JP7298427B2

JP7298427B2 - プログラム更新システムおよびプログラム更新方法

Info

Publication number: JP7298427B2
Application number: JP2019184535A
Authority: JP
Inventors: 邦裕宮内; 功渡辺; 博哉安藤
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2019-10-07
Filing date: 2019-10-07
Publication date: 2023-06-27
Anticipated expiration: 2039-10-07
Also published as: US20210103435A1; CN112698851A; EP3805918A1; EP3805918B1; US11714628B2; JP2021060797A; US20230315436A1; CN118069188A; CN112698851B

Description

本発明は、車両等に搭載されるネットワークシステムに含まれる電子機器のプログラムを更新するプログラム更新システムに関する。

車両には、複数のＥＣＵ（Electronic Control Unit）と呼ばれる電子機器が通信線を介して互いに接続されたネットワークシステムが搭載されている。各電子機器は、互いにメッセージを送受信して、車両の各機能を分担して実行する。

電子機器は、典型的にはプロセッサと、ＲＡＭのような一時的な記憶部やフラッシュＲＯＭのような不揮発性の記憶部とを備えている。プロセッサが実行するプログラムは、不揮発性の記憶部に記憶される。プログラムをより新しいバージョンに書き変えて更新することにより、電子機器の機能の向上、改善を図ることができる。

特許文献１は、第１電子機器のプログラムの更新の際、更新に先立って、第２電子機器が、第１電子機器が現在記憶しているプログラムを、車内通信用の通信線を介して読み出して記憶することでバックアップすることを開示している。この方法によれば、第２電子機器がプログラムを第１電子機器に書き戻すことで、第１電子機器の記憶部がバックアップ用の記憶領域を有していなくても、第１電子機器のプログラムを更新前の状態に復旧することが可能となる。

特開２０１４－１９１５７４号公報

特許文献１の方法では、第２電子機器が、第１電子機器が現在記憶しているプログラムをネットワークシステムの車内通信用の通信線を介して読み出してバックアップする。そのため、バックアップしない場合に比べて車内の通信量が増加する。

本発明は、上記課題を鑑みてなされたものであり、車両の電子機器のプログラムを更新するプログラム更新システムにおいて、更新対象の電子機器がバックアップ用の記憶領域を有していなくても、車内の通信量の増大を抑制しつつ、更新前のプログラムに復旧可能にすることを目的とする。

上記課題を解決するために、本発明の一局面は、車両と、車両に搭載される電子機器のプログラムを送信する、車両と通信可能なプログラム送信装置とを備えるプログラム更新システムであって、車両は、第１電子機器と、プログラム送信装置から受信するデータを記憶可能な第２電子機器とを含み、第１電子機器は、第１電子機器が実行するプログラムの現在のバージョンである現プログラムと現プログラムの更新版である更新プログラムとを同時に記憶可能な記憶領域を有さず、第２電子機器は、プログラム送信装置および第１電子機器と通信可能であり、現プログラムと更新プログラムとを同時に記憶可能な記憶領域を有し、プログラム送信装置は、車両から要求を受信すると、車両に更新プログラムを表すデータおよび現プログラムを表すデータを車両に送信し、車両の第２電子機器は、更新プログラムを表すデータおよび現プログラムを表すデータを受信すると、更新プログラムを表すデータおよび現プログラムを表すデータを記憶し、車両の第２電子機器は、記憶した更新プログラムを表すデータに基づいて、車両の第１電子機器が記憶しているプログラムを現プログラムから更新プログラムに変更する更新処理を実行し、車両の第２電子機器は、更新処理の後、所定の判定処理の結果またはユーザー指示に応じて、記憶した現プログラムを表すデータにより、車両の第１電子機器が記憶しているプログラムを現プログラムに復旧することが可能な、プログラム更新システムである。

上記課題を解決するために、本発明の他の局面は、車両に搭載される電子機器のプログラムを送信するプログラム送信装置であって、車両と通信する通信部と、通信部を制御する制御部とを備え、制御部は、車両からの要求を通信部が受信すると、要求に応じて、電子機器が実行するプログラムの現在のバージョンである現プログラムを表すデータおよび現プログラムの更新版である更新プログラムを表すデータとを、通信部を制御して、車両に送信する、プログラム送信装置である。

