JPWO2020059033A1 - 車載装置、更新決定方法及び更新決定プログラム - Google Patents

Abstract

ソフトウェア検証部（４０５）は、車両に実装されているソフトウェアの更新が許可されるための、車両の状態についての条件である状態条件が示される状態条件情報を管理する。状態取得部（４０１）は、車両の状態を取得する。ソフトウェア検証部（４０５）は、状態取得部（４０１）により取得された車両の状態が状態条件情報に示される状態条件に合致するか否かを判定して、ソフトウェアの更新の可否を決定する。

Description

本発明は、車両に実装されているソフトウェアの更新に関する。

車両のコネクティッドカー化が進展しており、車両の出荷後にも、車両のオーナーのもとで車両制御用のソフトウェアを更新することが行われるようになってきている。
従来は、ソフトウェア更新はディーラー作業員等専門知識をもった者により行われていた。そして、ソフトウェア更新後に車両の動作試験が行われ、車両のオーナーには、動作試験が完了した後の車両が引き渡されていた。
一方、専門知識を持たない車両のオーナーがソフトウェアを更新する場合は、車両自身がソフトウェアの更新前にソフトウェアの更新可否を判定しなければならない。このようにして、ソフトウェアの更新後に車両が正常に機能しなくなる事態を回避することが必要である。
この点に関し、特許文献１では、ソフトウェアの更新前に対象車両のシステム構成において更新後のソフトウェアが動作可能か否かを検証する技術が開示されている。

特開２０１７−５９２１０号公報

特許文献１では、ソフトウェアの更新前に、対象車両のシステム構成情報に基づいて、更新後のソフトウェアが動作可能か検証する技術が開示されている。
ところで、車両は長年使用していると、車両制御装置が制御する機器が用いるバッテリー、センサ、アクチュエータ等が劣化する可能性がある。このため、システム構成情報に基づく車両の状態と実車両の状態とが異なる場合がある。また、車両の開発者が想定する範囲以上の頻度又は態様で車両が利用されると、システム構成情報に基づく車両の状態と実車両の状態とが異なる場合がある。更に、開発者が想定しない機器が車両に取り付けられている場合、車両メーカに記録されているシステム構成と実車両のシステム構成とが相違している場合がある。このような場合にも、システム構成情報に基づく車両の状態と実車両の状態とが異なることになる。

しかしながら、特許文献１では、システム構成情報に基づく車両の状態と実車両の状態との差が考慮されておらず、ソフトウェアの更新後に車両が正常に機能しない可能性がある。

本発明は、このような事情に鑑みてなされたものである。つまり、本発明は、ソフトウェアの更新後に車両が正常に機能しないという事態を回避することを主な目的とする。

本発明に係る車載装置は、
車両に搭載された車載装置であって、
前記車両に実装されているソフトウェアの更新が許可されるための、前記車両の状態についての条件である状態条件が示される状態条件情報を管理する状態条件情報管理部と、
前記車両の状態を取得する状態取得部と、
前記状態取得部により取得された前記車両の状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する更新決定部とを有する。

本発明によれば、ソフトウェアの更新後に車両が正常に機能しないという事態を回避することができる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る車両の内部構成例を示す図。 実施の形態１に係る更新決定装置のハードウェア構成例を示す図。 実施の形態１に係る更新決定装置の機能構成例を示す図。 実施の形態１に係るシステム構成情報の例を示す図。 実施の形態１に係るソフトウェア更新情報の例を示す図。 実施の形態１に係る状態条件情報の例を示す図。 実施の形態１に係る状態情報の例を示す図。 実施の形態１に係るソフトウェア更新可否決定動作の例を示すフローチャート。

以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るシステム構成例を示す。
本実施に係るシステムは、ソフトウェア配信サーバ１００と公共通信網１０１と車両１０２とを備える。

ソフトウェア配信サーバ１００は、車両１０２に対してソフトウェア更新情報を配信する。また、ソフトウェア配信サーバ１００は、車両１０２からソフトウェアのダウンロード要求があった場合に、要求されたソフトウェアを車両１０２に送信する。
ソフトウェア配信サーバ１００の典型例としてデータセンタ上のクラウドサーバが考えられる。また、車両の販売店ごとにソフトウェア配信サーバ１００を構成するようにしてもよい。更に、自動車メーカとは関係がない第三者がソフトウェア配信サーバ１００を構成するようにしてもよい。

