JP2019086963A - プログラム更新装置、プログラム更新システム及びプログラム更新方法 - Google Patents

Abstract

【課題】ユーザに負担を掛けることなく、安全かつ確実にプログラム更新の実行を実現するプログラム更新装置、プログラム更新システム及びプログラム更新方法を提供する。【解決手段】プログラム更新システム１００における、ソフトウェアプログラムに基づき動作する車載装置１との間で情報を送受信する通信部を備え、該通信部から前記ソフトウェアプログラムに対する更新情報を送信して更新処理を実行するプログラム更新装置２であって、車輌Ｖの操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別する判別部と、オフ状態へ切り替えられたと判別された場合、走行禁止状態への遷移及びイグニッションオン状態への維持を指示する状態制御部と、状態制御部からの指示に応じて車輌が走行禁止状態へ遷移し、且つ、イグニッションオン状態が維持されたことを確認した後に、更新情報に基づき更新処理を開始する更新処理部とを備える。【選択図】図１

Description

本開示は、プログラム更新装置、プログラム更新システム及びプログラム更新方法に関する。

昨今の車輌では、記憶されている制御プログラムに基づく処理を行なう多数のＥＣＵ（Electronic Control Unit ）を車載制御装置として用い、その多数のＥＣＵが互いに連携して多種多様な機能を実現している。一部であってもソフトウェアにバグ等の問題がある場合、車載制御システム全体に影響を及ぼしかねないので、発見されたバグを修正した新しいバージョンへのプログラム更新が可及的速やかになされることが望まれる。

従前でのプログラム更新は、ディーラにおける専門の技術者が所謂スキャンツール端末をダイアグ端子が露出されている車載機に接続させ、この車載機を介してスキャンツール端末から更新プログラムを車載ネットワークへ流すなどの対応がなされていた。しかしながら、この対応ではプログラムが更新される都度、ユーザが車輌をディーラへ持ち込まなければならず、またディーラ側では複数の車輌に対し同時に対応することができないから、更新が適切になされない。

そこで、無線によって更新プログラムをサーバから各車輌へ配信する所謂ＯＴＡ（Over The Air）更新によりユーザに負担を掛けることなく、可及的に速やかにプログラム更新を行なうことが提案されている（特許文献１）。

特開２００６−１４３０４９号公報

無線による更新プログラムの受信後はいつでも更新が可能となるが、プログラム更新は、走行中ではなく車輌が運転不可能な状態で行なわれなければ危険な場合がある。そこで車輌を停車・駐車させ、イグニッションオフ状態でバッテリからの給電を受けてプログラムを更新する。しかしながらプログラム更新は電力を消耗する場合があるので、バッテリの電力を消費し、バッテリ上がりを発生させる可能性がある。

特許文献１では、車輌がユーザの自宅駐車場又は職場駐車場等の所定場所に停車された場合にイグニッションキーがシリンダに挿入された状態（イグニッションオン状態）のまま降車をユーザへ通知し、降車及びドアの施錠が確認されてからプログラム更新が行なわれる。そして特許文献１では、更新が完了するとイグニッションオン状態のままユーザの携帯端末へ車輌まで戻るように通知がなされ、携帯端末からの応答によってドアが開錠される。ここでユーザがイグニッションキーを操作してイグニッションオフ状態とする。

特許文献１のようにイグニッションオン状態で且つ運転不可能な状態とするべく、ユーザを車輌から降車させたり、イグニッションオフ状態とするためにユーザを戻らせたりとユーザの動作を必須としたケースでは、更新が頻繁に行なわれた場合、ユーザに不便さを感じさせる。

本開示の目的は、ユーザに負担を掛けることなく、安全かつ確実にプログラム更新の実行を実現するプログラム更新装置、プログラム更新システム及びプログラム更新方法を提供することである。

