JP7779227B2 - 車両、および、ソフトウェア更新システム - Google Patents

Description

本開示は、車両、および、ソフトウェア更新システムに関する。

特開２０１７－１４９３２３号公報（特許文献１）には、ＯＴＡ（Over The Air）により、車両に搭載されたＥＣＵ（Electronic Control Unit）のソフトウェアを更新する技術が開示されている。

特開２０１７－１４９３２３号公報

車両は、外部のサーバ（たとえば、ＯＴＡセンタ）と無線通信を行うことにより、車載ＥＣＵの新しいソフトウェア（データ）をダウンロードすることができる。そして、車両において、ターゲットＥＣＵ（ソフトウェア更新対象のＥＣＵ）がインストール、アクティベートを順に実行することで、ソフトウェアを更新することができる。

このようなＯＴＡ技術を用いたソフトウェア（制御プログラム）の更新を行なう場合には、たとえば、ＯＴＡセンタから車載の通信機器（たとえば、ＤＣＭ（Data Communication Module）などの通信モジュール）や、ユーザが所有する端末（ユーザ端末：たとえば、スマートフォンなどのモバイル端末）を経由してソフトウェアのダウンロードが行われる。

車載ＥＣＵのソフトウェアの更新処理を実行する際、更新処理（ソフトウェアのダウンロード）を承諾するか否かを問い合わせ、ユーザによって承諾がなされたとき、ソフトウェアの更新処理を実行することが好ましい。更新処理の承諾の問い合わせに対して、ユーザが承諾操作を行う対象（機器）としては、車両に搭載されたＨＭＩ装置（Human Machine Interface）やユーザ端末がある。ユーザ端末を経由してダウンロードしたソフトウェアによって更新処理が行われる場合に、ＨＭＩ装置を用いて承諾操作を行うようにすると、ユーザの手元にユーザ端末があるにも係わらず、ユーザにとって煩わしさを招く懸念がある。

本開示の目的は、ユーザ端末を経由して車載ＥＣＵのソフトウェアの更新処理を行う際に、ユーザの利便性を図ることである。

（１）本開示の車両は、ソフトウェアの更新が可能にされたＥＣＵを備える車両である。車両は、ユーザ端末と通信可能な通信部と、サーバから配信されるソフトウェアを、ユーザ端末を経由して車両へダウンロードする場合、ダウンロードを承諾するための第１操作部とユーザ端末のバッテリの蓄電量とをユーザ端末の表示部に表示することをユーザ端末に要求する制御部と、を備える。

この構成によれば、車両の送信部は、ユーザ端末と通信可能であり、サーバから配信されるソフトウェアを、ユーザ端末を経由して、車両にダウンロード可能である。車両の制御部は、サーバから配信されるソフトウェアを、ユーザ端末を経由して車両へダウンロードする場合、ダウンロードを承諾するための第１操作部とユーザ端末のバッテリの蓄電量とをユーザ端末の表示部に表示することをユーザ端末に要求する。ユーザ端末を経由してソフトウェアをダウンロードする場合、ダウンロードの承諾をユーザ端末に対して要求するので、ユーザの手元にあるユーザ端末によって承諾操作を行うことが可能になり、ユーザの利便性を図ることができる。また、ユーザは、ユーザ端末の表示部に表示されたバッテリの蓄電量を考慮したうえで、第１操作部を操作して承諾を行うことが可能になるので、ソフトウェアのダウンロード中にユーザ端末の電力が枯渇する可能性を抑制することができる。

（２）好ましくは、（１）において、車両は、ＨＭＩ装置を、さらに備える。制御部は、所定の条件が成立したとき、ＨＭＩ装置の表示部に、ダウンロードを承諾するための第２操作部を表示するようにしてもよい。

この構成によれば、所定の条件が成立したとき、制御部は、ダウンロードを承諾するための第２操作部をＨＭＩ装置の表示部に表示する。ユーザは、ＨＭＩ装置の表示部に表示された第２操作部を操作することにより、ダウンロードを承諾できるので、さらに、ユーザの利便性を高めることでき、また、ソフトウェアの更新処理を促進することが可能になる。所定の条件としては、たとえば、ユーザ端末の記憶部に保存されたソフトウェアが車両へ送信されず、インストールが完了しない場合、等であってよい。

（３）好ましくは、（２）において制御部は、第２操作部が操作され、ダウンロードの承諾がなされたとき、ユーザ端末のバッテリの蓄電量が第１所定値以上である場合、ダウンロードの承諾をユーザ端末に対して要求することなくダウンロードを実行し、ユーザ端末の蓄電量が第１所定値未満の場合、ダウンロードの承諾をユーザ端末に要求するようにしてもよい。

この構成によれば、ユーザが、ＨＭＩ装置に表示された第２操作部を操作し、ダウンロードの承諾がなされたとき、ユーザ端末の蓄電量が第１所定値未満の場合、ダウンロードの承諾をユーザ端末に要求する。これにより、ユーザ端末の蓄電量が第１所定値未満であり、ソフトウェアのダウンロードを行うのに十分でないとき、ユーザ端末を操作して承諾操作を行うことを求められるので、ユーザが、ユーザ端末の蓄電量を確認したうえで、承諾操作を行うことの動機付けになる。また、ユーザが、ＭＨＩ装置に表示された第２操作部を操作し、ダウンロードの承諾がなされたとき、ユーザ端末の蓄電量が第１所定値以上である場合、ダウンロードの承諾をユーザ端末に対して要求することなくダウンロードを実行するので、ユーザの利便性を損なうことを抑制できる。

（４）本開示のソフトウェア更新システムは、ソフトウェアを配信するサーバと、ＥＣＵが搭載された車両と、サーバおよび車両と通信可能なユーザ端末と、を含み、ＥＣＵのソフトウェアを更新するソフトウェア更新システムである。ソフトウェア更新システムは、ユーザ端末を経由してソフトウェアを車両にダウンロードする場合、ユーザ端末を操作してダウンロードの承諾をユーザが承諾したとき、ダウンロードを実行する。

この構成によれば、ソフトウェア更新システムは、サーバおよび車両と通信可能なユーザ端末を経由して、サーバから配信されるソフトウェアを車両にダウンロードし、車両に搭載されたＥＣＵのソフトウェアを更新することが、可能である。ソフトウェア更新システムは、ユーザ端末を経由してソフトウェアを車両にダウンロードする場合、ユーザ端末を操作して、ダウンロードの承諾をユーザが承諾したとき、ダウンロードを実行する。ユーザ端末を経由してソフトウェアをダウンロードする場合、ユーザ端末を操作して、ダウンロードの承諾をユーザが承諾したとき、ダウンロードを実行するので、ユーザの手元にあるユーザ端末によって承諾操作を行うことが可能になり、ユーザの利便性を図ることができる。

（５）好ましくは、（４）において、ユーザ端末は、ダウンロードを承諾するための第１操作部とユーザ端末のバッテリの蓄電量を、ユーザ端末の表示部に表示するようにしてもよい。

この構成によれば、ダウンロードを承諾するための第１操作部とユーザ端末のバッテリの蓄電量が、ユーザ端末の表示部に表示されるので、ユーザは、ユーザ端末の表示部に表示されたバッテリの蓄電量を考慮したうえで、第１操作部を操作して承諾を行うことが可能になり、ソフトウェアのダウンロード中にユーザ端末の電力が枯渇する可能性を抑制することができる。

（６）好ましくは、（４）または（５）において、車両は、ＨＭＩ装置を含む。ソフトウェア更新システムは、所定の条件が成立すると、ダウンロードを承諾するための第２操作部をＨＭＩ装置に表示するようにしてもよい。

