特許 7605176 制御システム、更新制御方法、および、更新制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-16

(45)【発行日】2024-12-24

(54)【発明の名称】制御システム、更新制御方法、および、更新制御プログラム

(51)【国際特許分類】

   G06F 8/656 20180101AFI20241217BHJP

   B60R 16/02 20060101ALI20241217BHJP

【ＦＩ】

G06F8/656

B60R16/02 660U

【請求項の数】 7

(21)【出願番号】P 2022070246

(22)【出願日】2022-04-21

(65)【公開番号】P2023160124

(43)【公開日】2023-11-02

【審査請求日】2023-12-19

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】藤元 貴之

(72)【発明者】

【氏名】三宅 優樹

(72)【発明者】

【氏名】渋谷 知樹

(72)【発明者】

【氏名】塩原 和義

【審査官】松平 英

(56)【参考文献】

【文献】特開２０２１－１２４８２９（ＪＰ，Ａ）

【文献】国際公開第２０２１／０７５３６１（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／００－８／３８

Ｇ０６Ｆ ８／６０－８／７７

Ｇ０６Ｆ ９／４４－９／４４５

Ｇ０６Ｆ ９／４５１

Ｂ６０Ｒ １６／００－１７／０２

(57)【特許請求の範囲】

【請求項1】

無線通信でソフトウェアを更新可能な制御システムであって、
制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、前記記憶部に記憶された特定ソフトウェアを実行して前記特定処理を実行する制御部とを備える複数の特定制御装置と、
前記特定処理を実行する前記特定制御装置を切替える切替制御装置とを含み、
前記特定制御装置は、３つ以上であり、他の前記特定制御装置と協調して前記特定処理を実行し、
前記切替制御装置は、複数の前記特定制御装置のうち前記特定処理を実行している複数の前記特定制御装置の前記記憶部に記憶されている前記特定ソフトウェアのいずれかを更新する場合に、更新を開始する前に、前記特定処理を実行する前記特定制御装置を、前記特定処理を実行していない他の前記特定制御装置に切替え、
前記特定制御装置の前記制御部は、前記特定処理を実行する前記特定制御装置が他の前記特定制御装置に切替えられているときに、前記記憶部に記憶されている前記特定ソフトウェアを更新する、制御システム。

【請求項2】

前記特定制御装置の前記制御部は、
前記記憶部に記憶されている前記特定ソフトウェアの更新前後で前記特定処理に互換性があるか否かを判断し、
互換性がないと判断した場合、いずれの前記特定制御装置においても前記特定処理が実行されていないときに、前記特定ソフトウェアを更新し、
互換性があると判断した場合、前記特定処理を実行する前記特定制御装置が他の前記特定制御装置に切替えられているときに、前記特定ソフトウェアを更新する、請求項１に記載の制御システム。

【請求項3】

前記制御システムは、車両に搭載され、
所定条件は、前記特定ソフトウェアを更新可能な前記車両の走行状況が、前記特定ソフトウェアの更新に要する所定期間以上、継続する走行状況であることを示す条件であり、
前記特定制御装置の前記制御部は、
前記所定条件が成立しているか否かを判断し、
前記所定条件が成立している場合に、前記特定ソフトウェアを更新する、請求項１に記載の制御システム。

【請求項4】

前記所定条件は、前記所定期間、前記車両が高速道路を走行している状況が継続し、かつ、前記所定期間、前記車両の走行計画に変更が無い状況が継続し、かつ、前記所定期間、前記車両から所定距離以内に他車両が存在しない状況が継続するとの条件である、請求項３に記載の制御システム。

【請求項5】

前記所定条件は、前記所定期間、前記車両が一般道路を走行している状況が継続し、かつ、前記所定期間、前記車両が停車している状況が継続するとの条件である、請求項３に記載の制御システム。

【請求項6】

無線通信でソフトウェアを更新可能な制御システムにおける更新制御方法であって、
前記制御システムは、
制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、前記記憶部に記憶された特定ソフトウェアを実行して前記特定処理を実行する制御部とを備える複数の特定制御装置と、
前記特定処理を実行する前記特定制御装置を切替える切替制御装置とを含み、
前記特定制御装置は、３つ以上であり、他の前記特定制御装置と協調して前記特定処理を実行し、
前記更新制御方法は、
前記切替制御装置が、複数の前記特定制御装置のうち前記特定処理を実行している複数の前記特定制御装置の前記記憶部に記憶されている前記特定ソフトウェアのいずれかを更新する場合に、更新を開始する前に、前記特定処理を実行する前記特定制御装置を、前記特定処理を実行していない他の前記特定制御装置に切替えるステップと、
前記特定制御装置の前記制御部が、前記特定処理を実行する前記特定制御装置が他の前記特定制御装置に切替えられているときに、前記記憶部に記憶されている前記特定ソフトウェアを更新するステップとを含む、更新制御方法。

【請求項7】

無線通信でソフトウェアを更新可能な制御システムにおいて実行される更新制御プログラムであって、
前記制御システムは、
制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、前記記憶部に記憶された特定ソフトウェアを実行して前記特定処理を実行する制御部とを備える複数の特定制御装置と、
前記特定処理を実行する前記特定制御装置を切替える切替制御装置とを含み、
前記特定制御装置は、３つ以上であり、他の前記特定制御装置と協調して前記特定処理を実行し、
前記更新制御プログラムは、
複数の前記特定制御装置のうち前記特定処理を実行している複数の前記特定制御装置の前記記憶部に記憶されている前記特定ソフトウェアのいずれかを更新する場合に、更新を開始する前に、前記特定処理を実行する前記特定制御装置を、前記特定処理を実行してない他の前記特定制御装置に切替えるステップを、前記切替制御装置に実行させ、
前記特定処理を実行する前記特定制御装置が他の前記特定制御装置に切替えられているときに、前記記憶部に記憶されている前記特定ソフトウェアを更新するステップを、前記特定制御装置の前記制御部に実行させる、更新制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

この開示は、制御システム、更新制御方法、および、更新制御プログラムに関し、特に、無線通信でソフトウェアを更新可能な制御システム、その制御システムにおける更新制御方法、および、その制御システムにおいて実行される更新制御プログラムに関する。

