JP2024014218A - 書換制御装置、電子制御装置、書換制御システム、及び書換制御方法 - Google Patents

Abstract

【課題】プログラムの更新に際して不要なデータ通信を抑制する。【解決手段】書換制御装置は、外部機器からの更新指示を受けて更新対象装置が記憶する制御用プログラムを更新用プログラムで書き換える更新用書き換えを行う書換制御装置であって、前記更新指示を受けていないタイミングで、前記更新対象装置が記憶する前記制御用プログラムを前記更新用プログラムと異なる予め記憶された検査用プログラムで書き換える検査用書き換えを行い、前記更新指示を受けた場合に前記検査用書き換えの結果を出力する。【選択図】図３

Description

本発明は、書換制御装置、電子制御装置、書換制御システム、及び書換制御方法に関する。

機器に搭載される当該機器の制御用のプログラムは、例えば機能の追加や、不具合の解消等を含むプログラムの更新を目的として、適宜書き換え（リプログラミング、以下「リプロ」と称する）が行われることがある。このとき、機器にプログラムの書き込みを行う前に、更新が正常に行えるか否かを判定し、当該更新が正常に行えると判定された場合に、プログラムの書き込みを行う技術が知られている（例えば特許文献１参照）。

特開２０２０－４２４５号公報

しかしながら、従来技術では、プログラムの更新指示を受けてから当該更新が正常に行えるか否かを判定し、更新が正常に行えると判定された場合に、プログラムの書き込みを行うため、リプロを開始するまでに多くの時間を要する。プログラムの更新指示を受けてからリプロを開始するまでの時間が長くなることで、その間にリプロを中断しなければならない不具合に遭遇することがあり、当該中断に伴って無駄になるデータ通信が発生することが課題であった。

本発明は、上記の課題に鑑み、プログラムの更新に際して不要なデータ通信を抑制することが可能な技術を提供することを目的とする。

例示的な本発明の書換制御装置は、外部機器からの更新指示を受けて更新対象装置が記憶する制御用プログラムを更新用プログラムで書き換える更新用書き換えを行う書換制御装置であって、前記更新指示を受けていないタイミング、前記更新対象装置が記憶する前記制御用プログラムを前記更新用プログラムと異なる予め記憶された検査用プログラムで書き換える検査用書き換えを行い、前記更新指示を受けた場合に前記検査用書き換えの結果を出力する。

本発明によれば、プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

実施形態の書換制御システムの全体構成図 リプロモードへの切り替え処理例を示すフローチャート リプロモードの処理例を示すフローチャート 図３の処理状態を示す構成の模式図 更新用書き換え（更新用リプロ）の処理例を示すフローチャート 図５の処理状態を示す構成の模式図 変形例の書換制御システムの全体構成図

以下、本発明の例示的な実施形態について、図面を参照しながら詳細に説明する。なお、本発明は以下に示す実施形態の内容に限定されるものではない。

＜１．書換制御システム＞
図１は、実施形態の書換制御システム１の全体構成図である。書換制御システム１は、制御装置（電子制御装置）１０と、外部機器２０と、を備える。

制御装置１０は、本実施形態において、車両Ｖに搭載される電子制御装置（ＥＣＵ：Electronic Control Unit）である。制御装置１０は、各種制御用のプログラムを有し、例えばエンジン、トランスミッション、ブレーキ、パワーステアリング、カーナビゲーション等の電子制御を行う。なお、制御装置１０は、車両Ｖのほか、例えば船舶や航空機等の車両以外の移動体に搭載される電子制御装置であっても良い。制御装置１０の詳細な構成については後述する。

また、車両Ｖは、さらに通信部３０と、表示部４０と、を備える。通信部３０は、外部機器２０と、インターネット等を含む通信ネットワークを介して通信可能に接続される。通信部３０は、外部機器２０に対し、制御装置１０に関するデータを送信及び受信する。表示部４０は、車両Ｖの状態に関する情報を表示可能であり、当該情報を車両Ｖの乗員に通知することができる。

制御装置１０、通信部３０、及び表示部４０は、車両Ｖ内において通信可能に接続される。本実施形態において、制御装置１０、通信部３０、及び表示部４０の間の通信には、ＣＡＮ（Controller Area Network）通信が利用される。

外部機器２０は、制御装置１０に対して外部の、例えばデータセンター等に設けられたコンピュータである。制御装置１０が有する車両Ｖの制御用プログラムは、例えば機能の追加や、不具合の解消等を含むプログラムの更新を目的として、適宜書き換え（リプロ）が行われる。外部機器２０は、制御装置１０に対し、制御装置１０が有する制御用プログラムの更新指示、及び当該更新に用いる更新用プログラムを送信する。

＜２．制御装置＞
制御装置１０は、第１コントローラ１１と、第２コントローラ１２と、記憶装置１３と、を備える。第１コントローラ１１、第２コントローラ１２、及び記憶装置１３は、互いに双方向に通信可能に接続されている。

