特開 2023-145880 車載更新装置、車載更新システムおよび車載制御装置のプログラム更新に関する制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023145880

(43)【公開日】2023-10-12

(54)【発明の名称】車載更新装置、車載更新システムおよび車載制御装置のプログラム更新に関する制御方法

(51)【国際特許分類】

   G06F 11/14 20060101AFI20231004BHJP

   G06F 8/65 20180101ALI20231004BHJP

【ＦＩ】

G06F11/14 656

G06F8/65

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2022052769

(22)【出願日】2022-03-29

(71)【出願人】

【識別番号】314012076

【氏名又は名称】パナソニックＩＰマネジメント株式会社

(74)【代理人】

【識別番号】100123102

【弁理士】

【氏名又は名称】宗田 悟志

(72)【発明者】

【氏名】上原 利幸

(72)【発明者】

【氏名】西田 英志

(72)【発明者】

【氏名】檜垣 茂明

(72)【発明者】

【氏名】谷村 直哉

(72)【発明者】

【氏名】片田 智章

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376AB43

5B376CA49

5B376CA52

5B376CA75

5B376GA08

(57)【要約】

【課題】車載制御装置のプログラム更新に関する好適な制御を実現する。
【解決手段】車載更新装置２４は、プログラム提供装置１２から更新対象ＥＣＵ２２ａに適用すべき更新プログラムを取得する場合であり、かつ、車載更新装置２４の記憶部に記憶されている退避データを非更新対象ＥＣＵ２２ｂに退避させるべき場合に、第１の条件を満たす非更新対象ＥＣＵ２２ｂを選択する。車載更新装置２４は、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が第２の条件を満たす場合、第１の処理として、退避データの少なくとも一部を非更新対象ＥＣＵ２２ｂへ送信し、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が第２の条件を満たさない場合、第１の処理とは異なる第２の処理を実行する。
【選択図】図１

【特許請求の範囲】

【請求項1】

車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新装置であって、
前記更新プログラムが記憶される記憶部と、
更新対象の車載制御装置への前記更新プログラムの送信を制御する制御部と、
を備え、
前記制御部は、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記制御部は、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載更新装置。

【請求項2】

前記制御部は、前記第２の処理として、前記更新プログラムの一部をリムーバブル記憶装置に記憶させる、
請求項１に記載の車載更新装置。

【請求項3】

前記制御部は、前記車両の走行における危険度が高い場合、前記更新対象の車載制御装置のプログラムを更新するための処理を停止する、
請求項１または２に記載の車載更新装置。

【請求項4】

前記車両は、電気自動車であり、
前記制御部は、前記車両のバッテリー残量が所定の閾値未満である場合、前記更新対象の車載制御装置のプログラムを更新するための処理を停止する、
請求項１から３のいずれかに記載の車載更新装置。

【請求項5】

車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新システムであって、
前記更新プログラムが記憶される記憶部と、
更新対象の車載制御装置への前記更新プログラムの送信を制御する制御部と、
を備え、
前記制御部は、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記制御部は、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載更新システム。

【請求項6】

車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行い、かつ、前記更新プログラムが記憶される記憶部を備える、前記車両に搭載されるコンピュータが、更新対象の車載制御装置への前記更新プログラムの送信を制御する処理を実行し、
前記コンピュータは、前記制御する処理として、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記コンピュータは、前記制御する処理として、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載制御装置のプログラム更新に関する制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示はデータ処理技術に関し、特に車載更新装置、車載更新システムおよび車載制御装置のプログラム更新に関する制御方法に関する。

【背景技術】

【0002】

車載制御装置に適用すべき更新プログラムのサイズに対して、車載更新装置の記憶部の空き容量が不十分である場合に、車載更新装置の記憶部に記憶されたデータを外部サーバや非更新対象の車載制御装置に待避させることにより、車載更新装置の記憶部の空き領域を増加させ、車載更新装置の記憶部に更新プログラムを記憶する技術が提案されている（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２０－１５２１５４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかし、非更新対象の車載制御装置の中には、書き換え寿命等の観点からデータの退避先として適当でないものが含まれうる。

【0005】

本開示はこうした課題に鑑みてなされたものであり、１つの目的は、車載制御装置のプログラム更新に関する好適な制御を実現する技術を提供することにある。

【課題を解決するための手段】

【0006】

上記課題を解決するために、本開示のある態様の車載更新装置は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新装置であって、更新プログラムが記憶される記憶部と、更新対象の車載制御装置への更新プログラムの送信を制御する制御部と、を備える。制御部は、外部サーバから更新プログラムを取得する場合であり、かつ、記憶部に記憶されている退避データを更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、制御部は、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、退避データの少なくとも一部を非更新対象の車載制御装置へ送信し、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たさない場合、第１の処理とは異なる第２の処理を実行する。

【0007】

本発明の別の態様は、車載更新システムである。この車載更新システムは、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新システムであって、更新プログラムが記憶される記憶部と、更新対象の車載制御装置への更新プログラムの送信を制御する制御部と、を備える。制御部は、外部サーバから更新プログラムを取得する場合であり、かつ、記憶部に記憶されている退避データを更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、制御部は、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、退避データの少なくとも一部を非更新対象の車載制御装置へ送信し、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たさない場合、第１の処理とは異なる第２の処理を実行する。

【0008】

本発明のさらに別の態様は、車載制御装置のプログラム更新に関する制御方法である。この方法は、車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行い、かつ、更新プログラムが記憶される記憶部を備える、車両に搭載されるコンピュータが、更新対象の車載制御装置への更新プログラムの送信を制御する処理を実行し、コンピュータは、制御する処理として、外部サーバから更新プログラムを取得する場合であり、かつ、記憶部に記憶されている退避データを更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、コンピュータは、制御する処理として、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、退避データの少なくとも一部を非更新対象の車載制御装置へ送信し、第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たさない場合、第１の処理とは異なる第２の処理を実行する。

【0009】

なお、以上の構成要素の任意の組合せ、本開示の表現を、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、車載更新装置を備える車両などの間で変換したものもまた、本開示の態様として有効である。

【発明の効果】

【0010】

本開示の技術によれば、車載制御装置のプログラム更新に関する好適な制御を実現できる。

【図面の簡単な説明】

【0011】

【図1】第１実施例の車載更新システムの構成を示すブロック図である。

【図2】図１のＥＣＵと車載更新装置の詳細な機能ブロックを示すブロック図である。

【図3】車載更新装置の記憶部に記憶される複数種類のデータと、退避データの例を示す図である。

【図4】第１実施例の車載更新装置の処理を示すフローチャートである。

【図5】第１実施例の車載更新装置の処理を示すフローチャートである。

【図6】図５のＳ１２０の退避先ＥＣＵ設定処理の詳細を示すフローチャートである。

【図7】第２実施例の車載更新装置の処理を示すフローチャートである。

【図8】第２実施例の車載更新装置の処理を示すフローチャートである。

【図9】第２実施例の車載更新装置の処理を示すフローチャートである。

【図10】第３実施例の車載更新装置の処理を示すフローチャートである。

【図11】第３実施例の車載更新装置の処理を示すフローチャートである。

【図12】第３実施例の車載更新装置の処理を示すフローチャートである。

【図13】変形例の車載更新システムの構成を示すブロック図である。

【図14】変形例の車載更新システムの構成を示すブロック図である。

【発明を実施するための形態】

【0012】

本開示における装置または方法の主体は、コンピュータを備えている。このコンピュータがプログラムを実行することによって、本開示における装置または方法の主体の機能が実現される。コンピュータは、プログラムにしたがって動作するプロセッサを主なハードウェア構成として備える。プロセッサは、プログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）（ＩＣ）、またはＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）を含む１つまたは複数の電子回路で構成される。ここではＩＣあるいはＬＳＩと呼んでいるが、集積の度合いによって呼び方が変わり、システムＬＳＩ、ＶＬＳＩ（Ｖｅｒｙ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）もしくはＵＬＳＩ（Ｕｌｔｒａ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）と呼ばれるものであってもよい。ＬＳＩの製造後にプログラムされる、フィールド・プログラマブル・ゲート・アレイ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）（ＦＰＧＡ）、またはＬＳＩ内部の接合関係の再構成またはＬＳＩ内部の回路区画のセットアップができる再構成可能な論理デバイスも同じ目的で使うことができる。また、プロセッサは、ＳｏＣ（System on a Chip）、ＭＰＵ（Micro Processor Unit）、ＭＣＵ（Micro Controller Unit）の内少なくとも１つを含んでもよい。複数の電子回路は、１つのチップに集積されてもよいし、複数のチップに設けられてもよい。複数のチップは１つの装置に集約されていてもよいし、複数の装置に備えられていてもよい。プログラムは、コンピュータが読み取り可能なＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、光ディスク、ハードディスクドライブなどの非一時的記録媒体に記録されてもよいし、コンピュータが読み取り可能なＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などの一時的記憶媒体に記録されてもよい。プログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体もしくは記憶媒体に供給されてもよい。

