JP2022085703A - 電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システム - Google Patents

Abstract

【課題】仮想マシンにおける更新管理機能の起動を制御する車両用の電子制御装置を提供する。【解決手段】電子制御システム１において、第１の仮想マシン１３０を有する電子制御装置１０は、ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部と、第１の仮想マシンの属性情報である第１の属性情報を、第１の仮想マシンに接続された第２の仮想マシン１５０、１６０、２３０に送信する送信部、第２の仮想マシンの属性情報である第２の属性情報を、第２の仮想マシンから受信する受信部、第１及び第２の属性情報に基づき、第１及び第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定する起動決定部及び起動決定部が更新管理機能を起動すると決定した場合に、ファイル取得部から転送された更新ファイルを用いた更新を第２の仮想マシンに指示する更新指示部を有する更新管理部と、を備える。【選択図】図１

Description

本発明は、電子制御装置に関するものであり、主として車両用の電子制御装置、電子制御装置で実現する方法、電子制御装置で実行可能なプログラム、及び複数の電子制御装置からなる電子制御システムに関する。

自動車においては、車載ネットワークで接続された様々な電子制御装置が搭載されている。近年の自動運転技術の発展に伴い自動車に求められる機能が複雑になりつつあり、自動車に搭載される電子制御装置の数は増加しつつある。

電子制御装置の数が増加すると、電子制御装置のソフトウェアの更新が必要となった場合、それぞれの電子制御装置のソフトウェアを更新する工程も複雑になる。

例えば、特許文献１には、車載装置において、ゲートウェイである車載更新装置を設け、車載更新装置が各車載ＥＣＵに更新プログラムを配信することが開示されている。
また、特許文献２には、通信装置同士が衝突しないように、マスタ機器とスレーブ機器を決定する処理が開示されている。

特開２０２０－１４２５６５号公報 特開２００７－２１５２４０号公報

ここで、本発明者は、以下の課題を見出した。
車両に搭載される電子制御装置を、仮想化技術を用いた仮想マシン上で実現する場合、ソフトウェアを更新するファイルの配信・管理を行う更新管理機能をどこに置くかの自由度は高くなる。しかし、自由度が高くなると、複数の更新管理機能が設定される可能性がある。複数の更新管理機能が設定された場合、ソフトウェア更新状態の管理ができなくなったり、ファイル更新が複数回実行されてしまうという問題が生じる可能性がある。

そこで、本発明は、仮想マシンにおける更新管理機能の起動を制御することを目的とする。

本開示の一態様による電子制御装置は、
第１の仮想マシン（１３０）を有する電子制御装置（１０）であって、
ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
前記第１の仮想マシンの属性情報である第１の属性情報を、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に送信する送信部（１３５）と、
前記第２の仮想マシンの属性情報である第２の属性情報を、前記第２の仮想マシンから受信する受信部（１３６）と、
前記第１の属性情報及び前記第２の属性情報に基づき、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定する起動決定部（１３７））と、
前記起動決定部が前記更新管理機能を起動すると決定した場合に、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有する。

本開示の他の態様による電子制御装置は、
第１の仮想マシン（１３０）を有する電子制御装置（１０）であって、
ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
前記第１の仮想マシンの属性情報である第１の属性情報を、前記ファイル取得部に送信する送信部（１３５）と、
前記第１の属性情報、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）の属性情報である第２の属性情報を受信した前記ファイル取得部が、前記第１の属性情報及び前記第２の属性情報に基づき生成した、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動する起動命令を受信する受信部（１３６）と、
前記受信部が前記起動命令を受信した場合、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

本開示の電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システムによれば、仮想マシンにおける更新管理機能の起動を制御することが可能となる。
より具体的には、電子制御装置又は電子制御システムにおいて、設定される更新管理機能を１つに限定することにより、更新管理機能同士が抵触することを防止することができる。

実施形態１、２の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する図 実施形態１、２の電子制御装置の更新管理部１３２の構成を説明する図 実施形態１の電子制御システム全体の動作を説明する図 実施形態１の電子制御装置の動作を説明する図 実施形態２の電子制御システム全体の動作を説明する図 実施形態２の電子制御装置の動作を説明する図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態に共通する構成
図１及び図２を用いて、各実施形態の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する。各実施形態の電子制御装置及び電子制御システムは、「移動体」である車両に「搭載されている」車載装置及び車載システムを想定しているが、これらに限定されるものではない。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載されている」、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

