JP2022024746A - ソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバ - Google Patents

Abstract

【課題】ソフトウェア更新のキャンペーンがキャンセルされた場合に、更新対象であった電子制御ユニットのソフトウェアを、有効かつ最新の状態に維持できるソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバを提供する。【解決手段】本開示に係るソフトウェア更新装置は、電子制御ユニットのソフトウェアの更新データをサーバからダウンロードする第１通信部と、更新データのインストール前に、更新データが有効であるか否かを確認するための有効性確認要求をサーバに送信し、更新データが有効であるか否かを示す確認結果をサーバから受信する第２通信部と電子制御ユニットのソフトウェア更新を制御する制御部とを備え、制御部は、第２通信部が受信した確認結果に基づいて更新データが有効でないと判定される場合、更新データのインストールを行わないものである。【選択図】図８

Description

本開示は、電子制御ユニットのソフトウェアの更新を制御するためのソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ）が搭載されている。ＥＣＵは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが不揮発性の記憶部に記憶されるソフトウェアを実行することによりＥＣＵの制御機能を実現する。各ＥＣＵが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各ＥＣＵの機能を改善したり、新たな車両制御機能を追加したりすることができる。

ＥＣＵのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネット等の通信ネットワークとを無線で接続し、無線通信を介してサーバからソフトウェアをダウンロードし、ダウンロードしたソフトウェアをインストールすることによりＥＣＵのプログラム更新や追加を行うＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）技術が知られている（例えば、特許文献１参照）。

ＯＴＡによるソフトウェアの更新は、ソフトウェア更新を行うイベント（キャンペーン）がサーバに登録された後、車両がサーバに更新データの有無の確認を要求したことを契機として行われる。ソフトウェア更新のキャンペーンがある場合、車両は、更新データのダウンロード、更新データのインストール及び更新版のソフトウェアのアクティベートを順次行うことにより、更新対象の電子制御ユニットのソフトウェアを更新する。

特開２００４－３２６６８９号公報

車両においては、ダウンロード、インストール及びアクティベートの全処理が連続して行われず、例えば、更新データのダウンロード後、時間が経過してからインストール以降の処理が行われるケースが想定される。一方、サーバにおいては、車両が更新データをダウンロードした後に、ソフトウェア更新のキャンペーンがキャンセルされる可能性がある。キャンペーンがキャンセルされた場合、更新対象の電子制御ユニットのソフトウェアは、キャンセルされたキャンペーンの登録前における有効かつ最新のものであることが必要である。

それ故に、本開示は、ソフトウェア更新のキャンペーンがキャンセルされた場合に、更新対象であった電子制御ユニットのソフトウェアを、有効かつ最新の状態に維持できるソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバを提供することを目的とする。

本開示に係るソフトウェア更新装置は、電子制御ユニットのソフトウェアの更新データをサーバからダウンロードする第１通信部と、更新データのインストール前に、更新データが有効であるか否かを確認するための有効性確認要求をサーバに送信し、更新データが有効であるか否かを示す確認結果をサーバから受信する第２通信部と電子制御ユニットのソフトウェア更新を制御する制御部とを備え、制御部は、第２通信部が受信した確認結果に基づいて更新データが有効でないと判定される場合、更新データのインストールを行わないものである。

本開示に係る更新制御方法は、プロセッサと、メモリと、記憶装置とを備えるコンピュータが、車両に搭載された電子制御ユニットのソフトウェア更新を制御するために実行する方法であって、電子制御ユニットのソフトウェアの更新データをサーバからダウンロードするステップと、更新データのインストール前に、更新データが有効であるか否かを確認するための有効性確認要求をサーバに送信し、更新データが有効であるか否かを示す確認結果をサーバから受信するステップと、電子制御ユニットのソフトウェア更新を制御するステップとを含み、ソフトウェア更新を制御するステップにおいて、サーバから受信した確認結果に基づいて更新データが有効でないと判定される場合、更新データのインストールを行わないものである。

本開示に係る更新制御プログラムは、プロセッサと、メモリと、記憶装置とを備えるコンピュータが、車両に搭載された電子制御ユニットのソフトウェア更新を制御するために実行するプログラムであって、電子制御ユニットのソフトウェアの更新データをサーバからダウンロードするステップと、更新データのインストール前に、更新データが有効であるか否かを確認するための有効性確認要求をサーバに送信し、更新データが有効であるか否かを示す確認結果をサーバから受信するステップと、電子制御ユニットのソフトウェア更新を制御するステップとを含み、ソフトウェア更新を制御するステップにおいて、サーバから受信した確認結果に基づいて更新データが有効でないと判定される場合、更新データのインストールを行わないものである。

本開示に係るサーバは、電子制御ユニットのソフトウェアの更新データを車両に送信する第１通信部と、更新データが有効であるか否かを確認するための有効性確認要求を車両から受信すると、更新データが有効であるか否かを示す確認結果を車両に送信する第２通信部とを備え、第２通信部は、更新データを用いたソフトウェア更新がキャンセルされた場合、更新データが有効でないことを示す確認結果を車両に送信するものである。

本開示によれば、ソフトウェア更新のキャンペーンがキャンセルされた場合に、更新対象であった電子制御ユニットのソフトウェアを、有効かつ最新の状態に維持できるソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバを提供できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 図１に示したサーバの概略構成を示すブロック図 図１に示したソフトウェア更新装置の概略構成を示すブロック図 図１に示したサーバの機能ブロック図 図１に示したソフトウェア更新装置の機能ブロック図 実施形態に係るサーバが実行する制御処理の一例を示すフローチャート 実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャート 図７に示すインストール／アクティベート処理の詳細を示すフローチャート 図８に示す復元処理の詳細を示すフローチャート

