JP2021081998A - 車載更新装置、及び更新処理プログラム - Google Patents

Abstract

【課題】制御プログラムのダウンロード後から適用の時点までの間に、適用の中止に関する通知がされた場合、適切に対応できる車載更新装置等を提供する。【解決手段】車載更新装置は、車両に搭載される車載ＥＣＵへの更新プログラムの適用を制御する制御部を備え、制御部は、車両内の所定の記憶領域に保存した更新プログラムを更新対象の車載ＥＣＵに適用する際、車両外の外部サーバとの通信を試み、外部サーバとの通信が成功した場合であって、更新プログラムの中止に関する情報を取得できた場合、更新プログラムによる更新対象の車載ＥＣＵへの適用を中止し、中止に関する情報を取得できなかった場合、更新プログラムによる更新対象の車載ＥＣＵへの適用を行い、外部サーバとの通信が失敗した場合、更新プログラムによる更新対象の車載ＥＣＵへの適用を行う。【選択図】図５

Description

本開示は、車載更新装置、及び更新処理プログラムに関する。

車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するための車載ＥＣＵ（Electronic Control Unit）が搭載されている。車載ＥＣＵは、ＭＰＵ（Micro Processing Unit）等の演算処理部、ＲＡＭ（Random Access Memory）等の書き換え可能な不揮発性の記憶部、及び他の車載ＥＣＵと通信するための通信部を含む。車載ＥＣＵは、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた中継装置（車載更新装置）が実装されており、中継装置を介して、車外のネットワークに接続されているプログラム提供装置と通信する。当該プログラム提供装置から車載ＥＣＵの制御プログラムがダウンロード（受信）されることにより、当該車載ＥＣＵの制御プログラムを更新することができる（例えば特許文献１参照）。

特開２０１７−９７８５１号公報

しかしながら、特許文献１の中継装置は、制御プログラムを車両にダウンロードした後、当該制御プログラムによる更新対象の車載ＥＣＵに適用（アクティベイト）する時点までの間に、プログラム提供装置から制御プログラムの適用の中止に関する通知がされた場合の対応に関する考慮がされていない。

本開示は斯かる事情に鑑みてなされたものであり、その目的とするところは、制御プログラムを車両にダウンロードした後、当該制御プログラムによる更新対象の車載ＥＣＵに適用する時点までの間に、プログラム提供装置から制御プログラムの適用の中止に関する通知がされた場合、適切に対応することができる車載更新装置等を提供する。

本開示の一態様に係る車載更新装置は、車両に搭載される車載ＥＣＵへの更新プログラムの適用を制御する制御部を備え、前記制御部は、前記車両内の所定の記憶領域に保存した前記更新プログラムを更新対象の車載ＥＣＵに適用する際、前記車両外の外部サーバとの通信を試み、前記外部サーバとの通信が成功した場合であって、前記更新プログラムの中止に関する情報を取得できた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止し、前記中止に関する情報を取得できなかった場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う。

本開示の一態様によれば、制御プログラムを車両にダウンロードした後、当該制御プログラムによる更新対象の車載ＥＣＵに適用する時点までの間に、プログラム提供装置から制御プログラムの適用の中止に関する通知がされた場合、適切に対応することができる。

実施形態１に係る車載更新システムの構成を示す模式図である。 実施形態１に係る車載更新装置の構成を示すブロック図である。 識別情報テーブルの内容例を示す概念図である。 車載更新装置による更新対象の車載ＥＣＵのプログラム更新の一態様を示す説明図（シーケンス図）である。 車載更新装置の制御部が行う更新プログラムの適用に係る処理を例示するメインルーチンのフローチャートである。 外部サーバとの通信試行のサブルーチンに係る制御部の処理手順を例示するフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載更新装置は、車両に搭載される車載ＥＣＵへの更新プログラムの適用を制御する制御部を備え、前記制御部は、前記車両内の所定の記憶領域に保存した前記更新プログラムを更新対象の車載ＥＣＵに適用する際、前記車両外の外部サーバとの通信を試み、前記外部サーバとの通信が成功した場合であって、前記更新プログラムの中止に関する情報を取得できた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止し、前記中止に関する情報を取得できなかった場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う。

本態様にあたっては、制御部は、更新プログラムを車両内の所定の記憶領域に保存した後に、当該更新プログラムの中止に関する情報が、外部サーバにおいて保持されているかを確認するため、外部サーバとの通信を試みる。従って、既に保存した更新プログラムに問題があることが発覚し、外部サーバにて、当該更新プログラムの中止に関する情報が保持（用意）されている場合、当該中止に関する情報を取得することができる。更新プログラムは、例えば外部サーバから取得される。制御部は、外部サーバとの通信が成功した場合であって、保存した更新プログラムの中止に関する情報を取得できた場合、更新プログラムの適用を中止する。制御部は、外部サーバとの通信が成功した場合であって、保存した更新プログラムの中止に関する情報を取得できなかった場合、更新プログラムの適用を行う。従って、中止に関する情報に係る更新プログラムが、更新対象の車載ＥＣＵに適用されることを防止することができる。制御部は、外部サーバとの通信が失敗した場合、保存した更新プログラムによる更新対象の車載ＥＣＵへの適用を行う。従って、外部サーバとの通信ができない状況が継続する場合であっても、更新プログラムによる更新対象の車載ＥＣＵへの適用を行い、当該更新対象の車載ＥＣＵが用いるプログラムの適正化を図ることができる。車両内の所定の記憶領域は、車載更新装置の記憶部、車載ＥＣＵの記憶部、又は車載更新装置からアクセス可能なストレージ装置を含む。

（２）本開示の一態様に係る車載更新装置は、前記外部サーバとの通信は、前記車両に設けられ、自装置と接続される車外通信装置を介した通信と、前記自装置と接続される携帯端末を介した通信とを含み、前記車外通信装置による通信は、前記携帯端末による通信に対し優先的に行われ、前記制御部は、前記車外通信装置及び前記携帯端末の双方の通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う。

本態様にあたっては、制御部（車載更新装置）と外部サーバとの通信は、車外通信装置又は携帯端末を介して行われる。従って、車両が車外通信装置の通信網の圏外にある場合であっても、携帯端末の通信網を用いて、外部サーバとの通信を試みることができる。車外通信装置による通信は、携帯端末による通信に対し優先的に行われる。車外通信装置と外部サーバとの通信が確立される場合は、制御部が車外通信装置を介して外部サーバと通信することにより、携帯端末の帯域幅を使用することなく、外部サーバとの通信を行うことができる。また、携帯端末にて上限値が定められている通信量を消費することなく、外部サーバとの通信を行うことができる。制御部は、車外通信装置及び携帯端末の双方の通信が失敗した場合、保存した更新プログラムによる更新対象の車載ＥＣＵへの適用を行う。従って、外部サーバとの通信ができない状況が継続する場合であっても、更新プログラムによる更新対象の車載ＥＣＵへの適用を行い、当該更新対象の車載ＥＣＵが用いるプログラムの適正化を図ることができる。

（３）本開示の一態様に係る車載更新装置は、前記車両内の所定の記憶領域には、前記携帯端末を識別するための識別情報が記憶されており、前記識別情報は、前記車両の車両識別番号と関連付けられて、前記外部サーバが参照可能な記憶領域に記憶されており、前記制御部は、前記識別情報に基づいて、前記携帯端末との通信を確立する。

本態様にあたっては、車両内の所定の記憶領域には、携帯端末を識別するための識別情報が記憶されている。車載更新装置は、携帯端末を介して外部サーバと通信するため、例えば携帯端末とのペアリングを行うにあたり、当該識別情報に基づきペアリング対象の携帯端末の正当性を確認することができる。車載更新装置と携帯端末とのペアリングにおけるセキュリティを担保することができる。識別情報は、車両の車両識別番号と関連付けられて、外部サーバが参照可能な記憶領域に記憶されている。外部サーバは、携帯端末を介した車載更新装置からの通信がなされた場合、当該携帯端末の正当性を、車載更新装置が搭載される車両の車両識別番号と、携帯端末の識別情報との組み合わせに基づき判断することができる。外部サーバと車載更新装置との携帯端末を介した通信におけるセキュリティを担保することができる。外部サーバが参照可能な記憶領域は、外部サーバの記憶部、又は外部サーバからアクセス可能なストレージ装置を含む。

