特開 2024-137082 電子制御装置及びソフトウェア更新方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024137082

(43)【公開日】2024-10-07

(54)【発明の名称】電子制御装置及びソフトウェア更新方法

(51)【国際特許分類】

   G06F 8/654 20180101AFI20240927BHJP

【ＦＩ】

G06F8/654

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023048454

(22)【出願日】2023-03-24

(71)【出願人】

【識別番号】301065892

【氏名又は名称】株式会社アドヴィックス

(74)【代理人】

【識別番号】100105957

【弁理士】

【氏名又は名称】恩田 誠

(74)【代理人】

【識別番号】100068755

【弁理士】

【氏名又は名称】恩田 博宣

(72)【発明者】

【氏名】奥野 正太

(72)【発明者】

【氏名】杉本 龍

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA64

5B376GA08

(57)【要約】

【課題】ソフトウェアを更新する機会の減少を抑制しつつ、ソフトウェアの更新中に電源電圧が電子制御装置の更新可能電圧未満になることを抑制すること。
【解決手段】ＥＣＵ５０は、実行装置５１と、実行装置５１によって実行されるソフトウェアを記憶している第１記憶装置５２とを備えている。実行装置５１は、電源電圧が、ＥＣＵ５０の更新可能電圧よりも高い作動許可電圧以上である場合に、ソフトウェアを更新する更新処理を開始する。実行装置５１は、ソフトウェアを更新している状態で電動装置２１，２２を作動させることが要求された場合に、電源電圧が低下することを抑制する電圧低下抑制処理を実行する。
【選択図】図１

【特許請求の範囲】

【請求項1】

電源と、前記電源からの給電によって作動する複数の電動装置と、を備えた車両に搭載される電子制御装置であって、
実行装置と、前記実行装置によって実行されるソフトウェアを記憶している記憶装置と、を備え、
前記実行装置は、
前記電源の電圧である電源電圧が、当該電子制御装置の更新可能電圧よりも高い作動許可電圧以上である場合に、前記記憶装置のソフトウェアを更新する更新処理を開始し、
前記記憶装置のソフトウェアを更新している状態で前記複数の電動装置のうちの少なくとも１つの前記電動装置を作動させることが要求された場合に、前記電源電圧が低下することを抑制する電圧低下抑制処理を実行する
電子制御装置。

【請求項2】

前記実行装置は、前記記憶装置のソフトウェアを更新している状態で前記複数の電動装置を作動させることが要求された場合に、前記電圧低下抑制処理において、当該複数の電動装置のうちの第１電動装置の起動を許可し、当該第１電動装置が起動した後に第２電動装置の起動を許可する
請求項１に記載の電子制御装置。

【請求項3】

前記複数の電動装置には優先順位が設定されており、
前記実行装置は、前記記憶装置のソフトウェアを更新している状態で複数の前記電動装置を作動させることが要求された場合に、前記電圧低下抑制処理において、当該複数の電動装置の中で最も優先順位が高い電動装置の起動を許可し、当該電動装置が起動した後に次に優先順位が高い電動装置の起動を許可する
請求項１に記載の電子制御装置。

【請求項4】

前記複数の電動装置は、複数の快適装置を含んでおり、
前記実行装置は、前記記憶装置のソフトウェアを更新している状態で複数の前記快適装置を作動させることが要求された場合に、前記電圧低下抑制処理において、当該複数の快適装置の少なくとも１つの装置の起動を禁止する
請求項１～請求項３のうち何れか一項に記載の電子制御装置。

【請求項5】

前記複数の快適装置には優先順位が設定されており、
前記実行装置は、前記記憶装置のソフトウェアを更新している状態で複数の前記快適装置を作動させることが要求された場合に、前記電圧低下抑制処理において、当該複数の快適装置の中で最も優先順位の低い快適装置の起動を禁止する
請求項４に記載の電子制御装置。

【請求項6】

前記複数の電動装置は、複数の快適装置を含んでおり、
前記複数の快適装置には優先順位が設定されており、
前記実行装置は、前記記憶装置のソフトウェアを更新している状態で複数の前記快適装置を作動させることが要求された場合に、前記電圧低下抑制処理において、当該複数の快適装置の中で最も優先順位が高い快適装置のみの起動を許可する
請求項１～請求項３のうち何れか一項に記載の電子制御装置。

【請求項7】

車両に設けられている記憶装置のソフトウェアを更新するソフトウェア更新方法であって、
前記車両は、当該車両の電源からの給電によって作動する電動装置及び電子制御装置を備えており、
前記電源の電圧である電源電圧が、前記電子制御装置の更新可能電圧よりも高い作動許可電圧以上である場合に、前記記憶装置のソフトウェアの更新を更新処理部に開始させるステップと、
前記記憶装置のソフトウェアを前記更新処理部が更新している状態で前記電動装置を作動させることが要求された場合に、前記電源電圧が低下することを電圧低下抑制部に抑制させるステップと、を有する
ソフトウェア更新方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両に搭載される電子制御装置と、車両に設けられている記憶装置のソフトウェアを更新するソフトウェア更新方法とに関する。

