ホーム > 特許ランキング > 本田技研工業株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-11-20
(45)【発行日】2024-11-28
(54)【発明の名称】車両制御装置、車両制御方法、及び、記録媒体
(51)【国際特許分類】
G06F 8/65 20180101AFI20241121BHJP
G06F 11/14 20060101ALI20241121BHJP
B60R 16/02 20060101ALI20241121BHJP
【ＦＩ】
G06F8/65
G06F11/14 617
B60R16/02 660U
【請求項の数】
6
(21)【出願番号】P 2022137520
(22)【出願日】2022-08-31
(65)【公開番号】P2023118654
(43)【公開日】2023-08-25
【審査請求日】2023-03-28
(31)【優先権主張番号】P 2022021064
(32)【優先日】2022-02-15
(33)【優先権主張国・地域又は機関】JP
(73)【特許権者】
【識別番号】000005326
【氏名又は名称】本田技研工業株式会社
(74)【代理人】
【識別番号】110001081
【氏名又は名称】弁理士法人クシブチ国際特許事務所
(72)【発明者】
【氏名】加藤 久浩
(72)【発明者】
【氏名】伯川 弘昭
(72)【発明者】
【氏名】相吉澤 怜
(72)【発明者】
【氏名】猪股 孝幸
(72)【発明者】
【氏名】川俣 聖寿
【審査官】大倉 崚吾
(56)【参考文献】
【文献】特開２００９－０４２８５０（ＪＰ，Ａ）
【文献】特開２０２１－０２７６９５（ＪＰ，Ａ）
【文献】特開２０１８－０９２２４１（ＪＰ，Ａ）
【文献】国際公開第２０１６／１３６０１４（ＷＯ，Ａ１）
【文献】特開２００１－１１７７６５（ＪＰ，Ａ）
【文献】特開２００４－０５４８１８（ＪＰ，Ａ）
【文献】特開２０１０－１４０１８３（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ８／６０－８／６５８
Ｇ０６Ｆ １１／１４
Ｂ６０Ｒ １６／０２
(57)【特許請求の範囲】
【請求項1】
車両を起動させるための車両起動用プログラムを実行することによって前記車両の制御を行う車両制御部と、前記車両起動用プログラムを記憶し書き換えが制限される書換制限領域と、前記車両起動用プログラムを書き換え可能に記憶する書換可能領域と、を有する記憶部と、
外部装置と通信を行う通信部と、
前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域に記憶させる更新処理を実行するプログラム更新部と、
前記更新処理が正常に完了しなかったことを通知する通知部と、を備え、
前記車両制御部は、前記書換可能領域に記憶された前記車両起動用プログラムを実行し、前記プログラム更新部による前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行し、
前記記憶部は、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第１記憶領域と、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第２記憶領域とを、前記書換可能領域に備え、
前記プログラム更新部は、
前記車両起動用更新プログラムを、前記第１記憶領域または前記第２記憶領域の少なくとも一方に記憶させる前記更新処理を実行し、
前記第２記憶領域に前記車両起動用更新プログラムを記憶させる前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を、前記第１記憶領域に記憶させ、
前記車両制御部は、前記異常発生情報に基づいて前記第１記憶領域に記憶された前記車両起動用プログラムを実行する場合に、前記通知部によって異常発生第１通知を行う、
車両制御装置。
【請求項2】
前記車両制御部は、前記第１記憶領域及び前記第２記憶領域に前記車両起動用プログラムが記憶されている場合に、前記異常発生情報に基づいて、前記第１記憶領域に記憶された前記車両起動用プログラムまたは前記第２記憶領域に記憶された前記車両起動用プログラムを選択して実行する、請求項１に記載の車両制御装置。
【請求項3】
前記車両制御部が前記書換制限領域に記憶された前記車両起動用プログラムを実行する場合、前記通知部によって前記異常発生第１通知とは異なる異常発生第２通知を行う、請求項１又は請求項２に記載の車両制御装置。
【請求項4】
前記通知部によって前記異常発生第２通知を実行する場合に、前記通信部によって、前記更新処理が正常に完了しなかったことを示す異常発生信号を前記外部装置に送信する、請求項３に記載の車両制御装置。
【請求項5】
車両の外部に存在する外部装置と通信を行う通信部と、前記車両を起動させるための車両起動用プログラムを記憶し書き換えが制限される書換制限領域及び前記車両起動用プログラムを書き換え可能に記憶する書換可能領域を有する記憶部と、を備える車両制御装置により実行される車両制御方法であって、前記記憶部の前記書換可能領域は、前記車両起動用プログラムを記憶する第１記憶領域及び第２記憶領域を備え、
前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域の前記第１記憶領域又は前記第２記憶領域の少なくとも一方に記憶させる更新処理を実行するプログラム更新ステップと、
前記書換可能領域に記憶された前記車両起動用プログラムを実行することによって前記車両を起動させ、前記プログラム更新ステップによる前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行する車両制御ステップと、
前記更新処理が正常に完了しなかったことを通知する通知ステップと、を含み
前記プログラム更新ステップは、前記第２記憶領域に前記車両起動用更新プログラムを記憶させる前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を、前記第１記憶領域に記憶させ、
前記車両制御ステップは、前記異常発生情報に基づいて前記第１記憶領域に記憶された前記車両起動用プログラムを実行する場合に、前記通知ステップによって異常発生第１通知を行う、
車両制御方法。
【請求項6】
車両の外部に存在する外部装置と通信を行う通信部と、前記車両を起動させるための車両起動用プログラムを記憶し書き換えが制限される書換制限領域及び前記車両起動用プログラムを書き換え可能に記憶する書換可能領域を有する記憶部と、を備える車両制御装置を構成するコンピュータが実行するプログラムを記憶した記録媒体であって、前記記憶部の前記書換可能領域は、前記車両起動用プログラムを記憶する第１記憶領域及び第２記憶領域を備え、
前記記録媒体に記憶されたプログラムは、前記コンピュータを、
前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域の前記第１記憶領域又は前記第２記憶領域の少なくとも一方に記憶させる更新処理を実行するプログラム更新部と、
前記書換可能領域に記憶された前記車両起動用プログラムを実行することによって前記車両を起動させ、前記プログラム更新部による前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行する車両制御部と、
前記更新処理が正常に完了しなかったことを通知する通知部と、して機能させ、
前記プログラム更新部は、前記第２記憶領域に前記車両起動用更新プログラムを記憶させる前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を、前記第１記憶領域に記憶させ、
前記車両制御部は、前記異常発生情報に基づいて前記第１記憶領域に記憶された前記車両起動用プログラムを実行する場合に、前記通知部によって異常発生第１通知を行う、
記録媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、車両制御装置、車両制御方法、及び、記録媒体に関する。
【背景技術】
【0002】
近年、交通の安全性の向上やＣＯ２の排出削減を目的として、車両を制御するソフトウェアの機能が充実している。そして、車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）によって実行されるプログラムを更新する技術が提案されている。例えば、特許文献１には、プログラムを記憶する記憶部が、制御プログラムを記憶する車両制御プログラム記憶領域と、制御プログラムの更新版である更新プログラムを記憶する第２プログラム記憶領域とを含む構成が開示されている。この構成によれば、制御プログラムの実行中であっても更新プログラムを記憶部に記憶させることが可能であり、プログラムを更新するタイミングの制約を小さくできる、とされている。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０１９－１４４６６９号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
車両を制御するソフトウェアの中には、車両の基本的な動作を行うために重要なプログラムが含まれる。このようなプログラムが損なわれると車両の動作に大きな影響を及ぼす。このため、プログラムを更新する処理に関する信頼性を確保することが求められる。
本発明はかかる背景に鑑みてなされたものであり、車両を制御するプログラムの更新に関する信頼性を確保することを目的とする。
本発明はかかる背景に鑑みてなされたものであり、車両を制御するプログラムの更新に関する信頼性を確保することを目的とする。
【課題を解決するための手段】
【0005】
上記目的を達成するための一態様は、車両を起動させるための車両起動用プログラムを実行することによって前記車両の制御を行う車両制御部と、前記車両起動用プログラムを記憶し書き換えが制限される書換制限領域と、前記車両起動用プログラムを書き換え可能に記憶する書換可能領域と、を有する記憶部と、外部装置と通信を行う通信部と、前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域に記憶させる更新処理を実行するプログラム更新部と、前記更新処理が正常に完了しなかったことを通知する通知部と、を備え、前記車両制御部は、前記書換可能領域に記憶された前記車両起動用プログラムを実行し、前記プログラム更新部による前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行し、前記記憶部は、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第１記憶領域と、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第２記憶領域とを、前記書換可能領域に備え、前記プログラム更新部は、前記車両起動用更新プログラムを、前記第１記憶領域または前記第２記憶領域の少なくとも一方に記憶させる前記更新処理を実行し、前記第２記憶領域に前記車両起動用更新プログラムを記憶させる前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を、前記第１記憶領域に記憶させ、前記車両制御部は、前記異常発生情報に基づいて前記第１記憶領域に記憶された前記車両起動用プログラムを実行する場合に、前記通知部によって異常発生第１通知を行う、車両制御装置である。
【発明の効果】
【0006】
上記構成によれば、車両を起動させるためのプログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶されたプログラムを利用して、車両を起動させることができる。これにより、車両を制御するプログラムの更新に関する信頼性を確保できる。
