JP2023023616A - ソフトウェアの更新を制御するセンタ - Google Patents

Abstract

【課題】ソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限を設けることができるソフトウェアの更新を制御するセンタを提供する。【解決手段】車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタであって、車両との間で通信を行う通信部と、車両からの更新要求に基づいて、ソフトウェアの更新を制御する制御部と、を備え、制御部は、車両に紐付いた情報端末のうちの予め定められた第１情報端末から車両に対して更新制限要求があった場合、ソフトウェアの更新を制限する。【選択図】図１

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバーからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットに書き込んでインストールし、インストールしたソフトウェアを有効化するアクティベートを行うことにより、電子制御ユニットのソフトウェアの更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

特開２０１７－１４９３２３号公報

ＯＴＡを用いたソフトウェア更新では、ソフトウェア更新に関するＯＴＡ機能がセンタから全ての車両のユーザーや管理者などに対して一律に与えられる。このため、ＯＴＡ機能の一部又は全部に制限を設けたい場合でも、車両のユーザーや管理者などは自由に制限を掛けることができなかった。

本開示は、上記課題を鑑みてなされたものであり、ソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限を設けることができるソフトウェアの更新を制御するセンタを提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタであって、車両との間で通信を行う通信部と、車両からの更新要求に基づいて、ソフトウェアの更新を制御する制御部と、を備え、制御部は、車両に紐付いた情報端末のうちの予め定められた第１情報端末から車両に対して更新制限要求があった場合、ソフトウェアの更新を制限する、センタである。

本開示のセンタによれば、第１の情報端末を所持する車両のユーザーや管理者などがソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限を掛けることができる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 権限を設定する情報端末をシステムに追加する処理のフローチャート ソフトウェア更新に関するＯＴＡ機能の制限処理のフローチャート ソフトウェア更新に関するＯＴＡ機能の制限処理のフローチャート

本開示による車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタは、車両に紐付いた情報端末のうち特定の情報端末から更新制限要求があった場合にソフトウェアの更新を制限する。これにより、特定の情報端末を所持する車両のユーザーや管理者などは、ソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限を掛けることができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システム構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、車両と紐付いた情報端末９５と、を備える。

（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、車両のユーザーや管理者などに対するソフトウェア更新があることの通知やソフトウェア更新についての説明などの送信や、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７及び制御部１８は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、ＯＴＡマスタ３０に対して制御の指示を行うための、ソフトウェア更新処理の手順を示した更新シーケンスに関する情報を記憶することができる。また、記憶部１６は、後述する車両の権限制御機７０から取得したソフトウェア更新に関するＯＴＡ機能の制限に関する情報を記憶することができる。

通信部１７は、ＯＴＡマスタ３０（車両）との間や情報端末９５との間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると（受信部）、後述する制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データなどを含む配信パッケージを、ＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、更新制限要求及び更新制限解除要求の有無に関する情報や、車両に紐付いた情報端末に関するソフトウェア更新に関するＯＴＡ機能の権限に関する情報を、車両から受信する（受信部）。また、通信部１７は、更新制限要求や更新制限解除要求に基づくソフトウェア更新に関するＯＴＡ機能の制限を車両に通知する（送信部）。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当する更新データなどを含む１つ又は複数の配信パッケージを生成する。また、制御部１８は、車両に紐付いた情報端末９５のうち、所定の情報端末（後述する）から車両に対して更新制限要求があった場合、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新を制限する。

（２）情報端末
情報端末９５は、車両のユーザーや管理者が所有するスマートフォンやパソコンなどの装置である。この情報端末９５は、固有の情報（端末ＩＤなど）が車両に登録管理されることなどによって車両と紐付けられている。車両と紐付けられる情報端末９５は、１つに限られず複数であっても構わない。本実施形態の情報端末９５には、ソフトウェア更新に関するＯＴＡ機能の権限を管理するための情報端末９５（以下「権限管理情報端末９５」という）が、少なくとも１つ設けられる。１つ又は複数の情報端末９５は、車両が備える権限制御機７０と通信可能であり、権限制御機７０と連携してソフトウェア更新に関するＯＴＡ機能を制限することが可能である。いずれの情報端末９５にソフトウェア更新に関するＯＴＡ機能制限の権限を与えるかについては、権限管理情報端末９５が決定することができる。

