WO2024096088A1 - 制御装置、制御方法、及び制御プログラム - Google Patents

制御装置、制御方法、及び制御プログラム Download PDF

Info

Publication number
WO2024096088A1
WO2024096088A1 PCT/JP2023/039530 JP2023039530W WO2024096088A1 WO 2024096088 A1 WO2024096088 A1 WO 2024096088A1 JP 2023039530 W JP2023039530 W JP 2023039530W WO 2024096088 A1 WO2024096088 A1 WO 2024096088A1
Authority
WO
WIPO (PCT)
Prior art keywords
server
software
vehicle
processor
mode
Prior art date
Application number
PCT/JP2023/039530
Other languages
English (en)
French (fr)
Inventor
祐 木本
康明 青木
友一 坂野
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Publication of WO2024096088A1 publication Critical patent/WO2024096088A1/ja

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates

Definitions

  • This disclosure relates to a control device, a control method, and a control program.
  • JP 2022-016517 A discloses that a server updates the autonomous driving control software of an information processing device over the air (OTA) in response to a request from a service provider.
  • OTA information processing device over the air
  • JP 2022-016517 A when OTA is performed only between a server and a vehicle, which is an example of a moving body, the vehicle's ECU (Electronic Control Unit) must access the server during OTA. In this case, for example, if the communication environment between the server and the vehicle is poor, OTA cannot be performed, and a situation may arise in which software running in the vehicle cannot be updated.
  • ECU Electronic Control Unit
  • the present disclosure aims to provide a control device, control method, and control program that allows a mobile object to download new software via another communication device without the mobile object having to directly access a server.
  • the control device has a processor mounted on a mobile object, and the processor is a control device that, in a first mode in which a server and the mobile object communicate with each other, downloads software from the server, and, in a second mode in which the mobile object communicates with a communication device different from the server, downloads the software downloaded from the server to the communication device from the communication device.
  • the control method executes a process in which at least one processor mounted on a mobile body downloads software from a server in a first mode in which the mobile body communicates with a server, and in a second mode in which the mobile body communicates with a communication device different from the server, downloads the software downloaded from the server to the communication device from the communication device.
  • the control program causes at least one processor mounted on a mobile object to execute processing including downloading software from a server in a first mode in which the mobile object communicates with a server, and downloading, from the communication device, the software downloaded from the server to the communication device in a second mode in which the mobile object communicates with a communication device different from the server.
  • the present disclosure has the advantage that new software can be downloaded to a mobile object via another communication device without the mobile object having to directly access a server.
  • FIG. 1 is a configuration diagram of a vehicle control system according to a first embodiment.
  • FIG. 1 is a diagram for explaining a first embodiment.
  • FIG. 2 is a configuration diagram showing a hardware configuration of each ECU according to the first embodiment.
  • 4 is a flowchart of a first control process according to the first embodiment.
  • 6 is a flowchart of a second control process according to the first embodiment.
  • 13 is a flowchart of a third control process according to the third embodiment.
  • a vehicle control system 10 of the first embodiment includes a server 12 and a plurality of vehicles 14X, 14A, 14B, and 14C.
  • Each of the plurality of vehicles 14X, 14A, 14B, and 14C includes an ECU.
  • the server 12 and the multiple vehicles 14X, 14A, 14B, and 14C are connected to each other so that they can communicate with each other via a network 16.
  • the communication environment between the server 12 and the multiple vehicles 14X, 14A, 14B, and 14C may be poor, and each of the multiple vehicles 14X, 14A, 14B, and 14C may be unable to communicate with the server 12.
  • any one of the multiple vehicles 14X, 14A, 14B, and 14C may simply be referred to as "vehicle 14."
  • the vehicle 14 acquires the new software program via another communication device (e.g., an ECU of another vehicle, a mobile terminal, or a personal computer, etc.) different from the server 12.
  • another communication device e.g., an ECU of another vehicle, a mobile terminal, or a personal computer, etc.
  • Examples of cases in which the communication environment between the server 12 and the vehicle 14 is poor include cases in which communication between the server 12 and the vehicle 14 is impossible or the time required for communication is extremely long.
  • the vehicle 14 when the communication environment between the vehicle 14 and the server 12 that performs the OTA is good (hereinafter also referred to simply as the "first mode"), the vehicle 14 performs OTA with the server 12 and downloads a new program.
  • the vehicle 14 can download and install new programs into the vehicle via other communication devices.
  • the first mode is a mode in which communication between the server 12 and the vehicle 14 is possible.
  • the second mode is a mode in which communication between the server 12 and the vehicle 14 is restricted.
  • the other communication device is an ECU mounted on a vehicle, but the communication device is not limited to the vehicle's ECU and may be any unit that has communication functions and a storage medium.
  • the other communication device may be a mobile terminal or a personal computer, etc.
  • the ECU of vehicle 14 installs or activates the new program within itself.
  • installing a program means storing the program in a non-volatile memory (not shown) and making it executable.
  • Activating a program means enabling the functions realized by executing the program.
  • FIG. 3 is a block diagram showing the hardware configuration of the ECU provided in each of the multiple vehicles 14X, 14A, 14B, and 14C. As shown in FIG. 3, each ECU of the vehicles 14X, 14A, 14B, and 14C includes a controller 40.
  • the controller 40 includes a CPU (Central Processing Unit) 40A, a ROM (Read Only Memory) 40B, a RAM (Random Access Memory) 40C, and an input/output interface (I/O) 40D.
  • the CPU 40A, ROM 40B, RAM 40C, and I/O 40D are connected to each other via a bus 40E.
  • the bus 40E includes a control bus, an address bus, and a data bus.
  • a communication unit 41 and a memory unit 42 are connected to the I/O 40D.
  • the communication unit 41 is an interface for performing data communication with external devices such as the server 12 and other ECUs, etc.
  • the storage unit 42 is configured, for example, with a non-volatile memory. As shown in FIG. 3, the storage unit 42 stores the control program 42A and the like.
  • CPU 40A is an example of a computer.
  • the term computer here refers to a processor in a broad sense, and includes a general-purpose processor (e.g., a CPU) or a dedicated processor (e.g., a GPU: Graphics Processing Unit, an ASIC: Application Specific Integrated Circuit, an FPGA: Field Programmable Gate Array, a programmable logic device, etc.).
  • a general-purpose processor e.g., a CPU
  • a dedicated processor e.g., a GPU: Graphics Processing Unit
  • an ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • programmable logic device e.g., a programmable logic device, etc.
  • the control program 42A may be stored in a non-volatile, non-transient recording medium or distributed via a network and installed in the ECU as appropriate.
  • non-volatile, non-transient recording media examples include CD-ROMs (Compact Disc Read Only Memory), optical magnetic disks, HDDs (hard disk drives), DVD-ROMs (Digital Versatile Disc Read Only Memory), flash memory, and memory cards.
  • the server 12 also has a hardware configuration similar to that shown in FIG. 3.
  • FIG. 4 is a flowchart of the first control process executed by each vehicle in the first mode. Note that the following description will be given taking as an example a case in which the ECU 18X of the vehicle 14X executes the first control process of FIG. 4.
  • step S100 the ECU 18X of the vehicle 14X downloads a new program via OTA and temporarily stores it in its own memory unit (not shown).
  • step S102 the ECU 18X of the vehicle 14X verifies the program downloaded in step S100.
  • Program verification involves verifying whether the program is intended for the ECU 18X, whether the program operates properly, and whether the program is infected with a virus.
  • the ECU 18X of the vehicle 14X then installs the verified program into itself.
  • step S104 ECU 18X of vehicle 14X activates the new program.
  • the first control process shown in FIG. 4 can be executed by each of the multiple vehicles 14X, 14A, 14B, and 14C.
  • vehicle 14X has already executed the flowchart in FIG. 4 and vehicle 14A is in the second mode.
  • the ECU 18X of the vehicle 14X transmits a trigger signal indicating a program update trigger to the ECU 18A of the vehicle 14A. Note that the ECU 18X of the vehicle 14X and the ECU 18A of the vehicle 14A transmit and receive data via vehicle-to-vehicle communication.
  • ECU 18A of vehicle 14A receives a trigger signal transmitted from ECU 18X of vehicle 14X.
  • the trigger signal includes version information of the new program and a group ID representing the group of vehicles in which the program should be installed.
  • a group of vehicles is, for example, a group representing a type of vehicle or a group representing vehicles managed by the same management entity (for example, the same management company).
  • step S202 ECU 18A of vehicle 14A determines whether the group to which vehicle 14X belongs corresponds to the group to which vehicle 14A belongs. For example, ECU 18A of vehicle 14A determines whether the group ID included in the trigger signal is the same as the group ID of the group to which vehicle 14A belongs. If the group ID of vehicle 14A and the group ID of vehicle 14X are the same, the process proceeds to step S204. On the other hand, if the group ID of vehicle 14A and the group ID of vehicle 14X are not the same, the control process ends. In this way, the new program is installed only if the new program is intended for the vehicle itself.
  • step S204 ECU 18A of vehicle 14A compares the version information of the new program contained in the trigger signal with the version information of the program currently running on its own vehicle 14A, and determines whether the program to be installed is a newer version than the current program. If the program to be installed is a newer version than the current program, it proceeds to step S206. On the other hand, if the program to be installed is not a newer version than the current program, the second control process is terminated. Therefore, the new program is installed only if the program to be installed is a newer version than the current program.
  • step S206 ECU 18A of vehicle 14A transmits a request signal to ECU 18X of vehicle 14X to request the provision of a new program.
  • step S208 ECU 18A of vehicle 14A downloads the new program from vehicle 14X via vehicle-to-vehicle communication and installs the program into itself without verifying the program. This is because the program has already been verified in vehicle 14X.
  • the vehicle control system 10 of the first embodiment can be used, for example, when updating the programs of vehicles operating in mines or mountainous areas with poor communication environments.
  • each of multiple vehicles 14X, 14A, 14B, and 14C e.g., vehicles used in mines, etc.
  • an environment e.g., a mine, etc.
  • vehicle 14X moves to a location where it can communicate with the server 12, and downloads, verifies, installs, and activates a new program via OTA.
  • vehicle 14X After vehicle 14X downloads the new program in a communication-enabled environment, vehicle 14X moves to a location where multiple vehicles 14A, 14B, and 14C are located, in other words, to a location where it can communicate with each of vehicles 14A, 14B, and 14C. Then, ECU 18X of vehicle 14X outputs a trigger signal to each ECU of multiple vehicles 14A, 14B, and 14C notifying them that the new program has been downloaded. Each of multiple vehicles 14A, 14B, and 14C downloads the new program via ECU 18X of vehicle 14X.
  • the vehicle can obtain new programs via other communication devices.
  • vehicle 14X provides a new program to vehicles 14A, 14B, and 14C.
  • a mobile terminal which is a mobile communication device, may download a new program and provide the program to vehicles 14A, 14B, and 14C via the mobile terminal.
  • the vehicle ECU of the vehicle control system of the first embodiment has a processor mounted on the vehicle, which is an example of a moving body, and in a first mode in which the server and the vehicle communicate, the processor downloads a program from a memory unit (not shown) of the server.
  • the processor of the vehicle ECU downloads from the other vehicle a program that has been pre-downloaded from the server to the other vehicle. This allows a new program to be downloaded to the vehicle via the other communication device without the vehicle having to directly access the server. Also, even if the communication environment between the vehicle and the server is poor and it is difficult to implement OTA, the vehicle can obtain a new program via the other communication device.
  • the program can be updated appropriately by downloading the program after the vehicle's ECU confirms that the program version is new.
  • Second Embodiment Next, a second embodiment will be described.
  • the same parts of the second embodiment as those of the first embodiment are denoted by the same reference numerals, and detailed description thereof will be omitted.
  • the vehicle control system of the second embodiment is similar to that of the first embodiment, and detailed description thereof will be omitted.
  • the second embodiment differs from the first embodiment in that the quality of the communication environment is not taken into consideration.
  • each of the vehicles belonging to the same group acquires the new program via other vehicles that have already downloaded the new program, thereby reducing the number of vehicles accessing the server at the same time.
  • a group may refer to a group or vehicle type that is managed by the same management entity (e.g., a taxi company or a car sharing company, etc.).
  • the other multiple vehicles 14A, 14B, 14C belonging to the same group obtain the new program via the vehicle 14X.