【背景技術】

【0002】

近年、車両を制御するためのソフトウェアを更新する場合に、更新サーバと車両との間で更新のためのデータを無線通信するＯＴＡ（Over the Air）という技術が知られている。この技術を用いて、車両の自動運転機能または運転支援機能に関するソフトウェアを更新する前に、自動運転機能または運転支援機能の一部または全部の作動について制限を開始し、更新が完了した後に、この制限を解除する車両があった（たとえば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１７－１６７６４６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかし、特許文献１の車両の制御システムにおいては、ソフトウェアの更新を行うときに、車両の機能が制限されるため、車両の制御に影響するといった問題があった。

【0005】

この開示は、このような課題を解決するためになされたものであって、その目的は、制御システムのソフトウェアの更新を行うときに制御システムにおける制御への影響を抑制することが可能な制御システム、更新制御方法、および、更新制御プログラムを提供することである。

【課題を解決するための手段】

【0006】

この開示に係る制御システムは、無線通信でソフトウェアを更新可能な制御システムであって、制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、記憶部に記憶された特定ソフトウェアを実行して特定処理を実行する制御部とを備える複数の特定制御装置と、特定処理を実行する特定制御装置を切替える切替制御装置とを含む。切替制御装置は、複数の特定制御装置のうち特定処理を実行している特定制御装置の記憶部に記憶されている特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行する特定制御装置を他の特定制御装置に切替える。特定制御装置の制御部は、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、記憶部に記憶されている特定ソフトウェアを更新する。

【0007】

このような構成によれば、制御対象を制御する特定処理を実行している特定制御装置の特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行する特定制御装置が他の特定制御装置に切替えられ、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、特定ソフトウェアが更新される。その結果、制御システムのソフトウェアの更新を行うときに制御システムにおける制御への影響を抑制することが可能な制御システムを提供することができる。

【0008】

特定制御装置は、３つ以上であり、他の特定制御装置と協調して特定処理を実行するようにしてもよい。切替制御装置は、特定処理を実行している複数の特定制御装置の記憶部に記憶されている特定ソフトウェアのいずれかを更新するときに、特定処理を実行する特定制御装置を、特定処理を実行していない他の特定制御装置に切替えるようにしてもよい。

【0009】

このような構成によれば、特定制御装置が他の特定制御装置と協調して特定処理を実行するような冗長構成が必要な場合であっても、冗長構成を維持しながら、制御システムにおける制御への影響を抑制しつつ、特定制御装置のソフトウェアを更新することができる。

【0010】

特定制御装置の制御部は、記憶部に記憶されている特定ソフトウェアの更新前後で前記特定処理に互換性があるか否かを判断し、互換性がないと判断した場合、いずれの特定制御装置においても特定処理が実行されていないときに、特定ソフトウェアを更新し、互換性があると判断した場合、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、特定ソフトウェアを更新するようにしてもよい。

【0011】

このような構成によれば、特定ソフトウェアの更新前後で特定処理に互換性がない場合は、いずれの特定制御装置においても特定処理が実行されていないときに、特定ソフトウェアが更新され、互換性がある場合は、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、特定ソフトウェアが更新される。このため、特定処理が実行されている状況において、互換性がない特定ソフトウェアの実行による特定処理と、互換性がある特定ソフトウェアの実行による特定処理とが混在しないようにすることができる。その結果、互換性がないことにより特定処理が正常に動作しなくなることを防止できる。

【0012】

制御システムは、車両に搭載されるようにしてもよい。所定条件は、特定ソフトウェアを更新可能な車両の走行状況が、特定ソフトウェアの更新に要する所定期間以上、継続する走行状況であることを示す条件であり、特定制御装置の制御部は、所定条件が成立しているか否かを判断し、所定条件が成立している場合に、特定ソフトウェアを更新するようにしてもよい。

【0013】

このような構成によれば、特定ソフトウェアを更新可能な車両の走行状況が、特定ソフトウェアの更新に要する所定期間以上、継続する走行状況であることを示す所定条件が成立している場合に、特定ソフトウェアが更新される。その結果、特定処理がいずれかの特定制御装置で実行中であっても、適切なタイミングで特定制御装置の特定ソフトウェアを更新することができる。

【0014】

所定条件は、所定期間、車両が高速道路を走行している状況が継続し、かつ、所定期間、車両の走行計画に変更が無い状況が継続し、かつ、所定期間、車両から所定距離以内に他車両が存在しない状況が継続するとの条件であるようにしてもよい。

【0015】

所定条件は、所定期間、車両が一般道路を走行している状況が継続し、かつ、所定期間、車両が停車している状況が継続するとの条件であるようにしてもよい。

【0016】

この開示の他の局面によれば、更新制御方法は、無線通信でソフトウェアを更新可能な制御システムにおける更新制御方法である。制御システムは、制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、記憶部に記憶された特定ソフトウェアを実行して特定処理を実行する制御部とを備える複数の特定制御装置と、特定処理を実行する特定制御装置を切替える切替制御装置とを含む。更新制御方法は、切替制御装置が、複数の特定制御装置のうち特定処理を実行している特定制御装置の記憶部に記憶されている特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行する特定制御装置を他の特定制御装置に切替えるステップと、特定制御装置の制御部が、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、記憶部に記憶されている特定ソフトウェアを更新するステップとを含む。

【0017】

このような構成によれば、制御システムのソフトウェアの更新を行うときに制御システムにおける制御への影響を抑制することが可能な更新制御方法を提供することができる。

【0018】

この開示のさらに他の局面によれば、更新制御プログラムは、無線通信でソフトウェアを更新可能な制御システムにおいて実行される更新制御プログラムである。制御システムは、制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、記憶部に記憶された特定ソフトウェアを実行して特定処理を実行する制御部とを備える複数の特定制御装置と、特定処理を実行する特定制御装置を切替える切替制御装置とを含む。更新制御プログラムは、複数の特定制御装置のうち特定処理を実行している特定制御装置の記憶部に記憶されている特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行する特定制御装置を他の特定制御装置に切替えるステップを、切替制御装置に実行させ、特定処理を実行する特定制御装置が他の特定制御装置に切替えられているときに、記憶部に記憶されている特定ソフトウェアを更新するステップを、特定制御装置の制御部に実行させる。