公共通信網１０１は、ソフトウェア更新情報及びソフトウェアの配信経路である。自動車のソフトウェア更新システムの場合、公共通信網１０１は、典型的には携帯電話網又はインターネットである。また、公共通信網１０１として、専用無線ネットワーク又は有線ネットワークを使用してもよい。

図２は、車両１０２の内部構成例を示す。

車両１０２は、車載ネットワークａ２１１、車載ネットワークｂ２１２及び車載ゲートウェイ２０９により車両制御装置が相互に接続された車載電気電子システムを有する。車載電気電子システムは、エンジン、シャシー、ドア等、車両の装備を電気的に制御するシステムである。車載電気電子システムは、車両の基本機能の「走る」「曲がる」「止まる」だけでなく、快適装備又は保安装備の制御にも用いられる。今日、車載電気電子システムには非常に多くの車両制御装置が接続されるが、本明細書では発明の説明のための便宜上、必要最小限の構成要素を例示して説明することとする。

図２に示した車載電気電子システムは、更新決定装置２００、ソフトウェア更新装置２０１、通信装置２０２、カーナビゲーションシステム２０３、ＡＤＡＳ ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０４、カメラＥＣＵ２０５、ライトＥＣＵ２０６の各車両制御装置を備える。

ライトＥＣＵ２０６にはヘッドライト２０７が、カメラＥＣＵ２０５にはカメラ２０８がそれぞれ接続される。上記の構成要素のうち、更新決定装置２００とソフトウェア更新装置２０１以外は、任意の機能を持つ車両制御装置に置き換えてもよい。

車載ネットワークａ２１１及び車載ネットワークｂ２１２は、バス型のネットワークシステムである。ネットワークのプロトコルスタックは限定しないが、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）又はＵＤＳ（Ｕｎｉｖｅｒｓａｌ Ｄｉａｇｎｏｓｔｉｃ Ｓｅｒｖｉｃｅ）を利用することができる。

車載ゲートウェイ２０９は、車載ネットワークａ２１１と車載ネットワークｂ２１２を相互接続し、異なるネットワークプロトコル間での通信を可能にする車両制御装置である。

更新決定装置２００は、車両１０２が受信したソフトウェア更新情報、更新決定装置２００が保持するシステム構成情報、及び、車両１０２から収集した状態情報を用いて、単一あるいは複数の車両制御装置に対してのソフトウェア更新可否を決定する車両制御装置である。
更新決定装置２００は、本願に係る車載装置に相当する。また、更新決定装置２００により行われる動作は、更新決定方法に相当する。

ソフトウェア更新装置２０１は、更新決定装置２００の更新可否の決定に基づき、車載ネットワークａ２１１及び車載ネットワークｂ２１２を経由して、車両制御装置のソフトウェアを更新する車両制御装置である。

通信装置２０２は、ソフトウェア配信サーバ１００が公共通信網１０１を経由して配信するソフトウェア更新情報及びソフトウェアを受信する車両制御装置である。通信装置２０２は、例えば、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｔｉｏｎ）（登録商標）、３Ｇ、Ｗｉ−Ｆｉ等のプロトコルに対応する。

カーナビゲーションシステム２０３は、一般的なカーナビゲーションシステムである。カーナビゲーションシステム２０３は、ディスプレイ及びスピーカを備える。

ＡＤＡＳ ＥＣＵ２０４は、先進運転支援システム（ＡＤＡＳ： Ａｄｖａｎｃｅｄ Ｄｒｉｖｉｎｇ Ａｓｓｉｓｔａｎｔ Ｓｙｓｔｅｍ）を制御する車両制御装置である。
一般的なＡＤＡＳ ＥＣＵは、車両の車線を維持させるレーンキープシステム、車速を一定に保つアダプティブクルーズコントロールシステム等を制御する。ここでは、ＡＤＡＳ ＥＣＵ２０４に、ヘッドライト２０７の光軸を進行方向に照射することで視認性向上を図るアダプティブフロントライティングシステムの制御機能を備えるものとする。なお、これは例示であり、任意の車両機能に対して本実施の形態を適用できる。

