JP2024046296A - 制御システム及びソフトウェア更新方法 - Google Patents

Abstract

【課題】第１ＥＣＵの記憶装置のソフトウェアを更新したことにより、第１ＥＣＵと他のＥＣＵとの間でデータの送受信を正常に行えなくなることを抑制すること。【解決手段】制御システム１５は、情報処理装置３０と複数のＥＣＵとを備えている。情報処理装置３０は、複数のＥＣＵのうちの第１ＥＣＵ向けの更新用ソフトウェアを情報処理装置３０が取得した場合、第１ＥＣＵのソフトウェアを更新した際に第１ＥＣＵと他のＥＣＵとの間で不整合が発生するか否かを判定する。そして、情報処理装置３０は、第１ＥＣＵと他のＥＣＵとの間で不整合が発生すると判定した場合には、更新用ソフトウェアを第１ＥＣＵに送信しない。【選択図】図１

Description

本発明は、車両に設けられている制御システム及びソフトウェア更新方法に関する。

特許文献１は、車載の電子制御装置が備える記憶装置のソフトウェアを更新するシステムを開示している。当該システムは、車外のデータセンタから無線通信で車両に送信された更新用ソフトウェアを取得する情報処理装置と、情報処理装置と通信する電子制御装置とを備えている。電子制御装置の記憶装置のソフトウェアを更新する場合、情報処理装置は、更新用ソフトウェアを電子制御装置に送信する。電子制御装置は、記憶装置のソフトウェアを当該更新用ソフトウェアに書き換えることによってソフトウェアを更新する。

特開２００６－２６８５５４号公報

車両には、複数の電子制御装置が設けられている。例えば複数の電子制御装置のうち、第１電子制御装置の記憶装置のソフトウェアのみを更新した場合を考える。この場合、ソフトウェアが更新されていない他の電子制御装置と、第１電子制御装置との間で不整合が発生するおそれがある。このような不整合が発生すると、第１電子制御装置と他の電子制御装置との間でデータの送受信を正常に行えなくなるおそれがある。

上記課題を解決するための制御システムは、車両の外部から無線通信で当該車両に送信された更新用ソフトウェアを取得する情報処理装置と、車内ネットワークを介して前記情報処理装置と通信可能に構成された複数の電子制御装置と、を備えている。前記複数の電子制御装置は、実行装置と、当該実行装置が実行するソフトウェアを記憶する記憶装置と、をそれぞれ備えている。前記情報処理装置は、前記複数の電子制御装置のうちの第１電子制御装置向けの更新用ソフトウェアを前記情報処理装置が取得した場合、前記第１電子制御装置の前記記憶装置のソフトウェアを前記更新用ソフトウェアに更新した際に前記複数の電子制御装置のうちの前記第１電子制御装置とは別の他の電子制御装置と前記第１電子制御装置との間で不整合が発生するか否かを判定し、前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生しないと判定した場合には、前記第１電子制御装置の前記記憶装置のソフトウェアの更新を許可して前記更新用ソフトウェアを前記第１電子制御装置に送信し、前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生すると判定した場合には、前記更新用ソフトウェアを前記第１電子制御装置に送信しない。

上記制御システムは、第１電子制御装置の記憶装置のソフトウェアを更新用ソフトウェアに更新した際に第１電子制御装置と他の電子制御装置との間で不整合が発生すると判定した場合には、第１電子制御装置の記憶装置のソフトウェアを更新させない。

その一方で、上記制御システムは、第１電子制御装置の記憶装置のソフトウェアを更新用ソフトウェアに更新しても第１電子制御装置と他の電子制御装置との間で不整合が発生しないと判定した場合には、第１電子制御装置の記憶装置のソフトウェアの更新を許可する。すなわち、情報処理装置が更新用ソフトウェアを第１電子制御装置に送信する。すると、第１電子制御装置の実行装置は、記憶装置のソフトウェアを更新用ソフトウェアに書き換える。

したがって、上記制御システムは、第１電子制御装置の記憶装置のソフトウェアを更新したことにより、第１電子制御装置と他の電子制御装置との間でデータの送受信を正常に行えなくなることを抑制できる。

上記課題を解決するためのソフトウェア更新方法は、車両に設けられた電子制御装置が備える記憶装置のソフトウェアを更新させる方法である。前記車両は、車外から無線通信で当該車両に送信された更新用ソフトウェアを取得する情報処理装置と、前記情報処理装置とは車内ネットワークを介して通信可能に構成された複数の前記電子制御装置と、を備えるものである。当該ソフトウェア更新方法は、前記情報処理装置が、前記複数の電子制御装置のうちの第１電子制御装置向けの前記更新用ソフトウェアを取得するステップと、前記情報処理装置が、前記第１電子制御装置の前記記憶装置のソフトウェアを前記更新用ソフトウェアに更新した際に前記複数の電子制御装置のうちの前記第１電子制御装置とは別の他の電子制御装置と前記第１電子制御装置との間で不整合が発生するか否かを判定するステップと、前記情報処理装置が、前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生しないと判定した場合に、前記更新用ソフトウェアを、前記車内ネットワークを介して前記第１電子制御装置に送信するステップと、前記情報処理装置が、前記第１電子制御装置と前記他の電子制御装置との間で不整合が発生すると判定した場合には前記更新用ソフトウェアを前記第１電子制御装置に送信しないステップと、前記第１電子制御装置の実行装置が、前記車内ネットワークを介して前記更新用ソフトウェアを受信した場合に、前記記憶装置のソフトウェアを当該更新用ソフトウェアに書き換えるステップと、を有する。

上記ソフトウェア更新方法では、上記複数のステップが実行されることにより、上記制御システムと同等の作用及び効果を得ることができる。

図１は、実施形態の制御システムを備える車両と、車両の外部に設けられているデータセンタとを示す概略構成図である。 図２は、同制御システムの情報処理装置で実行される処理の流れを示すフローチャートである。 図３において、（Ａ）及び（Ｂ）は、電子制御装置から送信されるデータの大きさを示す模式図である。 図４は、図２に示した一連の処理が同情報処理装置で実行される際に、同制御システムの電子制御装置で実行される処理の流れを示すフローチャートである。 図５は、同情報処理装置で実行される処理の流れを示すフローチャートである。 図６は、図５に示した一連の処理が同情報処理装置で実行される際に、同電子制御装置で実行される処理の流れを示すフローチャートである。

