JP2022168470A - センタ、ｏｔａマスタ、システム、配信方法、配信プログラム、及び車両 - Google Patents

Abstract

【課題】車両側のソフトウェアの更新を制御する機器の負担を軽減して、電子制御ユニットのソフトウェアの更新処理を好適に実行することができる、センタ及びＯＴＡマスタなどを提供する。【解決手段】車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタに、ソフトウェアの更新データを配信するセンタであって、ソフトウェアの更新データと、ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、ＯＴＡマスタに送信する通信部を備える。【選択図】図１

Description

本開示は、電子制御ユニットのソフトウェアの更新を制御するセンタ及びＯＴＡマスタなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットにインストールすることにより、電子制御ユニットのソフトウェアの更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

特開２００４－３２６６８９号公報

車両には、他の電子制御ユニットからの影響を受けることなくソフトウェアの更新処理を単独で実行できるものや、他の電子制御ユニットと連携しながらソフトウェアの更新処理を進めていくものなど、様々な仕様の電子制御ユニットが搭載されている。このような電子制御ユニットによる様々な仕様を車両側が全て判断してソフトウェアの更新処理を実行させる場合、車両側のソフトウェアの更新を制御する機器（ＯＴＡマスタ）の負担が大きくなり、ソフトウェアの更新処理に時間がかかる又は更新中に制限される機能が増加するなど、ソフトウェアの更新処理を好適に実行できないおそれがあった。

本開示は、上記課題を鑑みてなされたものであり、車両側のソフトウェアの更新を制御する機器の負担を軽減して、電子制御ユニットのソフトウェアの更新処理を好適に実行することができる、センタ及びＯＴＡマスタなどを提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタに、ソフトウェアの更新データを配信するセンタであって、ソフトウェアの更新データと、ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、ＯＴＡマスタに送信する通信部を備える、センタである。

本開示によれば、車両側のソフトウェアの更新を制御する機器の負担を軽減して、電子制御ユニットのソフトウェアの更新処理を好適に実行することができる、センタ及びＯＴＡマスタなどを提供できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 電子制御ユニットの概略構成の一例を示すブロック図 電子制御ユニットの概略構成の一例を示すブロック図 種別情報の一例を示す図 センタ及びＯＴＡマスタが行うダウンロード処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例１によるインストール及びアクティベートの処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例１によるインストール及びアクティベートの処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例２によるインストール及びアクティベートの処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例２によるインストール及びアクティベートの処理手順のフローチャート

本開示の電子制御ユニットのソフトウェアを更新するためのネットワークシステムでは、センタは、ソフトウェアの更新データと、ソフトウェア更新処理の手順を定義した更新シーケンスに関する情報とを、ＯＴＡマスタに送信する。そして、ＯＴＡマスタは、センタから受信したソフトウェアの更新データと更新シーケンスに関する情報とに基づいて、電子制御ユニットのソフトウェアの更新を制御する。これにより、ＯＴＡマスタの負担を軽減して、電子制御ユニットのソフトウェア更新処理を好適に実行することができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システム構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、を備える。

（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７及び制御部１８は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、ＯＴＡマスタ３０に対して制御の指示を行うための、ソフトウェア更新処理の手順を示した更新シーケンスに関する情報を記憶する。この更新シーケンスに関する情報は、更新対象となる電子制御ユニットの更新データ（更新ソフトウェア）の検証、インストールの実行、及びアクティベートの実行を少なくとも含むソフトウェア更新処理の手順を、それぞれ定義した情報である。ソフトウェア更新処理の手順は、複数の電子制御ユニット５０ａ～５０ｄについて各電子制御ユニット（のソフトウェア）ごとに定義されてもよいし、後述する電子制御ユニット５０ａ～５０ｄの不揮発性メモリの種別ごとに定義されていてもよい。この更新シーケンスに関する情報は、好適には、電子制御ユニットを識別するための固有の番号であるＥＣＵ＿ＩＤと関連付けて記憶部１６に記憶される。

通信部１７は、ＯＴＡマスタ３０との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると、後述する制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新シーケンスに関する情報を含む配信パッケージを、ＯＴＡマスタ３０に送信する。なお、本実施形態では、ソフトウェアの更新データと更新シーケンスに関する情報とを１つの配信パッケージに含める例を説明するが、更新シーケンスに関する情報は、ソフトウェアの更新データの配信パッケージとは別個の配信パッケージで送信されてもよいし、この別個の配信パッケージがソフトウェア更新処理中における別のタイミングで（例えば、更新データの有無を示す情報と共に）送信されたりしてもよい。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当の更新データ及び更新シーケンスに関する情報を含む配信パッケージを生成する。

（２）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、センタ１０から取得した更新データ及び更新シーケンスに関する情報などに基づいて、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０のそれぞれと通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データ及び更新シーケンスに関する情報などを記憶する。また、記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報（後述する）を記憶する。

