JP2020017220A - 更新制御装置、電子装置、更新システムおよび更新制御方法 - Google Patents

Abstract

【課題】リプログラミングを実行中の電子装置を異常と誤検出してしまうのを防止する更新制御装置、電子装置、更新システム及び更新制御方法を提供する。【解決手段】更新制御装置は、起動状態にある時に他の電子装置からのデータ受信状況に基づいて異常検出を行う複数の電子装置を備えた制御システムに設けられ、複数の電子装置のうち、データの書き換え対象となる対象装置へ更新用データを配信してかかる更新用データによって上記データを書き換えさせる更新制御装置であって、制御部を備える。制御部は、対象装置以外の電子装置の電源供給が行われていない時に対象装置に対するデータの書き換えを行い、かかるデータの書き換えの実行中に、対象装置以外の電子装置への電源供給の開始を検出したならば、対象装置以外の電子装置に対し、対象装置でデータの書き換えを実行中であることを通知する。【選択図】図１Ｃ

Description

開示の実施形態は、更新制御装置、電子装置、更新システムおよび更新制御方法に関する。

従来、車両に搭載され、エンジンやトランスミッション、カーナビゲーションといった車両の各種システムをそれぞれ電子制御するＥＣＵ（Electronic Control Unit）が知られている。かかるＥＣＵでは、たとえばマイクロコンピュータ（以下、「マイコン」と記載する）が、ＥＣＵの内部に予め記憶された制御プログラムを読み出して実行することで、各ＥＣＵに割り当てられた各種機能を実行する。

なお、このようなＥＣＵの制御プログラムは、機能を追加する場合や事後的に不具合が発見された場合などに、更新（リプログラミング）が必要となる場合がある。そこで、近年では、管理センタから無線通信を介して更新用データを取得するとともに、かかる更新用データをＣＡＮ（Controller Area Network）等を介して各ＥＣＵへ配信し、各ＥＣＵのリプログラミングを実行する技術が提案されている（たとえば、特許文献１参照）。

特開２０１２−１７８０３５号公報

しかしながら、上述した従来技術には、リプログラミングを実行中のＥＣＵを異常と誤検出してしまうのを防止するうえで、さらなる改善の余地がある。

具体的には、複数のＥＣＵが搭載されたシステムでは、電源スイッチ等で制御されるシステムの電源状態がオンの状態（車載ＥＣＵであれば、例えばＩＧスイッチがオンされた状態）では制御プログラムが通常動作してしまうため、かかる制御プログラムを書き換えるリプログラミングは、システムの電源状態がオフの状態のときに、更新対象のＥＣＵを起動状態にして実行される。

ところが、システムの電源スイッチがオフの状態で、あるＥＣＵのリプログラミングを実行中に、システムの電源スイッチがオンされてしまうことがある。かかる場合、リプログラミング対象外の他のＥＣＵは通常動作を開始するものの、リプログラミングを実行中のＥＣＵはリプログラミングを実行中のため、通常動作が不可の状態である。

すると、他のＥＣＵは、通常動作が不可の状態にあるリプログラミング中のＥＣＵとの間で、たとえば起動時に実行される異状検出処理によって通信途絶等を検出し、リプログラミング中のＥＣＵを異常と誤検出してしまうおそれがある。

なお、このような課題は、ＥＣＵに限らず、リプログラミングの対象となりうる電子装置全般に共通する課題である。

実施形態の一態様は、上記に鑑みてなされたものであって、リプログラミングを実行中の電子装置を異常と誤検出してしまうのを防止することができる更新制御装置、電子装置、更新システムおよび更新制御方法を提供することを目的とする。

実施形態の一態様に係る更新制御装置は、起動状態にある時に他の電子装置からのデータ受信状況に基づいて異常検出を行う複数の電子装置を備えた制御システムに設けられ、前記複数の電子装置のうち、データの書き換え対象となる対象装置へ更新用データを配信して該更新用データによって前記データを書き換えさせる更新制御装置であって、制御部を備える。前記制御部は、前記対象装置以外の電子装置の電源供給が行われていない時に前記対象装置に対する前記データの書き換えを行い、当該データの書き換えの実行中に、前記対象装置以外の電子装置への電源供給の開始を検出したならば、該対象装置以外の電子装置に対し、前記対象装置で前記データの書き換えを実行中であることを通知する。

実施形態の一態様によれば、リプログラミングを実行中の電子装置を異常と誤検出してしまうのを防止することができる。

図１Ａは、実施形態に係る車載システムの概要説明図である。 図１Ｂは、比較例に係る更新制御方法の概要説明図である。 図１Ｃは、実施形態に係る更新制御方法の概要説明図である。 図２は、実施形態に係る車載システムのブロック図である。 図３は、実施形態に係る車載システムの電源系統の構成例を示す図である。 図４Ａは、リプロ関連データの具体例を示す図である。 図４Ｂは、リプロ管理情報の具体例を示す図である。 図４Ｃは、ＥＣＵ管理情報の具体例を示す図である。 図５は、実施形態に係るリプロ制御装置が実行する処理手順を示すフローチャートである。

