WO2018142749A1 - 制御装置、プログラム更新方法、およびコンピュータプログラム - Google Patents

制御装置、プログラム更新方法、およびコンピュータプログラム Download PDF

Info

Publication number
WO2018142749A1
WO2018142749A1 PCT/JP2017/043486 JP2017043486W WO2018142749A1 WO 2018142749 A1 WO2018142749 A1 WO 2018142749A1 JP 2017043486 W JP2017043486 W JP 2017043486W WO 2018142749 A1 WO2018142749 A1 WO 2018142749A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
update
maintenance
control
download
Prior art date
Application number
PCT/JP2017/043486
Other languages
English (en)
French (fr)
Inventor
泉　達也
Original Assignee
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社 filed Critical 住友電気工業株式会社
Priority to JP2018513903A priority Critical patent/JP6547904B2/ja
Publication of WO2018142749A1 publication Critical patent/WO2018142749A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating

Definitions

  • the present invention relates to a control device, a program update method, and a computer program.
  • This application claims priority based on Japanese Patent Application No. 2017-016545 filed on Feb. 1, 2017, and incorporates all the description content described in the above Japanese application.
  • ECUs Electronic Control Units
  • the types of ECUs include, for example, those related to the traveling system that controls the engine, brakes, and EPS (Electric Power Steering) for the operation of the accelerator, the brake, and the steering wheel.
  • EPS Electric Power Steering
  • body-type ECUs for controlling turning on / off of headlights and sounding of alarm devices
  • meter-type ECUs for controlling the operation of meters disposed near the driver's seat.
  • the ECU is configured by an arithmetic processing device such as a microcomputer, and the control of the in-vehicle device is realized by reading and executing a control program stored in a ROM (Read Only Memory).
  • the ECU control program may differ depending on the destination and grade of the vehicle, and it is necessary to rewrite the old version control program to the new version control program in response to the upgrade of the control program.
  • Patent Document 1 discloses a technique in which an update program downloaded from an external center is stored in a relay device mounted on a vehicle, and a program update for each ECU of the vehicle is executed based on a predetermined command. It is disclosed.
  • the control device is a control device that controls the update of the control program of the in-vehicle control device that controls the target device mounted on the vehicle, and obtains a maintenance schedule for the update of the control program
  • a determination unit that determines when to start downloading the update program for the control program based on the start of maintenance, and a control unit that controls the download of the update program.
  • the control unit is determined by the determination unit
  • the download of the update program is started at the start.
  • the program update method is an update method of a control program of an in-vehicle control device that controls a target device mounted on a vehicle, and a step of acquiring a maintenance schedule for updating the control program; A step of determining when to start downloading the update program for the control program based on when maintenance starts, and a step of controlling downloading of the update program, wherein the step of controlling download determines when to start downloading Starting to download the update program at the start determined by the step of performing.
  • the computer program is a computer program for causing a computer to function as a control device that controls update of a control program of an in-vehicle control device that controls a target device mounted on the vehicle,
  • An acquisition unit that acquires a maintenance schedule for updating the control program, a determination unit that determines when to start downloading the update program for the control program based on the start of maintenance, and a control unit that controls the download of the update program
  • the control unit starts downloading the update program at the start determined by the determination unit.
  • FIG. 1 is an overall configuration diagram of a program update system according to an embodiment.
  • FIG. 2 is a block diagram showing the internal configuration of the gateway.
  • FIG. 3 is a block diagram showing an internal configuration of the ECU.
  • FIG. 4 is a block diagram showing the internal configuration of the management server.
  • FIG. 5 is a sequence diagram illustrating an example of control program update executed in the program update system according to the first embodiment.
  • FIG. 6 is a flowchart showing specific contents of the schedule determination process in step S2 of FIG.
  • FIG. 7 shows an example (A) of the control program update time in the program update system according to the first embodiment, an example of the control program update time (B) as a comparative example
  • FIG. 8 is a sequence diagram illustrating an example of control program update executed in the program update system according to the second embodiment.
  • FIG. 9 is a flowchart illustrating an example of schedule determination processing according to the third embodiment.
  • An object of an aspect of the present disclosure is to provide a control device, a program update method, and a computer program that can download a control program update program at an appropriate timing in consideration of the start of maintenance at a dealer. It is.
  • control program update program can be downloaded at an appropriate timing in consideration of the start of maintenance at the dealer.
  • the control device included in the present embodiment is a control device that controls the update of the control program of the in-vehicle control device that controls the target device mounted on the vehicle, and acquires a maintenance schedule for the update of the control program.
  • a determining unit that determines when to start downloading the update program for the control program based on the start of maintenance, and a control unit that controls downloading of the updating program.
  • the download of the update program is started at the start determined by. Since the update program download start time is determined based on the start of maintenance, the update program is downloaded at the timing based on the start of maintenance even when the server requests download of the update program. Is done. Therefore, according to this configuration, it is possible to download the control program update program at an appropriate timing in consideration of the start of maintenance.
  • the determining unit determines a start time of downloading the update program so that the download of the update program is started at least before the start of the maintenance.
  • the total maintenance time can be shortened compared to the case where the download of the update program is started after the maintenance is started.
  • the acquisition unit further acquires a required download time of the update program, and the determination unit determines a start time of downloading the update program so that the download of the update program is completed before the maintenance is started.
  • the download of the update program is already completed at the start of the maintenance, and the time for downloading the update program after the start of the maintenance becomes unnecessary. Therefore, the total maintenance time can be shortened compared with the case where the update program is downloaded during maintenance.
  • the determination unit determines when to start downloading the update program so that a period from the completion of downloading the update program to the start of maintenance is equal to or less than a specified time.
  • the period during which the update program is stored in the memory from the completion of the download to the start of maintenance can be shortened. Therefore, it is possible to avoid long-term pressure on the memory.
  • the determination unit waits for the update program to be downloaded.
  • the update program is downloaded during maintenance. For this reason, it is avoided that the maintenance memory is compressed by downloading the other update program, and it is possible to avoid problems that may occur in maintenance.
  • the determination unit includes a start time of maintenance for updating another control program in the download period of the update program, and free space in the memory Is less than a predetermined capacity, it waits for the update program to be downloaded.
  • the free space of the memory is equal to or larger than a predetermined capacity, another update program is downloaded as necessary. Therefore, the total maintenance time for updating the control program using the other update program can be shortened.
  • the control unit controls writing of the update program to the backup memory, and the determination unit completes downloading of the update program before the start of maintenance.
  • the start of downloading the update program is determined so that the writing of the update program to the backup memory is completed.
  • the maintenance for updating the control program only needs to be restarted to switch between the backup memory and the operation memory.
  • the control program is updated. The total maintenance time for renewal can be further shortened.
  • a program update method included in the present embodiment is an update method of a control program of an in-vehicle control device that controls a target device mounted on a vehicle, and includes a step of acquiring a maintenance schedule for updating the control program, And the step of determining the download start time of the update program of the control program and the step of controlling the download of the update program based on the start time of the control program, the step of controlling the download determines the start time of the download Including starting to download the update program at the start determined by the step. Since the update program download start time is determined based on the start of maintenance, the update program is downloaded at the timing based on the start of maintenance even when the server requests download of the update program. Is done. Therefore, according to this configuration, the control program update program can be downloaded at an appropriate timing in consideration of the start of maintenance.
  • a computer program included in the present embodiment is a computer program for causing a computer to function as a control device that controls updating of a control program of an in-vehicle control device that controls a target device mounted on the vehicle, and controls the computer.
  • An acquisition unit that acquires a maintenance schedule for program update, a determination unit that determines when to start downloading the update program for the control program based on the start of maintenance, and a control unit that controls downloading of the update program, The control unit starts to download the update program at the start determined by the determination unit. Since the update program download start time is determined based on the start of maintenance, the update program is downloaded at the timing based on the start of maintenance even when the server requests download of the update program. Is done. Therefore, according to this configuration, the control program update program can be downloaded at an appropriate timing in consideration of the start of maintenance.
  • FIG. 1 is an overall configuration diagram of a program update system according to the first embodiment.
  • the program update system of this embodiment includes a vehicle 1, a management server 5, and a DL (download) server 6 that can communicate via a wide area communication network 2.
  • the management server 5 manages update information of the vehicle 1.
  • the DL server 6 stores an update program.
  • the management server 5 and the DL server 6 are operated by, for example, a car manufacturer of the vehicle 1 and can communicate with a large number of vehicles 1 owned by users who are registered as members in advance.
  • the vehicle 1 is equipped with a gateway 10, a wireless communication unit 15, a plurality of ECUs 30, and various in-vehicle devices (not shown) controlled by the ECUs 30.
  • a communication group including a plurality of ECUs 30 that are bus-connected to a common in-vehicle communication line, and the gateway 10 relays communication between the communication groups. Therefore, a plurality of in-vehicle communication lines are connected to the gateway 10.
  • the wireless communication unit 15 is communicably connected to a wide area communication network 2 such as a mobile phone network, and is connected to the gateway 10 via an in-vehicle communication line.
  • the gateway 10 transmits information received by the wireless communication unit 15 from the external devices such as the management server 5 and the DL server 6 to the ECU 30 through the wide area communication network 2.
  • the gateway 10 transmits information acquired from the ECU 30 to the wireless communication unit 15, and the wireless communication unit 15 transmits the information to an external device such as the management server 5.
