JP2023101939A - 制御システム、および、制御システムの制御方法 - Google Patents

Abstract

【課題】プログラムの整合性がとれなくなることの回避。【解決手段】車両の制御システムは、電力源と、第１／第２電力線と、電力源と第１／第２電力線との間の遮断／接続を切替える第１／第２リレーと、第１／第２電力線により電力が供給され、第１／第２現行プログラムを実行することで作動する第１／第２制御装置とを備える。第１／第２リレーは、同期して遮断／接続が切替えられる。第１リレーの遮断から第１制御装置の作動不能までの期間は、第２リレーの遮断から第２制御装置の作動不能までの期間と比較して短い。第１制御装置は、第１リレーの接続への切替（ステップＳ１１５でＹＥＳ）を条件に、第２制御装置にトリガ信号を送信後（ステップＳ１１７）第１更新プログラムを有効化する（ステップＳ１１９）。第２制御装置は、トリガ信号の受信（ステップＳ２１７でＹＥＳ）を条件に、第２更新プログラムを有効化する（ステップＳ２１９）。【選択図】図４

Description

この開示は、制御システム、および、制御システムの制御方法に関し、特に、制御のためのプログラムを更新可能な車両の制御システム、および、その制御システムの制御方法に関する。

従来、車両の電子制御装置によって実行されるプログラムを更新可能なものがあった（たとえば、特許文献１参照）。

特開２０２０－２７６６６号公報

このような電子制御装置においては、協調して動作する他の電子制御装置のプログラムとバージョンの整合性をとるために、イグニッションスイッチがオフからオンにされたことを契機に、一斉に、各電子制御装置が更新後のバージョンのプログラムをアクティベート（有効化）する。しかし、イグニッションスイッチがオンからオフにされた直後にオフからオンにされた場合に、電子制御装置の電源端子にコンデンサが接続されているとコンデンサに残っている電荷により電子制御装置が動作し続ける。このため、コンデンサが接続されている一部の電子制御装置が、イグニッションスイッチがオフからオンにされたことを検出できず、更新プログラムをアクティベートできない。一方、イグニッションスイッチがオフからオンにされたことを検出できた他の電子制御装置は、更新プログラムをアクティベートする。その結果、協調して動作する複数の電子制御装置のプログラムのバージョンの整合性がとれなくなってしまう。

この開示は、このような課題を解決するためになされたものであって、その目的は、プログラムの整合性がとれなくなることを回避することが可能な制御システム、および、制御システムの制御方法を提供することである。

この開示に係る制御システムは、制御のためのプログラムを更新可能な車両の制御システムであって、電力源と、第１電力線と、第２電力線と、電力源と第１電力線との間の電路の遮断または接続を切替える第１リレーと、電力源と第２電力線との間の電路の遮断または接続を切替える第２リレーと、第１電力線により電力が供給され、第１現行プログラムを実行することで作動する、少なくとも１つの第１制御装置と、第２電力線により電力が供給され、第２現行プログラムを実行することで作動する、少なくとも１つの第２制御装置とを備える。第１リレーおよび第２リレーは、同期して、遮断または接続が切替えられる。第１リレーが遮断に切替えられてから、第１制御装置に供給される電力が低下し作動不能となるまでの第１期間は、第２リレーが遮断に切替えられてから、第２制御装置に供給される電力が低下し作動不能となるまでの第２期間と比較して短い。第１制御装置は、第１リレーが遮断から接続に切替えられたことを検知したことを条件として、第２制御装置にトリガ信号を送信した後に、第１現行プログラムを更新した第１更新プログラムを有効化する。第２制御装置は、第１制御装置からトリガ信号を受信したことを条件として、第２現行プログラムを更新した第２更新プログラムを有効化する。

このような構成によれば、第１リレーおよび第２リレーが同期して遮断に切替えられた後、第１制御装置の方が先に作動不能となり、その後に、第１リレーおよび第２リレーが同期して接続に切替えられたときに、第１制御装置は、第１リレーが接続に切替えられたことを検知できる。第１制御信号は、この検知に応じて、第２制御装置にトリガ信号を送信してから、第１更新プログラムを有効化する。第２制御装置は、トリガ信号を受信したときに、第２更新プログラムを有効化する。このため、第２リレーが遮断から接続に切替えられたことを検知可能か否かに関わらず、第２制御装置の第２更新プログラムを第１制御装置の第１更新プログラムと合わせて有効化することができる。その結果、プログラムの整合性がとれなくなることを回避することが可能な制御システムを提供することができる。

第２制御装置は、第１制御装置からトリガ信号を受信したこと、または、第２リレーが遮断から接続に切替えられたことを検知したことを条件として、第２更新プログラムを有効化するようにしてもよい。

このような構成によれば、トリガ信号を受信したか否かに関わらず、第２制御装置は、第２更新プログラムを有効化することができる。その結果、より確実に、プログラムの整合性がとれなくなることを回避することができる。

第１制御装置に電力を供給するために第１電力線が接続される端子とグランドとの間、および、第２制御装置に電力を供給するために第２電力線が接続される端子とグランドとの間に、それぞれ、少なくとも１つのコンデンサが接続されるようにしてもよい。

このような構成によれば、第１電力線および第２電力線の静電容量を調整することで、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間を、第１期間が第２期間と比較して短くなるように調整することができる。その結果、第１リレーおよび第２リレーが遮断に切替えられてから、第２制御装置よりも先に、確実に、第１制御装置が作動不能となるようにすることができる。

第２制御装置に電力を供給するために第２電力線が接続される端子とグランドとの間に、少なくとも１つのコンデンサが接続される一方、第１制御装置に電力を供給するために第１電力線が接続される端子とグランドとの間には、コンデンサは接続されないようにしてもよい。

このような構成によれば、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間を、第１期間が第２期間と比較して、確実に短くなるようにできる。その結果、第１リレーおよび第２リレーが遮断に切替えられてから、第２制御装置よりも先に、確実に、第１制御装置が作動不能となるようにすることができる。

第１電力線とグランドとの間の合計の静電容量が、第２電力線とグランドとの間の合計の静電容量と比較して小さい場合、第１期間が第２期間と比較して短いとみなすようにしてもよい。

このような構成によれば、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間の比較を、第１電力線および第２電力線の静電容量を特定することで行うことができる。その結果、第１期間が第２期間と比較して短くなるように容易に調整できる。

この開示に他の局面によれば、制御システムの制御方法は、制御のためのプログラムを更新可能な車両の制御システムの制御方法である。制御システムは、電力源と、第１電力線と、第２電力線と、電力源と第１電力線との間の電路の遮断または接続を切替える第１リレーと、電力源と第２電力線との間の電路の遮断または接続を切替える第２リレーと、第１電力線により電力が供給され、第１現行プログラムを実行することで作動する、少なくとも１つの第１制御装置と、第２電力線により電力が供給され、第２現行プログラムを実行することで作動する、少なくとも１つの第２制御装置とを備える。第１リレーおよび第２リレーは、同期して、遮断または接続が切替えられる。第１リレーが遮断に切替えられてから、第１制御装置に供給される電力が低下し作動不能となるまでの第１期間は、第２リレーが遮断に切替えられてから、第２制御装置に供給される電力が低下し作動不能となるまでの第２期間と比較して短い。制御方法は、第１制御装置が、第１リレーが遮断から接続に切替えられたことを検知したことを条件として、第２制御装置にトリガ信号を送信した後に、第１現行プログラムを更新した第１更新プログラムを有効化するステップと、第２制御装置が、第１制御装置からトリガ信号を受信したことを条件として、第２現行プログラムを更新した第２更新プログラムを有効化するステップとを含む。

