JP2023110504A - 電子制御装置 - Google Patents

Abstract

【課題】システム全体の通信負荷の増大を未然に回避する。【解決手段】電子制御装置３は、電子制御装置に保存されている保存データのバックアップ先となり得る電子制御装置４～６を識別可能な管理テーブルを特定の電子制御装置２から受信する第１管理テーブル受信部１１ａと、管理テーブルに保存データの書き換え容量を記録する書き換え容量記録部１１ｂと、保存データの書き換え容量が記録された管理テーブルをバックアップ先の電子制御装置へ送信する第１管理テーブル送信部１１ｃと、保存データの少なくとも一部をバックアップデータとしてバックアップ先の電子制御装置へ送信する書き換え時バックアップデータ送信部１１ｅと、バックアップデータがバックアップ先の電子制御装置に保存されたことを示す記録情報が記録された管理テーブルを当該バックアップ先の電子制御装置から受信する第２管理テーブル受信部１１ｆと、を備える。【選択図】図１

Description

本発明は、電子制御装置に関する。

例えば車載用の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）においては、機能の向上や不具合の解消等を目的としてソフトウェア（以下、ソフトと称する）を書き換え可能に構成されている。ソフトを書き換える際には、例えば不安定な通信環境でのソフトの書き換えに備え、更新データを書き換え対象ＥＣＵに書き込む前に、書き換え対象ＥＣＵに保存されている保存データをバックアップしておく必要がある。即ち、書き換え対象ＥＣＵとは別のバックアップ先ＥＣＵを確保し、更新データを書き換え対象ＥＣＵに書き込む前に、保存データをバックアップデータとしてバックアップ先ＥＣＵに保存することで、書き換え対象ＥＣＵにおいてソフトの書き換えを正常完了しなかった場合に、バックアップ先ＥＣＵに保存しておいたバックアップデータによりソフトの書き換え前の状態に復旧させることが可能となる。

保存データをバックアップするには、何れのＥＣＵをバックアップ先ＥＣＵとして確保するかを特定する必要があり、バックアップ先ＥＣＵを管理する必要がある。例えば特許文献１には、特定のＥＣＵが管理テーブルを保持し、その管理テーブルによりバックアップ先ＥＣＵとなり得る複数のＥＣＵの空き容量を管理する構成が開示されている。

特開２０１８－７９７６８号公報

しかしながら、特定のＥＣＵが管理テーブルを保持する構成では、バックアップ先ＥＣＵとなり得る複数のＥＣＵがそれぞれ特定のＥＣＵへアクセスして他のＥＣＵの空き容量を参照する必要があり、特定のＥＣＵへのアクセスが集中することになる。その結果、バックアップ先ＥＣＵとなり得る複数のＥＣＵと特定のＥＣＵとの間でのデータ通信量が増大し、システム全体の通信負荷が増大する問題がある。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、更新データを書き換え対象の電子制御装置に書き込む前に、書き換え対象の電子制御装置に保存されている保存データをバックアップデータとしてバックアップ先の電子制御装置に保存する構成において、システム全体の通信負荷の増大を未然に回避することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、更新データを書き込むことでソフトウェアを書き換え可能である。第１管理テーブル受信部（１１ａ）は、電子制御装置に保存されている保存データのバックアップ先となり得る電子制御装置（４～６）を識別可能な管理テーブルを特定の電子制御装置（２）から受信する。書き換え容量記録部（１１ｂ）は、管理テーブルに保存データの書き換え容量を記録する。第１管理テーブル送信部（１１ｃ）は、保存データの書き換え容量が書き換え容量記録部により記録されると、その保存データの書き換え容量が記録された管理テーブルをバックアップ先の電子制御装置へ送信する。書き換え時バックアップデータ送信部（１１ｅ）は、保存データの少なくとも一部をバックアップデータとしてバックアップ先の電子制御装置へ送信する。第２管理テーブル受信部（１１ｆ）は、バックアップデータがバックアップ先の電子制御装置に保存されたことを示す記録情報が記録された管理テーブルを当該バックアップ先の電子制御装置から受信する。

更新データを書き換え対象の電子制御装置に書き込む前に、書き換え対象の電子制御装置に保存されている保存データをバックアップデータとしてバックアップ先の電子制御装置に保存する構成において、特定の電子制御装置が管理テーブルを保持する従来とは異なり、書き換え対象の電子制御装置とバックアップ先の電子制御装置との間で管理テーブルを送受信することで、書き換え対象の電子制御装置とバックアップ先の電子制御装置とが管理テーブルを保持するようにした。特定の電子制御装置へのアクセスの集中を未然に回避することができ、バックアップ先の電子制御装置となり得る複数の電子制御装置と特定の電子制御装置との間でのデータ通信量の増大を未然に回避することができる。これにより、システム全体の通信負荷の増大を未然に回避することができる。

一実施形態を示す車両側システムの構成図 管理テーブルを示す図 電子制御装置の機能ブロック図 制御部の機能ブロック図 書き換え時書き換え対象処理のうち書き換え要求の発生判定処理を示すフローチャート 書き換え時書き換え対象処理のうちバックデータ送信処理を示すフローチャート 書き換え時バックアップ先処理を示すフローチャート 保存データの配置を示す図 管理テーブルを示す図 管理テーブルを示す図 管理テーブルを示す図 保存データの移動を示す図 管理テーブルの移動を示す図 復旧時書き換え対象処理を示すフローチャート 復旧時書き換え対象処理を示すフローチャート 復旧時バックアップ先処理を示すフローチャート 保存データの移動を示す図 削除時書き換え対象処理を示すフローチャート 削除時バックアップ先処理を示すフローチャート 管理テーブルを示す図 管理テーブルを示す図 管理テーブルを示す図 管理テーブルの移動を示す図