以下、添付図面を参照して、本願の開示する更新制御装置、電子装置、更新システムおよび更新制御方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

また、以下では、「リプログラミング」という用語については、短縮して「リプロ」と記載する場合がある。また、以下では、「／」を「または」の意味で用いる場合がある。たとえば、「オン／オフ」と記載した場合、「オンまたはオフ」を意味する。

また、以下では、本実施形態に係る更新制御方法の概要について図１Ａ〜図１Ｃを用いて説明した後に、かかる更新制御方法を適用したリプロ制御装置１０（「更新制御装置」の一例に相当）を含む車載システム１（「更新システム」の一例に相当）の具体的な構成例について、図２〜図５を用いて説明することとする。

まず、本実施形態に係る更新制御方法の概要について、図１Ａ〜図１Ｃを用いて説明する。図１Ａは、本実施形態に係る車載システム１の概要説明図である。また、図１Ｂは、比較例に係る更新制御方法の概要説明図である。また、図１Ｃは、本実施形態に係る更新制御方法の概要説明図である。

図１Ａに示すように、車両Ｃは、車載システム１を備える。車載システム１は、複数のＥＣＵ２０−１〜２０−ｎを備える。ＥＣＵ２０−１〜２０−ｎは、ＣＡＮ等の車載ネットワークＣＮにより相互通信可能に接続され、それぞれ制御プログラムを実行することによって、たとえばエンジンやトランスミッション、カーナビゲーションといった各種システムを電子制御する。

また、車載システム１は、リプロ制御装置１０を備える。リプロ制御装置１０は、ＥＣＵ２０−１〜２０−ｎのリプログラミングを制御する制御装置であって、ＯＢＤ（On-Board Diagnostics）コネクタ３０を介して車載ネットワークＣＮにより、ＥＣＵ２０−１〜２０−ｎと相互通信可能に接続される。

また、リプロ制御装置１０は、通信ネットワークＮを介してデータセンタのセンタサーバ１００と無線通信可能に設けられている。通信ネットワークＮは、たとえば携帯電話回線網である。

なお、データセンタは、ＥＣＵ２０−１〜２０−ｎで動作させる各種プログラムに関するデータを管理する管理センタであり、たとえば車両Ｃのメーカーによって運営される。センタサーバ１００は、かかるデータセンタによって管理・運用され、ＥＣＵ２０−１〜２０−ｎの少なくともいずれかに適用する更新用データがある場合に、当該更新用データをリプロ制御装置１０へ向けてダウンロードする。

リプロ制御装置１０は、かかるセンタサーバ１００からダウンロードされるリプロに関連するデータを取得し、リプロ関連データ１３１として図示略の記憶部１３（図２参照）へ保持する。なお、リプロ関連データ１３１には、プログラム等の更新用データのほか、リプロ対象となるＥＣＵ（以下、「リプロ対象ＥＣＵ」と言う）の識別情報、リプロ時に必要となる暗号鍵などが含まれる。

そして、リプロ制御装置１０は、保持したリプロ関連データ１３１に基づき、リプロ対象ＥＣＵ（ＥＣＵ２０−１〜２０−ｎのうちの少なくともいずれか）へ更新用データを配信して、リプロ対象ＥＣＵにリプロを実行させる。

ところで、こうしたリプロは、ＥＣＵ２０−１〜２０−ｎそれぞれにおいて動作する制御プログラムが通常動作していると、これを書き換えることができないため、ＩＧ電源がオフの状態のときに実行される必要がある。

たとえば、リプロ制御装置１０は、ＩＧ電源がオンの間に通信ネットワークＮを介して更新用データを取得したならば、次にＩＧ電源がオフされたタイミングでリプロ対象ＥＣＵにリプロを実行させる。

ここで、図１Ｂに示すように、時間ｔ１以前において、ＩＧ電源がオフ（図中の「ＩＧ−ＯＦＦ」参照）の状態で、ＥＣＵ２０−１に対し、「リプロ実行中」であるものとする。なお、図１Ｂに二重の枠線で囲んで示すように、本実施形態では、つねにＥＣＵ２０−１がリプロ対象ＥＣＵであるものとして、以下説明する。

そして、時間ｔ１においてＩＧ電源がオン（図中の「ＩＧ−ＯＮ」参照）されたものとする。すると、リプロ対象外であるＥＣＵ２０−２〜２０−ｎは、かかるＩＧ電源のオンにより、「通常動作を開始」する。

ところが、ＥＣＵ２０−１は、「リプロ実行中」であるため、少なくともリプロが完了するまでは、通常動作へ移行することができない。一方で、リプロ対象外のＥＣＵ２０−２〜２０−ｎは、通常動作の初期起動チェック等において他のＥＣＵとの通信チェック等を行う。しかしながら、ＥＣＵ２０−１は、通常動作が不可の状態にあるため、たとえばＥＣＵ２０−２〜２０−ｎに対する応答等を返すことができない。

すると、ＥＣＵ２０−２〜２０−ｎは、ＥＣＵ２０−１との間でたとえば通信途絶等を検出し、「リプロ対象ＥＣＵを異常と誤検出」してしまう。かかる異常を検出すれば、実際は故障などではないにも関わらず、車両Ｃを動作させることができない。

