JP2018079768A - 更新データ保存システム - Google Patents

Abstract

【課題】比較的更新データが大きい場合であっても、車両内の機器に更新データを保存させることが可能であると共に、更新データが車両に保存されることによる車両の"走る・曲がる・止まる"の基本機能への影響を抑制することが可能な更新データ保存システムを提供する。【解決手段】車両に設けられ、内部にデータを保存可能な複数の機器であって、非走行系に属する複数の機器と、前記車両に搭載される所定機器に保存される所定のデータを更新するための更新データを複数の分割データに分割するデータ分割部と、前記複数の分割データの各々の保存先として、前記複数の機器の何れか１つを対応付ける対応付け部と、前記複数の分割データの各々を、前記複数の機器のうちの前記対応付け部により対応付けられた機器に保存させる保存処理部と、を備える。【選択図】図１

Description

本発明は、更新データ保存システムに関する。

例えば、車両に搭載される所定機器のメモリに更新データを予め記憶させておき、当該更新データを対象となる機器（例えば、ＥＣＵ（Electronic Control Unit））に車載ネットワーク経由で転送し、当該機器の所定のデータを更新データに更新させる技術が開示されている（特許文献１参照）。

特開２０１１−４０９１２号公報

しかしながら、更新データが比較的大きくなると、１つの保存先（機器）では容量が不足する可能性がある。

また、保存先の機器が、車両の所謂"走る・曲がる・止まる"の基本機能に関連する制御を行う制御装置である場合、その保存処理や更新対象の機器への転送処理により、当該基本機能への影響が生じる可能性がある。

そこで、上記課題に鑑み、比較的更新データが大きい場合であっても、車両内の機器に更新データを保存させることが可能であると共に、更新データが車両に保存されることによる車両の"走る・曲がる・止まる"の基本機能への影響を抑制することが可能な更新データ保存システムを提供することを目的とする。

上記目的を達成するため、本発明の一実施形態では、
車両に設けられ、内部にデータを保存可能な複数の機器であって、非走行系に属する複数の機器と、
前記車両に搭載される所定機器に保存される所定のデータを更新するための更新データを複数の分割データに分割するデータ分割部と、
前記複数の分割データの各々の保存先として、前記複数の機器の何れか１つを対応付ける対応付け部と、
前記複数の分割データの各々を、前記複数の機器のうちの前記対応付け部により対応付けられた機器に保存させる保存処理部と、を備える、
更新データ保存システムが提供される。

本実施形態によれば、更新データが複数の分割データに分割された上で、複数の分割データの各々が、車両に設けられる複数の機器の何れかに保存される。そのため、更新データの容量が大きく、１つの機器の内部に更新データを保存できない場合であっても、車両に更新データを分散させて保存することができる。また、分割データの保存先の候補となる複数の機器は、非走行系に属する、即ち、車両の"走る・曲がる・止まる"の基本機能（即ち、車両を走行させる機能、車両の進行方向を変更する機能、及び車両を制動させる機能）以外の機能に関連する機器である。そのため、分割データを走行系に属する機器に書き込む処理や走行系に属する機器から読み出す処理等が発生することがないため、更新データが車両内の所定機器に保存されることによる車両の"走る・曲がる・止まる"の基本機能への影響を抑制することができる。

本実施形態によれば、比較的更新データが大きい場合であっても、車両内の機器に更新データを保存させることが可能であると共に、更新データが車両に保存されることによる車両の"走る・曲がる・止まる"の基本機能への影響を抑制することが可能な更新データ保存システムを提供することができる。

データ更新システムの構成の一例を概略的に示す図である。 リプログラム管理部による更新データの保存先の候補ごとの保存可能なデータサイズを集約する処理（保存先候補リスト生成処理）の一例を概略的に示すフローチャートである。 保存先候補機器ごとの保存可能なデータサイズを表す情報の一例（保存先候補リスト）を示す図である。 リプログラム管理部による分割された更新データ（複数の分割データ）の各々を保存先である各機器に配信する処理（分割データ配信処理）の一例を概略的に示すフローチャートである。 リプログラム管理部による各機器に保存されるデータを更新対象の機器に送信する処理（更新データ送信処理）の一例を概略的に示すフローチャートである。 データ保存処理部による内部メモリに保存可能なデータサイズを返信する処理（保存領域情報返信処理）の一例を概略的に示すフローチャートである。 リプログラム処理部による更新データへの書き換え処理（リプログラム処理）の一例を概略的に示すフローチャートである。 分割データ配信処理部による分割された更新データ（複数の分割データ）を車両に配信する処理（更新データ配信処理）の一例を概略的に示すフローチャートである。 複数の分割データごとの保存先の機器を表す情報の一例（分割データ管理情報）を示す図である。 データ更新システムにおけるセンタサーバから車両への更新データ（複数の分割データ）の配信、及び分割データの各保存先の機器への保存に係る動作の流れの一例を示すシーケンス図である。 データ更新システムにおける対象機器のリプログラムに係る動作の流れの一例を示すシーケンス図である。

以下、図面を参照して発明を実施するための形態について説明する。

まず、図１を参照して、本実施形態に係るデータ更新システム１（更新データ保存システムの一例）の基本構成について説明をする。

図１は、本実施形態に係るデータ更新システム１の構成の一例を概略的に示す図である。データ更新システム１は、車両２と、車両２の遠隔に配置されるセンタサーバ１００との双方向通信に基づき、センタサーバ１００に格納される更新データ１２０４Ａを車両２に取り込み、内部にデータを保存可能な各種機器（後述する保存先候補機器３０）に保存させる処理を行う。データ更新システム１は、車両２に設けられる構成要素として、ＤＣＭ（Data Communication Module）１０、ゲートウェイＥＣＵ２０、保存先候補機器３０、制御系ＥＣＵ４０を含む。また、データ更新システム１は、車両２の外部に設けられる構成要素として、上述のセンタサーバ１００を含む。

ＤＣＭ１０は、ゲートウェイＥＣＵ２０の制御の下、無線ネットワークを含む車両２の外部の所定のネットワーク（例えば、携帯電話網、インターネット網等）を通じて、センタサーバ１００と双方向通信を行う通信装置である。

ゲートウェイＥＣＵ２０は、車両２の内部の複数のローカルネットワークＮＷ１〜ＮＷ３、及びＤＣＭ１０を介して接続される車両２の外部のネットワークの相互間の通信を中継する中継装置である。ゲートウェイＥＣＵ２０は、上述の如く、ＤＣＭ１０を介して、車両２の外部の所定のネットワークと接続することができる。また、ゲートウェイＥＣＵ２０は、車両２の内部の複数のローカルネットワークＮＷ１〜ＮＷ３と接続される。ゲートウェイＥＣＵ２０は、外部通信処理部２０１、内部通信処理部２０２、リプログラム管理部（以下、リプロ管理部と称する）２０３を含む。

