此应用程序的某些内容目前无法使用。
如果这种情况持续存在,请联系我们反馈与联系
1. (WO2018139296) VEHICLE CONTROL DEVICE AND PROGRAM UPDATING SYSTEM
Document

明 細 書

発明の名称 車両制御装置およびプログラム更新システム

技術分野

0001  

背景技術

0002   0003   0004   0005   0006  

先行技術文献

特許文献

0007  

発明の概要

発明が解決しようとする課題

0008   0009  

課題を解決するための手段

0010  

図面の簡単な説明

0011  

発明を実施するための形態

0012   0013   0014   0015   0016   0017   0018   0019   0020   0021   0022   0023   0024   0025   0026   0027   0028   0029   0030   0031   0032   0033   0034   0035   0036   0037   0038   0039   0040   0041   0042   0043   0044   0045   0046   0047   0048   0049   0050   0051   0052   0053   0054   0055   0056   0057   0058   0059   0060   0061   0062   0063   0064   0065   0066   0067   0068   0069   0070   0071   0072   0073   0074   0075   0076   0077   0078   0079   0080   0081   0082   0083   0084   0085   0086   0087   0088   0089   0090   0091  

符号の説明

0092  

請求の範囲

1   2   3   4   5   6   7   8   9   10   11   12   13   14  

図面

1   2   3   4   5   6   7   8   9   10   11   12   13   14   15   16   17   18  

明 細 書

発明の名称 : 車両制御装置およびプログラム更新システム

技術分野

[0001]
 本発明は、車両制御装置およびプログラム更新システムに関するものである。

背景技術

[0002]
 車両制御装置は、車両を制御する動作を実装した制御プログラムを実行する演算部(例えばマイクロコンピュータ)、およびこの演算部に実行される制御プログラムを格納するFlashROM(Read Only Memory)などの書き換え可能な不揮発メモリを備える。
[0003]
 従来、車両制御装置の制御プログラムの更新は、販売店や整備工場などに持ち込まれた車両に専門の整備員がプログラム書込装置を接続して行うことが多かった。しかし、車両が無線通信によりインターネットに常時接続する、いわゆる「コネクティッド・ビークル」の急速な普及により、カーナビゲーションシステムにおける機能追加や地図データなどの更新と同様に、車両の制御プログラムについても、無線通信を介してユーザ自身で更新を行うことが想定されるようになってきた。
[0004]
 その一方で、車両制御装置の制御プログラムの更新時に何らかの要因(通信の途絶、ハードウェア異常発生など)で新バージョンの制御プログラムの書き込みが失敗してしまった場合には、新バージョンの制御プログラムはもちろんのこと、旧バージョンの制御プログラムも使用不能あるいは機能不全を来たすことととなり、最悪の場合、車両を動かせなくなるおそれがある。
[0005]
 そこで、例えば下記特許文献1に開示された自動車用制御ユニットでは、現行の制御プログラムを格納する主格納エリアと、更新用の新バージョンの制御プログラムを格納する副格納エリアとをFlashROMに設け、制御プログラムの更新の際、各エリアに交互に書き込みを行うことにより、新バージョンの制御プログラムの書き込みに失敗しても、旧バージョンの制御プログラムは引き続き使用可能となるようにしている。
[0006]
 この自動車制御用ユニットは、更新後の制御プログラムを実行する際、バージョンの異なるプログラムが格納されたそれぞれの格納エリアにアクセスして、各制御プログラムに付与されているバージョン情報を読み出して比較し、新しいバージョンとして識別された方を現行の制御プログラムとして実行する。

先行技術文献

特許文献

[0007]
特許文献1 : 特開2006-301960号公報

発明の概要

発明が解決しようとする課題

[0008]
 上述した自動車制御ユニットのように、格納エリアに格納されたバージョンの異なる2つの制御プログラムのうちのより新しいバージョンを現行の制御プログラムとして実行する構成においては、どちらの格納エリアに現行の制御プログラムが格納されているか判断する必要がある。制御プログラムの更新の際にも同様である。そのため、どちらの格納エリアに現行の制御プログラムが格納されているかの判断に用いる情報は重要である。
[0009]
 そこで、本発明は、不揮発メモリに格納した複数の制御プログラムの実行及び更新を適切に行うことを目的とする。

課題を解決するための手段

[0010]
 本発明の一実施形態に係る車両制御装置は、書き換え可能な不揮発メモリと、演算部とを有し、前記不揮発メモリが、前記演算部が実行可能な制御プログラムを格納する第1の記憶領域及び第2の記憶領域と、前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第1の記憶領域及び前記第2の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有する。

図面の簡単な説明

[0011]
[図1] 本発明の一実施形態に係る車両制御装置を備えたプログラム更新システムの構成図である。
[図2] 車両が有する車載ネットワークシステムの構成図である。
[図3] 車両制御装置の機能ブロック図である。
[図4] 管理データエリアの配置例を示す図である。
[図5] 管理データエリアの他の配置例を示す図である。
[図6] 更新パッケージを車両にダウンロードする処理の一例を示すシーケンス図である。
[図7] 更新パッケージの構成例を示す図である。
[図8] 車両制御装置が制御プログラムを更新する処理の一例を示すシーケンス図である。
[図9] 車両制御装置によって実行される、現行プログラムエリア情報を取得する処理の一例を示すフローチャートである。
[図10] 多数決判定処理の一例を示すフローチャートである。
[図11] 有効性判定処理の一例を示すフローチャートである。
[図12] 車両制御装置がゲートウェイに現行プログラムエリア情報を送信するための応答メッセージの構成例である。
[図13] ゲートウェイによって実行される、リプログラミングを開始するか判定する処理の一例を示すフローチャートである。
[図14] ゲートウェイによって実行される、車両制御装置にプログラムエリア切替え要求を行う処理の一例を示すフローチャートである。
[図15] プログラムエリア切替え要求のコマンド例である。
[図16] 車両制御装置がプログラムエリア切替えを行う処理の一例を示すフローチャートである。
[図17] 車両制御装置において実行される、制御プログラムを起動する処理の一例を示すフローチャートである。
[図18] 現行プログラムエリア情報を含む複数の情報を有する管理データの構成例を示す図である。