【図面の簡単な説明】
【0007】
【図1】車両の制御システムの概略構成図。
【図2】プログラム管理システムの概略構成を示す図。
【図3】第１実施形態における制御システムの要部構成を示すブロック図。
【図4】第１実施形態における記憶部の構成例を示す模式図。
【図5】第１実施形態における制御システムの動作を示すフローチャート。
【図6】第１実施形態における制御システムの動作を示すフローチャート。
【図7】第２実施形態における記憶部の構成例を示す模式図。
【図8】第２実施形態における制御システムの動作を示すフローチャート。
【図9】第２実施形態における制御システムの動作を示すフローチャート。
【図10】第２実施形態における制御システムの動作を示すフローチャート。
【発明を実施するための形態】
【0008】
図１は、車両の制御システム１を示す図である。
制御システム１は、車両の全般的な制御および情報処理を行うセントラルＥＣＵ２を備えている。以下、制御システム１が搭載された車両を自車両とする。自車両とは、具体的には後述する車両Ｖである。セントラルＥＣＵ２は、通信ライン４ａ、４ｂ、４ｃを含む通信ラインに接続される。セントラルＥＣＵ２は、これらの通信ライン間における通信データの授受を管理するゲートウェイの機能を実現する。また、セントラルＥＣＵ２には、移動通信システムの通信規格に準拠する無線装置であるＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１２が接続される。セントラルＥＣＵ２は、ＴＣＵ１２を利用してＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）管理を実行する。ＯＴＡ管理は、車両が備える車載装置の更新プログラムを車外のサーバからダウンロードする処理、及び、ダウンロードした更新プログラムを車載装置に適用する処理に関する制御を含む。また、セントラルＥＣＵ２には、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｏｒ）１９が接続される。ＤＬＣ１９には、後述する診断装置等を接続することができる。
制御システム１は、車両の全般的な制御および情報処理を行うセントラルＥＣＵ２を備えている。以下、制御システム１が搭載された車両を自車両とする。自車両とは、具体的には後述する車両Ｖである。セントラルＥＣＵ２は、通信ライン４ａ、４ｂ、４ｃを含む通信ラインに接続される。セントラルＥＣＵ２は、これらの通信ライン間における通信データの授受を管理するゲートウェイの機能を実現する。また、セントラルＥＣＵ２には、移動通信システムの通信規格に準拠する無線装置であるＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１２が接続される。セントラルＥＣＵ２は、ＴＣＵ１２を利用してＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）管理を実行する。ＯＴＡ管理は、車両が備える車載装置の更新プログラムを車外のサーバからダウンロードする処理、及び、ダウンロードした更新プログラムを車載装置に適用する処理に関する制御を含む。また、セントラルＥＣＵ２には、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｏｒ）１９が接続される。ＤＬＣ１９には、後述する診断装置等を接続することができる。
【0009】
通信ライン４ａ、４ｂ、及び４ｃには、それぞれ、第１ゾーンＥＣＵ２０ａ、第２ゾーンＥＣＵ２０ｂ、及び第３ゾーンＥＣＵ２０ｃが接続されている。第１ゾーンＥＣＵ２０ａ、第２ゾーンＥＣＵ２０ｂ、及び第３ゾーンＥＣＵ２０ｃに接続されるＥＣＵの数や種類に制限はなく、本実施形態では一つの構成例を示す。この例では、第１ゾーンＥＣＵ２０ａには、ＥＣＵ３０ａ、３０ｂ、３０ｃが接続されている。第２ゾーンＥＣＵ２０ｂには、ＥＣＵ３０ｄ、３０ｅ、３０ｆ、３０ｇ、３０ｈ、３０ｉ、３０ｊ、３０ｋが接続されている。また、第３ゾーンＥＣＵ２０ｃには、ＥＣＵ３０ｌ、３０ｍ、３０ｎが接続されている。
【0010】
以下、第１ゾーンＥＣＵ２０ａ、第２ゾーンＥＣＵ２０ｂ、及び第３ゾーンＥＣＵ２０ｃを総称してゾーンＥＣＵ２０ともいい、ＥＣＵ３０ａ～３０ｎを総称してＥＣＵ３０ともいうものとする。
【0011】
ＥＣＵ３０には、例えば、ＭＰＵ（Ｍａｐ Ｐｏｓｉｔｉｏｎｉｎｇ Ｕｎｉｔ）、ＭＶＣ－ＥＣＵ（ＭＶＣ；Ｍｕｌｔｉ Ｖｉｅｗ Ｃａｍｅｒａ）、ＰＫＳ－ＥＣＵ（ＰＫＳ；Ｐａｒｋｉｎｇ Ｓｕｐｐｏｒｔ）、及び又はＡＤＡＳ－ＥＣＵ（ＡＤＡＳ；Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｃｅ Ｓｙｓｔｅｍ）、及びその他の、自車両が備える種々のデバイスやセンサの動作を制御するＥＣＵが含まれ得る。そのようなデバイスやセンサには、自車両を走行させる走行用モータ、アクセルやブレーキなどの操縦器、ＶＳＡ装置（ＶＳＡ；Ｖｅｈｉｃｌｅ Ｓｔａｂｉｌｉｔｙ Ａｓｓｉｓｔ）、バッテリ、ヘッドランプ等の灯体、ドアウィンドウを駆動するウィンドウモータ、ドアロック機構を駆動するアクチュエータ、ドアロックセンサ、ドア開閉センサ、温度センサ、車外カメラ、車室内カメラなどが含まれ得る。
【0012】
ゾーンＥＣＵ２０には、それぞれ、自車両の車体空間の同じ区画内に配された複数のＥＣＵ３０、または同じ区画内に配されたデバイスやセンサの動作を制御する複数のＥＣＵ３０が接続されている。
【0013】
なお、セントラルＥＣＵ２には、ゾーンＥＣＵ２０に加えて、他の制御装置や機器が接続され得る。そのような制御装置や機器には、ＩＣＢ（Ｉｎｆｏｔａｉｎｍｅｎｔ Ｃｏｎｔｒｏｌ Ｂｏｘ）、スピーカ、マイクロホンと、メーターパネル、ステアリングスイッチ、ＧＮＳＳ（ＧＮＳＳ；Ｇｌｏｂａｌ Ｎａｖｉｇａｔｉｏｎ Ｓａｔｅｌｌｉｔｅ Ｓｙｓｔｅｍ）センサ、タッチパネルなどが含まれ得る。
【0014】
通信ライン４ａ、４ｂ、及び４ｃは、本実施形態では、例えば、ＣＡＮ通信規格に準拠した通信を行うＣＡＮバスで構成される。以下、通信ライン４ａ、４ｂ、及び４ｃを総称して通信ライン４ともいうものとする。ここで、通信ライン４は、本開示における車載ネットワークに対応する。また、通信ライン４に接続されたゾーンＥＣＵ２０は、本開示における、複数の電子制御装置に対応する。
【0015】
通信ライン４に接続されたゾーンＥＣＵ２０は、従来技術に従い、送信するデータを、ＣＡＮ通信規格に従って一つのフレームにより又は複数のフレームの列として、通信ライン４へ送出する。ＣＡＮ通信規格に従い、送出される各フレームには識別コード（ＩＤ）が含まれており、フレームを受信した各ゾーンＥＣＵ２０は、そのフレームに含まれるＩＤに基づいて、当該フレームが自身に宛てて送信されたフレームであるか否かを判断する。
【0016】
図２は、プログラム管理システム１００の概略構成を示す図である。
プログラム管理システム１００は、制御システム１を構成する各種のＥＣＵが実行するプログラムの更新を可能とするシステムである。プログラム管理システム１００は、サーバ１１０、及び、車両診断装置１２０を含む。
プログラム管理システム１００は、制御システム１を構成する各種のＥＣＵが実行するプログラムの更新を可能とするシステムである。プログラム管理システム１００は、サーバ１１０、及び、車両診断装置１２０を含む。
【0017】
サーバ１１０は、通信ネットワークＮによって制御システム１と接続される。
通信ネットワークＮは、例えば、セルラー通信網、Ｗｉ－Ｆｉ（登録商標）ネットワーク、Ｂｌｕｅｔｏｏｔｈ（登録商標）、インターネット、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、公衆回線、プロバイダ装置、専用回線、基地局等を含み、図２には基地局Ｂを図示する。制御システム１が備えるＴＣＵ１２は、基地局Ｂとの間でセルラー通信を実行することにより、通信ネットワークＮを通じて外部装置とデータ通信を実行する。
通信ネットワークＮは、例えば、セルラー通信網、Ｗｉ－Ｆｉ（登録商標）ネットワーク、Ｂｌｕｅｔｏｏｔｈ（登録商標）、インターネット、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、公衆回線、プロバイダ装置、専用回線、基地局等を含み、図２には基地局Ｂを図示する。制御システム１が備えるＴＣＵ１２は、基地局Ｂとの間でセルラー通信を実行することにより、通信ネットワークＮを通じて外部装置とデータ通信を実行する。
【0018】
制御システム１は、ＴＣＵ１２によってサーバ１１０と通信を実行することによって、制御システム１の各種のＥＣＵが実行するプログラムを更新するための更新データを、サーバ１１０からダウンロードすることができる。制御システム１が、サーバ１１０から更新データをダウンロードしてプログラムを更新する手段は、上述したＯＴＡに相当する。サーバ１１０は、制御システム１の外部装置の一例に対応する。ＴＣＵ１２は、通信部の一例に対応する。
【0019】
車両診断装置１２０は、制御システム１が搭載される車両Ｖを取り扱う販売店や整備工場に設置される装置である。車両診断装置１２０は、制御システム１が有するＤＬＣ１９に、ケーブルによって接続される。制御システム１は、車両診断装置１２０と通信を実行することにより、制御システム１が実行するプログラムの更新等を行うことができる。車両診断装置１２０を外部装置の一例とし、ＤＬＣ１９を通信部の一例とすることができる。
【0020】
ここで、ＥＣＵのプログラムの更新とは、ＥＣＵが実行するプログラムを異なるバージョンのプログラムに書き換えることを指す。ＥＣＵのプログラムの更新は、ＥＣＵがプログラムを実行する際に参照されるデータ、及び／または、プログラムの実行により生成または変更されるデータを、プログラムとともに書き換えることを含む場合がある。ＥＣＵのプログラムの更新は、ＥＣＵが実行するプログラムを、同じバージョンのプログラムに書き換えることを含む場合がある。
【0021】
［第１実施形態］
まず、本開示の第１実施形態について説明する。
図３は、第１実施形態における制御システム１の要部構成を示すブロック図である。図３は、制御システム１においてプログラムの更新に関わる構成の一部を示しており、制御システム１が図３に示されていない構成を具備することを妨げない。
まず、本開示の第１実施形態について説明する。
図３は、第１実施形態における制御システム１の要部構成を示すブロック図である。図３は、制御システム１においてプログラムの更新に関わる構成の一部を示しており、制御システム１が図３に示されていない構成を具備することを妨げない。
【0022】
制御システム１において、セントラルＥＣＵ２、ゾーンＥＣＵ２０、及びＥＣＵ３０を含む各々のＥＣＵは、プロセッサと、記憶部と、を備える。プロセッサは、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＭＣＵ（Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）により構成される。記憶部は、プロセッサが実行するプログラム、及び、プロセッサにより処理されるデータを不揮発的に記憶する。記憶部は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）である。また、ＥＣＵは、プログラム及びデータを一時的に記憶するためのワークエリアを形成するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を備えてもよい。ＥＣＵは、プロセッサ、ＲＯＭ、ＲＡＭを一体に備える集積回路で構成されてもよい。また、ＥＣＵは、プロセッサ、ＲＯＭ及びＲＡＭのそれぞれを独立したハードウェアとして備える構成であってもよい。