（４）本開示の一態様に係る車載更新装置は、前記車両内の所定の記憶領域には、前記外部サーバとの通信における優先順位が付与された複数の前記識別情報が、記憶されており、前記制御部による前記携帯端末を介した前記外部サーバとの通信の試みは、前記優先順位に基づき行われる。

本態様にあたっては、複数の携帯端末が、乗員によって車両内に持ち込まれた場合であっても、制御部は、例えば自装置の記憶部等、車両内の所定の記憶領域を参照して優先順位を読み出し、当該優先順位に基づきいずれかの携帯端末を介して外部サーバとの通信を試みる。従って、複数の携帯端末それぞれによる外部サーバとの複数の通信が、同時に確立することを抑制し、車載更新装置と外部サーバとの間で輻輳が発生することを防止することができる。

（５）本開示の一態様に係る車載更新装置は、前記制御部は、前記更新プログラムを前記更新対象の車載ＥＣＵに適用する際、適用の要否を確認するための確認画面を構成する確認画面データを出力し、前記確認画面において、適用を要とする入力がなされた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、前記中止に関する情報が取得されなかった場合と、前記外部サーバとの通信が失敗した場合とにおいて、出力される前記確認画面データは、異なる。

本態様にあたっては、制御部は、更新プログラム適用の要否を確認するための確認画面を構成する確認画面データを出力する。当該確認画面データにおいて、外部サーバとの通信が成功した場合であって、保存された更新プログラムの中止に関する情報が取得できなかった場合と、外部サーバとの通信が失敗した場合とにおいて、出力される内容は異なる。従って、これら場合によって異なる確認画面データが出力されることにより、車両の操作者等、更新プログラム適用の要否の確認者に対し、適切な情報を提供することができる。

（６）本開示の一態様に係る車載更新装置は、前記制御部は、前記中止に関する情報を取得した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止する旨を通知するための通知画面を構成する通知画面データを出力する。

本態様にあたっては、制御部は、保存した更新プログラムの中止に関する情報を取得した場合、当該更新プログラムによる更新対象の車載ＥＣＵへの適用を中止する旨を通知するための通知画面を構成する通知画面データを出力する。通知画面データを出力することにより、車両の乗員に対し、理更新プログラムの適用の中止を通知することができる。

（７）本開示の一態様に係る車載更新装置は、前記制御部は、前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う際に、前記更新対象の車載ＥＣＵの現時点におけるプログラムを保存する。

本態様にあたっては、外部サーバとの通信が失敗した場合、更新プログラムの適用を行う時点においては、当該更新プログラムの中止に関する情報の有無は、確認できていない。制御部は、更新プログラムの適用を行う際に更新対象の車載ＥＣＵの現時点におけるプログラム、すなわち更新プログラムの前バージョンとなるプログラムを保存するための処理を行う。従って、外部サーバとの通信が失敗した場合において、制御部は更新対象の車載ＥＣＵへ適用した更新プログラムの中止に関する情報を当該適用の後に取得した際に、保存した上記現時点におけるプログラムを用いて、ロールバック処理を行うことができる。

（８）本開示の一態様に係る車載更新装置は、前記制御部は、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行った場合、前記更新対象の車載ＥＣＵへの前記更新プログラムの適用を行ったことを示す情報と、前記外部サーバとの通信の正否に関する情報とが関連付けて記録される履歴情報を、前記車両内の所定の記憶領域に保存する。

本態様にあたっては、保存した更新プログラムによる更新対象の車載ＥＣＵへの適用は、外部サーバとの通信が成功した場合であって、当該更新プログラムの中止に関する情報を取得できなかった場合と、外部サーバとの通信が失敗した場合とにおいて、行われる。これに対し、更新プログラムによる更新対象の車載ＥＣＵへの適用が行われた場合、更新対象の車載ＥＣＵへの適用が行われたことを示す情報と、外部サーバとの通信の正否に関する情報とが関連付けて記録される履歴情報が、所定の記憶領域に保存される。従って、当該更新プログラムによる更新対象の車載ＥＣＵへの適用が、いずれの場合において実施されたかを履歴情報として記憶することができ、車載ＥＣＵのプログラムの更新に関するトレーサビリティを担保することができる。

（９）本開示の一態様に係る更新処理プログラムは、コンピュータに、車両内の所定の記憶領域に保存された更新プログラムを更新対象の車載ＥＣＵに適用する際、前記車両外の外部サーバとの通信を試み、前記外部サーバとの通信が成功した場合であって、前記更新プログラムの中止に関する情報を取得できた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止し、前記中止に関する情報を取得できなかった場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う処理を実行させる。

本態様にあたっては、コンピュータを、本開示の一態様の車載更新装置として機能させることができる。

[本開示の実施形態の詳細]
本開示をその実施形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載更新装置２を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載更新システムＳの構成を示す模式図である。図２は、実施形態１に係る車載更新装置２の構成を示すブロック図である。

車載更新システムＳは、車両Ｃに搭載された第１車外通信装置１ａ、第２車外通信装置１ｂ、及び車載更新装置２と、携帯端末８とを含む。また、車外ネットワークＮを介して接続された外部サーバ（プログラム提供装置）１００から取得された更新プログラムを、車両Ｃに搭載されている車載ＥＣＵ（車載制御装置）３に適用することにより、車載ＥＣＵ３のプログラム更新を行う。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部１１０を備える。外部サーバ１００には、車載ＥＣＵ３の製造メーカ等によって作成された当該車載ＥＣＵ３を制御するためのプログラム又はデータが、記憶部１１０に保存されている。当該プログラム又はデータは、更新プログラムとして、車両Ｃへ送信され、車両Ｃに搭載されている車載ＥＣＵ３のプログラム又はデータを更新するために用いられる。記憶部１１０には、更新プログラムの中止に関する情報が保存される。更新プログラムの中止に関する情報は、例えば更新プログラムに問題があることが発覚した場合に保存（用意）され、外部サーバ１００から車両Ｃへ送信される。このように構成された外部サーバ１００は、ＯＴＡ（Over The Air）サーバとも称される。更新プログラムの中止に関する情報は、例えば外部サーバ１００が通信可能な図示しないコンピュータの不揮発性メモリにより構成してある記憶部に保存されていてもよい。車両Ｃに搭載される車載ＥＣＵ３は、外部サーバ１００から無線通信により送信された更新プログラムを実行するプログラムとして適用することにより、自ＥＣＵが実行するプログラムを更新（リプロ）することができる。更新プログラムは、例えば車載ＥＣＵ３が読み取り可能な記録媒体から車載ＥＣＵ３により読み出されてもよい。外部サーバ１００の記憶部１１０には、車両Ｃの車両識別番号（ＶＩＮ，Vehicle Identification Number）と、後述の識別情報２１２とが関連付けて記録された車両ＤＢ（データベース）１１１が記憶されている。

車両Ｃには、第１車外通信装置１ａ、第２車外通信装置１ｂ、表示装置５、ＩＧ（イグニッション）スイッチ６、入力装置７、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車載更新装置２と、第1車外通信装置１ａ、及び第２車外通信装置１ｂとは、例えばシリアルケーブル等のワイヤーハーネスにより通信可能に接続されている。車載更新装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network／登録商標）又はイーサネット（Ethernet／登録商標）等の通信プロトコルに対応した車内ＬＡＮ４によって通信可能に接続されている。

第１車外通信装置１ａ、及び第２車外通信装置１ｂは、車外通信部（図示せず）、及び車載更新装置２と通信するための入出力Ｉ／Ｆ（インターフェイス／図示せず）をそれぞれ含む。車外通信部は、３Ｇ、ＬＴＥ、４Ｇ、５Ｇ，Ｗｉ−Ｆｉ（登録商標）、又はＢｌｕｅｔｏｏｔｈ（登録商標）等の移動体通信のプロトコルを用いて無線通信をするための通信装置である。第1車外通信装置１ａの車外通信部は、例えば、３Ｇ、ＬＴＥ、４Ｇ、又は５Ｇを用いて無線通信を行い、当該車外通信部に接続されたアンテナ１１ａを介して外部サーバ１００と通信（データの送受信）を行う。第１車外通信装置１ａと外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の車外ネットワークＮを介して行われる。第1車外通信装置１ａは、車載更新装置２と定常的に接続され、請求の範囲における車外通信装置に相当する。