発明を実施するための形態

[0012]
 以下に、本発明の一実施形態に係るプログラム更新システムについて、各図を参照して説明する。
[0013]
 図1は、本発明の一実施形態に係るプログラム更新システムの構成図である。このプログラム更新システムは、車両1、サーバ2、インターネット回線3、無線基地局4を備える。車両1は、インターネット回線3および無線基地局4を介し、無線通信によりサーバ2と接続し、相互に通信する。無線通信は、例えば、3G/LTEなどの公衆回線による携帯電話網やWiFiなどの回線を用いて実現される。サーバ2は、車両1が有する車両制御装置11の制御プログラムの更新に必要な更新パッケージ5を、車両1に対して配信する。車両1の車両制御装置11は、その更新パッケージ5を用いて制御プログラムの更新を行う。
[0014]
 図2は、車両1に搭載された車載ネットワークシステムの構成図である。車両制御装置11は、車両1の動作を制御する制御プログラムを実行する装置であり、車載ネットワーク13(例えばCAN(Car Area Network))を介してゲートウェイ12と接続されている。車両制御装置11は、ゲートウェイ12を介して他の車両制御装置11と通信することができる。
[0015]
 また、ゲートウェイ12は、車両制御装置11の制御プログラムの更新を制御するプログラム書込装置としての役割も有する。ゲートウェイ12は、サーバ2から更新パッケージ5を受信し、車両制御装置11に対して制御プログラムの更新命令(リプログラミング命令)および更新用の制御プログラムを送信する。ゲートウェイ12とは別に、プログラム書込装置を設けてもよい。
[0016]
 ゲートウェイ12は、演算部121、FlashROM(Read Only Memory)122、SRAM(Static Random Access Memory)123、CANトランシーバおよび無線通信モジュールを含む通信装置124を有している。演算部121は、FlashROM122に格納されたプログラムを実行することにより、車載ネットワーク13上の車両制御装置11やサーバ2との間で通信を行う。また、車両制御装置11の制御プログラムの更新時に、ゲートウェイ12は、サーバ2から更新パッケージ5を受信してFlashROM122に一時的に格納し、一時的に格納したこの更新パッケージ5を用いて車両制御装置11の制御プログラムの更新を行う。
[0017]
 また、HMI(Human-Machine Interface)14は、例えば、車両1のダッシュボート中央に埋め込まれた各種表示用の液晶ディスプレイ装置、その近傍に配置された操作スイッチ類および車載スピーカなどで構成されている。HMI14は、車両1の乗員に対して各種表示を行ったり、各種入力操作を処理したりする。また、HMI14は、車両制御装置11の制御プログラムの更新に係る表示や操作入力が行われる。
[0018]
 図3は、車両制御装置11の機能ブロック図である。車両制御装置11は、演算部111、FlashROM112、SRAM113、通信装置114(例えばCANトランシーバ)を備える。
[0019]
 演算部111は、FlashROM112が格納している制御プログラムを実行する、例えばマイクロコンピュータなどの演算装置である。以下では記載の便宜上、各プログラムを動作主体として説明する場合があるが、実際にこれらプログラムを実行するのは演算部111である。
[0020]
 FlashROM112は、書き換え可能な不揮発メモリであって、起動プログラム1121、書換プログラム1122、多数決判定プログラム1126、有効性判定プログラム1127を格納している。さらにFlashROM112は、第1の記憶領域としての第1エリア1124と、第2の記憶領域としての第2エリア1125と、複数の管理データ格納領域としての複数の管理データエリア1123a、1123b、1123cと、を有する。
[0021]
 第1エリア1124は、演算部111が実行可能な制御プログラムを格納する記憶領域である。第2エリア1125は、演算部111が実行可能でかつ第1エリア1124に格納された制御プログラムと異なるバージョンの制御プログラムを格納する記憶領域である。複数の管理データエリア1123a、1123b、1123cは、演算部111に実行されるべき現行の制御プログラムを格納している記憶領域として第1エリア1124および第2エリア1125のうちの一方の記憶領域を表す現行プログラムエリア情報を含む管理データを格納する記憶領域である。
[0022]
 起動プログラム1121は、車両制御装置11が通常モードで起動したとき演算部111が最初に実行するプログラムである。
[0023]
 書換プログラム1122は、車両制御装置11がリプログラミングモード(以下、「リプロモード」という。)に遷移したとき演算部111が実行するプログラムである。演算部111は、書換プログラム1122を実行すると、ゲートウェイ12からの要求にしたがって、第1エリア1124および第2エリア1125のうちの一方のエリアに格納されている現行の制御プログラムをそのまま残し、他方のエリアに格納されている現行の制御プログラムでない旧バージョンの制御プログラムまたは空データを更新用の新バージョンの制御プログラム(以下、単に「新制御プログラム」という。)に書換える。本実施形態では、一例として、更新前の状態において、第1エリア1124に現行の制御プログラムP1が格納されており、第2エリア1125に旧バージョンの制御プログラムまたは空データが格納されているものとする。
[0024]
 多数決判定プログラム1126および有効性判定プログラム1127については後述する。
[0025]
 図4は、管理データエリア1123a、1123b、1123cの配置例を示す図である。管理データエリア1123a、1123b、1123cは、FlashROM112の消去および書込みの単位ブロックである物理ブロックの1つにまとめて配置されている。管理データエリア1123a、1123b、1123cは、同一内容の管理データ1、2、3を格納するように構成されている。本実施形態では、管理データエリア1123a、1123b、1123cは、同一内容の管理データ1、2、3を格納する。管理データ1、2、3は、それぞれに現行プログラムエリア情報を含んでいる。
