(57)【要約】【課題】車両のセキュリティを向上させる。【解決手段】ＩＶＩ装置１２は、サーバ２４から送信された、既存のプログラムを更新するための新たなプログラムを受信する。ＩＶＩ装置１２は、車両１０の乗員による更新指示が入力された場合に、上記新たなプログラムに基づいて既存のプログラムを更新する。ＩＶＩ装置１２は、上記新たなプログラムが受信されてから所定期間、上記新たなプログラムに基づく更新処理が未完了である場合、車両１０の走行機能を制限する。【選択図】図１
2018163613.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載される電子機器であって、
所定のデータ処理を実行するためのプログラムを記憶する記憶部と、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信する受信部と、
更新指示が入力された場合に、前記受信部により受信された新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新する更新部と、
前記新たなプログラムの受信から所定期間において、前記更新部による前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する制限部と、
を備える電子機器。
【請求項２】
前記新たなプログラムの受信から第１時間が経過する前に前記更新処理が完了した場合、前記更新処理が完了したことを前記外部装置へ通知する通知部をさらに備える、
請求項１に記載の電子機器。
【請求項３】
前記通知部は、前記更新処理が完了したことを前記外部装置へ通知することにより、前記車両に関する特典の付与に係る処理を前記外部装置に実行させる、
請求項２に記載の電子機器。
【請求項４】
前記制限部は、前記新たなプログラムの受信から、前記第１時間より長い第２時間が経過するまでに前記更新処理が未完了の場合、前記車両の走行機能を制限する、
請求項２または３に記載の電子機器。
【請求項５】
前記外部装置は、前記新たなプログラムを前記車両へ送信してから第１時間が経過するまでに前記車両から更新処理の完了通知を未受信の場合、前記車両の走行機能を制限するための制限プログラムを前記車両へ送信し、
前記受信部は、前記外部装置から送信された制限プログラムを受信し、
前記制限部は、前記制限プログラムの受信から第２時間が経過するまでに前記更新処理が未完了の場合、前記制限プログラムに基づいて前記車両の走行機能を制限する、
請求項１に記載の電子機器。
【請求項６】
車両に搭載される電子機器であって、かつ、所定のデータ処理を実行するためのプログラムを記憶する記憶部を備える電子機器が、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信し、
更新指示が入力された場合に、前記新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新し、
前記新たなプログラムの受信から所定期間において、前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する、
プログラム更新方法。
【請求項７】
車両に搭載される電子機器であって、かつ、所定のデータ処理を実行するためのプログラムを記憶する記憶部を備える電子機器に、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信し、
更新指示が入力された場合に、前記新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新し、
前記新たなプログラムの受信から所定期間において、前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する、
ことを実行させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はデータ処理技術に関し、特に電子機器、プログラム更新方法およびコンピュータプログラムに関する。
【背景技術】
【０００２】
車両に搭載されたＥＣＵ（Electronic Control Unit）のプログラムの更新案内を、プログラム変更権限を有する権利者に限定して提示することで、権利者以外の人によるプログラムの更新を回避し、セキュリティの向上を図るプログラム更新システムが提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】国際公開第２０１２／００１７７１号
