JP6904067B2

JP6904067B2 - Software management system

Info

Publication number: JP6904067B2
Application number: JP2017108140A
Authority: JP
Inventors: 和也牧田
Original assignee: Advics Co Ltd
Current assignee: Advics Co Ltd
Priority date: 2017-05-31
Filing date: 2017-05-31
Publication date: 2021-07-14
Anticipated expiration: 2037-05-31
Also published as: JP2018205896A

Description

本発明は、車載装置のソフトウェアの更新を管理するソフトウェア管理システムに関する。 The present invention relates to a software management system that manages software updates of an in-vehicle device.

従来から、無線通信により車両の外部から送信された更新ソフトウェアを、車両が受信して、車載装置のＥＣＵのソフトウェアを更新するシステムが開発されている。このシステムでは、車両に搭載された複数のＥＣＵのソフトウェアのバージョン情報を一括で管理するソフトウェア管理装置を備えることが好ましい。このようなソフトウェア管理装置としては、例えば特開２００５−３４９８７８号公報に記載されている。このソフトウェア管理装置を含む従来の管理装置では、ソフトウェアのバージョン情報がハードディスクドライブ（磁気記憶装置）やフラッシュメモリのような不揮発性メモリに保存されて管理されている。 Conventionally, a system has been developed in which a vehicle receives update software transmitted from the outside of the vehicle by wireless communication and updates the software of the ECU of the in-vehicle device. This system preferably includes a software management device that collectively manages software version information of a plurality of ECUs mounted on the vehicle. Such a software management device is described in, for example, Japanese Patent Application Laid-Open No. 2005-349878. In a conventional management device including this software management device, software version information is stored and managed in a non-volatile memory such as a hard disk drive (magnetic storage device) or a flash memory.

特開２００５−３４９８７８号公報Japanese Unexamined Patent Publication No. 2005-349878

ここで、本発明者は、上記無線によりソフトウェアを更新する技術の状況に着目し、ソフトウェアの更新管理についてフラッシュメモリのように書き換え回数に制約のあるメモリを用いた場合の改良すべき課題に到達した。つまり、管理装置がソフトウェア情報を一括で管理しているため、各ＥＣＵのソフトウェアが更新される度にメモリの記憶情報を書き換える必要があり、その分、メモリの書き換え回数が多くなり、メモリが寿命（書き換え回数の限界）を迎えやすくなる。メモリが寿命を迎えると、記憶情報の書き換えが困難となり、ソフトウェアの更新が精度良く行われない可能性がある。特に無線による更新が可能となることで、更新の敷居が低くなり、不具合対策目的のみならず機能向上や機能追加目的での更新も行われ、ソフトウェアの更新頻度が高まることが予想される。 Here, the present inventor pays attention to the state of the technology for updating software by radio, and reaches a problem to be improved when using a memory having a limited number of rewrites such as a flash memory for software update management. did. That is, since the management device manages the software information collectively, it is necessary to rewrite the memory information every time the software of each ECU is updated, and the number of times the memory is rewritten increases accordingly, and the memory lifespan. It becomes easier to reach (the limit of the number of rewrites). When the memory reaches the end of its life, it becomes difficult to rewrite the stored information, and the software may not be updated accurately. In particular, since wireless updates are possible, the threshold for updates will be lowered, and updates will be made not only for the purpose of troubleshooting but also for the purpose of improving functions and adding functions, and it is expected that the frequency of software updates will increase.

本発明はこのような事情に鑑みて為されたものであり、ソフトウェアの更新管理機能の長寿命化が可能なソフトウェア管理システムを提供することを目的とする。 The present invention has been made in view of such circumstances, and an object of the present invention is to provide a software management system capable of extending the life of a software update management function.