以下、制御システム及びソフトウェア更新方法の一実施形態を図１～図６に従って説明する。本明細書では、電子制御装置を「ＥＣＵ」と記載する。「ＥＣＵ」は「Electronic Control Unit」の略記である。

図１は、車両１０と、車両１０の外部に設けられているデータセンタ１００とを図示している。
＜データセンタ＞
データセンタ１００は、車外ネットワーク２００を介して車両１０と各種の情報の送受信ができるように構成されている。すなわち、データセンタ１００は、無線通信によって車両１０と各種情報の送受信を行う。

詳しくは後述するが、車両１０は複数のＥＣＵを備えている。複数のＥＣＵのうちの何れかのＥＣＵの記憶装置のソフトウェアを更新するための更新用ソフトウェアが用意できた場合、データセンタ１００は、車外ネットワーク２００を介して当該更新用ソフトウェアを車両１０に送信する。なお、車両１０に設けられている複数のＥＣＵのうち、ソフトウェアを更新するＥＣＵを「更新対象ＥＣＵ」という。

＜車両＞
車両１０は、制御システム１５とアクチュエータとを備えている。車両１０は、アクチュエータとして、第１アクチュエータ１１と第２アクチュエータ１２とを備えている。第１アクチュエータ１１及び第２アクチュエータ１２は、車両１０で発生する制動力を調整すべく作動する。

＜制御システム＞
制御システム１５は、通信装置２０と情報処理装置３０とを備えている。通信装置２０は、データセンタ１００との情報を送受信するための車両側のインターフェースである。

情報処理装置３０は、ローカルネットワーク４１を介して通信装置２０と通信できるように構成されている。ローカルネットワーク４１は、情報処理装置３０と通信装置２０との間のみで情報の送受信を行うためのネットワークである。

情報処理装置３０は、データセンタ１００から無線通信によって車両１０に送信された更新用ソフトウェアを取得する。具体的には、情報処理装置３０は、実行装置３１と、記憶装置３２と、格納装置３３とを備えている。例えば、実行装置３１はＣＰＵであり、記憶装置３２は不揮発性のメモリであり、格納装置３３は揮発性のメモリである。記憶装置３２は、実行装置３１によって実行されるソフトウェアを記憶している。格納装置３３は、通信装置２０からローカルネットワーク４１を介して送信された情報を一時的に格納する。すなわち、データセンタ１００が、更新対象ＥＣＵを特定する情報及び更新用ソフトウェアを車両１０に送信すると、通信装置２０が、データセンタ１００が送信した情報を受信する。そして、通信装置２０は、受信した情報を、ローカルネットワーク４１を介して情報処理装置３０に送信する。すると、情報処理装置３０の実行装置３１は、ローカルネットワーク４１を介して受信した情報、すなわち更新対象ＥＣＵを特定する情報及び更新用ソフトウェアを格納装置３３に記憶させる。

制御システム１５は、グローバルネットワーク４２と、複数のＥＣＵとを備えている。グローバルネットワーク４２は、情報処理装置３０と複数のＥＣＵとを通信可能に接続する車内ネットワークである。例えば、グローバルネットワーク４２はＣＡＮバスである。ＣＡＮは「Controller Area Network」の略記である。

複数のＥＣＵは、第１制動ＥＣＵ６０と、第２制動ＥＣＵ７０とを含んでいる。第１制動ＥＣＵ６０及び第２制動ＥＣＵ７０は、車両１０で発生する制動力を調整するＥＣＵである。第１制動ＥＣＵ６０は、第１アクチュエータ１１を作動させる。第２制動ＥＣＵ７０は、第２アクチュエータ１２を作動させる。なお、複数のＥＣＵは、制動ＥＣＵ６０以外の他のＥＣＵ５０も含んでいる。

制御システム１５は、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間のみで情報の送受信を行うためのローカルネットワーク４３を備えている。そのため、制御システム１５では、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で情報の送受信を行う場合、グローバルネットワーク４２を使うこともできるし、ローカルネットワーク４３を使うこともできる。

＜ＥＣＵ＞
複数のＥＣＵは、実行装置と記憶装置とをそれぞれ備えている。例えば、実行装置はＣＰＵであり、記憶装置６２は不揮発性のメモリである。記憶装置には、実行装置が実行するソフトウェアが記憶される。

詳しくは、第１制動ＥＣＵ６０の実行装置６１は、記憶装置６２のソフトウェアを実行することによって第１アクチュエータ１１を制御する。第２制動ＥＣＵ７０の実行装置７１は、記憶装置７２のソフトウェアを実行することによって第２アクチュエータ１２を制御する。

本実施形態では、第１アクチュエータ１１の作動に第２アクチュエータ１２の作動を協調させることによって、車両１０で発生する制動力を調整することがある。この場合、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間では相互にデータの送受信を行いつつ、第１制動ＥＣＵ６０が第１アクチュエータ１１を作動させるとともに、第２制動ＥＣＵ７０が第２アクチュエータ１２を作動させる。

＜１つのＥＣＵにおいて記憶装置のソフトウェアを更新する場合＞
複数のＥＣＵのうちの１つのＥＣＵのみで記憶装置のソフトウェアを更新する場合について説明する。ここでは、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新する場合について説明する。この場合、第１制動ＥＣＵ６０が更新対象ＥＣＵであるため、第１制動ＥＣＵ６０が「第１電子制御装置」に対応する。

