知財求人 - 知財ポータルサイト「IP Force」
特開2024-171595ソフトウェア更新装置、ソフトウェア更新システム、ソフトウェアの復帰方法及びソフトウェアの復帰プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024171595
(43)【公開日】2024-12-12
(54)【発明の名称】ソフトウェア更新装置、ソフトウェア更新システム、ソフトウェアの復帰方法及びソフトウェアの復帰プログラム
(51)【国際特許分類】
G06F 8/65 20180101AFI20241205BHJP
【ＦＩ】
G06F8/65
【審査請求】未請求
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2023088683
(22)【出願日】2023-05-30
(71)【出願人】
【識別番号】000004260
【氏名又は名称】株式会社デンソー
(74)【代理人】
【識別番号】110000567
【氏名又は名称】弁理士法人サトー
(72)【発明者】
【氏名】鶴田 仁咲
【テーマコード（参考）】
5B376
【Ｆターム（参考）】
5B376CA52
5B376GA08
(57)【要約】
【課題】非稼働面の更新を完了して稼働面と非稼働面とを切り替えた後でも、正常でないソフトウェアの書き込みに対して適切に対処する。
【解決手段】ソフトウェア更新装置６は、非稼働面更新指示を更新対象の電子制御装置へ送信させる更新指示送信部１４ａと、非稼働面の更新が完了された後に、面切り替え指示を更新対象の電子制御装置へ送信させる面切り替え指示送信部１４ｂと、面切り替え指示が更新対象の電子制御装置へ送信された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部１４ｃと、非稼働面の更新が正常に実施されなかったと更新正常判定部により特定された場合に、更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部１４ｄと、を備える。
【選択図】図１
【解決手段】ソフトウェア更新装置６は、非稼働面更新指示を更新対象の電子制御装置へ送信させる更新指示送信部１４ａと、非稼働面の更新が完了された後に、面切り替え指示を更新対象の電子制御装置へ送信させる面切り替え指示送信部１４ｂと、面切り替え指示が更新対象の電子制御装置へ送信された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部１４ｃと、非稼働面の更新が正常に実施されなかったと更新正常判定部により特定された場合に、更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部１４ｄと、を備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）であって、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新装置。
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新装置。
【請求項2】
前記更新正常判定部は、テスト通信フレームを前記更新対象の電子制御装置へ送信させ、前記更新対象の電子制御装置からの前記テスト通信フレームに対する応答状況に基づいて非稼働面の更新が正常に実施されたか否かを判定する請求項１に記載したソフトウェア更新装置。
【請求項3】
前記復帰部は、前記テスト通信フレームが伝送される車載ネットワークと同一の車載ネットワークを介して面切り替え指示を前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を最初の面切り替え指示が送信される前の状態へ復帰させる請求項２に記載したソフトウェア更新装置。
【請求項4】
前記復帰部は、前記テスト通信フレームが伝送される車載ネットワークとは異なる車載ネットワークを介して面切り替え指示を前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を最初の面切り替え指示が送信される前の状態へ復帰させる請求項２に記載したソフトウェア更新装置。
【請求項5】
前記復帰部は、前記更新対象の電子制御装置が一つの場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置のみを面切り替え指示が送信される前の状態へ復帰させる請求項１に記載したソフトウェア更新装置。
【請求項6】
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させ、当該更新対象の電子制御装置とバージョンを整合させる必要がある更新対象の電子制御装置も面切り替え指示が送信される前の状態へ復帰させる請求項１に記載したソフトウェア更新装置。
【請求項7】
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させ、当該更新対象の電子制御装置とバージョンを整合させる必要がない更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させない請求項１に記載したソフトウェア更新装置。
【請求項8】
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、エラー通知を外部に送信させるエラー通知送信部（１４ｅ）を備える請求項１から７の何れか一項に記載したソフトウェア更新装置。
【請求項9】
記憶領域を２つ以上の面で持つ電子制御装置（１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃ）と、
前記電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）と、を備えるソフトウェア更新システム（１，２１）であって、
前記ソフトウェア更新装置は、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新システム。
前記電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）と、を備えるソフトウェア更新システム（１，２１）であって、
前記ソフトウェア更新装置は、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新システム。
