(57)【要約】【課題】早期にプログラム更新を実行させること。【解決手段】プログラム更新管理装置８は、車両２が利用されているシーンを示すシーン信号を取得する取得部８２と、シーン信号が示すシーンにおいて同一の機能を有する複数のＥＣＵそれぞれの機能が失われた場合に車両２が受ける制約の大きさを示す度合いを判定する判定部８３と、当該度合いに基づいて、複数のＥＣＵの中からプログラム更新を実行するＥＣＵを選定する選定部８４と、を備える。【選択図】図５
2019156331.tif 000002
【特許請求の範囲】
【請求項１】
車両が利用されているシーンを示すシーン信号を取得する取得部と、
前記シーン信号が示す前記シーンにおいて同一の機能を有する複数のＥＣＵそれぞれの機能が失われた場合に前記車両が受ける制約の大きさを示す度合いを判定する判定部と、
前記度合いに基づいて、前記複数のＥＣＵの中からプログラム更新を実行するＥＣＵを選定する選定部と、を備えるプログラム更新管理装置。
【請求項２】
前記判定部は、前記複数のＥＣＵそれぞれの接続先を考慮して前記度合いを判定する、
請求項１に記載のプログラム更新管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プログラム更新管理装置に関する。
【背景技術】
【０００２】
現代の自動車は、ＥＣＵ（Electronic Control Unit）と呼ばれるマイコンが複数搭載されている。これらのＥＣＵは、互いにデータの送受信を実行することにより自動車の動作を制御しており、適宜、プログラムを更新する必要がある。
【０００３】
例えば、特許文献１には、制御部のプログラム更新が必要か否かを判断し、プログラム更新が必要である場合に車両の走行時において制御部の制御処理が行われないか否かを判断し、制御部の制御処理が行われないと判断された場合に車両走行時に制御部のプログラム更新を実行する車両制御装置が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１１−７９４９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、この車両制御装置は、制御部の制御処理が行われると判断された場合、制御部のプログラム更新を実行しないため、早期にプログラム更新を実行し得ないことがある。
【０００６】
そこで、本発明は、早期にプログラム更新を実行させることができるプログラム更新管理装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一態様に係るプログラム更新管理装置は、車両が利用されているシーンを示すシーン信号を取得する取得部と、前記シーン信号が示す前記シーンにおいて同一の機能を有する複数のＥＣＵそれぞれの機能が失われた場合に前記車両が受ける制約の大きさを示す度合いを判定する判定部と、前記度合いに基づいて、前記複数のＥＣＵの中からプログラム更新を実行するＥＣＵを選定する選定部と、を備える。
【発明の効果】
【０００８】
本発明によれば、早期にプログラム更新を実行させることができるプログラム更新管理装置を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】実施形態に係るデータセンター、データ通信モジュール、ゲートウエイＥＣＵ、バス、ＥＣＵ、プログラム更新管理装置及びこれらの関係を示す図である。
【図２】実施形態に係るプログラム更新管理装置及びＥＣＵの例を示す図である。
【図３】実施形態に係る一つのＥＣＵの機能が失われた場合に車両が受ける制約の大きさを示す度合いとシーンとの関係の例を示す図である。
【図４】実施形態に係る一つのＥＣＵの機能が失われた場合に車両が受ける制約の大きさを示す度合いと各ＥＣＵのプログラム更新の可否との関係の例を示す図である。
【図５】実施形態に係るプログラム更新管理装置及びＥＣＵが実行する処理の例を示すシーケンス図である。
【発明を実施するための形態】
【００１０】
添付図面を参照して、本発明の好適な実施形態について説明する。なお、各図において、同一の符号を付したものは同様の構成を有する。
【００１１】
図１から図４を参照しながら、実施形態に係るデータセンター、データ通信モジュール、ゲートウエイＥＣＵ、バス、ＥＣＵ、プログラム更新管理装置及びこれらの関係について説明する。
【００１２】