電子制御システム１は、複数の「電子制御装置」（以下、ＥＣＵ：Electronic Control Unit）から構成されるシステムである。図１は、２つのＥＣＵ（ＥＣＵ１０、ＥＣＵ２０）を備える電子制御システム１を示しているが、任意の数のＥＣＵから構成される。ＥＣＵ１０及びＥＣＵ２０は、例えば、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）といった車載ネットワーク、イーサネット（登録商標）、又は無線通信ネットワークを介して接続されている。

ここで、「電子制御装置」は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、およびＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインターフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置（素子）であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

ＥＣＵ１０は例えば、Adaptive Platform（ＡＰ）と呼ばれる、動的な機能の拡張が可能なプラットフォームをベースとしたＥＣＵである。ＡＰは主に、自動運転用のＥＣＵに適したプラットフォームである。また、ＥＣＵ２０は例えば、Classic Platform（ＣＰ）と呼ばれる、静的な機能を最適化したプラットフォームをベースとしたＥＣＵである。ＣＰは主に、車両制御用のＥＣＵに適したプラットフォームである。

電子制御システム１を構成するＥＣＵ１０、ＥＣＵ２０はいずれも、ハイパーバイザによって管理される１以上の仮想マシン（図面上は、ＶＭ（Virtual Machine）と略する。）を有する。以下に、ＥＣＵ１０、ＥＣＵ２０、及び各ＥＣＵに搭載される仮想マシンの構成を説明する。

（１）ＥＣＵ１０について
ＥＣＵ１０（「電子制御装置」又は「第１の電子制御装置」に相当）は、ハイパーバイザ（ＨＶ）１１０、ハイパーバイザ１１０によって管理される複数の仮想マシン（１３０、１５０、１６０）、並びにハードウェアである実ストレージ１２０を備える。

ハイパーバイザ１１０は、ＥＣＵ１０を仮想化するソフトウェアである。図１の例では、仮想マシン１３０、仮想マシン１５０、仮想マシン１６０はハイパーバイザ１１０上に構築されている。ハイパーバイザ上に構築された仮想マシン同士はそれぞれ仮想的に接続されている。また、後述のＥＣＵ２０に搭載された仮想マシン２３０とも接続されている。

実ストレージ１２０は、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。後述する仮想マシン１３０、仮想マシン１５０、及び仮想マシン１６０の仮想ストレージは、実ストレージ１２０の保存領域を仮想化して実現される。実ストレージ１２０は、ＥＣＵ１０のハイパーバイザ１１０が管理する保存領域である。

（ｉ）仮想マシン１３０について
ハイパーバイザ１１０によって管理される仮想マシン１３０（「第１の仮想マシン」に相当）は、ファイル取得部１３１、更新管理部１３２、更新部１３３、及び仮想ストレージ１３４を有する。

ファイル取得部１３１は、車両制御システム１の外部に設けられたサーバ装置からＯＴＡ（over the Air）又は有線通信を用いてファイルを取得する。ファイル取得部１３１が取得するファイルは、仮想マシンのソフトウェアを更新するための更新ファイルを含み、例えば、複数の仮想マシンを更新するための複数の更新ファイルを含む更新ファイル群であってもよい。ファイルはさらに、ソフトウェアを更新すべき対象の仮想マシンを特定する情報を含んでもよい。ファイル取得部１３１は、取得した更新ファイル群を更新管理部１３２に転送する。ファイル取得部１３１は、ＯＴＡクライアントとも称される。

更新管理部１３２は、ファイル取得部１３１から転送されたファイルを更新対象の仮想マシンに配信するために必要な一連の処理を行う。更新管理部１３２は、図２に示す通り、送信部１３５、受信部１３６、起動決定部１３７、更新指示部１３８、配信部１３９、及び休止制御部１４０を実現する。更新管理部１３２は、ＵＣＭ（Update and Configuration Management）マスタとも称される。

