JPWO2020003515A1 - 更新制御装置、更新制御システムおよび更新制御方法 - Google Patents

Abstract

更新制御装置（２）は、更新対象の車載用ＥＣＵと依存関係のある車載用ＥＣＵから、更新の実行可が応答された場合に、車両が一旦停車してから走行を開始するまでの停車時間内に更新対象ＥＣＵの更新が完了するか否かを判定する。

Description

本発明は、車両に搭載された車載用電子制御装置（以下、車載用ＥＣＵと記載する）の制御プログラムの更新を制御する更新制御装置、更新制御システムおよび更新制御方法に関する。

近年、無線通信を利用して車載用ＥＣＵの制御プログラムを更新するＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）技術が提案されている。例えば、特許文献１には、車両が駐停車される時間を予測し、予測した時間に無線通信を利用して車載用ＥＣＵのプログラムを更新する制御装置が記載されている。

特開２０１７−２１５８８８号公報

特許文献１に記載される制御装置では、車両が駐車されてエンジンが停止された時間帯に更新プログラムが車載装置に書き込まれる。このため、早急に対処しなければならない緊急性の高い更新があった場合、車両の走行を中断して一旦駐車させる必要があるため、運転者にとって煩わしく、ＯＴＡの利便性が損なわれるという課題があった。

本発明は上記課題を解決するものであり、車両を意図的に駐車させずに、車載用ＥＣＵを更新することができる更新制御装置、更新制御システムおよび更新制御方法を得ることを目的とする。

本発明に係る更新制御装置は、依存関係確認部、更新時間計算部、停車時間取得部および更新可否判定部を備えている。依存関係確認部は、更新対象の車載用ＥＣＵと依存関係のある車載用ＥＣＵに対して更新対象のＥＣＵの更新の実行可否を問い合わせる。更新時間計算部は、更新対象のＥＣＵの更新に必要な更新時間を計算する。停車時間取得部は、車両が一旦停車してから走行を開始するまでの停車時間を取得する。更新可否判定部は、依存関係確認部によって更新の実行可の応答が確認された場合に、更新時間と停車時間とを比較して、停車時間内に更新対象のＥＣＵの更新が完了するか否かを判定する。

本発明によれば、更新対象の車載用ＥＣＵと依存関係のある車載用ＥＣＵから、更新の実行可が応答された場合に、車両が一旦停車してから走行を開始するまでの停車時間内に更新対象の車載用ＥＣＵの更新が完了するか否かを判定する。これにより、車両を意図的に駐車させずに、車両の停車時間内に車載用ＥＣＵを更新することができる。

本発明の実施の形態１に係る更新制御システムの構成を示すブロック図である。 実施の形態１に係る更新制御装置の構成を示すブロック図である。 実施の形態１における車載用ＥＣＵの構成を示すブロック図である。 実施の形態１に係る更新制御システムの機能を実現するソフトウェアを実行するハードウェア構成を示すブロック図である。 実施の形態１に係る更新制御システムの動作を示すフローチャートである。 実施の形態１に係る更新制御方法を示すフローチャートである。 実施の形態１における依存関係情報の例を示す図である。 実施の形態１における車載用ＥＣＵの依存関係の確認処理を示す説明図である。 実施の形態１における、更新対象ＥＣＵが更新に要する時間情報の例を示す図である。 図１０Ａは、更新対象ＥＣＵが備えるＲＯＭのメモリ領域の構成を示す図である。図１０Ｂは、更新対象ＥＣＵと依存関係のあるＥＣＵが備えるＲＯＭのメモリ領域の構成を示す図である。 実施の形態１における更新対象ＥＣＵの更新処理を示すフローチャートである。 実施の形態１におけるＥＣＵ間の通信終了から更新結果通知までの処理を示す説明図である。 実施の形態１における更新データのダウンロード処理を示す説明図である。 本発明の実施の形態２に係る更新制御方法を示すフローチャートである。 本発明の実施の形態３に係る更新制御方法を示すフローチャートである。

以下、本発明をより詳細に説明するため、本発明を実施するための形態について、添付の図面に従って説明する。
実施の形態１．
図１は、本発明の実施の形態１に係る更新制御システム１の構成を示すブロック図である。更新制御システム１は、車両に搭載されたＥＣＵ３ａ〜３ｄ（車載用電子制御装置）のうちの更新対象ＥＣＵの更新を制御するシステムであり、ＥＣＵ３ａ〜３ｄに加え、更新制御装置２および停車判定ＥＣＵを備える。更新制御装置２は、車両が走行している間に更新対象ＥＣＵの更新データを無線通信で受信して、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が一旦停車してから走行を開始するまでの停車時間内に更新対象ＥＣＵを更新する。更新データとは、車載用ＥＣＵが備えるファームウェアまたはソフトウェアの更新データである。また、更新方法には、フルイメージ更新または差分イメージ更新が利用される。

更新制御装置２は、有線通信および無線通信を行う機能を有し、異なるネットワークと接続するためのゲートウェイ機能を有する。ここで、無線通信には、ＬＴＥまたは３Ｇといったデータモバイル通信、ＷｉＦｉ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、路車間通信、車車間通信がある。有線通信には、例えば、イーサネット（登録商標）、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）がある。

ＥＣＵ３ａ〜３ｄは、車両に搭載されている様々な車載機器を制御する電子制御装置である。例えば、ＥＣＵ３ａは、アクセル操作、ブレーキ操作、ハンドル操作、車内照明、ヘッドライトの制御系を実現するＥＣＵであり、ＥＣＵ３ｂは、車外カメラ、車内カメラおよびコーナーセンサを用いて、ＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）を実現するＥＣＵである。

更新制御装置２は、更新対象ＥＣＵと依存関係のあるＥＣＵに対して更新の実行可否を問い合わせ、更新の実行可の応答が確認された場合に、更新完了までに必要な更新時間と上記停車時間とを比較して、停車時間内に更新対象ＥＣＵの更新が完了するか否かを判定する。ここで、ＥＣＵ間の依存関係とは、ＥＣＵ間で通信を行い、一方のＥＣＵから受信した情報を用いて他方のＥＣＵが演算処理を行う関係である。

例えば、ＥＣＵ３ｃが車速を算出するＥＣＵであり、ＥＣＵ３ｄが車速を用いて車両の現在位置を補正するＥＣＵである場合には、ＥＣＵ３ｃとＥＣＵ３ｄとの間に依存関係がある。この場合、ＥＣＵ３ｄは、ＥＣＵ３ｃから受信した車速を用いて車両の現在位置を補正する。このため、ＥＣＵ３ｃからの車速信号の送信が途絶えた場合、ＥＣＵ３ｄは、ＥＣＵ３ｃとの通信線が断線した緊急事態であると誤認識される可能性がある。

ＥＣＵが備えるファームウェアまたはソフトウェアの更新では、更新後のプログラムを有効化するためにＥＣＵのリセット（動作の停止と再起動）を行う必要があり、更新前にＥＣＵ間で行っていた通信を中断しなければならない。そこで、更新制御装置２は、更新対象ＥＣＵと依存関係のあるＥＣＵに対して更新の実行可否を問い合わせ、更新の実行可を示す応答があった場合に、更新対象ＥＣＵの更新を実行させる。なお、更新対象ＥＣＵの更新が実行されると、これと依存関係のあるＥＣＵとの通信がシャットダウンされる。このため、依存関係のあるＥＣＵからは、更新対象ＥＣＵの更新の実行可否の問い合わせが、更新対象ＥＣＵのシャットダウンの可否の問い合わせとみなせる。

停車判定ＥＣＵ４は、車両前方の信号機または踏切と車速とを監視することで、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が停車したか否かを判定する。
例えば、停車判定ＥＣＵ４は、車外カメラを制御して車両前方の映像から信号機の灯色または踏切の遮断機の状態を画像認識し、車速センサまたはブレーキ操作から車速を認識することで、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が停車されたか否かを判定する。停車判定ＥＣＵ４は、車両が停車したと判定すると、この判定結果を示す停車状態通知を、車内通信で更新制御装置２に送信する。

図２は、更新制御装置２の構成を示すブロック図である。図２において、更新制御装置２は、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８を備える。車外通信部２０は、無線通信で外部装置と通信を行う通信部であり、第１の通信部２０ａおよび第２の通信部２０ｂを備える。

第１の通信部２０ａは、ＬＴＥまたは３Ｇといった無線通信で無線ネットワークに接続し、無線ネットワークに接続された外部装置から更新データａを取得する。外部装置は、例えば、ＥＣＵが備えるファームウェアまたはソフトウェアの更新データを管理しているサーバである。サーバは、ＥＣＵの更新を行うときに、更新対象のファームウェアまたはソフトウェアを示す情報と更新プログラムとを含む更新データａを更新制御装置２に送信する。更新制御装置２は、サーバから受信した更新データａに基づいてＥＣＵ３ａ〜３ｄの中から更新対象ＥＣＵを特定する。