  • the wireless communication unit 15 mounted on the vehicle 1 in addition to the in-vehicle dedicated communication terminal, devices such as a mobile phone, a smartphone, a tablet terminal, and a notebook computer (Personal Computer) owned by the user can be considered.
  • the gateway 10 communicates with an external device via the wireless communication unit 15 is illustrated, but when the gateway 10 has a wireless communication function, the gateway 10 itself is a management server 5 or the like. It is good also as a structure which performs wireless communication with an external apparatus.
  • the management server 5 and the DL server 6 are configured as separate servers, but the servers 5 and 6 may be configured as a single server device.
  • FIG. 2 is a block diagram showing the internal configuration of the gateway 10.
  • the gateway 10 includes a CPU 11, a RAM (Random Access Memory) 12, a storage unit 13, an in-vehicle communication unit 14, and the like.
  • the gateway 10 is connected via the wireless communication unit 15 and the in-vehicle communication line, but these may be configured by a single device.
  • the CPU 11 causes the gateway 10 to function as a relay device for various types of information by reading one or more programs stored in the storage unit 13 into the RAM 12 and executing them.
  • the CPU 11 can execute a plurality of programs in parallel, for example, by switching and executing a plurality of programs in a time division manner.
  • the CPU 11 may represent a plurality of CPU groups. In this case, the functions realized by the CPU 11 are realized by the cooperation of a plurality of CPU groups.
  • the RAM 12 is composed of a memory element such as SRAM (Static RAM) or DRAM (Dynamic RAM), and temporarily stores a program executed by the CPU 11, data necessary for execution, and the like.
  • the computer program realized by the CPU 11 can be transferred while being recorded on a known recording medium such as a CD-ROM or DVD-ROM, or can be transferred by information transmission (downloading) from a computer device such as a server computer. You can also. The same applies to a computer program executed by a CPU 31 (see FIG. 3) of an ECU 30 described later and a computer program executed by a CPU 51 (see FIG. 4) of a management server 5 described later.
  • the storage unit 13 includes a nonvolatile memory element such as a flash memory or an EEPROM.
  • the storage unit 13 stores a program executed by the CPU 11, data necessary for execution, and the like, and has a storage memory 131 that is a storage area for storing a program for updating each ECU 30 received from the DL server 6. .
  • the storage memory 131 is also used for program backup.
  • a plurality of ECUs 30 are connected to the in-vehicle communication unit 14 via an in-vehicle communication line disposed in the vehicle 1.
  • the in-vehicle communication unit 14 is, for example, CAN (Controller Area Network), CANFD (CAN with Flexible Data Rate), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport: MOST is a registered trademark). Communication with the ECU 30 is performed according to the standard.
  • the in-vehicle communication unit 14 transmits the information given from the CPU 11 to the target ECU 30 and gives the information received from the ECU 30 to the CPU 11.
  • the in-vehicle communication unit 14 may communicate according to other communication standards used for the in-vehicle network as well as the above communication standards.
  • the wireless communication unit 15 includes a wireless communication device including an antenna and a communication circuit that performs transmission / reception of a wireless signal from the antenna.
  • the wireless communication unit 15 can communicate with an external device by being connected to a wide area communication network 2 such as a mobile phone network.
  • the wireless communication unit 15 transmits information given from the CPU 11 to an external device such as the management server 5 via the wide area communication network 2 formed by a base station (not shown), and receives information received from the external device to the CPU 11. give.
  • a wired communication unit that functions as a relay device in the vehicle 1 may be employed.
  • the wired communication unit has a connector to which a communication cable conforming to a standard such as USB (Universal Serial Bus) or RS232C is connected, and performs wired communication with another communication device connected via the communication cable.
  • a communication cable conforming to a standard such as USB (Universal Serial Bus) or RS232C is connected
  • RS232C Universal Serial Bus
  • the outside of the vehicle depends on the communication path of the outside device ⁇ another communication device ⁇ the wired communication unit ⁇ the gateway 10.
  • the apparatus and the gateway 10 can communicate with each other.
  • FIG. 3 is a block diagram showing an internal configuration of the ECU 30.
  • the ECU 30 includes a CPU 31, a RAM 32, a storage unit 33, a communication unit 34, and the like.
  • the ECU 30 is an in-vehicle control device that individually controls target devices mounted on the vehicle 1. Examples of the ECU 30 include a power supply control ECU, an engine control ECU, a steering control ECU, and a door lock control ECU.
  • the CPU 31 controls the operation of the target device that it is in charge of by reading one or more programs stored in advance in the storage unit 33 into the RAM 32 and executing them.
  • the CPU 31 may also represent a plurality of CPU groups, and the control by the CPU 31 may be control by cooperation of a plurality of CPU groups.
  • the RAM 32 is configured by a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 31, data necessary for execution, and the like.
  • the storage unit 33 is configured by a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the storage unit 33 includes a function memory 331 that is an area for storing a program read and executed by the CPU 31.
  • the information stored in the function memory 331 includes, for example, a computer program (hereinafter referred to as “control program”) that causes the CPU 31 to execute information processing for controlling a target device that is a control target in the vehicle. .
  • the communication unit 34 is connected to the gateway 10 via an in-vehicle communication line disposed in the vehicle 1.
  • the communication unit 34 communicates with the gateway 10 according to a standard such as CAN, Ethernet, or MOST.
  • the communication unit 34 transmits the information given from the CPU 31 to the gateway 10 and gives the information received from the gateway 10 to the CPU 31.
  • the communication unit 34 may communicate according to other communication standards used for the in-vehicle network, in addition to the above communication standards.
  • the CPU 31 of the ECU 30 includes an activation unit 35 that switches the control mode by the CPU 31 to either “normal mode” or “reprogramming mode” (hereinafter also referred to as “repro mode”).
  • the normal mode is a control mode in which the CPU 31 of the ECU 30 executes an original control on the target device (for example, engine control on the fuel engine, door lock control on the door lock motor, etc.).
  • the reprogramming mode is a control mode in which a control program used for controlling the target device is updated. That is, the reprogramming mode is a control mode in which the CPU 31 erases and rewrites the control program in the ROM area of the storage unit 33. Only in this control mode, the CPU 31 can update the control program stored in the ROM area of the storage unit 33 to a new version.
  • the activation unit 35 When the CPU 31 writes the new version of the control program in the storage unit 33 in the repro mode, the activation unit 35 once restarts (resets) the ECU 30 and executes the verify process on the storage area in which the new version of the control program is written. .
  • the activation unit 35 causes the CPU 31 to operate according to the updated control program after the above-described verification processing is completed.
  • FIG. 4 is a block diagram showing the internal configuration of the management server 5.
  • the management server 5 includes a CPU 51, a ROM 52, a RAM 53, a storage unit 54, a communication unit 55, and the like.
  • the CPU 51 reads out one or more programs stored in advance in the ROM 52 to the RAM 53 and executes them, thereby controlling the operation of each hardware and causing the management server 5 to function as an external device that can communicate with the gateway 10.
  • the CPU 51 may also represent a plurality of CPU groups, and the functions realized by the CPU 51 may be realized by the cooperation of a plurality of CPU groups.
  • the RAM 53 is configured by a memory element such as SRAM or DRAM, and temporarily stores programs executed by the CPU 51 and data necessary for execution.
  • the storage unit 54 includes a nonvolatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the communication unit 55 includes a communication device that executes communication processing in accordance with a predetermined communication standard, and is connected to the wide area communication network 2 such as a mobile phone network to execute the communication processing.
  • the communication unit 55 transmits the information given from the CPU 51 to the external device via the wide area communication network 2 and gives the information received via the wide area communication network 2 to the CPU 51.
  • FIG. 5 is a sequence diagram illustrating an example of control program update executed in the program update system of the present embodiment.
  • the management server 5 determines the timing for updating the control program of the ECU of the vehicle 1 for the vehicle 1 registered in advance.
  • the update timing may be set by, for example, the car manufacturer of the vehicle 1.
  • the management server 5 transmits the update destination storage URL of the ECU 30 and the download request to the gateway 10 of the vehicle 1 (step S1).
  • the gateway 10 that has received the update request from the management server 5 executes a process of determining a schedule for downloading the update program for updating the control program (step S2).
  • the gateway 10 decides a schedule (start time) for downloading the update program based on a scheduled time (hereinafter also referred to as a maintenance schedule) for entering the dealer and starting maintenance for updating the control program.
  • the maintenance schedule may be the date and time when the vehicle 1 is received at the dealer. Details of this processing will be described later.
  • the gateway 10 downloads the update program for the ECU 30 from the DL server 6 at the timing specified in the schedule (steps S3 and S4).
  • the gateway 10 stores and stores the received update program in the storage unit 13 of its own device (step S5).
  • the gateway 10 When the download of the update program is completed and stored in the storage unit 13 in step S5, the gateway 10 notifies the management server 5 of the completion of the download (step S6). Thereby, the management server 5 can manage the distribution of the update program to the vehicle 1 of the control program. If the completion of download within a predetermined period is not notified from step S ⁇ b> 1, the management server 5 distributes the update program to the vehicle 1 again.
  • step S4 After the download in step S4 starts, the vehicle 1 enters the dealer and maintenance starts.
  • a device such as a portable terminal is connected to the gateway 10, and the device communicates with the gateway 10 directly or via the wireless communication unit 15, and update of the gateway 10 is started. Pass the directive.
  • the gateway 10 that has received the command passes the update program to the target ECU 30 and requests an update of the control program (step S7).
  • the ECU 30 updates the control program (step S8). Since the download of the update program has already been completed in steps S4 and S5 and is stored in the storage unit 13 of the gateway 10, the update process need only be performed using the update program in step S8.
  • the update of the control program can be completed in a short time compared to the case of starting.
  • the update completion may be notified to the management server 5 instead of or in addition to the download completion notification in step S6.
  • the management server 5 can manage the update of the control program in the vehicle 1. If the completion of the update within the predetermined period is not notified from step S1, the management server 5 distributes the update program to the vehicle 1 again, thereby reliably updating the control program in the vehicle 1. be able to.
  • the CPU 11 of the gateway 10 determines the schedule for downloading the update program, and functions represented as the acquisition unit 111, the determination unit 112, and the control unit 113 in FIG. 2 as functions for executing the download according to the schedule. Including. These functions are functions realized in the CPU 11 when the CPU 11 reads and executes one or more programs stored in the storage unit 13. However, at least a part of the functions may be realized by hardware such as an electronic circuit.
