▶ 株式会社オートネットワーク技術研究所の特許一覧 ▶ 住友電装株式会社の特許一覧 ▶ 住友電気工業株式会社の特許一覧
特開2023-152417車載システム、更新制御装置、及びプログラム更新制御方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023152417
(43)【公開日】2023-10-17
(54)【発明の名称】車載システム、更新制御装置、及びプログラム更新制御方法
(51)【国際特許分類】
G06F 8/65 20180101AFI20231010BHJP
B60R 16/02 20060101ALI20231010BHJP
【ＦＩ】
G06F8/65
B60R16/02 660U
【審査請求】未請求
【請求項の数】14
【出願形態】ＯＬ
(21)【出願番号】P 2022062429
(22)【出願日】2022-04-04
(71)【出願人】
【識別番号】395011665
【氏名又は名称】株式会社オートネットワーク技術研究所
(71)【出願人】
【識別番号】000183406
【氏名又は名称】住友電装株式会社
(71)【出願人】
【識別番号】000002130
【氏名又は名称】住友電気工業株式会社
(74)【代理人】
【識別番号】110000280
【氏名又は名称】弁理士法人サンクレスト国際特許事務所
(72)【発明者】
【氏名】立石 博志
(72)【発明者】
【氏名】古戸 健
【テーマコード（参考）】
5B376
【Ｆターム（参考）】
5B376CA88
5B376GA08
(57)【要約】
【課題】更新制御装置の記憶部の空き容量が不足していても、更新データをダウンロードする。
【解決手段】
更新制御装置は、プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、前記受信部によって受信された前記第１部分データを記憶する記憶部と、対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、を備え、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置であり、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される。
【選択図】図５
【解決手段】
更新制御装置は、プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、前記受信部によって受信された前記第１部分データを記憶する記憶部と、対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、を備え、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置であり、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される。
【選択図】図５
【特許請求の範囲】
【請求項1】
プログラムの更新対象である車載装置である対象車載装置と、
プログラムの更新対象ではない車載装置である複数の非対象車載装置と、
前記対象車載装置における前記プログラムの更新を制御する更新制御装置と、
を備え、
前記更新制御装置は、
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する第１受信部と、
前記第１受信部によって受信された前記第１部分データを記憶する第１記憶部と、
前記第１記憶部に記憶された前記第１部分データを、前記対象車載装置へ送信する第１送信部と、
を含み、
前記複数の非対象車載装置から選定された選定車載装置は、
前記更新データの部分データであり、前記第１部分データとは異なる第２部分データを、前記外部装置から受信する第２受信部と、
前記第２受信部によって受信された前記第２部分データを記憶する第２記憶部と、
前記第２記憶部に記憶された前記第２部分データを、前記対象車載装置へ送信する第２送信部と、
を含み、
前記対象車載装置は、
前記更新制御装置から前記第１部分データを受信し、前記選定車載装置から前記第２部分データを受信する第３受信部と、
前記第３受信部によって受信された前記第１部分データ及び前記第２部分データを結合し、前記更新データを生成する生成部と、
前記生成部によって生成された前記更新データを用いて、前記プログラムを更新する更新部と、
を含む、
車載システム。
プログラムの更新対象ではない車載装置である複数の非対象車載装置と、
前記対象車載装置における前記プログラムの更新を制御する更新制御装置と、
を備え、
前記更新制御装置は、
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する第１受信部と、
前記第１受信部によって受信された前記第１部分データを記憶する第１記憶部と、
前記第１記憶部に記憶された前記第１部分データを、前記対象車載装置へ送信する第１送信部と、
を含み、
前記複数の非対象車載装置から選定された選定車載装置は、
前記更新データの部分データであり、前記第１部分データとは異なる第２部分データを、前記外部装置から受信する第２受信部と、
前記第２受信部によって受信された前記第２部分データを記憶する第２記憶部と、
前記第２記憶部に記憶された前記第２部分データを、前記対象車載装置へ送信する第２送信部と、
を含み、
前記対象車載装置は、
前記更新制御装置から前記第１部分データを受信し、前記選定車載装置から前記第２部分データを受信する第３受信部と、
前記第３受信部によって受信された前記第１部分データ及び前記第２部分データを結合し、前記更新データを生成する生成部と、
前記生成部によって生成された前記更新データを用いて、前記プログラムを更新する更新部と、
を含む、
車載システム。
【請求項2】
前記選定車載装置は、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される、
請求項１に記載の車載システム。
請求項１に記載の車載システム。
【請求項3】
前記選定条件は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数のうちの少なくとも１つに関する条件である、
請求項２に記載の車載システム。
請求項２に記載の車載システム。
【請求項4】
前記車載システムは、前記外部装置と通信可能な外部通信装置を備え、
前記外部通信装置と同一のバスに接続された車載装置の前記セキュリティ強度は、前記外部通信装置とは異なるバスに接続された車載装置の前記セキュリティ強度より低い、
請求項３に記載の車載システム。
前記外部通信装置と同一のバスに接続された車載装置の前記セキュリティ強度は、前記外部通信装置とは異なるバスに接続された車載装置の前記セキュリティ強度より低い、
請求項３に記載の車載システム。
【請求項5】
前記対象車載装置と同一のバスに接続された車載装置の通信アクセス性は、前記対象車載装置とは異なるバスに接続された車載装置の通信アクセス性より高い、
請求項３に記載の車載システム。
請求項３に記載の車載システム。
【請求項6】
前記車載装置が有する記憶部における論理的構成単位の数は、前記車載装置が有する不揮発性メモリがシングルバンクである場合と、ダブルバンクである場合とを含む、
請求項３に記載の車載システム。
請求項３に記載の車載システム。
【請求項7】
前記更新制御装置は、
前記選定条件に基づいて、前記複数の非対象車載装置から前記選定車載装置を選定する選定部と、
前記選定部によって選定された前記選定車載装置を、前記外部装置へ通知する通知部と、
を含む、
請求項３から請求項６のいずれか１項に記載の車載システム。
前記選定条件に基づいて、前記複数の非対象車載装置から前記選定車載装置を選定する選定部と、
前記選定部によって選定された前記選定車載装置を、前記外部装置へ通知する通知部と、
を含む、
請求項３から請求項６のいずれか１項に記載の車載システム。
【請求項8】
前記選定部は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数のうちの少なくとも１つの項目について前記複数の非対象車載装置毎に点数を付け、前記点数に基づいて前記複数の非対象車載装置から前記選定車載装置を選定する、
請求項７に記載の車載システム。
請求項７に記載の車載システム。
【請求項9】
前記選定部は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数の複数の項目毎に重みを設定し、前記点数を前記重みに乗じた結果に基づいて前記複数の非対象車載装置から前記選定車載装置を選定する、
請求項８に記載の車載システム。
請求項８に記載の車載システム。
【請求項10】
前記選定条件は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数の中から選択された複数の項目に関する複数の条件を含み、
前記選定部は、前記複数の条件について順番に、前記複数の非対象車載装置の中から前記条件に適合する車載装置を決定することにより、前記選定車載装置を選定する、
請求項７に記載の車載システム。
前記選定部は、前記複数の条件について順番に、前記複数の非対象車載装置の中から前記条件に適合する車載装置を決定することにより、前記選定車載装置を選定する、
請求項７に記載の車載システム。
【請求項11】
前記第１受信部は、前記第１部分データと、前記第１部分データを検証するための第１検証データとを含む第１更新データを、前記外部装置から受信し、
前記更新制御装置は、前記第１更新データに含まれる前記第１部分データを、前記第１更新データに含まれる前記第１検証データを用いて検証する第１検証部を含み、
前記第１送信部は、前記第１検証部による前記第１部分データの検証が成功した場合に、前記第１部分データを前記対象車載装置へ送信し、
前記第２受信部は、前記第２部分データと、前記第２部分データを検証するための第２検証データとを含む第２更新データを、前記外部装置から受信し、
前記選定車載装置は、前記第２更新データに含まれる前記第２部分データを、前記第２更新データに含まれる前記第２検証データを用いて検証する第２検証部を含み、
前記第２送信部は、前記第２検証部による前記第２部分データの検証が成功した場合に、前記第２部分データを前記対象車載装置へ送信する、
請求項１に記載の車載システム。
前記更新制御装置は、前記第１更新データに含まれる前記第１部分データを、前記第１更新データに含まれる前記第１検証データを用いて検証する第１検証部を含み、
前記第１送信部は、前記第１検証部による前記第１部分データの検証が成功した場合に、前記第１部分データを前記対象車載装置へ送信し、
前記第２受信部は、前記第２部分データと、前記第２部分データを検証するための第２検証データとを含む第２更新データを、前記外部装置から受信し、
前記選定車載装置は、前記第２更新データに含まれる前記第２部分データを、前記第２更新データに含まれる前記第２検証データを用いて検証する第２検証部を含み、
前記第２送信部は、前記第２検証部による前記第２部分データの検証が成功した場合に、前記第２部分データを前記対象車載装置へ送信する、
請求項１に記載の車載システム。
【請求項12】
前記更新データは、更新後のプログラムである更新プログラムと、前記更新プログラムの検証に用いられるプログラム検証データとを含み、
前記プログラム検証データは、前記第１部分データ及び前記第２部分データのいずれか１つに含まれる、
請求項１に記載の車載システム。
前記プログラム検証データは、前記第１部分データ及び前記第２部分データのいずれか１つに含まれる、
請求項１に記載の車載システム。
【請求項13】
プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置であって、
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、