カメラＥＣＵ２０５は、カメラ２０８で取得した映像から障害物、歩行者、前方の道路形状等を認識する車両制御装置である。カメラＥＣＵ２０５には、カメラ２０８が接続される。

ライトＥＣＵ２０６は、ヘッドライト２０７を制御するための車両制御装置である。

ヘッドライト２０７は、アダプティブフロントライティングシステム実現のために光軸を可変させる機構を備えていてもよい。また、ヘッドライト２０７は、マトリックス状に光源が配置されヘッドライト２０７の照射範囲を可変にすることができるようになっていてもよい。

カメラ２０８は、車両の周囲の映像を取得する機能を備える。

電源２１０は、車載ネットワークａ２１１及び車載ネットワークｂ２１２上の全ての車両制御装置と接続し、全ての車両制御装置に電源を供給する車両制御装置である。
本明細書では発明の説明の便宜上、ヘッドライト２０７とカメラ２０８への電源供給のみ例示する。

図３は、本実施の形態に係る更新決定装置２００のハードウェア構成例を示す。

更新決定装置２００は、コンピュータである。
更新決定装置２００は、ハードウェアとして、マイクロコンピュータ３００と、不揮発性メモリ３０１と、通信インタフェース３０２とを有している。
マイクロコンピュータ３００には、ＲＯＭ３０３、ＲＡＭ３０４及びプロセッサ３０５が含まれる。
マイクロコンピュータ３００は、不揮発性メモリ３０１と通信インタフェース３０２に接続されている。マイクロコンピュータ３００は、通信インタフェース３０２を介して、他の車載制御装置と通信を行うことができる。
通信インタフェース３０２は、車載ネットワークａ２１１と接続する。
ＲＯＭ３０３にはプログラム３０６が記憶されている。プログラム３０６は、ＲＡＭ３０４にロードされる。そして、プロセッサ３０５がプログラム３０６を実行する。プログラム３０６は、本願の更新決定プログラムに相当する。

図４は、本実施の形態に係る更新決定装置２００の機能構成例を示す。
更新決定装置２００は、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４、ソフトウェア検証部４０５、状態情報保持部４０６、ソフトウェア更新情報保持部４０７、システム構成情報保持部４０８、検証済構成情報保持部４０９及び状態条件情報保持部４１０を有する。

通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５は、図３に示すプログラム３０６により実現される。前述したように、プロセッサ３０５がプログラム３０６を実行する。つまり、プロセッサ３０５がプログラム３０６を実行することで、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の機能が実現される。図４では、プロセッサ３０５が通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の機能を実現するプログラム３０６を実行している状態を模式的に表している。

状態情報保持部４０６、ソフトウェア更新情報保持部４０７、システム構成情報保持部４０８、検証済構成情報保持部４０９及び状態条件情報保持部４１０は、不揮発性メモリ３０１又はＲＡＭ３０４により実現される。

通信部４００は、車載ネットワークａ２１１と相互接続し、車載ネットワークａ２１１及び車載ネットワークｂ２１２上の車両制御装置との通信を行う。

状態取得部４０１は、状態情報を通信部４００から取得し、取得した状態情報を状態情報保持部４０６へ格納する。状態情報は、各車両制御装置から車載ネットワークａ２１１を介して更新決定装置２００の通信部４００へ送信される。状態情報には、車両１０２の状態が示される。

ソフトウェア更新情報取得部４０２は、ソフトウェア更新情報を通信部４００から取得し、取得したソフトウェア更新情報をソフトウェア更新情報保持部４０７へ格納する。ソフトウェア更新情報の発信源及び伝達経路は限定しない。ソフトウェア更新情報は、例えばソフトウェア配信サーバ１００から公共通信網１０１、車両１０２の通信装置２０２、車載ネットワークａ２１１を介して更新決定装置２００の通信部４００へ送信されてもよい。

システム構成情報取得部４０３は、システム構成情報を通信部４００から取得し、取得したシステム構成情報をシステム構成情報保持部４０８へ格納する。システム構成情報の発信源及び伝達経路は限定しない。システム構成情報は、例えば各車両制御装置から車載ネットワークａ２１１を介して更新決定装置２００の通信部４００へ送信されてもよい。

