(57)【要約】【課題】セキュリティ機能を実現するプログラムを、ＥＣＵの特性に応じた適切なタイミングで更新可能にする。【解決手段】第１の制御装置は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成して転送し、また、第２の制御装置に対して更新すべき最新のセキュリティプログラムを転送するデータ処理制御器を備え、第２の制御装置は、第１の制御装置から最新のセキュリティプログラムを受信した場合には、第１の制御装置から取得した情報に基づいて車両の現在動作状態を特定し、最新のセキュリティプログラムの更新処理が可能な車両動作条件と特定した現在動作状態とが一致する場合に、最新のセキュリティプログラムの更新処理を実行する。【選択図】図１
2018081470.tif 000002
【特許請求の範囲】
【請求項１】
第１の制御装置と、前記第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために前記第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御システムであって、
前記第１の制御装置は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成し、前記他の制御装置が必要とするデータを集約して前記他の制御装置に転送し、また、前記第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送するデータ処理制御器を備え、
前記第２の制御装置は、前記第１の制御装置から前記最新のセキュリティプログラムを受信した場合には、前記第１の制御装置から前記自身の現在の動作状態情報および前記車両の現在の動作状態情報を取得し、前記自身の現在の動作状態情報および前記車両の現在の動作状態情報の整合性から前記車両の現在動作状態を特定し、前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と特定した前記現在動作状態とが一致する場合に、前記最新のセキュリティプログラムの更新処理を実行する
プログラムの更新制御システム。
【請求項２】
前記第１の制御装置内の前記データ処理制御器は、
自身が検出したデータおよび他の制御装置から取得したデータに基づいて、運転履歴情報をさらに生成して記憶しておき、
前記運転履歴情報、前記自身の現在の動作状態情報、および前記車両の現在の動作状態情報に基づいて、現在時刻からあらかじめ設定した時間経過した後の第１時刻における前記車両の動作状態である第１時刻動作状態を予測し、
前記第１時刻までに前記最新のセキュリティプログラムを前記第２の制御装置に転送完了させるために、前記第１時刻よりも前の時刻として設定される第２時刻において、前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と前記第１時刻動作状態とが一致する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送する
請求項１に記載のプログラムの更新制御システム。
【請求項３】
前記第１の制御装置内の前記データ処理制御器は、
前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と前記第１時刻動作状態とが一致しない状態が、あらかじめ設定された回数以上継続した場合には、前記車両内に設けられた警報器を介して最新のセキュリティプログラムの更新が実行できない状態であることをアナウンスするか、または車両の運転状態を監視するために車内あるいは車外に設けられた情報管理装置に対して前記最新のセキュリティプログラムの更新が実行できない状態であることを通知する
請求項２に記載のプログラムの更新制御システム。
【請求項４】
前記第１の制御装置内の前記データ処理制御器は、
前記最新のセキュリティプログラムによる更新処理が行われないことで前記車両に与える不正処理の影響度から、前記最新のセキュリティプログラムによる更新処理を行うべき限界時刻を求め、
前記第１時刻が前記限界時刻よりも後の時刻となる場合には、前記車両内に設けられた警報器を介して最新のセキュリティプログラムの更新が実行できない状態であることをアナウンスするか、または車両の運転状態を監視するために車内あるいは車外に設けられた情報管理装置に対して前記最新のセキュリティプログラムの更新が実行できない状態であることを通知する
請求項２に記載のプログラムの更新制御システム。
【請求項５】
第１の制御装置と、前記第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために前記第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御方法であって、
前記第１の制御装置において、
自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成する第１ステップと、
前記第１ステップで生成した情報のうち、前記他の制御装置が必要とするデータを集約して前記他の制御装置に転送する第２ステップと、
前記第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送する第３ステップと
を有し、
前記第２の制御装置において、
前記第１の制御装置から前記最新のセキュリティプログラムを受信した場合には、前記第１の制御装置から前記自身の現在の動作状態情報および前記車両の現在の動作状態情報を取得し、前記自身の現在の動作状態情報および前記車両の現在の動作状態情報の整合性から前記車両の現在動作状態を特定する第４ステップと、
前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と、前記第４ステップで特定した前記現在動作状態とが一致する場合に、前記最新のセキュリティプログラムの更新処理を実行する第５ステップと
を有するプログラムの更新制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載される制御装置への不正な処理に対処するためのセキュリティ機能を発揮するプログラムの更新を行うプログラムの更新制御システムおよびプログラムの更新制御方法に関するものである。
【背景技術】
【０００２】
車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）と呼ばれる制御装置が複数搭載されており、それらのＥＣＵ間は、無線または有線の車載ネットワークで接続されている。
