ホーム > 特許ランキング > トヨタ自動車株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-12-02
(45)【発行日】2024-12-10
(54)【発明の名称】センタ、方法、及びプログラム
(51)【国際特許分類】
G06F 8/65 20180101AFI20241203BHJP
B60R 16/02 20060101ALI20241203BHJP
【ＦＩ】
G06F8/65
B60R16/02 660U
【請求項の数】
7
(21)【出願番号】P 2021123510
(22)【出願日】2021-07-28
(65)【公開番号】P2023019048
(43)【公開日】2023-02-09
【審査請求日】2024-02-12
(73)【特許権者】
【識別番号】000003207
【氏名又は名称】トヨタ自動車株式会社
(74)【代理人】
【識別番号】110001276
【氏名又は名称】弁理士法人小笠原特許事務所
(72)【発明者】
【氏名】石川 智康
(72)【発明者】
【氏名】谷森 俊介
【審査官】児玉 崇晶
(56)【参考文献】
【文献】特開２０１３－００２９５８（ＪＰ，Ａ）
【文献】特開２０２０－１３２０４２（ＪＰ，Ａ）
【文献】特開２０１７－１４９３２３（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ８／６５
Ｂ６０Ｒ １６／０２
(57)【特許請求の範囲】
【請求項1】
車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタであって、前記車両及び前記車両に紐付いた情報端末との間で通信を行う通信部と、
前記車両と前記情報端末との通信状態を判定する判定部と、
前記通信部が前記情報端末から受信する更新承諾通知に基づいて、前記ソフトウェアの更新処理を制御する制御部と、を備え、
前記制御部は、前記通信部が前記更新承諾通知を受信しても前記判定部が前記車両と前記情報端末との通信が途絶していると判定している場合は、前記ソフトウェアの更新処理を制限する、センタ。
【請求項2】
前記通信部が前記更新承諾通知を受信し、かつ、前記判定部が前記車両と前記情報端末との通信が途絶していると判定している場合、前記制御部は、更新対象の前記電子制御ユニットが２つの格納領域を有する不揮発性メモリを搭載している場合には、前記格納領域に書き込んだ更新ソフトウェアを有効化するアクティベート以降の処理を許可しない、請求項１に記載のセンタ。
【請求項3】
前記通信部が前記更新承諾通知を受信し、かつ、前記判定部が前記車両と前記情報端末との通信が途絶していると判定している場合、前記制御部は、更新対象の前記電子制御ユニットが１つの格納領域を有する不揮発性メモリを搭載している場合には、前記格納領域に更新ソフトウェアを書き込むインストール以降の処理を許可しない、請求項１に記載のセンタ。
【請求項4】
前記制御部は、前記判定部が前記車両と前記情報端末との通信が復帰したと判定して場合、前記アクティベート以降の処理を許可する、請求項２に記載のセンタ。
【請求項5】
前記制御部は、前記判定部が前記車両と前記情報端末との通信が復帰したと判定して場合、前記インストール以降の処理を許可する、請求項３に記載のセンタ。
【請求項6】
プロセッサとメモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタが実行する方法であって、前記車両及び前記車両に紐付いた情報端末との間で通信を行うステップと、
前記車両と前記情報端末との通信状態を判定するステップと、
前記情報端末から受信する更新承諾通知に基づいて、前記ソフトウェアの更新処理を制御するステップと、を備え、
前記制御するステップは、前記更新承諾通知が受信されても前記車両と前記情報端末との通信が途絶していると判定されている場合は、前記ソフトウェアの更新処理を制限する、方法。
【請求項7】
プロセッサとメモリとを備え、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタのコンピューターが実行する方法であって、前記車両及び前記車両に紐付いた情報端末との間で通信を行うステップと、
前記車両と前記情報端末との通信状態を判定するステップと、
前記情報端末から受信する更新承諾通知に基づいて、前記ソフトウェアの更新処理を制御するステップと、を備え、
前記制御するステップは、前記更新承諾通知が受信されても前記車両と前記情報端末との通信が途絶していると判定されている場合は、前記ソフトウェアの更新処理を制限する、プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタ、センタが実行する方法及びプログラムに関する。
【背景技術】
【0002】
車両には、車両の動作を制御するための複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が搭載されている。電子制御ユニットは、プロセッサと、ＲＡＭのような一時的な記憶部と、フラッシュＲＯＭのような不揮発性の記憶部である不揮発性メモリとを備え、プロセッサが不揮発性メモリに記憶されるソフトウェアを実行することにより電子制御ユニットの制御機能を実現する。各電子制御ユニットが記憶するソフトウェアは書き換え可能であり、より新しいバージョンのソフトウェアに更新することにより、各電子制御ユニットの機能を改善したり、新たな車両制御機能を追加したりすることができる。
【0003】
電子制御ユニットのソフトウェアを更新する技術として、車載ネットワークに接続された車載通信機器とインターネットなどの通信ネットワークとを無線で接続し、車両のソフトウェアの更新処理を担う装置が、無線通信を介してサーバーからソフトウェアをダウンロードし、ダウンロードしたソフトウェアを電子制御ユニットに書き込んでインストールし、インストールしたソフトウェアを有効化するアクティベートを行うことにより、電子制御ユニットのソフトウェアの更新や追加を行うＯＴＡ（Over The Air）技術が知られている。例えば、特許文献１を参照。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０１７－１４９３２３号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
ＯＴＡを用いたソフトウェア更新の際には、車両のユーザーや管理者などに対してソフトウェア更新があることの通知やソフトウェア更新の承諾を要求する処理などが行われる。これらの通知や承諾要求などは、車両に搭載されたカーナビゲーション装置や車両と無線通信可能なスマートフォンなどの情報端末を通じて、車両のユーザーや管理者などに対して行われる。
【0006】
スマートフォンなどの可搬型の情報端末は、車両と連携した状況においてソフトウェアの更新を承諾した後に、車両から離れてしまい車両と連携しなくなるといったことが起こり得る。しかしながら、現状のソフトウェアの更新制御では、ソフトウェアの更新が一旦承諾されてしまうと、その後に承諾した情報端末が車両と連携しなくなった場合でも車両に対してソフトウェアの更新処理が継続して実行される。このようなことから、ソフトウェアの更新処理の制御には、さらなる改善の余地がある。
【0007】
本開示は、上記課題を鑑みてなされたものであり、車両に搭載された電子制御ユニットのソフトウェアの更新処理を適切に制御することができるセンタなどを提供することを目的とする。
【課題を解決するための手段】
【0008】
上記課題を解決するために、本開示技術の一態様は、車両に搭載された電子制御ユニットのソフトウェアの更新を制御するセンタであって、車両及び車両に紐付いた情報端末との間で通信を行う通信部と、車両と情報端末との通信状態を判定する判定部と、通信部が情報端末から受信する更新承諾通知に基づいて、ソフトウェアの更新処理を制御する制御部と、を備え、制御部は、通信部が更新承諾通知を受信しても判定部が車両と情報端末との通信が途絶していると判定している場合は、ソフトウェアの更新処理を制限する、センタである。
