JP7327304B2 - ソフトウェア更新装置、方法、プログラムおよび車両 - Google Patents

Description

本開示は、車両に搭載される車載機器のソフトウェアを更新するソフトウェア更新装置に関する。

車両には、複数のＥＣＵ（Electronic Control Unit：電子制御ユニット）と呼ばれる車載機器が通信線を介して互いに接続されて構成されたネットワークシステムが搭載されている。各車載機器は、互いにメッセージを送受信して、車両の各機能を分担して実行する。

車載機器は、典型的にはプロセッサと、ＲＡＭのような一時的な記憶部やフラッシュＲＯＭのような不揮発性の記憶部とを備えている。プロセッサが実行するプログラム（ソフトウェア）は、不揮発性の記憶部に記憶される。プログラムをより新しいバージョンに書き変えて更新することにより、車載機器の機能の向上、改善を図ることができる。

プログラムの更新には、外部装置（センタ）から無線通信等により更新データを受信するダウンロード、ダウンロードした更新データに基づいて更新プログラム（更新ソフトウェア）を車載機器の記憶部に書き込むインストールのステップがある。インストールには、車載機器の仕様に応じて、ダウンロードした更新プログラムを、記憶部の記憶領域のうち、プログラム記憶用の領域として定められた１つの領域（１面：シングルバンク）に、現在のプログラム（旧プログラム）を上書きして書き込む上書きインストールと、プログラム記憶用の領域として定められた２つの領域（２面：デュアルバンク）のうち、現在のプログラム（旧プログラム）が記憶された領域（一方の面）でないほうの領域（他面）に書き込む他面インストールとがある。

他面インストールの場合は、プログラム更新のステップには、ダウンロード、インストールの各ステップに加えて、インストールした更新プログラムを実行バージョンとするよう、更新プログラムの開始アドレス等の設定値をコンフィグレーションするアクティベートのステップがある。

ＥＣＵのプログラム更新に関連して、特許文献１は、特定のＥＣＵがマスタＥＣＵとして機能し、サーバーとの通信を行い、マスタＥＣＵ自身や他のスレーブＥＣＵのプログラムの更新を行うことを開示している。

特開２０１１－１４８３９８号公報

プログラムの更新中、例えば、プログラムの上書きインストール中、あるいは、他面インストールしたプログラムのアクティベート中は、その車載機器がプログラムを実行することができないため動作ができず、車両の機能が制限されるおそれがある。そのため、このような処理は車両が停止した状態で行われる。しかし、ユーザーが一時的に車両を停止させても、その後すぐに車両を走行させる要求が発生する場合もある。このような場合に、車両の停止のみを契機に上書きインストールやアクティベートを開始すると、これらの処理が終了するまで、要求を満たすことができないので利便性を損なってしまう。

本開示は、上記課題を鑑みてなされたものであり、車載機器のプログラム更新処理を、車両の利便性を損なわずに実行できるソフトウェア更新装置を提供することを目的とする。

上記課題を解決するために、本開示技術の一局面は、センタに更新データのダウンロードを要求する通信部と、ダウンロードした更新データを保存する記憶部と、更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいはインストールおよびアクティベートする制御を実行する制御部と、車両が停止しており、かつ、車両が停止した状態を維持することができるか否かを判定する判定部とを備え、制御部は、判定部の判定結果が肯定である場合に、ターゲット電子制御ユニットの動作を制限し、インストールあるいはインストールおよびアクティベートする制御を実行する、ソフトウェア更新装置である。

本開示技術によれば、車載機器のプログラム更新処理において、車載機器の動作が制限される処理については、車両が停止しているだけでなく、車両が停止した状態を維持できると判定できた場合に行うので、ユーザーが一時的に車両を停止させても、その後すぐに車両を走行させる要求が発生しうる場合には、車載機器の動作が制限される処理を行わないので、要求を満たしやすくでき、利便性が向上する。

一実施形態に係るネットワークシステムの構成図 一実施形態に係る処理を示すフローチャート

（実施形態）
＜構成＞
図１に、本実施形態に係るネットワークシステム１の構成例を示す。ネットワークシステム１は、車両に搭載される。ネットワークシステム１は、ソフトウェア更新装置５０を含む。ソフトウェア更新装置５０（ＯＴＡマスタ）には、複数のバス１０、２０、３０…が接続されている。複数の車載機器（電子制御ユニット）１１、１２…が、バス１０に接続されている。複数の車載機器２１、２２…が、バス２０に接続されている。複数のアクチュエータ３１、３２…が、バス３０に接続されている。図１および以降の説明においては、バスとして、バス１０、２０、３０を例示し、車載機器として、車載機器１１、１２、２１、２２を例示し、アクチュエータ３１、３２を例示するがバスや車載機器、アクチュエータの数は限定されない。