そこで、本実施形態に係る更新制御方法では、リプロ制御装置１０が、リプロ対象ＥＣＵへのリプロ実行中にＩＧ電源のオンを検出した場合に、リプロ対象外の各ＥＣＵに対して、当該リプロ対象ＥＣＵがリプロ実行中であることを通知することとした。

具体的には、図１Ｃに示すように、本実施形態に係る更新制御方法では、リプロ制御装置１０は、ＩＧ電源がオフの状態でＥＣＵ２０−１の「リプロ実行中」に、時間ｔ１においてＩＧ電源のオンを検出した場合、リプロ対象外のＥＣＵ２０−２〜２０−ｎに対し、ＥＣＵ２０−１の「リプロ実行中」を通知する（ステップＳ１）。

そして、かかる通知を受けたＥＣＵ２０−２〜２０−ｎは、リプロが実行中の間、「リプロ対象ＥＣＵの異常を検出しない」（ステップＳ２）。たとえばＥＣＵ２０−２〜２０−ｎは、ＥＣＵ２０−１に対するリプロが完了するまでの間、通常動作を待ち合わせる。

そして、ＥＣＵ２０−１に対するリプロが完了したならば、ＥＣＵ２０−１を含むＥＣＵ２０−１〜２０−ｎ全体が通常動作を開始し、車両Ｃを動作させることが可能となる。

なお、図１Ｃでは略しているが、リプロ制御装置１０は、リプロ対象外の各ＥＣＵに対して、リプロ対象ＥＣＵがリプロ実行中であることを通知するほかに、ユーザ（たとえば車両Ｃの搭乗者）に対して、リプロ実行中であるため車両Ｃの始動に時間がかかるといった旨のガイダンスを報知することができる。報知の形態は、音声であっても、ディスプレイ表示であってもよい。

これにより、本実施形態に係る更新制御方法によれば、リプロを実行中のＥＣＵ２０−１を、リプロ対象外のＥＣＵ２０−２〜２０−ｎが異常と誤検出してしまうのを防止することができる。また、ユーザが、車両Ｃを故障と誤認識してしまうのを防止することができる。

なお、車載システム１は、ＩＧ電源がオンである場合に、ＥＣＵ２０−１〜２０−ｎに対してバッテリ電圧を一括に供給する第１の電源系統とは別に、リプロ時にＥＣＵ２０−１〜２０−ｎそれぞれに対し個別にバッテリ電圧を供給可能な第２の電源系統を備えている。リプロ制御装置１０は、リプロに際して、かかる第２の電源系統によってリプロ対象ＥＣＵに対してのみ電源を供給する制御を行うことによって、ＩＧ電源がオフの状態でリプロを実行させることができる。かかる電源系統の具体的な構成例については、図３を用いた説明で後述する。

以下、上述した更新制御方法を適用したリプロ制御装置１０を含む車載システム１について、さらに具体的に説明する。

図２は、本実施形態に係る車載システム１のブロック図である。なお、図２では、本実施形態の特徴を説明するために必要な構成要素のみを表しており、一般的な構成要素についての記載を省略している。

換言すれば、図２に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

また、既に説明済みの構成要素については、図２を用いた説明では、説明を簡略化するか省略する場合がある。

図２に示すように、車両Ｃは、車載システム１を備える。車載システム１は、リプロ制御装置１０と、ＥＣＵ２０−１〜２０−ｎと、ＯＢＤコネクタ３０と、ＩＧスイッチ５０と、スピーカ６０とを備える。

ＯＢＤコネクタ３０は、たとえばＯＢＤ２（On-Board Diagnostics second generation）等の規格に沿った、車両Ｃのいわゆる自己診断機能用の接続インタフェースである。リプロ制御装置１０は、かかるＯＢＤコネクタ３０を介して車載ネットワークＣＮと接続される。

上述した第１の電源系統および第２の電源系統は、ＩＧスイッチ５０からのＩＧオン信号またはリプロ制御装置１０からの指示コマンドに基づき、たとえば図示略のＥＦＩ（Electric Fuel Injection）−ＥＣＵ４０（図３参照）によって切り替えられる。

ここで、図３を用いて、本実施形態に係る車載システム１の電源系統の具体的な構成例について説明しておく。図３は、本実施形態に係る車載システム１の電源系統の構成例を示す図である。

図３に示すように、車載システム１は、ＥＦＩ−ＥＣＵ４０と、第１の電源系統である主系統ＭＳと、第２の電源系統である副系統ＳＳとを備える。

ＥＦＩ−ＥＣＵ４０は、電子制御式燃料噴射装置の制御装置であって、車載ネットワークＣＮに接続され、上述した第１の電源系統および第２の電源系統を、ＩＧスイッチ５０からのＩＧオン信号またはリプロ制御装置１０からの指示コマンドに基づいて切り替える。

