JP2023012131A - ソフトウェアの更新を行うシステム - Google Patents

Abstract

【課題】ソフトウェアのインストール又はアクティベートを失敗した場合、この失敗に伴って増加するソフトウェアの更新が完了するまでにかかる時間を抑制することができるシステムを提供する。
【解決手段】車両に搭載された電子制御ユニットのソフトウェアを更新するための更新データを送信するセンタと、センタから受信した更新データに基づいて、電子制御ユニットのソフトウェアの更新処理を制御するＯＴＡマスタを備えた車両と、を含むシステムであって、センタは、第１更新データと、第１更新データに紐付いた第２更新データとを、車両に送信し、ＯＴＡマスタは、第１更新データに基づいて電子制御ユニットのソフトウェアの更新処理を行い、第１更新データに基づいた電子制御ユニットのソフトウェアの更新が失敗した場合は、第２更新データに基づくソフトウェアを実行する。
【選択図】図１

Description

本開示は、車両に搭載された電子制御ユニットのソフトウェアの更新を行うシステムに関する。

車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。

電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバーからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットに書き込んでインストールし、インストールしたソフトウェアを有効化するアクティベートを行うことにより、電子制御ユニットのソフトウェアの更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。

特開２０１７－１４９３２３号公報

ダウンロードしたソフトウェアを電子制御ユニットに書き込む途中で異常などが発生してインストールが失敗した場合、最初からインストールをやり直す（再インストールを行う）必要がある。また、電子制御ユニットに書き込まれたソフトウェアを有効化する途中で異常などが発生してアクティベートが失敗した場合、再度アクティベートを行う必要がある。このように、ソフトウェアのインストール以降の更新処理を失敗してしまうと、ソフトウェアの更新が完了するまでに時間がかかる。

本開示は、上記課題を鑑みてなされたものであり、ソフトウェアのインストール又はアクティベートを失敗した場合、この失敗に伴って増加するソフトウェアの更新が完了するまでにかかる時間を抑制することができるシステムを、提供することを目的とする。

上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアを更新するための更新データを送信するセンタと、センタから受信した更新データに基づいて、電子制御ユニットのソフトウェアの更新処理を制御するＯＴＡマスタを備えた車両と、を含むシステムであって、センタは、第１更新データと、第１更新データに紐付いた第２更新データとを、車両に送信し、ＯＴＡマスタは、第１更新データに基づいて電子制御ユニットのソフトウェアの更新処理を行い、第１更新データに基づいた電子制御ユニットのソフトウェアの更新が失敗した場合は、第２更新データに基づくソフトウェアを実行する、システムである。

本開示のシステムによれば、メインデータによるソフトウェアのインストール又はアクティベートを失敗した場合、サブデータによるソフトウェアを素早く実行させることができるので、この失敗に伴って増加するソフトウェアの更新が完了するまでの時間を抑制することができる。

実施形態に係るシステムの全体構成を示すブロック図 センタの概略構成を示すブロック図 センタの機能ブロック図 ＯＴＡマスタの概略構成を示すブロック図 ＯＴＡマスタの機能ブロック図 センタが行うダウンロード処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例１によるインストール及びアクティベートの処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例２によるインストール及びアクティベートの処理手順のフローチャート ＯＴＡマスタ及びターゲット電子制御ユニットが行う具体例２によるインストール及びアクティベートの処理手順のフローチャート

本開示による電子制御ユニットのソフトウェアの更新を行うシステムでは、メインデータによるソフトウェアのインストール又はアクティベートを失敗した場合、サブデータによるソフトウェアを素早く実行させることができる。よって、ソフトウェアの更新が完了するまでの時間を抑制することができる。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。

＜実施形態＞
［システム構成］
図１は、本開示の一実施形態に係るネットワークで繋がるシステムの全体構成を示すブロック図である。図１に示すシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、車両外にある表示装置９５と、を備える。

（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。また、センタ１０は、ネットワーク１００を介して、表示装置９５と通信可能であり、電子制御ユニット５０ａ～５０ｄのソフトウェア更新の情報を通知することができる。

図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０や表示装置９５と通信を行うための装置である。

図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、ＨＭＩ機能部１９と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７、制御部１８、及びＭＩ機能部１９は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。