このような構成によれば、プログラムの整合性がとれなくなることを回避することが可能な制御システムの制御方法を提供することができる。

この開示によれば、プログラムの整合性がとれなくなることを回避することが可能な制御システムおよび制御システムの制御方法を提供することができる。

この開示の実施形態における管理サーバと管理サーバと通信可能な複数の車両とを含むシステムの構成の一例を説明するための図である。 この実施の形態に係る車両の構成の一例を概略的に示す図である。 この実施の形態におけるＥＣＵの制御プログラムの更新を説明するためのブロック図である。 第１実施形態における更新有効化処理の流れを示すフローチャートである。 この実施の形態におけるイグニッションスイッチのオンおよびオフの切替えによるＥＣＵの印加電圧の変化およびトリガ情報の変化の一例を示すタイミングチャートである。 第２実施形態における更新有効化処理の流れを示すフローチャートである。 第３実施形態における更新有効化処理の流れを示すフローチャートである。

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

［第１実施形態］
図１は、この開示の実施形態における管理サーバ１０と管理サーバ１０と通信可能な複数の車両１Ａ～１Ｄとを含むシステムの構成の一例を説明するための図である。

図１に示すように、管理サーバ１０は、通信ネットワーク６上に設けられた基地局７を介して、車両１Ａ～１Ｄを含む複数の電動車両と互いに通信可能に構成される。管理サーバ１０には、車両１Ａ～１Ｄを識別するための識別情報が予め記憶される。識別情報は、車両毎に設定された固有の情報である。管理サーバ１０には、さらに車両１Ａ～１Ｄの各々における各種制御プログラムのバージョン情報、リビジョン情報および更新履歴が上述の識別情報と対応づけて記憶される。管理サーバ１０は、車両１Ａ～１Ｄの動作に用いられる各種制御プログラムの更新状況を管理し、複数の制御プログラムのうちの少なくともいずれかの制御プログラムの新バージョンが準備されると、車両１Ａ～１Ｄのうちの対象車両に対して制御プログラムの更新を要求する。

管理サーバ１０は、制御装置１１と、記憶装置１２と、通信装置１３とを含むコンピュータである。制御装置１１と記憶装置１２と通信装置１３とは、通信バス１４によって互いに通信可能に接続される。

記憶装置１２は、車両１Ａ～１Ｄの識別情報と、識別情報に対応付けられた上述の更新状況とを含む管理リストを格納する。管理リストとしては、識別情報に対応付けられたその他の情報（更新日時や制御プログラム別の更新状況等）をさらに含むようにしてもよい。通信装置１３は、制御装置１１と通信ネットワーク６との間で双方向通信を実現する。

制御装置１１は、いずれも図示しないが、ＣＰＵ（Central Processing Unit）、メモリ（ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）など）、および、各種信号を入出力するための入出力ポート等を含んで構成されている。制御装置１１により実行される各種制御は、ソフトウェア処理、すなわち、メモリに格納されたプログラムがＣＰＵにより読み出されることにより実行される。制御装置１１による各種制御は、記憶媒体に記憶されたプログラムを汎用のサーバ（図示せず）が実行することによっても実現可能である。ただし、制御装置１１による各種制御は、ソフトウェア処理に限られず、専用のハードウェア（電子回路）で処理してもよい。

なお、上述の管理サーバ１０は、４台の車両１Ａ～１Ｄを管理する場合を一例として説明したが、管理する車両の台数は、特に４台に限定されるものではなく、３台以下であってもよいし、５台以上であってもよい。

次に、本実施の形態に係る車両１の具体的な構成について説明する。図２は、この実施の形態に係る車両１の構成の一例を概略的に示す図である。図２を参照して、車両１は、蓄電装置２０と、システムメインリレー（ＳＭＲ：System Main Relay）２１と、パワーコントロールユニット（ＰＣＵ：Power Control Unit）２２と、ＤＣ（Direct Current）／ＤＣコンバータ４０と、補機バッテリ５０と、モータジェネレータ（以下、ＭＧと記載する）６２と、動力伝達ギヤ６５と、駆動輪６６と、制御システム９０とを含む。

蓄電装置２０は、再充電可能な直流電源であり、たとえば、ニッケル水素電池または液体あるいは固体の電解質を有するリチウムイオン電池などの二次電池を含んで構成される。蓄電装置２０として電気二重層キャパシタ等のキャパシタも採用可能である。蓄電装置２０は、車両１の走行駆動力を生成するための電力をＰＣＵ２２へ供給する。また、蓄電装置２０は、ＭＧ６２の回生動作により発電された電力により充電されたり、ＭＧ６２の駆動動作により放電されたり、車両外部から供給される電力により充電されたり、車両外部への電力の供給により放電されたりする。

ＳＭＲ２１は、蓄電装置２０とＰＣＵ２２との間に電気的に接続されている。ＳＭＲ２１の閉成／開放は、制御システム９０のＭＧ－ＥＣＵ（Electronic Control Unit）１００からの指令に従って制御される。

ＰＣＵ２２は、制御システム９０のＭＧ－ＥＣＵ１００からの指令に従って、蓄電装置２０とＭＧ６２との間で電力変換を行なう。ＰＣＵ２２は、蓄電装置２０から電力を受けてＭＧ６２を駆動するインバータと、インバータに供給される直流電圧のレベルを調整するコンバータ（いずれも図示せず）等とを含んで構成される。

ＭＧ６２は、三相交流回転電機であって、たとえば、永久磁石が埋設されたロータを備える永久磁石型同期電動機である。ＭＧ６２は、いずれも電動機（モータ）としての機能と発電機（ジェネレータ）としての機能とを有する。ＭＧ６２は、ＰＣＵ２２を介して蓄電装置２０と接続される。

ＭＧ６２は、たとえば、車両１の走行時においては、ＰＣＵ２２に含まれるインバータによって駆動される。ＭＧ６２の動力は、動力伝達ギヤ６５を介して駆動輪６６に伝達される。また、ＭＧ６２は、たとえば、車両１の制動時においては、駆動輪６６によりＭＧ６２が駆動され、ＭＧ６２が発電機として動作して、回生制動を行なう。ＭＧ６２によって発電された電力は、ＰＣＵ２２を介して蓄電装置２０に蓄えられる。

車両１は、車両１の外部の交流電源１５を用いた充電（以下、外部充電と記載する場合がある）を行なうための構成として、充電リレー２６と、充電装置２７と、インレット２８とをさらに備える。インレット２８には、コネクタ３２が連結される。コネクタ３２は、ケーブル３１を介して充電スタンド３０に連結される。図２においては、コネクタ３２がインレット２８に取り付けられた状態が示されるが、コネクタ３２は、インレット２８から脱着可能に構成され、外部充電が行なわれる場合にインレット２８にコネクタ３２が取り付けられ、車両１が運転される場合にインレット２８からコネクタ３２が取り外される。充電スタンド３０には、交流電源１５からの交流電力が供給されており、インレット２８にコネクタ３２が取り付けられることにより、充電スタンド３０から車両１に交流電力が供給可能な状態になる。

