JP2023085002A - 車載装置、プログラム、プログラムの更新方法、及び車載更新システム - Google Patents

Abstract

【課題】車載ＥＣＵのプログラムを更新する処理を行う車載装置が、当該車載装置自身に適用されているプログラムを更新する処理を行うにあたり、当該プログラムの更新処理を効率的に行うことができる車載装置等を提供する。
【解決手段】車載装置は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う制御部を備える車載装置であって、前記制御部は、前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う。
【選択図】図１

Description

本発明は、車載装置、プログラム、プログラムの更新方法、及び車載更新システムに関する。

車両には、エンジン制御等の駆動制御系、エアコン制御等のボディ系等の車載機器を制御するためのＥＣＵ（Electronic Control Unit）が搭載されている。ＥＣＵは、ＭＰＵ等の演算処理部、例えばＥＥＰＲＯＭ等の書き換え可能な不揮発性の記憶部、及び他のＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた通信機が実装されており、通信機を介して、車外のネットワークに接続されているプログラム提供装置と通信し、当該プログラム提供装置からＥＣＵの制御プログラムをダウンロード（受信）し、当該ＥＣＵの制御プログラムを更新することができる（例えば特許文献１参照）。

特開２０１７－９７８５１号公報

しかしながら、特許文献１の通信機（中継機）は、自機に適用されている制御プログラム自体を更新する際の処理に関し、何ら考慮されていないという問題点がある。

本開示の目的は、車載ＥＣＵのプログラムを更新する処理を行う車載装置が、当該車載装置自身に適用されているプログラムを更新する処理を行うにあたり、当該プログラムの更新処理を効率的に行うことができる車載装置等を提供する。

本開示の一態様に係る車載装置は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う制御部を備える車載装置であって、前記制御部は、前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う。

本開示の一態様によれば、車載ＥＣＵのプログラムを更新する処理を行う車載装置が、当該車載装置自身に適用されているプログラムを更新する処理を行うにあたり、当該プログラムの更新処理を効率的に行う車載装置等を提供することができる。

実施形態１に係る車載装置を含む車載更新システムの構成を例示する模式図である。 車載装置の物理構成を例示するブロック図である。 車両構成情報を例示する説明図である。 プログラムの更新処理における車載装置、代理ＥＣＵ及び更新対象の車載ＥＣＵ等の状態遷移を例示する説明図である。 車載装置、代理ＥＣＵ及び更新対象の車載ＥＣＵ等による処理の流れ（シーケンス）を例示する説明図である。 車載装置の制御部の処理を例示するフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載装置は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う制御部を備える車載装置であって、前記制御部は、前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う。

本態様にあたっては、車載装置の制御部は、当該車載装置自身（自装置）に対し更新プログラムを適用する際、プログラムの更新対象外の車載ＥＣＵを、自装置に対しアクティベート指示を行う（送信する）代理ＥＣＵに選定するため、自装置に対するプログラムの更新に関する処理について、当該代理ＥＣＵからの指示に基づき行うことができる。すなわち、車載装置は、選定した代理ＥＣＵに対し、自装置におけるプログラム更新（更新プログラムの適用等）に関する制御を担わせることにより、車載装置におけるプログラム更新処理を円滑に行うことができる。

（２）本開示の一態様に係る車載装置は、前記制御部は、アクティベート処理を行った後、前記代理ＥＣＵからロールバック指示を取得した場合、更新プログラムを適用する前の元プログラムに戻すロールバック処理を行う。

本態様にあたっては、代理ＥＣＵからのアクティベート指示に応じて、車載装置の制御部がアクティベート処理を行った後、代理ＥＣＵは、アクティベート処理後（更新プログラムの適用後）の車載装置に対し動作確認等の処理（異常検出シーケンス）を行う。代理ＥＣＵは、アクティベート処理後の車載装置において、異常を検出した場合、ロールバック指示を当該車載装置に送信（出力）する。代理ＥＣＵからロールバック指示を取得した車載装置（制御部）は、更新プログラムを適用する前の元プログラムに戻すロールバック処理を行うため、アクティベート処理が失敗した場合であっても、車載装置（制御部）は元プログラムを実行することができ、車両に関する制御を継続することができる。

（３）本開示の一態様に係る車載装置は、前記制御部は、前記外部サーバから、プログラムの更新対象の車載ＥＣＵに適用するための更新プログラムを取得し、前記車載装置のアクティベート処理を行う前に、取得した車載ＥＣＵ用の更新プログラムを、前記更新対象の車載ＥＣＵに出力し、前記更新対象の車載ＥＣＵに対し、車載ＥＣＵ用の更新プログラムを適用させるためのアクティベート指示を出力する。

本態様にあたっては、更新プログラムの適用対象は、車載装置のみならず、当該車載装置及び、単一又は複数の車載ＥＣＵとなる場合が想定されるところ、車載装置は、自装置及び車載ＥＣＵに適用する更新プログラムそれぞれを、外部サーバから取得する。車載装置の制御部は、自装置のアクティベート処理を行う前に、プログラムの更新対象である車載ＥＣＵへの更新プログラム及びのアクティベート指示の出力（送信）を行うことにより、自装置よりも前に、当該車載ＥＣＵでの更新プログラムの適用を行うことができる。すなわち、更新プログラムの適用前の車載装置は、稼働状態が比較的に安定しているため、これら車載ＥＣＵへの更新プログラムの適用を円滑に行うことができる。

（４）本開示の一態様に係る車載装置は、前記制御部は、前記代理ＥＣＵからロールバック指示に応じてロールバック処理を行った後、前記更新対象の車載ＥＣＵに対し更新プログラムを適用する前の元プログラムに戻すロールバック指示を出力する。

本態様にあたっては、更新プログラムの適用対象が車載装置及び複数の車載ＥＣＵとなる場合、これら更新対象の全ての車載装置及び車載ＥＣＵに対し、更新プログラムの適用が行われることが必要となる。これに対し、車載装置の制御部は、代理ＥＣＵからロールバック指示に応じて、自装置におけるロールバック処理を行った場合、当該ロールバック処理後、更新対象の全ての車載ＥＣＵに対しロールバック指示を出力し、これら車載ＥＣＵにロールバック処理を実施させる。これにより、車載装置（制御部）は、自装置における更新プログラムの適用が失敗した場合、代替ＥＣＵからの指示に基づき自装置におけるロールバック処理を行うと共に、自装置と同様に更新対象である他の車載ＥＣＵに対しロールバック処理を実施させ、更新プログラムを適用する前の動作環境に戻すことができる。

