特開 2023-176126 電子制御装置、検証プログラム及び検証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023176126

(43)【公開日】2023-12-13

(54)【発明の名称】電子制御装置、検証プログラム及び検証方法

(51)【国際特許分類】

   G06F 11/22 20060101AFI20231206BHJP

   G06F 8/65 20180101ALI20231206BHJP

   B60R 16/02 20060101ALI20231206BHJP

【ＦＩ】

G06F11/22 673F

G06F8/65

G06F11/22 610

B60R16/02 660U

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2022088246

(22)【出願日】2022-05-31

(71)【出願人】

【識別番号】509186579

【氏名又は名称】日立Ａｓｔｅｍｏ株式会社

(74)【代理人】

【識別番号】110002572

【氏名又は名称】弁理士法人平木国際特許事務所

(72)【発明者】

【氏名】下村 颯志

(72)【発明者】

【氏名】植松 裕

(72)【発明者】

【氏名】坂本 英之

(72)【発明者】

【氏名】西野 公雄

【テーマコード（参考）】

5B048

5B376

【Ｆターム（参考）】

5B048AA06

5B048CC02

5B376AB06

5B376CA05

5B376CA39

5B376CA43

5B376CA57

5B376GA07

(57)【要約】

【課題】車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することを目的とする。
【解決手段】電子制御装置１は、車両に搭載されたソフトウェアの更新データを受信する受信部１１と、更新データを用いてソフトウェアを更新する演算処理部１０と、車載ネットワークＮに接続され他の電子機器２と通信を行う通信部１４と、を備える。更新データは、車載ネットワークＮの通信設定を更新する設定値を含む。演算処理部１０は、更新データから当該設定値を取得する設定値取得部１２と、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを通信部１４から取得するパラメータ取得部１５と、取得された設定値を用いて通信設定が更新された場合に車載ネットワークＮに通信異常が発生するか否かを、取得されたパラメータに基づいて判定する通信可否判定部１８１と、を有する。
【選択図】図１

【特許請求の範囲】

【請求項1】

車両の車載ネットワークに接続された電子制御装置であって、
前記車両に搭載されたソフトウェアの更新データを受信する受信部と、
前記更新データを用いて前記ソフトウェアを更新する演算処理部と、
前記車載ネットワークに接続され他の電子機器と通信を行う通信部と、を備え、
前記更新データは、前記車載ネットワークの通信設定を更新する設定値を含み、
前記演算処理部は、
前記更新データから前記設定値を取得する設定値取得部と、
前記車載ネットワークを構成する通信ハードウェアの健全性を示すパラメータを前記通信部から取得するパラメータ取得部と、
前記設定値を用いて前記通信設定が更新された場合に前記車載ネットワークに通信異常が発生するか否かを、前記パラメータに基づいて判定する通信可否判定部と、を有する
ことを特徴とする電子制御装置。

【請求項2】

前記演算処理部は、前記ソフトウェアが更新可能であるか否かを前記通信可否判定部の判定結果に基づいて判定する更新可否判定部を更に有する
ことを特徴とする請求項１に記載の電子制御装置。

【請求項3】

前記ソフトウェアの情報と、前記更新可否判定部の判定結果と、更新不可の前記ソフトウェアを更新可能とするために必要な行動をユーザに要請する情報とを、互いに対応付けてユーザに通知する
ことを特徴とする請求項２に記載の電子制御装置。

【請求項4】

前記演算処理部は、予め定められた複数の前記通信設定において前記健全性を事前に評価した複数の評価結果を記憶する記憶部を更に有し、
前記通信可否判定部は、前記記憶部に記憶された前記複数の評価結果のうちから、取得された前記設定値に対応する前記評価結果を特定し、特定された前記評価結果に基づいて、前記通信異常が発生するか否かを判定する
ことを特徴とする請求項１に記載の電子制御装置。

【請求項5】

前記演算処理部は、前記設定値を用いて前記通信設定が更新された場合の前記健全性を、現在の前記通信設定において取得された前記パラメータを用いて予測する健全性予測部を更に有し、
前記通信可否判定部は、前記健全性予測部の予測結果に応じて前記通信異常が発生するか否かを判定する
ことを特徴とする請求項１に記載の電子制御装置。