上記課題を解決するために、本発明の他の局面は、車両と通信する通信部を備え、車両に搭載される電子機器のプログラムを送信するプログラム送信装置の制御部が実行するプログラム送信方法であって、車両からの要求を通信部が受信すると、要求に応じて、電子機器が実行するプログラムの現在のバージョンである現プログラムを表すデータおよび現プログラムの更新版である更新プログラムを表すデータとを、通信部を制御して、車両に送信するステップを含む、プログラム送信方法である。

本発明によれば、車両の電子機器のプログラムを更新するプログラム更新システムにおいて、更新対象の電子機器がバックアップ用の記憶領域を有していなくても、車内の通信量の増大を抑制しつつ、更新前のプログラムに復旧可能にすることができる。

本発明の一実施形態に係るプログラム更新システムの構成図本発明の一実施形態に係る処理を示すシーケンス図本発明の一実施形態に係る処理を示すシーケンス図本発明の一実施形態に係る処理を示すシーケンス図

（実施形態）
本発明の一実施形態においては、プログラム送信装置であるサーバーは、車両の第２電子機器に第１電子機器用の更新プログラムを送信する際に、バックアップ用の更新前のプログラムも送信する。第１電子機器は、更新前のプログラムをバックアップする記憶領域を有しておらず、代わりに第２電子機器が更新前のプログラムを記憶するが、第２電子機器は、更新前のプログラムをサーバーから受信するので、第１電子機器から更新前のプログラムを読み出す必要がない。そのため車内の通信量の増大を抑制しつつ第１電子機器を更新前のプログラムに復旧可能にすることができる。

＜構成＞
図１に、本実施形態に係るプログラム更新システム１の構成を示す。プログラム更新システム１は、ネットワークシステム１０１が搭載された車両１００と車両１００の外部に設けられるサーバー２００とを含む。

ネットワークシステム１０１は、複数の電子機器を含む、図１には、第１電子機器１０と第２電子機器２０とを図示する。第２電子機器２０は、一例として中継装置５０を介して、第１電子機器１０および図示しない他の電子機器と通信可能に接続されている。

第１電子機器１０は、制御部１１と記憶部１２とを備える。記憶部１２は、第１電子機器１０の機能を実現するためのプログラムを記憶しており、制御部１１は、記憶部１２からプログラムを読み出して実行する。記憶部１２は、記憶容量が限定的であり、現在記憶しているプログラムである現プログラムと、その新しいバージョンである更新プログラムとを両方記憶するのに十分な記憶領域を有しない。本実施形態では、第１電子機器１０や同等の構成を有する他の電子機器をプログラムの更新対象とすることができる。

第２電子機器２０は、制御部２１と、記憶部２２と、通信部２３とを備える。記憶部２２は、第２電子機器２０の機能を実現するためのプログラムを記憶しており、制御部２１は、記憶部２２からプログラムを読み出して実行する。本実施形態では、第２電子機器２０が、第１電子機器１０等のプログラムの更新に関する処理を行う。記憶部２２は、第２電子機器２０のプログラムだけでなく、更新対象の各電子機器の更新プログラムや現プログラムも記憶できるだけの十分な記憶領域を有する。また、通信部２３は、サーバー２００と通信するための無線通信機である。なお、通信部２３は、第２電子機器２０とは別体に設けられてもよい。

サーバー２００は、制御部２０１と、記憶部２０２と、通信部２０３とを備えるプログラム送信装置である。記憶部２０２は、サーバー２００の機能を実現するためのプログラムを記憶しており、制御部２０１は、記憶部２０２からプログラムを読み出して実行する。サーバー２００は、各電子機器の更新プログラムを提供することができる。記憶部２０２は、十分な記憶領域を有し、サーバー２００のプログラムだけでなく、各電子機器の各バージョンのプログラムも記憶できるだけの記憶領域を有する。また、通信部２０３は、第２電子機器２０と通信するための無線通信機である。サーバー２００と第２電子機器２０との通信は、このように、典型的には無線によって行うが、有線によって行ってもよい。また、本実施形態において、サーバー２００の代わりに、同等の機能を有するスマートフォンのような汎用端末装置や、専用携帯端末装置を用いてもよい。