この構成によれば、所定の条件が成立したとき、ダウンロードを承諾するための第２操作部がＨＭＩ装置の表示部に表示される。ユーザは、ＨＭＩ装置の表示部に表示された第２操作部を操作することにより、ダウンロードを承諾できるので、さらに、ユーザの利便性を高めることでき、また、ソフトウェアの更新処理を促進することが可能になる。所定の条件としては、たとえば、ユーザ端末の記憶部に保存されたソフトウェアが、所定期間の間、車両へ送信されていないとき、ユーザ端末の記憶部の容量が所定値未満になったとき、等であってよい。

（７）好ましくは、（６）において、第２操作部が操作され、ダウンロードの承諾がなされたとき、ユーザ端末のバッテリの蓄電量が第１所定値以上である場合、ユーザ端末の操作が行われることなくダウンロードを実行し、ユーザ端末の蓄電量が第１所定値未満の場合、ユーザ端末が操作されて、ダウンロードをユーザが承諾したとき、ダウンロードを実行するようにしてもよい。

この構成によれば、ユーザが、ＭＨＩ装置に表示された第２操作部を操作し、ダウンロードの承諾がなされたとき、ユーザ端末の蓄電量が第１所定値未満の場合、ユーザ端末が操作されてダウンロードをユーザが承諾したとき、ダウンロードが実行される。これにより、ユーザ端末の蓄電量が第１所定値未満であり、ソフトウェアのダウンロードを行うのに十分でないときには、ユーザ端末を操作してダウンロードの承諾をしたとき、ダウンロードが実行されるので、ユーザが、ユーザ端末の蓄電量を確認したうえで、承諾操作を行うことの動機付けになる。また、ユーザが、ＭＨＩ装置に表示された第２操作部を操作し、ダウンロードの承諾がなされたとき、ユーザ端末の蓄電量が第１所定値以上である場合、ユーザ端末の操作を行うことなくダウンロードが実行されるので、ユーザの利便性を損なうことを抑制できる。

（８）好ましくは、（４）または（５）において、車両は、ＨＭＩ装置を含む。車両がサーバと通信可能な通信部を備える場合、ユーザ端末のバッテリの蓄電量を、ＨＭＩ装置に表示せず、車両がサーバと通信可能な通信部を備えない場合、ユーザ端末の蓄電量を、ＨＭＩ装置に表示するようにしてもよい。

この構成によれば、車両がサーバと通信可能な通信部を備える場合には、ＨＭＩ装置に、ユーザ端末の蓄電量が表示されない。車両がサーバと通信可能な場合、車両は、ユーザ端末を経由せず、サーバから配信されるソフトウェアをダウンロードして、ソフトウェアの更新処理を実行することもある。したがって、車両がサーバと通信可能な通信部を備える場合には、ユーザ端末の蓄電量をＨＭＩ装置に表示しないことによって、ユーザ端末の蓄電量の情報を、車両とユーザ端末との間で授受しなくともよいので、通信負荷を低減することが可能になる。また、車両がサーバと通信可能な通信部を備えない場合、ユーザ端末の蓄電量を、ＨＭＩ装置に表示する。車両がサーバと通信可能な通信部を備えない場合には、ユーザ端末を経由してソフトウェアをダウンロードするので、ユーザ端末の蓄電量をＨＭＩ装置に表示することにより、ダウンロードの承諾操作を行う際に、ユーザ端末の蓄電量を容易に確認でき、ソフトウェアのダウンロード中にユーザ端末の電力が枯渇する可能性を抑制することができる。

本開示によれば、ユーザ端末を経由して車載ＥＣＵのソフトウェアの更新処理を行う際に、ユーザの利便性を図ることできる。

本開示の実施の形態に係るソフトウェア更新システムの構成を示す図である。 本実施の形態に係るソフトウェア更新方法の概要について説明するための図である。 本実施の形態のソフトウェア更新システムにおいて実行される、シーケンスの一部を概略的に示す図である。 ユーザ端末のタッチパネルディスプレイに表示される表示画面の一例を示す図である。 ＨＭＩ装置のタッチパネルディスプレイに表示される表示画面の一例を示す図である。 ユーザ端末のタッチパネルディスプレイに表示される表示画面の一例を示す図である。 変形例１に係る、ソフトウェア更新システムのシーケンスの一部を概略的に示す図である。 変形例２に係る、ソフトウェア更新システムのシーケンスの一部を概略的に示す図である。 ＨＭＩ装置のタッチパネルディスプレイに表示される表示画面の一例を示す図である。

本開示の実施の形態について、図面を参照しながら詳細に説明する。図中、同一または相当部分には同一符号を付してその説明は繰り返さない。

図１は、この実施の形態に係るソフトウェア更新システムの構成を示す図である。図１を参照して、このソフトウェア更新システムは、車両１００と、車両２００と、ユーザ端末３００、３００ａと、ＯＴＡセンタ５００とを含む。なお、「ＯＴＡ」は、「Over The Air」の略語である。

車両１００，２００の各々は、たとえば内燃機関を備えない電気自動車（ＢＥＶ：Battery Electric Vehicle）である。車両１００はＯＴＡアクセス機能（ＯＴＡセンタ５００と直接無線通信する機能）を有するが、車両２００はＯＴＡアクセス機能を有しない。車両１００は、ＯＴＡセンタ５００と直接的に無線通信を行うことができるが、車両２００は、他の通信装置（すなわち、車両２００自身が備える通信装置ではない通信装置）を経由しなければＯＴＡセンタ５００と通信することができない。車両２００は、ユーザ端末３００を介して（ユーザ端末３００を経由して）、ＯＴＡセンタ５００と無線通信を行う。また、車両１００は、ＯＴＡセンタ５００と直接的に無線通信を行うことに加えて、ユーザ端末３００ａを経由して、ＯＴＡセンタ５００と無線通信を行うことが可能にされている。

ユーザ端末３００とユーザ端末３００ａの構成は同一であるので、以下、ユーザ端末３００について、説明を行う。ユーザ端末３００は、ユーザによって持ち運び可能に構成される。ユーザ端末３００は、車両２００のユーザ（車両管理者）によって携帯されて操作される、モバイル端末である。この実施の形態では、ユーザ端末３００として、タッチパネルディスプレイ（表示部）を具備するスマートフォンを採用する。スマートフォンは、コンピュータを内蔵し、スピーカ機能を有する。ただしこれに限られず、ユーザ端末３００としては、車両２００のユーザが携帯可能な任意の端末を採用可能である。たとえば、ラップトップ、タブレット端末、携帯型ゲーム機、ウェアラブルデバイス（スマートウォッチ、スマートグラス、スマートグローブなど）なども、ユーザ端末３００として採用可能である。

ユーザ端末３００は、プロセッサ３１０、メモリ３２０、および通信モジュール３３０を備える。プロセッサ３１０は、たとえばＣＰＵ（Central Processing Unit）を含む。メモリ３２０は、たとえばフラッシュメモリのような不揮発性メモリを含む。通信モジュール３３０は、ＯＴＡセンタ５００と直接的に無線通信を行うための通信Ｉ／Ｆ（インターフェース）を含む。また、通信モジュール３３０は、車両２００と直接的に無線通信を行うための通信Ｉ／Ｆも含む。これにより、車両２００とＯＴＡセンタ５００は、ユーザ端末３００を経由して、データの授受が可能にされている。たとえば、ユーザ端末３００が、車両２００からの要求に応じて、ＯＴＡセンタ５００のアドレスを指定して通信ネットワークＮＷにアクセスすることにより、ユーザ端末３００を経由して、車両２００（ＥＣＵ２１０）とＯＴＡセンタ５００とのデータの授受（通信）が可能になる。