【背景技術】

【0002】

特許文献１は、携帯電話などの携帯情報機器のメモリに記憶されているソフトウェアの更新方法を開示している。当該更新方法では、携帯情報端末の電源の電圧が電圧閾値以上である場合には、メモリのソフトウェアの更新が許可される。その一方で、電源の電圧が電圧閾値未満である場合には、メモリのソフトウェアの更新が禁止される。なお、電圧閾値として、携帯情報端末の終端電圧よりも高い電圧が設定されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００５－２８６５０２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記の更新方法を、車両に設けられている記憶装置のソフトウェアの更新に適用した場合を考える。車両は、当該車両の電源からの給電によって作動する複数の電動装置を備えている。当該車両では、電源の電圧が電圧閾値以上であることを条件に記憶装置のソフトウェアの更新が開始される。車両の走行中にソフトウェアが更新されていると、その最中に電動装置が起動することがある。電動装置が起動すると、電源の電圧が低下する。こうした電動装置の起動によって電源の電圧が終端電圧を下回ると、ソフトウェアの更新が失敗するおそれがある。

【0005】

ソフトウェアの更新中に電源の電圧が終端電圧未満にならないようにする手法としては、終端電圧よりも十分に高い電圧を電圧閾値として設定する方法が考えられる。しかし、この場合には、電源の電圧が電圧閾値以上になりにくくなるため、ソフトウェアを更新する機会が少なくなってしまう。

【課題を解決するための手段】

【0006】

上記課題を解決するための電子制御装置は、電源と、前記電源からの給電によって作動する複数の電動装置と、を備えた車両に搭載される装置である。電子制御装置は、実行装置と、前記実行装置によって実行されるソフトウェアを記憶している記憶装置と、を備えている。前記実行装置は、前記電源の電圧である電源電圧が、当該電子制御装置の更新可能電圧よりも高い作動許可電圧以上である場合に、前記記憶装置のソフトウェアを更新する更新処理を開始し、前記記憶装置のソフトウェアを更新している状態で前記複数の電動装置のうちの少なくとも１つの前記電動装置を作動させることが要求された場合に、前記電源電圧が低下することを抑制する電圧低下抑制処理を実行する。

【0007】

上記課題を解決するためのソフトウェア更新方法は、車両に設けられている記憶装置のソフトウェアを更新する方法である。前記車両は、当該車両の電源からの給電によって作動する電動装置及び電子制御装置を備えている。当該ソフトウェア更新方法は、前記電源の電圧である電源電圧が、前記電子制御装置の更新可能電圧よりも高い作動許可電圧以上である場合に、前記記憶装置のソフトウェアの更新を更新処理部に開始させるステップと、前記記憶装置のソフトウェアを前記更新処理部が更新している状態で前記電動装置を作動させることが要求された場合に、前記電源電圧が低下することを電圧低下抑制部に抑制させるステップと、を有している。

【発明の効果】

【0008】

ソフトウェアを更新する機会の減少を抑制しつつ、ソフトウェアの更新中に電源電圧が電子制御装置の更新可能電圧未満になることを抑制すること。

【図面の簡単な説明】

【0009】

【図1】図１は、第１実施形態の電子制御装置を備える車両と、車外に設置されたデータセンタとの概略を示す構成図である。

【図2】図２は、図１に示す電子制御装置のソフトウェアを更新する際の機能構成を示すブロック図である。

【図3】図３は、電動装置を起動させる際の優先順位を示すテーブルである。

【図4】図４は、ソフトウェアを更新する際の処理の流れを示すフローチャートである。

【図5】図５は、電源電圧の低下を抑制するための処理の流れを示すフローチャートである。

【図6】図６は、第２実施形態の電子制御装置において、電源電圧の低下を抑制するための処理の流れの一部を示すフローチャートである。

【発明を実施するための形態】

【0010】

（第１実施形態）
以下、電子制御装置及びソフトウェア更新方法の第１実施形態を図１から図５に従って説明する。本明細書では、電子制御装置を「ＥＣＵ」と記載する。「ＥＣＵ」は「Electronic Control Unit」の略記である。

【0011】

図１は、車両１０と、車両１０の外部に設けられているデータセンタ１００とを図示している。
＜データセンタ＞
データセンタ１００は、車外ネットワーク２００を介して車両１０と各種の情報の送受信ができるように構成されている。すなわち、データセンタ１００は、無線通信によって車両１０と各種情報の送受信を行う。

【0012】

詳しくは後述するが、車両１０は複数のＥＣＵを備えている。複数のＥＣＵのうちの何れかのＥＣＵの記憶装置のソフトウェアを更新するための更新用ソフトウェアが用意できた場合、データセンタ１００は、車外ネットワーク２００を介して当該更新用ソフトウェアを車両１０に送信する。なお、車載の複数のＥＣＵのうち、ソフトウェアを更新するＥＣＵを「更新対象ＥＣＵ」という。

【0013】

＜車両＞
車両１０は、電源１１と複数の電動装置とを備えている。複数の電動装置は、電源１１からの給電によってそれぞれ作動する。例えば、電源１１は、充電された電気を電力として供給するバッテリである。

【0014】

複数の電動装置は、複数の快適装置２１と、複数の走行用電動装置２２とを含んでいる。快適装置２１とは、車両１０の乗員の快適性を向上させることを目的として車両１０に搭載されている電動装置である。例えば、複数の快適装置は、エアコンディショナー、パワーウィンドウ装置、シート調整装置、シートヒータ及びオーディオを含んでいる。

【0015】

走行用電動装置は、車両１０を走行させるために必要な電動装置である。例えば、複数の走行用電動装置は、ブレーキ装置、車両１０の駆動装置（エンジンや走行用モータなど）、電動駐車装置、電動パワーステアリング装置及びライトを含んでいる。

【0016】

車両１０は、通信装置３０と情報処理装置４０と複数のＥＣＵ５０と電源電圧検出部６０とを備えている。通信装置３０、情報処理装置４０及び複数のＥＣＵ５０は、電源１１からの給電によってそれぞれ動作する。

