WO2019035259A1 - 制御装置、制御方法、およびコンピュータプログラム - Google Patents

制御装置、制御方法、およびコンピュータプログラム Download PDF

Info

Publication number
WO2019035259A1
WO2019035259A1 PCT/JP2018/020272 JP2018020272W WO2019035259A1 WO 2019035259 A1 WO2019035259 A1 WO 2019035259A1 JP 2018020272 W JP2018020272 W JP 2018020272W WO 2019035259 A1 WO2019035259 A1 WO 2019035259A1
Authority
WO
WIPO (PCT)
Prior art keywords
update
vehicle
processing
battery
control device
Prior art date
Application number
PCT/JP2018/020272
Other languages
English (en)
French (fr)
Inventor
明紘 小川
博史 浦山
Original Assignee
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社 filed Critical 住友電気工業株式会社
Priority to CN201880052867.8A priority Critical patent/CN111032439B/zh
Priority to DE112018004181.6T priority patent/DE112018004181T5/de
Priority to US16/628,401 priority patent/US11288156B2/en
Publication of WO2019035259A1 publication Critical patent/WO2019035259A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J7/00—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries
    • H02J7/0029—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries with safety or protection devices or circuits
    • H02J7/00306—Overdischarge protection
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G06F1/26—Power supply means, e.g. regulation thereof
    • G06F1/28—Supervision thereof, e.g. detecting power-supply failure by out of limits supervision
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G06F1/26—Power supply means, e.g. regulation thereof
    • G06F1/30—Means for acting in the event of power-supply failure or interruption, e.g. power-supply fluctuations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G06F1/26—Power supply means, e.g. regulation thereof
    • G06F1/32—Means for saving power
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J7/00—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries
    • H02J7/0029—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries with safety or protection devices or circuits
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J7/00—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries
    • H02J7/0029—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries with safety or protection devices or circuits
    • H02J7/0031—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries with safety or protection devices or circuits using battery or load disconnect circuits
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J7/00—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries
    • H02J7/0047—Circuit arrangements for charging or depolarising batteries or for supplying loads from batteries with monitoring or indicating devices or circuits
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J2310/00—The network for supplying or distributing electric power characterised by its spatial reach or by the load
    • H02J2310/40—The network being an on-board power network, i.e. within a vehicle
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J2310/00—The network for supplying or distributing electric power characterised by its spatial reach or by the load
    • H02J2310/50—The network for supplying or distributing electric power characterised by its spatial reach or by the load for selectively controlling the operation of the loads
    • H02J2310/56—The network for supplying or distributing electric power characterised by its spatial reach or by the load for selectively controlling the operation of the loads characterised by the condition upon which the selective controlling is based
    • H02J2310/58—The condition being electrical
    • H02J2310/60—Limiting power consumption in the network or in one section of the network, e.g. load shedding or peak shaving
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40143—Bus networks involving priority mechanisms
    • H04L12/4015—Bus networks involving priority mechanisms by scheduling the transmission of messages at the communication node