[0026]
 現行プログラムエリア情報は、第1エリア1124および第2エリア1125のどちらが現行の制御プログラムを格納しているかを表すフラグである。
[0027]
 図5は、管理データエリア1123a、1123b、1123cの他の配置例を示す図である。管理データエリア1123a、1123b、1123cは、FlashROM112の異なる物理ブロックに一つずつ分散して配置されている。このようにすることで、特定の物理ブロックでの書込みエラー等により、すべての管理データを失う可能性を低くすることができる。
[0028]
 図6は、更新パッケージ5をサーバ2からゲートウェイ12にダウンロードする処理の一例を示すシーケンス図である。
[0029]
 車両制御装置11の制御プログラムの修正が行われると、制御プログラムの更新の準備として、サーバ2への更新パッケージ5の登録が行われる。そして、車両1のイグニッションを起動したタイミングで、ゲートウェイ12は、車両制御装置11に対して、現行の制御プログラムの部品番号を要求する部品番号要求メッセージM601を送信する。車両制御装置11は、部品番号要求メッセージM601を受信すると、現行の制御プログラムの部品番号と現行プログラムエリア情報を含む応答メッセージM602を送信する。部品番号は、制御プログラムを識別する番号(識別番号)であり、各バージョンの制御プログラム毎に一意に付されており、現行の制御プログラムと更新用の新制御プログラムと旧バージョンの制御プログラムとは互いに異なる部品番号を持つ。
[0030]
 次に、ゲートウェイ12は、サーバ2に対して、更新パッケージ取得要求メッセージM603を送信する。更新パッケージ取得要求メッセージM603には、応答メッセージM602から取得した車両制御装置11の現行の制御プログラムの部品番号と現行プログラムエリア情報が含まれる。サーバ2は、更新パッケージ取得要求メッセージM603を受信すると、それに含まれる部品番号と現行プログラムエリア情報に基づき、登録されている更新パッケージの中から該当する更新パッケージ5を選択し、更新パッケージ取得要求メッセージM603を送信したターゲットの車両1に更新パッケージ5を含む更新パッケージ配信メッセージM604を送信する(更新パッケージの選択/配信処理S601)。
サーバ2に、現行の制御プログラムの部品番号と現行プログラムエリア情報を送信することで、サーバ2において適切な更新パッケージ5を選択することができる。なお、該当する更新パッケージ5がない場合、サーバ2はその旨を示すメッセージをゲートウェイ12に送信し、ゲートウェイ12および車両制御装置11は更新処理を行わずに通常通り起動する。
[0031]
 ゲートウェイ12は、配信された更新パッケージ5をFlashROM122に蓄積し、更新パッケージ5の全データの蓄積が完了すると、サーバ2に対して受信完了メッセージM605を送信する(更新パッケージ蓄積処理S602)。この後、ゲートウェイ12は、受信した更新パッケージ5に基づき、車両制御装置11の制御プログラムの更新を実行する。
[0032]
 図7は、ゲートウェイ12がサーバ2から取得する更新パッケージ5の構成例である。
更新パッケージ5は、更新制御情報51と更新データ52から成る。
[0033]
 更新制御情報51は、現行の制御プログラムの部品番号511、新制御プログラムの部品番号512、現行の制御プログラムの格納エリア情報513、新制御プログラムの格納先エリア情報514、複数のFlashROMの書込みブロック情報515などの情報を含む。
[0034]
 現行の制御プログラムの格納エリア情報513は、車両制御装置11の現行の制御プログラムが第1エリア1124および第2エリア1125のどちらのエリアに格納されているかを表す情報である。新制御プログラムの格納先エリア情報514は、本更新で新制御プログラムを書込む先のエリアを示す情報である。本実施形態では、更新前の状態において、現行の制御プログラムの格納エリア情報513「第1エリア1124」が格納され、新制御プログラムの格納先エリア情報514に「第2エリア1125」が格納される。FlashROMの書込みブロック情報515は、FlashROMの物理ブロック毎の先頭アドレスや容量(バイト数)を示す情報である。更新パッケージ5に、現行の制御プログラムの部品番号511および現行の制御プログラムの格納エリア情報513を含めることで、ゲートウェイ12においてこれら情報を付き合わせて、要求したデータと受信したデータとの整合性をチェックできる。また、更新パッケージ5に、新制御プログラムの部品番号512および新制御プログラムの格納先エリア情報514を含めることで、次回更新時の上記整合性チェックに用いることができる。
[0035]
 更新データ52は、更新用の新制御プログラムである更新データ521を含む。更新データ52は、新制御プログラムそのものに限らず、例えば、新制御プログラムを圧縮処理したデータや、現行の制御プログラムと新制御プログラムとの差分データなどであってもよい。
[0036]
 図8は、車両制御装置11が制御プログラムを更新する処理の一例を示すシーケンス図である。図8にしたがって、本実施形態における更新シーケンスについて以下に説明する。
[0037]
 ゲートウェイ12は、制御プログラムの更新を開始(リプロ開始)すると、最初に車両制御装置11に対して現行プログラム情報要求メッセージM801を送信して現行の制御プログラムに関する情報を要求する。車両制御装置11は、現行プログラム情報要求メッセージM801を受信すると、現行の制御プログラムに関する情報を取得して、結果を情報応答メッセージM802に含めてゲートウェイ12に送信する(現行プログラム情報取得処理S801)。ここで取得する現行の制御プログラムに関する情報は、現行の制御プログラムの部品番号と現行プログラムエリア情報である。現行プログラムエリア情報は、複数の管理データエリア1123a、1123b、1123cに格納されているが、それを取得する現行プログラム情報取得処理S801については後述する。