以下、一実施形態について図面を参照して説明する。図１に示すように、車両に搭載される車両側システム１は、セントラルゲートウェイとして機能するセントラルＥＣＵ２と、セントラルＥＣＵ２によるソフトの書き換えの制御対象となる各ＥＣＵ３～６とが車載ネットワーク７を介してデータ通信可能に接続されている。ソフトとは、特定の機能を実現するためのアプリケーションを含み、プログラムと称することもできる。セントラルＥＣＵ２は、特定のＥＣＵに相当する。各ＥＣＵ３～６は、更新データを書き込むことでソフトを書き換える書き換え対象のＥＣＵ及び保存データのバックアップ先となるバックアップ先のＥＣＵの何れかに相当する。セントラルＥＣＵ２及び各ＥＣＵ３～６は、それぞれ後述する管理テーブルを記憶可能であり、管理テーブルを他のＥＣＵとの間で送受信可能である。

各ＥＣＵ３～６は、例えば駆動系の制御を行う機能を有するＥＣＵ、ＡＤＡＳ（Advanced Driving Assistant System）系の制御を行う機能を有するＥＣＵ、マルチメディア系の制御を行う機能を有するＥＣＵ等である。車載ネットワーク７は、例えばＣＡＮ（Controller Area Network）（登録商標）、ＦＬＥＸＲＡＹ（登録商標）、ＣＸＰＩ（Clock Extension Peripheral Interface）（登録商標）等である。又、異なる制御系毎に複数の車載ネットワーク７が配置されていても良い。

車両側システム１においては、機能の向上や不具合の解消等を目的として各ＥＣＵ３～６のソフトを書き換え可能に構成されている。ソフトを書き換える際には、例えば不安定な通信環境でのソフトの書き換えに備え、書き換え対象ＥＣＵに保存されている動作実績のある保存データをバックアップしておく必要がある。即ち、書き換え対象ＥＣＵとは別のバックアップ先ＥＣＵを確保し、更新データを書き換え対象ＥＣＵに書き込む前に、保存データをバックアップデータとしてバックアップ先ＥＣＵに保存しておく必要がある。

例えばＥＣＵ３が書き換え対象ＥＣＵであるときには、ＥＣＵ４～６のうち少なくとも一つがバックアップ先ＥＣＵとなる。尚、セントラルＥＣＵ２が自装置のソフトの書き換えを制御し、セントラルＥＣＵ２が書き換え対象ＥＣＵであるときには、ＥＣＵ３～６のうち少なくとも一つがバックアップ先ＥＣＵとなる。又、ＥＣＵ３～６のうち何れかが書き換え対象ＥＣＵであるときに、ＥＣＵ３～６のうち少なくとも一つがバックアップ先ＥＣＵとなることに加え、セントラルＥＣＵ２もバックアップ先ＥＣＵとなっても良い。

セントラルＥＣＵ２は、センター装置（図示せず）と無線接続して当該センター装置から送信される配信パッケージを受信可能であり、配信パッケージを受信すると、その受信した配信パッケージから更新データを抽出する。又、セントラルＥＣＵ２は、ダイアグツール（図示せず）と有線接続して当該ダイアグツールから送信される配信パッケージを受信可能であり、配信パッケージを受信すると、その受信した配信パッケージから更新データを抽出する。

セントラルＥＣＵ２は、書き換え対象ＥＣＵに対するインストール実施可能条件が成立すると、更新データを書き換え対象ＥＣＵへ配信すると共にインストール指示を書き換え対象ＥＣＵへ通知し、更新データのインストールを書き換え対象ＥＣＵに実施させる。インストール実施可能条件は、例えばユーザがインストールの承諾操作を行ったこと、車載バッテリのバッテリ残量が所定容量以上であること、不正な環境下でないこと、車両状態がインストール可能な状態であること、更新データが正常なデータであること、更新データのインストール先のメモリ構造が正常であること、車載ネットワーク７の通信負荷が所定レベル未満であること等である。

セントラルＥＣＵ２は、書き換え対象ＥＣＵにおいて更新データのインストールが完了し、書き換え対象ＥＣＵに対するアクティベート実施可能条件が成立すると、そのインストールした更新データを有効とするアクティベート指示を書き換え対象ＥＣＵへ通知し、更新データのアクティベートを書き換え対象ＥＣＵに実施させる。アクティベート実施可能条件は、例えばユーザがアクティベートの承諾操作を行ったこと、車載バッテリのバッテリ残量が所定容量以上であること、車両状態がアクティベート可能な状態であること、インストールされた更新データが正常なデータであること等である。

書き換え対象ＥＣＵが保存データのバックアップを実施する際には、セントラルＥＣＵ２及び各ＥＣＵ３～６は、図２に示す管理テーブルを他のＥＣＵとの間で送受信する。管理テーブルは、書き換え容量、空き容量、受信データアドレス、データ量、ＣＡＮＩＤ、優先度を単位レコードとするデータである。書き換え容量の記録領域には、保存データのデータ量が記録される。空き容量の記録領域には、対応するＣＡＮＩＤのＥＣＵが保存可能なデータ量が記録される。受信データアドレスの記録領域には、受信された保存データの先頭アドレスと末尾アドレスが記録され、先頭アドレスから末尾アドレスまでにより特定されるデータ領域が記録される。データ量の記録領域には、受信データアドレスのデータ領域により示されるデータ量が記録される。ＣＡＮＩＤの記録領域には、各ＥＣＵ３～６に付与されているユニークな番号が記録される。優先度の記録領域には、管理テーブルの送信先の優先度が記録される。

