JP2022036242A - Autonomous driving ecu, method for confirming update of program, and update confirmation program - Google Patents
Autonomous driving ecu, method for confirming update of program, and update confirmation program Download PDFInfo
- Publication number
- JP2022036242A JP2022036242A JP2022003285A JP2022003285A JP2022036242A JP 2022036242 A JP2022036242 A JP 2022036242A JP 2022003285 A JP2022003285 A JP 2022003285A JP 2022003285 A JP2022003285 A JP 2022003285A JP 2022036242 A JP2022036242 A JP 2022036242A
- Authority
- JP
- Japan
- Prior art keywords
- program
- processor
- update
- executed
- changed
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 29
- 230000015654 memory Effects 0.000 claims abstract description 35
- 238000012790 confirmation Methods 0.000 claims description 10
- 230000008859 change Effects 0.000 claims description 9
- 230000008569 process Effects 0.000 description 19
- 238000010586 diagram Methods 0.000 description 8
- 230000004048 modification Effects 0.000 description 3
- 238000012986 modification Methods 0.000 description 3
- 230000005856 abnormality Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 1
- FFBHFFJDDLITSX-UHFFFAOYSA-N benzyl N-[2-hydroxy-4-(3-oxomorpholin-4-yl)phenyl]carbamate Chemical compound OC1=C(NC(=O)OCC2=CC=CC=C2)C=CC(=C1)N1CCOCC1=O FFBHFFJDDLITSX-UHFFFAOYSA-N 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
Images
Abstract
Description
本発明は、車両等に搭載される自動運転ECUおよびそのプログラムの更新確認方法およびプログラムの更新確認プログラムに関する。 The present invention relates to an automatic driving ECU mounted on a vehicle or the like, a method for confirming an update of a program thereof, and a program update confirmation program.
車両には、ECU(Electronic Control Unit)と呼ばれる、記憶部および制御部(プ
ロセッサ)を備えた複数の制御装置が搭載されており、それぞれの制御部は、記憶部に格納されたプログラムを実行して、各種の車両制御のための処理を行う。
The vehicle is equipped with a plurality of control devices having a storage unit and a control unit (processor) called an ECU (Electronic Control Unit), and each control unit executes a program stored in the storage unit. Then, various processes for vehicle control are performed.
このようなプログラムは、機能の改良や追加のため更新されることがある。特許文献1は、プログラム更新用データをネットワーク経由で携帯端末装置にダウンロードして、携帯端末装置から車両にデータを提供してプログラムを書き換えることで更新を行うシステムを開示している。 Such programs may be updated to improve or add functionality. Patent Document 1 discloses a system in which program update data is downloaded to a mobile terminal device via a network, data is provided from the mobile terminal device to a vehicle, and the program is rewritten to perform the update.
ECUの高度化、複雑化により、複数のプロセッサを備え、それぞれが異なるプログラムを実行するECUが存在する。このようなECUでは、記憶部へ更新プログラムを書き込む際や実行対象のプログラムを更新前のものから更新後のものに切り替える際の各種処理の実行タイミングにプログラムごとにずれが生じるおそれがある。このようなずれが生じるとECUの起動時に実行対象のプログラムの一部が更新後のプログラムに変更されず、各プログラムの更新前のバージョンと更新後のバージョンとが想定外の組合せで混在する状態が発生しうる。このような状態ではECUが意図しない動作をするおそれがある。 Due to the sophistication and complexity of ECUs, there are ECUs equipped with a plurality of processors and each executing a different program. In such an ECU, there is a possibility that the execution timing of various processes when writing an update program to the storage unit or switching the program to be executed from the one before the update to the one after the update may be different for each program. When such a deviation occurs, a part of the program to be executed is not changed to the updated program when the ECU is started, and the version before the update and the version after the update are mixed in an unexpected combination. Can occur. In such a state, the ECU may operate unintentionally.
本発明は、上記課題に鑑み、プログラムの更新の際、実行対象のプログラムが更新前のプログラムから更新後のプログラムに変更されたことを確認できる自動運転ECU、プログラムの確認方法およびプログラムを提供することを目的とする。 In view of the above problems, the present invention provides an automatic operation ECU, a program confirmation method, and a program that can confirm that the program to be executed has been changed from the program before the update to the program after the update when the program is updated. The purpose is.
上記課題を解決するために、本発明の一局面は、車両の自動運転制御を行う自動運転ECUであって、車両を制御する第1制御プログラムを記憶する第1の不揮発性のメモリおよび、第1制御プログラムを実行する第1プロセッサを備える第1のマイコンと、車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリおよび、第2制御プログラムを実行し、車両の外部の装置からネットワークを介して取得される更新データに基づいて、第1制御プログラムの更新版である第1更新プログラムを第1の不揮発性のメモリに記憶させたのち、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更させ、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更させた場合、第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得し、少なくとも識別子に基づいて、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認する第2プロセッサを備える第2のマイコンと、を備える、自動運転ECUである。 In order to solve the above problems, one aspect of the present invention is an automatic driving ECU that controls the automatic driving of the vehicle, a first non-volatile memory for storing a first control program for controlling the vehicle, and a first non-volatile memory. A first microcomputer including a first processor that executes one control program, a second non-volatile memory that stores a second control program that controls the vehicle, and a device that executes the second control program and is external to the vehicle. Based on the update data acquired from the network via the network, the first update program, which is an updated version of the first control program, is stored in the first non-volatile memory, and then the program to be executed by the first processor is stored. When the program is changed to the first update program and the program to be executed by the first processor is changed to the first update program, the identifier of the storage area in which the program to be executed by the first processor is written is acquired, and at least the identifier is obtained. Based on the above, the automatic operation ECU includes a second microcomputer including a second processor for confirming that the program to be executed by the first processor has been changed to the first update program.
これにより、第1制御プログラムが第1更新プログラムに更新された場合、第2プロセッサが、第1プロセッサの実行対象が第1更新プログラムに変更されていることを確認できる。 Thereby, when the first control program is updated to the first update program, the second processor can confirm that the execution target of the first processor is changed to the first update program.
第2のマイコンの第2プロセッサは、さらに、車両の起動時に、第1プロセッサの実行対象のプログラムの識別子を第1プロセッサから取得し、少なくとも第1プロセッサから取得した第1プロセッサの実行対象のプログラムの識別子に基づいて、第1プロセッサの実行対象のプログラムが第1更新プログラムに更新されたことを確認してもよい。 The second processor of the second microcomputer further acquires the identifier of the program to be executed by the first processor from the first processor at the time of starting the vehicle, and at least the program to be executed by the first processor acquired from the first processor. It may be confirmed that the program to be executed by the first processor has been updated to the first update program based on the identifier of.
また、第2プロセッサは、更新データに基づいて、第2制御プログラムの更新版である第2更新プログラムを第2の不揮発性のメモリに記憶させたのち、第2プロセッサの実行対象のプログラムを第2更新プログラムに変更することが可能であり、第2プロセッサが第2プロセッサの実行対象のプログラムを第2更新プログラムに変更した場合、第1プロセッサは、第2プロセッサの実行対象のプログラムの識別子を第2プロセッサから取得し、少なくとも第2プロセッサから取得した第2プロセッサの実行対象のプログラムの識別子に基づいて、第2プロセッサの実行対象のプログラムが第2更新プログラムに変更されたことを確認してもよい。 Further, the second processor stores the second update program, which is an updated version of the second control program, in the second non-volatile memory based on the update data, and then stores the program to be executed by the second processor. 2 It is possible to change to an update program, and when the second processor changes the program to be executed by the second processor to the second update program, the first processor changes the identifier of the program to be executed by the second processor. Confirm that the program to be executed by the second processor has been changed to the second update program based on the identifier of the program to be executed by the second processor obtained from the second processor and at least obtained from the second processor. May be good.
