(57)【要約】      （修正有）【課題】ソフトウェア更新時の消費電力の増大を抑制することができるソフトウェア更新システムを提供する。【解決手段】車両の外部から無線により送信された更新ソフトウェアを受信する更新管理装置と、更新管理装置に通信可能に接続された複数のＥＣＵ３と、を備え、複数のＥＣＵ３は、それぞれ、所定のデータフレームを記憶する記憶部３１と、信号を受信した場合に信号が記憶部３１に記憶された所定のデータフレームに適合するか否かを判定するデータフレーム判定部３２と、を備え、データフレーム判定部３２は、自身のＥＣＵ３の他の機能がスリープ状態である場合において、信号が記憶部３１に記憶された所定のデータフレームに適合することを判定した場合、他の機能の少なくとも一部の機能についてスリープ状態を解除して起動させ、そうでない場合、スリープ状態を維持する。【選択図】図３
2018202940.tif 000002
【特許請求の範囲】
【請求項１】
複数の車載装置のソフトウェアの更新を実行する、車両に搭載されたソフトウェア更新システムであって、
前記車両の外部から無線により送信された更新ソフトウェアを受信する更新管理装置と、
前記更新管理装置に通信可能に接続された、それぞれ異なる前記車載装置を制御する複数のＥＣＵと、
を備え、
前記複数のＥＣＵは、それぞれ、所定のデータフレームを記憶する記憶部と、信号を受信した場合に前記信号が前記記憶部に記憶された前記所定のデータフレームに適合するか否かを判定するデータフレーム判定部と、を備え、
前記データフレーム判定部は、
自身の前記ＥＣＵの他の機能がスリープ状態である場合において、前記信号が前記記憶部に記憶された前記所定のデータフレームに適合するか否かを判定する判定部と、
前記判定部にて適合すると判定した場合、前記他の機能の少なくとも一部の機能について前記スリープ状態を解除して起動させる解除部と、
前記判定部にて適合しないと判定した場合、前記スリープ状態を維持する維持部と、
を備えるソフトウェア更新システム。
【請求項２】
前記更新管理装置は、前記更新ソフトウェアを受信した場合に、更新対象の前記ＥＣＵに更新通知信号を送信する通知部を備え、
前記複数のＥＣＵは、それぞれ、前記ソフトウェアの更新機能を有するソフトウェア更新部を備え、
前記ソフトウェア更新部は、起動状態において前記通知部から前記更新通知信号を受信した場合、自身へのパワーダウンシーケンスをマスクする請求項１に記載のソフトウェア更新システム。
【請求項３】
前記通知部は、前記複数のＥＣＵが前記スリープ状態である場合、更新対象の前記ＥＣＵのみに対応する前記所定のデータフレームを含む前記更新通知信号を更新対象の前記ＥＣＵに送信する請求項２に記載のソフトウェア更新システム。
【請求項４】
前記データフレーム判定部は、自身の前記ＥＣＵが前記スリープ状態である場合、車内通信が開始されるまで前記スリープ状態であり、前記車内通信が開始されると起動する請求項１〜３の何れか一項に記載のソフトウェア更新システム。
【請求項５】
前記更新管理装置又は前記ＥＣＵは、前記ソフトウェアの更新を行うにあたり、動作電源電圧を下げること及び動作クロックを下げることの少なくとも一方を実施する請求項１〜４の何れか一項に記載のソフトウェア更新システム。
【請求項６】
前記記憶部は、前記複数のＥＣＵに共通する共通のデータフレームを前記所定のデータフレームとして記憶する請求項１〜５の何れか一項に記載のソフトウェア更新システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載装置のソフトウェアの更新を実行するソフトウェア更新システムに関する。
【背景技術】
【０００２】