管理テーブルは、セントラルＥＣＵ２及び各ＥＣＵ３～６に択一的に保持され、セントラルＥＣＵ２が保存データのバックアップ指示を書き換え対象ＥＣＵへ通知していないときには当該セントラルＥＣＵ２に保持される。セントラルＥＣＵ２は、空き容量、ＣＡＮＩＤ、優先度の各記録領域に各情報が記録されているが、書き換え容量、受信データアドレス、データ量の各記録領域に情報が記録されていない管理テーブルを保持している。各ＥＣＵ３～６が車両に組み付けられる時に、空き容量、ＣＡＮＩＤ、優先度が記録された管理テーブルが作成され、保存データがバックアップされる都度に空き容量、優先度が最新の状態に更新される。図２の例示では、ＥＣＵ３について空き容量が「２０ＭＢｙｔｅ」、ＣＡＮＩＤが「１」、優先度が「１」であり、ＥＣＵ４について空き容量が「４ＭＢｙｔｅ」、ＣＡＮＩＤが「２」、優先度が「３」であり、ＥＣＵ５について空き容量が「３ＭＢｙｔｅ」、ＣＡＮＩＤが「３」、優先度が「４」であり、ＥＣＵ６について空き容量が「５ＭＢｙｔｅ」、ＣＡＮＩＤが「４」、優先度が「２」である場合を示している。本実施形態では、空き容量が大きい順序にしたがって優先度の順序が付与されている場合を例示しているが、空き容量に加え、各ＥＣＵ３～６の処理能力等のスペックが考慮されて優先度の順序が付与されても良い。セントラルＥＣＵ２は、インストール指示を書き換え対象ＥＣＵへ通知するときには、その保持している管理テーブルを書き換え対象ＥＣＵへ送信する。

各ＥＣＵ３～６は基本的に同じ構成であり、図３に示すように、制御部８と、通信インタフェース部９と、入出力インタフェース部１０とを備える。制御部８は、ＣＰＵ、ＲＯＭ、ＲＡＭ及びＩ／Ｏ等を有するマイクロコンピュータ（以下、マイコンと称する）を主体として構成され、非遷移的実体的記憶媒体に格納されているコンピュータプログラムを実行することでコンピュータプログラムに対応する処理を実行し、各ＥＣＵ３～６の動作を制御する。通信インタフェース部９は、車載ネットワーク７との間のデータ通信を制御する。入出力インタフェース部１０は、各種デバイスとの間のデータ入出力を制御し、例えばセンサからのセンシングデータの入力、例えばアクチュエータへの駆動データの出力等を制御する。

制御部８は、上記したように各ＥＣＵ３～６が書き換え対象ＥＣＵ及びバックアップ先ＥＣＵの何れにもなり得ることから、ソフトの書き換え時に機能する機能部と、ソフトの復旧時に機能する機能部と、バックアップデータの削除時に機能する機能部とを備える。即ち、制御部８は、ソフトの書き換え時に書き換え対象ＥＣＵとして機能する書き換え時書き換え対象機能部１１と、ソフトの書き換え時にバックアップ先ＥＣＵとして機能する書き換え時バックアップ先機能部１２と、ソフトの復旧時に書き換え対象ＥＣＵとして機能する復旧時書き換え対象機能部１３と、ソフトの復旧時にバックアップ先ＥＣＵとして機能する復旧時バックアップ先機能部１４と、バックアップデータの削除時に書き換え対象ＥＣＵとして機能する削除時書き換え対象機能部１５と、バックアップデータの削除時にバックアップ先ＥＣＵとして機能する削除時バックアップ先機能部１６とを備える。

図４に示すように、書き換え時書き換え対象機能部１１は、第１管理テーブル受信部１１ａと、書き換え容量記録部１１ｂと、第１管理テーブル送信部１１ｃと、書き換え時データ送信要求受信部１１ｄと、書き換え時バックアップデータ送信部１１ｅと、第２管理テーブル受信部１１ｆとを備える。

第１管理テーブル受信部１１ａは、セントラルＥＣＵ２から送信された管理テーブルを受信する。書き換え容量記録部１１ｂは、セントラルＥＣＵ２から送信された管理テーブルが第１管理テーブル受信部１１ａにより受信されると、その受信された管理テーブルに保存データの書き換え容量を記録する。第１管理テーブル送信部１１ｃは、保存データの書き換え容量が書き換え容量記録部１１ｂにより記録されると、優先度にしたがって何れかのＥＣＵをバックアップ先ＥＣＵとして特定し、その保存データの書き換え容量が記録された管理テーブルを、その特定したバックアップ先ＥＣＵへ送信する。

書き換え時データ送信要求受信部１１ｄは、バックアップ先ＥＣＵから送信された書き換え時データ送信要求を受信する。書き換え時バックアップデータ送信部１１ｅは、管理テーブルを参照してバックアップ先ＥＣＵとして特定したＥＣＵの空き容量を取得し、バックアップ先ＥＣＵから送信された書き換え時データ送信要求が書き換え時データ送信要求受信部１１ｄにより受信されると、保存データのうちバックアップ先ＥＣＵの空き容量分のデータ量をバックアップデータとしてバックアップ先ＥＣＵへ送信する。第２管理テーブル受信部１１ｆは、バックアップデータがバックアップ先ＥＣＵに保存されたことを示す記録情報が記録された管理テーブルをバックアップ先ＥＣＵから受信する。

