック等、運転席近傍に配設されるメータ類の動作を行うものがある。

一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read Only Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
ＥＣＵの制御プログラムは、車両の仕向け地やグレードなどに応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。

例えば、特許文献１及び２には、車載通信機などのゲートウェイが管理サーバから更新プログラムを受信し、受信した更新プログラム用いてＥＣＵが制御プログラムを旧バージョンから新バージョンに書き換えることにより、車両の各ＥＣＵに対するプログラム更新を無線通信によって遠隔で実行する技術が開示されている。

特開２００７−６５８５６号公報 特開２０１０−１９８１５５号公報

無線通信によって受信した更新プログラムを用いてＥＣＵが制御プログラムをリモートで更新する場合には、ＥＣＵに搭載された演算処理部は、対象機器に対する本来的な制御を停止してメモリの書き換えを実行する。
このため、制御プログラムの更新中においては、例えばドアロック制御やイモビライザーによる盗難防止制御などの重要な機能が働かなくなり、ユーザが不便に感じたり不利益を被ったりする可能性がある。

本発明は、かかる従来の問題点に鑑み、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減することができる車載制御装置等を提供することを目的とする。

（１） 本発明の一態様に係る車載制御装置は、車両に搭載された対象機器を制御する車載制御装置であって、前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部と、前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部と、を備える。

（７） 本発明の一態様に係る方法は、メイン処理部と代替処理部とを有する車載制御装置が車両に搭載された対象機器を制御する方法であって、前記メイン処理部が、前記対象機器を制御する通常モードを実行するステップと、前記メイン処理部が、前記対象機器の制御のための制御プログラムを更新するリプロモードを実行するステップと、前記メイン処理部が前記リプロモードを実行中である場合に、前記代替処理部が、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替するステップと、を含む。

（８） 本発明の一態様に係るコンピュータプログラムは、車両に搭載された対象機器を制御する車載制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、前記コンピュータプログラムは、前記コンピュータを、前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部、及び、前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部、として機能させる。

本発明によれば、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減することができる。

本発明の実施形態に係るプログラム更新システムの全体構成図である。 ゲートウェイの内部構成を示すブロック図である。 ＥＣＵの内部構成を示すブロック図である。 管理サーバの内部構成を示すブロック図である。 ＥＣＵの冗長構成の一例を示すブロック図である。 ＥＣＵの冗長構成の変形例を示すブロック図である。 ＥＣＵの冗長構成の他の変形例を示すブロック図である。

＜本発明の実施形態の概要＞
以下、本発明の実施形態の概要を列記して説明する。
（１） 本実施形態の車載制御装置は、車両に搭載された対象機器を制御する車載制御装置であって、前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部と、前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部と、を備える。

本実施形態の車載制御装置によれば、代替処理部が、メイン処理部がリプロモードを実行中である場合に、メイン処理部が通常モードにおいて対象機器に対して実行する制御の一部又は全部を代替するので、メイン処理部が制御プログラムを更新中であっても、代替処理部によって対象機器に対する制御が継続される。
このため、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減することができる。

（２） 本実施形態の車載制御装置において、前記メイン処理部及び前記代替処理部にそれぞれ対応する第１及び第２入力ポートと、前記対象機器に対応する出力ポートと、を有する出力調停部と、前記メイン処理部の制御モードを監視し、監視結果が前記通常モードである場合に前記出力調停部の入力ポートを前記第１入力ポートに設定し、監視結果が前記リプロモードである場合に、前記出力調停部の入力ポートを前記第２入力ポートに設定する切り替え制御部と、を更に備えることが好ましい。

本実施形態の車載制御装置によれば、切り替え制御部が、監視結果が通常モードである場合に出力調停部の入力ポートを第１入力ポート（メイン処理部側）に設定し、監視結果がリプロモードである場合に、出力調停部の入力ポートを第２入力ポート（代替処理部側）に設定するので、メイン処理部がリプロモードである場合に、代替処理部が生成する制御信号を対象機器に送出することができる。
このため、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減することができる。