第１コントローラ１１及び第２コントローラ１２は、いずれもマイコン（マイクロコントローラ）であり、互いに同等の性能を有する。

第１コントローラ１１は、第１演算処理部１１１と、第１内部メモリ１１２と、を有する。さらに、第１コントローラ１１は、作業領域として利用する不図示のＲＡＭ（Random access memory）等を有していても良い。これらの構成要素は、第１コントローラ１１内において、不図示のバス等を介して双方向に通信可能に接続されている。本実施形態において、第１演算処理部１１１は、ＣＰＵ（Central Processing Unit）によって構成される。

第１内部メモリ１１２は、例えば不揮発性メモリであって、電気的にデータの書き換えが可能なメモリである。本実施形態において、第１内部メモリ１１２は、例えばフラッシュメモリにより構成される。第１内部メモリ１１２には、第１コントローラ１１用のリプロソフト１１２Ａ及び制御用プログラムである製品ソフト１１２Ｂが記憶されている。

第１コントローラ１１においては、第１演算処理部１１１が、ＲＡＭを作業領域として利用しつつ、第１内部メモリ１１２に予め記憶された制御用プログラム（製品ソフト１１２Ｂ）に従った演算処理を実行することにより、各種の機能が実現される。

第２コントローラ１２は、第２演算処理部１２１と、第２内部メモリ１２２と、を有する。さらに、第２コントローラ１２は、作業領域として利用する不図示のＲＡＭ（Random access memory）等を有していても良い。これらの構成要素は、第２コントローラ１２内において、不図示のバス等を介して双方向に通信可能に接続されている。本実施形態において、第２演算処理部１２１は、ＣＰＵ（Central Processing Unit）によって構成される。

第２内部メモリ１２２は、例えば不揮発性メモリであって、電気的にデータの書き換えが可能なメモリである。本実施形態において、第２内部メモリ１２２は、例えばフラッシュメモリにより構成される。第２内部メモリ１２２には、第２コントローラ１２用のリプロソフト１２２Ａ及び制御用プログラムである製品ソフト１２２Ｂが記憶されている。

第２コントローラ１２においては、第２演算処理部１２１が、ＲＡＭを作業領域として利用しつつ、第２内部メモリ１２２に予め記憶された制御用プログラム（製品ソフト１２２Ｂ）に従った演算処理を実行することにより、各種の機能が実現される。

なお、本実施形態において、第１コントローラ１１及び第２コントローラ１２は、制御装置１０において同じ機能を実現する。すなわち、本実施形態において、第１コントローラ１１に予め記憶された制御用プログラム（製品ソフト１１２Ｂ）と、第２コントローラ１２に予め記憶された制御用プログラム（製品ソフト１２２Ｂ）とは、同じプログラムで構成される。そして、制御装置１０の稼働時において、第１コントローラ１１及び第２コントローラ１２のいずれか一方が稼働し、他方が非稼働の状態となる。

第１コントローラ１１のリプロソフト１１２Ａは、第２コントローラ１２の製品ソフト１２２Ｂの更新時にプログラムの書き換えを行うリプロソフトである。第１コントローラ１１は、外部機器２０からの更新指示を受けて更新対象装置である第２コントローラ１２が記憶する制御用プログラム（製品ソフト１２２Ｂ）を更新用プログラムで書き換える更新用書き換え（更新用リプロ）を行う書換制御装置である。

以下、外部機器２０からの更新指示を受けて行われる制御用プログラムの書き換え（リプロ）を「更新用書き換え」または「更新用リプロ」と呼ぶ場合がある。

また、第１コントローラ１１は、定期的（例えば１カ月毎）に記憶装置１３に記憶されている従前の更新用書き換えにおいて利用済の更新用プログラムデータ１３ｂを用いて、第２コントローラ１２に対して制御用プログラム（製品ソフト１２２Ｂ）を書き換える検査用書き換え（検査用リプロ）を行う。

以下、従前の更新用書き換えにおいて利用済の更新用プログラムデータ１３ｂを用いて、定期的に行われる制御用プログラムの書き換え（リプロ）を「検査用書き換え」または「検査用リプロ」と呼ぶ場合がある。

第２コントローラ１２のリプロソフト１２２Ａは、第１コントローラ１１の製品ソフト１１２Ｂの更新時にプログラムの書き換えを行うリプロソフトである。第２コントローラ１２は、外部機器２０からの更新指示を受けて更新対象装置である第１コントローラ１１が記憶する制御用プログラム（製品ソフト１１２Ｂ）を更新用プログラムで書き換える更新用書き換え（更新用リプロ）を行う書換制御装置である。

また、第２コントローラ１２は、定期的（例えば１カ月毎）に記憶装置１３に記憶されている従前の更新用書き換えにおいて利用済の更新用プログラムデータ１３ｂを用いて、第１コントローラ１１に対して制御用プログラム（製品ソフト１１２Ｂ）を書き換える検査用書き換え（検査用リプロ）を行う。

すなわち、第１コントローラ１１及び第２コントローラ１２は、各々が本開示における書換制御装置であり、且つ更新対象装置でもある。

記憶装置１３は、例えば不揮発性メモリであって、電気的にデータの書き換えが可能なメモリである。記憶装置１３は、第１コントローラ１１の製品ソフト１１２Ｂ及び第２コントローラ１２の製品ソフト１２２Ｂ各々の、外部機器２０から受信した更新用プログラムデータ１３ｂを一時的に記憶する。また、記憶装置１３は、リプロ結果データ１３ａを含むリプロ時の各種データを記憶する。リプロ結果データ１３ａは、リプロ時の実行結果及び実行日時等の各種情報を含む。

