特開 2024-68432 制御装置および制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024068432

(43)【公開日】2024-05-20

(54)【発明の名称】制御装置および制御方法

(51)【国際特許分類】

   B60W 50/02 20120101AFI20240513BHJP

   B60R 16/03 20060101ALI20240513BHJP

   H02J 7/34 20060101ALI20240513BHJP

【ＦＩ】

B60W50/02

B60R16/03 A

H02J7/34 B

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022178875

(22)【出願日】2022-11-08

(71)【出願人】

【識別番号】000237592

【氏名又は名称】株式会社デンソーテン

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】松本 健

(72)【発明者】

【氏名】白島 大樹

【テーマコード（参考）】

3D241

5G503

【Ｆターム（参考）】

3D241BA60

3D241BA62

3D241BA63

3D241CA06

3D241CA08

3D241CD21

3D241CD27

3D241CE02

3D241CE04

3D241DA67B

5G503AA07

5G503BA02

5G503BB01

5G503BB02

5G503BB05

5G503DA04

5G503GD03

(57)【要約】

【課題】自動運転中には接続装置の制御を冗長化できる制御装置および制御方法を提供する。
【解決手段】実施形態に係る制御装置は、複数のコントローラを備える。複数のコントローラは、制御プログラムを実行することによって接続装置を制御する。接続装置は、第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能である。一部のコントローラは、自動運転が可能な車両の走行中に制御プログラムを更新する場合、車両の自動運転を禁止し、他のコントローラの動作を停止させ、他のコントローラによって実行される制御プログラムを更新する。
【選択図】図２

【特許請求の範囲】

【請求項1】

第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能な接続装置を、制御プログラムを実行することによって制御する複数のコントローラを備え、
一部の前記コントローラは、自動運転が可能な車両の走行中に前記制御プログラムを更新する場合、前記車両の自動運転を禁止し、他の前記コントローラの動作を停止させ、前記他のコントローラによって実行される前記制御プログラムを更新する、
制御装置。

【請求項2】

前記一部のコントローラは、前記車両の走行中に新たな前記制御プログラムを受信した場合、前記他のコントローラによって実行される前記制御プログラムを更新し、前記車両が非起動状態の期間に前記一部のコントローラによって実行される前記制御プログラムを更新する、
請求項１に記載の制御装置。

【請求項3】

前記一部のコントローラは、自動運転中でない場合に他のコントローラによって実行される前記制御プログラムを更新し、自動運転中である場合は他のコントローラによって実行される前記制御プログラムを更新せず、前記車両が非起動状態の期間に前記他のコントローラによって実行される前記制御プログラムを更新する
請求項２に記載の制御装置。

【請求項4】

前記一部のコントローラは、前記制御プログラムを更新することと、前記車両の自動運転を開始するためには前記車両の再起動が必要であることとをユーザに通知する、
請求項２に記載の制御装置。

【請求項5】

前記一部のコントローラは、前記制御プログラムの更新に要する時間と、前記制御プログラムの更新が完了するまで前記車両の起動状態を継続させることとをユーザに通知する、
請求項２に記載の制御装置。

【請求項6】

前記一部のコントローラは、前記車両の走行中に新たな前記制御プログラムを受信した場合、ユーザに前記制御プログラムの更新の許可を要求し、前記更新が許可された場合、前記他のコントローラによって実行される前記制御プログラムを更新する、
請求項１に記載の制御装置。

【請求項7】

前記一部のコントローラは、前記更新が許可されない場合、前記車両が非起動状態の期間に前記他のコントローラによって実行される前記制御プログラムを更新する、
請求項６に記載の制御装置。

【請求項8】

前記一部のコントローラは、前記制御プログラムの更新に要する時間をユーザに通知する、
請求項６に記載の制御装置。

【請求項9】

前記複数のコントローラ毎に設けられ、各前記コントローラによって実行される前記制御プログラムを記憶する記憶部を備える、請求項１に記載の制御装置。

【請求項10】

第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能な接続装置を、制御プログラムを実行することによって制御する複数のコントローラのうち、一部の前記コントローラが、
自動運転が可能な車両の走行中に前記制御プログラムを更新する場合、前記車両の自動運転を禁止し、他の前記コントローラの動作を停止させ、前記他のコントローラによって実行される前記制御プログラムを更新する、
制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

開示の実施形態は、制御装置および制御方法に関する。

【背景技術】

【0002】

自動運転が可能な車両は、冗長電源システムを備える。冗長電源システムは、第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを備える。冗長電源システムは、車両の自動運転中に、第１系統と第２系統とのうち、どちらかの系統に電源失陥が発生した場合、確実に系統間を遮断する必要がある。

【0003】

そのため、メインマイコンとサブマイコンとの両方で、それぞれが同じ制御プログラムを実行して第１系統と第２系統とを接続および切断可能な接続装置を制御する技術がある（例えば、特許文献１参照）。かかる技術によれば、接続装置の制御を冗長化できる。

【0004】

かかる制御プログラムを修正する必要が生じた場合は、制御プログラムを更新する必要がある。制御プログラムの更新技術としては、サーバから車両に無線で制御プログラムを送信して更新するＯＴＡ（Over The Air）技術が知られている。

【0005】

その場合、制御プログラムを更新する制御装置は、メインマイコンによって実行される制御プログラムと、サブマイコンによって実行される制御プログラムとをＯＴＡ技術によって車両の走行中に更新すると、次のような問題が生じるおそれがある。

【0006】

例えば、制御装置は、車両の制御を中断させたり、車両に望ましくない挙動が生じさせる可能性がある。そのため、車両の走行中にメインマイコンおよびサブマイコンの制御プログラムを両方とも更新することは望ましくない。

【0007】

一方で、走行中にＯＴＡ技術により受信した新たな制御プログラムを一旦記憶しておき、イグニッション（ＩＧ）がオフとなる車両の非起動時にメインマイコンとサブマイコンの制御プログラムを順次更新することも考えられる。

【0008】

その場合は、メインマイコンとサブマイコンの両方の制御プログラムを更新する必要があることから、制御プログラムの更新に要する時間が長くなる。すると暗電流が増加するだけでなく、制御プログラムの更新中にＩＧがオンされて車両が起動される可能性が高くなる。プログラムの更新中にＩＧがオンされると、更新中であったマイコンは正しく動作できない。

【0009】

このため、制御装置は、車両の走行中に新たな制御プログラムを入手した場合、一方のマイコンによって更新前の制御プログラムの実行を継続させる。そして、制御装置は、他方のマイコンの動作を停止させて他方のマイコンによって実行される制御プログラムを更新することが望ましい。