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来のプログラム更新システムは、車両の乗員にプログラムの更新を促すだけであり、プログラムが未更新の車両に対するセキュリティ対策が不十分であった。
【０００５】
本発明は上記課題に鑑みたもので、１つの目的は、車両のセキュリティを向上させることである。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明のある態様の電子機器は、車両に搭載される電子機器であって、所定のデータ処理を実行するためのプログラムを記憶する記憶部と、記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信する受信部と、更新指示が入力された場合に、受信部により受信された新たなプログラムに基づいて、記憶部に記憶されたプログラムを更新する更新部と、新たなプログラムの受信から所定期間において、前記更新部による前記新たなプログラムに基づく更新処理が未完了の場合、車両の走行機能を制限する制限部と、を備える。
【０００７】
本発明の別の態様は、プログラム更新方法である。この方法は、車両に搭載される電子機器であって、かつ、所定のデータ処理を実行するためのプログラムを記憶する記憶部を備える電子機器が、記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信し、更新指示が入力された場合に、新たなプログラムに基づいて、記憶部に記憶されたプログラムを更新し、新たなプログラムの受信から所定期間において、新たなプログラムに基づく更新処理が未完了の場合、車両の走行機能を制限する。
【０００８】
なお、以上の構成要素の任意の組合せ、本発明の表現を、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、本装置を搭載した車両などの間で変換したものもまた、本発明の態様として有効である。
【発明の効果】
【０００９】
本発明によれば、車両のセキュリティを向上させることができる。
【図面の簡単な説明】
【００１０】
【図１】第１実施例の車両の構成を示す図である。
【図２】図１のＩＶＩ装置の機能構成を示すブロック図である。
【図３】第１実施例のＩＶＩ装置の動作を示すフローチャートである。
【図４】第１実施例のサーバの動作を示すフローチャートである。
【図５】第２実施例のサーバの動作を示すフローチャートである。
【図６】第２実施例の車両の動作を示すフローチャートである。
【図７】第２実施例の車両の動作を示すフローチャートである。
【発明を実施するための形態】
【００１１】
［第１実施例］
実施例の車両は、サーバから受信した新たなプログラムによる既存プログラムの更新を、乗員が更新指示を入力したことを条件として実行する。これにより、乗員の意思を反映した車載装置のリプログラミングを実現できる。ただし、乗員が更新指示を長期間入力しない場合、車両のセキュリティが低下するおそれがある。
【００１２】
そこで実施例の車両は、サーバから新たなプログラムを受信してから一定期間が経過しても既存プログラムの更新処理が未完了の場合、車両の走行機能を制限する。具体的には、実施例の車両は、通常走行は可能であるが、自動運転機能（ＡＤＡＳ（Advanced Driver Assistance Systems）またはＡＤ（Autonomous Driving））を使用できない状態へ移行する。
【００１３】
図１は、第１実施例の車両１０の構成を示す。車両１０は、ＩＶＩ（In Vehicle Infotainment）装置１２、自動運転部１４、処理ＥＣＵ１６、ゲートウェイＥＣＵ１８を備える。これらの装置は、車載ネットワークであるＣＡＮ（Controller Area Network）２０に接続され、車載ネットワークシステム２２を構成する。
【００１４】
ＩＶＩ装置１２は、カーナビゲーションおよびカーオーディオの機能を含む電子機器であり、様々な情報を液晶ディスプレイ等の表示部に表示する。実施例のＩＶＩ装置１２は、車両１０外部のネットワーク（４Ｇ網等）を介して、サーバ２４と接続される。表示部の情報は、ＩＶＩ装置１２と外部ネットワークで繋がった携帯端末の画面に同期して表示してもよい。
【００１５】