（第１の実施形態）
図１は、実施形態に係るネットワークシステムの全体構成を示すブロック図であり、図２は、図１に示したサーバの概略構成を示すブロック図であり、図３は、図１に示したソフトウェア更新装置の概略構成を示すブロック図である。

図１に示すネットワークシステムは、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェアを更新するためのシステムであり、サーバ１（センタ）と、車両に搭載される車載ネットワーク２とを備える。

サーバ１は、ネットワーク５を介して車両に搭載されたソフトウェア更新装置１１と通信可能であり、車両に搭載された電子制御ユニット１３ａ～１３ｄのソフトウェア更新を管理する。

図２に示すように、サーバ１は、ＣＰＵ２１と、ＲＡＭ２２と、記憶装置２３と、通信装置２４とを備える。記憶装置２３は、ハードディスクやＳＳＤ等の読み書き可能な記憶媒体を備え、ソフトウェアの更新管理を実行するためのプログラムや、更新管理に用いる情報、電子制御ユニットの更新データを記憶する。サーバ１において、ＣＰＵ２１は、記憶装置２３から読み出したプログラムを、ＲＡＭ２２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置２４は、ネットワークを介してソフトウェア更新装置１１と通信を行う機器である。

車載ネットワーク２は、ソフトウェア更新装置１１（ＯＴＡマスタ）と、通信モジュール１２と、複数の電子制御ユニット１３ａ～１３ｄと、表示装置１４とを備える。ソフトウェア更新装置１１は、バス１５ａを介して通信モジュール１２と接続され、バス１５ｂを介して電子制御ユニット１３ａ及び１３ｂと接続され、バス１５ｃを介して電子制御ユニット１３ｃ及び１３ｄと接続され、バス１５ｄを介して表示装置１４と接続されている。ソフトウェア更新装置１１は、通信モジュール１２を介してサーバ１と無線での通信が可能である。ソフトウェア更新装置１１は、サーバ１から取得した更新データに基づいて、電子制御ユニット１３ａ～１３ｄのうちの更新対象の電子制御ユニットのソフトウェア更新を制御する。ソフトウェア更新装置１１は、セントラルゲートウェイと称される場合もある。通信モジュール１２は、車載ネットワーク２とサーバ１とを接続する通信機器である。電子制御ユニット１３ａ～１３ｄは、車両の各部の動作を制御する。表示装置１４（ＨＭＩ）は、電子制御ユニット１３ａ～１３ｄのソフトウェアの更新処理時に、更新データがあることの表示や、ユーザや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、更新結果の表示等の各種表示を行うために用いられる。表示装置１４としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、プログラムの更新処理時に必要な情報を表示可能なものであれば特に限定されない。尚、図１においては、４つの電子制御ユニット１３ａ～１３ｄを例示したが、電子制御ユニットの数は特に限定されない。また、図１に示すバス１５ｄには、表示装置１４以外の電子制御ユニットが更に接続されていても良い。

電子制御ユニット１３ａ～１３ｄは、ＣＰＵと、ＲＡＭと、不揮発性メモリと、通信装置とを備える。ＣＰＵは、不揮発性メモリから読み出したソフトウェア（プログラム）を、ＲＡＭを作業領域として用いて実行することにより、各電子制御ユニットの機能を実現する。ここで、電子制御ユニットには、ソフトウェアを格納するための１つのデータ格納領域（バンク）を有するものと、ソフトウェアを格納するための２つのデータ格納領域（バンク）を有するものとがある。電子制御ユニットのデータ格納領域には、電子制御ユニットの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラム等が格納される場合がある。１つのデータ格納領域を持つ電子制御ユニットにおいては、データ格納領域に更新データをインストールすることにより、電子制御ユニットのソフトウェアに影響が生じる。一方、２つのデータ格納領域を持つ電子ユニットにおいては、２つのデータ格納領域のうち、いずれか一方を読み出し対象の格納領域（運用面）とし、読み出し対象の格納領域に格納されるソフトウェアを実行する。読み出し対象でない他方の格納領域（非運用面）には、読み出し対象の格納領域（運用面）のプログラムの実行中に、バックグラウンドで更新データを書き込み可能である。ソフトウェア更新処理におけるアクティベート時には、ＣＰＵ４１によるプログラムの読み出し対象の格納領域を切り替えることにより、更新版のソフトウェアをアクティベートすることができる。

尚、本開示において、２つのデータ格納領域を有する電子制御ユニットには、不揮発性メモリが有する１面のデータ格納領域を擬似的に２面に区画し、一方の面のプログラムを実行中に他方の面にプログラムを書き込み可能にした「１面サスペンドメモリ」と呼ばれる構成のメモリを備えた電子制御ユニットと、１面のデータ格納領域を有する不揮発性メモリに加え、１面のデータ格納領域を有する拡張不揮発性メモリを備え、これら２つの不揮発性メモリを運用面及び非運用面として使用可能な電子制御ユニットも含まれる。

図３に示すように、ソフトウェア更新装置１１は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ３３と、記憶装置３４とを備えるマイクロコンピュータ３５と、通信装置３６とを備える。ソフトウェア更新装置１１において、マイクロコンピュータ３５のＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、後述する制御処理を実行する。通信装置３６は、図１に示したバス１５ａ～１５ｄを介して、通信モジュール１２、電子制御ユニット１３ａ～１３ｄ、表示装置１４と通信を行う機器である。

ここで、ソフトウェアの更新処理は、サーバ１から更新データをダウンロードするフェーズと、ダウンロードした更新データを更新対象の電子制御ユニットに転送し、更新対象の電子制御ユニットの記憶領域に更新データをインストールするフェーズと、更新対象の電子制御ユニットにおいてインストールした更新版のソフトウェアを有効化するアクティベートのフェーズとからなる。