本発明のソフトウェア管理システムは、複数の車載装置のソフトウェアの更新を管理する、車両に搭載されたソフトウェア管理システムであって、前記車両の外部から無線により送信された更新ソフトウェアを受信する更新管理装置と、前記更新管理装置に通信可能に接続された、それぞれ異なる前記車載装置を制御する複数のＥＣＵと、を備え、前記更新管理装置は、各前記ＥＣＵのソフトウェア情報のうち、前記ソフトウェアを更新しても変化しない所定の不変情報を不揮発性メモリにて管理する不変情報管理部と、各前記ＥＣＵの前記ソフトウェア情報のうち、前記ソフトウェアの更新により変更され得るものであり前記ソフトウェアの更新の可否を判断するための情報である更新判断情報を揮発性メモリにて管理する更新判断情報管理部と、前記更新ソフトウェアを受信した場合、前記更新判断情報管理部が全ての前記ＥＣＵの前記更新判断情報を管理した後に、前記ソフトウェアの更新を実施するか否かの判定を行うソフトウェア更新判定部と、を備え、各前記ＥＣＵは、前記更新管理装置との間での通信開始以後に、現在の前記更新判断情報を送信する更新判断情報送信部を備える。
The software management system of the present invention is a software management system mounted on a vehicle that manages software updates of a plurality of in-vehicle devices, and is an update management device that receives update software wirelessly transmitted from the outside of the vehicle. The update management device includes a plurality of ECUs that are communicably connected to the update management device and control the different in-vehicle devices, and the update management device updates the software out of the software information of each ECU. The invariant information management unit that manages the predetermined invariant information that does not change even if the non-volatile memory, and the software information of each of the ECUs, which can be changed by updating the software, determine whether or not the software can be updated. The update judgment information management unit that manages the update judgment information which is the information for judgment in the volatile memory, and the update judgment information management unit when the update software is received, the update judgment information of all the ECUs. After management, the software update determination unit for determining whether or not to update the software is provided, and each of the ECUs has the current update after the start of communication with the update management device. It is provided with an update judgment information transmission unit that transmits judgment information.

本発明によれば、更新判断情報管理部が揮発性メモリにて更新判断情報（例えばバージョン情報）を管理しているため、ソフトウェアが更新される度に不揮発性メモリを書き換える必要がない。フラッシュメモリのような不揮発性メモリは構成上、書き換え回数に限界があるが、揮発性メモリは理論上、半永久的に書き換えが可能である。本発明によれば、書き換え回数が多い更新判断情報を、半永久的に書き換え可能な揮発性メモリにて管理するため、不揮発性メモリの書き換え回数が低減され、ソフトウェアの更新管理機能の長寿命化が可能となる。 According to the present invention, since the update determination information management unit manages the update determination information (for example, version information) in the volatile memory, it is not necessary to rewrite the non-volatile memory every time the software is updated. Non-volatile memory such as flash memory has a limited number of rewrites due to its configuration, but volatile memory can theoretically be rewritten semi-permanently. According to the present invention, since the update determination information having a large number of rewrites is managed by the volatile memory that can be rewritten semipermanently, the number of rewrites of the non-volatile memory is reduced and the life of the software update management function is extended. It will be possible.

本実施形態のソフトウェア管理システムの構成図である。It is a block diagram of the software management system of this embodiment. 本実施形態の不揮発性メモリ及び揮発性メモリの保存例を示す説明図である。It is explanatory drawing which shows the storage example of the non-volatile memory and the volatile memory of this embodiment. 本実施形態の車両通信開始時の処理を示すフローチャートである。It is a flowchart which shows the process at the time of starting the vehicle communication of this embodiment. 本実施形態の更新ソフトウェア受信時の処理を示すフローチャートである。It is a flowchart which shows the process at the time of receiving the update software of this embodiment.

以下、本発明の実施形態について図に基づいて説明する。説明に用いる各図は概念図である。本実施形態のソフトウェア管理システム１は、複数の車載装置のソフトウェアの更新を管理する、車両に搭載されたシステムである。ソフトウェア管理システム１は、図１に示すように、マスタＥＣＵ（「更新管理装置」に相当する）２と、複数のスレーブＥＣＵ３と、を備えている。マスタＥＣＵ２は、例えばＯＴＡ（ＯｖｅｒＴｈｅＡｉｒ）ＥＣＵであって、車両の外部から無線により送信された更新ソフトウェアを受信するＥＣＵ（ＣＰＵ等を備える電子制御ユニット）である。車両には、例えばサーバ等の外部装置Ａから送信された更新ソフトウェアを受信するアンテナ（例えばフィルムアンテナ）Ｂが設置されており、マスタＥＣＵ２はアンテナＢから情報を受信する。マスタＥＣＵ２は受信部を有するといえる。サーバ等の外部装置Ａは、例えばＯＴＡセンターに設置されている。マスタＥＣＵ２は、更新ソフトウェアを所定のメモリに保存する。また、マスタＥＣＵ２は、更新ソフトウェアを更新対象のスレーブＥＣＵ３に送信する機能を有している。 Hereinafter, embodiments of the present invention will be described with reference to the drawings. Each figure used for explanation is a conceptual diagram. The software management system 1 of the present embodiment is a system mounted on a vehicle that manages software updates of a plurality of in-vehicle devices. As shown in FIG. 1, the software management system 1 includes a master ECU (corresponding to an “update management device”) 2 and a plurality of slave ECUs 3. The master ECU 2 is, for example, an OTA (Over The Air) ECU, which is an ECU (electronic control unit including a CPU or the like) that receives update software wirelessly transmitted from the outside of the vehicle. The vehicle is equipped with an antenna (for example, a film antenna) B that receives update software transmitted from an external device A such as a server, and the master ECU 2 receives information from the antenna B. It can be said that the master ECU 2 has a receiving unit. An external device A such as a server is installed in, for example, an OTA center. The master ECU 2 stores the update software in a predetermined memory. Further, the master ECU 2 has a function of transmitting update software to the slave ECU 3 to be updated.