データセンター１は、プログラム更新を実行すべきことを示す信号及び更新用プログラムを車両２に送信し、プログラム更新の結果を示す信号又はプログラム更新を実行しないことを示す信号を車両２から受信する。
【００１３】
車両２は、図１に示すように、データ通信モジュール（ＤＣＭ：Data Communication Module）３と、ゲートウエイＥＣＵ４と、バス５と、ＥＣＵ６と、ＥＣＵ７と、プログラム更新管理装置８とを備える。
【００１４】
データ通信モジュール３は、データセンター１と信号やデータの送受信を実行する。
【００１５】
ゲートウエイＥＣＵ４は、データセンター１との間で機器認証を実行し、当該機器認証が成功した場合、データ通信モジュール３と、ＥＣＵ６又はＥＣＵ７との間で送受信される信号やデータを中継する。
【００１６】
バス５は、プログラム更新管理装置８、ゲートウエイＥＣＵ４、ＥＣＵ６及びＥＣＵ７を互いに通信可能に接続している。ここで、バス５が採用している通信プロトコルは、例えば、ＬＩＮ（Local Interconnect Network）、ＣＡＮ（Controller Area Network）である。
【００１７】
ＥＣＵ６及びＥＣＵ７は、それぞれ機能が同一である車両２の構成要素を制御する。例えば、ＥＣＵ６は、車両２の右側ヘッドライトを制御し、当該制御についてはＥＣＵ７のマスターとなっている。また、ＥＣＵ７は、車両２の左側ヘッドライトを制御し、当該制御についてはＥＣＵ６のスレーブとなっている。ここで、右側ヘッドライトの機能と左側ヘッドライトの機能とが同一であるため、ＥＣＵ６の機能とＥＣＵ７の機能も同一となる。以下、ＥＣＵ６を例に挙げて説明するが、ＥＣＵ７についても同様である。
【００１８】
ＥＣＵ６は、図２に示すように、受信部６１と、認証部６２と、送信部６３と、判定部６４とを備える。受信部６１は、プログラム更新を実行すべきことを示す信号をデータセンター１から受信する。認証部６２は、ゲートウエイＥＣＵ４との間で機器認証を実行する。送信部６３は、プログラム更新の許可を要求する信号をプログラム更新管理装置８へ送信し、プログラム更新の結果を示す信号又はプログラム更新を実行しないことを示す信号をデータセンター１へ送信する。判定部６４は、プログラム更新を実行することができるか否かを判定する。更新部６５は、データセンター１から更新用プログラムを受信してプログラム更新を実行し、プログラム更新の結果を示す信号をデータセンター１へ送信する。或いは、更新部６５は、プログラム更新を実行しないことを示す信号をデータセンター１へ送信する。
【００１９】
プログラム更新管理装置８は、図２に示すように、受信部８１と、取得部８２と、判定部８３と、選定部８４と、送信部８５とを備える。また、プログラム更新管理装置８は、少なくとも取得部８２、判定部８３及び選定部８４を備えていればよく、図２に示した構成要素以外の構成要素を備えていてもよい。さらに、プログラム更新管理装置８は、構成要素の少なくとも一つについて同等の機能を備える他の装置を利用してもよい。例えば、プログラム更新管理装置８は、判定部８３の機能をゲートウエイＥＣＵ４に持たせてもよい。また、プログラム更新管理装置８は、例えば、ＥＣＵにより実現される。
【００２０】
受信部８１は、プログラム更新の許可を要求することを示す信号を送信部６３から受信する。
【００２１】
取得部８２は、車両２が利用されているシーンを示すシーン信号を取得する。ここで、シーンとは、乗員による車両２の使用状況及び車両２の周囲の状況の少なくとも一方を意味する。乗員による車両２の使用状況とは、例えば、図３に示した停車中、走行中、乗員の有無である。また、車両２の周囲の状況とは、車両２が位置する場所及び当該場所又は車両２の近辺に位置する施設や構造物の少なくとも一方を意味し、例えば、図３に示した高架下、トンネル、高架下又はトンネルの近辺、開発サイト、ディーラー、サーキットである。
【００２２】
シーン信号は、車両２に搭載されたセンサ等の機器により生成される。例えば、乗員の有無は、車両２に搭載された遠赤外線カメラ、感圧フィルムセンサ又は静電容量センサにより検知される。また、車両２が停車している状態及び車両２が走行している状態は、車両２に搭載された車速センサにより認識される。車両２の位置は、ＧＰＳ（Global  Positioning  System）受信機により取得される。また、車両２の近辺に位置する施設や構造物は、車両２の位置及び地図情報に基づいて取得される。
【００２３】