【0010】

これにより、制御装置は、車両の走行中に車両の制御を中断させることなく、他方のマイコンによって実行される制御プログラムを更新できる。そして、制御装置は、車両が非起動状態の期間に、一方のマイコンによって実行される制御プログラムを更新する。これにより、制御装置は、車両が非起動状態の期間に行われる制御プログラムの更新に要する時間を短くでき、次回、車両が起動された後には、双方のマイコンによって更新後の制御プログラムを実行させることができる。

【先行技術文献】

【特許文献】

【0011】

【特許文献1】特開２０２１－５７９８２号公報

【発明の概要】

【発明が解決しようとする課題】

【0012】

しかしながら、制御装置は、自動運転中に一方のマイコンによる制御を継続させ、他方のマイコンの動作を停止させて制御プログラムを更新すると、接続装置の制御を冗長化できなくなる。

【0013】

実施形態は、上記に鑑みてなされたものであって、自動運転中に接続装置の制御を冗長化できる制御装置および制御方法を提供することを目的とする。

【課題を解決するための手段】

【0014】

実施形態に係る制御装置は、複数のコントローラを備える。複数のコントローラは、制御プログラムを実行することによって接続装置を制御する。接続装置は、第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能である。一部の前記コントローラは、自動運転が可能な車両の走行中に前記制御プログラムを更新する場合、前記車両の自動運転を禁止し、他の前記コントローラの動作を停止させ、前記他のコントローラによって実行される前記制御プログラムを更新する。

【発明の効果】

【0015】

実施形態の一態様に係る制御装置および制御方法によれば、自動運転中には接続装置の制御を冗長化できるという効果を奏する。

【図面の簡単な説明】

【0016】

【図1】図１は、実施形態に係る電源制御装置の構成例を示す説明図である。

【図2】図２は、実施形態に係る制御装置の構成例および通常時動作を示す説明図である。

【図3】図３は、実施形態に係る制御装置のリプロ動作を示す説明図である。

【図4】図４は、実施形態に係る制御装置のリプロ動作を示す説明図である。

【図5】図５は、実施形態に係る制御装置が実行する処理の一例を示すフローチャートである。

【図6】図６は、実施形態に係る制御装置が実行する処理の変形例を示すフローチャートである。

【発明を実施するための形態】

【0017】

以下、添付図面を参照して、制御装置および制御方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

【0018】

実施形態に係る電源制御装置は、自動運転機能を備える車両に搭載される。自動運転機能を備える車両は、例えば、電気自動車、ハイブリット自動車、または、内燃機関によって走行するエンジン自動車などであってもよい。

【0019】

［１．電源制御装置の構成］
図１は、実施形態に係る制御装置を備える電源制御装置１の構成例を示す説明図である。図１に示すように、実施形態に係る電源制御装置１は、第１電源１０と、自動運転制御装置７１と、通知装置７２とに接続される。また、電源制御装置１は、通信ネットワーク２００を介して、プログラム提供装置２０１と接続される。

【0020】

さらに、電源制御装置１は、第１一般負荷１０１、フェイルオペレーション負荷（以下、「ＦＯＰ負荷」と記載する）１０２、第２一般負荷１０３、第３一般負荷１０４、および第４一般負荷１０５に接続される。

【0021】

第１一般負荷１０１、ＦＯＰ負荷１０２、および第３一般負荷１０４は、第１電源１０から電力が供給される第１負荷の一例である。ＦＯＰ負荷１０２、第２一般負荷１０３、および第４一般負荷１０５は、後述する第２電源２０から電力が供給される第２負荷の一例である。

【0022】

また、電源制御装置１は、第１系統１１０と、第２系統１２０とを備える。第１系統１１０は、第１電源１０の電力を第１一般負荷１０１、ＦＯＰ負荷１０２、および第３一般負荷１０４に供給する。第２系統１２０は、後述する第２電源２０の電力をＦＯＰ負荷１０２、第２一般負荷１０３、および第４一般負荷１０５に供給する。

【0023】

第１一般負荷１０１、第２一般負荷１０３、第３一般負荷１０４、および第４一般負荷１０５は、自動運転に直接関与しない負荷を含む。第１一般負荷１０１、第２一般負荷１０３、第３一般負荷１０４、および第４一般負荷１０５は、例えば、ディスプレイ、エアコン、オーディオ、およびビデオを含む。さらに、第１一般負荷１０１、第２一般負荷１０３、第３一般負荷１０４、および第４一般負荷１０５は、例えば、各種ライト、ドライブレコーダ、セキュリティ装置、通信装置、および各種センサなどを含む。

【0024】

ＦＯＰ負荷１０２は、自動運転用の装置である。例えば、ＦＯＰ負荷１０２は、自動運転中に動作するステアリングモータ、電動ブレーキ装置、車載カメラ、およびレーダなどを含む。

【0025】

自動運転制御装置７１は、ＧＰＳ（Global Positioning System）を備える。自動運転制御装置７１は、ＦＯＰ負荷１０２を動作させて、車両を自動運転走行制御する装置である。なお、自動運転制御装置７１は、ＧＰＳの自車位置情報、地図情報、および道路交通情報などを、図示せぬナビゲーション装置から入手してもよい。

【0026】

第１電源１０は、電源制御装置１がエンジン自動車に搭載される場合、発電機１２と、鉛バッテリ（以下、「ＰｂＢ１１」と記載する）とを含む。なお、第１電源１０の電池は、ＰｂＢ１１以外の任意の２次電池であってもよい。

【0027】

発電機１２は、例えば、走行する車両の運動エネルギーを電気に変換して発電するオルタネータである。発電機１２は、発電した電力によるＰｂＢ１１および後述する第２電源２０の充電を行う。また、発電機１２は、第１一般負荷１０１、ＦＯＰ負荷１０２、第２一般負荷１０３、第３一般負荷１０４、および第４一般負荷１０５への電力供給を行う。

【0028】

第１電源１０は、電源制御装置１が電気自動車またはハイブリッド自動車に搭載される場合、ＤＣ／ＤＣコンバータ（以下、「ＤＣＤＣ」と記載する）と、ＰｂＢ１１とを含む。この場合、ＤＣＤＣは、発電機と、ＰｂＢ１１よりも電圧が高い高圧バッテリとに接続され、発電機および高圧バッテリの電圧を降圧して第１系統１１０に出力する。この場合、発電機は、例えば、走行する車両の運動エネルギーを電気に変換して発電するオルタネータである。高圧バッテリは、例えば、電気自動車やハイブリット自動車に搭載される車両駆動用のバッテリである。