第２車外通信装置１ｂの車外通信部は、Ｗｉ−Ｆｉ（登録商標）、又はＢｌｕｅｔｏｏｔｈ（登録商標）を用いて無線通信を行い、当該車外通信部に接続されたアンテナ１１ｂを介して後述の携帯端末８と通信を行う。車両Ｃが第１車外通信装置１ａの通信網の圏外にある場合であっても、車載更新装置２は、携帯端末８の通信網を用いて外部サーバ１００との通信を試みることができる。第１車外通信装置１ａを介した車載更新装置２と外部サーバ１００との通信（携帯端末８を介さない車載更新装置２と外部サーバ１００との通信）は、携帯端末８による車載更新装置２と外部サーバ１００との通信に対して優先的に行われる。第１車外通信装置１ａを介した車載更新装置２と外部サーバ１００との通信が確立される場合、車載更新装置２は、携帯端末８の帯域幅を使用することなく、外部サーバ１００との通信を行うことができる。また、携帯端末８にて上限値が定められている通信量を消費することなく、外部サーバ１００との通信を行うことができる。第１車外通信装置１ａ、及び第２車外通信装置１ｂの一方が、外部サーバ１００との通信と、携帯端末８との通信との両方を行ってもよい。この場合、第1車外通信装置１ａ、及び第２車外通信装置１ｂの他方は、不要である。

第１車外通信装置１ａの入出力Ｉ／Ｆ、及び第２車外通信装置１ｂの入出力Ｉ／Ｆは、車載更新装置２と、例えばシリアル通信するための通信インターフェイスである。第1車外通信装置１ａ、及び第２車外通信装置１ｂと、車載更新装置２とは、入出力Ｉ／Ｆ及び入出力Ｉ／Ｆに接続されたシリアルケーブル等のワイヤーハーネスを介して相互に通信する。本実施形態では、第1車外通信装置１ａ、及び第２車外通信装置１ｂは、車載更新装置２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。第1車外通信装置１ａ、及び第２車外通信装置１ｂは、車載更新装置２の一構成部位として、車載更新装置２に内蔵されるものであってもよい。

車載更新装置２は、制御部２０、記憶部２１、車内通信部２３、及び入出力Ｉ／Ｆ２４を含む。車載更新装置２は、例えば第１車外通信装置１ａが無線通信によって外部サーバ１００から受信した更新プログラムを、第１車外通信装置１ａから取得する。車載更新装置２は、車内ＬＡＮ４を介して当該更新プログラムを、所定の車載ＥＣＵ３（更新対象の車載ＥＣＵ３）に送信するように構成されている。車載更新装置２は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３、及びボディ系の車載ＥＣＵ３等の複数の系統のセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継するゲートウェイ（中継器）である。又は、車載更新装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。

制御部２０は、ＣＰＵ（Central Processing Unit）、又はＭＰＵ等により構成してあり、記憶部２１に予め記憶された制御プログラム２１１及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行う。

制御部２０は記憶部２１に記憶されている制御プログラム２１１を実行することにより、更新プログラムの更新対象の車載ＥＣＵ３への適用を制御する。制御部２０は記憶部２１に記憶されている制御プログラム２１１を実行することにより、更新プログラムの中止に関する情報を取得する取得部として機能する。制御部２０は記憶部２１に記憶されている制御プログラム２１１を実行することにより、更新プログラムを更新対象の車載ＥＣＵ３へ適用する際、外部サーバ１００との通信を試みる通信試行部として機能する。制御部２０は記憶部２１に記憶されている制御プログラム２１１を実行することにより、更新プログラムを更新対象の車載ＥＣＵ３に適用する際、適用の要否を確認するための確認画面を構成する確認画面データを出力する第１出力部として機能する。制御部２０は記憶部２１に記憶されている制御プログラム２１１を実行することにより、更新プログラムによる更新対象の車載ＥＣＵ３への適用を中止する旨を通知するための通知画面を構成する通知画面データを出力する第２出力部として機能する。

記憶部２１は、ＲＡＭ等の揮発性のメモリ素子、又は、ＲＯＭ、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）、若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してある。記憶部２１には、制御プログラム２１１、及び識別情報２１２が予め記憶してある。記憶部２１に記憶された制御プログラム２１１は、車載更新装置２が読み取り可能な記録媒体２２から読み出された制御プログラム２１１を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラム２１１をダウンロードし、記憶部２１に記憶させたものであってもよい。詳細は後述するが、識別情報２１２は、車載更新装置２と携帯端末８とが通信する際に、携帯端末８の識別に用いられる情報であり、例えば携帯端末８の電話番号である。記憶部２１には、履歴情報２１３が記憶される。履歴情報２１３には、更新対象の車載ＥＣＵ３への更新プログラムの適用が行われたことを示す情報と、適用の際における外部サーバ１００との通信の正否に関する情報とが関連付けられて記録される。記憶部２１が、車両Ｃ内の所定の記憶領域に相当する。車両Ｃ内の所定の記憶領域は、記憶部２１に限らず、例えば、後述の車載ＥＣＵ３の記憶部３１、又は車両Ｃ内の図示しない不揮発性メモリにより構成してある記憶部であってもよい。

車内通信部２３は、ＣＡＮ（登録商標）、又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルを用いた入出力インターフェイスである。制御部２０は、車内通信部２３を介して車内ＬＡＮ４に接続されている車載ＥＣＵ３、又は他の中継装置等の車載機器と相互に通信する。車内通信部２３は、複数個（図面上では３つ）設けられている。車内通信部２３それぞれに、車内ＬＡＮ４を構成する通信線が接続されている。このように車内通信部２３が複数個設けられることにより、車内ＬＡＮ４は複数のセグメントに分けられる。各セグメントそれぞれに車載ＥＣＵ３が、当該車載ＥＣＵ３の機能（制御系機能、安全系機能、ボディ系機能）に応じて接続される。

入出力Ｉ／Ｆ２４は、第１車外通信装置１ａの入出力Ｉ／Ｆ、及び第２車外通信装置１ｂの入出力Ｉ／Ｆと同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２４を介して、車載更新装置２は、第１車外通信装置１ａ、第２車外通信装置１ｂ、表示装置５、ＩＧスイッチ６、及び入力装置７と通信を行う。

表示装置５は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。入力装置７は、例えばカーナビゲーションのタッチパネルである。表示装置５及び入力装置７は、車載更新装置２の入出力Ｉ／Ｆ２４とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置５には、車載更新装置２の制御部２０から入出力Ｉ／Ｆ２４を介して出力されたデータ又は情報が表示される。入力装置７は、車両Ｃの乗員、例えば車両Ｃの操作者からの入力を受け付け、入力結果を入出力Ｉ／Ｆ２４を介して制御部２０に出力する。表示装置５及び入力装置７と、車載更新装置２との接続形態は入出力Ｉ／Ｆ２４による接続形態に限定されず、表示装置５及び入力装置７と、車載更新装置２とは、車内ＬＡＮ４を介した接続形態であってもよい。

ＩＧスイッチ６は、車両Ｃのエンジン等の原動機（図示せず）の動作状態を切り替えるスイッチである。例えば車両Ｃの操作者はＩＧスイッチ６をオフからオンへ切り替えて車両Ｃを起動し、車両Ｃの走行を開始する。その後、車両Ｃの走行を終えて車両Ｃの操作者はＩＧスイッチ６をオンからオフへ切り替え、車両Ｃを停止する。ＩＧスイッチ６は、車載更新装置２の入出力Ｉ／Ｆ２４とシリアルケーブル等のハーネスにより通信可能に接続されている。入出力Ｉ／Ｆ２４を介して、車載更新装置２の制御部２０にＩＧスイッチ６の切替状態（オン又はオフ）が通知される。例えば、車載更新装置２の制御部２０には、入出力Ｉ／Ｆ２４を介して、ＩＧスイッチ６のオン又はオフを示す信号がＩＧスイッチ６から入力されている。ＩＧスイッチ６と車載更新装置２との接続形態は入出力Ｉ／Ｆ２４による接続形態に限定されず、ＩＧスイッチ６と車載更新装置２とは、車内ＬＡＮ４を介した接続形態であってもよい。

車載ＥＣＵ３は、制御部３０、記憶部３１、及び車内通信部３２を含む。記憶部３１は、ＲＡＭ等の揮発性メモリ素子、又は、ＲＯＭ、ＥＥＰＲＯＭ、若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してある。記憶部３１には、車載ＥＣＵ３のプログラム又はデータが記憶してある。このプログラム又はデータが、車載更新装置２から送信される更新プログラムによって更新される対象である。