蓄電装置２０の外部充電時には、充電スタンド３０側からケーブル３１、コネクタ３２およびインレット２８を介して電力が供給され、充電装置２７において蓄電装置２０の充電が可能な電力（以下、充電電力と記載する）に変換され、変換された充電電力が蓄電装置２０に供給される。

充電リレー２６は、蓄電装置２０と充電装置２７との間に電気的に接続されている。充電リレー２６が閉成され、かつ、ＳＭＲ２１が閉成されると、インレット２８と蓄電装置２０との間で電力伝送が可能な状態となる。

充電装置２７は、充電リレー２６とインレット２８との間に電気的に接続されている。充電装置２７は、制御システム９０のＭＧ－ＥＣＵ１００からの指令に従って、充電スタンド３０から供給される電力（たとえば、ＡＣ１００Ｖの交流電力）を充電電力（直流電力）に変換する。

ＤＣ／ＤＣコンバータ４０は、ＳＭＲ２１と充電装置２７との間に電気的に接続されている。そのため、ＳＭＲ２１が閉成されると、蓄電装置２０からＤＣ／ＤＣコンバータ４０に対して電力供給が可能な状態となる。ＤＣ／ＤＣコンバータ４０は、制御システム９０の電池ＥＣＵ１３０からの指令に従って、蓄電装置２０の高圧の直流電圧を、低圧の直流電圧に降圧して、降圧した低圧の直流電圧を、補機負荷（図示せず）に供給するとともに、補機バッテリ５０に供給する。これにより、補機バッテリ５０が充電される。

補機バッテリ５０は、鉛蓄電池等の二次電池であり、補機負荷の動作が可能な低圧の直流電圧（たとえば、１２Ｖ程度の電力）を充放電可能とする。補機バッテリ５０の端子部分あるいはＤＣ／ＤＣコンバータ４０との間を接続する電力線には、たとえば、補機バッテリ５０の出力電圧を検出する電圧センサ５９が設けられる。電圧センサ５９は、検出した補機バッテリ５０の出力電圧を示す信号を電池ＥＣＵ１３０に送信する。

本実施の形態において、制御システム９０は、複数の制御装置を含む。具体的には、制御システム９０は、ＭＧ－ＥＣＵ１００と、充電ＥＣＵ１１０と、電池ＥＣＵ１３０と、メータＥＣＵ１４０と、更新ＥＣＵ１５０と、Ａ＿ＥＣＵ１６０と、Ｂ＿ＥＣＵ１７０と、Ｃ＿ＥＣＵ１８０とを含む。ＭＧ－ＥＣＵ１００、充電ＥＣＵ１１０、電池ＥＣＵ１３０、メータＥＣＵ１４０、更新ＥＣＵ１５０、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０、および、Ｃ＿ＥＣＵ１８０は、通信ネットワークの一例であるＣＡＮ（Controller Area Network）９１によって互いに通信可能に接続される。

ＭＧ－ＥＣＵ１００は、ＣＰＵ１０２、メモリ１０４、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。ＭＧ－ＥＣＵ１００は、車両１が所望の走行状態となるように車両１内のＳＭＲ２１およびＰＣＵ２２を制御する。ＭＧ－ＥＣＵ１００により実行される各種制御は、ソフトウェア処理、すなわち、メモリ１０４に格納された制御プログラムがＣＰＵ１０２により読み出されることにより実行される。

ＭＧ－ＥＣＵ１００には、車輪速センサ６７が接続される。車輪速センサ６７は、駆動輪６６の回転速度（車輪速）Ｖを検出し、検出した車輪速Ｖを示す信号をＭＧ－ＥＣＵ１００に送信する。ＭＧ－ＥＣＵ１００は、検出された車輪速Ｖを用いて車両１の速度（以下、車速とも記載する）を算出する。

充電ＥＣＵ１１０は、ＣＰＵ１１２、メモリ１１４、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。充電ＥＣＵ１１０は、停止中の車両１が充電スタンド３０を用いた外部充電が実施可能な状態となるように車両１内の充電リレー２６および充電装置２７を制御する。充電ＥＣＵ１１０により実行される各種制御は、ソフトウェア処理、すなわち、メモリ１１４に格納された制御プログラムがＣＰＵ１１２により読み出されることにより実行される。

電池ＥＣＵ１３０は、ＣＰＵ１３２、メモリ１３４、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。電池ＥＣＵ１３０は、蓄電装置２０の状態について情報を取得し、取得した情報を用いて蓄電装置２０のＳＯＣ（State Of Charge）を算出したり、補機バッテリ５０が充電されるようにＤＣ／ＤＣコンバータ４０を制御したりする。電池ＥＣＵ１３０により実行される各種処理は、ソフトウェア処理、すなわち、メモリ１３４に格納された制御プログラムがＣＰＵ１３２により読み出されることにより実行される。

蓄電装置２０には、たとえば、電圧センサ１３６と、電流センサ１３７と、温度センサ１３８とが設けられる。電池ＥＣＵ１３０には、電圧センサ１３６と、電流センサ１３７と、温度センサ１３８とが接続される。

電圧センサ１３６は、蓄電装置２０の電圧ＶＢを検出し、検出した電圧ＶＢを示す信号を電池ＥＣＵ１３０に送信する。電流センサ１３７は、蓄電装置２０の電流ＩＢを検出し、検出した電流ＩＢを示す信号を電池ＥＣＵ１３０に送信する。さらに、温度センサ１３８は、蓄電装置２０の温度ＴＢを検出し、検出した温度ＴＢを示す信号を電池ＥＣＵ１３０に送信する。

電池ＥＣＵ１３０は、たとえば、電圧センサ１３６、電流センサ１３７および温度センサ１３８による検出結果を用いて蓄電装置２０の残容量を示すＳＯＣを算出する。ＳＯＣは、蓄電装置２０の満充電状態の蓄電量に対する現在の蓄電量の割合を百分率で表したものである。なお、ＳＯＣの算出方法としては、たとえば、電流値積算（クーロンカウント）による手法、または、開放電圧（ＯＣＶ：Open Circuit Voltage）の推定による手法など、種々の公知の手法を採用できる。

さらに電池ＥＣＵ１３０には、補機バッテリ５０の電圧を検出する電圧センサ５９が接続される。電圧センサ５９は、補機バッテリの電圧を示す信号を電池ＥＣＵ１３０に送信する。

メータＥＣＵ１４０は、ＣＰＵ１４２、メモリ１４４、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。メータＥＣＵ１４０は、車両１の室内の表示装置（たとえば、運転席に着座した運転者から視認可能な位置に設けられる速度計や距離計などの各種計器や警告灯を表示する表示装置）に所定の情報を表示する表示制御を実行する。メータＥＣＵ１４０により実行される各種制御は、ソフトウェア処理、すなわち、メモリ１４４に格納された制御プログラムがＣＰＵ１４２により読み出されることにより実行される。