書き換え時バックアップ先機能部１２は、書き換え時データ送信要求送信部１２ａと、書き換え時バックアップデータ受信部１２ｂとを備える。書き換え時データ送信要求送信部１２ａは、書き換え時データ送信要求を書き換え対象ＥＣＵへ送信する。書き換え時バックアップデータ受信部１２ｂは、書き換え対象ＥＣＵから送信されたバックアップデータを受信する。

復旧時書き換え対象機能部１３は、復旧要請判定部１３ａと、復旧時データ送信要求送信部１３ｂと、復旧時バックアップデータ受信部１３ｃとを備える。復旧要請判定部１３ａは、データ復旧要請の発生を判定する。復旧時データ送信要求送信部１３ｂは、ソフトの書き換えが正常完了しなかったことでデータ復旧要請の発生が復旧要請判定部１３ａにより判定されると、管理テーブルに記録されている優先度にしたがって復旧時データ送信要求の送信先を特定し、復旧時データ送信要求を当該送信先として特定したバックアップ先ＥＣＵへ送信する。復旧時バックアップデータ受信部１３ｃは、バックアップ先ＥＣＵに保存されているバックアップデータを当該バックアップ先ＥＣＵから受信する。

復旧時バックアップ先機能部１４は、復旧時データ送信要求受信部１４ａと、復旧時バックアップデータ送信部１４ｂとを備える。復旧時データ送信要求受信部１４ａは、書き換え対象ＥＣＵから送信された復旧時データ送信要求を受信する。復旧時バックアップデータ送信部１４ｂは、復旧時データ送信要求が復旧時データ送信要求受信部１４ａにより受信されると、バックアップデータを書き換え対象ＥＣＵへ送信する。

削除時バックアップ先機能部１６は、記録情報削除部１６ａを備える。記録情報削除部１６ａは、管理テーブルに記録されている記録情報を当該管理テーブルから削除する。

次に、上記した構成の作用について図５から図２３を参照して説明する。この場合、各ＥＣＵ３～６は、ソフトの書き換え時において、書き換え対象ＥＣＵとして動作する場合には書き換え時書き換え対象機能部１１により書き換え時書き換え対象処理を行い、バックアップ先ＥＣＵとして動作する場合には書き換え時バックアップ先機能部１２により書き換え時バックアップ先処理を行う。各ＥＣＵ３～６は、ソフトの復旧時において、書き換え対象ＥＣＵとして動作する場合には復旧時書き換え対象機能部１３により復旧時書き換え対象処理を行い、バックアップ先ＥＣＵとして動作する場合には復旧時バックアップ先機能部１４により復旧時バックアップ先処理を行う。各ＥＣＵ３～６は、バックアップデータの削除時において、書き換え対象ＥＣＵとして動作する場合には削除時書き換え対象機能部１５により削除時書き換え対象処理を行い、バックアップ先ＥＣＵとして動作する場合には削除時バックアップ先機能部１６により削除時バックアップ先処理を行う。以下、各ＥＣＵ３～６において、ソフトの書き換え時、ソフトの復旧時、バックアップデータの削除時について制御部８が行う処理について順次説明する。

（１）ソフトの書き換え時
最初に、ソフトの書き換え時における書き換え時書き換え対象処理及び書き換え時バックアップ先処理について図５から図１３を参照して説明する。
（１－１）書き換え時書き換え対象処理（図５から図６参照）
制御部８は、書き換え時書き換え対象処理として、書き換え要求の発生判定処理と、バックデータ送信処理とを行う。

（１－１－１）書き換え要求の発生判定処理（図５参照）
制御部８は、書き換え要求の発生判定処理を開始すると、外部からの書き換え要求が発生したか否かを判定する（Ｓ１０１）。制御部８は、外部からの書き換え要求が発生していないと判定すると（Ｓ１０１：ＮＯ）、書き換え要求の発生判定処理を終了する。制御部８は、外部からの書き換え要求が発生したと判定すると（Ｓ１０１：ＹＥＳ）、セントラルＥＣＵ２から送信された管理テーブルを受信し（Ｓ１０２）、保存データの書き換え容量を管理テーブルに記録する（Ｓ１０３）。

制御部８は、最も高い優先度が付与されているＥＣＵを最初のバックアップ先ＥＣＵとして特定し（Ｓ１０４）、その保存データの書き換え容量が記録された管理テーブルを最初のバックアップ先ＥＣＵへ送信し（Ｓ１０５）、書き換え要求の発生判定処理を終了する。

（１－１－２）バックデータ送信処理（図６参照）
制御部８は、バックデータ送信処理を開始すると、データ要求処理を、バックアップデータがバックアップ先ＥＣＵに保存されたことを示す記録情報が記録された管理テーブルをバックアップ先ＥＣＵから受信するまで繰り返して行う（Ｓ１１１～Ｓ１１４）。制御部８は、バックアップ先ＥＣＵから送信された書き換え時データ送信要求を受信すると（Ｓ１１２）、保存データのうちバックアップ先ＥＣＵの空き容量分のデータ量をバックアップデータとしてバックアップ先ＥＣＵへ送信する（Ｓ１１３）。

制御部８は、バックアップデータがバックアップ先ＥＣＵに保存されたことを示す記録情報が記録された管理テーブルをバックアップ先ＥＣＵから受信したと判定すると、バックデータ送信処理を終了する。