前記受信部によって受信された前記第１部分データを記憶する記憶部と、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、
を備え、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
更新制御装置。
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、
前記受信部によって受信された前記第１部分データを記憶する記憶部と、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、
を備え、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
更新制御装置。
【請求項14】
プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置によるプログラム更新制御方法であって、
前記更新制御装置が、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信するステップと、
前記更新制御装置が、受信された前記第１部分データを記憶するステップと、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記更新制御装置が、記憶された前記第１部分データを前記対象車載装置へ送信するステップと、
を含み、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
プログラム更新制御方法。
前記更新制御装置が、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信するステップと、
前記更新制御装置が、受信された前記第１部分データを記憶するステップと、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記更新制御装置が、記憶された前記第１部分データを前記対象車載装置へ送信するステップと、
を含み、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
プログラム更新制御方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、車載システム、更新制御装置、及びプログラム更新制御方法に関する。
【背景技術】
【0002】
車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するための車載ＥＣＵ（Electronic Control Unit）が搭載されている。特許文献１には、車載ＥＣＵのプログラムを更新するにあたり、外部サーバからダウンロードした更新プログラムを記憶部に一旦記憶（キャッシュ）し、更新対象の車載ＥＣＵに更新プログラムを送信する車載更新装置が開示されている。特許文献１に開示された車載更新装置は、外部サーバから更新プログラムをダウンロードする前に、記憶部に記憶されていた退避データを外部サーバ又は更新対象ではない車載ＥＣＵに送信し、更新プログラムの記憶領域を確保する。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０２１－０１５６１８号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、退避データが車載更新装置の動作に不可欠なデータである場合のように、退避データを送信することによって更新プログラムの記憶領域を確保することが困難なこともある。
【課題を解決するための手段】
【0005】
本開示の一態様に係る車載システムは、プログラムの更新対象である車載装置である対象車載装置と、プログラムの更新対象ではない車載装置である複数の非対象車載装置と、前記対象車載装置における前記プログラムの更新を制御する更新制御装置と、を備え、前記更新制御装置は、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する第１受信部と、前記第１受信部によって受信された前記第１部分データを記憶する第１記憶部と、前記第１記憶部に記憶された前記第１部分データを、前記対象車載装置へ送信する第１送信部と、を含み、前記複数の非対象車載装置から選定された選定車載装置は、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データを、前記外部装置から受信する第２受信部と、前記第２受信部によって受信された前記第２部分データを記憶する第２記憶部と、前記第２記憶部に記憶された前記第２部分データを、前記対象車載装置へ送信する第２送信部と、を含み、前記対象車載装置は、前記更新制御装置から前記第１部分データを受信し、前記選定車載装置から前記第２部分データを受信する第３受信部と、前記第３受信部によって受信された前記第１部分データ及び前記第２部分データを結合し、前記更新データを生成する生成部と、前記生成部によって生成された前記更新データを用いて、前記プログラムを更新する更新部と、を含み、前記選定車載装置は、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される。
【0006】
本開示の一態様に係る更新制御装置は、プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置であって、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、前記受信部によって受信された前記第１部分データを記憶する記憶部と、前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、を備え、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置であり、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される。
【0007】
本開示の一の態様に係るプログラム更新制御方法は、プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置によるプログラム更新制御方法であって、前記更新制御装置が、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信するステップと、前記更新制御装置が、受信された前記第１部分データを記憶するステップと、前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記更新制御装置が、記憶された前記第１部分データを前記対象車載装置へ送信するステップと、を含み、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置であり、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定される。
【0008】
本開示は、上記のような特徴的な構成を備える更新制御装置、及び前記更新制御装置を含む車載システムとして実現することができるだけでなく、更新制御装置における特徴的な処理をステップとするプログラム更新制御方法として実現したり、更新制御装置に上記の特徴的な処理を実行させるためのプログラムとして実現したり、更新制御装置の一部又は全部を半導体集積回路として実現したりすることができる。
【発明の効果】
【0009】
本開示によれば、更新制御装置の記憶部の空き容量が不足していても、更新制御装置の記憶部のデータを退避させることなく、更新データをダウンロードすることができる。
【図面の簡単な説明】
【0010】
【図1】実施形態に係るプログラム更新システムの一例を説明するための模式図である。
【図2】実施形態に係る車載システムの構成の一例を示すブロック図である。
【図3】実施形態に係るＯＴＡマスタの構成の一例を示すブロック図である。
【図4】実施形態に係るＥＣＵの構成の一例を示すブロック図である。
【図5】実施形態に係る車載システムの機能の一例を示す機能ブロック図である。
【図6】実施形態に係る選定条件における各項目の重み及び点数の一例を説明するための図である。
【図7】更新データの構成の一例を説明するための図である。
【図8】更新データの分割の一例を説明する図である。
【図9A】第１更新データの構成の一例を示す図である。
【図9B】第２更新データの構成の一例を示す図である。
【図10】メモリ空き容量確認処理の一例を説明するためのシーケンス図である。
【図11】分割ダウンロード処理の一例を説明するためのシーケンス図である。
【図12】選定処理の一例を示すフローチャートである。
【図13】プログラム更新処理の一例を説明するためのシーケンス図である。
【図14A】変形例に係る選定処理の一例の一部分を示すフローチャートである。
【図14B】変形例に係る選定処理の一例の他の部分を示すフローチャートである。
【発明を実施するための形態】
【0011】
＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。
以下、本開示の実施形態の概要を列記して説明する。
【0012】
（１） 本実施形態に係る車載システムは、プログラムの更新対象である車載装置である対象車載装置と、プログラムの更新対象ではない車載装置である複数の非対象車載装置と、前記対象車載装置における前記プログラムの更新を制御する更新制御装置と、を備え、前記更新制御装置は、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する第１受信部と、前記第１受信部によって受信された前記第１部分データを記憶する第１記憶部と、前記第１記憶部に記憶された前記第１部分データを、前記対象車載装置へ送信する第１送信部と、を含み、前記複数の非対象車載装置から選定された選定車載装置は、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データを、前記外部装置から受信する第２受信部と、前記第２受信部によって受信された前記第２部分データを記憶する第２記憶部と、前記第２記憶部に記憶された前記第２部分データを、前記対象車載装置へ送信する第２送信部と、を含み、前記対象車載装置は、前記更新制御装置から前記第１部分データを受信し、前記選定車載装置から前記第２部分データを受信する第３受信部と、前記第３受信部によって受信された前記第１部分データ及び前記第２部分データを結合し、前記更新データを生成する生成部と、前記生成部によって生成された前記更新データを用いて、前記プログラムを更新する更新部と、を含む。これにより、更新データの一部を更新制御装置が記憶し、更新データの他の一部を選定車載装置が記憶するため、更新制御装置の記憶部の空き容量が不足していても、更新制御装置の記憶部のデータを退避させることなく、更新データをダウンロードすることができる。
【0013】
（２） 上記（１）において、前記選定車載装置は、前記複数の車載装置それぞれに関する選定条件に基づいて、前記複数の非対象車載装置から選定されてもよい。これにより、選定条件にしたがって、複数の非対象車載装置から選定車載装置を選定することができる。
【0014】
（３） 上記（２）において、前記選定条件は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数のうちの少なくとも１つに関する条件であってもよい。これにより、上記のような条件によって、適切に選定車載装置を選定することができる。
【0015】
（４） 上記（３）において、前記車載システムは、前記外部装置と通信可能な外部通信装置を備え、前記外部通信装置と同一のバスに接続された車載装置の前記セキュリティ強度は、前記外部通信装置とは異なるバスに接続された車載装置の前記セキュリティ強度より低くてもよい。これにより、車載システムにおいて車載装置が接続されたバスに応じて、適切に選定車載装置を選定することができる。
【0016】
