JP2021165999A - 車載装置、情報処理方法及びコンピュータプログラム - Google Patents

Abstract

【課題】自装置の制御プログラムの更新を効率的に実施することができる車載装置等を提供する。【解決手段】車載装置は、処理部と、前記処理部が実行可能な複数のプログラムが記憶される記憶部とを備える車載装置であって、前記処理部は、車外のサーバから提供される更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を、基本プログラムに含まれる入出力機能とは異なる入出力機能を実行することにより共有領域に保存し、保存した前記更新の有無に関する情報に基づき、ブートプログラムの実行開始後に、前記基本プログラム又は更新処理プログラムを選択的に実行するよう構成されている。【選択図】図２

Description

本技術は、車載装置、情報処理方法及びコンピュータプログラムに関する。

車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するための車載ＥＣＵ（Electronic Control Unit）が搭載されている。車載ＥＣＵは、ＭＰＵ等の演算処理部、ＲＡＭ等の書き換え可能な不揮発性の記憶部、及び他の車載ＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた中継装置が実装されており、中継装置を介して、車外のネットワークに接続されているプログラム提供装置と通信し、当該プログラム提供装置から車載ＥＣＵの制御プログラムをダウンロード（受信）し、当該車載ＥＣＵの制御プログラムを更新することができる（例えば特許文献１参照）。

特開２０１７−９７８５１号公報

しかしながら、特許文献１の中継装置は、自装置にて実行する制御プログラムを更新する処理に関する事項は考慮されていないため、当該自装置の制御プログラムの更新を効率的に実施できないことが懸念される。

本開示の目的は、自装置の制御プログラムの更新を効率的に実施することができる車載装置を提供することである。

本開示の一態様に係る車載装置は、処理部と、前記処理部が実行可能な複数のプログラムが記憶される記憶部とを備える車載装置であって、前記複数のプログラムは、前記処理部の起動時に実行されるブートプログラムと、前記ブートプログラムにより選択的に実行される基本プログラムと、前記ブートプログラムにより選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理プログラムとを含み、前記記憶部は、自装置の制御プログラムの更新の有無に関する情報を保存する共有領域を含み、前記共有領域は、前記ブートプログラムを実行することによりアクセスが可能であり、前記基本プログラムに含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、前記処理部は、車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を、前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、保存した前記更新の有無に関する情報に基づき、前記ブートプログラムの実行開始後に、前記基本プログラム又は前記更新処理プログラムを実行する。

本開示の一態様によれば、自装置の制御プログラムの更新を効率的に実施することができる。

本実施の形態に係る中継装置（車載装置）を含む車載システムの構成を例示する模式図である。 中継装置等の構成を例示するブロック図である。 本実施の形態に係る中継装置が行う更新フラグの格納処理の手順を示すフローチャートである。 本実施の形態に係る中継装置が行う起動処理の手順を示すフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載装置は、処理部と、前記処理部が実行可能な複数のプログラムが記憶される記憶部とを備える車載装置であって、前記複数のプログラムは、前記処理部の起動時に実行されるブートプログラムと、前記ブートプログラムにより選択的に実行される基本プログラムと、前記ブートプログラムにより選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理プログラムとを含み、前記記憶部は、自装置の制御プログラムの更新の有無に関する情報を保存する共有領域を含み、前記共有領域は、前記ブートプログラムを実行することによりアクセスが可能であり、前記基本プログラムに含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、前記処理部は、車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を、前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、保存した前記更新の有無に関する情報に基づき、前記ブートプログラムの実行開始後に、前記基本プログラム又は前記更新処理プログラムを実行する。

本態様にあっては、車載装置の記憶部にはブートプログラム、基本プログラム、更新処理プログラム、基本プログラム上で実行される制御プログラム等を含む複数のプログラムが記憶されている。車載装置の処理部は、実行するプログラム毎に異なる制御内容、アクセス権限に基づき処理を実行する。ブートプログラムを実行する処理部は、車外のサーバから提供され記憶部に記憶された更新の有無に関する情報を識別することにより、基本プログラム又は更新処理プログラムのいずれを選択して起動するかを決定する。更新に関する情報がある場合、処理部は、基本プログラムを介することなくブートプログラムを実行する処理部によりアクセス可能に構成されている共有領域に、当該更新に関する情報があることを示す識別子を保存する。基本プログラムの実行開始前であっても、ブートプログラムを実行する処理部により更新の有無に関する情報を取得することで、ブートフェーズにおいて実行対象となるプログラムを判定することができるため、判定結果に応じて選択的に起動された更新処理プログラムに基づき、プログラムの更新を効率的に実施することができる。共有領域は、基本プログラムを実行する処理部がアクセス不可能であり、更新の有無に関する情報のみを格納する専用領域とすることで、簡易な構成によりコンフリクトの発生を防止しつつ効率的な処理の実行を実現する。