Definitions

  • the present invention relates to a control device, a control method, and a computer program.
  • This application claims priority based on Japanese Patent Application No. 2017-157191 filed on Aug. 16, 2017, and incorporates all the contents described in the aforementioned Japanese application.
  • Patent Document 1 discloses a technology (on-line update function) of downloading a program for update via a network and updating the program.
  • the control device of the present disclosure is a control device that communicates with a plurality of in-vehicle control devices via an in-vehicle communication line, and acquires an amount of power of a battery that supplies power to the plurality of in-vehicle control devices.
  • the processing is executed in parallel with the processing when the predicted power amount of the battery at the time of completion of the processing in the acquisition device and the target device that is one of the plurality of on-vehicle control devices is less than the first threshold.
  • a control unit that instructs the other on-vehicle control device to stop the processing in the on-vehicle control device.
  • a control method of the present disclosure is a control method of an on-vehicle control device by a control device that communicates with a plurality of on-vehicle control devices via an in-vehicle communication line.
  • acquiring the power amount of the battery to be supplied and when the predicted power amount of the battery at the completion of the processing in the target device which is one of the plurality of on-vehicle control devices is less than the threshold.
  • a computer program of the present disclosure is a computer program for causing a computer to function as a control device that communicates with a plurality of in-vehicle control devices via an in-vehicle communication line. If the predicted power amount of the battery at the time of completion of processing in the target device which is an acquisition unit for acquiring the power amount of the battery that supplies power to the control device and the target device that is one of the plurality of on-vehicle control devices And causing the other in-vehicle control device to be instructed to stop the process in the other in-vehicle control device being executed in parallel with the process.
  • ECUs Electronic Control Units
  • EPS Electric Power Steering
  • a body system ECU that controls lighting / extinguishing of a light and sounding of an alarm device
  • a meter system ECU that controls the operation of meters disposed near the driver's seat.
  • the ECU is configured by an arithmetic processing unit such as a microcomputer, and the control of the on-vehicle device is realized by reading and executing the control program stored in a ROM (Read Only Memory).
  • the control program of the ECU may differ depending on the destination or grade of the vehicle, and it is necessary to rewrite the control program of the old version to the control program of the new version in response to the upgrade of the control program. Further, it is also necessary to rewrite data necessary for executing the control program, such as map information and control parameters.
  • An object in a certain aspect of the present disclosure is a control device and control method capable of preventing an unintended stop of a process due to a power shortage, even when a plurality of processes are executed in parallel in an on-vehicle apparatus. And providing a computer program.
  • the present embodiment includes at least the following. That is, (1)
  • the control device included in the present embodiment is a control device that communicates with a plurality of in-vehicle control devices via an in-vehicle communication line, and acquires the power amount of the battery that supplies power to the plurality of in-vehicle control devices. Is executed in parallel with the processing when the predicted amount of power of the battery at the time of completion of the processing in the target device, which is one of the plurality of in-vehicle control devices, is less than the first threshold. And a control unit that instructs the other on-vehicle control device to stop the processing in the on-vehicle control device.
  • the process in the target device is an update process of the control program while the vehicle is stopped.
  • the update processing of the control program while the vehicle is stopped in the target device from being stopped unintentionally due to the power shortage.
  • the control unit stops the process from among the plurality of processes according to the priority set for each process. Decide.
  • the control unit stops the process from among the plurality of processes according to the priority set for each process. Decide.
  • the control unit stops the process from among the plurality of processes in accordance with the user operation for selecting the process to be stopped. decide.
  • the user can select the process that can be stopped among the processes in the other on-vehicle control device.
  • the convenience of the user is not greatly impaired.
  • the control unit further instructs another on-vehicle control device to stop the process when the decrease rate of the battery is faster than the following reference rate.
  • Reference speed The speed at which the battery power decreases to the power corresponding to the first threshold by the completion of processing on the target device. If the decrease speed of the battery is faster than the following reference speeds, It is likely that the battery power will be below the threshold until the end of the process. Therefore, by stopping the process in another in-vehicle control device, it is possible to suppress the power consumption by the process in the other in-vehicle control device, and secure the amount of power of the battery until the completion of the process in the target device. it can. As a result, it is possible to prevent the processing in the target device from being unintentionally stopped due to the power shortage.
  • the first threshold is a value obtained by adding a predetermined margin to the amount of power necessary for the process of interrupting the process in the target device.
  • the process can not be interrupted and the process is suspended. Therefore, the processing in the target device is unintentionally caused by the power shortage by causing the other on-vehicle control devices to stop the processing before the power amount of the battery decreases to the power amount necessary for the processing to interrupt the processing. It can prevent stopping.
  • the control unit instructs the other on-vehicle control device to stop when the amount of power of the battery is smaller than a second threshold that is larger than the first threshold.
  • a second threshold that is larger than the first threshold.
  • the second threshold is a value obtained by adding a predetermined margin to the amount of power required to complete the processing in the target device.
  • the determination can be made unnecessary if the battery power is sufficient to complete the processing in the target device, and the control unit may run out of battery power. Control can be performed.
  • the control method included in the present embodiment is a method of controlling the in-vehicle control device in the control device according to any one of (1) to (8). Such a control method has the same effects as the control devices of (1) to (8) above.
  • the computer program included in the present embodiment causes a computer to function as the control device described in any one of (1) to (8).
  • Such a computer program has the same effect as the control device of the above (1) to (8).
  • FIG. 1 is an overall configuration diagram of a program update system according to an embodiment of the present invention.
  • the program update system of the present embodiment includes a vehicle 1 that can communicate via the wide area communication network 2, a management server 5, and a DL (download) server 6.
  • the management server 5 manages the update information of the vehicle 1.
  • the DL server 6 stores the update program.
  • the management server 5 and the DL server 6 are operated, for example, by a car maker of the vehicle 1 and can communicate with a large number of vehicles 1 owned by a user who has been registered as a member in advance.
  • an in-vehicle network (communication network) 4 including a plurality of ECUs 30 and a gateway 10 connected by an in-vehicle communication line 16, a wireless communication unit 15, and various in-vehicle devices (shown in FIG. Not shown) and are mounted.
  • the in-vehicle device includes the user interface device 7.
  • the user interface device 7 is, for example, a display or a touch panel.
  • the vehicle 1 has a communication group by a plurality of ECUs 30 bus-connected to a common in-vehicle communication line, and the gateway 10 relays communication between the communication groups.
  • the wireless communication unit 15 is communicably connected to a wide area communication network 2 such as a cellular phone network, and is connected to the gateway 10 by an in-vehicle communication line.
  • the gateway 10 transmits the information received by the wireless communication unit 15 from an external device such as the management server 5 and the DL server 6 through the wide area communication network 2 to the ECU 30 via the in-vehicle communication line 16.
  • the gateway 10 transmits the information acquired from the ECU 30 to the wireless communication unit 15, and the wireless communication unit 15 transmits the information to an external device such as the management server 5 or the like. Further, the ECUs 30 transmit and receive information via an in-vehicle communication line.
  • the wireless communication unit 15 mounted on the vehicle in addition to the dedicated communication terminal mounted on the vehicle, for example, a device such as a mobile phone owned by the user, a smartphone, a tablet terminal, a notebook PC (Personal Computer) can be considered.
  • FIG. 1 exemplifies a case where the gateway 10 communicates with an external device via the wireless communication unit 15, when the gateway 10 has a wireless communication function, the gateway 10 itself may be a management server 5 or the like.
  • the configuration may be such that wireless communication is performed with an external device.
  • each of the management server 5 and the DL server 6 may be composed of a plurality of devices.
  • FIG. 2 is a block diagram showing an internal configuration of the gateway 10.
  • the gateway 10 includes a CPU 11, a random access memory (RAM) 12, a storage unit 13, an in-vehicle communication unit 14, and the like.
  • the gateway 10 is connected to the wireless communication unit 15 via an in-vehicle communication line, but these may be configured by one device.
  • the CPU 11 causes the gateway 10 to function as a relay device for various information by reading out one or more programs stored in the storage unit 13 to the RAM 12 and executing the program.
  • the CPU 11 can execute a plurality of programs in parallel by switching and executing a plurality of programs in time division, for example.
  • the CPU 11 may represent a plurality of CPU groups. In this case, the functions realized by the CPU 11 are realized by the cooperation of a plurality of CPU groups.
  • the RAM 12 is configured by a memory element such as an SRAM (Static RAM) or a DRAM (Dynamic RAM), and temporarily stores programs executed by the CPU 11 and data required for the execution.
  • the computer program realized by the CPU 11 can be transferred while being recorded in a known recording medium such as a CD-ROM or a DVD-ROM, or can be transferred by information transmission from a computer device such as a server computer.
  • transfer (transmission) of data to a lower device by the upper device is also referred to as “downloading”.
  • the storage unit 13 is configured by a non-volatile memory element such as a flash memory or an EEPROM.
  • the storage unit 13 stores a program executed by the CPU 11, data necessary for the execution, and the like, and stores an update program and the like of each ECU 30 to be downloaded, which is received from the DL server 6.
  • a plurality of ECUs 30 are connected to the in-vehicle communication unit 14 via an in-vehicle communication line disposed in the vehicle 1.
  • the in-vehicle communication unit 14 performs communication (also referred to as CAN communication) with the ECU 30 according to, for example, the standard of CAN (Controller Area Network).
  • the communication standard adopted by the in-vehicle communication unit 14 is not limited to CAN, and CANFD (CAN with Flexible Data Rate), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport: MOST is a registered trademark) Or the like.
  • the plurality of in-vehicle communication lines may include different communication standards.
  • the in-vehicle communication unit 14 transmits the information given from the CPU 11 to the target ECU 30 and gives the information received from the ECU 30 to the CPU 11.
  • the in-vehicle communication unit 14 may communicate not only with the above communication standard but also with another communication standard used for the in-vehicle network 4.
  • the wireless communication unit 15 is a wireless communication device including an antenna and a communication circuit that performs transmission and reception of a wireless signal from the antenna.
  • the wireless communication unit 15 can communicate with an external device by being connected to a wide area communication network 2 such as a cellular phone network.
  • the wireless communication unit 15 transmits the information given from the CPU 11 to the device outside the vehicle such as the management server 5 via the wide area communication network 2 formed by the base station (not shown), and sends the information received from the device outside the vehicle to the CPU 11 give.
  • a wired communication unit functioning as a relay device in the vehicle 1 may be employed.
  • the wired communication unit has a connector to which a communication cable conforming to the standard such as USB (Universal Serial Bus) or RS232C is connected, and performs wired communication with another communication device connected via the communication cable.
  • a communication cable conforming to the standard such as USB (Universal Serial Bus) or RS232C
  • FIG. 3 is a block diagram showing an internal configuration of the ECU 30.
  • the ECU 30 includes a CPU 31, a RAM 32, a storage unit 33, a communication unit 34, and the like.
  • the ECU 30 is an on-vehicle control device that individually controls target devices mounted on the vehicle 1.
  • the types of ECUs 30 include, for example, a power supply control ECU, an engine control ECU, a steering control ECU, and a door lock control ECU.
  • the CPU 31 reads one or more programs stored in advance in the storage unit 33 into the RAM 32 and executes the programs to control the operation of the target device that the CPU 31 takes charge of.
  • the CPU 31 may also represent a plurality of CPU groups, and the control by the CPU 31 may be control by cooperation of a plurality of CPU groups.
  • the RAM 32 is configured by a memory element such as an SRAM or a DRAM, and temporarily stores programs executed by the CPU 31 and data necessary for the execution.
  • the storage unit 33 is configured by a non-volatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the storage unit 33 stores a program read and executed by the CPU 31.
  • the information stored in the storage unit 33 includes, for example, a computer program for causing the CPU 31 to execute information processing for controlling a target device to be controlled in the vehicle, and the program such as parameters and map information.
  • the control program which is the data used at the time is included.
  • a gateway 10 is connected to the communication unit 34 via an in-vehicle communication line disposed in the vehicle 1.
  • Communication unit 34 communicates with gateway 10 in accordance with a standard such as CAN, Ethernet, or MOST, for example.
  • the communication unit 34 transmits the information given from the CPU 31 to the gateway 10, and gives the information received from the gateway 10 to the CPU 31.
  • the communication unit 34 may communicate not only with the above communication standard but also with another communication standard used for the in-vehicle network.