（５） 上記（３）または（４）において、前記対象車載装置と同一のバスに接続された車載装置の通信アクセス性は、前記対象車載装置とは異なるバスに接続された車載装置の通信アクセス性より高くてもよい。これにより、車載システムにおいて車載装置が接続されたバスに応じて、適切に選定車載装置を選定することができる。
【0017】
（６） 上記（３）から（５）のいずれか１つにおいて、前記車載装置が有する記憶部における論理的構成単位の数は、前記車載装置が有する不揮発性メモリがシングルバンクである場合と、ダブルバンクである場合とを含んでもよい。これにより、車載装置が有する記憶部がシングルバンクメモリであるかダブルバンクメモリであるかに応じて、適切に選定車載装置を選定することができる。
【0018】
（７） 上記（３）から（６）のいずれか１つにおいて、前記更新制御装置は、前記選定条件に基づいて、前記複数の非対象車載装置から前記選定車載装置を選定する選定部と、前記選定部によって選定された前記選定車載装置を、前記外部装置へ通知する通知部と、を含んでもよい。これにより、車両に搭載された更新制御装置が選定車載装置を選定することができる。
【0019】
（８） 上記（７）において、前記選定部は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数のうちの少なくとも１つの項目について前記複数の非対象車載装置毎に点数を付け、前記点数に基づいて前記複数の非対象車載装置から前記選定車載装置を選定してもよい。これにより、上記の項目について非対象車載装置を定量的に評価し、評価結果に応じて適切に選定車載装置を選定することができる。
【0020】
（９） 上記（８）において、前記選定部は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数の複数の項目毎に重みを設定し、前記点数を前記重みに乗じた結果に基づいて前記複数の非対象車載装置から前記選定車載装置を選定してもよい。これにより、上記の項目の重要度に応じて非対象車載装置を定量的に評価し、評価結果に応じて適切に選定車載装置を選定することができる。
【0021】
（１０） 上記（７）において、前記選定条件は、前記車両が運転状態にある場合における前記車載装置の処理負荷、前記車両に乗員が搭乗している場合における前記車載装置の処理負荷、前記車載装置のセキュリティ強度、前記車載装置の通信アクセス性、前記車載装置に設けられた記憶部の空き容量、前記記憶部の書き込み及び読出し速度、並びに前記車載装置が有する記憶部における論理的構成単位の数の中から選択された複数の項目に関する複数の条件を含み、前記選定部は、前記複数の条件について順番に、前記複数の非対象車載装置の中から前記条件に適合する車載装置を決定することにより、前記選定車載装置を選定してもよい。これにより、複数の条件に適合する車載装置を順次決定することで、選定車載装置の候補となる車載装置を絞っていくことができる。
【0022】
（１１） 上記（１）から（１０）のいずれか１つにおいて、前記第１受信部は、前記第１部分データと、前記第１部分データを検証するための第１検証データとを含む第１更新データを、前記外部装置から受信し、前記更新制御装置は、前記第１更新データに含まれる前記第１部分データを、前記第１更新データに含まれる前記第１検証データを用いて検証する第１検証部を含み、前記第１送信部は、前記第１検証部による前記第１部分データの検証が成功した場合に、前記第１部分データを前記対象車載装置へ送信し、前記第２受信部は、前記第２部分データと、前記第２部分データを検証するための第２検証データとを含む第２更新データを、前記外部装置から受信し、前記選定車載装置は、前記第２更新データに含まれる前記第２部分データを、前記第２更新データに含まれる前記第２検証データを用いて検証する第２検証部を含み、前記第２送信部は、前記第２検証部による前記第２部分データの検証が成功した場合に、前記第２部分データを前記対象車載装置へ送信してもよい。これにより、第１部分データ及び第２部分データを個別に検証することができる。
【0023】
（１２） 上記（１）から（１１）のいずれか１つにおいて、前記更新データは、更新後のプログラムである更新プログラムと、前記更新プログラムの検証に用いられるプログラム検証データとを含み、前記プログラム検証データは、前記第１部分データ及び前記第２部分データのいずれか１つに含まれてもよい。これにより、第１部分データ及び第２部分データを結合した更新データに含まれる更新プログラムを検証することができる。
【0024】
（１３） 本実施形態に係る更新制御装置は、プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置であって、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、前記受信部によって受信された前記第１部分データを記憶する記憶部と、前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部と、を備え、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である。これにより、更新データの一部を更新制御装置が記憶し、更新データの他の一部を選定車載装置が記憶するため、更新制御装置の記憶部の空き容量が不足していても、更新制御装置の記憶部のデータを退避させることなく、更新データをダウンロードすることができる。
【0025】
（１４） 本実施形態に係るプログラム更新制御方法は、プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置によるプログラム更新制御方法であって、前記更新制御装置が、前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信するステップと、前記更新制御装置が、受信された前記第１部分データを記憶するステップと、前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記更新制御装置が、記憶された前記第１部分データを前記対象車載装置へ送信するステップと、を含み、前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である。これにより、更新データの一部を更新制御装置が記憶し、更新データの他の一部を選定車載装置が記憶するため、更新制御装置の記憶部の空き容量が不足していても、更新制御装置の記憶部のデータを退避させることなく、更新データをダウンロードすることができる。
【0026】
＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
【0027】
［１．プログラム更新システム］
図１は、本実施形態に係るプログラム更新システムの一例を説明するための模式図である。
図１は、本実施形態に係るプログラム更新システムの一例を説明するための模式図である。
【0028】
プログラム更新システムは、車両１０に搭載された車載装置の制御プログラムを更新するためのシステムである。プログラム更新システムは、車両１０と、ＯＴＡ（Over The Air）サーバ５０とを含む。車両１０は、後述するような車載システムを搭載している。
【0029】
車両１０は、無線通信によって車両の外部の装置と通信することが可能である。車両１０は、例えば第５世代移動通信システム（５Ｇ）、又は第４世代移動通信システム（４Ｇ）に準拠した無線通信端末を備え、基地局２０との間で無線通信することができる。基地局２０は、インターネット３０に接続されている。ＯＴＡサーバ５０もインターネット３０に接続されている。このような構成により、車両１０とＯＴＡサーバ５０は相互に通信することができる。
【0030】
ＯＴＡサーバ５０は、車両１０にプログラム更新のためのデータを提供することができる。ＯＴＡサーバ５０は、「外部装置」の一例である。
【0031】
［２．車載システム］
図２は、本実施形態に係る車載システムの構成の一例を示すブロック図である。
図２は、本実施形態に係る車載システムの構成の一例を示すブロック図である。
【0032】
本実施系に係る車載システム１００は、統合ＥＣＵ（Electronic Control Unit）２００と、個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅとを含む。車載システム１００は、統合ＥＣＵ２００、個別ＥＣＵ３００３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ、及びそれらを繋ぐ通信ケーブル（通信バス）によって構成される。
【0033】
統合ＥＣＵ２００は、複数の個別ＥＣＵ間の通信を中継するゲートウェイである。統合ＥＣＵ２００は、個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの制御プログラムの更新を制御するＯＴＡマスタである。統合ＥＣＵ２００は、「更新制御装置」の一例である。以下、統合ＥＣＵ２００を、「ＯＴＡマスタ２００」ともいう。
【0034】
複数の個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両１０の各部に配置される。個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両１０の各部のハードウェアを個別に制御したり、車両１０の各部のハードウェアの状態を監視したりする。例えば、個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、パワートレーン系、ボディ系、情報及びエンタテイメント系のＥＣＵである。個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、「車載装置」の一例である。なお、以下の説明では、個別ＥＣＵを「ＥＣＵ」ともいい、個別ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄを総称して「ＥＣＵ３００」ともいう。
【0035】
ＯＴＡマスタ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００ＥのそれぞれとＣＡＮ（Controller Area Network）バスのような車載バス４００Ａ，４００Ｂ，４００Ｃを介して接続されている。具体的には、バス４００Ａには、ＥＣＵ３００Ａ，３００Ｂが接続されている。バス４００Ｂには、ＥＣＵ３００Ｃ，３００Ｄが接続されている。バス４００Ｃには、ＥＣＵ３００Ｅが接続されている。ＯＴＡマスタ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれと相互に通信することができる。
【0036】
ＯＴＡマスタ２００は、バス４００Ｃを介して外部通信装置５００に接続されている。外部通信装置５００は、例えば５Ｇ又は４Ｇに準拠した無線通信端末であり、例えば、ＴＳＵ（Telematics Control Unit）である。外部通信装置５００は、ＯＴＡサーバ５０と通信することができる。外部通信装置５００は、ＯＴＡマスタ２００とＯＴＡサーバ５０との間の通信を中継する。
【0037】
外部通信装置５００に接続されたバス４００Ｃは、車内における通信だけでなく、車外の装置との通信にも用いられる車外通信バスである。バス４００Ａ，４００Ｂは、車内通信にのみ用いられる車内通信バスである。
【0038】
［３．ＯＴＡマスタの構成］
図３は、本実施形態に係るＯＴＡマスタの構成の一例を示すブロック図である。ＯＴＡマスタ２００は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信インタフェース（Ｉ／Ｆ）２０４とを含む。
図３は、本実施形態に係るＯＴＡマスタの構成の一例を示すブロック図である。ＯＴＡマスタ２００は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信インタフェース（Ｉ／Ｆ）２０４とを含む。