【発明の効果】
【0009】
本開示のセンタなどによれば、車両に搭載された電子制御ユニットのソフトウェアの更新処理を適切に制御することができる。
【図面の簡単な説明】
【0010】
【図1】実施形態に係るネットワークシステムの全体構成を示すブロック図
【図2】センタの概略構成を示すブロック図
【図3】センタの機能ブロック図
【図4】ＯＴＡマスタの概略構成を示すブロック図
【図5】ＯＴＡマスタの機能ブロック図
【図6A】電子制御ユニットの概略構成の一例を示すブロック図
【図6B】電子制御ユニットの概略構成の一例を示すブロック図
【図7】種別情報の一例を示す図
【図8A】センタが行う具体例１によるソフトウェアの更新処理のフローチャート
【図8B】センタが行う具体例１によるソフトウェアの更新処理のフローチャート
【図9A】センタが行う具体例２によるソフトウェアの更新処理のフローチャート
【図9B】センタが行う具体例２によるソフトウェアの更新処理のフローチャート
【発明を実施するための形態】
【0011】
本開示によるセンタは、車両に搭載された電子制御ユニットのソフトウェア更新が車両外の情報端末によって承諾された場合には、さらに情報端末と車両との連携状態に基づいてソフトウェアの更新処理に必要な制限を加える。これにより、電子制御ユニットのソフトウェア更新処理の安全かつ短時間による完了を実現する。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。
以下、本開示の一実施形態について、図面を参照しながら詳細に説明する。
【0012】
＜実施形態＞
［システム構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、車両と紐付いた情報端末９５と、を備える。
［システム構成］
図１は、本開示の一実施形態に係るネットワークシステムの全体構成を示すブロック図である。図１に示すネットワークシステムは、車両に搭載された複数の電子制御ユニット（ＥＣＵ）５０ａ～５０ｄのソフトウェアを更新するためのシステムであり、車両外にあるセンタ１０と、車両内に構築される車載ネットワーク９０と、車両と紐付いた情報端末９５と、を備える。
【0013】
（１）センタ
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。また、センタ１０は、ネットワーク１００を介して、情報端末９５と通信可能であり、車両のユーザーや管理者などに対して、電子制御ユニット５０ａ～５０ｄのソフトウェア更新があることの通知やソフトウェア更新の承諾要求を行うことができる。
センタ１０は、ネットワーク１００を介して、車載ネットワーク９０が備える後述のＯＴＡマスタ３０と通信可能であり、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データ及び更新処理の手順を定義した情報の送信や、ソフトウェア更新処理の進捗状況を示す通知の受信などを行って、ＯＴＡマスタ３０に接続された複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を制御及び管理することができる。このセンタ１０は、いわゆるサーバーとしての機能を有する。また、センタ１０は、ネットワーク１００を介して、情報端末９５と通信可能であり、車両のユーザーや管理者などに対して、電子制御ユニット５０ａ～５０ｄのソフトウェア更新があることの通知やソフトウェア更新の承諾要求を行うことができる。
【0014】
図２は、図１におけるセンタ１０の概略構成を示すブロック図である。図２で示すように、センタ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、記憶装置１３と、通信装置１４と、を備える。記憶装置１３は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などの読み書き可能な記憶媒体を備えた装置であり、ソフトウェアの更新管理を実行するためのプログラム、ソフトウェアの更新制御及び更新管理に用いる情報、及び各電子制御ユニットのソフトウェアの更新データなどを記憶する。センタ１０において、ＣＰＵ１１は、記憶装置１３から読み出したプログラムを、ＲＡＭ１２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置１４は、ネットワーク１００を介してＯＴＡマスタ３０や情報端末９５と通信を行うための装置である。
【0015】
図３は、図２に示したセンタ１０の機能ブロック図である。図３で示すセンタ１０は、記憶部１６と、通信部１７と、制御部１８と、判定部１９と、ＨＭＩ機能部２０と、を備える。記憶部１６は、図２に示した記憶装置１３によって実現される。通信部１７、制御部１８、判定部１９、及びＨＭＩ機能部２０は、図２に示したＣＰＵ１１がＲＡＭ１２を用いて記憶装置１３に記憶されるプログラムを実行することによって実現される。
【0016】
記憶部１６は、車両に搭載された１つ以上の電子制御ユニットのソフトウェア更新処理に関する情報を記憶する。ソフトウェア更新処理に関する情報として、記憶部１６は、車両を識別する車両識別情報（車両ＩＤ）ごとに、電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報を関連付けた更新管理情報と、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データとを、少なくとも記憶する。電子制御ユニット５０ａ～５０ｄで利用可能なソフトウェアを示す情報としては、例えば、複数の電子制御ユニット５０ａ～５０ｄの各ソフトウェアの最新のバージョン情報の組み合わせが定義される。ソフトウェア更新処理に関する情報として、記憶部１６は、車両で実施されているソフトウェアの更新状態を示す更新ステータスを記憶することができる。また、ソフトウェア更新処理に関する情報として、記憶部１６は、ＯＴＡマスタ３０に対して制御の指示を行うための、ソフトウェア更新処理の手順を示した更新シーケンスに関する情報を記憶することができる。
【0017】
通信部１７は、ＯＴＡマスタ３０との間や情報端末９５との間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部１７は、ＯＴＡマスタ３０からソフトウェアの更新確認要求を受信する（受信部）。更新確認要求は、例えば、車両において電源又はイグニッションがオンされた（以下「電源ＯＮ」という）ときに、ＯＴＡマスタ３０からセンタ１０へと送信される情報であって、後述する車両構成情報に基づいて電子制御ユニット５０ａ～５０ｄの更新データがあるか否かの確認をセンタ１０に要求するための情報である。また、通信部１７は、ＯＴＡマスタ３０から受信した更新確認要求に応答して、更新データの有無を示す情報をＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＯＴＡマスタ３０からの配信パッケージの送信要求（ダウンロード要求）を受信する（受信部）。また、通信部１７は、配信パッケージのダウンロード要求を受信すると（受信部）、後述する制御部１８で生成される電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データなどを含む配信パッケージを、ＯＴＡマスタ３０に送信する（送信部）。また、通信部１７は、ＨＭＩ機能部２０の指示に基づいて、ＯＴＡマスタ３０や情報端末９５に対して、車両のユーザーや管理者などに向けたソフトウェア更新があることの通知やソフトウェア更新の承諾要求を行うことができる（送信部）。また、通信部１７は、車両と情報端末９５との間の通信状態、すなわち車両と情報端末９５とが連携した状態にあるか否かに関する情報（以下「連携情報」という）を、ＯＴＡマスタ３０（又は情報端末９５）から受信することができる（受信部）。さらに、通信部１７は、ソフトウェア更新の承諾要求に対する車両のユーザーや管理者などからの応答（更新承諾通知／更新不承諾通知）を、ＯＴＡマスタ３０及び／又は情報端末９５から受信することができる（受信部）。