なお、第１電子機器１０および第２電子機器２０は、通信線を介して互いに通信するため制御部１１および制御部２１によって制御される車内通信用の通信部もそれぞれ含むが、図示を省略する。

＜処理＞
以下に、本実施形態に係る処理を説明する。図２、図３、図４は、処理の一例を説明するシーケンス図である。本例では、第１電子機器１０がプログラムの更新対象であるものとして説明するが、他の電子機器が更新対象であっても同様に処理することができる。また、複数の電子機器が更新対象であっても、電子機器ごとに適宜同様の処理を行うことができる。

まず、図２を参照して、第２電子機器２０が更新プログラムおよび現プログラムを取得する処理を説明する。

（ステップＳ１０１）：サーバー２００に対して第１電子機器１０の更新プログラムが提供されて登録される。更新プログラムは、例えば、提供元の装置や記憶媒体から提供され、サーバー２００の制御部２０１が記憶部２０２に記憶させる。

以降のステップＳ１０２～Ｓ１１１の処理は、ユーザー操作によって車両１００が電源オン（イグニッションオン）状態となっている間に実行される。

（ステップＳ１０２）：第２電子機器２０の制御部２１は、ネットワークシステム１０１に含まれる電子機器の各プログラムのバージョンを特定する情報を生成し、通信部２３を制御してサーバー２００宛てに送信させる。本例では、この情報には、第１電子機器１０のプログラムのバージョンを特定する情報が含まれる。

（ステップＳ１０３）：サーバー２００の制御部２０１は、各プログラムのバージョンを特定する情報を通信部２０３が受信すると、受信した情報と、記憶部２０２が記憶している更新プログラムとに基づいて、各電子機器の更新プログラムの有無を表す情報を生成し、通信部２０３を制御して第２電子機器２０宛てに送信させる。本例では、この情報には、第１電子機器１０の更新プログラムが存在することを表す情報が含まれる。

（ステップＳ１０４）：第２電子機器２０の制御部２１は、更新プログラムの有無を表す情報を通信部２３が受信し、更新プログラムが存在する場合、通信部２３を制御して更新プログラム要求をサーバー２００宛てに送信させる。本例では、更新プログラム要求には第１電子機器１０の更新プログラムを要求する情報が含まれる。なお、制御部２１は、更新プログラムが存在することを車両１００が備える表示装置に表示し、ＧＵＩ等のインターフェースを介してユーザーから更新プログラムの取得を実行する指示を受け付けた場合に、本ステップ以降を実行するようにしてもよい。

（ステップＳ１０５）：サーバー２００の制御部２０１は、更新プログラム要求を通信部２０３が受信すると、記憶部２０２から更新プログラムを読み出し、通信部２０３を制御して、第２電子機器２０宛てに送信させる。本例では、第１電子機器１０の更新プログラムを含むプログラムが送信される。第２電子機器２０の制御部２１は、通信部２３が更新プログラムを受信すると、記憶部２２に記憶させる。

（ステップＳ１０６）：第２電子機器２０の制御部２１は、通信部２３を制御して、現プログラム要求をサーバー２００宛てに送信させる。本例では、現プログラム要求には第１電子機器１０の現プログラムを要求する情報が含まれる。

（ステップＳ１０７）：サーバー２００の制御部２０１は、現プログラム要求を通信部２０３が受信すると、記憶部２０２から現プログラムを読み出し、通信部２０３を制御して、第２電子機器２０宛てに送信させる。本例では、第１電子機器１０の現プログラムが送信される。第２電子機器２０の制御部２１は、通信部２３が現プログラムを受信すると、記憶部２２に記憶させる。なお、現プログラムは、現プログラム要求に応じて送信するのではなく、ステップＳ１０５で更新プログラムの送信の際、その前や後に連続して送信してもよい。

（ステップＳ１０８）：第２電子機器２０の制御部２１は、第１電子機器１０宛てに現プログラム検証情報要求を送信する。

（ステップＳ１０９）：第１電子機器１０の制御部１１は、現プログラム検証情報を生成して、第２電子機器２０宛てに送信する。現プログラム検証情報は、第１電子機器１０の記憶部１２が記憶している現プログラムに基づいて定まる検証用の情報であり、例えば、ＣＲＣ（Cyclic Redundancy Check）値である。