第２の通信部２０ｂは、路車間通信または車車間通信を用いて車両の停車時間ｂを取得する停車時間取得部である。停車時間ｂは、車両が一旦停車してから走行を開始するまでの時間である。例えば、第２の通信部２０ｂは、路車間通信によって、信号機または踏切に設けられた路側無線通信機から停車時間ｂを受信してもよい。ここで、路側無線通信機は、信号機の赤信号が点灯している時間または踏切の遮断機が降下している時間を、停車時間ｂとして管理する外部装置である。なお、車両前方を走行する先行車両に搭載された車載装置によって停車時間ｂが取得されていた場合、第２の通信部２０ｂは、先行車両の上記車載装置から、車車間通信で停車時間ｂを取得してもよい。

更新データ格納部２１は、更新対象ＥＣＵの更新データａが格納される記憶部である。第１の通信部２０ａによって上記サーバから受信された更新データａは、更新データ格納部２１に格納される。

停車状態検出部２２は、停車判定ＥＣＵ４からの停車状態通知ｃを受信したか否かに基づいて車両の停車状態を検出する。ここで、車両の停車状態とは、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が一旦停車した状態である。停車状態検出部２２は、車内通信部２８によって停車判定ＥＣＵ４から受信された停車状態通知ｃに基づいて車両が停車状態であるか否かを検出し、車両が停車状態である場合に、停車状態通知ｃを依存関係確認部２４に出力する。

依存関係記憶部２３は、更新制御装置２に接続されているＥＣＵ３ａ〜３ｄのＥＣＵ間の依存関係を示す依存関係情報ｄを記憶する。依存関係情報ｄは、ＥＣＵ同士の依存関係を示す情報がＥＣＵごとに対応付けられたテーブル情報である。ＥＣＵ同士の依存関係を示す情報には、例えば、ＥＣＵ間の通信における宛先アドレスがある。

依存関係確認部２４は、ＥＣＵ３ａ〜３ｄのうち、更新対象ＥＣＵと依存関係のあるＥＣＵに対して更新対象ＥＣＵの更新の可否を問い合わせる。例えば、依存関係確認部２４は、更新データ格納部２１に格納された更新データａを参照して更新対象のＥＣＵを確認し、停車状態検出部２２から入力した停車状態通知ｃに基づいて車両の停車状態を確認する。依存関係確認部２４は、依存関係記憶部２３に記憶された依存関係情報ｄに基づいて更新対象ＥＣＵと依存関係のあるＥＣＵを特定する。依存関係確認部２４は、車内通信部２８を用いて、更新対象ＥＣＵと依存関係のあるＥＣＵに対して更新対象ＥＣＵの更新の実行可否を問い合わせる問い合わせ情報ｅを送信する。

更新対象ＥＣＵと依存関係のあるＥＣＵでは、問い合わせ情報ｅに対する応答情報ｆを更新制御装置２に送信する。依存関係確認部２４は、車内通信部２８によって受信された応答情報ｆの内容を示す応答内容情報ｇを生成して更新可否判定部２７に出力する。応答内容情報ｇは、更新可否判定部２７による更新可否の判定条件として利用される。

時間情報記憶部２５には、更新制御装置２に接続されているＥＣＵの起動時間、ＥＣＵの終了時間、およびメモリ書き込み速度である時間情報ｈがＥＣＵごとに対応付けて記憶されている。ここで、ＥＣＵの起動時間およびＥＣＵの終了時間には、オペレーティングシステム（ＯＳ）が搭載されたＥＣＵであれば、ＯＳの起動時間およびＯＳの終了時間も含まれる。また、終了時間には、ＥＣＵ間の通信終了処理も含まれる。更新時間計算部２６は、時間情報記憶部２５に記憶されている時間情報ｈと更新データ格納部２１に格納されている更新データａのデータサイズａ１とを参照して、更新対象ＥＣＵの更新に必要な更新時間ｉを計算する。

更新可否判定部２７は、停車時間ｂ内に更新対象ＥＣＵの更新が完了するか否かを判定する。例えば、更新可否判定部２７は、依存関係確認部２４から入力した応答内容情報ｇが更新の実行可を示していた場合に、第２の通信部２０ｂによって取得された停車時間ｂと更新時間計算部２６によって算出された更新時間ｉとを比較して、停車時間ｂ内に更新対象ＥＣＵの更新が完了するか否かを判定する。

車内通信部２８は、ＣＡＮなどの有線通信を介して、ＥＣＵ３ａ〜３ｄおよび停車判定ＥＣＵ４の各々と通信する。例えば、車内通信部２８は、依存関係確認部２４からの問い合わせ情報ｅを更新対象ＥＣＵと依存関係のあるＥＣＵに送信して、これらのＥＣＵからの応答情報ｆを受信する。また、車内通信部２８は、更新可否判定部２７からの更新依頼ｊを更新対象ＥＣＵへ送信して、更新対象ＥＣＵからの更新結果情報ｋを受信する。

図３は、車載用ＥＣＵの構成を示すブロック図であり、図１に示したＥＣＵ３ａ〜３ｄの機能構成を示している。ＥＣＵ３ａ〜３ｄのそれぞれは、図３に示すように、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４を備えている。車内通信部３０は、ＣＡＮなどの有線通信を介して他のＥＣＵおよび更新制御装置２と通信する。依存関係応答部３１は、車内通信部３０によって受信された問い合わせ情報ｅに対する応答情報ｆを生成し、車内通信部３０を用いて応答情報ｆを更新制御装置２に送信する。

終了確認部３２は、自身を搭載するＥＣＵが更新対象ＥＣＵである場合に、依存関係のあるＥＣＵとの通信の終了を確認する。例えば、終了確認部３２は、更新部３４から通信終了依頼ｌを入力すると、車内通信部３０を用いて依存関係のあるＥＣＵに対して通信終了通知ｍを送信する。依存関係のあるＥＣＵが備える終了確認部３２は、通信終了通知ｍを受信すると、更新対象ＥＣＵとの通信の終了可否を示す応答情報ｎを生成し、車内通信部３０を用いて更新対象ＥＣＵに送信する。更新対象ＥＣＵが備える終了確認部３２は、車内通信部３０によって受信された、依存関係のあるＥＣＵからの応答情報ｎを入力し、応答情報ｎの内容を示す情報ｏを更新部３４に出力する。

更新データ格納部３３は、更新対象ＥＣＵの更新データａが格納される記憶部である。更新依頼ｊによる更新開始前に、更新データ格納部３３に更新データａを格納しておいてもよい。

更新部３４は、更新データ格納部３３に格納された更新データａを用いて、ＥＣＵが備えるファームウェアまたはソフトウェア更新処理を行う。例えば、更新部３４は、車内通信部３０によって更新制御装置２からの更新依頼ｊが受信され、終了確認部３２によって依存関係のあるＥＣＵとの通信の終了可を示す情報ｏが得られた場合に、更新データａを用いて更新処理を行う。更新部３４は、車内通信部３０を用いて、更新処理の結果を示す更新結果情報ｋを更新制御装置２に送信する。

次に、更新制御システム１の機能を実現するハードウェア構成について説明する。
更新制御装置２における、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の機能は、処理回路によって実現される。すなわち、更新制御装置２は、図６を用いて後述するステップＳＴ１ａからステップＳＴ８ａまでの処理を実行するための処理回路を備える。処理回路は、専用のハードウェアであってもよいが、メモリに記憶されたプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってもよい。

ＥＣＵ３ａ〜３ｄがそれぞれ備える、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４の機能は、処理回路によって実現される。すなわち、更新制御装置２は、図１１を用いて後述するステップＳＴ１ｂからステップＳＴ７ｂまでの処理を実行するための処理回路を備える。処理回路は、専用のハードウェアであってもよいが、メモリに記憶されたプログラムを実行するＣＰＵであってもよい。

図４は、更新制御システム１の機能を実現するソフトウェアを実行するハードウェア構成を示すブロック図である。図４において、更新制御装置２およびＥＣＵ３ａ〜３ｄは、通信バス５によって互いに接続されている。車外ネットワークインタフェース１００は、車外のネットワークと通信接続するためのインタフェース（以下、Ｉ／Ｆと記載する）である。例えば、車外ネットワークＩ／Ｆ１００は、信号機または踏切の近傍の路側に設けられた路側無線通信機と通信するための路車間Ｉ／Ｆであり、さらにインターネットなどの通信ネットワークと通信接続するための無線通信Ｉ／Ｆである。無線通信Ｉ／Ｆには、ＬＴＥ、３Ｇ、ＷｉＦｉ、Ｂｌｕｅｔｏｏｔｈ（登録商標）のＩ／Ｆが挙げられる。図２に示した第１の通信部２０ａおよび第２の通信部２０ｂと車外装置との間で送受信される情報は、車外ネットワークＩ／Ｆ１００によって中継される。