ダウンロードは、サーバ１から送信された、電子制御ユニットのソフトウェアを更新するための更新データを受信して記憶する処理である。ダウンロードのフェーズでは、更新データの受信だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含む。インストールは、ダウンロードした更新データに基づいて、更新対象の電子制御ユニットに車載機器の記憶部に更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールのフェーズでは、インストール実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含む。アクティベートは、インストールした更新版のプログラムを有効化（アクティベート）する処理である。アクティベートする制御は、アクティベート実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含む。

サーバ１からソフトウェア更新装置１１に送信される更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェアまたは圧縮データを分割した分割データのいずれを含んでいても良い。また、更新データは、更新対象の電子制御ユニットを識別する識別子（ＥＣＵ ＩＤ）と、更新前のソフトウェアを識別する識別子（ＥＣＵ ソフトウェア ＩＤ）を含んでいても良い。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一または複数の電子制御ユニットの更新データが含まれる。

更新データが更新ソフトウェアそのものを含む場合は、インストールのフェーズにおいて、ソフトウェア更新装置が更新データ（更新ソフトウェア）を更新対象の電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、差分データあるいは分割データを含む場合、ソフトウェア更新装置１１が更新対象の電子制御ユニットに更新データを転送し、更新対象の電子制御ユニットが更新データから更新ソフトウェアを生成しても良いし、ソフトウェア更新装置１１が更新データから更新ソフトウェアを生成してから、更新ソフトウェアを更新対象の電子制御ユニットに転送しても良い。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データまたは分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ソフトウェア更新装置１１からのインストール要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にインストールを行っても良い。

更新ソフトウェアのアクティベートは、ソフトウェア更新装置１１からのアクティベート要求に基づき、更新対象の電子制御ユニットが行うことができる。あるいは、更新データを受信した更新対象の電子制御ユニットが、ソフトウェア更新装置１１からの明示の指示を受けることなく、自律的にアクティベートを行っても良い。

尚、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「プログラム更新処理」は、ダウンロード・インストール・アクティベートの全てを連続して行う処理だけでなく、ダウンロード・インストール・アクティベートの一部のみを行う処理も含む。

図４は、図１に示したサーバの機能ブロック図である。

サーバ１は、記憶部２６と、第１通信部２７ａと、第２通信部２７ｂと、制御部２８とを備える。第１通信部２７ａ、第２通信部２７ｂ及び制御部２８は、図２に示したＣＰＵ２１がＲＡＭ２２を用いて記憶装置２３に記憶されるプログラムを実行することにより実現され、記憶部２６は、図２に示した記憶装置２３により実現される。

記憶部２６は、車両を識別する車両識別情報（車両ＩＤ）毎に、車両に搭載された１以上の電子制御ユニットで利用可能なソフトウェアを示す情報とを関連付けた更新管理情報と、電子制御ユニットのソフトウェアの更新データとを記憶する。電子制御ユニットで利用可能なソフトウェアを示す情報として、例えば、複数の電子制御ユニットのそれぞれのソフトウェアの最新のバージョン情報の組み合わせが定義される。更新管理情報及び更新データは、電子制御ユニットのソフトウェア更新のキャンペーン登録時に記憶部２６に格納される。

第１通信部２７ａは、ソフトウェア更新装置１１からソフトウェアの更新確認要求を受信可能である。更新確認要求は、例えば、車両において電源またはイグニッションがオンされたときに、ソフトウェア更新装置１１からサーバ１へと送信される情報であって、電子制御ユニットの更新データがあるか否かの確認をサーバ１に要求するための情報である。第１通信部２７ａは、ソフトウェア更新装置１１から受信した更新確認要求に応答して、更新データの有無を示す情報をソフトウェア更新装置１１に送信する。また、第１通信部２７ａは、ソフトウェア更新装置１１からの配信パッケージの送信要求（ダウンロード要求）を受信可能である。第１通信部２７ａは、配信パッケージのダウンロード要求を受信すると、電子制御ユニットのソフトウェアの更新データを含む配信パッケージをソフトウェア更新装置１１に送信する。

第２通信部２７ｂは、ソフトウェア更新装置１１から更新データの有効性確認要求を受信可能である。有効性確認要求は、例えば、更新データのダウンロード後、かつ、インストール前にソフトウェア更新装置１１からサーバ１へと送信される情報であって、インストール対象の更新データが有効であるか否かの確認をサーバ１に要求するための情報である。第２通信部２７ｂは、更新データの有効性確認要求を受信すると、指定された更新データが有効であるか否かを示す確認結果をソフトウェア更新装置１１に送信する。

制御部２８は、第１通信部２７ａが更新確認要求を受信すると、記憶部２６に記憶される更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両のソフトウェアの更新データがあるか否かを判定する。制御部２８による更新データがあるか否かの判定結果は、第１通信部２７ａによってソフトウェア更新装置１１に送信される。制御部２８は、電子制御ユニットの更新データがあると判定した場合、ソフトウェア更新装置１１から配信パッケージのダウンロード要求を受信すると、記憶部２６に記憶される更新データを含む配信パッケージを生成する。この配信パッケージは、第１通信部２７ａによりソフトウェア更新装置１１に送信される。

また、制御部２８は、第２通信部２７ｂが更新データの有効性確認要求を受信すると、指定された更新データを用いたソフトウェア更新のイベント（キャンペーン）がキャンセルされているか否かを判定する。制御部２８は、指定された更新データに係るキャンペーンがキャンセルされている場合は、指定された更新データが有効でないことを示す確認結果を作成し、それ以外の場合は、指定された更新データが有効であることを示す確認結果を作成する。制御部２８が作成した確認結果は、第２通信部２７ｂによってソフトウェア更新装置１１送信される。