サーバ２４は、ＩＶＩ装置１２、自動運転部１４、処理ＥＣＵ１６、またはゲートウェイＥＣＵ１８の動作を規定するプログラム（以下「データ処理プログラム」とも呼ぶ。）を更新するためのプログラム（以下「更新プログラム」と呼ぶ。）を車両１０へ提供する情報処理装置である。また、サーバ２４は、早期にプログラム更新を実施した車両１０に関する特典の付与に係る処理を実行する。サーバ２４は、早期にプログラム更新を実施したユーザ（すなわち車両１０の乗員）に対して特典を付与するための処理を実行してもよい。特典は、例えば、自動車保険料の割引であってもよく、自動車保険料の割引ポイントの付与であってもよい。なお、更新プログラムを提供する処理と、特典を付与する処理は、複数のサーバにより分散実行されてもよい。
【００１６】
処理ＥＣＵ１６は、センサ（不図示の速度センサ、温度センサ等）またはアクチュエータ（不図示のブレーキ、ステアリング等）に接続された複数のＥＣＵを含む。第１の処理ＥＣＵ１６は、所定のセンサと接続され、センサによる検知内容を示すデータ外部装置へ送信する。第２の処理ＥＣＵ１６は、所定のアクチュエータと接続され、外部装置から受信したデータに基づいてアクチュエータを制御する。
【００１７】
自動運転部１４は、車両１０の自動運転を制御する電子機器である。例えば、自動運転部１４は、第１の処理ＥＣＵ１６から受信した検知データに基づいて、車両１０の走行態様を決定してもよい。また、自動運転部１４は、決定した走行態様を示すデータを第２の処理ＥＣＵ１６へ送信することにより、第２の処理ＥＣＵ１６にアクチュエータを制御させてもよい。
【００１８】
ゲートウェイＥＣＵ１８は、あるＥＣＵから送信されたフレーム（ＣＡＮメッセージとも言える）を他のＥＣＵへ中継し、またはルーティングする。例えば、ゲートウェイＥＣＵ１８は、ＣＡＮ２０の第１バスに接続された自動運転部１４と、ＣＡＮ２０の第２バスに接続された処理ＥＣＵ１６との間で、一方が送信したフレームを他方へ中継する。
【００１９】
図２は、図１のＩＶＩ装置１２の機能構成を示すブロック図である。本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
【００２０】
ＩＶＩ装置１２は、外部ＩＦ３０、ＣＡＮ−ＩＦ３２、表示部３４、表示制御部３６、操作受付部３８、プログラム記憶部４０、データ処理部４２、プログラム更新部４４、更新通知部４６、制限部４８を含む。これらのブロックに対応するモジュールを含むコンピュータプログラムがＩＶＩ装置１２のメモリに格納され、ＩＶＩ装置１２のＣＰＵがそのコンピュータプログラムを実行することにより、これらのブロックの機能が発揮されてもよい。また、ＩＶＩ装置１２に代えて、自動運転部１４、処理ＥＣＵ１６、またはゲートウェイＥＣＵ１８が、これらの機能ブロックを備える構成でもよい。
【００２１】
プログラム記憶部４０は、ＩＶＩ装置１２によるデータ処理の内容を規定するデータ処理プログラムを記憶する。外部ＩＦ３０は、車両１０外部のネットワーク（４Ｇ等）との通信機能を提供する。外部ＩＦ３０は、プログラム記憶部４０に記憶されたデータ処理プログラムを更新するための更新プログラムであり、かつ、サーバ２４から送信された更新プログラムを受信する受信部の機能を含む。ＣＡＮ−ＩＦ３２は、ＣＡＮ２０との通信機能を提供する。
【００２２】
表示部３４は、各種情報を表示する装置であり、例えばタッチパネルである。表示制御部３６は、データ処理部４２またはプログラム更新部４４から出力された表示用のデータを表示部３４に表示させる。例えば、表示制御部３６は、データ処理部４２から出力されたナビゲーション用の地図画像を表示部３４に表示させる。また、表示制御部３６は、プログラム更新部４４から出力された、プログラム更新指示の入力を促す内容（メッセージや画像等）を表示部３４に表示させる。
【００２３】
操作受付部３８は、表示部３４へ入力された乗員の操作を受け付ける。操作受付部３８は受け付けた操作を示すデータをデータ処理部４２およびプログラム更新部４４へ出力する。データ処理部４２は、プログラム記憶部４０に記憶されたデータ処理プログラムにしたがってＩＶＩ装置１２としてのデータ処理（例えばナビゲーション処理等）を実行する。
【００２４】
プログラム更新部４４は、外部ＩＦ３０により更新プログラムが受信された場合に、その更新プログラムを受信時刻とともに一時的に記憶する。プログラム更新部４４は、表示制御部３６を介して、プログラム更新指示の入力を促す内容を表示部３４に表示させる。
【００２５】
プログラム更新部４４は、プログラム更新指示の入力が操作受付部３８により検出された場合、更新プログラムに基づいて、プログラム記憶部４０に記憶された既存のデータ処理プログラムを更新する。例えば、プログラム更新部４４は、プログラム記憶部４０に記憶された既存のデータ処理プログラムを更新プログラムに置き換えることにより、リプログラミングを実行してもよい。プログラム更新部４４は、更新プログラムの受信から、更新処理完了までの経過時間を導出し、経過時間を更新通知部４６に渡す。
