JP2021124829A

JP2021124829A - 電子制御装置

Info

Publication number: JP2021124829A
Application number: JP2020016446A
Authority: JP
Inventors: 航平長洲; Kohei Nagasu; 剛憲藤田; Takenori Fujita
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2020-02-03
Filing date: 2020-02-03
Publication date: 2021-08-30

Abstract

【課題】二重系を構成する複数の制御装置のうちの少なくとも１つを書き換えるときにも、バックアップ機能を有することができる技術を提供する。【解決手段】電子制御装置１０は、代行部７５と、指示部と、を備える。代行部は、予め定められた代行プログラムに従う制御を代行開始指示に従って開始する。管理部は、書換要求を受信した場合に、二重系を構成する複数の制御装置のうちの１つである対象装置２１、２２の制御プログラムを書き換えるときに、代行部７５に、対象装置の制御プログラムを代行プログラムとして開始させる代行開始指示、を出力するように構成される。代行部は予め定められた代行プログラムに従う制御を代行開始指示に従って開始するように構成される。【選択図】図１

Description

本開示は、電子制御装置に関する。

制御装置の制御プログラムを書き換える技術が知られている。例えば、下記特許文献１には、二重系を構成する２つの制御装置の制御プログラムを書き換える場合、先ず、一方の書き換えを行い、その後、他方の書き換えを行う、という技術が提案されている。

特許第４７９９１６６号公報

しかしながら、発明者の詳細な検討の結果、上記特許文献１に記載の技術では、一方の制御装置又は他方の制御装置の書き換えのときには、バックアップ機能を有することができない、いう課題が見出された。

本開示の１つの局面は、二重系を構成する複数の制御装置のうちの少なくとも１つを書き換えるときにも、バックアップ機能を有することができる技術を提供する。

本開示の１つの局面は、車両に搭載され、車両の制御を行う複数の車両制御装置と通信線により接続され通信を行う電子制御装置（１０、７２）である。複数の車両制御装置は、それぞれ、予め定められた制御プログラムに従う制御を行うように構成されている。当該電子制御装置は、代行部（７５）と、指示部（Ｓ１５５、Ｓ１６０、Ｓ１６５）と、を備える。代行部は予め定められた代行プログラムに従う制御を代行開始指示に従って開始するように構成される。指示部は、書換要求を受信した場合に、二重系を構成する複数の制御装置のうちの１つである対象装置の制御プログラムを書き換えるときに、代行部（７５）に、対象装置の制御プログラムを代行プログラムとして開始させる代行開始指示、を出力するように構成される。書換要求は制御プログラムを書き換える要求である。

これによると、二重系を構成する複数の車両制御装置のうち対象装置の制御プログラムを書き換えるときに、代行部が対象装置の制御プログラムに従って対象装置と同様に制御を行う。この結果、代行部を用いて、二重系を構成する複数の制御装置のうちの少なくとも１つを書き換えるときにも、バックアップ機能を有することができる。

車載制御システムの構成を示すブロック図。書換制御装置の機能を示すブロック図。車両制御装置の機能を示すブロック図。書換制御処理のフローチャート。管理処理のフローチャート。代行処理のフローチャート。書換制御装置の作動を説明するタイミングチャート（１／３）。書換制御装置の作動を説明するタイミングチャート（２／３）。書換制御装置の作動を説明するタイミングチャート（３／３）。変形例１における車載制御システムの構成。変形例２における車載制御システムの構成。変形例３における車載制御システムの構成。

以下、図面を参照しながら、本開示の例示的な実施形態を説明する。なお、以下でいう「同等」とは、厳密な意味での同等に限るものではなく、同様の効果を奏するのであれば厳密に同等でなくてもよい。

［１．構成］
＜全体構成＞
まず、本実施形態に係る書換制御装置１０が適用される車載制御システム１の構成について、図１を参照して説明する。本実施形態に係る車載制御システム１は、車両に搭載されるシステムである。車載制御システム１は、書換制御装置１０と車両制御装置２１、２２と、を備える。車載制御システム１は、書換制御装置１０に接続された無線通信部５０を備えていてもよい。書換制御装置１０と車両制御装置２１、２２とは、共通の通信線６０によって、互いに通信可能に接続される。

なお、図１では２つの車両制御装置２１、２２が図示されているが、車載制御システム１は、２つ以上の複数の車両制御装置を備え得る。この場合、複数の車両制御装置と書換制御装置１０とは、車両内の共通の通信線６０によって、互いに通信可能に接続され得る。例えば、これらの車両制御装置２１、２２、書換制御装置１０は、ＣＡＮ等の通信プロトコルに従って通信を行ってもよい。尚、通信プロトコルはＣＡＮ以外の通信プロトコルであってもよい。ＣＡＮは、Controller Area Networkの略であり、登録商標である。

書換制御装置１０は、通信線６０に接続されている車両制御装置２１、２２の制御プログラムの書き換えを司る。なお、以下でいう更新とは、書き換えを意味する。
書換制御装置１０は、後述するように、ＯＴＡにより（すなわち、無線通信により）、情報サーバ７から無線通信部５０を介して新たな制御プログラムを受信する。ＯＴＡとは、Over The Airの略である。新たな制御プログラムとは、例えば情報サーバ７等といった外部装置等から受信される、車両制御装置２１、２２の新たな制御プログラムである。

本実施形態の車両制御装置２１、２２は、同一の制御プログラムに従って制御を行う。つまり、車載制御システム１において、車両制御装置２１、２２は、同等の装置であり、二重系２０を構成している。

