JP7063854B2 - ソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラム - Google Patents

Description

本発明は、ソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラムに関する。

従来、サーバから更新プログラムをダウンロードし、ダウンロードした更新プログラムを、車載機器を制御する機器制御部に組み込まれたソフトウェアに適用して、ソフトウェアを更新するソフトウェア更新システムが知られている（例えば、特許文献１および２参照）。特許文献１および２に示す更新システムでは、サーバ装置がＶＩＮ（Vehicle Identification Number）情報等により車両ごとの更新情報が管理されている。

特開２０１８－４５５１５号公報 特許第５９７０５４７号公報

しかしながら、ＶＩＮ情報は、特定の機器制御部の内部メモリ（記憶部）にしか記憶されていないため、ソフトウェアの更新が実行されることで内部メモリの情報が初期化されたり書き換えられることでＶＩＮ情報が消失したり、機器制御部の交換等によりＶＩＮ情報が消失する可能性があった。

本発明は、このような事情を考慮してなされたものであり、機器制御部の車両識別情報の消失を抑制することができるソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラムを提供することを目的の一つとする。

この発明に係るソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラムは、以下の構成を採用した。
（１）：この発明の一態様に係るソフトウェア更新装置は、外部装置と通信する通信部と、前記通信部による外部装置との通信により、車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新する更新制御部と、を備え、前記機器制御部は、前記機器制御部に関する構成情報と前記車両を識別する車両識別情報とを記憶する第１記憶部を備え、前記更新制御部は、前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記第１記憶部に記憶された車両識別情報を取得して第２記憶部に退避させる、ソフトウェア更新装置である。

（２）：上記（１）の態様において、前記更新制御部は、前記構成情報の少なくとも一部および前記車両識別情報を前記外部装置に送信させ、前記外部装置が管理する最新の構成情報との照合結果に基づいて、前記外部装置から送信される車両識別情報を前記第２記憶部に記憶し、前記第２記憶部に記憶した後に、前記ソフトウェアの更新を実行するものである。

（３）：上記（２）の態様において、前記更新制御部は、前記構成情報または前記車両識別情報を用いてハッシュ値を生成し、生成したハッシュ値を前記外部装置に送信するものである。

（４）：上記（３）の態様において、前記更新制御部は、前記車両に搭載された複数の機器制御部の全ての構成情報および車両識別情報を用いて前記ハッシュ値を生成するものである。

（５）：上記（１）～（４）のうち何れか一つの態様において、前記更新制御部は、前記ソフトウェアの更新が完了した後に、前記第２記憶部に退避させた車両識別情報を前記第１記憶部に記憶させ、前記第１記憶部に記憶させた後、前記第２記憶部に記憶させた車両識別情報を消去するものである。

（６）：上記（１）～（５）のうち何れか一つの態様において、前記機器制御部が交換されたか否かを判定し、前記機器制御部が交換された場合に、前記第２記憶部に記憶された車両識別情報を交換された機器制御部の前記第１記憶部に記憶させる復旧制御部を更に備えるものである。

（７）：この発明の一態様に係るサーバ装置は、上記（１）～（５）のうち何れか１項に記載のソフトウェア更新装置にソフトウェアを提供するサーバ装置であって、前記ソフトウェア更新装置と通信を行うサーバ側通信部と、前記サーバ側通信部により受信した前記ソフトウェア更新装置からの更新状態の問い合わせ情報に基づいて、前記機器制御部に関する構成情報が最新の構成情報であるかを照合する照合部と、前記照合部による照合結果により前記機器制御部に組み込まれた前記ソフトウェアの更新が必要であると判定された場合に、前記サーバ側通信部を介して前記ソフトウェア更新装置から受信した車両識別情報および前記構成情報に基づいて認証を行い、認証が成功した場合に前記車両識別情報を前記ソフトウェア更新装置に送信する認証部と、を備えるサーバ装置である。

（８）：上記（７）の態様において、前記照合部は、前記問い合わせ情報にハッシュ値が含まれる場合に、前記最新の構成情報に基づいてハッシュ値を生成し、生成したハッシュ値と、前記問い合わせ情報に含まれるハッシュ値とに基づいて、前記照合を行うものである。

（９）：この発明の一態様に係るソフトウェア更新方法は、車両に搭載されるソフトウェア更新装置が、外部装置と通信し、前記外部装置との通信により前記車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新し、前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記機器制御部の第１記憶部に記憶された前記車両を識別する車両識別情報を前記第１記憶部と異なる第２記憶部に退避させる、ソフトウェア更新方法である。

（１０）：この発明の一態様に係るプログラムは、車両に搭載されるソフトウェア更新装置に、外部装置と通信させ、前記外部装置との通信により前記車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新させ、前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記機器制御部の第１記憶部に記憶された前記車両を識別する車両識別情報を前記第１記憶部と異なる第２記憶部に退避させる、プログラムである。

上記（１）～（１０）の態様によれば、ソフトウェア更新による車両識別情報の消失を抑制することができる。

第１実施形態のソフトウェア更新装置１００を含むソフトウェア更新システム１の構成図である。 第１実施形態のソフトウェア更新装置１００を含む車両システム２の構成図である。 第１実施形態のサーバ装置２００の構成図である。 最新構成情報２５２の内容の一例を示す図である。 ソフトウェアデータベース２５４の内容の一例を示す図である。 認証用ＶＩＮ情報２５６の内容の一例を示す図である。 更新処理の第１実施例を説明するためのシーケンス図である。 更新処理の第２実施例を説明するためのシーケンス図である。 第２実施形態のソフトウェア更新装置１００Ａを含む車両システム２Ａの構成図である。 第２実施形態のソフトウェア更新システムの一連の処理を説明するためのシーケンス図である。

以下、図面を参照し、本発明のソフトウェア更新装置、サーバ装置、ソフトウェア更新方法、およびプログラムの実施形態について説明する。なお、以下では、ソフトウェア更新装置が、車両システムの一部として車両に搭載されている例について説明する。車両は、例えば、二輪や三輪、四輪等の車両であり、その駆動源は、ディーゼルエンジンやガソリンエンジン等の内燃機関、電動機、或いはこれらの組み合わせである。電動機は、内燃機関に連結された発電機による発電電力、或いは二次電池や燃料電池の放電電力を使用して動作する。なお、ソフトウェア装置は、車両以外の移動体に搭載されてもよい。

＜第１実施形態＞
図１は、第１実施形態のソフトウェア更新装置１００を含むソフトウェア更新システム１の構成図である。ソフトウェア更新システム１は、例えば、一以上の車両Ｍ－１～Ｍ－ｎ（ｎは１以上の自然数）に搭載されたソフトウェア更新装置１００－１～１００－ｎと、サーバ装置２００とを備える。車両Ｍの符号の末尾のハイフン以下の数字は、車両を区別するための識別子であるものとする。いずれの車両であるかを区別しない場合、単に車両Ｍと称する場合がある。また、他の構成要素についても同様であるものとする。ソフトウェア更新装置１００と、サーバ装置２００とは、ネットワークＮＷを介して互いに通信可能である。ネットワークＮＷは、例えば、セルラー網や、Ｗｉ－Ｆｉ網、Ｂｌｕｅｔｏｏｔｈ（登録商標）、インターネット、ＷＡＮ（Wide Area Network）、ＬＡＮ、公衆回線、プロバイダ装置、専用回線、無線基地局等を含む。また、これらの構成要素は、それぞれネットワークＮＷを介さずに、直接、無線通信を行ってもよい。サーバ装置２００は、「外部装置」の一例である。

