JP7484791B2 - Ｏｔａマスタ、更新制御方法、及び更新制御プログラム - Google Patents

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェア更新を制御するＯＴＡマスタなどに関する。

車両には、車両の動作を制御するための複数の電子制御ユニットが搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部とを備え、プロセッサが記憶部に記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバー機能を有するセンタからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットにインストールすることにより、電子制御ユニットのソフトウェア更新や追加を行うＯＴＡ（Over The Air）技術が知られている。

このＯＴＡ技術を用いたソフトウェアの更新処理は、車両の電源又はイグニッションがＯＮの時に、車両のソフトウェアの更新処理を担う装置であるＯＴＡマスタが、車載通信機器を介して、電子制御ユニットのソフトウェアのバージョン情報をセンタに送信すること（更新確認）を契機として開始することができる（例えば、特許文献１を参照）。ＯＴＡマスタは、センタから更新データをＯＴＡによりダウンロードすると、車内の表示装置などに表示を行うことにより、更新データがあることをユーザーに通知し、ボタンなどの入力装置の操作によってユーザーの承諾を受け付けたことを契機として、更新データのインストール及びアクティベートを実施する。

特開２０１８－１８１３７７号公報

故障などによって電子制御ユニットを交換する必要がある場合、作業の安全性を確保するため、電子制御ユニットの交換作業前には車載バッテリーからケーブルターミナルを取り外して、車載バッテリーからの電力供給を遮断して電子制御ユニットの電源をＯＦＦにすることを行う。しかし、電子制御ユニットのソフトウェア更新処理（ダウンロード、インストール、及びアクティベートのいずれか）の実行中に交換などのために電子制御ユニットの電源がＯＦＦされてしまうと、更新対象の電子制御ユニットの中にソフトウェア更新処理が不完全な状態で中断されるものが生じることが想定される。この場合、再び電子制御ユニットの電源がＯＮされたときに、電子制御ユニットごとにソフトウェア更新状態が異なってしまうおそれがある。

一方、更新データを配信するセンタは、更新データのダウンロードが完了した後は、車両側からの通知に基づいてソフトウェア更新処理のステータスを管理する。しかし、電子制御ユニットの交換などのために電源がＯＦＦされると、車両側からの通知が途切れてしまい、車両におけるソフトウェア更新状態とセンタで管理するソフトウェア更新状態とが不一致となるおそれがある。

本開示は、上記課題を鑑みてなされたものであり、車両におけるソフトウェア更新状態とセンタで管理するソフトウェア更新状態とが不一致となることを抑制できるＯＴＡマスタなど、を提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアの更新データをセンタからダウンロードする受信部と、更新データを用いて電子制御ユニットのソフトウェア更新処理を制御する制御部とを備える、ＯＴＡマスタであって、ソフトウェア更新処理の実行中に電力供給が遮断されたか否かを判定する判定部と、ソフトウェア更新処理の実行中に電力供給が遮断されたと判定部が判定した場合、電子制御ユニットのソフトウェアの更新状態をセンタに送信する第１送信部と、を備える、ＯＴＡマスタである。

本開示のＯＴＡマスタなどによれば、車両におけるソフトウェア更新状態とセンタで管理するソフトウェア更新状態とが不一致となることを抑制できる。

実施形態に係るネットワークシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 ＯＴＡマスタが実行するソフトウェア更新制御処理のフローチャート 図６のステップＳ６０８で行われる処理のフローチャート

本開示の電子制御ユニットのプログラムを更新するためのネットワークシステムでは、ＯＴＡマスタは、ソフトウェアの更新処理中に電力供給の遮断などによって電源ＯＦＦされ、再び電源ＯＮされた場合、ソフトウェアの更新状態を取得してセンタに通知する。これにより、車両におけるソフトウェアの更新状態をセンタの管理情報に反映させることができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システムの構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク２０と、を備える。

（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク２０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄの更新データの送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新管理に用いる情報、及び各電子制御ユニットの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７及び制御部１８は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両のＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶する。

通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信することが可能である。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信することが可能である。通信部１７は、配信パッケージのダウンロード要求を受信すると、後述の制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データを含む配信パッケージをＯＴＡマスタ３０に送信する。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両のＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当の更新データを含む配信パッケージを生成する。