記憶部３１は、第１記憶領域（第１面）及び第２記憶領域（第２面）を含んでもよい。この場合、記憶部３１には、現状において車載ＥＣＵ３が実行（適用）しているプログラム（現バージョン）及び、現バージョンの以前に適用されていたプログラム（旧バージョン）の２つのプログラムが記憶されている。これら現バージョンのプログラムと、旧バージョンのプログラムとは、第１記憶領域又は第２記憶領域のいずれかの記憶領域に分かれて、記憶されている。すなわち、第１記憶領域に現バージョンのプログラムが記憶されている場合、第２記憶領域に旧バージョンのプログラムが記憶されている。第１記憶領域に旧バージョンのプログラムが記憶されている場合、第２記憶領域に現バージョンのプログラムが記憶されている。記憶部３１は、第１記憶領域及び第２記憶領域を含む場合、このように現バージョン及び旧バージョンの２つのプログラムを、いわゆる２面持ちとして記憶する。従って、万が一現バージョンのプログラムに問題が生じた場合であっても、制御部３０は、以前に適用して正常に動作していた旧バージョンのプログラムを読み込み実行する（切り替える）ことで、車載ＥＣＵ３の信頼性を担保することができる。以下、記憶部３１が第１記憶領域及び第２記憶領域を含む場合を、記憶部３１が２面持ちである場合と称し、記憶部３１が第１記憶領域及び第２記憶領域の一方のみを含む場合を、記憶部３１が１面持ちである場合と称する。

記憶部３１が２面持ちである場合、記憶部３１には、現バージョン及び旧バージョンの２つのプログラムそれぞれのバージョンに関する情報、及び現在実行（適用）しているプログラムが記憶されている領域（動作面）に関する情報が記憶されている。すなわち、現状において第１記憶領域に記憶されているプログラムを実行している場合、記憶部３１には、動作面は第１記憶領域であると記憶される。現状において第２記憶領域に記憶されているプログラムを実行している場合、記憶部３１には、動作面は第２記憶領域であると記憶される。記憶部３１には、プログラム（現バージョン及び旧バージョン）のバージョン情報及び動作面に関する情報が記憶される。

制御部３０は、ＣＰＵ又はＭＰＵ等により構成してある。制御部３０は、記憶部３１（記憶部３１が２面持ちの場合は記憶部３１の動作面）に記憶されたプログラム及びデータを読み出し実行して制御処理等を行い、当該車載ＥＣＵ３を含む車載機器又はアクチュエータ等が制御される。

車載ＥＣＵ３の制御部３０は、車載更新装置２から送信される更新プログラムを、車内通信部３２を介して受信し、当該更新プログラムを取得する。記憶部３１が１面持ちである場合、制御部３０が取得した更新プログラムを記憶部３１に記憶することにより、更新プログラムは適用される。制御部３０は、車載更新装置２から送信された更新プログラムを取得するにあたり、当該取得の準備処理として、記憶部３１に記憶されているプログラム（現バージョンのプログラム）を消去する。当該消去のために車載ＥＣＵ３における車載装置への制御機能を停止させる必要がある。記憶部３１が２面持ちである場合、制御部３０は、取得した更新プログラムを、動作面でない記憶領域（非動作面）に記憶する。すなわち、制御部３０は、車載更新装置２から送信された更新プログラムを取得するにあたり、当該取得の準備処理として、非動作面に記憶されているプログラムを消去する。通常、非動作面に記憶されているプログラムは、現バージョンのプログラムの以前に実行された旧バージョンのプログラムである。従って、制御部３０は車載ＥＣＵ３における車載装置への制御機能を停止させることなく、当該旧バージョンのプログラムを消去し、車載更新装置２から送信された更新プログラムを、当該非動作面に記憶する。制御部３０が記憶部３１の動作面と非動作面とを切り替えることにより、受信（記憶）された更新プログラムは、現バージョンのプログラムとして適用される。

携帯端末８は、スマートフォン、携帯電話機、又はタブレット端末等の可搬型のコンピュータであり、車両Ｃの乗員により携帯される。携帯端末８は、前述のように第２車外通信装置１ｂを介して車載更新装置２と通信可能であり、車載更新装置２と都度接続される。携帯端末８と車載更新装置２との通信は、携帯端末８と車載更新装置２との有線接続により行われてもよい。携帯端末８と車載更新装置２との通信の際に、車載更新装置２は、予め記憶部２１に記憶された携帯端末８の識別情報２１２、例えば携帯端末８の電話番号と、通信を行う携帯端末８の識別情報２１２とが一致するか否かを確認する。すなわち車載更新装置２は、携帯端末８の認証を行う。識別情報２１２が一致する場合（認証が成功した場合）、車載更新装置２は携帯端末８との通信を継続する。携帯端末８と車載更新装置２とのいわゆるペアリング（認証された通信の確立）が行われる。識別情報２１２が一致しない場合（認証が失敗した場合）、車載更新装置２は携帯端末８との通信を中止する。車載更新装置２と携帯端末８とのペアリングを行うにあたり、識別情報２１２に基づきペアリング対象の携帯端末８の正当性を確認することができ、車載更新装置２と携帯端末８とのペアリングにおけるセキュリティを担保することができる。識別情報２１２は、携帯端末８の電話番号に限らない。識別情報２１２は、例えば、車載更新装置２との通信において携帯端末８が実行するプログラム（アプリケーション）のユーザＩＤ（Identification）であってもよい。

識別情報２１２の記憶部２１への記憶は、例えば車両Ｃの購入時、又は携帯端末８の変更時に、携帯端末８を携帯する車両Ｃの乗員による携帯端末８の操作及び入力装置７への入力により、行われる。識別情報２１２の記憶部２１への記憶の際に、車載更新装置２は、車両Ｃの車両識別番号と記憶された識別情報２１２とを、外部サーバ１００に送信する。外部サーバ１００により受信された車両識別番号と識別情報２１２とは関連付けられて、車両ＤＢ１１１として外部サーバ１００の記憶部１１０に記憶される。記憶部１１０が、外部サーバ１００が参照可能な記憶領域に相当する。外部サーバ１００が参照可能な記憶領域は、記憶部１１０に限らず、例えば、外部サーバ１００が通信可能な図示しないコンピュータの不揮発性メモリにより構成してある記憶部であってもよい。

携帯端末８の認証（携帯端末８と車載更新装置２とのペアリング）は、例えば、携帯端末８の携帯者が車両Ｃに乗車した際に自動的に行われる。携帯端末８の認証は、当該携帯者による携帯端末８の操作、又は入力装置７への入力により行われてもよい。携帯端末８と車載更新装置２とのペアリングにおいて、車載更新装置２による携帯端末８の認証に加えて、携帯端末８による車載更新装置２（車両Ｃ）の認証が行われてもよい。この場合、携帯端末８の図示しない不揮発性メモリにより構成してある記憶部に車両Ｃの車両識別番号が記憶されている。携帯端末８は、車載更新装置２との通信の際に、例えば記憶部２１に予め記憶された車両識別番号と、携帯端末８の記憶部に記憶された車両識別番号とが一致するか否かを確認し、車載更新装置２の認証を行う。

更に携帯端末８は、車外ネットワークＮを介して、外部サーバ１００と通信可能である。車載更新装置２と外部サーバ１００とは、携帯端末８及び車外ネットワークＮを介して通信可能である。当該通信の際に、外部サーバ１００は、記憶部１１０に記憶された車両ＤＢ１１１を参照し、通信を行う携帯端末８の識別情報２１２及び車両Ｃの車両識別番号が関連付けられて記憶されているか否かを確認する。すなわち外部サーバ１００は、車両Ｃと携帯端末８との認証を行う。外部サーバ１００は、車両Ｃの車両識別番号と携帯端末８の識別情報２１２とが関連付けられて記憶されている場合（認証が成功した場合）、携帯端末８及び車外ネットワークＮを介した車載更新装置２との通信を継続する。外部サーバ１００は、車両Ｃの車両識別番号と携帯端末８の識別情報２１２とが関連付けられて記憶されていない場合（認証が失敗した場合）、携帯端末８との通信を中止し、車載更新装置２との通信を終了する。外部サーバ１００は、携帯端末８を介した車載更新装置２との通信が行われた場合、当該携帯端末８の正当性を、車載更新装置２が搭載される車両Ｃの車両識別番号と、携帯端末８の識別情報２１２との組み合わせに基づき判断することができる。外部サーバ１００と車載更新装置２との携帯端末８を介した通信におけるセキュリティを担保することができる。