（３） 本実施形態の車載制御装置において、前記対象機器に対する制御には、ドアロック制御、盗難防止制御及びバッテリ監視制御のうちの少なくとも１つの制御が含まれることが好ましい。
この場合、メイン処理部がリプロモードである場合に、代替処理部が、ドアロック制御、盗難防止制御及びバッテリ監視制御などの、車両の乗降又は盗難防止に関する制御を代替する。このため、制御プログラムの更新中であっても、車載制御装置による車両の乗降又は盗難防止に関する制御を継続することができる。

（４） 本実施形態の車載制御装置において、前記対象機器に対する制御には、室内照明制御、ＨＭＩ制御、駆動用バッテリ制御及びアクセサリコンセント制御のうちの少なくとも１つの制御が含まれることが好ましい。
この場合、メイン処理部がリプロモードである場合に、代替処理部が、室内照明制御、ＨＭＩ制御、駆動用バッテリ制御及びアクセサリコンセント制御などの、車両のユーザの利便性に関する制御を代替する。このため、制御プログラムの更新中であっても、車載制御装置による車両のユーザの利便性に関する制御を継続することができる。

（５） 本実施形態の車載制御装置において、前記代替処理部は、ハードウェアロジックの論理回路よりなることが好ましい。
この場合、例えば演算処理部よりなる代替処理部を採用したデュアルＣＰＵの冗長構成とする場合に比べて、車載制御装置の製作コストを低減することができる。

（６） 本実施形態の車載制御装置において、前記代替処理部は、他の車載制御装置に搭載された演算処理部よりなることが好ましい。
この場合、演算処理部又は論理回路の実装により代替処理部を構成する場合に比べて、車載制御装置の製作コストを低減することができる。

（７） 本実施形態の制御方法は、上述の（１）〜（６）のいずれかに記載の車載制御装置が実行する対象機器の制御方法に関する。
従って、本実施形態の制御方法は、上述の（１）〜（６）のいずれかに記載の車載制御装置と同様の作用効果を奏する。

（８） 本実施形態のコンピュータプログラムは、上述の（１）〜（６）のいずれかに記載の車載制御装置として、コンピュータを機能させるためのコンピュータプログラムに関する。
従って、本実施形態のコンピュータプログラムは、上述の（１）〜（６）のいずれかに記載の車載制御装置と同様の作用効果を奏する。

＜本発明の実施形態の詳細＞
以下、図面を参照して、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

〔システムの全体構成〕
図１は、本発明の実施形態に係るプログラム更新システムの全体構成図である。
図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５及びＤＬ（ダウンロード）サーバ６を含む。
管理サーバ５及びＤＬサーバ６は、例えば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。

車両１には、ゲートウェイ１０と、無線通信部１５と、複数のＥＣＵ３０と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）とが搭載されている。
車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループが存在し、ゲートウェイ１０は、通信グループ間の通信を中継している。このため、ゲートウェイ１０には、複数の車内通信線が接続されている。

無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５及びＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、ＥＣＵ３０に送信する。
ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。

車両１に搭載される無線通信部１５としては、例えば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal Computer）等の装置が考えられる。
図１では、ゲートウェイ１０が無線通信部１５を介して車外装置と通信を行う場合が例示されているが、ゲートウェイ１０が無線通信の機能を有する場合には、ゲートウェイ１０自身が管理サーバ５などの車外装置と無線通信を行う構成としてもよい。

また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６が別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。

〔ゲートウェイの内部構成〕
図２は、ゲートウェイ１０の内部構成を示すブロック図である。
図２に示すように、ゲートウェイ１０は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、記憶部１３、及び車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線を介して接続されているが、これらは一つの装置で構成してもよい。