（２）車載ネットワーク
車載ネットワーク２０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置であり、センタ１０から通信によって取得した更新データなどに基づいて、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０と通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、判定部４０と、指示部４１と、取得部４２と、出力部４３とを備える。記憶部３７は、図３に示した記憶装置３４によって実現される。通信部３８、制御部３９、判定部４０、指示部４１、取得部４２、及び出力部４３は、図３に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データを記憶する。また、記憶部３７は、後述する出力部４３が出力する電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理に関するログを記憶する。

通信部３８は、センタ１０との間で、データ、情報、及び要求などの送信及び受信を行う。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、例えば、車両を識別するための車両のＩＤと、車載ネットワーク２０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョン情報とを含む。車両のＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョン情報は、センタ１０が車両のＩＤごとに保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、更新データを含む配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信（ダウンロード）する受信部として機能する。また、通信部３８は、後述する取得部４２が取得した電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する第１送信部として機能する。また、通信部３８は、電力供給の遮断などによってソフトウェアの更新処理中に電源がオフされる（以下「電源ＯＦＦ」という）ことが発生した場合には、配信パッケージのダウンロード要求又はダウンロード再開要求を、センタ１０に送信する第２送信部として機能することができる。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から受信（ダウンロード）して記憶部３７に格納した配信パッケージの真正性を検証する。また、制御部３９は、センタ１０から受信（ダウンロード）した更新データを用いて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理（インストール、アクティベート）を制御する。具体的には、制御部３９は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効とするアクティベートを指示する。また、制御部３９は、更新データのダウンロード完了後に電力供給の遮断などによる電源ＯＦＦが発生した場合には、このダウンロードした更新データを用いてソフトウェアの更新処理を再度行うことができる。

判定部４０は、ソフトウェア更新処理（ダウンロード、インストール、アクティベート）の実行中に、電力供給の遮断などによる電源ＯＦＦが発生したか否かを判定する。電力供給の遮断があったか否かは、例えば、車載バッテリーが接続されている電源ラインの電圧が急低下した、ＯＴＡマスタ３０が実装されている電子制御ユニットへの給電が前回正常に終わらなかったなど、所定の事象に基づいて判定が可能である。

指示部４１は、ソフトウェア更新処理の実行中に電力供給の遮断などによる電源ＯＦＦが発生したと判定部４０によって判定された場合、電力が復旧して再び電源ＯＮとなったときにターゲット電子制御ユニットにリセット信号を送信する。このリセット信号は、ターゲット電子制御ユニットに、更新が正常に終了していないソフトウェアに対するロールバック処理の実施、及びソフトウェア更新状態（ソフトウェアの更新完了、ロールバック処理の完了、エラー（ロールバック不可）など）のＯＴＡマスタ３０への送信、などを指示する信号である。

取得部４２は、リセット信号に基づいてターゲット電子制御ユニットが送信するソフトウェア更新状態に関する情報を取得する。

出力部４３は、取得部４２が取得したターゲット電子制御ユニットにおけるソフトウェア更新状態に関する情報をログに出力する。例えば、ソフトウェア更新処理の実行中に電力供給の遮断などによる電源ＯＦＦが発生したにもかかわらず、正常にソフトウェア更新処理が完了したターゲット電子制御ユニットについては、イレギュラーなソフトウェア更新処理により更新が完了した旨のログが出力される。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ：Electronic Control Unit）である。図１においては、４つの電子制御ユニット５０ａ～５０ｄを例示したが、電子制御ユニットの数は特に限定されない。また、電子制御ユニットをＯＴＡマスタ３０に接続するバスの数も特に限定されない。

表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果の表示など、各種の表示を行うために用いられるヒューマンマシンインタフェース（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、プログラムの更新処理時に必要な情報を表示可能なものであれば特に限定されない。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットがさらに接続されていてもよい。

通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク２０をセンタ１０に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。なお、この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェアの更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両のＩＤと、車載ネットワーク２０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアのバージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク２０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）を取得することで作成可能である。車両のＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンは、センタ１０が車両のＩＤごとに保持する最新のソフトウェアのバージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、ＯＴＡマスタ３０は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信し、センタ１０から送信される配信パッケージを受信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、インストール順、アクティベート順、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした１つ以上の更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールした更新版のソフトウェアを有効とするように指示をする。

ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク２０に設けられた表示装置７０や、音声による通知を行う音声出力装置などを利用できる。例えば、承諾要求処理において、表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ソフトウェア更新の承諾を求めるための承諾要求画面を表示装置７０に表示させ、ユーザー又は管理者が承諾した場合に承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置７０に表示させることができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置７０に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置７０に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、電子制御ユニットの不揮発性メモリがプログラムを格納するための１つの格納領域を有するシングルバンクメモリである場合は、インストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。電子制御ユニットの不揮発性メモリがプログラムを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後、かつ、アクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェアの更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新版のソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニット５０ａ～５０ｄのソフトウェアを更新するための更新データを、受信して記憶装置１３に記憶する処理である。ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、ダウンロードに対する車両のユーザー又は管理者への承諾要求、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニット５０ａ～５０ｄの更新ソフトウェア、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前の電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤを含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットに更新ソフトウェア（更新版のプログラム）を書き込む処理である。インストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、インストールに対する車両のユーザー又は管理者への承諾要求、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのものを含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０（又はセンタ１０）からのインストール要求（又は指示）に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、インストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０（又はセンタ１０）からのアクティベート要求（又は指示）に基づいて、ターゲット電子制御ユニットが行うことができる。あるいは、更新データを受信したターゲット電子制御ユニットが、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェアの更新処理は、複数の電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェアの更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図６及び図７をさらに参照して、本実施形態に係るネットワークシステムにおいて実行される処理を説明する。

図６は、ＯＴＡマスタ３０が実行するソフトウェア更新制御処理の手順を説明するフローチャートである。この図６に示すソフトウェア更新制御処理は、例えば、車両の電源ＯＮを契機として実行される。

（ステップＳ６０１）
ＯＴＡマスタ３０の判定部４０は、ソフトウェア更新処理の実行中に電力供給の遮断があったか否かを判定する。具体的には、前回の電源ＯＦＦが、電力供給の遮断を原因としたものか否かを判定する。電力供給の遮断がなかったと判定された場合は（ステップＳ６０１、いいえ）、通常時のソフトウェア更新処理を実行すべくステップＳ６０２に処理が進み、電力供給の遮断があったと判定された場合は（ステップＳ６０１、はい）、非通常時のソフトウェア更新処理を実行すべくステップＳ６０８に処理が進む。

（ステップＳ６０２）
ＯＴＡマスタ３０の通信部３８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かの確認要求を、センタ１０に送信する。この確認要求には、車両のＩＤと、電子制御ユニット５０ａ～５０ｄのソフトウェアのバージョンの組み合わせ情報とが、含まれる。確認要求がセンタ１０に送信されると、ステップＳ６０３に処理が進む。

（ステップＳ６０３）
ＯＴＡマスタ３０の通信部３８は、センタ１０から更新データの確認要求に対する確認結果を受信する。確認結果が受信されると、ステップＳ６０４に処理が進む。

（ステップＳ６０４）
ＯＴＡマスタ３０の制御部３９は、通信部３８が受信した更新データの確認要求に対する確認結果に基づいて、電子制御ユニット５０ａ～５０ｄのうち少なくとも１つに対するソフトウェアの更新データがあるか否かを判断する。ソフトウェアの更新データが少なくとも１つある場合は（ステップＳ６０４、はい）、ステップＳ６０５に処理が進み、ソフトウェアの更新データが全くない場合は（ステップＳ６０４、いいえ）、本ソフトウェア更新制御処理が終了する。

（ステップＳ６０５）
ＯＴＡマスタ３０の制御部３９は、更新データのダウンロードを行う。より詳細には、ＯＴＡマスタ３０の通信部３８がセンタ１０に配信パッケージのダウンロード要求を送信し、通信部３８がダウンロード要求に応答して送信される配信パッケージを受信する。通信部３８は、受信した配信パッケージをＯＴＡマスタ３０の記憶部３７に格納する。そして、制御部３９は、受信した配信パッケージに含まれる更新データの真正性を検証する。なお、このステップＳ６０５において、制御部３９は、ダウンロード前にダウンロードの実行可否の判定を行ってもよいし、通信部３８は、ダウンロード完了後にセンタ１０に対してダウンロードが完了したことの通知を送信してもよい。更新データのダウンロードが行われると、ステップＳ６０６に処理が進む。

