JP2022085861A - 電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システム - Google Patents

Abstract

【課題】ソフトウェアの更新を管理する更新管理部と通信が不可能な更新部が存在する場合に、更新処理全体がエラーとして判断されるのを防ぐ電子制御装置、ソフトウェア更新方法及び電子制御システムを提供する。【解決手段】第１の仮想マシンを有する電子制御装置は、ソフトウェアを更新するためのファイルを取得するファイル取得部と、ソフトウェアの更新を管理する更新管理部と、を有する。更新管理部は、更新管理部と第１の仮想マシンのソフトウェアを更新する第１の更新部との間及び／又は更新管理部と第１の仮想マシンに接続された第２の仮想マシンのソフトウェアを更新する第２の更新部との間の通信が可能か否かを判定する判定部と、ファイル取得部からファイルを受領する受領部と、第１の更新部及び第２の更新部のうち判定部が通信可能と判定した更新部に対して、受領部が受領したファイルを用いたソフトウェアの更新を指示する更新指示部と、を有する。【選択図】図１

Description

本発明は、電子制御装置に関するものであり、主として車両用の電子制御装置、電子制御装置で実現する方法、電子制御装置で実行可能なプログラム、及び電子制御装置からなる電子制御システムに関する。

自動車においては、車載ネットワークで接続された様々な電子制御装置が搭載されている。近年の自動運転技術の発展に伴い自動車に求められる機能が複雑になりつつあり、自動車に搭載される電子制御装置の数は増加しつつある。そこで、複数の機能を１つの電子制御装置に統合することで電子制御装置全体の数を抑制することが可能な仮想化技術を適用することが提案されている。

例えば、特許文献１には、車載コンピュータにおいて、ハイパーバイザ（Hypervisor）等の仮想化オペレーティングシステムを利用して、複数の仮想ＥＣＵを構築することが開示されている。特許文献１に記載の技術によれば、ＥＣＵを介して車載コンピュータに接続された端末機器の動作に必要な物理リソースを車載コンピュータに集約させることで、物理リソースの効率的な利用が可能となる。

特開２０２０－１７３５６１号公報

ここで、本発明者は、以下の課題を見出した。
電子制御装置を仮想化した仮想マシンには、走行や操舵といった車両の動作を制御するものが含まれるため、車両の安全性を確保するために常に最新のソフトウェアにアップデートすることが望ましい。そのため、各仮想マシンには、仮想マシンのソフトウェアの更新を実行する機能が設けられる。ところが、複数の仮想マシンにおけるソフトウェアの更新を管理する更新管理機能と更新機能との間で通信ができず、一部の仮想マシンの更新が実行できない場合、更新管理機能は更新処理全体にエラーが発生したと判断して、車載システムや電子制御装置の更新処理全体を再試行するおそれがある。その結果、更新処理の完了に時間がかかり、不要なリソースが消費される。

そこで、本発明は、更新管理機能と通信ができない更新機能がある場合であっても、更新処理全体にエラーが発生したと判断されるのを防ぎ、更新処理に要する時間やリソースの消費が増大するのを防ぐことを目的とする。

本開示の一態様による電子制御装置は、第１の仮想マシン（１３０）を有する電子制御装置であって、ソフトウェアを更新するためのファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、前記更新管理部は、前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部との間、の通信が可能か否かを判定する判定部（１３５）と、前記ファイル取得部から前記ファイルを受領する受領部（１３７）と、前記第１の更新部及び前記第２の更新部のうち前記判定部が通信可能と判定した更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示する更新指示部（１３９）と、を有する。

本開示の他の態様によるソフトウェア更新方法は、第１の仮想マシン（１３０）を有する電子制御装置（１０）で実行するソフトウェア更新方法であって、前記電子制御装置は、ソフトウェアを更新するためのファイルを前記電子制御装置の外部から取得するファイル取得部（１３１）と、前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部（１５１，１６１，２３１）との間、の通信が可能か否かを判定し（Ｓ１０４）、前記ファイル取得部から前記ファイルを受領し（Ｓ１０６）、前記第１の更新部及び前記第２の更新部のうち、通信が可能と判定した更新部に対して、前記ファイル取得部から受領した前記ファイルを用いたソフトウェアの更新を指示する（Ｓ１０８）。

本開示の他の態様によるソフトウェア更新プログラムは、第１の仮想マシン（１３０）を有する電子制御装置（１０）で実行可能なソフトウェア更新プログラムであって、前記電子制御装置は、ソフトウェアを更新するためのファイルを前記電子制御装置の外部から取得するファイル取得部（１３１）と、前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部（１５１，１６１，２３１）との間、の通信が可能か否かを判定し（Ｓ１０４）、前記ファイル取得部から前記ファイルを受領し（Ｓ１０６）、前記第１の更新部及び前記第２の更新部のうち、通信が可能と判定した更新部に対して、前記ファイル取得部から受領した前記ファイルを用いたソフトウェアの更新を指示する（Ｓ１０８）。

本開示の他の態様による電子制御システムは、第１の仮想マシン（１３０）を有する第１の電子制御装置（１０）と、第２の仮想マシン（２３０）を有する第２の電子制御装置（２０）とを有する電子制御システムであって、前記第１の仮想マシンは、ソフトウェアを更新するためのファイルを前記第１の電子制御装置の外部から取得するファイル取得部（１３１）と、前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、前記更新管理部は、前記更新管理部と、前記第２の仮想マシンのソフトウェアを更新する第２の更新部（２３１）との間の通信が可能か否かを判定する判定部（１３５）と、前記ファイル取得部から前記ファイルを受領する受領部（１３７）と、通信が可能な前記第２の更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示する更新指示部（１３９）と、を有し、前記第２の仮想マシンの前記第２の更新部は、前記更新指示部の指示に基づき、前記ファイルを用いて前記第２の仮想マシンのソフトウェアを更新する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

本開示の電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システムによれば、電子制御装置又は電子制御システムにおいて、更新管理部と通信ができない更新部がある場合であっても、通信が可能な更新部が仮想マシンのソフトウェアの更新処理を行うことができる。

実施形態１～３の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する図 実施形態１、２の更新管理部の機能を説明する図 実施形態１～３の電子制御システム全体の動作を説明する図 実施形態１、２の更新管理部の動作を説明する図 実施形態１、２の更新部の動作を説明する図 実施形態３の更新管理部の機能を説明する図 実施形態３の更新管理部の動作を説明する図 実施形態１～３の電子制御装置、及び当該電子制御装置を備える電子制御システムの変形例を説明する図 実施形態１～３の電子制御システムを適用するドメイン・アーキテクチャを説明する図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．実施形態１
図１を用いて、実施形態１の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する。なお、各実施形態の電子制御装置及び電子制御システムは、「移動体」である車両に「搭載」されている車載装置及び車載システムを想定しているが、これらに限定されるものではない。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

電子制御システム１は、複数の「電子制御装置」（以下、ＥＣＵ：Electronic Control Unit）から構成されるシステムである。図１は、２つのＥＣＵ（ＥＣＵ１０、ＥＣＵ２０）を備える電子制御システム１を示しているが、任意の数のＥＣＵから構成される。ＥＣＵ１０及びＥＣＵ２０は、例えば、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）といった車載ネットワーク、イーサネット（登録商標）、無線通信ネットワークを介して接続されている。

ここで、「電子制御装置」は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、およびＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインターフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置（素子）であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

ＥＣＵ１０は例えば、ＡＵＴＯＳＡＲ（AUTomotive Open System ARchitecture）においてAdaptive Platform（以下、ＡＰ）と呼ばれる、動的な機能の拡張が可能なプラットフォームをベースとしたＥＣＵである。ＡＰは主に、自動運転用のＥＣＵに適したプラットフォームである。また、ＥＣＵ２０は例えば、ＡＵＴＯＳＡＲにおいてClassic Platform（以下、ＣＰ）と呼ばれる、静的な機能を最適化したプラットフォームをベースとしたＥＣＵである。ＣＰは主に、車両制御用のＥＣＵに適したプラットフォームである。

電子制御システム１を構成するＥＣＵ１０、ＥＣＵ２０はいずれも、ハイパーバイザによって管理される１以上の仮想マシンを有する。以下に、ＥＣＵ１０、ＥＣＵ２０、及び各ＥＣＵに搭載される仮想マシンの構成を説明する。図においては、仮想マシンをＶＭ（Virtual Machine）と略する。