[0038]
 ゲートウェイ12は、受信した情報応答メッセージM802に含まれる現行の制御プログラムの部品番号および現行プログラムエリア情報とゲートウェイ12自身が持つ現行の制御プログラムの部品番号および現行プログラムエリア情報とを比較して、制御プログラムの更新開始の判定を行う(リプロ開始判定処理S802)。リプロ開始判定処理S802については後述する。比較結果が一致であれば、ゲートウェイ12は、車両制御装置11に対してモード遷移要求メッセージMmodeを送信し、車両制御装置11を通常モードからリプロモードに遷移させる。リプロモードに遷移すると、車両制御装置11の演算部111は、書換プログラム1122を実行する。これにより車両制御装置11およびゲートウェイ12は、プログラム更新処理を開始する。比較結果が不一致であれば、プログラム更新処理を開始しない。
[0039]
 プログラム更新処理では、ゲートウェイ12は、車両制御装置11に対して、書込み先エリアに更新用の新制御プログラムを書き込むよう更新プログラム書込メッセージM803を送信する。この更新プログラム書込メッセージM803には、更新パッケージ5の更新データ521(更新用の新制御プログラム)および新制御プログラムの格納先エリア情報514が含まれている。リプロモードにある車両制御装置11は、ゲートウェイ12から更新プログラム書込メッセージM803を受信すると、第1エリア1124および第2エリア1125のうちの新制御プログラムの格納先エリア情報514に示されるエリアに更新データ521を書き込む(書込み処理S803)。この書き込みの際に、車両制御装置11は、管理データエリア1123a、1123b、1123cから取得した現行プログラムエリア情報に示されるエリアと、新制御プログラムの格納先エリア情報514に示されるエリアとが異なる(すなわち現行の制御プログラムを格納しているエリアとは異なるエリアに対して新制御プログラムの書き込みを行う)ことを確認してから、更新データ521を書き込むようにしてもよい。車両制御装置11は、更新データ521の書き込みがすべて完了するとゲートウェイ12に対して書込完了応答メッセージM804を送信する。
[0040]
 ゲートウェイ12は、車両制御装置11に対して、書き込んだデータの正当性をチェックするようデータ正当性チェックメッセージM805を送信する。車両制御装置11は、データ正当性チェックメッセージM805を受信すると、書き込んだ更新用の新制御プログラムの正当性をチェックする(データ正当性チェック処理S804)。データの正当性チェックでは、書き込まれた新制御プログラムのデータに誤りがないか(更新データが正しく書き込まれたか)を検証する。具体的には、チェックサムやCRC(Cyclic Redundancy Check)、ハッシュ値を用いた誤り検出手段によってこれを実施する。車両制御装置11は、データの正当性が確認されると、ゲートウェイ12にデータ正当応答メッセージM806を送信する。
[0041]
 データの正当性が確認されると、ゲートウェイ12は、現行の制御プログラムが格納されているエリアとして第1エリア1124および第2エリア1125のうちの一方のエリアから他方のエリアへの切替え可否を判定する(現行プログラムエリア切替え判定処理S805)。現行プログラムエリア切替え判定処理S805については後述する。切替え可能と判定した場合、車両制御装置11に現行プログラムエリア切替え要求メッセージM807を送信する。車両制御装置11は、現行プログラムエリア切替え要求メッセージM807を受信すると、現行の制御プログラムが格納されているエリアの切替えを行う(現行プログラムエリア切替え処理S806)。現行プログラムエリア切替え処理S806については後述する。
[0042]
 ゲートウェイ12は、車両制御装置11からエリア切替え完了応答メッセージM808を受信すると、車両制御装置11に対してモード遷移要求メッセージMmodeを送信して、車両制御装置11をリプロモードから通常モードに遷移させ、かつ、車両制御装置11をリセットさせる。リセットにより車両制御装置11は通常モードで再起動し、演算部111が起動プログラム1121を実行して、新たに書き込まれた新制御プログラムを現行の制御プログラムとして実行する。
[0043]
 図9は、現行プログラム情報取得処理S801の一例を示すフローチャートである。図9の各ステップについて以下に説明する。
[0044]
 車両制御装置11の演算部111は、ゲートウェイ12から現行プログラム情報要求メッセージM801を受信すると、本フローチャートに示す処理を開始する。
[0045]
 演算部111は、現行の制御プログラムの部品番号と管理データエリア1123a、1123b、1123cに格納される複数の現行プログラムエリア情報を読込む(S8011)。
[0046]
 次に、演算部111は、現行プログラムエリア情報の多数決判定を実施し、すべての現行プログラムエリア情報うちの過半数が一致した場合に、当該一致した現行プログラムエリア情報に示される値を正しい情報と判定する(多数決判定処理S8012、詳細は後述する)。現行プログラムエリア情報の過半数が一致した場合、続けて、演算部111は、多数決判定の結果得られたデータの有効性判定を行う(有効性判定処理S8013、詳細は後述する)。
[0047]
 有効性判定の結果が「有効」の場合、現行プログラムエリア情報に表される現行の制御プログラムの部品番号および当該現行プログラムエリア情報を含む情報応答メッセージM802をゲートウェイ12に送信(応答)する(S8014)。現行プログラムエリア情報に表される現行の制御プログラムの部品番号および当該現行プログラムエリア情報をゲートウェイ12に送信することで、ゲートウェイ12においてこれら情報を用いてサーバから更新用の新制御プログラムを取得するとともに、取得した新制御プログラムのチェックを行うことができる。