ソフトウェア更新装置５０は、外部装置１００（センタ）と通信する通信部（通信モジュール）５１、外部装置１００から提供される更新データに基づいて各車載機器１１、１２、２１、２２のプログラムの更新を制御する制御部５２と、後述する判定部５４とを含む。ソフトウェア更新装置５０は、典型的にはフラッシュＲＯＭのような不揮発性の記憶部（ストレージ）５３と、不揮発性の記憶部５３からプログラムを読み出して実行することで各種処理を行うプロセッサと、プログラムの一部やデータを記憶するＲＡＭのような一時的な記憶部とを含むコンピューターであり、プロセッサが上述の制御部５２、判定部５４の機能を実行する。

また、ソフトウェア更新装置５０の制御部は、また、各バス１０、２０、３０を介して、外部装置１００と各車載機器１１、１２、２１、２２との間の通信、各車載機器１１、１２、２１、２２間の通信、各車載機器１１、１２、２１、２２と各アクチュエータ３１、３２との間の通信の制御や中継を行う。このように、ソフトウェア更新装置５０は、通信を中継する中継装置としても機能する。

各車載機器１１、１２、２１、２２は、互いに通信を行い、車両の制御のための各種処理を行う。これらの車載機器は、更新装置同様、典型的には記憶部（ストレージ）とプロセッサとを備えるコンピューターである。

アクチュエータ３１、３２は、ブレーキ、エンジン、あるいはパワーステアリング装置のような車両やその部品に対して力学的な作用を発生させる機器であり、車載機器１１、１２、２１、２２からの指示に基づいて動作する。

各車載機器１１、１２、２１、２２やアクチュエータ３１、３２は、それぞれの動作状態、車両の状態、あるいは車両の周囲の状態を取得する各種センサを備えてもよい。また、このようなセンサがバス１０、２０、３０に直接的に接続されてもよい。

ソフトウェア更新装置５０の制御部５２は、車載機器１１、１２、２１、２２のそれぞれの記憶部が記憶しているプログラムを更新することができる。すなわち、ソフトウェア更新装置５０は、ダウンロードする制御、インストールする制御、あるいはさらにアクティベートする制御を行う。ダウンロードは、外部装置１００から送信された車載機器１１、１２、２１、２２のいずれかのプログラムを更新するための更新データ（配信パッケージ）を受信して記憶する処理である。ダウンロードする制御は、ダウンロード実行だけでなく、ダウンロードの実行可否判断、更新データの検証等、ダウンロードに関する一連の処理の制御を含みうる。インストールは、ダウンロードした更新データに基づいて、更新対象の車載機器の記憶部に更新版のプログラム（更新ソフトウェア）を書き込む処理である。インストールする制御は、インストール実行だけでなく、インストールの実行可否判断、更新データの転送および更新版のプログラムの検証等、インストールに関する一連の処理の制御を含みうる。アクティベートは、インストールした更新版のプログラムを有効化（アクティベート）する処理である。アクティベートする制御は、アクティベート実行だけでなく、アクティベートの実行可否判断、実行結果の検証等、アクティベートに関する一連の制御を含みうる。

インストールする制御においては、更新データが更新プログラム自体を含む場合、制御部５２が、更新プログラムを、車載機器に送信することができる。また、更新データが、更新プログラムの圧縮データ、差分データ、あるいは、分割データを含む場合、制御部５２が、更新データの展開あるいは組付け等を行って更新プログラムを生成して車載機器に送信してもよい。あるいは、制御部５２が、更新データを車載機器に送信し、車載機器が、更新データの展開あるいは組付け等を行って更新プログラムを生成してもよい。

更新プログラムを車載機器の第２記憶部に書き込むインストール自体の実行は、制御部５２が行ってもよいし、制御部５２の指示を受けた車載機器が行ってもよいし、更新データ（あるいは更新プログラム）を受信した車載機器が、制御部５２の明示の指示がなくても自律的に行ってもよい。