【００２６】
実施例では、ＩＶＩ装置１２のデータ処理プログラムを更新するが、他装置（ゲートウェイＥＣＵ１８、処理ＥＣＵ１６等）のデータ処理プログラムを更新してもよい。この場合、プログラム更新部４４は、プログラム更新対象の車載装置に対して、更新コマンドと更新プログラムを、ＣＡＮ−ＩＦ３２を介して送信してもよい。
【００２７】
更新通知部４６は、プログラム更新部４４が更新プログラムに基づくデータ処理プログラムの更新処理を完了した場合に、プログラム更新処理の完了を示すデータ（以下「更新完了通知」と呼ぶ。）を、外部ＩＦ３０を介してサーバ２４へ送信する。第１実施例では、更新通知部４６は、更新プログラムの受信から所定期間（「時間Ｔａ１」と呼ぶ。例えば２４時間等）が経過する前に更新処理が完了した場合に、更新完了通知をサーバ２４へ送信する。言い換えれば、更新通知部４６は、更新プログラムの受信からの経過時間が時間Ｔａ１以下であることを条件として、更新完了通知をサーバ２４へ送信する。
【００２８】
時間Ｔａ１は、サーバ２４への更新通知期限と言え、また、早期更新特典を付与する更新時間の閾値とも言える。時間Ｔａ１は、ＩＶＩ装置１２において予め定められてもよく、更新プログラムに含まれてもよい。後者の場合、更新プログラムによる更新の重要度が高いほど、時間Ｔａ１が短く設定されてもよい。
【００２９】
制限部４８は、車両１０の走行機能を制限するための処理を実行し、言い換えれば、車両１０の走行モードを一部に限定するための処理を実行する。実施例では、制限部４８は、車両の自動運転をできなくするように外部装置（自動運転部１４、ゲートウェイＥＣＵ１８等）を制御する。
【００３０】
例えば、制限部４８は、自動運転部１４に対して自動運転の中止または禁止を指示するデータを送信してもよい。また、制限部４８は、自動運転が中止または禁止されるように自動運転部１４の制御プログラムを更新してもよい。また、制限部４８は、第１の処理ＥＣＵ１６から自動運転部１４へ送信された検知情報の中継と、自動運転部１４から第２の処理ＥＣＵ１６へ送信された制御情報の中継の少なくとも一方の中止または禁止を指示するデータをゲートウェイＥＣＵ１８へ送信してもよい。また、制限部４８は、それらの中継が中止または禁止されるようにゲートウェイＥＣＵ１８の制御プログラムを更新してもよい。
【００３１】
変形例として、制限部４８は、他の走行機能を制限してもよい。例えば、制限部４８は、エンジンを制御する処理ＥＣＵ１６に対して、車両１０の走行速度を制限する（例えば走行速度の上限を時速６０キロメートルに制限する）ように指示してもよい。
【００３２】
プログラム更新部４４は、更新プログラムの受信から所定期間（「時間Ｔａ２」と呼ぶ。例えば７２時間等）が経過するまでに更新処理が未完了の場合に、制限部４８の処理を実行させる。言い換えれば、プログラム更新部４４は、更新プログラムの受信からの経過時間が時間Ｔａ２を超過した場合、制限部４８の処理を実行させる。例えば、プログラム更新部４４は、制限部４８の機能が実装されたプログラムの実行をＣＰＵに開始させることにより、制限部４８の機能を発揮させてもよい。
【００３３】
時間Ｔａ２は、ペナルティ付与の対象となる未更新期間の閾値と言え、時間Ｔａ１より長く設定される。時間Ｔａ２は、ＩＶＩ装置１２において予め定められてもよく、更新プログラムに含まれてもよい。後者の場合、更新プログラムによる更新の重要度が高いほど、時間Ｔａ２が短く設定されてもよい。
【００３４】
以上の構成による動作を説明する。
図３は、第１実施例のＩＶＩ装置１２の動作を示し、特にプログラム更新に関する動作を示すフローチャートである。第１実施例のＩＶＩ装置１２は、更新プログラムの受信からの経過時間を自装置で計測する。また、ＩＶＩ装置１２は、車両１０の走行機能を制限するための処理を実装した制限プログラムを予め記憶する。ＩＶＩ装置１２は、電源オンの間、図３に示す動作を繰り返す。自動運転部１４、処理ＥＣＵ１６、ゲートウェイＥＣＵ１８が図２に示した機能ブロックを備える場合、自動運転部１４、処理ＥＣＵ１６、ゲートウェイＥＣＵ１８の動作も図３に示す動作となる。
【００３５】
