JP6390644B2

JP6390644B2 - Program update system, program update method, and computer program

Info

Publication number: JP6390644B2
Application number: JP2016039891A
Authority: JP
Inventors: 中野　貴之; 貴之中野
Original assignee: Sumitomo Electric Industries Ltd
Current assignee: Sumitomo Electric Industries Ltd
Priority date: 2016-03-02
Filing date: 2016-03-02
Publication date: 2018-09-19
Anticipated expiration: 2036-03-02
Also published as: JP2017157004A; WO2017149825A1

Description

本発明は、プログラム更新システム、プログラム更新方法及びコンピュータプログラムに関する。具体的には、本発明は、複数の制御装置に対する制御プログラムの同時更新を適切に行うための技術に関する。 The present invention relates to a program update system, a program update method, and a computer program. Specifically, the present invention relates to a technique for appropriately performing simultaneous update of control programs for a plurality of control devices.

近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための制御装置である、所謂ＥＣＵ（Electronic Control Unit）が多数搭載されている。
ＥＣＵには、例えば、アクセル、ブレーキ、ハンドルの操作に対してエンジンやブレーキ、ＥＰＳ（Electric Power Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じてヘッドライトの点灯／消灯やワイパーＯＮ／ＯＦＦ、ドアロック／アンロック等、運転席近傍に配設されるメータ類の動作を行うものがある。 In recent years, in the technical field of automobiles, functions of vehicles have been advanced, and a wide variety of in-vehicle devices are mounted on vehicles. Therefore, a large number of so-called ECUs (Electronic Control Units), which are control devices for controlling each in-vehicle device, are mounted on the vehicle.
The ECU includes, for example, an engine, a brake, an EPS (Electric Power Steering) control for the operation of an accelerator, a brake, and a steering wheel, and a headlight is turned on / off according to a switch operation by an occupant Some of them operate the meters arranged near the driver's seat, such as wiper ON / OFF and door lock / unlock.

一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read Only Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
ＥＣＵの制御プログラムは、車両の仕向け地やグレードなど応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。 In general, the ECU is configured by an arithmetic processing device such as a microcomputer, and the control of the in-vehicle device is realized by reading and executing a control program stored in a ROM (Read Only Memory).
The ECU control program may differ depending on the destination, grade, etc. of the vehicle, and it is necessary to rewrite the old version control program to the new version control program in response to the upgrade of the control program.

例えば、特許文献１及び２には、車載通信機などのゲートウェイが管理サーバから更新プログラムを受信し、受信した更新プログラム用いてＥＣＵが制御プログラムを旧バーションから新バーションに書き換えることにより、車両の各ＥＣＵに対するプログラム更新を無線通信によって遠隔で実行する技術が開示されている。 For example, in Patent Documents 1 and 2, a gateway such as an in-vehicle communication device receives an update program from a management server, and an ECU rewrites a control program from an old version to a new version using the received update program. A technique for remotely executing program update for each ECU by wireless communication is disclosed.

特開２００７−６５８５６号公報JP 2007-65856 A 特開２０１０−１９８１５５号公報JP 2010-198155 A

管理サーバから受信した更新プログラムを用いて、ＥＣＵが制御プログラムを更新する最中に、電源失陥やファイル欠損などの何らかの障害が発生することがある。この場合、ＥＣＵが旧バーションへの復元が可能ならば、障害がなくなった後に新バーションの制御プログラムの書き込みを最初からやり直すようにすればよい。
しかし、車両に搭載された複数のＥＣＵの制御プログラムを同時に更新する場合には、１つＥＣＵの書き込み中に障害が生じた時に、他のＥＣＵが既に新バーションへの更新を完了している場合がある。 While the ECU updates the control program using the update program received from the management server, some trouble such as power failure or file loss may occur. In this case, if the ECU can be restored to the old version, the control program for the new version may be rewritten from the beginning after the failure is eliminated.
However, when simultaneously updating the control programs of a plurality of ECUs mounted on the vehicle, when a failure occurs during writing of one ECU, another ECU has already completed the update to the new version. There is a case.

この場合、障害が生じたＥＣＵが旧バージョンで動作すると、旧バーションで動作するＥＣＵと新バーションで動作するＥＣＵが混在し、新旧バーションの制御プログラムの相性問題などによりＥＣＵが動作不良に陥る可能性がある。
本発明は、かかる従来の問題点に鑑み、複数の制御装置の制御プログラムを同時に更新する場合に、制御装置に動作不良が生じる事態を未然に防止することができる、プログラム更新システム等を提供することを目的とする。 In this case, if the failed ECU operates in the old version, the ECU that operates in the old version and the ECU that operates in the new version coexist, and the ECU malfunctions due to a compatibility problem of the control program of the old and new versions. There is a possibility of falling.
In view of such conventional problems, the present invention provides a program update system or the like that can prevent a situation in which a malfunction occurs in a control device when the control programs of a plurality of control devices are updated simultaneously. For the purpose.

（１）本発明の一態様に係るシステムは、車両に搭載された複数の制御装置と、複数の前記制御装置と車内通信可能に接続された中継装置と、前記中継装置と車外通信可能に接続された管理サーバと、を含むプログラム更新システムであって、前記中継装置は、複数の前記制御装置に関する制御プログラムの現状のバージョン情報と、自車両の車両識別番号を前記管理サーバに送信し、制御プログラムを前記管理サーバから通知された新バージョンに更新するための複数の更新プログラムを受信する車外通信部と、受信した複数の前記更新プログラムを記憶する記憶部と、記憶された複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信する車内通信部と、前記更新プログラムを受信したすべての前記制御装置が前記更新プログラムを用いた制御プログラムの更新を完了するまで、当該制御装置に制御プログラムの更新を継続させる、更新継続処理を実行する処理部と、を備える。
(1) A system according to an aspect of the present invention includes a plurality of control devices mounted on a vehicle, a plurality of control devices connected to the control devices so as to be capable of in-vehicle communication, and the relay devices connected to be able to communicate outside the vehicle. A management server , wherein the relay device transmits current version information of a control program related to a plurality of the control devices and a vehicle identification number of the host vehicle to the management server, and performs control. An out-of-vehicle communication unit that receives a plurality of update programs for updating the program to the new version notified from the management server, a storage unit that stores the plurality of received update programs, and the plurality of stored update programs a vehicle communication unit that transmits, respectively to a corresponding said control device, said update all of the control device before Symbol updated programming that has received the And a processing unit that executes an update continuation process that causes the control device to continue to update the control program until the update of the control program using the ram is completed.

（５）本発明の一態様に係る方法は、車両に搭載された複数の制御装置と車内通信可能に接続された中継装置が実行するプログラム更新方法であって、複数の前記制御装置に関する制御プログラムの現状のバージョン情報と、自車両の車両識別番号を前記管理サーバに送信し、制御プログラムを前記管理サーバから通知された新バージョンに更新するための複数の更新プログラムを受信するステップと、受信した複数の前記更新プログラムを記憶するステップと、記憶された複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信するステップと、前記更新プログラムを受信したすべての前記制御装置が前記更新プログラムを用いた制御プログラムの更新を完了するまで、当該制御装置に制御プログラムの更新を継続させる、更新継続処理を実行するステップと、を含む。
(5) A method according to an aspect of the present invention is a program update method executed by a relay device connected to a plurality of control devices mounted on a vehicle so as to be capable of in-vehicle communication, the control program relating to the plurality of control devices Receiving a plurality of update programs for transmitting the current version information and the vehicle identification number of the host vehicle to the management server and updating the control program to the new version notified from the management server; and use storing a plurality of the update, and transmitting to each of the controller corresponding to the stored plurality of the updates were all of the control apparatus that has received the update the previous SL update Update the control program to continue until the control program update is completed Executing continuation processing.

（６）本発明の一態様に係るコンピュータプログラムは、車両に搭載された複数の制御装置と車内通信可能に接続された中継装置として、コンピュータを機能させるためのコンピュータプログラムであって、複数の前記制御装置に関する制御プログラムの現状のバージョン情報と、自車両の車両識別番号を前記管理サーバに送信し、制御プログラムを前記管理サーバから通知された新バージョンに更新するための複数の更新プログラムを受信するステップと、受信した複数の前記更新プログラムを記憶するステップと、記憶された複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信するステップと、前記更新プログラムを受信したすべての前記制御装置が前記更新プログラムを用いた制御プログラムの更新を完了するまで、当該制御装置に制御プログラムの更新を継続させる、更新継続処理を実行するステップと、を含む。
(6) a computer program according to an embodiment of the present invention, as a plurality of control devices and vehicle communicatively connected relay device installed in a vehicle, a computer program for causing a computer to function, a plurality of the The current version information of the control program related to the control device and the vehicle identification number of the host vehicle are transmitted to the management server, and a plurality of update programs for updating the control program to the new version notified from the management server are received. steps and, the steps of: storing a plurality of said update received, and transmitting to each of the controller corresponding to the stored plurality of the update has been said all receiving updates the control device before Until the update of the control program using the update program is completed, And executing an update continuation process for causing the control device to continue updating the control program.

本発明によれば、複数の制御装置の制御プログラムを同時に更新する場合に、制御装置に動作不良が生じる事態を未然に防止することができる。 ADVANTAGE OF THE INVENTION According to this invention, when updating the control program of a some control apparatus simultaneously, the situation where a malfunction occurs in a control apparatus can be prevented beforehand.