車内ネットワークＩ／Ｆ１０１および車内ネットワークＩ／Ｆ２００は、車内のネットワークを介してＥＣＵ間で有線通信を行うためのＩ／Ｆである。例えば、車内ネットワークＩ／Ｆ１０１および車内ネットワークＩ／Ｆ２００には、ＣＡＮ、イーサネット（登録商標）、ＭＯＳＴ、ＬＩＮのＩ／Ｆが挙げられる。図２に示した車内通信部２８と図３に示した車内通信部３０との間で送受信される情報は、車内ネットワークＩ／Ｆ１０１および車内ネットワークＩ／Ｆ２００によって中継される。

更新制御装置２の機能を実現する処理回路が専用のハードウェアである場合、処理回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、またはこれらを組み合わせたものが該当する。更新制御装置２における、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の機能を、別々の処理回路で実現してもよく、これらの機能をまとめて１つの処理回路で実現してもよい。

ＥＣＵ３ａ〜３ｄのそれぞれの機能を実現する処理回路が専用のハードウェアである場合、処理回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、またはこれらを組み合わせたものが該当する。ＥＣＵ３ａ〜３ｄがそれぞれ備える、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４の機能を、別々の処理回路で実現してもよく、これらの機能をまとめて１つの処理回路で実現してもよい。

更新制御装置２の機能を実現する処理回路が図４に示すプロセッサ１０２である場合、更新制御装置２における車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の機能は、ソフトウェア、ファームウェアまたはソフトウェアとファームウェアとの組み合わせにより実現される。なお、ソフトウェアまたはファームウェアは、プログラムとして記述されてメモリ１０３に記憶される。

プロセッサ１０２は、メモリ１０３に記憶されたプログラムを読み出して実行することにより、更新制御装置２における車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の機能を実現する。すなわち、更新制御装置２は、プロセッサ１０２によって実行されるときに、図６に示すステップＳＴ１ａからステップＳＴ８ａまでの処理が結果的に実行されるプログラムを記憶するためのメモリ１０３を備える。

これらのプログラムは、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の手順または方法を、コンピュータに実行させる。メモリ１０３は、コンピュータを、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８として機能させるためのプログラムが記憶されたコンピュータ可読記憶媒体であってもよい。

ＥＣＵ３ａ〜３ｄのそれぞれの機能を実現する処理回路が図４に示すプロセッサ２０１である場合、ＥＣＵ３ａ〜３ｄがそれぞれ備える車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４の機能は、ソフトウェア、ファームウェアまたはソフトウェアとファームウェアとの組み合わせによって実現される。なお、ソフトウェアまたはファームウェアは、プログラムとして記述されてメモリ２０２に記憶される。

プロセッサ２０１は、メモリ２０２に記憶されたプログラムを読み出して実行することによって、ＥＣＵ３ａ〜３ｄがそれぞれ備える、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４の機能を実現する。すなわち、ＥＣＵ３ａ〜３ｄは、プロセッサ２０１によって実行されるときに、図１１に示すステップＳＴ１ｂからステップＳＴ１１ｂまでの処理が結果的に実行されるプログラムを記憶するためのメモリ２０２を備える。

これらのプログラムは、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４の手順または方法を、コンピュータに実行させる。メモリ２０２は、コンピュータを、車内通信部３０、依存関係応答部３１、終了確認部３２および更新部３４として機能させるためのプログラムが記憶されたコンピュータ可読記憶媒体であってもよい。

メモリ１０３には、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０３ａ、およびＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１０３ｂが用いられる。ＲＡＭ１０３ａには、プロセッサ１０２によって実行される実行プログラムおよびプログラムの実行に必要なデータが一時的に記憶される。ＲＯＭ１０３ｂには、実行プログラムが記憶される。また、メモリ１０３には、フラッシュメモリ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ−ＥＰＲＯＭ）などの不揮発性または揮発性の半導体メモリ、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、およびＤＶＤのいずれかを用いてもよい。

メモリ２０２には、メモリ１０３と同様に、ＲＡＭ２０２ａおよびＲＯＭ２０２ｂが用いられる。ＲＡＭ２０２ａには、プロセッサ２０１によって実行される実行プログラム、および、プログラムの実行に必要なデータが一時的に記憶される。ＲＯＭ２０２ｂには、実行プログラムおよび更新対象のプログラムが記憶される。

更新制御装置２における、車外通信部２０、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、更新可否判定部２７および車内通信部２８の機能について一部を専用のハードウェアで実現し、一部をソフトウェアまたはファームウェアで実現してもよい。

例えば、車外通信部２０および車内通信部２８については、専用のハードウェアである処理回路で機能を実現し、更新データ格納部２１、停車状態検出部２２、依存関係記憶部２３、依存関係確認部２４、時間情報記憶部２５、更新時間計算部２６、および更新可否判定部２７については、プロセッサ１０２がメモリ１０３に記憶されたプログラムを読み出して実行することによって機能を実現する。このように、処理回路は、ハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせにより上記機能を実現することができる。これは、ＥＣＵ３ａ〜３ｄにおいても同様である。

次に動作について説明する。
図５は、更新制御システム１の動作を示すフローチャートであり、ＥＣＵ３ａ〜３ｄのうち、更新対象ＥＣＵが１つである場合を示している。また、図５の処理が実行される前に、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が一旦停車した状態であるものとする。このとき、停車判定ＥＣＵ４は、車両が停車状態であると判定し、更新制御装置２に対して停車状態通知ｃを送信する。

停車状態検出部２２は、停車判定ＥＣＵ４からの停車状態通知ｃが受信されたか否かに基づいて、車両の停車状態が検出されたか否かを確認する（ステップＳＴ１）。ここで、停車状態通知ｃが受信されず、車両の停車状態が検出されなかった場合（ステップＳＴ１；ＮＯ）、図５の処理が終了される。なお、図５に示す一連の処理は、更新制御装置２が起動している間、信号機などによる停車ごとに実行される。

停車状態検出部２２は、停車状態通知ｃが受信され、車両の停車状態が検出された場合（ステップＳＴ１；ＹＥＳ）、停車状態通知ｃを依存関係確認部２４に出力する。
依存関係確認部２４は、更新制御装置２に接続されたＥＣＵ３ａ〜３ｄの中に、更新対象のＥＣＵが存在し、更新データａがダウンロード済みであるか否かを確認する（ステップＳＴ２）。例えば、依存関係確認部２４は、更新データ格納部２１に格納されている更新データａを参照することにより、ＥＣＵ３ａ〜３ｄの中に更新対象のＥＣＵが存在し、更新データａが更新データ格納部２１にダウンロード済みであるか否かを確認する。

ＥＣＵ３ａ〜３ｄの中に更新対象ＥＣＵが存在しないか、更新データａがダウンロードされていない場合（ステップＳＴ２；ＮＯ）、図５の処理が終了される。
なお、実施の形態１において、更新処理が可能な更新データａとは、車両の走行中に、更新制御装置２にダウンロードが完了しているデータである。

一方、ＥＣＵ３ａ〜３ｄの中に更新対象ＥＣＵが存在し、更新データａがダウンロードされていた場合（ステップＳＴ２；ＹＥＳ）、依存関係確認部２４および更新可否判定部２７は、更新対象ＥＣＵの更新が実行可能か否かを判定する（ステップＳＴ３）。なお、この更新可否判定は、後述する図６を用いて詳細に説明する。更新可否判定部２７によって更新対象ＥＣＵの更新が実行不可と判定された場合（ステップＳＴ３；ＮＯ）、図５の処理が終了される。

更新可否判定部２７は、更新対象ＥＣＵの更新が実行可と判定した場合（ステップＳＴ３；ＹＥＳ）、更新対象ＥＣＵに対して更新の実行を指示する更新依頼を行う（ステップＳＴ４）。更新依頼ｊによる更新開始前に、更新データ格納部３３に更新データａを格納しておいてもよい。

更新対象ＥＣＵは、更新制御装置２から受信した更新データａを用いてファームウェアまたはソフトウェアの更新処理を実行する。そして、更新対象ＥＣＵは、車内通信部３０を用いて、更新に成功したか否かを示す更新結果情報ｋを更新制御装置２に送信する。
更新制御装置２が備える車内通信部２８は、更新対象ＥＣＵから更新結果情報ｋを受信する（ステップＳＴ５）。更新結果情報ｋが更新成功を示していれば、更新対象ＥＣＵの更新が完了する。一方、更新結果情報ｋが更新失敗を示す場合、更新対象ＥＣＵの更新が完了するまで、図５の一連の処理が繰り返し実行される。