図５は、図１に示したソフトウェア更新装置の機能ブロック図である。

ソフトウェア更新装置１１は、記憶部３７と、第１通信部３８ａと、第２通信部３８ｂと、第３通信部３８ｃと、制御部３９とを備える。記憶部３７は、図３に示した記憶装置３４によって実現され、第１通信部３８ａと、第２通信部３８ｂと、第３通信部３８ｃと、制御部３９とは、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することにより実現される。

記憶部３７は、電子制御ユニット１３ａ～１３ｄのソフトウェア更新を実行するためのプログラムや、ソフトウェア更新を実行する際に用いる各種データの他、サーバ１からダウンロードしたソフトウェアの更新データを記憶する。また、記憶部３７は、更新データのインストール前に電子制御ユニットのデータ格納領域に記憶されているソフトウェアのバックアップ領域として機能する。より詳細には、更新対象の電子制御ユニットがデータ格納領域（バンク）を１つだけ持つ場合、記憶部３７は、更新データのインストール前に格納領域に記憶されている旧ソフトウェアのデータを記憶する。旧ソフトウェアのデータは、旧バージョンのソフトウェア全体のデータであっても良いし、更新データを適用した新バージョンのソフトウェアから旧バージョンのソフトウェアを復元するための差分データであっても良い。記憶部３７は、旧ソフトウェアのデータ（バックアップデータ）を圧縮データとして記憶しても良い。

第１通信部３８ａは、例えば、車両の電源またはイグニッションがオンされたことを契機として、ソフトウェアの更新確認要求をサーバ１に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク２に接続される電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンとを含む。車両ＩＤ及び電子制御ユニット１３ａ～１３ｄのソフトウェアのバージョンは、サーバ１が車両ＩＤ毎に保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニットのソフトウェアの更新データがあるか否かを判定するために用いられる。また、第１通信部３８ａは、更新確認要求に対する応答としてサーバ１から更新データの有無を示す通知を受信する。電子制御ユニットのソフトウェアの更新データがある場合、第１通信部３８ａは、配信パッケージのダウンロード要求をサーバ１に送信し、サーバ１から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種制御情報等を含んでいても良い。

第２通信部３８ｂは、サーバ１から受信した更新データのインストール前に、更新データが有効であるか否かを確認するための有効性確認要求をサーバ１に送信する。有効性確認要求は、車両を識別するための車両識別情報（車両ＩＤ）と、ダウンロードした配信パッケージまたは更新データを特定するための識別情報とを含む。第２通信部３８ｂは、有効性確認要求に応答してサーバ１から送信される確認結果を受信する。

第３通信部３８ｃは、サーバ１から受信した更新データのインストール後、かつ、アクティベート前に、インストールした更新データが有効であるか否かを確認するための有効性確認要求をサーバ１に送信する。有効性確認要求は、車両を識別するための車両識別情報（車両ＩＤ）と、ダウンロードした配信パッケージまたは更新データを特定するための識別情報とを含む。第３通信部３８ｃは、有効性確認要求に応答してサーバ１から送信される確認結果を受信する。

制御部３９は、電子制御ユニットのソフトウェア更新を制御するための種々の処理を行う。制御部３９は、第１通信部３８ａがサーバ１から受信した、更新確認要求に対する確認結果に基づいて、電子制御ユニットのソフトウェアの更新データの有無を判定する。また、制御部３９は、第１通信部３８ａがサーバ１から更新データを含む配信パッケージを受信すると、受信した配信パッケージの真正性を検証する。

また、制御部３９は、更新データのインストール前に、更新データが有効であるか否かを判定する。上述したように、第２通信部３８ｂは、サーバ１に対して送信した有効性確認要求に対する応答として、有効性確認要求で指定された更新データが有効であるか否かを示す確認結果を受信する。制御部３９は、第２通信部３８ｂが受信した確認結果に基づいて、更新データが有効である（すなわち、更新データに係るキャンペーンがキャンセルされていない）か、更新データが有効でない（すなわち、更新データに係るキャンペーンがキャンセルされた）かを判定することができる。制御部３９は、第２通信部３８ｂが受信した確認結果に基づいて、更新データが有効であると判定した場合、更新データのインストール処理を開始するが、更新データが有効でないと判定した場合は、更新データのインストールを行わない。更新データのインストール前に更新データの有効性をサーバ１に問い合わせて確認することにより、更新データに係るキャンペーンがキャンセルされた場合に、当該更新データがインストールされることを防止することができる。

更に、制御部３９は、更新データのインストール後、かつ、アクティベート前に、更新データが有効であるか否かを判定する。上述したように、第３通信部３８ｃは、サーバ１に対して送信した有効性確認要求に対する応答として、有効性確認要求で指定された更新データが有効であるか否かを示す確認結果を受信する。制御部３９は、第３通信部３８ｃが受信した確認結果に基づいて、更新データが有効である（すなわち、更新データに係るキャンペーンがキャンセルされていない）か、更新データが有効でない（すなわち、更新データに係るキャンペーンがキャンセルされた）かを判定することができる。制御部３９は、第３通信部３８ｃが受信した確認結果に基づいて、更新データが有効であると判定した場合、更新版のソフトウェアのアクティベート処理を開始するが、更新データが有効でないと判定した場合は、更新対象の電子制御ユニットのソフトウェアを更新データのインストール前の状態に復元する。制御部３９が行う復元処理は、更新対象の電子制御ユニットが有するデータ格納領域によって異なる。詳細は後述するが、更新対象の電子制御ユニットが１つのデータ格納領域を持つ場合、制御部３９は、ロールバックにより、データ格納領域に格納される更新後のソフトウェアを更新前の旧ソフトウェアに戻す処理を行う。一方、更新対象の電子制御ユニットが２つのデータ格納領域を持つ場合、制御部３９は、更新版のソフトウェアのアクティベートを行わず、読み出し対象のデータ格納領域を旧ソフトウェアが記憶されたデータ格納領域に維持する。