【0017】

通信装置３０は、データセンタ１００との情報を送受信するための車両側のインターフェースである。
情報処理装置４０は、ローカルネットワーク３１を介して通信装置３０と通信できるように構成されている。ローカルネットワーク３１は、情報処理装置４０と通信装置３０との間のみで情報の送受信を行うためのネットワークである。

【0018】

情報処理装置４０は、実行装置４１と記憶装置４２と格納装置４３とを備えている。例えば、実行装置４１はＣＰＵであり、記憶装置４２は不揮発性のメモリであり、格納装置４３は揮発性のメモリである。記憶装置４２は、実行装置４１によって実行されるソフトウェアを記憶している。格納装置４３は、通信装置３０からローカルネットワーク３１を介して送信された情報を一時的に格納する。すなわち、データセンタ１００が、更新対象ＥＣＵを特定する情報及び更新用ソフトウェアを車両１０に送信すると、通信装置３０が、データセンタ１００が送信した情報を受信する。そして、通信装置３０は、受信した情報を、ローカルネットワーク３１を介して情報処理装置４０に送信する。すると、情報処理装置４０の実行装置４１は、ローカルネットワーク３１を介して受信した情報、すなわち更新対象ＥＣＵを特定する情報及び更新用ソフトウェアを格納装置４３に記憶させる。

【0019】

電源電圧検出部６０は、電源１１が発生している電圧、すなわち電源１１の電圧を検出する。そして、電源電圧検出部６０は、検出した電圧を電源電圧ＶＢＴとしてグローバルネットワーク３３に出力する。これにより、グローバルネットワーク３３に電気的に接続されている複数のＥＣＵ５０は、電源電圧ＶＢＴをそれぞれ取得できる。電源電圧検出部６０は、例えば、電源１１の充電状態を管理する電源管理装置に設けられる。

【0020】

＜ＥＣＵ＞
複数のＥＣＵ５０は、グローバルネットワーク３３を介して情報処理装置４０と通信可能にそれぞれ構成されている。グローバルネットワーク３３は、情報処理装置４０と複数のＥＣＵ５０との間で情報の送受信を行わせる車内ネットワークである。例えば、グローバルネットワーク３３はＣＡＮバスである。ＣＡＮは「Controller Area Network」の略記である。

【0021】

複数のＥＣＵ５０は、実行装置５１と第１記憶装置５２と第２記憶装置５３とをそれぞれ備えている。例えば、実行装置５１はＣＰＵであり、第１記憶装置５２及び第２記憶装置５３は不揮発性のメモリである。第１記憶装置５２は、実行装置５１によって実行される複数種類のソフトウェアを記憶している。第２記憶装置５３は、実行装置５１がソフトウェアを実行する際に実行装置５１が参照するテーブル及びマップなどを記憶している。

【0022】

＜実行装置の機能構成＞
図２に示すように、ＥＣＵ５０の実行装置５１は、自身が更新対象ＥＣＵである旨を情報処理装置４０から受信した場合に、第１記憶装置５２のソフトウェアＡＰを更新する更新処理部Ｍ１１として機能する。図２では、更新対象となるソフトウェアＡＰが書き込まれている記憶部を「記憶部Ｍ１５」としている。本実施形態では、第１記憶装置５２の一部分が記憶部Ｍ１５に相当する。更新処理部Ｍ１１は、更新用ソフトウェアを情報処理装置４０から受信する。そして更新処理部Ｍ１１は、受信した更新用ソフトウェアを記憶部Ｍ１５に書き込むことによって、ソフトウェアＡＰを更新する。

【0023】

実行装置５１は、ソフトウェアＡＰを更新している場合に、電源１１の電圧である電源電圧ＶＢＴの低下を抑制する電圧低下抑制部Ｍ１３として機能する。電圧低下抑制部Ｍ１３は、優先順位テーブルＴＬを参照して電源電圧ＶＢＴの低下を抑制する。

【0024】

なお、実行装置５１が更新処理部Ｍ１１として機能することによって、実行装置５１が実行する一連の処理が「更新処理」に対応する。実行装置５１が電圧低下抑制部Ｍ１３として機能することによって、実行装置５１が実行する一連の処理が「電圧低下抑制処理」に対応する。

【0025】

図３を参照し、優先順位テーブルＴＬについて説明する。優先順位テーブルＴＬは、第２記憶装置５３に記憶されている。図３では、電源１１からの給電によって作動する電動装置の数を１０個としているが、これは一例であり、実際の電動装置の数は１０個であるとは限らない。また、図３に示す例では、複数の電動装置のうち、電動装置２２Ａ、電動装置２２Ｂ、電動装置２２Ｃ、電動装置２２Ｄ及び電動装置２２Ｅは走行用電動装置である。また、電動装置２１Ａ、電動装置２１Ｂ、電動装置２１Ｃ、電動装置２１Ｄ及び電動装置２１Ｅは快適装置である。

【0026】

優先順位テーブルＴＬには、起動させる際の優先順位が電動装置２２Ａ～２２Ｅ，２１Ａ～２１Ｅ毎に設定されている。具体的には、走行用電動装置に該当する複数の電動装置２２Ａ～２２Ｅの優先順位は、快適装置に該当する複数の電動装置２１Ａ～２１Ｅの優先順位よりも高い。また、走行用電動装置に該当する複数の電動装置２２Ａ～２２Ｅの中でも優先順位が設定されている。同様に、快適装置に該当する複数の電動装置２１Ａ～２１Ｅでも優先順位が設定されている。