ＣＰＵ１１は、記憶部１３に記憶された一又は複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
ＣＰＵ１１は、例えば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。ＲＡＭ１２は、ＳＲＡＭ（Static ＲＡＭ）又はＤＲＡＭ（Dynamic ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。

記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子などにより構成されている。
記憶部１３は、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等を記憶する記憶領域を有する。記憶部１３は、ＤＬサーバ６から受信した各ＥＣＵ３０の更新プログラムなども記憶する。

車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、例えばＣＡＮ（Controller Area Network）、ＣＡＮＦＤ（ＣＡＮ with Flexible Data Rate）、ＬＩＮ（Local Interconnect Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、又はＭＯＳＴ（Media Oriented Systems Transport：ＭＯＳＴは登録商標）等の規格に応じて、ＥＣＵ３０との通信を行う。
車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車載ネットワークに用いる他の通信規格によって通信してもよい。

無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。

図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal Serial Bus）又はＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０が通信可能になる。

〔ＥＣＵの内部構成〕
図３は、ＥＣＵ３０の内部構成を示すブロック図である。
図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、例えば、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、及びドアロック制御ＥＣＵなどがある。

ＣＰＵ３１は、記憶部３３に予め記憶された一又は複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。
ＲＡＭ３２は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。

記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
記憶部３３が記憶する情報には、例えば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラム（以下、「制御プログラム」という。）が含まれる。

通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、例えばＣＡＮ、Ｅｔｈｅｒｎｅｔ、又はＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。

ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」又は「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（例えば、燃料エンジンに対するエンジン制御や、ドアロックモータに対するドアロック制御など）を実行する制御モードのことである。

リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムの消去や書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。

リプロモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。

〔管理サーバの内部構成〕
図４は、管理サーバ５の内部構成を示すブロック図である。
図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、及び通信部５５などを備える。

ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一又は複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。
ＲＡＭ５３は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。

記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、又は、ハードディスクなどの磁気記憶装置等により構成されている。
通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。

記憶部５４が記憶する情報には、登録会員であるユーザの個人情報や、車両１に搭載されたＥＣＵ３０が実行する制御プログラムのバージョン情報などを管理するための管理テーブル（図示せず）などが含まれる。
管理テーブルは、例えば、登録会員が所有する車両１の車両識別番号（ＶＩＮ）と、車両識別番号ごとのＥＣＵ３０の種別と、各ＥＣＵ３０が実行する制御プログラムのバージョン情報の履歴とを纏めた参照テーブルよりなる。

ＤＬサーバ６には、すべての種別のＥＣＵ３０について、当該ＥＣＵ３０が実行する制御プログラムのバージョンごとの更新プログラムが格納されている。
ＤＬサーバ６が保持する更新プログラムは、当該ＥＣＵ３０にインストールさせる最新バージョンの制御プログラムそのものであってもよいし、旧バージョンの制御プログラムと新バージョンの制御プログラムとの差分プログラムであってもよい。

車両１のゲートウェイ１０は、自車両に搭載されたＥＣＵ３０が使用中の制御プログラムのバージョン情報と、自車両の車両識別番号とを含む通信パケットを、所定時間おきに管理サーバ５に送信している。
管理サーバ５のＣＰＵ５１は、ゲートウェイ１０から受信した通信パケットに含まれる制御プログラムのバージョン情報が最新バージョンであるか否かを判定する。

ＣＰＵ５１は、判定の結果、ゲートウェイ１０から通知された制御プログラムのバージョン情報が最新でない場合には、更新プログラムの保存先であるＤＬサーバ６のＵＲＬを含む通信パケットをゲートウェイ１０に送信する。
上記の通信パケットを受信したゲートウェイ１０は、管理サーバ５から通知されたＵＲＬと、リプログラミングを実行すべきＥＣＵ３０の種別とを含むダウンロード要求をＤＬサーバ６に送信する。