【0013】

＜第１実施例＞
図１は、第１実施例の車載更新システム１０の構成を示すブロック図である。本開示のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

【0014】

車載更新システム１０は、プログラム提供装置１２と車両１４を備える。プログラム提供装置１２と車両１４は、通信網１６を介して接続される。通信網１６は、第４世代移動通信システム（４Ｇ）、第５世代移動通信システム（５Ｇ）、インターネット等を含んでもよい。

【0015】

プログラム提供装置１２は、車両１４の車載制御装置で実行されるコンピュータプログラムを更新するためのコンピュータプログラム（以下「更新プログラム」と呼ぶ。）を車両１４へ提供するサーバである。プログラム提供装置１２は、ＯＴＡ（Over The Air）サーバとも呼ばれる。車両１４の車載制御装置は、第１実施例ではＥＣＵ（Electronic Control Unit）とする。プログラム提供装置１２は、各種データを記憶する記憶部１８を備える。後述するように、記憶部１８は、待避データの待避先となる。

【0016】

車両１４は、車外通信装置２０、複数のＥＣＵ２２、車載更新装置２４、リムーバブル記憶装置２６、表示装置２８を備える。車両１４内の各装置は、イーサネット（登録商標）、ＣＡＮ（Controller Area Network）、ＭＯＳＴ（Media Oriented Systems Transport）（登録商標）等、公知の車載ネットワークを介して接続される。

【0017】

車外通信装置２０は、無線通信により、車両１４の外部の装置と通信する。例えば、車外通信装置２０は、プログラム提供装置１２から送信されたデータを受信して、受信したデータを車載更新装置２４に入力する。また、車外通信装置２０は、車載更新装置２４から出力されたデータをプログラム提供装置１２へ送信する。

【0018】

複数のＥＣＵ２２は、車載制御装置とも言える。複数のＥＣＵ２２は、車両１４の挙動を制御するＥＣＵを含み、また、各種情報を管理するＥＣＵを含む。例えば、複数のＥＣＵ２２は、エンジン制御用ＥＣＵ、ブレーキ制御用ＥＣＵ、ステアリング制御用ＥＣＵ、自動運転コントローラ、ＩＶＩ（In-Vehicle Infotainment）装置等を含んでもよい。複数のＥＣＵ２２のそれぞれは、プロセッサ（ＣＰＵ等）を含み、予め記憶されたコンピュータプログラムをプロセッサが実行することにより、そのコンピュータプログラムが定める機能が発揮される。

【0019】

１つの更新プログラムの適用に関して、複数のＥＣＵ２２は、更新対象ＥＣＵ２２ａと非更新対象ＥＣＵ２２ｂとに分類される。更新対象ＥＣＵ２２ａは、更新プログラムにより既存のプログラムが更新されるべきＥＣＵであり、言い換えれば、更新プログラムの適用先となるＥＣＵである。非更新対象ＥＣＵ２２ｂは、更新プログラムの適用先でないＥＣＵである。

【0020】

車載更新装置２４は、プログラム提供装置１２から送信された更新プログラムを、車外通信装置２０を介して取得し、その更新プログラムを用いてＥＣＵ２２のプログラムを更新するための処理を実行するコンピュータである。車載更新装置２４は、ＥＣＵとして実装されてもよい。車載更新装置２４は、ＯＴＡ管理ＥＣＵとも言える。

【0021】

リムーバブル記憶装置２６は、リムーバブルメディアとも呼ばれ、車両１４の乗員により取り外しが可能な外部記録媒体である、リムーバブル記憶装置２６は、例えば、ＵＳＢフラッシュドライブであってもよい。表示装置２８は、各種情報を表示する。表示装置２８は、例えば、カーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置であってもよい。

【0022】

図２は、図１のＥＣＵ２２と車載更新装置２４の詳細な機能ブロックを示すブロック図である。図２に示すＥＣＵ２２の構成は、複数のＥＣＵ２２に共通である。ＥＣＵ２２は、車内通信部３０、制御部３２、記憶部３４を備える。車内通信部３０は、車載ネットワークを介して車載更新装置２４とデータを送受信する

【0023】

記憶部３４は、制御部３２により参照または更新されるデータを記憶する。記憶部３４の少なくとも一部は、書き換え可能な不揮発メモリ（例えばＥＥＰＲＯＭやフラッシュメモリ等）により構成される。そのため、記憶部３４には、書き換え回数（書き込み回数とも言える）に上限があり、すなわち、書き換え寿命がある。

【0024】

記憶部３４は、第１記憶領域３６と第２記憶領域３８を含む。第１記憶領域３６と第２記憶領域３８は、一方が、制御部３２により実行されるコンピュータプログラムを保持する面（動作面）となり、他方が、更新プログラムが反映される面（非動作面）となる。非動作面のコンピュータプログラムが更新された場合、次回起動時には、動作面と非動作面が切り替えられる。これにより、制御部３２は、更新後のコンピュータプログラムを実行し、更新された機能を発揮する。変形例として、ＥＣＵ２２は、記憶部３４の別の保存領域に更新プログラムを書き込んでもよい。ＥＣＵ２２は、走行停止中（ＥＣＵ２２の非稼働中）に、更新プログラムを用いて記憶部３４の起動面のプログラムを更新する内部処理を実行してもよい。また、ＥＣＵ２２は、更新プログラムを記憶部３４の空き領域に書き込んでもよく、走行停止中（ＥＣＵ２２の非稼働中）に、次回稼働時に更新プログラムにて動作するように内部処理を実行してもよい。

【0025】

制御部３２は、記憶部３４に記憶されたコンピュータプログラムにしたがって、自装置の動作を制御し、また、制御対象の外部装置（アクチュエータ等）の動作を制御する。制御部３２は、ＥＣＵ２２のプロセッサ（ＣＰＵ等）により実現され、制御部３２の機能は、ＥＣＵ２２のプロセッサが記憶部３４（動作面）に記憶されたコンピュータプログラムを実行することにより発揮される。

【0026】

車載更新装置２４は、車内通信部４０、入出力ＩＦ４２、制御部４４、記憶部４６を備える。車内通信部４０は、車載ネットワークを介して複数のＥＣＵ２２とデータを送受信する。入出力ＩＦ４２は、車外通信装置２０、リムーバブル記憶装置２６、表示装置２８と接続するインタフェースである。入出力ＩＦ４２は、接続する装置に応じた異なる規格のインタフェースを含んでよい。

【0027】

記憶部４６は、車載更新装置２４の動作を制御するコンピュータプログラム（以下「更新制御プログラム」とも呼ぶ。）を記憶する。また、記憶部４６は、一時的に更新プログラムの少なくとも一部を記憶する。

【0028】

制御部４４は、記憶部４６に記憶された更新制御プログラムにしたがって、ＥＣＵ２２のコンピュータプログラムの更新に関する処理を実行し、言い換えれば、ＥＣＵ２２に対する更新プログラムの適用に関する処理を実行する。制御部４４は、車載更新装置２４のプロセッサ（ＣＰＵ等）により実現され、制御部４４の機能は、車載更新装置２４のプロセッサが記憶部４６に記憶された更新制御プログラムを実行することにより発揮される。

