JP7420025B2

JP7420025B2 - プログラムの更新方法および更新システム

Info

Publication number: JP7420025B2
Application number: JP2020149758A
Authority: JP
Inventors: 正倫藤井
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2020-09-07
Filing date: 2020-09-07
Publication date: 2024-01-23
Anticipated expiration: 2040-09-07
Also published as: JP2022044229A; CN114153474A; US11941388B2; US20220075612A1

Description

本開示は、プログラムの更新方法および更新システムに関する。

たとえば、制御装置等のプログラムを更新する場合において、更新プログラム（新ファイル）の全データを更新対象の制御装置に送信するのではなく、更新プログラムとベースとなるプログラム（旧ファイル）との差分データを生成し、当該差分データを更新対象の制御装置に送信する方法が知られている。差分データの生成手法としては、たとえば、特開２００３－３３７７２３号公報（特許文献１）に、新ファイルの先頭から所定データ単位（たとえば１バイト単位）にデータを旧ファイルと順次比較して、差分データを生成する手法が開示されている（特許文献１参照）。

特開２００３－３３７７２３号公報特開２０２０－２７６２５号公報特開２０１９－６１６９０号公報

ここで、旧ファイルの全範囲を対象として検索対象のデータ（検索対象データ）を検索すると、処理に多大な時間を要してしまう可能性がある。そこで、旧ファイルに対して検索範囲を設定する場合がある。検索範囲は、旧ファイルにおいて、たとえば、検索対象データの新ファイル上のアドレスよりも後方のアドレスに重点を置いて設定されることがある。そうすると、たとえばプログラム追加が行なわれた場合に、自身よりも前方のアドレスにプログラムが追加されたことに起因して、新ファイルにおいて、旧ファイルにおけるアドレスよりも後方に位置することになるデータが存在し得る。換言すれば、このようなデータは、旧ファイルにおいて、新ファイルにおけるアドレスよりも前方に位置しているため、検索対象から外れ、差分として抽出されてしまう。このようなデータが多数存在すると、差分データの容量が大きくなり、プログラムの更新に要する時間が増加してしまう可能性がある。

本開示は、上記課題を解決するためになされたものであり、その目的は、差分データを用いたプログラムの更新において、差分データの容量増加を抑制することである。

この開示に係るプログラムの更新方法は、第１プログラムと第２プログラムとの差分データを第１装置から第２装置へ送信し、上記差分データに基づいて第２装置に実装された制御プログラムを第２プログラムに更新するプログラムの更新方法である。この更新方法は、第１装置において、第１プログラムを取得するステップと、第２プログラムを取得し、検索範囲を対象として、検索単位に分割された検索対象データが第１プログラムに含まれているかを検索するステップと、検索対象データが第１プログラムに含まれている場合には、当該検索対象データを差分として抽出せず、検索対象データが第１プログラムに含まれていない場合には、当該検索対象データを差分として抽出して差分データを生成するステップと、生成された差分データを第２装置へ出力するステップとを含む。検索範囲は、第１プログラムにおいて、第２プログラムの検索対象データと同じアドレスより前方のアドレスに位置するデータよりも、後方のアドレスに位置するデータを多く含むように設定される。第１プログラムの先頭領域には、プログラムとしてのデータが含まれないオフセット領域が設けられている。

この開示の他の局面に係る更新システムは、第１プログラムと第２プログラムとの差分データを更新対象装置に送信し、上記差分データに基づいて更新対象装置に実装された制御プログラムを第２プログラムに更新する更新システムである。更新システムは、第１プログラムを記憶する第１記憶装置と、第２プログラムを記憶する第２記憶装置と、上記差分データを生成して更新対象装置に送信する差分抽出装置とを備える。差分抽出装置は、第１記憶装置および第２記憶装置から第１プログラムおよび第２プログラムをそれぞれ取得し、検索単位毎に、検索範囲を対象として、第２プログラムの検索対象データが第１プログラムに含まれているかを検索し、検索対象データが第１プログラムに含まれている場合には、当該検索対象データを差分として抽出せず、検索対象データが第１プログラムに含まれていない場合には、当該検索対象データを差分として抽出して差分データを生成する。検索範囲は、第１プログラムにおいて、第２プログラムの検索対象データと同じアドレスより前方のアドレスに位置するデータよりも、後方のアドレスに位置するデータを多く含むように設定される。第１プログラムの先頭領域には、プログラムとしてのデータが含まれないオフセット領域が設けられている。

上記構成によれば、検索範囲は、第１プログラムにおいて、第２プログラムの検索対象データと同じアドレスより前方のアドレスに位置するデータよりも、後方のアドレスに位置するデータを多く含むように設定される。そして、第１プログラムの先頭領域には、プログラムとしてのデータが含まれないオフセット領域が設けられている。オフセット領域が設けられることにより、たとえば、プログラム追加が行なわれ、これに起因してアドレスが変更されたデータがあった場合にも、第２プログラムにおける当該データのアドレスが、第１プログラムにおける当該データのアドレスよりも後方に位置することが抑制される。それゆえに、当該データを検索する場合の検索範囲に、当該データを含めることができる。よって、検索対象データが差分として抽出されることを抑制でき、差分データの容量が増加することを抑制することができる。

ある実施の形態においては、第１プログラムは、制御プログラムを更新するために第２装置に実装されているプログラムであり、かつ、更新されることがないプログラムである。

上記構成によれば、差分データの生成において、更新されることがないプログラムである第１プログラムが用いられるため、処理が複雑化することを抑制することができる。

ある実施の形態においては、上記制御プログラムは、第１プログラムである。第１プログラムは、第２プログラムの１つ前のバージョンのプログラムである。

上記構成によれば、差分データは、第２プログラムの１つ前のバージョンである第１プログラムと、第２プログラムとの差分である。そのため、差分データは、１回の更新分の容量であるので、差分データの容量を比較的小さくすることができる。

ある実施の形態においては、第１プログラムは、第２プログラムの１つ前のバージョンのプログラムであり、第１プログラムから第２プログラムへの更新にデータの追加が含まれる場合には、第２プログラムにおいて、オフセット領域を縮小するように上記データが追加される。