上記のダウンロード要求を受信したＤＬサーバ６は、ゲートウェイ１０から通知されたＥＣＵ３０の種別に対応する更新プログラムを、ダウンロード要求の送信元であるゲートウェイ１０に送信する。
上記の更新プログラムを受信したゲートウェイ１０のＣＰＵ３１は、受信した更新プログラムを用いて制御プログラムを最新バージョンに更新する処理を実行する。

〔ＥＣＵの冗長構成例〕
図５は、ＥＣＵ３０の冗長構成の一例を示すブロック図である。
図５のブロック図では、対象機器６２の制御に必要な機能ブロックのみが抽出されており、図３に示すＲＡＭ３２、記憶部３３及び通信部３４が省略されている。
図５のＥＣＵ３０は、ドアロック制御ＥＣＵ３０Ａ（以下、「ＥＣＵ３０Ａ」と略記する。）よりなる。ＥＣＵ３０Ａは、車両１の乗降ドア、トランクドア及びボンネットドアなどの施錠及び解錠を制御するＥＣＵ３０である。

ＥＣＵ３０Ａの入力ポートには、ドアロック制御のためのセンサ信号を生成する入力機器６１であるドアロック制御スイッチ６１Ａが接続され、ＥＣＵ３０Ａの出力ポートには、ドアロック制御の対象機器６２であるドアロックモータ６２Ａが接続されている。
ＥＣＵ３０Ａは、メインＣＰＵ６３とサブＣＰＵ６４の２つの演算処理部を含む冗長構成となっている。また、ＥＣＵ３０Ａは、２つのＣＰＵ６３，６４の他に、切り替え制御部６５、入力調停部６６、及び出力調停部６７を備える。

メインＣＰＵ６３は、実行可能な制御モードとして、前述の通常モードとリプロモードとを実行可能なＣＰＵよりなる。
すなわち、メインＣＰＵ６３は、当該メインＣＰＵ６３による制御モードを、通常モード又はリプロモードのいずれかに切り替える起動部３５を有する、図３のＣＰＵ３１と同様のＣＰＵよりなる。

サブＣＰＵ６４は、メインＣＰＵ６３が通常モードにおいて実行する本体的な制御の一部又は全部を代替するＣＰＵである。
メインＣＰＵ６３の全部の制御をサブＣＰＵ６４が代替する場合には、サブＣＰＵ６４は、メインＣＰＵ６３とほぼ同等の処理能力が必要である。メインＣＰＵ６３の一部の制御をサブＣＰＵ６４が代替する場合には、サブＣＰＵ６４は、メインＣＰＵ６３よりも低い処理能力のＣＰＵで足りる。

メインＣＰＵ６３が実行するドアロック制御は、例えば、車両１の乗降ドア、トランクドア及びボンネットドアなどの全ドアに関する施錠及び解錠の制御である。
従って、サブＣＰＵ６４が代替する制御を一部に絞る場合には、例えば、サブＣＰＵ６４が実行可能な施錠及び解錠の制御を、運転席のドアのみとする、運転席のドアと後部座席（片側）のドアのみとする、或いは、運転席のドアとトランクドアのみとするなど、種々のバリエーションが考えられる。

入力調停部６６は、例えば１入力／２出力の調停回路よりなる。入力調停部６６の入力ポートには、ドアロック制御スイッチ６１Ａが出力するセンサ信号が入力される。
入力調停部６６の一方の出力ポートは、メインＣＰＵ６３の入力ポートに接続され、入力調停部６６の他方の出力ポートは、サブＣＰＵ６４の入力ポートに接続されている。

出力調停部６７は、例えば２入力／１出力の調停回路よりなる。出力調停部６７の出力ポートから出力される制御信号は、ドアロックモータ６２Ａに入力される。
入力調停部６６の一方の入力ポートは、メインＣＰＵ６３の出力ポートに接続され、入力調停部６６の他方の出力ポートは、サブＣＰＵ６４の出力ポートに接続されている。