＜書換制御装置１０＞
書換制御装置１０は、ＥＣＵであり、ＣＰＵ１２、ＲＯＭ１４、ＲＡＭ１５、及びフラッシュメモリ等の書き換え能なメモリ（以下、他のメモリ）１６等、の半導体メモリ（以下、メモリ）１３を含むマイコン１１を備える。ＥＣＵは、Electronic Control Unitの略である。書換制御装置１０は、ＣＰＵ１２が非遷移有形記録媒体としてのメモリ１３に格納されたプログラムを実行することにより、図２に示すような各機能を実現する。

書換制御装置１０は、図２に示すように、書換取得部７１、制御代行部７２の機能を備える。
上述の情報サーバ７は、書換要求を送信するように構成されている。書換要求とは、車両制御装置２１、２２の制御プログラムを書き換える要求である。書換取得部７１は、書換要求を受信した場合に、情報サーバ７から新たな制御プログラムを取得し、新たな制御プログラムをメモリ１３に保存する。

制御代行部７２は、書換要求を受信した場合に、後述する対象装置の制御プログラムを書き換えるときに、後述する代行部７５に、対象装置に代わって該対象装置の制御プログラムを実行させる。

対象装置とは、書き換えの対象となる車両制御装置であって、車載制御システム１が備える複数の車両制御装置２１、２２のうちの１つである。制御代行部７２は、複数の車両制御装置２１、２２、それぞれを、順に、対象装置とするように構成されている。以下の例では、制御代行部７２が、初回に車両制御装置２１を対象装置とし、２回目に車両制御装置２２を対象装置とする例を説明する。なお、複数の車両制御装置それぞれを対象装置とする順序は、任意であってよい。

制御代行部７２は、本実施形態では、上述の機能を実現するために、書換制御部７３、と管理部７４、代行部７５の機能を備える。なお、以下でいう管理代行部７６とは、制御代行部７２が備える上述の機能のうち、管理部７４と代行部７５との機能を含む構成をいう。

書換制御部７３は、制御代行部７２による上述の機能を実現するために、後述する書換制御処理を実行する。書換制御部７３は、主に、車両制御装置２１への転送要求の送信、管理部７４への代行開始要求の送信、車両制御装置２１、２２への新たな制御プログラムの送信、等の制御を行う。

管理部７４は、制御代行部７２の上述の機能を実現するために、後述する管理処理を実行する。管理処理では、管理部７４は、主に、代行部７５の作動を管理する。ここでいう管理とは、代行部７５に準備指示、代行開始指示、代行終了指示を出力して、代行部７５の作動を制御することをいう。

また、管理部７４は、車両制御装置２１の更新前プログラムを取得して他のメモリ１６の第１の記憶領域１７に保存する。更新前プログラムとは、車両制御装置２１、２２の制御プログラムであって車両制御装置２１、２２における書き換え前の制御プログラムである。なお、後述する更新後プログラムとは、車両制御装置２１、２２の制御プログラムであって車両制御装置２１、２２における書き換え後の制御プログラムである。つまり、更新後プログラムは、情報サーバ７から送信された上述の新たな制御プログラムと同じである。

また、管理部７４は、新たな制御プログラムを取得して他のメモリ１６の第２の記憶領域１８に保存する。
なお、第１の記憶領域１７及び第２の記憶領域１８が代行記憶領域に相当する。代行記憶領域とは、後述するように、代行部７５に車両制御装置２１、２２に代わって制御を行わせる（すなわち、代行部７５が代行制御を行う）ために、更新前プログラム又は更新後プログラムが保存される領域をいう。

代行部７５は、制御代行部７２の上述の機能を実現するために、後述する代行処理を実行する。代行部７５は、主に、予め定められた記憶領域である実行記憶領域に保存されているプログラムに従う制御を行うように構成されている。

代行部７５は、代行開始指示に従って、代行プログラムに従う制御を開始し、代行終了指示に従って該制御を停止するように構成されている。代行プログラムとは、代行部７５が実行するプログラムであって、実行記憶領域に保存されているプログラムをいう。つまり、代行部７５は、実行記憶領域に記憶されているプログラムを実行する。

実行記憶領域とは、代行部７５が実行するプログラムが記憶されている領域である。実行記憶領域は、他のメモリ１６に含まれる代行記憶領域である第１の記憶領域１７及び第２の記憶領域１８のうちのいずれかである。代行開始指示には、開始する対象となるプログラムが保存されている記憶領域を指定する内容が含まれ、代行終了指示には、終了する対象となるプログラムが保存されている記憶領域を指定する内容が含まれ得る。

例えば、代行部７５は、第１の記憶領域１７を実行記憶領域として指定する代行開始指示を受信すると、第１の記憶領域１７に保存されているプログラムに従う制御を開始する。また例えば、代行部７５は、第２の記憶領域１８を実行記憶領域として指定する代行開始指示を受信すると、第２の記憶領域１８に保存されているプログラムに従う制御を開始する。つまり、代行開始指示において実行記憶領域を変更することによって、代行部７５に実行を開始させるプログラムを切り替えることができる。

なお、本実施形態では、代行部７５は、代行終了指示を受信した時点で、実行中の制御であって実行記憶領域に保存されているプログラムに従う制御を終了する。つまり、代行プログラムに従う制御は、代行終了指示を受信するまで継続される。

＜車両制御装置２１、２２＞
車両制御装置２１、２２は同様に構成されるため、ここでは、車両制御装置２１について説明する。車両制御装置２１は、ＥＣＵであり、ＣＰＵ２４、ＲＯＭ、ＲＡＭ、及びフラッシュメモリ等の書き換え可能な他のメモリ等、の半導体メモリ（以下、メモリ）２５を含むマイコン２３を備える。車両制御装置２１は、ＣＰＵ２４が非遷移有形記録媒体としてのメモリ２５に格納されたプログラムを実行することにより、図３に示すような各機能を実現する。