  • the communication device that downloads the program is not limited to other vehicles, and may be any unit that has communication functions and a storage medium.
  • the ECU 18X of vehicle 14X executes the control process shown in FIG. 4 above, and downloads, verifies, installs, and activates new programs via OTA with the server 12.
  • the ECUs of the multiple vehicles 14A, 14B, and 14C each execute the control process shown in FIG. 5 above, and download the new program via the ECU 18X of the vehicle 14X. This prevents the multiple vehicles 14X, 14A, 14B, and 14C from accessing the server 12 all at once, thereby reducing the processing load on the server 12.
  • the vehicle ECU of the vehicle control system of the second embodiment has a processor mounted on the vehicle, which is an example of a mobile body, and in a first mode in which the server and the vehicle communicate, the processor downloads a program from the server's memory unit (not shown).
  • the processor of the vehicle's ECU downloads from the other vehicle a program that has been previously downloaded from the server to the other vehicle. This allows a new program to be downloaded to the vehicle via the other communication device without the vehicle having to directly access the server.
  • the download and installation of new programs for vehicles belonging to the same group can be appropriately managed.
  • the second embodiment is also preferable from the viewpoint of managing the downloading and installation of new programs to vehicles belonging to the same group.
  • it may be preferable to update the programs of the vehicles as simultaneously as possible. Therefore, according to the second embodiment, the downloading and installation of new programs to vehicles belonging to the same group can be appropriately managed.
  • the vehicle e.g., taxi or shared car
  • the timing of downloading and installing a new program in OTA may be separated. This can reduce losses due to missed business opportunities.
  • programs are provided between vehicles belonging to the same group, so that new programs can be downloaded to the vehicle's ECU without performing OTA with the server.
  • the third embodiment differs from the first and second embodiments in that the ECU of the vehicle 14 searches for target devices (e.g., a server, an ECU mounted on the vehicle, a mobile terminal, a personal computer, etc.) that hold a new program to be downloaded, and acquires the new program from the searched target devices.
  • target devices e.g., a server, an ECU mounted on the vehicle, a mobile terminal, a personal computer, etc.
  • candidates for target devices include, for example, the server 12 and other communication devices (e.g., an ECU mounted on the vehicle, a mobile terminal, a personal computer, etc.).
  • the target device may be any unit that has a communication function and a storage medium.
  • step S300 the ECU 18A of the vehicle 14A searches to see whether there is a target device with which it can communicate within a predetermined range around the vehicle 14A.
  • step S302 the ECU 18A of the vehicle 14A determines whether or not there is a target device with which communication is possible within a predetermined range around the vehicle 14A. If there is a target device with which communication is possible, the process proceeds to step S304. On the other hand, if there is no target device with which communication is possible, the third control process is terminated.
  • step S304 ECU 18A of vehicle 14A determines whether the communicable target device holds a program of the same group as vehicle 14A. If the communicable target device holds a program of the same group as vehicle 14A, the process proceeds to step S306. If the communicable communication device does not hold a program of the same group as vehicle 14A, the third control process is terminated.
  • step S306 the ECU 18A of the vehicle 14A determines whether the searched target device holds a new program for the vehicle 14A. If the target device holds a new program for the vehicle 14A, the process proceeds to step S308. On the other hand, if the target device does not hold a new program for the vehicle 14A, the third control process is terminated.
  • step S308 if there are multiple target devices and each of them holds a new program for vehicle 14A, ECU 18A of vehicle 14A selects one target device from the multiple target devices.
  • step S310 ECU 18A of vehicle 14A transmits a request signal to the target device selected in step S308, requesting the provision of a new program.
  • step S312 the ECU 18A of the vehicle 14A downloads the new program through communication processing with the target device selected in step S308.
  • the searched target devices include the server 12
  • the ECU 18A of the vehicle 14A downloads a new program from the server 12 in the first mode.
  • the searched target devices do not include the server 12 and are other communication devices
  • the ECU 18A downloads a new program from the other communication devices in the second mode.
  • step S314 when installing a new program, the ECU 18A of the vehicle 14A outputs information inquiring whether or not to perform the installation immediately. Specifically, the ECU 18A of the vehicle 14A presents information inquiring whether or not to perform the installation immediately to the user of the vehicle 14A. For example, the ECU 18A of the vehicle 14A controls a display unit (not shown) or an audio output device (not shown) in the vehicle 14A to output information inquiring whether or not to perform the installation immediately. Alternatively, the ECU 18A of the vehicle 14A may control a mobile terminal operated by the user to output information inquiring whether or not to perform the installation immediately.
  • step S316 ECU 18A of vehicle 14A receives an instruction signal input by the user and determines whether the instruction signal is an instruction to install. If the instruction signal input by the user represents an instruction to install, the process proceeds to step S318. On the other hand, if the instruction signal input by the user does not represent an instruction to install, the third control process ends. For example, the user performs an operation to instruct installation or an operation to instruct not to install in response to inquiry information displayed on a touch panel, which is an example of a display unit (not shown) in vehicle 14A.
  • step S316 If it is determined in step S316 that the new program will not be installed, the new downloaded program will be installed after a predetermined time has elapsed or in response to a user instruction.
  • step S318 the ECU 18A of the vehicle 14A installs the new program received in step S312.
  • the ECU of the vehicle in the vehicle control system of the third embodiment searches for target devices that can communicate with the vehicle from the server and multiple other communication devices. Then, if the searched target devices include the server, the ECU of the vehicle in the vehicle control system downloads a program from the server in a first mode. If the searched target devices do not include the server and the searched target device is another communication device, the ECU of the vehicle downloads a program from that communication device in a second mode. This allows a new program to be downloaded to the vehicle via the other communication device without the vehicle having to directly access the server. Also, even if the communication environment between the vehicle and the server is poor and it is difficult to perform OTA, the vehicle can obtain a new program via the other communication device.
  • a new program when a new program is acquired from a mobile target device (e.g., the vehicle ECU, a mobile terminal, or a personal computer), the program is not installed immediately, but is installed only when there is permission (or instruction) from the user.
  • a mobile target device e.g., the vehicle ECU, a mobile terminal, or a personal computer
  • the program is not installed immediately, but is installed only when there is permission (or instruction) from the user.
  • a communication device having the new program is searched for, and the new program is downloaded from the communication device, but is installed only when there is permission from the user. This makes it possible to prevent taxis or shared cars, which are vehicles belonging to the same group, from becoming immediately unusable at the time a new program is acquired, and to suppress situations in which business opportunities are lost and losses are incurred.
  • the moving body is a vehicle, but this is not limited to this.
  • the moving body may be any type, and each of the above embodiments may be applied to, for example, a mobile robot.
  • the vehicle's ECU may install a program that indicates the differences from a program that is already running. This allows the program to be installed efficiently.
  • the vehicle's ECU may cause an output device to output the time required for installation when installing the new program.
  • the vehicle's ECU may control an in-vehicle display device (not shown) or audio output device (not shown), which are examples of output devices, to output the time required for installation.
  • the vehicle's ECU may control a mobile terminal operated by the user, which is an example of an output device, to output the time required for installation. This allows the user to instruct the ECU whether or not to install the new program depending on the time required for installation.
  • the vehicle's ECU may also be capable of assigning a group ID to the vehicle.
  • the vehicle's ECU may acquire information representing a group ID input by a user operating an in-vehicle device (not shown) or a mobile terminal (not shown), and assign a group ID to the vehicle.
  • a car sharing company or taxi company can assign the same or corresponding group IDs to multiple vehicles that they manage. This makes it easier to manage multiple vehicles. For example, as in the second embodiment above, it is possible to manage multiple vehicles to which new programs can be downloaded and installed.
  • the ECU of the vehicle may acquire information on the vehicle's operation plan and determine whether to start the installation according to the information on the vehicle's operation plan. For example, if the target vehicle is scheduled to operate from 9:00 to 17:00 on Monday to Friday, the ECU of the target vehicle may install the new program avoiding those time periods. For example, if the target vehicle is a taxi or a shared car, the installation can be avoided during the time period when the target vehicle is operating, thereby preventing a situation in which business opportunities are lost and losses are incurred. In this case, the ECU of the vehicle does not immediately install the new program when it is downloaded, but determines whether to start the installation according to the information on the vehicle's operation plan.
  • control unit and the method described in the present disclosure may be realized by a special-purpose computer having a processor programmed to execute one or more functions embodied in a computer program.
  • the device and the method described in the present disclosure may be realized by a special-purpose computer having a processor configured with dedicated hardware logic circuits.
  • the device and the method described in the present disclosure may be realized by one or more special-purpose computers configured by a combination of a processor that executes a computer program and one or more hardware logic circuits.
  • the computer program may be stored on a computer-readable non-transient tangible recording medium as instructions executed by the computer.
  • Control device (18A). The processor, searching the server and the plurality of communication devices for a target device capable of communicating with the mobile object; downloading the software from the server in the first mode if the server is included in the searched target devices; downloading the software from the communication device in the second mode when the server is not included in the searched target devices and the searched target devices are the communication devices; 2.
  • the control device of claim 1 (Appendix 3) the first mode is a mode in which communication between the server and the mobile object is possible; The second mode is a mode in which communication between the server and the mobile object is restricted. 3.
  • the control device according to claim 1 or 2. (Appendix 4) The processor, determining whether the discovered target device has new software for the mobile unit; transmitting a request signal to the target device determined to have new software for the mobile object, requesting provision of the new software; downloading said software from said target device; 3.
  • the control device (Appendix 8) The processor, downloading the software when the version of the software to be installed is newer than the version of the software running in an ECU (Electronic Control Unit) mounted on the vehicle; 8.
  • the control device (Appendix 9)
  • the communication device other than the server is an ECU or a mobile terminal mounted on another moving object.
  • the control device (Appendix 10)
  • the processor After downloading new software, when installing the new software, a time required for installation is output from an output device. 10.
  • the control device according to any one of claims 1 to 9.
  • the processor When installing new software, information inquiring whether or not to install immediately is output from an output device. 11.
  • the control device 11.
  • (Appendix 12) The processor, acquiring information representing a group ID input by a user operating a device in the mobile object or a mobile terminal, and assigning the group ID to the mobile object; 12.
  • the control device according to claim 1 (Appendix 13) The processor, When installing new software, it is determined whether or not to start the installation in accordance with an operation plan of the mobile object. 13.
  • (Appendix 14) At least one processor mounted on the mobile unit, downloading software from the server in a first mode in which the server and the mobile unit communicate with each other; In a second mode in which the mobile object communicates with a communication device different from the server, the software downloaded from the server to the communication device is downloaded from the communication device.
  • a control method for executing a process including the steps of: (Appendix 15) At least one processor mounted on the mobile object, downloading software from the server in a first mode in which the server and the mobile unit communicate with each other; In a second mode in which the mobile object communicates with a communication device different from the server, the software downloaded from the server to the communication device is downloaded from the communication device.
  • a control program (42A) for executing a process including the steps of:

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Stored Programmes (AREA)

Abstract

制御装置は、移動体に搭載されるプロセッサを有し、当該プロセッサは、サーバと移動体とが通信する第１モードにおいて、サーバからソフトウェアをダウンロードする。また、プロセッサは、通信機器と移動体とが通信する第２モードにおいて、サーバから通信機器にダウンロードされたソフトウェアを、通信機器からダウンロードする。

Description

制御装置、制御方法、及び制御プログラム
　本開示は、制御装置、制御方法、及び制御プログラムに関する。
　特開2022-016517号公報には、サーバがサービス事業者からの要求に応じて、情報処理装置の自動運転制御ソフトウェアをＯＴＡ（Ｏｖｅｒ　ｔｈｅ　Ａｉｒ）でアップデートさせることが開示されている。
　ところで、上記特開2022-016517号公報でも開示されているように、サーバと移動体の一例である車両との間によってのみＯＴＡが実行される場合、車両のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）は、ＯＴＡの際に必ずサーバへアクセスする必要がある。この場合、例えば、サーバと車両との間の通信環境が悪い場合にはＯＴＡを実行することができず、車両において動作するソフトウェアをアップデートすることができないという事態が発生し得る。
　その一方で、サーバと車両との間の通信環境が常に良好であり、ＯＴＡによって新たなソフトウェアが車両へ逐次インストールされるような場合には、新たなソフトウェアが車両へインストールされている最中はタクシー又はシェアカー等の車両を運行することができず、ビジネス機会が失われ損失が発生し得る。
　このため、車両のＥＣＵからサーバへのアクセスによるＯＴＡのみならず、より柔軟な態様のＯＴＡの実行が望まれる。
　本開示は、移動体がサーバへ直接アクセスすることなく、他の通信機器経由で新たなソフトウェアを移動体へダウンロードすることができる制御装置、制御方法、及び制御プログラムを提供することを目的とする。
　本開示の第１態様に係る制御装置は、移動体に搭載されるプロセッサを有し、前記プロセッサは、サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、制御装置である。
　第２態様に係る制御方法は、移動体に搭載される少なくとも１つのプロセッサが、サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、ことを含む処理を実行する。
　第３態様に係る制御プログラムは、移動体に搭載される少なくとも１つのプロセッサに、サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、ことを含む処理を実行させる。
　本開示によれば、移動体がサーバへ直接アクセスすることなく、他の通信機器経由で新たなソフトウェアを移動体へダウンロードすることができる、という効果を有する。
第１実施形態に係る車両制御システムの構成図である。 第１実施形態を説明するための図である。 第１実施形態の各ＥＣＵのハードウェア構成を示す構成図である。 第１実施形態に係る第１制御処理のフローチャートである。 第１実施形態に係る第２制御処理のフローチャートである。 第３実施形態に係る第３制御処理のフローチャートである。
　以下、図面を参照して、本開示を実施するための形態を詳細に説明する。なお、以下の各実施形態では、移動体が車両である場合を例に説明する。
＜第１実施形態＞
　図１に示すように、第１実施形態の車両制御システム１０は、サーバ１２と、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃとを備える。複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃの各々はＥＣＵを備えている。
　サーバ１２と複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃとはネットワーク１６を介して通信可能に接続される。一方、サーバ１２と複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃとの間の通信環境は悪く、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃの各々はサーバ１２と通信することが不可能である場合があり得る。なお、以下では、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃのうちの何れか１つの車両を、単に「車両１４」とも称する。
　第１実施形態では、サーバ１２と車両１４との間の通信環境が悪く、ＯＴＡを実施することが困難である場合には、車両１４はサーバ１２とは異なる他の通信機器（例えば、他の車両のＥＣＵ、携帯端末、又はパーソナルコンピュータ等）経由で新たなソフトウェアであるプログラムを取得する。サーバ１２と車両１４との間の通信環境が悪い場合としては、例えば、サーバ１２と車両１４との間の通信が不可能である又は通信にかかる時間が膨大である場合等が挙げられる。
　図１に示されるように、車両１４は、ＯＴＡを実施するサーバ１２との間の通信環境が良好である場合（以下、単に「第１モード」とも称する。）には、サーバ１２との間においてＯＴＡを実施し、新たなプログラムをダウンロードする。
　一方、図２に示されるように、車両１４Ａ，１４Ｂ，１４Ｃが、ＯＴＡを実施するサーバ１２との間の通信環境が悪く、ＯＴＡを実施することが困難な場合（以下、単に「第２モード」とも称する。）には、他の通信機器（例えば、サーバ１２から既にプログラムをダウンロードした車両１４ＸのＥＣＵ１８Ｘ）から新たなプログラムをダウンロードする。
　これにより、車両１４とサーバ１２との間の通信環境が悪くＯＴＡを実施することが困難な場合であっても、車両１４は他の通信機器経由で新たなプログラムを車両へダウンロード及びインストールすることができる。
　なお、第１モードは、サーバ１２と車両１４とが通信可能なモードである。第２モードは、サーバ１２と車両１４との間の通信が制限されるモードである。
　以下では、他の通信機器が車両に搭載されているＥＣＵである場合を例に説明するが、通信機器は車両のＥＣＵに限られず、通信機能及び記憶媒体を保有するユニットであれば、どのようなものであってもよい。例えば、他の通信機器は、携帯端末又はパーソナルコンピュータ等であってもよい。
　車両１４のＥＣＵは、新たなプログラムの自らへのインストール又はアクティベーションを実行する。ここで、プログラムのインストールとは、図示しない不揮発性メモリにプログラムを記憶させて実行可能にすることをいう。また、プログラムのアクティベーションとは、プログラムの実行によって実現される機能を有効化することをいう。
　図３は、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃの各々が備えるＥＣＵのハードウェア構成を示すブロック図である。図３に示すように、車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃの各々のＥＣＵは、コントローラ４０を備える。
　図３に示すように、コントローラ４０は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）４０Ａ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）４０Ｂ、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）４０Ｃ、及び入出力インターフェース（Ｉ／Ｏ）４０Ｄを備える。そして、ＣＰＵ４０Ａ、ＲＯＭ４０Ｂ、ＲＡＭ４０Ｃ、及びＩ／Ｏ４０Ｄがバス４０Ｅを介して各々接続されている。バス４０Ｅは、コントロールバス、アドレスバス、及びデータバスを含む。Ｉ／Ｏ４０Ｄには、通信部４１及び記憶部４２が接続されている。
　通信部４１は、サーバ１２等の外部装置及び他のＥＣＵ等とデータ通信を行うためのインターフェースである。
　記憶部４２は、例えば不揮発性メモリで構成される。図３に示すように、記憶部４２は、制御プログラム４２Ａ等を記憶する。
　ＣＰＵ４０Ａは、コンピュータの一例である。ここでいうコンピュータとは、広義的なプロセッサを指し、汎用的なプロセッサ（例えば、ＣＰＵ）、又は、専用のプロセッサ（例えば、ＧＰＵ：Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ、ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ、ＦＰＧＡ：Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ、プログラマブル論理デバイス、等）を含むものである。
　なお、制御プログラム４２Ａは、不揮発性の非遷移的（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）記録媒体に記憶して、又はネットワークを介して配布して、ＥＣＵに適宜インストールされてもよい。
