特許 7574829 制御装置、制御方法および記録媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-21

(45)【発行日】2024-10-29

(54)【発明の名称】制御装置、制御方法および記録媒体

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241022BHJP

【ＦＩ】

G06F8/65

【請求項の数】 17

(21)【出願番号】P 2022100399

(22)【出願日】2022-06-22

(65)【公開番号】P2024001623

(43)【公開日】2024-01-10

【審査請求日】2024-01-25

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】塩原 和義

(72)【発明者】

【氏名】渋谷 知樹

(72)【発明者】

【氏名】藤元 貴之

(72)【発明者】

【氏名】三宅 優樹

【審査官】久々宇 篤志

(56)【参考文献】

【文献】特開２０１９－１５９３９９（ＪＰ，Ａ）

【文献】特開２０２０－１２３２５３（ＪＰ，Ａ）

【文献】特開２００７－０９２６２１（ＪＰ，Ａ）

【文献】特開２０２０－１６６５８３（ＪＰ，Ａ）

【文献】特開２００６－３４７３３３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５

(57)【特許請求の範囲】

【請求項1】

車両のシステムを構成する制御装置であって、
所定の処理を実行するための第１ソフトウェアを記憶する記憶部と、
前記第１ソフトウェアを実行する制御部とを備え、
前記所定の処理は、前記システムを構成する他の制御装置と連携して前記車両の第１機能を実現する第１処理を含み、
前記制御装置および前記他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されており、
前記制御部は、前記制御装置の起動時において、前記第１ソフトウェアを実行する前に、前記他の制御装置が記憶する前記第１処理を実行するためのプログラムを含む第２ソフトウェアに関する情報を前記他の制御装置から受信して、前記第１ソフトウェアと前記第２ソフトウェアとの整合性を確認する確認処理を含む起動チェック処理を実行し、
前記制御部は、前記第１ソフトウェアの実行開始後において、前記他の制御装置から前記第２ソフトウェアに関する情報を受信した場合、前記第１処理の実行を停止または不許可とする、制御装置。

【請求項2】

前記第２ソフトウェアに関する情報は、前記第２ソフトウェアのバージョン情報であり、
前記制御部は、前記起動チェック処理において、前記第１ソフトウェアのバージョンと前記第２ソフトウェアのバージョンとの組み合わせに基づいて前記整合性を確認する、請求項１に記載の制御装置。

【請求項3】

前記制御部は、
前記確認処理の結果が整合であった場合、前記第１処理の実行を許可とし、
前記確認処理の結果が不整合であった場合、前記第１処理の実行を不許可とする、請求項１に記載の制御装置。

【請求項4】

前記制御部は、前記起動チェック処理において、前記起動チェック処理を開始してから予め定められた時間内に前記第２ソフトウェアに関する情報を受信できなかった場合、前記第１処理の実行を不許可とする、請求項３に記載の制御装置。

【請求項5】

前記制御部は、前記起動チェック処理において、前記確認処理の結果を示す情報を含む信号を前記他の制御装置に送信する、請求項４に記載の制御装置。

【請求項6】

前記所定の処理は、前記制御装置が単独で前記車両の第２機能を実現する第２処理をさらに含み、
前記制御部は、
前記確認処理の結果が整合であった場合、前記第１処理および前記第２処理の実行を許可とし、
前記確認処理の結果が不整合であった場合、前記第１処理の実行を不許可とし、かつ、前記第２処理の実行を許可とし、
前記起動チェック処理を開始してから予め定められた時間内に前記第２ソフトウェアに関する情報を受信できなかった場合、前記第１処理および前記第２処理の実行を不許可とする、請求項１から請求項５のいずれか１項に記載の制御装置。

【請求項7】

車両のシステムを構成する制御装置であって、
所定の処理を実行するためのソフトウェアを記憶する記憶部と、
前記ソフトウェアを実行する制御部とを備え、
前記所定の処理は、前記車両に搭載された他の制御装置と連携して前記車両の機能を実現する第１処理を含み、
前記制御装置および前記他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されており、
前記制御部は、前記制御装置の起動時に、前記ソフトウェアを実行する前に起動チェック処理を実行し、
前記制御部は、前記起動チェック処理において、
前記ソフトウェアに関する情報を前記他の制御装置に送信し、
前記他の制御装置によって前記ソフトウェアに関する情報を用いて行なわれた、前記制御装置と前記他の制御装置との間でのソフトウェアの整合性を確認する確認処理の結果を示す第１信号を受信し、
前記第１信号に基づいて、前記第１処理の実行可否を判定し、
前記制御部は、前記ソフトウェアの実行開始後において、前記制御装置と前記他の制御装置との間でのソフトウェアが不整合となった可能性があることを示す第２信号を前記他の制御装置から受信した場合、前記第１処理の実行を停止または不許可とする、制御装置。

【請求項8】

前記制御部は、前記起動チェック処理において、前記ソフトウェアに関する情報を所定周期毎に前記他の制御装置に送信する、請求項７に記載の制御装置。

【請求項9】

前記制御部は、前記起動チェック処理において、前記第１信号を受信すると、前記ソフトウェアに関する情報の送信を停止する、請求項８に記載の制御装置。

【請求項10】

前記ソフトウェアに関する情報は、前記ソフトウェアのバージョン情報を含む、請求項７に記載の制御装置。

【請求項11】

前記制御部は、
前記第１信号が、前記確認処理の結果が整合であったことを示す場合、前記第１処理の実行を許可とし、
前記第１信号が、前記確認処理の結果が不整合であったことを示す場合、前記第１処理の実行を不許可とする、請求項７に記載の制御装置。

【請求項12】

前記制御部は、前記起動チェック処理において、前記ソフトウェアに関する情報を送信してから予め定められた時間内に前記第１信号を受信できなかった場合、前記第１処理の実行を不許可とする、請求項１１に記載の制御装置。

【請求項13】

前記所定の処理は、前記制御装置が単独で前記車両の第２機能を実現する第２処理をさらに含み、
前記制御部は、
前記第１信号が、前記確認処理の結果が整合であったことを示す場合、前記第１処理および前記第２処理の実行を許可とし、
前記第１信号が、前記確認処理の結果が不整合であったことを示す場合、前記第１処理の実行を不許可とし、かつ、前記第２処理の実行を許可とし、
前記ソフトウェアに関する情報を送信してから予め定められた時間内に前記第１信号を受信できなかった場合、前記第１処理および前記第２処理の実行を不許可とする、請求項７から請求項１２のいずれか１項に記載の制御装置。

【請求項14】

車両のシステムを構成し、所定の処理を実行するための第１ソフトウェアが実装された制御装置の制御方法であって、
前記所定の処理は、前記システムを構成する他の制御装置と連携して前記車両の機能を実現する第１処理を含み、
前記制御装置および前記他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されており、
前記制御方法は、
前記制御装置の起動時において、前記第１ソフトウェアを実行する前に、前記他の制御装置が記憶する前記第１処理を実行するためのプログラムを含む第２ソフトウェアに関する情報を前記他の制御装置から受信して、前記第１ソフトウェアと前記第２ソフトウェアとの整合性を確認する確認処理を含む起動チェック処理を実行するステップと、
前記第１ソフトウェアの実行開始後において、前記他の制御装置から前記第２ソフトウェアに関する情報を受信した場合、前記第１処理の実行を停止または不許可とするステップとを含む、制御方法。

【請求項15】

請求項１４に記載の制御方法を実行するためのプログラムを記録した、記録媒体。

【請求項16】

車両のシステムを構成し、所定の処理を実行するためのソフトウェアが実装された制御装置の制御方法であって、
前記所定の処理は、前記車両に搭載された他の制御装置と連携して前記車両の機能を実現する第１処理を含み、
前記制御装置および前記他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されており、
前記制御方法は、
前記制御装置の起動時に、前記ソフトウェアを実行する前に起動チェック処理を実行するステップを含み、
前記起動チェック処理を実行するステップは、
前記ソフトウェアに関する情報を前記他の制御装置に送信するステップと、
前記他の制御装置によって前記ソフトウェアに関する情報を用いて行なわれた、前記制御装置と前記他の制御装置との間でのソフトウェアの整合性を確認する確認処理の結果を示す第１信号を受信するステップと、
前記第１信号に基づいて、前記第１処理の実行可否を判定するステップとを含み、
前記制御方法は、前記ソフトウェアの実行開始後において、前記制御装置と前記他の制御装置との間でのソフトウェアが不整合となった可能性があることを示す第２信号を前記他の制御装置から受信した場合、前記第１処理の実行を停止または不許可とするステップをさらに含む、制御方法。