【0018】
制御部１８は、通信部１７がＯＴＡマスタ３０から更新確認要求を受信すると、記憶部１６に記憶されている更新管理情報に基づいて、更新確認要求に含まれる車両ＩＤで特定される車両に搭載された電子制御ユニット５０ａ～５０ｄについてソフトウェアの更新データがあるか否かを判定する。制御部１８による更新データがあるか否かの判定結果は、通信部１７によってＯＴＡマスタ３０に送信される。制御部１８は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあると判定した場合、ＯＴＡマスタ３０から配信パッケージのダウンロード要求を受信すると、記憶部１６に記憶されている該当する更新データなどを含む１つ又は複数の配信パッケージを生成する。また、制御部１８は、ＨＭＩ機能部２０が行うソフトウェア更新の承諾要求に対する車両のユーザーや管理者などからの指示及び判定部１９によって判定された車両と情報端末９５との連携状態に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理を必要に応じて制限する。
【0019】
判定部１９は、通信部１７がＯＴＡマスタ３０（又は情報端末９５）から受信する車両と情報端末９５との連携情報に基づいて、車両と情報端末９５とが連携した状態にあるか否かを判定する。本実施形態において、車両と情報端末９５とが連携した状態とは、ＯＴＡマスタ３０と情報端末９５とが所定の短距離無線通信方式によって通信可能に接続されている状態をいい、車両と情報端末９５とが連携していない状態とは、ＯＴＡマスタ３０と情報端末９５との短距離無線通信方式による通信が途絶している状態をいう。
【0020】
ＨＭＩ機能部２０は、通信部１７を介して、車両に搭載された電子制御ユニット５０ａ～５０ｄのソフトウェア更新がある旨の通知やソフトウェア更新の承諾要求、またソフトウェアの更新状態などの情報通知を行う処理などを、必要に応じて情報端末９５に対して実行する。
【0021】
情報端末９５は、車両のユーザーや管理者が所有するスマートフォンなどの通信装置である。この情報端末９５は、車両に登録管理されることなどによって車両と紐付くことが可能であり、車両に関する特定の操作（例えば、車両ドアの施解錠操作や遠隔駐車操作）や情報の表示などを行うために用いられるヒューマンマシンインターフェイス（ＨＭＩ）として機能する。車両と紐付けられる情報端末９５は、１つに限られず複数であっても構わない。
【0022】
（２）車載ネットワーク
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。
車載ネットワーク９０は、ＯＴＡマスタ３０と、複数の電子制御ユニット５０ａ～５０ｄと、表示装置７０と、通信モジュール８０と、を備える。ＯＴＡマスタ３０と通信モジュール８０とは、バス６０ａを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ａ及び５０ｂとは、バス６０ｂを介して接続されている。ＯＴＡマスタ３０と電子制御ユニット５０ｃ及び５０ｄとは、バス６０ｃを介して接続されている。ＯＴＡマスタ３０と表示装置７０とは、バス６０ｄを介して接続されている。
【0023】
ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介してネットワーク１００経由でセンタ１０と無線による通信が可能である。また、ＯＴＡマスタ３０は、バス６０ａ及び通信モジュール８０を介して情報端末９５との間で短距離無線を用いた通信が可能である。また、ＯＴＡマスタ３０は、バス６０ｂ～６０ｄを介して電子制御ユニット５０ａ～５０ｄ及び表示装置７０と有線による通信が可能である。このＯＴＡマスタ３０は、ＯＴＡ状態を管理し、ソフトウェア更新処理の流れである更新シーケンスを制御して更新対象となる電子制御ユニット（以下「ターゲット電子制御ユニット」という）のソフトウェア更新を実施する機能を有する装置である。ＯＴＡマスタ３０は、センタ１０から取得した更新データなどに基づき、車両と情報端末９５との連携状態に応じた更新の制限の有無に従って、電子制御ユニット５０ａ～５０ｄのうちターゲット電子制御ユニットのソフトウェア更新を制御する。ＯＴＡマスタ３０は、セントラルゲートウェイ（ＣＧＷ）と称される場合もある。
【0024】
図４は、図１におけるＯＴＡマスタ３０の概略構成を示すブロック図である。図４で示すように、ＯＴＡマスタ３０は、ＣＰＵ３１と、ＲＡＭ３２と、ＲＯＭ（Read-Only Memory）３３と、記憶装置３４と、通信装置３６と、を備える。ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、及び記憶装置３４は、マイクロコンピューター３５を構成する。ＯＴＡマスタ３０において、ＣＰＵ３１は、ＲＯＭ３３から読み出したプログラムを、ＲＡＭ３２を作業領域として用いて実行することにより、ソフトウェア更新に関する所定の処理を実行する。通信装置３６は、図１に示したバス６０ａ～６０ｄを介して、通信モジュール８０、電子制御ユニット５０ａ～５０ｄ、及び表示装置７０のそれぞれと通信を行うための装置である。
【0025】
図５は、図４に示したＯＴＡマスタ３０の機能ブロック図である。図５に示すＯＴＡマスタ３０は、記憶部３７と、通信部３８と、制御部３９と、を備える。記憶部３７は、図４に示した記憶装置３４によって実現される。通信部３８及び制御部３９は、図４に示したＣＰＵ３１がＲＡＭ３２を用いてＲＯＭ３３に記憶されるプログラムを実行することによって実現される。
【0026】
記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのソフトウェア更新を実行するためのプログラム（ＯＴＡマスタ３０の制御用プログラム）や、ソフトウェア更新を実行する際に用いる各種データの他、センタ１０からダウンロードしたソフトウェアの更新データなどを記憶する。また、記憶部３７は、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報（後述する）を記憶することができる。
【0027】
通信部３８は、センタ１０との間や情報端末９５との間で、データ、情報、通知、及び要求などの送信及び受信を行う送信部及び受信部として機能する。通信部３８は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する（送信部）。更新確認要求は、例えば、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンに関する情報とを含む。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。また、通信部３８は、更新確認要求に対する応答としてセンタ１０から更新データの有無を示す通知を受信する（受信部）。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、通信部３８は、ソフトウェアの更新データなどを含む配信パッケージのダウンロード要求をセンタ１０に送信し（送信部）、センタ１０から送信される配信パッケージを受信（ダウンロード）する（受信部）。また、通信部３８は、電子制御ユニット５０ａ～５０ｄが送信するソフトウェアの更新状態を、センタ１０に送信する（送信部）。また、通信部３８は、制御部３９の指示に基づいて、ソフトウェアの更新状態を、表示装置７０に表示させたり情報端末９５に通知したり、することができる。
【0028】