  • the CPU 31 of the ECU 30 includes an activation unit 35 that switches the control mode of the CPU 31 to either the “normal mode” or the “reprogramming mode” (hereinafter also referred to as “repro mode”).
  • the normal mode refers to a control mode in which the CPU 31 of the ECU 30 executes the inherent control (for example, engine control for the fuel engine, door lock control for the door lock motor, etc.) for the target device.
  • the reprogramming mode is a control mode in which a control program used to control a target device is updated. That is, the reprogramming mode is a control mode in which the CPU 31 erases and rewrites data of the control program with respect to the ROM area of the storage unit 33. The CPU 31 can update the control program stored in the ROM area of the storage unit 33 to a new version only in this control mode.
  • the activation unit 35 When the CPU 31 writes the control program of the new version in the storage unit 33 in the repro mode, the activation unit 35 once restarts (resets) the ECU 30 and executes verification processing on the storage area in which the control program of the new version is written. .
  • the start-up unit 35 operates the CPU 31 with the control program after the update after the completion of the verification process.
  • the update program is downloaded from the DL server 6 to the ECU 30 via the gateway 10, and updating the control program using the update program is also referred to as online update.
  • FIG. 4 is a block diagram showing an internal configuration of the management server 5.
  • the management server 5 includes a CPU 51, a ROM 52, a RAM 53, a storage unit 54, a communication unit 55, and the like.
  • the CPU 51 reads one or a plurality of programs stored in advance in the ROM 52 into the RAM 53 and executes them to control the operation of each hardware, and causes the management server 5 to function as an external device capable of communicating with the gateway 10.
  • the CPU 51 may also represent a plurality of CPU groups, and a function realized by the CPU 51 may be realized by a plurality of CPU groups in cooperation.
  • the RAM 53 is configured of a memory element such as an SRAM or a DRAM, and temporarily stores programs executed by the CPU 51 and data required for the execution.
  • the storage unit 54 is configured of a non-volatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the communication unit 55 is a communication device that executes communication processing in accordance with a predetermined communication standard, and is connected to a wide area communication network 2 such as a mobile telephone network to execute the communication processing.
  • the communication unit 55 transmits the information provided from the CPU 51 to an external device via the wide area communication network 2, and supplies the information received via the wide area communication network 2 to the CPU 51.
  • FIG. 5 is a sequence diagram showing an example of the flow of on-line updating of the control program executed in the program updating system of the present embodiment.
  • One or more update programs are stored in the DL server 6.
  • the management server 5 determines the timing of updating the control program of the ECU of the vehicle 1 registered in advance.
  • the timing of the update may be set by, for example, a car maker of the vehicle 1 or the like.
  • control program includes not only the program itself but also data used when executing the program, such as parameters and map information. They are represented as "control program". Therefore, the update program includes not only the program for updating the program but also data for updating data used when the program is executed.
  • the management server 5 When it is time to update the control program, the management server 5 notifies the gateway 10 of the corresponding vehicle 1 of the update (step S1). In step 1, the management server 5 sends, to the gateway 10, update information such as the storage destination URL of the update program and the size of the update program together with the download request.
  • the gateway 10 having received the notification of update from the management server 5 relays the update program downloaded from the DL server 6 to the ECU 30 (hereinafter, target ECU) which updates the control program. That is, the gateway 10 requests the DL server 6 to download the update program based on the update information (step S2).
  • the DL server 6 requested for download from the gateway 10 transmits the update program to be downloaded to the gateway 10 and also requests update of the control program (step S3).
  • the gateway 10 After downloading the update program, the gateway 10 transmits the update program to the target ECU and requests the target ECU to update the control program (step S4).
  • the gateway 10 executes an update control process if the update is performed while the vehicle 1 is stopped (step S5).
  • the update control process includes the following acquisition process and determination process.
  • Acquisition processing processing for acquiring the remaining amount of battery (hereinafter also referred to as battery residual amount)
  • Determination processing processing for determining whether or not to stop each processing in operation
  • the target ECU that receives the control signal according to the update control process from the gateway 10 together with the update program develops the update program according to the control signal, and executes the update process of updating the control program (step S6). If necessary in the update control process of step S5, the gateway 10 outputs a control signal to the target ECU during the update process of step S6. The target ECU continues or interrupts the update process according to the control signal.
  • the target ECU 30 When the update of the control program is completed, the target ECU 30 notifies the gateway 10 of the update completion (step S7).
  • the gateway 10 having received this notification notifies the DL server 6 of the update completion (step S8).
  • CPU 11 of gateway 10 includes an update control unit 111 as a function for executing the update control process.
  • the update control unit 111 includes an acquisition unit 112 that executes acquisition processing, and a determination unit 113 that executes determination processing.
  • the acquisition unit 112 acquires the remaining battery amount SoC by monitoring a frame transmitted from an ECU that controls a battery (not shown).
  • the determination unit 113 determines whether or not each process in operation can be continued (first determination process). Determination unit 113 compares battery remaining amount SoC with threshold value Th1 for the first determination process.
  • the threshold Th1 is a threshold that indicates at least the amount of power predicted to be required until the update processing is completed. The determination unit 113 makes a determination based on the comparison result. Specifically, when battery remaining amount SoC is larger than threshold value Th1 (SoC> Th1), determination unit 113 determines that all the processing in operation including the update processing is to be continued (first determination result). In this case, it is because the battery is charged with the electric energy predicted to be necessary until the completion of the updating process at the determination time point.
  • the determination unit 113 determines whether to interrupt the update process (second determination process). Determination unit 113 compares battery remaining amount SoC with threshold value Th2 (Th2 ⁇ Th1) for the second determination process.
  • the threshold value Th2 is a value corresponding to the lower limit value Whm of the remaining battery amount, and is a value indicating at least the amount of power necessary for the process for interrupting the update process (interruption process). The determination unit 113 makes a determination based on the comparison result.
  • the determination unit 113 determines that the update process is interrupted (second determination result). This is because when the battery residual amount Soc decreases further, interruption processing can not be performed.
  • the determination unit 113 determines whether to restart the update process (third determination process).
  • the determination unit 113 compares the remaining battery amount SoC with the threshold value Th2.
  • the determination unit 113 makes a determination based on the comparison result. Specifically, when the remaining battery amount SoC becomes larger than the threshold Th2 (SoC> Th2), the determination unit 113 determines to resume the interrupted update processing.
  • determination unit 113 stops processing during operation other than update processing as necessary. Determination (third determination result). In this case, if the current operation is continued, the necessary amount of power may be insufficient until the update processing is completed.
  • determination unit 113 includes a setting unit 114 for setting the above-mentioned threshold values Th1 and Th2.
  • the setting unit 114 may read out the threshold value stored in advance in the storage unit 13 or may calculate by substituting a parameter into a calculation formula stored in advance. For example, setting unit 114 calculates threshold value Th1 based on the attribute of the target ECU stored in advance and the size of the update program.
  • the margin m1 may be positive or negative.
  • the threshold Th1 becomes a value larger than the predicted power consumption P1.
  • the threshold Th1 becomes a value smaller than the predicted power consumption P1.
  • the absolute value of the margin m1 may be multiplication as well as addition to the predicted power consumption amount P1.
  • the required time T may be a total time T1 from the start of the update process in the target ECU to the completion thereof, or the remaining time T2 from the determination time to the completion of the update process.
  • the threshold Th2 is stored in advance in the storage unit 13.
  • the setting unit 114 may store in advance the amount of power P2 necessary for interrupting the update process, and may calculate the threshold value Th2 using the amount of power P2.
  • the interruption process includes the process of writing the process completion position (address) of the update process in the storage unit 13, and the power amount P 2 includes the power amount required for the process of writing the address in the storage unit 13.
  • the interrupting process may further include a process of reading the address from the storage unit 13 and resuming the update process from the portion of the update program indicated by the address.
  • the margin m2 may also be positive or negative.
  • the second determination process can be set as the safety-side determination process, as in the case where the margin m1 is set to a positive number.
  • the margin m2 By making the margin m2 a negative number, it is easier to execute the update processing than making the second determination processing too safe as in the case of making the margin m1 a negative number. It can be prioritized. Also, adding a margin m2 may be multiplication as well as addition to the power amount P2.
  • the update control unit 111 executes update control processing based on the determination result of the determination unit 113. That is, in the case of the second determination result, the update control unit 111 instructs the target ECU to interrupt the update process. Specifically, a frame including data instructing suspension of the update process is generated, and the in-vehicle communication unit 14 transmits the frame to the target ECU.
  • the update control unit 111 executes the stop process.
  • the stop process is a process of stopping the process in operation other than the update process as necessary.
  • the processing other than the update processing is, for example, reproduction of a moving image in a moving image player (not shown), reproduction of music in a music player, downloading of data in various devices, and the like.
  • the update control unit 111 determines a process to be stopped among the plurality of processes according to a predetermined selection criterion.
  • the predetermined selection criterion is a preset priority.
  • the update control unit 111 stores the priority of the process in advance, and determines a process of stopping the process having the lower priority than the update process among the plurality of processes in operation.
  • the update control unit 111 determines the processes to be stopped in order from the process with the lower priority among the plurality of processes.
  • the priority may be stored in advance in the storage unit 13 or may be set or changed by the user.
  • the predetermined selection criteria may be random.
  • the update control unit 111 updates the battery in order (for example, in the order of low priority) until the battery reduction rate ⁇ Wh becomes less than the reference rate ⁇ . Stop processing other than processing.
  • the decrease rate ⁇ Wh is a decrease amount of the battery per unit time.
  • the update control unit 111 can obtain the decrease rate ⁇ Wh of the battery by monitoring a frame transmitted from an ECU that controls the battery (not shown). Further, the update control unit 111 calculates the reference speed ⁇ based on the battery remaining amount SoC and the time until the update processing is completed.
  • the reference speed ⁇ is a speed at which the current remaining amount of battery decreases to the lower limit value Whm (the amount of power corresponding to the threshold Th2), that is, the amount of change (reduction) per unit time during the period until the update processing is completed. If the decrease speed ⁇ Wh is larger (faster) than the reference speed ⁇ , the battery remaining capacity predicted at the completion of the update processing falls below the lower limit value Whm, that is, the battery shortage is predicted at the completion of the update processing.
  • the required time T may be the total time T1 or the remaining time T2, similarly to the required time T used for calculating the threshold value Th1.
  • FIG. 6 is a flowchart showing a specific example of the update control process of step S5 of FIG. 5 in the program update system according to the first embodiment.
  • the processing shown in the flowchart of FIG. 6 realizes each function shown in FIG. 2 by the CPU 11 of the gateway 10 reading out one or more programs stored in the storage unit 13 onto the RAM 12 and executing the program. It is executed by doing.
  • the gateway 10 passes the update program to the target ECU and requests the update of the control program (step of FIG. 5) S4) is started.
  • CPU 11 of gateway 10 acquires remaining battery amount SoC by monitoring a frame transmitted from an ECU that controls a battery (not shown) (step S101). ).
  • the CPU 11 compares the acquired battery residual amount SoC with the threshold Th1, and skips the subsequent processing if the battery residual amount SoC is larger than the threshold Th1 (NO in step S103). In this case, the update process in the target ECU continues.
  • the CPU 11 determines whether the remaining battery amount SoC is equal to or less than the threshold Th1 (YES in step S103). If the remaining battery amount SoC is equal to or less than the threshold Th1 (NO in step S105), the CPU 11 executes the stop process. That is, the CPU 11 confirms whether or not there is a process with lower priority than the update process among the processes in operation. If not (NO in step S107), the CPU 11 skips the subsequent processing. In this case, the update process in the target ECU continues.
  • step S107 If there is a process having a priority lower than the update process among the processes in operation (YES in step S107), the CPU 11 transmits a frame instructing the in-vehicle communication unit 14 to stop the process to the in-vehicle communication unit 14 Let As a result, processing in the corresponding ECU is stopped. Also, processing with higher priority than update processing continues. At this time, if there is a plurality of corresponding processes, the CPU 11 instructs, for example, the termination of the lowest priority process (step S111).