尚、ゲートウェイＥＣＵ２０は、その機能が任意のハードウェア、ソフトウェア、或いはこれらの組み合わせにより実現されてよく、例えば、ＣＰＵ，ＲＡＭ，ＲＯＭ，Ｉ／Ｏ等を含むマイクロコンピュータを中心に構成されてよい。後述するボディ系ＥＣＵ３１、情報系機器３２、制御系ＥＣＵ４０等についても同様である。

外部通信処理部２０１は、ＤＣＭ１０を制御し、ゲートウェイＥＣＵ２０を含む車両２の内部ネットワーク（ローカルネットワークＮＷ１〜ＮＷ３含む）と、センタサーバ１００との間の制御信号、情報信号等の送受信を行う。

内部通信処理部２０２は、ゲートウェイＥＣＵ２０内の所定のインターフェースを介して、ゲートウェイＥＣＵ２０と、車両２の内部のローカルネットワークＮＷ１〜ＮＷ３との間での制御信号、情報信号等の送受信を行う。

リプロ管理部２０３は、制御系ＥＣＵ４０を含む各種ＥＣＵの内部に格納（インストール）される各種プログラムを、新たな更新プログラム（更新データ）に書き換える処理（リプログラム処理）を管理する。具体的には、リプロ管理部２０３は、センタサーバ１００から複数の分割データに分割されて送信される更新データの保存先の候補として予め規定される複数の保存先候補機器３０から保存可能なデータサイズを保存先候補リストとして集約する処理（保存先候補リスト生成処理）を行う。以下、図２を参照して、リプロ管理部２０３による保存先候補リスト生成処理の処理フローについて説明する。

図２は、リプロ管理部２０３による保存先候補リスト生成処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、例えば、センタサーバ１００から車両２に送信されるリプログラム処理の対象の更新データがある旨のＰＵＳＨ通知に応じて実行されてよい。

ステップＳ１０２にて、リプロ管理部２０３は、保存先候補機器３０（後述するボディ系ＥＣＵ３１、情報系機器３２、外部接続メモリ３３）の各々に保存領域取得要求を送信する。保存領域取得要求は、保存先候補機器３０の内部に保存可能なデータサイズ、即ち、更新データの保存領域として使用可能な記憶部（後述する記憶部３１３，３２３，３３３）の容量の返信を要求するメッセージである。本実施形態では、リプロ管理部２０３は、当該記憶部として、保存先候補機器３０内のＲＡＭに設けられるバッファのうち保存領域として使用可能な空きバッファの容量の返信を要求する。

ステップＳ１０４にて、リプロ管理部２０３は、所定時間のタイマを設定する。当該所定時間は、例えば、保存先候補機器３０の各々から返信される保存領域情報（後述）を全て受信するのに要する時間の最大値よりも十分に大きな値として設定されてよい。

ステップＳ１０６にて、リプロ管理部２０３は、保存先候補機器３０から受信した保存領域情報を、例えば、ＲＡＭ内のバッファに保存する。保存領域情報は、保存先候補機器３０の各々の空きバッファの容量を含み、保存領域取得要求を受信した保存先候補機器３０の各々からゲートウェイＥＣＵ２０に返信される。

ステップＳ１０８にて、リプロ管理部２０３は、タイマがタイムアウトしたか否かを判定する。リプロ管理部２０３は、タイマがタイムアウトした場合、ステップＳ１１０に進み、タイムアウトしていない場合、ステップＳ１０６に戻り、ステップＳ１０６、Ｓ１０８の処理を繰り返す。

ステップＳ１１０にて、リプロ管理部２０３は、保存先候補機器３０の各々から受信した保存領域情報に基づき、保存先候補リストを作成する。保存先候補リストは、保存先候補機器３０の各々の空きバッファの容量を表す情報が含まれる。

例えば、図３は、保存先候補リスト（保存先候補機器３０ごとの保存可能なデータサイズを表す情報の一例）を示す図である。本例に係る保存先候補リストでは、保存先候補機器３０として、ボディＥＣＵ、エアコンＥＣＵ（共にボディ系ＥＣＵ３１の一例）、ナビゲーション装置（情報系機器３２の一例）、及び外部接続メモリ３３がリストアップされている。そして、各保存先候補機器３０に対して、空きバッファの容量（サイズ）が、所定量以上であることを意味する"大"と、該所定量未満であることを意味する"小"との種別で表されている。例えば、車両２に搭載されるボディ系ＥＣＵ３１等の各種ＥＣＵに搭載されるＲＡＭの容量は、そもそも、絶対値として比較的小さいため、ボディＥＣＵ、エアコンＥＣＵの空きバッファサイズは、"小"と表されている。また、エンタテイメント関連の機器が含まれる情報系機器３２や外部接続メモリ３３は、絶対値としてバッファの容量が比較的大きいため、ナビゲーション装置や外部接続メモリ３３の空きバッファは、"大"として表されている。

また、図３に示すように、本例に係る保存先候補リストには、保存先候補機器３０の各々が接続されるバス（ローカルネットワークＮＷ１〜ＮＷ３）のプロトコルの種別が含まれる。例えば、ボディ系ＥＣＵ３１としてのボディＥＣＵ、エアコンＥＣＵが接続されるバス（ローカルネットワークＮＷ１）は、ＣＡＮ（Controller Area Network）プロトコルに基づくネットワークであることが表され、情報系機器３２としてのナビゲーション装置や情報系機器３２に繋がる外部接続メモリ３３が接続されるバス（ローカルネットワークＮＷ２）は、イーサネット（登録商標）プロトコルに基づくネットワークであることが表される。

また、図３に示すように、本例に係る保存先候補リストには、保存先候補機器３０の各々が車両２の内部に搭載されている（組み付けられている）か、車両２に設けられる外部接続インターフェースを通じて外部接続されているかが表されている。具体的には、車両２の内部に搭載されている場合、"内"で表され、車両２に外部接続される場合、"外"で表される。ボディＥＣＵ、エアコンＥＣＵ、ナビゲーション装置等は、車両２に組み付けられているため、"内"で表され、外部接続メモリ３３は、車両２に外部接続されるため、"外"で表されている。

図２に戻り、ステップＳ１１２にて、リプロ管理部２０３は、外部通信処理部２０１を介して、作成した保存先候補リストをセンタサーバ１００に送信し、今回の処理を終了する。

また、リプロ管理部２０３は、センタサーバ１００から車両２に送信される分割された更新データ（複数の分割データ）の各々を、センタサーバ１００により決定された保存先である保存先候補機器３０に配信する処理（分割データ配信処理）を行う。以下、図４を参照して、リプロ管理部２０３による分割データ配信処理の処理フローについて説明をする。