通信部３８は、センタ１０との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する（受信部）。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データ及び更新シーケンスに関する情報などを含む配信パッケージのダウンロード要求をセンタ１０に送信し（送信部）、センタ１０から送信される配信パッケージを受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する（送信部）。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から受信（ダウンロード）して記憶部３７に格納した配信パッケージの真正性を検証する。また、制御部３９は、センタ１０から受信（ダウンロード）した更新データを用い、更新シーケンスに関する情報に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理（各種の検証、インストール、アクティベートなど）を制御する。具体的には、制御部３９は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。このソフトウェア更新処理の際、制御部３９は、更新シーケンスに関する情報に基づいて、複数の電子制御ユニット５０ａ～５０ｄにおける各種の検証、インストール、アクティベートなどの手順を好適に制御する。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、車載ネットワーク９０が４つの電子制御ユニット５０ａ～５０ｄを備えている例を示したが、電子制御ユニットの個数は特に限定されない。また、電子制御ユニット５０ａ～５０ｄをＯＴＡマスタ３０に接続するバスの本数も特に限定されない。電子制御ユニット５０ａ～５０ｄの概略構成の一例を、図６Ａ及び図６Ｂに示す。

図６Ａに示す電子制御ユニット５０ａは、ＣＰＵ５１と、ＲＡＭ５２と、不揮発性メモリ５３ａと、通信装置５４と、を備える。ＣＰＵ５１は、不揮発性メモリ５３ａから読み出したプログラムを、ＲＡＭ５２を作業領域として用いて実行することにより、電子制御ユニット５０ａの機能を実現する。不揮発性メモリ５３ａは、ソフトウェアなどのデータを格納するための１つの格納領域５５を有するメモリ（以下「シングルバンクメモリ」という）である。本実施形態においては、シングルバンクメモリである不揮発性メモリ５３ａのメモリ種別を「第１種別」と記して他と区別することがある。格納領域５５には、電子制御ユニット５０ａの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラムなどが格納される場合がある。通信装置５４は、ＯＴＡマスタ３０や車載ネットワーク９０に接続される他の電子制御ユニット５０ｂ～５０ｄとの通信を行うための装置である。

図６Ｂに示す電子制御ユニット５０ｂは、電子制御ユニット５０ａと同様に、ＣＰＵ５１と、ＲＡＭ５２と、不揮発性メモリ５３ｂと、通信装置５４と、を備える。ただし、電子制御ユニット５０ｂに搭載される不揮発性メモリ５３ｂは、ソフトウェアなどのデータを格納するための２つの格納領域５６ａ及び５６ｂを有するメモリ（以下「デュアルバンクメモリ」という）である。本実施形態においては、デュアルバンクメモリである不揮発性メモリ５３ｂのメモリ種別を「第２種別」と記して他と区別することがある。格納領域５６ａ及び５６ｂには、電子制御ユニット５０ｂの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラムなどが格納される場合がある。電子制御ユニット５０ｂのＣＰＵ５１は、不揮発性メモリ５３ｂが有する２つの格納領域５６ａ及び５６ｂのうち、いずれか一方を読み出し対象の格納領域（運用面）とし、読み出し対象の格納領域に格納されるソフトウェアを実行する。読み出し対象でない他方の格納領域（非運用面）には、読み出し対象の格納領域（運用面）のプログラムを実行中に、バックグラウンドで更新データに基づく更新ソフトウェア（更新版のプログラム）のインストール（書き込み）が可能である。ソフトウェア更新処理におけるアクティベート（更新ソフトウェアの有効化）時には、電子制御ユニット５０ｂのＣＰＵ５１によってプログラムの読み出し対象の格納領域を切り替えることにより、更新ソフトウェアをアクティベートすることができる。

具体例として、デュアルバンクメモリである不揮発性メモリ５３ｂの格納領域５６ａに現行のソフトウェアが格納されており、格納領域５６ｂに更新ソフトウェアがインストールされた場合を想定する。ＯＴＡマスタ３０から更新ソフトウェアのアクティベートが指示されると、例えば電子制御ユニット５０ｂは、ＣＰＵ５１の読み出し開始アドレスを、格納領域５６ａの先頭アドレスから格納領域５６ｂの先頭アドレスに切り替えることにより、このＣＰＵ５１の読み出し対象（運用面）の格納領域を切り替え、格納領域５６ｂにインストールされた更新ソフトウェアを実行することができる。なお、本開示においては、１つの格納領域を擬似的に２面に区画して、一方の面に格納されたプログラムを実行中に他方の面にプログラムの書き込みを可能にした「１面サスペンドメモリ」と呼ばれる不揮発性メモリの構成も、第２種別のメモリに分類されるものとする。

図７に、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報である種別情報の一例を示す。図７に例示した種別情報では、電子制御ユニットを識別するための番号であるＥＣＵ＿ＩＤと、その電子制御ユニットに搭載される不揮発性メモリの種別（第１種別（シングルバンク）／第２種別（デュアルバンク））とが、対応付けられている。この種別情報は、ＯＴＡマスタ３０の記憶部３７及びセンタ１０の記憶部１６の一方又は両方に記憶されて管理される。種別情報は、車載ネットワーク９０を構成する電子制御ユニット５０ａ～５０ｄの仕様に基づいて予め作成され、車両の製造時などに記憶部３７に格納されてもよいし、ソフトウェアの更新処理時にターゲット電子制御ユニットから車載ネットワーク９０内の通信によって取得されてもよい。また、種別情報がセンタ１０で管理されている場合には、ＯＴＡマスタ３０がネットワーク１００を介してセンタ１０から種別情報を取得してもよい。