ユーザ端末３００には、ＯＴＡセンタ５００が提供するサービスを利用するためのアプリケーションソフトウェア（以下、「モバイルアプリ」と称する）がインストールされている。モバイルアプリにより、ユーザ端末３００の識別情報（端末ＩＤ）が、車両２００の識別情報（車両ＩＤ）と紐付けられてＯＴＡセンタ５００に登録される。また、ユーザ端末３００は、モバイルアプリを通じて、ＯＴＡセンタ５００と情報のやり取りを行うことができる。

ユーザ端末３００ａは、車両１００のユーザによって携帯されて操作される、モバイル端末である。ユーザ端末３００ａの識別情報（端末ＩＤ）が、車両１００の識別情報（車両ＩＤ）と紐付けられてＯＴＡセンタ５００に登録され、ユーザ端末３００ａは、モバイルアプリを通じて、ＯＴＡセンタ５００と情報のやり取りを行うことができる。ユーザ端末３００，３００ａのタッチパネルディスプレイは、入力装置および表示装置として機能する。なお、ユーザ端末３００とユーザ端末３００ａの機能は同一であり、ユーザ端末３００を車両１００と紐付けて、車両１００のユーザによって携帯され操作されてもよく、ユーザ端末３００ａを車両２００と紐付けて、車両２００のユーザによって携帯され操作されてもよい。

ＯＴＡセンタ５００は、ＯＴＡ技術による車両ソフトウェア更新サービスを提供するサーバである。ＯＴＡセンタ５００は、当該センタから通信区画を経由して遠隔での車載ＥＣＵソフトウェア更新を実施するように構成される。ＯＴＡセンタ５００は、車載ＥＣＵのソフトウェアを配信する。「ＥＣＵ」は、電子制御装置（Electronic Control Unit）を意味する。

ＯＴＡセンタ５００は、プロセッサ５１０、メモリ５２０、および通信モジュール５３０を備える。プロセッサ５１０は、たとえばＣＰＵを含む。メモリ５２０は、たとえばフラッシュメモリのような不揮発性メモリを含む。通信モジュール５３０は、有線で通信ネットワークＮＷと接続され、通信ネットワークＮＷを介して複数の車両（車両１００を含む）と複数のモバイル端末（ユーザ端末３００を含む）との各々と通信する。通信ネットワークＮＷは、たとえばインターネットと無線基地局とによって構築される広域ネットワークである。通信ネットワークＮＷは携帯電話網を含んでもよい。

車両１００は、ＯＴＡマスタ１１０と、複数のＥＣＵ（ＥＣＵ１２１，１２２を含む）とを備える。車両２００は、複数のＥＣＵ（ＥＣＵ２１０，２２１，２２２を含む）を備える。ＯＴＡマスタ１１０は、コンピュータを内蔵し、車載診断装置として機能する。各車両が備えるＥＣＵの数は任意である。各車載ＥＣＵは、少なくとも１つのプロセッサと、少なくとも１つのメモリとを備えるコンピュータを内蔵する。各車載ＥＣＵは、メインマイコンおよびサブマイコンのような形態で、複数のマイコン（マイクロコンピュータ）を備えてもよい。

車両１００においては、ＯＴＡマスタ１１０と各ＥＣＵとが、通信バスを介して接続されており、相互に有線通信可能に構成される。車両２００においては、ＥＣＵ同士が、通信バスを介して接続されており、有線通信可能に構成される。なお、各車両における制御装置間の通信方式は、特に限定されないが、たとえばＣＡＮ（Controller Area Network）またはＥｔｈｅｒｎｅｔ（登録商標）であってもよい。

ＯＴＡマスタ１１０は、プロセッサ１１１、メモリ１１２、および通信モジュール１１３を備える。プロセッサ１１１は、たとえばＣＰＵを含む。メモリ１１２は、たとえばフラッシュメモリのような不揮発性メモリを含む。通信モジュール１１３は、ＯＴＡセンタ５００と直接的に無線通信を行うための通信Ｉ／Ｆ（インターフェース）を含む。たとえば、通信モジュール１１３が、ＯＴＡセンタ５００のアドレスを指定して通信ネットワークＮＷにアクセスすることにより、車両１００（通信モジュール１１３）とＯＴＡセンタ５００との間での無線通信が確立する。通信モジュール１１３は、無線通信を行うＴＣＵ（Telematics Control Unit）および／またはＤＣＭ（Data Communication Module）を含んでもよい。

車両２００において、ＥＣＵ２１０は、プロセッサ２１１およびメモリ２１２を備える。プロセッサ２１１は、たとえばＣＰＵを含む。メモリ２１２は、たとえばフラッシュメモリのような不揮発性メモリを含む。車両２００は通信装置２９０をさらに備える。ＥＣＵ２１０は通信装置２９０を通じて車両外部の装置と通信を行う。通信装置２９０は、ユーザ端末３００と直接的に無線通信を行うための通信Ｉ／Ｆ（インターフェース）を含む。通信装置２９０とユーザ端末３００とは、無線ＬＡＮ（Local Area Network）、ＮＦＣ（Near Field Communication）、またはＢｌｕｅｔｏｏｔｈ（登録商標）のような近距離通信を行なってもよい。通信装置２９０は、車内または車両周辺の範囲内に存在するユーザ端末３００と直接通信してもよい。車両２００の停車中に車内または車外のユーザ端末３００とＥＣＵ２１０とが通信装置２９０を介して相互に情報のやり取りを行ってもよい。また、車両２００の走行中に車内のユーザ端末３００とＥＣＵ２１０とが通信装置２９０を介して相互に情報のやり取りを行ってもよい。ＥＣＵ２１０は、前述のようにＯＴＡセンタ５００との通信をユーザ端末３００に要求することで、ユーザ端末３００を介してＯＴＡセンタ５００と通信することができる。

車両１００において、ＯＴＡマスタ１１０は、通信モジュール１１３に加えて、通信装置１９０を通じてユーザ端末３００ａと通信を行うことが可能とされている。通信装置１９０は、ユーザ端末３００ａと直接的に無線通信を行うための通信Ｉ／Ｆ（インターフェース）を含む。通信装置１９０とユーザ端末３００ａとは、無線ＬＡＮ、ＮＦＣ、またはＢｌｕｅｔｏｏｔｈ（登録商標）のような近距離通信を行なってもよい。通信装置１９０は、車内または車両周辺の範囲内に存在するユーザ端末３００ａと直接通信してもよい。車両１００の停車中に車内または車外のユーザ端末３００ａとＯＴＡマスタ１１０とが通信装置１９０を介して相互に情報のやり取りを行ってもよい。また、車両１００の走行中に車内のユーザ端末３００ａとＯＴＡマスタ１１０とが通信装置１９０を介して相互に情報のやり取りを行ってもよい。ＯＴＡマスタ１１０は、前述のようにＯＴＡセンタ５００との通信をユーザ端末３００ａに要求することで、ユーザ端末３００ａを介してＯＴＡセンタ５００と通信することができる。

上記のように、車両１００のＯＴＡマスタ１１０と車両２００のＥＣＵ２１０との各々が、ＯＴＡセンタ５００と無線通信可能に構成される。車両１００，２００の各々は、停車中と走行中とのいずれにおいても、ＯＴＡセンタ５００と通信できる。ＯＴＡマスタ１１０とＥＣＵ２１０との各々は、車両内情報を管理し、キャンペーンを受け取り、ソフトウェア更新シーケンスを管理する。以下では、ＯＴＡマスタ１１０とＥＣＵ２１０とを区別しない場合は、これらを「更新マスタ」と称する。ＯＴＡマスタ１１０は車両１００の更新マスタに相当し、ＥＣＵ２１０は車両２００の更新マスタに相当する。