（ステップＳ１１０）：第２電子機器２０の制御部２１は、サーバー２００から受信した現プログラムの検証情報を生成し、あるいは、サーバー２００から現プログラムと合わせて取得し、生成または取得した検証情報と、第１電子機器１０から受信した現プログラム検証情報とを比較し、サーバー２００から受信した現プログラムが、第１電子機器１０の記憶部１２が記憶している現プログラムと同一のものであることを検証する。この検証ができない場合は、以降の処理を行わない。

（ステップＳ１１１）：第２電子機器２０の制御部２１は、更新実施フラグをオンに設定する。

以上の処理により、第２電子機器２０は、第１電子機器１０の更新プログラムと、バックアップ用の現プログラムとを取得し、次の更新処理に進むことができる状態となる。

次に、図３を参照して、プログラムの更新処理について説明する。ステップＳ２０１～Ｓ２１４の処理は、ユーザー操作によって車両１００が電源オフ（イグニッションオフ）状態となっている間に実行される。

（ステップＳ２０１）：第２電子機器２０の制御部２１は、更新実施フラグがオンに設定されていることを確認する。この確認ができない場合は、以降の処理を行わない。

（ステップＳ２０２）：第２電子機器２０の制御部２１は、第１電子機器１０宛てに状態要求を送信する。なお、制御部２１は、プログラムの更新を行うかどうかの確認画面を表示装置に表示し、ＧＵＩ等のインターフェースを介してユーザーから更新を実行する指示を受け付けた場合に、本ステップ以降を実行するようにしてもよい。

（ステップＳ２０３）：第１電子機器１０の制御部１１は、第２電子機器２０宛てに、自装置の状態を表す情報を送信する。第１電子機器１０の制御部１１は、自己診断を実行して、自装置の状態として、異常や故障の有無を検出することができる。自装置の状態を表す情報には、この検出結果が含まれる。

（ステップＳ２０４）：第２電子機器２０の制御部２１は、第１電子機器１０の状態に基づいて以降の処理を行うか否かを判定する。第１電子機器１０に異常や故障が発生している場合は、以降の処理を行わない。

（ステップＳ２０５）：第２電子機器２０の制御部２１は、第１電子機器１０宛てに更新可否要求を送信する。

（ステップＳ２０６）：第１電子機器１０の制御部１１は、第２電子機器２０宛てに、更新可否を表す情報を送信する。第１電子機器１０の制御部１１は、自装置の動作状態に基づいて、記憶部１２を書き替えてプログラムを更新する処理を、現在実行可能であるか否かを判定することができる。更新可否を表す情報には、この判定結果が含まれる。

（ステップＳ２０７）：第２電子機器２０の制御部２１は、更新可能であることを表す情報を受信すると、更新モード開始要求を第１電子機器１０宛てに送信する。更新可能であることを表す情報を受信できない場合は、以降の処理を行わない。