ここで、第１コントローラ１１及び第２コントローラ１２が更新用書き換えを行う場合、記憶装置１３に記憶される更新用プログラムデータ１３ｂは、製品ソフト１１２Ｂ及び製品ソフト１２２Ｂを新しいバージョンの制御用プログラムに更新するための新たなプログラムデータである。

また、第１コントローラ１１及び第２コントローラ１２が検査用書き換えを行う場合、記憶装置１３に記憶されている更新用プログラムデータ１３ｂは、従前の更新用書き換えを行った際に記憶され、当該更新用書き換えにおいて利用済のプログラムデータであり、予め記憶された検査用プログラムのデータである。

＜３．動作例＞
続いて、書換制御システム１におけるリプロ時の動作の一例について、図２、図３及び図５に示すフローを用い、適宜図４及び図６を参照しながら説明する。図２は、リプロモードへの切り替え処理例を示すフローチャートである。図３は、リプロモードの処理例を示すフローチャートである。図４は、図３の処理状態を示す構成の模式図である。図５は、更新用書き換え（更新用リプロ）の処理例を示すフローチャートである。図６は、図５の処理状態を示す構成の模式図である。

なお、ここでは、第１コントローラ１１が第２コントローラ１２の製品ソフト１２２Ｂの書き換え（リプロ）を行う場合について説明するが、第２コントローラ１２が第１コントローラ１１の製品ソフト１１２Ｂの書き換え（リプロ）を行う場合についても同様の処理で対応できる。その場合、第１コントローラ１１及び製品ソフト１１２Ｂと、第２コントローラ１２及び製品ソフト１２２Ｂとを互いに読み替える。

＜３－１．リプロモードへの切り替え処理＞
図２に関し、第１コントローラ１１は、車両Ｖのイグニッションスイッチ（ＩＧ）のオンによる制御装置１０への電源供給、またはイグニッションスイッチのオフのスリープモード中のウェイクアップ（ＷａｋｅＵｐ）で起動し、図２に示す処理を開始する。図２に示す処理は、第１コントローラ１１の製品ソフト１１２Ｂによって実行される。

なお、車両Ｖのイグニッションスイッチがオンからオフに変更された場合、第１コントローラ１１及び第２コントローラ１２は、スリープモードに移行する。スリープモードにおいて、第１コントローラ１１及び第２コントローラ１２は休止状態にある。スリープモードに移行するとき、第１コントローラ１１及び第２コントローラ１２は、自走式の内部タイマーを所定期間（例えば１週間）にセットする。内部タイマーは、自走式であるため、イグニッションスイッチのオフ中でもカウントが行われる。スリープモード中（イグニッションスイッチのオフ中）に内部タイマーが所定期間（例えば１週間）に達すると、第１コントローラ１１及び第２コントローラ１２は、ウェイクアップ（ＷａｋｅＵｐ）して起動する。

図２のステップＳ１０１において、第１コントローラ１１は、前回の第２コントローラ１２に対する検査用リプロから、例えば１か月（所定期間）が経過したか否かを判定する。なお、ここで言う検査用リプロとは、前回の第２コントローラ１２に対するリプロが更新用リプロであった場合、すなわち今回の検査用リプロが前回の更新リプロ後の初回の検査用リプロである場合、更新用リプロを意味する。すなわち、前回の第２コントローラ１２に対するリプロには更新用リプロも含まれるが、説明の便宜上、「検査用リプロ」として説明を続ける。

詳細に言えば、前回の第２コントローラ１２に対するリプロの実行結果及び実行日時に関する情報は、記憶装置１３のリプロ結果データ１３ａとして記憶されている。第１コントローラ１１は、リプロ結果データ１３ａを参照し、前回の第２コントローラ１２に対する検査用リプロから１か月が経過したか否かを判定する。なお、ここで示した「１か月」という所定期間は一例であり、適宜任意に定めることができる。

前回の第２コントローラ１２に対する検査用リプロから１か月が経過している（ステップＳ１０１のＹｅｓ）場合、ステップＳ１０２に移り、１か月が経過していない（ステップＳ１０１のＮｏ）場合、ステップＳ１０４に移る。

ステップＳ１０２において、第１コントローラ１１は、車両Ｖのイグニッションスイッチ（ＩＧ）がオフであるか否かを判定し、オフではない（ステップＳ１０２のＮｏ）場合、イグニッションスイッチがオフになるまでステップＳ１０２の判定を継続し、待機する。イグニッションスイッチがオフである、若しくはオフになった（ステップＳ１０２のＹｅｓ）場合、ステップＳ１０３に移る。

ステップＳ１０３において、第１コントローラ１１は、処理をリプロモードへ切り替え、図２に示す処理を終了する。

「リプロモード」とは、第１コントローラ１１によってリプロソフト１１２Ａが起動され、第２コントローラ１２の製品ソフト１２２Ｂの書き換え（リプロ）を行う処理（図３参照）が実行されることを意味する。

