JP2021128362A - ソフトウェア更新装置およびソフトウェア更新方法 - Google Patents

Abstract

【課題】法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行う。【解決手段】ソフトウェア更新装置１００は、車両１０に搭載されソフトウェアの更新が可能な複数のＥＣＵ２００と、車両１０の外部から供給されるソフトウェアを取得する取得部と、取得部によって取得されるソフトウェアを用いて、複数のＥＣＵ２００に対してソフトウェアの更新を行う更新制御部１１１と、を備える。複数のＥＣＵ２００は、取得部によって取得されるソフトウェアをインストールして更新可能なシングル格納領域を有する第１のＥＣＵ２００Ａと、取得部によって取得されるソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵ２００Ｂと、を備える。更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、音声を用いて車両１０の停車間際に通知する。【選択図】図１

Description

本発明は、ソフトウェア更新装置およびソフトウェア更新方法に関する。

近年、運転支援機能や自動運転技術の進展により、自動車用の電子制御装置（ＥＣＵ：Electronic Control Unit）に搭載されるソフトウェアの規模が増大している。その一方で、通信ネットワークの進展に伴って、自動車が無線でセンタシステム等とつながるコネクッテッドカーも普及の兆しを見せている。
このような状況のなか、従来では携帯電話やテレビ等に使われていた無線での遠隔ソフトウェア更新技術（ＯＴＡ：Over the Air）を自動車に適用し、ＥＣＵ等の車載機器のソフトウェアを遠隔で更新する自動車向け遠隔ソフトウェア更新技術へのニーズが高まっている。

特許文献１には、車両に搭載された複数の装置がそれぞれ接続された複数のネットワークに接続される車載ゲートウェイ装置であって、前記複数のネットワークのいずれかに発生したインシデントを検知するインシデント検知処理部と、前記インシデントが検知された場合に、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記複数のネットワークの中から通信遮断対象ネットワークを判断し、前記通信遮断対象ネットワークにおける通信を遮断する通信制御部と、を備える車載ゲートウェイ装置が記載されている。特許文献１に記載の装置は、車両制御に悪影響を与えることなく、不正な通信を遮断するとされている。

特開２０１８−１３３７２１号公報

特許文献１の車両用停車制御装置では、ＯＴＡアップデートがある場合、ソフトウェアの更新のユーザ許諾画面は、法規要件から走行中に２ｓｅｃしか表示できない。このため、ユーザ許諾画面は、車両停止中のみ表示していた。ＯＴＡアップデートがあるケースであっても、ドライバの通知および許諾のタイミングは車両停止時に限定されることになり、ソフトウェアの更新を実行可能な状況が限られてしまう。ユーザにとって利用しやすいＯＴＡによる車載機器のソフトウェアの更新を実現することができない。

本発明は、このような事情に鑑みてなされたものであり、ドライバの目線を外さないようにする法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うソフトウェア更新装置およびソフトウェア更新方法を提供することを課題とする。

上記課題を解決するために、本発明に係るソフトウェア更新装置は、車両に搭載されソフトウェアの更新が可能な複数の電子制御装置と、前記車両の外部から供給されるソフトウェアを取得する取得部と、前記取得部によって取得されるソフトウェアを用いて、複数の前記電子制御装置に対して前記ソフトウェアの更新を行う更新制御部と、を備えるソフトウェア更新装置であって、前記取得部によって取得される前記ソフトウェアをインストールして更新可能なシングル格納領域を有する第１の電子制御装置を備え、前記更新制御部は、前記第１の電子制御装置の前記ソフトウェアの更新に関する情報を、音声を用いて前記車両の停車間際に通知することを特徴とする。
ことを特徴とする。

本発明によれば、ドライバの目線を外さないようにする法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。

本発明の実施形態に係るソフトウェア更新装置を含むソフトウェア更新システムの構成を示す図である。 本本発明の実施形態に係るソフトウェア更新装置のＯＴＡアップデートに対応するソフトウェア更新装置を備える車内システムの構成例を示す図である。 本発明の実施形態に係るソフトウェア更新装置のＯＴＡアップデートに対応するソフトウェア更新装置を備える車内システムの構成例を示す図である。 本発明の実施形態に係るソフトウェア更新装置によるソフトウェアの更新の動作例を示すタイミングチャートである。 本発明の実施形態に係るソフトウェア更新装置によるソフトウェアの更新の動作例を示すタイミングチャートである。 本発明の実施形態に係るソフトウェア更新装置の動作を示すフローチャートである。 本発明の実施形態に係るソフトウェア更新装置の動作イメージを説明する図である。

以下、本発明の実施形態について図面を参照して詳細に説明する。
（実施形態）
図１は、本発明の実施形態に係るソフトウェア更新装置を含むソフトウェア更新システムの構成を示す図である。
［ソフトウェア更新システム］
図１に示すソフトウェア更新システム１は、車両１０に搭載された各種電子制御装置（ＥＣＵ：Electronic Control Unit）のソフトウェアの更新を管理するソフトウェア更新装置１００と、ネットワーク３０を介して、車両１０に搭載されている各種ＥＣＵのソフトウェアを更新するための更新ソフトウェアを車両１０に配信するサーバ４０と、を備える。

サーバ４０とソフトウェア更新装置１００とは、ネットワーク３０および車両１０に搭載された通信部１３（取得部）を介して互いに接続されている。この接続により、サーバ４０とソフトウェア更新装置１００の間で通信が可能となっている。ネットワーク３０としては、例えば携帯電話網、インターネット網、無線ＬＡＮ（Local Area Network）等の近距離無線通信、あるいはそれら複数の組み合わせで構成されたものなどが挙げられる。

サーバ４０は、ＣＰＵ４１（Central Processing Unit）と、ＤＢ（Data Base）４２と、通信部４３とを備える。サーバ４０は、例えばＯＴＡに対応し、車両１０のソフトウェア更新装置１００に車両１０の各種ＥＣＵのソフトウェアを更新するための更新ソフトウェアを配信するＯＴＡサーバである。
ＣＰＵ４１は、所定の動作プログラムを実行することで、サーバ４０の機能を実現する処理を行う。ＣＰＵ４１は、ＤＢ４２に格納されている、車両１０の各ＥＣＵに対するソフトウェアの更新内容を示す更新案件の管理を行う。また、車両１０からの要求に応じて、更新用ソフトウェアを車両１０に配信する。また、車両１０に搭載されたいずれかのＥＣＵについてソフトウェアの更新に失敗した場合に、当該ＥＣＵのソフトウェアを更新前の状態に戻すためのリカバリ用ソフトウェアを車両１０に配信する。

ＤＢ４２は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ、ＲＯＭ（Read Only Memory）などから構成される。ＤＢ４２には、電子制御装置２００にインストールされたソフトウェア（旧版ソフトウェア、現行ソフトウェア）を更新するための新版ソフトウェア（更新用ソフトウェア）が格納される。また、ＤＢ４２には、ＣＰＵ４１が実行するプログラムや、プログラムの実行に必要なデータ群などが格納される。

通信部４３は、ネットワーク３０で用いられる通信規格に準拠したネットワークカードなどから構成される。ネットワークカードは、有線ＬＡＮなどの有線通信や無線ＬＡＮなどの無線通信、あるいはその両方に必要な通信規格に準拠する。通信部４３は、ネットワーク３０を介して、車両１０と各種プロトコルに基づきデータを送受信する。

