JP2022135372A - センタ、更新管理方法、及び更新管理プログラム - Google Patents

Abstract

【課題】ＯＴＡマスタから送信される更新ステータスの通知を正常に受信できなかった場合に、ソフトウェアの更新処理に異常が生じていると誤った判断をしてしまうことを抑制できるセンタなどを提供する。【解決手段】車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタであって、ＯＴＡマスタから電子制御ユニットのソフトウェア更新処理の進捗状況を示す通知を受信する通信部と、通信部が受信する通知に基づいて車両側の更新ステータスを管理する制御部と、を備え、制御部は、通信部が、第１通知を受信した後、第１通知の次に受信が予定される第２通知とは異なる第３通知を受信した場合、第１通知から第３通知までの通知を全て受信したものと見なして第３通知に基づいて更新ステータスを設定する。【選択図】図１

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェア更新を制御するセンタなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニットが搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバー機能を有するセンタからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットにインストールすることにより、電子制御ユニットのソフトウェア更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

このＯＴＡ技術を用いたソフトウェアの更新処理においては、車両で実施されている処理の状態をセンタが管理できるように、ソフトウェア更新処理の進捗状況を示す情報が所定のタイミング（開始や完了など）でソフトウェアの更新処理を担う装置であるＯＴＡマスタからセンタに通知される。

特開２００４－３２６６８９号公報

ＯＴＡマスタから送信されるソフトウェア更新処理の進捗状況を示す通知を、何らかの原因でセンタが受信できなかった場合、車両では正常にソフトウェアの更新処理が進んでいるにもかかわらず、センタではソフトウェアの更新処理に異常が生じていると誤った判断を行ってしまう場合がある。このような判断がなされると、ソフトウェアの更新処理に関して車両が管理する更新ステータスとセンタが管理する更新ステータスとの間にずれが生じてしまい、次回のソフトウェアの更新処理に影響を与えてしまうおそれがある。

本開示は、上記課題を鑑みてなされたものであり、ＯＴＡマスタから送信されるソフトウェア更新処理の進捗状況を示す通知を正常に受信できなかった場合に、ソフトウェア更新処理に異常が生じていると誤った判断をしてしまうことを抑制できるセンタなど、を提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタであって、ＯＴＡマスタから電子制御ユニットのソフトウェア更新処理の進捗状況を示す通知を受信する通信部と、通信部が受信する通知に基づいて車両側の更新ステータスを管理する制御部と、を備え、制御部は、通信部が、第１通知を受信した後、第１通知の次に受信が予定される第２通知とは異なる第３通知を受信した場合、第１通知から第３通知までの通知を全て受信したものと見なして第３通知に基づいて更新ステータスを設定する、センタである。

本開示のセンタなどによれば、ＯＴＡマスタから送信されるソフトウェア更新処理の進捗状況を示す通知を正常に受信できなかった場合に、ソフトウェア更新処理に異常が生じていると誤った判断をしてしまうことを抑制することができる。

一実施形態に係るセンタを含むネットワークシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 センタで実行される更新ステータス管理処理のフローチャート センタで実行される更新ステータス管理処理のフローチャート センタがＯＥＭに報告するＯＴＡに関する結果の一例を示す図

本開示のセンタは、ソフトウェアの更新処理において、ソフトウェア更新処理の進捗状況を示す通知を正しい順序でＯＴＡマスタから受信できている間は、所定の順序で１つずつ更新ステータスを進めてゆき、ソフトウェア更新処理の進捗状況を示す通知を正しい順序でＯＴＡマスタから受信できなかったときには、直近にＯＴＡマスタから受信した通知に基づいた更新ステータスを設定する。これにより、ソフトウェア更新処理に異常が生じていると誤った判断をしてしまうことを抑制することができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［構成］
図１は、本開示の一実施形態に係るセンタを含むネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット４０ａ～４０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク２０と、を備える。

（１）センタ
センタ１０は、ネットワーク７０を介して車載ネットワーク２０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニットの更新データの送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などの通信を行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット４０ａ～４０ｄのソフトウェア更新を管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新管理に用いる情報、各電子制御ユニットの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク７０を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７及び制御部１８は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両のＩＤ）ごとに、電子制御ユニットで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニットのソフトウェアの更新データと、を記憶する。電子制御ユニットで利用可能なソフトウェアを示す情報として、例えば、複数の電子制御ユニットの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新処理状態を示す更新ステータスを記憶する。