次に、更新可否判定処理の詳細について説明する。
図６は、実施の形態１に係る更新制御方法を示すフローチャートであり、図５に示したステップＳＴ４の詳細を示している。
まず、依存関係確認部２４が、更新対象ＥＣＵと依存関係のあるＥＣＵに対して、更新対象ＥＣＵの更新の実行可否を問い合わせる（ステップＳＴ１ａ）。例えば、依存関係確認部２４は、依存関係記憶部２３に記憶された依存関係情報ｄに基づいて更新対象ＥＣＵと依存関係のある全てのＥＣＵを特定する。

図７は、依存関係情報ｄの例を示す図である。図７に示す依存関係情報ｄには、更新対象ＥＣＵとの依存関係を示す情報として、ＥＣＵ間の車内通信におけるＥＣＵの宛先が設定されている。ＥＣＵの宛先は、車内通信がイーサネット（登録商標）であれば、ＥＣＵのＩＰ（インターネットプロトコル）アドレスおよびポート番号であり、車内通信がＣＡＮである場合は、通信接続先のＥＣＵが受信するＣＡＮ−ＩＤである。

例えば、更新対象ＥＣＵがＥＣＵ３ａである場合、ＥＣＵ３ａには、図７に示すようにＥＣＵ３ｃとの間で車内通信を行う依存関係（１）がある。一方、更新対象ＥＣＵがＥＣＵ３ｃであると、依存関係（１）、依存関係（２）および依存関係（３）の３つの依存関係がある。すなわち、更新対象のＥＣＵ３ｃは、ＥＣＵ３ａとの間で車内通信を行う依存関係（１）、ＥＣＵ３ｂとの間で車内通信を行う依存関係（２）、およびＥＣＵ３ｄとの間で車内通信を行う依存関係（３）がある。

依存関係確認部２４は、例えば、更新対象ＥＣＵがＥＣＵ３ｂである場合、図７に示す依存関係情報ｄを参照することで、ＥＣＵ３ａ、ＥＣＵ３ｃおよびＥＣＵ３ｄの中から、ＥＣＵ３ｂと依存関係のあるＥＣＵ３ｃおよびＥＣＵ３ｄを特定する。続いて、依存関係確認部２４は、車内通信部２８に問い合わせ情報ｅを出力して、更新対象のＥＣＵ３ｂと依存関係のあるＥＣＵ３ｃおよびＥＣＵ３ｄに対して問い合わせ情報ｅを送信する。複数のＥＣＵが問い合わせ対象である場合、車内通信部２８は、ブロードキャストで問い合わせ情報ｅを配信してもよい。

図８は、実施の形態１におけるＥＣＵの依存関係の確認処理を示す説明図である。図８において、ＥＣＵ３ａが更新対象であり、ＥＣＵ３ｃがＥＣＵ３ａと依存関係があるものとして説明する。また、信号機６の赤信号によって車両が一旦停車した状態であり、更新データａは、サーバ７から更新制御装置２にダウンロードされているものとする。

更新制御装置２が備える依存関係確認部２４は、情報通信過程（１）として、車内通信部２８を用いて、更新に問題がないか否かを問い合わせる情報を更新対象のＥＣＵ３ａに送信する。更新対象のＥＣＵ３ａが備える依存関係応答部３１は、車内通信部３０によって上記情報が受信されると、情報通信過程（２）として、車内通信部３０を用いて応答情報ｆを更新制御装置２に送信する。

このとき、依存関係応答部３１は、更新対象のＥＣＵ３ａと依存関係のあるＥＣＵ３ｂとの間の通信を通信状態（Ａ）〜（Ｃ）で管理し、現在の通信状態に基づいて応答情報ｆの内容を決定する。通信状態（Ａ）は、ＥＣＵ３ａが通信していない状態である。また、通信状態（Ｂ）は、ＥＣＵ３ａがＥＣＵ３ｃとの間で定期的に通信する状態である。通信状態（Ｂ）では、通信周期以外ではＥＣＵ３ａがＥＣＵ３ｃとの通信は行われない。通信状態（Ｃ）では、ＥＣＵ３ａとＥＣＵ３ｃとが現在通信しており、通信で得られた情報を用いて処理を行っている状態である。更新対象のＥＣＵ３ａが備える依存関係応答部３１は、通信状態（Ａ）〜（Ｃ）から現在の通信状態に対応する状態を特定し、特定した通信状態を示す応答情報ｆを、車内通信部３０を用いて更新制御装置２に送信する（情報通信過程（２））。

また、更新制御装置２が備える依存関係確認部２４は、情報通信過程（１ａ）として、車内通信部２８を用いて、問い合わせ情報ｅを、更新対象のＥＣＵ３ａと依存関係のあるＥＣＵ３ｃに送信する。ＥＣＵ３ｃが備える依存関係応答部３１は、車内通信部３０によって問い合わせ情報ｅが受信されると、情報通信過程（２ａ）として、車内通信部３０を用いて応答情報ｆを更新制御装置２に送信する。このとき、ＥＣＵ３ｃが備える依存関係応答部３１は、更新対象のＥＣＵ３ａとの間の通信を通信状態（Ａ）〜（Ｃ）で管理している。ＥＣＵ３ｃが備える依存関係応答部３１は、通信状態（Ａ）〜（Ｃ）の中から現在の通信状態に対応する状態を特定し、特定した通信状態を示す応答情報ｆを、車内通信部３０を用いて更新制御装置２に送信する（情報通信過程（２ａ））。

ここで、図６の説明に戻る。
依存関係確認部２４は、応答情報ｆに基づいて、更新対象ＥＣＵと依存関係のある全てのＥＣＵから更新の実行可の応答があったか否かを確認する（ステップＳＴ２ａ）。例えば、依存関係確認部２４は、応答情報ｆにおける通信状態が通信状態（Ａ）または通信状態（Ｂ）であった場合、応答情報ｆが更新の実行可を示していると判断して、更新の実行可を示す応答内容情報ｇを更新可否判定部２７に出力する。一方、依存関係確認部２４は、応答情報ｆにおける通信状態が通信状態（Ｃ）であれば、応答情報ｆが更新の実行不可を示していると判断して、更新の実行不可を示す応答内容情報ｇを更新可否判定部２７に出力する。

更新対象ＥＣＵと依存関係のある全てのＥＣＵが更新の実行可を応答した場合（ステップＳＴ２ａ；ＹＥＳ）、更新可否判定部２７は、更新時間ｉを計算するように更新時間計算部２６に対して指示する。更新時間計算部２６は、更新可否判定部２７の指示を受けると、更新対象ＥＣＵの更新時間ｉを計算する（ステップＳＴ３ａ）。例えば、更新時間計算部２６は、時間情報記憶部２５に記憶された時間情報ｈと、更新データ格納部２１に格納されている更新データａのデータサイズａ１とを参照して、更新対象ＥＣＵの更新に必要な更新時間ｉを計算する。

図９は、実施の形態１における時間情報ｈの例を示す図である。図９に示す時間情報ｈは、ＥＣＵの起動時間（ミリ秒）、ＲＯＭ２０２ｂの書き込み速度（ミリ秒／バイト）、ＥＣＵの動作の終了時間（ミリ秒）、ＥＣＵの起動回数と終了回数（回）および予備時間（ミリ秒）が、ＥＣＵごとに対応付けられたテーブル情報である。なお、ＲＯＭ２０２ｂには、実行プログラムと更新プログラムが記憶されている。

更新時間計算部２６は、時間情報ｈおよび更新データａのデータサイズａ１を用いて、下記式（１）に従い更新時間ｉを計算する。ただし、下記式（１）において、Ａは、更新対象ＥＣＵの起動時間、Ｂは、更新対象ＥＣＵの起動回数であり、Ｃは、更新対象ＥＣＵが備えるＲＯＭ２０２ｂの書き込み速度である。Ｄは、更新データａのデータサイズａ１である。Ｅは、更新対象ＥＣＵの動作の終了時間であり、Ｆは、更新対象ＥＣＵの終了回数であり、Ｇは、予備時間である。
更新時間（ミリ秒）＝（Ａ×Ｂ）＋（Ｃ×Ｄ）＋（Ｅ×Ｆ）＋Ｇ ・・・（１）