【0019】

このような構成によれば、制御システムのソフトウェアの更新を行うときに制御システムにおける制御への影響を抑制することが可能な更新制御プログラムを提供することができる。

【発明の効果】

【0020】

この開示によれば、制御システムのソフトウェアの更新を行うときに制御システムにおける制御への影響を抑制することが可能な、制御システム、更新制御方法、および、更新制御プログラムを提供することができる。

【図面の簡単な説明】

【0021】

【図1】この実施の形態に係る車両を制御するためのソフトウェアを更新するためのＯＴＡシステムの構成の概略を示すブロック図である。

【図2】この実施の形態の自動運転ＥＣＵにおける特定ソフトウェアの更新の流れを示す第１のフローチャートである。

【図3】この実施の形態の自動運転ＥＣＵにおける特定ソフトウェアの更新の流れを示す第２のフローチャートである。

【図4】この実施の形態の更新条件成立判定処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0022】

以下、図面を参照しつつ、この開示の実施の形態は説明される。以下の説明では、同一の部品には同一の符号が付されている。それらの名称および機能も同じである。したがってそれらについての詳細な説明は繰り返されない。

【0023】

図１は、この実施の形態に係る車両を制御するためのソフトウェアを更新するためのＯＴＡシステムの構成の概略を示すブロック図である。図１を参照して、ＯＴＡシステムは、複数の車両１００と更新サーバ２００とを含む。

【0024】

車両１００は、自動運転ＥＣＵ（Electronic Control Unit）１１０と、ナビゲーションシステム１２０と、各種センサ１３０と、パワートレーンシステム１４０と、ステアリングシステム１５０と、ブレーキシステム１６０と、ＤＣＭ（Data Communication Module）１９０とを含む。自動運転ＥＣＵ１１０、ナビゲーションシステム１２０、各種センサ１３０、パワートレーンシステム１４０、ステアリングシステム１５０、ブレーキシステム１６０、および、ＤＣＭ１９０は、ＣＡＮ（Controller Area Network）等の車載の通信ネットワーク１８０を介して互いに通信可能に構成されている。

【0025】

ＤＣＭ１９０は、更新サーバ２００などの外部装置とインターネット等の通信ネットワーク９００を経由して無線で通信可能なデバイスであり、外部装置との間で所定の情報を送受信する。

【0026】

パワートレーンシステム１４０は、モータジェネレータまたはエンジンなどの駆動源と、駆動源からの動力を車輪に伝達するトランスミッションと、駆動源およびトランスミッションを制御するＥＣＵとを含む。パワートレーンシステム１４０のＥＣＵは、アクセルペダルの操作量を示す信号およびシフトレバーの操作内容を示す信号、または、自動運転ＥＣＵ１１０からの制御信号にしたがって、シフトレンジを切替え、要求された駆動力を発生するよう駆動源を制御する。

【0027】

ステアリングシステム１５０は、車輪を操舵する操舵装置と、操舵装置を制御するＥＣＵとを含み、ステアリングホイールの操作量を示す信号、または、自動運転ＥＣＵ１１０からの制御信号にしたがって、要求された車輪の舵角となるよう操舵装置を制御する。

【0028】

ブレーキシステム１６０は、車輪を制動する制動装置と、制動装置を制御するＥＣＵとを含み、ブレーキペダルの操作量を示す信号、または、自動運転ＥＣＵ１１０からの制御信号にしたがって、要求された制動力を発生するよう制動装置を制御する。

【0029】

各種センサ１３０は、車両１００の外部状況を検出するように構成されたセンサを含むとともに、車両１００の走行状態に応じた情報ならびに操舵操作、アクセル操作およびブレーキ操作を検出するように構成されたセンサ（いずれも図示せず）を含む。具体的には、各種センサ１３０は、たとえば、カメラ、レーダー（Radar）、ライダー（ＬＩＤＡＲ：Laser Imaging Detection and Ranging）、車速センサ、加速度センサ、ヨーレートセンサ（いずれも図示せず）を含み得る。

【0030】

ナビゲーションシステム１２０は、ＧＰＳ（Global Positioning System）受信機と、地図情報データベースと交通情報受信機とプロセッサとを含む。ＧＰＳ受信機は、人工衛星からの電波に基づいて車両１００の位置を特定する。ナビゲーションシステム１２０は、ＧＰＳ受信機によって特定された、地図情報データベース上の車両１００の位置情報および交通情報受信機によって受信された道路交通情報を、自動運転ＥＣＵ１１０に送信する。道路交通情報は、たとえば、ＦＭ多重放送等によって提供されている道路交通情報（たとえばＶＩＣＳ（登録商標）情報）、および／または、プローブ車両あるいはプローブセンタから収集した道路交通情報である。この道路交通情報は、少なくとも渋滞情報を含み、その他、道路規制情報や駐車場情報等も含み得る。

【0031】

自動運転ＥＣＵ１１０は、ＳｏＣ（System-on-a-Chip）１１１と、複数のＭＣＵ（Micro Controller Unit）とを含む。この実施の形態においては、自動運転ＥＣＵ１１０は、ＭＣＵとして、３つのＭＣＵ１１６Ａ～１１６Ｃ（図面では、それぞれ、ＭＣＵ＿Ａ、ＭＣＵ＿ＢおよびＭＣＵ＿Ｃと記載）を含む。ＳｏＣ１１１は、ＣＰＵ１１２とメモリ１１３とを含む。ＭＣＵ１１６Ａ～１１６Ｃは、それぞれ、ＣＰＵ１１７Ａ～１１７Ｃとメモリ１１８Ａ～１１８Ｃとを含む。

【0032】

メモリ１１３，１１８Ａ～１１８Ｃは、それぞれ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）およびフラッシュメモリなどを含み、ＳｏＣ１１１およびＭＣＵ１１６Ａ～１１６Ｃで実行されるプログラム等のソフトウェアおよび処理対象のデータ等を記憶する。

