JP2022158323A - センタ、配信制御方法、及び配信制御プログラム - Google Patents

Abstract

【課題】不正なソフトウェアの書き換えによってソフトウェアのバージョンが変更された場合でもＯＴＡ以外でバージョン変更が生じたことを認識できるようにしたセンタなどを提供する。
【解決手段】車両と通信可能なセンタであって、車両に搭載された電子制御ユニットのソフトウェアの更新履歴を記憶する記憶部と、車両から電子制御ユニットのソフトウェアの現在のバージョンを受信する受信部と、更新履歴に基づいて、受信部が受信した現在のバージョンが更新履歴に記録された最終更新時のバージョンと一致するか否かを判定する判定部と、受信部が受信した現在のバージョンが最終更新時のバージョンと一致しないと判定部が判定した場合、車両にエラー通知を送信する送信部と、を備える。
【選択図】図１

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタと通信可能なセンタなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが記憶部に記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバー機能を有するセンタからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットにインストールすることにより、電子制御ユニットのソフトウェア更新や追加を行うＯＴＡ（Over The Air）技術が知られている。

このＯＴＡ技術を用いたソフトウェアの更新処理は、車両の電源又はイグニッションがＯＮの時に、車両のソフトウェアの更新処理を担う装置であるＯＴＡマスタが、車載通信機器を介して、電子制御ユニットのソフトウェアのバージョン情報をセンタに送信すること（更新確認）を契機として開始することができる（例えば、特許文献１を参照）。ＯＴＡマスタは、センタから更新データをＯＴＡによりダウンロードすると、車内の表示装置などに表示を行うことにより、更新データがあることをユーザーに通知し、ボタンなどの入力装置の操作によってユーザーの承諾を受け付けたことを契機として、更新データのインストール及びアクティベートを実施する。

特開２０１８－１８１３７７号公報

故障などによって電子制御ユニットが交換された場合、電子制御ユニットに実装されるソフトウェアのバージョンが交換前後で変わる可能性がある。電子制御ユニットの交換によってソフトウェアのバージョンが変わった場合、交換作業の実施に関わる当事者（作業者、ユーザーなど）は、ＯＴＡ以外でバージョン変更が生じたことを認識することができる。しかしながら、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変えられた場合には、ＯＴＡ以外でバージョン変更が生じたことをユーザーや車両などが認識できないおそれがある。

本開示は、上記課題を鑑みてなされたものであり、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変更された場合でも、ＯＴＡ以外でバージョン変更が生じたことを認識できるようにしたセンタなど、を提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両と通信可能なセンタであって、車両に搭載された電子制御ユニットのソフトウェアの更新履歴を記憶する記憶部と、車両から電子制御ユニットのソフトウェアの現在のバージョンを受信する受信部と、更新履歴に基づいて、受信部が受信した現在のバージョンが更新履歴に記録された最終更新時のバージョンと一致するか否かを判定する判定部と、受信部が受信した現在のバージョンが最終更新時のバージョンと一致しないと判定部が判定した場合、車両にエラー通知を送信する送信部と、を備える、センタである。

本開示のセンタなどによれば、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変更された場合でも、ＯＴＡ以外でバージョン変更が生じたことを認識することができる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 センタが記憶する更新履歴情報の一例 センタが実行する更新確認要求処理のフローチャート ソフトウェアのバージョンに整合性を説明する図 センタが実行するダウンロード要求処理のフローチャート ＯＴＡマスタが実行するソフトウェア更新制御処理のフローチャート

本開示のセンタは、車両から受信する電子制御ユニットのソフトウェアの現在のバージョンが、自身が記憶及び管理する電子制御ユニットのソフトウェア更新履歴における最終更新時のバージョンと一致しない場合、車両にエラー通知を送信する。これにより、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変更された場合でも、車両においてＯＴＡ以外でバージョン変更が生じたことを認識することができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システムの構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、を備える。