（１－２）書き換え時バックアップ先処理（図７参照）
制御部８は、書き換え時バックアップ先処理を開始すると、管理テーブル移動処理を、データ量の合計が保存データの書き換え容量に達するまで繰り返して行う（Ｓ２０１～Ｓ２１２）。制御部８は、書き換え対象ＥＣＵから送信された管理テーブルを受信すると（Ｓ２０２）、最新の空き容量を管理テーブルに記録し（Ｓ２０３）、データ書き換え処理を、書き換え対象ＥＣＵから受信したバックアップデータのデータ量が空き容量に達しない限り繰り返して行う（Ｓ２０４～Ｓ２０９）。

制御部８は、書き換え対象ＥＣＵから受信したバックアップデータのデータ量の合計が保存データの書き換え容量を超えたか否かを判定する（Ｓ２０５）。制御部８は、書き換え対象ＥＣＵから受信したバックアップデータのデータ量の合計が保存データの書き換え容量を超えていない判定すると（Ｓ２０５：ＮＯ）、書き換え時データ送信要求を書き換え対象ＥＣＵへ送信する（Ｓ２０６）。制御部８は、書き換え対象ＥＣＵから送信されたバックアップデータを受信すると（Ｓ２０７）、その受信したバックアップデータのデータ量を管理テーブルに記録する（Ｓ２０８）。

制御部８は、書き換え対象ＥＣＵから受信したバックアップデータのデータ量が空き容量に達したと判定すると、次に高い優先度が付与されているＥＣＵを次のバックアップ先ＥＣＵとして特定し（Ｓ２１０）、管理テーブルを次のバックアップ先ＥＣＵへ送信する（Ｓ２１１）。制御部８は、データ量の合計が保存データの書き換え容量に達したと判定すると、管理テーブルを書き換え対象ＥＣＵへ送信し（Ｓ２１３）、書き換え時バックアップ先処理を終了する。

以下、ソフトの書き換え時における保存データ及び管理テーブルの移動について図８から図１３を参照して説明する。図８に示すように、ＥＣＵ３が書き換え対象ＥＣＵであり、その書き換え対象ＥＣＵであるＥＣＵ３に保存データとしてデータＡ（２ＭＢｙｔｅ）、データＢ（３ＭＢｙｔｅ）、データＣ（２ＭＢｙｔｅ）が保存されている場合を例示して説明する。尚、データＡ、データＢ、データＣは、例えばソフトの機能ブロック単位で区分される。

ＥＣＵ３は、セントラルＥＣＵ２から送信された管理テーブルを受信すると、図９に示すように、データＡ、データＢ、データＣの合計である「７ＭＢｙｔｅ」を保存データの書き換え容量の欄に記録する。ＥＣＵ３は、次に高い優先度が付与されているＥＣＵ６を最初のバックアップ先ＥＣＵとして特定し、その保存データの書き換え容量が記録された管理テーブルを最初のバックアップ先ＥＣＵとして特定したＥＣＵ６へ送信する。

ＥＣＵ６は、ＥＣＵ３から送信された管理テーブルを受信すると、書き換え時データ送信要求をＥＣＵ３へ送信する。ＥＣＵ６は、ＥＣＵ３から送信されたバックアップデータを受信すると、図１０に示すように、その受信したバックアップデータの受信データアドレスとデータ量を管理テーブルに記録する。ＥＣＵ６は、ＥＣＵ３から受信したバックアップデータのデータ量が空き容量に達したと判定すると、次に高い優先度が付与されているＥＣＵ４を次のバックアップ先ＥＣＵとして特定し、管理テーブルを次のバックアップ先ＥＣＵとして特定したＥＣＵ４へ送信する。即ち、ＥＣＵ６は、ＥＣＵ３から送信されたデータＡ及びデータＢをバックアップデータとして受信し、その受信したバックアップデータを保存すると、バックアップデータのデータ量が空き容量に達したと判定し、ＥＣＵ４を次のバックアップ先ＥＣＵとして特定し、管理テーブルを次のバックアップ先ＥＣＵとして特定したＥＣＵ４へ送信する。

ＥＣＵ４は、ＥＣＵ６から送信された管理テーブルを受信すると、書き換え時データ送信要求をＥＣＵ３へ送信する。ＥＣＵ４は、ＥＣＵ３から送信されたバックアップデータを受信すると、図１１に示すように、その受信したバックアップデータの受信データアドレスとデータ量を管理テーブルに記録する。ＥＣＵ４は、データ量の合計が保存データの書き換え容量に達したと判定すると、管理テーブルをＥＣＵ３へ送信する。即ち、ＥＣＵ４は、ＥＣＵ３から送信されたデータＣをバックアップデータとして受信し、その受信したバックアップデータを保存すると、データ量の合計が保存データの書き換え容量に達したと判定し、管理テーブルをＥＣＵ３へ送信する。

上記した例示では、図１２に示すように、データＡ及びデータＢがＥＣＵ３からＥＣＵ６へ送信され、ＥＣＵ６において、データＡ及びデータＢをバックアップデータとして保存し、データＣがＥＣＵ３からＥＣＵ４へ送信され、ＥＣＵ４において、データＣをバックアップデータとして保存する。又、図１３に示すように、管理テーブルを、セントラルＥＣＵ２から書き換え対象ＥＣＵであるＥＣＵ３（矢印Ａ１参照）、ＥＣＵ３から最初のバックアップ先ＥＣＵであるＥＣＵ６（矢印Ａ２参照）、ＥＣＵ６から次のバックアップ先ＥＣＵであるＥＣＵ４（矢印Ａ３参照）、ＥＣＵ４からＥＣＵ３（矢印Ａ４参照）の順序で転送する。