【請求項17】

請求項１６に記載の制御方法を実行するためのプログラムを記録した、記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車両のシステムを構成する制御装置、その制御方法および制御方法を実行するためのプログラムを記録した記録媒体に関する。

【背景技術】

【0002】

車両には、複数のアクチュエータとその各々を制御する複数の制御装置とによって構成される車載システムが搭載される。複数の制御装置の各々には、ソフトウェアが実装されており、複数の制御装置の各々がソフトウェアを実行してアクチュエータを制御することにより、車両の各機能が実現される。車両が市場に供給された後には、たとえばＯＴＡ（Over The Air）により更新プログラムの提供を受け、ソフトウェアが更新される。これによって、車両が備える機能の修正や機能の追加等が行なわれる。たとえば、自動運転等の各種運転支援のような複数の制御装置間で連携して行なわれる機能の修正や追加に対しては、対象となる全ての制御装置のソフトウェアの更新が求められ、各々の制御装置における更新が適切に行なわれたかについての確認が求められる。

【0003】

たとえば、特開２０１９－１５９３９９号公報（特許文献１）には、車両の電源がオンされたことを契機として、複数の車載機のうちのいずれか１つである特定の車載機が、他の車載機が有するソフトウェアバージョンを取得し、自身のソフトウェアのバージョンと、取得されたソフトウェアバージョンとを比較し、ソフトウェアバージョンの整合性を判定する技術が開示されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１９－１５９３９９号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

更新後のソフトウェアの実行は、たとえば、複数のＥＣＵにおいて更新前のソフトウェアから一斉に切り替えるために次回の車載システムの起動時に行なわれる場合がある。その場合、ソフトウェアの更新が適切に行なわれたかについての確認も次回の車載システムの起動時に行なわれることとなる。

【0006】

しかしながら、複数の制御装置のうちのいずれかにおいて次回の車載システムの起動時までの間に電源の瞬断等の何らかの不具合によって一部の制御装置のみが再起動すると、再起動した一部の制御装置においてのみ更新後のソフトウェアが実行されることになる。この場合、少なくとも次回の車載システムの起動時まで、複数の制御装置間において、バージョンの不一致等、ソフトウェアの不整合が生じてしまう。ソフトウェアの不整合が生じた状態であると、複数の制御装置間で連携して行なわれる処理を適切に実行できない可能性がある。

【0007】

本開示は、上記課題を解決するためになされたものであり、本開示の目的は、ソフトウェアの不整合が生じた状態において、複数の制御装置間で連携して行なわれる処理の実行を抑制することである。

【課題を解決するための手段】

【0008】

（１）本開示のある局面に係る制御装置は、車両のシステムを構成する制御装置であって、所定の処理を実行するための第１ソフトウェアを記憶する記憶部と、第１ソフトウェアを実行する制御部とを備える。所定の処理は、車両のシステムを構成する他の制御装置と連携して車両の第１機能を実現する第１処理を含む。制御装置および他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されている。制御部は、制御装置の起動時において、第１ソフトウェアを実行する前に、他の制御装置が記憶する第１処理を実行するためのプログラムを含む第２ソフトウェアに関する情報を他の制御装置から受信して、第１ソフトウェアと第２ソフトウェアとの整合性を確認する確認処理を含む起動チェック処理を実行する。制御部は、第１ソフトウェアの実行開始後において、他の制御装置から第２ソフトウェアに関する情報を受信した場合、第１処理の実行を停止または不許可とする。

【0009】

上記構成によれば、制御装置は、起動時に起動チェック処理を実行し、確認処理によって、第１ソフトウェアと第２ソフトウェアとの整合性を確認する。制御装置および他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されているので、起動チェック処理で整合性を確認することができれば、それ以降、起動している限りソフトウェアの整合性が保たれた状態であるといえる。しかしながら、第１ソフトウェアの実行開始後において、他の制御装置から第２ソフトウェアに関する情報を受信した場合、他の制御装置が再起動したことが想定される。再起動に伴って、他の装置が第２ソフトウェアを更新している場合あり得る。すなわち、第１ソフトウェアと第２ソフトウェアとが整合していない可能性がある。制御部は、第１ソフトウェアの実行開始後において、他の制御装置から第２ソフトウェアに関する情報を受信した場合、第１処理の実行を停止または不許可とすることにより、第１処理が実行されている場合には、第１処理が停止され、第１処理が実行されていない場合には、以降第１処理が実行されない。よって、第１ソフトウェアと第２ソフトウェアとが不整合な状態で第１処理が実行されることを抑制することができる。

【0010】

（２）ある実施の形態においては、第２ソフトウェアに関する情報は、第２ソフトウェアのバージョン情報である。制御部は、起動チェック処理において、第１ソフトウェアのバージョンと第２ソフトウェアのバージョンとの組み合わせに基づいて整合性を確認する。

【0011】

上記構成によれば、ソフトウェアのバージョンによってソフトウェアの整合性が確認されるので、精度よくソフトウェアの整合性を確認することができる。

【0012】

（３）ある実施の形態においては、制御部は、確認処理の結果が整合であった場合、第１処理の実行を許可とし、確認処理の結果が不整合であった場合、第１処理の実行を不許可とする。

【0013】

上記構成によれば、ソフトウェアのバージョンに不整合が生じた状態で第１処理が実行されることを抑制することができる。

【0014】

（４）ある実施の形態においては、制御部は、起動チェック処理において、起動チェック処理を開始してから予め定められた時間内に第２ソフトウェアに関する情報を受信できなかった場合、第１処理の実行を不許可とする。

【0015】

起動チェック処理を開始してから予め定められた時間内に第２ソフトウェアに関する情報を受信できなかった場合には、システムに何らかの異常が生じていることが想定される。この場合には、第１処理の実行を不許可とすることにより、異常が生じた状態で第１処理が実行されることを抑制することができる。

【0016】

（５）ある実施の形態においては、制御部は、起動チェック処理において、確認処理の結果を示す情報を含む信号を他の制御装置に送信する。

【0017】

たとえば、他の制御装置は、制御装置からの確認処理の結果を示す情報に基づいて、第１処理の実行可否を判定する。制御装置から他の制御装置に、確認処理の結果を示す情報を含む信号が送信されることにより、他の制御装置は第１処理の実行可否を判定することができる。

【0018】

（６）ある実施の形態においては、所定の処理は、制御装置が単独で車両の第２機能を実現する第２処理をさらに含む。制御部は、確認処理の結果が整合であった場合、第１処理および第２処理の実行を許可とし、確認処理の結果が不整合であった場合、第１処理の実行を不許可とし、かつ、第２処理の実行を許可とし、起動チェック処理を開始してから時間内に第２ソフトウェアに関する情報を受信できなかった場合、第１処理および第２処理の実行を不許可とする。

【0019】

上記構成によれば、確認処理の結果が不整合である場合、他の制御装置と連携する第１処理は不許可とされる一方で、制御装置が単独で行なう第２処理については許可される。確認処理の結果が不整合であっても、処理可能な第２処理の実行は許可することにより、過度に処理の実行を制限することを抑制することができる。なお、起動チェック処理を開始してから時間内に第２ソフトウェアに関する情報を受信できなかったような、システムに異常が生じ定することが想定される場合には、第１処理および第２処理を不許可とすることにより、不適切な処理が実行されることを抑制することができる。

【0020】

（７）本開示の他の局面に係る制御装置は、車両のシステムを構成する制御装置であって、所定の処理を実行するためのソフトウェアを記憶する記憶部と、ソフトウェアを実行する制御部とを備える。所定の処理は、車両に搭載された他の制御装置と連携して車両の機能を実現する第１処理を含む。制御装置および他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されている。制御部は、制御装置の起動時に、ソフトウェアを実行する前に起動チェック処理を実行する。制御部は、起動チェック処理において、ソフトウェアに関する情報を他の制御装置に送信し、他の制御装置によってソフトウェアに関する情報を用いて行なわれた、制御装置と他の制御装置との間でのソフトウェアの整合性を確認する確認処理の結果を示す第１信号を受信し、第１信号に基づいて、第１処理の実行可否を判定する。制御部は、ソフトウェアの実行開始後において、制御装置と他の制御装置との間でのソフトウェアが不整合となった可能性があることを示す第２信号を他の制御装置から受信した場合、第１処理の実行を停止または不許可とする。