　不揮発性の非遷移的記録媒体の例としては、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、光磁気ディスク、ＨＤＤ（ハードディスクドライブ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、メモリカード等が挙げられる。
　なお、サーバ１２も、図３に示されているハードウェア構成と同様のハードウェア構成を有している。
　次に、図４を参照して、車両１４のＥＣＵが実行する第１制御処理のフローチャートについて説明する。車両１４のＥＣＵとサーバ１２とが通信可能な環境下であることを表す第１モードである場合、サーバ１２と車両１４のＥＣＵとの間においてＯＴＡが実行される。図４は、第１モードにおいて各車両が実行する第１制御処理のフローチャートである。なお、以下では、車両１４ＸのＥＣＵ１８Ｘが、図４の第１制御処理を実行する場合を例に説明する。
　ステップＳ１００では、車両１４ＸのＥＣＵ１８Ｘが、ＯＴＡによって新たなプログラムをダウンロードし、自らの記憶部（図示省略）へ一旦格納する。
　ステップＳ１０２では、車両１４ＸのＥＣＵ１８Ｘが、ステップＳ１００でダウンロードされたプログラムの検証をする。プログラムの検証とは、そのプログラムは当該ＥＣＵ１８Ｘ用のプログラムであるのか、そのプログラムは適切に動作するか、又はそのプログラムがウイルス感染していないかといった検証である。そして、車両１４ＸのＥＣＵ１８Ｘは、検証後のプログラムを自らへインストールする。
　ステップＳ１０４では、車両１４ＸのＥＣＵ１８Ｘが、新たなプログラムをアクティベートする。
　なお、図４に示される第１制御処理は、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃの各々が実行可能である。
　次に、車両１４のＥＣＵとサーバ１２との間の通信が制限されていることを表す第２モードである場合、サーバ１２と車両１４のＥＣＵとの間において、図５に示される第２制御処理のフローチャートが実行される。
　なお、以下では、車両１４Ｘが上記図４のフローチャートを実行済みであり、車両１４Ａが第２モードである場合を例に説明する。
　まず、車両１４ＸのＥＣＵ１８Ｘが、車両１４ＡのＥＣＵ１８Ａに対して、プログラムの更新のトリガを表すトリガ信号を送信する。なお、車両１４ＸのＥＣＵ１８Ｘと車両１４ＡのＥＣＵ１８Ａとは車車間通信によってデータの送受信をする。
　ステップＳ２００では、車両１４ＡのＥＣＵ１８Ａは、車両１４ＸのＥＣＵ１８Ｘから送信されたトリガ信号を受信する。なお、トリガ信号には、新たなプログラムのバージョン情報とそのプログラムがインストールされるべき車両のグループを表すグループＩＤが含まれている。車両のグループとは、例えば、車両の種類を表すグループ又は同一管理主体（例えば、同一の管理会社）によって管理されていることを表すグループをいう。
　ステップＳ２０２では、車両１４ＡのＥＣＵ１８Ａは、車両１４Ｘが属するグループと車両１４Ａが属するグループとが対応しているか否かを判定する。例えば、車両１４ＡのＥＣＵ１８Ａは、トリガ信号に含まれるグループＩＤが、自らの車両１４Ａが属するグループのグループＩＤと同一であるか否かを判定する。車両１４ＡのグループＩＤと車両１４ＸのグループＩＤとが同一である場合、ステップＳ２０４へ進む。一方、車両１４ＡのグループＩＤと車両１４ＸのグループＩＤとが同一ではない場合、制御処理を終了する。このように、新たなプログラムが自車両向けのものである場合にのみ、新たなプログラムがインストールされる。
　ステップＳ２０４では、車両１４ＡのＥＣＵ１８Ａは、トリガ信号に含まれている新たなプログラムのバージョン情報と、現在自らの車両１４Ａで動作しているプログラムのバージョン情報とを比較し、インストール対象のプログラムが現在のプログラムよりも新しいバージョンであるか否かを判定する。インストール対象のプログラムが現在のプログラムよりも新しいバージョンである場合には、ステップＳ２０６へ進む。一方、インストール対象のプログラムが現在のプログラムよりも新しいバージョンでない場合には第２制御処理を終了する。このため、インストール対象のプログラムが現在のプログラムよりも新しいバージョンである場合のみ、新たなプログラムがインストールされる。
　ステップＳ２０６では、車両１４ＡのＥＣＵ１８Ａは、車両１４ＸのＥＣＵ１８Ｘに対して新たなプログラムの提供を要求する要求信号を送信する。
　ステップＳ２０８では、車両１４ＡのＥＣＵ１８Ａは、車車間通信により車両１４Ｘから新たなプログラムをダウンロードし、そのプログラムの検証をすることなく自らへインストールする。プログラムに対する検証は、車両１４Ｘにおいて既に実施済みであるためである。
　第１実施形態の車両制御システム１０は、例えば、通信環境の悪い鉱山又は山間部などで駆動する車両のプログラムの更新する際に利用することが可能である。
　例えば、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃ（例えば、鉱山等で利用される車両）の各々が、サーバ１２と通信不能な環境下（例えば、鉱山等）に置かれている場合を想定する。このような状況下において、それら複数の車両のうちの１台の車両１４Ｘが、サーバ１２と通信可能な場所へ移動し、ＯＴＡにより新たなプログラムをダウンロード、検証、インストール、及びアクティベートする。
　そして、車両１４Ｘが通信可能な環境下において新たなプログラムをダウンロードした後に、車両１４Ｘは複数の車両１４Ａ，１４Ｂ，１４Ｃが位置する場所、換言すると、各車両１４Ａ，１４Ｂ，１４Ｃと通信が可能な位置へ移動する。そして、車両１４ＸのＥＣＵ１８Ｘは、新たなプログラムをダウンロードしたことを知らせるトリガ信号を複数の車両１４Ａ，１４Ｂ，１４Ｃの各ＥＣＵに対して出力する。複数の車両１４Ａ，１４Ｂ，１４Ｃの各々は、車両１４ＸのＥＣＵ１８Ｘ経由で新たなプログラムをダウンロードする。
　これにより、車両とサーバとの間の通信環境が悪く、ＯＴＡを実施することが困難である場合であっても、当該車両は他の通信機器経由で新たなプログラムを取得することができる。
　なお、上記では、車両１４Ｘが新たなプログラムを車両１４Ａ，１４Ｂ，１４Ｃへ提供する場合を例に説明したが、車両１４Ｘに代えて、移動可能な通信機器である携帯端末が新たなプログラムをダウンロードし、携帯端末経由でそのプログラムを車両１４Ａ，１４Ｂ，１４Ｃへ提供するようにしてもよい。
　このように、第１実施形態の車両制御システムの車両のＥＣＵは、移動体の一例である車両に搭載されるプロセッサを有し、当該プロセッサは、サーバと車両とが通信する第１モードにおいて、サーバの記憶部（図示省略）からプログラムをダウンロードする。車両のＥＣＵのプロセッサは、移動可能な通信機器の一例である他の車両（又は、携帯端末若しくはパーソナルコンピュータ等）と当該車両とが通信する第２モードにおいて、サーバから他の車両に予めダウンロードされたプログラムを、当該他の車両からダウンロードする。これにより、車両がサーバへ直接アクセスすることなく、他の通信機器経由で新たなプログラムを車両へダウンロードすることができる。また、車両とサーバとの間の通信環境が悪く、ＯＴＡを実施することが困難である場合であっても、当該車両は他の通信機器経由で新たなプログラムを取得することができる。
　また、車両のＥＣＵは、車車間通信により他の車両のＥＣＵから新たなプログラムをダウンロードした場合であって、かつ新たなソフトウェアに対する検証が実施済みの場合には、そのソフトウェアの検証を省略することにより、インストールを効率的に実施することができる。
　また、車両のＥＣＵがプログラムのバージョンが新しいことを確認した後にそのプログラムをダウンロードすることにより、プログラムを適切に更新することができる。
＜第２実施形態＞
　次に、第２実施形態について説明する。なお、第２実施形態のうちの第１実施形態と同一部分には同一符号を付し、詳細な説明は省略する。なお、第２実施形態の車両制御システムは、第１実施形態と同様であるため詳細な説明は省略する。第２実施形態は、通信環境の良否を考慮しない点が第１実施形態と異なる。
　第２実施形態では、同一グループに属する複数の車両の各々は、既に新たなプログラムをダウンロードした他の車両経由で新たなプログラムを取得することにより、複数の車両がサーバへ一斉にアクセスすることを低減させる。なお、グループとは、例えば、同一管理主体（例えば、タクシー会社又はカーシェア会社等）によって管理されていることを表すグループ又は車種等を表す。
　例えば、同一グループに属する車両のうち少なくとも１台の車両１４Ｘ（又は、携帯端末若しくはパーソナルコンピュータ等の通信機器）がサーバ１２との間でＯＴＡを実施して新たなプログラムをダウンロードした後に、そのグループに属する他の複数の１４Ａ，１４Ｂ，１４Ｃは当該車両１４Ｘ経由で新たなプログラムを取得する。これにより、複数の車両がサーバへ一斉にアクセスすることが抑制され、サーバへの処理負荷を低減させることができる。なお、プログラムをダウンロードする通信機器は他の車両に限られず、通信機能及び記憶媒体を保有するユニットであれば、どのようなものであってもよい。