ステップＳ１０４において、第１コントローラ１１は、車両Ｖのイグニッションスイッチ（ＩＧ）がオフであるか否かを判定し、オフではない（ステップＳ１０４のＮｏ）場合、イグニッションスイッチがオフになるまでステップＳ１０４の判定を継続し、待機する。イグニッションスイッチがオフである、若しくはオフになった（ステップＳ１０４のＹｅｓ）場合、ステップＳ１０５に移る。

ステップＳ１０５において、第１コントローラ１１は、ウェイクアップ（ＷａｋｅＵｐ）用の内部タイマーを１週間にセットし、図２に示す処理を終了する。なお、ここで示した「１週間」という期間は一例であり、適宜任意に定めることができる。

＜３－２．リプロモードの処理＞
続いて、図３及び図４を用いて、リプロモードの処理例を説明する。図３に示す処理は、図２に示す製品ソフト１１２Ｂによって実行される処理において、リプロモードへの切り替え（ステップＳ１０３）によって起動され、開始される。図３に示す処理は、第１コントローラ１１のリプロソフト１１２Ａによって実行される。図４には、図３の各ステップの処理状況を示す白抜き矢印を描画した。

なお、リプロモードは、第２コントローラ１２の製品ソフト１２２Ｂの、検査用書き換え（検査用リプロ）と、更新用書き換え（更新用リプロ）と、のそれぞれにおいて実行される。

図３のステップＳ２０１において、第１コントローラ１１は、更新用プログラムデータ１３ｂを記憶装置１３から読み出し、ステップＳ２０２に移る。

詳細に言えば、製品ソフト１２２Ｂの検査用書き換え（検査用リプロ）を行う場合、記憶装置１３に記憶されている更新用プログラムデータ１３ｂは、前回の第２コントローラ１２に対する更新用書き換えを行った際に外部機器２０から受信して記憶され、当該更新用書き換えにおいて利用済のプログラムデータである。また、製品ソフト１２２Ｂの更新用書き換え（更新用リプロ）を行う場合、記憶装置１３に記憶されている更新用プログラムデータ１３ｂは、製品ソフト１２２Ｂを新しいバージョンの制御用プログラムに更新するための新たなプログラムデータである。

第１コントローラ１１は、更新用プログラムデータ１３ｂを記憶装置１３から読み出し、作業領域であるＲＡＭに当該更新用プログラムデータ１３ｂを一時的に記憶する。

ステップＳ２０２において、第１コントローラ１１は、第２コントローラ１２に対し、製品ソフト１２２Ｂのリプロを行い、ステップＳ２０３に移る。

詳細に言えば、第１コントローラ１１は、第１コントローラ１１の内部のＲＡＭに記憶された更新用プログラムデータ１３ｂを読み出し、第２コントローラ１２の第２内部メモリ１２２内の製品ソフト１２２Ｂに対してプログラムの書き換え（リプロ）を行う。

ステップＳ２０３において、第１コントローラ１１は、第２コントローラ１２の製品ソフト１２２Ｂに対するリプロの実行結果（リプロに成功したか否かの情報）及び実行日時を記憶装置１３に記憶し、図３に示す処理を終了する。

詳細に言えば、第１コントローラ１１は、第１コントローラ１１の内部のＲＡＭに記憶された更新用プログラムデータ１３ｂと、ステップＳ２０３において第２コントローラ１２に製品ソフト１２２Ｂとして書き込まれたプログラムデータとを比較することで、リプロの成功、失敗を判断する。第１コントローラ１１は、例えばチェックサム等を用いてこれらのデータを比較し、リプロの成功、失敗を判断する。

＜３－３．更新用書き換え（更新用リプロ）の処理＞
続いて、図５及び図６を用いて、更新用書き換え（更新用リプロ）の処理例を説明する。図５に関し、第１コントローラ１１は、車両Ｖのイグニッションスイッチ（ＩＧ）のオン中に一定周期毎に、またはイグニッションスイッチのオフのスリープモード中に外部機器２０からの更新指示の受信によりウェイクアップ（ＷａｋｅＵｐ）し、図５に示す処理を開始する。図５に示す処理は、第１コントローラ１１の製品ソフト１１２Ｂによって実行される。図６には、図５の各ステップの処理状況を示す白抜き矢印を描画した。

図５のステップＳ３０１において、第１コントローラ１１は、第２コントローラ１２の製品ソフト１２２Ｂの更新指示を外部機器２０から受信したか否かを判定し、受信した（ステップＳ３０１のＹｅｓ）場合、ステップＳ３０２に移り、受信していない（ステップＳ３０１のＮｏ）場合、図５に示す処理を終了する。

ステップＳ３０２において、第１コントローラ１１は、製品ソフト１２２Ｂに対する検査用リプロの実行結果を読み出し、ステップＳ３０３に移る。

詳細に言えば、前回の検査用リプロの実行結果及び実行日時に関する情報は、記憶装置１３のリプロ結果データ１３ａとして記憶されている。第１コントローラ１１は、リプロ結果データ１３ａを参照し、前回の検査用リプロの実行結果、すなわち検査用リプロの成功、失敗に関する情報を読み出す。

ステップＳ３０３において、第１コントローラ１１は、製品ソフト１２２Ｂに対する検査用リプロの実行結果が成功であるか否かを判定し、成功である（ステップＳ３０３のＹｅｓ）場合、ステップＳ３０４に移り、失敗である（ステップＳ３０３のＮｏ）場合、ステップＳ３０７に移る。