例えば、更新対象がＥＣＵ３ａである場合、図９に示した時間情報ｈと更新データａのデータサイズａ１とを用いて、上記式（１）に従い、ＥＣＵ３ａの更新時間ｉは、下記のように計算される。なお、上記式（１）において、ＥＣＵの起動時間Ａおよび終了時間Ｅは、ＥＣＵの起動と終了とを数十回程度繰り返したときの平均時間であってもよい。予備時間Ｇは、ＥＣＵの更新を確実に完了させるためのマージンとしての時間であり、更新に失敗しても、前のバージョンのプログラムに戻すあるいは再度更新を実行するリカバリーを行うことが可能な時間である。
ＥＣＵ３ａの更新時間（ミリ秒）＝１００＋（０．００１×ａ１）＋５００＋２０００

ＥＣＵの起動回数Ｂおよび終了回数Ｆは、ＥＣＵが備えるファームウェアまたはソフトウェアの更新で実行されるＥＣＵのリセットに応じた起動回数および終了回数であって、ＲＯＭ２０２ｂのメモリ領域の構成によって異なる。
図１０Ａは、更新対象ＥＣＵが備えるＲＯＭ２０２ｂのメモリ領域の構成を示す図である。また、図１０Ｂは、更新対象ＥＣＵと依存関係のあるＥＣＵが備えるＲＯＭ２０２ｂのメモリ領域の構成を示す図である。図１０Ａおよび図１０Ｂにおいて、更新対象ＥＣＵはＥＣＵ３ａであるものとする。

図１０Ａにおいて、ＲＯＭ２０２ｂは、起動フラグが記憶されたメモリ領域に加えて、メモリ領域２１ａ、メモリ領域ＳＷ（１）、およびメモリ領域ＳＷ（２）を備えている。メモリ領域２１ａは、更新データ格納部２１として機能し、更新データａが記憶される。メモリ領域ＳＷ（１）は、メモリ領域３４ａおよびメモリ領域３５ａを備える。
ここで、メモリ領域３４ａには、更新部３４の機能を実現するプログラムが記憶されている。メモリ領域３５ａには、更新部３４以外の更新対象のソフトウェアを実現するプログラムが記憶されている。

また、メモリ領域ＳＷ（２）は、メモリ領域３４ｂおよびメモリ領域３５ｂを備える。メモリ領域３４ｂには、更新部３４の機能を実現するプログラムが記憶され、メモリ領域３５ｂには、更新部３４以外の更新対象のソフトウェアを実現するプログラムが記憶される。図１０Ａにおいて、起動ラベル“１”がメモリ領域（１）の先頭アドレスに設定されているので、プロセッサ２０１は、メモリ領域ＳＷ（１）に記憶されたプログラムを実行する。すなわち、ＥＣＵ３ａを更新するときに、メモリ領域３４ａに記憶されたプログラムがプロセッサ２０１によって実行されて、更新部３４が起動している。

更新部３４は、メモリ領域２１ａから読み出した更新データａを用いて、メモリ領域ＳＷ（２）に記憶されたプログラムを更新する。この後、更新されたメモリ領域ＳＷ（２）の先頭アドレスに起動ラベル“２”が設定されてから、メモリ領域ＳＷ（２）に記憶されたプログラムの更新を有効化するためにＥＣＵ３ａがリセットされる。すなわち、ＥＣＵ３ａの動作が終了され再起動される。このとき、ＥＣＵ３ａの終了回数および起動回数はそれぞれ１回である。ＥＣＵ３ａが再起動すると、メモリ領域３４ｂに記憶されたプログラムがプロセッサ２０１によって実行されて、更新部３４が起動する。

一方、図１０Ｂに示すＲＯＭ２０２ｂは、起動フラグが記憶されたメモリ領域に加え、メモリ領域２１ａ、メモリ領域３４ｃおよびメモリ領域３５ｃを備えている。メモリ領域２１ａは、更新データ格納部２１として機能し、更新データａが記憶されている。メモリ領域３４ｃには、更新部３４の機能を実現するプログラムが記憶されており、メモリ領域３５ｃには、更新部３４以外の更新対象のソフトウェアを実現するプログラムが記憶されている。

起動ラベル“１”がメモリ領域３５ｃの先頭アドレスに設定されているので、プロセッサ２０１は、メモリ領域３５ｃに記憶されているプログラムを実行する。すなわち、ＥＣＵ３ａを更新するときに、プロセッサ２０１によって更新部３４以外のプログラムが実行されている。そこで、起動ラベル“２”がメモリ領域３４ｃの先頭アドレスに設定されてから、ＥＣＵ３ａがリセットされる。これにより、ＥＣＵ３ａの動作が終了され、再起動される。ＥＣＵ３ａのリセットによって更新部３４が起動する。

次に、更新部３４は、メモリ領域２１ａから読み出した更新データａを用いて、メモリ領域３５ｃに記載されたプログラムを更新する。この後、更新されたメモリ領域３５ｃの先頭アドレスに起動ラベル“１”が設定されてから、メモリ領域３５ｃに記憶されたプログラムの更新を有効化するためにＥＣＵ３ａがリセットされる。これにより、ＥＣＵ３ａの動作が終了され再起動される。これにより、メモリ領域３５ｃに記憶されたプログラムの内容が起動する。このように図１０Ｂに示すメモリ領域の構成を有したＲＯＭ２０２ｂに記憶されたプログラムを更新する場合、ＥＣＵ３ａの起動回数と終了回数とがそれぞれ２回となる。

車外通信部２０が備える第２の通信部２０ｂは、停車時間ｂを取得する（ステップＳＴ４ａ）。例えば、第２の通信部２０ｂは、信号機または踏切に設けられた路側無線通信機から停車時間ｂを受信する。なお、停車時間ｂは、信号機の赤信号が点灯している時間、または踏切の遮断機が降下している時間であり、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が一旦停車してから走行を開始するまでの時間である。第２の通信部２０ｂによって取得された停車時間ｂは、更新可否判定部２７に出力される。

更新可否判定部２７は、第２の通信部２０ｂから入力した停車時間ｂと、更新時間計算部２６によって計算された更新時間ｉとを比較して（ステップＳＴ５ａ）、停車時間ｂが更新時間ｉよりも長いか否かを判定する（ステップＳＴ６ａ）。停車時間ｂが更新時間ｉ以下であると判定した場合（ステップＳＴ６ａ；ＮＯ）、もしくは、依存関係確認部２４によって更新対象ＥＣＵと依存関係のあるＥＣＵのいずれかが更新の実行不可を応答した場合（ステップＳＴ２ａ；ＮＯ）、更新可否判定部２７は、更新対象ＥＣＵの更新を実行不可と判定する（ステップＳＴ７ａ）。この後、図６の処理が終了される。

一方、停車時間ｂが更新時間ｉよりも長いと判定した場合（ステップＳＴ６ａ；ＹＥＳ）、更新可否判定部２７は、更新対象ＥＣＵの更新を実行可と判定する（ステップＳＴ８ａ）。この後、更新可否判定部２７は、車内通信部２８を用いて、更新対象のＥＣＵに対して更新の実行を指示する更新依頼ｊを送信して、図６の処理を終了する。

次に、ＥＣＵにおける更新処理の詳細について説明する。
図１１は、実施の形態１における更新対象ＥＣＵの更新処理を示すフローチャートである。図１２は、ＥＣＵ間の通信終了から更新結果通知までの処理を示す説明図である。以下では、更新制御装置２に接続されているＥＣＵ３ａ〜３ｄのうち、ＥＣＵ３ａが更新対象であり、ＥＣＵ３ｃがＥＣＵ３ａと依存関係があるものとして説明する。

更新制御装置２が備える更新可否判定部２７は、車内通信部２８を用いて、更新対象のＥＣＵ３ａに対して更新の実行を指示する更新依頼ｊを送信する（図１２に示す情報通信過程（１））。ＥＣＵ３ａが備える車内通信部３０は、更新制御装置２からの更新依頼ｊを受信する（ステップＳＴ１ｂ）。車内通信部３０によって受信された更新依頼ｊは更新部３４に出力される。更新部３４は、更新依頼ｊを入力すると、終了確認部３２に対して通信終了依頼ｌを出力する。

ＥＣＵ３ａが備える終了確認部３２は、更新部３４から通信終了依頼ｌを入力すると、更新制御装置２に接続されたＥＣＵ３ｂ〜３ｄのうち、更新対象のＥＣＵ３ａと依存関係のあるＥＣＵが存在するか否かを確認する（ステップＳＴ２ｂ）。
例えば、終了確認部３２は、ＥＣＵ３ａと他のＥＣＵとの間の通信状態に基づいて、ＥＣＵ３ａと他のＥＣＵとの依存関係の有無を確認する。
なお、更新制御装置２からの更新依頼ｊが受信されたときに、ＥＣＵ３ａの通信状態が通信状態（Ａ）（ＥＣＵと通信していない状態）であった場合には、ステップＳＴ３ｂの処理を省略してもよい。