【0039】
揮発性メモリ２０３は、例えばＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等の半導体メモリである。不揮発性メモリ２０２は、例えばフラッシュメモリ、ハードディスク等である。不揮発性メモリ２０２は、データの読み出し及び書き込みが可能である。不揮発性メモリ２０２には、コンピュータプログラムである更新制御プログラム２０５及びに更新制御プログラム２０５の実行に使用されるデータが格納される。ＯＴＡマスタ２００は、ＯＴＡサーバ５０からダウンロードした第１更新データを不揮発性メモリ２０２に格納することができる。ＯＴＡマスタ２００は、コンピュータを備えて構成され、ＯＴＡマスタ２００の各機能は、前記コンピュータの記憶装置に記憶されたコンピュータプログラムである更新制御プログラム２０５が実行されることで発揮される。
【0040】
更新制御プログラム２０５は、ＥＣＵ３００の制御プログラムの更新を制御するためのプログラムである。さらに具体的には、更新制御プログラム２０５は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの中から、制御プログラムの更新データの一部（第２部分データ）の格納先を選定し、ＯＴＡサーバ５０に、選定されたＥＣＵである選定ＥＣＵを通知するためのプログラムである。更新制御プログラム２０５は、更新データの第１部分データを含む第１更新データをＯＴＡサーバ５０からダウンロードし、ダウンロードした第１更新データに含まれる第１部分データを不揮発性メモリ２０２に格納し、更新対象のＥＣＵである対象ＥＣＵへ第１部分データを送信するためのプログラムである。
【0041】
不揮発性メモリ２０２には、鍵データ２０６が格納されている。鍵データ２０６は、ＯＴＡサーバ５０からダウンロードした更新データ（第１更新データ）の検証に用いられる。
【0042】
プロセッサ２０１は、例えばＣＰＵ（Central Processing Unit）である。ただし、プロセッサ２０１は、ＣＰＵに限られない。プロセッサ２０１は、ＧＰＵ（Graphics Processing Unit）であってもよい。プロセッサ２０１は、コンピュータプログラムを実行可能に構成される。ただしプロセッサ２０１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）を一部に含んでもよいし、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスを一部に含んでもよい。
【0043】
通信Ｉ／Ｆ２０４は、例えば、車載ネットワーク用の通信プロトコルであるＣＡＮ（Controller Area Network）に準拠した通信インタフェースである。通信Ｉ／Ｆ２０４は、ＣＡＮ ＦＤ（CAN with Flexible Data rate）、イーサネット（Ethernetは登録商標）、ＬＩＮ（Local Interconnect Network）等のプロトコルに準拠した通信インタフェースであってもよい。通信Ｉ／Ｆ２０４は、複数の通信ポートを含み、バス４００Ａ，４００Ｂ，４００Ｃのそれぞれに接続されている。通信Ｉ／Ｆ２０４は、バス４００Ａ，４００Ｂ，４００Ｃを介してＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれに接続されている。ＯＴＡマスタ２００は、通信Ｉ／Ｆ２０４によって、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅと通信することができる。さらに、ＯＴＡマスタ２００は、通信Ｉ／Ｆ２０４によって、外部通信装置５００を介してＯＴＡサーバ５０と通信することができる。
【0044】
［４．ＯＴＡサーバ］
ＯＴＡサーバ５０は、プロセッサ、記憶装置（不揮発性メモリ及び揮発性メモリ）、通信Ｉ／Ｆ等によって構成されている。ＯＴＡサーバ５０は、ＥＣＵ３００へ更新後のプログラム（以下、「更新プログラム」）という）を提供する。
ＯＴＡサーバ５０は、プロセッサ、記憶装置（不揮発性メモリ及び揮発性メモリ）、通信Ｉ／Ｆ等によって構成されている。ＯＴＡサーバ５０は、ＥＣＵ３００へ更新後のプログラム（以下、「更新プログラム」）という）を提供する。
【0045】
ＯＴＡサーバ５０は、更新プログラムと、更新プログラムの検証に用いられる検証データ（以下、「ＰＧ検証データ」ともいう）とを含むパッケージである更新データを、ＯＴＡマスタ２００へダウンロードすることができる。ＯＴＡサーバ５０は、ＯＴＡマスタ２００から更新データの分割の要求を受け付けた場合に、更新データを分割して第１部分データ及び第２部分データを生成し、第１部分データを含む第１更新データと、第２部分データを含む第２更新データとを個別にダウンロードすることができる。
【0046】
［５．ＥＣＵの構成］
図４は、本実施形態に係るＥＣＵの構成の一例を示すブロック図である。ＥＣＵ３００は、プロセッサ３０１と、不揮発性メモリ３０２と、揮発性メモリ３０３と、通信Ｉ／Ｆ３０４と、入出力Ｉ／Ｆ（Ｉ／Ｏ）３０５とを備える。
図４は、本実施形態に係るＥＣＵの構成の一例を示すブロック図である。ＥＣＵ３００は、プロセッサ３０１と、不揮発性メモリ３０２と、揮発性メモリ３０３と、通信Ｉ／Ｆ３０４と、入出力Ｉ／Ｆ（Ｉ／Ｏ）３０５とを備える。
【0047】
揮発性メモリ３０３は、例えばＳＲＡＭ、ＤＲＡＭ等の半導体メモリである。不揮発性メモリ３０２は、例えばフラッシュメモリ、ハードディスク、ＲＯＭ等である。不揮発性メモリ３０２は、一又は複数のフラッシュメモリチップによって構成されるバンクを単位としてメモリコントローラによって管理される。すなわち、バンクは不揮発性メモリ３０２の論理的構成単位である。バンクは、不揮発性メモリ３０２を構成するメモリモジュールの面毎に定義される。メモリモジュールの一面にのみフラッシュメモリチップが搭載されている不揮発性メモリ３０２はシングルバンクメモリであり、メモリモジュールの両面にフラッシュメモリチップが搭載されている不揮発性メモリ３０２はダブルバンクメモリである。不揮発性メモリ３０２には、コンピュータプログラムである制御プログラム３０６及び制御プログラム３０６の実行に使用されるデータが格納される。個別ＥＣＵ３００は、コンピュータを備えて構成され、個別ＥＣＵ３００の各機能は、前記コンピュータの記憶装置に記憶されたコンピュータプログラムである制御プログラム３０６が実行されることで発揮される。制御プログラム３０６は、例えば、車両１０の一部のハードウェアを制御するためのプログラムである。
【0048】
不揮発性メモリ３０２には、更新プログラム３０８及び更新プログラム３０８の実行に使用されるデータが格納される。更新プログラム３０８は、ＯＴＡマスタ２００から更新データを受信し、受信した更新データを用いて制御プログラム３０６を更新するためのプログラムである。不揮発性メモリ３０２には、さらに鍵データ３０７が格納されている。鍵データ３０７は、更新プログラムに含まれるＰＧ検証データを復号するために用いられる。
【0049】
不揮発性メモリ３０２には、さらに、更新補助プログラム３０９及び更新補助プログラム３０９の実行に使用されるデータが格納される。更新補助プログラム３０９は、ＯＴＡサーバ５０から送信された第２更新データをＯＴＡマスタ２００を介して受信し、受信した第２更新データに含まれる第２部分データを不揮発性メモリ３０２に格納し、対象ＥＣＵへ第２部分データを送信するためのプログラムである。
【0050】
プロセッサ３０１は、例えばＣＰＵである。ただし、プロセッサ３０１は、ＣＰＵに限られない。プロセッサ３０１は、ＧＰＵであってもよい。プロセッサ３０１は、例えば、ＡＳＩＣを一部に含んでもよいし、ＦＰＧＡ等のプログラマブルロジックデバイスを一部に含んでもよい。
【0051】
通信Ｉ／Ｆ３０４は、例えば、ＣＡＮに準拠した通信インタフェースである。通信Ｉ／Ｆ３０４は、ＣＡＮ ＦＤ、イーサネット、ＬＩＮ等のプロトコルに準拠した通信インタフェースであってもよい。通信Ｉ／Ｆ３０４は、少なくとも１つの通信ポートを含み、バス４００Ａ，４００Ｂ，４００Ｃのいずれか１つに接続されている。通信Ｉ／Ｆ３０４は、バス４００Ａ，４００Ｂ，４００Ｃのいずれか１つを介してＯＴＡマスタ２００に接続されている。ＥＣＵ３００は、通信Ｉ／Ｆ３０４によって、ＯＴＡマスタ２００と通信することができる。
【0052】
Ｉ／Ｏ３０５は、例えば、図示しないセンサ又はアクチュエータに接続されている。Ｉ／Ｏ３０５は、センサから出力されたセンサデータを受け付けたり、アクチュエータに制御信号を出力したりすることができる。
【0053】
［５．車載システムの機能］
図５は、本実施形態に係る車載システムの機能の一例を示す機能ブロック図である。以下の説明では、ＥＣＵ３００Ａの制御プログラム３０６が更新される、すなわち、ＥＣＵ３００Ａが対象ＥＣＵであり、ＥＣＵ３００Ｂが更新データの一部の格納先として選定される、すなわち、ＥＣＵ３００Ｂが選定ＥＣＵである例を説明する。対象ＥＣＵは、「対象車載装置」の一例であり、選定ＥＣＵは、「選定車載装置」の一例である。
図５は、本実施形態に係る車載システムの機能の一例を示す機能ブロック図である。以下の説明では、ＥＣＵ３００Ａの制御プログラム３０６が更新される、すなわち、ＥＣＵ３００Ａが対象ＥＣＵであり、ＥＣＵ３００Ｂが更新データの一部の格納先として選定される、すなわち、ＥＣＵ３００Ｂが選定ＥＣＵである例を説明する。対象ＥＣＵは、「対象車載装置」の一例であり、選定ＥＣＵは、「選定車載装置」の一例である。
【0054】
ＯＴＡマスタ２００のプロセッサ２０１が更新制御プログラム２０５を実行することにより、選定部２１１と、通知部２１２と、第１受信部２１３と、第１記憶部２１４と、第１検証部２１５と、第１送信部２１６との各機能が実現される。ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのうちの選定ＥＣＵ３１０（本例ではＥＣＵ３００Ｂ）のプロセッサ３０１が更新補助プログラム３０９を実行することにより、第２受信部３１１と、第２記憶部３１２と、第２検証部３１３と、第２送信部３１４との各機能が実現される。さらに、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのうちの対象ＥＣＵ３２０（本例ではＥＣＵ３００Ａ）のプロセッサ３０１が更新プログラム３０８を実行することにより、第３受信部３２１と、第３記憶部３２２と、生成部３２３と、第３検証部３２４と、更新部３２５との各機能が実現される。
【0055】
選定部２１１は、選定条件に基づいて、対象ＥＣＵ３２０であるＥＣＵ３００Ａを除くＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ（非対象車載装置）の中から選定ＥＣＵ３１０を選定する。選定条件は、複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅそれぞれに関する条件である。具体的な一例では、選定条件は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数のうちの少なくとも１つに関する条件である。
【0056】
例えば、ＥＣＵ３００のセキュリティ強度は、ＥＣＵ３００に接続されたバス４００Ａ，４００Ｂ，４００Ｃによって定まる。具体的には、車外通信バス４００Ｃに接続されたＥＣＵ３００Ｅのセキュリティ強度は、車内通信バス４００Ａ，４００Ｂに接続されたＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄよりも低い。
【0057】
例えば、ＥＣＵ３００の通信アクセス性は、ＥＣＵ３００に接続されたバス４００Ａ，４００Ｂ，４００Ｃによって定まる。具体的には、対象ＥＣＵ３２０と同一のバス４００Ａに接続されたＥＣＵ３００Ｂの通信アクセス性は、対象ＥＣＵ３２０とは異なるバス４００Ｂ，４００Ｃに接続されたＥＣＵ３００Ｃ，３００Ｄ，３００Ｅの通信アクセス性よりも高い。