これにより、さらに第2制御プログラムが第2更新プログラムに更新された場合、第1プロセッサが第2プロセッサの実行対象が第2更新プログラムに変更されていることを確認できる。 As a result, when the second control program is further updated to the second update program, the first processor can confirm that the execution target of the second processor is changed to the second update program.
また、第2プロセッサが第1プロセッサの実行対象のプログラムを第1更新プログラムに変更し、第2プロセッサの実行対象のプログラムを第2更新プログラムに変更した場合、第1プロセッサが、第2プロセッサの実行対象のプログラムが第2更新プログラムに変更されたことを確認し、かつ、第2プロセッサが、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認した場合に、第1プロセッサは、第1更新プログラムを実行し、第2プロセッサは、第2更新プログラムを実行してもよい。 When the second processor changes the program to be executed by the first processor to the first update program and the program to be executed by the second processor is changed to the second update program, the first processor is the second processor. When it is confirmed that the program to be executed has been changed to the second update program, and the second processor has confirmed that the program to be executed by the first processor has been changed to the first update program, the first step is made. One processor may execute the first update program, and the second processor may execute the second update program.
これにより、実行対象のプログラムが更新後のプログラムに正しく変更されている場合に更新プログラムが実行されるので、意図しない動作が行われるおそれを低減できる。 As a result, the update program is executed when the program to be executed is correctly changed to the updated program, so that the possibility of unintended operation can be reduced.
また、第2プロセッサが第1プロセッサの実行対象のプログラムを第1更新プログラムに変更し、第2プロセッサの実行対象のプログラムを第2更新プログラムに変更した場合、第1更新プログラムは、第1の不揮発性のメモリの第1制御プログラムが記憶された領域以外の領域に記憶され、第2更新プログラムは、第2の不揮発性のメモリの第2制御プログラムが記憶された領域以外の領域に記憶され、第1プロセッサが、第2プロセッサの実行対象のプログラムが第2更新プログラムに変更されたことを確認できない場合、第2プロセッサが、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認できない場合、の少なくともいずれか一方の場合に、第1プロセッサは、第1制御プログラムを実行し、第2プロセッサは、第2制御プログラムを実行してもよい。 Further, when the second processor changes the program to be executed by the first processor to the first update program and the program to be executed by the second processor is changed to the second update program, the first update program becomes the first update program. The first control program of the non-volatile memory is stored in an area other than the area where the first control program is stored, and the second update program is stored in an area other than the area where the second control program of the second non-volatile memory is stored. If the 1st processor cannot confirm that the program to be executed by the 2nd processor has been changed to the 2nd update program, the 2nd processor has changed the program to be executed by the 1st processor to the 1st update program. If it cannot be confirmed that the fact is at least one of the cases, the first processor may execute the first control program, and the second processor may execute the second control program.
これにより、実行対象のプログラムが更新後のプログラムに正しく変更されていない場合は、各プロセッサが更新前のプログラムを実行するため、意図しない動作が行われるおそれを低減できる。 As a result, if the program to be executed is not correctly changed to the updated program, each processor executes the program before the update, so that the possibility of unintended operation can be reduced.
また、第2プロセッサが第1プロセッサの実行対象のプログラムを第1更新プログラムに変更し、第2プロセッサの実行対象のプログラムを第2更新プログラムに変更していない場合、第1プロセッサが、第2プロセッサの実行対象のプログラムの識別子を第2プロセッサから取得し、少なくとも第2プロセッサから取得した第2プロセッサの実行対象のプログラムの識別子に基づいて、第2プロセッサの実行対象のプログラムが第2制御プログラムから変更されていないことを確認し、かつ、第2プロセッサが、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認した場合に、第1プロセッサは、第1更新プログラムを実行し、第2プロセッサは、第2制御プログラムを実行してもよい。 If the second processor has changed the program to be executed by the first processor to the first update program and the program to be executed by the second processor has not been changed to the second update program, the first processor has changed to the second update program. The program to be executed by the second processor is the second control program based on the identifier of the program to be executed by the processor from the second processor and at least the identifier of the program to be executed by the second processor obtained from the second processor. When it is confirmed that the program has not been changed from, and the second processor confirms that the program to be executed by the first processor has been changed to the first update program, the first processor is set to the first update program. May be executed, and the second processor may execute the second control program.
これにより、実行対象のプログラムが更新後のプログラムに正しく変更されている場合に更新プログラムが実行されるので、意図しない動作が行われるおそれを低減できる。 As a result, the update program is executed when the program to be executed is correctly changed to the updated program, so that the possibility of unintended operation can be reduced.
また、第2プロセッサが第1プロセッサの実行対象のプログラムを第1更新プログラムに変更し、第2プロセッサの実行対象のプログラムを第2更新プログラムに変更していない場合、第1更新プログラムは、第1の不揮発性のメモリの第1制御プログラムが記憶された領域以外の領域に記憶されており、第1プロセッサが、第2プロセッサの実行対象のプログラムの識別子を第2プロセッサから取得し、少なくとも第2プロセッサから取得した第2プロセッサの実行対象のプログラムの識別子に基づいて、第2プロセッサの実行対象のプログラムが第2制御プログラムから変更されていないことを確認し、かつ、第2プロセッサが、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認できなかった場合、第1プロセッサは、第1制御プログラムを実行し、第2プロセッサは、第2制御プログラムを実行してもよい。 If the second processor has changed the program to be executed by the first processor to the first update program and the program to be executed by the second processor has not been changed to the second update program, the first update program is the first. The first control program of the non-volatile memory of 1 is stored in an area other than the stored area, and the first processor obtains the identifier of the program to be executed by the second processor from the second processor, and at least the first one. Based on the identifier of the program to be executed by the second processor obtained from the second processor, it is confirmed that the program to be executed by the second processor has not been changed from the second control program, and the second processor is the second. If it cannot be confirmed that the program to be executed by the 1 processor has been changed to the 1st update program, the 1st processor executes the 1st control program, and the 2nd processor executes the 2nd control program. May be good.
これにより、実行対象のプログラムが更新後のプログラムに正しく変更されていない場合は、プロセッサが更新前のプログラムを実行するため、意図しない動作が行われるおそれを低減できる。 As a result, if the program to be executed is not correctly changed to the updated program, the processor executes the program before the update, so that the possibility of unintended operation can be reduced.
また、車両を制御する第3制御プログラムを記憶する第3の不揮発性のメモリと、第3制御プログラムを実行する第3プロセッサとを少なくともさらに備え、第2プロセッサが更新データに基づいて、第3制御プログラムの更新版である第3更新プログラムを第3の不揮発性のメモリに記憶させたのち、第3プロセッサの実行対象のプログラムを第3更新プログラムに変更することが可能であり、第2プロセッサが第3プロセッサの実行対象のプログラムを第3更新プログラムに変更した場合、第1プロセッサは、第3プロセッサの実行対象のプログラムの識別子を第3プロセッサから取得し、少なくとも第3プロセッサから取得した第3プロセッサの実行対象のプログラムの識別子に基づいて、第3プロセッサの実行対象のプログラムが第3更新プログラムに変更されたことを確認してもよい。 Further, at least a third non-volatile memory for storing the third control program for controlling the vehicle and a third processor for executing the third control program are further provided, and the second processor is based on the updated data and has a third. After storing the third update program, which is an updated version of the control program, in the third non-volatile memory, it is possible to change the program to be executed by the third processor to the third update program, and the second processor. When changes the program to be executed by the third processor to the third update program, the first processor obtains the identifier of the program to be executed by the third processor from the third processor, and at least obtains the identifier from the third processor. 3 It may be confirmed that the program to be executed by the third processor has been changed to the third update program based on the identifier of the program to be executed by the third processor.