本発明の実施形態に係るプログラム更新システムの全体構成図である。1 is an overall configuration diagram of a program update system according to an embodiment of the present invention. ゲートウェイの内部構成を示すブロック図である。It is a block diagram which shows the internal structure of a gateway. ＥＣＵの内部構成を示すブロック図である。It is a block diagram which shows the internal structure of ECU. 管理サーバの内部構成を示すブロック図である。It is a block diagram which shows the internal structure of a management server. 複数のＥＣＵに対する制御プログラムの同時更新の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the simultaneous update of the control program with respect to several ECU. 制御プログラムの動作領域を複数有するＥＣＵが実行する制御プログラムの書き換え処理を示す状態遷移図である。It is a state transition diagram which shows the rewriting process of the control program which ECU which has multiple operation area | regions of a control program performs. 複数領域ＥＣＵに対してゲートウェイが実行するロールバック処理の説明図である。It is explanatory drawing of the rollback process which a gateway performs with respect to multiple area | region ECU. 制御プログラムの動作領域を１つ有するＥＣＵが実行する制御プログラムの書き換え処理を示す状態遷移図である。It is a state transition diagram which shows the rewriting process of the control program which ECU which has one operation area | region of a control program performs. 単独領域ＥＣＵに対してゲートウェイが実行する更新復帰処理の一例を示すフローチャートである。It is a flowchart which shows an example of the update return process which a gateway performs with respect to single area | region ECU. 更新プログラムを自身で適用できないＥＣＵを含む場合の、制御プログラムの同時更新の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the simultaneous update of a control program in case the ECU which cannot apply an update program by itself is included.

＜本発明の実施形態の概要＞
以下、本発明の実施形態の概要を列記して説明する。
（１）本実施形態のプログラム更新システムは、車両に搭載された複数の制御装置と、複数の前記制御装置と車内通信可能に接続された中継装置と、前記中継装置と車外通信可能に接続された管理サーバと、を含むプログラム更新システムであって、前記中継装置は、複数の前記制御装置に関する制御プログラムの現状のバージョン情報と、自車両の車両識別番号を前記管理サーバに送信し、制御プログラムを前記管理サーバから通知された新バージョンに更新するための複数の更新プログラムを受信する車外通信部と、受信した複数の前記更新プログラムを記憶する記憶部と、記憶された複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信する車内通信部と、前記更新プログラムを受信したすべての前記制御装置が前記更新プログラムを用いた制御プログラムの更新を完了するまで、当該制御装置に制御プログラムの更新を継続させる、更新継続処理を実行する処理部と、を備える。
<Outline of Embodiment of the Present Invention>
Hereinafter, an outline of embodiments of the present invention will be listed and described.
(1) The program update system of the present embodiment is connected to a plurality of control devices mounted on a vehicle, a relay device connected to the plurality of control devices to enable in-vehicle communication, and connected to the relay device so as to be able to communicate outside the vehicle. A management server , wherein the relay device transmits the current version information of the control program related to the plurality of control devices and the vehicle identification number of the host vehicle to the management server, and the control program A vehicle external communication unit that receives a plurality of update programs for updating to a new version notified from the management server, a storage unit that stores the plurality of received update programs, and a plurality of the stored update programs a vehicle communication unit that transmits to the corresponding said control device, said all of the control device which has received the update before Symbol update A processing unit that executes an update continuation process that causes the control device to continue updating the control program until the control program is updated using the program.

本実施形態のプログラム更新システムによれば、中継装置の処理部が、更新プログラムを受信したすべての制御装置が更新プログラムを用いた制御プログラムの更新を完了するまで、当該制御装置に制御プログラムの更新を継続させる、更新継続処理を実行するので、旧バーションで動作する制御装置と新バーションで動作する制御装置が混在しない。
このため、複数の制御装置の制御プログラムを同時に更新する場合に、制御装置に動作不良が生じる事態を未然に防止することができる。
According to the program update system of the present embodiment, the processing unit of the relay apparatus until all of the control apparatus that has received the update is completed the update of the control program using the update program, the control program to the control unit Since the update continuation process for continuing the update is executed, the control device operating in the old version and the control device operating in the new version are not mixed.
For this reason, when updating the control programs of a plurality of control devices at the same time, it is possible to prevent a situation in which a malfunction occurs in the control devices.

（２）本実施形態のプログラム更新システムにおいて、複数の前記制御装置が、前記制御プログラムの動作領域が複数存在する記憶装置を有する複数領域タイプである場合には、前記更新継続処理として、いずれかの前記制御装置において途中で更新が中断した場合に、中断した当該制御装置に中断点から更新を再開させる更新復帰処理を採用すればよい。また、旧バージョンを他領域にバックアップとして確保しているため、リプロ対象のＥＣＵを一斉に復帰させる（「ロールバック」という）こともできる。 (2) In the program update system of the present embodiment, when the plurality of control devices are a plurality of area types having a storage device in which a plurality of operation areas of the control program exist, any of the update continuation processes is When the update is interrupted in the middle of the control device, an update return process may be employed in which the interrupted control device restarts the update from the interruption point. In addition, since the old version is secured as a backup in another area, it is also possible to return the ECUs to be reproposed all at once (referred to as “rollback”).

本実施形態のプログラム更新システムではこの場合、基本的に中断点から再開させるが、場合によっては、すぐに車両を動かす必要がある事態が生じる。中継装置の処理部が上記のロールバック処理を実行すると、短時間で復帰できる。いずれも旧バーションで動作する制御装置と新バーションで動作する制御装置が混在しない。
このため、複数の制御装置の制御プログラムを同時に更新する場合に、制御装置に動作不良が生じる事態を未然に防止することができる。 In this case, the program update system according to the present embodiment basically restarts from the point of interruption. However, in some cases, it may be necessary to move the vehicle immediately. When the processing unit of the relay device executes the above rollback processing, it can be restored in a short time. In either case, a control device operating in the old version and a control device operating in the new version are not mixed.
For this reason, when updating the control programs of a plurality of control devices at the same time, it is possible to prevent a situation in which a malfunction occurs in the control devices.

（３）本実施形態のプログラム更新システムにおいて、複数の前記制御装置が、前記制御プログラムの動作領域が１つ存在する記憶装置を有する単独領域タイプである場合には、前記更新継続処理として、いずれかの前記制御装置において途中で更新が中断した場合に、中断した当該制御装置に中断点から更新を再開させる更新復帰処理を採用すればよい。 (3) In the program update system of the present embodiment, when the plurality of control devices are a single region type having a storage device in which one operation region of the control program exists, In the case where the update is interrupted in the middle of the control device, update return processing may be employed in which the interrupted control device restarts the update from the interruption point.

この場合、中継装置の処理部が上記の更新復帰処理を実行すると、更新を中断した制御装置が中断点から更新を再開するので、旧バーションで動作する制御装置と新バーションで動作する制御装置が混在しない。
このため、複数の制御装置の制御プログラムを同時に更新する場合に、制御装置に動作不良が生じる事態を未然に防止することができる。 In this case, when the processing unit of the relay device executes the above update recovery processing, the control device that interrupted the update restarts the update from the point of interruption, so the control device that operates with the old version and the control that operates with the new version The devices are not mixed.
For this reason, when updating the control programs of a plurality of control devices at the same time, it is possible to prevent a situation in which a malfunction occurs in the control devices.

（４）本実施形態のプログラム更新システムにおいて、前記管理サーバは、前記バージョン情報と前記車両識別番号を前記中継装置から受信する通信部と、動作確認が取れている前記制御プログラムのバーションの組み合わせごとに識別番号が付与されたテーブル（例えば、図４のリビジョンテーブルＲＴ）を、前記車両識別番号ごとに記憶する記憶部と、受信した前記バージョン情報と前記車両識別番号に基づいて、１つの前記識別番号に対応する前記制御プログラムのバーションの組み合わせを、前記車両に搭載された複数の前記制御装置に適用する新バーションとして抽出する処理部と、を備え、前記通信部は、抽出された前記制御プログラムの新バーションの組み合わせを前記中継装置に通知することが好ましい。
(4) In the program update system of the present embodiment, before SL management server, the version information and the vehicle identification number the relay device communication unit for receiving from, operation check taken to have a version of the control program A table (for example, the revision table RT in FIG. 4) to which an identification number is assigned for each combination is stored on the basis of the storage unit for each vehicle identification number , the received version information, and the vehicle identification number . A processing unit that extracts a combination of versions of the control program corresponding to the identification number as a new version to be applied to the plurality of control devices mounted on the vehicle, and the communication unit is extracted the combination of the new version of the control program and Turkey be notified to the relay apparatus is preferred.

本実施形態のプログラム更新システムによれば、管理サーバの処理部が、受信したバージョン情報と車両識別番号に基づいて、１つの識別番号（リビジョン番号）に対応する制御プログラムのバーションの組み合わせを、車両に搭載された複数の制御装置に適用する新バーションとして抽出し、管理サーバの通信部が、抽出された制御プログラムの新バーションの組み合わせを中継装置に通知する。
このため、管理サーバから通知された新バーションの組み合わせ通りに複数の制御装置が更新を実行すれば、複数の制御装置について相性問題などに伴う動作不良が発生するのを未然に防止することができる。
According to the program update system of the present embodiment , based on the received version information and the vehicle identification number, the processing unit of the management server determines a combination of control program versions corresponding to one identification number (revision number), A new version to be applied to a plurality of control devices mounted on the vehicle is extracted, and the communication unit of the management server notifies the relay device of a combination of the new version of the extracted control program.
For this reason, if a plurality of control devices perform an update according to the combination of new versions notified from the management server, it is possible to prevent a malfunction due to a compatibility problem or the like from occurring in the plurality of control devices. it can.

（５）本実施形態のプログラム更新方法は、上述の（１）〜（４）のいずれかに記載のプログラム更新システムに含まれる中継装置が実行するプログラム更新方法に関する。
従って、本実施形態のプログラム更新方法は、上述の（１）〜（４）のいずれかに記載のプログラム更新システムと同様の作用効果を奏する。 (5) The program update method of this embodiment is related with the program update method which the relay apparatus contained in the program update system in any one of said (1)-(4) performs.
Therefore, the program update method of the present embodiment has the same effects as the program update system described in any of the above (1) to (4).