更新ＥＣＵ１５０は、ＣＰＵ１５２、メモリ１５４、通信装置１５６、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。更新ＥＣＵ１５０は、ＭＧ－ＥＣＵ１００と、充電ＥＣＵ１１０と、電池ＥＣＵ１３０と、メータＥＣＵ１４０と、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０と、Ｃ＿ＥＣＵ１８０とのうちの少なくともいずれかに対して制御プログラムの更新情報を送信して、制御プログラムの更新を要求する処理を実行する。

通信装置１５６は、車両１の外部の機器と通信可能に構成される。具体的には、通信装置１５６は、上述の管理サーバ１０と通信ネットワーク６および基地局７を介して通信可能に構成される。通信ネットワーク６は、たとえば、インターネット等により構成される。基地局７と通信装置１５６とは携帯電話回線（たとえば、４Ｇや５Ｇ）によって通信可能に接続されてもよいし、あるいは、無線ＬＡＮ（Local Area Network）等の無線通信によって接続されてもよい。

更新ＥＣＵ１５０は、各ＥＣＵにおいて更新処理が実行されるように、更新処理の実行を要求する処理を実行する。更新ＥＣＵ１５０により実行される各種処理は、ソフトウェア処理、すなわち、メモリ１５４に格納されたプログラムがＣＰＵ１５２により読みされることにより実行される。更新ＥＣＵ１５０により実行される各種処理は、ソフトウェア処理に限られず、専用のハードウェア（電子回路）を用いて実行されてもよい。

Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、それぞれ、ＣＰＵ１６２，１７２，１８２、メモリ１６４，１７４，１８４、および、各種信号を入出力するための入出力ポート（図示せず）等を含んで構成されている。Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、上述したＭＧ－ＥＣＵ１００、充電ＥＣＵ１１０、電池ＥＣＵ１３０、メータＥＣＵ１４０、および、更新ＥＣＵ１５０のいずれかのことであってもよいし、他の機能を有するＥＣＵであってもよい。

更新ＥＣＵ１５０は、たとえば、通信装置１５６を用いて管理サーバ１０から更新用の差分データと、更新対象となるＥＣＵに関する情報とを受信すると、更新対象となるＥＣＵに対して更新処理の実行要求を示す情報と、更新用の差分データとを更新情報として送信する。更新対象となるＥＣＵは、更新ＥＣＵ１５０から更新情報を受信すると、受信した更新情報に含まれる更新用の差分データを用いてメモリに記憶される制御プログラムを更新する更新処理を実行する。

車両１に搭載される複数のＥＣＵの制御プログラムのいずれかを更新する場合において、有線で送信されるデータを用いて行われる他に、管理サーバ１０から無線通信で受信する更新情報を用いて更新される、いわゆる、ＯＴＡ（On The Air）技術を用いる場合がある。

図３は、この実施の形態におけるＥＣＵの制御プログラムの更新を説明するためのブロック図である。図３を参照して、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０などのＥＣＵは、補機バッテリ５０を電力源として作動する。補機バッテリ５０の正極には、電力線５１が接続される。Ａ＿ＥＣＵ１６０の電源端子には、電力線５４が接続される。Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の電源端子には、電力線５３が接続される。Ａ＿ＥＣＵ１６０の電源端子とグランドとの間には、コンデンサ５６が接続される。Ｂ＿ＥＣＵ１７０の電源端子とグランドとの間には、コンデンサ５７が接続される。Ｃ＿ＥＣＵ１８０の電源端子とグランドとの間には、コンデンサ５８が接続される。コンデンサ５６～５８は、セラミックコンデンサであってもよいし、アルミ電解コンデンサのような電解コンデンサであってもよい。

イグニッションスイッチ５２Ａは、電力線５１と電力線５３との間に接続されるリレーである。イグニッションスイッチ５２Ａは、ユーザによるイグニッションボタンのオンまたはオフへの切替えにしたがって、それぞれ、電力線５１と電力線５３との電路の接続または遮断を切替える。イグニッションスイッチ５２Ｂは、電力線５１と電力線５４との間に接続されるリレーである。イグニッションスイッチ５２Ｂは、ユーザによるイグニッションボタンのオンまたはオフへの切替えにしたがって、それぞれ、電力線５１と電力線５４との電路の接続または遮断を切替える。このように、イグニッションスイッチ５２Ａ、５２Ｂは、同期して、遮断または接続が切替えられる。

協調して動作する複数のＥＣＵの制御プログラムをＯＴＡ技術を用いて更新する場合、制御プログラムを更新する複数のＥＣＵのメモリに、更新情報を予め記憶させておく。協調して動作する複数のＥＣＵとは、プログラムを実行するときに互いにデータなどの情報を送受信しながらプログラムに規定された処理を実行する少なくとも２つのＥＣＵのことであり、ＭＧ－ＥＣＵ１００、電池ＥＣＵ１３０およびメータＥＣＵ１４０は、電池ＥＣＵ１３０が電池のＳＯＣなどの情報をＭＧ－ＥＣＵ１００およびメータＥＣＵ１４０に送信したり、ＭＧ－ＥＣＵ１００が消費電力などの情報をメータＥＣＵ１４０および電池ＥＣＵ１３０に送信したりするため、協調して動作する複数のＥＣＵである。たとえば、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０が、協調して動作する場合、これらのメモリ１６４，１７４，１８４に、更新情報を予め記憶させておく。そして、協調して動作する他のＥＣＵのプログラムとバージョンの整合性をとるために、イグニッションスイッチがオフからオンにされたことを契機に、一斉に、各ＥＣＵが更新後のバージョンのプログラムをアクティベート（有効化）する。

しかし、イグニッションスイッチ５２Ａ，５２Ｂがオンからオフにされた直後にオフからオンにされた場合に、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の電源端子にコンデンサ５６，５７，５８が接続されているとコンデンサ５６～５８に残っている電荷によりＥＣＵが動作し続ける。このため、電荷が残っているコンデンサが接続されている一部のＥＣＵが、イグニッションスイッチがオフからオンにされたことを検出できず、更新プログラムをアクティベートできない。一方、イグニッションスイッチがオフからオンにされたことを検出できた他のＥＣＵは、更新プログラムをアクティベートする。その結果、協調して動作する複数のＥＣＵのプログラムのバージョンの整合性がとれなくなってしまう。

そこで、イグニッションスイッチ５２Ｂが遮断に切替えられてから、Ａ＿ＥＣＵ１６０に供給される電力が低下し作動不能となるまでの第１期間は、イグニッションスイッチ５２Ａが遮断に切替えられてから、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に供給される電力が低下し作動不能となるまでの第２期間と比較して短くなるようにする。Ａ＿ＥＣＵ１６０は、イグニッションスイッチ５２Ｂが遮断から接続に切替えられたことを検知したことを条件として、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０にトリガ信号を送信した後に、現行プログラムを更新した更新プログラムを有効化する。Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、Ａ＿ＥＣＵ１６０からトリガ信号を受信したことを条件として、現行プログラムを更新した更新プログラムを有効化する。

これにより、イグニッションスイッチ５２Ａ，５２Ｂが同期して遮断に切替えられた後、Ａ＿ＥＣＵ１６０の方が先に作動不能となり、その後に、イグニッションスイッチ５２Ａ，５２Ｂが同期して接続に切替えられたときに、Ａ＿ＥＣＵ１６０は、イグニッションスイッチ５２Ｂが接続に切替えられたことを検知できる。Ａ＿ＥＣＵ１６０は、この検知に応じて、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０にトリガ信号を送信してから、更新プログラムを有効化する。Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、トリガ信号を受信したときに、更新プログラムを有効化する。このため、イグニッションスイッチ５２Ａが遮断から接続に切替えられたことを検知可能か否かに関わらず、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の更新プログラムを、Ａ＿ＥＣＵ１６０の更新プログラムと合わせて有効化することができる。その結果、プログラムの整合性がとれなくなることを回避することができる。