（１）ＥＣＵ１０について
ＥＣＵ１０は、ハイパーバイザ（ＨＶ）１１０、ハイパーバイザによって管理される複数の仮想マシン（ＶＭ）（１３０、１５０、１６０）、及びハードウェアである実ストレージ１２０を備える。

ハイパーバイザ１１０は、ＥＣＵ１０を仮想化するソフトウェアである。図１の例では、第１の仮想マシン１３０乃至第３の仮想マシン１６０はハイパーバイザ１１０上に構築される。ハイパーバイザ１１０上に構築された仮想マシン同士はそれぞれ仮想的に「接続」されている。

ここで、仮想マシンに「接続」とは、仮想マシン同士でデータのやり取りが可能な状態をいい、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合の他、異なるハードウェア上で実現された仮想マシン同士がネットワーク等を介して接続されている場合も含む。また、データのやり取りが可能な状態とは、必ずしも実際にデータのやり取りが可能である必要はない。例えば、一方の仮想マシンが何らかのトラブルで一時的に停止していたり、スリープ状態にある場合であってもデータのやり取りが可能な状態である。

実ストレージ１２０は、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。後述する第１の仮想マシン１３０乃至第３の仮想マシン１６０の仮想ストレージは、実ストレージ１２０の保存領域を仮想化して実現される。図１では、一の実ストレージ１２０を示しているが、実ストレージ１２０は複数のストレージによって実現するものであってもよい。

実ストレージ１２０は、後述するパース処理部１３８で分割処理された更新ファイルを保存する。更新ファイルを保存する領域は、複数の仮想マシンで共有される保存領域であってもよく、あるいは、実ストレージ１２０を仮想化して実現した仮想ストレージの領域であってもよい。

（ｉ）第１の仮想マシン１３０について

ハイパーバイザ１１０によって管理される第１の仮想マシン１３０は、ファイル取得部１３１、更新管理部１３２、更新部１３３、及び仮想ストレージ１３４を有する。

ファイル取得部１３１は、ＥＣＵ１０の外部に設けられたサーバ装置からＯＴＡ（Over The Air）又は有線通信を用いてファイルを取得する。ファイル取得部１３１が取得するファイルは、仮想マシンのソフトウェアを更新するための更新ファイルを含み、例えば、複数の仮想マシンを更新するための複数の更新ファイルを含む更新ファイル群であってもよい。ファイルはさらに、ソフトウェアを更新すべき対象の仮想マシンを特定する情報を含んでもよい。ファイル取得部１３１は、ＯＴＡクライアントとも称される。仮想マシンのソフトウェアを更新するための更新ファイルとは、仮想マシンを実現するソフトウェアを更新するものはもちろん、仮想マシン上に搭載されたアプリケーションやソフトウェアを更新するものであってもよい。

ファイル取得部１３１は、サーバ装置からファイルを取得すると、後述する更新管理部１３２に対し、更新管理部１３２と各仮想マシンの更新を実行する更新部との間の通信状況の送信を指示する。以下、ファイル取得部１３１から更新管理部１３２に対する通信状況の送信指示を、通信状況リクエストとする。この通信状況リクエストは、各仮想マシンのソフトウェアの更新を行うことを指示することにより、間接的に通信状況の送信を指示するものであってもよい。そして、通信状況リクエストに対して更新管理部１３２の判定結果通知部１３６から通知された通信状況の判定結果に基づいて、ファイル取得部１３１は、サーバ装置から取得したファイルのうち、更新管理部１３２に転送するファイルを選択するとともに、選択したファイルを更新管理部１３２に転送する。更新管理部１３２から送信される判定結果には、更新管理部１３２と通信が可能な更新部を特定する情報が含まれており、ファイル取得部１３１は、更新管理部１３２と通信が可能な更新部が仮想マシンのソフトウェアを更新するために必要なファイルのみを更新管理部１３２に転送する。すなわち、本実施形態では、ファイル取得部１３１は、更新管理部１３２と通信が可能な更新部が仮想マシンのソフトウェアを更新するために用いるファイルを選択して、転送する。

図１の例は、更新管理部１３２が、第１の仮想マシン１３０の更新部１３３、第２の仮想マシンの更新部１５１、及び第４の仮想マシン２３０の更新部２３１とは通信が可能であり、第３の仮想マシン１６０の更新部１６１とは通信が不可能な状態を示している。そのため、ファイル取得部１３１は、第１の仮想マシン１３０、第２の仮想マシン１５０、及び第４の仮想マシン２３０のソフトウェアの更新に必要なファイルのみを更新管理部１３２に転送することになる。

更新管理部１３２は、第１の仮想マシン１３０、及び第１の仮想マシン１３０に接続された各仮想マシンのソフトウェアの更新を管理する。図２は更新管理部１３２が実現する機能を示している。更新管理部１３２は、通信可否判定部１３５、判定結果通知部１３６、受領部１３７、パース処理部１３８、更新指示部１３９、及び配信部１４０を実現する。更新管理部１３２は例えば、ＡＵＴＯＳＡＲにおいてＵＣＭ（Update and Configuration Management）マスタと称される機能の一部又は全部を実行するものである。

通信可否判定部１３５（「判定部」に相当）は、更新管理部１３２と、各仮想マシンのソフトウェアの更新処理を行う更新部との間の通信が可能か否かを判定する。通信可否判定部１３５は例えば、各更新部に対して検索信号を送信し、送信先の更新部から応答信号を受信した場合には、その更新部との間では通信が可能であると判定する。通信可否判定部１３５は、利用可能なサービスを探索して通信を確立する、いわゆるサービス・ディスカバリ（Service Discovery）と呼ばれる機能を利用して、通信が可能か否かを判定してもよい。

通信可否判定部１３５は、例えば、ファイル取得部１３１から通信状況リクエストを受信したタイミングで、各更新部に対して検索信号を送信する。この場合、通信可否判定部１３５は、更新管理部１３２と各仮想マシンの更新部との最新の通信可否の状況を判定することができる。しかしながら、通信可否判定部１３５は、通信状況リクエストを受信したタイミングに加えて、又はそのタイミングに代えて、定期的に各更新部に検索信号を送信して、更新部との通信可否を判定してもよい。通信可否判定部１３５はさらに、ＥＣＵ１０が起動（Boot）したタイミングで検索信号を送信してもよい。通信可否判定部１３５での判定結果は、実ストレージ１２０に記録される。

図１の例では、更新管理部１３２と更新部１６１との間の通信ネットワークに何らかの異常が発生しており、通信可否判定部１３５が送信した検索信号は更新部１６１に到達しない。その結果、通信可否判定部１３５は更新部１６１からの応答信号を受信できないため、更新部１６１とは通信が不可能であると判定する。一方、通信可否判定部１３５が送信した検索信号は更新部１３３、１５１、２３１には到達するため、これらの更新部は通信可否判定部１３５に対して応答信号を送信することができる。応答信号を受信した通信可否判定部１３５は、更新管理部１３２と、更新部１３３、１５１、２３１との通信は可能であると判定する。

判定結果通知部１３６（「通知部」に相当）は、通信可否判定部１３５での判定結果をファイル取得部１３１に通知する。判定結果通知部１３６は例えば、通信可否判定部１３５での判定結果として、通信が可能な更新部を有する仮想マシンの識別情報、通信が不可能な更新部を有する仮想マシンの識別情報、通信が可能又は不可能な仮想マシンの台数を示す情報のうち１つ以上をファイル取得部１３１に通知する。

受領部１３７は、ファイル取得部１３１から転送されたファイルを受領する。上述したとおり、受領部１３７が受領するファイルは、第１の仮想マシン１３０、第２の仮想マシン１５０、及び第４の仮想マシン２３０のソフトウェアを更新するためのファイルであり、第３の仮想マシン１６０のソフトウェアを更新するためのファイルは含まれていない。

パース処理部１３８は、受領部１３７で受領したファイルに含まれる更新ファイル群を、各仮想マシンそれぞれの更新ファイルに分割するパース処理を行う。パース処理した更新ファイルは、実ストレージ１２０に保存する。