  • the function of the CPU 11 represented by the acquisition unit 111 acquires the maintenance schedule of the vehicle 1.
  • the maintenance schedule for the vehicle 1 may be registered in the management server 5 by the user of the vehicle 1.
  • the acquisition unit 111 acquires a maintenance schedule from the management server 5.
  • the acquisition unit 111 may communicate with the user's mobile phone, smartphone, tablet terminal, notebook PC, or the like, and prompt the user to input a maintenance schedule.
  • the acquisition unit 111 acquires a maintenance schedule by receiving a user input from a mobile phone or the like.
  • the acquisition unit 111 acquires time required for downloading the update program (hereinafter referred to as DL required time) Td.
  • the DL required time Td may be acquired from the management server 5.
  • the DL required time Td may be passed to the gateway 10 as information necessary for the download.
  • the acquisition unit 111 may calculate the DL required time Td using the data size information passed from the management server 5 as information necessary for downloading the update program.
  • the function of the CPU 11 represented by the determination unit 112 determines the download start time of the update program based on the maintenance schedule acquired by the acquisition unit 111 and the DL required time Td. At this time, the determination unit 112 determines the download start time so that the download starts at least before the start of maintenance. This is because the time required for downloading after the start of maintenance can be suppressed, and the entire maintenance time can be shortened.
  • the determination unit 112 determines the start time of download so that the download is completed before the start of maintenance.
  • the download start time is, for example, the download start time.
  • it may be the start date and time, the start timing such as an elapsed time from a predetermined event or timing, and the like.
  • the determination unit 112 has a period (hereinafter referred to as a storage period) Ts stored in the storage unit 13 and stored until the start of maintenance, which is shorter than a predetermined time Th.
  • the download start time is determined as follows (Ts ⁇ Th).
  • the prescribed time Th is, for example, about several minutes to several tens of minutes.
  • the function of the CPU 11 represented by the control unit 113 controls to start downloading the update program at the timing determined by the determination unit 112. Specifically, the control unit 113 requests the DL server 6 for an update program at the timing determined by the determination unit 112. Then, the downloaded update program is stored in the storage unit 13.
  • FIG. 6 is a flowchart showing specific contents of the schedule determination process in step S2 of FIG.
  • the processing shown in the flowchart of FIG. 6 is mainly realized by the CPU 11 when the CPU 11 of the gateway 10 reads one or more programs stored in the storage unit 13 onto the RAM 12 and executes them.
  • the process in FIG. 6 starts when the control server 5 requests update of the control program in step S1.
  • the CPU 11 of the gateway 10 acquires a maintenance schedule (step S101).
  • the CPU 11 acquires the DL required time Td of the update program used for updating the requested control program (step S103).
  • the CPU 11 determines a schedule for downloading the update program based on the maintenance schedule and the DL required time Td (step S105).
  • the update program is downloaded before the maintenance start time specified time Th and DL required time Td so that the download is completed before the maintenance start time Th. Once started, schedule is determined.
  • step S107 the CPU 11 waits until the determined download start time is reached, and when that time is reached (YES in step S107), the CPU 11 starts downloading (step S109).
  • the download of the update program necessary for updating the control program is started at least before the maintenance start time. Therefore, it is possible to reduce the download time after the start of the maintenance, rather than starting the download of the update program after the maintenance starts. As a result, the total maintenance time can be reduced.
  • the download of the update program is completed at least before the maintenance start time. Therefore, it is possible to immediately update the control program without downloading the update program after the maintenance is started. As a result, the total maintenance time can be further reduced.
  • the update program is updated at a timing before the maintenance start time and when the storage period from the completion of the download to the start of the maintenance is less than a specified time. Download is complete. Therefore, it is possible to immediately update the control program without downloading the update program after the maintenance is started. In addition, the period from the completion of the download to the start of maintenance is less than the specified time, and the storage period can be shortened. As a result, the total maintenance time can be further reduced, and the period during which the memory is compressed can also be reduced.
  • FIG. 7A is a diagram illustrating an example of a time relationship of control program update in the program update system according to the first embodiment.
  • maintenance start time T3 is such that downloading of the update program is completed at time Ts1 prior to maintenance start time T3. Download of the update program is started at time T2 before the storage period Ts1 and DL required time Td.
  • the download start timing is FIG. 7A
  • the update program is not downloaded until the time T2 is reached after the time T1 when the download of the update program is requested from the management server 5, and the time T2 is reached.
  • maintenance starts at time T3 thereafter.
  • the total maintenance time can be reduced as compared with the case where the download starts after the maintenance starts.
  • FIG. 7B is a diagram showing an example of a time relationship when the download of the update program is started at time T4 immediately after the maintenance start time T3 as a comparative example.
  • the download start timing is FIG. 7B
  • the download is completed before the maintenance start time T3. Therefore, as in the example of FIG.
  • the total maintenance time can be reduced compared to the case where the download starts after the start.
  • the storage period Ts2 in which the update program is stored in the storage unit 13 after the download is completed is significantly longer than the storage period Ts1 in the case of FIG. Therefore, in the example of FIG. 7B, the period during which the memory of the gateway 10 is compressed by the update program becomes long. Therefore, by downloading the update program at the timing as shown in FIG. 7A, it is possible to suppress the period during which the memory of the gateway 10 is compressed by the update program.
  • the storage unit 33 of the ECU 30 may include a function memory 331 that is an area for storing a program and a storage memory 332 for backup of the program.
  • the update of the control program in the ECU 30 holds the old program by writing the new program generated by applying the update program to the old program in the storage memory 332 and restarting the ECU 30.
  • the function memory 331 and the storage memory 332 in which the new program is written are exchanged.
  • an update command is received at the time of maintenance at a dealer, the above restart is performed, and the function memory 331 and the storage memory 332 are exchanged. .
  • FIG. 8 is a sequence diagram illustrating an example of control program update executed in the program update system according to the second embodiment.
  • the same step number is added to the same operation as the sequence shown in FIG.
  • the description of the same operation as the sequence shown in FIG. 5 will not be repeated.
  • gateway 10 that has received the update request from management server 5 further performs the update in ECU 30 in the process of determining the schedule in step S ⁇ b> 2.
  • the time required to write the program to the storage memory 332 is specified, and the update program is downloaded by the maintenance start time, and the update program is downloaded so that the writing by the ECU 30 is completed.
  • the gateway 10 determines a schedule for downloading so that the storage period from the completion of writing of the update program in the ECU 30 to the start time of maintenance is shorter than the specified time Th.
  • the gateway 10 downloads an update program for the ECU 30 from the DL server 6 at the timing specified in the schedule (steps S3 and S4).
  • the gateway 10 passes the update program to the target ECU 30 and requests the writing of the update program (step S15).
  • the target ECU 30 writes a new program based on the received update program in the storage memory 332 (step S16).
  • step S7 the ECU 30 is restarted according to the request (step S17), and the function memory 331 that holds the old program and the storage memory 332 in which the new program is written, The function of is replaced.
  • the ECU 30 has a storage memory 332 in the storage unit 33. Therefore, before starting the maintenance at the dealer, the writing of the new program to the storage memory 332 is completed. Thereby, the update of the control program is completed only by restarting without writing the new program in the storage memory 332 after the maintenance is started. As a result, the total maintenance time can be further reduced.
  • the gateway 10 further downloads based on a maintenance schedule for updating different control programs, and does not overlap with the maintenance period.
  • the start of download may be determined.
  • the maintenance program is compressed by downloading another control program's update program. It is.
  • FIG. 9 is a flowchart showing the schedule determination process in the third embodiment.
  • the process with the same step number as that in the flowchart of FIG. 6 is the same as the process with the step number in the schedule determination process in the first embodiment. Therefore, the description here will not be repeated.
  • the CPU 11 of the gateway 10 acquires a maintenance schedule for updating a control program different from the control program requested to be updated by the management server 5. Then, the CPU 11 performs the same processing as in the first embodiment to determine the download timing of the update program (steps S101 to S105), and then, during the download period started at the timing, Check whether the maintenance start time for update is included.
  • step S201 When maintenance for updating another control program is started during the download period (YES in step S201), the download is started until the completion of the other maintenance even when the update program download start time comes Without waiting (NO in step S205).
  • step S205 downloading of the update program is started (step S109).
  • CPU 11 of gateway 10 has gateway 10 even when maintenance for updating another control program is started during the download period (YES in step S201). If the free space in the memory is equal to or greater than a predetermined capacity (YES in step S203), downloading of the update program may be started according to the determined schedule (step S109). In other words, when maintenance for updating another control program is started during the download period (YES in step S201), and the free space in the memory of the gateway 10 is less than a predetermined capacity (step S203). No) and waits for the completion of the other maintenance without starting the download (NO in step S205).
  • the gateway 10 performs processing for determining a schedule for downloading the update program.
  • the schedule determination process may be performed by a device different from the gateway 10. As another example, it may be performed by the management server 5.
  • the management server 5 when the management server 5 requests the vehicle 1 to update the control program in step S1 of FIG. Determine the schedule for downloading the program. Then, the management server 5 requests the gateway 10 of the vehicle 1 to download the update program at the determined timing. In this case, the gateway 10 downloads the update program at a timing when the update is requested, and requests the update to the target ECU 30.
  • the determination unit 511 corresponding to the determination unit 112 and the control unit 113 are used as a function for the CPU 51 of the management server 5 to determine the schedule for downloading the update program.
  • a control unit 512 corresponding to These functions are mainly realized by the CPU 51 when the CPU 51 reads out and executes one or more programs stored in the ROM 52. However, at least a part of the functions may be realized by hardware such as an electric circuit.

