特開 2024-177734 ソフトウェアの更新用サーバ、ソフトウェアの更新プログラム、及びソフトウェアの更新方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024177734

(43)【公開日】2024-12-24

(54)【発明の名称】ソフトウェアの更新用サーバ、ソフトウェアの更新プログラム、及びソフトウェアの更新方法

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241217BHJP

【ＦＩ】

G06F8/65

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2023096038

(22)【出願日】2023-06-12

(71)【出願人】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】100105957

【弁理士】

【氏名又は名称】恩田 誠

(74)【代理人】

【識別番号】100068755

【弁理士】

【氏名又は名称】恩田 博宣

(72)【発明者】

【氏名】高下 直樹

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA61

(57)【要約】

【課題】不具合がある更新ソフトウェアが車両に適用されることを抑制する。
【解決手段】ソフトウェアの更新用サーバは、実行装置と、記憶装置とを備えている。記憶装置は、ソフトウェアの更新処理の対象車両を指定する情報、及び対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報を記憶している。記憶装置は、更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報を記憶している。実行装置は、付随情報を外部からの入力に基づき記憶装置に記憶する。実行装置は、付随情報が更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定しているキャンペーン情報については、当該キャンペーン情報に応じた更新処理を禁止する（Ｓ２２）。
【選択図】図３

【特許請求の範囲】

【請求項1】

実行装置と、記憶装置とを備え、
前記記憶装置は、
ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、
前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、
を記憶しており、
前記実行装置は、
前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、
前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、
を実行する
ソフトウェアの更新用サーバ。

【請求項2】

前記付随情報は、前記更新ソフトウェア毎に、当該更新ソフトウェアに更新してはならない非更新車両を指定する情報を含み、
前記実行装置は、
前記付随情報が前記更新ソフトウェア自体に不具合がないことを示している場合であっても、当該更新ソフトウェアを指定し、且つ、前記非更新車両を前記対象車両として指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止すること、
を実行する
請求項１に記載のソフトウェアの更新用サーバ。

【請求項3】

前記実行装置は、
前記キャンペーン情報での前記対象車両に対して前記更新ソフトウェアが適用可能であることを通知するキャンペーン通知を送信することと、
前記キャンペーン通知を送信した後に、当該キャンペーン通知を送信した前記対象車両に対して前記更新ソフトウェアを送信することと、
前記キャンペーン情報に応じた前記キャンペーン通知の送信を禁止することにより前記更新処理を禁止することと、
を実行する
請求項１又は請求項２に記載のソフトウェアの更新用サーバ。

【請求項4】

実行装置と、記憶装置とを備える更新用サーバを対象とし、
前記記憶装置は、
ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、
前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、
を記憶しており、
前記実行装置に、
前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、
前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、
を実行させる
ソフトウェアの更新プログラム。

【請求項5】

実行装置と、記憶装置とを備える更新用サーバを対象とし、
前記記憶装置は、
ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、
前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、
を記憶しており、
前記実行装置が、
前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、
前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、
を実行する
ソフトウェアの更新方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ソフトウェアの更新用サーバ、ソフトウェアの更新プログラム、及びソフトウェアの更新方法に関する。

【背景技術】

【0002】

特許文献１に記載のソフトウェアの更新システムは、ソフトウェアを配信する更新用サーバと、車両とを備えている。車両は、マスタ装置と、複数の制御装置とを備えている。更新用サーバは、車両の制御装置に対するソフトウェアの更新を実行する際に、車両のマスタ装置に対してキャンペーン通知を送信する。マスタ装置は、キャンペーン通知を取得し、且つ、車両のユーザからソフトウェアの更新についての承諾が得られた場合に、制御装置に対するソフトウェアの更新に関する処理を実行する。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２２－１０９０３９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１のようなソフトウェアの更新システムにおいて、更新する新たなソフトウェアにバグなどの不具合が存在する可能性は否定できない。仮に、ソフトウェア自体に不具合が存在する場合には、当該ソフトウェアが各車両に適用されることを、速やかに防止する必要がある。

【課題を解決するための手段】

【0005】

上記課題を解決するためのソフトウェアの更新用サーバは、実行装置と、記憶装置とを備え、前記記憶装置は、ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、を記憶しており、前記実行装置は、前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、を実行する。

【0006】

上記課題を解決するためのソフトウェアの更新プログラムは、実行装置と、記憶装置とを備える更新用サーバを対象とし、前記記憶装置は、ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、を記憶しており、前記実行装置に、前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、を実行させる。

【0007】

上記課題を解決するためのソフトウェアの更新方法は、実行装置と、記憶装置とを備える更新用サーバを対象とし、前記記憶装置は、ソフトウェアの更新処理の対象車両を指定する情報、及び前記対象車両に搭載された制御装置に適用するべき更新ソフトウェアを指定する情報を含むキャンペーン情報と、前記更新ソフトウェア毎に、当該更新ソフトウェア自体に不具合があるか否かの情報を示している付随情報と、を記憶しており、前記実行装置が、前記付随情報を外部からの入力に基づき前記記憶装置に記憶することと、前記付随情報が前記更新ソフトウェア自体に不具合があることを示している場合、不具合のある当該更新ソフトウェアを指定している前記キャンペーン情報については、当該キャンペーン情報に応じた前記更新処理を禁止することと、を実行する。