【0029】

また、電源制御装置１は、第２電源２０と、制御装置３と、セントラルＥＣＵ（Electronic Control Unit）６と、複数の接続装置とを備える。具体的には、電源制御装置１は、第１接続装置４１、第２接続装置４２、第３接続装置４３、第４接続装置４４、第５接続装置４５、第６接続装置４６、第７接続装置４７、および第８接続装置４８を備える。

【0030】

第１接続装置４１は、第１系統１１０と第２系統１２０とを接続および切断可能なスイッチである。なお、第１接続装置４１は、ＤＣＤＣであってもよい。この場合、ＤＣＤＣは、動作することによって第１系統１１０と第２系統１２０とを接続し、動作を停止することによって第１系統１１０と第２系統１２０との接続を切断する。

【0031】

第２接続装置４２は、第２系統１２０とＦＯＰ負荷１０２とを接続および切断可能なスイッチである。第３接続装置４３は、第２系統１２０と第２一般負荷１０３とを接続および切断可能なスイッチである。第４接続装置４４は、第２系統１２０と第４一般負荷１０５とを接続および切断可能なスイッチである。第５接続装置４５は、第２電源２０と第２系統１２０とを接続および切断可能なスイッチである。

【0032】

第６接続装置４６は、第１系統１１０と第１一般負荷１０１とを接続および切断可能なスイッチである。第７接続装置４７は、第１系統１１０とＦＯＰ負荷１０２とを接続および切断可能なスイッチである。第８接続装置４８は、第１系統１１０と第３一般負荷１０４とを接続および切断可能なスイッチである。

【0033】

第２電源２０は、第１電源１０による電力供給ができなくなった場合のバックアップ用電源である。第２電源２０は、リチウムイオンバッテリ（以下、「ＬｉＢ２１」と記載する）を備える。なお、第２電源２０の電池は、ＬｉＢ２１以外の任意の２次電池であってもよい。

【0034】

また、電源制御装置１は、第１電圧センサ５１と第２電圧センサ５２とを備える。第１電圧センサ５１は、第１系統１１０に設けられる。第１電圧センサ５１は、第１系統１１０の電圧を検出する。そして、第１電圧センサ５１は、検出結果を制御装置３に出力する。第２電圧センサ５２は、第２系統１２０に設けられる。第２電圧センサ５２は、第２系統１２０の電圧を検出する。そして、第２電圧センサ５２は、検出結果を制御装置３に出力する。

【0035】

制御装置３は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを有するマイクロコンピュータ（以下、「マイコン」と記載する）や各種の回路を含む。

【0036】

なお、制御装置３は、その一部または全部がＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアで構成されてもよい。

【0037】

制御装置３は、ＣＰＵがＲＯＭに記憶されたプログラムを、ＲＡＭを作業領域として使用して実行することにより、第１～第８接続装置４１～４８の動作を制御する。また、制御装置３は、通知装置７２に接続される。

【0038】

通知装置７２は、ディスプレイおよびスピーカを含んでもよい。通知装置７２は、制御装置３から入力される情報を表示および音声の少なくともいずれか一方によってユーザに通知する。また、通知装置７２は、ユーザの音声または操作による指示を受け付けるユーザインターフェースを含んでもよい。

【0039】

また、制御装置３は、セントラルＥＣＵ６に接続される。セントラルＥＣＵ６は、通信ネットワーク２００を介して、例えば、プログラム提供装置２０１と接続される。通信ネットワーク２００は、例えば、インターネットであってもよい。プログラム提供装置２０１は、車両の制御に関する書き換え用の各種制御プログラムを、例えば、ＯＴＡ（Over The Air）技術によって、車両に提供する。

【0040】

セントラルＥＣＵ６は、プログラム提供装置２０１から通信ネットワーク２００を介して各種制御プログラムを受信する。セントラルＥＣＵ６は、受信する制御プログラムを制御装置３に出力する。

【0041】

［２．電源制御装置の動作例］
次に、電源制御装置１の動作例について説明する。

【0042】

［２．１．通常時動作］
制御装置３は、車両のイグニッションスイッチ（以下、「ＩＧ」と記載する）がオンされた状態で第１系統１１０および第２系統１２０に地絡が発生していない通常時の停車中、手動運転中、または自動運転中には、第１電源１０の電力を全ての負荷に供給する。

【0043】

このとき、制御装置３は、第１～第４接続装置４１～４４および第６～第８接続装置４６～４８をオンし、第５接続装置４５をオフする。これにより、電源制御装置１は、ＬｉＢ２１の通常時における放電を抑えつつ、第１電源１０から第１～第４一般負荷１０１，１０３～１０５、およびＦＯＰ負荷１０２に電力を供給できる。

【0044】

［２．２．電源制御装置の地絡発生時動作］
電源制御装置１では、例えば、第１系統１１０で地絡が発生すると、地絡点に向けて過電流が流れるため、第１電圧センサ５１によって検出される電圧が地絡閾値以下になる。

【0045】

このため、制御装置３は、第１電圧センサ５１によって検出される電圧が所定時間継続して地絡閾値以下になった場合に、第１系統１１０の地絡を検知する。制御装置３は、第１系統１１０の地絡を検知すると、まず、第１接続装置４１をオフし、第５接続装置４５をオンし、第６～第８接続装置４６～４８をオフする。

【0046】

これにより、電源制御装置１は、第１系統１１０で地絡が発生しても、第２電源２０からＦＯＰ負荷１０２、第２一般負荷１０３、および第４一般負荷１０５に電力を供給してＦＯＰ制御を行うことができる。

【0047】

その後、制御装置３は、第１系統１１０で地絡が発生し、ＦＯＰ制御へ移行したことを自動運転制御装置７１に通知する。これにより、自動運転制御装置７１は、第２電源２０から供給される電力によってＦＯＰ負荷１０２を動作させて、車両を安全な場所まで退避走行させて停車させることができる。

【0048】

ただし、電源制御装置１は、例えば、第１系統１１０で地絡が発生した場合に、第１接続装置４１を確実にオフ、つまり、遮断できなければ、第２電源２０のＬｉＢ２１が放電してＦＯＰ制御ができなくなる。このため、電源制御装置１は、第１接続装置４１の制御を冗長化することによって、必要なときに、第１接続装置４１を確実にオフできるように構成される。

【0049】

［３．制御装置の構成］
次に、実施形態に係る制御装置３の構成について、図２を参照して説明する。図２は、実施形態に係る制御装置３の構成例を示す説明図である。以下では、制御装置３が第１接続装置４１を制御するために実行するプログラムをＩＳＯ（アイソレータ）制御プログラムと称する。また、以下では、ＩＳＯ制御プログラムの更新をリプロと称する場合がある。