ソフトウェア更新装置１００は、サーバ装置２００から更新用ソフトウェアをダウンロードし、ダウンロードしたソフトウェアに基づいて、車両Ｍに搭載された機器のうち少なくとも一部の機器を制御するソフトウェアを更新する。サーバ装置２００は、ソフトウェア更新装置１００で管理されるソフトウェアのバージョン情報（更新情報の一例）を所定周期で取得し、取得したバージョン情報に基づいて、最新のソフトウェアでない場合に、ソフトウェア更新装置１００に更新用ソフトウェアをダウンロードさせて、ソフトウェアを更新させる。また、サーバ装置２００は、ソフトウェアが更新された場合に、対象のソフトウェアがインストールされている車両を抽出し、抽出した車両に搭載されたソフトウェア更新装置１００に更新用ソフトウェアの実行を指示してもよい。以下、ソフトウェア更新装置１００およびサーバ装置２００の機能について具体的に説明する。

図２は、第１実施形態のソフトウェア更新装置１００を含む車両システム２の構成図である。車両システム２は、例えば、車載装置１０と、表示部８０と、操作部９０と、ソフトウェア更新装置１００とを備える。車載装置１０は、例えば、駆動制御装置２０と、運転制御装置３０と、バッテリ管理装置４０と、ナビゲーションＥＣＵ（Electronic Control Unit）５０とを備える。

駆動制御装置２０は、車両Ｍに駆動力等を与えて車両Ｍを走行させるための装置である。駆動制御装置２０は、例えば、車両Ｍが走行するための走行駆動力（トルク）を駆動輪に出力する走行駆動力出力装置と、所定の制動操作に応じたブレーキトルクを各車輪に出力させるブレーキ装置と、転舵輪の向きを変更させるステアリング装置とを含む。また、駆動制御装置２０は、ＥＣＵを中心として構成される。上述の例では、走行駆動力出力装置用ＥＣＵ（例えば、エンジンＥＣＵ）、ブレーキ装置用ＥＣＵ（例えば、ブレーキＥＣＵ）、ステアリング装置用ＥＣＵ（例えば、ステアリングＥＣＵ）が構成されてもよい。ＥＣＵは、「機器制御部」の一例である。ＥＣＵは、例えば、プロセッサ、記憶部（内部メモリ、図２の例では記憶部２２）、および外部通信インターフェース等が、バスで接続されたものである。また、ＥＣＵには、ソフトウェアが組み込まれており、ソフトウェアを実行することで、対応する機器の少なくとも一部の制御が実行される。ソフトウェアは、少なくとも一以上のプログラムモジュールを含む。プログラムモジュールとは、例えば、一以上のプログラムを含み、ソフトウェアによって実現できる機能のうち部分的な機能を実行するものである。ソフトウェアは、例えば、更新制御部１２０の制御によってモジュール単位の更新が可能である。以下では、更新用ソフトウェアをＯＴＡ（Over The Air）等の無線通信により外部装置（例えば、サーバ装置２００）から受信して機器のソフトウェアを更新する一連の処理を「ＯＴＡによる更新処理」と称する。また、更新用ソフトウェアをＵＳＢ（Universal Serial Bus）ケーブル等を用いた無線通信により外部装置（例えば、ディーラー等に存在する車両Ｍのメンテナンス等を行う作業者の端末装置ＴＤ）から受信してハードウェアやソフトウェアを更新する一連の処理を「リプログラミングによる更新処理」と称する場合がある。記憶部２２には、上述したＥＣＵに組み込まれたソフトウェアやＥＣＵに関する構成情報が記憶される。構成情報には、例えば、機器識別情報（以下、ハードウェア識別情報と称する）、ソフトウェア識別情報等が含まれる。ハードウェア識別情報には、例えば、機器の部品番号（ハードウェア部番）、ユニークＩＤ（シリアルナンバー）等が含まれる。ソフトウェア識別情報には、ソフトウェアのモジュールごとの識別情報（ソフトウェア部番）、バージョン情報等が含まれる。ハードウェア部番やソフトウェア部番には、例えば、機能種別、構成種別、部品類別、バリエーション情報、その他の補足情報（例えば、メーカー別番号）等が含まれてもよい。

運転制御装置３０は、例えば、車両Ｍの自動運転（自律運転）制御や運転支援制御等を行う。自動運転制御とは、例えば、車両Ｍの乗員による運転操作に依らずに、車両Ｍの操舵または速度のうち一方または双方を制御することである。また、運転支援制御は、例えば、ＡＣＣ（Adaptive Cruise Control System）やＬＫＡＳ（Lane Keeping Assistance System）、ＣＭＢＳ（Collision Mitigation Brake System）等の乗員の運転操作を支援する運転制御である。運転制御装置３０は、車両Ｍの挙動や乗員からの制御指示に対応する運転制御を実行する。また、運転制御装置３０は、駆動制御装置２０と同様にＥＣＵを中心として構成される。運転制御装置３０の記憶部３２には、ＥＣＵに組み込まれるソフトウェアや構成情報が記憶される。

バッテリ管理装置４０は、車両Ｍに搭載されたバッテリ（不図示）のエネルギー残量や充放電等のバッテリ状態を管理する。バッテリは、例えば、車載装置１０や表示部８０、操作部９０、ソフトウェア更新装置１００、その他の車両Ｍ内の電気機器等に電力を供給する。ソフトウェア等の更新処理の実行時に用いられる電源は、主にバッテリから更新対象のＥＣＵに供給される。バッテリ管理装置４０は、充電コネクタ等を介して外部の充電設備から供給される電力をバッテリに蓄える。また、バッテリ管理装置４０は、バッテリの端子電圧を測定し、測定した端子電圧の大きさに基づいてエネルギー残量を取得する。また、バッテリ管理装置４０は、例えば、電流検出抵抗を使って充電時に蓄えられた電流量を積算しておき、放電時に出力された電流量を求めることでエネルギー残量を取得してもよく、バッテリの放電特性や温度特性等のデータベースを予め記憶部５２等に記憶しておき、計測した電圧値や電流値と、データベースとに基づいてエネルギー残量を取得してもよい。バッテリ管理装置４０は、上述したエネルギー残量に代えて充電率（ＳＯＣ；State Of Charge）を取得してもよい。また、バッテリ管理装置４０は、ＥＣＵを中心として構成される。バッテリ管理装置４０の記憶部４２には、ＥＣＵに組み込まれるソフトウェアや構成情報等が記憶される。

ナビゲーションＥＣＵ５０は、車両Ｍに搭載されたナビゲーション装置（不図示）を制御する。ナビゲーション装置は、例えば、ＧＮＳＳ（Global Navigation Satellite System）受信機と、ナビＨＭＩ（Human Machine Interface）と、経路決定部とを備える。ＧＮＳＳ受信機は、ＧＮＳＳ衛星から受信した信号に基づいて、車両Ｍの位置を特定する。ナビＨＭＩは、ディスプレイ、スピーカ、タッチパネル、キー等を含む。ナビＨＭＩは、画像や音声等を用いて乗員に目的地等を設定させたり、目的地までの走行経路を乗員に案内する。経路決定部は、例えば、ＧＮＳＳ受信機により特定された車両Ｍの位置（或いは入力された任意の位置）から、ナビＨＭＩを用いて乗員により入力された目的地までの経路（以下、地図上経路）を、地図情報等を参照して決定する。ナビゲーションＥＣＵは、地図上経路に基づいて、ナビＨＭＩや表示部８０による地図画像表示やスピーカ（不図示）による音声出力によって、経路案内等を行う。ナビゲーションＥＣＵ５０の記憶部５２には、ＥＣＵに組み込まれるソフトウェアや構成情報等が記憶される。