（６）本実施形態のコンピュータプログラムは、上述の（１）〜（４）のいずれかに記載のプログラム更新システムに含まれる中継装置として、コンピュータを機能させるためのコンピュータプログラムに関する。
従って、本実施形態のコンピュータプログラムは、上述の（１）〜（４）のいずれかに記載のプログラム更新システムと同様の作用効果を奏する。
(6) The computer program of this embodiment is related with the computer program for functioning a computer as a relay apparatus contained in the program update system in any one of said (1)-(4).
Therefore, the computer program of this embodiment has the same operational effects as the program update system described in any of the above (1) to (4).

＜本発明の実施形態の詳細＞
以下、図面を参照して、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。 <Details of Embodiment of the Present Invention>
Hereinafter, details of embodiments of the present invention will be described with reference to the drawings. In addition, you may combine arbitrarily at least one part of embodiment described below.

〔システムの全体構成〕
図１は、本発明の実施形態に係るプログラム更新システムの全体構成図である。
図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５及びＤＬ（ダウンロード）サーバ６を含む。
管理サーバ５及びＤＬサーバ６は、例えば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。 [Overall system configuration]
FIG. 1 is an overall configuration diagram of a program update system according to an embodiment of the present invention.
As shown in FIG. 1, the program update system of this embodiment includes a vehicle 1, a management server 5, and a DL (download) server 6 that can communicate via a wide area communication network 2.
The management server 5 and the DL server 6 are operated by, for example, a car manufacturer of the vehicle 1 and can communicate with a large number of vehicles 1 owned by a user who is registered as a member in advance.

車両１には、ゲートウェイ１０及び複数のＥＣＵ３０と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）が搭載されている。
車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループが存在し、ゲートウェイ１０は、通信グループ間の通信を中継している。このため、ゲートウェイ１０には、複数の車内通信線が接続されている。 The vehicle 1 is equipped with a gateway 10, a plurality of ECUs 30, and various in-vehicle devices (not shown) controlled by the respective ECUs 30.
In the vehicle 1, there is a communication group including a plurality of ECUs 30 that are bus-connected to a common in-vehicle communication line, and the gateway 10 relays communication between the communication groups. Therefore, a plurality of in-vehicle communication lines are connected to the gateway 10.

ゲートウェイ１０は、携帯電話網などの広域通信網２に通信可能に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５及びＤＬサーバ６などの車外装置から受信した情報をＥＣＵ３０に送信する。
ゲートウェイ１０は、ＥＣＵ３０から取得した情報を、広域通信網２を介して管理サーバ５などの車外装置に送信する。 The gateway 10 is communicably connected to a wide area communication network 2 such as a mobile phone network. The gateway 10 transmits information received from an external device such as the management server 5 and the DL server 6 to the ECU 30 through the wide area communication network 2.
The gateway 10 transmits information acquired from the ECU 30 to an external device such as the management server 5 via the wide area communication network 2.

図１では、ゲートウェイ１０が車外装置と直接通信を行う場合が例示されている。もっとも、ゲートウェイ１０に別の通信装置を接続し、別の通信装置を介して車外装置と通信を行う構成としてもよい。
ゲートウェイ１０に接続される別の通信装置としては、例えば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal Computer）等の装置が考えられる。 FIG. 1 illustrates a case where the gateway 10 directly communicates with an external device. But it is good also as a structure which connects another communication apparatus to the gateway 10 and communicates with an external apparatus via another communication apparatus.
As another communication apparatus connected to the gateway 10, for example, an apparatus such as a mobile phone, a smartphone, a tablet terminal, or a notebook PC (Personal Computer) owned by the user can be considered.

図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６が別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。 In the program update system of FIG. 1, the management server 5 and the DL server 6 are configured as separate servers, but the servers 5 and 6 may be configured as one server device.

〔ゲートウェイの内部構成〕
図２はゲートウェイ１０の内部構成を示すブロック図である。
図２に示すように、ゲートウェイ１０は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、記憶部１３、及び車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線を介して接続されているが、これらは一つの装置で構成してもよい。 [Internal configuration of gateway]
FIG. 2 is a block diagram showing the internal configuration of the gateway 10.
As shown in FIG. 2, the gateway 10 includes a CPU (Central Processing Unit) 11, a RAM (Random Access Memory) 12, a storage unit 13, an in-vehicle communication unit 14, and the like. The gateway 10 is connected to the wireless communication unit 15 via the in-vehicle communication line, but these may be configured by a single device.

ＣＰＵ１１は、記憶部１３に記憶された一又は複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
ＣＰＵ１１は、例えば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。ＲＡＭ１２は、ＳＲＡＭ（Static ＲＡＭ）又はＤＲＡＭ（Dynamic ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。 The CPU 11 causes the gateway 10 to function as a relay device for various information by reading one or more programs stored in the storage unit 13 into the RAM 12 and executing them.
The CPU 11 can execute a plurality of programs in parallel, for example, by switching and executing a plurality of programs in a time division manner. The RAM 12 is composed of a memory element such as SRAM (Static RAM) or DRAM (Dynamic RAM), and temporarily stores programs executed by the CPU 11, data necessary for execution, and the like.

記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子などにより構成されている。
記憶部１３は、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等を記憶する記憶領域を有する。記憶部１３は、ＤＬサーバ６から受信した各ＥＣＵ３０の更新プログラムなども記憶する。 The storage unit 13 includes a nonvolatile memory element such as a flash memory or an EEPROM (Electrically Erasable Programmable Read Only Memory).
The storage unit 13 has a storage area for storing programs executed by the CPU 11, data necessary for execution, and the like. The storage unit 13 also stores an update program for each ECU 30 received from the DL server 6.

車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、例えばＣＡＮ（Controller Area Network）、ＣＡＮＦＤ（ＣＡＮ with Flexible Data Rate）、ＬＩＮ（Local Interconnect Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、又はＭＯＳＴ（Media Oriented Systems Transport：ＭＯＳＴは登録商標）等の規格に応じて、ＥＣＵ３０との通信を行う。
車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記通信規格だけでなく、車載ネットワークに用いる他の通信規格によって通信してもよい。 A plurality of ECUs 30 are connected to the in-vehicle communication unit 14 via an in-vehicle communication line disposed in the vehicle 1. The in-vehicle communication unit 14 is, for example, CAN (Controller Area Network), CANFD (CAN with Flexible Data Rate), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport: MOST is a registered trademark). Communication with the ECU 30 is performed according to the standard.
The in-vehicle communication unit 14 transmits the information given from the CPU 11 to the target ECU 30 and gives the information received from the ECU 30 to the CPU 11. The in-vehicle communication unit 14 may communicate according to other communication standards used for the in-vehicle network as well as the above communication standards.

無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。 The wireless communication unit 15 includes a wireless communication device including an antenna and a communication circuit that performs transmission / reception of a wireless signal from the antenna. The wireless communication unit 15 can communicate with an external device by being connected to a wide area communication network 2 such as a mobile phone network.
The wireless communication unit 15 transmits information given from the CPU 11 to an external device such as the management server 5 via the wide area communication network 2 formed by a base station (not shown), and receives information received from the external device to the CPU 11. give.

ゲートウェイ１０において、無線通信部１５に代えて、上述の別の通信装置が接続される有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal Serial Bus）又はＲＳ２３２Ｃ等の規格に応じた通信ケーブルを介して通信装置を接続するコネクタを有し、通信ケーブルを介して接続された別の通信装置と通信を行う。
有線通信部は、ＣＰＵ１１から与えられた情報を別の通信装置により車外装置へ送信するとともに、広域通信網２を通じて車外装置から受信した情報をＣＰＵ１１に与える。 In the gateway 10, instead of the wireless communication unit 15, a wired communication unit to which another communication device described above is connected may be employed. This wired communication unit has a connector for connecting a communication device via a communication cable conforming to a standard such as USB (Universal Serial Bus) or RS232C, and communicates with another communication device connected via the communication cable. Do.
The wired communication unit transmits the information given from the CPU 11 to the outside device by another communication device, and gives the information received from the outside device through the wide area communication network 2 to the CPU 11.

〔ＥＣＵの内部構成〕
図３はＥＣＵ３０の内部構成を示すブロック図である。
図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された複数の車載機器を個別に制御する制御装置である。ＥＣＵ３０の種類には、例えば、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、及びドアロック制御ＥＣＵなどがある。 [Internal configuration of ECU]
FIG. 3 is a block diagram showing the internal configuration of the ECU 30.
As shown in FIG. 3, the ECU 30 includes a CPU 31, a RAM 32, a storage unit 33, a communication unit 34, and the like. The ECU 30 is a control device that individually controls a plurality of in-vehicle devices mounted on the vehicle 1. Examples of the ECU 30 include an engine control ECU, a steering control ECU, and a door lock control ECU.

ＣＰＵ３１は、記憶部３３に予め記憶された一又は複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する車載機器の動作を制御する。
ＲＡＭ３２は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。 The CPU 31 controls the operation of the in-vehicle device that it is in charge of by reading one or more programs stored in advance in the storage unit 33 into the RAM 32 and executing them.
The RAM 32 is composed of a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 31, data necessary for execution, and the like.

記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
記憶部３３が記憶する情報には、例えば、制御対象である車載装置を制御するための処理をＣＰＵ３１に実行させるためのコンピュータプログラム（以下、「制御プログラム」という。）が含まれる。 The storage unit 33 is configured by a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
The information stored in the storage unit 33 includes, for example, a computer program (hereinafter referred to as “control program”) for causing the CPU 31 to execute processing for controlling the in-vehicle device that is the control target.

通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、例えばＣＡＮ、Ｅｔｈｅｒｎｅｔ、又はＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。 The communication unit 34 is connected to the gateway 10 via an in-vehicle communication line disposed in the vehicle 1. The communication unit 34 communicates with the gateway 10 according to a standard such as CAN, Ethernet, or MOST.
The communication unit 34 transmits the information given from the CPU 31 to the gateway 10 and gives the information received from the gateway 10 to the CPU 31. The communication unit 34 may communicate according to other communication standards used for the in-vehicle network as well as the above communication standards.

ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」又は「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
通常モードとは、ＥＣＵ３０のＣＰＵ３１が本来の制御内容（例えば、エンジン制御やステアリング制御など）を実行する制御モードのことである。リプログラミングモードとは、ＣＰＵ３１が制御プログラムのＲＯＭ領域に対して消去、書き換えの権限が付与されるモードのことである。本モードのときにのみ、制御プログラムを新バージョンに更新することが可能となる。 The CPU 31 of the ECU 30 includes an activation unit 35 that switches the control mode by the CPU 31 to either “normal mode” or “reprogramming mode” (hereinafter also referred to as “repro mode”).
The normal mode is a control mode in which the CPU 31 of the ECU 30 executes original control contents (for example, engine control, steering control, etc.). The reprogramming mode is a mode in which the CPU 31 is given the authority to erase and rewrite the ROM area of the control program. Only in this mode, the control program can be updated to a new version.

起動部３５は、リプログラミングモードにおいて新バーションの制御プログラムを記憶部３３に書き込むと、いったん再起動（リセット）して新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行し、ベリファイ処理の完了後にＣＰＵ３１を更新後の制御プログラムによって動作させる。 When the activation unit 35 writes the new version control program in the storage unit 33 in the reprogramming mode, the activation unit 35 restarts (resets) once, executes the verification process on the storage area in which the new version control program is written, After the process is completed, the CPU 31 is operated by the updated control program.

〔管理サーバの内部構成〕
図４は、管理サーバ５の内部構成を示すブロック図である。
図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、及び通信部５５などを備える。 [Management Server internal configuration]
FIG. 4 is a block diagram showing the internal configuration of the management server 5.
As shown in FIG. 4, the management server 5 includes a CPU 51, a ROM 52, a RAM 53, a storage unit 54, a communication unit 55, and the like.

ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一又は複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。
ＲＡＭ５３は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。 The CPU 51 reads one or more programs stored in advance in the ROM 52 into the RAM 53 and executes them, thereby controlling the operation of each hardware and causing the management server 5 to function as an external device that can communicate with the gateway 10.
The RAM 53 is configured by a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 51 and data necessary for execution.

記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、又は、ハードディスクなどの磁気記憶装置等により構成されている。
通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。 The storage unit 54 includes a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
The communication unit 55 includes a communication device that executes communication processing in accordance with a predetermined communication standard, and is connected to the wide area communication network 2 such as a mobile phone network to execute the communication processing. The communication unit 55 transmits the information given from the CPU 51 to the external device via the wide area communication network 2 and gives the information received via the wide area communication network 2 to the CPU 51.

図４に示すように、記憶部５４が記憶する情報には、車両１に搭載されたＥＣＵ３０（ここでは、ＶＩＮ＝１の車両１に搭載されたＥＣＵ３０の識別番号を１〜３とする。）の制御プログラムのバーションを記録したリビジョンテーブルＲＴが含まれる。
リビジョンテーブルＲＴは、車両１の車両識別番号（ＶＩＮ）と、車両識別番号ごとのリビジョンアップの履歴を表す識別情報であるリビジョン番号と、各リビジョン番号に対応するＥＣＵ１〜３のバージョンとを纏めたテーブルよりなる。 As shown in FIG. 4, the information stored in the storage unit 54 includes the ECU 30 mounted on the vehicle 1 (here, the identification numbers of the ECU 30 mounted on the vehicle 1 with VIN = 1 are 1 to 3). A revision table RT in which the versions of the control programs are recorded is included.
The revision table RT summarizes the vehicle identification number (VIN) of the vehicle 1, the revision number that is identification information indicating the revision history for each vehicle identification number, and the versions of the ECUs 1 to 3 corresponding to each revision number. It consists of a table.

図４のリビジョンテーブルＲＴにおいて、同じリビジョン番号に含まれる各ＥＣＵ１〜３の制御プログラムのバーションは、カーメーカーにおいて動作確認が取れていることを示している。
例えば、現状のリビジョン番号である「Ｒ２．０」の場合には、ＥＣＵ１のバーション１．０の制御プログラム、ＥＣＵ２のバージョン１．３の制御プログラム、及びＥＣＵ３のバーション２．０の制御プログラムの動作確認が取れている。 In the revision table RT of FIG. 4, the versions of the control programs of the ECUs 1 to 3 included in the same revision number indicate that the operation of the car manufacturer has been confirmed.
For example, in the case of “R2.0”, which is the current revision number, a control program for version 1.0 of ECU1, a control program for version 1.3 of ECU2, and a control program for version 2.0 of ECU3 Has been confirmed.

最新のリビジョン番号である「Ｒ２．４」の場合には、ＥＣＵ１のバーション１．２の制御プログラム、ＥＣＵ２のバージョン２．０の制御プログラム、及びＥＣＵ３のバーション２．２の制御プログラムの動作確認が取れている。
従って、車両１をＲ２．０からＲ２．４にリビジョンアップする場合には、ＥＣＵ１の１．０から１．２へのバーションアップ、ＥＣＵ２の１．３から２．０へのバーションアップ、及びＥＣＵ３の２．０から２．２へのバーションアップを同時に行う必要がある。 In the case of the latest revision number “R2.4”, the operation of the control program of version 1.2 of ECU1, the control program of version 2.0 of ECU2, and the control program of version 2.2 of ECU3 Confirmed.
Therefore, when the vehicle 1 is upgraded from R2.0 to R2.4, the ECU 1 version is increased from 1.0 to 1.2, the ECU 2 version is increased from 1.3 to 2.0, In addition, it is necessary to simultaneously upgrade the ECU 3 from 2.0 to 2.2.

図４のリビジョンテーブルＲＴには、一例として車両識別番号ＶＩＮ＝１の場合のバージョン情報のみが例示されている。
もっとも、管理サーバ５が保持するリビジョンテーブルＲＴには、管理サーバ５の登録会員が所有するすべての車両１の車両識別番号（ＶＩＮ）ごとに、上記と同様のバーション情報が記録されている。また、ＤＬサーバ６には、すべてのＥＣＵ３０に関する複数の更新プログラムが格納されている。 In the revision table RT of FIG. 4, only version information in the case of the vehicle identification number VIN = 1 is illustrated as an example.
However, version information similar to the above is recorded in the revision table RT held by the management server 5 for each vehicle identification number (VIN) of all vehicles 1 owned by registered members of the management server 5. The DL server 6 stores a plurality of update programs related to all the ECUs 30.

ＣＰＵ５１は、ゲートウェイ１０から車両識別番号と各ＥＣＵ１〜３の現状の制御プログラムのバーションが通知されると、通知されたバーション情報をリビジョンテーブルＲＴに含まれる当該車両識別番号の最新バーションと照合する。
ＣＰＵ５１は、照合の結果、ゲートウェイ１０から通知されたＥＣＵ１〜３のバーション情報が最新でないと判定した場合には、最新バーションに更新するための更新プログラムの保存先ＵＲＬとダウンロード要求をゲートウェイ１０に送信する。 When the vehicle identification number and the current control program version of each ECU 1 to 3 are notified from the gateway 10, the CPU 51 updates the notified version information to the latest version of the vehicle identification number included in the revision table RT. Match.
When the CPU 51 determines that the version information of the ECUs 1 to 3 notified from the gateway 10 is not the latest as a result of the collation, the CPU 51 sends the update program storage destination URL and the download request for updating to the latest version. Send to.

〔制御プログラムの同時更新のシーケンス〕
図５は、本実施形態のプログラム更新システムにおいて実行される、複数のＥＣＵ１〜３に対する制御プログラムの同時更新の一例を示すシーケンス図である。なお、以下においては、図４のリビジョンテーブルＲＴに従って、各ＥＣＵ１〜３の制御プログラムを次のように更新する場合を想定する。
リビジョン番号：Ｒ２．０→Ｒ２．４
ＥＣＵ１：バーション１．０→バーション１．２
ＥＣＵ２：バーション１．３→バーション２．０
ＥＣＵ３：バーション２．０→バーション２．２ [Sequence of simultaneous update of control program]
FIG. 5 is a sequence diagram illustrating an example of simultaneous update of control programs for the plurality of ECUs 1 to 3 executed in the program update system of the present embodiment. In the following, it is assumed that the control programs of the ECUs 1 to 3 are updated as follows according to the revision table RT of FIG.
Revision number: R2.0 → R2.4
ECU1: Version 1.0-> Version 1.2
ECU2: version 1.3 → version 2.0
ECU3: Version 2.0 → Version 2.2

更新プログラムは、新バーションのプログラムそのものであってもよいが、本実施形態では、旧バーションからの差分プログラムである場合を想定する。この場合、旧バージョンと新バージョンとのファイルの差分情報を含むΔが同じ記憶領域にあれば、旧バージョンにΔを適応することで、新バージョンに更新することができる。
ＥＣＵ１のバーション１．０からバーション１．２への更新プログラムを「Δ１」とし、ＥＣＵ２のバーション１．３からバーション２．０への更新プログラムを「Δ２」とし、ＥＣＵ３のバーション２．０からバーション２．２への更新プログラムを「Δ３」とする。 The update program may be the program of the new version, but in the present embodiment, it is assumed that the update program is a differential program from the old version. In this case, if Δ including the difference information of the file between the old version and the new version is in the same storage area, it can be updated to the new version by applying Δ to the old version.
The update program from version 1.0 of ECU 1 to version 1.2 is set to “Δ1”, and the update program from version 1.3 to version 2.0 of ECU 2 is set to “Δ2”. An update program from 2.0 to version 2.2 is set to “Δ3”.

