JP2022020439A - サーバ、更新管理方法、更新管理プログラム、ソフトウェア更新装置、サーバ及びソフトウェア更新装置を備えるシステム - Google Patents

Abstract

【課題】車載通信機器からサーバへの情報の送信ができない場合でも、車両側に更新プログラムがあることを通知できるサーバ、更新管理方法及び更新管理プログラムを提供する。
【解決手段】本開示に係るサーバは、第１通信方式を用いてソフトウェア更新装置と双方向の通信が可能な第１通信部と、第１通信方式とは異なる第２通信方式を用いてソフトウェア更新装置に対して情報の送信が可能な第２通信部と、第１通信部が第１通信方式を用いてソフトウェア更新装置から特定の要求を受信したか否かを判定する制御部とを備え、第１通信部がソフトウェア更新装置から特定の要求を受信していないと制御部が判定した場合、第２通信部が第２通信方式を用いてソフトウェア更新装置に通知を行う。
【選択図】図４

Description

本開示は、電子制御ユニットのソフトウェアの更新を管理するためのサーバ、更新管理方法、更新管理プログラム、ソフトウェア更新装置、サーバ及びソフトウェア更新装置を備えるシステムに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ）が搭載されている。ＥＣＵは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが不揮発性の記憶部に記憶されるソフトウェアを実行することによりＥＣＵの制御機能を実現する。各ＥＣＵが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各ＥＣＵの機能を改善したり、新たな車両制御機能を追加したりすることができる。

ＥＣＵのソフトウェアを更新する技術として、車載ネットワークに接続された通信モジュールとインターネット等の通信ネットワークとを無線で接続し、無線通信によりサーバから車両にソフトウェアをダウンロードし、ダウンロードしたソフトウェアをインストールすることによりＥＣＵのソフトウェア更新や追加を行うＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）技術が知られている。

ＯＴＡによるプログラムの更新は、車両の電源またはイグニッションのオン時に、車両に搭載された更新制御装置が、車載装置のプログラムのバージョン情報をサーバに送信することを契機として開始することができる（例えば、特許文献１参照）。

特開２０１８－１８１３７７号公報

電波状況等により通信モジュールがサーバと通信できない環境に車両がある場合、電源またはイグニッションオンがオンされても、車両からサーバに対してソフトウェアの更新確認を送信することができない。また、ＯＴＡによりソフトウェア更新を行うことがサーバに予め登録されておらず、サーバにおいてＯＴＡが有効化されていない車両の場合、通信モジュールとサーバ間で通信リンクを確立することができない。

通信モジュールとサーバが通信できない状態が続くと、長期間にわたってＥＣＵのソフトウェアが更新されない可能性があり、ＥＣＵのソフトウェア更新の管理において改善の余地があった。

それ故に、本開示は、電子制御ユニットからサーバへと情報の送信ができない場合でも、車両側にソフトウェア更新に関する通知を送信できるサーバ、更新管理方法、更新管理プログラム、ソフトウェア更新装置、サーバ及びソフトウェア更新装置を備えるシステムを提供することを目的とする。

本開示に係るサーバは、電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と通信可能であり、第１通信方式を用いてソフトウェア更新装置と双方向の通信が可能な第１通信部と、第１通信方式とは異なる第２通信方式を用いてソフトウェア更新装置に対して情報の送信が可能な第２通信部と、第１通信部が第１通信方式を用いてソフトウェア更新装置から特定の情報を受信したか否かを判定する制御部とを備え、第１通信部がソフトウェア更新装置から特定の要求を受信していないと制御部が判定した場合、第２通信部が第２通信方式を用いてソフトウェア更新装置に通知を行う。

本開示に係る更新管理方法は、プロセッサと、メモリと、記憶装置とを備えたコンピュータが実行する方法であって、コンピュータは、電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と第１通信方式を用いて双方向の通信が可能であると共に、第１通信方式とは異なる第２通信方式を用いてソフトウェア更新装置に対して情報の送信が可能であり、更新管理方法は、第１通信方式を用いてソフトウェア更新装置から特定の要求を受信したか否かを判定するステップと、ソフトウェア更新装置から特定の要求を受信していないと判定された場合、第２通信方式を用いてソフトウェア更新装置に通知を行うステップとを含む。

本開示に係る更新管理プログラムは、プロセッサと、メモリと、記憶装置とを備えたコンピュータが実行するプログラムであって、コンピュータは、電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と第１通信方式を用いて双方向の通信が可能であると共に、第１通信方式とは異なる第２通信方式を用いてソフトウェア更新装置に対して情報の送信が可能であり、更新管理プログラムは、第１通信方式を用いてソフトウェア更新装置から特定の要求を受信したか否かを判定するステップと、ソフトウェア更新装置から特定の要求を受信していないと判定された場合、第２通信方式を用いてソフトウェア更新装置に通知を行うステップとを含む。

本開示に係るソフトウェア更新装置は、電子制御ユニットのソフトウェアの更新を制御する装置であり、第１通信方式を用いてサーバと双方向の通信が可能な第１通信部と、第１通信方式とは異なる第２通信方式を用いてサーバから情報の受信が可能な第２通信部と、第２通信部がサーバから通知を受信したか否かを判定する制御部とを備え、制御部は、第２通信部がサーバから通知を受信したと判定した場合、受信した通知に係る情報を出力装置に出力させる。