[0048]
 現行プログラムエリア情報の過半数が一致しない場合または有効性判定の結果が「有効でない」の場合は、エラー情報を含む情報応答メッセージM802をゲートウェイ12に送信(応答)する(S8015)。
[0049]
 図10は、多数決判定処理S8012の一例を示すフローチャートである。図10の各ステップについて以下に説明する。
[0050]
 演算部111は、多数決判定プログラム1126を実行することにより、本フローチャートに示す処理を開始する。
[0051]
 最初に、管理データエリア1123aの現行プログラムエリア情報(図10では「現行プログラムエリア情報#1」)と管理データエリア1123bの現行プログラムエリア情報(図10では「現行プログラムエリア情報#2」)が一致するか判定する(S80121)。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す(S80124)。一致しなかった場合は、次に管理データエリア1123bの現行プログラムエリア情報と管理データエリア1123cの現行プログラムエリア情報(図10では「現行プログラムエリア情報#3」)が一致するか判定する(S80122)。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す(S80124)。一致しなかった場合は、次に「現行プログラムエリア情報#1」と「現行プログラムエリア情報#3」が一致するか判定する(S80123)。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す(S80124)。
[0052]
 「現行プログラムエリア情報#1」、「現行プログラムエリア情報#1」および「現行プログラムエリア情報#3」のうちの少なくとも2つが一致しない場合は、一致するデータ無しとみなして、「エラー(不一致)」を返す(S80125)。
[0053]
 このように、複数の現行プログラムエリア情報のうち少なくとも過半数の一致が見られたものを正しい現行プログラムエリア情報として採用とすることで、万一、現行プログラムエリア情報の1つに、異常(データ化け)が発生しても、正しいと推測される他の現行プログラムエリア情報を用いた動作を継続することが可能となる。
[0054]
 なお、本実施形態では、3つの管理データエリア1123a、1123b、1123cを有する構成を例にとり説明したが、必ずしも3つである必要はなく、それ以上であってもよい。また、管理データエリアの数は、奇数であることが好ましいが偶数であってもよい。管理データエリアの数が偶数の場合は、例えば、複数の現行プログラムエリア情報のうち最も多く一致が見られたものを正しい現行プログラムエリア情報として採用してもよく、このような構成においても多数決と同様の作用効果が得られる。
[0055]
 図11は、有効性判定処理S8013の一例を示すフローチャートである。図11の各ステップについて以下に説明する。
[0056]
 演算部111は、有効性判定プログラム1127を実行することにより、本フローチャートに示される処理を開始する。
[0057]
 上述の多数決判定処理S8012において採用された現行プログラムエリア情報を取得する(S80131)。次に、取得した現行プログラムエリア情報が、現行の制御プログラムの格納エリアを表す情報として有効な値(現行プログラムエリア情報として取り得る値の範囲に含まれる値)か否かを判定する(S80132)。本実施形態では、第1エリア1124または第2エリア1125のいずれかを示す値となる。有効な値であれば、正しい現行プログラムエリア情報として採用し、「有効」を返す(S80133)。
[0058]
 一方、取得したデータが、有効なデータ範囲内でない場合は、範囲エラーとして、「有効でない」を返す(S80134)。本実施形態では、第1エリア1124または第2エリア1125を示す値でなかった場合を指す。
[0059]
 このように、現行プログラムエリア情報について多数決判定処理S8012に加え、当該情報自体の有効性をチェックすることで、異常な情報に基づいた処理を事前に防ぐことができる。
[0060]
 図12は、車両制御装置11がゲートウェイ12に送信する情報応答メッセージM802の構成例である。情報応答メッセージM802は、コマンドM8021、部品番号M8022、現行プログラムエリア情報M8023を有する。
[0061]
 コマンドM8021は、本メッセージが現行プログラム情報要求メッセージM801の応答であることを示す情報が格納される。部品番号M8022は、車両制御装置11の現行の制御プログラムの部品番号が格納される。現行プログラムエリア情報M8023は、車両制御装置11の現行の制御プログラムが格納されるエリアを表す情報が格納される。
部品番号M8022および現行プログラムエリア情報M8023は、上述の現行プログラム情報取得処理S801にて取得された情報が格納される。
[0062]
 図13は、ゲートウェイ12において実行されるリプロ開始判定処理S802の一例を示すフローチャートである。図13の各ステップについて以下に説明する。
[0063]
 ゲートウェイ12(具体的には演算部121)は、情報応答メッセージM802を受信すると、本フローチャートに示される処理を開始する。
[0064]
 ゲートウェイ12は、サーバ2から受信し、FlashROM122に蓄積した更新パッケージ5に含まれる現行の制御プログラムの部品番号511と車両制御装置11から受信した情報応答メッセージM802に含まれる部品番号M8022とを比較する(S8021)。これら部品番号が一致した場合、ゲートウェイ12は、更新パッケージ5に含まれる現行の制御プログラムの格納エリア情報513と車両制御装置11から受信した情報応答メッセージM802に含まれる現行プログラムエリア情報M8023とを比較する。