従来から、無線通信により車両の外部から送信された更新ソフトウェアを、車両が受信して、車載装置のＥＣＵのソフトウェアを更新するソフトウェア更新システムが開発されている。ソフトウェア更新システムとしては、例えば特開２０１０−１６７９９７号公報に記載されている。このソフトウェア更新システムでは、イグニッションがオンである際に、無線により車両の更新管理装置が更新ソフトウェアを受信し、更新ソフトウェアがメモリに保存される。そして、更新対象のＥＣＵに対して、更新ソフトウェアがある旨が通知され、更新対象のＥＣＵは、イグニッションによるパワーダウンシーケンスをマスクする。そして、イグニッションがオフになると、更新対象外のＥＣＵはスリープ状態に移行し、マスクにより起動状態が維持された更新対象のＥＣＵにおいて、ソフトウェアの更新が実施される。これにより、更新時の車両の消費電力を低減させることができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−１６７９９７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記ソフトウェア更新システムには消費電力の観点から改善の余地がある。更新管理装置と更新対象のＥＣＵとの間でソフトウェアの更新（例えば更新管理装置から更新対象のＥＣＵへの更新ソフトウェアの送信）が実行されている間、例えばＣＡＮ通信等の車内通信が使用されている。ＥＣＵに車内通信の開始を検知してウェイクアップする機能が搭載されている場合、当該車内通信にて更新対象外のＥＣＵも通信パルスを受信し、それにより更新対象外のＥＣＵも起動する可能性がある。更新時に更新対象外のＥＣＵが起動してしまうと、その分だけ消費電力が大きくなってしまう。
【０００５】
本発明は、このような事情に鑑みて為されたものであり、ソフトウェア更新時の消費電力の増大を抑制することができるソフトウェア更新システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明のソフトウェア更新システムは、複数の車載装置のソフトウェアの更新を実行する、車両に搭載されたソフトウェア更新システムであって、前記車両の外部から無線により送信された更新ソフトウェアを受信する更新管理装置と、前記更新管理装置に通信可能に接続された、それぞれ異なる前記車載装置を制御する複数のＥＣＵと、を備え、前記複数のＥＣＵは、それぞれ、所定のデータフレームを記憶する記憶部と、信号を受信した場合に前記信号が前記記憶部に記憶された前記所定のデータフレームに適合するか否かを判定するデータフレーム判定部と、を備え、前記データフレーム判定部は、自身の前記ＥＣＵの他の機能がスリープ状態である場合において、前記信号が前記記憶部に記憶された前記所定のデータフレームに適合するか否かを判定する判定部と、前記判定部にて適合すると判定した場合、前記他の機能の少なくとも一部の機能について前記スリープ状態を解除して起動させる解除部と、前記判定部にて適合しないと判定した場合、前記スリープ状態を維持する維持部と、を備える。
【発明の効果】
【０００７】
本発明によれば、各ＥＣＵにおいてデータフレーム判定部を機能させておくことで、更新対象外のＥＣＵが信号を受信した場合でも他の機能を起動させることなく、更新対象のＥＣＵのソフトウェアを更新することができる。例えば車内通信を介して更新ソフトウェアが送受信されることに伴って各ＥＣＵに通信パルスが入力された場合でも、更新対象外で且つスリープ状態のＥＣＵは、自身の記憶部に記憶された所定のデータフレームに適合する信号を受信しない限り、他の機能を起動させずにスリープ状態を維持する。データフレーム判定部の機能は、単純なデータ配列の比較であるため、極めて小さい電力で実行させることができる。つまり、本発明によれば、小さな消費電力により、不必要なＥＣＵの起動を抑制することができ、結果として消費電力の増大を抑制することができる。
【図面の簡単な説明】
【０００８】
【図１】第一実施形態のソフトウェア更新システムの構成図である。
【図２】第一実施形態のスレーブＥＣＵのハード的な構成図である。
【図３】第一実施形態のスレーブＥＣＵの構成図である。
【図４】第一実施形態の更新処理の流れを示すフローチャートである。
【図５】第二実施形態の更新処理の流れを示すフローチャートである。
【図６】第二実施形態の更新処理を説明するための説明図である。
【発明を実施するための形態】
【０００９】
＜第一実施形態＞