【請求項6】

前記演算処理部は、前記通信設定を制御する通信設定制御部を更に有し、
前記通信設定制御部は、前記設定値を用いて前記通信設定を仮更新して前記通信部に通信テストを行わせ、
前記パラメータ取得部は、前記通信テストが行われた場合の前記パラメータを前記通信部から取得し、
前記通信可否判定部は、前記通信テストが行われた場合に取得された前記パラメータに基づいて、前記通信異常が発生するか否かを判定する
ことを特徴とする請求項１に記載の電子制御装置。

【請求項7】

車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生するかを検証する検証プログラムであって、
前記車載ネットワークに接続された電子制御装置の演算処理装置に、
前記ソフトウェアの更新データから、前記車載ネットワークの通信設定を更新する設定値を取得することと、
前記車載ネットワークを構成する通信ハードウェアの健全性を示すパラメータを取得することと、
前記設定値を用いて前記通信設定が更新された場合に前記通信異常が発生するか否かを、前記パラメータに基づいて判定することと、を実行させる
ことを特徴とする検証プログラム。

【請求項8】

車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生するかを検証する検証方法であって、
前記ソフトウェアの更新データから、前記車載ネットワークの通信設定を更新する設定値を取得することと、
前記車載ネットワークを構成する通信ハードウェアの健全性を示すパラメータを取得することと、
前記設定値を用いて前記通信設定が更新された場合に前記通信異常が発生するか否かを、前記パラメータに基づいて判定することと、を有する
ことを特徴とする検証方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電子制御装置、検証プログラム及び検証方法に関する。

【背景技術】

【0002】

近年の自動運転技術の高度化により、車両に搭載されたソフトウェアが製品出荷後に機能の追加や変更等の更新を行うことが一般的になっている。また、上記のソフトウェアの更新に合わせて、車載ネットワークの通信設定を更新する頻度も増加傾向にある。具体例としては、センサ装置の解像度設定変更に応じて伝送レートを上昇させたり、通信多値化を行ったりする例や、省電力モードの導入に応じて送信電圧を下げたりする例が挙げられる。このような更新頻度の増加に伴って、ソフトウェア更新後の通信異常が問題となっている。これはＯＥＭやサプライヤが想定する車載ネットワークの状況と実車両での車載ネットワークの状況が異なる車両が存在するからである。

【0003】

各車両の車載ネットワークの状況に合わせてソフトウェアを更新するために、車載ネットワークを構成するハードウェア機器（以下「通信ハードウェア」とも称する）が適正なハードウェア機器かどうかを検証することが一般的である。従来手法としては、例えば特許文献１には、ソフトウェアのバージョン情報とハードウェア機器の型番情報との組み合せを管理するホワイトリストを活用した検証方法が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】国際公開第２０２０／０３２２０２号

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１に開示された検証方法では、ソフトウェア更新時に、通信ハードウェアの型番情報と通信ハードウェアに搭載されているソフトウェアのバージョン情報との整合性が取れているかを検証する。しかしながら、この検証方法では、通信ハードウェアの型番情報が整合していれば通信ハードウェアが適正な状態でなくても正常と判定される可能性がある。よって、特許文献１に開示された検証方法では、通信ハードウェアの状態によってはソフトウェア更新後に通信異常が発生する可能性がある。

【0006】

本発明は、上記に鑑みてなされたものであり、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することを目的とする。

【課題を解決するための手段】

【0007】

上記課題を解決するために、本発明の電子制御装置は、車両の車載ネットワークに接続された電子制御装置であって、前記車両に搭載されたソフトウェアの更新データを受信する受信部と、前記更新データを用いて前記ソフトウェアを更新する演算処理部と、前記車載ネットワークに接続され他の電子機器と通信を行う通信部と、を備え、前記更新データは、前記車載ネットワークの通信設定を更新する設定値を含み、前記演算処理部は、前記更新データから前記設定値を取得する設定値取得部と、前記車載ネットワークを構成する通信ハードウェアの健全性を示すパラメータを前記通信部から取得するパラメータ取得部と、前記設定値を用いて前記通信設定が更新された場合に前記車載ネットワークに通信異常が発生するか否かを、前記パラメータに基づいて判定する通信可否判定部と、を有することを特徴とする。

【発明の効果】

【0008】

本発明によれば、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができる。
上記以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0009】