本開示の一態様に係るプログラム更新装置は、ソフトウェアプログラムに基づき動作する車載装置との間で情報を送受信する通信部を備え、該通信部から前記ソフトウェアプログラムに対する更新情報を送信して更新処理を実行するプログラム更新装置であって、車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別する判別部と、該判別部によりオフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移、及び、前記車輌のイグニッションオン状態への維持を指示する状態制御部と、該状態制御部からの指示に応じて前記車輌が走行禁止状態へ遷移し、且つイグニッションオン状態が維持されたことを確認した後に、前記更新情報に基づき更新処理を開始する更新処理部とを備える。

本開示の一態様に係るプログラム更新装置は、前記更新処理部にて更新処理が完了したことを確認した場合、前記状態制御部は、前記車輌の走行禁止状態への遷移を解除し、イグニッションオン状態への維持を解除する。

本開示の一態様に係るプログラム更新装置は、前記判別部は、イグニッションオン状態への維持が解除された際に前記操作スイッチがオフ状態である場合には前記車輌をイグニッションオフ状態へ切り替えさせる。

本開示の一態様に係るプログラム更新装置は、前記状態制御部は、前記車輌の走行禁止状態への遷移、及び、前記車輌のイグニッションオン状態への維持を指示すると共に、前記車輌の換気を指示する。

本開示の一態様に係るプログラム更新装置は、前記車輌の車室内空気中の有毒成分を検知する検知装置を更に備え、該検知装置にて有毒成分が所定濃度以上検知された場合、前記更新処理部は更新処理を中断し、前記車輌の走行禁止状態への遷移を解除し、イグニッションオン状態への維持を解除する。

本開示の一態様に係るプログラム更新システムは、ソフトウェアプログラムに基づき動作する複数の車載装置と、車輌の走行を制御する走行制御装置と、車載電源からの電力分配処理を行なう電源制御装置と、前記車載装置、走行制御装置及び電源制御装置との間で情報を送受信する通信部を備え、該通信部から前記ソフトウェアプログラムに対する更新情報を送信して更新処理を実行するプログラム更新装置とを含むプログラム更新システムであって、前記プログラム更新装置は、前記車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別する判別部と、該判別部によりオフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移の指示を前記走行制御装置へ、前記車輌のイグニッションオン状態維持の指示を前記電源制御装置へ夫々前記通信部から送信する状態制御部と、前記走行制御装置から走行禁止状態への遷移完了通知を受信し、且つ前記電源制御装置からイグニッションオン状態の維持完了通知を受信した場合に、前記更新情報に基づき更新処理を開始する更新処理部とを備える。

本開示の一態様に係るプログラム更新方法は、ソフトウェアプログラムに基づき動作する複数の車載装置と、車輌の走行を制御する走行制御装置と、車載電源からの電力分配処理を行なう電源制御装置と、前記車載装置、走行制御装置及び電源制御装置との間で情報を送受信する通信部を備えるプログラム更新装置とを含むシステムにて、前記ソフトウェアプログラムに対する更新情報を前記車載装置へ送信して更新処理を実行するプログラム更新システムであって、前記プログラム更新装置は、前記車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別し、オフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移の指示を前記走行制御装置へ、前記車輌のイグニッションオン状態維持の指示を前記電源制御装置へ夫々前記通信部から送信し、前記走行制御装置は、前記走行禁止状態への遷移の指示を受信した場合、前記車輌の走行を禁止状態とし、遷移完了通知を前記プログラム更新装置へ送信し、前記電源制御装置は、イグニッションオン状態維持の指示を受信した場合、前記車輌の操作スイッチの状態に関わらずイグニッションオン状態を維持し、維持完了通知を前記プログラム更新装置へ送信し、前記プログラム更新装置は、前記走行制御装置から前記遷移完了通知を受信し、且つ前記電源制御装置から前記維持完了通知を受信した場合に、前記更新情報に基づき更新処理を開始する処理を含む。

本開示の一態様では、車輌の操作スイッチがオフ状態へ切り替えられて更新タイミングとなった場合には、オフ状態とされたにもかかわらずイグニッションオン状態が維持されつつ、走行が禁止された状態でプログラムの更新が実行される。これにより安全に、バッテリではなく駆動エンジンから十分な電源を確保して確実にプログラム更新を実行することが可能である。

本開示の一態様では、イグニッションオン状態が維持されつつも走行が禁止された状態でのプログラムの更新が完了した後は、走行禁止状態及びイグニッションオン状態維持の両者が解除される。スイッチがオフ状態であればイグニッションオフ状態へ遷移し、スイッチがアクセサリ電源オンであればアクセサリオン状態へ遷移する。

本開示の一態様では、プログラム更新完了後、スイッチがオフ状態であれば自動的にイグニッションオフ状態へ遷移する。これによりユーザの操作なしで、プログラム更新完了後に自動的にイグニッションオフ状態へ遷移される。

本開示の一態様では、プログラム更新中はイグニッションオン状態となるため、車輌が密閉空間となることを回避すべく換気が行なわれるように制御される。

本開示の一態様では、プログラム更新中に有毒成分が所定濃度以上検知された場合には、更新処理が中断され、走行禁止状態及びイグニッションオン状態維持の両者が解除される。走行禁止状態及びイグニッションオン状態へ遷移させてプログラム更新中もユーザが車室内に残ることが可能であるから、例えば車室内で休憩する場合などに危険な状態となることが回避される。

なお本願は、このような特徴的な各構成部を備えた車輌用のプログラム更新装置として実現することができるだけでなく、かかる特徴的なステップをコンピュータに実行させる更新処理プログラム及び該プログラムを記憶した記憶媒体として実現することができる。また、プログラム更新装置の構成部の一部又は全部を実現する半導体集積回路として実現したり、プログラム更新装置を用いたプログラム更新システムを含むその他のシステムとして実現したりすることができる。

上記によれば、ユーザに負担を掛けることなく、安全かつ確実にプログラム更新の実行を実現することができる。

実施の形態１のプログラム更新システムの構成を示すブロック図である。 プログラム更新装置の内部構成を示すブロック図である。 プログラム更新装置の機能ブロック図である。 プログラム更新装置によるプログラム更新の処理手順の一例を示すフローチャートである。 プログラム更新装置によるプログラム更新の処理手順の一例を示すフローチャートである。 実施の形態２のプログラム更新システムの構成を示すブロック図である。 実施の形態２のプログラム更新装置による処理手順の一例を示すフローチャートである。 実施の形態２のプログラム更新装置による処理手順の一例を示すフローチャートである。

本開示の実施形態に係る車載通信装置の具体例を以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施の形態１）
図１は、実施の形態１のプログラム更新システム１００の構成を示すブロック図である。プログラム更新システム１００は、車輌Ｖ内の各所に配設されて各々制御処理を実行する複数のＥＣＵ１、各ＥＣＵ１のプログラム更新を制御するプログラム更新装置２、及び、無線通信を行なう無線通信装置３を含む。複数のＥＣＵ１とプログラム更新装置２とは、例えばＣＡＮ（Control Area Network）バスである通信バス４を介して通信可能に接続されている。プログラム更新装置２と無線通信装置３は通信線５を介して通信可能に接続されており、無線通信装置３は無線により外部装置であるプログラム管理サーバ６と通信可能である。

複数のＥＣＵ１は、電源制御ＥＣＵ１ａ、走行制御ＥＣＵ１ｂ、モニタ８等の車載機器を制御するＥＣＵ１ｃを含む。その他多種多様のＥＣＵ１を含むことは言うまでもない。

電源制御ＥＣＵ１ａは、イグニッションキーのキーシリンダ、又はＯＮ／ＯＦＦスイッチであるＩＧ（Ignition）スイッチ７に接続されており、車輌Ｖのユーザのキー操作を検知する。電源制御ＥＣＵ１ａは、バッテリ及びオルタネータ等の電源と接続されており、電力分配の効率化処理などを実現するようにしてもよい。また電源制御ＥＣＵ１ａは、カーテシスイッチ等のボディ系の各センサからの情報を収集して、ドアロック、車輌灯等のボディ系のアクチュエータの動作を制御するＢＣＭ（Body Control Module ）であってもよい。

走行制御ＥＣＵ１ｂは、通信バス４を介して得られる情報に基づいて車輌Ｖの運転制御を行なう装置へ指示を出力する装置である。走行制御ＥＣＵ１ｂはその対象の装置へ、ＩＧスイッチ７の状態を通知したり、運転禁止を通知したり、制動制御を作動させる指示を出力したり、操舵角を適切に変更する指示を出力したりする。

ＥＣＵ１ｃは、通信バス４を介して得られる情報に基づいてモニタ８へ情報を表示させ、表示させた情報に対するユーザの操作を検知する装置である。モニタ８は例えば、タッチパネル内蔵ディスプレイを用いる。この場合ＥＣＵ１ｃは、ナビゲーションＥＣＵであってもよい。またモニタ８はＨＵＤ（Head Up Display ）であってもよい。この場合ＥＣＵ１ｃは、別途インストルメントパネル又はステアリングコラム等に設けられた操作ボタンからユーザの操作を検知するとよい。

プログラム更新装置２は、無線通信装置３によってプログラム管理サーバ６から受信された更新プログラムを、対象となる複数のＥＣＵ１のいずれかを宛先として通信バス４へ送出する処理を行なう装置である。なおプログラム更新装置２は、図示しない他の通信バスにも接続されており、異なる通信媒体（通信バス４、他の通信バス、及び通信線５）間で情報を中継するゲートウェイ装置であってもよい。

図２は、プログラム更新装置２の内部構成を示すブロック図であり、図３はプログラム更新装置２の機能ブロック図である。プログラム更新装置２は、制御部２０、記憶部２１、一時記憶部２２、第１通信部２３及び第２通信部２４を備える。制御部２０は、ＣＰＵ（Central Processing Unit ）又はＭＰＵ（Micro Processing Unit ）等の演算処理装置を用いる。制御部２０は、記憶部２１に記憶してある更新処理プログラム２Ｐを読み出して実行することにより、判別部２０１、状態制御部２０２、及び更新処理部２０３としての機能を発揮する。各機能については後述する。

記憶部２１は、フラッシュメモリ等の不揮発性メモリを用い、制御部２０が実行する更新処理プログラム２Ｐ、また、装置がゲートウェイとして機能する場合には対応する制御プログラムのほか、処理の際に参照する各種情報を記憶している。更新処理プログラム２Ｐ及び制御プログラムは、制御部２０に内蔵されるＲＯＭ等に記憶されていてもよい。また記憶部２１には、無線通信装置３を介してプログラム管理サーバ６から受信した更新プログラム１Ｐが必要に応じて複数記憶される。

一時記憶部２２は、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性メモリを用い、制御部２０の処理により生成される情報を一時的に記憶する。

第１通信部２３は、ＣＡＮコントローラ及びＣＡＮトランシーバを用い、複数のＥＣＵ１が接続されている通信バス４における情報の送受信を実現する。第２通信部２４は、通信線５を介した無線通信装置３との間の通信プロトコルに準じて情報の送受信を実現する。

このように構成されるプログラム更新システム１００において、プログラム更新装置２の制御部２０は、図３に示すように、各構成部と協働して判別部２０１、状態制御部２０２、及び更新処理部２０３としての機能を発揮する。判別部２０１は、更新を行なうタイミングであるか否かを判別する機能である。制御部２０は例えば、判別部２０１として、更新プログラム１Ｐが存在するか、その更新プログラム１Ｐが受信済みであるか、また更新が必要か、更新処理中であるか等の状態を判別し、判別した状態に応じて状態制御部２０２及び更新処理部２０３へ処理を指示する。状態制御部２０２は、判別部２０１からの指示を受けて、遷移する状態を記憶しておき、その状態に応じて電源制御ＥＣＵ１ａ及び走行制御ＥＣＵ１ｂを含む関連するＥＣＵ１へ動作の指示を出力する。更新処理部２０３は、判別部２０１からの指示を受けて、記憶部２１に受信済みの更新プログラム１Ｐを対象のＥＣＵ１へ実際に送り出す処理を実行する。

図４及び図５は、プログラム更新装置２によるプログラム更新の処理手順の一例を示すフローチャートである。制御部２０は、車輌Ｖがイグニッションオン状態（オン状態）である場合に以下の処理を実行する。制御部２０は、プログラム管理サーバ６から更新プログラム１Ｐを第２通信部２４から受信し（ステップＳ１０１）、受信した更新プログラム１Ｐについてプログラム管理サーバ６から更新要求を受信したか否かを判断する（ステップＳ１０２）。受信していないと判断された場合（Ｓ１０２：ＮＯ）、制御部２０は処理をステップＳ１０２へ戻し、受信したと判断するまで待機する。ステップＳ１０１における更新プログラム１Ｐの受信は、制御部２０が第２通信部２４によって定期的にプログラム管理サーバ６と通信し、更新の有無を確認してからなされるとよい。

ステップＳ１０２にて受信したと判断された場合（Ｓ１０２：ＹＥＳ）、制御部２０は、更新プログラムの存在を通知し、更新の可否を問い合わせる画面を表示させる指示をＥＣＵ１ｃ宛てに第１通信部２３から送信する（ステップＳ１０３）。制御部２０は、可の応答がＥＣＵ１ｃからあったか否かを判断し（ステップＳ１０４）、可の応答がないと判断された場合（Ｓ１０４：ＮＯ）、処理を終了する。可の応答がない場合とは、応答に要する猶予時間としての所定時間が経過したか、又は不可の応答がされた場合であり、この場合、制御部２０は運転中であることを考慮した所定の期間が経過した後、再度更新の可否を問い合わせる画面を表示させるとよい。

ステップＳ１０４にて可の応答があったと判断された場合（Ｓ１０４：ＹＥＳ）、制御部２０はＩＧスイッチ７がオフ状態へ切り替わったか否かを判別部２０１として判別する（ステップＳ１０５）。ステップＳ１０５では、更新を行なうタイミングであるか否かを判別するから、ＩＧスイッチ７がオフ状態へ切り替わったかのスイッチの状態のみならず、車輌が停止したか否か車輌Ｖの停車予定時間が更新を完了するのに充分であるか否かを加えて判別するとよい。ＩＧスイッチ７がオン状態からオフ状態へ切り替わったか否かは、実施の形態１では電源制御ＥＣＵ１ａから通知されたか否かで判別する。そしてオフ状態へ切り替わっていないと判別された場合（Ｓ１０５：ＮＯ）、制御部２０は処理をステップＳ１０５へ戻し、オフ状態へ切り替わった判別されるまで待機する。

オフ状態へ切り替わったと判別された場合（Ｓ１０５：ＹＥＳ）、制御部２０は判別部２０１の機能により、プログラム更新システム１００の状態を更新モードとし、状態制御部２０２へ、更新モードへの遷移を指示する（ステップＳ１０６）。

制御部２０は、状態制御部２０２の機能により、ＩＧスイッチ７はオフ状態であってもイグニッションオン状態、即ち駆動エンジン又は駆動モータをオンとしたまま（更新モード）とする指示を電源制御ＥＣＵ１ａ宛てに第１通信部２３から送信する（ステップＳ１０７）。この場合電源制御ＥＣＵ１ａでは、ＩＧスイッチ７の状態が変化しないように制限するとよい。また制御部２０は、状態制御部２０２の機能により、走行制御ＥＣＵ１ｂ宛てに走行禁止（更新モード）の指示を第１通信部２３から送信する（ステップＳ１０８）。これにより、車輌Ｖの駆動エンジン又は駆動モータはオンのまま維持されつつ、走行が禁止される。制御部２０は、モニタ８を制御するＥＣＵ１ｃ宛てに更新中であることを通知する画面を表示させる指示を送信するとよい（ステップＳ１０９）。更新中であることを通知する画面には、ＩＧスイッチ７の操作、その他車載機の操作が不可である旨のメッセージが表示されることが好ましい。

そして制御部２０は状態制御部２０２の機能により、電源制御ＥＣＵ１ａ及び走行制御ＥＣＵ１ｂの両者から、状態の遷移が完了したか否かの応答を受けると（ステップＳ１１０）、更新モードへの遷移が完了したことを判別部２０１へ通知する（ステップＳ１１１）。

制御部２０は判別部２０１の処理により、更新モードへの遷移の完了を確認してから、更新処理部２０３へ更新処理開始を指示する（ステップＳ１１２）。

制御部２０は更新処理部２０３の機能により、記憶部２１に記憶してある更新プログラム１Ｐを１又は複数読み出し（ステップＳ１１３）、更新プログラム１Ｐに対応する更新対象のＥＣＵ１宛てに、更新指示と共に更新プログラム１Ｐを第１通信部２３から送信する（ステップＳ１１４）。これにより、対象のＥＣＵ１にて更新指示に基づき、共に受信した更新プログラム１Ｐによる更新が行なわれる。この更新は上述したように、車輌Ｖの駆動エンジン又は駆動モータはオンのまま維持されつつ、走行が禁止された状態で実行されるから、バッテリを消耗せず、且つ車内にユーザが残っていて。対象のＥＣＵ１は、更新が終了すると更新の完了通知をプログラム更新装置２へ送信する。

制御部２０は更新処理部２０３の機能により、更新の完了通知を受信したか否かを判断し（ステップＳ１１５）、受信しないと判断された場合（Ｓ１１５：ＮＯ）、処理をステップＳ１１５へ戻して受信したと判断されるまで待機する。ステップＳ１１５にて受信したと判断された場合（Ｓ１１５：ＹＥＳ）、制御部２０は判別部２０１へ更新完了を通知する（ステップＳ１１６）。

制御部２０は判別部２０１の機能により、更新完了を確認するとプログラム更新システム１００の状態を非更新モードとし、状態制御部２０２へ非更新モードへの遷移を指示する（ステップＳ１１７）。

制御部２０は状態制御部２０２の機能により、イグニッションオン状態の維持を解除し、ＩＧスイッチ７の状態に応じて駆動エンジン又は駆動モータを稼働させる（非更新（通常）モード）指示を電源制御ＥＣＵ１ａ宛てに第１通信部２３から送信する（ステップＳ１１８）。また制御部２０は、状態制御部２０２の機能により、走行禁止状態を解除し、ＩＧスイッチ７の状態に応じて走行可とする（非更新（通常）モード）指示を走行制御ＥＣＵ１ｂ宛てに第１通信部２３から送信する（ステップＳ１１９）。これにより、車輌Ｖの駆動エンジン又は駆動モータは、ＩＧスイッチ７の状態に応じて電源制御ＥＣＵ１ａによって制御される。ＩＧスイッチ７はステップＳ１０５でオフ状態となったまま操作されていないはずであるから、駆動エンジン又は駆動モータは停止し、イグニッションオフ状態となり、処理が終了する。

なお更新完了後、次にＩＧスイッチ７がオフ状態からオン状態となってプログラム更新装置２が起動すると、制御部２０はモニタ８を制御するＥＣＵ１ｃ宛てに、更新が完了したことを通知する画面を表示させる指示を送信するとよい。

このようにして、ユーザがＩＧスイッチ７をオフ状態へと操作して更新タイミングであると判断された後は、イグニッションオン状態が維持されたまま、走行が禁止された状態で更新プログラム１Ｐによりプログラムの更新が実行される。これにより安全に、バッテリではなく駆動エンジンから十分な電源を確保して確実にプログラム更新を実行することができる。走行制御ＥＣＵ１ｂにて走行が禁止された（更新モードへ遷移した）ことを確認してから更新が実行されるから、ユーザを強制的に降車させることもない。車室内に残ったユーザが更新モード中に誤ってギアボックス、アクセル等を操作したとしても車輌Ｖは走行しない。またユーザは、車輌Ｖを駐車させてＩＧスイッチ７をオフとする操作を行なった後、イグニッションがオンのまま降車し、ドアロックを施錠してその場から立ち去ってもよい。その間に更新が進行して完了後にイグニッションオフ状態へ自動的に遷移するから、次に乗車しようとする際に何ら特別な操作を行なう必要もない。このように本開示のプログラム更新システム１００では、プログラムの更新の可否が問われることに対し操作する以外は、ユーザはプログラム更新を意識する必要もない。なおプログラムの更新の可否が問われることで、ＩＧスイッチ７をオフとする操作を行なった後に車輌Ｖのイグニッションオン状態が維持されることに対して、ユーザが違和感を覚えたり、故障と誤認識をさせたりすることを防止できる。

（実施の形態２）
図６は、実施の形態２のプログラム更新システム１００の構成を示すブロック図である。実施の形態２のプログラム更新システム１００では、通信バス４に接続されている１つのＥＣＵ１に、ガス検知装置９が接続されていることと、これに応じて以下に説明する処理内容を行なうこと以外は、実施の形態１における構成と同様である。したがって共通する構成には同一の符号を付して詳細な説明を省略する。

ガス検知装置９は、車室内の有毒ガス（一酸化炭素）の濃度を検知するセンサを有し、その検知結果をＥＣＵ１へ出力する。

図７及び図８は、実施の形態２のプログラム更新装置２による処理手順の一例を示すフローチャートである。なお図７及び図８のフローチャートに示す処理手順の内、実施の形態１における図４及び図５のフローチャートに示した処理手順と共通する手順については同一のステップ番号を付して詳細な説明を省略する。

実施の形態２では、制御部２０は状態制御部２０２の機能により、更新モードとする指示をする際に（Ｓ１０７、Ｓ１０８）、同様にして、空調用のＥＣＵ１に対して温度調整は必須ではないが換気を行なうように指示する（ステップＳ２０１）。そして制御部２０は、更新中であることを画面に表示させる指示をＥＣＵ１ｃ宛てに第１通信部２３から送信する（Ｓ１０９）。

そして制御部２０は、更新プログラム１Ｐを第１通信部２３から送り出して更新を開始させると、ガス検知装置９にて有毒成分（所定濃度以上の一酸化炭素）が検知されたことを、対応するＥＣＵ１から受信していないか否かを判断する（ステップＳ２０２）。検知されたことを受信していないと判断された場合（Ｓ２０２：ＮＯ）、制御部２０は処理をステップＳ１１５へ進める。

ガス検知装置９にて有毒成分が検知されたことを受信したと判断された場合（Ｓ２０２：ＹＥＳ）、制御部２０は更新処理部２０３による更新処理を中断させ（ステップＳ２０３）、更新が中断されたことを判別部２０１へ通知する（ステップＳ２０４）。

制御部２０は判別部２０１により、中断されたことを確認すると、中断のログを記憶部２１に記憶した上で、処理をステップＳ１１７へ進め、非更新モードへ戻ることを指示する（Ｓ１１７）。また制御部２０は、強制的な換気を解除し（ステップＳ２０５）、処理を終了する。他の処理は実施の形態１における説明と同様である。

このように実施の形態２では、イグニッションオン状態を維持することに対して空調（換気）を強制的に行なうように制御し、更新実行中に有毒なガスの車室内への蓄積が検知された場合にはイグニッションオン状態の維持を停止すべく更新を中断する。これにより、ユーザが車室内に休憩すべく残ったままであっても、より安全に確実にプログラムの更新が実行される。

また本実施の形態においてプログラム更新装置１の制御部１０が実行した更新処理プログラム２Ｐは、光ディスク又はメモリカード等の記録媒体に、コンピュータが読み取り可能に記録された態様で提供され得る。

１ ＥＣＵ（車載装置）
１ａ 電源制御ＥＣＵ
１ｂ 走行制御ＥＣＵ
２ プログラム更新装置
２０ 制御部
２０１ 判別部
２０２ 状態制御部
２０３ 更新処理部
２１ 記憶部
２Ｐ 更新処理プログラム
２３ 第１通信部
４ 通信バス
８ モニタ
９ ガス検知装置

Claims (7)

1. ソフトウェアプログラムに基づき動作する車載装置との間で情報を送受信する通信部を備え、該通信部から前記ソフトウェアプログラムに対する更新情報を送信して更新処理を実行するプログラム更新装置であって、
   車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別する判別部と、
   該判別部によりオフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移、及び、前記車輌のイグニッションオン状態への維持を指示する状態制御部と、
   該状態制御部からの指示に応じて前記車輌が走行禁止状態へ遷移し、且つイグニッションオン状態が維持されたことを確認した後に、前記更新情報に基づき更新処理を開始する更新処理部と
   を備えるプログラム更新装置。
2. 前記更新処理部にて更新処理が完了したことを確認した場合、前記状態制御部は、前記車輌の走行禁止状態への遷移を解除し、イグニッションオン状態への維持を解除する
   請求項１に記載のプログラム更新装置。
3. 前記判別部は、イグニッションオン状態への維持が解除された際に前記操作スイッチがオフ状態である場合には前記車輌をイグニッションオフ状態へ切り替えさせる
   請求項２に記載のプログラム更新装置。
4. 前記状態制御部は、前記車輌の走行禁止状態への遷移、及び、前記車輌のイグニッションオン状態への維持を指示すると共に、前記車輌の換気を指示する
   請求項１から３のいずれか１項に記載のプログラム更新装置。
5. 前記車輌の車室内空気中の有毒成分を検知する検知装置を更に備え、
   該検知装置にて有毒成分が所定濃度以上検知された場合、前記更新処理部は更新処理を中断し、前記車輌の走行禁止状態への遷移を解除し、イグニッションオン状態への維持を解除する
   請求項１から４のいずれか１項に記載のプログラム更新装置。
6. ソフトウェアプログラムに基づき動作する複数の車載装置と、車輌の走行を制御する走行制御装置と、車載電源からの電力分配処理を行なう電源制御装置と、前記車載装置、走行制御装置及び電源制御装置との間で情報を送受信する通信部を備え、該通信部から前記ソフトウェアプログラムに対する更新情報を送信して更新処理を実行するプログラム更新装置とを含むプログラム更新システムであって、
   前記プログラム更新装置は、
   前記車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別する判別部と、
   該判別部によりオフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移の指示を前記走行制御装置へ、前記車輌のイグニッションオン状態維持の指示を前記電源制御装置へ夫々前記通信部から送信する状態制御部と、
   前記走行制御装置から走行禁止状態への遷移完了通知を受信し、且つ前記電源制御装置からイグニッションオン状態の維持完了通知を受信した場合に、前記更新情報に基づき更新処理を開始する更新処理部と
   を備えるプログラム更新システム。
7. ソフトウェアプログラムに基づき動作する複数の車載装置と、車輌の走行を制御する走行制御装置と、車載電源からの電力分配処理を行なう電源制御装置と、前記車載装置、走行制御装置及び電源制御装置との間で情報を送受信する通信部を備えるプログラム更新装置とを含むシステムにて、前記ソフトウェアプログラムに対する更新情報を前記車載装置へ送信して更新処理を実行するプログラム更新システムであって、
   前記プログラム更新装置は、
   前記車輌の操作スイッチがオン状態からオフ状態へ切り替えられたか否かを判別し、
   オフ状態へ切り替えられたと判別された場合、前記車輌の走行禁止状態への遷移の指示を前記走行制御装置へ、前記車輌のイグニッションオン状態維持の指示を前記電源制御装置へ夫々前記通信部から送信し、
   前記走行制御装置は、前記走行禁止状態への遷移の指示を受信した場合、前記車輌の走行を禁止状態とし、遷移完了通知を前記プログラム更新装置へ送信し、
   前記電源制御装置は、イグニッションオン状態維持の指示を受信した場合、前記車輌の操作スイッチの状態に関わらずイグニッションオン状態を維持し、維持完了通知を前記プログラム更新装置へ送信し、
   前記プログラム更新装置は、
   前記走行制御装置から前記遷移完了通知を受信し、且つ前記電源制御装置から前記維持完了通知を受信した場合に、前記更新情報に基づき更新処理を開始する
   処理を含むプログラム更新方法。

Images