【0027】

＜更新処理＞
図４を参照し、更新処理について説明する。実行装置５１は、所定の制御サイクル毎に更新処理を繰り返し実行する。更新処理を構成する複数のステップＳ１１からステップＳ２１は、実行装置５１が更新処理部Ｍ１１として機能することによって実行される。

【0028】

ステップＳ１１において、実行装置５１は、自身の第１記憶装置５２のソフトウェアＡＰの更新の用意ができているか否かを判定する。例えば、実行装置５１は、更新用ソフトウェアが情報処理装置４０の格納装置４３に格納されていることが通知された場合、ソフトウェアの更新の用意ができていると判定する。実行装置５１は、更新の用意ができていると判定した場合（Ｓ１１：ＹＥＳ）、処理をステップＳ１３に移行する。一方、実行装置５１は、更新の用意ができていないと判定した場合（Ｓ１１：ＮＯ）、更新処理を一旦終了する。

【0029】

ステップＳ１３において、実行装置５１は、電源電圧ＶＢＴがＥＣＵ５０の作動許可電圧ＶＰ以上であるか否かを判定する。作動許可電圧ＶＰとして、ＥＣＵ５０の更新可能電圧ＶＥよりも高い電圧が設定されている。更新可能電圧ＶＥとは、実行装置５１がソフトウェアの書き変え機能を実行可能な電圧の下限若しくは当該下限よりも僅かに高い電圧である。例えば実行装置５１がＣＰＵである場合、更新可能電圧ＶＥは、ＣＰＵが動作不能となるリセット電圧や設計上の動作保証電圧に基づいて設定される。この場合、更新可能電圧ＶＥは、実行装置５１がソフトウェアの書き変え機能を実行可能な電圧であるリセット電圧や設計上の動作保証電圧よりも所定の偏差分高い電圧に設定されてもよい。ソフトウェアＡＰの更新が開始されると、ＥＣＵ５０での電力消費が増えるため、電源電圧ＶＢＴが低下する。このとき、ソフトウェアＡＰの更新前での電源電圧ＶＢＴがあまり高くないと、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥを下回るおそれがある。電源電圧ＶＢＴが更新可能電圧ＶＥを下回ると、ＥＣＵ５０が正常に動作しなくなるおそれがある。ＥＣＵ５０が正常に動作しないと、ソフトウェアＡＰの更新が失敗するおそれがある。そこで、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥ未満になる可能性があるか否かの判断基準として、作動許可電圧ＶＰが設定されている。電源電圧ＶＢＴが作動許可電圧ＶＰ未満である場合は、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥを下回る可能性があると見なす。一方、電源電圧ＶＢＴが作動許可電圧ＶＰ以上である場合は、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥを下回る可能性が低いと見なす。そのため、実行装置５１は、電源電圧ＶＢＴが作動許可電圧ＶＰ以上である場合（Ｓ１３：ＹＥＳ）、処理をステップＳ１５に移行する。一方、実行装置５１は、電源電圧ＶＢＴが作動許可電圧ＶＰ未満である場合（Ｓ１３：ＮＯ）、更新処理を一旦終了する。すなわち、実行装置５１は、電源電圧ＶＢＴが作動許可電圧ＶＰ未満である場合にはソフトウェアＡＰを更新しない。

【0030】

ステップＳ１５において、実行装置５１は、ソフトウェアＡＰの更新を開始する。すなわち、実行装置５１は、電源電圧ＶＢＴが作動許可電圧ＶＰ以上である場合に、ソフトウェアＡＰの更新を開始する。したがって、ステップＳ１５が、ソフトウェアＡＰの更新を更新処理部Ｍ１１に開始させるステップに対応する。

【0031】

実行装置５１は、ソフトウェアＡＰを更新する場合、更新用ソフトウェアの送信を情報処理装置４０に要求する。そして、実行装置５１は、情報処理装置４０から受信した更新用ソフトウェアを第１記憶装置５２に書き込む。実行装置５１は、ソフトウェアＡＰの更新を開始すると、処理をステップＳ１７に移行する。

【0032】

ステップＳ１７において、実行装置５１は、ソフトウェアＡＰの更新が完了したか否かを判定する。実行装置５１は、更新が完了したと判定した場合（Ｓ１７：ＹＥＳ）、更新処理を一旦終了する。一方、実行装置５１は、更新が完了していないと判定した場合（Ｓ１７：ＮＯ）、処理をステップＳ１９に移行する。

【0033】

ステップＳ１９において、実行装置５１は、電源電圧ＶＢＴが更新可能電圧ＶＥ以下であるか否かを判定する。実行装置５１は、電源電圧ＶＢＴが更新可能電圧ＶＥ以下である場合（Ｓ１９：ＹＥＳ）、処理をステップＳ２１に移行する。実行装置５１は、電源電圧ＶＢＴが更新可能電圧ＶＥよりも高い場合（Ｓ１９：ＮＯ）、処理をステップＳ１７に移行する。この場合、実行装置５１はソフトウェアＡＰの更新を継続する。

【0034】

ステップＳ２１において、実行装置５１は、ソフトウェアＡＰの更新を中止する。そして、実行装置５１は更新処理を一旦終了する。
＜電圧低下抑制処理＞
図５を参照し、電圧低下抑制処理について説明する。実行装置５１は、所定の制御サイクル毎に電圧低下抑制処理を繰り返し実行する。電圧低下抑制処理を構成するステップＳ３１からステップＳ５３は、実行装置５１が電圧低下抑制部Ｍ１３として機能することによって実行される。