【０００３】
それぞれのＥＣＵは、割り当てられた機能に応じたプログラムを実行している。そのプログラムは、サービスステーション等で有線により車両に供給される更新プログラム、あるいは車両と無線通信を行うサービスセンタから配信される更新プログラムに、書き換えられることがある。
【０００４】
そこで、プログラムの書き換え要求があった場合に、統合制御装置が車両を停止状態にした後、ネットワークを介して接続されるサービス端末から送られる更新プログラムを対象の制御装置に転送する従来技術がある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−２３０３１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、先行技術文献の技術を適用すると、以下のような課題がある。
あらゆるＥＣＵにおいて、車両がエンジン停止やパーキング状態でエンジンを動作させることのみを条件として、不正な処理に対応するためのセキュリティを担保するプログラムの更新が行われる場合を考える。この場合には、その条件下で動作させる必要があるセキュリティ（例えば、盗難防止装置）が機能せず、プログラム更新中に盗難などのセキュリティリスクにさらされる問題がある。
【０００７】
本発明は、上記のような課題を解決するためになされたものであり、車載ネットワークシステムにおいて不正な処理に対処するためのセキュリティ機能を実現するプログラムを、ＥＣＵの特性に応じた適切なタイミングで更新可能にするプログラムの更新制御システムおよびプログラムの更新制御方法を得ることを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るプログラムの更新制御システムは、第１の制御装置と、第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御システムであって、第１の制御装置は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成し、他の制御装置が必要とするデータを集約して他の制御装置に転送し、また、第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、最新のセキュリティプログラムを第２の制御装置に転送するデータ処理制御器を備え、第２の制御装置は、第１の制御装置から最新のセキュリティプログラムを受信した場合には、第１の制御装置から自身の現在の動作状態情報および車両の現在の動作状態情報を取得し、自身の現在の動作状態情報および車両の現在の動作状態情報の整合性から車両の現在動作状態を特定し、最新のセキュリティプログラムの更新処理が可能な車両動作条件と特定した現在動作状態とが一致する場合に、最新のセキュリティプログラムの更新処理を実行するものである。
【０００９】
また、本発明に係るプログラムの更新制御方法は、第１の制御装置と、第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御方法であって、第１の制御装置において、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成する第１ステップと、第１ステップで生成した情報のうち、他の制御装置が必要とするデータを集約して他の制御装置に転送する第２ステップと、第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、最新のセキュリティプログラムを第２の制御装置に転送する第３ステップとを有し、第２の制御装置において、第１の制御装置から最新のセキュリティプログラムを受信した場合には、第１の制御装置から自身の現在の動作状態情報および車両の現在の動作状態情報を取得し、自身の現在の動作状態情報および車両の現在の動作状態情報の整合性から車両の現在動作状態を特定する第４ステップと、最新のセキュリティプログラムの更新処理が可能な車両動作条件と、第４ステップで特定した現在動作状態とが一致する場合に、最新のセキュリティプログラムの更新処理を実行する第５ステップとを有するものである。
【発明の効果】
【００１０】
本発明にかかるプログラムの更新制御システムおよびプログラムの更新制御方法によれば、不正な処理によって車両が異常な動作とならないように施されたセキュリティ機能を、不正な処理が発生しないタイミングで更新することのできる構成を備えている。この結果、車載ネットワークシステムにおいて不正な処理に対処するためのセキュリティ機能を実現するプログラムを、ＥＣＵの特性などに応じた適切なタイミングで更新可能にするプログラムの更新制御システムおよびプログラムの更新制御方法を得ることができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態１にかかるプログラムの更新制御システムが搭載された車両の内部と外部のネットワーク構成を示す概略図である。
【図２】本発明の実施の形態１にかかるプログラムの更新制御システムで実行されるプログラム更新方法の一連処理を示すフローチャートである。
【図３】本発明の実施の形態１にかかるプログラムの更新制御システムで実行されるプログラム更新方法の一連処理を示すフローチャートである。
【図４】本発明の実施の形態２にかかるプログラムの更新制御システムで実行されるプログラム更新タイミングの一連処理を示すフローチャートである。
【図５】本発明の実施の形態３にかかるプログラムの更新制御システムで実行される通知表示の一連処理を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明のプログラムの更新制御システムおよびプログラムの更新制御方法の好適な実施の形態につき、図面を用いて説明する。
【００１３】
実施の形態１．
図１は、本発明の実施の形態１にかかるプログラムの更新制御システムが搭載された車両２０２の内部と外部のネットワーク構成を示す概略図である。車両２０２は、個別の制御装置として、ヘッドユニットＥＣＵ１０１、ゲートウェイＥＣＵ１０２、駆動系ＥＣＵ１０３、センシングＥＣＵ１０４、およびボディ系ＥＣＵ１０５を備える。
【００１４】
車両２０２の外部には、サーバ２０１が設けられている。サーバ２０１は、ヘッドユニットＥＣＵ１０１と、無線通信３０１によって接続されている。ヘッドユニットＥＣＵ１０１とゲートウェイＥＣＵ１０２は、高速通信線４０１によって接続されている。ゲートウェイＥＣＵ１０２は、駆動系ＥＣＵ１０３とセンシングＥＣＵ１０４とボディ系ＥＣＵ１０５のそれぞれと、低速通信線４０２によって接続されている。
