(57)【要約】【課題】無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることのできる車両制御装置、及びそのデータ書換システムを提供する。【解決手段】携帯電話回線１２を通じて配信された書換指令を受信すると、車両制御装置２０は、書換指令を配信する書換実施局１１に、受信した書換指令が正当であるか否かの問合せを行う。書換実施局１１は、この問合せに対して、自身の書換指令の配信履歴を検索し、その有無を車両制御装置２０に回答する。車両制御装置２０はこの回答により、書換指令が正当であるか否かを判断し、正当でないことが確認されたときには、先に受信した書換指令に基づくデータ書換の実施を禁止する。【選択図】図１
2008276663.tif 000002
【特許請求の範囲】
【請求項１】
無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置において、
前記書換指令が正当であるか否かの問合せを行い、正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許可する
ことを特徴とする車両制御装置。
【請求項２】
無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置において、
前記書換指令が正当であるか否かの問合せを行い、正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止する
ことを特徴とする車両制御装置。
【請求項３】
前記書換指令が正当でないことが確認されたときには、以後における前記書換指令の受付を禁止する
請求項１又は２に記載の車両制御装置。
【請求項４】
前記問合せは、該車両制御装置に前記書換指令を配信する書換実施局に対して行われる
請求項１〜３のいずれか１項に記載の車両制御装置。
【請求項５】
前記問合せは、該車両制御装置に前記書換指令を配信する書換実施局とは別途に設けられた書換取り纏め局に対して行われる
請求項１〜３のいずれか１項に記載の車両制御装置。
【請求項６】
前記問合せは、前記書換指令を受信した回線を一旦切断し、車両制御装置側から回線を再接続して行われる
請求項１〜５のいずれか１項に記載の車両制御装置。
【請求項７】
前記書換指令が正当であるか否かは、前記書換指令の配信の履歴の有無によって確認される
請求項１〜６のいずれか１項に記載の車両制御装置。
【請求項８】
前記書換指令の受信及び前記問合せは、携帯電話回線を通じて行われる
請求項１〜７のいずれか１項に記載の車両制御装置。
【請求項９】
前記書換指令の受信に使用した回線とは別の回線を通じて受信した書換禁止指令に基づいて、前記書換指令に基づくデータ書換を禁止する
請求項１〜８のいずれか１項に記載の車両制御装置。
【請求項１０】
無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置において、
前記書換指令の受信に使用した回線とは別の回線を通じて受信した書換禁止指令に基づいて、前記書換指令に基づくデータ書換を禁止する
ことを特徴とする車両制御装置。
【請求項１１】
前記書換禁止指令の受信により、以後における前記書換指令の受付を禁止する
請求項９又は１０に記載の車両制御装置。
【請求項１２】
無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置において、
前記書換指令を受信する回線とは別の回線を通じて受信した書換禁止指令に基づいて、以後における前記書換指令の受付を禁止する
ことを特徴とする車両制御装置。
【請求項１３】
前記書換指令は、携帯電話回線を用いて配信される
請求項１０〜１２のいずれか１項に記載の車両制御装置。
【請求項１４】
前記書換禁止指令は、ＦＭ多重放送を用いて配信される
請求項９〜１３のいずれか１項に記載の車両制御装置。
【請求項１５】
前記書換禁止指令は、光ビーコンによる路車間通信を用いて配信される
請求項９〜１３のいずれか１項に記載の車両制御装置。
【請求項１６】
前記書換禁止指令は、電波ビーコンによる路車間通信を用いて配信される
請求項９〜１３に記載の車両制御装置。
【請求項１７】
前記書換指令の受付禁止を、予め設定された期間が経過した時点で解除する
請求項３、１１及び１２のいずれか１項に記載の車両制御装置。
【請求項１８】
前記書換指令の受付禁止を、復帰指令の受信に応じて解除する
請求項３、１１、１２及び１７のいずれか１項に記載の車両制御装置。
【請求項１９】
前記書換指令の受付禁止を、予め設定された期間が経過し、且つ復帰指令を受信したことを条件に解除する
請求項３、１１及び１２のいずれか１項に記載の車両制御装置。
【請求項２０】
前記書換指令の受付禁止を、車両での復帰操作により解除する
請求項３、１１及び１２のいずれか１項に記載の車両制御装置。
【請求項２１】
無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、
前記車両制御装置は、前記書換指令の受信後に、同書換指令が正当であるか否かの問合せを行い、正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許容する
ことを特徴とする車両制御装置のデータ書換システム。
【請求項２２】
無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、
前記車両制御装置は、前記書換指令の受信後に、同書換指令が正当であるか否かの問合せを行い、正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止する
ことを特徴とする車両制御装置のデータ書換システム。
【請求項２３】
前記書換指令が正当でないことが確認されたときには、以後における前記書換指令の受付を禁止する
請求項２１又は２２に記載の車両制御装置のデータ書換システム。
【請求項２４】
前記車両制御装置は、該車両制御装置に前記書換指令を配信する書換実施局に対して前記問合せを行う
請求項２１〜２３のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項２５】
前記車両制御装置は、該車両制御装置に前記書換指令を配信する書換実施局とは別途に設けられた書換取り纏め局に対して前記問合せを行う
請求項２１〜２３のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項２６】
前記車両制御装置は、前記書換指令の受信に用いた回線を一旦切断した後、回線を再接続して前記問合せを行う
請求項２１〜２５のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項２７】
前記書換指令が正当であるか否かの確認を、前記書換指令の発行の履歴の有無により行う
請求項２１〜２６のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項２８】
前記車両制御装置は、前記書換指令の受信及び前記問合せを、携帯電話回線を通じて行う
請求項２１〜２７のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項２９】