図４は、リプロ管理部２０３による分割データ配信処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、センタサーバ１００から送信される分割データ管理情報（後述）が外部通信処理部２０１により受信された場合に実行される。

ステップＳ２０２にて、リプロ管理部２０３は、外部通信処理部２０１によりセンタサーバ１００から受信された分割データ管理情報をＲＡＭのバッファ等から取得する。分割データ管理情報（図９参照）は、更新データが分割されることにより生成される複数の分割データの各々に紐づけられる各種情報が含まれる。例えば、分割データ管理情報には、複数の分割データの各々のサイズ（更新データ内のアドレス）、各々の保存先となる保存先候補機器３０等が含まれる。また、例えば、分割データ管理情報には、複数の分割データの各々のデータ検証値、暗号化の有無、暗号化されている場合の復号検証値等が含まれる。データ検証値は、分割データの受信側（外部通信処理部２０１）で、分割データが正常に受信されたか、即ち、受信された分割データが送信された分割データと同じものかを検証するためのデータであり、例えば、ＭＡＣ（Message Authentication Code）値であってよい。また、復号検証値は、暗号化された分割データが復号される場合に、正常に復号されたか否か、即ち、復号された分割データが、復号される前の元の分割データと同じであるか否かを検証するためのデータであり、例えば、ＣＲＣ（Cyclic Redundancy Check）値等の誤り検出符号であってよい。

ステップＳ２０４にて、リプロ管理部２０３は、外部通信処理部２０１がセンタサーバ１００から分割データを受信しているか否かを判定する。リプロ管理部２０３は、外部通信処理部２０１が分割データを受信している場合、ステップＳ２０６に進み、受信していない場合、受信するまで本ステップの処理を繰り返す。

尚、通信障害等の何等かの理由で、所定時間が経過しても、外部通信処理部２０１により分割データが受信されない場合、本フローチャートによる処理は、強制終了する。

ステップＳ２０６にて、リプロ管理部２０３は、受信済みの１つの分割データに関して、受信された分割データのデータ検証値と、分割データ管理情報に含まれる、受信された分割データに対応するデータ検証値との比較を行う。

ステップＳ２０８にて、リプロ管理部２０３は、受信された分割データが正常であるか、即ち、センタサーバ１００から送信された分割データと同じであるか否かを判定する。具体的には、リプロ管理部２０３は、受信された分割データの検証値と、分割データ管理情報に含まれる、受信された分割データに対応するデータ検証値とが一致する場合、正常と判定し、一致しない場合、正常でない（異常である）と判定する。リプロ管理部２０３は、受信された分割データが正常である場合、ステップＳ２１０に進み、正常でない場合、ステップＳ２１４に進む。

尚、リプロ管理部２０３は、受信された分割データが正常でない場合は、更新データを対象機器（後述する制御系ＥＣＵ４０）に書き込む際に、不足分として、再度、センタサーバ１００に問い合わせを行い、ダウンロードする。また、リプロ管理部２０３は、本フローチャートの処理において、再度、センタサーバ１００に該当する分割データの再送を、外部通信処理部２０１を介して要求してもよい。

ステップＳ２１０にて、リプロ管理部２０３は、分割データ管理情報から対象の分割データの保存先（複数の保存先候補機器３０の何れか）を取得する。

ステップＳ２１２にて、リプロ管理部２０３は、取得した保存先である保存先候補機器３０に分割データを含む分割データ保存要求を送信する。

ステップＳ２１４にて、リプロ管理部２０３は、分割データ管理情報に基づき、複数の分割データの全てを保存先に送信し終わったか否かを判定する。リプロ管理部２０３は、複数の分割データの全てを保存先に送信し終わっていない場合、ステップＳ２０４に戻り、別の分割データについて、ステップＳ２０４〜Ｓ２１４の処理を繰り返し、複数の分割データの全てを保存先に送信し終わっている場合、今回の処理を終了する。

また、リプロ管理部２０３は、リプログラムを行うため、複数の保存先候補機器３０に保存される分割データを、リプログラム対象機器（制御系ＥＣＵ４０）に送信する処理（更新データ送信処理）を行う。以下、図５を参照して、リプロ管理部２０３による更新データ送信処理の処理フローについて説明する。

図５は、リプロ管理部２０３による更新データ送信処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、リプログラムを実行する所定の条件（例えば、車両２の停車中或いは車両２がイグニッションオフされていること等）が成立すると、開始されてよい。

ステップＳ３０２にて、リプロ管理部２０３は、複数の分割データの各々の保存先である保存先候補機器３０に対して、保存される分割データをゲートウェイＥＣＵ２０に送信するように要求するメッセージである、分割データ送信要求を送信する。

ステップＳ３０３にて、リプロ管理部２０３は、所定時間のタイマを設定する。当該所定時間は、例えば、保存先候補機器３０の各々から返信される分割データを全て受信するのに要する時間の最大値よりも十分に大きな値として設定されてよい。

ステップＳ３０４にて、リプロ管理部２０３は、複数の分割データの何れかが受信されたか否かを判定する。リプロ管理部２０３は、複数の分割データの何れも受信されていない場合、ステップＳ３０５に進み、複数の分割データの何れかが受信されている場合、ステップＳ３０６に進む。

ステップＳ３０５にて、リプロ管理部２０３は、タイマがタイムアウトしたか否かを判定する。リプロ管理部２０３は、タイマがタイムアウトしていない場合、ステップＳ３０４に戻り、タイマがタイムアウトしている場合、ステップＳ３２０に進む。

一方、ステップＳ３０６にて、リプロ管理部２０３は、内部通信処理部２０２により受信された分割データのうちの対象となる１つについて、受信された分割データのデータ検証値と、分割データ管理情報に含まれる、受信された分割データに対応するデータ検証値との比較を行う。

ステップＳ３０８にて、リプロ管理部２０３は、受信された分割データが正常であるか否かを判定する。具体的には、リプロ管理部２０３は、受信された分割データの検証値と、分割データ管理情報に含まれる、受信された分割データに対応するデータ検証値とが一致する場合、正常と判定し、一致しない場合、正常でない（異常である）と判定する。リプロ管理部２０３は、受信された分割データが正常である場合、ステップＳ３１０に進み、正常でない場合、ステップＳ３１８に進む。

ステップＳ３１０にて、リプロ管理部２０３は、分割データ管理情報に基づき、対象の受信された分割データが暗号化されているか否かを判定する。リプロ管理部２０３は、対象の受信された分割データが暗号化されている場合、ステップＳ３１２に進み、暗号化されていない場合、ステップＳ３１６に進む。