【００１５】
各ＥＣＵ１０１〜１０５では、各ＥＣＵ１０１〜１０５に応じて、各種通信線を流れるメッセージの認証やアクセス制限などのセキュリティ対策１５１〜１５５がなされている。なお、図１のネットワーク構成は、一例であり、他の形態をとっても構わない。
【００１６】
次に、図１の構成要素の動作および機能について、以下に説明する。
はじめに、サーバ２０１について説明する。サーバ２０１は、各ＥＣＵ１０１〜１０５のプログラムを備える。プログラムは、現在組み込まれているバージョンに加えて、旧バージョン、更新される新バージョンを含む。プログラムは、サーバ２０１の管理者や管理システムなどが、サーバ２０１に格納する。
【００１７】
図１のようなプログラムの更新制御システムにおいては、新たな脅威や脆弱性への対策を施すために、必要に応じて、ＥＣＵ内のプログラムを新たなプログラムに更新する場合がある。各ＥＣＵのプログラムを更新する場合には、サーバ２０１から無線通信３０１を介して、車両２０２内のヘッドユニットＥＣＵ１０１に、各ＥＣＵのプログラムが送信される。
【００１８】
次に、ヘッドユニットＥＣＵ１０１について説明する。
ヘッドユニットＥＣＵ１０１は、無線通信３０１を介して、サーバ２０１から各ＥＣＵの更新プログラムを取得する。さらに、ヘッドユニットＥＣＵ１０１は、取得した更新プログラムをゲートウェイＥＣＵ１０２へ転送する。この際、ヘッドユニットＥＣＵ１０１は、ヘッドユニットＥＣＵ１０１自身に対する更新プログラムは、転送しない。
【００１９】
次に、ゲートウェイＥＣＵ１０２について説明する。
ゲートウェイＥＣＵ１０２は、ヘッドユニットＥＣＵ１０１、駆動系ＥＣＵ１０３、センシングＥＣＵ１０４、およびボディ系ＥＣＵ１０５が取得したデータのうち、各ＥＣＵが必要とするデータを集約し、転送する役目を果たす。
【００２０】
例えば、ゲートウェイＥＣＵ１０２は、走行中であれば、センシングＥＣＵ１０４から低速通信線４０２を介して得た情報を、駆動系ＥＣＵ１０３に転送する。この結果、駆動系ＥＣＵ１０３は、ゲートウェイＥＣＵ１０２から転送された値を判断し、動作を変化させる。
【００２１】
また、ゲートウェイＥＣＵ１０２は、高速通信線４０１を介して、ヘッドユニットＥＣＵ１０１から更新プログラムを取得する。さらに、ゲートウェイＥＣＵ１０２は、取得した更新プログラムを低速通信線４０２で接続される更新対象のＥＣＵへ転送する。この際、ゲートウェイＥＣＵ１０２は、ゲートウェイＥＣＵ１０２自身に対する更新プログラムは、転送しない。
【００２２】
次に、駆動系ＥＣＵ１０３について説明する。
駆動系ＥＣＵ１０３は、ステアリングやブレーキなどの制御を行うＥＣＵである。また、駆動系ＥＣＵ１０３には、不正な処理によって車両２０２が急発進する、あるいは急ハンドルするなど、運転者や制御装置の意図と反する動作とならないようにするセキュリティプログラム１５３が実装されている。
【００２３】
そして、駆動系ＥＣＵ１０３のセキュリティプログラム１５３を更新する場合には、駆動系ＥＣＵ１０３は、低速通信線４０２を介してゲートウェイＥＣＵ１０２から得た更新プログラムへの更新を行う。
【００２４】
次に、センシングＥＣＵ１０４について説明する。
センシングＥＣＵ１０４は、カメラやレーダなどを用いて、車内外の状況を検出するＥＣＵである。また、センシングＥＣＵ１０４には、不正な処理によって改竄された画像や反射波などを検出しないようにするセキュリティプログラム１５４が実装されている。
【００２５】
そして、センシングＥＣＵ１０４のセキュリティプログラム１５４を更新する場合には、センシングＥＣＵ１０４は、低速通信線４０２を介してゲートウェイＥＣＵ１０２から得た更新プログラムへの更新を行う。
【００２６】
次に、ボディ系ＥＣＵ１０５について説明する。
ボディ系ＥＣＵ１０５は、ドアロック、イモビライザ、ウインドウなどの制御を行うＥＣＵである。また、ボディ系ＥＣＵ１０５には、車両２０２の盗難を防止する、あるいは正規でない車両２０２の鍵を認証しないようにするセキュリティプログラム１５５が実装されている。
【００２７】
そして、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５を更新する場合には、ボディ系ＥＣＵ１０５は、低速通信線４０２を介してゲートウェイＥＣＵ１０２から得た更新プログラムへの更新を行う。
【００２８】
次に、このような構成を持つ本実施の形態１にかかるプログラムの更新制御システムのプログラム更新制御方法について、フローチャートを用いて詳細に説明する。図２および図３は、本発明の実施の形態１にかかるプログラムの更新制御システムで実行されるプログラム更新制御方法の一連処理を示すフローチャートである。
【００２９】
図２のフローチャートでは、ボディ系ＥＣＵ１０５のプログラムを更新する場合を具体例として説明する。サーバ２０１には、ボディ系ＥＣＵ１０５の更新プログラムが格納されている。そして、ステップＳ１０１において、サーバ２０１は、プログラム更新処理を開始する。ここで、更新プログラムは、特に、不正な処理への対応としてボディ系ＥＣＵ１０５に実装されるセキュリティプログラム１５５とする。
【００３０】
ステップＳ２０１において、サーバ２０１は、ボディ系ＥＣＵ１０５のプログラム更新のために、更新するセキュリティプログラム１５５をヘッドユニットＥＣＵ１０１に送信する。一方、ステップＳ２０２において、ヘッドユニットＥＣＵ１０１は、サーバ２０１から送信されたセキュリティプログラム１５５を受信する。
【００３１】
次に、ステップＳ３０１において、ヘッドユニットＥＣＵ１０１は、ボディ系ＥＣＵ１０５のプログラム更新のために、更新するセキュリティプログラム１５５をゲートウェイＥＣＵ１０２に送信する。一方、ステップＳ３０２において、ゲートウェイＥＣＵ１０２は、ヘッドユニットＥＣＵ１０１から送信されたセキュリティプログラム１５５を受信する。
【００３２】
次に、ステップＳ４０１において、ゲートウェイＥＣＵ１０２は、ボディ系ＥＣＵ１０５のプログラム更新のために、更新すべき最新のセキュリティプログラム１５５をボディ系ＥＣＵ１０５に送信する。一方、ステップＳ４０２において、ボディ系ＥＣＵ１０５は、ゲートウェイＥＣＵ１０２から送信されたセキュリティプログラム１５５を受信する。
【００３３】
ステップＳ５０１において、ボディ系ＥＣＵ１０５は、ボディ系ＥＣＵ１０５に実装されているセキュリティプログラム１５５の更新を行ってよいか否かを判断する。更新可能であれば、ステップＳ６０１へ遷移し、更新不可であれば、ステップＳ１０２へ遷移する。