【請求項10】
記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）において、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信手順と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信手順と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定手順と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定手順により特定した場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰手順と、を行うソフトウェアの復帰方法。
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信手順と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信手順と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定手順と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定手順により特定した場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰手順と、を行うソフトウェアの復帰方法。
【請求項11】
記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）の制御部（１４）に、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信手順と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信手順と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定手順と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定手順により特定した場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰手順と、を実行させるソフトウェアの復帰プログラム。
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信手順と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信手順と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定手順と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定手順により特定した場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰手順と、を実行させるソフトウェアの復帰プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ソフトウェア更新装置、ソフトウェア更新システム、ソフトウェアの復帰方法及びソフトウェアの復帰プログラムに関する。
【背景技術】
【0002】
従来より、記憶領域を２つの面で持つ２面構成の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）を更新対象ＥＣＵとし、ソフトウェアの更新を制御するソフトウェア更新装置が供されている。ソフトウェア更新装置は、非稼働面更新指示を更新対象ＥＣＵへ送信する。更新対象ＥＣＵは、ソフトウェア更新装置から非稼働面更新指示を受信すると、ソフトウェアを非稼働面に書き込んで非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をソフトウェア更新装置へ送信する。ソフトウェア更新装置は、更新対象ＥＣＵから更新完了通知を受信すると、面切り替え指示を更新対象ＥＣＵへ送信する。更新対象ＥＣＵは、ソフトウェア更新装置から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をソフトウェア更新装置へ送信し、ＥＣＵリセットを行う。
【0003】
例えば特許文献１には、ソフトウェアの更新が完了しなかった場合の対処として、ソフトウェアの更新が完了しなかったと特定すると、リカバリ制御情報を取得し、その取得したリカバリ制御情報に基づいてソフトウェアの更新を完了させる構成が開示されている。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０２０－２０１９８６号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
特許文献１の手法では、ソフトウェアの更新が完了しなかった場合にリカバリ制御情報により適切に対処することができる。しかしながら、正常でないソフトウェアが書き込まれた場合であっても非稼働面の更新が完了する場合がある。その場合、更新対象ＥＣＵにおいて、非稼働面の更新を完了した後に稼働面と非稼働面とを切り替えてしまうと、復帰する手段がなく、正常でないソフトウェアの書き込みに対して適切に対処することができない。
【0006】
本発明は、上記した事情に鑑みてなされたものであり、その目的は、非稼働面の更新を完了して稼働面と非稼働面とを切り替えた後でも、正常でないソフトウェアの書き込みに対して適切に対処することができるソフトウェア更新装置、ソフトウェア更新システム、ソフトウェアの復帰方法及びソフトウェアの復帰プログラムを提供することにある。
【課題を解決するための手段】
【0007】
請求項１に記載した発明によれば、記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御する。更新指示送信部（１４ａ）は、非稼働面更新指示を前記更新対象の電子制御装置へ送信させる。面切り替え指示送信部（１４ｂ）は、非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる。更新正常判定部（１４ｃ）は、面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する。復帰部（１４ｄ）は、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる。