　例えば、あるタクシー会社が車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃを管理しているとする。この場合、車両１４ＸのＥＣＵ１８Ｘが上記図４に示される制御処理を実行し、サーバ１２との間のＯＴＡにより新たなプログラムをダウンロード、検証、インストール、及びアクティベートする。
　そして、複数の車両１４Ａ，１４Ｂ，１４Ｃの各々のＥＣＵは、上記図５に示される制御処理を実行し、車両１４ＸのＥＣＵ１８Ｘ経由で新たなプログラムをダウンロードする。これにより、複数の車両１４Ｘ，１４Ａ，１４Ｂ，１４Ｃがサーバ１２へ一斉にアクセスすることが抑制され、サーバ１２への処理負荷を低減させることができる。
　このように、第２実施形態の車両制御システムの車両のＥＣＵは、移動体の一例である車両に搭載されるプロセッサを有し、当該プロセッサは、サーバと車両とが通信する第１モードにおいて、サーバの記憶部（図示省略）からプログラムをダウンロードする。車両のＥＣＵのプロセッサは、移動可能な通信機器の一例である他の車両（又は、携帯端末若しくはパーソナルコンピュータ等の通信機器）と当該車両とが通信する第２モードにおいて、サーバから他の車両に予めダウンロードされたプログラムを、当該他の車両からダウンロードする。これにより、車両がサーバへ直接アクセスすることなく、他の通信機器経由で新たなプログラムを車両へダウンロードすることができる。また、同一グループに所属する車両に対する新たなプログラムのダウンロード及びインストールを適切に管理することができる。
　第２実施形態は、同一グループに属する車両への新たなプログラムのダウンロード及びインストールの管理の観点からも好ましい。同一グループに所属する車両に対する新たなプログラムのダウンロード及びインストールを管理する際には、なるべく一斉に車両のプログラムをアップデートする方が好ましい場合もある。このため、第２実施形態によれば、同一グループに所属する車両に対する新たなプログラムのダウンロード及びインストールを適切に管理することができる。
　また、ＯＴＡが実行されている最中は車両（例えば、タクシー又はシェアカー等）を利用することができず、これによりビジネス機会が失われ得る。このため、例えば、ＯＴＡにおける新たなプログラムのダウンロードとインストールのタイミングを分けるようにしてもよい。これにより、ビジネス機会を逃すことによる損失の発生を低減させることができる。
　また、第２実施形態の車両制御システムによれば、同一グループに属する車両間でプログラムの提供が行われることにより、サーバとの間のＯＴＡを実施することなく、新たなプログラムを車両のＥＣＵへダウンロードすることができる。
＜第３実施形態＞
　次に、第３実施形態について説明する。第３実施形態のうちの第１実施形態及び第２実施形態と同一部分には同一符号を付し、詳細な説明は省略する。なお、第３実施形態の車両制御システムの構成は、第１実施形態と同様の構成であるため詳細な説明は省略する。
　第３実施形態の車両１４のＥＣＵは、ダウンロード対象となる新たなプログラムを保持している対象機器（例えば、サーバ、車両に搭載されるＥＣＵ、携帯端末、及びパーソナルコンピュータ等）を探索し、探索された対象機器から新たなプログラムを取得する点が第１実施形態及び第２実施形態と異なる。対象機器には、例えば、サーバ１２とその他の通信機器（例えば、車両に搭載されるＥＣＵ、携帯端末、及びパーソナルコンピュータ等）が候補として含まれる。なお、対象機器は、通信機能及び記憶媒体を保有するユニットであれば、どのようなものであってもよい。
　次に、図６を参照して、車両１４ＡのＥＣＵ１８Ａが実行する第３制御処理のフローチャートについて説明する。
　ステップＳ３００では、車両１４ＡのＥＣＵ１８Ａが、車両１４Ａの周辺の予め定められた範囲内に通信可能な対象機器が存在するか否かを探索する。
　ステップＳ３０２では、車両１４ＡのＥＣＵ１８Ａが、車両１４Ａの周辺の予め定められた範囲内に通信可能な対象機器が存在するか否かを判定する。通信可能な対象機器が存在する場合には、ステップＳ３０４へ進む。一方、通信可能な対象機器が存在しない場合には、第３制御処理を終了する。
　ステップＳ３０４では、車両１４ＡのＥＣＵ１８Ａは、通信可能な対象機器が車両１４Ａと同一グループのプログラムを保持しているか否かを判定する。通信可能な対象機器が車両１４Ａと同一グループのプログラムを保持している場合には、ステップＳ３０６へ進む。通信可能な通信機器が車両１４Ａと同一グループのプログラムを保持していない場合には、第３制御処理を終了する。
　ステップＳ３０６では、車両１４ＡのＥＣＵ１８Ａが、探索された対象機器が車両１４Ａ用の新たなプログラムを保持しているか否かを判定する。対象機器が車両１４Ａ用の新たなプログラムを保持している場合には、ステップＳ３０８へ進む。一方、対象機器が車両１４Ａ用の新たなプログラムを保持していない場合には、第３制御処理を終了する。
　ステップＳ３０８では、対象機器が複数存在し、その何れもが車両１４Ａ向けの新たなプログラムを保持している場合には、車両１４ＡのＥＣＵ１８Ａは、複数の対象機器から１つの対象機器を選択する。
　ステップＳ３１０では、車両１４ＡのＥＣＵ１８Ａが、ステップＳ３０８で選択された対象機器に対して、新たなプログラムの提供を要求する要求信号を送信する。
　ステップＳ３１２では、車両１４ＡのＥＣＵ１８Ａが、ステップＳ３０８で選択された対象機器との間の通信処理によって、新たなプログラムをダウンロードする。
　なお、この場合、車両１４ＡのＥＣＵ１８Ａは、探索された対象機器にサーバ１２が含まれる場合には、第１モードでサーバ１２から新たなプログラムをダウンロードする。一方、探索された対象機器にサーバ１２が含まれず、探索された対象機器が他の通信機器である場合には、第２モードで他の通信機器から新たなプログラムをダウンロードする。
　ステップＳ３１４では、車両１４ＡのＥＣＵ１８Ａが、新たなプログラムをインストールする際に、インストールを即時にするか否かを問い合わせる情報を出力する。具体的には、車両１４ＡのＥＣＵ１８Ａは、車両１４Ａのユーザに対して、インストールを即時するか否かを問い合わせる情報を提示する。例えば、車両１４ＡのＥＣＵ１８Ａは、車両１４Ａ内の表示部（図示省略）又は音声出力装置（図示省略）から、インストールを即時するか否かを問い合わせる情報を出力させるように制御する。又は、車両１４ＡのＥＣＵ１８Ａは、ユーザが操作する携帯端末から、インストールを即時するか否かを問い合わせる情報を出力させるように制御してもよい。
　ステップＳ３１６では、車両１４ＡのＥＣＵ１８Ａが、ユーザから入力された指示信号を受け付け、その指示信号がインストールの指示であるか否かを判定する。ユーザから入力された指示信号がインストールの指示を表している場合には、ステップＳ３１８へ進む。一方、ユーザから入力された指示信号がインストールの指示を表していない場合には、第３制御処理を終了する。例えば、ユーザは、車両１４Ａ内の表示部（図示省略）の一例であるタッチパネルに表示されている問い合わせ情報に対して、インストールを指示する操作又はインストールをしないことを指示する操作をする。
　なお、ステップＳ３１６において、新たなプログラムのインストールをしないという判断がされた場合には、所定時間が経過した後又はユーザの指示により、ダウンロードされた新たなプログラムのインストールが実行される。
　ステップＳ３１８では、車両１４ＡのＥＣＵ１８Ａが、ステップＳ３１２で受信した新たなプログラムのインストールを実行する。
　このように、第３実施形態の車両制御システムの車両のＥＣＵは、サーバと複数の他の通信機器とから、車両と通信可能な対象機器を探索する。そして、車両制御システムの車両のＥＣＵは、探索された対象機器にサーバが含まれる場合には、第１モードでサーバからプログラムをダウンロードする。車両のＥＣＵは、探索された対象機器にサーバが含まれず、探索された対象機器が他の通信機器である場合には、第２モードで当該通信機器からプログラムをダウンロードする。これにより、車両がサーバへ直接アクセスすることなく、他の通信機器経由で新たなプログラムを車両へダウンロードすることができる。また、車両とサーバとの間の通信環境が悪く、ＯＴＡを実施することが困難である場合であっても、当該車両は他の通信機器経由で新たなプログラムを取得することができる。
　また、第３実施形態の車両制御システムの車両のＥＣＵによれば、移動可能な対象機器（例えば、車両のＥＣＵ、携帯端末、又はパーソナルコンピュータ）から新たなプログラムを取得した際に、即時にインストールをするのではなく、ユーザからの許可（又は指示）があった場合にのみインストールを実行する。これにより、新たなプログラムの取得によって即時に車両が利用できなくなるという事態の発生を防止することができる。具体的には、新たなプログラムを有している通信機器を探索し、その通信機器から新たなプログラムをダウンロードすることは実行しつつ、ユーザからの許可があった場合にのみインストールを実行する。これにより、同一グループに属する車両であるタクシー又はシェアカーが、新たなプログラムを取得したタイミングで即時に利用不可となることを防止することができ、ビジネス機会が失われ損失が発生するという事態を抑制することができる。