検証済構成情報取得部４０４は、検証済構成情報を通信部４００から取得し、取得した検証済構成情報を検証済構成情報保持部４０９へ格納する。検証済構成情報の発信源及び通伝達経路は限定しない。検証済構成情報は、例えばソフトウェア配信サーバ１００、公共通信網１０１、車両１０２の通信装置２０２から、あるいは、ソフトウェア検証部４０５から車載ネットワークａ２１１を介して送信されてもよい。

ソフトウェア検証部４０５は、状態情報、ソフトウェア更新情報、システム構成情報、検証済構成情報からソフトウェア更新の可否を決定する。
より具体的には、ソフトウェア検証部４０５は、状態条件情報を管理する。状態条件情報には、車両１０２に実装されているソフトウェアの更新が許可されるための、車両１０２の状態についての条件である状態条件が示される。ソフトウェア検証部４０５は、状態条件情報保持部４１０から状態条件情報を読み出す。また、ソフトウェア検証部４０５は、状態情報保持部４０６から状態情報を読み出す。前述のように、状態情報には、車両１０２の状態が示される。そして、ソフトウェア検証部４０５は、状態情報に示される車両１０２の状態が状態条件情報に示される状態条件に合致するか否かを判定して、ソフトウェアの更新の可否を決定する。
ソフトウェア検証部４０５は、状態条件情報管理部及び更新決定部の例に相当する。また、ソフトウェア検証部４０５により行われる処理は、状態条件情報管理処理及び更新決定処理に相当する。

状態情報保持部４０６は、状態情報を保持する。
状態情報は、車載ネットワークａ２１１及び車載ネットワークｂ２１２に接続する車両制御装置の運用状態を示す情報の集合である。状態情報の一例を図８に示す。状態情報の詳細は後述する。

ソフトウェア更新情報保持部４０７は、ソフトウェア更新情報を保持する。
ソフトウェア更新情報は、車載ネットワークａ２１１及び車載ネットワークｂ２１２に接続する車両制御装置の現在のソフトウェアバージョンと更新が要求されるソフトウェアの更新バージョンを示す情報である。ソフトウェア更新情報の一例を図６に示す。ソフトウェア更新情報の詳細は後述する。

システム構成情報保持部４０８は、システム構成情報を保持する。システム構成情報は、車載ネットワークａ２１１及び車載ネットワークｂ２１２に接続する全ての車両制御装置の情報である。システム構成情報の一例を図５に示す。システム構成情報の詳細は後述する。

検証済構成情報保持部４０９は、更新用ソフトウェアの動作検証に用いられた車両制御装置の種類を示す情報である検証済構成情報を保持する。

状態条件情報保持部４１０は、状態条件情報を保持する。
状態条件情報は、車両１０２に実装されているソフトウェアの更新が許可されるための、車両１０２の状態についての条件である状態条件が示される情報である。状態条件情報の一例を図７に示す。状態条件情報の詳細は後述する。

図５は、本実施の形態に係るシステム構成情報の例を示す。

図５に示すシステム構成情報は、車両１０２及び車両１０２に搭載された機器とその詳細を示すリストである。車両１０２に搭載された機器には、車両制御装置とその他の機器（ヘッドライト、カメラ等）が含まれる。車両１０２及び機器の種類とその詳細情報は多数考えられるが、本明細書では説明のための便宜上、必要最小限の項目を例示する。
システム構成情報には、「ＥＣＵ−ＩＤ」と、「名称」、「型番」、「製造年月」、「ソフトウェアバージョン」とが含まれる。
「ＥＣＵ−ＩＤ」は、車両１０２及び車両１０２に搭載された機器に固有の識別子を示す。「名称」は、車両１０２に搭載された車両制御装置の一般名称を示す。「型番」は、車両１０２に搭載された車両制御装置の機種名を示す。「製造年月」は、車両１０２に搭載された車両制御装置が製造された年月を示す。「ソフトウェアバージョン」は、車両１０２に搭載された車両制御装置に書き込まれている最新のソフトウェアバージョンを示す。「ソフトウェアバージョン」の「−」で示された欄はソフトウェアが搭載されていないことを示す。車両制御装置の交換、ソフトウェア更新等でシステム構成情報が変化した場合において、システム構成情報取得部４０３が収集する車両制御装置情報に基づいてシステム更新情報は最新の状態を示すように各項目は逐次更新される。例えば、カーナビゲーションシステムが新しい機種へと交換された場合、「ＥＣＵ−ＩＤ」が「４」の行において、交換された機器に合わせて「型番」欄の「モデルｆ」、「製造年月」欄の「２０１８年３月」、「ソフトウェアバージョン」欄の「１．０」が新しい機種の内容へと更新される。