【0050】

［３．１．制御装置の構成および通常時動作］
制御装置３は、複数のコントローラを備える。例えば、図２に示すように、制御装置３は、第１コントローラ３１と、第２コントローラ３２とを備える。第１コントローラ３１および第２コントローラ３２は、例えば、コアプロセッサである。

【0051】

さらに、制御装置３は、第１バンク３３と、第２バンク３４と、第１入出力（以下、「Ｉ／Ｏ」と記載する）ポート３５と、第２Ｉ／Ｏポート３６とを備える。第１バンク３３および第２バンク３４は、記憶装置である。第１バンク３３および第２バンク３４は、例えば、ＲＡＭである。

【0052】

第１バンク３３は、第１コントローラ３１によって実行されるプログラムを記憶する。第１バンク３３は、リプロプログラム３７と、ＩＳＯ制御プログラム３８とを記憶する。第２バンク３４は、ＩＳＯ制御プログラム３８を記憶する。

【0053】

第１バンク３３に記憶されるリプロプログラム３７およびＩＳＯ制御プログラム３８は、第１コントローラ３１によって実行されるプログラムである。第２バンク３４に記憶されるＩＳＯ制御プログラム３８は、第２コントローラ３２によって実行されるプログラムである。

【0054】

このように、制御装置３は、複数のコントローラ毎に設けられる記憶部を備える。記憶部は、各コントローラによって実行される制御プログラムを記憶する。

【0055】

第１コントローラ３１は、第１バンク３３に記憶されたＩＳＯ制御プログラム３８を実行する。そして、第１コントローラ３１は、第１Ｉ／Ｏポート３５を介して、第１接続装置４１に制御信号を出力する。

【0056】

第１コントローラ３１は、電源制御装置１の通常動作時に、第１接続装置４１を導通させる制御信号を出力する。第１コントローラ３１は、例えば、第１系統１１０の地絡を検知した場合に、第１接続装置４１を遮断する制御信号を出力する。

【0057】

第２コントローラ３２は、第２バンク３４に記憶されたＩＳＯ制御プログラム３８を実行する。そして、第２コントローラ３２は、第２Ｉ／Ｏポート３６を介して、第１接続装置４１に制御信号を出力する。

【0058】

第２コントローラ３２は、電源制御装置１の通常動作時に、第１接続装置４１を導通させる制御信号を出力する。第２コントローラ３２は、例えば、第１系統１１０の地絡を検知した場合に、第１接続装置４１を遮断する制御信号を出力する。

【0059】

このように、制御装置３では、第１コントローラ３１および第２コントローラ３２がそれぞれ独立して、同じＩＳＯ制御プログラム３８を実行することによって、第１接続装置４１の制御を冗長化できる。

【0060】

これにより、制御装置３は、例えば、第１系統１１０の地絡を検知した場合に、第１コントローラ３１および第２コントローラ３２のいずれか一方が故障しても、他方によって第１接続装置４１を確実に遮断できる。

【0061】

また、制御装置３は、第１系統１１０の地絡を検知した場合に、第１バンク３３および第２バンク３４のいずれか一方が故障しても、他方に記憶されたＩＳＯ制御プログラム３８が実行されることによって、第１接続装置４１を確実に遮断できる。

【0062】

ＩＳＯ制御プログラム３８は、新たな機能が追加される場合がある。この場合、プログラム提供装置２０１は、新たな機能が追加されたＩＳＯ新制御プログラム３９（図３参照）を電源制御装置１に提供する。

【0063】

第１コントローラ３１は、リプロプログラム３７を実行することによって、第１バンク３３および第２バンク３４に記憶されたＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９にリプロする。

【0064】

［３．２．制御装置のリプロ動作］
次に、実施形態に係る制御装置３のリプロ動作について、図３および図４を参照して説明する。図３および図４は、実施形態に係る制御装置３のリプロ動作を示す説明図である。

【0065】

プログラム提供装置２０１は、ＩＳＯ新制御プログラム３９が公開されると、ＩＳＯ新制御プログラム３９を電源制御装置１（図１参照）に送信する。例えば、図３に示すように、プログラム提供装置２０１は、通信ネットワーク２００を介して、セントラルＥＣＵ６にＩＳＯ新制御プログラム３９を送信する（ステップＳ１）。

【0066】

セントラルＥＣＵ６は、ＲＡＭ６１を備える。セントラルＥＣＵ６は、通信ネットワーク２００を介して、プログラム提供装置２０１から受信するＩＳＯ新制御プログラム３９をＲＡＭ６１に一時的に記憶する（ステップＳ２）。

【0067】

その後、セントラルＥＣＵ６は、リプロ要求を第１コントローラ３１に送信する（ステップＳ３）。リプロ要求には、ＩＳＯ新制御プログラム３９のデータ量を示す情報が含まれる。第１コントローラ３１は、車両の走行中にリプロ要求を受信すると、自動運転中でなければ、自動運転制御装置７１に自動運転禁止通知を送信する（ステップＳ４）。

【0068】

その後、第１コントローラ３１は、セントラルＥＣＵ６のＲＡＭ６１からＩＳＯ新制御プログラム３９を取得する（ステップＳ５）。そして、第１コントローラ３１は、第２コントローラ３２の動作を停止させる（ステップＳ６）。

【0069】

その後、第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９にリプロする（ステップＳ７）。このとき、第１コントローラ３１は、ＩＳＯ新制御プログラム３９の一部をリプロしてもよい。また、第１コントローラ３１は、ＩＳＯ新制御プログラム３９の全部を更新してもよい。

【0070】

なお、第１コントローラ３１は、リプロ要求を受信した場合に、自動運転中であれば、リプロを行わない。この場合、第１コントローラ３１は、車両のＩＧがオフされている期間にリプロを行う。

【0071】

このように、制御装置３が備える一部のコントローラ（ここでは、第１コントローラ３１）は、自動運転が可能な車両の走行中に制御プログラムを更新する場合、車両の自動運転を禁止する。そして、一部のコントローラは、他のコントローラ（ここでは、第２コントローラ３２）の動作を停止させ、他のコントローラによって実行される制御プログラムを更新する。

【0072】

換言すれば、制御装置３は、自動運転を禁止していない期間には全てのコントローラ（ここでは、第１コントローラ３１および第２コントローラ３２）の動作を継続させる。これにより、制御装置３は、自動運転中には接続装置の制御を冗長化できる。