【0033】

ＣＰＵ１１２，１１７Ａ～１１７Ｃは、それぞれ、メモリ１１３，１１８Ａ～１１８Ｃに記憶されたプログラムにしたがって、ＳｏＣ１１１およびＭＣＵ１１６Ａ～１１６Ｃに入力されたデータまたはメモリ１１３，１１８Ａ～１１８Ｃに記憶されたデータを処理して、処理結果のデータを、ＳｏＣ１１１およびＭＣＵ１１６Ａ～１１６Ｃの外部に出力させたり、メモリ１１３，１１８Ａ～１１８Ｃに記憶させたりする。

【0034】

自動運転ＥＣＵ１１０は、現在地から、指定された目的地まで、車両１００が自動で走行するよう制御する。具体的には、ＳｏＣ１１１は、各種センサ１３０およびナビゲーションシステム１２０からの情報を用いて、現在地から目的地までのルートプランを作成し、車両１００の周辺の他車両、人、動物および障害物などの物標を認識し、周辺の物標およびルートプランに応じた車両１００の動きを特定し、特定した車両１００の動きをＭＣＵ１１６Ａ～１１６Ｃに伝達する。ＭＣＵ１１６Ａ～１１６Ｃは、伝達された車両１００の動きを実現するような、駆動、操舵および制動の制御量を算出し、算出した制御量を示す制御信号を、パワートレーンシステム１４０、ステアリングシステム１５０、および、ブレーキシステム１６０に送信する。

【0035】

更新サーバ２００は、車両１００を制御するためのソフトウェアを更新するためのサーバである。更新サーバ２００は、プロセッサ２１０と、メモリ２２０と、入力部２３０と、出力部２４０と、補助記憶装置２６０と、通信部２９０とを含む。

【0036】

メモリ２２０は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）およびフラッシュメモリなどを含み、更新サーバ２００で実行されるプログラム等のソフトウェアおよび処理対象のデータ等を記憶する。

【0037】

補助記憶装置２６０は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）およびリムーバブルメディアドライブなどを含み、メモリ２２０を補助して、更新サーバ２００で実行されるプログラム等のソフトウェアおよび処理対象のデータ等を記憶し、メモリ２２０と比較して大容量のデータを記憶する。

【0038】

入力部２３０は、キーボードおよびマウス等の入力デバイスを含み、ユーザによって入力デバイスから入力された情報をプロセッサ２１０に送信する。

【0039】

出力部２４０は、ディスプレイおよびスピーカ等の出力デバイスを含み、プロセッサ２１０から受信した情報を出力デバイスに出力する。

【0040】

通信部２９０は、車両１００などの外部装置とインターネット等の通信ネットワーク９００を経由して通信可能なデバイスであり、外部装置との間で所定の情報を送受信する。

【0041】

プロセッサ２１０は、メモリ２２０または補助記憶装置２６０に記憶されたプログラムにしたがって、入力部２３０もしくは通信部２９０からのデータまたはメモリ２２０もしくは補助記憶装置２６０に記憶されたデータを処理して、出力部２４０または通信部２９０に出力させたり、メモリ２２０または補助記憶装置２６０に記憶させたりする。

【0042】

この実施の形態においては、車両１００を制御するためのソフトウェアを更新する場合に、更新サーバ２００と車両１００との間で更新のためのデータをＯＴＡ技術にしたがって送受信する。このＯＴＡ技術を用いて、車両の先進運転支援システム（ＡＤＡＳ：Advanced Driver-Assistance Systems）による運転支援機能または自動運転機能に関するソフトウェアを更新するときに、運転支援機能または自動運転機能の一部または全部の作動について制限を開始し、更新が完了した後に、この制限を解除する車両１００があった。

【0043】

しかし、この車両１００の制御システムにおいては、ソフトウェアの更新を行うときに、車両１００の機能が制限されるため、車両１００の制御に影響するといった問題があった。

【0044】

そこで、ＳｏＣ１１１は、複数のＭＣＵ１１６Ａ～１１６Ｃのうち、制御対象（パワートレーンシステム１４０、ステアリングシステム１５０およびブレーキシステム１６０）を制御する特定処理を実行しているＭＣＵ（以下、ＭＣＵ１１６という）のメモリ（以下、メモリ１１８という）に記憶されている特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行するＭＣＵ１１６を他の特定制御装置に切替える。ＭＣＵ１１６のＣＰＵ（以下、ＣＰＵ１１７という）は、特定処理を実行するＭＣＵ１１６が他のＭＣＵに切替えられているときに、メモリ１１８に記憶されている特定ソフトウェアを更新する。

【0045】

これにより、制御対象を制御する特定処理を実行しているＭＣＵ１１６の特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行するＭＣＵ１１６が他の特定制御装置ＭＣＵ１１６に切替えられ、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、特定ソフトウェアが更新される。その結果、自動運転ＥＣＵ１１０のソフトウェアの更新を行うときに自動運転ＥＣＵ１１０における制御への影響を抑制することができる。

【0046】

図２は、この実施の形態の自動運転ＥＣＵ１１０における特定ソフトウェアの更新の流れを示す第１のフローチャートである。図３は、この実施の形態の自動運転ＥＣＵ１１０における特定ソフトウェアの更新の流れを示す第２のフローチャートである。特定ソフトウェアは、制御対象（ここでは、パワートレーンシステム１４０、ステアリングシステム１５０およびブレーキシステム１６０）を制御する特定処理（ここでは、車両１００の自動運転のための処理）を実行するためのソフトウェアである。

【0047】

ＳｏＣ１１１のＣＰＵ１１２は、この特定ソフトウェアの更新前後で特定処理に互換性があるか否かを判断し、互換性がないと判断した場合、いずれのＭＣＵ１１６Ａ～１１６Ｃにおいても特定処理が実行されていないときに、特定ソフトウェアを更新し、互換性があると判断した場合、図２および図３で説明するように、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、特定ソフトウェアを更新する。