（２）本開示の一態様に係る車載装置は、前記複数のプログラムは、前記基本プログラム上で実行される前記制御プログラムとダイアグプログラムとを含み、前記ダイアグプログラムは、前記基本プログラムに含まれる入出力機能とは異なる入出力機能を含み、前記制御プログラムを実行中の処理部は、通信により接続する複数の車載ＥＣＵとの中継を制御し、前記ダイアグプログラムを実行中の処理部は、前記車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存する。

本態様にあっては、基本プログラムをプラットフォームとして制御プログラム及び診断プログラムが並行して実行されることで、車載装置が例えばゲートウェイとしての機能を備えつつ効率的な更新処理を実行することができる。

（３）本開示の一態様に係る車載装置は、前記処理部は、前記記憶部における物理記憶位置を示す物理アドレスにより前記共有領域を指定し、指定した前記共有領域に前記更新の有無に関する情報を保存する。

本態様にあっては、直接物理アドレスにより指定される共有領域に更新の有無に関する情報が保存される。これにより、基本プログラムに含まれる入出力機能の制御によることなく他のプログラムが共有領域を参照することができ、効率的に処理を実行することができる。

（４）本開示の一態様に係る車載装置は、前記共有領域は、前記更新処理プログラムを実行することによりアクセスが可能であり、前記更新処理プログラムを実行する処理部は、更新処理が完了された場合に更新処理が完了したことを示す情報を前記共有領域に保存する。

本態様にあっては、更新処理プログラムにより、更新処理が完了した場合に更新完了を示す情報が共有領域に保存される。共有領域は、基本プログラムを介することなく更新処理プログラムを実行する処理部によりアクセス可能に構成されているため、効率的に処理を実行することができる。

（５）本開示の一態様に係る情報処理方法は、起動時に実行されるブート処理と、前記ブート処理により選択的に実行される基本処理と、前記ブート処理により選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理とを含み、自装置の制御プログラムの更新の有無に関する情報を保存する共有領域は、前記ブート処理を実行することによりアクセスが可能であり、前記基本処理に含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を、前記基本処理に含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、保存した前記更新の有無に関する情報に基づき、前記ブート処理の実行開始後に、前記基本処理又は前記更新処理を実行する。

本態様にあっては、自装置の制御プログラムの更新を効率的に実施することができる。

（６）本開示の一態様に係るコンピュータプログラムは、起動時に実行されるブートプログラムと、前記ブートプログラムにより選択的に実行される基本プログラムと、前記ブートプログラムにより選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理プログラムとを含み、自装置の制御プログラムの更新の有無に関する情報を保存する共有領域は、前記ブートプログラムを実行することによりアクセスが可能であり、前記基本プログラムに含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を、前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、保存した前記更新の有無に関する情報に基づき、前記ブートプログラムの実行開始後に、前記基本プログラム又は前記更新処理プログラムを実行する。

本態様にあっては、自装置の制御プログラムの更新を効率的に実施することができる。

[本開示の実施形態の詳細]
本開示の実施形態に係る中継装置の具体例を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

図１は、本実施の形態に係る中継装置（車載装置）２を含む車載システムの構成を例示する模式図である。図２は、中継装置等の構成を例示するブロック図である。車載システムは、車両Ｃに搭載された車外通信装置１、中継装置２及び外部サーバ１００を含む。本実施形態においては、中継装置２は、ブートプログラム２ａ、基本プログラム２ｂ、更新処理プログラム２ｇ等を記憶する車載装置に相当する。中継装置２は、車外ネットワークＮを介して接続された外部サーバ１００からプログラム又はデータを取得し、車両Ｃに搭載されている車載ＥＣＵ３（Electronic Control Unit）に送信する。また、車両Ｃに外部認証装置５が接続された場合、外部認証装置５は、車外ネットワークＮを介して外部サーバ１００と通信する。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部１０１を備える。記憶部１０１には、中継装置２の製造メーカ等によって作成された当該中継装置２を制御するためのプログラム又はデータが保存されている。当該プログラム又はデータは、更新プログラムとして、後述のごとく車両Ｃに送信され、車両Ｃに搭載されている中継装置２の制御プログラム２ｃ又はデータを更新するために用いられる。このように構成された外部サーバ１００は、ＯＴＡ（Over The Air）サーバとも称される。車両Ｃに搭載される中継装置２は、外部サーバ１００から無線通信により送信された更新プログラムを取得し、当該更新プログラムを実行する制御プログラムとして適用することにより、自装置が実行する制御プログラムを更新（リプロ）することができる。外部サーバ１００の記憶部１０１には、外部認証装置５から送信された中継装置２の構成情報が記憶される。当該構成情報には、車両Ｃを識別するための識別情報（ＶＩＮ：車両識別番号）が含まれている。外部サーバ１００は、当該識別情報に基づき車両Ｃを特定し、特定した車両Ｃとの間で、当該車両Ｃの中継装置２の構成情報に関する通信を行う。