メインＣＰＵ６３の起動部３５（図３参照）は、メインＣＰＵ６３において実行中の制御モードの種別を表す状態信号Ｓ１を生成しており、生成した状態信号Ｓ１を切り替え制御部６５に通知している。
切り替え制御部６５は、メインＣＰＵ６３からの状態信号Ｓ１に基づいて、メインＣＰＵ６３が実行する制御モードが通常モード及びリプロモードのいずれであるかを常に監視している。

切り替え制御部６５は、状態信号Ｓ１の種別に応じて変化する制御指令Ｓ２〜Ｓ４を、入力調停部６６、出力調停部６７及びサブＣＰＵ６４にそれぞれ入力する。
具体的には、状態信号Ｓ１の種別が「通常モード」である場合は、切り替え制御部６５は、入力調停部６６の出力ポートを制御指令Ｓ２によりメインＣＰＵ６３側に切り替え、出力調停部６７の入力ポートを制御指令Ｓ３によりメインＣＰＵ６３側に切り替え、制御指令Ｓ４によりサブＣＰＵ６４をディスエーブルとする。

従って、メインＣＰＵ６３が通常モードで動作する場合は、ドアロック制御スイッチ６１Ａのセンサ信号が入力調停部６６を介してメインＣＰＵ６３に入力され、メインＣＰＵ６３は、入力されたセンサ信号に応じた制御信号を生成する。
そして、メインＣＰＵ６３が生成した制御信号は、出力調停部６７を介してドアロックモータ６２Ａに送出される。

一方、状態信号Ｓ１の種別が「リプロモード」である場合は、切り替え制御部６５は、入力調停部６６の出力ポートを制御指令Ｓ２によりサブＣＰＵ６４側に切り替え、出力調停部６７の入力ポートを制御指令Ｓ３によりサブＣＰＵ６４側に切り替え、制御指令Ｓ４によりサブＣＰＵ６４をイネーブルとする。

従って、メインＣＰＵ６３がリプロモードで動作する場合は、ドアロック制御スイッチ６１Ａのセンサ信号が入力調停部６６を介してサブＣＰＵ６４に入力され、サブＣＰＵ６４は、入力されたセンサ信号に応じた制御信号を生成する。
そして、サブＣＰＵ６４が生成した制御信号は、出力調停部６７を介してドアロックモータ６２Ａに送出される。

図５のＥＣＵ３０Ａにおいて、必ずしも入力調停部６６を設ける必要はない。すなわち、入力調停部６６を省略して、入力機器６１が生成するセンサ信号をメインＣＰＵ６３とサブＣＰＵ６４の双方に入力することにしてもよい。後述する図６及び図７のＥＣＵ３０についても同様である。

〔本実施形態の効果〕
上述の通り、本実施形態のＥＣＵ３０Ａによれば、切り替え制御部６５が、監視結果が通常モードである場合に出力調停部６７の入力ポートをメインＣＰＵ６３側に設定し、監視結果がリプロモードである場合に、出力調停部６７の入力ポートをサブＣＰＵ６４側に設定する。

このため、メインＣＰＵ６３がリプロモードである場合でも、サブＣＰＵ６４がメインＣＰＵ６３の代わりに生成する制御信号を、対象機器６２であるドアロックモータ６２Ａに送出することができる。
従って、メインＣＰＵ６３が制御プログラムの更新中であるために、車両１の乗降ドアやトランクドアが使用不能となることがなく、制御プログラムの更新中にユーザに生じ得る不便又は不利益を低減することができる。

〔第１の変形例〕
図６は、ＥＣＵ３０の冗長構成の変形例を示すブロック図である。
上述の実施形態では、メインＣＰＵ６３がリプロモードで動作する場合に、メインＣＰＵ６３が通常モードにおいて実行する制御を代替する処理部（以下、「代替処理部」という。）が、ＣＰＵにより構成されている。