　また、本開示は、上述した各実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲内で様々な変形や応用が可能である。
　例えば、上記各実施形態では、移動体が車両である場合を例に説明したが、これに限定されるものではない。移動体はどのようなものであってもよく、例えば、移動ロボット等に上記各実施形態を適用させるようにしてもよい。
　また、車両のＥＣＵは、新たなプログラムをインストールする際には、既に動作しているプログラムとの差分を表すプログラムをインストールするようにしてもよい。これにより、プログラムのインストールを効率的に実施することができる。
　また、車両のＥＣＵは、新たなプログラムをダウンロードした後、新たなプログラムをインストールする際に、インストールに要する時間を出力装置から出力させるようにしてもよい。例えば、車両のＥＣＵは、出力装置の一例である車両内の表示装置（図示省略）又は音声出力装置（図示省略）から、インストールに要する時間を出力させるように制御する。又は、車両のＥＣＵは、出力装置の一例であるユーザが操作する携帯端末から、インストールに要する時間を出力させるように制御してもよい。これにより、ユーザはインストールに要する時間に応じて、新たなプログラムをインストールするか否かをＥＣＵに対して指示することができる。
　また、車両のＥＣＵは、車両に対してグループＩＤを付与可能なようにしてもよい。例えば、車両のＥＣＵは、ユーザが車両内の機器（図示省略）又は携帯端末（図示省略）を操作することによって入力されたグループＩＤを表す情報を取得し、車両に対してグループＩＤを付与するようにしてもよい。このように、ユーザ自らが車両に対してＩＤを付与可能とすることにより、例えば、カーシェア会社又はタクシー会社は、自らが管理対象とする複数の車両に対して同一又は対応するグループＩＤを付与することが可能となる。これにより、複数の車両の管理が容易になる。例えば、上記第２実施形態のように、新たなプログラムのダウンロード及びインストールさせる複数の車両を管理することができる。
　また、車両のＥＣＵは、新たなプログラムをインストールする際に、車両の運行計画に関する情報を取得し、その車両の運行計画に関する情報に応じて、インストールを開始するか否かを判定するようにしてもよい。例えば、対象の車両が月曜日～金曜日の９：００～１７：００に稼働する予定である場合には、対象の車両のＥＣＵは、その時間帯を避けて新たなプログラムをインストールするようにしてもよい。例えば、対象の車両がタクシー又はシェアカーである場合、その対象の車両が稼働している時間帯はインストールを避
けることにより、ビジネス機会が失われ損失が発生するという事態を抑制することができる。この場合、車両のＥＣＵは、新たなプログラムをダウンロードした際に即時にインストールするのではなく、車両の運行計画に関する情報に応じて、インストールを開始するか否かを判定する。
　その他、上記各実施形態で説明した車両制御システムの構成は一例であり、本開示の主旨を逸脱しない範囲内において不要な部分を削除したり、新たな部分を追加したりしてもよいことはいうまでもない。
　また、上記実施の形態で説明した制御プログラムの処理の流れ（図４，図５，及び図６参照）も一例であり、本開示の主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよいことは言うまでもない。
　本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサを構成する専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の装置及びその手法は、専用ハードウェア論理回路によってプロセッサを構成する専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の装置及びその手法は、コンピュータプログラムを実行するプロセッサと一つ以上のハードウェア論理回路との組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。
＜付記＞
（付記１）
　移動体（１４Ａ）に搭載されるプロセッサ（４０）を有し、前記プロセッサは、
　サーバ（１２）と前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
　制御装置（１８Ａ）。
（付記２）
　前記プロセッサは、
　前記サーバと複数の前記通信機器とから、前記移動体と通信可能な対象機器を探索し、
　探索された前記対象機器に前記サーバが含まれる場合には、前記第１モードで前記サーバから前記ソフトウェアをダウンロードし、
　探索された前記対象機器に前記サーバが含まれず、探索された前記対象機器が前記通信機器である場合には、前記第２モードで前記通信機器から前記ソフトウェアをダウンロードする、
　付記１に記載の制御装置。
（付記３）
　前記第１モードは、前記サーバと前記移動体との間の通信が可能であるモードであり、
　前記第２モードは、前記サーバと前記移動体との間の通信が制限されるモードである、
　付記１又は付記２に記載の制御装置。
（付記４）
　前記プロセッサは、
　探索された前記対象機器が前記移動体用の新たなソフトウェアを保持しているか否かを判定し、
　前記移動体用の新たなソフトウェアを保持していると判定された前記対象機器に対して、新たなソフトウェアの提供を要求する要求信号を送信し、
　前記対象機器から前記ソフトウェアをダウンロードする、
　付記２に記載の制御装置。
（付記５）
　前記プロセッサは、
　新たなソフトウェアをダウンロードした際に、インストールを指示する指示信号を受け付けた場合に、前記新たなソフトウェアをインストールし、
　前記新たなソフトウェアをダウンロードした際に、インストールをしないことを指示する指示信号を受け付けた場合に、前記新たなソフトウェアをインストールすることなく、前記新たなソフトウェアを自らの記憶部へ格納する、
　付記１～付記４の何れか１項に記載の制御装置。
（付記６）
　前記プロセッサは、
　前記通信機器が前記ソフトウェアに対する所定の検証を実行した場合には、前記ソフトウェアに対する所定の検証を実行することなく前記移動体へ前記ソフトウェアをインストールする、
　付記１～付記５の何れか１項に記載の制御装置。
（付記７）
　前記プロセッサは、
　自らの前記移動体のグループを表すＩＤと、前記ソフトウェアに付加されている前記移動体のグループを表すＩＤとが対応している場合に、前記ソフトウェアをダウンロードする、
　付記１～付記６の何れか１項に記載の制御装置。
（付記８）
　前記プロセッサは、
　インストール対象の前記ソフトウェアのバージョンが、前記移動体に搭載されているＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）において動作しているソフトウェアのバージョンよりも新しい場合に、前記ソフトウェアをダウンロードする、
　付記１～付記７の何れか１項に記載の制御装置。
（付記９）
　前記サーバとは異なる通信機器は、他の移動体に搭載されたＥＣＵ又は携帯端末である、
　付記１～付記８の何れか１項に記載の制御装置。
（付記１０）
　前記プロセッサは、
　新たなソフトウェアをダウンロードした後、前記新たなソフトウェアをインストールする際に、インストールに要する時間を出力装置から出力させる、
　付記１～付記９の何れか１項に記載の制御装置。
（付記１１）
　前記プロセッサは、
　新たなソフトウェアをインストールする際に、インストールを即時にするか否かを問い合わせる情報を出力装置から出力させる、
　付記１～付記１０の何れか１項に記載の制御装置。
（付記１２）
　前記プロセッサは、
　ユーザが移動体内の機器又は携帯端末を操作することによって入力されたグループＩＤを表す情報を取得し、前記移動体に対して前記グループＩＤを付与する、
　付記１～付記１１の何れか１項に記載の制御装置。
（付記１３）
　前記プロセッサは、
　新たなソフトウェアをインストールする際に、前記移動体の運行計画に応じて、インストールを開始するか否かを判定する、
　付記１～付記１２の何れか１項に記載の制御装置。
（付記１４）
　移動体に搭載される少なくとも１つのプロセッサが、
　サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
　ことを含む処理を実行する制御方法。
（付記１５）
　移動体に搭載される少なくとも１つのプロセッサに、
　サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
　ことを含む処理を実行させる制御プログラム（４２Ａ）。
　なお、日本国特許出願第２０２２‐１７７５６９号の開示は、その全体が参照により本明細書に取り込まれる。また、本明細書に記載された全ての文献、特許出願、及び技術規格は、個々の文献、特許出願、及び技術規格が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。