（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄの更新データの送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新管理に用いる情報、及び各電子制御ユニットの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１５と、通信部１６と、制御部１７と、判定部１８と、問い合わせ部１９と、受付部２０と、を備える。記憶部１５は、図２に示した記憶装置１３によって実現される。通信部１６、制御部１７、判定部１８、問い合わせ部１９、及び受付部２０は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１５は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１５は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新バージョンの組み合わせが定義される。また、ソフトウェア更新処理に関する情報として、記憶部１５は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶する。

また、記憶部１５は、車両に搭載された電子制御ユニット５０ａ～５０ｄのソフトウェアの更新履歴である更新履歴情報を記憶する。更新履歴情報は、車両を識別する車両ＩＤごとに、車両に対して実施されたこれまでのソフトウェアの更新内容が累積的に記録された情報である。図６に、更新履歴情報の一例を示す。図６に例示する更新履歴情報は、更新の実施回数を表す番号と、更新を実施した日時と、更新において変更された各電子制御ユニット（ＥＣＵ）のソフトウェアのバージョンが対応付けて記録されている。例えば、図６は、車両ＩＤ＿０００１の車両は、２０ＸＸ年７月３１日１４時４７分５８秒に実施された３回目の更新処理において、電子制御ユニットＥＣＵ－Ａがバージョン２．０へ、電子制御ユニットＥＣＵ－Ｂがバージョン２．０へ、電子制御ユニットＥＣＵ－Ｃがバージョン３．０へ更新されたことを示している。

通信部１６は、ＯＴＡマスタ３０との間で、データ、情報、及び要求などの送信及び受信を行う。通信部１６は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信することが可能である（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）時に、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。通信部１６は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１６は、後述する判定部１８でＯＴＡによる更新データ配信が無効と判定された場合に、エラー通知をＯＴＡマスタ３０に送信する（送信部）。また、通信部１６は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信することが可能である（受信部）。通信部１６は、配信パッケージのダウンロード要求を受信すると、ＯＴＡによる更新データ配信の有効／無効及び無効の解除指示の有無に基づいて、後述の制御部１７で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データを含む配信パッケージをＯＴＡマスタ３０に送信する（送信部）。

判定部１８は、通信部１６が受信した更新確認要求に含まれる車両構成情報から、電子制御ユニット５０ａ～５０ｄの各ソフトウェアの現在のバージョンを取得する。そして、判定部１８は、記憶部１５に記憶されている更新履歴情報に基づいて、車両から取得した各ソフトウェアの現在のバージョンが、センタ１０が更新履歴として管理する当該車両における最終更新時の各ソフトウェアのバージョンと一致するか否かを判定する。

問い合わせ部１９は、各ソフトウェアの現在のバージョンが最終更新時の各ソフトウェアのバージョンと一致しないと判定部１８が判定した場合に、センタ１０とは異なる別のセンタ（第２のセンタ）又はディーラーや予め登録されたユーザーなどが所有する通信端末に、電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョン変更の有無を問い合わせることができる。

受付部２０は、ＯＴＡによる更新データ配信が無効である場合に、無効化を解除する指示を受け付けることができる。この無効化を解除する指示は、例えば、電子制御ユニットの交換などの正当な理由で各ソフトウェアの現在のバージョンが最終更新時の各ソフトウェアのバージョンと一致しなくなった場合に、ディーラーや予め登録されたユーザーなどから指示される。

制御部１７は、各ソフトウェアの現在のバージョンが最終更新時の各ソフトウェアのバージョンと一致すると判定部１８が判定した場合は、ＯＴＡによる更新データ配信を有効化する。一方、制御部１７は、各ソフトウェアの現在のバージョンが最終更新時の各ソフトウェアのバージョンと一致しないと判定部１８が判定した場合には、ＯＴＡによる更新データ配信を無効化する。制御部１７におけるＯＴＡによる更新データ配信の無効化の結果は、エラー通知という形で通信部１６によってＯＴＡマスタ３０に送信される。また、制御部１７は、通信部１６がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１５に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１７による更新データがあるか否かの判定結果は、通信部１６によってＯＴＡマスタ３０に送信される。そして、制御部１７は、ＯＴＡによる更新データ配信が有効化され、かつ、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１５に記憶されている該当の更新データを含む配信パッケージを生成する。