【0021】

上記構成によれば、制御装置の制御部は、起動時に起動チェック処理を実行して、ソフトウェアに関する情報を他の制御装置に送信し、その応答として、確認処理の結果を示す第１信号を他の制御装置から受信する。そして、制御部は、第１信号に基づいてソフトウェアとの整合性を確認し、第１処理の実行可否を適切に判定することができる。そして、ソフトウェアの実行開始後において、制御装置と他の制御装置との間でのソフトウェアが不整合となった可能性があることを示す第２信号を他の制御装置から受信した場合、第１処理の実行を停止または不許可とする。これによって、ソフトウェアの不整合が生じた状態で第１処理が実行されることを抑制することができる。

【0022】

（８）ある実施の形態においては、制御部は、起動チェック処理において、ソフトウェアに関する情報を所定周期毎に他の制御装置に送信する。

【0023】

ソフトウェアに関する情報を一度送信するような構成であると、たとえば、一時的な通信異常が生じたような場合に、ソフトウェアに関する情報が他の制御装置に取得されない可能性がある。上記構成によれば、一時的な通信異常が生じたような場合に、他の制御装置のソフトウェアに関する情報を取得させられる可能性を高めることができる。

【0024】

（９）ある実施の形態においては、制御部は、起動チェック処理において、第１信号を受信すると、ソフトウェアに関する情報の送信を停止する。

【0025】

上記構成によれば、第１信号の受信後にソフトウェアに関する情報の送信が停止されるので、以降にソフトウェアに関する情報が送信されるケースとしては、たとえば、制御装置が再起動した場合が考えられる。制御装置は、起動時にソフトウェアを更新するように構成されている。よって、他の制御装置に、第１信号を送信した後にソフトウェアに関する情報を受信した場合、ソフトウェアの不整合が生じている可能性を認識させることができる。

【0026】

（１０）ある実施の形態においては、ソフトウェアに関する情報は、ソフトウェアのバージョン情報を含む。

【0027】

上記構成によれば、ソフトウェアのバージョンによってソフトウェアの整合性が確認されるので、精度よくソフトウェアの整合性を確認することができる。

【0028】

（１１）ある実施の形態においては、制御部は、第１信号が、確認処理の結果が整合であったことを示す場合、第１処理の実行を許可とし、第１信号が、確認処理の結果が不整合であったことを示す場合、第１処理の実行を不許可とする。

【0029】

上記構成によれば、ソフトウェアのバージョンに不整合が生じた状態で第１処理が実行されることを抑制することができる。

【0030】

（１２）ある実施の形態においては、制御部は、起動チェック処理において、ソフトウェアに関する情報を送信してから予め定められた時間内に第１信号を受信できなかった場合、第１処理の実行を不許可とする。

【0031】

ソフトウェアに関する情報を送信してから予め定められた時間内に第１信号を受信できなかった場合には、システムに何らかの異常が生じていることが想定される。この場合には、第１処理の実行を不許可とすることにより、異常が生じた状態で第１処理が実行されることを抑制することができる。

【0032】

（１３）ある実施の形態においては、所定の処理は、制御装置が単独で車両の第２機能を実現する第２処理をさらに含む。制御部は、第１信号が、確認処理の結果が整合であったことを示す場合、第１処理および第２処理の実行を許可とし、第１信号が、確認処理の結果が不整合であったことを示す場合、第１処理の実行を不許可とし、かつ、第２処理の実行を許可とし、ソフトウェアに関する情報を送信してから時間内に第１信号を受信できなかった場合、第１処理および第２処理の実行を不許可とする。

【0033】

上記構成によれば、確認処理の結果が不整合である場合、他の制御装置と連携する第１処理は不許可とされる一方で、制御装置が単独で行なう第２処理については許可される。確認処理の結果が不整合であっても、処理可能な第２処理の実行は許可することにより、過度に処理の実行を制限することを抑制することができる。なお、ソフトウェアに関する情報を送信してから時間内に第１信号を受信できなかったような、システムに異常が生じ定することが想定される場合には、第１処理および第２処理を不許可とすることにより、不適切な処理が実行されることを抑制することができる。

【0034】

（１４）本開示の他の局面に係る制御方法は、車両のシステムを構成し、所定の処理を実行するための第１ソフトウェアが実装された制御装置の制御方法である。所定の処理は、システムを構成する他の制御装置と連携して車両の機能を実現する第１処理を含む。制御装置および他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されている。制御方法は、制御装置の起動時において、第１ソフトウェアを実行する前に、他の制御装置が記憶する第１処理を実行するためのプログラムを含む第２ソフトウェアに関する情報を他の制御装置から受信して、第１ソフトウェアと第２ソフトウェアとの整合性を確認する確認処理を含む起動チェック処理を実行するステップと、第１ソフトウェアの実行開始後において、他の制御装置から第２ソフトウェアに関する情報を受信した場合、第１処理の実行を停止または不許可とするステップとを含む。

【0035】

（１５）本開示の他の局面に係る記録媒体は、上記（１４）に記載の制御方法を実行するためのプログラムを記録する。

【0036】

（１６）本開示の他の局面に係る制御方法は、車両のシステムを構成し、所定の処理を実行するためのソフトウェアが実装された制御装置の制御方法である。所定の処理は、車両に搭載された他の制御装置と連携して車両の機能を実現する第１処理を含む。制御装置および他の制御装置は、ソフトウェアの更新がある場合、起動時にソフトウェアを更新するように構成されている。制御方法は、制御装置の起動時に、ソフトウェアを実行する前に起動チェック処理を実行するステップを含む。起動チェック処理を実行するステップは、ソフトウェアに関する情報を他の制御装置に送信するステップと、他の制御装置によってソフトウェアに関する情報を用いて行なわれた、制御装置と他の制御装置との間でのソフトウェアの整合性を確認する確認処理の結果を示す第１信号を受信するステップと、第１信号に基づいて、第１処理の実行可否を判定するステップとを含む。制御方法は、ソフトウェアの実行開始後において、制御装置と他の制御装置との間でのソフトウェアが不整合となった可能性があることを示す第２信号を他の制御装置から受信した場合、第１処理の実行を停止または不許可とするステップをさらに含む。

【0037】

（１７）本開示の他の局面に係る記録媒体は、上記（１６）に記載の制御方法を実行するためのプログラムを記録する。

【発明の効果】

【0038】

本開示によると、ソフトウェアの不整合が生じた状態において、複数の制御装置間で連携して行なわれる処理の実行を抑制することができる。

【図面の簡単な説明】

【0039】

【図1】通信システムの構成の一例を説明するための図である。

【図2】実施の形態における電動車両の構成の一例を概略的に示す図である。

【図3】ソフトウェアの品番（バージョン）の組み合わせ情報を説明するための図である。

【図4】代表ＥＣＵと連携ＥＣＵとで行なわれる動作の一例を説明するための図である。

【図5】バージョンチェックの結果に応じて許可される機能を説明するための図である。

【図6】代表ＥＣＵと連携ＥＣＵとで行なわれる動作の他の例を説明するための図である。

【図7】代表ＥＣＵにより実行される起動チェック処理の手順を示すフローチャートである。

【図8】通常処理の実行中に代表ＥＣＵにより実行される処理の手順を示すフローチャートである。

【図9】連携ＥＣＵにより実行される起動チェック処理の手順を示すフローチャートである。

【図10】通常処理の実行中に連携ＥＣＵにより実行される処理の手順を示すフローチャートである。

【発明を実施するための形態】

【0040】

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

【0041】

図１は、通信システム１の構成の一例を説明するための図である。通信システム１は、通信ネットワーク６と、管理サーバ７と、電動車両１００とを含む。電動車両１００は、通信ネットワーク６を介して、管理サーバ７と通信可能に構成される。

【0042】

管理サーバ７は、たとえば、ＣＰＵ（Central Control Unit）と、各種メモリと、通信インターフェースとを含むコンピュータである。管理サーバ７には、複数の車両に各種ソフトウェアの更新情報を提供したり、複数の車両の各々に記憶される各種ソフトウェアの更新状況を管理したりする。図１には、複数の車両のうちの１つである電動車両１００が一例として示されている。以下の説明においては、管理サーバ７と電動車両１００との間で授受される情報等について説明するが、管理サーバ７と他の車両との間で授受される情報も同様であり、その詳細な説明は繰り返さない。