制御部３９は、通信部３８が受信した更新確認要求に対するセンタ１０からの応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、制御部３９は、通信部３８がセンタ１０から配信パッケージで受信（ダウンロード）して記憶部３７に格納した更新データの真正性を検証する。また、制御部３９は、センタ１０からダウンロードした更新データを用い、電子制御ユニット５０ａ～５０ｄのソフトウェア更新処理（インストール、アクティベートなど）を制御する。具体的には、制御部３９は、ダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データに基づく更新ソフトウェアをインストールさせる。インストールの完了後、制御部３９は、ターゲット電子制御ユニットに対して、インストールした更新ソフトウェアを有効化させるアクティベートを指示する。このソフトウェア更新処理の際、制御部３９は、センタ１０から受信する車両と情報端末９５との連携状態に基づく更新処理の制限に関する情報に基づいて、インストールやアクティベートを実行する。
【0029】
複数の電子制御ユニット５０ａ～５０ｄは、車両の各部の動作を制御するための装置（ＥＣＵ）である。図１においては、車載ネットワーク９０が４つの電子制御ユニット５０ａ～５０ｄを備えている例を示したが、電子制御ユニットの個数は特に限定されない。また、電子制御ユニット５０ａ～５０ｄをＯＴＡマスタ３０に接続するバスの本数も特に限定されない。電子制御ユニット５０ａ～５０ｄの概略構成の一例を、図６Ａ及び図６Ｂに示す。
【0030】
図６Ａに示す電子制御ユニット５０ａは、ＣＰＵ５１と、ＲＡＭ５２と、不揮発性メモリ５３ａと、通信装置５４と、を備える。ＣＰＵ５１は、不揮発性メモリ５３ａから読み出したプログラムを、ＲＡＭ５２を作業領域として用いて実行することにより、電子制御ユニット５０ａの機能を実現する。不揮発性メモリ５３ａは、ソフトウェアなどのデータを格納するための１つの格納領域５５を有するメモリ（以下「シングルバンクメモリ」という）である。本実施形態においては、シングルバンクメモリである不揮発性メモリ５３ａのメモリ種別を「第１種別」と記して他と区別することがある。格納領域５５には、電子制御ユニット５０ａの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラムなどが格納される場合がある。通信装置５４は、ＯＴＡマスタ３０や車載ネットワーク９０に接続される他の電子制御ユニット５０ｂ～５０ｄとの通信を行うための装置である。
【0031】
図６Ｂに示す電子制御ユニット５０ｂは、電子制御ユニット５０ａと同様に、ＣＰＵ５１と、ＲＡＭ５２と、不揮発性メモリ５３ｂと、通信装置５４と、を備える。ただし、電子制御ユニット５０ｂに搭載される不揮発性メモリ５３ｂは、ソフトウェアなどのデータを格納するための２つの格納領域５６ａ及び５６ｂを有するメモリ（以下「デュアルバンクメモリ」という）である。本実施形態においては、デュアルバンクメモリである不揮発性メモリ５３ｂのメモリ種別を「第２種別」と記して他と区別することがある。格納領域５６ａ及び５６ｂには、電子制御ユニット５０ｂの機能を実現するためのソフトウェアの他に、バージョン情報やパラメータデータ、起動用のブートプログラム、ソフトウェア更新用のプログラムなどが格納される場合がある。電子制御ユニット５０ｂのＣＰＵ５１は、不揮発性メモリ５３ｂが有する２つの格納領域５６ａ及び５６ｂのうち、いずれか一方を読み出し対象の格納領域（運用面）とし、読み出し対象の格納領域に格納されるソフトウェアを実行する。読み出し対象でない他方の格納領域（非運用面）には、読み出し対象の格納領域（運用面）のプログラムを実行中に、バックグラウンドで更新データに基づく更新ソフトウェア（更新版のプログラム）のインストール（書き込み）が可能である。ソフトウェア更新処理におけるアクティベート（更新ソフトウェアの有効化）時には、電子制御ユニット５０ｂのＣＰＵ５１によってプログラムの読み出し対象の格納領域を切り替えることにより、更新ソフトウェアをアクティベートすることができる。
【0032】
具体例として、デュアルバンクメモリである不揮発性メモリ５３ｂの格納領域５６ａに現行のソフトウェアが格納されており、格納領域５６ｂに更新ソフトウェアがインストールされた場合を想定する。ＯＴＡマスタ３０から更新ソフトウェアのアクティベートが指示されると、例えば電子制御ユニット５０ｂは、ＣＰＵ５１の読み出し開始アドレスを、格納領域５６ａの先頭アドレスから格納領域５６ｂの先頭アドレスに切り替えることにより、このＣＰＵ５１の読み出し対象（運用面）の格納領域を切り替え、格納領域５６ｂにインストールされた更新ソフトウェアを実行することができる。なお、本開示においては、１つの格納領域を擬似的に２面に区画して、一方の面に格納されたプログラムを実行中に他方の面にプログラムの書き込みを可能にした「１面サスペンドメモリ」と呼ばれる不揮発性メモリの構成も、第２種別のメモリに分類されるものとする。
【0033】
図７に、複数の電子制御ユニット５０ａ～５０ｄのそれぞれに搭載される不揮発性メモリの種別に関する情報である種別情報の一例を示す。図７に例示した種別情報では、電子制御ユニットを識別するための番号であるＥＣＵ＿ＩＤと、その電子制御ユニットに搭載される不揮発性メモリの種別（第１種別（シングルバンク）／第２種別（デュアルバンク））とが、対応付けられている。この種別情報は、少なくともセンタ１０の記憶部１６に記憶されて管理される。種別情報は、車載ネットワーク９０を構成する電子制御ユニット５０ａ～５０ｄの仕様に基づいて予め作成され、車両の製造時などにおいて記憶部１６などに格納されてもよいし、ソフトウェアの更新処理時にターゲット電子制御ユニットから車載ネットワーク９０内の通信によって取得されてもよい。
【0034】
表示装置７０は、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新処理時に更新データがあることの表示、車両のユーザーや管理者にソフトウェア更新に対する承諾を求めるための承諾要求画面の表示、及びソフトウェア更新の結果や状態の表示など、各種の表示を行うために用いられるヒューマンマシンインターフェイス（ＨＭＩ）である。表示装置７０としては、典型的にはカーナビゲーションシステムの表示装置を用いることができるが、ソフトウェアの更新処理時に必要な情報を表示可能なものであれば特に限定されない。なお、図１に示すバス６０ｄには、表示装置７０に加えて電子制御ユニットなどがさらに接続されていてもよい。
【0035】
通信モジュール８０は、センタ１０と車両との通信を制御する機能を持ったユニットであり、車載ネットワーク９０をセンタ１０に接続するための通信機器である。通信モジュール８０は、ネットワーク１００経由でセンタ１０と無線で接続され、ＯＴＡマスタ３０による車両の認証や更新データのダウンロードなどが行われる。また、通信モジュール８０は、ネットワーク１００を経由せずに情報端末９５と無線で接続が可能である。情報端末９５との無線接続には、Ｂｌｕｅｔｏｏｔｈ（登録商標）やＲＦ／ＬＦ通信などの短距離無線通信方式を用いることができる。この通信モジュール８０は、ＯＴＡマスタ３０に含まれて構成されてもよい。
【0036】
［ソフトウェア更新処理の概要］
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知をＯＴＡマスタ３０及び／又は情報端末９５に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、更新データなどを含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。
