特許 7567755 車両管理システムおよび車両

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-07

(45)【発行日】2024-10-16

(54)【発明の名称】車両管理システムおよび車両

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241008BHJP

   B60W 50/00 20060101ALI20241008BHJP

   B60W 60/00 20200101ALI20241008BHJP

【ＦＩ】

G06F8/65

B60W50/00

B60W60/00

【請求項の数】 4

(21)【出願番号】P 2021183945

(22)【出願日】2021-11-11

(65)【公開番号】P2023071279

(43)【公開日】2023-05-23

【審査請求日】2023-11-08

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】長田 祐

【審査官】円子 英紀

(56)【参考文献】

【文献】特開２０１９－１５９３９９（ＪＰ，Ａ）

【文献】特開２０１８－１３２９７９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５

Ｂ６０Ｗ ５０／００－６０／００

(57)【特許請求の範囲】

【請求項1】

自動運転が可能な車両と、
前記車両と無線通信が可能に構成されたサーバとを備え、
前記車両は、
車両プラットフォームと、
自動運転プログラムが格納された第１のメモリを有する自動運転システムと、
前記車両プラットフォームを制御する制御装置と、
信号毎に定義された所定のＡＰＩ（Application Program Interface）を実行することにより、前記自動運転システムと前記制御装置との間のインターフェイスを行う車両制御インターフェイスとを含み、
前記制御装置は、
前記自動運転システムからの要求に従って前記車両プラットフォームを制御するための制御プログラムが格納された第２のメモリを有する個別ＥＣＵ（Electronic Control Unit）と、
前記個別ＥＣＵの前記制御プログラムの更新処理を制御するセントラルＥＣＵとを含み、
前記車両制御インターフェイスは、前記第１のメモリに格納された前記自動運転プログラムのバージョンを前記自動運転システムから収集するとともに、前記第２のメモリに格納された前記制御プログラムのバージョンを前記セントラルＥＣＵから収集し、収集されたバージョンを前記サーバに送信し、
前記サーバは、
前記第１のメモリに格納された前記自動運転プログラムのバージョンと、前記第２のメモリに格納された前記制御プログラムのバージョンとを取得し、
前記自動運転プログラムと前記制御プログラムとの組み合わせが適合することが確認されたバージョンである動作保証バージョンを取得し、
前記第２のメモリに格納された前記制御プログラムが前記動作保証バージョンの範囲内で更新されるように前記更新処理を管理する、車両管理システム。

【請求項2】

前記サーバとの通信が可能に構成された端末をさらに備え、
前記サーバは、前記動作保証バージョンの範囲内での前記制御プログラムの更新の可否を前記端末に問い合わせ、
前記端末は、前記車両の管理者が更新を許諾した場合に、当該許諾を前記サーバに通知し、
前記サーバは、前記端末から当該通知を受けた場合に、前記動作保証バージョンの範囲内での前記制御プログラムの更新処理を管理する、請求項１に記載の車両管理システム。

【請求項3】

前記サーバは、前記動作保証バージョンの範囲内には更新可能な前記制御プログラムが存在しない場合には、前記制御プログラムの更新処理を実行しない、請求項１または２に記載の車両管理システム。

【請求項4】

無線通信によるプログラム更新処理を管理するサーバと通信可能に構成された車両であって、
車両プラットフォームと、
自動運転プログラムが格納された第１のメモリを有する自動運転システムと、
前記車両プラットフォームを制御する制御装置と、
信号毎に定義された所定のＡＰＩ（Application Program Interface）を実行することにより、前記自動運転システムと前記制御装置との間のインターフェイスを行う車両制御インターフェイスとを備え、
前記制御装置は、
前記自動運転システムからの要求に従って前記車両プラットフォームを制御するための制御プログラムが格納された第２のメモリを有する個別ＥＣＵ（Electronic Control Unit）と、
前記個別ＥＣＵの前記制御プログラムの更新処理を制御するセントラルＥＣＵとを含み、
前記車両制御インターフェイスは、前記第１のメモリに格納された前記自動運転プログラムのバージョンを前記自動運転システムから収集するとともに、前記第２のメモリに格納された前記制御プログラムのバージョンを前記制御装置から収集し、収集されたバージョンを前記サーバに送信する、車両。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車両管理システム、サーバ、車両、および、車両の管理方法に関し、より特定的には、自動運転が可能な車両を管理または制御するための技術に関する。

【背景技術】

【0002】

自動運転機能を実現するための自動運転システムが提案されている。たとえば特開２０１８－１３２０１５号公報（特許文献１）に開示された車両には、動力システムと、電源システムと、自動運転システムとが搭載されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１８－１３２０１５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