【0058】
例えば、ＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数に応じて、シングルバンクの記憶部を有するＥＣＵとダブルバンクの記憶部を有するＥＣＵとに分かれる。
【0059】
例えば、選定部２１１は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数のうちの少なくとも１つの項目についてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ毎に点数を付け、点数に基づいてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定ＥＣＵ３１０を選定する。さらに具体的な一例では、選定部２１１は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数のうちの複数の項目毎に重みを設定し、点数を重みに乗じた結果に基づいてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定ＥＣＵ３１０を選定する。
【0060】
図６は、本実施形態に係る選定条件における各項目の重み及び点数の一例を説明するための図である。図６の例では、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷（図６において項目「運転状態」）ｘ１についての重みが１５％である。車両１０が運転中（以下、「運転状態」という）において処理負荷が高いＥＣＵ３００の項目ｘ１の点数（値）は０であり、運転状態において処理負荷が低いＥＣＵ３００の項目ｘ１の点数は１である。すなわち、ＥＣＵ３００Ｂ，３００Ｃは運転状態における処理負荷が高いため、ＥＣＵ３００Ｂ，３００Ｃの項目ｘ１の点数は０である。ＥＣＵ３００Ｄ，３００Ｅは運転状態における処理負荷が低いため、ＥＣＵ３００Ｄ，３００Ｅの項目ｘ１の点数は１である。
【0061】
車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷（図６において項目「乗車状態」）ｘ２についての重みは１５％である。車両１０に乗員が搭乗している場合（以下、「乗車状態」という）において処理負荷が高いＥＣＵ３００の項目ｘ２の点数は０であり、乗車状態において処理負荷が低いＥＣＵ３００の項目ｘ２の点数は１である。すなわち、ＥＣＵ３００Ｃ，３００Ｅは乗車状態における処理負荷が高いため、ＥＣＵ３００Ｃ，３００Ｅの項目ｘ２の点数は０である。ＥＣＵ３００Ｂ，３００Ｄは乗車状態における処理負荷が低いため、ＥＣＵ３００Ｂ，３００Ｄの項目ｘ２の点数は１である。
【0062】
ＥＣＵ３００のセキュリティ強度ｘ３についての重みは２０％である。セキュリティ強度が低いＥＣＵ３００、すなわち、車外通信バス４００Ｃに接続されたＥＣＵ３００Ｅの項目ｘ３の点数は０であり、セキュリティ強度が高いＥＣＵ３００、すなわち、車内通信バス４００Ａ，４００Ｂに接続されたＥＣＵ３００Ｂ，３００Ｃ，３００Ｄの項目ｘ３の点数は１である。
【0063】
ＥＣＵ３００の通信アクセス性ｘ４についての重みは１０％である。通信アクセス性が低いＥＣＵ３００、すなわち、対象ＥＣＵ３２０とは異なるバス４００Ｂ，４００Ｃに接続されたＥＣＵ３００Ｃ，３００Ｄ，３００Ｅの項目ｘ４の点数は０であり、通信アクセス性が高いＥＣＵ３００、すなわち、対象ＥＣＵ３２０と同一のバス４００Ａに接続されたＥＣＵ３００Ｂの項目ｘ４の点数は１である。
【0064】
ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量（図６において項目「メモリ空き容量」）ｘ５についての重みは１０％である。項目ｘ５についての点数は、不揮発性メモリ３０２の空き容量に応じた実数値として与えられる。例えば、点数は、不揮発性メモリ３０２の空き容量（ＭＢ）×０．０１で算出される。ただし、上記の数式による算出結果が１以上である場合、点数は１とされる。図６の例では、ＥＣＵ３００Ｂのメモリ空き容量は１０ＭＢであるため、ＥＣＵ３００Ｂの項目ｘ５の点数は０．１である。ＥＣＵ３００Ｃのメモリ空き容量は２ＭＢであるため、ＥＣＵ３００Ｃの項目ｘ５の点数は０．０２である。ＥＣＵ３００Ｄのメモリ空き容量は５０ＭＢであるため、ＥＣＵ３００Ｄの項目ｘ５の点数は０．５である。ＥＣＵ３００Ｅのメモリ空き容量は１５０ＭＢであるため、ＥＣＵ３００Ｂの項目ｘ５の点数は１である。
【0065】
ＥＣＵ３００に設けられた不揮発性メモリ３０２の書き込み及び読出し速度（図６において項目「メモリ書込み・読出し速度」）ｘ６についての重みは１０％である。項目ｘ６についての点数は、不揮発性メモリ３０２の書き込み及び読み出し速度に応じた実数値として与えられる。例えば、点数は、書き込み速度（ｋｂｐｓ）×０．００１＋読み出し速度（ｋｂｐｓ）×０．００１で算出される。ただし、上記の数式による算出結果が１以上である場合、点数は１とされる。図６の例では、ＥＣＵ３００Ｂのメモリ書き込み速度は５００ｋｂｐｓであり、読み出し速度は５００ｋｂｐｓであるため、ＥＣＵ３００Ｂの項目ｘ６の点数は１である。ＥＣＵ３００Ｃのメモリ書き込み速度は１００ｋｂｐｓであり、読み出し速度は２００ｋｂｐｓであるため、ＥＣＵ３００Ｃの項目ｘ６の点数は０．３である。ＥＣＵ３００Ｄのメモリ書き込み速度は２００ｋｂｐｓであり、読み出し速度は５００ｋｂｐｓであるため、ＥＣＵ３００Ｄの項目ｘ６の点数は０．７である。ＥＣＵ３００Ｅのメモリ書き込み速度は１Ｍｂｐｓであり、読み出し速度は１Ｍｂｐｓであるため、ＥＣＵ３００Ｅの項目ｘ６の点数は１である。
【0066】
ＥＣＵ３００の不揮発性メモリ３０２における論理的構成単位（バンク）の数（図６において項目「メモリバンク」）ｘ７についての重みは２０％である。ダブルバンクの不揮発性メモリ３０２を有するＥＣＵ３００Ｂ，３００Ｅの項目ｘ７の点数は１である。シングルバンクの不揮発性メモリ３０２を有するＥＣＵ３００Ｃ，３００Ｄの項目ｘ７の点数は０である。
【0067】
図５に戻り、選定部２１１は、Ｅ＝１５ｘ１＋１５ｘ２＋２０ｘ３＋１０ｘ４＋１０ｘ５＋１０ｘ６＋２０ｘ７によって各ＥＣＵ３００の評価値Ｅを算出する。この評価値Ｅの算定式は、選定条件を表している。選定部２１１は、更新データの一部の格納先の候補であるＥＣＵ３００（対象ＥＣＵ３２０は候補から除外される）の中で評価値Ｅが最大のＥＣＵ３００を、更新データの一部の格納先（選定ＥＣＵ３１０）に選定する。なお、この例では、選定条件を、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数の各項目についての条件としたが、これに限定されない。車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数から選択される１又は複数の項目についての条件であってもよい。
【0068】
通知部２１２は、選定部２１１によって選定された選定ＥＣＵ３１０を、ＯＴＡサーバ５０へ通知する。例えば、通知部２１２は、選定ＥＣＵ３１０の識別情報を、ＯＴＡサーバ５０へ通知することができる。
【0069】
ＯＴＡサーバ５０は、更新データを第１部分データと第２部分データに分割する。ＯＴＡサーバ５０は、第１部分データを含む第１更新データを送信し、第２部分データを含む第２更新データを送信する。
【0070】
図７は、更新データの構成の一例を説明するための図である。更新データ６１０は、対象ＥＣＵ３２０による制御プログラム３０６の更新に用いられるデータである。更新データ６１０は、更新プログラム６０１（実行可能形式の更新プログラムのバイナリデータ）と、プログラム検証データ（以下、「ＰＧ検証データ」という）６０２とを含む。ＰＧ検証データ６０２は、対象ＥＣＵ３２０による更新プログラム６０１の検証に用いられるデータである。ＯＴＡサーバ５０は、更新プログラム６０１のハッシュ値を鍵データで暗号化し、ＰＧ検証データ６０２を生成する。ＯＴＡサーバ５０は、更新プログラム６０１とＰＧ検証データ６０２とを結合し、更新データ６１０を生成する。
【0071】
図７に示す更新パッケージ６００は、更新データ６１０と、ＯＴＡマスタ検証データ６０３とを含む。ＯＴＡマスタ検証データ６０３は、ＯＴＡマスタ２００による更新データ６１０の検証に用いられるデータである。ＯＴＡサーバ５０は、更新データ６１０のハッシュ値を鍵データで暗号化し、ＯＴＡマスタ検証データ６０３を生成する。ＯＴＡサーバ５０は、更新データ６１０とＯＴＡマスタ検証データ６０３とを結合し、更新パッケージ６００を生成する。
【0072】
ＯＴＡマスタ２００の不揮発性メモリ２０２に、更新パッケージ６００を記憶することが可能なサイズの空き領域が存在する場合、ＯＴＡサーバ５０は更新パッケージ６００をＯＴＡマスタ２００にダウンロードする。ＯＴＡマスタ２００は、ダウンロードした更新パッケージ６００を不揮発性メモリ２０２に記憶する。ＯＴＡマスタ２００は、更新パッケージ６００に含まれるＯＴＡマスタ検証データ６０３を、不揮発性メモリ２０２に記憶された鍵データ２０６によって復号する。ＯＴＡマスタ２００は、更新パッケージ６００に含まれる更新データ６１０のハッシュ値を算出し、算出されたハッシュ値を、ＯＴＡマスタ検証データ６０３を複合することによって得られたハッシュ値と比較することで、更新データ６１０を検証する。
【0073】
２つのハッシュ値が一致した場合、ＯＴＡマスタ２００は、更新データ６１０を対象ＥＣＵ３２０へ送信する。対象ＥＣＵ３２０は、受信した更新データ６１０を不揮発性メモリ３０２に記憶する。対象ＥＣＵ３２０は、更新データ６１０に含まれるＰＧ検証データ６０２を、不揮発性メモリ３０２に記憶された鍵データ３０７によって復号する。対象ＥＣＵ３２０は、更新データ６１０に含まれる更新プログラム６０１のハッシュ値を算出し、算出されたハッシュ値を、ＰＧ検証データ６０２を複合することによって得られたハッシュ値と比較することで、更新プログラム６０１を検証する。更新プログラム６０１の検証に成功した場合、すなわち、２つのハッシュ値が一致した場合、対象ＥＣＵ３２０は、更新プログラム６０１をインストールし、制御プログラム３０６を更新する。
【0074】
ＯＴＡマスタ２００の不揮発性メモリ２０２に、更新パッケージ６００を記憶することが可能なサイズの空き領域が存在しない場合、選定部２１１が選定ＥＣＵ３１０を選定する。ＯＴＡマスタ２００は、更新データ６１０の分割をＯＴＡサーバ５０に要求する。この要求には、選定ＥＣＵ３１０の情報が含まれる。つまり、ＯＴＡマスタ２００は、更新データ６１０の分割をＯＴＡサーバ５０に要求することで、選定ＥＣＵ３１０をＯＴＡサーバ５０に通知する。
【0075】
ＯＴＡサーバ５０は、更新データ６１０の分割要求を受信すると、更新データ６１０を分割する。図８は、更新データ６１０の分割の一例を説明する図である。本実施形態では、ＯＴＡサーバ５０は、更新データ６１０を第１部分データ６１１と第２部分データ６１２に二分割する。ただし、更新データ６１０は３以上の部分データに分割されてもよい。
【0076】
更新データ６１０は、更新プログラム６０１とＰＧ検証データ６０２とによって構成されている。ＰＧ検証データ６０２は、第１部分データ６１１及び第２部分データ６１２のいずれか１つに含まれる。ただし、ＰＧ検証データ６０２の一部が第１部分データ６１１に含まれ、ＰＧ検証データ６０２の残りの部分が第２部分データ６１２に含まれてもよい。
【0077】
図９Ａは、第１更新データの構成の一例を示す図である。図９Ａに示す第１更新データ６２０は、第１部分データ６１１と、ＯＴＡマスタ検証データ６２１とを含む。ＯＴＡマスタ検証データ６２１は、ＯＴＡマスタ２００による第１部分データ６１１の検証に用いられるデータであり、「第１検証データ」の一例である。ＯＴＡサーバ５０は、第１部分データ６１１のハッシュ値を鍵データで暗号化し、ＯＴＡマスタ検証データ６２１を生成する。ＯＴＡサーバ５０は、第１部分データ６１１とＯＴＡマスタ検証データ６２１とを結合し、第１更新データ６２０を生成する。