【0008】
面切り替え指示を更新対象の電子制御装置へ送信した後に、非稼働面の更新が正常に実施されたか否かを判定し、非稼働面の更新が正常に実施されなかったと特定すると、更新対象の電子制御装置を、面切り替え指示を送信する前の状態へ復帰させるようにした。ソフトウェアの更新を完了して稼働面と非稼働面とを切り替えた後でも、面切り替え指示を送信する前の状態へ復帰させることで、正常に更新されなかった面を稼働面とせず、正常でないソフトウェアの書き込みに対して適切に対処することができる。
【図面の簡単な説明】
【0009】
【図1】第１実施形態を示す機能ブロック図
【図2】ＣＧＷの処理を示すフローチャート
【図3】更新対象ＥＣＵ及び更新非対象ＥＣＵを示す図
【図4】シーケンス図
【図5】シーケンス図
【図6】シーケンス図
【図7】更新対象ＥＣＵ、更新非対象ＥＣＵ及び影響範囲を示す図
【図8】シーケンス図
【図9】シーケンス図
【図10】シーケンス図
【図11】シーケンス図
【図12】第２実施形態を示す機能ブロック図
【発明を実施するための形態】
【0010】
以下、幾つかの実施形態について図面を参照して説明する。後続する実施形態において、先行する実施形態で説明した内容に対応する部分には同一の参照符号を付し、重複する説明を省略することがある。
【0011】
（第１実施形態）
第１実施形態について図１から図１１を参照して説明する。ソフトウェア更新システム１は、車両に搭載されている車両側システム２と、ＯＴＡ（Over The Air）センターとして機能するサーバ３とが通信ネットワーク４を介してデータ通信可能に構成されている。車両側システム２は、サーバ３と通信ネットワーク４を介して無線接続するデータ通信機として機能するＤＣＭ（Data Communication Module）５と、ＯＴＡマスタとして機能するＣＧＷ（Central Gateway）６（ソフトウェア更新装置に相当する）と、当該ＣＧＷ６と車載ネットワーク７～９を介してデータ通信可能に構成されている多数のＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃとを備える。車載ネットワーク７～９は、例えばＣＡＮ（Controller Area Network）（登録商標）である。車載ネットワーク７～９は、例えばＥｔｈｅｒｎｅｔ（登録商標）、ＦＬＥＸＲＡＹ（登録商標）、ＣＸＰＩ（Clock Extension Peripheral Interface）（登録商標）等であっても良い。ＣＧＷ６に接続される車載ネットワーク７～９の本数は３本に限らず任意である。各車載ネットワーク７～９に接続されるＥＣＵの個数は３個に限らず任意である。
第１実施形態について図１から図１１を参照して説明する。ソフトウェア更新システム１は、車両に搭載されている車両側システム２と、ＯＴＡ（Over The Air）センターとして機能するサーバ３とが通信ネットワーク４を介してデータ通信可能に構成されている。車両側システム２は、サーバ３と通信ネットワーク４を介して無線接続するデータ通信機として機能するＤＣＭ（Data Communication Module）５と、ＯＴＡマスタとして機能するＣＧＷ（Central Gateway）６（ソフトウェア更新装置に相当する）と、当該ＣＧＷ６と車載ネットワーク７～９を介してデータ通信可能に構成されている多数のＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃとを備える。車載ネットワーク７～９は、例えばＣＡＮ（Controller Area Network）（登録商標）である。車載ネットワーク７～９は、例えばＥｔｈｅｒｎｅｔ（登録商標）、ＦＬＥＸＲＡＹ（登録商標）、ＣＸＰＩ（Clock Extension Peripheral Interface）（登録商標）等であっても良い。ＣＧＷ６に接続される車載ネットワーク７～９の本数は３本に限らず任意である。各車載ネットワーク７～９に接続されるＥＣＵの個数は３個に限らず任意である。
【0012】
ＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃは、それそれ制御対象毎に同一の車載ネットワーク７～９に接続されている。例えばＥＣＵ１０ａ～１０ｃは駆動系の制御を行う装置であり、ＥＣＵ１１ａ～１１ｃはＡＤＡＳ（Advanced Driving Assistant System）系の制御を行う装置であり、ＥＣＵ１２ａ～１２ｃはマルチメディア系の制御を行う装置である。これらＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃは、それぞれソフトウェアの改修や機能向上等によりソフトウェアの更新対象である更新対象ＥＣＵとなり得る。尚、ソフトウェアとは、コンピュータに動作を行わせるための処理手順を命令する所謂プログラムに加え、プログラムを実行する上で参照されるファイル、データ、ライブラリ等を含む。又、更新対象ＥＣＵは、ターゲットＥＣＵと称する場合がある。
【0013】
ＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃの種別として、ソフトウェアの記憶領域の構成により、ソフトウェアの記憶領域を２面で持つ２面メモリを搭載する２面構成と、ソフトウェアの記憶領域を１面でしか持たない１面メモリを搭載する１面構成とがある。２面メモリはデュアルバンクメモリと称される場合があり、１面メモリはシングルバンクメモリと称される場合がある。尚、ＥＣＵに搭載されるメモリは１面メモリであるが、外付けメモリをソフトウェアの記憶領域として使用する構成は、２面構成と同等として扱うことができる。この場合、外付けメモリは、ＥＣＵに内蔵されていても良いし、外部に配置されていても良い。
【0014】