本開示によれば、電子制御ユニットからサーバへと情報の送信ができない場合でも、車両側にソフトウェア更新に関する通知を送信できるサーバ、更新管理方法、更新管理プログラム、ソフトウェア更新装置、サーバ及びソフトウェア更新装置を備えるシステムを提供できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 図１に示したサーバの概略構成を示すブロック図 図１に示したソフトウェア更新装置の概略構成を示すブロック図 図１に示したサーバの機能ブロック図 図１に示したサーバが記憶する更新管理情報の一例を示す図 図１に示したソフトウェア更新装置の機能ブロック図 実施形態に係るサーバが実行する制御処理の一例を示すフローチャート 実施形態に係るサーバが実行する制御処理の他の一例を示すフローチャート 実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャート 実施形態に係るソフトウェア更新装置が実行する制御処理の他の一例を示すフローチャート 変形例に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャート

図１は、実施形態に係るネットワークシステムの全体構成を示すブロック図であり、図２は、図１に示したサーバの概略構成を示すブロック図であり、図３は、図１に示したソフトウェア更新装置の概略構成を示すブロック図である。

図１に示すネットワークシステムは、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェアを更新するためのシステムであり、サーバ１（センタ）と、車両に搭載される車載ネットワーク２とを備える。

サーバ１は、ネットワークを介して車両に搭載されたソフトウェア更新装置１１と通信可能であり、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェア更新を管理する。サーバ１は、第１通信方式及び第２通信方式を用いてソフトウェア更新装置１１と通信が可能である。第１通信方式を用いて通信を行う場合、サーバ１は、ソフトウェア更新装置１１と双方向の通信が可能なプロトコルやサービスを使用して通信を行う。また、第２通信方式を用いて通信を行う場合、サーバ１は、少なくともソフトウェア更新装置１１に対してデータを一方向に送信可能なプロトコルやサービスを使用して通信を行うことができれば良い。ただし、サーバ１が第２通信方式を使用する場合においても、ソフトウェア更新装置１１と双方向の通信が可能なプロトコルやサービスを使用しても良い。第１通信方式は、後述するソフトウェア更新処理を行う際にサーバ１とソフトウェア更新装置１１との間で種々の制御情報を送受信したり、サーバ１からソフトウェア更新装置１１へと更新データを送信したりする際に用いる通信方式である。第２通信方式は、サーバ１が第１通信方式によりソフトウェア更新装置１１と通信できない場合に、サーバ１からソフトウェア更新装置１１に対して通知を行う際に用いる通信方式である。第１通信方式及び第２通信方式は特に限定されないが、無線の通信方式を使用することが好ましい。例えば、第１通信方式の通信として、移動通信システムを用いた通信（３Ｇ通信、４Ｇ通信（ＬＴＥ、５Ｇ通信）や、Ｗｉ－Ｆｉ（登録商標）を用いた通信等を利用することができ、第２通信方式の通信として、移動通信システムを用いた通信や、ＳＭＳ等の通信サービスによる通信、ＢＬＥ（Bluetooth（登録商標） Low Energy）、Ｗｉ－Ｆｉ（登録商標）、充電設備（充電器）等を用いた通信を利用することができる。

図２に示すように、サーバ１は、ＣＰＵ２１と、ＲＡＭ２２と、記憶装置２３と、通信装置２４とを備える。記憶装置２３は、ハードディスクやＳＳＤ等の読み書き可能な記憶媒体を備え、ソフトウェアの更新管理を実行するためのソフトウェアや、後述する更新管理情報、電子制御ユニットの更新データを記憶する。サーバ１において、ＣＰＵ２１は、記憶装置２３から読み出したソフトウェアを、ＲＡＭ２２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置２４は、ネットワークを介してソフトウェア更新装置１１と通信を行う機器である。

車載ネットワーク２は、ソフトウェア更新装置１１（ＯＴＡマスタ）と、通信モジュール１２及び１６と、複数の電子制御ユニット１３ａ～１３ｄと、表示装置１４とを備える。ソフトウェア更新装置１１は、バス１５ａを介して通信モジュール１２及び１６と接続され、バス１５ｂを介して電子制御ユニット１３ａ及び１３ｂと接続され、バス１５ｃを介して電子制御ユニット１３ｃ及び１３ｄと接続され、バス１５ｄを介して表示装置１４と接続されている。ソフトウェア更新装置１１は、通信モジュール１２を介してサーバ１と双方向の通信（第１通信方式の通信）が可能であると共に、通信モジュール１６を介してサーバ１から少なくとも情報の受信（第２通信方式の通信）が可能である。ソフトウェア更新装置１１は、サーバ１から取得した更新データに基づいて、電子制御ユニット１３ａ～１３ｄのうちの更新対象の電子制御ユニットのソフトウェア更新を制御する。ソフトウェア更新装置１１は、セントラルゲートウェイと称される場合もある。通信モジュール１２及び１６は、車載ネットワーク２とセンタに設けられるサーバ１とを接続する通信機器である。本実施形態では、第１通信方式及び第２通信方式のそれぞれに対応して、通信モジュール１２及び１６が設けられているが、通信モジュール１２及び１６に代えて、第１通信方式による通信と第２通信方式による通信とが可能な１つの通信モジュールを設けても良い。電子制御ユニット１３ａ～１３ｄは、車両の各部の動作を制御するＥＣＵであり、ＣＰＵと、ＲＡＭと、フラッシュメモリやＥＥＰＲＯＭ等の不揮発性の記憶装置とを備え、ＣＰＵがＲＡＭを作業領域として用いて、記憶装置に記憶されたソフトウェアを実行することにより制御機能を実行する。表示装置１４（ＨＭＩ）は、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新処理時に、更新データがあることの表示や、ユーザに対してソフトウェア更新の許諾要求を求める表示、更新結果の表示等の各種表示を行うために用いられる。表示装置１４としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、ソフトウェアの更新処理時に必要な情報を表示可能なものであれば特に限定されない。尚、図１においては、４つの電子制御ユニット１３ａ～１３ｄを例示したが、電子制御ユニットの数は特に限定されない。また、図１に示すバス１５ｄには、表示装置１４以外の電子制御ユニットが更に接続されていても良い。