【0043】

管理サーバ７の記憶装置（図示せず）には、たとえば、電動車両１００を識別するための固有の情報である識別情報（以下、「車両ＩＤ」とも称する）が予め記憶されている。電動車両１００に記憶される各種ソフトウェアは、たとえば、電動車両１００に搭載される複数のＥＣＵ（Electronic Control Unit）にそれぞれ記憶される制御プログラムを含む。管理サーバ７は、電動車両１００のＥＣＵ単位で各種ソフトウェアのバージョン情報を含む識別情報を管理する。管理サーバ７の記憶装置には、後述するように電動車両１００に含まれる代表ＥＣＵのソフトウェアのバージョン情報と、他のＥＣＵのソフトウェアのバージョン情報とが車両ＩＤに対応付けて記憶される。管理サーバ７は、ソフトウェアのバージョン情報を固有の品番を用いて管理する。管理サーバ７は、更新情報を電動車両１００に提供した場合には、提供した更新情報に対応する品番を用いて電動車両１００における各種ソフトウェアの更新状況を管理する。

【0044】

管理サーバ７は、たとえば、新しい品番（新バージョン）のソフトウェアが準備されると、電動車両１００に対してソフトウェアの更新を要求したり、電動車両１００からの要求に応じて新しい品番のソフトウェアを電動車両１００に提供したりする。

【0045】

次に、本実施の形態における電動車両１００の具体的な構成について図２を参照しつつ説明する。図２は、本実施の形態における電動車両１００の構成の一例を概略的に示す図である。図２に示すように、電動車両１００は、代表ＥＣＵ２００と、連携ＥＣＵ２１０，２２０と、ＤＣＭ（Data Communication Module）２３０と、ＡＤＳ（Autonomous Driving System）２４０と、通信バス２５０と、駆動装置２６０とを含む。代表ＥＣＵ２００と、連携ＥＣＵ２１０，２２０と、ＡＤＳ２４０とは、通信バス２５０を介して通信可能に接続される。

【0046】

代表ＥＣＵ２００は、後述する更新された品番のソフトウェアへの切り替えを連携ＥＣＵ２１０，２２０に対して指示したり、自身を含む各ＥＣＵのソフトウェアの更新状況を管理したりするＥＣＵである。

【0047】

代表ＥＣＵ２００は、ＣＰＵ２０１とメモリ２０２とを含む。ＣＰＵ２０１がメモリ２０２に格納されたプログラムを実行することにより代表ＥＣＵ２００の制御対象（たとえば、ＤＣＭ２３０等）に対して各種制御が実行される。メモリ２０２は、第１記憶領域２０２Ａと、第２記憶領域２０２Ｂとを含む。第１記憶領域２０２Ａおよび第２記憶領域２０２Ｂのいずれにも代表ＥＣＵ２００を起動させるための制御プログラムが記憶される。代表ＥＣＵ２００は、第１記憶領域２０２Ａおよび第２記憶領域２０２Ｂのいずれか一方を起動用記憶領域（たとえば第１記憶領域２０２Ａ）に設定し、起動時においては、設定された起動用記憶領域に記憶された制御プログラムを実行して起動する。代表ＥＣＵ２００は、ＤＣＭ２３０を経由して管理サーバ７から更新情報の提供を受けた場合には、起動用記憶領域として設定された記憶領域以外の記憶領域である更新用記憶領域（たとえば第２記憶領域２０２Ｂ）に更新情報を用いて更新された制御プログラムを記憶させる。代表ＥＣＵ２００は、更新用記憶領域（たとえば第２記憶領域２０２Ｂ）に更新されたプログラムが記憶される場合には、更新用記憶領域を次回の起動時における起動用記憶領域として設定するとともに、後述する連携ＥＣＵ２１０に対しても更新用記憶領域を次回の起動時における起動用記憶領域に設定するように指示する。

【0048】

そのため、電動車両１００がＩＧオフ（電源オフ）された後に、ユーザによる起動操作等によりＩＧオン状態（電源オン状態）になると、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々は、起動用記憶領域に記憶された更新後の制御プログラムを実行して起動する。なお、起動時まで起動用記憶領域に設定されていた記憶領域は、更新用記憶領域として設定される。以下では、起動用記憶領域を変更して新たに設定することを起動用記憶領域の切り替えと称する場合がある。

【0049】

代表ＥＣＵ２００は、連携ＥＣＵ２１０，２２０に記憶された更新後のソフトウェアの品番（バージョン）を管理サーバ７または連携ＥＣＵ２１０，２２０から取得し、メモリ２０２に記憶する。

【0050】

ＤＣＭ２３０は、管理サーバ７と無線通信可能に構成される車載の通信モジュールである。ＤＣＭ２３０は、代表ＥＣＵ２００からの制御信号に応じて管理サーバ７との間で双方向のデータ通信が可能に構成される。ＤＣＭ２３０は、代表ＥＣＵ２００に接続される。代表ＥＣＵ２００は、ＤＣＭ２３０を介して、電動車両１００に関する情報や各種要求等を管理サーバ７に送信したり、各種ソフトウェアの更新情報を管理サーバ７から受信したりする。

【0051】

連携ＥＣＵ２１０は、ＣＰＵ２１１とメモリ２１２とを含む。ＣＰＵ２１１がメモリ２１２に格納されたプログラムを実行することにより連携ＥＣＵ２１０の制御対象（たとえば、駆動装置２６０等）に対して各種制御が実行される。メモリ２１２は、第３記憶領域２１２Ａと、第４記憶領域２１２Ｂとを含む。第３記憶領域２１２Ａおよび第４記憶領域２１２Ｂのいずれにも連携ＥＣＵ２１０を起動させるための制御プログラムが記憶される。連携ＥＣＵ２１０は、第３記憶領域２１２Ａおよび第４記憶領域２１２Ｂのうちのいずれか一方を起動用記憶領域に設定し、起動時においては、設定された起動用記憶領域に記憶された制御プログラムを実行して起動する。連携ＥＣＵ２１０は、ＤＣＭ２３０および代表ＥＣＵ２００を経由して管理サーバ７から更新情報の提供を受けた場合であって、かつ、代表ＥＣＵ２００から起動用記憶領域の切り替えの指示を受けた場合には、更新用記憶領域を次回の起動時における起動用記憶領域として設定する。

【0052】

連携ＥＣＵ２２０は、連携ＥＣＵ２１０と比較して、センサ類の検出対象、制御対象（たとえば、ステアリングシステムやブレーキシステムなど）および制御動作が異なる。連携ＥＣＵ２２０のそれ以外の構成は、連携ＥＣＵ２１０と同様の構成を有している。そのため、連携ＥＣＵ２２０の詳細な説明は繰り返さない。なお、以下においては、連携ＥＣＵ２１０と連携ＥＣＵ２２０とを特に区別しない場合には、両者を総称して、単に「連携ＥＣＵ」と称する場合がある。

【0053】

駆動装置２６０は、連携ＥＣＵ２１０に接続されており、連携ＥＣＵ２１０からの制御信号に応じて電動車両１００を駆動させる駆動動作を行なう。駆動装置２６０は、たとえば、モータジェネレータと、蓄電装置と、ＰＣＵ（Power Control Unit）とを含む（いずれも図示せず）。蓄電装置は、たとえば、ニッケル水素電池、液体または固体の電解質を有するリチウムイオン電池等の二次電池、または、キャパシタ等の直流電源を含む。ＰＣＵは、蓄電装置の直流電力を交流電力に変換してモータジェネレータに供給したり、モータジェネレータにおいて発電された交流電力を直流電力に変換して蓄電装置に供給したりする。モータジェネレータは、電動車両１００の駆動源であって、かつ、発電源であり、駆動輪を回転駆動させたり、あるいは、駆動輪の回転によって発電したりする。なお、駆動装置２６０は、駆動源あるいは発電源として内燃機関をさらに含むようにしてもよい。

【0054】

ＡＤＳ２４０は、電動車両１００の自動運転を実施可能に構成される。具体的には、ＡＤＳ２４０は、代表ＥＣＵ２００、連携ＥＣＵ２１０，２２０および各種センサから電動車両１００の状態を示す情報（周囲環境）を取得し、取得された情報や目的地等を用いて走行計画を作成する。ＡＤＳ２４０は、作成された走行計画に従って電動車両１００を走行させるための各種制御要求を、駆動装置２６０を含む各種アクチュエータを制御する代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０に出力する。

【0055】

なお、本実施の形態においてＡＤＳ２４０は、電動車両１００に内蔵されるものとして説明するが、たとえば、電動車両１００のルーフトップ等の予め定められた位置に取り付け可能であって、かつ、電動車両１００から取り外し可能な自動運転キットによって構成されてもよい。