更新指示部１３９は、通信可否判定部１３５が、通信が可能であると判定した更新部に対して、仮想マシンのソフトウェアの更新を指示する。更新指示部１３９は、例えば、後述する配信部１４０が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。あるいは、更新指示部１３９による更新指示は、実ストレージ１２０にアクセスすることにより、実ストレージ１２０に保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示するものであってもよい。更新部が実ストレージ１２０にアクセスすることができる場合、更新ファイルが配信されなくとも、実ストレージ１２０に保存されている更新ファイルを参照して仮想マシンのソフトウェアを更新することができる。
一方、更新指示部１３９は、通信可否判定部１３５が、通信が不可能であると判定した更新部、本実施形態では更新部１６１に対しては、仮想マシンのソフトウェアの更新を指示しない。

例えば、更新部１３３が、更新ファイルを保存している実ストレージ１２０の保存領域にアクセスすることができる場合、更新部１３３は実ストレージ１２０に保存された更新ファイルを参照して第１の仮想マシン１３０のソフトウェアを更新することができる。そこで、更新指示部１３９は、更新ファイルを配信しなくとも仮想マシンのソフトウェアを更新することが可能な更新部１３３に対しては、実ストレージ１２０にアクセスすることによって、保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。

配信部１４０は、通信可否判定部１３５で通信が可能であると判定した更新部に対して、パース処理部１３８で分割した更新ファイルを配信する。図１の例では、更新部１５１及び更新部２３１に更新ファイルを配信する。ここで、更新ファイルの配信とは、通信ネットワークを介して更新ファイルを送信することの他、更新ファイルの保存領域を特定の仮想マシンがアクセス可能な領域に移動させることも含む。

なお、以下の実施形態では、配信部１４０は、更新部１５１及び更新部２３１に更新ファイルを配信する構成とした。しかしながら、これらの更新部が、更新部１３３と同様に実ストレージ１２０にアクセスできる場合、必ずしも更新ファイルを配信しなくともよい。

更新部１３３（「第１の更新部」に相当）は、更新指示部１３９からの指示に基づいて、第１の仮想マシン１３０のソフトウェアを更新する。上述したとおり、更新部１３３は実ストレージ１２０にアクセスすることにより、実ストレージ１２０に保存されている更新ファイルを用いて第１の仮想マシン１３０のソフトウェアを更新する。更新処理が完了すると、更新部１３３は更新管理部１３２に更新が完了したことを通知する。更新部１３３及び後述する他の仮想マシンの更新部１５１、１６１、２３１は例えば、ＡＵＴＯＳＡＲにおいてＵＣＭサブオーディネイト（UCM subordinate）と称される機能の一部又は全部を実行するものである。

仮想ストレージ１３４は、実ストレージ１２０の保存領域を仮想化することで、第１の仮想マシン１３０に仮想的に設けられた保存領域である。そのため、仮想ストレージ１３４に保存されたファイルは、実ストレージ１２０に保存されたファイルであるとも観念される。以下に説明する仮想ストレージ１５２、及び仮想ストレージ１６２についても同様である。

（ｉｉ）第２の仮想マシン１５０、第３の仮想マシン１６０について
第２の仮想マシン１５０及び第３の仮想マシン１６０は、第１の仮想マシン１３０と同様、ハイパーバイザ１１０によって管理される仮想マシンである。第２の仮想マシン１５０は更新部１５１、仮想ストレージ１５２を有し、第３の仮想マシン１６０は更新部１６１、仮想ストレージ１６２を有する。

更新部１５１及び更新部１６１（「第２の更新部」に相当）は、更新管理部１３２から検索信号を受信した場合、これに対する応答信号を送信する。更新部１５１及び更新部１６１はさらに、更新指示部１３９からの更新指示に基づいて、仮想マシンのソフトウェアの更新を行う。更新部１５１及び更新部１６１は、ソフトウェアの更新処理が完了すると、第１の仮想マシン１３０の更新管理部１３２に更新が完了したことを通知する。ただし、図１の例では、更新部１６１は検索信号を受信することができないため、応答信号を送信しない。また、更新部１６１は、更新指示部１３９から更新指示を受信しないため、ソフトウェアの更新処理を行わない。

仮想ストレージ１５２及び仮想ストレージ１６２は、第２の仮想マシン１５０及び第３の仮想マシン１６０にそれぞれ仮想的に設けられた保存領域である。第１の仮想マシン１３０の配信部１４０から更新ファイルが配信された場合、更新ファイルはそれぞれの仮想ストレージ１５２、１６２に保存される。

上述したとおり、第２の仮想マシン１５０及び第３の仮想マシン１６０（「第２の仮想マシン」に相当）は、第１の仮想マシン１３０と仮想的に接続されている。

（２）ＥＣＵ２０について
ＥＣＵ２０は、ハイパーバイザ２１０、ハードウェアである実ストレージ２２０、及びハイパーバイザ２１０によって管理される第４の仮想マシン２３０を備える。

ＥＣＵ１０とＥＣＵ２０とは車載ネットワークで接続されており、ＥＣＵ１０が有する第１の仮想マシン１３０と、ＥＣＵ２０が有する第４の仮想マシン２３０（「第２の仮想マシン」に相当）とは、車載ネットワークを介して仮想的に接続されている。

ハイパーバイザ２１０は、ＥＣＵ２０を仮想化するソフトウェアである。第４の仮想マシン２３０はハイパーバイザ２１０上に構築される。

実ストレージ２２０は、ＥＣＵ１０の実ストレージ１２０と同様、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。

ＥＣＵ２０が有する第４の仮想マシン２３０は、上述した第２の仮想マシン１５０及び第３の仮想マシン１６０と同様、更新部２３１及び仮想ストレージ２３２を有する。

更新部２３１（「第２の更新部」に相当）は、更新管理部１３２から検索信号を受信した場合、これに対する応答信号を送信する。更新部２３１はさらに、更新指示部１３９からの更新指示に基づいて第４の仮想マシン２３０のソフトウェアの更新を行い、ソフトウェアの更新処理が完了すると第１の仮想マシン１３０の更新管理部１３２に更新が完了したことを通知する。

仮想ストレージ２３２は、実ストレージ２２０に仮想的に設けられた保存領域である。配信部１４０から更新ファイルが配信された場合、更新ファイルを仮想ストレージ２３２に保存する。

（３）電子制御システム１の動作
次に、図３～図５を用いて、仮想マシンのソフトウェアの更新に関する動作を説明する。図３は、電子制御システム１全体の動作を示す図である。図４は、更新管理部１３２の動作を、図５は各仮想マシンが有する更新部の動作をそれぞれ示している。図３に示す符号と、図４、図５に示す符号はそれぞれ対応しており、同じ符号は同じ処理を示している。

なお、図４、図５に示す更新管理部１３２及び更新部の動作とは、各電子制御装置（ＥＣＵ１０、ＥＣＵ２０）の動作であるとも観念される。また、各電子制御装置の動作は、電子制御装置で実行されるソフトウェア更新方法を示すだけでなく、電子制御装置で実行可能なソフトウェア更新プログラムの処理手順を示すものである。そして、これらの処理は、図３～図５で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。後述する図７も同様である。

まず、図３、図４を用いて、主に更新管理部１３２の動作を説明する。
更新管理部１３２は、ファイル取得部１３１から通信状況リクエストを受信する（図３、図４：Ｓ１０１）。この通信状況リクエストは、ファイル取得部１３１が、仮想マシンのソフトウェアを更新するためのファイルをＥＣＵ１０の外部のサーバ装置から取得すると、更新管理部１３２に対して送信される。
更新管理部１３２の通信可否判定部１３５は、第１の仮想マシン１３０自身の更新部１３３、及び第１の仮想マシン１３０に接続された仮想マシンの更新部に対して検索信号を送信する（図３、図４：Ｓ１０２）。

通信可否判定部１３５は、Ｓ１０２の検索信号を受信した各仮想マシンの更新部から、応答信号を受信する（図３、図４：Ｓ１０３）。図３の例では、通信可否判定部１３５は、Ｓ１０２の検索信号を受信した更新部１３３、更新部１５１、及び更新部２３１から応答信号を受信する。しかしながら、通信可否判定部１３５は、Ｓ１０２の検索信号を受信できない更新部１６１からの応答信号を受信することはない。

通信可否判定部１３５は、Ｓ１０３で受信した応答信号に基づいて、更新管理部１３２と、各仮想マシンの更新部との間の通信が可能か否かを判定する（図３、図４：Ｓ１０４）。ここで、図３、図４には記載していないが、通信可否判定部１３５での判定結果を、実ストレージ１２０又は仮想ストレージ１３４に記録してもよい。