制御部３９は、ソフトウェア更新の実行時に、承諾要求処理として、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を出力装置に出力させる処理と、ユーザからの操作入力を受け付ける処理とを行う。出力装置としては、車載ネットワーク２に設けられた表示装置１４や、音声による通知を行う音声出力装置等を利用できる。例えば、承諾要求処理において、表示装置１４を出力装置として用いる場合、制御部３９は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置１４に表示させ、ユーザまたは管理者が承諾した場合に承諾ボタンを押下する等の特定の入力操作を促す通知を表示装置１４に表示させる。また、制御部４０は、承諾要求処理において、電子制御ユニットのソフトウェアの更新データがあることを通知する文言やアイコン等を表示装置１４に表示させたり、ソフトウェア更新処理の実行中における制限事項等を表示装置１４に表示させたりする。

図６は、実施形態に係るサーバが実行する制御処理の一例を示すフローチャートである。図６に示す制御処理は、例えば所定の時間間隔で繰り返し実行される。

ステップＳ１において、第１通信部２７ａは、ソフトウェア更新装置１１から更新確認要求を受信したか否かを判定する。ステップＳ１の判定がＹＥＳの場合、処理はステップＳ２に進み、それ以外の場合、処理はステップＳ３に進む。

ステップＳ２において、第１通信部２７ａは、更新確認要求を送信した車両に対して、電子制御ユニットのソフトウェアの更新データがあるか否かを示す情報を送信する。更新データの有無は、例えば、制御部２８が、更新確認要求に含まれる車両ＩＤに関連付けて更新管理情報に記憶されているソフトウェアのバージョンの組み合わせと、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせとを比較し、更新確認要求に含まれる現在のソフトウェアのバージョンの組み合わせが、更新管理情報に記憶されているバージョンの組み合わせより古い場合に、更新データがあると判定することができる。その後、処理はステップＳ３に進む。

ステップＳ３において、第１通信部２７ａは、ソフトウェア更新装置１１から配信パッケージのダウンロード要求を受信したか否かを判定する。ステップＳ３の判定がＹＥＳの場合、処理はステップＳ４に進み、それ以外の場合、処理はステップＳ５に進む。

ステップＳ４において、第１通信部２７ａは、制御部２８が生成した、ソフトウェアの更新データを含む配信パッケージをソフトウェア更新装置１１に送信する。その後、処理はステップＳ５に進む。

ステップＳ５において、第２通信部２７ｂは、ソフトウェア更新装置１１から更新データの有効性確認要求を受信したか否かを判定する。ステップＳ５の判定がＹＥＳの場合、処理はステップＳ６に進み、それ以外の場合、処理はステップＳ１に進む。

ステップＳ６において、制御部２８は、ソフトウェア更新装置１１から指定された更新データの有効性を判定する。例えば、制御部２８は、ステップＳ５で第２通信部２７ｂが受信した有効性確認要求に含まれる更新データの識別情報に基づいて、当該識別情報によって特定される更新データのキャンペーンがキャンセルされているか否かを判定し、キャンペーンが判定されている場合、指定された更新データが有効でないと判定し、それ以外の場合、指定された更新データが有効であると判定する。その後、処理はステップＳ７に進む。

ステップＳ７において、第２通信部２７ｂは、ステップＳ６における判定結果、すなわち、指定された更新データが有効であるか否かを示す確認結果をソフトウェア更新装置１１に送信する。その後、処理はステップＳ１に進む。

図７は、実施形態に係るソフトウェア更新装置が実行する制御処理の一例を示すフローチャートである。図７に示す制御処理は、例えば、車両の電源またはイグニッションがオンされたことを契機として実行される。

ステップＳ１１において、第１通信部３８ａは、車両ＩＤと電子制御ユニットのソフトウェアのバージョンの組み合わせとを含む更新確認要求をサーバ１に送信する。その後、処理はステップＳ１２に進む。

ステップＳ１２において、第１通信部３８ａは、サーバ１から更新確認要求に対する確認結果を受信する。その後、処理はステップＳ１３に進む。

ステップＳ１３において、制御部３９は、ステップＳ１２で受信した確認結果に基づいて、電子制御ユニット１３ａ～１３ｄのいずれかのソフトウェアの更新データがあるか否かを判定する。ステップＳ１３の判定がＹＥＳの場合、処理はステップＳ１４に進み、それ以外の場合、処理はステップＳ１６に進む。

ステップＳ１４において、第１通信部３８ａは、ダウンロード処理を実行する。より詳細には、第１通信部３８ａは、サーバ１に配信パッケージのダウンロード要求を送信し、ダウンロード要求に応答して送信される配信パッケージを受信し、受信した配信パッケージを記憶部３７に格納する。制御部３９は、受信した配信パッケージに含まれる更新データの真正性を検証する。ステップＳ１４において、ダウンロードの実行可否の判定や、サーバ１に対してダウンロードが完了したことの通知を行っても良い。その後、処理はステップＳ１５に進む。

ステップＳ１５において、制御部３９は、更新対象の電子制御ユニットに対してインストール処理及びアクティベート処理を実行し、処理を終了する。

ステップＳ１６において、制御部３９は、ソフトウェア更新処理を実行する指示を受け付けたか否かを判定する。ソフトウェア更新処理は、必ずしも連続して実行されるわけではなく、例えば、ダウンロードが完了した段階、または、インストールが完了した段階で中断され、続きの更新処理が後から実行される場合がある。そこで、本実施形態では、ステップＳ１３において更新データがないと判定された場合に、ステップＳ１６の判定を設けることにより、中断されたソフトウェア更新処理の再開を可能としている。ステップＳ１６の判定は、例えば、中断されたソフトウェア更新処理があることを通知する文言やアイコン等を表示装置１４に表示させた後、入力ボタン等を用いた特定の操作入力を受け付けたか否かによって行うことができる。ステップＳ１６の判定がＹＥＳの場合、処理はステップＳ１５に進み、それ以外の場合、処理を終了する。

