特開 2023-152495 車載装置、コンピュータプログラム及びプログラム更新方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023152495

(43)【公開日】2023-10-17

(54)【発明の名称】車載装置、コンピュータプログラム及びプログラム更新方法

(51)【国際特許分類】

   G06F 8/65 20180101AFI20231010BHJP

   B60R 16/02 20060101ALI20231010BHJP

【ＦＩ】

G06F8/65

B60R16/02 660U

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022062541

(22)【出願日】2022-04-04

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】古戸 健

(72)【発明者】

【氏名】立石 博志

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376AB06

5B376AB43

5B376CA05

5B376CA07

5B376CA40

5B376CA52

5B376CA64

5B376CA76

5B376FA11

5B376GA07

5B376GA08

(57)【要約】

【課題】プログラムの更新処理後、中継装置によって接続されたバス間の通信ができなくなることを防止できる車載装置、コンピュータプログラム及びプログラム更新方法を提供する。
【解決手段】バス間通信の中継を行う第１ＧＷに接続された第１バスに接続され、車外から更新用プログラムを取得し、前記第１ＧＷ及び車載ＥＣＵのプログラムの更新を行う車載装置であって、更新対象が前記第１ＧＷ及び前記第１ＧＷに接続された第２バスの車載ＥＣＵを含む場合、前記第１ＧＷの更新を優先して行う制御部を備える。
【選択図】図３

【特許請求の範囲】

【請求項1】

バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置であって、
更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う制御部を備える
車載装置。

【請求項2】

更新対象が、前記中継装置及び前記第２バスの車載ＥＣＵと、前記第１バスの車載ＥＣＵとを含む場合、前記制御部は前記中継装置及び前記第１バスの車載ＥＣＵの更新を優先して行う
請求項１に記載の車載装置。

【請求項3】

前記中継装置にて前記更新用プログラムを適用させるアクティベート処理が実行された後、前記中継装置の異常検出を行う異常検出部を備える
請求項２に記載の車載装置。

【請求項4】

異常が検出されなかった場合、前記制御部は前記第２バスの車載ＥＣＵの更新を行う
請求項３に記載の車載装置。

【請求項5】

前記第２バスに接続された他の中継装置と、前記他の中継装置に接続された第３バスの車載ＥＣＵとが更新対象に更に含まれる場合、
前記制御部は、
前記第２バスの車載ＥＣＵと前記他の中継装置との更新を共に行い、
前記他の中継装置の更新後、前記第３バスの車載ＥＣＵの更新処理を行う
請求項２から４のいずれか一項に記載の車載装置。

【請求項6】

異常が検出された場合、前記制御部は、更新後のプログラムを更新前のプログラムに戻すロールバック処理を、前記中継装置及び前記第１バスの車載ＥＣＵに対し優先して行う
請求項３に記載の車載装置。

【請求項7】

前記制御部は、
前記中継装置に対する前記ロールバック処理の実施後、前記第２バスの車載ＥＣＵに対し前記ロールバック処理を行う
請求項６に記載の車載装置。

【請求項8】

前記第２バスに接続された他の中継装置と、前記他の中継装置に接続された第３バスの車載ＥＣＵとで更に更新が行われた場合、
前記制御部は、
前記第２バスの車載ＥＣＵと前記他の中継装置に対するロールバック処理を共に行い、
前記他の中継装置のロールバック処理後、前記第３バスの車載ＥＣＵに対するロールバック処理を行う
請求項７に記載の車載装置。

【請求項9】

バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置のコンピュータに、
更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う
処理を実行させるコンピュータプログラム。

【請求項10】

バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置に、
更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う
処理を実行させるプログラム更新方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載装置、コンピュータプログラム及びプログラム更新方法に関する。

【背景技術】

【0002】

車両には、エンジン制御等の駆動制御系、エアコン制御等のボディ系等の車載機器を制御するためのＥＣＵ（Electronic Control Unit）が搭載されている。ＥＣＵは、ＭＰＵ等の演算処理部、例えばＥＥＰＲＯＭ等の書き換え可能な不揮発性の記憶部、及び他のＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた通信機が実装されており、通信機を介して、車外のネットワークに接続されているプログラム提供装置と通信し、当該プログラム提供装置からＥＣＵの制御プログラムをダウンロード（受信）し、当該ＥＣＵの制御プログラムを更新することができる（例えば特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１７－９７８５１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

２つのバスが中継装置に接続されており、制御プログラムの更新対象に、前記中継装置と、前記２つのバスに接続された装置が含まれる場合が想定される。斯かる場合、中継装置の更新が正しく行われていない等の異常が発生した場合は、更新後、２つのバス間の通信ができなくなるおそれがある。

【0005】

しかしながら、特許文献１の通信機は、上述のような問題に対して何ら検討されておらず、解決できない。

【0006】

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、プログラムの更新処理後、中継装置によって接続されたバス間の通信ができなくなることを防止できる車載装置、コンピュータプログラム及びプログラム更新方法を提供することにある。

【課題を解決するための手段】

【0007】

本開示の実施形態に係る車載装置は、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置であって、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う制御部を備える。

【0008】

本開示の実施形態に係るコンピュータプログラムは、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置のコンピュータに、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う処理を実行させる。

【0009】

本開示の実施形態に係るプログラム更新方法は、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置に、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う処理を実行させる。

【発明の効果】

【0010】

本開示によれば、プログラムの更新処理後、中継装置によって接続されたバス間の通信ができなくなることを防止できる。

【図面の簡単な説明】

【0011】

【図1】実施形態１に係る車載更新システムの構成を示す模式図である。

【図2】車載装置の構成を示すブロック図である。

【図3】車載装置、更新対象の装置（第１ＧＷ及び車載ＥＣＵ）等による処理の流れ（シーケンス）の一例を例示する説明図である。

【図4】プログラムの更新処理における車載装置、第１ＧＷ及び更新対象の車載ＥＣＵの状態遷移を例示する説明図である。

【図5】ロールバック処理における車載装置、第１ＧＷ及び更新対象の車載ＥＣＵの状態遷移を例示する説明図である。

【図6】車載装置の制御部の処理の一例を例示するフローチャートである。

【図7】車載装置、更新対象の装置（第１ＧＷ及び車載ＥＣＵ）等による処理の流れ（シーケンス）の他例を例示する説明図である。

【図8】プログラムの更新処理における車載装置、第１ＧＷ及び更新対象の車載ＥＣＵの状態遷移を例示する説明図である。

【図9】ロールバック処理における車載装置、第１ＧＷ及び更新対象の車載ＥＣＵの状態遷移を例示する説明図である。

【図10】車載装置の制御部の処理の他例を例示するフローチャートである。

【図11】変形例１にてプログラムの更新処理における各装置の状態遷移を例示する説明図である。

【図12】変形例１にてロールバック処理における各装置の状態遷移を例示する説明図である。

【図13】変形例２に係る車載更新システムが仮想ネットワークを含む場合の構成を例示する例示図である。

【発明を実施するための形態】

【0012】

［本発明の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0013】

（１）本開示の実施形態に係る車載装置は、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置であって、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う制御部を備える。

【0014】

本実施形態にあっては、更新対象が前記中継装置及び前記第２バスの車載ＥＣＵを含む場合、前記制御部が前記中継装置の更新を優先して行い、前記中継装置の正常状態を担保したうえ更新の処理を継続する。従って、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0015】

（２）本開示の実施形態に係る車載装置は、更新対象が、前記中継装置及び前記第２バスの車載ＥＣＵと、前記第１バスの車載ＥＣＵとを含む場合、前記制御部は前記中継装置及び前記第１バスの車載ＥＣＵの更新を優先して行う。

【0016】

本実施形態にあっては、更新対象が、前記中継装置及び前記第２バスの車載ＥＣＵに加え、前記第１バスの車載ＥＣＵを含む場合、前記制御部が前記中継装置及び前記第１バスの車載ＥＣＵの更新を優先して行い、前記中継装置の正常状態を担保したうえ更新の処理を継続する。従って、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0017】

（３）本開示の実施形態に係る車載装置は、前記中継装置にて前記更新用プログラムを適用させるアクティベート処理が実行された後、前記中継装置の異常検出を行う異常検出部を備える。

【0018】

本実施形態にあっては、前記中継装置にてアクティベート処理が実行された後、前記異常検出部が前記中継装置の異常検出を行い、正常であることを確認する。このように、前記中継装置の正常状態を担保したうえ処理が継続されるので、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0019】

（４）本開示の実施形態に係る車載装置は、異常が検出されなかった場合、前記制御部は前記第２バスの車載ＥＣＵの更新を行う。

【0020】

本実施形態にあっては、前記中継装置にてアクティベート処理が実行された後、前記異常検出部が前記中継装置の異常検出を行い、異常が検出されなかったことを確認したうえ、前記第２バスの車載ＥＣＵに対する更新を続ける。このように、前記中継装置の正常状態を担保したうえ実行されるので、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0021】