ＯＴＡマスタ３０は、例えば、車両の電源ＯＮを契機として、ソフトウェアの更新確認要求をセンタ１０に送信する。更新確認要求は、車両を識別するための車両ＩＤと、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄのハードウェア及びソフトウェアの現バージョンなどの電子制御ユニットの状態（システム構成）に関する情報である車両構成情報と、を含む。車両構成情報は、車載ネットワーク９０に接続される電子制御ユニット５０ａ～５０ｄから電子制御ユニットの識別番号（ＥＣＵ＿ＩＤ）と、電子制御ユニットのソフトウェアバージョンの識別番号（ＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤ）とを、取得することで作成可能である。車両ＩＤ及び電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンは、センタ１０が車両ＩＤごとに保持するソフトウェアの最新バージョンとの比較により、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定するために用いられる。センタ１０は、ＯＴＡマスタ３０から受信した更新確認要求に対する応答として、更新データの有無を示す通知をＯＴＡマスタ３０及び／又は情報端末９５に送信する。電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがある場合、ＯＴＡマスタ３０は、配信パッケージのダウンロード要求をセンタ１０に送信する。センタ１０は、ＯＴＡマスタ３０から受信したダウンロード要求に応じて、更新データなどを含む配信パッケージをＯＴＡマスタ３０に送信する。配信パッケージは、更新データの他に、更新データの真正性を検証するための検証用データや、更新データの数、種別情報、ソフトウェア更新時に用いる各種の制御情報などを含んでいてもよい。
【0037】
ＯＴＡマスタ３０は、センタ１０から受信した更新確認要求に対する応答に基づいて、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあるか否かを判定する。また、ＯＴＡマスタ３０は、センタ１０から受信して記憶装置１３に格納した配信パッケージの真正性を検証する。また、ＯＴＡマスタ３０は、配信パッケージでダウンロードした更新データをターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットに更新データをインストールさせる。インストールの完了後、ＯＴＡマスタ３０は、ターゲット電子制御ユニットに対して、インストールさせた更新版のソフトウェアを有効とするアクティベートを行うように指示をする。
【0038】
また、センタ１０は、承諾要求処理において、ソフトウェア更新に対して承諾が必要である旨の通知やソフトウェア更新を承諾した旨の入力を促す通知を、出力装置に出力させる。出力装置としては、車載ネットワーク９０に設けられた表示装置７０や、情報端末９５などを利用できる。例えば、承諾要求処理において、表示装置７０を出力装置として用いる場合、ＯＴＡマスタ３０は、ユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求画面を表示装置７０に表示させたり、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知を表示装置７０に表示させたり、することができる。承諾要求処理において、情報端末９５を出力装置として用いる場合、情報端末９５の表示画面にユーザー又は管理者にソフトウェア更新の承諾を求めるための承諾要求を表示させたり、ユーザー又は管理者が承諾する場合には承諾ボタンを押下するなどの特定の入力操作を促す通知を表示させたり、することができる。また、センタ１０は、承諾要求処理において、電子制御ユニット５０ａ～５０ｄのソフトウェアの更新データがあることを通知する文言やアイコンなどを表示装置７０や情報端末９５に表示させたり、ソフトウェア更新処理の実行中における制限事項などを表示装置７０や情報端末９５に表示させたり、することができる。センタ１０は、ＯＴＡマスタ３０及び／又は情報端末９５を介して、ユーザー又は管理者から承諾した旨の入力を受け付けると、ＯＴＡマスタ３０に対して上述したインストール及びアクティベートの制御処理の実行を指示し、ターゲット電子制御ユニットのソフトウェアを更新する。
【0039】
ここで、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための１つの格納領域を有するシングルバンクメモリである場合は、原則的にインストールとアクティベートとがひと続きに行われるため、インストールの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、シングルバンクメモリのターゲット電子制御ユニットであっても、センタ１０から指示される更新シーケンスに関する情報によっては、インストール完了の状態で更新処理を一時的に停止、つまりアクティベートを保留（待機）することが要求されることもあり得る。また、ターゲット電子制御ユニットの不揮発性メモリが、ソフトウェアなどのデータを格納するための２つの格納領域を有するデュアルバンクメモリである場合は、少なくとも、インストールの実行後かつアクティベートの実行前に、ソフトウェア更新に対する承諾要求処理が行われる。なお、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストール実行前のソフトウェアの更新に対する承諾要求処理は、行われてもよいし、省略されてもよい。
【0040】
ソフトウェア更新処理は、ＯＴＡマスタ３０がセンタ１０から更新データをダウンロードするフェーズ（ダウンロードフェーズ）、ダウンロードした更新データをＯＴＡマスタ３０がターゲット電子制御ユニットに転送し、ターゲット電子制御ユニットの格納領域に更新データに基づく更新ソフトウェアをインストールするフェーズ（インストールフェーズ）、及びターゲット電子制御ユニットがインストールした更新ソフトウェアを有効化するフェーズ（アクティベートフェーズ）からなる。
【0041】
ダウンロードは、ＯＴＡマスタ３０が、センタ１０から配信パッケージによって送信された電子制御ユニットのソフトウェアを更新するための更新データを、受信して記憶部３７に記憶する処理である。ダウンロードによる更新データの受信については、ダウンロードフェーズでは、ダウンロードの実行だけでなく、ダウンロードの実行可否判断、更新データの検証など、ダウンロードに関する一連の処理の制御を含む。
【0042】
センタ１０からＯＴＡマスタ３０に送信される更新データは、電子制御ユニットの更新ソフトウェア（全データ又は差分データ）、更新ソフトウェアを圧縮した圧縮データ、更新ソフトウェア又は圧縮データを分割した分割データのいずれを含んでいてもよい。また、更新データは、ターゲット電子制御ユニットのＥＣＵ＿ＩＤ（又はシリアル番号）と、更新前のターゲット電子制御ユニットのＥＣＵ＿Ｓｏｆｔｗａｒｅ＿ＩＤとを、含んでいてもよい。更新データは、上述した配信パッケージとしてダウンロードされるが、配信パッケージには、単一の電子制御ユニット又は複数の電子制御ユニットの更新データが含まれる。
【0043】
インストールは、ＯＴＡマスタ３０が、センタ１０からダウンロードした更新データに基づいて、ターゲット電子制御ユニットの不揮発性メモリに更新ソフトウェア（更新版のプログラム）を書き込む処理である。本実施形態のインストールフェーズでは、このインストールフェーズでは、インストールの実行だけでなく、インストールの実行可否判断、更新データの転送及び更新ソフトウェアの検証など、インストールに関する一連の処理の制御を含む。
【0044】
更新データが更新ソフトウェアそのもの（全データ）を含む場合は、インストールフェーズにおいて、ＯＴＡマスタ３０が更新データ（更新ソフトウェア）をターゲット電子制御ユニットに転送する。また、更新データが更新ソフトウェアの圧縮データ、又は差分データ、あるいは分割データを含む場合は、ＯＴＡマスタ３０がターゲット電子制御ユニットに更新データを転送し、ターゲット電子制御ユニットが更新データから更新ソフトウェアを生成してもよいし、ＯＴＡマスタ３０が更新データから更新ソフトウェアを生成してから、更新ソフトウェアをターゲット電子制御ユニットに転送してもよい。ここで、更新ソフトウェアの生成は、圧縮データの解凍や、差分データ又は分割データの組み付け（統合）により行うことができる。
【0045】