【発明の効果】

【0008】

上記構成によれば、更新ソフトウェアにバグなどの不具合がある場合に、その更新ソフトウェアを指定している全てのキャンペーン情報に応じた更新処理が禁止される。したがって、例えば更新用サーバの管理者等が付随情報を入力すれば、不具合がある更新ソフトウェアが各車両の制御装置に適用されることを、一括して防止できる。

【図面の簡単な説明】

【0009】

【図1】図１は、更新システムの概略構成図である。

【図2】図２は、キャンペーン情報の説明図である。

【図3】図３は、判定制御を示すフローチャートである。

【図4】図４は、取得制御を示すシーケンス図である。

【図5】図５は、更新制御を示すシーケンス図である。

【発明を実施するための形態】

【0010】

＜更新システムの概略構成＞
以下、本発明の一実施形態を図１～図５にしたがって説明する。先ず、更新システムＵＳの概略構成について説明する。

【0011】

図１に示すように、更新システムＵＳは、複数の車両１００を備えている。車両１００としては、例えば、ユーザが所有する自動車である。なお、図１では、１つの車両１００のみを代表して図示している。

【0012】

車両１００は、セントラルＥＣＵ１０、パワートレインＥＣＵ２０、ブレーキＥＣＵ３０、先進運転支援ＥＣＵ４０、及びＤＣＭ５０を備えている。また、車両１００は、第１外部バス６１、第２外部バス６２、第３外部バス６３、及び第４外部バス６４を備えている。なお、「ＥＣＵ」は、Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔの略称である。また、「ＤＣＭ」は、Ｄａｔａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｍｏｄｕｌｅの略称である。本実施形態において、パワートレインＥＣＵ２０、ブレーキＥＣＵ３０、及び先進運転支援ＥＣＵ４０のそれぞれは、ソフトウェアの更新が行われる制御装置の一例である。

【0013】

セントラルＥＣＵ１０は、車両１００の全体を統括して制御する。セントラルＥＣＵ１０は、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、ストレージ１４、及び内部バス１５を備えている。内部バス１５は、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、及びストレージ１４を互いに通信可能に接続している。ＲＯＭ１２は、各種のプログラム及び各種のデータを予め記憶している。また、ＲＯＭ１２は、各種のプログラムの一つとして、ソフトウェアの更新の際に実行されるマスタプログラム１２Ａを予め記憶している。ＲＡＭ１３は、揮発性メモリである。ＲＡＭ１３は、各種のプログラム及び各種のデータを一時的に記憶する。ＣＰＵ１１は、ＲＡＭ１３を作業領域として、ＲＯＭ１２のプログラムを読み出すことにより各種の処理を実行する。また、ＣＰＵ１１は、マスタプログラム１２Ａを読み出すことにより、制御装置のソフトウェアの更新処理に関する各種の処理を実行する。すなわち、セントラルＥＣＵ１０は、制御装置のソフトウェアを更新するためのマスタ装置として機能する。

【0014】

ストレージ１４は、各種のプログラム及び各種のデータを記憶可能である。ストレージ１４は、電気的に書き換え可能な不揮発性メモリである。例えば、ストレージ１４は、ＮＡＮＤ型のフラッシュメモリである。

【0015】

ストレージ１４は、車両構成情報ＩＶを予め記憶している。車両構成情報ＩＶは、ソフトウェア情報、及び車両識別情報を含んでいる。ここで、ソフトウェア情報は、ＥＣＵ毎のソフトウェアと、そのソフトウェアのバージョンを示す情報である。また、車両識別情報は、車両１００の種別及び識別番号などを示す情報である。

【0016】

ＤＣＭ５０は、第１外部バス６１を介してセントラルＥＣＵ１０と接続している。ＤＣＭ５０は、通信ネットワークＮＷを介して車両１００の外部の機器と無線通信可能である。したがって、セントラルＥＣＵ１０は、第１外部バス６１及びＤＣＭ５０を介して車両１００の外部の機器と無線通信可能である。