【0023】
セントラルＥＣＵ２は、プログラムの更新に関わる機能部として、更新制御部２０１を備える。更新制御部２０１は、セントラルＥＣＵ２が備えるハードウェアであってもよい。また、更新制御部２０１は、セントラルＥＣＵ２のプロセッサがプログラムを実行することによってソフトウェアとハードウェアとの協働により実現される機能部であってもよい。
【0024】
更新制御部２０１は、更新データ受信部２０２、及び、更新データ制御部２０３を備える。更新データ受信部２０２は、ＴＣＵ１２を制御して、サーバ１１０からプログラムを更新するための更新データを受信する。更新データ制御部２０３は、更新データ受信部２０２が受信した更新データを利用して、セントラルＥＣＵ２を含む各種のＥＣＵがプログラムを更新する処理を制御する。
【0025】
図３には、更新制御部２０１による制御の対象として、第２ゾーンＥＣＵ２０ｂを図示するが、これは一例である。更新制御部２０１の制御の対象となるＥＣＵの数に制限はない。更新制御部２０１は、制御システム１が備える少なくとも一部のＥＣＵが実行するプログラムの更新を制御する。更新制御部２０１は、制御システム１が備える全てのＥＣＵ、或いは、ほとんど全てのＥＣＵによるプログラムの更新を制御してもよい。
【0026】
更新制御部２０１の制御に従ってプログラムを更新するＥＣＵの一例として、本実施形態では第２ゾーンＥＣＵ２０ｂについて説明する。
第２ゾーンＥＣＵ２０ｂは、プログラム実行部５１、更新実行部５２、及び、記憶部５３を備える。記憶部５３は上述した記憶部に相当する。プログラム実行部５１は、記憶部５３に記憶されたプログラムを実行する。プログラム実行部５１は、第２ゾーンＥＣＵ２０ｂが備えるプロセッサ自体の機能を表すということもできる。プログラム実行部５１は、車両制御部の一例に対応する。また、制御システム１は車両制御装置の一例に対応する。記憶部５３は、プログラム実行部５１が実行するプログラム、及び、このプログラムに関連するデータを記憶する。更新実行部５２は、記憶部５３が記憶するプログラムを更新する。更新実行部５２は、プログラム更新部の一例に対応する。
第２ゾーンＥＣＵ２０ｂは、プログラム実行部５１、更新実行部５２、及び、記憶部５３を備える。記憶部５３は上述した記憶部に相当する。プログラム実行部５１は、記憶部５３に記憶されたプログラムを実行する。プログラム実行部５１は、第２ゾーンＥＣＵ２０ｂが備えるプロセッサ自体の機能を表すということもできる。プログラム実行部５１は、車両制御部の一例に対応する。また、制御システム１は車両制御装置の一例に対応する。記憶部５３は、プログラム実行部５１が実行するプログラム、及び、このプログラムに関連するデータを記憶する。更新実行部５２は、記憶部５３が記憶するプログラムを更新する。更新実行部５２は、プログラム更新部の一例に対応する。
【0027】
車両Ｖにおいて、第２ゾーンＥＣＵ２０ｂの制御対象は、図１に示したＥＣＵ３０ｄ～３０ｋである。ＥＣＵ３０ｄ～３０ｋとしては、例えば、車両Ｖの灯体、ウィンドウモータ、ドアセンサ、ドアロック機構、及び、ＥＳＬを制御するＥＣＵが挙げられる。また、ＥＣＵ３０ｄ～３０ｋとしては、例えば、ワイパーモータ、ウィンドウウォッシャーモータ、及び、電源リレー４１を制御するＥＣＵが挙げられる。本実施形態では、ＥＣＵ３０ｋを、電源リレー４１を制御するＥＣＵとして説明する。
【0028】
ワイパーモータは、車両Ｖのワイパーを動作させるモータである。ウィンドウウォッシャーモータは、ウィンドウウォッシャーポンプを駆動するモータである。ウィンドウウォッシャーポンプは、ウィンドウウォッシャーモータによって駆動され、車両Ｖのフロントウィンドウにウィンドウウォッシャー液を噴射する。
【0029】
電源リレー４１は、車両Ｖに搭載されたバッテリからの電源供給状態を切り替えるためのスイッチングを行う回路である。ＥＣＵ３０ｋは、第２ゾーンＥＣＵ２０ｂが出力する信号に基づき、電源リレー４１を制御して、バッテリからの電力を制御システム１の各部に供給する電源オン状態と、制御システム１の少なくとも一部に対する電力供給が停止する電源オフ状態とを切り替える。電源リレー４１は、例えば、有接点リレーである。電源リレー４１は、ソリッドステートリレー或いは半導体リレーと呼ばれる素子、或いは、その他のスイッチング素子であってもよい。
【0030】
ここで、電源オン状態とは、車両Ｖが、車両Ｖの駆動装置を動作させて走行可能な状態をいう。駆動装置は、例えば、車両を駆動するモータまたは内燃機関である。例えば、車両Ｖが走行している場合、車両Ｖが停車中であって駆動装置が動作している場合、及び、駆動装置を動作させることが可能な状態は、電源オン状態に含まれる。これに対し、電源オフ状態は、少なくとも車両Ｖの駆動装置が停止された状態であって、駆動装置を動作させるために起動処理を必要とする状態をいう。電源オフ状態において、制御システム１において駆動装置以外の構成部が停止していてもよい。
【0031】
例えば、駆動装置が内燃機関を含む場合、電源オフ状態とは、内燃機関が動作を停止した状態であって、内燃機関を始動させるセルモータ等が動作しない状態を含む。また、例えば、駆動装置がモータを含む場合、電源オフ状態とは、モータへの電力供給が停止し、かつ、モータの駆動状態の制御が停止した状態である。電源オフ状態において、セントラルＥＣＵ２、及び、第２ゾーンＥＣＵ２０ｂを含む複数のＥＣＵが動作していてもよい。
【0032】
制御システム１が電源オフ状態から電源オン状態に遷移する動作を、ここでは起動と呼ぶ。車両Ｖを起動させるためには、第２ゾーンＥＣＵ２０ｂがＥＣＵ３０ｋを制御することによって、電源リレー４１がスイッチングを行う必要がある。
【0033】
図４は、記憶部５３の構成例を示す模式図である。
記憶部５３は、不揮発性の記憶領域を有する。記憶部５３は、プログラム及びデータを書き換え可能に記憶領域に記憶する。記憶部５３は、例えば、半導体記憶デバイス、或いは、磁気記録装置により構成される。具体的な例として、記憶部５３は、フラッシュＲＯＭ、或いは、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）で構成される。以下の説明では、記憶部５３が記憶するプログラム及びデータを、プログラムと表記する。すなわち、以下の説明において言及されるプログラムとは、そのプログラムをプロセッサが実行する時に参照され、生成され、或いは処理されるデータを含む。これらのプログラム及びデータの全体は、ソフトウェアと言い換えることができる。すなわち、プログラム管理システム１００は、車両Ｖに搭載された制御システム１のソフトウェアを管理し、更新する機能を有する。
記憶部５３は、不揮発性の記憶領域を有する。記憶部５３は、プログラム及びデータを書き換え可能に記憶領域に記憶する。記憶部５３は、例えば、半導体記憶デバイス、或いは、磁気記録装置により構成される。具体的な例として、記憶部５３は、フラッシュＲＯＭ、或いは、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）で構成される。以下の説明では、記憶部５３が記憶するプログラム及びデータを、プログラムと表記する。すなわち、以下の説明において言及されるプログラムとは、そのプログラムをプロセッサが実行する時に参照され、生成され、或いは処理されるデータを含む。これらのプログラム及びデータの全体は、ソフトウェアと言い換えることができる。すなわち、プログラム管理システム１００は、車両Ｖに搭載された制御システム１のソフトウェアを管理し、更新する機能を有する。
【0034】
記憶部５３の記憶領域は論理的に複数の領域に区分されている。すなわち、記憶部５３には、ブート領域６１、及び、プログラム記憶領域６２が設けられる。ブート領域６１、及びプログラム記憶領域６２は、いずれもプログラムを記憶する。ブート領域６１は、更新実行部５２によって書き換えることが制限または禁止された領域である。ブート領域６１は、書換制限領域の一例に対応する。このため、ブート領域６１が記憶するプログラムを更新実行部５２が更新する処理は行われない。これに対し、プログラム記憶領域６２は、更新実行部５２によって書き換え可能な領域である。プログラム記憶領域６２は、書換可能領域の一例に対応する。更新実行部５２は、プログラム記憶領域６２に新たなプログラムを記憶させる処理、及び、プログラム記憶領域６２が記憶するプログラムを更新する処理を実行可能である。また、ブート領域６１は、書き換えが完全に禁止される必要は無く、更新実行部５２がプログラムやデータを書き換える処理の対象とならないよう設定された領域であればよい。例えば、セントラルＥＣＵ２や、ＤＬＣ１９を介して接続される車両診断装置１２０の制御により、ブート領域６１に対する書き換えが実行されることを妨げない。
【0035】
ブート領域６１に対する書き込みの制限は、ハードウェアによる制限であっても、ソフトウェアによる制限であってもよい。例えば、ブート領域６１及びプログラム記憶領域６２が同一の半導体記憶デバイスの記憶領域に設けられる場合、ブート領域６１に対する制限は、更新実行部５２の仕様またはソフトウェアによって実現される。また、例えば、ブート領域６１とプログラム記憶領域６２とが異なる半導体記憶デバイスの記憶領域である場合、ブート領域６１に対する制限を、ハードウェアによって実現してもよい。
【0036】
ブート領域６１は、ブートローダ７１を記憶する。ブートローダ７１は、第２ゾーンＥＣＵ２０ｂが車両Ｖを起動させるときに最初にプログラム実行部５１によって実行されるプログラムである。プログラム実行部５１は、ブートローダ７１を実行することによって、プログラム実行部５１の処理に必要な初期化等を実行する。さらに、プログラム実行部５１は、ブートローダ７１の機能によって、プログラム記憶領域６２に記憶される車両起動用プログラム７３を読み出して実行する。
【0037】
プログラム記憶領域６２は、プログラム実行部５１が実行するプログラムを記憶する。プログラム記憶領域６２は、車両起動用プログラム７３を記憶する。車両起動用プログラム７３は、第２ゾーンＥＣＵ２０ｂがＥＣＵ３０ｋを制御して電源リレー４１を動作させることにより、車両Ｖを起動させるためのプログラムを含む。また、車両起動用プログラム７３は、不図示のエンジンスタータを制御する機能等を含んでもよい。
【0038】
車両起動用プログラム７３は、車両Ｖの基本的な動作を実行するための１または複数のプログラムを含む。すなわち、車両起動用プログラム７３は、車両Ｖの起動、走行及び停止をするために必須の機能を含む。例えば、車両起動用プログラム７３は、ドアロック機構及びＥＳＬの制御に関する機能を含む。
また、車両起動用プログラム７３の機能は、法令等によって車両Ｖの走行中に実行することが求められる制御を含む。例えば、車両起動用プログラム７３は、車両Ｖの灯体の点灯の制御に関する機能、ワイパーモータの制御に関する機能、及び、ウィンドウウォッシャーモータの制御に関する機能を含む。
また、車両起動用プログラム７３の機能は、法令等によって車両Ｖの走行中に実行することが求められる制御を含む。例えば、車両起動用プログラム７３は、車両Ｖの灯体の点灯の制御に関する機能、ワイパーモータの制御に関する機能、及び、ウィンドウウォッシャーモータの制御に関する機能を含む。
【0039】
車両起動用プログラム７３の機能は、制御システム１におけるプログラムの更新に必要な機能を含んでもよい。例えば、車両起動用プログラム７３は、ＴＣＵ１２を介してサーバ１１０と通信を実行する機能、及び、ＤＬＣ１９を介して車両診断装置１２０と通信を実行する機能を含んでもよい。
【0040】