ここで、更新対象のＥＣＵ３ａと依存関係のあるＥＣＵが存在する場合（ステップＳＴ２ｂ；ＹＥＳ）、終了確認部３２は、更新対象のＥＣＵ３ａが現時点でシャットダウンしても問題ないかを確認するため、車内通信部３０を用いて、ＥＣＵ３ａと依存関係のあるＥＣＵに対して通信終了通知ｍを送信する（ステップＳＴ３ｂ）。図１２の例では、ＥＣＵ３ａからＥＣＵ３ｃに通信終了通知ｍが送信される（図１２の情報通信過程（２））。

ＥＣＵ３ｃが備える終了確認部３２は、車内通信部３０によって通信終了通知ｍが受信されると、ＥＣＵ３ａとの通信状態を、前述した通信状態（Ａ）（通信していない状態）に遷移するように車内通信部３０を制御する。例えば、ＥＣＵ３ｃとＥＣＵ３ａが、通信状態（Ｂ）（定期的な通信）で通信を行っていた場合、定期通信用タイマを停止させて、ＥＣＵ３ａとの通信を中断させる。また、ＥＣＵ３ｃが備える終了確認部３２は、ＥＣＵ３ａからの通信終了通知ｍが受信されると、ＥＣＵ３ａの更新が完了するまでＥＣＵ３ａとの通信が行われないように車内通信部３０を制御してもよい。

ＥＣＵ３ｃが備える終了確認部３２は、更新対象のＥＣＵ３ａとの間の通信を終了しても問題ない通信状態に遷移できた場合、更新対象のＥＣＵ３ａとの通信が終了可であることを示す応答情報ｎを、車内通信部３０を用いて、更新対象のＥＣＵ３ａに送信する（図１２の情報通信過程（３））。

更新対象のＥＣＵ３ａが備える終了確認部３２は、ＥＣＵ３ａと依存関係にある全てのＥＣＵから応答があったか否かを確認する（ステップＳＴ４ｂ）。ここでは、終了確認部３２によって、ＥＣＵ３ａとの通信が終了可であることを示す応答情報ｎが、依存関係にある全てのＥＣＵから受信されたか否かが確認される。終了確認部３２は、応答情報ｎの内容を示す情報ｏを更新部３４に出力する。更新部３４は、終了確認部３２からの情報ｏに基づいて、更新対象のＥＣＵ３ａとの通信が終了可であることを示す応答情報ｎが受信されたか否かを判定する。

依存関係にある全てのＥＣＵから、ＥＣＵ３ａとの通信が終了可であることを示す応答情報ｎが受信された場合（ステップＳＴ４ｂ；ＹＥＳ）、または更新対象のＥＣＵと依存関係のあるＥＣＵが存在しない場合（ステップＳＴ２ｂ；ＮＯ）、更新部３４は、更新を開始する（ステップＳＴ５ｂ）。これにより、ＥＣＵ３ａが備えるファームウェアまたはソフトウェアの更新が開始される。

一方、依存関係のあるＥＣＵのうちのいずれかから、ＥＣＵ３ａとの通信が終了不可であることを示す応答情報ｎが受信されると（ステップＳＴ４ｂ；ＮＯ）、更新部３４は、更新が失敗と判定する（ステップＳＴ６ｂ）。
ステップＳＴ５ｂの処理またはステップＳＴ６ｂの処理が完了すると、更新部３４は、更新結果を更新制御装置２に通知する（ステップＳＴ７ｂ）。例えば、更新部３４は、車内通信部３０を用いて、更新処理の結果を示す更新結果情報ｋを更新制御装置２に送信する（図１２の情報通信過程（４））。

次に、更新データのダウンロード処理の詳細について説明する。
図１３は、実施の形態１における更新データのダウンロード処理を示す説明図である。
更新制御装置２が備える第１の通信部２０ａは、更新データを管理するサーバ７から、モバイルデータ通信を用いて、車両の走行中に更新データａをダウンロードする。第１の通信部２０ａによってダウンロードされた更新データａは、図１３に示すように、更新制御装置２が備える更新データ格納部２１に一旦格納される。

更新データａを更新データ格納部２１に一旦格納する理由は、サーバ７と第１の通信部２０ａとの間の無線通信が有線通信に比べて不安定であり、さらに、複数のＥＣＵが更新対象である場合、これに応じて更新データａのデータサイズが大きくなるため、データを一時的に保管しておく必要があるためである。

第１の通信部２０ａによる更新データａのダウンロードが完了すると、更新データ格納部２１に格納された更新データａにデータサイズが付与されて、車内通信部２８によって更新対象ＥＣＵに送信される。図１３において、更新対象ＥＣＵがＥＣＵ３ａである。
ＥＣＵ３ａが備える車内通信部３０は、更新データａを受信すると、更新データ格納部３３に格納する。更新部３４は、更新データ格納部３３に格納された更新データａを用いて、ＥＣＵ３ａが備えるファームウェアまたはソフトウェアを更新する。

前述したように、実施の形態１に係る更新制御装置２は、更新対象ＥＣＵと依存関係のあるＥＣＵから更新の実行可が応答された場合に、車両が一旦停車してから走行を開始するまでの停車時間ｂ内に更新対象ＥＣＵの更新が完了するか否かを判定する。
例えば、信号機の赤信号または踏切の遮断機の降下で車両が停車してから走行を開始するまでの停車時間ｂ内にＥＣＵの更新が完了すると判定された場合に、ＥＣＵの更新が実行される。これにより、車両を意図的に駐車させずにＥＣＵを更新することができる。

実施の形態１に係る更新制御装置２において、第２の通信部２０ｂが外部装置から停車時間ｂを取得する。例えば、第２の通信部２０ｂは、信号機の赤信号が点灯している時間または踏切の遮断機が降下している時間を停車時間ｂとして取得する。これにより、更新制御装置２は、信号機または踏切における正確な停車時間を得ることができる。

実施の形態１に係る更新制御装置２は、ＥＣＵ間の依存関係を示す依存関係情報ｄが記憶された依存関係記憶部２３を備える。依存関係確認部２４は、依存関係記憶部２３に記憶されている依存関係情報ｄに基づいて更新対象ＥＣＵとの依存関係が確認されたＥＣＵに対して更新対象ＥＣＵの更新の実行可否を問い合わせる。これにより、更新制御装置２は、更新対象ＥＣＵと依存関係のあるＥＣＵを正確に認識して、更新対象ＥＣＵの更新の実行可否を問い合わせることができる。

実施の形態１に係る更新制御装置２において、更新時間計算部２６が、更新対象ＥＣＵのシャットダウン、起動、およびメモリの書き換えに要する時間に基づいて、更新時間ｉを計算する。これにより、更新制御装置２は、正確な更新時間ｉを計算することが可能である。

実施の形態１に係る更新制御システム１は、図１に示した構成を有することで、車両を意図的に駐車させずにＥＣＵを更新することができる。
また、実施の形態１に係る更新制御方法では、図６に示した一連の処理が実行されるので、上記と同様に、車両を意図的に駐車させずにＥＣＵを更新することができる。

実施の形態２．
実施の形態２では、複数のＥＣＵが更新対象である場合に、更新の優先度に応じて更新を行う順序を判定し、判定した順序でＥＣＵごとに更新が行われる。また、１つのＥＣＵの更新が完了したときに、他のＥＣＵの更新が実行されていない場合、優先度が高い更新について更新可否判定が実行される。優先度とは、更新の緊急性に応じて付与された値であり、優先度が高い更新であるほど、緊急性が高く迅速に対応する必要がある。
なお、実施の形態２に係る更新制御装置および実施の形態２に係る更新制御システムの構成は、実施の形態１と同じである。そこで、以下の説明では、実施の形態２の構成要素については、図１、図２および図３を参照する。

図１４は、本発明の実施の形態２に係る更新制御方法を示すフローチャートである。
以下、ＥＣＵ３ａ〜３ｄの全てが更新対象ＥＣＵであるものとする。さらに、図１４の処理が実行される前に、信号機の赤信号の点灯または踏切の遮断機の降下によって車両が一旦停車した状態であるものとする。このとき、停車判定ＥＣＵ４は、車両が停車状態であると判定し、更新制御装置２に対して停車状態通知ｃを送信する。

停車状態検出部２２は、停車判定ＥＣＵ４からの停車状態通知ｃが受信されたか否かに基づいて、車両の停車状態が検出されたか否かを確認する（ステップＳＴ１ｃ）。
停車状態通知ｃが受信されず、車両の停車状態が検出されなかった場合（ステップＳＴ１ｃ；ＮＯ）、図１４の処理が終了される。なお、図１４に示す一連の処理は、更新制御装置２が起動している間、周期的に実行される。