記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。記憶部１６に記憶される更新データには、更新によってソフトウェアに提供される機能の全てに対応した「第１更新データ」と、この第１更新データに紐付いたデータであって、更新によってソフトウェアに提供される機能の一部のみに対応した「第２更新データ」とがある。一例として、第１更新データを、ソフトウェアに必須機能Ａ、必須機能Ｂ、及び任意機能Ｃ（全ての制御）を提供するデータとし、第２更新データを、ソフトウェアに必須機能Ａ及び必須機能Ｂのみ（最低限の機能に制限した縮退制御など）を提供するデータとすることができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、ＯＴＡマスタ３０に対して制御の指示を行うための、ソフトウェア更新処理の手順を示した更新シーケンスに関する情報を記憶することができる。

通信部１７は、ＯＴＡマスタ３０との間や表示装置９５との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると（受信部）、後述する制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データなどを含む配信パッケージを、ＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＨＭＩ機能部１９の指示に基づいて、表示装置９５にソフトウェアの更新状態を通知することができる。

制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当する更新データ（第１更新データ及び／又は第２更新データ）などを含む１つ又は複数の配信パッケージを生成する。

ＨＭＩ機能部１９は、通信部１７を介して、車両に搭載された電子制御ユニット５０ａ～５０ｄのソフトウェアの更新状態などの情報を、必要に応じて表示装置９５に通知する処理を行う。表示装置９５は、車両のユーザーや管理者が所有するスマートフォンなどの装置であり、情報の表示などを行うために用いられるヒューマンマシンインタフェース（ＨＭＩ）である。

（２）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。

ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０及び表示装置９５と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、センタ１０から取得した更新データなどに基づいて、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。

図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０のそれぞれと通信を行うための装置である。

図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、判定部４０と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８、制御部３９、及び判定部４０は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。

記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データ（第１更新データ及び第２更新データ）などを記憶する。また、記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報を記憶することができる。

通信部３８は、センタ１０との間や表示装置９５との間で、データ、情報、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する（受信部）。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データなどを含む配信パッケージのダウンロード要求をセンタ１０に送信し（送信部）、センタ１０から送信される配信パッケージを受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する（送信部）。また、通信部３８は、制御部３９の指示に基づいて、表示装置７０や表示装置９５にソフトウェアの更新状態を通知することができる。

制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から配信パッケージで受信（ダウンロード）して記憶部３７に格納した更新データ（第１更新データ及び第２更新データ）の真正性を検証する。また、制御部３９は、センタ１０から受信（ダウンロード）した更新データを用い、電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理（インストール、アクティベートなど）を制御する。具体的には、制御部３９は、ダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。このソフトウェア更新処理の際、制御部３９は、後述する判定部４０の判定結果に基づいて、第１更新データ及び第２更新データのいずれに基づくソフトウェアを実行すべきかを判断する。

複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、車載ネットワーク９０が４つの電子制御ユニット５０ａ～５０ｄを備えている例を示したが、電子制御ユニットの個数は特に限定されない。また、電子制御ユニット５０ａ～５０ｄをＯＴＡマスタ３０に接続するバスの本数も特に限定されない。

表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果や状態の表示など、各種の表示を行うために用いられるヒューマンマシンインタフェース（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、ソフトウェアの更新処理時に必要な情報を表示可能なものであれば特に限定されない。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットなどがさらに接続されていてもよい。

通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０をセンタ１０や表示装置９５に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。また、通信モジュール８０は、ネットワーク１００経由で表示装置９５と無線で接続され、ソフトウェアの更新状態などの通知が行われる。この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。

［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知をＯＴＡマスタ３０に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、更新データ（第１更新データ及び第２更新データ）などを含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。

ＯＴＡマスタ３０は、センタ１０から受信した更新確認要求に対する応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。

また、ＯＴＡマスタ３０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた表示装置７０や、音声による通知を行う音声出力装置（図示せず）などを利用できる。例えば、承諾要求処理において、表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面を表示装置７０に表示させたり、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置７０に表示させたり、することができる。また、ＯＴＡマスタ３０は、承諾要求処理において、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置７０に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置７０に表示させたり、することができる。ＯＴＡマスタ３０は、ユーザー又は管理者から承諾した旨の入力を受け付けると、上述したインストール及びアクティベートの制御処理を実行し、ターゲット電子制御ユニットのソフトウェアを更新する。