図２を参照し、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新する際に情報処理装置３０で実行される処理ルーチンを説明する。
ステップＳ１１において、情報処理装置３０の実行装置３１は、第１制動ＥＣＵ６０向けの更新用ソフトウェアを、通信装置２０を介して取得する。ここでは、第１制動ＥＣＵ６０向けの更新用ソフトウェアが、「第１電子制御装置向けの更新用ソフトウェア」に対応する。次のステップＳ１３において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを上記の更新用ソフトウェアに更新してよいか否かを判定する第１判定処理を実行する。第１判定処理において、実行装置３１は、記憶装置６２のソフトウェアを上記の更新用ソフトウェアに更新した際に複数のＥＣＵのうちの第１制動ＥＣＵ６０以外の他のＥＣＵと第１制動ＥＣＵ６０との間で不整合が発生するか否かを判定する。

図３を参照し、第１判定処理の一例を説明する。実行装置３１は、更新用ソフトウェアを解析することにより、記憶装置６２のソフトウェアを当該更新用ソフトウェアに更新した場合に第１制動ＥＣＵ６０からグローバルネットワーク４２に送信される第１仮定データＤ２の大きさを取得する。このとき、実行装置３１は、第１仮定データＤ２の大きさとして、第１仮定データＤ２のＩＤ数及びビット数のうちの少なくとも一方を取得する。また、実行装置３１は、他のＥＣＵからグローバルネットワーク４２に送信される基準データＤ１の大きさを取得する。このとき、実行装置３１は、基準データＤ１の大きさとして、基準データＤ１のＩＤ数及びビット数のうちの少なくとも一方を取得する。

例えば、図３（Ｂ）は第１仮定データＤ２の大きさ（例えば、ビット数）を示し、図３（Ａ）は基準データＤ１の大きさ（例えば、ビット数）を示している。図３に示す例では、第１仮定データＤ２の大きさは、基準データＤ１の大きさと異なっている。この場合、第１制動ＥＣＵ６０のソフトウェアを更新してしまうと、第１制動ＥＣＵ６０が送信したデータを他のＥＣＵが正しく認識できないおそれがある。また、他のＥＣＵが送信したデータを第１制動ＥＣＵ６０が正しく認識できないおそれがある。そのため、第１仮定データＤ２の大きさが基準データＤ１の大きさと同じである場合、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新した際に他のＥＣＵと第１制動ＥＣＵ６０との間で不整合が発生すると判定する。

一方、第１仮定データＤ２の大きさが基準データＤ１の大きさと同じである場合、第１制動ＥＣＵ６０が送信したデータを他のＥＣＵが正しく認識できる。また、他のＥＣＵが送信したデータを第１制動ＥＣＵ６０が正しく認識できる。そのため、第１仮定データＤ２の大きさが基準データＤ１の大きさと同じである場合、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新した際に他のＥＣＵと第１制動ＥＣＵ６０との間で不整合が発生しないと判定する。

図２に戻り、実行装置３１は、第１判定処理を実行すると、処理をステップＳ１５に移行する。ステップＳ１５において、実行装置３１は、第１判定処理において他のＥＣＵと第１制動ＥＣＵ６０との間で不整合が発生すると判定した場合（Ｓ１５：ＹＥＳ）、処理をステップＳ１７に移行する。一方、実行装置３１は、第１判定処理において他のＥＣＵと第１制動ＥＣＵ６０との間で不整合が発生しないと判定した場合（Ｓ１５：ＮＯ）、処理をステップＳ２１に移行する。

ステップＳ１７において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアの更新を禁止する。この場合、実行装置３１は、第１制動ＥＣＵ６０向けの更新用ソフトウェアを第１制動ＥＣＵ６０に送信しない。続いてステップＳ１９において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新しない旨を、通信装置２０からデータセンタ１００に送信させる。その後、実行装置３１は本処理ルーチンを終了する。

ステップＳ２１において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアの更新を許可する旨を第１制動ＥＣＵ６０に通知する。
なお、上記のような通知をＥＣＵが受信した場合、当該ＥＣＵでは、その実行装置の制御モードが通常モードから更新モードに移行する。通常モードとは、車両１０を走行させる際の実行装置の制御モードである。更新モードは、ソフトウェアを更新する際の実行装置の制御モードである。当該ＥＣＵでは、実行装置の制御モードが更新モードに切り替わると、その旨の通知が情報処理装置３０に送信される。

ステップＳ２３において、実行装置３１は、第１制動ＥＣＵ６０の実行装置６１の制御モードが更新モードに移行したか否かを判定する。実行装置３１は、上記の通知を第１制動ＥＣＵ６０から受信した場合、制御モードが更新モードに移行したと判定する（Ｓ２３：ＹＥＳ）。そして、実行装置３１は処理をステップＳ２５に移行する。一方、実行装置３１は、上記の通知を第１制動ＥＣＵ６０から受信していない場合、制御モードが更新モードに移行していないと判定する（Ｓ２３：ＮＯ）。この場合、実行装置３１は、上記の通知を第１制動ＥＣＵ６０から受信するまでステップＳ２３の判定を繰り返し実行する。

ステップＳ２５において、実行装置３１は、第１制動ＥＣＵ６０向けの更新用ソフトウェアを、グローバルネットワーク４２を介して第１制動ＥＣＵ６０に送信する。続いてステップＳ２７において、実行装置３１は、第１制動ＥＣＵ６０において記憶装置６２のソフトウェアの更新が完了したか否かを判定する。実行装置３１は、ソフトウェアの更新が完了したと判定した場合（Ｓ２７：ＹＥＳ）、処理をステップＳ２９に移行する。一方、実行装置３１は、ソフトウェアの更新が完了していないと判定した場合（Ｓ２７：ＮＯ）、ソフトウェアの更新が完了したと判定できるまでステップＳ２７の判定を繰り返し実行する。

ステップＳ２９において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアを更新した旨を、通信装置２０からデータセンタ１００に送信させる。その後、実行装置３１は本処理ルーチンを終了する。

図４を参照し、更新対象ＥＣＵの記憶装置のソフトウェアを更新する際に更新対象ＥＣＵの実行装置が実行する処理ルーチンを説明する。ここでは、更新対象ＥＣＵが第１制動ＥＣＵ６０である場合を例に挙げて説明する。