主系統ＭＳは、分岐して各ＥＣＵ２０−１〜２０−ｎへ接続されるとともに、メインリレーＭＲｙのオン／オフにより、バッテリ電圧が供給／停止される。ＥＦＩ−ＥＣＵ４０は少なくとも、バッテリから＋Ｂ電源、すなわち常時電源の供給を受けており、ＩＧスイッチ５０からＩＧオン信号が入力された場合には、メインリレーＭＲｙをオンさせて主系統ＭＳへＩＧ電源としてバッテリ電圧を供給する。

また、ＥＦＩ−ＥＣＵ４０は、ＩＧスイッチ５０からＩＧオフ信号が入力された場合には、メインリレーＭＲｙをオフさせて、主系統ＭＳへのＩＧ電源の供給を停止する。

一方、副系統ＳＳは、ＥＣＵ２０−１〜２０−ｎのそれぞれに対応して設けられるサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎを備える。サブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎは、ＥＦＩ−ＥＣＵ４０から個別にオン／オフされることによって、それぞれ対応するＥＣＵ２０−１〜２０−ｎへバッテリ電圧を供給／停止する。

ＥＦＩ−ＥＣＵ４０は、リプロに際したリプロ制御装置１０からの指示に基づいて、サブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎをオン／オフさせる。

具体的には、副系統ＳＳは、リプロ時以外の通常時には、サブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎのすべてがオフされた状態となっている。そして、かかる通常時においては、ＩＧスイッチ５０からのＩＧオン信号／ＩＧオフ信号に基づいて、ＥＦＩ−ＥＣＵ４０がメインリレーＭＲｙをオン／オフし、ＥＣＵ２０−１〜２０−ｎへＩＧ電源を一括に供給／停止する。

一方で、リプロに際しては、リプロ制御装置１０がＩＧスイッチ５０からのＩＧオフ信号を検出したならば、リプロ制御装置１０は、ＥＦＩ−ＥＣＵ４０に対し、副系統ＳＳを用いてリプロ対象ＥＣＵにのみ電源を供給するよう指示する。

そして、かかる指示を受けたＥＦＩ−ＥＣＵ４０は、かかる指示に含まれるリプロ対象ＥＣＵに対応するサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎのいずれかをオンし、リプロ対象ＥＣＵのみについて電源を供給する。

リプロ対象ＥＣＵに電源が供給されたならば、リプロ制御装置１０は、リプロ対象ＥＣＵに対してリプロ実行を指示することとなる。

図２の説明に戻り、つづいてリプロ制御装置１０について説明する。リプロ制御装置１０は、通信部１１と、記憶部１３と、制御部１４とを備える。

通信部１１は、たとえば、国際電気通信連合が定める無線通信規格に準拠するＮＩＣ（Network Interface Card）等によって実現される。通信部１１は、通信ネットワークＮと無線で接続され、通信ネットワークＮを介してセンタサーバ１００との間で情報の送受信を行う。

記憶部１３は、たとえば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、図２の例では、リプロ関連データ１３１と、ＥＣＵ管理情報１３２とを記憶する。

リプロ関連データ１３１は、後述する取得部１４２ａによって取得される、センタサーバ１００からのデータである。なお、既に述べたように、リプロ関連データ１３１には、プログラム等の更新用データのほか、リプロ対象ＥＣＵの識別情報、リプロ時に必要となる暗号鍵など、リプロに関連する種々の情報が含まれる。

ＥＣＵ管理情報１３２は、車載ネットワークＣＮにおける各ＥＣＵ２０−１〜２０−ｎに関する情報である。ここで、リプロ関連データ１３１およびＥＣＵ管理情報１３２の具体例について説明しておく。図４Ａは、リプロ関連データ１３１の具体例を示す図である。また、図４Ｂは、リプロ管理情報１３１ａの具体例を示す図である。また、図４Ｃは、ＥＣＵ管理情報１３２の具体例を示す図である。

図４Ａに示すように、リプロ関連データ１３１は、リプロ管理情報１３１ａと、更新用データ１３１ｂとを含む。リプロ管理情報１３１ａは、ダウンロードされた更新用データ１３１ｂの適用対象がどのＥＣＵ２０−１〜２０−ｎであるか、すなわちリプロ対象ＥＣＵがどれであるかを示す情報である。

図４Ｂに示すように、リプロ管理情報１３１ａは、たとえば「リプロ対象ＥＣＵ」項目と、「更新用データＩＤ」項目とを含む。「リプロ対象ＥＣＵ」項目には、リプロ対象となるＥＣＵ２０−１〜２０−ｎの識別情報が格納される。「更新用データＩＤ」項目には、「リプロ対象ＥＣＵ」項目で識別されるＥＣＵ２０−１〜２０−ｎに対し、適用すべき更新用データ１３１ｂの識別情報が格納される。図４Ｂに示す例では、リプロ対象ＥＣＵである「ＥＣＵ２０−１」に対し、更新用データＩＤが「０００１」の更新用データ１３１ｂを適用すべきことを示している。