以下、本発明の実施形態について図に基づいて説明する。第一実施形態のソフトウェア更新システム１は、複数の車載装置のソフトウェアの更新を実行する、車両に搭載されたシステムである。ソフトウェア更新システム１は、図１に示すように、更新管理装置２と、複数のスレーブＥＣＵ３と、を備えている。更新管理装置２は、マスタＥＣＵ２１と、ゲートウェイＥＣＵ２２と、を備えている。マスタＥＣＵ２１は、例えばＯＴＡ（Ｏｖｅｒ  Ｔｈｅ  Ａｉｒ）  ＥＣＵであって、車両の外部から無線により送信された更新ソフトウェアを受信するＥＣＵ（ＣＰＵ等を備える電子制御ユニット）である。車両には、例えばサーバ等の外部装置Ａから送信された更新ソフトウェアを受信するアンテナ（例えばフィルムアンテナ）Ｂが設置されており、マスタＥＣＵ２１はアンテナＢから情報を受信する。マスタＥＣＵ２１は受信部を有するといえる。サーバ等の外部装置Ａは、例えばＯＴＡセンターに設置されている。マスタＥＣＵ２１は、更新ソフトウェアが自車両のスレーブＥＣＵ３のソフトウェアに対応するものであるか否かを判定する。マスタＥＣＵ２１は、受信した更新ソフトウェアが自車両のスレーブＥＣＵ３に対応する場合、当該更新ソフトウェアをゲートウェイＥＣＵ２２に送信する。
【００１０】
ゲートウェイＥＣＵ２２は、マスタＥＣＵ２１に通信可能に接続されたＥＣＵである。ゲートウェイＥＣＵ２２には、複数のスレーブＥＣＵ３が通信可能に接続されている。ゲートウェイＥＣＵ２２は、更新ソフトウェアを保存する不揮発性メモリ２２１と、通知部２２２と、を備えている。不揮発性メモリ２２１は、ＲＯＭである。不揮発性メモリ２２１（又はその他のメモリ）には、後述するが、ゲートウェイＥＣＵ２２に接続されたすべてのスレーブＥＣＵ３に共通する共通のデータフレームと、各スレーブＥＣＵ３独自の固有のデータフレームとが、所定のデータフレームとして保存されている。
【００１１】
通知部２２２は、マスタＥＣＵ２１が更新ソフトウェアを受信した場合、例えばユーザ（運転者等）が更新を承諾すると、更新対象のスレーブＥＣＵ３に更新通知信号を送信するように構成されている。更新通知信号を受信したスレーブＥＣＵ３は、自身のソフトウェアが更新対象であることを認識する。通知部２２２の詳細については後述する。
【００１２】
複数のスレーブＥＣＵ３は、ゲートウェイＥＣＵ２２に通信可能に接続されており、それぞれ異なる車載装置を制御するＥＣＵである。例えば、図１に示すように、第１のスレーブＥＣＵ３はエンジン（ＥＮＧ）を制御するＥＣＵであり、第２のスレーブＥＣＵ３は変速機（Ｔ／Ｍ）を制御するＥＣＵであり、第３のスレーブＥＣＵ３はブレーキ装置（ＥＳＣ）を制御するＥＣＵである。また、図２に示すように、第一実施形態の各スレーブＥＣＵ３は、ハード的には、ＭＣＵ（マイクロコンピュータユニット）３ａと、ＲＯＭ３ｃを備える集積回路（ＡＳＩＣ）３ｂと、を備えている。ＭＣＵ３ａと集積回路３ｂとは、通信回線（ここでは、ＣＡＮとシリアルケーブル）により通信可能に接続されている。
【００１３】
また、図３に示すように、各スレーブＥＣＵ３は、機能又は構成として、記憶部３１と、データフレーム判定部３２と、ソフトウェア更新部３３と、不揮発性メモリ３４と、を備えている。記憶部３１は、所定のデータフレームを記憶するメモリであって、第一実施形態では不揮発性メモリである。記憶部３１は、ＲＯＭ３ｃで構成されている。ＭＣＵ３ａは、起動時に、シリアルケーブルを介して記憶部３１（すなわちＲＯＭ３ｃ）に所定のデータフレームを書き込む。ＭＣＵ３ａには、予め自身の所定のデータフレームが設定されている。所定のデータフレームは、自ＥＣＵがウェイクアップ要求（起動要求）を受けていることを示すデータフレームであって、予め設定されたデータ配列である。第一実施形態の所定のデータフレームの１つは、上記した共通のデータフレームである。また、共通のデータフレームの他に、各スレーブＥＣＵ３に対して独自に設定された固有のデータフレームも、所定のデータフレームとしてＭＣＵ３ａにより記憶部３１に記憶される。なお、所定のデータフレームは、予め記憶部３１に記憶されていても良い。
【００１４】