図３において、電力線５４とグランドとの間の合計の静電容量（主にコンデンサ５６の静電容量）は、電力線５３とグランドとの間の合計の静電容量（主にコンデンサ５７およびコンデンサ５８の合計の静電容量）と比較して小さくなるようにされている。これによって、イグニッションスイッチ５２Ｂが遮断に切替えられてから、Ａ＿ＥＣＵ１６０に供給される電力が低下し作動不能となるまでの第１期間は、イグニッションスイッチ５２Ａが遮断に切替えられてから、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に供給される電力が低下し作動不能となるまでの第２期間と比較して短くすることができる。

図４は、第１実施形態における更新有効化処理の流れを示すフローチャートである。図４のフローチャート示される処理は、上位の処理から所定周期ごとに呼出されて実行される。

図４を参照して、主更新有効化処理は、上述したように電力の供給が停止されてから作動不能となるまでの期間が比較的短いＡ＿ＥＣＵ１６０によって実行される。従更新有効化処理は、上述したように電力の供給が停止されてから作動不能となるまでの期間が比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０によって実行される。

主更新有効化処理において、まず、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、更新ＥＣＵ１５０から制御プログラムの更新が有ることが通知されたか否かを判断する（ステップＳ１１１）。更新有りが通知された（ステップＳ１１１でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、更新ＥＣＵ１５０から更新情報を受信し、受信した更新情報をメモリ１６４に記憶させる（ステップＳ１１２）。

従更新有効化処理において、まず、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新ＥＣＵ１５０から制御プログラムの更新が有ることが通知されたか否かを判断する（ステップＳ２１１）。更新有りが通知された（ステップＳ２１１でＹＥＳ）と判断した場合、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新ＥＣＵ１５０から更新情報を受信し、受信した更新情報をメモリ１７４，１８４に記憶させる（ステップＳ２１２）。

ステップＳ２１２の後、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新情報を記憶済である旨の情報を、協調して動作する関連ＥＣＵのうちの主ＥＣＵであるＡ＿ＥＣＵ１６０に送信する（ステップＳ２１３）。

主更新有効化処理において、更新有りが通知されていない（ステップＳ１１１でＮＯ）と判断した場合、または、ステップＳ１１２の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、Ｂ＿ＥＣＵ１７０またはＣ＿ＥＣＵ１８０から、更新情報を記憶済である旨の情報を受信したか否かを判断する（ステップＳ１１３）。更新情報を記憶済である旨の情報を受信した（ステップＳ１１３でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、当該情報を送信してきた関連ＥＣＵに更新情報が記憶済である旨の情報を、メモリ１６４に記憶させる（ステップＳ１１４）。

更新情報を記憶済である旨の情報を受信していない（ステップＳ１１３でＮＯ）と判断した場合、または、ステップＳ１１４の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、イグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出したか否かを判断する（ステップＳ１１５）。イグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出した（ステップＳ１１５でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が、メモリ１６４に記憶済であるか否かを判断する（ステップＳ１１６）。

関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が記憶済である（ステップＳ１１６でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、更新プログラムをアクティベートさせるためのトリガ情報を、関連ＥＣＵに送信する（ステップＳ１１７）。

従更新有効化処理において、更新有りが通知されていない（ステップＳ２１１でＮＯ）と判断した場合、または、ステップＳ２１３の後、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを検出したか否かを判断する（ステップＳ２１５）。イグニッションスイッチ５２Ａがオフからオンに切替えられたことを検出した（ステップＳ２１５でＹＥＳ）と判断した場合、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新情報がメモリ１７４，１８４に記憶済であるか否かを判断する（ステップＳ１１６）。

イグニッションスイッチ５２Ａがオフからオンに切替えられたことを検出していない（ステップＳ２１５でＮＯ）と判断した場合、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、Ａ＿ＥＣＵ１６０からトリガ情報を受信したか否かを判断する（ステップＳ２１７）。

更新情報が記憶済である（ステップＳ２１６でＹＥＳ）と判断した場合、または、トリガ情報を受信した（ステップＳ２１７でＹＥＳ）と判断した場合、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、検出確認情報をＡ＿ＥＣＵ１６０に送信する（ステップＳ２１８）。その後、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、メモリ１７４，１８４に記憶された更新情報を用いて現行プログラムを更新プログラムに更新し、更新プログラムをアクティベート（有効化）する（ステップＳ２１９）。

更新情報が記憶済でない（ステップＳ２１６でＮＯ）と判断した場合、トリガ情報を受信していない（ステップＳ２１７でＮＯ）と判断した場合、または、ステップＳ２１９の後、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、実行する処理をこの従更新有効化処理の呼出元の上位の処理に戻す。

主更新有効化処理において、ステップＳ１１７の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０から検出確認情報を受信したか否かを確認する（ステップＳ１１８）。検出確認情報を受信していない（ステップＳ１１８でＮＯ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、ステップＳ１１８の処理を繰返す。

検出確認情報を受信した（ステップＳ１１８でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、メモリ１６４に記憶された更新情報を用いて現行プログラムを更新プログラムに更新し、更新プログラムをアクティベート（有効化）する（ステップＳ１１９）。

イグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出していない（ステップＳ１１５でＮＯ）と判断した場合、関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が記憶済でない（ステップＳ１１６でＮＯ）と判断した場合、または、ステップＳ１１９の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２は、実行する処理をこの主更新有効化処理の呼出元の上位の処理に戻す。

図５は、この実施の形態におけるイグニッションスイッチ５２Ａ，５２Ｂのオンおよびオフの切替えによるＥＣＵの印加電圧の変化およびトリガ情報の変化の一例を示すタイミングチャートである。図５を参照して、時刻ｔ1において、イグニッションスイッチ５２Ａ、５２Ｂがオンからオフに切替えられると、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の電源端子には、補機バッテリ５０からの電圧が印加されなくなり、Ａ＿ＥＣＵ１６０の電源端子には、コンデンサ５６に蓄えられた電荷による電圧が印加され、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の電源端子には、コンデンサ５７，５８に蓄えられた電荷による電圧が印加される。

電力線５４とグランドとの間の合計の静電容量（主にコンデンサ５６の静電容量）は、電力線５３とグランドとの間の合計の静電容量（主にコンデンサ５７およびコンデンサ５８の合計の静電容量）と比較して小さくなるようにされている。このため、イグニッションスイッチ５２Ｂが遮断に切替えられてから、Ａ＿ＥＣＵ１６０に供給される電力が低下し作動不能となるまでの第１期間は、イグニッションスイッチ５２Ａが遮断に切替えられてから、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に供給される電力が低下し作動不能となるまでの第２期間と比較して短い。つまり、図５で示すように、時刻ｔ1から時刻ｔ2の間に、Ａ＿ＥＣＵ１６０に印加される電圧は、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に印加される電圧と比較して、早く、降下する。