上記構成によれば、プログラムの更新によってデータが追加される場合に、第２プログラムにおいて、オフセット領域を縮小するように上記データが追加される。オフセット領域を縮小するようにデータが追加されることにより、第２プログラムにおいて、追加されたデータが位置することになるアドレスより後方のアドレスに位置しているデータのアドレスは変更されない。また、第２プログラムにおいて、追加されたデータが位置することになるアドレスより前方のアドレスに位置しているデータのアドレスは、前方側へシフトする。そのため、データの追加によって、第１プログラムにおけるデータと第２プログラムにおけるデータとの対応するデータ同士において、第１プログラムにおけるデータのアドレスが、対応する第２プログラムにおけるデータのアドレスよりも前方のアドレスとなることを抑制することができる。それゆえに、プログラムの更新によってデータが追加されたとしても、検索対象データが検索範囲から外れることを抑制することができる。

ある実施の形態においては、第１プログラムおよび第２プログラムの各々は、所定のデータサイズの分割データに分割されている。分割データの容量は、検索単位よりも大きい。検索範囲は、第１プログラムにおいて、第２プログラムの検索対象データが含まれる分割データと同じアドレスに位置する分割データ、および、当該分割データよりも後方のアドレスに位置する分割データを含む。

上記構成によれば、検索範囲には、第１プログラムにおいて、第２プログラムの検索対象データが含まれる分割データと同じアドレスに位置する分割データ、および、当該分割データよりも後方のアドレスに位置する分割データが含まれる。第１プログラムの先頭領域にオフセット領域が設けられていることにより、プログラム追加が行なわれ、これに起因してアドレスが変更されたデータがあった場合にも、第２プログラムにおける当該データのアドレスが、第１プログラムにおける当該データのアドレスよりも後方に位置することが抑制される。ゆえに、検索対象のデータを検索範囲に含めることができる。よって、検索対象のデータが差分として抽出されることを抑制でき、差分データの容量が増加することを抑制することができる。

ある実施の形態においては、オフセット領域の容量は、第２装置に実装されるプログラムに対して行なわれ得る設計変更の予測に基づいて設定される。

上記構成によれば、第２装置に実装されるプログラムに対して行なわれ得る設計変更の予測に基づいて、オフセット領域の容量が設定されるため、過度なオフセット領域が設定されることを抑制することができる。

本開示によれば、差分データを用いたプログラムの更新において、差分データの容量増加を抑制することができる。

実施の形態１に係るソフトウェア更新システムの全体構成を概略的に示す図である。差分抽出の手法を説明するための図である。ロジック追加により制御プログラムが更新された場合の差分抽出を説明するための図である。制御プログラムの更新に合わせて共通プログラムが開発されるケースを説明するための図である。実施の形態１における共通プログラムを説明するための図である。差分抽出装置における差分抽出処理を説明するための機能ブロック図である。ＥＣＵにおける制御プログラムの更新処理を説明するための機能ブロック図（その１）である。共通プログラムにオフセット領域を設けることによる効果を説明するための図である。実施の形態２における制御プログラムの更新を説明するための図である。実施の形態２における制御プログラムのデータ構造を説明するための図である。ＯＴＡサーバの差分抽出処理を説明するための機能ブロック図である。ＥＣＵにおける制御プログラムの更新処理を説明するための機能ブロック図（その２）である。

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

［実施の形態１］
＜ソフトウェア更新システムの全体構成＞
図１は、実施の形態１に係るソフトウェア更新システム１の全体構成を概略的に示す図である。ソフトウェア更新システム１は、車両２００に搭載されたＥＣＵ（Electronic Control Unit）１００が実装する制御プログラムを更新するためのシステムである。なお、実施の形態１における制御プログラムの更新には、初期におけるＥＣＵ１００への制御プログラムの書き込みを含む。

ソフトウェア更新システム１は、第１サーバ１０と、第２サーバ２０と、差分抽出装置３０と、リプロツール４０とを備える。

第１サーバ１０は、ＥＣＵ１００の制御プログラムを記憶する。制御プログラムは、たとえば、ＥＣＵ１００の制御プログラムを開発する開発者によって開発され、第１サーバ１０に記憶される。第１サーバ１０に記憶される制御プログラムは、たとえば、ＥＣＵ１００が搭載される車両２００の仕向け毎（たとえば、日本国内、欧州、北米、中国等）に用意される（制御プログラムＡ，Ｂ，Ｃ，・・・）。本実施の形態においては、一例として、たとえば、車両２００に日本国内向けの制御プログラム（以下、単に「制御プログラム」とも称する）が実装される例について説明する。

また、第１サーバ１０は、制御プログラムと紐付けられた属性情報を記憶する。属性情報には、当該制御プログラムを実装する対象となるＥＣＵを識別するための識別情報が含まれる。

第２サーバ２０は、車両２００の仕向けにかかわらず、ＥＣＵ１００に共通して使用される共通プログラムを記憶する。共通プログラムは、たとえば、ＥＣＵ１００の共通プログラムを開発する開発者によって開発され、第２サーバ２０に記憶される。共通プログラムは、たとえば、制御プログラムＡ，Ｂ，Ｃ，・・・のうちのいずれかの制御プログラムをベースにして開発される。

図１に示されるように、共通プログラムは、ＥＣＵを製造するＥＣＵ工場において、ＥＣＵ１００に書き込まれる。共通プログラムのＥＣＵ１００への書き込みには、たとえば、不図示の書き込みツールが用いられる。

ＥＣＵ工場において共通プログラムが書き込まれたＥＣＵ１００は、車両の組み立て工場に搬送され、車両の組み立て工場において車両２００に搭載される。詳細は後述するが、車両の組み立て工場において、車両２００に搭載された状態で制御プログラムがＥＣＵ１００に書き込まれる。