更新ソフトウェアのインストールは、センタ１０から受信する車両と情報端末９５との連携状態に基づく更新の制限に従い（後述する）、ＯＴＡマスタ３０からのインストール要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、自律的にインストールを行ってもよい。
【0046】
アクティベートは、ターゲット電子制御ユニットが、自身の不揮発性メモリにインストールした更新ソフトウェアを有効化（アクティベート）する処理である。アクティベートフェーズでは、アクティベートの実行だけでなく、アクティベートの実行可否判断、アクティベートに対する車両のユーザー又は管理者への承諾要求、実行結果の検証など、アクティベートに関する一連の制御を含む。
【0047】
更新ソフトウェアのアクティベートは、センタ１０から受信する車両と情報端末９５との連携状態に基づく更新の制限に従い（後述する）、ＯＴＡマスタ３０からのアクティベート要求に基づいて、ターゲット電子制御ユニットが行うことができる。なお、更新データを受信した特定のターゲット電子制御ユニットについては、ＯＴＡマスタ３０からの明示の指示を受けることなく、インストールの完了後に自律的にアクティベートを行ってもよい。
【0048】
なお、ソフトウェア更新処理は、複数のターゲット電子制御ユニットのそれぞれに対して、連続的あるいは並列的に行うことができる。
【0049】
また、本明細書における「ソフトウェア更新処理」は、ダウンロード、インストール、及びアクティベートの全てを連続して行う処理だけでなく、ダウンロード、インストール、及びアクティベートのうちの一部のみを行う処理も含む。
【0050】
【0051】
（１）具体例１
図８Ａ及び図８Ｂは、センタ１０が行う具体例１によるソフトウェア更新処理の手順を説明するフローチャートである。図８Ａの処理と図８Ｂの処理とは、結合子Ｘで結ばれる。この具体例１によるソフトウェア更新処理は、更新が必要なソフトウェアを実装するターゲット電子制御ユニットがデュアルバンクメモリを搭載している場合において、センタ１０が、情報端末９５による更新承諾に従って車両のソフトウェアを更新する処理を行う例である。
図８Ａ及び図８Ｂは、センタ１０が行う具体例１によるソフトウェア更新処理の手順を説明するフローチャートである。図８Ａの処理と図８Ｂの処理とは、結合子Ｘで結ばれる。この具体例１によるソフトウェア更新処理は、更新が必要なソフトウェアを実装するターゲット電子制御ユニットがデュアルバンクメモリを搭載している場合において、センタ１０が、情報端末９５による更新承諾に従って車両のソフトウェアを更新する処理を行う例である。
【0052】
（ステップＳ８０１）
センタ１０は、対象となる車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合にのみ（ステップＳ８０１、はい）、ステップＳ８０２に処理が進む。
センタ１０は、対象となる車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合にのみ（ステップＳ８０１、はい）、ステップＳ８０２に処理が進む。
【0053】
（ステップＳ８０２）
センタ１０は、情報端末９５による更新ソフトウェア（更新データに基づくソフトウェア）のダウンロードの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したダウンロード承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのダウンロードの承諾があった場合にのみ（ステップＳ８０２、はい）、ステップＳ８０３に処理が進む。
センタ１０は、情報端末９５による更新ソフトウェア（更新データに基づくソフトウェア）のダウンロードの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したダウンロード承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのダウンロードの承諾があった場合にのみ（ステップＳ８０２、はい）、ステップＳ８０３に処理が進む。
【0054】
（ステップＳ８０３）
センタ１０は、ＯＴＡマスタ３０に更新ソフトウェアを送信して、ＯＴＡマスタ３０に更新ソフトウェアをダウンロードさせる。更新ソフトウェアの送信には、所定の配信パッケージを用いることができる。ＯＴＡマスタ３０による更新ソフトウェアのダウンロードが完了すると、ステップＳ８０４に処理が進む。
センタ１０は、ＯＴＡマスタ３０に更新ソフトウェアを送信して、ＯＴＡマスタ３０に更新ソフトウェアをダウンロードさせる。更新ソフトウェアの送信には、所定の配信パッケージを用いることができる。ＯＴＡマスタ３０による更新ソフトウェアのダウンロードが完了すると、ステップＳ８０４に処理が進む。
【0055】
（ステップＳ８０４）
センタ１０は、情報端末９５による更新ソフトウェアのインストールの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したインストール承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのインストールの承諾があった場合にのみ（ステップＳ８０４、はい）、ステップＳ８０５に処理が進む。
センタ１０は、情報端末９５による更新ソフトウェアのインストールの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したインストール承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのインストールの承諾があった場合にのみ（ステップＳ８０４、はい）、ステップＳ８０５に処理が進む。
【0056】
（ステップＳ８０５）
センタ１０は、ＯＴＡマスタ３０がダウンロードした更新ソフトウェアをターゲット電子制御ユニットに転送して書き込む処理であるインストールを、ＯＴＡマスタ３０及びターゲット電子制御ユニットに実行させる。ターゲット電子制御ユニットへの更新ソフトウェアのインストールが完了すると、ステップＳ８０６に処理が進む。
センタ１０は、ＯＴＡマスタ３０がダウンロードした更新ソフトウェアをターゲット電子制御ユニットに転送して書き込む処理であるインストールを、ＯＴＡマスタ３０及びターゲット電子制御ユニットに実行させる。ターゲット電子制御ユニットへの更新ソフトウェアのインストールが完了すると、ステップＳ８０６に処理が進む。
【0057】
（ステップＳ８０６）
センタ１０は、情報端末９５による更新ソフトウェアのアクティベートの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したアクティベート承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのアクティベートの承諾があった場合にのみ（ステップＳ８０６、はい）、ステップＳ８０７に処理が進む。
センタ１０は、情報端末９５による更新ソフトウェアのアクティベートの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したアクティベート承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのアクティベートの承諾があった場合にのみ（ステップＳ８０６、はい）、ステップＳ８０７に処理が進む。
【0058】
（ステップＳ８０７）
センタ１０は、車両と情報端末９５との連携状態を示す連携情報を取得する。連携情報としては、車両と情報端末９５とが短距離無線通信で接続されていれば「連携ＯＫ」と、車両と情報端末９５とが短距離無線通信で接続されていなければ「連携ＮＧ」とすることを例示できる。この連携情報は、基本的には車両（ＯＴＡマスタ３０）から取得されるが、情報端末９５から取得できるようにしてもよい。車両と情報端末９５との間の連携情報が取得されると、ステップＳ８０８に処理が進む。