（３）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、権限制御機７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と権限制御機７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び権限制御機７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、センタ１０から取得した更新データなどに基づき、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。また、ＯＴＡマスタ３０は、センタ１０から受信するソフトウェアの更新に関する情報や通知に基づいて、所定の表示装置に適切な画面表示を制御することができる。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び権限制御機７０のそれぞれと通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データなどを記憶する。また、記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報を記憶することができる。

通信部３８は、センタ１０との間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する（受信部）。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データなどを含む配信パッケージのダウンロード要求をセンタ１０に送信し（送信部）、センタ１０から送信される配信パッケージを受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する（送信部）。また、通信部３８は、制御部３９の指示に基づいて、ソフトウェアの更新に関する情報やその情報の送信に関する通知、ソフトウェアの更新状態を、表示装置に表示させることができる。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から配信パッケージで受信（ダウンロード）して記憶部３７に格納した更新データの真正性を検証する。また、制御部３９は、センタ１０からダウンロードした更新データを用い、電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理（インストール、アクティベートなど）を制御する。具体的には、制御部３９は、ダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。なお、制御部３９は、ソフトウェア更新処理の際、センタ１０によって指示される情報端末９５からの更新制限要求に基づいてソフトウェアの更新を制限して実行する。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、車載ネットワーク９０が４つの電子制御ユニット５０ａ～５０ｄを備えている例を示したが、電子制御ユニットの個数は特に限定されない。また、電子制御ユニット５０ａ～５０ｄをＯＴＡマスタ３０に接続するバスの本数も特に限定されない。

権限制御機７０は、ソフトウェア更新に関するＯＴＡ機能の権限を管理／判断することができる機器である。この権限制御機７０には、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、ソフトウェア更新についての説明などの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果や状態の表示など、各種の表示を行うことが可能なカーナビゲーションシステムなどの表示装置（ＨＭＩ）を用いることができる。本実施形態では、権限制御機７０が、ＯＴＡマスタ３０を介してセンタ１０や情報端末９５と通信する場合を説明したが、ＯＴＡマスタ３０を介さず通信モジュール８０から直接あるいは通信モジュール８０ではなく図示しない他の通信機器（ＤＣＭやスマホなど）を介して直接通信してもよい。なお、図１に示すバス６０ｄには、権限制御機７０に加えて電子制御ユニットなどがさらに接続されていてもよい。

権限制御機７０において管理されるソフトウェア更新に関するＯＴＡ機能の権限としては、ＯＴＡによるソフトウェア更新の内容を通知するか否か［更新通知制限］、ＯＴＡによるソフトウェアの更新処理をどこまで（ダウンロード、インストール、アクティベート）の実行を制限又は許諾するのか［更新実行制限］、更新対象の機能（エンターテインメント系、走行制御系、ブレーキ系など）のうちどの機能を有効にするのか［機能選択］、などの権限を例示できる。これらのＯＴＡ機能のいずれを有効／無効にするかなどについては、権限の付与を許可した情報端末９５によってそれぞれ予め設定される。設定方法としては、権限制御機７０の表示画面に制限に関する項目を選択的に表示して、情報端末９５の所有者などに項目を選択させることなどを例示できる。設定されたＯＴＡ機能の権限の内容は、情報端末９５の個体情報（ＩＤ）と紐付けられて、権限制御機７０（及びセンタ１０）において管理される。

通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０をセンタ１０や情報端末９５に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知やソフトウェアの更新に関する情報などをＯＴＡマスタ３０に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。また、ＯＴＡマスタ３０は、情報端末９５からの更新制限要求／更新制限解除要求に基づくソフトウェア更新に関するＯＴＡ機能の権限を、必要に応じてセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求及びソフトウェア更新に関するＯＴＡ機能の権限に基づいて、更新データなどを含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、センタ１０から受信した更新確認要求に対する応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、ソフトウェア更新に関するＯＴＡ機能の権限に応じてセンタ１０から通知される内容に基づいて、配信パッケージでダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。