（２）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置であり、センタ１０から通信によって取得した更新データなどに基づいて、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０と通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、出力部４０と、を備える。記憶部３７は、図３に示した記憶装置３４によって実現される。通信部３８、制御部３９、及び出力部４０は、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データを記憶する。

通信部３８は、センタ１０との間で、データ、情報、及び要求などの送信及び受信を行う。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンは、センタ１０が車両ＩＤごとに記憶する最終更新（最新）のソフトウェアのバージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否か、及び更新データがある場合にＯＴＡによる更新データの配信が有効か無効か、を判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。また、通信部３８は、ＯＴＡによる更新データの配信が無効である場合にはエラー通知を受信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、更新データを含む配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信（ダウンロード）する受信部として機能する。また、通信部３８は、後述する取得部４２が取得した電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答及びエラー通知に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から受信（ダウンロード）して記憶部３７に格納した配信パッケージの真正性を検証する。また、制御部３９は、センタ１０から受信（ダウンロード）した更新データを用いて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理（インストール、アクティベート）を制御する。具体的には、制御部３９は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効とするアクティベートを指示する。

出力部４０は、通信部３８がセンタ１０からエラー通知を受け取った場合に、表示装置７０に対してエラー表示を行うための指示を出力することができる。この表示装置７０を介したエラー表示によって、例えば、センタ１０から車両に対するＯＴＡによる更新データ配信が無効であるためソフトウェア更新処理ができないことを、ユーザーなどに知らせることができる。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、４つの電子制御ユニット５０ａ～５０ｄを例示したが、電子制御ユニットの数は特に限定されない。また、電子制御ユニットをＯＴＡマスタ３０に接続するバスの数も特に限定されない。

表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、ＯＴＡによる更新データ配信が無効であるためソフトウェア更新処理ができないことの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果の表示など、各種の表示を行うために用いられるヒューマンマシンインタフェース（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、プログラムの更新処理時に必要な情報を表示可能なものであれば特に限定されない。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットなどがさらに接続されていてもよい。

通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０をセンタ１０に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。なお、この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェアの更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアのバージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）を取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンは、センタ１０が車両ＩＤごとに保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否か、及び更新データがある場合にＯＴＡによる更新データの配信が有効か無効か、を判定するために用いられる。また、ＯＴＡマスタ３０は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。また、ＯＴＡマスタ３０は、ＯＴＡによる更新データの配信が無効である場合にはセンタ１０からエラー通知を受信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、アクティベート順、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、受信した更新確認要求に対するセンタ１０からの応答及びエラー通知に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールした更新版のソフトウェアを有効とするように指示をする。

ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた表示装置７０や、音声による通知を行う音声出力装置などを利用できる。例えば、承諾要求処理において、表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置７０に表示させ、ユーザー又は管理者が承諾した場合に承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置７０に表示させることができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置７０に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置７０に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、電子制御ユニットの不揮発性メモリがプログラムを格納するための１つの格納領域を有するシングルバンクメモリである場合は、インストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。電子制御ユニットの不揮発性メモリがプログラムを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後、かつ、アクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェアの更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新版のソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニット５０ａ～５０ｄのソフトウェアを更新するための更新データを、受信して記憶装置３４に記憶する処理である。ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、ダウンロードに対する車両のユーザー又は管理者への承諾要求、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニット５０ａ～５０ｄの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前の電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤを含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットに更新ソフトウェア（更新版のプログラム）を書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、インストールに対する車両のユーザー又は管理者への承諾要求、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのものを含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０（又はセンタ１０）からのインストール要求（又は指示）に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、インストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０（又はセンタ１０）からのアクティベート要求（又は指示）に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェアの更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図７乃至図１０をさらに参照して、本実施形態に係るネットワークシステムにおいて実行される処理を説明する。

図７は、センタ１０の各構成が実行する更新確認要求処理の手順を説明するフローチャートである。この図７に示す更新確認要求処理は、ＯＴＡマスタ３０が送信する更新確認要求を、センタ１０が受信することによって開始される。