表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果の表示など、各種の表示を行うために用いられるヒューマンマシンインタフェース（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、ソフトウェアの更新処理時に必要な情報を表示可能なものであれば特に限定されない。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットなどがさらに接続されていてもよい。

通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０をセンタ１０に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知をＯＴＡマスタ３０に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、更新データ及び更新シーケンスに関する情報（各種の検証、インストール、アクティベートなどの順序）を含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データ及び更新シーケンスに関する情報の他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、センタ１０から受信した更新確認要求に対する応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージに含まれる更新シーケンスに関する情報に基づいて、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、配信パッケージに含まれる更新シーケンスに関する情報に基づいて、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。

また、ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた表示装置７０や、音声による通知を行う音声出力装置（図示せず）などを利用できる。例えば、承諾要求処理において、表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面を表示装置７０に表示させたり、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置７０に表示させたり、することができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置７０に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置７０に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、ターゲット電子制御ユニットの不揮発性メモリが、シングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、センタ１０から指示される更新シーケンスに関する情報によっては、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを保留（待機）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、デュアルバンクメモリである場合は、少なくとも、インストールの実行後、かつ、アクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェア更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データ及び更新シーケンスに関する情報をダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０が更新シーケンスに関する情報に基づいてターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットが更新シーケンスに関する情報に基づいてインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶部３７に記憶する処理である。ダウンロードによる更新データの受信については、更新を失敗する確率が比較的低い第２種別の不揮発性メモリ（デュアルバンクメモリ）を搭載した電子制御ユニットに向けた更新データを優先して受信するようにしてもよいし、第１種別の不揮発性メモリ（シングルバンクメモリ）を搭載した電子制御ユニットに向けた更新データと第２種別の不揮発性メモリ（デュアルバンクメモリ）を搭載した電子制御ユニットに向けた更新データとを優劣なく受信するようにしてもよい。ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一の電子制御ユニット又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データと更新シーケンスに関する情報とに基づいて、複数のターゲット電子制御ユニットの不揮発性メモリ５３ａ及び／又は５３ｂに更新ソフトウェア（更新版のプログラム）を定められた順序で書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、センタ１０から取得した更新シーケンスに関する情報に基づいたＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、不揮発性メモリ５３ａ及び／又は５３ｂにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、センタ１０から取得した更新シーケンスに関する情報に基づいたＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図８、図９Ａ、図９Ｂ、図１０Ａ、及び図１０Ｂをさらに参照して、本実施形態に係るネットワークシステムにおいて実行されるソフトウェア更新処理に関する具体例をいくつか説明する。

（１）ダウンロードの具体例
図８は、センタ１０及びＯＴＡマスタ３０が行うダウンロードの具体例による処理手順を説明するフローチャートである。図８に例示するダウンロードは、センタ１０が、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信することによって、開始される。

（ステップＳ８０１）
センタ１０は、ソフトウェアの更新対象となるターゲット電子制御ユニット（以下「ターゲットＥＣＵ」という）の更新シーケンスに関する情報を取得する。この取得については、センタ１０が車両メーカー（ＯＥＭ）から更新シーケンスに関する情報が提供されることによって行われてもよいし、センタ１０がＯＥＭや車両から与えられる各種の情報に基づいて更新シーケンスに関する情報を自ら生成することによって行われてもよい。更新シーケンスに関する情報が取得されると、ステップＳ８０２に処理が進む。

（ステップＳ８０２）
センタ１０は、ターゲットＥＣＵの更新データ及び更新シーケンスに関する情報などを含む配信パッケージを生成する。ターゲットＥＣＵの更新データは、ＯＥＭなどから予め提供される。配信パッケージが生成されると、ステップＳ８０２に処理が進む。

（ステップＳ８０３）
センタ１０は、生成した配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージが送信されると、ステップＳ８０４に処理が進む。

（ステップＳ８０４）
ＯＴＡマスタ３０は、センタ１０から受信した配信パッケージに含まれる更新データなどを、記憶部３７に記憶する。これにより、ダウンロード処理が終了する。

上記配信処理の具体例では、センタ１０が、ターゲットＥＣＵの更新データと更新シーケンスに関する情報とを含んだ配信パッケージをＯＴＡマスタ３０に送信する。この処理により、ＯＴＡマスタ３０は、センタ１０から与えられる更新シーケンスに関する情報によって定義されたソフトウェア更新処理の手順に従って、各ターゲットＥＣＵの更新処理を実施することができる。更新シーケンスに関する情報では、例えば、各ターゲットＥＣＵに対してそれぞれに適した更新手順を個別に指示することも可能であるし、協調的な動作が必要な複数のターゲットＥＣＵについてＥＣＵ相互間での更新手順を指示することも可能である。よって、ＯＴＡマスタ３０は、複数のターゲットＥＣＵの機能や関連性などを自ら把握・管理することなく、更新シーケンスに関する情報に基づいてターゲットＥＣＵに好適な更新処理を容易に実施することができるので、ＯＴＡマスタ３０の処理負担が軽減される。