インストールした更新プログラムを有効化するアクティベート自体の実行は、制御部５２が行ってもよいし、制御部５２の指示を受けた車載機器が行ってもよいし、車載機器が、制御部５２の明示の指示がなくても、インストールに引き続いて自律的に行ってもよい。

なお、このようなプログラムの更新処理は、複数の車載機器のそれぞれに対して、連続して、あるいは並列的に行うことができる。

＜処理＞
以下に、本実施形態に係る処理の例を説明する。図２は、ソフトウェア更新装置５０が行うプログラム更新処理の例を示すフローチャートである。本処理は例えばソフトウェア更新装置５０が、外部装置１００に対して更新データの要求を行うことによって開始される。

（ステップＳ１０１）
通信部５１は、外部装置１００から、車両が備える車載機器のうち１つ以上のプログラムを更新するための更新データを受信する。制御部５２はソフトウェア更新装置５０の記憶部５３に更新データを記憶する（ダウンロード）。

（ステップＳ１０２）
制御部５２は、プログラム更新の対象となる車載機器のうち、上述のデュアルバンクタイプの車載機器が１つ以上あれば、通信部５１を制御して、このような各車載機器と通信して、ダウンロードした更新データに基づいて、プログラムを上述の他面インストールさせる。デュアルバンクタイプの車載機器がなければ本ステップは実行しない。

（ステップＳ１０３）
判定部５４は、車両が停止しており、かつ、車両が停止した状態を維持できるか否かを判定する。この判定は、車両が備える車載機器、アクチュエータ、センサ等、あるいは、他の車両から、自車両の状態および自車両の周辺の状態の一方または両方を取得して行うことができる。

車両が停止した状態であることの判定は、例えば、車両が電源オフ（パワーオフ、イグニッションオフ）であること、車速が０であること、シフトポジションがパーキング位置であること等によって実行できる。

車両が停止した状態を維持できることの判定は、例えば、カメラや超音波センサのようなセンサによって、車両の周辺に、車両に接触するおそれがあるような、車両の停止状態を維持するうえで障害となりうる人および物あるいはこれらの車両に近づく動きがないことを、検知することによって実行できる。センサの種別は限定されない。

あるいは、判定は、車両がこのような周辺の人物を検出するセンサを備えていなくても、例えば、このようなセンサを備えた他の車両が自車両の近傍を通過する際に、通信部５１が、他の車両から、自車両の周辺にこのような人および物あるいはこれらが車両に近づく動きがないことを表す通知を無線通信によって受信することによって実行できる。あるいは、判定は、例えば、このようなセンサを備えた、道路や駐車場等に設置された機器から、通信部５１が、自車両の周辺にこのような人および物あるいはこれらが車両に近づく動きがないことを表す通知を無線通信によって受信することによって実行できる。なお、自車両の周辺とは、車両から所定距離の範囲であってもよいし、センサの精度等、状況に応じて変化する可変の範囲であってもよい。

例えば、ユーザーが車両を路側帯に停車させた場合に、周辺の歩行者や他の車両が、例えば通行のため車両に向かって近づいてくると、通行を妨げないよう、直ちに車両を移動させる必要性が発生するおそれがある。しかし、車両の所定距離内にこのような人や物の存在またはこれらが車両に近づく動きがなければ、ある場合に比べて、車両を移動させる要求が発生しにくく車両が停止した状態を一定期間維持できる可能性が高いと考えられるので、これを判定に用いることができる。なお、以上のような判定において、車両のまわりの、人や物の存在またはこれらの車両に近づく動きがない範囲を検出し、範囲が所定の範囲より広ければ、車両が停止した状態を維持できると判定してもよい。このように、判定の方法、手段は、限定されない。

またあるいは、車両が停止した状態を維持できることの判定は、例えば、車両がＧＰＳのような測位センサを備えている場合、車両の現在位置が、車両を移動させる要求が発生しにくい場所であることを検知することによって実行できる。例えば、車両の位置と予め用意されたマップ等に基づいて、車両の位置の種別を特定し、車両の位置が自宅の車庫や整備場のガレージのような、一定期間の停車が行われる特定の種別の場所であれば、車両を移動させる要求が発生しにくく、車両が停止した状態を維持できると判定できる。なお、この判定は、例えば外部装置１００のような車外の装置が、車両の位置を取得して実行して、車両が判定結果を取得してもよい。