また、センタ１０は、承諾要求処理において、ソフトウェアの更新を説明する情報、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、ソフトウェア更新に関するＯＴＡ機能の権限に応じて出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた権限制御機などを利用できる。例えば、承諾要求処理において、車両のユーザーや管理者などに対して事前に説明すべき情報を権限制御機７０の画面で表示することが可能であれば、権限制御機７０が出力装置として用いられる。権限制御機７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ソフトウェアの更新に関する情報、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知などを、権限制御機７０に表示させることができる。センタ１０は、ＯＴＡマスタ３０を介して、ユーザー又は管理者から承諾した旨の入力を受け付けると、ソフトウェア更新に関するＯＴＡ機能の権限に応じてＯＴＡマスタ３０に対して上述したインストール及びアクティベートの制御処理の実行を指示し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための１つの格納領域を有するシングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、センタ１０から指示される更新シーケンスに関する情報によっては、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを保留（待機）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後かつアクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェア更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶部３７に記憶する処理である。ダウンロードによる更新データの受信については、ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一の電子制御ユニット又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットの不揮発性メモリに更新ソフトウェア（更新版のプログラム）を書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、自身の不揮発性メモリにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図６、図７Ａ、及び図７Ｂをさらに参照して、本実施形態のネットワークシステムにおいて実行されるソフトウェアの更新処理を説明する。

図６は、権限管理情報端末９５によって、ソフトウェア更新に関するＯＴＡ機能の権限を付与する情報端末９５をネットワークシステムに追加する処理の一例を説明するフローチャートである。

（ステップＳ６０１）
権限管理情報端末９５は、権限制御機７０と通信して（認証、連携）、権限制御機７０を通常モードから権限管理モードに移行させる。通常モードとは、情報端末９５から受け付ける更新制限要求及び更新制限解除要求に基づいて、ソフトウェア更新に関するＯＴＡ機能を制限できる状態をいう。権限管理モードとは、ソフトウェア更新に関するＯＴＡ機能の権限を設定できる状態をいう。権限制御機７０が権限管理モードに移行すると、ステップＳ６０２に処理が進む。

（ステップＳ６０２）
権限管理情報端末９５は、新たにソフトウェア更新に関するＯＴＡ機能の権限の付与を許可する情報端末９５を権限制御機７０と通信させて（認証、連携）、この情報端末９５をソフトウェア更新に関するＯＴＡ機能の権限を有する「第１情報端末」として追加する。第１情報端末９５が追加されると、ステップＳ６０３に処理が進む。

（ステップＳ６０３）
権限制御機７０は、新たに追加した第１情報端末９５にソフトウェア更新に関するＯＴＡ機能の権限を設定する。設定する権限は、権限管理情報端末９５が設定してもよいし、新たに追加した第１情報端末９５が自ら設定してもよい。設定された権限の内容は、第１情報端末９５の固有の情報（端末ＩＤなど）と紐付けて登録され、権限制御機７０及び／又はセンタ１０で管理される。新たに追加した第１情報端末９５のソフトウェア更新に関するＯＴＡ機能の権限が設定されると、ステップＳ６０４に処理が進む。

（ステップＳ６０４）
権限管理情報端末９５は、権限制御機７０を権限管理モードから通常モードに移行させる。権限制御機７０が通常モードに移行すると、本処理が終了する。

図７Ａ及び図７Ｂは、センタ１０及び権限制御機７０が行うソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限に関する処理の手順を説明するフローチャートである。図７Ａの処理と図７Ｂの処理とは、結合子Ｘ、Ｙ、及びＺで結ばれる。

（ステップＳ７０１）
センタ１０は、車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合は（ステップＳ７０１、はい）、ステップＳ７０２に処理が進む。一方、対象となる車両において更新が必要なソフトウェアがない場合は（ステップＳ７０１、いいえ）、本処理が終了する。

（ステップＳ７０２）
権限制御機７０は、情報端末９５から更新制限要求を受信したか否かを判断する。すなわち、権限制御機７０は、ソフトウェア更新に関するＯＴＡ機能の一部又は全部について制限が可能な権限が付与された第１情報端末から、車両に対して更新制限要求があるか否かを判断する。例えば、ドライバーがＯＴＡ機能の制限を設定した情報端末９５を所持して乗車し、その情報端末９５と権限制御機７０とが連携する（Ｂｌｕｅｔｏｏｔｈ（登録商標）など）ことによって、権限制御機７０が更新制限要求を受信することができる。第１情報端末９５から更新制限要求がある場合は（ステップＳ７０２、はい）、ステップＳ７０３に処理が進む。一方、第１情報端末９５から更新制限要求がない場合は（ステップＳ７０２、いいえ）、ステップＳ７０７に処理が進む。