［ソフトウェア更新装置１００］
ソフトウェア更新装置１００が搭載される車両１０は、例えば、ディーゼルエンジンやガソリンエンジン等の内燃機関を動力源とした自動車や、電動機を動力源とした電気自動車、内燃機関および電動機を兼ね備えたハイブリッド自動車等を含む。電気自動車は、例えば、二次電池、水素燃料電池、金属燃料電池、アルコール燃料電池等の電池により放電される電力を使用して駆動される。

車両１０は、ソフトウェア更新装置１００と、ＥＣＵ２００（電子制御装置）と、イグニッションスイッチ（ＩＧＳＷ）１１と、バッテリ（ＢＡＴ）１２と、通信部１３と、ＧＰＳ（Global Positioning System）機能部１４（位置情報取得部）と、情報出力・入力装置２０と、音声認識機能部２５（位置情報取得部）と、を備える。

ソフトウェア更新装置１００は、演算部１１０と、記憶部１２０と、を備える。演算部１１０は、ソフトウェア更新装置１００の全体の制御を司る。演算部１１０は、記憶部１２０に記憶されているプログラムに基づいて各部を制御することによって、ソフトウェア（ファームウェア）の更新制御を実行する。演算部１１０は、更新制御部１１１を備える。
記憶部１２０には、不図示の揮発性メモリと、不図示の不揮発性メモリとが備えられている。サーバ４０からダウンロードされる新版ソフトウェアは、記憶部１２０に一時的に記憶される。

<ＥＣＵ２００>
車両１０は、複数のＥＣＵ２００を備える。図１では、複数のＥＣＵ２００のうち、３つのＥＣＵ２００Ｂ，２００Ｂ，２００Ｃ，…が示されている。ＥＣＵ一般について説明する際には、ＥＣＵ２００を用い、個々のＥＣＵについて説明する際には、ＥＣＵ２００Ｂ，２００Ｂ，２００Ｃ，…を用いる。

複数のＥＣＵ２００は、例えば、エンジンＥＣＵ、ＡＢＳＥＣＵ、ステアリングＥＣＵ、サスペンションＥＣＵ、エアバックＥＣＵ、自動運転ＥＣＵ、キーレスエントリＥＣＵ、エアコン制御ＥＣＵ、オーディオＥＣＵ等である。
エンジンＥＣＵは、車両１０のエンジン動作を管理する。ＡＢＳＥＣＵは、車両１０のＡＢＳ（Antilock Brake System）を管理する。ステアリングＥＣＵは、車両１０のステアリング制御を管理する。サスペンションＥＣＵは、車両１０のサスペンション制御を管理する。エアバックＥＣＵは、車両１０のエアバックの動作制御を管理する。自動運転ＥＣＵは、車両１０の自動運転の動作制御を管理する。キーレスエントリＥＣＵは、車両１０のキーレスエントリの制御を管理する。エアコン制御ＥＣＵは、車両１０のエアコンを制御する。オーディオＥＣＵは、車両１０のオーディオ機器の動作を制御する。各機器は、ＣＡＮ（Controller Area Network）などの車内ネットワークで接続される。また、図１に示す通り、上記の各ＥＣＵはその機能分担に応じてそれぞれ異なるバス型ＣＡＮネットワークに接続されている。ソフトウェア更新装置１００は、これらのバス型ネットワークのハブ機能を有している。

なお、車両１０に搭載されるソフトウェア更新が可能なＥＣＵ２００は、上記に限定されない。例えば、ブレーキ制御用のＥＣＵや電子ミラー制御用のＥＣＵなど、車両１０の制御や安全を支援する機能を持つＥＣＵが、車両１０に搭載されていてもよい。各ＥＣＵには、自身を動作させるためのソフトウェアがそれぞれ内蔵されている。このソフトウェアは、各ＥＣＵが持つ記憶装置にそれぞれ格納されている。

車載器のソフトウェアを更新する際には、更新の失敗に備えて、現行ソフトウェアを削除せずにそのまま保持しておく必要がある。特に、無線通信を利用して新しいソフトウェアをダウンロードするような場合には、ダウンロードに失敗したり、データエラーの発生により新しいソフトウェアのインストールに失敗する可能性も高くなる。このような事態が発生すると、現行ソフトウェアが既に削除されているため、車載器が全く動作しなくなる可能性がある。その結果、特別な修復作業が必要になる場合がある。
また、車載器の機能がますます複雑化しているため、該車載器に用いられるソフトウェアを保持するために必要なメモリ容量も増大する傾向にあり、車載器のコスト増に繋がる。

そこで、車両１０に搭載されソフトウェアの更新が可能な複数のＥＣＵ２００のうち、ダブルバンク格納領域が備えられておらず、取得部によって取得されるソフトウェアをインストールして更新可能なシングル格納領域を有する第１のＥＣＵ（第１の電子制御装置）と、取得部によって取得されるソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵ（第２の電子制御装置）と、を備える構成を採る。ダブルバンク格納領域を有する第２のＥＣＵを用いることで、新旧の両方のソフトウェアを保持することができ、ソフトウェアを更新の失敗による車載器の使用不能を防止することができる。シングル格納領域を有する第１のＥＣＵを用いることで、記憶装置のコストの増大を抑制することができる。

以下、ダブルバンク格納領域が備えられておらず、取得部によって取得されるソフトウェアをインストールして更新可能なシングル格納領域を有する第１のＥＣＵをＥＣＵ２００Ａとし、ソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵをＥＣＵ２００Ｂとして説明する。
第１のＣＵがＥＣＵ２００Ａであること、第２のＥＣＵがＥＣＵ２００Ｂであることは、説明の便宜上であり、どのようなＥＣＵであってもよい。また、第１のＥＣＵおよびＥＣＵは、それぞれ複数であってもよい。例えば、ＥＣＵ２００Ｂ（第２のＥＣＵ）は、車載インフォテイメント（ＩＶＩ：In-Vehicle Infotainment）用のＥＣＵ、メータ表示部用のＥＣＵ等であってもよく、ＥＣＵ２００Ａ（第１のＥＣＵ）は、オーディオＥＣＵ等であってもよい。
なお、シングル格納領域のみを有する第１のＥＣＵ２００Ａを１面ＲＯＭ ＥＣＵと呼称し、ダブルバンク格納領域を有する第２のＥＣＵを２面ＲＯＭ ＥＣＵと呼称する場合がある。

上述したように、ダブルバンク格納領域を有する第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）に備えられている不図示の不揮発性メモリの記憶容量は、比較的大きく、不揮発性のメモリチップが複数備えられている。不揮発性のメモリチップが２つ備えられている場合、第１のメモリチップは、例えば、不図示の基板の一方の面に搭載され、第２のメモリチップは、例えば、基板の他方の面に搭載されている。第１のメモリチップは、第１のバンク（第１のメモリバンク、第１の格納箇所）を構成している。第２のメモリチップは、第２のバンク（第２のメモリバンク、第２の格納箇所）を構成している。このような構成は、ダブルバンクと称される。

第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）に備えられている不図示の不揮発性メモリの容量は、比較的小さい。第１のＥＣＵ２００Ａには、不揮発性のメモリチップが例えば１つだけ備えられている。１つのメモリチップによって、バンクが構成されている。このような構成は、シングルバンクと称される。第１のＥＣＵ２００Ａにおいては、メモリチップに旧版ソフトウェアがインストールされている状態において、当該メモリチップに第２の新版ソフトウェアをインストールできない。