車両１００，２００の各々は、自動運転可能に構成される自動運転車両である。車両１００，２００の各々は、有人走行と無人走行との両方を実行可能に構成される。車両１００，２００の各々は、無人で自律走行可能に構成されるが、ユーザによる手動運転で走行（有人走行）することもできる。また、車両１００，２００の各々は、有人走行中に自動運転（たとえば、オートクルーズコントロール）を実行することも可能である。自動運転のレベルは、完全自動運転（レベル５）であってもよいし、条件付きの自動運転（たとえば、レベル４）であってもよい。

車両１００、２００は、それぞれ運転装置１３０、２３０と、ＡＤＳ（Autonomous Driving System）１４０、２４０とを備える。車両１００においては、ＥＣＵ１２１が運転装置１３０を制御するように構成される。車両２００においては、ＥＣＵ２２１が運転装置２３０を制御するように構成される。

運転装置１３０，２３０の各々は、アクセル装置、ブレーキ装置、および操舵装置を含む。アクセル装置は、たとえば、車両の駆動輪を回転させるモータジェネレータ（以下、「ＭＧ」と表記する）と、ＭＧを駆動するＰＣＵ（Power Control Unit）と、ＭＧを駆動するための電力をＰＣＵに供給するバッテリとを含む。

ＡＤＳ１４０，２４０の各々は、車両の外部環境を認識する認識用センサ（たとえば、カメラ、ミリ波レーダ、ライダーの少なくとも１つ）を含み、認識用センサによって逐次取得される情報に基づいて自動運転に係る処理を実行する。ＡＤＳ１４０、２４０は、それぞれＥＣＵ１２１、２２１と連携しながら、車両の外部環境に応じた走行計画（今後の車両の挙動を示す情報）を生成する。そして、ＡＤＳ１４０、２４０はそれぞれ、その走行計画に従って車両１００、２００を走行させるように、運転装置１３０、２３０に含まれる各種アクチュエータの制御をＥＣＵ１２１、２２１に要求する。

車両１００、２００は、それぞれ起動スイッチ１５０、２５０と、ＨＭＩ（Human Machine Interface）装置１７０、２７０とを備える。

起動スイッチ１５０，２５０の各々は、ユーザが車両システム（車両１００，２００の制御システム）を起動させるためのスイッチであり、たとえば車室内に設置される。一般に、起動スイッチは「パワースイッチ」または「イグニッションスイッチ」などと称される。ユーザが起動スイッチ１５０，２５０を操作することによって車両システム（車両に搭載された各ＥＣＵを含む）のオン（作動）／オフ（停止）が切り替わる。起動スイッチ１５０，２５０がオン操作されることによって停止状態の車両システムが起動し、車両システムは作動状態（以下、「ＩＧオン」とも称する）になる。また、車両システムが作動しているときに、起動スイッチ１５０，２５０がオフ操作されると、車両システムは停止状態（以下、「ＩＧオフ」とも称する）になる。

起動スイッチ１５０，２５０のオン操作は、車両の状態をＩＧオフからＩＧオンに切り替えるための操作である。ユーザが起動スイッチ１５０，２５０をオン操作すると、起動要求が各車載ＥＣＵに入力される。すなわち、各車載ＥＣＵは、ユーザからの起動要求を受け付ける。一方、起動スイッチ１５０，２５０のオフ操作は、車両の状態をＩＧオンからＩＧオフに切り替えるための操作である。ユーザが起動スイッチ１５０，２５０をオフ操作すると、シャットダウン要求が各車載ＥＣＵに入力される。すなわち、各車載ＥＣＵは、ユーザからのシャットダウン要求を受け付ける。ただし、走行中の車両においては、起動スイッチ１５０，２５０のオフ操作が禁止される。

ＨＭＩ装置１７０，２７０の各々は、入力装置および表示装置を含む。ＨＭＩ装置１７０，２７０の各々は、入力装置および表示装置として機能するタッチパネルディスプレイを含んでもよい。ＨＭＩ装置１７０，２７０の各々は、カーナビゲーションシステムの入力装置および表示装置を含んでもよい。

図２は、ＯＴＡを利用したソフトウェア更新方法の概要について説明するための図である。図１とともに図２を参照して、ソフトウェア更新に係る処理は、構成同期、キャンペーン通知と適用承諾、ダウンロード、インストール、アクティベート、ソフトウェア更新完了通知のような手順で行われる。以下に説明する処理は、ＯＴＡセンタ５００と、ＯＴＡセンタ５００からのソフトウェア配信を受ける各車両（車両１００，２００を含む）とによって実行される。ＯＴＡセンタ５００からの配信を受ける車両の数は、５０台程度でもよいし、１００台以上１０００台未満でもよいし、１０００台以上でもよい。

ＩＧオン状態の車両は、予め設定された時間が経過するごとに繰り返し構成同期を実行する。また、ＩＧオン状態の車両は、ＯＴＡセンタ５００から構成同期の要求を受けた場合にも構成同期を実行する。車両による構成同期処理は、車両構成情報をＯＴＡセンタ５００に送信することを含む。車両構成情報は、たとえば、車両に含まれるＥＣＵごとのハードウェア情報（ハードウェアの品番、ＥＣＵの識別子などを示す情報）およびソフトウェア情報（ソフトウェアの品番などを示す情報）を含む。

ＯＴＡセンタ５００は、車両から上記車両構成情報を受信すると、現時点で発生しているキャンペーン（ソフトウェアの更新）を確認する。そして、車両に適用可能なキャンペーンが存在すれば、ＯＴＡセンタ５００は、そのキャンペーンに係る新しいソフトウェア（ソフトウェアの更新版）のダウンロードの承諾を車両のユーザに要求する承諾要求信号を送信する。承諾要求信号は、そのキャンペーンに関する情報（キャンペーン情報）を含む。キャンペーン情報は、たとえば、キャンペーン属性情報（ソフトウェア更新の目的、および更新で影響の可能性がある車両の機能などを示す情報）と、キャンペーン対象車両のリストと、キャンペーン対象ＥＣＵに関する情報（たとえば、更新前後のソフトウェア情報）と、更新前後のユーザへの通知に関する情報との少なくとも１つを含んでもよい。なお、通知されるキャンペーンは、新たに発生したキャンペーンかもしれないし、以前適用しなかったキャンペーンかもしれない。以下では、上記承諾要求信号の送信を、「キャンペーン通知」とも称する。

車両は、キャンペーン通知（承諾要求信号）を受けると、そのキャンペーンの適用を承諾するか否かの入力をユーザに求める。たとえば、車両は、「新しいソフトウェアが見つかりました。この車に適用しますか？」のようなメッセージを車載ＨＭＩ装置（ＨＭＩ装置１７０，２７０）あるいはユーザ端末３００，３００ａに表示させて、「承諾」と「拒否」とのいずれか一方を示す入力をユーザに要求する。そして、「承諾」を示す入力を行うと、車両は、以下に説明するダウンロードに係る処理を実行する。他方、「拒否」を示す入力を行うと、車両はダウンロードに係る処理を実行しない。この場合、ＯＴＡセンタ５００は、ソフトウェア更新に係る処理をダウンロードフェーズに進めることなく終了させる。

この実施の形態では、ＯＴＡセンタ５００と車両の更新マスタ（たとえば、ＯＴＡマスタ１１０またはＥＣＵ２１０）とが、以下に説明する手順でダウンロードに係る処理を実行する。

車両の更新マスタは、新しいソフトウェアを含む配信パッケージをＯＴＡセンタ５００に要求する。そして、更新マスタは、ＯＴＡセンタ５００から、その配信パッケージのダウンロード（受信および保存）を実行する。配信パッケージは、新しいソフトウェア（たとえば、キャンペーンの対象となるＥＣＵごとの更新データのセット）に加えて、パッケージ属性情報（更新区分、配信パッケージ中の更新データ数、各ＥＣＵのインストール順序などを示す情報）、および更新データ属性情報（ターゲットＥＣＵの識別子、更新データの正当性を検証するための検証用データなど）を含んでもよい。ターゲットＥＣＵは、ソフトウェア更新対象となるＥＣＵである。たとえば、ターゲットＥＣＵがＥＣＵ１２１または２２１であり、更新されるソフトウェアが自動運転制御プログラムであってもよい。