車両Ｃには、車外通信装置１、中継装置２、表示装置７、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車外通信装置１と中継装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。中継装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network／登録商標）又はイーサネット（Ethernet／登録商標）等の通信プロトコルに対応した通信線４１及び車内ＬＡＮ４によって通信可能に接続されている。

車外通信装置１は、車外通信部１１及び、中継装置２と通信するための入出力Ｉ／Ｆ（インターフェイス）１２を含む。車外通信部１１は、３Ｇ、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部１１に接続されたアンテナ１３を介して外部サーバ１００とデータの送受信を行う。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の車外ネットワークＮを介して行われる。

入出力Ｉ／Ｆ１２は、中継装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と中継装置２とは、入出力Ｉ／Ｆ１２及び入出力Ｉ／Ｆ１２に接続されたシリアルケーブル等のハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、中継装置２と別装置とし、入出力Ｉ／Ｆ１２等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、中継装置２の一構成部位として、中継装置２に内蔵されるものであってもよい。

中継装置２は、図２に示す如く、処理部２０、記憶部２１、入出力Ｉ／Ｆ２２、車内通信部２３などを含む。中継装置２は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３及び、ボディ系の車載ＥＣＵ３等の複数の通信線４１による系統のセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継する。中継装置２は、例えばゲートウェイ又はイーサスイッチである。中継装置２は、例えば車両Ｃ全体をコントロールするボディＥＣＵ、自動運転を制御する自動運転ＥＣＵ等の一機能部として構成されるものであってもよい。

処理部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成されている。処理部２０は、記憶部２１に予め記憶された各プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行う。なお以下において"プログラム"との記載には、プログラムと、当該プログラムの実行に必要なデータとを含み得る。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してある。記憶部２１には、ブートプログラム領域２１１、基本プログラム領域２１２、更新処理プログラム領域２１５、共有領域２１６等が含まれている。

ブートプログラム領域２１１には、ブートプログラム２ａが格納されている。ブートプログラム２ａは、中継装置２のリセット後、最初に起動されるプログラムである。処理部２０は、ブートプログラム２ａを実行することにより、共有領域２１６に保存される更新の有無に関する情報に応じて、後述する基本プログラム２ｂ又は更新処理プログラム２ｇのいずれかを選択的に起動する処理を行う。更新の有無に関する情報とは、外部サーバ１００に更新プログラムに関する情報があるか否かを示す情報である。更新の有無に関する情報は、例えば、更新に関する情報があることを示す更新フラグ、更新に関する情報がないことを示す完了フラグ等が含まれる。更新フラグがある場合には、処理部２０は更新処理プログラム２ｇを起動させる。完了フラグがある場合には、処理部２０は基本プログラム２ｂを起動させる。ブートプログラム２ａは、更新処理プログラム２ｇ又は基本プログラム２ｂを起動させる処理を実行後、終了するものであってよい。

更新処理プログラム領域２１５には、更新処理プログラム２ｇが格納されている。更新処理プログラム２ｇは、外部サーバ１００から更新プログラムが提供された場合に、更新対象である制御プログラム２ｃを更新プログラムへと更新する更新処理を実行するためのプログラムである。処理部２０は、更新処理プログラム２ｇを実行することにより、車外通信装置１を介して、外部サーバ１００と後述する制御プログラム２ｃの更新に関する情報の通信を行い、外部サーバ１００から更新プログラムを取得する更新処理を行う。取得した更新プログラムは、基本プログラム領域２１２に格納される。更新処理が完了した場合、処理部２０は、更新処理が完了したことを示す識別子を共有領域２１６に格納する。