（ステップＳ７０１）
判定部１８は、通信部１６がＯＴＡマスタ３０から受信した更新確認要求によって、車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンを取得する。ソフトウェアの現在のバージョンが取得されると、ステップＳ７０２に処理が進む。

（ステップＳ７０２）
判定部１８は、ソフトウェアバージョンの整合性をチェックする。この整合性のチェックは、車両から取得した各ソフトウェアの現在のバージョンが、センタ１０の記憶部３７が更新履歴情報として記憶する車両における各ソフトウェアの最終更新時のバージョンと一致するか否か、を判定することで行われる。整合性のチェックがされると、ステップＳ７０３に処理が進む。

（ステップＳ７０３）
判定部１８は、整合性をチェックした結果、各電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンに整合性があるか否かを判断する。判定部１８は、各ソフトウェアにおける現在のバージョンが最終更新時のバージョンと一致する場合には整合性ありと判断し、各ソフトウェアにおける現在のバージョンが最終更新時のバージョンと一致しない場合には整合性なしと判断する。整合性ありと判定された場合は（ステップＳ７０３、はい）、ステップＳ７０４に処理が進み、整合性なしと判定された場合は（ステップＳ７０３、いいえ）、ステップＳ７０５に処理が進む。

（ステップＳ７０４）
制御部１７は、各ソフトウェアのバージョンに整合性があるので、ＯＴＡによる更新データ配信を有効化する。ＯＴＡによる更新データ配信が有効化されると、ステップＳ７０６に処理が進む。

（ステップＳ７０５）
制御部１７は、各ソフトウェアのバージョンに整合性がないので、ＯＴＡによる更新データ配信を無効化する。ＯＴＡによる更新データ配信が無効化されると、ステップＳ７０７に処理が進む。

ここで図８を参照して、ソフトウェアのバージョンに整合性について説明する。図８は、センタ１０の記憶部１５が図６に示す更新履歴情報を記憶している場合において、ＯＴＡマスタ３０からセンタ１０に向けて各電子制御ユニットＥＣＵ－Ａ、ＥＣＵ－Ｂ、及びＥＣＵ－Ｃのソフトウェアの現在のバージョンが送信された例である。図８の（ａ）では、現在のバージョン「ＥＣＵ－Ａ：２．０、ＥＣＵ－Ｂ：２．０、ＥＣＵ－Ｃ：３．０」が最終更新時のバージョン（図６の番号３の各バージョン）と一致するので、ＯＴＡによる更新データ配信が有効とされる。一方、図８の（ｂ）では、現在のバージョン「ＥＣＵ－Ａ：２．０、ＥＣＵ－Ｂ：２．０、ＥＣＵ－Ｃ：１．０」のうちＥＣＵ－Ｃのバージョンが古く最終更新時のバージョン（図６の番号３の各バージョン）と一致しないので、ＯＴＡによる更新データ配信が無効とされる。また、図８の（ｃ）では、現在のバージョン「ＥＣＵ－Ａ：２．０、ＥＣＵ－Ｂ：２．０、ＥＣＵ－Ｃ：１．０」のうちＥＣＵ－Ａのバージョンが新しく最終更新時のバージョン（図６の番号３の各バージョン）と一致しないので、ＯＴＡによる更新データ配信が無効とされる。

（ステップＳ７０６）
制御部１７は、記憶部１５に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判断し、判断結果に基づいて更新データの有無を示す情報をＯＴＡマスタ３０に送信する。更新データの有無が送信されると、本更新確認要求処理が終了する。

（ステップＳ７０７）
通信部１６は、更新データ配信が無効化されたことを示すエラー通知を、ＯＴＡマスタ３０に送信する。エラー通知が送信されると、本更新確認要求処理が終了する。なお、エラー通知が送信される場合であっても、上記ステップＳ７０６と同様に更新データの有無がＯＴＡマスタ３０に送信されてもよい。

