WO2017208475A1 - 中継装置、プログラム更新システム、およびプログラム更新方法 - Google Patents

中継装置、プログラム更新システム、およびプログラム更新方法 Download PDF

Info

Publication number
WO2017208475A1
WO2017208475A1 PCT/JP2016/080062 JP2016080062W WO2017208475A1 WO 2017208475 A1 WO2017208475 A1 WO 2017208475A1 JP 2016080062 W JP2016080062 W JP 2016080062W WO 2017208475 A1 WO2017208475 A1 WO 2017208475A1
Authority
WO
WIPO (PCT)
Prior art keywords
update
program
control
ecu
time
Prior art date
Application number
PCT/JP2016/080062
Other languages
English (en)
French (fr)
Inventor
中野　貴之
Original Assignee
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社 filed Critical 住友電気工業株式会社
Priority to US16/304,808 priority Critical patent/US10552143B2/en
Priority to CN201680086326.8A priority patent/CN109219800B/zh
Priority to DE112016006931.6T priority patent/DE112016006931T5/de
Publication of WO2017208475A1 publication Critical patent/WO2017208475A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation
    • G06F13/4204—Bus transfer protocol, e.g. handshake; Synchronisation on a parallel bus
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B7/00—Radio transmission systems, i.e. using radiation field
    • H04B7/14—Relay systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Definitions