またあるいは、車両が停止した状態を維持できることの判定は、例えば、車両が電気自動車やプラグインハイブリッド自動車である場合、車両に充電ケーブルが接続されていることをセンサが検知することによって実行できる。あるいは、車両が停止した状態を維持できることの判定は、例えば、車両がガソリン自動車やハイブリッド自動車である場合、車両に給油ケーブルが接続されていることをセンサが検知することによって実行してもよい。あるいは、車両が停止した状態を維持できることの判定は、例えば、車両にリプログラミング等のための通信ケーブルが接続されていることをセンサまたは車載機器が検知することによって実行してもよい。車両にこのような各種のケーブルが接続されていれば、車両が、自宅の車庫や充電ステーションのような、車両が停止した状態を維持できる場所に停車しており、直ちに車両を走行させる必要性は低いと考えることができる。

またあるいは、車両が停止した状態を維持できることの判定には、上述の各条件を複数組み合わせ、組み合わせた条件のうち、いずれかの条件が成立した場合、あるいは、全ての条件が成立した場合に、車両が停止した状態を維持できると判定してもよい。また、上述以外の条件を判定に用いてもよい。外部装置１００のような車外の装置による判定結果も利用すれば、判定の信頼性を向上することができる。

本ステップにおいて、判定部５４が、車両が停止しており、かつ、車両が停止した状態を維持できると判定した場合、ステップＳ１０４に進み、そうでない場合、車両が停止しており、かつ、車両が停止した状態を維持できると判定できるまで、本ステップの実行を、例えば定期的に繰り返す。

（ステップＳ１０４）
制御部５２は、プログラム更新の対象となる車載機器のうち、上述のシングルバンクタイプの車載機器が１つ以上あれば、通信部５１を制御して、このような各車載機器と通信して、ダウンロードした更新データに基づいて、プログラムを上書きインストールさせる。シングルバンクタイプの車載機器がなければ本ステップは実行しない。

（ステップＳ１０５）
制御部５２は、プログラム更新の対象となる車載機器のうち、上述のデュアルバンクタイプの車載機器が１つ以上あれば、通信部５１を制御して、このような各車載機器と通信して、ステップＳ１０２で上書きインストールしたプログラムをアクティベートさせる。デュアルバンクタイプの車載機器がなければ本ステップは実行しない。以上で処理が終了する。

なお、ステップＳ１０４、Ｓ１０５の処理の順序は限定されない。また、これらの処理は並列的に実行することができる。また、これらの処理を実行する前に、車両の電源をオフにすること、シフトポジションをパーキング位置にすること、動力源に駆動力の発生を停止させることのうち少なくとも１つを実行してもよい。例えば、ステップＳ１０２で、車速が０であること、シフトポジションがパーキング位置であることによって車両が停止した状態であることの確認を行った場合、本ステップで、さらに車両の電源オフを実行すれば、車両が停止した状態をより確実に維持できる。また、ステップＳ１０４、Ｓ１０５の処理が終了するまで、例えば動力源始動等の車両の走行のための操作は制限される。また、この例では、車載機器の動作が制限される所定の処理として、シングルバンクタイプの車載機器のインストール処理と、デュアルバンクタイプの車載機器のアクティベート処理とを例示したが、これらに限定されず他の処理を含めてもよい。

＜効果＞
以上のように、本実施形態においては、車載機器のプログラム更新処理において、車載機器の動作が制限される処理については、車両が停止しているだけでなく、車両が停止した状態を維持できると判定できた場合に行う。これにより、ユーザーが一時的に車両を停止させても、その後すぐに車両を走行させる要求が発生しうる場合には、車載機器の動作が制限される処理を行わないので、要求を満たしやすくでき、利便性が向上する。

以上、実施形態の一例を説明したが、制御部５２の機能は、いずれかの車載機器に設けられてもよい。

本開示技術は、ソフトウェア更新装置だけでなく、ソフトウェア更新装置を含むネットワークシステム、およびソフトウェア更新装置が備えるコンピューターが実行する方法、プログラムおよびこれを記憶したコンピューター読み取り可能な非一時的記憶媒体、ソフトウェア更新装置を備えた車両等として捉えることが可能である。

本開示技術は、車両に搭載される車載機器のソフトウェアを更新するソフトウェア更新装置に有用である。

１ ネットワークシステム
１０、２０、３０ バス
１１、１２、２１、２２ 車載機器
３１、３２ アクチュエータ
５０ ソフトウェア更新装置
５１ 通信部
５２ 制御部
５４ 判定部
１００ 外部装置