ここで、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための１つの格納領域を有するシングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、センタ１０から指示される更新シーケンスに関する情報によっては、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを保留（待機）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後かつアクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。

ソフトウェア更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。

ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データ（第１更新データ及び第２更新データ）を、受信して記憶部３７に記憶する処理である。ダウンロードによる更新データの受信については、ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。

センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一の電子制御ユニット又は複数の電子制御ユニットの更新データが含まれる。

インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットの不揮発性メモリに更新ソフトウェア（更新版のプログラム）を書き込む処理である。本実施形態のインストールフェーズでは、第１更新データに基づくソフトウェアのインストールの成功の可否によって、電子制御ユニットの更新内容を異ならせることを行う（後述する）。このインストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。

更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。

更新ソフトウェアのインストールは、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。

アクティベートは、ターゲット電子制御ユニットが、自身の不揮発性メモリにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。本実施形態のアクティベートフェーズでは、第１更新データに基づくソフトウェアのアクティベートの成功の可否によって、電子制御ユニットの更新内容を異ならせることを行う（後述する）。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。

更新ソフトウェアのアクティベートは、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。

なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。

また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。

［処理］
次に、図６、図７、図８Ａ、及び図８Ｂをさらに参照して、本実施形態に係るシステムにおいて実行されるソフトウェア更新処理に関する具体例をいくつか説明する。

（１）ダウンロードの具体例
図６は、センタ１０の各構成が実行するダウンロードの具体例を説明するフローチャートである。この図６に示すダウンロード処理は、ＯＴＡマスタ３０が送信する更新確認要求を、センタ１０が受信することによって開始される。

（ステップＳ６０１）
センタ１０の通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求があったか否かを判断する。更新確認要求があった場合は（ステップＳ６０１、はい）、ステップＳ６０２に処理が進み、更新確認要求がない場合は（ステップＳ６０１、いいえ）、ステップＳ６０４に処理が進む。

（ステップＳ６０２）
センタ１０の制御部１８は、更新が必要なソフトウェアの有無をチェックする。このチェックは、更新確認要求に含まれる車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンとに、基づいて行われる。更新が必要なソフトウェアの有無のチェックが行われると、ステップＳ６０３に処理が進む。

（ステップＳ６０３）
センタ１０の制御部１８は、センタ１０の記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判断し、判断結果に基づいて更新データの有無を示す情報をＯＴＡマスタ３０に送信する。更新データの有無が送信されると、ステップＳ６０４に処理が進む。

（ステップＳ６０４）
センタ１０の通信部１７は、ＯＴＡマスタ３０から配信パッケージのダウンロード要求があったか否かを判断する。ダウンロード要求があった場合は（ステップＳ６０４、はい）、ステップＳ６０５に処理が進み、ダウンロード要求がない場合は（ステップＳ６０４、いいえ）、ステップＳ６０１に処理が進む。

（ステップＳ６０５）
センタ１０の制御部１８は、ソフトウェアの更新データがあると判断した電子制御ユニットであるターゲット電子制御ユニット（以下「ターゲットＥＣＵ」という）について、第１更新データ及び第２更新データなどを含んだ配信パッケージを生成する。なお、第１更新データと第２更新データとは、同一の配信パッケージに含めずに、個別の配信パッケージに含められてもよい。配信パッケージが生成されると、ステップＳ６０６に処理が進む。

（ステップＳ６０６）
センタ１０の通信部１７は、配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージが送信されると、ステップＳ６０１に処理が進む。

（２）インストール及びアクティベートの具体例１
図７は、ＯＴＡマスタ３０及びターゲットＥＣＵが行う具体例１によるインストール及びアクティベートの処理手順を説明するフローチャートである。この具体例１による更新処理は、第２更新データに基づくソフトウェアをＯＴＡマスタ３０が実行する場合の例である。

この具体例１の処理は、ＯＴＡマスタ３０によるターゲットＥＣＵの第１更新データ及び第２更新データを含む配信パッケージのセンタ１０からのダウンロードが完了した後に開始される。

（ステップＳ７０１）
ＯＴＡマスタ３０の制御部３９は、センタ１０から配信パッケージによって取得した第１更新データ及び第２更新データを記憶部３７に記憶する。第１更新データ及び第２更新データが記憶されると、ステップＳ７０２に処理が進む。