センタ１０は、車両と情報端末９５との連携状態を示す連携情報を取得する。連携情報としては、車両と情報端末９５とが短距離無線通信で接続されていれば「連携ＯＫ」と、車両と情報端末９５とが短距離無線通信で接続されていなければ「連携ＮＧ」とすることを例示できる。この連携情報は、基本的には車両（ＯＴＡマスタ３０）から取得されるが、情報端末９５から取得できるようにしてもよい。車両と情報端末９５との間の連携情報が取得されると、ステップＳ８０８に処理が進む。
【0059】
（ステップＳ８０８）
センタ１０は、上記ステップＳ８０７で取得した連携情報に基づいて、車両と情報端末９５とが連携しているか否かを判定する。この判定で対象となる情報端末９５は、アクティベートの承諾を行った情報端末９５である。アクティベートの承諾を行った情報端末９５が車両と連携していると判定される場合は（ステップＳ８０８、はい）、ステップＳ８０９に処理が進み、アクティベートの承諾を行った情報端末９５が車両と連携しておらず途絶していると判定される場合は（ステップＳ８０８、いいえ）、ステップＳ８０７に処理が進む。
センタ１０は、上記ステップＳ８０７で取得した連携情報に基づいて、車両と情報端末９５とが連携しているか否かを判定する。この判定で対象となる情報端末９５は、アクティベートの承諾を行った情報端末９５である。アクティベートの承諾を行った情報端末９５が車両と連携していると判定される場合は（ステップＳ８０８、はい）、ステップＳ８０９に処理が進み、アクティベートの承諾を行った情報端末９５が車両と連携しておらず途絶していると判定される場合は（ステップＳ８０８、いいえ）、ステップＳ８０７に処理が進む。
【0060】
（ステップＳ８０９）
センタ１０は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアを有効化させる処理であるアクティベートを許可し、ＯＴＡマスタ３０及びターゲット電子制御ユニットにアクティベートを実行させる。ターゲット電子制御ユニットの更新ソフトウェアのアクティベートが完了すると、本ソフトウェア更新処理が終了する。
センタ１０は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアを有効化させる処理であるアクティベートを許可し、ＯＴＡマスタ３０及びターゲット電子制御ユニットにアクティベートを実行させる。ターゲット電子制御ユニットの更新ソフトウェアのアクティベートが完了すると、本ソフトウェア更新処理が終了する。
【0061】
（２）具体例２
図９Ａ及び図９Ｂは、センタ１０が行う具体例２によるソフトウェア更新処理の手順を説明するフローチャートである。図９Ａの処理と図９Ｂの処理とは、結合子Ｙで結ばれる。この具体例２によるソフトウェア更新処理は、更新が必要なソフトウェアを実装するターゲット電子制御ユニットがシングルバンクメモリを搭載している場合において、センタ１０が、情報端末９５による更新承諾に従って車両のソフトウェアを更新する処理を行う例である。
図９Ａ及び図９Ｂは、センタ１０が行う具体例２によるソフトウェア更新処理の手順を説明するフローチャートである。図９Ａの処理と図９Ｂの処理とは、結合子Ｙで結ばれる。この具体例２によるソフトウェア更新処理は、更新が必要なソフトウェアを実装するターゲット電子制御ユニットがシングルバンクメモリを搭載している場合において、センタ１０が、情報端末９５による更新承諾に従って車両のソフトウェアを更新する処理を行う例である。
【0062】
（ステップＳ９０１）
センタ１０は、対象となる車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合にのみ（ステップＳ９０１、はい）、ステップＳ９０２に処理が進む。
センタ１０は、対象となる車両において更新が必要なソフトウェアがあるか否かを判断する。この判断は、例えば、ＯＴＡマスタ３０から送信される更新確認要求に含まれる、車両構成情報から取得する車両に搭載される各電子制御ユニット５０ａ～５０ｄのソフトウェアの現バージョンと、センタ１０の記憶部１６に記憶されている各ソフトウェアの最新バージョンと、に基づいて行うことができる。対象となる車両において更新が必要なソフトウェアがある場合にのみ（ステップＳ９０１、はい）、ステップＳ９０２に処理が進む。
【0063】
（ステップＳ９０２）
センタ１０は、情報端末９５による更新ソフトウェア（更新データに基づくソフトウェア）のダウンロードの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したダウンロード承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのダウンロードの承諾があった場合にのみ（ステップＳ９０２、はい）、ステップＳ９０３に処理が進む。
センタ１０は、情報端末９５による更新ソフトウェア（更新データに基づくソフトウェア）のダウンロードの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したダウンロード承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのダウンロードの承諾があった場合にのみ（ステップＳ９０２、はい）、ステップＳ９０３に処理が進む。
【0064】
（ステップＳ９０３）
センタ１０は、ＯＴＡマスタ３０に更新ソフトウェアを送信して、ＯＴＡマスタ３０に更新ソフトウェアをダウンロードさせる。更新ソフトウェアの送信には、所定の配信パッケージを用いることができる。ＯＴＡマスタ３０による更新ソフトウェアのダウンロードが完了すると、ステップＳ９０４に処理が進む。
センタ１０は、ＯＴＡマスタ３０に更新ソフトウェアを送信して、ＯＴＡマスタ３０に更新ソフトウェアをダウンロードさせる。更新ソフトウェアの送信には、所定の配信パッケージを用いることができる。ＯＴＡマスタ３０による更新ソフトウェアのダウンロードが完了すると、ステップＳ９０４に処理が進む。
【0065】
（ステップＳ９０４）
センタ１０は、情報端末９５による更新ソフトウェアのインストールの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したインストール承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのインストールの承諾があった場合にのみ（ステップＳ９０４、はい）、ステップＳ９０５に処理が進む。
センタ１０は、情報端末９５による更新ソフトウェアのインストールの承諾があったか否かを判断する。この判断は、例えば、センタ１０が情報端末９５に送信したインストール承諾要求に対する応答（更新承諾通知など）を、センタ１０が情報端末９５から受信することによって行うことができる。情報端末９５による更新ソフトウェアのインストールの承諾があった場合にのみ（ステップＳ９０４、はい）、ステップＳ９０５に処理が進む。
【0066】
（ステップＳ９０５）
センタ１０は、車両と情報端末９５との連携状態を示す連携情報を取得する。連携情報としては、車両と情報端末９５とが短距離無線通信で接続されていれば「連携ＯＫ」と、車両と情報端末９５とが短距離無線通信で接続されていなければ「連携ＮＧ」とすることを例示できる。この連携情報は、基本的には車両（ＯＴＡマスタ３０）から取得されるが、情報端末９５から取得できるようにしてもよい。車両と情報端末９５との間の連携情報が取得されると、ステップＳ９０６に処理が進む。
センタ１０は、車両と情報端末９５との連携状態を示す連携情報を取得する。連携情報としては、車両と情報端末９５とが短距離無線通信で接続されていれば「連携ＯＫ」と、車両と情報端末９５とが短距離無線通信で接続されていなければ「連携ＮＧ」とすることを例示できる。この連携情報は、基本的には車両（ＯＴＡマスタ３０）から取得されるが、情報端末９５から取得できるようにしてもよい。車両と情報端末９５との間の連携情報が取得されると、ステップＳ９０６に処理が進む。
【0067】
（ステップＳ９０６）