送信部１３５は、更新管理部１３２の外部に、仮想マシン１３０の「属性情報」（「第１の属性情報」に相当）を送信する。送信先は、後述の実施形態１では、仮想マシン１３０に「接続」された仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０（以上、それぞれ「第２の仮想マシン」に相当）である。後述の実施形態２では、ファイル取得部１３１である。属性情報の例として、仮想マシンやそれに含まるデバイスの識別情報、仮想マシンやそれに含まれるデバイスのＩＰアドレス、プロセッサの種類や性能及び稼働率、搭載するメモリの性能や容量、接続されているインターフェースの種類や数、電源供給状態、などが挙げられる。また、属性情報にソフトウェアの更新の要否の情報である更新要否情報を含めるようにしてもよい。

ここで、「属性情報」とは、「第１の仮想マシン」又は「第２の仮想マシン」を特定する情報の他、「第１の仮想マシン」又は「第２の仮想マシン」が有する性質、特徴、又は状態を示す情報をいう。
また、「接続」とは、仮想マシン同士でデータのやり取りが可能な状態をいい、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合の他、異なるハードウェア上で実現された仮想マシン同士がネットワーク等を介して接続されている場合も含む。また、データのやり取りが可能な状態とは、必ずしも実際にデータのやり取りが可能である必要はない。例えば、一方の仮想マシンが何らかのトラブルで一時的に停止していたり、スリープ状態にある場合であってもデータのやり取りが可能な状態である。

受信部１３６は、更新管理部１３２の外部から、情報又は命令を受信する。後述の実施形態１では、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０から、それぞれの「属性情報」（「第２の属性情報」に相当）を受信する。後述の実施形態２では、ファイル取得部１３１から起動命令を受信する。詳細は各実施形態で説明する。

起動決定部１３７は、仮想マシン１３０の属性情報、並びに仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０のそれぞれの属性情報に基づき、仮想マシン１３０、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０のソフトウェア更新のための更新管理機能を起動するか否かを決定する。更新管理機能とは、本実施形態では、更新指示部１３８、及び配信部１３９をいう。なお、実施形態２では、起動決定部１３７は必ずしも必要ではない。

更新指示部１３８は、ソフトウェアの更新対象の各仮想マシンに対して仮想マシンのソフトウェアの更新を指示する。各仮想マシンが更新対象かどうかは、ファイル取得部１３１から転送された更新ファイル群に含まれる、更新対象の仮想マシンを特定する情報に基づいて判定することができる。あるいは、特定の条件を満たす仮想マシンを更新対象とすることができる。

更新指示部１３８の更新指示は、更新ファイルの保存先を示すアドレスを示すものであってもよい。例えば、更新指示が、更新ファイルの保存先のアドレスを示すことにより、更新ファイルを用いて仮想マシンのソフトウェアを更新することを間接的に指示することができる。また、更新指示が、更新ファイルを保存した実ストレージ１２０のアドレスを示すことにより、実ストレージ１２０にアクセスすることにより実ストレージ１２０に保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを間接的に指示することができる。更新指示はさらに、仮想マシンに更新ファイルを配信するかどうかを示す情報を含んでもよい。

配信部１３９は、ファイル取得部１３１から転送された更新ファイルを、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に配信する。すなわち、更新ファイルを通信やメモリ間転送を用いて送信する。後述の実施形態１では、起動決定部１３７がファイル管理機能を起動すると決定した場合に配信する。後述の実施形態２では、受信部１３６がファイル取得部１３１から受信した起動命令に基づき配信する。詳細は各実施形態で説明する。

休止制御部１４０は、更新管理機能である更新指示部１３８及び配信部１３９を「休止」させる。又は、休止制御部１４０は、他の仮想マシンの更新管理機能である更新指示部及び配信部を「休止」させる。後述の実施形態１では、起動決定部１３７が更新管理機能を起動しないと決定した場合に、休止制御部１４０は仮想マシン１３０の更新管理機能である更新指示部１３８及び配信部１３９を「休止」させる。後述の実施形態２では、休止制御部１４０は、仮想マシン１５０、仮想マシン１６０、又は仮想マシン２３０の更新管理機能を「休止」させる休止命令を生成し、配信部１３９から配信する。詳細は各実施形態で説明する。

ここで、「休止」とは、少なくとも更新管理機能が動作しない状態であればよい。例えば、アイドル状態、スリープ状態、などと表現されることもある。

更新部１３３は、更新指示部１３８からの指示に基づき、更新ファイルを用いて仮想マシン１３０のソフトウェアを更新する。更新部１３３は、仮想マシン１３０のソフトウェアの更新処理が完了すると、更新管理部１３３に更新が完了したことを通知する。更新部１３３及び後述する他の仮想マシンの更新部１５２、１６２、２３２は、ＵＣＭサブオーディネイトとも称される。