【0056】

電動車両１００においては、ＡＤＳ２４０からの制御要求に従った自動運転の実施が可能な自動運転モードと、ユーザによる各種操作（アクセル操作、ブレーキ操作、ステアリング操作）に応じた運転の実施が可能な手動運転モードとのうちのいずれかによって運転が行なわれる。なお、電動車両１００に搭載される各種のアクチュエータは、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０にのうちの少なくともいずれかによって制御される。なお、本実施の形態では、電動車両１００に搭載される複数のＥＣＵが代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とを含む構成を一例として説明したが、複数のＥＣＵに含まれる連携ＥＣＵの数は適宜変更することができる。複数のＥＣＵに含まれる連携ＥＣＵの数は、１つであってもよいし、３つ以上であってもよい。

【0057】

以上のような構成を有する電動車両１００において、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０がソフトウェアを実行することによって、電動車両１００が備える各種の機能が実現される。電動車両１００が備える機能は、たとえば、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が連携して処理を実行することによって実現される機能（以下「システム機能」とも称する）と、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々が、他のＥＣＵと連携せずに単独で処理を実行することによって実現される機能（以下「単独機能」とも称する）と含む。

【0058】

ここで、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々に記憶されたソフトウェアは、管理サーバ７から受信する更新情報を用いて更新されることにより、既存の機能を修正したり、新たな機能を追加したりすることができる。これらの更新されたソフトウェアによる機能（特にシステム機能）を適切に実行するために、代表ＥＣＵ２００は、たとえば、ＩＧオン後に、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０において実行されるソフトウェアの品番（バージョン）の組み合わせが整合しているか否かを確認する「起動チェック処理」を実行する。代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０では、ＩＧオンにより起動すると、まず起動チェック処理が実行され、起動チェック処理の完了後に、各機能を実現するためのソフトウェアが実行される。

【0059】

代表ＥＣＵ２００は、たとえば、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とにおけるソフトウェアの品番（バージョン）の組み合わせが、予め定められた組み合わせである場合に、品番の組み合わせが整合していると判定する。代表ＥＣＵ２００は、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とにおけるソフトウェアの品番の組み合わせ情報を管理サーバ７から取得し、メモリ２１２に記憶している。

【0060】

図３は、ソフトウェアの品番（バージョン）の組み合わせ情報を説明するための図である。組み合わせ情報には、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とにおける更新前後のバージョンの組み合わせが含まれている。代表ＥＣＵ２００は、ＤＣＭ２３０を介して、更新情報とともに組み合わせ情報を管理サーバ７から取得し、組み合わせ情報をメモリ２０２に記憶する。

【0061】

たとえば、更新前のバージョンの組み合わせでは、代表ＥＣＵ２００のソフトウェアのバージョンはＡ００００１であり、連携ＥＣＵ２１０のソフトウェアのバージョンはＢ００００１であり、連携ＥＣＵ２２０のソフトウェアのバージョンはＣ００００１である。たとえば、更新後のバージョンの組み合わせでは、代表ＥＣＵ２００のソフトウェアのバージョンはＡ００００２であり、連携ＥＣＵ２１０のソフトウェアのバージョンはＢ００００２であり、連携ＥＣＵ２２０のソフトウェアのバージョンはＣ００００２である。

【0062】

電動車両１００が備える機能には、上述のとおり、システム機能と単独機能とが含まれる。システム機能を適切に実現するためには、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０との間で、ソフトウェアの品番（バージョン）が整合していることが重要である。

【0063】

起動チェック処理において、代表ＥＣＵ２００は、起動用記憶領域に記憶されたソフトウェアを実行する前に、連携ＥＣＵ２１０，２２０の各々から、起動用記憶領域に記憶されたソフトウェアの品番情報（バージョン情報）を取得する。連携ＥＣＵ２１０，２２０の各々は、起動用記憶領域に記憶されたソフトウェアを実行する前に、起動用記憶領域に記憶されたソフトウェアの品番情報（バージョン情報）を代表ＥＣＵ２００に送信する。代表ＥＣＵ２００は、自身の起動用記憶領域に記憶されたソフトウェアの品番と、取得されたバージョン情報により特定される品番とを、組み合わせ情報に照会させる。代表ＥＣＵ２００は、組み合わせが一致する場合、各ＥＣＵ（代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０）において起動用記憶領域の切り替えが適切に行なわれたと判定する。

【0064】

代表ＥＣＵ２００は、組み合わせが一致している場合には、システム機能を実現するための処理（以下「システム処理」とも称する）、および、単独機能を実現するための処理（以下「単独処理」とも称する）の実行を許可する。代表ＥＣＵ２００は、組み合わせが一致していない場合には、単独処理の実行を許可するが、システム処理は許可しない。図４を参照しながら、具体的に説明する。なお、システム処理は、本開示に係る「第１処理」の一例に相当する。単独処理は、本開示に係る「第２処理」の一例に相当する。

【0065】

図４は、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とで行なわれる動作の一例を説明するための図である。図４には、代表ＥＣＵ２００と連携ＥＣＵとの動作シーケンスが示されている。

【0066】

Ｓ１において、電動車両１００のシステムを起動するための起動操作がユーザにより行なわれ、電動車両１００がＩＧオン状態になる。ＩＧオン状態になると、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々に電源電力が供給され、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が起動する。このとき、ソフトウェアの更新がある場合には、各ＥＣＵにおいて起動用記憶領域の切り替えが行なわれる。

【0067】

Ｓ１０およびＳ２０において、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々が起動チェック処理を開始する。代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々において、起動チェック処理は、電動車両１００がＩＧオフ状態になるまでの間において、起動時にのみ一度実行される。

【0068】

Ｓ２１において、起動チェック処理を開始すると、連携ＥＣＵ２１０，２２０の各々は、起動用記憶領域に記憶されるソフトウェアの品番（バージョン）を示す品番情報（バージョン情報）を代表ＥＣＵ２００に送信する。連携ＥＣＵ２１０，２２０の各々は、予め定められた周期毎に、バージョン情報を代表ＥＣＵ２００に送信する。なお、起動用記憶領域に記憶されるソフトウェアの品番（バージョン）の取得方法には公知の技術を採用することができ、その詳細な説明は行なわない。

【0069】

Ｓ１１において、代表ＥＣＵ２００は、ＩＧオン状態となった後、連携ＥＣＵ２１０，２２０の各々からのバージョン情報の初回受信により、バージョンチェックを実行する。バージョンチェックにおいて、代表ＥＣＵ２００は、自身（代表ＥＣＵ２００）の起動用記憶領域に記憶されるソフトウェアの品番（バージョン）と、連携ＥＣＵ２１０，２２０の各々から受信したバージョン情報により特定される品番（バージョン）との組み合わせが予め定められた組み合わせであるか否かによって、バージョンの組み合わせが整合しているか否かを判定する。より具体的には、代表ＥＣＵ２００は、自身の起動用記憶領域に記憶されたソフトウェアのバージョンと、取得したバージョン情報により特定されるバージョンとを組み合わせ情報（図３）に照会させることにより、バージョンの組み合わせの整合性を判断する。たとえば、代表ＥＣＵ２００は、自身の起動用記憶領域に記憶されたソフトウェアのバージョンがＡ００００２であり、連携ＥＣＵ２１０から受信したバージョン情報により特定されるバージョンがＢ００００２であり、連携ＥＣＵ２２０から受信したバージョン情報により特定されるバージョンがＣ００００２である場合、整合性ありと判定する。たとえば、代表ＥＣＵ２００は、自身の起動用記憶領域に記憶されたソフトウェアのバージョンがＡ００００２であるにもかかわらず、連携ＥＣＵ２１０から受信したバージョン情報により特定されるバージョンがＢ００００１であったり、連携ＥＣＵ２２０から受信したバージョン情報により特定されるバージョンがＣ００００１であったりする場合、整合性なし（不整合）と判定する。また、代表ＥＣＵ２００は、Ｓ１０の起動チェック処理を開始してから、予め定められた時間を経過したにもかかわらず、連携ＥＣＵ２１０，２２０の少なくとも一方からバージョン情報を受信していない場合（タイムアウトした場合）、異常と判定する。なお、バージョンチェックは、本開示に係る「確認処理」の一例に相当する。

【0070】

Ｓ１２において、代表ＥＣＵ２００は、バージョンチェックの結果（タイムアウトを含む）に基づいた起動信号を生成する。起動信号は、第１起動信号、第２起動信号および第３起動信号のいずれかを含む。代表ＥＣＵ２００は、バージョンチェックにおいて整合性ありと判定した場合、整合を示す情報を含む第１起動信号を生成する。代表ＥＣＵ２００は、バージョンチェックにおいて整合性なしと判定した場合、不整合を示す情報を含む第２起動信号を生成する。代表ＥＣＵ２００は、バージョンチェックにおいて異常と判定した場合、異常を示す情報を含む第３起動信号を生成する。代表ＥＣＵ２００は、生成された起動信号を連携ＥＣＵ２１０，２２０に送信する。