前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を前記書換指令の配信に使用した回線とは別の回線を用いて前記車両制御装置に配信する
請求項２１〜２７のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３０】
無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、
前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を、前記書換指令の配信に使用する回線とは別の回線を用いて前記車両制御装置に配信する
ことを特徴とする車両制御装置のデータ書換システム。
【請求項３１】
前記車両制御装置は、前記書換禁止指令の受信により、以後における前記書換指令の受付を禁止する
請求項３０に記載の車両制御装置のデータ書換システム。
【請求項３２】
無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、
以後における前記書換指令の受付を禁止させるための書換禁止指令を、前記書換指令の配信に使用する回線とは別の回線を用いて前記車両制御装置に配信する
ことを特徴とする車両制御装置のデータ書換システム。
【請求項３３】
前記書換指令を、携帯電話回線を用いて配信する
請求項３０〜３２のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３４】
前記書換禁止指令を、ＦＭ多重放送を用いて配信する
請求項２９〜３３のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３５】
前記書換禁止指令を、光ビーコンによる路車間通信を用いて配信する
請求項２９〜３３のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３６】
前記書換禁止指令を、電波ビーコンによる路車間通信を用いて配信する
請求項２９〜３３のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３７】
前記車両制御装置は、予め設定された期間が経過した時点で前記書換指令の受付禁止を解除する
請求項２３、３１及び３２のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３８】
前記車両制御装置は、復帰指令の受信に応じて前記書換指令の受付禁止を解除する
請求項２３、３１、３２及び３７のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項３９】
前記車両制御装置は、予め設定された期間が経過し、且つ復帰指令を受信したことを条件に前記書換指令の受付禁止を解除する
請求項２３、３１及び３２のいずれか１項に記載の車両制御装置のデータ書換システム。
【請求項４０】
前記車両制御装置は、車両での復帰操作に応じて前記書換指令の受付禁止を解除する
請求項２３、３１及び３２のいずれか１項に記載の車両制御装置のデータ書換システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線通信ネットワークを通じて配信された書換指令に基づき自身の記憶するデータの書き換えを実施する車両制御装置、及びそうした車両制御装置のデータ書き換えを実施するためのデータ書換システムに関するものである。
【背景技術】
【０００２】
従来、例えば特許文献１に見られるように、車両制御装置の制御プログラムや制御データの書き換えを、携帯電話回線などの無線通信ネットワーク経由で行なう、いわゆるリモート・リプログラムに関する技術が提案されている。こうしたリモート・リプログラムは、車両をわざわざディーラや整備工場などに持ち込まなくても実施可能であるため、車両制御装置の制御プログラムや制御データの問題部分を迅速且つ確実に解消することができる。
【０００３】
こうした従来の技術では、携帯電話回線を用いたリモート・リプログラムを、次のように行うよう想定されている。まず始めに、車両メーカの運営する書換実施局が、携帯電話回線を用いて、書換の対象となる各車両の車両制御装置にアクセスして書換指令を通知し、その後、同じく携帯電話回線を用いて、書換用のデータを送信する。一方、車両制御装置では、書換指令の受信に応じて書換用データの受け入れ準備を行ない、書換用データの受信後はその受信したデータに基いて、自身の記憶する制御プログラムや制御データを書き換えるようにしている。
【特許文献１】特開平５−１９５８５９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、誤操作や故障などのためデータ書換システムが正常動作しなくなったとき等には、無線通信ネットワークを通じて不正な書換指令が配信されてしまうことが考えられる。このような場合、その配信された不正な書換指令に基いて、車両制御装置の制御プログラムや制御データを書き換えてしまうと、車両の動作に重大な影響を与える虞がある。しかしながら、上記従来の技術では、車両制御装置には、配信された書換指令が正当なものであるか否かを確認するすべはなく、不正に配信された書換指令に基づいた制御プログラムや制御データの書き換えがそのまま不正に実施されてしまう虞がある。また、たとえ書換指令が不正配信される可能性を予見できていたとしても、対応が間に合わずに不正な書換指令の配信を許してしまえば、その不正な書換指令に基く車両制御装置のデータ書換の不正実施を有効に防止する術は準備されていないのが実状である。
【０００５】
本発明はこうした現状に鑑みてなされたものであって、その解決しようとする課題は、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることのできる車両制御装置、及びそのデータ書換システムを提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するため、請求項１に記載の車両制御装置は、無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置であって、前記書換指令が正当であるか否かの問合せを行い、正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許可することとした。
【０００７】
また請求項２に記載の車両制御装置は、無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置であって、前記書換指令が正当であるか否かの問合せを行い、正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止することとした。
【０００８】
一方、請求項２１に記載の車両制御装置のデータ書換システムでは、無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにあって、前記車両制御装置は、前記書換指令の受信後に、同書換指令が正当であるか否かの問合せを行い、正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許容することとした。