自動運転が可能な車両は、自動運転システムと、制御装置とを含む。自動運転システムは、自動運転プログラムが格納されたメモリを有する。制御装置は、自動運転システムからの要求に従って車両プラットフォームを制御する制御プログラムが格納されたメモリを有する。

【0005】

車載の各種プログラムを無線通信により更新するＯＴＡ（Over-The-Air）技術の開発が進められている。自動運転プログラムも制御プログラムもＯＴＡにより更新できる。

【0006】

今後、自動運転技術が進展するなかで、車両プラットフォームと自動運転システムとが異なるメーカにより製造される状況も想定される。そのような状況下では、車両プラットフォームを制御する制御プログラムと、自動運転プログラムとが別々に更新される可能性も考えられる。当該２種類のプログラムが別々に更新される場合であっても、車両プラットフォームと自動運転システムとを適切に連携させることが望ましい。

【0007】

本開示は上記課題を解決するためになされたものであり、本開示の目的は、車両プラットフォームと自動運転システムとを適切に連携させることである。

【課題を解決するための手段】

【0008】

（１）本開示のある局面に従う車両管理システムは、自動運転が可能な車両と、車両と無線通信が可能に構成されたサーバとを備える。車両は、車両プラットフォームと、自動運転プログラムが格納された第１のメモリを有する自動運転システムと、自動運転システムからの要求に従って車両プラットフォームを制御するための制御プログラムが格納された第２のメモリを有する制御装置とを含む。サーバは、第１のメモリに格納された自動運転プログラムのバージョンと、第２のメモリに格納された制御プログラムのバージョンとを取得し、自動運転プログラムと制御プログラムとの組み合わせが適合することが確認されたバージョンである動作保証バージョンを取得する。サーバは、第２のメモリに格納された制御プログラムが動作保証バージョンの範囲内で更新されるように制御プログラムの更新処理を管理する。

【0009】

上記（１）の構成においては、サーバが自動運転プログラムおよび制御プログラムの各々の現在のバージョンを取得するとともに、動作保証バージョンを取得する。動作保証バージョンの範囲内であれば、上記２種類のプログラムの組み合わせが適合することが確認されている。よって、上記（１）の構成によれば、制御プログラムを動作保証バージョンの範囲内での更新に留めることによって、車両プラットフォームと自動運転システムとを適切に連携させることができる。

【0010】

（２）車両は、自動運転システムと制御装置との間のインターフェイスを行う車両制御インターフェイスをさらに含む。車両制御インターフェイスは、第１のメモリに格納された自動運転プログラムのバージョンを自動運転システムから収集するとともに、第２のメモリに格納された制御プログラムのバージョンを制御装置から収集し、収集されたバージョンをサーバに送信する。

【0011】

上記（２）の構成によれば、車両プラットフォームと自動運転システムとを適切に連携させるために使用される各種バージョン情報をサーバに取得させることができる。

【0012】

（３）車両管理システムは、サーバとの通信が可能に構成された端末をさらに備える。サーバは、動作保証バージョンの範囲内での制御プログラムの更新の可否を端末に問い合わせる。端末は、車両の管理者が更新を許諾した場合に、当該許諾をサーバに通知する。サーバは、端末から当該通知を受けた場合に、動作保証バージョンの範囲内での制御プログラムの更新処理を管理する。

【0013】

上記（３）の構成においては、車両の管理者から更新の許諾を得た上で制御プログラムを更新できる。

【0014】

（４）サーバは、動作保証バージョンの範囲内には更新可能な制御プログラムが存在しない場合には、制御プログラムの更新処理を実行しない。

【0015】

上記（４）の構成においては、動作保証バージョンの範囲内には更新可能な制御プログラムが存在しない場合には制御プログラムの更新処理を実行しないことで、不要な演算処理を省略できる。

【0016】

（５）本開示の他の局面に従うサーバは、自動運転が可能な車両における制御プログラムの更新処理を管理する。車両は、車両プラットフォームと、自動運転プログラムが格納された第１のメモリを有する自動運転システムと、自動運転システムからの要求に従って車両プラットフォームを制御するための制御プログラムが格納された第２のメモリを有する制御装置とを含む。サーバは、車両との無線通信が可能に構成された通信装置と、プロセッサとを備える。プロセッサは、第１のメモリに格納された自動運転プログラムのバージョンと、第２のメモリに格納された制御プログラムのバージョンとを取得し、自動運転プログラムと制御プログラムとの組み合わせが適合することが確認されたバージョンである動作保証バージョンを取得する。プロセッサは、第２のメモリに格納された制御プログラムが動作保証バージョンの範囲内で更新されるように制御プログラムの更新処理を管理する。