図８は、図７に示すインストール／アクティベート処理の詳細を示すフローチャート
である。

ステップＳ２１において、制御部３９は、インストールに対する承諾要求処理を実行する。例えば、制御部３９は、電子制御ユニットのソフトウェア更新を開始する旨の表示と、ソフトウェア更新に対するユーザの承諾を要求する旨の表示と、必要に応じて、更新データのインストールに要する時間や、インストール中の制限事項や注意事項の表示を表示装置１４に表示させ、タッチパネルや操作ボタン等の入力手段を用いたユーザによる操作入力を受け付ける。その後、処理はステップＳ２２に進む。

ステップＳ２２において、制御部３９は、ソフトウェア更新（インストール）を承諾する旨の操作入力が行われた否かを判定する。インストールを承諾する旨の操作入力は、例えば、表示装置１４に表示された「承諾する」あるいは「更新を開始する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェアの更新開始（インストール）をすぐに承諾せず、後でソフトウェアの更新開始（インストール）を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができ、この場合、制御部３９はステップＳ２２でＮＯと判定する。ステップＳ２２の判定がＹＥＳの場合、処理はステップＳ２３に進み、それ以外の場合、処理を終了する。

ステップＳ２３において、第２通信部３８ｂは、インストール対象の更新データが有効であるか否かを確認するための有効性確認要求をサーバ１に送信する。有効性確認要求は、配信パッケージまたはこれに含まれる更新データを特定する情報を含む。その後、処理はステップＳ２４に進む。

ステップＳ２４において、制御部３９は、第２通信部３８ｂがサーバ１から受信した有効性確認要求に対する確認結果に基づいて、インストール対象の更新データが有効であるか否かを判定する。ステップＳ２４の処理がＹＥＳの場合、処理はステップＳ２５に進み、それ以外の場合、処理を終了する。

ステップＳ２５において、制御部３９は、更新対象の電子制御ユニットに、更新データを転送し、インストールを指示する。その後、処理はステップＳ２５に進む。更新対象の電子制御ユニットは、ソフトウェア更新装置１１から受信した更新データをデータ格納領域に書き込む。

ステップＳ２６において、制御部３９は、アクティベートに対する承諾要求処理を実行する。例えば、制御部３９は、例えば、電子制御ユニットのソフトウェア更新の準備が整い、電源またはイグニッションＯＦＦ等の特定の操作を行うことによりプログラムが更新される旨の表示と、必要に応じて、アクティベートに要する時間や、アクティベート中の制限事項や注意事項の表示を表示装置１４に表示させ、タッチパネルや操作ボタン等の入力手段を用いたユーザによる操作入力を受け付ける。その後、処理はステップＳ２７に進む。

ステップＳ２７において、制御部３９は、ソフトウェア更新（アクティベート）を承諾する旨の操作入力が行われたか否かを判定する。アクティベートを承諾する旨の操作入力は、例えば、表示装置１４に表示された「承諾する」あるいは「更新する」等のボタンが押下されたか否かに基づいて判定することができる。また、ユーザがソフトウェア更新（アクティベート）をすぐに承諾せず、後でソフトウェア更新を行うことを希望する場合は、「後で行う」等のボタンを押下することによりその旨を受け付けることができ、この場合、制御部３９はステップＳ２７でＮＯと判定する。ステップＳ２７の判定がＹＥＳの場合、処理はステップＳ２８に進み、それ以外の場合、処理を終了する。

ステップＳ２８において、第３通信部３８ｃは、インストールした更新データが有効であるか否かを確認するための有効性確認要求をサーバ１に送信する。有効性確認要求は、配信パッケージまたはこれに含まれる更新データを特定する情報を含む。処理はステップＳ２９に進む。

ステップＳ２９において、制御部３９は、第３通信部３８ｃがサーバ１から受信した有効性確認要求に対する確認結果に基づいて、インストールした更新データが有効であるか否かを判定する。ステップＳ２９の処理がＹＥＳの場合、処理はステップＳ３０に進み、それ以外の場合、処理はステップＳ３１に進む。

ステップＳ３０において、制御部３９は、更新対象の電子制御ユニットに対して、更新版のソフトウェアのアクティベートを指示する。その後、処理を終了する。尚、更新対象の電子制御ユニットは、電源またはイグニッションＯＦＦにより等の特定の操作が行われたことを契機として、再起動し、更新後のソフトウェアを実行する。これにより、電子制御ユニットのソフトウェア更新（機能更新）が完了する。

ステップＳ３１において、制御部３９は、復元処理を実行し、処理を終了する。尚、本開示において、復元とは、電子制御ユニットの状態を、更新データのインストール前に実行されていたバージョンのソフトウェア（旧ソフトウェア）を実行可能な状態とすることをいう。

尚、更新対象の電子制御ユニットが１つのデータ格納領域を持つ構成である場合、データ格納領域に更新データをインストールした時点で電子制御ユニットのソフトウェアに影響が及ぶため、インストール及びアクティベートを連続して行うことが好ましい。したがって、更新対象の電子制御ユニットが１つのデータ格納領域を持つ構成である場合、アクティベート実行前の承諾に関する処理（ステップＳ２５及びＳ２６）を省略しても良い。