（５）本開示の一態様に係る車載装置は、前記制御部は、前記車両が起動状態となることが禁止される期間にて更新プログラムに関する処理を行う。

本態様にあたっては、車載装置の制御部は、例えば、エンジン始動又はトラクションモータ駆動が禁止される期間等、車両が起動状態となることを禁止される期間にて、代理ＥＣＵの選定を含め、アクティベート処理及びロールバック処理等を含む更新プログラムに関する処理を行う。プログラム更新における全体的な処理内容において、車載装置（制御部）は、更新対象の車載ＥＣＵに対する更新プログラムの適用処理と、代理ＥＣＵからの指示に基づく自装置に対する更新プログラムの適用処理とを２段階で行うため、適用されたプログラム間での一時的な不整合（バージョン違い）の発生が懸念される。これに対し、当該プログラム更新の処理（更新プログラムに関する処理）は、車両が起動状態となることが禁止される期間にて行われるものとなるため、更新プログラムの適用処理を２段階で行うものであっても、適用されたプログラム間にて不整合が発生した状態にて、車両が起動することを確実に防止することができる。

（６）本開示の一態様に係る車載装置は、前記制御部は、前記車両に搭載される複数の車載ＥＣＵのうち、前記代理ＥＣＵの機能を有する複数の候補ＥＣＵを特定し、特定した前記候補ＥＣＵに対し送信した代理要求の送信結果に応じて、複数の前記候補ＥＣＵのいずれかを前記代理ＥＣＵとして選定する。

本態様にあたっては、車両には、代理ＥＣＵの機能を有する複数の候補ＥＣＵが搭載されているため、いずれかの候補ＥＣＵ（代理ＥＣＵの機能を有する車載ＥＣＵ）がプログラムの更新対象であっても、他の候補ＥＣＵを選定することができ、代理ＥＣＵの選定処理における冗長性を向上させることができる。車載装置の制御部は、代理ＥＣＵを選定するにあたり、これら複数の候補ＥＣＵに対し送信した代理要求の送信結果を鑑みるものであり、例えば、所定の優先順位に基づき、これら複数の候補ＥＣＵに対し順次に代理要求を送信し、最初に応答した候補ＥＣＵを代理ＥＣＵに選定する。このような代理要求の送信に対する応答した候補ＥＣＵを代理ＥＣＵに選定することにより、当該代理ＥＣＵの信頼性を効率的に担保することができる。

（７）本開示の一態様に係る車載装置は、前記車両に搭載される車載ＥＣＵに関する情報を含む車両構成情報が記憶される記憶部を備え、前記車両構成情報を参照することにより、前記候補ＥＣＵを特定する。

本態様にあたっては、車載装置（制御部）は、車両に搭載する全ての車載ＥＣＵに関する情報を集約し、集約したこれら情報を車両構成情報として、自装置が備える記憶部等、アクセス可能な記憶領域に記憶している。当該車両構成情報には、車載ＥＣＵそれぞれが、代理ＥＣＵの機能を有するか否か（候補ＥＣＵとしての適否）を示す情報（候補ＥＣＵフラグ）が含まれているため、車載装置の制御部は、当該車両構成情報を参照することにより、複数の候補ＥＣＵを効率的に特定することができる。

（８）本開示の一態様に係る車載装置は、前記車両が備える車載ネットワークは、車載ＥＣＵが接続される複数のセグメントにより構成され、前記制御部は、プログラムの更新対象の車載ＥＣＵと同じセグメントに接続されている車載ＥＣＵを、前記代理ＥＣＵとして選定する。

本態様にあたっては、車両に搭載される車載ネットワークは複数のセグメントにより構成され、これら複数のセグメントそれぞれには、単一又は複数の車載ＥＣＵが接続される。車載装置は、これら複数のセグメントそれぞれに対応したＣＡＮトランシーバ等の車内通信部を複数個、備える。車載装置の制御部は、更新対象の車載ＥＣＵと同じセグメントに接続されている車載ＥＣＵを代理ＥＣＵとして選定することにより、プログラムの更新処理を行う期間において、更新対象の車載ＥＣＵが接続されてないセグメントに対応（接続）する車内通信部への通電を停止する等、当該車内通信部を非活性化することができる。プログラムの更新処理は、エンジンの停止期間中に行うことを要するため、鉛バッテリー等の蓄電装置の電力を消費するものとなる。これに対し、更新対象の車載ＥＣＵと同じセグメントに接続されている代理ＥＣＵを選定することにより、更新対象の車載ＥＣＵが接続されてないセグメントの車内通信部への通電を停止することが可能となり、電力消費量を低減することができる。

（９）本開示の一態様に係るプログラムは、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行うコンピュータに、前記外部サーバから前記コンピュータに適用するための更新プログラムを取得し、前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記コンピュータに適用するアクティベート処理を行う処理を実行させる。

本態様にあたっては、コンピュータを、自機に適用されているプログラムを更新する処理を行うにあたり当該プログラムの更新処理を効率的に行う車載装置として機能させるプログラムを提供することができる。

（１０）本開示の一態様に係るプログラムの更新方法は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行うコンピュータに、前記外部サーバから前記コンピュータに適用するための更新プログラムを取得し、前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記コンピュータに適用するアクティベート処理を行う処理を実行させる。

本態様にあたっては、コンピュータを、自機に適用されているプログラムを更新する処理を行うにあたり当該プログラムの更新処理を効率的に行う車載装置として機能させる更新方法を提供することができる。

（１１）本開示の一態様に係る車載更新システムは、車両に搭載される複数の車載ＥＣＵと、前記車両外の外部サーバから送信される更新プログラムを取得し、前記車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う車載装置とを含む車載更新システムであって、前記車載装置は、前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、前記複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、選定された前記代理ＥＣＵは、前記車載装置にアクティベート指示を出力し、前記車載装置は、前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う。

本態様にあたっては、自機に適用されているプログラムを更新する処理を行うにあたり当該プログラムの更新処理を効率的に行う車載装置を含む車載更新システムを提供することができる。

[本発明の実施形態の詳細]
本発明をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載装置２を、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載更新システムＳの構成を示す模式図である。図２は、車載装置２の構成を示すブロック図である。車載更新システムＳは、車両Ｃに搭載された車外通信装置１及び車載装置２を含み、車外ネットワークＮを介して接続された外部サーバＳ１（プログラム提供装置、ＯＴＡサーバ）から取得した更新プログラムを、車両Ｃに搭載されている車載ＥＣＵ３（Electronic Control Unit）に送信する。

外部サーバＳ１は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部Ｓ１１を備え、車外のプログラム提供装置に相当する。外部サーバＳ１には、車載ＥＣＵ３の製造メーカ等によって作成された当該車載ＥＣＵ３を制御するためのプログラム又はデータが、記憶部Ｓ１１に保存されている。当該プログラム又はデータは、更新プログラムとして、後述のごとく車両Ｃに送信され、車両Ｃに搭載されている車載ＥＣＵ３のプログラム又はデータを更新するために用いられる。このように構成された外部サーバＳ１（プログラム提供装置）は、ＯＴＡ（Over The Air）サーバとも称される。