２面構成のＥＣＵは、記憶領域である２つの面をそれぞれ稼働面と非稼働面として切り替え可能であり、新旧２つのバージョンのソフトウェアを同時に格納することができる。２面構成のＥＣＵは、走行制御に関与するソフトウェア及び走行制御に関与しないソフトウェアの何れについても、走行可能状態であるか駐車状態であるかに関わらず新バージョンのソフトウェアを記憶領域の非稼働面に書き込むことで、ソフトウェアのインストールを行うことができる。一方、１面構成のＥＣＵは、稼働面と非稼働面とを切り替える概念がなく、新旧２つのバージョンのソフトウェアを同時に格納することができない。１面構成のＥＣＵは、走行制御に関与するソフトウェアについては、駐車状態でのみ新バージョンのソフトウェアを記憶領域に書き込むことで、ソフトウェアのインストールを行うことができる。例えば車両がエンジン自動車であれば、走行可能状態とはイグニッションがオンの状態であり、駐車状態とはイグニッションがオフの状態である。例えば車両が電気自動車であれば、走行可能状態とはＥＶ（Electric Vehicle）システムがオンの状態であり、駐車状態とはＥＶシステムがオフの状態である。本実施形態では、ＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃが２面構成であることを前提とする。
【0015】
ＤＣＭ５は、サーバ３と通信ネットワーク４を介して無線接続することで当該サーバ３から配信された更新パッケージを受信可能となる。サーバ３から配信される更新パッケージには、諸元データと、ソフトウェアとが含まれる。諸元データには、更新対象ＥＣＵを特定可能なデータとして例えば更新対象ＥＣＵの識別情報（ＩＤ）が含まれる。更に、諸元データには、更新データ関連情報、ハードウェア属性情報及びソフトウェア属性情報のうち少なくとも１つが含まれる。更新データ関連情報は、例えば更新プログラムバージョン、更新プログラムサイズロールバックプログラムバージョン、ロールバックプログラムサイズ、書き込みデータ種別等である。ハードウェア属性情報は、例えば電源制御情報等である。ソフトウェア属性情報は、例えばセキュリティアクセス鍵情報、書き換え方法、転送サイズ等である。即ち、諸元データには、更新対象ＥＣＵが一つであるか複数であるかを特定可能な情報が含まれ、更新対象ＥＣＵが複数の場合には、バージョンを整合させる必要があるか否かの情報も含まれる。ＥＣＵのバージョンを整合させる必要があるか否かの情報は所定の組織団体により予め決定されている。
【0016】
ＤＣＭ５は、サーバ３から配信された更新パッケージを取得すると、その取得した更新パッケージをＣＧＷ６へ転送する。ＣＧＷ６は、ＤＣＭ５から更新パッケージが転送されると、その転送された更新パッケージから諸元データ及びソフトウェアを抽出し、その抽出した諸元データから更新対象ＥＣＵを特定する。
【0017】
ＣＧＷ６は、更新対象ＥＣＵを特定すると、その抽出したソフトウェアを更新対象ＥＣＵへ配信すると共に非稼働面更新指示を更新対象ＥＣＵへ送信する。更新対象ＥＣＵは、ＣＧＷ６から非稼働面更新指示を受信すると、ＣＧＷ６から受信したソフトウェアを非稼働面に書き込んで非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。ＣＧＷ６は、更新対象ＥＣＵから更新完了通知を受信すると、面切り替え指示を更新対象ＥＣＵへ送信する。更新対象ＥＣＵは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。サーバ３から通信ネットワーク４を介して取得されたソフトウェアが更新対象ＥＣＵに書き込まれる態様は所謂無線リプロと称される。
【0018】
又、車載ネットワーク７にはリプログツール１３が着脱可能に接続される。リプログツール１３は、車載ネットワーク７と接続されている状態でソフトウェアを更新対象ＥＣＵへ配信すると共に更新指示を更新対象ＥＣＵへ送信する。リプログツール１３から通信ネットワーク４を介さずに取得されたソフトウェアが更新対象ＥＣＵに書き込まれる態様は所謂有線リプロと称される。本実施形態では、リプログツール１３が車載ネットワーク７と接続される構成を例示しているが、リプログツール１３が車載ネットワーク７以外の車載ネットワークと接続される構成でも良いし、リプログツール１３がＣＧＷ６を介して車載ネットワーク７と接続される構成でも良い。
【0019】
ＣＧＷ６は、制御部１４と、データ通信部１５と、ＣＡＮ通信部１６とを備える。制御部１４は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）及びＩ／Ｏ（Input／Output）等を有するマイコンを主体として構成されている。制御部１４が提供する機能は、実体的なメモリ装置に記録されているソフトウェア及びそれを実行するコンピュータ、ソフトウェアのみ、ハードウェアのみ、或いはそれらの組み合わせにより提供することができる。例えば制御部１４がハードウェアである電子回路により提供される場合、それは多数の論理回路を含むデジタル回路やアナログ回路により提供することができる。制御部１４が非遷移的実体的記録媒体に格納されているプログラムを実行することで当該プログラムに対応する処理が実行され、プログラムに対応する方法が実行される。データ通信部１５は、通信ネットワーク４との間でのデータ信号の送受信を制御する。ＣＡＮ通信部１６は、車載ネットワーク７～９との間でのＣＡＮ信号の入出力を制御する。
【0020】
制御部１４は、更新指示送信部１４ａと、面切り替え指示送信部１４ｂと、更新正常判定部１４ｃと、復帰部１４ｄと、エラー通知部１４ｅとを備える。これらの各部１４ａ～１４ｅは、ソフトウェアの復帰方法を実現すると共に、ソフトウェアの復帰プログラムを実行する。
【0021】
更新指示送信部１４ａは、非稼働面更新指示を更新対象ＥＣＵへ送信させる。面切り替え指示送信部１４ｂは、非稼働面の更新が完了された後に、面切り替え指示を更新対象ＥＣＵへ送信させる。
【0022】
更新正常判定部１４ｃは、面切り替えが完了された後に、テスト通信フレームを更新対象ＥＣＵへ送信させ、更新対象ＥＣＵからのテスト通信フレームに対する応答状況に基づいて非稼働面の更新が正常に実施されたか否かを判定する。更新正常判定部１４ｃは、テスト通信フレームを更新対象ＥＣＵへ送信させた後に、テスト通信フレームの送信後から所定時間内に更新対象ＥＣＵから肯定応答を受信したと判定すると、非稼働面の更新が正常に実施されたと特定する。更新正常判定部１４ｃは、テスト通信フレームを更新対象ＥＣＵへ送信させた後に、テスト通信フレームの送信後から所定時間内に更新対象ＥＣＵから否定応答を受信したと判定すると、又は更新対象ＥＣＵから肯定応答及び否定応答の何れも受信せずに所定時間が経過したと判定すると、非稼働面の更新が正常に実施されなかったと特定する。
【0023】