（ステップＳ６０６）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットに対してインストール処理を実行する。より詳細には、制御部３９は、ターゲット電子制御ユニットに配信パッケージに含まれる更新データを転送し、インストールを指示する。ターゲット電子制御ユニットは、ＯＴＡマスタ３０から受信した更新データをデータ格納領域に書き込む。インストール処理が実行されると、ステップＳ６０７に処理が進む。

（ステップＳ６０７）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットに対してアクティベート処理を実行する。より詳細には、制御部３９は、更新データをデータ格納領域に書き込んだターゲット電子制御ユニットに対して、更新版のソフトウェアのアクティベートを指示する。ターゲット電子制御ユニットは、電源ＯＦＦなどの特定の入力操作が行われたことを契機として、再起動し、更新後のソフトウェアを実行する。アクティベート処理が実行されると、本ソフトウェア更新制御処理が終了する。

（ステップＳ６０８）
ＯＴＡマスタ３０は、電力供給の遮断によって電源ＯＦＦされた後に再び電源ＯＮされたときにおけるソフトウェアの更新処理（非通常時のソフトウェア更新処理）を実行する。非通常時のソフトウェア更新処理が実行されると、本ソフトウェア更新制御処理が終了する。

図７を参照して、図６のステップＳ６０８で示した非通常時のソフトウェア更新処理を説明する。図７は、図６のステップＳ６０８で行われる、一連の処理の過程で電力供給の遮断が発生したときにおける、ＯＴＡマスタ３０が実行するソフトウェア更新制御処理の手順を説明するフローチャートである。

（ステップＳ７０１）
ＯＴＡマスタ３０の制御部３９は、更新データのダウンロードを開始する前か否かを判断する。電力供給の遮断による電源ＯＦＦが発生した場合であっても更新データのダウンロードがまだ開始されていなければ、ターゲット電子制御ユニットごとにソフトウェア更新状態が異なってしまうことがなく、車両におけるソフトウェア更新状態とセンタ１０で管理するソフトウェア更新状態とも一致している。よって、更新データのダウンロード開始前である場合は（ステップＳ７０１、はい）、ステップＳ７０７に処理が進み、更新データのダウンロード開始後である場合は（ステップＳ７０１、いいえ）、ステップＳ７０２に処理が進む。

（ステップＳ７０２）
ＯＴＡマスタ３０の指示部４１は、ターゲット電子制御ユニットにリセット信号を送信する。リセット信号は、更新が正常終了していないソフトウェアに対するロールバック処理の実施及びソフトウェア更新状態の送信などを、ターゲット電子制御ユニットに指示する信号である。リセット信号が送信されると、ステップＳ７０３に処理が進む。

（ステップＳ７０３）
ＯＴＡマスタ３０の取得部４２は、リセット信号を受信したターゲット電子制御ユニットから、電子制御ユニットにおけるソフトウェアの更新状態を取得する。ソフトウェアの更新状態が取得されると、ステップＳ７０４に処理が進む。

（ステップＳ７０４）
ＯＴＡマスタ３０の通信部３８は、取得部４２が取得した電子制御ユニットにおけるソフトウェアの更新状態に関する情報を、センタ１０に送信する。ソフトウェアの更新状態に関する情報がセンタ１０に送信されると、ステップＳ７０５に処理が進む。

（ステップＳ７０５）
ＯＴＡマスタ３０の出力部４３は、取得部４２が取得したターゲット電子制御ユニットにおけるソフトウェア更新状態に関する情報を、ログに出力する。このログは、ＯＴＡマスタ３０の記憶部３７に記憶される。ソフトウェアの更新状態に関する情報がログに出力されると、ステップＳ７０６に処理が進む。