【図1】実施形態１の電子制御装置の構成を示す図。

【図2】通信設定を更新する設定値の例を示す図。

【図3】通信設定の更新に伴う通信異常の発生例を示す図。

【図4】電子制御装置の動作を示すフローチャート。

【図5】実施形態２の電子制御装置の構成を示す図。

【図6】実施形態３の電子制御装置の構成を示す図。

【図7】ユーザ通知画面を説明する図。

【図8】ソフトウェアの更新に係る車両及びサーバの動作を示すシーケンス図。

【図9】実施形態４の電子制御装置の構成を示す図。

【図10】実施形態５の電子制御装置の構成を示す図。

【発明を実施するための形態】

【0010】

以下、本発明の実施形態について図面を用いて説明する。なお、各実施形態において同一の符号を付された構成については、特に言及しない限り、各実施形態において同様の機能を有し、その説明を省略する。

【0011】

［実施形態１］
図１～図４を用いて、実施形態１の電子制御装置１について説明する。図１は、実施形態１の電子制御装置１の構成を示す図である。

【0012】

電子制御装置１は、車両に搭載され、車両の車載ネットワークＮに接続された電子制御装置（ＥＣＵ）である。電子制御装置１は、例えば、車両の自動運転を制御するＡＤ－ＥＣＵであってもよい。電子制御装置１は、車載ネットワークＮを構成するケーブル等の伝送路３によって、他の電子機器２と電気的に接続されている。電子制御装置１と電子機器２とは、この伝送路３を介して信号が伝送される。

【0013】

電子制御装置１は、車両に搭載されたソフトウェアの更新処理を行う。この際、電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証する処理（以下「検証処理」とも称する）を行う。

【0014】

電子制御装置１は、車両に搭載されたソフトウェアの更新データ（プログラムを含む）を受信する受信部１１と、更新データを用いてソフトウェアを更新する演算処理部１０と、車載ネットワークＮに接続され他の電子機器２と通信を行う通信部１４と、を備える。

【0015】

受信部１１は、例えば、受信バッファによって構成される。受信部１１が受信する更新データは、ＯＴＡ（Over The Air）によるデータに限定されず、ＵＳＢ等の外部接続ポートを通じたデータ、電子制御装置１の動時にＳＲＡＭ (Static Random Access Memory)からインポートしたデータも含む。更新データは、車載ネットワークＮの通信設定を更新する設定値を含む。この設定値は、例えば、送信レート又は送信電圧の設定値である。この設定値は、例えば、ＮＲＺ、ＰＡＭ３又はＰＡＭ４のような多値化に係る変調方式の設定値である。

【0016】

通信部１４は、車載ネットワークＮの伝送路３に接続された通信インタフェースである。通信部１４は、例えば、通信ＩＣ等によって構成される。通信部１４は、車載ネットワークＮを介して他の電子機器２と通信を行う。

【0017】

演算処理部１０は、ＣＰＵ、ＲＯＭ、ＲＡＭを含んで構成され、ＣＰＵがＲＯＭに記憶されたプログラムを実行することによって、演算処理部１０の各種機能を実現する。特に、演算処理部１０には、車両に搭載されたソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証する検証プログラムが実装されている。演算処理部１０は、この検証プログラムを実行することによって、上記の検証処理を行うことができる。

【0018】

演算処理部１０は、設定値取得部１２と、通信設定制御部１３と、パラメータ取得部１５と、健全性評価部１６と、閾値記憶部１７と、通信可否判定部１８１と、を有する。

【0019】

設定値取得部１２は、ソフトウェア内の更新データから、通信設定を更新する設定値を取得する。設定値取得部１２は、更新データに記載されている通信設定に関して、前回の通信設定とは異なる変更後の通信設定を示す設定値を読み取る。設定値取得部１２は、取得された設定値を通信設定制御部１３に送信する。

【0020】

通信設定制御部１３は、車載ネットワークＮの通信設定を制御する。通信設定制御部１３は、設定値取得部１２により取得された設定値を用いて通信設定を仮更新して通信部１４に通信テストを行わせる。通信設定制御部１３は、読み取った設定値を用いて通信設定を仮更新する通信設定制御信号を生成し、通信部１４（又は通信部２１）に送信する。通信部１４は、通信設定制御部１３により送信された通信設定制御信号に基づいて、設定値を用いて仮更新された通信設定にてテストパターンを電子機器２に送信し、通信テストを行う。