図５に示すように、本実施形態の制御プログラムの同時更新においては、まず、ゲートウェイ１０が、各ＥＣＵ１〜３の制御プログラムの現状のバージョン情報を収集する（ステップＳ１）。
図示の例では、ＥＣＵ１の制御プログラムの現バーションは「１．０」であり、ＥＣＵ２の制御プログラムの現バーションは「１．３」であり、ＥＣＵ３の制御プログラムの現バーションは「２．０」である。 As shown in FIG. 5, in the simultaneous update of the control program of the present embodiment, first, the gateway 10 collects the current version information of the control programs of the ECUs 1 to 3 (step S1).
In the illustrated example, the current version of the control program of the ECU 1 is “1.0”, the current version of the control program of the ECU 2 is “1.3”, and the current version of the control program of the ECU 3 is “2”. .0 ".

次に、ゲートウェイ１０は、収集したＥＣＵ１〜３の制御プログラムのバージョン情報と、自車両の車両識別番号（ＶＩＮ）を管理サーバ５に送信する（ステップＳ２）。
管理サーバ５は、ゲートウェイ１０から通知されたバージョン情報と車両識別番号に基づいて、前述のリビジョンテーブルＲＴ（図４参照）を探索することにより、各ＥＣＵ１〜３について、車両１の各ＥＣＵ１〜３の制御プログラムを同時に更新する必要があるか否かを判定する。 Next, the gateway 10 transmits the collected version information of the control programs of the ECUs 1 to 3 and the vehicle identification number (VIN) of the host vehicle to the management server 5 (step S2).
The management server 5 searches the above-described revision table RT (see FIG. 4) based on the version information and the vehicle identification number notified from the gateway 10, so that each ECU 1 to ECU 3 of the vehicle 1 is searched. It is determined whether it is necessary to update the control program at the same time.

ここでは、ＥＣＵ１がバーション１．０であり、ＥＣＵ２がバーション１．３であり、ＥＣＵ３がバーション２．０であるから、管理サーバ５は、車両１がリビジョンＲ２．０で運用中であると判定する。
また、管理サーバ５は、最新版のリビジョンＲ２．４が存在することから、ＥＣＵ１のバーション１．２への更新、ＥＣＵ２のバーション２．０への更新、及び、ＥＣＵ３のバーション２．２への更新を、同時に行う必要があると判定する。 Here, since the ECU 1 is version 1.0, the ECU 2 is version 1.3, and the ECU 3 is version 2.0, the management server 5 is operating the vehicle 1 at revision R2.0. Judge that there is.
Further, since the latest revision R2.4 exists, the management server 5 updates the ECU 1 to the version 1.2, updates the ECU 2 to the version 2.0, and updates the ECU 3 to the version 2. It is determined that the update to 2 needs to be performed simultaneously.

そこで、管理サーバ５は、バーション情報を送信してきたゲートウェイ１０宛てに、各ＥＣＵ１〜３の更新プログラムΔ１〜Δ３の保存先ＵＲＬとダウンロード要求をゲートウェイ１０宛てに送信する（ステップＳ３）。
これにより、ゲートウェイ１０は、各ＥＣＵ１〜３のための更新プログラムΔ１〜Δ３をＤＬサーバ６からダウンロードする（ステップＳ４）。ゲートウェイ１０は、受信した更新プログラムΔ１〜Δ３を自装置の記憶部１３に一時的に格納して保存する。 Therefore, the management server 5 transmits the storage destination URLs and download requests for the update programs Δ1 to Δ3 of the ECUs 1 to 3 to the gateway 10 that has transmitted the version information to the gateway 10 (step S3).
Thereby, the gateway 10 downloads the update programs Δ1 to Δ3 for the ECUs 1 to 3 from the DL server 6 (step S4). The gateway 10 temporarily stores and stores the received update programs Δ1 to Δ3 in the storage unit 13 of its own device.

更新プログラムΔ１〜Δ３の保存が完了すると、ゲートウェイ１０は、ＤＬが正常に完了したことを管理サーバ５に送信する（ステップＳ５）。引き続き自動で更新を行う場合、ＤＬ完了通知を受信した管理サーバ５は、制御プログラムの更新要求をゲートウェイ１０に送信する。ＤＬ完了後、一時中断し外部から更新要求を受けてから、制御プログラムの更新要求をゲートウェイ１０に送信してもよい（ステップＳ６）。
更新要求を受信したゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ１〜Δ３を用いて制御プログラムを更新させるべく、各ＥＣＵ１〜３にリプロモード移行要求をそれぞれ送信する（ステップＳ７）。 When the saving of the update programs Δ1 to Δ3 is completed, the gateway 10 transmits to the management server 5 that the DL has been normally completed (step S5). When the update is continuously performed automatically, the management server 5 that has received the DL completion notification transmits a control program update request to the gateway 10. After the DL is completed, the control program update request may be transmitted to the gateway 10 after being temporarily interrupted and receiving an update request from the outside (step S6).
The gateway 10 that has received the update request transmits a repro mode transition request to each of the ECUs 1 to 3 in order to update the control program using the update programs Δ1 to Δ3 stored in the storage unit 13 (step S7).

リプロモード移行要求を受信すると、各ＥＣＵ１〜３は自身の制御モードを通常モードからリプログラミングモードに切り替える。これにより、各ＥＣＵ１〜３は、更新プログラムΔ１〜Δ３の展開と、現状の制御プログラムを新バーションの制御プログラムに書き換える処理が可能な状態となる。 When receiving the repro mode transition request, each of the ECUs 1 to 3 switches its control mode from the normal mode to the reprogramming mode. Thereby, each ECU1-3 will be in the state which can expand the update program (DELTA) 1- (DELTA) 3 and the process which rewrites the present control program to the control program of a new version.

ゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ１をＥＣＵ１に送信する（ステップＳ８）。
ＥＣＵ１は、受信した更新プログラムΔ１を展開して旧バーション１．０に適用することにより、制御プログラムを旧バーション１．０から新バーション１．２に書き換える。書き換えが完了すると、ＥＣＵ１は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ９）。 The gateway 10 transmits the update program Δ1 stored in the storage unit 13 to the ECU 1 (step S8).
The ECU 1 develops the received update program Δ1 and applies it to the old version 1.0, thereby rewriting the control program from the old version 1.0 to the new version 1.2. When the rewriting is completed, the ECU 1 transmits a rewriting completion notification to the gateway 10 (step S9).

ゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ２をＥＣＵ２に送信する（ステップＳ１０）。
ＥＣＵ２は、受信した更新プログラムΔ２を展開して旧バーション１．３に適用することにより、制御プログラムを旧バーション１．３から新バーション２．０に書き換える。書き換えが完了すると、ＥＣＵ２は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ１１）。 The gateway 10 transmits the update program Δ2 stored in the storage unit 13 to the ECU 2 (step S10).
The ECU 2 rewrites the control program from the old version 1.3 to the new version 2.0 by developing the received update program Δ2 and applying it to the old version 1.3. When the rewriting is completed, the ECU 2 transmits a rewriting completion notification to the gateway 10 (step S11).

ゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ３をＥＣＵ３に送信する（ステップＳ１２）。
ＥＣＵ３は、受信した更新プログラムΔ３を展開して旧バーション２．０に適用することにより、制御プログラムを旧バーション２．０から新バーション２．２に書き換える。書き換えが完了すると、ＥＣＵ３は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ１３）。 The gateway 10 transmits the update program Δ3 stored in the storage unit 13 to the ECU 3 (step S12).
The ECU 3 rewrites the received update program Δ3 and applies it to the old version 2.0, thereby rewriting the control program from the old version 2.0 to the new version 2.2. When the rewriting is completed, the ECU 3 transmits a rewriting completion notification to the gateway 10 (step S13).

なお、図５に例示するシーケンスでは、ステップＳ８〜ステップＳ１３までの処理が時系列に表現されているが、これらの処理は同時並行的に行われるので、前後の順番が入れ替わってもよい。 In the sequence illustrated in FIG. 5, the processing from step S8 to step S13 is expressed in time series. However, since these processing are performed in parallel, the order before and after may be switched.

ゲートウェイ１０は、すべてのＥＣＵ１〜３から書き換えの完了通知を受信すると、各ＥＣＵ１〜３に通常モード移行要求とリセット要求を各ＥＣＵ１〜３に送信する（ステップＳ１４）。
通常モード移行要求を受信した各ＥＣＵ１〜３は、自身の制御モードをリプロモードから通常モードに切り替え、リセット要求に応じてシステムを再起動する。これにより、各ＥＣＵ１〜３が、新バーションの制御プログラムによりそれぞれ動作する。 When the gateway 10 receives rewriting completion notifications from all the ECUs 1 to 3, the gateway 10 transmits a normal mode transition request and a reset request to the ECUs 1 to 3 (step S14).
Receiving the normal mode transition request, each ECU 1 to 3 switches its control mode from the repro mode to the normal mode, and restarts the system in response to the reset request. As a result, the ECUs 1 to 3 operate according to the new version control program.

また、ゲートウェイ１０は、書き換えの完了通知をすべてのＥＣＵ１〜３から受信すると、更新完了通知を管理サーバ５に送信する（ステップＳ１５）。
これにより、管理サーバ５は、車両１の各ＥＣＵ１〜３について、制御プログラムの更新がすべて完了したことを察知する。 Further, when the gateway 10 receives the rewriting completion notification from all the ECUs 1 to 3, the gateway 10 transmits an update completion notification to the management server 5 (step S15).
Thereby, the management server 5 senses that the update of the control program is completed for each of the ECUs 1 to 3 of the vehicle 1.