上述したダウンロードに係る処理により、更新マスタが備える記憶装置（たとえば、メモリ１１２または２１２）に上記配信パッケージが保存される。ダウンロード完了後、更新マスタは、ダウンロードされた配信パッケージの真正性を検証する。そして、検証の結果が「正常」であれば、更新マスタはソフトウェア更新状態（ダウンロード完了）をＯＴＡセンタ５００に通知する。この通知が行われることは、ダウンロードが成功したことを意味する。

ダウンロードが成功すると、車両はインストールを実行する。更新マスタは、少なくとも１つのターゲットＥＣＵ（たとえば、ＥＣＵ１２１または２２１）に、当該ターゲットＥＣＵの状態およびＤＴＣ（Diagnostic Trouble Code）の出力を要求する。更新マスタは、ターゲットＥＣＵの状態およびＤＴＣに基づいて、ターゲットＥＣＵごとにインストール実行可否を判断する。そして、更新マスタは、インストール実行可能なターゲットＥＣＵに新しいソフトウェア（更新データ）を転送する。更新データを受信したターゲットＥＣＵは、その更新データのインストール（不揮発性メモリへの書込み）を実行する。

更新マスタからターゲットＥＣＵへの上記更新データの転送が完了すると、ターゲットＥＣＵは、転送完了通知を更新マスタに送信する。そして、転送完了通知を受けた更新マスタは、ターゲットＥＣＵに完全性検証を要求する。この要求を受けたターゲットＥＣＵは、完全性検証データ（検証用データ）を用いて検証を行い、その検証結果を更新マスタへ送信する。更新マスタは、ターゲットＥＣＵごとの検証結果（インストールの完了／失敗／中止）を保存する。全てのターゲットＥＣＵの完全性検証が完了し、全ての検証結果が「正常」であれば、更新マスタは、ソフトウェア更新状態（インストール完了）をＯＴＡセンタ５００に通知する。この通知が行われることは、インストールが成功したことを意味する。

ダウンロードに続けてインストールにも成功すると、車両はアクティベート待ち状態になる。その後、車両の起動スイッチ（たとえば、起動スイッチ１５０または２５０）にオフ操作が行われると、更新マスタが、車載ＨＭＩ装置あるいはユーザ端末３００，３００ａに所定のメッセージを表示させて、「承諾」と「拒否」とのいずれか一方を示す入力をユーザに要求する。そして、「承諾」を示す入力を行うと、更新マスタがアクティベート（インストールされたソフトウェアの有効化）を実行する。更新マスタがアクティベートに失敗した場合には、更新マスタがＯＴＡセンタ５００にソフトウェアのロールバックを要求する。ＯＴＡセンタ５００は、車両からロールバックの要求を受けると、その車両にロールバック用のソフトウェアを配信する。これにより、更新マスタは、そのロールバック用のソフトウェアを用いて、アクティベートに失敗したソフトウェアを元のバージョンに戻すこと（ロールバック）ができる。また、ユーザが「拒否」を示す入力を行うと、更新マスタはアクティベートを実行することなくソフトウェア更新に係る処理を中止し、車両システムがシャットダウンされる。

更新マスタがアクティベートに成功すると、更新マスタがソフトウェア更新の結果を車載ＨＭＩ装置あるいはユーザ端末３００，３００ａに表示させる。その後、更新マスタは、ソフトウェア更新状態（ソフトウェア更新完了）をＯＴＡセンタ５００に通知する。この通知が行われることは、ＯＴＡソフトウェア更新が成功したことを意味する。この通知が行われると、車両の制御システムがシャットダウンされ、ＩＧオフになる。その後、車両の起動スイッチにオン操作が行われると、車両システムがＩＧオンになる。これにより、ターゲットＥＣＵで更新プログラム（新しいバージョンのソフトウェア）が起動する。なお、更新されるソフトウェアは、上述の自動運転制御プログラムのような運転支援系の制御プログラムに限られず任意である。

このように、配信パッケージ（ソフトウェア）がダウンロードされ、ターゲットＥＣＵのソフトウェアが更新される場合、ソフトウェアの更新処理を承諾するか否か（キャンペーンの適用を承諾するか否か）の入力をユーザに求める。この際、ＯＴＡセンタ５００から配信されるソフトウェア（配信パッケージ）を、ユーザ端末３００，３００ａを経由してダウンロードする場合に、車載ＨＭＩ装置を用いて承諾操作を行うようにすると、ユーザの手元にユーザ端末３００，３００ａがあるにも係わらず、ユーザにとって煩わしさを招く懸念がある。本実施の形態では、ユーザ端末３００，３００ａに、更新処理の承諾可否（許諾可否）を表示することにより、ユーザ端末３００，３００ａを経由して車載ＥＣＵのソフトウェアの更新処理を行う際に、ユーザの利便性を図る。

図３は、本実施の形態のソフトウェア更新システムにおいて実行される、シーケンスの一部を概略的に示す図である。このシーケンスは、ＯＴＡセンタ５００、ユーザ端末３００あるいはユーザ端末３００ａ、更新マスタ（ＯＴＡマスタ１１０、ＥＣＵ２１０）において処理される。この処理は、各機器において、１以上のプロセッサが１以上のメモリに記憶されたプログラムを読み込んで実行することにより実現される。

なお、図３に示すシーケンスは、ユーザ端末３００あるいはユーザ端末３００ａを経由してソフトウェアをダウンロードする際に実行されるシーケンスである。車両１００においては、ＯＴＡマスタ１１０の通信モジュール１１３を用いて（ユーザ端末３００ａを経由せず）、ＯＴＡセンタ５００から配信されるソフトウェアをダウンロードすることと、ユーザ端末３００ａを経由してソフトウェアをダウンロードすることとが可能である。車両１００においては、たとえば、ユーザ端末３００ａを経由してソフトウェアをダウンロードするようにユーザが設定した場合、あるいは、通信環境等に応じて、ＯＴＡマスタ１１０からユーザ端末３００ａを経由してキャンペーン通知を受信するよう通知（指示）があったとき等に、図３のシーケンスが実行される。

図３を参照して、構成同期処理が終了し、適用可能なキャンペーンが存在すると、ステップ（以下、ステップを「Ｓ」と略す）１１において、ＯＴＡセンタ５００は、キャンペーン情報（承諾要求信号）を、ユーザ端末３００，３００ａに送信する。なお、構成同期処理においては、車両構成情報が、更新マスタ（ＯＴＡマスタ１１０あるいはＥＣＵ２１０）から、ユーザ端末３００，３００ａを経由してＯＴＡセンタ５００に送信される。キャンペーン情報を受信したユーザ端末３００，３００ａは、受信したキャンペーン情報を、更新マスタへ送信する（Ｓ２１）。更新マスタは、キャンペーン情報を受信すると、承諾要求をユーザ端末３００，３００ａへ送信する（Ｓ３１）。この承諾要求は、ＯＴＡセンタ５００から配信される配信パッケージ（ソフトウェア）のダウンロードの承諾をユーザ端末３００，３００ａに対して要求するものであり、配信パッケージのダウンロードを承諾するか否か（キャンペーンの適用を承諾するか否か）の表示を、ユーザ端末３００，３００ａで表示するよう、通知（指示）するものである。なお、更新マスタ（ＯＴＡマスタ１１０、ＥＣＵ２１０）は、本開示の「制御部」の一例に相当する。