  • the present invention relates to a relay device, a program update system, and a program update method.
  • This application claims priority based on Japanese Patent Application No. 2016-110623 filed on June 2, 2016, and incorporates all the description content described in the aforementioned Japanese application.
  • a gateway such as an in-vehicle communication device receives an update program of an ECU (Electronic Control Unit) that is an in-vehicle control device from the management server, and the ECU uses the received update program to change the control program from the old version to the new version.
  • ECU Electronic Control Unit
  • Patent Documents 1 and 2 There has been proposed a technique for performing program update for each ECU of a vehicle remotely by wireless communication by rewriting.
  • the relay device is a relay device that communicates with a plurality of control devices belonging to the in-vehicle network, the plurality of update programs that need to be simultaneously updated for the plurality of control devices, the topology of the in-vehicle network, A control unit for a storage unit that stores a plurality of update programs, an in-vehicle communication unit that transmits a plurality of update programs to a corresponding control unit, and a control unit that belongs to a plurality of independent in-vehicle networks that are individually connected to the own unit And a control unit that controls the in-vehicle communication unit so as to transmit a plurality of update programs corresponding to the above in parallel.
  • the program update system includes a plurality of control devices belonging to the in-vehicle network and a relay device that communicates with the plurality of control devices, and the relay device needs to be simultaneously updated to the plurality of control devices.
  • a storage unit that stores a plurality of update programs and a topology of an in-vehicle network, an in-vehicle communication unit that transmits the plurality of update programs to a corresponding control device, and independent from each other connected to the own device
  • the control device belonging to the plurality of in-vehicle networks includes a control unit that controls the in-vehicle communication unit so as to transmit a plurality of update programs corresponding to the control device in parallel.
  • the program update method is a program update method executed by a relay device that communicates with a plurality of control devices belonging to an in-vehicle network, and a plurality of updates that require simultaneous update to the plurality of control devices.
  • the control device belonging to the in-vehicle network it includes transmitting a plurality of update programs corresponding to the control device in parallel.
  • 1 is an overall configuration diagram of a program update system according to an embodiment of the present invention. It is a block diagram which shows the internal structure of a gateway. It is a block diagram which shows the internal structure of ECU. It is a block diagram which shows the internal structure of a management server. It is a sequence diagram which shows an example of the simultaneous update of the control program with respect to several ECU. It is a flowchart showing the flow of the scheduling process of step S8 of FIG. It is a figure showing the 1st specific example of the update program with the necessity of simultaneous update. It is the figure which compared and showed the update schedule (A) when not performing a scheduling process, and the update schedule (B) when performing a scheduling process.
  • FIG. 7 is a diagram showing a comparison between an update schedule (A) when scheduling processing is not performed and update schedules (B) to (D) when scheduling processing is performed in accordance with scheduling conditions A to C, respectively.
  • each of the plurality of ECUs executes the above update operation.
  • the vehicle when the update of the control program is started for a plurality of related ECUs, the vehicle cannot be operated until the update of the control program is completed in all the ECUs. That is, the time from the start of transmission of the first program among the plurality of update programs for the plurality of control programs updated at the same timing to the completion of rewriting in the ECU of the last update program ( Hereinafter, this time is referred to as “simultaneous update required time”), and the vehicle cannot be operated.
  • the time required for simultaneous update becomes the sum of the time required for updating in each of the plurality of ECUs, and becomes longer. The longer the time required for simultaneous update, the longer the time during which the vehicle cannot be operated.
  • the present disclosure has been made in view of such a problem, and provides a relay device, a program update system, and a program update method that can shorten the time required for simultaneous update when a plurality of programs are updated at the same timing. .
  • the relay device included in the present embodiment is a relay device that communicates with a plurality of control devices belonging to the in-vehicle network, and includes a plurality of update programs that require simultaneous update for the plurality of control devices, and the in-vehicle network.
  • the in-vehicle communication unit that respectively transmits a plurality of update programs to the corresponding control device, and the control devices that belong to a plurality of independent in-vehicle networks that are individually connected to the own device, A control unit that controls the in-vehicle communication unit so as to transmit a plurality of update programs corresponding to the control device in parallel.
  • an update program for a control device belonging to a plurality of independent in-vehicle networks that are individually connected to the relay device among the plurality of update programs that need to be updated simultaneously is received from the relay device. Transmission can be started at the same time. For this reason, the total transmission time of the plurality of update programs can be shortened compared to the case where these plurality of update programs are transmitted in sequence after the completion of rewriting of the control program. As a result, the time required for simultaneous update can be shortened.
  • the control unit determines a transmission order of the plurality of update programs according to a predetermined condition.
  • the total time required for transmission of a plurality of update programs that need to be updated simultaneously can be shortened.
  • the time required for simultaneous update can be shortened.
  • the predetermined condition is a scheduling condition for shortening the simultaneous update required time which is a combination of the update required times including the following first time to third time in each control device, and the simultaneous update required time is The end of the third time for the update program in which rewriting of the control program ends at the end of the plurality of update programs from the start of the first time for the update program transmitted to the control device first among the plurality of update programs Time to time.
  • 1st time Update program transmission time
  • 2nd time Time required for checking update program
  • 3rd time Time required for rewriting control program using update program
  • the scheduling condition includes that, for a plurality of control devices included in one in-vehicle network having a bus topology, a control device having a longer third time advances the transmission order of update programs.
  • a control device having a longer third time advances the transmission order of update programs.
  • the scheduling condition includes that, for a plurality of control devices included in one in-vehicle network having a bus topology, a control device having a shorter first time advances the transmission order of update programs.
  • a control device having a shorter first time advances the transmission order of update programs.
  • the scheduling condition includes determining a transmission order for a plurality of control devices included in one in-vehicle network having a bus topology based on identification information given to the control device.
  • identification information such as a name suitable for each control device in advance
  • the update required period can be further shortened.
  • the scheduling condition belongs to the local network This includes sending the transmission order to the control device earlier than the transmission order of the control devices included in the main network.
  • control unit determines the transmission rate of the main network according to whether the branch node has a buffer function that absorbs a difference between the transmission rate of the main network and the transmission rate of the local network.
  • the program update system included in the present embodiment is a program update system that includes a plurality of control devices belonging to an in-vehicle network and a relay device that communicates with the plurality of control devices.
  • the relay device includes a plurality of control devices.
  • a storage unit that stores multiple update programs that need to be updated simultaneously, the topology of the in-vehicle network, an in-vehicle communication unit that transmits the multiple update programs to the corresponding control device, and an individual connection to the device itself
  • the control devices belonging to the plurality of in-vehicle networks that are independent of each other include a control unit that controls the in-vehicle communication unit so as to transmit a plurality of update programs corresponding to the control device in parallel.
  • an update program for a control device belonging to a plurality of independent in-vehicle networks that are individually connected to the relay device among the plurality of update programs that need to be updated simultaneously is received from the relay device. Transmission can be started at the same time. For this reason, the total transmission time of the plurality of update programs can be shortened compared to the case where these plurality of update programs are transmitted in sequence after the completion of rewriting of the control program. As a result, the time required for simultaneous update can be shortened.
  • the program update method included in the present embodiment is a program update method executed by a relay device that communicates with a plurality of control devices belonging to an in-vehicle network, and a plurality of update programs that require simultaneous update for the plurality of control devices And a step of storing the topology of the in-vehicle network, and a step of transmitting a plurality of update programs to the corresponding control devices, respectively, and the step of transmitting includes a plurality of independent connections individually connected to the relay device. For a control device belonging to the in-vehicle network, it includes transmitting a plurality of update programs corresponding to the control device in parallel.
  • an update program for a control device belonging to a plurality of independent in-vehicle networks that are individually connected to the relay device among the plurality of update programs that need to be updated simultaneously is received from the relay device. Transmission can be started at the same time. For this reason, the total transmission time of the plurality of update programs can be shortened compared to the case where these plurality of update programs are transmitted in sequence after the completion of rewriting of the control program. As a result, the time required for simultaneous update can be shortened.
  • FIG. 1 is an overall configuration diagram of a program update system according to an embodiment of the present invention.
  • the program update system of this embodiment includes a vehicle 1, a management server 5, and a DL (download) server 6 that can communicate via a wide area communication network 2.
  • the management server 5 and the DL server 6 are operated by, for example, a car manufacturer of the vehicle 1 and can communicate with a large number of vehicles 1 owned by users who are registered as members in advance.
  • the vehicle 1 is equipped with a gateway 10, a wireless communication unit 15, a plurality of ECUs 30, and various in-vehicle devices (not shown) controlled by the ECUs 30.
  • the vehicle 1 has a communication group (in-vehicle network) by a plurality of ECUs 30 connected to a common in-vehicle communication line by a bus, and the gateway 10 relays communication between the communication groups and communication between the ECU 30 and devices outside the vehicle. Functions as a relay device. Therefore, a plurality of in-vehicle communication lines are connected to the gateway 10.
  • the gateway 10 is connected to one or more ECUs 30 to form a communication group, and a plurality of buses are connected to form a network topology.
  • a first bus NW1 and a second bus NW2 that are main buses are connected to the gateway 10.
  • Three ECUs (ECU_A, ECU_B, ECU_C) 30 are connected to the bus NW1.
  • One ECU (ECU_F) 30 is connected to the bus NW2.
  • a network topology in which three ECUs (ECU_A, ECU_B, ECU_C) 30 are connected to the main bus NW1 and a network topology in which one ECU (ECU_F) 30 is connected to the main bus NW2 are bus topology.
  • the main buses NW1 and NW2 serving as transmission paths can be shared by a plurality of ECUs connected thereto. Therefore, in order to collide and interfere with signals, it is necessary to control so that signals are not transmitted at the same time.
  • any of the plurality of ECUs 30 may be further connected to a local bus.
  • the bus NW1 branches to a third bus NW3, which is a local bus, using one connected ECU (ECU_C) 30 as a branch node.
  • ECU_C ECU
  • Two more ECUs (ECU_E, ECU_D) 30 are connected to the bus NW3 to form a bus topology.
  • the ECU_C relays signal transmission between the two ECUs (ECU_E, ECU_D) 30 connected to the bus NW3 and the gateway 10.
  • the wireless communication unit 15 is communicably connected to a wide area communication network 2 such as a mobile phone network, and is connected to the gateway 10 via an in-vehicle communication line.
  • the gateway 10 transmits information received by the wireless communication unit 15 from the external devices such as the management server 5 and the DL server 6 to the ECU 30 through the wide area communication network 2.
  • the gateway 10 transmits information acquired from the ECU 30 to the wireless communication unit 15, and the wireless communication unit 15 transmits the information to an external device such as the management server 5.
  • the gateway 10 is connected to the wireless communication unit 15 via the in-vehicle communication line, but these may be configured by one device.
  • the management server 5 and the DL server 6 are configured as separate servers, but these servers 5 and 6 may be configured as one server device.
  • FIG. 2 is a block diagram showing the internal configuration of the gateway 10.
  • the gateway 10 includes a CPU (Central Processing Unit) 11, a RAM (Random Access Memory) 12, a storage unit 13, an in-vehicle communication unit 14, and the like.
  • the gateway 10 is connected via the wireless communication unit 15 and the in-vehicle communication line, but these may be configured by a single device.
  • the CPU 11 causes the gateway 10 to function as a relay device for various types of information by reading one or more programs stored in the storage unit 13 into the RAM 12 and executing them.
  • the CPU 11 can execute a plurality of programs in parallel, for example, by switching and executing a plurality of programs in a time division manner.
  • the CPU 11 may represent a plurality of CPU groups. In this case, the functions realized by the CPU 11 are realized by the cooperation of a plurality of CPU groups.
  • the RAM 12 is composed of a memory element such as SRAM (Static RAM) or DRAM (Dynamic RAM), and temporarily stores programs executed by the CPU 11, data necessary for execution, and the like.
  • the computer program realized by the CPU 11 can be transferred while being recorded on a known recording medium such as a CD-ROM or DVD-ROM, or can be transferred by information transmission (downloading) from a computer device such as a server computer. You can also. The same applies to a computer program executed by a CPU 31 (see FIG. 3) of an ECU 30 described later and a computer program executed by a CPU 51 (see FIG. 4) of a management server 5 described later.
  • the storage unit 13 includes a nonvolatile memory element such as a flash memory or an EEPROM (Electrically Erasable Programmable Read Only Memory).
  • the storage unit 13 has a storage area for storing programs executed by the CPU 11 and data necessary for execution.
  • the storage unit 13 also stores an update program for each ECU 30 received from the DL server 6.
  • the storage unit 13 also stores the topology formed by each ECU 30 and the buses NW1 to NW3, which is an in-vehicle network. The topology of the in-vehicle network is used in transmission of update programs and scheduling processing described later.
  • a plurality of ECUs 30 are connected to the in-vehicle communication unit 14 via an in-vehicle communication line disposed in the vehicle 1.
  • the in-vehicle communication unit 14 is, for example, CAN (Controller Area Network), CANFD (CAN with Flexible Data Rate), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport: MOST is a registered trademark). Communication with the ECU 30 is performed according to the standard.
  • the in-vehicle communication unit 14 transmits the information given from the CPU 11 to the target ECU 30 and gives the information received from the ECU 30 to the CPU 11.
  • the in-vehicle communication unit 14 may communicate according to other communication standards used for the in-vehicle network as well as the above communication standards.
  • the wireless communication unit 15 includes a wireless communication device including an antenna and a communication circuit that performs transmission / reception of a wireless signal from the antenna.
  • the wireless communication unit 15 can communicate with an external device by being connected to a wide area communication network 2 such as a mobile phone network.
  • the wireless communication unit 15 transmits information given from the CPU 11 to an external device such as the management server 5 via the wide area communication network 2 formed by a base station (not shown), and receives information received from the external device to the CPU 11. give.
  • a wired communication unit that functions as a relay device in the vehicle 1 may be employed.
  • the wired communication unit has a connector to which a communication cable conforming to a standard such as USB (Universal Serial Bus) or RS232C is connected, and performs wired communication with another communication device connected via the communication cable.
  • a communication cable conforming to a standard such as USB (Universal Serial Bus) or RS232C is connected
  • RS232C Universal Serial Bus
  • the outside of the vehicle depends on the communication path of the outside device ⁇ another communication device ⁇ the wired communication unit ⁇ the gateway 10.
  • the apparatus and the gateway 10 can communicate with each other.
  • FIG. 3 is a block diagram showing an internal configuration of the ECU 30.
  • the ECU 30 includes a CPU 31, a RAM 32, a storage unit 33, a communication unit 34, and the like.
  • the ECU 30 is an in-vehicle control device that individually controls target devices mounted on the vehicle 1. Examples of the ECU 30 include an engine control ECU, a steering control ECU, and a door lock control ECU.
  • the CPU 31 controls the operation of the target device that it is in charge of by reading one or more programs stored in advance in the storage unit 33 into the RAM 32 and executing them.
  • the CPU 31 may also represent a plurality of CPU groups, and the control by the CPU 31 may be control by cooperation of a plurality of CPU groups.
  • the RAM 32 is configured by a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 31, data necessary for execution, and the like.
  • the storage unit 33 is configured by a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the information stored in the storage unit 33 includes, for example, a computer program (hereinafter referred to as “control program”) for causing the CPU 31 to perform information processing for controlling a target device that is a control target in the vehicle.
  • the communication unit 34 is connected to the gateway 10 via an in-vehicle communication line disposed in the vehicle 1.
  • the communication unit 34 communicates with the gateway 10 according to a standard such as CAN, Ethernet, or MOST.
  • the communication unit 34 transmits the information given from the CPU 31 to the gateway 10 and gives the information received from the gateway 10 to the CPU 31.
  • the communication unit 34 may communicate according to other communication standards used for the in-vehicle network, in addition to the above communication standards.
  • the CPU 31 of the ECU 30 includes an activation unit 35 that switches the control mode by the CPU 31 to either “normal mode” or “reprogramming mode” (hereinafter also referred to as “repro mode”).
  • the normal mode is a control mode in which the CPU 31 of the ECU 30 executes an original control for the target device (for example, engine control for the fuel engine, door lock control for the door lock motor, etc.).
  • the reprogramming mode is a control mode in which a control program used for controlling the target device is updated. That is, the reprogramming mode is a control mode in which the CPU 31 erases or rewrites the control program in the ROM area of the storage unit 33. Only in this control mode, the CPU 31 can update the control program stored in the ROM area of the storage unit 33 to a new version.
  • the activation unit 35 When the CPU 31 writes the new version of the control program in the storage unit 33 in the repro mode, the activation unit 35 once restarts (resets) the ECU 30 and executes the verify process on the storage area in which the new version of the control program is written. .
  • the activation unit 35 causes the CPU 31 to operate according to the updated control program after the above-described verification processing is completed.
  • FIG. 4 is a block diagram showing the internal configuration of the management server 5.
  • the management server 5 includes a CPU 51, a ROM 52, a RAM 53, a storage unit 54, a communication unit 55, and the like.
  • the CPU 51 reads one or more programs stored in advance in the ROM 52 into the RAM 53 and executes them, thereby controlling the operation of each hardware and causing the management server 5 to function as an external device that can communicate with the gateway 10.
  • the CPU 51 may also represent a plurality of CPU groups, and the functions realized by the CPU 51 may be realized by the cooperation of a plurality of CPU groups.
  • the RAM 53 is configured by a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 51 and data necessary for execution.
  • the storage unit 54 includes a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the communication unit 55 includes a communication device that executes communication processing in accordance with a predetermined communication standard, and is connected to the wide area communication network 2 such as a mobile phone network to execute the communication processing.
  • the communication unit 55 transmits the information given from the CPU 51 to the external device via the wide area communication network 2 and gives the information received via the wide area communication network 2 to the CPU 51.
  • a revision table RT in which the versions of the control programs are recorded is included.
  • the revision table RT summarizes the vehicle identification number (VIN) of the vehicle 1, the revision number that is identification information indicating the revision history for each vehicle identification number, and the versions of the ECUs 1 to 3 corresponding to the revision numbers. It consists of a table.
  • the versions of the control programs of the ECUs 1 to 3 included in the same revision number indicate that the operation confirmation can be obtained by the car manufacturer.
  • “R2.0” which is the current revision number
  • the operation of the control program of version 1.0 of ECU1 the control program of version 1.3 of ECU2
  • the control program of version 2.0 of ECU3 Confirmed.
  • the DL server 6 stores a plurality of update programs related to all the ECUs 30.
  • the CPU 51 checks the notified version information with the latest version of the vehicle identification number included in the revision table RT. .
  • the CPU 51 determines that the version information of the ECUs 1 to 3 notified from the gateway 10 is not the latest as a result of the collation, the CPU 51 sends the update program storage destination URL and the download request for updating to the latest version to the gateway 10. Send.
  • FIG. 5 is a sequence diagram showing an example of simultaneous update of control programs for the plurality of ECUs 1 to 3 executed in the program update system of the present embodiment.
  • the control programs of the ECUs 1 to 3 are updated as follows in accordance with the revision table RT of FIG. Revision number: R2.0 ⁇ R2.4
  • ECU1 Version 1.0-> Version 1.2
  • ECU2 Version 1.3
  • Version 2.0 Version 2.0 ⁇ Version 2.2
  • the update program may be the new version of the program itself, but in the present embodiment, it is assumed that the update program is a differential program from the old version. In this case, if the update program ⁇ including the difference information of the file between the old version and the new version is in the same storage area, it can be updated to the new version by applying the update program ⁇ to the old version.
  • the update program from ECU 1.0 version 1.0 to version 1.2 is “ ⁇ 1”
  • the update program from ECU 1.3 version 1.3 to version 2.0 is “ ⁇ 2”
  • the update program to 2.2 is “ ⁇ 3”.
  • the gateway 10 collects the current version information of the control programs of the ECUs 1 to 3 (step S1).
  • the current version of the control program of the ECU 1 is “1.0”
  • the current version of the control program of the ECU 2 is “1.3”
  • the current version of the control program of the ECU 3 is “2.0”. It is.
  • the gateway 10 transmits the collected version information of the control programs of the ECUs 1 to 3 and the vehicle identification number (VIN) of the host vehicle to the management server 5 (step S2).
  • the management server 5 searches the above-described revision table RT (see FIG. 4) based on the version information notified from the gateway 10 and the vehicle identification number, so that each ECU 1 to 3 of the vehicle 1 It is determined whether it is necessary to update the control program at the same timing.
  • management server 5 determines that vehicle 1 is operating at revision R2.0. To do. Further, since the latest version revision R2.4 exists, the management server 5 updates the ECU 1 to the version 1.2, updates the ECU 2 to the version 2.0, and updates the ECU 3 to the version 2.2. It is determined that the update needs to be performed at the same timing.
  • the management server 5 sends the storage destination URLs and download requests for the update programs ⁇ 1 to ⁇ 3 of the ECUs 1 to 3 to the gateway 10 that has transmitted the version information to the gateway 10 (step S3).
  • the gateway 10 downloads update programs ⁇ 1 to ⁇ 3 for the ECUs 1 to 3 from the DL server 6 (step S4).
  • the gateway 10 temporarily stores and stores the received update programs ⁇ 1 to ⁇ 3 in the storage unit 13 of its own device.
  • the gateway 10 transmits to the management server 5 that the DL has been normally completed (step S5).
  • the management server 5 that has received the DL completion notification transmits a control program update request to the gateway 10.
  • the control program update request may be transmitted to the gateway 10 after being temporarily interrupted and receiving an update request from the outside (step S6).