（２）ソフトの復旧時
次に、ソフトの復旧時における復旧時書き換え対象処理及び復旧時バックアップ先処理について図１４から図１７を参照して説明する。

（２－１）復旧時書き換え対象処理（図１４から図１５参照）
制御部８は、復旧時書き換え対象処理を開始すると、ソフトの書き換えが終了したか否かを判定する（Ｓ３０１）。制御部８は、例えば２面メモリの構成であれば、非運用面と運用面との切り替えを終了したか否かを判定することで、ソフトの書き換えが終了したか否かを判定する。制御部８は、ソフトの書き換えが終了したと判定すると（Ｓ３０１：ＹＥＳ）、書き換え後のソフトにより正常動作しているか否かを判定する（Ｓ３０２）。制御部８は、書き換え後のソフトにより正常動作していると判定すると（Ｓ３０２：ＹＥＳ）、管理テーブルを最も高い優先度が付与されているＥＣＵへ送信し（Ｓ３０３）、復旧時書き換え対象処理を終了する。一方、制御部８は、何らかの不具合が発生して書き換え後のソフトにより正常動作していないと判定すると（Ｓ３０２：ＮＯ）、データ復旧処理に移行する（Ｓ３０４）。

制御部８は、データ復旧処理を開始すると、データ復旧要請が発生したか否かを判定する（Ｓ３１１）。制御部８は、データ復旧要請が発生したと判定すると（Ｓ３０１：ＹＥＳ）、復旧時データ送信要求の送信先を最も高い優先度が付与されているバックアップ先ＥＣＵとして特定し（Ｓ３１２）、優先度処理を、優先度の個数分まで繰り返して行う（Ｓ３１３～Ｓ３２１）。

制御部８は、管理テーブルを参照してデータ量が空であるか否かを判定する（Ｓ３１４）。制御部８は、データ量が空でないと判定すると（Ｓ３１４：ＮＯ）、バックアップデータ要求処理を、優先度内で全てのバックアップデータを受信するまで繰り返して行う（Ｓ３１５～Ｓ３１９）。制御部８は、復旧時データ送信要求の送信先を特定し（Ｓ３１６）、復旧時データ送信要求を送信先として特定したバックアップ先ＥＣＵへ送信し（Ｓ３１７）、バックアップ先ＥＣＵから送信されたバックアップデータを受信する（Ｓ３１８）。

制御部８は、優先度内で全てのバックアップデータを受信したと判定すると、バックアップ先ＥＣＵを次に高い優先度が付与されているＥＣＵに変更する（Ｓ３２０）。制御部８は、優先度の個数分を終了したと判定すると、データ復旧処理を終了し、復旧時書き換え対象処理に戻る。

（２－２）復旧時バックアップ先処理（図１６参照）
制御部８は、復旧時バックアップ先処理を開始すると、書き換え対象ＥＣＵから復旧時データ送信要求を受信したか否かを判定する（Ｓ４０１）。制御部８は、書き換え対象ＥＣＵから復旧時データ送信要求を受信したと判定すると（Ｓ４０１：ＹＥＳ）、バックアップデータを書き換え対象ＥＣＵへ送信し（Ｓ４０２）、復旧時バックアップ先処理を終了する。

以下、ソフトの復旧時におけるバックアップデータの移動について図１７を参照して説明する。図１７に示すように、ＥＣＵ６にバックアップデータとして保存されているデータＡ及びデータＢがＥＣＵ６からＥＣＵ３へ送信され、ＥＣＵ４にバックアップデータとして保存されているデータＣがＥＣＵ４からＥＣＵ３へ送信される。

（３）バックアップデータの削除時
次に、バックアップデータの削除時における削除時書き換え対象処理及び削除時バックアップ先処理について図１８から図２３を参照して説明する。

（３－１）削除時書き換え対象処理（図１８参照）
制御部８は、削除時書き換え対象処理を開始すると、管理テーブルを受信し（Ｓ５０１）、保存データの書き換え容量の記録を削除し（Ｓ５０２）、最新状態を空き容量の欄に記録する（Ｓ５０３）。制御部８は、その記録した最新状態の空き容量にしたがって優先度を再計算し（Ｓ５０４）、その再計算結果を優先度の欄に記録する（Ｓ５０５）。制御部８は、管理テーブルをセントラルＥＣＵ２へ送信し（Ｓ５０６）、削除時書き換え対象処理を終了する。

（３－２）削除時バックアップ先処理（図１９参照）
制御部８は、削除時バックアップ先処理を開始すると、管理テーブル移動処理を、全てのバックアップＥＣＵのデータ量が空になるまで繰り返して行う（Ｓ６０１～６０８）。制御部８は、記録削除処理を、対象のバックアップＥＣＵのデータ量が空になるまで繰り返して行う（Ｓ６０２～Ｓ６０６）。制御部８は、管理テーブルを取得し（Ｓ６０３）、バックアップデータを削除し（Ｓ６０４）、その削除したバックアップデータのデータ量の記録を管理テーブルから削除する（Ｓ６０５）。制御部８は、対象のバックアップＥＣＵのデータ量の記録が空になったと判定すると、管理テーブルを次に高い優先度が付与されているバックアップ先ＥＣＵへ送信する（Ｓ６０７）。制御部８は、全てのバックアップＥＣＵのデータ量が空になったと判定すると、管理テーブルを書き換え対象ＥＣＵへ送信し（Ｓ６０９）、削除時バックアップ先処理を終了する。