データフレーム判定部３２は、信号を受信した場合に当該信号が記憶部３１に記憶された所定のデータフレームに適合するか否かを判定するように構成されている。データフレーム判定部３２は、自身のスレーブＥＣＵ３の他の機能がスリープ状態である場合において、受信した信号が記憶部３１に記憶された所定のデータフレームに適合することを判定した場合（すなわち肯定的な判定をした場合）、他の機能の少なくとも一部の機能についてスリープ状態を解除して起動させるように構成されている。反対に、データフレーム判定部３２は、受信した信号が記憶部３１に記憶された所定のデータフレームに適合しないと判定した場合（否定的な判定をした場合）、何も起動させることなく、他の機能のスリープ状態を維持するように構成されている。つまり、データフレーム判定部３２は、機能として、自身のスレーブＥＣＵ３の他の機能がスリープ状態である場合において、受信した信号が記憶部３１に記憶された所定のデータフレームに適合するか否かを判定する判定部３２１と、判定部３２１にて適合すると判定した場合に、他の機能の少なくとも一部の機能についてスリープ状態を解除して起動させる解除部３２２と、判定部３２１にて適合しないと判定した場合に、スリープ状態を維持する維持部３２３と、を備えている。後述するが、スレーブＥＣＵ３がスリープ状態でも、例えば車両通信の開始（信号の受信等）をトリガーにしてデータフレーム判定部３２のみが起動する。
【００１５】
第一実施形態のデータフレーム判定部３２は、肯定的な判定をした場合、自身のスレーブＥＣＵ３のすべての機能又は一部の機能（例えば、ソフトウェア更新に必要な機能）を起動させるように構成されている。つまり、データフレーム判定部３２は、肯定的な判定をした場合に自身のスレーブＥＣＵ３を起動させ、否定的な判定をした場合に自身のスレーブＥＣＵ３のスリープ状態を維持するといえる。また、第一実施形態のデータフレーム判定部３２は、自身のスレーブＥＣＵ３がスリープ状態である場合、車内通信（ＣＡＮ通信）が開始されるまでスリープ状態であり、車内通信が開始されると起動するように構成されている。スレーブＥＣＵ３は、車内通信の開始を、例えば通信の１回又は複数のパルス（ＣＡＮ通信におけるドミナントに相当する）入力時間によって検出することができる。
【００１６】
ソフトウェア更新部３３は、ソフトウェアの更新機能を有する部分であって、更新管理装置２及び／又はＭＣＵ３ａの指示に応じてソフトウェアの更新を実行する。具体的に、ソフトウェア更新部３３は、更新管理装置２から送信された更新ソフトウェアで、不揮発性メモリ３４に保存されたソフトウェアを書き換える（上書きする）。不揮発性メモリ３４は、ソフトウェアが保存されるメモリであって、記憶部３１とは別のメモリでも、又は記憶部３１と共通のメモリ（ＲＯＭ３ｃ）で構成されても良い。
【００１７】
また、ソフトウェア更新部３３は、起動状態において通知部２２２から更新通知信号を受信した場合、自身へのパワーダウンシーケンスをマスクする。つまり、ソフトウェア更新部３３は、更新の通知を受けた場合、イグニッションのオフによるパワーダウンシーケンス（スリープ命令）をマスク（遮断）する。これにより、マスクされた当該スレーブＥＣＵ３は、イグニッションがオフされた後でもスリープ状態にならずに起動状態が維持される。上記マスクにより、バッテリＺから更新対象のスレーブＥＣＵ３への電力供給は継続される。
【００１８】
ここで、更新管理装置２の通知部２２２についてさらに説明する。すべてのスレーブＥＣＵ３が起動状態である場合（例えばイグニッションがオンされている状態）において、通知部２２２は、所定のデータフレームを用いることなく、更新対象のスレーブＥＣＵ３に更新通知信号を送信する。この場合、各スレーブＥＣＵ３はすでに起動状態であるため、各データフレーム判定部３２は判定する必要がなく、その機能は実質停止している。更新通知信号を受信した更新対象のスレーブＥＣＵ３のソフトウェア更新部３３は、上記のとおり、パワーダウンシーケンスをマスクする。そして、イグニッションがオフされると、更新管理装置２（少なくともゲートウェイＥＣＵ２２）と更新対象のスレーブＥＣＵ３のみが起動状態となり、更新管理装置２が更新対象のスレーブＥＣＵ３に更新ソフトウェアを送信する。この際、スリープ状態である更新対象外のスレーブＥＣＵ３においては、各データフレーム判定部３２が通信開始を検出して起動し、受信した信号が所定のデータフレームに適合するか否かを判定する。これにより、更新対象のスレーブＥＣＵ３は起動したまま維持され、更新対象外のスレーブＥＣＵ３は、データフレーム判定部３２により不適合と判定され、何も起動せず待機する（すなわちスリープ状態を維持する）。