図３に示すように、ソフトウェア更新装置１１は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ３３と、記憶装置３４とを備えるマイクロコンピュータ３５と、通信装置３６とを備える。ソフトウェア更新装置１１において、マイクロコンピュータ３５のＣＰＵ３１は、ＲＯＭ３３から読み出したソフトウェアを、ＲＡＭ３２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置３６は、図１に示したバス１５ａ～１５ｄを介して、通信モジュール１２及び１６、電子制御ユニット１３ａ～１３ｄ、表示装置１４と通信を行う機器である。

図４は、図１に示したサーバの機能ブロック図であり、図５は、図１に示したサーバが記憶する更新管理情報の一例を示す図である。

サーバ１は、第１通信部２６と、第２通信部２７と、記憶部２８と、制御部２９とを備える。第１通信部２６、第２通信部２７及び制御部２９は、図２に示したＣＰＵ２１がＲＡＭ２２を用いて記憶装置２３に記憶されるソフトウェアを実行することにより実現され、記憶部２８は、図２に示した記憶装置２３により実現される。

第１通信部２６は、上述した第１通信方式を用いてソフトウェア更新装置１１と双方向の通信を行う。第１通信部２６は、ソフトウェア更新装置１１からソフトウェアの更新確認要求と更新有効化要求とを受信可能である。更新確認要求は、例えば、車両において電源またはイグニッションがオンされたときに、ソフトウェア更新装置１１からサーバ１へと送信される情報であって、電子制御ユニットのソフトウェアの更新データがあるか否かの確認をサーバ１に要求するための情報である。更新有効化要求は、ソフトウェア更新装置１１からサーバ１へと送信される情報であって、第１通信方式の通信を利用して電子制御ユニットのソフトウェア更新を行うことの有効化を要求するための情報である。また、第１通信部２６は、後述する制御部２９により、更新確認要求を送信した車両の電子制御ユニットのソフトウェア更新が必要であると判定した場合、記憶部２８に記憶される更新データをソフトウェア更新装置１１に送信する。

第２通信部２７は、上述した第２通信方式を用いてソフトウェア更新装置１１との通信を行う。第２通信部２７は、後述する制御部２９の判定結果に基づいて、更新確認要求または更新有効化要求を送信するように要求するメッセージをソフトウェア更新装置１１に送信する。

記憶部２８は、電子制御ユニットのソフトウェアの更新状態を管理するための更新管理情報を記憶する。更新管理情報は、図５に示すように、車両を識別する車両識別情報（車両ＩＤ）と、第１通信方式の通信を利用したソフトウェア更新処理が有効であるか否かを表す有効性情報と、利用可能な電子制御ユニットのソフトウェアを示す情報とを関連付けたものである。本実施形態では、利用可能な電子制御ユニットのソフトウェアを示す情報として、複数の電子制御ユニットのそれぞれのソフトウェアの最新のバージョン情報の組み合わせが定義されている。有効性情報は、ユーザや販売店の登録により設定され、有効性情報として「有効」が設定されている場合に、第１通信方式の通信により車両のソフトウェア更新が可能となる。また、図５に示す更新管理情報においては、有効性情報に「有効」と設定されている（つまり、第１通信方式の通信によるソフトウェア更新が実行可能である）車両ＩＤに、前回のソフトウェア更新が完了した日時である更新日時が更に関連付けて記憶されている。尚、図５に示す更新管理情報には、前回の更新日時に加えて、または、前回の更新日時に代えて、ソフトウェア更新装置１１から情報（例えば、更新確認要求や更新有効化要求）を受信した前回の日時（前回受信日時）を車載ＩＤに関連付けても良い。

図５においては、更新管理情報として、車両ＩＤに対して、有効性情報と利用可能なソフトウェアのバージョン情報とが関連付けられた１つのテーブルが設けられる例を示したが、有効性情報と、利用可能なソフトウェアのバージョン情報とは別のテーブルとして設けられていても良い。有効性情報と、利用可能なソフトウェアのバージョン情報とを別のテーブルとする場合、有効性情報は車両ＩＤ毎に設定する必要があるが、利用可能なソフトウェアのバージョン情報は、必ずしも車両ＩＤ毎に設定する必要はなく、例えば、車種（型式）を識別する車種ＩＤ毎に設定されていても良い。

本実施形態においては、記憶部２８は、電子制御ユニットの更新データを更に記憶する。ただし、記憶部２８に更新データを記憶させる代わりに、サーバ１とは別に更新データの配信サーバが設けられても良い。

制御部２９は、第１通信部２６が第１通信方式の通信により、ソフトウェア更新装置１１から更新確認要求または更新有効化要求を受信したか否かを判定する。制御部２９の判定は、例えば、第１通信部２６の通信ログ、または、記憶部２８に記憶される更新管理情報に基づいて行うことができる。また、制御部２９は、第１通信部２６がソフトウェア更新装置１１からソフトウェアの更新確認要求を受信した場合、記憶部２８に記憶される更新管理情報に基づいて、更新確認要求を送信したソフトウェア更新装置１１が搭載された車両において、電子制御ユニットのソフトウェアの更新が必要であるか否かを判定する。また、制御部２９は、第１通信部２６がソフトウェア更新装置１１からソフトウェアの更新有効化要求を受信すると、記憶部２８に記憶される更新管理情報の更新を行う。具体的には、制御部２９は、更新有効化要求を送信したソフトウェア更新装置１１に対応する有効性情報を有効にする。