時刻ｔ2において、イグニッションスイッチ５２Ａ，５２Ｂがオフからオンに切替えられると、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に、再び、補機バッテリ５０からの電圧が印加される。これにより、作動不能となっていたＡ＿ＥＣＵ１６０は、再び、作動を開始し、図４で示した主更新有効化処理を実行し、時刻ｔ3において、ステップＳ１１７の処理が実行されることで、トリガ情報が、Ａ＿ＥＣＵ１６０から、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に送信される。

Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に印加される電圧は、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０が作動不能になる電圧まで下がりきらずに、再び、補機バッテリ５０からの電圧がＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０に印加される。このため、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、イグニッションスイッチ５２Ａがオフからオンになったことを検出できないが、Ａ＿ＥＣＵ１６０から送信されたトリガ情報を受信することによって、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを間接的に検知することができる。

これにより、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０が、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを直接的に検知可能か否かに関わらず、トリガ情報を受信することでイグニッションスイッチ５２Ａがオフからオンに切替えられたことを間接的に検知できる。このため、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の更新プログラムを、Ａ＿ＥＣＵ１６０の更新プログラムと合わせてアクティベート（有効化）することができる。その結果、プログラムの整合性がとれなくなることを回避することができる。

［第２実施形態］
第１実施形態においては、図４のステップＳ２１５で示したように、電力の供給が停止されてから作動不能となるまでの期間が比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０においても、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを直接的に検知することとした。第２実施形態においては、電力の供給が停止されたから作動不能となるまでの期間が比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０においては、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを直接的に検知しないこととする。

図６は、第２実施形態における更新有効化処理の流れを示すフローチャートである。図６のフローチャート示される処理は、上位の処理から所定周期ごとに呼出されて実行される。図６を参照して、図６の処理は、図４の従更新有効化処理から、ステップＳ２１５およびステップＳ２１６の処理を無くしたものである。その他の処理は、図４と図６とで共通である。

このようにしても、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０は、イグニッションスイッチ５２Ａがオフからオンに切替えられたことを直接的には検知できないが、トリガ情報を受信することでイグニッションスイッチ５２Ａがオフからオンに切替えられたことを間接的に検知できる。このため、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の更新プログラムを、Ａ＿ＥＣＵ１６０の更新プログラムと合わせてアクティベート（有効化）することができる。その結果、プログラムの整合性がとれなくなることを回避することができる。

［第３実施形態］
第１実施形態および第２実施形態においては、図４および図６で示したように、電力の供給が停止されてから作動不能となるまでの期間が比較的短いＡ＿ＥＣＵ１６０と、比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０とで、異なる処理が実行されるようにした。第３実施形態においては、電力の供給が停止されてから作動不能となるまでの期間が比較的短いＡ＿ＥＣＵ１６０と、比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０とで、同じ処理が実行されるようにする。

図７は、第３実施形態における更新有効化処理の流れを示すフローチャートである。図７のフローチャート示される処理は、上位の処理から所定周期ごとに呼出されて実行される。図７を参照して、この更新有効化処理は、電力の供給が停止されてから作動不能となるまでの期間が比較的短いＡ＿ＥＣＵ１６０と、比較的長いＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０との両方で実行される。

まず、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、更新ＥＣＵ１５０から制御プログラムの更新が有ることが通知されたか否かを判断する（ステップＳ３１１）。更新有りが通知された（ステップＳ３１１でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新ＥＣＵ１５０から更新情報を受信し、受信した更新情報をメモリ１６４，１７４，１８４に記憶させる（ステップＳ３１２）。

ステップＳ３１２の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、更新情報を記憶済である旨の情報を、協調して動作する他の関連ＥＣＵに送信する（ステップ３１３）。

更新有りが通知されていない（ステップＳ３１１でＮＯ）と判断した場合、または、ステップＳ１１３の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、協調して動作する他の関連ＥＣＵから、更新情報を記憶済である旨の情報を受信したか否かを判断する（ステップＳ３１４）。更新情報を記憶済である旨の情報を受信した（ステップＳ３１４でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、当該情報を送信してきた関連ＥＣＵに更新情報が記憶済である旨の情報を、メモリ１６４，１７４，１８４に記憶させる（ステップＳ３１５）。

更新情報を記憶済である旨の情報を受信していない（ステップＳ３１４でＮＯ）と判断した場合、または、ステップＳ３１５の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２のいずれかは、イグニッションスイッチ５２Ａまたはイグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出したか否かを判断する（ステップＳ３２１）。イグニッションスイッチ５２Ａまたはイグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出した（ステップＳ３２１でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２のいずれかは、他の関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が、メモリ１６４，１７４，１８４に記憶済であるか否かを判断する（ステップＳ３２２）。

他の関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が記憶済である（ステップＳ３２２でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２，Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２のいずれかは、更新プログラムをアクティベートさせるためのトリガ情報を、他の関連ＥＣＵに送信する（ステップＳ３２３）。次に、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２のいずれかは、検出確認情報を他の関連ＥＣＵに送信する（ステップＳ３２４）。

イグニッションスイッチ５２Ａおよびイグニッションスイッチ５２Ｂがオフからオンに切替えられたことを検出していない（ステップＳ３２１でＮＯ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、他の関連ＥＣＵからトリガ情報を受信したか否かを判断する（ステップＳ３２５）。

トリガ情報を受信した（ステップＳ３２５でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、検出確認情報を他の関連ＥＣＵに送信する（ステップＳ３２６）。

他の関連ＥＣＵのすべてに更新情報が記憶済である旨の情報が記憶済でない（ステップＳ３２２でＮＯ）と判断した場合、ステップＳ３２４の後、または、ステップＳ３２６の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、他の関連ＥＣＵのすべてから検出確認情報を受信したか否かを確認する（ステップＳ３２７）。

検出確認情報を受信した（ステップＳ３２７でＹＥＳ）と判断した場合、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、それぞれ、メモリ１６４，１７４，１８４に記憶された更新情報を用いて現行プログラムを更新プログラムに更新し、更新プログラムをアクティベート（有効化）する（ステップＳ３２８）。

検出確認情報を受信していない（ステップＳ３２７でＮＯ）と判断した場合、または、ステップＳ３２８の後、Ａ＿ＥＣＵ１６０のＣＰＵ１６２、Ｂ＿ＥＣＵ１７０のＣＰＵ１７２およびＣ＿ＥＣＵ１８０のＣＰＵ１８２は、実行する処理をこの更新有効化処理の呼出元の上位の処理に戻す。

これにより、イグニッションスイッチ５２Ａ，５２Ｂがオフからオンに切替えられたことを直接的に検知できたＥＣＵだけでなく、直接的に検知できたＥＣＵからトリガ情報を受信することで、イグニッションスイッチ５２Ａ，５２Ｂがオフからオンに切替えられたことを間接的に検知できたＥＣＵも、更新プログラムを他の関連ＥＣＵと合わせてアクティベータ（有効化）することができる。その結果、プログラムの整合性がとれなくなることを回避することができる。