（ステップＳ２０８）：第１電子機器１０の制御部１１は、動作状態として更新モードを開始し、そのことを表す更新モード開始通知を、第２電子機器２０宛てに送信する。

（ステップＳ２０９）：第２電子機器２０の制御部２１は、記憶部２２から更新プログラムを読み出し、第１電子機器１０宛てに送信する。

（ステップＳ２１０）：第１電子機器１０の制御部１１は、第２電子機器２０から受信した更新プログラムを、記憶部１２のプログラム記憶領域に上書きする。

（ステップＳ２１１）：第１電子機器１０の制御部１１は、更新プログラムの記憶部１２への書き込みが完了すると、更新完了通知を第２電子機器２０宛てに送信する。

（ステップＳ２１２）：第２電子機器２０の制御部２１は、更新完了通知を受信すると、更新モード終了要求を第１電子機器１０宛てに送信する。

（ステップＳ２１３）：第１電子機器１０の制御部１１は、更新モードを終了し、そのことを表す更新モード終了通知を、第２電子機器２０宛てに送信する。

（ステップＳ２１４）：第２電子機器２０の制御部２１は、記憶部２２に記憶されている更新プログラムを削除する。

以上の処理により、第１電子機器１０のプログラムの更新が行われる。なお、第２電子機器２０の制御部２１は、ステップＳ２１１の更新完了通知を一定期間受信できない場合や、更新完了通知の代わりに、第１電子機器１０の制御部１１の診断によるエラー通知を受信した場合は、更新失敗と判断して、例えば、更新プログラムを再送してもよい。あるいは、更新プログラムの代わりに、記憶部２２が記憶している現プログラムを送信して、第１電子機器１０の記憶部１２の記憶内容を現プログラムで書き直して、更新を中止してもよい。また、ステップＳ２１４において、第２電子機器２０の制御部２１は、通信部２３を制御して、プログラムの更新が終了した通知をサーバー２００宛てに送信させてもよい。また、更新が成功した後は、元の現プログラムに戻す必要性がなく後述の復旧処理を行わない場合は、ステップＳ２１４において、第２電子機器２０の制御部２１は、記憶部２２に記憶されている現プログラムを削除してもよい。

次に、図４を参照して、更新完了後に元のプログラムに戻す復旧処理について説明する。ステップＳ３０１、Ｓ３０２の処理は、ユーザー操作によって車両１００が電源オン（イグニッションオン）状態となっている間に実行される。

（ステップＳ３０１）：第１電子機器１０の制御部１１は、記憶部１２から更新プログラムを読み出して実行する。

（ステップＳ３０２）：第２電子機器２０の制御部２１は、復旧実施フラグを設定する。この処理は、一例として、表示画面上のＧＵＩ等のインターフェースを介して、ユーザーから復旧指示を受け付けた場合に実行される。ユーザーは、例えば、第１電子機器１０の制御部１１が更新プログラムを実行することで提供する機能に不満足である場合、復旧指示を行うことができる。あるいは、復旧指示は、ユーザーが行うのではなく、第１電子機器１０や他の電子機器が所定の判定処理に基づいて行ってもよい。判定処理においては、例えば、第１電子機器１０の制御部１１が更新プログラムを実際に実行した結果、車両１００やいずれかの電子機器の動作に、所定の許容範囲外の影響が発生した場合、復旧指示を行うものとすることができる。

以降のステップＳ３０３～Ｓ３１６の処理は、ユーザー操作によって車両１００が電源オフ（イグニッションオフ）状態となっている間に実行される。

（ステップＳ３０３）：第２電子機器２０の制御部２１は、復旧実施フラグがオンに設定されていることを確認する。この確認ができない場合は、以降の処理を行わない。

（ステップＳ３０４）：第２電子機器２０の制御部２１は、第１電子機器１０宛てに状態要求を送信する。

（ステップＳ３０５）：第１電子機器１０の制御部１１は、第２電子機器２０宛てに、自装置の状態を表す情報を送信する。第１電子機器１０の制御部１１は、自己診断を実行して、自装置の状態として、異常や故障の有無を検出することができる。自装置の状態を表す情報には、この検出結果が含まれる。

（ステップＳ３０６）：第２電子機器２０の制御部２１は、第１電子機器１０の状態に基づいて以降の処理を行うか否かを判定する。第１電子機器１０に異常や故障が発生している場合は、以降の処理を行わない。

（ステップＳ３０７）：第２電子機器２０の制御部２１は、第１電子機器１０宛てに復旧可否要求を送信する。

（ステップＳ３０８）：第１電子機器１０の制御部１１は、第２電子機器２０宛てに、復旧可否を表す情報を送信する。第１電子機器１０の制御部１１は、自装置の動作状態に基づいて、記憶部１２を書き替えてプログラムを復旧する処理を、現在実行可能であるか否かを判定することができる。復旧可否を表す情報には、この判定結果が含まれる。

（ステップＳ３０９）：第２電子機器２０の制御部２１は、復旧可能であることを表す情報を受信すると、復旧モード開始要求を第１電子機器１０に送信する。復旧可能であることを表す情報を受信できない場合は、以降の処理を行わない。