ステップＳ３１２にて、リプロ管理部２０３は、対象の受信された分割データを所定の暗号鍵で複合する。

ステップＳ３１４にて、リプロ管理部２０３は、対象の受信された分割データの復号に成功したか否かを判定する。リプロ管理部２０３は、対象の分割データの復号に成功した場合、ステップＳ３１６に進み、復号に失敗した場合、ステップＳ３１８に進む。

ステップＳ３１６にて、リプロ管理部２０３は、内部通信処理部２０２を介して、リプログラム対象機器（制御系ＥＣＵ４０）に対象の受信された分割データを含むリプログラム要求（リプロ要求）を送信する。

尚、リプロ要求には、分割データ管理情報に規定される、分割データを書き込むアドレス（指定アドレス）に関する情報（指定アドレス情報）も含まれる。

ステップＳ３１８にて、リプロ管理部２０３は、分割データ管理情報に基づき、全ての分割データに対する処理が終了したか否かを判定する。リプロ管理部２０３は、全ての分割データに対する処理が終了していない場合、ステップＳ３０３に戻って、別の分割データに対して、ステップＳ３０３〜Ｓ３１８の処理を繰り返し、全ての分割データに対する処理が終了している場合、ステップＳ３２０に進む。

ステップＳ３２０にて、リプロ管理部２０３は、不足する分割データがあるか否かを判定する。不足する分割データには、例えば、ローカルネットワークＮＷ１，ＮＷ２の通信障害や、外部接続メモリ３３が取り外されてアクセス不可等の理由により、内部通信処理部２０２が受信できなかった分割データが含まれる（ステップＳ３０５のＹｅｓの場合）。また、不足する分割データには、ステップＳ３０８の処理で正常でないと判定された分割データ、或いは、ステップＳ３１４の処理で復号に失敗した分割データが含まれる。リプロ管理部２０３は、不足する分割データがある場合、ステップＳ３２２に進み、不足する分割データが無い場合、今回の処理を終了する。

ステップＳ３２２にて、リプロ管理部２０３は、不足する分割データをセンタサーバ１００から再取得する処理を行う。具体的には、リプロ管理部２０３は、外部通信処理部２０１を介して、センタサーバ１００に不足する分割データを要求する分割データ送信要求を送信した上で、不足する分割データを対象として、図４のステップＳ２０４〜Ｓ２１４と同様の処理を行う。

ステップＳ３２４にて、リプロ管理部２０３は、センタサーバ１００から再取得した分割データ、即ち、不足する分割データを、リプログラム対象機器（制御系ＥＣＵ４０）に送信し、今回の処理を終了する。

図１に戻り、保存先候補機器３０（複数の機器の一例）は、上述の如く、更新データ（複数の分割データ）の保存先の候補となる機器であり、車両２に設けられ、内部（例えば、ＲＡＭ等の内部メモリに設定されるバッファ）等にデータを保存可能に構成される。保存先候補機器３０は、後述する制御系ＥＣＵ４０以外から選択され、ボディ系ＥＣＵ３１、情報系機器３２、外部接続メモリ３３を含む。即ち、保存先候補機器３０は、非走行系に属する。走行系は、車両２の"走る・曲がる・止まる"の基本機能（即ち、車両を走行させる機能、車両の進行方向を変更する機能、及び車両を制動させる機能）に関連する機器を含み、具体的には、車両２を走行させる制御、車両２の進行方向の制御、及び車両２を制動させる制御の少なくとも１つを行う制御装置（制御系ＥＣＵ４０）を含む。一方、非走行系は、車両２の"走る・曲がる・止まる"以外の機能に関連する機器を含む。

尚、保存先候補機器３０には、ゲートウェイＥＣＵ２０が含まれてもよい。

ボディ系ＥＣＵ３１は、制御系ＥＣＵ４０以外の他のＥＣＵ、即ち、車両２の"走る、曲がる、止まる"の基本機能を司るＥＣＵ以外から選択される他のＥＣＵの一例であり、車両２のボディに搭載される各種電装品の制御を行う電子制御ユニットである。ボディ系ＥＣＵ３１は、ボディＥＣＵ、エアコンＥＣＵ、照合ＥＣＵ等を含む。ボディ系ＥＣＵ３１は、ローカルネットワークＮＷ１に属し、ローカルネットワークＮＷ１を通じて、ゲートウェイＥＣＵ２０と通信可能に接続される。ボディ系ＥＣＵ３１は、通信処理部３１１、データ保存処理部３１２、記憶部３１３を含む。

通信処理部３１１は、ローカルネットワークＮＷ１を通じて、ゲートウェイＥＣＵ２０、或いは、ゲートウェイＥＣＵ２０と接続される各種ネットワーク（例えば、車両２の内部のローカルネットワークＮＷ２，ＮＷ３やＤＣＭ１０を介してゲートウェイＥＣＵ２０が接続される車両２の外部の所定のネットワーク）の機器との間での制御信号、情報信号等の送受信を行う。

データ保存処理部３１２（保存処理部の一例）は、ゲートウェイＥＣＵ２０（リプロ管理部２０３）から送信される、分割データを含む分割データ保存要求に応じて、当該分割データを記憶部３１３に保存する処理を行う（更新データ保存処理）。また、データ保存処理部３１２は、ゲートウェイＥＣＵ２０（リプロ管理部２０３）から送信される分割データ送信要求に応じて、記憶部３１３に保存された分割データをゲートウェイＥＣＵ２０に送信する処理を行う（更新データ送信処理）。また、データ保存処理部３１２は、ゲートウェイＥＣＵ２０から送信される保存領域取得要求に応じて、分割データを保存するための保存領域（記憶部３１３）に保存可能なデータサイズ（記憶部３１３の容量）を検索する。そして、データ保存処理部３１２は、当該データサイズを含む保存領域情報を、通信処理部３１１を介してゲートウェイＥＣＵ２０に送信する（保存領域情報返信処理）。保存領域情報返信処理の処理フローについては、後述する外部接続メモリ３３に含まれる同様の機能（データ保存処理部３３２）の説明の際に併せて説明を行う。

記憶部３１３は、ボディ系ＥＣＵ３１の内部メモリに予め規定される記憶領域であり、本実施形態では、ＲＡＭの空きバッファである。ボディ系ＥＣＵ３１に設けられる内部メモリの容量は、上述の如く、絶対値として比較的小さいため、記憶部３１３の容量も必然的に比較的小さくなる場合が多い。

情報系機器３２は、車両２の乗員への視覚、聴覚等による情報提供を目的とする機器であり、より具体的には、車両２の車室内に設けられるエンターテインメント機器である。情報系機器３２は、例えば、ナビゲーション装置、オーディオ装置、及びこれらを制御するＥＣＵ等を含む。情報系機器３２は、ローカルネットワークＮＷ２に属し、ローカルネットワークＮＷ２を通じて、ゲートウェイＥＣＵ２０と通信可能に接続される。また、情報系機器３２には、所定のインターフェースを介して、外部接続メモリ３３が接続可能に構成される。情報系機器３２は、通信処理部３２１、データ保存処理部３２２、記憶部３２３を含む。