Abstract

車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置であって、前記制御プログラムの更新のためのメンテナンス予定を取得する取得部と、前記メンテナンスの開始時に基づいて前記制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部と、前記更新用プログラムのダウンロードを制御する制御部と、を備え、前記制御部は、前記決定部によって決定された開始時に前記更新用プログラムのダウンロードを開始する、制御装置。

Description

制御装置、プログラム更新方法、およびコンピュータプログラム
　この発明は制御装置、プログラム更新方法、およびコンピュータプログラムに関する。
　本出願は、２０１７年２月１日出願の日本出願第２０１７－０１６５４５号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための制御装置である、所謂ＥＣＵ（Electronic　Control　Unit）が多数搭載されている。
　ＥＣＵの種類には、例えば、アクセル、ブレーキ、ハンドルの操作に対してエンジン、ブレーキ、およびＥＰＳ（Electric　Power　Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じて車内照明およびヘッドライトの点灯／消灯と警報器の吹鳴等の制御を行うボディ系ＥＣＵ、運転席近傍に配設されるメータ類の動作を制御するメータ系ＥＣＵなどがある。
　一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read　Only　Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
　ＥＣＵの制御プログラムは、車両の仕向け地およびグレードなど応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。
　たとえば、特許文献１には、外部センターからダウンロードした更新用プログラムを車両に搭載されている中継装置に蓄積しておき、所定の指令に基づいて車両の各ＥＣＵに対するプログラム更新が実行される技術が開示されている。
国際公開第２０１５／１９４６５２号公報
　ある実施の形態に従うと、制御装置は車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置であって、制御プログラムの更新のためのメンテナンス予定を取得する取得部と、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部と、更新用プログラムのダウンロードを制御する制御部と、を備え、制御部は、決定部によって決定された開始時に更新用プログラムのダウンロードを開始する。
　他の実施の形態に従うと、プログラム更新方法は車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新方法であって、制御プログラムの更新のためのメンテナンス予定を取得するステップと、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定するステップと、更新用プログラムのダウンロードを制御するステップと、を備え、ダウンロードを制御するステップは、ダウンロードの開始時を決定するステップによって決定された開始時に更新用プログラムのダウンロードを開始することを含む。
　他の実施の形態に従うと、コンピュータプログラムは車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータを、制御プログラムの更新のためのメンテナンス予定を取得する取得部、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部、および、更新用プログラムのダウンロードを制御する制御部、として機能させ、制御部は、決定部によって決定された開始時に更新用プログラムのダウンロードを開始する。
図１は、実施形態に係るプログラム更新システムの全体構成図である。 図２は、ゲートウェイの内部構成を示すブロック図である。 図３は、ＥＣＵの内部構成を示すブロック図である。 図４は、管理サーバの内部構成を示すブロック図である。 図５は、第１の実施形態のプログラム更新システムにおいて実行される、制御プログラムの更新の一例を示すシーケンス図である。 図６は、図５のステップＳ２のスケジュール決定処理の具体的な内容を表したフローチャートである。 図７は、第１の実施の形態にかかるプログラム更新システムでの、制御プログラムの更新の時間関係の一例（Ａ）と、比較例としての制御プログラムの更新の時間関係の一例（Ｂ）と、を表した図である。 図８は、第２の実施の形態にかかるプログラム更新システムにおいて実行される、制御プログラムの更新の一例を示すシーケンス図である。 図９は、第３の実施の形態でのスケジュール決定処理の一例を表したフローチャートである。
＜本開示が解決しようとする課題＞
　プログラムの更新を実行させる所定の指令の一例として、ディーラーにおけるメンテナンス時に入力される書き換え開始の指令が挙げられる。この場合、ディーラーでのメンテナンスの開始後に更新用プログラムのダウンロードが開始されると、ディーラーでのメンテナンス時間が長くなり、ユーザによっては不便を感じることがある。一方で、メンテナンスの開始よりも長期間以前に更新用プログラムをダウンロードしておくと、更新用プログラムが中継装置に長期間蓄積されるために、メモリが圧迫されてしまう。
　本開示のある局面における目的は、ディーラーでのメンテナンスの開始時を考慮して適切なタイミングに制御プログラムの更新用プログラムをダウンロードすることができる制御装置、プログラム更新方法、およびコンピュータプログラムを提供することである。
＜本開示の効果＞
　この開示によると、ディーラーでのメンテナンスの開始時を考慮して適切なタイミングに制御プログラムの更新用プログラムをダウンロードすることができる。
［実施の形態の説明］
　本実施の形態には、少なくとも以下のものが含まれる。
　すなわち、本実施の形態に含まれる制御装置は車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置であって、制御プログラムの更新のためのメンテナンス予定を取得する取得部と、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部と、更新用プログラムのダウンロードを制御する制御部と、を備え、制御部は、決定部によって決定された開始時に更新用プログラムのダウンロードを開始する。
　メンテナンスの開始時に基づいて更新用プログラムのダウンロードの開始時が決定されるため、サーバから更新用プログラムのダウンロードが要求された場合であっても、メンテナンスの開始時に基づいたタイミングで更新用プログラムがダウンロードされる。そのため、この構成によれば、メンテナンスの開始時を考慮して適切なタイミングに制御プログラムの更新用プログラムをダウンロードすることができる。
　好ましくは、決定部は、少なくともメンテナンスの開始前に更新用プログラムのダウンロードを開始するように更新用プログラムのダウンロードの開始時を決定する。
　これにより、メンテナンスの開始後に更新用プログラムのダウンロードを開始する場合と比較してメンテナンスの総時間を短縮化できる。
　好ましくは、取得部は、更新用プログラムのダウンロード所要時間をさらに取得し、決定部は、メンテナンスの開始前に更新用プログラムのダウンロードが完了するように更新用プログラムのダウンロードの開始時を決定する。
　これにより、メンテナンスの開始時にはすでに更新用プログラムのダウンロードが完了しており、メンテナンスの開始後に更新用プログラムのダウンロードを行う時間が不要となる。そのため、メンテナンス中に更新用プログラムをダウンロードする場合と比較してメンテナンスの総時間を短縮化できる。
　好ましくは、決定部は、更新用プログラムのダウンロードの完了からメンテナンスの開始までの期間が規定時間以下となるように更新用プログラムのダウンロードの開始時を決定する。
　これにより、ダウンロードの完了からメンテナンスの開始までの、更新用プログラムがメモリに保管される期間を短くすることができる。そのため、メモリの長期間の圧迫を回避できる。
　好ましくは、決定部は、更新用プログラムのダウンロード期間に他の制御プログラムの更新のためのメンテナンスの開始時が含まれる場合、更新用プログラムのダウンロードを待機する。
　これにより、メンテナンス中に他の更新用プログラムのダウンロードが行われることがない。そのため、当該他の更新用プログラムのダウンロードによってメンテナンス用のメモリまで圧迫されることが回避され、メンテナンスに生じ得る支障を回避できる。
　好ましくは、更新用プログラムを記憶するためのメモリをさらに含み、決定部は、更新用プログラムのダウンロード期間に他の制御プログラムの更新のためのメンテナンスの開始時が含まれ、かつ、メモリの空き容量が予め規定された容量未満である場合に、更新用プログラムのダウンロードを待機する。
　これにより、メモリの空き容量が予め規定された容量以上である場合には、必要に応じて他の更新用プログラムのダウンロードが行われる。そのため、当該他の更新用プログラムを用いた制御プログラムの更新のためのメンテナンスの総時間を短縮化することができる。
　好ましくは、車載制御装置にバックアップ用メモリが含まれる場合、制御部は、更新用プログラムのバックアップ用メモリへの書き込みを制御し、決定部は、メンテナンスの開始前に更新用プログラムのダウンロードが完了し、かつ更新用プログラムのバックアップ用メモリへの書き込みが完了するように更新用プログラムのダウンロードの開始時を決定する。
　これにより、メンテナンスの開始時には車載制御装置のバックアップ用メモリに更新用プログラムの書き込みが完了している。そのため、制御プログラムの更新のためのメンテナンスは再起動してバックアップ用メモリと動作用メモリとを切り替える作業のみでよく、バックアップ用メモリに更新用プログラムを書き込む作業を行う場合と比較して制御プログラムの更新のためのメンテナンスの総時間をより短縮化することができる。
　本実施の形態に含まれるプログラム更新方法は車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新方法であって、制御プログラムの更新のためのメンテナンス予定を取得するステップと、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定するステップと、更新用プログラムのダウンロードを制御するステップと、を備え、ダウンロードを制御するステップは、ダウンロードの開始時を決定するステップによって決定された開始時に更新用プログラムのダウンロードを開始することを含む。