ステップＳ４１において、第１制動ＥＣＵ６０の実行装置６１は、記憶装置６２のソフトウェアを更新することが情報処理装置３０に許可されたか否かを判定する。例えば、図２に示したステップＳ２１で情報処理装置３０から送信された通知を第１制動ＥＣＵ６０が受信した場合は、ソフトウェアの更新が許可されたと見なす。一方、上記通知を第１制動ＥＣＵ６０が受信していない場合は、ソフトウェアの更新が許可されていないと見なす。実行装置６１は、ソフトウェアの更新が許可されたと判定した場合（Ｓ４１：ＹＥＳ）、処理をステップＳ４３に移行する。一方、実行装置６１は、ソフトウェアの更新が許可されていないと判定した場合（Ｓ４１：ＮＯ）、本処理ルーチンを終了する。

ステップＳ４３において、実行装置６１は、自身の制御モードを通常モードから更新モードに移行する。具体的には、実行装置６１は、自身をリセットし、制御モードを通常モードから更新モードに変更して再起動する。そして、実行装置６１は、制御モードが更新モードに移行した旨の通知を、グローバルネットワーク４２を介して情報処理装置３０に送信する。なお、第１制動ＥＣＵ６０の実行装置３１の通常モードとは、第１アクチュエータ１１を制御するための制御モードである。

次のステップＳ４５において、実行装置６１は、記憶装置６２に記憶されていた更新前のソフトウェアを削除する。そしてステップＳ４７において、実行装置６１は、情報処理装置３０から受信した更新用ソフトウェアを記憶装置６２に書き込む。すなわち、ステップＳ４５及びステップＳ４７において、実行装置６１は、記憶装置６２のソフトウェアを更新用ソフトウェアに書き換える。その後、実行装置６１は処理をステップＳ４９に移行する。ステップＳ４９において、実行装置６１は、記憶装置６２のソフトウェアの更新が完了した旨を情報処理装置３０に通知する。

ステップＳ５１において、実行装置６１は、自身の制御モードを更新モードから通常モードに移行する。具体的には、実行装置６１は、自身をリセットし、制御モードを更新モードから通常モードに変更して再起動する。その後、実行装置６１は本処理ルーチンを終了する。

＜複数のＥＣＵにおいて記憶装置のソフトウェアを更新する場合＞
複数のＥＣＵのうちの２つのＥＣＵの記憶装置のソフトウェアを更新する場合について説明する。ここでは、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアと、第２制動ＥＣＵ７０の記憶装置７２のソフトウェアとを更新する場合について説明する。この場合、第１制動ＥＣＵ６０及び第２制動ＥＣＵ７０の双方が更新対象ＥＣＵであるため、第１制動ＥＣＵ６０が「第１電子制御装置」に対応し、第２制動ＥＣＵ７０が「第２電子制御装置」に対応する。

図５を参照し、第１制動ＥＣＵ６０の記憶装置６２のソフトウェア及び第２制動ＥＣＵ７０の記憶装置７２のソフトウェアを更新する際に情報処理装置３０で実行される処理ルーチンを説明する。

ステップＳ７１において、情報処理装置３０の実行装置３１は、第１更新用ソフトウェア及び第２更新用ソフトウェアを、通信装置２０を介して取得する。第１更新用ソフトウェアは、第１制動ＥＣＵ６０向けの更新用ソフトウェアである。第２更新用ソフトウェアは、第２制動ＥＣＵ７０向けの更新用ソフトウェアである。

ステップＳ７３において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアの更新、及び、第２制動ＥＣＵ７０の記憶装置７２のソフトウェアの更新を行ってよいか否かを判定する第２判定処理を実行する。第２判定処理において、実行装置３１は、記憶装置６２のソフトウェアを第１更新用ソフトウェアに更新し、且つ記憶装置７２のソフトウェアを第２更新用ソフトウェアに更新した際に第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で不整合が発生するか否かを判定する。

例えば、実行装置３１は、第１更新用ソフトウェアを解析することにより、記憶装置６２のソフトウェアを当該第１更新用ソフトウェアに更新した場合に第１制動ＥＣＵ６０とローカルネットワーク４３との間で送受信される第１仮定データの大きさを取得する。このとき、実行装置３１は、第１仮定データの大きさとして、第１仮定データのＩＤ数及びビット数のうちの少なくとも一方を取得する。また、実行装置３１は、第２更新用ソフトウェアを解析することにより、記憶装置７２のソフトウェアを当該第２更新用ソフトウェアに更新した場合に第２制動ＥＣＵ７０とローカルネットワーク４３との間で送受信される第２仮定データの大きさを取得する。このとき、実行装置３１は、第１仮定データの大きさとして、第１仮定データのＩＤ数及びビット数のうちの少なくとも一方を取得する。第１仮定データの大きさが第２仮定データの大きさと同じである場合、すなわち双方の送信データの大きさと受信データの大きさとが互いに等しい場合、双方の制動ＥＣＵ６０，７０でソフトウェアを更新しても、第１制動ＥＣＵ６０が送信したデータを第２制動ＥＣＵ７０が正確に認識できる。また、第２制動ＥＣＵ７０が送信したデータを第１制動ＥＣＵ６０が正確に認識できる。そのため、第１仮定データの大きさが第２仮定データの大きさと同じである場合、実行装置３１は、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で不整合が発生しないと判定する。

一方、第１仮定データの大きさが第２仮定データの大きさと異なっている場合、双方の制動ＥＣＵ６０，７０でソフトウェアを更新すると、第１制動ＥＣＵ６０が送信したデータを第２制動ＥＣＵ７０が正確に認識できないおそれがある。また、第２制動ＥＣＵ７０が送信したデータを第１制動ＥＣＵ６０が正確に認識できないおそれがある。そのため、第１仮定データの大きさが第２仮定データの大きさと異なる場合、実行装置３１は、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で不整合が発生すると判定する。

ステップＳ７５において、実行装置３１は、第２判定処理において第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で不整合が発生すると判定した場合（Ｓ７５：ＹＥＳ）、処理をステップＳ７７に移行する。一方、実行装置３１は、第２判定処理において第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との間で不整合が発生しないと判定した場合（Ｓ７５：ＮＯ）、処理をステップＳ８１に移行する。