【０００９】
更に請求項２２に記載の車両制御装置のデータ書換システムでは、無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにあって、前記車両制御装置は、前記書換指令の受信後に、同書換指令が正当であるか否かの問合せを行い、正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止することとした。
【００１０】
上記構成では、車両制御装置は、無線通信ネットワークを通じて書換指令を受信すると、車両制御装置の側から、その書換指令が正当であるか否かの問合せを行うようにしている。そして請求項１に記載の車両制御装置、及び請求項２１に記載の車両制御装置のデータ書換システムでは、その問合せにより、受信した書換指令が正当であることが確認されたときに限り、その書換指令に基く自身のデータ書換が許可されるようになる。また請求項２に記載の車両制御装置、及び請求項２２に記載の車両制御装置のデータ書換システムでは、上記問合せによって、受信した書換指令が正当でないことが確認されたときには、その書換指令に基く自身のデータ書換が禁止されるようになる。即ち、いずれにおいても、車両制御装置は、問合せにより、受信した書換指令の正当性を自ら確認して、その書換指令に基くデータ書換を実施するかどうかを判断するようにしている。そのため、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることができる。
【００１１】
なお、無線通信ネットワーク経由で不正な書換指令が配信されるような状況では、車両制御装置への書換指令の配信を行うデータ書換システムに不具合が発生しており、その後も不正な書換指令が繰り返し配信される可能性があるものと考えられる。そこで、請求項３に記載の車両制御装置、及び請求項２３に記載の車両制御装置のデータ書換システムでは、前記書換指令が正当でないことが確認されたときには、以後における前記書換指令の受付を禁止することとしている。すなわち、書換指令が不正であることが一旦確認されると、その不正であると確認された書換指令だけでなく、それ以降に受信されたすべての書換指令について、その書換指令に基くデータ書換を実施しないようにしている。そのため、データ書換システムの安全性を十分保証できない状態で、同システムを通じた車両制御装置のデータ書換が実施されないようにすることができる。
【００１２】
なお、こうした請求項１〜３に記載の車両制御装置、及び請求項２１〜２３に記載のデータ書換システムにおいて車両制御装置の行う上記問合せは、請求項４及び請求項２４に記載のように、前記書換指令を配信する書換実施局に対して行うようにすることができる。こうした場合、書換実施局が書換指令を配信したかどうかを、問合せにより確認することで、書換実施局を通じて配信された正当な書換指令と、書換実施局を通さずに配信された不正な書換指令とを、的確に見分けることができる。
【００１３】
また、こうした請求項１〜３に記載の車両制御装置、及び請求項２１〜２３に記載のデータ書換システムにおいて車両制御装置の行う上記問合せは、請求項５及び請求項２５に記載のように、前記書換指令を配信した書換実施局とは別途に設けられた書換取り纏め局に対して行うようにすることもできる。この場合、書換取り纏め局が、書換指令の配信状況を管理、または監視するものとなっていれば、この書換取り纏め局への問合せにより、書換指令の正当性を確認することができるようになる。なお、こうした場合には、書換実施局の故障や誤動作などにより、書換実施局自らが不正な書換指令を配信してしまうような場合にも、書換指令の正当性を的確に確認することができるようになる。
【００１４】
なお請求項１〜５に記載の車両制御装置、及び請求項２１〜２５に記載のデータ書換システムにおける車両制御装置の行う上記問合せを、請求項６及び請求項２６に記載のように、書換指令を受信した回線を一旦切断し、車両制御装置側から回線を再接続して行うようにしている。この場合、書換指令の配信元の如何によらず確実に、適切な相手に問合せを行うことができるようになる。
【００１５】
ちなみに、こうした請求項１〜６に記載の車両制御装置、及び請求項２１〜２６に記載の車両制御装置のデータ書換システムにおける、上記書換指令が正当であるか否かの確認は、請求項７及び請求項２７に記載のように、前記書換指令の配信の履歴の有無によって行うことができる。また請求項１〜７に記載の車両制御装置、及び請求項２１〜２７に記載の車両制御装置のデータ書換システムにおける上記書換指令の受信及び上記問合せは、請求項８及び請求項２８に記載のように、携帯電話回線を通じて行うようにすることができる。
【００１６】
ところで上記車両制御装置では、上記問合せを通じて書換指令が正当であるか否かを確認することで、個々の車両毎に不正な書換指令に基づくデータ書換を禁止するようにしている。もっとも、不正な書換指令の配信が確認、又は予見された場合、無線通信ネットワーク経由のデータ書換を各車両で一斉に禁止させることが望まれる。こうした場合、各車両の車両制御装置に書換禁止指令を一斉に配信して、無線通信ネットワーク経由のデータ書換を各車両一斉に禁止させることになる。ところが、書換指令の配信用の回線に、不正な書換指令の配信が許容されるような不具合がある状況で、その回線を用いて書換禁止指令を配信しても、各車両の車両制御装置に書換禁止指令を確実に配信することができない可能性がある。
【００１７】
その点、請求項９に記載の車両制御装置では、請求項１〜８のいずれか１項に記載の車両制御装置にあって、前記書換指令の受信に使用した回線とは別の回線を通じて受信した書換禁止指令に基づいて、前記書換指令に基づくデータ書換を禁止することとしている。また請求項２９に記載の車両制御装置のデータ書換システムでは、請求項２１〜２８のいずれか１項に記載の車両制御装置のデータ書換システムにあって、前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を前記書換指令の配信に使用した回線とは別の回線を用いて前記車両制御装置に配信することとしている。こうした車両制御装置及びそのデータ書換システムでは、書換指令の配信用の回線に不具合がある場合にも、各車両の車両制御装置に確実に書換禁止指令を配信することができるようになる。そのため、不正に配信された書換指令に基く車両制御装置のデータ書換を的確に防止することができる。
【００１８】
ちなみに、請求項１０に記載の車両制御装置は、無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置であって、前記書換指令の受信に使用した回線とは別の回線を通じて受信した書換禁止指令に基づいて、前記書換指令に基づくデータ書換を禁止することとしている。また請求項３０に記載の車両制御装置のデータ書換システムは、無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにあって、前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を、前記書換指令の配信に使用する回線とは別の回線を用いて前記車両制御装置に配信することとしている。こうした車両制御装置及びそのデータ書換システムでも、書換指令の配信用の回線に不具合がある場合にも、各車両の車両制御装置に確実に書換禁止指令を配信することができ、不正に配信された書換指令に基く車両制御装置のデータ書換を的確に防止することができる。