また、車載装置１０に含まれるＥＣＵには、例えば、オーディオ装置、キーレスエントリシステム、サスペンションシステム、エアバッグ装置等のＥＣＵが含まれてよい。また、上述したＥＣＵの記憶部（例えば、上述した記憶部２２、３２、４２、および５２）は、「第１記憶部」の一例である。記憶部２２、３２、４２、および５２のうち何れかの記憶部（特定記憶部）には、車両Ｍを識別するための車両識別情報が記憶される。特定記憶部は、車両Ｍの製造時または出荷時に設定されてもよく、その後、管理者等により設定されてもよい。以下では、車両識別情報の一例として、ＶＩＮ情報を用いるものとする。ＶＩＮ情報は、車両の製造時または出荷時等に第１記憶部に記憶される。また、以下では、ＶＩＮ情報は、駆動制御装置２０（例えば、エンジンＥＣＵ）の記憶部２２に記憶されているものとする。

表示部８０は、例えば、ＬＣＤ（Liquid Crystal Display）や有機ＥＬ（Electro Luminescence）ディスプレイ等の表示装置である。表示部８０は、例えば、表示制御部１３０により生成された画像を表示する。表示部８０は、例えば、タッチパネル装置として、乗員からの操作内容を受け付ける機能を備えていてもよい。また、表示部８０は、ナビＨＭＩと一体に構成されてもよい。

操作部９０は、車両Ｍの乗員による入力操作を受け付ける。例えば、操作部９０は、タッチパネル、スイッチ、キーなどを含む。操作部９０のタッチパネルは、表示部８０と一体に構成されてよい。

ソフトウェア更新装置１００は、例えば、通信部１１０と、更新制御部１２０と、表示制御部１３０と、記憶部１４０とを備える。これらの構成要素は、例えば、ＣＰＵ（Central Processing Unit）等のハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。また、これらの構成要素のうち一部または全部は、ＬＳＩ（Large Scale Integration）やＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、ＧＰＵ（Graphics Processing Unit）等のハードウェア（回路部；circuitryを含む）によって実現されてもよいし、ソフトウェアとハードウェアの協働によって実現されてもよい。プログラムは、予め記憶部１４０に格納されていてもよいし、ＤＶＤやＣＤ－ＲＯＭ等の着脱可能な記憶媒体に格納されており、記憶媒体がドライブ装置に装着されることで記憶部１４０にインストールされてもよい。記憶部１４０は、「第２記憶部」の一例である。第２記憶部は、第１記憶部とは異なるものであり、ＥＣＵとは異なる構成部（言い換えると、ソフトウェア更新による初期化または書き換え等の影響を受けない領域）に設けられる。

記憶部１４０は、例えば、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）、ＲＯＭ（Read Only Memory）、またはＲＡＭ（Random Access Memory）等により実現される。記憶部１４０には、例えば、機器管理情報１４２、退避ＶＩＮ情報１４４、プロセッサによって読み出されて実行されるプログラム、その他各種情報等が格納される。機器管理情報１４２には、例えば、車載装置１０に含まれる各機器に関する情報（例えば、種類や名称、機器の数）が含まれる。また、機器管理情報１４２には、各通信部（第１通信部１１２、第２通信部１１４）に対応付けられた更新状態の問い合わせが可能な構成情報に関する情報が含まれてよい。退避ＶＩＮ情報１４４は、例えば、車載装置１０に含まれる各機器のＥＣＵに組み込まれたソフトウェアを更新する場合に、ＥＣＵの記憶部から一時的に退避させるＶＩＮ情報である。

通信部１１０は、所定の通信手段（通信方式）により外部装置と通信を行う。通信部１１０は、例えば、第１通信部１１２と、第２通信部１１４とを備える。第１通信部１１２は、例えば、セルラー網やＷｉ－Ｆｉ網、Ｂｌｕｅｔｏｏｔｈ、ＤＳＲＣ（Dedicated Short Range Communication）等を利用して、サーバ装置２００等の外部装置と通信する。第１通信部１１２は、例えば、ＴＣＵ（Telematics control unit）であってもよい。第１通信部１１２は、例えば、ＯＴＡ等の無線通信によりサーバ装置２００と通信を行い、対象機器のＥＣＵに組み込まれているソフトウェアの更新を行う（ＯＴＡによる更新を実行する）ための更新用ソフトウェアを受信する。

第２通信部１１４は、例えば、無線通信以外の通信手段により外部装置と通信を行う。例えば、第２通信部１１４は、ＵＳＢケーブル等を用いた有線接続によりディーラーの作業者等が使用する端末装置ＴＤと通信することで、特定の端末装置ＴＤからリプログラミングによる更新を行うための更新用ソフトウェアを受信する。なお、第２通信部１１４は、特定の端末または作業者との通信しか行わないように端末装置ＴＤや作業者の識別情報等による認証を行ってもよい。なお、第２通信部１１４は、端末装置ＴＤに代えて、ＵＳＢメモリ等の機器と直接接続し、メモリ内に記憶された更新用ソフトウェア等のデータを取得してもよい。

更新制御部１２０は、所定のタイミングで、機器管理情報１４２に管理される車載装置１０の各機器から構成情報を取得し、取得した構成情報からハードウェアおよびソフトウェアの更新状態を問い合わせるための問い合わせ情報を生成する。また、問い合わせ情報には、例えば、車両Ｍの車種情報等が含まれてもよい。

ここで、車載装置１０内のＥＣＵの数が多い場合に、ＥＣＵごとに更新状態の問い合わせを行うと、サーバ装置２００との通信回数や更新処理数が膨大になるため、ソフトウェア更新装置１００やネットワークＮＷの負荷が増大する可能性がある。そのため、更新制御部１２０は、更新状態の問い合わせを行う場合には、車載装置１０に含まれる複数のＥＣＵの構成情報を用いて問い合わせ情報を生成する。例えば、更新制御部１２０は、車載装置１０の各機器の記憶部から取得した各機器の構成情報のうち、ソフトウェア識別情報を取得し、取得したソフトウェア識別情報を所定の順序で並べて問い合わせ情報を生成する。所定の順序とは、例えば、部番等の所定の番号や名称等でソートした順序でもよく、管理者等により予め決定された順序でもよい。また、更新制御部１２０は、ソフトウェア識別情報のうち、バージョン部番のみを所定の順序で並べて問い合わせ情報を生成してもよい。更に、更新制御部１２０は、各機器の構成情報のうち、ハードウェア識別情報を所定の順序で並べて問い合わせ情報を生成してもよい。また、更新制御部１２０は、ソフトウェア識別情報およびハードウェア識別情報のうち一部または全部を組み合わせて問い合わせ情報を生成してもよい。これにより、各機器から得られる複数の構成情報に対する更新状態の問い合わせを纏めて行うことができるため、処理負荷やネットワーク負荷を軽減することができる。

また、更新制御部１２０は、ＥＣＵごとに取得した構成情報を用いて問い合わせ情報を生成する場合に、所定のデータ長未満となるデータ列となるように、所定関数または変換テーブル等を用いたデータ変換処理を行ってもよい。所定のデータ長は、ＥＣＵごとに取得した構成情報を単に並べたときのデータ長よりも短いデータ長である。また、所定のデータ長は、固定長でもよく、通信環境やソフトウェア更新装置１００の現状の処理負荷等に応じた可変長でもよい。所定関数とは、例えば、ハッシュ関数である。更新制御部１２０は、ハッシュ関数にＥＣＵごとに取得した構成情報を所定の順序で並べたデータ列を入力してハッシュ演算を行うことで、所定のデータ長未満のハッシュ値を生成し、生成したハッシュ値を含む問い合わせ情報をサーバ装置２００に送信する。ハッシュ値を用いることでデータ量が削減されるため、更新制御部１２０は、ハッシュ値を生成する場合には、各機器から得られる全ての構成情報を用いてハッシュ値を生成する。これにより、全ての機器の更新状態の問い合わせを一括で行うことができるため、処理負荷やネットワーク負荷を更に軽減することができる。また、ハッシュ値を用いることで、構成情報をそのまま送信する場合と比べてデータ漏洩時におけるセキュリティを強化することができる。