（５）本開示の実施形態に係る車載装置は、前記第２バスに接続された他の中継装置と、前記他の中継装置に接続された第３バスの車載ＥＣＵとが更新対象に更に含まれる場合、前記制御部は、前記第２バスの車載ＥＣＵと前記他の中継装置との更新を共に行い、前記他の中継装置の更新後、前記第３バスの車載ＥＣＵの更新処理を行う。

【0022】

本実施形態にあっては、更新対象が、前記中継装置と、前記第１バスの車載ＥＣＵと、前記第２バスの車載ＥＣＵと、前記他の中継装置と、前記第３バスの車載ＥＣＵとを含む場合、前記制御部は前記第２バスの車載ＥＣＵと前記他の中継装置との更新を共に行って前記他の中継装置の正常状態を担保したうえで前記第３バスの車載ＥＣＵの更新の処理を継続する。従って、前記第３バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0023】

（６）本開示の実施形態に係る車載装置は、異常が検出された場合、前記制御部は、更新後のプログラムを更新前のプログラムに戻すロールバック処理を、前記中継装置及び前記第１バスの車載ＥＣＵに対し優先して行う。

【0024】

本実施形態にあっては、更新後に異常が検出された場合、前記制御部は、前記中継装置及び前記第１バスの車載ＥＣＵに対し優先的にロールバック処理を実行させる。これによって、元プログラムの実行環境での前記中継装置の正常状態が確保された後、ロールバック処理が継続される。このように、前記中継装置の正常状態を担保したうえ実行されるので、前記第２バスの車載ＥＣＵに対するロールバック処理を的確に実行できる。

【0025】

（７）本開示の実施形態に係る車載装置は、前記制御部は、前記中継装置に対する前記ロールバック処理の実施後、前記第２バスの車載ＥＣＵに対し前記ロールバック処理を行う。

【0026】

本実施形態にあっては、前記制御部は、前記中継装置に対してロールバック処理を実行させて、元プログラムの実行環境での前記中継装置の正常状態が確保された後、前記第２バスの車載ＥＣＵに対してロールバック処理を実行させる。このように、前記中継装置の正常状態を担保したうえ実行されるので、前記第２バスの車載ＥＣＵに対するロールバック処理を的確に実行できる。

【0027】

（８）本開示の実施形態に係る車載装置は、前記第２バスに接続された他の中継装置と、前記他の中継装置に接続された第３バスの車載ＥＣＵとで更に更新が行われた場合、前記制御部は、前記第２バスの車載ＥＣＵと前記他の中継装置に対するロールバック処理を共に行い、前記他の中継装置のロールバック処理後、前記第３バスの車載ＥＣＵに対するロールバック処理を行う。

【0028】

本実施形態にあっては、前記中継装置、前記第１バスの車載ＥＣＵ、及び、前記第２バスの車載ＥＣＵに加え、前記他の中継装置と、前記第３バスの車載ＥＣＵとが更新された場合、前記制御部は前記第２バスの車載ＥＣＵと前記他の中継装置とのロールバック処理を共に行って前記他の中継装置の正常状態を担保したうえで前記第３バスの車載ＥＣＵのロールバック処理を継続する。従って、前記第３バスの車載ＥＣＵに対するロールバック処理を的確に実行できる。

【0029】

（９）本開示の実施形態に係るコンピュータプログラムは、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置のコンピュータに、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う処理を実行させる。

【0030】

本実施形態にあっては、更新対象が前記中継装置及び前記第２バスの車載ＥＣＵを含む場合、前記車載装置のコンピュータが、前記中継装置の更新を優先して行い、前記中継装置の正常状態を担保したうえ更新の処理を継続する。従って、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0031】

（１０）本開示の実施形態に係るプログラム更新方法は、バス間通信の中継を行う中継装置に接続された第１バスに接続され、車外から更新用プログラムを取得し、前記中継装置及び車載ＥＣＵのプログラムの更新を行う車載装置に、更新対象が前記中継装置及び前記中継装置に接続された第２バスの車載ＥＣＵを含む場合、前記中継装置の更新を優先して行う処理を実行させる。

【0032】

本実施形態にあっては、更新対象が前記中継装置及び前記第２バスの車載ＥＣＵを含む場合、前記車載装置が、前記中継装置の更新を優先して行い、前記中継装置の正常状態を担保したうえ更新の処理を継続する。従って、前記第２バスの車載ＥＣＵに対するプログラムの更新を的確に実行できる。

【0033】

[本発明の実施形態の詳細]
本開示の実施形態に係る車載装置、コンピュータプログラム及びプログラム更新方法を、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

【0034】

以下、実施形態について図面に基づいて説明する。図１は、実施形態１に係る車載更新システムＳの構成を示す模式図である。車載更新システムＳは、車両Ｃに搭載された車外通信装置１及び車載装置２を含み、車外ネットワークＮを介して接続された外部サーバＳ１（ＯＴＡサーバ）から取得した更新用プログラムを、車両Ｃに搭載されている車載ＥＣＵ３（Electronic Control Unit）に送信する。

【0035】

外部サーバＳ１は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部Ｓ１１を備えている。外部サーバＳ１の記憶部Ｓ１１には、車載ＥＣＵ３の製造メーカ等によって作成された当該車載ＥＣＵ３を制御するためのプログラム又はデータが保存されている。当該プログラム又はデータは、更新用プログラムとして、後述のごとく車両Ｃに送信され、車両Ｃに搭載されている車載ＥＣＵ３のプログラム又はデータを更新するために用いられる。このように構成された外部サーバＳ１は、ＯＴＡ（Over The Air）サーバとも称される。

【0036】

車載装置２は、車外通信装置１を介して外部サーバＳ１から取得した更新用プログラムを更新対象の車載ＥＣＵ３へ送信し、また、送信した更新用プログラムを当該車載ＥＣＵ３に適用させるためのアクティベート指示を送信するいわゆるＯＴＡマスタとして機能する。

【0037】

車両Ｃに搭載される車載ＥＣＵ３は、車載装置２を介して、外部サーバＳ１から無線通信により送信された更新用プログラムを取得し、車載装置２からのアクティベート指示に応じて当該更新用プログラムを適用（アクティベート処理）することにより、自ＥＣＵが実行するプログラムを更新（リプロ）する。

【0038】

例えば、プログラムは、車載ＥＣＵ３が処理を行うための制御構文等を含むプログラムコード及び、当該プログラムコードを実行するにあたり参照するデータが記載される外部ファイルを含む。更新用プログラムの送信時において、これらプログラムコード及びデータが記載される外部ファイルは、例えば暗号化されたアーカイブファイルとして、外部サーバＳ１から送信される。外部サーバＳ１は、更新用プログラムを送信する際、当該更新用プログラムを含むパッケージを生成し、生成したパッケージを車両Ｃに送信する。パッケージは、例えば、プログラム更新に関する情報であるパッケージ情報（キャンペーン情報）、更新対象を表す情報（ターゲット情報）、更新対象に対し適用される更新用プログラムを含む。

【0039】

車両Ｃは、車外通信装置１、車載装置２及び第１ＧＷ（ゲートウェイ）８を備えており、第１ＧＷ８には複数のバス４が接続されており、各バス４には、種々の車載機器を制御するための複数の車載ＥＣＵ３が接続されている。また、車両Ｃは、表示装置５（図２参照）及びＩＧスイッチ６（図２参照）を備える。
以下では、第１ＧＷ８に２本のバス４Ａ，バス４Ｂが接続されており、バス４Ａには車載ＥＣＵ３Ａａ，３Ａｂが接続され、バス４Ｂには車載ＥＣＵ３Ｂａ，３Ｂｂ，３Ｂｃが接続されている場合を例に挙げて説明する。これに限定されるものではなく、バス４は３本以上であってもよく、各バス４に４つ以上の車載ＥＣＵ３が接続されても良い。

【0040】

車外通信装置１と車載装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。第１ＧＷ８は、バス４Ａ及びバス４Ｂ間の通信データを選択的に中継し、バス４Ａ及びバス４Ｂ間の通信プロトコルを中継時に変換できる。第１ＧＷ８、車載装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network）、ＣＡＮ-ＦＤ（CAN with Flexible Data Rate）又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルに対応したバス４によって通信可能に接続されている。

【0041】

車外通信装置１は、車外通信部（図示せず）及び、車載装置２と通信するための入出力Ｉ／Ｆ（インターフェイス）（図示せず）を有する。前記車外通信部は、ＬＴＥ（登録商標）、４Ｇ、５Ｇ、ＷｉＦｉ（登録商標）等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、前記車外通信部に接続されたアンテナを介して外部サーバＳ１とデータの送受信を行う。車外通信装置１と外部サーバＳ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。

【0042】

車外通信装置１の前記入出力Ｉ／Ｆは、車載装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と車載装置２とはシリアルケーブル等のハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、車載装置２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載装置２の一構成部として、車載装置２に内蔵されるものであってもよい。又は、車外通信装置１と車載装置２は、ＣＡＮ等のバスにより接続されていてもよい。