判定結果通知部１３６は、Ｓ１０４での判定結果をファイル取得部１３１に送信する（図３、図４：Ｓ１０５）。本実施形態の判定結果は、更新管理部１３２が、更新部１３３、更新部１５１、及び更新部２３１との間で通信が可能であることを示している。

受領部１３７は、ファイル取得部１３１から送信された更新ファイル群を受領する（図３、図４：Ｓ１０６）。この更新ファイルは、ファイル取得部１３１が、Ｓ１０５で送信された判定結果に基づいて、更新管理部１３２と通信が可能な更新部がソフトウェアを更新するためのファイルを選択して、転送したものである。したがって、受領部１３７がＳ１０６で受領した更新ファイル群は、第１の仮想マシン１３０、第２の仮想マシン１５０、及び第４の仮想マシン２３０のソフトウェアを更新するための更新ファイルのみを含んでいる。

パース処理部１３８は、Ｓ１０６で受信した更新ファイル群を、各仮想マシンの更新ファイルに分割するパース処理を行う（図３、図４：Ｓ１０７）。
更新指示部１３９は、通信可否判定部１３５が、更新管理部１３２と通信が可能であると判定した更新部、すなわち、更新部１３３、１５１、２３１に対し、仮想マシンのソフトウェアの更新を指示する（図３、図４：Ｓ１０８）。
配信部１４０は、更新部１５１及び更新部２３１に対して、Ｓ１０７で分割した更新ファイルを配信する（図３、図４：Ｓ１０９）。

ここで、Ｓ１０８において更新指示部１３９から更新指示を受けた各更新部は、仮想マシンのソフトウェアを更新する。第１の仮想マシン１３０の更新部１３０は、実ストレージ１２０に保存された更新ファイルを用いて、第１の仮想マシン１３０のソフトウェアを更新する。また、更新部１５１及び更新部２３１はそれぞれ、Ｓ１０９で配信部１４０から配信された更新ファイルを受信し、受信した更新ファイルを用いてそれぞれの仮想マシンのソフトウェアを更新する（図３：Ｓ１１０）。

更新管理部１３２は、Ｓ１１０の更新処理が完了した各仮想マシンの更新部から、更新処理が完了したことを示す更新完了通知を受信する（図３、図４：Ｓ１１１）。

更新管理部１３２は、各仮想マシンの更新部から更新処理が完了したことを示す通知を受信すると、ファイル取得部１３１に各仮想マシンの更新処理が完了したことを通知する（図３、図４：Ｓ１１２）。

次に、各仮想マシンが有する更新部の動作を、主に図５を用いて説明する。
各仮想マシンの更新部は、Ｓ１０２で更新管理部１３２から送信された検索信号を受信する（Ｓ２０１）。
そして、Ｓ２０１で検索信号を受信した各仮想マシンの更新部は、応答信号を通信可否判定部１３５に送信する（Ｓ２０２）。

更新部は、更新指示部１３９から、仮想マシンのソフトウェアの更新指示を受信する（Ｓ２０３）。Ｓ２０３において、更新指示部１３９から更新指示を受信する更新部は、Ｓ２０１で検索信号を受信し、Ｓ２０２で応答信号を送信した更新部、すなわち、更新部１３３、１５１、２３１である。ここで、Ｓ２０３で受信した更新指示が、実ストレージにアクセスすることによる更新指示でない場合、更新部はさらに、配信部１４０から送信された更新ファイルを受信する（Ｓ２０４）。
図３の説明で上述したとおり、更新部は、Ｓ２０３で受信した更新指示に基づいて、仮想マシンのソフトウェアを更新する（図３、図５：Ｓ１１０）。
Ｓ１１０の更新処理が完了すると、各仮想マシンの更新部は、更新管理部１３２に対して、更新処理が完了したことを通知する（Ｓ２０５）。

なお、図３～図５では、通信可否判定部１３５は、Ｓ１０１においてファイル取得部１３１から通信状況リクエストを受信した後に、Ｓ１０２で各更新部に対して検索信号を送信する処理を行っている。しかしながら、通信可否判定部１３５はＳ１０１乃至Ｓ１０３の処理を定期的に行い、通信状況リクエストを受信（Ｓ１０１）すると、実ストレージ１２０に保存した判定結果を送信（Ｓ１０５）する構成としてもよい。

（４）小括
仮想マシンのソフトウェアの更新処理の開始後に、更新管理部１３２と更新部との間の通信ができないことが判明した場合、更新処理全体にエラーが発生したと判断されて、更新処理が再試行される可能性がある。

これに対し、本実施形態によれば、ソフトウェアの更新にかかる一連の処理を開始する前に、更新管理部１３２が更新部との通信可否を判定することにより、更新処理全体にエラーが発生したと判断され、ひいては更新処理全体が再試行されるのを防ぐことができる。さらに、必要な更新ファイルのみについて転送及び分割処理を行うため、更新に要する時間を短縮しながら、不要なリソースの使用を抑制することも可能となる。

（５）実施形態１の変形例１
実施形態１では、ファイル取得部１３１は、ＥＣＵ１０外部のサーバ装置から更新ファイル群を受動的に取得することを想定している。しかしながら、ファイル取得部１３１は、サーバ装置に対して、特定の仮想マシンのソフトウェアを更新するための更新ファイルをリクエストして、必要な更新ファイルのみをサーバ装置から取得してもよい。

本変形例のファイル取得部１３１は、サーバ装置からファイルを取得する前に、更新管理部１３２に対して通信状況リクエストを送信する。そして、ファイル取得部１３１は、更新管理部１３２から判定結果を受信すると、更新管理部１３２と通信が可能な更新部を有する仮想マシンを示す情報をサーバ装置に送信する。ファイル取得部１３１は、更新管理部１３２から受信した判定結果を、そのままサーバ装置に転送してもよい。

サーバ装置は、ファイル取得部１３１から更新管理部１３２での判定結果を受信すると、更新管理部１３２と通信が可能な更新部を有する仮想マシンのソフトウェアを更新するための更新ファイルのみをファイル取得部１３１に送信する。つまり、上述した例では、サーバ装置は、第１の仮想マシン１３０、第２の仮想マシン１５０、及び第４の仮想マシン２３０のソフトウェアを更新するための更新ファイルのみをファイル取得部１３１に送信する。そして、サーバ装置から更新ファイルを取得したファイル取得部１３１は、更新ファイルを更新管理部１３２に転送する。

本変形例によれば、ファイル取得部１３１は、必要な更新ファイルのみをサーバ装置から取得するため、ファイル取得部１３１とサーバ装置との間の通信量を抑制することができる。さらに、本変形例においても、必要な更新ファイルのみについて転送及び分割処理が行われるため、更新に要する時間を短縮しながら、不要なリソースの使用を抑制することができる。

（６）実施形態１の変形例２
実施形態１では、通信可否判定部１３５は、更新管理部１３２と、各仮想マシンのソフトウェアの更新処理を行う更新部との間の通信が可能か否かを判定した。本変形例の通信可否判定部１３５は、これに加え、仮想マシン間でソフトウェアの更新が関連付けられているか否かも併せて判定する。

通信可否判定部１３５は、仮想マシン間でソフトウェアの更新が「関連付けられている」か否かを判定する。本変形例では、通信可否判定部１３５は、通信が可能でないと判定した第３の仮想マシン１６０（「第２の仮想マシン」に相当）のソフトウェアの更新と第２の仮想マシン１５０（「第３の仮想マシン」に相当）及び第４の仮想マシン２３０（「第３の仮想マシン」に相当）のソフトウェアの更新とが「関連付けられている」か否かを判定する。例えば、システム全体としての動作の安定を図るためにソフトウェアの更新を同時に行うことを条件としている場合や、仮想マシン間で動作や機能が連携している場合、ソフトウェアの更新が関連付けられていると判定する。
ここで、「関連付けられている」とは、時間的又は機能的に、一方の更新が他方の更新に依存していること、一方の更新が他方の更新の前提となっていること、又は一方の更新と他方の更新とが連携していることをいう。
なお、関連付けられているか否かの判定は通信可否判定部１３５が自律的に更新対象ソフトウェアの内容を判定して実施してもよいが、あらかじめ定めたフォーマット（ファイルやパケット）によって通信可否判定部１３５に伝えられてもよい。例えば、ＡＵＴＯＳＡＲ仕様におけるＶｅｈｉｃｌｅＰａｃｋａｇｅ乃至ＳｏｆｔｗａｒｅＰａｃｋａｇｅと呼ばれる各パッケージをソフトウェアの更新のために使用する場合、それらパッケージに含まれるマニフェストと呼ばれる手順ファイルに、各ソフトウェア乃至各マシン間の関連付け情報が記載される。そのような構成では、通信可否判定部１３５は、当該関連付け情報を参照して仮想マシン間でソフトウェアの更新が関連付けられているか否かを判定する。
また、言うまでもないが当該関連付け情報の記載箇所はＡＵＴＯＳＡＲ仕様に規定されているものだけでなく、通信可否判定部１３５が理解可能なファイル形式もしくはパケット形式によるものでもよい。