ステップＳ３０４において、第１コントローラ１１は、製品ソフト１２２Ｂを新しいバージョンの制御用プログラムに更新するための新たな更新用プログラムのデータの送信を外部機器２０に対して要求し、ステップＳ３０５に移る。

詳細に言えば、新たな更新用プログラムのデータの送信要求は、制御装置１０から通信部３０を介して外部機器２０に送信される。

ステップＳ３０５において、第１コントローラ１１は、外部機器２０から製品ソフト１２２Ｂの新たな更新用プログラムのデータを受信し、記憶装置１３に記憶し、ステップＳ３０６に移る。

詳細に言えば、外部機器２０から受信した製品ソフト１２２Ｂの新たな更新用プログラムのデータは、記憶装置１３において更新用プログラムデータ１３ｂとして記憶される。

ステップＳ３０６において、第１コントローラ１１は、製品ソフト１２２Ｂの更新用リプロに関するリプロ処理を実行し、図５に示す処理を終了する。「リプロ処理」とは、図２のステップＳ１０２からステップＳ１０３までの処理と、図３のステップＳ２０１からステップＳ２０３までの処理とを含む。

リプロ処理に関して詳細に言えば、第１コントローラ１１は、車両Ｖのイグニッションスイッチ（ＩＧ）がオフであるか否かを判定し（ステップＳ１０２）、オフではない場合にオフになるまで当該判定を継続して待機し、オフである、若しくはオフになった場合に処理をリプロモードへ切り替える（ステップＳ１０３）。そして、第１コントローラ１１は、更新用プログラムデータ１３ｂを記憶装置１３から読み出し（ステップＳ２０１）、第２コントローラ１２に対して製品ソフト１２２Ｂの更新用リプロを行い（ステップＳ２０２）、製品ソフト１２２Ｂに対するリプロの実行結果及び実行日時を記憶装置１３に記憶する（ステップＳ２０３）。

ステップＳ３０７において、第１コントローラ１１は、外部機器２０に対して製品ソフト１２２Ｂの更新用リプロが不可であることを通知し、ステップＳ３０８に移る。

詳細に言えば、製品ソフト１２２Ｂの更新用リプロが不可であることの通知は、制御装置１０から通信部３０を介して外部機器２０に送信される。

ステップＳ３０８において、第１コントローラ１１は、車両Ｖの車室内の表示部４０に、第２コントローラ１２の製品ソフト１２２Ｂのリプロ（更新）が不可であることを表示させ、図５に示す処理を終了する。

詳細に言えば、製品ソフト１２２Ｂの更新不可に関する表示の情報は、制御装置１０から車内ＣＡＮを介して表示部４０に送信される。第１コントローラ１１は、当該更新不可に関する情報を表示部４０に表示させることで、車両Ｖの乗員に対し、制御装置１０の不具合について通知することができる。

上記のように、書換制御装置である第１コントローラ１１は、更新対象装置である第２コントローラ１２の制御用プログラム（製品ソフト１２２Ｂ）の更新に際し、外部機器２０から更新指示を受けていないタイミングで、制御用プログラム（製品ソフト１２２Ｂ）を新たな更新用プログラムと異なる予め記憶装置１３に記憶された検査用プログラムで書き換える検査用書き換え（検査用リプロ）を行い、外部機器２０から更新指示を受けた場合に当該検査用書き換え（検査用リプロ）の結果を出力する。

上記の構成によれば、外部機器２０は、第１コントローラ１１が出力し、通信部３０を介して受信した第２コントローラ１２に対する検査用リプロの実行結果に応じて、製品ソフト１２２Ｂの新たな更新用プログラムのデータを送信するか否かを判断できる。すなわち、検査用リプロの実行結果が失敗であった場合、外部機器２０は、新たな更新用プログラムのデータを送信しないようにすることができる。したがって、制御用プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

また、図２のステップＳ１０１で示したように、第１コントローラ１１は、所定期間（例えば１か月）を経過する毎に、第２コントローラ１２の制御用プログラム（製品ソフト１２２Ｂ）の検査用書き換え（検査用リプロ）を行う。この構成によれば、定期的に、第２コントローラ１２に対する不具合の有無の確認を行うことができる。すなわち、早い段階で、第２コントローラ１２における不具合を発見でき、制御用プログラムの更新における不要なデータ通信を抑制する効果を高めることが可能になる。

また、第１コントローラ１１は、車両Ｖに搭載され、イグニッションスイッチが、オフである場合に制御用プログラムの検査用書き換え（検査用リプロ）を行い、オンである場合に制御用プログラムの検査用書き換え（検査用リプロ）を停止する。この構成によれば、車両Ｖの運転に影響を与えることなく、第２コントローラ１２の制御用プログラム（製品ソフト１２２Ｂ）の検査用書き換えを行うことが可能である。

また、電子制御装置（ＥＣＵ）である制御装置１０は、書換制御装置である第１コントローラ１１と、制御用プログラム（製品ソフト１２２Ｂ）を記憶するとともに実行する更新対象装置である第２コントローラ１２と、検査用書き換え（検査用リプロ）の結果を記憶する記憶装置１３と、を備える。