【0017】

上記（５）の方法によれば、上記（１）の構成と同様に、車両プラットフォームと自動運転システムとを適切に連携させることができる。

【0018】

（６）本開示のさらに他の局面に従う車両は、無線通信によるプログラム更新処理を管理するサーバと通信可能に構成されている。車両は、車両プラットフォームと、自動運転プログラムが格納されたメモリを有する自動運転システムと、自動運転システムからの要求に従って車両プラットフォームを制御する制御プログラムが格納されたメモリを有する制御装置と、自動運転システムと制御装置との間のインターフェイスを行う車両制御インターフェイスとを備える。車両制御インターフェイスは、第１のメモリに格納された自動運転プログラムのバージョンを自動運転システムから収集するとともに、第２のメモリに格納された制御プログラムのバージョンを制御装置から収集し、収集されたバージョンをサーバに送信する。

【0019】

上記（６）の構成によれば、上記（２）の構成と同様に、車両プラットフォームと自動運転システムとを適切に連携させるために使用される各種バージョン情報をサーバに取得させることができる。

【0020】

（７）本開示のさらに他の局面に従う車両の管理方法は、自動運転が可能な車両のサーバによる管理方法である。車両は、自動運転プログラムが格納された第１のメモリを有する自動運転システムと、自動運転システムからの要求に従って車両プラットフォームを制御する制御プログラムが格納された第２のメモリを有する制御装置とを含む。管理方法は第１～第３のステップを含む。第１のステップは、第１のメモリに格納された自動運転プログラムのバージョンと、第２のメモリに格納された制御プログラムのバージョンとを取得するステップである。第２のステップは、自動運転プログラムと制御プログラムとの組み合わせが適合することが確認されたバージョンである動作保証バージョンを取得するステップである。第３のステップは、第２のメモリに格納された制御プログラムが動作保証バージョンの範囲内で更新されるように制御プログラムの更新処理を管理するステップとを含む。

【0021】

上記（７）の方法によれば、上記（１）の構成と同様に、車両プラットフォームと自動運転システムとを適切に連携させることができる。

【発明の効果】

【0022】

本開示によれば、車両プラットフォームと自動運転システムとを適切に連携させることができる。

【図面の簡単な説明】

【0023】

【図1】本開示の実施の形態に係る車両管理システムの概略構成を示す図である。

【図2】車両の典型的なハードウェア構成を示すブロック図である。

【図3】自動運転システム（ＡＤＳ）、車両制御インターフェイスボックス（ＶＣＩＢ）および電子制御ユニット（ＥＣＵ）の典型的なハードウェア構成を示すブロック図である。

【図4】管制センタの典型的なハードウェア構成を示すブロック図である。

【図5】本実施の形態におけるプログラム更新処理の概要を説明するための第１の図である。

【図6】本実施の形態におけるプログラム更新処理の概要を説明するための第２の図である。

【図7】プログラム更新処理において、制御プログラムのバージョン情報を取得するまでの処理の流れを示すシーケンス図である。

【図8】プログラム更新処理において、制御プログラムのバージョン情報を取得してから制御プログラムを更新するまでの処理の流れを示すシーケンス図である。

【発明を実施するための形態】

【0024】

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付して、その説明は繰り返さない。

【0025】

［実施の形態］
＜システム構成＞
図１は、本開示の実施の形態に係る車両管理システムの概略構成を示す図である。車両管理システム１００は、管制センタ１と、車両センタ２と、複数の車両３Ａ，３Ｂ，３Ｃとを備える。以下では、説明の便宜上、車両３Ａ，３Ｂ，３Ｃのうちのいずれか１台の車両を車両３と記載する。なお、図１には３台の車両３を示すが、車両３の台数は任意である。

【0026】

管制センタ１は、車両３に搭載されたＥＣＵ（Electronic Control Unit）６（図２および図３参照）の制御プログラムを提供する事業者のサーバである。この例では、ＥＣＵ６の制御プログラムが車両メーカによって提供される。管制センタ１は、本開示に係る「サーバ」に相当する。

【0027】

車両センタ２は、たとえば、車両３の運行を管理する事業者（タクシー事業者、ライドシェアサービス事業者など）の自社サーバである。車両センタ２は、当該事業者を含む複数の事業者で共有されるシェアードサーバであってもよい。車両センタ２は、クラウドサーバ管理会社が提供するクラウドサーバであってもよい。車両センタ２は、車両３の運行管理者による操作を受け付ける。運行管理者とは、たとえば、車両３の運行を管理する事業体に勤務し、車両３の制御プログラムを更新する権限を有する職員である。