【００１９】
なお、上述したように、一旦、不正な書換指令が配信されれば、その後も不正な書換指令が繰り返し配信される可能性があると考えられる。そこで請求項１１及び請求項３１に記載の発明では、請求項１０に記載の車両制御装置及び請求項３０に記載の車両制御装置のデータ書換システムにおいて、前記書換禁止指令の受信により、以後における前記書換指令の受付を禁止することとしている。また請求項１２に記載の車両制御装置では、無線通信ネットワークを通じて配信された書換指令に基づいて自身の記憶するデータの書き換えを実施する車両制御装置にあって、前記書換指令を受信する回線とは別の回線を通じて受信した書換禁止指令に基づいて、以後における前記書換指令の受付を禁止することとしている。更に請求項３２に記載の車両制御装置のデータ書換システムでは、無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにあって、以後における前記書換指令の受付を禁止させるための書換禁止指令を、前記書換指令の配信に使用する回線とは別の回線を用いて前記車両制御装置に配信することとしている。こうした車両制御装置及びそのデータ書換システムによれば、無線通信ネットワーク経由のデータ書換システムの安全性を十分保証できない状態でのデータ書換の実施を防止することができるようになる。
【００２０】
こうした請求項１０〜１２に記載の車両制御装置、及び請求項３０〜３２に記載の車両制御装置のデータ書換システムにおける上記書換指令の配信用の回線としては、請求項１３及び請求項３３に記載のように携帯電話回線を用いることができる。また請求項９〜１３に記載の車両制御装置、及び請求項２９〜３３に記載の車両制御装置のデータ書換システムにおける書換禁止指令の配信用の回線としては、請求項１４及び請求項３４に記載のようにＦＭ多重放送を用いたり、請求項１５及び請求項３５に記載のように光ビーコンによる路車間通信を用いたり、請求項１６及び請求項３６に記載のように電波ビーコンによる路車間通信を用いたり、することができる。
【００２１】
ところで、請求項３、１１及び１２に記載の車両制御装置、或いは請求項２３、３１及び３２に記載の車両制御装置のデータ書換システムのように、書換指令の受付を禁止する場合、システムの不具合が解消すれば、受付の禁止を解除して、無線通信ネットワーク経由の車両制御装置のデータ書換を再開することが望まれる。この場合、請求項１７及び請求項３７に記載のように、書換指令の受付禁止を、予め設定された期間が経過した時点で解除するようにしたり、請求項１８及び請求項３８に記載のように、書換指令の受付禁止を、復帰指令の受信に応じて解除するようにしたり、すると良い。また請求項１９及び請求項３９に記載のように、書換指令の受付禁止を、予め設定された期間が経過し、且つ復帰指令を受信したことを条件に解除するようにしても良い。
また、こうした受付禁止の解除を車両の所有者が行うようにすることもできる。この場合、請求項２０及び請求項４０に記載のように、書換指令の受付禁止を、車両での復帰操作により解除することで、車両の所有者が受付禁止を解除することができるようになる。
【発明の効果】
【００２２】
本発明の車両制御装置及びそのデータ書換システムによれば、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることができる。
【発明を実施するための最良の形態】
【００２３】
（第１の実施の形態）
以下、本発明の車両制御装置、及びそのデータ書換システムを具体化した第１の実施の形態を、図１〜図７を参照して詳細に説明する。本実施形態では、車両制御装置は、書換指令を受信すると、その指令が正当であるか否かの問い合せを行うようにしている。そしてその問合せの回答によって、書換指令が正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許可することで、換言すれば、書換指令が正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止することで、不正な書換指令の配信に応じて不正なデータ書換が実施されることを防止するようにしている。なお、ここでの車両制御装置の「データ書換」とは、車両制御装置に記憶された制御プログラム及び制御データの少くとも一方の書き換えを意味している。
【００２４】
図１に、本実施形態の車両制御装置のデータ書換システムの全体構成を示す。同図に示すように、このデータ書換システムは、書換取り纏め局１０を中核として構成されており、その傘下には、複数の書換実施局１１が置かれている。書換実施局１１は、地域毎に設けられており、書換取り纏め局１０から通知された書換指令を、携帯電話回線１２を通じて各車両１３へと配信する。これら書換取り纏め局１０及び書換実施局１１は、車両制御装置２０のデータ書換の指令や書換用データの配信に係る処理を行うコンピュータシステムとして構成されており、無線通信ネットワーク（ここでは携帯電話回線１２）を通じて各車両１３の車両制御装置２０と交信可能とされている。
【００２５】
車両１３には、車両制御装置２０として、エンジン及びその動力伝達系の制御を司るパワトレＥＣＵ２１や、車室内空調装置の制御を司るエアコンＥＣＵ２２、アンチロックブレーキシステム（ＡＢＳ）の制御を司るＡＢＳ  ＥＣＵ２３、車両１３の自己診断システムを制御する車載ダイアグマスタＥＣＵ２４などの複数のＥＣＵ（電子制御ユニット）が設けられている。これらのＥＣＵ２１〜２４は、車内ネットワーク２５を通じて相互に接続されている。また車内ネットワーク２５には、車両１３の走路案内を行うナビゲーション装置２６が接続されてもいる。なお車載ダイアグマスタＥＣＵ２４には、携帯電話回線１２に接続するための送受信器２７が設置されている。
【００２６】
本実施形態では、次のような状況を想定し、そうした状況における車両制御装置の不正なデータ書換の実施回避を図るものとなっている。すなわち、本実施形態では本来、書換取り纏め局１０の書換指令の発行に応じて書換実施局１１が車両１３（車両制御装置２０）に書換指令を配信することとなっているが、そうした書換実施局１１とは別の書換実施局１１ｆから書換指令が不正に配信される状況を想定している。以下では、車両１３に対する書換指令の配信を本来行うべき書換実施局１１を「正当な書換実施局」と記載し、上記別の書換実施局１１ｆを「不正な書換実施局」と記載する。本実施形態では、以下の態様で、正当な書換実施局１１以外からの不正な書換指令の配信に対して、その指令に基づく車両制御装置２０のデータ書換を実施しないようにしている。
【００２７】
図２は、正当な書換実施局１１を通じて正当な書換指令が配信されたときの処理態様を示している。このときの書換実施局１１は、書換取り纏め局１０から発行された書換指令に応じて、データ書換の対象となる車両１３の車両制御装置２０に、携帯電話回線１２を通じて書換指令を配信する。このとき、書換実施局１１は、書換指令を配信した車両１３について、書換指令を配信した旨の履歴（書換指令配信履歴）を記録する。