これにより、3つ以上のプロセッサが相互に実行対象のプログラムを確認することができる。 This allows three or more processors to mutually confirm the program to be executed.
本発明の他の局面は、車両を制御する第1制御プログラムを記憶する第1の不揮発性のメモリと、車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリと、第1制御プログラムを実行する第1プロセッサと、第2制御プログラムを実行し、車両の外部の装置からネットワークを介して取得される更新データに基づいて、第1制御プログラムの更新版である第1更新プログラムを第1の不揮発性のメモリに記憶させたのち、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更させる、車両の自動運転制御を行う自動運転ECUの第2プロセッサが実行するプログラムの更新確認方法であって、第2プロセッサが、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更した場合、第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得するステップと、少なくとも識別子に基づいて、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認するステップとを含む、更新確認方法である。 Another aspect of the present invention is a first non-volatile memory for storing a first control program for controlling a vehicle, a second non-volatile memory for storing a second control program for controlling a vehicle, and a first. The first update program, which is an updated version of the first control program, is based on the update data obtained from the device outside the vehicle via the network by executing the first processor that executes the control program and the second control program. Is stored in the first non-volatile memory, and then the program to be executed by the first processor is changed to the first update program. In the update confirmation method, when the second processor changes the program to be executed by the first processor to the first update program, the identifier of the storage area in which the program to be executed by the first processor is written is acquired. It is an update confirmation method including a step and a step of confirming that the program to be executed by the first processor has been changed to the first update program based on at least an identifier.
本発明のさらに他の局面は、車両を制御する第1制御プログラムを記憶する第1の不揮発性のメモリと、車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリと、第1制御プログラムを実行する第1プロセッサと、第2制御プログラムを実行し、車両の外部の装置からネットワークを介して取得される更新データに基づいて、第1制御プログラムの更新版である第1更新プログラムを第1の不揮発性のメモリに記憶させたのち、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更させる、車両の自動運転制御を行う自動運転ECUの第2プロセッサに実行させるプログラムの更新確認プログラムであって、第2プロセッサが、第1プロセッサの実行対象のプログラムを第1更新プログラムに変更した場合、第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得するステップと、少なくとも識別子に基づいて、第1プロセッサの実行対象のプログラムが第1更新プログラムに変更されたことを確認するステップとを含む、更新確認プログラムである。 Yet another aspect of the present invention is a first non-volatile memory that stores a first control program that controls the vehicle, a second non-volatile memory that stores a second control program that controls the vehicle, and a second. The first update, which is an updated version of the first control program, is based on the update data obtained from the device outside the vehicle via the network by executing the first processor that executes the first control program and the second control program. After storing the program in the first non-volatile memory, the program to be executed by the first processor is changed to the first update program, and the program is executed by the second processor of the automatic driving ECU that controls the automatic driving of the vehicle. When the second processor changes the program to be executed by the first processor to the first update program, the identifier of the storage area in which the program to be executed by the first processor is written is acquired. This is an update confirmation program including a step of confirming that the program to be executed by the first processor has been changed to the first update program, at least based on the identifier.
これらにより、第1制御プログラムが第1更新プログラムに更新された場合、第2プロセッサが、第1プロセッサの実行対象が第1更新プログラムに変更されていることを確認できる。 From these, when the first control program is updated to the first update program, the second processor can confirm that the execution target of the first processor is changed to the first update program.
本発明によれば、プログラムが正しく変更されたことを確認できる自動運転ECU、プログラム確認方法およびプログラムを提供することができる。 According to the present invention, it is possible to provide an automatic operation ECU, a program confirmation method, and a program that can confirm that the program has been changed correctly.
(概要)
本発明に係る車両制御装置は、複数の実行部がそれぞれのプログラムを実行する。プログラムが更新された場合、各実行部は、互いに他の実行部から実行対象のプログラムの識別子を取得して確認することで、更新されたプログラムに変更されているかを確認することができる。
(Overview)
In the vehicle control device according to the present invention, a plurality of execution units execute their respective programs. When a program is updated, each execution unit can confirm whether the program has been changed to the updated program by acquiring and confirming the identifier of the program to be executed from each other.
(実施形態)
以下、本発明の一実施形態について、図面を参照しながら詳細に説明する。
(Embodiment)
Hereinafter, an embodiment of the present invention will be described in detail with reference to the drawings.
<構成>
図1に、本実施形態における車両制御装置100の機能ブロック図を示す。車両制御装置100は一例として、車両の自動運転制御を行う自動運転ECUであり、各種センサからの入力に基づいて、ステアリング、エンジン、ブレーキ等を制御して車両の運転を行う。車両制御装置100は、プロセッサである第1実行部11、第2実行部21と、例えばFlashROMのような不揮発性のメモリである第1記憶部12、第2記憶部22とを含む。第1記憶部12は第1制御プログラム記憶領域13と第1更新プログラム記憶領域14とを有する。第1実行部11はプロセッサであり、第1制御プログラム記憶領域13に記憶されている現在の実行対象のプログラムである第1制御プログラムを実行する。また、第2実行部21はプロセッサであり、現在の実行対象のプログラムである第2制御プログラム記憶領域23に記憶されている第2制御プログラムを実行する。また、車両制御装置100は、揮発性のRAMを含んでもよい。これらのプログラムの実行出力により、上述の自動運転制御が行われる。
<Structure>
FIG. 1 shows a functional block diagram of the
更新部91は、車両に搭載されたOTA受信機等が車外のサーバー等からネットワークを介して受信した更新データを取得する。更新部91は、更新データを取得すると、これに基づいて、第1制御プログラムの更新版である第1更新プログラムおよび第2制御プログラムの更新版である第2更新プログラムの一方または両方を生成することができる。更新部91は第1更新プログラムを第1記憶部12の第1更新プログラム記憶領域14に記憶させ、第2更新プログラムを第2記憶部22の第2更新プログラム記憶領域24に記憶させる。なお、更新部91の機能は、第1実行部11および第2実行部21がそれぞれ実行してもよい。
The
図2に、第1更新プログラムが第1記憶部12に記憶されておらず、第2更新プログラ
ムが第2記憶部22に記憶されていない場合の、車両制御装置100の各実行部および各記憶部を模式的に示す。第1制御プログラムは識別子を含んでおり、図示する例では「122」である。これは、第1制御プログラムのバージョンを示す。同様に、第2制御プログラムは識別子を含んでおり、図示する例では「122」である。これは、第2制御プログラムのバージョンを示す。したがって図示する状態では、第1制御プログラムと第2制御プログラムとは同時に実行されるべきバージョンの組となっている。
FIG. 2 shows each execution unit and each storage of the
<処理1>
以下に、本実施形態に係るプログラム更新処理の一例を説明する。まず、第1制御プログラムと第2制御プログラムがともに更新される場合について説明する。図3は、処理を説明するシーケンスである。本シーケンスは例えばイグニッションスイッチがオンになったときに開始される。
<Process 1>
An example of the program update process according to the present embodiment will be described below. First, a case where both the first control program and the second control program are updated will be described. FIG. 3 is a sequence for explaining the process. This sequence is started, for example, when the ignition switch is turned on.