また、更新制御部１２０は、問い合わせ情報を送信した後、サーバ装置２００から構成情報の更新があることを示す情報（以下、更新情報）を受信した場合、表示制御部１３０に更新情報に関する画像を生成させ、生成させた画像を表示部８０に表示させて、車両Ｍの乗員に通知を行う。また、更新制御部１２０は、問い合わせ情報の送信せずに、サーバ装置２００から更新情報を受信した場合に、表示制御部１３０に更新情報に関する画像を生成させ、生成指せた画像を表示部８０に表示させてもよい。また、更新制御部１２０は、操作部９０等から車両Ｍの乗員から更新情報に対応する構成情報の更新指示を受け付けた場合、更新対象のＥＣＵに組み込まれるソフトウェアに対してＯＴＡによる更新制御を行う。

ＯＴＡによる更新制御を実行する場合、更新制御部１２０は、サーバ装置２００に更新用ソフトウェアの取得要求を送信し、サーバ装置２００から更新用ソフトウェアを受信（ダウンロード）する。また、更新制御部１２０は、ダウンロードされた更新用ソフトウェアを用いて、ＥＣＵに組み込まれたソフトウェアの更新を実行する前に、特定のＥＣＵの記憶部（記憶部２２）に記憶されたＶＩＮ情報を取得し、取得したＶＩＮ情報を退避ＶＩＮ情報１４４として、一時的に記憶部１４０に記憶（退避）させる。

また、更新制御部１２０は、記憶部２２から取得したＶＩＮ情報を、そのまま記憶部１４０に退避させるのに代えて、記憶部２２から取得したＶＩＮ情報をサーバ装置２００に送信し、サーバ装置２００でのＶＩＮ情報の認証が成功した場合に、サーバ装置２００から送信される正規のＶＩＮ情報を退避ＶＩＮ情報１４４として記憶部１４０に記憶させてもよい。これにより、正確なＶＩＮ情報を退避させることができる。また、更新制御部１２０は、ＶＩＮ情報をサーバ装置２００に送信する場合に、構成情報の一部とＶＩＮ情報とを合わせた認証情報を生成し、生成した認証情報をサーバ装置２００に送信させてもよい。構成情報の一部とは、例えば、ハードウェア識別情報であり、更に具体的には、ＶＩＮ情報が記憶された記憶部２２に対応する駆動制御装置（ＥＣＵ）２０のハードウェア識別情報である。ハードウェア識別情報は、ソフトウェア識別情報に比して更新（変更）される回数が少ないため管理し易く、またハートウェア識別情報とＶＩＮ情報とを組み合わせた認証情報で認証させることで、より精度の高い認証を行うことができる。また、更新制御部１２０は、上述した認証情報をハッシュ値に変換してサーバ装置２００に送信させてもよい。ハッシュ値を用いることで、通信データ量を削減できるとともに、データ漏洩時のセキュリティを強化することができる。

更新制御部１２０は、ＶＩＮ情報を記憶部１４０に退避させた後、ソフトウェアの更新を実行し、更新が正常に完了した後、記憶部１４０に記憶された退避ＶＩＮ情報１４４を、駆動制御装置２０の記憶部２２に記憶させる。これにより、更新によって記憶部２２内のデータが初期化または書き換えられた場合であっても、更新後に再びＶＩＮ情報を格納させることができる。また、更新制御部１２０は、退避ＶＩＮ情報１４４を記憶部２２に記憶させた後、記憶部１４０に記憶された退避ＶＩＮ情報１４４を消去する。これにより、ＶＩＮ情報の漏洩を抑制することができる。

表示制御部１３０は、表示部８０に表示させる画像等を生成し、生成した画像を表示部８０に表示させる。例えば、表示制御部１３０は、更新制御部１２０から更新情報を取得した場合に、更新情報を車両Ｍの乗員に通知するための画像を生成する。また、表示制御部１３０は、更新情報に対応する乗員からの更新指示を受け付けるための画像を生成してもよい。また、表示制御部１３０は、更新情報が、ＯＴＡによる更新が可能な更新である場合には、ネットワークＮＷを介して更新を行うか否かを確認するための画像を生成する。また、表示制御部１３０は、更新情報が、ＯＴＡによる更新が不可能な更新である場合には、リプログラミングによる更新を実行するため、所定の店舗（例えば、ディーラー）や施設（例えば、修理工場）への車両Ｍの移動を乗員に促す画像を生成する。ＯＴＡによる更新が不可能な場合とは、例えば、ハードウェアの更新や交換を行う場合や、更新用ソフトウェアのデータ量またはセキュリティ等により無線による通信を禁止している場合等である。上述したように、更新情報の内容に対応する画像を生成することで、ＯＴＡによる更新だけでなく、ディーラー等に移動して作業員が端末装置ＴＤ等を用いて実行されるリプログラミングも迅速に行うことができる。

なお、更新制御部１２０は、リプログラミングによる更新を実行する場合に、上述したハッシュ値の含む問い合わせ情報や認証情報を生成して、端末装置ＴＤとの通信を行ってもよい。また、更新制御部１２０は、サーバ装置２００と第１通信部１１２とで通信を行うか、またはサーバ装置２００と第２通信部１１４とで通信を行うかによって、問い合わせを行う構成情報の種類を異ならせてもよい。なお、各通信部に対応付けられた構成情報に関する情報は、例えば、機器管理情報１４２に格納される。更新制御部１２０は、機器管理情報１４２を参照することで、第１通信部１１２を介してサーバ装置２００と通信を行う場合、または第２通信部１１４を介して端末装置ＴＤと通信を行う場合に対応付けられた構成情報を用いてハッシュ値を生成する。これにより、通信手段により問い合わせを行う構成情報を選定することで、より効率的に更新状態（更新の要否）を問い合わせることができる。

［サーバ装置］
図３は、第１実施形態のサーバ装置２００の構成図である。サーバ装置２００は、サーバ側通信部２１０と、入力部２２０と、出力部２３０と、サーバ側制御部２４０と、サーバ側記憶部２５０とを備える。サーバ装置２００は、例えば、ソフトウェア更新装置１００と、ネットワークＮＷを介して互いに通信し、各種データを送受信するクラウドサーバとして機能してもよい。

サーバ側通信部２１０は、ＮＩＣ等の通信インターフェースを含む。サーバ側通信部２１０は、例えば、セルラー網やＷｉ－Ｆｉ網、Ｂｌｕｅｔｏｏｔｈ等を利用して、ネットワークＮＷを介して車両ごとに搭載されたソフトウェア更新装置１００やその他の外部装置と通信する。

入力部２２０は、例えば、ボタン、キーボードやマウス等のユーザインターフェースである。入力部２２０は、利用者（例えば、管理者等）の操作を受け付けて、受け付けた操作に応じた信号をサーバ側制御部２４０に出力する。入力部２２０は、出力部２３０の表示部と一体として構成されるタッチパネルであってもよい。

出力部２３０は、利用者に情報を出力する。出力部２３０は、例えば、画像を表示する表示部と、音声を出力する音声出力部とを備える。表示部は、例えば、ＬＣＤや有機ＥＬディスプレイ等の表示装置を含む。表示部は、サーバ側制御部２４０により出力される情報の画像を表示する。音声出力部は、例えば、スピーカである。音声出力部は、サーバ側制御部２４０により出力される情報の音声を出力する。

サーバ側制御部２４０は、例えば、取得部２４２と、照合部２４４と、情報提供部２４６と、認証部２４８とを備える。サーバ側制御部２４０の各構成要素は、例えば、ＣＰＵ等のプロセッサがサーバ側記憶部２５０に格納されたプログラムを実行することにより実現される。また、サーバ側制御部２４０の構成要素の一部または全部は、ＬＳＩ、ＡＳＩＣ、ＦＰＧＡ、またはＧＰＵ等のハードウェア（回路部；circuitry）により実現されてもよいし、ソフトウェアとハードウェアの協働によって実現されてもよい。