第１のＥＣＵ２００Ａには、新版ソフトウェアがバックグラウンドでインストールされる格納可能領域が備えられていない。このため、第１のＥＣＵ２００Ａに対しては、車両１０の走行中には新版ソフトウェアのインストールが行われない。したがって、更新制御部１１１は、第１のＥＣＵ２００Ａに対する新版ソフトウェアのインストールを、車両１０が停止している際に実行する。換言すれば、更新制御部１１１は、第１のＥＣＵ２００Ａに対する新版ソフトウェアのインストールを、車両１０の主電源がオフになっている際、すなわち、イグニッションスイッチ１１がオフになっている際に実行する。イグニッションスイッチ１１がオフになっていても、ソフトウェア更新装置１００、通信部１３、ＥＣＵ２００等に対する電力の供給は、バッテリ１２等から適宜行われる。

一方、第２のＥＣＵ２００Ｂにおいては、例えば、第１のバンクに旧版ソフトウェアがインストールされている状態において、第２のバンクに新版ソフトウェアをインストールすることが可能である。すなわち、第２のバンクは、新版ソフトウェアをインストールする際のバッファとして機能する。換言すれば、第２のバンクは、新版ソフトウェアがバックグラウンドでインストールされる格納可能領域（インストール可能領域）として機能する。

上述したように、第２のＥＣＵ２００Ｂには、新版ソフトウェアがバックグラウンドでインストールされる格納可能領域が備えられている。このため、第２のＥＣＵ２００Ｂに対しては、車両１０の走行中であっても新版ソフトウェアのダウンロードとインストールが行われる。

<更新制御部１１１>
ソフトウェア更新装置１００の演算部１１０は、更新制御部１１１を備え、更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせ（ソフトウェアの更新に関する情報）を、音声を用いて車両１０の停車間際に通知する。
（１）第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）における停車間際の音声通知
上記停車間際における「停車」とは、自宅や勤務先駐車場のように、車両１０が比較的長時間停車することが分かっている場所（「特定場所」）における停車をいう。この特定場所は、自宅や勤務先駐車場のほか、ショッピングモールにおける駐車場など、ユーザが長時間停車することが経験上分かっている場所をいう。特定場所は、ナビケーションの設定で、自宅や勤務先駐車場、ショッピングモールにおける駐車場を押した場合、特定場所として取得する。また、駐車場所とその駐車時間とをテーブル化して保存しておき、長時間停車が常態化している場所を特定場所としてもよい。
このような特定場所における停車では、第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）における、ＥＣＵのソフトウェアの更新が比較的長時間を要したとしても、停車中に、ソフトウェアの更新が完了することが想定されるからである。

また、上記停車間際における「間際」とは、ＧＰＳ機能部１４（位置情報取得部）によって取得される位置情報をもとに、車両１０が特定場所に近づく場合をいう。また、位置情報取得部に代えて、あるいは併用して、ナビケーションの情報から特定場所に近づくことを判定してもよい。

このように、これから車両１０が停車する蓋然性が高い特定場所に近づくとき、停車間際の短時間を有効利用して、音声によりソフトウェアの更新のお知らせを通知する。
第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）を対象とするソフトウェアの更新の場合、比較的長時間の更新が必要とされる。車両１０が停車してから、ＥＣＵのソフトウェアの更新をドライバに伝えるより、次のスケジュールが分かった時点で、停車間際の時間を利用して、あらかじめ音声によりソフトウェアの更新のお知らせを通知することで、ドライバに親切なソフトウェアの更新を実現する。

本実施形態では、更新制御部１１１は、位置情報取得部によって取得される位置情報をもとに、所定時間停車する特定場所に近づいた場合、停車間際であることを推測して、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを通知する。
車両１０が停車間際で、音声により知らせるメッセージは、例えば「停車後にＥＣＵのソフトウェアの更新をしますか？ソフトウェアの更新には、通信料が発生し、約〇〇分かかます。」である。

（２）第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）における車両停止中の音声通知
更新制御部１１１は、第２のＥＣＵ２００Ｂのソフトウェアの更新の際、車両１０の停止中に音声または画像を用いて、第２のＥＣＵ２００Ｂのソフトウェアの更新のお知らせ（ソフトウェアの更新に関する情報）を通知する。車両１０の停止は、信号待ちのように、一時停止して、すぐに発進する短時間の停止である。
ここで、車両１０の停止と車両１０の停車とを区別する。すなわち、車両１０の停止は、信号待ちのように、一時停止して、すぐに発進する短時間の停止である。これに対し、車両１０の停車は、自宅や駐車場などに停車して、しばらくは走行しないような比較的長時間の停車である。

また、信号待ちの一時停止中は、法規要件が緩和され画面表示によるメッセージが許可される。
車両１０が信号待ち等で停止中に通知するソフトウェアの更新のお知らせは、「新しいソフトウェアがあります。ダウンロードしてよいですか？ソフトウェアの更新には、通信料が発生ます。」と確認するダウンロードの可否の依頼である。ＯＴＡによるダウンロードには、通信料がかかる場合がある。このため、ドライバに、ソフトウェアのダウンロードの承認を求める必要がある。この場合の「ソフトウェアの更新のお知らせ」は、ダウンロードの可否を求めるだけであるので、短時間で済み車両１０の動作に影響を与えない。さらに、車両１０が信号待ち等で停止中は、一定時間については、例えばＨＭＩにより画面を見てもよい。そこで、ソフトウェアの更新のお知らせを、画面に表示する。なお、音声と画面を併用してもよい。

（３）第１のＥＣＵ２００Ａのソフトウェアの更新と第２のＥＣＵ２００Ｂのソフトウェアの更新との関係
更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新と第２のＥＣＵ２００Ｂのソフトウェアの更新とを停車後に両方とも行う場合、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、車両１０の停車間際に、通知する。
すなわち、第２のＥＣＵ２００Ｂのソフトウェアの更新のお知らせは、ダウンロードの許可を求めるものであるのに対し、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせは、停車後所定時間は、該当車載用機器の動作ができなくなることを伝える重要な更新のお知らせである。このため、第２のＥＣＵ２００Ｂのソフトウェアの更新を行ったとしても、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせ（ソフトウェアの更新に関する情報）を通知する。

（４）ドライバからの許諾の受付け
更新制御部１１１は、第２のＥＣＵ２００Ｂまたは第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを通知した場合における、ドライバからの許諾を、当該ドライバの音声またはステアリングのスイッチ操作で受け付ける。

（５）ソフトウェアの更新の詳細
更新制御部１１１は、第２のＥＣＵ２００Ｂのダブルバンク格納領域への新版ソフトウェアのインストール処理を、バックグラウンドで行うとともに、イグニッションスイッチのオフを契機として、バックグラウンドでインストールした新版ソフトウェアと、第２のＥＣＵ２００Ｂのダブルバンク格納領域にインストールされている旧版ソフトウェアとをアクティベーション処理により切り替えて実行可能にする。
ここで、アクティベーションとは、ＥＣＵ等の初回起動時または初期化後に、当該ＥＣＵ等に備えられた機能を実行可能とすることをいう。

第２のＥＣＵ２００Ｂは、ダブルバンク格納領域への新版ソフトウェアのインストール処理後に、その実行状態を保存して停止させ、次に使用するとき停止直前の状態に復帰するレジューム機能を有する。更新制御部１１１は、イグニッションスイッチのオンを契機として、アクティベーション処理により切り替えた新版ソフトウェアを実行する。

図１に戻って、通信部１３は、ネットワーク３０を介して、サーバ４０に備えられた通信部４３との間で無線通信を行う。ネットワーク３０としては、例えば、インターネット等が挙げられるがこれに限定されるものではない。通信部１３は、セルラー方式で通信を行う通信部であってもよいし、無線ＬＡＮ通信を行う通信部であってもよい。通信部１３は、ネットワーク３０を介してサーバ４０から供給される新版ソフトウェアを受信する。