なお、更新シーケンスに関する情報として、毎回全てのターゲットＥＣＵのソフトウェア更新処理の手順がＯＴＡマスタ３０に送信されなくてもよい。例えば、ソフトウェア更新処理が他のターゲットＥＣＵからの影響を受けることなく常に同じであるターゲットＥＣＵについては、初回の配信パッケージ生成時のみに更新シーケンスに関する情報に含めて定義することができる。ＯＴＡマスタ３０は、初回の配信パッケージで送信される更新シーケンスに関する情報の一部又は全部を記憶部３７に記憶しておき、次回のソフトウェア更新処理時に必要な情報を記憶部３７から読み出して利用すればよい。

（２）インストール及びアクティベートの具体例１
図９Ａ及び図９Ｂは、ＯＴＡマスタ３０及びターゲットＥＣＵが行う具体例１によるインストール及びアクティベートの処理手順を説明するフローチャートである。図９Ａの処理と図９Ｂの処理とは、結合子Ｘで結ばれる。

図９Ａ及び図９Ｂに示す具体例１では、ＯＴＡマスタ３０がセンタ１０から受信する更新シーケンスに関する情報として、第２種別の不揮発性メモリ（デュアルバンクメモリ）を搭載したターゲットＥＣＵ（以下「第２種別のターゲットＥＣＵ」という）における更新ソフトウェアのインストールを、第１種別の不揮発性メモリ（シングルバンクメモリ）を搭載したターゲットＥＣＵ（以下「第１種別のターゲットＥＣＵ」という）における更新ソフトウェアのインストールよりも優先させる内容が定義されている例を説明する。

この具体例１の更新シーケンスに関する情報としては、第１種別のターゲットＥＣＵに向けたソフトウェア更新処理の手順「更新データ検証→保留→インストール→アクティベート」、及び第２種別のターゲットＥＣＵに向けたソフトウェア更新処理の手順「更新データ検証→インストール→保留→アクティベート」を、例示できる。また、更新シーケンスに関する情報は、第１種別のターゲットＥＣＵ及び第２種別のターゲットＥＣＵそれぞれのソフトウェア更新処理の手順を定義する以外にも、例えば「各更新データ検証→第２種別のターゲットＥＣＵのインストール→第１種別のターゲットＥＣＵのインストール→第１種別のターゲットＥＣＵのアクティベート→第２種別のターゲットＥＣＵのアクティベート」のように複数のターゲットＥＣＵ間の相対的な処理の優先順位を指示する情報であってもよい。

この具体例１の処理は、ＯＴＡマスタ３０によるターゲットＥＣＵの更新データ及び更新シーケンスに関する情報を含む配信パッケージのダウンロードが完了した後、かつ、所定の条件（インストール実行可、更新データの検証ＯＫなど）が満足されることによって開始される。

（ステップＳ９０１）
ＯＴＡマスタ３０は、配信パッケージに含まれる更新シーケンスに関する情報、及びターゲットＥＣＵに搭載される不揮発性メモリの種別（第１種別／第２種別）を取得する。このメモリ種別は、ＯＴＡマスタ３０が管理している場合には記憶部３７に記憶されている種別情報（図７）を参照することによって取得することができ、センタ１０が管理している場合には配信パッケージに含めて送信されてきたメモリ種別の情報を参照することによって取得することができる。更新シーケンスに関する情報及びターゲットＥＣＵのメモリ種別が取得されると、ステップＳ９０２に処理が進む。

（ステップＳ９０２）
ＯＴＡマスタ３０及び第２種別のターゲットＥＣＵは、更新データと更新シーケンスに関する情報とに基づいて、第２種別のターゲットＥＣＵの不揮発性メモリの格納領域に更新ソフトウェアを書き込む処理であるインストールを開始する。本具体例１の更新シーケンスに関する情報では、第１種別のターゲットＥＣＵについて「更新データ検証→保留」の手順が、第２種別のターゲットＥＣＵについて「更新データ検証→インストール」の手順が、それぞれ定義されている。この手順に従って、各更新データの検証が行われた後、第２種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが、第１種別のターゲットＥＣＵにおける更新ソフトウェアのインストールよりも優先して開始されることとなる。このインストールの開始は、第２種別のターゲットＥＣＵの全てについて、一斉に又は所定の順序で行われる。第２種別のターゲットＥＣＵに対するインストールが開始されると、ステップＳ９０３に処理が進む。

（ステップＳ９０３）
ＯＴＡマスタ３０は、第２種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが完了したか否かを判断する。インストールの完了は、全ての第２種別のターゲットＥＣＵについて判断されてもよいし、予め定められた一部の第２種別のターゲットＥＣＵのみについて判断されてもよい。ＯＴＡマスタ３０は、インストールの完了を、第２種別のターゲットＥＣＵからの完了通知があったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、各々のインストールに要する最大の時間以上に設定することができる。第２種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが完了したと判断されると（ステップＳ９０３、はい）、ステップＳ９０４に処理が進む。

（ステップＳ９０４）
ＯＴＡマスタ３０及び第１種別のターゲットＥＣＵは、更新データと更新シーケンスに関する情報とに基づいて、第１種別のターゲットＥＣＵの不揮発性メモリの格納領域に更新ソフトウェアを書き込む処理であるインストールを開始する。一方、ＯＴＡマスタ３０及び第２種別のターゲットＥＣＵは、更新シーケンスに関する情報に基づいて、第２種別のターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを保留する。本具体例１における更新シーケンスに関する情報では、第１種別のターゲットＥＣＵについて「保留→インストール」の手順が、第２種別のターゲットＥＣＵについて「インストール→保留」の手順が、それぞれ定義されている。この手順に従って、第２種別のターゲットＥＣＵにおける更新ソフトウェアのインストール後、第１種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが、第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートよりも先に開始されることとなる。このインストールの開始は、第１種別のターゲットＥＣＵの全てについて、一斉に又は所定の順序で行われる。第１種別のターゲットＥＣＵに対するインストールが開始されると、ステップＳ９０５に処理が進む。