上記の構成によれば、制御装置１０は、制御用プログラム（製品ソフト１２２Ｂ）の更新に際し、更新指示を受けていないタイミングで制御用プログラムの検査用書き換え（検査用リプロ）を行い、当該検査用書き換え（検査用リプロ）の結果を記憶装置１３に記憶させることができる。そして、制御装置１０は、制御用プログラムの更新指示を受けた場合に、当該検査用リプロの結果を外部機器２０に対して出力（送信）できる。検査用リプロの実行結果が失敗であった場合、新たな更新用プログラムのデータが送信されないので、不要なデータ通信を抑制することが可能になる。

また、制御装置１０は、従前の更新用書き換え（更新用リプロ）において利用済の、記憶装置１３に一時的に記憶された更新用プログラムを検査用プログラムとして、更新指示を受けていないタイミングで制御用プログラムの検査用書き換え（検査用リプロ）を行う。言い換えれば、前回の更新用リプロ時に外部機器２０から受信して記憶装置１３に記憶され、当該前回の更新用リプロにおいて利用済の更新用プログラムデータ１３ｂを用いて、更新指示を受けていないタイミングにおいて、制御用プログラム（製品ソフト１１２Ｂ、１２２Ｂ）に対して検査用リプロを行う。この構成によれば、第１コントローラ１１及び第２コントローラ１２に対する不具合の有無の確認に際し、容易にリプロを試行することが可能である。

また、制御装置１０は、制御用プログラムを記憶するとともに実行する２つの書換制御装置である第１コントローラ１１及び第２コントローラ１２を備える。そして、２つの書換制御装置のうち１つは、他の書換制御装置を更新対象装置として、互いの制御用プログラムの検査用書き換え（検査用リプロ）を行う。詳細に言えば、例えば本実施形態において、第１コントローラ１１が書換制御装置であって、第２コントローラ１２を更新対象装置として、制御用プログラム（製品ソフト１２２Ｂ）の検査用書き換え（検査用リプロ）を行う。

なお、第１コントローラ１１が稼働しており、第２コントローラ１２が非稼働であるとき、第１コントローラ１１が書換制御装置であり、第２コントローラ１２が更新対象装置となる。このとき、第１コントローラ１１は、外部機器２０からの更新指示を受けて第２コントローラ１２の制御用プログラム（製品ソフト１２２Ｂ）の検査用書き換え（検査用リプロ）を行う。

また、第２コントローラ１２が稼働しており、第１コントローラ１１が非稼働であるとき、第２コントローラ１２が書換制御装置であり、第１コントローラ１１が更新対象装置となる。このとき、第２コントローラ１２は、外部機器２０からの更新指示を受けて第１コントローラ１１の制御用プログラム（製品ソフト１１２Ｂ）の検査用書き換え（検査用リプロ）を行う。

上記の構成によれば、第１コントローラ１１及び第２コントローラ１２の各々に対し、不具合の有無の確認を行うことができる。すなわち、早い段階で、第１コントローラ１１及び第２コントローラ１２における不具合を発見でき、制御用プログラムの更新における不要なデータ通信を抑制する効果を高めることが可能になる。

また、２つの書換制御装置（更新対象装置）である第１コントローラ１１及び第２コントローラ１２が記憶する制御用プログラム（製品ソフト１１２Ｂ、１２２Ｂ）は同じである。すなわち、コントローラの冗長化を図った制御装置１０において、検査用リプロの実行結果が失敗であった場合、新たな更新用プログラムのデータを送信しないようにすることができる。したがって、制御用プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

なお、２つの書換制御装置（更新対象装置）である第１コントローラ１１及び第２コントローラ１２が記憶する制御用プログラム（製品ソフト１１２Ｂ、１２２Ｂ）は異なっていても良い。すなわち、第１コントローラ１１及び第２コントローラ１２が異なる機能を有する制御装置においても、検査用リプロの実行結果が失敗であった場合、新たな更新用プログラムのデータを送信しないようにすることができる。したがって、制御用プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

また、書換制御システム１は、電子制御装置（ＥＣＵ）である制御装置１０と、制御装置１０から検査用書き換え（検査用リプロ）の結果を受信し、制御装置１０に対して更新指示及び更新用プログラムを送信する外部機器２０と、を備える。

上記の構成によれば、書換制御システム１は、制御装置１０の制御用プログラム（製品ソフト１１２Ｂ、１２２Ｂ）の更新に際し、制御装置１０に更新指示を送っていないタイミングで、制御装置１０において検査用書き換え（検査用リプロ）を行い、当該検査用書き換え（検査用リプロ）の結果を記憶装置１３に記憶させることができる。そして、書換制御システム１は、制御装置１０に更新指示を送り、当該検査用書き換え（検査用リプロ）の結果を外部機器２０により受信できる。検査用リプロの実行結果が失敗であった場合、新たな更新用プログラムのデータが送信されないので、不要なデータ通信を抑制することが可能になる。

また、外部機器２０は、制御装置１０から受信した検査用書き換え（検査用リプロ）の結果が、成功である場合に更新用プログラムを送信し、失敗である場合に更新用プログラムの送信を停止する。すなわち、検査用リプロの実行結果が失敗であった場合、新たな更新用プログラムのデータが送信されないので、制御用プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