【0071】

Ｓ２２において、連携ＥＣＵ２１０，２２０の各々は、起動信号を受信すると、バージョン情報の送信を停止する。これ以降、連携ＥＣＵ２１０，２２０の各々から代表ＥＣＵ２００にバージョン情報は送られない。

【0072】

Ｓ１３およびＳ２３において、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々は、起動処理を開始する。具体的には、代表ＥＣＵ２００は、バージョンチェックの結果に基づいて、起動処理を開始する。連携ＥＣＵ２１０，２２０の各々は、起動信号に基づいて、起動処理を開始する。バージョンチェックの結果および起動信号に関連付けて、許可される機能が予め定められている。

【0073】

図５は、バージョンチェックの結果に応じて許可される機能を説明するための図である。図５には、バージョンチェックの結果と、結果に応じて許可される機能（第１～第３機能）との対応関係が示されている。

【0074】

第１機能は、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が連携して処理を実行することによって実現される機能（システム機能）であり、たとえば、アダプティブクルーズコントロール機能である。第２機能は、システム機能であり、たとえば、プリクラッシュセーフティ（自動ブレーキ）機能である。第３機能は、連携ＥＣＵ２１０が、他のＥＣＵと連携せずに単独で処理を実行することによって実現される機能（単独機能）であり、たとえば、駐車支援機能である。なお、本実施の形態では、上記の電動車両１００の機能として第１～第３機能を例示しているが、電動車両１００の機能はこれに限られるものではない。たとえば、代表ＥＣＵ２００が、他のＥＣＵと連携せずに単独で処理を実行することによって実現される機能、および、連携ＥＣＵ２２０が、他のＥＣＵと連携せずに単独で処理を実行することによって実現される機能が含まれてもよい。

【0075】

（１）バージョンチェックの結果が整合であった場合には、代表ＥＣＵ２００は、第１～第３機能のすべてを許可状態に設定する。第１起動信号を受信すると、連携ＥＣＵ２１０，２２０の各々は、第１～第３機能のすべてを許可状態に設定する。第１起動信号には、第１～第３機能のすべてを許可状態に設定することの指令が含まれており、連携ＥＣＵ２１０，２２０の各々は、第１起動信号に従って第１～第３機能のすべてを許可状態に設定する。あるいは、連携ＥＣＵ２１０，２２０の各々は、第１起動信号に含まれる整合を示す情報に基づいて、第１～第３機能のすべてを許可状態に設定してもよい。

【0076】

（２）バージョンチェックの結果が不整合であった場合には、代表ＥＣＵ２００は、第１機能および第２機能を不許可状態に設定し、かつ、第３機能を許可状態に設定する。すなわち、代表ＥＣＵ２００は、システム機能を不許可状態に設定する一方で、単独機能を許可状態に設定する。システム機能は、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が連携して処理を実行することによって実現される機能であるので、ソフトウェアに不整合が生じている状態では適切に実行されない可能性がある。一方、単独機能は、他のＥＣＵと連携せずに単独で処理を実行することによって実現される機能であるので、ソフトウェアに不整合が生じていても適切に実行することができる。よって、第１機能および第２機能は不許可とされ、第３機能は許可とされる。第２起動信号を受信すると、連携ＥＣＵ２１０，２２０の各々は、第１機能および第２機能を不許可状態に設定し、かつ、第３機能を許可状態に設定する。第２起動信号には、第１機能および第２機能を不許可状態に設定し、かつ、第３機能を許可状態に設定することの指令が含まれており、連携ＥＣＵ２１０，２２０の各々は、第２起動信号に従って第１機能および第２機能を不許可状態に設定し、かつ、第３機能を許可状態に設定する。あるいは、連携ＥＣＵ２１０，２２０の各々は、第２起動信号に含まれる不整合を示す情報に基づいて、第１機能および第２機能を不許可状態に設定し、かつ、第３機能を許可状態に設定してもよい。

【0077】

（３）バージョンチェックの結果が異常であった場合には、代表ＥＣＵ２００は、第１～第３機能のすべてを不許可状態に設定する。第３起動信号を受信すると、連携ＥＣＵ２１０，２２０の各々は、第１～第３機能のすべてを不許可状態に設定する。第３起動信号には、第１～第３機能のすべてを不許可状態に設定することの指令が含まれており、連携ＥＣＵ２１０，２２０の各々は、第３起動信号に従って第１～第３機能のすべてを不許可状態に設定する。あるいは、連携ＥＣＵ２１０，２２０の各々は、第３起動信号に含まれる異常を示す情報に基づいて、第１～第３機能のすべてを不許可状態に設定してもよい。

【0078】

再び、図４を参照し、Ｓ１４およびＳ２４において、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々は、許可された機能の実行を含む処理（以下「通常処理」とも称する）を開始する。代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々は、不許可とされた機能を実行するための処理を開始しない。したがって、バージョンチェックの結果が不整合または異常であった場合には、システム機能を実行するための処理は開始されない。

【0079】

上記のようにして、電動車両１００がＩＧオン状態となった後、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々において処理が開始される。

【0080】

ここで、処理の実行中において、連携ＥＣＵに電力を供給する電源の瞬断等の何らかの不具合の発生によって、連携ＥＣＵが再起動する場合がある。この場合、再起動した連携ＥＣＵは、起動用記憶領域の切り替えを行なう可能性がある。そうすると、起動チェック処理において整合性が確認されたにもかかわらず、その後に不整合の状態が生じ得る。そこで、再起動した連携ＥＣＵが起動チェック処理を開始してバージョン情報を送信することに着目し、代表ＥＣＵ２００は、起動処理後にバージョン情報を受信した場合には、システム処理を停止または不許可とする処理を実行する。以下では、連携ＥＣＵ２１０が再起動したことを想定する。

【0081】

Ｓ２５において、連携ＥＣＵ２１０に電力を供給する電源の瞬断等の何らかの不具合の発生によって、連携ＥＣＵ２１０が再起動する。

【0082】

Ｓ２６において、連携ＥＣＵ２１０が起動チェック処理を開始する。
そして、Ｓ２７において、起動チェック処理を開始した連携ＥＣＵ２１０は、起動用記憶領域に記憶されるソフトウェアの品番を示す品番情報（バージョン情報）を代表ＥＣＵ２００に送信する。連携ＥＣＵ２１０は、予め定められた周期毎に、バージョン情報を代表ＥＣＵ２００に送信する。

【0083】

Ｓ１５において、代表ＥＣＵ２００は、連携ＥＣＵ２１０からバージョン情報を取得する。通常処理の実行開始後（実行中）にバージョン情報を受信すると、代表ＥＣＵ２００は、当該バージョン情報の送信元である連携ＥＣＵ２１０に不正な再起動があったと判定する。そして、代表ＥＣＵ２００は、バージョンチェックを行なうことなく、異常信号を連携ＥＣＵ２１０，２２０に送信する。異常信号は、第３起動信号に相当する信号である。すなわち、異常信号は、異常を示す情報を少なくとも含む。異常信号は、さらに、第１～第３機能のすべてを不許可状態に設定することの指令を含んでもよい。なお、代表ＥＣＵ２００は、第３起動信号を送信するように構成されてもよい。

【0084】

Ｓ２８において、連携ＥＣＵ２１０は、異常信号を受信すると、バージョン情報の送信を停止する。なお、連携ＥＣＵ２２０は、異常信号を受信すると、Ｓ２８およびＳ２９の処理をスキップしてＳ３０の処理を実行する。

【0085】

Ｓ２９において、連携ＥＣＵ２１０は、異常信号に基づいて、起動処理を開始する。この際の処理は、Ｓ２３における第３起動信号を受信した場合の起動処理と同様である。

【0086】

Ｓ１６およびＳ３０において、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々は、システム処理を停止または不許可とする。具体的には、代表ＥＣＵ２００および連携ＥＣＵ２２０は、システム処理を実行していた場合には、システム処理を停止させるためのシーケンスを実行し、システム処理を停止させる。代表ＥＣＵ２００および連携ＥＣＵ２２０は、システム処理を実行していなかった場合には、以降においてシステム処理を開始させない。なお、代表ＥＣＵ２００および連携ＥＣＵ２２０は、単独処理については引き続き継続して実行する。連携ＥＣＵ２１０は、システム処理を開始せず、単独機能を実行するための処理を開始する。