(ステップS101):第1実行部11が第1制御プログラムを読み出して実行する。第1実行部11は、実行対象のプログラムとして第1制御プログラム記憶領域13から第1制御プログラムを読み出すことを、例えば、第1記憶部12に記憶された、プログラムの読み出し先を指定するアドレス等を含む第1読み出し先情報に基づいて判定することができる。第1読み出し先情報は、例えば、更新部91が第1記憶部12に書き込む情報であり、第1実行部11にプログラムの読み出し先を指定する情報やこの情報が変更されたことを表すフラグ等を含む。
(Step S101): The
(ステップS102):第2実行部21が第2制御プログラムを読み出して実行する。第2実行部21は、実行対象のプログラムとして第2制御プログラム記憶領域23から第2制御プログラムを読み出すことを、例えば、第2記憶部22に記憶された、第2読み出し先情報に基づいて判定することができる。第2読み出し先情報は、例えば、更新部91が第2記憶部12に書き込む情報であり、第2実行部21にプログラムの読み出し先を指定する情報やこの情報が変更されたことを表すフラグ等を含む。
(Step S102): The
(ステップS103):更新部91が更新データに基づいて第1更新プログラムおよび第2更新プログラムを生成する。更新データの形式はとくに限定されないが、例えば更新前のプログラムからの更新された部分を含む差分データやその圧縮データであってもよいし、更新プログラムの全体であってもよい。更新部91は、第1記憶部12の第1更新プログラム記憶領域14に第1更新プログラムを記憶させ、第2記憶部22の第2更新プログラム記憶領域24に第2更新プログラムを記憶させる。
(Step S103): The
以上のステップS101、S102、S103の処理が実行され、イグニッションスイッチがオフとなると、以下の処理が行われる。
(ステップS104):更新部91は、第1記憶部12に記憶されている第1読み出し先情報が含む読み出し先アドレスが第1更新プログラム記憶領域14を指定するように変更し、かつ変更があったことを示すフラグを立てることにより、第1実行部11が次回実行対象のプログラムを読み出す際に、第1更新プログラム記憶領域14から第1更新プログラムを読み出すように指定する。また、更新部91は、第2記憶部22に記憶されている第2読み出し先情報の、読み出し先アドレスが第2更新プログラム記憶領域24を指定するように変更し、かつ変更があったことを示すフラグを立てることにより、第2実行部21が次回実行対象のプログラムを読み出す際に、第2更新プログラム記憶領域24から第2更新プログラムを読み出すように指定する。
When the processes of the above steps S101, S102, and S103 are executed and the ignition switch is turned off, the following processes are performed.
(Step S104): The
以上のステップS104の処理が実行され、次にイグニッションスイッチがオンとなると、以下の処理が行われる。図4に、第1更新プログラムが第1記憶部12に記憶されていて、第2更新プログラムが第2記憶部22に記憶されている場合の、車両制御装置10
0の各実行部および各記憶部を模式的に示す。第1更新プログラムは識別子を含んでおり、図示する例では「123」である。これは、第1更新プログラムのバージョンを示す。同様に、第2更新プログラムは識別子を含んでおり、図示する例では「123」である。これは、第2更新プログラムのバージョンを示す。したがって図示する状態では、第1更新プログラムと第2更新プログラムとは同じバージョンの組となっている。
When the process of step S104 is executed and then the ignition switch is turned on, the following process is performed. FIG. 4 shows the vehicle control device 10 when the first update program is stored in the
Each execution part and each storage part of 0 are schematically shown. The first update program includes an identifier, which is "123" in the illustrated example. This indicates the version of the first update. Similarly, the second update contains an identifier, which is "123" in the illustrated example. This indicates the version of the second update. Therefore, in the state shown in the figure, the first update program and the second update program are in the same version set.
(ステップS105):第1実行部11は、例えば、第1記憶部12に記憶されている第1読み出し先情報を参照し、実行対象のプログラムが第1制御プログラム記憶領域13に記憶された第1制御プログラムから、第1更新プログラム記憶領域14に格納されている第1更新プログラムに変更されたことを検知する。
(Step S105): The
(ステップS106):第2実行部21は、例えば、第2記憶部22に記憶されている第2読み出し先情報を参照し、実行対象のプログラムが第2制御プログラム記憶領域23に記憶された第2制御プログラムから、第2更新プログラム記憶領域24に格納されている第2更新プログラムに変更されたことを検知する。
(Step S106): The
(ステップS107):第1実行部11は、第1更新プログラムから識別子を読み出し、第2実行部21に通知する。また、第2実行部21は第2更新プログラムから識別子を読み出し第1実行部11に通知する。このようにして第1実行部11および第2実行部21は互いの実行対象プログラムの識別子を取得することができる。
(Step S107): The
(ステップS108):第1実行部11は、通知された第2更新プログラムの識別子に基づいて、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたか確認する。例えば、第1実行部11は、通知された第2更新プログラムの識別子と読み出した第1更新プログラムの識別子とを比較し、これらが同一のバージョンを表していることにより、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことを確認する。また、第1実行部11は、第2制御プログラムの識別子を第1記憶部12に記憶させておき、通知された第2更新プログラムの識別子が、第2制御プログラムの識別子の次のバージョンを表していることにより、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことを確認してもよい。バージョンの順序は予め定めた規則にしたがっていることにより確認してもよく、第2更新プログラムに前のバージョンを表す識別子も含ませておき、第2制御プログラムの識別子と一致することを確認してもよい。
(Step S108): The
(ステップS109):第2実行部21は、通知された第1更新プログラムの識別子に基づいて、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたか確認する。例えば、第2実行部21は、通知された第1更新プログラムの識別子と読み出した第2更新プログラムの識別子とを比較し、これらが同一のバージョンを表していることにより、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたことを確認する。また、第2実行部21は、第1制御プログラムの識別子を第2記憶部22に記憶させておき、通知された第1更新プログラムの識別子が、第1制御プログラムの識別子の次のバージョンを表していることにより、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたことを確認してもよい。バージョンの順序は予め定めた規則にしたがっていることにより確認してもよく、第1更新プログラムに前のバージョンを表す識別子も含ませておき、第1制御プログラムの識別子と一致することを確認してもよい。
(Step S109): The
(ステップS110):第1実行部11は、ステップS108の確認結果を第2実行部21に通知する。また、第2実行部21はステップS109の確認結果を第1実行部11に通知する。
(Step S110): The
(ステップS111):ステップS108、S109により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことが確認できた場合、第1実行部11は第1更新プログラム記憶領域14から第1更新プログラムを読み出して実行する。
(Step S111): The program to be executed by the
(ステップS112):ステップS108、S109により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことが確認できた場合、第2実行部21は第2更新プログラム記憶領域24から第2更新プログラムを読み出して実行する。なお、更新部91は、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことが確認できた場合、ステップS111およびステップS112で、その通知を第1実行部11、第2実行部21から受け取り、第1制御プログラム記憶領域13および第2制御プログラム記憶領域23を、それぞれ次に更新データを受信したときの第1更新プログラムおよび第2更新プログラム記憶用の領域としてもよい。
(Step S112): The program to be executed by the
(ステップS113):ステップS108、S109により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことのいずれかまたは両方が確認できない場合、第1実行部11は、第1制御プログラム記憶領域13から、第1制御プログラムを読み出して実行する。また、第1実行部11は、第1記憶部12に記憶された第1読み出し先情報の読み出し先アドレスが第1制御プログラム記憶領域13を指定するようにし、フラグを下げる。
(Step S113): The program to be executed by the
(ステップS114):ステップS108、S109により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことのいずれかまたは両方が確認できない場合、第2実行部21は、第2制御プログラム記憶領域23から、第2制御プログラムを読み出して実行する。また、第2実行部21は、第2記憶部22に記憶された第2読み出し先情報の読み出し先アドレスが第2制御プログラム記憶領域14を指定するようにし、フラグを下げる。なお、ステップS113、S114で第1制御プログラムおよび第2制御プログラムを実行する前に、これらのプログラムの識別子を参照して、実行対象が正しく第1制御プログラムおよび第2制御プログラムであることを確認することが好ましい。また、このように第1制御プログラムおよび第2制御プログラムを実行できるようにするため、更新部91は、少なくとも第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことが確認できるまで、第1制御プログラムおよび第2制御プログラムを削除せず保存しておくことが好ましい。また、更新部91は、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムに変更されたことのうち、いずれかまたは両方が確認できない場合、ステップS113、S114で、その通知を第1実行部11、第2実行部21から受け取り、異常発生をユーザー等に知らせるための信号を出力してもよい。
(Step S114): The program to be executed by the
以上により、第1制御プログラムと第2制御プログラムがともに更新される場合のシーケンスは終了する。 As a result, the sequence when both the first control program and the second control program are updated is completed.