【0073】

また、制御装置３が備える一部のコントローラは、プログラム提供装置２０１から車両の走行中に新たな制御プログラムを受信した場合、他のコントローラによって実行される制御プログラムを更新する。そして、一部のコントローラは、車両が非起動状態の期間に一部のコントローラによって実行される制御プログラムを更新する。これにより、制御装置３は、新たな制御プログラムを受信した場合、即座に制御プログラムを更新できる。

【0074】

また、制御装置３が備える一部のコントローラは、自動運転中でない場合に他のコントローラによって実行される制御プログラムを更新する。そして、一部のコントローラは、自動運転中である場合は他のコントローラによって実行される制御プログラムを更新せず、車両が非起動状態の期間に他のコントローラによって実行される制御プログラムを更新する。これにより、制御装置３は、自動運転中にリプロ要求があった場合には、第２コントローラ３２を停止させることがなく、第１接続装置４１の制御の冗長化が可能となる。

【0075】

また、第１コントローラ３１は、リプロを開始する場合、リプロに関する情報を通知装置７２によってユーザに通知させる（ステップＳ８）。例えば、第１コントローラ３１は、「これからリプロを開始します。自動運転を開始するためには、一度ＩＧをオフし、その後、ＩＧをオンする必要があります。」というメッセージを通知装置７２によってユーザへ通知する。

【0076】

このように、制御装置３が備える一部のコントローラは、制御プログラムを更新することと、車両の自動運転を開始するためには、車両の再起動が必要であることをユーザに通知する。これにより、制御装置３は、制御プログラムの更新のため、次回、車両を起動させるまでの間、自動運転ができなくなることをユーザに認識させることができる。

【0077】

また、第１コントローラ３１は、リプロを開始する場合、ＩＳＯ新制御プログラム３９のデータ量に基づいて、リプロに要する時間を算出する。そして、第１コントローラ３１は、例えば、「リプロ完了まで、あとＴ分です。リプロが完了するまでＩＧをオフしないでください。」というメッセージを通知装置７２によってユーザへ通知する。なお、第１コントローラは、リプロに要する時間の通知と合わせて、リプロの進行状況を示すプログレスバーを通知装置７２によって表示させてもよい。

【0078】

このように、制御装置３が備える一部のコントローラは、制御プログラムの更新に要する時間と、制御プログラムの更新が完了するまで、車両の起動を継続させることをユーザに通知する。

【0079】

これにより、制御装置３は、現在リプロ中であることと、リプロに要する時間とを明確にユーザに認識させることができる。また、制御装置３は、車両の走行中に、確実にリプロを完了させることができる。

【0080】

その後、第１コントローラ３１は、第２バンク３４のリプロが完了してＩＧがオフされると、図４に示すように、第２バンク３４に記憶させたＩＳＯ新制御プログラム３９をコピーして第１バンク３３に記憶させる（ステップＳ９）。

【0081】

また、第１コントローラ３１は、第２バンク３４のリプロが完了する前に、ＩＧがオフされた場合には、第２バンク３４の残りのリプロを完了させた後に、第２バンク３４に記憶させたＩＳＯ新制御プログラム３９をコピーして第１バンク３３に記憶させる。

【0082】

これにより、第１コントローラ３１は、次回ＩＧがオンされた後は、第１バンク３３に記憶されたＩＳＯ新制御プログラム３９を実行して第１接続装置４１を制御できる。同時に、第２コントローラ３２は、第２バンク３４に記憶されたＩＳＯ新制御プログラム３９を実行して第１接続装置４１を制御できる。

【0083】

ここでは、制御装置３がプログラム提供装置２０１からＩＳＯ新制御プログラム３９を受信した場合に、第１コントローラ３１が強制的にリプロを開始する場合について説明したが、これは一例である。

【0084】

第１コントローラ３１は、ＩＳＯ新制御プログラム３９を受信した場合、ユーザにリプロの更新許可を要求してもよい。この場合、第１コントローラ３１は、例えば「新ソフトをダウンロードしますか？ダウンロードに要する時間はＴ分です。停車しＩＧをオンするまで自動運転はできません。ダウンロードを許可する場合は、許可ボタンの押下をお願いします。」というメッセージを通知装置７２によってユーザへ通知する。

【0085】

また、第１コントローラ３１は、例えば、「新たな制御プログラムを利用可能です。制御プログラムの更新を開始してもよろしいですか？」というメッセージを通知装置７２によってユーザへ通知してもよい。

【0086】

ユーザは、例えば、通知装置７２のユーザインターフェースを使って、音声または操作により、更新許可の要求に対する回答を制御装置３に入力する。そして、第１コントローラ３１は、ユーザからリプロの更新が許可された場合に、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。

【0087】

このように、制御装置３が備える一部のコントローラは、車両の走行中に新たな制御プログラムを受信した場合、ユーザに制御プログラムの更新の許可を要求する。そして、一部のコントローラは、更新が許可された場合、他のコントローラによって実行される制御プログラムを更新する。

【0088】

これにより、ユーザは、自動運転を開始する予定があれば、制御プログラムの更新を拒否できる。このため、制御装置３は、ユーザの意思を反映しつつ、制御プログラムの更新を行うことができる。

【0089】

また、第１コントローラ３１は、ユーザによってリプロが許可されない場合、ＩＧがオフになってから第２コントローラ３２によって実行される第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。

【0090】

このように、制御装置３が備える一部のコントローラは、制御プログラムの更新が許可されない場合、ＩＧがオフされている車両が非起動状態の期間に、他のコントローラによって実行される制御プログラムを更新する。これにより、制御装置３は、走行中の更新がユーザによって拒否されても、停車中に制御プログラムを確実に更新できる。

【0091】

また、制御装置３が備える一部のコントローラは、制御プログラムの更新に要する時間をユーザに通知する。これにより、ユーザは、制御プログラムの更新時間以内に降車するつもりであれば、更新を拒否できる。また、ユーザは、制御装置３から通知される更新に要する時間を見て、更新を許可するか否かを判断できる。

【0092】

［４．制御装置が実行する処理］
次に、制御装置３が実行する処理の一例について、図５を参照して説明する。図５は、実施形態に係る制御装置が実行する処理の一例を示すフローチャートである。制御装置３は、車両のＩＧがオンされると、図５に示す処理を開始する。

【0093】

図５に示すように、例えば、制御装置３の第１コントローラ３１は、ＩＧがオンされると、まず、第１バンク３３に対する更新完了フラグＦ１および第２バンク３４に対する更新完了フラグＦ２が立っているか否かを判定する（ステップＳ１０１）。