【0078】
図９Ｂは、第２更新データの構成の一例を示す図である。図９Ｂに示す第２更新データ６３０は、第２部分データ６１２と、ＥＣＵ検証データ６３１とを含む。ＥＣＵ検証データ６３１は、選定ＥＣＵ３１０による第２部分データ６１２の検証に用いられるデータであり、「第２検証データ」の一例である。ＯＴＡサーバ５０は、第２部分データ６１２のハッシュ値を鍵データで暗号化し、ＥＣＵ検証データ６３１を生成する。ＯＴＡサーバ５０は、第２部分データ６１２とＥＣＵ検証データ６３１とを結合し、第２更新データ６３０を生成する。
【0079】
図５に戻り、ＯＴＡサーバ５０は、第１更新データ６２０をＯＴＡマスタ２００に送信する。ＯＴＡマスタ２００の第１受信部２１３は、ＯＴＡサーバ５０から送信された第１更新データ６２０を受信する。第１記憶部２１４は、第１受信部２１３によって受信された第１更新データ６２０を記憶する。
【0080】
第１検証部２１５は、第１更新データ６２０に含まれるＯＴＡマスタ検証データ６２１を、不揮発性メモリ２０２に記憶された鍵データ２０６によって復号する。第１検証部２１５は、第１更新データ６２０に含まれる第１部分データ６１１のハッシュ値を算出し、算出されたハッシュ値を、ＯＴＡマスタ検証データ６２１を複合することによって得られたハッシュ値と比較することで、第１部分データ６１１を検証する。
【0081】
第１部分データ６１１の検証に成功した場合、すなわち、２つのハッシュ値が一致した場合、第１送信部２１６は、第１部分データ６１１を対象ＥＣＵ３２０へ送信する。
【0082】
ＯＴＡサーバ５０は、第２更新データ６３０をＯＴＡマスタ２００に送信する。ＯＴＡマスタ２００は、受信した第２更新データ６３０を選定ＥＣＵ３１０に送信する。選定ＥＣＵ３１０の第２受信部３１１は、ＯＴＡサーバ５０から送信された第２更新データ６３０を受信する。第２記憶部３１２は、第２受信部３１１によって受信された第２更新データ６３０を記憶する。
【0083】
第２検証部３１３は、第２更新データ６３０に含まれるＥＣＵ検証データ６３１を、不揮発性メモリ３０２に記憶された鍵データ３０７によって復号する。第２検証部３１３は、第２更新データ６３０に含まれる第２部分データ６１２のハッシュ値を算出し、算出されたハッシュ値を、ＥＣＵ検証データ６３１を複合することによって得られたハッシュ値と比較することで、第２部分データ６１２を検証する。
【0084】
第２部分データ６１２の検証に成功した場合、すなわち、２つのハッシュ値が一致した場合、第２送信部３１４は、第２部分データ６１２を対象ＥＣＵ３２０へ送信する。
【0085】
対象ＥＣＵ３２０の第３受信部３２１は、ＯＴＡマスタ２００から送信された第１部分データ６１１を受信する。第３記憶部３２２は、受信した第１部分データ６１１を記憶する。第３受信部３２１は、選定ＥＣＵ３１０から送信された第２部分データ６１２を受信する。第３記憶部３２２は、受信した第２部分データ６１２を記憶する。
【0086】
生成部３２３は、第３受信部によって受信された第１部分データ６１１及び第２部分データ６１２を結合し、更新データ６１０を生成（復元）する。
【0087】
第３検証部３２４は、更新データ６１０に含まれるＰＧ検証データ６０２を、不揮発性メモリ３０２に記憶された鍵データ３０７によって復号する。第３検証部３２４は、更新データ６１０に含まれる更新プログラム６０１のハッシュ値を算出し、算出されたハッシュ値を、ＰＧ検証データ６０２を複合することによって得られたハッシュ値と比較することで、更新プログラム６０１を検証する。
【0088】
更新プログラム６０１の検証に成功した場合、すなわち、２つのハッシュ値が一致した場合、更新部３２５は、更新プログラム６０１をインストールし、制御プログラム３０６を更新する。
【0089】
［６．プログラム更新システムの動作］
以下、本実施形態に係るプログラム更新システムの動作を説明する。
以下、本実施形態に係るプログラム更新システムの動作を説明する。
【0090】
［６－１．メモリ空き容量確認処理］
ＯＴＡマスタ２００は、更新データの一部の格納先の選定に用いる情報を収集するために、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの不揮発性メモリ３０２の空き容量を確認するメモリ空き容量確認処理を実行する。図１０は、メモリ空き容量確認処理の一例を説明するためのシーケンス図である。
ＯＴＡマスタ２００は、更新データの一部の格納先の選定に用いる情報を収集するために、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの不揮発性メモリ３０２の空き容量を確認するメモリ空き容量確認処理を実行する。図１０は、メモリ空き容量確認処理の一例を説明するためのシーケンス図である。
【0091】
ＯＴＡマスタ２００は、不揮発性メモリ３０２の空き容量の確認要求をＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅに送信する（ステップＳ１１～Ｓ１３）。ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれは、要求を受信すると、不揮発性メモリ３０２の空き容量を示す情報を取得し、この情報を送信することで、ＯＴＡマスタ２００に不揮発性メモリの空き容量を通知する（ステップＳ２１～Ｓ２３）。ＯＴＡマスタ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれから送信された情報を受信し、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれの不揮発性メモリ３０２の空き容量を取得する。
【0092】
ＯＴＡマスタ２００は、上記のような不揮発性メモリ３０２の空き容量の確認要求を、例えば一定期間毎に送信する。これにより、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれの不揮発性メモリ３０２の空き容量が定期的に更新され、ＯＴＡマスタ２００は、更新データの一部の格納先の選定を行うことが可能となる。
【0093】
［６－２．分割ダウンロード処理］
上述したように、ＯＴＡマスタ２００の不揮発性メモリ２０２に、更新パッケージ６００を記憶することが可能なサイズの空き領域が存在しない場合、プログラム更新システムは、更新データを分割してダウンロードする分割ダウンロード処理を実行する。図１１は、分割ダウンロード処理の一例を説明するためのシーケンス図である。
上述したように、ＯＴＡマスタ２００の不揮発性メモリ２０２に、更新パッケージ６００を記憶することが可能なサイズの空き領域が存在しない場合、プログラム更新システムは、更新データを分割してダウンロードする分割ダウンロード処理を実行する。図１１は、分割ダウンロード処理の一例を説明するためのシーケンス図である。
【0094】
あるＥＣＵ３００向けに新バージョンの制御プログラム３０６がリリースされると、ＯＴＡサーバ５０には、当該バージョンの更新プログラム６０１を含む更新データ６１０が記憶される。この場合、ＯＴＡサーバ５０は、制御プログラム３０６の更新要求をＯＴＡマスタ２００へ送信する。ＯＴＡマスタ２００は、制御プログラム３０６の更新要求を受信すると、ＯＴＡサーバ５０へ応答を送信する（ステップＳ３１）。
【0095】
次に、ＯＴＡマスタ２００は、ＯＴＡマスタ２００が真正であることを認証するための認証データをＯＴＡサーバ５０へ送信し、ＯＴＡサーバ５０が認証を行う。認証に成功すると、ＯＴＡサーバ５０は認証成功をＯＴＡマスタ２００に通知する（ステップＳ３２）。
【0096】
ＯＴＡマスタ２００は、更新パッケージ６００のサイズ確認要求をＯＴＡサーバ５０へ送信する（ステップＳ３３）。ＯＴＡサーバ５０は、更新パッケージ６００のサイズ確認要求を受信すると、更新パッケージ６００のサイズをＯＴＡマスタ２００に通知する（ステップＳ３４）。
【0097】
ＯＴＡマスタ２００は、不揮発性メモリ２０２の空き容量と更新パッケージ６００のサイズとを比較し、更新パッケージ６００を不揮発性メモリ２０２に格納可能であるか否か、すなわち、更新パッケージ６００のダウンロードが可能か否かを判定する（ステップＳ３５）。更新パッケージ６００のダウンロードが可能である場合、上述したように、更新パッケージ６００をＯＴＡサーバ５０からダウンロードする。なお、図１１では、更新パッケージ６００のダウンロードが可能な場合の処理は省略し、更新パッケージ６００のダウンロードが不可能な場合の処理のみを示している。
【0098】
ＯＴＡマスタ２００は、更新パッケージ６００のダウンロードが不可能であると判定すると、更新データの一部の格納先を選定する選定処理を実行する（ステップＳ３６）。
【0099】
図１２は、選定処理の一例を示すフローチャートである。ＯＴＡマスタ２００のプロセッサ２０１は、車両１０の電源の状態を確認し、稼働中（電力供給中）のＥＣＵ３００を特定する。車両１０がイグニッション（ＩＧ）オンの状態である場合には、全てのＥＣＵ３００に電力が供給され、全てのＥＣＵ３００が稼働する。車両１０がＩＧオフの状態である場合には、バッテリー電源で駆動されるＥＣＵ３００のみに電力が供給され、これらのＥＣＵ３００が稼働する。プロセッサ２０１は、対象ＥＣＵ３２０を除き、稼働中のＥＣＵ３００を、更新データの一部の格納先の候補に決定する（ステップＳ１０１）。
【0100】
次にプロセッサ２０１は、上述した評価値Ｅの式により、全ての候補の評価値Ｅを算出する（ステップＳ１０２）。プロセッサ２０１は、評価値Ｅが最大の候補を、更新データの一部の格納先（選定ＥＣＵ３１０）に選定する（ステップＳ１０３）。以上で、選定処理が終了する。
【0101】
図１１に戻り、ＯＴＡマスタ２００は、更新データの分割要求をＯＴＡサーバ５０へ送信する（ステップＳ３７）。分割要求には、選定ＥＣＵ３１０の識別情報が含まれる。なお、選定ＥＣＵ３１０の識別情報ではなく、選定ＥＣＵ３１０の不揮発性メモリ３０２の空き容量をＯＴＡサーバ５０に通知してもよい。
【0102】
ＯＴＡサーバ５０は、要求を受信すると、ＯＴＡマスタ２００及び選定ＥＣＵ３１０に応じたサイズで、更新データ６１０を分割する（ステップＳ３８）。ＯＴＡサーバ５０は、ＯＴＡマスタ検証データ６２１を生成し、第１部分データ６１１とＯＴＡマスタ検証データ６２１とを結合して、第１更新データ６２０を作成する。ＯＴＡサーバ５０は、ＥＣＵ検証データ６３１を生成し、第２部分データ６１２とＥＣＵ検証データ６３１とを結合して、第２更新データ６３０を作成する（ステップＳ３９）。
【0103】
ＯＴＡサーバ５０は、第１更新データ６２０をＯＴＡマスタ２００へ送信する（ステップＳ４０）。ＯＴＡマスタ２００は、第１更新データ６２０を受信すると、第１更新データ６２０を不揮発性メモリ２０２に格納する（ステップＳ４１）。ＯＴＡマスタ２００は、第１更新データ６２０に含まれる第１部分データ６１１を、ＯＴＡマスタ検証データ６２１を用いて検証する（ステップＳ４２）。
【0104】
ＯＴＡサーバ５０は、第２更新データ６３０をＯＴＡマスタ２００へ送信する（ステップＳ４３）。ＯＴＡマスタ２００は、第２更新データ６３０を受信すると、受信した第２更新データ６３０を選定ＥＣＵ３１０へ転送する（ステップＳ４４）。選定ＥＣＵ３１０は、第２更新データ６３０を受信すると、第２更新データ６３０を不揮発性メモリ３０２に格納する（ステップＳ４５）。選定ＥＣＵ３１０は、第２更新データ６３０に含まれる第２部分データ６１２を、ＥＣＵ検証データ６３１を用いて検証する（ステップＳ４６）。以上で、分割ダウンロード処理が終了する。
【0105】
［６－３．プログラム更新処理］
プログラム更新システムは、分割ダウンロード処理の後、対象ＥＣＵ３２０の制御プログラムを更新するプログラム更新処理を実行する。図１３は、プログラム更新処理の一例を説明するためのシーケンス図である。