判定部８３は、シーン信号が示すシーンにおいて同一の機能を有する複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７それぞれの機能が失われた場合に車両２が受ける制約の大きさを示す度合いを判定する。ここで、ＥＣＵの機能は、例えば、プログラムの欠陥、プログラム更新の失敗又は中断による不完全なプログラムの書き込み、プログラムへのマルウェアの混入により失われる。ＥＣＵの機能が失われた場合、当該ＥＣＵが制御している車両２の構成要素の機能が阻害され、車両２が制約を受けてしまうことがある。
【００２４】
また、判定部８３は、度合いを判定する際、複数のＥＣＵ例えば、ＥＣＵ６及びＥＣＵ７それぞれの接続先を考慮する。例えば、判定部８３は、ＥＣＵ６が車両２の右側ヘッドライトに接続されており、ＥＣＵ７が車両２の左側ヘッドライトに接続されているため、これら二つのＥＣＵがハードウェアとして互いに独立していることを前提として度合いを判定する。
【００２５】
例えば、図３に示すように、車両２が停車中であり、車両２に乗員がおり、かつ、左右のヘッドライトの照度が所定の閾値未満である場合、判定部８３は、ＥＣＵ６又はＥＣＵ７の機能が失われた場合に車両が受ける制約の大きさを示す度合いを「Ａ」と判定する。度合い「Ａ」は、車両２が受ける制約が大きいことを示している。或いは、車両２が走行中であり、車両２が位置する場所が高架下等であり、かつ、左右のヘッドライトの照度が所定の閾値未満である場合、判定部８３は、当該度合いを「Ａ」と判定する。なぜなら、これらの場合、ＥＣＵ６が制御する右側ヘッドライト及びＥＣＵ７が制御する左側のヘッドライトの機能が現状から更に失われてしまうことを避ける必要性が高いからである。
【００２６】
一方、車両２が停車中であり、車両２に乗員がいない場合、判定部８３は、左右ヘッドライトの照度に関わらずＥＣＵ６又はＥＣＵ７の機能が失われた場合に車両が受ける制約の大きさを示す度合いを「Ｂ」と判定する。度合い「Ｂ」は、車両２が受ける制約が小さいことを示す。或いは、車両２が位置する場所が開発サイト等である場合、判定部８３は、左右ヘッドライトの照度に関わらず当該度合いを「Ｂ」と判定する。また、左右ヘッドライトの照度が所定の閾値以上となる場合、判定部８３は、シーンに関わらず当該度合いを「Ｂ」と判定する。なぜなら、これらの場合、度合いが「Ａ」と判定された場合よりも、ＥＣＵ６が制御する右側ヘッドライト及びＥＣＵ７が制御する左側のヘッドライトの機能が現状から更に失われてしまうことを避ける必要性が低いからである。
【００２７】
選定部８４は、判定部８３が判定した度合いに基づいて、複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７の中からプログラム更新を実行するＥＣＵを選定する。
【００２８】
例えば、図４に示すように、度合いが「Ａ」と判定されている場合、プログラム更新の失敗によりＥＣＵ６及びＥＣＵ７の機能が現状から更に失われてしまうことを避ける必要性が高い。このため、選定部８４は、マスターであるため、機能が失われるとＥＣＵ７の機能まで失われてしまうＥＣＵ６をプログラム更新を実行するＥＣＵとして選定せず、スレーブであるＥＣＵ７をプログラム更新を実行するＥＣＵとして選定する。
【００２９】
一方、図４に示すように、度合いが「Ｂ」と判定されている場合、度合いが「Ａ」と判定されている場合よりもプログラム更新の失敗によりＥＣＵ６及びＥＣＵ７の機能が現状から更に失われてしまうことを避ける必要性が低い。このため、選定部８４は、マスターであるＥＣＵ６及びスレーブであるＥＣＵ７をプログラム更新を実行するＥＣＵとして選定する。
【００３０】
なお、図３に示した関係及び図４に示した関係の少なくとも一方は、事前にプログラム更新管理装置８の内部又は外部に設置されている記憶媒体に格納されていてもよい。
【００３１】
送信部８５は、選定部８４による選定の結果を示す信号を複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７それぞれに送信する。
【００３２】
次に図５を参照しながら、実施形態に係るプログラム更新管理装置及びＥＣＵが実行する好適な処理について説明する。以下、ＥＣＵ６を例に挙げて説明するが、ＥＣＵ７についても各ステップにおいて同様の処理が実行される。
【００３３】
ステップＳ１において、受信部６１は、プログラム更新を実行すべきことを示す信号をデータセンター１から受信する。
【００３４】