車載更新装置２の記憶部２１には、複数の携帯端末８の識別情報２１２が記憶されていてもよい。この場合、複数の識別情報２１２には、外部サーバ１００との通信における優先順位がそれぞれ付与される。例えば、複数の携帯端末８の識別情報２１２と、各携帯端末８による通信における優先順位とが関連付けられて記録される識別情報テーブルが記憶部２１に記憶される。図３は、識別情報テーブルの内容例を示す概念図である。図３の識別情報テーブルにおいて、２つの携帯端末８の識別情報２１２と、それぞれの携帯端末８による通信における優先順位とが対応付けられて記録されている。

通信における優先順位は、例えば、識別情報２１２の記憶部２１への記憶の際に、携帯端末８を携帯する車両Ｃの乗員による携帯端末８の操作及び入力装置７への入力により、付与される。この場合、車両Ｃの車両番号と複数の識別情報２１２とが関連付けられて、車両ＤＢ１１１として外部サーバ１００の記憶部１１０に記憶される。車載更新装置２は、優先順位に基づき、携帯端末８を介して外部サーバ１００と通信を試みる。例えば２つの識別情報２１２が記憶部２１に記憶されている場合であって、携帯端末８を介して外部サーバ１００と通信する場合、車載更新装置２は、まず優先順位が１番の携帯端末８を介して外部サーバ１００との通信を試みる。優先順位が１番の携帯端末８を介した外部サーバ１００との通信が失敗した場合、例えば優先順位が１番の携帯端末８が圏外である場合、車載更新装置２は、優先順位が２番の携帯端末８を介して外部サーバ１００との通信を試みる。優先順位に基づいて通信を行うことにより、複数の携帯端末８それぞれによる外部サーバ１００との複数の通信が、同時に確立することを抑制することができる。車載更新装置２と外部サーバ１００との間で輻輳が発生することを防止することができる。

図４は、車載更新装置２による更新対象の車載ＥＣＵ３のプログラム更新の一態様を示す説明図（シーケンス図）である。図４において、車載更新装置２が、更新対象の車載ＥＣＵ３のプログラム更新を実行する処理について、外部サーバ１００、車載ＥＣＵ３、及び携帯端末８の処理を含むシーケンス図を用いて説明する。プログラム更新の一例として、外部サーバ１００から更新プログラムが送信される場合について説明する。以下、ステップをＳと省略する。

車載更新装置２は、車両Ｃが起動状態（ＩＧスイッチ６がオン）である場合、第１車外通信装置１ａを介して外部サーバ１００と定期的又は非定期的に通信する。車載更新装置２は、外部サーバ１００に更新すべきプログラム又はデータ、すなわち更新プログラムが用意されているか否かを確認する。すなわち車載更新装置２は、更新プログラムの有無を確認する（Ｓ１）。

外部サーバ１００に更新プログラムが用意されている場合、外部サーバ１００は、更新プログラムを車載更新装置２へ送信する（Ｓ２）。車載更新装置２は、外部サーバ１００から更新プログラムを取得し、車両Ｃ内の所定の記憶領域に保存する。更新対象の車載ＥＣＵ３の記憶部３１が１面持ちである場合、取得された更新プログラムは、車載更新装置２の記憶部２１に記憶（保存）される。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、車載更新装置２は、取得した更新プログラムを更新対象の車載ＥＣＵ３へ送信する（Ｓ３）。送信された更新プログラムは、車載ＥＣＵ３の記憶部３１の非動作面に記憶（保存）される。

ＩＧスイッチ６がオフとなった場合（Ｓ４）、車載更新装置２は、外部サーバ１００との通信を試みる。詳しくは、車載更新装置２は、最初に第１車外通信装置１ａを介して外部サーバ１００との通信を試みる。車載更新装置２は、第１車外通信装置１ａを介した外部サーバ１００との通信が成功した場合、以下の処理を行う。車載更新装置２は、外部サーバ１００に、送信された更新プログラムの中止に関する情報の有無（中止に関する情報が用意されているか否か）を確認し、当該中止に関する情報がある場合、当該中止に関する情報を取得する（Ｓ５）。車載更新装置２は、第１車外通信装置１ａを介した外部サーバ１００との通信が失敗した場合、第２車外通信装置１ｂ及び携帯端末８を介して、外部サーバ１００との通信を試みる。

第１車外通信装置１ａを介した外部サーバ１００との通信が失敗した場合、例えば第１車外通信装置１ａが圏外である場合、車載更新装置２は、ペアリングされた携帯端末８へ、外部サーバ１００への、上記中止に関する情報の有無の確認を要求する（Ｓ６）。携帯端末８は、外部サーバ１００に、上記中止に関する情報の有無を確認し、当該中止に関する情報がある場合、当該中止に関する情報を取得する（Ｓ７）。なお携帯端末８と外部サーバ１００との通信の際には、前述のように外部サーバ１００による車両Ｃと携帯端末８との認証が行われる。携帯端末８は、上記中止に関する情報を取得した場合、当該中止に関する情報を車載更新装置２へ送信し、上記中止に関する情報が外部サーバ１００に用意されていない場合、当該中止に関する情報がない旨を示す情報を車載更新装置２へ送信する（Ｓ８）。

上記中止に関する情報の有無の確認において、上記中止に関する情報が外部サーバ１００に用意されていない場合、車載更新装置２は、以下の処理を行う。なお、上記中止に関する情報の有無の確認において、上記中止に関する情報が外部サーバ１００に用意されていない場合は、車載更新装置２と外部サーバ１００との通信が成功した場合であって、上記中止に関する情報を取得できなかった場合に相当する。詳細は後述するが、車載更新装置２は、更新プログラムの適用の要否（承諾）を確認するための確認画面を構成する確認画面データを出力する。車載更新装置２は、確認画面データを出力することにより、車両Ｃの乗員に対し、更新プログラムの適用の要否を確認する（Ｓ９）。当該確認画面において、適用を要とする入力を受け付けた場合（適用を要とする入力がなされた場合）、車載更新装置２は、保存した更新プログラムによる更新対象の車載ＥＣＵ３への適用を行う。詳しくは、更新対象の車載ＥＣＵ３の記憶部３１が１面持ちである場合、車載更新装置２は、保存した更新プログラムを更新対象の車載ＥＣＵ３へ送信する（Ｓ１０）。送信された更新プログラムは記憶部３１に記憶され、更新対象の車載ＥＣＵ３に適用される。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、更新プログラムは記憶部３１の非動作面に記憶されているので、車載更新装置２は、更新対象の車載ＥＣＵ３へ記憶部３１の動作面と非動作面の切り替えを要求する。更新対象の車載ＥＣＵ３による記憶部３１の動作面と非動作面の切り替えにより、更新プログラムは適用される。すなわち車載更新装置２は、記憶部３１が２面持ちである場合、更新対象の車載ＥＣＵ３へ更新プログラムの適用を要求する。

更新対象の車載ＥＣＵ３は、更新プログラムの適用の完了、すなわち自ＥＣＵのプログラムの更新完了を車載更新装置２へ通知する（Ｓ１１）。車載更新装置２は、更新対象の車載ＥＣＵ３へリセット（再起動）を要求してもよい。次にＩＧスイッチ６がオンとなった際に、更新対象の車載ＥＣＵ３はより確実に起動することができる。

上記中止に関する情報の有無の確認において、上記中止に関する情報が外部サーバ１００に用意されていた場合、すなわち上記中止に関する情報を取得した場合、車載更新装置２は、更新対象の車載ＥＣＵへの更新プログラムの適用を中止する。すなわち車載更新装置２は、当該車載ＥＣＵ３のプログラムの更新を中止する。なお、上記中止に関する情報の有無の確認において、上記中止に関する情報が外部サーバ１００に用意されていた場合は、車載更新装置２と外部サーバ１００との通信が成功した場合であって、上記中止に関する情報を取得できた場合に相当する。

車載更新装置２は、Ｓ９の処理の代わりに、保存した更新プログラムを消去するための処理を行う。Ｓ１０及びＳ１１の処理は省略される。更新対象の車載ＥＣＵ３の記憶部３１が１面持ちである場合、車載更新装置２は、記憶部２１に記憶（保存）された更新プログラムを消去する。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、車載更新装置２は、記憶部３１の非動作面に記憶（保存）された更新プログラムの消去を更新対象の車載ＥＣＵ３へ要求する。更新対象の車載ＥＣＵ３は、記憶部３１の非動作面に記憶された更新プログラムを消去し、更新プログラムの消去完了を車載更新装置２へ通知する。