停車状態検出部２２は、停車状態通知ｃが受信され、車両の停車状態が検出された場合（ステップＳＴ１ｃ；ＹＥＳ）、停車状態通知ｃを依存関係確認部２４に出力する。
依存関係確認部２４は、更新制御装置２に接続されたＥＣＵ３ａ〜３ｄの中に、更新対象のＥＣＵが存在し、更新データａがダウンロード済みであるか否かを確認する（ステップＳＴ２ｃ）。更新対象ＥＣＵが存在しないか、あるいは、更新データａがダウンロードされていない場合（ステップＳＴ２ｃ；ＮＯ）、図１４の処理が終了される。

一方、ＥＣＵ３ａ〜３ｄの中に更新対象ＥＣＵが存在し、更新データａがダウンロードされていた場合（ステップＳＴ２ｃ；ＹＥＳ）、依存関係確認部２４は、更新対象ＥＣＵが複数存在するか否かを確認する（ステップＳＴ３ｃ）。ここで、更新対象ＥＣＵが１つであれば（ステップＳＴ３ｃ；ＮＯ）、ステップＳＴ５ｃの処理に移行する。

更新対象ＥＣＵが複数存在する場合（ステップＳＴ３ｃ；ＹＥＳ）、依存関係確認部２４は、このことを更新可否判定部２７に通知する。更新可否判定部２７は、依存関係確認部２４からの上記通知を受けると、複数の更新対象ＥＣＵの中から、更新を行うＥＣＵを判定する（ステップＳＴ４ｃ）。例えば、更新可否判定部２７は、更新データ格納部２１に格納された更新データａから更新ごとに付与された優先度を抽出して、更新の優先度が最も高いＥＣＵを、更新を行うＥＣＵと判定する。

依存関係確認部２４および更新可否判定部２７は、ステップＳＴ４ｃで判定したＥＣＵの更新が実行可能か否かを判定する（ステップＳＴ５ｃ）。なお、この更新可否判定は、実施の形態１で図６を用いて説明した処理と同じである。更新可否判定部２７によって更新対象ＥＣＵの更新が実行不可と判定された場合（ステップＳＴ５ｃ；ＮＯ）、ステップＳＴ８ｃの処理に移行する。

更新可否判定部２７は、更新対象ＥＣＵの更新が実行可と判定した場合（ステップＳＴ５ｃ；ＹＥＳ）、更新対象ＥＣＵに対して更新の実行を指示する更新依頼を行う（ステップＳＴ６ｃ）。例えば、更新可否判定部２７は、車内通信部２８を用いて、更新依頼ｊを更新対象ＥＣＵに送信して、更新データ格納部２１に一時的に格納された更新データａを更新対象ＥＣＵに送信する。

更新対象ＥＣＵは、更新制御装置２から受信した更新データａを用いてファームウェアまたはソフトウェアの更新処理を実行する。そして、更新対象ＥＣＵは、車内通信部３０を用いて、更新に成功したか否かを示す更新結果情報ｋを更新制御装置２に送信する。
更新制御装置２が備える車内通信部２８は、更新対象ＥＣＵから更新結果情報ｋを受信する（ステップＳＴ７ｃ）。

更新可否判定部２７は、ステップＳＴ３ｃにて判定した複数の更新対象ＥＣＵのうち、更新処理が実行されていない更新対象ＥＣＵが残っており、更新を完了するために必要な時間が現在の停車時間ｂに残っているか否かを判定する（ステップＳＴ８ｃ）。例えば、更新可否判定部２７は、更新処理が実行されていない更新対象ＥＣＵがあり、停車時間ｂから直前の更新に要した時間（直前の更新における更新時間ｉ）を差し引いた差分の時間が閾値よりも長いか否かで判定する。

更新処理が実行されていない更新対象ＥＣＵが残っていないか、あるいは更新の完了に必要な停車時間ｂが残っていない場合（ステップＳＴ８ｃ；ＮＯ）、図１４の処理が終了される。なお、ステップＳＴ５ｃにおいて、更新の優先度が最も高いＥＣＵの更新の実行が不可と判定された場合であっても、ステップＳＴ８ｃの判定を行うことにより、更新の優先度が次に高いＥＣＵから順に、更新の実行可否を判定することができる。

一方、更新処理が実行されていない更新対象ＥＣＵが残っており、更新を完了するために必要な時間が現在の停車時間ｂに残っている場合（ステップＳＴ８ｃ；ＹＥＳ）、更新可否判定部２７は、ステップＳＴ３ｃに戻る。ここで、更新可否判定部２７は、例えば、更新の優先度が最も高いＥＣＵにおける更新時間ｉと停車時間ｂから直前の更新に要した時間（直前の更新における更新時間ｉ）を差し引いた差分の時間とを比較する。そして、更新可否判定部２７は、差分の時間が更新時間ｉよりも長ければ更新の実行可と判定し、差分の時間が更新時間以下であれば、更新の実行不可と判定する。

前述したように、実施の形態２に係る更新制御装置２において、更新可否判定部２７が、更新対象の複数のＥＣＵが存在する場合に、更新の優先度の順序で停車時間内に更新対象ＥＣＵの更新が完了するか否かを判定する。これにより、同時に複数の更新が要求されても、優先度が高く重要な更新から実施される。さらに、停車時間ｂ内に複数の更新を実施することも可能である。

実施の形態３．
実施の形態３では、複数のＥＣＵで同時に行われる更新または複数のＥＣＵが更新順序に従って行われる更新がある場合に、複数のＥＣＵの更新時間を合計した合計時間を停車時間と比較して更新可否を実行する。なお、実施の形態３に係る更新制御装置および実施の形態３に係る更新制御システムの構成は、実施の形態１と同じである。そこで、以下の説明では、実施の形態３の構成要素については、図１、図２および図３を参照する。

なお、複数のＥＣＵが備えるファームウェアまたはソフトウェアを同時に更新するか、更新順序に従って更新する場合、更新バージョンの整合性をとる必要がある。
例えば、ＥＣＵ３ａとＥＣＵ３ｃとが同じバージョンのソフトウェアで動作する場合を考える。この場合、ＥＣＵ３ａが備えるソフトウェアのバージョン１．０．０を２．０．０に更新し、さらにＥＣＵ３ｃが備えるソフトウェアのバージョン１．０．０を２．０．０に更新することは可能である。ただし、ＥＣＵ３ａが備えるソフトウェアのバージョン１．０．０を更新せず、ＥＣＵ３ｃが備えるソフトウェアのバージョンだけを２．０．０に更新することはできない。

図１５は、本発明の実施の形態３に係る更新制御方法を示すフローチャートであって、図１４のステップＳＴ５ｃの処理に対応する一連の処理を示している。
更新対象ＥＣＵの数分の回数の繰り返しループにおいて、依存関係確認部２４が、更新対象ＥＣＵと依存関係のあるＥＣＵに対して、更新対象ＥＣＵの更新の実行可否を問い合わせる（ステップＳＴ１ｄ）。例えば、依存関係確認部２４は、依存関係記憶部２３に記憶された依存関係情報ｄに基づいて、更新対象ＥＣＵごとに依存関係のある全てのＥＣＵを特定する。

複数の更新対象ＥＣＵのそれぞれと依存関係のあるＥＣＵに対して、更新の実行可否の問い合わせが行われると、依存関係確認部２４は、依存関係のあるＥＣＵから受信された応答情報ｆに基づいて、更新対象ＥＣＵごとに、依存関係のある全てのＥＣＵから更新の実行可の応答があったか否かを確認する（ステップＳＴ２ｄ）。
例えば、依存関係確認部２４は、応答情報ｆが更新の実行可を示している場合、更新の実行可を示す応答内容情報ｇを更新可否判定部２７に出力する。一方、依存関係確認部２４は、応答情報ｆが更新の実行不可を示している場合、更新の実行不可を示す応答内容情報ｇを更新可否判定部２７に出力する。

更新対象ＥＣＵと依存関係のある全てのＥＣＵが更新の実行可を応答した場合（ステップＳＴ２ｄ；ＹＥＳ）、更新時間計算部２６は、更新対象ＥＣＵの数分の回数の繰り返しループに移行する。この繰り返しループおいて、更新時間計算部２６は、更新対象ＥＣＵごとの更新時間ｉを計算する（ステップＳＴ３ｄ）。例えば、更新時間計算部２６は、時間情報記憶部２５に記憶された時間情報ｈと、更新データ格納部２１に格納されている更新ごとの更新データａのデータサイズａ１とを参照することにより、更新対象ＥＣＵごとの更新に必要な更新時間ｉをそれぞれ計算する。

車外通信部２０が備える第２の通信部２０ｂは、停車時間ｂを取得する（ステップＳＴ４ｄ）。例えば、第２の通信部２０ｂは、信号機または踏切に設けられた路側無線通信機から停車時間ｂを受信する。第２の通信部２０ｂによって取得された停車時間ｂは、更新可否判定部２７に出力される。