［その他の変形例］
（１） 前述した実施の形態においては、図２で示したように、車両１Ａ～１ＤがＢＥＶ（Battery Electric Vehicle）であることとした。しかし、これに限定されず、車両１Ａ～１Ｄは、どのような車両であってもよく、ＨＥＶ（Hybrid Electric Vehicle）であってもよいし、ＰＨＥＶ（Plug-in Hybrid Electric Vehicle）であってもよいし、ＦＣＥＶ（Fuel Cell Electric Vehicle）であってもよいし、電力により作動するＭＧ６２などのモータを搭載せず、燃料（たとえば、ガソリン、軽油、重油、ＬＰＧ（Liquefied Petroleum Gas）、ＬＮＧ（Liquefied Natural Gas）、エタノール、水素）により作動するエンジンを搭載する車両であってもよい。

（２） 前述した実施の形態においては、図２で示したように、車両１Ａ～１Ｄは、自動運転および自動駐車が可能な車両でないこととした。しかし、これに限定されず、車両１Ａ～１Ｄは、自動運転が可能な車両であってもよいし、自動駐車が可能な車両であってもよい。

（３） 前述した実施の形態においては、図３で示したように、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線に接続されるＥＣＵであるＡ＿ＥＣＵ１６０の電源端子とグランドとの間にコンデンサ５６が接続されるようにした。しかし、これに限定されず、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線に接続されるＥＣＵであるＡ＿ＥＣＵ１６０の電源端子とグランドとの間にコンデンサが接続されないようにしてもよい。

（４） 前述した実施の形態においては、図３で示したように、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線５４およびイグニッションスイッチ５２Ｂの系統に、１つのＡ＿ＥＣＵ１６０および１つのコンデンサ５６が接続されるようにした。しかし、これに限定されず、電力線５４およびイグニッションスイッチ５２Ｂの系統に、２つ以上のＥＣＵが接続されるようにしてもよいし、２つ以上のコンデンサが接続されるようにしてもよい。

（５） 前述した実施の形態においては、図３で示したように、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線５４およびイグニッションスイッチ５２Ｂの系統と異なる系統が、電力線５３およびイグニッションスイッチ５２Ａの系統の１つであることとした。しかし、これに限定されず、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線５４およびイグニッションスイッチ５２Ｂの系統と異なる系統が、２つ以上の系統であってもよい。

（６） 前述した実施の形態においては、図３で示したように、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線５４およびイグニッションスイッチ５２Ｂの系統と異なる系統のＥＣＵであるＢ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０のすべてにコンデンサ５７，５８が接続されるようにした。しかし、これに限定されず、電力線とグランドとの間の合計の静電容量が他の電力線と比較して小さい電力線５４およびイグニッションスイッチ５２Ｂの系統と異なる系統の複数のＥＣＵの一部にコンデンサが接続されないようにしてもよい。

（７） 前述した実施の形態においては、図１および図２で示したように、管理サーバ１０から無線通信で、各ＥＣＵのプログラムを更新するための更新情報が車両１Ａ～１Ｄに送信されるようにした。しかし、これに限定されず、更新用装置から有線通信で、車両１Ａ～１Ｄに更新情報が送信されるようにしてもよい。

（８） 前述した実施の形態においては、図３で示したように、Ａ＿ＥＣＵ１６０、Ｂ＿ＥＣＵ１７０およびＣ＿ＥＣＵ１８０の電力源は、１２Ｖ程度の低電圧の補機バッテリ５０であることとしたが、これに限定されず、他の蓄電装置であってもよく、たとえば、蓄電装置２０のような高電圧のバッテリであってもよいし、キャパシタであってもよい。

（９） 前述した実施の形態を、車両１、または、車両１の各ＥＣＵなどの複数の制御装置を含む制御システムの開示と捉えることができるし、車両１または制御システムの制御方法または制御プログラムの開示と捉えることができる。

［まとめ］
（１） 図１から図３で示したように、車両１の制御システムは、制御のためのプログラムを更新可能な車両１の制御システムであって、電力源（たとえば、補機バッテリ５０）と、第１電力線（たとえば、電力線５４）と、第２電力線（たとえば、電力線５３）と、電力源と第１電力線との間の電路の遮断または接続を切替える第１リレー（たとえば、イグニッションスイッチ５２Ｂ）と、電力源と第２電力線との間の電路の遮断または接続を切替える第２リレー（たとえば、イグニッションスイッチ５２Ａ）と、第１電力線により電力が供給され、第１現行プログラムを実行することで作動する、少なくとも１つの第１制御装置（たとえば、Ａ＿ＥＣＵ１６０）と、第２電力線により電力が供給され、第２現行プログラムを実行することで作動する、少なくとも１つの第２制御装置（たとえば、Ｂ＿ＥＣＵ１７０、Ｃ＿ＥＣＵ１８０）とを備える。

図３で示したように、第１リレーおよび第２リレーは、同期して、遮断または接続が切替えられる。図３および図５で示したように、第１リレーが遮断に切替えられてから、第１制御装置に供給される電力が低下し作動不能となるまでの第１期間は、第２リレーが遮断に切替えられてから、第２制御装置に供給される電力が低下し作動不能となるまでの第２期間と比較して短い。図４、図６および図７で示したように、第１制御装置は、第１リレーが遮断から接続に切替えられたことを検知したこと（たとえば、図４，図６のステップＳ１１５でＹＥＳと判断されたこと、図７のステップＳ３２１でＹＥＳと判断されたこと）を条件として、第２制御装置にトリガ信号を送信（たとえば、図４，図６のステップＳ１１７、図７のステップＳ３２３）した後に、第１現行プログラムを更新した第１更新プログラムを有効化する（たとえば、図４，図６のステップＳ１１９、図７のステップＳ３２８）。図４、図６および図７で示したように、第２制御装置は、第１制御装置からトリガ信号を受信したこと（たとえば、図４，図６のステップＳ２１７でＹＥＳと判断されたこと、図７のステップＳ３２５でＹＥＳと判断されたこと）を条件として、第２現行プログラムを更新した第２更新プログラムを有効化する（たとえば、図４，図６のステップＳ２１９、図７のステップＳ３２８）。

これにより、第１リレーおよび第２リレーが同期して遮断に切替えられた後、第１制御装置の方が先に作動不能となり、その後に、第１リレーおよび第２リレーが同期して接続に切替えられたときに、第１制御装置は、第１リレーが接続に切替えられたことを検知できる。第１制御信号は、この検知に応じて、第２制御装置にトリガ信号を送信してから、第１更新プログラムを有効化する。第２制御装置は、トリガ信号を受信したときに、第２更新プログラムを有効化する。このため、第２リレーが遮断から接続に切替えられたことを検知可能か否かに関わらず、第２制御装置の第２更新プログラムを第１制御装置の第１更新プログラムと合わせて有効化することができる。その結果、プログラムの整合性がとれなくなることを回避することができる。

（２） 図４および図７で示したように、第２制御装置は、第１制御装置からトリガ信号を受信したこと（たとえば、図４のステップＳ２１７でＹＥＳと判断されたこと、図７のステップＳ３２５でＹＥＳと判断されたこと）、または、第２リレーが遮断から接続に切替えられたことを検知したこと（たとえば、図４のステップＳ２１５でＹＥＳと判断されたこと、図７のステップＳ３２１でＹＥＳと判断されたこと）を条件として、第２更新プログラムを有効化するようにしてもよい。

これにより、トリガ信号を受信したか否かに関わらず、第２制御装置は、第２更新プログラムを有効化することができる。その結果、より確実に、プログラムの整合性がとれなくなることを回避することができる。