サーバ側記憶部２５０は、例えば、ＨＤＤ、フラッシュメモリ、ＥＥＰＲＯＭ、ＲＯＭ、ＲＡＭ等の記憶装置により実現される。サーバ側記憶部２５０には、最新構成情報２５２、ソフトウェアデータベース２５４、認証用ＶＩＮ情報２５６、プロセッサによって読み出されて実行されるプログラム、およびその他各種情報等が格納される。

図４は、最新構成情報２５２の内容の一例を示す図である。最新構成情報２５２は、車種情報に、最新ハードウェア識別情報、最新ソフトウェア識別情報が対応付けられた情報である。サーバ装置２００は、最新構成情報２５２によって、車種ごとに、車両に搭載されたＥＣＵ等の機器に関する最新のハードウェア識別情報、最新のソフトウェアの識別情報を管理する。最新構成情報２５２は、サーバ装置２００により更新されてもよく、ネットワークＮＷを介して外部装置から取得してもよい。

図５は、ソフトウェアデータベース２５４の内容の一例を示す図である。ソフトウェアデータベース２５４は、ソフトウェア識別情報に、バージョン情報およびプログラムモジュールデータが対応付けられたデータベースである。なお、ソフトウェアデータベース２５４は、サーバ装置２００と別体に設けられていてもよい。

図６は、認証用ＶＩＮ情報２５６の内容の一例を示す図である。認証用ＶＩＮ情報２５６は、例えば、ハードウェア識別情報に、正規のＶＩＮ情報が対応付けられた情報である。正規のＶＩＮ情報は、例えば、車両Ｍの製造時や出荷時等に登録されるＶＩＮ情報である。また、正規のＶＩＮ情報は、ハッシュ演算された値（ハッシュ値）であってもよい。認証用ＶＩＮ情報２５６は、認証部２４８により、ソフトウェア更新装置１００から送信されるＶＩＮ情報による認証処理時に使用される情報である。

取得部２４２は、サーバ側通信部２１０により受信した各車両Ｍ－１～Ｍ－ｎからの問い合わせ情報や更新用ソフトウェアの取得要求等を取得する。また、取得部２４２は、ネットワークＮＷにより接続される外部装置から、緊急性が高い更新情報を取得してもよい。「緊急性が高い」とは、例えば、ハードウェアの不具合等によって早急に更新や交換する必要性が高い場合やプログラムのバグ等により早急に更新する必要性が高い場合である。

照合部２４４は、取得部２４２により取得された問い合わせ情報に含まれる構成情報と、サーバ側記憶部２５０に記憶された最新構成情報２５２から得られる情報とを照合する。なお、照合部２４４は、問い合わせ情報にハッシュ値が含まれる場合に、車両Ｍの車種情報に基づいて、最新構成情報２５２の車種情報を参照し、合致する車種情報に対応付けられた最新ハードウェア識別情報および最新ソフトウェア識別情報の一部または全部を組み合わせてハッシュ値を生成し、生成したハッシュ値と比較することで照合を行う。なお、ハッシュ値の生成は、上述したソフトウェア更新装置１００におけるハッシュ生成と同様の手法で生成される。

なお、問い合わせ情報に含まれるハッシュ値に、ＶＩＮ情報が含まれる場合には、照合部２４４が生成したハッシュ値と完全に合致しない。したがって、照合部２４４は、合致度が閾値以上である場合に、構成情報が合致している（車両Ｍに搭載された機器の構成情報は最近の構成情報である）と判定する。また、照合部２４４は、ハッシュ値の全データ列のうち、ＶＩＮ情報に対応するデータ列が特定できる場合には、そのデータ列を除いたデータ列で合致するか否かを判定してもよい。

情報提供部２４６は、照合部２４４による照合結果に基づいて、問い合わせ情報に含まれる構成情報が、最新構成情報２５２に含まれる最新構成情報と合致していない場合に、更新情報を車両Ｍに提供する。この場合、情報提供部２４６は、構成情報に含まれるＥＣＵごとの識別情報に対して合致しているか否かを比較し、合致していないＥＣＵを特定し、特定したＥＣＵに対する更新情報を生成する。更新情報には、例えば、更新が必要な構成情報の種類（ハードウェア識別情報、ソフトウェア識別情報）等が含まれる。これにより、複数のＥＣＵに対して更新が必要である場合にも漏れなく更新の要否を確認することができる。

また、情報提供部２４６は、更新情報を送信した後、取得部２４２によりソフトウェア更新装置１００から更新用ソフトウェアの取得要求が取得された場合に、ソフトウェアデータベース２５４から更新用ソフトウェア（プログラムモジュールデータ）を取得し、ソフトウェア更新装置１００によって制御されたダウンロードのタイミングに基づいて、更新用ソフトウェアをソフトウェア更新装置１００に送信する。なお、情報提供部２４６は、認証部２４８による認証が成功した場合（機器等の正当性が担保された場合）に、更新用ソフトウェアをソフトウェア更新装置１００に送信してもよい。

また、情報提供部２４６は、照合部２４４による照合結果により問い合わせ情報に含まれる構成情報と、最新構成情報とが合致する場合には、更新する必要がない旨を示す情報をソフトウェア更新装置１００に提供してもよい。

また、情報提供部２４６は、取得部２４２により緊急性の高い更新情報が取得された場合に、問い合わせ情報を取得したか否かにかかわらず、更新情報を対象のソフトウェア更新装置１００に送信する。これにより、ソフトウェア更新装置１００からの問い合わせを待たずに、迅速にソフトウェアの更新を実行したり、ハードウェアの交換を促す（ディーラー等の所定の店舗に向かわせる）ことができる。

認証部２４８は、ソフトウェアの更新を実行させるソフトウェア更新装置１００からハードウェア識別情報とＶＩＮ情報が送信された場合に、ハードウェア識別情報に基づいて、サーバ側記憶部２５０に記憶された認証用ＶＩＮ情報２５６のハードウェア識別情報を参照し、合致するハードウェア識別情報に対応する正規のＶＩＮ情報を取得する。また、認証部２４８は、送信されたＶＩＮ情報と合致するか否かを判定することで、ＶＩＮ情報や機器等の正当性を認証する。

また、認証部２４８は、問い合わせ情報にＶＩＮ情報が含まれる場合には、問い合わせ情報含まれるＶＩＮ情報と正規のＶＩＮ情報とを用いて認証を行ってもよい。

上述した認証を行うことで、ＶＩＮ情報が不正に書き換えられたり、車載装置１０やソフトウェア更新装置１００の構成の一部または全部が不正に交換されたりしていないことを把握することができる。また、正当な機器等に対して構成情報の更新を行うことができる。認証部２４８は、認証が成功した場合には、情報提供部２４６に更新用ソフトウェアの提供を実行させ、認証が失敗した場合には、更新用ソフトウェアの提供を中止させたり、出力部２３０に出力して管理者等に通知する。

［処理シーケンス］
次に、第１実施形態のソフトウェア更新システムの一連の処理について説明する。なお、以下では、ソフトウェア更新装置１００からの所定のタイミングでの問い合わせに基づくソフトウェア更新処理（以下、更新処理の第１実施例と称する）と、問い合わせの有無にかかわらず、サーバ装置２００から更新情報が提供される場合のソフトウェア更新処理（以下、更新処理の第２実施例と称する）とに分けて説明する。