【0048】

たとえば、互換性がないと判断する場合は、特定ソフトウェアに新機能が追加された場合であってもよいし、特定ソフトウェアの性能が向上された場合であってもよい。また、特定ソフトウェアに新機能が追加された場合、または、特定ソフトウェアの性能が向上された場合であっても、特定ソフトウェアによる制御指示値が同等であれば、互換性があると判断するようにしてもよい。特定ソフトウェアに新機能は追加されていないが制御指示値が同等でなくなった場合は、互換性がないと判断するようにしてもよい。

【0049】

図２および図３を参照して、まず、ＳｏＣ１１１のＣＰＵ１１２は、自動運転ＥＣＵ１１０のＳｏＣ１１１およびＭＣＵ１１６Ａ～１１６Ｃ（ＭＣＵ１１６Ａ～１１６Ｃのソフトウェアの少なくとも一部は共通）の更新された特定ソフトウェアのデータを、更新サーバ２００からＯＴＡでダウンロードする処理が完了したときに、ＯＴＡでのダウンロードが完了した旨の情報と、更新された特定ソフトウェアのデータとを、ＭＣＵ１１６Ａ～１１６Ｃに送信するとともに、ＯＴＡでのダウンロードが完了した旨の情報を、自動運転ＥＣＵ１１０と協調して動作する他ＥＣＵに送信する（ステップＳ１１１）。

【0050】

メモリ１１３，１１８Ａ～１１８Ｃに含まれるフラッシュメモリは、デュアルバンクフラッシュメモリであり、プログラムを記憶するための２つの記憶領域（２つのバンク）が含まれる。２つの記憶領域のうち、現在、実行されている特定ソフトウェアが記憶されている一方の記憶領域（一方のバンク）のことを、以下「アクティブ面」といい、他方の記憶領域（他方のバンク）のことを、以下「書込み面」という。ＳｏＣ１１１のＣＰＵ１１２は、ダウンロードされた更新された特定ソフトウェアのデータを、メモリ１１３に含まれるフラッシュメモリの中の書込み面に書込む。ＭＣＵ１１６Ａ～１１６Ｃは、それぞれ、更新された特定ソフトウェアのデータを受信した場合、ダウンロードされた更新された特定ソフトウェアのデータを、メモリ１１８Ａ～１１８Ｃに含まれるフラッシュメモリの中の書込み面に書込む。

【0051】

次に、ＳｏＣ１１１のＣＰＵ１１２は、特定ソフトウェアを切替えるタイミングを確認する要求を、ＭＣＵ１１６Ｃに送信する（ステップＳ１１２）。ＭＣＵ１１６Ａ～１１６Ｃで実行される特定ソフトウェアは、１つのメインのＭＣＵ１１６と、他の１つのサブのＭＣＵ１１６とが協調して実行されるソフトウェアである。ここでは、メインのＭＣＵ１１６は、ＭＣＵ１１６Ｃであり、サブのＭＣＵ１１６は、ＭＣＵ１１６Ｂである。

【0052】

ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、旧バージョンの特定ソフトウェアを、メインのＭＣＵ１１６として実行している。ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、旧バージョンの特定ソフトウェアを、サブのＭＣＵ１１６として実行している。メインのＭＣＵ１１６であるＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、特定ソフトウェアを切替えるタイミングを確認する要求を受信すると、更新条件成立判定処理を実行する（ステップＳ１２０）。

【0053】

図４は、この実施の形態の更新条件成立判定処理の流れを示すフローチャートである。図４を参照して、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、現在走行中の道路の種別が高速道路（たとえば、高速自動車国道，自動車専用道路）であるか、高速道路以外の一般道路であるか判断する（ステップＳ１２１）。現在走行中の道路が高速道路であると判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、今後、所定期間、高速道路の走行が継続する予定であるか否かを、ナビゲーションシステム１２０からの予定経路のデータを用いて判断する（ステップＳ１２２）。なお、所定期間は、ＳｏＣ１１１およびＭＣＵ１１６Ａ～１１６Ｃの特定ソフトウェアの更新に要する期間以上の期間である。特定ソフトウェアの更新に要する期間は、実機またはシミュレーションで予め特定される。予め特定された特定ソフトウェアの更新の要する期間に基づいて、所定期間が予め定められる。

【0054】

所定期間、高速道路の走行が継続する（ステップＳ１２２でＹＥＳ）と判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、今後、所定期間、走行計画が変更される予定が無いか否かを判断する（ステップＳ１２３）。たとえば、ナビゲーションシステム１２０において走行計画を変更するための処理が、現在、開始されていない場合、走行計画が、所定期間、変更される予定が無いと判断される。

【0055】

所定期間、走行計画が変更される予定が無い（ステップＳ１２３でＹＥＳ）と判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、今後、所定期間、車両１００から所定距離以内に他車両が無い見込みであるか否かを判断する（ステップＳ１２４）。たとえば、車両１００の各種センサ１３０からの情報を用いて特定された、周辺の他車両の位置、近付いてくる速度、および、離れていく速度などを用いて、所定期間、車両１００から所定距離以内に他車両が無い見込みであるか否かが判断される。

【0056】

一方、ステップＳ１２１において現在走行中の道路が一般道路であると判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、赤信号で停車している状況、または、踏切の手前で停車している状況で、今後、所定期間、車両１００が停車する予定であるか否かを判断する（ステップＳ１２５）。たとえば、信号または踏切が通行可能な状態になるまでの期間は、ナビゲーションシステム１２０で取得される道路交通情報に基づいて特定されたり、信号または踏切のシステムと通信することによって特定されたりする。

【0057】

所定期間、車両１００から所定距離以内に他車両が無い見込みである（ステップＳ１２４でＹＥＳ）と判断した場合、または、所定期間、車両１００が停車する予定である（ステップＳ１２５でＹＥＳ）と判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、特定ソフトウェアの更新を許可する（ステップＳ１２６）。その後、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、実行する処理をこの更新条件成立判定処理の呼出元の処理に戻す。