サーバ２４から送信された更新プログラムを外部ＩＦ３０が受信すると（Ｓ１０のＹ）、プログラム更新部４４は、プログラム更新を促す内容（言い換えればプログラム更新指示の入力を促す内容）を表示部３４に表示させる（Ｓ１２）。表示部３４に対してプログラム更新指示が入力されたことを操作受付部３８が検出すると（Ｓ１４のＹ）、プログラム更新部４４は、更新プログラムに基づいて、プログラム記憶部４０のデータ処理プログラムを更新する（Ｓ１６）。更新プログラムの受信から更新完了までの経過時間が時間Ｔａ１以内であれば（Ｓ１８のＹ）、更新通知部４６は、更新完了通知をサーバ２４へ送信する（Ｓ２０）。更新完了までの経過時間が時間Ｔａ１を超過していれば（Ｓ１８のＮ）、Ｓ２０をスキップする。
【００３６】
プログラム更新指示が未入力であり（Ｓ１４のＮ）、更新プログラムの受信を始期とする未更新時間が時間Ｔａ２を超過した場合（Ｓ２２のＹ）、制限部４８は、自動運転部１４による自動運転を禁止した状態へ移行させる（Ｓ２４）。未更新時間が時間Ｔａ２以下であれば（Ｓ２２のＮ）、Ｓ１２に戻る。更新プログラムを未受信であれば（Ｓ１０のＮ）、以降の処理をスキップして本図のフローを終了する。
【００３７】
図４は、第１実施例のサーバ２４の動作を示すフローチャートである。サーバ２４は、電源オンの間、図４に示す動作を繰り返す。予め定められた更新プログラムの配信条件を満たすと（Ｓ３０のＹ）、サーバ２４は、更新プログラムを車両１０へ送信する（Ｓ３２）。更新プログラムの配信条件は、新たな更新プログラムが所定の記憶領域に保存されたことでもよい。また、管理者から更新プログラムの配信を指示するコマンドが入力されたことでもよい。更新プログラムの配信条件が満たされなければ（Ｓ３０のＮ）、Ｓ３２をスキップする。
【００３８】
車両１０から送信された更新完了通知を受信すると（Ｓ３４のＹ）、サーバ２４は、車両１０の乗員に対して特典を付与するための予め定められたデータ処理を実行する（Ｓ３６）。例えば、サーバ２４は、保険会社の装置と連携して、車両１０の乗員が契約する自動車保険の割引率を増加させてもよい。更新完了通知を未受信であれば（Ｓ３４のＮ）、Ｓ３６をスキップする。
【００３９】
第１実施例の車両１０によると、サーバ２４から提供された更新プログラムによる既存プログラムの更新が所定期間（時間Ｔａ２）なされなければ、車両１０の自動運転を禁止することにより、乗員に対してプログラム更新を促すことができる。また、第１実施例の車両１０によると、更新プログラムの提供から早期（時間Ｔａ１の経過前）にプログラム更新がなされれば乗員へ特典を提供することにより、プログラム更新を早期に行うインセンティブを乗員へ与えることができる。
【００４０】
［第２実施例］
第２実施例の車両１０の構成は、第１実施例（図１）と同様である。また、第２実施例の車両１０においても、ＩＶＩ装置１２がプログラム更新処理を実行する。ＩＶＩ装置１２の機能構成は、第１実施例（図２）と同様である。以下、第１実施例で説明済みの内容は適宜省略し、第１実施例と異なる点を主に説明する。
【００４１】
第１実施例では、ＩＶＩ装置１２が制限プログラムを予め記憶したが、第２実施例では、サーバ２４が、車両１０からの更新完了通知の受信状況に応じて、制限プログラムを動的に車両１０へ提供する。第２実施例の構成においても、第１実施例と同様の効果を奏する。
【００４２】
具体的には、サーバ２４は、更新プログラムを車両１０へ送信した日時、または、車両１０が更新プログラムをダウンロードした日時を記憶し、更新プログラムを車両１０へ送信してからの経過時間を計測する。サーバ２４は、車両１０から更新完了通知を受信した場合、それまでの経過時間が所定時間（「時間Ｔｂ１」と呼ぶ。例えば２４時間等。）以下であれば、所定の特典を車両１０の乗員へ付与するための処理を実行する。
【００４３】
また、サーバ２４は、更新プログラムを車両１０へ送信してから所定時間（「時間Ｔｂ２」と呼ぶ。例えば６０時間等。）が経過するまでに車両１０から更新完了通知を未受信の場合、制限プログラムを車両１０へ送信する。時間Ｔｂ２は、時間Ｔｂ１より長く設定される。
【００４４】
車両１０の外部ＩＦ３０は、サーバ２４から送信された制限プログラムを受信する。車両１０のＣＰＵは、制限プログラムの受信から所定時間（以下「制限猶予時間」と呼ぶ。例えば１２時間等）が経過するまでに更新プログラムに基づく更新処理が未完了であれば、制限プログラムを実行することにより制限部４８の機能を発揮する。制限部４８は、第１実施例と同様に、車両１０の走行機能を制限するための処理を実行する。
【００４５】
図５は、第２実施例のサーバ２４の動作を示すフローチャートである。サーバ２４は、電源オンの間、図５に示す動作を繰り返す。同図のＳ４０およびＳ４２は、図４のＳ３０およびＳ３２と同じであるため説明を省略する。
【００４６】