ステップＳ２において、認証部６２は、機器認証を実行する。なお、ステップＳ２は、必須ではない。
【００３５】
ステップＳ３において、送信部６３は、プログラム更新の許可を要求することを示す信号を送信する。
【００３６】
ステップＳ４において、受信部８１は、ステップＳ３で送信された信号を受信する。
【００３７】
ステップＳ５において、取得部８２は、車両２が利用されているシーンを示すシーン信号を取得する。
【００３８】
ステップＳ６において、判定部８３は、ステップＳ５で取得されたシーン信号が示すシーンにおいて同一の機能を有する複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７それぞれの機能が失われた場合に車両２が受ける制約の大きさを示す度合いを判定する。
【００３９】
ステップＳ７において、選定部８４は、ステップＳ６で判定された度合いに基づいて、複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７の中からプログラム更新を実行するＥＣＵ、例えば、ＥＣＵ６を選定する。
【００４０】
ステップＳ８において、送信部８５は、ステップＳ７で実行された選定の結果を示す信号を複数のＥＣＵ、例えば、ＥＣＵ６及びＥＣＵ７それぞれに送信する。
【００４１】
ステップＳ９において、受信部６１は、ステップＳ８で送信された信号を受信する。
【００４２】
ステップＳ１０において、判定部６４は、プログラム更新を実行することができるか否かを判定する。判定部６４は、プログラム更新を実行することができると判定した場合（ステップＳ１０：Ｙｅｓ）、処理をステップＳ１１へ進め、プログラム更新を実行することができないと判定した場合（ステップＳ１０：Ｎｏ）、処理をステップＳ１２へ進める。
【００４３】
ステップＳ１１において、更新部６５は、データセンター１から更新用プログラムを受信してプログラム更新を実行し、プログラム更新の結果を示す信号をデータセンター１へ送信し、処理を終了させる。
【００４４】
ステップＳ１２において、更新部６５は、プログラム更新を実行しないことを示す信号をデータセンター１へ送信し、処理を終了させる。
【００４５】
以上、本発明の一例である実施形態について説明した。実施形態に係るプログラム更新管理装置８は、シーン信号が示すシーンにおいて同一の機能を有する複数のＥＣＵそれぞれの機能が失われた場合に車両２が受ける制約の大きさを示す度合いを判定し、当該度合いに基づいて、複数のＥＣＵの中からプログラム更新を実行するＥＣＵを選定する。
【００４６】
このため、プログラム更新管理装置８は、例えば、更新用プログラムの欠陥、プログラム更新の失敗又は中断による不完全な更新用プログラムの書き込み、更新用プログラムへのマルウェアの混入により、選定したＥＣＵの機能が失われても、車両２が必要以上に制約を受けてしまうことを回避することができる。同時に、プログラム更新管理装置８は、機能が失われても車両２が受ける制約が小さいＥＣＵについては早期にプログラム更新を実行させることができる。
【００４７】
なお、上述した実施形態では、右側のヘッドライトを制御するＥＣＵ６及び左側のヘッドライトを制御するＥＣＵ７を例に挙げて説明したが、プログラム更新管理装置８は、同一の機能を有する複数のＥＣＵであれば、同様の処理を実行することができる。
【００４８】
本発明は、上述した実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内において、他の様々な形態で実施することができる。このため、上述した実施形態はあらゆる点で単なる例示にすぎず、限定的に解釈されるものではない。例えば、上述した各処理ステップは処理内容に矛盾を生じない範囲で任意に順番を変更し、又は並列に実行することができる。
【符号の説明】
【００４９】
１…データセンター、２…車両、３…データ通信モジュール、４…ゲートウエイＥＣＵ、５…バス、６，７…ＥＣＵ、８…プログラム更新管理装置、６１…受信部、６２…認証部、６３…送信部、６４…判定部、６５…更新部、８１…受信部、８２…取得部、８３…判定部、８４…選定部、８５…送信部
【図１】
2019156331.tif 000003
【図２】
2019156331.tif 000004
【図３】
2019156331.tif 000005
【図４】
2019156331.tif 000006
【図５】
2019156331.tif 000007