仮想ストレージ１３４は、実ストレージ１２０の保存領域を仮想化することで、仮想マシン１３０に仮想的に設けられた保存領域である。そのため、仮想ストレージ１３４に保存されたファイルは、実ストレージ１２０に保存されたファイルであるとも観念される。以下に説明する仮想マシン１５０の仮想ストレージ１５３、仮想マシン１６０の仮想ストレージ１６３についても同様である。

（ｉｉ）仮想マシン１５０、仮想マシン１６０について
仮想マシン１５０及び仮想マシン１６０（それぞれ「第２の仮想マシン」に相当）は、仮想マシン１３０と同様、ハイパーバイザ１１０によって管理される仮想マシンである。仮想マシン１５０は、更新管理部１５１、更新部１５２、及び仮想ストレージ１５３を有する。仮想マシン１６０は、更新管理部１６１、更新部１６２、及び仮想ストレージ１６３を有する。

更新管理部１５１及び更新管理部１６１は、更新管理部１３２と同様の構成を有している。更新管理部１５１及び更新管理部１６１は、後述の実施形態１では、これらが有する起動決定部が更新管理機能を起動しないと決定した場合に休止制御部が更新管理機能を休止させるので、更新管理部１５１及び更新管理部１６１は休止している。後述の実施形態２では、仮想マシン１３０から配信された休止命令により、更新管理部１５１及び更新管理部１６１は休止している。

更新部１５２及び更新部１６２は、それぞれ更新管理部１５１及び更新管理部１６１が休止しているので、仮想マシン１３０の更新指示部１３８からの更新指示に基づいて、それぞれの仮想マシンのソフトウェアの更新を行う。更新部１５２及び更新部１６２は、ソフトウェアの更新処理が完了すると、第１の仮想マシン１３０の更新管理部１３２に更新が完了したことを通知する。

仮想ストレージ１５３及び仮想ストレージ１６３は、仮想マシン１５０及び仮想マシン１６０にそれぞれ仮想的に設けられた保存領域である。仮想マシン１３０の配信部１３９から更新ファイルが配信される場合、更新ファイルはそれぞれの仮想ストレージ１５３及び仮想ストレージ１６３に保存される。

（２）ＥＣＵ２０について
ＥＣＵ２０（「第２の電子制御装置」に相当）は、ハイパーバイザ２１０、ハードウェアである実ストレージ２２０、及びハイパーバイザ２１０によって管理される仮想マシン２３０（「第２の仮想マシン」に相当）を備える。

ＥＣＵ１０とＥＣＵ２０とは、例えば車載ネットワークで接続されており、ＥＣＵ１０が有する仮想マシン１３０と、ＥＣＵ２０が有する仮想マシン２３０とは、車載ネットワークを介して仮想的に接続されている。

ハイパーバイザ２１０は、ＥＣＵ２０を仮想化するソフトウェアである。仮想マシン２３０はハイパーバイザ２１０上に構築される。

実ストレージ２２０は、ＥＣＵ１０の実ストレージ１２０と同様、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。

ＥＣＵ２０が有する仮想マシン２３０は、上述した仮想マシン１５０及び仮想マシン１６０と同様、更新管理部２３１、更新部２３２、及び仮想ストレージ２３３を有する。なお、本実施形態では、ＥＣＵ２０の仮想マシン２３０が更新管理機能を有する例を示しているが、更新管理部２３１を有しないように構成してもよい。

更新管理部２３１は、更新管理部１３２と同様の構成を有している。後述の実施形態１では、更新管理部２３１が有する起動決定部が更新管理機能を起動しないと決定した場合に休止制御部が更新管理機能を休止させるので、更新管理部２３１は休止している。後述の実施形態２では、仮想マシン１３０から配信された休止命令により、更新管理部２３１は休止している。

更新部２３２は、更新管理部２３１が休止しているので、仮想マシン１３０の更新指示部１３８からの更新指示に基づいて仮想マシン２３０のソフトウェアの更新を行い、ソフトウェアの更新処理が完了すると仮想マシン１３０の更新管理部１３２に更新が完了したことを通知する。