【００３４】
次に、このステップＳ５０１における処理の詳細を、図３のフローチャートに沿って説明する。なお、図３における各ステップは、Ｓ５０１の後ろにハイフンを付けて記載したサブ番号によって識別している。
【００３５】
ステップＳ５０１−１１において、ボディ系ＥＣＵ１０５は、セキュリティプログラム１５５の更新可否を判断するために、動作条件を確認する。ここで、ボディ系ＥＣＵ１０５の機能となる、正規の車両２０２の鍵を認証すること、および車両２０２の盗難防止をすることは、停車中に行われる機能である。
【００３６】
そのため、セキュリティプログラム１５５も、このような停車中の状況下においてのみ有効であればよい。つまり、走行中は、セキュリティプログラム１５５が有効でなくとも構わないため、セキュリティプログラム１５５の更新が可能な状況である。
【００３７】
次に、ステップＳ５０１−２１において、ボディ系ＥＣＵ１０５は、高速通信線４０１または低速通信線４０２を介してほかのＥＣＵと接続されるゲートウェイＥＣＵ１０２に対して、車両２０２の動作状態の送信を要求する。ここでの動作状態とは、具体的には、走行中・停車中・充電中などの状態のことである。
【００３８】
ゲートウェイＥＣＵ１０２は、ボディ系ＥＣＵ１０５からの要求に先駆けて、あらかじめステップＳ５０１−１０１およびステップＳ５０１−１０２において、駆動系ＥＣＵ１０３から車速を取得し、取得した車速から動作状態を判断することができる。そして、ステップＳ５０１−２２において、ゲートウェイＥＣＵ１０２は、ボディ系ＥＣＵ１０５からの要求を受けた場合には、ステップＳ５０１−１０２で判断した動作状態を、ボディ系ＥＣＵ１０５に返送する。
【００３９】
次に、ステップＳ５０１−２３において、ボディ系ＥＣＵ１０５は、ゲートウェイＥＣＵ１０２から送信された動作状態を受信した後、ステップＳ５０１−３１に遷移する。
【００４０】
次に、ステップＳ５０１−３１において、ボディ系ＥＣＵ１０５は、ゲートウェイＥＣＵ１０２に対して、ゲートウェイＥＣＵ１０２自身の動作状態の送信を要求する。
【００４１】
次に、ステップＳ５０１−３２において、ゲートウェイＥＣＵ１０２は、ボディ系ＥＣＵ１０５からの要求に応じて、自身の動作状態を、ボディ系ＥＣＵ１０５に返送する。
【００４２】
次に、ステップＳ５０１−３３において、ボディ系ＥＣＵ１０５は、ゲートウェイＥＣＵ１０２からゲートウェイＥＣＵ１０２自身の動作状態を取得する。
【００４３】
なお、ステップＳ５１０１−３２におけるゲートウェイＥＣＵ１０２自身の動作状態は、ステップＳ５０１−２２における車両の動作状態とは、異なる情報である。
【００４４】
走行中であれば、ゲートウェイＥＣＵ１０２は、センシングＥＣＵ１０４から得た情報を駆動系ＥＣＵ１０３に転送する処理を実行している。この際、センシングＥＣＵ１０４を介してゲートウェイＥＣＵ１０２が取得するレーダの検出値は、逐次変化する。
【００４５】
従って、ゲートウェイＥＣＵ１０２は、車両２０２の動作状態に加えて、そのときに動作しているＥＣＵの状態を、逐次取得することができる。この結果、ゲートウェイＥＣＵ１０２は、他のＥＣＵから取得した現時点での最新情報を、ゲートウェイＥＣＵ１０２自身の動作状態として、ボディ系ＥＣＵ１０５に対して送信することができる。
【００４６】
次に、ステップＳ５０１−４１において、ボディ系ＥＣＵ１０５は、車両２０２の動作状態およびゲートウェイＥＣＵ１０２の動作状態に関する受信結果に基づいて、車両２０２が走行中か否かを判断することで、セキュリティプログラム１５５の更新が可能か否かを判断する。
【００４７】
具体的には、ボディ系ＥＣＵ１０５は、ステップＳ５０１−２３で取得した車両２０２の動作状態と、ステップＳ５０１−３３で取得したゲートウェイＥＣＵ１０２の動作状態との整合性を判定する。そして、ボディ系ＥＣＵ１０５は、２つの動作状態に関する情報の整合性が取れていれば、その結果から車両２０２が走行中か否かを特定する。
【００４８】
一方、２つの情報が不整合となる場合には、ボディ系ＥＣＵ１０５は、車両２０２が走行中か否かを正確に判断できないとして、更新処理を中断して、ステップＳ１０２へ遷移し、一連処理を終了する。
【００４９】
整合ありと判定された場合において、走行中と判断されれば、セキュリティプログラム１５５は更新可能となり、ステップＳ６０１へ遷移する。一方、整合ありと判定された場合において、停車中と判断されれば、セキュリティプログラム１５５は更新不可となり。ステップＳ１０２へ遷移し、一連処理を終了する。
【００５０】
次に、図２に戻って、ステップＳ６０１において、ボディ系ＥＣＵ１０５は、セキュリティプログラム１５５の更新を行う。なお、この更新中は、更新前のセキュリティプログラムは動作していない状態となる。
【００５１】
次に、ステップＳ７０１において、ボディ系ＥＣＵ１０５は、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５の更新が完了したことを、ゲートウェイＥＣＵ１０２に通知する。一方、ステップＳ７０２において、ゲートウェイＥＣＵ１０２は、更新完了の通知をボディ系ＥＣＵ１０５から受信する。
【００５２】
次に、ステップＳ８０１において、ゲートウェイＥＣＵ１０２は、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５の更新が完了したことを、ヘッドユニットＥＣＵ１０１に通知する。一方、ステップＳ８０２において、ヘッドユニットＥＣＵ１０１は、更新完了の通知をゲートウェイＥＣＵ１０２から受信する。
【００５３】
次に、ステップＳ９０１において、ヘッドユニットＥＣＵ１０１は、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５の更新が完了したことを、サーバ２０１に通知する。一方、ステップＳ９０２において、サーバ２０１は、更新完了の通知をヘッドユニットＥＣＵ１０１から受信する。
【００５４】
そして、ステップＳ１０２において、サーバ２０１は、プログラムの更新処理が完了、または途中終了したことにより、一連処理を終了させる。
【００５５】
以上のような一連処理を実行することで、不正な処理によって車両２０２が異常な動作とならないように施されたセキュリティプログラムの更新を、それぞれのＥＣＵにおいて不正な処理が発生しないタイミングで実施することができる。この結果、セキュリティプログラムの更新時に不正な処理に対して脆弱となる車両２０２を、不正な処理から回避させることができる。
【００５６】
なお、本実施の形態１においては、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５を、ヘッドユニットＥＣＵ１０１を経由して取得した更新プログラムに更新する場合について説明した。しかしながら、本発明は、このような経路によるプログラム更新に限定されるものではない。
【００５７】
プログラムの更新にあたっては、ＤＬＣコネクタなどを介して低速通信線４０２に直接アクセスして、ボディ系ＥＣＵ１０５を書き換える構成とする、あるいは、サーバ２０１から直接ボディ系ＥＣＵ１０５に更新プログラムを送信する構成とするなど、その他の構成を採用することも可能である。
【００５８】
また、本実施の形態１においては、ボディ系ＥＣＵ１０５を対象としたセキュリティプログラムの更新を一例として示したが、他のＥＣＵについても、同様の更新手順が適用できる。
【００５９】
例えば、駆動系ＥＣＵ１０３であれば、車両２０２の走行中に動作する機能が実装されている。このことから、車両２０２が走行中とならない状況、すなわち停車中であること、を確認できる手法を用いれば、不正な処理によって走行中に車両２０２が異常な動作とならないように施されたセキュリティプログラムの更新を、不正な処理が発生しないタイミングで実施することができる。
【００６０】
また、本実施の形態１においては、ネットワーク構成として図１の具体例を示したが、本発明を適用できるネットワーク構成は、この図１に限定されるものではない。セキュリティプログラムの書き換えが行われるネットワーク構成であれば、本発明の特徴を適用することが可能である。
【００６１】
また、本実施の形態１においては、更新プログラムを更新対象ＥＣＵとなるボディ系ＥＣＵ１０５が受信した後に、更新可否を判断しているが、本発明は、この手順に限定されるものではない。更新可否を判断した後に、更新プログラムを受信する手順としてもよい。
【００６２】
実施の形態２．
他の実施の形態１、３と重複する図中の番号は、同じ機能を最低限備えるものであるとし、ここでは、本実施の形態２における追加機能を中心に、以下で説明する。
【００６３】
本実施の形態２におけるヘッドユニットＥＣＵ１０１は、ゲートウェイＥＣＵ１０２の情報と、低速通信線４０２を介してゲートウェイＥＣＵ１０２が取得可能な各ＥＣＵの情報を、高速通信線４０１を介してゲートウェイＥＣＵ１０２から取得することができる。
【００６４】
そこで、ヘッドユニットＥＣＵ１０１は、各ＥＣＵ１０２〜１０５の情報と、ヘッドユニットＥＣＵ１０１自身で検出する車両２０２の位置情報と周辺施設情報と時刻情報とを関連付けた、運転者または車両そのものの運転履歴情報を記憶部に保存させる。
【００６５】
また、ヘッドユニットＥＣＵ１０１は、過去の運転履歴情報と、現在の時刻や地図情報を用いた車両２０２の位置情報や周辺施設情報と、に基づいて、この後の運転者または車両そのものの経路や動作を予測する。例えば、運転者が自宅以外の遠方に出発した後、数時間後に自宅付近に戻ってきた際には、駐車することが考えられる。
【００６６】
また、ヘッドユニットＥＣＵ１０１は、サーバ２０１に車両２０２内のいずれかのＥＣＵに対する更新すべきセキュリティプログラムがある場合には、更新対象となるＥＣＵに対して、更新すべきセキュリティプログラムを送信する。
【００６７】
このような構成を持つ本実施の形態２にかかるプログラムの更新制御システムのプログラム更新制御方法について、フローチャートを用いて詳細に説明する。図４は、本発明の実施の形態２にかかるプログラムの更新制御システムで実行されるプログラム更新タイミングの一連処理を示すフローチャートである。
【００６８】
ステップＳ１１０１において、ヘッドユニットＥＣＵ１０１は、本実施の形態２にかかる制御方法を開始する。
【００６９】
次に、ステップＳ１２０１において、ヘッドユニットＥＣＵ１０１は、サーバ２０１に、車両２０２内のＥＣＵに対するセキュリティプログラムの更新があるか否かの確認を行う。
【００７０】
次に、ステップＳ１２０２において、サーバ２０１は、車両２０２内のＥＣＵのセキュリティプログラムに関して更新すべきプログラムがあるか否かを確認し、その確認結果を、ヘッドユニットＥＣＵ１０１に返送する。
【００７１】
次に、ステップＳ１２０３において、ヘッドユニットＥＣＵ１０１は、確認結果を受信する。そして、ステップＳ１３０１において、ヘッドユニットＥＣＵ１０１は、ステップＳ１２０３の確認結果を受けて、セキュリティプログラムの更新が必要であるか否かを判断する。
【００７２】
そして、ヘッドユニットＥＣＵ１０１は、更新の必要がある場合には、ステップＳ１４０１に遷移する。一方、更新の必要がない場合には、ステップＳ１１０２に遷移し、一連処理を終了する。
【００７３】
次に、ステップＳ１４０１において、ヘッドユニットＥＣＵ１０１は、過去の運転履歴情報と、現在の時刻や地図情報を用いた車両２０２の位置情報や周辺施設情報と、に基づいて、この後の運転者または車両そのものの経路や動作を予測する。
【００７４】
次に、ステップＳ１５０１において、ヘッドユニットＥＣＵ１０１は、ステップＳ１４０１での予測結果に基づいて、この後のあらかじめ設定した時刻ｔにおいて、車両２０２が停車中であることが予想されるのか、あるいは車両２０２が走行中であることが予想されるのかといった、車両２０２の状況を予測する。
【００７５】
ここで、ヘッドユニットＥＣＵ１０１は、時刻ｔ以降に車両２０２が停車するのか、走行するのか、いずれか一方を選択する。更新すべきセキュリティプログラムを更新するために必要とされる車両２０２の状況が、選択した条件に合致する場合には、ステップＳ１６０１に遷移する。一方、合致しない場合は、ステップＳ１４０１に遷移し、ヘッドユニットＥＣＵ１０１は、再び車両の動作予測を行う。
【００７６】
すなわち、ヘッドユニットＥＣＵ１０１は、車両２０２が時刻ｔ以降に走行中になることが予測される場合には、更新すべきセキュリティプログラムが、走行中に更新可能であり、停止中に必要とされるセキュリティプログラムに合致するか否かを判断する。
【００７７】
また、ヘッドユニットＥＣＵ１０１は、車両２０２が時刻ｔ以降に停車中になることが予測される場合には、更新すべきセキュリティプログラムが、停止中に更新可能であり、走行中に必要とされるセキュリティプログラムに合致するか否かを判断する。
【００７８】
また、このとき、ヘッドユニットＥＣＵ１０１は、セキュリティプログラムの更新があるＥＣＵについて、書き換えを開始する時刻ｔｕｐｄａｔｅを算出する。この時刻ｔｕｐｄａｔｅは、上述した時刻ｔより前であり、プログラムの更新に必要な時間を基に、時刻ｔまでに更新準備作業が完了するための時刻として算出される。