ＧＰＳ機能部１４は、位置情報の電波をＧＰＳ衛星（図示省略）から受信するＧＰＳアンテナ１４ａを備え、ＧＰＳアンテナ１４ａを介して受信した情報より、現在位置情報を、緯度／経度の２つのパラメータとして算出するＧＰＳ機能により位置情報を取得する。

なお、ＧＰＳ１４に代えて、あるいは併用して、基地局およびセルラー通信網（図示省略）を介してセルラーサーバと情報の送受信を行い、接近確認から自車両の現在位置情報を取得することも可能である。

情報出力・入力装置２０は、表示部２１、タッチパネル２２およびスピーカ２３を備えている。情報出力・入力装置２０の本体は、運転席の近傍に配置され、運転者がタッチパネル２２等を操作できるようにしている。情報出力・入力装置２０は、各種の情報を表示部２１に表示し、各種音声をスピーカ２３から出力し、各種の操作をタッチパネル２２で受け付けることができる。

情報出力・入力装置２０は、衛星測位システム等に基づいて作成されるカーナビゲーション情報をタッチパネル２２に表示し、また、スピーカ２３から出音することができる。この情報には、道路交通情報通信システム（ＶＩＣＳ：Vehicle Information and Communication System）から受信した情報を含めることができる。

情報出力・入力装置２０は、ＴＶ放送やラジオ放送を受信して、画像を表示部２１に表示し、また、音声をスピーカ２３から出力することができる。さらに、情報出力・入力装置２０は、光ディスク装置（図示せず）を備え、ＣＤ（Compact Disc）、ＤＶＤ（Digital Video (Versatile) Disk）、ＢＤ（Blu-ray Disc）等を再生することができる。また、情報出力・入力装置２０は、ＨＤＤ（Hard Disk Drive）（図示せず）を備え、その記憶している音楽等の音声の再生を行うこともできる。また、タッチパネル２２で車両１００やその搭載機器の各種操作を受け付けることができる。

音声認識機能部２５は、車室内のユーザの音声を認識する。音声認識機能部２５は、例えば、ＡＩ（Artificial Intelligence：人工知能）音声認識装置であり、音声プロフィール（あらかじめ作成したユーザの音声識別情報）を使用してユーザの声を認識し、交通情報、リアルタイム情報などの対応機能を提供する。

［ソフトウェア更新装置１００を備える車内システム］
ソフトウェア更新装置１００を備える車内システムについて説明する。
図２および図３は、ＯＴＡアップデートに対応するソフトウェア更新装置を備える車内システムの構成例を示す図である。

図２に示すように、車両１０Ａは、車載通信モジュール（ＴＣＵ：Telematics Control Unit）１３０（取得部）と、ＯＴＡマネージャ（ＯＴＡ−ＭＧ）を構成するＣＧＷ（Central Gate Way）１４０と、車載情報通信システム（ＩＶＩ：In-Vehicle Infotainment）１５０と、複数のＥＣＵ２００Ｂ，２００Ｂ，２００Ｃ，…と、運転者に表示または音声によるＨＭＩ（Human Machine Interface）を提供するＬＣＤ（Liquid Crystal Display）表示部１６０と、を備える。

ＴＣＵ１３０は、図１の通信部１３に対応しており、ＯＴＡサーバ４０（以下、図１のサーバ４０をＯＴＡサーバ４０という）との間でネットワーク（図示省略）を介して、４Ｇ／５Ｇの無線通信を行うとともに、スマートフォン等の携帯情報端末４５によるソフトウェアの遠隔アップデートのための近距離無線通信を行う。ＴＣＵ１３０は、ＯＴＡを用いて、ＯＴＡサーバ４０と通信する。ＴＣＵ１３０は、ＣＧＷ１４０に接続されており、ＯＴＡサーバから配信された各種ＥＣＵ２００の更新ソフトウェアをＣＧＷ１４０に配信する。具体的には、ＴＣＵ１３０は、制御系ＯＴＡファイル５１をＣＧＷ１４０に送信するとともに、情報系ＯＴＡファイル５２をＣＧＷ１４０を介してＩＶＩ１５０に送信する。
なお、ＴＣＵ１３０とネットワーク（図示省略）間通信は、所定の暗号通信を用いる。

ＣＧＷ１４０およびＩＶＩ１５０は、ソフトウェア更新装置１００Ａ（図１のソフトウェア更新装置１００に対応）する。
ＣＧＷ１４０は、インストール制御を行う（後記）。
ＣＧＷ１４０は、制御系ＯＴＡファイル５１および情報系ＯＴＡファイル５２をもとに、ＥＣＵ２００の書き換え制御を行う（後記）。
ＣＧＷ１４０は、アクティベーション制御を行う（後記）。
ＣＧＷ１４０は、情報系ＯＴＡファイル５２を、ＩＶＩ１５０に転送する（後記）。
なお、ＣＧＷ１４０は、図示しないＤＬＣ（Down Lordable Contents）と有線接続され、例えば診断機通信規約やリプロ（reprogramming）規約に従って、該当コンテンツをダウンロードし、診断機による有線リプロ（ＥＣＵのプログラムの変更・追加）を実行可能である。

ＬＣＤ表示部１６０は、ＨＭＩにより提供される情報出力・入力装置２０（図１参照）に対応する。すなわち、図２に示すＬＣＤ表示部１６０は、タッチパネル２２（図１参照）およびスピーカ２３（図１参照）を備え、各種の情報を表示部２１（図１参照）に表示し、各種音声をスピーカ２３から出力し、各種の操作をタッチパネル２２で受け付けることができる。

ＩＶＩ１５０は、ＣＧＷ１４０から転送された情報系ＯＴＡファイル５２をもとに、ＩＶＩ１５０の書き換え制御を行う（後記）。
ＩＶＩ１５０は、情報出力・入力装置２０（図１参照）によるボタン・スイッチ・マイクなどを用いた、人によるインプット機能に加え、車載カメラや各センサで収集したデータを分析し、自動出力機能（例えば、座席を自動調整、ハンドルや車速のセルフチェック等）を実現する。ＩＶＩ１５０は、ＵＳＢ（Universal Serial Bus）メモリ４６、Bluetooth（登録商標）やアクセスポイント（Wireless LAN access point）４７からｗｉ-ｆｉで入手したユーザの閲覧履歴データをもとに、ビデオオンデマンドなどを提供する。また、ＩＶＩ１５０を備えるカーナビでは、より具体的な案内を実現する。

図３に示すように、車両１０Ｂは、ＴＣＵ１３０と、ＣＧＷ１４０と、複数のＥＣＵ２００Ｂ，２００Ｂ，２００Ｃ，…と、を備える。車両１０Ｂは、図２に示す車両１０ＡからＩＶＩ１５０およびＬＣＤ表示部１６０を取り除いた構成である。
ＣＧＷ１４０は、ソフトウェア更新装置１００Ｂ（図１のソフトウェア更新装置１００に対応）する。具体的には、ＣＧＷ１４０は、インストール制御を行うとともに、制御系ＯＴＡファイル５１および情報系ＯＴＡファイル５２をもとに、ＥＣＵ２００の書き換え制御を行う。さらに、ＣＧＷ１４０は、アクティベーション制御を行う。

また、車両設備（図２および図３の構成例）は、スマートフォン４５を用いたリモートアップデートが可能である。

以下、上述のように構成されたソフトウェア更新装置１００の動作について説明する。
図４および図５は、ソフトウェア更新装置１００によるソフトウェアの更新の動作例を示すタイミングチャートである。
<第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）の動作>
図４は、ターゲットＥＣＵが、シングル格納領域のみを有する第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）である場合の、（ａ）車両電源状態（ＩＧ ＯＦＦ／ＩＧ ＯＮ）、（ｂ）ＣＡＮバス状態、（ｃ）ＯＴＡ ＭＧ（図１のソフトウェア更新装置１００、図２および図３のＯＴＡマネージャ１４０）、および（ｄ）ターゲットＥＣＵ（図１の第１のＥＣＵ２００Ａ）の動作タイミングを示す。