【0035】

ステップＳ３１において、実行装置５１は、第１記憶装置５２のソフトウェアＡＰを更新している最中であるか否かを判定する。実行装置５１は、ソフトウェアＡＰを更新している最中である場合（Ｓ３１：ＹＥＳ）、処理をステップＳ３５に移行する。一方、実行装置５１は、ソフトウェアＡＰを更新していない場合（Ｓ３１：ＮＯ）、処理をステップＳ３３に移行する。

【0036】

ステップＳ３３において、実行装置５１は快適装置２１の作動禁止を解除する。これにより、ソフトウェアＡＰが更新されている最中であるために作動が禁止されていた快適装置２１がある場合、当該快適装置２１が起動する。そして、実行装置５１は電圧低下抑制処理を一旦終了する。

【0037】

ステップＳ３５において、実行装置５１は、快適装置２１の作動要求があるか否かを判定する。実行装置５１は、快適装置２１の作動要求があると判定した場合（Ｓ３５：ＹＥＳ）、処理をステップＳ３７に移行する。一方、実行装置５１は、快適装置２１の作動要求がないと判定した場合（Ｓ３５：ＮＯ）、処理をステップＳ３９に移行する。

【0038】

ステップＳ３７において、実行装置５１は快適装置２１の作動を禁止する。具体的には、実行装置５１は、快適装置２１を制御する他のＥＣＵ５０に対して、快適装置２１の作動を禁止する旨を通知する。これにより、快適装置２１が起動されないため、電源電圧ＶＢＴの低下が抑制される。そのため、ステップＳ３７が、電源電圧ＶＢＴが低下することを電圧低下抑制部Ｍ１３に抑制させるステップに対応する。その後、実行装置５１は処理をステップＳ３９に移行する。

【0039】

なお、ここでは、実行装置５１は、新たに快適装置２１を作動させることを禁止する。すなわち、実行装置５１は、ソフトウェアＡＰの更新が開始される前から作動している快適装置２１の作動の継続を許可する。

【0040】

ステップＳ３９において、実行装置５１は、走行用電動装置２２の作動要求があるか否かを判定する。実行装置５１は、走行用電動装置２２の作動要求があると判定した場合（Ｓ３９：ＹＥＳ）、処理をステップＳ４１に移行する。一方、実行装置５１は、走行用電動装置２２の作動要求がないと判定した場合（Ｓ３９：ＮＯ）、電圧低下抑制処理を一旦終了する。

【0041】

ステップＳ４１において、実行装置５１は、作動要求のある走行用電動装置２２の数が複数であるか否かを判定する。実行装置５１は、作動要求のある走行用電動装置２２の数が複数である場合（Ｓ４１：ＹＥＳ）、処理をステップＳ４５に移行する。一方、実行装置５１は、作動要求のある走行用電動装置２２の数が１つである場合（Ｓ４１：ＮＯ）、処理をステップＳ４３に移行する。

【0042】

ステップＳ４３において、実行装置５１は、作動要求のある走行用電動装置２２の起動を許可する。具体的には、実行装置５１は、当該走行用電動装置２２を制御する他のＥＣＵ５０に対して起動を許可する旨を通知する。そして、実行装置５１は電圧低下抑制処理を一旦終了する。

【0043】

ステップＳ４５において、実行装置５１は計数Ｍに１をセットする。続くステップＳ４７において、実行装置５１は、作動要求のあるＮ個の走行用電動装置２２のうち、第Ｍ電動装置の起動を許可する。具体的には、実行装置５１は、第Ｍ電動装置を制御する他のＥＣＵ５０に対して起動を許可する旨を通知する。ここで計数Ｍは、優先順位の高さを示している。具体的には、計数Ｍは、作動要求のあるＮ個の走行用電動装置２２の中での優先順位を表している。そのため、計数Ｍが１である場合、実行装置５１は、作動要求のあるＮ個の走行用電動装置２２の中で最も優先順位が高い走行用電動装置２２の起動を許可する。また、計数Ｍが２である場合、実行装置５１は、当該Ｎ個の走行用電動装置２２の中で２番目に優先順位が高い走行用電動装置２２の起動を許可する。

【0044】

そしてステップＳ４９において、実行装置５１は、第Ｍ電動装置の起動が完了したか否かを判定する。電動装置を起動させる場合、電動装置には突入電流が流れるため、電源電圧ＶＢＴが一時的に大きく低下し、その後に上昇する。そこで、実行装置５１は、例えば、こうした電源電圧ＶＢＴの変化を監視することによって第Ｍ電動装置の起動が完了したか否かを判定できる。また、実行装置５１は、第Ｍ電動装置を制御する他のＥＣＵ５０から第Ｍ電動装置の起動が完了した旨の通知を受け取ることによって、第Ｍ電動装置の起動が完了したと判定するようにしてもよい。この際、第Ｍ電動装置を制御する他のＥＣＵ５０は、第Ｍ電動装置が起動してから所定時間が経過した際に起動が完了した旨を通知するようにしてもよい。実行装置５１は、第Ｍ電動装置の起動が完了したと判定した場合（Ｓ４９：ＹＥＳ）、処理をステップＳ５１に移行する。一方、実行装置５１は、第Ｍ電動装置の起動が完了していないと判定した場合（Ｓ４９：ＮＯ）、起動が完了したと判定できるまでステップＳ４９の判定を繰り返し実行する。