この場合、１つのＥＣＵ３０Ａに２つのＣＰＵ６３，６４を搭載する必要があり、ＥＣＵ３０Ａの製作コストが高くなる。そこで、図６に示すように、代替処理部は、ハードウェアロジックの論理回路６８によって構成することにしてもよい。
このように、代替処理部としてハードウェアロジックの論理回路６８を採用すれば、ＥＣＵ３０ＡをデュアルＣＰＵの冗長構成とする場合に比べて、ＥＣＵ３０Ａの製作コストを低減することができる。

また、図６に示すように、代替処理部は、通常はドアロック制御以外の制御を実行する他のＥＣＵ３０Ｂ（例えば、イモビライザーなどの盗難防止制御ＥＣＵ）のＣＰＵにより構成することにしてもよい。
このように、他のＥＣＵ３０ＢのＣＰＵを代替処理部として採用すれば、サブＣＰＵ６４や論理回路６８をＥＣＵ３０Ａに実装する必要がなくなり、ＥＣＵ３０Ａの製作コストを低減することができる。

〔第２の変形例〕
図７は、ＥＣＵ３０の冗長構成の他の変形例を示すブロック図である。
図７に示すように、メインＣＰＵ６３の制御を代替する代替処理部（サブＣＰＵ６４や論理回路６８など）を有するＥＣＵ３０Ａによる制御は、ドアロック制御だけでなく、盗難防止制御（イモビライザー、侵入センサ及びセキュリティアラーム制御など）や、バッテリ監視制御などであってもよい。

この場合、メインＣＰＵ６３がリプロモードである場合に、サブＣＰＵ６４などの代替処理部が、ドアロック制御、盗難防止制御及びバッテリ監視制御などの、車両の乗降又は盗難防止に関する制御を代替する。
このため、メインＣＰＵ６３が制御プログラムの更新中であっても、ＥＣＵ３０Ａによる車両の乗降又は盗難防止に関する制御を継続することができる。

具体的には、代替処理部がドアロック制御を代替する場合には、制御プログラムの更新中であっても、車両１の乗降、施錠及び開錠が可能になるという利点がある。
また、代替処理部が盗難防止制御を代替する場合には、制御プログラムの更新中であっても、車両１の盗難を防止できるという利点がある。
更に、代替処理部がバッテリ監視制御を代替する場合には、例えば、制御プログラムの更新中にバッテリ低下を検出すると、メインＣＰＵ６３のリプログラミングを中止させ、バッテリ上がりを防止できるなどの利点がある。

同様に、メインＣＰＵ６３の制御を代替する代替処理部（サブＣＰＵ６４や論理回路６８など）を有するＥＣＵ３０Ａによる制御は、室内照明制御、ＨＭＩ（Human Interface）制御、駆動用バッテリ制御及びアクセサリコンセント制御などであってもよい。

この場合、メインＣＰＵ６３がリプロモードである場合に、サブＣＰＵ６４などの代替処理部が、室内照明制御、ＨＭＩ制御、駆動用バッテリ制御及びアクセサリコンセント制御などの、車両１のユーザの利便性に関する制御を代替する。
このため、メインＣＰＵ６３が制御プログラムの更新中であっても、ＥＣＵ３０Ａによる車両１のユーザの利便性に関する制御を継続することができる。

具体的には、代替処理部が室内照明制御を代替する場合には、例えば、夜間のリプログラミング中でも、ユーザが車内で快適に過ごすことができるという利点がある。
また、代替処理部がＨＭＩ制御を代替する場合には、ユーザがリプログラミングの進行状態をメータディスプレイ等で確認できるという利点がある。

また、代替処理部が駆動用バッテリ充電制御を代替する場合には、例えば、リプログラミング作業と並行してバッテリの充電を行う制御を行うことにより、ユーザの待ち時間短縮につながるという利点がある。
更に、代替処理部がアクセサリコンセント制御を代替する場合には、例えば、リプログラミングの完了の待ち時間に、ユーザがＰＣ、音楽プレーヤー又はゲーム機などのユーザ機器をコンセントに接続してプレイするなど、ユーザが車内で快適に過ごすことができるという利点がある。