図４（ａ）に示すイグニッションスイッチ１１がオフ（ＩＧ ＯＦＦ）、すなわち車両１０が停車中のタイミングｔ１において、車両１０は図４（ｂ）に示すＣＡＮバス状態を「ＣＡＮ通常制御中」から「ＣＡＮの送受信停止」に切り替える。「ＣＡＮの送受信停止」は、次にイグニッションスイッチオン（ＩＧ ＯＮ）になるタイミングｔ６まで継続される。また、「再ＩＧ ＯＮ禁止制御」が、図４（ｃ）に示すＯＴＡ ＭＧおよび図４（ｄ）に示す「アクティベーション処理」の完了まで、継続される。ＣＡＮの送受信停止により、ＯＴＡアップデート中は関連しないユニットは起動させないようにすることができる。

図４（ａ）の符号ａに示すように、ＩＧ ＯＦＦのタイミングｔ１で、下記のＯＴＡ専用インストール実行条件１を満たした場合、ソフトウェアのインストール処理を開始する。ＯＴＡ専用インストール実行条件１は、例えば車速０、Ｐ（パーキング）ポジション判定、ＩＧ ＯＦＦ判定、フードＳＷ閉じ判定の各条件を満たすことである。ＯＴＡ専用インストール実行条件を判定することで、車両側の安全判断をサポートすることができる。

図４（ｃ）に示すＯＴＡ ＭＧのタイミングｔ２（ハンチング防止のためタイミングｔ１より所定時間経過のタイミング）において、図４（ａ）の符号ｂに示すように、ＯＴＡ ＭＧ（図１のソフトウェア更新装置１００、図２および図３のＯＴＡマネージャ１４０）は、「ＯＴＡ専用セッション１」に準拠して、新版ソフトウェアのインストール処理を開始する。

図４（ｃ）に示すＯＴＡ ＭＧのタイミングｔ３において、新版ソフトウェアのインストール処理が完了し、アクティベーション処理が開始される。
図４（ｃ）の符号ｃに示すように、ＯＴＡ ＭＧは、新版ソフトウェアのアクティベーション処理中に、ハードウェアリセット要求を発行する。このハードウェアリセット要求によるリブートで、ターゲットＥＣＵは、図４（ｄ）のターゲットＥＣＵのタイミングｔ４において、インストールされた新版ソフトウェアの認識（確認）動作を行う。

図４（ｃ）に示すＯＴＡ ＭＧのタイミングｔ５において、ＯＴＡ ＭＧは、新版ソフトウェアのアクティベーション処理が正常に完了すると、ターゲットＥＣＵ（図１の第１のＥＣＵ２００Ａ）に対してシャットダウンの処理を行う。

図４（ａ）に示すＩＧ ＯＮのタイミングｔ６において、車両１０は、図４（ｂ）に示すＣＡＮバス状態を「ＣＡＮの送受信停止」から「ＣＡＮ通常制御中」に切り替える。また、図４（ｃ）に示すように、ＯＴＡ ＭＧは、次回のソフトウェアを更新可能な状態に復帰する。
図４（ｄ）のターゲットＥＣＵのタイミングｔ６以降においては、ターゲットＥＣＵ（図１の第１のＥＣＵ２００Ａ）は、新版ソフトウェアに基づいて動作する。

<第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）の動作>
図５は、ターゲットＥＣＵが、ソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）である場合の、（ａ）車両電源状態（ＩＧ ＯＦＦ／ＩＧ ＯＮ）、（ｂ）ＣＡＮバス状態、（ｃ）ＯＴＡ ＭＧ（図１のソフトウェア更新装置１００、図２および図３のＯＴＡマネージャ１４０）、および（ｄ）ターゲットＥＣＵ（図１の第２のＥＣＵ２００Ｂ）の動作タイミングを示す。

イグニッションスイッチ１１がオン（ＩＧ ＯＮ）、すなわち車両１０が走行中（Engine run）に、図５（ａ）の符号ｄに示すタイミングｔ１で、ＴＣＵ１３０（図２参照）が車両１０の外部から供給されるソフトウェアを取得する。具体的には、ＴＣＵ１３０が、車両１０の外部から供給されるＯＴＡサーバ４０からのＥＣＵのソフトウェアのアップデートを受信する。なお、車両１０が走行中、すなわちＩＧ ＯＮであるので、図５（ｂ）に示すＣＡＮバス状態は「ＣＡＮ通常制御中」のままである。したがって、車載器のすべの機能は通常動作している。

ターゲットＥＣＵ（図１の第２のＥＣＵ２００Ｂ）が行うＥＣＵのソフトウェアの更新、すなわち車両１０が走行中に行うＥＣＵのソフトウェアのアップデートは、ＯＴＡ専用インストール実行条件２を満たした場合であり、上述した車両１０が停車中におけるＯＴＡ専用インストール実行条件１とは異なる。ＯＴＡ ＭＧは、下記ＯＴＡ専用インストール実行条件２を満たした場合、インストールを実行する。すなわち、ＩＧ ＯＮ判定、バッテリのＳＯＣ確保、コンタクタＯＮで、バッテリ上がりが発生しないことが条件である。

図５（ｃ）の符号ｅに示すように、ＯＴＡ ＭＧは、ＴＣＵ１３０からのＥＣＵのソフトウェアのアップデート受信をトリガとして、インストール処理を開始する。
図５（ｃ）ＯＴＡ ＭＧのタイミングｔ２において、ＯＴＡ ＭＧは、インストール処理が完了すると、ターゲットＥＣＵ（図１の第２のＥＣＵ２００Ｂ）に実装されたレジューム機能で待機させる（図５（ｃ）のタイミングｔ３）。インストール処理後のレジューム機能は、インストール処理の途中での、ユーザによるＩＧ ＯＦＦ動作を想定したものである。これにより、ＩＧ ＯＮ後に、途中の処理から再開できる。

図５（ａ）に示すイグニッションスイッチ１１がオフ（ＩＧ ＯＦＦ）、すなわち車両１０が停止中のタイミングｔ４において、車両１０は図５（ｂ）に示すＣＡＮバス状態を「ＣＡＮ通常制御中」から「ＣＡＮの送受信停止」に切り替える。「ＣＡＮの送受信停止」は、次にイグニッションスイッチオン（ＩＧ ＯＮ）になるタイミングｔ８まで継続される。また、「再ＩＧ ＯＮ禁止制御」が、図５（ｃ）に示すＯＴＡ ＭＧおよび図５（ｄ）に示す「アクティベーション処理」の完了まで、継続される。ＣＡＮの送受信停止により、ＯＴＡアップデート中は関連しないユニットは起動させないようにすることができる。

図５（ａ）の符号ｆに示すように、ＩＧ ＯＦＦのタイミングｔ４で、前記ＯＴＡ専用インストール実行条件１を満たした場合、インストールを実行する。ＯＴＡ専用インストール実行条件１は、上述した第２のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）がＩＧ ＯＦＦのタイミングｔ１で行う前記ＯＴＡ専用インストール実行条件１と同じである。