（ステップＳ３１０）：第１電子機器１０の制御部１１は、動作状態として復旧モードを開始し、そのことを表す復旧モード開始通知を、第２電子機器２０に送信する。

（ステップＳ３１１）：第２電子機器２０の制御部２１は、記憶部２２から現プログラムを復旧用のプログラムとして読み出し、第１電子機器１０に送信する。

（ステップＳ３１２）：第１電子機器１０の制御部１１は、第２電子機器２０から受信した復旧用のプログラムを、記憶部１２のプログラム記憶領域に上書きする。

（ステップＳ３１３）：第１電子機器１０の制御部１１は、復旧用のプログラムの記憶部１２への書き込みが完了すると、復旧完了通知を第２電子機器２０宛てに送信する。

（ステップＳ３１４）：第２電子機器２０の制御部２１は、復旧完了通知を受信すると、復旧モード終了要求を第１電子機器１０宛てに送信する。

（ステップＳ３１５）：第１電子機器１０の制御部１１は、復旧モードを終了し、そのことを表す復旧モード終了通知を、第２電子機器２０宛てに送信する。

（ステップＳ３１６）：第２電子機器２０の制御部２１は、記憶部２２に記憶されている現プログラムを削除する。また、第２電子機器２０の制御部２１は、通信部２３を制御して、プログラムの復旧が終了した通知をサーバー２００宛てに送信させてもよい。

以上の処理により、第１電子機器１０のプログラムの復旧が行われる。本例では、電源オン時の第１電子機器１０の動作やその影響に基づいて、復旧指示を行うことができる。このように、少なくとも１回、車両が電源オフからオンとなり、第１電子機器１０が更新プログラムを実行した１つ以上の結果が得られれば、更新プログラムを実際に実行させた結果に基づいて、復旧指示を行うことができる。あるいは、ステップＳ２１４の後の電源オフ状態において、第１電子機器１０が、判定処理として更新後のプログラムを用いた所定の動作テストを行い、この結果が許容外であった場合に復旧指示を行い、電源オン状態に一度も移行しないまま、ステップＳ３０３以降の処理が実行されてもよい。

以上、本実施形態に係る処理について説明したが、各処理は適宜変形可能である。例えばサーバー２００は、第２電子機器２０に更新プログラムや現プログラムを送信する代わりに、適宜これらを表す他の形式のデータを送信してもよい。他の形式のデータは限定されず、例えば、更新プログラムの代わりに、現プログラムからの差分データであってもよいし、現プログラムの代わりに更新プログラムからの差分データであってもよい。また、更新プログラム、現プログラム、あるいは差分データの圧縮データであってもよい。また、第２電子機器２０から第１電子機器１０に送信する更新プログラムや現プログラムの形式も、限定されず、サーバー２００から受信したデータをそのまま転送してもよく、例えば圧縮データを展開したデータや、差分データからプログラムを構築したデータのように、サーバー２００から受信したデータを変換したデータを送信してもよい。

＜効果＞
本実施形態においては、サーバー２００は、第２電子機器２０に第１電子機器１０用の更新プログラムを送信する際に、バックアップ用の更新前のプログラムも送信する。第１電子機器１０は、更新前のプログラムをバックアップする記憶領域を有しておらず、代わりに第２電子機器２０が更新前のプログラムを記憶するが、第２電子機器２０は、更新前のプログラムをサーバーから受信するので、第１電子機器１０から更新前のプログラムを読み出す必要がない。そのため車内の通信量の増大を抑制しつつ、必要に応じて第１電子機器１０を更新前のプログラムに復旧することができる。

車内の通信量が増大することを抑制できるので、車内通信用の通信線の通信帯域が逼迫せず、電子機器間の通信の支障が発生するリスクを抑制できる。また、一般にサーバー２００のような外部の装置と車両１００内の電子機器との間の通信速度は、車両１００内の電子機器間の通信速度より速いため、第２電子機器２０が更新プログラムをサーバー２００から受信する場合、第１電子機器１０から読み出す場合に比べて、プログラム更新に要する総所要時間を短縮することができる。

本発明は、プログラム更新システム、プログラム送信装置およびプログラム送信方法、プログラム更新システムの各部が備えるコンピュータが実行する方法、プログラムおよびこれを記憶したコンピュータ読み取り可能な非一時的記憶媒体、プログラム更新システムに含まれるネットワークシステムを備えた車両等として捉えることが可能である。

本発明は、車両等の電子機器のプログラム更新システムに有用である。

１プログラム更新システム
１０第１電子機器
１１制御部
１２記憶部
２０第２電子機器
２１制御部
２２記憶部
２３通信部
１００車両
１０１ネットワークシステム
２００サーバー
２０１制御部
２０２記憶部
２０３通信部