（ステップＳ７０２）
ＯＴＡマスタ３０の制御部３９は、記憶部３７に記憶した更新データ（第１更新データ及び第２更新データ）の検証を行う。更新データの検証が成功した場合は（ステップＳ７０２、成功）、ステップＳ７０３に処理が進み、更新データの検証が失敗した場合は（ステップＳ７０２、失敗）、インストールを開始することなく本インストール及びアクティベートの処理を終了する。

（ステップＳ７０３）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、第１更新データに基づくソフトウェアを、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込む処理であるインストールを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でインストールが行われる。ターゲットＥＣＵに対するインストールが実行されると、ステップＳ７０４に処理が進む。

（ステップＳ７０４）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのインストールが完了したか否かを判定する。ＯＴＡマスタ３０は、インストールの完了を、ターゲットＥＣＵからの完了通知がそれぞれあったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばインストールに要する最大の時間以上に設定することができる。第１更新データに基づくソフトウェアのインストールが完了したと判定された場合は（ステップＳ７０４、成功）、ステップＳ７０５に処理が進む。一方、エラーを検知したなど、第１更新データに基づくソフトウェアのインストールが正常に完了していないと判定された場合は（ステップＳ７０４、失敗）、ステップＳ７０８に処理が進む。この場合、ＯＴＡマスタ３０から更新制御の途中であるターゲットＥＣＵに対して、更新制御の停止／中止を指示してもよい。

（ステップＳ７０５）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた第１更新データに基づくソフトウェアを有効化するアクティベートを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でアクティベートが行われる。ターゲットＥＣＵに対するアクティベートが実行されると、ステップＳ７０６に処理が進む。

（ステップＳ７０６）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが完了したか否かを判定する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが完了したと判定された場合は（ステップＳ７０６、成功）、ステップＳ７０７に処理が進む。一方、エラーを検知したなど、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが正常に完了していないと判定された場合は（ステップＳ７０６、失敗）、ステップＳ７０８に処理が進む。この場合、ＯＴＡマスタ３０から更新制御の途中であるターゲットＥＣＵに対して、更新制御の停止／中止を指示してもよい。

（ステップＳ７０７）
ターゲットＥＣＵは、不揮発性メモリの格納領域に書き込まれ、かつ、アクティベートが完了した第１更新データに基づくソフトウェアを実行する。これにより、ターゲットＥＣＵに対するソフトウェアの更新が完了し、本インストール及びアクティベートの処理が終了する。

（ステップＳ７０８）
ＯＴＡマスタ３０の制御部３９は、記憶部３７に記憶した第２更新データに基づくソフトウェアを実行する。この第２更新データに基づくソフトウェアの実行に際し、ＯＴＡマスタ３０は、車両に搭載された表示装置７０や、ネットワーク１００で接続されるユーザー所有の車両に搭載されていない表示装置９５などに、第２更新データに基づくソフトウェアを実行する旨（一部の制御が利用できないことなど）を通知してもよい。表示装置９５の通知にあたっては、ＯＴＡマスタ３０が直接行ってもよいし、センタ１０がＯＴＡマスタ３０から取得する情報に基づいて間接的に行ってもよい。また、ＯＴＡマスタ３０は、各電子制御ユニット５０ａ～５０ｄに対して、第２更新データに基づくソフトウェアの実行に伴う通信ネットワーク９０の通信仕様（ＣＡＮなど）の変更を実施してもよい。これにより、ターゲットＥＣＵに対するソフトウェアの簡易的な更新が完了し、本インストール及びアクティベートの処理が終了する。なお、ターゲットＥＣＵに対する簡易的なソフトウェアの更新は、再度実施される第１更新データに基づくソフトウェアの更新が正常に完了するまでの一時的な措置として用いられる。

（３）インストール及びアクティベートの具体例２
図８Ａ及び図８Ｂは、ＯＴＡマスタ３０及びターゲットＥＣＵが行う具体例２によるインストール及びアクティベートの処理手順を説明するフローチャートである。図８Ａの処理と図８Ｂの処理とは、結合子Ｘ、Ｙ、及びＺでそれぞれ結ばれる。この具体例２による更新処理は、第２更新データに基づくソフトウェアをターゲットＥＣＵが実行する場合の例である。

この具体例２の処理は、ＯＴＡマスタ３０によるターゲットＥＣＵの第１更新データ及び第２更新データを含む配信パッケージのセンタ１０からのダウンロードが完了した後に開始される。