差分抽出装置３０は、共通プログラムと制御プログラムとの差分を抽出し、差分データを生成する。差分抽出装置３０は、第１サーバ１０から制御プログラムを取得する。また、差分抽出装置３０は、第２サーバ２０から共通プログラムを取得する。差分抽出装置３０は、共通プログラムと制御プログラムとを比較し、その差分データを抽出する。差分抽出装置３０は、生成された差分データをリプロツール４０に出力する。なお、差分データの生成手法の詳細については後述する。

また、差分抽出装置３０は、第１サーバ１０から、制御プログラムとともに、属性情報を取得する。差分抽出装置３０は、生成された差分データとともに、属性情報をリプロツール４０に出力する。

リプロツール４０は、たとえば、車両の組み立て工場に設置されている。リプロツール４０は、差分抽出装置３０と通信可能に構成され、差分抽出装置３０から差分データおよび属性情報を取得する。また、リプロツール４０は、車両２００と通信可能に構成される。リプロツール４０と車両２００との通信は、有線による通信であっても、無線による通信であってもかまわない。

リプロツール４０は、差分抽出装置３０から差分データおよび属性情報を取得すると、属性情報に基づいて制御プログラムを書き込む対象となるＥＣＵ１００を搭載した車両２００を特定する。そして、リプロツール４０は、特定した車両２００に差分データを出力する。

車両２００は、リプロツール４０から差分データを受信すると、受信された差分データをＥＣＵ１００に出力する。

ＥＣＵ１００は、ＣＰＵ（Central Processing Unit）と、メモリと、入出力ポートとを含む（いずれも図示せず）。メモリは、ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）を含む。ＲＯＭには、ＣＰＵにより実行される制御プログラム、および、ＥＣＵ工場において実装された共通プログラムが記憶される。ＣＰＵは、ＲＯＭに格納されているプログラムをＲＡＭに展開して実行する。

ＥＣＵ１００は、差分データを受信すると、差分データと共通プログラムとを用いて、制御プログラムを復元する。ＥＣＵ１００は、制御プログラムを復元すると、復元された制御プログラムをメモリ（ＲＯＭ）に記憶する。

ここで、車両の組み立て工場において、車両２００のＥＣＵ１００への制御プログラムの書き込み（あるいは制御プログラムの更新）は、タクトタイム内に完了されることが求められる。たとえば、差分データの容量が大きいと、タクトタイム内でのＥＣＵ１００への制御プログラムの書き込み（あるいは制御プログラムの更新）が完了できない可能性がある。以下、差分データが大きくなるケースについて、具体的に説明する。

図２は、差分抽出の手法を説明するための図である。まず、図２を参照しながら、差分抽出の手法について説明する。図２に示されるように、共通プログラムは、第１の所定データサイズにブロック分けされた分割データＡ１～Ａｘ（ｘ：自然数）で構成されている。共通プログラム（分割データＡ１～Ａｘ）は、第２サーバ２０から一括して差分抽出装置３０に読み出される。なお、以下では、第１の所定データサイズにブロック分けされた分割データＡ１～Ａｘを「ブロックＡ１～Ａｘ」とも称する。

また、制御プログラムも、共通プログラムと同様に、第１の所定データサイズにブロック分けされた分割データＢ１～Ｂｙ（ｙ：自然数）で構成されている。制御プログラムは、第１サーバ１０から、たとえば分割データ単位（ブロック単位）に順次、差分抽出装置３０に読み出される。なお、以下では、第１の所定データサイズにブロック分けされた分割データＢ１～Ｂｙを「ブロックＢ１～Ｂｙ」とも称する。

差分抽出装置３０は、順次取得する制御プログラムの分割データＢ１～Ｂｙを、一括して取得した共通プログラムの分割データＡ１～Ａｘと比較して、差分を抽出して差分データを生成する。

より具体的には、差分抽出装置３０は、順次取得する制御プログラムの分割データから第２の所定データサイズ単位に、データ（検索対象データ）が共通プログラムに含まれているかを検索する。なお、第２の所定データサイズは、ブロックのデータサイズ（第１の所定データサイズ）よりも小さいデータサイズである。差分抽出装置３０は、検出できなかったデータを、更新されたデータ（追加あるいは変更されたデータ）として認識し、差分として抽出する。差分抽出装置３０は、検出できたデータを、既存のデータとして認識し、差分として抽出しない。

たとえば、差分抽出装置３０は、図２に示される制御プログラムのブロックＢ３のデータＬ（第２の所定データサイズ）が、共通プログラム（分割データＡ１～Ａｘ）に含まれるかを検索し、共通プログラムにデータＬと一致するデータがなかった場合に、データＬを差分として抽出する。

ここで、検索対象データ（たとえばデータＬ）を、たとえば、共通プログラムの全範囲（分割データＡ１～Ａｘ）から検出するようにすると、検索対象データが既存のデータであるかを正確に検索できる一方で、処理に多大な時間を要し、処理の遅延を招いてしまう。そこで、検索精度と処理時間とを適度に両立させながら差分を抽出するために、検索対象データの検索範囲が定められている。検索範囲は、たとえば、共通プログラムにおいて、検索対象データが含まれる制御プログラムのブロック（Ｂ１～Ｂｙのいずれか）のアドレスに対応するブロック（Ａ１～Ａｘのいずれか）および当該ブロックの後方に連続する所定数のブロック（たとえば３ブロック等）を含むように設定される。上記の所定数は、検索精度と処理時間との観点から適宜設定することができる。

具体例を用いて説明すると、たとえば、ブロックＢ３のデータＬを検索する場合であれば、共通プログラムにおいて、データＬが含まれるブロックＢ３のアドレスに対応するブロックであるブロックＡ３、およびブロックＡ３の後方に連続する所定数のブロック（たとえば、所定数が３であれば、ブロックＡ４～Ａ６）が検索範囲に設定される（すなわち、ブロックＡ３～Ａ６が検索範囲に設定される）。データＬを検索する場合には、データＬが、ブロックＡ３の先頭アドレスに位置するデータから、たとえばブロックＡ６の最終アドレスのデータまでの各データと比較される。このように、検索対象データが含まれるブロック（たとえばブロックＢ３）のアドレスに対応するブロック（たとえばブロックＡ３）よりも後方に重点をおいて検索範囲が設定されるのは、ＥＣＵ１００における制御プログラムの復元を容易にするためである。