【0028】

複数の車両３の各々は自動運転車両である。各車両３は、たとえば車両センタ２の事業者が提供するサービスに用いられる。車両３の種類（車種）は、事業者により提供されるサービスに応じて適宜選択される。車両センタ２と管制センタ１と各車両３とは、有線または無線のネットワークＮＷを介して互いに通信可能に接続されている。

【0029】

なお、車両センタ２は必須ではない。車両３が業務用ではなく個人所有である場合には、車両管理システム１００は、車両センタ２に代えて、車両３のユーザ端末（パーソナルコンピュータ、スマートホンなど）を含んでもよい。車両センタ２および／またはユーザ端末は、本開示に係る「端末」に相当する。

【0030】

＜車両のハードウェア構成＞
図２は、車両３の典型的なハードウェア構成を示すブロック図である。車両３は、自動運転システム（ＡＤＳ：Autonomous Driving System）４と、車両制御インターフェイスボックス（ＶＣＩＢ：Vehicle Control Interface Box）５と、電子制御ユニット（ＥＣＵ：Electronic Control Unit）６と、ＤＣＭ（Data Communication Module）７と、センサ群８と、車両プラットフォーム（ＶＰ：Vehicle Platform）９とを備える。車両３の構成要素（上記の各システム）は、ＣＡＮ（Controller Area Network）、イーサネット（Ethernet）（登録商標）などの有線の車載ネットワークにより互いに接続されている。ＡＤＳ４とＥＣＵ６とはＶＣＩＢ５を介して相互に通信可能に構成されている。

【0031】

ＡＤＳ４は、車両３の自動運転を実現するための各種制御要求を出力したり、車両状態（ＶＰ９の状態）を示す各種信号を受けたりする。より具体的には、車両３の走行計画を作成する。ＡＤＳ４は、走行計画に従って車両３を走行させるための制御要求を、制御要求毎に定義されたＡＰＩ（Application Program Interface）に従って、ＶＣＩＢ５を介してＥＣＵ６に出力する。また、ＡＤＳ４は、車両状態を示す信号を、信号毎に定義されたＡＰＩに従ってＥＣＵ６からＶＣＩＢ５を介して受ける。そして、ＡＤＳ４は、車両状態を走行計画に反映する。

【0032】

加えて、ＡＤＳ４は、自動運転プログラムを無線通信により更新するように構成されている。この例では、自動運転プログラムがＡＤＳメーカによって提供される。ＡＤＳ４は、ＡＤＳメーカからＤＣＭ７を介して自動運転プログラムを受信（ダウンロード）する。ＡＤＳ４は、ダウンロードした自動運転プログラムを適切なタイミングでＡＤＳ４のメモリ４２（図３参照）に格納（インストール）する。そして、ＡＤＳ４は、インストールされた自動運転プログラムを適切なタイミングで有効化（アクティベート）する。

【0033】

ＶＣＩＢ５は、ＣＡＮ等を通じてＡＤＳ４と通信可能に構成されている。ＶＣＩＢ５は、信号毎に定義された所定のＡＰＩを実行することにより、ＡＤＳ４から制御要求を受信したり、車両状態をＡＤＳ４に出力したりする。ＶＣＩＢ５は、ＡＤＳ４から制御要求を受信すると、その制御要求に対応する制御指令をＥＣＵ６を介して、その制御指令に対応するシステムに出力する。また、ＶＣＩＢ５は、各システムからＥＣＵ６を介して車両状態を示す信号を取得し、その信号をＡＤＳ４に出力する。

【0034】

ＥＣＵ６は、ＡＤＳ４からの制御要求およびセンサ群８からの信号などに応じて、車両３の動作に関わる機器類（ＶＰ９に含まれる各システム）を制御する。さらに、ＥＣＵ６は、ＤＣＭ７を介して、車両状態を示す様々な情報（車両情報）を車両センタ２に送信したり、様々な要求を車両センタ２に送信したりする。また、ＥＣＵ６は、車両センタ２からＤＣＭ７を介して指令または通知を受信する。ＥＣＵ６は、本開示に係る「制御装置」に相当する。

【0035】

加えて、ＥＣＵ６は、ＶＰ９０の制御プログラムを無線通信により更新するように構成されている。より具体的には、ＥＣＵ６は、管制センタ１からＤＣＭ７を介して制御プログラムを受信（ダウンロード）する。ＥＣＵ６は、ダウンロードした制御プログラムを適切なタイミングでＥＣＵ６のメモリ（後述）に格納（インストール）する。そして、ＥＣＵ６は、インストールされた制御プログラムを適切なタイミングで有効化（アクティベート）する。