【0029】

制御部４４は、更新対象ＥＣＵ２２ａへの更新プログラムの送信を制御する。第１実施例の制御部４４は、プログラム提供装置１２から更新プログラムを取得する場合であり、かつ、記憶部４６に記憶されている退避データを非更新対象ＥＣＵ２２ｂに退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択する。記憶部４６に記憶されている退避データを非更新対象ＥＣＵ２２ｂに退避させるべき場合は、更新プログラムを記憶するための空き領域が記憶部４６にない場合とも言える。第１の条件については後述する。

【0030】

制御部４４は、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が第２の条件を満たす場合、第１の処理として、記憶部４６に記憶された退避データの少なくとも一部を非更新対象ＥＣＵ２２ｂへ送信する。一方、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が第２の条件を満たさない場合、第１の処理とは異なる第２の処理を実行する。制御部４４は、送信した退避データが記憶されていた記憶部４６の領域に、プログラム提供装置１２から取得した更新プログラムの少なくとも一部を記憶させる。

【0031】

上記の第２の条件は、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が所定の閾値以上となることである。第１実施例での第２の条件は、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量が、更新プログラムを車載更新装置２４の記憶部４６に格納可能となる値以上になることである。具体的には、第２の条件は、第１の条件を満たす非更新対象ＥＣＵ２２ｂへの退避可能量と、車載更新装置２４の記憶部４６の空き領域との合計値が、更新プログラムのサイズ以上となることである。

【0032】

このように車載更新装置２４は、更新プログラムの記憶領域を確保するために記憶部４６に記憶された既存のデータを退避させる場合に、その退避先を適切に決定できる。また、非更新対象ＥＣＵ２２ｂを含めても退避可能量が十分でない場合には、退避データの少なくとも一部を非更新対象ＥＣＵ２２ｂへ送信する第１の処理とは異なる第２の処理を実行する。これにより、非更新対象ＥＣＵ２２ｂを含めても退避可能量が十分でない場合にも適切な対処を行うことができる。

【0033】

また、制御部４４は、第２の処理として、更新プログラムの一部をリムーバブル記憶装置２６に記憶させる。これにより、非更新対象ＥＣＵ２２ｂを含めても退避可能量が十分でない場合、車両１４の乗員により接続されたリムーバブル記憶装置２６を更新プログラムの格納先として活用することで、更新プログラムの適用可能性を高めることができる。

【0034】

図３は、車載更新装置２４の記憶部４６に記憶される複数種類のデータと、退避データの例を示す。（１）故障異常コードは、制御部４４が複数のＥＣＵ２２のそれぞれから送信されたデータを受信して、そのデータに含まれる故障異常コードを抽出し、記憶部４６に格納したものでもよい。また、故障異常コードは、制御部４４が自装置の自己診断機能を発揮し、自己診断の結果に基づいて出力したものであってもよい。（２）セキュリティ情報は、車載更新装置２４のセキュリティの状態を示す情報であってもよい。

【0035】

（３）フリーズフレームデータは、車両１４における異常発生時に車載ネットワークを流れていた全データを記録したものであってもよい。例えば、フリーズフレームデータは、制御部４４が故障異常コードを抽出した場合に、その時点で車載ネットワークを流れるデータ（ＣＡＮメッセージやイーサネットフレーム等）を記録したものであってもよい。（４）更新処理のログデータは、制御部４４がＥＣＵ２２（更新対象ＥＣＵ２２ａ）に更新プログラムを送信する際の進捗状況に関する情報を記録したものであってもよい。（５）通信のログデータは、制御部４４により記録された、車載ネットワークを流れる通信のログデータであってもよい。

【0036】

退避データは、車載更新装置２４の記憶部４６から、車載更新装置２４の外部装置の記憶部へ待避させることが可能なデータである。車載更新装置２４の記憶部４６からプログラム提供装置１２の記憶部１８への退避データは、（４）更新処理のログデータと（５）通信のログデータを含む。また、車載更新装置２４の記憶部４６から非更新対象ＥＣＵ２２ｂの記憶部３４への退避データは、（３）フリーズフレームデータを含む。

【0037】

第１実施例では、車載更新装置２４は、上記の第１の条件として、以下の選別条件１～４に示す４つの選別条件を使用する。車載更新装置２４は、これら４つの選別条件を用いて、非更新対象ＥＣＵ２２ｂの中から、退避データの送信先となり得るＥＣＵ（以下「待避先ＥＣＵ」とも呼ぶ。）を選別し、また、１つ以上の退避先ＥＣＵの優先度を決定する。変形例として、車載更新装置２４は、４つの選別条件のうち一部の選別条件を用いてもよいし、また、選別順序を変えてもよい。

【0038】

選別条件１：非更新対象ＥＣＵ２２ｂの記憶部３４の書き換え回数（言い換えれば書き換え寿命）を考慮し、一定以上の余裕がある非更新対象ＥＣＵ２２ｂのみを退避先ＥＣＵとして選択する。言い換えれば、書き換え回数が予め定められた許容範囲を逸脱する非更新対象ＥＣＵ２２ｂを退避先ＥＣＵから除外する。なお、退避先ＥＣＵの中で書き換え回数の残りが多いものほど高い優先度を付与してもよい。

【0039】

選別条件２：発熱状態が予め定められた許容範囲を逸脱する非更新対象ＥＣＵ２２ｂを待避先ＥＣＵから除外する。
選別条件３：ＣＰＵ使用率が予め定められた許容範囲を継続して逸脱する非更新対象ＥＣＵ２２ｂを退避先ＥＣＵから除外する。
選別条件４：退避先ＥＣＵの中で消費電力が小さいものほど高い優先度を付与する。これにより、車両全体としての消費電力量を低減できる。

【0040】

なお、車載更新装置２４は、非更新対象ＥＣＵ２２ｂの中から退避先ＥＣＵを決定すべき場合に都度、非更新対象ＥＣＵ２２ｂから（１）書き換え可否（あるいは書き換え許容回数）、（２）発熱状態、（３）ＣＰＵ使用率、（４）消費電力を取得してもよい。または、車載更新装置２４は、非更新対象ＥＣＵ２２ｂからこれらの情報を一度取得すると、取得した情報を記憶部４６に格納し、次回以降の待避先ＥＣＵ決定時には、事前に記憶部４６に記憶された情報を参照して待避先ＥＣＵを決定してもよい。また、システム構築時に、退避先ＥＣＵとして選択可能なＥＣＵ２２の情報、または、退避先ＥＣＵとして選択できないＥＣＵ２２の情報が予め定められて記憶部４６に記憶されてもよい。

【0041】

車載更新装置２４は、退避先ＥＣＵの空き領域（すなわち退避先ＥＣＵへのデータ退避量）を加味しても、更新プログラムの記憶領域を確保できない場合には、リムーバブル記憶装置の接続を車両１４の乗員に要求する。そして、更新プログラムの一部のデータをリムーバブル記憶装置に格納する。

【0042】

なお、リムーバブル記憶装置に更新プログラムの全データを置くと、更新プログラムが改ざんされる等の危険がある。これを防止するため、リムーバブル記憶装置に格納するのは、更新プログラムの一部のデータとする。また、リムーバブル記憶装置に待避データ（フリーズフレームデータやログデータ等）を格納すると、リムーバブル記憶装置が取り外された場合に待避データのリストアができなくなるため、リムーバブル記憶装置には待避データを格納しない。

【0043】

以上の構成による車載更新装置２４の動作を説明する。
図４は、第１実施例の車載更新装置２４の処理を示すフローチャートである。車載更新装置２４の制御部４４は、プログラム提供装置１２から送信された更新情報を取得する（Ｓ１００）。更新情報は、更新対象のＥＣＵ２２の型番（言い換えれば更新対象ＥＣＵ２２ａの識別情報）と、更新プログラムのサイズを含む。車載更新装置２４の制御部４４は、取得した更新情報に基づいて、更新プログラムのサイズ（言い換えればデータ容量）を導出する（Ｓ１０１）。