詳細に、本実施形態のマスタＥＣＵ２は、不揮発性メモリ２１と、揮発性メモリ２２と、不変情報管理部２３と、更新判断情報管理部２４と、ソフトウェア更新判定部２５と、を備えている。 In detail, the master ECU 2 of the present embodiment includes a non-volatile memory 21, a volatile memory 22, an immutable information management unit 23, an update determination information management unit 24, and a software update determination unit 25.

不変情報管理部２３は、各スレーブＥＣＵ３のソフトウェア情報のうち、ソフトウェアを更新しても変化しない所定の不変情報を不揮発性メモリ２１にて管理するように構成されている。具体的に、不変情報管理部２３は、マスタＥＣＵ２とスレーブＥＣＵ３との通信が初めて開始された際に、スレーブＥＣＵ３のソフトウェアの個別情報を読み取り（受信し）、当該個別情報を不揮発性メモリ２１に書き込む。つまり、本実施形態では、所定の不変情報は、各スレーブＥＣＵ３の個別情報であり、例えば図２に示すように、メーカ、車両（車名）、ＥＣＵ（車載装置）、及びソフトバリエーションである。マスタＥＣＵ２に接続されている全てのスレーブＥＣＵ３の個別情報が、不揮発性メモリ２１に保存される。なお、当該個別情報は予め不揮発性メモリ２１に記憶されていても良く、この場合でも、不変情報管理部２３は当該個別情報を不揮発性メモリ２１にて管理（必要に応じて読み出す等）しているといえる。管理とは、少なくとも保存された情報を読み出す機能ともいえる。 The immutable information management unit 23 is configured to manage predetermined invariant information that does not change even if the software is updated in the non-volatile memory 21 among the software information of each slave ECU 3. Specifically, when the communication between the master ECU 2 and the slave ECU 3 is started for the first time, the immutable information management unit 23 reads (receives) the individual information of the software of the slave ECU 3 and transmits the individual information to the non-volatile memory 21. Write. That is, in the present embodiment, the predetermined invariant information is individual information of each slave ECU 3, and is, for example, a manufacturer, a vehicle (vehicle name), an ECU (vehicle-mounted device), and a soft variation as shown in FIG. The individual information of all the slave ECUs 3 connected to the master ECU 2 is stored in the non-volatile memory 21. The individual information may be stored in the non-volatile memory 21 in advance, and even in this case, the invariant information management unit 23 manages the individual information in the non-volatile memory 21 (reads it as necessary, etc.). It can be said that there is. Management can be said to be at least a function of reading stored information.