【0036】

ＤＣＭ７は、車載通信モジュールである。ＤＣＭ７は、ＥＣＵ６と車両センタ２との双方向のデータ通信が可能、かつ、ＥＣＵ６と管制センタ１との双方向のデータ通信が可能に構成されている。

【0037】

センサ群８は、車両３の外部状況を検出するように構成されたセンサを含むとともに、車両３の走行状態に応じた情報ならびに操舵操作、アクセル操作およびブレーキ操作を検出するように構成されたセンサ（いずれも図示せず）を含む。具体的には、センサ群８は、たとえば、カメラ、レーダー（Radar）、ライダー（ＬＩＤＡＲ：Laser Imaging Detection and Ranging）、車速センサ、加速度センサ、ヨーレートセンサ（いずれも図示せず）を含み得る。なお、センサ群８の一部または全部がＡＤＳ４に含まれていてもよいし、ＶＰ９に含まれていてもよい。

【0038】

ＶＰ９は、ＡＤＳ４からの制御要求に従って各種車両制御を実行する各種システムを含む。より具体的には、ＶＰ９は、ブレーキシステム９１と、ステアリングシステム９２と、パワートレーンシステム９３と、アクティブセーフティシステム９４と、ボディシステム９５とを含む。

【0039】

ブレーキシステム９１は、ＶＰ９の各車輪に設けられた制動装置（図示せず）を制御するように構成されている。制動装置は、たとえば、アクチュエータによって調整される油圧に応じて動作するディスクブレーキシステムを含む。

【0040】

ステアリングシステム９２は、車両３の操舵輪の操舵角を操舵装置を用いて制御するように構成されている。操舵装置は、たとえば、アクチュエータにより操舵角の調整が可能な電動パワーステアリング（ＥＰＳ：Electric Power Steering）を含む。

【0041】

パワートレーンシステム９３は、たとえば、電動パーキングブレーキ（ＥＰＢ：Electric Parking Brake）システムと、パーキングロック（P-Lock）システムと、シフトレンジを選択可能に構成されたシフト装置（いずれも図示せず）とを含む。

【0042】

アクティブセーフティシステム９４は、カメラ、レーダ、センサなどを用いて車両３の前方または後方の障害物（歩行者、自転車、駐車車両、電柱など）を検出する。アクティブセーフティシステム９４は、車両３と障害物との間の距離、および、車両３の移動方向に基づいて、車両３が障害物と衝突する可能性があるかどうかを判定する。アクティブセーフティシステム９４は、衝突の可能性があると判定した場合、制動力が増加するようにブレーキシステム９１に制動指令を出力する。

【0043】

ボディシステム９５は、たとえば、車両３の走行状態または環境等に応じて、方向指示器、ホーン、ワイパーなどの部品（いずれも図示せず）を制御するように構成されている。

【0044】

＜ＡＤＳ、ＶＣＩＢおよびＥＣＵのハードウェア構成＞
図３は、ＡＤＳ４、ＶＣＩＢ５およびＥＣＵ６の典型的なハードウェア構成を示すブロック図である。ＥＣＵ６は、セントラルＥＣＵ６０と、個別ＥＣＵ６１～６９とを含む。なお、図３に示された個別ＥＣＵの個数は例示に過ぎず、ＥＣＵ６は、任意の個数の個別ＥＣＵを含み得る。

【0045】

ＡＤＳ４は、プロセッサ４１と、メモリ４２とを含む。メモリ４２は、ＲＯＭ（Read Only Memory）４２１と、ＲＡＭ（Random Access Memory）４２２と、フラッシュメモリ４２３とを含む。フラッシュメモリ４２３（第１のメモリ）には、プロセッサ４１により実行される自動運転プログラムが格納されている。自動運転プログラムはＯＴＡによって更新可能である。

【0046】

ＶＣＩＢ５は、プロセッサ５１と、メモリ５２とを含む。メモリ５２は、ＲＯＭ５２１と、ＲＡＭ５２２と、フラッシュメモリ５２３とを含む。

【0047】

セントラルＥＣＵ６０は、プロセッサ６０１と、メモリ６０２とを含む。メモリ６０２は、ＲＯＭ６０２Ａと、ＲＡＭ６０２Ｂと、フラッシュメモリ６０２Ｃとを含む。個別ＥＣＵ６１は、プロセッサ６１１と、メモリ６１２とを含む。メモリ６１２は、ＲＯＭ６１２Ａと、ＲＡＭ６１２Ｂと、フラッシュメモリ６１２Ｃとを含む。残りの個別ＥＣＵ６２～６９についても同様であるため、説明は繰り返さない。