【0043】

第１ＧＷ８は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３及び、ボディ系の車載ＥＣＵ３等の複数の系統のバス４（セグメント）を統括し、これらバス（セグメント）間での車載ＥＣＵ３同士の通信を中継する車載中継装置である。第１ＧＷ８は、ＣＡＮプロトコルの中継においてはＣＡＮゲートウェイとして機能し、ＴＣＰ／ＩＰプロトコルの中継においてはレイヤー２スイッチ又はレイヤー３スイッチとして機能する。第１ＧＷ８は、通信に関する中継に加え、二次電池等の電源装置から出力された電力を分配及び中継し、自装置に接続されるアクチュエータ等の車載器に電力を供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。

【0044】

第１ＧＷ８は記憶部８１を有している。記憶部８１は、現バージョン及び旧バージョンの２つのプログラム夫々のバージョンに関する情報、及び現在実行（適用）しているプログラムが記憶されている領域（動作面）に関する情報が記憶されている。すなわち、現状において第１領域に記憶されているプログラム（制御プログラム）を実行している場合、動作面は第１領域であると記憶される。この場合、非動作面は第２領域であると記憶される。動作面である第１領域には現バージョンの制御プログラムが記憶されている。非動作面である第２領域には旧バージョンの制御プログラムが記憶されている。又は、非動作面である第２領域には、旧バージョンの制御プログラム等が記憶されておらず、空き容量となる記憶領域であってもよい。このように非動作面が空き容量の記憶領域又は旧バージョンの制御プログラム等が記憶されている状態となっていることにより、更新時に、当該非動作面に新バージョンの制御プログラムを書き込むことで、旧バージョンに戻せる状態を担保することができる。

【0045】

図２は、車載装置２の構成を示すブロック図である。
車載装置２は、制御部２０、記憶部２３、入出力Ｉ／Ｆ２１、及び車内通信部２２を有する。車載装置２は、車外通信装置１が無線通信によって外部サーバＳ１から受信した更新用プログラム（パッケージ）を、車外通信装置１から取得し、バス４を介して更新対象の装置に送信するように構成されている。すなわち、車載装置２は、更新対象の装置におけるプログラム更新を制御するＯＴＡマスタ（更新制御装置）として機能する。

【0046】

また、車載装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。又は、車載装置２は、例えばヴィークルコンピュータ等の中央制御装置にて構成され、車両Ｃの全体的な制御を行う統合ＥＣＵであってもよい。

【0047】

制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２３に予め記憶された制御プログラムＰ及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。

【0048】

記憶部２３は、第１記憶部２３１及び第２記憶部２３２による２つの記憶領域により構成され、第１記憶部２３１及び第２記憶部２３２それぞれは、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子、又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成される。第１記憶部２３１及び第２記憶部２３２には、制御プログラムＰ及び処理時に参照するデータが予め記憶してある。記憶部２３（第１記憶部２３１、第２記憶部２３２）に記憶された制御プログラムＰは、車載装置２が読み取り可能な記録媒体２４から読み出された制御プログラムＰを記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムＰをダウンロードし、記憶部２３に記憶させたものであってもよい。

【0049】

入出力Ｉ／Ｆ２１は、車外通信装置１の前記入出力Ｉ／Ｆと同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２１を介して、車載装置２は、車外通信装置１、表示装置５及びＩＧスイッチ６と通信可能に接続される。また、ＩＧ信号は車内ＬＡＮを通じて取得しても良い。

【0050】

車内通信部２２は、例えばＣＡＮ又はイーサネット（Ethernet／登録商標）等の通信プロトコルを用いた入出力インターフェイスであり、制御部２０は、車内通信部２２を介してバス４Ａの車載ＥＣＵ３又は第１ＧＷ８等の車載機器と相互に通信し、また、第１ＧＷ８を介してバス４Ｂの車載ＥＣＵ３と通信する。車内通信部２２は、複数個（本実施形態では２個）設けられている。

【0051】

車載装置２は、車載ＥＣＵ３及び第１ＧＷ８に対する更新用プログラムの適用に関する処理を実行する。詳細は後述するが、車載装置２は、車載ＥＣＵ３及び第１ＧＷ８への更新用プログラムの送信、アクティベート指示、アクティベート処理後の異常確認、異常を検出した際のロールバック指示を行う。

【0052】

車載装置２は、外部サーバＳ１からの更新用プログラムに基づいて、アクティベート後の異常確認に用いられる更新情報を生成して記憶している。前記更新情報は少なくとも各車載ＥＣＵ３のＩＤと、現在のプログラムのバージョンと、更新用プログラムのバージョンとが関連付けて記憶されたものである。

【0053】

詳しくは、車載装置２は、定期的、周期的又は定常的に車両Ｃ（自車）に搭載されている全ての車載ＥＣＵ３及び第１ＧＷ８と通信し、全ての車載ＥＣＵ３及び第１ＧＷ８に関するプログラムのバージョン情報を取得しておく。車載装置２は、送信されたプログラムのバージョン情報を装置毎に対応付けて記憶する。又は、車載装置２が各車載ＥＣＵ３及び第１ＧＷ８に現在のプログラムのバージョンを送信することを要求することなく、各車載ＥＣＵ３及び第１ＧＷ８が定期的又は周期的に車載装置２へ送信するように構成してもよい。

【0054】

また、車載装置２は外部サーバＳ１から前記パッケージを取得した場合、前記キャンペーン情報、前記ターゲット情報及び更新用プログラムに基づいて、更新対象の装置毎に更新用プログラムのバージョンを取得する。又は、更新対象の装置が、更新用プログラムのアクティベートが完了した都度、自装置に適用された更新用プログラムのバージョンを車載装置２へ送信するように構成してもよい。

【0055】

車載装置２は、各車載ＥＣＵ３及び第１ＧＷ８から取得した現在のプログラムのバージョン、及び、更新用プログラムのバージョンを集約することにより、前記更新情報を生成し記憶部２３に記憶する。前記更新情報は、第１記憶部２３１又は第２記憶部２３２に記憶され、又は、第１記憶部２３１及び第２記憶部２３２の双方に重複して記憶されてもよい。

【0056】

車載ＥＣＵ３は、車載装置２と同様に制御部、記憶部及び車内通信部（図示せず）を含む。記憶部は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子、又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。このプログラム又はデータが、外部サーバＳ１から送信され、車載装置２（第１ＧＷ８）によって中継される更新用プログラムによって、更新される対象である。車載ＥＣＵ３の車内通信部は、車載装置２と同様に、例えば、ＣＡＮトランシーバ又はイーサネットＰＨＹ部等により構成され、車載装置２との通信を行う。

【0057】

各車載ＥＣＵ３の記憶部には、第１ＧＷ８の記憶部８１と同様に、第１領域及び第２領域が設けられている。現状において第１領域に記憶されているプログラム（制御プログラム）を実行している場合、動作面は第１領域であると記憶され、非動作面は第２領域であると記憶される。動作面である第１領域には現バージョンの制御プログラムが記憶されている。非動作面である第２領域には旧バージョンの制御プログラムが記憶されている。又は、非動作面である第２領域には、旧バージョンの制御プログラム等が記憶されておらず、空き容量となる記憶領域であってもよい。

【0058】

図３は、車載装置２、更新対象の装置（第１ＧＷ８及び車載ＥＣＵ３）等による処理の流れ（シーケンス）の一例を例示する説明図である。即ち、図３は、車載装置２及び更新対象の装置（第１ＧＷ８及び車載ＥＣＵ３）におけるプログラム更新に関する処理を行うにあたり、外部サーバＳ１、車載装置２、第１ＧＷ８及び更新対象の車載ＥＣＵ３それぞれの処理シーケンスを示す。
以下では、便宜上、バス４Ａの車載ＥＣＵ３Ａａと、第１ＧＷ８と、バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂとが更新対象である場合を例に挙げて説明する。

【0059】

また、図４は、プログラムの更新処理における車載装置２、第１ＧＷ８及び更新対象の車載ＥＣＵ３の状態遷移を例示する説明図であり、図５は、ロールバック処理における車載装置２、第１ＧＷ８及び更新対象の車載ＥＣＵ３の状態遷移を例示する説明図である。図４～図５においては、更新対象の装置である第１ＧＷ８及び車載ＥＣＵ３について、更新用プログラムが適用される前の状態と、適用された後の状態とは、表示形態を反転して示している。なお、図４においては、更新対象に黒丸をつけて表している。