更新判断情報管理部２４は、各スレーブＥＣＵ３のソフトウェア情報のうち、ソフトウェアの更新により変更され得るものでありソフトウェアの更新の可否を判断するための情報である更新判断情報を揮発性メモリ２２にて管理するように構成されている。更新判断情報は、例えばソフトウェアのバージョン情報である。本実施形態の更新判断情報は、バージョン情報を含む。以下、更新判断情報がバージョン情報であることを例に本実施形態について説明する。更新判断情報管理部２４は、スレーブＥＣＵ３から送信されるバージョン情報を受信し、揮発性メモリ２２に書き込む。マスタＥＣＵ２に接続されている全てのスレーブＥＣＵ３のバージョン情報が、揮発性メモリ２２に保存される。バージョン情報は、例えばＩＤ（識別情報）が付与されていること又はＩＤを含んでいることにより、いずれのスレーブＥＣＵ３の情報であるかを識別可能となっている。 Of the software information of each slave ECU 3, the update determination information management unit 24 uses the volatile memory 22 to display update determination information, which is information for determining whether or not the software can be updated, which can be changed by updating the software. It is configured to manage. The update determination information is, for example, software version information. The update determination information of this embodiment includes version information. Hereinafter, the present embodiment will be described by taking as an example that the update determination information is version information. The update determination information management unit 24 receives the version information transmitted from the slave ECU 3 and writes it in the volatile memory 22. Version information of all slave ECUs 3 connected to the master ECU 2 is stored in the volatile memory 22. It is possible to identify which slave ECU 3 the version information is, for example, by giving an ID (identification information) or by including the ID.

ソフトウェア更新判定部２５は、更新ソフトウェアを受信した場合、ソフトウェアの更新を実施するか否かを判定するように構成されている。具体的に、ソフトウェア更新判定部２５は、揮発性メモリ２２に保存された更新対象のスレーブＥＣＵ３のバージョン情報と、更新ソフトウェアのバージョン情報とを比較して、更新の必要性があるか否かを判定する。ソフトウェア更新判定部２５は、両者のバージョン情報が一致している場合、更新を実施しないと判定する。一方、ソフトウェア更新判定部２５は、更新ソフトウェアのバージョン情報が揮発性メモリに保存された対象のスレーブＥＣＵ３のバージョン情報よりも新しい場合、原則として、更新を実施すると判定する。ソフトウェア更新判定部２５は、更新を実施すると判定した場合、更新ソフトウェアを対象のスレーブＥＣＵ３に送信する。当該更新ソフトウェアの送信は、ユーザから更新の承諾を得た後に行うように設定されても良い。 When the software update determination unit 25 receives the update software, the software update determination unit 25 is configured to determine whether or not to update the software. Specifically, the software update determination unit 25 compares the version information of the slave ECU 3 to be updated stored in the volatile memory 22 with the version information of the update software, and determines whether or not there is a need for update. judge. If the version information of both is the same, the software update determination unit 25 determines that the update is not performed. On the other hand, when the version information of the update software is newer than the version information of the target slave ECU 3 stored in the volatile memory, the software update determination unit 25 determines that the update is performed in principle. When the software update determination unit 25 determines that the update is to be performed, the software update determination unit 25 transmits the update software to the target slave ECU 3. The transmission of the update software may be set to be performed after obtaining the consent of the update from the user.

ここで、本実施形態のソフトウェア更新判定部２５は、外部装置ＡからマスタＥＣＵ２が更新ソフトウェアを受信した場合、更新判断情報管理部２４が全てのスレーブＥＣＵ３のバージョン情報を管理した後に、ソフトウェアの更新を実施するか否かの判定を行うように構成されている。つまり、ソフトウェア更新判定部２５は、揮発性メモリ２２に全てのスレーブＥＣＵ３のバージョン情報が記憶された後に、ソフトウェアを更新するか否かを判定する。例えば、マスタＥＣＵ２は、更新ソフトウェアを受信する度に全てのバージョン情報が揃っているか否かを判定し、揃っていない場合には更新の可否を判定せず、揃っている場合に更新の可否を判定する。例えば、１回目の更新ソフトウェア受信時に全スレーブＥＣＵ３のバージョン情報が揃っていなくても、２回目の更新ソフトウェア受信時に揃っていれば、その際に更新の可否を判定する。 Here, the software update determination unit 25 of the present embodiment updates the software after the update determination information management unit 24 manages the version information of all the slave ECUs 3 when the master ECU 2 receives the update software from the external device A. Is configured to determine whether or not to carry out. That is, the software update determination unit 25 determines whether or not to update the software after the version information of all the slave ECUs 3 is stored in the volatile memory 22. For example, the master ECU 2 determines whether or not all the version information is available each time it receives the update software, and if it is not available, it does not determine whether or not the update is possible, and if it is available, it determines whether or not the update is possible. judge. For example, even if the version information of all slave ECUs 3 is not available at the time of receiving the first update software, if it is available at the time of receiving the second update software, it is determined whether or not the update is possible.