更新可否判定部２７は、第２の通信部２０ｂから入力した停車時間ｂと、更新時間計算部２６によって更新対象ＥＣＵごとに計算された更新時間ｉの合計時間とを比較し（ステップＳＴ５ｄ）、停車時間ｂが合計時間よりも長いか否かを判定する（ステップＳＴ６ｄ）。停車時間ｂが合計時間以下であると判定された場合（ステップＳＴ６ｄ；ＮＯ）、または、依存関係確認部２４によって更新対象ＥＣＵと依存関係のあるＥＣＵのいずれかが更新の実行不可を応答した場合（ステップＳＴ２ｄ；ＮＯ）、更新可否判定部２７は、更新対象ＥＣＵの更新を実行不可と判定する（ステップＳＴ７ｄ）。

停車時間ｂが合計時間よりも長いと判定した場合（ステップＳＴ６ｄ；ＹＥＳ）、更新可否判定部２７は、更新対象ＥＣＵの更新を実行可と判定する（ステップＳＴ８ｄ）。
この後、更新可否判定部２７は、車内通信部２８を用いて、更新対象のＥＣＵに対して更新の実行を指示する更新依頼ｊを送信して、図１４の処理を終了する。

一方、ステップＳＴ７ｄで更新対象ＥＣＵの更新を実行不可と判定した場合、更新可否判定部２７は、更新の実行不可と判定したＥＣＵおよび更新順序がある複数のＥＣＵを、更新対象ＥＣＵから除外する（ステップＳＴ９ｄ）。
図１４のステップＳＴ８ｃの処理では、更新可否判定部２７が、更新順序によらず、更新が実行されていない更新対象ＥＣＵを判定する。このため、図１５の処理が完了して、図１４の処理に戻ったときに、ステップＳＴ８ｃにおいて更新順序は考慮されないので、更新可否判定部２７は、更新の実行不可と判定したＥＣＵと更新順序がある複数のＥＣＵを更新対象ＥＣＵから除外する。

なお、ＥＣＵごとに計算された更新時間ｉの合計時間と停車時間ｂとを比較して、停車時間ｂ内に更新対象の複数のＥＣＵの更新が完了するか否かを判定する場合を示したが、実施の形態３に係る更新制御装置２は、これに限定されるものではない。
例えば、更新対象の複数のＥＣＵが存在して更新が並列に行われる場合、更新可否判定部２７が、更新時間計算部２６によってＥＣＵごとに計算された更新時間ｉのうち、最も長い更新時間ｉと停車時間ｂとを比較して、停車時間ｂ内に更新対象の複数のＥＣＵの更新が完了するか否かを判定してもよい。これにより、複数の更新が並列に行われる場合であっても、車両を意図的に駐車させずにＥＣＵを更新することができる。

前述したように、実施の形態３に係る更新制御装置２において、更新可否判定部２７は、更新対象の複数のＥＣＵが存在する場合に、更新時間計算部２６によってＥＣＵごとに計算された更新時間ｉの合計時間を計算し、合計時間と停車時間ｂとを比較して、停車時間ｂ内に更新対象の複数のＥＣＵの更新が完了するか否かを判定する。これにより、複数の更新の組み合わせがある場合であっても、車両を意図的に駐車させずにＥＣＵを更新することができる。

なお、本発明は上記実施の形態に限定されるものではなく、本発明の範囲内において、実施の形態のそれぞれの自由な組み合わせまたは実施の形態のそれぞれの任意の構成要素の変形もしくは実施の形態のそれぞれにおいて任意の構成要素の省略が可能である。

本発明に係る更新制御装置は、車両を意図的に駐車させずに、車載用ＥＣＵを更新することができるので、車載用ＥＣＵの更新をＯＴＡで実施する更新制御システムに利用可能である。

１ 更新制御システム、２ 更新制御装置、３ａ，３ｂ，３ｃ，３ｄ ＥＣＵ、４ 停車判定ＥＣＵ、５ 通信バス、６ 信号機、７ サーバ、２０ 車外通信部、２０ａ 第１の通信部、２０ｂ 第２の通信部、２１，３３ 更新データ格納部、２１ａ，３４ａ，３４ｂ，３４ｃ，３５ａ，３５ｂ，３５ｃ メモリ領域、２２ 停車状態検出部、２３ 依存関係記憶部、２４ 依存関係確認部、２５ 時間情報記憶部、２６ 更新時間計算部、２７ 更新可否判定部、２８，３０ 車内通信部、３１ 依存関係応答部、３２ 終了確認部、３３ 更新データ格納部、３４ 更新部、１００ 車外ネットワークＩ／Ｆ、１０１，２００ 車内ネットワークＩ／Ｆ、１０２，２０１ プロセッサ、１０３，２０２ メモリ、１０３ａ，２０２ａ ＲＡＭ、１０３ｂ，２０２ｂ ＲＯＭ。

Claims (10)

1. 更新対象の車載用電子制御装置と依存関係のある車載用電子制御装置に対して前記更新対象の車載用電子制御装置の更新の実行可否を問い合わせる依存関係確認部と、
   前記更新対象の車載用電子制御装置の更新に必要な更新時間を計算する更新時間計算部と、
   車両が一旦停車してから走行を開始するまでの停車時間を取得する停車時間取得部と、
   前記依存関係確認部によって更新の実行可の応答が確認された場合に、前記更新時間と前記停車時間とを比較して、前記停車時間内に前記更新対象の車載用電子制御装置の更新が完了するか否かを判定する更新可否判定部とを備えたこと
   を特徴とする更新制御装置。
2. 前記停車時間取得部は、外部装置から前記停車時間を取得すること
   を特徴とする請求項１記載の更新制御装置。
3. 前記停車時間取得部は、外部装置から、信号機の赤信号が点灯している時間または踏切の遮断機が降下している時間を前記停車時間として取得すること
   を特徴とする請求項２記載の更新制御装置。
4. 車載用電子制御装置間の依存関係を示す依存関係情報が記憶された依存関係記憶部を備え、
   前記依存関係確認部は、前記依存関係記憶部に記憶されている前記依存関係情報に基づいて、前記更新対象の車載用電子制御装置との依存関係が確認された車載用電子制御装置に対して前記更新対象の車載用電子制御装置の更新の実行可否を問い合わせること
   を特徴とする請求項１記載の更新制御装置。
5. 前記更新時間計算部は、前記更新対象の車載用電子制御装置のシャットダウン、起動、およびメモリの書き換えに要する時間に基づいて、前記更新時間を計算すること
   を特徴とする請求項１記載の更新制御装置。
6. 前記更新可否判定部は、前記更新対象の複数の車載用電子制御装置が存在する場合に、更新の優先度の順序で前記停車時間内に前記更新対象の車載用電子制御装置の更新が完了するか否かを判定すること
   を特徴とする請求項１記載の更新制御装置。
7. 前記更新可否判定部は、前記更新対象の複数の車載用電子制御装置が存在する場合に、前記更新時間計算部によって車載用電子制御装置ごとに計算された前記更新時間の合計時間を計算し、前記合計時間と前記停車時間とを比較して、前記停車時間内に前記更新対象の複数の車載用電子制御装置の更新が完了するか否かを判定すること
   を特徴とする請求項１記載の更新制御装置。
8. 前記更新可否判定部は、前記更新対象の複数の車載用電子制御装置が存在して更新が並列に行われる場合に、前記更新時間計算部によって車載用電子制御装置ごとに計算された前記更新時間のうち、最も長い前記更新時間と前記停車時間とを比較して、前記停車時間内に前記更新対象の複数の車載用電子制御装置の更新が完了するか否かを判定すること
   を特徴とする請求項１記載の更新制御装置。
9. 請求項１から請求項８のいずれか１項記載の更新制御装置と、
   複数の車載用電子制御装置とを備え、
   複数の車載用電子制御装置は、更新の実行可否の問い合わせに対して応答する依存関係応答部を備えること
   を特徴とする更新制御システム。
10. 依存関係確認部が、更新対象の車載用電子制御装置と依存関係のある車載用電子制御装置に対して前記更新対象の車載用電子制御装置の更新の実行可否を問い合わせるステップと、
    更新時間計算部が、前記更新対象の車載用電子制御装置の更新に必要な更新時間を計算するステップと、
    停車時間取得部が、車両が一旦停車してから走行を開始するまでの停車時間を取得するステップと、
    更新可否判定部が、前記依存関係確認部によって更新の実行可が応答が確認された場合に、前記更新時間と前記停車時間とを比較して、前記停車時間内に前記更新対象の車載用電子制御装置の更新が完了するか否かを判定するステップとを備えたこと
    を特徴とする更新制御方法。

Images