【0017】

パワートレインＥＣＵ２０は、第２外部バス６２を介してセントラルＥＣＵ１０と互いに通信可能である。パワートレインＥＣＵ２０は、図示しないエンジン及びトランスミッション等を制御するための各種の処理を実行する。パワートレインＥＣＵ２０は、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、ストレージ２４、及び内部バス２５を備えている。内部バス２５は、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、及びストレージ２４を互いに通信可能に接続している。ＲＯＭ２２は、各種のプログラム及び各種のデータを予め記憶している。また、ＲＯＭ２２は、各種のプログラムの一つとして、制御プログラム２２Ａを予め記憶している。ＲＯＭ２２は、いわゆるＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）である。つまり、ＲＯＭ２２に記憶されている制御プログラム２２Ａは、更新可能である。また、ＲＯＭ２２は、データの格納領域を２つ有する、いわゆる２面ＲＯＭである。つまり、ＲＯＭ２２では、当該ＲＯＭ２２がオン状態であっても、そのオン状態で利用しているデータの格納領域とは別の格納領域にソフトウェアのインストールが可能である。ＲＡＭ２３は、揮発性メモリである。ＲＡＭ２３は、各種のプログラム及び各種のデータを一時的に記憶する。ＣＰＵ２１は、ＲＡＭ２３を作業領域として、ＲＯＭ２２のプログラムを読み出すことにより各種の処理を実行する。また、ＣＰＵ２１は、制御プログラム２２Ａを読み出すことにより、エンジン及びトランスミッション等を制御するための各種の処理を実行する。

【0018】

ストレージ２４は、各種のプログラム及び各種のデータを記憶可能である。ストレージ２４は、電気的に書き換え可能な不揮発性メモリである。例えば、ストレージ２４は、ＮＯＲ型のフラッシュメモリである。

【0019】

ブレーキＥＣＵ３０は、第３外部バス６３を介してセントラルＥＣＵ１０と互いに通信可能である。ブレーキＥＣＵ３０は、図示しないブレーキ装置を制御する。ブレーキＥＣＵ３０の内部構成は、パワートレインＥＣＵ２０の内部構成と同様である。すなわち、ブレーキＥＣＵ３０は、ＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３、ストレージ３４、及び内部バス３５を備えている。ＲＯＭ３２は、各種のプログラムの一つとして、制御プログラム３２Ａを予め記憶している。ＣＰＵ３１は、制御プログラム３２Ａを読み出すことにより、ブレーキ装置を制御するための各種の処理を実行する。

【0020】

先進運転支援ＥＣＵ４０は、第４外部バス６４を介してセントラルＥＣＵ１０と互いに通信可能である。先進運転支援ＥＣＵ４０は、各種のアプリケーションソフトウェアを実行することにより各種の運転支援を実現する。なお、各種のアプリケーションソフトウェアは、車両１００に先行して走行する先行車両との車間距離を一定に保ちながら追従走行するためのソフトウェア、車両１００への衝突の被害を軽減させるために自動的に制動をかけるためのソフトウェア等を含んでいる。先進運転支援ＥＣＵ４０の内部構成は、パワートレインＥＣＵ２０の内部構成と同様である。すなわち、先進運転支援ＥＣＵ４０は、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、ストレージ４４、及び内部バス４５を備えている。ＲＯＭ４２は、各種のプログラムの一つとして、制御プログラム４２Ａを予め記憶している。ＣＰＵ４１は、制御プログラム４２Ａを読み出すことにより、上述した各種の運転支援を実現するための各種の処理を実行する。

【0021】

図１に示すように、車両１００は、複数の機器で構成された機器群を備えている。これら機器の例は、二次電池７１、及びディスプレイ７６である。二次電池７１は、セントラルＥＣＵ１０、パワートレインＥＣＵ２０、ブレーキＥＣＵ３０、先進運転支援ＥＣＵ４０、及びＤＣＭ５０等に電力を供給する。なお、図１では、二次電池７１とセントラルＥＣＵ１０とを接続する電力経路、及び二次電池７１とパワートレインＥＣＵ２０とを接続する電力経路のみを代表して図示している。

【0022】

ディスプレイ７６は、各種の情報を表示可能である。また、ディスプレイ７６は、いわゆるタッチパネルディスプレイである。したがって、車両１００のユーザは、ディスプレイ７６を介して各種の情報を入力することが可能である。つまり、ディスプレイ７６は、ユーザに対して情報を出力する出力機器としても、ユーザからの情報を受け付ける入力機器としても機能する。

【0023】

セントラルＥＣＵ１０は、ディスプレイ７６に制御信号を出力することにより、ディスプレイ７６において各種の情報を表示する。また、セントラルＥＣＵ１０は、ディスプレイ７６から、車両１００のユーザにより入力された情報を取得する。

【0024】

図１に示すように、更新システムＵＳは、更新用サーバ２００を備えている。更新用サーバ２００は、実行装置２１０、記憶装置２２０、及び通信装置２３０を備えている。通信装置２３０は、通信ネットワークＮＷを介して更新用サーバ２００の外部の機器と無線通信可能である。記憶装置２２０は、読み出しのみが可能なＲＯＭと、読み出し及び書き込みが可能な揮発性のＲＡＭと、読み出し及び書き込みが可能な不揮発性のストレージとを含んでいる。記憶装置２２０は、各種のプログラム及び各種のデータを予め記憶している。記憶装置２２０は、各種のプログラムの一つとして、更新プログラム２２０Ａを記憶している。実行装置２１０は、更新プログラム２２０Ａを読み出すことにより、ソフトウェアの更新方法における各種の処理を実現する。なお、実行装置２１０の一例は、ＣＰＵである。