  • the gateway 10 transmits a repro mode transition request to each of the ECUs 1 to 3 to update the control program using the update programs ⁇ 1 to ⁇ 3 stored in the storage unit 13 (step S7).
  • each ECU 1 to 3 When receiving the repro mode transition request, each ECU 1 to 3 switches its control mode from the normal mode to the reprogramming mode. As a result, each of the ECUs 1 to 3 is ready to develop the update programs ⁇ 1 to ⁇ 3 and to rewrite the current control program to a new version of the control program.
  • the gateway 10 executes a scheduling process for determining the transmission order of the update programs ⁇ 1 to ⁇ 3 stored in the storage unit 13 (step S8).
  • the ECU checks whether the update program is missing in the transmission path or checks the integrity using MD (Message Digest) 5, CRC (Cyclic Redundancy Code), etc. After confirming the owner of the original file using a digital signature or the like and confirming that there is no tampering, the file is expanded (rewritten) and applied to the old version. That is, the update of the control program includes transmission from the gateway 10 to the corresponding ECU (first task), check of the update file (second task), and deployment (update) of the program in the ECU (third). There are three tasks.
  • MD Message Digest
  • CRC Cyclic Redundancy Code
  • the “update required time”, which is the time required for updating the control program in each ECU, is the time required for the first task (first time), the time required for the second task (second time), and the third time. It includes the time required for the task (third time).
  • the same timing is given from the start of transmission of the first update program to the corresponding ECU until the last update program completes rewriting of the control program in the corresponding ECU.
  • This is the “simultaneous update required time” required for updating the control program.
  • the time required for the simultaneous update is the third time of the update program in which the rewriting of the control program ends last from the start of the first time of the update program transmitted to the ECU first among the plurality of update programs. Is the time until the end of.
  • the repro mode is maintained in all ECUs until the update of all control programs is completed. That is, if at least one of the corresponding ECUs is updating the control program, the repro mode of all the plurality of ECUs is maintained. Accordingly, when the time required for simultaneous update becomes longer, the return from the repro mode to the normal mode is delayed. Since the vehicle 1 cannot be used during the repro mode, for example, when the repro mode continues for a long time when the user wants to drive, inconvenience and disadvantage are caused to the user. Therefore, in the program update system according to the present embodiment, when a plurality of control programs are updated simultaneously, scheduling processing is performed so as to shorten the time required for simultaneous update.
  • the scheduling process uses the first to third times of each update program and the topology of the in-vehicle network.
  • the time required for each task of each update program may be passed from the management server 5 to the gateway 10.
  • the management server 5 obtains information related to the update program from the DL server 6 and calculates the time required for each task based on the information.
  • the information related to the update program is, for example, the data size of the update program.
  • the gateway 10 uses the update program transmitted from the DL server 6 and information obtained from each ECU 30 or information of each part of the vehicle 1 stored in advance. It may be calculated.
  • the gateway 10 transmits the update program stored in the storage unit 13 to each ECU according to the transmission order determined by the scheduling process in step S8 (steps S9, 11, 13).
  • the gateway 10 transmits the update program ⁇ 1 determined to be transmitted first to the corresponding ECU 1 (step S9).
  • the ECU 1 expands the received update program ⁇ 1 and applies it to the old version 1.0, thereby rewriting the control program from the old version 1.0 to the new version 1.2.
  • the ECU 1 transmits a rewriting completion notification to the gateway 10 (step S10).
  • the gateway 10 transmits the update program ⁇ 2 determined to be transmitted next to the corresponding ECU 2 (step S11).
  • the ECU 2 expands the received update program ⁇ 2 and applies it to the old version 1.3, thereby rewriting the control program from the old version 1.3 to the new version 2.0.
  • the ECU 2 transmits a rewriting completion notification to the gateway 10 (step S12).
  • the gateway 10 transmits the update program ⁇ 3 determined to be transmitted next to the corresponding ECU 3 (step S13).
  • the ECU 3 rewrites the received update program ⁇ 3 and applies it to the old version 2.0, thereby rewriting the control program from the old version 2.0 to the new version 2.2.
  • the ECU 3 transmits a rewriting completion notification to the gateway 10 (step S14).
  • the transmission of the update program ⁇ to each of the plurality of ECUs 30 in steps S9, 11 and 13 is performed according to the transmission order determined by the scheduling process in step S8 as described above.
  • the determined transmission order is not necessarily limited to transmission to each of the plurality of ECUs 301. That is, the transmission order for transmitting each update program ⁇ to a plurality of ECUs 30 at the same time can be determined. That is, the above steps S9, 11, and 13 are not meant to be executed in this order, and the respective processes are performed in a prescribed transmission order and are executed simultaneously depending on the prescribed transmission order. There is also a possibility.
  • the gateway 10 When the gateway 10 receives rewrite completion notifications from all the ECUs 1 to 3, it transmits a normal mode transition request and a reset request to each of the ECUs 1 to 3 (step S15). Receiving the normal mode transition request, each of the ECUs 1 to 3 switches its control mode from the repro mode to the normal mode, and restarts the system in response to the reset request. As a result, each of the ECUs 1 to 3 operates according to the new version of the control program.
  • the gateway 10 When the gateway 10 receives the rewriting completion notification from all the ECUs 1 to 3, the gateway 10 transmits the update completion notification to the management server 5 (step S16). As a result, the management server 5 detects that the update of the control program has been completed for each of the ECUs 1 to 3 of the vehicle 1.
  • FIG. 6 is a flowchart showing the scheduling process in step S8.
  • the scheduling process shown in the flowchart of FIG. 6 is realized by the CPU 11 of the gateway 10 reading out and executing the scheduling process execution program stored in the storage unit 13 on the RAM 12.
  • the CPU 11 includes a scheduling unit 111 and an update control unit 112 that are functions realized by executing the program.
  • the scheduling process is realized by the CPU 11 exhibiting these functions.
  • the operation shown in the flowchart of FIG. 6 is started when a plurality of update programs are acquired from the DL server 6 and there are a plurality of control programs to be updated simultaneously.
  • CPU 11 of gateway 10 identifies a plurality of main buses NW1, NW2 connected to gateway 10 based on the topology of the in-vehicle network stored in storage unit 13, and for each of them In parallel, the subsequent scheduling process is executed (step S101).
  • the CPU 11 uses a plurality of update programs for ECUs belonging to a local bus based on the destinations of each of the plurality of update programs that need to be updated simultaneously and the topology of the in-vehicle network stored in the storage unit 13. It is determined whether the update program is included. In the example of FIG. 1, the CPU 11 determines whether or not an update program for ECU_D or ECU_E is included in the plurality of update programs.
  • the CPU 11 When an update program for ECU connected via a local bus is included in a plurality of update programs that need to be updated simultaneously (YES in step S103), the CPU 11 further branches to branch the main bus to the local bus It is determined whether an ECU (ECU_C) as a node can use a relay buffer for relaying transmission of the update program, that is, has a buffer function.
  • the relay buffer is used to absorb a difference in transmission capability (transmission speed) between the main bus and the local bus. In the example of FIG. 1, the ECU_C determines whether or not the relay buffer can be used.
  • step S105 If the branch node ECU can use the relay buffer (has a buffer function) (YES in step S105), the ECU belonging to the local bus on the main bus without considering the transmission speed on the local bus Update program can be transmitted.
  • the CPU 11 assumes that the transmission of the update program on the main bus (NW1) branching to the local bus is exclusive, that is, assuming that the transmission path cannot be shared simultaneously for a plurality of transmissions. Processing is executed (step S107). If there is no difference in transmission speed between the main bus and the local bus, or the transmission speed on the local bus is faster than the transmission speed on the main bus, the ECU that is the branch node can use the relay buffer. The same scheduling process is performed. Specifically, when the ECU_C can use the relay buffer, the CPU 11 performs the subsequent scheduling process assuming that the main bus NW1 cannot be shared simultaneously for transmission of a plurality of update programs.
  • the local bus Therefore, it is necessary to transmit the update program on the main bus at a speed corresponding to the transmission speed on the local bus.
  • the CPU 11 can transmit the update program in parallel on the main bus (NW1), that is, the transmission of the update program to the ECU belonging to the local bus and the transmission of the other update program simultaneously through the main bus.
  • NW1 main bus
  • the subsequent scheduling processing is executed (step S109).
  • the CPU 11 uses the local bus NW3 in the main bus NW1. Assuming that the transmission of the update program and the transmission of other update programs can be performed in parallel, the subsequent scheduling process is performed.
  • the CPU 11 determines the transmission order of a plurality of control programs that need to be updated simultaneously according to a plurality of predetermined scheduling conditions (steps S111 to S115). For example, if the condition A “schedule an update program with a long update time is preferentially scheduled” is defined as the condition A, the CPU 11 requires an update requirement that is the sum of the first to third times for each update program.
  • the transmission order is determined based on the order of time (step S111).
  • the transmission order determined according to the scheduling condition which is condition A is defined as transmission order A.
  • condition B When the condition that “schedule an update program with a short transmission time is preferentially scheduled” is defined as the condition B, the CPU 11 determines the transmission order based on the order of the first time for each update program (step S113). .
  • the transmission order determined according to the scheduling condition which is condition B is defined as transmission order B.
  • the condition C When the condition “schedule in the order of identification information (for example, name, ID, etc.) given to the ECU” is defined as the condition C, the CPU 11 for each update program, for example, the name of the ECU corresponding to the update program Based on the order, the transmission order is determined (step S115).
  • the transmission order determined according to the scheduling condition which is condition C is defined as transmission order C.
  • the CPU 11 executes scheduling processing according to each of a plurality of scheduling conditions (conditions A to C) defined in advance, determines the transmission order, compares the results (transmission order A to C), and requires simultaneous update.
  • the transmission order with the shortest period is set as the transmission order of the plurality of update programs (step S117).
  • the CPU 11 executes the above scheduling process on the main buses NW1 and NW2 in parallel (step S119), and ends the series of processes at step S8.
  • the CPU 11 executes an update control that sends an update program to each ECU in the determined transmission order to instruct the update.
  • the CPU 11 includes a scheduling unit 111 and an update control unit 112 (FIG. 2). These are functions realized in the CPU 11 when the CPU 11 reads out a program stored in the storage unit 13 and executes it on the RAM 12.
  • FIG. 7 is a diagram showing a first specific example of a plurality of update programs that need to be updated simultaneously.
  • first update program ⁇ 1 is an update program for ECU_A, which is transmitted to ECU_A via first main bus NW1 (first task), and in ECU_A
  • the update file is checked (second task), and the control program is rewritten by the ECU_A (third task).
  • the first time to the third time are 30 [s (seconds)], 10 [s], and 30 [s].
  • the second update program ⁇ 2 is an update program for ECU_F, which is transmitted to ECU_F via the second main bus NW2 (first task), and an update file is checked in ECU_F (second task).
  • ECU_F rewrites the control program (third task).
  • the first to third hours are 10 [s], 10 [s] and 30 [s].
  • the third update program ⁇ 3 is an update program for ECU_D, which is transmitted to ECU_C via the first main bus NW1, and transmitted to ECU_D via the local bus NW3 via the ECU_C (first task).
  • the update file is checked (second task), and the control program is rewritten by the ECU_D (third task).
  • the first to third hours are 60 [s], 10 [s], and 30 [s].
  • the time required for transmission on the first main bus NW1 is 30 [s] and the time required for transmission on the local bus NW3 is 30 [s]. It is.
  • the ECU_C that relays transmission from the main bus NW1 to the local bus NW3 can use a relay buffer, and the relay time of transmission from the main bus NW1 to the local bus NW3 is 10 [s].
  • the CPU 11 of the gateway 10 determines YES in step S103 and YES in step S107. Therefore, on the premise that the transmission of the update program on the main bus NW1 is exclusive (step S107), scheduling processing using each of the predetermined scheduling conditions (conditions A to C) is executed. .
  • FIG. 8 is a diagram comparing the update schedule (A) when the scheduling process of step S8 is not performed and the update schedule (B) when the scheduling process is performed.
  • the horizontal axis represents time [s]
  • one block of (A) and (B) represents 10 [s].
  • the update program ⁇ 3 that is transmitted (branched) by the local bus NW3 for the main bus NW1 is not used (not branched) for transmission of the update program ⁇ 3.
  • the transmission order is determined so that the update programs ⁇ 3 and ⁇ 1 are continuously transmitted via the main bus NW1 with priority over ⁇ 1.
  • the transmission order is determined so as to transmit the update program ⁇ 2 in parallel with the transmission of the update program on the main bus NW1 (B).
  • the update program is transmitted in parallel to the independent main buses NW1 and NW2 based on the topology of the in-vehicle network, and a plurality of update programs must be transmitted one by one for the same main bus. is there. Therefore, for the main bus (NW1) branched to the local bus, the update program to be further branched to the local bus (NW3) and transmitted is transmitted first. Thereby, transmission of the update program not branched and transmitted to the local bus (NW3) on the main bus and transmission of the update program on the local bus (NW3) can be performed in parallel.
  • the time required for transmission in the time required for simultaneous update can be made shorter than the sum of the first times of each of the plurality of update programs, and as a result, the time required for simultaneous update can be shortened. Can do.
  • the update file check (second task) and update (third task) following the transmission (first task) are continuously executed after the transmission is completed. The same applies to the specific examples of the scheduling process that follows.
  • the CPU 11 executes the scheduling process in step S8 to determine the schedule shown in FIG.
  • the required time is greatly reduced from 230 [s] to 110 [s].
  • FIG. 9 is a diagram showing a second specific example of an update program that needs to be updated simultaneously.
  • first update program ⁇ 1 is an update program for ECU_A, which is transmitted to ECU_A via first main bus NW1 (first task), and in ECU_A.
  • the update file is checked (second task), and the control program is rewritten by ECU_A (third task).
  • the first time to the third time are 30 [s], 10 [s], and 30 [s].
  • the second update program ⁇ 2 is an update program for ECU_F, which is transmitted to ECU_F via the second main bus NW2 (first task), and an update file is checked in ECU_F (second task).
  • ECU_F rewrites the control program (third task).
  • the first to third hours are 10 [s], 10 [s] and 30 [s].
  • the third update program ⁇ 3 is an update program for ECU_D, which is transmitted to ECU_C via the first main bus NW1, and transmitted to ECU_D via the local bus NW3 via the ECU_C (first task).
  • the update file is checked (second task), and the control program is rewritten by the ECU_D (third task).
  • the first time to the third time are 120 [s], 10 [s], and 20 [s].
  • the ECU_C that relays transmission from the main bus NW1 to the local bus NW3 cannot use the relay buffer (does not have a buffer function).
  • the time required for transmission on the first main bus NW1 is 120 [s], which is the same as the time required for transmission on the local bus NW3.
  • the CPU 11 of the gateway 10 determines YES in step S103 and NO in step S107. Therefore, with respect to the update program branched and transmitted to the local bus NW3 in the main bus NW1, it is assumed that other update programs can be transmitted in parallel (step S109), and each scheduling condition (conditions) defined in advance. A scheduling process using A to C) is executed.
  • FIG. 10 is a diagram comparing the update schedule (A) when the scheduling process of step S8 is not performed and the update schedule (B) when the scheduling process is performed.
  • the horizontal axis represents time [s]
  • one block of (A) and (B) represents 10 [s].
  • the transmission order is determined so that the update program ⁇ 2 is transmitted in parallel with the transmission of the update program on the main bus NW1.
  • the update program ⁇ 3 is transmitted by the main bus NW1, the free bandwidth generated in the main bus NW1, which is the transmission path, is updated by setting the transmission speed or transmission timing in accordance with the transmission speed of the local bus NW3. This is because it is used for transmission of ⁇ 1.
  • the vacant bandwidth of the main bus NW1 when the update program ⁇ 3 is transmitted by the main bus NW1 is used for transmission of the update program ⁇ 1. That is, the transmission band of the main bus NW1 is shared between the update program ⁇ 1 and the update program ⁇ 3. Therefore, normally, transmission of the update program ⁇ 1 is completed in 30 [s], but 60 [s] is required in order to halve the transmission band by sharing with the update program ⁇ 3. In this way, the time required for transmission of the time required for simultaneous update can be made shorter than the total time required for transmission of each of the plurality of update programs, and as a result, the time required for simultaneous update is shortened. be able to.
  • the CPU 11 executes the scheduling process in step S8 and determines the schedule shown in FIG. The required time is greatly reduced from 270 [s] to 150 [s].
  • FIG. 11 is a diagram showing a third specific example of an update program that needs to be updated simultaneously.
  • the first update program ⁇ 1 is an update program for ECU_A, which is transmitted to ECU_A via first main bus NW1 (first task), and in ECU_A
  • the update file is checked (second task), and the control program is rewritten by the ECU_A (third task).
  • the first time to the third time are 30 [s], 20 [s], and 40 [s].
  • the second update program ⁇ 2 is an update program for ECU_B, which is transmitted to ECU_B via the first main bus NW1 (first task), and an update file is checked in ECU_B (second task).
  • ECU_B rewrites the control program (third task).
  • the first to third hours are 10 [s], 10 [s], and 20 [s].
  • the third update program ⁇ 3 is an update program for ECU_C, which is transmitted to ECU_C via the first main bus NW1 (first task), and the update file is checked in ECU_C (second task).
  • the ECU_C rewrites the control program (third task).
  • the first to third hours are 20 [s], 10 [s], and 50 [s]. That is, the plurality of update programs ⁇ 1 to ⁇ 3 are all for the ECU belonging to the first main bus NW1, and are transmitted to each ECU only by the main bus NW1.
  • FIG. 12 compares the update schedule (A) when the scheduling process of step S8 is not performed and the update schedules (B) to (D) when the scheduling process according to each of the above conditions A to C is performed.
  • FIG. The horizontal axis represents time [s]
  • one block (A) to (D) represents 10 [s].
  • the transmission order A is set so that these update programs are continuously transmitted on the main bus NW1 in the order of the longest third time ( ⁇ 3 ⁇ ⁇ 1 ⁇ ⁇ 2). Determined (B).
  • the condition A can also be interpreted as “schedule an update program with a long processing time in the received ECU with priority”.
  • the processing in the received ECU is an update file check (second task) and a control program rewrite (third task).
  • the transmission order A may be determined in the order of the longest total time of the second time and the third time ( ⁇ 1 ⁇ ⁇ 3 ⁇ ⁇ 2) required for these tasks.
  • the transmission order B is determined so that these update programs are continuously transmitted on the main bus NW1 in the order of the short first time ( ⁇ 2 ⁇ ⁇ 3 ⁇ ⁇ 1) (C ). Also in this case, another update program is transmitted on the main bus NW1 in parallel while the update file is checked (second task) and the control program is rewritten (third task) in the corresponding ECU. Will be.
  • condition B the start of the second task can be made earliest after transmission (first task) for each update program.
  • the time required for simultaneous update is 120 [s].
  • the transmission order C is determined so that these update programs are continuously transmitted on the main bus NW1 in the order of the names of the corresponding ECUs ( ⁇ 1 ⁇ ⁇ 2 ⁇ ⁇ 3) (D ). Also in this case, another update program is transmitted on the main bus NW1 in parallel while the update file is checked (second task) and the control program is rewritten (third task) in the corresponding ECU. Will be.
  • the required time for simultaneous update is 120 [s].
  • the gateway 10 determines the transmission order A shown in FIG. 12B as the transmission order of the update programs ⁇ 1 to ⁇ 3 in step S8. As a result, the time required for simultaneous update is greatly reduced from 210 [s] to 110 [s].
  • the update program is transmitted from the DL server 6 which is an external device that provides the update program to the ECU 30.
  • the gateway 10 which is a relay device that relays, scheduling processing for determining the transmission order of a plurality of update programs is executed.
  • the gateway 10 stores these update programs on the main bus ( NW1, NW2).
  • the gateway 10 executes a scheduling process according to each predetermined condition (a plurality of scheduling conditions). Then, the transmission order that minimizes the time required for simultaneous update among the plurality of transmission orders obtained as a result is determined as the transmission order of the plurality of update programs. For example, when there are a plurality of update programs transmitted through the same main bus (NW1), and the plurality of update programs include those transmitted by branching to the local bus, the gateway 10 is connected to the main bus.
  • the update program transmitted to the ECU belonging to the local bus is preferentially transmitted with the ECU belonging to the main bus as a branch node over the update program transmitted to the belonging ECU.
  • the gateway 10 determines whether the transmission of the update program on the same main bus (NW1) is exclusive or parallel depending on whether or not the ECU that is the branch node has a buffer function. Either one is assumed. Thereby, the time required for simultaneous update can be shortened.
  • the scheduling process is executed in the gateway 10 as described above and the transmission order for ending the simultaneous update required period earliest is determined, so that inconveniences and disadvantages caused to the user can be suppressed.
  • the scheduling process described above may be performed by any relay device that relays the update program transmitted from the DL server 6 to the ECU 30.
  • the update program transmitted from the DL server 6 to the ECU 30 is relayed by a further relay device not shown in FIG. 1 in addition to the gateway 10, the above-described scheduling process is executed in the further relay device. Also good.
  • the scheduling process may be realized by cooperation between the gateway 10 and the further relay device.
  • the management server 5 requests the gateway 10 to download (step S3), and the gateway 10 transmits the DL server in accordance with the request.
  • the update program is transmitted from the DL server 6 to the gateway 10 (step S 4).
  • the management server 5 requests the gateway 10 to update each ECU 30 (step S6), and the gateway 10 requests each ECU 30 to update in accordance with the request, whereby the update program is transmitted from the gateway 10 to the ECU 30 and controlled.
  • the program is updated (steps S7, 9, 11, 13). Therefore, according to this flow, it can be said that the management server 5 also functions as a part of a relay device that relays transmission of the update program from the DL server 6 to the ECU 30.
  • the above-described scheduling process may be executed in the management server 5 which can be said to be a kind of relay device, and information indicating the transmission order determined together with the update program in step S4 may be transmitted to the gateway 10.
  • the management server 5 and DL server 6 may be implement
  • the management server 5 obtains an update program or information related to the update program from the DL server 6 and stores it in the storage unit 54.
  • the scheduling unit 111 of the management server 5 performs scheduling processing using information related to the update program stored in the storage unit 54.
  • the update processing unit 112 passes the transmission order determined by the scheduling unit 111 to the gateway 10 and requests an update process in the ECU 30.
  • the update processing unit 112 of the gateway 10 controls the update process in the simultaneous update by transmitting the update program in the transmission order delivered from the management server 5 and requesting each ECU 30 to perform the update process.
  • the time required for simultaneous update can be shortened when there are a plurality of update programs that need to be updated simultaneously. Thereby, the inconvenience and disadvantage which arise to a user can be suppressed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Quality & Reliability (AREA)
  • Computer Security & Cryptography (AREA)
  • Stored Programmes (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本開示の一態様に係る中継装置は、車載ネットワークに属する複数の制御装置と通信する中継装置に関する。この中継装置は、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶する記憶部と、複数の更新プログラムを対応する制御装置にそれぞれ送信する車内通信部と、自装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の前記更新プログラムを並行して送信するように車内通信部を制御する制御部と、を備える。