基本プログラム領域２１２には、プログラム領域（コードフラッシュ）２１３及びデータ領域（データフラッシュ）２１４が含まれている。プログラム領域２１３には、基本プログラム２ｂ、当該基本プログラム２ｂ上で実行される制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅなどが格納されている。データ領域２１４には、基本プログラム２ｂの有する入出力機能（ＮＶＭ）により管理されるＮＶＭ管理領域２ｆが含まれている。基本プログラム２ｂは、オペレーティングシステムに係るコンピュータプログラムである。基本プログラム２ｂは、例えばＡＵＴＯＳＡＲ（Automotive Open System Architecture ）の規格に準拠したものであってもよい。

制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅはいずれも、基本プログラム２ｂをプラットフォームとして実行されるプログラムである。

制御プログラム２ｃは、更新処理プログラム２ｇに基づく更新処理を実施していない状態において実行されるプログラムであり、例えば車載ＥＣＵ３間、あるいは外部サーバ１００と車載ＥＣＵ３との間における通信の中継を行う。この制御プログラム２ｃが、中継装置２から送信される更新プログラムによって更新される対象である。処理部２０は、制御プログラム２ｃを実行することにより、例えば記憶部２１に記憶されている中継経路情報（ルーティングテーブル）を参照して、車載ＥＣＵ３から送信されるＣＡＮメッセージ、ＩＰパケット等を中継する。

ダイアグプログラム２ｄは、制御プログラム２ｃに並行して実行されるプログラムであり、更新プログラムに関する情報の有無を監視する。処理部２０は、ダイアグプログラム２ｄを実行することにより、車外通信装置１を用いた外部サーバ１００との通信を行い、定期的に車両Ｃに搭載された制御プログラム２ｃの更新に関する情報があるか否かの問い合わせを行う。更新に関する情報があった場合、処理部２０は、更新要求があったことを示す識別子を共有領域２１６に格納する。なお、ダイアグプログラム２ｄは、制御プログラム２ｃに並行して実行されるプログラムに限定されるものではない。例えば、制御プログラム２ｃに含まれる１モジュールとして構成され、制御プログラム２ｃのプロセスのサブプロセスとして実行されるものであってもよい。

セキュリティプログラム２ｅは、制御プログラム２ｃ及びダイアグプログラム２ｄと並行して実行されるプログラムであり、これら制御プログラム２ｃ及びダイアグプログラム２ｄにおけるセキュリティ情報を管理する。

上記では、基本プログラム２ｂ上で実行される制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅが、それぞれ異なるプログラムモジュールとして構成される例を説明したが、本実施形態は限定されるものではない。例えば、制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅは、基本プログラム２ｂの機能の一部として基本プログラム２ｂに含まれる構成であってもよい。

記憶部２１に記憶された上述のブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇは、中継装置２が読み取り可能な記録媒体２Ａから読み出されたブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇ夫々を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇ夫々をダウンロードし、記憶部２１に記憶させたものであってもよい。更に、記憶部２１には、自中継装置２及び車両Ｃに搭載される全ての車載ＥＣＵ３の構成情報が記憶される。

ＮＶＭ管理領域２ｆは、基本プログラム２ｂに含まれる入出力機能（メモリ管理機能）により管理されるデータ保存領域である。基本プログラム２ｂを実行する処理部２０は、基本プログラム２ｂに基づく処理において、論理アドレスを物理アドレスに変換する入出力機能を用いてＮＶＭ管理領域２ｆにアクセスし、データを保存する。すなわち基本プログラム２ｂを実行する処理部２０は、入出力機能により論理アドレスと物理アドレスと対応付けて変換する変換情報を記憶し、変換情報を参照して特定したＮＶＭ管理領域２ｆにデータを格納する。従って、ＮＶＭ管理領域２ｆは、基本プログラム２ｂに含まれる入出力機能を備えない他のプログラムを実行する処理部２０からはアクセスが制限される。すなわちブートプログラム２ａ及び更新処理プログラム２ｇを実行する場合、処理部２０はＮＶＭ管理領域２ｆの情報を参照することができない。この様に構成されるＮＶＭ管理領域２ｆに対して、基本プログラム２ｂが備える入出力機能を用いて入出力処理を実行することにより、処理部２０は、当該ＮＶＭ管理領域２ｆへのデータ、音等の読み書きを実行する。