【0044】

制御部４４は、更新プログラムのサイズと、ローカルの記憶部４６の空き容量とを比較する。更新プログラムのサイズが記憶部４６の空き容量以下であれば（Ｓ１０２のＹ）、制御部４４は、更新プログラムの提供を要求するデータをプログラム提供装置１２に送信し、プログラム提供装置１２から送信された更新プログラムのデータを取得して記憶部４６に格納する（Ｓ１０３）。

【0045】

制御部４４は、記憶部４６に記憶された更新プログラムを更新対象ＥＣＵ２２ａへ送信して、更新対象ＥＣＵ２２ａの制御部３２に更新プログラムの適用を指示する（Ｓ１０４）。更新プログラムを取得（受信）した更新対象ＥＣＵ２２ａの制御部３２は、所定のタイミングで更新プログラムの適用処理を実行する。例えば、制御部３２は、記憶部３４の非動作面に記憶されたコンピュータプログラムを更新プログラムに基づいて更新する。次回の起動時、制御部３２は、更新プログラムを適用したそれまでの非動作面を新たな動作面として、その新たな動作面に記憶された更新後のコンピュータプログラムに基づいて各種制御を実行する。

【0046】

更新プログラムのサイズが記憶部４６の空き容量より大きければ（Ｓ１０２のＮ）、車載更新装置２４の制御部４４は、車載更新装置２４からプログラム提供装置１２に送信可能な退避データの最大容量（以下「最大退避容量」とも呼ぶ。）を特定する。最大退避容量は、プログラム提供装置１２から提供された更新情報に含まれてもよく、制御部４４は、更新情報の中からプログラム提供装置１２への最大退避容量を抽出してもよい。または、制御部４４は、プログラム提供装置１２に問い合わせることによりプログラム提供装置１２への最大退避容量を特定してもよい。

【0047】

制御部４４は、ローカルの記憶部４６の空き容量とプログラム提供装置１２への最大退避容量との合計値（「合計空き容量」とも呼ぶ。）と、更新プログラムのサイズとを比較する。更新プログラムのサイズが合計空き容量以下であれば（Ｓ１０５のＹ）、制御部４４は、記憶部４６内の退避データ（例えば更新処理のログデータや通信のログデータを含む）をプログラム提供装置１２へ送信し、プログラム提供装置１２の記憶部１８に記憶させる。退避データのサイズは、例えば、プログラム提供装置１２への最大退避容量と同じサイズであってもよい。制御部４４は、プログラム提供装置１２に送信した退避データをローカルの記憶部４６から削除する（Ｓ１０６）。

【0048】

制御部４４は、プログラム提供装置１２から送信された更新プログラムを取得して記憶部４６に格納する（Ｓ１０７）。制御部４４は、記憶部４６に記憶された更新プログラムを更新対象ＥＣＵ２２ａへ送信して、更新対象ＥＣＵ２２ａの制御部３２に更新プログラムの適用を指示する（Ｓ１０８）。制御部４４は、記憶部４６に記憶された更新プログラムを削除する（Ｓ１０９）。制御部４４は、Ｓ１０６でプログラム提供装置１２に送信した退避データをプログラム提供装置１２から取得し、その退避データを記憶部４６に再度格納する（Ｓ１１０）。

【0049】

更新プログラムのサイズが合計空き容量より大きければ（Ｓ１０５のＮ）、図５に示す処理が実行される。図５も、第１実施例の車載更新装置２４の処理を示すフローチャートであり、図４の続きを示すフローチャートである。

【0050】

車載更新装置２４の制御部４４は、非更新対象ＥＣＵ２２ｂの中から、退避データの送信先となり得る退避先ＥＣＵを選定する（Ｓ１２０）。図６は、図５のＳ１２０の退避先ＥＣＵ設定処理の詳細を示すフローチャートである。制御部４４は、図４のＳ１００で取得した更新情報に基づいて、複数のＥＣＵ２２の中から更新対象ＥＣＵ２２ａを除外していき残ったＥＣＵ２２を非更新対象ＥＣＵ２２ｂとして特定する。制御部４４は、特定した１つ以上の非更新対象ＥＣＵ２２ｂを退避先ＥＣＵの候補として示す候補リストを作成する（Ｓ１３０）。

【0051】

制御部４４は、候補リストの中から判定対象となる１つの非更新対象ＥＣＵ２２ｂを判定対象ＥＣＵとして選択する（Ｓ１３１）。制御部４４は、判定対象ＥＣＵに書き換え可否(あるいは書き換え許容回数（今後書き換えが許容される回数）)を問い合わせるデータを送信し、判定対象ＥＣＵから送信された書き換え可否に関するデータを取得する。判定対象ＥＣＵの記憶部３４が書き換え不可の場合(または記憶部３４の書き換え許容回数が予め定められた許容値以下の場合）（Ｓ１３２のＮ）、制御部４４は、判定対象ＥＣＵを候補リストから削除する（Ｓ１３３）。判定対象ＥＣＵの記憶部３４が書き換え可の場合(または記憶部３４の書き換え許容回数が許容値より大きい場合）（Ｓ１３２のＹ）、制御部４４は、判定対象ＥＣＵを候補リストに残す。候補リストの中に未判定の非更新対象ＥＣＵ２２ｂがあれば（Ｓ１３４のＹ）、Ｓ１３１に戻り、候補リストの中の全ての非更新対象ＥＣＵ２２ｂを判定済であれば（Ｓ１３４のＮ）、Ｓ１３５に進む。

【0052】

変形例として、車載更新装置２４の記憶部４６は、複数のＥＣＵ２２それぞれの記憶部３４の書き換え回数を記憶してもよい。車載更新装置２４の制御部４４は、各ＥＣＵ２２の記憶部３４のデータを更新する都度、各ＥＣＵ２２の記憶部３４の書き換え回数を増加させてもよい。また、記憶部４６は、複数のＥＣＵ２２それぞれの記憶部３４の書き換え回数の許容値を記憶してもよい。この許容値は、予め定められた、書き換えの上限回数以下の値であってもよい。制御部４４は、記憶部４６に記憶された、判定対象ＥＣＵの記憶部３４の書き換え回数を特定してもよい。判定対象ＥＣＵの記憶部３４の書き換え回数が予め定められた許容値より大きい場合（Ｓ１３２のＮ）、制御部４４は、判定対象ＥＣＵを候補リストから削除してもよい（Ｓ１３３）。判定対象ＥＣＵの記憶部３４の書き換え回数が許容値以下の場合（Ｓ１３２のＹ）、制御部４４は、判定対象ＥＣＵを候補リストに残してもよい。

【0053】

制御部４４は、候補リストの中から判定対象となる１つの非更新対象ＥＣＵ２２ｂを判定対象ＥＣＵとして選択する（Ｓ１３５）。制御部４４は、判定対象ＥＣＵに発熱状態（例えばＣＰＵの温度等）を問い合わせるデータを送信し、判定対象ＥＣＵから送信された発熱状態に関するデータを取得する。判定対象ＥＣＵの発熱状態が予め定められた許容値より高い場合（Ｓ１３６のＮ）、制御部４４は、判定対象ＥＣＵを候補リストから削除する（Ｓ１３７）。判定対象ＥＣＵの発熱状態が許容値以下の場合（Ｓ１３６のＹ）、制御部４４は、判定対象ＥＣＵを候補リストに残す。候補リストの中に未判定の非更新対象ＥＣＵ２２ｂがあれば（Ｓ１３８のＹ）、Ｓ１３５に戻り、候補リストの中の全ての非更新対象ＥＣＵ２２ｂを判定済であれば（Ｓ１３８のＮ）、Ｓ１３９に進む。