通信処理部３２１は、ローカルネットワークＮＷ１がローカルネットワークＮＷ２に置換される以外、ボディ系ＥＣＵ３１の通信処理部３１１と同様の処理を行う。

データ保存処理部３２２（保存処理部の一例）は、分割データの保存領域が、記憶部３１３から記憶部３２３に置換される以外、ボディ系ＥＣＵ３１のデータ保存処理部３１２と同様の処理（更新データ保存処理、更新データ送信処理、保存領域情報返信処理等）を行う。保存領域情報返信処理の処理フローについては、後述する外部接続メモリ３３に含まれる同様の機能（データ保存処理部３３２）の説明の際に併せて説明を行う。

記憶部３２３は、情報系機器３２の内部メモリに予め規定される記憶領域であり、本実施形態では、ＲＡＭの空きバッファである。情報系機器３２に設けられる内部メモリの容量は、上述の如く、絶対値として比較的大きいため、記憶部３２３の容量も必然的に比較的大きくなる場合が多い。

外部接続メモリ３３は、上述の如く、所定のインターフェースに接続される通信線３５を介して、情報系機器３２と接続される。外部接続メモリ３３は、通信処理部３３１、データ保存処理部３３２、記憶部３３３を含む。

通信処理部３３１は、ローカルネットワークＮＷ１が通信線３５及び情報系機器３２を介して接続されるローカルネットワークＮＷ２に置換される以外、ボディ系ＥＣＵ３１の通信処理部３１１と同様の処理を行う。

データ保存処理部３３２（保存処理部の一例）は、分割データの保存領域が、記憶部３１３から記憶部３３３に置換される以外、ボディ系ＥＣＵ３１のデータ保存処理部３１２と同様の処理（更新データ保存処理、更新データ送信処理、保存領域情報返信処理等）を行う。以下、図６を参照して、データ保存処理部３１２，３２２，３３２の処理のうち、保存領域情報返信処理の処理フローについて説明をする。

まず、図６は、データ保存処理部３１２，３２２，３３２による保存領域情報返信処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、例えば、通信処理部３１１，３２１，３３１により保存領域取得要求が受信されると、実行開始される。

ステップＳ４０２にて、データ保存処理部３１２，３２２，３３２は、通信処理部３１１，３２１，３３１による保存領域取得要求の受信を確認する。

ステップＳ４０４にて、データ保存処理部３１２，３２２，３３２は、対象機器（ボディ系ＥＣＵ３１、情報系機器３２、又は外部接続メモリ３３）のＲＡＭの空きバッファ（記憶部３１３、記憶部３２３、又は記憶部３３３）の容量を検索する。

ステップＳ４０６にて、データ保存処理部３１２，３２２，３３２は、検索結果であるＲＡＭの空きバッファの容量を含む保存領域情報を、通信処理部３１１，３２１，３３１を介して、ゲートウェイＥＣＵ２０に送信する。

図１に戻り、記憶部３３３は、外部接続メモリ３３に予め規定される記憶領域であり、本実施形態では、ＲＡＭの空きバッファである。外部接続メモリ３３の容量は、上述の如く、絶対値として比較的大きいため、記憶部３３３の容量も必然的に比較的大きくなる場合が多い。

制御系ＥＣＵ４０は、上述の如く、走行系に属し、車両２を走行させる制御、車両２の進行方向の制御、及び車両２を制動（減速）させる制御のうちの少なくとも１つを行う電子制御ユニットである。制御系ＥＣＵ４０は、例えば、エンジンＥＣＵ、トランスミッションＥＣＵ、パワステＥＣＵ、ブレーキＥＣＵ等を含む。即ち、制御系ＥＣＵ４０は、車両２を走行させるためのアクチュエータ、車両２の進行方向を調整（変更）するためのアクチュエータ、及び車両２を制動（減速）させるためのアクチュエータの少なくとも１つを制御対象とする。車両２を走行させるためのアクチュエータには、エンジン（具体的には、燃料噴射装置、点火装置等）、駆動用電動機、トランスミッション等が含まれうる。また、車両２の進行方向を変更するためのアクチュエータには、電動パワーステアリング装置（具体的には、アシストモータ）、ディファレンシャル等が含まれうる。また、車両２を制動させるためのアクチュエータには、エンジン、駆動用電動機、ブレーキ装置のホイルシリンダ圧を調整するブレーキアクチュエータ等が含まれうる。制御系ＥＣＵ４０は、通信処理部４０１、リプロ処理部４０２、記憶部４０３を含む。

通信処理部４０１は、ローカルネットワークＮＷ１がローカルネットワークＮＷ３に置換される以外、ボディ系ＥＣＵ３１の通信処理部３１１と同様の処理を行う。

リプログラム処理部（以下、リプロ処理部と称する）４０２は、ゲートウェイＥＣＵ２０から送信されるリプロ要求に応じて、リプロ要求に含まれる分割データを記憶部４０３に書き込む（インストールする）処理（リプログラム処理）を行う。以下、図７を参照して、リプロ処理部４０２によるリプログラム処理の処理フローについて説明する。

図７は、リプロ処理部４０２によるリプログラム処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、例えば、通信処理部４０１によりリプロ要求が受信されると、実行開始される。

ステップＳ５０２にて、リプロ処理部４０２は、通信処理部４０１により受信されたリプロ要求に含まれる書き込み対象（インストール対象）の分割データを取得する。

ステップＳ５０４にて、リプロ処理部４０２は、リプロ要求に含まれる指定アドレス情報に基づき、記憶部４０３（例えば、ＲＯＭ）の指定アドレスへの分割データの書き込みを行い、今回の処理を終了する。

図１に戻り、記憶部４０３は、制御系ＥＣＵ４０の内部メモリ（例えば、ＲＯＭ）に予め規定される、所定のプログラムがインストールされる記憶領域である。

センタサーバ１００は、車両２の遠隔に配置され、無線ネットワークを含む上述の所定のネットワークを通じて、車両２と双方向で通信可能に接続される。センタサーバ１００は、通信機器１１０、処理装置１２０を含む。

通信機器１１０は、所定のネットワークを通じて車両２と通信を行う任意のデバイスである。

処理装置１２０は、センタサーバ１００における各種制御処理を行う。処理装置１２０は、例えば、ＣＰＵ，ＲＡＭ，ＲＯＭ，Ｉ／Ｏ等を含む、１又は複数のサーバコンピュータを中心に構成されてよい。処理装置１２０は、例えば、ＲＯＭに格納されるプログラムをＣＰＵ上で実行することにより実現される機能部として、通信処理部１２０１、データ分割処理部１２０２、分割データ配信処理部１２０３を含む。また、処理装置１２０は、例えば、内部メモリに規定される記憶領域としての記憶部１２０４を含む。