【0021】

パラメータ取得部１５は、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを通信部１４から取得する。この通信ハードウェア４は、車載ネットワークＮを構成するハードウェア機器である。通信ハードウェア４は、ケーブル等である伝送路３、並びに、通信インタフェースである通信部１４及び通信部２１を含む。この健全性は、通信ハードウェア４のアナログ的な健全性を指す。通信ハードウェア４の健全性を示すパラメータとしては、ＣＲＣ（Cyclic Redundancy Check）カウンタ値、ＥＯＭ(Eye Opening Monitor)、ＳＱＩ(Signal Quality Indicator)等が挙げられる。パラメータ取得部１５は、上記の通信テストが行われた場合、当該通信テストにおけるパラメータを通信部１４から取得し、健全性評価部１６に送信する。パラメータ取得部１５は、一又は複数種類のパラメータを取得することが可能である。

【0022】

健全性評価部１６は、パラメータ取得部１５により取得されたパラメータを用いて、通信ハードウェア４の健全性を評価する。具体的には、健全性評価部１６は、一又は複数種類のパラメータから、ＢＥＲ(Bit Error Rate)等を算出することによって、通信ハードウェア４の健全性を評価する。上記の健全性を示すパラメータであるＣＲＣカウンタ値は、ＰＥＲ(Packet Error Rate)に換算することが可能であり、ＰＥＲからＢＥＲを数学的に算出することが可能である。上記の健全性を示すパラメータであるＥＯＭ及びＳＱＩについても、ＢＥＲへの変換は数学的又は統計的に算出することが可能である。健全性評価部１６は、上記の通信テストが行われた場合、当該通信テストにおいて取得されたパラメータを用いて健全性を評価し、評価結果を通信可否判定部１８１に送信する。

【0023】

通信可否判定部１８１は、設定値取得部１２により取得された設定値を用いて通信設定が更新された場合に通信異常が発生するか否かを判定する。具体的には、通信可否判定部１８１は、健全性評価部１６の評価結果であるＢＥＲを、閾値記憶部１７に予め記憶された閾値と比較する。通信可否判定部１８１は、健全性評価部１６の評価結果であるＢＥＲが当該閾値未満である場合、通信異常が発生すると判定し、健全性評価部１６の評価結果であるＢＥＲが当該閾値以上である場合、通信異常が発生しないと判定する。すなわち、通信可否判定部１８１は、パラメータ取得部１５により取得されたパラメータに基づいて、通信異常が発生するか否かを判定する。通信可否判定部１８１は、上記の通信テストが行われた場合、当該通信テストにおいて取得されたパラメータに基づいて、通信異常が発生するか否かを判定する。通信可否判定部１８１は、判定結果を、演算処理部１０の所定の記憶領域に記憶したり、所定のシステムに通知したりする。

【0024】

電子機器２は、車両に搭載され、車載ネットワークＮに接続された電子機器である。電子機器２は、例えば、電子制御装置又はセンサ装置によって構成される。電子機器２は、電子制御装置１の通信部１４と同様の通信部２１、及び、通信設定制御部１３と同様の通信設定制御部２２を有する。

【0025】

図２は、通信設定を更新する設定値の例を示す図である。図３は、通信設定の更新に伴う通信異常の発生例を示す図である。

【0026】

例えば、図２に示すように、更新前のソフトウェアＳＷ１では送信レートがＴｘ１に設定されていたが、更新後のソフトウェアＳＷ２では送信レートがＴｘ２に設定されるものとする。この場合、送信レートがＴｘ２に更新された場合でも通信が正しく行えるかどうかを検証する必要がある。通信設定制御部１３は、送信レートをＴｘ１からＴｘ２に仮更新して、通信部１４に通信テストを行わせる。通信部１４は、Ｔｘ２の送信レートにてテストパターンを一定期間送信する通信テストを行う。この通信テストが行われた場合に、通信ハードウェア４の健全性を示すパラメータの一例としてＥＯＭが取得された例を図３に示す。図３において、伝送路３が劣化や部品交換が無い適正な状態である場合、通信設定が更新されても机上検証通りのテスト結果Ｅ２(通信異常が発生していない結果)が観測されるはずである。一方で、伝送路３が劣化や部品交換によって不適正な状態である場合、通信設定が更新される前はテスト結果Ｅ３のように通信異常が発生していなくても、通信設定が更新されると、テスト結果Ｅ４のように通信異常が発生した結果が観測される可能性がある。このようなことから、電子制御装置１は、ソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証することができる。