車両制御装置２１は、図３に示すように、車両制御部８１、書換実行部８２、の機能を備える。
車両制御部８１は、メモリ２５に記憶されている制御プログラムに従って、所定の車両制御を実行する。ここでいう車両制御とは、図示しない車載検出センサ及び車載検出装置による検出結果に基づき、各種車載機器を制御することをいう。制御対象となる各種車載機器には、例えば、画像を表示するモニタ、警報音や案内音声を出力する音響機器が含まれ得る。又、例えば、車載制御システム１が搭載される自車の内燃機関、パワートレイン機構、ブレーキ機構等を制御する制御装置が含まれ得る。その他、車両における種々の制御がここでいう車両制御に含まれ得る。

なお、車両制御部８１は、後述する制御開始指示に従って、制御プログラムに従う作動を開始し、後述する制御停止指示に従って、制御プログラムに従う作動を停止する。
書換実行部８２は、書換制御装置１０との間で、メモリ２５に記憶されている制御プログラムを書き換えるための処理を実行する。例えば、書換実行部８２は、車両制御装置２１宛に新たな制御プログラムが通信線６０に出力されたときには、該新たな制御プログラムを受信し、車両制御部８１に制御停止指示を出力する。これにより、車両制御部８１は、制御プログラム（すなわち、更新前プログラム）による車両制御を中止する。書換実行部８２は、メモリ２５に、受信した新たな制御プログラムを書き込む。

書換実行部８２は、受信した新たな制御プログラムの書き込みが完了すると、車両制御部８１に制御開始指示を出力する。これにより、車両制御装置２１は再起動し、車両制御部８１は制御プログラム（すなわち、更新後プログラム）に従う車両制御を再開する。書換実行部８２は、車両制御部８１による車両制御が再開すると、再起動完了通知を書換制御装置１０（すなわち、書換制御部７３）に出力する。書換実行部８２は、後述する図７、図８、図９のタイミングチャートに示すように作動する。

［２．処理］
［２．１書換制御処理］
次に、書換制御装置１０の書換制御部７３が実行する書換制御処理について、図４のフローチャートを用いて説明する。

書換制御部７３は、無線通信部５０を介して書換要求を受信したことをきっかけとして、処理を開始する。
書換制御部７３は、Ｓ５では、書換要求を受信したか否かを判断する。書換制御部７３は、書換要求を受信したと判断した場合に処理をＳ１０へ移行させ、書換要求を受信していないと判断した場合に処理を終了する。

書換制御部７３は、Ｓ１０では、初回対象装置へ転送要求を送信する。初回対象装置とは、初回に書き換えの対象となる対象装置をいう。初回とは１回目を意味する。本実施形態では、車両制御装置２１、２２のうち、車両制御装置２１が初回対象装置に相当する。ここでいう転送要求とは、初回対象装置に、該初回対象装置のメモリ２５に記憶されている制御プログラム（すなわち、更新前プログラム）を、書換制御装置１０宛に、通信線６０を用いて送信させるための要求である。

本実施形態では、書換制御部７３は、車両制御装置２１に、車両制御装置２１のメモリ２５に記憶されている更新前プログラムを書換制御装置１０宛に送信させるための転送要求を送信する。

なお、転送要求を受信した車両制御装置２１（すなわち、書換実行部８２）は、書換制御装置１０（すなわち、管理部７４）宛に受け取り要求を送信するように構成されている。ここでいう受け取り要求とは、書換制御装置１０（すなわち、管理部７４）に、更新前プログラムの受け取りを要求する通知である。なお、受け取り要求の送信元は、ここでは初回対象装置としての車両制御装置２１である。

車両制御装置２１は、書換制御装置１０（すなわち、管理部７４）から受け取り要求に対する応答である受け取り可能通知を受信すると、書換制御装置１０（すなわち、管理部７４）へ、メモリ２５に記憶されている制御プログラム（すなわち、更新前プログラム）を送信する。書換制御装置１０（すなわち、管理部７４）は、更新前プログラムを他のメモリ１６の第１の記憶領域１７に記憶する。車両制御装置２１は、更新前プログラムの送信を完了すると、転送完了通知を書換制御装置１０（すなわち、書換制御部７３）宛に送信するように構成されている。

書換制御部７３は、Ｓ１５では、初回対象装置から転送完了通知を受信するまで待機する。転送完了通知とは、車両制御装置２１によってすべての更新前プログラの送信が完了したときに、車両制御装置２１から送信される通知である。書換制御部７３は、転送完了通知を受信すると処理をＳ２０へ移行させる。

書換制御部７３は、Ｓ２０では、管理部７４に、代行開始要求を送信する。本ステップでいう代行開始要求とは、管理部７４に、代行部７５に対して代行開始指示を出力させるための要求である。ここでいう代行開始指示とは、代行部７５に更新前プログラムに従う制御を開始させる指示をいう。

書換制御部７３は、Ｓ２５では、管理部７４から、代行開始通知を受信するまで待機する。代行開始通知とは、代行部７５による制御が開始されたことを表す通知である。本ステップでいう代行部７５による制御とは、更新前プログラムに従う制御をいう。書換制御部７３は、代行開始通知を受信すると、処理をＳ３０へ移行させる。

書換制御部７３は、Ｓ３０では、初回対象装置（すなわち、車両制御装置２１）と待機記憶領域（すなわち、第２の記憶領域１８）とに、新たな制御プログラムデータを送信する。

なお、初回対象装置宛に送信された新たな制御プログラムは、初回対象装置である車両制御装置２１（すなわち、書換実行部８２）によって、メモリ２５に記憶される。初回対象装置である車両制御装置２１は、新たな制御プログラムの全てを受信すると再起動する。

再起動とは、メモリ２５に記憶された制御プログラムに従う車両制御を開始することをいう。ここでいうメモリ２５に記憶された制御プログラムは、上述の新たな制御プログラムであって、更新後プログラムに相当する。車両制御装置２１は、再起動すると、再起動完了通知を書換制御装置１０（すなわち、書換制御部７３）宛に、通信線６０を用いて送信する。