  • the CPU 11 obtains the decrease rate ⁇ Wh of the battery by monitoring a frame transmitted from the ECU that controls the battery, and compares it with the reference rate ⁇ . Then, if the decrease speed ⁇ Wh is equal to or higher than the reference speed ⁇ (NO in step S109), the CPU 11 instructs the termination of the lowest priority process (step S111). This stops the lowest priority processing. If the decreasing speed ⁇ Wh is smaller than the reference speed ⁇ (YES in step S109), the CPU 11 skips step S111. That is, it does not instruct to stop the process in operation. Thus, the processing in operation is continued.
  • the CPU 11 periodically repeats the above process until the update process in the target ECU is completed (NO in step S113). Therefore, when a plurality of processes having lower priority than the update process is in operation, the remaining battery amount SoC becomes equal to or higher than the threshold value Th2 corresponding to the lower limit value Whm in order from the process having the lower priority among the processes. It is stopped until the decrease rate ⁇ Wh of the battery becomes smaller than the reference rate ⁇ .
  • the CPU 11 causes the in-vehicle communication unit 14 to transmit a frame instructing suspension of the update process to the target ECU (step S115). Thereby, the interruption process is executed in the target ECU, and the update process is interrupted.
  • the CPU 11 continues monitoring the remaining battery charge SoC. Then, when charging proceeds until the remaining battery amount SoC becomes larger than the threshold value Th2 (YES in step S117), the CPU 11 causes the in-vehicle communication unit 14 to transmit a frame instructing the target ECU to resume the update process (step S119). As a result, the update processing in the target ECU resumes. When the update process is resumed, the CPU 11 periodically repeats the process from step S101 until the update process in the target ECU is completed (NO in step S113).
  • the above-described update control process is performed when online update is performed while the vehicle 1 is stopped, for example, when the user in the vehicle 1 operates the air conditioner or plays a moving image. It is assumed that In this case, if the battery remaining amount is insufficient before the completion of the update process due to the process in operation, the update process in the target ECU may be stopped halfway. If the update process is stopped halfway, the update program may be destroyed and the control program update itself may fail.
  • the execution of the update control process causes the processing of the other ECUs to be automatically performed if it is predicted that the necessary amount of power will run short before the completion of the update process. To be stopped. Thereby, the necessary amount of power is secured in the battery until the completion of the update process. As a result, the stop of the update process due to the battery shortage is avoided, and the update process is executed until completion.
  • the processing having a lower priority than the update processing is stopped, and the processing having a high priority is not stopped.
  • the operation is not stopped. For example, when the priority of the operation of the air conditioner is set higher than the update of the control program and the reproduction of the moving image is set low, the operation of the air conditioner is not stopped but the reproduction of the moving image is stopped. Therefore, the convenience of the user is not greatly impaired.
  • the remaining battery capacity runs short before the update process is completed because the process with high priority is not stopped by setting the priority.
  • the remaining battery capacity may be insufficient before the completion of the updating process.
  • the update control processing when the battery remaining amount decreases to the power amount necessary for the interruption processing, the update processing is interrupted until the battery remaining amount is charged to the power amount or more. Then, when the battery remaining amount is charged to the power amount or more, the update processing is automatically restarted. As a result, even if the update process is interrupted due to a battery shortage, the update process is automatically restarted when the battery remaining amount is secured, so the update process is executed until the completion.
  • a process determined according to a predetermined selection criterion among the processes in operation Will stop automatically.
  • the process selected by the user may be stopped.
  • the stop process executed by the update control unit 111 includes a process of receiving a selection of a process to be stopped from the user, and a process of stopping the selected process.
  • the update control unit 111 stores in advance processing that can be stopped in accordance with a user's instruction.
  • the process that can be stopped according to the user's instruction is a process not related to traveling, and is, for example, a process for operating the air conditioner, a process for playing a moving image, and the like.
  • the update control unit 111 sets the display screen (selection screen) for accepting the user operation instructing the possibility of stopping the process to the user It is displayed on the interface device 7. If there are a plurality of processes which can be stopped according to the user's instruction, the selection screen receives the selection of the process to be stopped from among the plurality of processes. In order to display the selection screen on the user interface device 7, the update control unit 111 generates a frame including data instructing the display of the selection screen, and causes the in-vehicle communication unit 14 to transmit it to the ECU that controls the user interface device 7.
  • FIG. 7 is a diagram showing an example of the selection screen.
  • the selection screen in addition to the notification (power shortage prediction notification) that the necessary power amount is predicted to be insufficient before the update processing is completed, the selection screen It includes the display of processes that can be stopped according to the user's instruction.
  • the selection screen receives a user operation for selecting whether or not to stop the displayed process.
  • there are a plurality of selectable processes including a playback process by the video player, a playback process by the music player, a download process of music data, a download process of video data, and a process of operating the air conditioner.
  • a user operation for example, touch
  • instructing a stop can be received.
  • the update control unit 111 displays the insufficient power amount X and the power consumption amounts A to E of the process in operation on the selection screen.
  • the insufficient power amount X is calculated, for example, by subtracting the power consumption amount ( ⁇ Wh ⁇ T) when the battery reduction rate ⁇ Wh per unit time continues from the battery remaining amount SoC.
  • the power consumption A to E of the process in operation is calculated by multiplying the required time T by the power consumption per unit time obtained by monitoring the frame transmitted from the ECU executing the process. By displaying these amounts of power on the selection screen, the user can instruct to stop appropriate processing.
  • FIG. 8 is a flowchart showing a specific example of the update control process of step S5 of FIG. 5 in the program update system according to the second embodiment.
  • the processing shown in the flowchart of FIG. 8 is also performed by the CPU 11 of the gateway 10 reading out one or more programs stored in the storage unit 13 onto the RAM 12 and executing each function shown in FIG. It is executed by realizing it.
  • the operations given the same numbers as in the flowchart of FIG. 6 are the same as the operations shown in the flowchart of FIG. 6, and therefore the description will not be repeated.
  • battery remaining capacity SoC is equal to or smaller than threshold Th1 and larger than threshold Th2 (YES in step S103 and NO in step S105). Furthermore, if there is a process having a priority lower than the update process among the processes in operation (YES in step S107), CPU 11 determines whether there is a process that can be stopped according to the user's instruction. Confirm.
  • the CPU 11 obtains the decrease rate ⁇ Wh of the battery by monitoring a frame transmitted from the ECU that controls the battery, and compares it with the reference rate ⁇ . Then, if the decrease speed ⁇ Wh is equal to or higher than the reference speed ⁇ (NO in step S109), the CPU 11 confirms whether there is a process that can be stopped according to the user's instruction in the process in operation.
  • step S201 When there is a process that can be stopped according to the user's instruction (YES in step S201), the CPU 11 instructs the in-car communication unit 14 to stop the process and the user interface device 7 of the selection screen (FIG. 7) A frame instructing the display on the screen is transmitted to the ECU controlling the user interface device 7 (step S203). Thereby, the selection screen as shown in FIG. 7 is displayed on the user interface device 7.
  • CPU 11 causes in-vehicle communication unit 14 to transmit a frame instructing the ECU executing the selected process to stop the process (step S207) . This stops the selected process.
  • the update process is prioritized over the other processes.
  • other processes may be prioritized over the update process.
  • the other processes are prioritized over the update process.
  • the control program update may include a plurality of partial update processes performed at a series of timings.
  • the plurality of partial update processes include, for example, independent updates in functional units of the control program and independent updates in data units.
  • the update process can be performed independently for each partial update process such as a function unit or a data unit.
  • the update control unit 111 automatically performs a process determined according to a predetermined selection criterion such as priority among a plurality of partial update processes. May be interrupted.
  • the update control unit 111 stores in advance the priority set for each partial update process, and interrupts the partial update process in the order of low priority. To the target ECU.
  • the flow of the update control process in this case is substantially the same as the flow chart of FIG.
  • the update control unit 111 may use a selection screen for accepting a user operation for a process that can be interrupted according to a user's instruction among a plurality of partial update processes. It is displayed on the interface device 7 to accept the selection of the process to be interrupted. Then, the update control unit 111 instructs the target ECU to interrupt the selected process among the plurality of partial update processes.
  • the flow of the update control process in this case is substantially the same as the flowchart of FIG.
  • FIG. 9 is a diagram showing an example of a selection screen in the third embodiment.
  • the selection screen according to the third embodiment is the same as the selection screen according to the second embodiment of FIG. It includes the display of a partial update process that can be interrupted according to the instruction of the user.
  • the partial update process is an update process for each function, and for each update process of the functions 1 to 5, a user operation (for example, touch) instructing suspension can be received.
  • the selectable function unit is a function unit for which simultaneous update is not essential.
  • the update control unit 111 displays the insufficient power amount X and the power consumption amount M to P for each partial update process on the selection screen.
  • the power consumption M to P for each partial update process is obtained from the data size s of the update program required for the partial update process obtained from the management server 5 and the writing speed v of the data of the target ECU
  • the update process is partially interrupted when it is predicted that the remaining battery capacity will run short by the completion of the update process. This prevents the stop of the updating process due to the lack of battery.
  • the other process than the update process among the processes in operation is Takes precedence. Therefore, when the user gives priority to other processes such as the operation of the air conditioner and the reproduction of a moving image, for example, there is a portion of the update process that can be processed by the battery remaining amount without stopping these processes. It is executed and the update process of the part which runs out of battery is interrupted. This does not impair the convenience of the user.
  • the first, second and third embodiments may be combined. That is, when it is predicted that the necessary amount of power is insufficient before the completion of the update during the execution of the update process, a user operation to select which of the update process and the other processes is to be prioritized is accepted . That is, when the determination result of determination unit 113 is the third determination result (NO in step S105), update control unit 111 updates, for example, "Do you prefer to update the control program?" The selection screen is displayed on the user interface device 7 for receiving a user operation for selecting which of the processing and the other processing is to be prioritized, and the selection is accepted. Then, the update control unit 111 may execute the update control process of the first or second embodiment or the update control process of the third embodiment according to the selection result.
  • the update process of the control program is the main process, and another process or a part of the process is performed to prevent the process from being stopped due to a battery shortage.
  • the main process is not limited to the update process, and may be another process. That is, when there is a plurality of active processes, one main process is considered as the main process, and when it is predicted that the remaining battery capacity will be insufficient when the main process is completed, the main process Other processes or part of the main process may be stopped or interrupted automatically according to a predetermined selection criterion or according to a user operation.
  • the disclosed features are realized by one or more modules.
  • the feature can be realized by a circuit element or other hardware module, a software module that defines a process for realizing the feature, or a combination of a hardware module and a software module.
  • the program may be provided as a program that is a combination of one or more software modules for causing a computer to execute the above-described operations.
  • a program is provided as a program product by recording it on a computer readable recording medium such as a flexible disk attached to a computer, a CD-ROM (Compact Disk-Read Only Memory), a ROM, a RAM and a memory card. It can also be done.
  • the program can be provided by being recorded in a recording medium such as a hard disk built in the computer.
  • the program can be provided by downloading via a network.
  • the program according to the present disclosure is to call a necessary module among program modules provided as a part of an operating system (OS) of a computer in a predetermined arrangement at a predetermined timing to execute processing. It is also good. In that case, the program itself does not include the above module, and the processing is executed in cooperation with the OS. Programs not including such modules may also be included in the programs according to the present disclosure.
  • OS operating system
  • the program according to the present disclosure may be provided by being incorporated into a part of another program. Also in this case, the program itself does not include a module included in the other program, and the process is executed in cooperation with the other program. Programs incorporated into such other programs may also be included in the programs according to the present disclosure.
  • the provided program product is installed and executed in a program storage unit such as a hard disk.
  • the program product includes the program itself and a recording medium in which the program is recorded.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Quality & Reliability (AREA)
  • Mathematical Physics (AREA)
  • Mechanical Engineering (AREA)
  • Computer Security & Cryptography (AREA)
  • Stored Programmes (AREA)
  • Power Sources (AREA)