（ステップＳ９０５）
ＯＴＡマスタ３０は、第１種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが完了したか否かを判断する。インストールの完了は、全ての第１種別のターゲットＥＣＵについて判断される。ＯＴＡマスタ３０は、インストールの完了を、第１種別のターゲットＥＣＵからの完了通知があったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、各々のインストールに要する最大の時間以上に設定することができる。第１種別のターゲットＥＣＵにおける更新ソフトウェアのインストールが完了したと判断されると（ステップＳ９０５、はい）、ステップＳ９０６に処理が進む。

（ステップＳ９０６）
ＯＴＡマスタ３０及び第１種別のターゲットＥＣＵは、第１種別のターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを開始する。本具体例１の更新シーケンスに関する情報では、第１種別のターゲットＥＣＵについて「インストール→アクティベート」の手順が、第２種別のターゲットＥＣＵについて「保留→アクティベート」の手順が、それぞれ定義されている。この手順に従って、第１種別のターゲットＥＣＵにおける更新ソフトウェアのインストール後、第１種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが、第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートよりも先に開始される。このアクティベートの開始は、第１種別のターゲットＥＣＵの全てについて、一斉に又は所定の順序で行われる。第１種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが開始されると、ステップＳ９０７に処理が進む。

（ステップＳ９０７）
ＯＴＡマスタ３０は、第１種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが完了したか否かを判断する。アクティベートの完了は、全ての第１種別のターゲットＥＣＵについて判断される。ＯＴＡマスタ３０は、アクティベートの完了を、第１種別のターゲットＥＣＵからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、各々のアクティベートに要する最大の時間以上に設定することができる。第１種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが完了したと判断されると（ステップＳ９０７、はい）、ステップＳ９０８に処理が進む。

（ステップＳ９０８）
ＯＴＡマスタ３０及び第２種別のターゲットＥＣＵは、第２種別のターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを開始する。本具体例１の更新シーケンスに関する情報では、第２種別のターゲットＥＣＵについて「保留→アクティベート」の手順が定義されている。この手順に従って、第１種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベート後、第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが開始される。このアクティベートの開始は、第２種別のターゲットＥＣＵの全てについて、一斉に又は所定の順序で行われる。第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが開始されると、ステップＳ９０９に処理が進む。

（ステップＳ９０９）
ＯＴＡマスタ３０は、第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが完了したか否かを判断する。アクティベートの完了は、全ての第２種別のターゲットＥＣＵについて判断される。ＯＴＡマスタ３０は、アクティベートの完了を、第２種別のターゲットＥＣＵからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、各々のアクティベートに要する最大の時間以上に設定することができる。第２種別のターゲットＥＣＵにおける更新ソフトウェアのアクティベートが完了したと判断されると（ステップＳ９０９、はい）、全てのターゲット電子制御ユニットに対するインストール及びアクティベートが完了し、本処理が終了する。

上記具体例１では、第１種別のターゲットＥＣＵと第２種別のターゲットＥＣＵとが、相手のターゲットＥＣＵのソフトウェア更新状況に応じてインストール及びアクティベートの処理を各々進めていく。この処理によって、例えば、更新中に停止制御が不要な第２種別のターゲットＥＣＵに対するインストールを最初に開始し、第２種別のターゲットＥＣＵのインストール完了を判断した後に、更新中に停止制御が必要な第１種別のターゲットＥＣＵに対するインストールを開始することなどが可能となる。従って、ＯＴＡマスタ３０は、センタ１０から指示される更新シーケンスに関する情報に基づいて、車載ネットワーク９０内での通信負荷を低減して全ての更新ソフトウェアの書き込み完了までに車両の制御を停止させなければならない時間を短縮するなど、各ターゲットＥＣＵに好適なソフトウェア更新処理を容易に実施することができる。

（３）インストール及びアクティベートの具体例２
図１０Ａ及び図１０Ｂは、ＯＴＡマスタ３０及びターゲットＥＣＵが行う具体例２によるインストール及びアクティベートの処理手順を説明するフローチャートである。図１０Ａの処理と図１０Ｂの処理とは、結合子Ｙで結ばれる。

図１０Ａ及び図１０Ｂに示す具体例２では、ＯＴＡマスタ３０がセンタ１０から受信する更新シーケンスに関する情報として、複数のターゲットＥＣＵ（－Ａ、－Ｂ、－Ｃ）について、不揮発性メモリの種別に関わらずターゲットＥＣＵごとに好適なソフトウェア更新処理の手順が定義されている例を説明する。