書換制御部７３は、Ｓ３５では、初回対象装置から、再起動完了通知を受信するまで待機する。書換制御部７３は、再起動完了通知を受信すると、処理をＳ４０へ移行させる。
書換制御部７３は、Ｓ４０では、管理部７４に、代行開始要求を送信する。上述のように代行開始要求とは、管理部７４に、代行部７５に対して代行開始指示を出力させるための要求である。ここでいう代行開始指示とは、代行部７５に制御プログラムに従う制御を開始させる指示であって、ここでいう制御プログラムは更新後プログラムである。

書換制御部７３は、Ｓ４５では、管理部７４から、代行開始通知を受信するまで待機する。本ステップでいう代行開始通知とは、代行部７５によって制御プログラムに従う制御が開始されたことを表す通知であって、ここでいう制御プログラムは更新後プログラムである。書換制御部７３は、代行開始通知を受信すると、処理をＳ５０へ移行させる。

書換制御部７３は、Ｓ５０では、次回対象装置に受け取り要求を送信する。次回対象装置とは、書き換えの対象となる車両制御装置であって、２回目以降に書き換えの対象となる装置をいう。上述のように、車両制御装置２１、２２のうち、車両制御装置２１が初回対象装置であるため、車両制御装置２２が次回対象装置に相当する。また、ここでいう受け取り要求とは、次回対象装置に制御プログラムの受け取りを要求するものであり、ここでいう制御プログラムは新たな制御プログラムである。なお、次回対象装置は、受け取り要求を受信すると、送信元である書換制御部７３に受け取り可能通知を送信する。

書換制御部７３は、Ｓ５５では、次回対象装置から受け取り可能通知を受信するまで待機する。書換制御部７３は、受け取り可能通知を受信すると、処理をＳ６０へ移行させる。
書換制御部７３は、Ｓ６０では、次回対象装置に新たな制御プログラムデータを送信する。ここでいう新たな制御プログラムデータは、第２の記憶領域１８に記憶されている。

なお、次回対象装置である車両制御装置２２は車両制御装置２１と同等に構成されており、新たな制御プログラムは、車両制御装置２２のメモリ２５に記憶される。車両制御装置２２は、新たな制御プログラムの全てを受信すると再起動する。ここでいう再起動とは、新たな制御プログラム（すなわち、更新後プログラム）に従う制御を開始することをいう。車両制御装置２２は、再起動すると、再起動完了通知を書換制御装置１０（すなわち、書換制御部７３）宛に、通信線６０を用いて送信する。

書換制御部７３は、Ｓ６５では、次回対象装置から、再起動完了通知を受信するまで待機する。書換制御部７３は、再起動完了通知を受信すると、処理をＳ７０へ移行させる。
書換制御部７３は、Ｓ７０では、管理部７４に、代行終了要求を出力する。本ステップでいう代行終了要求とは、管理部７４に、代行部７５に対して代行終了指示を出力させるための要求である。代行終了指示とは、代行部７５に制御プログラムに従う制御を終了させる指示をいう。ここでいう制御プログラムは、更新後プログラムである。書換制御部７３は、以上で処理を終了する。

［２．２管理処理］
次に、書換制御装置１０の管理部７４が実行する管理処理について、図５のフローチャートを用いて説明する。管理処理は、予め定められた周期で繰り返し実行される。

管理部７４は、Ｓ１１０では、受け取り要求を受信したか否か判断する。管理部７４は、受け取り要求を受信した場合に処理をＳ１１５へ移行させ、受け取り要求を受信していない場合に処理をＳ１４０へ移行させる。

管理部７４は、Ｓ１１５では、受け取り要求の送信元へ受け取り可能通知を送信する。
管理部７４は、Ｓ１２０では、送信元が初回対象装置であるか否かを判断する。管理部７４は、送信元が初回対象装置である場合に処理をＳ１２５へ移行させ、送信元が初回対象装置でない場合に処理をＳ１３０へ移行させる。

管理部７４は、Ｓ１２５では、初回対象装置から、更新前プログラムを受信し、更新前プログラムを他のメモリ１６の第１の記憶領域１７に保存する。管理部７４は、全ての更新前プログラムを第１の記憶領域１７に保存すると、処理を終了する。

管理部７４は、Ｓ１３０では、書換制御部７３から新たな制御プログラムを受信し、他のメモリ１６の第２の記憶領域１８に保存する。管理部７４は、全ての新たな制御プログラムを第２の記憶領域１８に保存すると、処理を終了する。

管理部７４は、Ｓ１４０では、書換制御部７３から代行開始要求を受信したか否かを判断する。管理部７４は、代行開始要求を受信した場合に処理をＳ１５０へ移行させ、代行開始要求を受信していない場合に処理をＳ１８０へ移行させる。

管理部７４は、Ｓ１５０では、代行開始要求を受信した回数が初回（すなわち、１回目）であるか否かを判断する。なお、管理部７４は、例えば、代行開始要求を受信した回数を図示しない要求カウンタによってカウントするように構成され得る。要求カウンタは、代行終了通知を出力するときにリセットされ得る。管理部７４は、初回の代行開始要求を受信した場合に処理をＳ１５５へ移行させ、２回目以降の代行開始要求を受信した場合に処理をＳ１６０へ移行させる。

管理部７４は、Ｓ１５５では、第１の記憶領域１７を実行記憶領域として設定し、処理をＳ１６５へ移行させる。
管理部７４は、Ｓ１６０では、第２の記憶領域１８を実行記憶領域として設定し、処理をＳ１６５へ移行させる。