これにより、スレーブＥＣＵ３間でソフトウェアのバージョンの対応をとらなくてはならない場合にも、適切にソフトウェアの更新を実施することができる。例えば、第１のスレーブＥＣＵ３のソフトウェアがバージョンＸである場合、第２のスレーブＥＣＵ３のソフトウェアはバージョンＺでなくてはならない等（バージョンＹだと不都合がある等）の更新条件に応じて、ソフトウェア更新判定部２５が更新の可否や順番等を適切に判定することができる。 As a result, even when it is necessary to correspond the software version between the slave ECUs 3, the software can be updated appropriately. For example, when the software of the first slave ECU 3 is version X, the software of the second slave ECU 3 must be version Z, etc. (version Y is inconvenient, etc.) according to the update conditions. The update determination unit 25 can appropriately determine whether or not to update, the order, and the like.

複数のスレーブＥＣＵ３は、マスタＥＣＵ２に通信可能に接続されており、それぞれ異なる車載装置を制御するＥＣＵである。例えば、図１に示すように、第１のスレーブＥＣＵ３はエンジン（ＥＮＧ）を制御するＥＣＵであり、第２のスレーブＥＣＵ３は変速機（Ｔ／Ｍ）を制御するＥＣＵであり、第３のスレーブＥＣＵ３はステアリング（ＳＴＲ）を制御するＥＣＵであり、第４のスレーブＥＣＵ３はブレーキ装置（ＥＳＣ）を制御するＥＣＵである。各スレーブＥＣＵ３は、一般のＥＣＵ同様、図示しないが、ソフトウェア等を記憶する不揮発性メモリと、制御を実行する演算処理部（ＣＰＵ）と、を備えている。 The plurality of slave ECUs 3 are communicably connected to the master ECU 2 and are ECUs that control different in-vehicle devices. For example, as shown in FIG. 1, the first slave ECU 3 is an ECU that controls an engine (ENG), the second slave ECU 3 is an ECU that controls a transmission (T / M), and a third slave. The ECU 3 is an ECU that controls the steering (STR), and the fourth slave ECU 3 is an ECU that controls the braking device (ESC). Like a general ECU, each slave ECU 3 includes a non-volatile memory for storing software and the like, and an arithmetic processing unit (CPU) for executing control, although not shown.

さらに、各スレーブＥＣＵ３は、マスタＥＣＵ２との間での通信開始以後に、現在のソフトウェアのバージョン情報を送信する更新判断情報送信部３１を備えている。マスタＥＣＵ２とスレーブＥＣＵ３との間の通信は、例えばイグニッションがオンされた際に開始される。本実施形態の更新判断情報送信部３１は、通信が開始された時、自身のソフトウェアのバージョン情報をマスタＥＣＵ２に送信する。当該送信は一度だけ行われれば良い。マスタＥＣＵ２が、各スレーブＥＣＵ３のソフトウェアのバージョン情報を読み取るともいえる。車両通信は主にＣＡＮにより構成されている。 Further, each slave ECU 3 includes an update determination information transmission unit 31 that transmits current software version information after the start of communication with the master ECU 2. Communication between the master ECU 2 and the slave ECU 3 is started, for example, when the ignition is turned on. When the communication is started, the update determination information transmission unit 31 of the present embodiment transmits the version information of its own software to the master ECU 2. The transmission only needs to be done once. It can be said that the master ECU 2 reads the software version information of each slave ECU 3. Vehicle communication is mainly composed of CAN.

車両通信開始時の処理の流れを、図３を参照して説明する。電源が投入され（Ｓ１０１）、イニシャルチェックが完了すると（Ｓ１０２）、車両通信が開始される（Ｓ１０３）。そして、各スレーブＥＣＵ３の更新判断情報送信部３１がマスタＥＣＵ２にバージョン情報を送信する（Ｓ１０４）。マスタＥＣＵ２の更新判断情報管理部２４は、受信した各バージョン情報を揮発性メモリ２２に保存する（Ｓ１０５）。そして、通常の処理に移行する。 The flow of processing at the start of vehicle communication will be described with reference to FIG. When the power is turned on (S101) and the initial check is completed (S102), vehicle communication is started (S103). Then, the update determination information transmission unit 31 of each slave ECU 3 transmits the version information to the master ECU 2 (S104). The update determination information management unit 24 of the master ECU 2 saves each received version information in the volatile memory 22 (S105). Then, the process shifts to normal processing.