車載装置２は、外部サーバＳ１から取得した更新プログラムを、更新対象の車載ＥＣＵ３への送信、及び送信した更新プログラムを、当該車載ＥＣＵ３に適用させるためのアクティベート指示を送信するＯＴＡマスタとして機能する。ＯＴＡマスタとして機能する車載装置２は、自装置に対し更新プログラムを適用（アクティベート処理）するにあたり、後述する代理ＥＣＵ３１を選定し、選定した代理ＥＣＵ３１からの指示に応じてアクティベート処理又はロールバック処理を行う。車両Ｃに搭載される車載ＥＣＵ３は、車載装置２を介して、外部サーバＳ１から無線通信により送信された更新プログラムを取得し、アクティベート指示に応じて当該更新プログラムを適用（アクティベート処理）することにより、自ＥＣＵが実行するプログラムを更新（リプロ）する。

以降、プログラムは、車載ＥＣＵ３が処理を行うための制御構文等を含むプログラムコード及び、当該プログラムコードを実行するにあたり参照するデータが記載される外部ファイルを含むものとして説明する。更新プログラムの送信時において、これらプログラムコード及びデータが記載される外部ファイルは、例えば暗号化されたアーカイブファイルとして、外部サーバＳ１から送信される。外部サーバＳ１は、更新プログラムを送信する際、当該更新プログラムを含むパッケージを生成し、生成したパッケージを車両Ｃに送信する。パッケージは、例えば、プログラム更新に関する情報であるパッケージ情報（キャンペーン情報）、更新対象となる車載ＥＣＵ３に関する情報（ターゲット情報）、更新対象の車載ＥＣＵ３に対し適用される更新プログラムを含む。

車両Ｃには、車外通信装置１、車載装置２、表示装置５、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車外通信装置１と車載装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。車載装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network）又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルに対応した車載ネットワーク４によって通信可能に接続されている。

車外通信装置１は、車外通信部（図示せず）及び、車載装置２と通信するための入出力Ｉ／Ｆ（図示せず）（インターフェイス）を含む。車外通信部は、ＬＴＥ（登録商標）、４Ｇ、５Ｇ、ＷｉＦｉ（登録商標）等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナ１１を介して外部サーバＳ１とデータの送受信を行う。車外通信装置１と外部サーバＳ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。

車外通信装置１の入出力Ｉ／Ｆは、車載装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と車載装置２とは、入出力Ｉ／Ｆ間に接続されたシリアルケーブル等のハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、車載装置２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載装置２の一構成部位として、車載装置２に内蔵されるものであってもよい。又は、車外通信装置１と車載装置２は、ＣＡＮ等の車載ネットワーク４により接続されていてもよい。

車載装置２は、制御部２０、記憶部（第１記憶部２３１、第２記憶部２３２）、入出力Ｉ／Ｆ２１、及び車内通信部２２を含む。車載装置２は、車外通信装置１が無線通信によって外部サーバＳ１から受信した更新プログラム（パッケージ）を、車外通信装置１から取得し、車載ネットワーク４を介して当該更新プログラムを所定の車載ＥＣＵ３（更新対象の車載ＥＣＵ３）に送信するように構成されている。すなわち、車載装置２は、更新対象の車載ＥＣＵ３におけるプログラム更新を制御するＯＴＡマスタ（リプロマスタ）として機能する。

車載装置２は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３及び、ボディ系の車載ＥＣＵ３等の複数の系統のバス（セグメント）を統括し、これらバス（セグメント）間での車載ＥＣＵ３同士の通信を中継するゲートウェイ（車載中継装置）である。すなわち、車載装置２には、これら複数のバス（セグメント）を構成する通信線４１それぞれが接続され、当該車載装置２によって集約される複数の通信線４１（セグメント）により車載ネットワーク４が構成される。車載装置２は、ＣＡＮプロトコルの中継においてはＣＡＮゲートウェイとして機能し、ＴＣＰ／ＩＰプロトコルの中継においてはレイヤー２スイッチ又はレイヤー３スイッチとして機能する。車載装置２は、通信に関する中継に加え、二次電池等の電源装置から出力された電力を分配及び中継し、自装置に接続されるアクチュエータ等の車載器に電力を供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。又は、車載装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。又は、車載装置２は、例えばヴィークルコンピュータ等の中央制御装置にて構成され、車両Ｃの全体的な制御を行う統合ＥＣＵであってもよい。

制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部に予め記憶された制御プログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。

記憶部は、第１記憶部２３１、及び第２記憶部２３２による２つの記憶領域により構成され、これら第１記憶部２３１及び第２記憶部２３２それぞれは、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成される。第１記憶部２３１及び第２記憶部２３２には、制御プログラムＰ及び処理時に参照するデータが予め記憶してある。当該制御プログラムＰが、外部サーバＳ１から取得した更新プログラムによって、更新される対象である。記憶部（第１記憶部２３１、第２記憶部２３２）に記憶された制御プログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体２４から読み出された制御プログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムＰをダウンロードし、記憶部に記憶させたものであってもよい。

記憶部（第１記憶部２３１、第２記憶部２３２）には、現バージョン及び旧バージョンの２つのプログラム（制御プログラムＰ）夫々のバージョンに関する情報、及び現在実行（適用）しているプログラムが記憶されている領域（動作面）に関する情報が記憶されている。すなわち、現状において第１記憶部２３１（第１面）に記憶されているプログラムを実行している場合、第１記憶部２３１には、動作面は第１記憶部２３１（第１面）であると記憶される。この場合、非動作面は、第２記憶部２３２（第２面）であると記憶される。動作面である第１記憶部２３１には、現バージョンの制御プログラムＰが記憶されている。非動作面である第２記憶部２３２には、旧バージョンの制御プログラムＰが記憶されている。又は、非動作面である第２記憶部２３２には、旧バージョンの制御プログラムＰ等が記憶されておらず、空き容量となる記憶領域であってもよい。このように非動作面が、空き容量の記憶領域又は旧バージョンの制御プログラムＰ等が記憶されている状態となっていることにより、更新時に、当該非運用面に新バージョンの制御プログラムＰを書き込むことで、旧バージョンに戻せる状態を担保することができる。

入出力Ｉ／Ｆ２１は、車外通信装置１の入出力Ｉ／Ｆと同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆを介して、車載装置２は、車外通信装置１、表示装置５及びＩＧスイッチ６と通信可能に接続される。

車内通信部２２は、例えばＣＡＮ又はイーサネット（Ethernet／登録商標）等の通信プロトコルを用いた入出力インターフェイスであり、制御部２０は、車内通信部２２を介して車載ネットワーク４に接続されている車載ＥＣＵ３又は他の中継装置等の車載機器と相互に通信する。車内通信部２２は、複数個（本実施形態では３個）設けられており、車内通信部２２夫々に、車載ネットワーク４を構成する通信線４１（セグメント）が接続されている。このように車内通信部２２を複数個設けることにより車載ネットワーク４を複数個のセグメントに分け、例えば車載ＥＣＵ３の機能（制御系機能、安全系機能、ボディ系機能）に応じて、個々の車載ＥＣＵ３を各セグメントに接続する。