管理部７４は、Ｓ１６５では、代行部７５に、実行記憶領域に保存されているプログラムに従う制御を行わせる指示を、上述の代行開始指示として出力する。ここでいう代行開始指示には、実行記憶領域に保存されているプログラムに従う制御を開始させる命令と、実行記憶領域が第１の記憶領域１７及び第２の記憶領域１８のいずれであるかを表す情報と、が含まれ得る。

ここで、代行開始指示において、第１の記憶領域１７が実行記憶領域として設定されている場合、代行部７５は第１の記憶領域１７に保存されているプログラムに従う制御を行う。一方、代行開始指示において、第２の記憶領域１８が実行記憶領域として設定されている場合、代行部７５は第２の記憶領域１８に保存されているプログラムに従う制御を行う。

管理部７４は、Ｓ１７０では、書換制御部７３に、代行開始通知を送信する。そして、管理部７４は処理を終了する。
管理部７４は、Ｓ１８０では、書換制御部７３から、代行終了要求を受信したか否かを判断する。管理部７４は、代行終了要求を受信した場合に処理をＳ１８５へ移行させ、代行終了要求を受信していない場合に処理を終了する。

管理部７４は、Ｓ１８５では、代行部７５に代行終了指示を出力する。これにより、代行部７５は、実行領域（すなわち、第１の記憶領域１７又は第２の記憶領域１８）に保存されているプログラムに従う制御を終了する。

管理部７４は、Ｓ１９０では、書換制御部７３に、代行終了通知を出力する。以上で、管理部７４は処理を終了する。
［２．３代行処理］
次に、書換制御装置１０の代行部７５が実行する代行処理について、図６のフローチャートを用いて説明する。代行処理は、予め定められた周期で繰り返し実行される。

代行部７５は、Ｓ２１０では、管理部７４から代行開始指示を受信したか否かを判断する。管理部７４は、代行開始指示を受信した場合に処理をＳ２２０へ移行させ、代行開始指示を受信していない場合に処理をＳ２４０へ移行させる。

代行部７５は、Ｓ２２０では、代行開始指示に基づいて、実行記憶領域を特定する。つまり、代行部７５は、実行領域が第１の記憶領域１７及び第２の記憶領域１８のいずれであるかを特定する。

代行部７５は、Ｓ２３０では、実行領域に保存されているプログラムに従う制御を開始する。そして、代行部７５は処理を終了する。なお、実行領域に保存されているプログラムに従う制御は、代行終了指示を受信するまで、代行部７５によって継続される。

代行部７５は、Ｓ２４０では、管理部７４から、代行終了指示を受信したか否かを判断する。代行部７５は、代行終了指示を受信した場合に処理をＳ２５０へ移行させ、代行終了指示を受信していない場合に処理を終了する。

代行部７５は、Ｓ２５０では、代行終了指示に従って、実行領域に保存されているプログラムに従う制御を終了する。そして、以上で、代行部７５は処理を終了する。
［２．４作動］
上述のように構成された車載制御システム１の作動を、図７−図９のタイミングチャートを用いて説明する。車載制御システム１において書換制御装置１０を用いた制御プログラムの書き換えは、二重系を構成する要素の組み合わせによって、第１のステージから第３のステージまでの、３つのステージに分けることができる。二重系を構成する要素とは、車両制御装置２１、車両制御装置２２、及び代行部７５のうちの二つをいう。

なお、以下で説明する車両制御装置２１及び車両制御装置２２の作動は、これらが備える書換実行部８２の機能として実現される。
＜第１のステージ＞
書換制御部７３は、書換要求を受信すると、初回対象装置としての車両制御装置２１による制御を代行部７５に代行させるための準備を開始する。具体的には、時刻ｔ１では、書換制御部７３は、代行部７５が初回対象装置の更新前プログラムを実行できるよう、初回対象装置としての車両制御装置２１に転送要求を送信することにより、車両制御装置２１に更新前プログラムを送信させる（例えば、時刻ｔ₄）。

管理代行部７６（すなわち、管理部７４）は、初回対象装置である車両制御装置２１から送信される更新前プログラムを受信し（例えば、時刻ｔ₄以降）、第１の記憶領域１７に保存する。車両制御装置２１は、更新前プログラムの送信を完了すると、転送完了通知を書換制御部７３に送信する（例えば、時刻ｔ₅）。なお、車両制御装置２１（すなわち、車両制御部８１）は、更新前プログラムを送信する間も、更新前プログラムに従う処理を継続している。

書換制御部７３は、転送完了通信を受信すると、管理部７４へ代行開始要求を送信する（例えば、時刻ｔ₆）。
管理代行部７６の管理部７４は代行部７５に第１の記憶領域１７を実行記憶領域とする代行開始指示を送信する（例えば、時刻ｔ₉）。代行部７５は、代行開始指示に従って、更新前プログラムを実行する車両制御装置２１の代替として、制御代行を開始する（例えば、時刻ｔ₁₀）。

これにより、車両制御装置２１と車両制御装置２２とによる二重系２０から、管理代行部７６（すなわち、代行部７５）と車両制御装置２２とによる二重系に切替わる。なお、管理代行部７６（すなわち、管理部７４）は、代行開始指示を出力した後に、書換制御部７３に代行開始通知を送信する（例えば、時刻ｔ₁₀）。

＜第２のステージ＞
書換制御部７３は、車載制御システム１の制御の二重系が管理代行部７６と車両制御装置２２とによる二重系に切替わると（すなわち、代行開始通知を受信すると）、車両制御装置２１の制御プログラムの書き換えを開始する（例えば、時刻ｔ₁₁）。書き換えは次のように実行される。

書換制御部７３は、管理部７４に受け取り要求を送信し管理部７４から受け取り可能通知を受信すると（例えば、時刻ｔ₁₂）、管理部７４及び車両制御装置２１宛に、新たな制御プログラムを転送する（例えば、時刻ｔ₁₃）。受け取り要求の送信元は初回対象装置ではないので、この新たな制御プログラムは、管理部７４によって第２の記憶領域１８に保存される（例えば、時刻ｔ₁₃）。