復帰部１４ｄは、非稼働面の更新が正常に実施されなかったと更新正常判定部１４ｃにより特定されると、面切り替え指示を更新対象ＥＣＵへ再度送信させ、最初の面切り替え指示を更新対象ＥＣＵへ送信させる前の状態へ復帰させる。
【0024】
エラー通知送信部１４ｅは、非稼働面の更新が正常に実施されなかったと更新正常判定部１４ｃにより特定されると、その更新対象ＥＣＵを特定可能なエラー情報を含むエラー通知を例えばセンター情報表示装置（以下、ＣＩＤ（Center Information Display）と称する）やメータ装置（何れも図示せず）等へ送信する。ＣＩＤやメータ装置は、ＣＧＷ６からエラー通知を受信すると、その受信したエラー通知により特定されるエラー情報を表示する。又、エラー通知送信部１４ｅは、エラー情報を含むエラー通知を例えばＤＣＭ５から通信ネットワーク４を介してサーバ３へ送信させる。サーバ３は、ＤＣＭ５からエラー通知を受信すると、その受信したエラー通知を予め車両システム２と対応付けて登録されているスマートフォン等の外部端末（図示せず）へ送信する。外部端末は、サーバ３からエラー通知を受信すると、その受信したエラー通知により特定されるエラー情報を表示する。又、サーバ３は、ＤＣＭ５から通信ネットワーク４を介してエラー通知を受信すると、その受信したエラー通知により特定されるエラー情報をエラー履歴として保存しても良い。
【0025】
次に、上記した構成の作用について図２から図１１を参照して説明する。
ＣＧＷ６において、制御部１４は、非稼働面更新指示の送信条件が成立すると、非稼働面更新指示をＣＡＮ通信部１６から更新対象ＥＣＵへ送信させ（Ｓ１、更新指示送信手順に相当する）、更新対象ＥＣＵからの更新完了通知の受信を待機する。更新対象ＥＣＵは、ＣＧＷ６から非稼働面更新指示を受信すると、ＣＧＷ６から受信したソフトウェアを非稼働面に書き込んで非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。
ＣＧＷ６において、制御部１４は、非稼働面更新指示の送信条件が成立すると、非稼働面更新指示をＣＡＮ通信部１６から更新対象ＥＣＵへ送信させ（Ｓ１、更新指示送信手順に相当する）、更新対象ＥＣＵからの更新完了通知の受信を待機する。更新対象ＥＣＵは、ＣＧＷ６から非稼働面更新指示を受信すると、ＣＧＷ６から受信したソフトウェアを非稼働面に書き込んで非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。
【0026】
制御部１４は、非稼働面更新指示の送信後から所定時間内に更新対象ＥＣＵからの更新完了通知をＣＡＮ通信部１６により受信したと判定し、面切り替え指示の送信条件が成立すると、面切り替え指示をＣＡＮ通信部１６から更新対象ＥＣＵへ送信させ（Ｓ２、面切り替え送信手順に相当する）、更新対象ＥＣＵからの面切り替え完了通知の受信を待機する。更新対象ＥＣＵは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。
【0027】
制御部１４は、面切り替え指示の送信後から所定時間内に更新対象ＥＣＵからの面切り替え完了通知をＣＡＮ通信部１６により受信したと判定すると、テスト通信フレームをＣＡＮ通信部１６から更新対象ＥＣＵへ送信させ（Ｓ３）、更新対象ＥＣＵからの応答を待機する。制御部１４は、更新対象ＥＣＵから肯定応答を受信したか否かを判定し（Ｓ４、更新正常判定手順に相当する）、更新対象ＥＣＵから否定応答を受信したか否かを判定し（Ｓ５、更新正常判定手順）、テスト通信フレームの送信後から所定時間が経過したか否かを判定する（Ｓ６、更新正常判定手順）。
【0028】
制御部１４は、テスト通信フレームの送信後から所定時間内に更新対象ＥＣＵから肯定応答を受信したと判定すると（Ｓ４：ＹＥＳ）、非稼働面の更新が正常に実施されたと特定し、一連の処理を終了する。
【0029】
一方、制御部１４は、テスト通信フレームの送信後から所定時間内に更新対象ＥＣＵから否定応答を受信したと判定すると（Ｓ５：ＹＥＳ）、又は更新対象ＥＣＵから肯定応答及び否定応答の何れも受信せずに所定時間が経過したと判定すると（Ｓ６：ＹＥＳ）、非稼働面の更新が正常に実施されなかったと特定する。制御部１４は、更新対象ＥＣＵが複数であるか否かを判定する（Ｓ７）。
【0030】
制御部１４は、更新対象ＥＣＵが複数でなく一つであると判定すると（Ｓ７：ＮＯ）、面切り替え指示をＣＡＮ通信部１６から更新対象ＥＣＵへ再度送信させ（Ｓ８、復帰手順に相当する）、更新対象ＥＣＵからの面切り替え完了通知の受信を待機する。更新対象ＥＣＵは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。
【0031】
制御部１４は、面切り替え指示の送信後から所定時間内に更新対象ＥＣＵからの面切り替え完了通知をＣＡＮ通信部１６により受信したと判定すると、その更新対象ＥＣＵを特定可能なエラー情報を含むエラー通知を例えばＣＩＤやメータ装置等へ送信させ、非稼働面の更新が正常に実施されなかった旨をユーザに通知させ（Ｓ９）、一連の処理を終了する。
【0032】
制御部１４は、更新対象ＥＣＵが複数であると判定すると（Ｓ７：ＹＥＳ）、その複数の更新対象ＥＣＵについてバージョンを整合させる必要があるＥＣＵの有無を確認する（Ｓ１０）。制御部１４は、バージョンを整合させる必要があるＥＣＵの有無を確認すると、面切り替え指示をＣＡＮ通信部１６から該当する更新対象ＥＣＵへ再度送信させ（Ｓ１１、復帰手順に相当する）、該当する更新対象ＥＣＵからの面切り替え完了通知の受信を待機する。該当する更新対象ＥＣＵは、非稼働面の更新が正常に実施されなかった更新対象ＥＣＵと、当該更新対象ＥＣＵとバージョンを整合させる必要がある更新対象ＥＣＵとを含む。該当する更新対象ＥＣＵは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信する。尚、制御部１４は、面切り替え指示をＣＡＮ通信部１６から該当しない更新対象ＥＣＵ、即ち、バージョンを整合させる必要がない更新対象ＥＣＵへ再度送信させない。
【0033】
制御部１４は、面切り替え指示の送信後から所定時間内に該当する更新対象ＥＣＵからの面切り替え完了通知をＣＡＮ通信部１６により受信したと判定すると、その該当する更新対象ＥＣＵを特定可能なエラー情報を含むエラー通知を例えばＣＩＤやメータ装置等へ送信させ、非稼働面の更新が正常に実施されなかった旨をユーザに通知させ（Ｓ９）、一連の処理を終了する。
【0034】
【0035】
（１）更新対象ＥＣＵが一つの場合（図３から図６参照）