図６は、本実施の形態に係るソフトウェア更新情報の例を示す。

図６に示すソフトウェア更新情報は、車載ネットワークａ２１１及び車載ネットワークｂ２１２に接続された車両制御装置の種類とソフトウェアの更新が必要なバージョンを示すリストである。車両制御装置の種類を示すための項目は多数考えられるが、本明細書では発明の説明のための便宜上、必要最小限の項目を例示する。
ソフトウェア更新情報には、「ＥＣＵ−ＩＤ」と、「名称」、「型番」、「ソフトウェアバージョン要求」とが含まれる。
「ＥＣＵ−ＩＤ」は、各車両制御装置に固有の識別子を示す。「名称」は、車両１０２に搭載された車両制御装置の一般名称を示す。「ソフトウェアバージョン要求」は、車両制御装置が正常に動作するために要求されるソフトウェアのバージョンを示す。ソフトウェア配信サーバ１００から新しいソフトウェアバージョンの更新情報が車両１０２へ通知された場合において、ソフトウェア更新情報取得部４０２が、通信部４００から取得するソフトウェア更新情報に基づいてソフトウェア更新情報は最新の情報を示すように「ソフトウェアバージョン要求」欄が更新する。そして、ソフトウェア更新情報取得部４０２が、「ソフトウェアバージョン要求」が更新されたソフトウェアの「ＥＣＵ−ＩＤ」に一致する図５の「ソフトウェアバージョン」を比較して更新の必要性を判定する。
例えば、図６の「ソフトウェアバージョン要求」列のように更新情報がソフトウェア配信サーバ１００から車両１０２へ通知された場合、ソフトウェア更新情報取得部４０２が、図６の「ソフトウェアバージョン要求」列と図５の「ソフトウェアバージョン」列とを比較し、「ＥＣＵ−ＩＤ」の「５」と「６」の車両制御装置においてソフトウェアの更新が必要と判定する。ソフトウェア更新情報取得部４０２は、「ＥＣＵ−ＩＤ」の「７」は「ソフトウェアバージョン要求」を満たしていることから更新の必要はないと判定する。

図７は、本実施の形態に係る状態条件情報の例を示す。

更新したソフトウェアが正常に動作することを示すための項目は多数考えられるが、本明細書では、発明の説明のための便宜上、必要最小限の項目を例示する。
図７に示す状態条件情報には、「名称」と、「条件番号」、「条件名称」、「条件値」とが含まれる。
「名称」は、車両制御装置を含む、車両１０２に搭載されている機器の一般名称を示す。「名称」には、カメラ ＥＣＵ等の車両制御装置の他、カメラ、ヘッドライト、電源等の車両制御装置以外の機器が含まれる。「条件番号」は、ソフトウェア更新可否の検証に必要な判定項目毎に固有の識別子を示す。「条件名称」は、ソフトウェア更新可否の検証に必要な判定項目を示す。「条件値」は、更新したソフトウェアが正常に動作する上で前提とする条件の値を示す。「条件名称」と「条件値」との組合せで得られる条件が状態条件に相当する。
状態条件情報は、ソフトウェア更新に必要なリソース制約を考慮して生成される。ソフトウェア検証部４０５は、条件番号が共通する図７の「条件値」と図８の「最悪値」とを比較して、ソフトウェアの更新可否を決定する。
例えば、ソフトウェア検証部４０５がアダプティブフロントライティングシステムのソフトウェアの更新可否を判定する場合を想定する。この場合は、ソフトウェア検証部４０５は、図７の「条件番号」「Ｃ−１」の「条件値」である「走行中独占」を参照する。また、ソフトウェア検証部４０５は、図８の「条件番号」「Ｃ−１」の「走行中の一カ月以内の最悪値」である「ＥＣＵ ｘｘのアプリ―ケーションＡで利用」を参照する。この場合、図７ではソフトウェアの更新の条件として「走行中独占」が要求されているにも関わらず、図８の状態情報ではカメラ操作権限は走行中少なくとも「ＥＣＵ ｘｘのアプリ―ケーションＡで利用」されている。このため、本例では、図７の状態条件は満たされていないため、ソフトウェア検証部４０５は、ソフトウェアの更新は不可と決定する。