（ステップＳ８０１）
ＯＴＡマスタ３０の制御部３９は、センタ１０から配信パッケージによって取得した第１更新データ及び第２更新データを記憶部３７に記憶する。第１更新データ及び第２更新データが記憶されると、ステップＳ８０２に処理が進む。

（ステップＳ８０２）
ＯＴＡマスタ３０の制御部３９は、記憶部３７に記憶した更新データ（第１更新データ及び第２更新データ）の検証を行う。更新データの検証が成功した場合は（ステップＳ８０２、成功）、ステップＳ８０３に処理が進み、更新データの検証が失敗した場合は（ステップＳ８０２、失敗）、インストールを開始することなく本インストール及びアクティベートの処理を終了する。

（ステップＳ８０３）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、第１更新データに基づくソフトウェアを、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込む処理であるインストールを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でインストールが行われる。ターゲットＥＣＵに対する第１更新データに基づくソフトウェアインストールが実行されると、ステップＳ８０４に処理が進む。

（ステップＳ８０４）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのインストールが完了したか否かを判定する。ＯＴＡマスタ３０は、インストールの完了を、ターゲットＥＣＵからの完了通知がそれぞれあったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばインストールに要する最大の時間以上に設定することができる。第１更新データに基づくソフトウェアのインストールが完了したと判定された場合は（ステップＳ８０４、成功）、ステップＳ８０５に処理が進む。一方、エラーを検知したなど、第１更新データに基づくソフトウェアのインストールが正常に完了していないと判定された場合は（ステップＳ８０４、失敗）、ステップＳ８０７に処理が進む。この場合、ＯＴＡマスタ３０から更新制御の途中であるターゲットＥＣＵに対して、更新制御の停止／中止を指示してもよい。

（ステップＳ８０５）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた第１更新データに基づくソフトウェアを有効化するアクティベートを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でアクティベートが行われる。ターゲットＥＣＵに対する第１更新データに基づくソフトウェアのアクティベートが実行されると、ステップＳ８０６に処理が進む。

（ステップＳ８０６）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが完了したか否かを判定する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが完了したと判定された場合は（ステップＳ８０６、成功）、ステップＳ８１１に処理が進む。一方、エラーを検知したなど、ターゲットＥＣＵにおける第１更新データに基づくソフトウェアのアクティベートが正常に完了していないと判定された場合は（ステップＳ８０６、失敗）、ステップＳ８０７に処理が進む。この場合、ＯＴＡマスタ３０から更新制御の途中であるターゲットＥＣＵに対して、更新制御の停止／中止を指示してもよい。

（ステップＳ８０７）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、第２更新データに基づくソフトウェアを、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込む処理であるインストールを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でインストールが行われる。ターゲットＥＣＵに対する第２更新データに基づくソフトウェアのインストールが実行されると、ステップＳ８０８に処理が進む。

（ステップＳ８０８）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第２更新データに基づくソフトウェアのインストールが完了したか否かを判定する。ＯＴＡマスタ３０は、インストールの完了を、ターゲットＥＣＵからの完了通知がそれぞれあったことで判断してもよいし、インストールの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばインストールに要する最大の時間以上に設定することができる。第２更新データに基づくソフトウェアのインストールが完了したと判定された場合は（ステップＳ８０８、成功）、ステップＳ８０９に処理が進み、第２更新データに基づくソフトウェアのインストールが正常に完了していないと判定された場合は（ステップＳ８０８、失敗）、本インストール及びアクティベートの処理を終了する。

（ステップＳ８０９）
ＯＴＡマスタ３０の制御部３９及びターゲットＥＣＵは、ターゲットＥＣＵの不揮発性メモリの格納領域に書き込まれた第２更新データに基づくソフトウェアを有効化するアクティベートを実行する。ターゲットＥＣＵが複数ある場合には、一斉に又は所定の順序でアクティベートが行われる。ターゲットＥＣＵに対する第２更新データに基づくソフトウェアのアクティベートが実行されると、ステップＳ８１０に処理が進む。