【0054】

制御部４４は、候補リストの中から判定対象となる１つの非更新対象ＥＣＵ２２ｂを判定対象ＥＣＵとして選択する（Ｓ１３９）。制御部４４は、判定対象ＥＣＵにＣＰＵ使用率を問い合わせるデータを送信し、判定対象ＥＣＵから送信されたＣＰＵ使用率に関するデータを取得する。判定対象ＥＣＵのＣＰＵ使用率が予め定められた許容値より高い場合（Ｓ１４０のＮ）、制御部４４は、判定対象ＥＣＵを候補リストから削除する（Ｓ１４１）。判定対象ＥＣＵのＣＰＵ使用率が許容値以下の場合（Ｓ１４０のＹ）、制御部４４は、判定対象ＥＣＵを候補リストに残す。候補リストの中に未判定の非更新対象ＥＣＵ２２ｂがあれば（Ｓ１４２のＹ）、Ｓ１３９に戻り、候補リストの中の全ての非更新対象ＥＣＵ２２ｂを判定済であれば（Ｓ１４２のＮ）、Ｓ１４３に進む。

【0055】

候補リストに非更新対象ＥＣＵ２２ｂが残っていれば（Ｓ１４３のＹ）、制御部４４は、候補リストに残る非更新対象ＥＣＵ２２ｂを退避先ＥＣＵとして決定する。制御部４４は、記憶部４６に予め記憶された各退避先ＥＣＵの消費電力を特定する。制御部４４は、複数の退避先ＥＣＵに対して、消費電力が少ない順に高い優先順位を付与する（Ｓ１４４）。候補リストに非更新対象ＥＣＵ２２ｂが残っていなければ（Ｓ１４３のＮ）、Ｓ１４４の処理をスキップする。

【0056】

図５に戻り、制御部４４は、車載更新装置２４から各退避先ＥＣＵに送信可能な退避データの最大容量（最大退避容量）を特定する。例えば、制御部４４は、各退避先ＥＣＵに記憶部３４の空き容量を問い合わせてもよく、各退避先ＥＣＵから送信された記憶部３４の空き容量を各退避先ＥＣＵへの最大退避容量として特定してもよい。制御部４４は、ローカルの記憶部４６の空き容量と、プログラム提供装置１２への最大退避容量と、各退避先ＥＣＵへの最大退避容量との合計値を合計空き容量として導出する。制御部４４は、更新プログラムのサイズと合計空き容量とを比較する。

【0057】

更新プログラムのサイズが合計空き容量以下であれば（Ｓ１２１のＹ）、制御部４４は、退避データ（例えば更新処理のログデータや通信のログデータを含む）をプログラム提供装置１２へ送信し、プログラム提供装置１２の記憶部１８に記憶させる。また、制御部４４は、退避データ（例えばフリーズフレームデータを含む）を各退避先ＥＣＵへ送信し、各退避先ＥＣＵの記憶部３４に記憶させる。各退避先ＥＣＵへ送信する退避データのサイズは、各退避先ＥＣＵの最大退避容量と同じサイズであってもよい。制御部４４は、プログラム提供装置１２に送信した退避データをローカルの記憶部４６から削除し、また、各退避先ＥＣＵに送信した退避データを記憶部４６から削除する（Ｓ１２２）。

【0058】

なお、Ｓ１２１の判定において、制御部４４は、合計空き容量を更新プログラムのサイズ以上にするには、優先順位が１位から何位までの退避先ＥＣＵへのデータ退避が必要であるかを導出してもよい。制御部４４は、優先順位が１位の退避先ＥＣＵから、導出した順位までの退避先ＥＣＵに対して退避データを送信してもよい。例えば、合計空き容量を更新プログラムのサイズ以上にするために、優先順位が１位から３位までの退避先ＥＣＵへのデータ退避が必要である場合、制御部４４は、優先順位が１位の退避先ＥＣＵから優先順位が３位の退避先ＥＣＵまで退避データを送信する。

【0059】

Ｓ１２２の終了後、図４のＳ１０７に戻る。この場合、Ｓ１１０では、プログラム提供装置１２に送信した退避データをプログラム提供装置１２から取得してローカルの記憶部４６に再度格納する。また、退避先ＥＣＵに送信した退避データを退避先ＥＣＵから取得してローカルの記憶部４６に再度格納する。

【0060】

更新プログラムのサイズが、全ての退避先ＥＣＵへの最大退避容量を含む合計空き容量より大きければ（Ｓ１２１のＮ）、制御部４４は、リムーバブル記憶装置２６を接続するように指示するコンテンツ（画像等）を表示装置２８へ送信して表示させる（Ｓ１２３）。なお、リムーバブル記憶装置２６を接続するように指示する音声を不図示のスピーカから出力させてもよい。制御部４４は、リムーバブル記憶装置２６が車載更新装置２４に接続されたことを検出すると、リムーバブル記憶装置２６の空き容量を取得する。

【0061】

リムーバブル記憶装置２６の空き容量が所定の閾値以上であれば（Ｓ１２４のＹ）、Ｓ１２２に進む。この閾値は、例えば、更新プログラムのサイズであってもよく、開発者の知見や車載更新システム１０を用いた実験の結果に基づいて適切な値が定められてよい。制御部４４は、記憶部４６の空き容量と、リムーバブル記憶装置２６の空き容量の合計が更新プログラムのサイズ以上であるか否かを判断する。

【0062】

記憶部４６の空き容量と、リムーバブル記憶装置２６の空き容量の合計が更新プログラムのサイズ未満であれば、制御部４４は、Ｓ１２２の処理を実行する。すなわち、制御部４４は、退避データをプログラム提供装置１２へ送信し、プログラム提供装置１２の記憶部１８に記憶させる。制御部４４は、プログラム提供装置１２に送信した退避データをローカルの記憶部４６から削除する。また、制御部４４は、退避データを各退避先ＥＣＵへ送信し、各退避先ＥＣＵの記憶部３４に記憶させる。制御部４４は、各退避先ＥＣＵに送信した退避データを記憶部４６から削除する。一方、記憶部４６の空き容量と、リムーバブル記憶装置２６の空き容量の合計が更新プログラムのサイズ以上であれば、制御部４４は、Ｓ１２２の処理をスキップする。この場合、退避データを退避させなくても、記憶部４６の空き領域とリムーバブル記憶装置２６の空き領域に更新プログラムのデータを分散して保存できるからである。

【0063】

以降、図４のＳ１０７に戻る。Ｓ１０７では、制御部４４は、更新プログラムのデータのうち空き容量の観点からローカルの記憶部４６に格納可能なデータを記憶部４６に格納する。制御部４４は、記憶部４６に格納できない更新プログラムの一部のデータをリムーバブル記憶装置２６へ送信して記憶させる。Ｓ１０８では、制御部４４は、ローカルの記憶部４６に記憶された更新プログラムのデータを更新対象ＥＣＵ２２ａへ送信するとともに、リムーバブル記憶装置２６に記憶された更新プログラムのデータを更新対象ＥＣＵ２２ａへ送信する。先にＳ１２２の処理を実行した場合、すなわち、退避データを退避させた場合には、Ｓ１１０の処理を実行する。すなわち、制御部４４は、プログラム提供装置１２に送信した退避データをプログラム提供装置１２から取得し、また、退避先ＥＣＵに送信した退避データを退避先ＥＣＵから取得し、それらの退避データを記憶部４６に再度格納する。先にＳ１２２の処理を実行していなければ、Ｓ１１０の処理をスキップする。

【0064】

図５に戻り、リムーバブル記憶装置２６が車載更新装置２４に接続されず、または、リムーバブル記憶装置２６の空き容量が所定の閾値未満であれば（Ｓ１２４のＮ）、本図の処理を終了し、すなわち、ＥＣＵ２２に対する更新プログラムの適用に関する処理を停止する。更新プログラムを一時的に保存するための記憶領域が確保できないからである。

【0065】

＜第２実施例＞
本開示の第２実施例について、第１実施例と相違する点を中心に説明し、共通する点の説明を省略する。第２実施例の特徴は、第１実施例の特徴および変形例の特徴と任意の組合せが可能であることはもちろんである。第２実施例の構成要素のうち第１実施例の構成要素と同一または対応する構成要素には適宜、同一の符号を付して説明する。