また、図４Ｃに示すように、ＥＣＵ管理情報１３２は、たとえば「搭載ＥＣＵ」項目と、「宛先ＩＤ」項目とを含む。「搭載ＥＣＵ」項目には、車両Ｃに搭載され、車載ネットワークＣＮに接続されたＥＣＵ２０−１〜２０−ｎの識別情報が格納される。なお、「搭載ＥＣＵ」項目は、たとえばリプロ管理情報１３１ａの「リプロ対象ＥＣＵ」項目とリンクしている。

また、「宛先ＩＤ」項目には、「搭載ＥＣＵ」項目で識別されるＥＣＵ２０−１〜２０−ｎごとの、車載ネットワークＣＮ上におけるアドレス情報が格納される。

後述する制御部１４は、図４Ｂで説明したリプロ管理情報１３１ａを参照して、ダウンロードされた更新用データ１３１ｂに対応するリプロ対象ＥＣＵを特定し、そのリプロ対象ＥＣＵのアドレス情報を、図４Ｃで説明したＥＣＵ管理情報１３２を参照して特定する。また、制御部１４は、リプロ管理情報１３１ａを参照して特定したリプロ対象ＥＣＵに基づき、ＥＣＵ管理情報１３２を参照してリプロ対象外の各ＥＣＵを特定する。

そして、制御部１４は、リプロに際し、ＥＦＩ−ＥＣＵ４０に特定したリプロ対象ＥＣＵのみへの電源供給を行わせ、特定したアドレス情報に基づきリプロ対象ＥＣＵへ更新用データ１３１ｂを配信し、リプロ対象ＥＣＵにリプロを実行させることとなる。また、制御部１４は、リプロ実行中にＩＧ電源のオンを検出した場合に、特定したリプロ対象外の各ＥＣＵに対し、リプロ対象ＥＣＵにてリプロ実行中であることを通知する。

図２の説明に戻り、制御部１４について説明する。制御部１４は、コントローラ（controller）であり、たとえば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、記憶部１３に記憶されている図示略の各種プログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１４は、たとえば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現することができる。

たとえば、本実施形態に係るリプロ制御装置１０では、図２に示すように、制御部１４は、メインマイコン１４１およびサブマイコン１４２の２つのマイコンによって構成される。メインマイコン１４１およびサブマイコン１４２は、たとえばシリアル通信等により、相互通信可能に設けられている。

メインマイコン１４１は、指示部１４１ａと、通知部１４１ｂとを有し、サブマイコン１４２は、取得部１４２ａと、データ管理部１４２ｂと、ユーザ出力部１４２ｃとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

サブマイコン１４２の方から説明する。取得部１４２ａは、通信部１１を介してセンタサーバ１００から更新用データ１３１ｂほかリプロに関するデータを取得する。また、取得部１４２ａは、取得したリプロに関するデータを、リプロ関連データ１３１として記憶部１３に保持させる。

データ管理部１４２ｂは、リプロ関連データ１３１を管理する。たとえば、データ管理部１４２ｂは、ＩＧ電源がオフされた際の、メインマイコン１４１側からのリプロ実行の要否の問い合わせに対し、リプロ関連データ１３１を参照して、リプロ管理情報１３１ａおよび更新用データ１３１ｂがあれば、リプロ実行が必要との応答を返す。かかる応答には、たとえばリプロ対象ＥＣＵの識別情報や、対応する上述の「更新用データＩＤ」、「宛先ＩＤ」等が含まれる。

また、データ管理部１４２ｂは、上記のリプロ実行の要否の問い合わせに対し、リプロ管理情報１３１ａおよび更新用データ１３１ｂがなければ、リプロ実行が不要との応答をメインマイコン１４１側へ返す。また、データ管理部１４２ｂは、リプロ実行が必要な場合で、かかるリプロ実行が正常に終了したならば、たとえばリプロ管理情報１３１ａおよび更新用データ１３１ｂを消去する。

また、たとえば、データ管理部１４２ｂは、ＩＧ電源がオンされた際の、メインマイコン１４１側からのリプロ実行中のリプロ対象ＥＣＵがあるか否かの問い合わせに対し、リプロ関連データ１３１を参照して、リプロ管理情報１３１ａおよび更新用データ１３１ｂがあれば、リプロ実行中との応答を返す。かかる応答には、たとえばリプロ対象ＥＣＵの識別情報や、対応する上述の「更新用データＩＤ」、「宛先ＩＤ」等が含まれる。

また、データ管理部１４２ｂは、上記のリプロ実行中のリプロ対象ＥＣＵがあるか否かの問い合わせに対し、リプロ管理情報１３１ａおよび更新用データ１３１ｂがなければ、リプロ実行中のリプロ対象ＥＣＵがないとの応答をメインマイコン１４１側へ返す。

ユーザ出力部１４２ｃは、リプロ対象ＥＣＵのリプロ実行中にＩＧ電源がオンされた場合に、ユーザに対して、リプロ実行中であるため車両Ｃの始動に時間がかかるといった旨の音声ガイダンスをたとえばスピーカ６０へ出力する。スピーカ６０は、車両Ｃに搭載される報知装置の一例である。