図８は、本実施の形態に係る状態情報の例を示す。

図８の状態情報において、「名称」は、図７と同様に、車両制御装置を含む、車両１０２に搭載されている機器の一般名称を示す。「条件番号」は、ソフトウェア更新可否の検証に必要な判定項目毎に固有の識別子を示す。「条件名称」は、ソフトウェア更新可否の検証に必要な判定項目を示す。「現在値」は、ソフトウェア更新時における各判定項目の値を示す。「走行中の一カ月以内の最悪値」は、過去一カ月の車両の走行状態における各判定項目の最悪値を示す。「駐車中の一カ月以内の最悪値」は、過去一カ月の車両の駐車状態における各判定項目の最悪値を示す。最悪値は設計者が自由に定義することができる。例えば、「現在値」がソフトウェアの正常に動作する最適値にどれだけ離れているかを示す値を最悪値としてもよい。また、「現在値」がソフトウェアの正常動作を保障する上限または下限値にどれだけ近いかを示す値を最悪値としてもよい。「条件名称」と「走行中の一カ月以内の最悪値」又は「駐車中の一カ月以内の最悪値」の組合せが状態に相当する。また、「走行中の一カ月以内の最悪値」及び「駐車中の一カ月以内の最悪値」は、あくまでも例示である。走行中及び駐車中以外にも複数の車両動作モードを定義してもよい。車両動作モードとは、走行中、駐車中等、車両の動作態様を示す。また、「一カ月以内」という規定期間も例示であり、車両の設計者は規定期間についても自由に決定することができる。
図８の「条件番号」が「Ｃ−１」の行は、現在はカメラ操作権限が解放されていていることを示す。また、「条件番号」が「Ｃ−１」の行は、過去一カ月の間に走行中にカメラ操作権限がＥＣＵ ｘｘのアプリケーションＡに利用されたことがあることを示す。つまり、「条件番号」が「Ｃ−１」の行は、過去一カ月の間に走行中にカメラ操作権限がＥＣＵ ｘｘのアプリケーションＡに利用された実績があるという車両１０２の現在の状態を示す。また、「条件番号」が「Ｃ−１」の行は、過去一カ月の間は駐車中はカメラの操作権限が解放されていたことを示す。つまり、「条件番号」が「Ｃ−１」の行は、過去一カ月の間は駐車中はカメラの操作権限が解放されていた実績があるという車両１０２の現在の状態を示す。
車両１０２に実装されているソフトウェアの中には、走行中の特定のタイミングでしか動作しないソフトウェアも存在する。そこで、ソフトウェア検証部４０５は、各ソフトウェアの動作タイミングを考慮して、あるタイミングにおいて動作しているソフトウェアとそのタイミングにおける状態情報の最悪値とを用いて、当該ソフトウェアの更新可否の決定を行ってもよい。これにより、単純に一定期間における状態情報の最悪値をソフトウェア更新可否判定に用いるよりも車両動作モードを考慮する分だけ細かく最悪値を観測することができる。このため、車両１０２内のリソースを有効に活用することができる。ここでいうリソースとは、例えば、車両制御装置又はソフトウェアの利用能力を示している。また、有効にリソースを活用できるということは、車両により多くの機能を追加できるということを示している。

＊＊＊動作の説明＊＊＊
以下、図９を参照して、本実施の形態に係るソフトウェア更新可否決定動作を説明する。
図９は、ソフトウェア更新可否決定動作の例を示すフローチャートである。

先ず、状態取得部４０１が、一定の周期で、図８に例示される状態情報を通信部４００から取得する（ステップＳ１０１）。そして、状態取得部４０１は、取得した状態情報を状態情報保持部４０６に格納する。
なお、状態情報の取得周期は、設計者が自由に決定することができる。