【0094】

更新完了フラグＦ１，Ｆ２は、後述するステップＳ１０８、Ｓ１１２、Ｓ１１３で設定されるもので、前回のＩＧオン中のＩＳＯ新制御プログラム３９へのリプロ要求に対して、第１バンク３３および第２バンク３４の更新が完了していることを示す。

【0095】

よって、ステップＳ１０１は、第１コントローラ３１が、前回のＩＧオン中のリプロ要求に対して、第１バンク３３および第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されているか否かを判定しているともいえる。ここでのＩＧオン中とは、例えば、車両の走行中のことである。

【0096】

第１コントローラ３１は、更新完了フラグＦ１，Ｆ２が共に立っていると判定した場合（ステップＳ１０１，Ｙｅｓ）、自動運転禁止解除通知を自動運転制御装置７１に送信する（ステップＳ１０２）。

【0097】

すなわち、第１コントローラ３１は、前回のＩＧオン中のリプロ要求に対して、第１バンク３３および第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されている場合、自動運転禁止解除通知を自動運転制御装置７１に送信する。このとき、第１コントローラ３１は、更新完了フラグＦ１，Ｆ２をクリアする。そして、第１コントローラ３１は、処理をステップＳ１０３へ移す。

【0098】

第１コントローラ３１は、更新完了フラグＦ１，Ｆ２が共に立っていないと判定した場合（ステップＳ１０１，Ｎｏ）、今回の走行中にセントラルＥＣＵ６からリプロ要求があるか否かを判定する（ステップＳ１０３）。すなわち、第１コントローラ３１は、前回の走行中にＩＳＯ新制御プログラム３９へのリプロ要求がなかった場合、今回の走行中にセントラルＥＣＵ６からリプロ要求があるか否かを判定する。

【0099】

第１コントローラ３１は、リプロ要求がないと判定した場合（ステップＳ１０３，Ｎｏ）、処理をステップＳ１０９へ移す。第１コントローラ３１は、リプロ要求があると判定した場合（ステップＳ１０３，Ｙｅｓ）、自動運転中か否かを判定する（ステップＳ１０４）。第１コントローラ３１は、自動運転中でないと判定した場合（ステップＳ１０４，Ｎｏ）、リプロに関する情報をユーザに通知する（ステップＳ１０５）。

【0100】

例えば、第１コントローラ３１は、「これからリプロを開始します。自動運転を開始するためには、一度ＩＧをオフし、その後、ＩＧをオンする必要があります。」というメッセージを通知装置７２によってユーザへ通知する。また、第１コントローラ３１は、例えば、「リプロ完了まで、あとＴ分です。リプロが完了するまでＩＧをオフしないでください。」というメッセージを通知装置７２によってユーザへ通知する。

【0101】

続いて、第１コントローラ３１は、自動運転禁止通知を自動運転制御装置７１に送信する（ステップＳ１０６）。そして、第１コントローラ３１は、第２コントローラ３２の動作を停止させる（ステップＳ１０７）。その後、第１コントローラ３１は、第２バンク３４のリプロを行う（ステップＳ１０８）。

【0102】

具体的には、第１コントローラ３１は、セントラルＥＣＵ６からＩＳＯ新制御プログラム３９を受信する。そして、第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新し、第２バンク３４に対する更新完了フラグＦ２を立てる。

【0103】

一方、第１コントローラ３１は、ステップＳ１０４で自動運転中と判定した場合（ステップＳ１０４，Ｙｅｓ）、処理をステップＳ１０９へ移す。これにより、自動運転中にリプロ要求があった場合、第１コントローラ３１は、ステップＳ１０５～Ｓ１０８の処理を行わないため、第２コントローラ３２を停止させることがなく、自動運転中に第１接続装置４１の制御の冗長化が可能となる。

【0104】

その後、第１コントローラ３１は、ＩＧがオフされたか否かを判定する（ステップＳ１０９）。第１コントローラ３１は、ＩＧがオフされていないと判定した場合（ステップＳ１０９，Ｎｏ）、処理をステップＳ１０３へ移す。

【0105】

第１コントローラ３１は、ＩＧがオフされたと判定した場合（ステップＳ１０９，Ｙｅｓ）、新制御プログラムがあるか否かを判定する（ステップＳ１１０）。このとき、第１コントローラ３１は、セントラルＥＣＵ６と通信する。そして、第１コントローラ３１は、セントラルＥＣＵ６にＩＳＯ新制御プログラム３９を記憶しているか否かを確認する。

【0106】

第１コントローラは、セントラルＥＣＵ６がＩＳＯ新制御プログラム３９を記憶していない場合に、新制御プログラムなしと判定し（ステップＳ１１０，Ｎｏ）、処理を終了する。第１コントローラ３１は、セントラルＥＣＵ６がＩＳＯ新制御プログラム３９を記憶している場合に、新制御プログラムありと判定する（ステップＳ１１０，Ｙｅｓ）。

【0107】

そして、第１コントローラ３１は、第２バンク３４の更新完了フラグＦ２が立っているか否かに基づいて、第２バンク３４をリプロ済みか否かを判定する（ステップＳ１１１）。第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されていなければ、つまり、更新完了フラグＦ２が立っていなければ、第２バンク３４をリプロ済みでないと判定する（ステップＳ１１１，Ｎｏ）。

【0108】

第１コントローラ３１は、前述のステップＳ１０４でＹｅｓと判定した場合、つまり、自動運転中にリプロ要求ありの場合に、第２バンク３４をリプロ済みでないと判定することになる。

【0109】

そして、第１コントローラ３１は、第２バンク３４のリプロを行い（ステップＳ１１２）、更新完了フラグＦ２を立てる。このように、第１コントローラ３１は、自動運転中にリプロ要求を受信した場合、このタイミングで、すなわちＩＧがオフになった車両の非起動時に第２バンク３４のリプロを行う。

【0110】

具体的には、第１コントローラ３１は、セントラルＥＣＵ６からＩＳＯ新制御プログラム３９を受信する。そして、第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。

【0111】

第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されていれば、つまり、更新完了フラグＦ２が立っていれば、第２バンク３４をリプロ済みと判定する（ステップＳ１１１，Ｙｅｓ）。そして、第１コントローラ３１は、第２バンク３４のＩＳＯ新制御プログラム３９を第１バンク３３へコピーし（ステップＳ１１３）、更新完了フラグＦ１を立てる。つまり、第１コントローラ３１は、第１バンク３３のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。その後、第１コントローラ３１は、処理を終了する。

【0112】

［５．制御装置が実行する処理の変形例］
次に、制御装置３が実行する処理の変形例について、図６を参照して説明する。図６は、実施形態に係る制御装置が実行する処理の変形例を示すフローチャートである。