プログラム更新システムは、分割ダウンロード処理の後、対象ＥＣＵ３２０の制御プログラムを更新するプログラム更新処理を実行する。図１３は、プログラム更新処理の一例を説明するためのシーケンス図である。
【0106】
ＯＴＡマスタ２００は、第１部分データ６１１の検証に成功すると、第１部分データ６１１を対象ＥＣＵ３２０へ送信する（ステップＳ５１）。対象ＥＣＵ３２０は、第１部分データ６１１を受信すると、受信した第１部分データ６１１を不揮発性メモリ３０２に格納する（ステップＳ５２）。
【0107】
ＯＴＡマスタ２００は、第２部分データ６１２の送信指示を、選定ＥＣＵ３１０に送信する（ステップＳ５３）。第２部分データ６１２の検証に成功した選定ＥＣＵ３１０は、第２部分データ６１２の送信指示を受信すると、第２部分データ６１２を対象ＥＣＵ３２０へ送信する（ステップＳ５４）。対象ＥＣＵ３２０は、第２部分データ６１２を受信すると、受信した第２部分データ６１２を不揮発性メモリ３０２に格納する（ステップＳ５５）。
【0108】
対象ＥＣＵ３２０は、受信した第１部分データ６１１と受信した第２部分データ６１２とを結合し、更新データ６１０を復元する（ステップＳ５６）。対象ＥＣＵ３２０は、更新データ６１０に含まれる更新プログラム６０１を、ＰＧ検証データ６０２を用いて検証する（ステップＳ５７）。検証に成功すると、対象ＥＣＵ３２０は、更新プログラム６０１を不揮発性メモリ３０２にインストールし、制御プログラム３０６を更新する（ステップＳ５８）。以上で、プログラム更新処理が終了する。
【0109】
［７．変型例］
選定部２１１は、選定条件に含まれる複数の条件について順番に、ＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの中から条件に適合するＥＣＵ３００を決定することにより、選定ＥＣＵ３１０を選定してもよい。
選定部２１１は、選定条件に含まれる複数の条件について順番に、ＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの中から条件に適合するＥＣＵ３００を決定することにより、選定ＥＣＵ３１０を選定してもよい。
【0110】
【0111】
プロセッサ２０１は、車両１０がＩＧオン状態であるか否かを判定する（ステップＳ２０１）。車両１０がＩＧオン状態である場合（ステップＳ２０１においてＹＥＳ）、プロセッサ２０１は、対象ＥＣＵ３２０を除く全てのＥＣＵ３００を更新データ６１０の一部の格納先の候補に決定する（ステップＳ２０２）。車両１０がＩＧオフ状態である場合（ステップＳ２０１においてＮＯ）、プロセッサ２０１は、ＩＧ電源から電力供給を受けるＥＣＵ３００以外のＥＣＵ３００（すなわち、バッテリ電源から電力供給を受けるＥＣＵ３００）を更新データ６１０の一部の格納先の候補に決定する（ステップＳ２０３）。ステップＳ２０２又はＳ２０３の後、プロセッサ２０１はステップＳ２０４へ移る。
【0112】
プロセッサ２０１は、車両１０に乗員が乗車しているか否かを判定する（ステップＳ２０４）。車両１０に乗員が乗車している場合（ステップＳ２０４においてＹＥＳ）、プロセッサ２０１は、乗車状態において処理負荷が高いＥＣＵ３００を候補から削除する（ステップＳ２０５）。ステップＳ２０５の後、プロセッサ２０１はステップＳ２０６へ移る。車両１０に乗員が乗車していない場合（ステップＳ２０４においてＮＯ）も、プロセッサ２０１はステップＳ２０６へ移る。
【0113】
プロセッサ２０１は、車両１０が運転（走行）中であるか否かを判定する（ステップＳ２０６）。車両１０が運転中である場合（ステップＳ２０６においてＹＥＳ）、プロセッサ２０１は、運転状態において処理負荷が高いＥＣＵ３００を候補から削除する（ステップＳ２０７）。ステップＳ２０７の後、プロセッサ２０１はステップＳ２０８へ移る。車両１０が運転中ではない、すなわち停止中の場合（ステップＳ２０６においてＮＯ）も、プロセッサ２０１はステップＳ２０８へ移る。
【0114】
プロセッサ２０１は、対象ＥＣＵ３２０のセキュリティ強度が高いか低いかを判定する（ステップＳ２０８）。対象ＥＣＵ３２０が車内通信バス４００Ａ，４００Ｂに接続されていれば、プロセッサ２０１は、対象ＥＣＵ３２０のセキュリティ強度が高いと判定する（ステップＳ２０１においてＹＥＳ）。この場合、プロセッサ２０１は、車内通信バス４００Ａ，４００Ｂ上のＥＣＵ３００を候補から削除する（ステップＳ２０９）。ステップＳ２０９の後、プロセッサ２０１はステップＳ２１２に移る。
【0115】
対象ＥＣＵ３２０が車外通信バス４００Ｃに接続されていれば、プロセッサ２０１は、対象ＥＣＵ３２０のセキュリティ強度が低いと判定する（ステップＳ２０１においてＮＯ）。この場合、プロセッサ２０１は、対象ＥＣＵ３２０と同一のバスに接続されたＥＣＵ３００が候補に含まれるか否かを判定する（ステップＳ２１０）。対象ＥＣＵ３２０と同一のバスに接続されたＥＣＵ３００が候補に含まれる場合（ステップＳ２１０においてＹＥＳ）、プロセッサ２０１は、対象ＥＣＵ３２０と異なるバスに接続されたＥＣＵ３００を候補から削除する（ステップＳ２１１）。ステップＳ２１１の後、プロセッサ２０１はステップＳ２１２に移る。対象ＥＣＵ３２０と同一のバスに接続されたＥＣＵ３００が候補に含まれない場合（ステップＳ２１０においてＮＯ）も、プロセッサ２０１はステップＳ２１２に移る。
【0116】
プロセッサ２０１は、候補のうち、不揮発性メモリ３０２の空き容量が最大のＥＣＵ３００を、更新データ６１０の一部の格納先に選定する（ステップＳ２１２）。以上で、選定処理が終了する。
【0117】
［８．その他の変型例］
上述した実施形態では、統合ＥＣＵ２００をＯＴＡマスタとしたが、これに限定されない。個別ＥＣＵ３００がＯＴＡマスタであってもよい。
上述した実施形態では、統合ＥＣＵ２００をＯＴＡマスタとしたが、これに限定されない。個別ＥＣＵ３００がＯＴＡマスタであってもよい。
【0118】
上述した実施形態では、ＯＴＡマスタ２００が更新データ６１０の一部の格納先を選定したが、これに限定されない。例えば、ＯＴＡサーバ５０が更新データ６１０の一部の格納先を選定してもよい。この場合、ＯＴＡマスタ２００は、各ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの不揮発性メモリ３０２の空き容量を、ＯＴＡサーバ５０に通知してもよい。
【0119】
［９．実施形態の効果］
車載システム１００は、制御プログラム３０６の更新対象であるＥＣＵ３００である対象ＥＣＵ３２０（対象車載装置）と、制御プログラム３０６の更新対象ではないＥＣＵ３００である複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ（非対象車載装置）と、対象ＥＣＵ３２０における制御プログラム３０６の更新を制御するＯＴＡマスタ２００（更新制御装置）とを含む。ＯＴＡマスタ２００は、第１受信部２１３と、第１記憶部２１４と、第１送信部２１６とを含む。第１受信部２１３は、第１部分データ６１１を、車両１０の外部に配置されたＯＴＡサーバ５０（外部装置）から受信する。第１部分データ６１１は、制御プログラム３０６の更新に用いられる更新データ６１０の部分データである。第１記憶部２１４は、第１受信部２１３によって受信された第１部分データ６１１を記憶する。第１送信部２１６は、第１記憶部２１４に記憶された第１部分データ６１１を、対象ＥＣＵ３２０へ送信する。複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定された選定ＥＣＵ３１０（選定車載装置）は、第２受信部３１１と、第２記憶部３１２と、第２送信部３１４とを含む。第２受信部３１１は、第２部分データ６１２をＯＴＡサーバ５０から受信する。第２部分データ６１２は、更新データ６１０の部分データであり、第１部分データ６１１とは異なるデータである。第２記憶部３１２は、第２受信部３１１によって受信された第２部分データ６１２を記憶する。第２送信部３１４は、第２記憶部３１２に記憶された第２部分データ６１２を、対象ＥＣＵ３２０へ送信する。対象ＥＣＵ３２０は、第３受信部３２１と、生成部３２３と、更新部３２５とを含む。第３受信部３２１は、ＯＴＡマスタ２００から第１部分データ６１１を受信し、選定ＥＣＵ３１０から第２部分データ６１２を受信する。生成部３２３は、第３受信部３２１によって受信された第１部分データ６１１及び第２部分データ６１２を結合し、更新データ６１０を生成する。更新部３２５は、生成部３２３によって生成された更新データ６１０を用いて、制御プログラム３０６を更新する。これにより、更新データ６１０の一部をＯＴＡマスタ２００が記憶し、更新データ６１０の他の一部を選定ＥＣＵ３１０が記憶するため、ＯＴＡマスタ２００の不揮発性メモリ２０２の空き容量が不足していても、ＯＴＡマスタ２００の不揮発性メモリ２０２のデータを退避させることなく、更新データ６１０をダウンロードすることができる。
車載システム１００は、制御プログラム３０６の更新対象であるＥＣＵ３００である対象ＥＣＵ３２０（対象車載装置）と、制御プログラム３０６の更新対象ではないＥＣＵ３００である複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ（非対象車載装置）と、対象ＥＣＵ３２０における制御プログラム３０６の更新を制御するＯＴＡマスタ２００（更新制御装置）とを含む。ＯＴＡマスタ２００は、第１受信部２１３と、第１記憶部２１４と、第１送信部２１６とを含む。第１受信部２１３は、第１部分データ６１１を、車両１０の外部に配置されたＯＴＡサーバ５０（外部装置）から受信する。第１部分データ６１１は、制御プログラム３０６の更新に用いられる更新データ６１０の部分データである。第１記憶部２１４は、第１受信部２１３によって受信された第１部分データ６１１を記憶する。第１送信部２１６は、第１記憶部２１４に記憶された第１部分データ６１１を、対象ＥＣＵ３２０へ送信する。複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定された選定ＥＣＵ３１０（選定車載装置）は、第２受信部３１１と、第２記憶部３１２と、第２送信部３１４とを含む。第２受信部３１１は、第２部分データ６１２をＯＴＡサーバ５０から受信する。第２部分データ６１２は、更新データ６１０の部分データであり、第１部分データ６１１とは異なるデータである。第２記憶部３１２は、第２受信部３１１によって受信された第２部分データ６１２を記憶する。第２送信部３１４は、第２記憶部３１２に記憶された第２部分データ６１２を、対象ＥＣＵ３２０へ送信する。対象ＥＣＵ３２０は、第３受信部３２１と、生成部３２３と、更新部３２５とを含む。第３受信部３２１は、ＯＴＡマスタ２００から第１部分データ６１１を受信し、選定ＥＣＵ３１０から第２部分データ６１２を受信する。生成部３２３は、第３受信部３２１によって受信された第１部分データ６１１及び第２部分データ６１２を結合し、更新データ６１０を生成する。更新部３２５は、生成部３２３によって生成された更新データ６１０を用いて、制御プログラム３０６を更新する。これにより、更新データ６１０の一部をＯＴＡマスタ２００が記憶し、更新データ６１０の他の一部を選定ＥＣＵ３１０が記憶するため、ＯＴＡマスタ２００の不揮発性メモリ２０２の空き容量が不足していても、ＯＴＡマスタ２００の不揮発性メモリ２０２のデータを退避させることなく、更新データ６１０をダウンロードすることができる。
【0120】
選定ＥＣＵ３１０は、複数のＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅそれぞれに関する選定条件に基づいて、ＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定されてもよい。これにより、選定条件にしたがって、ＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅからから選定ＥＣＵ３１０を選定することができる。
【0121】