【0025】

図１に示すように、記憶装置２２０は、各種のデータとして、複数のキャンペーン情報ＩＣを記憶している。キャンペーン情報ＩＣは、車両１００に搭載された制御装置のソフトウェアの更新処理を行うためのキャンペーンに関する情報である。なお、図１では、１つのキャンペーン情報ＩＣのみを代表して図示している。図２に示すように、キャンペーン情報ＩＣは、対象車両情報ＩＴＶ、配信時期情報ＩＤＴ、禁止フラグＦＦ、及び同期アセンブリＡＳを含んでいる。対象車両情報ＩＴＶは、ソフトウェアの更新処理の対象とする車両１００を指定する情報である。例えば、対象車両情報ＩＴＶは、「００００１～１００００」といった複数の車両１００の識別番号を示す情報である。なお、本実施形態において、対象車両情報ＩＴＶは、車両１００が販売された国、車両１００の販売時期、車両１００の車種などで区分けされた複数の車両１００を指定するものである。また、配信時期情報ＩＤＴは、ソフトウェアの更新処理のために当該ソフトウェアを配信する時期を定めた情報である。例えば、配信時期情報ＩＤＴは、「＊年＊月＊日＊時」といった日時を示す情報である。同期アセンブリＡＳは、車両１００において同時に更新するソフトウェアを指定した情報である。すなわち、同期アセンブリＡＳは、１又は複数のソフトウェアを指定する。ここで、同期アセンブリＡＳが指定しているソフトウェアは、車両１００の制御装置に適用する新しいソフトウェアのことである。なお、同期アセンブリＡＳが指定しているソフトウェアの一例は、車両１００に記憶されたソフトウェアに比べて新しいバージョンの、制御プログラム２２Ａ、制御プログラム３２Ａ、及び制御プログラム４２Ａのうちの１以上である。本実施形態において、同期アセンブリＡＳが指定しているソフトウェアのそれぞれは、車両１００に搭載された制御装置に適用するべき更新ソフトウェアに相当する。なお、記憶装置２２０は、キャンペーン情報ＩＣとは別に、車両１００に記憶されたソフトウェアに比べて新しいバージョンの、制御プログラム２２Ａ、制御プログラム３２Ａ、及び制御プログラム４２Ａを記憶している。また、禁止フラグＦＦは、キャンペーン情報ＩＣに応じた更新処理を禁止するためのフラグである。本実施形態において、禁止フラグＦＦがＯＮであることは、キャンペーン情報ＩＣに応じた更新処理を禁止することを示す。なお、禁止フラグＦＦの初期値は、ＯＦＦである。

【0026】

図１に示すように、記憶装置２２０は、各種のデータとして、複数の付随情報ＩＡを記憶している。記憶装置２２０は、更新ソフトウェア毎に、すなわち、制御プログラム２２Ａ、制御プログラム３２Ａ、及び制御プログラム４２Ａに対応して、合計３つの付随情報ＩＡを記憶している。なお、図１では、１つの付随情報ＩＡのみを代表して図示している。付随情報ＩＡは、不具合情報ＩＤ、及び非更新情報ＩＮを含んでいる。不具合情報ＩＤは、対応する更新ソフトウェア自体に不具合があるか否かの情報である。したがって、例えば、制御プログラム２２Ａに対応した付随情報ＩＡの不具合情報ＩＤは、制御プログラム２２Ａ自体に不具合があるか否かの情報を示す。また、非更新情報ＩＮは、対応する更新ソフトウェアを更新してはならない非更新車両を指定する情報である。したがって、例えば、制御プログラム２２Ａに対応した付随情報ＩＡの非更新情報ＩＮは、制御プログラム２２Ａを更新してはならない非更新車両を指定する情報である。また、非更新情報ＩＮの非更新車両が指定される状況の一例は、車両１００が使用される国などの法規に対して制御プログラム２２Ａが適合していない場合である。例えば、非更新情報ＩＮは、「００００１～１００００」といった複数の車両１００の識別番号を示す情報である。本実施形態において、例えば更新用サーバ２００の管理者等が当該更新用サーバ２００に接続された入力機器を介して付随情報ＩＡを入力する度に、実行装置２１０は、入力された付随情報ＩＡを記憶装置２２０に記憶する。換言すると、実行装置２１０は、付随情報ＩＡを外部からの入力に基づき記憶装置２２０に記憶する。

【0027】

＜判定制御＞
次に、図３を参照して、更新用サーバ２００が実行する判定制御について説明する。この判定制御は、更新用サーバ２００がキャンペーン情報ＩＣに応じた更新処理を禁止するか否かを決定するための制御である。本実施形態において、更新用サーバ２００の実行装置２１０は、記憶装置２２０の付随情報ＩＡが更新される度に、その付随情報ＩＡに対応する更新ソフトウェアについての判定制御を実行する。