Claims (13)

1. 車両に備えられたソフトウェア更新装置であって、
   センタに更新データのダウンロードを要求する通信部と、
   前記ダウンロードした前記更新データを保存する記憶部と、
   前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御部と、
   前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定部と、を備え、
   前記制御部は、前記判定部の判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ソフトウェア更新装置。
2. 前記判定部は、前記車両が備えるセンサを介して、前記車両の周辺に人および物がないこともしくは前記車両の周辺に人および物の前記車両に近づく動きがないことを検知する、請求項１に記載のソフトウェア更新装置。
3. 前記判定部は、他の車両との無線通信にも基づいて、前記車両が停止した状態を維持することができるか否かを判定する、請求項１または２に記載のソフトウェア更新装置。
4. 前記判定部は、道路に設置された機器との無線通信にも基づいて、前記車両が停止した状態を維持することができるか否かを判定する、請求項１～３のいずれかに記載のソフトウェア更新装置。
5. 前記判定部は、前記センタが、前記車両の現在位置に基づいて、前記車両が停止した状態を維持することができると判定したことを、前記センタからの無線通信によって通知されたことにも基づいて、前記車両が停止した状態を維持することができるか否かを判定する、請求項１～４のいずれかに記載のソフトウェア更新装置。
6. 前記判定部は、前記車両にケーブルが接続されていることにも基づいて、前記車両が停止した状態を維持することができるか否かを判定する、請求項１～５のいずれかに記載のソフトウェア更新装置。
7. 前記制御部は、前記車両の電源をオフにすること、シフトポジションをパーキングにすること、動力源に駆動力の発生を停止させることの少なくとも１つが実行された後に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、請求項１～６のいずれかに記載のソフトウェア更新装置。
8. 車両に備えられたソフトウェア更新装置のコンピューターが実行するソフトウェア更新方法であって、
   センタに更新データのダウンロードを要求する通信ステップと、
   前記ダウンロードした前記更新データを保存する記憶ステップと、
   前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御ステップと、
   前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定ステップと、を含み、
   前記制御ステップでは、前記判定ステップにおける判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ソフトウェア更新方法。
9. 車両に備えられたソフトウェア更新装置のコンピューターに実行させるソフトウェア更新プログラムであって、
   センタに更新データのダウンロードを要求する通信ステップと、
   前記ダウンロードした前記更新データを保存する記憶ステップと、
   前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御ステップと、
   前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定ステップと、を含み、
   前記制御ステップでは、前記判定ステップにおける判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ソフトウェア更新プログラム。
10. 請求項１～７のいずれかに記載のソフトウェア更新装置を備える、車両。
11. 車両に備えられたＯＴＡマスタであって、
    センタに更新データのダウンロードを要求する通信部と、
    前記ダウンロードした前記更新データを保存する記憶部と、
    前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御部と、
    前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定部と、を備え、
    前記制御部は、前記判定部の判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ＯＴＡマスタ。
12. 車両に備えられたＯＴＡマスタのコンピューターが実行するソフトウェア更新方法であって、
    センタに更新データのダウンロードを要求する通信ステップと、
    前記ダウンロードした前記更新データを保存する記憶ステップと、
    前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御ステップと、
    前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定ステップと、を含み、
    前記制御ステップでは、前記判定ステップにおける判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ソフトウェア更新方法。
13. 車両に備えられたＯＴＡマスタのコンピューターに実行させるソフトウェア更新プログラムであって、
    センタに更新データのダウンロードを要求する通信ステップと、
    前記ダウンロードした前記更新データを保存する記憶ステップと、
    前記更新データに基づいて、車載ネットワークを介して接続する複数の電子制御ユニットのうち１つ以上のターゲット電子制御ユニットに更新ソフトウェアをインストールあるいは前記インストールおよびアクティベートする制御を実行する制御ステップと、
    前記車両が停止しており、かつ、前記車両の周辺に人および物がないこと、もしくは前記車両の周辺に人および物の前記車両に近づく動きがないこと、を検知することにより、前記車両が停止した状態を維持することができるか否かを判定する判定ステップと、を含み、
    前記制御ステップでは、前記判定ステップにおける判定結果が肯定である場合に、前記ターゲット電子制御ユニットの動作が制限されてから、前記インストールあるいは前記インストールおよび前記アクティベートする制御を実行する、ソフトウェア更新プログラム。

Images