ＩＧスイッチ６がオンとなった場合（Ｓ１２）、車載更新装置２は、車載ＥＣＵ３のプログラムの更新完了、又は更新プログラムの適用中止の完了、すなわち車載ＥＣＵ３のプログラムの更新中止完了を外部サーバ１００へ通知する（Ｓ１３）。当該通知は、第１車外通信装置１ａを介した車載更新装置２と外部サーバ１００との通信により行われてもよく、携帯端末８を介した車載更新装置２と外部サーバ１００との通信により行われてもよい。外部サーバ１００は、上記中止に関する情報が外部サーバ１００に用意されていた場合、車載更新装置２から更新中止完了が通知されるまで、車載更新装置２への新たな更新プログラムの送信、又は新たな更新プログラムに関する通知を行わない構成であってもよい。

図５は、車載更新装置２の制御部２０が行う更新プログラムの適用に係る処理を例示するメインルーチンのフローチャートである。図６は、外部サーバ１００との通信試行のサブルーチンに係る制御部２０の処理手順を例示するフローチャートである。車載更新装置２の制御部２０は、車両Ｃが起動状態（ＩＧスイッチ６がオン）である場合、第１車外通信装置１ａを介して外部サーバ１００と定期的又は非定期的に通信する。更新すべきプログラム又はデータ、すなわち更新プログラムが外部サーバ１００に用意されている場合、以下の処理を行う。又は、制御部２０は、第１車外通信装置１ａを介して取得した外部サーバ１００からの更新通知に基づいて、以下の処理を行ってもよい。制御部２０は、更新通知を表示装置５に表示させ、入力装置７を介して車両Ｃの操作者から入力された更新の承認に基づいて、以下の処理を行ってもよい。

図５に示すように、制御部２０は、外部サーバ１００から更新プログラムを取得し（Ｓ２１）、車両Ｃ内の所定の記憶領域へ保存する。取得された更新プログラムは前述のように、記憶部２１に記憶（保存）される、又は更新対象の車載ＥＣＵ３へ送信され、当該車載ＥＣＵ３の記憶部３１の非動作面に記憶（保存）される。

ＩＧスイッチ６がオフとなった場合、制御部２０は、外部サーバ１００との通信試行に係るサブルーチンを呼び出して実行し（Ｓ２２）、外部サーバ１００との通信を試みる。図６に示すように、制御部２０は、第１車外通信装置１ａを介した外部サーバ１００との通信を試み（Ｓ４１）、当該通信の成否を判定する（Ｓ４２）。制御部２０は、第１車外通信装置１ａを介した外部サーバ１００との通信が成功した場合（Ｓ４２：ＹＥＳ）、メインルーチンへリターンする。制御部２０は、第１車外通信装置１ａを介した外部サーバ１００との通信が成功しなかった場合（Ｓ４２：ＮＯ）、例えば第１車外通信装置１ａが圏外である場合、携帯端末８を介した外部サーバ１００との通信を試み（Ｓ４３）、メインルーチンへリターンする。複数の携帯端末８の識別情報２１２が記憶部２１に記憶されている場合、制御部２０は、Ｓ４３において、それぞれの識別情報２１２に付与された優先順位（図３参照）に基づいて、それぞれの携帯端末８を介した外部サーバ１００との通信を試みる。

図５に示すように、外部サーバ１００との通信試行に係るサブルーチンからリターンした場合、制御部２０は、外部サーバ１００との通信が成功したか否かを判定する（Ｓ２３）。外部サーバ１００との通信が成功した場合（Ｓ２３：ＹＥＳ）、制御部２０は、保存した更新プログラムの中止に関する情報が外部サーバ１００に用意されているか否か（中止に関する情報の有無）を確認する。当該中止に関する情報が用意されている場合、制御部２０は、当該中止に関する情報を取得する。

制御部２０は、当該中止に関する情報を取得した場合（Ｓ２４：ＹＥＳ）、更新プログラムによる更新対象の車載ＥＣＵ３への適用を中止する旨を通知するための通知画面を構成する通知画面データを出力し（Ｓ２５）、表示装置５に通知画面を表示させる。通知画面データは、例えば、予め記憶部２１に記憶されている。通知画面データは、取得した上記中止に関する情報に含まれていてもよい。表示装置５に通知画面が表示されることにより、車両Ｃの操作者等の乗員に対し、更新プログラムによる更新対象の車載ＥＣＵ３への適用を中止する旨（車載ＥＣＵ３のプログラムの更新を中止する旨）を通知することができる。通知画面には、例えば、「更新プログラムに不備がありましたので、更新を中止します。」のようなメッセージが表示される。当該メッセージのデータは例えば通知画面データに含まれる。通知画面には、車両Ｃの操作者による更新中止の承諾（更新プログラムの適用の中止に関する承諾）の入力を受け付けるボタンが含まれていてもよい。更新中止の承諾が入力された場合、当該承諾の入力を受け付けた時刻が記憶部２１に記憶されてもよい。車載ＥＣＵ３のプログラムの更新に関するトレーサビリティを担保することができる。表示装置５は、通知画面に関するデータ、例えば通知画面を表示するための画像データを保持していてもよい。Ｓ２５にて制御部２０は通知画面データとして、表示装置５へ通知画面を表示するように指示する通知画面信号を出力する。表示装置５は、出力された通知画面信号を取得し、通知画面を表示する。通知画面に関するデータは、車載更新装置２の製造時に予め記憶部２１に記憶されていてもよい。また、Ｓ２５にて制御部２０は通知画面データとして、通知画面を表示装置５へ出力してもよい。表示装置５は、制御部２０から出力された通知画面を表示する。

制御部２０は、更新中止の承諾が入力された場合、又は通知画面データの出力後に一定時間が経過した場合、更新プログラムの適用を中止する（Ｓ２６）。車載更新装置２は、前述のように、記憶部２１に記憶された更新プログラムの消去、又は更新対象の車載ＥＣＵ３への記憶部３１の非動作面に記憶された更新プログラムの消去の要求を行う。

ＩＧスイッチ６がオンとなった場合、制御部２０は、Ｓ２７の処理を行い、処理を終了する。Ｓ２７の処理は、制御部２０が車載ＥＣＵ３のプログラムの更新完了、又は車載ＥＣＵ３のプログラムの更新中止完了を、外部サーバ１００と車両Ｃの乗員とへ通知する処理である。更新完了、又は更新中止完了の外部サーバ１００への通知は、第１車外通信装置１ａを介した通信により行われてもよく、携帯端末８を介した通信により行われてもよい。制御部２０は、更新を中止した場合、すなわち更新プログラムの適用を中止した場合に、更新中止完了を、外部サーバ１００と車両Ｃの乗員とへ通知する。外部サーバ１００へ更新中止完了を通知する際に、上述の記憶部２１に記憶された更新中止の承諾の入力を受け付けた時刻が、第１車外通信装置１ａ又は携帯端末８を介して外部サーバ１００へ送信されてもよい。制御部２０は、例えば、「更新の中止が完了しました。」のようなメッセージを表示装置５に表示させることにより、車両Ｃの乗員へ更新中止完了を通知する。当該メッセージは、例えば、記憶部２１に記憶されている。制御部２０が更新完了を外部サーバ１００と車両Ｃの乗員とへ通知する場合、すなわち更新が完了した場合については、後述する。

制御部２０は、上記中止に関する情報を取得しなかった場合（Ｓ２４：ＮＯ）、すなわち上記中止に関する情報が用意されていなかった場合、確認画面データを出力する（Ｓ２８）。確認画面データは、記憶（保存）された更新プログラムを制御部２０が更新対象の車載ＥＣＵに適用する際、適用の要否を確認するための確認画面を構成するデータである。確認画面データは、例えば、予め記憶部２１に記憶されている。