通信処理部１２０１は、通信機器１１０を制御し、所定のネットワークを通じて、車両２との間での制御信号、情報信号等の送受信を行う。

データ分割処理部１２０２（データ分割部の一例）は、車両２の制御系ＥＣＵ４０を含む各種ＥＣＵに対するリプログラム処理の対象となる更新データ（記憶部１２０４に保存される更新データ１２０４Ａ）を複数の分割データに分割する処理を行う。データ分割処理部１２０２による更新データの分割態様は、任意である。データ分割処理部１２０２は、例えば、予め規定されるルールに従い、更新データ１２０４Ａを分割してもよいし、また、例えば、車両２から送信される保存先候補リストに含まれる、保存先候補機器３０の数や保存先候補機器３０の各々の空きバッファの容量等に応じて、各分割データのサイズ及び分割位置等を決定し、更新データ１２０４Ａを分割してもよい。

分割データ配信処理部１２０３（対応付け部の一例）は、更新データ１２０４Ａが生成され、車両２に配信可能な状態になると、通信処理部１２０１を介して、車両２にその旨の通知を送信する。また、分割データ配信処理部１２０３は、通信処理部１２０１により車両２から保存先候補リストが受信されると、保存先候補リストに基づき、データ分割処理部１２０２により分割された更新データ１２０４Ａ（複数の分割データ）の保存先等を決定する。そして、分割データ配信処理部１２０３は、通信処理部１２０１を介して、その保存先を含む複数の分割データを車両２に配信する処理（分割データ配信処理）を行う。以下、図８を参照して、分割データ配信処理部１２０３による分割データ配信処理の処理フローについて説明をする。

図８は、分割データ配信処理部１２０３による分割データ配信処理の一例を概略的に示すフローチャートである。本フローチャートによる処理は、例えば、通信処理部１２０１により保存先候補リストが受信されると、実行開始されてよい。

ステップＳ６０２にて、分割データ配信処理部１２０３は、通信処理部１２０１により受信された保存先候補リストを取得する。

ステップＳ６０４にて、分割データ配信処理部１２０３は、複数の分割データの１つを対象として、当該分割データの種別が、重要データであるか、大容量データであるか、小容量データであるかを判定する。重要データは、所定の基準に従い、重要度が高いと判断される分割データである。大容量データは、重要データ以外で、所定サイズ以上の分割データであり、小容量データは、重要データ以外で、所定サイズ未満の分割データである。分割データ配信処理部１２０３は、対象の分割データが重要データである場合、ステップＳ６０６に進み、大容量データである場合、ステップＳ６０８に進み、小容量データである場合、ステップＳ６１０に進む。

ステップＳ６０６にて、分割データ配信処理部１２０３は、ボディ系ＥＣＵ３１の中から容量に応じて、対象の分割データの保存先を選択する。例えば、情報系機器３２は、外部との接続が可能であり、また、外部接続メモリは、車両２の外部のコンピュータ等と接続可能である点からセキュリティ性が比較的低くなる。これに対して、車両２の内部に設けられ、車両２との外部との接続が比較的少ないボディ系ＥＣＵ３１は、セキュリティ性が比較的高く、重要度の高い分割データの保存先として適しているからである。また、分割データ配信処理部１２０３は、ボディ系ＥＣＵ３１に含まれる複数のＥＣＵの間でセキュリティに差異がある場合、よりセキュリティ性能が高いＥＣＵを、対象の分割データ（重要データ）の保存先として優先的に選択してもよい。

ステップＳ６０８にて、分割データ配信処理部１２０３は、情報系機器３２を第１優先、外部接続メモリ３３を第２優先として、対象の分割データ（大容量データ）の保存先を選択する。上述の如く、情報系機器３２、外部接続メモリ３３の記憶部３２３，３３３の容量は、比較的大きい傾向があるからである。

ステップＳ６１０にて、分割データ配信処理部１２０３は、ボディ系ＥＣＵ３１の中から比較的通信速度が高いＥＣＵを優先的に、対象の分割データ（小容量データ）の保存先として選択する。

ステップＳ６１２にて、分割データ配信処理部１２０３は、所定の基準に従い、対象の分割データが暗号化対象か否かを判定する。例えば、分割データ配信処理部１２０３は、重要データであるか否かにより、対象の分割データが暗号化対象か否かを判定してよい。分割データ配信処理部１２０３は、対象の分割データが暗号化の対象である場合、ステップＳ６１４に進み、それ以外の場合、ステップＳ６１６に進む。

ステップＳ６１４にて、分割データ配信処理部１２０３は、車両２（ゲートウェイＥＣＵ２０）が予め所持する所定の暗号鍵で復号可能な態様で、対象の分割データの暗号化を行う。

ステップＳ６１６にて、分割データ配信処理部１２０３は、対象の分割データにステップＳ６０６〜Ｓ６１０の何れかで選択された保存先に関する情報（保存先情報）を付与する。

ステップＳ６１８にて、分割データ配信処理部１２０３は、対象の分割データにデータ検証値（例えば、上述したＣＲＣ等）を付与する。

ステップＳ６２０にて、分割データ配信処理部１２０３は、全ての分割データに対する処理が終了したか否かを判定する。分割データ配信処理部１２０３は、全ての分割データに対する処理が終了していない場合、ステップＳ６０４に戻り、別の分割データを対象として、ステップＳ６０４〜Ｓ６２０の処理を繰り返し、全ての分割データに対する処理が終了している場合、ステップＳ６２２に進む。

ステップＳ６２２にて、分割データ配信処理部１２０３は、上述した分割データ管理情報を作成する。例えば、図９は、分割データ管理情報の一例である。図９に示すように、分割データ管理情報には、各分割データに対応するレコードナンバー（識別番号）が含まれる。また、分割データ管理情報には、レコードナンバー（分割データ）ごとの、更新データにおけるアドレス情報（更新データのサイズ情報）、バイナリデータ、保存先識別子、暗号化の有無、復号検証値、及びデータ検証値等が含まれる。

図８に戻り、ステップＳ６２４にて、分割データ配信処理部１２０３は、通信処理部１２０１を介して、作成した分割データ管理情報を車両２に送信する。

ステップＳ６２６にて、分割データ配信処理部１２０３は、分割データ管理情報の送信に引き続き、通信処理部１２０１を介して、対応する複数の分割データを車両２に送信し、今回の処理を終了する。