Abstract

本開示の制御装置は、複数の車載制御装置と車内通信線を介して通信する制御装置であって、前記複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、前記複数の車載制御装置のうちの１つである対象装置での処理の完了時点における前記バッテリの予測電力量が第１の閾値未満である場合に、前記処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部と、を備える。

Description

制御装置、制御方法、およびコンピュータプログラム
　この発明は制御装置、制御方法、およびコンピュータプログラムに関する。
　本出願は、２０１７年８月１６日出願の日本出願第２０１７－１５７１９１号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　たとえば、特許文献１には、ネットワークを介して更新用のプログラムをダウンロードし、プログラムの更新を行う技術（オンライン更新機能）が開示されている。
特開２０１５－３７９３８号公報
　ある実施の形態に従うと、本開示の制御装置は、複数の車載制御装置と車内通信線を介して通信する制御装置であって、複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、複数の車載制御装置のうちの１つである対象装置での処理の完了時点におけるバッテリの予測電力量が第１の閾値未満である場合に、処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部と、を備える。
　他の実施の形態に従うと、本開示の制御方法は、複数の車載制御装置と車内通信線を介して通信する制御装置による、車載制御装置の制御方法であって、複数の車載制御装置に電力供給するバッテリの電力量を取得するステップと、複数の車載制御装置のうちの１つである対象装置での処理の完了時点におけるバッテリの予測電力量が閾値未満である場合に、処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示するステップと、を備える。
　他の実施の形態に従うと、本開示のコンピュータプログラムは、複数の車載制御装置と車内通信線を介して通信する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータを、複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、複数の車載制御装置のうちの１つである対象装置での処理の完了時点におけるバッテリの予測電力量が閾値未満である場合に、処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部、として機能させる。
プログラム更新システムの全体構成図である。 ゲートウェイの内部構成を示すブロック図である。 ＥＣＵの内部構成を示すブロック図である。 管理サーバの内部構成を示すブロック図である。 プログラム更新システムにおいて実行される、制御プログラムのオンライン更新の流れの一例を示すシーケンス図である。 第１の実施の形態にかかる更新制御処理の具体例を表したフローチャートである。 選択画面の一例を示した図である。 第２の実施の形態にかかる更新制御処理の具体例を表したフローチャートである。 選択画面の一例を示した図である。
［本開示が解決しようとする課題］
　近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための制御装置である、所謂ＥＣＵ（Electronic　Control　Unit）が多数搭載されている。
　ＥＣＵの種類には、例えば、アクセル、ブレーキ、ハンドルの操作に対してエンジンやブレーキ、ＥＰＳ（Electric　Power　Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じて車内照明やヘッドライトの点灯／消灯と警報器の吹鳴等の制御を行うボディ系ＥＣＵ、運転席近傍に配設されるメータ類の動作を制御するメータ系ＥＣＵなどがある。
　一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read　Only　Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
　ＥＣＵの制御プログラムは、車両の仕向け地やグレードなど応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。また、たとえば地図情報や制御用のパラメータなど、制御プログラムの実行に必要なデータも書き換える必要がある。
　車両において、特許文献１に開示されているオンライン更新などの処理に並行して他の処理が実行されている場合、当該処理の完了までにバッテリの電力が不足すると、意図せずに当該更新が停止してしまう。
　本開示のある局面における目的は、車載装置で複数の処理が並行して実行される場合であっても、電力不足によって意図せずに当該処理が停止することを防止できる制御装置、制御方法、およびコンピュータプログラムを提供することである。
［本開示の効果］
　本開示によると、車載装置で複数の処理が並行して実行される場合であっても、電力不足によって意図せずに当該処理が停止することを防止できる。
［実施の形態の説明］
　本実施の形態には、少なくとも以下のものが含まれる。すなわち、
　（１）本実施の形態に含まれる制御装置は複数の車載制御装置と車内通信線を介して通信する制御装置であって、複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、複数の車載制御装置のうちの１つである対象装置での処理の完了時点におけるバッテリの予測電力量が第１の閾値未満である場合に、この処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部と、を備える。
　これにより、他の車載制御装置での処理による電力消費を抑えることができ、対象装置での処理の完了時点までバッテリの電力量を確保することができる。その結果、対象装置での処理が電力不足によって意図せずに停止することを防止できる。
　（２）好ましくは、対象装置での処理は、車両の停車中における制御プログラムの更新処理である。
　これにより、対象装置での車両の停車中における制御プログラムの更新処理が電力不足によって意図せずに停止することを防止できる。
　（３）好ましくは、他の車載制御装置での処理が複数、並行して実行されている場合、制御部は、処理ごとに設定されている優先度に従って、複数の処理の中から停止させる処理を決定する。
　適切な優先度を予め設定しておくことで、他の車載制御装置での処理のうちの優先度の高い処理は停止させることなく、優先度の低い処理を停止させるようにできる。その結果、ユーザの利便性を大きく損なうことがない。
　（４）好ましくは、他の車載制御装置での処理が複数、並行して実行されている場合、制御部は、停止する処理を選択するユーザ操作に従って、複数の処理の中から停止させる処理を決定する。
　これにより、ユーザは、他の車載制御装置での処理のうちの停止可能な処理を選択することができる。その結果、ユーザの利便性を大きく損なうことがない。
　（５）好ましくは、制御部は、さらに、バッテリの減少速度が以下の基準速度よりも速い場合に、他の車載制御装置に処理の停止を指示する。
　　基準速度：対象装置での処理の完了時点までに、バッテリの電力量が第１の閾値に相当する電力量まで減少する速度
　バッテリの減少速度が以下の基準速度よりも速い場合、対象装置での処理の完了時点までバッテリの電力量が閾値未満となる可能性が高い。そのため、他の車載制御装置に処理を停止させることによって、他の車載制御装置での処理による電力消費を抑えることができ、対象装置での処理の完了時点までバッテリの電力量を確保することができる。その結果、対象装置での処理が電力不足によって意図せずに停止することを防止できる。
　（６）好ましくは、第１の閾値は、対象装置での処理を中断する処理に必要な電力量に所定のマージンを付加した値である。
　バッテリの電力量が処理を中断する処理に必要な電力量まで減少すると、当該処理の中断ができなくなり、当該処理が停止してしまう。そのため、バッテリの電力量が処理を中断する処理に必要な電力量まで減少するよりも前に他の車載制御装置に処理を停止させることによって、対象装置での処理が電力不足によって意図せずに停止することを防止できる。
　（７）好ましくは、制御部は、バッテリの電力量が、第１の閾値よりも大きい第２の閾値よりも小さい場合に、他の車載制御装置を停止させる指示を行う。
　第２の閾値を適切に設定することにより、バッテリの電力量が十分にある場合には判定を不要にできるとともに、バッテリの電力量が不足する可能性のあるときに制御部での制御を行うことができる。その結果、対象装置での処理が電力不足によって意図せずに停止することを防止できる。
　（８）好ましくは、第２の閾値は、対象装置での処理の完了までに必要な電力量に所定のマージンを付加した値である。
　これにより、バッテリの電力量が対象装置での処理の完了までに必要な電力量が十分にある場合には判定を不要にできるとともに、バッテリの電力量が不足する可能性のあるときに制御部での制御を行うことができる。
　（９）本実施の形態に含まれる制御方法は、（１）～（８）のいずれか１つに記載の制御装置において車載制御装置を制御する方法である。
　かかる制御方法は、上記（１）～（８）の制御装置と同様の効果を奏する。
　（１０）本実施の形態に含まれるコンピュータプログラムは、コンピュータを、（１）～（８）のいずれか１つに記載の制御装置として機能させる。
　かかるコンピュータプログラムは、上記（１）～（８）の制御装置と同様の効果を奏する。
［実施の形態の詳細］
　以下に、図面を参照しつつ、好ましい実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。
　＜第１の実施の形態＞
　〔システムの全体構成〕
　図１は、本発明の実施形態にかかるプログラム更新システムの全体構成図である。
　図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５およびＤＬ（ダウンロード）サーバ６を含む。
　管理サーバ５は、車両１の更新情報を管理する。ＤＬサーバ６は、更新用プログラムを保存する。管理サーバ５およびＤＬサーバ６は、たとえば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。
　車両１には、車内通信線１６で接続された複数のＥＣＵ３０とゲートウェイ１０とを含む車内ネットワーク（通信ネットワーク）４と、無線通信部１５と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）と、が搭載されている。車載機器は、ユーザインタフェース装置７を含む。ユーザインタフェース装置７は、たとえば、ディスプレイやタッチパネルなどである。
　車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループが存在し、ゲートウェイ１０は、通信グループ間の通信を中継している。
　無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５およびＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、車内通信線１６を介してＥＣＵ３０に送信する。
　ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。
　また、ＥＣＵ３０同士は、車内通信線を介して情報を送受信する。
　車両１に搭載される無線通信部１５としては、車載の専用通信端末の他に、たとえば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal　Computer）等の装置が考えられる。
　図１では、ゲートウェイ１０が無線通信部１５を介して車外装置と通信を行う場合が例示されているが、ゲートウェイ１０が無線通信の機能を有する場合には、ゲートウェイ１０自身が管理サーバ５などの車外装置と無線通信を行う構成としてもよい。
　また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６とが別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。また、管理サーバ５およびＤＬサーバ６は、いずれも、複数の装置からなるものであってもよい。
　〔ゲートウェイの内部構成〕
　図２は、ゲートウェイ１０の内部構成を示すブロック図である。
　図２に示すように、ゲートウェイ１０は、ＣＰＵ１１、ＲＡＭ（Random　Access　Memory）１２、記憶部１３、および車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線を介して接続されているが、これらは一つの装置で構成してもよい。
　ＣＰＵ１１は、記憶部１３に記憶された一または複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
　ＣＰＵ１１は、たとえば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。なお、ＣＰＵ１１は複数のＣＰＵ群を代表するものであってもよい。この場合、ＣＰＵ１１の実現する機能は、複数のＣＰＵ群が協働して実現するものである。ＲＡＭ１２は、ＳＲＡＭ（Static　ＲＡＭ）またはＤＲＡＭ（Dynamic　ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　ＣＰＵ１１が実現するコンピュータプログラムは、ＣＤ－ＲＯＭやＤＶＤ－ＲＯＭなどの周知の記録媒体に記録した状態で譲渡することもできるし、サーバコンピュータなどのコンピュータ装置からの情報伝送によって譲渡することもできる。
　この点は、後述のＥＣＵ３０のＣＰＵ３１（図３参照）が実行するコンピュータプログラム、および、後述の管理サーバ５のＣＰＵ５１（図４参照）が実行するコンピュータプログラムについても同様である。
　なお、以降の説明において、上位装置が下位装置にデータを転送（送信）することを「ダウンロードする」ともいう。
　記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子などにより構成されている。記憶部１３は、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等を記憶するとともに、ＤＬサーバ６から受信した、ダウンロード対象の各ＥＣＵ３０の更新用プログラムなどを記憶する。
　車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、たとえばＣＡＮ（Controller　Area　Network）の規格に応じて、ＥＣＵ３０との通信（ＣＡＮ通信とも称する）を行う。車内通信部１４の採用する通信規格はＣＡＮに限定されず、ＣＡＮＦＤ（ＣＡＮ　with　Flexible　Data　Rate）、ＬＩＮ（Local　Interconnect　Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、またはＭＯＳＴ（Media　Oriented　Systems　Transport：ＭＯＳＴは登録商標）等の規格であってもよい。複数の車内通信線の中には、通信規格の異なるものが含まれていてもよい。
　車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車内ネットワーク４に用いる他の通信規格によって通信してもよい。
　無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
　無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。
　図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal　Serial　Bus）またはＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
　別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０とが通信可能になる。
　〔ＥＣＵの内部構成〕
　図３は、ＥＣＵ３０の内部構成を示すブロック図である。
　図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、および通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、たとえば、電源制御ＥＣＵ、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、およびドアロック制御ＥＣＵなどがある。
　ＣＰＵ３１は、記憶部３３に予め記憶された一または複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。ＣＰＵ３１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ３１による制御は、複数のＣＰＵ群が協働することによる制御であってもよい。