仮想ストレージ２３３は、実ストレージ２２０に仮想的に設けられた保存領域である。配信部１３９から更新ファイルが配信された場合、更新ファイルを仮想ストレージ２３３に保存してもよい。

（３）小括
以上、実施形態１、２に共通する電子制御装置、及び電子システムの構成を説明した。
なお、図１は、ＥＣＵ１０が１つのハイパーバイザ１１０を有する例を示しているが、複数のハイパーバイザを有していてもよい。また、ハイパーバイザ上に構築される仮想マシンの数についても任意である。

２．実施形態１
本実施形態は、ＥＣＵ１０である電子制御装置、又はＥＣＵ１０及びＥＣＵ２０からなる電子制御システム１において、各仮想マシンの更新管理部同士で調停を行うことにより、同時に稼働する更新管理機能を１つに限定するものである。すなわち、各仮想マシンが属性情報を交換し合い、各仮想マシンが自身で更新管理機能を起動するか否かを決定するものである。
以下、図３及び図４を用いて説明する。図３は電子制御システム１全体の動作を示す図である。図４は、仮想マシン１３０の更新管理部１３２の動作を示す図である。図３に示す符号と、図４に示す符号はそれぞれ対応しており、同じ符号は同じ処理を示している。

なお、図４に示す更新管理部１３２の動作とは、ＥＣＵ１０の動作であるとも観念できる。また、ＥＣＵ１０の動作は、電子制御装置で実行されるソフトウェア更新方法を示すだけでなく、電子制御装置で実行可能なソフトウェア更新プログラムの処理手順を示すものである。そして、これらの処理は、図３及び図４で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。実施形態２の図５及び図６についても同様である。

仮想マシン１３０の更新管理部１３２の送信部１３５は、仮想マシン１３０の属性情報を、仮想マシン１３０に接続された仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に送信する（Ｓ１０１）。送信部１３５の送信方法は、送信先を指定したユニキャスト送信／マルチキャスト送信、送信先を指定しないブロードキャスト送信、のいずれでもよい。

仮想マシン１３０の更新管理部１３２の受信部１３６は、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０から送信されたそれぞれの仮想マシンの属性情報を受信する（Ｓ１０２）。

すなわち、それぞれの仮想マシンは、自らの属性情報を他の仮想マシンに送信するとともに、他の仮想マシンから属性情報を受信しているので、それぞれの仮想マシンは接続されている全ての仮想マシンの属性情報を取得していることになる。

仮想マシン１３０の更新管理部１３２の起動決定部１３７は、仮想マシン１３０の属性情報、並びに仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０のそれぞれの属性情報に基づき、仮想マシン１３０のソフトウェア更新のための更新管理機能を起動するか否かを決定する（Ｓ１０３）。

起動決定部１３７の決定方法として、以下の例が挙げられる。
・各更新管理部のＩＤが最大／最小
・各更新管理部のＩＰアドレスが最大／最小
・各仮想マシンに割り当てられたハードウェアの性能（マシンマニュフェストとも称される。）例えば、以下の通り。
プロセッサの種類や性能及び稼働率
搭載するメモリの性能や容量
接続されているインターフェースの種類及び数
・各更新管理部の機能安全度
・電源供給状態

仮想マシン１３０の属性情報にソフトウェアの更新の要否の情報である更新要否情報が含まれている場合であって、仮想マシンのソフトウェアの更新が不要であることを「示している」場合は、起動決定部１３７は、仮想マシン１３０のソフトウェア更新のための更新管理機能を起動しないと決定してもよい。このような決定をすることにより、自装置のソフトウェア更新が不要な仮想マシンが更新管理機能を起動することを防止することができ、ひいては起動する電子制御装置や仮想マシンの数を削減することができる。

ここで、「示している」とは、更新の要否を直接示している場合の他、更新の要否が特定できるような間接事実が示されている場合も含む。

図３においては、仮想マシン１３０の起動決定部１３７が、更新管理機能を起動すると決定している。これに対し、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の起動決定部は、更新管理機能を起動しないと決定している。

更新管理機能の起動を決定した仮想マシン１３０の送信部１３５は、仮想マシン１３０の更新管理機能が起動したことを示す起動通知をファイル取得部１３１に送信する（Ｓ１０４）。