さらに、本実施形態の更新判断情報送信部３１は、ソフトウェアの更新が実施された場合、更新後のバージョン情報をマスタＥＣＵ２に送信するように構成されている。更新判断情報管理部２４は、受信した更新後のバージョン情報を揮発性メモリ２２に上書きして管理情報を更新する。これにより、マスタＥＣＵ２がソフトウェアの更新の完了を認識することができる上、更新判断情報管理部２４が最新のバージョン情報を揮発性メモリ２２にて管理することができる。なお、更新判断情報送信部３１の機能は、スレーブＥＣＵ３のＣＰＵ等が実行する機能の１つといえる。 Further, the update determination information transmission unit 31 of the present embodiment is configured to transmit the updated version information to the master ECU 2 when the software is updated. The update determination information management unit 24 updates the management information by overwriting the received updated version information on the volatile memory 22. As a result, the master ECU 2 can recognize the completion of the software update, and the update determination information management unit 24 can manage the latest version information in the volatile memory 22. The function of the update determination information transmission unit 31 can be said to be one of the functions executed by the CPU or the like of the slave ECU 3.

ここで、本実施形態のソフトウェア更新処理の流れについて図４を参照して説明する。まず、マスタＥＣＵ２がソフトウェアの更新情報を受信すると（Ｓ２０１）、ソフトウェア更新判定部２５が全スレーブＥＣＵ３からバージョン情報を受信済みであるか否か、すなわち揮発性メモリ２２に全てのスレーブＥＣＵ３のバージョン情報が保存されているか否かが判定される（Ｓ２０２）。全スレーブＥＣＵ３のバージョン情報が保存されている場合（Ｓ２０２：Ｙｅｓ）、ソフトウェア更新判定部２５は、不揮発性メモリ２１に保存された車両メーカの情報を参照して、更新ソフトウェアの対象の車両メーカと自車両のメーカとが一致しているか否かを判定する（Ｓ２０３）。車両メーカが一致している場合（Ｓ２０３：Ｙｅｓ）、ソフトウェア更新判定部２５は、更新ソフトウェアの対象の車両（車名）と、不揮発性メモリ２１に保存された自車両の車名とが一致しているか否かを判定する（Ｓ２０４）。車名が一致している場合（Ｓ２０４：Ｙｅｓ）、ソフトウェア更新判定部２５は、不揮発性メモリ２１を参照して、更新ソフトウェアの対象のスレーブＥＣＵ３が自車両に搭載されているか否かを判定する（Ｓ２０５）。 Here, the flow of the software update process of the present embodiment will be described with reference to FIG. First, when the master ECU 2 receives the software update information (S201), whether or not the software update determination unit 25 has received the version information from all the slave ECUs 3, that is, the version information of all the slave ECUs 3 in the volatile memory 22. Is determined whether or not is stored (S202). When the version information of all slave ECUs 3 is saved (S202: Yes), the software update determination unit 25 refers to the vehicle maker information saved in the non-volatile memory 21 with the vehicle maker targeted for the update software. It is determined whether or not the manufacturer of the own vehicle matches (S203). When the vehicle manufacturers match (S203: Yes), the software update determination unit 25 matches the vehicle (vehicle name) targeted by the update software with the vehicle name of the own vehicle stored in the non-volatile memory 21. It is determined whether or not the software is used (S204). When the vehicle names match (S204: Yes), the software update determination unit 25 refers to the non-volatile memory 21 and determines whether or not the slave ECU 3 targeted by the update software is installed in the own vehicle. (S205).