Claims (15)

  1. 　移動体（１４Ａ）に搭載されるプロセッサ（４０）を有し、前記プロセッサは、
    　サーバ（１２）と前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
    　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
    　制御装置（１８Ａ）。
  2. 　前記プロセッサは、
    　前記サーバと複数の前記通信機器とから、前記移動体と通信可能な対象機器を探索し、
    　探索された前記対象機器に前記サーバが含まれる場合には、前記第１モードで前記サーバから前記ソフトウェアをダウンロードし、
    　探索された前記対象機器に前記サーバが含まれず、探索された前記対象機器が前記通信機器である場合には、前記第２モードで前記通信機器から前記ソフトウェアをダウンロードする、
    　請求項１に記載の制御装置。
  3. 　前記第１モードは、前記サーバと前記移動体との間の通信が可能であるモードであり、
    　前記第２モードは、前記サーバと前記移動体との間の通信が制限されるモードである、
    　請求項１又は請求項２に記載の制御装置。
  4. 　前記プロセッサは、
    　探索された前記対象機器が前記移動体用の新たなソフトウェアを保持しているか否かを判定し、
    　前記移動体用の新たなソフトウェアを保持していると判定された前記対象機器に対して、新たなソフトウェアの提供を要求する要求信号を送信し、
    　前記対象機器から前記ソフトウェアをダウンロードする、
    　請求項２に記載の制御装置。
  5. 　前記プロセッサは、
    　新たなソフトウェアをダウンロードした際に、インストールを指示する指示信号を受け付けた場合に、前記新たなソフトウェアをインストールし、
    　前記新たなソフトウェアをダウンロードした際に、インストールをしないことを指示する指示信号を受け付けた場合に、前記新たなソフトウェアをインストールすることなく、前記新たなソフトウェアを自らの記憶部へ格納する、
    　請求項１～請求項４の何れか１項に記載の制御装置。
  6. 　前記プロセッサは、
    　前記通信機器が前記ソフトウェアに対する所定の検証を実行した場合には、前記ソフトウェアに対する所定の検証を実行することなく前記移動体へ前記ソフトウェアをインストールする、
    　請求項１～請求項５の何れか１項に記載の制御装置。
  7. 　前記プロセッサは、
    　自らの前記移動体のグループを表すＩＤと、前記ソフトウェアに付加されている前記移動体のグループを表すＩＤとが対応している場合に、前記ソフトウェアをダウンロードする、
    　請求項１～請求項６の何れか１項に記載の制御装置。
  8. 　前記プロセッサは、
    　インストール対象の前記ソフトウェアのバージョンが、前記移動体に搭載されているＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）において動作しているソフトウェアのバージョンよりも新しい場合に、前記ソフトウェアをダウンロードする、
    　請求項１～請求項７の何れか１項に記載の制御装置。
  9. 　前記サーバとは異なる通信機器は、他の移動体に搭載されたＥＣＵ又は携帯端末である、
    　請求項１～請求項８の何れか１項に記載の制御装置。
  10. 　前記プロセッサは、
    　新たなソフトウェアをダウンロードした後、前記新たなソフトウェアをインストールする際に、インストールに要する時間を出力装置から出力させる、
    　請求項１～請求項９の何れか１項に記載の制御装置。
  11. 　前記プロセッサは、
    　新たなソフトウェアをインストールする際に、インストールを即時にするか否かを問い合わせる情報を出力装置から出力させる、
    　請求項１～請求項１０の何れか１項に記載の制御装置。
  12. 　前記プロセッサは、
    　ユーザが移動体内の機器又は携帯端末を操作することによって入力されたグループＩＤを表す情報を取得し、前記移動体に対して前記グループＩＤを付与する、
    　請求項１～請求項１１の何れか１項に記載の制御装置。
  13. 　前記プロセッサは、
    　新たなソフトウェアをインストールする際に、前記移動体の運行計画に応じて、インストールを開始するか否かを判定する、
    　請求項１～請求項１２の何れか１項に記載の制御装置。
  14. 　移動体に搭載される少なくとも１つのプロセッサが、
    　サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
    　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
    　ことを含む処理を実行する制御方法。
  15. 　移動体に搭載される少なくとも１つのプロセッサに、
    　サーバと前記移動体とが通信する第１モードにおいて、前記サーバからソフトウェアをダウンロードし、
    　前記サーバとは異なる通信機器と前記移動体とが通信する第２モードにおいて、前記サーバから前記通信機器にダウンロードされた前記ソフトウェアを、前記通信機器からダウンロードする、
    　ことを含む処理を実行させる制御プログラム（４２Ａ）。
PCT/JP2023/039530 2022-11-04 2023-11-01 制御装置、制御方法、及び制御プログラム WO2024096088A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022-177569 2022-11-04
JP2022177569 2022-11-04