【0113】

制御装置３は、変形例に係る処理を実行する場合、車両のＩＧがオンされると、図６に示す処理を開始する。図６に示すように、例えば、制御装置３の第１コントローラ３１は、ＩＧがオンされると、まず、第１バンク３３に対する更新完了フラグＦ１および第２バンク３４に対する更新完了フラグＦ２が立っているか否かを判定する（ステップＳ２０１）。第１コントローラ３１は、第１バンク３３および第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されているか否かを判定する。

【0114】

更新完了フラグＦ１，Ｆ２は、後述するステップＳ２０９、Ｓ２１３、Ｓ２１４で設定されるもので、前回のＩＧオン中のＩＳＯ新制御プログラム３９へのリプロ要求に対して、第１バンク３３および第２バンク３４の更新が完了していることを示す。

【0115】

よって、ステップＳ２０１は、第１コントローラ３１が、前回のＩＧオン中のリプロ要求に対して、第１バンク３３および第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されているか否かを判定しているともいえる。ここでのＩＧオン中とは、例えば、車両の走行中のことである。

【0116】

第１コントローラ３１は、更新完了フラグＦ１，Ｆ２が共に立っていると判定した場合（ステップＳ２０１，Ｙｅｓ）、自動運転禁止解除通知を自動運転制御装置７１に送信する（ステップＳ２０２）。

【0117】

すなわち、第１コントローラ３１は、前回のＩＧオン中のリプロ要求に対して、第１バンク３３および第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されている場合、自動運転禁止解除通知を自動運転制御装置７１に送信する。このとき、第１コントローラ３１は、更新完了フラグＦ１，Ｆ２をクリアする。そして、第１コントローラ３１は、処理をステップＳ２０３へ移す。

【0118】

第１コントローラ３１は、更新完了フラグＦ１，Ｆ２が共に立っていないと判定した場合（ステップＳ２０１，Ｎｏ）、今回の走行中にセントラルＥＣＵ６からリプロ要求があるか否かを判定する（ステップＳ２０３）。すなわち、第１コントローラ３１は、前回の走行中にＩＳＯ新制御プログラム３９へのリプロ要求がなかった場合、今回の走行中にセントラルＥＣＵ６からリプロ要求があるか否かを判定する。

【0119】

第１コントローラ３１は、リプロ要求がないと判定した場合（ステップＳ２０３，Ｎｏ）、処理をステップＳ２１０へ移す。第１コントローラ３１は、リプロ要求があると判定した場合（ステップＳ２０３，Ｙｅｓ）、自動運転中か否かを判定する（ステップＳ２０４）。第１コントローラ３１は、自動運転中でないと判定した場合（ステップＳ２０４，Ｎｏ）、リプロに関する情報をユーザに通知する（ステップＳ２０５）。

【0120】

例えば、第１コントローラ３１は、「新ソフトをダウンロードしますか？ダウンロードに要する時間はＴ分です。停車しＩＧをオンするまで自動運転はできません。ダウンロードを許可する場合は、許可ボタンの押下をお願いします。」というメッセージを通知装置７２によってユーザへ通知する。

【0121】

また、第１コントローラ３１は、例えば、「新たな制御プログラムを利用可能です。制御プログラムの更新を開始してもよろしいですか？」というメッセージを通知装置７２によってユーザへ通知してもよい。つまり、第１コントローラ３１は、リプロの許可をユーザに要求する。

【0122】

続いて、第１コントローラ３１は、リプロがＯＫか否かを判定する（ステップＳ２０６）。具体的には、第１コントローラ３１は、ユーザによってリプロが拒否された場合、リプロがＮＧであると判定する（ステップＳ２０６，Ｎｏ）。この場合、第１コントローラ３１は、処理をステップＳ２１０へ移す。

【0123】

第１コントローラ３１は、ユーザによってリプロが許可された場合、リプロがＯＫと判定する（ステップＳ２０６，Ｙｅｓ）。この場合、第１コントローラ３１は、自動運転禁止通知を自動運転制御装置７１に送信する（ステップＳ２０７）。

【0124】

そして、第１コントローラ３１は、第２コントローラ３２の動作を停止させる（ステップＳ２０８）。その後、第１コントローラ３１は、第２バンク３４のリプロを行う（ステップＳ２０９）。

【0125】

具体的には、第１コントローラ３１は、セントラルＥＣＵ６からＩＳＯ新制御プログラム３９を受信する。そして、第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新し、第２バンク３４に対する更新完了フラグＦ２を立てる。

【0126】

一方、第１コントローラ３１は、ステップＳ２０４で自動運転中と判定した場合（ステップＳ２０４，Ｙｅｓ）、処理をステップＳ２１０へ移す。これにより、自動運転中にリプロ要求があった場合、第１コントローラ３１は、ステップＳ２０５～Ｓ２０９の処理を行わないため、第２コントローラ３２を停止させることがなく、自動運転中に第１接続装置４１の制御の冗長化が可能となる。

【0127】

その後、第１コントローラ３１は、ＩＧがオフされたか否かを判定する（ステップＳ２１０）。第１コントローラ３１は、ＩＧがオフされていないと判定した場合（ステップＳ２１０，Ｎｏ）、処理をステップＳ２０３へ移す。

【0128】

第１コントローラ３１は、ＩＧがオフされたと判定した場合（ステップＳ２１０，Ｙｅｓ）、新制御プログラムがあるか否かを判定する（ステップＳ２１１）。このとき、第１コントローラ３１は、セントラルＥＣＵ６と通信する。そして、第１コントローラ３１は、セントラルＥＣＵ６にＩＳＯ新制御プログラム３９を記憶しているか否かを確認する。

【0129】

第１コントローラは、セントラルＥＣＵ６がＩＳＯ新制御プログラム３９を記憶していない場合に、新制御プログラムなしと判定し（ステップＳ２１１，Ｎｏ）、処理を終了する。第１コントローラ３１は、セントラルＥＣＵ６がＩＳＯ新制御プログラム３９を記憶している場合に、新制御プログラムありと判定する（ステップＳ２１１，Ｙｅｓ）。

【0130】

そして、第１コントローラ３１は、第２バンク３４の更新完了フラグＦ２が立っているか否かに基づいて、第２バンク３４をリプロ済みか否かを判定する（ステップＳ２１２）。第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されていなければ、つまり、更新完了フラグＦ２が立っていなければ、第２バンク３４をリプロ済みでないと判定する（ステップＳ２１２，Ｎｏ）。