【0066】

第２実施例の車載更新システム１０における各装置の構成は第１実施例（図１、図２）と同様である。第２実施例の車載更新装置２４の制御部４４は、車両１４の走行における危険度が高い場合、更新対象ＥＣＵ２２ａのコンピュータプログラムを更新するための処理（以下では「更新対象ＥＣＵ２２ａの更新処理」とも呼ぶ。）を停止する。停止は、一時的な停止（言い換えれば中断）であってもよく、永続的な停止（言い換えれば中止）であってもよい。

【0067】

具体的には、車両１４には、乗員の生体情報（心拍、呼吸等）を計測する不図示の生体情報センサが配置されてもよい。車載更新装置２４の制御部４４は、事故後の乗員の生命安全確保の観点で、生体情報センサにより計測された乗員の生体情報に基づいて危険度を導出し、その危険度に応じて、更新対象ＥＣＵ２２ａの更新可否を決定してもよい。例えば、制御部４４は、乗員の状態が軽傷であれば、相対的に低い危険度を導出して、更新対象ＥＣＵ２２ａの更新処理を続行させてもよい。その一方、制御部４４は、乗員の状態が重篤であれば、相対的に高い危険度を導出して、更新対象ＥＣＵ２２ａの更新処理を停止させてもよい。

【0068】

制御部４４は、乗員の操作に応じて、もしくは自動的に緊急通報が実行される場合、そのことを検知して、相対的に高い危険度を導出してもよい。また、制御部４４は、危険度が高いことを示す乗員の操作（例えばＳＯＳボタンの押下等）が入力された場合、そのことを検知して、相対的に高い危険度を導出してもよい。また、制御部４４は、車両１４の故障状態または事故状態に応じて危険度を判定してもよい。例えば、制御部４４は、複数のＥＣＵ２２の故障の有無と程度に基づいて危険度を判断してもよい。また、制御部４４は、エアバッグの作動有無に基づいて危険度を判断してもよい。

【0069】

また、制御部４４は、不図示のカメラによる撮像データや車両１４の走行状態を管理するＥＣＵ２２から取得したデータに基づいて、車両１４の走行において事故リスクが高いイベントが発生したことを検出してもよい。このイベントは、例えば、歩行者の飛び出しや、車両１４における急ブレーキの作動を含む。制御部４４は、事故を防止する観点から、歩行者の飛び出しや急ブレーキ等、事故リスクが高いイベントを検出した場合に、更新対象ＥＣＵ２２ａの更新処理を停止させてもよい。一方、車両間距離が近い等、リスクが低いイベント検出時には、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を続行させてもよい。なお、制御部４４は、車両１４の危険度を、ルールベースで導出してもよく、深層学習やニューラルネットワークを用いて導出してもよい。

【0070】

第２実施例の車載更新装置２４によると、車両１４の走行における危険度が高い場合、ＥＣＵ２２のプログラム更新に関する処理を停止することで、車載機器（例えばＥＣＵ２２、車載更新装置２４等）および車載ネットワークの負荷の増大を回避し、車両１４の安全性を向上させることができる。

【0071】

図７は、第２実施例の車載更新装置２４の処理を示すフローチャートである。ここでは、車両１４の走行における危険度が高い状態として、所定の事故状態（事故が発生した状況および事故リスクが高い状況を含む）である場合に、更新対象ＥＣＵ２２ａのプログラムの更新処理を停止する。図７のＳ２０１、Ｓ２０２、Ｓ２０３、Ｓ２０４、Ｓ２０８は、図４のＳ１００、Ｓ１０１、Ｓ１０２、Ｓ１０３、Ｓ１０４に対応する。

【0072】

更新処理の開始前から所定の事故状態であれば（Ｓ２００のＹ）、車載更新装置２４の制御部４４は、本図の処理を終了し、すなわち、更新プログラムの取得、適用処理を開始しない。所定の事故状態でなければ（Ｓ２００のＮ）、制御部４４は、プログラム提供装置１２から更新情報を取得し（Ｓ２０１）、更新プログラムのサイズを導出する（Ｓ２０２）。更新プログラムのサイズが記憶部４６の空き容量以下であれば（Ｓ２０３のＹ）、制御部４４は、プログラム提供装置１２から更新プログラムを取得して記憶部４６に格納する（Ｓ２０４）。

【0073】

このとき所定の事故状態であることを検出すると（Ｓ２０５のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２０６）。すなわち、制御部４４は、更新プログラムの取得を停止し、または、更新プログラムを更新対象ＥＣＵ２２ａへ送信することを停止する。所定の事故状態でなく（Ｓ２０５のＮ）、かつ、更新プログラムの取得中であれば（Ｓ２０７のＹ）、Ｓ２０４に戻る。更新プログラムの取得が完了した場合（Ｓ２０７のＮ）、制御部４４は、更新プログラムを更新対象ＥＣＵ２２ａへ送信して、更新対象ＥＣＵ２２ａの制御部３２に更新プログラムの適用を指示する（Ｓ２０８）。

【0074】

このとき所定の事故状態であることを検出すると（Ｓ２０９のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２０６）。すなわち、制御部４４は、更新プログラムを更新対象ＥＣＵ２２ａへ送信することを停止し、または、更新プログラムの適用処理を停止するよう更新対象ＥＣＵ２２ａの制御部３２に指示する。なお、更新プログラムが反映されるのは更新対象ＥＣＵ２２ａの記憶部３４の非動作面であるため、更新プログラムの反映が途中で停止しても更新対象ＥＣＵ２２ａの動作に不具合は生じない。所定の事故状態でなく（Ｓ２０９のＮ）、かつ、更新プログラムの送信中であれば（Ｓ２１０のＹ）、Ｓ２０８に戻る。更新プログラムの送信が完了した場合（Ｓ２１０のＮ）、本図の処理を終了する

【0075】

更新プログラムのサイズが記憶部４６の空き容量より大きければ（Ｓ２０３のＮ）、図８に示す処理が実行される。図８も、第２実施例の車載更新装置２４の処理を示すフローチャートであり、図７の続きを示すフローチャートである。図８のＳ２２０、Ｓ２２１、Ｓ２２５、Ｓ２２８、Ｓ２３１、Ｓ２３２は、図４のＳ１０５、Ｓ１０６、Ｓ１０７、Ｓ１０８、Ｓ１０９、Ｓ１１０に対応する。

【0076】

更新プログラムのサイズが、記憶部４６とプログラム提供装置１２の合計空き容量以下であれば（Ｓ２２０のＹ）、制御部４４は、記憶部４６内の退避データをプログラム提供装置１２へ送信し、送信した退避データを記憶部４６から削除する（Ｓ２２１）。

【0077】

このとき所定の事故状態であることを検出すると（Ｓ２２２のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２２３）。すなわち、制御部４４は、退避データをプログラム提供装置１２へ送信することを停止する。所定の事故状態でなく（Ｓ２２２のＮ）、かつ、退避データの送信中であれば（Ｓ２２４のＹ）、Ｓ２２１に戻る。退避データの送信が完了した場合（Ｓ２２４のＮ）、制御部４４は、プログラム提供装置１２から更新プログラムを取得して記憶部４６に格納する（Ｓ２２５）。

【0078】

このとき所定の事故状態であることを検出すると（Ｓ２２６のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２２３）。すなわち、制御部４４は、更新プログラムの取得を停止し、または、更新プログラムを更新対象ＥＣＵ２２ａへ送信することを停止する。所定の事故状態でなく（Ｓ２２６のＮ）、かつ、更新プログラムの取得中であれば（Ｓ２２７のＹ）、Ｓ２２５に戻る。更新プログラムの取得が完了した場合（Ｓ２２７のＮ）、制御部４４は、更新プログラムを更新対象ＥＣＵ２２ａへ送信して、更新対象ＥＣＵ２２ａの制御部３２に更新プログラムの適用を指示する（Ｓ２２８）。