上記のように検索範囲が設定されると、共通プログラムにおいて、ブロックＡ３または／およびブロックＡ４にデータＬが含まれている場合には、ブロックＡ３およびブロックＡ４が検索範囲に含まれているため、データＬは、既存データとして検出される。すなわち、データＬは、差分として抽出されない。

しかしながら、共通プログラムにおいて、ブロックＡ３以降のブロックにデータＬが含まれず、ブロックＡ３よりも前方のアドレスのブロック（たとえばブロックＡ２）にデータＬが含まれるような場合には、ブロックＡ３よりも前方のアドレスのブロックが検索範囲外であるため、データＬは、既存データとして検出されず、差分として抽出されてしまう。このようなケースは、たとえば、設計変更（特にロジック追加）による制御プログラムの更新によって生じ得る。

なお、検索範囲は、共通プログラムにおいて、検索対象データが含まれる制御プログラムのブロック（Ｂ１～Ｂｙのいずれか）のアドレスに対応するブロック（Ａ１～Ａｘのいずれか）よりも後方に重点が置かれればよく、たとえば、共通プログラムにおいて、検索対象データが含まれる制御プログラムのブロック（Ｂ１～Ｂｙのいずれか）のアドレスに対応するブロック（Ａ１～Ａｘのいずれか）の前方のブロックおよび当該ブロックの後方に連続する所定数のブロック（たとえば３ブロック等）を含むように設定されてもよい。上記の具体例でいえば、ブロックＢ３のデータＬを検索する場合であれば、共通プログラムにおいて、データＬが含まれるブロックＢ３のアドレスに対応するブロックであるブロックＡ３の前方のブロックであるブロックＡ２、およびブロックＡ２の後方に連続する所定数のブロック（たとえば、所定数が３であれば、ブロックＡ３～Ａ５）が検索範囲に設定される（すなわち、ブロックＡ２～Ａ５が検索範囲に設定される）。

図３は、ロジック追加により制御プログラムが更新された場合の差分抽出を説明するための図である。図３に示されるように、たとえば、制御プログラムの更新により、制御プログラムに第１追加データおよび第２追加データが追加されたものとする。第１追加データおよび第２追加データの追加によって、たとえば、更新前にはブロックＢｎに含まれていたデータＥが、更新後にブロックＢｍに含まれるようになっている。一方、制御プログラムが更新されても共通プログラムは更新されないため、共通プログラムにおいては、データＥは、ブロックＢｎに対応するブロックＡｎに含まれている。

データＥの検索における検索範囲は、データＥが含まれるブロックＢｍのアドレスに対応するブロックＡｍおよびブロックＡｍの後方に連続する所定数のブロックである。つまり、データＥの検索において、ブロックＡｎは検索範囲に含まれないため、データＥが既存データとして認識されず、データＥが差分として抽出されてしまう。そのため、データＥが既存データとして認識される場合に比べ、差分データの容量が大きくなってしまい得る。

上記への対策として、たとえば、更新後の制御プログラムをベースに、新たに共通プログラムを開発することが考えられる。図４は、制御プログラムの更新に合わせて共通プログラムが開発されるケースを説明するための図である。

まず、図４に示されるように、制御プログラムＶｅｒ．１が開発されて第１サーバ１０に記憶されているものとする。そして、制御プログラムＶｅｒ．１をベースに共通プログラムＶｅｒ．１が開発されて第２サーバ２０に記憶されているものとする。この場合には、差分抽出装置３０は、共通プログラムＶｅｒ．１と制御プログラムＶｅｒ．１との差分を抽出し、差分データを生成する。

次いで、制御プログラムＶｅｒ．１に設計変更が加えられ、制御プログラムＶｅｒ．１から制御プログラムＶｅｒ．２に更新されたものとする。図４に示す例においては、制御プログラムＶｅｒ．２をベースにして、新たに共通プログラムＶｅｒ．２が開発される。差分抽出装置３０は、共通プログラムＶｅｒ．２と制御プログラムＶｅｒ．２との差分を抽出し、差分データを生成する。新たに共通プログラムＶｅｒ．２を開発することにより、差分データの容量を、設計変更前の差分データ（共通プログラムＶｅｒ．１と制御プログラムＶｅｒ．１との差分に基づく差分データ）の容量と同程度にすることができる。

しかしながら、この場合には、制御プログラムが更新される毎に共通プログラムの開発が必要となるため、開発コストが増加してしまう。制御プログラムが更新された場合において、開発コストを増加させることなく、差分データの容量の増加を抑制することが望まれる。

そこで、実施の形態１に係るソフトウェア更新システム１においては、共通プログラムの先頭領域にオフセット領域を設ける。これにより、制御プログラムが更新されたとしても、共通プログラムを新たに開発することなく、差分データの容量の増加を抑制することができる。すなわち、共通プログラムの先頭領域にオフセット領域を設けることにより、制御プログラムが更新されても、初期に開発された共通プログラム（Ｖｅｒ．１）の流用が可能となる。以下、具体的に説明する。

図５は、実施の形態１における共通プログラムを説明するための図である。図５に示されるように、共通プログラムの先頭領域には、オフセット領域が設けられる。オフセット領域は、たとえば、制御プログラムとしてのデータが含まれないブランクの領域である。あるいは、オフセット領域は、制御プログラムとして機能しないダミーデータが含まれる領域であってもよい。

オフセット領域が設けられることにより、初期の制御プログラム（Ｖｅｒ．１）と、初期の制御プログラムをベースに開発された共通プログラム（Ｖｅｒ．１）とにおいて、対応するデータ同士のアドレスが異なる。具体的には、オフセット領域が設けられることにより、たとえば、共通プログラムにおけるデータＥのアドレスは、制御プログラムにおけるデータＥのアドレスよりも後方のアドレスとなる。そのため、制御プログラムの更新により、たとえば第１追加データおよび第２追加データが追加され、制御プログラムにおけるデータＥのアドレスが後方にシフトしたとしても、データＥの検索において、データＥが含まれる共通プログラムのブロックを検索範囲に含めることができる。ゆえに、データＥは、既存データとして認識され、差分として抽出されない。よって、データＥが差分として抽出される場合に比べ、差分データの増加を抑制することができる。