通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信することが可能である。更新確認要求は、例えば、車両において電源又はイグニッション（ＩＧＮ）がオンされたときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニットの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信することが可能である。通信部１７は、配信パッケージのダウンロード要求を受信すると、後述の制御部１８で生成される電子制御ユニットのソフトウェアの更新データを含む配信パッケージをＯＴＡマスタ３０に送信する。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両のＩＤで特定される車両に搭載された電子制御ユニットについてソフトウェアの更新データがあるか否かを判定する。制御部１８は、電子制御ユニットのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当の更新データを含む配信パッケージを生成する。

（２）車載ネットワーク
車載ネットワーク２０は、ＯＴＡマスタ３０と、複数の電子制御ユニット４０ａ～４０ｄと、通信モジュール５０と、を備える。ＯＴＡマスタ３０と通信モジュール５０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット４０ａ及び４０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット４０ｃ及び４０ｄとは、バス６０ｃを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール５０を介してネットワーク７０経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット４０ａ～４０ｄと有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置であり、センタ１０から取得した更新データに基づいて、電子制御ユニット４０ａ～４０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｃを介して、通信モジュール５０及び電子制御ユニット４０ａ～４０ｄと通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット４０ａ～４０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報（種別情報）などを記憶する。この種別情報は、車載ネットワーク２０を構成する複数の電子制御ユニット４０ａ～４０ｄの仕様に基づいて予め作成し、車両の製造時に記憶部３７に格納してもよいし、ソフトウェアの更新処理時に、後述する通信部３８が車載ネットワーク２０内の通信によりターゲット電子制御ユニットから取得してもよい。

通信部３８は、例えば、車両の電源又はイグニッション（ＩＧＮ）がオンされたことを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。電子制御ユニットのソフトウェアの更新データがある場合、通信部３８は、配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信する。また、通信部３８は、ソフトウェアの更新処理時に、通信によってターゲット電子制御ユニットから不揮発性メモリの種別情報を取得してもよい。

制御部３９は、通信部３８が受信した更新確認要求に対する応答に基づき、電子制御ユニットのソフトウェアの更新データの有無を判定する。また、制御部３９は、ソフトウェアの更新データがある場合に通信部３８がセンタ１０から受信した配信パッケージの真正性の検証や、ダウンロードによって記憶部３７に格納された１つ以上の更新データのターゲット電子制御ユニットへの転送を行う。さらに、制御部３９は、ターゲット電子制御ユニットに更新データをインストールさせ、インストールの完了後にインストールした更新版のソフトウェアを有効とするように指示を行う。

複数の電子制御ユニット４０ａ～４０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ：Electronic Control Unit）である。図１においては、４つの電子制御ユニット４０ａ～４０ｄを例示したが、電子制御ユニットの数は特に限定されない。例えば、電子制御ユニット４０ａ～４０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果の表示など、各種の表示を行うための表示装置（ＨＭＩ）が、ＯＴＡマスタ３０に接続されてもよい。表示装置としては、カーナビゲーションシステムなどを用いることが可能である。また、電子制御ユニットをＯＴＡマスタ３０に接続するバスの数も特に限定されない。例えば、上述の表示装置が、バス６０ａ～６０ｃ以外のバスでＯＴＡマスタ３０に接続されてもよい。

通信モジュール５０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク２０をセンタ１０に接続するための通信機器である。通信モジュール５０は、ネットワーク７０経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。なお、通信モジュール５０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源又はイグニッションがオンされたことを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両のＩＤと、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄのハードウェア及びソフトウェアのバージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク２０に接続される電子制御ユニット４０ａ～４０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）を取得することで作成可能である。車両のＩＤ及び電子制御ユニット４０ａ～４０ｄのソフトウェアのバージョンは、センタ１０が車両ＩＤごとに保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニットのソフトウェアの更新データがあるか否かを判定するために用いられる。また、ＯＴＡマスタ３０は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。電子制御ユニットのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニットのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールした更新版のソフトウェアを有効とするように指示をする。

ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、表示による通知を行う表示装置や音声による通知を行う音声出力装置などを利用できる。例えば、承諾要求処理において、表示装置を出力装置として用いる場合、ＯＴＡマスタ３０は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置に表示させ、ユーザー又は管理者が承諾した場合に承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置に表示させることができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニットのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ソフトウェアの更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新版のソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶装置１３に記憶する処理である。ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前の電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤを含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットに更新ソフトウェア（更新版のプログラム）を書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのものを含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データ又は分割データの組み付けにより行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、インストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェアの更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図６Ａ及び図６Ｂをさらに参照して、本実施形態のネットワークシステムにおいて実行される処理を説明する。図６及び図６Ｂは、センタ１０によって実行される更新ステータス管理処理の手順を説明するフローチャートである。図６Ａの処理と図６Ｂの処理とは、結合子Ｘ、Ｙ、及びＺで結ばれる。

この図６に示す更新ステータス管理処理は、電子制御ユニットのソフトウェアを更新するキャンペーンが存在する場合に開始される。

（ステップＳ６０１）
センタ１０は、ＯＴＡマスタ３０から通知を受信したか否かを判断する。センタ１０が、キャンペーン存在時にＯＴＡマスタ３０から受信する通知としては、（ａ）ユーザーの指示に基づいたキャンペーン、ダウンロード、インストール、アクティベートの各承諾結果、（ｂ）ダウンロード、インストール、アクティベートの各実行前確認、（ｃ）ダウンロード、インストール、アクティベートの各開始報告、（ｄ）ダウンロード、インストール、アクティベートの各進捗報告、（ｅ）ダウンロード、インストール、アクティベートの各完了報告、及び（ｆ）ソフトウェアの更新完了報告など、を例示できる。これらの通知は限定されるものではなく、これらの通知の一部が省略されてもよいし他の通知が追加されてもよい。このステップＳ６０１で判断される通知の受信とは、最初の通知であるキャンペーンの承諾結果の受信、又はある通知に基づいて更新ステータスが設定された後における新たな通知の受信をいう。センタ１０がＯＴＡマスタ３０から通知を受信した場合は（ステップＳ６０１、はい）、ステップＳ６０２に処理が進み、センタ１０がＯＴＡマスタ３０から通知を受信していない場合は（ステップＳ６０１、いいえ）、ステップＳ６０６に処理が進む。

（ステップＳ６０２）
センタ１０は、ＯＴＡマスタ３０から受信した通知が「ソフトウェアの更新完了報告」であるか否かを判断する。ソフトウェアの更新完了報告を受信できれば、センタ１０は、車両側においてソフトウェアの更新処理が正常に完了したと判断することができる。ＯＴＡマスタ３０から受信した通知がソフトウェアの更新完了報告である場合は（ステップＳ６０２、はい）、ステップＳ６０９に処理が進み、ＯＴＡマスタ３０から受信した通知がソフトウェアの更新完了報告ではない場合は（ステップＳ６０２、いいえ）、ステップＳ６０３に処理が進む。

（ステップＳ６０３）
センタ１０は、ＯＴＡマスタ３０から今回受信した通知である今回通知（第２通知又は第３通知）が、ＯＴＡマスタ３０から前回受信した通知である前回通知（第１通知）の次に受信予定の通知であるか否かを判断する。今回通知が前回通知の次に受信予定の通知であるか否かは、ソフトウェアの更新処理において予め定められた処理シーケンスに則って判断することができる。一例として、「ダウンロード完了報告」の通知の次に受信予定である通知は、「インストール承諾結果」の通知との判断になる。ＯＴＡマスタ３０からの今回通知が前回通知の次に受信予定の通知である場合（今回通知が第２通知である場合）は（ステップＳ６０３、はい）、ステップＳ６０４に処理が進み、ＯＴＡマスタ３０からの今回通知が前回通知の次に受信予定の通知ではない場合（今回通知が第３通知である場合）は（ステップＳ６０３、いいえ）、ステップＳ６０５に処理が進む。

（ステップＳ６０４）
センタ１０は、自らが管理している更新ステータスを、処理を１つ進めた更新ステータスに設定する。更新ステータスの進行順序は、予め定めておくことができる。一例として、現在の更新ステータスが「インストール開始準備」である場合に、次に受信する予定である「インストール開始報告」の通知を正しく受信できたのであれば、この「インストール開始準備」の１つ先の処理である「インストール中」に更新ステータスが設定される。更新ステータスが設定されると、ステップＳ６０１に処理が進む。