図９は、図８に示す復元処理の詳細を示すフローチャートである。

ステップＳ１０１において、制御部３９は、更新対象の電子制御ユニットが有するデータ格納領域の数が１面であるか２面であるかを判定する。電子制御ユニットが有するデータ格納領域の数は、車両の製造時等に電子制御ユニットの構成に応じて予め記憶部３７に格納しておいても良いし、更新対象の電子制御ユニットから通信により取得しても良いし、サーバ１から取得しても良い。ソフトウェア更新装置１１がサーバ１から更新対象の電子制御ユニットのデータ格納領域の数を取得する場合、サーバ１は、更新データを含む配信パッケージの中に更新対象の電子制御ユニットの数に関する情報を含めてソフトウェア更新装置１１に送信し、制御部３９が配信パッケージに含まれる情報に基づいて判定しても良い。更新対象の電子制御ユニットが有するデータ格納領域の数が１面である場合、処理はステップＳ１０２に進み、更新対象の電子制御ユニットが有するデータ格納領域の数が２面である場合、処理はステップＳ１０３に進む。

ステップＳ１０２において、制御部３９は、復元対象の電子制御ユニットに対して、更新データを適用する前の旧ソフトウェアを再インストールするよう指示する。更新対象の電子制御ユニットに更新データをインストールする前に、旧ソフトウェアのデータがソフトウェア更新装置１１の記憶部３７にバックアップされている場合、バックアップされているデータを復元対象の電子制御ユニットに転送し、インストールを指示する。その後、処理はステップＳ１０３に進む。更新対象の電子制御ユニットは、ソフトウェア更新装置１１から受信したデータをデータ格納領域に書き込むことにより、旧ソフトウェアを再インストール（復元）する。その後、処理はステップＳ１０４に進む。

ステップＳ１０３において、制御部３９は、更新後のソフトウェアのアクティベートを行わず、旧ソフトウェアのデータ格納領域を読み出し対象のデータ格納領域とするように復元対象の電子制御ユニットに指示する。その後処理はステップＳ１０４に進む。

ステップＳ１０４において、制御部３９は、復元対象の全ての電子制御ユニットを復元したか否かを判定する。ステップＳ１０４の判定がＹＥＳの場合、処理はステップＳ１０１に進み、それ以外の場合、処理はステップＳ１０５に進む。

ステップＳ１０５において、制御部３９は、復元対象の電子制御ユニットに対して、更新版のソフトウェアのアクティベートを指示する。その後、処理を終了する。尚、更新対象の電子制御ユニットは、電源またはイグニッションＯＦＦにより等の特定の操作が行われたことを契機として、再起動し、旧ソフトウェアを実行する。図９に示した復元処理により、電子制御ユニットが実行するソフトウェアを旧ソフトウェアに維持することができる。

本実施形態に係るソフトウェア更新装置１１は、更新データのダウンロード後、かつ、インストール前に、ダウンロードした更新データが有効であるか否かをサーバ１に確認し、ダウンロードした更新データがインストール時に有効でない場合、更新データのインストールを行わない。電子制御ユニットのソフトウェア更新においては、更新データのダウンロード完了から時間が経過してからインストールが実行されるケースが想定される。この場合、ダウンロードした更新データに係るキャンペーンがキャンセルされる可能性がある。しかしながら、本実施形態に係るソフトウェア更新装置１１は、更新データのインストール前に更新データの有効性を確認するため、キャンペーンのキャンセルにより無効になったソフトウェアがインストールされることを抑制することができ、ダウンロード時に更新対象であった電子制御ユニットのソフトウェアを、有効かつ最新の状態に維持することが可能となる。

また、本実施形態に係るソフトウェア更新装置１１は、インストール後、かつ、アクティベート前に、再度、ダウンロードした更新データが有効であるか否かをサーバ１に確認し、ダウンロードした更新データがアクティベート時に有効である場合に、更新後のソフトウェアのアクティベートを行う。このように、ソフトウェア更新処理中に更新データの有効性を複数回確認するようにソフトウェア更新装置１１を構成すれば、キャンペーンのキャンセル等によって無効となった更新データが電子制御ユニットに適用されることをより確実に防止することができる。インストール後、かつ、アクティベート前に、ダウンロードした更新データが有効でないと判定された場合、ソフトウェア更新装置１１は、旧ソフトウェアを再インストールすること、または、更新後のソフトウェアのアクティベートを実行しないことにより、更新データのインストール前における有効かつ最新のソフトウェア（旧ソフトウェア）を電子制御ユニットが実行可能な状態を復元することができ、無効となった更新データが反映されることを抑制できる。

上記の実施形態で例示したサーバ１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備えるコンピュータが実行する更新管理方法、あるいは、当該コンピュータに実行させる更新管理プログラム、更新管理プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。同様に、実施形態として例示したソフトウェア更新装置１１の機能は、プロセッサ（ＣＰＵ）とメモリと記憶装置とを備える、車載されたコンピュータが実行する更新制御方法、あるいは、当該車載されたコンピュータに実行させる更新制御プログラム、更新制御プログラムを記憶したコンピュータ読み取り可能な非一時的記憶媒体として実現することも可能である。

上記の各実施形態では、車両側において、車載ネットワークに設けられたソフトウェア更新装置１１が、マスタ装置として、全ての電子制御ユニット１３ａ～１３ｄのプログラム更新を制御する例を説明したが、ソフトウェア更新装置１１を設ける代わりに、電子制御ユニット１３ａ～１３ｄのいずれか１つが図７～図９に示した更新制御機能を有しており、他の電子制御ユニットのプログラム更新を制御しても良い。また、ソフトウェア更新装置１１を設ける代わりに、図７～図９に示した更新制御機能を、車載ネットワーク２に有線で接続可能な外部機器に設け、この外部機器を用いて電子制御ユニット１３ａ～１３ｄのプログラム更新処理を行うことも可能である。