図１の例において、例えば第４の仮想マシン２３０がセンサを制御している仮想マシンであり、第３の仮想マシン１６０がセンサから出力されたデータを集計している仮想マシンである場合、第４の仮想マシン２３０と第３の仮想マシン１６０とは機能的に連携しているのでソフトウェアの更新を同時に行うことが望ましいことから、通信可否判定部１３５は、第３の仮想マシン１６０（「第２の仮想マシン」に相当）のソフトウェアの更新と第４の仮想マシン２３０（「第３の仮想マシン」に相当）のソフトウェアの更新とが関連付けられていると判定する。

更新指示部１３９は、通信可否判定部１３５が、通信が可能であると判定した更新部に対して、仮想マシンのソフトウェアの更新を指示する。ただし、通信可否判定部１３５が、通信が可能であると判定した更新部であっても、通信が可能でないと判定した更新部を有する仮想マシンのソフトウェアの更新と関連付けられている仮想マシンの更新部である場合は、ソフトウェアの更新を指示しない。本変形例では、第４の仮想マシン２３０の更新部２３１は、第１の仮想マシン１３０の更新管理部１３２と通信が可能であると判定されているが、通信が可能でないと判定された第３の仮想マシン１６０とソフトウェアの更新が関連付けられていると判定されているので、第４の仮想マシン２３０のソフトウェアを更新する更新部２３１に対して、ソフトウェアの更新を指示しない。

なお、通信可否判定部１３５の判定は、ファイル取得部１３１が外部から更新ファイルを受領する前に、又は受領部１３７がファイル取得部１３１から更新ファイルを受領する前に行われるのが望ましい。これにより、ファイル取得部１３１とサーバ装置との間の通信量を抑制することができる。あるいは、第１の仮想マシン１３０での処理量を削減することができる。

また、パース処理部１３８や配信部１４０は、本変形例の通信可否判定部１３５の判定結果に基づき、更新ファイル分割し、分割した更新ファイルを配信してもよい。

本変形例によれば、ソフトウェアの更新が関連付けられた仮想マシンのソフトウェアの更新の可否を一括して決定するので、ソフトウェアの更新がされている仮想マシンとされていない仮想マシンとが存在することにより生じる動作不良を削減することができる。
例えば、異なる仮想マシン間で連携した動作が必要な場合は、仮想マシンで動作するソフトウェアのバージョンが一致していることが期待されるが、その際にソフトウェアの更新がされている仮想マシンとされていない仮想マシンとが存在することによる互換性の問題による不具合発生を防止することが可能となる。

２．実施形態２
実施形態１では、ファイル取得部１３１は、更新管理部１３２から送信された判定結果に基づいて、更新管理部１３２と通信が可能な更新部に送信する更新ファイルのみを更新管理部１３２に転送する構成を説明した。本実施形態では、ファイル取得部１３１は、更新管理部１３２と通信が不可能な更新部に送信すべき更新ファイルも更新管理部１３２に転送する構成を、実施形態１との相違点を中心に説明する。

実施形態１と同様、本実施形態のファイル取得部１３１は更新管理部１３２に通信状況リクエストを送信する。そして、ファイル取得部１３１から通信状況リクエストを受信した更新管理部１３２は、各更新部に検索信号を送信するとともに、応答信号に基づいて、更新管理部１３２と各更新部との間の通信が可能か否かを判定する。そして、更新管理部１３２は、判定結果をファイル取得部１３１に送信する。

ここで、ファイル取得部１３１は、更新対象となる全ての仮想マシン用の更新ファイルを更新管理部１３２に転送する。すなわち、図１に示す例では、通信が不可能な更新部１６１が第３の仮想マシン１６０のソフトウェアを更新するための更新ファイルも含めて、更新管理部１３２に転送する。

更新管理部１３２の受領部１３７は、ファイル取得部１３１から転送された更新ファイル群を受領する。上述したとおり、受領部１３７が受領するファイルは、更新対象となる全ての仮想マシンのソフトウェアを更新するための更新ファイルであり、第１の仮想マシン１３０乃至第４の仮想マシン２３０全てのソフトウェアを更新するための更新ファイルが含まれている。

パース処理部１３８は、受領部１３７で受領したファイルに含まれる更新ファイル群を、各仮想マシンそれぞれの更新ファイルに分割するパース処理を行う。パース処理した更新ファイルは実ストレージ１２０に保存する。

更新指示部１３９は、通信可否判定部１３５が通信が可能であると判定した更新部に対して、仮想マシンのソフトウェアの更新を指示する。本実施形態においても、更新指示部１３９は、更新部１３３、更新部１５１、及び更新部２３１に対して更新指示を行い、更新部１６１に対しては更新指示をしない。

配信部１４０は、通信可否判定部１３５で通信が可能であると判定した更新部に対して、パース処理部１３８で分割した更新ファイルを配信する。本実施形態においても、配信部１４０は、更新部１５１及び更新部２３１に更新ファイルを配信する。

更新管理部１３２は、各更新部から更新完了通知を受信すると、ファイル取得部１３１に対して更新が完了したことを示す更新完了通知を送信する。

上述したとおり、ファイル取得部１３１は、更新管理部１３２と更新部１６１との通信が不可能であることを示す判定結果を受信している。そのため、更新完了通知に、更新部１６１を有する仮想マシン１６０の更新が完了したことを示す情報が含まれていなくとも、電子制御システム１における更新処理全体にエラーが発生したと判断することはない。

本実施形態では、ファイル取得部１３１から転送された更新ファイル群に含まれる更新ファイルのうち、第３の仮想マシン１６０を更新するための更新ファイルについては、配信部１４０から送信されない。しかし、将来的に、更新管理部１３２と、通信が不可能であった更新部１６１との間の通信が復旧したときに、更新管理部１３２はファイル取得部１３１に対して、第３の仮想マシン１６０のソフトウェアを更新するための更新ファイルの送信を要求することなく、実ストレージ１２０に保存されている更新ファイルを更新部１６１に送信することができる。

３．実施形態３
更新管理部１３２と更新部１６１との通信が不可能な場合、更新部１６１を有する仮想マシン１６０のソフトウェアを最新の状態に更新することができず、セキュリティ及び安全性の観点から望ましくない。そこで、更新管理部１３２と通信が不可能な更新部が存在する場合には、更新部を有する仮想マシンや、電子制御装置を搭載する車両を再起動させることにより、通信の復旧を図る。

（１）更新管理部１３２について
図６は、本実施形態の更新管理部１３２を示している。図２に示す更新管理部１３２の各機能に加えて、更新管理部１３２はさらに再起動要求部１４１を有する。

再起動要求部１４１は、通信可否判定部１３５が、更新管理部１３２と更新部１６１との通信が不可能であると判定した場合に、車両のユーザに対して、車両の再起動要求を通知する。この再起動要求は、例えば、車両に搭載されたナビゲーション装置の画面に視覚的に表示することによって通知するものであってもよく、音声によって通知するものであってもよい。また、車両の再起動要求とは、車両のＡＣＣ電源、ＩＧ電源、＋Ｂ電源のオンオフを要求するものであってもよい。

あるいは、再起動要求部１４１は、更新管理部１３２との通信が不可能であると判定した更新部を有する仮想マシンの再起動要求を通知してもよい。図１の例では、再起動要求部１４１は、第３の仮想マシン１６０の再起動要求を通知する。なお、仮想マシンを再起動するためには、車両全体の再起動を必要としない。したがって、仮想マシンの再起動要求を通知する場合は、再起動要求部１４１は仮想マシンを管理するハイパーバイザに対して再起動要求を通知してもよい。