Publications (1)

Publication Number Publication Date
WO2024096088A1 true WO2024096088A1 (ja) 2024-05-10

Family

ID=90930639

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/039530 WO2024096088A1 (ja) 2022-11-04 2023-11-01 制御装置、制御方法、及び制御プログラム

Country Status (1)

Country Link
WO (1) WO2024096088A1 (ja)

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010140180A (ja) * 2008-12-10 2010-06-24 Fujitsu Ten Ltd 移動体のコンピュータプログラム更新装置、方法、およびプログラム
JP2012014253A (ja) * 2010-06-29 2012-01-19 Toyota Motor Corp 制御装置
JP2017156936A (ja) * 2016-03-01 2017-09-07 ヤンマー株式会社 端末装置およびソフトウェア書き換えプログラム
JP2017228107A (ja) * 2016-06-23 2017-12-28 住友電気工業株式会社 中継装置、中継方法及びコンピュータプログラム
JP2019057136A (ja) * 2017-09-21 2019-04-11 矢崎総業株式会社 車載システム、及び、車載機器更新装置
JP2019139473A (ja) * 2018-02-09 2019-08-22 株式会社デンソー 配布対象データの配布システム、及び配布対象データの取得方法
JP2019179431A (ja) * 2018-03-30 2019-10-17 住友重機械工業株式会社 建設機械、建設機械の支援システム
JP2021111154A (ja) * 2020-01-10 2021-08-02 日立建機株式会社 作業機械
CN113783950A (zh) * 2021-08-27 2021-12-10 南斗六星系统集成有限公司 一种边缘分布式ota升级系统与方法
JP2022061381A (ja) * 2020-10-06 2022-04-18 トヨタ自動車株式会社 更新データを配信するサーバ、ソフトウェア更新システム、更新データの配信方法及び配信プログラム

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010140180A (ja) * 2008-12-10 2010-06-24 Fujitsu Ten Ltd 移動体のコンピュータプログラム更新装置、方法、およびプログラム
JP2012014253A (ja) * 2010-06-29 2012-01-19 Toyota Motor Corp 制御装置
JP2017156936A (ja) * 2016-03-01 2017-09-07 ヤンマー株式会社 端末装置およびソフトウェア書き換えプログラム
JP2017228107A (ja) * 2016-06-23 2017-12-28 住友電気工業株式会社 中継装置、中継方法及びコンピュータプログラム
JP2019057136A (ja) * 2017-09-21 2019-04-11 矢崎総業株式会社 車載システム、及び、車載機器更新装置
JP2019139473A (ja) * 2018-02-09 2019-08-22 株式会社デンソー 配布対象データの配布システム、及び配布対象データの取得方法
JP2019179431A (ja) * 2018-03-30 2019-10-17 住友重機械工業株式会社 建設機械、建設機械の支援システム
JP2021111154A (ja) * 2020-01-10 2021-08-02 日立建機株式会社 作業機械
JP2022061381A (ja) * 2020-10-06 2022-04-18 トヨタ自動車株式会社 更新データを配信するサーバ、ソフトウェア更新システム、更新データの配信方法及び配信プログラム
CN113783950A (zh) * 2021-08-27 2021-12-10 南斗六星系统集成有限公司 一种边缘分布式ota升级系统与方法

Similar Documents

Publication Publication Date Title
US11204757B2 (en) Server, software update system, and software update apparatus
JP6376312B1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6361671B2 (ja) プログラム更新システム、プログラム更新方法、中継装置及びコンピュータプログラム
US20180341476A1 (en) Software updating device, software updating system, and software updating method
EP3933576A1 (en) Server, managing method, non-transitory storage medium, software updating device, center, and over-the-air master
JP2017157003A5 (ja)
US11340891B2 (en) Control device, control method, and computer program
US10970063B2 (en) Relay apparatus, transfer method, and computer program
US20200192656A1 (en) Updating control device, control method, and computer program
US20240069906A1 (en) Server, software update system, distribution method, and non-transitory storage medium
US12039322B2 (en) OTA master, center, system, update method, non-transitory storage medium, and vehicle
US20220405083A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
WO2018142749A1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
CN113961214A (zh) 软件更新装置、更新控制方法、非临时存储介质、服务器、ota主机及中心
JP2022187189A (ja) Ｏｔａマスタ、センタ、システム、方法、プログラム、及び車両
JP2022187646A (ja) Ｏｔａマスタ、システム、方法、プログラム、及び車両
WO2024096088A1 (ja) 制御装置、制御方法、及び制御プログラム
US20230032451A1 (en) Center, method, and non-transitory storage medium
US11954480B2 (en) Center, OTA master, system, method, non-transitory storage medium, and vehicle
US20220342651A1 (en) Center, ota master, system, distribution method, non-transitory storage medium, and vehicle
CN115509565A (zh) Ota管理器、系统、方法、非暂时性存储介质以及车辆
CN115543369A (zh) 中心、ota管理器、方法、非暂时性存储介质及车辆
JP2022180976A (ja) Ｏｔａセンタ、更新管理方法、更新管理プログラム、ｏｔａマスタ、更新制御方法および更新制御プログラム
US20240152352A1 (en) Server, software management system, software management method, and non-transitory storage medium
US20230036444A1 (en) System, method, and non-transitory storage medium

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23885842

Country of ref document: EP

Kind code of ref document: A1