本開示技術は、電子制御ユニットのプログラムを更新するためのネットワークシステムに利用できる。

１ サーバ
２ 車載ネットワーク
５ ネットワーク
１１ ソフトウェア更新装置
１３ａ～１３ｄ 電子制御ユニット
２７ａ 第１通信部
２７ｂ 第２通信部
２８ 制御部
３７ 記憶部
３８ａ 第１通信部
３８ｂ 第２通信部
３８ａ 第３通信部
３９ 制御部

Claims (9)

1. 車両に搭載された電子制御ユニットのソフトウェア更新を制御するソフトウェア更新装置であって、
   前記電子制御ユニットのソフトウェアの更新データをサーバからダウンロードする第１通信部と、
   前記更新データのインストール前に、前記更新データが有効であるか否かを確認するための有効性確認要求を前記サーバに送信し、前記更新データが有効であるか否かを示す確認結果を前記サーバから受信する第２通信部と
   前記電子制御ユニットのソフトウェア更新を制御する制御部とを備え、
   前記制御部は、前記第２通信部が受信した確認結果に基づいて前記更新データが有効でないと判定される場合、前記更新データのインストールを行わない、ソフトウェア更新装置。
2. 前記更新データのインストール後、かつ、アクティベート前に、前記更新データが有効であるか否かを確認するための有効性確認要求を前記サーバに送信し、前記更新データが有効であるか否かの確認結果を前記サーバから受信する第３通信部を備え、
   前記制御部は、前記第３通信部が受信した確認結果に基づいて前記更新データが有効でないと判定される場合、前記更新データをインストールした電子制御ユニットが実行するソフトウェアを、前記更新データがインストールされる前の旧ソフトウェアとする、請求項１に記載のソフトウェア更新装置。
3. 前記制御部は、前記第３通信部が受信した確認結果に基づいて前記更新データが有効でないと判定され、かつ、更新対象の電子制御ユニットに搭載された不揮発性メモリが２つの格納領域を有する場合、更新後のソフトウェアのアクティベートを行わない、請求項２に記載のソフトウェア更新装置。
4. 前記更新データのインストール前に更新対象の電子制御ユニットで実行されていた前記旧ソフトウェアのデータを記憶する記憶部を備え、
   前記制御部は、前記第３通信部が受信した確認結果に基づいて前記更新データが有効でないと判定され、かつ、更新対象の電子制御ユニットに搭載された不揮発性メモリが１つの格納領域を有する場合、前記記憶部に記憶される前記旧ソフトウェアのデータを用いて旧ソフトウェアの再インストールを行う、請求項２に記載のソフトウェア更新装置。
5. プロセッサと、メモリと、記憶装置とを備えるコンピュータが、車両に搭載された電子制御ユニットのソフトウェア更新を制御するために実行する更新制御方法であって、
   前記電子制御ユニットのソフトウェアの更新データをサーバからダウンロードするステップと、
   前記更新データのインストール前に、前記更新データが有効であるか否かを確認するための有効性確認要求を前記サーバに送信し、前記更新データが有効であるか否かを示す確認結果を前記サーバから受信するステップと、
   前記電子制御ユニットのソフトウェア更新を制御するステップとを含み、
   前記ソフトウェア更新を制御するステップにおいて、前記サーバから受信した確認結果に基づいて前記更新データが有効でないと判定される場合、前記更新データのインストールを行わない、更新制御方法。
6. プロセッサと、メモリと、記憶装置とを備えるコンピュータが、車両に搭載された電子制御ユニットのソフトウェア更新を制御するために実行する更新制御プログラムであって、
   前記電子制御ユニットのソフトウェアの更新データをサーバからダウンロードするステップと、
   前記更新データのインストール前に、前記更新データが有効であるか否かを確認するための有効性確認要求を前記サーバに送信し、前記更新データが有効であるか否かを示す確認結果を前記サーバから受信するステップと、
   前記電子制御ユニットのソフトウェア更新を制御するステップとを含み、
   前記ソフトウェア更新を制御するステップにおいて、前記サーバから受信した確認結果に基づいて前記更新データが有効でないと判定される場合、前記更新データのインストールを行わない、更新制御方法。
7. 車両に搭載された電子制御ユニットのソフトウェア更新を管理するサーバであって、
   前記電子制御ユニットのソフトウェアの更新データを前記車両に送信する第１通信部と、
   前記更新データが有効であるか否かを確認するための有効性確認要求を前記車両から受信すると、前記更新データが有効であるか否かを示す確認結果を前記車両に送信する第２通信部とを備え、
   前記第２通信部は、前記更新データを用いたソフトウェア更新がキャンセルされた場合、前記更新データが有効でないことを示す確認結果を前記車両に送信する、サーバ。
8. 車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタであって、
   前記電子制御ユニットのソフトウェアの更新データをセンタからダウンロードする第１通信部と、
   前記更新データのインストール前に、前記更新データが有効であるか否かを確認するための有効性確認要求を前記センタに送信し、前記更新データが有効であるか否かを示す確認結果を前記センタから受信する第２通信部と
   前記電子制御ユニットのソフトウェア更新を制御する制御部とを備え、
   前記制御部は、前記第２通信部が受信した確認結果に基づいて前記更新データが有効でないと判定される場合、前記更新データのインストールを行わない、ＯＴＡマスタ。
9. 車両に搭載された電子制御ユニットのソフトウェア更新を管理するセンタであって、
   前記電子制御ユニットのソフトウェアの更新データを前記車両に送信する第１通信部と、
   前記更新データが有効であるか否かを確認するための有効性確認要求を前記車両から受信すると、前記更新データが有効であるか否かを示す確認結果を前記車両に送信する第２通信部とを備え、
   前記第２通信部は、前記更新データを用いたソフトウェア更新がキャンセルされた場合、前記更新データが有効でないことを示す確認結果を前記車両に送信する、センタ。

Images