【0058】

所定期間が経過するまで、高速道路の走行が継続しない（ステップＳ１２２でＮＯ）と判断した場合、所定期間が経過するまでに、走行計画が変更される予定が有る（ステップＳ１２３でＮＯ）と判断した場合、所定期間が経過するまでに、車両１００から所定距離以内に他車両が入ってくる見込みがある（ステップＳ１２４でＮＯ）と判断した場合、または、所定期間が経過するまでに、車両１００が停車から走行を開始する予定である（ステップＳ１２５でＮＯ）と判断した場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、特定ソフトウェアの更新を禁止する（ステップＳ１２７）。その後、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、実行する処理をこの更新条件成立判定処理の呼出元の処理に戻す。

【0059】

図２に戻って、図４のステップＳ１２６で特定ソフトウェアの更新が許可された場合、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、ＯＴＡでの特定ソフトウェアの更新における制御面の切替が可能である旨の情報をＳｏＣ１１１に送信する（ステップＳ１３１）。制御面の切替とは、アクティブ面と書込み面とを切替えることをいう。

【0060】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＳｏＣ１１１の制御面を切替えるためのリセットの開始前である旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１３２）。これに応じて、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵは、ＳｏＣ１１１の関連の通信の異常を検出しないように、このような通信の処理にマスクを掛ける（ステップＳ１３３）。ＭＣＵ１１６Ａ～１１６Ｃは、このような通信の処理以外の制御を継続するフラグをオンにする（ステップＳ１３４）。ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵは、準備が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１３５）。

【0061】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＳｏＣ１１１の制御面を切替えるためのリセットを開始する旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信し（ステップＳ１３６）、制御面を切替えるためのリセットを実行する（ステップＳ１３７）。リセット後、ＳｏＣ１１１が再起動されると、書込み面がアクティブ面に切替えられる。ＳｏＣ１１１のＣＰＵ１１２は、制御面を切替えるためのリセットが完了すると、完了した旨の情報をＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１３８）。

【0062】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ａの制御面を切替えるためのリセットの開始前である旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１４２）。これに応じて、ＳｏＣ１１１、ＭＣＵ１１６Ｂ，１１６Ｃおよび他ＥＣＵは、ＭＣＵ１１６Ａの関連の通信の異常を検出しないように、このような通信の処理にマスクを掛ける（ステップＳ１４３）。ＭＣＵ１１６Ｂ，１１６Ｃは、このような通信の処理以外の制御を継続するフラグをオンにする（ステップＳ１４４）。ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵは、準備が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１４５）。

【0063】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ａの制御面を切替えるためのリセットを開始する旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１４６）。ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、制御面を切替えるためのリセットを実行する（ステップＳ１４７）。リセット後、ＭＣＵ１１６Ａが再起動されると、書込み面がアクティブ面に切替えられる。ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、制御面を切替えるためのリセットが完了すると、完了した旨の情報をＳｏＣ１１１、ＭＣＵ１１６Ｂ，１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１４８）。その後、ＳｏＣ１１１のＣＰＵ１１２、ＭＣＵ１１６ＡのＣＰＵ１１７Ａ、および、他ＥＣＵは、互いに、それぞれの特定ソフトウェアのバージョンが整合しているかのチェックを実行する（ステップＳ１４９）。

【0064】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ａの更新後の特定ソフトウェアで用いられる現在の自動運転のルートを保存するための要求を、ＭＣＵ１１６Ａに送信する（ステップＳ１５１）。ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、更新後の特定ソフトウェアで用いられる現在の自動運転のルートを保存する（ステップＳ１５２）。ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、更新後の特定ソフトウェアで用いられる現在の自動運転のルートが保存されたことの確認が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１５３）。

【0065】

図３に進んで、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ｂの制御面を切替えるためのリセットの開始前である旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１６２）。これに応じて、ＳｏＣ１１１のＣＰＵ１１２、ＭＣＵ１１６Ａ，１１６ＣのＣＰＵ１１７Ａ，１１７Ｃおよび他ＥＣＵは、ＭＣＵ１１６Ｂの関連の通信の異常を検出しないように、このような通信の処理にマスクを掛ける（ステップＳ１６３）。ＳｏＣ１１１のＣＰＵ１１２およびＭＣＵ１１６Ａ，１１６ＣのＣＰＵ１１７Ａ，１１７Ｃは、このような通信の処理以外の制御を継続するフラグをオンにする（ステップＳ１６４）。ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃおよび他ＥＣＵは、準備が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１６５）。

【0066】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ｂの制御面を切替えるためのリセットを開始する旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１６６）。ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、制御面を切替えるためのリセットを実行する（ステップＳ１６７）。これにより、ＭＣＵ１１６Ｂが実行していた更新前の特定ソフトウェアのサブのＭＣＵ１１６としての動作が終了する。これに伴い、ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、特定ソフトウェアを実行するサブのＭＣＵ１１６Ｂが動作しなくなったことを検出して、特定ソフトウェアのサブのＭＣＵ１１６としての動作を開始する。リセット後、ＭＣＵ１１６Ｂが再起動されると、書込み面がアクティブ面に切替えられる。ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、制御面を切替えるためのリセットが完了すると、完了した旨の情報をＳｏＣ１１１、ＭＣＵ１１６Ａ，１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１６８）。その後、ＳｏＣ１１１のＣＰＵ１１２、ＭＣＵ１１６Ａ，１１６ＢのＣＰＵ１１７Ａ，１１７Ｂ、および、他ＥＣＵは、互いに、それぞれの特定ソフトウェアのバージョンが整合しているかのチェックを実行する（ステップＳ１６９）。

【0067】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ｂの更新後の特定ソフトウェアで用いられる現在の自動運転のルートを保存するための要求を、ＭＣＵ１１６Ｂに送信する（ステップＳ１７１）。ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、更新後の特定ソフトウェアで用いられる現在の自動運転のルートを保存する（ステップＳ１７２）。ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、更新後の特定ソフトウェアで用いられる現在の自動運転のルートが保存されたことの確認が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１７３）。

【0068】

次に、ＳｏＣ１１１のＣＰＵ１１２は、特定ソフトウェアを実行するメインのＭＣＵ１１６を、ＭＣＵ１１６ＣからＭＣＵ１１６Ａに切替える要求を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１７４）。ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃおよび他ＥＣＵは、特定ソフトウェアを実行するメインのＭＣＵ１１６をＭＣＵ１１６Ａとするための設定が完了した旨の情報を、ＳｏＣ１１１に送信する（ステップＳ１７５）。その後、ＭＣＵ１１６ＡのＣＰＵ１１７Ａは、更新後の特定ソフトウェアを実行するメインのＭＣＵ１１６としての動作を開始する。また、ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、更新後の特定ソフトウェアを実行するサブのＭＣＵ１１６としての動作を開始する。