ステップＳ７７において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアの更新を禁止し、第２制動ＥＣＵ７０の記憶装置７２のソフトウェアの更新を禁止する。この場合、実行装置３１は、第１更新用ソフトウェアを第１制動ＥＣＵ６０に送信しない。同様に、実行装置３１は、第２更新用ソフトウェアを第２制動ＥＣＵ７０に送信しない。続いてステップＳ７９において、実行装置３１は、第１制動ＥＣＵ６０及び第２制動ＥＣＵ７０の何れにおいても記憶装置のソフトウェアを更新しない旨を、通信装置２０からデータセンタ１００に送信させる。その後、実行装置３１は本処理ルーチンを終了する。

ステップＳ８１において、実行装置３１は、第１制動ＥＣＵ６０の記憶装置６２のソフトウェアの更新を許可する旨を第１制動ＥＣＵ６０に通知する。また、実行装置３１は、第２制動ＥＣＵ７０の記憶装置７２のソフトウェアの更新を許可する旨を第２制動ＥＣＵ７０に通知する。そしてステップＳ８３において、実行装置３１は、更新数Ｎとして１を設定する。

ステップＳ８５において、実行装置３１は、第Ｎ制動ＥＣＵの実行装置の制御モードが更新モードに移行したか否かを判定する。例えば更新数Ｎが１である場合、実行装置３１は、第１制動ＥＣＵ６０の実行装置６１の制御モードが更新モードに移行したか否かを判定する。ここでの判定方法は、図２に示したステップＳ２３と同様である。そのため、ここでは判定方法の詳細を割愛する。

実行装置３１は、第Ｎ制動ＥＣＵの実行装置の制御モードが更新モードに移行したと判定した場合（Ｓ８５：ＹＥＳ）、処理をステップＳ８７に移行する。一方、実行装置３１は、第Ｎ制動ＥＣＵの実行装置の制御モードが更新モードに移行していないと判定した場合（Ｓ８５：ＮＯ）、制御モードが更新モードに移行したと判定できるまでステップＳ８５の判定を繰り返し実行する。

ステップＳ８７において、実行装置３１は、第Ｎ更新用ソフトウェアを、グローバルネットワーク４２を介して第Ｎ制動ＥＣＵに送信する。例えば更新数Ｎが１である場合、実行装置３１は、第１更新用ソフトウェアを第１制動ＥＣＵに送信する。続いてステップＳ８９において、実行装置３１は、第Ｎ制動ＥＣＵの記憶装置のソフトウェアの更新が完了したか否かを判定する。実行装置３１は、ソフトウェアの更新が完了したと判定した場合（Ｓ８９：ＹＥＳ）、処理をステップＳ９１に移行する。一方、実行装置３１は、ソフトウェアの更新が完了していないと判定した場合（Ｓ８９：ＮＯ）、ソフトウェアの更新が完了したと判定できるまでステップＳ８９の判定を繰り返し実行する。

ステップＳ９１において、実行装置３１は、更新数Ｎを１だけインクリメントする。そしてステップＳ９３において、実行装置３１は、更新数Ｎが更新対象数Ｍよりも大きいか否かを判定する。更新対象数Ｍは、更新対象ＥＣＵの数である。本実施形態では、更新対象ＥＣＵは、第１制動ＥＣＵ６０と第２制動ＥＣＵ７０との２つである。そのため、更新対象数Ｍとして２が設定されている。実行装置３１は、更新数Ｎが更新対象数Ｍよりも大きい場合（Ｓ９３：ＹＥＳ）、処理をステップＳ９５に移行する。一方、実行装置３１は、更新数Ｎが更新対象数Ｍ以下である場合（Ｓ９３：ＮＯ）、処理をステップＳ８５に移行する。

ステップＳ９５において、実行装置３１は、第１制動ＥＣＵ６０及び第２制動ＥＣＵ７０の双方で記憶装置のソフトウェアを更新した旨を、通信装置２０からデータセンタ１００に送信させる。その後、実行装置３１は本処理ルーチンを終了する。

図６を参照し、第１制動ＥＣＵ６０及び第２制動ＥＣＵ７０の双方で実行装置が実行する処理ルーチンについて説明する。
ステップＳ４１Ａにおいて、実行装置６１，７１は、記憶装置６２，７２のソフトウェアを更新することが情報処理装置３０に許可されたか否かを判定する。例えば、図５に示したステップＳ８１で情報処理装置３０から送信された通知を制動ＥＣＵ６０，７０が受信した場合は、ソフトウェアの更新が許可されたと見なす。一方、上記通知を制動ＥＣＵ６０，７０が受信していない場合は、ソフトウェアの更新が許可されていないと見なす。実行装置６１，７１は、ソフトウェアの更新が許可されたと判定した場合（Ｓ４１Ａ：ＹＥＳ）、処理をステップＳ４３Ａに移行する。一方、実行装置６１，７１は、ソフトウェアの更新が許可されていないと判定した場合（Ｓ４１Ａ：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ４３Ａにおいて、実行装置６１，７１は、自身の制御モードを通常モードから更新モードに移行する。制御モードの移行方法は、図４に示したステップＳ４３と同様である。そのため、ここでは移行方法の詳細な説明を割愛する。

次のステップＳ４５Ａにおいて、実行装置６１，７１は、記憶装置６２，７２に記憶されていた更新前のソフトウェアを削除する。そしてステップＳ４７Ａにおいて、実行装置６１，７１は、情報処理装置３０から受信した更新用ソフトウェアを記憶装置６２，７２に書き込む。具体的には、第１制動ＥＣＵ６０の実行装置６１は、第１更新用ソフトウェアを記憶装置６２に書き込む。また、第２制動ＥＣＵ７０の実行装置７１は、第２更新用ソフトウェアを記憶装置７２に書き込む。すなわち、ステップＳ４５Ａ及びステップＳ４７Ａにおいて、実行装置６１，７１は、記憶装置６２，７２のソフトウェアを更新用ソフトウェアに書き換える。その後、実行装置６１，７１は処理をステップＳ４９Ａに移行する。