［第１実施例］
図７は、更新処理の第１実施例を説明するためのシーケンス図である。以下では、一つのソフトウェア更新装置１００とサーバ装置２００とを用いて説明する。図７の例において、まず、ソフトウェア更新装置１００は、所定にタイミング（例えば、数週間ごと、月ごと）に、車両Ｍに搭載された機器に関する構成情報（例えば、ハードウェア識別情報、ソフトウェア識別情報）を取得し（ステップＳ１００）、取得した構成情報に基づいて、ハッシュ値を含む問い合わせ情報を生成する（ステップＳ１０２）。なお、問い合わせ情報には、車両Ｍの車種情報が含まれているものとする。また、ソフトウェア更新装置１００は、生成した問い合わせ情報を、ネットワークＮＷを介してサーバ装置２００に送信する（ステップＳ１０４）。

サーバ装置２００は、ソフトウェア更新装置１００から問い合わせ情報を受信すると、問い合わせ情報に含まれる車種の最新構成情報を取得し（ステップＳ１０６）、最新構成情報に基づいてハッシュ値を生成する（ステップＳ１０８）。次に、サーバ装置２００は、問い合わせ情報に含まれるハッシュ値と、生成したハッシュ値とを照合する（ステップＳ１１０）。次に、サーバ装置２００は、ハッシュ値が合致しない場合に、更新対象の構成情報を特定し、特定した構成情報を更新する必要があることを示す更新情報を生成し（ステップＳ１１２）、生成した更新情報をソフトウェア更新装置１００に送信する（ステップＳ１１４）。

ソフトウェア更新装置１００は、サーバ装置２００から更新情報を受信すると、更新内容を表示部８０に表示させ、更新情報を乗員に通知する（ステップＳ１１６）。次に、ソフトウェア更新装置１００は、操作部９０により乗員から更新を実行する要求を付けつけた場合に、ハードウェア識別情報およびＶＩＮ情報を含む認証情報をサーバ装置２００に送信する（ステップＳ１１８）。

サーバ装置２００は、ソフトウェア更新装置１００から認証情報を受信すると、認証情報に含まれるハードウェア識別情報およびＶＩＮ情報に基づいて、ＶＩＮ情報が正当であるか否かの認証を行う（ステップＳ１２０）。次に、サーバ装置２００は、認証結果をソフトウェア更新装置１００に送信する（ステップＳ１２２）。ステップＳ１２２の処理において、サーバ装置２００は、認証が成功した場合（認証情報に含まれるＶＩＮ情報と正規のＶＩＮ情報とが合致した場合）に、正規のＶＩＮ情報および更新用ソフトウェア情報をソフトウェア更新装置に送信してもよい。

ソフトウェア更新装置１００は、サーバ装置２００から受信した正規のＶＩＮ情報を記憶部１４０に一時的に退避し（ステップＳ１２４）、更新用ソフトウェアによるソフトウェア（構成情報）の更新を実行する（ステップＳ１２６）。次に、ソフトウェア更新装置１００は、一時的に退避させたＶＩＮ情報を元の位置に格納する（ステップＳ１２８）。なお、ステップＳ１２８の処理において、ソフトウェア更新装置１００は、記憶部１４０に一時的に退避させたＶＩＮ情報を削除してもよい。これにより、本シーケンスの処理は、終了する。

上述した更新処理の第１実施例によれば、更新時にＥＣＵのメモリに記憶されたＶＩＮ情報を一時的に退避させてからＥＣＵのソフトウェアの更新を実行するため、ＥＣＵのメモリ領域（第１記憶部）が初期化または書き換えられた場合であっても、更新後に退避したＶＩＮ情報を再度メモリ領域に書き込まれるため、ソフトウェアの更新時にＶＩＮ情報が消失することを抑制することができる。

［第２実施例］
図８は、更新処理の第２実施例を説明するためのシーケンス図である。なお、図８に示すステップＳ２００～Ｓ２１８の処理のうち、ステップＳ２０６～Ｓ２１８の処理は、上述した図７の処理のステップＳ１１６～Ｓ１２８の処理と同様の処理を行う。したがって、以下では、主にステップＳ２００～Ｓ２０４の処理を中心として説明する。

図８の例において、サーバ装置２００は、他の外部装置や管理者の入力等により、構成情報に関する更新情報を取得する（ステップＳ２００）。次に、サーバ装置２００は、更新対象の構成情報（ハードウェア識別情報、ソフトウェア識別情報、ソフトウェアバージョン情報）を有する車両を検索し（ステップＳ２０２）、抽出された車両（ソフトウェア更新装置１００に更新情報を送信する（ステップＳ２０４）。ソフトウェア更新装置１００は、送信された更新情報に基づいて、上述したステップＳ２０６～ステップＳ２１８の処理を実行する。

上述した更新処理の第２実施例によれば、第１実施例と同様の効果を奏する他、ソフトウェア更新装置１００がサーバ装置２００に更新情報の問い合わせを行う必要なく、迅速に更新処理を行うことができる。したがって、例えば、サーバ装置２００は、緊急性の高いソフトウェアの更新が必要となった場合にも迅速に更新処理を行わせることができる。

以上説明した第１実施形態によれば、ソフトウェア更新装置１００において、サーバ装置（外部装置の一例）２００と通信する第１通信部１１２と、第１通信部１１２によるサーバ装置２００との通信により、車両Ｍに搭載された機器を制御するＥＣＵ（機器制御部）に組み込まれたソフトウェアを更新する更新制御部１２０と、を備え、ＥＣＵは、ＥＣＵに関する更新情報と車両Ｍを識別する車両識別情報とを記憶する記憶部（第１記憶部）２２、３２、４２、５２を備え、更新制御部１２０は、ＥＣＵに組み込まれたソフトウェアの更新を実行する前に、第１記憶部に記憶された車両識別情報を取得して記憶部（第２記憶部）１４０に記憶させることで、ソフトウェア更新によるＥＣＵ内の車両識別情報の消失を抑制することができる。

＜第２実施形態＞
次に、第２実施形態のソフトウェア更新装置を含むソフトウェア更新システムについて説明する。なお、以下の説明では、主に上述した第１実施形態のソフトウェア更新システム、ソフトウェア更新装置、サーバ装置と相違する部分を中心として説明し、同様の構成等の説明については省略するものとする。

第２実施形態では、駆動制御装置（ＥＣＵ）２０に組み込まれたソフトウェアの更新後に、ソフトウェア更新装置１００に退避させたＶＩＮ情報（車両識別情報の一例）を元の記憶部２２に格納させることに加えて（または代えて）、駆動制御装置２０の交換時にソフトウェア更新装置１００に記憶されたＶＩＮ情報を記憶部２２に格納してＶＩＮ情報を復旧する。例えば、ＶＩＮ情報が格納された記憶部を備える駆動制御装置が故障やリコール、利用者の意思（例えば、新製品や中古製品に交換したいという意思）等の理由によって交換された場合、交換後の駆動制御装置の記憶部に記憶されたＶＩＮ情報が空情報（ブランク、ＮＵＬＬ）であったり、他の車両のＶＩＮ情報が記憶されている場合がある。そのため、第２実施形態では、ソフトウェア更新装置は、予め正規のＶＩＮ情報を記憶しておき、駆動制御装置の交換時に駆動制御装置の記憶部に正規のＶＩＮ情報に格納させる。

図９は、第２実施形態のソフトウェア更新装置１００Ａを含む車両システム２Ａの構成図である。車両システム２Ａは、例えば、車載装置１０と、表示部８０と、操作部９０と、ソフトウェア更新装置１００Ａとを備える。

ソフトウェア更新装置１００Ａは、例えば、通信部１１０と、更新制御部１２０と、復旧制御部１２５と、表示制御部１３０と、記憶部１４０Ａとを備える。ソフトウェア更新装置１００Ａは、第１実施形態のソフトウェア更新装置１００と比較して、復旧制御部１２５を備えるとともに、記憶部１４０Ａに保存用ＶＩＮ情報１４６が記憶されている点で相違する。以下では、主に復旧制御部１２５および保存用ＶＩＮ情報１４６を中心として説明する。