【0060】

車載装置２は、更新用プログラムを外部サーバＳ１から取得する（Ｓ０１）。車載装置２は、例えば、自装置が搭載されている車両Ｃ（自車）の識別番号（ＶＩＮ：Vehicle Identification Number）を用いて、外部サーバＳ１にアクセスし、外部サーバＳ１から自車に対して適用される更新用プログラムを含むパッケージを取得する。当該パッケージには、例えば、プログラム更新に関する情報であるパッケージ情報（キャンペーン情報）、更新対象となる第１ＧＷ８及び車載ＥＣＵ３に関する情報（ターゲット情報）、プログラムの更新対象である第１ＧＷ８及び車載ＥＣＵ３に適用される更新用プログラムが含まれている。

【0061】

車載装置２は、取得したパッケージに含まれている更新用プログラムを記憶部２３に記憶する（Ｓ０２）。取得された更新用プログラムは、第１記憶部２３１又は第２記憶部２３２に記憶される。また、車載装置２は、取得したパッケージに基づいて、前記更新情報を更新する。

【0062】

まず、車載装置２は、更新対象のうち、自装置が接続されたバス４Ａ（以下、自バス４Ａと称する）に接続された第１ＧＷ８及び車載ＥＣＵ３Ａａ（図４Ａ参照）へ、第１ＧＷ８及び車載ＥＣＵ３Ａａ用の更新用プログラムを出力（送信）する（Ｓ０３）。車載装置２は、外部サーバＳ１から取得したターゲット情報に基づき更新対象に第１ＧＷ８が含まれることを把握し、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａに更新用プログラムを送信する。

【0063】

第１ＧＷ８は車載装置２から取得（受信）した更新用プログラムを記憶部８１に記憶し、車載ＥＣＵ３Ａａは車載装置２から取得した更新用プログラムを前記記憶部にインストールする（Ｓ０４）。

【0064】

例えば、現在実行しているプログラムが記憶部８１の第１領域に記憶されている場合、当該第１領域が動作面に相当する。この場合、非動作面である記憶部８１の第２領域には、現在実行しているプログラムよりも前のバージョン（旧バージョン）のプログラムが、バックアップとして保存されている。第１ＧＷ８は、非動作面である第２領域に、取得した自装置用の更新用プログラムを記憶する。これにより、現時点にて実行しているプログラムは、上書きされることなく、現在の動作状態を安定的に維持することができる。

【0065】

車載ＥＣＵ３Ａａは、第１ＧＷ８と同様に、取得した更新プログラムを非動作面に記憶することにより、現時点にて実行しているプログラム（動作面に記憶）が、上書きされることを回避することができる。

【0066】

車載装置２は、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａに対し、アクティベート指示を出力（送信）する（Ｓ０５）。第１ＧＷ８及び車載ＥＣＵ３Ａａは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ０６）。車載装置２からのアクティベート指示を取得（受信）した第１ＧＷ８及び車載ＥＣＵ３Ａａは、更新用プログラムが記憶された記憶領域（非動作面）を動作面として再起動することにより、当該更新用プログラムを適用するアクティベート処理を行う。

【0067】

以上の処理によって、更新対象のうち、第１ＧＷ８及び車載ＥＣＵ３Ａａでのみ更新用プログラムのアクティベート処理が完了している（図４Ｂ参照）。

【0068】

車載装置２は、アクティベート処理が完了した第１ＧＷ８及び車載ＥＣＵ３Ａａに対し、動作確認（異常検出）の処理を行う（Ｓ０７）。例えば、車載装置２は、更新後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる車載装置２の要求に応じて第１ＧＷ８及び車載ＥＣＵ３Ａａから送られるバージョン情報を前記更新情報と対比して、一致すれば正常であると判定し、不一致であれば異常であると判定する。
また、車載装置２は、例えば、アクティベート処理後の第１ＧＷ８及び車載ＥＣＵ３Ａａから送信される定期的な自発送信フレームの有無を監視し、当該自発送信フレームを受信したか否かに応じて異常検出の処理を行ってもよい。

【0069】

車載装置２は、異常検出の結果に応じて、自装置が接続されていない他のバス４Ｂ（以下、他バス４Ｂと称する）に接続された更新対象の車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）へ、当該車載ＥＣＵ３用の更新用プログラムを出力（送信）する（Ｓ０８）。車載装置２は、外部サーバＳ１から取得したターゲット情報に基づき、他バス４Ｂの更新対象の車載ＥＣＵ３を特定し、特定した車載ＥＣＵ３に対し、第１ＧＷ８を介してバス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに更新用プログラムを送信する。

【0070】

更新対象の車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）は、第１ＧＷ８を介して車載装置２から取得（受信）した更新用プログラムをインストールする（Ｓ０９）。更新対象の車載ＥＣＵ３Ｂａ，３Ｂｂは、第１ＧＷ８と同様に、取得した更新用のプログラムを非動作面に記憶することにより、現時点にて実行している動作面のプログラムが上書きされることを回避することができる。

【0071】

車載装置２は、第１ＧＷ８を介して、他バス４Ｂの更新対象の車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）へ、アクティベート指示を出力（送信）する（Ｓ１０）。車載装置２は、車載ＥＣＵ３Ｂａ，３Ｂｂそれぞれにアクティベート指示を出力し、車載ＥＣＵ３Ｂａ，３Ｂｂにアクティベート処理を実行させる。

【0072】

他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ１１）。車載装置２からのアクティベート指示を取得（受信）した車載ＥＣＵ３Ｂａ，３Ｂｂは、更新用プログラムが記憶された記憶領域（非動作面）を動作面として再起動することにより、当該更新用プログラムを適用するアクティベート処理を行う。

【0073】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいて更新用プログラムのアクティベート処理が完了している（図４Ｃ及び図５Ａ参照）。

【0074】

車載装置２は、アクティベート処理が完了した車載ＥＣＵ３Ｂａ，３Ｂｂに対し、動作確認（異常検出）の処理を行う（Ｓ１２）。例えば、車載装置２は、更新後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる車載装置２の要求に応じて車載ＥＣＵ３Ｂａ，３Ｂｂから第１ＧＷ８を介して送られるバージョン情報を前記更新情報と対比して、一致すれば正常であると判定し、不一致であれば異常であると判定する。
また、車載装置２は、例えば、アクティベート処理後の車載ＥＣＵ３Ｂａ，３Ｂｂから送信される定期的な自発送信フレームの有無を監視し、当該自発送信フレームを受信したか否かに応じて異常検出の処理を行ってもよい。

【0075】

異常検出の結果、正常である場合、車載装置２は更新の処理が正常に完了した旨を外部サーバＳ１に出力（送信）し、更新の処理を終了する（Ｓ１６参照）。
一方、異常であると判定された場合、車載装置２は、自バス４Ａに接続された第１ＧＷ８、車載ＥＣＵ３Ａａ及び他バス４Ｂに接続された車載ＥＣＵ３Ｂａ，３Ｂｂに対して同時的にロールバック指示を出力（送信）する（Ｓ１３）。即ち、何らかの理由により、車載ＥＣＵ３Ｂａ，３Ｂｂにおけるプログラムの更新が正常に完了していない場合、車載装置２は、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａと、他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂとにロールバック指示を出力（送信）する。

【0076】

自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａは、車載装置２から出力されたロールバック指示に応じて、ロールバック処理を行う（Ｓ１４）。他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂは、車載装置２から出力されたロールバック指示に基づき、ロールバック処理を行う（Ｓ１５）。

【0077】

詳しくは、車載装置２から出力されたロールバック指示を受信した第１ＧＷ８、車載ＥＣＵ３Ａａ及び車載ＥＣＵ３Ｂａ，３Ｂｂは、更新用プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。当該元プログラムは、更新用プログラムが記憶されている記憶領域（動作面）とは異なる記憶領域（非動作面）にバックアップとして記憶（保存）されている。第１ＧＷ８、車載ＥＣＵ３Ａａ及び車載ＥＣＵ３Ｂａ，３Ｂｂは、当該元プログラムが記憶されている記憶領域（非動作面）を動作面とし、更新プログラムが記憶されている記憶領域を非動作面として再起動することによってロールバック処理を行う。

【0078】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいてロールバック処理が行われ、元プログラムの実行環境に戻される。（図５Ｂ参照）。

【0079】

車載装置２は、更新用プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ１６）。車載装置２は、更新用プログラムに関する処理の結果として、更新対象である第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂへの更新用プログラムの適用が成功した旨を示す更新成功通知、又は更新用プログラムの適用が失敗してロールバック処理を行った旨を示す更新失敗通知を外部サーバＳ１に出力（送信）する。車載装置２は、更新用プログラムに関する処理結果を表示装置５に出力し、当該処理結果を表示装置５に表示させてもよい。車載装置２は、当該更新用プログラムの処理結果に基づき、更新対象である第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂに関する更新情報を修正してもよい。

【0080】

以上のようなプログラムの更新に関する一連の処理（Ｓ０１～Ｓ１６）は、エンジン始動又はトラクションモータ駆動が禁止される期間等、車両Ｃが起動状態となることを禁止される期間にて行われる。当該禁止期間に行うことにより、適用されたプログラム間での一時的な不整合（バージョン違い）が発生した状態にて、エンジン始動等が行われることを防止することができる。車載装置２は、プログラムの更新に関する一連の処理を、車両Ｃが起動状態となることが禁止される期間にて行うにあたり、入出力Ｉ／Ｆ２１等を介してＩＧスイッチ６から出力されるオン信号を、例えばマスク処理等行うことにより一時的に無効化するものであってもよい。