また、車両起動用プログラム７３は、車両Ｖの走行に必須ではない機能に関するプログラムを含んでもよい。例えば、車両起動用プログラム７３は、ユーザの利便性を高めるアクセシビリティに関する機能や、ユーザの娯楽性を高めるインフォテイメントに関する機能を含んでもよい。具体的には、車両起動用プログラム７３の機能は、ハンズフリーでドアを開閉する機能、車両Ｖの車室空間の照明による演出を行う機能等を含んでもよい。
【0041】
ブート領域６１は、ブートローダ７１のほか、車両起動用プログラム７２を記憶する。車両起動用プログラム７２は、車両起動用プログラム７３と同様にプログラム実行部５１によって実行され、プログラム実行部５１が各部を制御するためのプログラムである。車両起動用プログラム７２は、車両起動用プログラム７３と同様に、車両Ｖの基本的な動作を実行するための１または複数のプログラムを含む。具体的には、車両Ｖの起動、走行及び停止をするために必須の機能、及び、法令等によって車両Ｖの走行中に実行することが求められる制御を含む。従って、プログラム実行部５１が車両起動用プログラム７２を実行することにより、少なくとも車両Ｖを起動させ、車両Ｖを走行させることが可能となる。
【0042】
車両起動用プログラム７２は、車両起動用プログラム７３により実現される機能のうち、ユーザの利便性を高めるアクセシビリティに関する機能や、ユーザの娯楽性を高めるインフォテイメントに関する機能を含まないプログラムであってもよい。この場合、車両起動用プログラム７２を記憶するための記憶容量は、車両起動用プログラム７３よりも小さいため、ブート領域６１の記憶容量を抑えることができる。
【0043】
プログラム記憶領域６２が記憶する車両起動用プログラム７３は、更新実行部５２の機能によって更新できる。これに対し、ブート領域６１が記憶する車両起動用プログラム７２は、更新実行部５２によって更新されない。例えば、車両起動用プログラム７２は、車両Ｖの工場出荷時にブート領域６１に記憶された状態のまま変更されない。従って、車両起動用プログラム７２は、更新実行部５２の動作にかかわらず保護された状態にある。更新実行部５２が車両起動用プログラム７３を更新する更新処理において、何らかの支障が発生した場合であっても、制御システム１は、車両起動用プログラム７２をプログラム実行部５１によって実行することにより、車両Ｖを起動させ、車両Ｖを走行させることができる。
【0044】
図５及び図６は、制御システム１の動作を示すフローチャートである。図５は、プログラム記憶領域６２が記憶する車両起動用プログラム７３を更新する処理を示す。図５のステップＳ１４～Ｓ１６は更新処理の一例に対応する。
【0045】
更新データ受信部２０２は、サーバ１１０に対してＴＣＵ１２によって要求を送信する（ステップＳ１１）。ステップＳ１１の要求は、ＥＣＵが記憶するプログラムを更新するための更新プログラムの要求であり、例えば、車両起動用プログラム７３を更新するための車両制御更新プログラムを送信することの要求である。
【0046】
更新データ受信部２０２は、ステップＳ１１の要求に応じてサーバ１１０が送信するプログラムを、サーバ１１０からダウンロードし、不図示の記憶領域に一時的に記憶する（ステップＳ１２）。ここで、更新データ制御部２０３は、更新処理を開始するため、車両Ｖの電源がオフに切り替えられることを待機する。すなわち、更新データ制御部２０３は、車両Ｖが電源オフ状態に切り替えられたか否かを判定する（ステップＳ１３）。車両Ｖが電源オフ状態に切り替えられない間（ステップＳ１３；ＮＯ）、更新データ制御部２０３はステップＳ１３で待機する。
【0047】
車両Ｖが電源オフ状態に切り替えられたと判定した場合（ステップＳ１３；ＹＥＳ）、更新データ制御部２０３の制御に従って、更新実行部５２が更新処理を開始する（ステップＳ１４）。
【0048】
更新処理において、更新実行部５２は、ステップＳ１２でダウンロードした車両制御更新プログラムを、プログラム記憶領域６２に記憶させる（ステップＳ１５）。更新実行部５２は、プログラム記憶領域６２に記憶した車両制御更新プログラムを利用して、プログラム記憶領域６２が記憶する車両起動用プログラム７３のインストールを実行する（ステップＳ１６）。ステップＳ１６の処理は、車両起動用プログラム７３を、新しいバージョンの車両起動用プログラム７３に更新する処理に相当する。
【0049】
更新実行部５２は、インストールが正常に完了したことを確認する処理を行う（ステップＳ１７）。ステップＳ１７で、更新実行部５２は、インストールされたプログラムが、プログラム実行部５１によって正常に実行可能な状態であることを確認する。例えば、更新実行部５２は、更新後の車両起動用プログラム７３のハッシュ値を算出し、算出したハッシュ値を、算出車両制御更新プログラムとともにサーバ１１０からダウンロードしたハッシュ値と比較することにより、更新後の車両起動用プログラム７３の正常性を確認する。
【0050】
更新実行部５２は、ステップＳ１７の処理の結果に基づいて、車両起動用プログラム７３のインストールが正常に完了したか否かを判定する（ステップＳ１８）。インストールが正常に完了した場合（ステップＳ１８；ＹＥＳ）、更新実行部５２は、インストールしたプログラムのアクティベーションを実行し（ステップＳ１９）、本処理を終了する。アクティベーションは、更新したプログラムの実行に関する設定を含む。
【0051】
車両起動用プログラム７３のインストールが正常に完了していないと判定した場合（ステップＳ１８；ＮＯ）、更新実行部５２は、プログラム記憶領域６２に異常発生情報７４を書き込む（ステップＳ２０）。
【0052】
異常発生情報７４は、車両起動用プログラム７３の更新処理が正常に完了しなかったことを示す情報である。異常発生情報７４は、例えばフラグであってもよい。この場合、ステップＳ２０で、更新実行部５２が異常発生情報７４を書き込むことは、異常発生情報７４のフラグをオンに書き換えることに相当する。異常発生情報７４がプログラム記憶領域６２に記憶されている場合、プログラム実行部５１は、起動時に車両起動用プログラム７３を実行しない。これにより、正常に動作しない可能性がある車両起動用プログラム７３が実行されることを防止できる。
【0053】
図６は、第２ゾーンＥＣＵ２０ｂの起動に関する動作を示す。
プログラム実行部５１は、ブート領域６１に記憶されているブートローダ７１を読み出して実行する（ステップＳ３１）。続いて、プログラム実行部５１は、プログラム記憶領域６２を参照し（ステップＳ３２）、異常発生情報７４が記憶されているか否かを判定する（ステップＳ３３）。プログラム実行部５１は、異常発生情報７４が記憶されていない場合（ステップＳ３３；ＮＯ）、プログラム記憶領域６２に記憶された車両起動用プログラム７３を実行する（ステップＳ３４）。プログラム実行部５１は、車両起動用プログラム７３を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ３５）。これにより、制御システム１が車両Ｖの走行に必要な機能を制御可能な状態となり、車両Ｖは電源オン状態に移行する。
プログラム実行部５１は、ブート領域６１に記憶されているブートローダ７１を読み出して実行する（ステップＳ３１）。続いて、プログラム実行部５１は、プログラム記憶領域６２を参照し（ステップＳ３２）、異常発生情報７４が記憶されているか否かを判定する（ステップＳ３３）。プログラム実行部５１は、異常発生情報７４が記憶されていない場合（ステップＳ３３；ＮＯ）、プログラム記憶領域６２に記憶された車両起動用プログラム７３を実行する（ステップＳ３４）。プログラム実行部５１は、車両起動用プログラム７３を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ３５）。これにより、制御システム１が車両Ｖの走行に必要な機能を制御可能な状態となり、車両Ｖは電源オン状態に移行する。
【0054】
プログラム実行部５１は、異常発生情報７４がプログラム記憶領域６２に記憶されている場合（ステップＳ３３；ＹＥＳ）、ブート領域６１に記憶された車両起動用プログラム７２を実行する（ステップＳ３６）。プログラム実行部５１は、車両起動用プログラム７２を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ３７）。
【0055】
この場合、更新制御部２０１またはプログラム実行部５１は、異常発生通知を行う（ステップＳ３８）。異常発生通知は、車両起動用プログラム７３の更新処理が正常に完了しなかったことを示す通知である。
【0056】
異常発生通知は、例えば、車両Ｖの運転席または他の席に乗車しているユーザに対して実行される。異常発生通知の内容は、例えば、車両起動用プログラム７３の更新の再実行を求めること、車両Ｖの販売店や整備工場において車両診断装置１２０を利用して車両起動用プログラム７３を更新すること、等を案内する。ステップＳ３８では、例えば、車両Ｖに搭載されたタッチパネルに文字や画像を表示すること、或いは、車両Ｖに搭載されたスピーカから音声を出力することによって通知が実行される。
【0057】
更新制御部２０１またはプログラム実行部５１は、異常発生通知を行った後に、異常発生信号を外部装置に送信する（ステップＳ３９）。異常発生信号は、車両起動用プログラム７３の更新処理が正常に完了しなかったことを示す信号である。異常発生通知は、例えば、ＴＣＵ１２によってサーバ１１０に送信され、或いは、ＤＬＣ１９を介して車両診断装置１２０に送信される。また、ステップＳ３９で、異常発生通知が、予め制御システム１に登録されたスマートフォンやパーソナルコンピュータに送信される構成としてもよい。
【0058】
異常発生信号が制御システム１からサーバ１１０や他の装置に送信されることにより、例えば、車両Ｖを運転するユーザに対し、車両Ｖの販売店や整備工場から、車両起動用プログラム７３の修復や更新のやり直しに関する支援を行うことが可能となる。
【0059】
［第２実施形態］
次に、本開示の第２実施形態について説明する。
図７は、第２実施形態における記憶部５３Ａの構成例を示す模式図である。記憶部５３Ａは、図３及び図４に示した記憶部５３に代えて、第２ゾーンＥＣＵ２０ｂに設けられる。第２実施形態における制御システム１の構成及び機能は、記憶部５３と記憶部５３Ａとの相違、及びこれに関する動作の相違を除き、第１実施形態と共通する。第１実施形態で説明した構成については、以下の説明において、第１実施形態と同じ符号を付すことによって図示及び説明を省略する。
次に、本開示の第２実施形態について説明する。
図７は、第２実施形態における記憶部５３Ａの構成例を示す模式図である。記憶部５３Ａは、図３及び図４に示した記憶部５３に代えて、第２ゾーンＥＣＵ２０ｂに設けられる。第２実施形態における制御システム１の構成及び機能は、記憶部５３と記憶部５３Ａとの相違、及びこれに関する動作の相違を除き、第１実施形態と共通する。第１実施形態で説明した構成については、以下の説明において、第１実施形態と同じ符号を付すことによって図示及び説明を省略する。
【0060】
記憶部５３Ａは、不揮発性の記憶領域を有する。記憶部５３Ａは、プログラム及びデータを書き換え可能に記憶領域に記憶する。記憶部５３Ａは、記憶部５３と同様に、半導体記憶デバイス、或いは、磁気記録装置により構成され、具体的にはフラッシュＲＯＭ或いはＥＥＰＲＯＭで構成される。
【0061】
記憶部５３Ａの記憶領域は論理的に複数の領域に区分される。すなわち、記憶部５３Ａには、ブート領域６１Ａ、Ａ面ブートイメージ記憶領域６５、Ｂ面ブートイメージ記憶領域６６、プログラム記憶第１領域６７、及び、プログラム記憶第２領域６８が設けられる。これらの各領域は、いずれもプログラムを記憶する。
【0062】
ブート領域６１Ａは、マスターブートレコード８１、及び、車両起動用プログラム８２を記憶する。ブート領域６１Ａは、ブート領域６１Ａに記憶されるプログラムがブート領域６１と相違することを除き、ブート領域６１と同様に構成される。