図６は、図１に示したソフトウェア更新装置の機能ブロック図である。

ソフトウェア更新装置１１は、第１通信部３７と、第２通信部３８と、記憶部３９と、制御部４０と備える。第１通信部３７、第２通信部３８及び制御部４０は、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるソフトウェアを実行することにより実現される。記憶部３９は、図３に示した記憶装置３４により実現される。

第１通信部３７は、第１通信方式を用いてサーバ１と双方向の通信を行う。第１通信部３７は、例えば、車両の電源またはイグニッションがオンされたことを契機としてソフトウェアの更新確認要求を、第１通信方式の通信によりソフトウェア更新装置１１に送信し、サーバ１における確認結果（更新データがあるか否かを示す情報）を第１通信方式の通信により受信する。ソフトウェアの更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク２に接続される電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンとを含む。図５で説明したように、サーバ１において、ソフトウェアのバージョン情報を車両ＩＤ毎ではなく、車種ＩＤ毎に管理する場合は、第１通信部３７は、車種ＩＤを含む更新確認要求をサーバ１に送信する。電子制御ユニットのソフトウェアの更新データがある場合、第１通信部３７は、配信パッケージのダウンロード要求をサーバ１に送信し、サーバ１から送信される配信パッケージを受信する。配信パッケージは、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種制御情報等を含んでいても良い。第１通信部３７は、受信した配信パッケージを記憶部３９に記憶させる。第１通信部３７は、受信した更新データの真正性を検証する。また、第１通信部３７は、ユーザからの指示に基づき、第１通信方式の通信により電子制御ユニットのソフトウェア更新を有効化するための更新有効化要求を、第１通信方式の通信によりサーバ１に送信する。

第２通信部３８は、第２通信方式を用いてサーバ１から送信された通知を受信する。この通知は、上述した更新確認要求の送信または更新有効化要求の送信を要求するメッセージ等であり、第１通信方式を用いて第１通信部３７とサーバ１との間の通信ができない場合にサーバ１から送信される。

記憶部３９は、第１通信部３７がサーバ１から受信した更新データを記憶する。

制御部４０は、第１通信部３７による配信パッケージのダウンロードが完了すると、更新対象の電子制御ユニットのインストール及びアクティベートを行う。尚、更新対象の電子制御ユニットは、配信パッケージに含まれる情報（更新データに関連付けられた電子制御ユニットの識別情報等）に基づいて特定することができる。また、制御部４０は、第２通信部３８がサーバ１から第２通信方式の通信により通知を受信した場合、通知内容を表示装置１４やスピーカー（図示せず）等の出力装置に出力させることによりユーザ等に提示する。

ここで、ソフトウェアの更新処理は、サーバ１から更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットの記憶領域に更新データをインストールするフェーズと、更新対象の電子制御ユニットにおいてインストールした更新版のソフトウェアを有効化するアクティベートのフェーズとからなる。

ダウンロードは、サーバ１から送信された、電子制御ユニットのソフトウェアを更新するための更新データを受信して記憶する処理である。ダウンロードのフェーズでは、更新データの受信だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含む。インストールは、ダウンロードした更新データに基づいて、更新対象の電子制御ユニットに車載機器の記憶部に更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールのフェーズでは、インストール実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含む。アクティベートは、インストールした更新版のプログラムを有効化（アクティベート）する処理である。アクティベートする制御は、アクティベート実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含む。

サーバ１からソフトウェア更新装置１１に送信される更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。また、更新データは、更新対象の電子制御ユニットを識別する識別子（ＥＣＵ ＩＤ）と、更新前のソフトウェアを識別する識別子（ＥＣＵ ソフトウェア ＩＤ）を含んでいても良い。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一または複数の電子制御ユニットの更新データが含まれる。

更新データが更新ソフトウェアそのものを含む場合は、インストールのフェーズにおいて、ソフトウェア更新装置が更新データ（更新ソフトウェア）を更新対象の電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、差分データあるいは分割データを含む場合、ソフトウェア更新装置１１が更新対象の電子制御ユニットに更新データを転送し、更新対象の電子制御ユニットが更新データから更新ソフトウェアを生成しても良いし、ソフトウェア更新装置１１が更新データから更新ソフトウェアを生成してから、更新ソフトウェアを更新対象の電子制御ユニットに転送しても良い。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データまたは分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ソフトウェア更新装置１１からのインストール要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にインストールを行っても良い。

更新ソフトウェアのアクティベートは、ソフトウェア更新装置１１からのアクティベート要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にアクティベートを行っても良い。

尚、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

尚、本明細書における「ソフトウェア更新処理」は、ダウンロード・インストール・アクティベートの全てを連続して行う処理だけでなく、ダウンロード・インストール・アクティベートの一部のみを行う処理も含む。

以下、サーバ１及びソフトウェア更新装置１１が実行する制御処理を説明する。

図７は、実施形態に係るサーバが実行する制御処理の一例を示すフローチャートである。図７に示す制御処理は、第１通信方式を用いた通信によるソフトウェア更新が無効である車両と、更新確認要求をサーバに１に送信していない車両とを特定し、特定した車両に対して第２通信方式を用いた通信により通知を行う処理である。したがって、サーバ１は、図７に示す制御処理を定期的に繰り返し実行する。