【0028】

図３に示すように、更新用サーバ２００の実行装置２１０は、判定制御を開始すると、ステップＳ１１の処理を実行する。ステップＳ１１において、更新用サーバ２００の実行装置２１０は、記憶装置２２０に記憶された新たな付随情報ＩＡを取得する。ステップＳ１１の後、実行装置２１０は、処理をステップＳ１２に進める。

【0029】

ステップＳ１２において、実行装置２１０は、付随情報ＩＡの不具合情報ＩＤに基づいて、その付随情報ＩＡに対応する更新ソフトウェア自体に不具合があるか否かを判定する。ステップＳ１２において、付随情報ＩＡの不具合情報ＩＤが更新ソフトウェア自体に不具合があることを示していると実行装置２１０が判定した場合（Ｓ１２：ＹＥＳ）、実行装置２１０は、処理をステップＳ２１に進める。

【0030】

ステップＳ２１において、実行装置２１０は、記憶装置２２０に記憶された複数のキャンペーン情報ＩＣのうち、不具合がある更新ソフトウェアを指定している全てのキャンペーン情報ＩＣを抽出する。なお、具体的には、実行装置２１０は、各キャンペーン情報ＩＣの同期アセンブリＡＳに基づいて、不具合がある更新ソフトウェアを指定しているキャンペーン情報ＩＣを抽出する。ステップＳ２１の後、実行装置２１０は、処理をステップＳ２２に進める。

【0031】

ステップＳ２２において、実行装置２１０は、ステップＳ２１で抽出したキャンペーン情報ＩＣについて、禁止フラグＦＦをＯＮに設定する。換言すると、実行装置２１０は、不具合がある更新ソフトウェアを指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣの禁止フラグＦＦをＯＮに設定する。ステップＳ２２の後、実行装置２１０は、今回の判定制御を終了する。

【0032】

一方、上述したステップＳ１２において、付随情報ＩＡの不具合情報ＩＤが更新ソフトウェア自体に不具合がないことを示していると実行装置２１０が判定した場合（Ｓ１２：ＮＯ）、実行装置２１０は、処理をステップＳ１３に進める。

【0033】

ステップＳ１３において、実行装置２１０は、付随情報ＩＡの非更新情報ＩＮに基づいて、その付随情報ＩＡに対応する更新ソフトウェアを更新してはならない非更新車両があるか否かを判定する。ステップＳ１３において、更新ソフトウェアを更新してはならない非更新車両がないと実行装置２１０が判定した場合（Ｓ１３：ＮＯ）、実行装置２１０は、今回の判定制御を終了する。

【0034】

一方、ステップＳ１３において、更新ソフトウェアを更新してはならない非更新車両があると実行装置２１０が判定した場合（Ｓ１３：ＹＥＳ）、実行装置２１０は、処理をステップＳ３１に進める。

【0035】

ステップＳ３１において、実行装置２１０は、記憶装置２２０に記憶された複数のキャンペーン情報ＩＣのうち、付随情報ＩＡに対応する更新ソフトウェアを指定し、且つ、非更新車両を更新処理の対象として指定している全てのキャンペーン情報ＩＣを抽出する。なお、具体的には、実行装置２１０は、キャンペーン情報ＩＣの同期アセンブリＡＳ及び対象車両情報ＩＴＶに基づいて、更新ソフトウェアを指定し、且つ、非更新車両を更新処理の対象として指定しているキャンペーン情報ＩＣを抽出する。このとき、実行装置２１０は、キャンペーン情報ＩＣの対象車両情報ＩＴＶが指定している車両１００と付随情報ＩＡの非更新情報ＩＮが指定している非更新車両とが一部でも重複しているキャンペーン情報ＩＣも、上記抽出の対象とする。ステップＳ３１の後、実行装置２１０は、処理をステップＳ３２に進める。

【0036】

ステップＳ３２において、実行装置２１０は、ステップＳ３１で抽出したキャンペーン情報ＩＣについて、禁止フラグＦＦをＯＮに設定する。換言すると、実行装置２１０は、更新ソフトウェアを指定し、且つ、非更新車両を更新処理の対象として指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣの禁止フラグＦＦをＯＮに設定する。ステップＳ３２の後、実行装置２１０は、今回の判定制御を終了する。

【0037】

＜取得制御＞
次に、図４を参照して、更新用サーバ２００、及び車両１００のセントラルＥＣＵ１０が実行する取得制御について説明する。この取得制御は、更新用サーバ２００が車両構成情報ＩＶを取得するための制御である。また、取得制御は、１つの更新用サーバ２００と、複数の車両１００のセントラルＥＣＵ１０との間で、それぞれ並行して実行される。本実施形態において、車両１００のセントラルＥＣＵ１０は、車両１００のシステムが起動する度に、取得制御を開始する。

【0038】

図４に示すように、セントラルＥＣＵ１０のＣＰＵ１１は、取得制御を開始すると、ステップＳ５１の処理を実行する。ステップＳ５１において、セントラルＥＣＵ１０のＣＰＵ１１は、車両構成情報ＩＶを、更新用サーバ２００に送信する。更新用サーバ２００の実行装置２１０が車両構成情報ＩＶを取得した場合、更新用サーバ２００の実行装置２１０は、処理をステップＳ５２に進める。