保存用ＶＩＮ情報１４６は、例えば、車両Ｍの製造時や出荷時等に記憶部１４０Ａに記憶されるＶＩＮ情報である。また、保存用ＶＩＮ情報１４６は、所定のアクセス条件を満たす場合に、読み出しや書き込みができる情報であってもよい。所定のアクセス条件には、例えば、特定の端末装置からのアクセスであること、アクセスするための認証条件を満たすこと（例えば、ＵＩＤおよびパスワードの認証が成功すること）、車両Ｍが所定の位置（例えば、ディーラー等や製造工場等の特定位置）に存在すること等が含まれる。

復旧制御部１２５は、上述のアクセス条件等による保存用ＶＩＮ情報１４６の管理を行う。また、復旧制御部１２５は、ＶＩＮ情報が記憶された記憶部を備える機器制御部（例えば、駆動制御装置２０）が交換されたか否かを判定し、交換されたと判定した場合であって、且つ所定条件も満たす場合に、保存用ＶＩＮ情報１４６を交換された駆動制御装置２０の記憶部２２に格納してＶＩＮ情報を復旧させる。

例えば、復旧制御部１２５は、所定周期で駆動制御装置２０と通信を行い、所定時間以上通信ができない場合（駆動制御装置２０からの応答がない場合）に、駆動制御装置２０が交換されたと判定する。また、復旧制御部１２５は、駆動制御装置２０から取得したＶＩＮ情報が空情報である場合や、正規ＶＩＮ情報と合致しない場合に、駆動制御装置２０が交換されたと判定してもよい。また、復旧制御部１２５は、通信部１１０等により駆動制御装置２０が交換されたことを示す情報を受信した場合に、駆動制御装置２０が交換されたと判定してもよい。

駆動制御装置２０が交換されたと判定した場合、復旧制御部１２５は、例えば、記憶部１４０Ａに記憶された保存用ＶＩＮ情報１４６と、運転制御装置３０の記憶部３２やバッテリ管理装置４０の記憶部４２、ナビゲーションＥＣＵ５０の記憶部５２に記憶された構成情報の少なくとも一部（例えば、シリアルナンバー）とを組み合わせた問い合わせ情報を生成し、生成した問い合わせ情報をサーバ装置２００に送信し、サーバ装置２００で照合させる。上記の問い合わせ情報は、ハッシュ演算されたハッシュ値であってもよい。

サーバ装置２００の照合部２４４は、復旧制御部１２５により生成された問い合わせ情報を、最新構成情報２５２や認証用ＶＩＮ情報２５６を用いて照合し、照合結果を復旧制御部１２５に送信する。問い合わせ情報がハッシュ値である場合、照合部２４４は、最新構成情報２５２および認証用ＶＩＮ情報２５６からハッシュ値を生成し、生成したハッシュ値を用いて照合を行ってもよい。

復旧制御部１２５は、サーバ装置２００からの照合結果により、合致度が閾値以上である場合に、記憶部１４０Ａに記憶された保存用ＶＩＮ情報１４６が正規のＶＩＮ情報である（言い換えると、ソフトウェア更新装置１００は交換されていない）と判断して、保存用ＶＩＮ情報１４６を駆動制御装置２０の記憶部２２に書き込む。これにより、ソフトウェア更新装置１００Ａは、駆動制御装置２０が交換された場合に、迅速に駆動制御装置２０の記憶部２２に正規のＶＩＮ情報を復旧させることができる。

なお、第２実施形態において、更新制御部１２０は、復旧制御部１２５によるＶＩＮ情報の復旧が完了した後に、ＥＣＵに組み込まれたソフトウェアの更新等を行う。

［処理シーケンス］
図１０は、第２実施形態のソフトウェア更新システムの一連の処理を説明するためのシーケンス図である。なお、以下では、主に、ソフトウェア更新装置１００Ａの復旧制御部１２５におけるＶＩＮ情報の復旧処理を中心として説明する。また、記憶部１４０Ａには、保存用ＶＩＮ情報１４６が記憶されているものとする。図１０の例において、まず、ソフトウェア更新装置１００Ａは、ＶＩＮ情報が記憶された駆動制御装置２０が交換されたか否かを判定し、交換されたと判定した場合に（ステップＳ３００）、保存用ＶＩＮ情報１４６および他のＥＣＵの構成情報を取得する（ステップＳ３０２）。次に、復旧制御部１２５は、保存用ＶＩＮ情報１４６および構成情報を用いて問い合わせ情報を生成し（ステップＳ３０４）、生成した問い合わせ情報をサーバ装置２００に送信する（ステップＳ３０６）。

サーバ装置２００は、最新構成情報２５２および認証用ＶＩＮ情報２５６を取得し（ステップＳ３０８）、問い合わせ情報と照合を行い（ステップＳ３１０）、照合結果をソフトウェア更新装置１００Ａに送信する（ステップＳ３１２）。ソフトウェア更新装置１００Ａの復旧制御部１２５は、照合結果に基づいて、保存用ＶＩＮ情報が正規のＶＩＮ情報である場合に、保存用ＶＩＮ情報を駆動制御装置２０の記憶部２２に格納して、ＶＩＮ情報の復旧を行う（ステップＳ３１４）。これにより、本フローチャートの処理は、終了する。

以上説明した第２実施形態によれば、第１実施形態と同様の効果を奏する他、ＥＣＵが交換されたことにより、ＥＣＵ内のＶＩＮ情報が空情報であったり、他のＶＩＮ情報に替わっている場合であっても、迅速に正規のＶＩＮ情報に復旧することができる。

［変形例］
上述した実施形態では、構成情報の照合をサーバ装置２００側で行っていたが、これに代えて、更新制御部１２０がサーバ装置２００から最新構成情報を受信して照合を行ってもよい。この場合、更新制御部１２０は、車種に対応する最新構成情報を問い合わせるための問い合わせ情報をサーバ装置２００に送信し、サーバ装置２００から受信した構成情報と、車載装置１０のＥＣＵごとの構成情報とを照合して更新の要否を判定する。なお、構成情報にハッシュ値が含まれる場合、更新制御部１２０は、同様のハッシュ関数または変換テーブルを用いてハッシュ値を生成し、生成したハッシュ値同士を比較することで照合を行う。

また、他の変形例として、サーバ装置２００は、最新構成情報を用いてハッシュ値を生成し、生成したハッシュ値を、複数の車両Ｍ－１～Ｍ－ｎに送信し、各車両の構成情報を用いて生成したハッシュ値と異なる車両からの通知を受け付けて、受け付けた通知に対する更新情報を対象の車両Ｍに送信してもよい。

また、上述した実施形態では、例えば、ＶＩＮ情報を記憶するＥＣＵに限らず、保守部品の出荷時においてソフトウェアが書込みされていないＥＣＵ（例えば、ブランクＥＣＵあるいは白ＲＯＭ等）等の部品にも適用することができる。このような部品は、ディーラー等で車両Ｍに組付けられてもソフトウェアがインストール・フラッシュされておらず、いわゆるブートモードであり、車両制御プログラムが書き込まれていないため、制御を行うことができない。車両Ｍに搭載される部品は、車種に関係なく共通の場合が多く、ブートモードである部品は、異なるソフトウェアが書き込まれることで、同じハードウェアであっても異なる制御が行われる場合がある。そのため、このようなＥＣＵをディーラー等へ修理部品として出荷する場合には、修理対象車両に該当するソフトウェアを予めインストールして出荷するか、あるいはディーラー等で部品を組付けた際には正しいソフトウェアを診断機等の装置を用いて書き込む必要がある。