〔複数領域ＥＣＵによる書き換え処理〕
図６は、制御プログラムの動作領域を複数（図例では２つ）有するＥＣＵ３０（以下、「複数領域ＥＣＵ」という。）が実行する制御プログラムの書き換え処理を示す状態遷移図である。
図６では、ＥＣＵ３０の制御プログラムのバーションを「１．０」から「１．２」に更新する場合を例示しているが、その他のバージョン番号の場合も以下と同様の書き換え処理が実行される。 [Rewriting process by multiple area ECU]
FIG. 6 is a state transition diagram showing a control program rewriting process executed by an ECU 30 (hereinafter referred to as “multiple area ECU”) having a plurality (two in the illustrated example) of operation areas of the control program.
FIG. 6 illustrates the case where the version of the control program of the ECU 30 is updated from “1.0” to “1.2”, but the rewriting process similar to the following is executed for other version numbers as well. The

ＥＣＵ３０の記憶部３３は、制御プログラムが動作可能な２つ主領域１，２と、更新プログラムΔ１が格納される１つのワークスペースとに区分されている。
ＥＣＵ３０の起動部３５は、起動時において制御プログラムの動作領域を主領域１，２のいずれかに選択可能である。ここでは、プログラム更新前の通常モードにおいて、動作領域として主領域１が選択されているものとする。なお、図６中のハッチング付きの領域は制御プログラムが実行されるアクティブな領域を示す。 The storage unit 33 of the ECU 30 is divided into two main areas 1 and 2 in which the control program can operate, and one work space in which the update program Δ1 is stored.
The activation unit 35 of the ECU 30 can select the operation area of the control program as one of the main areas 1 and 2 at the time of activation. Here, it is assumed that the main area 1 is selected as the operation area in the normal mode before the program update. The hatched area in FIG. 6 indicates an active area where the control program is executed.

起動部３５は、リプログラミングモードにおいてゲートウェイ１０から更新プログラムΔ１を受信すると、更新プログラムΔ１をワークスペースに格納するとともに、主領域２に旧バーション１．０の制御プログラムのバックアップを作成する（図６（ａ））。
次に、起動部３５は、更新プログラムΔ１を展開して主領域２のバーション１．０のバックアップに適用し（図６（ｂ））、主領域２の制御プログラムをバーション１．０からバーション１．２に書き換える（図６（ｃ））。 When the activation unit 35 receives the update program Δ1 from the gateway 10 in the reprogramming mode, the activation unit 35 stores the update program Δ1 in the workspace and creates a backup of the control program of the old version 1.0 in the main area 2 (see FIG. 6 (a)).
Next, the activation unit 35 develops the update program Δ1 and applies it to the backup of the version 1.0 of the main area 2 (FIG. 6B), and the control program for the main area 2 is changed from the version 1.0. The data is rewritten to version 1.2 (FIG. 6C).

上記の書き換えが完了すると、起動部３５は、動作領域を主領域２に切り替えて主領域２のベリファイ処理を実行したあと（図６（ｄ））、主領域２に格納されたバーション１．２の制御プログラムにてＣＰＵ３１を動作させる（図６（ｅ））。
上記のようにして主領域２に対する制御プログラムの書き換えが完了すると、起動部３５は、通常モードにおける起動時の動作領域を主領域２に切り替えるとともに、書き換えの完了通知をゲートウェイ１０に送信する。 When the above rewriting is completed, the activation unit 35 switches the operation area to the main area 2 and executes the verify process of the main area 2 (FIG. 6D), and then the version 1. The CPU 31 is operated by the control program 2 (FIG. 6E).
When the rewriting of the control program for the main area 2 is completed as described above, the activation unit 35 switches the operation area at the time of activation in the normal mode to the main area 2 and transmits a rewriting completion notification to the gateway 10.

〔複数領域ＥＣＵに対するロールバック処理〕
図７は、複数領域ＥＣＵ３０に対してゲートウェイ１０が実行するロールバック処理の説明図である。
図７において縦横に配列された各ボックスは、各ＥＣＵ１〜３の記憶部３３内の時間経過ごとのメモリ状態Ｒ１〜Ｒ５の変遷を示す。各ボックスの上段部分は図６の「主領域１」に対応し、下段部分は図６の「主領域２」に対応している。 [Rollback processing for multiple area ECU]
FIG. 7 is an explanatory diagram of a rollback process executed by the gateway 10 for the multi-region ECU 30.
In FIG. 7, the boxes arranged vertically and horizontally indicate the transition of the memory states R1 to R5 over time in the storage units 33 of the ECUs 1 to 3. The upper part of each box corresponds to “main area 1” in FIG. 6, and the lower part corresponds to “main area 2” in FIG.

図７において、時間ｔは下向きに進行する。時刻ｔ０は、ゲートウェイ１０によるリプロモード移行要求Ｓ７の送信時点である。
時刻ｔ９は、ゲートウェイ１０による完了通知Ｓ９の受信時点であり、時刻ｔ１１は、ゲートウェイ１０による完了通知Ｓ１１の受信時点であり、時刻ｔ１３は、ゲートウェイ１０による完了通知Ｓ１３の受信時点である。 In FIG. 7, time t progresses downward. Time t0 is the time when the gateway 10 transmits the repro mode transition request S7.
Time t9 is the time of reception of the completion notification S9 by the gateway 10, time t11 is the time of reception of the completion notification S11 by the gateway 10, and time t13 is the time of reception of the completion notification S13 by the gateway 10.

メモリ状態Ｒ１は、各ＥＣＵ１〜３がリプロモード移行要求Ｓ７を受信したあと、主領域２に旧バーションのバックアップが作成された状態を示している。
メモリ状態Ｒ１では、各ＥＣＵ１〜３が書き換え処理を未だ実行していないので、主領域１，２の双方ともに旧バーションの制御プログラムが格納されている。
メモリ状態Ｒ２は、各ＥＣＵ１〜３が主領域２について書き換え処理を実行中である状態を示している。 The memory state R1 indicates a state in which a backup of the old version is created in the main area 2 after each of the ECUs 1 to 3 receives the repro mode transition request S7.
In the memory state R1, since the ECUs 1 to 3 have not yet executed the rewriting process, the old version control program is stored in both the main areas 1 and 2.
The memory state R <b> 2 indicates a state in which each of the ECUs 1 to 3 is executing the rewriting process for the main area 2.

メモリ状態Ｒ３は、ＥＣＵ１が主領域２の書き換えを完了して完了通知Ｓ９を送信し、ＥＣＵ２，３が未だ書き換え処理を実行中である状態を示している。
メモリ状態Ｒ４は、更にＥＣＵ２が主領域２の書き換えを完了して完了通知Ｓ１１を送信し、ＥＣＵ３が未だ書き換え処理を実行中である状態を示している。
メモリ状態Ｒ５は、更にＥＣＵ３が主領域２の書き換えを完了して完了通知Ｓ１３を送信し、すべてのＥＣＵ１〜３が新バーションに書き換えられた状態を示している。 The memory state R3 indicates a state in which the ECU 1 completes the rewriting of the main area 2 and transmits a completion notification S9, and the ECUs 2 and 3 are still executing the rewriting process.
The memory state R4 indicates a state in which the ECU 2 completes the rewriting of the main area 2 and transmits a completion notification S11, and the ECU 3 is still executing the rewriting process.
The memory state R5 indicates a state in which the ECU 3 completes the rewriting of the main area 2 and transmits a completion notification S13, and all the ECUs 1 to 3 are rewritten to the new version.

ここで、例えばｔ９≦ｔ＜ｔ１１の期間中に、車両１の電源失陥などの何らかの障害により、ＥＣＵ３の書き換え処理が中断時点ｔｐにおいて中断したと仮定する。
この場合、ゲートウェイ１０は、上記の障害がなくなったあとに、リプロモード移行要求Ｓ７をすべてのＥＣＵ１〜３に再送信する。これがロールバック処理である。これにより、書き換え中であったＥＣＵ２，３だけでなく、書き換え済みであったＥＣＵ１についても、当初のメモリ状態Ｒ１から新バーションへの書き換え処理を再度実行する。 Here, for example, during the period of t9 ≦ t <t11, it is assumed that the rewriting process of the ECU 3 is interrupted at the interruption time tp due to some trouble such as power failure of the vehicle 1.
In this case, the gateway 10 resends the repro mode transition request S7 to all the ECUs 1 to 3 after the above-described failure is eliminated. This is a rollback process. Thereby, not only the ECUs 2 and 3 that are being rewritten but also the rewritten process from the initial memory state R1 to the new version is executed again for the ECU1 that has been rewritten.

なお、ｔ９≦ｔ＜ｔ１１の期間中だけでなく、ｔ０≦ｔ＜ｔ９或いはｔ１１≦ｔ＜ｔ１３の期間中に、電源失陥などの障害に伴う中断時点ｔｐを検出した場合でも、ゲートウェイ１０は同様のロールバック処理を実行する。
すなわち、ゲートウェイ１０は、リプロモード移行要求Ｓ７の送信時点ｔ０から、すべての完了通知Ｓ９，Ｓ１１，Ｓ１３の受信を検出するまでの間は、制御プログラムの書き込みを阻害する障害を検出した場合にロールバック処理を実行する。 Note that the gateway 10 does not detect during the period of t9 ≦ t <t11 but also during the period of t0 ≦ t <t9 or t11 ≦ t <t13, even when the interruption time tp due to a failure such as a power failure is detected. A similar rollback process is executed.
That is, when the gateway 10 detects a failure that hinders writing of the control program from the transmission time t0 of the repro mode transition request S7 until the reception of all completion notifications S9, S11, S13 is detected, the gateway 10 rolls. Perform back processing.

このように、本実施形態のプログラム更新システムでは、いずれかのＥＣＵ１〜３において途中で更新が中断した場合に、すべてのＥＣＵ１〜３に更新をやり直させるロールバック処理を実行する。
従って、複数領域ＥＣＵ１〜３の同時更新中においていずれかのＥＣＵ１〜３における書き換え処理が中断した場合に、すべてのＥＣＵ１〜３を動作保障されている現状の旧バージョンに戻すことができる。 As described above, in the program update system of the present embodiment, when the update is interrupted in the middle of any of the ECUs 1 to 3, a rollback process is executed to cause all the ECUs 1 to 3 to perform the update again.
Therefore, when the rewriting process in any of the ECUs 1 to 3 is interrupted during the simultaneous update of the multiple areas ECUs 1 to 3, all the ECUs 1 to 3 can be returned to the current old version in which the operation is guaranteed.