　メンテナンスの開始時に基づいて更新用プログラムのダウンロードの開始時が決定されるため、サーバから更新用プログラムのダウンロードが要求された場合であっても、メンテナンスの開始時に基づいたタイミングで更新用プログラムがダウンロードされる。そのため、この構成によれば、メンテナンスの開始時を考慮して適切なタイミングに制御プログラムの更新用プログラムをダウンロードすることができる。
　本実施の形態に含まれるコンピュータプログラムは車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータを、制御プログラムの更新のためのメンテナンス予定を取得する取得部、メンテナンスの開始時に基づいて制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部、および、更新用プログラムのダウンロードを制御する制御部、として機能させ、制御部は、決定部によって決定された開始時に更新用プログラムのダウンロードを開始する。
　メンテナンスの開始時に基づいて更新用プログラムのダウンロードの開始時が決定されるため、サーバから更新用プログラムのダウンロードが要求された場合であっても、メンテナンスの開始時に基づいたタイミングで更新用プログラムがダウンロードされる。そのため、この構成によれば、メンテナンスの開始時を考慮して適切なタイミングに制御プログラムの更新用プログラムをダウンロードすることができる。
［実施の形態の詳細］
　以下に、図面を参照しつつ、好ましい実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。
　＜第１の実施の形態＞
　〔システムの全体構成〕
　図１は、第１の実施形態にかかるプログラム更新システムの全体構成図である。
　図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５およびＤＬ（ダウンロード）サーバ６を含む。
　管理サーバ５は、車両１の更新情報を管理する。ＤＬサーバ６は、更新用プログラムを保存する。管理サーバ５およびＤＬサーバ６は、たとえば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。
　車両１には、ゲートウェイ１０と、無線通信部１５と、複数のＥＣＵ３０と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）とが搭載されている。
　車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループが存在し、ゲートウェイ１０は、通信グループ間の通信を中継している。このため、ゲートウェイ１０には、複数の車内通信線が接続されている。
　無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５およびＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、ＥＣＵ３０に送信する。
　ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。
　車両１に搭載される無線通信部１５としては、車載の専用通信端末の他に、たとえば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal　Computer）等の装置が考えられる。
　図１では、ゲートウェイ１０が無線通信部１５を介して車外装置と通信を行う場合が例示されているが、ゲートウェイ１０が無線通信の機能を有する場合には、ゲートウェイ１０自身が管理サーバ５などの車外装置と無線通信を行う構成としてもよい。
　また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６とが別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。
　〔ゲートウェイの内部構成〕
　図２は、ゲートウェイ１０の内部構成を示すブロック図である。
　図２に示すように、ゲートウェイ１０は、ＣＰＵ１１、ＲＡＭ（Random　Access　Memory）１２、記憶部１３、および車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線とを介して接続されているが、これらは一つの装置で構成してもよい。
　ＣＰＵ１１は、記憶部１３に記憶された一または複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
　ＣＰＵ１１は、たとえば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。なお、ＣＰＵ１１は複数のＣＰＵ群を代表するものであってもよい。この場合、ＣＰＵ１１の実現する機能は、複数のＣＰＵ群が協働して実現するものである。ＲＡＭ１２は、ＳＲＡＭ（Static　ＲＡＭ）またはＤＲＡＭ（Dynamic　ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　ＣＰＵ１１が実現するコンピュータプログラムは、ＣＤ－ＲＯＭまたはＤＶＤ－ＲＯＭなどの周知の記録媒体に記録した状態で譲渡することもできるし、サーバコンピュータなどのコンピュータ装置からの情報伝送（ダウンロード）によって譲渡することもできる。
　この点は、後述のＥＣＵ３０のＣＰＵ３１（図３参照）が実行するコンピュータプログラム、および、後述の管理サーバ５のＣＰＵ５１（図４参照）が実行するコンピュータプログラムについても同様である。
　記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子などにより構成されている。記憶部１３は、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等を記憶するとともに、ＤＬサーバ６から受信した各ＥＣＵ３０の更新用プログラムなどを記憶するための記憶領域である保管用メモリ１３１を有する。保管用メモリ１３１は、プログラムのバックアップにも用いられる。
　車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、たとえばＣＡＮ（Controller　Area　Network）、ＣＡＮＦＤ（ＣＡＮ　with　Flexible　Data　Rate）、ＬＩＮ（Local　Interconnect　Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、またはＭＯＳＴ（Media　Oriented　Systems　Transport：ＭＯＳＴは登録商標）等の規格に応じて、ＥＣＵ３０との通信を行う。
　車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
　無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。
　図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal　Serial　Bus）またはＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
　別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０とが通信可能になる。
　〔ＥＣＵの内部構成〕
　図３は、ＥＣＵ３０の内部構成を示すブロック図である。
　図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、および通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、たとえば、電源制御ＥＣＵ、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、およびドアロック制御ＥＣＵなどがある。
　ＣＰＵ３１は、記憶部３３に予め記憶された一または複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。ＣＰＵ３１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ３１による制御は、複数のＣＰＵ群が協働することによる制御であってもよい。
　ＲＡＭ３２は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
　記憶部３３は、ＣＰＵ３１が読み出して実行するプログラムを格納するための領域である機能用メモリ３３１を含む。機能用メモリ３３１が記憶する情報には、たとえば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラム（以下、「制御プログラム」という。）が含まれる。
　通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、たとえばＣＡＮ、Ｅｔｈｅｒｎｅｔ、またはＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
　通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」または「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
　ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（たとえば、燃料エンジンに対するエンジン制御、ドアロックモータに対するドアロック制御、など）を実行する制御モードのことである。
　リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
　すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムの消去および書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。
　リプロモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
　起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。
　〔管理サーバの内部構成〕
　図４は、管理サーバ５の内部構成を示すブロック図である。
　図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、および通信部５５などを備える。
　ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一または複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。ＣＰＵ５１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ５１の実現する機能は、複数のＣＰＵ群が協働して実現するものであってもよい。
　ＲＡＭ５３は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、または、ハードディスクなどの磁気記憶装置等により構成されている。
　通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。
　〔制御プログラムの更新シーケンス〕
　図５は、本実施形態のプログラム更新システムにおいて実行される、制御プログラムの更新の一例を示すシーケンス図である。一例として、管理サーバ５が、予め登録された車両１について、当該車両１のＥＣＵの制御プログラムを更新するタイミングを決定する。更新のタイミングは、たとえば、車両１のカーメーカーなどによって設定されてもよい。
　ＥＣＵの制御プログラムを更新するタイミングに達すると、管理サーバ５は、該当する車両１のゲートウェイ１０宛てに、ＥＣＵ３０の更新用プログラムの保存先ＵＲＬとダウンロード要求とを送信する（ステップＳ１）。
　管理サーバ５から更新要求を受信したゲートウェイ１０は、当該制御プログラムの更新のための更新用プログラムをダウンロードするスケジュールを決定する処理を実行する（ステップＳ２）。ステップＳ２でゲートウェイ１０は、ディーラーに入庫して当該制御プログラムの更新のためのメンテナンスを開始する予定時刻（以下、メンテナンス予定とも称する）に基づいて更新用プログラムをダウンロードするスケジュール（開始時刻）を決定する。メンテナンス予定は、車両１のディーラーへの入庫日時であってもよい。当該処理の詳細は、後述する。そして、ゲートウェイ１０は、当該スケジュールに規定されたタイミングでＥＣＵ３０のための更新用プログラムをＤＬサーバ６からダウンロードする（ステップＳ３，４）。ゲートウェイ１０は、受信した更新用プログラムを自装置の記憶部１３に格納して保存する（ステップＳ５）。
　ゲートウェイ１０は、更新用プログラムのダウンロードが完了し、ステップＳ５で記憶部１３に格納すると、ダウンロードの完了を管理サーバ５に通知する（ステップＳ６）。これにより、管理サーバ５は、当該制御プログラムの車両１に対する更新用プログラムの配信を管理することができる。また、ステップＳ１から所定期間のうちのダウンロードの完了が通知されない場合、管理サーバ５は、再度、当該更新用プログラムを車両１に配信する。
　ステップＳ４のダウンロードが開始した後、車両１はディーラーに入庫し、メンテナンスが開始する。ディーラーでのメンテナンスにおいて、ゲートウェイ１０には、携帯端末などの図示しない装置が接続されて当該装置がゲートウェイ１０と直接、または無線通信部１５を介して通信を行い、ゲートウェイ１０に対して更新開始の指令を渡す。
　当該指令を受けたゲートウェイ１０は、対象のＥＣＵ３０に更新用プログラムを渡して制御プログラムの更新を要求する（ステップＳ７）。当該要求に従って、ＥＣＵ３０では制御プログラムの更新が行われる（ステップＳ８）。上記ステップＳ４，５ですでに更新用プログラムのダウンロードが完了し、ゲートウェイ１０の記憶部１３に格納されているため、ステップＳ８では当該更新用プログラムを用いて更新処理を行うのみでよく、ダウンロードから開始する場合に比べて短期に制御プログラムの更新を完了することができる。
　なお、上記ステップＳ６のダウンロード完了の通知に替えて、または該通知に加えて、更新の完了が管理サーバ５に通知されてもよい。これにより、管理サーバ５は、車両１における制御プログラムの更新を管理することができる。また、ステップＳ１から所定期間のうちの更新の完了が通知されない場合、管理サーバ５は、再度、当該更新用プログラムを車両１に配信することで、車両１において当該制御プログラムの更新を確実に行うことができる。
　〔ゲートウェイの機能構成〕
　ゲートウェイ１０のＣＰＵ１１は、更新用プログラムをダウンロードするスケジュールを決定し、該スケジュールに従ってダウンロードを実行するための機能として、図２において取得部１１１、決定部１１２、および制御部１１３と表された機能を含む。これら機能は、ＣＰＵ１１が記憶部１３に記憶されている１つまたは複数のプログラムを読み出して実行することによって、ＣＰＵ１１において実現される機能である。しかしながら、少なくとも一部機能が、電子回路などのハードウェアによって実現されてもよい。
　取得部１１１で表されたＣＰＵ１１の機能（以下、取得部１１１）は、当該車両１のメンテナンス予定を取得する。車両１についてのメンテナンス予定は、該車両１のユーザが管理サーバ５に登録しておくものであってもよい。この場合、取得部１１１は管理サーバ５からメンテナンス予定を取得する。
　メンテナンス予定は、ユーザに問い合わせてもよい。この場合、一例として取得部１１１はユーザの携帯電話機、スマートフォン、タブレット型端末、ノートＰＣなどと通信し、ユーザにメンテナンス予定の入力を促してもよい。取得部１１１は携帯電話機などからユーザの入力を受け付けることによって、メンテナンス予定を取得する。
　また、取得部１１１は、更新用プログラムのダウンロードに要する時間（以下、ＤＬ所要時間と称する）Ｔｄを取得する。ＤＬ所要時間Ｔｄは、管理サーバ５から取得してもよい。一例として、上記ステップＳ１で管理サーバ５から更新用プログラムのダウンロードが要求される際に、ダウンロードに必要な情報としてＤＬ所要時間Ｔｄがゲートウェイ１０に渡されてもよい。または、取得部１１１が、管理サーバ５から更新用プログラムのダウンロードに必要な情報として渡されたデータサイズの情報を用いて、ＤＬ所要時間Ｔｄを算出してもよい。
　決定部１１２で表されたＣＰＵ１１の機能（以下、決定部１１２）は、取得部１１１によって取得されたメンテナンス予定とＤＬ所要時間Ｔｄとに基づいて、更新用プログラムのダウンロードの開始時刻を決定する。このとき、決定部１１２は、少なくともメンテナンス開始よりも以前にダウンロードが開始するようにダウンロードの開始時刻を決定する。これにより、メンテナンス開始後にダウンロードに要する時間を抑えることができ、メンテナンス時間全体を短縮化することができるためである。
　好ましくは、決定部１１２は、メンテナンス開始よりも以前にダウンロードが完了するようにダウンロードの開始時を決定する。ダウンロードの開始時は、たとえば、ダウンロードの開始時刻である。その他、開始日時、予め規定されたイベントまたはタイミングからの経過時間などの開始のタイミング、などであってもよい。これにより、メンテナンス開始時にすでに制御プログラムのダウンロードが完了しているためにメンテナンス開始後にダウンロードする時間を不要とすることができる。そのため、メンテナンス時間全体をより短縮化することができるためである。
　より好ましくは、決定部１１２は、ダウンロードの完了後、記憶部１３に格納されてメンテナンス開始時まで保管される期間（以下、保管期間と称する）Ｔｓが、予め規定された時間Ｔｈよりも短くなるよう（Ｔｓ≦Ｔｈ）にダウンロードの開始時刻を決定する。たとえば、保管期間Ｔｓが規定時間Ｔｈ（Ｔｓ＝Ｔｈ）となるようにダウンロードの開始時刻を決定する。規定時間Ｔｈは、たとえば数分～数１０分程度である。これにより、メンテナンス時間全体をより短縮化することができるとともに、メンテナンス開始までのメモリの圧迫を短期間に抑えることができる。
　制御部１１３で表されたＣＰＵ１１の機能（以下、制御部１１３）は、決定部１１２によって決定されたタイミングで更新用プログラムのダウンロードを開始するように制御する。具体的には、制御部１１３は、決定部１１２によって決定されたタイミングでＤＬサーバ６に対して更新用プログラムを要求する。そして、ダウンロードされた更新用プログラムを記憶部１３に格納する。
　〔スケジュール決定処理〕
　図６は、図５のステップＳ２のスケジュール決定処理の具体的な内容を表したフローチャートである。図６のフローチャートに表された処理は、当該ゲートウェイ１０のＣＰＵ１１が記憶部１３に記憶された１つまたは複数のプログラムをＲＡＭ１２上に読み出して実行することによって、主にＣＰＵ１１により実現される。図６の処理は、上記ステップＳ１で管理サーバ５から制御プログラムの更新が要求されると開始する。
　図６を参照して、はじめに、ゲートウェイ１０のＣＰＵ１１はメンテナンス予定を取得する（ステップＳ１０１）。また、ＣＰＵ１１は、要求された制御プログラムの更新に用いる更新用プログラムのＤＬ所要時間Ｔｄを取得する（ステップＳ１０３）。そして、ＣＰＵ１１は、メンテナンス予定とＤＬ所要時間Ｔｄとに基づいて、当該更新用プログラムのダウンロードのスケジュールを決定する（ステップＳ１０５）。ステップＳ１０５では、一例として、メンテナンスの開始時刻よりも規定時間Ｔｈ前にダウンロードが完了するように、メンテナンスの開始時刻の規定時間ＴｈおよびＤＬ所要時間Ｔｄの期間、以前に当該更新用プログラムのダウンロードを開始するとスケジュールを決定する。
　その後、ＣＰＵ１１は、決定したダウンロードの開始時刻になるまで待機し、当該時刻になると（ステップＳ１０７でＹＥＳ）、ダウンロードを開始する（ステップＳ１０９）。
　〔第１の実施の形態の効果〕
　第１の実施の形態にかかるプログラム更新システムでは、少なくともメンテナンスの開始時刻よりも前に制御プログラムの更新に必要な更新用プログラムのダウンロードが開始される。そのため、メンテナンスが開始してから更新用プログラムのダウンロードを開始するよりもメンテナンス開始後のダウンロード時間を抑えることができる。その結果、メンテナンスの総時間を抑えることができる。
　好ましくは、第１の実施の形態にかかるプログラム更新システムでは、少なくともメンテナンスの開始時刻よりも前に更新用プログラムのダウンロードが完了する。そのため、メンテナンスが開始してから更新用プログラムのダウンロードが行われることなく、直ちに制御プログラムの更新を実行することができる。その結果、メンテナンスの総時間をより抑えることができる。
　より好ましくは、第１の実施の形態にかかるプログラム更新システムでは、メンテナンスの開始時刻よりも前であって、ダウンロード完了後からメンテナンス開始までの保管期間が規定時間以下となるタイミングで更新用プログラムのダウンロードが完了する。そのため、メンテナンスが開始してから更新用プログラムのダウンロードが行われることなく、直ちに制御プログラムの更新を実行することができる。また、ダウンロード完了後、メンテナンスの開始までの期間が規定時間以下となり、保管期間を短くすることができる。その結果、メンテナンスの総時間をより抑えることができるとともに、メモリを圧迫する期間を抑えることもできる。