次に、図１０、図１１を参照して、データ更新システム１の動作の流れについて説明する。

まず、図１０は、データ更新システム１におけるセンタサーバ１００から車両２への更新データ（複数の分割データ）の配信、及び分割データの保存先候補機器３０の各々への保存に係る動作の流れの一例を示すシーケンス図である。

ステップＳ１にて、センタサーバ１００（通信処理部１２０１）は、車両２に対して、車両２の制御系ＥＣＵ４０内の内部メモリに格納される所定のプログラムの更新データがある旨の通知（ＰＵＳＨ通知）を送信する。

ステップＳ２にて、ＤＣＭ１０（外部通信処理部２０１）は、センタサーバ１００からのＰＵＳＨ通知を受信する。

ステップＳ３にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２）は、情報系機器３２に対して、ユーザに対する更新データがある旨の通知を要求するユーザ通知要求を送信する。

ステップＳ４にて、情報系機器３２は、ゲートウェイＥＣＵ２０から送信されるユーザ通知要求に応じて、例えば、ディスプレイ等にその旨の表示を行い、ユーザが当該通知に対して更新データのダウンロードに合意する旨の操作を行う。この際、ユーザは、自身が形態する外部接続メモリ３３を車両２の所定のインターフェースに接続する。

ステップＳ５にて、情報系機器３２（通信処理部３２１）は、ユーザに対する更新データがある旨の通知を行った結果としてのユーザの操作内容を含むユーザ通知結果をゲートウェイＥＣＵ２０に送信する。

ステップＳ６にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、保存先候補機器３０（ボディ系ＥＣＵ３１、情報系機器３２、外部接続メモリ３３）に対して、保存領域取得要求をブロードキャスト送信する。

ステップＳ７にて、保存先候補機器３０の各々（通信処理部３１１，３２１，３３１、データ保存処理部３１２，３２２，３３２）は、保存領域情報を作成し、保存領域情報をゲートウェイＥＣＵ２０に送信する。

ステップＳ８にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、保存領域情報の受信期間がタイムアウトすると（図２のステップＳ１０８のＹｅｓ）、保存先候補リストをセンタサーバ１００に送信する。

ステップＳ１０にて、センタサーバ１００（分割データ配信処理部１２０３）は、保存先候補リストに基づき、空きバッファの合計が更新データサイズより大きいかを確認する。

ステップＳ１１にて、センタサーバ１００（データ分割処理部１２０２、分割データ配信処理部１２０３）は、更新データを分割すると共に、複数の分割データの各々の保存先を決定する。

ステップＳ１２にて、センタサーバ１００（分割データ配信処理部１２０３）は、暗号化が必要な分割データに対して、暗号化を行う。

ステップＳ１３にて、センタサーバ１００（分割データ配信処理部１２０３）は、各分割データに付与するデータ検証値を計算する。

ステップＳ１４にて、センタサーバ１００（分割データ配信処理部１２０３）は、分割データ管理情報を作成する。

尚、ステップＳ１１〜Ｓ１４は、センタサーバ１００で行われる処理を概略的に表しており、センタサーバ１００による具体的な動作は、図８のフローチャートに従う。

ステップＳ１５にて、センタサーバ１００（通信処理部１２０１、分割データ配信処理部１２０３）は、分割データ管理情報を車両２に送信する。

ステップＳ１６にて、ＤＣＭ１０（外部通信処理部２０１）は、分割データ管理情報を受信する。

ステップＳ１７にて、ゲートウェイＥＣＵ２０（リプロ管理部２０３）は、分割データ管理情報を内部メモリに保存する。

一方、ステップＳ１８にて、センタサーバ１００（通信処理部１２０１、分割データ配信処理部１２０３）は、分割データ管理情報の送信に引き続き、対応する複数の分割データを車両２に送信する。

ステップＳ１９にて、ＤＣＭ１０（外部通信処理部２０１）は、複数の分割データを受信する。

ステップＳ２０にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、分割データを含む分割データ保存要求を、分割データ管理情報で保存先として指定される保存先候補機器３０に送信する。

ステップＳ２１にて、保存先候補機器３０の各々（通信処理部３１１，３２１，３３１、データ保存処理部３１２，３２２，３３２）は、分割データ保存要求を受信し、分割データ保存要求に含まれる分割データを記憶部３１３，３２３，３３３（空きバッファ）に保存する。

ステップＳ２２にて、保存先候補機器３０の各々（通信処理部３１１，３２１，３３１）は、保存された分割データのデータ検証値を含む保存完了通知をゲートウェイＥＣＵ２０に送信する。

ステップＳ２３にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、保存先候補機器３０の各々から保存完了通知を受信し、保存完了通知に含まれるデータ検証値に基づき、保存が適切に行われたか否かを検証する。

ステップＳ２４にて、ゲートウェイＥＣＵ２０（外部通信処理部２０１、リプロ管理部２０３）は、保存結果（正常に保存が終了したか否か等）をセンタサーバ１００に送信する。

続いて、図１１は、データ更新システム１における対象機器（制御系ＥＣＵ４０）のリプログラムに係る動作の流れの一例を示すシーケンス図である。

ステップＳ２５にて、ゲートウェイＥＣＵ２０（リプロ管理部２０３）は、リプログラムが可能な車両状態か否かを確認する。

ステップＳ２６にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、分割データが保存されている保存先候補機器３０と、リプログラム対象である制御系ＥＣＵ４０に対して、リプログラム実施通知（リプロ実施通知）を送信する。

ステップＳ２７にて、制御系ＥＣＵ４０（リプロ処理部４０２）は、リプログラムに備えて、ＲＡＭ上のデータを他の内部メモリに退避させる。

ステップＳ２８にて、ゲートウェイＥＣＵ２０（リプロ管理部２０３）は、分割データ管理情報に基づき、複数の分割データの保存先である保存先候補機器３０を確認する。

ステップＳ２９にて、ゲートウェイＥＣＵ２０（リプロ管理部２０３）は、分割データ管理情報に基づき、複数の分割データの組み立て手順を確認する。

ステップＳ３０にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、分割データ送信要求を保存先である情報系機器３２に送信する。

ステップＳ３１にて、情報系機器３２（通信処理部３２１、データ保存処理部３２２）は、分割データ送信要求を受信すると、記憶部３２３に保存される分割データをゲートウェイＥＣＵ２０に送信する。

ステップＳ３２にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、情報系機器３２から分割データを受信すると、暗号化されている分割データを復号すると共に、復号検証値による検証を行う。

ステップＳ３３にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、復号された分割データを含むリプロ要求を制御系ＥＣＵ４０に送信する。