ユーザ端末３００，３００ａは、承諾要求を受信すると、タッチパネルディスプレイ３４０に、ダウンロードを承諾するための操作部（操作ボタン）の表示を行う。図４は、ユーザ端末３００，３００ａのタッチパネルディスプレイ３４０に表示される表示画面の一例を示す図である。図４に示すように、タッチパネルディスプレイ３４０には、車両ソフトウェアの更新処理のメッセージとともに、ソフトウェアのダウンロードを承諾するための操作部が表示される。図４において、「はい」ボタン３４１が、ダウンロードを承諾するための操作部（操作ボタン）であり、本開示の「第１操作部」の一例に相当する。「はい」ボタン３４１が、ユーザによって操作されると、ソフトウェアのダウンロード（ソフトウェアの更新処理）が実行される。タッチパネルディスプレイ３４０に表示された「いいえ」ボタン３４２が、ユーザによって操作されると、ソフトウェアのダウンロード（ソフトウェアの更新処理）が実行されず、本シーケンスは、終了する。

図４を参照して、タッチパネルディスプレイ３４０には、ユーザ端末３００，３００ａのバッテリの蓄電量３４３が表示される。蓄電量３４３は、バッテリの現在の蓄電量を示すものであり、たとえば、ユーザ端末３００，３００ａのバッテリのＳＯＣ（State of Charge）を表示するものであってよい。蓄電量３４３の表示は、更新マスタから送信された承諾要求に応答して、ユーザ端末３００，３００ａが、タッチパネルディスプレイ３４０に表示する。また、更新マスタから送信される承諾要求に、ユーザ端末３００，３００ａのバッテリの蓄電量３４３を、タッチパネルディスプレイ３４０に表示する指示が含まれており、この指示に従って、タッチパネルディスプレイ３４０へ蓄電量３４３を表示するようにしてもよい。

再び図３を参照して、タッチパネルディスプレイ３４０の「はい」ボタン３４１が、ユーザによって操作され、ダウンロード（ソフトウェアの更新処理）の承諾操作が行われると、ユーザ端末３００，３００ａは、ＯＴＡセンタ５００へ、配信パッケージ送信要求を送信する（Ｓ２３）。ＯＴＡセンタ５００は、配信パッケージ送信要求を受信すると、ユーザ端末３００，３００ａに、配信パッケージ（ソフトウェア）を送信する（Ｓ１２）。

続いて、ユーザ端末３００，３００ａは、ＯＴＡセンタ５００から送信（配信）された配信パッケージを、メモリ３２０に保存し、ダウンロードを行う（Ｓ２４）。ユーザ端末３００，３００ａにおいて、配信パッケージのダウンロードが終了すると、ユーザ端末３００，３００ａは、ダウンロードした配信パッケージを、更新マスタに送信する（Ｓ２５）。更新マスタは、ユーザ端末３００，３００ａから、配信パッケージが送信されると、上述のように、配信パッケージのダウンロード（受信および保存）を実行し、その完了後、配信パッケージの真正性の検証等を行ったあと、ターゲットＥＣＵに新しいソフトウェア（更新データ）を転送して、更新データのインストールを実行する（Ｓ３２）。

続くＳ３３では、更新マスタは、所定条件が成立しているか否かを判定する。所定条件は、たとえば、Ａ）更新マスタが配信パッケージの受信を開始してから、所定時間経過しても、ダウンロードが完了しない場合（ユーザ端末３００，３００ａでダウンロードした配信パッケージの一部が更新マスタに送信されない（更新マスタが受信できない）場合、等）、Ｂ）更新マスタが配信パッケージの受信を開始してから、所定時間経過しても、インスロールが完了しない場合、等であってよい。所定条件が成立していない場合には、Ｓ３３で否定判定されるので、アクティベート待ち状態になり、その後、アクティベート処理が実行される。

所定条件が成立していると、Ｓ３３で肯定判定されるので、ＨＭＩ装置１７０，２７０のタッチパネルディスプレイ６１０へ、ソフトウェアのダウンロードを承諾するための操作部（操作ボタン）を表示する（Ｓ３４）。図５は、ＨＭＩ装置１７０、２７０のタッチパネルディスプレイ６１０に表示される表示画面の一例を示す図である。図５に示すように、タッチパネルディスプレイ６１０には、車両ソフトウェアの更新処理のメッセージとともに、ソフトウェアのダウンロードを承諾するための操作部が表示される。図５において、「はい」ボタン６１１が、ダウンロードを承諾するための操作部（操作ボタン）であり、本開示の「第２操作部」の一例に相当する。タッチパネルディスプレイ６１０の「はい」ボタン６１１が、ユーザによって操作され、ダウンロード（ソフトウェアの送信）の承諾操作が行われると、Ｓ３５において、更新マスタは、ユーザ端末３００，３００ａのバッテリの蓄電量Ｓａが、所定値αより小さいか否かを判定する。蓄電量Ｓａは、バッテリのＳＯＣであってよい。所定値αは、本開示の「第１所定値」の一例に相当する。タッチパネルディスプレイ６１０に表示された「いいえ」ボタン６１２が、ユーザによって操作されると、ユーザ端末３００，３００ａから更新マスタへのソフトウェアの送信を実行することなく、本シーケンスは、終了する。

再び図３を参照して、蓄電量Ｓａが所定値α未満であるとき（Ｓａ＜α）、Ｓ３５で肯定判定され、更新マスタは承諾要求をユーザ端末３００，３００ａに送信する（Ｓ３６）。ユーザ端末３００，３００ａは、承諾要求を受信すると、タッチパネルディスプレイ３４０に、ソフトウェアのダウンロード（ユーザ端末３００，３００ａから更新マスタへのソフトウェアの送信）を承諾するための操作部（操作ボタン）の表示を行う（Ｓ２６）。図６は、ユーザ端末３００，３００ａのタッチパネルディスプレイ３４０に表示される表示画面の一例を示す図である。図６に示すように、タッチパネルディスプレイ３４０には、車両ソフトウェアの更新処理のメッセージとともに、ソフトウェアのダウンロードを承諾するための操作部（更新マスタへ、ユーザ端末３００，３００ａの記憶部に保存されたソフトウェアの送信を承諾するための操作部）が表示される。図６において、「はい」ボタン３５１が、ダウンロードを承諾するための操作部（ソフトウェアの送信を承諾するための操作部）である。「はい」ボタン３５１が、ユーザによって操作されると、ユーザ端末３００，３００ａは、メモリ３２０に保存しているソフトウェア（配信パッケージ）を、更新マスタへ送信する（Ｓ２７）。タッチパネルディスプレイ３４０に表示された「いいえ」ボタン３５２が、ユーザによって操作されると、ユーザ端末３００，３００ａから更新マスタへのソフトウェア（配信パッケージ）の送信を実行することなく、本シーケンスは、終了する。

再び図３を参照して、蓄電量Ｓａが所定値α以上であるとき（Ｓａ≧α）には、Ｓ３５で否定判定され、更新マスタは、送信要求をユーザ端末３００，３００ａに送信する（Ｓ３７）。ユーザ端末３００，３００ａは、送信要求を受信すると、メモリ３２０に保存しているソフトウェア（配信パッケージ）を、更新マスタへ送信する（Ｓ２７）。更新マスタは、ユーザ端末３００，３００ａから、ソフトウェア（配信パッケージ）を受信すると、Ｓ３２と同様に、更新データのインストールを実行する（Ｓ３８）。そして、更新マスタは、アクティベート待ち状態になり、その後、アクティベート処理が実行される。