車両１０から送信された更新完了通知を受信した場合であって（Ｓ４４のＹ）、かつ、更新プログラムを車両１０へ送信してから時間Ｔｂ１の経過前に更新完了通知を受信した場合（Ｓ４６のＹ）、サーバ２４は、車両１０の乗員に対して特典を付与するためのデータ処理を実行する（Ｓ４８）。例えば、サーバ２４は、保険会社の装置と連携して、車両１０の乗員が契約する自動車保険料を割り引くための処理を実行してもよい。更新プログラムを車両１０へ送信してから時間Ｔｂ１の経過後に更新完了通知を受信した場合（Ｓ４６のＮ）、Ｓ４８をスキップして本図のフローを終了する。
【００４７】
更新完了通知を未受信の場合であって、（Ｓ４４のＮ）、かつ、更新プログラムを送信してからの経過時間が時間Ｔｂ２を超過した場合（Ｓ５０のＹ）、サーバ２４は、制限プログラムを車両１０へ送信する（Ｓ５２）。更新プログラムを送信してからの経過時間が時間Ｔｂ２以下であれば（Ｓ５０のＮ）、Ｓ５２をスキップして本図のフローを終了する。
【００４８】
図６は、第２実施例の車両１０の動作を示すフローチャートである。同図は、更新プログラムの受信に関する動作を示している。車両１０は、電源オンの間、図６に示す動作を繰り返す。自動運転部１４、処理ＥＣＵ１６、ゲートウェイＥＣＵ１８が図２に示した機能ブロックを備える場合、自動運転部１４、処理ＥＣＵ１６、ゲートウェイＥＣＵ１８の動作も図６に示す動作となる。後述の図７についても同様である。
【００４９】
図６のＳ６０およびＳ６２は、図３のＳ１０およびＳ１２と同じであるため説明を省略する。表示部３４に対してプログラム更新指示が入力されたことを操作受付部３８が検出すると（Ｓ６４のＹ）、プログラム更新部４４は、予めサーバ２４から提供された更新プログラムに基づいて、プログラム記憶部４０のデータ処理プログラムを更新する（Ｓ６６）。更新通知部４６は、更新完了通知をサーバ２４へ送信する（Ｓ６８）。プログラム更新指示が未入力であれば（Ｓ６４のＮ）、Ｓ６２に戻る。
【００５０】
図７も、第２実施例の車両１０の動作を示すフローチャートである。同図は、制限プログラムの受信に関する動作を示している。サーバ２４から送信された制限プログラムを外部ＩＦ３０が受信すると（Ｓ７０のＹ）、プログラム更新部４４は、表示制御部３６を介して、プログラム更新がなされなければ走行機能を制限する旨の予告を表示部３４に表示させる（Ｓ７２）。
【００５１】
制限プログラムの受信から予め定められた制限猶予時間が未経過であれば（Ｓ７４のＮ）、表示制御部３６は、更新した予告を表示部３４に表示させ（Ｓ７６）、Ｓ７４に戻る。例えば、表示制御部３６は、ナビゲーション画面の一部を点滅させる等、走行機能を制限するまでの残り時間が短くなったことを示す予告に更新してもよい。また、表示制御部３６は、制限猶予時間の残りが短くなるほど、強い警告を示す予告に更新してもよい。
【００５２】
制限プログラムの受信から制限猶予時間が経過すると（Ｓ７４のＹ）、ＩＶＩ装置１２のＣＰＵは、制限プログラムを実行することにより、第１実施例と同様の制限部４８の機能を発揮する（Ｓ７８）。更新通知部４６もしくは制限部４８は、車両１０の走行機能を制限したことを示す情報であり、例えば、自動運転を禁止した旨の情報をサーバ２４へ送信する（Ｓ８０）。制限プログラムを未受信であれば（Ｓ７０のＮ）、Ｓ７２以降の処理をスキップして本図のフローを終了する。
【００５３】
以上、本発明を第１実施例および第２実施例をもとに説明した。これらの実施例は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
【００５４】
実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
車両に搭載される電子機器であって、
所定のデータ処理を実行するためのプログラムを記憶する記憶部と、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信する受信部と、
更新指示が入力された場合に、前記受信部により受信された新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新する更新部と、
前記新たなプログラムの受信から所定期間において、前記更新部による前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する制限部と、を備える電子機器。
この電子機器によると、更新プログラムの受信から所定期間、プログラム更新が未実行であれば、車両の走行機能を制限することにより、車両の乗員に対してプログラムの更新を促すことができる、また、車両のセキュリティと安全性を高めることができる。