上述の実施形態の「ＯＴＡによる更新処理」においては、搭載された部品に対して正しいソフトウェアを選択してアップデートする機能を有しており、ブートモード検知時にブートモードの制御ＩＤ等から部品を特定し、車両Ｍのモデルタイプより適切な制御ソフトウェアをサーバ装置２００から自動でダウンロードして書込みすることができる。これにより、例えば、倉庫での書込み業務やディーラー等での診断機を接続して書き込むといった作業プロセスや手作業によるミスを避けることができる。

また、ハードウェアが同じであるため、車両モデルに対して異なる制御ソフトウェアがインストールされた部品が、中古部品を使った修理等により車両Ｍに組み込まれてしまうと正しく動作しない場合も考えられる。しかしながら、上述の実施形態の「ＯＴＡによる更新処理」においては、車両モデルに対して適切な部品およびソフトウェアの組み合わせ情報を有しているため、車両Ｍ（ソフトウェア更新装置１００）は、サーバ装置２００に対して、構成の同期処理を行い、異なるソフトウェアを検知した場合に、車両Ｍのソフトウェアの修理（正しいソフトウェアに復旧）することができる。なお、この場合、ソフトウェア更新装置１００は、ソフトウェアＩＤからハードウェアの互換性情報を判定すると共に、組み込まれた車両モデルに対して正しいソフトウェアに書き換えることで正しい制御を行うソフトウェアへ復旧できると判定した場合に、自動でソフトウェアをダウンロードし、更新（書き換え）処理を行うことで、車両Ｍのソフトウェアの修理を行うことができる。

また、ＥＣＵの中には同じハードウェアであり、かつ同じソフトウェアを搭載しているが、搭載された車両モデルによって制御を一部変える必要がある場合もある。この場合、同一ソフトウェアに対してコンフィグレーションＩＤ（バリアントコード）を付与することで異なる制御を行っている。部品の製造や流通の観点から同一部品や同一ソフトウェアのＥＣＵであるが出荷前にコンフィグレーションＩＤを付与することで同じ部品でもモデルによって、あたかも異なるソフトウェアのように動作させることができる。また、例えば、保守部品交換時には、上述のブランクＥＣＵや別モデルのソフトウェアが入った部品に対してフラッシュすることで正しいソフトウェアをハードウェアにインストールすることができるが、バリアントコードにより制御処理を行っているＥＣＵについてはソフトウェアの書き込み後にバリアントコードの書き込みを行わなければソフトウェアは制御処理を行うことができない。そのため、ソフトウェアの書き込み後にバリアントコードの書き込みも必要になる。したがって、上述した実施形態の「ＯＴＡによる更新処理」においては、まず、サーバ装置２００は、ブランクＥＣＵへのソフトウェア書込みが必要であることを検知した場合であって、且つそのＥＣＵがバリアントコーディング部品であった場合に、ソフトウェアの配信に加えてバリアントコードを合わせて車両Ｍに送信する。そして、車両Ｍのソフトウェア更新装置１００は、ソフトウェアを正常に書込みできたことを確認した後、バリアントコードをＥＣＵに書き込むことでソフトウェアの更新処理が完了させてもよい。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１…ソフトウェア更新システム、２、２Ａ…車両システム、１０…車載装置、２０…駆動制御装置、２２、３２、４２、５２…記憶部（第１記憶部）、３０…運転制御装置、４０…バッテリ管理装置、５０…ナビゲーションＥＣＵ、８０…表示部、９０…操作部、１００、１００Ａ…ソフトウェア更新装置、１１０…通信部、１１２…第１通信部、１１４…第２通信部、１２０…更新制御部、１２５…復旧制御部、１３０…表示制御部、１４０、１４０Ａ…記憶部（第２記憶部）、２００…サーバ装置、２１０…サーバ側通信部、２２０…入力部、２３０…出力部、２４０…サーバ側制御部、２５０…サーバ側記憶部、Ｍ…車両、ＴＤ…端末装置

Claims (10)

1. 外部装置と通信する通信部と、
   前記通信部による外部装置との通信により、車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新する更新制御部と、を備え、
   前記機器制御部は、前記機器制御部に関する構成情報と前記車両を識別する車両識別情報とを記憶する第１記憶部を備え、
   前記更新制御部は、前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記第１記憶部に記憶された車両識別情報を取得して第２記憶部に退避させる、
   ソフトウェア更新装置。
2. 前記更新制御部は、前記構成情報の少なくとも一部および前記車両識別情報を前記外部装置に送信させ、前記外部装置が管理する最新の構成情報との照合結果に基づいて、前記外部装置から送信される車両識別情報を前記第２記憶部に記憶し、前記第２記憶部に記憶した後に、前記ソフトウェアの更新を実行する、
   請求項１に記載のソフトウェア更新装置。
3. 前記更新制御部は、前記構成情報または前記車両識別情報を用いてハッシュ値を生成し、生成したハッシュ値を前記外部装置に送信する、
   請求項２に記載のソフトウェア更新装置。
4. 前記更新制御部は、前記車両に搭載された複数の機器制御部の全ての構成情報および車両識別情報を用いて前記ハッシュ値を生成する、
   請求項３に記載のソフトウェア更新装置。
5. 前記更新制御部は、前記ソフトウェアの更新が完了した後に、前記第２記憶部に退避させた車両識別情報を前記第１記憶部に記憶させ、前記第１記憶部に記憶させた後、前記第２記憶部に記憶させた車両識別情報を消去する、
   請求項１から４のうち何れか１項に記載のソフトウェア更新装置。
6. 前記機器制御部が交換されたか否かを判定し、前記機器制御部が交換された場合に、前記第２記憶部に記憶された車両識別情報を交換された機器制御部の前記第１記憶部に記憶させる復旧制御部を更に備える、
   請求項１から５のうち何れか１項に記載のソフトウェア更新装置。
7. 請求項１から請求項５のうち何れか１項に記載のソフトウェア更新装置にソフトウェアを提供するサーバ装置であって、
   前記ソフトウェア更新装置と通信を行うサーバ側通信部と、
   前記サーバ側通信部により受信した前記ソフトウェア更新装置からの更新状態の問い合わせ情報に基づいて、前記機器制御部に関する構成情報が最新の構成情報であるかを照合する照合部と、
   前記照合部による照合結果により前記機器制御部に組み込まれた前記ソフトウェアの更新が必要であると判定された場合に、前記サーバ側通信部を介して前記ソフトウェア更新装置から受信した車両識別情報および前記構成情報に基づいて認証を行い、認証が成功した場合に前記車両識別情報を前記ソフトウェア更新装置に送信する認証部と、
   を備えるサーバ装置。
8. 前記照合部は、前記問い合わせ情報にハッシュ値が含まれる場合に、前記最新の構成情報に基づいてハッシュ値を生成し、生成したハッシュ値と、前記問い合わせ情報に含まれるハッシュ値とに基づいて、前記照合を行う、
   請求項７に記載のサーバ装置。
9. 車両に搭載されるソフトウェア更新装置が、
   外部装置と通信し、
   前記外部装置との通信により前記車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新し、
   前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記機器制御部の第１記憶部に記憶された前記車両を識別する車両識別情報を前記第１記憶部と異なる第２記憶部に退避させる、
   ソフトウェア更新方法。
10. 車両に搭載されるソフトウェア更新装置に、
    外部装置と通信させ、
    前記外部装置との通信により前記車両に搭載された機器を制御する機器制御部に組み込まれたソフトウェアを更新させ、
    前記機器制御部に組み込まれた前記ソフトウェアの更新を実行する前に、前記機器制御部の第１記憶部に記憶された前記車両を識別する車両識別情報を前記第１記憶部と異なる第２記憶部に退避させる、
    プログラム。

Images