図５（ｃ）に示すＯＴＡ ＭＧのタイミングｔ５において、図５（ｃ）の符号ｇに示すように、ＯＴＡ ＭＧ（図１のソフトウェア更新装置１００、図２および図３のＯＴＡマネージャ１４０）は、「ＯＴＡ専用セッション２」に準拠して、新版ソフトウェアのアクティベーション処理を開始する。また、図５（ｃ）の符号ｈに示すように、ＯＴＡ ＭＧは、情報出力・入力装置２０（図１参照），ＬＣＤ表示部１６０（図２参照）に対しＲＯＭ面切り替え指示を行う。

図５（ｃ）に示すＯＴＡ ＭＧのタイミングｔ５において、新版ソフトウェアのアクティベーション処理を開始する。すなわち、第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）は、車両１０の走行中に、ＥＣＵのソフトウェアのダウンロードとインストールが既に完了し、かつ、レジューム機能により実行可能に保持されている。このため、ＩＧ ＯＦＦのタイミングｔ４をトリガとし、「ＯＴＡ専用セッション２」を満たす場合には、新版ソフトウェアのアクティベーション処理のみが実行されることになる。車両１０が停止中は、アクティベーション処理のみを実行されることで、ＥＣＵのソフトウェアの更新を迅速に完了させることができる。

図５（ｃ）の符号ｉに示すように、ＯＴＡ ＭＧは、新版ソフトウェアのアクティベーション処理中に、ハードウェアリセット要求を発行する。このハードウェアリセット要求によるリブートで、ターゲットＥＣＵは、図５（ｄ）のターゲットＥＣＵのタイミングｔ６において、インストールされた新版ソフトウェアの切り替え動作を行う。

図５（ｃ）に示すＯＴＡ ＭＧのタイミングｔ７において、ＯＴＡ ＭＧは、新版ソフトウェアのアクティベーション処理が正常に完了すると、ターゲットＥＣＵ（図１の第１のＥＣＵ２００Ａ）に対してシャットダウンの処理を行う。

図５（ａ）に示すＩＧ ＯＮのタイミングｔ８において、車両１０は、図５（ｂ）に示すＣＡＮバス状態を「ＣＡＮの送受信停止」から「ＣＡＮ通常制御中」に切り替える。また、図５（ｃ）に示すように、ＯＴＡ ＭＧは、次回のソフトウェアを更新可能な状態に復帰する。
図５（ｄ）のターゲットＥＣＵのタイミングｔ６以降においては、ターゲットＥＣＵ（図１の第１のＥＣＵ２００Ａ）は、新版ソフトウェアに基づいて動作する。

<ソフトウェア更新装置１００の動作>
図６は、ソフトウェア更新装置１００の動作を示すフローチャートである。本フローは、ソフトウェア更新装置１００の演算部１１０により所定タイミングで繰り返し実行される。
ステップＳ１で車両１０の通信部１３（図１参照）（図２および図３のＴＣＵ１３０）は、車両１０の外部から供給されるＯＴＡサーバ４０からのＥＣＵの更新ソフトウェアを取得したか否かを判別する。ＯＴＡによるＥＣＵの更新ソフトウェアを取得しない場合（Ｓ１：Ｎｏ）、本フローを終了する。

ＯＴＡによるＥＣＵの更新ソフトウェアを取得しない場合（Ｓ１：Ｙｅｓ）、ステップＳ２で演算部１１０の更新制御部１１１は、取得したＥＣＵの更新ソフトウェアが、シングル格納領域のみを有する第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）を対象とするかバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）を対象とするかを判別する。

更新ソフトウェアが第１のＥＣＵ２００Ａの場合、ステップＳ３で更新制御部１１１は、車両１０が停車間際か否かを判定する。
車両１０が停車間際の場合（Ｓ３：Ｙｅｓ）、ステップＳ４で更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、音声を用いて通知する。車両１０が停車間際で、音声により知らせるメッセージは、例えば「停車後にＥＣＵのソフトウェアの更新をしますか？ソフトウェアの更新には、通信料が発生し、約〇〇分かかます。」である。

ステップＳ５で更新制御部１１１は、ドライバがソフトウェアの更新を許諾したか否かを判別する。更新制御部１１１は、許諾を、当該ドライバの音声またはステアリングのスイッチ操作で受け付ける。
ドライバがソフトウェアの更新を許諾した場合（Ｓ５：Ｙｅｓ）、ステップＳ６で更新制御部１１１は、イグニッションスイッチ１１がオフ（ＩＧ ＯＦＦ）か否かを判別する。ＩＧ ＯＦＦの場合（Ｓ６：Ｙｅｓ）、ステップＳ７で更新制御部１１１は、第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）における、ソフトウェア更新を実行して本フローを終了する。その後、第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）は、新版ソフトウェアに基づいて動作する。第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）における、ソフトウェア更新については、図４のタイミングチャートにより述べた。
上記ステップＳ５でドライバがソフトウェアの更新を許諾しない場合（Ｓ５：Ｎｏ）、または上記ステップＳ６でＩＧ ＯＮの場合（Ｓ６：Ｎｏ）は、そのまま本フローを終了する。

一方、上記ステップＳ２で更新ソフトウェアが第２のＥＣＵ２００Ｂの場合、ステップＳ８で更新制御部１１１は、車両１０が信号待ち等で停止中か否かを判定する。車両１０の停止中は、例えば車輪速センサ（図示省略）の出力値が０であることで判定する。

上述したように、車両１０の停止と車両１０の停車とを区別する。すなわち、ダブルバンク格納領域を有する第２のＥＣＵ２００Ｂのソフトウェアを更新する場合、図５のタイミングチャートを参照して述べたように、車両１０の走行中に、ＥＣＵのソフトウェアをダブルバンク格納領域にバックグラウンドでダウンロードしてインストールできる。このため、車両１０の走行中に、ダウンロードおよびインストールが既に完了している。したがって、車両１０が信号待ち等で停止中のように短時間の停止であっても、アクティベーション処理のみが実行される（後記ステップＳ１６参照）ことで、ＥＣＵのソフトウェアの更新を迅速に完了させることができる。

上記ステップＳ８で車両１０が停止中の場合（Ｓ８：Ｙｅｓ）、ステップＳ９で更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、音声または画面を用いて通知する。車両１０が信号待ち等で停止中に通知するソフトウェアの更新のお知らせは、ドライバに「新版ソフトウェアをダウンロードしますがよろしいですか？」と確認するダウンロードの可否の依頼である。ＯＴＡによるダウンロードには、通信料がかかる場合がある。このため、ドライバに、ソフトウェアのダウンロードの承認を求める必要がある。この場合の「ソフトウェアの更新のお知らせ」は、ダウンロードの可否を求めるだけである（この時点で、ソフトウェアのダウンロードは行わない）ので、短時間で済み車両１０の動作に影響を与えない。さらに、車両１０が信号待ち等で停止中は、一定時間については、例えばＨＭＩにより画面を見てもよい。そこで、ソフトウェアの更新のお知らせを、画面に表示する。なお、音声と画面を併用してもよい。

ステップＳ１０で更新制御部１１１は、ドライバがソフトウェアの更新を許諾したか否かを判定する。更新制御部１１１は、許諾を、当該ドライバの音声またはステアリングのスイッチ操作で受け付ける。
ソフトウェアの更新を許諾した場合（Ｓ１０：Ｙｅｓ）は、ステップＳ１１に進み、ソフトウェアの更新を許諾しない場合（Ｓ１０：Ｎｏ）は、ステップＳ１１をジャンプしてステップＳ１２に進む。