【0081】

図６は、車載装置２の制御部２０の処理の一例を例示するフローチャートである。車載装置２の制御部２０は、例えば車両Ｃが停止状態において、定常的に以下の処理を行う。以下では、図４～図５の如く、バス４Ａの車載ＥＣＵ３Ａａと、第１ＧＷ８と、バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂとが更新対象である場合を例に挙げて説明する。

【0082】

制御部２０は、車外通信装置１を介して外部サーバＳ１から更新用プログラム（パッケージ）を取得する（Ｓ１０１）。制御部２０は、取得したパッケージに含まれている更新用プログラムを記憶部２３に記憶する（Ｓ１０２）。また、制御部２０は、取得したパッケージに基づいて、前記更新情報を更新する。

【0083】

先ず、制御部２０は、更新対象である第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３へ、更新用プログラムを出力（送信）する（Ｓ１０３）。制御部２０は、外部サーバＳ１から取得したパッケージに含まれている前記ターゲット情報に基づき、第１ＧＷ８及び更新対象の車載ＥＣＵ３（車載ＥＣＵ３Ａａ）を特定し、特定した第１ＧＷ８及び車載ＥＣＵ３Ａａに対して更新用プログラムを送信する。

【0084】

この際、第１ＧＷ８は制御部２０によって送信された更新用プログラムを記憶部８１に記憶し、車載ＥＣＵ３Ａａは制御部２０によって送信された更新用プログラムを前記記憶部にインストールする。斯かる更新用プログラムのインストール処理については既に説明しており、詳しい説明を省略する。

【0085】

次いで、制御部２０は、更新対象である第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３Ａａへ、アクティベート指示を出力（送信）する（Ｓ１０４）。制御部２０は、第１ＧＷ８及び車載ＥＣＵ３Ａａそれぞれにアクティベート指示を出力し、第１ＧＷ８及び車載ＥＣＵ３Ａａにアクティベート処理を実行させる。

【0086】

この際、第１ＧＷ８及び車載ＥＣＵ３Ａａは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う。斯かるアクティベート処理については既に説明しており、詳しい説明を省略する。

【0087】

制御部２０は、アクティベート処理が完了した第１ＧＷ８及び車載ＥＣＵ３Ａａに対し、異常検出の処理（動作確認）を行い、異常が検出されたか否かを判定する（Ｓ１０５）。例えば、制御部２０は、更新後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる制御部２０の要求に応じて第１ＧＷ８及び車載ＥＣＵ３Ａａから送られるバージョン情報を記憶部２３の前記更新情報と対比する。制御部２０は、一致すれば正常（異常なし）であると判定し、不一致であれば異常であると判定する。

【0088】

異常が検出された場合、即ち、異常であると判定された場合（Ｓ１０５：ＹＥＳ）、制御部２０は、更新用プログラムのインストール済である第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３Ａａに対してロールバック指示を出力（送信）する（Ｓ１１０）。

【0089】

車載装置２から出力されたロールバック指示に応じて、第１ＧＷ８及び車載ＥＣＵ３Ａａはロールバック処理を行う。第１ＧＷ８及び車載ＥＣＵ３Ａａは、更新用プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。ロールバック処理については既に説明しており、詳しい説明を省略する。
以降処理はＳ１０９に進む。

【0090】

異常が検出されなかった場合、即ち、正常であると判定された場合（Ｓ１０５：ＮＯ）、制御部２０は更新対象のうち残りの他バス４Ｂの車載ＥＣＵ３へ、更新用プログラムを出力（送信）する（Ｓ１０６）。制御部２０は、外部サーバＳ１から取得したパッケージに含まれている前記ターゲット情報に基づき、更新対象である他バス４Ｂの車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）を特定し、第１ＧＷ８を介して、特定した車載ＥＣＵ３Ｂａ，３Ｂｂに対して更新用プログラムを送信する。

【0091】

この際、車載ＥＣＵ３Ｂａ，３Ｂｂは制御部２０によって送信された更新用プログラムを前記記憶部にインストールする。斯かる更新用プログラムのインストール処理については既に説明しており、詳しい説明を省略する。

【0092】

次いで、制御部２０は、更新対象である他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂへ、アクティベート指示を出力（送信）する（Ｓ１０７）。制御部２０は、第１ＧＷ８を介して車載ＥＣＵ３Ｂａ，３Ｂｂそれぞれにアクティベート指示を出力し、車載ＥＣＵ３Ｂａ，３Ｂｂにアクティベート処理を実行させる。

【0093】

この際、車載ＥＣＵ３Ｂａ，３Ｂｂは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う。斯かるアクティベート処理については既に説明しており、詳しい説明を省略する。

【0094】

制御部２０は、アクティベート処理が完了した車載ＥＣＵ３Ｂａ，３Ｂｂに対し、異常検出の処理（動作確認）を行い、異常が検出されたか否かを判定する（Ｓ１０８）。例えば、制御部２０は、更新後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる制御部２０の要求に応じて車載ＥＣＵ３Ｂａ，３Ｂｂから送られるバージョン情報を記憶部２３の前記更新情報と対比する。制御部２０は、一致すれば正常（異常なし）であると判定し、不一致であれば異常であると判定する。

【0095】

異常が検出された場合、即ち、異常であると判定された場合（Ｓ１０８：ＹＥＳ）、制御部２０は、更新用プログラムのインストールが完了している第１ＧＷ８、自バス４Ａの車載ＥＣＵ３Ａａ、及び他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに対してロールバック指示を出力（送信）する（Ｓ１１１）。ステップＳ１０５にて、第１ＧＷ８が正常であることが確認されているので、第１ＧＷ８、自バス４Ａの車載ＥＣＵ３Ａａ、及び他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに対して同時的にロールバック指示を行うことができる。

【0096】

車載装置２から出力されたロールバック指示に応じて、第１ＧＷ８、車載ＥＣＵ３Ａａ及び車載ＥＣＵ３Ｂａ，３Ｂｂはロールバック処理を行う。ロールバック処理については既に説明しており、詳しい説明を省略する。

【0097】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいてロールバック処理が行われ、元プログラムの実行環境に戻される。従って、車載ＥＣＵ３Ｂａ，３Ｂｂと第１ＧＷ８及び車載ＥＣＵ３Ａａとの間におけるプログラムのバージョンの差異等による不整合が発生することを未然に防止する。

【0098】

一方、異常が検出されなかった場合、即ち、正常であると判定された場合（Ｓ１０８：ＮＯ）、制御部２０は、更新用プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ１０９）。制御部２０は、更新用プログラムに関する処理結果として、更新対象である第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂへの更新用プログラムの適用が成功した旨を示す更新成功通知、又は更新用プログラムの適用が失敗してロールバック処理を行った旨を示す更新失敗通知を、車外通信装置１を介して、外部サーバＳ１に出力（送信）する。

【0099】

本実施形態の車載装置２においては、プログラムの更新の際、更新対象に第１ＧＷ８が含まれる場合、第１ＧＷ８の更新を優先的に行う。即ち、以上の如く、更新対象に、第１ＧＷ８及び自バス４の車載ＥＣＵ３と、他バス４Ｂの車載ＥＣＵ３とが含まれる場合、車載装置２は、先ず、第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３に対するアクティベート処理までを完了した後、第１ＧＷ８が正常であることを確認したうえ、他バス４Ｂの車載ＥＣＵ３に対する処理を続ける。このように、第１ＧＷ８の正常状態を担保したうえ実行されるので、他バス４Ｂの車載ＥＣＵ３に対するプログラムの更新を的確に実行できる。よって、プログラムの更新処理後に、自バス４Ａと他バス４Ｂとの間に通信ができなくなることを未然防止できる。

【0100】

なお、本実施形態の車載装置２においては、更新対象に、第１ＧＷ８と、他バス４Ｂの車載ＥＣＵ３とが含まれる場合、即ち、自バス４Ａの車載ＥＣＵ３を含まない場合、車載装置２は、先ず、第１ＧＷ８に対するアクティベート処理までを完了した後、第１ＧＷ８が正常であることを確認したうえ、他バス４Ｂの車載ＥＣＵ３に対する処理を続ければ良い。

【0101】

図７は、車載装置２、更新対象の装置（第１ＧＷ８及び車載ＥＣＵ３）等による処理の流れ（シーケンス）の他例を例示する説明図である。
以下では、便宜上、バス４Ａの車載ＥＣＵ３Ａａと、第１ＧＷ８と、バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂとが更新対象である場合を例に挙げて説明する。