Description

中継装置、プログラム更新システム、およびプログラム更新方法
　この発明は中継装置、プログラム更新システム、およびプログラム更新方法に関する。
　本出願は、２０１６年６月２日出願の日本出願第２０１６－１１０６２３号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　車載通信機などのゲートウェイが、管理サーバから、車載制御装置であるＥＣＵ（Electronic　Control　Unit）の制御プログラムの更新プログラムを受信し、受信した更新プログラム用いてＥＣＵが制御プログラムを旧バージョンから新バージョンに書き換えることにより、車両の各ＥＣＵに対するプログラム更新を無線通信によって遠隔で実行する技術が提案されている（特許文献１，２参照）。
特開２００７－６５８５６号公報 特開２０１１－７０３０７号公報
　ある実施の形態に従うと、中継装置は車載ネットワークに属する複数の制御装置と通信する中継装置であって、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶する記憶部と、複数の更新プログラムを対応する制御装置にそれぞれ送信する車内通信部と、自装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信するように車内通信部を制御する制御部と、を備える。
　他の実施の形態に従うと、プログラム更新システムは、車載ネットワークに属する複数の制御装置と、複数の制御装置と通信する中継装置と、を含み、中継装置は、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶する記憶部と、複数の更新プログラムを対応する制御装置にそれぞれ送信する車内通信部と、自装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信するように車内通信部を制御する制御部と、を備える。
　他の実施の形態に従うと、プログラム更新方法は車載ネットワークに属する複数の制御装置と通信する中継装置が実行するプログラム更新方法であって、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶するステップと、複数の更新プログラムを対応する制御装置にそれぞれ送信するステップと、を含み、送信するステップは、中継装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信することを含む。
本発明の実施形態に係るプログラム更新システムの全体構成図である。 ゲートウェイの内部構成を示すブロック図である。 ＥＣＵの内部構成を示すブロック図である。 管理サーバの内部構成を示すブロック図である。 複数のＥＣＵに対する制御プログラムの同時更新の一例を示すシーケンス図である。 図５のステップＳ８のスケジューリング処理の流れを表したフローチャートである。 同時更新の必要性がある更新プログラムの第１の具体例を表した図である。 スケジューリング処理を行わない場合の更新スケジュール（Ａ）と、スケジューリング処理を行った場合の更新スケジュール（Ｂ）とを比較して示した図である。 同時更新の必要性がある更新プログラムの第２の具体例を表した図である。 スケジューリング処理を行わない場合の更新スケジュール（Ａ）と、スケジューリング処理を行った場合の更新スケジュール（Ｂ）とを比較して示した図である。 同時更新の必要性がある更新プログラムの第３の具体例を表した図である。 スケジューリング処理を行わない場合の更新スケジュール（Ａ）と、スケジューリング条件Ａ～Ｃそれぞれに従ったスケジューリング処理を行った場合の更新スケジュール（Ｂ）～（Ｄ）とを比較して示した図である。
［本開示が解決しようとする課題］
　昨今の車両は、多くの機器が連動して動いている。そのため、車両の動作を保証するために、関連する複数のＥＣＵそれぞれの制御プログラムである複数のプログラムを同じタイミングで更新することが要求される場合がある。制御プログラムの更新は、ＥＣＵに更新用のプログラムを渡し、ＥＣＵにおいて制御プログラムを書き換えることによって行われる。そのため、１つのＥＣＵにおいて制御プログラムの更新に要する時間である「更新所要時間」は、ＥＣＵに更新プログラムを伝送するのに要する時間と制御プログラムを書き換えるのに要する時間とを含む時間である。
　同じタイミングで複数のＥＣＵそれぞれの制御プログラムを更新する必要性がある場合、複数のＥＣＵそれぞれが上記の更新の動作を実行する。車両では、関連する複数のＥＣＵについて制御プログラムの更新が開始すると、すべてのＥＣＵにおいて制御プログラムの更新が完了するまで、車両を動作させることができない。つまり、同じタイミングに更新する複数の制御プログラム用の複数の更新用のプログラムのうちの最初のプログラムのＥＣＵへの伝送の開始から、最後の更新用のプログラムのＥＣＵにおける書き換えの完了までの時間（以下、この時間を「同時更新所要時間」と言う）、車両を動作させることができない。
　同じタイミングで制御プログラムを更新する上記の複数のＥＣＵがそれぞれ順に更新を行うと、同時更新所要時間は複数のＥＣＵそれぞれにおける更新所要時間を加えたものとなり、長くなる。同時更新所要時間が長くなるほど、車両を動作させることができない時間が長くなってしまう。
　本開示はかかる問題に鑑みてなされたものであって、複数のプログラムを同じタイミングに更新する場合の同時更新所要時間を短くすることのできる中継装置、プログラム更新システム、およびプログラム更新方法を提供する。
［本開示の効果］
　この開示によると、車両に搭載された制御装置の制御プログラムの同時更新所要時間を短くすることができる。
［実施の形態の概要］
　本実施の形態には、少なくとも以下のものが含まれる。
　すなわち、本実施の形態に含まれる中継装置は、車載ネットワークに属する複数の制御装置と通信する中継装置であって、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶する記憶部と、複数の更新プログラムを対応する制御装置にそれぞれ送信する車内通信部と、自装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信するように車内通信部を制御する制御部と、を備える。
　この構成によれば、同時更新の必要性がある複数の更新プログラムのうちの、中継装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置に対する更新プログラムについては、中継装置からの伝送の開始を同時にすることができる。このため、これら複数の更新プログラムを、それぞれ、制御プログラムの書き換えの終了後に順に送信する場合よりも、複数の更新プログラムの伝送時間の合計を短縮することができる。その結果、同時更新所要時間を短くすることができる。
　好ましくは、中継装置は、制御部は、所定の条件に従って複数の更新プログラムの送信順序を決定する。
　適切な条件が中継装置に設定されることによって、同時更新の必要性がある複数の更新プログラムの伝送にかかる時間の合計を短くすることができる。その結果、同時更新所要時間を短くすることができる。
　好ましくは、所定の条件は、各制御装置での、下記の第１時間～第３時間を含む更新所要時間の組み合わせである同時更新所要時間を最も短くするスケジューリング条件よりなり、同時更新所要時間は、複数の更新プログラムのうちの最初に制御装置に伝送される更新プログラムについての第１時間の開始時から複数の更新プログラムの最後に制御プログラムの書き換えが終了する更新プログラムについての第３時間の終了時までの時間である。
　第１時間：更新プログラムの伝送時間
　第２時間：更新プログラムのチェックに要する時間
　第３時間：更新プログラムを用いた制御プログラムの書き換えに要する時間
　この構成によって、同時更新の必要性がある複数の更新プログラムの伝送にかかる時間の合計を短くすることができる。その結果、同時更新所要時間を短くすることができる。
　好ましくは、スケジューリング条件には、バス型トポロジーである１つの車載ネットワークに含まれる複数の制御装置について、第３時間が長い制御装置ほど更新プログラムの送信順序を早めることが含まれる。
　この構成によって、制御プログラムの書き換えに要する時間が長い更新プログラムほど先に伝送され、制御プログラムの書き換えが先に開始される。そして、制御プログラムの書き換えと並行して、次の更新プログラムが伝送される。そのため、各制御プログラムの書き換えの終了後に順に更新プログラムを伝送するよりも同時更新所要期間を短縮することができる。
　好ましくは、スケジューリング条件には、バス型トポロジーである１つの車載ネットワークに含まれる複数の制御装置について、第１時間が短い制御装置ほど更新プログラムの送信順序を早めることが含まれる。
　この構成によって、各更新プログラムについて対応する制御装置での当該更新プログラムのチェックおよび制御プログラムの書き換えを早く開始できるため、また、当該更新プログラムのチェックおよび制御プログラムの書き換えと並行して次の更新プログラムが伝送される。そのため、各制御プログラムの書き換えの終了後に順に更新プログラムを伝送するよりも同時更新所要期間をより短縮することができる。
　好ましくは、スケジューリング条件には、バス型トポロジーである１つの車載ネットワークに含まれる複数の制御装置について、制御装置に付与された識別情報に基づいて送信順序を決定することが含まれる。
　この構成によって、各制御装置に対して適した名前等の識別情報を予め付与しておくことによって、更新所要期間をより短縮することができる。
　好ましくは、１つの車載ネットワークに、自装置に直接接続されたメインネットワークと、メインネットワークに含まれる制御装置を分岐ノードとして分岐するローカルネットワークが含まれる場合は、スケジューリング条件には、ローカルネットワークに属する制御装置への送信順序を、メインネットワークに含まれる制御装置の送信順序よりも早めることが含まれる。
　この構成によって、ローカルネットワークでの更新プログラムの伝送と並行して、次の更新プログラムをメインネットワークで送信することができ、複数の更新プログラムの伝送時間の合計を短縮することができる。その結果、同時更新所要時間をより短縮することができる。
　好ましくは、制御部は、分岐ノードが、メインネットワークでの伝送速度とローカルネットワークでの伝送速度の差を吸収するバッファ機能を有するか否か応じて、メインネットワークの伝送速度を決定する。
　この構成によって、メインネットワークでの更新プログラムの送信を効率的に行うことができ、複数の更新プログラムの伝送時間の合計を短縮することができる。
　本実施の形態に含まれるプログラム更新システムは、車載ネットワークに属する複数の制御装置と、複数の制御装置と通信する中継装置と、を含むプログラム更新システムであって、中継装置は、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶する記憶部と、複数の更新プログラムを対応する制御装置にそれぞれ送信する車内通信部と、自装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信するように車内通信部を制御する制御部と、を備える。
　この構成によれば、同時更新の必要性がある複数の更新プログラムのうちの、中継装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置に対する更新プログラムについては、中継装置からの伝送の開始を同時にすることができる。このため、これら複数の更新プログラムを、それぞれ、制御プログラムの書き換えの終了後に順に送信する場合よりも、複数の更新プログラムの伝送時間の合計を短縮することができる。その結果、同時更新所要時間を短くすることができる。
　本実施の形態に含まれるプログラム更新方法は車載ネットワークに属する複数の制御装置と通信する中継装置が実行するプログラム更新方法であって、複数の制御装置に対する同時更新の必要性がある複数の更新プログラムと、車載ネットワークのトポロジーとを記憶するステップと、複数の更新プログラムを対応する制御装置にそれぞれ送信するステップと、を含み、送信するステップは、中継装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置については、当該制御装置に対応する複数の更新プログラムを並行して送信することを含む。
　この構成によれば、同時更新の必要性がある複数の更新プログラムのうちの、中継装置に個別に接続された互いに独立する複数の車載ネットワークに属する制御装置に対する更新プログラムについては、中継装置からの伝送の開始を同時にすることができる。このため、これら複数の更新プログラムを、それぞれ、制御プログラムの書き換えの終了後に順に送信する場合よりも、複数の更新プログラムの伝送時間の合計を短縮することができる。その結果、同時更新所要時間を短くすることができる。
［実施の形態の詳細］
　以下に、図面を参照しつつ、好ましい実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。
　＜第１の実施の形態＞
　〔システムの全体構成〕
　図１は、本発明の実施形態に係るプログラム更新システムの全体構成図である。
　図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５およびＤＬ（ダウンロード）サーバ６を含む。
　管理サーバ５およびＤＬサーバ６は、たとえば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。
　車両１には、ゲートウェイ１０と、無線通信部１５と、複数のＥＣＵ３０と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）とが搭載されている。
　車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループ（車載ネットワーク）が存在し、ゲートウェイ１０は、通信グループ間の通信やＥＣＵ３０と車外の装置との通信を中継する中継装置として機能する。このため、ゲートウェイ１０には、複数の車内通信線が接続されている。
　詳しくは、ゲートウェイ１０には、それぞれに１つ以上のＥＣＵ３０が接続されて通信グループを構成する、複数のバスが接続されて、ネットワークトポロジーを形成している。一例として、図１に示されるように、ゲートウェイ１０には、メインバスである、第１のバスＮＷ１と第２のバスＮＷ２とが接続されている。バスＮＷ１には、３つのＥＣＵ（ＥＣＵ＿Ａ，ＥＣＵ＿Ｂ，ＥＣＵ＿Ｃ）３０が接続されている。バスＮＷ２には、１つのＥＣＵ（ＥＣＵ＿Ｆ）３０が接続されている。３つのＥＣＵ（ＥＣＵ＿Ａ，ＥＣＵ＿Ｂ，ＥＣＵ＿Ｃ）３０がメインバスＮＷ１に接続されたネットワークトポロジーおよび１つのＥＣＵ（ＥＣＵ＿Ｆ）３０がメインバスＮＷ２に接続されたネットワークトポロジーは、それぞれバス型トポロジーである。伝送路としてのメインバスＮＷ１，ＮＷ２は、それぞれに接続される複数のＥＣＵで共有可能される。そのために、信号の衝突、干渉するため、同時に信号の伝送がなされないように制御される必要がある。
　複数のＥＣＵ３０のいずれかは、さらに、ローカルバスに接続されていてもよい。たとえば、図１では、バスＮＷ１は、接続された１つのＥＣＵ（ＥＣＵ＿Ｃ）３０を分岐ノードとして、ローカルバスである第３のバスＮＷ３に分岐している。バスＮＷ３には、さらに２つのＥＣＵ（ＥＣＵ＿Ｅ，ＥＣＵ＿Ｄ）３０が接続されて、バス型トポロジーを形成している。ＥＣＵ＿Ｃは、バスＮＷ３に接続された２つのＥＣＵ（ＥＣＵ＿Ｅ，ＥＣＵ＿Ｄ）３０とゲートウェイ１０との信号の伝送を中継する。
　無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５およびＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、ＥＣＵ３０に送信する。
　ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。
　図１では、ゲートウェイ１０は、無線通信部１５と車内通信線を介して接続されているが、これらは１つの装置で構成してもよい。
　また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６とが別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。
　〔ゲートウェイの内部構成〕
　図２は、ゲートウェイ１０の内部構成を示すブロック図である。
　図２に示すように、ゲートウェイ１０は、ＣＰＵ（Central　Processing　Unit）１１、ＲＡＭ（Random　Access　Memory）１２、記憶部１３、および車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線とを介して接続されているが、これらは一つの装置で構成してもよい。
　ＣＰＵ１１は、記憶部１３に記憶された一または複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
　ＣＰＵ１１は、たとえば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。なお、ＣＰＵ１１は複数のＣＰＵ群を代表するものであってもよい。この場合、ＣＰＵ１１の実現する機能は、複数のＣＰＵ群が協働して実現するものである。ＲＡＭ１２は、ＳＲＡＭ（Static　ＲＡＭ）又はＤＲＡＭ（Dynamic　ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　ＣＰＵ１１が実現するコンピュータプログラムは、ＣＤ－ＲＯＭやＤＶＤ－ＲＯＭなどの周知の記録媒体に記録した状態で譲渡することもできるし、サーバコンピュータなどのコンピュータ装置からの情報伝送（ダウンロード）によって譲渡することもできる。
　この点は、後述のＥＣＵ３０のＣＰＵ３１（図３参照）が実行するコンピュータプログラム、および、後述の管理サーバ５のＣＰＵ５１（図４参照）が実行するコンピュータプログラムについても同様である。
　記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ（Electrically　Erasable　Programmable　Read　Only　Memory）等の不揮発性のメモリ素子などにより構成されている。
　記憶部１３は、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等を記憶する記憶領域を有する。記憶部１３は、ＤＬサーバ６から受信した各ＥＣＵ３０の更新プログラムなども記憶する。また、記憶部１３には、車載ネットワークである、各ＥＣＵ３０およびバスＮＷ１～ＮＷ３の形成するトポロジーも記憶されている。車載ネットワークのトポロジーは、更新プログラムの伝送および後述するスケジューリング処理において用いられる。
　車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、たとえばＣＡＮ（Controller　Area　Network）、ＣＡＮＦＤ（ＣＡＮ　with　Flexible　Data　Rate）、ＬＩＮ（Local　Interconnect　Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、またはＭＯＳＴ（Media　Oriented　Systems　Transport：ＭＯＳＴは登録商標）等の規格に応じて、ＥＣＵ３０との通信を行う。
　車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
　無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。
　図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal　Serial　Bus）またはＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
　別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０とが通信可能になる。
　〔ＥＣＵの内部構成〕
　図３は、ＥＣＵ３０の内部構成を示すブロック図である。
　図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、たとえば、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、およびドアロック制御ＥＣＵなどがある。
　ＣＰＵ３１は、記憶部３３に予め記憶された一または複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。ＣＰＵ３１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ３１による制御は、複数のＣＰＵ群が協働することによる制御であってもよい。
　ＲＡＭ３２は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
　記憶部３３が記憶する情報には、たとえば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラム（以下、「制御プログラム」という。）が含まれる。
　通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、たとえばＣＡＮ、Ｅｔｈｅｒｎｅｔ、またはＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
　通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」または「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
　ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（たとえば、燃料エンジンに対するエンジン制御や、ドアロックモータに対するドアロック制御など）を実行する制御モードのことである。
　リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
　すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムの消去や書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。
　リプロモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
　起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。
　〔管理サーバの内部構成〕
　図４は、管理サーバ５の内部構成を示すブロック図である。
　図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、および通信部５５などを備える。
　ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一又は複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。ＣＰＵ５１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ５１の実現する機能は、複数のＣＰＵ群が協働して実現するものであってもよい。
　ＲＡＭ５３は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、又は、ハードディスクなどの磁気記憶装置等により構成されている。
　通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。
　図４に示すように、記憶部５４が記憶する情報には、車両１に搭載されたＥＣＵ３０（ここでは、ＶＩＮ＝１の車両１に搭載されたＥＣＵ３０の識別番号を１～３とする。）の制御プログラムのバージョンを記録したリビジョンテーブルＲＴが含まれる。
　リビジョンテーブルＲＴは、車両１の車両識別番号（ＶＩＮ）と、車両識別番号ごとのリビジョンアップの履歴を表す識別情報であるリビジョン番号と、各リビジョン番号に対応するＥＣＵ１～３のバージョンとを纏めたテーブルよりなる。
　図４のリビジョンテーブルＲＴにおいて、同じリビジョン番号に含まれる各ＥＣＵ１～３の制御プログラムのバージョンは、カーメーカーにおいて動作確認が取れていることを示している。
　たとえば、現状のリビジョン番号である「Ｒ２．０」の場合には、ＥＣＵ１のバージョン１．０の制御プログラム、ＥＣＵ２のバージョン１．３の制御プログラム、およびＥＣＵ３のバージョン２．０の制御プログラムの動作確認が取れている。
　最新のリビジョン番号である「Ｒ２．４」の場合には、ＥＣＵ１のバージョン１．２の制御プログラム、ＥＣＵ２のバージョン２．０の制御プログラム、およびＥＣＵ３のバージョン２．２の制御プログラムの動作確認が取れている。
　従って、車両１をＲ２．０からＲ２．４にリビジョンアップする場合には、ＥＣＵ１の１．０から１．２へのバージョンアップ、ＥＣＵ２の１．３から２．０へのバージョンアップ（更新）、およびＥＣＵ３の２．０から２．２へのバージョンアップ（更新）を同じタイミングに行う必要がある。ここで、「同じタイミング」とは、複数のＥＣＵ３０がゲートウェイ１０からの要求に応じてリプロモードに移行してから、次に、ゲートウェイ１０からの要求に応じてリセットされ、ベリファイ処理の完了後に通常モードに復帰するまでのタイミングを指す。以降の説明において、上記の意味で同じタイミングに複数の制御プログラムを更新することを「同時更新」とも言う。
　図４のリビジョンテーブルＲＴには、一例として車両識別番号ＶＩＮ＝１の場合のバージョン情報のみが例示されている。
　もっとも、管理サーバ５が保持するリビジョンテーブルＲＴには、管理サーバ５の登録会員が所有するすべての車両１の車両識別番号（ＶＩＮ）ごとに、上記と同様のバージョン情報が記録されている。また、ＤＬサーバ６には、すべてのＥＣＵ３０に関する複数の更新プログラムが格納されている。
　ＣＰＵ５１は、ゲートウェイ１０から車両識別番号と各ＥＣＵ１～３の現状の制御プログラムのバージョンとが通知されると、通知されたバージョン情報をリビジョンテーブルＲＴに含まれる当該車両識別番号の最新バージョンと照合する。
　ＣＰＵ５１は、照合の結果、ゲートウェイ１０から通知されたＥＣＵ１～３のバージョン情報が最新でないと判定した場合には、最新バージョンに更新するための更新プログラムの保存先ＵＲＬとダウンロード要求とをゲートウェイ１０に送信する。
　〔制御プログラムの同時更新のシーケンス〕
　図５は、本実施形態のプログラム更新システムにおいて実行される、複数のＥＣＵ１～３に対する制御プログラムの同時更新の一例を示すシーケンス図である。なお、以下においては、図４のリビジョンテーブルＲＴに従って、各ＥＣＵ１～３の制御プログラムを次のように更新する場合を想定する。
　リビジョン番号：Ｒ２．０→Ｒ２．４
　ＥＣＵ１：バージョン１．０→バージョン１．２
　ＥＣＵ２：バージョン１．３→バージョン２．０
　ＥＣＵ３：バージョン２．０→バージョン２．２
　更新プログラムは、新バージョンのプログラムそのものであってもよいが、本実施形態では、旧バージョンからの差分プログラムである場合を想定する。この場合、旧バージョンと新バージョンとのファイルの差分情報を含む更新プログラムΔが同じ記憶領域にあれば、旧バージョンに更新プログラムΔを適応することで、新バージョンに更新することができる。
　ＥＣＵ１のバージョン１．０からバージョン１．２への更新プログラムを「Δ１」とし、ＥＣＵ２のバージョン１．３からバージョン２．０への更新プログラムを「Δ２」とし、ＥＣＵ３のバージョン２．０からバージョン２．２への更新プログラムを「Δ３」とする。
　図５に示すように、本実施形態の制御プログラムの同時更新においては、一例として、ゲートウェイ１０が、各ＥＣＵ１～３の制御プログラムの現状のバージョン情報を収集する（ステップＳ１）。
　図示の例では、ＥＣＵ１の制御プログラムの現バージョンは「１．０」であり、ＥＣＵ２の制御プログラムの現バージョンは「１．３」であり、ＥＣＵ３の制御プログラムの現バージョンは「２．０」である。
　次に、ゲートウェイ１０は、収集したＥＣＵ１～３の制御プログラムのバージョン情報と、自車両の車両識別番号（ＶＩＮ）を管理サーバ５に送信する（ステップＳ２）。
　管理サーバ５は、ゲートウェイ１０から通知されたバージョン情報と車両識別番号に基づいて、前述のリビジョンテーブルＲＴ（図４参照）を探索することにより、各ＥＣＵ１～３について、車両１の各ＥＣＵ１～３の制御プログラムを同じタイミングに更新する必要があるか否かを判定する。
　ここでは、ＥＣＵ１がバージョン１．０であり、ＥＣＵ２がバージョン１．３であり、ＥＣＵ３がバージョン２．０であるから、管理サーバ５は、車両１がリビジョンＲ２．０で運用中であると判定する。
　また、管理サーバ５は、最新版のリビジョンＲ２．４が存在することから、ＥＣＵ１のバージョン１．２への更新、ＥＣＵ２のバージョン２．０への更新、および、ＥＣＵ３のバージョン２．２への更新を、同じタイミングに行う必要があると判定する。
　そこで、管理サーバ５は、バージョン情報を送信してきたゲートウェイ１０宛てに、各ＥＣＵ１～３の更新プログラムΔ１～Δ３の保存先ＵＲＬとダウンロード要求とをゲートウェイ１０宛てに送信する（ステップＳ３）。
　これにより、ゲートウェイ１０は、各ＥＣＵ１～３のための更新プログラムΔ１～Δ３をＤＬサーバ６からダウンロードする（ステップＳ４）。ゲートウェイ１０は、受信した更新プログラムΔ１～Δ３を自装置の記憶部１３に一時的に格納して保存する。
　更新プログラムΔ１～Δ３の保存が完了すると、ゲートウェイ１０は、ＤＬが正常に完了したことを管理サーバ５に送信する（ステップＳ５）。引き続き自動で更新を行う場合、ＤＬ完了通知を受信した管理サーバ５は、制御プログラムの更新要求をゲートウェイ１０に送信する。ＤＬ完了後、一時中断し外部から更新要求を受けてから、制御プログラムの更新要求をゲートウェイ１０に送信してもよい（ステップＳ６）。
　更新要求を受信したゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ１～Δ３を用いて制御プログラムを更新させるべく、各ＥＣＵ１～３にリプロモード移行要求をそれぞれ送信する（ステップＳ７）。
　リプロモード移行要求を受信すると、各ＥＣＵ１～３は自身の制御モードを通常モードからリプログラミングモードに切り替える。これにより、各ＥＣＵ１～３は、更新プログラムΔ１～Δ３の展開と、現状の制御プログラムを新バージョンの制御プログラムに書き換える処理とが可能な状態となる。
　ここで、同時更新する制御プログラムが複数ある場合、ゲートウェイ１０は、記憶部１３に保存した更新プログラムΔ１～Δ３の送信順序を決定するためのスケジューリング処理を実行する（ステップＳ８）。
　更新プログラムΔがＥＣＵに伝送されると、ＥＣＵは、当該更新プログラムが伝送経路で欠損していないか、ＭＤ（Message　Digest）５，ＣＲＣ（Cyclic　Redundancy　Code）等を用いて完全性の確認を実施し、デジタル署名等を用いて元ファイルに所有者の確認を実施し改ざんなきことの確認を実施した上で展開し（書き換え）て旧バージョンに適用する。すなわち、制御プログラムの更新には、ゲートウェイ１０から該当するＥＣＵまでの伝送（第１のタスク）、更新ファイルのチェック（第２のタスク）、およびＥＣＵでの当該プログラムの展開（アップデート）（第３のタスク）の３つのタスクがある。各ＥＣＵでの制御プログラムの更新に要する時間である「更新所要時間」は、上記第１のタスクに要する時間（第１時間）と第２のタスクに要する時間（第２時間）と第３のタスクに要する時間（第３時間）を含む。制御プログラムの更新のための動作が上記第１～第３のタスクのみである場合には、更新所要時間は、第１～第３時間を加えたもの（更新所要時間＝第１時間＋第２時間＋第３時間）となる。
　複数のＥＣＵそれぞれの複数の制御プログラムを同時に更新する場合、最初の更新プログラムの該当するＥＣＵへの伝送の開始から最後の更新プログラムによって該当するＥＣＵで制御プログラムの書き換えが完了するまでが、同じタイミングで制御プログラムを更新するために要する「同時更新所要時間」となる。言い換えると、同時更新所要時間は、上記複数の更新プログラムのうちの最初にＥＣＵに伝送される更新プログラムの第１時間の開始時から、最後に制御プログラムの書き換えが終了する更新プログラムの第３時間の終了時までの時間である。
　同時更新する制御プログラムが複数ある場合、すべての制御プログラムの更新が完了するまで、すべてのＥＣＵではリプロモードが維持される。すなわち、該当する複数のＥＣＵのうち１つでも制御プログラムの更新中であると、複数のＥＣＵすべてのリプロモードが維持される。従って、同時更新所要時間が長くなるとリプロモードから通常モードへの復帰が遅れる。リプロモード中は車両１の使用ができないため、たとえばユーザが運転したいときにリプロモードが長く継続する場合など、ユーザに不都合、不利益を生じさせることになる。そこで、本実施の形態にかかるプログラム更新システムでは、複数の制御プログラムを同時更新する場合に、同時更新所要時間を短くするようにスケジューリング処理が行われる。
　スケジューリング処理には、各更新プログラムの上記第１時間～第３時間、および車載ネットワークのトポロジーが用いられる。各更新プログラムの各タスクに要する時間は管理サーバ５からゲートウェイ１０に渡されてもよい。この場合、管理サーバ５はＤＬサーバ６から更新プログラムに関する情報を得、当該情報に基づいて各タスクに要する時間を計算する。更新プログラムに関する情報は、たとえば、更新プログラムのデータサイズなどである。または、上記第１時間～第３時間は、ＤＬサーバ６から送信された更新プログラムと、各ＥＣＵ３０から得られる情報、または予め記憶している車両１の各部の情報とを用いて、ゲートウェイ１０において計算されてもよい。ゲートウェイ１０は、ステップＳ８のスケジューリング処理によって決定された送信順序に従って、記憶部１３に保存した更新プログラムを各ＥＣＵに送信する（ステップＳ９，１１，１３）。
　すなわち、ゲートウェイ１０は、最初に送信すると決定した更新プログラムΔ１を該当するＥＣＵ１に送信する（ステップＳ９）。
　ＥＣＵ１は、受信した更新プログラムΔ１を展開して旧バージョン１．０に適用することにより、制御プログラムを旧バージョン１．０から新バージョン１．２に書き換える。書き換えが完了すると、ＥＣＵ１は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ１０）。
　次に、ゲートウェイ１０は、次に送信すると決定した更新プログラムΔ２を該当するＥＣＵ２に送信する（ステップＳ１１）。
　ＥＣＵ２は、受信した更新プログラムΔ２を展開して旧バージョン１．３に適用することにより、制御プログラムを旧バージョン１．３から新バージョン２．０に書き換える。書き換えが完了すると、ＥＣＵ２は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ１２）。
　次に、ゲートウェイ１０は、次に送信すると決定した更新プログラムΔ３を該当するＥＣＵ３に送信する（ステップＳ１３）。
　ＥＣＵ３は、受信した更新プログラムΔ３を展開して旧バージョン２．０に適用することにより、制御プログラムを旧バージョン２．０から新バージョン２．２に書き換える。書き換えが完了すると、ＥＣＵ３は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ１４）。
　なお、上記ステップＳ９，１１，１３の、複数のＥＣＵ３０それぞれに対する更新プログラムΔの送信は、上記したように、ステップＳ８のスケジューリング処理によって決定された送信順序に従って行われる。決定された送信順序は、必ずしも複数のＥＣＵ３０１つずつに送信することのみではない。つまり、複数のＥＣＵ３０に同時にそれぞれの更新プログラムΔを送信する送信順序も決定され得る。すなわち、上記ステップＳ９，１１，１３はこの順に実行されることを意味するものではなく、それぞれの処理が、規定された送信順序で行われ、その規定された送信順序によっては同時に実行される場合もあり得る。
　ゲートウェイ１０は、すべてのＥＣＵ１～３から書き換えの完了通知を受信すると、各ＥＣＵ１～３に通常モード移行要求とリセット要求を送信する（ステップＳ１５）。
　通常モード移行要求を受信した各ＥＣＵ１～３は、自身の制御モードをリプロモードから通常モードに切り替え、リセット要求に応じてシステムを再起動する。これにより、各ＥＣＵ１～３が、新バージョンの制御プログラムによりそれぞれ動作する。
　また、ゲートウェイ１０は、書き換えの完了通知をすべてのＥＣＵ１～３から受信すると、更新完了通知を管理サーバ５に送信する（ステップＳ１６）。
　これにより、管理サーバ５は、車両１の各ＥＣＵ１～３について、制御プログラムの更新がすべて完了したことを察知する。
　〔スケジューリング処理〕
　図６は、ステップＳ８のスケジューリング処理の流れを表したフローチャートである。図６のフローチャートに表されたスケジューリング処理は、ゲートウェイ１０のＣＰＵ１１が記憶部１３に記憶されているスケジューリング処理実行用のプログラムをＲＡＭ１２上に読み出して実行することによって実現される。このとき、図２に示されるようにＣＰＵ１１は、該プログラムを実行することによって実現される機能であるスケジューリング部１１１および更新制御部１１２を含む。ＣＰＵ１１がこれら機能を発揮することによってスケジューリング処理が実現される。図６のフローチャートに表された動作は、複数の更新プログラムをＤＬサーバ６から取得し、同時更新する制御プログラムが複数ある場合に開始される。
　図６を参照して、ゲートウェイ１０のＣＰＵ１１は、記憶部１３に記憶されている車載ネットワークのトポロジーに基づいてゲートウェイ１０に接続されている複数のメインバスＮＷ１，ＮＷ２を特定し、それぞれに対して並行して以降のスケジューリング処理を実行する（ステップＳ１０１）。
　はじめに、ＣＰＵ１１は、同時更新の必要性がある複数の更新プログラムそれぞれの宛先と、記憶部１３に記憶されている車載ネットワークのトポロジーとに基づいて、該複数の更新プログラムにローカルバスに属するＥＣＵ用の更新プログラムが含まれるか否かを判断する。図１の例では、ＣＰＵ１１は、該複数の更新プログラムにＥＣＵ＿ＤまたはＥＣＵ＿Ｅ用の更新プログラムが含まれるか否かを判断する。
　同時更新の必要性がある複数の更新プログラムにローカルバスを介して接続されたＥＣＵ用の更新プログラムが含まれる場合（ステップＳ１０３でＹＥＳ）、ＣＰＵ１１は、さらに、メインバスをローカルバスに分岐する分岐ノードであるＥＣＵ（ＥＣＵ＿Ｃ）が更新プログラムの伝送を中継するための中継バッファを使用可能であるか、すなわちバッファ機能を有するか否かを判断する。中継バッファは、メインバスとローカルバスとの伝送能力（伝送速度）差を吸収するために用いられる。図１の例では、ＥＣＵ＿Ｃが中継バッファを使用可能であるか否かを判断する。
　分岐ノードであるＥＣＵが中継バッファを使用可能である（バッファ機能を有する）場合には（ステップＳ１０５でＹＥＳ）、ローカルバスでの伝送速度を考慮せずにメインバスにて、ローカルバスに属するＥＣＵの更新プログラムを伝送することができる。この場合、ＣＰＵ１１は、ローカルバスに分岐するメインバス（ＮＷ１）での更新プログラムの伝送が排他的なもの、つまり、同時に複数の伝送のために伝送路を共有できないことを前提として、以降のスケジューリング処理を実行する（ステップＳ１０７）。なお、メインバスとローカルバスとの伝送速度差がない、または、ローカルバスでの伝送速度がメインバスでの伝送速度よりも速い場合には、分岐ノードであるＥＣＵが中継バッファを使用可能である場合と同様のスケジューリング処理を行う。具体的には、ＣＰＵ１１は、ＥＣＵ＿Ｃが中継バッファを使用可能である場合に、メインバスＮＷ１を、同時に複数の更新プログラムの伝送に共有できないものとして、以降のスケジューリング処理を行う。
　ローカルバスでの伝送速度がメインバスでの伝送速度よりも遅く、かつ、分岐ノードであるＥＣＵが中継バッファを使用可能でない（バッファ機能を有しない）場合には（ステップＳ１０５でＮＯ）、ローカルバスでの伝送速度を考慮して、つまり、ローカルバスでの伝送速度に応じた速度でメインバスで更新プログラムを伝送する必要がある。この場合、ＣＰＵ１１は、当該メインバス（ＮＷ１）において更新プログラムを並列して伝送可能である、つまり、ローカルバスに属するＥＣＵへの更新プログラムの伝送と他の更新プログラムの伝送とが同時にメインバスを共有可能であることを前提として、以降のスケジューリング処理を実行する（ステップＳ１０９）。具体的には、ＣＰＵ１１は、ローカルバスＮＷ３での伝送速度がメインバスＮＷ１での伝送速度よりも遅く、かつ、ＥＣＵ＿Ｃが中継バッファを使用可能でない場合には、メインバスＮＷ１においては、ローカルバスＮＷ３での更新プログラムの伝送と他の更新プログラムの伝送とを並列に行うことができるものとして、以降のスケジューリング処理を行う。
　なお、いずれのスケジューリング処理においても、あるバスでの更新プログラムの伝送が終了した時点で、当該バスに空き帯域を生じないように次の更新プログラムの伝送を開始するものとする。
　具体的に、ＣＰＵ１１は、予め規定されている複数のスケジューリング条件それぞれに従って同時更新の必要性がある複数の制御プログラムの送信順序を決定する（ステップＳ１１１～Ｓ１１５）。たとえば、条件Ａとして「更新時間が長い更新プログラムを優先してスケジューリングする」という条件が規定されている場合、ＣＰＵ１１は、各更新プログラムについて上記の第１時間～第３時間の総和である更新所要時間の順に基づいて送信順序を決定する（ステップＳ１１１）。条件Ａであるスケジューリング条件に従って決定された送信順序を送信順序Ａとする。
　条件Ｂとして「伝送時間が短い更新プログラムを優先してスケジューリングする」という条件が規定されている場合、ＣＰＵ１１は、各更新プログラムについて上記第１時間の順に基づいて送信順序を決定する（ステップＳ１１３）。条件Ｂであるスケジューリング条件に従って決定された送信順序を送信順序Ｂとする。
　条件Ｃとして「ＥＣＵに付与された識別情報（たとえば名前やＩＤ等）順でスケジューリングする」という条件が規定されている場合、ＣＰＵ１１は、各更新プログラムについて、当該更新プログラムの該当するＥＣＵのたとえば名前順に基づいて送信順序を決定する（ステップＳ１１５）。条件Ｃであるスケジューリング条件に従って決定された送信順序を送信順序Ｃとする。
　ＣＰＵ１１は、予め規定されている複数のスケジューリング条件（条件Ａ～Ｃ）それぞれに従ってスケジューリング処理を実行し、送信順序を決定した後に、その結果（送信順序Ａ～Ｃ）を比較して、同時更新所要期間が最も短い送信順序をこれら複数の更新プログラムの送信順序とする（ステップＳ１１７）。ＣＰＵ１１は、以上のスケジューリング処理をメインバスＮＷ１，ＮＷ２それぞれに対して並行して実行して（ステップＳ１１９）、ステップＳ８の一連の処理を終了する。
　ステップＳ８で以上のスケジューリング処理を実行した後、ステップＳ９，１１，１３でＣＰＵ１１は、決定した送信順序にて更新プログラムを各ＥＣＵに送信して更新を指示する、更新制御を実行する。上記のスケジューリング処理および更新制御を実行するために、ＣＰＵ１１は、スケジューリング部１１１および更新制御部１１２を含む（図２）。これらは、ＣＰＵ１１が記憶部１３に記憶されているプログラムを読み出してＲＡＭ１２上で実行することによってＣＰＵ１１において実現される機能である。
　〔スケジューリング処理の具体例１〕