【００２８】
一方、車両制御装置２０は、書換指令を受け取ると、携帯電話回線１２を一旦切断した後、正当な書換実施局１１に再び携帯電話回線１２を継ぎ直す（コールバック）。そして車両制御装置２０は、正当な書換実施局１１に自身の車両コードを通知して、自身に対する書換指令配信履歴の有無を問合せる。この問合せは、車両制御装置２０に予め記憶された、正当な書換実施局１１の連絡先情報（電話番号）に基づき行われる。
【００２９】
書換実施局１１は、車両制御装置２０からの問合せにより、車両コードが通知されると、その車両コードに該当する車両１３に対する書換指令配信履歴を検索し、その履歴の有無を回答する。このときの書換実施局１１には、該当車両１３に対する書換指令配信履歴が残されており、車両１３の車両制御装置２０に対して「書換指令配信履歴有り」を回答することになる。
【００３０】
この回答により、車両制御装置２０は、先に受信した書換指令が正当であると判断して、車両制御装置２０のデータ書換を許可する「書換許可モード」に移行する。これにより、その後に書換実施局１１から送信された書換用データに基いて車両制御装置２０のデータ書換が実施されるようになる。
【００３１】
一方、図３は、上記不正な書換実施局１１ｆから不正な書換指令が配信されたときの処理態様を示している。この場合にも、車両制御装置２０は、書換指令を受け取ると、携帯電話回線１２を一旦切断した後、自身の記憶する連絡先情報に基いて正当な書換実施局１１にコールバックを行う。そして自身の車両コードを通知して、自身に対する書換指令配信履歴の有無を問合せる。なお、このときのコールバックは、車両制御装置２０に記憶された正当な書換実施局１１の連絡先情報に基いて行われるため、書換指令の配信元の如何に関らず、必ず正当な書換実施局１１に対して行われることになる。
【００３２】
このコールバックに対して、正当な書換実施局１１は、先と同様に、通知された車両コードに該当する車両１３の書換指令配信履歴を検索し、その履歴の有無を回答する。但し、このときの正当な書換実施局１１には、車両１３に対する書換指令配信履歴は残されていないため、「書換指令配信履歴無し」との回答が行われることになる。
【００３３】
この回答を受けた車両制御装置２０は、先に受信した書換指令が不正であると判断し、自身のデータ書換を禁止する「書換禁止モード」に移行する。これにより、たとえ以後に書換用データが配信されても、その配信されたデータに基づく車両制御装置２０のデータ書換は実施されないようになる。
【００３４】
このように本実施形態では、車両制御装置２０は、書換指令を受信すると、正当な書換実施局１１に対してその指令が正当であるか否かの問い合せを行うようにしている。そしてその問合せの回答によって、受信した書換指令が正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許可するようにしている。換言すれば、書換指令が正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止するようにしている。これにより本実施形態では、携帯電話回線１２を通じて不正な書換指令が配信された場合における、車両制御装置２０のデータ書換の不正実施を好適に回避することができるようになっている。
【００３５】
なお、不正な書換指令が配信されるような状態、すなわちデータ書換システムが正常に機能していない状態では、不正な書換指令の配信が再三繰り返される可能性があり、システムの正常復帰が確認されるまで、携帯電話回線１２を経由したリモート・リプログラムの実施は当面見合せることが望ましい。そこで本実施形態では、一旦、車両制御装置２０が書換禁止モードに移行すると、以後も、書換禁止モードをそのまま継続し、以後における書換指令の受付をすべて禁止するようにしている。そのため、書換禁止モードへの移行後に、新たに書換指令を受信しても、その受信した書換指令に基づく車両制御装置２０のデータ書換の実施は、その書換指令が正当であるか否かに関わらず、自動的に禁止されるようになっている。
【００３６】
続いてこうした本実施形態において書換実施局１１により実施される処理の詳細を説明する。図４は、書換取り纏め局１０からの書換指令の受信に応じて書換実施局１１の実施する「書換指令配信処理」の詳細を、図５は、車両制御装置２０からのコールバックに応じて書換実施局１１の実施する「回答処理」の詳細をそれぞれ示している。
【００３７】
＜書換指令配信処理＞
まず図４を参照して、書換実施局１１の実施する「書換指令配信処理」の詳細を説明する。書換取り纏め局１０から書換指令を受信して本処理が開始されると、書換実施局１１はまず、ステップＳ４０１において、データ書換の対象となる各車両１３の車両制御装置２０に、携帯電話回線１２を接続して、書換指令を配信する。そして書換実施局１１は、続くステップＳ４０２において、書換指令を配信した車両１３のそれぞれについて、書換指令配信履歴を記録して、本処理を終了する。
【００３８】
＜回答処理＞
続いて図５を参照して、書換実施局１１の実施する「回答処理」の詳細を説明する。書換指令を配信した車両１３からのコールバックを受けて本処理が開始されると、書換実施局１１はまず、ステップＳ５０１において、そのコールバックにて通知された車両コードに該当する車両１３の書換指令配信履歴を検査し、その有無を確認する。ここで該当車両１３の書換指令配信履歴が無ければ（Ｓ５０１：ＮＯ）、書換実施局１１はステップＳ５０５において、問合せを行なった車両１３に対して書換指令配信履歴無しを回答して、本処理を終了する。一方、該当車両１３の書換指令配信履歴が有れば（Ｓ５０１：ＹＥＳ）、書換実施局１１は、ステップＳ５０２において、問合せを行なった車両１３に対して、書換指令配信履歴有りを回答する。そして書換実施局１３は、続くステップＳ５０３において、書換用データをその車両１３に送信し、更に続くステップＳ５０４において、その車両１３の書換指令配信履歴をクリアして、本処理を終了する。
【００３９】
次に、本実施形態において車両制御装置２０によって実施される処理の詳細を説明する。図６は、書換指令の受信に応じて車両制御装置２０の実施する「問合処理」の詳細を、図７は、書換用データの受信に応じて車両制御装置２０の実施する「データ書換処理」の詳細を、それぞれ示している。
【００４０】
＜問合処理＞
まず図６を参照して、車両制御装置２０の実施する「問合処理」の詳細を説明する。書換指令を受信して本処理が開始されると、車両制御装置２０はまず、ステップＳ６０１において、自身が「書換初期モード」にあるか否かを確認する。「書換初期モード」とは、未だ上述の書換許可モード、及び書換禁止モードのいずれのモードにもなっていない状態を示すものであり、書換指令を初めて受信したときの車両制御装置２０は、この書換初期モードとされている。ここで、書換初期モードで無いことが確認されると（Ｓ６０１：ＮＯ）、車両制御装置２０はステップＳ６０７において自身を上記「書換禁止モード」に移行して本処理を終了する。一方、書換初期モードとなっていれば（Ｓ６０１：ＹＥＳ）、車両制御装置２０は、ステップＳ６０２において、先に書換指令を受信した携帯電話回線１２を一旦切断する。そして続くステップＳ６０３において、自身の記憶する連絡先情報に基き、正当な書換実施局１１に携帯電話回線１２を継ぎ直す（コールバック）。このときに車両制御装置２０は、正当な書換実施局１１に自身の車両コードを通知する。ここでコールバックを行うと、書換実施局１１は上述の回答処理を実施して、コールバックを行なった車両１３に対する書換指令配信履歴の有無を回答することになる。車両制御装置２０は、ステップＳ６０４において、この回答を受信する。そして車両制御装置２０は、書換指令配信履歴有りが回答されたのであれば（Ｓ６０５：ＹＥＳ）、ステップＳ６０６にて自身を「書換許可モード」に移行し、そうでなければ（Ｓ６０５：ＮＯ）、ステップＳ６０７にて自身を「書換禁止モード」に移行して、本処理を終了する。