ステップＳ１において、制御部２９は、記憶部２８に記憶される更新管理情報を参照し、有効性情報が「有効」に設定されていない車両（車両ＩＤ）があるか否かを判定する。ステップＳ１の判定は、ＯＴＡによるソフトウェア更新を有効とするための更新有効化要求を、第１通信方式の通信により、第１通信部２６が各車両から受信したか否かを判定する処理である。ステップＳ１の判定がＹＥＳの場合、処理はステップＳ２に進み、それ以外の場合、処理はステップＳ３に進む。

ステップＳ２において、第２通信部２７は、ステップＳ１で特定された１以上の車両に対して、ソフトウェアの更新有効化要求を送信するように要求する通知を、第２通信方式を用いた通信により送信する。その後、処理はステップＳ３に進む。

ステップＳ３において、制御部２９は、更新データの有無を確認するための更新確認要求を受信していない車両があるか否かを判定する。ステップＳ３の判定は、第１通信方式の通信により、第１通信部２６が更新確認要求を受信したか否かを判定する処理である。例えば、制御部２９は、記憶部２８に記憶される更新管理情報を参照し、前回更新日時と現在の日時とに基づいて、前回の電子制御ユニットのソフトウェア更新から所定期間が経過している車両（車両ＩＤ）があるか否かを判定する。尚、更新管理情報に前回更新日時の代わりに、前回受信日時（ソフトウェア更新装置１１から情報を受信した前回の日時）が記録されている場合は、前回受信日時と現在の日時とに基づいて、前回の情報受信から所定期間が経過している車両があるか否かを判定すれば良い。また、更新管理情報に前回更新日時と共に前回受信日時が記録されている場合は、前回更新日時からの経過時間と前回受信日時からの経過時間とのいずれかに基づいて、ステップＳ３の判定を行っても良い。別の例として、電子制御ユニットの更新データがリリースされてから（ソフトウェア更新のキャンペーンが告知されてから）所定時間が経過したか否かに基づいて、ステップＳ３の判定を行っても良い。ステップＳ３の判定がＹＥＳの場合、処理はステップＳ４に進み、それ以外の場合、処理を終了する。

ステップＳ４において、第２通信部２７は、ステップＳ３で特定された１以上の車両に対して、ソフトウェアの更新確認要求を送信するように要求する通知を、第２通信方式の通信により送信する。その後、処理を終了する。

図８は、実施形態に係るサーバが実行する制御処理の他の一例を示すフローチャートである。図８に示す制御処理は、サーバ１が、第１通信方式を用いた通信により、ソフトウェア更新装置１１から更新確認要求または更新有効化要求を受信した場合に実行する処理である。図８の制御処理は、例えば所定の時間間隔で繰り返し実行される。

ステップＳ１１において、第１通信部２６は、ソフトウェア更新装置１１から更新確認要求を受信したか否かを判定する。ステップＳ１１の判定がＹＥＳの場合、処理はステップＳ１２に進み、それ以外の場合、処理はステップＳ１３に進む。

ステップＳ１２において、第１通信部２６は、更新確認要求を送信した車両に対して、電子制御ユニットのソフトウェアの更新データがあるか否かを示す情報を送信する。更新データの有無は、例えば、制御部２９が、記憶部２８に記憶される更新管理情報を参照し、更新確認要求に含まれる車両ＩＤに関連付けて更新管理情報に記憶されているソフトウェアのバージョンの組み合わせと、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせとを比較し、更新確認要求に含まれる現在のバージョンの組み合わせが、更新管理情報に記憶されているバージョンの組み合わせより古い場合に、更新データがあると判定することができる。その後、処理はステップＳ１３に進む。

ステップＳ１３において、第１通信部２６は、配信パッケージのダウンロード要求をソフトウェア更新装置１１から受信したか否かを判定する。ステップＳ１３の判定がＹＥＳの場合、処理はステップＳ１４に進み、それ以外の場合、処理はステップＳ１５に進む。

ステップＳ１４において、第１通信部２６は、ダウンロード要求を送信した車両のソフトウェアを更新するための更新データを含む配信パッケージ生成し、生成した配信パッケージをソフトウェア更新装置１１に送信する。その後、処理はステップＳ１５に進む。

ステップＳ１５において、制御部２９は、ソフトウェア更新装置１１から更新有効化要求を受信したか否かを判定する。ステップＳ１５の判定がＹＥＳの場合、処理はステップＳ１６に進み、それ以外の場合、処理はステップＳ１１に進む。

ステップＳ１６において、制御部２９は、更新有効化要求において特定される車両ＩＤに対応する有効性情報を「有効」に更新する。その後、処理はステップＳ１１に進む。

図９は、実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャートである。図９は、ソフトウェア更新装置１１が実行するソフトウェア更新処理の概略を示したものである。図９の制御処理は、例えば、車両の電源またはイグニッションがオンされたことを契機として実行される。

ステップＳ２１において、第１通信部３７は、車両ＩＤと電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンの組み合わせとを含む更新確認要求を、第１通信方式の通信によりサーバ１に送信する。その後、処理はステップＳ２２に進む。

第１通信部３７は、サーバ１から確認結果を受信する。その後、処理はステップＳ２３に進む。

ステップＳ２３において、制御部４０は、サーバ１から受信した確認結果に基づいて、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新データがあるか否かを判定する。ステップＳ２３の処理がＹＥＳの場合、処理はステップＳ２４に進み、それ以外の場合、処理を終了する。

ステップＳ２４において、第１通信部３７は、ダウンロード処理を実行する。より詳細には、第１通信部３７は、サーバ１に配信パッケージのダウンロード要求を送信し、ダウンロード要求に応答して送信される配信パッケージを受信し、受信した配信パッケージを記憶部３９に格納する。第１通信部３７は、受信した配信パッケージに含まれる更新データの真正性を検証する。ステップＳ２４において、ダウンロードの実行可否の判定や、サーバ１に対してダウンロードが完了したことの通知を行っても良い。その後、処理はステップＳ２５に進む。