【0069】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ｃの制御面を切替えるためのリセットの開始前である旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１８２）。これに応じて、ＳｏＣ１１１のＣＰＵ１１２、ＭＣＵ１１６Ａ，１１６ＢのＣＰＵ１１７Ａ，１１７Ｂおよび他ＥＣＵは、ＭＣＵ１１６Ｃの関連の通信の異常を検出しないように、このような通信の処理にマスクを掛ける（ステップＳ１８３）。ＳｏＣ１１１のＣＰＵ１１２およびＭＣＵ１１６Ａ，１１６ＢのＣＰＵ１１７Ａ，１１７Ｂは、このような通信の処理以外の制御を継続するフラグをオンにする（ステップＳ１８４）。ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃおよび他ＥＣＵは、準備が完了した旨の情報をＳｏＣ１１１に送信する（ステップＳ１８５）。

【0070】

次に、ＳｏＣ１１１のＣＰＵ１１２は、ＭＣＵ１１６Ｃの制御面を切替えるためのリセットを開始する旨の情報を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１８６）。ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、制御面を切替えるためのリセットを実行する（ステップＳ１８７）。リセット後、ＭＣＵ１１６Ｃが再起動されると、書込み面がアクティブ面に切替えられる。ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、制御面を切替えるためのリセットが完了すると、完了した旨の情報をＳｏＣ１１１、ＭＣＵ１１６Ａ，１１６Ｂおよび他ＥＣＵに送信する（ステップＳ１８８）。その後、ＳｏＣ１１１のＣＰＵ１１２、ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃ、および、他ＥＣＵは、互いに、それぞれの特定ソフトウェアのバージョンが整合しているかのチェックを実行する（ステップＳ１８９）。

【0071】

次に、ＳｏＣ１１１のＣＰＵ１１２は、特定ソフトウェアを実行するメインのＭＣＵ１１６を、ＭＣＵ１１６ＡからＭＣＵ１１６Ｃに切替える要求を、ＭＣＵ１１６Ａ～１１６Ｃおよび他ＥＣＵに送信する（ステップＳ１９４）。ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃおよび他ＥＣＵは、特定ソフトウェアを実行するメインのＭＣＵ１１６をＭＣＵ１１６Ｃとするための設定が完了した旨の情報を、ＳｏＣ１１１に送信する（ステップＳ１９５）。その後、ＭＣＵ１１６ＣのＣＰＵ１１７Ｃは、更新後の特定ソフトウェアを実行するメインのＭＣＵ１１６としての動作を開始する。また、ＭＣＵ１１６ＢのＣＰＵ１１７Ｂは、更新後の特定ソフトウェアを実行するサブのＭＣＵ１１６としての動作を継続する。

【0072】

［変形例］
（１） 前述した実施の形態においては、ＯＴＡでソフトウェアを更新可能な制御システムが自動運転ＥＣＵ１１０であることとしたが、これに限定されず、車両１００における他の制御システム、たとえば、駆動制御ＥＣＵであってもよいし、ＡＤＡＳ機能の処理を実行するＥＣＵであってもよい。

【0073】

（２） 前述した実施の形態においては、特定処理が、車両１００の自動運転のための処理であることとした。しかし、これに限定されず、特定処理は、車両１００の自動駐車のための処理であってもよいし、ＡＤＡＳによる運転支援のための処理であってもよい。

【0074】

（３） 前述した実施の形態においては、制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶する記憶部と、記憶部に記憶された特定ソフトウェアを実行して特定処理を実行する制御部とを備える複数の特定制御装置が、自動運転ＥＣＵ１１０に含まれるＭＣＵ１１６Ａ～１１６Ｃであることとしたが、これに限定されず、車両１００における他の制御装置、たとえば、他のＥＣＵに含まれる他のＭＣＵの組であってもよい。

【0075】

（４） 前述した実施の形態においては、特定制御装置であるＭＣＵ１１６Ａ～１１６Ｃが、３つの組であることとした。しかし、これに限定されず、特定制御装置は、２つの組であってもよいし、４つ以上の組であってもよい。

【0076】

（５） 前述した実施の形態においては、特定処理を実行する特定制御装置を切替える切替制御装置が、自動運転ＥＣＵ１１０に含まれるＳｏＣ１１１であることとしたが、これに限定されず、車両１００における他の制御装置、たとえば、ソフトウェアの更新制御の専用のＥＣＵに含まれるＳｏＣであってもよい。

【0077】

（６） 前述した実施の形態においては、メモリ１１８Ａ～１１８Ｃにデュアルバンクのフラッシュメモリが含まれ、現在の実行対象の特定ソフトウェアが記憶されている一方の記憶領域（一方のバンク、アクティブ面）を、更新された特定ソフトウェアが記憶されている他方の記憶領域（他方のバンク、書込み面）に切替えることで、特定ソフトウェアが更新されるようにした。しかし、これに限定されず、メモリ１１８Ａ～１１８Ｃにシングルバンクのフラッシュメモリが含まれ、現在の実行対象の特定ソフトウェアが記憶されている記憶領域の特定ソフトウェアが、更新後の特定ソフトウェアに書替えられることで、特定ソフトウェアが更新されるようにしてもよい。

【0078】

（７） 前述した実施の形態においては、図２および図３で示したように、特定ソフトウェアの更新において、途中で中断される場合は示していない。しかし、これに限定されず、特定ソフトウェアの更新において、途中においても図４で示した更新条件成立判定処理を実行するようにして、途中において更新条件が成立しなくなった場合に、ＭＣＵ１１６Ａ～１１６Ｃの特定ソフトウェアを更新前の特定ソフトウェアに戻すようにしてもよい。また、途中において更新エラーが発生した場合に、ＭＣＵ１１６Ａ～１１６Ｃの特定ソフトウェアを更新前の特定ソフトウェアに戻すようにしてもよい。