共有領域（データフラッシュ）２１６は、更新の有無に関する情報を示す識別子のみを格納する識別子専用領域である。更新の有無に関する情報を示す識別子には、例えば上述の更新フラグ、完了フラグ等が含まれてよい。共有領域２１６は、基本プログラム２ｂが備える入出力機能で管理されないデータ保存領域であり、物理アドレスを用いて一意に場所を指定することができる記憶領域である。共有領域２１６に対しては、基本プログラム２ｂが備える入出力機能を実行する処理部２０はアクセスすることができない。ダイアグプログラム２ｄ及び更新処理プログラム２ｇを実行する処理部２０は、更新の有無に関する情報を識別した場合、あるいは更新処理が完了した場合には、これらの結果に応じた識別子を共有領域２１６に保存する。この場合において、処理部２０は、記憶部２１の不揮発性メモリにおける物理位置情報である物理アドレスを用いて共有領域２１６を指定し、当該共有領域２１６に識別子を格納する。すなわち、ダイアグプログラム２ｄ又は更新処理プログラム２ｇを実行する処理部２０は、論理アドレスと物理アドレスとを対応付ける変換処理を行う基本プログラム２ｂの入出力機能とは異なる、直接物理アドレスを指定する入出力機能により、共有領域２１６にアクセスしデータを保存する。

上記のように、記憶部２１に基本プログラム２ｂが備える入出力機能で管理されない共有領域２１６が備えられることにより、基本プログラム２ｂを実行することなく、他のプログラムを実行する処理部２０から直接共有領域２１６にアクセスすることが可能となる。処理部２０がブートプログラム２ａに基づき処理を実行する場合であっても、基本プログラム２ｂを起動することなく、直接共有領域２１６へアクセスし更新の有無に関する情報を示す識別子を認識することができ、効率的にその後の起動処理を行うことができる。

入出力Ｉ／Ｆ２２は、車外通信装置１の入出力Ｉ／Ｆ１２と同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２２を介して、中継装置２は、車外通信装置１及びＩＧスイッチ６と通信可能に接続される。

車内通信部２３は、例えばＣＡＮ（Control Area Network）又はイーサネット（Ethernet／登録商標）等の通信プロトコルを用いた入出力インターフェイスであり、処理部２０は、車内通信部２３を介して車内ＬＡＮ４に接続されている車載ＥＣＵ３又は他の中継装置等の車載機器と相互に通信する。車内通信部２３は、複数個設けられており、車内通信部２３夫々に、車内ＬＡＮ４を構成する通信線４１が接続されている。このように車内通信部２３を複数個設けることにより、車内ＬＡＮ４は複数個のセグメントに分け、各セグメントに車載ＥＣＵを、当該車載ＥＣＵの機能（制御系機能、安全系機能、ボディ系機能）に応じて接続する。車内通信部２３には、後述する外部認証装置５が必要に応じて接続され、外部認証装置５が接続された場合、処理部２０は、車内通信部２３を介して外部認証装置５と相互に通信する。

車載ＥＣＵ３は、制御部３０、記憶部３１及び車内通信部３２を含む。記憶部３１は、ＲＡＭ等の揮発性のメモリ素子又は、ＲＯＭ、ＥＥＰＲＯＭ若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。制御部３０は、ＣＰＵ又はＭＰＵ等により構成してあり、記憶部３１に記憶されたプログラム及びデータを読み出し実行して制御処理等を行い、当該車載ＥＣＵ３を含む車載機器又はアクチュエータ等を制御する。

外部認証装置５は、車載ＥＣＵ３の交換等の車両Ｃの整備作業を担う正規ディーラ等を含む車両Ｃ整備業者によって用いられる装置（ダイアグツール）であり、例えばパソコン、タブレットＰＣ又はスマートフォン等の汎用情報端末に専用アプリケーションをインストールした装置、又はハードウェアを含み専用情報端末として構成された装置である。外部認証装置５は、前述の車載ＥＣＵ３と同様にＣＰＵ又はＭＰＵによる制御部、記憶部、及び車内通信部（いずれも図示せず）等を含む。外部認証装置５の車内通信部は、車載ＥＣＵ３と同様のＣＡＮ又はイーサネットに限定されず、例えばシリアルケーブル等のワイヤーハーネスによる通信するための入出力Ｉ／Ｆ又は通信モジュールであってもよい。

外部認証装置５は、車内通信部によって、車内ＬＡＮ等を介して中継装置２又は車載ＥＣＵ３夫々と通信する。又は、外部認証装置５の車内通信部は、無線通信の機能を有し、外部認証装置５は無線通信により中継装置２と通信するものであってもよい。更に外部認証装置５は、外部サーバ１００と通信するための車外通信部（図示せず）を含む。外部認証装置５の車外通信部は、有線又は無線による通信機能を有する通信モジュールであり、外部認証装置５は、車外通信部によって、車外ネットワークＮを介して外部サーバ１００と通信する。