　図７は、同時更新の必要性がある複数の更新プログラムの第１の具体例を表した図である。図７を参照して、第１の例において、第１の更新プログラムΔ１はＥＣＵ＿Ａ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ａに伝送されて（第１のタスク）、ＥＣＵ＿Ａにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ａで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、３０［ｓ（秒）］、１０［ｓ］および３０［ｓ］である。第２の更新プログラムΔ２はＥＣＵ＿Ｆ用の更新プログラムであって、第２のメインバスＮＷ２でＥＣＵ＿Ｆに伝送されて（第１のタスク）、ＥＣＵ＿Ｆにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｆで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、１０［ｓ］、１０［ｓ］および３０［ｓ］である。第３の更新プログラムΔ３はＥＣＵ＿Ｄ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ｃまで伝送され、ＥＣＵ＿Ｃを介してローカルバスＮＷ３でＥＣＵ＿Ｄに伝送されて（第１のタスク）、ＥＣＵ＿Ｄにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｄで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、６０［ｓ］、１０［ｓ］および３０［ｓ］である。なお、更新プログラムΔ３の伝送（第１のタスク）については、さらに、第１のメインバスＮＷ１での伝送に要する時間は３０［ｓ］およびローカルバスＮＷ３での伝送に要する時間は３０［ｓ］である。また、メインバスＮＷ１からローカルバスＮＷ３への伝送を中継するＥＣＵ＿Ｃは中継バッファを使用可能であって、メインバスＮＷ１からローカルバスＮＷ３への伝送の中継時間が１０［ｓ］である。
　同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図７のものである場合、ゲートウェイ１０のＣＰＵ１１は、上記ステップＳ１０３でＹＥＳ、かつステップＳ１０７でＹＥＳと判断する。そのため、メインバスＮＷ１での更新プログラムの伝送が排他的なものであることを前提として（ステップＳ１０７）、予め規定されている各スケジューリング条件（条件Ａ～Ｃ）それぞれを用いたスケジューリング処理を実行する。
　図８は、ステップＳ８のスケジューリング処理を行わない場合の更新スケジュール（Ａ）と、スケジューリング処理を行った場合の更新スケジュール（Ｂ）とを比較して示した図である。横軸は時間［ｓ］を表して、（Ａ），（Ｂ）の１ブロックが１０［ｓ］を表している。
　はじめに（Ａ）を参照して、一例として、ＣＰＵ１１が、更新プログラムの順（Δ１→Δ２→Δ３）に１プログラムずつ更新処理が完了するように更新制御を行った場合、同時更新所要時間は各ＥＣＵでの更新所要時間を加えた時間、つまり、図７に示された各タスクに要する時間を加えた時間である２３０［ｓ］となる。
　これに対して、ステップＳ８のスケジュール処理が実行されると、メインバスＮＷ１についてはローカルバスＮＷ３で（分岐して）伝送する更新プログラムΔ３の伝送をローカルバスＮＷ３を用いない（分岐しない）更新プログラムΔ１よりも優先し、更新プログラムΔ３，Δ１を連続してメインバスＮＷ１で伝送するよう送信順序が決定される。また、メインバスＮＷ１と並列して伝送可能なメインバスＮＷ２についてはメインバスＮＷ１での更新プログラムの伝送と並行して更新プログラムΔ２を伝送するよう送信順序が決定される（Ｂ）。これは、車載ネットワークのトポロジーに基づいて、独立するメインバスＮＷ１，ＮＷ２に並行して更新プログラムを伝送し、同一のメインバスについては複数の更新プログラム１つずつ順に伝送せざるを得ないためである。このため、ローカルバスに分岐するメインバス（ＮＷ１）については、さらにローカルバス（ＮＷ３）に分岐して伝送する更新プログラムを先に伝送する。これにより、ローカルバス（ＮＷ３）に分岐して伝送しない更新プログラムのメインバスでの伝送と、ローカルバス（ＮＷ３）での更新プログラムの伝送とを並行して行わせることができる。このようにすることで、同時更新所要時間のうちの伝送に要する時間を、複数の更新プログラムそれぞれの第１時間の合計よりも短くすることができ、その結果、同時更新所要時間を短くすることができる。なお、伝送（第１のタスク）に続く更新ファイルのチェック（第２のタスク）およびアップデート（第３のタスク）は、伝送終了後に連続して実行される。これは、以降のスケジューリング処理の具体例でも同じとする。
　同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図７の場合、ＣＰＵ１１がステップＳ８のスケジューリング処理を実行して図８の（Ｂ）に表されたスケジュールを決定することによって、同時更新所要時間は２３０［ｓ］から１１０［ｓ］に大幅に短縮される。
　〔スケジューリング処理の具体例２〕
　図９は、同時更新の必要性がある更新プログラムの第２の具体例を表した図である。図９を参照して、第２の例において、第１の更新プログラムΔ１はＥＣＵ＿Ａ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ａに伝送されて（第１のタスク）、ＥＣＵ＿Ａにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ａで制御プログラムが書き換えされる（第３のタスク）。第１時間～第３時間は、３０［ｓ］、１０［ｓ］および３０［ｓ］である。第２の更新プログラムΔ２はＥＣＵ＿Ｆ用の更新プログラムであって、第２のメインバスＮＷ２でＥＣＵ＿Ｆに伝送されて（第１のタスク）、ＥＣＵ＿Ｆにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｆで制御プログラムが書き換えされる（第３のタスク）。第１時間～第３時間は、１０［ｓ］、１０［ｓ］および３０［ｓ］である。第３の更新プログラムΔ３はＥＣＵ＿Ｄ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ｃまで伝送され、ＥＣＵ＿Ｃを介してローカルバスＮＷ３でＥＣＵ＿Ｄに伝送されて（第１のタスク）、ＥＣＵ＿Ｄにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｄで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、１２０［ｓ］、１０［ｓ］および２０［ｓ］である。なお、第２の例では、メインバスＮＷ１からローカルバスＮＷ３への伝送を中継するＥＣＵ＿Ｃは中継バッファを使用不可である（バッファ機能を有さない）。そのため、ＥＣＵ＿Ｄ用の更新プログラムΔ３の伝送においては、ローカルバスＮＷ３での伝送速度と同じ速度で第１のメインバスＮＷ１で伝送されるため、第１のメインバスＮＷ１での伝送に要する時間が、ローカルバスＮＷ３での伝送に要する時間と同じ１２０［ｓ］となる。
　同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図９のものである場合、ゲートウェイ１０のＣＰＵ１１は、上記ステップＳ１０３でＹＥＳ、かつステップＳ１０７でＮＯと判断する。そのため、メインバスＮＷ１においてローカルバスＮＷ３に分岐して伝送する更新プログラムに関しては他の更新プログラムを並列して伝送可能であることを前提として（ステップＳ１０９）、予め規定されている各スケジューリング条件（条件Ａ～Ｃ）を用いたスケジューリング処理を実行する。
　図１０は、ステップＳ８のスケジューリング処理を行わない場合の更新スケジュール（Ａ）と、スケジューリング処理を行った場合の更新スケジュール（Ｂ）とを比較して示した図である。横軸は時間［ｓ］を表して、（Ａ），（Ｂ）の１ブロックが１０［ｓ］を表している。
　はじめに（Ａ）を参照して、一例として、ＣＰＵ１１が、更新プログラムの順（Δ１→Δ２→Δ３）に１プログラムずつ更新処理が完了するように更新制御を行った場合、同時更新所要時間は各ＥＣＵでの更新所要時間を加えた時間、つまり、図９に示された各タスクに要する時間を加えた時間である２７０［ｓ］となる。
　これに対して、ステップＳ８のスケジュール処理が実行されると、メインバスＮＷ１についてはローカルバスＮＷ３に分岐して伝送する更新プログラムΔ３の伝送を優先する。また、メインバスＮＷ１と並列して伝送可能なメインバスＮＷ２についてはメインバスＮＷ１での更新プログラムの伝送と並行して更新プログラムΔ２を伝送するよう送信順序が決定される。これらは、図８に示されたスケジューリング処理の第１の具体例でのスケジューリング処理と同じ思想に基づく。さらに、メインバスＮＷ１については、更新プログラムΔ３の伝送と並行して更新プログラムΔ１を伝送するよう送信順序が決定される（Ｂ）。これは、メインバスＮＷ１で更新プログラムΔ３を伝送する際に、ローカルバスＮＷ３の伝送速度にあわせた伝送速度あるいは伝送タイミングとすることにより、伝送路であるメインバスＮＷ１に生じた空き帯域を更新プログラムΔ１の伝送に用いるようにしたためである。この場合、更新プログラムΔ１の伝送には、更新プログラムΔ３がメインバスＮＷ１で伝送される際のメインバスＮＷ１の空き帯域が用いられる。つまり、メインバスＮＷ１の伝送帯域を更新プログラムΔ１と更新プログラムΔ３とで共有することになる。そのため、通常であれば更新プログラムΔ１の伝送は３０［ｓ］で完了するところ、更新プログラムΔ３と共有によって伝送帯域が半減するために６０［ｓ］が必要となる。このようにすることで、同時更新所要時間のうちの伝送に要する時間を、複数の更新プログラムそれぞれの伝送に要する時間の合計よりも短くすることができ、その結果、同時更新所要時間を短くすることができる。
　同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図９の場合、ＣＰＵ１１がステップＳ８のスケジューリング処理を実行して図１０の（Ｂ）に表されたスケジュールを決定することによって、同時更新所要時間は２７０［ｓ］から１５０［ｓ］に大幅に短縮される。
　〔スケジューリング処理の具体例３〕
　図１１は、同時更新の必要性がある更新プログラムの第３の具体例を表した図である。図１１を参照して、第３の例において、第１の更新プログラムΔ１はＥＣＵ＿Ａ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ａに伝送されて（第１のタスク）、ＥＣＵ＿Ａにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ａで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、３０［ｓ］、２０［ｓ］および４０［ｓ］である。第２の更新プログラムΔ２はＥＣＵ＿Ｂ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ｂに伝送されて（第１のタスク）、ＥＣＵ＿Ｂにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｂで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、１０［ｓ］、１０［ｓ］および２０［ｓ］である。第３の更新プログラムΔ３はＥＣＵ＿Ｃ用の更新プログラムであって、第１のメインバスＮＷ１でＥＣＵ＿Ｃに伝送されて（第１のタスク）、ＥＣＵ＿Ｃにおいて更新ファイルのチェックが実行され（第２のタスク）、ＥＣＵ＿Ｃで制御プログラムが書き換えられる（第３のタスク）。第１時間～第３時間は、２０［ｓ］、１０［ｓ］および５０［ｓ］である。すなわち、これら複数の更新プログラムΔ１～Δ３は、すべて、第１のメインバスＮＷ１に属するＥＣＵ用であって、メインバスＮＷ１のみで各ＥＣＵに伝送される。
　同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図１１のものである場合、ゲートウェイ１０のＣＰＵ１１は、上記ステップＳ１０３でＮＯと判断するため、上記ステップＳ１０７，Ｓ１０９のいずれも前提とせずに予め規定されている各スケジューリング条件（条件Ａ～Ｃ）を用いたスケジューリング処理を実行する。
　図１２は、ステップＳ８のスケジューリング処理を行わない場合の更新スケジュール（Ａ）と、上記の条件Ａ～Ｃそれぞれに従ったスケジューリング処理を行った場合の更新スケジュール（Ｂ）～（Ｄ）とを比較して示した図である。横軸は時間［ｓ］を表して、（Ａ）～（Ｄ）の１ブロックが１０［ｓ］を表している。
　はじめに（Ａ）を参照して、一例として、ＣＰＵ１１が、更新プログラムの順（Δ１→Δ２→Δ３）に１プログラムずつ更新処理が完了するように更新制御を行った場合、同時更新所要時間は各ＥＣＵでの更新所要時間を加えた時間、つまり、図１１に示された各タスクに要する時間を加えた時間である２１０［ｓ］となる。
　これに対して、上記条件Ａに従ってスケジューリング処理が実行されると、第３時間の長い順（Δ３→Δ１→Δ２）に、これら更新プログラムを連続してメインバスＮＷ１で伝送するよう送信順序Ａが決定される（Ｂ）。なお、上記条件Ａを、「受信したＥＣＵでの処理時間が長い更新プログラムを優先してスケジューリングする」と解釈することもできる。受信したＥＣＵでの処理は、更新ファイルのチェック（第２のタスク）および制御プログラムの書き換え（第３のタスク）である。上記解釈を採用すると、送信順序Ａは、これらタスクに要する時間である第２時間と第３時間との合計時間の長い順（Δ１→Δ３→Δ２）に決定されてもよい。この場合、他の更新プログラムが該当するＥＣＵにおいて更新ファイルのチェック（第２のタスク）および制御プログラムの書き換え（第３のタスク）が行われている間に並行してメインバスＮＷ１で伝送されることになる。そして、条件Ａの場合には、第３時間、または第２時間と第３時間との合計時間の長いものほど先に第２のタスクおよび第３のタスクが開始されることになるため、最後の更新プログラムを用いた制御プログラムの更新の完了が早くなる可能性が高い。図１２（Ｂ）の送信順序Ａの場合、同時更新所要時間は１１０［ｓ］となる。
　上記条件Ｂに従ってスケジューリング処理が実行されると、第１時間の短い順（Δ２→Δ３→Δ１）に、これら更新プログラムを連続してメインバスＮＷ１で伝送するよう送信順序Ｂが決定される（Ｃ）。この場合もまた、他の更新プログラムが該当するＥＣＵにおいて更新ファイルのチェック（第２のタスク）および制御プログラムの書き換え（第３のタスク）が行われている間に並行してメインバスＮＷ１で伝送されることになる。そして、条件Ｂの場合には、各更新プログラムについて、伝送（第１のタスク）の後に第２のタスクの開始を最も早くすることができる。図１２（Ｃ）の送信順序Ｂの場合、同時更新所要時間は１２０［ｓ］となる。
　上記条件Ｃに従ってスケジューリング処理が実行されると、対応するＥＣＵの名前順（Δ１→Δ２→Δ３）に、これら更新プログラムを連続してメインバスＮＷ１で伝送するよう送信順序Ｃが決定される（Ｄ）。この場合もまた、他の更新プログラムが該当するＥＣＵにおいて更新ファイルのチェック（第２のタスク）および制御プログラムの書き換え（第３のタスク）が行われている間に並行してメインバスＮＷ１で伝送されることになる。図１２（Ｄ）の送信順序Ｃの場合、同時更新所要時間は１２０［ｓ］となる。
　以上のスケジューリング処理の結果、同時更新の必要性がある複数の更新プログラムΔ１～Δ３が図１１の場合、上記送信順序Ａ～Ｃのうちの同時更新所要時間が最も短くなるスケジュール条件は条件Ａであるため、ゲートウェイ１０はステップＳ８で図１２の（Ｂ）に表された送信順序Ａを更新プログラムΔ１～Δ３の送信順序として決定する。これによって、同時更新所要時間は２１０［ｓ］から１１０［ｓ］に大幅に短縮される。
　＜第１の実施の形態の効果＞
　第１の実施の形態にかかるプログラム更新システムによれば、複数のＥＣＵそれぞれの制御プログラムを同時更新する場合に、更新プログラムを提供する車外装置であるＤＬサーバ６からＥＣＵ３０への更新プログラムの送信を中継する中継装置であるゲートウェイ１０において、複数の更新プログラムの送信順序を決定するスケジューリング処理が実行される。
　同時更新する必要性がある複数の更新プログラムに、ゲートウェイ１０に個別に接続された互いに独立する車載ネットワークそれぞれに属するＥＣＵ用の更新プログラムが含まれる場合、ゲートウェイ１０は、これら更新プログラムをメインバス（ＮＷ１，ＮＷ２）に並行して送信する。
　また、同一の車載ネットワークに属する複数のＥＣＵ用の複数の更新プログラムが含まれる場合、ゲートウェイ１０は、予め規定された所定の条件（複数のスケジューリング条件）それぞれに従ってスケジューリング処理を実行する。そして、その結果得られた複数の送信順序のうちの同時更新所要時間を最も短くする送信順序をこれら複数の更新プログラムの送信順序として決定する。たとえば、同一のメインバス（ＮＷ１）で伝送される更新プログラムが複数あり、かつ、その複数の更新プログラムにさらにローカルバスに分岐して伝送されるものが含まれる場合、ゲートウェイ１０は、メインバスに属するＥＣＵに伝送する更新プログラムよりも、当該メインバスに属するＥＣＵを分岐ノードとしてローカルバスに属するＥＣＵに伝送する更新プログラムを優先的に送信する。このとき、ゲートウェイ１０は、分岐ノードであるＥＣＵがバッファ機能を有するか否かに応じて、上記同一のメインバス（ＮＷ１）での更新プログラムの伝送を排他的とするか並列可能とするかのいずれかを前提とする。
　これにより、同時更新所要時間を短くすることができる。
　同時更新する複数の制御プログラムの更新処理中は該当するすべてのＥＣＵがリプロモードとなり、すべての更新処理が完了して再起動されるまで通常モードに復帰しない。そのため、同時更新所要期間が長くなるほど、たとえば運転したいタイミングで運転できないなどユーザの不都合、不利益がより生じやすくなる。したがって、上記のようにゲートウェイ１０においてスケジューリング処理が実行されて同時更新所要期間を最も早く終了させる送信順序が決定されることによって、ユーザに生じる不都合、不利益を抑えることができる。
　＜第２の実施の形態＞
　なお、上記したスケジューリング処理は、ＤＬサーバ６からＥＣＵ３０へ送信される更新プログラムを中継するいずれの中継装置で行われてもよい。たとえば、ＤＬサーバ６からＥＣＵ３０へ送信される更新プログラムが、ゲートウェイ１０に加えて、図１に示されていないさらなる中継装置によって中継される場合、当該さらなる中継装置において上記のスケジューリング処理が実行されてもよい。または、ゲートウェイ１０と当該さらなる中継装置との協働によってスケジューリング処理が実現されてもよい。
　また、図５に表されたように、ＤＬサーバ６からＥＣＵ３０へ更新プログラムが伝送される際に、管理サーバ５がゲートウェイ１０にダウンロードを要求し（ステップＳ３）、当該要求に従ってゲートウェイ１０がＤＬサーバ６に更新プログラムを要求することによって、ＤＬサーバ６からゲートウェイ１０に更新プログラムが送信される（ステップＳ４）。そして、管理サーバ５がゲートウェイ１０に各ＥＣＵ３０での更新を要求し（ステップＳ６）、当該要求に従ってゲートウェイ１０が各ＥＣＵ３０に更新を要求することによって、ゲートウェイ１０からＥＣＵ３０に更新プログラムが伝送されて制御プログラムが更新される（ステップＳ７，９，１１，１３）。従って、この流れに従うと、管理サーバ５もＤＬサーバ６からＥＣＵ３０への更新プログラムの伝送を中継する中継装置の一部として機能していると言える。
　従って、上記したスケジューリング処理は、中継装置の一種と言える管理サーバ５において実行され、上記ステップＳ４で更新プログラムと共に決定された送信順序を示す情報がゲートウェイ１０に送信されてもよい。あるいは、上記のように管理サーバ５とＤＬサーバ６とは同一のサーバ装置で実現されてもよいため、サーバ５，６の機能を有するサーバにおいてスケジューリング処理が実行されてもよい。この場合、上記のスケジューリング処理を実行するための機能であるスケジューリング部１１１および更新処理部１１２（図２）は、管理サーバ５のＣＰＵ５１がＲＯＭ５２に記憶されているプログラムをＲＡＭ５３上に読み出して実行することによってＣＰＵ５１によって実現される。すなわち、管理サーバ５は、更新プログラムまたは上記の更新プログラムに関する情報をＤＬサーバ６から得て、記憶部５４に記憶する。管理サーバ５のスケジューリング部１１１は、記憶部５４に記憶された更新プログラムに関する情報を用いてスケジューリング処理を行う。更新処理部１１２は、スケジューリング部１１１によって決定された送信順序をゲートウェイ１０に渡してＥＣＵ３０での更新処理を要求する。ゲートウェイ１０の更新処理部１１２は、管理サーバ５から渡された送信順序で更新プログラムを送信して各ＥＣＵ３０に更新処理を要求することによって、同時更新での更新処理を制御する。
　第２の実施の形態にかかるプログラム更新システムにおいても、同時更新の必要性がある更新プログラムが複数ある場合に同時更新所要時間を短くすることができる。これによりユーザに生じる不都合、不利益を抑えることができる。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　車両
　２　広域通信網
　５　管理サーバ（中継装置）
　６　ＤＬサーバ
　１０　ゲートウェイ（中継装置）
　１１　ＣＰＵ
　１２　ＲＡＭ
　１３　記憶部
　１４　車内通信部
　１５　無線通信部
　３０　ＥＣＵ（制御装置）
　３１　ＣＰＵ
　３２　ＲＡＭ
　３３　記憶部
　３４　通信部
　３５　起動部
　５１　ＣＰＵ
　５２　ＲＯＭ
　５３　ＲＡＭ
　５４　記憶部
　５５　通信部
　ＮＷ１～ＮＷ３　バス（車載ネットワーク）
　１１１　スケジューリング部
　１１２　更新制御部