【0027】

図４は、電子制御装置１の動作を示すフローチャートである。

【0028】

電子制御装置１の受信部１１は、車載ネットワークＮの通信設定を更新する設定値を含むソフトウェアの更新データを受信する（ステップＳ１）。電子制御装置１の演算処理部１０は、受信部１１が当該ソフトウェアの更新データを受信すると、ステップＳ２～ステップＳ６に示す検証処理を行う。

【0029】

具体的には、まず、演算処理部１０は、受信されたソフトウェアの更新データから、車載ネットワークＮの通信設定を更新する設定値を取得する（ステップＳ２）。続いて、演算処理部１０は、取得された設定値を用いて通信設定を仮更新して、通信部１４に通信テストを行わせる（ステップＳ３）。

【0030】

そして、演算処理部１０は、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを通信部１４から取得し（ステップＳ４）、取得されたパラメータを用いて、通信ハードウェア４の健全性を評価する（ステップＳ５）。

【0031】

そして、演算処理部１０は、通信ハードウェア４の評価結果と閾値記憶部１７に記憶された閾値とに基づいて、通信設定が更新された場合に車載ネットワークＮに通信異常が発生するか否かを判定する（ステップＳ６）。演算処理部１０は、通信異常が発生するか否かの判定結果を、演算処理部１０の所定の記憶領域に記憶したり、所定のシステムに通知したりする。その後、演算処理部１０は、検証処理を終了する。

【0032】

以上のように、実施形態１の電子制御装置１は、車両に搭載されたソフトウェアの更新データを受信する受信部１１と、更新データを用いてソフトウェアを更新する演算処理部１０と、車載ネットワークＮに接続され他の電子機器２と通信を行う通信部１４と、を備える。更新データは、車載ネットワークＮの通信設定を更新する設定値を含む。演算処理部１０は、更新データから当該設定値を取得する設定値取得部１２と、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを通信部１４から取得するパラメータ取得部１５と、取得された設定値を用いて通信設定が更新された場合に車載ネットワークＮに通信異常が発生するか否かを、取得されたパラメータに基づいて判定する通信可否判定部１８１と、を有する。

【0033】

これにより、実施形態１の電子制御装置１は、車載ネットワークＮの通信設定が更新されても、通信ハードウェア４の健全性が確保されるかを検証することができる。したがって、実施形態１の電子制御装置１は、ソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証することができる。しかも、実施形態１の電子制御装置１は、特別な回路構成を用いることなく、この通信異常の検証機能を実現することができる。よって、実施形態１の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができる。

【0034】

一般的に、ソフトウェアの管理者が事前に通信設定が更新されても通信異常が発生しないことを机上検証するはずであるが、この机上検証では、通信ハードウェア４が仕様範囲内であることを前提としている。しかし、通信ハードウェア４は劣化や部品交換等により、仕様範囲外へと変化する可能性がある。一般的に、車載通信では激しい振動や熱等によって通信ハードウェア４が劣化しやすい環境にある。また今後は、ユーザによって非正規品のケーブル等に部品交換が行われることが、より一般的になっていく。このような傾向では、今後は、通信ハードウェア４の特性が想定よりも悪化することが頻発することが予想される。特に高速通信における伝送路３の変化は「正常」又は「断線」というデジタル的な二者択一の変化ではなく、「出荷時の正常な特性」から「特性が悪化」し、やがて「断線」するというアナログ的な変化である。伝送路３には、通信自体は可能だがエラーが出るという正常でも断線でもない状態が生まれる。結果として、このような伝送路３では現状の通信設定では通信に問題は無いが、更新後の通信設定では通信に問題が起きるような事態が発生する。また、車載通信の高速化と共に通信ハードウェア４の特性悪化がデータエラーという形で顕在化しやすい。更に、車両の自動運転化に伴い、ＡＤ－ＥＣＵとセンサ装置との間の通信において、センサ情報等の車両制御に用いられる重要なデータにエラーが発生してしまう懸念がある。車両毎の通信ハードウェア４の健全性を無視して全車両に一律的なソフトウェア更新を行うと、深刻な通信異常が発生する懸念がある。

【0035】

これに対し、実施形態１の電子制御装置１は、車両毎に通信ハードウェア４の健全性を考慮してソフトウェアの更新を行うことができるので、ソフトウェアの更新に伴う通信異常の発生を防止することができる。