中継装置２の入出力Ｉ／Ｆ２２には、シリアルケーブル等のワイヤーハーネスにより、車両Ｃの起動又は停止を行うＩＧ（イグニッション）スイッチ６が通信可能に接続されている。ＩＧスイッチ６がオン又はオフにされた場合、ＩＧスイッチ６から出力（送信）された信号を、中継装置２の処理部２０は、入出力Ｉ／Ｆ２２を介して取得（受信）する。中継装置２の処理部２０は、取得した信号に基づき、当該ＩＧスイッチ６のオン又はオフに関する情報（ＩＧオンの信号又はＩＧオフの信号）を、車内通信部２３を介して全ての車載ＥＣＵ３及び、外部認証装置５が車両Ｃに接続されている場合は、外部認証装置５に対しても送信する。車載ＥＣＵ３及び外部認証装置５は、中継装置２から送信されたＩＧスイッチ６のオン又はオフに関する情報を取得し、取得した情報に基づき所定の動作を行う。

表示装置７は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置７は、中継装置２の入出力Ｉ／Ｆ２２とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置７には、中継装置２の処理部２０から入出力Ｉ／Ｆ２２を介して出力されたデータ又は情報が表示される。

図３は、本実施の形態に係る中継装置２が行う更新フラグの格納処理の手順を示すフローチャートである。中継装置２の処理部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）又は停止状態（ＩＧスイッチ６がオフ）において、定常的に以下の処理を行う。

中継装置２の処理部２０は、車外通信装置１を介して外部サーバ１００と通信し、更新プログラムに関する情報の有無に関する問い合わせを行う（ステップＳ１１）。処理部２０は、キャンペーン情報等、当該更新プログラムに関する情報があるか否か、すなわち更新要求があるか否かを判定する（ステップＳ１２）。当該更新要求があるか否かの判定は、中継装置２から外部サーバ１００への問合せによるプル型通信のみならず、外部サーバ１００から中継装置２へ送信されるメッセージ等のプッシュ型通信に基づき行われるものであってもよい。なお、更新プログラムに関する情報の問い合わせは、車内通信部２３に外部認証装置５が接続されることにより行われてもよい。

外部サーバ１００から更新プログラムに関する情報がないことを示す応答を受信したことにより更新プログラムに関する情報がないと判定した場合（ステップＳ１２：ＮＯ）、処理部２０は、再度Ｓ１１の処理を実行すべく、ループ処理を行う。当該ループ処理を行うことにより、処理部２０は、外部サーバ１００に対する更新プログラムに関する問い合わせを周期的に行うものとなる。

外部サーバ１００から更新プログラムに関する情報があることを示す応答を受信したことにより更新プログラムに関する情報があると判定した場合（ステップＳ１２：ＹＥＳ）、処理部２０は、更新プログラムに関する情報があることを示す更新フラグ（例えば識別子「１」）を共有領域２１６に格納し（ステップＳ１３）、処理を終了する。この場合において、処理部２０は、論理アドレスと物理アドレスとを対応付ける変換処理を行うことなく、共有領域２１６の物理位置情報である物理アドレスを直接指定して、共有領域２１６に更新フラグを格納する。すなわち、処理部２０は、基本プログラム２ｂの入出力機能とは異なる入出力機能により、共有領域２１６に更新フラグを格納する。

図４は、本実施の形態に係る中継装置２が行う起動処理の手順を示すフローチャートである。例えば車両Ｃのリセットを指示するリセットシグナルを取得し、あるいはＩＧスイッチ６がオフ状態からオン状態又はオン状態からオフ状態へ変化すると、中継装置２の処理部２０により以下の処理が実行される。

処理部２０は、記憶部２１に格納されたブートプログラム２ａをＲＡＭ上に展開し、ブートプログラム２ａを起動する（ステップＳ２１）。処理部２０は、物理アドレスに基づき特定される共有領域２１６を参照し、更新フラグがあるか否かを判定する（ステップＳ２２）。処理部２０は、例えば共有領域２１６に識別子「１」が格納されている場合、更新フラグがあると判定する。一方識別子「０」が格納されている場合、処理部２０は更新フラグがないと判定する。処理部２０は、更新フラグの有無に基づき起動すべきプログラムを特定する。