【００１９】
一方、複数のスレーブＥＣＵ３がスリープ状態である場合、通知部２２２は、更新対象のスレーブＥＣＵ３のみに対応する所定のデータフレーム（すなわち固有のデータフレーム）を含む更新通知信号を更新対象のスレーブＥＣＵ３に送信する。例えば、すべてのスレーブＥＣＵ３がスリープ状態である場合で（例えばイグニッションがオフされている状態で）、通知部２２２が更新対象のスレーブＥＣＵ３に更新通知信号を送信する場合、更新対象のスレーブＥＣＵ３に対応する固有のデータフレームを更新通知信号のヘッダとして又は更新通知信号そのものとして、更新対象のスレーブＥＣＵ３に送信する。この場合、各スレーブＥＣＵ３のデータフレーム判定部３２は、車内通信の開始を検出して起動し、且つ受信した信号が自身の所定のデータフレームに適合しているか否かを判定する。これにより、更新対象のスレーブＥＣＵ３のデータフレーム判定部３２は、適合していると判定して全機能又は一部機能を起動させ、更新対象外のスレーブＥＣＵ３のデータフレーム判定部３２は、適合していないと判定してそのまま待機する。
【００２０】
このように、スリープ状態のスレーブＥＣＵ３は、受信した信号と記憶部３１に記憶された所定のデータフレーム（ここでは固有のデータフレーム及び共通のデータフレームの何れか）とが適合したときのみ起動するといえる。
【００２１】
第一実施形態の更新処理の流れについて図４を参照して説明する。イグニッションがオンされると（Ｓ１０１）、各スレーブＥＣＵ３のＭＣＵ３ａが起動し、自身の記憶部３１に所定のデータフレームを書き込む（Ｓ１０２）。そして、マスタＥＣＵ２１が自車両に対応する更新ソフトウェアを受信すると、当該更新ソフトウェアがゲートウェイＥＣＵ２２の不揮発性メモリ２２１に書き込まれる（Ｓ１０３）。また、マスタＥＣＵ２１は、ユーザにソフトウェアの更新の可否を確認する（Ｓ１０４）。例えばボタン操作や音声操作等によりユーザがソフトウェアの更新を承諾すると（Ｓ１０４：Ｙｅｓ）、ゲートウェイＥＣＵ２２が更新対象のスレーブＥＣＵ３に更新通知信号を送信して通知する（Ｓ１０５）。更新を通知されたスレーブＥＣＵ３のソフトウェア更新部３３は、パワーダウン（スリープ状態）への移行をマスクする（Ｓ１０６）。
【００２２】
その後、イグニッションがオフされると（Ｓ１０７）、ゲートウェイＥＣＵ２２と更新対象のスレーブＥＣＵ３が起動したまま維持され、他のスレーブＥＣＵ３はパワーダウンシーケンスによりスリープ状態に移行する。そして、ゲートウェイＥＣＵ２２は、更新対象のスレーブＥＣＵ３に更新ソフトウェアを送信する（Ｓ１０８）。更新対象のスレーブＥＣＵ３のソフトウェア更新部３３は、受信した更新ソフトウェアで不揮発性メモリ３４に保存されたソフトウェアを書き換える（Ｓ１０９）。また、この際、スリープ状態のスレーブＥＣＵ３では、ゲートウェイＥＣＵ２２のデータ送信に伴って受信した信号に対して、データフレーム判定部３２による判定が行われている（Ｓ１０９）。更新対象外のスレーブＥＣＵ３は、更新ソフトウェアのデータ配列が所定のデータフレームと適合していないと判定し、スリープ状態を維持する。そして、更新対象のスレーブＥＣＵ３でのソフトウェアの更新が完了し（Ｓ１１０）、更新処理が終了する。更新が完了した後は、すべてのＥＣＵがスリープ状態に移行する。なお、ユーザが更新を承諾しない場合（Ｓ１０４：Ｎｏ）、次回イグニッションがオンされた際に再度ユーザに更新の可否を確認するように設定されても良い。
【００２３】