【0048】

個別ＥＣＵ６１～６９の構成は基本的に同等であるため、以下では個別ＥＣＵ６１について代表的に説明する。個別ＥＣＵ６１のフラッシュメモリ６１２Ｃ（第２のメモリ）には、個別ＥＣＵ６１のプロセッサ６１１により実行される制御プログラムが格納されている。この制御プログラムもＯＴＡによって更新可能である。個別ＥＣＵ６１は、当該制御プログラムを用いて、ＶＰ９に含まれる各種システムのうちの対応するシステムを制御する。セントラルＥＣＵ６０は、個別ＥＣＵ６１に格納された制御プログラムの更新処理（ＯＴＡ）を制御する。

【0049】

＜管制センタのハードウェア構成＞
図４は、管制センタ１の典型的なハードウェア構成を示すブロック図である。管制センタ１は、プロセッサ１１と、メモリ１２と、入力装置１３と、ディスプレイ１４と、通信インターフェイス（ＩＦ）１５とを備える。メモリ１２は、ＲＯＭ１２１と、ＲＡＭ１２２と、データベース１２３とを含む。

【0050】

プロセッサ１１は、管制センタ１の全体的な動作を制御する。メモリ１２（ＲＯＭ１２１）は、プロセッサ１１により実行される、オペレーティングシステムおよびアプリケーションプログラムを記憶する。入力装置１３は、管制センタ１の管理者の入力を受け付ける。入力装置１３は、典型的にはキーボード、マウスである。ディスプレイ１４は情報を表示する。通信ＩＦ１５は、車両センタ２および車両３との通信を行うためのインターフェイスである。

【0051】

本実施の形態において、データベース１２３には、車両３の個別ＥＣＵ６１～６９の制御プログラムを格納するための様々な情報（後述する各種バージョン情報）が格納されている。管制センタ１は、データベース１２３を参照することで、制御プログラムの更新処理で使用される情報をセントラルＥＣＵ６０に提供できる。

【0052】

＜プログラムの適合性＞
前述のように、本実施の形態では、ＡＤＳ４の自動運転プログラムはＡＤＳメーカによって提供される一方で、個別ＥＣＵ６１の制御プログラムは車両メーカによって提供される。つまり、ＡＤＳ４の自動運転プログラムと個別ＥＣＵ６１の制御プログラムとが異なる事業者から提供される。そのため、自動運転プログラムの更新タイミングと制御プログラムの更新タイミングとが異なり得る。そうすると、自動運転プログラムと制御プログラムとの組み合わせによっては、当該２種類のプログラムが十分に適合しない可能性がある。その結果、ＡＤＳ４とＶＰ９（より詳細には個別ＥＣＵ６１の制御プログラムを用いて制御されるＶＰ９内のシステム）とが適切に連携できなくなり得る。

【0053】

そこで、本実施の形態においては、管制センタ１が自動運転プログラムおよび制御プログラムの各々のバージョン情報を取得する。そして、管制センタ１は、別途実施された検証作業の結果、動作保証が得られた当該２種類のプログラムの組み合わせの範囲内で個別ＥＣＵ６１の制御プログラムを更新する。理解を容易にするため、以下、本実施の形態におけるプログラム更新処理の具体例について説明する。

【0054】

図５は、本実施の形態におけるプログラム更新処理の概要を説明するための第１の図である。この例では、ＡＤＳ４の自動運転プログラムの現在のバージョンが１．００であり、個別ＥＣＵ６１の制御プログラムの現在のバージョンが２．００であるとする。また、ＡＤＳ４の自動運転プログラムの最新バージョンが１．５０であり、個別ＥＣＵ６１の制御プログラムの最新バージョンが３．００であるとする。

【0055】

管制センタ１は、ＡＤＳ４の自動運転プログラムと個別ＥＣＵ６１の制御プログラムとの適合性に関する検証結果を有する。より詳細に説明すると、車両メーカは、自動運転プログラムのバージョンと制御プログラムのバージョンとの組み合わせ毎に、その組み合わせでＶＰ９の動作に何らかの不具合が生じず、ＡＤＳ４とＶＰ９とが適切に連携可能かどうか、予め定められた様々な項目について検証作業を実施する。管制センタ１は、車両メーカによる検証結果を車両メーカから取得する。図５に示す例では、自動運転プログラムのバージョン１．５０と制御プログラムのバージョン２．５０との組み合わせまでは検証作業が完了しており、ＡＤＳ４とＶＰ９とが適切に連携可能との検証結果が得られている。言い換えると、車両メーカは、上記の組み合わせまでは動作保証を行っている。以下、動作保証されたバージョンを「動作保証バージョン」と記載する。動作保証バージョンに関する情報はデータベース１２３（図４参照）に格納されている。