【0045】

ステップＳ５１において、実行装置５１は、計数Ｍを１だけインクリメントする。次のステップＳ５３において、実行装置５１は、計数Ｍが作動要求数Ｎよりも大きいか否かを判定する。計数Ｍが作動要求数Ｎよりも大きい場合は、作動要求のあるＮ個の走行用電動装置２２の何れもが起動したと見なせる。一方、計数Ｍが作動要求数Ｎ以下である場合は、作動要求のあるＮ個の走行用電動装置２２の中に、未だ起動していない走行用電動装置２２があると見なす。そのため、実行装置５１は、計数Ｍが作動要求数Ｎよりも大きい場合（Ｓ５３：ＹＥＳ）、電圧低下抑制処理を一旦終了する。一方、実行装置５１は、計数Ｍが作動要求数Ｎ以下である場合（Ｓ５３：ＮＯ）、処理をステップＳ４７に移行する。

【0046】

すなわち、実行装置５１は、Ｎ個の走行用電動装置２２を作動させることを要求された場合に、Ｎ個の走行用電動装置２２の中で、最も優先順位が高い走行用電動装置２２の起動を許可する。そして、実行装置５１は、当該走行用電動装置２２が起動した後に次に優先順位が高い走行用電動装置２２の起動を許可する。最も優先順位が高い走行用電動装置２２を「第１電動装置」とし、次に優先順位が高い走行用電動装置２２を「第２電動装置」とする。このとき、実行装置５１は、第１電動装置の起動を許可し、第１電動装置が起動した後に第２電動装置の起動を許可することにある。したがって、ステップＳ４５からステップＳ５３までの一連の処理が、電源電圧ＶＢＴが低下することを電圧低下抑制部Ｍ１３に抑制させるステップに対応する。

【0047】

＜本実施形態の作用及び効果＞
（１－１）第１記憶装置５２のソフトウェアＡＰの更新の準備ができると、実行装置５１は、電源電圧ＶＢＴが作動許可電圧ＶＰ以上であることを条件にソフトウェアＡＰの更新を開始する。このようにソフトウェアＡＰを更新している場合、実行装置５１は、電圧低下抑制処理を実行することによって電源電圧ＶＢＴの低下を抑制する。したがって、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥを下回りにくくなる。

【0048】

ここで、更新可能電圧ＶＥよりも十分に高い電圧を作動許可電圧ＶＰとして設定すれば、電圧低下抑制処理を実行しなくてもソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥを下回ることはない。しかし、作動許可電圧ＶＰを高くすると、電源電圧ＶＢＴが作動許可電圧ＶＰ以上になりにくくなり、ソフトウェアＡＰを更新する機会が少なくなってしまう。

【0049】

この点、ＥＣＵ５０では、ソフトウェアＡＰの更新中に電圧低下抑制処理が実行される。そのため、ＥＣＵ５０では、作動許可電圧ＶＰをそれほど高くしなくてもよい。したがって、ＥＣＵ５０は、ソフトウェアＡＰを更新する機会の減少を抑制しつつ、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥ未満になることを抑制できる。

【0050】

（１－２）電動装置の起動時には、当該電動装置に突入電流が流れるため、電源電圧ＶＢＴが一時的に低下する。そのため、ソフトウェアＡＰの更新中に複数の電動装置が同時に起動すると、電源電圧ＶＢＴが大幅に低下することで電源電圧ＶＢＴが更新可能電圧ＶＥを下回るおそれがある。そこで、ＥＣＵ５０の実行装置５１は、ソフトウェアＡＰを更新している最中で複数の走行用電動装置２２の起動が要求された場合、複数の走行用電動装置２２を順番に１つずつ起動させる。具体的には、実行装置５１は、優先順位が高い走行用電動装置２２を優先的に起動させるようにしている。これにより、ＥＣＵ５０は、ソフトウェアＡＰの更新中に電源電圧ＶＢＴが更新可能電圧ＶＥ未満になることを抑制できる。

【0051】

また、車両１０では、ソフトウェアＡＰの更新中でも走行用電動装置２２を作動させることができるため、車両１０が走行中でも、ＥＣＵ５０はソフトウェアＡＰを更新できる。こうした点においても、ＥＣＵ５０はソフトウェアＡＰの更新機会を増やすことができる。

【0052】

（１－３）車両１０の走行中においては、走行用電動装置２２と比較して、快適装置２１を作動させることの必然性は低い。そこで、ＥＣＵ５０は、ソフトウェアＡＰを更新している最中で快適装置２１の起動が要求された場合、当該快適装置２１の起動を禁止することによって電源電圧ＶＢＴの低下を抑制する。これにより、ＥＣＵ５０は、快適装置２１が起動したためにソフトウェアＡＰの更新が失敗することを抑制できる。

【0053】

（第２実施形態）
ＥＣＵ及びソフトウェア更新方法の第２実施形態を図６に従って説明する。なお、第２実施形態では、電圧低下抑制処理の内容の一部が第１実施形態と異なっている。以下の説明においては、第１実施形態と相違する部分について主に説明するものとし、第１実施形態と同一の部材構成には同一符号を付して重複説明を省略するものとする。

【0054】

＜電圧低下抑制処理＞
図６には、本実施形態のＥＣＵ５０で実行される電圧低下抑制処理の一部が図示されている。

【0055】

実行装置５１は、第１記憶装置５２のソフトウェアＡＰを更新している最中であり（Ｓ３１：ＹＥＳ）、且つ快適装置２１の作動要求があると判定した場合（Ｓ３５：ＹＥＳ）、処理をステップＳ３６１に移行する。