ソフトウェア更新情報取得部４０２が、通信部４００からソフトウェア更新情報の受信が通知された場合（ステップＳ１０２でＹＥＳ）、図６に例示されるソフトウェア更新情報を通信部４００から取得する（ステップＳ１０３）。そして、ソフトウェア更新情報取得部４０２は、取得したソフトウェア更新情報をソフトウェア更新情報保持部４０７に格納する。

次に、システム構成情報取得部４０３が、通信部４００からシステム構成情報の受信を通知された場合、図５に例示されるシステム構成情報を通信部４００から取得する（ステップＳ１０４）。そして、システム構成情報取得部４０３は、システム構成情報をシステム構成情報保持部４０８に格納する。

次に、ソフトウェア検証部４０５が、ソフトウェア更新情報取得部４０２からソフトウェア更新が必要である旨が通知され（ステップＳ１０５でＹＥＳ）、かつ検証済構成情報取得部４０４から検証済構成情報が存在する旨が通知された場合（ステップＳ１０６でＹＥＳ）、ソフトウェア更新情報取得部４０２から更新の必要ありと通知されたソフトウェアのうち、未検証のソフトウェアについてソフトウェア更新の可否を検証する（ステップＳ１０７）。
つまり、以前に同様の検証を行っていることが検証済構成情報に示されているソフトウェアについては、ソフトウェア検証部４０５は、ソフトウェア更新の可否の検証を省略する。

一方で、検証済構成情報取得部４０４から検証済構成情報が存在する旨が通知されていない場合（ステップＳ１０６でＮＯ）は、ソフトウェア検証部４０５は、ソフトウェア更新情報取得部４０２から更新の必要ありと通知されたソフトウェアについて、ソフトウェア更新の可否を検証する（ステップＳ１０８）。

ソフトウェア検証部４０５は、ステップＳ１０７及びステップＳ１０８における検証を、例えば、以下のようにして行う。
ソフトウェア検証部４０５は、状態情報保持部４０６、ソフトウェア更新情報保持部４０７、システム構成情報保持部４０８、検証済構成情報保持部４０９及び状態条件情報保持部４１０にそれぞれアクセスし、状態情報、ソフトウェア更新情報、システム構成情報、検証済構成情報及び状態条件情報を参照する。
そして、ソフトウェア検証部４０５は、例えば、検証対象の車両制御装置についての状態条件情報（図７）中の「条件値」と、当該「条件値」の条件番号と同じ条件番号の状態情報（図８）中の「最悪値」とを比較して、ソフトウェアの更新可否を決定する。

次に、ソフトウェア検証部４０５からソフトウェア検証完了が通知された場合に、検証済構成情報取得部４０４が、検証済構成情報をソフトウェア検証部４０５から取得する（ステップＳ１０９）。そして、検証済構成情報取得部４０４が、取得した検証済構成情報を検証済構成情報保持部４０９へ格納する。

次に、ソフトウェア更新装置２０１が更新決定装置２００からソフトウェア更新可能の通知を受信した場合（ステップＳ１１０でＹＥＳ）に、ソフトウェア更新装置２０１が、ソフトウェア更新が許可された車両制御装置のソフトウェアを更新する（ステップＳ１１１）。

＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、車両のソフトウェアを更新する際に、車両の現在の状態がソフトウェアの更新が許可されるために必要な状態になっているか否かを判定する。このため、本実施の形態によれば、ソフトウェアの更新後に車両が正常に機能しないという事態を回避することができる。
つまり、本実施の形態では、更新決定装置にて、車両に搭載されている車両制御装置の各々の種類を示すシステム構成情報、更新用ソフトウェアに関する情報、車両の運用状態に関する情報に基づき、ソフトウェア更新後に車両に必要なリソースがあるかどうかが判断され、必要なリソースがある場合にのみソフトウェアの更新が許可される。このように、ソフトウェア更新時の車両状態に基づいて必要リソースを見積もることで、システム構成情報にのみ基づきリソースを見積もったときよりも、ソフトウェア更新可否決定の信頼性を高めることができる。

＊＊＊ハードウェア構成の説明＊＊＊
最後に、更新決定装置２００のハードウェア構成の補足説明を行う。
図３に示すプロセッサ３０５は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ３０５は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図３に示す不揮発性メモリ３０１は、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図３に示す通信インタフェース３０２は、データの通信処理を実行する電子回路である。
通信インタフェース３０２は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