【0056】

ＡＤＳ４の自動運転プログラムおよび個別ＥＣＵ６１の制御プログラムの各々を最新バージョンまで更新することも考えられる。この例では、自動運転プログラムをバージョン１．００から１．５０に更新するとともに、制御プログラムをバージョン２．００から３．００に更新することも考えられる。しかしながら、動作保証バージョンを超過するバージョンについては検証作業が完了していないので、最新バージョンへの更新が行われた場合、ＡＤＳ４とＶＰ９とが適切に連携できない可能性がある。

【0057】

本実施の形態においては、管制センタ１は、個別ＥＣＵ６１の制御プログラムを最新バージョンまでは更新せず、動作保証バージョンまでの更新に留める。この例では、管制センタ１は、個別ＥＣＵ６１の制御プログラムをバージョン２．００から２．５０までしか更新しない。一方、ＡＤＳ４の自動運転プログラムについては最新バージョン（１．５０）まで動作保証が得られているので、バージョン１．００から１．５０への更新が行われる。

【0058】

図６は、本実施の形態におけるプログラム更新処理の概要を説明するための第２の図である。この例は、個別ＥＣＵ６１の制御プログラムの動作保証バージョンが２．５０に代えて２．００である点において、図５にて説明した例と異なる。つまり、この例では、制御プログラムについては現在のバージョンまでしか動作保証が得られていない。この場合、管制センタ１は、個別ＥＣＵ６１の制御プログラムについては現在のバージョンのまま更新しない。一方、ＡＤＳ４の自動運転プログラムについては最新バージョンへの更新が行われる。

【0059】

＜処理シーケンス＞
図７は、プログラム更新処理において、制御プログラムのバージョン情報を取得するまでの処理の流れを示すシーケンス図である。このシーケンス図は、予め定められた条件成立時（たとえば管制センタ１が新たな制御プログラムを提供可能な場合）に実行される。図中、左から右に順に、管制センタ１により実行される処理、ＶＣＩＢ５により実行される処理、セントラルＥＣＵ６０により実行される処理、ＡＤＳ４により実行される処理を示す。

【0060】

なお、図７のシーケンス図に含まれる各シーケンスは、管制センタ１、車両センタ２または車両３（ＥＣＵ６もしくはＶＣＩＢ５）によるソフトウェア処理により実現されるが、ハードウェア（電気回路）により実現されてもよい。後述する図８のシーケンス図に関しても同様である。以下、シーケンスをＳＱと略す。

【0061】

ＳＱ１１において、管制センタ１は、車両メーカによる検証結果に基づく動作保証バージョン情報を車両メータから取得してデータベース１２３に格納する。動作保証バージョン情報の取得先は車両メーカに特に限定されず、たとえばＡＤＳメーカであってもよいし、車両メーカともＡＤＳメーカとも異なる第３者機関（適合性に関する検査機関、認証機関など）であってもよい。

【0062】

ＳＱ１２において、管制センタ１は、ＡＤＳ４の自動運転プログラムの現在のバージョン（フラッシュメモリ４２３に格納された自動運転プログラムのバージョン）と、個別ＥＣＵ６１～６９の各々の制御プログラムの現在のバージョン（フラッシュメモリ６０２Ｃ～６９２Ｃに格納された制御プログラムのバージョン）とに関する情報を通信ＩＦ１５経由でＶＣＩＢ５に要求する。以下、これらのバージョン情報を「現バージョン情報」とも記載する。

【0063】

ＶＣＩＢ５は、管制センタ１から要求を受けると、ＡＤＳ４の自動運転プログラムの現バージョン情報をＡＤＳ４に要求する（図示せず）とともに、各個別ＥＣＵ６１～６９の制御プログラムの現バージョン情報をセントラルＥＣＵ６０に要求する（ＳＱ１３）。

【0064】

ＡＤＳ４は、ＶＣＩＢ５からの要求に応答して、自動運転プログラムの現バージョン情報をＶＣＩＢ５に出力する（ＳＱ１４）。同様に、セントラルＥＣＵ６０は、ＶＣＩＢ５からの要求に応答して、各個別ＥＣＵ６１～６９の制御プログラムの現バージョン情報をＶＣＩＢ５に出力する（ＳＱ１５）。これにより、すべてのプログラムの現バージョン情報がＶＣＩＢ５に収集される。なお、ＶＣＩＢ５は、管制センタ１からの要求の有無に拘わらず、たとえば定期的に現バージョン情報を収集してもよい。