これらが一致する場合、ゲートウェイ12は、車両制御装置11に対してリプロモードへの遷移の命令であるモード遷移要求メッセージMmodeを送信し(S8023)、車両制御装置11を通常モードからリプロモードに遷移させ、プログラムの更新処理を開始する(S8024)。
[0065]
 ステップS8021およびS8022の比較処理において、不一致となった場合は、ゲートウェイ12は、エラーを通知するメッセージをサーバに送信し(S8025)、プログラム更新処理を中止する(開始しない)(S8026)。
[0066]
 このように、リプロモードを開始する前に、ゲートウェイ12において、車両制御装置11の現行プログラムエリア情報をチェックすることで、異常を検出することができ、誤ったプログラム更新を事前にゲートウェイ12側で防ぐことができる。
[0067]
 図14は、ゲートウェイ12において実行される現行プログラムエリア切替え判定処理S805の一例を示すフローチャートである。図14の各ステップについて以下に説明する。
[0068]
 車両制御装置11の現行の制御プログラムが格納されていない第2エリア1125への新制御プログラムの書込み(書込み処理S803)が完了し、更に、書込まれたデータの正当性をチェックするデータ正当性チェック処理S804が完了した後、ゲートウェイ12は、車両制御装置11の演算部111に実行される制御プログラムを、現行の制御プログラムから書込みした新制御プログラムに切替えるために、本フローチャートに示される処理を実行する。
[0069]
 ゲートウェイ12は、車両が停車中かどうかを判定(S8051)し、停車中であれば、車両制御装置11に現行プログラムエリア切替え要求メッセージM807を送信する(S8052)。一方、車両が停車中でない場合は、現行プログラムエリア切替え要求メッセージは送信しない。なお、車両が停車中でない場合、HMI14により、画面表示や音声によるガイダンスで運転者に車両の停車を促すようにしてもよい。このようにすることで、走行中に制御プログラムを切替えてしまうことを防ぐことができ、走行中の制御プログラムの切替えによる車両の異常動作などを回避することができる。
[0070]
 図15は、ゲートウェイ12から車両制御装置11に送信する現行プログラムエリア切替え要求メッセージM807の構成例である。図15に示すように、コマンドM8071、切替え先エリア情報M8072を有する。
[0071]
 コマンドM8071は、本メッセージが現行プログラムエリア切替え要求メッセージM807であることを示す。切替え先エリア情報M8072は、新制御プログラムを書込んだ先のエリアを表す情報であり、本実施形態では、一例として「第2エリア」が格納される。
[0072]
 図16は、現行プログラムエリア切替え処理S806の一例を示すフローチャートである。図16の各ステップについて以下に説明する。
[0073]
 車両制御装置11の演算部111は、ゲートウェイ12から現行プログラムエリア切替え要求メッセージM807を受信すると、本フローチャートに示される処理を開始する。
[0074]
 演算部111は、受信した現行プログラムエリア切替え要求メッセージM807の切替え先エリア情報M8072に基づき、切替え先が第1エリア1124か第2エリア1125かを判断する(S8061)。切替え先エリアが「第2エリア」の場合、第2エリア1125のデータの正当性チェック結果を読み出し(S8062)、読み出した正当性チェック結果を判定して(S8064)、結果が正常であるとき、すべての管理データエリア1123a、1123b、1123cの現行プログラムエリア情報に「第2エリア」を格納する(S8065)。または、切替え先エリアが「第1エリア」の場合、第1エリア1124のデータの正当性チェック結果を読み出し(S8063)、読み出した正当性チェック結果を判定して(S8066)、結果が正常であるとき、すべての管理データエリア1123a、1123b、1123cの現行プログラムエリア情報に「第1エリア」を格納する(S8067)。
[0075]
 演算部111は、すべての管理データエリア1123a~1123cの更新が完了したら、ゲートウェイ12にエリア切替え完了応答メッセージM808を送信する(S8068)。一方、ステップS8064またはステップS8066における正当性チェック結果が異常であった場合は、管理データエリア1123a、1123b、1123cの更新は行わず、ゲートウェイ12にエリア切替え失敗応答メッセージを送信する(S8069)。
[0076]
 新制御プログラムの書込み処理S803が正常でなかった場合(データの正当性チェックが異常となった場合)は、すべての管理データエリア1123a、1123b、1123cは更新されずに現行の制御プログラムが格納されている制御エリアを表したままとなる。そのため、次回の起動において、正常に書込みされなかった新制御プログラムが実行されることはなく、現行の制御プログラムが以前と同様に実行される。これにより、正常に書込みされなかった新制御プログラムを実行することを回避して、現行の制御プログラムを実行することができる。
[0077]
 図17は、起動プログラム1121の動作(起動処理S1700)の一例を示すフローチャートである。図17の各ステップについて以下に説明する。
[0078]
 演算部111は、例えば割込信号などによってイグニッションが起動された旨を検知すると、起動プログラム1121を実行することにより本フローチャートに示される処理を開始する。
[0079]
 演算部111は、複数の管理データエリア1123a、1123b、1123cに格納される現行プログラムエリア情報を読込む(S1701)。
[0080]
 演算部111は、現行プログラムエリア情報の多数決判定を実施し、現行プログラムエリア情報の過半数が一致したデータを正しい情報と判定する(多数決判定処理S1702)。続けて、演算部111は、多数決判定により正しい情報と判定された現行プログラムエリア情報の有効性判定を行う(有効性判定処理S1703)。多数決判定処理S1702および有効性判定処理S1703の詳細は、図10および図11に示す多数決判定処理S8012および有効性判定処理S8013と同様である。