これに対し、更新管理機能を起動しないことを決定した仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の休止制御部は、それぞれの更新管理機能を休止させる（Ｓ１０５）。例えば、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０のそれぞれの更新指示部及び配信部を休止させる。

更新管理機能の起動を決定した仮想マシン１３０の受信部１３６は、ファイル取得部１３１から転送されたファイル更新リクエスト及び更新ファイルを受信する（Ｓ１０６）。

更新管理機能の起動を決定した仮想マシン１３０の更新指示部１３８は、更新管理機能を休止した仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に対し、更新指示を送信する（Ｓ１０７）。この際、仮想マシン１３０の更新部１３３にも更新指示を送信してもよい。また、仮想マシン１３０の配信部１３９は、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に対し、更新ファイルを配信する（Ｓ１０８）。

なお、Ｓ１０４で、仮想マシン１３０がファイル取得部１３１に対し起動通知を送信することにより、ファイル取得部１３１において更新管理機能を起動している仮想マシンを認識することとなるが、これに代えて、ファイル取得部１３１が、仮想マシン１３０、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に更新管理機能が起動していることを問い合わせる検索信号を送信し、これに対する応答信号を送信した仮想マシンを更新管理機能が起動している仮想マシンと認識するようにしてもよい。

以上、本実施形態によれば、仮想マシンの更新管理部同士が調停を行うことにより、起動する更新管理機能を１つに制限することができるので、更新管理機能同士の抵触を防止し、ソフトウェアの更新管理を正確かつ効率よく実行することができる。

３．実施形態２
本実施形態は、ＥＣＵ１０である電子制御装置、又はＥＣＵ１０及びＥＣＵ２０からなる電子制御システム１において、ファイル取得部１３１が更新管理機能を起動する仮想マシンを決定することにより、同時に稼働する更新管理機能を１つに限定するものである。すなわち、ファイル取得部１３１が各仮想マシンの属性情報を取得し、どの仮想マシンの更新管理機能を起動するかを決定するものである。
以下、図５及び図６を用いて説明する。図５は電子制御システム１全体の動作を示す図である。図６は、仮想マシン１３０の更新管理部１３２の動作を示す図である。図５に示す符号と、図６に示す符号はそれぞれ対応しており、同じ符号は同じ処理を示している。

仮想マシン１３０の更新管理部１３２の送信部１３５は、仮想マシン１３０の属性情報を、ファイル取得部１３１に送信する（Ｓ２０１）。送信部１３５の送信方法は、送信先を指定したユニキャスト送信／マルチキャスト送信、送信先を指定しないブロードキャスト送信、のいずれでもよい。ブロードキャスト送信の場合は、仮想マシン１３０の属性情報はファイル取得部１３１だけでなく、仮想マシン１３０と接続された仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０にも送信されるので、実施形態１と実質的に同じとなる。

仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の送信部も同様に、それぞれの属性情報をファイル取得部１３１に送信する（Ｓ２０１）。

ファイル取得部１３１は、仮想マシン１３０の属性情報、並びに仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の属性情報に基づき、ソフトウェア更新のための更新管理機能を起動する起動命令を生成する（Ｓ２０２）。起動命令には、どの仮想マシンを起動するかの情報を含めてもよい。この場合は、起動命令を、送信先を特定しないブロードキャスト送信で送信することができる。どの仮想マシンを起動するかは、実施形態１の起動決定部１３７の決定方法と同じ方法を用いることができる。本実施形態では、仮想マシン１３０を起動すると決定したとする。

仮想マシン１３０の更新管理部１３２の受信部１３６は、ファイル取得部１３１から送信された起動命令を受信する（Ｓ２０３）。

起動命令を受信した仮想マシン１３０の更新管理部１３２の休止制御部１４０は、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の更新管理機能を休止させる休止命令を生成する（Ｓ２０４）。そして、配信部１３９は、休止命令を仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に配信する（Ｓ２０５）。

休止命令を受信した仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０の休止制御部は、それぞれの更新管理機能を休止させる（Ｓ２０６）。