【0079】

（８） 前述した実施の形態を、無線通信でソフトウェアを更新可能な制御システムの開示と捉えることができ、無線通信でソフトウェアを更新可能な制御システムにおける更新制御方法の開示と捉えることができ、無線通信でソフトウェアを更新可能な制御システムにおいて実行される更新制御プログラムの開示と捉えることができる。

【0080】

［まとめ］
（１） 図１で示したように、自動運転ＥＣＵ１１０は、ＯＴＡでソフトウェアを更新可能な制御システムであって、制御対象を制御する特定処理を実行するための特定ソフトウェアを記憶するメモリ１１８Ａ～１１８Ｃと、メモリ１１８Ａ～１１８Ｃに記憶された特定ソフトウェアを実行して特定処理を実行するＣＰＵ１１７Ａ～１１７Ｃとを備える複数のＭＣＵ１１６Ａ～１１６Ｃと、特定処理を実行するＭＣＵ１１６Ａ～１１６Ｃを切替えるＳｏＣ１１１とを含む。図２および図３で示したように、ＳｏＣ１１１は、複数のＭＣＵ１１６Ａ～１１６Ｃのうち特定処理を実行しているＭＣＵ１１６のメモリ１１８に記憶されている特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行するＭＣＵ１１６を他のＭＣＵ１１６に切替える（たとえば、ステップＳ１７５）。ＭＣＵ１１６のＣＰＵ１１７は、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、メモリ１１８に記憶されている特定ソフトウェアを更新する（たとえば、ステップＳ１８７）。

【0081】

これにより、制御対象を制御する特定処理を実行しているＭＣＵ１１６の特定ソフトウェアを更新する場合に、更新を開始する前に、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられ、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、特定ソフトウェアが更新される。その結果、自動運転ＥＣＵ１１０のソフトウェアの更新を行うときに自動運転ＥＣＵ１１０における制御への影響を抑制することができる。

【0082】

（２） 図１で示したように、ＭＣＵ１１６Ａ～１１６Ｃは、３つ以上であり、他のＭＣＵ１１６と協調して特定処理を実行する。図２および図３で示したように、ＳｏＣ１１１は、特定処理を実行している複数のＭＣＵ１１６Ａ～１１６Ｃのメモリ１１８Ａ～１１８Ｃに記憶されている特定ソフトウェアのいずれかを更新するときに、特定処理を実行するＭＣＵ１１６を、特定処理を実行していない他のＭＣＵ１１６に切替える。

【0083】

これにより、ＭＣＵ１１６が他のＭＣＵ１１６と協調して特定処理を実行するような冗長構成が必要な場合であっても、冗長構成を維持しながら、制御システムにおける制御への影響を抑制しつつ、ＭＣＵ１１６のソフトウェアを更新することができる。

【0084】

（３） ＭＣＵ１１６Ａ～１１６ＣのＣＰＵ１１７Ａ～１１７Ｃは、メモリ１１８Ａ～１１８Ｃに記憶されている特定ソフトウェアの更新前後で特定処理に互換性があるか否かを判断し、互換性がないと判断した場合、いずれのＭＣＵ１１６Ａ～１１６Ｃにおいても特定処理が実行されていないときに、特定ソフトウェアを更新するようにしてもよい。図２および図３で示したように、互換性があると判断した場合、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、特定ソフトウェアを更新する。

【0085】

これにより、特定ソフトウェアの更新前後で特定処理に互換性がない場合は、いずれのＭＣＵ１１６においても特定処理が実行されていないときに、特定ソフトウェアが更新され、互換性がある場合は、特定処理を実行するＭＣＵ１１６が他のＭＣＵ１１６に切替えられているときに、特定ソフトウェアが更新される。このため、特定処理が実行されている状況において、互換性がない特定ソフトウェアの実行による特定処理と、互換性がある特定ソフトウェアの実行による特定処理とが混在しないようにすることができる。その結果、互換性がないことにより特定処理が正常に動作しなくなることを防止できる。

【0086】

（４） 図１で示したように、自動運転ＥＣＵ１１０は、車両１００に搭載される。図４で示したように、所定条件は、特定ソフトウェアを更新可能な車両１００の走行状況が、特定ソフトウェアの更新に要する所定期間以上、継続する走行状況であることを示す条件である。図２から図４で示したように、ＭＣＵ１１６のＣＰＵ１１７は、所定条件が成立しているか否かを判断し、所定条件が成立している場合に、特定ソフトウェアを更新する。

【0087】

これにより、特定ソフトウェアを更新可能な車両１００の走行状況が、特定ソフトウェアの更新に要する所定期間以上、継続する走行状況であることを示す所定条件が成立している場合に、特定ソフトウェアが更新される。その結果、特定処理がいずれかのＭＣＵ１１６で実行中であっても、適切なタイミングでＭＣＵ１１６の特定ソフトウェアを更新することができる。

【0088】

（５） 図４で示したように、所定条件は、所定期間、車両１００が高速道路を走行している状況が継続し、かつ、所定期間、車両１００の走行計画に変更が無い状況が継続し、かつ、所定期間、車両１００から所定距離以内に他車両が存在しない状況が継続するとの条件である。

【0089】

（６） 図４で示したように、所定条件は、所定期間、車両１００が一般道路を走行している状況が継続し、かつ、所定期間、車両１００が停車している状況が継続するとの条件である。

【0090】

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0091】

１００ 車両、１１０ 自動運転ＥＣＵ、１１１ ＳｏＣ、１１２，１１７，１１７Ａ～１１７Ｃ ＣＰＵ、１１３，１１８，１１８Ａ～１１８Ｃ，２２０ メモリ、１１６，１１６Ａ～１１６Ｃ ＭＣＵ、１２０ ナビゲーションシステム、１３０ 各種センサ、１４０ パワートレーンシステム、１５０ ステアリングシステム、１６０ ブレーキシステム、１８０，９００ 通信ネットワーク、２００ 更新サーバ、２１０ プロセッサ、２３０ 入力部、２４０ 出力部、２６０ 補助記憶装置、２９０ 通信部。

【図1】

【図2】

【図3】

【図4】