<処理2>
次に第1制御プログラムおよび第2制御プログラムの一方のみが更新される場合の処理を説明する。以下では一例として、第1制御プログラムが更新され、第2制御プログラムが更新されない場合について説明する。図5は、処理を説明するシーケンスである。本シーケンスは例えばイグニッションスイッチがオンになったときに開始される。
<Process 2>
Next, processing when only one of the first control program and the second control program is updated will be described. Hereinafter, as an example, a case where the first control program is updated and the second control program is not updated will be described. FIG. 5 is a sequence for explaining the process. This sequence is started, for example, when the ignition switch is turned on.
(ステップS201):上述のステップS101と同様、第1実行部11が第1制御プログラムを読み出して実行する。第1実行部11は、実行対象のプログラムとして第1制御プログラム記憶領域13から第1制御プログラムを読み出すことを、例えば、第1記憶部12に記憶された第1読み出し先情報に基づいて判定することができる。
(Step S201): Similar to step S101 described above, the
(ステップS202):上述のステップS102と同様、第2実行部21が第2制御プログラムを読み出して実行する。第2実行部21は、実行対象のプログラムとして第2制御プログラム記憶領域23から第2制御プログラムを読み出すことを、例えば、第2記憶部22に記憶された第2読み出し先情報に基づいて判定することができる。
(Step S202): Similar to step S102 described above, the
(ステップS203):更新部91が更新データに基づいて第1更新プログラムを生成する。更新部91は、第1記憶部12の第1更新プログラム記憶領域14に第1更新プログラムを記憶させる。
(Step S203): The
以上のステップS201、S202、S203の処理が実行され、イグニッションスイッチがオフとなると、以下の処理が行われる。
(ステップS204):更新部91は、第1記憶部12に記憶されている第1読み出し先情報の読み出し先アドレスが第1更新プログラム記憶領域14を指定するように変更し、かつ変更があったことを示すフラグを立てることにより、第1実行部11が次回実行対象のプログラムを読み出す際に、第1更新プログラム記憶領域14から第1更新プログラムを読み出すようにする。
When the processes of steps S201, S202, and S203 described above are executed and the ignition switch is turned off, the following processes are performed.
(Step S204): The
以上のステップS204の処理が実行され、次にイグニッションスイッチがオンとなると、以下の処理が行われる。図6に、第1更新プログラムが第1記憶部12に記憶されていて、第2更新プログラムが第2記憶部22に記憶されていない場合の、車両制御装置100の各実行部および各記憶部を模式的に示す。第1更新プログラムは識別子を含んでおり、図示する例では「123」である。これは、第1更新プログラムのバージョンを示す。
When the process of step S204 described above is executed and then the ignition switch is turned on, the following process is performed. FIG. 6 shows each execution unit and each storage unit of the
(ステップS205):第1実行部11は、例えば、第1記憶部12に記憶されている第1読み出し先情報を参照し、実行対象のプログラムが第1制御プログラム記憶領域13に記憶された第1制御プログラムから、第1更新プログラム記憶領域14に格納されている第1更新プログラムに変更されたことを検知する。また、第1実行部11は、第2実行部21の実行対象のプログラムが変更されていないことを検知する。これは、例えば、第1実行部11が第2記憶部22に記憶されている第2読み出し先情報を参照することによって可能である。第1実行部11が第2記憶部22を参照できない場合は、更新部91が、第1記憶部12にも第2読み出し先情報を記憶させておけばよい。
(Step S205): The
(ステップS206):第2実行部21は、例えば、第2記憶部22に記憶されている第2読み出し先情報を参照し、読み出し先のアドレスやフラグに基づいて、実行対象のプログラムが第2制御プログラム記憶領域23に記憶された第2制御プログラムであることを検知する。また、第2実行部21は、第1実行部11の実行対象のプログラムが変更されたことを検知する。これは、第2実行部21が第1記憶部12に記憶されている第1読み出し先情報を参照することによって可能である。第2実行部21が第1記憶部12を参
照できない場合は、更新部91が、第2記憶部22にも第1読み出し先情報を記憶させておけばよい。
(Step S206): The
(ステップS207):第1実行部11は、第1更新プログラムから識別子を読み出し、第2実行部21に通知する。また、第2実行部21は第2制御プログラムから識別子を読み出し第1実行部11に通知する。このようにして第1実行部11および第2実行部21は互いの実行対象プログラムの識別子を取得することができる。
(Step S207): The
(ステップS208):第1実行部11は、通知された第2制御プログラムの識別子に基づいて、第2実行部21の実行対象のプログラムが第2制御プログラムのまま変更されていないことを確認する。
(Step S208): The
(ステップS209):第2実行部21は、通知された第1更新プログラムの識別子に基づいて、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたか確認する。例えば、第2実行部21は、第1制御プログラムの識別子を第2記憶部22に記憶させておき、通知された第1更新プログラムの識別子が、第1制御プログラムの識別子の次のバージョンを表していることにより、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたことを確認する。バージョンの順序は予め定めた規則にしたがっていることにより確認してもよく、第1更新プログラムに前のバージョンを表す識別子も含ませておき、第1制御プログラムの識別子と一致することを確認してもよい。また、第2実行部は、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたことを確認できた場合は、通知された第1更新プログラムの識別子を第2記憶部22に記憶させれば、次回の処理における第1制御プログラムの識別子として利用することができる。
(Step S209): The
(ステップS210):第1実行部11は、ステップS208の確認結果を第2実行部21に通知する。また、第2実行部21はステップS209の確認結果を第1実行部11に通知する。
(Step S210): The
(ステップS211):ステップS208、S209により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第2制御プログラムから変更されていないことが確認できた場合、第1実行部11は第1更新プログラム記憶領域14から第1更新プログラムを読み出して実行する。
(Step S211): The program to be executed by the
(ステップS212):ステップS208、S209により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第2制御プログラムから変更されていないことが確認できた場合、第2実行部21は第2制御プログラム記憶領域23から第2制御プログラムを読み出して実行する。なお、更新部91は、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第1プログラムから変更されていないことが確認できた場合、ステップS211およびステップS212で、その通知を第1実行部11、第2実行部21から受け取り、第1制御プログラム記憶領域13を、次に第1更新データを受信したときの第1更新プログラム記憶用の領域としてもよい。
(Step S212): The program to be executed by the
(ステップS213):ステップS208、S209により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第2更新プログラムから変更されていないことのいずれかまたは両方が確認できない場合、第1実行部11は、第1制御プログラム記憶領域13から、第
1制御プログラムを読み出して実行する。また、第1実行部11は、第1記憶部12に記憶された第1読み出し先情報の読み出し先アドレスが第1制御プログラム記憶領域13を指定するようにし、フラグを下げる。
(Step S213): The program to be executed by the
(ステップS214):ステップS208、S209により第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第2制御プログラムから更新されていないことのいずれかまたは両方が確認できない場合、第2実行部21は、第2制御プログラム記憶領域23から、第2制御プログラムを読み出して実行する。なお、ステップS213、S214で第1制御プログラムおよび第2制御プログラムを実行する前に、これらのプログラムの識別子を参照して、実行対象が正しく第1制御プログラムおよび第2制御プログラムであることを確認することが好ましい。また、このように第1制御プログラムを実行できるようにするため、更新部91は、少なくとも第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが正しく第2更新プログラムから変更されていないことが確認できるまで、第1制御プログラムを削除しないことが好ましい。また、更新部91は、第1実行部11の実行対象のプログラムが正しく第1更新プログラムに変更されたこと、および、第2実行部21の実行対象のプログラムが第2制御プログラムから変更されていないことのうち、いずれかまたは両方が確認できない場合、ステップS213、S214で、その通知を第1実行部11、第2実行部21から受け取り、異常発生をユーザー等に知らせるための信号を出力してもよい。
(Step S214): The program to be executed by the
以上により、第1制御プログラムが更新され第2制御プログラムが更新されない場合のシーケンスは終了する。また、第2制御プログラムが更新され第1制御プログラムが更新されない場合の処理は、上述の説明において「第1」と「第2」とを互いに読み替えればよい。 As a result, the sequence when the first control program is updated and the second control program is not updated ends. Further, in the process when the second control program is updated and the first control program is not updated, "first" and "second" may be read as each other in the above description.