【0087】

図４では、連携ＥＣＵが再起動した場合について説明したが、代表ＥＣＵ２００が再起動する場合も起こり得る。

【0088】

図６は、代表ＥＣＵ２００と連携ＥＣＵ２１０，２２０とで行なわれる動作の他の例を説明するための図である。図６には、代表ＥＣＵ２００と連携ＥＣＵ２１０との動作シーケンスが示されている。図４では、連携ＥＣＵ２１０が再起動する例について説明したが、図６では、代表ＥＣＵ２００が再起動する例について説明する。図６は、図４のシーケンスに対して、Ｓ１４およびＳ２４以降の処理を変更したものである。そのため、Ｓ１４およびＳ２４以降の処理について説明する。

【0089】

Ｓ４０において、代表ＥＣＵ２００に電力を供給する電源の瞬断等の何らかの不具合の発生によって、代表ＥＣＵ２００が再起動する。

【0090】

Ｓ４１において、代表ＥＣＵ２００が起動チェック処理を開始する。
Ｓ４２において、代表ＥＣＵ２００は、連携ＥＣＵ２１０，２２０からバージョン情報が送信されてくるのを待つ。しかしながら、連携ＥＣＵ２１０，２２０は再起動していないため、連携ＥＣＵ２１０，２２０の各々は、バージョン情報を送信しない。したがって、起動チェック処理を開始してから、バージョン情報を送信しないまま予め定められた時間が経過する（タイムアウトする）。

【0091】

Ｓ４３において、代表ＥＣＵ２００は、起動チェック処理を開始してから、バージョン情報を送信しないまま予め定められた時間が経過したことを検知し、異常と判定する。そして、代表ＥＣＵ２００は、異常信号を連携ＥＣＵ２１０，２２０に送信する。

【0092】

Ｓ４４において、代表ＥＣＵ２００は、システム処理を開始せず、単独機能を実行するための処理を開始する。

【0093】

Ｓ３０において、連携ＥＣＵ２１０，２２０は、システム処理を実行していた場合には、システム処理を停止させるためのシーケンスを実行し、システム処理を停止させる。連携ＥＣＵ２１０，２２０は、システム処理を実行していなかった場合には、以降においてシステム処理を開始させない。なお、連携ＥＣＵ２１０，２２０は、単独処理については引き続き継続して実行する。

【0094】

図７は、代表ＥＣＵ２００により実行される起動チェック処理の手順を示すフローチャートである。図７のフローチャートの処理は、代表ＥＣＵ２００の起動とともに開始される。図７および後述の図８のフローチャートの各ステップは、代表ＥＣＵ２００によるソフトウェア処理によって実現される場合について説明するが、その一部あるいは全部が代表ＥＣＵ２００内に作製されたハードウェア（電気回路）によって実現されてもよい。

【0095】

Ｓ５０において、代表ＥＣＵ２００は、起動チェック処理を開始し、連携ＥＣＵ２１０，２２０からバージョン情報を受信する。

【0096】

Ｓ５１において、代表ＥＣＵ２００は、対象となる全てのＥＣＵからバージョン情報を受信したか否かを判定する。本実施の形態では、対象となるＥＣＵは、連携ＥＣＵ２１０，２２０である。代表ＥＣＵ２００は、連携ＥＣＵ２１０，２２０の少なくともいずれか一方からバージョン情報を受信していない場合（Ｓ５１においてＮＯ）、処理をＳ５２に進める。代表ＥＣＵ２００は、連携ＥＣＵ２１０，２２０の両方からバージョン情報を受信した場合（Ｓ５１においてＹＥＳ）、処理をＳ５４に進める。

【0097】

Ｓ５２において、代表ＥＣＵ２００は、起動チェック処理を開始してから予め定められた第１時間が経過したか否かを判定する。代表ＥＣＵ２００は、第１時間が経過していない場合（Ｓ５２においてＮＯ）、処理をＳ５０に返す。代表ＥＣＵ２００は、第１時間が経過した場合（Ｓ５２においてＹＥＳ）、タイムアウトを決定し、処理をＳ５３に進める。

【0098】

Ｓ５３において、代表ＥＣＵ２００は、何らかの異常が生じていると判定し、システム処理の実行を不許可とすることを決定する。さらに、代表ＥＣＵ２００は、単独処理の実行を不許可とすることを決定する。そして、代表ＥＣＵ２００は、異常を示す情報を含む第３起動信号を生成し、処理をＳ５８に進める。代表ＥＣＵ２００は、システム処理および単独処理の実行を不許可とすることの指令を第３起動信号に含めてもよい。

【0099】

Ｓ５４において、代表ＥＣＵ２００は、メモリ２０２から組み合わせ情報を読み出す。代表ＥＣＵ２００は、自身の起動用記憶領域に記憶されるソフトウェアの品番（バージョン）と、Ｓ５０で連携ＥＣＵ２１０，２２０の各々から受信したバージョン情報により特定される品番（バージョン）とを、組み合わせ情報に照会させることにより、組み合わせの整合性を判定する。

【0100】

Ｓ５５において、代表ＥＣＵ２００は、Ｓ５４における比較の結果、全てのバージョンが整合したか否かを判定する。代表ＥＣＵ２００は、全て整合したと判定した場合（Ｓ５５においてＹＥＳ）、処理をＳ５６に進める。代表ＥＣＵ２００は、不整合があったと判定した場合（Ｓ５５においてＮＯ）、処理をＳ５７に進める。なお、Ｓ５２，Ｓ５４およびＳ５５の処理が、バージョンチェックに相当する。

【0101】

Ｓ５６において、代表ＥＣＵ２００は、ソフトウェア整合と判定し、システム処理の実行を許可することを決定する。そして、代表ＥＣＵ２００は、整合を示す情報を含む第１起動信号を生成し、処理をＳ５８に進める。代表ＥＣＵ２００は、システム処理および単独処理の実行を許可とすることの指令を第１起動信号に含めてもよい。

【0102】

Ｓ５７において、代表ＥＵ２００は、ソフトウェア不整合と判定し、システム処理の実行を不許可とすることを決定する。なお、代表ＥＣＵ２００は、単独処理の実行は許可することを決定する。代表ＥＣＵ２００は、不整合を示す情報を含む第２起動信号を生成し、処理をＳ５８に進める。代表ＥＣＵ２００は、システム処理の実行を不許可とし、かつ、単独処理の実行を許可とすることの指令を第２起動信号に含めてもよい。

【0103】

Ｓ５８において、代表ＥＵ２００は、起動信号（第１起動信号、第２起動信号または第３起動信号）を連携ＥＣＵ２１０，２２０に送信する。

【0104】

図８は、通常処理の実行中に代表ＥＣＵ２００により実行される処理の手順を示すフローチャートである。図８のフローチャートの処理は、通常処理（システム処理または単独処理）と並列に実行され、制御周期毎にメインルーチンから呼び出され、繰り返し実行される。

【0105】

Ｓ６０において、代表ＥＣＵ２００は、連携ＥＣＵ２１０，２２０からバージョン情報を受信したか否かを判定する。代表ＥＣＵ２００は、バージョン情報を受信していないと判定した場合（Ｓ６０においてＮＯ）、処理をメインルーチンに返す。代表ＥＣＵ２００は、バージョン情報を受信したと判定した場合（Ｓ６０においてＹＥＳ）、処理をＳ６１に進める。

【0106】

Ｓ６１において、代表ＥＣＵ２００は、バージョン情報の送信元の連携ＥＣＵが再起動したと判定し、システム処理の実行を停止または不許可とすることを決定する。さらに、代表ＥＣＵ２００は、単独処理の実行を禁止することを決定する。そして、代表ＥＣＵ２００は、異常信号を生成し、処理をＳ６３に進める。

【0107】

Ｓ６２において、代表ＥＣＵ２００は、異常信号を連携ＥＣＵ２１０，２２０に送信する。

【0108】

図９は、連携ＥＣＵにより実行される起動チェック処理の手順を示すフローチャートである。図９のフローチャートの処理は、連携ＥＣＵの起動とともに開始される。図９および後述の図１０のフローチャートの各ステップは、連携ＥＣＵによるソフトウェア処理によって実現される場合について説明するが、その一部あるいは全部が連携ＥＣＵ内に作製されたハードウェア（電気回路）によって実現されてもよい。