【0102】

また、図８は、プログラムの更新処理における車載装置２、第１ＧＷ８及び更新対象の車載ＥＣＵ３の状態遷移を例示する説明図であり、図９は、ロールバック処理における車載装置２、第１ＧＷ８及び更新対象の車載ＥＣＵ３の状態遷移を例示する説明図である。図８～図９においては、更新対象の装置である第１ＧＷ８及び車載ＥＣＵ３について、更新用プログラムが適用される前の状態と、適用された後の状態とは、表示形態を反転して示している。なお、図８においては、更新対象に黒丸をつけて表している。

【0103】

車載装置２は、更新用プログラムを外部サーバＳ１から取得する（Ｓ２１）。車載装置２は、例えば、自装置が搭載されている車両Ｃ（自車）の識別番号（ＶＩＮ）を用いて、外部サーバＳ１にアクセスし、外部サーバＳ１から自車に対して適用される更新用プログラムを含むパッケージを取得する。当該パッケージには、例えば、プログラム更新に関する情報であるパッケージ情報（キャンペーン情報）、更新対象となる第１ＧＷ８及び車載ＥＣＵ３に関する情報（ターゲット情報）、プログラムの更新対象である第１ＧＷ８及び車載ＥＣＵ３に適用される更新用プログラムが含まれている。

【0104】

車載装置２は、取得したパッケージに含まれている更新用プログラムを記憶部２３に記憶する（Ｓ２２）。取得された更新用プログラムは、第１記憶部２３１又は第２記憶部２３２に記憶される。また、車載装置２は、取得したパッケージに基づいて、前記更新情報を更新する。

【0105】

車載装置２は、外部サーバＳ１から取得したターゲット情報に基づき、更新対象である、自バス４Ａに接続された第１ＧＷ８及び車載ＥＣＵ３Ａａと、他バス４Ｂに接続された車載ＥＣＵ３Ｂａ，３Ｂｂ（図８Ａ参照）へ、第１ＧＷ８及び各車載ＥＣＵ用の更新用プログラムを出力（送信）する（Ｓ２３）。

【0106】

第１ＧＷ８は車載装置２から取得（受信）した更新用プログラムを記憶部８１に記憶し、車載ＥＣＵ３Ａａは車載装置２から取得した更新用プログラムを前記記憶部にインストールする（Ｓ２４）。

【0107】

例えば、現在実行しているプログラムが記憶部８１の第１領域に記憶されている場合、当該第１領域が動作面に相当する。この場合、非動作面である記憶部８１の第２領域には、現在実行しているプログラムよりも前のバージョン（旧バージョン）のプログラムが、バックアップとして保存されている。第１ＧＷ８は、非動作面である第２領域に、取得した自装置用の更新用プログラムを記憶する。これにより、現時点にて実行しているプログラムは、上書きされることなく、現在の動作状態を安定的に維持することができる。

【0108】

車載ＥＣＵ３Ａａは、第１ＧＷ８と同様に、取得した更新プログラムを非動作面に記憶することにより、現時点にて実行しているプログラム（動作面に記憶）が、上書きされることを回避することができる。

【0109】

この際、更新対象の車載ＥＣＵ３Ｂａ，３Ｂｂも、第１ＧＷ８を介して車載装置２から取得（受信）した更新用プログラムをインストールする（Ｓ２５）。車載ＥＣＵ３Ｂａ，３Ｂｂは、第１ＧＷ８と同様に、取得した更新用のプログラムを非動作面に記憶することにより、現時点にて実行している動作面のプログラムが上書きされることを回避することができる。

【0110】

車載装置２は、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａと、他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに対し、アクティベート指示を出力（送信）し（Ｓ２６）、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂにアクティベート処理を実行させる。

【0111】

自バス４の第１ＧＷ８及び車載ＥＣＵ３Ａａは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ２７）。車載装置２からのアクティベート指示を取得（受信）した第１ＧＷ８及び車載ＥＣＵ３Ａａは、更新用プログラムが記憶された記憶領域（非動作面）を動作面として再起動することにより、当該更新用プログラムを適用するアクティベート処理を行う。

【0112】

この際、他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂも、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う（Ｓ２８）。車載装置２からのアクティベート指示を取得（受信）した車載ＥＣＵ３Ｂａ，３Ｂｂは、更新用プログラムが記憶された記憶領域（非動作面）を動作面として再起動することにより、当該更新用プログラムを適用するアクティベート処理を行う。

【0113】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいて更新用プログラムのアクティベート処理が完了している（図８Ｂ及び図９Ａ参照）。

【0114】

車載装置２は、アクティベート処理が完了した、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａと、他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに対し、動作確認（異常検出）の処理を行う（Ｓ２９）。斯かる異常検出の手法については既に説明しており、詳しい説明を省略する。

【0115】

異常検出の結果、正常である場合、車載装置２は更新の処理が正常に完了した旨を外部サーバＳ１に出力（送信）し、更新の処理を終了する（Ｓ３５参照）。
一方、異常であると判定された場合、車載装置２は、まず、自バス４Ａに接続された第１ＧＷ８及び車載ＥＣＵ３Ａａに対してロールバック指示を出力（送信）する（Ｓ３０）。即ち、何らかの理由により、車載ＥＣＵ３Ｂａ，３Ｂｂにおけるプログラムの更新が正常に完了していない場合、又は、第１ＧＷ８に異常が発生した場合、車載装置２は、先ず、自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａにロールバック指示を出力（送信）する。

【0116】

自バス４Ａの第１ＧＷ８及び車載ＥＣＵ３Ａａは、車載装置２から出力されたロールバック指示に応じて、ロールバック処理を行う（Ｓ３１）。車載装置２から出力されたロールバック指示を受信した第１ＧＷ８及び車載ＥＣＵ３Ａａは、更新用プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。当該元プログラムは、更新用プログラムが記憶されている記憶領域（動作面）とは、異なる記憶領域（非動作面）にバックアップとして記憶（保存）されている。第１ＧＷ８及び車載ＥＣＵ３Ａａは、当該元プログラムが記憶されている記憶領域（非動作面）を動作面とし、更新プログラムが記憶されている記憶領域を非動作面として再起動することによってロールバック処理を行う。

【0117】

以上の処理によって、第１ＧＷ８及び車載ＥＣＵ３Ａａのみにてロールバック処理が行われ、元プログラムの実行環境に戻される（図９Ｂ参照）。この際、車載装置２は前記更新情報を元プロブラムの情報に更新する。

【0118】

次に、車載装置２は、ロールバック処理後の第１ＧＷ８のプロブラムのバージョンが元プロブラムのバージョンであるかを確認する（Ｓ３２）。例えば、車載装置２は、ロールバック処理後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる車載装置２の要求に応じて第１ＧＷ８から送られるバージョン情報を前記更新情報と対比する。

【0119】

第１ＧＷ８のプロブラムのバージョンが元プロブラムのバージョンである場合、車載装置２は、他バス４Ｂに接続された車載ＥＣＵ３Ｂａ，３Ｂｂに対してロールバック指示を出力（送信）する（Ｓ３３）。即ち、更新対象の装置のうち、第１ＧＷ８及び車載ＥＣＵ３Ａａのロールバック処理を行った場合、車載装置２は、車載ＥＣＵ３Ｂａ，３Ｂｂに対してもロールバック指示を出力することにより、車載ＥＣＵ３Ｂａ，３Ｂｂと第１ＧＷ８及び車載ＥＣＵ３Ａａとの間におけるプログラムのバージョンの差異等による不整合が発生することを未然に防止する。

【0120】

他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂは、車載装置２から出力されたロールバック指示に基づき、ロールバック処理を行う（Ｓ３４）。車載装置２から出力されたロールバック指示を受信した車載ＥＣＵ３Ｂａ，３Ｂｂは、元プログラムを実行すべく再起動を行うことにより、ロールバック処理を行う。当該元プログラムは、非動作面にバックアップとして記憶（保存）されている。車載ＥＣＵ３Ｂａ，３Ｂｂは、当該元プログラムが記憶されている非動作面を動作面とし、更新プログラムが記憶されている記憶領域を非動作面に切り替えて再起動することによってロールバック処理を行う。

【0121】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいてロールバック処理が行われ、元プログラムの実行環境に戻される。（図１０Ｃ参照）。

【0122】

車載装置２は、更新用プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ３５）。車載装置２は、更新用プログラムに関する処理の結果として、更新対象である第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂへの更新用プログラムの適用が成功した旨を示す更新成功通知、又は更新用プログラムの適用が失敗してロールバック処理を行った旨を示す更新失敗通知を外部サーバＳ１に出力（送信）する。

【0123】

以上のようなプログラムの更新に関する一連の処理（Ｓ２１～Ｓ３５）は、エンジン始動又はトラクションモータ駆動が禁止される期間等、車両Ｃが起動状態となることを禁止される期間にて行われる。当該禁止期間に行うことにより、適用されたプログラム間での一時的な不整合（バージョン違い）が発生した状態にて、エンジン始動等が行われることを防止することができる。