車載ＥＣＵ３は、車載装置２と同様に制御部、記憶部及び車内通信部（図示せず）を含む。記憶部は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。このプログラム又はデータが、プログラム提供装置から送信され、車載装置２によって中継される更新プログラムによって、更新される対象である。車載ＥＣＵ３の車内通信部は、車載装置２と同様に、例えば、ＣＡＮトランシーバ又はイーサネットＰＨＹ部等により構成され、当該車内通信部を介して車載装置２と通信する。

車両Ｃに搭載される車載ＥＣＵ３のうち、一部の車載ＥＣＵ３は、車載装置２における更新プログラムの適用に関する処理を代理する機能（代理ＥＣＵ３１としての機能）を有する。詳細は後述するが、当該代理ＥＣＵ３１は、車載装置２から送信される代理要求に応じて、車載装置２へのアクティベート指示、アクティベート処理後の車載装置２における動作確認、動作不備を検出した際のロールバック指示を行う。

図３は、車両構成情報を例示する説明図である。車載装置２は、定期的、周期的又は定常的に車両Ｃ（自車）に搭載されている全ての車載ＥＣＵ３と通信し、これら車載ＥＣＵ３に関する情報を取得する。車載装置２は、例えば、ＩＧスイッチ６がオンにされた場合、オフにされた場合又は、所定のタイミングにて、定常的に車両Ｃに搭載されている全ての車載ＥＣＵ３又は特定の車載ＥＣＵ３に対し、自ＥＣＵの構成情報及び当該構成情報の更新履歴を送信することを要求する。車載装置２は、車載ＥＣＵ３夫々から送信された構成情報及び更新履歴を取得してこれら構成情報等を集約し、集約した構成情報及び更新履歴を車両構成情報として記憶する。

車載装置２は、車載ＥＣＵ３に対し構成情報及び更新履歴を送信することを要求することなく、車載ＥＣＵ３夫々が自発的に送信した構成情報夫々及び更新履歴夫々を取得し集約して、記憶部に記憶するものであってもよい。又は、車載装置２は、更新プログラムを車載ＥＣＵ３に送信し、当該送信が完了した都度、送信した更新プログラムに基づいて構成情報（車両構成情報）を変更してもよい。車載装置２は、これら複数の車載ＥＣＵ３から取得した個々の車載ＥＣＵ３に関する情報を集約することにより、例えばテーブル形式にて車両構成情報を生成し、自装置の記憶部に記憶する。車両構成情報を記憶する記憶部は、第１記憶部２３１、第２記憶部２３２、又は、第１記憶部２３１及び第２記憶部２３２の双方に重複して記憶するものであってもよい。

一例としてテーブル形式に保存される車両構成情報は、管理項目（フィールド）として、例えば車載ＥＣＵ３の製造番号（シリアル番号）、ＥＣＵ部番（型番）、Ｓｏｆｔｗａｒｅ部番、プログラムの現バージョン、旧バージョン、動作面、状態（リプロステータス）、セグメント番号、更新対象(キャンペーン番号)、代理ＥＣＵ、及び優先順位を含み、個々の車載ＥＣＵ３において重複しないように設定された連番等によるＥＣＵ－ＩＤに関連付けられて管理される。ＥＣＵ－ＩＤの管理項目には、車両Ｃに搭載される全ての車載ＥＣＵ３において、これら車載ＥＣＵ３を一意に識別するための連番等による識別番号が格納される。更に、車両構成情報は、管理項目（フィールド）として、車載ＥＣＵ３のＭＡＣ（Media Access Control）アドレス、及びＩＰアドレスを含むものであってもよい。

製造番号（シリアル番号）は、車載ＥＣＵ３の製造時に付与される番号であり、生産拠点等を示すロット番号及び製造時の連番等により構成され、当該ＥＣＵを一意に特定することができるユニークな番号である。ＥＣＵ部番（型番）は、車載ＥＣＵ３の種類を特定する番号であり、例えば部品番号である。Ｓｏｆｔｗａｒｅ部番は、更新プログラム（更新対象となる制御プログラムＰ）のソフトウェアの種類を特定するための番号である。車載装置２は、外部サーバＳ１から取得したターゲット情報に含まれる製造番号又はＥＣＵ部番と、車両構成情報に含まれる製造番号又はＥＣＵ部番とを照らし合わせることにより、自車に搭載されている車載ＥＣＵ３のうち、更新対象の車載ＥＣＵ３を特定するものであってもよい。

現バージョンは、現状において、車載ＥＣＵ３が実行（適用）しているプログラムのバージョン番号であり、動作面に記憶されているプログラムのバージョン番号である。旧バージョンは、以前に車載ＥＣＵ３が実行（適用）していたプログラムのバージョン番号であり、非動作面（動作面でない記憶領域）に記憶されているプログラムのバージョン番号である。動作面は、現状において、車載ＥＣＵ３が実行（適用）しているプログラムが記憶されているいずれかの記憶領域（１面：第１記憶部２３１又は、２面：第２記憶部２３２）を特定する情報である。これら運用面とバージョン情報は、更新時に書き込まれた新バージョンのプログラムから、旧バージョンのプログラムにロールバックされる場合に用いられるように記憶されている。

状態の管理項目には、対応する車載ＥＣＵ３（同じレコードのＥＣＵ－ＩＤ）における更新プログラムの適用に関する状態情報（リプロステータス）が格納される。車載装置２は、アクティベート指示の送信先となる車載ＥＣＵ３と通信し、当該車載ＥＣＵ３の状態情報（リプロステータス）を取得することにより、個々の車載ＥＣＵ３の状態（状態の管理項目）を更新するものであってもよい。これにより、車載装置２は、アクティベート処理後の車載ＥＣＵ３それぞれにおける状態情報（リプロステータス）を集約して、保存及び管理することができる。車載装置２は、更新時の新バージョンのプログラムのインストール時、アクティベート時、及びロールバック処理時に、これらのデータを参照又は更新を行うものであってもよい。

セグメント番号の管理項目には、対応する車載ＥＣＵ３が接続されている通信線４１（セグメント）の番号が格納されている。当該通信線４１（セグメント）の番号は、車載装置２が備える複数の車内通信部２２それぞれの番号（通信ポート番号）に対応している。これにより、車載装置２は、通信線４１（セグメント）を介して、自装置における車内通信部２２それぞれに直接的に接続されている個々の車載ＥＣＵ３を特定することができる。