＜４．変形例＞
次に、変形例の書換制御システム１について、図７を用いて説明する。図７は、変形例の書換制御システム１の全体構成図である。なお、当該変形例の基本的な構成は、先に説明した実施形態と同じであるので、共通する構成要素には前と同じ符号または同じ名称を付してその説明を省略する場合がある。

変形例の書換制御システム１は、外部機器２０と、制御装置（電子制御装置）５０と、書換制御装置６０と、を備える。制御装置５０及び書換制御装置６０は、車両Ｖに搭載される。車両Ｖは、さらに通信部３０と、表示部４０と、を備える。

制御装置５０は、第１コントローラ５１と、第２コントローラ５２と、記憶装置５３と、を備える。第１コントローラ５１、第２コントローラ５２、及び記憶装置５３は、互いに双方向に通信可能に接続されている。

第１コントローラ５１は、第１演算処理部５１１と、第１内部メモリ５１２と、を有する。第１内部メモリ５１２には、第１コントローラ５１用の製品ソフト５１２Ｂが記憶されている。第１コントローラ５１においては、第１演算処理部５１１が、第１内部メモリ５１２に予め記憶された制御用プログラム（製品ソフト５１２Ｂ）に従った演算処理を実行することにより、各種の機能が実現される。

第２コントローラ５２は、第２演算処理部５２１と、第２内部メモリ５２２と、を有する。第２内部メモリ５２２には、第２コントローラ５２用の製品ソフト５２２Ｂが記憶されている。第２コントローラ５２においては、第２演算処理部５２１が、第２内部メモリ５２２に予め記憶された制御用プログラム（製品ソフト５２２Ｂ）に従った演算処理を実行することにより、各種の機能が実現される。

なお、第１コントローラ５１及び第２コントローラ５２が記憶する制御用プログラム（製品ソフト５１２Ｂ、５２２Ｂ）は同じであっても良いし、異なっていても良い。

記憶装置５３は、製品ソフト５１２Ｂ、５２２Ｂ各々の、外部機器２０から受信した更新用プログラムデータ５３ｂを一時的に記憶する。また、記憶装置５３は、リプロ結果データ５３ａを含むリプロ時の各種データを記憶する。

書換制御装置６０は、例えばマイコンによって構成され、制御装置５０に対して独立した構成要素である。書換制御装置６０は、書換演算処理部６１と、書換内部メモリ６２と、を有する。書換演算処理部６１は、ＣＰＵによって構成される。

書換内部メモリ６２は、リプロソフト６２Ａを記憶する。リプロソフト６２Ａは、第１コントローラ５１の製品ソフト５１２Ｂ及び第２コントローラ５２の製品ソフト５２２Ｂの更新時にプログラムの書き換えを行うリプロソフトである。

書換制御装置６０は、更新対象装置である第１コントローラ５１及び第２コントローラ５２各々の制御用プログラム（製品ソフト５１２Ｂ、５２２Ｂ）の更新に際し、外部機器２０から更新指示を受けていないタイミングで、制御用プログラム（製品ソフト５１２Ｂ、５２２Ｂ）を新たな更新用プログラムと異なる予め記憶装置５３に記憶された検査用プログラムで書き換える検査用書き換え（検査用リプロ）を行い（図３参照）、外部機器２０から更新指示を受けた場合に当該検査用書き換え（検査用リプロ）の結果を出力する（図５参照）。

変形例の上記構成によれば、外部機器２０は、書換制御装置６０が出力し、通信部３０を介して受信した第１コントローラ５１または第２コントローラ５２に対する検査用リプロの実行結果に応じて、製品ソフト５１２Ｂ、５２２Ｂの新たな更新用プログラムのデータを送信するか否かを判断できる。すなわち、検査用リプロの実行結果が失敗であった場合、外部機器２０は、新たな更新用プログラムのデータを送信しないようにすることができる。したがって、制御用プログラムの更新に際して不要なデータ通信を抑制することが可能になる。

また、変形例の書換制御システム１は、単数の書換制御装置６０と、複数の更新対象装置（第１コントローラ５１及び第２コントローラ５２）と、を備える。この構成によれば、リプロ専用のコントローラ（書換制御装置６０）により、複数の製品ソフト用のコントローラに対して不具合の有無の確認を行うことができる。すなわち、効率良く早い段階で、複数のコントローラにおける不具合を発見でき、制御用プログラムの更新における不要なデータ通信を抑制する効果を高めることが可能になる。

また、書換制御装置６０は、車両Ｖが備える他の制御装置（ＥＣＵ）に関して、当該他の制御装置に搭載されたコントローラに対してリプロを実行することができる。すなわち、車両Ｖが備える多くの制御装置（ＥＣＵ）に関して、検査用リプロの実行結果が失敗であった場合、外部機器２０は、新たな更新用プログラムのデータを送信しないようにすることができる。

＜５．留意事項等＞
本明細書中で実施形態として開示された種々の技術的特徴は、その技術的創作の趣旨を逸脱しない範囲で種々の変更を加えることが可能である。すなわち、上記実施形態は、全ての点で例示であって、制限的なものではない。本発明の技術的範囲は、上記実施形態の説明ではなく、特許請求の範囲によって示されるものであり、特許請求の範囲と均等の意味及び範囲内に属する全ての変更が含まれる。また、本明細書中で示した複数の可変の構成は、可能な範囲で適宜組み合わせて実施して良い。