　ＲＡＭ３２は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
　記憶部３３は、ＣＰＵ３１が読み出して実行するプログラムを格納する。記憶部３３が記憶する情報には、たとえば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラムや、パラメータや地図情報などの、当該プログラムを実行する際に用いるデータである制御プログラムが含まれる。
　通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、たとえばＣＡＮ、Ｅｔｈｅｒｎｅｔ、またはＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
　通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」または「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
　ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（たとえば、燃料エンジンに対するエンジン制御や、ドアロックモータに対するドアロック制御など）を実行する制御モードのことである。
　リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
　すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムのデータの消去や書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。
　リプロモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
　起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。
　ＤＬサーバ６からゲートウェイ１０を介してＥＣＵ３０に更新用プログラムがダウンロードされ、当該更新用プログラムを用いて制御プログラムを更新することを、オンライン更新とも称する。
　〔管理サーバの内部構成〕
　図４は、管理サーバ５の内部構成を示すブロック図である。
　図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、および通信部５５などを備える。
　ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一または複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。ＣＰＵ５１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ５１の実現する機能は、複数のＣＰＵ群が協働して実現するものであってもよい。
　ＲＡＭ５３は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、または、ハードディスクなどの磁気記憶装置等により構成されている。
　通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。
　〔制御プログラムの更新シーケンス〕
　図５は、本実施形態のプログラム更新システムにおいて実行される、制御プログラムのオンライン更新の流れの一例を示すシーケンス図である。ＤＬサーバ６に１または複数の更新用プログラムが格納され、一例として、管理サーバ５が、予め登録された車両１について、当該車両１のＥＣＵの制御プログラムを更新するタイミングを決定する。更新のタイミングは、たとえば、車両１のカーメーカーなどによって設定されてもよい。
　なお、制御プログラムは、プログラムそのもののみならず、パラメータや地図情報などの、当該プログラムを実行する際に用いるデータも含む。それらを代表させて「制御プログラム」と表現している。そのため、更新用プログラムは、プログラムの更新用のプログラムのみならず、当該プログラムを実行する際に用いるデータの更新用のデータを含む。
　制御プログラムを更新するタイミングに達すると、管理サーバ５は、該当する車両１のゲートウェイ１０宛てに、更新を通知する（ステップＳ１）。ステップ１では、管理サーバ５からゲートウェイ１０に、ダウンロード要求とともに更新用プログラムの保存先ＵＲＬや更新用プログラムのサイズなどの更新用の情報が送られる。
　管理サーバ５から更新の通知を受信したゲートウェイ１０は、ＤＬサーバ６からダウンロードされる更新用プログラムを、制御プログラムを更新するＥＣＵ３０（以下、対象ＥＣＵ）に中継する。すなわち、ゲートウェイ１０は、更新用の情報に基づいてＤＬサーバ６に対して更新用プログラムのダウンロードを要求する（ステップＳ２）。
　ゲートウェイ１０からダウンロードが要求されたＤＬサーバ６は、ダウンロード対象の更新用プログラムをゲートウェイ１０に送信するとともに、制御プログラムの更新を要求する（ステップＳ３）。
　ゲートウェイ１０は、更新用プログラムをダウンロードすると、当該更新用プログラムを対象ＥＣＵに送信するとともに、対象ＥＣＵに制御プログラムの更新を要求する（ステップＳ４）。
　対象ＥＣＵに更新を要求すると、ゲートウェイ１０は、当該更新が車両１の停車中に行われるものである場合、更新制御処理を実行する（ステップＳ５）。更新制御処理は、以下の取得処理と判定処理とを含む。
　　取得処理：バッテリの残量（以下、バッテリ残量とも称する）を取得する処理
　　判定処理：動作中の各処理を停止するか否か判定する処理
　更新用プログラムとともに更新制御処理に従った制御信号をゲートウェイ１０から受けた対象ＥＣＵは、当該制御信号に従って更新用プログラムを展開し、制御プログラムを更新する更新処理を実行する（ステップＳ６）。ステップＳ５の更新制御処理において必要な場合には、ゲートウェイ１０は、ステップＳ６の更新処理中に対象ＥＣＵに対して制御信号を出力する。対象ＥＣＵは、当該制御信号に従って更新処理を続行または中断する。
　制御プログラムの更新が完了すると、対象ＥＣＵ３０はゲートウェイ１０に更新完了を通知する（ステップＳ７）。この通知を受けたゲートウェイ１０は、ＤＬサーバ６に更新完了を通知する（ステップＳ８）。
　［ゲートウェイの機能構成］
　図２を参照して、ゲートウェイ１０のＣＰＵ１１は、更新制御処理を実行するための機能として、更新制御部１１１を含む。更新制御部１１１は、取得処理を実行する取得部１１２と、判定処理を実行する判定部１１３と、を含む。
　取得部１１２は、図示しないバッテリを制御するＥＣＵから送信されるフレームを監視することによって、バッテリ残量ＳｏＣを取得する。
　判定部１１３は、動作中の各処理を継続可能か否かを判定する（第１の判定処理）。判定部１１３は、バッテリ残量ＳｏＣを第１の判定処理のための閾値Ｔｈ１と比較する。閾値Ｔｈ１は少なくとも更新処理完了までに必要と予測される電力量を示す閾値である。判定部１１３は、その比較結果に基づいて判定する。具体的に、判定部１１３は、バッテリ残量ＳｏＣが閾値Ｔｈ１より大きいとき（ＳｏＣ＞Ｔｈ１）、更新処理を含む動作中のすべての処理を継続すると判定する（第１の判定結果）。この場合には、判定時点では更新処理の完了までに必要と予測される電力量がバッテリに蓄電されているためである。
　バッテリ残量ＳｏＣが閾値Ｔｈ１以下のとき（ＳｏＣ≦Ｔｈ１）、判定時点で、バッテリ残量ＳｏＣが更新処理の完了までに必要と予測される電力量よりも不足している。そこで、判定部１１３は、さらに、更新処理を中断するか否かを判定する（第２の判定処理）。判定部１１３は、バッテリ残量ＳｏＣを第２の判定処理のための閾値Ｔｈ２（Ｔｈ２＜Ｔｈ１）と比較する。閾値Ｔｈ２は、バッテリ残量の下限値Ｗｈｍに相当する値であり、少なくとも更新処理の中断するための処理（中断処理）に必要な電力量を示す値である。判定部１１３は、その比較結果に基づいて判定する。具体的に、判定部１１３は、バッテリ残量ＳｏＣが閾値Ｔｈ２まで減少すると（ＳｏＣ≦Ｔｈ２）、更新処理を中断すると判定する（第２の判定結果）。バッテリ残量ＳｏＣがこれ以上減少すると、中断処理ができなくなるためである。
　判定部１１３は、後述する更新制御処理によって更新処理が中断された場合に、当該更新処理を再開するか否かを判定する（第３の判定処理）。判定部１１３は、バッテリ残量ＳｏＣを上記閾値Ｔｈ２と比較する。判定部１１３は、その比較結果に基づいて判定する。具体的に、判定部１１３は、バッテリ残量ＳｏＣが閾値Ｔｈ２より大きくなった場合に（ＳｏＣ＞Ｔｈ２）、中断した更新処理を再開すると判定する。
　バッテリ残量ＳｏＣが閾値Ｔｈ１以下であり、かつ、閾値Ｔｈ２より大きいとき（ＳｏＣ≦Ｔｈ１、かつ、ＳｏＣ＞Ｔｈ２）、判定部１１３は、更新処理以外の動作中の処理を必要に応じて停止すると判定する（第３の判定結果）。この場合、現状の動作を継続すると更新処理の完了までに必要な電力量が不足する可能性があるためである。
　好ましくは、判定部１１３は、上記閾値Ｔｈ１，Ｔｈ２を設定するための設定部１１４を含む。設定部１１４は、記憶部１３に予め記憶されている閾値を読み出してもよいし、予め記憶している計算式にパラメータを代入して算出してもよい。たとえば、設定部１１４は、予め記憶している対象ＥＣＵの属性と、更新用プログラムのサイズと、に基づいて閾値Ｔｈ１を算出する。具体的には、設定部１１４は、対象ＥＣＵでの更新処理の所要時間Ｔに、予め記憶している当該対象ＥＣＵでの単位時間あたりの消費電力ｐを乗じて予測消費電力量Ｐ１（Ｐ１＝Ｔ×ｐ）を算出し、当該予測消費電力量Ｐ１に予め設定されているマージンｍ１を付加した値を閾値Ｔｈ１とする（Ｔｈ１＝Ｐ１＋ｍ１）。
　なお、マージンｍ１は正負いずれの値であってもよい。マージンｍ１を正の数とすることによって、閾値Ｔｈ１は予測消費電力量Ｐ１より大きな値となる。これにより、第１の判定処理をバッテリ残量ＳｏＣに余裕を持たせた、安全側の判定処理とすることができる。一方、マージンｍ１を負の数とすることによって、閾値Ｔｈ１は予測消費電力量Ｐ１より小さな値となる。マージンｍ１の絶対値を適切な数とすることによって、第１の判定処理を過剰に安全側とすることよりも、更新処理の実行し易さを優先させることができる。また、マージンｍ１を付加することは、予測消費電力量Ｐ１への加算のみならず、乗算であってもよい。
　なお、所要時間Ｔは、対象ＥＣＵで更新処理が開始してから完了するまでの合計時間Ｔ１であってもよいし、判定時点から更新処理が完了するまでの残り時間Ｔ２であってもよい。前者の場合、判定部１１３は、所要時間Ｔを、更新用プログラムのデータサイズＳ１を対象ＥＣＵのデータの書き込み速度ｖで除することで得ることができる（Ｔ＝Ｔ１＝Ｓ１／ｖ）。合計時間Ｔ１を用いることで、所要時間Ｔを判定時点ごとに算出することが不要になり、判定処理を容易にできる。後者の場合、判定部１１３は、所要時間Ｔを、更新用プログラムの未処理分のデータサイズＳ２を対象ＥＣＵのデータの書き込み速度ｖで除することで得ることができる（Ｔ＝Ｔ２＝Ｓ２／ｖ）。残り時間Ｔ２を用いることで、所要時間Ｔを判定時点に応じて算出することができ、更新処理の進度に応じて高精度で所要時間Ｔを得ることができる。
　閾値Ｔｈ２は、記憶部１３に予め記憶されている。または、設定部１１４は、更新処理を中断処理に必要な電力量Ｐ２を予め記憶しておき、電力量Ｐ２を用いて閾値Ｔｈ２を算出してもよい。中断処理は、更新処理のうちの処理完了位置（アドレス）を記憶部１３に書き込む処理を含み、電力量Ｐ２は、当該アドレスを記憶部１３に書き込む処理に要する電力量を含む。中断処理は、さらに、記憶部１３からアドレスを読出し、更新用プログラムのうちの当該アドレスに示される箇所から更新処理を再開する処理を含んでもよい。たとえば、設定部１１４は、予め記憶部されている電力量Ｐ２に予め設定されているマージンｍ２を付加した値を閾値Ｔｈ２とする（Ｔｈ２＝Ｐ２＋ｍ２）。マージンｍ２もまた正負いずれの値であってもよい。
　マージンｍ２を正の数とすることによって、上記のマージンｍ１を正の数とすることと同様に、第２の判定処理を安全側の判定処理とすることができる。マージンｍ２を負の数とすることによって、上記のマージンｍ１を負の数とすることと同様に、第２の判定処理を過剰に安全側とすることよりも、更新処理の実行し易さを優先させることができる。また、マージンｍ２を付加することも、電力量Ｐ２への加算のみならず、乗算であってもよい。
　更新制御部１１１は、判定部１１３の判定結果に基づいて更新制御処理を実行する。すなわち、第２の判定結果である場合、更新制御部１１１は、対象ＥＣＵに対して更新処理の中断を指示する。具体的には、更新処理の中断を指示するデータを含むフレームを生成し、車内通信部１４に対象ＥＣＵに対して送信させる。
　第３の判定結果である場合、更新制御部１１１は、停止処理を実行する。停止処理は、更新処理以外の動作中の処理を必要に応じて停止する処理である。更新処理以外の処理は、たとえば、図示しない動画プレイヤーにおける動画の再生、音楽プレイヤーにおける音楽の再生、各種装置におけるデータのダウンロード、などである。
　更新処理以外の動作中の処理が複数ある場合、好ましくは、更新制御部１１１は、所定の選択基準に従って、当該複数の処理のうちから停止する処理を決定する。第１の実施の形態では、上記所定の選択基準は、予め設定された優先度である。このため、更新制御部１１１は、処理の優先度を予め記憶しておき、動作中の複数の処理のうち、更新処理よりも優先度の低い処理を停止する処理に決定する。また、更新処理よりも優先度の低い処理が複数ある場合には、更新制御部１１１は、その複数の処理のうちの優先度の低い処理から順に停止する対象の処理を決定する。当該優先度は、予め記憶部１３に記憶されていてもよいし、ユーザによって設定、変更可能であってもよい。または、上記所定の選択基準は、ランダムであってもよい。
　更新処理以外の動作中の処理が複数ある場合、より好ましくは、更新制御部１１１は、のバッテリの減少速度ΔＷｈが基準速度Δ未満となるまで順（たとえば、優先度の低い順）に、更新処理以外の動作中の処理を停止する。減少速度ΔＷｈは、単位時間あたりのバッテリの減少量である。更新制御部１１１は、図示しないバッテリを制御するＥＣＵから送信されるフレームを監視することによって、バッテリの減少速度ΔＷｈを取得することができる。また、更新制御部１１１は、バッテリ残量ＳｏＣと更新処理完了までの時間とに基づいて基準速度Δを算出する。
　基準速度Δは、更新処理完了までの期間に、現在のバッテリ残量が下限値Ｗｈｍ（閾値Ｔｈ２に相当する電力量）まで減少する速度、つまり、単位時間あたりの変化（減少）量である。減少速度ΔＷｈが基準速度Δよりも大きい（速い）場合、更新処理の完了時点の予測されるバッテリ残量が下限値Ｗｈｍを下回る、つまり、更新処理の完了時点において、バッテリ不足が予測される。
　更新制御部１１１は、バッテリ残量ＳｏＣの下限値Ｗｈｍからの差分を上記所要時間Ｔで除することによって基準速度Δを得ることができる（Δ＝（ＳｏＣ－Ｗｈｍ）／Ｔ）。なお、所要時間Ｔは、閾値Ｔｈ１の算出の際に用いた所要時間Ｔと同様に、合計時間Ｔ１であってもよいし、残り時間Ｔ２であってもよい。
　［動作フロー］
　図６は、第１の実施の形態にかかるプログラム更新システムでの、図５のステップＳ５の更新制御処理の具体例を表したフローチャートである。図６のフローチャートに表された処理は、ゲートウェイ１０のＣＰＵ１１が、記憶部１３に記憶された１つまたは複数のプログラムをＲＡＭ１２上に読み出して実行することによって図２に示された各機能を実現することで実行される。図６の処理は、制御プログラムの更新処理が車両１の停車中に行われるものである場合に、ゲートウェイ１０が対象ＥＣＵに更新用プログラムを渡して制御プログラムの更新を要求すると（図５のステップＳ４）開始される。
　図６を参照して、ゲートウェイ１０のＣＰＵ１１は、対象ＥＣＵに更新処理を要求した後に、図示しないバッテリを制御するＥＣＵから送信されるフレームを監視することによってバッテリ残量ＳｏＣを取得する（ステップＳ１０１）。
　ＣＰＵ１１は、取得したバッテリ残量ＳｏＣと閾値Ｔｈ１とを比較し、バッテリ残量ＳｏＣが閾値Ｔｈ１よりも大きい場合には（ステップＳ１０３でＮＯ）、以降の処理をスキップする。この場合、対象ＥＣＵでの更新処理は続行する。
　バッテリ残量ＳｏＣが閾値Ｔｈ１以下である場合（ステップＳ１０３でＹＥＳ）、ＣＰＵ１１は、さらに、閾値Ｔｈ２と比較する。バッテリ残量ＳｏＣが閾値Ｔｈ１以下であって、閾値Ｔｈ２より大きい場合には（ステップＳ１０５でＮＯ）、ＣＰＵ１１は、停止処理を実行する。すなわち、ＣＰＵ１１は、動作中の処理の中に、更新処理よりも優先度の低い処理があるか否かを確認する。ない場合には（ステップＳ１０７でＮＯ）、ＣＰＵ１１は、以降の処理をスキップする。この場合、対象ＥＣＵでの更新処理は続行する。
　動作中の処理の中に、更新処理よりも優先度の低い処理がある場合（ステップＳ１０７でＹＥＳ）、ＣＰＵ１１は車内通信部１４に、当該処理中のＥＣＵに処理の停止を指示するフレームを送信させる。これにより、該当するＥＣＵでの処理が停止する。また、更新処理よりも優先度の高い処理は、継続する。このとき、該当する処理が複数ある場合、ＣＰＵ１１は、たとえば、優先度の最下位の処理の停止を指示する（ステップＳ１１１）。