このため、旧バーションの制御プログラムで動作するＥＣＵ３０と新バーションの制御プログラムで動作するＥＣＵ３０とが混在することにより、動作保障されていない制御プログラムが同時に動作して動作不良となるのを未然に防止することができる。
なお、上記のロールバック処理は、同時更新の必要性があるすべてのＥＣＵ１〜３が更新プログラムΔ１〜Δ３を用いた制御プログラムの更新を完了するまで、当該ＥＣＵ１〜３に制御プログラムの更新を継続させる「更新継続処理」の一種である。 For this reason, the ECU 30 that operates with the control program of the old version and the ECU 30 that operates with the control program of the new version coexist, so that it is possible that the control program that is not guaranteed to operate simultaneously operates and malfunctions. Can be prevented.
The above rollback processing continues to update the ECU 1 to 3 until all the ECUs 1 to 3 that need to be updated simultaneously complete the update of the control program using the update programs Δ1 to Δ3. This is a kind of “update continuation process”.

〔単独領域ＥＣＵによる書き換え処理〕
図８は、制御プログラムの動作領域を１つ有するＥＣＵ３０（以下、「単独領域ＥＣＵ」という。）が実行する制御プログラムの書き換え処理を示す状態遷移図である。
図８では、ＥＣＵ３０の制御プログラムのバーションを「１．０」から「１．２」に更新する場合を例示しているが、その他のバージョン番号の場合も以下と同様の書き換え処理が実行される。 [Rewriting process by single area ECU]
FIG. 8 is a state transition diagram showing a rewrite process of the control program executed by the ECU 30 having one operation area of the control program (hereinafter referred to as “single area ECU”).
FIG. 8 illustrates the case where the version of the control program of the ECU 30 is updated from “1.0” to “1.2”, but the rewriting process similar to the following is executed for other version numbers as well. The

ＥＣＵ３０の記憶部３３は、制御プログラムが動作可能な１つ主領域１と、更新プログラムΔ１が格納される１つのワークスペースとに区分されている。
起動部３５は、リプロモードにおいてゲートウェイ１０から更新プログラムΔ１を受信すると、更新フラグをＯＮに切り替えて、更新プログラムΔ１をワークスペースに格納する（図８（ａ））。 The storage unit 33 of the ECU 30 is divided into one main area 1 in which the control program can operate and one work space in which the update program Δ1 is stored.
When receiving the update program Δ1 from the gateway 10 in the repro mode, the activation unit 35 switches the update flag to ON and stores the update program Δ1 in the workspace (FIG. 8A).

次に、起動部３５は、更新プログラムΔ１を展開して主領域１のバーション１．０のバックアッププログラムに適用し、主領域１の制御プログラムをバーション１．０からバーション１．２に書き換える（図６（ｂ））。
ワークスペースには、書き込み状況の記録部が設けられている。起動部３５は、バーション１．０の制御プログラムのデータを書き換えるごとに、書き込みみ先のブロックアドレスとデータのチェックサム値などを記録部に記載する。 Next, the activation unit 35 expands the update program Δ1 and applies the update program Δ1 to the backup program of version 1.0 of the main area 1, and changes the control program of the main area 1 from version 1.0 to version 1.2. Rewrite (FIG. 6B).
The workspace is provided with a writing status recording unit. Each time the starter 35 rewrites the data of the version 1.0 control program, it writes the block address of the write destination and the checksum value of the data in the recording part.

上記の書き換えが完了すると、起動部３５は、更新フラグをＯＦＦにするとともに、書き換えられた主領域１のベリファイ処理を実行し（図６（ｃ））、主領域１に格納されたバーション１．２の制御プログラムにてＣＰＵ３１を動作させる（図６（ｄ））。
上記のようにして主領域１に対する制御プログラムの書き換えが完了すると、起動部３５は、書き換えの完了通知をゲートウェイ１０に送信する。 When the above rewriting is completed, the activation unit 35 turns off the update flag, executes the verification processing of the rewritten main area 1 (FIG. 6C), and the version 1 stored in the main area 1 The CPU 31 is operated by the control program (2) (FIG. 6D).
When the rewriting of the control program for the main area 1 is completed as described above, the activation unit 35 transmits a rewriting completion notification to the gateway 10.

ここで、主領域１の制御プログラムをバーション１．０からバーション１．２に書き換え中である場合（図６（ｂ）の場合）に、ＥＣＵ３０が電源失陥などにより停止した場合を想定する。
この場合、起動部３５は、電源回復によって再起動すると、記録部のデータ内容に基づいて主領域１に対する書き込みの中断点Ｐを検出し、検出した中断点Ｐから主領域１に対する制御プログラムの書き換えを再開することができる（図６（ｅ））。 Here, it is assumed that when the control program for the main area 1 is being rewritten from version 1.0 to version 1.2 (in the case of FIG. 6B), the ECU 30 is stopped due to power failure or the like. To do.
In this case, when the activation unit 35 is restarted due to power recovery, the activation unit 35 detects the interruption point P for writing to the main area 1 based on the data content of the recording unit, and rewrites the control program for the main area 1 from the detected interruption point P. Can be resumed (FIG. 6E).

〔単独領域ＥＣＵに対する更新復帰処理〕
図８の単独領域ＥＣＵ３０の場合には、いったん新バーションへの書き換え処理が実行されると、旧バーションの制御プログラムでは動作することができない。従って、単独領域ＥＣＵ３０の場合には、前述のロールバック処理（図７）を採用できない。
そこで、車両１のＥＣＵが単独領域ＥＣＵ３０である場合には、ゲートウェイ１０は、いずれかのＥＣＵ１〜３において途中で更新が中断した場合に、中断した当該ＥＣＵ１〜３の中断点Ｐから更新を再開させる「更新復帰処理」を実行する。 [Update return processing for single area ECU]
In the case of the single area ECU 30 in FIG. 8, once the rewriting process to the new version is executed, the old version control program cannot operate. Therefore, in the case of the single area ECU 30, the above-described rollback process (FIG. 7) cannot be employed.
Therefore, when the ECU of the vehicle 1 is the single region ECU 30, the gateway 10 resumes the update from the interrupt point P of the ECU 1 to 3 when the update is interrupted in the middle of any of the ECUs 1 to 3. The “update return processing” is executed.

図９は、単独領域ＥＣＵ３０に対してゲートウェイ１０が実行する更新復帰処理の一例を示すフローチャートである。
図９の更新復帰処理は、複数の単独領域ＥＣＵ１〜３の同時更新中に電源失陥などの障害が発生したあと、障害から復帰した場合にゲートウェイ１０により実行される。 FIG. 9 is a flowchart showing an example of the update return process executed by the gateway 10 for the single area ECU 30.
The update recovery process of FIG. 9 is executed by the gateway 10 when a failure such as a power failure occurs during the simultaneous update of the plurality of single areas ECU1 to ECU3, and then returns from the failure.

図９に示すように、ゲートウェイ１０は、まず、リプログラミングモードのＥＣＵ１〜３が存在する否かを判定する（ステップＳＴ１）。
ステップＳＴ１の判定結果が否定的である場合は、ゲートウェイ１０は、管理サーバ５に更新完了通知を送信する（ステップＳＴ５）。
ステップＳＴ１の判定結果が肯定的である場合は、ゲートウェイ１０は、ＥＣＵ１〜３ごとに更新完了通知があったか否かを判定する（ステップＳＴ２）。 As shown in FIG. 9, the gateway 10 first determines whether or not the ECUs 1 to 3 in the reprogramming mode exist (step ST1).
If the determination result in step ST1 is negative, the gateway 10 transmits an update completion notification to the management server 5 (step ST5).
If the determination result in step ST1 is affirmative, the gateway 10 determines whether or not there has been an update completion notification for each of the ECUs 1 to 3 (step ST2).

ステップＳＴ２の判定結果が否定的である場合は、ゲートウェイ１０は、障害発生による中断点Ｐが存在するか否かを判定する（ステップＳＴ６）。
ステップＳＴ２の判定結果が肯定的である場合は、ゲートウェイ１０は、すべてのＥＣＵ１〜３についてのチェックが終了したか否かを判定する（ステップＳＴ３）。 If the determination result of step ST2 is negative, the gateway 10 determines whether or not there is an interruption point P due to the occurrence of a failure (step ST6).
When the determination result of step ST2 is affirmative, the gateway 10 determines whether or not all the ECUs 1 to 3 have been checked (step ST3).

ステップＳＴ６の判定結果が否定的である場合は、ゲートウェイ１０は、当該ＥＣＵ１〜３に対して、メモリ領域の開始時点からリプログラムを開始するように指示する（ステップＳＴ６）。
ステップＳＴ６の判定結果が肯定的である場合は、ゲートウェイ１０は、中断があった当該ＥＣＵ１〜３に対して、前回の中断点Ｐから新バージョンの書き込みを再開するように指示する（ステップＳＴ７）。 If the determination result in step ST6 is negative, the gateway 10 instructs the ECUs 1 to 3 to start reprogramming from the start time of the memory area (step ST6).
If the determination result in step ST6 is affirmative, the gateway 10 instructs the ECUs 1 to 3 that have been interrupted to resume writing the new version from the previous interruption point P (step ST7). .