(変形例)
以上の実施形態では、実行部が2つの場合について説明したが、本発明は、実行部が3つ以上の場合にも適用できる。図7に、車両制御装置100が、実行部と記憶部とを4組備える場合の各実行部および記憶部を模式的に示す。第1~第4記憶部12、22、32、42は第1~第4実行部11、21、31、41が実行する各制御プログラムを記憶する第1~第4制御プログラム記憶用域13、23、33、34および各更新プログラムを記憶する第1~第4更新プログラム記憶領域14、24、34、44を有する。この場合、プログラムに更新があった場合、上述の実施形態と同様の方法で、第1実行部11が他の実行部、すなわち第2、第3、第4実行部12、13、14の実行対象の識別子の確認を行い、第2実行部21が、第1実行部11の実行対象のプログラムの識別子の確認を行い、それぞれの確認結果を共有することで、すべての実行部について、実行対象のプログラムの確認を行うことができる。なお、各実行部が他のいずれかの実行部から実行対象のプログラムの確認を受けることができれば、実行部とその確認対象となる他の実行部の組み合わせは限定されない。
(Modification example)
In the above embodiment, the case where there are two execution units has been described, but the present invention can also be applied to the case where there are three or more execution units. FIG. 7 schematically shows each execution unit and the storage unit when the
以上の実施形態、変形例において、各プロセッサが、他のプロセッサが実行するプログラムが更新されたとき、当該他のプロセッサから実行対象のプログラムの識別子を取得し、実行対象のプログラムが実際に更新されたことを確認できれば、各ステップの処理の内容および順序は、適宜変更、省略等してもよい。 In the above embodiments and modifications, when each processor updates a program executed by another processor, the identifier of the program to be executed is acquired from the other processor, and the program to be executed is actually updated. If it can be confirmed that the facts have been confirmed, the contents and order of the processes of each step may be changed or omitted as appropriate.
<効果>
以上の実施形態、変形例に係る更新処理においては、各実行部は、プログラムを実行する前に、互いの実行対象のプログラムのバージョンを確認する。そのため、それまでの段
階の、例えば更新部による、記憶部へ更新プログラムを書き込む処理や実行対象のプログラムを更新前のものから更新後のものに切り替える処理の実行タイミングにずれが生じて、各プログラムの更新前のバージョンと更新後のバージョンとが想定外の組合せで混在する状態が発生している場合はこれを検知することができる。この場合、すべてのプログラムを更新前のバージョンに戻して実行したり、ユーザーに通知して対応を促したりすることで、意図しない動作が実行されるのを抑制することができる。
<Effect>
In the update process according to the above-described embodiment and modification, each execution unit confirms the version of each other's program to be executed before executing the program. Therefore, there is a difference in the execution timing of the process of writing the update program to the storage unit and the process of switching the program to be executed from the one before the update to the one after the update by the update unit at the previous stage, for example, and each program. If the version before the update and the version after the update are mixed in an unexpected combination, this can be detected. In this case, it is possible to suppress the execution of unintended operations by reverting all programs to the version before the update and executing the program, or by notifying the user and prompting the user to take action.
なお、本発明は、自動運転ECUとして捉えるだけでなく、自動運転ECUのプロセッサが実行するプログラムの確認方法、およびプログラム確認用プログラムとして捉えることも可能である。 It should be noted that the present invention can be regarded not only as an automatic driving ECU but also as a confirmation method of a program executed by the processor of the automatic driving ECU and a program confirmation program.
本発明は、自動運転装置等の車載機器を備えた車両等に有用である。 The present invention is useful for vehicles and the like equipped with in-vehicle devices such as automatic driving devices.
11 第1実行部
12 第1記憶部
13 第1制御プログラム記憶領域
14 第1更新プログラム記憶領域
21 第2実行部
22 第2記憶部
23 第2制御プログラム記憶領域
24 第2更新プログラム記憶領域
31 第3実行部
32 第3記憶部
33 第3制御プログラム記憶領域
34 第3更新プログラム記憶領域
41 第4実行部
42 第4記憶部
43 第4制御プログラム記憶領域
44 第4更新プログラム記憶領域
91 更新部
100 車両制御装置
11
Claims (10)
前記車両を制御する第1制御プログラムを記憶する第1の不揮発性のメモリおよび、前記第1制御プログラムを実行する第1プロセッサを備える第1のマイコンと、
前記車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリおよび、前記第2制御プログラムを実行し、前記車両の外部の装置からネットワークを介して取得される更新データに基づいて、前記第1制御プログラムの更新版である第1更新プログラムを前記第1の不揮発性のメモリに記憶させたのち、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更させ、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更させた場合、前記第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得し、少なくとも前記識別子に基づいて、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認する第2プロセッサを備える第2のマイコンと、を備える、自動運転ECU。 It is an automatic driving ECU that controls the automatic driving of the vehicle.
A first non-volatile memory for storing a first control program for controlling the vehicle, a first microcomputer including a first processor for executing the first control program, and a first microcomputer.
Based on a second non-volatile memory that stores a second control program that controls the vehicle, and update data that executes the second control program and is acquired from an external device of the vehicle via a network. After storing the first update program, which is an updated version of the first control program, in the first non-volatile memory, the program to be executed by the first processor is changed to the first update program, and the first update program is used. When the program to be executed by the 1 processor is changed to the first update program, the identifier of the storage area in which the program to be executed by the first processor is written is acquired, and the first is based on at least the identifier. An automatic operation ECU comprising a second microcomputer including a second processor for confirming that a program to be executed by one processor has been changed to the first update program.