更新対象のスレーブＥＣＵ３が自車両に搭載されている場合（Ｓ２０５：Ｙｅｓ）、ソフトウェア更新判定部２５は、不揮発性メモリ２１を参照して、更新ソフトウェアの対象のソフトバリエーションと、更新対象のスレーブＥＣＵ３のソフトバリエーションとが一致しているか否かを判定する（Ｓ２０６）。両者のソフトバリエーションが一致している場合（Ｓ２０６：Ｙｅｓ）、ソフトウェア更新判定部２５は、揮発性メモリ２２を参照して、更新ソフトウェアのバージョンが更新対象のソフトウェアのバージョンよりも新しいか否かを判定する（Ｓ２０７）。更新ソフトウェアのバージョンが自車両のものよりも新しい場合（Ｓ２０７：Ｙｅｓ）、ソフトウェア更新判定部２５は、更新を実施すると判定し、対象のスレーブＥＣＵ３に更新ソフトウェアを送信してソフトウェアの更新を実行する（Ｓ２０８）。 When the slave ECU 3 to be updated is mounted on the own vehicle (S205: Yes), the software update determination unit 25 refers to the non-volatile memory 21 and refers to the software variation of the update software and the slave ECU 3 to be updated. It is determined whether or not the soft variation of the above is the same (S206). When both software variations match (S206: Yes), the software update determination unit 25 refers to the volatile memory 22 and determines whether or not the version of the update software is newer than the version of the software to be updated. Judgment (S207). When the version of the update software is newer than that of the own vehicle (S207: Yes), the software update determination unit 25 determines that the update is to be performed, transmits the update software to the target slave ECU 3, and executes the software update. (S208).

そして更新完了後、更新されたスレーブＥＣＵ３の更新判断情報送信部３１が更新後のバージョン情報をマスタＥＣＵ２に送信する（Ｓ２０９）。マスタＥＣＵ２は、更新したスレーブＥＣＵ３について、更新前のバージョン情報を削除し、更新後のバージョン情報を揮発性メモリ２２に書き込む（Ｓ２１０）。これにより、更新処理は終了し、通常処理に移行する。また、ステップＳ２０２〜Ｓ２０７の何れかにおいて「Ｎｏ」となると、更新処理は終了し、通常処理に移行する。また、例えば、ステップＳ２０７において、ソフトウェア更新判定部２５は、更新ソフトウェアのバージョンと更新対象外のスレーブＥＣＵ３のソフトウェアのバージョンとの関係から、更新の可否や更新順を判定しても良い。 Then, after the update is completed, the update determination information transmission unit 31 of the updated slave ECU 3 transmits the updated version information to the master ECU 2 (S209). The master ECU 2 deletes the version information before the update for the updated slave ECU 3, and writes the updated version information to the volatile memory 22 (S210). As a result, the update process is completed, and the process shifts to the normal process. When "No" is obtained in any of steps S202 to S207, the update process ends and the process proceeds to the normal process. Further, for example, in step S207, the software update determination unit 25 may determine whether or not to update and the update order based on the relationship between the version of the update software and the software version of the slave ECU 3 that is not the update target.

本実施形態のソフトウェア管理システム１によれば、更新判断情報管理部２４が揮発性メモリ２２にてバージョン情報を管理しているため、ソフトウェアが更新される度に不揮発性メモリ２１を書き換える必要がない。つまり、本実施形態によれば、更新と一括管理により書き換え回数が多くなるバージョン情報を、理論上半永久的に書き換え可能な揮発性メモリ２２にて保存・管理するため、書き換え回数に限界がある不揮発性メモリ２１の書き換え回数が低減され、ソフトウェアの更新管理機能の長寿命化が可能となる。 According to the software management system 1 of the present embodiment, since the update determination information management unit 24 manages the version information in the volatile memory 22, it is not necessary to rewrite the non-volatile memory 21 every time the software is updated. .. That is, according to the present embodiment, the version information that is rewritten many times due to update and batch management is stored and managed in the volatile memory 22 that can be rewritten semi-permanently in theory, so that the number of rewrites is limited. The number of rewrites of the volatile memory 21 is reduced, and the life of the software update management function can be extended.

また、マスタＥＣＵとしての機能を兼ねるナビゲーション装置等（不揮発性メモリとしてハードディスクドライブを有する装置）が搭載されていない車両に対してマスタＥＣＵを搭載する場合、マスタＥＣＵの不揮発性メモリ（２１）として書き換え回数に制約のある例えばＥＥＰＲＯＭ又はフラッシュメモリを採用することで、上記効果（ソフトウェア管理機能の長寿命化）を発揮させつつ、不揮発性メモリにハードディスクドライブを採用する場合と比べてマスタＥＣＵの小型化が可能となる。 Further, when the master ECU is mounted on a vehicle that is not equipped with a navigation device or the like (a device having a hard disk drive as a non-volatile memory) that also functions as a master ECU, it is rewritten as the non-volatile memory (21) of the master ECU. By adopting, for example, EEPROM or flash memory, which has a limited number of times, the above effect (extending the life of the software management function) is exhibited, and the size of the master ECU is reduced compared to the case where a hard disk drive is adopted as the non-volatile memory. Is possible.