（ステップＳ８１０）
ＯＴＡマスタ３０の判定部４０は、ターゲットＥＣＵにおける第２更新データに基づくソフトウェアのアクティベートが完了したか否かを判定する。ＯＴＡマスタ３０は、アクティベートの完了を、ターゲットＥＣＵからの完了通知があったことで判断してもよいし、アクティベートの開始から所定の時間が経過後したことで判断してもよい。所定の時間は、例えばアクティベートに要する時間以上に設定することができる。ターゲットＥＣＵにおける第２更新データに基づくソフトウェアのアクティベートが完了したと判定された場合は（ステップＳ８１０、成功）、ステップＳ８１１に処理が進み、ターゲットＥＣＵにおける第２更新データに基づくソフトウェアのアクティベートが正常に完了していないと判定された場合は（ステップＳ８１０、失敗）、本インストール及びアクティベートの処理を終了する。

（ステップＳ８１１）
ターゲットＥＣＵは、不揮発性メモリの格納領域に書き込まれ、かつ、アクティベートが完了した第１更新データに基づくソフトウェア（ステップＳ８０６で成功）又は第２更新データに基づくソフトウェア（ステップＳ８１０で成功）を実行する。これにより、ターゲットＥＣＵに対するソフトウェアの更新又は簡易的な更新が完了し、本インストール及びアクティベートの処理が終了する。

なお、ＯＴＡマスタ３０は、第２更新データに基づくソフトウェアを実行する際には、車両に搭載された表示装置７０や、ネットワーク１００で接続されるユーザー所有の車両に搭載されていない表示装置９５などに、第２更新データに基づくソフトウェアを実行する旨（一部の制御が利用できないことなど）を通知してもよい。表示装置９５の通知にあたっては、ＯＴＡマスタ３０が直接行ってもよいし、センタ１０がＯＴＡマスタ３０から取得する情報に基づいて間接的に行ってもよい。また、ＯＴＡマスタ３０は、各電子制御ユニット５０ａ～５０ｄに対して、第２更新データに基づくソフトウェアの実行に伴う通信ネットワーク９０の通信仕様（ＣＡＮなど）の変更を実施してもよい。

また、ターゲットＥＣＵの不揮発性メモリがソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、ターゲットＥＣＵにおける第２更新データに基づくソフトウェアの運用は、運用していない格納領域側に第１更新データに基づくソフトウェアの再インストール及び再アクティベートが正常に完了するまでの一時的な措置とすることが好ましい。

＜作用・効果＞
以上のように、本開示の一実施形態に係るシステムによれば、センタ１０は、更新によってソフトウェアに提供される機能の全てに対応した第１更新データと、第１更新データに紐付く更新によってソフトウェアに提供される機能の一部のみに対応した第２更新データとを、ＯＴＡセンタ３０に送信する。そして、ＯＴＡマスタは、第１更新データに基づいてターゲット電子制御ユニットのソフトウェアの更新処理をまず行い、第１更新データに基づいたターゲット電子制御ユニットのソフトウェアの更新が失敗した場合は、第２更新データに基づくソフトウェアを実行する。

これにより、第１更新データに基づくソフトウェアのインストール以降の更新処理を失敗した場合、第２更新データに基づくソフトウェアを代替して素早く実行させることができるので、ソフトウェアの更新が完了するまでの時間を抑制することができる。また、ソフトウェアの更新に失敗した際にも安全な制御が可能となる。

本開示技術は、車両に搭載された電子制御ユニットのソフトウェアを更新するためのシステムに利用できる。

１０ センタ
１１、３１、５１ ＣＰＵ
１２、３２、５２ ＲＡＭ
１３、３４ 記憶装置
１４、３６、５４ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
４０ 判定部
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
５３ａ、５３ｂ 不揮発性メモリ
５５、５６ａ、５６ｂ 格納領域
６０ａ～６０ｄ バス
７０、９５ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
１００ ネットワーク

Claims (1)

1. 車両に搭載された電子制御ユニットのソフトウェアを更新するための更新データを送信するセンタと、
   前記センタから受信した前記更新データに基づいて、前記電子制御ユニットのソフトウェアの更新処理を制御するＯＴＡマスタを備えた車両と、
   を含むシステムであって、
   前記センタは、第１更新データと、前記第１更新データに紐付いた第２更新データとを、前記車両に送信し、
   前記ＯＴＡマスタは、前記第１更新データに基づいて前記電子制御ユニットのソフトウェアの更新処理を行い、前記第１更新データに基づいた前記電子制御ユニットのソフトウェアの更新が失敗した場合は、前記第２更新データに基づくソフトウェアを実行する、
   システム。

Images