前記車両の起動時に、前記第1プロセッサの実行対象のプログラムの識別子を前記第1プロセッサから取得し、少なくとも前記第1プロセッサから取得した前記第1プロセッサの実行対象のプログラムの識別子に基づいて、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに更新されたことを確認する、請求項1に記載の自動運転ECU。 The second processor of the second microcomputer further
At the time of starting the vehicle, the identifier of the program to be executed by the first processor is acquired from the first processor, and at least based on the identifier of the program to be executed by the first processor acquired from the first processor, the said. The automatic operation ECU according to claim 1, which confirms that the program to be executed by the first processor has been updated to the first update program.
前記第2プロセッサが、前記第2プロセッサの実行対象のプログラムを前記第2更新プログラムに変更した場合、前記第1プロセッサは、前記第2プロセッサの実行対象のプログラムの識別子を前記第2プロセッサから取得し、少なくとも前記第2プロセッサから取得した前記第2プロセッサの実行対象のプログラムの識別子に基づいて、前記第2プロセッサの実行対象のプログラムが前記第2更新プログラムに変更されたことを確認する、請求項1または2に記載の自動運転ECU。 Based on the update data, the second processor stores the second update program, which is an updated version of the second control program, in the second non-volatile memory, and then the execution target of the second processor. It is possible to change the program to the second update program.
When the second processor changes the program to be executed by the second processor to the second update program, the first processor acquires the identifier of the program to be executed by the second processor from the second processor. Then, at least based on the identifier of the program to be executed by the second processor obtained from the second processor, it is confirmed that the program to be executed by the second processor has been changed to the second update program. Item 1. The automatic operation ECU according to Item 1 or 2.
前記第1プロセッサが、前記第2プロセッサの実行対象のプログラムが前記第2更新プログラムに変更されたことを確認し、かつ、前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認した場合に、前記第1プロセッサは、前記第1更新プログラムを実行し、前記第2プロセッサは、前記第2更新プログラムを実行する、請求項3に記載の自動運転ECU。 When the second processor changes the program to be executed by the first processor to the first update program and the program to be executed by the second processor to the second update program.
The first processor confirms that the program to be executed by the second processor has been changed to the second update program, and the second processor is the program to be executed by the first processor. 3. The third aspect of claim 3, wherein the first processor executes the first update program, and the second processor executes the second update program when it is confirmed that the program has been changed to the first update program. Automatic operation ECU.
前記第1更新プログラムは、前記第1の不揮発性のメモリの前記第1制御プログラムが記憶された領域以外の領域に記憶され、前記第2更新プログラムは、前記第2の不揮発性のメモリの前記第2制御プログラムが記憶された領域以外の領域に記憶され、
前記第1プロセッサが、前記第2プロセッサの実行対象のプログラムが前記第2更新プログラムに変更されたことを確認できない場合、前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認できない場合、の少なくともいずれか一方の場合に、前記第1プロセッサは、前記第1制御プログラムを実行し、前記第2プロセッサは、前記第2制御プログラムを実行する、請求項3または4に記載の自動運転ECU。 When the second processor changes the program to be executed by the first processor to the first update program and the program to be executed by the second processor to the second update program.
The first update program is stored in an area other than the area in which the first control program is stored in the first non-volatile memory, and the second update program is the second non-volatile memory. The second control program is stored in an area other than the stored area,
When the first processor cannot confirm that the program to be executed by the second processor has been changed to the second update program, the second processor and the program to be executed by the first processor are the first. If it cannot be confirmed that the update program has been changed, the first processor executes the first control program, and the second processor executes the second control program in at least one of the cases. , The automatic operation ECU according to claim 3 or 4.
前記第1プロセッサが、前記第2プロセッサの実行対象のプログラムの識別子を前記第2プロセッサから取得し、少なくとも前記第2プロセッサから取得した前記第2プロセッサの実行対象のプログラムの識別子に基づいて、前記第2プロセッサの実行対象のプログラムが前記第2制御プログラムから変更されていないことを確認し、かつ、前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認した場合に、前記第1プロセッサは、前記第1更新プログラムを実行し、前記第2プロセッサは、前記第2制御プログラムを実行する、請求項3に記載の自動運転ECU。 When the second processor has changed the program to be executed by the first processor to the first update program and has not changed the program to be executed by the second processor to the second update program.
The first processor obtains the identifier of the program to be executed by the second processor from the second processor, and at least based on the identifier of the program to be executed by the second processor obtained from the second processor. It is confirmed that the program to be executed by the second processor has not been changed from the second control program, and the program to be executed by the first processor is changed to the first update program by the second processor. The automatic operation ECU according to claim 3, wherein the first processor executes the first update program, and the second processor executes the second control program.
前記第1更新プログラムは、前記第1の不揮発性のメモリの前記第1制御プログラムが記憶された領域以外の領域に記憶されており、
前記第1プロセッサが、前記第2プロセッサの実行対象のプログラムの識別子を前記第2プロセッサから取得し、少なくとも前記第2プロセッサから取得した前記第2プロセッサの実行対象のプログラムの識別子に基づいて、前記第2プロセッサの実行対象のプログラムが前記第2制御プログラムから変更されていないことを確認し、かつ、前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認できなかった場合、前記第1プロセッサは、前記第1制御プログラムを実行し、前記第2プロセッサは、前記第2制御プログラムを実行する、請求項3または6に記載の、自動運転ECU。 When the second processor has changed the program to be executed by the first processor to the first update program and has not changed the program to be executed by the second processor to the second update program.
The first update program is stored in an area other than the area in which the first control program is stored in the first non-volatile memory.
The first processor obtains the identifier of the program to be executed by the second processor from the second processor, and at least based on the identifier of the program to be executed by the second processor obtained from the second processor. It is confirmed that the program to be executed by the second processor has not been changed from the second control program, and the program to be executed by the first processor is changed to the first update program by the second processor. The automatic operation according to claim 3 or 6, wherein the first processor executes the first control program, and the second processor executes the second control program. ECU.
前記第2プロセッサが前記更新データに基づいて、前記第3制御プログラムの更新版である第3更新プログラムを前記第3の不揮発性のメモリに記憶させたのち、前記第3プロセッサの実行対象のプログラムを前記第3更新プログラムに変更することが可能であり、
前記第2プロセッサが、前記第3プロセッサの実行対象のプログラムを前記第3更新プログラムに変更した場合、前記第1プロセッサは、前記第3プロセッサの実行対象のプログラムの識別子を前記第3プロセッサから取得し、少なくとも前記第3プロセッサから取得した前記第3プロセッサの実行対象のプログラムの識別子に基づいて、前記第3プロセッサの実行対象のプログラムが前記第3更新プログラムに変更されたことを確認する、請求項3に記載の自動運転ECU。 A third non-volatile memory for storing the third control program for controlling the vehicle, and at least a third processor for executing the third control program are further provided.
Based on the update data, the second processor stores the third update program, which is an updated version of the third control program, in the third non-volatile memory, and then the program to be executed by the third processor. Can be changed to the third update program.
When the second processor changes the program to be executed by the third processor to the third update program, the first processor acquires the identifier of the program to be executed by the third processor from the third processor. Then, at least based on the identifier of the program to be executed by the third processor obtained from the third processor, it is confirmed that the program to be executed by the third processor has been changed to the third update program. Item 3. The automatic operation ECU according to Item 3.