【0039】

ステップＳ５２において、更新用サーバ２００の実行装置２１０は、車両構成情報ＩＶに基づいて、車両１００についてソフトウェアの更新の要求が発生したか否かを判定する。例えば、記憶装置２２０に記憶されている制御プログラム２２Ａのバージョンが車両１００の制御プログラム２２Ａのバージョンに比べて新しい場合に、更新用サーバ２００の実行装置２１０は、車両１００についてソフトウェアの更新の要求が発生したと判定する。なお、更新用サーバ２００の実行装置２１０は、車両１００についてソフトウェアの更新の要求が発生したことを必要条件として、後述する更新制御を実行する。ステップＳ５２の後、更新用サーバ２００の実行装置２１０は、今回の取得制御を終了する。

【0040】

＜更新制御＞
次に、図５を参照して、更新用サーバ２００、及び車両１００のセントラルＥＣＵ１０が実行する更新制御について説明する。この更新制御は、車両１００のソフトウェアの更新に関する制御である。この更新制御は、１つの更新用サーバ２００と、複数の車両１００のセントラルＥＣＵ１０との間で、それぞれ並行して実行される。

【0041】

本実施形態において、更新用サーバ２００の実行装置２１０は、例えば以下の条件（１）及び条件（２）を全て満たした場合に、キャンペーン情報ＩＣの同期アセンブリＡＳが指定している更新ソフトウェアについての更新制御を実行する。なお、以下では、同期アセンブリＡＳが指定している更新ソフトウェアが制御プログラム２２Ａであるものを一例として、当該制御プログラム２２Ａの更新制御を行う場合の処理を説明する。

【0042】

条件（１）：取得制御において、キャンペーン情報ＩＣの対象車両情報ＩＴＶで指定された車両１００についてソフトウェアの更新の要求が発生したこと。
条件（２）：現時点がキャンペーン情報ＩＣの配信時期情報ＩＤＴで定められた時期以降であること。

【0043】

図５に示すように、更新用サーバ２００の実行装置２１０は、更新制御を開始すると、ステップＳ６１の処理を実行する。ステップＳ６１において、更新用サーバ２００の実行装置２１０は、キャンペーン情報ＩＣの禁止フラグＦＦを確認する。そして、禁止フラグＦＦがＯＮである場合、更新用サーバ２００の実行装置２１０は、ステップＳ６２～ステップＳ８２の処理を実行せずに、今回の更新制御を終了する。換言すると、更新用サーバ２００の実行装置２１０は、禁止フラグＦＦがＯＮであるキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣに応じたキャンペーン通知ＮＣの送信を禁止する。なお、キャンペーン通知ＮＣについては、後述する。一方、禁止フラグＦＦがＯＦＦである場合、更新用サーバ２００の実行装置２１０は、処理をステップＳ６２に進める。

【0044】

ステップＳ６２において、更新用サーバ２００の実行装置２１０は、キャンペーン情報ＩＣに応じたキャンペーン通知ＮＣを、ソフトウェアの更新の要求が発生した車両１００に対して送信する。ここで、キャンペーン通知ＮＣは、キャンペーン情報ＩＣで更新処理の対象としている車両１００に対して更新ソフトウェアが適用可能であることを通知するものである。したがって、実行装置２１０がキャンペーン通知ＮＣの送信を行わない限り、当該キャンペーン通知ＮＣに対応した更新ソフトウェアの更新処理は行われない。つまり、上述したように、禁止フラグＦＦがＯＮである場合、実行装置２１０は、キャンペーン通知ＮＣの送信を禁止することにより、キャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理を禁止する。また、キャンペーン通知ＮＣは、更新ソフトウェアの種別を示す情報を含んでいる。なお、この例では、更新ソフトウェアの種別を示す情報は、更新ソフトウェアがパワートレインＥＣＵ２０の制御プログラム２２Ａであることを示す情報である。セントラルＥＣＵ１０のＣＰＵ１１がキャンペーン通知ＮＣを取得した場合、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ６６に進める。

【0045】

ステップＳ６６において、セントラルＥＣＵ１０のＣＰＵ１１は、車両１００のユーザに対して、制御プログラム２２Ａの更新のために新たな制御プログラム２２Ａのダウンロードの実行を承諾するか否かを確認する。具体的には、セントラルＥＣＵ１０のＣＰＵ１１は、ディスプレイ７６に制御信号を出力することにより、ディスプレイ７６において制御プログラム２２Ａのダウンロードの実行を承諾するか否かの選択肢を表示させる。そして、車両１００のユーザから承諾が得られない場合、セントラルＥＣＵ１０のＣＰＵ１１は、一定期間毎に、制御プログラム２２Ａのダウンロードの実行を承諾するか否かの選択肢を表示させる。一方、車両１００のユーザから承諾が得られた場合、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ７１に進める。