車両制御装置２１は、車両制御装置２１への制御プログラムの書き換え（すなわち、書き込み）が完了すると（例えば、時刻ｔ₁₄）、再起動する。なお、再起動後、車両制御装置２１（すなわち、車両制御部８１）は更新後プログラムを実行する。書換制御部７３は、管理代行部７６（すなわち、管理部７４）に対して、代行開始要求を送信する（例えば、時刻ｔ₁₅）。

管理代行部７６（すなわち、管理部７４）は、代行開始要求を受信すると（例えば、時刻ｔ₁₆）、実行記憶領域を第１の記憶領域１７から第２の記憶領域１８に切替え（例えば、時刻ｔ₁₇）る。そして、管理代行部７６の管理部７４は代行部７５に第２の記憶領域１８を実行記憶領域とする代行開始指示を送信する（例えば、時刻ｔ₁₈）。代行部７５は、更新前プログラムを実行する車両制御装置２２の代替として、新たな制御プログラムに従って制御代行を開始する（例えば、時刻ｔ₁₉）。

これにより、管理代行部７６と車両制御装置２２による二重系から、管理代行部７６(すなわち、代行部７５)と車両制御装置２１とによる二重系に切替わる。なお、管理代行部７６（管理部７４）は、代行開始指示を出力した後に、書換制御部７３に代行開始通知を送信する（例えば、時刻ｔ₁₉）。

＜第３のステージ＞
書換制御部７３は、車載制御システム１の制御の二重系が管理代行部７６と車両制御装置２１とによる二重系に切替わると（すなわち、代行開始通知を受信すると）、車両制御装置２２の制御プログラムの書き換えを開始する（例えば、時刻ｔ₂₀）。この書き換えでは、書換制御部７３は、第２の記憶領域１８に保存されている新たな制御プログラムを車両制御装置２２へ送信する。

車両制御装置２２は、新たな制御プログラムへの書き換えが終了すると（例えば、時刻ｔ₂₂）、再起動し、再起動完了通知を書換制御部７３へ送信する（例えば、時刻ｔ₂₂）。書換制御部７３は、再起動完了通知を受信すると、管理代行部７６（すなわち、管理部７４）に、代行終了要求を送信（例えば、時刻ｔ₂₃）する。管理部７４は、代行終了指示を出力し、代行部７５に車両制御装置２２の制御代行を終了させる。

これにより、車載制御システム１の制御の二重系は、車両制御装置２１と車両制御装置２２とによる通常の二重系２０に切替わり、一連の制御プログラムの書き換えが終了する。
［３．効果］
以上詳述した実施形態によれば、以下の効果を奏する。

（３ａ）制御代行部７２は、管理部７４と代行部７５とを備える。制御代行部７２においては、書換要求を受信した場合に、二重系を構成する複数の車両制御装置２１、２２制御装置のうちの１つである対象装置の制御プログラムを書き換えるときに、管理部７４が、代行部７５に、対象装置の制御プログラムを代行プログラムとして開始させる代行開始指示、を出力するように構成される。代行部７５は、予め定められた代行プログラムに従う制御を代行開始指示に従って開始するように構成される。なお、書換要求を受信したか否かは、Ｓ５にて判断される。

これによると、複数の車両制御装置のうち対象装置の制御プログラムを書き換えるときに、代行部７５が対象装置の制御プログラムに従って対象装置と同様に制御を行う。この結果、代行部７５を用いて、二重系を構成する複数の同等の制御装置のうちの少なくとも１つを書き換えるときにも、バックアップ機能を有することができる。つまり、書き換え時に、制御プログラムを書き換えると共に二重系を常に保つことが可能となる。

（３ｂ）制御代行部７２においては、管理部７４が、Ｓ１５５、Ｓ１６５では、初回に書き換えの対象となる対象装置（すなわち、初回対象装置）の制御プログラムを書き換えるときに、代行部７５に、初回対象装置の更新前プログラムを代行プログラムとして開始させる代行開始指示を出力してもよい。また、制御代行部７２は、Ｓ１６０、Ｓ１６５では、２回目以降に書き換えの対象となる対象装置（すなわち、次回対象装置）の制御プログラムを書き換えるときに、代行部７５に、初回対象装置の更新後プログラムを代行プログラムとして開始させる代行開始指示を出力してもよい。

これにより、初回の対象装置の書き換えが行われる間、代行部は初回の対象装置の更新前プログラムによる制御を行うことが可能となる。このため、仮に、情報サーバ７から全ての新たな制御プログラムの取得が完了していない場合にも、代行部７５と非対象装置による二重系を保つことができる。なお、非対象装置とは、複数の車両制御装置２１、２２のうち対象装置でない装置をいう。

また、２回目以降に書き換えの対象となる対象の書き換えが行われる間、代行部は新たな制御プログラムによる制御を行うことが可能となる。このため、仮に新たな制御プログラムの取得が完了している場合には、新たな制御プログラムに従って制御を行う代行部７５と非対象装置による二重系を保つことができる。

（３ｃ）制御代行部７２は、Ｓ３０では、初回対象装置（例えば、車両制御装置２１）の制御プログラムを書き換えるときに、通信線６０を介して初回対象装置と待機領域である第２の記憶領域１８とに新たな制御プログラムを送信してもよい。それと共に、制御代行部７２は第２の記憶領域１８に新たな制御プログラムを保存してもよい。初回対象装置は、新たな制御プログラムを受信すると、更新前プログラムを新たな制御プログラムに書き換えるように構成されている。

これにより、初回対象装置の書き換えが行われる間、新たな制御プログラムが第２の記憶領域１８に並行して保存されるので、初回対象装置の書き換えが行われた後に続いて新たな制御プログラムを待機領域に保存する場合よりも、保存までの時間を短縮することができる。