　好ましくは、ＣＰＵ１１は、バッテリを制御するＥＣＵから送信されるフレームを監視することによってバッテリの減少速度ΔＷｈを取得し、基準速度Δと比較する。そして、減少速度ΔＷｈが基準速度Δ以上である場合に（ステップＳ１０９でＮＯ）、ＣＰＵ１１は、優先度の最下位の処理の停止を指示する（ステップＳ１１１）。これにより、優先度の最下位の処理が停止する。減少速度ΔＷｈが基準速度Δより小さい場合には（ステップＳ１０９でＹＥＳ）、ＣＰＵ１１は、ステップＳ１１１をスキップする。すなわち、動作中の処理の停止を指示しない。これにより、動作中の処理は継続される。
　ＣＰＵ１１は、以上の処理を、対象ＥＣＵでの更新処理が完了するまで定期的に繰り返す（ステップＳ１１３でＮＯ）。このため、更新処理よりも優先度の低い処理が複数、動作中である場合、これら処理のうちの優先度の低い処理から順に、バッテリ残量ＳｏＣが下限値Ｗｈｍに相当する閾値Ｔｈ２以上となるまで、または、バッテリの減少速度ΔＷｈが基準速度Δよりも小さくなるまで、停止される。
　バッテリ残量ＳｏＣが閾値Ｔｈ２まで減少した場合（ステップＳ１０５でＹＥＳ）、ＣＰＵ１１は車内通信部１４に、対象ＥＣＵに対して更新処理の中断を指示するフレームを送信させる（ステップＳ１１５）。これにより、対象ＥＣＵにおいて中断処理が実行され、更新処理が中断する。
　更新処理が中断された後、ＣＰＵ１１は、バッテリ残量ＳｏＣの監視を続ける。そして、バッテリ残量ＳｏＣが閾値Ｔｈ２より多くなるまで充電が進むと（ステップＳ１１７でＹＥＳ）、ＣＰＵ１１は車内通信部１４に、対象ＥＣＵに対して更新処理の再開を指示するフレームを送信させる（ステップＳ１１９）。これにより、対象ＥＣＵでの更新処理が再開する。更新処理が再開すると、ＣＰＵ１１は、ステップＳ１０１からの処理を、対象ＥＣＵでの更新処理が完了するまで定期的に繰り返す（ステップＳ１１３でＮＯ）。
　［第１の実施の形態の効果］
　上記の更新制御処理は、車両１の停車中にオンライン更新が実行される場合であって、たとえば、車両１内のユーザがエアコンを稼動させたり、動画を再生したりしている場合に実行されることが想定される。この場合、これら動作中の処理によって更新処理の完了までにバッテリ残量が不足すると、対象ＥＣＵでの更新処理が途中で停止するおそれがある。更新処理が途中で停止すると、更新用プログラムが破壊するなどして、制御プログラムの更新自体に失敗する場合もある。
　このような場合に本実施の形態にかかる更新制御処理が実行されることによって、更新処理の完了までに、必要な電力量が不足することが予測される場合、他のＥＣＵの処理が自動的に停止される。これにより、更新処理の完了まで、必要な電力量がバッテリに確保される。その結果、バッテリ不足による更新処理の停止が回避され、完了まで更新処理が実行される。
　なお、このとき、優先度を予め設定しておくことによって、更新処理よりも優先度の低い処理が停止され、優先度の高い処理は停止されない。これにより、ユーザが制御プログラムの更新よりも優先する動作がある場合には当該動作は停止されない。たとえば、エアコンの稼動の優先度を制御プログラムの更新よりも高く設定し、動画の再生を低く設定していた場合、エアコンの稼動は停止せず、動画の再生が停止する。そのため、ユーザの利便性を大きく損なうことがない。
　一方で、優先度が設定されることによって、優先度の高い処理が停止されないために更新処理が完了する前にバッテリ残量が不足する場合もある。上の例ではエアコンの稼動が継続することによって、更新処理の完了よりも前にバッテリ残量が不足する場合がある。このとき、本実施の形態にかかる更新制御処理では、バッテリ残量が中断処理に必要な電力量まで減少すると、バッテリ残量が当該電力量以上に充電されるまで更新処理を中断する。そして、バッテリ残量が当該電力量以上に充電されると、自動的に更新処理を再開する。これにより、バッテリ不足によって更新処理が中断された場合であっても、バッテリ残量が確保された時点で自動的に更新処理が再開されるため、完了まで更新処理が実行される。
　さらに、動作中の処理による電力の消費速度によって、更新処理が完了するまでに、必要な電力量が不足することが予測される場合に他のＥＣＵの処理が停止され、そうでない場合には停止されないことで、必要以上の処理が停止されることがない。そのため、ユーザの利便性を大きく損なうことがない。
　＜第２の実施の形態＞
　第１の実施の形態では、更新処理の実行中にバッテリ残量が更新完了までに必要な電力量が不足すると予測される場合、動作中の処理のうち、所定の選択基準に従って決定された処理が自動的に停止する。他の例として、ユーザが選択した処理を停止してもよい。
　第２の実施の形態において、更新制御部１１１で実行される停止処理は、ユーザから停止する処理の選択を受け付ける処理と、選択された処理を停止する処理と、を含む。このため、好ましくは、更新制御部１１１は、ユーザの指示に従って停止可能な処理を予め記憶しておく。ユーザの指示に従って停止可能な処理は、走行に関わらない処理であって、たとえば、エアコン稼動のための処理や、動画再生のための処理、などである。
　更新処理以外の動作中の処理がユーザの指示に従って停止可能な処理である場合、更新制御部１１１は、当該処理の停止の可否を指示するユーザ操作を受け付けるための表示画面（選択画面）をユーザインタフェース装置７に表示させる。更新処理以外の動作中の処理であって、ユーザの指示に従って停止可能な処理が複数ある場合には、選択画面は、これら複数の処理のうちから停止する処理の選択を受け付ける。更新制御部１１１は選択画面をユーザインタフェース装置７に表示させるために、選択画面の表示を指示するデータを含むフレームを生成し、車内通信部１４にユーザインタフェース装置７を制御するＥＣＵに送信させる。
　図７は、選択画面の一例を示した図である。図７を参照して、選択画面は、更新処理が完了するまでに必要な電力量が不足することが予測されることの通知（電力不足予測通知）に加えて、動作中の処理のうちのユーザの指示に従って停止可能な処理の表示を含む。選択画面は、表示した処理の停止の可否を選択するユーザ操作を受け付ける。図７の例では、選択可能な処理が、動画プレイヤーでの再生処理、音楽プレイヤーでの再生処理、音楽データのダウンロード処理、動画データのダウンロード処理、およびエアコン稼動の処理の複数あり、それぞれについて、停止を指示するユーザ操作（たとえばタッチ）を受け付けることができる。
　好ましくは、更新制御部１１１は、不足する電力量Ｘと、動作中の処理の消費電力量Ａ～Ｅを選択画面に表示する。不足する電力量Ｘは、たとえば、バッテリ残量ＳｏＣから上記の単位時間あたりのバッテリの減少速度ΔＷｈが所要時間Ｔ継続した場合の消費電力量（ΔＷｈ×Ｔ）を減じて算出される。動作中の処理の消費電力量Ａ～Ｅは、当該処理を実行するＥＣＵから送信されるフレームを監視することで得られる単位時間あたりの消費電力を所要時間Ｔに乗じて算出される。選択画面でこれら電力量が表示されることによって、ユーザは、適した処理の停止を指示することができる。
　図８は、第２の実施の形態にかかるプログラム更新システムでの、図５のステップＳ５の更新制御処理の具体例を表したフローチャートである。図８のフローチャートに表された処理もまた、ゲートウェイ１０のＣＰＵ１１が、記憶部１３に記憶された１つまたは複数のプログラムをＲＡＭ１２上に読み出して実行することによって図２に示された各機能を実現することで実行される。なお、図８のフローチャートにおいて、図６のフローチャートと同じ番号が付された動作は、図６のフローチャートで示された動作と同じであるため、説明を繰り返さない。
　第２の実施の形態においては、図８を参照して、バッテリ残量ＳｏＣが閾値Ｔｈ１以下であり、かつ、閾値Ｔｈ２より大きい場合であって（ステップＳ１０３でＹＥＳ、かつ、ステップＳ１０５でＮＯ）、さらに、動作中の処理の中に、更新処理よりも優先度の低い処理がある場合（ステップＳ１０７でＹＥＳ）、ＣＰＵ１１は、その中に、ユーザの指示に従って停止可能な処理があるか否かを確認する。
　好ましくは、ＣＰＵ１１は、バッテリを制御するＥＣＵから送信されるフレームを監視することによってバッテリの減少速度ΔＷｈを取得し、基準速度Δと比較する。そして、減少速度ΔＷｈが基準速度Δ以上である場合に（ステップＳ１０９でＮＯ）、ＣＰＵ１１は、動作中の処理の中にユーザの指示に従って停止可能な処理があるか否かを確認する。
　ユーザの指示に従って停止可能な処理がある場合（ステップＳ２０１でＹＥＳ）、ＣＰＵ１１は車内通信部１４に、当該処理の停止を指示するユーザ操作を受付可能な選択画面（図７）のユーザインタフェース装置７への表示を指示するフレームを、ユーザインタフェース装置７を制御するＥＣＵに送信させる（ステップＳ２０３）。これにより、図７のような選択画面がユーザインタフェース装置７に表示される。
　停止する処理を選択するユーザ操作を受け付けると（ステップＳ２０５でＹＥＳ）、ＣＰＵ１１は車内通信部１４に、選択された処理を実行中のＥＣＵに処理の停止を指示するフレームを送信させる（ステップＳ２０７）。これにより、選択された処理が停止する。
　［第２の実施の形態の効果］
　第２の実施の形態にかかる更新制御処理が実行されることによって、更新処理の完了までにバッテリ残量が不足することが予測される場合に、動作中の処理のうちの、ユーザの選択した処理が停止される。これにより、バッテリ不足による更新処理の停止が回避され、完了まで更新処理が実行されるとともに、ユーザの意図しない処理が停止することを防止できる。
　＜第３の実施の形態＞
　第１の実施の形態および第２の実施の形態にかかるプログラム更新システムでは、更新処理の実行中に動作している、更新処理以外の処理を停止することによって、更新処理の完了までに、必要な電力量が不足することを防止するものとしている。すなわち、これら実施の形態にかかる更新制御処理では、更新処理をその他の処理よりも優先している。更新制御処理の他の例として、その他の処理を更新処理よりも優先してもよい。第３の実施の形態にかかる更新制御処理では、その他の処理を更新処理よりも優先する。
　制御プログラムの更新は、一連のタイミングで行われる複数の部分的な更新処理を含む場合がある。複数の部分的な更新処理は、たとえば、制御プログラムの機能単位で独立した更新や、データ単位で独立した更新を含む。この場合、更新処理は、機能単位や、データ単位などの部分的な更新処理ごとに独立して行うことができる。
　そこで、第３の実施の形態では、更新処理の実行中にバッテリ残量が更新完了までに必要な電力量が不足すると予測される場合に動作中の処理のうちの更新処理の、部分的な更新処理を中断する。
　第３の実施の形態において、更新制御部１１１は、第１の実施の形態と同様に、複数の部分的な更新処理のうちから優先度などの所定の選択基準に従って決定された処理を、自動的に中断してもよい。この場合、第１の実施の形態と同様に、更新制御部１１１は、部分的な更新処理ごとに設定された優先度を予め記憶しておき、優先度の低い順に部分的な更新処理の中断を対象ＥＣＵに指示する。この場合の更新制御処理の流れは、図６のフローチャートと概ね同じである。
　または、更新制御部１１１は、第２の実施の形態と同様に、複数の部分的な更新処理のうちの、ユーザの指示に従って中断が可能な処理について、ユーザ操作を受け付けるための選択画面をユーザインタフェース装置７に表示させて、中断する処理の選択を受け付ける。そして、更新制御部１１１は、複数の部分的な更新処理のうちの選択された処理の中断を対象ＥＣＵに指示する。この場合の更新制御処理の流れは、図８のフローチャートと概ね同じである。
　図９は、第３の実施の形態での選択画面の一例を示した図である。図９を参照して、第３の実施の形態にかかる選択画面は、図７の第２の実施の形態にかかる選択画面と同様に、電力不足予測通知に加えて、処理中の更新処理のうちのユーザの指示に従って中断可能な部分的な更新処理の表示を含む。図９の例では、部分的な更新処理は機能ごとの更新処理であって、機能１～５それぞれの更新処理について、中断を指示するユーザ操作（たとえばタッチ）を受け付けることができる。なお、図９の選択画面で更新を中断する機能を選択させる際に、選択可能な機能の単位は、同時更新が必須でない機能の単位とする。
　好ましくは、更新制御部１１１は、不足する電力量Ｘと、部分的な更新処理ごとの消費電力量Ｍ～Ｐを選択画面に表示する。部分的な更新処理ごとの消費電力量Ｍ～Ｐは、管理サーバ５から得られる当該部分的な更新処理に要する更新用プログラムのデータサイズｓと、対象ＥＣＵのデータの書き込み速度ｖとから得られる、当該部分的な更新処理の所要時間ｔ（ｔ＝ｓ／ｖ）に、予め記憶している当該対象ＥＣＵでの単位時間あたりの消費電力ｐを乗じて算出することができる。
　［第３の実施の形態の効果］
　第３の実施の形態にかかる更新制御処理が実行されることによって、更新処理の完了までにバッテリ残量が不足することが予測される場合に、更新処理が部分的に中断される。これにより、バッテリ不足による更新処理の停止が回避される。
　さらに、第３の実施の形態にかかるプログラム更新システムでは、更新処理の完了までにバッテリ残量が不足することが予測される場合に、動作中の処理のうちの、更新処理よりも他の処理が優先される。このため、ユーザが、たとえばエアコンの稼動や動画の再生などの他の処理の方を優先したい場合には、これら処理を停止させることなく、更新処理のうちのバッテリ残量で処理可能な部分が実行され、バッテリ不足となる部分の更新処理が中断される。これにより、ユーザの利便性を損なうことがない。
　＜第４の実施の形態＞
　第１、第２の実施の形態、および、第３の実施の形態を組み合わせてもよい。すなわち、更新処理の実行中にバッテリ残量が更新完了までに必要な電力量が不足すると予測される場合、更新処理とその他の処理とのいずれの処理を優先するかを選択するユーザ操作を受け付ける。すなわち、更新制御部１１１は、判定部１１３の判定結果が上記第３の判定結果であった場合（ステップＳ１０５でＮＯ）、たとえば、「制御プログラムの更新を優先しますか？」などの、更新処理とその他の処理とのいずれの処理を優先するかを選択するユーザ操作を受け付けるための選択画面をユーザインタフェース装置７に表示させて、選択を受け付ける。そして、更新制御部１１１は、その選択結果に応じて第１、第２の実施の形態の更新制御処理、または第３の実施の形態の更新制御処理を実行してもよい。
　これにより、バッテリ不足による更新処理の停止が回避されるとともに、ユーザの意図しない処理が停止することを防止できる。
　なお、以上の第１の実施の形態～第４の実施の形態では、制御プログラムの更新処理をメインの処理として、当該処理をバッテリ不足によって停止させないためにその他の処理、または当該処理の一部を停止または中断させるものとしているが、メインの処理は更新処理に限定されず、他の処理であってもよい。つまり、動作中の複数の処理がある場合に、ある１つの処理をメインの処理として、当該メインの処理が完了する時点においてバッテリ残量が不足することが予測される場合に、当該メインの処理以外の処理、または、当該メインの処理の一部を、所定の選択基準に従って自動的に、または、ユーザ操作に従って停止、もしくは、中断してもよい。
　開示された特徴は、１つ以上のモジュールによって実現される。たとえば、当該特徴は、回路素子その他のハードウェアモジュールによって、当該特徴を実現する処理を規定したソフトウェアモジュールによって、または、ハードウェアモジュールとソフトウェアモジュールとの組み合わせによって実現され得る。
　上述の動作をコンピュータに実行させるための、１つ以上のソフトウェアモジュールの組み合わせであるプログラムとして提供することもできる。このようなプログラムは、コンピュータに付属するフレキシブルディスク、ＣＤ－ＲＯＭ（Compact　Disk-Read　Only　Memory）、ＲＯＭ、ＲＡＭおよびメモリカードなどのコンピュータ読取り可能な記録媒体にて記録させて、プログラム製品として提供することもできる。あるいは、コンピュータに内蔵するハードディスクなどの記録媒体にて記録させて、プログラムを提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
　なお、本開示にかかるプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本開示にかかるプログラムに含まれ得る。
　また、本開示にかかるプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本開示にかかるプログラムに含まれ得る。提供されるプログラム製品は、ハードディスクなどのプログラム格納部にインストールされて実行される。なお、プログラム製品は、プログラム自体と、プログラムが記録された記録媒体とを含む。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　車両
　２　広域通信網
　４　車内ネットワーク
　５　管理サーバ
　６　ＤＬサーバ
　７　ユーザインタフェース装置
　１０　ゲートウェイ（制御装置）
　１１　ＣＰＵ
　１２　ＲＡＭ
　１３　記憶部
　１４　車内通信部
　１５　無線通信部
　１６　車内通信線
　３０　ＥＣＵ（車載制御装置）
　３１　ＣＰＵ
　３２　ＲＡＭ
　３３　記憶部
　３４　通信部
　３５　起動部
　５１　ＣＰＵ
　５２　ＲＯＭ
　５３　ＲＡＭ
　５４　記憶部
　５５　通信部
　１１１　更新制御部（制御部）
　１１２　取得部
　１１３　判定部
　１１４　設定部