【0063】
マスターブートレコード８１は、第２ゾーンＥＣＵ２０ｂが車両Ｖを起動させるときに最初にプログラム実行部５１によって実行されるプログラムである。プログラム実行部５１は、マスターブートレコード８１を参照し、マスターブートレコード８１は、ブートローダ７１に相当するプログラム、及び、このプログラムに続いてプログラム実行部５１が実行すべきプログラムを指定するデータ等を含む。プログラム実行部５１は、マスターブートレコード８１に含まれるプログラムを実行することによって、プログラム実行部５１の処理に必要な初期化等を実行する。さらに、プログラム実行部５１は、ブートローダ７１の機能によって、ブートプログラム８３またはブートプログラム８４を読み出して実行する。
【0064】
Ａ面ブートイメージ記憶領域６５は、ブートプログラム８３を記憶する。Ｂ面ブートイメージ記憶領域６６はブートプログラム８４を記憶する。
ブートプログラム８３は、第２ゾーンＥＣＵ２０ｂの基本的な動作を実行し、車両起動用プログラム８５の実行を開始するためのプログラムである。ブートプログラム８４は、第２ゾーンＥＣＵ２０ｂの基本的な動作を実行し、車両起動用プログラム８６の実行を開始するためのプログラムである。
ブートプログラム８３は、第２ゾーンＥＣＵ２０ｂの基本的な動作を実行し、車両起動用プログラム８５の実行を開始するためのプログラムである。ブートプログラム８４は、第２ゾーンＥＣＵ２０ｂの基本的な動作を実行し、車両起動用プログラム８６の実行を開始するためのプログラムである。
【0065】
従って、プログラム実行部５１は、マスターブートレコード８１に続いて、ブートプログラム８３及び車両起動用プログラム８５、または、ブートプログラム８４及び車両起動用プログラム８６を実行する。
【0066】
プログラム記憶第１領域６７は、車両起動用プログラム８５を記憶する。プログラム記憶第２領域６８は車両起動用プログラム８６を記憶する。車両起動用プログラム８５は、車両起動用プログラム７３と同様のプログラムである。車両起動用プログラム８６も同様である。また、プログラム記憶第１領域６７は異常発生情報８７Ａ、及び、更新情報８８Ａを記憶することができる。プログラム記憶第２領域６８は、異常発生情報８７Ｂ、及び、更新情報８８Ｂを記憶することができる。
【0067】
すなわち、車両起動用プログラム８５、８６は、第２ゾーンＥＣＵ２０ｂがＥＣＵ３０ｋを動作させることにより、電源リレー４１を切り替えさせて車両Ｖを起動させるためのプログラムを含む。また、車両起動用プログラム８５、８６は、不図示のエンジンスタータを制御する機能等を含んでもよい。
【0068】
車両起動用プログラム８５、８６は、車両Ｖの基本的な動作を実行するための１または複数のプログラムを含む。換言すれば、車両起動用プログラム８５、８６は、車両Ｖの起動、走行及び停止をするために必須の機能を含む。例えば、車両起動用プログラム８５、８６は、ドアロック機構３３及びＥＳＬ３４を制御する機能を含む。また、車両起動用プログラム８５、８６の機能は、法令等によって車両Ｖの走行中に実行することが求められる制御を含む。例えば、車両起動用プログラム８５、８６は、灯体の点灯を制御する機能、ワイパーモータを制御する機能、及び、ウィンドウウォッシャーモータを制御する機能を含む。
【0069】
車両起動用プログラム８５、８６の機能は、制御システム１におけるプログラムの更新に必要な機能を含んでもよい。例えば、車両起動用プログラム８５、８６は、ＴＣＵ１２に介してサーバ１１０と通信を実行する機能、及び、ＤＬＣ１９を介して車両診断装置１２０と通信を実行する機能を含んでもよい。
【0070】
また、車両起動用プログラム８５、８６は、車両Ｖの走行に必須ではない機能に関するプログラムを含んでもよい。例えば、車両起動用プログラム８５、８６は、ユーザの利便性を高めるアクセシビリティに関する機能や、ユーザの娯楽性を高めるインフォテイメントに関する機能を含んでもよい。具体的には、車両起動用プログラム８５、８６の機能は、ハンズフリーでドアを開閉する機能、車両Ｖの車室空間の照明による演出を行う機能等を含んでもよい。
【0071】
車両起動用プログラム８５と車両起動用プログラム８６とは、いずれも第２ゾーンＥＣＵ２０ｂに適合するプログラムである。車両起動用プログラム８５と車両起動用プログラム８６とは同一のプログラムであってもよいし、異なるプログラムであってもよい。例えば、車両起動用プログラム８５と車両起動用プログラム８６とは、同一の種類のプログラムであって、バージョンが異なるプログラムである。車両起動用プログラム８６が車両起動用プログラム８５よりも新しいバージョンである例を想定する。この例では、例えば、車両起動用プログラム８６が、車両起動用プログラム８５に対して機能が追加された改良版のプログラムである。また、例えば、車両起動用プログラム８６は、車両起動用プログラム８５が有する不具合や脆弱性を解消したプログラムである。
【0072】
ブート領域６１Ａは、マスターブートレコード８１のほか、車両起動用プログラム８２を記憶する。車両起動用プログラム８２は、車両起動用プログラム８５、８６と同様にプログラム実行部５１によって実行され、プログラム実行部５１が各部を制御するためのプログラムである。
【0073】
車両起動用プログラム８２は、車両起動用プログラム８５、８６と同様に、車両Ｖの基本的な動作を実行するための１または複数のプログラムを含む。具体的には、車両Ｖの起動、走行及び停止をするために必須の機能、及び、法令等によって車両Ｖの走行中に実行することが求められる制御を含む。従って、プログラム実行部５１が車両起動用プログラム８２を実行することにより、少なくとも車両Ｖを起動させ、車両Ｖを走行させることが可能となる。
【0074】
車両起動用プログラム８２は、車両起動用プログラム８５、８６により実現される機能のうち、ユーザの利便性を高めるアクセシビリティに関する機能や、ユーザの娯楽性を高めるインフォテイメントに関する機能を含まないプログラムであってもよい。この場合、車両起動用プログラム８２を記憶するための記憶容量は、車両起動用プログラム８５、８６よりも小さいため、ブート領域６１Ａの記憶容量を抑えることができる。
【0075】
記憶部５３Ａの記憶領域は、Ａ面とＢ面とに分類される。Ａ面にはＡ面ブートイメージ記憶領域６５及びプログラム記憶第１領域６７が属する。Ｂ面にはＢ面ブートイメージ記憶領域６６及びプログラム記憶第２領域６８が属する。ブート領域６１ＡはＡ面とＢ面のいずれにも属しない。
【0076】
Ａ面の記憶領域と、Ｂ面の記憶領域とは、互いに独立してプログラムを記憶する。プログラム実行部５１は、Ａ面、及び、Ｂ面のいずれか一方の記憶領域に記憶されたプログラムを利用して、第２ゾーンＥＣＵ２０ｂの各種の機能を実現する。プログラム実行部５１がＡ面を選択する場合、プログラム実行部５１は、マスターブートレコード８１に続いてブートプログラム８３及び車両起動用プログラム８５を実行する。この場合、プログラム実行部５１はＢ面のプログラムを実行することなく、電源リレー４１を含む各部を制御できる。つまり、プログラム実行部５１は、記憶部５３ＡにおいてＡ面またはＢ面のいずれか一方にプログラムが正常に記憶されていれば、第２ゾーンＥＣＵ２０ｂとしての動作を実行できる。
【0077】
更新実行部５２は、記憶部５３Ａが記憶しているプログラムを更新する場合、Ａ面及びＢ面のいずれかを選択する。一例として、プログラム記憶第１領域６７が記憶する車両起動用プログラム８５よりも新しいバージョンのプログラムがサーバ１１０によって提供された場合を想定する。この場合、更新実行部５２は、車両起動用プログラム８５とは異なる記憶領域に記憶されている車両起動用プログラム８６を更新する。更新実行部５２は、サーバ１１０から、車両起動用プログラム８６を更新するための車両制御更新プログラムをダウンロードし、この車両制御更新プログラムに基づき、プログラム記憶第２領域６８が記憶するプログラムを更新する。その後、更新実行部５２は、新しいバージョンである車両起動用プログラム８６をプログラム実行部５１が実行するように、設定を変更する。
【0078】
プログラム記憶第１領域６７、及び、プログラム記憶第２領域６８は、更新実行部５２によって書き換え可能な領域である。プログラム記憶第１領域６７及びプログラム記憶第２領域６８は、書換可能領域の一例に対応する。従って、更新実行部５２は、プログラム記憶第１領域６７及びプログラム記憶第２領域６８に対し、新たなプログラムを記憶させる処理、及び、既に記憶されているプログラムを更新する処理を実行可能である。
【0079】
ブート領域６１Ａは、ブート領域６１と同様に書き換えが制限または禁止された領域である。ブート領域６１Ａは、書換制限領域の一例に対応する。このため、ブート領域６１Ａが記憶するプログラムを更新実行部５２が更新する処理は行われない。具体的には、車両起動用プログラム８２は、更新実行部５２が実行する更新処理の対象にはならない。例えば、車両起動用プログラム８２は、車両Ｖの工場出荷時にブート領域６１Ａに記憶された状態のまま変更されない。ブート領域６１Ａは、書き換えが完全に禁止される必要は無く、更新実行部５２がプログラムやデータを書き換える処理の対象とならないよう設定された領域であればよい。例えば、セントラルＥＣＵ２や、ＤＬＣ１９を介して接続される車両診断装置１２０の制御により、ブート領域６１Ａに対する書き換えが実行されることを妨げない。
【0080】
Ａ面ブートイメージ記憶領域６５、及び、Ｂ面ブートイメージ記憶領域６６は、更新実行部５２がプログラムの書き換えを行う対象ではない。例えば、Ａ面ブートイメージ記憶領域６５及びＢ面ブートイメージ記憶領域６６は、ブート領域６１Ａと同様に、更新実行部５２による書き換えが制限された領域であってもよい。
【0081】
プログラム記憶領域６２が記憶する車両起動用プログラム８５，８６は、更新実行部５２の機能によって更新できる。これに対し、ブート領域６１Ａが記憶する車両起動用プログラム８２は、更新実行部５２によって更新されない。従って、車両起動用プログラム８２は、更新実行部５２の動作にかかわらず保護された状態にある。更新実行部５２が車両起動用プログラム７３を更新する更新処理において、何らかの支障が発生した場合であっても、制御システム１は、車両起動用プログラム８２をプログラム実行部５１によって実行することにより、車両Ｖを起動させ、車両Ｖを走行させることができる。
【0082】
図８、図９及び図１０は、第２実施形態における制御システム１の動作を示すフローチャートである。図８及び図９は、記憶部５３Ａが記憶する車両起動用プログラム８５、８６を更新する処理を示す。図９は、図８に示す動作の変形例である。図８のステップＳ１４、Ｓ４１～Ｓ４４は更新処理の一例に対応する。図９のステップＳ４６、Ｓ４３～Ｓ４４は更新処理の一例に対応する。
【0083】
【0084】
図８に示すように、ステップＳ１４で更新処理を開始した後、更新実行部５２は、プログラム記憶第１領域６７及びプログラム記憶第２領域６８のいずれか一方を、更新対象の領域として特定する（ステップＳ４１）。更新実行部５２は、更新情報を生成して記憶部５３Ａに記憶させる（ステップＳ４２）。更新情報は、更新されない側のプログラムが利用に適するか否かを示す情報である。更新実行部５２は、更新処理を行う理由に基づいて更新情報を生成する。
【0085】