（ステップＳ７０６）
ＯＴＡマスタ３０の制御部３９は、電力供給の遮断が発生したときのソフトウェアの更新状態が、どのような状態であったかを判断する。電力供給の遮断が発生したときのソフトウェア更新状態が更新データのダウンロード中であった場合は（ステップＳ７０６、ＤＬ中）、ステップＳ７０７に処理が進み、電力供給の遮断が発生したときのソフトウェア更新状態が更新データのダウンロードが完了した後であった場合は（ステップＳ７０６、ＤＬ完了後）、ステップＳ７０８に処理が進む。

（ステップＳ７０７）
ＯＴＡマスタ３０の制御部３９は、更新データのダウンロードが未完了であると判断して、更新データのダウンロードを行う。より詳細には、ＯＴＡマスタ３０の通信部３８がセンタ１０に配信パッケージのダウンロード要求又はダウンロード再開要求を送信し、通信部３８がダウンロード要求又はダウンロード再開要求に応答して送信される配信パッケージを受信する。通信部３８は、受信した配信パッケージをＯＴＡマスタ３０の記憶部３７に格納する。そして、制御部３９は、受信した配信パッケージに含まれる更新データの真正性を検証する。更新データのダウンロードが行われると、ステップＳ７０８に処理が進む。

（ステップＳ７０８）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットに対してインストール処理を実行する。より詳細には、制御部３９は、最初のダウンロード又は再ダウンロードされたによって配信パッケージに含まれる更新データをターゲット電子制御ユニットに転送し、インストールを指示する。ターゲット電子制御ユニットは、ＯＴＡマスタ３０から受信した更新データをデータ格納領域に書き込む。インストール処理が実行されると、ステップＳ７０９に処理が進む。

（ステップＳ７０９）
ＯＴＡマスタ３０の制御部３９は、ターゲット電子制御ユニットに対してアクティベート処理を実行する。より詳細には、制御部３９は、更新データをデータ格納領域に書き込んだターゲット電子制御ユニットに対して、更新版のソフトウェアのアクティベートを指示する。ターゲット電子制御ユニットは、電源ＯＦＦなどの特定の入力操作が行われたことを契機として、再起動し、更新後のソフトウェアを実行する。アクティベート処理が実行されると、本非通常時におけるソフトウェア更新制御処理が終了する。

なお、電力供給の遮断による電源ＯＦＦが発生した場合に実施する非通常時におけるソフトウェア更新制御処理（図７）では、電源が復旧した後にステップＳ７０７～Ｓ７０９においてダウンロード、インストール、及びアクティベートの各処理をリスタートする実施例を説明した。しかしながら、電源が復旧した後に直ちに処理のリスタート（ステップＳ７０７～Ｓ７０９）をせずに、次回行われた正常な操作（電源ＯＮなど）を契機として通常時におけるソフトウェア更新制御処理（図６）によって処理をリスタートさせてもよい。この際、車両構成情報が正常である場合（例えば、正常な状態へのロールバックが行われた場合）のみに、処理がリスタートされるものとしてもよい。リスタートは、表示装置７０を介して、ユーザー又は管理者の承諾を得てから行うことが好ましい。具体的には、インストール処理中に電力供給の遮断による中断が発生した場合、インストール処理前までロールバックさせた後、これからインストール処理を開始することをユーザー又は管理者に確認した上で処理が進むようにする。このようにすれば、安全が確保された状態でインストール処理の通知及び許諾要求を行うことができ、またユーザー又は管理者の意図するタイミングでソフトウェア更新処理をリスタートさせることができる。

＜効果＞
以上のように、本開示の一実施形態に係るＯＴＡマスタ３０は、ソフトウェアの更新処理中に電力供給の遮断などによって電源ＯＦＦされ、再び電源ＯＮされた場合、ソフトウェアの更新状態を取得してセンタ１０に通知する。よって、車両におけるソフトウェアの更新状態をセンタ１０の管理情報に反映させることができる。

また、本実施形態に係るＯＴＡマスタ３０は、ソフトウェアの更新処理中に電力供給の遮断などによる電源ＯＦＦが発生したにもかかわらず、ソフトウェア更新が正常に終了した場合、その旨をログに記録しておく。これにより、ソフトウェア更新処理を検証する必要が生じた際に、どのようにソフトウェアが更新されたかを把握することが可能となる。