【0065】

ＳＱ１６において、ＶＣＩＢ５は、収集された自動運転プログラムの現バージョン情報および制御プログラムの現バージョン情報をＤＣＭ７経由で管制センタ１に送信する。管制センタ１は、ＶＣＩＢ５から上記２つの現バージョン情報を取得すると、取得された現バージョン情報をデータベース１２３に格納する（ＳＱ１７）。

【0066】

図８は、プログラム更新処理において、制御プログラムのバージョン情報を取得してから制御プログラムを更新するまでの処理の流れを示すシーケンス図である。このシーケンス図は、図７に示したシーケンス図の実行後に実行される。図中、左から右に順に、管制センタ１により実行される処理、車両センタ２により実行される処理、車両３（セントラルＥＣＵ６０）により実行される処理を示す。

【0067】

ＳＱ２１において、管制センタ１は、データベース１２３に格納された現バージョン情報と動作保証バージョン情報とを比較し、動作保証が得られた範囲内のどのバージョンまで制御プログラムを更新するかを決定する。図４および図５にて説明したように、管制センタ１は、動作保証が得られた範囲内で最新バージョンに最も近いバージョンまで制御プログラムを更新すると決定することが望ましい。

【0068】

ＳＱ２２において、管制センタ１は、ＳＱ２１にて決定されたバージョンへの制御プログラムの更新の可否を車両センタ２に問い合わせる。問合せを受けた車両３の運行管理者は、更新を許諾する操作（たとえば「更新」アイコンの押下操作）をキーボード、マウス等の入力装置（図示せず）に対して行う（ＳＱ２３）。そうすると、運行管理者が制御プログラムの更新を許諾した旨が車両センタ２から管制センタ１へと通知される。なお、運行管理者が更新を拒否した場合（たとえば運行管理者が「いいえ」アイコンを押下操作した場合）、そのことが管制センタ１に通知され、以降の更新処理は実行されない。

【0069】

ＳＱ２４において、管制センタ１は、ＳＱ２１にて決定されたバージョン（＝運行管理者の許諾が得られたバージョン）の制御プログラムを車両３に送信する。セントラルＥＣＵ６０は、個別ＥＣＵ６１の制御プログラムの更新処理を実行する。すなわち、セントラルＥＣＵ６０は、管制センタ１から制御プログラムを受信（ダウンロード）して個別ＥＣＵ６１のフラッシュメモリ６１２Ｃに格納（インストール）する。そして、セントラルＥＣＵ６０は、インストールされた制御プログラムを適切なタイミングで有効化（アクティベート）する。個別ＥＣＵ６１の制御プログラムの更新処理が正常に完了すると、セントラルＥＣＵ６０は、そのことを管制センタ１および車両センタ２に通知する（ＳＱ２６）。

【0070】

以上のように、本実施の形態においては、個別ＥＣＵ６１～６９に格納された制御プログラムをＯＴＡにより更新する際に、単に最新バージョンに更新するのに代えて、車両メーカ等により動作保証が得られたバージョン（動作保証バージョン）への更新に留める。自動運転プログラムと制御プログラムとの動作保証バージョンの組み合わせに関しては、車両メーカ等による検証作業の結果、自動運転プログラムと制御プログラムとが十分に適合することが確認されている。よって、本実施の形態によれば、ＶＰ９とＡＤＳ４とを不具合なく適切に連携させることができる。

【0071】

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0072】

１００ 車両管理システム、１ 管制センタ、１１ プロセッサ、１２ メモリ、１２１ ＲＯＭ、１２２ ＲＡＭ，１２３ データベース、１３ 入力装置、１４ ディスプレイ、１５ 通信ＩＦ、２ 車両センタ、３，３Ａ，３Ｂ，３Ｃ 車両、４ 自動運転システム（ＡＤＳ）、５ 車両制御インターフェイスボックス（ＶＣＩＢ）、６ 電子制御ユニット（ＥＣＵ）、６０ セントラルＥＣＵ、６１～６９ 個別ＥＣＵ、４１，５１，６０１，６１１ プロセッサ、４２，５２，６０２，６１２ メモリ、４２１，５２１，６０２Ａ～６１２Ａ ＲＯＭ、４２２，５２２，６０２Ｂ～６１２Ｂ ＲＡＭ、４２３，５２３，６０２Ｃ～６１２Ｃ フラッシュメモリ、７ ＤＣＭ、８ センサ群、９ 車両プラットフォーム（ＶＰ）、９１ ブレーキシステム、９２ ステアリングシステム、９３ パワートレーンシステム、９４ アクティブセーフティシステム、９５ ボディシステム、ＮＷ ネットワーク。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】