更新フラグがあると判定した場合（ステップＳ２２：ＹＥＳ）、処理部２０は、更新処理プログラム２ｇを起動すると判断する。処理部２０は、更新処理プログラム領域２１５に保存される更新処理プログラム２ｇを選択して起動し（ステップＳ２３）、ブートプログラム２ａの処理を終了する。

処理部２０は、更新処理プログラム２ｇに基づく処理に移行する。処理部２０は、車外通信装置１を介して、外部サーバ１００から更新プログラムを取得する（ステップＳ２４）。処理部２０は、車内通信部２３を介して外部認証装置５から更新プログラムを取得してもよい。

処理部２０は、制御プログラム２ｃを、取得した更新プログラム、すなわち新たな制御プログラム２ｃに更新する更新処理を実行する（ステップＳ２５）。具体的には、処理部２０は、プログラム領域に保存される制御プログラム２ｃを削除し、取得した更新プログラムを新たに格納することで更新プログラムを適用する更新処理を実行する。あるいは、処理部２０は、記憶部２１のプログラム領域に２つの領域が設けられている場合には、更新対象である制御プログラム２ｃを記憶する領域とは異なる、他方の領域に取得した更新プログラムを格納してもよい。処理部２０は、適用する制御プログラム２ｃを読み出す記憶部２１の領域を、以前の制御プログラム２ｃが記憶された領域から、更新プログラムを記憶した領域に切り替えることで、更新処理を実行する。

新たな制御プログラム２ｃを適用し更新処理が正常に完了した場合、処理部２０は、共有領域２１６に格納されるフラグをリセットする。処理部２０は、例えば更新処理の完了、すなわち、更新に関する情報が適切に保存され更新に関する情報がないことを示す完了フラグ（例えば識別子「０」）を共有領域２１６に保存し（ステップＳ２６）、更新処理プログラム２ｇの処理を終了する。この場合においても、処理部２０は、論理アドレスと物理アドレスとを対応付ける変換処理を行うことなく、共有領域２１６の物理位置情報である物理アドレスを直接指定して、共有領域２１６に完了フラグを格納する。すなわち、処理部２０は、基本プログラム２ｂの入出力機能とは異なる入出力機能により、共有領域２１６に完了フラグを格納する。

一方、更新フラグがないと判定した場合（ステップＳ２２：ＮＯ）、処理部２０は、基本プログラム２ｂを起動すると判断する。処理部２０は、プログラム領域２１３に保存される基本プログラム２ｂを選択して起動し（ステップＳ２７）、ブートプログラム２ａの処理を終了する。

処理部２０は、基本プログラム２ｂに基づく処理に移行する。処理部２０は、基本プログラム２ｂ上で制御プログラム２ｃを起動し（ステップＳ２８）、制御プログラム２ｃに基づく処理を開始する。処理部２０は、例えば車載ＥＣＵ３から送信されるＣＡＮメッセージ、ＩＰパケット等を中継する中継処理を実行し（ステップＳ２９）、制御プログラム２ｃ及び基本プログラム２ｂの処理を終了する。

処理部２０は、サブプロセスを発生させ、ステップＳ２８以下の処理に並行してステップＳ３０の処理を行う。処理部２０は、基本プログラム２ｂ上でダイアグプログラム２ｄを起動し（ステップＳ３０）、ダイアグプログラム２ｄに基づく処理を開始する。処理部２０は、図３で示した如く、更新の有無に関する情報を監視する処理を実行し（ステップＳ３１）、ダイアグプログラム２ｄ及び基本プログラム２ｂの処理を終了する。なお、処理部２０はさらにサブプロセスを発生させ、ステップＳ２８及びステップＳ３０に並行して、セキュリティプログラム２ｅを起動させる処理を実行してよい。

本実施形態によれば、複数のプログラムを実行する処理部２０により共通してアクセス可能に構成される共有領域２１６に、更新の有無に関する情報を格納することができる。処理部２０は、ブートプログラムの機能により、共有領域２１６に格納された更新の有無に関する情報を参照し起動すべきプログラムを特定することができるため、自装置の制御プログラム２ｃの更新を効率的に実施することが可能となる。

今回開示された実施の形態は全ての点で例示であって、制限的なものではない。本発明の範囲は、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれる。