【0046】

ステップＳ７１において、セントラルＥＣＵ１０のＣＰＵ１１は、新たな制御プログラム２２Ａの送信を要求するための要求信号を、更新用サーバ２００へと送信する。更新用サーバ２００の実行装置２１０が要求信号を取得した場合、更新用サーバ２００の実行装置２１０は、処理をステップＳ７２に進める。

【0047】

ステップＳ７２において、更新用サーバ２００の実行装置２１０は、キャンペーン通知ＮＣに対応した新たなソフトウェアとして、新たな制御プログラム２２Ａを、セントラルＥＣＵ１０へと送信する。換言すると、セントラルＥＣＵ１０のＣＰＵ１１は、更新用サーバ２００から新たな制御プログラム２２Ａをダウンロードする。このとき、セントラルＥＣＵ１０のＣＰＵ１１は、セントラルＥＣＵ１０のストレージ１４に新たな制御プログラム２２Ａを記憶する。ステップＳ７２の後、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ７６に進める。

【0048】

ステップＳ７６において、セントラルＥＣＵ１０のＣＰＵ１１は、車両１００のユーザに対して、制御プログラム２２Ａの更新のために新たな制御プログラム２２Ａのインストール及びアクティベートの実行を承諾するか否かを確認する。具体的には、セントラルＥＣＵ１０のＣＰＵ１１は、ディスプレイ７６に制御信号を出力することにより、ディスプレイ７６において制御プログラム２２Ａのインストール及びアクティベートの実行を承諾するか否かの選択肢を表示させる。そして、車両１００のユーザから承諾が得られない場合、セントラルＥＣＵ１０のＣＰＵ１１は、一定期間毎に、制御プログラム２２Ａのインストール及びアクティベートの実行を承諾するか否かの選択肢を表示させる。一方、車両１００のユーザから承諾が得られた場合、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ８０に進める。

【0049】

ステップＳ８０において、セントラルＥＣＵ１０のＣＰＵ１１は、予め定められた開始条件が満たされているか否かを判定する。ここで、開始条件の一例は、車両１００のシステムがオフ状態であることである。なお、車両１００のシステムがオフ状態であるとは、セントラルＥＣＵ１０を除く各ＥＣＵに電力が供給されていない状態のことをいう。したがって、車両１００が走行している状態、及び車両１００の各機器が使用可能なアクセサリオン状態は、オン状態である。そして、車両１００が走行できない状態は、オフ状態である。ステップＳ８０において、開始条件が満たされていないとセントラルＥＣＵ１０のＣＰＵ１１が判定した場合、セントラルＥＣＵ１０のＣＰＵ１１は、再びステップＳ８０の処理を実行する。

【0050】

一方、ステップＳ８０において、開始条件が満たされているとセントラルＥＣＵ１０のＣＰＵ１１が判定した場合、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ８１に進める。

【0051】

ステップＳ８１において、セントラルＥＣＵ１０のＣＰＵ１１は、ストレージ１４に記憶されている新たな制御プログラム２２Ａを、パワートレインＥＣＵ２０のＲＯＭ２２にインストールする。ステップＳ８１の後、セントラルＥＣＵ１０のＣＰＵ１１は、処理をステップＳ８２に進める。

【0052】

ステップＳ８２において、セントラルＥＣＵ１０のＣＰＵ１１は、インストールした制御プログラム２２Ａをアクティベートする。ここでいうアクティベートは、制御プログラム２２Ａを実行するための参照アドレス等を切り替えることにより、インストールした制御プログラム２２Ａを実行可能な状態にすることである。ステップＳ８２の後、セントラルＥＣＵ１０のＣＰＵ１１は、今回の更新制御を終了する。

【0053】

＜本実施形態の作用＞
仮に、キャンペーン情報ＩＣの同期アセンブリＡＳが指定している更新ソフトウェアである制御プログラム２２Ａにバグなどの不具合が生じているとする。このような状況において、例えば更新用サーバ２００の管理者等が入力機器を介して制御プログラム２２Ａに対応した付随情報ＩＡを入力すると、更新用サーバ２００の実行装置２１０は、入力された付随情報ＩＡを記憶装置２２０に記憶する。すると、図３に示すように、更新用サーバ２００の実行装置２１０は、更新された付随情報ＩＡに対応する更新ソフトウェアについて判定制御を実行する。このとき、ステップＳ１２において、付随情報ＩＡの不具合情報ＩＤが更新ソフトウェア自体に不具合があることを示していると、実行装置２１０は、処理をステップＳ２１に進める。そして、ステップＳ２１及びステップＳ２２において、実行装置２１０は、不具合がある更新ソフトウェアを指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣの禁止フラグＦＦをＯＮに設定する。このようにキャンペーン情報ＩＣの禁止フラグＦＦがＯＮに設定されていると、図５に示すように、実行装置２１０が更新制御を開始しても、実行装置２１０は、ステップＳ６２～ステップＳ８２の処理を実行せずに、今回の更新制御を終了する。換言すると、更新用サーバ２００の実行装置２１０は、不具合がある更新ソフトウェアを指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理を禁止する。