【0036】

更に、実施形態１の演算処理部１０は、車載ネットワークＮの通信設定を制御する通信設定制御部１３を更に有する。通信設定制御部１３は、取得された設定値を用いて当該通信設定を仮更新して通信部１４に通信テストを行わせる。パラメータ取得部１５は、通信テストが行われた場合のパラメータを通信部１４から取得する。通信可否判定部１８１は、通信テストが行われた場合に取得されたパラメータに基づいて、通信異常が発生するか否かを判定する。

【0037】

これにより、実施形態１の電子制御装置１は、車載ネットワークＮの通信設定が更新された場合に通信ハードウェア４の健全性が確保されるかどうかを、容易且つ確実に検証することができる。よって、実施形態１の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易且つ確実に防止することができる。

【0038】

また、実施形態１の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証する検証プログラムを有する。実施形態１の検証プログラムは、電子制御装置１の演算処理装置（演算処理部１０）に、ソフトウェアの更新データから、車載ネットワークＮの通信設定を更新する設定値を取得することと（ステップＳ２）、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを取得することと（ステップＳ４）、取得された設定値を用いて通信設定が更新された場合に通信異常が発生するか否かを、取得されたパラメータに基づいて判定することと（ステップＳ６）、を実行させる。

【0039】

これにより、実施形態１の検証プログラムは、車載ネットワークＮの通信設定が更新されても、通信ハードウェア４の健全性が確保されるかを検証することができるので、ソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証することができる。しかも、実施形態１の検証プログラムは、特別なアルゴリズムを用いることなく、この通信異常の検証機能を実現することができる。よって、実施形態１の検証プログラムは、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができる。

【0040】

また、実施形態１の電子制御装置１は、演算処理部１０が上記の検証プログラムを実行することによって、車両に搭載されたソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証する検証方法を実現することができる。実施形態１の検証方法は、ソフトウェアの更新データから、車載ネットワークＮの通信設定を更新する設定値を取得することと（ステップＳ２）、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを取得することと（ステップＳ４）、取得された設定値を用いて通信設定が更新された場合に通信異常が発生するか否かを、取得されたパラメータに基づいて判定することと（ステップＳ６）、を有する。

【0041】

これにより、実施形態１の検証方法は、車載ネットワークＮの通信設定が更新されても、通信ハードウェア４の健全性が確保されるかを検証することができるので、ソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生するかを検証することができる。しかも、実施形態１の検証方法は、特別な手法を用いることなく、この通信異常の検証機能を実現することができる。よって、実施形態１の検証方法は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができる。

【0042】

［実施形態２］
図５を用いて、実施形態２の電子制御装置１について説明する。実施形態２の電子制御装置１において、実施形態１と同様の構成及び動作については、説明を省略する。図５は、実施形態２の電子制御装置１の構成を示す図である。

【0043】

実施形態２の演算処理部１０は、ソフトウェアの更新を制御する更新制御部１８を有する。更新制御部１８は、通信可否判定部１８１と、更新可否判定部１８２と、を有する。更新可否判定部１８２は、ソフトウェアが更新可能であるか否かを通信可否判定部１８１の判定結果に基づいて判定する。具体的には、更新可否判定部１８２は、通信可否判定部１８１の判定結果が通信異常の発生を示さない場合、ソフトウェアが更新可能と判定する。更新可否判定部１８２は、通信可否判定部１８１の判定結果が通信異常の発生を示す場合、ソフトウェアが更新不可と判定する。更新制御部１８は、更新可否判定部１８２の判定結果がソフトウェアの更新可能を示す場合、ソフトウェアの更新を開始する。更新制御部１８は、更新可否判定部１８２の判定結果がソフトウェアの更新不可を示す場合、ソフトウェアの更新を保留する。

【0044】

これにより、実施形態２の電子制御装置１は、ソフトウェアの更新に伴って車載ネットワークＮに通信異常が発生する場合には、ソフトウェアの更新を保留することができる。よって、実施形態２の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易且つ確実に防止することができる。

【0045】

［実施形態３］
図６～図８を用いて、実施形態３の電子制御装置１について説明する。実施形態３の電子制御装置１において、実施形態１～２と同様の構成及び動作については、説明を省略する。図６は、実施形態３の電子制御装置１の構成を示す図である。図７は、ユーザ通知画面を説明する図である。