なお、上記実施形態では、センタ１０は、ステップＳ７０３においてソフトウェアのバージョンに整合性がないと判定した場合、ＯＴＡによる更新データ配信を無効化して、エラー通知をＯＴＡマスタ３０に送信する例を説明した（ステップＳ７０５、Ｓ７０７）。しかしながら、センタ１０は、車両から受信するソフトウェアの現在のバージョンが不具合を含むものであると判断できる場合には、ＯＴＡによる更新データ配信を無効化せずに、この不具合を解消させるために必要な更新データの配信をＯＴＡマスタ３０に対して行ってもよい。

図９は、センタ１０の各構成が実行するダウンロード要求処理の手順を説明するフローチャートである。この図９に示すダウンロード要求処理は、ＯＴＡマスタ３０が送信する配信パッケージのダウンロード要求をセンタ１０が受信することによって開始される。

（ステップＳ９０１）
制御部１７は、ＯＴＡによる更新データ配信が有効であるか否かを判断する。ＯＴＡによる更新データ配信が有効である場合は（ステップＳ９０１、はい）、ステップＳ９０５に処理が進み、ＯＴＡによる更新データ配信が無効である場合は（ステップＳ９０１、いいえ）、ステップＳ９０２に処理が進む。

（ステップＳ９０２）
問い合わせ部１９は、センタ１０とは異なる別のセンタ（第２のセンタ）又はディーラーや予めユーザーなどが所有する通信端末に、電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョン変更の有無を問い合わせる。問い合わせがされると、ステップＳ９０３に処理が進む。

（ステップＳ９０３）
受付部２０は、ＯＴＡによる更新データ配信の無効化を解除する指示を受け付けたか否かを判断する。無効化解除の指示としては、センタ１０が発行するワンタイムパスワードをディーラーやユーザーなどが所有する通信端末や車両キーとして登録された携帯端末などに送信し、ディーラーやユーザーなどがこのワンタイムパスワードをＷｅｂ経由で返信（入力）することを例示できる。また、この他にも、ユーザーと所定の窓口（車両メーカー（ＯＥＭ）窓口など）との間で電話による認証の後、所定の窓口がセンタ１０に対して解除指示する方法や、ディーラーへの車両入庫予定が確認されたディーラーシステムとセンタ１０とが連携することで、ディーラー作業が発生することを事前にセンタ１０へ通知することで解除指示する方法など、が考えられる。無効化を解除する指示を受け付けた場合は（ステップＳ９０３、はい）、ステップＳ９０４に処理が進み、無効化を解除する指示を受け付けていない場合は（ステップＳ９０３、いいえ）、本ダウンロード要求処理が終了する。

（ステップＳ９０４）
制御部１７は、ＯＴＡによる更新データ配信の無効化を解除する指示があるので、更新データ配信を有効化する。ＯＴＡによる更新データ配信が有効化されると、ステップＳ９０５に処理が進む。

（ステップＳ９０５）
制御部１７は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データを含む配信パッケージを生成する。通信部１６は、制御部１７で生成された配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージの生成及び送信がされると、本ダウンロード要求処理が終了する。

図１０は、ＯＴＡマスタ３０の各構成が実行するソフトウェア更新制御処理の手順を説明するフローチャートである。この図１０に示すソフトウェア更新制御処理は、例えば、車両の電源ＯＮを契機として実行される。

（ステップＳ１００１）
通信部３８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かの確認要求を、センタ１０に送信する。この確認要求には、車両ＩＤと、電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンとが、含まれる。確認要求がセンタ１０に送信されると、ステップＳ１００２に処理が進む。

（ステップＳ１００２）
通信部３８は、センタ１０から更新データの確認要求に対する確認結果を受信する。確認結果が受信されると、ステップＳ１００３に処理が進む。

（ステップＳ１００３）
制御部３９は、ソフトウェアの更新が可能であるか否かを判断する。この判断は、通信部３８が、更新データ配信が無効化されたことを示すエラー通知をセンタ１０から受信したか否かによって可能である。ソフトウェアの更新が可能である場合は（ステップＳ１００３、はい）、ステップＳ１００４に処理が進み、ソフトウェアの更新が可能ではない場合は（ステップＳ１００３、いいえ）、ステップＳ１００８に処理が進む。