一例として、更新実行部５２が、プログラム記憶第１領域６７が記憶する車両起動用プログラム８５を更新する場合を説明する。この場合、更新実行部５２は、ステップＳ４１で、更新対象の領域としてプログラム記憶第１領域６７を選択する。更新実行部５２は、更新対象の領域でないプログラム記憶第２領域６８に記憶された車両起動用プログラム８６について更新情報８８Ｂを生成し、プログラム記憶第２領域６８に記憶させる。更新情報８８Ｂは、車両起動用プログラム８６が、利用に適するか否かを示す。更新実行部５２は、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当する場合は、車両起動用プログラム８６が利用に適しないことを示す更新情報８８Ｂを生成する。また、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当しない場合は、車両起動用プログラム８６が利用に適することを示す更新情報８８Ｂを生成する。更新処理を行う理由は、例えば、サーバ１１０が車両制御更新プログラムとともに制御システム１に送信する付加情報により判定可能である。この場合、サーバ１１０は、車両制御更新プログラムを制御システム１に送信する際に、更新処理を行う理由を示す付加情報を、制御システム１に送信する。同様に、更新実行部５２は、プログラム記憶第２領域６８が記憶する車両起動用プログラム８６を更新する場合に、車両起動用プログラム８５が利用に適するか否かを示す更新情報８８Ａを生成し、プログラム記憶第１領域６７に記憶させる。また、更新情報８８Ａ、８８Ｂは、更新処理を行った理由を示すコード等であってもよい。
【0086】
更新実行部５２は、ステップＳ１２でダウンロードした車両制御更新プログラムを、更新対象の領域に記憶させる（ステップＳ４３）。更新実行部５２は、ステップＳ４３で記憶させた車両制御更新プログラムを利用して、更新対象の領域が記憶する車両起動用プログラムのインストールを実行する（ステップＳ４４）。ステップＳ４４の処理は、ステップＳ１６と同様である。
【0087】
また、ステップＳ１８の判定において、インストールが正常に完了しなかったと判定した場合、更新実行部５２は、異常発生情報を、更新対象の領域に記憶させる。例えば、車両起動用プログラム８５を更新する処理が正常に完了しなかった場合、更新実行部５２は、ステップＳ４５で、更新対象の領域であるプログラム記憶第１領域６７に、異常発生情報８７Ａを記憶させる。
【0088】
図８には、図５と同様に、更新データ制御部２０３が車両Ｖの電源がオフに切り替えられることを待機し、車両Ｖの電源がオフに切り替えられた後に更新処理を実行する動作を示した。記憶部５３Ａは、Ａ面の記憶領域とＢ面の記憶領域とを有するので、車両Ｖの電源がオンになっている間であっても、プログラムの信頼性に影響を与えることなく更新処理を実行できる。この場合の動作を図９に示す。
【0089】
【0090】
図９に示すように、ステップＳ１２で更新データ受信部２０２がプログラムをダウンロードした後、更新実行部５２は、記憶領域を選択して更新処理を開始する（ステップＳ４６）。ステップＳ４６で、更新実行部５２は、記憶部５３ＡのＡ面の記憶領域及びＢ面の記憶領域のうち、最終更新日時が古い側の領域を、更新処理の対象として選択する。詳細には、更新実行部５２は、プログラム記憶第１領域６７及びプログラム記憶第２領域６８の最終更新日時を特定する。プログラム記憶第１領域６７の最終更新日時は、プログラム記憶第１領域６７が記憶するプログラムが最後に更新された日時である。プログラム記憶第２領域６８の最終更新日時も同様である。更新実行部５２は、プログラム記憶第１領域６７とプログラム記憶第２領域６８の最終更新日時を比較し、最終更新日時が古い側の領域を選択する。ステップＳ４６で、更新実行部５２は、ステップＳ４２と同様の処理によって更新情報を生成し、選択されなかった側の記憶領域に更新情報を記憶させてもよい。
ステップＳ４６の後、更新実行部５２は、ステップＳ４３に移行する。
ステップＳ４６の後、更新実行部５２は、ステップＳ４３に移行する。
【0091】
更新実行部５２が、ステップＳ１８の判定において、インストールが正常に完了したと判定した場合（ステップＳ１８；ＹＥＳ）、更新データ制御部２０３は、車両Ｖの電源をオフにする操作の有無を判定する（ステップＳ４７）。ステップＳ４７の判定は、ステップＳ１３と同様であってもよい。或いは、ステップＳ４７で、更新データ制御部２０３は、車両Ｖの電源をオフにすることを指示する操作の有無を判定してもよい。すなわち、車両Ｖの電源が実際にオフに切り替わることでなく、これを指示する操作を判定してもよい。この種の操作として、例えば、車両Ｖのイグニッションスイッチの操作が挙げられる。
【0092】
更新データ制御部２０３は、車両Ｖの電源がオフに切り替えられるまで待機する（ステップＳ４７；ＮＯ）。車両Ｖの電源がオフに切り替えられると判定した場合（ステップＳ４７；ＹＥＳ）、更新データ制御部２０３は、ユーザに対してアクティベーションの承認を依頼する処理を行う（ステップＳ４８）。例えば、ステップＳ４８で、更新データ制御部２０３は、更新の承認を求めるメッセージを、車両Ｖに搭載されたタッチパネルに表示する処理、及び、更新の承認を依頼する音声メッセージを、車両Ｖに搭載されたスピーカから出力させる処理のいずれか１以上を実行する。ここで、ステップＳ４８で、更新データ制御部２０３は、ユーザが承認の操作を行うための操作用のアイコン等を、タッチパネルに表示してもよい。
【0093】
更新データ制御部２０３は、ユーザによって更新を承認する操作が行われたか否かを判定する（ステップＳ４９）。更新を承認する操作は、例えば、タッチパネルに対する操作である。更新を承認する操作が行われていないと判定した場合（ステップＳ４９；ＮＯ）、更新データ制御部２０３は本処理を終了する。この場合、更新データ制御部２０３は、その後に車両Ｖの電源がオフにされる毎に、ステップＳ４８の動作を行う。
【0094】
更新を承認する操作が行われた場合（ステップＳ４９；ＹＥＳ）、更新データ制御部２０３の制御により、更新実行部５２が、インストールしたプログラムのアクティベーションを実行し（ステップＳ１９）、本処理を終了する。ステップＳ１９で、更新実行部５２は、次回に車両Ｖの電源がオンになった場合に、ステップＳ４４でインストールしたプログラムが実行されるように設定を行う。
【0095】
更新実行部５２及び更新データ制御部２０３は、図８の動作と、図９の動作のいずれかを択一的に実行する構成であってもよい。
また、更新実行部５２及び更新データ制御部２０３は、図８の動作と図９の動作の両方を実行可能であり、いずれかを選択して実行する構成であってもよい。例えば、更新データ制御部２０３は、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当する場合は、図８の動作を実行する構成であってもよい。この場合、更新実行部５２及び更新データ制御部２０３は、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当しない場合に、図８または図９の動作を実行する。プログラムの更新処理では、記憶部５３Ａが記憶しているプログラムを上書き更新することによって、もとのプログラムを実行できなくなることを考慮する必要がある。プログラム記憶第１領域６７が記憶するプログラム、及び、プログラム記憶第２領域６８が記憶するプログラムの両方が、プログラム実行部５１が実行しても支障のない状態である場合には、どちらを更新しても信頼性に影響を与えない。このような場合、記憶部５３Ａは、実行可能なプログラムをプログラム記憶第１領域６７とプログラム記憶第２領域６８の両方に記憶している。従って、車両Ｖの電源をオフにしなくても、プログラムの信頼性に影響を与えることなく、プログラムを更新できる。この場合、図９の動作は、車両Ｖの電源がオンになっている間に更新処理を実行できるという利点がある。
また、更新実行部５２及び更新データ制御部２０３は、図８の動作と図９の動作の両方を実行可能であり、いずれかを選択して実行する構成であってもよい。例えば、更新データ制御部２０３は、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当する場合は、図８の動作を実行する構成であってもよい。この場合、更新実行部５２及び更新データ制御部２０３は、更新処理を行う理由が、車両起動用プログラム８６の不具合や脆弱性を解消することに該当しない場合に、図８または図９の動作を実行する。プログラムの更新処理では、記憶部５３Ａが記憶しているプログラムを上書き更新することによって、もとのプログラムを実行できなくなることを考慮する必要がある。プログラム記憶第１領域６７が記憶するプログラム、及び、プログラム記憶第２領域６８が記憶するプログラムの両方が、プログラム実行部５１が実行しても支障のない状態である場合には、どちらを更新しても信頼性に影響を与えない。このような場合、記憶部５３Ａは、実行可能なプログラムをプログラム記憶第１領域６７とプログラム記憶第２領域６８の両方に記憶している。従って、車両Ｖの電源をオフにしなくても、プログラムの信頼性に影響を与えることなく、プログラムを更新できる。この場合、図９の動作は、車両Ｖの電源がオンになっている間に更新処理を実行できるという利点がある。
【0096】
【0097】
プログラム実行部５１は、マスターブートレコード（ＭＢＲ）８１を参照し、ブートプログラム８３またはブートプログラム８４を選択して実行する（ステップＳ５１）。ステップＳ５１で、プログラム実行部５１は、Ａ面ブートイメージ記憶領域６５とＢ面ブートイメージ記憶領域６６のいずれか、すなわち、Ａ面とＢ面のいずれかを選択する。例えば、プログラム実行部５１は、マスターブートレコード８１に含まれるプログラムの機能により、車両起動用プログラム８５と車両起動用プログラム８６の最終更新日時を比較する。この場合、プログラム実行部５１は、Ａ面とＢ面のうち、最終更新日時が新しい側の車両起動用プログラムを記憶する側の領域を、選択する。
【0098】
以下では、一例として、ステップＳ５１でプログラム実行部５１がＡ面のプログラムを選択して実行する場合を説明する。プログラム実行部５１がＢ面のプログラムを選択する場合の動作は同様に理解される。
【0099】
プログラム実行部５１は、ステップＳ５１でブートプログラム８３を実行した場合、プログラム記憶第１領域６７を参照し（ステップＳ５２）、異常発生情報８７Ａが記憶されているか否かを判定する（ステップＳ５３）。
【0100】
異常発生情報８７Ａが記憶されていない場合（ステップＳ５３；ＮＯ）、プログラム実行部５１は、プログラム記憶第１領域６７に記憶された車両起動用プログラム８５を実行する（ステップＳ５４）。プログラム実行部５１は、車両起動用プログラム８５を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ５５）。これにより、制御システム１が車両Ｖの走行に必要な機能を制御可能な状態となり、車両Ｖは電源オン状態に移行する。
【0101】
プログラム実行部５１は、異常発生情報８７Ａがプログラム記憶第１領域６７に記憶されている場合（ステップＳ５３；ＹＥＳ）、更新情報８８Ｂを参照する（ステップＳ５５）。ステップＳ５５で、プログラム実行部５１は、ステップＳ５２で参照していない側の記憶領域、すなわち、プログラム記憶第２領域６８に記憶された更新情報８８Ｂを参照する。
【0102】
プログラム実行部５１は、ステップＳ５５で参照した更新情報８８Ｂに基づき、プログラム記憶第２領域６８の車両起動用プログラム８６を利用可能であるか否かを判定する（ステップＳ５７）。
【0103】
車両起動用プログラム８６を利用可能であると判定した場合（ステップＳ５７；ＹＥＳ）、プログラム実行部５１は、車両起動用プログラム８６を実行する（ステップＳ５８）。プログラム実行部５１は、車両起動用プログラム８６を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ５９）。これにより、制御システム１が車両Ｖの走行に必要な機能を制御可能な状態となり、車両Ｖは電源オン状態に移行する。
【0104】