Ｃ 車両
Ｎ 車外ネットワーク
１００ 外部サーバ（ＯＴＡサーバ）
１０１ 記憶部
１ 車外通信装置
１１ 車外通信部
１２ 入出力Ｉ／Ｆ
１３ アンテナ
２ 中継装置（車載装置、ゲートウェイ）
２０ 処理部
２１ 記憶部
２１１ ブートプログラム領域
２１２ 基本プログラム領域
２１３ プログラム領域
２１４ データ領域
２１５ 更新処理プログラム領域
２１６ 共有領域
２ａ ブートプログラム
２ｂ 基本プログラム
２ｃ 制御プログラム
２ｄ ダイアグプログラム
２ｅ セキュリティプログラム
２ｆ ＮＶＭ管理領域
２ｇ 更新処理プログラム
２Ａ 記録媒体
２２ 入出力Ｉ／Ｆ
２３ 車内通信部
３ 車載ＥＣＵ
３０ 制御部
３１ 記憶部
３２ 車内通信部
４ 車内ＬＡＮ
４１ 通信線
５ 外部認証装置
６ ＩＧスイッチ
７ 表示装置（ＨＭＩ装置）

Claims (6)

1. 処理部と、前記処理部が実行可能な複数のプログラムが記憶される記憶部とを備える車載装置であって、
   前記複数のプログラムは、
   前記処理部の起動時に実行されるブートプログラムと、
   前記ブートプログラムにより選択的に実行される基本プログラムと、
   前記ブートプログラムにより選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理プログラムとを含み、
   前記記憶部は、自装置の制御プログラムの更新の有無に関する情報を保存する共有領域を含み、
   前記共有領域は、前記ブートプログラムを実行することによりアクセスが可能であり、前記基本プログラムに含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、
   前記処理部は、
   車外のサーバから提供される前記更新の有無に関する情報を取得し、
   取得した前記更新の有無に関する情報を、前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、
   保存した前記更新の有無に関する情報に基づき、前記ブートプログラムの実行開始後に、前記基本プログラム又は前記更新処理プログラムを実行する
   車載装置。
2. 前記複数のプログラムは、前記基本プログラム上で実行される前記制御プログラムとダイアグプログラムとを含み、
   前記ダイアグプログラムは、前記基本プログラムに含まれる入出力機能とは異なる入出力機能を含み、
   前記制御プログラムを実行中の処理部は、通信により接続する複数の車載ＥＣＵとの中継を制御し、
   前記ダイアグプログラムを実行中の処理部は、前記車外のサーバから提供される前記更新の有無に関する情報を取得し、取得した前記更新の有無に関する情報を前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存する
   請求項１に記載の車載装置。
3. 前記処理部は、前記記憶部における物理記憶位置を示す物理アドレスにより前記共有領域を指定し、指定した前記共有領域に前記更新の有無に関する情報を保存する
   請求項１又は請求項２に記載の車載装置。
4. 前記共有領域は、前記更新処理プログラムを実行することによりアクセスが可能であり、
   前記更新処理プログラムを実行する処理部は、更新処理が完了された場合に更新処理が完了したことを示す情報を前記共有領域に保存する
   請求項１から請求項３のいずれか１項に車載装置。
5. 起動時に実行されるブート処理と、
   前記ブート処理により選択的に実行される基本処理と、
   前記ブート処理により選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理とを含み、
   自装置の制御プログラムの更新の有無に関する情報を保存する共有領域は、前記ブート処理を実行することによりアクセスが可能であり、前記基本処理に含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、
   車外のサーバから提供される前記更新の有無に関する情報を取得し、
   取得した前記更新の有無に関する情報を、前記基本処理に含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、
   保存した前記更新の有無に関する情報に基づき、前記ブート処理の実行開始後に、前記基本処理又は前記更新処理を実行する
   処理をコンピュータに実行させるための情報処理方法。
6. 起動時に実行されるブートプログラムと、
   前記ブートプログラムにより選択的に実行される基本プログラムと、
   前記ブートプログラムにより選択的に実行され、車外のサーバと更新に関する情報の通信を行う更新処理プログラムとを含み、
   自装置の制御プログラムの更新の有無に関する情報を保存する共有領域は、前記ブートプログラムを実行することによりアクセスが可能であり、前記基本プログラムに含まれる入出力機能によるアクセスが可能な領域とは異なる領域であり、
   車外のサーバから提供される前記更新の有無に関する情報を取得し、
   取得した前記更新の有無に関する情報を、前記基本プログラムに含まれる入出力機能とは異なる入出力機能により前記共有領域に保存し、
   保存した前記更新の有無に関する情報に基づき、前記ブートプログラムの実行開始後に、前記基本プログラム又は前記更新処理プログラムを実行する
   処理をコンピュータに実行させるためのコンピュータプログラム。

Images