（ステップＳ６０５）
センタ１０は、自らが管理している更新ステータスを、ＯＴＡマスタ３０から受信した今回通知に基づいた更新ステータスに設定する。すなわち、センタ１０は、前回通知から今回通知までの通知を全て受信したものと見なして、今回通知に基づく内容に更新ステータスを設定（変更）する。一例として、現在の更新ステータスが「インストール開始準備」である場合に、次に受信する予定ではない「インストール完了報告」の通知が受信されたのであれば、この今回通知に基づいて「インストール完了」に更新ステータスが設定される。更新ステータスが設定されると、ステップＳ６０１に処理が進む。

（ステップＳ６０６）
センタ１０は、ＯＴＡマスタ３０から車両構成情報を取得したか否かを判断する。車両構成情報は、車両の電源又はイグニッションがオンされたことを契機として、ＯＴＡマスタ３０から送信されるソフトウェアの更新確認要求によって取得される。ＯＴＡマスタ３０から車両構成情報を取得した場合は（ステップＳ６０６、はい）、ステップＳ６０７に処理が進み、ＯＴＡマスタ３０から車両構成情報を取得しない場合は（ステップＳ６０６、いいえ）、ステップＳ６０１に処理が進む。

（ステップＳ６０７）
センタ１０は、ＯＴＡマスタ３０から取得した車両構成情報に基づいて、ＯＴＡマスタ３０から「ソフトウェアの更新完了報告」の通知を受信していないソフトウェアの更新処理が正常に完了したものと判断できるか否かを判断する。この判断は、ソフトウェアの更新処理が正常に完了した場合にターゲット電子制御ユニットが示すソフトウェアバージョンが、車両構成情報に示されたターゲット電子制御ユニットのソフトウェアバージョンと一致するか否かで行われる。ソフトウェアの更新処理が正常に完了したものと判断できる場合は（ステップＳ６０７、はい）、ステップＳ６０９に処理が進み、ソフトウェアの更新処理が正常に完了したものと判断できない場合は（ステップＳ６０７、いいえ）、ステップＳ６０８に処理が進む。

（ステップＳ６０８）
センタ１０は、自らが管理している更新ステータスを、ソフトウェアの更新処理が完了していないことを示す「更新処理未完了」に設定する。更新ステータスが設定されると、更新ステータス管理処理が終了する。

（ステップＳ６０９）
センタ１０は、自らが管理している更新ステータスを、ソフトウェアの更新処理が完了していることを示す「更新処理完了」に設定する。更新ステータスが設定されると、更新ステータス管理処理が終了する。

センタ１０は、上記ステップＳ６０８及びステップＳ６０９で設定した「更新処理完了」及び「更新処理未完了」の更新ステータスに基づいて、ＯＴＡに関する結果を完成車メーカーであるＯＥＭ（Original Equipment Manufacturer）などに報告してもよい。

図７に、センタ１０がＯＥＭに報告するＯＴＡに関する結果（表示画面）の一例を示す。図７の例では、上図に、市場に流通している更新対象となる全ての車両（更新対象総車両）における、ＯＴＡ更新を許可している（ＯＴＡ有効）車両とＯＴＡ更新を許可していない（ＯＴＡ無効）車両との比率を示している。下図に、ＯＴＡ更新を許可している車両（ＯＴＡ有効車両）について、ソフトウェアの更新処理の実施割合を示している。更新ステータスが「更新処理完了」となった車両は「更新済み」に含まれ、更新ステータスが「更新処理未完了」となった車両は「未更新」に含まれる。

＜作用・効果＞
以上のように、本開示の一実施形態に係るセンタ１０は、ソフトウェアの更新処理において、更新ステータスの通知を正しい順序でＯＴＡマスタ３０から受信できている間は、所定の順序で１つずつ更新ステータスを進めてゆき、更新ステータスの通知を正しい順序でＯＴＡマスタ３０から受信できなかったときには、直近にＯＴＡマスタ３０から受信した通知（今回通知）に基づいた更新ステータスに設定する。これにより、センタ１０がソフトウェアの更新処理に異常が生じていると誤った判断をしてしまうことを抑制することができる。