【0131】

第１コントローラ３１は、前述のステップ２０４でＹｅｓと判定した場合、つまり、自動運転中にリプロ要求ありの場合に、第２バンク３４をリプロ済みでないと判定することになる。

【0132】

そして、第１コントローラ３１は、第２バンク３４のリプロを行い（ステップＳ２１３）、更新完了フラグＦ２を立てる。このように、第１コントローラ３１は、自動運転中にリプロ要求を受信した場合、このタイミングで、すなわちＩＧがオフになった車両の非起動時に第２バンク３４のリプロを行う。

【0133】

具体的には、第１コントローラ３１は、セントラルＥＣＵ６からＩＳＯ新制御プログラム３９を受信する。そして、第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。

【0134】

第１コントローラ３１は、第２バンク３４のＩＳＯ制御プログラム３８がＩＳＯ新制御プログラム３９に更新されていれば、つまり、更新完了フラグＦ２が立っていれば、第２バンク３４をリプロ済みと判定する（ステップＳ２１２，Ｙｅｓ）。

【0135】

そして、第１コントローラ３１は、第２バンク３４のＩＳＯ新制御プログラム３９を第１バンク３３へコピーし（ステップＳ２１４）、更新完了フラグＦ１を立てる。つまり、第１コントローラ３１は、第１バンク３３のＩＳＯ制御プログラム３８をＩＳＯ新制御プログラム３９に更新する。その後、第１コントローラ３１は、処理を終了する。

【0136】

なお、上述した実施形態では、第１コントローラ３１が走行中にリプロ要求を受信した場合に、第２コントローラ３２の動作を停止させて、第２バンク３４をリプロする場合について説明したが、これは一例である。制御装置３は、例えば、第２コントローラ３２が走行中にリプロ要求を受信した場合に、第１コントローラ３１の動作を停止させて、第１バンク３３をリプロしてもよい。

【0137】

また、制御装置３は、セントラルＥＣＵ６を含んでもよい。この場合、セントラルＥＣＵ６は、ＩＳＯ新制御プログラム３９を受信した場合に、第１コントローラ３１および第２コントローラ３２のいずれか一方の動作を停止させ、他方の動作を継続させる。そして、セントラルＥＣＵ６は、動作を停止させた方のコントローラによって実行される制御プログラムを更新する。

【0138】

また、セントラルＥＣＵ６は、ユーザによってリプロが許可された場合に、第１コントローラ３１および第２コントローラ３２のいずれか一方の動作を停止させてもよい。そして、セントラルＥＣＵ６は、動作を停止させた方のコントローラによって実行される制御プログラムを更新してもよい。

【0139】

［６．付記］
付記として、本発明の特徴を以下の通り示す。
（１）
第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能な接続装置を、制御プログラムを実行することによって制御する複数のコントローラを備え、
一部の前記コントローラは、自動運転が可能な車両の走行中に前記制御プログラムを更新する場合、前記車両の自動運転を禁止し、他の前記コントローラの動作を停止させ、前記他のコントローラによって実行される前記制御プログラムを更新する、
制御装置。
（２）
前記一部のコントローラは、前記車両の走行中に新たな前記制御プログラムを受信した場合、前記他のコントローラによって実行される前記制御プログラムを更新し、前記車両が非起動状態の期間に前記一部のコントローラによって実行される前記制御プログラムを更新する、
前記（１）に記載の制御装置。
（３）
前記一部のコントローラは、自動運転中でない場合に他のコントローラによって実行される前記制御プログラムを更新し、自動運転中である場合は他のコントローラによって実行される前記制御プログラムを更新せず、前記車両が非起動状態の期間に前記他のコントローラによって実行される前記制御プログラムを更新する
（２）に記載の制御装置。
（４）
前記一部のコントローラは、前記制御プログラムを更新することと、前記車両の自動運転を開始するためには前記車両の再起動が必要であることとをユーザに通知する、
前記（２）または（３）に記載の制御装置。
（５）
前記一部のコントローラは、前記制御プログラムの更新に要する時間と、前記制御プログラムの更新が完了するまで前記車両の起動状態を継続させることとをユーザに通知する、
前記（２）から（４）のいずれか一つに記載の制御装置。
（６）
前記一部のコントローラは、前記車両の走行中に新たな前記制御プログラムを受信した場合、ユーザに前記制御プログラムの更新の許可を要求し、前記更新が許可された場合、前記他のコントローラによって実行される前記制御プログラムを更新する、
前記（１）に記載の制御装置。
（７）
前記一部のコントローラは、前記更新が許可されない場合、前記車両が非起動状態の期間に前記他のコントローラによって実行される前記制御プログラムを更新する、
前記（６）に記載の制御装置。
（８）
前記一部のコントローラは、前記制御プログラムの更新に要する時間をユーザに通知する、
前記（６）または（７）に記載の制御装置。
（９）
前記複数のコントローラ毎に設けられ、各前記コントローラによって実行される前記制御プログラムを記憶する記憶部を備える、
前記（１）から（８）のいずれか一つに記載の制御装置。
（１０）
第１電源の電力を第１負荷に供給する第１系統と、第２電源の電力を第２負荷に供給する第２系統とを接続および切断可能な接続装置を、制御プログラムを実行することによって制御する複数のコントローラのうち、一部の前記コントローラが、
自動運転が可能な車両の走行中に前記制御プログラムを更新する場合、前記車両の自動運転を禁止し、他の前記コントローラの動作を停止させ、前記他のコントローラによって実行される前記制御プログラムを更新する、
制御方法。

【0140】

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

【符号の説明】

【0141】

１ 電源制御装置
３ 制御装置
１０ 第１電源
１２ 発電機
２０ 第２電源
３１ 第１コントローラ
３２ 第２コントローラ
３３ 第１バンク
３４ 第２バンク
３５ 第１Ｉ／Ｏポート
３６ 第２Ｉ／Ｏポート
３７ リプロプログラム
３８ ＩＳＯ制御プログラム
３９ ＩＳＯ新制御プログラム
４１ 第１接続装置
４２ 第２接続装置
４３ 第３接続装置
４４ 第４接続装置
４５ 第５接続装置
４６ 第６接続装置
４７ 第７接続装置
４８ 第８接続装置
５１ 第１電圧センサ
５２ 第２電圧センサ
６ セントラルＥＣＵ
６１ ＲＡＭ
７１ 自動運転制御装置
７２ 通知装置
１０１ 第１一般負荷
１０２ ＦＯＰ負荷
１０３ 第２一般負荷
１０４ 第３一般負荷
１０５ 第４一般負荷
１１０ 第１系統
１２０ 第２系統
２００ 通信ネットワーク
２０１ プログラム提供装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】