[0081]
 演算部111は、有効性判定処理S1703の結果が正常でかつ「第1エリア」だった場合は、第1エリアに格納されている制御プログラムを実行し(S1704)、有効性判定処理S1703の結果が正常でかつ「第2エリア」だった場合は、第2エリアに格納されている制御プログラムを実行する(S1705)。
[0082]
 または、多数決判定処理S1702および有効性判定処理S1703の結果がエラーだった場合は、起動エラーとする(S1706)。
[0083]
 以上説明したように、本実施形態の車両制御装置11は、FlashROM112と、演算部111とを有し、FlashROM112が、演算部111が実行可能な制御プログラムを格納する第1エリア1124および第2エリア1125と、演算部111に実行されるべき現行の制御プログラムを格納している記憶領域として第1エリア1124および第2エリア1125のうちの一方の記憶領域を表す現行プログラムエリア情報を含む管理データを格納する複数の管理データエリア1123a、1123b、1123cと、を有している。このようにしたことから、万一1つの管理データが破壊されても、他の管理データを用いて現行の制御プログラムを格納している記憶領域を判断することができる。
したがって、FlashROM112に格納した複数の制御プログラムの誤った実行および更新を効果的に抑制できる。
[0084]
 <変形例について>
本発明は上記実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換える事が可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について他の構成の追加・削除・置換をすることができる。
[0085]
 上述した実施形態では、制御プログラムを格納する不揮発メモリとしてFlashROM112を有する構成であったが、これに限定されるものではなく、例えば、EEPROM(Electrically Erasable Programmable Read-Only Memory)などその他の書き換え可能な不揮発性記憶装置を用いてもよい。
[0086]
 また、上述した実施形態では、1つのFlashROM112内に第1エリア1124および第2エリア1125を有する構成例を説明したが、例えば、2つのFlashROMなどの記憶装置の一方に第1エリア1124を配置し、他方に第2エリア1125を配置して実現することもできる。また制御プログラムを格納する記憶領域を3つ以上の複数個設け、上記実施形態と同様の構成を実現することもできる。この構成において、制御プログラムの更新時は、例えば、各記憶領域(または記憶装置)に対して循環的順番で制御プログラムを書き込み(上書き)してもよい。
[0087]
 また、上述した実施形態では、管理データエリア1123a、1123b、1123cに格納される管理データには、現行の制御プログラムが格納されている記憶領域を表す現行プログラムエリア情報のみを含む構成を説明したが、これに限定されるものではない。
例えば、管理データは、現行プログラムエリア情報に加えて他の情報を含んでいてもよい。管理データの他の構成例を図18に示す。この例では、管理データは、現行プログラムエリア情報に加えて、制御プログラムの部品番号や、格納した制御プログラムの正当性チェックに使うハッシュ値やチェックサム値なども含んでよい。
[0088]
 また、上述した実施形態では、管理データエリア1123a、1123b、1123cに格納される管理データには、現行の制御プログラムが格納される記憶領域を表す現行プログラムエリア情報を含む構成を説明したが、例えば、制御プログラムを格納する記憶領域が2つの場合(第1エリア1124および第2エリア1125)は、管理データに、制御プログラムの更新時における新制御プログラムの書込先の記憶領域を示す情報を含む構成であってもよい。この構成においては、新制御プログラムの書込み先の記憶領域ではない方の記憶領域が現行の制御プログラムを格納しているものとみなして、上記現行プログラムエリア情報と同様に扱うことができる。
[0089]
 また、上述した実施形態では、3つの管理データエリア1123a、1123b、1123cを有する構成であったが、これに限定されるものではない。たとえば、1つの管理データエリアのみ有する構成であってもよい。この構成においては、管理データエリアの現行プログラムエリア情報が、正常な値(すなわち第1エリア1124または第2エリア1125のいずれかを表す値)であるときのみ、当該現行プログラムエリア情報が現行の制御プログラムを格納しているエリアを表すものと判断して、制御プログラムの実行や、制御プログラムの更新を行う。正常な値でない場合は、エラーなどの警報をおこなう。このようにすることで、何らかの原因により現行プログラムエリア情報の値が異常な値(第1エリア1124および第2エリア1125のいずれも表さない値)に書き換わってしまったことを判断できる。
[0090]
 また、制御プログラムの更新処理においては、制御プログラムの最新版を書き込むのが通常であるが、諸事情によっては現行の制御プログラムのバージョンより古いバージョンの制御プログラムに更新する可能性もある。この場合、更新用の新制御プログラムとは、古いバージョンの制御プログラムである。すなわち制御プログラムの更新版とは、直前またはそれ以前の更新シーケンスによって書き込まれた制御プログラムのことを指す。
[0091]
 また、上記各構成、機能、処理部、処理手段等は、それらの一部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、SSD(Solid State Drive)等の記録装置、ICカード、SDカード、DVD等の記録媒体に格納することができる。