制御部２０は、確認画面データを出力することにより、表示装置５に確認画面を表示させる。確認画面には、例えば、「ＥＣＵのプログラムの更新を実行します。」のようなメッセージが表示される。当該メッセージのデータは例えば確認画面データに含まれる。確認画面には、更に、車両Ｃの乗員による更新の承諾の入力を受け付ける（適用の要否を確認する）ボタンが表示される。例えば、車両Ｃの乗員は、入力装置７の操作により更新の承諾を入力する。制御部２０は、適用を要とする入力があるか否かを判定する（Ｓ２９）。更新の承諾が入力された場合、すなわち適用を要とする入力がある場合（Ｓ２９：ＹＥＳ）、制御部２０は、更新対象の車載ＥＣＵ３への更新プログラムの適用を行う（Ｓ３０）。更新の承諾が入力された場合が、適用を要とする入力がなされた場合に相当する。更新対象の車載ＥＣＵ３の記憶部３１が１面持ちである場合、制御部２０は、記憶部２１に記憶された更新プログラムを更新対象の車載ＥＣＵ３へ送信する。送信された更新プログラムは、更新対象の車載ＥＣＵ３の記憶部３１に記憶され、当該車載ＥＣＵ３に適用される。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、制御部２０は、更新対象の車載ＥＣＵ３へ記憶部３１の動作面と非動作面との切り替えを要求する。動作面と非動作面との切り替えにより、更新対象の車載ＥＣＵ３に更新プログラムが適用される。更新対象の車載ＥＣＵ３から更新プログラムの適用の完了（更新完了）が制御部２０へ通知される。制御部２０は、後述するＳ３１の処理を行う。

更新の承諾が入力されない場合、すなわち適用を要とする入力がない場合（Ｓ２９：ＮＯ）、再度Ｓ２９の処理を行うべくループ処理を行う。当該ループ処理を行うにあたって、制御部２０は、所定時間の待機処理（スリープ）を実行してもよい。制御部２０は、一定時間以上、適用を要とする入力がない場合、処理を終了してもよい。

Ｓ２２における制御部２０と外部サーバ１００との通信の試行において、制御部２０は、外部サーバ１００との通信が成功しなかった場合（Ｓ２３：ＮＯ）、更新対象の車載ＥＣＵ３への更新プログラムの適用を行う。なお、上記外部サーバ１００との通信が成功しなかった場合は、詳しくは第１車外通信装置１ａを介した通信、及び携帯端末８を介した通信の双方が失敗した場合であり、以下、外部サーバ１００との通信が失敗した場合とも称する。外部サーバ１００との通信が失敗した場合は、例えば、第１車外通信装置１ａと、携帯端末８とが共に圏外である場合である。制御部２０は、例えば一定時間以上、外部サーバ１００と通信（接続）ができない場合、外部サーバ１００との通信が失敗したと判断してもよい。

外部サーバ１００との通信が失敗した場合、制御部２０は、前述のＳ２８にて出力する確認画面データと異なる確認画面データを出力し（Ｓ３２）、表示装置５に確認画面を表示させる。すなわち外部サーバ１００との通信が成功した場合と、外部サーバ１００との通信が失敗した場合とにおいて、出力される確認画面データ、及び表示される確認画面は異なる。外部サーバ１００との通信が失敗した場合、確認画面には、例えば、前述の「ＥＣＵのプログラムの更新を実行します。」のようなメッセージと、前述した更新の承諾の入力を受け付けるボタンとに加えて、以下のようなメッセージが表示される。確認画面には、例えば、通信圏外である旨、及び現時点における最新の上記中止に関する情報（最新の更新中止情報）の有無について確認できていない旨を示すメッセージが表示される。具体的には、確認画面に、「通信圏外であり、最新の更新中止情報の有無について確認できていません。」のようなメッセージが表示される。確認画面には、後述するバックアップを行う旨を示すメッセージ、例えば「更新の際に、現時点のプログラムをバックアップします。」のようなメッセージが表示されてもよい。これらのメッセージは、例えば確認画面データに含まれ、記憶部２１に予め記憶してある。確認画面にはメッセージ以外に、例えば通信圏外を示すマークが表示されてもよい。Ｓ２８に係る確認画面（外部サーバ１００との通信が成功した場合の確認画面）の色と、Ｓ３２に係る確認画面（外部サーバ１００との通信が失敗した場合の確認画面）の色とが異なっていてもよい。例えば確認画面は、Ｓ２８に係る確認画面の色を青色とし、Ｓ３２に係る確認画面の色を黄色とする構成でもよい。Ｓ２８とＳ３２とにおいて異なる確認画面データを出力することにより、車両Ｃの操作者等、更新プログラム適用の要否の確認者に対し、適切な情報、例えば外部サーバ１００との通信状況、及び最新の更新中止情報の有無が未確認であることを提供することができる。

表示装置５は、確認画面に関するデータ、例えば、それぞれの確認画面を表示するための複数の画像データ（Ｓ２８に係る確認画面を表示するための画像データ、及びＳ３２に係る確認画面を表示するための画像データ）を保持していてもよい。この場合、Ｓ３２において、制御部２０は確認画面データとして、表示装置５へＳ３２に係る確認画面を表示するように指示する確認画面信号を出力する。表示装置５は、出力された当該確認画面信号を取得し、Ｓ３２に係る確認画面を表示する。前述のＳ２８において、制御部２０は確認画面データとして、表示装置５へＳ２８に係る確認画面を表示するように指示する確認画面信号を出力する。表示装置５は、出力された当該確認画面信号を取得し、Ｓ２８に係る確認画面を表示する。確認画面に関するデータは、車載更新装置２の製造時に予め記憶部２１に記憶されていてもよい。Ｓ３２において、制御部２０は、例えば、それぞれの確認画面を表示するための複数の画像データから、Ｓ３２に係る確認画面を表示するための画像データを選択し、選択した当該画像データを表示装置５へ出力する。表示装置５は、出力された当該画像データを取得し、Ｓ３２に係る確認画面を表示する。前述のＳ２８において、制御部２０は、例えば、それぞれの確認画面を表示するための複数の画像データから、Ｓ２８に係る確認画面を表示するための画像データを選択し、選択した当該画像データを表示装置５へ出力する。表示装置５は、出力された当該画像データを取得し、Ｓ２８に係る確認画面を表示する。また、Ｓ２８、Ｓ３２にて制御部２０は確認画面データとして、確認画面を表示装置５へ出力してもよい。表示装置５は、制御部２０から出力された確認画面を表示する。

制御部２０は、Ｓ２９の処理と同様、適用を要とする入力があるか否かを判定する（Ｓ３３）。適用を要とする入力がない場合（Ｓ３３：ＮＯ）においては、前述のＳ２９：ＮＯの場合と同様の処理が行われるので、適用を要とする入力がない場合の説明は省略する。適用を要とする入力がある場合（Ｓ３３：ＹＥＳ）、すなわち適用を要とする入力がなされた場合、制御部２０は、更新対象の車載ＥＣＵ３の現時点におけるプログラム（現プログラム）を保存する（Ｓ３４）。すなわち制御部２０は、更新対象の車載ＥＣＵ３の現プログラムのバックアップを行う。現プログラムは、例えば、車載更新装置２の記憶部２１に記憶（保存）される。制御部２０は、Ｓ３０の処理を行う。すなわち、制御部２０は、更新対象の車載ＥＣＵ３への更新プログラムの適用を行う。

制御部２０は、更新プログラムの適用後、履歴情報２１３を保存する（Ｓ３１）。履歴情報２１３は、例えば、記憶部２１に記憶（保存）される。履歴情報２１３には、更新対象の車載ＥＣＵ３への更新プログラムの適用が行われたことを示す情報と、適用の際における外部サーバ１００との通信の正否に関する情報とが関連付けて記録される。更新対象の車載ＥＣＵ３への更新プログラムの適用が行われたことを示す情報には、例えば、更新対象の車載ＥＣＵ３の識別番号、及び適用された更新プログラムの名前（バージョン）が含まれる。更新対象の車載ＥＣＵ３への更新プログラムの適用が行われたことを示す情報には、更に、更新の承諾の入力時刻、及び更新の完了時刻、例えば車載ＥＣＵ３から更新の完了が通知された時刻が含まれてもよい。適用の際における外部サーバ１００との通信の正否に関する情報には、通信の成功又は失敗を示す情報に加え、通信成功の場合においては、第１車外通信装置１ａを介した通信であること、又は携帯端末８を介した通信であることを示す情報が含まれてもよい。また、携帯端末８を介した通信である場合、用いられた携帯端末の識別情報２１２が含まれていてもよい。履歴情報２１３を保存することにより、車載ＥＣＵ３のプログラムの更新に関するトレーサビリティを担保することができる。