更新対象(キャンペーン番号)の管理項目には、今回の更新（キャンペーン）の対象となる車載ＥＣＵ３に対し、例えば、キャンペーン番号が格納される。例えば、複数の車載ＥＣＵ３が同時に更新されるグループ更新を行う際、当該更新対象（キャンペーン対象）となる複数の車載ＥＣＵ３のバージョンのセットで整合性を判断することが必要である。これに対し、車両Ｃに搭載される全ての車載ＥＣＵ３において、今回の更新（キャンペーン）の対象となる車載ＥＣＵ３のフィールドには、当該キャンペーンの番号を格納することにより、更新対象となる車載ＥＣＵ３を効率的に特定することができる。本実施形態における図示のとおり、更新対象外の車載ＥＣＵ３フィールドには、例えば、空白（null値を格納）とするものであってもよい。更に、当該キャンペーンの番号が更新対象のフィールドに格納されている複数の車載ＥＣＵ３に関する情報（ＥＣＵ部番、ソフトウェアバージョン等）を抜き出し、別個のテーブルにてリスト管理等を行うものであってよい。

代理ＥＣＵ３１の管理項目には、対応する車載ＥＣＵ３が、代理ＥＣＵ３１としての機能を有するか否かを示す情報（可又は不可）が格納される。本実施形態においては、代理ＥＣＵ３１の管理項目が可である車載ＥＣＵ３が、代理ＥＣＵ３１としての機能することができる車載ＥＣＵ３であり、代理ＥＣＵ３１として選定されるにあたっての候補ＥＣＵに相当する。

優先順位の管理項目には、対応する車載ＥＣＵ３が候補ＥＣＵとして特定される場合、これら候補ＥＣＵから代理ＥＣＵ３１として選定されるにあたっての優先順位が格納される。車載装置２は、特定した複数の候補ＥＣＵにおいて、これら候補ＥＣＵそれぞれに設定されている優先順位に基づき、代理要求を順次にこれら候補ＥＣＵに送信するものであってもよい。

図４は、プログラムの更新処理における車載装置２、代理ＥＣＵ３１及び更新対象の車載ＥＣＵ３等の状態遷移を例示する説明図である。更新対象の車載装置２及び車載ＥＣＵ３において、更新プログラムを記憶する前の状態と、記憶した後の状態とは、表示形態を反転して示している。

更新プログラムを記憶する前（書換え前）の状態において、車載装置２及び車載ＥＣＵ３は、動作面に記憶されている制御プログラムＰを実行している。車載装置２が外部サーバＳ１から取得した自装置用の更新プログラムを自装置の非動作面に記憶すると共に、車載ＥＣＵ３に車載ＥＣＵ３用の更新プログラムを送信することにより、車載装置２及び車載ＥＣＵ３の非動作面に更新プログラムが記憶される。

車載装置２は、更新対象外であって、代理ＥＣＵ３１の機能を有する車載ＥＵＣ（候補ＥＣＵ）に代理要求を送信すると共に、更新対象の車載ＥＣＵ３にアクティベート指示を送信する。代理要求に応答した車載ＥＵＣ（候補ＥＣＵ）は、代理ＥＣＵ３１として処理シーケンスを開始し、車載装置２にアクティベート指示を送信する。アクティベート指示の送信後、代理ＥＣＵ３１は、アクティベート処理を行った車載装置２における動作不備の有無を検出する。

代理ＥＣＵ３１は、アクティベート処理後の車載装置２に動作不備を検出した場合（動作不備：有）、車載装置２にロールバック指示を送信する。代理ＥＣＵ３１からのロールバック指示を受信した車載装置２は、更新プログラムを適用する前の元プログラムを実行することにより、ロールバック処理を行う。ロールバック処理を行い、更新プログラムを適用する前の元プログラムを実行する車載装置２は、更新対象の車載ＥＣＵ３に対し、ロールバック指示を送信する。

車載装置２からのロールバック指示を受信した車載装置２は、更新プログラムを適用する前の元プログラムを実行することにより、ロールバック処理を行う。これにより、車載装置２及び車載ＥＣＵ３は、更新プログラムが適用される前の元プログラムを実行するものなる。

このように代理ＥＣＵ３１によって車載装置２におけるアクティベート処理及びロールバック処理を行うことにより、更新対象である車載装置２及び車載ＥＣＵ３に対し、２段階でのアクティベート処理及びロールバック処理を行うものとなる。これに対し、これら車載装置２及び車載ＥＣＵ３へのプログラムの更新に関する一連の処理を、エンジン始動又はトラクションモータ駆動が禁止される期間等、車両Ｃが起動状態となることを禁止される期間にて行う。当該禁止期間に行うことにより、適用されたプログラム間での一時的な不整合（バージョン違い）が発生した状態にて、エンジン始動等が行われることを防止することができる。車載装置２は、更新プログラムに関する一連の処理を、車両Ｃが起動状態となることを禁止される期間にて行うにあたり、入出力Ｉ／Ｆ２１等を介してＩＧスイッチ６から出力されるオン信号を、例えばマスク処理等行うことにより一時的に無効化するものであってもよい。

図５は、車載装置２、代理ＥＣＵ３１及び更新対象の車載ＥＣＵ３等による処理の流れ（シーケンス）を例示する説明図である。更新プログラムを用いて、車載装置２（ＯＴＡマスタ）及び更新対象の車載ＥＣＵ３におけるプログラム更新に関する処理を行うにあたり、外部サーバＳ１（ＯＴＡサーバ）、車載装置２（ＯＴＡマスタ）、更新対象の車載ＥＣＵ３（ターゲットＥＣＵ）、及び代理ＥＣＵ３１それぞれの処理シーケンスについて説明する。

車載装置２は、更新プログラムを外部サーバＳ１から取得する（Ｓ０１）。車載装置２は、例えば、自装置が搭載されている車両Ｃ（自車）の識別番号（ＶＩＮ：Vehicle Identification Number）を用いて、外部サーバＳ１にアクセスし、当該外部サーバＳ１から自車に対して適用される更新プログラムを含むパッケージを取得する。当該パッケージには、例えば、プログラム更新に関する情報であるパッケージ情報（キャンペーン情報）、更新対象となる車載装置２及び車載ＥＣＵ３に関する情報（ターゲット情報）、プログラムの更新対象である車載装置２及び車載ＥＣＵ３に適用される更新プログラムが含まれている。

車載装置２は、自装置用の更新プログラムを記憶する（Ｓ０２）。車載装置２は、自装置用の更新プログラムを、非動作面である記憶領域（記憶部）に記憶する。車載装置２は、プログラムを記憶する記憶領域として、第１記憶部２３１及び第２記憶部２３２を備えており、例えば、現時点にて実行しているプログラムが第１記憶部２３１の場合、当該第１記憶部２３１が動作面に相当する。この場合、非動作面である第２記憶部２３２には、現時点にて実行しているプログラムよりも前のバージョン（旧バージョン）のプログラムが、バックアップとして保存されている。車載装置２は、非動作面である第２記憶部２３２に、外部サーバＳ１から取得した自装置用の更新プログラムを記憶する。これにより、現時点にて実行しているプログラムは、上書きされることなく、第１記憶部２３１にて記憶されている状態を維持することができる。