　図７（Ａ）は、第１の実施の形態にかかるプログラム更新システムでの、制御プログラムの更新の時間関係の一例を表した図である。図７（Ａ）を参照して、本実施の形態にかかるプログラム更新システムでは、一例として、メンテナンス開始時刻Ｔ３よりも前の時刻Ｔｓ１に更新用プログラムのダウンロードが完了するように、メンテナンス開始時刻Ｔ３から保管期間Ｔｓ１およびＤＬ所要時間Ｔｄ前の時刻Ｔ２に更新用プログラムのダウンロードを開始する。言い換えると、ダウンロードの開始のタイミングが図７（Ａ）の場合、管理サーバ５から更新用プログラムのダウンロードを要求された時刻Ｔ１の後、時刻Ｔ２に達するまで更新用プログラムをダウンロードせず、時刻Ｔ２でダウンロードを開始する。そして、その後の時刻Ｔ３にメンテナンスが開始する。これにより、メンテナンス開始後にダウンロードが開始する場合に比べてメンテナンスの総時間を抑えることができる。
　これに対して、図７（Ｂ）は比較例として、メンテナンス開始時刻Ｔ３の直後の時刻Ｔ４に更新用プログラムのダウンロードを開始する場合の時間関係の一例を表した図である。図７（Ｂ）を参照して、ダウンロードの開始のタイミングが図７（Ｂ）の場合、メンテナンス開始時刻Ｔ３よりも以前にダウンロードは完了するため、図７（Ａ）の例と同様に、メンテナンス開始後にダウンロードが開始する場合に比べてメンテナンスの総時間を抑えることができる。しかしながら、ダウンロード完了後に更新用プログラムが記憶部１３に格納されている保管期間Ｔｓ２が、図７（Ａ）の場合の保管期間Ｔｓ１と比較して大幅に長くなる。そのため、図７（Ｂ）の例では、当該更新用プログラムによってゲートウェイ１０のメモリが圧迫される期間が長くなってしまう。従って、図７（Ａ）のようなタイミングで更新用プログラムをダウンロードすることによって、更新用プログラムによってゲートウェイ１０のメモリが圧迫される期間を抑えることができる。
　＜第２の実施の形態＞
　図３に点線で表されたように、ＥＣＵ３０の記憶部３３に、プログラムを格納するための領域である機能用メモリ３３１と、プログラムのバックアップ用の保管用メモリ３３２とが含まれてもよい。
　この場合、ＥＣＵ３０における制御プログラムの更新は、旧プログラムに更新用プログラムを適用することで生成された新プログラムを保管用メモリ３３２に書き込む処理、および、ＥＣＵ３０を再起動することによって旧プログラムを保持している機能用メモリ３３１と新プログラムが書き込まれた保管用メモリ３３２との機能を入れ替える処理、からなる。そして、第２の実施の形態にかかるプログラム更新システムでは、ディーラーでのメンテナンスの際に更新の指令を受け付けて、上記の再起動が行われ、機能用メモリ３３１と保管用メモリ３３２とが入れ替えられる。
　図８は、第２の実施の形態にかかるプログラム更新システムにおいて実行される、制御プログラムの更新の一例を示すシーケンス図である。図８において、図５に示されたシーケンスと同じ動作については同じステップ番号が付加されている。ここでは、図５に示されたシーケンスと同じ動作については説明を繰り返さない。
　図８を参照して、第２の実施の形態にかかるプログラム更新システムでは、管理サーバ５から更新要求を受信したゲートウェイ１０は、ステップＳ２のスケジュールを決定する処理において、さらに、ＥＣＵ３０での更新用プログラムの保管用メモリ３３２への書き込みの所要時間を特定して、メンテナンスの開始時刻までに更新用プログラムのダウンロードが完了し、かつ、当該更新用プログラムのＥＣＵ３０での書き込みが完了するようにダウンロードするスケジュール（開始時刻）を決定する。好ましくは、ゲートウェイ１０は、ステップＳ２の処理において、該更新用プログラムのＥＣＵ３０での書き込みの完了からメンテナンスの開始時刻までの保管期間が規定時間Ｔｈよりも短くなるようにダウンロードするスケジュールを決定する。
　ゲートウェイ１０は、当該スケジュールに規定されたタイミングでＥＣＵ３０のための更新用プログラムをＤＬサーバ６からダウンロードする（ステップＳ３，４）。更新用プログラムのダウンロードが完了すると、ゲートウェイ１０は対象のＥＣＵ３０に対して更新用プログラムを渡して当該更新用プログラムの書き込みを要求する（ステップＳ１５）。当該要求に従って、対象のＥＣＵ３０では、受け取った更新用プログラムに基づいた新プログラムが保管用メモリ３３２に書き込まれる（ステップＳ１６）。
　第２の実施の形態にかかるプログラム更新システムでは、新プログラムが保管用メモリ３３２に書き込まれた後に、ディーラーでのメンテナンスが開始する。そして、メンテナンスにおいてゲートウェイ１０に対して更新の指令が渡され、ゲートウェイ１０は、対象のＥＣＵ３０に更新用プログラムを渡して制御プログラムの更新を要求する（ステップＳ７）。第２の実施の形態にかかるプログラム更新システムでは、当該要求に従って、ＥＣＵ３０が再起動し（ステップＳ１７）、旧プログラムを保持している機能用メモリ３３１と新プログラムが書き込まれた保管用メモリ３３２との機能を入れ替える。
　〔第２の実施の形態の効果〕
　第２の実施の形態にかかるプログラム更新システムでは、ＥＣＵ３０が記憶部３３に保管用メモリ３３２を有する。そのため、ディーラーでのメンテナンス開始よりも前に、新プログラムの保管用メモリ３３２への書き込みまで完了させておく。これにより、メンテナンス開始後に新プログラムの保管用メモリ３３２への書き込みを行うことなく、再起動のみによって制御プログラムの更新が完了する。その結果、メンテナンスの総時間をより抑えることができる。
　＜第３の実施の形態＞
　第３の実施の形態にかかるプログラム更新システムにおいて、ゲートウェイ１０は、上記ステップＳ２のスケジュール決定処理において、さらに、異なる制御プログラムの更新のためのメンテナンス予定に基づいて、ダウンロードが当該メンテナンス期間と重複しないようにダウンロードの開始を決定してもよい。ディーラーにおいてある制御プログラムの更新のためのメンテナンスを行っているときに、他の制御プログラムの更新用プログラムがダウンロードされることによってメンテナンス用のメモリまで圧迫され、メンテナンスに支障が生じることを回避するためである。
　図９は、第３の実施の形態でのスケジュール決定処理を表したフローチャートである。図９において、図６のフローチャートと同じステップ番号が付された処理は、第１の実施の形態でのスケジュール決定処理での当該ステップ番号が付された処理と同じである。そのため、ここでの説明は繰り返さない。
　第３の実施の形態にかかるゲートウェイ１０のＣＰＵ１１は、管理サーバ５から更新を要求された制御プログラムとは異なる制御プログラムの更新のためのメンテナンス予定を取得する。そして、ＣＰＵ１１は、第１の実施の形態と同様の処理を行って更新用プログラムのダウンロードのタイミングを決定した後（ステップＳ１０１～Ｓ１０５）、当該タイミングに開始したダウンロード期間中に他の制御プログラムの更新のためのメンテナンス開始時刻が含まれるか否かを確認する。
　ダウンロード期間中に他の制御プログラムの更新のためのメンテナンスが開始される場合（ステップＳ２０１でＹＥＳ）、当該更新用プログラムのダウンロードの開始時刻となっても、当該他のメンテナンスの完了までダウンロードを開始せずに待機する（ステップＳ２０５でＮＯ）。そして、当該他のメンテナンスが完了すると（ステップＳ２０５でＹＥＳ）、当該更新用プログラムのダウンロードを開始する（ステップＳ１０９）。
　第３の実施の形態にかかるプログラム更新システムでは、更新用プログラムのダウンロードが管理サーバ５から要求されても、当該更新用プログラムのダウンロード期間がメンテナンス期間と重複する場合には、少なくともメンテナンス期間よりも後に当該更新用プログラムのダウンロードが開始される。そのため、メンテナンス中にダウンロードが行われることなく、メンテナンスにダウンロードによる支障が生じることを回避できる。
　なお、第３の実施の形態において、ゲートウェイ１０のメモリに余裕がある場合には、メンテナンス中に他の更新用プログラムがダウンロードされてもメンテナンスに支障が生じない場合もある。そこで、好ましくは、図９を参照して、ゲートウェイ１０のＣＰＵ１１は、ダウンロード期間中に他の制御プログラムの更新のためのメンテナンスが開始される場合であっても（ステップＳ２０１でＹＥＳ）、ゲートウェイ１０のメモリの空き容量が予め規定された容量以上である場合には（ステップＳ２０３でＹＥＳ）、決定されたスケジュールに従って更新用プログラムのダウンロードを開始してもよい（ステップＳ１０９）。言い換えると、ダウンロード期間中に他の制御プログラムの更新のためのメンテナンスが開始され（ステップＳ２０１でＹＥＳ）、かつ、ゲートウェイ１０のメモリの空き容量が予め規定された容量未満である場合に（ステップＳ２０３でＮＯ）、当該他のメンテナンスの完了までダウンロードを開始せずに待機する（ステップＳ２０５でＮＯ）。
　＜第４の実施の形態＞
　第１～第３の実施の形態にかかるプログラム更新システムでは、更新用プログラムをダウンロードするスケジュールを決定する処理をゲートウェイ１０で行うものとしている。しかしながら、該スケジュール決定処理はゲートウェイ１０とは異なる装置で行われてもよい。他の例として、管理サーバ５によって行われてもよい。
　一例として、第４の実施の形態にかかるプログラム更新システムでは、管理サーバ５は図５のステップＳ１で制御プログラムの更新を車両１に対して要求するに当たって当該車両１のメンテナンス予定に基づいて更新用プログラムをダウンロードするスケジュールを決定する。そして、管理サーバ５は、決定したタイミングで更新用プログラムのダウンロードを車両１のゲートウェイ１０に要求する。この場合、ゲートウェイ１０では、更新を要求されたタイミングで更新用プログラムをダウンロードし、対象のＥＣＵ３０に更新を要求する。
　この場合、図４に表わされたように、管理サーバ５のＣＰＵ５１が更新用プログラムをダウンロードするスケジュールを決定するための機能として、上記の決定部１１２に相当する決定部５１１、および制御部１１３に相当する制御部５１２を有する。これらの機能は、ＣＰＵ５１がＲＯＭ５２に記憶されている１つまたは複数のプログラムを読み出して実行することによって、主にＣＰＵ５１によって実現される。しかしながら、少なくとも一部機能が電気回路などのハードウェアによって実現されてもよい。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　車両
　２　広域通信網
　５　管理サーバ
　６　サーバ
　１０　ゲートウェイ
　１５　無線通信部
　３０　ＥＣＵ
　１１，３１，５１　ＣＰＵ
　１２，３２，５３　ＲＡＭ
　１３，３３，５４　記憶部
　１４　車内通信部
　３４，５５　通信部
　３５　起動部
　５２　ＲＯＭ
　１１１　取得部
　１１２　決定部
　１１３　制御部
　１３１，３３２　保管用メモリ
　３３１　機能用メモリ
　５１１　決定部
　５１２　制御部