【００４１】
＜データ書換処理＞
続いて図７を参照して、車両制御装置２０の実施する「データ書換処理」の詳細を説明する。書換用データが受信されて本処理が開始されると、車両制御装置２０はまず、ステップＳ７０１において、自身が「書換許可モード」にあるか否かを確認する。ここで「書換許可モード」でない（Ｓ７０１：ＮＯ）とすれば、書換禁止モードに移行済みであるか、書換指令配信履歴の問合せに対する回答をせぬまま、書換用データを配信したか、のいずれかであり、いずれにせよ、正当な手順を経ないで書換用データが配信されたものと考えられる。そこでこのときの車両制御装置２０は、既に書換禁止モードとなっていればそのまま、なっていなければ、ステップＳ７０４において書換禁止モードに移行して、本処理を終了する。一方、「書換許可モード」となっていれば（Ｓ７０１：ＹＥＳ）、車両制御装置２０はステップＳ７０２において、配信された書換用データに基づき、自身のデータ書換を実施する。そして車両制御装置２０は、ステップＳ７０３において、自身を「書換初期モード」に移行させた後、本処理を終了する。
【００４２】
以上説明した本実施形態の車両制御装置２０及びそのデータ書換システムによれば、以下の効果を奏することができる。
（１）本実施形態では、書換指令を受信すると、その指令が正当であるか否かを車両制御装置２０の側から問合せ、正当であると確認されない限り、その指令に基くデータ書換の実施を許可しないようにしている。すなわち、書換指令が正当でないと確認されたときには、その指令に基くデータ書換の実施を禁止するようにしている。そのため、不正な書換指令の配信に対して、その不正な書換指令に基づく不正なデータ書換の実施を好適に防止することができる。
【００４３】
（２）本実施形態では、書換指令の受信に応じて車両制御装置２０は、書換指令を各車両１３に配信する書換実施局１１に対して問合せを行うようにしている。そして書換実施局１１が、該当車両１３に対する書換指令配信履歴の有無を回答することで、受信した書換指令が正当であるか否かを確認するようにしている。そのため、書換指令の正当性の確認を、容易且つ的確に行うことができる。
【００４４】
（３）本実施形態では、その書換指令を受信した回線を一旦切断した後、改めて回線を継ぎ直して上記問合せを行うため、書換指令の送信元の如何に関わらず、適切な相手に問合せを行うことができる。
【００４５】
（４）本実施形態では、車両制御装置２０は、受信した書換指令が正当でないことが確認されると、以後における書換指令の受け付け、すなわち書換指令の受信に応じた自身のデータ書換の実施に係る処理を禁止するようにしている。そのため、データ書換システムの安全性を十分保証できない状態では、同システムを通じた車両制御装置２０のデータ書換の実施を禁止することができるようになる。
【００４６】
（第２の実施の形態）
次に本発明の車両制御装置及びそのデータ書換システムを具体化した第２の実施の形態を、上記実施形態と異なる点を中心に説明する。なお以下の説明において、上記実施形態のものと同様の構成及び機能を備える部材については、同一の符号を付してその説明を省略する。
【００４７】
第１の実施の形態では、車両制御装置２０は、受信した書換指令が正当であるか否かの問合せを、書換指令を配信する正当な書換実施局１１に対して行うようにしていた。こうした場合、書換実施局１１が正常に機能していることを前提に、不正な書換指令に基づいて不正なデータ書換が実施されることを回避することができる。
【００４８】
一方、不正な書換指令が配信されてしまう状況としては、書換実施局１１の故障により、書換取り纏め局１０が書換指令を発行していないにも拘らず、書換実施局１１が勝手に書換指令を配信してしまうという状況も考えられる。この場合、故障中の書換実施局１１に上記問合せを行なっても、適切な回答が得られず、不正なデータ書換が実施されてしまう虞がある。すなわち、このときには、書換実施局１１は、書換取り纏め局１０からの指令に基かない不正なものとはいえ、書換指令を配信してはいるため、書換実施局１１には、書換指令配信履歴が残されている可能性がある。そしてこの場合には、車両制御装置２０からの問合せに対して、書換指令配信履歴有りとの回答がなされ、車両制御装置２０は、受信した書換指令が正当であると誤判断してしまう虞がある。
【００４９】
そこで本実施形態では、車両制御装置２０は、受信した書換指令の正当性の確認のための問合せを、書換取り纏め局１０に対して行うようにしている。上述のような状況では、書換実施局１１に書換指令を配信したという履歴が残されていても、書換取り纏め局１０には、書換指令を発行したという履歴は残っていない。そのため、書換取り纏め局１０に書換指令発行履歴の有無を問合せれば、書換実施局１１が正常に機能せずに誤って書換指令を配信した場合にも、書換指令の正当性を適正に確認することができる。
【００５０】
図８は、こうした本実施形態において、書換指令の配信が正当に行われた場合の処理態様を示している。
同図に示すように書換取り纏め局１０は、書換実施局１１に書換指令を発行すると、データ書換の対象とする車両１３のそれぞれについて、書換指令を発行した旨の履歴（書換指令発行履歴）を記録する。書換取り纏め局１０の発行した書換指令を受信した書換実施局１１は、データ書換の対象となる各車両１３の車両制御装置２０に、携帯電話回線１２を通じて書換指令を配信するとともに、書換指令を配信した車両１３のそれぞれについて、書換指令を配信した旨の履歴（書換指令配信履歴）を記録する。
【００５１】
ここで本実施形態では、書換実施局１１から書換指令を受信した車両制御装置２０は、一旦、携帯電話回線１２を切断した後、書換取り纏め局１０に回線を継ぎ直して（コールバック）、自身の車両コードを通知して、自車に対する書換指令発行履歴の有無を問合せる。この問合せに対して書換取り纏め局１０は、通知された車両コードに該当する車両１３の書換指令発行履歴を検索し、問合せを行なった車両制御装置２０に対してその有無を回答する。このときの書換取り纏め局１０の回答は、「書換指令発行履歴有り」となる。こうした「書換指令発行履歴有り」との回答により、車両制御装置２０は、先に受信した書換指令が正当であると判断して、自身を上述の「書換許可モード」に移行する。
【００５２】