また、本実施形態に係るセンタ１０は、ソフトウェアの更新処理において、最後の通知であるソフトウェアの更新完了報告を受信できなかったときには、次回車両から車両構成情報が送信されるタイミングで、この車両構成情報に基づいてソフトウェアの更新処理が正常に完了したか否かを判断する。これにより、センタ１０がソフトウェアの更新処理に異常が生じていると誤った判断をしてしまうことを抑制することができる。

以上、本開示技術の一実施形態を説明したが、本開示は、センタだけでなく、プロセッサとメモリを備えたセンタが実行する更新管理方法、更新管理プログラム、あるいは更新管理プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体など、として捉えることが可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０ センタ
１１、３１ ＣＰＵ
１２、３２ ＲＡＭ
１３、３４ 記憶装置
１４、３６ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
２０ 車載ネットワーク
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
４０ａ～４０ｄ 電子制御ユニット（ＥＣＵ）
５０ 通信モジュール
６０ａ～６０ｃ バス
７０ ネットワーク

Claims (7)

1. 車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタであって、
   前記ＯＴＡマスタから前記電子制御ユニットのソフトウェア更新処理の進捗状況を示す通知を受信する通信部と、
   前記通信部が受信する前記通知に基づいて前記車両側の更新処理状態を示す更新ステータスを管理する制御部と、を備え、
   前記制御部は、前記通信部が、第１通知を受信した後、前記第１通知の次に受信が予定される第２通知とは異なる第３通知を受信した場合、前記第１通知から前記第３通知までの通知を全て受信したものと見なして前記第３通知に基づいて前記更新ステータスを設定する、
   センタ。
2. 前記通信部が受信する前記通知は、前記ソフトウェアのダウンロード完了報告、前記ソフトウェアのインストール完了報告、前記ソフトウェアのアクティベート完了報告、及び前記ソフトウェアの更新完了報告を少なくとも含む、
   請求項１に記載のセンタ。
3. 前記通信部が前記通知として前記ソフトウェアの更新完了の通知を受信した場合、前記制御部は、前記車両のソフトウェア更新処理が完了したことを示す前記更新ステータスを設定する、
   請求項２に記載のセンタ。
4. 前記通信部は、前記第２通知及び前記第３通知のいずれも受信できない場合、前記ＯＴＡマスタから前記電子制御ユニットの状態を示す情報を受信し、
   前記制御部は、前記情報に基づいて、前記ソフトウェア更新処理が正常に完了したか否かを判断する、
   請求項１又は２に記載のセンタ。
5. 前記通信部が前記第２通知及び前記第３通知のいずれも受信できない場合の前記第２通知は、前記ソフトウェアのダウンロード承諾結果、前記ソフトウェアのインストール承諾結果、及び前記ソフトウェアのアクティベート承諾結果を少なくとも含む、
   請求項４に記載のセンタ。
6. プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタのコンピューターが実行する更新管理方法であって、
   前記ＯＴＡマスタから前記電子制御ユニットのソフトウェア更新処理の進捗状況を示す通知を受信するステップと、
   前記通知に基づいて前記車両側の更新処理状態を示す更新ステータスを管理するステップと、を含み、
   前記管理するステップは、前記受信するステップにおいて、第１通知が受信された後、前記第１通知の次に受信が予定される第２通知とは異なる第３通知が受信された場合、前記第１通知から前記第３通知までの通知が全て受信されたものと見なして前記第３通知に基づいて前記更新ステータスを設定する、
   更新管理方法。
7. プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタのコンピューターが実行する更新管理プログラムであって、
   前記ＯＴＡマスタから前記電子制御ユニットのソフトウェア更新処理の進捗状況を示す通知を受信するステップと、
   前記通知に基づいて前記車両側の更新処理状態を示す更新ステータスを管理するステップと、を含み、
   前記管理するステップは、前記受信するステップにおいて、第１通知が受信された後、前記第１通知の次に受信が予定される第２通知とは異なる第３通知が受信された場合、前記第１通知から前記第３通知までの通知が全て受信されたものと見なして前記第３通知に基づいて前記更新ステータスを設定する、
   更新管理プログラム。

Images