【0046】

実施形態３の電子制御装置１は、車両に搭載されたディスプレイ等の通知部５に、ソフトウェアの更新に関する問題点を表示してユーザに通知する。具体的には、実施形態３の電子制御装置１は、図７に示すように、未更新のソフトウェアの情報（当該ソフトウェアの名称、バージョン情報、属性情報等）と、更新可否判定部１８２の判定結果と、更新不可のソフトウェアを更新可能とするために必要な行動をユーザに要請する情報とを互いに対応付けてユーザに通知する。

【0047】

これにより、実施形態３の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができると共に、最新のソフトウェアに更新されている車両の割合を着実に増やすことができる。

【0048】

図８は、ソフトウェアの更新に係る車両及びサーバの動作を示すシーケンス図である。図８に示す車両及びサーバの動作は、実施形態３以外の実施形態にも適用され得る。

【0049】

図８に示すサーバは、車両に搭載されるソフトウェアを管理する（ステップＳ１０）。図８に示す車両は、電子制御装置１を搭載している。車両は、起動すると（ステップＳ１１）、車種情報と共に、車両に搭載されたソフトウェアのバージョン情報をサーバに送信する（ステップＳ１２）。サーバは、車種情報及び当該バージョン情報を受信すると（ステップＳ１３）、これらの情報に基づいて、該当車種が利用可能であって未更新のバージョンが存在するソフトウェアを検索する（ステップＳ１４）。そして、サーバは、検索されたソフトウェアの更新データを車両に送信する（ステップＳ１５）。更新データは、未更新のバージョンのソフトウェア自体であってもよいし、現在車両に搭載されたソフトウェアのバージョンと未更新のバージョンとの差分データであってもよい。

【0050】

サーバ装置から更新データが送信されると、車両の電子制御装置１の受信部１１は、更新データを受信する（ステップＳ１６）。電子制御装置１の演算処理部１０は、更新データに、車載ネットワークＮの通信設定を更新する設定値が含まれているか否かを判定する（ステップＳ１７）。更新データに当該設定値が含まれていない場合（ステップＳ１７：Ｎｏ）、演算処理部１０は、更新データを用いてソフトウェアの更新を開始する（ステップＳ２２）。更新データに当該設定値が含まれている場合（ステップＳ１７：Ｙｅｓ）、演算処理部１０は、更新データから当該設定値を取得する。

【0051】

そして、演算処理部１０は、取得された設定値を用いて通信設定を仮更新して、通信部１４に通信テストを行わせる（ステップＳ１８）。演算処理部１０は、車載ネットワークＮを構成する通信ハードウェア４の健全性を示すパラメータを通信部１４から取得する（ステップＳ１９）。演算処理部１０は、取得されたパラメータを用いて、通信ハードウェア４の健全性を評価する（ステップＳ２０）。

【0052】

そして、演算処理部１０は、通信設定が更新された場合に車載ネットワークＮに通信異常が発生するか否かを判定する（ステップＳ２１）。通信異常が発生しない場合（ステップＳ２１：Ｎｏ）、演算処理部１０は、更新データを用いてソフトウェアの更新を開始する（ステップＳ２２）。通信異常が発生する場合（ステップＳ２１：Ｙｅｓ）、演算処理部１０は、ソフトウェアの更新時に通信異常の発生の要因となる通信ハードウェア４を特定し、特定された通信ハードウェア４をユーザに通知する（ステップＳ２３）。これにより、ユーザは、特定された通信ハードウェア４を適正な通信ハードウェア４に交換等することによって、通信ハードウェア４を補修することができる。

【0053】

［実施形態４］
図９を用いて、実施形態４の電子制御装置１について説明する。実施形態４の電子制御装置１において、実施形態１～３と同様の構成及び動作については、説明を省略する。図９は、実施形態４の電子制御装置１の構成を示す図である。