ステップＳＴ３の判定結果が否定的である場合は、ゲートウェイ１０は、ステップＳＴ２の前に戻って処理を繰り返す。
ステップＳＴ３の判定結果が肯定的である場合は、ゲートウェイ１０は、通常モード移行要求とリセット要求を、各ＥＣＵ１〜３に送信したあと、管理サーバ５に更新完了通知を送信する（ステップＳＴ５）。 When the determination result of step ST3 is negative, the gateway 10 returns to before step ST2 and repeats the process.
If the determination result in step ST3 is affirmative, the gateway 10 transmits a normal mode transition request and a reset request to each of the ECUs 1 to 3, and then transmits an update completion notification to the management server 5 (step ST5).

このように、ゲートウェイ１０は、障害からの復帰後に新バーションの書き換えを途中で中断したＥＣＵ１〜３がどれかを探索し（ステップＳＴ１，ＳＴ２，ＳＴ６）、当該ＥＣＵ１〜３に対して中断点Ｐからの新バーションの書き換え再開を指示する（ステップＳＴ７）。 As described above, the gateway 10 searches for the ECUs 1 to 3 that interrupted the rewriting of the new version after the recovery from the failure (steps ST1, ST2, and ST6). An instruction to resume rewriting the new version from P is given (step ST7).

従って、単独領域ＥＣＵ１〜３の同時更新中においていずれかのＥＣＵ１〜３における書き換え処理が何らかの障害で中断した場合に、中断した書き換え処理を再開させることができる。
このため、旧バーションの制御プログラムで動作するＥＣＵ３０と新バーションの制御プログラムで動作するＥＣＵ３０とが混在することにより、動作保障されていない制御プログラムが同時に動作して動作不良となるのを未然に防止することができる。 Therefore, when the rewriting process in any of the ECUs 1 to 3 is interrupted due to some trouble during the simultaneous update of the single areas ECU 1 to 3, the interrupted rewriting process can be resumed.
For this reason, the ECU 30 that operates with the control program of the old version and the ECU 30 that operates with the control program of the new version coexist, so that it is possible that the control program that is not guaranteed to operate simultaneously operates and malfunctions. Can be prevented.

なお、上記の更新復帰処理も、同時更新の必要性があるすべてのＥＣＵ１〜３が更新プログラムΔ１〜Δ３を用いた制御プログラムの更新を完了するまで、当該ＥＣＵ１〜３に制御プログラムの更新を継続させる「更新継続処理」の一種である。 Note that the above-described update return processing also continues to update the ECU 1 to 3 until all the ECUs 1 to 3 that need to be updated simultaneously complete the update of the control program using the update programs Δ1 to Δ3. This is a kind of “update continuation process”.

〔自身でΔを適用できないＥＣＵに対する更新処理〕
上述の実施形態では、ＥＣＵ１〜３がΔを自身で展開可能である場合を例示したが、中にはΔを自身で適応できないＥＣＵ１も存在する。この場合、図１０に示すように、まずＥＣＵ１からファームを吸出してゲートウェイ１０に転送する。
その後、ゲートウェイ１０上でΔ１を展開する。Δ１が適応されたファームは、ＥＣＵ１に転送され、ＥＣＵ１のＲＯＭが書き換えられる。ＥＣＵ１は、書き換え終了後にゲートウェイ１０に完了通知を行う。 [Update process for ECUs that cannot apply Δ by themselves]
In the above-described embodiment, the case where the ECUs 1 to 3 can develop Δ by themselves is exemplified, but there is also an ECU 1 in which Δ cannot be applied by itself. In this case, as shown in FIG. 10, the farm is first sucked out from the ECU 1 and transferred to the gateway 10.
Thereafter, Δ1 is developed on the gateway 10. The firmware to which Δ1 is applied is transferred to the ECU 1 and the ROM of the ECU 1 is rewritten. The ECU 1 notifies the gateway 10 of completion after the rewriting is completed.

〔自身でΔを適用できないＥＣＵに対する更新復帰処理〕
ゲートウェイ１０は、Δ１を展開中の場合には、図８（ｅ）の場合と同様に中断点Ｐからの再開を試みる。転送状態をゲートウェイ１０で記録しておき、転送途中の場合は、転送のやり直しを試みる。 [Update return processing for ECUs for which Δ cannot be applied by themselves]
When Δ1 is being developed, the gateway 10 tries to resume from the interruption point P as in the case of FIG. The transfer state is recorded by the gateway 10, and if the transfer is in progress, the transfer is tried again.

〔その他の変形例〕
今回開示した実施形態はすべての点で例示であって制限的なものではない。本発明の権利範囲は、上述の実施形態に限定されるものではなく、特許請求の範囲に記載された構成と均等の範囲内でのすべての変更が含まれる。 [Other variations]
The embodiments disclosed herein are illustrative and non-restrictive in every respect. The scope of rights of the present invention is not limited to the above-described embodiments, but includes all modifications within the scope equivalent to the configurations described in the claims.

例えば、上述の実施形態において、制御プログラムの動作領域が複数存在する記憶装置を有する複数領域ＥＣＵ３０に対する更新継続処理として、いずれかのＥＣＵ３０において途中で更新が中断した場合に、中断した当該ＥＣＵ２０に中断点Ｐから更新を再開させる更新復帰処理を実行させることにしてもよい。 For example, in the above-described embodiment, as the update continuation process for the multi-region ECU 30 having a storage device in which a plurality of operation regions of the control program exist, if the update is interrupted in the middle of any ECU 30, the interrupted ECU 20 is interrupted. An update return process for restarting the update from the point P may be executed.

１車両
２広域通信網
５管理サーバ
６ＤＬサーバ
１０ゲートウェイ（中継装置）
１１ＣＰＵ（処理部）
１２ＲＡＭ
１３記憶部
１４車内通信部
１５無線通信部
３０ＥＣＵ（制御装置）
３１ＣＰＵ
３２ＲＡＭ
３３記憶部
３４通信部
３５起動部
５１ＣＰＵ（処理部）
５２ＲＯＭ
５３ＲＡＭ
５４記憶部
５５通信部 1 Vehicle 2 Wide Area Communication Network 5 Management Server 6 DL Server 10 Gateway (Relay Device)
11 CPU (Processor)
12 RAM
13 Storage Unit 14 In-Vehicle Communication Unit 15 Wireless Communication Unit 30 ECU (Control Device)
31 CPU
32 RAM
33 Storage Unit 34 Communication Unit 35 Start-up Unit 51 CPU (Processing Unit)
52 ROM
53 RAM
54 storage unit 55 communication unit

Claims

A program update system comprising: a plurality of control devices mounted on a vehicle; a relay device connected to the plurality of control devices so as to enable in-vehicle communication; and a management server connected to the relay device so as to be able to communicate outside the vehicle. And
The relay device is
A plurality of update programs for transmitting the current version information of the control program related to the plurality of control devices and the vehicle identification number of the host vehicle to the management server, and updating the control program to the new version notified from the management server An external communication unit that receives
A storage unit for storing the plurality of received update programs;
An in-vehicle communication unit for transmitting each of the stored update programs to the corresponding control device;
A processing unit that executes an update continuation process that causes the control device to continue to update the control program until all the control devices that have received the update program have completed updating the control program using the update program; Prepared ,
The update continuation process
In the case where the update is interrupted in the middle of any of the control devices, it is an update return process for causing the interrupted control device to restart the update from the interruption point,
The update return process
After returning from a failure, a process of searching for a control device that interrupted rewriting to a new version among the plurality of control devices, and
A process for instructing the control device suspended in the middle to resume rewriting from the interruption point;
And a process for instructing a control device that has not been interrupted on the way to rewrite from the beginning .

The management server
A communication unit that receives the version information and the vehicle identification number from the relay device;
A storage unit that stores a table in which an identification number is assigned for each combination of versions of the control program whose operation is confirmed; and for each vehicle identification number;
Based on the received version information and the vehicle identification number, a combination of versions of the control program corresponding to one identification number is applied as a new version to be applied to the plurality of control devices mounted on the vehicle. A processing unit for extracting,
The program update system according to claim 1, wherein the communication unit notifies the relay apparatus of a combination of the extracted new versions of the control program.

A program update method executed by a relay device connected to a plurality of control devices mounted on a vehicle so as to be capable of in-vehicle communication,
And current status of the version information of the control program for a plurality of said control device, and transmits the vehicle identification number of the vehicle to the management server, a plurality of update program for updating the control program to the new version notified from the management server Receiving the step,
Storing a plurality of received update programs;
Transmitting each of the plurality of stored update programs to the corresponding control device;
Executing update continuation processing for causing the control device to continue to update the control program until all the control devices that have received the update program have completed updating the control program using the update program. See
The update continuation process
In the case where the update is interrupted in the middle of any of the control devices, it is an update return process for causing the interrupted control device to restart the update from the interruption point,
The update return process
After returning from a failure, a process of searching for a control device that interrupted rewriting to a new version among the plurality of control devices, and
A process for instructing the control device suspended in the middle to resume rewriting from the interruption point;
A program update method comprising: instructing a control device that has not been interrupted halfway to rewrite from the beginning .

A computer program for causing a computer to function as a relay device connected to a plurality of control devices mounted on a vehicle so as to be capable of in-vehicle communication,
And current status of the version information of the control program for a plurality of said control device, and transmits the vehicle identification number of the vehicle to the management server, a plurality of update program for updating the control program to the new version notified from the management server Receiving the step,
Storing a plurality of received update programs;
Transmitting each of the plurality of stored update programs to the corresponding control device;
Executing update continuation processing for causing the control device to continue to update the control program until all the control devices that have received the update program have completed updating the control program using the update program. See
The update continuation process
In the case where the update is interrupted in the middle of any of the control devices, it is an update return process for causing the interrupted control device to restart the update from the interruption point,
The update return process
After returning from a failure, a process of searching for a control device that interrupted rewriting to a new version among the plurality of control devices, and
A process for instructing the control device suspended in the middle to resume rewriting from the interruption point;
A program update method comprising: instructing a control device that has not been interrupted halfway to rewrite from the beginning .