第一実施形態によれば、各スレーブＥＣＵ３においてデータフレーム判定部３２を機能させておくことで、更新対象外のスレーブＥＣＵ３が信号を受信した場合でも他の機能を起動させることなく、更新対象のスレーブＥＣＵ３のソフトウェアを更新することができる。スリープ状態のスレーブＥＣＵ３は、自身の所定のデータフレームに適合する信号を受信しない限り、他の機能を起動させずにスリープ状態を維持する。データフレーム判定部の機能は、単純なデータの比較であるため、極めて小さい電力で実行させることができる。つまり、第一実施形態によれば、小さな消費電力により、不必要なＥＣＵの起動を抑制することができ、結果として消費電力の増大を抑制することができる。例えば、データフレーム判定部３２が起動していることによる消費電力はμＡオーダーであるが、スレーブＥＣＵ３全体が起動していることによる消費電力はｍＡオーダーとなる。
【００２４】
ここで、従来のシステムにおいて更新対象外のＥＣＵが起動する原因について例示する。例えば、システム中には、イグニッションがオンされる前から自ＥＣＵの安全性をセルフチェックし、即時にユーザ操作に対応することが求められているものがある。これを実現する方法として、車内通信の開始を検知してウェイクアップする機能が搭載されている場合がある。通信線はシステム中で共用しているため、更新ソフトウェアの送受信中の通信パルスが更新対象外のＥＣＵにも入力され、起動指示と誤認識してウェイクアップする可能性がある。更新に不必要なＥＣＵが起動すると、消費電力が大きくなってしまう。しかしながら、第一実施形態によれば、上記のように、不必要なスレーブＥＣＵ３の起動が抑制され、消費電力の増大が抑制される。
【００２５】
第一実施形態によれば、イグニッションがオンである際に更新通知信号が送信されてイグニッションがオフされた後にソフトウェアの更新を実行する場合でも、あるいはすべてのスレーブＥＣＵ３がスリープ状態である状況で更新通知信号（固有のデータフレームを含む信号）が送信される場合でも、スリープ状態のスレーブＥＣＵ３の各データフレーム判定部３２により、更新対象外のスレーブＥＣＵ３のスリープ状態は維持される。第一実施形態の構成では、ハード面で最低限の機能ブロックを起動させたうえで、自ＥＣＵに対してウェイクアップ要求があるか否かを判定することができる。このため、消費電力の増大はより抑制される。
【００２６】
また、第一実施形態によれば、車内通信が開始されるまでは、データフレーム判定部３２もスリープ状態であるため、待機電流が下がる。つまり、車内通信開始の判定とデータフレーム適合の判定との２段階でウェイクアップを行うため、データフレーム判定部３２の判定ロジックも可能な限りスリープ状態で維持され、消費電力がより低減される。
【００２７】
また、所定のデータフレームとして共通のデータフレームが設定されているため、例えば更新管理装置２が当該共通のデータフレームを含む信号を各スレーブＥＣＵ３に送信した場合、複数のスレーブＥＣＵ３（ここではゲートウェイＥＣＵ２２に接続されたすべてのスレーブＥＣＵ３）を一度に起動させることができる。システムにおける要求への対応速度は維持される。
【００２８】
＜第二実施形態＞
第二実施形態のソフトウェア更新システムは、第一実施形態と比べて、動作電源電圧及び／又は動作クロックの点で異なっている。したがって、異なっている部分について説明する。第二実施形態の説明において、第一実施形態の説明及び図面を参照することができる。
【００２９】
第二実施形態では、図５に示すように、イグニッションがオフされた後に（Ｓ２０１）、更新ソフトウェアの送信の前段階として、更新対象のスレーブＥＣＵ３が更新管理装置２からソフトウェアの更新の実行を要求されると（Ｓ２０２）、当該スレーブＥＣＵ３又は更新管理装置２がバッテリＺの電圧（以下「バッテリ電圧」という）を測定する（Ｓ２０３）。ここで、当該スレーブＥＣＵ３又は更新管理装置２によりバッテリ電圧が第一閾値よりも小さいか否かが判定される（Ｓ２０４）。バッテリ電圧が第一閾値よりも小さい場合（Ｓ２０４：Ｙｅｓ）、当該スレーブＥＣＵ３又は更新管理装置２により、動作電源電圧を下げるように電源電圧切り替え指示が電源電圧を制御可能な統合ＩＣ（例えば更新管理装置２であっても良い）に送信される（Ｓ２０５）。
【００３０】