【0124】

図１０は、車載装置２の制御部２０の処理の他例を例示するフローチャートである。車載装置２の制御部２０は、例えば車両Ｃが停止状態において、定常的に以下の処理を行う。以下では、図８～図９の如く、バス４Ａの車載ＥＣＵ３Ａａと、第１ＧＷ８と、バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂとが更新対象である場合を例に挙げて説明する。

【0125】

制御部２０は、車外通信装置１を介して外部サーバＳ１から更新用プログラム（パッケージ）を取得する（Ｓ２０１）。制御部２０は、取得したパッケージに含まれている更新用プログラムを記憶部２３に記憶する（Ｓ２０２）。また、制御部２０は、取得したパッケージに基づいて、前記更新情報を更新する。

【0126】

次に、制御部２０は、更新対象である、第１ＧＷ８、自バス４Ａの車載ＥＣＵ３Ａａ及び他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂへ、更新用プログラムを出力（送信）する（Ｓ２０３）。制御部２０は、外部サーバＳ１から取得したパッケージに含まれている前記ターゲット情報に基づき、第１ＧＷ８及び更新対象の車載ＥＣＵ３（車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂ）を特定し、特定した第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂに対して更新用プログラムを送信する。

【0127】

この際、第１ＧＷ８は制御部２０によって送信された更新用プログラムを記憶部８１に記憶し、車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂは制御部２０によって送信された更新用プログラムを前記記憶部にインストールする。斯かる更新用プログラムのインストール処理については既に説明しており、詳しい説明を省略する。

【0128】

次いで、制御部２０は、更新対象である第１ＧＷ８、自バス４Ａの車載ＥＣＵ３Ａａ及び他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂへ、アクティベート指示を出力（送信）する（Ｓ２０４）。制御部２０は、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂのそれぞれにアクティベート指示を出力し、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂにアクティベート処理を実行させる。

【0129】

この際、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂは、車載装置２から出力されたアクティベート指示に応じて、アクティベート処理を行う。斯かるアクティベート処理については既に説明しており、詳しい説明を省略する。

【0130】

制御部２０は、アクティベート処理が完了した第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂに対し、異常検出の処理（動作確認）を行い、異常が検出されたか否かを判定する（Ｓ２０５）。例えば、制御部２０は、更新後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる制御部２０の要求に応じて第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂから送られるバージョン情報を記憶部２３の前記更新情報と対比する。制御部２０は、一致すれば正常（異常なし）であると判定し、不一致であれば異常であると判定する。

【0131】

異常が検出された場合、即ち、第１ＧＷ８又は車載ＥＣＵＡａ，３Ｂａ，３Ｂｂの何れかが異常であると判定された場合（Ｓ２０５：ＹＥＳ）、制御部２０は、先ず、第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３Ａａに対してロールバック指示を出力（送信）する（Ｓ２０７）。この際、制御部２０は第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３Ａａに係る前記更新情報を元プロブラムの情報に更新する。

【0132】

車載装置２から出力されたロールバック指示に応じて、第１ＧＷ８及び車載ＥＣＵ３Ａａはロールバック処理を行う。第１ＧＷ８及び車載ＥＣＵ３Ａａは、更新用プログラムを適用（アクティベート処理）する前に実行していたプログラム（元プログラム）を実行すべく再起動を行うことにより、ロールバック処理を行う。ロールバック処理については既に説明しており、詳しい説明を省略する。

【0133】

次いで、制御部２０は、ロールバック処理後の第１ＧＷ８のプロブラムのバージョンが更新前の元プロブラムのバージョンであるかを判定する（Ｓ２０８）。例えば、制御部２０は、ロールバック処理後のプログラムのバージョンを表すバージョン情報を送信することを要求し、斯かる制御部２０の要求に応じて第１ＧＷ８から送られるバージョン情報を前記更新情報と対比する。

【0134】

制御部２０は、ロールバック処理後の第１ＧＷ８のプロブラムのバージョンが更新前の元プロブラムのバージョンでないと判定した場合（Ｓ２０８：ＮＯ）、斯かる判定を繰り返して行う。斯かる判定が、所定回数以上繰り返された場合、処理がＳ２０７に戻るように構成しても良い。

【0135】

制御部２０は、ロールバック処理後の第１ＧＷ８のプロブラムのバージョンが更新前の元プロブラムのバージョンであると判定した場合（Ｓ２０８：ＹＥＳ）、第１ＧＷ８が正常であることが確認されたので、他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに対してロールバック指示を出力（送信）する（Ｓ２０９）。この際、制御部２０は他バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂに係る前記更新情報を元プロブラムの情報に更新する。

【0136】

車載装置２から出力されたロールバック指示に応じて、車載ＥＣＵ３Ｂａ，３Ｂｂはロールバック処理を行う。ロールバック処理については既に説明しており、詳しい説明を省略する。

【0137】

以上の処理によって、更新対象である、第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂの全てにおいてロールバック処理が行われ、元プログラムの実行環境に戻される。

【0138】

一方、Ｓ２０５にて、異常が検出されなかった場合、即ち、正常であると判定された場合（Ｓ２０５：ＮＯ）、制御部２０は、更新用プログラムに関する処理結果を外部サーバＳ１に出力（送信）する（Ｓ２０６）。制御部２０は、更新用プログラムに関する処理結果として、更新対象である第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂへの更新用プログラムの適用が成功した旨を示す更新成功通知、又は更新用プログラムの適用が失敗してロールバック処理を行った旨を示す更新失敗通知を、車外通信装置１を介して、外部サーバＳ１に出力（送信）する。

【0139】

以上のように、本実施形態の車載装置２においては、プログラムの更新後において、他バス４Ｂの車載ＥＣＵ３、又は、第１ＧＷ８に異常が発生した場合、第１ＧＷ８のロールバック処理を優先的に行う。即ち、更新対象の装置の全て（第１ＧＷ８及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂ）に対するアクティベート処理の完了後に、他バス４の車載ＥＣＵ３、又は、第１ＧＷ８に異常が発生した場合、車載装置２は、先ず、第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３に対してロールバック処理を実行させる。これによって、元プログラムの実行環境での第１ＧＷ８の正常状態を確保した後、車載装置２は他バス４Ｂの車載ＥＣＵ３に対してロールバック処理を実行させる。このように、第１ＧＷ８の正常状態を担保したうえ実行されるので、他バス４Ｂの車載ＥＣＵ３に対するロールバック処理を的確に実行できる。よって、プログラムの更新処理後の異常発生によって、自バス４Ａと他バス４Ｂとの間に通信ができなくなることを未然防止できる。

【0140】

（変形例１）
以上においては、他バス４Ｂに車載ＥＣＵ３のみが接続された場合を例に挙げて説明したが、本発明はこれに限定されるものではない。
図１１は、変形例１にてプログラムの更新処理における各装置の状態遷移を例示する説明図であり、図１２は、変形例１にてロールバック処理における各装置の状態遷移を例示する説明図である。図１１～図１２において、更新対象の装置である第１ＧＷ８及び車載ＥＣＵ３において、更新用プログラムが適用される前の状態と、適用された後の状態とは、表示形態を反転して示している。なお、図１１においては、更新対象に黒丸をつけて表している。

【0141】

本変形例においては、第１ＧＷ８に自バス４Ａ及び他バス４Ｂが接続されており、他バス４Ｂの他端に第２ＧＷ９が更に接続され、第２ＧＷ９にはバス４Ｃが接続されている。自バス４Ａには車載装置２、車載ＥＣＵ３Ａａ，３Ａｂが接続され、他バス４Ｂには車載ＥＣＵ３Ｂａ，３Ｂｂ，３Ｂｃが接続されており、バス４Ｃには車載ＥＣＵ３Ｃａ，３Ｃｂが接続されている。

【0142】

本変形例の車載装置２においても、プログラムの更新の際、更新対象に第１ＧＷ８と他の装置が含まれる場合、第１ＧＷ８の更新を優先的に行う。以下、便宜上、自バス４Ａの車載ＥＣＵ３Ａａと、第１ＧＷ８と、バス４Ｂの車載ＥＣＵ３Ｂａ，３Ｂｂと、第２ＧＷ９と、車載ＥＣＵ３Ｃａとが更新対象である場合を例に挙げて説明する（図１１Ａ参照）。

【0143】

先ず、車載装置２は、第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３（車載ＥＣＵ３Ａａ）に対してアクティベート処理まで行う（図１１Ｂ参照）。第１ＧＷ８及び車載ＥＣＵ３Ａａのアクティベート処理が完了した後、車載装置２は、第１ＧＷ８が正常に動作しているか否かの確認（異常検出）を行う。第１ＧＷ８が正常に動作している場合、車載装置２は、第１ＧＷ８を介して他バス４Ｂの車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）及び第２ＧＷ９に対しアクティベート処理まで行う（図１１Ｃ参照）。第２ＧＷ９及び車載ＥＣＵ３Ｂａ，３Ｂｂのアクティベート処理が完了した後、車載装置２は、第２ＧＷ９が正常に動作しているか否かの確認（異常検出）を行う。第２ＧＷ９が正常に動作している場合、車載装置２は、第１ＧＷ８及び第２ＧＷ９を介してバス４Ｃの車載ＥＣＵ３（車載ＥＣＵ３Ｃａ）に対しアクティベート処理を続ける（図１１Ｄ参照）。