ステップＳ２５において、制御部４０は、更新対象の電子制御ユニットに対してインストール処理を実行する。ステップＳ２５のインストール処理は、インストールの実行可否の判断、ユーザにインストールの承諾を要求し、承諾の入力を受け付ける処理、ソフトウェア更新装置１１から更新対象の電子制御ユニットへの更新データの転送、更新対象の電子制御ユニットへのインストール要求、更新対象の電子制御ユニットへのインストールの検証要求等を含む。更新対象の電子制御ユニットは、ソフトウェア更新装置１１から受信した更新データを用いて更新版のソフトウェアを格納領域にインストールする。その後、処理はステップＳ２６に進む。

ステップＳ２６において、制御部４０は、更新対象の電子制御ユニットに対してアクティベート処理を実行する。ステップＳ２６のアクティベート処理は、アクティベートの実行可否の判断、ユーザにアクティベートの承諾を要求し、承諾の入力を受け付ける処理、更新対象の電子制御ユニットへのアクティベート要求等を含む。更新対象の電子制御ユニットは、実行対象のソフトウェアを更新板のソフトウェアに切り替えることにより、更新版のソフトウェアを有効化して起動する。その後、処理を終了する。

図１０は、実施形態に係るソフトウェア更新装置が実行する制御処理の他の一例を示すフローチャートである。図１０に示す制御処理は、ソフトウェア更新装置１１が、サーバ１から第２通信方式の通信により通知を受信した場合に実行する処理である。

ステップＳ３１において、制御部４０は、第２通信部３８が第２通信方式の通信によりサーバ１から通知を受信したか否かを判定する。ステップＳ３１の判定がＹＥＳの場合、処理はステップＳ３２に進み、それ以外の場合、処理を終了する。

ステップＳ３２において、制御部４０は、第２通信部３８が受信した通知を表示装置１４に表示する。具体的に、ステップＳ３１で受信した通知が、更新確認要求の送信を要求するものである場合、車両が第１通信方式によりサーバ１に通信できない状況が所定期間継続していることが想定される。この場合、表示装置１４には、ソフトウェアの更新確認を行うために、通信環境の良い場所で、更新確認要求の送信契機となる操作（例えば、車両の電源またはイグニッションをオンにする操作）を促すメッセージを表示すれば良い。また、ステップＳ３２で受信した通知が、更新有効化要求の送信を要求するものである場合、第１通信方式の通信を利用した、ＯＴＡによるソフトウェア更新を行うことを有効化する登録が行われていないため、ＯＴＡよるソフトウェア更新の有効化を促すメッセージを表示装置１４に表示すれば良い。ステップＳ３２において、制御部４０は、第２通信部３８が受信した通知に関する情報を表示装置１４に表示させる代わりに、当該情報をスピーカ等の出力装置に音声で出力させても良い。その後、処理はステップＳ３３に進む。

ステップＳ３３において、制御部４０は、ＯＴＡによるソフトウェア更新の有効化をサーバ１に要求する指示が入力されたか否かを判定する。ステップＳ３３の判定は、例えば、ステップＳ３２で表示したＯＴＡによるソフトウェア更新の有効化を促すメッセージに対して、車両に設けられた入力装置の特定の操作が実行されたか否かに基づいて行うことができる。ステップＳ３３の判定がＹＥＳの場合、処理はステップＳ３４に進み、それ以外の場合、処理を終了する。

ステップＳ３４において、第１通信部３７は、ＯＴＡによるソフトウェア更新の有効化を要求する更新有効化要求をサーバ１に送信する。その後、処理を終了する。

尚、ステップＳ３２において、更新確認要求の送信契機となる特定の操作（例えば、車両の電源またはイグニッションをオンにする操作）を促すメッセージを表示した後、ユーザにより当該特定の操作が行われた場合、ソフトウェア更新装置１１は、図９に示した制御処理を実行する。

以上説明したように、本実施形態に係るサーバ１は、ソフトウェア更新装置１１との間で第１通信方式を用いて双方向の通信が可能な第１通信部２６と、ソフトウェア更新装置１１に対して第２通信方式を用いて情報の送信が可能な第２通信部２７とを有する。サーバ１は、ソフトウェア更新装置１１から第１通信方式の通信により特定の要求（更新確認要求または更新有効化要求）を受信しない場合、第２通信方式の通信によりソフトウェア更新装置１１に通知を行うことにより、当該特定の要求の送信を要求することができる。このように、サーバ１が、第１通信方式とは別の第２通信方式を使用して、ソフトウェアの更新処理に関わる特定の要求が送信されていないことをサーバからソフトウェア更新装置に通知することができるので、ソフトウェア更新装置１１がサーバ１に対して情報を送信できない場合に、車両に電子制御ユニットのソフトウェアの更新データがあることや、ＯＴＡによるソフトウェア更新の有効化を行う必要があることを通知することができる。

また、サーバ１は、更新有効化要求を受信した場合、更新管理情報に含まれる有効化情報を更新することにより、ＯＴＡによる電子制御ユニットのソフトウェア更新を有効にすることができる。

また、サーバ１は、更新確認要求を受信した場合、電子制御ユニットのソフトウェアの更新が必要であれば、記憶部に記憶される更新データをソフトウェア更新装置に送信して、ソフトウェア更新処理を実行させることができる。