車載装置２は、更新対象の車載ＥＣＵ３へ、当該車載ＥＣＵ３用の更新プログラムを出力（送信）する（Ｓ０３）。車載装置２は、外部サーバＳ１から取得したターゲット情報に基づき更新対象の車載ＥＣＵ３を特定し、特定した車載ＥＣＵ３に対し、当該車載ＥＣＵ３用の更新プログラムを送信する。

更新対象の車載ＥＣＵ３は、車載装置２から取得（受信）した更新プログラムを記憶する（Ｓ０４）。更新対象の車載ＥＣＵ３は、車載装置２と同様に、取得した更新プログラムを非動作面に記憶することにより、現時点にて実行しているプログラム（動作面に記憶）が、上書きされることを回避することができる。

車載装置２は、代理要求を送信することにより、代理ＥＣＵ３１を選定する（Ｓ０５）。車載装置２は、例えば、自装置の記憶部（第１記憶部２３１又は第２記憶部２３２）に記憶されている車両構成情報を参照することにより、代理ＥＣＵ３１として機能する複数の候補ＥＣＵを特定する。車載装置２は、特定した複数の候補ＥＣＵにおいて、今回のプログラム更新の対象外であるいずれかの候補ＥＣＵを代理ＥＣＵ３１として選定する。更新対象外となる候補ＥＣＵが複数個、存在する場合、車載装置２は、例えば、予め定められた優先順位にて、これら複数の候補ＥＣＵに対し、順次に代理要求（代理要求メッセージ）を送信し、当該代理要求に最先に応答した候補ＥＣＵを、代理ＥＣＵ３１として選定するものであってもよい。

車載装置２からの代理要求に応答した候補ＥＣＵは、例えば、当該代理要求をトリガーとし、代理ＥＣＵ３１としての処理ルーチンを開始する。これにより、代理ＥＣＵ３１は、車載装置２にアクティベート指示を行うアクティベート指示部、アクティベート処理を行った車載装置２に対する異常検出部及び復旧制御部として機能を発揮する。

順次に送信した代理要求（代理要求メッセージ）に対し、いずれの候補ＥＣＵも、応答しなかった場合、車載装置２は、代理ＥＣＵ３１を特定できなかったために、今回の更新プログラムの適用を行わなかった旨を示す通知を外部サーバＳ１に送信するものであってもよい。

車載装置２は、更新対象の車載ＥＣＵ３へ、アクティベート指示を出力（送信）する（Ｓ０６）。車載装置２は、更新対象の車載ＥＣＵ３それぞれにアクティベート指示を出力し、これら車載ＥＣＵ３にアクティベート処理を実行させる。

更新対象の車載ＥＣＵ３は、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ０７）。車載装置２から出力されたアクティベート指示を取得（受信）した車載ＥＣＵ３は、更新プログラムが記憶された記憶領域を動作面として再起動することにより、当該更新プログラムを適用するアクティベート処理を行う。

代理ＥＣＵ３１は、車載装置２に対し、アクティベート指示を出力（送信）する（Ｓ０８）。車載装置２は、代理ＥＣＵ３１から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ０９）。代理ＥＣＵ３１から出力されたアクティベート指示を取得（受信）した車載装置２は、更新プログラムが記憶された記憶領域を動作面として再起動することにより、当該更新プログラムを適用するアクティベート処理を行う。

代理ＥＣＵ３１は、アクティベート処理を行った車載装置２に対し、動作確認（動作不備検出）の処理を行う（Ｓ１０）。代理ＥＣＵ３１（異常検出部）は、例えば、アクティベート処理後の車載装置２から送信される定期的な自発送信フレームの有無を監視し、当該自発送信フレームを受信した場合はアクティベート処理後の車載装置２は正常であると判定し、受信できなかった場合は異常であると判定（動作不備検出）する。又は、代理ＥＣＵ３１は、動作不備検出を行うためのテスト用信号をアクティベート処理後の車載装置２に送出し、当該テスト用信号に対する応答信号を受信したか否かに基づき、当該車載装置２の動作確認（動作不備検出）を行うものであってもよい。すなわち、代理ＥＣＵ３１は、アクティベート処理後の車載装置２から、テスト用信号に対する応答信号を受信した場合は正常であると判定し、受信できなかった場合は異常であると判定（動作不備検出）するものであってもよい。

代理ＥＣＵ３１は、動作確認結果に応じて、車載装置２に対し正常通知又はロールバック指示を出力（送信）する（Ｓ１１）。代理ＥＣＵ３１は、動作確認結果が正常である場合、正常通知を車載装置２に出力（送信）する。代理ＥＣＵ３１（復旧制御部）は、動作確認結果が異常（動作不備を検出）である場合、ロールバック指示を車載装置２に出力（送信）する。当該ロールバック指示は、車載装置２におけるアクティベート処理（更新プログラムの適用）が失敗したことを示す異常通知に相当する。

車載装置２は、代理ＥＣＵ３１から出力されたロールバック指示に基づき、ロールバック処理を行う（Ｓ１２）。代理ＥＣＵ３１から出力されたロールバック指示を受信した車載装置２は、更新プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。当該元プログラムは、更新プログラムが記憶されている記憶領域（動作面）とは、異なる記憶領域（非動作面）にバックアップとして記憶（保存）されている。車載装置２は、当該元プログラムが記憶されている記憶領域を動作面として再起動することにより、更新プログラムが記憶されている記憶領域を非動作面とし、ロールバック処理を行うことができる。

車載装置２は、更新対象の車載ＥＣＵ３へ、ロールバック指示を出力（送信）する（Ｓ１３）。車載装置２は、自装置のロールバック処理した場合、更新対象の車載ＥＣＵ３に対してもロールバック指示を出力することにより、これら車載装置２及び車載ＥＣＵ３においてプログラムのバージョンの差異等による不整合が発生することを解消する。

車載装置２は、自装置のロールバック処理しなかった場合、すなわち自装置のアクティベート処理が正常終了した場合であっても、更新対象の車載ＥＣＵ３のうち、いずれかの車載ＥＣＵ３にてアクティベート処理が失敗した場合、更新対象の全ての車載ＥＣＵ３へロールバック指示を出力（送信）する。この場合、車載装置２は、更に自装置のロールバック処理を行う。これにより、車載装置２及び車載ＥＣＵ３においてプログラムのバージョンの差異等による不整合が発生することを解消することができる。

更新対象の車載ＥＣＵ３は、車載装置２から出力されたロールバック指示に応じて、ロールバック処理を行う（Ｓ１４）。更新対象の車載ＥＣＵ３は、車載装置２と同様に、更新プログラムが記憶されている記憶領域と、元プログラムが記憶されている記憶領域とにおける動作面及び非動作面の対応関係を切り替えて再起動することにより、元プログラムの実行環境に戻すロールバック処理を行う。