【0109】

Ｓ７０において、連携ＥＣＵは、起動チェック処理を開始し、代表ＥＣＵ２００にバージョン情報を送信する。

【0110】

Ｓ７１において、連携ＥＣＵは、代表ＥＣＵ２００から起動信号を受信したか否かを判定する。連携ＥＣＵは、代表ＥＣＵ２００から起動信号を受信していないと判定した場合（Ｓ７１においてＮＯ）、処理をＳ７２に進める。連携ＥＣＵは、代表ＥＣＵ２００から起動信号を受信したと判定した場合（Ｓ７１においてＹＥＳ）、処理をＳ７４に進める。

【0111】

Ｓ７２において、連携ＥＣＵは、起動チェック処理を開始してから予め定められた第２時間が経過したか否かを判定する。第２時間は、たとえば、上述の第１時間以上の時間に設定することができる。連携ＥＣＵは、第２時間が経過していない場合（Ｓ７２においてＮＯ）、処理をＳ７０に返す。連携ＥＣＵは、第２時間が経過した場合（Ｓ７２においてＹＥＳ）、タイムアウトを決定し、処理をＳ７３に進める。

【0112】

Ｓ７３において、連携ＥＣＵは、何らかの異常が生じていると判定し、システム処理の実行を禁止することを決定する。さらに連携ＥＣＵは、単独処理の実行を禁止することを決定する。

【0113】

Ｓ７４において、連携ＥＣＵは、Ｓ７１で受信した起動信号が第１起動信号であるか否かを判定する。連携ＥＣＵは、第１起動信号を受信したと判定した場合（Ｓ７４においてＹＥＳ）、処理をＳ７５に進める。連携ＥＣＵは、第１起動信号を受信していないと判定した場合（Ｓ７４においてＮＯ）、処理をＳ７６に進める。

【0114】

Ｓ７５において、連携ＥＣＵは、第１起動信号に基づき、システム処理の実行を許可することを決定する。また、連携ＥＣＵは、第１起動信号に基づき、単独処理の実行を許可することを決定する。

【0115】

Ｓ７６において、連携ＥＣＵは、Ｓ７１で受信した起動信号が第２起動信号であるか否かを判定する。連携ＥＣＵは、第２起動信号を受信したと判定した場合（Ｓ７６においてＹＥＳ）、処理をＳ７７に進める。連携ＥＣＵは、第２起動信号を受信していないと判定した場合（Ｓ７６においてＮＯ）、処理をＳ７３に進める。

【0116】

Ｓ７７において、連携ＥＣＵは、第２起動信号に基づき、システム処理の実行を禁止することを決定する。また、連携ＥＣＵは、第１起動信号に基づき、単独処理の実行は許可することを決定する。

【0117】

図１０は、通常処理の実行中に連携ＥＣＵにより実行される処理の手順を示すフローチャートである。図１０のフローチャートの処理は、通常処理（システム処理または単独処理）と並列に実行され、制御周期毎にメインルーチンから呼び出され、繰り返し実行される。

【0118】

Ｓ８０において、連携ＥＣＵは、代表ＥＣＵ２００から異常信号を受信したか否かを判定する。連携ＥＣＵは、異常信号を受信していないと判定した場合（Ｓ８０においてＮＯ）、処理をメインルーチンに返す。連携ＥＣＵは、異常信号を受信したと判定した場合（Ｓ８０においてＹＥＳ）、処理をＳ８１に進める。

【0119】

Ｓ８１において、連携ＥＣＵは、システム処理の実行を禁止することを決定する。さらに、連携ＥＣＵは、単独処理の実行を禁止することを決定する。

【0120】

以上のように、電動車両１００がＩＧオン状態になり、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が起動すると、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々において、各種の機能を実現するためのソフトウェアを実行する前に起動チェック処理が一度実行される。そして、起動チェック処理の後に、起動チェック処理の結果に基づいて各種の処理（システム処理および単独処理）の実行可否が決定され、通常処理が開始される。通常処理の開始後には、代表ＥＣＵ２００および連携ＥＣＵのいずれかに再起動があった場合には、代表ＥＣＵ２００から異常信号が送信され、システム処理が停止される。連携ＥＣＵが再起動した場合には、代表ＥＣＵ２００が通常処理中にバージョン情報を受信したことに起因して、代表ＥＣＵ２００から連携ＥＣＵに異常信号が送信される。代表ＥＣＵ２００が再起動した場合には、代表ＥＣＵ２００がバージョン情報を受信せずにタイムアウトすることに起因して、代表ＥＣＵ２００から連携ＥＣＵに異常信号が送信される。このように、ソフトウェアを実行する前に起動チェック処理が実行された後に、再起動等によってソフトウェアの不整合が生じ得る場合には、異常信号が送信されて、代表ＥＣＵ２００および連携ＥＣＵにおいてシステム処理が不許可とされるので、ソフトウェアの不整合が生じた状態において、システム処理が実行されることを抑制することができる。

【0121】

また、起動チェック処理を起動時に一度実行されるようにしたことによって、再起動等が起こらなければ、起動処理後に連携ＥＣＵから代表ＥＣＵ２００にバージョン情報が送られることはない。したがって、代表ＥＣＵ２００は、処理実行時に連携ＥＣＵからバージョン情報を受信した場合には、バージョンチェックを行なうことなく異常と判定することができる。よって、定期的にバージョン情報を受信してバージョンチェックを実行するような場合に比べ、演算資源を抑制することが可能となる。

【0122】

また、ソフトウェアの不整合が生じている場合には、システム処理を不許可とする一方で、単独処理は許可とされる。ソフトウェアの不整合が生じている場合であっても、処理可能な単独処理の実行は許可することにより、過度に処理の実行を制限することを抑制することができる。

【0123】

また、代表ＥＣＵ２００が起動チェック処理を開始してから第１時間内にバージョン情報を受信できなかった場合や、連携ＥＣＵがバージョン情報を送信してから第２時間内に起動信号を受信できなかった場合、何らかの異常が生じていることが想定される。この場合には、システム処理および単独処理の実行を不許可とすることにより、異常が生じた状態でシステム処理および単独処理が実行されることを抑制することができる。

【0124】

［変形例］
実施の形態では、連携ＥＣＵは、起動チェック処理において、代表ＥＣＵ２００にバージョン情報を定期的に送信した。しかしながら、連携ＥＣＵは、起動チェック処理において、起動したことを示す信号を代表ＥＣＵ２００に送信し、代表ＥＣＵ２００からの求めに応じてバージョン情報を送信するように構成されてもよい。

【0125】

電動車両１００がＩＧオン状態になると、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々に電源電力が供給され、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０が起動する。そして、代表ＥＣＵ２００および連携ＥＣＵ２１０，２２０の各々が起動チェック処理を開始する。

【0126】

起動チェック処理を開始すると、連携ＥＣＵ２１０，２２０の各々は、起動したことを示す信号を代表ＥＣＵ２００に送信する。代表ＥＣＵ２００は、起動チェック処理時に起動したことを示す信号を受信すると、その信号の送信元の連携ＥＣＵに対して、バージョン情報の送信要求を送信する。

【0127】

連携ＥＣＵ２１０，２２０の各々は、バージョン情報の送信要求を受信すると、バージョン情報を代表ＥＣＵ２００に送信する。代表ＥＣＵ２００は、バージョン情報を用いて、実施の形態で説明したバージョンチェックを実行する。なお、連携ＥＣＵ２１０，２２０の各々は、起動チェック処理の開始後、代表ＣＵ２００から起動信号を受信するまで、起動処理を開始しない。以降の処理は、実施の形態と同様であるため、繰り返し説明しない。

【0128】

また、代表ＥＣＵ２００は、通常処理を開始して以降、少なくともいずれかの連携ＥＣＵから起動したことを示す信号を受信すると、何らかの異常が生じていると判定し、異常信号を連携ＥＣＵ２１０，２２０に送信する。以降の処理は、実施の形態と同様であるため、繰り返し説明しない。

【0129】

以上のように、変形例の構成においても、実施の形態と同様の効果を奏することができる。

【0130】

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0131】

１ 通信システム、６ 通信ネットワーク、７ 管理サーバ、１００ 電動車両、２００ 代表ＥＣＵ、２０１ ＣＰＵ、２０２ メモリ、２０２Ａ 第１記憶領域、２０２Ｂ 第２記憶領域、２１０，２２０ 連携ＥＣＵ、２１２ メモリ、２１２Ａ 第３記憶領域、２１２Ｂ 第４記憶領域、２５０ 通信バス、２６０ 駆動装置。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】