ステップＳ１１で更新制御部１１１は、バックグラウンドでソフトウェアのダウンロードとインストールを行う（図５（ｃ）（ｄ）参照）。
ステップＳ１２で更新制御部１１１は、シングル格納領域のみを有する第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）のソフトウェアの更新も同時に行うか否かを判別する。
第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）のソフトウェアの更新も同時に行う場合（Ｓ１２：Ｙｅｓ）、上記ステップＳ３に移行する。すなわち、第１のＥＣＵ２００Ａのソフトウェアの更新と第２のＥＣＵ２００Ｂのソフトウェアの更新とを同時に行う場合、ステップＳ３に移行することで、ステップＳ３において第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、車両１０の停車間際に、再度通知することができる。

第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）のソフトウェアの更新を同時に行わない場合（Ｓ１２：Ｎｏ）、ステップＳ１３で更新制御部１１１は、イグニッションスイッチ１１がオフ（ＩＧ ＯＦＦ）か否かを判別する。ＩＧ ＯＦＦの場合（Ｓ１３：Ｙｅｓ）、ステップＳ１４で更新制御部１１１は、第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）における、アクティベーション処理を行う（図５（ｃ）（ｄ）参照）。上述したように、第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）は、ダブルバンク格納領域を有するので、車両１０の走行中に、バックグラウンドでダウンロードとインストールが既に完了している。かつ、レジューム機能により実行可能に保持されている。このため、ＩＧ ＯＦＦのタイミングｔ４をトリガとし、「ＯＴＡ専用セッション２」（図５参照）を満たす場合には、新版ソフトウェアのアクティベーション処理のみが実行される。ＩＧ ＯＦＦでない場合（Ｓ１４：Ｎｏ）、ステップＳ１６をスキップ（アクティベーション処理を行わないて）してステップＳ１５に進む。
ステップＳ１５で更新制御部１１１は、イグニッションスイッチ１１がオン（ＩＧ ＯＮ）か否かを判別する。ＩＧ ＯＮの場合（Ｓ１７：Ｙｅｓ）は、ステップＳ１６で更新制御部１１１は、新版ソフトウェアを実行して本フローを終了する。ＩＧ ＯＮでない場合（Ｓ１７：Ｎｏ）は、ＩＧ ＯＮになるまで待機する。

なお、ソフトウェア更新装置１００の内部処理では、ソフトウェアのダウンロード、インストールおよびアクティベーション処理と、ソフトウェアのダウンロードおよびインストールと、アクティベーション処理と、が分かれているが、ユーザからみると、ＥＣＵのソフトウェアの更新時間の長短が認識されるだけである。

本実施形態では、第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）と第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）との機能の差異に着目して、車両１０の走行中と、信号待ち等での停止と、停車間際と、停車とで最適なソフトウェアの更新のお知らせを行っている。この場合、音声を用いることで、ドライバの目線を外さないようにする法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。

<ソフトウェア更新装置１００の動作イメージ>
図７は、ソフトウェア更新装置１００の動作イメージを説明する図である。
＜Step1＞
車両１０は、ＯＴＡサーバ４０と定期的に通信する。乗車中に、車両１０はＯＴＡサーバ４０からのＯＴＡ更新を受信する。
＜Step2＞
車両１０は、ＯＴＡデータを確認し、ＥＣＵのソフトウェアをダウンロードする。
図７の符号ｊに示すように、＜Step2＞から＜Step4＞の間で、停止中・走行中に関わらず、任意のタイミングでドライバと音声によるコミュニケーションをとることができる。

＜Step3＞
図７の符号ｋに示すように、ＩＧ ＯＮかつ停車中に、ソフトウェアの更新の可否を表示する。また、車両１０に搭載された音声認識機能(Alexa , HPA等)を用いる。
Alexaは、音声プロフィールを使用してユーザの声を認識し、対応機能をカスタマイズできる。
ドライバは、インストールを許諾する。
＜Step4＞
プレパレーションを表示する。ターゲットＥＣＵが２面ＲＯＭ ＥＣＵの場合、走行中のインストールが可能である。ターゲットＥＣＵが１面ＲＯＭ ＥＣＵの場合、インストールは停車時であり、２面ＲＯＭ ＥＣＵより待機時間が大きい。

＜Step5＞
カウントダウンを表示する。ドライバに、ソフトウェアの更新状況（ソフトウェアの更新中、更新の進捗状況、更新終了まで目安、その他の注意事項等）を表示する。
＜Step6＞
アップデートを実行し、ソフトウェアの更新を完了する。
なお、図７の符号ｌに示すように、上記＜Step5＞と＜Step6＞は、ＩＧ ＯＦＦかつ停車中である。
＜Step7＞
再ＩＧ ＯＮ（次の乗車時）にソフトウェアの更新結果を確認する。

帰宅中自宅近くにいる場合、ドライバは、この後、車両１０を使用する／しないの可否判断がしやすい。次の行動が読めるタイミングで指示が出せるので、音声認識がより好ましい。具体的には、下記ユースケースにおいて効果がある。すなわち、（１）ダブルバンクのインストールタイミング許可を任意のタイミングできる。（２）シングルバンクは、ＧＰＳで事前に安全な場所確保の判断ができる。これにより、ＯＴＡの更新タイミングが増え、適用率を向上させることができる。

以上説明したように、本実施形態のソフトウェア更新装置１００（図１参照）は、車両１０に搭載されソフトウェアの更新が可能な複数のＥＣＵ２００（電子制御装置）と、車両１０の外部から供給されるソフトウェアを取得する通信部１３（図１参照），ＴＣＵ１３０（図２および図３参照）（取得部）と、通信部１３，ＴＣＵ１３０によって取得されるソフトウェアを用いて、複数のＥＣＵ２００に対してソフトウェアの更新を行う更新制御部１１１（図１参照）と、を備える。複数のＥＣＵ２００は、通信部１３，ＴＣＵ１３０によって取得されるソフトウェアをインストールして更新可能なシングル格納領域を有する第１のＥＣＵ２００Ａ（１面ＲＯＭ ＥＣＵ）（図１〜図３，図４参照）を備える。更新制御部１１１は、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、音声を用いて車両１０の停車間際に通知する。

この構成により、次のスケジュールが分かった段階で、停車間際に、ドライバに音声で、ソフトウェアの自動更新によりしばらく車両が動けないことの可否を確認することができる。これにより、ドライバの目線を外さないようにする法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。

本実施形態では、車両１０（図１参照）は、自車両１０の位置情報を取得するＧＰＳ機能部１４（位置情報取得部）（図１参照）を備え、更新制御部１１１は、ＧＰＳ機能部１４によって取得される位置情報をもとに、所定時間停車する特定場所に近づいた場合、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを通知する。

これにより、自宅や会社の駐車場など、普段長時間停車する特定場所に近づいた際に通知を行うことで、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。すなわち、ドライバがソフトウェアの更新を許諾した場合、ドライバにとっては、運転しない長時間停車中に、ソフトウェアの更新が完了するので、利便性が格段に向上する。また、ソフトウェアの更新が完了した場合には、このソフトウェアに関してソフトウェアの更新の通知がなくなるので、頻繁な通知に対して応答しなくても済むという利点がある。

本実施形態では、通信部１３，ＴＣＵ１３０によって取得されるソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２のＥＣＵ２００Ｂ（２面ＲＯＭ ＥＣＵ）（図１〜図３，図５参照）を備え、更新制御部１１１（図１参照）は、第２のＥＣＵ２００Ｂのソフトウェアの更新の際、車両１０の停止中に音声または画像を用いて、第２のＥＣＵ２００Ｂのソフトウェアの更新のお知らせを通知する。