図３に示すように、例えば更新対象ＥＣＵがＥＣＵ１０ｃである場合について説明する。図４に示すように、更新対象ＥＣＵ１０ｃは、ＣＧＷ６から非稼働面更新指示を受信すると、非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。更新対象ＥＣＵ１０ｃは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。更新対象ＥＣＵ１０ｃは、ＣＧＷ６からテスト通信フレームを受信すると、動作状態を判定する。
図３に示すように、例えば更新対象ＥＣＵがＥＣＵ１０ｃである場合について説明する。図４に示すように、更新対象ＥＣＵ１０ｃは、ＣＧＷ６から非稼働面更新指示を受信すると、非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。更新対象ＥＣＵ１０ｃは、ＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。更新対象ＥＣＵ１０ｃは、ＣＧＷ６からテスト通信フレームを受信すると、動作状態を判定する。
【0036】
更新対象ＥＣＵ１０ｃは、動作状態が正常であると特定すると、非稼働面の更新が正常に実施されたと特定し、肯定応答をＣＧＷ６へ送信する。一方、更新対象ＥＣＵ１０ｃは、動作状態が正常でないと特定すると、非稼働面の更新が正常に実施されなかったと特定し、図５に示すように、否定応答をＣＧＷ６へ送信する、又は、図６に示すように、肯定応答及び否定応答の何れもＣＧＷ６へ送信しない。
【0037】
ＣＧＷ６は、更新対象ＥＣＵ１０ｃから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、面切り替え指示を更新対象ＥＣＵ１０ｃへ再度送信する。更新対象ＥＣＵ１０ｃは、ＣＧＷ６から面切り替え指示を再度受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。
【0038】
（２）更新対象ＥＣＵが複数の場合（図７から図１１参照）
図７に示すように、例えばＥＣＵ１０ａ～ＥＣＵ１０ｃ、ＥＣＵ１１ａ～ＥＣＵ１１ｃ、ＥＣＵ１２ａ～ＥＣＵ１２ｃがそれぞれ同一の影響範囲であり、更新対象ＥＣＵがＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂである場合について説明する。同一の影響範囲とは、例えば連携して制御を行うこと等によりバージョンを整合させる必要がある関係にあることを意味する。
図７に示すように、例えばＥＣＵ１０ａ～ＥＣＵ１０ｃ、ＥＣＵ１１ａ～ＥＣＵ１１ｃ、ＥＣＵ１２ａ～ＥＣＵ１２ｃがそれぞれ同一の影響範囲であり、更新対象ＥＣＵがＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂである場合について説明する。同一の影響範囲とは、例えば連携して制御を行うこと等によりバージョンを整合させる必要がある関係にあることを意味する。
【0039】
図８に示すように、ＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂは、それぞれＣＧＷ６から非稼働面更新指示を受信すると、非稼働面を更新し、非稼働面の更新を完了すると、更新完了通知をＣＧＷ６へ送信する。ＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂは、それぞれＣＧＷ６から面切り替え指示を受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。ＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂは、それぞれＣＧＷ６からテスト通信フレームを受信すると、動作状態を判定する。
【0040】
ＥＣＵ１０ｂ、ＥＣＵ１０ｃ及びＥＣＵ１１ｂは、図９に示すように、それぞれ動作状態が正常であると特定すると、非稼働面の更新が正常に実施されたと特定し、肯定応答をＣＧＷ６へ送信する。一方、例えば更新対象ＥＣＵ１０ｃは、動作状態が正常でないと特定すると、非稼働面の更新が正常に実施されなかったと特定し、図１０に示すように、否定応答をＣＧＷ６へ送信する、又は、図１１に示すように、肯定応答及び否定応答の何れもＣＧＷ６へ送信しない。
【0041】
ＣＧＷ６は、更新対象ＥＣＵ１０ｃから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、バージョンを整合させる必要があるＥＣＵの有無を確認し、この場合は、バージョンを整合させる必要があるＥＣＵとして更新対象ＥＣＵ１０ｂを特定する。ＣＧＷ６は、面切り替え指示を更新対象ＥＣＵ１０ｂ及び更新対象ＥＣＵ１０ｃへ再度送信する。ＣＧＷ６は、面切り替え指示を更新対象ＥＣＵ１１ｂへ再度送信しない。更新対象ＥＣＵ１０ｂ及び更新対象ＥＣＵ１０ｃは、それぞれＣＧＷ６から面切り替え指示を再度受信すると、稼働面と非稼働面とを切り替え、面切り替えを完了すると、面切り替え完了通知をＣＧＷ６へ送信し、ＥＣＵリセットを行う。
【0042】
以上に説明したように第１実施形態によれば、以下に示す作用効果を得ることができる。ＣＧＷ６において、面切り替え指示を更新対象ＥＣＵへ送信した後に、非稼働面の更新が正常に実施されたか否かを判定し、非稼働面の更新が正常に実施されなかったと特定すると、更新対象ＥＣＵを、面切り替え指示を送信する前の状態へ復帰させるようにした。ソフトウェアの更新を完了して稼働面と非稼働面とを切り替えた後でも、面切り替え指示を送信する前の状態へ復帰させることで、正常に更新されなかった面を稼働面とせず、正常でないソフトウェアの書き込みに対して適切に対処することができる。
【0043】
テスト通信フレームを更新対象ＥＣＵへ送信し、更新対象ＥＣＵからのテスト通信フレームに対する応答状況に基づいて非稼働面の更新が正常に実施されたか否かを判定するようにした。テスト通信フレームに対する応答状況を判定するという簡単な構成で、非稼働面の更新が正常に実施されたか否かを判定することができる。
【0044】
更新対象ＥＣＵが一つの場合に、非稼働面の更新が正常に実施されなかったと特定すると、その特定した更新対象ＥＣＵのみを、面切り替え指示を送信する前の状態へ復帰させるようにした。非稼働面の更新が正常に実施されなかった更新対象ＥＣＵのみを、面切り替え指示を送信する前の状態へ適切に復帰させることができる。
【0045】