車載装置２は、更新プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ１５）。車載装置２は、更新プログラムに関する処理の結果として、更新対象である車載装置２及び車載ＥＣＵ３への更新プログラムの適用が成功した旨を示す更新成功通知、又は更新プログラムの適用が失敗しロールバックした旨を示す更新失敗通知を外部サーバＳ１に出力（送信）する。車載装置２は、更新プログラムに関する処理の結果を表示装置５に出力し、当該処理結果を表示装置５に表示させるものであってもよい。車載装置２は、当該更新プログラムの処理結果に基づき、更新対象である車載装置２及び車載ＥＣＵ３に関する車両構成情報を修正するものであってもよい。

本実施形態において、代理ＥＣＵ３１は、車載装置２におけるプログラムの更新処理を代理するとしたが、これに限定されず、代理ＥＣＵ３１は、更新対象である車載装置２及び車載ＥＣＵ３におけるプログラムの更新処理の全てを代理するものであってもよい。

図６は、車載装置２の制御部２０の処理を例示するフローチャートである。車載装置２の制御部２０は、例えば車両Ｃが停止状態（ＩＧスイッチ６がオフ）において、定常的に以下の処理を行う。

車載装置２の制御部２０は、外部サーバＳ１から更新プログラムを取得する（Ｓ１０１）。車載装置２の制御部２０は、自装置用の更新プログラムを記憶する（Ｓ１０２）。車載装置２の制御部２０は、外部サーバＳ１から、自装置及び車載ＥＣＵ３に適用するための更新プログラムを含むパッケージを取得し、自装置用の更新プログラムを、非動作面の記憶領域に記憶する。例えば、第１記憶部２３１が動作面であり、現時点にて実行しているプログラムが記憶されている場合、車載装置２の制御部２０は、非動作面である第２記憶部２３２に、自装置用の更新プログラムを記憶する。

車載装置２の制御部２０は、更新対象の車載ＥＣＵ３へ、当該車載ＥＣＵ３用の更新プログラムを出力（送信）する（Ｓ１０３）。車載装置２の制御部２０は、外部サーバＳ１から取得したパッケージに含まれるターゲット情報に基づき、更新対象の車載ＥＣＵ３を特定し、特定した車載ＥＣＵ３に対し当該車載ＥＣＵ３用の更新プログラムを送信する。

車載装置２の制御部２０は、代理要求を送信することにより、代理ＥＣＵ３１を選定する（Ｓ１０４）。車載装置２の制御部２０は、車両構成情報を参照し、今回のプログラム更新の対象外の車載ＥＣＵ３であって、代理ＥＣＵ３１として機能する複数の候補ＥＣＵを特定する。車載装置２の制御部２０は、これら複数の候補ＥＣＵに対し、車両構成情報にて設定されている優先順位に基づき、代理要求を順次に送信し、当該代理要求に最先に応答した候補ＥＣＵを、代理ＥＣＵ３１として選定する。

車載装置２の制御部２０は、代理ＥＣＵ３１を選定するにあたり、更新対象外の車載ＥＣＵ３であって、更新対象の車載ＥＣＵ３と同じ通信線４１（セグメント）に接続されている車載ＥＣＵ３を代理ＥＣＵ３１として選定するものであってもよい。車載装置２の制御部２０は、例えば、車両構成情報を参照することにより、更新対象外の車載ＥＣＵ３であって、更新対象の車載ＥＣＵ３と同じ通信線４１（セグメント）に接続されている車載ＥＣＵ３のうち、代理ＥＣＵ３１として機能する単一又は複数の候補ＥＣＵを特定する。車載装置２の制御部２０は、当該特定した候補ＥＣＵに対し、代理要求を送信し、最先に応答した候補ＥＣＵを代理ＥＣＵ３１として選定するものであってもよい。

その上で、車載装置２の制御部２０は、更新対象の車載ＥＣＵ３が接続されていない通信線４１（セグメント）に接続されている車内通信部２２への給電を停止し、当該車内通信部２２による電力消費を削減するものであってもよい。車載装置２が備える車内通信部２２それぞれに対し、当該車内通信部２２への電力の供給及び遮断を制御するリレーが設けられており、車載装置２の制御部２０は、当該リレーをオフにする。これにより、更新対象の車載ＥＣＵ３が接続されていない通信線４１（セグメント）に接続されている車内通信部２２への給電を停止するものであってもよい。プログラムの更新処理は、エンジンの停止期間中に行うことを要するため、鉛バッテリー等の蓄電装置の電力を消費するものとなるところ、当該車内通信部２２への通電を停止することにより、電力消費量を低減することができる。

車載装置２の制御部２０は、更新対象の車載ＥＣＵ３へ、アクティベート指示を出力（送信）する（Ｓ１０５）。車載装置２の制御部２０は、更新対象の車載ＥＣＵ３それぞれにアクティベート指示を出力し、これら車載ＥＣＵ３にアクティベート処理を実行させる。

車載装置２の制御部２０は、代理ＥＣＵ３１からのアクティベート指示を取得（受信）する（Ｓ１０６）。車載装置２の制御部２０は、アクティベート指示に応じて、アクティベート処理を行う（Ｓ１０７）。車載装置２の制御部２０は、アクティベート処理を行うことにより更新プログラムを実行（適用）し、自装置にて実行する制御プログラムＰのバージョンアップを行う。車載装置２の制御部２０は、当該更新プログラムを実行することにより、例えば、定期的又は周期的に所定のデータ（フレーム又はメッセージ）をブロードキャスト又はマルチキャストにて出力する。

代理ＥＣＵ３１は、アクティベート処理を行った（更新プログラムを適用した）車載装置２から、定期的に送信される所定のデータを受信したか否かを判定し、当該判定結果に基づき、アクティベート処理後の車載装置２において、動作不備が発生したか否かを判定する。又は、代理ＥＣＵ３１は、アクティベート処理を行った（更新プログラムを適用した）車載装置２に対し、テスト用信号を送信し、当該車載装置２からの応答の有無に基づき、アクティベート処理後の車載装置２において、動作不備が発生したか否かを判定するものであってもよい。代理ＥＣＵ３１は、アクティベート処理後の車載装置２において動作不備が発生したと判定した場合、車載装置２にロールバック指示を出力（送信）する。代理ＥＣＵ３１は、アクティベート処理後の車載装置２において動作不備が発生しなかった判定した場合、車載装置２に正常通知を出力（送信）する。

車載装置２の制御部２０は、代理ＥＣＵ３１からロールバック指示を取得（受信）したか否かを判定する（Ｓ１０８）。代理ＥＣＵ３１からロールバック指示を取得した場合（Ｓ１０８：ＹＥＳ）、車載装置２の制御部２０は、ロールバック処理を行う（Ｓ１０９）。車載装置２の制御部２０は、代理ＥＣＵ３１からロールバック指示を取得した場合、更新プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。