つづいて、メインマイコン１４１の方について説明する。指示部１４１ａは、サブマイコン１４２側からの応答に基づき、リプロ実行が必要な場合に、ＩＧスイッチ５０からのＩＧオフ信号を検出したならば、リプロ対象ＥＣＵについてのみ電源を供給するように、ＥＦＩ−ＥＣＵ４０に対し指示する。

また、指示部１４１ａは、リプロ対象ＥＣＵへの電源供給が開始されたならば、サブマイコン１４２を介してリプロ対象ＥＣＵへ更新用データ１３１ｂを配信するとともに、リプロ対象ＥＣＵに対してリプロ実行を指示する。

かかる指示に基づき、リプロ対象ＥＣＵはリプロを実行し、そのリプロが終了したならば、指示部１４１ａは、リプロ対象ＥＣＵへの電源の供給を停止するように、ＥＦＩ−ＥＣＵ４０に対し指示する。

また、指示部１４１ａは、ＩＧスイッチ５０からのＩＧオン信号を検出したならば、サブマイコン１４２側にへ、リプロ実行中のリプロ対象ＥＣＵがあるか否かの問い合わせを行う。そして、指示部１４１ａは、かかる問い合わせに対するサブマイコン１４２側からの応答に基づき、リプロ実行中のリプロ対象ＥＣＵがあれば、通知部１４１ｂに、リプロ対象ＥＣＵにてリプロ実行中であることをリプロ対象外の各ＥＣＵに対し通知させる。

リプロ対象外の各ＥＣＵは、かかる通知を受け付けた場合に、当該実行中のリプロが完了するまでの間、リプロ対象ＥＣＵについての異常を検出しないとともに、通常動作を待ち合わせる。

また、指示部１４１ａは、リプロが完了したならば、通知部１４１ｂに、リプロ対象ＥＣＵのリプロが完了したことをリプロ対象外の各ＥＣＵに対し通知させる。

また、指示部１４１ａは、リプロ実行中のリプロ対象ＥＣＵがなければ、通知部１４１ｂに、リプロ対象外の各ＥＣＵに対する通知を行わせない。したがって、この場合は、ＥＣＵ２０−１〜２０−ｎは一斉に通常動作へ移行することとなる。

通知部１４１ｂは、指示部１４１ａからの指示に基づき、リプロ実行中のリプロ対象ＥＣＵがある場合に、当該リプロ対象ＥＣＵにてリプロ実行中であることをリプロ対象外の各ＥＣＵに対し通知する。また、通知部１４１ｂは、リプロ対象ＥＣＵのリプロが完了した場合に、当該リプロ対象ＥＣＵのリプロが完了したことをリプロ対象外の各ＥＣＵに対し通知する。

次に、実施形態に係るリプロ制御装置１０が実行する処理手順について、図５を用いて説明する。図５は、実施形態に係るリプロ制御装置１０が実行する処理手順を示すフローチャートである。

まず、前提として、センタサーバ１００には、ダウンロードすべきリプロに関するデータが存在し、車両Ｃは、ＩＧ電源がオンであるものとする。

かかる場合に、取得部１４２ａは、センタサーバ１００から更新用データ１３１ｂを取得し（ステップＳ１０１）、また、リプロ管理情報１３１ａを保存する（ステップＳ１０２）。

そして、メインマイコン１４１が、ＩＧ電源のオフを検出し、リプロ対象ＥＣＵに対応するサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎのいずれかがオンされて、リプロ対象ＥＣＵへの電源供給が開始されたならば、指示部１４１ａが、リプロ対象ＥＣＵへリプロを指示してリプロを開始する（ステップＳ１０３）。

そして、メインマイコン１４１が、ＩＧ電源がオンされたか否かを検出する（ステップＳ１０４）。ここで、ＩＧ電源のオンが検出された場合（ステップＳ１０４，Ｙｅｓ）、ステップＳ１０５で、通知部１４１ｂがリプロ対象外の各ＥＣＵへリプロ実行中を通知するとともに、ユーザ出力部１４２ｃがユーザへリプロ実行中を通知する。

そして、リプロが完了したか否かを判定する（ステップＳ１０６）。リプロが完了していない場合（ステップＳ１０６，Ｎｏ）、ステップＳ１０６を繰り返す。一方、リプロが完了した場合（ステップＳ１０６，Ｙｅｓ）、通知部１４１ｂが、リプロ対象外の各ＥＣＵに対し、リプロ対象ＥＣＵでのリプロ完了を通知する（ステップＳ１０７）。リプロ完了の通知を受けたリプロ対象外の各ＥＣＵは、通常動作の待ち合わせを解除して、それぞれ通常動作へ移行する。

なお、ステップＳ１０４でＩＧ電源のオンが検出されなかった場合（ステップＳ１０４，Ｎｏ）、リプロが完了したか否かを判定し（ステップＳ１０８）、リプロが完了していなければ（ステップＳ１０８，Ｎｏ）、ステップＳ１０４からの処理を繰り返す。