（ステップＳ１００４）
制御部３９は、通信部３８が受信した更新データの確認要求に対する確認結果に基づいて、電子制御ユニット５０ａ～５０ｄのうち少なくとも１つに対するソフトウェアの更新データがあるか否かを判断する。ソフトウェアの更新データが少なくとも１つある場合は（ステップＳ１００４、はい）、ステップＳ１００５に処理が進み、ソフトウェアの更新データが全くない場合は（ステップＳ１００４、いいえ）、本ソフトウェア更新制御処理が終了する。

（ステップＳ１００５）
制御部３９は、更新データのダウンロードを行う。より詳細には、通信部３８がセンタ１０に配信パッケージのダウンロード要求を送信し、通信部３８がダウンロード要求に応答してセンタ１０から送信される配信パッケージを受信する。通信部３８は、受信した配信パッケージを記憶部３７に格納する。更新データのダウンロードが行われると、ステップＳ１００６に処理が進む。

（ステップＳ１００６）
制御部３９は、ターゲット電子制御ユニットに対してインストール処理を実行する。より詳細には、制御部３９は、ターゲット電子制御ユニットに配信パッケージに含まれる更新データを転送し、インストールを指示する。ターゲット電子制御ユニットは、ＯＴＡマスタ３０から受信した更新データをデータ格納領域に書き込む。インストール処理が実行されると、ステップＳ１００７に処理が進む。

（ステップＳ１００７）
制御部３９は、ターゲット電子制御ユニットに対してアクティベート処理を実行する。より詳細には、制御部３９は、更新データをデータ格納領域に書き込んだターゲット電子制御ユニットに対して、更新版のソフトウェアのアクティベートを指示する。ターゲット電子制御ユニットは、電源ＯＦＦなどの特定の入力操作が行われたことを契機として、再起動し、更新後のソフトウェアを実行する。アクティベート処理が実行されると、本ソフトウェア更新制御処理が終了する。

（ステップＳ１００８）
出力部４０は、通信部３８がセンタ１０から受信したエラー通知に基づいて、表示装置７０に対してエラー表示を行うための指示を出力する。エラー表示の指示がされると、本ソフトウェア更新制御処理が終了する。

＜効果＞
以上のように、本開示の一実施形態に係るネットワークシステムによれば、センタ１０は、車両（ＯＴＡマスタ３０）から受信する電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンが、自身が記憶及び管理する電子制御ユニット５０ａ～５０ｄのソフトウェアの更新履歴情報における最終更新時のバージョンと一致しない場合、車両にエラー通知を送信する。この通知により、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変更された場合でも、車両においてＯＴＡ以外でバージョン変更が生じたことを認識することができる。また、エラー通知に基づいて表示装置７０などにエラー表示を行うことによって、ＯＴＡによるソフトウェア更新ができないことをユーザーなどに報知することができる。

また、センタ１０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンが更新履歴情報における最終更新時のバージョンと一致しない場合は、ＯＴＡによる更新データ配信を無効化する。これにより、不正なソフトウェアを有する電子制御ユニットに更新データを配信してしまうことを抑制できる。

また、センタ１０では、電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンが更新履歴情報における最終更新時のバージョンと一致しないことが正当な理由で生じた場合には、ユーザーなどの指示によってＯＴＡによる更新データ配信の無効化を解除することができるので、ユーザーの利便性を必要以上に損なうことがなくなる。

また、センタ１０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの現在のバージョンが更新履歴情報における最終更新時のバージョンと一致しない場合、センタ１０とは異なる別のセンタ（第２のセンタ）又はディーラーや予め登録されたユーザーなどが所有する通信端末に、電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョン変更の有無を問い合わせる。これにより、不正なソフトウェアの書き換えによってソフトウェアのバージョンが変わったか否かを確認することができる。

なお、上述したエラー通知、ＯＴＡによる更新データ配信の無効化、及びユーザーなどへの問い合わせを行う順序は、実施形態に限定されるものではなく任意に設定することが可能である。