Claims (10)

  1. 　複数の車載制御装置と車内通信線を介して通信する制御装置であって、
    　前記複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、
    　前記複数の車載制御装置のうちの１つである対象装置での処理の完了時点における前記バッテリの予測電力量が第１の閾値未満である場合に、前記処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部と、を備える、制御装置。
  2. 　前記対象装置での処理は、車両の停車中における制御プログラムの更新処理である、請求項１に記載の制御装置。
  3. 　前記他の車載制御装置での処理が複数、並行して実行されている場合、前記制御部は、処理ごとに設定されている優先度に従って、複数の前記処理の中から停止させる処理を決定する、請求項１または請求項２に記載の制御装置。
  4. 　前記他の車載制御装置での処理が複数、並行して実行されている場合、前記制御部は、停止する処理を選択するユーザ操作に従って、複数の前記処理の中から停止させる処理を決定する、請求項１または請求項２に記載の制御装置。
  5. 　前記制御部は、さらに、前記バッテリの減少速度が以下の基準速度よりも速い場合に、前記他の車載制御装置に前記処理の停止を指示する、請求項１～請求項４のいずれか１項に記載の制御装置。
    　　基準速度：前記対象装置での前記処理の完了時点までに、前記バッテリの電力量が前記第１の閾値に相当する電力量まで減少する速度
  6. 　前記第１の閾値は、前記対象装置での前記処理を中断する処理に必要な電力量に所定のマージンを付加した値である、請求項１～請求項５のいずれか１項に記載の制御装置。
  7. 　前記制御部は、前記バッテリの電力量が、前記第１の閾値よりも大きい第２の閾値よりも小さい場合に、前記他の車載制御装置を停止させる指示を行う、請求項１～請求項６のいずれか１項に記載の制御装置。
  8. 　前記第２の閾値は、前記対象装置での前記処理の完了までに必要な電力量に所定のマージンを付加した値である、請求項７に記載の制御装置。
  9. 　複数の車載制御装置と車内通信線を介して通信する制御装置による、前記車載制御装置の制御方法であって、
    　前記複数の車載制御装置に電力供給するバッテリの電力量を取得するステップと、
    　前記複数の車載制御装置のうちの１つである対象装置での処理の完了時点における前記バッテリの予測電力量が閾値未満である場合に、前記処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示するステップと、を備える、制御方法。
  10. 　複数の車載制御装置と車内通信線を介して通信する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、
    　前記コンピュータを、
    　前記複数の車載制御装置に電力供給するバッテリの電力量を取得する取得部と、
    　前記複数の車載制御装置のうちの１つである対象装置での処理の完了時点における前記バッテリの予測電力量が閾値未満である場合に、前記処理と並行して実行されている他の車載制御装置での処理を停止するように当該他の車載制御装置に指示する制御部、として機能させる、コンピュータプログラム。
PCT/JP2018/020272 2017-08-16 2018-05-28 制御装置、制御方法、およびコンピュータプログラム WO2019035259A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201880052867.8A CN111032439B (zh) 2017-08-16 2018-05-28 控制设备、控制方法和非暂时性计算机可读存储介质
DE112018004181.6T DE112018004181T5 (de) 2017-08-16 2018-05-28 Steuereinrichtung, Steuerverfahren und Computerprogramm
US16/628,401 US11288156B2 (en) 2017-08-16 2018-05-28 Control apparatus, control method, and computer program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017157191A JP6881150B2 (ja) 2017-08-16 2017-08-16 制御装置、制御方法、およびコンピュータプログラム
JP2017-157191 2017-08-16

Publications (1)

Publication Number Publication Date
WO2019035259A1 true WO2019035259A1 (ja) 2019-02-21

Family

ID=65362362

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/020272 WO2019035259A1 (ja) 2017-08-16 2018-05-28 制御装置、制御方法、およびコンピュータプログラム

Country Status (5)

Country Link
US (1) US11288156B2 (ja)
JP (1) JP6881150B2 (ja)
CN (1) CN111032439B (ja)
DE (1) DE112018004181T5 (ja)
WO (1) WO2019035259A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7143625B2 (ja) * 2018-05-09 2022-09-29 株式会社デンソー 車載通信装置
JP6742381B2 (ja) * 2018-10-15 2020-08-19 本田技研工業株式会社 車両制御装置、車両制御方法、およびプログラム
JP6943903B2 (ja) * 2019-02-22 2021-10-06 本田技研工業株式会社 ソフトウェア更新装置、車両及びソフトウェア更新方法
KR20210133599A (ko) * 2020-04-29 2021-11-08 현대자동차주식회사 차량의 무선 업데이트 장치 및 그 방법
JP7320547B2 (ja) * 2021-03-19 2023-08-03 本田技研工業株式会社 プログラム更新制御装置、プログラム更新制御方法、及びプログラム
JP7476844B2 (ja) * 2021-04-23 2024-05-01 株式会社デンソー 車両の電源制御方法、及び車両のコンピュータプログラム
WO2023068019A1 (ja) * 2021-10-20 2023-04-27 株式会社小糸製作所 車両システム
WO2023089652A1 (ja) * 2021-11-16 2023-05-25 三菱電機株式会社 車両用制御装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012017719A1 (ja) * 2010-08-03 2012-02-09 本田技研工業株式会社 車両用プログラム書換えシステム
JP2015051695A (ja) * 2013-09-06 2015-03-19 日立オートモティブシステムズ株式会社 自動車用電子制御装置
JP2016088262A (ja) * 2014-11-04 2016-05-23 三菱電機株式会社 電子機器

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1581406A2 (en) * 2003-01-06 2005-10-05 Johnson Controls Technology Company Battery management system
JP5975964B2 (ja) * 2013-10-18 2016-08-23 富士通株式会社 情報処理プログラム、情報処理方法、情報処理装置、及び情報処理システム
US10310838B2 (en) * 2014-06-18 2019-06-04 Hitachi Automotive Systems, Ltd. Vehicle-mounted program writing device
JP5997740B2 (ja) 2014-09-17 2016-09-28 クラリオン株式会社 車載機のオンライン更新方法
JP6498530B2 (ja) * 2015-05-29 2019-04-10 日立オートモティブシステムズ株式会社 車載制御装置
CN105631052A (zh) 2016-03-01 2016-06-01 北京百度网讯科技有限公司 基于人工智能的检索方法和装置
US10042629B2 (en) * 2016-07-28 2018-08-07 GM Global Technology Operations LLC Remote vehicle update installation scheduling
JP6696468B2 (ja) * 2016-08-30 2020-05-20 株式会社オートネットワーク技術研究所 車載更新装置及び車載更新システム
JP6642393B2 (ja) * 2016-11-28 2020-02-05 株式会社オートネットワーク技術研究所 車載更新システム
KR20180084198A (ko) * 2017-01-16 2018-07-25 현대자동차주식회사 차량의 소프트웨어 업데이트 장치 및 방법

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012017719A1 (ja) * 2010-08-03 2012-02-09 本田技研工業株式会社 車両用プログラム書換えシステム
JP2015051695A (ja) * 2013-09-06 2015-03-19 日立オートモティブシステムズ株式会社 自動車用電子制御装置
JP2016088262A (ja) * 2014-11-04 2016-05-23 三菱電機株式会社 電子機器

Also Published As

Publication number Publication date
DE112018004181T5 (de) 2020-04-30
CN111032439B (zh) 2023-04-11
JP6881150B2 (ja) 2021-06-02
JP2019036140A (ja) 2019-03-07
CN111032439A (zh) 2020-04-17
US11288156B2 (en) 2022-03-29
US20200133812A1 (en) 2020-04-30

Similar Documents

Publication Publication Date Title
JP6881150B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6566144B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6501040B2 (ja) 制御装置
JP6525109B2 (ja) 制御装置、転送方法、およびコンピュータプログラム
JP6897417B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
WO2018079004A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6620891B2 (ja) 中継装置、中継方法、およびコンピュータプログラム
WO2017149821A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
WO2018230314A1 (ja) 制御装置、制御方法、およびコンピュータプログラム
WO2019030984A1 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6358286B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP2019036017A (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6907803B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP7279707B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP7236652B2 (ja) 車両および情報出力装置
JP2023083916A (ja) モジュール配信システム、サーバ、車両、およびモジュール配信方法
JP2023160285A (ja) 車載情報処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18845656

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 18845656

Country of ref document: EP

Kind code of ref document: A1