（３ｄ）制御代行部７２は、２回目以降に書き換えの対象となる対象装置の制御プログラムを書き換えるときに、初回対象装置の制御プログラムの書き換えが完了した後（例えば、Ｓ７０以降）に、続いて、代行部７５に、代行開始指示を出力してもよい。該代行開始指示は、第２の記憶領域１８に保存された新たな制御プログラムを代行プログラムとして開始させる代行開始指示であってもよい。

これにより、初回対象装置の書き換えが行われる間、新たな制御プログラムが第２の記憶領域１８に並行して保存され、初回対象装置の書き換えが完了した後に、続いてこの新たな制御プログラムを実行するように代行部に代行開始指示が出力される。このため、代行部７５によって実行されるプログラムを更新前プログラムから新たな制御プログラム（すなわち、更新後プログラム）に速やかに切り替えることができる。

（３ｅ）複数の車両制御装置２１、２２は、それぞれ、同一の制御プログラムに従う制御を行うように同等に構成されている。つまり、複数の車両制御装置２１、２２が二重系２０を構成している。本実施形態では、対象装置の書き換え時に、非対象装置と代行部７５とによる二重系が保たれる。

（３ｆ）制御代行部７２は、複数の車両制御装置２１、２２、それぞれを順に対象装置とするように構成されていてもよい。これにより、複数の車両制御装置２１、２２のそれぞれが対象装置として順に書き換えが行われる間、非対象装置と代行部７５とによる二重系を保つことができる。

［４．変形例］
＜変形例１＞
変形例１では、書換制御部７３と、管理部７４と、代行部７５とが、それぞれ異なるマイコンによって構成されてもよい。例えば、図１０に示す車載制御システム２では、書換制御装置１０が、マイコン１１１と、マイコン１１２と、マイコン１１３と、を備える例が示されている。マイコン１１１は、マイコン１１と同様に、ＣＰＵ２０１と、メモリ３０１とを備える。マイコン１１２は、同様に、ＣＰＵ２０２と、メモリ３０２とを備える。マイコン１１３は、同様に、ＣＰＵ２０３と、メモリ３０３とを備える。

マイコン１１１は、管理部７４の機能を備える。マイコン１１２は、代行部７５の機能を備える。マイコン１１３は、書換制御部７３の機能を備える。ここでいう管理代行部７６は、管理部７４と、代行部７５と、他のメモリ１６とを含む。

書換制御装置１０内において、マイコン１１１、マイコン１１２、マイコン１１３、他のメモリ１６は、互いに通信可能に、共通の通信線６１に接続されている。マイコン１１３には、通信線によって無線通信部５０が接続されていてもよい。変形例１では、書換制御部７３は図４に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える管理部７４は図５に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える代行部７５は図６に示すフローチャートと同様の処理を実行してもよい。

変形例１によると、書換制御部７３、管理部７４、代行部７５毎に異なるマイコンを用いるので、各部がハードウェア依存せず独立して処理を実行でき、代行部７５による制御の即時性を向上させることができる。

＜変形例２＞
変形例２では、複数の車両制御装置２１、２２のうちの１つが、管理代行部７６を備えていてもよい。図１１に示す車載制御システム３では、車両制御装置２１が管理代行部７６を備える例が示されている。但し、本開示はこれに限定されるものではなく、車両制御装置２２が管理代行部７６を備えてもよい。書換制御部７３の機能を備えるマイコン１１３は、車両制御装置２１、２２と互いに通信可能に、共通の通信線６０に接続されてもよい。マイコン１１３には、通信線によって無線通信部５０が接続されていてもよい。

変形例２では、車両制御装置２１内において、マイコン１１１、マイコン１１２、他のメモリ１６は、車両制御部８１〜書換実行部８２の機能を備えるマイコン２３と、共通の通信線６２によって通信可能に接続されていてもよい。

変形例２では、書換制御部７３は図４に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える管理部７４は図５に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える代行部７５は図６に示すフローチャートと同様の処理を実行してもよい。

なお、無線通信部５０が、書換制御部７３の機能を代替するように構成されてもよい。この場合の車載制御システムが備える構成は、図１１に示す車載制御システム３が備える構成からマイコン１１３及び無線通信部５０が削除された構成であってもよい。これによると、車載制御システム３が備えるＥＣＵの数を低減することができる。つまり、車載制御システム３を簡素に構成することができる。

＜変形例３＞
変形例３では、車載制御システム４が所謂ゲートウェイＥＣＵ（以下、ＧＷＥＣＵ）４０を備え、ＧＷＥＣＵ４０が管理代行部７６を備えていてもよい。なお、ＧＷＥＣＵ４０は、ＧＷとしての機能を実現するマイコンをマイコン１１１−１１３とは別に備えていてもよい。変形例３では、書換制御部７３は図４に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える管理部７４は図５に示すフローチャートと同様の処理を実行してもよい。また、管理代行部７６が備える代行部７５は図６に示すフローチャートと同様の処理を実行してもよい。

また、ＧＷＥＣＵ４０は、ＧＷとしての機能により、車両ネットワークドメインをまたいで、車両に搭載された図示しない他のネットワークの他のＥＣＵと接続可能である。このため、変形例３では、車両ネットワークドメインをまたいで、他のＥＣＵと管理代行部７６とによる二重化を実現することができる。この結果、ネットワークドメインごとに管理代行部７６を用意する必要がない。

なお、ＧＷＥＣＵ４０が、書換制御部７３の機能を代替するように構成されてもよい。この場合の車載制御システムが備える構成は、例えば、図１２に示す車載制御システム４が備える構成からマイコン１１３が削除され、ＧＷＥＣＵ４０と無線通信部５０とが接続される構成であってもよい。