Claims (10)

  1. 　車載ネットワークに属する複数の制御装置と通信する中継装置であって、
    　複数の前記制御装置に対する同時更新の必要性がある複数の更新プログラムと、前記車載ネットワークのトポロジーとを記憶する記憶部と、
    　複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信する車内通信部と、
    　自装置に個別に接続された互いに独立する複数の前記車載ネットワークに属する前記制御装置については、当該制御装置に対応する複数の前記更新プログラムを並行して送信するように前記車内通信部を制御する制御部と、を備える、中継装置。
  2. 　前記制御部は、所定の条件に従って複数の前記更新プログラムの送信順序を決定する、請求項１に記載の中継装置。
  3. 　前記所定の条件は、各前記制御装置での、下記の第１時間～第３時間を含む更新所要時間の組み合わせである同時更新所要時間を最も短くするスケジューリング条件よりなり、
    　前記同時更新所要時間は、前記複数の更新プログラムのうちの最初に前記制御装置に伝送される更新プログラムについての前記第１時間の開始時から、前記複数の更新プログラムの最後に制御プログラムの書き換えが終了する更新プログラムについての前記第３時間の終了時までの時間である、請求項２に記載の中継装置。
    　第１時間：更新プログラムの伝送時間
    　第２時間：更新プログラムのチェックに要する時間
    　第３時間：更新プログラムを用いた制御プログラムの書き換えに要する時間
  4. 　前記スケジューリング条件には、
    　バス型トポロジーである１つの前記車載ネットワークに含まれる複数の前記制御装置について、前記第３時間が長い前記制御装置ほど前記更新プログラムの送信順序を早めることが含まれる、請求項３に記載の中継装置。
  5. 　前記スケジューリング条件には、
    　バス型トポロジーである１つの前記車載ネットワークに含まれる複数の前記制御装置について、前記第１時間が短い前記制御装置ほど前記更新プログラムの送信順序を早めることが含まれる、請求項３または請求項４に記載の中継装置。
  6. 　前記スケジューリング条件には、
    　バス型トポロジーである１つの前記車載ネットワークに含まれる複数の前記制御装置について、前記制御装置に付与された識別情報に基づいて送信順序を決定することが含まれる、請求項３～請求項５のいずれか１項に記載の中継装置。
  7. 　１つの前記車載ネットワークに、自装置に直接接続されたメインネットワークと、前記メインネットワークに含まれる前記制御装置を分岐ノードとして分岐するローカルネットワークが含まれる場合は、前記スケジューリング条件には、前記ローカルネットワークに属する前記制御装置への送信順序を、前記メインネットワークに含まれる前記制御装置の送信順序よりも早めることが含まれる、請求項３～請求項６のいずれか１項に記載の中継装置。
  8. 　前記制御部は、前記分岐ノードが、前記メインネットワークでの伝送速度と前記ローカルネットワークでの伝送速度の差を吸収するバッファ機能を有するか否か応じて、前記メインネットワークの伝送速度を決定する、請求項７に記載の中継装置。
  9. 　車載ネットワークに属する複数の制御装置と、前記複数の制御装置と通信する中継装置と、を含むプログラム更新システムであって、
    　前記中継装置は、
    　複数の前記制御装置に対する同時更新の必要性がある複数の更新プログラムと、前記車載ネットワークのトポロジーとを記憶する記憶部と、
    　複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信する車内通信部と、
    　自装置に個別に接続された互いに独立する複数の前記車載ネットワークに属する前記制御装置については、当該制御装置に対応する複数の前記更新プログラムを並行して送信するように前記車内通信部を制御する制御部と、を備える、プログラム更新システム。
  10. 　車載ネットワークに属する複数の制御装置と通信する中継装置が実行するプログラム更新方法であって、
    　複数の前記制御装置に対する同時更新の必要性がある複数の更新プログラムと、前記車載ネットワークのトポロジーとを記憶するステップと、
    　複数の前記更新プログラムを対応する前記制御装置にそれぞれ送信するステップと、を含み、
    　前記送信するステップは、前記中継装置に個別に接続された互いに独立する複数の前記車載ネットワークに属する前記制御装置については、当該制御装置に対応する複数の前記更新プログラムを並行して送信することを含む、プログラム更新方法。
PCT/JP2016/080062 2016-06-02 2016-10-11 中継装置、プログラム更新システム、およびプログラム更新方法 WO2017208475A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/304,808 US10552143B2 (en) 2016-06-02 2016-10-11 Relay device, program update system, and program update method
CN201680086326.8A CN109219800B (zh) 2016-06-02 2016-10-11 中继装置、程序更新系统以及程序更新方法
DE112016006931.6T DE112016006931T5 (de) 2016-06-02 2016-10-11 Relaisvorrichtung, Programmaktualisierungssystem und Programmaktualisierungsverfahren