オフセット領域は、たとえば、制御プログラムの開発において行なわれ得る設計変更の予測に基づいて、その領域（容量）が定められる。たとえば、オフセット領域は、３ブロック分の領域等に設定される。オフセット領域の設定には、たとえば、車両２００のモデルライフが考慮されてもよい。

図６は、差分抽出装置３０における差分抽出処理を説明するための機能ブロック図である。差分抽出装置３０は、共通プログラム取得部３１と、制御プログラム取得部３３と、差分抽出部３５と、出力部３７とを含む。

共通プログラム取得部３１は、第２サーバ２０から共通プログラムを取得する。具体的には、共通プログラム取得部３１は、第２サーバ２０から、第１の所定データサイズにブロック分けされた共通プログラムの分割データＡ１～Ａｘを一括して取得する。共通プログラム取得部３１は、取得された共通プログラムを差分抽出部３５に出力する。

制御プログラム取得部３３は、第１サーバ１０から共通プログラムを取得する。具体的には、制御プログラム取得部３３は、第１サーバ１０から、第１の所定データサイズにブロック分けされた制御プログラムの分割データＢ１～Ｂｙを順次取得する。制御プログラム取得部３３は、分割データＢ１～Ｂｙを受信する毎に、受信された分割データＢ１～Ｂｙを差分抽出部３５に出力する。

また、制御プログラム取得部３３は、第１サーバ１０から、制御プログラムと紐付けられた属性情報を受信する。制御プログラム取得部３３は、受信された属性情報を出力部３７に出力する。

差分抽出部３５は、共通プログラムの分割データＡ１～Ａｘを参照しながら、分割データＡ１～Ａｘと、順次受信する制御プログラムの分割データＢ１～Ｂｙとの差分を抽出し、差分データを生成する。差分抽出部３５は、たとえば、制御プログラムの分割データＢｎを受信すると、分割データＢｎに含まれる第２の所定データサイズ（検索対象データ）毎に、検索対象データが検索範囲内の共通プログラムの分割データＡ１～Ａｘに含まれているかを検索する。差分抽出部３５は、検索対象データが検索範囲内の分割データＡ１～Ａｘに含まれていなかった場合には、当該検索対象データを差分として抽出する。差分抽出部３５は、検索対象データが検索範囲内の分割データＡ１～Ａｘに含まれていた場合には、当該検索対象データを既存データとして認識し、差分データとして抽出しない。

出力部３７は、差分抽出部３５から差分データを受ける。また、出力部３７は、制御プログラム取得部３３から属性情報を受ける。出力部３７は、差分データに属性情報を紐付けて、差分データおよび属性情報をリプロツール４０に出力する。

なお、差分データおよび属性情報を取得したリプロツール４０は、属性情報に基づいて、当該差分データを出力する対象（当該差分データを用いて制御プログラムを書き込む対象）となるＥＣＵ１００を搭載した車両２００を特定する。リプロツール４０は、特定された車両２００に差分データを出力する。

図７は、ＥＣＵ１００における制御プログラムの更新処理を説明するための機能ブロック図である。ＥＣＵ１００は、差分データ取得部１０１と、共通プログラム読み出し部１０３と、差分展開部１０５と、プログラム記憶部１０７とを含む。

差分データ取得部１０１は、リプロツール４０を介して差分データを取得する。差分データ取得部１０１は、取得された差分データを差分展開部１０５に出力する。

共通プログラム読み出し部１０３は、たとえば、ＥＣＵ工場においてＥＣＵ１００のメモリに記憶された共通プログラムをメモリから読み出す。共通プログラムは、第１の所定データサイズにブロック分けされた分割データＡ１～Ａｘとして読み出される。共通プログラム読み出し部１０３は、読み出された分割データＡ１～Ａｘを差分展開部１０５に出力する。

差分展開部１０５は、分割データＡ１～Ａｘを参照しながら、差分データを解読して制御プログラムを復元させる。差分展開部１０５は、復元された制御プログラムをプログラム記憶部１０７に出力する。

プログラム記憶部１０７は、受信した制御プログラムをＥＣＵ１００のメモリに記憶させる。これにより、ＥＣＵ１００の制御プログラムが更新される（初回時には書き込まれる）。

図８は、共通プログラムにオフセット領域を設けることによる効果を説明するための図である。図８には、制御プログラムの設計変更の回数と、差分データの容量との関係を示す実験データが示されている。この実験においては、設計変更により制御プログラムが更新された場合にも、初期の制御プログラムをベースに開発された共通プログラムが流用された。

図８における実線Ｌ１は、共通プログラムにオフセット領域を設けなかった場合の、制御プログラムの設計変更の回数と、差分データの容量との関係を示す。実線Ｌ２は、共通プログラムの先頭領域にオフセット領域を設けた場合の、制御プログラムの設計変更の回数と、差分データの容量との関係を示す。

たとえば、３回目の設計変更に着目すると、共通プログラムにオフセット領域を設けなかった場合の差分データの容量はＤ２であり、共通プログラムの先頭領域にオフセット領域を設けた場合の差分データの容量はＤ１（＜Ｄ２）である。容量Ｄ１と容量Ｄ２との差は、検索対象データの検索において、プログラム追加等に起因して、検索対象データが検索範囲から外れたことによる増加分である。すなわち、共通プログラムの先頭領域にオフセット領域を設けることによって、共通プログラムにオフセット領域を設けなかった場合に比べ、差分データの容量をＤ２－Ｄ１だけ小さくすることができている。本実験においては、容量Ｄ１と容量Ｄ２との差（Ｄ２－Ｄ１）は、制御プログラムの容量に対して、おおよそ数％程度に相当した。