前記車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリと、
前記第1制御プログラムを実行する第1プロセッサと、
前記第2制御プログラムを実行し、前記車両の外部の装置からネットワークを介して取得される更新データに基づいて、前記第1制御プログラムの更新版である第1更新プログラムを前記第1の不揮発性のメモリに記憶させたのち、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更させる、前記車両の自動運転制御を行う自動運転ECUの第2プロセッサが実行するプログラムの更新確認方法であって、
前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更した場合、前記第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得するステップと、
少なくとも前記識別子に基づいて、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認するステップとを含む、更新確認方法。 A first non-volatile memory that stores a first control program that controls the vehicle,
A second non-volatile memory that stores a second control program that controls the vehicle, and
The first processor that executes the first control program and
Based on the update data obtained from the external device of the vehicle via the network by executing the second control program, the first update program, which is an updated version of the first control program, is subjected to the first non-volatileity. A method of confirming the update of the program executed by the second processor of the automatic operation ECU that controls the automatic operation of the vehicle, which changes the program to be executed by the first processor to the first update program after being stored in the memory of the above. And
When the second processor changes the program to be executed by the first processor to the first update program, a step of acquiring an identifier of a storage area in which the program to be executed by the first processor is written, and a step of acquiring the identifier.
An update confirmation method including a step of confirming that a program to be executed by the first processor has been changed to the first update program, at least based on the identifier.
前記車両を制御する第2制御プログラムを記憶する第2の不揮発性のメモリと、
前記第1制御プログラムを実行する第1プロセッサと、
前記第2制御プログラムを実行し、前記車両の外部の装置からネットワークを介して取得される更新データに基づいて、前記第1制御プログラムの更新版である第1更新プログラムを前記第1の不揮発性のメモリに記憶させたのち、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更させる、前記車両の自動運転制御を行う自動運転ECUの第2プロセッサに実行させるプログラムの更新確認プログラムであって、
前記第2プロセッサが、前記第1プロセッサの実行対象のプログラムを前記第1更新プログラムに変更した場合、前記第1プロセッサの実行対象のプログラムが書き込まれている記憶領域の識別子を取得するステップと、
少なくとも前記識別子に基づいて、前記第1プロセッサの実行対象のプログラムが前記第1更新プログラムに変更されたことを確認するステップとを含む、更新確認プログラム。 A first non-volatile memory that stores a first control program that controls the vehicle,
A second non-volatile memory that stores a second control program that controls the vehicle, and
The first processor that executes the first control program and
Based on the update data obtained from the external device of the vehicle via the network by executing the second control program, the first update program, which is an updated version of the first control program, is subjected to the first non-volatileity. A program update confirmation program to be executed by the second processor of the automatic operation ECU that controls the automatic operation of the vehicle, which changes the program to be executed by the first processor to the first update program after being stored in the memory of the above. And
When the second processor changes the program to be executed by the first processor to the first update program, a step of acquiring an identifier of a storage area in which the program to be executed by the first processor is written, and a step of acquiring the identifier.
An update confirmation program including a step of confirming that the program to be executed by the first processor has been changed to the first update program, at least based on the identifier.
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2022003285A JP7188622B2 (en) | 2018-02-16 | 2022-01-12 | Automatic driving ECU, program update confirmation method and update confirmation program |
JP2022192625A JP2023014289A (en) | 2022-01-12 | 2022-12-01 | System, method for confirming update of program, and update confirmation program |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018026152A JP7010049B2 (en) | 2018-02-16 | 2018-02-16 | Vehicle control device, program update confirmation method and update confirmation program |
JP2022003285A JP7188622B2 (en) | 2018-02-16 | 2022-01-12 | Automatic driving ECU, program update confirmation method and update confirmation program |
Related Parent Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018026152A Division JP7010049B2 (en) | 2018-02-16 | 2018-02-16 | Vehicle control device, program update confirmation method and update confirmation program |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2022192625A Division JP2023014289A (en) | 2022-01-12 | 2022-12-01 | System, method for confirming update of program, and update confirmation program |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2022036242A true JP2022036242A (en) | 2022-03-04 |
JP7188622B2 JP7188622B2 (en) | 2022-12-13 |
Family
ID=87888996
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2022003285A Active JP7188622B2 (en) | 2018-02-16 | 2022-01-12 | Automatic driving ECU, program update confirmation method and update confirmation program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP7188622B2 (en) |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH0784767A (en) * | 1993-09-16 | 1995-03-31 | Fujitsu Ltd | Device and method for managing generation among processors in plural processor systems |
JP2003044304A (en) * | 2001-07-26 | 2003-02-14 | Matsushita Electric Ind Co Ltd | Software update system in multi-cpu system |
JP2004234202A (en) * | 2003-01-29 | 2004-08-19 | Toshiba Corp | Program version management method of distributed interlocked processing system |
JP2006243780A (en) * | 2005-02-28 | 2006-09-14 | Tdk Corp | Memory controller, flash memory system and control method of flash memory |
JP2010198307A (en) * | 2009-02-25 | 2010-09-09 | Hitachi Automotive Systems Ltd | Controller for automobile |
-
2022
- 2022-01-12 JP JP2022003285A patent/JP7188622B2/en active Active
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH0784767A (en) * | 1993-09-16 | 1995-03-31 | Fujitsu Ltd | Device and method for managing generation among processors in plural processor systems |
JP2003044304A (en) * | 2001-07-26 | 2003-02-14 | Matsushita Electric Ind Co Ltd | Software update system in multi-cpu system |
JP2004234202A (en) * | 2003-01-29 | 2004-08-19 | Toshiba Corp | Program version management method of distributed interlocked processing system |
JP2006243780A (en) * | 2005-02-28 | 2006-09-14 | Tdk Corp | Memory controller, flash memory system and control method of flash memory |
JP2010198307A (en) * | 2009-02-25 | 2010-09-09 | Hitachi Automotive Systems Ltd | Controller for automobile |
Also Published As
Publication number | Publication date |
---|---|
JP7188622B2 (en) | 2022-12-13 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP7010049B2 (en) | Vehicle control device, program update confirmation method and update confirmation program | |
JP7047444B2 (en) | Vehicle control unit, electronic control unit, control method, control program, vehicle, OTA master, system and center | |
JP6361671B2 (en) | Program update system, program update method, relay device, and computer program | |
JP4899848B2 (en) | In-vehicle system | |
JP7013918B2 (en) | Vehicle control device, program update method and program | |
WO2018154949A1 (en) | Program updating system, control device, program updating method and computer program | |
JP7298427B2 (en) | Program update system and program update method | |
JP2011095952A (en) | Method for updating firmware and electronic equipment | |
CN110879714B (en) | Apparatus and computer-readable storage medium for providing update of vehicle | |
JP2022036242A (en) | Autonomous driving ecu, method for confirming update of program, and update confirmation program | |
CN111108472A (en) | Method for remote online software updating in a motor vehicle | |
JP2023014289A (en) | System, method for confirming update of program, and update confirmation program | |
JP6718483B2 (en) | vehicle | |
JP6676791B2 (en) | Information processing device | |
CN110825406A (en) | Software upgrading method and related equipment | |
EP3971708A1 (en) | In-vehicle device, software update method, non-transitory storage medium, vehicle, and electronic control unit | |
JP7484606B2 (en) | In-vehicle device, software update method, software update program, and vehicle | |
JP6988636B2 (en) | Reprogramming method | |
JP4517607B2 (en) | Electronic device and method for updating the program | |
JP2023020298A (en) | Firmware update method for electronic device and firmware update program for electronic device | |
US20190065175A1 (en) | Electronic device | |
JP2005332228A (en) | Program switching controller | |
JP2005025441A (en) | Method for updating application program of ic card | |
JP2006079282A (en) | Information processor |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20220112 |
|
TRDD | Decision of grant or rejection written | ||
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20221031 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20221101 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20221114 |
|
R151 | Written notification of patent or utility model registration |
Ref document number: 7188622 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |