WO2018139296A1 - 車両制御装置およびプログラム更新システム - Google Patents

車両制御装置およびプログラム更新システム Download PDF

Info

Publication number
WO2018139296A1
WO2018139296A1 PCT/JP2018/001141 JP2018001141W WO2018139296A1 WO 2018139296 A1 WO2018139296 A1 WO 2018139296A1 JP 2018001141 W JP2018001141 W JP 2018001141W WO 2018139296 A1 WO2018139296 A1 WO 2018139296A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
current
storage area
area
control program
Prior art date
Application number
PCT/JP2018/001141
Other languages
English (en)
French (fr)
Inventor
中原　章晴
黒澤　憲一
肇 荒木
秀敏 寺岡
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN201880005461.4A priority Critical patent/CN110178114B/zh
Priority to EP18743938.5A priority patent/EP3575954B1/en
Priority to JP2018564510A priority patent/JP6682019B2/ja
Priority to US16/345,753 priority patent/US10871959B2/en
Publication of WO2018139296A1 publication Critical patent/WO2018139296A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B60W2050/0083—Setting, resetting, calibration
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/45—External transmission of data to or from the vehicle

Definitions

  • the present invention relates to a vehicle control device and a program update system.
  • the vehicle control device is rewritable such as a calculation unit (for example, a microcomputer) that executes a control program that implements an operation for controlling the vehicle, and a FlashROM (Read Only Memory) that stores a control program executed in the calculation unit.
  • a calculation unit for example, a microcomputer
  • a FlashROM Read Only Memory
  • a non-volatile memory is provided.
  • the new version of the control program may be unusable or malfunction, and in the worst case, the vehicle may not be able to move.
  • a flash ROM is provided with a main storage area for storing the current control program and a sub storage area for storing a new version of the control program for update.
  • this vehicle control unit executes an updated control program, it accesses each storage area where programs of different versions are stored, reads and compares the version information given to each control program, The one identified as the new version is executed as the current control program.
  • the current control program is stored in either storage area. It is necessary to determine whether it is stored. The same applies when updating the control program. For this reason, information used to determine in which storage area the current control program is stored is important.
  • an object of the present invention is to appropriately execute and update a plurality of control programs stored in a nonvolatile memory.
  • a vehicle control device includes a rewritable nonvolatile memory and a calculation unit, wherein the nonvolatile memory stores a control program executable by the calculation unit and A current program indicating whether the second storage area and the storage area in which the current control program executed by the arithmetic unit is stored are the first storage area and the second storage area A plurality of management data storage areas for storing management data including area information.
  • FIG. 1 is a configuration diagram of a program update system according to an embodiment of the present invention.
  • This program update system includes a vehicle 1, a server 2, an Internet line 3, and a radio base station 4.
  • the vehicle 1 is connected to the server 2 by wireless communication via the Internet line 3 and the wireless base station 4 and communicates with each other.
  • Wireless communication is realized, for example, using a mobile phone network such as 3G / LTE or a line such as WiFi.
  • the server 2 distributes to the vehicle 1 an update package 5 necessary for updating the control program of the vehicle control device 11 included in the vehicle 1.
  • the vehicle control device 11 of the vehicle 1 updates the control program using the update package 5.
  • FIG. 2 is a configuration diagram of the in-vehicle network system mounted on the vehicle 1.
  • the vehicle control device 11 is a device that executes a control program for controlling the operation of the vehicle 1, and is connected to the gateway 12 via an in-vehicle network 13 (for example, a CAN (Car Area Network)).
  • the vehicle control device 11 can communicate with other vehicle control devices 11 via the gateway 12.
  • the gateway 12 also has a role as a program writing device that controls updating of the control program of the vehicle control device 11.
  • the gateway 12 receives the update package 5 from the server 2, and transmits a control program update command (reprogramming command) and an update control program to the vehicle control device 11.
  • a program writing device may be provided separately from the gateway 12.
  • the gateway 12 includes a communication device 124 including a calculation unit 121, a flash ROM (Read Only Memory) 122, an SRAM (Static Random Access Memory) 123, a CAN transceiver, and a wireless communication module.
  • the calculation unit 121 communicates with the vehicle control device 11 and the server 2 on the in-vehicle network 13 by executing a program stored in the FlashROM 122. Further, when the control program of the vehicle control device 11 is updated, the gateway 12 receives the update package 5 from the server 2 and temporarily stores it in the FlashROM 122, and uses the update package 5 temporarily stored in the vehicle control device. 11 control programs are updated.
  • the HMI (Human-Machine Interface) 14 includes, for example, various display liquid crystal display devices embedded in the center of the dashboard of the vehicle 1, operation switches arranged in the vicinity thereof, an in-vehicle speaker, and the like. .
  • the HMI 14 performs various displays for the occupants of the vehicle 1 and processes various input operations. In addition, the display and operation input related to the update of the control program of the vehicle control device 11 are performed on the HMI 14.
  • FIG. 3 is a functional block diagram of the vehicle control device 11.
  • the vehicle control device 11 includes a calculation unit 111, a flash ROM 112, an SRAM 113, and a communication device 114 (for example, a CAN transceiver).
  • the calculation unit 111 is a calculation device such as a microcomputer that executes a control program stored in the FlashROM 112.
  • each program may be described as an operation subject, but it is the arithmetic unit 111 that actually executes these programs.
  • the flash ROM 112 is a rewritable nonvolatile memory, and stores a start program 1121, a rewrite program 1122, a majority decision determination program 1126, and an validity determination program 1127. Further, the flash ROM 112 includes a first area 1124 as a first storage area, a second area 1125 as a second storage area, a plurality of management data areas 1123a, 1123b, and 1123c as a plurality of management data storage areas, Have
  • the first area 1124 is a storage area for storing a control program that can be executed by the calculation unit 111.
  • the second area 1125 is a storage area that stores a version of the control program that can be executed by the computing unit 111 and that is different from the control program stored in the first area 1124.
  • the plurality of management data areas 1123a, 1123b, and 1123c represent one of the first area 1124 and the second area 1125 as a storage area that stores the current control program to be executed by the computing unit 111.
  • This is a storage area for storing management data including current program area information.
  • the activation program 1121 is a program that is first executed by the calculation unit 111 when the vehicle control device 11 is activated in the normal mode.
  • the rewrite program 1122 is a program executed by the arithmetic unit 111 when the vehicle control device 11 transitions to a reprogramming mode (hereinafter referred to as “repro mode”).
  • repro mode a reprogramming mode
  • the calculation unit 111 leaves the current control program stored in one area of the first area 1124 and the second area 1125 as it is in accordance with a request from the gateway 12, and An old version control program or empty data that is not the current control program stored in the area is rewritten with a new version control program for update (hereinafter simply referred to as “new control program”).
  • new control program In the present embodiment, as an example, in the state before the update, the current control program P1 is stored in the first area 1124, and the old version control program or empty data is stored in the second area 1125. To do.
  • the majority decision determination program 1126 and the validity determination program 1127 will be described later.
  • FIG. 4 is a diagram showing an arrangement example of the management data areas 1123a, 1123b, 1123c.
  • the management data areas 1123a, 1123b, and 1123c are collectively arranged in one of physical blocks that are unit blocks for erasing and writing of the flash ROM 112.
  • the management data areas 1123a, 1123b, and 1123c are configured to store management data 1, 2, and 3 having the same contents.
  • the management data areas 1123a, 1123b, 1123c store management data 1, 2, 3 having the same contents.
  • Each of the management data 1, 2, and 3 includes current program area information.
  • the current program area information is a flag indicating which of the first area 1124 and the second area 1125 stores the current control program.
  • FIG. 5 is a diagram showing another arrangement example of the management data areas 1123a, 1123b, 1123c.
  • the management data areas 1123a, 1123b, and 1123c are distributed and arranged one by one in different physical blocks of the flash ROM 112. By doing so, the possibility of losing all management data due to a write error in a specific physical block can be reduced.
  • FIG. 6 is a sequence diagram illustrating an example of processing for downloading the update package 5 from the server 2 to the gateway 12.
  • the update package 5 is registered in the server 2 as preparation for updating the control program. Then, at the timing when the ignition of the vehicle 1 is activated, the gateway 12 transmits a part number request message M601 for requesting the part number of the current control program to the vehicle control device 11. Upon receiving the part number request message M601, the vehicle control device 11 transmits a response message M602 including the part number of the current control program and current program area information.
  • the part number is a number (identification number) that identifies the control program, and is uniquely assigned to each version of the control program.
  • the current control program, the new control program for update, and the old version of the control program Have different part numbers.
  • the gateway 12 transmits an update package acquisition request message M603 to the server 2.
  • the update package acquisition request message M603 includes the part number and current program area information of the current control program of the vehicle control device 11 acquired from the response message M602.
  • the server 2 selects the corresponding update package 5 from the registered update packages based on the part number and current program area information included therein, and the update package acquisition request message
  • An update package distribution message M604 including the update package 5 is transmitted to the target vehicle 1 that has transmitted M603 (update package selection / distribution process S601).
  • the server 2 transmits a message to that effect to the gateway 12, and the gateway 12 and the vehicle control device 11 start up normally without performing update processing.
  • the gateway 12 accumulates the distributed update package 5 in the FlashROM 122, and when the accumulation of all data of the update package 5 is completed, the gateway 12 transmits a reception completion message M605 to the server 2 (update package accumulation process S602). Thereafter, the gateway 12 updates the control program of the vehicle control device 11 based on the received update package 5.
  • FIG. 7 is a configuration example of the update package 5 that the gateway 12 acquires from the server 2.
  • the update package 5 includes update control information 51 and update data 52.
  • the update control information 51 includes a part number 511 of the current control program, a part number 512 of the new control program, storage area information 513 of the current control program, storage area information 514 of the new control program, and writing block information of a plurality of FlashROMs. Information such as 515 is included.
  • the storage area information 513 of the current control program is information indicating in which area of the first area 1124 and the second area 1125 the current control program of the vehicle control device 11 is stored.
  • the storage area information 514 of the new control program is information indicating the area where the new control program is written in this update.
  • the storage area information 513 “first area 1124” of the current control program is stored before the update, and the “second area 1125” is stored in the storage area information 514 of the new control program.
  • the flash ROM write block information 515 is information indicating the head address and capacity (number of bytes) for each physical block of the Flash ROM.
  • the gateway 12 By including the part number 511 of the current control program and the storage area information 513 of the current control program in the update package 5, the gateway 12 adds these pieces of information together to ensure consistency between the requested data and the received data. Can check. Also, by including the part number 512 of the new control program and the storage area information 514 of the new control program in the update package 5, it can be used for the consistency check at the next update.
  • the update data 52 includes update data 521 which is a new control program for update.
  • the update data 52 is not limited to the new control program itself, and may be, for example, data obtained by compressing the new control program, difference data between the current control program and the new control program, or the like.
  • FIG. 8 is a sequence diagram showing an example of a process in which the vehicle control device 11 updates the control program.
  • the update sequence in the present embodiment will be described below with reference to FIG.
  • the gateway 12 When the gateway 12 starts updating the control program (repro start), the gateway 12 first transmits a current program information request message M801 to the vehicle control device 11 to request information on the current control program.
  • the vehicle control device 11 When receiving the current program information request message M801, the vehicle control device 11 acquires information on the current control program, and includes the result in the information response message M802 and transmits it to the gateway 12 (current program information acquisition processing S801).
  • the information on the current control program acquired here is the part number of the current control program and the current program area information.
  • the current program area information is stored in a plurality of management data areas 1123a, 1123b, and 1123c. Current program information acquisition processing S801 for acquiring the current program area information will be described later.
  • the gateway 12 compares the part number and current program area information of the current control program included in the received information response message M802 with the part number and current program area information of the current control program held by the gateway 12 itself, and performs control.
  • the program update start is determined (repro start determination process S802).
  • the repro start determination process S802 will be described later. If the comparison result is the same, the gateway 12 transmits a mode transition request message Mmode to the vehicle control device 11 to cause the vehicle control device 11 to transition from the normal mode to the repro mode.
  • the calculation unit 111 of the vehicle control device 11 executes the rewrite program 1122. Thereby, the vehicle control apparatus 11 and the gateway 12 start a program update process. If the comparison results do not match, the program update process is not started.
  • the gateway 12 transmits an update program write message M803 to the vehicle control device 11 so as to write a new control program for update in the write destination area.
  • the update program write message M803 includes update data 521 (new control program for update) of the update package 5 and storage area information 514 of the new control program.
  • the vehicle control apparatus 11 in the repro mode receives the update program write message M803 from the gateway 12, the vehicle control apparatus 11 updates the area indicated by the storage area information 514 of the new control program in the first area 1124 and the second area 1125. Data 521 is written (writing process S803).
  • the vehicle control device 11 differs from the area indicated in the current program area information acquired from the management data areas 1123a, 1123b, and 1123c, and the area indicated in the storage area information 514 of the new control program ( That is, the update data 521 may be written after confirming that the new control program is written to an area different from the area storing the current control program.
  • the vehicle control device 11 transmits a write completion response message M804 to the gateway 12 when writing of the update data 521 is completed.
  • the gateway 12 transmits a data validity check message M805 to the vehicle control device 11 so as to check the validity of the written data.
  • the vehicle control device 11 Upon receiving the data validity check message M805, the vehicle control device 11 checks the validity of the written new control program for update (data validity check processing S804). In the data validity check, it is verified whether there is an error in the data of the written new control program (whether update data has been written correctly). Specifically, this is performed by error detection means using a checksum, CRC (Cyclic Redundancy Check), or hash value.
  • CRC Cyclic Redundancy Check
  • the gateway 12 determines whether or not switching from one area of the first area 1124 and the second area 1125 to the other area is possible as the area where the current control program is stored. (Current program area switching determination processing S805). The current program area switching determination process S805 will be described later. If it is determined that switching is possible, a current program area switching request message M807 is transmitted to the vehicle control device 11. When receiving the current program area switching request message M807, the vehicle control device 11 switches the area in which the current control program is stored (current program area switching processing S806). The current program area switching process S806 will be described later.
  • the gateway 12 Upon receiving the area switching completion response message M808 from the vehicle control device 11, the gateway 12 transmits a mode transition request message Mmode to the vehicle control device 11 to cause the vehicle control device 11 to transition from the repro mode to the normal mode. And the vehicle control apparatus 11 is reset. By resetting, the vehicle control device 11 is restarted in the normal mode, and the calculation unit 111 executes the startup program 1121 to execute the newly written new control program as the current control program.
  • FIG. 9 is a flowchart showing an example of the current program information acquisition process S801. Each step in FIG. 9 will be described below.
  • the arithmetic unit 111 of the vehicle control device 11 When the arithmetic unit 111 of the vehicle control device 11 receives the current program information request message M801 from the gateway 12, it starts the processing shown in this flowchart.
  • the calculation unit 111 reads the part number of the current control program and a plurality of current program area information stored in the management data areas 1123a, 1123b, 1123c (S8011).
  • the calculation unit 111 performs a majority decision on the current program area information, and when the majority of all the current program area information matches, determines that the value indicated in the matched current program area information is correct information. (Majority determination processing S8012, details will be described later). When the majority of the current program area information matches, the calculation unit 111 subsequently determines the validity of the data obtained as a result of the majority decision (validity determination processing S8013, details will be described later).
  • an information response message M802 including the part number of the current control program represented in the current program area information and the current program area information is transmitted (response) to the gateway 12 (S8014). ).
  • the gateway 12 uses the information to acquire a new control program for update from the server. The acquired new control program can be checked.
  • an information response message M802 including error information is transmitted (response) to the gateway 12 (S8015).
  • FIG. 10 is a flowchart showing an example of the majority decision process S8012. Each step in FIG. 10 will be described below.
  • the calculation unit 111 starts the processing shown in this flowchart by executing the majority decision program 1126.
  • the current program area information in the management data area 1123a (“current program area information # 1” in FIG. 10) matches the current program area information in the management data area 1123b (“current program area information # 2” in FIG. 10). It is determined whether or not to perform (S80121). If they match, the data is adopted as correct current program area information, and “majority match” is returned (S80124). If they do not match, it is next determined whether the current program area information in the management data area 1123b matches the current program area information in the management data area 1123c ("current program area information # 3" in FIG. 10) (S80122). . If they match, the data is adopted as correct current program area information, and “majority match” is returned (S80124). If they do not match, it is next determined whether “current program area information # 1” and “current program area information # 3” match (S80123). If they match, the data is adopted as correct current program area information, and “majority match” is returned (S80124).
  • the configuration having the three management data areas 1123a, 1123b, and 1123c has been described as an example.
  • the number is not necessarily three, and may be more.
  • the number of management data areas is preferably an odd number, but may be an even number.
  • the number of management data areas is an even number, for example, the most current match among the plurality of current program area information may be adopted as the correct current program area information. Similar effects can be obtained.
  • FIG. 11 is a flowchart showing an example of the validity determination process S8013. Each step in FIG. 11 will be described below.
  • the calculation unit 111 starts the processing shown in this flowchart by executing the validity determination program 1127.
  • the current program area information adopted in the above-described majority decision processing S8012 is acquired (S80131). Next, it is determined whether or not the acquired current program area information is a valid value (a value included in a range of values that can be taken as the current program area information) as information indicating the storage area of the current control program (S80132). . In the present embodiment, the value indicates either the first area 1124 or the second area 1125. If it is a valid value, it is adopted as correct current program area information and "valid" is returned (S80133).
  • a valid value a value included in a range of values that can be taken as the current program area information
  • the value indicates either the first area 1124 or the second area 1125. If it is a valid value, it is adopted as correct current program area information and "valid" is returned (S80133).
  • FIG. 12 is a configuration example of an information response message M802 transmitted from the vehicle control device 11 to the gateway 12.
  • the information response message M802 includes a command M8021, a part number M8022, and current program area information M8023.
  • the command M8021 stores information indicating that this message is a response to the current program information request message M801.
  • the part number M8022 stores the part number of the current control program of the vehicle control device 11.
  • the current program area information M8023 stores information indicating an area in which the current control program of the vehicle control device 11 is stored.
  • the part number M8022 and the current program area information M8023 store the information acquired in the above-described current program information acquisition process S801.
  • FIG. 13 is a flowchart showing an example of the repro start determination process S802 executed in the gateway 12. Each step in FIG. 13 will be described below.
  • the gateway 12 (specifically, the calculation unit 121) receives the information response message M802, the gateway 12 starts the processing shown in this flowchart.
  • the gateway 12 compares the part number 511 of the current control program included in the update package 5 received from the server 2 and stored in the FlashROM 122 with the part number M8022 included in the information response message M802 received from the vehicle control device 11. (S8021). When these part numbers match, the gateway 12 compares the storage area information 513 of the current control program included in the update package 5 with the current program area information M8023 included in the information response message M802 received from the vehicle control device 11. To do. If they match, the gateway 12 transmits a mode transition request message Mmode, which is a command to transition to the repro mode, to the vehicle control device 11 (S8023), and the vehicle control device 11 transitions from the normal mode to the repro mode. The program update process is started (S8024).
  • Mmode is a command to transition to the repro mode
  • the gateway 12 transmits a message notifying the error to the server (S8025), and stops (does not start) the program update processing (S8026).
  • the gateway 12 can detect an abnormality by checking the current program area information of the vehicle control device 11, and an erroneous program update can be performed in advance on the gateway 12 side. Can be prevented.
  • FIG. 14 is a flowchart showing an example of the current program area switching determination process S805 executed in the gateway 12. Each step in FIG. 14 will be described below.
  • the gateway 12 performs the processing shown in this flowchart in order to switch the control program executed by the calculation unit 111 of the vehicle control device 11 to the new control program written from the current control program. Execute.
  • the gateway 12 determines whether or not the vehicle is stopped (S8051). If the vehicle is stopped, the gateway 12 transmits a current program area switching request message M807 to the vehicle control device 11 (S8052). On the other hand, when the vehicle is not stopped, the current program area switching request message is not transmitted. When the vehicle is not stopped, the HMI 14 may prompt the driver to stop the vehicle by screen display or voice guidance. By doing so, it is possible to prevent the control program from being switched during traveling, and it is possible to avoid abnormal operation of the vehicle due to switching of the control program during traveling.
  • FIG. 15 is a configuration example of a current program area switching request message M807 transmitted from the gateway 12 to the vehicle control device 11. As shown in FIG. 15, it has a command M8071 and switching destination area information M8072.
  • Command M8071 indicates that this message is a current program area switching request message M807.
  • the switching destination area information M8072 is information indicating the area where the new control program is written, and in the present embodiment, “second area” is stored as an example.
  • FIG. 16 is a flowchart showing an example of the current program area switching process S806. Each step in FIG. 16 will be described below.
  • the arithmetic unit 111 of the vehicle control device 11 When the arithmetic unit 111 of the vehicle control device 11 receives the current program area switching request message M807 from the gateway 12, it starts the processing shown in this flowchart.
  • the calculation unit 111 determines whether the switching destination is the first area 1124 or the second area 1125 based on the switching destination area information M8072 of the received current program area switching request message M807 (S8061).
  • the switching destination area is “second area”
  • the data validity check result of the second area 1125 is read (S8062)
  • the read validity check result is determined (S8064), and the result is normal.
  • the “second area” is stored in the current program area information of all the management data areas 1123a, 1123b, 1123c (S8065).
  • the switching destination area is “first area”
  • the validity check result of the data in the first area 1124 is read (S8063), the read validity check result is determined (S8066), and the result is normal.
  • the "first area” is stored in the current program area information of all the management data areas 1123a, 1123b, 1123c (S8067).
  • the calculation unit 111 transmits an area switching completion response message M808 to the gateway 12 (S8068).
  • the validity check result in step S8064 or step S8066 is abnormal, the management data areas 1123a, 1123b, 1123c are not updated, and an area switching failure response message is transmitted to the gateway 12 (S8069).
  • FIG. 17 is a flowchart showing an example of the operation of the activation program 1121 (activation process S1700). Each step in FIG. 17 will be described below.
  • the operation unit 111 executes the activation program 1121 to start the processing shown in this flowchart.
  • the calculation unit 111 reads the current program area information stored in the plurality of management data areas 1123a, 1123b, 1123c (S1701).
  • the calculation unit 111 performs a majority decision on the current program area information, and determines that data in which a majority of the current program area information matches is correct information (majority decision processing S1702). Subsequently, the calculation unit 111 determines the validity of the current program area information determined to be correct information by the majority decision (validity determination processing S1703).
  • the details of the majority decision process S1702 and the validity determination process S1703 are the same as the majority decision process S8012 and the validity determination process S8013 shown in FIGS.
  • the calculation unit 111 executes the control program stored in the first area (S1704), and the result of the validity determination process S1703. Is normal and “second area”, the control program stored in the second area is executed (S1705).
  • the vehicle control apparatus 11 includes the Flash ROM 112 and the calculation unit 111, and the Flash ROM 112 stores the first area 1124 and the second area in which the control program executable by the calculation unit 111 is stored.
  • 1125 and management data including current program area information representing one storage area of the first area 1124 and the second area 1125 as a storage area storing the current control program to be executed by the computing unit 111 It has a plurality of management data areas 1123a, 1123b, 1123c to be stored.
  • the storage area storing the current control program can be determined using the other management data. Therefore, erroneous execution and updating of a plurality of control programs stored in the FlashROM 112 can be effectively suppressed.
  • the present invention is not limited to the above embodiment, and includes various modifications.
  • the above-described embodiment has been described in detail for easy understanding of the present invention, and is not necessarily limited to one having all the configurations described.
  • a part of the configuration of an embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of an embodiment.
  • the configuration has the flash ROM 112 as a non-volatile memory for storing the control program.
  • the present invention is not limited to this.
  • other rewritable devices such as an EEPROM (Electrically Erasable Programmable Read-Only Memory) are available.
  • a nonvolatile memory device may be used.
  • the configuration example having the first area 1124 and the second area 1125 in one FlashROM 112 has been described.
  • the first area 1124 is arranged in one of two storage devices such as FlashROM.
  • the second area 1125 may be disposed on the other side.
  • the configuration in which the management data stored in the management data areas 1123a, 1123b, and 1123c includes only the current program area information indicating the storage area in which the current control program is stored has been described.
  • the management data may include other information in addition to the current program area information.
  • FIG. Another configuration example of the management data is shown in FIG.
  • the management data may include, in addition to the current program area information, a control program part number, a hash value or a checksum value used for checking the validity of the stored control program.
  • the configuration in which the management data stored in the management data areas 1123a, 1123b, and 1123c includes the current program area information indicating the storage area in which the current control program is stored has been described.
  • the management data includes information indicating the storage area to which the new control program is written when the control program is updated. It may be a configuration. In this configuration, the storage area that is not the storage area where the new control program is written can be regarded as storing the current control program, and can be handled in the same manner as the current program area information.
  • the configuration includes the three management data areas 1123a, 1123b, and 1123c.
  • the present invention is not limited to this.
  • a configuration having only one management data area may be used.
  • the control program is executed and the control program is updated by determining that it represents an area in which the program is stored. If the value is not normal, an alarm such as an error is issued. In this way, it can be determined that the value of the current program area information has been rewritten to an abnormal value (a value that represents neither the first area 1124 nor the second area 1125) for some reason.
  • the update process of the control program it is normal to write the latest version of the control program.
  • the new control program for update is an old version of the control program.
  • the updated version of the control program refers to a control program written by the immediately preceding or previous update sequence.
  • each of the above-described configurations, functions, processing units, processing means, and the like may be realized by hardware, for example, by designing them with an integrated circuit.
  • Each of the above-described configurations, functions, and the like may be realized by software by interpreting and executing a program that realizes each function by the processor.
  • Information such as programs, tables, and files for realizing each function can be stored in a recording device such as a memory, a hard disk, an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Stored Programmes (AREA)

Abstract

本発明は、不揮発メモリに格納した複数の制御プログラムの誤った実行および更新を効果的に抑制できる車両制御装置およびプログラム更新システムを提供する。本発明の車両制御装置１１は、ＦｌａｓｈＲＯＭ１１２と、演算部１１１とを有している。そして、ＦｌａｓｈＲＯＭ１１２は、演算部１１１が実行可能な制御プログラムを格納する第１エリア１１２４および第２エリア１１２５と、演算部１１１に実行されるべき現行の制御プログラムを格納している記憶領域として第１エリア１１２４および第２エリア１１２５のうちの一方の記憶領域を表す現行プログラムエリア情報を含む管理データを格納する複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃと、を有している。

Description

車両制御装置およびプログラム更新システム
　本発明は、車両制御装置およびプログラム更新システムに関するものである。
　車両制御装置は、車両を制御する動作を実装した制御プログラムを実行する演算部（例えばマイクロコンピュータ）、およびこの演算部に実行される制御プログラムを格納するＦｌａｓｈＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）などの書き換え可能な不揮発メモリを備える。
　従来、車両制御装置の制御プログラムの更新は、販売店や整備工場などに持ち込まれた車両に専門の整備員がプログラム書込装置を接続して行うことが多かった。しかし、車両が無線通信によりインターネットに常時接続する、いわゆる「コネクティッド・ビークル」の急速な普及により、カーナビゲーションシステムにおける機能追加や地図データなどの更新と同様に、車両の制御プログラムについても、無線通信を介してユーザ自身で更新を行うことが想定されるようになってきた。
　その一方で、車両制御装置の制御プログラムの更新時に何らかの要因（通信の途絶、ハードウェア異常発生など）で新バージョンの制御プログラムの書き込みが失敗してしまった場合には、新バージョンの制御プログラムはもちろんのこと、旧バージョンの制御プログラムも使用不能あるいは機能不全を来たすことととなり、最悪の場合、車両を動かせなくなるおそれがある。
　そこで、例えば下記特許文献１に開示された自動車用制御ユニットでは、現行の制御プログラムを格納する主格納エリアと、更新用の新バージョンの制御プログラムを格納する副格納エリアとをＦｌａｓｈＲＯＭに設け、制御プログラムの更新の際、各エリアに交互に書き込みを行うことにより、新バージョンの制御プログラムの書き込みに失敗しても、旧バージョンの制御プログラムは引き続き使用可能となるようにしている。
　この自動車制御用ユニットは、更新後の制御プログラムを実行する際、バージョンの異なるプログラムが格納されたそれぞれの格納エリアにアクセスして、各制御プログラムに付与されているバージョン情報を読み出して比較し、新しいバージョンとして識別された方を現行の制御プログラムとして実行する。
特開２００６－３０１９６０号公報
　上述した自動車制御ユニットのように、格納エリアに格納されたバージョンの異なる２つの制御プログラムのうちのより新しいバージョンを現行の制御プログラムとして実行する構成においては、どちらの格納エリアに現行の制御プログラムが格納されているか判断する必要がある。制御プログラムの更新の際にも同様である。そのため、どちらの格納エリアに現行の制御プログラムが格納されているかの判断に用いる情報は重要である。
　そこで、本発明は、不揮発メモリに格納した複数の制御プログラムの実行及び更新を適切に行うことを目的とする。
　本発明の一実施形態に係る車両制御装置は、書き換え可能な不揮発メモリと、演算部とを有し、前記不揮発メモリが、前記演算部が実行可能な制御プログラムを格納する第１の記憶領域及び第２の記憶領域と、前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第１の記憶領域及び前記第２の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有する。
本発明の一実施形態に係る車両制御装置を備えたプログラム更新システムの構成図である。 車両が有する車載ネットワークシステムの構成図である。 車両制御装置の機能ブロック図である。 管理データエリアの配置例を示す図である。 管理データエリアの他の配置例を示す図である。 更新パッケージを車両にダウンロードする処理の一例を示すシーケンス図である。 更新パッケージの構成例を示す図である。 車両制御装置が制御プログラムを更新する処理の一例を示すシーケンス図である。 車両制御装置によって実行される、現行プログラムエリア情報を取得する処理の一例を示すフローチャートである。 多数決判定処理の一例を示すフローチャートである。 有効性判定処理の一例を示すフローチャートである。 車両制御装置がゲートウェイに現行プログラムエリア情報を送信するための応答メッセージの構成例である。 ゲートウェイによって実行される、リプログラミングを開始するか判定する処理の一例を示すフローチャートである。 ゲートウェイによって実行される、車両制御装置にプログラムエリア切替え要求を行う処理の一例を示すフローチャートである。 プログラムエリア切替え要求のコマンド例である。 車両制御装置がプログラムエリア切替えを行う処理の一例を示すフローチャートである。 車両制御装置において実行される、制御プログラムを起動する処理の一例を示すフローチャートである。 現行プログラムエリア情報を含む複数の情報を有する管理データの構成例を示す図である。
　以下に、本発明の一実施形態に係るプログラム更新システムについて、各図を参照して説明する。
　図１は、本発明の一実施形態に係るプログラム更新システムの構成図である。このプログラム更新システムは、車両１、サーバ２、インターネット回線３、無線基地局４を備える。車両１は、インターネット回線３および無線基地局４を介し、無線通信によりサーバ２と接続し、相互に通信する。無線通信は、例えば、３Ｇ／ＬＴＥなどの公衆回線による携帯電話網やＷｉＦｉなどの回線を用いて実現される。サーバ２は、車両１が有する車両制御装置１１の制御プログラムの更新に必要な更新パッケージ５を、車両１に対して配信する。車両１の車両制御装置１１は、その更新パッケージ５を用いて制御プログラムの更新を行う。
　図２は、車両１に搭載された車載ネットワークシステムの構成図である。車両制御装置１１は、車両１の動作を制御する制御プログラムを実行する装置であり、車載ネットワーク１３（例えばＣＡＮ（Ｃａｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ））を介してゲートウェイ１２と接続されている。車両制御装置１１は、ゲートウェイ１２を介して他の車両制御装置１１と通信することができる。
　また、ゲートウェイ１２は、車両制御装置１１の制御プログラムの更新を制御するプログラム書込装置としての役割も有する。ゲートウェイ１２は、サーバ２から更新パッケージ５を受信し、車両制御装置１１に対して制御プログラムの更新命令（リプログラミング命令）および更新用の制御プログラムを送信する。ゲートウェイ１２とは別に、プログラム書込装置を設けてもよい。
　ゲートウェイ１２は、演算部１２１、ＦｌａｓｈＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１２２、ＳＲＡＭ（Ｓｔａｔｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１２３、ＣＡＮトランシーバおよび無線通信モジュールを含む通信装置１２４を有している。演算部１２１は、ＦｌａｓｈＲＯＭ１２２に格納されたプログラムを実行することにより、車載ネットワーク１３上の車両制御装置１１やサーバ２との間で通信を行う。また、車両制御装置１１の制御プログラムの更新時に、ゲートウェイ１２は、サーバ２から更新パッケージ５を受信してＦｌａｓｈＲＯＭ１２２に一時的に格納し、一時的に格納したこの更新パッケージ５を用いて車両制御装置１１の制御プログラムの更新を行う。
　また、ＨＭＩ（Ｈｕｍａｎ－Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ）１４は、例えば、車両１のダッシュボート中央に埋め込まれた各種表示用の液晶ディスプレイ装置、その近傍に配置された操作スイッチ類および車載スピーカなどで構成されている。ＨＭＩ１４は、車両１の乗員に対して各種表示を行ったり、各種入力操作を処理したりする。また、ＨＭＩ１４は、車両制御装置１１の制御プログラムの更新に係る表示や操作入力が行われる。
　図３は、車両制御装置１１の機能ブロック図である。車両制御装置１１は、演算部１１１、ＦｌａｓｈＲＯＭ１１２、ＳＲＡＭ１１３、通信装置１１４（例えばＣＡＮトランシーバ）を備える。
　演算部１１１は、ＦｌａｓｈＲＯＭ１１２が格納している制御プログラムを実行する、例えばマイクロコンピュータなどの演算装置である。以下では記載の便宜上、各プログラムを動作主体として説明する場合があるが、実際にこれらプログラムを実行するのは演算部１１１である。
　ＦｌａｓｈＲＯＭ１１２は、書き換え可能な不揮発メモリであって、起動プログラム１１２１、書換プログラム１１２２、多数決判定プログラム１１２６、有効性判定プログラム１１２７を格納している。さらにＦｌａｓｈＲＯＭ１１２は、第１の記憶領域としての第１エリア１１２４と、第２の記憶領域としての第２エリア１１２５と、複数の管理データ格納領域としての複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃと、を有する。
　第１エリア１１２４は、演算部１１１が実行可能な制御プログラムを格納する記憶領域である。第２エリア１１２５は、演算部１１１が実行可能でかつ第１エリア１１２４に格納された制御プログラムと異なるバージョンの制御プログラムを格納する記憶領域である。複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは、演算部１１１に実行されるべき現行の制御プログラムを格納している記憶領域として第１エリア１１２４および第２エリア１１２５のうちの一方の記憶領域を表す現行プログラムエリア情報を含む管理データを格納する記憶領域である。
　起動プログラム１１２１は、車両制御装置１１が通常モードで起動したとき演算部１１１が最初に実行するプログラムである。
　書換プログラム１１２２は、車両制御装置１１がリプログラミングモード（以下、「リプロモード」という。）に遷移したとき演算部１１１が実行するプログラムである。演算部１１１は、書換プログラム１１２２を実行すると、ゲートウェイ１２からの要求にしたがって、第１エリア１１２４および第２エリア１１２５のうちの一方のエリアに格納されている現行の制御プログラムをそのまま残し、他方のエリアに格納されている現行の制御プログラムでない旧バージョンの制御プログラムまたは空データを更新用の新バージョンの制御プログラム（以下、単に「新制御プログラム」という。）に書換える。本実施形態では、一例として、更新前の状態において、第１エリア１１２４に現行の制御プログラムＰ１が格納されており、第２エリア１１２５に旧バージョンの制御プログラムまたは空データが格納されているものとする。
　多数決判定プログラム１１２６および有効性判定プログラム１１２７については後述する。
　図４は、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃの配置例を示す図である。管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは、ＦｌａｓｈＲＯＭ１１２の消去および書込みの単位ブロックである物理ブロックの１つにまとめて配置されている。管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは、同一内容の管理データ１、２、３を格納するように構成されている。本実施形態では、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは、同一内容の管理データ１、２、３を格納する。管理データ１、２、３は、それぞれに現行プログラムエリア情報を含んでいる。
　現行プログラムエリア情報は、第１エリア１１２４および第２エリア１１２５のどちらが現行の制御プログラムを格納しているかを表すフラグである。
　図５は、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃの他の配置例を示す図である。管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは、ＦｌａｓｈＲＯＭ１１２の異なる物理ブロックに一つずつ分散して配置されている。このようにすることで、特定の物理ブロックでの書込みエラー等により、すべての管理データを失う可能性を低くすることができる。
　図６は、更新パッケージ５をサーバ２からゲートウェイ１２にダウンロードする処理の一例を示すシーケンス図である。
　車両制御装置１１の制御プログラムの修正が行われると、制御プログラムの更新の準備として、サーバ２への更新パッケージ５の登録が行われる。そして、車両１のイグニッションを起動したタイミングで、ゲートウェイ１２は、車両制御装置１１に対して、現行の制御プログラムの部品番号を要求する部品番号要求メッセージＭ６０１を送信する。車両制御装置１１は、部品番号要求メッセージＭ６０１を受信すると、現行の制御プログラムの部品番号と現行プログラムエリア情報を含む応答メッセージＭ６０２を送信する。部品番号は、制御プログラムを識別する番号（識別番号）であり、各バージョンの制御プログラム毎に一意に付されており、現行の制御プログラムと更新用の新制御プログラムと旧バージョンの制御プログラムとは互いに異なる部品番号を持つ。
　次に、ゲートウェイ１２は、サーバ２に対して、更新パッケージ取得要求メッセージＭ６０３を送信する。更新パッケージ取得要求メッセージＭ６０３には、応答メッセージＭ６０２から取得した車両制御装置１１の現行の制御プログラムの部品番号と現行プログラムエリア情報が含まれる。サーバ２は、更新パッケージ取得要求メッセージＭ６０３を受信すると、それに含まれる部品番号と現行プログラムエリア情報に基づき、登録されている更新パッケージの中から該当する更新パッケージ５を選択し、更新パッケージ取得要求メッセージＭ６０３を送信したターゲットの車両１に更新パッケージ５を含む更新パッケージ配信メッセージＭ６０４を送信する（更新パッケージの選択／配信処理Ｓ６０１）。
サーバ２に、現行の制御プログラムの部品番号と現行プログラムエリア情報を送信することで、サーバ２において適切な更新パッケージ５を選択することができる。なお、該当する更新パッケージ５がない場合、サーバ２はその旨を示すメッセージをゲートウェイ１２に送信し、ゲートウェイ１２および車両制御装置１１は更新処理を行わずに通常通り起動する。
　ゲートウェイ１２は、配信された更新パッケージ５をＦｌａｓｈＲＯＭ１２２に蓄積し、更新パッケージ５の全データの蓄積が完了すると、サーバ２に対して受信完了メッセージＭ６０５を送信する（更新パッケージ蓄積処理Ｓ６０２）。この後、ゲートウェイ１２は、受信した更新パッケージ５に基づき、車両制御装置１１の制御プログラムの更新を実行する。
　図７は、ゲートウェイ１２がサーバ２から取得する更新パッケージ５の構成例である。
更新パッケージ５は、更新制御情報５１と更新データ５２から成る。
　更新制御情報５１は、現行の制御プログラムの部品番号５１１、新制御プログラムの部品番号５１２、現行の制御プログラムの格納エリア情報５１３、新制御プログラムの格納先エリア情報５１４、複数のＦｌａｓｈＲＯＭの書込みブロック情報５１５などの情報を含む。
　現行の制御プログラムの格納エリア情報５１３は、車両制御装置１１の現行の制御プログラムが第１エリア１１２４および第２エリア１１２５のどちらのエリアに格納されているかを表す情報である。新制御プログラムの格納先エリア情報５１４は、本更新で新制御プログラムを書込む先のエリアを示す情報である。本実施形態では、更新前の状態において、現行の制御プログラムの格納エリア情報５１３「第１エリア１１２４」が格納され、新制御プログラムの格納先エリア情報５１４に「第２エリア１１２５」が格納される。ＦｌａｓｈＲＯＭの書込みブロック情報５１５は、ＦｌａｓｈＲＯＭの物理ブロック毎の先頭アドレスや容量（バイト数）を示す情報である。更新パッケージ５に、現行の制御プログラムの部品番号５１１および現行の制御プログラムの格納エリア情報５１３を含めることで、ゲートウェイ１２においてこれら情報を付き合わせて、要求したデータと受信したデータとの整合性をチェックできる。また、更新パッケージ５に、新制御プログラムの部品番号５１２および新制御プログラムの格納先エリア情報５１４を含めることで、次回更新時の上記整合性チェックに用いることができる。
　更新データ５２は、更新用の新制御プログラムである更新データ５２１を含む。更新データ５２は、新制御プログラムそのものに限らず、例えば、新制御プログラムを圧縮処理したデータや、現行の制御プログラムと新制御プログラムとの差分データなどであってもよい。
　図８は、車両制御装置１１が制御プログラムを更新する処理の一例を示すシーケンス図である。図８にしたがって、本実施形態における更新シーケンスについて以下に説明する。
　ゲートウェイ１２は、制御プログラムの更新を開始（リプロ開始）すると、最初に車両制御装置１１に対して現行プログラム情報要求メッセージＭ８０１を送信して現行の制御プログラムに関する情報を要求する。車両制御装置１１は、現行プログラム情報要求メッセージＭ８０１を受信すると、現行の制御プログラムに関する情報を取得して、結果を情報応答メッセージＭ８０２に含めてゲートウェイ１２に送信する（現行プログラム情報取得処理Ｓ８０１）。ここで取得する現行の制御プログラムに関する情報は、現行の制御プログラムの部品番号と現行プログラムエリア情報である。現行プログラムエリア情報は、複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃに格納されているが、それを取得する現行プログラム情報取得処理Ｓ８０１については後述する。
　ゲートウェイ１２は、受信した情報応答メッセージＭ８０２に含まれる現行の制御プログラムの部品番号および現行プログラムエリア情報とゲートウェイ１２自身が持つ現行の制御プログラムの部品番号および現行プログラムエリア情報とを比較して、制御プログラムの更新開始の判定を行う（リプロ開始判定処理Ｓ８０２）。リプロ開始判定処理Ｓ８０２については後述する。比較結果が一致であれば、ゲートウェイ１２は、車両制御装置１１に対してモード遷移要求メッセージＭｍｏｄｅを送信し、車両制御装置１１を通常モードからリプロモードに遷移させる。リプロモードに遷移すると、車両制御装置１１の演算部１１１は、書換プログラム１１２２を実行する。これにより車両制御装置１１およびゲートウェイ１２は、プログラム更新処理を開始する。比較結果が不一致であれば、プログラム更新処理を開始しない。
　プログラム更新処理では、ゲートウェイ１２は、車両制御装置１１に対して、書込み先エリアに更新用の新制御プログラムを書き込むよう更新プログラム書込メッセージＭ８０３を送信する。この更新プログラム書込メッセージＭ８０３には、更新パッケージ５の更新データ５２１（更新用の新制御プログラム）および新制御プログラムの格納先エリア情報５１４が含まれている。リプロモードにある車両制御装置１１は、ゲートウェイ１２から更新プログラム書込メッセージＭ８０３を受信すると、第１エリア１１２４および第２エリア１１２５のうちの新制御プログラムの格納先エリア情報５１４に示されるエリアに更新データ５２１を書き込む（書込み処理Ｓ８０３）。この書き込みの際に、車両制御装置１１は、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃから取得した現行プログラムエリア情報に示されるエリアと、新制御プログラムの格納先エリア情報５１４に示されるエリアとが異なる（すなわち現行の制御プログラムを格納しているエリアとは異なるエリアに対して新制御プログラムの書き込みを行う）ことを確認してから、更新データ５２１を書き込むようにしてもよい。車両制御装置１１は、更新データ５２１の書き込みがすべて完了するとゲートウェイ１２に対して書込完了応答メッセージＭ８０４を送信する。
　ゲートウェイ１２は、車両制御装置１１に対して、書き込んだデータの正当性をチェックするようデータ正当性チェックメッセージＭ８０５を送信する。車両制御装置１１は、データ正当性チェックメッセージＭ８０５を受信すると、書き込んだ更新用の新制御プログラムの正当性をチェックする（データ正当性チェック処理Ｓ８０４）。データの正当性チェックでは、書き込まれた新制御プログラムのデータに誤りがないか（更新データが正しく書き込まれたか）を検証する。具体的には、チェックサムやＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）、ハッシュ値を用いた誤り検出手段によってこれを実施する。車両制御装置１１は、データの正当性が確認されると、ゲートウェイ１２にデータ正当応答メッセージＭ８０６を送信する。
　データの正当性が確認されると、ゲートウェイ１２は、現行の制御プログラムが格納されているエリアとして第１エリア１１２４および第２エリア１１２５のうちの一方のエリアから他方のエリアへの切替え可否を判定する（現行プログラムエリア切替え判定処理Ｓ８０５）。現行プログラムエリア切替え判定処理Ｓ８０５については後述する。切替え可能と判定した場合、車両制御装置１１に現行プログラムエリア切替え要求メッセージＭ８０７を送信する。車両制御装置１１は、現行プログラムエリア切替え要求メッセージＭ８０７を受信すると、現行の制御プログラムが格納されているエリアの切替えを行う（現行プログラムエリア切替え処理Ｓ８０６）。現行プログラムエリア切替え処理Ｓ８０６については後述する。
　ゲートウェイ１２は、車両制御装置１１からエリア切替え完了応答メッセージＭ８０８を受信すると、車両制御装置１１に対してモード遷移要求メッセージＭｍｏｄｅを送信して、車両制御装置１１をリプロモードから通常モードに遷移させ、かつ、車両制御装置１１をリセットさせる。リセットにより車両制御装置１１は通常モードで再起動し、演算部１１１が起動プログラム１１２１を実行して、新たに書き込まれた新制御プログラムを現行の制御プログラムとして実行する。
　図９は、現行プログラム情報取得処理Ｓ８０１の一例を示すフローチャートである。図９の各ステップについて以下に説明する。
　車両制御装置１１の演算部１１１は、ゲートウェイ１２から現行プログラム情報要求メッセージＭ８０１を受信すると、本フローチャートに示す処理を開始する。
　演算部１１１は、現行の制御プログラムの部品番号と管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃに格納される複数の現行プログラムエリア情報を読込む（Ｓ８０１１）。
　次に、演算部１１１は、現行プログラムエリア情報の多数決判定を実施し、すべての現行プログラムエリア情報うちの過半数が一致した場合に、当該一致した現行プログラムエリア情報に示される値を正しい情報と判定する（多数決判定処理Ｓ８０１２、詳細は後述する）。現行プログラムエリア情報の過半数が一致した場合、続けて、演算部１１１は、多数決判定の結果得られたデータの有効性判定を行う（有効性判定処理Ｓ８０１３、詳細は後述する）。
　有効性判定の結果が「有効」の場合、現行プログラムエリア情報に表される現行の制御プログラムの部品番号および当該現行プログラムエリア情報を含む情報応答メッセージＭ８０２をゲートウェイ１２に送信（応答）する（Ｓ８０１４）。現行プログラムエリア情報に表される現行の制御プログラムの部品番号および当該現行プログラムエリア情報をゲートウェイ１２に送信することで、ゲートウェイ１２においてこれら情報を用いてサーバから更新用の新制御プログラムを取得するとともに、取得した新制御プログラムのチェックを行うことができる。
　現行プログラムエリア情報の過半数が一致しない場合または有効性判定の結果が「有効でない」の場合は、エラー情報を含む情報応答メッセージＭ８０２をゲートウェイ１２に送信（応答）する（Ｓ８０１５）。
　図１０は、多数決判定処理Ｓ８０１２の一例を示すフローチャートである。図１０の各ステップについて以下に説明する。
　演算部１１１は、多数決判定プログラム１１２６を実行することにより、本フローチャートに示す処理を開始する。
　最初に、管理データエリア１１２３ａの現行プログラムエリア情報（図１０では「現行プログラムエリア情報＃１」）と管理データエリア１１２３ｂの現行プログラムエリア情報（図１０では「現行プログラムエリア情報＃２」）が一致するか判定する（Ｓ８０１２１）。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す（Ｓ８０１２４）。一致しなかった場合は、次に管理データエリア１１２３ｂの現行プログラムエリア情報と管理データエリア１１２３ｃの現行プログラムエリア情報（図１０では「現行プログラムエリア情報＃３」）が一致するか判定する（Ｓ８０１２２）。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す（Ｓ８０１２４）。一致しなかった場合は、次に「現行プログラムエリア情報＃１」と「現行プログラムエリア情報＃３」が一致するか判定する（Ｓ８０１２３）。一致した場合、そのデータを正しい現行プログラムエリア情報として採用し、「過半数が一致」を返す（Ｓ８０１２４）。
　「現行プログラムエリア情報＃１」、「現行プログラムエリア情報＃１」および「現行プログラムエリア情報＃３」のうちの少なくとも２つが一致しない場合は、一致するデータ無しとみなして、「エラー（不一致）」を返す（Ｓ８０１２５）。
　このように、複数の現行プログラムエリア情報のうち少なくとも過半数の一致が見られたものを正しい現行プログラムエリア情報として採用とすることで、万一、現行プログラムエリア情報の１つに、異常（データ化け）が発生しても、正しいと推測される他の現行プログラムエリア情報を用いた動作を継続することが可能となる。
　なお、本実施形態では、３つの管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃを有する構成を例にとり説明したが、必ずしも３つである必要はなく、それ以上であってもよい。また、管理データエリアの数は、奇数であることが好ましいが偶数であってもよい。管理データエリアの数が偶数の場合は、例えば、複数の現行プログラムエリア情報のうち最も多く一致が見られたものを正しい現行プログラムエリア情報として採用してもよく、このような構成においても多数決と同様の作用効果が得られる。
　図１１は、有効性判定処理Ｓ８０１３の一例を示すフローチャートである。図１１の各ステップについて以下に説明する。
　演算部１１１は、有効性判定プログラム１１２７を実行することにより、本フローチャートに示される処理を開始する。
　上述の多数決判定処理Ｓ８０１２において採用された現行プログラムエリア情報を取得する（Ｓ８０１３１）。次に、取得した現行プログラムエリア情報が、現行の制御プログラムの格納エリアを表す情報として有効な値（現行プログラムエリア情報として取り得る値の範囲に含まれる値）か否かを判定する（Ｓ８０１３２）。本実施形態では、第１エリア１１２４または第２エリア１１２５のいずれかを示す値となる。有効な値であれば、正しい現行プログラムエリア情報として採用し、「有効」を返す（Ｓ８０１３３）。
　一方、取得したデータが、有効なデータ範囲内でない場合は、範囲エラーとして、「有効でない」を返す（Ｓ８０１３４）。本実施形態では、第１エリア１１２４または第２エリア１１２５を示す値でなかった場合を指す。
　このように、現行プログラムエリア情報について多数決判定処理Ｓ８０１２に加え、当該情報自体の有効性をチェックすることで、異常な情報に基づいた処理を事前に防ぐことができる。
　図１２は、車両制御装置１１がゲートウェイ１２に送信する情報応答メッセージＭ８０２の構成例である。情報応答メッセージＭ８０２は、コマンドＭ８０２１、部品番号Ｍ８０２２、現行プログラムエリア情報Ｍ８０２３を有する。
　コマンドＭ８０２１は、本メッセージが現行プログラム情報要求メッセージＭ８０１の応答であることを示す情報が格納される。部品番号Ｍ８０２２は、車両制御装置１１の現行の制御プログラムの部品番号が格納される。現行プログラムエリア情報Ｍ８０２３は、車両制御装置１１の現行の制御プログラムが格納されるエリアを表す情報が格納される。
部品番号Ｍ８０２２および現行プログラムエリア情報Ｍ８０２３は、上述の現行プログラム情報取得処理Ｓ８０１にて取得された情報が格納される。
　図１３は、ゲートウェイ１２において実行されるリプロ開始判定処理Ｓ８０２の一例を示すフローチャートである。図１３の各ステップについて以下に説明する。
　ゲートウェイ１２（具体的には演算部１２１）は、情報応答メッセージＭ８０２を受信すると、本フローチャートに示される処理を開始する。
　ゲートウェイ１２は、サーバ２から受信し、ＦｌａｓｈＲＯＭ１２２に蓄積した更新パッケージ５に含まれる現行の制御プログラムの部品番号５１１と車両制御装置１１から受信した情報応答メッセージＭ８０２に含まれる部品番号Ｍ８０２２とを比較する（Ｓ８０２１）。これら部品番号が一致した場合、ゲートウェイ１２は、更新パッケージ５に含まれる現行の制御プログラムの格納エリア情報５１３と車両制御装置１１から受信した情報応答メッセージＭ８０２に含まれる現行プログラムエリア情報Ｍ８０２３とを比較する。
これらが一致する場合、ゲートウェイ１２は、車両制御装置１１に対してリプロモードへの遷移の命令であるモード遷移要求メッセージＭｍｏｄｅを送信し（Ｓ８０２３）、車両制御装置１１を通常モードからリプロモードに遷移させ、プログラムの更新処理を開始する（Ｓ８０２４）。
　ステップＳ８０２１およびＳ８０２２の比較処理において、不一致となった場合は、ゲートウェイ１２は、エラーを通知するメッセージをサーバに送信し（Ｓ８０２５）、プログラム更新処理を中止する（開始しない）（Ｓ８０２６）。
　このように、リプロモードを開始する前に、ゲートウェイ１２において、車両制御装置１１の現行プログラムエリア情報をチェックすることで、異常を検出することができ、誤ったプログラム更新を事前にゲートウェイ１２側で防ぐことができる。
　図１４は、ゲートウェイ１２において実行される現行プログラムエリア切替え判定処理Ｓ８０５の一例を示すフローチャートである。図１４の各ステップについて以下に説明する。
　車両制御装置１１の現行の制御プログラムが格納されていない第２エリア１１２５への新制御プログラムの書込み（書込み処理Ｓ８０３）が完了し、更に、書込まれたデータの正当性をチェックするデータ正当性チェック処理Ｓ８０４が完了した後、ゲートウェイ１２は、車両制御装置１１の演算部１１１に実行される制御プログラムを、現行の制御プログラムから書込みした新制御プログラムに切替えるために、本フローチャートに示される処理を実行する。
　ゲートウェイ１２は、車両が停車中かどうかを判定（Ｓ８０５１）し、停車中であれば、車両制御装置１１に現行プログラムエリア切替え要求メッセージＭ８０７を送信する（Ｓ８０５２）。一方、車両が停車中でない場合は、現行プログラムエリア切替え要求メッセージは送信しない。なお、車両が停車中でない場合、ＨＭＩ１４により、画面表示や音声によるガイダンスで運転者に車両の停車を促すようにしてもよい。このようにすることで、走行中に制御プログラムを切替えてしまうことを防ぐことができ、走行中の制御プログラムの切替えによる車両の異常動作などを回避することができる。
　図１５は、ゲートウェイ１２から車両制御装置１１に送信する現行プログラムエリア切替え要求メッセージＭ８０７の構成例である。図１５に示すように、コマンドＭ８０７１、切替え先エリア情報Ｍ８０７２を有する。
　コマンドＭ８０７１は、本メッセージが現行プログラムエリア切替え要求メッセージＭ８０７であることを示す。切替え先エリア情報Ｍ８０７２は、新制御プログラムを書込んだ先のエリアを表す情報であり、本実施形態では、一例として「第２エリア」が格納される。
　図１６は、現行プログラムエリア切替え処理Ｓ８０６の一例を示すフローチャートである。図１６の各ステップについて以下に説明する。
　車両制御装置１１の演算部１１１は、ゲートウェイ１２から現行プログラムエリア切替え要求メッセージＭ８０７を受信すると、本フローチャートに示される処理を開始する。
　演算部１１１は、受信した現行プログラムエリア切替え要求メッセージＭ８０７の切替え先エリア情報Ｍ８０７２に基づき、切替え先が第１エリア１１２４か第２エリア１１２５かを判断する（Ｓ８０６１）。切替え先エリアが「第２エリア」の場合、第２エリア１１２５のデータの正当性チェック結果を読み出し（Ｓ８０６２）、読み出した正当性チェック結果を判定して（Ｓ８０６４）、結果が正常であるとき、すべての管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃの現行プログラムエリア情報に「第２エリア」を格納する（Ｓ８０６５）。または、切替え先エリアが「第１エリア」の場合、第１エリア１１２４のデータの正当性チェック結果を読み出し（Ｓ８０６３）、読み出した正当性チェック結果を判定して（Ｓ８０６６）、結果が正常であるとき、すべての管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃの現行プログラムエリア情報に「第１エリア」を格納する（Ｓ８０６７）。
　演算部１１１は、すべての管理データエリア１１２３ａ～１１２３ｃの更新が完了したら、ゲートウェイ１２にエリア切替え完了応答メッセージＭ８０８を送信する（Ｓ８０６８）。一方、ステップＳ８０６４またはステップＳ８０６６における正当性チェック結果が異常であった場合は、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃの更新は行わず、ゲートウェイ１２にエリア切替え失敗応答メッセージを送信する（Ｓ８０６９）。
　新制御プログラムの書込み処理Ｓ８０３が正常でなかった場合（データの正当性チェックが異常となった場合）は、すべての管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃは更新されずに現行の制御プログラムが格納されている制御エリアを表したままとなる。そのため、次回の起動において、正常に書込みされなかった新制御プログラムが実行されることはなく、現行の制御プログラムが以前と同様に実行される。これにより、正常に書込みされなかった新制御プログラムを実行することを回避して、現行の制御プログラムを実行することができる。
　図１７は、起動プログラム１１２１の動作（起動処理Ｓ１７００）の一例を示すフローチャートである。図１７の各ステップについて以下に説明する。
　演算部１１１は、例えば割込信号などによってイグニッションが起動された旨を検知すると、起動プログラム１１２１を実行することにより本フローチャートに示される処理を開始する。
　演算部１１１は、複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃに格納される現行プログラムエリア情報を読込む（Ｓ１７０１）。
　演算部１１１は、現行プログラムエリア情報の多数決判定を実施し、現行プログラムエリア情報の過半数が一致したデータを正しい情報と判定する（多数決判定処理Ｓ１７０２）。続けて、演算部１１１は、多数決判定により正しい情報と判定された現行プログラムエリア情報の有効性判定を行う（有効性判定処理Ｓ１７０３）。多数決判定処理Ｓ１７０２および有効性判定処理Ｓ１７０３の詳細は、図１０および図１１に示す多数決判定処理Ｓ８０１２および有効性判定処理Ｓ８０１３と同様である。
　演算部１１１は、有効性判定処理Ｓ１７０３の結果が正常でかつ「第１エリア」だった場合は、第１エリアに格納されている制御プログラムを実行し（Ｓ１７０４）、有効性判定処理Ｓ１７０３の結果が正常でかつ「第２エリア」だった場合は、第２エリアに格納されている制御プログラムを実行する（Ｓ１７０５）。
　または、多数決判定処理Ｓ１７０２および有効性判定処理Ｓ１７０３の結果がエラーだった場合は、起動エラーとする（Ｓ１７０６）。
　以上説明したように、本実施形態の車両制御装置１１は、ＦｌａｓｈＲＯＭ１１２と、演算部１１１とを有し、ＦｌａｓｈＲＯＭ１１２が、演算部１１１が実行可能な制御プログラムを格納する第１エリア１１２４および第２エリア１１２５と、演算部１１１に実行されるべき現行の制御プログラムを格納している記憶領域として第１エリア１１２４および第２エリア１１２５のうちの一方の記憶領域を表す現行プログラムエリア情報を含む管理データを格納する複数の管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃと、を有している。このようにしたことから、万一１つの管理データが破壊されても、他の管理データを用いて現行の制御プログラムを格納している記憶領域を判断することができる。
したがって、ＦｌａｓｈＲＯＭ１１２に格納した複数の制御プログラムの誤った実行および更新を効果的に抑制できる。
　＜変形例について＞
  本発明は上記実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換える事が可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について他の構成の追加・削除・置換をすることができる。
　上述した実施形態では、制御プログラムを格納する不揮発メモリとしてＦｌａｓｈＲＯＭ１１２を有する構成であったが、これに限定されるものではなく、例えば、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ　Ｅｒａｓａｂｌｅ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ－Ｏｎｌｙ　Ｍｅｍｏｒｙ）などその他の書き換え可能な不揮発性記憶装置を用いてもよい。
　また、上述した実施形態では、１つのＦｌａｓｈＲＯＭ１１２内に第１エリア１１２４および第２エリア１１２５を有する構成例を説明したが、例えば、２つのＦｌａｓｈＲＯＭなどの記憶装置の一方に第１エリア１１２４を配置し、他方に第２エリア１１２５を配置して実現することもできる。また制御プログラムを格納する記憶領域を３つ以上の複数個設け、上記実施形態と同様の構成を実現することもできる。この構成において、制御プログラムの更新時は、例えば、各記憶領域（または記憶装置）に対して循環的順番で制御プログラムを書き込み（上書き）してもよい。
　また、上述した実施形態では、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃに格納される管理データには、現行の制御プログラムが格納されている記憶領域を表す現行プログラムエリア情報のみを含む構成を説明したが、これに限定されるものではない。
例えば、管理データは、現行プログラムエリア情報に加えて他の情報を含んでいてもよい。管理データの他の構成例を図１８に示す。この例では、管理データは、現行プログラムエリア情報に加えて、制御プログラムの部品番号や、格納した制御プログラムの正当性チェックに使うハッシュ値やチェックサム値なども含んでよい。
　また、上述した実施形態では、管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃに格納される管理データには、現行の制御プログラムが格納される記憶領域を表す現行プログラムエリア情報を含む構成を説明したが、例えば、制御プログラムを格納する記憶領域が２つの場合（第１エリア１１２４および第２エリア１１２５）は、管理データに、制御プログラムの更新時における新制御プログラムの書込先の記憶領域を示す情報を含む構成であってもよい。この構成においては、新制御プログラムの書込み先の記憶領域ではない方の記憶領域が現行の制御プログラムを格納しているものとみなして、上記現行プログラムエリア情報と同様に扱うことができる。
　また、上述した実施形態では、３つの管理データエリア１１２３ａ、１１２３ｂ、１１２３ｃを有する構成であったが、これに限定されるものではない。たとえば、１つの管理データエリアのみ有する構成であってもよい。この構成においては、管理データエリアの現行プログラムエリア情報が、正常な値（すなわち第１エリア１１２４または第２エリア１１２５のいずれかを表す値）であるときのみ、当該現行プログラムエリア情報が現行の制御プログラムを格納しているエリアを表すものと判断して、制御プログラムの実行や、制御プログラムの更新を行う。正常な値でない場合は、エラーなどの警報をおこなう。このようにすることで、何らかの原因により現行プログラムエリア情報の値が異常な値（第１エリア１１２４および第２エリア１１２５のいずれも表さない値）に書き換わってしまったことを判断できる。
　また、制御プログラムの更新処理においては、制御プログラムの最新版を書き込むのが通常であるが、諸事情によっては現行の制御プログラムのバージョンより古いバージョンの制御プログラムに更新する可能性もある。この場合、更新用の新制御プログラムとは、古いバージョンの制御プログラムである。すなわち制御プログラムの更新版とは、直前またはそれ以前の更新シーケンスによって書き込まれた制御プログラムのことを指す。
　また、上記各構成、機能、処理部、処理手段等は、それらの一部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
　１…車両、２…サーバ、３…インターネット回線、４…無線基地局、５…更新パッケージ、１１…車両制御装置、１２…ゲートウェイ（プログラム書込装置）、１３…車載ネットワーク、１４…ＨＭＩ、１１２１…起動プログラム、１１２２…書換プログラム、１１２３ａ、１１２３ｂ、１１２３ｃ…管理データエリア（管理データ格納領域）、１１２４…第１エリア（記憶領域）、１１２５…第２エリア（記憶領域）、１１２６…多数決判定プログラム、１１２７…有効性判定プログラム。
 

Claims (14)

  1. 　書き換え可能な不揮発メモリと、演算部とを有し、
    　前記不揮発メモリが、
    　前記演算部が実行可能な制御プログラムを格納する第１の記憶領域及び第２の記憶領域と、
    　前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第１の記憶領域及び前記第２の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有していることを特徴とする車両制御装置。
  2. 　前記複数の管理データ格納領域が、前記不揮発性メモリが有する複数の異なる書換え単位ブロックに一つずつ配置されていることを特徴とする請求項１記載の車両制御装置。
  3. 　前記演算部が、前記複数の管理データ格納領域のそれぞれから前記現行プログラムエリア情報を読み出して比較し、過半数一致したまたは最も多く一致した前記現行プログラムエリア情報を、前記現行の制御プログラムが格納されている記憶領域を表す前記現行プログラムエリア情報と判断することを特徴とする請求項１に記載の車両制御装置。
  4. 　前記演算部が、前記複数の管理データ格納領域から前記現行プログラムエリア情報を読み出して比較し、過半数一致したまたは最も多く一致した前記現行プログラムエリア情報が、前記第１の記憶領域及び前記第２の記憶領域のいずれかを表す場合、前記現行プログラムエリア情報を、前記現行の制御プログラムを格納している記憶領域を表すものと判断することを特徴とする請求項１に記載の車両制御装置。
  5. 　前記演算部が、前記現行の制御プログラムを格納している記憶領域を表すと判断した前記現行プログラムエリア情報を、前記車両制御装置の前記制御プログラムの更新を制御するプログラム書込装置に送信することを特徴とする請求項３に記載の車両制御装置。
  6. 　前記演算部が、制御プログラムの切替え要求を受けた場合、当該要求に含まれる切替え先の記憶領域に格納されている制御プログラムの正当性を確認し、正当性が確認できたとき、すべての前記複数の管理データ格納領域に格納されている前記現行プログラムエリア情報を前記切替え先の記憶領域を表す値に書換えることを特徴とする請求項１に記載の車両制御装置。
  7. 　前記演算部が、前記現行の制御プログラムを格納している記憶領域を表すと判断した前記現行プログラムエリア情報が表す記憶領域に格納された前記制御プログラムを実行することを特徴とする請求項４または請求項５に記載の車両制御装置。
  8. 　書き換え可能な不揮発メモリと、演算部とを有し、
    　前記不揮発メモリが、
    　前記演算部が実行可能な制御プログラムを格納する第１の記憶領域及び第２の記憶領域と、
    　前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第１の記憶領域及び前記第２の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する１つの管理データ格納領域と、を有し、
    　前記演算部が、前記管理データ格納領域に格納されている前記現行プログラムエリア情報が前記第１の記憶領域及び前記第２の記憶領域のいずれかを表す場合、前記現行プログラムエリア情報を、前記現行の制御プログラムを格納している記憶領域を表すものと判断することを特徴とする車両制御装置。
  9. 　書き換え可能な不揮発メモリと、演算部とを有し、
    　前記不揮発メモリが、
    　前記演算部が実行可能な制御プログラムを格納する第１の記憶領域及び第２の記憶領域と、
    　前記演算部が実行している現行の制御プログラムが格納されている記憶領域が、前記第１の記憶領域及び前記第２の記憶領域のいずれであるかを表す現行プログラムエリア情報を含む管理データを格納する複数の管理データ格納領域と、を有する、車両に搭載される車両制御装置と、
    　前記車両に搭載され、前記車両制御装置と車載ネットワークを通じて接続されて前記車両制御装置の制御プログラムの更新を制御するプログラム書込装置と、
    　前記車両制御装置の更新用の制御プログラムを含む更新パッケージを前記プログラム書込装置に無線通信を介して配信するサーバと、を備えたことを特徴とするプログラム更新システム。
  10. 　前記プログラム書込装置が、前記現行の制御プログラムを表す識別番号と前記現行プログラムエリア情報とを前記サーバに送信し、
    　前記サーバが、前記プログラム書込装置から送信された前記識別番号および前記現行プログラムエリア情報に基づいて選択された前記更新パッケージを当該プログラム書込装置に配信することを特徴とする請求項９に記載のプログラム更新システム。
  11. 　前記更新パッケージが、
    　前記現行の制御プログラムを表す識別番号と、
    　前記現行プログラムエリア情報と、
    　更新用の制御プログラムを表す識別番号と、
    　前記更新用の制御プログラムを格納する記憶領域が第１の記憶領域及び第２の記憶領域のいずれであるかを表す情報と、を含むことを特徴とする請求項１０に記載のプログラム更新システム。
  12. 　前記プログラム書込装置が、前記サーバに送信した前記識別番号および前記現行プログラムエリア情報と、前記サーバから受信した前記更新パッケージに含まれる前記識別番号および前記現行プログラムエリア情報とが、それぞれ一致したときのみ、前記車両制御装置の前記制御プログラムの更新処理を実行することを特徴とする請求項１１に記載のプログラム更新システム。
  13. 　前記プログラム書込装置が、前記更新パッケージに含まれる更新用の制御プログラムが前記車両制御装置の前記不揮発メモリに正常に書き込まれ、かつ、前記車両が停車中であると判定したとき、前記車両制御装置に、前記現行プログラムエリア情報を前記更新用の制御プログラムが書き込まれた記憶領域を表す値に切替える要求を送信することを特徴とする請求項９～請求項１２のいずれか一項に記載のプログラム更新システム。
  14. 　前記プログラム書込装置が、前記更新パッケージに含まれる更新用の制御プログラムが前記車両制御装置の前記不揮発メモリに正常に書き込まれ、かつ、前記車両が停車中でないと判定したとき、前記車両の停車を促すための処理を実行することを特徴とする請求項１３に記載のプログラム更新システム。
PCT/JP2018/001141 2017-01-25 2018-01-17 車両制御装置およびプログラム更新システム WO2018139296A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201880005461.4A CN110178114B (zh) 2017-01-25 2018-01-17 车辆控制装置以及程序更新系统
EP18743938.5A EP3575954B1 (en) 2017-01-25 2018-01-17 Vehicle control device and program updating system
JP2018564510A JP6682019B2 (ja) 2017-01-25 2018-01-17 プログラム更新システムおよびプログラム書込装置
US16/345,753 US10871959B2 (en) 2017-01-25 2018-01-17 Vehicle control device and program update system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-010806 2017-01-25
JP2017010806 2017-01-25

Publications (1)

Publication Number Publication Date
WO2018139296A1 true WO2018139296A1 (ja) 2018-08-02

Family

ID=62978295

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/001141 WO2018139296A1 (ja) 2017-01-25 2018-01-17 車両制御装置およびプログラム更新システム

Country Status (5)

Country Link
US (1) US10871959B2 (ja)
EP (1) EP3575954B1 (ja)
JP (1) JP6682019B2 (ja)
CN (1) CN110178114B (ja)
WO (1) WO2018139296A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020027669A (ja) * 2018-08-10 2020-02-20 株式会社デンソー 車両用プログラム書換えシステム，車両用プログラム書換え方法，パッケージ配信用プログラム，センター装置及びパッケージ配信方法
JP2020144682A (ja) * 2019-03-07 2020-09-10 パナソニックＩｐマネジメント株式会社 プログラム更新システム、制御システム、移動体、プログラム更新方法及びプログラム
JP2021022018A (ja) * 2019-07-24 2021-02-18 株式会社日立製作所 サーバ、ソフトウェア更新システム、およびソフトウェア更新装置
WO2021186247A1 (ja) * 2020-03-18 2021-09-23 日産自動車株式会社 ソフトウェア更新装置、ソフトウェア更新方法及びソフトウェア更新処理プログラム
JP2022066260A (ja) * 2018-10-15 2022-04-28 株式会社オートネットワーク技術研究所 車載更新装置、更新処理プログラム、プログラムの更新方法及び車載更新システム

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7224472B2 (ja) * 2019-08-05 2023-02-17 日立Astemo株式会社 車両制御装置、更新プログラム、プログラム更新システム、及び書込み装置
JP7502014B2 (ja) * 2019-10-31 2024-06-18 トヨタ自動車株式会社 車両用制御装置、プログラム更新方法、及びプログラム更新システム
JP7461755B2 (ja) * 2020-02-21 2024-04-04 日立Astemo株式会社 情報処理装置、プログラム更新システム、及びプログラム更新方法
US11461087B2 (en) * 2020-02-28 2022-10-04 Toyota Motor North America, Inc. Transport sensor data update
CN113377407B (zh) * 2020-03-10 2023-02-17 上汽通用汽车有限公司 基于posix接口的域控制器刷新方法和装置
JPWO2021186205A1 (ja) * 2020-03-18 2021-09-23
JP7362583B2 (ja) 2020-09-23 2023-10-17 株式会社東芝 情報処理装置
US20230367582A1 (en) * 2020-09-29 2023-11-16 Nissan Motor Co., Ltd. Vehicle electronic control system, and method for updating program used therein
JP7452452B2 (ja) * 2021-02-02 2024-03-19 トヨタ自動車株式会社 Ｏｔａマスタ、ソフトウェアの更新制御方法及び更新制御プログラム、ｏｔａマスタを備える車両

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004046453A (ja) * 2002-07-10 2004-02-12 Nec Electronics Corp シングルチップマイクロコンピュータおよびそのブート領域切り替え方法
JP2007011734A (ja) * 2005-06-30 2007-01-18 Denso Corp 車載制御装置
WO2013021423A1 (ja) * 2011-08-10 2013-02-14 トヨタ自動車株式会社 リプログラミングシステム及びリプログラミング方法
JP2013254264A (ja) * 2012-06-05 2013-12-19 Denso Corp 電子制御装置
WO2016047312A1 (ja) * 2014-09-26 2016-03-31 日立オートモティブシステムズ株式会社 車両制御装置、リプログラミングシステム
WO2016136014A1 (ja) * 2015-02-26 2016-09-01 三菱電機株式会社 監視レコーダ
JP2016170740A (ja) * 2015-03-16 2016-09-23 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0425199B1 (en) * 1989-10-27 1996-06-19 Hitachi, Ltd. Motor vehicle control system and control unit thereof
US7366589B2 (en) 2004-05-13 2008-04-29 General Motors Corporation Method and system for remote reflash
JP2006163933A (ja) * 2004-12-08 2006-06-22 Hitachi Ltd 制御データ記憶装置
JP4548601B2 (ja) 2005-04-20 2010-09-22 株式会社デンソー 自動車用制御ユニット
US20060259207A1 (en) 2005-04-20 2006-11-16 Denso Corporation Electronic control system for automobile
US20080228512A1 (en) * 2006-12-08 2008-09-18 Michael Calkins Cross-jurisdictional towing administration and data management system
JP5260081B2 (ja) * 2008-02-25 2013-08-14 パナソニック株式会社 情報処理装置及びその制御方法
US8831823B2 (en) 2009-10-15 2014-09-09 Airbiquity Inc. Centralized management of motor vehicle software applications and services
JP5603942B2 (ja) * 2010-08-03 2014-10-08 本田技研工業株式会社 車両用プログラム書換えシステム
CN102982263A (zh) * 2012-11-19 2013-03-20 中国联合网络通信集团有限公司 应用程序保护方法和设备
JP5864510B2 (ja) * 2013-10-18 2016-02-17 富士通株式会社 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置
JP5949732B2 (ja) * 2013-11-27 2016-07-13 株式会社オートネットワーク技術研究所 プログラム更新システム及びプログラム更新方法
US9841970B2 (en) * 2015-01-13 2017-12-12 Ford Global Technologies, Llc Vehicle control update methods and systems
DE112016000992T5 (de) * 2015-03-30 2017-11-16 Honda Motor Co., Ltd. Programmneuschreibvorrichtung und programmneuschreibverfahren
JP6281535B2 (ja) * 2015-07-23 2018-02-21 株式会社デンソー 中継装置、ｅｃｕ、及び、車載システム
US20180074813A1 (en) * 2016-09-14 2018-03-15 General Motors Llc Installing vehicle updates

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004046453A (ja) * 2002-07-10 2004-02-12 Nec Electronics Corp シングルチップマイクロコンピュータおよびそのブート領域切り替え方法
JP2007011734A (ja) * 2005-06-30 2007-01-18 Denso Corp 車載制御装置
WO2013021423A1 (ja) * 2011-08-10 2013-02-14 トヨタ自動車株式会社 リプログラミングシステム及びリプログラミング方法
JP2013254264A (ja) * 2012-06-05 2013-12-19 Denso Corp 電子制御装置
WO2016047312A1 (ja) * 2014-09-26 2016-03-31 日立オートモティブシステムズ株式会社 車両制御装置、リプログラミングシステム
WO2016136014A1 (ja) * 2015-02-26 2016-09-01 三菱電機株式会社 監視レコーダ
JP2016170740A (ja) * 2015-03-16 2016-09-23 日立オートモティブシステムズ株式会社 ソフト更新装置、ソフト更新方法

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020027669A (ja) * 2018-08-10 2020-02-20 株式会社デンソー 車両用プログラム書換えシステム，車両用プログラム書換え方法，パッケージ配信用プログラム，センター装置及びパッケージ配信方法
JP7413709B2 (ja) 2018-08-10 2024-01-16 株式会社デンソー 車両用プログラム書換えシステム，車両用プログラム書換え方法，パッケージ配信用プログラム，センター装置及びパッケージ配信方法
JP2022066260A (ja) * 2018-10-15 2022-04-28 株式会社オートネットワーク技術研究所 車載更新装置、更新処理プログラム、プログラムの更新方法及び車載更新システム
JP2020144682A (ja) * 2019-03-07 2020-09-10 パナソニックＩｐマネジメント株式会社 プログラム更新システム、制御システム、移動体、プログラム更新方法及びプログラム
JP2021022018A (ja) * 2019-07-24 2021-02-18 株式会社日立製作所 サーバ、ソフトウェア更新システム、およびソフトウェア更新装置
JP7177755B2 (ja) 2019-07-24 2022-11-24 株式会社日立製作所 サーバ、ソフトウェア更新システム、およびソフトウェア更新装置
WO2021186247A1 (ja) * 2020-03-18 2021-09-23 日産自動車株式会社 ソフトウェア更新装置、ソフトウェア更新方法及びソフトウェア更新処理プログラム
JPWO2021186247A1 (ja) * 2020-03-18 2021-09-23
US12106089B2 (en) 2020-03-18 2024-10-01 Nissan Motor Co., Ltd. Software updating device, software updating method, and software update processing program

Also Published As

Publication number Publication date
CN110178114A (zh) 2019-08-27
EP3575954A1 (en) 2019-12-04
US10871959B2 (en) 2020-12-22
JPWO2018139296A1 (ja) 2019-06-27
EP3575954B1 (en) 2023-08-02
US20190265967A1 (en) 2019-08-29
JP6682019B2 (ja) 2020-04-15
CN110178114B (zh) 2023-05-12
EP3575954A4 (en) 2020-10-21

Similar Documents

Publication Publication Date Title
WO2018139296A1 (ja) 車両制御装置およびプログラム更新システム
US20220391192A1 (en) Ota master, center, system, method, non-transitory storage medium, and vehicle
JP6547904B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP7298427B2 (ja) プログラム更新システムおよびプログラム更新方法
US12039322B2 (en) OTA master, center, system, update method, non-transitory storage medium, and vehicle
US20220405083A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
US12050903B2 (en) OTA master, system, method, non-transitory storage medium, and vehicle
KR102610730B1 (ko) 차량의 업데이트 제공 장치 및 컴퓨터 기록 매체
US12086582B2 (en) Vehicle controller, updated program, program updating system, and writing device
US20220317994A1 (en) Ota master, update control method, and non-transitory storage medium
US11755308B2 (en) Software update device, update control method, and non-transitory storage medium
EP3944074A1 (en) Software update apparatus, update control method, non-transitory storage medium storing update control program, server, ota master, and center
KR20240078424A (ko) Ota 마스터, 갱신 제어 방법, 비일시적인 기억 매체, 및 차량
US20220391193A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
EP3945417B1 (en) Software update device, update control method, non-transitory storage medium, and server
US20220405080A1 (en) Ota master, system, method, non-transitory storage medium, and vehicle
JP7540402B2 (ja) センタ、ｏｔａマスタ、システム、方法、プログラム、及び車両
CN116149906A (zh) 车辆里程信息的备份方法、装置、车辆及存储介质
JP2022180976A (ja) Ｏｔａセンタ、更新管理方法、更新管理プログラム、ｏｔａマスタ、更新制御方法および更新制御プログラム
US20230185564A1 (en) Control device and management method
JP7559600B2 (ja) Ｏｔａマスタ、センタ、システム、方法、プログラム、及び車両
CN112988201A (zh) 程序更新方法、装置以及电子设备
CN115244505A (zh) 信息处理装置、程序更新系统以及程序更新方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18743938

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018564510

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018743938

Country of ref document: EP

Effective date: 20190826