４回目の設計変更に着目すると、共通プログラムの先頭領域にオフセット領域を設けた場合には、実線Ｌ２で示されるように、３回目の設計変更時から容量がΔＤａ（＝Ｄ３－Ｄ１）だけ増加している。この容量の増加量ΔＤａは、４回目の設計変更によって追加されたプログラムの容量分とおおよそ等しかった。

一方、共通プログラムにオフセット領域を設けなかった場合には、３回目から４回目の設計変更にかけて、差分データが顕著に増加している。具体的には、共通プログラムにオフセット領域を設けなかった場合には、実線Ｌ１で示されるように、３回目の設計変更時から容量がΔＤｂ（＝Ｄ４－Ｄ２）だけ増加している。この容量の増加量ΔＤｂは、４回目の設計変更によって追加されたプログラムの容量分を大きく上回った。

４回目の設計変更における、共通プログラムの先頭領域にオフセット領域を設けた場合の差分データの容量Ｄ３と、共通プログラムの先頭領域にオフセット領域を設けなかった場合の差分データの容量Ｄ４との容量差ΔＤｃ（＝Ｄ４－Ｄ３）は、制御プログラムの容量に対して、おおよそ数％～１０数％程度に相当した。実験結果より、制御プログラムの設計変更の回数が増え、制御プログラムへのプログラム追加量が増加した場合にも、共通プログラムの先頭領域にオフセット領域を設けることにより、差分データの増加を抑制することができていることが理解される。

以上のように、実施の形態１に係るソフトウェア更新システム１においては、共通プログラムの先頭領域にオフセット領域が設けられる。共通プログラムの先頭領域にオフセット領域が設けられることにより、初期の制御プログラムと、初期の制御プログラムをベースに開発された共通プログラムとの対応するデータ同士において、共通プログラムにおけるデータのアドレスが、対応する制御プログラムにおけるデータのアドレスよりも後方のアドレスとなる。それゆえに、制御プログラムの更新により制御プログラムにプログラムが追加されたとしても、検索範囲を外れる程度に、共通プログラムにおけるデータのアドレスが、対応する制御プログラムにおけるデータのアドレスよりも前方のアドレスとなることが抑制される。ゆえに、既存データとして認識され得るデータが、検索範囲から外れることにより既存データとして認識されず、差分として抽出されることを抑制することができる。これにより、差分データの増加を抑制することができる。

また、実施の形態１に係るソフトウェア更新システム１においては、差分データの生成に、更新されることがない共通プログラムが用いられる。そのため、差分データの生成において、制御プログラムとの比較対象が変更される場合に比べ、処理が複雑化することを抑制することができる。

［実施の形態２］
実施の形態１では、ＥＣＵ１００の制御プログラムにおいて、更新されることがない共通プログラムと、制御プログラム（更新プログラム）との差分を抽出して差分データを生成し、当該差分データを用いて制御プログラムが更新された。実施の形態２では、現行の制御プログラム（たとえばＶｅｒ．１）と、設計変更された新たな制御プログラム（たとえばＶｅｒ．２）との差分を抽出して差分データを生成し、当該差分データを用いて制御プログラムが更新される例について説明する。

図９は、実施の形態２における制御プログラムの更新を説明するための図である。実施の形態２においては、市場に流通する車両２００（ＥＣＵ１００）の制御プログラムを、所謂ＯＴＡ（Over The Air）により更新するケースを例にして説明する。

ＯＴＡサーバ３００は、車両２００の制御プログラムの更新プログラムが開発された場合に、インターネット等の通信ネットワークを介して、車両２００に更新プログラムを配信する。

ＯＴＡサーバ３００は、ＥＣＵ１００の現行の制御プログラムを記憶している。ＯＴＡサーバ３００は、制御プログラムの設計変更があり、制御プログラムが更新（開発）されると、現行の制御プログラムに加えて、当該更新された制御プログラム（更新プログラム）を記憶する。そして、ＯＴＡサーバ３００は、現行の制御プログラム（たとえば制御プログラムＶｅｒ．１）と、更新プログラム（たとえば制御プログラムＶｅｒ．２）との差分を抽出して差分データを生成する。ＯＴＡサーバ３００は、更新プログラムの適用対象であるＥＣＵ１００を搭載した車両２００に差分データを出力する。そして、ＥＣＵ１００の制御プログラムの更新が完了すると、ＯＴＡサーバ３００は、現行の制御プログラム（制御プログラムＶｅｒ．１）に更新プログラム（制御プログラムＶｅｒ．２）を上書きし、更新プログラム（制御プログラムＶｅｒ．２）を現行の制御プログラムとして記憶する。

図１０は、実施の形態２における制御プログラムのデータ構造を説明するための図である。図１０には、（ａ）初期の制御プログラムのデータ構造、（ｂ）１回目の設計変更が行なわれた（１回目の更新が行なわれた）制御プログラムのデータ構造、および、（ｃ）２回目の設計変更が行なわれた制御プログラムのデータ構造が示されている。なお、実施の形態２における初期の制御プログラムとは、たとえば、車両２００の工場出荷時にＥＣＵ１００に実装されている制御プログラムである。

初期の制御プログラムの先頭領域には、実施の形態１と同様に、オフセット領域が設けられている。実施の形態２におけるオフセット領域についても、実施の形態１と同様に、たとえば、設計変更の予測に基づいて、その領域（容量）が定められる。

たとえば、１回目の設計変更において、制御プログラムに第１追加データが追加されたものとする。より具体的には、第１追加データがデータＤとデータＥとの間に追加されたものとする。この場合、制御プログラムには、オフセット領域を縮小するように、第１追加データが追加される。より具体的には、図１０に示されるように、データＥのアドレスは変更せずに、データＥの前方の領域に第１追加データを追加する。これにより、データＡ～Ｄのアドレスが前方のアドレスに移動され、オフセット領域が縮小される。

このようにして第１追加データが追加されるようにすれば、初期の制御プログラムと、１回目の設計変更が行なわれた制御プログラムとの差分を検索する場合において、追加された第１追加データより前の領域に位置するデータＡ～Ｄを適切に検索できるとともに、第１追加データよりも後の領域に位置するデータＥ～Ｉも適切に検索できる。