これにより、車両１０の停止中に音声または画像を用いて、ソフトウェアの更新のお知らせを通知することで、法規要件を満たしつつ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。
また、ターゲットＥＣＵが第２のＥＣＵ２００Ｂの場合、ソフトウェアのダウンロードとインストールはバックグラウンドできる。このため、車両１０の動作に影響は短時間で済むので、ＯＴＡ更新タイミングを増やすことができる。

本実施形態では、更新制御部１１１（図１参照）は、第１のＥＣＵ２００Ａのソフトウェアの更新と第２のＥＣＵ２００Ｂのソフトウェアの更新とを停車後に両方とも行う場合、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを、車両１０の停車間際に、再度通知する。

これにより、第２のＥＣＵ２００Ｂのソフトウェアの更新を行ったとしても、第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを通知する。ソフトウェアの更新のお知らせを、車両１０の停車間際に、再度通知することで、ソフトウェアの自動更新によりしばらく車両が動けないこと等をドライバに再度通知し、通知漏れを防止することができる。

本実施形態では、更新制御部１１１（図１参照）は、第２のＥＣＵ２００Ｂまたは第１のＥＣＵ２００Ａのソフトウェアの更新のお知らせを通知した場合における、ドライバからの許諾を、当該ドライバの音声またはステアリングのスイッチ操作で受け付ける。

これにより、ドライバの視線を前方に固定したままで、ドライバの前方注意を妨げることなく、ソフトウェアの更新の可否の許諾を受け取ることができる。

本実施形態では、更新制御部１１１（図１参照）は、第２のＥＣＵ２００Ｂのダブルバンク格納領域への新版ソフトウェアのインストール処理を、バックグラウンドで行うとともに、イグニッションスイッチのオフを契機として、バックグラウンドでインストールした新版ソフトウェアと、第２のＥＣＵ２００Ｂのダブルバンク格納領域にインストールされている旧版ソフトウェアとをアクティベーション処理により切り替えて実行可能にする。

これにより、車両１０の走行中に、バックグラウンドでダウンロードとインストールが既に完了している。イグニッションスイッチのオフ、すなわち車両１０が停止中は、アクティベーション処理のみを実行されることで、ＥＣＵのソフトウェアの更新を迅速に完了させることができる。

本実施形態では、第２のＥＣＵ２００Ｂは、ダブルバンク格納領域への新版ソフトウェアのインストール処理後に、その実行状態を保存して停止させ、次に使用するとき停止直前の状態に復帰するレジューム機能を有し、更新制御部１１１は、イグニッションスイッチのオンを契機として、アクティベーション処理により切り替えた新版ソフトウェアを実行する。

これにより、再ＩＧ ＯＮ後に、途中の処理から再開できるレジューム機能を実装しているので、インストール処理の途中において、ユーザによるＩＧ ＯＦＦ動作があったとしても途中の処理から迅速に再開することができ、ソフトウェアの更新の許諾およびソフトウェアの更新をより良好に行うことができる。

上記した実施形態例は本発明をわかりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

１ ソフトウェア更新システム
１０，１０Ａ，１０Ｂ，１０Ｃ 車両
１１ イグニッションスイッチ（ＩＧＳＷ）
１２ バッテリ（ＢＡＴ）
１３ 通信部（取得部）
１４ ＧＰＳ機能部（位置情報取得部）
２０ 情報出力・入力装置
２５ 音声認識機能部
３０ ネットワーク
４０ サーバ
１００ ソフトウェア更新装置
１３０ ＴＣＵ（取得部）
１４０ ＣＧＷ
１５０ ＩＶＩ
１６０ ＬＣＤ表示部
２００ ＥＣＵ（電子制御装置）
２００Ａ 第１のＥＣＵ（１面ＲＯＭ ＥＣＵ）
２００Ｂ 第２のＥＣＵ（２面ＲＯＭ ＥＣＵ）

Claims (8)

1. 車両に搭載されソフトウェアの更新が可能な複数の電子制御装置と、
   前記車両の外部から供給されるソフトウェアを取得する取得部と、
   前記取得部によって取得されるソフトウェアを用いて、複数の前記電子制御装置に対して前記ソフトウェアの更新を行う更新制御部と、を備えるソフトウェア更新装置であって、
   前記取得部によって取得される前記ソフトウェアをインストールして更新可能なシングル格納領域を有する第１の電子制御装置を備え、
   前記更新制御部は、前記第１の電子制御装置の前記ソフトウェアの更新に関する情報を、音声を用いて前記車両の停車間際に通知する
   ことを特徴とするソフトウェア更新装置。
2. 自車両の位置情報を取得する位置情報取得部を備え、
   前記更新制御部は、前記位置情報取得部によって取得される位置情報をもとに、所定時間停車する特定場所に近づいた場合、前記第１の電子制御装置の前記ソフトウェアの更新に関する情報を通知する
   ことを特徴とする請求項１に記載のソフトウェア更新装置。
3. 複数の前記電子制御装置は、前記取得部によって取得される前記ソフトウェアをバックグラウンドでインストールして更新可能なダブルバンク格納領域を有する第２の電子制御装置を備え、
   前記更新制御部は、前記第２の電子制御装置の前記ソフトウェアの更新の際、車両の停止中に音声または画像を用いて、前記第２の電子制御装置の前記ソフトウェアの更新に関する情報を通知する
   ことを特徴とする請求項１または請求項２に記載のソフトウェア更新装置。
4. 前記更新制御部は、前記第１の電子制御装置の前記ソフトウェアの更新と前記第２の電子制御装置の前記ソフトウェアの更新とを停車後に両方とも行う場合、前記第１の電子制御装置の前記ソフトウェアの更新に関する情報を、前記車両の停車間際に通知する
   ことを特徴とする請求項３に記載のソフトウェア更新装置。
5. 前記更新制御部は、前記ソフトウェアの更新に関する情報を通知した場合における、ドライバからの許諾を当該ドライバの音声またはステアリングのスイッチ操作で受け付ける
   ことを特徴とする請求項１ないし請求項４のいずれか一項に記載のソフトウェア更新装置。
6. 前記更新制御部は、前記第２の電子制御装置のダブルバンク格納領域への新版ソフトウェアのインストール処理を、バックグラウンドで行うとともに、イグニッションスイッチのオフを契機として、バックグラウンドでインストールした前記新版ソフトウェアと、前記第２の電子制御装置のダブルバンク格納領域にインストールされている旧版ソフトウェアとをアクティベーション処理により入れ替える
   ことを特徴とする請求項３ないし請求項５のいずれか一項に記載のソフトウェア更新装置。
7. 前記第２の電子制御装置は、前記ダブルバンク格納領域への新版ソフトウェアのインストール処理後に、その実行状態を保存して停止させ、次に使用するとき停止直前の状態に復帰するレジューム機能を有し、
   前記更新制御部は、前記イグニッションスイッチのオンを契機として、前記アクティベーション処理により入れ替えた新版ソフトウェアを実行する
   ことを特徴とする請求項６に記載のソフトウェア更新装置。
8. 車両に搭載されソフトウェアの更新が可能な複数の電子制御装置と、
   前記車両の外部から供給されるソフトウェアを取得する取得部と、
   前記取得部によって取得されるソフトウェアを用いて、複数の前記電子制御装置に対して前記ソフトウェアの更新を行う更新制御部と、を備えるソフトウェア更新装置のソフトウェア更新方法であって、
   複数の前記電子制御装置は、前記取得部によって取得される前記ソフトウェアをインストールして更新可能なシングル格納領域を有する第１の電子制御装置を備えており、
   前記更新制御部は、前記第１の電子制御装置の前記ソフトウェアの更新に関する情報を、音声を用いて前記車両の停車間際に通知するステップを有する
   ことを特徴とするソフトウェア更新方法。

Images