再起動要求部１４１は、所定の条件を満たす場合に再起動要求を通知してもよい。例えば、更新管理部１３２と通信が不可能な更新部が所定の数以上存在する場合や、更新期限が所定の期間内で終了するソフトウェアの更新を行う更新部と通信が不可能な場合に、再起動要求を通知する。あるいは、車両の安全走行に影響を与える可能性が高いソフトウェアの機能の更新を行う更新部と通信が不可能な場合に、再起動要求部１４１は再起動要求を通知してもよい。

なお、再起動要求部１４１から再起動要求が通知された場合であっても、車両や仮想マシンの状況に応じて再起動が可能な場合と、車両や仮想マシンの起動を維持する方が望ましい場合とがあるため、車両又は仮想マシンを再起動するかどうかは任意である。

（２）更新管理部１３２の動作
図７は、本実施形態の更新管理部１３２の動作を示している。図４と共通する符号は図４と同じ処理であるため、説明は省略する。
更新管理部１３２は、Ｓ１０４において各更新部との通信可否を判定する。ここで、通信不可能な更新部があると判定した場合、再起動要求部１４１は、車両又は通信不可能な更新部を有する仮想マシンの再起動要求を通知する（Ｓ１２１）。

（３）小括
本実施形態によれば、更新管理部１３２と通信が不可能な更新部が存在する場合には、ＥＣＵ１０を搭載する車両、又は更新部を有する仮想マシンの再起動要求を通知することにより、通信の復旧を図ることができる。

（４）実施形態３の変形例
本変形例では、実施形態３で説明した所定の条件として、実施形態１の変形例２で説明した通信可否判定部１３５を用いた例を説明する。

実施形態１の変形例２で説明した通り、通信可否判定部１３５は、仮想マシン間でソフトウェアの更新が「関連付けられている」か否かを判定する。本変形例では、通信可否判定部１３５は、通信が可能でないと判定した第３の仮想マシン１６０（「第２の仮想マシン」に相当）のソフトウェアの更新と第２の仮想マシン１５０（「第３の仮想マシン」に相当）及び第４の仮想マシン２３０（「第３の仮想マシン」に相当）のソフトウェアの更新とが「関連付けられている」か否かを判定する。
図１の例において、第３の仮想マシン１６０のソフトウェアの更新と第４の仮想マシン２３０のソフトウェアの更新とが関連付けられていると判定したとする。また、第３の仮想マシン１６０のソフトウェアの更新と第２の仮想マシン１５０のソフトウェアの更新とは関連付けられていないと判定したとする。

再起動要求部１４１は、通信可否判定部１３５が、更新管理部１３２と第３の仮想マシン１６０の更新部１６１との通信が可能でないと判定し、かつ、第３の仮想マシン１６０のソフトウェアの更新と第４の仮想マシン２３０のソフトウェアの更新とが関連付けられていると判定した場合、第３の仮想マシン１６０と第４の仮想マシン２３０の再起動要求を通知する。
また、再起動要求部１４１は、通信可否判定部１３５が、更新管理部１３２と第３の仮想マシン１６０の更新部１６１との通信が可能でないと判定し、かつ、第３の仮想マシン１６０のソフトウェアの更新と第２の仮想マシン１５０のソフトウェアの更新とが関連付けられていないと判定した場合、第３の仮想マシン１６０の再起動要求を通知し、第２の仮想マシン１５０の再起動要求の通知をしない。

なお、第３の仮想マシン１６０のソフトウェアの更新と第４の仮想マシン２３０のソフトウェアの更新とが関連付けられていると判定した場合で、第３の仮想マシン１６０を有する電子制御装置と第４の仮想マシン２３０を有する電子制御装置が異なる電子制御装置である場合、再起動要求部１４１は、車両の再起動要求を通知するようにしてもよい。図１の例において、第３の仮想マシン１６０を有するのはＥＣＵ１０であり、第４の仮想マシン２３０を有するのはＥＣＵ２でありＥＣＵ１０と異なる電子制御装置であるから、再起動要求部１４１は車両の再起動要求を通知する。この場合、車両が停車中又は駐車中であることをさらなる条件とすることが望ましい。

本変形例によれば、ソフトウェアの更新が関連付けられているか否かに基づいて再起動要求の対象を定めているので、安定した動作のために必要かつ十分な範囲で再起動を行うことができる。

なお、ソフトウェアの更新の関連付けに代えて、仮想マシンが構築されているハイパーバイザの異同によって、再起動要求を通知する範囲を決定してもよい。例えば、図１の例において、第３の仮想マシン１６０の更新部１６１との通信が可能でないと判定した場合、同じハイパーバイザであるＨＶ１１０上に構築された第２の仮想マシン１５０の更新部１５１との通信が可能であれば、再起動要求部１４１は、第３の仮想マシン１６０の再起動要求を通知してもよい。これに対し、第３の仮想マシン１６０の更新部１６１との通信が可能でないと判定した場合、同じハイパーバイザであるＨＶ１１０上に構築された第２の仮想マシン１５０の更新部１５１との通信が可能でなければ、再起動要求部１４１は、同じハイパーバイザであるＨＶ１１０上に構築された全ての仮想マシンの再起動要求を通知してもよい。

また、再起動要求に基づく再起動の後は、実施形態１で示した動作を再び行う。この場合、再起動動作と、再起動を伴わない仮想マシンのソフトウェアの更新とは、並行して実行してもよい。

４．電子制御装置及び電子制御システムの変形例
本項では、実施形態１～３に共通する電子制御装置及び電子制御システムの構成の変形例を説明する。

上述した例では、例えば、ＥＣＵ１０がＡＰをベースとしたＥＣＵであり、ＥＣＵ２０がＣＰをベースとしたＥＣＵである場合を説明した。しかしながら、ＥＣＵに構築される仮想マシンそれぞれが、ＡＰ、ＣＰといったプラットフォームを有してもよい。図８は、各仮想マシンがそれぞれのプラットフォーム（以下、ＰＦ）を有する例を説明する図である。

図８では、第１の仮想マシン１３０は第１のＰＦ１３０１を、第２の仮想マシン１５０は第２のＰＦ１５０１を、第３の仮想マシン１６０は第３のＰＦ１６０１を、第４の仮想マシン２３０は第４のＰＦ２３０１を、それぞれ有している。図８はさらに、各仮想マシンのＰＦ上で動作するアプリケーション（１３０２、１５０２、１６０２、２３０２）をそれぞれ示している。

ＰＦには、ＡＰ、ＣＰの他に、様々な種類のＰＦがあり、第１～第４のＰＦ（１３０１、１５０１、１６０１、２３０１）として、任意のＰＦを適用することができる。例えば、第１のＰＦ１３０１はＡＰを、第２のＰＦ１５０１はＣＰを、第３のＰＦ１６０１はＡＰ、ＣＰ以外のＰＦを適用することにより、ＰＦが異なる複数の仮想マシンが１つのＥＣＵ内に混在して存在してもよい。このように１つのＥＣＵ内に異なるＰＦを有する複数の仮想マシンを混在させることにより、１つのＥＣＵに複数の機能を統合させることが可能となり、ひいてはＥＣＵの総数を低減することが可能となる。

このような構成の場合、仮想マシンのＯＳは、例えば、ハイパーバイザとＰＦとの間に設けられる、あるいは、ハイパーバイザと一体として、又はＰＦに含まれるように構成されてもよい。

各仮想マシンの更新部は仮想マシンのソフトウェアの更新を行うものであるが、図８の構成では、更新部は、仮想マシンのソフトウェアの更新として、ＰＦ又はＰＦ上で動作するアプリケーションを更新してもよい。例えば、更新部１３３は、第１のＰＦ１３０１又は第１のアプリケーション１３０２の更新を行う。

なお、図８は、ファイル取得部１３１が第１のアプリケーション１３０２に含まれており、更新管理部１３２及び更新部１３３が第１のＰＦ１３０１に含まれるものとして図示している。しかしながら、第１のＰＦ１３０１に含まれるソフトウェアがファイル取得部１３１の一部又は全部の機能を実現してもよく、あるいは、第１のアプリケーション１３０２が更新管理部１３２及び更新部１３３の一部又は全部の機能を実現してもよい。同様に、第２～第４のアプリケーション（１５０２、１６０２、２３０２）がそれぞれの更新部（１５１、１６１、２３１）の一部又は全部の機能を実現してもよい。