本実施の形態によれば、更新マスタ（ＯＴＡマスタ１１０、ＥＣＵ２１０）は、通信装置１９０，２９０を介して、ユーザ端末３００，３００ａと通信可能であり、ＯＴＡセンタ５００から配信されるソフトウェア（配信パッケージ）を、ユーザ端末３００，３００ａを経由して、ダウンロード可能である。更新マスタは、ＯＴＡセンタ５００から配信されるソフトウェアを、ユーザ端末３００，３００ａを経由してダウンロードする場合、ダウンロードの承諾をユーザ端末３００，３００ａに対して要求する（Ｓ３１）。ユーザ端末３００，３００ａを経由してソフトウェアをダウンロードする場合、ダウンロードの承諾をユーザ端末３００，３００ａに対して要求するので、ユーザの手元にあるユーザ端末３００，３００ａによって承諾操作を行うことが可能になり、ユーザの利便性を図ることができる。

本実施の形態によれば、承諾要求（Ｓ３１）には、ダウンロードを承諾するための「はい」ボタン３４１（第１操作部）とユーザ端末３００，３００ａのバッテリの蓄電量を、ユーザ端末３００，３００ａのタッチパネルディスプレイ３４０に表示する要求を含んでもよい。ユーザは、ユーザ端末３００，３００ａのタッチパネルディスプレイ３４０に表示された蓄電量３４３を考慮したうえで、「はい」ボタン３４１を操作して承諾を行うことが可能になるので、ソフトウェアのダウンロード中にユーザ端末３００，３００ａの電力が枯渇する可能性を抑制することができる。

本実施の形態によれば、所定の条件が成立すると、たとえば、更新マスタが配信パッケージの受信を開始してから、所定時間経過しても、ダウンロードが完了しない場合や、更新マスタが配信パッケージの受信を開始してから、所定時間経過しても、インスロールが完了しない場合には、更新マスタは、ダウンロードを承諾するための「はい」ボタン６１１（第２操作部）をＨＭＩ装置１７０，２７０のタッチパネルディスプレイ６１０に表示する。ユーザは、タッチパネルディスプレイ６１０に表示された「はい」ボタン６１１を操作することにより、ダウンロードを承諾できるので、ユーザの利便性を高めることでき、また、ソフトウェアの更新処理を促進することが可能になる。

本実施の形態によれば、ユーザが、ＨＭＩ装置１７０，２７０に表示された「はい」ボタン６１１（第２操作部）を操作し、ダウンロードの承諾がなされたとき、ユーザ端末３００，３００ａの蓄電量Ｓａが所定値α未満の場合、ダウンロードの承諾をユーザ端末３００，３００ａに要求する（Ｓ３６、Ｓ２６）。これにより、蓄電量Ｓａが所定値α未満であり、ソフトウェアのダウンロードを行うのに十分でないとき、ユーザ端末３００，３００ａを操作して承諾操作を行うことを求められるので、ユーザが、ユーザ端末３００，３００ａの蓄電量Ｓａを確認したうえで、承諾操作を行うことの動機付けになる。また、ユーザが、ＭＨＩ装置１７０，２７０に表示された「はい」ボタン６１１を操作し、ダウンロードの承諾がなされたとき、蓄電量Ｓａが所定値α以上である場合、ダウンロードの承諾をユーザ端末３００，３００ａに対して要求することなくダウンロードを実行する（Ｓ３７）ので、ユーザの利便性を損なうことを抑制できる。

（変形例１）
図７は、変形例１に係る、ソフトウェア更新システムのシーケンスの一部を概略的に示す図である。上記実施の形態では、Ｓ３３において、更新マスタ（ＯＴＡマスタ１１０、ＥＣＵ２１０）が、所定条件が成立しているか否かを判定していた。変形例１では、所定条件が成立しているか否かを、ユーザ端末３００，３００ａにおいて判定する。図７のシーケンスは、図６におけるＳ３３をＳ２５ａに置き換えるとともに、Ｓ２５ｂのステップを追加したものである。

図７を参照して、ユーザ端末３００，３００ａが、ダウンロードした配信パッケージを、更新マスタに送信する（Ｓ２５）と、更新マスタは、上述のように、ターゲットＥＣＵに新しいソフトウェアを転送して、更新データのインストールを実行する（Ｓ３２）。ユーザ端末３００，３００ａは、ダウンロードした配信パッケージを、更新マスタに送信（Ｓ２５）したあと、Ｓ２５ａにおいて、所定条件が成立しているか否かを判定する。所定条件は、たとえば、ａ）配信パッケージを送信してから、所定時間経過しても、更新マスタにおいてダウンロードが完了しない場合（ユーザ端末３００，３００ａでダウンロードした配信パッケージの一部が更新マスタに送信されない（更新マスタが受信できない）場合）、ｂ）配信パッケージを送信してから、所定時間経過しても、更新マスタにおいてダウンロードが完了せず（ユーザ端末３００，３００ａでダウンロードした配信パッケージの一部が更新マスタに送信されず（更新マスタが受信できず））、かつ、ユーザ端末３００，３００ａの記憶領域（メモリ３２０）の容量が所定量未満になった場合、等であってよい。所定条件が成立していない場合には、Ｓ２５ａで否定判定されるので、アクティベート待ち状態になり、その後、アクティベート処理が実行される。

所定条件が成立していると、Ｓ２５ａで肯定判定され、ユーザ端末３００，３００ａは、更新マスタへ、承諾要求を送信する（Ｓ２５ｂ）。更新マスタは、承諾要求を受信すると、ＨＭＩ装置１７０，２７０のタッチパネルディスプレイ６１０に、ソフトウェアのダウンロードを承諾するための操作部（操作ボタン）を表示する（Ｓ３４）。以降は、上記実施の形態と同様であるので、その説明を省略する。

この変形例１によれば、所定の条件が成立すると、たとえば、配信パッケージを送信してから、所定時間経過しても、ユーザ端末３００，３００ａでダウンロードした配信パッケージの一部が更新マスタに送信されない場合や、配信パッケージを送信してから、所定時間経過しても、ユーザ端末３００，３００ａでダウンロードした配信パッケージの一部が更新マスタに送信されず、かつ、ユーザ端末３００，３００ａの記憶領域の容量が所定量未満になった場合には、ユーザ端末は、ダウンロードを承諾するための「はい」ボタン６１１（第２操作部）をＨＭＩ装置１７０，２７０のタッチパネルディスプレイ６１０に表示するよう要求する。ユーザは、タッチパネルディスプレイ６１０に表示された「はい」ボタン６１１を操作することにより、ダウンロードを承諾できるので、ユーザの利便性を高めることでき、また、ソフトウェアの更新処理を促進することが可能になる。なお、変形例１においても、上記実施の形態と同様な作用効果を奏する。

（変形例２）
図８は、変形例２に係る、ソフトウェア更新システムのシーケンスの一部を概略的に示す図である。変形例２では、上記実施の形態のシーケンス（図３）において、Ｓ２１の前段に、Ｓ２０ａ、Ｓ２０ｂ、および、Ｓ３０ａを追加している。

図８を参照して、ユーザ端末３００，３００ａは、キャンペーン情報を受信すると、更新マスタが、ＯＴＡマスタ１１０であるか否かを判定する（Ｓ２０ａ）。更新マスタの情報（ＯＴＡマスタ１１０であるか、あるいは、ＥＣＵ２１０であるかの情報）は、構成同期処理にいて、更新マスタから送信される車両構成情報に含まれている。更新マスタが、ＥＣＵ２１０である場合、Ｓ２０ａで否定判定され、ユーザ端末３００，３００ａは、更新マスタ（ＥＣＵ２１０）へ、キャンペーン情報とユーザ端末３００，３００ａのバッテリ蓄電量（ＳＯＣ）の情報を送信する（Ｓ２０ｂ）。