電源電圧切り替え指示が送信された後、又はバッテリ電圧が第一閾値以上である場合（Ｓ２０４：Ｎｏ）、当該スレーブＥＣＵ３又は更新管理装置２によりバッテリ電圧が第二閾値よりも小さいか否かが判定される（Ｓ２０６）。第二閾値は、第一閾値よりも小さい値に設定されている。バッテリ電圧が第二閾値よりも小さい場合（Ｓ２０６：Ｙｅｓ）、当該スレーブＥＣＵ３又は更新管理装置２により、動作クロックを下げる（クロック周波数を小さくする）ようにクロック切り替え指示が上記統合ＩＣに送信される（Ｓ２０７）。クロック切り替え指示が送信された後、又はバッテリ電圧が第二閾値以上である場合（Ｓ２０６：Ｎｏ）、ソフトウェアの更新（書き換え）が実行される（Ｓ２０８）。結果として、ソフトウェア更新時のバッテリ電圧と動作電源電圧及び動作クロックとの関係は、図６に示すような関係となる。このように、更新管理装置２又はスレーブＥＣＵは、ソフトウェアの更新を行うにあたり、動作電源電圧を下げること及び動作クロックを下げることの少なくとも一方を実施する。
【００３１】
第二実施形態によれば、更新処理時間をできるだけ犠牲にせず、且つ通信品質（耐ノイズ性）をできるだけ犠牲にせずに、ソフトウェア更新時の消費電力を低減させることができる。具体的には、動作電源電圧を下げると、耐ノイズ性が悪くなるため、バッテリ電圧が第一閾値以上である場合は、通常の電圧で動作させる。また、バッテリ電圧が第二閾値よりも小さい場合は、消費電力の低減を優先させたいため、動作クロックを下げる。また、バッテリ電圧が第二閾値以上である場合は、更新処理時間を犠牲にしたくないため、動作クロックを下げない。なお、第二実施形態では、動作電源電圧を下げたことによる周辺部品の動作異常が検出された場合でも、ソフトウェア更新時は当該異常を無視するように構成されている。また、バッテリ電圧からバッテリの劣化度合が推定でき、劣化度合に応じて動作クロックを下げることができる。
また、第二実施形態の処理において、Ｓ２０４とＳ２０５、又はＳ２０６とＳ２０７を省いても良い。つまり、動作クロックのみ又は動作電源電圧のみを変更対象としても良い。また、例えばＳ２０４のみを省いても良く、この場合、バッテリ電圧によらず電源電圧切り替え指示がなされ、バッテリ電圧に応じて動作クロックの変更の有無が判定される。これにより、更新処理時間をできるだけ犠牲にせずに更新時の消費電力を低減させることができる。具体的に、消費電力を極力低減させるために、更新時（書き換え時）は常に動作電源電圧を下げる。また、バッテリ電圧と第二閾値との大小関係による処理の違いは、上記したＳ２０４を省略しない場合と同様である。
【００３２】
＜その他＞
本発明は、上記実施形態に限られない。例えば、通知部２２２は、マスタＥＣＵ２１に設けられても良い。また、不揮発性メモリ２２１、記憶部３１、及び不揮発性メモリ３４は、フラッシュメモリであっても良い。また、データフレーム判定部３２は、肯定的な判定をした場合、少なくともソフトウェア更新部３３（更新機能）を起動させれば良い。また、通知部２２２が更新通知信号をイグニッションがオンである状態においてのみ送信するように構成されている場合、スレーブＥＣＵ３を個別に起動させる必要がないため、所定のデータフレームとして共通のデータフレームのみが記憶部３１に保存されても良い。更新管理装置２は、１つのＥＣＵで構成されても良い。また、記憶部３１が揮発性メモリで構成されても良い。ただし、この場合、スリープ時に記憶部３１の記憶を保持する電力が必要となる。
【符号の説明】
【００３３】
１…ソフトウェア更新システム、２…更新管理装置、２１…マスタＥＣＵ、２２…ゲートウェイＥＣＵ、２２１…不揮発性メモリ、２２２…通知部、３…スレーブＥＣＵ、３１…記憶部、３２…データフレーム判定部、３３…ソフトウェア更新部、３４…不揮発性メモリ。
【図１】
2018202940.tif 000003
【図２】
2018202940.tif 000004
【図３】
2018202940.tif 000005
【図４】
2018202940.tif 000006
【図５】
2018202940.tif 000007
【図６】
2018202940.tif 000008