また、不揮発性メモリ３０１には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ３０５により実行される。
プロセッサ３０５はＯＳの少なくとも一部を実行しながら、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の機能を実現するプログラムを実行する。
プロセッサ３０５がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、不揮発性メモリ３０１、ＲＡＭ３０４、プロセッサ３０５内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。

また、通信部４００、状態取得部４０１、ソフトウェア更新情報取得部４０２、システム構成情報取得部４０３、検証済構成情報取得部４０４及びソフトウェア検証部４０５の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、更新決定装置２００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
なお、本明細書では、プロセッサ３０５と、処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサ３０５と、処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。

１００ ソフトウェア配信サーバ、１０１ 公共通信網、１０２ 車両、２００ 更新決定装置、２０１ ソフトウェア更新装置、２０２ 通信装置、２０３ カーナビゲーションシステム、２０４ ＡＤＡＳ ＥＣＵ、２０５ カメラＥＣＵ、２０６ ライトＥＣＵ、２０７ ヘッドライト、２０８ カメラ、２０９ 車載ゲートウェイ、２１０ 電源、２１１ 車載ネットワークａ、２１２ 車載ネットワークｂ、３００ マイクロコンピュータ、３０１ 不揮発性メモリ、３０２ 通信インタフェース、３０３ ＲＯＭ、３０４ ＲＡＭ、３０５ プロセッサ、３０６ プログラム、４００ 通信部、４０１ 状態取得部、４０２ ソフトウェア更新情報取得部、４０３ システム構成情報取得部、４０４ 検証済構成情報取得部、４０５ ソフトウェア検証部、４０６ 状態情報保持部、４０７ ソフトウェア更新情報保持部、４０８ システム構成情報保持部、４０９ 検証済構成情報保持部、４１０ 状態条件情報保持部。

Claims (7)

1. 車両に搭載された車載装置であって、
   前記車両に実装されているソフトウェアの更新が許可されるための、前記車両の状態についての条件である状態条件が示される状態条件情報を管理する状態条件情報管理部と、
   前記車両の状態を取得する状態取得部と、
   前記状態取得部により取得された前記車両の状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する更新決定部とを有する車載装置。
2. 前記状態条件情報管理部は、
   前記車両に搭載されている複数の機器について、機器ごとに状態条件が示される状態条件情報を管理し、
   前記更新決定部は、
   前記複数の機器のうちの特定の機器で用いられるソフトウェアの更新が必要になった場合に、前記状態条件情報に示される複数の状態条件の中から前記特定の機器に対応する状態条件を選択し、前記状態取得部により取得された前記車両の状態が、選択した状態条件に合致するか否かを判定して、前記特定の機器で用いられるソフトウェアの更新の可否を決定する請求項１に記載の車載装置。
3. 前記状態取得部は、
   前記車両の状態として、前記車両に搭載されている機器の状態を取得し、
   前記更新決定部は、
   前記状態取得部により取得された状態が、選択した状態条件に合致するか否かを判定する請求項２に記載の車載装置。
4. 前記状態取得部は、
   前記車両の現在の状態を取得し、
   前記更新決定部は、
   前記状態取得部により取得された前記車両の現在の状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する請求項１に記載の車載装置。
5. 前記状態取得部は、
   前記車両の規定期間における状態を取得し、
   前記更新決定部は、
   前記状態取得部により取得された前記車両の前記規定期間における状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する請求項１に記載の車載装置。
6. 車両に搭載されたコンピュータが、前記車両に実装されているソフトウェアの更新が許可されるための、前記車両の状態についての条件である状態条件が示される状態条件情報を管理し、
   前記コンピュータが、前記車両の状態を取得し、
   前記コンピュータが、取得された前記車両の状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する更新決定方法。
7. 車両に搭載されたコンピュータに、
   前記車両に実装されているソフトウェアの更新が許可されるための、前記車両の状態についての条件である状態条件が示される状態条件情報を管理する状態条件情報管理処理と、
   前記車両の状態を取得する状態取得処理と、
   前記状態取得処理により取得された前記車両の状態が前記状態条件情報に示される前記状態条件に合致するか否かを判定して、前記ソフトウェアの更新の可否を決定する更新決定処理とを有する更新決定プログラム。

Images