【0079】

このとき所定の事故状態であることを検出すると（Ｓ２２９のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２２３）。すなわち、制御部４４は、更新プログラムを更新対象ＥＣＵ２２ａへ送信することを停止し、または、更新プログラムの適用処理を停止するよう更新対象ＥＣＵ２２ａの制御部３２に指示する。所定の事故状態でなく（Ｓ２２９のＮ）、かつ、更新プログラムの送信中であれば（Ｓ２３０のＹ）、Ｓ２２８に戻る。更新プログラムの送信が完了した場合（Ｓ２３０のＮ）、制御部４４は、記憶部４６に記憶された更新プログラムを削除する（Ｓ２３１）。制御部４４は、Ｓ２２１でプログラム提供装置１２に送信した退避データをプログラム提供装置１２から取得し、その退避データを記憶部４６に再度格納する（Ｓ２３２）。

【0080】

更新プログラムのサイズが合計空き容量より大きければ（Ｓ２２０のＮ）、図９に示す処理が実行される。図９も、第２実施例の車載更新装置２４の処理を示すフローチャートであり、図８の続きを示すフローチャートである。図９のＳ２４０、Ｓ２４１、Ｓ２４２、Ｓ２４６、Ｓ２４７は、説明済の図５のＳ１２０、Ｓ１２１、Ｓ１２２、Ｓ１２３、Ｓ１２４と同じであるため説明を省略する。なお、Ｓ２４０の退避先ＥＣＵ選定処理の詳細は、第１実施例の図６に示した処理となる。

【0081】

Ｓ２４２において、外部装置へ退避データを送信中に所定の事故状態であることを検出すると（Ｓ２４３のＹ）、制御部４４は、更新対象ＥＣＵ２２ａの更新処理を停止する（Ｓ２４４）。すなわち、制御部４４は、プログラム提供装置１２および退避先ＥＣＵへ退避データを送信することを停止する。所定の事故状態でなく（Ｓ２４３のＮ）、かつ、退避データの送信中であれば（Ｓ２４５のＹ）、Ｓ２４２に戻る。退避データの送信が完了した場合（Ｓ２４５のＮ）、図８のＳ２２５に戻る。

【0082】

＜第３実施例＞
本開示の第３実施例について、第１実施例と相違する点を中心に説明し、共通する点の説明を省略する。第３実施例の特徴は、他の実施例の特徴および変形例の特徴と任意の組合せが可能であることはもちろんである。第３実施例の構成要素のうち第１実施例の構成要素と同一または対応する構成要素には適宜、同一の符号を付して説明する。

【0083】

第３実施例の車両１４は、電気自動車（ＥＶ）である。車載更新装置２４の制御部４４は、車両１４のバッテリー状態を管理するＥＣＵ２２から、車両１４のバッテリー残量のデータを定期的に取得する。制御部４４は、車両１４の電池残量が所定の閾値未満である場合、更新対象のＥＣＵ２２のコンピュータプログラムを更新するための処理を停止する。この閾値は、満充電に対する比率であってもよく、開発者の知見や車載更新システム１０を用いた実験の結果に基づいて適切な値が定められてよい。

【0084】

第３実施例の車載更新装置２４によると、車両１４のバッテリー残量が少ない場合、ＥＣＵ２２のプログラム更新に関する処理を停止することで、車載機器（例えばＥＣＵ２２、車載更新装置２４等）の電力消費を抑制し、車両１４の安全性を向上させることができる。また、車両１４の状態として、一定程度の距離を走行可能な状態を維持させやすくなる。

【0085】

図１０は、第３実施例の車載更新装置２４の処理を示すフローチャートである。図１０のＳ３００～Ｓ３１０は、第２実施例で説明した図７のＳ２００～Ｓ２１０に対応する。ただし、Ｓ３０５およびＳ３０９において、車載更新装置２４の制御部４４は、車両１４のバッテリー残量が所定の閾値未満か否かを判定する点で、第２実施例（図７）の処理と異なる。図１０の他のステップの処理は、第２実施例（図７）の処理と同じである。

【0086】

図１１も、第３実施例の車載更新装置２４の動作を示すフローチャートであり、図１０の続きを示すフローチャートである。図１１のＳ３２０～Ｓ３３２は、第２実施例で説明した図８のＳ２２０～Ｓ２３２に対応する。ただし、Ｓ３２２、Ｓ３２６およびＳ３２９において、車載更新装置２４の制御部４４は、車両１４のバッテリー残量が所定の閾値未満か否かを判定する点で、第２実施例（図８）の処理と異なる。図１１の他のステップの処理は、第２実施例（図８）の処理と同じである。

【0087】

図１２も、第３実施例の車載更新装置２４の動作を示すフローチャートであり、図１１の続きを示すフローチャートである。図１２のＳ３４０～Ｓ３４５は、第２実施例で説明した図９のＳ２４０～Ｓ２４５に対応する。ただし、Ｓ３４３において、車載更新装置２４の制御部４４は、車両１４のバッテリー残量が所定の閾値未満か否かを判定する点で、第２実施例（図９）の処理と異なる。図１２の他のステップの処理は、第２実施例（図９）の処理と同じである。

【0088】

第３実施例の変形例として、車両１４は、警報手段（例えばサイレンや警光灯など）を備える緊急車両（緊急自動車とも呼ばれる）であってもよい。車両１４が緊急対応状態である場合、車載更新装置２４の制御部４４は、車両１４の状態を管理するＥＣＵ２２から、車両１４が緊急対応状態であることを示すデータを取得する。緊急対応状態は、警報手段が作動中の状態でもよい。例えば、緊急対応状態は、サイレンを作動させた状態と、警光灯を点灯または点滅させた状態を含んでもよい。

【0089】

制御部４４は、車両１４が緊急対応状態である場合（例えば警報手段が作動中である場合）に、更新対象のＥＣＵ２２のコンピュータプログラムを更新するための処理を停止してもよい。この態様によると、ＥＣＵ２２のプログラム更新が緊急車両の緊急対応を阻害してしまうことを防止でき、例えば、緊急対応の通信等を優先的に実行させることができる。

【0090】

第３実施例のさらなる変形例として、車両１４は、警報手段を備える緊急車両であり、かつ電気自動車であってもよい。車載更新装置２４の制御部４４は、車両１４のバッテリー残量が所定の閾値未満の場合、または、車両１４が緊急対応状態である場合に、更新対象のＥＣＵ２２のコンピュータプログラムを更新するための処理を停止してもよい。

【0091】

以上、本開示を第１～第３実施例をもとに説明した。これらの実施例は例示であり、実施例の各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

【0092】

変形例を説明する。図１３は、変形例の車載更新システム１０の構成を示すブロック図である。車両１４は、ストレージ管理ＥＣＵ５０と車載共通ストレージ５２をさらに備えてもよい。ストレージ管理ＥＣＵ５０は、ストレージの管理機能とインタフェース機能を提供するＥＣＵである。ストレージ管理ＥＣＵ５０には、車載共通ストレージ５２とリムーバブル記憶装置２６が接続される。車載共通ストレージ５２は、複数の車載機器（ＥＣＵ２２や車載更新装置２４等）が共用するストレージである。車載更新装置２４は、車載ネットワーク等のバスを介して車載共通ストレージ５２と接続される。車載更新装置２４の制御部４４は、ストレージ管理ＥＣＵ５０を介して、車載共通ストレージ５２とリムーバブル記憶装置２６にアクセスする。

【0093】

本変形例では、車載更新装置２４の制御部４４は、更新プログラムを含む各種データを車載共通ストレージ５２に格納する。実施例では、制御部４４は、ローカルの記憶部４６の空き領域に基づいて更新プログラムの取得と送信の態様を決定したが、本変形例では、制御部４４は、車載共通ストレージ５２の空き領域に基づいて更新プログラムの取得と送信の態様を決定する。車載共通ストレージ５２の空き領域は、車載共通ストレージ５２で車載更新装置２４に割り当てられた記憶領域における空き領域であってもよい。