その後、更新制御部２０１またはプログラム実行部５１は、異常発生第１通知を行う（ステップＳ６０）。異常発生第１通知は、車両起動用プログラム８５の更新処理が正常に完了しなかったことを示す通知であって、車両起動用プログラム８６が実行可能である場合に行われる通知である。異常発生第１通知の通知方法は、ステップＳ３８で実行される異常発生通知と同様である。
【0105】
車両起動用プログラム８６を利用可能でないと判定した場合（ステップＳ５７；ＮＯ）、プログラム実行部５１は、ブート領域６１Ａに記憶された車両起動用プログラム８２を実行する（ステップＳ６１）。プログラム実行部５１は、車両起動用プログラム８２を実行することによって、ＥＣＵ３０ｋにより電源リレー４１を切り替えさせて、車両Ｖを起動させる（ステップＳ６２）。これにより、制御システム１が車両Ｖの走行に必要な機能を制御可能な状態となり、車両Ｖは電源オン状態に移行する。
【0106】
その後、更新制御部２０１またはプログラム実行部５１は、異常発生第２通知を行う（ステップＳ６０）。異常発生第２通知は、車両起動用プログラム８５の更新処理が正常に完了せず、かつ、車両起動用プログラム８６が利用に適しないことを示す通知である。異常発生第１通知は、記憶部５３Ａに記憶された車両起動用プログラム８５、８６の一方が正常に利用可能であり、他方の更新処理が成功しなかった場合に通知される。この状況は、更新処理をやり直すことにより、解消できる。これに対し、異常発生第２通知は、記憶部５３Ａに記憶された車両起動用プログラム８５、８６の両方が利用に適しておらず、いわば緊急用の車両起動用プログラム８２を利用して車両Ｖが起動したことを示す。車両起動用プログラム８２は、車両Ｖを安全に走行させる基準を満たす機能を有するプログラムであるが、車両起動用プログラム８５、８６と比較して機能が少ない。このため、車両起動用プログラム８２によって車両Ｖが起動した状態は、早めに対処することが望まれる。例えば、車両Ｖの販売店や整備工場で、車両診断装置１２０をＤＬＣ１９に接続することによって車両起動用プログラム８５、８６の少なくともいずれかを更新または修復することが望ましい。
【0107】
従って、異常発生第１通知は、例えば、ユーザに対して、更新処理のやり直しを促す内容である。これに対し、異常発生第２通知は、例えば、ユーザに対して早期に対処を求める内容である。このため、異常発生第１通知の態様と、異常発生第２通知の態様とは、ユーザが明確に区別可能な程度に異なる態様であることが望ましい。異常発生第２通知の通知方法は、ステップＳ６０で実行される異常発生第１通知と同様の方法を採用できる。
【0108】
更新制御部２０１またはプログラム実行部５１は、異常発生第２通知を行った後に、異常発生信号を外部装置に送信する（ステップＳ６４）。異常発生信号は、ステップＳ３９で送信される信号と同様である。
【0109】
上記実施形態は本発明を適用した一具体例を示すものであり、発明が適用される形態を限定するものではない。
【0110】
上記実施形態では、制御システム１が、サーバ１１０からダウンロードする車両制御更新プログラムに基づいて、記憶部５３、５３Ａが記憶する車両起動用プログラム７２、８５、８６を更新する場合の動作を説明した。本発明はこれに限定されず、例えば、ＤＬＣ１９に接続された車両診断装置１２０から制御システム１が車両制御更新プログラムを受信する場合に、図５または図８に示した動作を実行してもよい。つまり、外部装置としての車両診断装置１２０から制御システム１が車両制御更新プログラムを取得して、車両起動用プログラムを更新する場合に、上記実施形態の動作を適用してもよい。
【0111】
また、上記実施形態では、制御システム１が有する第２ゾーンＥＣＵ２０ｂが実行する車両起動用プログラム７２、８５、８６を更新する場合を例に挙げて説明した。これは一例である。例えば、本実施形態で説明した記憶部５３、５３Ａの構成、および、プログラム実行部５１及び更新実行部５２の動作を、セントラルＥＣＵ２や、その他のＥＣＵに適用することは勿論可能である。
【0112】
また、上記実施形態では、車両Ｖの起動に必要な車両起動用プログラムを更新する更新処理に本発明を適用した例を説明した。これは一例であり、車両Ｖの機能に関するプログラムを更新する更新処理について、本実施形態の構成および動作を適用可能である。
【0113】
また、上記実施形態では、車両起動用プログラムのインストールが正常に完了しなかった場合に、異常発生通知、異常発生第１通知あるいは異常発生第２通知を行う例を説明した。これは一例である。プログラム実行部５１は、例えば、更新処理によって更新された車両起動用プログラムを実行した場合、すなわち、更新処理に成功した場合に、更新処理が成功したことを示す通知を行ってもよい。また、外部装置に、更新処理が成功したことを示す信号を送信してもよい。
【0114】
また、上記実施形態で示した制御システム１の構成は一例であり、制御システム１が備えるＥＣＵの種類、ＥＣＵの数、ＥＣＵの制御対象の装置の構成は種々に変更可能である。
【0115】
図１及び図３は、本願発明の理解を容易にするために、プログラム管理システム１００の各装置の機能構成を、主な処理内容により区分して示した概略構成を示す図であり、装置の構成を限定するものではない。図５、図６、図８、図９、図１０に示した各処理は、１つのプログラムにより実行されてもよいし、複数のプログラムにより実行されてもよい。
【0116】
また、車両Ｖは、例えば四輪自動車であるが、車両Ｖの種類は特に制限されず、大型自動車、商用車、二輪車、三輪車等であってもよい。その他、制御システム１における各部の構成は任意に変更可能である。
【0117】
上記実施形態は、以下の構成をサポートする。
【0118】
（構成１）車両を起動させるための車両起動用プログラムを実行することによって前記車両の制御を行う車両制御部と、前記車両起動用プログラムを記憶し書き換えが制限される書換制限領域と、前記車両起動用プログラムを書き換え可能に記憶する書換可能領域と、を有する記憶部と、外部装置と通信を行う通信部と、前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域に記憶させる更新処理を実行するプログラム更新部と、を備え、前記車両制御部は、前記書換可能領域に記憶された前記車両起動用プログラムを実行し、前記プログラム更新部による前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行する、車両制御装置。
構成１の車両制御装置によれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
構成１の車両制御装置によれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
【0119】
（構成２）前記車両起動用プログラムは、前記車両の電源リレーを制御する電源リレー制御プログラムを含む、構成１に記載の車両制御装置。
構成２の車両制御装置によれば、車両の電源リレーを制御するプログラムの更新に関する信頼性を確保できる。
構成２の車両制御装置によれば、車両の電源リレーを制御するプログラムの更新に関する信頼性を確保できる。
【0120】
（構成３）前記プログラム更新部は、前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を前記記憶部に記憶させる、構成１または構成２に記載の車両制御装置。
構成３の車両制御装置によれば、更新処理が正常に完了しなかったことを示す情報を記憶することにより、更新処理が正常に完了しなかった車両起動用プログラムを確実に識別できる。例えば、車両制御部が起動して車両起動用プログラムを実行する場合に、更新処理が正常に完了しなかった車両起動用プログラムが実行されることを防止できる。このため、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
構成３の車両制御装置によれば、更新処理が正常に完了しなかったことを示す情報を記憶することにより、更新処理が正常に完了しなかった車両起動用プログラムを確実に識別できる。例えば、車両制御部が起動して車両起動用プログラムを実行する場合に、更新処理が正常に完了しなかった車両起動用プログラムが実行されることを防止できる。このため、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
【0121】
（構成４）前記車両制御部は、前記記憶部に前記異常発生情報が記憶されている場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行する、構成３に記載の車両制御装置。
構成４の車両制御装置によれば、更新処理が正常に完了しなかった車両起動用プログラムを異常発生情報に基づき区別できる。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させる。このため、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
構成４の車両制御装置によれば、更新処理が正常に完了しなかった車両起動用プログラムを異常発生情報に基づき区別できる。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させる。このため、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
【0122】
（構成５）前記更新処理が正常に完了しなかったことを示す異常発生通知を行う通知部を備え、前記車両制御部が前記書換制限領域に記憶された前記車両起動用プログラムを実行する場合、前記通知部によって前記異常発生通知を実行する、構成１から構成４のいずれか１項に記載の車両制御装置。
構成５の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを通知することによって、車両の状態をユーザに知らせることができる。この通知により、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復を促すことができる。このため、車両を制御するプログラムの更新に支障が発生した場合であっても、ユーザがより適切な対処を行うことが可能となる。
構成５の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを通知することによって、車両の状態をユーザに知らせることができる。この通知により、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復を促すことができる。このため、車両を制御するプログラムの更新に支障が発生した場合であっても、ユーザがより適切な対処を行うことが可能となる。
【0123】
（構成６）前記通知部によって前記異常発生通知を実行する場合に、前記通信部によって、前記更新処理が正常に完了しなかったことを示す異常発生信号を前記外部装置に送信する、構成５に記載の車両制御装置。
構成６の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを外部装置に知らせることができる。この通知により、車両起動用プログラムの更新処理が正常に完了しなかったことを、外部装置による検知または記録することが可能となる。これにより、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復に関して、外部からユーザに対して支援を行うことが可能となる。