＜変形例４＞
代行部７５は、マイコン１１、又はマイコン１１２を使用して構成されているが、本開示はこれに限定されるものではない。例えば、ＦＰＧＡ等の回路再構成可能デバイスが代行部７５として使用されてもよい。なお、ＦＰＧＡ等の回路再構成可能デバイスが代行部７５として使用される場合は、代行対象となる車両制御装置２１又は車両制御装置２２のＣＰＵ２４のＩＰコアをＦＰＧＡ上に再構成することが、Ｓ２１０の後に、準備として実行されてもよい。ＦＰＧＡは、Field Programmable Gate Arrayの略である。

［５．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

（５ａ）上述の例では、車載制御システムが書き換えの対象となる２つの車両制御装置を備える例が記載されていたが、本開示はこれに限定されるものではない。車載制御システムが備える書き換えの対象となる２組以上の二重系を持つ車両制御装置についても、同様に、制御プログラムの書き換えを行うことができる。

（５ｂ）書換制御装置１０（すなわち、書換制御部７３）は、無線通信部５０を介して情報サーバ７と無線通信を行い、情報サーバ７から更新後プログラムを受信するように構成されてもよい。情報サーバ７には、最新の更新後プログラムが保存され得る。これにより、最新の更新後プログラムへの書き換えを実行することができる。

（５ｃ）本開示に記載の書換制御装置１０及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより実現されてもよい。

あるいは、本開示に記載の書換制御装置１０及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の書換制御装置１０及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータが読み取り可能な非遷移有形記録媒体に記憶されてもよい。書換制御装置１０に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

（５ｄ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

（５ｅ）上述した書換制御装置１０、ＣＰＵ１２、マイコン１１、車両制御装置２１、ＣＰＵ２４、マイコン２３、ＣＰＵ２０１、マイコン１１１、ＣＰＵ２０２、マイコン１１２、ＣＰＵ２０３、マイコン１１３、ＧＷＥＣＵ４０、車載制御システム１−４の他、当該書換制御装置１０を機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、通信方法、書き換え方法など、種々の形態で本開示を実現することもできる。

なお、上述の実施形態において、書換制御装置１０、制御代行部７２が電子制御装置に相当し、車両制御装置２１、車両制御装置２２が対象装置に相当し、車両制御装置２１が初回対象装置に相当し、車両制御装置２２が次回対象装置に相当する。代行記憶領域が第１の記憶領域１７及び第２の記憶領域１８に相当する。代行プログラムが代行記憶領域（すなわち、第１の記憶領域１７又は第２の記憶領域１８）に記憶されているプログラムに相当する。

Ｓ１５５、Ｓ１６０及びＳ１６５が指示部としての処理に相当し、Ｓ１５５及びＳ１６５が第１の代行指示部としての処理に相当し、Ｓ１６０及びＳ１６５が第２の代行指示部としての処理に相当し、Ｓ３０及びＳ１３０が初回書換部としての処理に相当する。

１０書換制御装置、２１、２２車両制御装置、６０通信線、７４管理部、７５代行部。

Claims

車両に搭載され、前記車両の制御を行う複数の車両制御装置と通信線により接続され通信を行う電子制御装置（１０、７２）であって、
前記複数の車両制御装置は、二重系を構成し、それぞれ、予め定められた制御プログラムに従う制御を行うように構成されており、
当該電子制御装置は、
予め定められた代行プログラムに従う制御を代行開始指示に従って開始するように構成された代行部（７５）と、
前記制御プログラムを書き換える要求である書換要求を受信した場合に、前記複数の車両制御装置のうちの１つである対象装置の前記制御プログラムを書き換えるときに、前記代行部に、前記対象装置の前記制御プログラムを前記代行プログラムとして開始させる前記代行開始指示、を出力するように構成された指示部（Ｓ１５５、Ｓ１６０、Ｓ１６５）と、
を備える電子制御装置。
請求項１に記載の電子制御装置であって、
前記指示部は、
初回に書き換えの対象となる前記対象装置である初回対象装置の前記制御プログラムを書き換えるときに、前記代行部に、前記初回対象装置の前記制御プログラムであって書き換え前の前記制御プログラムである更新前プログラムを前記代行プログラムとして開始させる前記代行開始指示を出力するように構成された第１の代行指示部（Ｓ１５５、Ｓ１６５）と、
２回目以降に書き換えの対象となる前記対象装置である次回対象装置の前記制御プログラムを書き換えるときに、前記代行部に、前記対象装置の前記制御プログラムであって書き換え後の前記制御プログラムである更新後プログラムを前記代行プログラムとして開始させる前記代行開始指示を出力するように構成された第２の代行指示部（Ｓ１６０、Ｓ１６５）と、
を更に備える電子制御装置。
請求項２に記載の電子制御装置であって、
前記初回対象装置の前記制御プログラムを書き換えるときに、前記通信線を介して前記初回対象装置に新たな前記制御プログラムを送信すると共に、予め定められた代行記憶領域（１８）に前記新たな制御プログラムを保存するように構成された初回書換部（Ｓ３０、Ｓ１３０）、
を更に備える電子制御装置。
請求項３に記載の電子制御装置であって、
前記第２の代行指示部は、
前記次回対象装置の前記制御プログラムを書き換えるときに、前記初回書換部によって前記初回対象装置への前記新たな制御プログラムの送信が完了した後に、続いて、前記代行部に、前記代行開始指示であって前記代行記憶領域に保存された前記新たな制御プログラムを前記代行プログラムとして開始させる前記代行開始指示を出力するように構成された
電子制御装置。
請求項１から請求項４のいずれか一項に記載の電子制御装置であって、
前記複数の車両制御装置は、それぞれ、同一の前記制御プログラムに従う制御を行うように構成されている、電子制御装置。