【0056】

ステップＳ３６１において、実行装置５１は、作動要求のある快適装置２１の数が複数であるか否かを判定する。実行装置５１は、作動要求のある快適装置２１の数が複数である場合（Ｓ３６１：ＹＥＳ）、処理をステップＳ３６３に移行する。一方、実行装置５１は、作動要求のある快適装置２１の数が１つである場合（Ｓ３６１：ＮＯ）、処理をステップＳ３６７に移行する。

【0057】

ステップＳ３６３において、実行装置５１は、作動要求のある複数の快適装置２１の中で、優先順位が最も高い快適装置２１のみの起動を許可する。具体的には、実行装置５１は、優先順位が最も高い快適装置２１を制御する他のＥＣＵ５０に対して、快適装置２１の作動を許可する旨を通知する。一方、実行装置５１は、優先順位が最も高い快適装置２１以外の快適装置２１を制御する他のＥＣＵ５０に対しては快適装置２１の作動を禁止する旨を通知する。そして、実行装置５１は処理をステップＳ３６５に移行する。

【0058】

ステップＳ３６５において、実行装置５１は、快適装置２１の起動が完了したか否かを判定する。例えば、実行装置５１は、快適装置２１の起動に起因した電源電圧ＶＢＴの変化を監視することによって快適装置２１の起動が完了したか否かを判定する。また例えば、実行装置５１は、他のＥＣＵ５０から快適装置２１の起動が完了した旨の通知を受け取ることによって、快適装置２１の起動が完了したと判定するようにしてもよい。実行装置５１は、快適装置２１の起動が完了したと判定した場合（Ｓ３６５：ＹＥＳ）、処理をステップＳ３９に移行する。一方、実行装置５１は、快適装置２１の起動が完了していないと判定した場合（Ｓ３６５：ＮＯ）、起動が完了したと判定できるまでステップＳ３６５の判定を繰り返し実行する。

【0059】

ステップＳ３６７において、実行装置５１は、作動要求のある快適装置２１の起動を許可する。具体的には、実行装置５１は、当該快適装置２１を制御する他のＥＣＵ５０に対して、快適装置２１の作動を許可する旨を通知する。そして、実行装置５１は処理をステップＳ３６５に移行する。

【0060】

本実施形態では、実行装置５１は、ソフトウェアＡＰを更新している状態で複数の快適装置２１を作動させることが要求された場合に、当該複数の快適装置２１の中で最も優先順位が高い快適装置２１のみを起動させる。言い換えると、実行装置５１は、ソフトウェアＡＰを更新している状態で複数の快適装置２１を作動させることが要求された場合に、当該複数の快適装置２１の中で最も優先順位が低い快適装置の起動を禁止している。

【0061】

＜本実施形態の作用及び効果＞
本実施形態では、上記第１実施形態の効果（１－１）及び（１－２）と同等の作用及び効果に加え、以下に示す効果をさらに得ることができる。

【0062】

（２－１）本実施形態のＥＣＵ５０の実行装置５１は、ソフトウェアＡＰを更新している状態で複数の快適装置２１を起動させることが要求された場合に、複数の快適装置２１の中の１つの快適装置のみを起動させる。具体的には、実行装置５１は、複数の快適装置２１の中で、優先順位が最も高い快適装置２１のみを起動させる。ＥＣＵ５０は、このように快適装置２１を作動させる数に制限を設けることにより、ソフトウェアＡＰの更新中における電源電圧ＶＢＴの低下を抑制できる。

【0063】

（２－２）本実施形態では、ソフトウェアＡＰの更新中でも快適装置２１を作動させることができる。これにより、ＥＣＵ５０は、車両１０の乗員の快適性の低下を抑制しつつ、ソフトウェアＡＰを更新できる。

【0064】

（変更例）
上記複数の実施形態は、以下のように変更して実施することができる。上記複数の実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

【0065】

・第２実施形態では、実行装置５１は、快適装置２１及び走行用電動装置２２を起動させることが要求された場合に、電圧低下抑制処理において、快適装置２１を起動させた後に、走行用電動装置２２を起動させることになる。しかし、実行装置５１は、走行用電動装置２２を起動させた後に、快適装置２１を起動させるようにしてもよい。

【0066】

・第２実施形態において、実行装置５１は、複数の快適装置２１を作動させることが要求された場合に、電圧低下抑制処理において、当該複数の快適装置２１の中で最も優先順位が低い快適装置のみの起動を禁止するようにしてもよい。この場合、実行装置５１は、例えば３つ以上の快適装置２１を作動させることが要求された際には、最も優先順位が高い快適装置２１及び２番目に優先順位が高い快適装置２１の起動を許可する。なお、複数の快適装置２１を起動させる場合でも、実行装置５１は、複数の快適装置２１の起動を１つずつ順番に許可する。

【0067】

・第２実施形態において、実行装置５１は、複数の快適装置２１を作動させることが要求された場合に、電圧低下抑制処理において、当該複数の快適装置２１の一部のみを起動させるのであれば、最も優先順位が高い快適装置２１とは別の快適装置２１を起動させてもよい。

【0068】

・第１実施形態では、実行装置５１は、快適装置２１を作動させることが要求された場合、走行用電動装置２２を作動させることが要求されているか否かに拘わらず、快適装置２１の起動を禁止しているが、これに限らない。例えば、実行装置５１は、快適装置２１を作動させることが要求された場合、走行用電動装置２２を作動させることが要求されていないのであれば、快適装置２１の起動を許可してもよい。ただし、複数の快適装置２１を作動させることが要求された場合、実行装置５１は、複数の快適装置２１の起動を１つずつ許可する。