具体的には、たとえば、データＡに着目すると、１回目の設計変更が行なわれた制御プログラムにおけるデータＡのアドレスは、初期の制御プログラムにおけるデータＡのアドレスよりも前方に位置するアドレスとなっている。そのため、データＡの検索範囲に、初期プログラムにおけるデータＡが含まれる。ゆえに、データＡの検索により、データＡが既存データとして認識され、データＡについては「差分なし」として判断される。

また、たとえば、データＥに着目すると、１回目の設計変更が行なわれた制御プログラムにおけるデータＥのアドレスは、初期の制御プログラムにおけるデータＥと同じアドレスとなっている。そのため、データＥの検索範囲に、初期プログラムにおけるデータＥが含まれる。ゆえに、データＥの検索により、データＥが既存データとして認識され、データＥについては「差分なし」として判断される。

仮に、制御プログラムの先頭領域にオフセット領域が設けられていない場合には、第１追加データの追加によって、１回目の設計変更が行なわれた制御プログラムにおけるデータＥ～Ｉのアドレスは、それぞれ、初期の制御プログラムにおけるデータＥ～Ｉよりも後方に位置するアドレスとなってしまう。ゆえに、たとえば、データＥを検索する場合に、データＥの検索範囲に初期プログラムにおけるデータＥが含まれず、データＥを差分として抽出してしまう場合が生じ得る。そうすると、差分データの容量の増加を招き、通信回線のトラフィックの増加を招いたり、制御プログラムの更新時間の増加を招いたりしてしまう。制御プログラムの先頭領域にオフセット領域を設けることにより、制御プログラムの先頭領域にオフセット領域を設けない場合に比べ、差分データの容量の増加を抑制することができ、ひいては、通信回線のトラフィックの低減および制御プログラムの更新時間の短縮を図ることができる。

また、２回目の設計変更において、データＢとデータＣとの間に第２追加データが追加された場合においても、１回目の設計変更時と同様に、制御プログラムには、オフセット領域を縮小するように、第２追加データが追加される。つまり、データＣのアドレスは変更せずに、データＣの前方の領域に第２追加データが追加される。これにより、データＡ，Ｂのアドレスが前方のアドレスに移動され、オフセット領域が縮小される。

図１１は、ＯＴＡサーバ３００の差分抽出処理を説明するための機能ブロック図である。ＯＴＡサーバ３００は、更新プログラム取得部３０１と、現行プログラム取得部３０３と、差分抽出部３０５と、出力部３０７と、記憶部３０９とを含む。

更新プログラム取得部３０１は、更新された制御プログラム（更新プログラム）を、更新プログラムが記憶されたサーバから取得する。更新プログラムも、実施の形態１で説明した制御プログラムと同様に、第１の所定データサイズにブロック分けされている。更新プログラム取得部３０１は、サーバから、第１の所定データサイズにブロック分けされた更新プログラムの分割データＤ１～Ｄｗ（ｗ：自然数）を順次取得する。更新プログラム取得部３０１は、分割データＤ１～Ｄｗを取得する毎に、取得された分割データＤ１～Ｄｗを差分抽出部３０５および記憶部３０９に出力する。

また、更新プログラム取得部３０１は、サーバから、更新プログラムと紐付けられた属性情報を取得する。更新プログラム取得部３０１は、取得された属性情報を現行プログラム取得部３０３および出力部３０７に出力する。

現行プログラム取得部３０３は、属性情報に基づいて、更新プログラムの適用対象となるＥＣＵを特定する。現行プログラム取得部３０３は、たとえば、更新プログラムの適用対象が車両２００のＥＣＵ１００であると特定する。現行プログラム取得部３０３は、現在、車両２００のＥＣＵ１００に実装されている制御プログラム（現行の制御プログラム）を、たとえば、不図示の記憶装置から取得する。制御プログラムは、実施の形態１で説明した制御プログラムと同様に、第１の所定データサイズにブロック分けされている。現行プログラム取得部３０３は、記憶装置から、第１の所定データサイズにブロック分けされた現行プログラムの分割データＣ１～Ｃｚ（ｚ：自然数）を一括して取得する。現行プログラム取得部３０３は、取得された現行プログラムを差分抽出部３０５に出力する。なお、現行の制御プログラムがＯＴＡサーバ３００の外部のサーバ（図示せず）に記憶されている場合には、現行プログラム取得部３０３は、現行の制御プログラムが記憶されたサーバから現行プログラムを取得するように構成されればよい。

差分抽出部３０５は、現行プログラムの分割データＣ１～Ｃｚを参照しながら、分割データＣ１～Ｃｚと、順次受信する更新プログラムの分割データＤ１～Ｄｗとの差分を抽出し、差分データを生成する。差分抽出部３０５は、生成された差分データを出力部３０７に出力する。

出力部３０７は、差分抽出部３０５から差分データを受ける。また、出力部３０７は、更新プログラム取得部３０１から属性情報を受ける。出力部３０７は、属性情報により特定されるＥＣＵ１００を搭載する車両２００に差分データを送信する。

記憶部３０９は、更新プログラム取得部３０１によって取得された更新プログラムを、現行のプログラムとして記憶装置に記憶させる。

図１２は、ＥＣＵ１００における制御プログラムの更新処理を説明するための機能ブロック図である。ＥＣＵ１００は、差分データ取得部１１１と、現行プログラム読み出し部１１３と、差分展開部１１５と、プログラム記憶部１１７とを含む。

差分データ取得部１１１は、ＯＴＡサーバ３００から差分データを取得する。差分データ取得部１１１は、取得された差分データを差分展開部１１５に出力する。

現行プログラム読み出し部１１３は、現行の制御プログラムをメモリから読み出す。現行の制御プログラムは、第１の所定データサイズにブロック分けされた分割データとして読み出される。現行プログラム読み出し部１１３は、読み出された分割データを差分展開部１１５に出力する。

差分展開部１１５は、現行の制御プログラムの分割データを参照しながら、差分データを解読して制御プログラム（更新プログラム）を復元させる。差分展開部１１５は、復元された制御プログラムをプログラム記憶部１１７に出力する。