更新対象ＥＣＵが複数の場合に、非稼働面の更新が正常に実施されなかったと特定すると、その特定した更新対象ＥＣＵに加え、その特定した更新対象ＥＣＵとバージョンを整合させる必要がある更新対象ＥＣＵを、面切り替え指示を送信する前の状態へ復帰させるようにした。非稼働面の更新が正常に実施されなかった更新対象ＥＣＵに加え、その非稼働面の更新が正常に実施されなかった更新対象ＥＣＵとバージョンを整合させる必要がある更新対象ＥＣＵを、面切り替え指示を送信する前の状態へ適切に復帰させることができる。例えば連携して制御を行う関係にある複数の更新対象ＥＣＵにおいてバージョンの不整合による不具合の発生を未然に回避することができる。
【0046】
非稼働面の更新が正常に実施されなかった特定すると、エラー通知を例えばＤＣＭ５から通信ネットワーク４を介してサーバ３へ送信させるようにした。サーバ３において、エラー通知により特定されるエラー情報をエラー履歴として保存することができ、例えば該当するソフトウェアの配信を停止することでエラーの拡大を未然に回避する等して適切に対処することができる。
【0047】
（第２実施形態）
第２実施形態について図１２を参照して説明する。第１実施形態では、ＣＧＷ６は、更新対象ＥＣＵから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、非稼働面更新指示や最初の面切り替え指示を送信した車載ネットワークを同じ車載ネットワークを介して面切り替え指示を更新対象ＥＣＵへ再度送信する構成である。第２実施形態は、ＣＧＷ６とＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃとの間の車載ネットワークが冗長に構成されている。第２実施形態では、ＣＧＷ６は、更新対象ＥＣＵから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、非稼働面更新指示や最初の面切り替え指示を送信した車載ネットワークとは異なる車載ネットワークを介して面切り替え指示を更新対象ＥＣＵへ再度送信する構成である。
第２実施形態について図１２を参照して説明する。第１実施形態では、ＣＧＷ６は、更新対象ＥＣＵから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、非稼働面更新指示や最初の面切り替え指示を送信した車載ネットワークを同じ車載ネットワークを介して面切り替え指示を更新対象ＥＣＵへ再度送信する構成である。第２実施形態は、ＣＧＷ６とＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃとの間の車載ネットワークが冗長に構成されている。第２実施形態では、ＣＧＷ６は、更新対象ＥＣＵから否定応答を受信すると、又は肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、非稼働面更新指示や最初の面切り替え指示を送信した車載ネットワークとは異なる車載ネットワークを介して面切り替え指示を更新対象ＥＣＵへ再度送信する構成である。
【0048】
図１２において、ソフトウェア更新システム２１は、車両側システム２２と、サーバ３とが通信ネットワーク４を介してデータ通信可能に構成されている。車両側システム２２において、ＣＧＷ６は、車載ネットワーク７，２３を介してＥＣＵ１０ａ～１０ｃとデータ通信可能に接続されており、車載ネットワーク８，２４を介してＥＣＵ１１ａ～１１ｃとデータ通信可能に接続されており、車載ネットワーク９，２５を介してＥＣＵ１２ａ～１２とデータ通信可能に接続されている。
【0049】
この場合、ＣＧＷ６は、例えばテスト通信フレームを車載ネットワーク７を介して更新対象ＥＣＵ１０ｂに送信した後に、更新対象ＥＣＵ１０ｂから肯定応答及び否定応答の何れも受信せずに所定時間が経過すると、非稼働面更新指示や最初の面切り替え指示を送信した車載ネットワーク７とは異なる車載ネットワーク２３を介して面切り替え指示を更新対象ＥＣＵへ再度送信する。即ち、更新対象ＥＣＵ１０ｂにおいて非稼働面の更新が正常に実施されなかった場合に、更新対象ＥＣＵ１０ｂが車載ネットワーク７を介してＣＧＷ６とデータ通信不能になる場合があり得る。
【0050】
第２実施形態では、ＣＧＷ６は、車載ネットワーク７，２３が冗長に構成されているので、車載ネットワーク７を介して更新対象ＥＣＵ１０ｂとデータ通信不能になったとしても、面切り替え指示を車載ネットワーク２３を介して更新対象ＥＣＵ１０ｂへ再度送信することができる。
【0051】
以上に説明したように第２実施形態によれば、ＣＧＷ６において、面切り替え指示を更新対象ＥＣＵへ送信した後に、非稼働面の更新が正常に実施されたか否かを判定し、非稼働面の更新が正常に実施されなかったと特定すると、更新対象ＥＣＵを、面切り替え指示を送信する前の状態へ復帰させるようにした。第１実施形態と同様の作用効果を得ることができ、ソフトウェアの更新を完了して稼働面と非稼働面とを切り替えた後でも、正常でないソフトウェアの書き込みに対して適切に対処することができる。
【0052】
ＣＧＷ６とＥＣＵ１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃとの車載ネットワーク７～９，２３～２５を冗長に構成した。例えば更新対象ＥＣＵ１０ｂが車載ネットワーク７を介してＣＧＷ６とデータ通信不能になったとしても、ＣＧＷ６が面切り替え指示を車載ネットワーク２３を介して更新対象ＥＣＵ１０ｂへ再度送信することができ、正常でないソフトウェアの書き込みに対して適切に対処することができる。
【0053】
（その他の実施形態）
本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。
本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。
【0054】
本開示に記載の制御部及びその手法は、コンピュータソフトウェアに具体化された一つ乃至は複数の機能を実行するようにソフトウェアされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにソフトウェアされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータソフトウェアは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。
【0055】