【００７９】
次に、ステップＳ１６０１において、ヘッドユニットＥＣＵ１０１は、現在時刻とｔｕｐｄａｔｅが一致するか否かを確認し、一致した場合には、更新タイミングになったと判断し、ステップＳ１７０１に遷移する。
【００８０】
次に、ステップＳ１７０１において、ヘッドユニットＥＣＵ１０１は、ステップＳ１５０１の予測結果を受けて、車両２０２が時刻ｔに停車することが予測される場合には、停車中に更新可能なセキュリティプログラムを持つＥＣＵを選択する。走行中に必要とされるセキュリティプログラムを持ち、停止中にセキュリティプログラムを更新可能なＥＣＵの一例としてとしては、駆動系ＥＣＵ１０３などを挙げることができる。
【００８１】
また、ヘッドユニットＥＣＵ１０１は、ステップＳ１５０１の予測結果を受けて、車両２０２が時刻ｔに走行することが予測される場合には、走行中に更新可能なセキュリティプログラムを持つＥＣＵを選択する。停止中に必要とされるセキュリティプログラムを持ち、走行中にセキュリティプログラムを更新可能なＥＣＵの一例としては、ボディ系ＥＣＵ１０５を挙げることができる。
【００８２】
このとき、ヘッドユニットＥＣＵ１０１は、ステップＳ１７０１において選択したＥＣＵが、先のステップＳ１２０１で確認した、更新すべきセキュリティプログラムのあるＥＣＵと整合していることを確認する。確認後、ヘッドユニットＥＣＵ１０１は、選択されたＥＣＵに関する更新すべき最新のセキュリティプログラムを、サーバ２０１から受信する。
【００８３】
そして、ヘッドユニットＥＣＵ１０１は、先の図２のステップＳ３０１に進み、時刻ｔになる前に、サーバ２０１から受信した更新すべき最新のセキュリティプログラムを、選択されたＥＣＵに送信する。そして、ステップＳ３０１以降は、図２と同様の処理が行われる。図２においては、ボディ系ＥＣＵ１０５を選択した場合を示している。
【００８４】
上記のように更新すべき最新のセキュリティプログラムのダウンロードタイミングを制御することで、不正な処理が行われうる状況になる直前の、プログラム更新が可能なタイミングで、各ＥＣＵを最新のセキュリティプログラムへ更新することができる。最新のセキュリティプログラムにすることで、それより以前のバージョンのセキュリティプログラムではカバーできていなかった脆弱性も対応できるようになる。
【００８５】
なお、本実施の形態２においては、ボディ系ＥＣＵ１０５のセキュリティプログラム１５５を、ヘッドユニットＥＣＵ１０１を経由して取得した更新プログラムに更新する場合について説明したが、本発明は、このような経路によるプログラム更新に限定されるものではない。
【００８６】
プログラムの更新にあたっては、ＤＬＣコネクタなどを介して低速通信線４０２に直接アクセスして、ボディ系ＥＣＵ１０５を書き換える構成とする、あるいは、サーバ２０１から直接ボディ系ＥＣＵ１０５に更新プログラムを送信する構成とするなど、その他の構成を採用することも可能である。
【００８７】
また、本実施の形態２においては、ボディ系ＥＣＵ１０５を対象としたセキュリティプログラムの更新を一例として示したが、他のＥＣＵについても、同様の更新手順が適用できる。
【００８８】
また、本実施の形態２においては、ネットワーク構成として図１のものを示したが、本発明を適用できるネットワーク構成は、この図１に限定されるものではない。セキュリティプログラムの書き換えが行われるネットワーク構成であれば、本発明の特徴を適用することが可能である。
【００８９】
また、本実施の形態２においては、まず始めに、ステップＳ１２０１において、ヘッドユニットＥＣＵ１０１から更新すべきセキュリティプログラムの有無をさーば２０１に確認する手順について説明したが、本発明は、このような手順に限定されるものではない。サーバ２０１が更新すべきセキュリティプログラムの存在を検知して、その旨をサーバ２０１からヘッドユニットＥＣＵ１０１に通知する手順としてもよい。
【００９０】
実施の形態３．
他の実施の形態１、２と重複する図中の番号は、同じ機能を最低限備えるものであるとし、ここでは、本実施の形態３における追加機能を中心に、以下で説明する。
【００９１】
本実施の形態３におけるヘッドユニットＥＣＵ１０１は、運転者にあらかじめ決められた状態を通知するためのＬＥＤをインパネに搭載したインパネＬＥＤ１０６へ、表示指示を送ることができる構成を備えている。
【００９２】
インパネＬＥＤ１０６は、ヘッドユニットＥＣＵ１０１から制御される。ヘッドユニットＥＣＵ１０１は、セキュリティプログラムを更新できる状況か、できない状況かのいずれかの状況かを識別表示できる。
【００９３】
このような構成を持つ本実施の形態３にかかるプログラムの更新制御システムのプログラム更新制御方法について、フローチャートを用いて詳細に説明する。図５は、本発明の実施の形態３にかかるプログラムの更新制御システムで実行される通知表示の一連処理を示すフローチャートである。なお、図５中に○印で示したＡ、Ｂは、先の図４中に○印で示したＡ、Ｂと接続されているものである。
【００９４】
ステップＳ３１０１において、ヘッドユニットＥＣＵ１０１は、先の実施の形態２の図４中のステップＳ１５０１における判定処理が、あらかじめ設定された所定回数成立しなかった場合の判定を行う。ヘッドユニットＥＣＵ１０１は、所定回数成立しなかったと判断した場合には、ステップＳ３２０１へ遷移する。
【００９５】
ステップＳ３１０２において、ヘッドユニットＥＣＵ１０１は、先の実施の形態２の図４中のステップＳ１５０１において採用した時刻ｔが、時刻ｔｌｉｍｉｔの前か後かを判定する。この時刻ｔｌｉｍｉｔは、更新されるべき最新のセキュリティプログラムがインストールされないことによって、想定される不正な処理による脅威が発生しうる発生可能性、または脅威が、車両２０２に与える影響度を基に、ヘッドユニットＥＣＵ１０１によって設定される。発生可能性や影響度が大きいほど、時刻ｔｌｉｍｉｔは、現在時刻ｔｃｕｒｒｅｎｔに近い時刻として設定される。
【００９６】
そして、ヘッドユニットＥＣＵ１０１は、時刻ｔが、時刻ｔｌｉｍｉｔよりも後であると判断した場合には、ステップＳ３２０１へ遷移する。一方、ヘッドユニットＥＣＵ１０１は、時刻ｔが、時刻ｔｌｉｍｉｔよりも後でないと判断した場合には、先の図４のステップＳ１６０１以降の処理に遷移する。
【００９７】
そして、ステップＳ３２０１に進んだ場合には、ヘッドユニットＥＣＵ１０１は、更新タイミングを決定できないことで、または、更新タイミングが時刻ｔｌｉｍｉｔよりも遅いことで、セキュリティプログラムが更新できないことをインパネＬＥＤ１０６に通知する。