プログラム記憶部１１７は、差分展開部１１５から受信した制御プログラムを、現行の制御プログラムとしてＥＣＵ１００のメモリに記憶させる。これにより、ＥＣＵ１００の制御プログラムが更新される。

以上のように、実施の形態２においては、制御プログラムの先頭領域にオフセット領域が設けられる。そして、制御プログラムにプログラムが追加される際には、オフセット領域を縮小するようにプログラムが追加される。このようにプログラムが追加されることにより、プログラムの追加によって、更新前の制御プログラムにおけるデータと、更新後の制御プログラムにおけるデータとの対応するデータ同士において、更新前の制御プログラムにおけるデータのアドレスが、対応する更新後の制御プログラムにおけるデータのアドレスよりも前方のアドレスとなることを抑制することができる。それゆえに、制御プログラムの更新により制御プログラムにプログラムが追加されたとしても、検索対象データが検索範囲から外れることを抑制することができる。ゆえに、既存データとして認識され得るデータが、検索範囲から外れることにより既存データとして認識されず、差分として抽出されることを抑制することができる。これにより、差分データの増加を抑制することができる。

また、実施の形態２においては、現行の制御プログラム（たとえばＶｅｒ．１）と、設計変更された新たな制御プログラム（たとえばＶｅｒ．２）との差分を抽出して差分データが生成される。すなわち、新たな制御プログラムと、当該新たな制御プログラムの１つ前のバージョンの制御プログラムとの差分を抽出して差分データが生成される。１つ前のバージョンの制御プログラムとの比較であるため、たとえば、初期の制御プログラムと、新たな制御プログラムとの差分を抽出して差分データが生成される場合に比べ、差分データの容量を小さくすることができる。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ソフトウェア更新システム、１０第１サーバ、２０第２サーバ、３０差分抽出装置、３１共通プログラム取得部、３３制御プログラム取得部、３５差分抽出部、３７出力部、４０リプロツール、１０１差分データ取得部、１０３共通プログラム読み出し部、１０５差分展開部、１０７プログラム記憶部、１１１差分データ取得部、１１３現行プログラム読み出し部、１１５差分展開部、１１７プログラム記憶部、２００車両、３００サーバ、３０１更新プログラム取得部、３０３現行プログラム取得部、３０５差分抽出部、３０７出力部、３０９記憶部。

Claims

第１プログラムと第２プログラムとの差分データを第１装置から第２装置へ送信し、前記差分データに基づいて前記第２装置に実装された制御プログラムを前記第２プログラムに更新するプログラムの更新方法であって、
前記第１装置において、
前記第１プログラムを取得するステップと、
前記第２プログラムを取得し、検索範囲を対象として、検索単位に分割された検索対象データが前記第１プログラムに含まれているかを検索するステップと、
前記検索対象データが前記第１プログラムに含まれている場合には、当該検索対象データを差分として抽出せず、前記検索対象データが前記第１プログラムに含まれていない場合には、当該検索対象データを差分として抽出して差分データを生成するステップと、
前記生成された差分データを前記第２装置へ出力するステップとを含み、
前記検索範囲は、前記第１プログラムにおいて、前記第２プログラムの前記検索対象データと同じアドレスより前方のアドレスに位置するデータよりも、後方のアドレスに位置するデータを多く含むように設定され、
前記第１プログラムの先頭領域には、プログラムとしてのデータが含まれないオフセット領域が設けられており、
前記制御プログラムは、前記第１プログラムであり、
前記第１プログラムは、前記第２プログラムの１つ前のバージョンのプログラムであり、
前記第１プログラムから前記第２プログラムへの更新にデータの追加が含まれる場合には、前記第２プログラムにおいて、前記オフセット領域を縮小するように前記データが追加される、プログラムの更新方法。
前記第１プログラムおよび前記第２プログラムの各々は、所定のデータサイズの分割データに分割されており、
前記分割データの容量は、前記検索単位よりも大きく、
前記検索範囲は、前記第１プログラムにおいて、前記第２プログラムの前記検索対象データが含まれる分割データと同じアドレスに位置する分割データ、および、当該分割データよりも後方のアドレスに位置する分割データを含むように設定される、請求項１に記載のプログラムの更新方法。
前記オフセット領域の容量は、前記第２装置に実装されるプログラムに対して行なわれ得る設計変更の予測に基づいて設定される、請求項１又は請求項２に記載のプログラムの更新方法。
第１プログラムと第２プログラムとの差分データを更新対象装置に送信し、前記差分データに基づいて前記更新対象装置に実装された制御プログラムを前記第２プログラムに更新する更新システムであって、
前記更新システムは、
前記第１プログラムを記憶する第１記憶装置と、
前記第２プログラムを記憶する第２記憶装置と、
前記差分データを生成して前記更新対象装置に送信する差分抽出装置とを備え、
前記差分抽出装置は、
前記第１記憶装置および前記第２記憶装置から前記第１プログラムおよび前記第２プログラムをそれぞれ取得し、
検索単位毎に、検索範囲を対象として、前記第２プログラムの検索対象データが前記第１プログラムに含まれているかを検索し、
前記検索対象データが前記第１プログラムに含まれている場合には、当該検索対象データを差分として抽出せず、前記検索対象データが前記第１プログラムに含まれていない場合には、当該検索対象データを差分として抽出して差分データを生成し、
前記検索範囲は、前記第１プログラムにおいて、前記第２プログラムの前記検索対象データと同じアドレスより前方のアドレスに位置するデータよりも、後方のアドレスに位置するデータを多く含むように設定され、
前記第１プログラムの先頭領域には、プログラムとしてのデータが含まれないオフセット領域が設けられており、
前記制御プログラムは、前記第１プログラムであり、
前記第１プログラムは、前記第２プログラムの１つ前のバージョンのプログラムであり、
前記第１プログラムから前記第２プログラムへの更新にデータの追加が含まれる場合には、前記第２プログラムにおいて、前記オフセット領域を縮小するように前記データが追加される、更新システム。