以下、バックアップデータの削除時における管理テーブルの移動について図２０から図２３を参照して説明する。最初のバックアップ先ＥＣＵであるＥＣＵ６は、ＥＣＵ３から送信された管理テーブルを受信すると、図２０に示すように、自装置のバックアップデータのデータ量の記録を管理テーブルから削除する。ＥＣＵ６は、全てのデータ量が空でないと判定すると、そのバックアップデータのデータ量の記録を削除した管理テーブルを次に優先度が高いバックアップ先ＥＣＵであるＥＣＵ４へ送信する。

ＥＣＵ４は、ＥＣＵ６から送信された管理テーブルを受信すると、図２１に示すように、自装置のバックアップデータのデータ量の記録を管理テーブルから削除する。ＥＣＵ６は、全てのデータ量が空であると判定すると、そのバックアップデータの記録を削除した管理テーブルをＥＣＵ３へ送信する。

ＥＣＵ３は、ＥＣＵ４から送信された管理テーブルを受信すると、図２２に示すように、保存データの書き換え容量の記録を削除し、最新状態を空き容量の欄に記録する。ＥＣＵ３は、その記録した最新状態の空き容量にしたがって優先度を再計算し、その再計算結果を優先度の欄に記録し、その再計算結果を優先度の欄に記録した管理テーブルをセントラルＥＣＵ２へ送信する。

上記した例示では、図２３に示すように、管理テーブルを、書き換え対象ＥＣＵであるＥＣＵ３から最初のバックアップ先ＥＣＵであるＥＣＵ６（矢印Ｂ１参照）、ＥＣＵ６から次のバックアップ先ＥＣＵであるＥＣＵ４（矢印Ｂ２参照）、ＥＣＵ４から書き換え対象ＥＣＵであるＥＣＵ３（矢印Ｂ３参照）、ＥＣＵ３からセントラルＥＣＵ２（矢印Ｂ４参照）の順序で転送する。

以上は、ＥＣＵ３が書き換え対象ＥＣＵである場合を例示したが、ＥＣＵ３とは別のＥＣＵが書き換え対象ＥＣＵである場合も同様である。又、ＥＣＵ６とＥＣＵ４の２個のＥＣＵがバックアップ先ＥＣＵとなる場合を例示したが、３個以上のＥＣＵがバックアップ先ＥＣＵとなる場合も同様である。

以上に説明したように実施形態によれば、次に示す作用効果を得ることができる。
更新データを書き換え対象ＥＣＵに書き込む前に、書き換え対象ＥＣＵに保存されている保存データをバックアップデータとしてバックアップ先ＥＣＵに保存する構成において、特定のＥＣＵが管理テーブルを保持する従来とは異なり、書き換え対象ＥＣＵとバックアップ先ＥＣＵとが管理テーブルを保持するようにした。セントラルＥＣＵ２へのアクセスの集中を未然に回避することができ、バックアップ先ＥＣＵとなり得る複数のＥＣＵ３～６とセントラルＥＣＵ２との間でのデータ通信量が増大する事態を未然に回避することができる。これにより、システム全体の通信負荷の増大を未然に回避することができる。

管理テーブルに記録されている優先度にしたがって当該管理テーブルの送信先を特定し、管理テーブルを当該送信先として特定したバックアップ先ＥＣＵへ送信するようにした。ソフトの書き換え時において、バックアップ先ＥＣＵの空き容量が少なければ管理テーブルが頻繁に移動する可能性があるが、空き容量が多いＥＣＵの優先度を高く設定すると共に空き容量が少ないＥＣＵの優先度を低く設定することで、空き容量が多いＥＣＵを優先してバックアップ先ＥＣＵとすることができ、管理テーブルが移動する機会を低減することができ、システム全体の通信負荷の増大をより適切に回避することができる。又、優先度を定義することで、次のバックアップ先ＥＣＵを即座に特定することができ、次のバックアップ先ＥＣＵを特定するために費やす時間を極力抑制することができる。

バックアップ先ＥＣＵから書き換え時データ送信要求を受信したことを条件として、保存データをバックアップデータとしてバックアップ先ＥＣＵへ送信するようにした。書き換え対象ＥＣＵにおいて、バックアップ先ＥＣＵからの書き換え時データ送信要求の受信を契機として保存データをバックアップデータとしてバックアップ先ＥＣＵへ送信することができる。又、書き換え時データ送信要求の送信先を特定することで、バックアップデータの誤送信を回避することができる。

保存データの一部ずつをバックアップデータとして複数のバックアップ先ＥＣＵへ分割して送信するようにした。バックアップデータを複数のバックアップ先ＥＣＵに分散して保存することができる。

データ復旧要請の発生を判定すると、復旧時データ送信要求をバックアップ先ＥＣＵへ送信し、バックアップ先ＥＣＵに保存されているバックアップデータを当該バックアップ先ＥＣＵから受信するようにした。バックアップ先ＥＣＵに保存されているバックアップデータを当該バックアップ先ＥＣＵから受信することで、ソフトの書き換え前の状態に復旧することができる。

管理テーブルに記録されている優先度にしたがって復旧時データ送信要求の送信先を特定し、復旧時データ送信要求を当該送信先として特定したバックアップ先ＥＣＵへ送信するようにした。ソフトの復旧時においても、バックアップ先ＥＣＵの空き容量が少なければ管理テーブルが頻繁に移動する可能性があるが、空き容量が多いＥＣＵの優先度を高く設定すると共に空き容量が少ないＥＣＵの優先度を低く設定することで、空き容量が多いＥＣＵを優先してバックアップ先ＥＣＵとすることができ、管理テーブルが移動する機会を低減することができ、システム全体の通信負荷の増大をより適切に回避することができる。