以上、本開示技術の一実施形態を説明したが、本開示は、センタだけでなく、プロセッサとメモリと記憶装置とを備えたセンタが実行する配信制御方法、配信制御プログラム、あるいは配信制御プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体など、として捉えることが可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０ センタ
１１、３１ ＣＰＵ
１２、３２ ＲＡＭ
１３、３４ 記憶装置
１４、３６ 通信装置
１５、３７ 記憶部
１６、３８ 通信部
１７、３９ 制御部
１８ 判定部
１９ 問い合わせ部
２０ 受付部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
４０ 出力部
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
１００ ネットワーク

Claims (8)

1. 車両と通信可能なセンタであって、
   前記車両に搭載された電子制御ユニットのソフトウェアの更新履歴を記憶する記憶部と、
   前記車両から前記電子制御ユニットのソフトウェアの現在のバージョンを受信する受信部と、
   前記更新履歴に基づいて、前記受信部が受信した前記現在のバージョンが前記更新履歴に記録された最終更新時のバージョンと一致するか否かを判定する判定部と、
   前記受信部が受信した前記現在のバージョンが前記最終更新時のバージョンと一致しないと前記判定部が判定した場合、前記車両にエラー通知を送信する送信部と、を備える、センタ。
2. 前記受信部が受信した前記現在のバージョンが前記最終更新時のバージョンと一致しないと前記判定部が判定した場合、前記車両に対する更新データ配信を無効化する制御部をさらに備える、請求項１に記載のセンタ。
3. 前記受信部が受信した前記現在のバージョンが前記最終更新時のバージョンと一致しないと前記判定部が判定した場合、前記センタとは異なる第２のセンタ又は端末に、前記電子制御ユニットのソフトウェアのバージョン変更の有無を問い合わせる問い合わせ部をさらに備える、請求項２に記載のセンタ。
4. 前記制御部は、前記問い合わせ部が前記第２のセンタ又は前記端末から前記電子制御ユニットのソフトウェアのバージョン変更がなかった旨の通知を受けた場合、前記車両に対する更新データ配信を無効化する、請求項３に記載のセンタ。
5. 前記制御部は、前記受信部が受信した前記現在のバージョンが不具合を含むものである場合は、前記車両に対する更新データ配信を無効化せずに前記不具合を解消させるための更新データを配信する、請求項２に記載のセンタ。
6. 前記更新データ配信の無効化を解除する指示を受け付ける受付部をさらに備え、
   前記制御部は、前記受付部が前記指示を受け付けた場合、前記車両に対する前記更新データ配信を有効化する、請求項２乃至４のいずれか１項に記載のセンタ。
7. プロセッサと、メモリと、記憶装置とを備え、車両と通信可能なセンタのコンピューターが実行する、ソフトウェアの更新データの配信制御方法であって、
   前記車両に搭載された電子制御ユニットのソフトウェアの更新履歴を記憶するステップと、
   前記車両から前記電子制御ユニットのソフトウェアの現在のバージョンを受信するステップと、
   前記更新履歴に基づいて、前記現在のバージョンが前記更新履歴に記録された最終更新時のバージョンと一致するか否かを判定するステップと、
   前記現在のバージョンが前記最終更新時のバージョンと一致しないと判定された場合、前記車両にエラー通知を送信するステップとを含む、配信制御方法。
8. プロセッサと、メモリと、記憶装置とを備え、車両と通信可能なセンタのコンピューターが実行する、ソフトウェアの更新データの配信制御プログラムであって、
   前記車両に搭載された電子制御ユニットのソフトウェアの更新履歴を記憶するステップと、
   前記車両から前記電子制御ユニットのソフトウェアの現在のバージョンを受信するステップと、
   前記更新履歴に基づいて、前記現在のバージョンが前記更新履歴に記録された最終更新時のバージョンと一致するか否かを判定するステップと、
   前記現在のバージョンが前記最終更新時のバージョンと一致しないと判定された場合、前記車両にエラー通知を送信するステップとを含む、配信制御プログラム。

Images