仮想マシン１３０の受信部１３６は、ファイル取得部１３１から転送されたファイル更新リクエスト及び更新ファイルを受信する（Ｓ２０７）。

仮想マシン１３０の更新指示部１３８は、更新管理機能を休止した仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に対し、更新指示を送信する（Ｓ２０８）。この際、仮想マシン１３０の更新部１３３にも更新指示を送信してもよい。また、仮想マシン１３０の配信部１３９は、仮想マシン１５０、仮想マシン１６０、及び仮想マシン２３０に対し、更新ファイルを配信する（Ｓ２０９）。

なお、Ｓ２０５で、休止命令は配信部１３９から配信したが、これに代えて、休止命令をファイル取得部１３１から配信するようにしてもよい。

以上、本実施形態によれば、ファイル取得部１３１が更新管理機能を起動する仮想マシンを決定することにより、起動する更新管理機能を１つに制限することができるので、更新管理機能同士の抵触を防止し、ソフトウェアの更新管理を正確かつ効率よく実行することができる。

４．総括
以上、本発明の各実施形態における電子制御装置、及び当該電子制御装置を備える電子制御システムの特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態の電子制御装置は、車両に搭載される車載装置を構成する電子制御装置であることを前提としているが、本発明の電子制御装置は、特許請求の範囲で特に限定する場合を除き、任意の電子制御システムに適用される。

また、本発明の装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また各装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、マイクロコンピュータを包含する製品全般に適用可能である。

１ 電子制御システム、１０，２０ 電子制御装置、１３０ 第１の仮想マシン、１３１ ファイル取得部、１３３，２３２ 更新部、１３５ 送信部、１３６ 受信部、１３７ 起動決定部、１３９ 配信部、１４０ 休止制御部、１５０，１６０，２３０ 第２の仮想マシン

Claims (13)