【0054】

＜本実施形態の効果＞
（１）本実施形態によれば、更新ソフトウェアにバグなどの不具合がある場合に、その更新ソフトウェアを指定している全てのキャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理が禁止される。したがって、更新用サーバ２００の管理者等が付随情報ＩＡを入力すれば、不具合がある更新ソフトウェアが各車両１００の制御装置に適用されることを、一括して防止できる。

【0055】

（２）例えば、更新ソフトウェアにバグなどの不具合がないことで更新ソフトウェアが正常に機能する場合であっても、その更新ソフトウェアが、車両１００が使用される国などの法規に適合していないことがある。この点、判定制御において、更新用サーバ２００の実行装置２１０は、更新ソフトウェアを指定し、且つ、非更新車両を更新処理の対象として指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣの禁止フラグＦＦをＯＮに設定する。そのため、更新ソフトウェア自体に不具合がない場合であっても、非更新車両を更新処理の対象として指定しているキャンペーン情報ＩＣについては、当該キャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理を禁止される。これにより、更新ソフトウェアを更新してはならない車両１００の制御装置に対して、更新ソフトウェアが適用されることは抑制できる。

【0056】

（３）更新制御において、更新用サーバ２００の実行装置２１０は、キャンペーン情報ＩＣに応じたキャンペーン通知ＮＣの送信を禁止することにより、キャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理を禁止する。すなわち、ステップＳ７２においてキャンペーン情報ＩＣに応じた更新ソフトウェアの送信が実行されないだけでなく、ステップＳ６２においてキャンペーン情報ＩＣに応じたキャンペーン通知ＮＣの送信も実行されない。これにより、更新ソフトウェアの更新処理が実行できないときであるにも拘わらず、キャンペーン通知ＮＣが送信されることに起因して、更新ソフトウェアが適用可能であるかのような誤解を車両１００のユーザに生じさせることは抑制できる。

【0057】

＜変更例＞
本実施形態は、以下のように変更して実施することができる。本実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

【0058】

・上記実施形態において、判定制御は変更してもよい。
例えば、ステップＳ１３の判定処理は省略してもよい。具体例として、付随情報ＩＡの非更新情報ＩＮとして非更新車両を指定する可能性が比較的に低いのであれば、ステップＳ１３の判定処理を省略しても、その影響は小さい。この場合、ステップＳ１２において、付随情報ＩＡの不具合情報ＩＤが更新ソフトウェア自体に不具合がないことを示していると実行装置２１０が判定した場合（Ｓ１２：ＮＯ）、実行装置２１０は、今回の判定制御を終了すればよい。すなわち、ステップＳ３１及びステップＳ３２の処理も省略できる。また、付随情報ＩＡは、非更新情報ＩＮを含んでいなくてもよい。

【0059】

・上記実施形態において、更新制御は変更してよい。
例えば、ステップＳ６１の処理は、ステップＳ６２の処理よりも前に実行しなくてもよい。具体例として、更新用サーバ２００の実行装置２１０は、ステップＳ７１の後であってステップＳ７２よりも前に、ステップＳ６１の処理を実行してもよい。この構成では、禁止フラグＦＦがＯＮである場合に、更新用サーバ２００の実行装置２１０は、ステップＳ７２～ステップＳ８２の処理を実行せずに、今回の更新制御を終了する。換言すると、禁止フラグＦＦがＯＮである場合、実行装置２１０は、ステップＳ７２においてキャンペーン情報ＩＣに応じた更新ソフトウェアの送信を禁止することにより、キャンペーン情報ＩＣに応じた更新ソフトウェアの更新処理を禁止する。

【符号の説明】

【0060】

ＩＡ…付随情報 ＩＣ…キャンペーン情報 ＮＣ…キャンペーン通知 ＮＷ…通信ネットワーク ＵＳ…更新システム １０…セントラルＥＣＵ １１…ＣＰＵ １２…ＲＯＭ １２Ａ…マスタプログラム １３…ＲＡＭ １４…ストレージ ２０…パワートレインＥＣＵ ２１…ＣＰＵ ２２…ＲＯＭ ２２Ａ…制御プログラム ２３…ＲＡＭ ２４…ストレージ ３０…ブレーキＥＣＵ ３１…ＣＰＵ ３２…ＲＯＭ ３２Ａ…制御プログラム ３４…ストレージ ４０…先進運転支援ＥＣＵ ４１…ＣＰＵ ４２…ＲＯＭ ４２Ａ…制御プログラム ４４…ストレージ ５０…ＤＣＭ ７１…二次電池 ７６…ディスプレイ １００…車両 ２００…更新用サーバ ２１０…実行装置 ２２０…記憶装置 ２２０Ａ…更新プログラム ２３０…通信装置

【図1】

【図2】

【図3】

【図4】

【図5】