書き換え対象ＥＣＵから復旧時データ送信要求を受信したことを条件として、バックアップデータを書き換え対象ＥＣＵへ送信するようにした。バックアップ先ＥＣＵにおいて、書き換え対象ＥＣＵからの復旧時データ送信要求の受信を契機としてバックアップデータを書き換え対象ＥＣＵへ送信することができる。又、復旧時データ送信要求の送信先を特定することで、バックアップデータの誤送信を回避することができる。

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、２はセントラルＥＣＵ（特定の電子制御装置）、３はＥＣＵ（書き換え対象の電子制御装置）、４～６はＥＣＵ（バックアップ先の電子制御装置）、１１は書き換え時書き換え対象機能部、１１ａは第１管理テーブル受信部、１１ｂは書き換え容量記録部、１１ｃは第１管理テーブル送信部、１１ｄは書き換え時データ送信要求受信部、１１ｅは書き換え時バックアップデータ送信部、１１ｆは第２管理テーブル受信部、１２は書き換え時バックアップ先機能部、１２ａは書き換え時データ送信要求送信部、１２ｂは書き換え時バックアップデータ受信部、１３は復旧時書き換え対象機能部、１３ａは復旧要請判定部、１３ｂは復旧時データ送信要求送信部、１３ｃは復旧時バックアップデータ受信部１３ｃ、１４は復旧時バックアップ先機能部、１４ａは復旧時データ送信要求受信部、１４ｂは復旧時バックアップデータ送信部、１５は削除時書き換え対象機能部、１６は削除時バックアップ先機能部、１６ａは記録情報削除部である。

Claims (9)

1. 更新データを書き込むことでソフトウェアを書き換え可能な電子制御装置であって、
   前記電子制御装置に保存されている保存データのバックアップ先となり得る電子制御装置（４～６）を識別可能な管理テーブルを特定の電子制御装置（２）から受信する第１管理テーブル受信部（１１ａ）と、
   前記管理テーブルに前記保存データの書き換え容量を記録する書き換え容量記録部（１１ｂ）と、
   前記保存データの書き換え容量が記録された前記管理テーブルを前記バックアップ先の電子制御装置へ送信する第１管理テーブル送信部（１１ｃ）と、
   前記保存データの少なくとも一部をバックアップデータとして前記バックアップ先の電子制御装置へ送信する書き換え時バックアップデータ送信部（１１ｅ）と、
   前記バックアップデータが前記バックアップ先の電子制御装置に保存されたことを示す記録情報が記録された前記管理テーブルを当該バックアップ先の電子制御装置から受信する第２管理テーブル受信部（１１ｆ）と、を備える電子制御装置。
2. 前記第１管理テーブル送信部は、前記管理テーブルに記録されている優先度にしたがって当該管理テーブルの送信先を特定し、前記管理テーブルを当該送信先として特定した前記バックアップ先の電子制御装置へ送信する請求項１に記載した電子制御装置。
3. 前記バックアップ先の電子制御装置から書き換え時データ送信要求を受信する書き換え時データ送信要求受信部（１１ｄ）を備え、
   前記書き換え時バックアップデータ送信部は、前記書き換え時データ送信要求が前記書き換え時データ送信要求受信部により受信されたことを条件として、前記保存データの少なくとも一部をバックアップデータとして前記バックアップ先の電子制御装置へ送信する請求項１又は２に記載した電子制御装置。
4. 前記書き換え時バックアップデータ送信部は、前記保存データの一部ずつを前記バックアップデータとして複数の前記バックアップ先の電子制御装置へ分割して送信する請求項１から３の何れか一項に記載した電子制御装置。
5. 前記書き換え時データ送信要求を前記書き換え対象の電子制御装置へ送信する書き換え時データ送信要求送信部（１２ａ）と、
   前記バックアップデータを前記書き換え対象の電子制御装置から受信する書き換え時バックアップデータ受信部（１２ｂ）と、を備える請求項１から４の何れか一項に記載した電子制御装置。
6. データ復旧要請の発生を判定する復旧要請判定部（１３ａ）と、
   前記データ復旧要請の発生が判定されると、復旧時データ送信要求を前記バックアップ先の電子制御装置へ送信する復旧時データ送信要求送信部（１３ｂ）と、
   前記バックアップ先の電子制御装置に保存されている前記バックアップデータを当該バックアップ先の電子制御装置から受信する復旧時バックアップデータ受信部（１３ｃ）と、を備える請求項１から５の何れか一項に記載した電子制御装置。
7. 前記復旧時データ送信要求送信部は、前記管理テーブルに記録されている優先度にしたがって前記復旧時データ送信要求の送信先を特定し、前記復旧時データ送信要求を当該送信先として特定した前記バックアップ先の電子制御装置へ送信する請求項６に記載した電子制御装置。
8. 書き換え対象の電子制御装置から前記復旧時データ送信要求を受信する復旧時データ送信要求受信部（１４ａ）と、
   前記復旧時データ送信要求が前記復旧時データ送信要求受信部により受信されたことを条件として、前記バックアップデータを前記書き換え対象の電子制御装置へ送信する復旧時バックアップデータ送信部（１４ｂ）と、を備える請求項６又は７に記載した電子制御装置。
9. 前記記録情報を前記管理テーブルから削除する記録情報削除部（１６ａ）を備える請求項１から８の何れか一項に記載した電子制御装置。

Images