Claims

車両と、前記車両に搭載される電子機器のプログラムを送信する、前記車両と通信可能なプログラム送信装置とを備えるプログラム更新システムであって、
前記車両は、第１電子機器と、前記プログラム送信装置から受信するデータを記憶可能な第２電子機器とを含み、
前記第１電子機器は、前記第１電子機器が実行するプログラムの現在のバージョンである現プログラムと前記現プログラムの更新版である更新プログラムとを同時に記憶可能な記憶領域を有さず、
前記第２電子機器は、前記プログラム送信装置および前記第１電子機器と通信可能であり、前記現プログラムと前記更新プログラムとを同時に記憶可能な記憶領域を有し、
前記プログラム送信装置は、前記車両から要求を受信すると、前記更新プログラムを表すデータおよび前記現プログラムを表すデータを前記車両に送信し、
前記車両の前記第２電子機器は、前記更新プログラムを表すデータおよび前記現プログラムを表すデータを受信すると、前記更新プログラムを表すデータおよび前記現プログラムを表すデータを記憶し、
前記車両の前記第２電子機器は、記憶した前記更新プログラムを表すデータに基づいて、前記車両の前記第１電子機器が記憶しているプログラムを前記現プログラムから前記更新プログラムに変更する更新処理を実行し、
前記車両の前記第２電子機器は、前記更新処理の後、所定の判定処理の結果またはユーザー指示に応じて、記憶した前記現プログラムを表すデータにより、前記車両の前記第１電子機器が記憶しているプログラムを前記現プログラムに復旧することが可能であり、
前記車両の前記第２電子機器は、前記更新処理の実行後、少なくとも１回、前記車両の電源がオンとなりその後オフとなった後、前記第２電子機器が記憶している前記現プログラムを削除する、プログラム更新システム。
前記更新プログラムを表すデータは、前記更新プログラムの前記現プログラムからの差分を表すデータである、請求項１に記載のプログラム更新システム。
前記現プログラムを表すデータは、前記現プログラムの前記更新プログラムからの差分を表すデータである、請求項１または２に記載のプログラム更新システム。
前記所定の判定処理は、前記車両の電源がオンとなっている間の前記第１電子機器の動作に基づいて行われる、請求項１～３のいずれかに記載のプログラム更新システム。
車両と、前記車両に搭載される電子機器のプログラムを送信する、前記車両と通信可能なプログラム送信装置と、を備えるプログラム更新システムによって実行されるプログラム更新方法であって、
前記車両は、第１電子機器と、前記プログラム送信装置から受信するデータを記憶可能な第２電子機器とを含み、
前記第１電子機器は、前記第１電子機器が実行するプログラムの現在のバージョンである現プログラムと前記現プログラムの更新版である更新プログラムとを同時に記憶可能な記憶領域を有さず、
前記第２電子機器は、前記プログラム送信装置および前記第１電子機器と通信可能であり、前記現プログラムと前記更新プログラムとを同時に記憶可能な記憶領域を有し、
前記プログラム送信装置は、前記車両から要求を受信すると、前記更新プログラムの前記現プログラムからの差分を表すデータである更新プログラムを表すデータおよび前記現プログラムの前記更新プログラムからの差分を表すデータである現プログラムを表すデータを前記車両に送信するステップと、
前記車両の前記第２電子機器は、前記更新プログラムを表すデータおよび前記現プログラムを表すデータを受信すると、前記更新プログラムを表すデータおよび前記現プログラムを表すデータを記憶するステップと、
前記車両の前記第２電子機器は、記憶した前記更新プログラムを表すデータに基づいて、前記車両の前記第１電子機器が記憶しているプログラムを前記現プログラムから前記更新プログラムに変更する更新処理を実行するステップと、
前記車両の前記第２電子機器は、前記更新処理の後、所定の判定処理の結果またはユーザー指示に応じて、記憶した前記現プログラムを表すデータにより、前記車両の前記第１電子機器が記憶しているプログラムを前記現プログラムに復旧するステップと、
前記車両の前記第２電子機器は、前記更新処理の実行後、少なくとも１回、前記車両の電源がオンとなりその後オフとなった後、前記第２電子機器が記憶している前記現プログラムを削除するステップと、を含む、プログラム更新方法。