符号の説明

[0092]
 1…車両、2…サーバ、3…インターネット回線、4…無線基地局、5…更新パッケージ、11…車両制御装置、12…ゲートウェイ(プログラム書込装置)、13…車載ネットワーク、14…HMI、1121…起動プログラム、1122…書換プログラム、1123a、1123b、1123c…管理データエリア(管理データ格納領域)、1124…第1エリア(記憶領域)、1125…第2エリア(記憶領域)、1126…多数決判定プログラム、1127…有効性判定プログラム。

請求の範囲

[請求項1]
 書き換え可能な不揮発メモリと、演算部とを有し、
 前記不揮発メモリが、
 前記演算部が実行可能な制御プログラムを格納する第1の記憶領域及び第2の記憶領域と、
 前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第1の記憶領域及び前記第2の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有していることを特徴とする車両制御装置。
[請求項2]
 前記複数の管理データ格納領域が、前記不揮発性メモリが有する複数の異なる書換え単位ブロックに一つずつ配置されていることを特徴とする請求項1記載の車両制御装置。
[請求項3]
 前記演算部が、前記複数の管理データ格納領域のそれぞれから前記現行プログラムエリア情報を読み出して比較し、過半数一致したまたは最も多く一致した前記現行プログラムエリア情報を、前記現行の制御プログラムが格納されている記憶領域を表す前記現行プログラムエリア情報と判断することを特徴とする請求項1に記載の車両制御装置。
[請求項4]
 前記演算部が、前記複数の管理データ格納領域から前記現行プログラムエリア情報を読み出して比較し、過半数一致したまたは最も多く一致した前記現行プログラムエリア情報が、前記第1の記憶領域及び前記第2の記憶領域のいずれかを表す場合、前記現行プログラムエリア情報を、前記現行の制御プログラムを格納している記憶領域を表すものと判断することを特徴とする請求項1に記載の車両制御装置。
[請求項5]
 前記演算部が、前記現行の制御プログラムを格納している記憶領域を表すと判断した前記現行プログラムエリア情報を、前記車両制御装置の前記制御プログラムの更新を制御するプログラム書込装置に送信することを特徴とする請求項3に記載の車両制御装置。
[請求項6]
 前記演算部が、制御プログラムの切替え要求を受けた場合、当該要求に含まれる切替え先の記憶領域に格納されている制御プログラムの正当性を確認し、正当性が確認できたとき、すべての前記複数の管理データ格納領域に格納されている前記現行プログラムエリア情報を前記切替え先の記憶領域を表す値に書換えることを特徴とする請求項1に記載の車両制御装置。
[請求項7]
 前記演算部が、前記現行の制御プログラムを格納している記憶領域を表すと判断した前記現行プログラムエリア情報が表す記憶領域に格納された前記制御プログラムを実行することを特徴とする請求項4または請求項5に記載の車両制御装置。
[請求項8]
 書き換え可能な不揮発メモリと、演算部とを有し、
 前記不揮発メモリが、
 前記演算部が実行可能な制御プログラムを格納する第1の記憶領域及び第2の記憶領域と、
 前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第1の記憶領域及び前記第2の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する1つの管理データ格納領域と、を有し、
 前記演算部が、前記管理データ格納領域に格納されている前記現行プログラムエリア情報が前記第1の記憶領域及び前記第2の記憶領域のいずれかを表す場合、前記現行プログラムエリア情報を、前記現行の制御プログラムを格納している記憶領域を表すものと判断することを特徴とする車両制御装置。
[請求項9]
 書き換え可能な不揮発メモリと、演算部とを有し、
 前記不揮発メモリが、
 前記演算部が実行可能な制御プログラムを格納する第1の記憶領域及び第2の記憶領域と、
 前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第1の記憶領域及び前記第2の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有する、車両に搭載される車両制御装置と、
 前記車両に搭載され、前記車両制御装置と車載ネットワークを通じて接続されて前記車両制御装置の制御プログラムの更新を制御するプログラム書込装置と、
 前記車両制御装置の更新用の制御プログラムを含む更新パッケージを前記プログラム書込装置に無線通信を介して配信するサーバと、を備えたことを特徴とするプログラム更新システム。
[請求項10]
 前記プログラム書込装置が、前記現行の制御プログラムを表す識別番号と前記現行プログラムエリア情報とを前記サーバに送信し、
 前記サーバが、前記プログラム書込装置から送信された前記識別番号および前記現行プログラムエリア情報に基づいて選択された前記更新パッケージを当該プログラム書込装置に配信することを特徴とする請求項9に記載のプログラム更新システム。
[請求項11]
 前記更新パッケージが、
 前記現行の制御プログラムを表す識別番号と、
 前記現行プログラムエリア情報と、
 更新用の制御プログラムを表す識別番号と、
 前記更新用の制御プログラムを格納する記憶領域が第1の記憶領域及び第2の記憶領域のいずれであるかを表す情報と、を含むことを特徴とする請求項10に記載のプログラム更新システム。
[請求項12]
 前記プログラム書込装置が、前記サーバに送信した前記識別番号および前記現行プログラムエリア情報と、前記サーバから受信した前記更新パッケージに含まれる前記識別番号および前記現行プログラムエリア情報とが、それぞれ一致したときのみ、前記車両制御装置の前記制御プログラムの更新処理を実行することを特徴とする請求項11に記載のプログラム更新システム。
[請求項13]
 前記プログラム書込装置が、前記更新パッケージに含まれる更新用の制御プログラムが前記車両制御装置の前記不揮発メモリに正常に書き込まれ、かつ、前記車両が停車中であると判定したとき、前記車両制御装置に、前記現行プログラムエリア情報を前記更新用の制御プログラムが書き込まれた記憶領域を表す値に切替える要求を送信することを特徴とする請求項9~請求項12のいずれか一項に記載のプログラム更新システム。
[請求項14]
 前記プログラム書込装置が、前記更新パッケージに含まれる更新用の制御プログラムが前記車両制御装置の前記不揮発メモリに正常に書き込まれ、かつ、前記車両が停車中でないと判定したとき、前記車両の停車を促すための処理を実行することを特徴とする請求項13に記載のプログラム更新システム。

図面

[ 図 1]

[ 図 2]

[ 図 3]

[ 図 4]

[ 図 5]

[ 図 6]

[ 図 7]

[ 図 8]

[ 図 9]

[ 図 10]

[ 図 11]

[ 図 12]

[ 図 13]

[ 図 14]

[ 図 15]

[ 図 16]

[ 図 17]

[ 図 18]