一方、リプロが完了した場合（ステップＳ１０８，Ｙｅｓ）、ステップＳ１０９へ移行する。

そして、データ管理部１４２ｂが、リプロ管理情報１３１ａを消去する（ステップＳ１０９）。なお、あわせて更新用データ１３１ｂも消去してよい。

そして、処理を終了する。なお、以降は、図示は略しているが、リプロ実行中にＩＧ電源がオンされた場合（ステップＳ１０４の「Ｙｅｓ」へ分岐した場合）は、通常の車両動作へ移行する。また、ＩＧ電源がオフのままリプロが完了した場合（ステップＳ１０８の「Ｙｅｓ」へ分岐した場合）は、指示部１４１ａが、リプロ対象ＥＣＵへの電源供給を停止させ、そのまま処理終了となる。

上述してきたように、本実施形態に係るリプロ制御装置１０（「更新制御装置」の一例に相当）は、起動状態にある時に他のＥＣＵ（「電子装置」の一例に相当）からのデータ受信状況に基づいて異常検出を行う複数のＥＣＵ２０−１〜２０−ｎを備えた車載システム１（「制御システム」の一例に相当）に設けられ、複数のＥＣＵ２０−１〜２０−ｎのうち、リプロ（「データの書き換え」の一例に相当）対象となるリプロ対象ＥＣＵ（「対象装置」の一例に相当）へ更新用データ１３１ｂを配信してかかる更新用データ１３１ｂによってデータを書き換えさせるリプロ制御装置１０であって、制御部１４を備える。制御部１４は、リプロ対象外の各ＥＣＵ（「対象装置以外の電子装置」の一例に相当）の電源供給が行われていない時にリプロ対象ＥＣＵに対するリプロを行い、かかるリプロの実行中に、リプロ対象外の各ＥＣＵへの電源供給の開始を検出したならば、リプロ対象外の各ＥＣＵに対し、リプロ対象ＥＣＵでリプロを実行中であることを通知する。

したがって、本実施形態に係るリプロ制御装置１０によれば、リプロ実行中のリプロ対象ＥＣＵを異常と誤検出してしまうのを防止することができる。

また、各ＥＣＵへの電源の供給はユーザの操作に基づいて行われるものであり、制御部１４は、リプロ対象ＥＣＵに対するリプロ実行中に、リプロ対象外の各ＥＣＵへの電源の供給を検出したならば、ユーザに対し、リプロ対象ＥＣＵでリプロ実行中であることを報知する。

したがって、本実施形態に係るリプロ制御装置１０によれば、ユーザが、車両Ｃを故障と誤認識してしまうのを防止することができる。

また、制御部１４は、リプロ実行前に、センタサーバ１００（「外部」の一例に相当）から更新用データ１３１ｂおよびリプロ対象ＥＣＵの識別情報を取得して保持し、かかる識別情報に基づいてリプロ対象外の各ＥＣＵを特定する。

したがって、本実施形態に係るリプロ制御装置１０によれば、リプロ対象ＥＣＵでリプロ実行中である場合に、かかる旨を、リプロ対象外の各ＥＣＵへ通知することができる。

また、本実施形態に係るＥＣＵ２０−１〜２０−ｎは、リプロ制御装置１０に接続されるＥＣＵ２０−１〜２０−ｎであって、リプロ対象ＥＣＵでリプロ実行中であることを示す通知を受け付けた場合に、かかるリプロが完了するまでの間は、リプロ対象ＥＣＵについての異常検出を実施しない。

したがって、本実施形態に係るリプロ制御装置１０によれば、リプロ実行中のリプロ対象ＥＣＵを異常と誤検出してしまうのを防止することができる。

また、本実施形態に係る車載システム１（「更新システム」の一例に相当）は、リプロ制御装置１０と、ＥＣＵ２０−１〜２０−ｎと、主系統ＭＳ（「第１の電源系統」の一例に相当）と、副系統ＳＳ（「第２の電源系統」の一例に相当）とを備える。主系統ＭＳは、リプロ時以外の通常時に電源が供給される。副系統ＳＳは、リプロ時に電源が供給される。また、ＥＣＵ２０−１〜２０−ｎはそれぞれ、主系統ＭＳに接続されるとともに、副系統ＳＳにサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎ（「リレー」の一例に相当）を介して接続される。また、制御部１４は、リプロを要する場合に、主系統ＭＳにおける電源供給の停止を検出したならば、リプロ対象ＥＣＵに対応するサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎをオンすることによって当該リプロ対象ＥＣＵについてのみ電源を供給させる。

したがって、本実施形態に係るリプロ制御装置１０によれば、リプロに際し、リプロ対象ＥＣＵについてのみ電源を供給することができる。

なお、上述した実施形態では、リプロ制御装置１０が、ＥＦＩ−ＥＣＵ４０に対し、リプロ対象ＥＣＵに対応するサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎのいずれかをオン／オフさせる例を挙げたが、ＥＦＩ−ＥＣＵ４０に限らず、他の装置にオン／オフさせてもよい。

たとえば、常時電源に接続され、かつ、ＥＣＵ２０−１〜ＥＣＵ−２０ｎを統合する統合ＥＣＵが車載ネットワークＣＮ上に存在すれば、かかる統合ＥＣＵに行わせてもよい。また、リプロ制御装置１０が、統合ＥＣＵを兼ねるのであれば、リプロ制御装置１０が行ってもよい。あるいは、リプロ制御装置１０の指示に基づいてサブリレー２０Ｒｙ−１〜２０Ｒｙ−ｎをオン／オフする機能に特化した装置を設けてもよい。