［項目２］
前記新たなプログラムの受信から第１時間が経過する前に前記更新処理が完了した場合、前記更新処理が完了したことを前記外部装置へ通知する通知部をさらに備える、項目１に記載の電子機器。
この態様によると、比較的早期にプログラムの更新が完了したことを外部装置へ通知することができる。例えば、車両において比較的早期にプログラムの更新が完了したことに基づくデータ処理を外部装置に実行させることができる。
［項目３］
前記通知部は、前記更新処理が完了したことを前記外部装置へ通知することにより、前記車両に関する特典の付与に係る処理を前記外部装置に実行させる、項目２に記載の電子機器。
この態様によると、プログラムの更新を行ったことに対する特典を乗員に付与することができる。
［項目４］
前記制限部は、前記新たなプログラムの受信から、前記第１時間より長い第２時間が経過するまでに前記更新処理が未完了の場合、前記車両の走行機能を制限する、項目３に記載の電子機器。
この態様によると、早期にプログラムの更新がなされれば特典を付与し、長期間に亘りプログラムが未更新であれば車両の走行機能を制限することで、プログラムの更新を乗員に促すことができる。
［項目５］
前記外部装置は、前記新たなプログラムを前記車両へ送信してから第１時間が経過するまでに前記車両から更新処理の完了通知を未受信の場合、前記車両の走行機能を制限するための制限プログラムを前記車両へ送信し、
前記受信部は、前記外部装置から送信された制限プログラムを受信し、
前記制限部は、前記制限プログラムの受信から第２時間が経過するまでに前記更新処理が未完了の場合、前記制限プログラムに基づいて前記車両の走行機能を制限する、項目１に記載の電子機器。
この態様によると、制限プログラムを車両が常時記憶することが不要になる。また、外部から制限プログラムが提供される場合に、適切なタイミングで、車両の走行機能を制限することができる。
［項目６］
車両に搭載される電子機器であって、かつ、所定のデータ処理を実行するためのプログラムを記憶する記憶部を備える電子機器が、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信し、
乗員から更新指示が入力された場合に、前記新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新し、
前記新たなプログラムの受信から所定期間において、前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する、プログラム更新方法。
このプログラム更新方法によると、更新プログラムの受信から所定期間、プログラム更新が未実行であれば、車両の走行機能を制限することにより、車両の乗員に対してプログラムの更新を促すことができる、また、車両のセキュリティと安全性を高めることができる。
［項目７］
車両に搭載される電子機器であって、かつ、所定のデータ処理を実行するためのプログラムを記憶する記憶部を備える電子機器に、
前記記憶部に記憶されたプログラムを更新するための新たなプログラムであって、かつ、外部装置から送信された新たなプログラムを受信し、
乗員から更新指示が入力された場合に、前記新たなプログラムに基づいて、前記記憶部に記憶されたプログラムを更新し、
前記新たなプログラムの受信から所定期間において、前記新たなプログラムに基づく更新処理が未完了の場合、前記車両の走行機能を制限する、ことを実行させるためのコンピュータプログラム。
このコンピュータプログラムによると、更新プログラムの受信から所定期間、プログラム更新が未実行であれば、車両の走行機能を制限することにより、車両の乗員に対してプログラムの更新を促すことができる、また、車両のセキュリティと安全性を高めることができる。
【００５５】
上述した実施例および変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
【符号の説明】
【００５６】
１０  車両、  １２  ＩＶＩ装置、  ２０  ＣＡＮ、  ２４  サーバ、  ４０  プログラム記憶部、  ４４  プログラム更新部、  ４６  更新通知部、  ４８  制限部。
【図１】
2018163613.tif 000003
【図２】
2018163613.tif 000004
【図３】
2018163613.tif 000005
【図４】
2018163613.tif 000006
【図５】
2018163613.tif 000007
【図６】
2018163613.tif 000008
【図７】
2018163613.tif 000009