ステップＳ４９Ａにおいて、実行装置６１，７１は、記憶装置６２，７２のソフトウェアの更新が完了した旨の通知をグローバルネットワーク４２に送信する。具体的には、第１制動ＥＣＵ６０の実行装置６１は、記憶装置６２のソフトウェアの更新が完了した旨の通知を、情報処理装置３０及び第２制動ＥＣＵ７０に送信する。第２制動ＥＣＵ７０の実行装置７１は、記憶装置７２のソフトウェアの更新が完了した旨の通知を、情報処理装置３０及び第１制動ＥＣＵ６０に送信する。

ステップＳ５０Ａにおいて、実行装置６１，７１は、複数の制動ＥＣＵ６０，７０のうち、自身ではないほうの制動ＥＣＵでソフトウェアの更新が完了した旨の通知を受信したか否かを判定する。具体的には、第１制動ＥＣＵ６０の実行装置６１は、第２制動ＥＣＵ７０でソフトウェアの更新が完了した旨の通知を受信したか否かを判定する。第２制動ＥＣＵ７０の実行装置７１は、第１制動ＥＣＵ６０でソフトウェアの更新が完了した旨の通知を受信したか否かを判定する。実行装置６１，７１は、複数の制動ＥＣＵ６０，７０のうち、自身ではないほうの制動ＥＣＵでソフトウェアの更新が完了した旨の通知を受信した場合（Ｓ５０Ａ：ＹＥＳ）、処理をステップＳ５１Ａに移行する。一方、実行装置６１，７１は、上記の通知を受信していない場合（Ｓ５０Ａ：ＮＯ）、上記の通知を受信するまでステップＳ５０Ａの判定を繰り返し実行する。

ステップＳ５１Ａにおいて、実行装置６１，７１は、自身の制御モードを更新モードから通常モードに移行する。制御モードの移行方法は、図４に示したステップＳ５１と同様である。そのため、ここでは移行方法の詳細な説明を割愛する。その後、実行装置６１，７１は本処理ルーチンを終了する。

＜本実施形態の作用及び効果＞
（１）制御システム１５が備える複数のＥＣＵのうち、１つのＥＣＵが更新対象ＥＣＵである場合を考える。この場合、通信装置２０は、更新対象ＥＣＵ向けの更新用ソフトウェアを、データセンタ１００から車外ネットワーク２００を介して受信する。すると、情報処理装置３０は、通信装置２０から更新用ソフトウェアを取得し、当該更新用ソフトウェアを格納装置３３に記憶させる。

情報処理装置３０において、実行装置３１は、更新対象ＥＣＵの記憶装置のソフトウェアを更新用ソフトウェアに更新した際に更新対象ＥＣＵと他のＥＣＵとの間で不整合が発生するか否かを判定する。更新対象ＥＣＵと他のＥＣＵとの間で不整合が発生している状態で制御システム１５を動作させると、更新対象ＥＣＵと他のＥＣＵとの間でデータの送受信を正常に行えなくなるおそれがある。

この点、制御システム１５は、更新対象ＥＣＵの記憶装置のソフトウェアを更新した際には更新対象ＥＣＵと他のＥＣＵとの間で不整合が発生すると実行装置３１が判定した場合には、更新対象ＥＣＵの記憶装置のソフトウェアを更新させない。

その一方で、制御システム１５は、更新対象ＥＣＵの記憶装置のソフトウェアを更新しても更新対象ＥＣＵと他のＥＣＵとの間で不整合が発生しないと判定した場合には、更新対象ＥＣＵの記憶装置のソフトウェアの更新を許可する。この場合、情報処理装置３０の実行装置３１は、更新用ソフトウェアを、グローバルネットワーク４２を介して更新対象ＥＣＵに送信する。すると、更新対象ＥＣＵの実行装置は、記憶装置のソフトウェアを更新用ソフトウェアに書き換える。この場合、更新対象ＥＣＵでソフトウェアを更新した後でも更新対象ＥＣＵと他のＥＣＵとの間でデータの送受信が正常に行われる。そのため、制御システム１５は、車両１０を適切に制御できる。

したがって、制御システム１５は、更新対象ＥＣＵの記憶装置のソフトウェアを更新したことにより、更新対象ＥＣＵと他のＥＣＵとの間でデータの送受信を正常に行えなくなることを抑制できる。

（２）次に、制御システム１５が備える複数のＥＣＵのうち、２つのＥＣＵが更新対象ＥＣＵである場合を考える。ここでは、２つの更新対象ＥＣＵのうちの１つを第１ＥＣＵとし、残りを第２ＥＣＵとして説明する。

この場合、通信装置２０は、第１ＥＣＵ向けの更新用ソフトウェア及び第２ＥＣＵ向けの更新用ソフトウェアを、データセンタ１００から車外ネットワーク２００を介して受信する。すると、情報処理装置３０は、通信装置２０から２つの更新用ソフトウェアを取得し、当該２つの更新用ソフトウェアを格納装置３３に記憶させる。

情報処理装置３０において、実行装置３１は、第１ＥＣＵの記憶装置のソフトウェアを更新し、且つ第２ＥＣＵの記憶装置のソフトウェアを更新した際に第１ＥＣＵと第２ＥＣＵとの間で不整合が発生するか否かを判定する。第１ＥＣＵと第２ＥＣＵとの間で不整合が発生している状態で制御システム１５を動作させると、第１ＥＣＵと第２ＥＣＵとの間でデータの送受信を正常に行えなくなってしまう。この場合、第１ＥＣＵと第２ＥＣＵとでの協調制御が正常に行えなくなるおそれがある。

この点、制御システム１５は、第１ＥＣＵと第２ＥＣＵとの双方でソフトウェアを更新した際には第１ＥＣＵと第２ＥＣＵとの間で不整合が発生すると実行装置３１が判定した場合には、第１ＥＣＵ及び第２ＥＣＵの双方でソフトウェアを更新させない。