【0144】

このように、第１ＧＷ８及び第２ＧＷ９が更新対象に含まれる場合、車載装置２がホップ数が少ない第１ＧＷ８の更新を優先して行った後に第２ＧＷ９の更新を行うことにより、第１ＧＷ８及び第２ＧＷ９の正常状態を担保したうえプログラムの更新が実行される。よって、他バス４Ｂの車載ＥＣＵ３及びバス４Ｃの車載ＥＣＵ３に対するプログラムの更新を的確に実行できる。

【0145】

また、本変形例の車載装置２においては、プログラムの更新後において、第１ＧＷ８、他バス４の車載ＥＣＵ３、第２ＧＷ９又は、バス４Ｃの車載ＥＣＵ３に異常が発生した場合、第１ＧＷ８のロールバック処理を優先的に行う。

【0146】

更新対象の装置の全て（第１ＧＷ８，第２ＧＷ９及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂ，３Ｃａ）に対するアクティベート処理の完了後（図１２Ａ参照）に、第１ＧＷ８，第２ＧＷ９及び車載ＥＣＵ３Ａａ，３Ｂａ，３Ｂｂ，３Ｃａの何れかに異常が発生した場合が想定できる。

【0147】

この場合、車載装置２は、先ず、第１ＧＷ８及び自バス４Ａの車載ＥＣＵ３（車載ＥＣＵ３Ａａ）に対してロールバック処理を実行させる（図１２Ｂ参照）。これによって、元プログラムの実行環境での第１ＧＷ８の正常状態が確保される。この後、車載装置２は、第１ＧＷ８を介して他バス４Ｂの車載ＥＣＵ３（車載ＥＣＵ３Ｂａ，３Ｂｂ）及び第２ＧＷ９に対しロールバック処理を実行させる（図１２Ｃ参照）。これによって、元プログラムの実行環境での第２ＧＷ９の正常状態が確保される。この後、車載装置２は、第１ＧＷ８及び第２ＧＷ９を介して、バス４Ｃの車載ＥＣＵ３（車載ＥＣＵ３Ｃａ）に対しロールバック処理を実行させる（図１２Ｄ参照）。

【0148】

このように、第１ＧＷ８及び第２ＧＷ９がロールバック処理の対象に含まれる場合、車載装置２がホップ数が少ない第１ＧＷ８のロールバック処理を優先して行った後に第２ＧＷ９のロールバック処理を行うことにより、第１ＧＷ８及び第２ＧＷ９の正常状態を担保したうえロールバック処理が実行される。よって、他バス４Ｂの車載ＥＣＵ３及びバス４Ｃの車載ＥＣＵ３に対するロールバック処理を的確に実行できる。

【0149】

（変形例２）
本発明は車載更新システムＳが仮想ネットワークを含む場合においても適用可能である。例えば、車両Ｃ（図１参照）の記憶部（図示せず）には、Ｈｙｐｅｒｖｉｓｏｒ、ＶＭｗａｒｅ又はＸｅｎ等の仮想化オペレーティングシステムが記憶されている。車両Ｃの制御部（図示せず）は、仮想化オペレーティングシステムを用いて起動することにより、仮想化オペレーティングシステム上にて複数の仮想装置を構築することができる。各仮想装置上にて所定プログラムが実行されることによって、当該プログラムの処理内容に応じて単一又は複数のタスクが生成される。

【0150】

本実施形態においては、仮想化の方式が、仮想化オペレーティングシステムによって直接的に前記制御部等のハードウェアリソースにアクセスするハイパーバイザ方式である例を説明するが、仮想化の方式はハイパーバイザ方式に限定されない。例えば仮想化の方式は、仮想化オペレーティングシステムとハードウェアリソースとの間にＬｉｎｕｘ（登録商標）等のオペレーティングシステムが介在するホストＯＳ方式であってもよい。また仮想化の方式は、コンテナ方式の仮想化オペレーティングシステムを用いるものであってもよい。

【0151】

図１３は、変形例２に係る車載更新システムＳが仮想ネットワークを含む場合の構成を例示する例示図である。
仮想化オペレーティングシステムを用いて起動した車両Ｃは、仮想化オペレーティングシステムの機能により、仮想車載装置２００、仮想ＧＷ８００、仮想車載ＥＣＵ３０Ｂａ、仮想車載ＥＣＵ３０Ｂｂ、仮想バスＩ４０Ａ、仮想バスＩＩ４０Ｂを構築することができる。仮想バスＩ４０Ａには仮想車載装置２００及び仮想ＧＷ８００が論理的に接続され、仮想バスＩＩ４０Ｂに仮想ＧＷ８００、仮想車載ＥＣＵ３０Ｂａ、仮想車載ＥＣＵ３０Ｂｂが論理的に接続されている。また、仮想バスＩ４０Ａは第１通信部５０を介して車外通信装置１に接続されており、仮想ＧＷ８００は第２通信部６０を介してバス４Ｄに接続されている。バス４Ｄには車載ＥＣＵ３Ｄａ，３Ｄｂ，３Ｄｃが接続されている。

【0152】

例えば、仮想車載装置２００、仮想ＧＷ８００及び仮想車載ＥＣＵ３０Ｂａ，３０Ｂｂには、車両Ｃの制御部のハードウェアリソースが割り当てられ、仮想バスＩ４０Ａ及び仮想バスＩＩ４０Ｂには車両Ｃの前記記憶部のハードウェアリソースが割り当てられる。

【0153】

変形例２に係る車載更新システムＳにおいても、プログラムの更新の際、更新対象に仮想ＧＷ８００が含まれる場合、仮想ＧＷ８００の更新を優先的に行う。以下、便宜上、仮想バスＩＩ４０Ｂの仮想車載ＥＣＵ３０Ｂａと、仮想ＧＷ８００と、バス４Ｄの車載ＥＣＵ３Ｄａ，３Ｄｂとが更新対象である場合を例に挙げて説明する（図１３Ａ参照）。

【0154】

先ず、仮想車載装置２００は、仮想ＧＷ８００に対してアクティベート処理まで行う（図１３Ｂ参照）。仮想ＧＷ８００のアクティベート処理が完了した後、仮想車載装置２００は、仮想ＧＷ８００が正常に動作しているか否かの確認（異常検出）を行う。仮想ＧＷ８００が正常に動作している場合、仮想車載装置２００は、仮想ＧＷ８００を介して仮想バスＩＩ４０Ｂの仮想車載ＥＣＵ３０Ｂａに対しアクティベート処理まで行い、第２通信部６０を介してバス４Ｄの車載ＥＣＵ３Ｄａ，３Ｄｂに対しアクティベート処理まで行う（図１３Ｃ参照）。

【0155】

また、変形例２に係る車載更新システムＳにおいても、プログラムの更新後において、仮想ＧＷ８００、仮想車載ＥＣＵ３０Ｂａ又は車載ＥＣＵ３Ｄａ，３Ｄｂに異常が発生した場合、仮想ＧＷ８００のロールバック処理を優先的に行う。即ち、先ず、仮想ＧＷ８００に対するロールバック処理が行われ、その後、仮想車載ＥＣＵ３０Ｂａ又は車載ＥＣＵ３Ｄａ，３Ｄｂに対するロールバック処理が行われる。ロールバック処理については既に説明しており、詳しい説明を省略する。

【0156】

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0157】

１ 車外通信装置
２ 車載装置
３，３Ａａ，３Ａｂ，３Ｂａ，３Ｂｂ，３Ｂｃ，３Ｃａ，３Ｃｂ，３Ｄａ，３Ｄｂ，３Ｄｃ 車載ＥＣＵ
４，４Ａ，４Ｂ，４Ｃ，４Ｄ バス
５ 表示装置
６ ＩＧスイッチ
８ 第１ＧＷ
９ 第２ＧＷ
２０ 制御部
２１ 入出力Ｉ／Ｆ
２２ 車内通信部
２３ 記憶部
２４ 記録媒体
３０Ｂａ，３０Ｂｂ 仮想車載ＥＣＵ
４０Ａ 仮想バスＩ
４０Ｂ 仮想バスＩＩ
５０ 第１通信部
６０ 第２通信部
８１ 記憶部
２００ 仮想車載装置
８００ 仮想ＧＷ
２３１ 第１記憶部
２３２ 第２記憶部
Ｃ 車両
Ｎ 車外ネットワーク
Ｐ 制御プログラム
Ｓ 車載更新システム
Ｓ１ 外部サーバ
Ｓ１１ 記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】