1. 第１の仮想マシン（１３０）を有する電子制御装置であって、
   ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
   前記第１の仮想マシンの属性情報である第１の属性情報を、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に送信する送信部（１３５）と、
   前記第２の仮想マシンの属性情報である第２の属性情報を、前記第２の仮想マシンから受信する受信部（１３６）と、
   前記第１の属性情報及び前記第２の属性情報に基づき、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定する起動決定部（１３７）と、
   前記起動決定部が前記更新管理機能を起動すると決定した場合に、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有する、
   電子制御装置（１０）。
2. さらに、前記起動決定部が前記更新管理機能を起動しないと決定した場合に、前記更新管理機能を休止させる休止制御部（１４０）を有する、
   請求項１記載の電子制御装置。
3. さらに、前記更新ファイルを用いて前記第１の仮想マシンのソフトウェアを更新する更新部（１３３）を有する、
   請求項１記載の電子制御装置。
4. 前記第１の属性情報には、前記第１の仮想マシンのソフトウェアの更新の要否を示す更新要否情報が含まれており、
   前記更新要否情報が前記第１の仮想マシンのソフトウェアの更新が不要であることを示している場合、前記起動決定部は前記更新管理機能を起動しないと決定する、
   請求項１記載の電子制御装置。
5. 第１の仮想マシン（１３０）を有する電子制御装置であって、
   ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
   前記第１の仮想マシンの属性情報である第１の属性情報を、前記ファイル取得部に送信する送信部（１３５）と、
   前記第１の属性情報、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）の属性情報である第２の属性情報を受信した前記ファイル取得部が、前記第１の属性情報及び前記第２の属性情報に基づき生成した、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動する起動命令を受信する受信部（１３６）と、
   前記受信部が前記起動命令を受信した場合、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有する、
   電子制御装置（１０）。
6. さらに、前記受信部が前記起動命令を受信した場合、前記第２の仮想マシンの更新管理機能を休止させる休止命令を生成する休止制御部（１４０）を有し、
   前記配信部は、前記休止命令を前記第２の仮想マシンに配信する、
   請求項５記載の電子制御装置。
7. 当該電子制御装置は移動体に搭載されている、
   請求項１～６記載の電子制御装置。
8. 第１の仮想マシンを有する電子制御装置で実行されるソフトウェア更新方法あって、
   前記電子制御装置は、
   ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）を有し、
   前記第１の仮想マシンの属性情報である第１の属性情報を、前記第１の仮想マシンに接続された第２の仮想マシンに送信し（Ｓ１０１）、
   前記第２の仮想マシンの属性情報である第２の属性情報を、前記第２の仮想マシンから受信し（Ｓ１０２）、
   前記第１の属性情報及び前記第２の属性情報に基づき、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定し（Ｓ１０３）、
   前記更新管理機能を起動すると決定した場合に、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する（Ｓ１０７）、
   ソフトウェア更新方法。
9. 第１の仮想マシンを有する電子制御装置で実行されるソフトウェア更新方法であって、
   前記電子制御装置は、
   ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）を有し、
   前記第１の仮想マシンの属性情報である第１の属性情報を、前記ファイル取得部に送信し（Ｓ２０１）、
   前記第１の属性情報、及び前記第１の仮想マシンに接続された第２の仮想マシンの属性情報である第２の属性情報を受信した前記ファイル取得部が、前記第１の属性情報及び前記第２の属性情報に基づき生成した、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動する起動命令を受信し（Ｓ２０３）、
   前記起動命令を受信した場合、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する（Ｓ２０８）、
   ソフトウェア更新方法。
10. 第１の仮想マシンを有する電子制御装置で実行可能なソフトウェア更新プログラムあって、
    前記電子制御装置は、
    ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）を有し、
    前記第１の仮想マシンの属性情報である第１の属性情報を、前記第１の仮想マシンに接続された第２の仮想マシンに送信し（Ｓ１０１）、
    前記第２の仮想マシンの属性情報である第２の属性情報を、前記第２の仮想マシンから受信し（Ｓ１０２）、
    前記第１の属性情報及び前記第２の属性情報に基づき、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定し（Ｓ１０３）、
    前記更新管理機能を起動すると決定した場合に、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する（Ｓ１０７）、
    ソフトウェア更新プログラム。
11. 第１の仮想マシンを有する電子制御装置で実行可能なソフトウェア更新プログラムであって、
    前記電子制御装置は、
    ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）を有し、
    前記第１の仮想マシンの属性情報である第１の属性情報を、前記ファイル取得部に送信し（Ｓ２０１）、
    前記第１の属性情報、及び前記第１の仮想マシンに接続された第２の仮想マシンの属性情報である第２の属性情報を受信した前記ファイル取得部が、前記第１の属性情報及び前記第２の属性情報に基づき生成した、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動する起動命令を受信し（Ｓ２０３）、
    前記起動命令を受信した場合、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する（Ｓ２０８）、
    ソフトウェア更新プログラム。
12. 第１の仮想マシンを有する第１の電子制御装置（１０）と、第２の仮想マシンを有する第２の電子制御装置（２０）とを有する電子制御システムであって、
    前記第１の仮想マシンは、
    ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
    前記第１の仮想マシンの属性情報である第１の属性情報を、前記第１の仮想マシンに接続された第２の仮想マシンに送信する送信部（１３５）と、
    前記第２の仮想マシンの属性情報である第２の属性情報を、前記第２の仮想マシンから受信する受信部（１３６）と、
    前記第１の属性情報及び前記第２の属性情報に基づき、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動するか否かを決定する起動決定部（１３７）と、
    前記起動決定部が前記更新管理機能を起動すると決定した場合に、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有し、
    第２の仮想マシンは、
    前記第１の仮想マシンから指示された前記更新ファイルを用いてソフトウェアの更新を行う更新部（２３２）を有する、
    電子制御システム（１）。
13. 第１の仮想マシンを有する第１の電子制御装置と、第２の仮想マシンを有する第２の電子制御装置とを有する電子制御システムであって、
    前記第１の仮想マシンは、
    ソフトウェアを更新するための更新ファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
    前記第１の仮想マシンの属性情報である第１の属性情報を、前記ファイル取得部に送信する送信部（１３５）と、
    前記第１の属性情報、及び前記第１の仮想マシンに接続された前記第２の仮想マシンの属性情報である第２の属性情報を受信した前記ファイル取得部が、前記第１の属性情報及び前記第２の属性情報に基づき生成した、前記第１の仮想マシン及び前記第２の仮想マシンのソフトウェア更新のための更新管理機能を起動する起動命令を受信する受信部（１３６）と、
    前記受信部が前記起動命令を受信した場合、前記ファイル取得部から転送された前記更新ファイルを用いた更新を前記第２の仮想マシンに指示する更新指示部（１３８）と、を有し、
    第２の仮想マシンは、
    前記第１の仮想マシンから指示された前記更新ファイルを用いてソフトウェアの更新を行う更新部（２３２）を有する、
    電子制御システム（１）。

Images