本開示は、特許請求の範囲の記載に加え、以下の発明も含む。
［１］
記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）であって、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新装置。
［１］
記憶領域を２つ以上の面で持つ電子制御装置をソフトウェアの更新対象とし、ソフトウェアの更新を制御するソフトウェア更新装置（６）であって、
非稼働面更新指示を前記更新対象の電子制御装置へ送信させる更新指示送信部（１４ａ）と、
非稼働面の更新が完了された後に、面切り替え指示を前記更新対象の電子制御装置へ送信させる面切り替え指示送信部（１４ｂ）と、
面切り替えが完了された後に、非稼働面の更新が正常に実施されたか否かを判定する更新正常判定部（１４ｃ）と、
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させる復帰部（１４ｄ）と、を備えるソフトウェア更新装置。
【0056】
［２］
前記更新正常判定部は、テスト通信フレームを前記更新対象の電子制御装置へ送信させ、前記更新対象の電子制御装置からの前記テスト通信フレームに対する応答状況に基づいて非稼働面の更新が正常に実施されたか否かを判定する［１］に記載したソフトウェア更新装置。
前記更新正常判定部は、テスト通信フレームを前記更新対象の電子制御装置へ送信させ、前記更新対象の電子制御装置からの前記テスト通信フレームに対する応答状況に基づいて非稼働面の更新が正常に実施されたか否かを判定する［１］に記載したソフトウェア更新装置。
【0057】
［３］
前記復帰部は、面切り替え指示を前記テスト通信フレームが伝送される車載ネットワークと同一の車載ネットワークを介して前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を最初の面切り替え指示が送信される前の状態へ復帰させる［２］に記載したソフトウェア更新装置。
前記復帰部は、面切り替え指示を前記テスト通信フレームが伝送される車載ネットワークと同一の車載ネットワークを介して前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を最初の面切り替え指示が送信される前の状態へ復帰させる［２］に記載したソフトウェア更新装置。
【0058】
［４］
前記復帰部は、面切り替え指示を前記テスト通信フレームが伝送される車載ネットワークとは異なる車載ネットワークを介して前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ再度復帰させる［２］に記載したソフトウェア更新装置。
前記復帰部は、面切り替え指示を前記テスト通信フレームが伝送される車載ネットワークとは異なる車載ネットワークを介して前記更新対象の電子制御装置へ再度送信させることで、前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ再度復帰させる［２］に記載したソフトウェア更新装置。
【0059】
［５］
前記復帰部は、前記更新対象の電子制御装置が一つの場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置のみを面切り替え指示が送信される前の状態へ復帰させる［１］から［４］の何れか一項に記載したソフトウェア更新装置。
前記復帰部は、前記更新対象の電子制御装置が一つの場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置のみを面切り替え指示が送信される前の状態へ復帰させる［１］から［４］の何れか一項に記載したソフトウェア更新装置。
【0060】
［６］
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させると共に、当該更新対象の電子制御装置とバージョンを整合させる必要がある更新対象の電子制御装置も面切り替え指示が送信される前の状態へ復帰させる［１］から［４］の何れか一項に記載したソフトウェア更新装置。
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させると共に、当該更新対象の電子制御装置とバージョンを整合させる必要がある更新対象の電子制御装置も面切り替え指示が送信される前の状態へ復帰させる［１］から［４］の何れか一項に記載したソフトウェア更新装置。
【0061】
［７］
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置をソフトウェアの更新を指示する前の状態へ復帰させるが、当該更新対象の電子制御装置とバージョンを整合させる必要がない更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させない［１］から［４］の何れか一項に記載したソフトウェア更新装置。
前記復帰部は、前記更新対象の電子制御装置が複数の場合に、非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された前記更新対象の電子制御装置をソフトウェアの更新を指示する前の状態へ復帰させるが、当該更新対象の電子制御装置とバージョンを整合させる必要がない更新対象の電子制御装置を面切り替え指示が送信される前の状態へ復帰させない［１］から［４］の何れか一項に記載したソフトウェア更新装置。
【0062】
［８］
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、エラー通知を外部に送信させるエラー通知送信部（１４ｅ）を備える［１］から［７］の何れか一項に記載したソフトウェア更新装置。
非稼働面の更新が正常に実施されなかったと前記更新正常判定部により特定された場合に、エラー通知を外部に送信させるエラー通知送信部（１４ｅ）を備える［１］から［７］の何れか一項に記載したソフトウェア更新装置。
【符号の説明】
【0063】
図面中、１，２１はソフトウェア更新システム、６はＣＧＷ（ソフトウェア更新装置）、１０ａ～１０ｃ，１１ａ～１１ｃ，１２ａ～１２ｃは電子制御装置、１４は制御部、１４ａは更新指示送信部、１４ｂは面切り替え指示送信部、１４ｃは更新正常判定部、１４ｄは復帰部、１４ｅはエラー通知部である。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】