図８はさらに、ＥＣＵ１０の実ストレージ１２０が、３つの保存領域、すなわち、共有保存領域１２１、ソフトウェア保存領域１２２、及び配信ファイル保存領域１２３を有する構成を示している。

共有保存領域１２１は、ファイル取得部１３１が取得し、更新部１３３のパース処理部１３８がパース処理を行った更新ファイルを保存する領域である。ソフトウェア保存領域１２２は、第１～第３のＰＦ１３０１、１５０１、１６０１、及び第１～第３のアプリケーション１３０２、１５０２、１６０２といった、仮想マシンを構成するソフトウェアを保存する領域である。配信ファイル保存領域１２３は、配信部１４０から配信された更新ファイルを保存する領域である。配信ファイル保存領域１２３を仮想化することで、各仮想マシンに仮想ストレージを構築する。

本変形例では、第１の仮想マシン１３０の更新部１３３は、共有保存領域１２１にアクセスするとともに、共有保存領域１２１に保存されている更新ファイルを用いて、仮想マシンのソフトウェア、すなわち、ソフトウェア保存領域１２２に保存されているソフトウェアの更新を行う。これに対し、配信部１４０が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示された更新部は、配信部１４０から配信され、配信ファイル保存領域１２３に保存された更新ファイルを用いて、ソフトウェア保存領域１２２に保存されているソフトウェアの更新を行う。

図８には図示していないが、ＥＣＵ２０の実ストレージ２２０は、実ストレージ１２０と同様、ソフトウェア保存領域及び配信ファイル保存領域（図示せず）を有していてもよい。しかしながら、ＥＣＵ２０では、ファイル取得部が取得した更新ファイルを保存する必要がないため、実ストレージ２２０は共有保存領域１２１に相当する保存領域を有しなくともよい。実ストレージ２２０のソフトウェア保存領域及び配信ファイル保存領域は、ソフトウェア保存領域１２２及び配信ファイル保存領域１２３と同様、仮想マシンを構成するソフトウェア、及び配信部１４０から配信された更新ファイルをそれぞれ保存する。

なお、図８は、実ストレージ１２０が、共有保存領域１２１、ソフトウェア保存領域１２２、及び配信ファイル保存領域１２３の全てを含むものとして図示しているが、実ストレージ１２０は複数の異なるストレージによって実現されるものであってもよい。例えば、本変形例のソフトウェア保存領域１２２は不揮発性メモリであるが、共有保存領域１２１、配信ファイル保存領域１２３は、不揮発メモリ又は揮発性メモリのいずれでもよい。したがって、共有保存領域１２１及び配信ファイル保存領域１２３が、揮発性メモリである実ストレージ１２０の保存領域にそれぞれ設けられ、ソフトウェア保存領域１２２が、不揮発性メモリである実ストレージ１２０の保存領域に設けられてもよい。

５．ドメイン・アーキテクチャへの適用
次に、各実施形態における電子制御システム１をドメイン・アーキテクチャに適用する場合の構成例を説明する。ドメイン・アーキテクチャとは、複数のＥＣＵを、その機能、役割、又はネットワーク接続に応じてドメインと称されるグループに分類するとともに、ドメイン毎に同じドメインに属する複数のＥＣＵを管理して制御するドメインコントローラＥＣＵ（以下、ＤＣ－ＥＣＵ）を配置するものである。ドメイン・アーキテクチャでは、機能やネットワークに応じてＥＣＵを整理して統合することができるため、車載システムのように多数のＥＣＵから構成されるシステムにおいて、将来的なＥＣＵの更新作業が容易になるだけでなく、増大しつつあるＥＣＵの総数を抑制することが可能となる。

（１）ドメイン・アーキテクチャの概要
図９は、ドメイン・アーキテクチャを簡略的に示した図である。図９に示すドメイン・アーキテクチャは、ＤＣ－ＥＣＵ３０Ａ、３０Ｂ、ゲートウェイＥＣＵ（以下、ＧＷ－ＥＣＵ）４０、及びＥＣＵ５０Ａ、５１Ａ、５０Ｂ、５１Ｂを有している。

さらに、図９に示すドメイン・アーキテクチャは２つのドメインを有しており、第１のドメイン２ＡはＤＣ－ＥＣＵ３０Ａ及びＥＣＵ５０Ａ、５１Ａを、第２のドメイン２ＢはＤＣ－ＥＣＵ３０Ｂ及びＥＣＵ５０Ｂ、５１Ｂを、それぞれ有している。上述したとおり、ドメインは、ＥＣＵの機能やネットワークに応じて分類されるものであり、車載システムの場合、例えば、車両の駆動系を制御するドメイン、自動運転を制御するドメイン、車載テレビや車載コンピュータといった娯楽機器を制御するドメイン等が挙げられる。

ＤＣ－ＥＣＵ３０Ａは第１のドメイン２Ａに属するＥＣＵ５０Ａ、５１Ａを制御し、ＤＣ－ＥＣＵ３０Ｂは第２のドメイン２Ｂに属するＥＣＵ５０Ｂ、５１Ｂを制御する。例えば、第１のドメイン２Ａが自動運転を制御するドメインの場合、ＤＣ－ＥＣＵ３０Ａは、カメラＥＣＵ、レーダＥＣＵ、ライダＥＣＵ、ロケータＥＣＵ、又は各種の自動運転アプリケーションを搭載するＥＣＵといったＥＣＵ５０Ａ、５１Ａを制御する。ＤＣ－ＥＣＵ３０Ａはさらに、ＥＣＵ５０Ａ、５１Ａから出力されたセンサ情報を統合するセンサフュージョンアプリケーションを有し、センサフュージョンアプリケーションからの出力をＥＣＵ５０Ａ、５１Ａに提供してもよい。

ＧＷ－ＥＣＵ４０は、車載ネットワークにおいてゲートウェイ装置として機能するＥＣＵである。ＧＷ－ＥＣＵ４０は複数のバスに接続され、それぞれのバスを介して他のＥＣＵと接続されている。ＧＷ－ＥＣＵ４０は例えばドメイン間の通信を中継する。ＧＷ－ＥＣＵ４０はさらに、車両外部とドメインとの間のゲートウェイとしての機能も有する。

なお、図９では、ＤＣ－ＥＣＵ３０Ａ、ＧＷ－ＥＣＵ４０、ＥＣＵ５０Ａ、５１Ａをそれぞれ異なるＥＣＵとして記載しているが、上述した各ＥＣＵの機能を他のＥＣＵに統合してもよい。例えば、ＥＣＵ５０Ａ、５１Ａの機能の一部をＤＣ－ＥＣＵ３０Ａに統合してもよい。この場合、ＤＣ－ＥＣＵ３０Ａに統合された機能は、ＤＣ－ＥＣＵ３０Ａに搭載される仮想マシンによって実現されてもよい。

（２）電子制御システム１へのドメイン・アーキテクチャの適用例
上述した実施形態では、ＥＣＵ１０及びＥＣＵ２０を有する電子制御システム１を説明した。ここで、図９のドメイン・アーキテクチャを電子制御システム１に適用する場合、更新ファイルを取得するＥＣＵ１０は、図９のＤＣ－ＥＣＵ３０Ａ、３０Ｂとして構成されることが望ましい。この場合、ドメイン・アーキテクチャのＤＣ－ＥＣＵ３０Ａ、３０Ｂはそれぞれ、同じドメインに属するＥＣＵに更新指示を行うとともに、必要に応じて更新ファイルの配信を行うことになる。したがって、ＤＣ－ＥＣＵ３０Ａ、３０Ｂは、異なるドメインに属するＥＣＵの仮想マシンに対して更新指示や更新ファイルの配信を行わない。

例えば、ＥＣＵ１０がＤＣ－ＥＣＵ３０Ａとして構成される場合、第２のドメイン２Ｂに含まれるＥＣＵ（ＤＣ－ＥＣＵ３０Ｂ、ＥＣＵ５０Ｂ、５１Ｂ）には更新指示及び更新ファイルの配信を行わない。同様に、ＤＣ－ＥＣＵ３０Ｂとして構成されたＥＣＵ１０は、第１のドメイン２Ａに含まれるＥＣＵには更新指示及び更新ファイルの配信を行わない。

別の例として、ＥＣＵ１０は図９のＧＷ－ＥＣＵ４０として構成されてもよい。この場合、ＥＣＵ２０はＤＣ－ＥＣＵ３０Ａ、３０Ｂ又はＥＣＵ５０Ａ，Ｂ、５１Ａ，Ｂとして構成される。