【0069】

・実行装置５１は、走行用電動装置２２と快適装置２１とを区別しなくてもよい。この場合、実行装置５１は、走行用電動装置２２と快適装置２１とを含む複数の電動装置を作動させることが要求された場合に、電圧低下抑制処理において、複数の電動装置の起動を１つずつ順番に許可する。図３に示したように、快適装置の優先順位は、走行用電動装置の優先順位よりも低い。そのため、作動が要求された全ての走行用電動装置２２の起動が完了した後に、快適装置２１が起動する。

【0070】

・ＥＣＵ５０は、複数のプロセッサコアを有するマルチコアプロセッサであってもよい。この場合、ソフトウェアＡＰを更新する際には、複数のプロセッサコアのうち、第１プロセッサコアを、更新処理を実行する第１実行装置として機能させ、第２プロセッサコアを、電圧低下処理を実行する第２実行装置として機能させるとよい。すなわち、第１実行装置が更新処理部Ｍ１１として機能し、第２実行装置が電圧低下抑制部Ｍ１３として機能する。

【0071】

・上記複数の実施形態では、更新対象ＥＣＵの実行装置５１が、更新処理部Ｍ１１及び電圧低下抑制部Ｍ１３としても機能するが、これに限らない。例えば、更新対象ＥＣＵの実行装置５１が更新処理部Ｍ１１としても機能する一方で、更新対象ＥＣＵ以外の装置の実行装置が、電圧低下抑制部Ｍ１３として機能するようにしてもよい。例えば、情報処理装置４０の実行装置４１が、電圧低下抑制部Ｍ１３として機能してもよい。この場合、情報処理装置４０の記憶装置４２には、図３に示したような優先順位テーブルＴＬを記憶させておくことになる。

【0072】

・上記複数の実施形態では、電源電圧検出部６０はＥＣＵ５０とは別に設けられているが、これに限らない。電源電圧検出部６０は、ＥＣＵ５０に設けられてもよい。例えば、電源電圧検出部６０は、電源１１からＥＣＵ５０の電力を供給するために接続される電源ラインの電圧を電源電圧ＶＢＴとして検出するようにＥＣＵ５０に構成され、電源電圧検出部６０で検出した電源電圧ＶＢＴが信号線を使って実行装置５１に伝達されてもよい。また、電源電圧検出部６０は、実行装置５１に電源電圧検出部６０を設けて、実行装置５１が直接電源ラインの電圧を電源電圧ＶＢＴとして検出できるようにしてもよい。

【0073】

・ＥＣＵ５０は、ＣＰＵとＲＯＭとを備えて、ソフトウェア処理を実行するものに限らない。すなわち、ＥＣＵ５０は、以下（ａ）、（ｂ）及び（ｃ）の何れかの構成であればよい。

【0074】

（ａ）ＥＣＵ５０は、コンピュータプログラムに従って各種処理を実行する一つ以上のプロセッサを備えている。プロセッサは、ＣＰＵ並びに、ＲＡＭ及びＲＯＭなどのメモリを含んでいる。メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリ、すなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含んでいる。

【0075】

（ｂ）ＥＣＵ５０は、各種処理を実行する一つ以上の専用のハードウェア回路を備えている。専用のハードウェア回路としては、例えば、特定用途向け集積回路、すなわちＡＳＩＣ又はＦＰＧＡを挙げることができる。なお、ＡＳＩＣは、「Application Specific Integrated Circuit」の略記である。ＦＰＧＡは、「Field Programmable Gate Array」の略記である。

【0076】

（ｃ）ＥＣＵ５０は、各種処理の一部をコンピュータプログラムに従って実行するプロセッサと、各種処理のうちの残りの処理を実行する専用のハードウェア回路とを備えている。

【0077】

＜他の技術的思想＞
上記複数の実施形態及び複数の変更例から把握できる技術的思想について記載する。
（付記１）電源と、前記電源からの給電によって作動する複数の電動装置と、記憶装置と、を備えた車両に搭載され、前記記憶装置に記憶されているソフトウェアを更新する制御装置であって、
前記電源の電圧である電源電圧が、前記制御装置の更新可能電圧よりも高い作動許可電圧以上である場合に、前記記憶部のソフトウェアの更新を開始する更新処理部と、
前記記憶部のソフトウェアが更新されている状態で前記複数の電動装置のうちの少なくとも１つの前記電動装置を作動させることが要求された場合に、前記電源電圧が低下することを抑制する電圧低下抑制処理を実行する電圧低下抑制部と、を備える、制御装置。

【0078】

（付記２）制御装置は、少なくとも１つのＥＣＵを備えた構成であることが好ましい。
なお、本明細書において使用される「少なくとも１つ」という表現は、所望の選択肢の「１つ以上」を意味する。一例として、本明細書において使用される「少なくとも１つ」という表現は、選択肢の数が２つであれば「１つの選択肢のみ」又は「２つの選択肢の双方」を意味する。他の例として、本明細書において使用される「少なくとも１つ」という表現は、選択肢の数が３つ以上であれば「１つの選択肢のみ」又は「２つ以上の任意の選択肢の組み合わせ」を意味する。

【符号の説明】

【0079】

１０…車両
１１…電源
２１，２１Ａ～２１Ｅ…快適装置（電動装置の一例）
２２，２２Ａ～２２Ｅ…走行用電動装置（電動装置の一例）
５０…ＥＣＵ（電子制御装置）
５１…実行装置
５２…第１記憶装置
５３…第２記憶装置
Ｍ１１…更新処理部
Ｍ１３…電圧低下抑制部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】