センタ１０は、上記ステップＳ９０５で取得した連携情報に基づいて、車両と情報端末９５とが連携しているか否かを判定する。この判定で対象となる情報端末９５は、インストールの承諾を行った情報端末９５である。インストールの承諾を行った情報端末９５が車両と連携していると判定される場合は（ステップＳ９０６、はい）、ステップＳ９０７に処理が進み、インストールの承諾を行った情報端末９５が車両と連携しておらず途絶していると判定される場合は（ステップＳ９０６、いいえ）、ステップＳ９０５に処理が進む。
センタ１０は、上記ステップＳ９０５で取得した連携情報に基づいて、車両と情報端末９５とが連携しているか否かを判定する。この判定で対象となる情報端末９５は、インストールの承諾を行った情報端末９５である。インストールの承諾を行った情報端末９５が車両と連携していると判定される場合は（ステップＳ９０６、はい）、ステップＳ９０７に処理が進み、インストールの承諾を行った情報端末９５が車両と連携しておらず途絶していると判定される場合は（ステップＳ９０６、いいえ）、ステップＳ９０５に処理が進む。
【0068】
（ステップＳ９０７）
センタ１０は、ＯＴＡマスタ３０がダウンロードした更新ソフトウェアをターゲット電子制御ユニットに転送して書き込む処理であるインストールを許可し、ＯＴＡマスタ３０及びターゲット電子制御ユニットにインストールを実行させる。さらに、センタ１０は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアを有効化させる処理であるアクティベートを、ＯＴＡマスタ３０及びターゲット電子制御ユニットに実行させる。ターゲット電子制御ユニットに対する更新ソフトウェアのインストール及びアクティベートが完了すると、本ソフトウェア更新処理が終了する。
センタ１０は、ＯＴＡマスタ３０がダウンロードした更新ソフトウェアをターゲット電子制御ユニットに転送して書き込む処理であるインストールを許可し、ＯＴＡマスタ３０及びターゲット電子制御ユニットにインストールを実行させる。さらに、センタ１０は、ターゲット電子制御ユニットにインストールされた更新ソフトウェアを有効化させる処理であるアクティベートを、ＯＴＡマスタ３０及びターゲット電子制御ユニットに実行させる。ターゲット電子制御ユニットに対する更新ソフトウェアのインストール及びアクティベートが完了すると、本ソフトウェア更新処理が終了する。
【0069】
なお、上述した具体例１及び２では、インストール又はアクティベートの承諾を行った情報端末９５が、インストール又はアクティベートの処理前に車両と連携していない通信途絶である場合には、情報端末９５と車両との連携が回復（通信状態が復帰）するまで待ってから更新ソフトウェアのインストール及びアクティベートの処理を行う（許可する）例を説明した。しかしながら、インストール又はアクティベートの処理前に情報端末９５が車両と連携していない通信途絶である場合には、その後の連携回復（通信状態の復帰）を待つことなく更新処理を直ちに中止するようにしてもよい（つまり、図８ＢのステップＳ８０８の「いいえ」でソフトウェア更新処理を終了、図９ＢのステップＳ９０６の「いいえ」でソフトウェア更新処理を終了）。
【0070】
＜作用・効果＞
以上のように、本開示の一実施形態に係るネットワークシステムによれば、センタ１０は、車両に搭載されたターゲット電子制御ユニットのソフトウェアの更新が情報端末９５によって承諾された場合には、さらに情報端末９５と車両との連携状態に基づいてソフトウェアの更新処理に必要な制限を加える。より具体的には、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、承諾がされていてもターゲット電子制御ユニットにインストールした更新ソフトウェアを有効化するアクティベート以降の処理を許可しない。また、ターゲット電子制御ユニットの不揮発性メモリがシングルバンクメモリである場合には、承諾がされていても更新ソフトウェアをターゲット電子制御ユニットに書き込むインストール以降の処理を許可しない。
以上のように、本開示の一実施形態に係るネットワークシステムによれば、センタ１０は、車両に搭載されたターゲット電子制御ユニットのソフトウェアの更新が情報端末９５によって承諾された場合には、さらに情報端末９５と車両との連携状態に基づいてソフトウェアの更新処理に必要な制限を加える。より具体的には、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、承諾がされていてもターゲット電子制御ユニットにインストールした更新ソフトウェアを有効化するアクティベート以降の処理を許可しない。また、ターゲット電子制御ユニットの不揮発性メモリがシングルバンクメモリである場合には、承諾がされていても更新ソフトウェアをターゲット電子制御ユニットに書き込むインストール以降の処理を許可しない。
【0071】
この制限処理により、例えば、ＯＴＡによるソフトウェア更新に関する情報を提示できる機能が搭載されていない車両など、車両に紐付けられた情報端末９５を介して承諾処理を行う必要があるような場合には、更新承諾を行った情報端末９５が車両の近傍にある場合に限って更新処理を許可することができる。よって、ソフトウェアの更新を安全かつ短時間で完了させることができる。
【0072】
また、本実施形態に係るネットワークシステムによれば、ターゲット電子制御ユニットの不揮発性メモリがデュアルバンクメモリである場合には、インストールまでは更新処理を進めておき、情報端末９５と車両との連携が回復し次第アクティベート以降の処理を実行できる。ターゲット電子制御ユニットの不揮発性メモリがシングルバンクメモリである場合には、ダウンロードまでは更新処理を進めておき、情報端末９５と車両との連携が回復し次第インストール以降の処理を実行できる。これにより、車両に搭載された電子制御ユニットのソフトウェアの更新処理を適切に制御することができる
【0073】
なお、上記実施形態では、ソフトウェアの更新処理の制限を車両と情報端末９５との連携状態のみに基づいて実施したが、車両の走行状態と組み合わせて行ってもよい。例えば、車両と情報端末９５との通信が途絶しており、かつ、車両が走行中である場合に、ソフトウェアの更新処理を制限することができる。
【0074】
また、上記実施形態では、車両と情報端末９５との通信が途絶してもその後に復帰した場合には、ソフトウェアの更新処理の制限を解除する例を説明したが、解除せずにソフトウェアの更新処理を中止するようにしてもよい。
【産業上の利用可能性】
【0075】
本開示技術は、車両に搭載された電子制御ユニットのソフトウェアを更新するためのネットワークシステムに利用できる。
【符号の説明】
【0076】
１０ センタ
１１、３１、５１ ＣＰＵ
１２、３２、５２ ＲＡＭ
１３、３４ 記憶装置
１４、３６、５４ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
１９ 判定部
２０ ＨＭＩ機能部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
５３ａ、５３ｂ 不揮発性メモリ
５５、５６ａ、５６ｂ 格納領域
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
９５ 情報端末
１００ ネットワーク
１１、３１、５１ ＣＰＵ
１２、３２、５２ ＲＡＭ
１３、３４ 記憶装置
１４、３６、５４ 通信装置
１６、３７ 記憶部
１７、３８ 通信部
１８、３９ 制御部
１９ 判定部
２０ ＨＭＩ機能部
３０ ＯＴＡマスタ
３３ ＲＯＭ
３５ マイクロコンピューター
５０ａ～５０ｄ 電子制御ユニット（ＥＣＵ）
５３ａ、５３ｂ 不揮発性メモリ
５５、５６ａ、５６ｂ 格納領域
６０ａ～６０ｄ バス
７０ 表示装置
８０ 通信モジュール
９０ 車載ネットワーク
９５ 情報端末
１００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6A】
【図6B】
【図7】
【図8A】
【図8B】
【図9A】
【図9B】