車両制御装置２０は、「書換許可モード」に移行すると、書換取り纏め局１０との携帯電話回線１２の接続を切断し、今度は書換実施局１１に回線を継ぎ直す。そして車両制御装置２０は、書換実施局１１に、自身の車両コードを通知して書換用データの送信を要求する。これに対して書換実施局１０は、通知した車両コードに該当する車両１３の書換指令配信履歴の有無を検索し、書換指令配信履歴が有れば、書換用データを送信する。このときの車両制御装置２０は、上記のように「書換許可モード」に移行しており、こうして送信された書換用データに基いて自身のデータ書換を実施する。
【００５３】
一方、図９は、誤動作や故障のために書換実施局１１が、書換取り纏め局１０からの書換指令の発行に因らずして、誤って書換指令を配信してしまったときの処理態様を示している。
【００５４】
同図に示すように、この場合にも車両制御装置２０は、携帯電話回線１２経由で書換実施局１１から書換指令を受信すると、その携帯電話回線１２を一旦切断した後、改めて回線を書換取り纏め局１０に継ぎ直す。そして、車両制御装置２０は、書換取り纏め局１０に対して、自身の車両コードを通知して、自身に対する書換指令発行履歴の有無を問合せる。
【００５５】
このときの書換取り纏め局１０には、通知された車両コードに該当する車両１３の書換指令発行履歴は残されていないため、車両制御装置２０には「書換指令発行履歴無し」が回答される。車両制御装置２０は、この「書換指令発行履歴無し」の回答を受け、先に受信した書換指令が不正であると判断し、自身を上述の「書換禁止モード」に移行して、誤って配信された書換指令に基づく不正なデータ書換の実施を回避する。
【００５６】
次に、こうした本実施形態において、書換取り纏め局１０の実施する処理の詳細を説明する。図１０は、書換指令の発行時に書換取り纏め局１０の実施する「書換指令発行処理」の詳細を、図１１は、同じく書換取り纏め局１０が、車両制御装置２０からの問合せに対して実施する「回答処理」の詳細を、それぞれ示している。
【００５７】
＜書換指令発行処理＞
まず図１０を参照して、書換取り纏め局１０の実施する「書換指令発行処理」の詳細を説明する。本処理が開始されると、書換取り纏め局１０はまず、ステップＳ１００１において、書換実施局１１に対し、データ書換の対象となる車両１３を指定した上で書換指令を発行する。そして書換取り纏め局１０は、続くステップＳ１００２において、データ書換の対象となる車両１３のそれぞれについて、書換指令発行履歴を記録して、本処理を終了する。
【００５８】
＜回答処理＞
次に図１１を参照して、本実施形態においては書換取り纏め局１０が実施する「回答処理」の詳細を説明する。車両制御装置２０からの問合せを受けて本処理が開始されると、書換取り纏め局１０はまず、ステップＳ１１０１において、受信した車両コードに該当する車両１３に対する書換指令発行履歴を検索し、その有無を確認する。ここで該当車両１３の書換指令発行履歴が有れば（Ｓ１１０１：ＹＥＳ）、書換取り纏め局１０は、ステップＳ１１０２において、車両制御装置２０に対して「書換指令発行履歴有り」を回答し、更にステップＳ１１０３において、該当車両１３についての書換指令発行履歴をクリアして本処理を終了する。一方、該当車両１３の書換指令発行履歴が無ければ（Ｓ１１０１：ＮＯ）、書換取り纏め局１０は、ステップＳ１１０４において、車両制御装置２０に対して「書換指令発行履歴無し」を回答して本処理を終了する。
【００５９】
続いて、書換実施局１１の実施する処理の詳細を説明する。図１２は、車両制御装置２０からの書換用データの送信要求に対して書換実施局１１の実施する「書換用データ送信処理」の詳細を示している。なお本実施形態においても、書換実施局１１は、書換取り纏め局１０からの書換指令の受信に応じ、上述の「書換指令配信処理」（図４）を実施する。
【００６０】
＜書換用データ送信処理＞
ここで図１２を参照して、書換実施局１１の実施する「書換用データ送信処理」の詳細を説明する。車両制御装置２０からの書換用データの送信要求が行われて本処理が開始されると、書換実施局１１はまずステップＳ１２０１において、送信要求時に通知された車両コードに該当する車両１３についての書換指令配信履歴を検索し、その有無を確認する。ここで該当車両１３の書換指令配信履歴が有れば（Ｓ１２０１：ＹＥＳ）、書換実施局１１は、ステップＳ１２０２において車両制御装置２０に書換用データを送信し、続くステップＳ１２０３において該当車両１３の書換指令配信履歴をクリアして本処理を終了する。一方、該当車両１３の書換指令配信履歴が無ければ（Ｓ１２０１：ＮＯ）、書換実施局１１は、そのまま本処理を終了する。
【００６１】
最後に、車両制御装置２０により行われる処理の詳細を説明する。図１３は、書換指令の受信に応じて車両制御装置２０の実施する「問合処理」の詳細を、図１４は、同じく車両制御装置２０が、書換取り纏め局１０から問合せに対する回答を受け取ったときに実施する「書換モード設定処理」の詳細を、それぞれ示している。なお本実施形態においても車両制御装置２０は、書換実施局１１から書換用データを受信したときに、上述の「データ書換処理」（図７）を実施する。
【００６２】
＜問合処理＞
まず図１３を参照して、本実施形態における「問合処理」の詳細を説明する。書換指令を受信して本処理が開始されると、車両制御装置２０はまず、ステップＳ１３０１において、自身が上述の「書換初期モード」にあるか否かを確認する。ここで、書換初期モードで無いことが確認されると（Ｓ１３０１：ＮＯ）、車両制御装置２０はステップＳ１３０４にて自身を「書換禁止モード」に移行して本処理を終了する。一方、書換初期モードとなっていれば（Ｓ１３０１：ＹＥＳ）、車両制御装置２０は、ステップＳ１３０２において、先に書換指令を受信した携帯電話回線１２を一旦切断する。そして続くステップＳ１３０３において、自身の記憶する連絡先情報に基き、書換取り纏め局１０に携帯電話回線１２を継ぎ直し（コールバック）、自身の車両コードを通知する。
【００６３】
＜書換モード設定処理＞
次に図１４を参照して、車両制御装置２０の実施する「書換モード設定処理」の詳細を説明する。上記「問合処理」（図１３）を実施すると、書換取り纏め局１０において「回答処理」（図１１）が実施され、自車に対する書換指令発行履歴の有無が回答される。本処理は、この回答の受信に応じて実施される。
【００６４】
さて本処理が開始されると、車両制御装置２０はまずステップＳ１４０２において、先に書換取り纏め局１０から受信の回答が「書換指令発行履歴有り」であったか否かを確認する。ここで「書換履歴発行履歴無し」との回答を受け取っていた場合には（Ｓ１４０２：ＮＯ）、車両制御装置２０は、先に受信した書換指令が不正であると判断して、ステップＳ１４０３において自身を「書換禁止モード」に移行して本処理を終了する。
【００６５】
一方、「書換履歴発行履歴有り」との回答を受け取っていた場合には（Ｓ１４０２：ＹＥＳ）、車両制御装置２０は、書換指令が正当であると判断して、ステップＳ１４０４において自身を上述の「書換許可モード」に移行する。そして車両制御装置２０は、ステップＳ１４０５において、書換取り纏め局１０に継がれた携帯電話回線１２を切断し、続くステップＳ１４０６において、書換実施局１１に回線を継ぎ直して、自身の車両コードを通知することで書換用データの送信を要求する。データを受信した以降は、第１実施形態における図７にて説明したデータ書換処理と同等の処理を実施することとなる。
【００６６】