（その他）
本発明は、上記実施形態に限られない。揮発性メモリ２２は、バージョン情報以外に、ソフトウェアの更新により変更される情報（変更情報）を保存するように構成されても良い。つまり、更新判断情報は、バージョン情報に限られず、例えば、ある機能（機能Ｑとする）がソフトウェアに入っているか否かにより更新の可否を判断する場合、当該機能Ｑの有無に関する情報が更新判断情報となり得る。本実施形態の揮発性メモリ２２は、少なくともバージョン情報を含む変更情報を保存するといえる。また、更新管理装置は、マスタＥＣＵ２だけに限らず、例えば、互いに通信可能なマスタＥＣＵとゲートウェイＥＣＵとで構成されても良い。この場合、例えばマスタＥＣＵが更新ソフトウェアを受信し、ゲートウェイＥＣＵが更新ソフトウェアを記憶し、スレーブＥＣＵに送信するように構成されても良い。また、スレーブＥＣＵ３は、予めグループ分けされた所定のグループ内のＥＣＵであっても良い。 (Other)
The present invention is not limited to the above embodiment. The volatile memory 22 may be configured to store information (change information) that is changed by updating software, in addition to version information. That is, the update determination information is not limited to version information. For example, when determining whether or not a certain function (referred to as function Q) can be updated based on whether or not it is included in the software, the information regarding the presence or absence of the function Q is determined to be updated. It can be information. It can be said that the volatile memory 22 of the present embodiment stores change information including at least version information. Further, the update management device is not limited to the master ECU 2, and may be composed of, for example, a master ECU and a gateway ECU that can communicate with each other. In this case, for example, the master ECU may be configured to receive the update software, and the gateway ECU may be configured to store the update software and transmit it to the slave ECU. Further, the slave ECU 3 may be an ECU in a predetermined group that has been grouped in advance.

また、ソフトウェア更新判定部２５は、揮発性メモリ２２に全てのスレーブＥＣＵ３のバージョン情報が記憶されていない状態であっても、更新対象のソフトウェアのバージョン情報が記憶されている場合、その状態で更新判定を行うように構成されても良い。また、更新方法は、公知の技術を用いることができる。また、ソフトウェアの更新は、ユーザの承認後や車両電源がオフされた後（例えばイグニッションがオフされた後）等、所定のタイミングで開始させることができる。 Further, even if the version information of all the slave ECUs 3 is not stored in the volatile memory 22, the software update determination unit 25 updates in that state when the version information of the software to be updated is stored. It may be configured to make a determination. Further, as the updating method, a known technique can be used. Further, the software update can be started at a predetermined timing, such as after the user approves or after the vehicle power is turned off (for example, after the ignition is turned off).

１…ソフトウェア管理システム、２…マスタＥＣＵ（更新管理装置）、２１…不揮発性メモリ、２２…揮発性メモリ、２３…不変情報管理部、２４…更新判断情報管理部、２５…ソフトウェア更新判定部、３…スレーブＥＣＵ、３１…更新判断情報送信部、Ａ…外部装置。
1 ... Software management system, 2 ... Master ECU (update management device), 21 ... Non-volatile memory, 22 ... Volatile memory, 23 ... Immutable information management unit, 24 ... Update judgment information management unit, 25 ... Software update judgment unit, 3 ... Slave ECU, 31 ... Update judgment information transmitter, A ... External device.

Claims

A software management system installed in a vehicle that manages software updates for multiple in-vehicle devices.
An update management device that receives update software transmitted wirelessly from outside the vehicle, and
A plurality of ECUs that are communicably connected to the update management device and control the different in-vehicle devices, and
With
The update management device is
Of the software information of each ECU, the invariant information management unit that manages the predetermined invariant information that does not change even if the software is updated by the non-volatile memory.
Of the software information of each ECU, update judgment information management that manages update judgment information that can be changed by updating the software and is information for determining whether or not the software can be updated in a volatile memory. Department and
When the update software is received, the software update determination unit determines whether or not to update the software after the update determination information management unit manages the update determination information of all the ECUs.
With
Each of the ECUs is a software management system including an update determination information transmitting unit that transmits the current update determination information after the start of communication with the update management device.

The software management system according to claim 1, wherein the update determination information transmitting unit transmits the updated update determination information to the update management device when the software is updated.