また、本実施形態に係るＯＴＡマスタ３０は、更新データのダウンロードのやり直し、又は再開を自動的に行うことにより、ソフトウェア更新処理の進行状態を電力供給が遮断される前に復旧させることができる。

また、本実施形態に係るＯＴＡマスタ３０は、更新データを用いてソフトウェア更新処理をやり直すことにより、電子制御ユニット５０ａ～５０ｄのソフトウェアを整合が取れた最新の状態にすることができる。

以上、本開示技術の一実施形態を説明したが、本開示は、ＯＴＡマスタだけでなく、プロセッサとメモリと記憶装置とを備えたＯＴＡマスタが実行する更新制御方法、更新制御プログラム、あるいは更新制御プログラムを記憶したコンピューター読み取り可能な非一時的な記憶媒体など、として捉えることが可能である。

本開示技術は、電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。

１０ センタ
１１、３１ ＣＰＵ
１２、３２ ＲＡＭ
１３、３４ 記憶装置
１４、３６ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
２０ 車載ネットワーク
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
４０ 判定部
４１ 指示部
４２ 取得部
４３ 出力部
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
１００ ネットワーク

Claims (7)

1. 車両に搭載された電子制御ユニットのソフトウェアの更新データをセンタからダウンロードする受信部と、前記更新データを用いて前記電子制御ユニットのソフトウェア更新処理を制御する制御部とを備える、ＯＴＡマスタであって、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたか否かを判定する判定部と、
   前記電子制御ユニットから前記ソフトウェアの更新状態を取得する取得部と、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたと前記判定部が判定した場合、前記取得部が取得した前記電子制御ユニットの前記ソフトウェアの更新状態を前記センタに送信する第１送信部と、を備える、ＯＴＡマスタ。
2. 前記ソフトウェア更新処理の実行中に電力供給が遮断されたと前記判定部が判定した場合、電力供給の復旧後に前記電子制御ユニットに前記ソフトウェア更新処理のリセットを指示する指示部をさらに備える、請求項１に記載のＯＴＡマスタ。
3. 前記電子制御ユニットにおける前記ソフトウェアの更新状態として、前記ソフトウェア更新処理が正常に完了したことを示す情報を前記取得部が取得した場合、通常とは異なるソフトウェア更新処理によって前記電子制御ユニットの前記ソフトウェアが更新されたことをログに出力する出力部をさらに備える、請求項１又は２に記載のＯＴＡマスタ。
4. 前記更新データのダウンロード中に電力供給が遮断されたと前記判定部が判定した場合、前記更新データのダウンロード要求又はダウンロードの再開要求を前記センタに送信する第２送信部をさらに備える、請求項１乃至３のいずれか１項に記載のＯＴＡマスタ。
5. 前記更新データのダウンロード後、かつ、前記ソフトウェア更新処理の開始後に電力供給が遮断されたと前記判定部が判定した場合、前記制御部は、前記ソフトウェア更新処理を開始する、請求項１乃至４のいずれか１項に記載のＯＴＡマスタ。
6. プロセッサと、メモリと、記憶装置とを備え、センタからダウンロードした更新データを用いて車両に搭載された電子制御ユニットのソフトウェア更新処理を制御する、ＯＴＡマスタが実行する更新制御方法であって、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたか否かを判定するステップと、
   前記電子制御ユニットから前記ソフトウェアの更新状態を取得するステップと、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたと判定された場合、前記電子制御ユニットの前記ソフトウェアの更新状態を前記センタに送信するステップと、を含む、更新制御方法。
7. プロセッサと、メモリと、記憶装置とを備え、センタからダウンロードした更新データを用いて車両に搭載された電子制御ユニットのソフトウェア更新処理を制御する、ＯＴＡマスタのコンピューターが実行する更新制御プログラムであって、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたか否かを判定するステップと、
   前記電子制御ユニットから前記ソフトウェアの更新状態を取得するステップと、
   前記ソフトウェア更新処理の実行中に電力供給が遮断されたと判定された場合、前記電子制御ユニットの前記ソフトウェアの更新状態を前記センタに送信するステップと、を含む、更新制御プログラム。

Images