この具体例２の更新シーケンスに関する情報としては、ターゲットＥＣＵ－Ａに向けたソフトウェア更新処理の手順「更新データ検証→インストール→アクティベート」、ターゲットＥＣＵ－Ｂに向けたソフトウェア更新処理の手順「更新データ検証→インストール→保留→アクティベート」、及びターゲットＥＣＵ－Ｃに向けたソフトウェア更新処理の手順「更新データ検証→保留→インストール→アクティベート」を、例示できる。また、更新シーケンスに関する情報は、複数のターゲットＥＣＵ（－Ａ、－Ｂ、－Ｃ）それぞれのソフトウェア更新処理の手順を定義する以外にも、例えば「各更新データ検証→ターゲットＥＣＵ－Ａ＆Ｂのインストール→ターゲットＥＣＵ－Ａのアクティベート＆ターゲットＥＣＵ－Ｃのインストール→ターゲットＥＣＵ－Ｃのアクティベート→ターゲットＥＣＵ－Ｂのアクティベート」のように複数のターゲットＥＣＵ間の相対的な処理の優先順位を指示する情報であってもよい。

この具体例２の処理は、ＯＴＡマスタ３０によるターゲットＥＣＵの更新データ及び更新シーケンスに関する情報を含む配信パッケージのダウンロードが完了した後、かつ、所定の条件（インストール実行可、更新データの検証ＯＫなど）が満足されることによって開始される。

（ステップＳ１００１）
ＯＴＡマスタ３０は、配信パッケージから更新シーケンスに関する情報を取得する。更新シーケンスに関する情報が取得されると、ステップＳ１００２に処理が進む。

（ステップＳ１００２）
ＯＴＡマスタ３０、ターゲットＥＣＵ－Ａ、及びターゲットＥＣＵ－Ｂは、更新データと更新シーケンスに関する情報とに基づいて、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂの各不揮発性メモリの格納領域に更新ソフトウェアを書き込む処理であるインストールを開始する。本具体例２の更新シーケンスに関する情報では、ターゲットＥＣＵ－Ａについて「更新データ検証→インストール」の手順が、ターゲットＥＣＵ－Ｂについて「更新データ検証→インストール」の手順が、ターゲットＥＣＵ－Ｂについて「更新データ検証→保留」の手順が、それぞれ定義されている。この手順に従って、各更新データの検証が行われた後、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂにおける更新ソフトウェアのインストールが、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのインストールよりも優先して開始されることとなる。このインストールの開始は、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂについて一斉に又は所定の順序で行われる。ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂに対するインストールが開始されると、ステップＳ１００３に処理が進む。

（ステップＳ１００３）
ＯＴＡマスタ３０は、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂにおける更新ソフトウェアのインストールが完了したか否かを判断する。ＯＴＡマスタ３０は、インストールの完了を、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂからの完了通知がそれぞれあったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、各々のインストールに要する最大の時間以上に設定することができる。ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂにおける更新ソフトウェアのインストールが完了したと判断されると（ステップＳ１００３、はい）、ステップＳ１００４に処理が進む。

（ステップＳ１００４）
ＯＴＡマスタ３０及びターゲットＥＣＵ－Ａは、更新データと更新シーケンスに関する情報とに基づいて、ターゲットＥＣＵ－Ａの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを開始する。また、ＯＴＡマスタ３０及びターゲットＥＣＵ－Ｃは、更新データと更新シーケンスに関する情報とに基づいて、ターゲットＥＣＵ－Ｃの不揮発性メモリの格納領域に更新ソフトウェアを書き込む処理であるインストールを開始する。一方、ＯＴＡマスタ３０及びターゲットＥＣＵ－Ｂは、更新シーケンスに関する情報に基づいて、ターゲットＥＣＵ－Ｂの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを保留する。本具体例２における更新シーケンスに関する情報では、ターゲットＥＣＵ－Ａについて「インストール→アクティベート」の手順が、ターゲットＥＣＵ－Ｂについて「インストール→保留」の手順が、ターゲットＥＣＵ－Ｃについて「保留→インストール」の手順が、それぞれ定義されている。この手順に従って、ターゲットＥＣＵ－Ａ及びターゲットＥＣＵ－Ｂにおける更新ソフトウェアのインストール後、ターゲットＥＣＵ－Ａにおける更新ソフトウェアのアクティベート及びターゲットＥＣＵ－Ｃにおける更新ソフトウェアのインストールが、ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートよりも先に開始されることとなる。ターゲットＥＣＵ－Ａに対するアクティベート及びターゲットＥＣＵ－Ｃに対するインストールが開始されると、ステップＳ１００５に処理が進む。

（ステップＳ１００５）
ＯＴＡマスタ３０は、ターゲットＥＣＵ－Ａにおける更新ソフトウェアのアクティベートが完了したか否かを判断する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵ－Ａからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、このアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵ－Ａにおける更新ソフトウェアのアクティベートが完了したと判断されると（ステップＳ１００５、はい）、ステップＳ１００６に処理が進む。

（ステップＳ１００６）
ＯＴＡマスタ３０は、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのインストールが完了したか否かを判断する。ＯＴＡマスタ３０は、インストールの完了を、ターゲットＥＣＵ－Ｃからの完了通知があったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、このインストールに要する時間以上に設定することができる。ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのインストールが完了したと判断されると（ステップＳ１００６、はい）、ステップＳ１００７に処理が進む。