（変形例）
上記の実施形態において、ソフトウェア更新装置１１は更に、ＯＴＡによるソフトウェア更新の有効状態を管理しても良い。具体的に、ソフトウェア更新装置１１の記憶部３９は、第１通信方式の通信を用いた電子制御ユニットのソフトウェア更新が有効であるか否かを表す有効性情報を記憶する。有効性情報が有効でない場合、ソフトウェア更新装置１１は、ＯＴＡによる電子制御ユニットのソフトウェア更新を行うことができず、例えば、図９に示したステップＳ２１の更新確認要求をサーバ１に送信することができない。記憶部３９に記憶される有効性情報が有効に更新されると、第１通信部３７は、第１通信方式の通信を用いて、ＯＴＡによるソフトウェア更新の有効化を要求する更新有効化要求をサーバ１に送信する。

図１１は、変形例に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャートである。図１１に示す制御処理は、ＯＴＡによるソフトウェア更新の有効化をサーバ１に要求する指示が入力されたことを契機として開始される処理であり、図10に示した制御処理とは別に実行することができる。

ステップＳ４１において、制御部４０は、記憶部３９に記憶される有効性情報を有効に更新する。その後、処理はステップＳ４２に進む。

ステップＳ４２において、第１通信部３７は、ＯＴＡによるソフトウェア更新の有効化を要求する更新有効化要求をサーバ１に送信する。その後、処理を終了する。

尚、変形例において、サーバ１が実行する制御処理は図８で説明したものと同じであり、サーバ１は、ステップＳ４２で送信された更新有効化要求を受信すると、更新有効化要求を送信した車両に対応する有効性情報（更新管理情報に含まれる有効性情報）を有効に更新し、以降のＯＴＡによる電子制御ユニットのソフトウェア更新が可能となる。

本変形例では、ソフトウェア更新装置１１が、ＯＴＡによるソフトウェア更新の有効状態を示す有効性情報を有しており、この有効性情報が有効に更新されたことを契機として、サーバ１に対して更新有効化要求を送信することができる。

（その他の変形例等）
実施形態として例示したサーバ１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備えるコンピュータが実行する更新管理方法、あるいは、当該コンピュータに実行させる更新管理プログラム、更新管理プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。同様に、実施形態として例示したソフトウェア更新装置１１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備える、車載されたコンピュータが実行する更新制御方法、あるいは、当該車載されたコンピュータに実行させる更新制御プログラム、更新制御プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。

上記の実施形態では、車両側において、車載ネットワークに設けられたソフトウェア更新装置１１が、マスタ装置として、全ての電子制御ユニット１３ａ～１３ｄのソフトウェア更新を制御する例を説明したが、ソフトウェア更新装置１１を設ける代わりに、電子制御ユニット１３ａ～１３ｄのいずれか１つが図９及び図１０に示した更新制御機能を有しており、他の電子制御ユニットのソフトウェア更新を制御しても良い。また、ソフトウェア更新装置１１を設ける代わりに、図９及び図１０に示した更新制御機能を車載ネットワーク２に有線で接続可能な外部機器に設け、この外部機器を用いて電子制御ユニット１３ａ～１３ｄのソフトウェア更新処理を行うことも可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１ サーバ
２ 車載ネットワーク
１１ ソフトウェア更新装置
１３ａ～１３ｄ 電子制御ユニット
２６ 第１通信部
２７ 第２通信部
２８ 記憶部
２９ 制御部
３７ 第１通信部
３８ 第２通信部
３９ 記憶部
４０ 制御部

Claims (14)