電子制御システム１をドメイン・アーキテクチャとすることにより、ＥＣＵ間の通信を同一の又は関連するドメイン内に限定することができるため、車載ネットワーク全体の通信量を抑制することができ、ひいては、車載ネットワークにおける応答性を高めることが可能となる。

６．総括
以上、本発明の各実施形態における電子制御装置、及び当該電子制御装置を備える電子制御システムの特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態の電子制御装置は、車両に搭載される車載装置を構成する電子制御装置であることを前提としているが、本発明の電子制御装置は、特許請求の範囲で特に限定する場合を除き、任意の電子制御システムに適用される。

また、本発明の装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また各装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、マイクロコンピュータを包含する製品全般に適用可能である。

１ 電子制御システム、１０，２０ 電子制御装置、１３０ 第１の仮想マシン、１３１ ファイル取得部、１３２ 更新管理部、１３３ 更新部、１３５ 更新可否判定部、１３６ 通知部、１３７ 受領部、１３９ 更新指示部、１４０ 配信部、１４１ 再起動要求部、１５０ 第２の仮想マシン、１５１ 更新部、１６０ 第３の仮想マシン、１６１ 更新部、２３０ 第４の仮想マシン、２３１ 更新部

Claims (17)

1. 第１の仮想マシン（１３０）を有する電子制御装置であって、
   ソフトウェアを更新するためのファイルを当該電子制御装置の外部から取得するファイル取得部（１３１）と、
   前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、
   前記更新管理部は、
   前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、
   前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部との間、
   の通信が可能か否かを判定する判定部（１３５）と、
   前記ファイル取得部から前記ファイルを受領する受領部（１３７）と、
   前記第１の更新部及び前記第２の更新部のうち前記判定部が通信可能と判定した更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示する更新指示部（１３９）と、を有する、
   電子制御装置（１０）。
2. 前記受領部が前記ファイル取得部から前記ファイルを受領する前に、前記判定部は判定を行う、
   請求項１記載の電子制御装置。
3. 前記判定部の判定結果を前記ファイル取得部に通知する通知部（１３６）を有し、
   前記受領部は、前記通知部からの通知に基づいて前記ファイル取得部により選択されたファイルを受領する、
   請求項１又は２記載の電子装置。
4. 前記ファイル取得部は、前記第１の更新部及び前記第２の更新部のうち前記判定部が通信可能と判定した更新部がソフトウェアの更新に用いる前記ファイルを選択して、前記受領部に送信する、
   請求項３記載の電子制御装置。
5. 前記判定部が、前記第２の更新部との通信が不可能と判定した場合に、
   前記更新指示部は、前記第２の更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示しない、
   請求項１記載の電子制御装置。
6. さらに、前記第１の仮想マシンは第３の仮想マシンと接続されており、
   さらに、前記判定部は、前記第２の仮想マシンのソフトウェアの更新と前記第３の仮想マシンのソフトウェアの更新とが関連付けられているか否かを判定し、
   前記判定部が、前記第２の更新部との通信が不可能と判定し、かつ、前記第２の仮想マシンのソフトウェアの更新と前記第３の仮想マシンのソフトウェアの更新とが関連付けられていると判定した場合に、
   前記更新指示部は、前記第２の更新部、及び前記第３の仮想マシンのソフトウェアを更新する第３の更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示しない、
   請求項１記載の電子制御装置。
7. 前記ファイル取得部が外部から前記ファイルを受領する前に、又は前記受領部が前記ファイル取得部から前記ファイルを受領する前に、前記判定部は判定を行う、
   請求項６記載の電子制御装置。
8. さらに、通信が可能な前記第２の更新部に前記ファイルを配信する配信部（１４０）を有する、
   請求項１記載の電子制御装置。
9. さらに、前記受領部で受領した前記ファイルを分割するパース処理部（１３８）を有し、
   前記配信部は、前記パース処理部で分割された前記ファイルを通信が可能な前記第２の更新部に配信する、
   請求項８記載の電子制御装置。
10. 前記判定部は、前記ファイル取得部から指示があった場合に判定を行う、
    請求項１記載の電子制御装置。
11. 当該電子制御装置は移動体に搭載されている、
    請求項１乃至１０のいずれかに記載の電子制御装置。
12. 前記判定部が前記第２の更新部との通信が不可能と判定した場合に、当該電子制御装置が搭載された車両又は前記第２の仮想マシンの再起動要求を通知する再起動要求部（１４１）、を有する、
    請求項１記載の電子制御装置。
13. さらに、前記第１の仮想マシンは第３の仮想マシンと接続されており、
    さらに、前記判定部は、前記第２の仮想マシンのソフトウェアの更新と前記第３の仮想マシンのソフトウェアの更新とが関連付けられているか否かを判定し、
    前記判定部が、前記第２の更新部との通信が不可能と判定し、かつ、前記第２の仮想マシンのソフトウェアの更新と前記第３の仮想マシンのソフトウェアの更新とが関連付けられていると判定した場合、前記再起動要求部は、前記第２の仮想マシン及び前記第３の仮想マシンの再起動要求を通知する、
    請求項１２記載の電子制御装置。
14. 前記第２の仮想マシンを有する電子制御装置と前記第３の仮想マシンを有する電子制御装置が異なる電子制御装置である場合、前記再起動要求部は、前記車両の再起動要求を通知する、
    請求項１３記載の電子制御装置。
15. 第１の仮想マシン（１３０）を有する電子制御装置（１０）で実行するソフトウェア更新方法であって、
    前記電子制御装置は、
    ソフトウェアを更新するためのファイルを前記電子制御装置の外部から取得するファイル取得部（１３１）と、
    前記ソフトウェアの更新を管理する更新管理部（１３２）と、
    を有し、
    前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、
    前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部（１５１，１６１，２３１）との間、
    の通信が可能か否かを判定し（Ｓ１０４）、
    前記ファイル取得部から前記ファイルを受領し（Ｓ１０６）、
    前記第１の更新部及び前記第２の更新部のうち、通信が可能と判定した更新部に対して、前記ファイル取得部から受領した前記ファイルを用いたソフトウェアの更新を指示する（Ｓ１０８）、
    ソフトウェア更新方法。
16. 第１の仮想マシン（１３０）を有する電子制御装置（１０）で実行可能なソフトウェア更新プログラムであって、
    前記電子制御装置は、
    ソフトウェアを更新するためのファイルを前記電子制御装置の外部から取得するファイル取得部（１３１）と、
    前記ソフトウェアの更新を管理する更新管理部（１３２）と、
    を有し、
    前記更新管理部と、前記第１の仮想マシンのソフトウェアを更新する第１の更新部（１３３）との間、及び／又は、
    前記更新管理部と、前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）のソフトウェアを更新する第２の更新部（１５１，１６１，２３１）との間、
    の通信が可能か否かを判定し（Ｓ１０４）、
    前記ファイル取得部から前記ファイルを受領し（Ｓ１０６）、
    前記第１の更新部及び前記第２の更新部のうち、通信が可能と判定した更新部に対して、前記ファイル取得部から受領した前記ファイルを用いたソフトウェアの更新を指示する（Ｓ１０８）、
    ソフトウェア更新プログラム。
17. 第１の仮想マシン（１３０）を有する第１の電子制御装置（１０）と、第２の仮想マシン（２３０）を有する第２の電子制御装置（２０）とを有する電子制御システムであって、
    前記第１の仮想マシンは、
    ソフトウェアを更新するためのファイルを前記第１の電子制御装置の外部から取得するファイル取得部（１３１）と、
    前記ソフトウェアの更新を管理する更新管理部（１３２）と、を有し、
    前記更新管理部は、
    前記更新管理部と、前記第２の仮想マシンのソフトウェアを更新する第２の更新部（２３１）との間の通信が可能か否かを判定する判定部（１３５）と、
    前記ファイル取得部から前記ファイルを受領する受領部（１３７）と、
    通信が可能な前記第２の更新部に対して、前記受領部が受領した前記ファイルを用いたソフトウェアの更新を指示する更新指示部（１３９）と、を有し、
    前記第２の仮想マシンの前記第２の更新部は、
    前記更新指示部の指示に基づき、前記ファイルを用いて前記第２の仮想マシンのソフトウェアを更新する、
    電子制御システム（１）。

Images