（ステップＳ１００７）
ＯＴＡマスタ３０及びターゲットＥＣＵ－Ｃは、ターゲットＥＣＵ－Ｃの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを開始する。本具体例２の更新シーケンスに関する情報では、ターゲットＥＣＵ－Ｃについて「インストール→アクティベート」の手順が、ターゲットＥＣＵ－Ｂについて「保留→アクティベート」の手順が、それぞれ定義されている。この手順に従って、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのインストール後、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのアクティベートが、ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートよりも先に開始される。ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのアクティベートが開始されると、ステップＳ１００８に処理が進む。

（ステップＳ１００８）
ＯＴＡマスタ３０は、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのアクティベートが完了したか否かを判断する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵ－Ｃからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えば、このアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのアクティベートが完了したと判断されると（ステップＳ１００８、はい）、ステップＳ１００９に処理が進む。

（ステップＳ１００９）
ＯＴＡマスタ３０及びターゲットＥＣＵ－Ｂは、ターゲットＥＣＵ－Ｂの不揮発性メモリの格納領域に書き込まれた更新ソフトウェアを有効化するアクティベートを開始する。本具体例２の更新シーケンスに関する情報では、ターゲットＥＣＵ－Ｂについて「保留→アクティベート」の手順が定義されている。この手順に従って、ターゲットＥＣＵ－Ｃにおける更新ソフトウェアのアクティベート後、ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートが開始される。ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートが開始されると、ステップＳ１０１０に処理が進む。

（ステップＳ１０１０）
ＯＴＡマスタ３０は、ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートが完了したか否かを判断する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵ－Ｂからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、このアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵ－Ｂにおける更新ソフトウェアのアクティベートが完了したと判断されると（ステップＳ１０１０、はい）、全てのターゲット電子制御ユニットに対するインストール及びアクティベートが完了し、本処理が終了する。

上記具体例２では、ターゲットＥＣＵ－Ａは、単独でソフトウェア更新処理を進めると共に、ターゲットＥＣＵ－ＢとターゲットＥＣＵ－Ｃとについては、相手のターゲットＥＣＵのソフトウェア更新状況に応じてインストール及びアクティベートの処理を進めていく。この処理によって、例えば、ターゲットＥＣＵ－Ａのソフトウェア更新処理と並行して、ターゲットＥＣＵ－Ｂの更新ソフトウェアのインストールを、ターゲットＥＣＵ－Ｃの更新ソフトウェアのインストールよりも優先して実行することなどが可能となる。従って、ＯＴＡマスタ３０は、センタ１０から提供（指示）される更新シーケンスに関する情報に基づいて、各ターゲットＥＣＵに好適なソフトウェア更新処理を容易に実施することができる。

なお、上記具体例２におけるターゲットＥＣＵ－Ａの更新ソフトウェアのインストール完了の判断（ステップＳ１００３）やアクティベート完了の判断（ステップＳ１００５）は、ターゲットＥＣＵ－Ｃの更新ソフトウェアのインストール完了の判断（ステップＳ１００６）の後に行ってもよいし、ターゲットＥＣＵ－Ｂの更新ソフトウェアのアクティベート完了の判断（ステップＳ１０１０）又はターゲットＥＣＵ－Ｃの更新ソフトウェアのアクティベート完了の判断（ステップＳ１００８）と共に行ってもよい。

また、上記具体例２では、更新シーケンスに関する情報として、不揮発性メモリの種別に関係なくターゲットＥＣＵごとに好適なソフトウェア更新処理の手順が定義されている例を説明したが、不揮発性メモリの種別に応じてターゲットＥＣＵごとに好適なソフトウェア更新処理の手順が定義されていてもよい。すなわち、センタ１０は、ターゲットＥＣＵの機能や性能などに加えてさらにターゲットＥＣＵに搭載される不揮発性メモリの種別情報に基づいて、そのターゲットＥＣＵに好適な更新シーケンスに関する情報を生成してもよい。この場合、例えば、センタ１０は、１つのターゲットＥＣＵについて、シングルバンクメモリ仕様であるときに適用するソフトウェア更新処理の手順と、デュアルバンクメモリ仕様であるときに適用するソフトウェア更新処理の手順との、２通りの情報を生成することができる。

＜作用・効果＞
以上のように、本開示の一実施形態に係るネットワークシステムによれば、センタは、ソフトウェアの更新データと、ソフトウェア更新処理の手順を定義した更新シーケンスに関する情報とを、ＯＴＡマスタに送信する。そして、ＯＴＡマスタは、センタから受信したソフトウェアの更新データと更新シーケンスに関する情報とに基づいて、電子制御ユニットのソフトウェアの更新を制御する。

この処理によって、センタは、ソフトウェアの更新データを車両へ配信すると共に、車両におけるターゲット電子制御ユニットのソフトウェア更新処理の進行をＯＴＡマスタに働きかけて能動的に制御することができる。一方、ＯＴＡマスタは、センタからの指示に基づいて受動的にターゲット電子制御ユニットのソフトウェア更新処理を進めるだけでよいため、ソフトウェア更新処理時において車両に搭載される全ての電子制御ユニットの仕様を把握しておく必要がなくなり、ソフトウェア更新処理の制御に関する負担を軽減できる。例えば、交換によってターゲット電子制御ユニットの不揮発性メモリが、シングルバンクメモリからデュアルバンクメモリに変更された場合、センタが更新シーケンスに関する情報をシングルバンクメモリ用からデュアルバンクメモリ用に切り替えてＯＴＡマスタに送信するだけで、ＯＴＡマスタは負担なくソフトウェア更新処理を実行させることができる。