【００９８】
次に、ステップＳ３２０２において、インパネＬＥＤ１０６は、あらかじめ決められたＬＥＤをＯＮすることにより、セキュリティプログラムが更新できないことを識別表示し、車両２０２の運転者にその旨を通知する。
【００９９】
そして、ステップＳ３２０３において、運転者は、表示された通知内容を確認する。さらに、ステップＳ３３０１において、運転者は、通知内容の確認結果に基づいて、セキュリティプログラムが更新できるような車両２０２の状況を作る。たとえば、運転者は、駆動系ＥＣＵ１０３のセキュリティプログラムの更新プログラムがあり、表示内容から更新ができないことを知った場合には、更新できるように、車両２０２を停止状態にする。
【０１００】
上記のように運転者が介在した処理を行うことで、運転履歴から、更新されたセキュリティプログラムの適用がいつになるかわからない場合、あるいは更新されたセキュリティプログラムの適用が遅い場合に、セキュリティプログラムの更新を早期に実施することが可能となる。この結果、最新のセキュリティプログラムを適用して、悪意のある不正な処理からの保護を図ることを、早期に実現できる。
【０１０１】
なお、本実施の形態３においては、更新できない状況を運転者に通知することとしたが、通知対象は運転者に限られるものではない。例えば、運転者がいないような自動運転車両などにおける通知対象としては、車両の運転状態を管理・操作できる車両内の別のＥＣＵ（すなわち、社内の情報管理装置）とする、あるいは、車両外から車両の運転状態を監視・操作できるサーバのような管理装置（すなわち、社外の情報管理装置）とすることも可能である。
【符号の説明】
【０１０２】
１０１  ヘッドユニットＥＣＵ、１０２  ゲートウェイＥＣＵ、１０３  駆動系ＥＣＵ、１０４  センシングＥＣＵ、１０５  ボディ系ＥＣＵ、１５１〜１５５  セキュリティプログラム、２０１  サーバ、２０２  車両、３０１  無線通信、４０１  高速通信線、４０２  低速通信線。
【図１】
2018081470.tif 000003
【図２】
2018081470.tif 000004
【図３】
2018081470.tif 000005
【図４】
2018081470.tif 000006
【図５】
2018081470.tif 000007
【手続補正書】
【提出日】平成29年11月7日(2017.11.7)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
本発明に係るプログラムの更新制御システムは、第１の制御装置と、第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御システムであって、第１の制御装置は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成し、他の制御装置が必要とするデータを集約して他の制御装置に転送し、また、第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、最新のセキュリティプログラムを第２の制御装置に転送するデータ処理制御器を備え、第２の制御装置は、第１の制御装置から最新のセキュリティプログラムを受信した場合には、第１の制御装置から自身の現在の動作状態情報および車両の現在の動作状態情報を取得し、自身の現在の動作状態情報および車両の現在の動作状態情報の整合性を判断し、整合している場合には整合結果に基づいて車両が走行中であるか停止中であるかを示す現在動作状態を特定し、最新のセキュリティプログラムの更新処理が可能な車両動作条件と特定した現在動作状態とが一致する場合に、最新のセキュリティプログラムの更新処理を実行し、第１の制御装置内のデータ処理制御器は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、運転履歴情報をさらに生成して記憶しておき、運転履歴情報、自身の現在の動作状態情報、および車両の現在の動作状態情報に基づいて、現在時刻からあらかじめ設定した時間経過した後の第１時刻における車両の動作状態である第１時刻動作状態を予測し、第１時刻までに最新のセキュリティプログラムを第２の制御装置に転送完了させるために、第１時刻よりも前の時刻として設定される第２時刻において、最新のセキュリティプログラムの更新処理が可能な車両動作条件と第１時刻動作状態とが一致する場合には、最新のセキュリティプログラムを第２の制御装置に転送するものである。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
また、本発明に係るプログラムの更新制御方法は、第１の制御装置と、第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御方法であって、第１の制御装置において、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成する第１ステップと、第１ステップで生成した情報のうち、他の制御装置が必要とするデータを集約して他の制御装置に転送する第２ステップと、第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、最新のセキュリティプログラムを第２の制御装置に転送する第３ステップとを有し、第２の制御装置において、第１の制御装置から最新のセキュリティプログラムを受信した場合には、第１の制御装置から自身の現在の動作状態情報および車両の現在の動作状態情報を取得し、自身の現在の動作状態情報および車両の現在の動作状態情報の整合性を判断し、整合している場合には整合結果に基づいて車両が走行中であるか停止中であるかを示す車両の現在動作状態を特定する第４ステップと、最新のセキュリティプログラムの更新処理が可能な車両動作条件と、第４ステップで特定した現在動作状態とが一致する場合に、最新のセキュリティプログラムの更新処理を実行する第５ステップとを有し、第３ステップは、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、運転履歴情報をさらに生成して記憶しておくステップと、運転履歴情報、自身の現在の動作状態情報、および車両の現在の動作状態情報に基づいて、現在時刻からあらかじめ設定した時間経過した後の第１時刻における車両の動作状態である第１時刻動作状態を予測するステップと、第１時刻までに最新のセキュリティプログラムを第２の制御装置に転送完了させるために、第１時刻よりも前の時刻として設定される第２時刻において、最新のセキュリティプログラムの更新処理が可能な車両動作条件と第１時刻動作状態とが一致する場合には、最新のセキュリティプログラムを第２の制御装置に転送するステップとを含むものである。