その一方で、制御システム１５は、第１ＥＣＵと第２ＥＣＵとの双方でソフトウェアを更新しても第１ＥＣＵと第２ＥＣＵとの間で不整合が発生しないと判定した場合には、第１ＥＣＵ及び第２ＥＣＵの何れにおいてもソフトウェアの更新を許可する。この場合、情報処理装置３０の実行装置３１は、第１ＥＣＵ向けの更新用ソフトウェアを、グローバルネットワーク４２を介して第１ＥＣＵに送信する。すると、第１ＥＣＵの実行装置は、記憶装置のソフトウェアを更新用ソフトウェアに書き換える。また、情報処理装置３０の実行装置３１は、第２ＥＣＵ向けの更新用ソフトウェアを、グローバルネットワーク４２を介して第２ＥＣＵに送信する。すると、第２ＥＣＵの実行装置は、記憶装置のソフトウェアを更新用ソフトウェアに書き換える。この場合、第１ＥＣＵ及び第２ＥＣＵの双方でソフトウェアを更新した後でも第１ＥＣＵと第２ＥＣＵとの間でデータの送受信が正常に行われる。そのため、制御システム１５において、第１ＥＣＵと第２ＥＣＵとでの協調制御を正常に行うことができる。

なお、第１ＥＣＵ及び第２ＥＣＵの双方において、ソフトウェアが更新されると、実行装置が再起動される。本実施形態では、第１ＥＣＵ及び第２ＥＣＵの双方でソフトウェアが更新されてから、第１ＥＣＵ及び第２ＥＣＵの双方で実行装置が再起動される。

（変更例）
上記実施形態は、以下のように変更して実施することができる。上記実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

・車両１０が停止しており、且つ乗員が車両１０に搭乗していない状況下で第１ＥＣＵ及び第２ＥＣＵの双方のソフトウェアを更新する場合、第１ＥＣＵ及び第２ＥＣＵでの実行装置の再起動を同時期に行わなくてもよい。例えば、第１ＥＣＵでソフトウェアの更新が完了した場合には、第２ＥＣＵでのソフトウェアの更新が完了していなくても、第１ＥＣＵの実行装置を再起動させてもよい。同様に、第２ＥＣＵでソフトウェアの更新が完了した場合には、第１ＥＣＵでのソフトウェアの更新が完了していなくても、第２ＥＣＵの実行装置を再起動させてもよい。

・上記実施形態では、更新対象ＥＣＵが、車両１０で発生する制動力を調整する制動ＥＣＵである場合について説明したが、これに限らない。グローバルネットワーク４２を介して情報処理装置３０と通信できるＥＣＵであれば、制動ＥＣＵ以外のＥＣＵを更新対象ＥＣＵとしてもよい。例えば、エンジンや走行用モータなどの車両１０の動力源を制御する駆動ＥＣＵを、更新対象ＥＣＵとしてもよいし、車輪の舵角を調整するアクチュエータを制御するＥＣＵを更新対象ＥＣＵとしてもよい。また、ＡＤＡＳＥＣＵを更新対象ＥＣＵとしてもよい。「ＡＤＡＳ」とは「先進運転支援システム」である。

・第１判定処理では、第１ＥＣＵ向けの更新用ソフトウェアのバージョンと、他のＥＣＵの記憶装置に記憶されているソフトウェアのバージョンとを比較することによって、第１ＥＣＵと他のＥＣＵとの間で不整合が発生するか否かを判定してもよい。例えば、他のＥＣＵの記憶装置に記憶されているソフトウェアのバージョンが、第１ＥＣＵ向けの更新用ソフトウェアのバージョンに対応するバージョンではない場合は、不整合が発生すると判定するとよい。一方、他のＥＣＵの記憶装置に記憶されているソフトウェアのバージョンが、第１ＥＣＵ向けの更新用ソフトウェアのバージョンに対応するバージョンである場合は、不整合が発生しないと判定するとよい。

・第２判定処理では、第１ＥＣＵ向けの更新用ソフトウェアのバージョンと、第２ＥＣＵ向けの更新用ソフトウェアのバージョンとを比較することによって、第１ＥＣＵと第２ＥＣＵとの間で不整合が発生するか否かを判定してもよい。例えば、第１ＥＣＵ向けの更新用ソフトウェアのバージョンが、第２ＥＣＵ向けの更新用ソフトウェアのバージョンに対応するバージョンではない場合は、不整合が発生すると判定するとよい。一方、第１ＥＣＵ向けの更新用ソフトウェアのバージョンが、第２ＥＣＵ向けの更新用ソフトウェアのバージョンに対応するバージョンである場合は、不整合が発生しないと判定するとよい。

・制御システムを構成する情報処理装置３０及びＥＣＵは、ＣＰＵとＲＯＭとを備えて、ソフトウェア処理を実行するものに限らない。すなわち、情報処理装置３０及びＥＣＵは、以下（ａ）～（ｃ）の何れかの構成であればよい。

（ａ）コンピュータプログラムに従って各種処理を実行する一つ以上のプロセッサを備えていること。プロセッサは、ＣＰＵ並びに、ＲＡＭ及びＲＯＭなどのメモリを含んでいる。メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリ、すなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含んでいる。

（ｂ）各種処理を実行する一つ以上の専用のハードウェア回路を備えていること。専用のハードウェア回路としては、例えば、特定用途向け集積回路、すなわちＡＳＩＣ又はＦＰＧＡを挙げることができる。なお、ＡＳＩＣは、「Application Specific Integrated Circuit」の略記であり、ＦＰＧＡは、「Field Programmable Gate Array」の略記である。

（ｃ）各種処理の一部をコンピュータプログラムに従って実行するプロセッサと、各種処理のうちの残りの処理を実行する専用のハードウェア回路とを備えていること。
＜他の技術的思想＞
上記複数の実施形態及び変更例から把握できる技術的思想を付記として記載する。