構成６の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを外部装置に知らせることができる。この通知により、車両起動用プログラムの更新処理が正常に完了しなかったことを、外部装置による検知または記録することが可能となる。これにより、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復に関して、外部からユーザに対して支援を行うことが可能となる。
【0124】
（構成７）前記記憶部は、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第１記憶領域と、前記車両起動用プログラムおよび前記車両起動用更新プログラムを記憶する第２記憶領域とを、前記書換可能領域に備え、前記プログラム更新部は、前記車両起動用更新プログラムを、前記第１記憶領域または前記第２記憶領域の少なくとも一方に記憶させる前記更新処理を実行し、前記第２記憶領域に前記車両起動用更新プログラムを記憶させる前記更新処理が正常に完了しなかった場合に、前記更新処理が正常に完了しなかったことを示す異常発生情報を、前記第１記憶領域に記憶させる、構成１に記載の車両制御装置。
構成７の車両制御装置によれば、車両起動用プログラムを更新する間、更新に影響されない領域にも車両起動用プログラムを保持できるので、プログラムの更新に支障が発生することに備えて、プログラムを更新するタイミングを制限する必要がない。従って、プログラムを更新するタイミングの制約を小さくすることができる。そして、更新処理に支障が生じた場合には、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。つまり、更新が正常に完了しなかった車両起動用プログラム、及び、更新されなかった車両起動用プログラムの両方が実行に適しない状態であっても、車両を起動させることが可能である。さらに、異常発生情報に基づいて、更新処理が正常に完了しなかった車両起動用プログラムを区別できる。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。従って、車両を確実に起動させることができ、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
構成７の車両制御装置によれば、車両起動用プログラムを更新する間、更新に影響されない領域にも車両起動用プログラムを保持できるので、プログラムの更新に支障が発生することに備えて、プログラムを更新するタイミングを制限する必要がない。従って、プログラムを更新するタイミングの制約を小さくすることができる。そして、更新処理に支障が生じた場合には、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。つまり、更新が正常に完了しなかった車両起動用プログラム、及び、更新されなかった車両起動用プログラムの両方が実行に適しない状態であっても、車両を起動させることが可能である。さらに、異常発生情報に基づいて、更新処理が正常に完了しなかった車両起動用プログラムを区別できる。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。従って、車両を確実に起動させることができ、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
【0125】
（構成８）前記車両制御部は、前記第１記憶領域及び前記第２記憶領域に前記車両起動用プログラムが記憶されている場合に、前記異常発生情報に基づいて、前記第１記憶領域に記憶された前記車両起動用プログラムまたは前記第２記憶領域に記憶された前記車両起動用プログラムを選択して実行する、構成７に記載の車両制御装置。
構成８の車両制御装置によれば、異常発生情報に基づいて、更新処理が正常に完了しなかった車両起動用プログラムを区別する。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。従って、車両を確実に起動させることができ、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
構成８の車両制御装置によれば、異常発生情報に基づいて、更新処理が正常に完了しなかった車両起動用プログラムを区別する。これにより、実行に適しない車両起動用プログラムを実行することなく、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。従って、車両を確実に起動させることができ、車両を制御するプログラムの更新に関し、より高い信頼性を確保できる。
【0126】
（構成９）前記更新処理が正常に完了しなかったことを通知する通知部を備え、前記車両制御部は、前記異常発生情報に基づいて前記第１記憶領域に記憶された前記車両起動用プログラムを実行する場合に、前記通知部によって異常発生第１通知を行う、構成７または構成８に記載の車両制御装置。
構成９の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを通知することによって、車両の状態をユーザに知らせることができる。この通知により、例えば、車両起動用プログラムの更新処理の再実行を促すことができる。このため、車両を制御するプログラムの更新に支障が発生した場合であっても、ユーザがより適切な対処を行うことが可能となる。
構成９の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了しなかったことを通知することによって、車両の状態をユーザに知らせることができる。この通知により、例えば、車両起動用プログラムの更新処理の再実行を促すことができる。このため、車両を制御するプログラムの更新に支障が発生した場合であっても、ユーザがより適切な対処を行うことが可能となる。
【0127】
（構成１０）前記車両制御部が前記書換制限領域に記憶された前記車両起動用プログラムを実行する場合、前記通知部によって前記異常発生第１通知とは異なる異常発生第２通知を行う、構成９に記載の車両制御装置。
構成１０の車両制御装置によれば、更新が正常に完了しなかった車両起動用プログラム、及び、更新されなかった車両起動用プログラムの両方が実行に適しない状態であることを、通知できる。異常発生第２通知は、車両起動用プログラムの更新処理の再実行を促すような異常発生第１通知とは異なるため、より迅速な対処を要することを、ユーザに知らせることができる。
構成１０の車両制御装置によれば、更新が正常に完了しなかった車両起動用プログラム、及び、更新されなかった車両起動用プログラムの両方が実行に適しない状態であることを、通知できる。異常発生第２通知は、車両起動用プログラムの更新処理の再実行を促すような異常発生第１通知とは異なるため、より迅速な対処を要することを、ユーザに知らせることができる。
【0128】
（構成１１）前記通知部によって前記異常発生第２通知を実行する場合に、前記通信部によって、前記更新処理が正常に完了しなかったことを示す異常発生信号を前記外部装置に送信する、構成１０に記載の車両制御装置。
構成１１の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了せず、更新されなかった車両起動用プログラムも実行に適しない状態であることを、外部装置に知らせることができる。これにより、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復に関して、外部からユーザに対して支援を行うことが可能となる。
構成１１の車両制御装置によれば、車両起動用プログラムの更新処理が正常に完了せず、更新されなかった車両起動用プログラムも実行に適しない状態であることを、外部装置に知らせることができる。これにより、例えば、車両起動用プログラムの更新処理の再実行や、車両起動用プログラムの修復に関して、外部からユーザに対して支援を行うことが可能となる。
【0129】
（構成１２）車両の外部に存在する外部装置と通信を行う通信部と、前記車両を起動させるための車両起動用プログラムを記憶する記憶部と、を備える車両制御装置を利用する車両制御方法であって、前記記憶部には、前記車両起動用プログラムを記憶し書き換えが制限される書換制限領域と、前記車両起動用プログラムを書き換え可能に記憶する書換可能領域と、が設けられ、前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域に記憶させる更新処理を実行し、前記書換可能領域に記憶された前記車両起動用プログラムを実行することによって前記車両を起動させ、前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行する、車両制御方法。
構成１２の車両制御方法によれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
構成１２の車両制御方法によれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
【0130】
（構成１３）車両の外部に存在する外部装置と通信を行う通信部と、前記車両を起動させるための車両起動用プログラムを記憶する記憶部と、を備える車両制御装置を制御するコンピュータが実行するプログラムを記憶した記録媒体であって、前記記憶部には、前記車両起動用プログラムを記憶し書き換えが制限される書換制限領域と、前記車両起動用プログラムを書き換え可能に記憶する書換可能領域と、が設けられ、前記コンピュータに、前記通信部によって受信された、前記車両起動用プログラムの更新に利用される車両起動用更新プログラムを、前記書換可能領域に記憶させる更新処理を実行させ、前記書換可能領域に記憶された前記車両起動用プログラムを実行させることによって前記車両を起動させ、前記更新処理が正常に完了しなかった場合に、前記書換制限領域に記憶された前記車両起動用プログラムを実行させるプログラムを記憶する、記録媒体。
構成１３の記録媒体に記録されたプログラムによれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
構成１３の記録媒体に記録されたプログラムによれば、車両起動用プログラムの更新に支障が生じた場合であっても、書き換えが制限される領域に記憶された車両起動用プログラムを利用して、車両を起動させることができる。書き換えが制限される領域に記憶された車両起動用プログラムは、更新の対象でないため、実行可能な状態で維持される。このため、車両起動用プログラムを実行できない事態を確実に回避できるので、車両を制御するプログラムの更新に関する信頼性を確保できる。
【符号の説明】
【0131】
１…制御システム（車両制御装置）、２…セントラルＥＣＵ、１２…ＴＣＵ（通信部）、１９…ＤＬＣ（通信部）、２０…ゾーンＥＣＵ、２０ａ…第１ゾーンＥＣＵ、２０ｂ…第２ゾーンＥＣＵ、２０ｃ…第３ゾーンＥＣＵ、３０、３０ａ、３０ｂ、３０ｃ、３０ｄ、３０ｅ、３０ｆ、３０ｇ、３０ｈ、３０ｉ、３０ｊ、３０ｋ、３０ｌ、３０ｍ、３０ｎ…ＥＣＵ、４１…電源リレー、５１…プログラム実行部（車両制御部）、５２…更新実行部（プログラム更新部）、５３、５３Ａ…記憶部、６１、６１Ａ…ブート領域（書換制限領域）、６２…プログラム記憶領域（書換可能領域）、６７…プログラム記憶第１領域（書換可能領域）、６８…プログラム記憶第２領域（書換可能領域）、７２…車両起動用プログラム、７３…車両起動用プログラム、７４…異常発生情報、８１…マスターブートレコード、８２…車両起動用プログラム、８５、８６…車両起動用プログラム、８７Ａ、８７Ｂ…異常発生情報、８８Ａ、８８Ｂ…更新情報、１００…プログラム管理システム、１１０…サーバ、１２０…車両診断装置、２０１…更新制御部、２０２…更新データ受信部、２０３…更新データ制御部、Ｖ…車両。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】