【手続補正３】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１の制御装置と、前記第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために前記第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御システムであって、
前記第１の制御装置は、自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成し、前記他の制御装置が必要とするデータを集約して前記他の制御装置に転送し、また、前記第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送するデータ処理制御器を備え、
前記第２の制御装置は、前記第１の制御装置から前記最新のセキュリティプログラムを受信した場合には、前記第１の制御装置から前記自身の現在の動作状態情報および前記車両の現在の動作状態情報を取得し、前記自身の現在の動作状態情報および前記車両の現在の動作状態情報の整合性を判断し、整合している場合には整合結果に基づいて前記車両が走行中であるか停止中であるかを示す現在動作状態を特定し、前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と特定した前記現在動作状態とが一致する場合に、前記最新のセキュリティプログラムの更新処理を実行し、
前記第１の制御装置内の前記データ処理制御器は、
自身が検出したデータおよび他の制御装置から取得したデータに基づいて、運転履歴情報をさらに生成して記憶しておき、
前記運転履歴情報、前記自身の現在の動作状態情報、および前記車両の現在の動作状態情報に基づいて、現在時刻からあらかじめ設定した時間経過した後の第１時刻における前記車両の動作状態である第１時刻動作状態を予測し、
前記第１時刻までに前記最新のセキュリティプログラムを前記第２の制御装置に転送完了させるために、前記第１時刻よりも前の時刻として設定される第２時刻において、前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と前記第１時刻動作状態とが一致する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送する
プログラムの更新制御システム。
【請求項２】
前記第１の制御装置内の前記データ処理制御器は、
前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と前記第１時刻動作状態とが一致しない状態が、あらかじめ設定された回数以上継続した場合には、前記車両内に設けられた警報器を介して最新のセキュリティプログラムの更新が実行できない状態であることをアナウンスするか、または車両の運転状態を監視するために車内あるいは車外に設けられた情報管理装置に対して前記最新のセキュリティプログラムの更新が実行できない状態であることを通知する
請求項１に記載のプログラムの更新制御システム。
【請求項３】
前記第１の制御装置に対して前記最新のセキュリティプログラムを送信する上位制御装置が前記車両にさらに搭載されており、
前記上位制御装置は、
前記最新のセキュリティプログラムによる更新処理が行われないことで前記車両に与える不正処理の影響度から、前記最新のセキュリティプログラムによる更新処理を行うべき限界時刻を求め、
現在時刻からあらかじめ設定した時間経過した後の時刻が前記限界時刻よりも後の時刻となる場合には、前記車両内に設けられた警報器を介して最新のセキュリティプログラムの更新が実行できない状態であることをアナウンスするか、または車両の運転状態を監視するために車内あるいは車外に設けられた情報管理装置に対して前記最新のセキュリティプログラムの更新が実行できない状態であることを通知する
請求項２に記載のプログラムの更新制御システム。
【請求項４】
第１の制御装置と、前記第１の制御装置と相互通信可能に接続された１以上の第２の制御装置とが車両に搭載されており、不正処理を防止するために前記第２の制御装置に実装されたセキュリティプログラムの更新処理を行う、プログラムの更新制御方法であって、
前記第１の制御装置において、
自身が検出したデータおよび他の制御装置から取得したデータに基づいて、自身の現在の動作状態情報および車両の現在の動作状態情報を生成する第１ステップと、
前記第１ステップで生成した情報のうち、前記他の制御装置が必要とするデータを集約して前記他の制御装置に転送する第２ステップと、
前記第２の制御装置に対して更新すべき最新のセキュリティプログラムが存在する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送する第３ステップと
を有し、
前記第２の制御装置において、
前記第１の制御装置から前記最新のセキュリティプログラムを受信した場合には、前記第１の制御装置から前記自身の現在の動作状態情報および前記車両の現在の動作状態情報を取得し、前記自身の現在の動作状態情報および前記車両の現在の動作状態情報の整合性を判断し、整合している場合には整合結果に基づいて前記車両が走行中であるか停止中であるかを示す前記車両の現在動作状態を特定する第４ステップと、
前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と、前記第４ステップで特定した前記現在動作状態とが一致する場合に、前記最新のセキュリティプログラムの更新処理を実行する第５ステップと
を有し、
前記第３ステップは、
自身が検出したデータおよび他の制御装置から取得したデータに基づいて、運転履歴情報をさらに生成して記憶しておくステップと、
前記運転履歴情報、前記自身の現在の動作状態情報、および前記車両の現在の動作状態情報に基づいて、現在時刻からあらかじめ設定した時間経過した後の第１時刻における前記車両の動作状態である第１時刻動作状態を予測するステップと、
前記第１時刻までに前記最新のセキュリティプログラムを前記第２の制御装置に転送完了させるために、前記第１時刻よりも前の時刻として設定される第２時刻において、前記最新のセキュリティプログラムの更新処理が可能な車両動作条件と前記第１時刻動作状態とが一致する場合には、前記最新のセキュリティプログラムを前記第２の制御装置に転送するステップと
を含むプログラムの更新制御方法。