以上、本開示技術の一実施形態を説明したが、本開示は、センタだけでなく、プロセッサとメモリを備えたセンタが実行する配信方法、配信プログラム、配信プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体、センタと通信可能なＯＴＡマスタ、センタとＯＴＡマスタとを備えるシステム、あるいはＯＴＡマスタを備えた車両など、として捉えることが可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０ センタ
１１、３１、５１ ＣＰＵ
１２、３２、５２ ＲＡＭ
１３、３４ 記憶装置
１４、３６、５４ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
５３ａ、５３ｂ 不揮発性メモリ
５５、５６ａ、５６ｂ 格納領域
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
１００ ネットワーク

Claims (15)

1. 車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタに、前記ソフトウェアの更新データを配信するセンタであって、
   前記ソフトウェアの更新データと、前記ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、前記ＯＴＡマスタに送信する通信部を備える、センタ。
2. 前記ソフトウェアの更新処理の手順は、前記更新データの検証、インストールの実行、及びアクティベートの実行を含む、請求項１に記載のセンタ。
3. 前記ソフトウェアの更新データは、１つの格納領域を有する第１種別の不揮発性メモリを搭載した前記電子制御ユニットに向けたソフトウェアの更新データと、２つの格納領域を有する第２種別の不揮発性メモリを搭載した前記電子制御ユニットに向けたソフトウェアの更新データと、を含み、
   前記更新シーケンスに関する情報は、前記第１種別の不揮発性メモリを搭載した前記電子制御ユニットの前記ソフトウェアの更新処理の手順と、前記第２種別の不揮発性メモリを搭載した前記電子制御ユニットの前記ソフトウェアの更新処理の手順と、を含む、請求項１又は２に記載のセンタ。
4. 前記更新シーケンスに関する情報において、前記第１種別の不揮発性メモリを搭載した前記電子制御ユニットの前記ソフトウェアの更新処理の手順と、前記第２種別の不揮発性メモリを搭載した前記電子制御ユニットの前記ソフトウェアの更新処理の手順とが、異なっている、請求項３に記載のセンタ。
5. 前記更新シーケンスに関する情報は、前記電子制御ユニットごとの前記ソフトウェアの更新処理の手順を含む、請求項１又は２に記載のセンタ。
6. 前記通信部は、前記ソフトウェアの更新データと前記更新シーケンスに関する情報とを含む配信パッケージを、前記ＯＴＡマスタに送信する、請求項１乃至５のいずれか１項に記載のセンタ。
7. 車両に搭載された電子制御ユニットに更新データを転送するＯＴＡマスタに、前記更新データを送信するセンタであって、
   前記更新データに基づく更新のシーケンスに関する情報を前記ＯＴＡマスタに送信する、センタ。
8. 前記更新データは、１つの格納領域を有する第１種別の不揮発性メモリを搭載した前記電子制御ユニットに向けた更新データと、２つの格納領域を有する第２種別の不揮発性メモリを搭載した前記電子制御ユニットに向けた更新データと、を含み、
   前記更新シーケンスに関する情報は、前記第１種別の不揮発性メモリを搭載した前記電子制御ユニットの更新シーケンスに関する情報と、前記第２種別の不揮発性メモリを搭載した前記電子制御ユニットの更新シーケンスに関する情報と、を含む、請求項７に記載のセンタ。
9. 前記更新シーケンスに関する情報は、前記更新データの検証、インストールの実行、及びアクティベートの実行の手順を含む、請求項７又は８に記載のセンタ。
10. 前記通信部は、前記更新データと前記更新シーケンスに関する情報とを含む配信パッケージを、前記ＯＴＡマスタに送信する、請求項７乃至９のいずれか１項に記載のセンタ。
11. 車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタであって、
    前記ソフトウェアの更新データと、前記ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、センタから受信する通信部と、
    前記ソフトウェアの更新データと前記更新シーケンスに関する情報とに基づいて、前記電子制御ユニットのソフトウェアの更新を制御する制御部と、を備える、ＯＴＡマスタ。
12. 車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタと、前記ＯＴＡマスタに前記ソフトウェアの更新データを配信するセンタと、を備えるシステムであって、
    前記センタは、前記ソフトウェアの更新データと、前記ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、前記ＯＴＡマスタに送信する第１通信部を備え、
    前記ＯＴＡマスタは、
    前記ソフトウェアの更新データと前記更新シーケンスに関する情報とを、前記センタから受信する第２通信部と、
    前記ソフトウェアの更新データと前記更新シーケンスに関する情報とに基づいて、前記電子制御ユニットのソフトウェア更新を制御する制御部と、を備える、システム。
13. プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタに前記ソフトウェアの更新データを配信するセンタが実行する配信方法であって、
    前記ソフトウェアの更新データと、前記ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、前記ＯＴＡマスタに送信する、配信方法。
14. プロセッサと、メモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するＯＴＡマスタに前記ソフトウェアの更新データを配信するセンタのコンピューターが実行する配信プログラムであって、
    前記ソフトウェアの更新データと、前記ソフトウェアの更新処理の手順を定義した更新シーケンスに関する情報とを、前記ＯＴＡマスタに送信するステップを含む、配信プログラム。
15. 請求項１１に記載のＯＴＡマスタを搭載した、車両。

Images