代理ＥＣＵ３１からロールバック指示を取得しなかった場合（Ｓ１０８：ＮＯ）、車載装置２の制御部２０は、更新対象の全ての車載ＥＣＵ３のアクティベート処理が正常に行われたか否かを判定する（Ｓ１０８１）。車載装置２の制御部２０は、代理ＥＣＵ３１からロールバック指示を取得しなかった場合、自装置における更新プログラムの適用（アクティベート処理）は正常に完了したと判定する。又は、車載装置２の制御部２０は、代理ＥＣＵ３１から正常通知を取得した場合、自装置における更新プログラムの適用（アクティベート処理）は正常に完了したと判定するものであってもよい。その上で、車載装置２の制御部２０は、更新対象の全ての車載ＥＣＵ３における更新プログラムの適用（アクティベート処理）が正常に完了したか否かを判定する。車載装置２の制御部２０は、更新対象の全ての車載ＥＣＵ３それぞれに対し、例えばテスト用の通信データを送信し、当該通信データに対する応答データを受信したか否かに基づき、これら車載ＥＣＵ３それぞれのアクティベート処理が正常に完了したか否かを判定するものであってもよい。

更新対象の全ての車載ＥＣＵ３のアクティベート処理が正常に行われなかったと判定した場合、すなわち更新対象の車載ＥＣＵ３のうち、いずれか１つの車載ＥＣＵ３でもアクティベート処理が正常に行われなかったと判定した場合（Ｓ１０８１：ＮＯ）、又は、自装置のロールバック処理を行った（Ｓ１０９）後、更新対象の車載ＥＣＵ３へ、ロールバック指示を出力（送信）する（Ｓ１１０）。更新対象の車載ＥＣＵ３は、車載装置２から出力されたロールバック指示に応じて、ロールバック処理を行う。

更新対象の全ての車載ＥＣＵ３のアクティベート処理が正常に行われた判定した場合（Ｓ１０８１：ＹＥＳ）、又は、更新対象の車載ＥＣＵ３へ、ロールバック指示を出力した（Ｓ１１０）後、車載装置２の制御部２０は、更新プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ１１１）。車載装置２の制御部２０は、更新プログラムに関する処理結果を外部サーバＳ１及び表示装置５に出力し、更に当該処理結果に基づき、更新対象である車載装置２及び車載ＥＣＵ３に関する車両構成情報を修正するものであってもよい。

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載更新システム
Ｓ１ 外部サーバ（ＯＴＡサーバ）
Ｓ１１ 記憶部
Ｎ 車外ネットワーク
１ 車外通信装置
１１ アンテナ
２ 車載装置（ＯＴＡマスタ）
２０ 制御部
２１ 入出力Ｉ／Ｆ
２２ 車内通信部
２３１ 第１記憶部（記憶部）
２３２ 第２記憶部（記憶部）
２４ 記録媒体
Ｐ 制御プログラム（プログラム製品）
３ 車載ＥＣＵ（候補ＥＣＵ）
３１ 代理ＥＣＵ
４ 車載ネットワーク
４１ 通信線（セグメント）
５ 表示装置
６ ＩＧスイッチ

Claims (11)

1. 車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う制御部を備える車載装置であって、
   前記制御部は、
   前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、
   前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、
   選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う
   車載装置。
2. 前記制御部は、アクティベート処理を行った後、前記代理ＥＣＵからロールバック指示を取得した場合、更新プログラムを適用する前の元プログラムに戻すロールバック処理を行う
   請求項１に記載の車載装置。
3. 前記制御部は、
   前記外部サーバから、プログラムの更新対象の車載ＥＣＵに適用するための更新プログラムを取得し、
   前記車載装置のアクティベート処理を行う前に、取得した車載ＥＣＵ用の更新プログラムを、前記更新対象の車載ＥＣＵに出力し、
   前記更新対象の車載ＥＣＵに対し、車載ＥＣＵ用の更新プログラムを適用させるためのアクティベート指示を出力する
   請求項１又は請求項２に記載の車載装置。
4. 前記制御部は、前記代理ＥＣＵからロールバック指示に応じてロールバック処理を行った後、前記更新対象の車載ＥＣＵに対し更新プログラムを適用する前の元プログラムに戻すロールバック指示を出力する
   請求項３に記載の車載装置。
5. 前記制御部は、前記車両が起動状態となることが禁止される期間にて更新プログラムに関する処理を行う
   請求項１から請求項４のいずれか１項に記載の車載装置。
6. 前記制御部は、
   前記車両に搭載される複数の車載ＥＣＵのうち、前記代理ＥＣＵの機能を有する複数の候補ＥＣＵを特定し、
   特定した前記候補ＥＣＵに対し送信した代理要求の送信結果に応じて、複数の前記候補ＥＣＵのいずれかを前記代理ＥＣＵとして選定する
   請求項１から請求項５のいずれか１項に記載の車載装置。
7. 前記車両に搭載される車載ＥＣＵに関する情報を含む車両構成情報が記憶される記憶部を備え、
   前記車両構成情報を参照することにより、前記候補ＥＣＵを特定する
   請求項６に記載の車載装置。
8. 前記車両が備える車載ネットワークは、車載ＥＣＵが接続される複数のセグメントにより構成され、
   前記制御部は、プログラムの更新対象の車載ＥＣＵと同じセグメントに接続されている車載ＥＣＵを、前記代理ＥＣＵとして選定する
   請求項１から請求項７のいずれか１項に記載の車載装置。
9. 車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行うコンピュータに、
   前記外部サーバから前記コンピュータに適用するための更新プログラムを取得し、
   前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、
   選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記コンピュータに適用するアクティベート処理を行う
   処理を実行させるプログラム。
10. 車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行うコンピュータに、
    前記外部サーバから前記コンピュータに適用するための更新プログラムを取得し、
    前記車両に搭載される複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、
    選定した前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記コンピュータに適用するアクティベート処理を行う
    処理を実行させるプログラムの更新方法。
11. 車両に搭載される複数の車載ＥＣＵと、
    前記車両外の外部サーバから送信される更新プログラムを取得し、前記車両に搭載される車載ＥＣＵのプログラムを更新するための処理を行う車載装置とを含む車載更新システムであって、
    前記車載装置は、
    前記外部サーバから前記車載装置に適用するための更新プログラムを取得し、
    前記複数の車載ＥＣＵのうち、プログラムの更新対象外であるいずれかの車載ＥＣＵを、代理ＥＣＵとして選定し、
    選定された前記代理ＥＣＵは、前記車載装置にアクティベート指示を出力し、
    前記車載装置は、前記代理ＥＣＵからのアクティベート指示に応じて、取得した更新プログラムを前記車載装置に適用するアクティベート処理を行う
    車載更新システム。

Images