（付記１）前記情報処理装置は、前記第１電子制御装置向けの更新用ソフトウェアのバージョンと、前記他の電子制御装置の前記記憶装置のソフトウェアのバージョンとの関係を基に、前記第１電子制御装置と前記他の電子制御装置との間で不整合が発生するか否かを判定してもよい。

（付記２）前記情報処理装置は、
前記第１電子制御装置の前記記憶装置のソフトウェアを前記第１更新用ソフトウェアに更新した際に当該第１電子制御装置から前記車内ネットワークに送信されるデータの大きさが、前記第２電子制御装置の前記記憶装置のソフトウェアを前記第２更新用ソフトウェアに更新した際に当該第２電子制御装置から前記車内ネットワークに送信されるデータの大きさと一致しない場合には、前記第１電子制御装置と前記第２電子制御装置との間で不整合が発生すると判定することが好ましい。

（付記３）前記情報処理装置は、前記第１更新用ソフトウェアのバージョンと、前記第２更新用ソフトウェアのバージョンとの関係を基に、前記第１電子制御装置と前記第２電子制御装置との間で不整合が発生するか否かを判定してもよい。

１０…車両
１５…制御システム
３０…情報処理装置
４２…グローバルネットワーク（車内ネットワークの一例）
５０，６０，７０…ＥＣＵ（電子制御装置）
６１，７１…実行装置
６２，７２…記憶装置

Claims (5)

1. 車両の外部から無線通信で当該車両に送信された更新用ソフトウェアを取得する情報処理装置と、車内ネットワークを介して前記情報処理装置と通信可能に構成された複数の電子制御装置と、を備え、
   前記複数の電子制御装置は、実行装置と、当該実行装置が実行するソフトウェアを記憶する記憶装置と、をそれぞれ備え、
   前記情報処理装置は、
   前記複数の電子制御装置のうちの第１電子制御装置向けの更新用ソフトウェアを前記情報処理装置が取得した場合、
   前記第１電子制御装置の前記記憶装置のソフトウェアを前記更新用ソフトウェアに更新した際に前記複数の電子制御装置のうちの前記第１電子制御装置とは別の他の電子制御装置と前記第１電子制御装置との間で不整合が発生するか否かを判定し、
   前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生しないと判定した場合には、前記第１電子制御装置の前記記憶装置のソフトウェアの更新を許可して前記更新用ソフトウェアを前記第１電子制御装置に送信し、
   前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生すると判定した場合には、前記更新用ソフトウェアを前記第１電子制御装置に送信しない
   制御システム。
2. 前記情報処理装置は、
   前記第１電子制御装置向けの更新用ソフトウェアである第１更新用ソフトウェアと、前記複数の電子制御装置のうちの第２電子制御装置向けの更新用ソフトウェアである第２更新用ソフトウェアとの何れをも取得した場合、
   前記第１電子制御装置の前記記憶装置のソフトウェアを前記第１更新用ソフトウェアに更新し、且つ前記第２電子制御装置の前記記憶装置のソフトウェアを前記第２更新用ソフトウェアに更新した際に前記第１電子制御装置と前記第２電子制御装置との間で不整合が発生するか否かを判定し、
   前記第１電子制御装置と前記第２電子制御装置との間で不整合が発生しないと判定した場合には、ソフトウェアの更新を許可し、前記第１更新用ソフトウェアを前記第１電子制御装置に送信し、前記第２更新用ソフトウェアを前記第２電子制御装置に送信し、
   前記第１電子制御装置と前記第２電子制御装置との間で不整合が発生すると判定した場合には、前記第１更新用ソフトウェアを前記第１電子制御装置に送信せず、且つ前記第２更新用ソフトウェアを前記第２電子制御装置に送信しない
   請求項１に記載の制御システム。
3. 前記第１電子制御装置の前記記憶装置のソフトウェア、及び前記第２電子制御装置の前記記憶装置のソフトウェアの双方を更新する場合、
   前記第１電子制御装置及び前記第２電子制御装置の各々は、前記第１電子制御装置の前記記憶装置のソフトウェアの更新、及び前記第２電子制御装置の前記記憶装置のソフトウェアの更新の双方が完了した後に再起動する
   請求項２に記載の制御システム。
4. 前記情報処理装置は、
   前記第１電子制御装置の前記記憶装置のソフトウェアを前記更新用ソフトウェアに更新した際には前記第１電子制御装置から前記車内ネットワークに送信されるデータの大きさが前記他の電子制御装置から前記車内ネットワークに送信されるデータの大きさと一致しなくなる場合には、前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生すると判定する
   請求項１～請求項３のうち何れか一項に記載の制御システム。
5. 車両に設けられた電子制御装置が備える記憶装置のソフトウェアを更新させるソフトウェア更新方法であって、
   前記車両は、車外から無線通信で当該車両に送信された更新用ソフトウェアを取得する情報処理装置と、前記情報処理装置とは車内ネットワークを介して通信可能に構成された複数の前記電子制御装置と、を備えるものであり、
   前記情報処理装置が、前記複数の電子制御装置のうちの第１電子制御装置向けの前記更新用ソフトウェアを取得するステップと、
   前記情報処理装置が、前記第１電子制御装置の前記記憶装置のソフトウェアを前記更新用ソフトウェアに更新した際に前記複数の電子制御装置のうちの前記第１電子制御装置とは別の他の電子制御装置と前記第１電子制御装置との間で不整合が発生するか否かを判定するステップと、
   前記情報処理装置が、前記他の電子制御装置と前記第１電子制御装置との間で不整合が発生しないと判定した場合に、前記更新用ソフトウェアを、前記車内ネットワークを介して前記第１電子制御装置に送信するステップと、
   前記情報処理装置が、前記第１電子制御装置と前記他の電子制御装置との間で不整合が発生すると判定した場合には前記更新用ソフトウェアを前記第１電子制御装置に送信しないステップと、
   前記第１電子制御装置の実行装置が、前記車内ネットワークを介して前記更新用ソフトウェアを受信した場合に、前記記憶装置のソフトウェアを当該更新用ソフトウェアに書き換えるステップと、を有する
   ソフトウェア更新方法。

Images