例えば、図１から図６を用いて説明した実施形態において、第１コントローラ１１が書換制御装置であり、第２コントローラ１２が更新対象装置であることとしたが、これらを互いに入れ替えても良い。

また、図１から図６を用いて説明した実施形態において、書換制御装置（更新対象装置）は、第１コントローラ１１及び第２コントローラ１２の２つであることとしたが、３つ以上であっても良い。

また、図１から図６を用いて説明した実施形態において、制御装置１０は、単数の書換制御装置と、複数の更新対象装置と、を備える構成であっても良い。この構成によれば、制御装置１０において、リプロ専用のコントローラにより、複数の製品ソフト用のコントローラに対して不具合の有無の確認を行うことができる。すなわち、効率良く早い段階で、複数のコントローラにおける不具合を発見でき、プログラムの更新における不要なデータ通信を抑制する効果を高めることが可能になる。

１ 書換制御システム
１０ 制御装置（電子制御装置）
１１ 第１コントローラ（書換制御装置、更新対象装置）
１２ 第２コントローラ（書換制御装置、更新対象装置）
１３ 記憶装置
１３ａ リプロ結果データ
１３ｂ 更新用プログラムデータ
２０ 外部機器
３０ 通信部
４０ 表示部
５０ 制御装置（電子制御装置）
５１ 第１コントローラ（更新対象装置）
５２ 第２コントローラ（更新対象装置）
５３ 記憶装置
５３ａ リプロ結果データ
５３ｂ 更新用プログラムデータ
６０ 書換制御装置
６２Ａ、１１２Ａ、１２２Ａ リプロソフト
１１２Ｂ、１２２Ｂ、５１２Ｂ、５２２Ｂ 製品ソフト（制御用プログラム）

Claims (12)

1. 外部機器からの更新指示を受けて更新対象装置が記憶する制御用プログラムを更新用プログラムで書き換える更新用書き換えを行う書換制御装置であって、
   前記更新指示を受けていないタイミングで、前記更新対象装置が記憶する前記制御用プログラムを前記更新用プログラムと異なる予め記憶された検査用プログラムで書き換える検査用書き換えを行い、
   前記更新指示を受けた場合に前記検査用書き換えの結果を出力する、書換制御装置。
2. 所定期間を経過する毎に、前記検査用書き換えを行う、請求項１に記載の書換制御装置。
3. 車両に搭載され、前記車両のイグニッションスイッチが、
   オフである場合に、前記検査用書き換えを行い、
   オンである場合に、前記検査用書き換えを停止する、
   請求項１に記載の書換制御装置。
4. 請求項１に記載の書換制御装置と、
   前記制御用プログラムを記憶するとともに実行する前記更新対象装置と、
   前記検査用書き換えの前記結果を記憶する記憶装置と、
   を備える、電子制御装置。
5. 前記記憶装置は、前記外部機器から受信した前記更新用プログラムを一時的に記憶し、
   前記書換制御装置は、従前の前記更新用書き換えにおいて利用済の、前記記憶装置に記憶された前記更新用プログラムを前記検査用プログラムとして前記検査用書き換えを行う、請求項４に記載の電子制御装置。
6. 前記制御用プログラムを記憶するとともに実行する複数の前記書換制御装置を備え、
   複数の前記書換制御装置のうち１つは、他の前記書換制御装置を前記更新対象装置として、互いの前記制御用プログラムの前記検査用書き換えを行う、請求項４に記載の電子制御装置。
7. 前記書換制御装置または前記更新対象装置が記憶する前記制御用プログラムは同じである、請求項６に記載の電子制御装置。
8. 前記書換制御装置または前記更新対象装置が記憶する前記制御用プログラムは異なる、請求項６に記載の電子制御装置。
9. 請求項１に記載の書換制御装置と、
   前記制御用プログラムを記憶するとともに実行する前記更新対象装置と、
   前記検査用書き換えの前記結果を記憶する記憶装置と、
   前記書換制御装置から前記検査用書き換えの前記結果を受信し、前記書換制御装置に対して前記更新指示及び前記更新用プログラムを送信する前記外部機器と、
   を備える、書換制御システム。
10. 前記外部機器は、前記書換制御装置から受信した前記検査用書き換えの前記結果が、
    成功である場合に、前記更新用プログラムを送信し、
    失敗である場合に、前記更新用プログラムの送信を停止する、
    請求項９に記載の書換制御システム。
11. 単数の前記書換制御装置と、複数の前記更新対象装置と、を備える、請求項９に記載の書換制御システム。
12. 外部機器からの更新指示を受けて更新対象装置が記憶する制御用プログラムを更新用プログラムで書き換える更新用書き換えを行う書換制御方法であって、
    前記更新指示を受けていないタイミングで、前記更新対象装置が記憶する前記制御用プログラムを前記更新用プログラムと異なる予め記憶された検査用プログラムで書き換える検査用書き換えを行うステップと、
    前記更新指示を受けた場合に前記検査用書き換えの結果を出力するステップと、
    を含む、書換制御方法。

Images