（ステップＳ７０３）
権限制御機７０は、更新制限要求があった情報端末９５である第１情報端末９５の認証が成功したか否かを判断する。第１情報端末９５の認証が成功した場合は（ステップＳ７０３、はい）、ステップＳ７０４に処理が進む。第１情報端末９５の認証が成功したこと（及び必要に応じて制限されるＯＴＡ機能）は、センタ１０に通知される。一方、第１情報端末９５の認証が失敗した場合は（ステップＳ７０３、いいえ）、ステップＳ７０２に処理が進む。

（ステップＳ７０４）
センタ１０は、権限制御機７０による認証が成功した第１情報端末９５から受け付けた更新制限要求に基づいて、ソフトウェアの更新処理（送信、指示、通知、許諾など）を制限して実行する。例えば、更新制限要求に基づく更新処理の制限が「ソフトウェアのインストール禁止」であれば、センタ１０は、車両が更新ソフトウェアをダウンロードするまでに必要な処理（通知、送信など）を実行する。ソフトウェアの更新が制限して実行されると、ステップＳ７０５に処理が進む。

（ステップＳ７０５）
権限制御機７０は、情報端末９５から更新制限解除要求を受信したか否かを判断する。すなわち、権限制御機７０は、ソフトウェア更新に関するＯＴＡ機能の一部又は全部について制限が可能な権限が付与された第１情報端末から、更新制限解除要求があるか否かを判断する。なお、この更新制限解除要求は、更新制限要求を発信した第１情報端末９５が行うだけでなく、更新制限要求を発信した情報端末９５以外が行うこともできるし、権限管理情報端末９５が行うこともできる。情報端末９５から更新制限解除要求がある場合は（ステップＳ７０５、はい）、ステップＳ７０６に処理が進む。一方、情報端末９５から更新制限解除要求がない場合は（ステップＳ７０６、いいえ）、ステップＳ７０５に処理が進む。

（ステップＳ７０６）
権限制御機７０は、更新制限解除要求があった情報端末９５の認証が成功したか否かを判断する。情報端末９５の認証が成功した場合は（ステップＳ７０６、はい）、ステップＳ７０７に処理が進む。この情報端末９５の認証が成功したことは、センタ１０に通知される。一方、情報端末９５の認証が失敗した場合は（ステップＳ７０６、いいえ）、ステップＳ７０５に処理が進む。

（ステップＳ７０７）
センタ１０は、権限制御機７０による認証が成功した情報端末９５からの更新制限解除要求に基づいて、制限を解除してソフトウェアの更新を実行するために必要な処理（通知、送信など）を行う。制限が解除されてソフトウェアの更新が実行されると、本処理が終了する。

＜作用・効果＞
以上のように、本開示の一実施形態に係る車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタによれば、車両に紐付いた情報端末のうち予め権限を設定しておいた特定の情報端末から更新制限要求があった場合に、車両におけるソフトウェアの更新を制限する。この処理により、特定の情報端末を所持する車両のユーザーや管理者などは、ソフトウェア更新に関するＯＴＡ機能の一部又は全部に制限を掛けることができる。

以上、本開示技術の一実施形態を説明したが、本開示は、センタだけでなく、プロセッサとメモリを備えたセンタが実行する方法、プログラム、プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体、センタと通信可能なＯＴＡマスタ、あるいはＯＴＡマスタを備えた車両など、として捉えることが可能である。

本開示技術は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタに利用できる。

１０ センタ
１１、３１ ＣＰＵ
１２、３２ ＲＡＭ
１３、３４ 記憶装置
１４、３６ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
９５ 情報端末
１００ ネットワーク

Claims (1)

1. 車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタであって、
   前記車両との間で通信を行う通信部と、
   前記車両からの更新要求に基づいて、前記ソフトウェアの更新を制御する制御部と、を備え、
   前記制御部は、前記車両に紐付いた情報端末のうちの予め定められた第１情報端末から前記車両に対して更新制限要求があった場合、前記ソフトウェアの更新を制限する、センタ。

Images