ステップＳ３４にて、制御系ＥＣＵ４０（通信処理部４０１、リプロ処理部４０２）は、リプロ要求を受信すると、リプログラム処理を行う。

一方、ステップＳ３５にて、ゲートウェイＥＣＵ２０は、１回目のリプロ要求の送信（ステップＳ３３）の後、２回目の分割データ送信要求を外部接続メモリ３３に送信する。

ステップＳ３６にて、外部接続メモリ３３（通信処理部３３１、データ保存処理部３３２）は、分割データ送信要求を受信すると、記憶部３３３に保存される分割データをゲートウェイＥＣＵ２０に送信する。

ステップＳ３７にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、外部接続メモリ３３から分割データを受信すると、暗号化されている分割データを復号すると共に、復号検証値による検証を行う。

ステップＳ３８にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、復号された分割データを含む２回目のリプロ要求を制御系ＥＣＵ４０に送信する。

ステップＳ３９にて、制御系ＥＣＵ４０（通信処理部４０１、リプロ処理部４０２）は、２回目のリプロ要求を受信すると、リプログラム処理を行う。

一方、ステップＳ４０にて、ゲートウェイＥＣＵ２０は、２回目のリプロ要求の送信（ステップＳ３８）の後、３回目の分割データ送信要求をボディ系ＥＣＵ３１に送信する。

ステップＳ４１にて、ボディ系ＥＣＵ３１（通信処理部３１１、データ保存処理部３１２）は、分割データ送信要求を受信すると、記憶部３１３に保存される分割データをゲートウェイＥＣＵ２０に送信する。

ステップＳ４２にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、ボディ系ＥＣＵ３１から分割データを受信すると、分割データを含む３回目のリプロ要求を制御系ＥＣＵ４０に送信する。

ステップＳ４３にて、制御系ＥＣＵ４０（通信処理部４０１、リプロ処理部４０２）は、３回目のリプロ要求を受信すると、リプログラム処理を行う。

一方、ステップＳ４３にて、ゲートウェイＥＣＵ２０（外部通信処理部２０１、リプロ管理部２０３）は、３回目のリプロ要求の送信（ステップＳ４２）の後、不足分の分割データを要求する分割データ再取得要求をセンタサーバ１００に送信する。

ステップ４５にて、センタサーバ１００（通信処理部１２０１、分割データ配信処理部１２０３）は、分割データ再取得要求を受信すると、対応する分割データを車両２に送信する。

ステップＳ４６にて、ＤＣＭ１０（外部通信処理部２０１）は、分割データを受信する。

ステップＳ４７にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、センタサーバ１００から受信した分割データを含む４回目のリプロ要求を制御系ＥＣＵ４０に送信する。

ステップＳ４８にて、制御系ＥＣＵ４０（通信処理部４０１、リプロ処理部４０２）は、４回目のリプロ要求を受信すると、リプログラム処理を行う。

ステップＳ４９にて、制御系ＥＣＵ４０（通信処理部４０１、リプロ処理部４０２）は、は、リプログラムが正常に完了したか否かを検証するための検証値（例えば、全ての分割データのデータ検証値）を含むリプログラム結果（リプロ結果）をゲートウェイＥＣＵ２０に送信する。

ステップＳ５０にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、リプロ結果を受信すると、リプロ結果に含まれる検証値に基づき、リプログラムが正常に行われたかを検証する。

ステップＳ５１にて、ゲートウェイＥＣＵ２０（外部通信処理部２０１、リプロ管理部２０３）は、ステップＳ４９の検証結果をセンタサーバ１００に送信する。

ステップＳ５２にて、ゲートウェイＥＣＵ２０（内部通信処理部２０２、リプロ管理部２０３）は、リプログラムが正常に行われていた場合、分割データが保存されている保存先候補機器３０の各々に分割データの消去要求を送信する。

このように、本実施形態では、更新データが複数の分割データに分割された上で、複数の分割データの各々が、車両２に設けられる複数の保存先候補機器３０の何れかに保存される。そのため、更新データの容量が大きく、１つの保存先候補機器３０の内部に更新データを保存できない場合であっても、車両２に更新データを分散させて保存することができる。また、分割データの保存先の候補となる複数の保存先候補機器３０は、車両２を走行させる制御、車両２の進行方向の制御、及び車両２を制動させる制御の少なくとも１つを行う制御装置（制御系ＥＣＵ４０）以外で設定される。そのため、分割データを当該制御装置に書き込む処理や当該制御装置から読み出す処理等が発生することがないため、更新データが車両２に保存されることによる車両２の"走る・曲がる・止まる"の基本機能への影響を抑制することができる。

以上、本発明を実施するための形態について詳述したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

［第１変形例］
上述の実施形態では、データ分割処理部１２０２、分割データ配信処理部１２０３の機能がセンタサーバ１００に設けられるが、車両２（例えば、ゲートウェイＥＣＵ２０）に設けられてもよい。この場合、センタサーバ１００（通信処理部１２０１）は、更新データをそのまま車両２に送信し、ゲートウェイＥＣＵ２０に設けられるデータ分割処理部１２０２により更新データが分割されると共に、分割データ管理情報が生成される。

［第２変形例］
上述の実施形態及び変形例では、更新データは、無線ネットワークを経由してセンタサーバ１００から車両２に送信されるが、例えば、車両２と所定のインターフェース（例えば、ＤＬＣ（Data Link Coupler）コネクタ）介して有線接続される外部接続機器（ダイアグツール）から車両２に送信されてもよい。この場合、データ分割処理部１２０２、分割データ配信処理部１２０３の機能は、外部接続機器或いは車両２（例えば、ゲートウェイＥＣＵ２０）に設けられる。

１ データ更新システム
２０ ゲートウェイＥＣＵ
３０ 保存先候補機器（複数の機器）
３１ ボディ系ＥＣＵ
３２ 情報系機器
３３ 外部接続メモリ
４０ 制御系ＥＣＵ（所定機器）
１００ センタサーバ
１２０ 処理装置
２０１ 外部通信処理部
２０２ 内部通信処理部
２０３ リプログラム管理部
３１２，３２２，３３２ データ保存処理部（保存処理部）
３１３，３２３，３３３ 記憶部
４０２ リプログラム処理部
４０３ 記憶部
１２０２ データ分割処理部（データ分割部）
１２０３ 分割データ配信処理部（対応付け部）
１２０４ 記憶部
１２０４Ａ 更新データ

Claims (1)

1. 車両に設けられ、内部にデータを保存可能な複数の機器であって、非走行系に属する複数の機器と、
   前記車両に搭載される所定機器に保存される所定のデータを更新するための更新データを複数の分割データに分割するデータ分割部と、
   前記複数の分割データの各々の保存先として、前記複数の機器の何れか１つを対応付ける対応付け部と、
   前記複数の分割データの各々を、前記複数の機器のうちの前記対応付け部により対応付けられた機器に保存させる保存処理部と、を備える、
   更新データ保存システム。

Images