Claims (9)

  1. 　車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置であって、
    　前記制御プログラムの更新のためのメンテナンス予定を取得する取得部と、
    　前記メンテナンスの開始時に基づいて前記制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部と、
    　前記更新用プログラムのダウンロードを制御する制御部と、を備え、
    　前記制御部は、前記決定部によって決定された開始時に前記更新用プログラムのダウンロードを開始する、制御装置。
  2. 　前記決定部は、少なくとも前記メンテナンスの開始前に前記更新用プログラムのダウンロードを開始するように前記更新用プログラムのダウンロードの開始時を決定する、請求項１に記載の制御装置。
  3. 　前記取得部は、前記更新用プログラムのダウンロード所要時間をさらに取得し、
    　前記決定部は、前記メンテナンスの開始前に前記更新用プログラムのダウンロードが完了するように前記更新用プログラムのダウンロードの開始時を決定する、請求項２に記載の制御装置。
  4. 　前記決定部は、前記更新用プログラムのダウンロードの完了から前記メンテナンスの開始までの期間が規定時間以下となるように前記更新用プログラムのダウンロードの開始時を決定する、請求項３に記載の制御装置。
  5. 　前記決定部は、前記更新用プログラムのダウンロード期間に他の制御プログラムの更新のためのメンテナンスの開始時が含まれる場合、前記更新用プログラムのダウンロードを待機する、請求項１～請求項４のいずれか一項に記載の制御装置。
  6. 　前記更新用プログラムを記憶するためのメモリをさらに含み、
    　前記決定部は、前記更新用プログラムのダウンロード期間に他の制御プログラムの更新のためのメンテナンスの開始時が含まれ、かつ、前記メモリの空き容量が予め規定された容量未満である場合に、前記更新用プログラムのダウンロードを待機する、請求項５に記載の制御装置。
  7. 　前記車載制御装置にバックアップ用メモリが含まれる場合、前記制御部は、前記更新用プログラムの前記バックアップ用メモリへの書き込みを制御し、
    　前記決定部は、前記メンテナンスの開始前に前記更新用プログラムのダウンロードが完了し、かつ前記更新用プログラムの前記バックアップ用メモリへの書き込みが完了するように前記更新用プログラムのダウンロードの開始時を決定する、請求項３に記載の制御装置。
  8. 　車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新方法であって、
    　前記制御プログラムの更新のためのメンテナンス予定を取得するステップと、
    　前記メンテナンスの開始時に基づいて前記制御プログラムの更新用プログラムのダウンロードの開始時を決定するステップと、
    　前記更新用プログラムのダウンロードを制御するステップと、を備え、
    　前記ダウンロードを制御するステップは、前記ダウンロードの開始時を決定するステップによって決定された開始時に前記更新用プログラムのダウンロードを開始することを含む、プログラム更新方法。
  9. 　車両に搭載された対象機器を制御する車載制御装置の制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、前記コンピュータを、
    　前記制御プログラムの更新のためのメンテナンス予定を取得する取得部、
    　前記メンテナンスの開始時に基づいて前記制御プログラムの更新用プログラムのダウンロードの開始時を決定する決定部、および
    　前記更新用プログラムのダウンロードを制御する制御部、として機能させ、
    　前記制御部は、前記決定部によって決定された開始時に前記更新用プログラムのダウンロードを開始する、コンピュータプログラム。
PCT/JP2017/043486 2017-02-01 2017-12-04 制御装置、プログラム更新方法、およびコンピュータプログラム WO2018142749A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2018513903A JP6547904B2 (ja) 2017-02-01 2017-12-04 制御装置、プログラム更新方法、およびコンピュータプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-016545 2017-02-01
JP2017016545 2017-02-01

Publications (1)

Publication Number Publication Date
WO2018142749A1 true WO2018142749A1 (ja) 2018-08-09

Family

ID=63040524

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/043486 WO2018142749A1 (ja) 2017-02-01 2017-12-04 制御装置、プログラム更新方法、およびコンピュータプログラム

Country Status (2)

Country Link
JP (1) JP6547904B2 (ja)
WO (1) WO2018142749A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022004448A1 (ja) 2020-07-03 2022-01-06 ソニーグループ株式会社 情報処理装置、および情報処理方法、情報処理システム、並びにプログラム
US20220222058A1 (en) * 2021-01-14 2022-07-14 Honda Motor Co.,Ltd. Control system, moving body, control method, and computer-readable storage medium
US20220253305A1 (en) * 2021-02-08 2022-08-11 Toyota Jidosha Kabushiki Kaisha Vehicle control apparatus

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07141270A (ja) * 1993-11-19 1995-06-02 Hitachi Ltd データ送信管理システム
JP2002278785A (ja) * 2001-03-16 2002-09-27 Hitachi Kokusai Electric Inc プログラム配信方法
JP2016170740A (ja) * 2015-03-16 2016-09-23 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5486252B2 (ja) * 2009-09-15 2014-05-07 パナソニック株式会社 ファームウェアのアップデート方法、分散システム、保守端末、通信ユニット、及び、ファームウェアのアップデートプログラム
JP5683518B2 (ja) * 2012-03-27 2015-03-11 三菱電機株式会社 ファームウェア更新装置およびその方法
JP2014179039A (ja) * 2013-03-15 2014-09-25 Ricoh Co Ltd 情報処理装置、情報処理方法及びプログラム
US20170052777A1 (en) * 2014-02-17 2017-02-23 Nec Corporation Network system, management apparatus, communication apparatus, management method, and communication method

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07141270A (ja) * 1993-11-19 1995-06-02 Hitachi Ltd データ送信管理システム
JP2002278785A (ja) * 2001-03-16 2002-09-27 Hitachi Kokusai Electric Inc プログラム配信方法
JP2016170740A (ja) * 2015-03-16 2016-09-23 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022004448A1 (ja) 2020-07-03 2022-01-06 ソニーグループ株式会社 情報処理装置、および情報処理方法、情報処理システム、並びにプログラム
US20220222058A1 (en) * 2021-01-14 2022-07-14 Honda Motor Co.,Ltd. Control system, moving body, control method, and computer-readable storage medium
US20220253305A1 (en) * 2021-02-08 2022-08-11 Toyota Jidosha Kabushiki Kaisha Vehicle control apparatus
US11762655B2 (en) * 2021-02-08 2023-09-19 Toyota Jidosha Kabushiki Kaisha Vehicle control apparatus

Also Published As

Publication number Publication date
JP6547904B2 (ja) 2019-07-24
JPWO2018142749A1 (ja) 2019-02-07

Similar Documents

Publication Publication Date Title
JP6376312B1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2018142751A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP2017157004A (ja) プログラム更新システム、プログラム更新方法及びコンピュータプログラム
JP6465258B1 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6620891B2 (ja) 中継装置、中継方法、およびコンピュータプログラム
CN111034132B (zh) 控制设备、控制方法和计算机程序
WO2018230084A1 (ja) 更新制御装置、制御方法、およびコンピュータプログラム
WO2018185994A1 (ja) 制御装置、転送方法、およびコンピュータプログラム
WO2017149821A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2018230314A1 (ja) 制御装置、制御方法、およびコンピュータプログラム
WO2018142749A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6358286B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
CN111051139A (zh) 控制设备、控制方法和计算机程序
CN115454462A (zh) Ota管理器、系统、方法、非暂时性存储介质以及车辆
CN115514742A (zh) Ota管理器、中心、系统、方法、非暂时性存储介质
US20220405083A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
JP7363853B2 (ja) Ｏｔａマスタ、センタ、システム、更新方法、更新プログラム、及び車両
US20220405080A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
CN115509567A (zh) 中心、ota管理器、系统、方法、非暂时性存储介质
CN115509565A (zh) Ota管理器、系统、方法、非暂时性存储介质以及车辆
JP2023108066A (ja) ソフトウェア更新装置、更新制御方法、更新制御プログラム及びサーバ
CN115248695A (zh) 中心、ota管理器、分发方法、非暂时性存储介质
CN114968316A (zh) Ota管理器、中心、更新方法、非暂时性存储介质

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018513903

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17895493

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17895493

Country of ref document: EP

Kind code of ref document: A1