また、上述した実施形態では、制御部１４が、メインマイコン１４１とサブマイコン１４２の２つのマイコンによって構成される例を挙げたが、１つのマイコンによって構成されてもよい。また、３つ以上のマイコンによって構成されてもよい。

また、上述した実施形態では、リプロ制御装置１０が車載システム１に搭載され、ＥＣＵ２０−１〜２０−ｎと接続されて、これらに更新用データ１３１ｂを配信し、リプロを実行する例を挙げたが、リプロ制御装置１０の搭載先を限定するものではない。

すなわち、リプロ制御装置１０は、ＥＣＵ２０−１〜２０−ｎに対応するリプロ対象となる各種装置が含まれるものであれば、車載システム１に限らず、列車、工業用車両、農業用車両、船舶、航空機などの移動機械ほかの各種システムに搭載させることが可能である。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１ 車載システム
１０ リプロ制御装置
１３ 記憶部
１３１ リプロ関連データ
１３１ａ リプロ管理情報
１３１ｂ 更新用データ
１３２ ＥＣＵ管理情報
１４ 制御部
１４１ メインマイコン
１４１ａ 指示部
１４１ｂ 通知部
１４２ サブマイコン
１４２ａ 取得部
１４２ｂ データ管理部
１４２ｃ ユーザ出力部
２０−１〜２０−ｎ ＥＣＵ
２０Ｒｙ−１〜２０Ｒｙ−ｎ サブリレー
３０ ＯＢＤコネクタ
４０ ＥＦＩ−ＥＣＵ
５０ ＩＧスイッチ
６０ スピーカ
Ｃ 車両
ＣＮ 車載ネットワーク
ＭＲｙ メインリレー
ＭＳ 主系統
ＳＳ 副系統

Claims (6)

1. 起動状態にある時に他の電子装置からのデータ受信状況に基づいて異常検出を行う複数の電子装置を備えた制御システムに設けられ、前記複数の電子装置のうち、データの書き換え対象となる対象装置へ更新用データを配信して該更新用データによって前記データを書き換えさせる更新制御装置であって、
   前記対象装置以外の電子装置の電源供給が行われていない時に前記対象装置に対する前記データの書き換えを行い、当該データの書き換えの実行中に、前記対象装置以外の電子装置への電源供給の開始を検出したならば、該対象装置以外の電子装置に対し、前記対象装置で前記データの書き換えを実行中であることを通知する制御部
   を備えることを特徴とする更新制御装置。
2. 電子装置への電源の供給はユーザの操作に基づいて行われるものであり、
   前記制御部は、
   前記対象装置に対する前記データの書き換え実行中に、該対象装置以外の電子装置への電源の供給を検出したならば、ユーザに対し、前記対象装置で前記データの書き換え実行中であることを報知する
   ことを特徴とする請求項１に記載の更新制御装置。
3. 前記制御部は、
   前記データの書き換え実行前に、外部から前記更新用データおよび前記対象装置となる電子装置の識別情報を取得して保持し、該識別情報に基づいて前記対象装置以外の電子装置を特定する
   ことを特徴とする請求項１または２に記載の更新制御装置。
4. 請求項１、２または３に記載の更新制御装置に接続される電子装置であって、
   前記対象装置で前記データの書き換え実行中であることを示す通知を受け付けた場合に、前記データの書き換えが完了するまでの間は、前記対象装置についての前記異常検出を実施しない
   ことを特徴とする電子装置。
5. 請求項１、２または３に記載の更新制御装置と、
   請求項４に記載の電子装置と、
   前記データの書き換え時以外の通常時に電源が供給される第１の電源系統と、
   前記データの書き換え時に電源が供給される第２の電源系統と
   を備え、
   電子装置はそれぞれ、
   前記第１の電源系統に接続されるとともに、前記第２の電源系統にリレーを介して接続され、
   前記制御部は、
   前記データの書き換えを要する場合に、前記第１の電源系統における電源供給の停止を検出したならば、前記対象装置に対応する前記リレーをオンすることによって当該対象装置についてのみ電源を供給させる
   ことを特徴とする更新システム。
6. 起動状態にある時に他の電子装置からのデータ受信状況に基づいて異常検出を行う複数の電子装置を備えた制御システムに設けられ、前記複数の電子装置のうち、データの書き換え対象となる対象装置へ更新用データを配信して該更新用データによって前記データを書き換えさせる更新制御装置を用いた更新制御方法であって、
   前記対象装置以外の電子装置の電源供給が行われていない時に前記対象装置に対する前記データの書き換えを行い、当該データの書き換えの実行中に、該対象装置以外の電子装置への電源供給の開始を検出したならば、該対象装置以外の電子装置に対し、前記対象装置で前記データの書き換えを実行中であることを通知する制御工程
   を含むことを特徴とする更新制御方法。

Images