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016110623A JP6380461B2 (ja) 2016-06-02 2016-06-02 中継装置、プログラム更新システム、およびプログラム更新方法
JP2016-110623 2016-06-02

Publications (1)

Publication Number Publication Date
WO2017208475A1 true WO2017208475A1 (ja) 2017-12-07

Family

ID=60478285

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/080062 WO2017208475A1 (ja) 2016-06-02 2016-10-11 中継装置、プログラム更新システム、およびプログラム更新方法

Country Status (5)

Country Link
US (1) US10552143B2 (ja)
JP (1) JP6380461B2 (ja)
CN (1) CN109219800B (ja)
DE (1) DE112016006931T5 (ja)
WO (1) WO2017208475A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109144545A (zh) * 2018-08-16 2019-01-04 北京汽车股份有限公司 数据刷写方法、装置、设备及计算机可读存储介质
CN110764795A (zh) * 2018-07-26 2020-02-07 广州汽车集团股份有限公司 车载升级通信模组、车辆在线升级装置、系统和方法
CN111989658A (zh) * 2018-04-20 2020-11-24 株式会社自动网络技术研究所 车载更新装置、车载更新系统、更新处理方法及更新处理程序
CN112020456A (zh) * 2018-05-11 2020-12-01 株式会社自动网络技术研究所 车载更新装置、更新处理方法及更新处理程序

Families Citing this family (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018096755A1 (ja) * 2016-11-25 2018-05-31 株式会社デンソー 並行処理装置及び並行処理プログラム
JP6376312B1 (ja) * 2017-02-01 2018-08-22 住友電気工業株式会社 制御装置、プログラム更新方法、およびコンピュータプログラム
US10496469B2 (en) 2017-07-25 2019-12-03 Aurora Labs Ltd. Orchestrator reporting of probability of downtime from machine learning process
JP6940365B2 (ja) * 2017-10-12 2021-09-29 日立Astemo株式会社 情報更新装置
JP7010049B2 (ja) * 2018-02-16 2022-01-26 トヨタ自動車株式会社 車両制御装置、プログラムの更新確認方法および更新確認プログラム
EP3759885B1 (en) * 2018-02-27 2022-08-17 Excelfore Corporation Broker-based bus protocol and multi-client architecture
JP7010087B2 (ja) * 2018-03-16 2022-01-26 トヨタ自動車株式会社 プログラム更新管理装置、プログラム更新管理方法、およびプログラム
DK201870700A1 (en) * 2018-06-20 2020-01-14 Aptiv Technologies Limited OVER-THE-AIR (OTA) MOBILITY SERVICES PLATFORM
JP7183984B2 (ja) 2018-08-10 2022-12-06 株式会社デンソー センター装置，車両情報通信システム，配信パッケージ送信方法及び配信パッケージの送信プログラム
WO2020032195A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両情報通信システム
JP7156192B2 (ja) 2018-08-10 2022-10-19 株式会社デンソー 車両用マスタ装置、非書換え対象の電源管理方法及び非書換え対象の電源管理プログラム
KR102540932B1 (ko) * 2018-11-16 2023-06-08 현대자동차주식회사 차량의 업데이트 제공 장치 및 컴퓨터 기록 매체
US10754637B1 (en) * 2019-01-28 2020-08-25 International Business Machines Corporation Patch management in a hybrid computing environment
JP6832374B2 (ja) * 2019-02-22 2021-02-24 本田技研工業株式会社 ソフトウェア更新装置、車両及びソフトウェア更新方法
WO2020179124A1 (ja) * 2019-03-05 2020-09-10 住友電気工業株式会社 管理装置、通信システム、車両、車両通信管理方法および車両通信管理プログラム
CN111694335B (zh) * 2019-03-12 2022-04-19 广州汽车集团股份有限公司 一种汽车ecu诊断方法及其系统、网关设备
US10963373B2 (en) * 2019-03-25 2021-03-30 Aurora Labs Ltd. Identifying software dependencies using line-of-code behavior and relation models
JP2020184179A (ja) * 2019-05-08 2020-11-12 ファナック株式会社 加工制御システム及び加工システム
US11119750B2 (en) * 2019-05-23 2021-09-14 International Business Machines Corporation Decentralized offline program updating
US10845787B1 (en) * 2019-07-17 2020-11-24 Rockwell Automation Technologies, Inc. Concurrent updating for linear topologies in an industrial automation environment
EP3770422A1 (en) * 2019-07-23 2021-01-27 Siemens Gamesa Renewable Energy A/S Updating software and/or firmware of a plurality of wind turbine devices
CN110868448A (zh) * 2019-09-29 2020-03-06 浙江合众新能源汽车有限公司 一种车载数据更新的系统及方法
JP7230760B2 (ja) * 2019-09-30 2023-03-01 トヨタ自動車株式会社 中継装置および外部装置
JP6973465B2 (ja) * 2019-11-28 2021-12-01 株式会社オートネットワーク技術研究所 車載中継装置、プログラム及び中継方法
KR20210133599A (ko) * 2020-04-29 2021-11-08 현대자동차주식회사 차량의 무선 업데이트 장치 및 그 방법
KR20220028879A (ko) * 2020-08-31 2022-03-08 현대자동차주식회사 차량의 ecu 업데이트 관리 장치 및 그 방법
CN113162796B (zh) * 2021-02-24 2023-05-16 北京经纬恒润科技股份有限公司 一种设备更新方法、装置及设备更新系统
JP7540401B2 (ja) * 2021-06-22 2024-08-27 トヨタ自動車株式会社 センタ、ｏｔａマスタ、方法、プログラム、及び車両
JP2023081445A (ja) * 2021-12-01 2023-06-13 株式会社アイシン 車両用プログラム書換システムおよびシフト装置
US20230315440A1 (en) * 2022-04-05 2023-10-05 Ford Global Technologies, Llc Vehicle software compatibility
US12088672B1 (en) * 2023-06-12 2024-09-10 Infineon Technologies Ag Efficient and secured access to in-vehicle end nodes across a vehicle fleet

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001296994A (ja) * 2000-04-14 2001-10-26 Sharp Corp プログラムダウンロードシステム及びプログラムダウンロード方法
JP2006195766A (ja) * 2005-01-14 2006-07-27 Mitsubishi Electric Corp ファームウェア更新方法およびファームウェア更新システム
JP2010049464A (ja) * 2008-08-21 2010-03-04 Riso Kagaku Corp 電子機器および電子機器における更新用プログラムダウンロード方法
JP2010271891A (ja) * 2009-05-21 2010-12-02 Fujitsu Ten Ltd ゲートウェイ装置、及びデータ送信方法
JP2012091755A (ja) * 2010-10-29 2012-05-17 Honda Motor Co Ltd 車両用プログラム書換えシステム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10055163B4 (de) * 2000-11-08 2013-01-03 Bayerische Motoren Werke Aktiengesellschaft Datenbus, insbesondere in Kraftfahrzeugen
US6904325B2 (en) * 2003-10-23 2005-06-07 General Motors Corporation Method for optimizing ECU parallel flash programming arrangement on a CAN-based vehicle serial bus in general assembly
JP2007065856A (ja) * 2005-08-30 2007-03-15 Fujitsu Ten Ltd 情報書き換えシステムおよび情報書き換え装置
DE102008035557A1 (de) * 2008-07-30 2010-02-04 Bayerische Motoren Werke Aktiengesellschaft Verfahren zum Einbringen von Daten, insbesondere eine Ablaufsteuerung, in mindestens ein erstes und ein zweites Steuergerät eines Kraftfahrzeugs
JP2010198155A (ja) * 2009-02-24 2010-09-09 Fujitsu Ten Ltd プログラム更新装置、プログラム更新方法、及び情報処理装置
JP2011070307A (ja) 2009-09-24 2011-04-07 Toyota Motor Corp プログラム更新装置
EP2634045A4 (en) * 2010-10-29 2014-07-23 Honda Motor Co Ltd VEHICLE PROGRAM REWRITING SYSTEM
JP5267598B2 (ja) * 2011-02-25 2013-08-21 トヨタ自動車株式会社 車両制御装置のデータ書き換え支援システム及びデータ書き換え支援方法
JP5451705B2 (ja) * 2011-09-21 2014-03-26 日立オートモティブシステムズ株式会社 自動車用電子制御装置及びデータ通信方法
JP5816572B2 (ja) * 2012-02-23 2015-11-18 日立オートモティブシステムズ株式会社 車両用制御装置
DE102014200089A1 (de) * 2014-01-08 2015-07-09 Bayerische Motoren Werke Aktiengesellschaft Verfahren, Vorrichtung, Computerprogramm und Computerprogrammprodukt zum Programmieren von mehreren Steuergeräten
JP6602129B2 (ja) 2014-12-03 2019-11-06 マレリ株式会社 文字入力補助装置
JP6361671B2 (ja) * 2016-03-02 2018-07-25 住友電気工業株式会社 プログラム更新システム、プログラム更新方法、中継装置及びコンピュータプログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001296994A (ja) * 2000-04-14 2001-10-26 Sharp Corp プログラムダウンロードシステム及びプログラムダウンロード方法
JP2006195766A (ja) * 2005-01-14 2006-07-27 Mitsubishi Electric Corp ファームウェア更新方法およびファームウェア更新システム
JP2010049464A (ja) * 2008-08-21 2010-03-04 Riso Kagaku Corp 電子機器および電子機器における更新用プログラムダウンロード方法
JP2010271891A (ja) * 2009-05-21 2010-12-02 Fujitsu Ten Ltd ゲートウェイ装置、及びデータ送信方法
JP2012091755A (ja) * 2010-10-29 2012-05-17 Honda Motor Co Ltd 車両用プログラム書換えシステム

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111989658A (zh) * 2018-04-20 2020-11-24 株式会社自动网络技术研究所 车载更新装置、车载更新系统、更新处理方法及更新处理程序
CN111989658B (zh) * 2018-04-20 2024-03-01 株式会社自动网络技术研究所 车载更新装置、车载更新系统、更新处理方法及更新处理程序
CN112020456A (zh) * 2018-05-11 2020-12-01 株式会社自动网络技术研究所 车载更新装置、更新处理方法及更新处理程序
CN112020456B (zh) * 2018-05-11 2023-12-05 株式会社自动网络技术研究所 车载更新装置、更新处理方法及更新处理程序
CN110764795A (zh) * 2018-07-26 2020-02-07 广州汽车集团股份有限公司 车载升级通信模组、车辆在线升级装置、系统和方法
CN109144545A (zh) * 2018-08-16 2019-01-04 北京汽车股份有限公司 数据刷写方法、装置、设备及计算机可读存储介质
CN109144545B (zh) * 2018-08-16 2022-04-22 北京汽车股份有限公司 数据刷写方法、装置、设备及计算机可读存储介质

Also Published As

Publication number Publication date
JP2017215890A (ja) 2017-12-07
JP6380461B2 (ja) 2018-08-29
CN109219800B (zh) 2020-04-07
CN109219800A (zh) 2019-01-15
US10552143B2 (en) 2020-02-04
US20190235855A1 (en) 2019-08-01
DE112016006931T5 (de) 2019-02-28

Similar Documents

Publication Publication Date Title
WO2017208475A1 (ja) 中継装置、プログラム更新システム、およびプログラム更新方法
JP6562134B2 (ja) 中継装置、プログラム更新システム、およびプログラム更新方法
US11061658B2 (en) Prioritized upgrade of vehicles
JP6376312B1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2017149825A1 (ja) プログラム更新システム、プログラム更新方法及びコンピュータプログラム
JP6562133B2 (ja) 中継装置、プログラム更新システム、およびプログラム更新方法
JP6665728B2 (ja) 車載更新装置、車載更新システム及び通信装置の更新方法
JP6323480B2 (ja) プログラム更新システム、プログラム更新方法及びコンピュータプログラム
JP2017157003A5 (ja)
WO2018142751A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2019202965A1 (ja) 車載更新装置、車載更新システム、更新処理方法及び更新処理プログラム
WO2017221436A1 (ja) 中継装置、中継方法及びコンピュータプログラム
US11126422B2 (en) Program update system, control system, mobile body, program update method, recording medium
CN110753906B (zh) 更新控制装置、控制方法以及计算机程序
WO2018154949A1 (ja) プログラム更新システム、制御装置、プログラム更新方法、及びコンピュータプログラム
CN110574015A (zh) 车载中继装置、控制程序及存储器共有方法
WO2018142749A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2019221058A1 (ja) 車載中継装置、通信システム、バス決定方法及びコンピュータプログラム
WO2020195034A1 (ja) 車載更新装置、更新処理システム、更新処理方法及び処理プログラム
WO2017149827A1 (ja) 制御装置、プログラム配信方法、およびコンピュータプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16904099

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 16904099

Country of ref document: EP

Kind code of ref document: A1