選定条件は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、ＥＣＵ３００に設けられた不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数のうちの少なくとも１つに関する条件であってもよい。これにより、上記のような条件によって、適切に選定ＥＣＵ３１０を選定することができる。
【0122】
車載システム１００は、ＯＴＡサーバ５０と通信可能な外部通信装置５００を含んでもよい。外部通信装置５００と同一のバス４００Ｃに接続されたＥＣＵ３００のセキュリティ強度は、外部通信装置５００とは異なるバス４００Ａ，４００Ｂに接続されたＥＣＵ３００のセキュリティ強度より低くてもよい。これにより、車載システム１００においてＥＣＵ３００が接続されたバスに応じて、適切に選定ＥＣＵ３１０を選定することができる。
【0123】
対象ＥＣＵ３２０と同一のバス４００Ａに接続されたＥＣＵ３００の通信アクセス性は、対象ＥＣＵ３２０とは異なるバス４００Ｂ，４００Ｃに接続されたＥＣＵ３００の通信アクセス性より高くてもよい。これにより、車載システム１００においてＥＣＵ３００が接続されたバスに応じて、適切に選定ＥＣＵ３１０を選定することができる。
【0124】
ＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数は、ＥＣＵ３００が有する不揮発性メモリ３０２がシングルバンクである場合と、ダブルバンクである場合とを含んでもよい。これにより、ＥＣＵ３００が有する揮発性メモリ３０２がシングルバンクメモリであるかダブルバンクメモリであるかに応じて、適切に選定ＥＣＵ３１０を選定することができる。
【0125】
ＯＴＡマスタ２００は、選定部２１１と、通知部２１２とを含んでもよい。選定部２１１は、選定条件に基づいて、複数のＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定ＥＣＵ３１０を選定する。通知部２１２は、選定部２１１によって選定された選定ＥＣＵ３１０を、ＯＴＡサーバ５０へ通知する。これにより、車両１０に搭載されたＯＴＡマスタ２００が選定ＥＣＵ３１０を選定することができる。
【0126】
選定部２１１は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、ＥＣＵ３００に設けられた不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数のうちの少なくとも１つの項目についてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ毎に点数を付け、点数に基づいてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定ＥＣＵ３１０を選定してもよい。これにより、上記の項目についてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅを定量的に評価し、評価結果に応じて適切に選定ＥＣＵ３１０を選定することができる。
【0127】
選定部２１１は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、ＥＣＵ３００に設けられた不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数の複数の項目毎に重みを設定し、点数を重みに乗じた結果に基づいてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅから選定ＥＣＵ３１０を選定してもよい。これにより、上記の項目の重要度に応じてＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅを定量的に評価し、評価結果に応じて適切に選定ＥＣＵ３１０を選定することができる。
【0128】
（９） 選定条件は、車両１０が運転状態にある場合におけるＥＣＵ３００の処理負荷、車両１０に乗員が搭乗している場合におけるＥＣＵ３００の処理負荷、ＥＣＵ３００のセキュリティ強度、ＥＣＵ３００の通信アクセス性、ＥＣＵ３００に設けられた不揮発性メモリ３０２の空き容量、ＥＣＵ３００に設けられた不揮発性メモリ３０２の書き込み及び読出し速度、並びにＥＣＵ３００が有する不揮発性メモリ３０２における論理的構成単位の数の中から選択された複数の項目に関する複数の条件を含んでもよい。選定部２１１は、複数の条件について順番に、ＥＣＵ３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅの中から条件に適合するＥＣＵ３００を決定することにより、選定ＥＣＵ３１０を選定してもよい。これにより、複数の条件に適合するＥＣＵ３００を順次決定することで、選定ＥＣＵ３１０の候補となるＥＣＵ３００を絞っていくことができる。
【0129】
第１受信部２１３は、第１部分データ６１１と、第１部分データ６１１を検証するためのＯＴＡマスタ検証データ６２１（第１検証データ）とを含む第１更新データ６２０を、ＯＴＡサーバ５０から受信してもよい。ＯＴＡマスタ２００は、第１検証部２１５を含んでもよい。第１検証部２１５は、第１更新データ６２０に含まれる第１部分データ６１１を、第１更新データ６２０に含まれるＯＴＡマスタ検証データ６２１を用いて検証する。第１送信部２１６は、第１検証部２１５による第１部分データ６１１の検証が成功した場合に、第１部分データ６１１を対象ＥＣＵ３２０へ送信してもよい。第２受信部３１１は、第２部分データ６１２と、第２部分データ６１２を検証するためのＥＣＵ検証データ６３１（第２検証データ）とを含む第２更新データ６３０を、ＯＴＡサーバ５０から受信してもよい。選定ＥＣＵ３１０は、第２検証部３１３を含んでもよい。第２検証部３１３は、第２更新データ６３０に含まれる第２部分データ６１２を、第２更新データ６３０に含まれるＥＣＵ検証データ６３１を用いて検証する。第２送信部３１４は、第２検証部３１３による第２部分データ６１２の検証が成功した場合に、第２部分データ６１２を対象ＥＣＵ３２０へ送信してもよい。これにより、第１部分データ６１１及び第２部分データ６１２を個別に検証することができる。
【0130】
更新データ６１０は、更新後のプログラムである更新プログラム６０１と、更新プログラム６０１の検証に用いられるＰＧ検証データ６０２とを含んでもよい。ＰＧ検証データ６０２は、第１部分データ６１１及び第２部分データ６１２のいずれか１つに含まれてもよい。これにより、第１部分データ６１１及び第２部分データ６１２を結合した更新データ６１０に含まれる更新プログラム６０１を検証することができる。
【0131】
［１０．付記］
プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置において用いられる更新制御プログラムであって、
コンピュータを、
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、
前記受信部によって受信された前記第１部分データを記憶する記憶部と、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部、
として機能させ、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
更新制御プログラム。
プログラムの更新対象である車載装置である対象車載装置における前記プログラムの更新を制御する更新制御装置において用いられる更新制御プログラムであって、
コンピュータを、
前記プログラムの更新に用いられる更新データの部分データである第１部分データを、車両の外部に配置された外部装置から受信する受信部と、
前記受信部によって受信された前記第１部分データを記憶する記憶部と、
前記対象車載装置が、前記第１部分データと、選定車載装置から送信された、前記更新データの部分データであり、前記第１部分データとは異なる第２部分データとを結合し、前記更新データを生成するために、前記記憶部に記憶された前記第１部分データを前記対象車載装置へ送信する送信部、
として機能させ、
前記選定車載装置は、前記外部装置から送信された前記第２部分データを記憶する車載装置である、
更新制御プログラム。
【0132】
［１１．補記］
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。
【符号の説明】
【0133】
１０ 車両
２０ 基地局
３０ インターネット
５０ ＯＴＡサーバ（外部装置）
１００ 車載システム
２００ 統合ＥＣＵ（ＯＴＡマスタ、更新制御装置）
２０１ プロセッサ
２０２ 不揮発性メモリ
２０３ 揮発性メモリ
２０４ 通信インタフェース（通信Ｉ／Ｆ）
２０５ 更新制御プログラム
２０６ 鍵データ
２１１ 選定部
２１２ 通知部
２１３ 第１受信部
２１４ 第１記憶部
２１５ 第１検証部
２１６ 第１送信部
３００，３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ 個別ＥＣＵ（ＥＣＵ、車載装置）
３０１ プロセッサ
３０２ 不揮発性メモリ
３０３ 揮発性メモリ
３０４ 通信インタフェース（通信Ｉ／Ｆ）
３０５ 入出力インタフェース（Ｉ／Ｏ）
３０６ 制御プログラム
３０７ 鍵データ
３０８ 更新プログラム
３０９ 更新補助プログラム
３１０ 選定ＥＣＵ（選定車載装置）
３１１ 第２受信部
３１２ 第２記憶部
３１３ 第２検証部
３１４ 第２送信部
３２０ 対象ＥＣＵ（対象車載装置）
３２１ 第３受信部
３２２ 第３記憶部
３２３ 生成部
３２４ 第３検証部
３２５ 更新部
４００Ａ，４００Ｂ 車内通信バス
４００Ｃ 車外通信バス
５００ 外部通信装置
６００ 更新パッケージ
６０１ 更新プログラム
６０２ プログラム検証データ（ＰＧ検証データ）
６０３ ＯＴＡマスタ検証データ
６１０ 更新データ
６１１ 第１部分データ
６１２ 第２部分データ
６２０ 第１更新データ
６２１ ＯＴＡマスタ検証データ（第１検証データ）
６３０ 第２更新データ
６３１ ＥＣＵ検証データ（第２検証データ）
２０ 基地局
３０ インターネット
５０ ＯＴＡサーバ（外部装置）
１００ 車載システム
２００ 統合ＥＣＵ（ＯＴＡマスタ、更新制御装置）
２０１ プロセッサ
２０２ 不揮発性メモリ
２０３ 揮発性メモリ
２０４ 通信インタフェース（通信Ｉ／Ｆ）
２０５ 更新制御プログラム
２０６ 鍵データ
２１１ 選定部
２１２ 通知部
２１３ 第１受信部
２１４ 第１記憶部
２１５ 第１検証部
２１６ 第１送信部
３００，３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ 個別ＥＣＵ（ＥＣＵ、車載装置）
３０１ プロセッサ
３０２ 不揮発性メモリ
３０３ 揮発性メモリ
３０４ 通信インタフェース（通信Ｉ／Ｆ）
３０５ 入出力インタフェース（Ｉ／Ｏ）
３０６ 制御プログラム
３０７ 鍵データ
３０８ 更新プログラム
３０９ 更新補助プログラム
３１０ 選定ＥＣＵ（選定車載装置）
３１１ 第２受信部
３１２ 第２記憶部
３１３ 第２検証部
３１４ 第２送信部
３２０ 対象ＥＣＵ（対象車載装置）
３２１ 第３受信部
３２２ 第３記憶部
３２３ 生成部
３２４ 第３検証部
３２５ 更新部
４００Ａ，４００Ｂ 車内通信バス
４００Ｃ 車外通信バス
５００ 外部通信装置
６００ 更新パッケージ
６０１ 更新プログラム
６０２ プログラム検証データ（ＰＧ検証データ）
６０３ ＯＴＡマスタ検証データ
６１０ 更新データ
６１１ 第１部分データ
６１２ 第２部分データ
６２０ 第１更新データ
６２１ ＯＴＡマスタ検証データ（第１検証データ）
６３０ 第２更新データ
６３１ ＥＣＵ検証データ（第２検証データ）
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9A】
【図9B】
【図10】
【図11】
【図12】
【図13】
【図14A】
【図14B】