（３） 図３で示したように、第１制御装置に電力を供給するために第１電力線が接続される端子とグランドとの間、および、第２制御装置に電力を供給するために第２電力線が接続される端子とグランドとの間に、それぞれ、少なくとも１つのコンデンサ（たとえば、コンデンサ５６～５８）が接続されるようにしてもよい。

これにより、第１電力線および第２電力線の静電容量を調整することで、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間を、第１期間が第２期間と比較して短くなるように調整することができる。その結果、第１リレーおよび第２リレーが遮断に切替えられてから、第２制御装置よりも先に、確実に、第１制御装置が作動不能となるようにすることができる。

（４） 上述のその他の変形例で示したように、第２制御装置に電力を供給するために第２電力線が接続される端子とグランドとの間に、少なくとも１つのコンデンサ（たとえば、コンデンサ５７，５８）が接続される一方、第１制御装置に電力を供給するために第１電力線が接続される端子とグランドとの間には、コンデンサは接続されないようにしてもよい。

これにより、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間を、第１期間が第２期間と比較して、確実に短くなるようにできる。その結果、第１リレーおよび第２リレーが遮断に切替えられてから、第２制御装置よりも先に、確実に、第１制御装置が作動不能となるようにすることができる。

（５） 図３で示したように、第１電力線とグランドとの間の合計の静電容量が、第２電力線とグランドとの間の合計の静電容量と比較して小さい場合、第１期間が第２期間と比較して短いとみなすようにしてもよい。

これにより、第１リレーおよび第２リレーが遮断に切替えられてからそれぞれ第１制御装置および第２制御装置に供給される電力が低下し作動不能となるまでの第１期間および第２期間の比較を、第１電力線および第２電力線の静電容量を特定することで行うことができる。その結果、第１期間が第２期間と比較して短くなるように容易に調整できる。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１Ａ～１Ｄ 車両、６ 通信ネットワーク、７ 基地局、１０ サーバ、１１ 制御装置、１２ 記憶装置、１３，１５６ 通信装置、１４ 通信バス、１５ 交流電源、２０ 蓄電装置、２１ ＳＭＲ、２２ ＰＣＵ、２６ 充電リレー、２７ 充電装置、２８ インレット、３０ 充電スタンド、３１ ケーブル、３２ コネクタ、４０ ＤＣ／ＤＣコンバータ、５０ 補機バッテリ、５１，５３，５４ 電力線、５２Ａ，５２Ｂ イグニッションスイッチ、５６～５８ コンデンサ、５９，１３６ 電圧センサ、６２ ＭＧ、６５ 動力伝達ギヤ、６６ 駆動輪、６７ 車輪速センサ、９０ 制御システム、１００ ＭＧ－ＥＣＵ、１０２，１１２，１３２，１４２，１５２，１６２，１７２，１８２ ＣＰＵ、１０４，１１４，１３４，１４４，１５４，１６４，１７４，１８４ メモリ、１１０ 充電ＥＣＵ、１３０ 電池ＥＣＵ、１３７ 電流センサ、１３８ 温度センサ、１４０ メータＥＣＵ、１５０ 更新ＥＣＵ、１６０ Ａ＿ＥＣＵ、１７０ Ｂ＿ＥＣＵ、１８０ Ｃ＿ＥＣＵ。

Claims (6)

1. 制御のためのプログラムを更新可能な車両の制御システムであって、
   電力源と、
   第１電力線と、
   第２電力線と、
   前記電力源と前記第１電力線との間の電路の遮断または接続を切替える第１リレーと、
   前記電力源と前記第２電力線との間の電路の遮断または接続を切替える第２リレーと、
   前記第１電力線により電力が供給され、第１現行プログラムを実行することで作動する、少なくとも１つの第１制御装置と、
   前記第２電力線により電力が供給され、第２現行プログラムを実行することで作動する、少なくとも１つの第２制御装置とを備え、
   前記第１リレーおよび前記第２リレーは、同期して、遮断または接続が切替えられ、
   前記第１リレーが遮断に切替えられてから、前記第１制御装置に供給される電力が低下し作動不能となるまでの第１期間は、前記第２リレーが遮断に切替えられてから、前記第２制御装置に供給される電力が低下し作動不能となるまでの第２期間と比較して短く、
   前記第１制御装置は、前記第１リレーが遮断から接続に切替えられたことを検知したことを条件として、前記第２制御装置にトリガ信号を送信した後に、前記第１現行プログラムを更新した第１更新プログラムを有効化し、
   前記第２制御装置は、前記第１制御装置から前記トリガ信号を受信したことを条件として、前記第２現行プログラムを更新した第２更新プログラムを有効化する、制御システム。
2. 前記第２制御装置は、前記第１制御装置から前記トリガ信号を受信したこと、または、前記第２リレーが遮断から接続に切替えられたことを検知したことを条件として、前記第２更新プログラムを有効化する、請求項１に記載の制御システム。
3. 前記第１制御装置に電力を供給するために前記第１電力線が接続される端子とグランドとの間、および、前記第２制御装置に電力を供給するために前記第２電力線が接続される端子とグランドとの間に、それぞれ、少なくとも１つのコンデンサが接続される、請求項１または請求項２に記載の制御システム。
4. 前記第２制御装置に電力を供給するために前記第２電力線が接続される端子とグランドとの間に、少なくとも１つのコンデンサが接続される一方、前記第１制御装置に電力を供給するために前記第１電力線が接続される端子とグランドとの間には、コンデンサは接続されない、請求項１または請求項２に記載の制御システム。
5. 前記第１電力線と前記グランドとの間の合計の静電容量が、前記第２電力線と前記グランドとの間の合計の静電容量と比較して小さい場合、前記第１期間が前記第２期間と比較して短いとみなす、請求項３または請求項４に記載の制御システム。
6. 制御のためのプログラムを更新可能な車両の制御システムの制御方法であって、
   前記制御システムは、
   電力源と、
   第１電力線と、
   第２電力線と、
   前記電力源と前記第１電力線との間の電路の遮断または接続を切替える第１リレーと、
   前記電力源と前記第２電力線との間の電路の遮断または接続を切替える第２リレーと、
   前記第１電力線により電力が供給され、第１現行プログラムを実行することで作動する、少なくとも１つの第１制御装置と、
   前記第２電力線により電力が供給され、第２現行プログラムを実行することで作動する、少なくとも１つの第２制御装置とを備え、
   前記第１リレーおよび前記第２リレーは、同期して、遮断または接続が切替えられ、
   前記第１リレーが遮断に切替えられてから、前記第１制御装置に供給される電力が低下し作動不能となるまでの第１期間は、前記第２リレーが遮断に切替えられてから、前記第２制御装置に供給される電力が低下し作動不能となるまでの第２期間と比較して短く、
   前記制御方法は、
   前記第１制御装置が、前記第１リレーが遮断から接続に切替えられたことを検知したことを条件として、前記第２制御装置にトリガ信号を送信した後に、前記第１現行プログラムを更新した第１更新プログラムを有効化するステップと、
   前記第２制御装置が、前記第１制御装置から前記トリガ信号を受信したことを条件として、前記第２現行プログラムを更新した第２更新プログラムを有効化するステップとを含む、制御システムの制御方法。
   

Images