【0094】

なお、車載共通ストレージ５２が設けられる場合、車載更新装置２４は、装置内の記憶部４６と、車載共通ストレージ５２の両方を記憶領域として使用可能であってもよい。この場合、車載更新装置２４の制御部４４は、記憶部４６の空き領域と車載共通ストレージ５２の空き領域の両方に基づいて、更新プログラムの取得と送信の態様を決定してもよい。例えば、制御部４４は、記憶部４６の空き容量が更新プログラムのサイズ以上であれば、更新プログラムの記憶領域として記憶部４６のみを使用してもよい。また、制御部４４は、記憶部４６の空き容量が更新プログラムのサイズ未満であるが、車載共通ストレージ５２の空き容量が更新プログラムのサイズ以上であれば、更新プログラムを記憶部４６と車載共通ストレージ５２に分散して保存してもよく、または、更新プログラムを車載共通ストレージ５２のみに保存してもよい。さらにまた、制御部４４は、記憶部４６の空き容量が更新プログラムのサイズ未満であるが、記憶部４６の空き容量と車載共通ストレージ５２の空き容量の合計が更新プログラムのサイズ以上であれば、更新プログラムを記憶部４６と車載共通ストレージ５２に分散して保存してもよい。

【0095】

別の変形例を説明する。図１４は、変形例の車載更新システム１０の構成を示すブロック図である。車両１４は、車載共通ストレージ５２と表示系ＥＣＵ５４をさらに備えてもよい。表示系ＥＣＵ５４は、表示装置２８における表示内容を制御するＥＣＵであり、例えばＩＶＩに関する処理を実行するＥＣＵである。表示系ＥＣＵ５４には、リムーバブル記憶装置２６が接続される。車載更新装置２４は、車載ネットワーク等のバスを介して、車載共通ストレージ５２および表示系ＥＣＵ５４と接続され、また、表示系ＥＣＵ５４を介してリムーバブル記憶装置２６と接続される。

【0096】

本変形例でも、車載更新装置２４の制御部４４は、更新プログラムを含む各種データを車載共通ストレージ５２に格納する。また、本変形例でも、制御部４４は、車載共通ストレージ５２の空き領域に基づいて更新プログラムの取得と送信の態様を決定する。なお、車載共通ストレージ５２は、車載更新装置２４に直接接続される構成であってもよい。

【0097】

さらに別の変形例を説明する。上記実施例では言及していないが、車載更新装置２４の制御部４４は、非更新対象ＥＣＵ２２ｂを更新プログラムの一時保存先として選択してもよい。例えば、制御部４４は、プログラム提供装置１２から提供された、更新プログラムの少なくとも一部を非更新対象ＥＣＵ２２ｂに送信して保存させてもよく、分割した更新プログラムのそれぞれを非更新対象ＥＣＵ２２ｂおよびリムーバブル記憶装置２６に送信して保存させてもよい。なお、更新プログラムを分割した場合、ＣＲＣ（Cyclic Redundancy Check）等を用いて、分割された更新プログラムが正しいデータであることを確認し、正しいデータであることが確認された場合に、分割された更新プログラムのそれぞれを更新対象ＥＣＵ２２ａへ送信してもよい。

【0098】

上記の各実施例において車載更新装置２４が備えた複数の機能は、複数の装置に分散して実装されてもよい。そして、これら複数の装置がシステムとして連携することにより、各実施例の車載更新装置２４の処理と同様の処理が実現されてもよい。

【0099】

上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

【0100】

実施例および変形例に記載の技術は、以下の各項目に記載の態様によって特定されてもよい。
［項目１］
車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新装置であって、
前記更新プログラムが記憶される記憶部と、
更新対象の車載制御装置への前記更新プログラムの送信を制御する制御部と、
を備え、
前記制御部は、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記制御部は、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載更新装置。
この車載更新装置によると、更新プログラムの記憶領域を確保するために既存のデータを退避させる場合に、その退避先を適切に決定できる。また、非更新対象の車載制御装置を含めても退避可能量が十分でない場合には、退避データの少なくとも一部を非更新対象の車載制御装置へ送信する第１の処理とは異なる第２の処理を実行することにより、非更新対象の車載制御装置を含めても退避可能量が十分でない場合にも適切な対処を行うことができる。
［項目２］
前記制御部は、前記第２の処理として、前記更新プログラムの一部をリムーバブル記憶装置に記憶させる、
項目１に記載の車載更新装置。
この車載更新装置によると、非更新対象の車載制御装置を含めても退避可能量が十分でない場合には、リムーバブル記憶装置を更新プログラムの格納先として活用することで、更新プログラムの適用可能性を高めることができる。
［項目３］
前記制御部は、前記車両の走行における危険度が高い場合、前記更新対象の車載制御装置のプログラムを更新するための処理を停止する、
項目１または２に記載の車載更新装置。
この車載更新装置によると、車両の走行における危険度が高い場合には、車載制御装置のプログラム更新に関する処理を停止することで、車載機器の負荷の増大を回避し、車両の安全性を向上させることができる。
［項目４］
前記車両は、電気自動車であり、
前記制御部は、前記車両のバッテリー残量が所定の閾値未満である場合、前記更新対象の車載制御装置のプログラムを更新するための処理を停止する、
項目１から３のいずれかに記載の車載更新装置。
この車載更新装置によると、車両のバッテリー残量が少ない場合には、車載制御装置のプログラム更新に関する処理を停止することで、車載機器の電力消費を抑制し、車両の安全性を向上させることができる。また、車両の状態として、一定程度の距離を走行可能な状態を維持させやすくなる。
［項目５］
車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行う車載更新システムであって、
前記更新プログラムが記憶される記憶部と、
更新対象の車載制御装置への前記更新プログラムの送信を制御する制御部と、
を備え、
前記制御部は、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記制御部は、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載更新システム。
この車載更新システムによると、更新データの記憶領域を確保するために既存データを退避させる場合に、その退避先を適切に決定できる。また、非更新対象の車載制御装置を含めても退避可能量が十分でない場合には、退避データの少なくとも一部を非更新対象の車載制御装置へ送信する第１の処理とは異なる第２の処理を実行することにより、非更新対象の車載制御装置を含めても退避可能量が十分でない場合にも適切な対処を行うことができる。
［項目６］
車外の外部サーバから送信される更新プログラムを取得し、車両に搭載される車載制御装置のプログラムを更新するための処理を行い、かつ、前記更新プログラムが記憶される記憶部を備える、前記車両に搭載されるコンピュータが、更新対象の車載制御装置への前記更新プログラムの送信を制御する処理を実行し、
前記コンピュータは、前記制御する処理として、前記外部サーバから前記更新プログラムを取得する場合であり、かつ、前記記憶部に記憶されている退避データを前記更新対象の車載制御装置以外の非更新対象の車載制御装置に退避させるべき場合に、第１の条件を満たす非更新対象の車載制御装置を選択し、
前記コンピュータは、前記制御する処理として、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が第２の条件を満たす場合、第１の処理として、前記退避データの少なくとも一部を前記非更新対象の車載制御装置へ送信し、前記第１の条件を満たす非更新対象の車載制御装置への退避可能量が前記第２の条件を満たさない場合、前記第１の処理とは異なる第２の処理を実行する、
車載制御装置のプログラム更新に関する制御方法。
この制御方法によると、更新データの記憶領域を確保するために既存データを退避させる場合に、その退避先を適切に決定できる。また、非更新対象の車載制御装置を含めても退避可能量が十分でない場合には、退避データの少なくとも一部を非更新対象の車載制御装置へ送信する第１の処理とは異なる第２の処理を実行することにより、非更新対象の車載制御装置を含めても退避可能量が十分でない場合にも適切な対処を行うことができる。

【符号の説明】

【0101】

１０ 車載更新システム、 １２ プログラム提供装置、 １４ 車両、 １８ 記憶部、 ２２ ＥＣＵ、 ２２ａ 更新対象ＥＣＵ、 ２２ｂ 非更新対象ＥＣＵ、 ２４ 車載更新装置、 ２６ リムーバブル記憶装置、 ４４ 制御部、 ４６ 記憶部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】