【0054】

実施形態４の電子制御装置１は、ソフトウェアの更新有無に拘わらず事前に通信ハードウェア４の健全性を評価する。具体的には、実施形態４の通信設定制御部１３は、ソフトウェアの更新データを受信する前に、予め定められた複数の通信設定において通信設定制御信号を通信部１４に送信し、複数の通信設定で通信テストを行わせる。実施形態４のパラメータ取得部１５は、各通信テストにおけるパラメータを取得する。実施形態４の健全性評価部１６は、各通信テストにおける通信ハードウェア４の健全性を評価し、評価結果を評価結果記憶部１９に記憶する。すなわち、実施形態４の演算処理部１０は、予め定められた複数の通信設定において通信ハードウェア４の健全性を事前に評価した複数の評価結果を記憶する評価結果記憶部１９を有する。実施形態４の通信可否判定部１８１は、評価結果記憶部１９に記憶された複数の評価結果のうちから、設定値取得部１２により取得された設定値に対応する評価結果を特定し、特定された評価結果に基づいて、通信異常が発生するか否かを判定する。

【0055】

これにより、実施形態４の電子制御装置１は、ソフトウェアの更新データを受信すると、予め評価結果記憶部１９に記憶された複数の評価結果に基づいて、通信ハードウェア４の健全性が確保されるかを迅速に検証することができる。したがって、実施形態４の電子制御装置１は、更新データを受信してから当該健全性を検証するまでの検証時間を短縮することができる。よって、実施形態４の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを容易に防止することができると共に、ユーザが車両起動後に待機する時間を短縮することができる。

【0056】

［実施形態５］
図１０を用いて、実施形態５の電子制御装置１について説明する。実施形態５の電子制御装置１において、実施形態１～４と同様の構成及び動作については、説明を省略する。図１０は、実施形態５の電子制御装置１の構成を示す図である。

【0057】

実施形態５の演算処理部１０は、通信テストを行わずに現在の通信設定において取得されたパラメータを用いて通信ハードウェア４の健全性を予測する。すなわち、実施形態５の演算処理部１０は、設定値取得部１２により取得された設定値を用いて通信設定が更新された場合の通信ハードウェア４の健全性を、現在の通信設定において取得されたパラメータを用いて予測する健全性予測部１１０を有する。実施形態５の通信可否判定部１８１は、健全性予測部１１０の予測結果に応じて通信異常が発生するか否かを判定する。

【0058】

健全性予測部１１０は、通信ハードウェア４の健全性を予測する際に用いるパラメータとして、通信部１４又は通信部２１に予め備えられたイコライザの補償値を用いる。イコライザは、高速通信用の通信ＩＣに一般的に備えられた波形補償器であり、複数の周波数帯の信号強度を補償し改善する機能を有する。実施形態５のパラメータ取得部１５は、当該健全性を示すパラメータとして通信部１４からイコライザの補償値を取得する。健全性予測部１１０は、パラメータ取得部１５により取得されたイコライザの補償値を観測することによって、どの周波数帯域で当該健全性が確保され難いのかを予測することができる。例えば、健全性予測部１１０は、イコライザの補償値が大きい周波数帯域ほど当該健全性が確保され難いと予測する。健全性予測部１１０は、設定値取得部１２により取得された設定値を用いて通信設定が更新された場合に、イコライザの補償値が大きい周波数帯域の信号がどのように変化するかを定量的に把握することによって当該健全性を予測することができる。

【0059】

このように、実施形態５の演算処理部１０は、設定値取得部１２により取得された設定値を用いて通信設定が更新された場合の通信ハードウェア４の健全性を、現在の通信設定において取得されたパラメータを用いて予測し、その予測結果に応じて通信異常が発生するか否かを判定する。

【0060】

これにより、実施形態５の電子制御装置１は、通信テストを行わずに通信ハードウェア４の健全性が確保されるかを検証することができるので、当該健全性の検証を容易且つ短時間で行うことができる。よって、実施形態５の電子制御装置１は、車両に搭載されたソフトウェアの更新に伴って車載ネットワークに通信異常が発生することを更に容易に防止することができると共に、ユーザが車両起動後に待機する時間を短縮することができる。

【0061】

［その他］
なお、本発明は上記の実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記の実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、或る実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、或る実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

【0062】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路にて設計する等によりハードウェアによって実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアによって実現してもよい。各機能を実現するプログラム、テープ、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（solid state drive）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0063】

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0064】

１…電子制御装置、２…電子機器、３…伝送路、４…通信ハードウェア、５…通知部、１０…演算処理部、１１…受信部、１２…設定値取得部、１３…通信設定制御部、１４…通信部、１５…パラメータ取得部、１８１…通信可否判定部、１８２…更新可否判定部、１９…評価結果記憶部（記憶部）、１１０…健全性予測部、２１…通信部、２２…通信設定制御部、Ｎ…車載ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】