1. 電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と通信可能なサーバであって、
   第１通信方式を用いて前記ソフトウェア更新装置と双方向の通信が可能な第１通信部と、
   前記第１通信方式とは異なる第２通信方式を用いて前記ソフトウェア更新装置に対して情報の送信が可能な第２通信部と、
   前記第１通信部が前記第１通信方式を用いて前記ソフトウェア更新装置から特定の要求を受信したか否かを判定する制御部とを備え、
   前記第１通信部が前記ソフトウェア更新装置から前記特定の要求を受信していないと前記制御部が判定した場合、前記第２通信部が前記第２通信方式を用いて前記ソフトウェア更新装置に通知を行う、サーバ。
2. 前記特定の要求は、前記第１通信方式の通信を用いた前記電子制御ユニットのソフトウェア更新を有効にすることを要求するための更新有効化要求である、請求項１に記載のサーバ。
3. 前記通知は、前記ソフトウェア更新装置に対して前記更新有効化要求の送信を求める通知である、請求項２に記載のサーバ。
4. 車両を識別する車両識別情報と、前記第１通信方式の通信を用いたソフトウェアの更新が有効であるか否かを表す有効性情報とを関連付けた更新管理情報を記憶する記憶部を備え、
   前記第１通信部が前記特定の要求として、前記更新有効化要求を前記ソフトウェア更新装置から受信すると、前記制御部は、前記更新有効化要求を送信したソフトウェア更新装置に対応する前記有効性情報を有効にする、請求項２または３に記載のサーバ。
5. 前記特定の要求は、前記第１通信方式の通信を用いた前記電子制御ユニットのソフトウェアの更新データがあるか否かを確認するための更新確認要求である、請求項１に記載のサーバ。
6. 前記通知は、前記ソフトウェア更新装置に対して前記更新確認要求の送信を求める通知である、請求項５に記載の更新管理サーバ。
7. プロセッサと、メモリと、記憶装置とを備えたコンピュータが実行する更新管理方法であって、前記コンピュータは、電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と第１通信方式を用いて双方向の通信が可能であると共に、前記第１通信方式とは異なる第２通信方式を用いて前記ソフトウェア更新装置に対して情報の送信が可能であり、
   前記更新管理方法は、
   前記第１通信方式を用いて前記ソフトウェア更新装置から特定の要求を受信したか否かを判定するステップと、
   前記ソフトウェア更新装置から前記特定の要求を受信していないと判定された場合、前記第２通信方式を用いて前記ソフトウェア更新装置に通知を行うステップとを含む、更新管理方法。
8. プロセッサと、メモリと、記憶装置とを備えたコンピュータが実行する更新管理プログラムであって、前記コンピュータは、電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置と第１通信方式を用いて双方向の通信が可能であると共に、前記第１通信方式とは異なる第２通信方式を用いて前記ソフトウェア更新装置に対して情報の送信が可能であり、
   前記更新管理プログラムは、
   前記第１通信方式を用いて前記ソフトウェア更新装置から特定の要求を受信したか否かを判定するステップと、
   前記ソフトウェア更新装置から前記特定の要求を受信していないと判定された場合、前記第２通信方式を用いて前記ソフトウェア更新装置に通知を行うステップとを含む、更新管理プログラム。
9. 電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置であって、
   第１通信方式を用いてサーバと双方向の通信が可能な第１通信部と、
   前記第１通信方式とは異なる第２通信方式を用いて前記サーバから情報の受信が可能な第２通信部と、
   前記第２通信部が前記サーバから通知を受信したか否かを判定する制御部とを備え、
   前記制御部は、前記第２通信部が前記サーバから前記通知を受信したと判定した場合、受信した通知に係る情報を出力装置に出力させる、ソフトウェア更新装置。
10. 前記第１通信方式の通信を用いた前記電子制御ユニットのソフトウェア更新が有効であるか否かを表す有効性情報を記憶する記憶部を備え、
    前記第１通信部は、前記記憶部に記憶される有効性情報が有効に更新されると、前記第１通信方式の通信を用いた前記電子制御ユニットのソフトウェア更新を有効にすることを要求するための更新有効化要求を前記サーバに送信する、請求項９に記載のソフトウェア更新装置。
11. サーバと、
    電子制御ユニットのソフトウェアの更新を制御するソフトウェア更新装置とを備え、
    前記サーバは、
    第１通信方式を用いて前記ソフトウェア更新装置と双方向の通信が可能な第１通信部と、
    前記第１通信方式とは異なる第２通信方式を用いて前記ソフトウェア更新装置に対して情報の送信が可能な第２通信部と、
    前記第１通信部が前記第１通信方式を用いて前記ソフトウェア更新装置から特定の要求を受信したか否かを判定する第１制御部とを備え、
    前記ソフトウェア更新装置は、
    前記第１通信方式を用いて前記サーバと双方向の通信が可能な第３通信部と、
    前記第２通信方式を用いて前記サーバから情報の受信が可能な第４通信部と、
    前記第４通信部が前記サーバから通知を受信したか否かを判定する第２制御部とを備え、
    前記第１通信部が前記ソフトウェア更新装置から前記特定の要求を受信していないと前記制御部が判定した場合、前記第２通信部が前記第２通信方式を用いて前記ソフトウェア更新装置に通知を行い、
    前記第２制御部は、前記第４通信部が前記サーバから前記通知を受信したと判定した場合、受信した通知に係る情報を出力装置に出力させる、システム。
12. 電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタと通信可能なセンタであって、
    第１通信方式を用いて前記ＯＴＡマスタと双方向の通信が可能な第１通信部と、
    前記第１通信方式とは異なる第２通信方式を用いて前記ＯＴＡマスタに対して情報の送信が可能な第２通信部と、
    前記第１通信部が前記第１通信方式を用いて前記ＯＴＡマスタから特定の要求を受信したか否かを判定する制御部とを備え、
    前記第１通信部が前記ＯＴＡマスタから前記特定の要求を受信していないと前記制御部が判定した場合、前記第２通信部が前記第２通信方式を用いて前記ＯＴＡマスタに通知を行う、センタ。
13. 電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタであって、
    第１通信方式を用いてセンタと双方向の通信が可能な第１通信部と、
    前記第１通信方式とは異なる第２通信方式を用いて前記センタから情報の受信が可能な第２通信部と、
    前記第２通信部が前記センタから通知を受信したか否かを判定する制御部とを備え、
    前記制御部は、前記第２通信部が前記サーバから前記通知を受信したと判定した場合、受信した通知に係る情報を出力装置に出力させる、
    ＯＴＡマスタ。
14. センタと、
    電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタとを備え、
    前記センタは、
    第１通信方式を用いて前記ＯＴＡマスタと双方向の通信が可能な第１通信部と、
    前記第１通信方式とは異なる第２通信方式を用いて前記ＯＴＡマスタに対して情報の送信が可能な第２通信部と、
    前記第１通信部が前記第１通信方式を用いて前記ＯＴＡマスタから特定の要求を受信したか否かを判定する第１制御部とを備え、
    前記ＯＴＡマスタは、
    前記第１通信方式を用いて前記センタと双方向の通信が可能な第３通信部と、
    前記第２通信方式を用いて前記センタから情報の受信が可能な第４通信部と、
    前記第４通信部が前記センタから通知を受信したか否かを判定する第２制御部とを備え、
    前記第１通信部が前記ＯＴＡマスタから前記特定の要求を受信していないと前記制御部が判定した場合、前記第２通信部が前記第２通信方式を用いて前記ＯＴＡマスタに通知を行い、
    前記第２制御部は、前記第４通信部が前記センタから前記通知を受信したと判定した場合、受信した通知に係る情報を出力装置に出力させる、システム。

Images