更新マスタ（ＥＣＵ２１０）は、キャンペーン情報と蓄電量の情報を受信すると、ＨＭＩ装置２７０のタッチパネルディスプレイ６１０に、ユーザ端末３００，３００ａのバッテリの蓄電量を表示する（Ｓ３０ａ）。図９は、ＨＭＩ装置２７０のタッチパネルディスプレイ６１０に表示される表示画面の一例を示す図である。図９に示すように、タッチパネルディスプレイ６１０には、車両ソフトウェアの更新処理のメッセージとともに、ユーザ端末３００，３００ａのバッテリの蓄電量６２３が表示される。

更新マスタがＯＴＡマスタ１１０である場合、Ｓ２０ａで肯定判定され、ユーザ端末３００，３００ａは、更新マスタ（ＯＴＡマスタ１１０）へ、キャンペーン情報を送信する（Ｓ２１）。以降は、上記実施の形態のシーケンス（図３）と同様であるので、その説明を省略する。

この変形例２によれば、車両（たとえば、車両１００）がＯＴＡセンタ５００と通信可能な通信部（ＯＴＡマスタ１１０、通信モジュール１１３）を備える場合には、ＨＭＩ装置１７０に、ユーザ端末３００，３００ａの蓄電量が表示されない。車両がＯＴＡセンタ５００と通信可能な場合、車両は、ユーザ端末３００，３００ａを経由せず、ＯＴＡセンタ５００から配信されるソフトウェアをダウンロードして、ソフトウェアの更新処理を実行することもある。したがって、車両がＯＴＡセンタ５００と通信可能な通信部を備える場合には、ユーザ端末３００，３００ａの蓄電量をＨＭＩ装置１７０に表示しないことによって、ユーザ端末３００，３００ａの蓄電量の情報を、車両とユーザ端末３００，３００ａとの間で授受しなくともよいので、通信負荷を低減することが可能になる。また、車両（たとえば、車両２００）がＯＴＡセンタ５００と通信可能な通信部を備えない場合、ユーザ端末３００，３００ａの蓄電量を、ＨＭＩ装置２７０に表示する。車両がＯＴＡセンタ５００と通信可能な通信部を備えない場合には、ユーザ端末３００，３００ａを経由してソフトウェアをダウンロードするので、ユーザ端末３００，３００ａの蓄電量をＨＭＩ装置２７０に表示することにより、ダウンロードの承諾操作を行う際に、ユーザ端末３００，３００ａの蓄電量を容易に確認でき、ソフトウェアのダウンロード中にユーザ端末の電力が枯渇する可能性を抑制することができる。

なお、上記では、タッチパネルディスプレイ３４０に各種情報が表示されるものとしたが、ディスプレイはタッチパネル機能を有するものに限定されず、ディスプレイとは別に操作部が設けられた装置（ＰＣ等）であってもよい。

また、車両が自動運転可能に構成されることは必須ではない。車両は、ＢＥＶ以外のｘＥＶ（電動車）であってもよい。車両は、内燃機関（たとえば、ガソリンエンジン、バイオ燃料エンジン、または水素エンジン）を備えるＰＨＥＶ（プラグインハイブリッド車）またはＨＥＶ（ハイブリッド車）であってもよい。車両は、４輪の乗用車に限られず、バスまたはトラックであってもよいし、３輪のｘＥＶであってもよい。車両は飛行機能を備えてもよい。車両は、ＭａａＳ（Mobility as a Service）で利用される車両であってもよい。車両は、ユーザの使用目的に応じてカスタマイズされる多目的車両であってもよい。車両は、移動店舗車両、ロボタクシー、無人搬送車（ＡＧＶ）、または農業機械であってもよい。車両は、無人または１人乗りの小型ＢＥＶ（たとえば、ラストワンマイル用のＢＥＶ、電動車椅子、または電動スケータ）であってもよい。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

３１ 受信部、３２ 記憶部、３４ 送信部、３５ 制御部、１１０ ＯＴＡマスタ、１２１，１２２，２１０，２２１，２２２ ＥＣＵ、１００，２００ 車両、１１１，２１１，３１０，５１０ プロセッサ、１１２，２１２，３２０，５２０ メモリ、１１３，３３０，５３０ 通信モジュール、１３０，２３０ 運転装置、１４０，２４０ ＡＤＳ、１５０，２５０ 起動スイッチ、１７０，２７０ ＨＭＩ装置、１９０，２９０ 通信装置、３００，３００ａ ユーザ端末、３４０ タッチパネルディスプレイ、５００ ＯＴＡセンタ。

Claims (3)

1. ソフトウェアの更新が可能にされたＥＣＵを備える車両であって、
   ユーザ端末と通信可能な通信部と、
   ＨＭＩ装置と、
   サーバから配信される前記ソフトウェアを、前記ユーザ端末を経由して前記車両へダウンロードする場合、前記ソフトウェアのダウンロードを承諾するための第１操作部と前記ユーザ端末のバッテリの蓄電量とを前記ユーザ端末の表示部に表示することを前記ユーザ端末に要求する制御部と、を備え、
   前記制御部は、所定の条件が成立したとき、前記ＨＭＩ装置の表示部に、前記ダウンロードを承諾するための第２操作部を表示し、
   前記制御部は、前記第２操作部が操作され、前記ダウンロードの承諾がなされたとき、前記ユーザ端末の前記蓄電量が第１所定値以上である場合、前記ダウンロードの承諾を前記ユーザ端末に対して要求することなく前記ダウンロードを実行し、前記ユーザ端末の前記蓄電量が前記第１所定値未満の場合、前記ダウンロードの承諾を前記ユーザ端末に要求する、車両。
2. ソフトウェアを配信するサーバと、
   ＥＣＵが搭載された車両と、
   前記サーバおよび前記車両と通信可能なユーザ端末と、を含み、前記ＥＣＵのソフトウェアを更新するソフトウェア更新システムであって、
   前記ユーザ端末を経由して前記ソフトウェアを前記車両にダウンロードする場合、前記ユーザ端末は、前記ダウンロードを承諾するための第１操作部と前記ユーザ端末のバッテリの蓄電量を、前記ユーザ端末の表示部に表示し、前記ユーザ端末を操作して前記ソフトウェアのダウンロードの承諾をユーザが承諾したとき、前記ダウンロードを実行し、
   前記車両は、ＨＭＩ装置を含み、
   所定の条件が成立すると、前記ダウンロードを承諾するための第２操作部を前記ＨＭＩ装置に表示し、
   前記第２操作部が操作され、前記ダウンロードの承諾がなされたとき、
   前記ユーザ端末のバッテリの蓄電量が第１所定値以上である場合、前記ユーザ端末の操作が行われることなく前記ダウンロードを実行し、
   前記ユーザ端末の前記蓄電量が前記第１所定値未満の場合、前記ユーザ端末が操作されて前記ダウンロードをユーザが承諾したとき、前記ダウンロードを実行する、ソフトウェア更新システム。
3. ソフトウェアを配信するサーバと、
   ＥＣＵが搭載された車両と、
   前記サーバおよび前記車両と通信可能なユーザ端末と、を含み、前記ＥＣＵのソフトウェアを更新するソフトウェア更新システムであって、
   前記ユーザ端末を経由して前記ソフトウェアを前記車両にダウンロードする場合、前記ユーザ端末を操作して前記ソフトウェアのダウンロードの承諾をユーザが承諾したとき、前記ダウンロードを実行し、
   前記車両は、ＨＭＩ装置を含み、
   前記車両が、前記サーバと通信可能な通信部を備える場合、前記ユーザ端末のバッテリの蓄電量を、前記ＨＭＩ装置に表示せず、
   前記車両が、前記サーバと通信可能な通信部を備えない場合、前記ユーザ端末の前記蓄電量を、前記ＨＭＩ装置に表示する、ソフトウェア更新システム。