今回開示した実施形態はすべての点で例示であって制限的なものではない。本発明の権利範囲は、上述の実施形態に限定されるものではなく、特許請求の範囲に記載された構成と均等の範囲内でのすべての変更が含まれる。

１ 車両
２ 広域通信網
５ 管理サーバ
６ ＤＬサーバ
１０ ゲートウェイ
１１ ＣＰＵ
１２ ＲＡＭ
１３ 記憶部
１４ 車内通信部
１５ 無線通信部
３０ ＥＣＵ（車載制御装置）
３０Ａ ドアロックＥＣＵ
３０Ｂ 他のＥＣＵ
３１ ＣＰＵ（演算処理部）
３２ ＲＡＭ
３３ 記憶部
３４ 通信部
３５ 起動部
５１ ＣＰＵ
５２ ＲＯＭ
５３ ＲＡＭ
５４ 記憶部
５５ 通信部
６１ 入力機器
６１Ａ ドアロック制御スイッチ
６２ 対象機器
６２Ａ ドアロックモータ
６３ メインＣＰＵ（メイン処理部）
６４ サブＣＰＵ（代替処理部）
６５ 切り替え制御部
６６ 入力調停部
６７ 出力調停部
６８ 論理回路（代替処理部）

Claims (8)

1. 車両に搭載された対象機器を制御する車載制御装置であって、
   前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部と、
   前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部と、を備える車載制御装置。
2. 前記メイン処理部及び前記代替処理部にそれぞれ対応する第１及び第２入力ポートと、前記対象機器に対応する出力ポートと、を有する出力調停部と、
   前記メイン処理部の制御モードを監視し、監視結果が前記通常モードである場合に前記出力調停部の入力ポートを前記第１入力ポートに設定し、監視結果が前記リプロモードである場合に、前記出力調停部の入力ポートを前記第２入力ポートに設定する切り替え制御部と、を更に備える請求項１に記載の車載制御装置。
3. 前記対象機器に対する制御には、ドアロック制御、盗難防止制御及びバッテリ監視制御のうちの少なくとも１つの制御が含まれる請求項１又は請求項２に記載の車載制御装置。
4. 前記対象機器に対する制御には、室内照明制御、ＨＭＩ制御、駆動用バッテリ制御及びアクセサリコンセント制御のうちの少なくとも１つの制御が含まれる請求項１〜請求項３のいずれか１項に記載の車載制御装置。
5. 前記代替処理部は、ハードウェアロジックの論理回路よりなる請求項１〜請求項４のいずれか１項よりなる車載制御装置。
6. 前記代替処理部は、他の車載制御装置に搭載された演算処理部よりなる請求項１〜請求項４のいずれか１項よりなる車載制御装置。
7. メイン処理部と代替処理部とを有する車載制御装置が車両に搭載された対象機器を制御する方法であって、
   前記メイン処理部が、前記対象機器を制御する通常モードを実行するステップと、
   前記メイン処理部が、前記対象機器の制御のための制御プログラムを更新するリプロモードを実行するステップと、
   前記メイン処理部が前記リプロモードを実行中である場合に、前記代替処理部が、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替するステップと、を含む制御方法。
8. 車両に搭載された対象機器を制御する車載制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、前記コンピュータを、
   前記対象機器を制御する通常モードと、前記対象機器の制御のための制御プログラムを更新するリプロモードとを実行可能なメイン処理部、及び、
   前記メイン処理部が前記リプロモードを実行中である場合に、前記メイン処理部が前記通常モードにおいて前記対象機器に対して実行する制御の一部又は全部を代替する代替処理部、として機能させるコンピュータプログラム。

Images