ＩＧスイッチ６がオンとなった場合、制御部２０は、Ｓ２７の処理を行い、処理を終了する。Ｓ２７において、制御部２０は、車載ＥＣＵ３のプログラムの更新が完了した場合、すなわち更新プログラムの適用が完了した場合、更新完了を、外部サーバ１００と車両Ｃの乗員とへ通知する。制御部２０は、例えば、「更新が完了しました。」のようなメッセージを表示装置５に表示させることにより、車両Ｃの乗員へ更新完了を通知する。当該メッセージは、例えば、記憶部２１に記憶されている。外部サーバ１００へ更新完了を通知する際に、履歴情報２１３、又は履歴情報２１３の一部、例えば更新の完了時刻が、第１車外通信装置１ａ又は携帯端末８を介して外部サーバ１００へ送信されてもよい。

Ｓ２３にて外部サーバ１００との通信が失敗した場合において、外部サーバ１００へ更新完了を通知する際、制御部２０は、適用した更新ファイルの中止に関する情報が外部サーバ１００に用意されているか否かを確認する。当該中止に関する情報が用意されている場合、制御部２０は、当該中止に関する情報を取得し、以下の処理を行う。更新対象の車載ＥＣＵ３の記憶部３１が１面持ちである場合、制御部２０は、Ｓ３４にて保存した更新前のプログラム（Ｓ３４における現プログラム）、すなわち更新プログラムの前バージョンとなるプログラムを、更新対象の車載ＥＣＵ３へ送信する。送信された更新前のプログラムは、当該車載ＥＣＵ３の記憶部３１に記憶され、当該車載ＥＣＵ３に適用される。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、更新前のプログラムは、記憶部３１の第１記憶領域又は第２記憶領域（非動作面）に記憶されている。制御部２０は、更新対象の車載ＥＣＵ３へ動作面と非動作面との切り替えを要求する。動作面と非動作面との切り替えにより、更新対象の車載ＥＣＵ３に更新前のプログラムが適用される。更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、Ｓ３４の処理は省略できる。更新プログラムの適用が行われる時点において、当該更新プログラムの中止に関する情報の有無が確認できていない場合、更新対象の車載ＥＣＵ３の現時点におけるプログラムを保存する処理が行われる。更新対象の車載ＥＣＵ３へ適用した更新プログラムの中止に関する情報を、当該適用の後に取得した際に、保存した上記現時点におけるプログラムを用いて、ロールバック処理を行うことができる。

車載更新装置２は、更新プログラムを車両内の所定の記憶領域に保存した後に、当該更新プログラムの中止に関する情報が、外部サーバ１００において用意されているか否かを確認するため、外部サーバ１００との通信を試みる。既に保存した更新プログラムに問題があることが発覚し、外部サーバ１００に当該更新プログラムの中止に関する情報が用意されている場合、当該中止に関する情報を取得することができる。

車載更新装置２は、外部サーバ１００との通信が成功した場合であって、保存した更新プログラムの中止に関する情報を取得できた場合、更新プログラムの適用を中止する。また、取得した更新プログラムの中止に関する情報を取得できなかった場合、更新プログラムの適用を行う。中止に関する情報に係る更新プログラムが、更新対象の車載ＥＣＵ３に適用されることを防止することができる。

外部サーバ１００との通信が成功した場合であって、外部サーバ１００へ更新完了を通知する際、車載更新装置２は、適用した更新ファイルの中止に関する情報が外部サーバ１００に用意されているか否かを確認してもよい。当該中止に関する情報が用意されている場合であって、更新対象の車載ＥＣＵ３の記憶部３１が２面持ちである場合、車載更新装置２は、上述のようにしてロールバック処理を行う。記憶部３１が１面持ちである場合、例えば、更新前のプログラムが外部サーバ１００から車載更新装置２へ送信される。送信された更新前のプログラムは、車載更新装置２により更新対象の車載ＥＣＵ３へ送信され、当該車載ＥＣＵ３に適用される。外部サーバ１００との通信が失敗した場合と同様に、更新プログラムの適用の際に、更新前のプログラムが保存されてもよい。中止に関する情報に係る更新プログラムが、更新対象の車載ＥＣＵ３に適用されることを効果的に防止することができる。

車載更新装置２は、外部サーバ１００との通信が失敗した場合、保存した更新プログラムによる更新対象の車載ＥＣＵ３への適用を行う。外部サーバ１００との通信ができない状況が継続する場合であっても、更新プログラムの適用により、更新対象の車載ＥＣＵ３が用いるプログラムの適正化を図ることができる。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載更新システム
Ｎ 車外ネットワーク
１ａ 第１車外通信装置
１ｂ 第２車外通信装置
２ 車載更新装置
３ 車載ＥＣＵ
４ 車内ＬＡＮ
５ 表示装置
６ ＩＧスイッチ
７ 入力装置
８ 携帯端末
１１ａ アンテナ
１１ｂ アンテナ
２０ 制御部
２１ 記憶部
２２ 記録媒体
２３ 車内通信部
２４ 入出力Ｉ／Ｆ
３０ 制御部
３１ 記憶部
３２ 車内通信部
１００ 外部サーバ
１１０ 記憶部
１１１ 車両ＤＢ
２１１ 制御プログラム
２１２ 識別情報
２１３ 履歴情報

Claims (9)

1. 車両に搭載される車載ＥＣＵへの更新プログラムの適用を制御する制御部を備え、
   前記制御部は、前記車両内の所定の記憶領域に保存した前記更新プログラムを更新対象の車載ＥＣＵに適用する際、前記車両外の外部サーバとの通信を試み、
   前記外部サーバとの通信が成功した場合であって、
   前記更新プログラムの中止に関する情報を取得できた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止し、
   前記中止に関する情報を取得できなかった場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、
   前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う
   車載更新装置。
2. 前記外部サーバとの通信は、
   前記車両に設けられ、自装置と接続される車外通信装置を介した通信と、
   前記自装置と接続される携帯端末を介した通信とを含み、
   前記車外通信装置による通信は、前記携帯端末による通信に対し優先的に行われ、
   前記制御部は、前記車外通信装置及び前記携帯端末の双方の通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う
   請求項１に記載の車載更新装置。
3. 前記車両内の所定の記憶領域には、前記携帯端末を識別するための識別情報が記憶されており、
   前記識別情報は、前記車両の車両識別番号と関連付けられて、前記外部サーバが参照可能な記憶領域に記憶されており、
   前記制御部は、前記識別情報に基づいて、前記携帯端末との通信を確立する
   請求項２に記載の車載更新装置。
4. 前記車両内の所定の記憶領域には、前記外部サーバとの通信における優先順位が付与された複数の前記識別情報が、記憶されており、
   前記制御部による前記携帯端末を介した前記外部サーバとの通信の試みは、前記優先順位に基づき行われる
   請求項３に記載の車載更新装置。
5. 前記制御部は、前記更新プログラムを前記更新対象の車載ＥＣＵに適用する際、適用の要否を確認するための確認画面を構成する確認画面データを出力し、
   前記確認画面において、適用を要とする入力がなされた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、
   前記中止に関する情報が取得されなかった場合と、前記外部サーバとの通信が失敗した場合とにおいて、出力される前記確認画面データは、異なる
   請求項１から請求項４のいずれか１項に記載の車載更新装置。
6. 前記制御部は、前記中止に関する情報を取得した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止する旨を通知するための通知画面を構成する通知画面データを出力する
   請求項１から請求項５のいずれか１項に記載の車載更新装置。
7. 前記制御部は、前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う際に、前記更新対象の車載ＥＣＵの現時点におけるプログラムを保存する
   請求項１から請求項６のいずれか１項に記載の車載更新装置。
8. 前記制御部は、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行った場合、前記更新対象の車載ＥＣＵへの前記更新プログラムの適用を行ったことを示す情報と、前記外部サーバとの通信の正否に関する情報とが関連付けて記録される履歴情報を、前記車両内の所定の記憶領域に保存する
   請求項１から請求項７のいずれか１項に記載の車載更新装置。
9. コンピュータに、
   車両内の所定の記憶領域に保存された更新プログラムを更新対象の車載ＥＣＵに適用する際、前記車両外の外部サーバとの通信を試み、
   前記外部サーバとの通信が成功した場合であって、
   前記更新プログラムの中止に関する情報を取得できた場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を中止し、
   前記中止に関する情報を取得できなかった場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行い、
   前記外部サーバとの通信が失敗した場合、前記更新プログラムによる前記更新対象の車載ＥＣＵへの適用を行う
   処理を実行させる更新処理プログラム。

Images