以上説明した本実施形態の車両制御装置及びそのデータ書換システムによれば、上記（１）〜（４）に記載の効果に加え、更に以下の効果を奏することができる。
（５）本実施形態では、車両制御装置２０は、受信した書換指令が正当であるか否かの問合せを書換取り纏め局１０に対して行うようにしている。そのため、書換実施局１１が誤動作や故障によって書換指令を誤って配信した場合にも、その誤った指令に基く不正なデータ書換が実施されないようにすることができる。
【００６７】
以上説明した第１及び第２の実施の形態は、次のように変更して実施することもできる。
・上記実施形態では、受信した書換指令が不正であることが一旦確認されると、以後における書換指令の受付、すなわち書換指令に基くデータ書換の実施を一切禁止するようにしていた。不正な書換指令が配信されるような状況では、データ書換システムに深刻な不具合が発生しており、不正な書換指令が以後も再三に渡り配信される可能性があるため、こうして以後の書換指令の受付けを禁止する対応は有効である。もっとも、再三に渡り、不正な書換指令が配信されたとしても、書換指令を受信する毎にその正当性を確認すれば、不正なデータ書換の実施は回避することができる。よって書換禁止モードを、一度の書換指令及び書換用データの配信に限り有効とし、その都度、解除する（書換初期モードに復帰する）ようにしてもよい。その場合、図６の問合処理において、その実施時に車両制御装置２０が書換許可モードにあるか否かに関わらず、同処理の実施後は、書換初期モードに移行する構成とすることになる。より具体的には、書換指令を受信したことで起動するこの問合処理の最初のステップＳ６０１にて、モードの判断を行うのではなく、モードを書換初期モードに設定して、図６に示されるステップＳ６０２以降の処理を実行するようにすれば良い。第２実施形態においては、図１３に示すステップＳ１３０１の判断処理を上述の「書換初期モードに設定する」処理へと変更すれば良い。
【００６８】
・上記実施形態では、書換指令や書換用データの配信、及び受信した書換指令の正当性の確認のための問合せを、携帯電話回線１２を使用して行うようにしていたが、こうした配信や問合せをそれ以外の無線通信ネットワークを使用して行うようにしても良い。
【００６９】
（第３の実施の形態）
次に本発明の車両制御装置及びそのデータ書換システムを具体化した第３の実施の形態を、上記実施形態と異なる点を中心に説明する。なお以下の説明において、上記実施形態のものと同様の構成及び機能を備える部材については、同一の符号を付してその説明を省略する。
【００７０】
第１及び第２の実施形態では、書換指令が不正配信されたときに、個々の車両１３において書換指令が不正であることを確認し、その不正な書換指令に基くデータ書換の実施を回避するようにしていた。これに対して本実施形態では、書換指令の不正配信を察知したときに、すべての車両１３のデータ書換の実施を一括して禁止させる仕組みを提案する。すなわち、本実施形態では、書換指令の不正配信が実際に確認されたときや、書換指令が不正配信される可能性が認められたときに、書換取り纏め局１０から各車両１３の車両制御装置２０に、データ書換禁止の指令を一斉に配信するようにしている。ただし、書換指令が不正配信されるような状況下では、書換指令の配信に使用する回線はその安全性を保証できない状態にあり、データ書換禁止の指令をすべての車両１３へと確実に通知することができない虞がある。そこで本実施形態では、こうした場合の書換禁止指令の配信を、書換指令の配信に使用する回線とは別の回線を用いて行うようにしている。
【００７１】
図１５に、こうした本実施形態の車両制御装置のデータ書換システムの全体構成を示す。同図に示すように、データ書換システムは、書換取り纏め局１０を中核に、その傘下に置かれた複数の書換実施局１１を有してなっている。そして上記実施形態と同様に、書換取り纏め局１０から発行された書換指令に基いて、書換実施局１１が、携帯電話回線１２を通じて各車両１３の車両制御装置２０に書換指令を配信するように構成されている。
【００７２】
本実施形態では、書換取り纏め局１０は、ＦＭ多重放送を行なうＦＭ放送局３０、道路沿いに設置された光ビーコンや電波ビーコンを通じて道路交通情報を配信する路車間通信局３１を通じて、各車両１３の車両制御装置２０に上述の書換禁止指令を一斉配信するように構成されている。各車両１３のナビゲーション装置２６には、上記ＦＭ放送局３０からのＦＭ多重放送３０Ａや、路車間通信局３１の光／電波ビーコンからの光／電波通信３１Ａを受信するための受信器２６Ａが設置されている。
【００７３】
図１６は、本実施形態のデータ書換システムにおける上記書換禁止指令の配信に係る処理態様を示している。データ書換システムに故障などの不具合の発生が確認されると、書換取り纏め局１０は、ＦＭ放送局３０及び路車間通信局３１に「不具合発生」を通知する。ＦＭ放送局３０及び路車間通信局３１は、この通知を受けると、ＦＭ多重放送３０Ａや光／電波通信３１Ａを通じて各車両１３の車両制御装置２０に書換禁止指令を配信する。各車両１３の車両制御装置２０は、書換禁止指令を受信すると、書換禁止指令を受信した旨の履歴（書換禁止指令受信履歴）を記録する。車両制御装置２０は、こうした書換禁止指令受信履歴が記録された状態で、書換実施局１１から書換指令を受信すると、自身を上述の「書換禁止モード」に移行させることで、その受信した書換指令に基くデータ書換の実施を禁止する。
【００７４】
図１７は、こうした本実施形態において、書換指令の受信に応じて車両制御装置２０の実施する「書換モード設定処理」の詳細を示している。同図に示すように、書換指令を受信して本処理を開始すると、車両制御装置２０はまず、ステップＳ１７０１において、自身が上述の「書換初期モード」にあるか否かを確認する。ここで「書換初期モード」にない場合には（Ｓ１７０１：ＮＯ）、車両制御装置２０は、ステップＳ１７０４にて自身を「書換禁止モード」に移行して本処理を終了する。
【００７５】
「書換初期モード」となっているときには（Ｓ１７０１：ＹＥＳ）、車両制御装置２０はステップＳ１７０２において、書換禁止指令の受信履歴の有無を確認する。ここで、車両制御装置２０が以前にＦＭ放送局３０や路車間通信局３１から書換禁止指令を受信しており、その履歴が残されていれば（Ｓ１７０２：ＹＥＳ）、車両制御装置２０は、ステップＳ１７０４において自身を「書換禁止モード」に移行して、本処理を終了する。これに対して、書換禁止指令の受信履歴が記録されていないときには（Ｓ１７０２：ＮＯ）、車両制御装置２０は、ステップＳ１７０３において、自身を「書換許可モード」に移行して、本処理を終了する。
【００７６】
なお、車両制御装置２０は、こうした書換モード設定処理の実施後、書換用データを受信すると、上述の「データ書換処理」（図７参照）を実施して、書換用データの受信時に自身が書換許可モードとなっていることを条件にデータ書換を実施する。そしてデータ書換を実施すると、車両制御装置２０は、書換初期モードに移行する。
【００７７】
以上説明した本実施形態によれば、以下の効果を奏することができる。
（６）本実施形態では、書換指令の配信に使用する回線（携帯電話回線１２）とは別の回線（ＦＭ多重放送３０Ａ、路車間通信システムの光／電波通信３１Ａ）を用いて書換禁止指令を各車両１３の車両制御装置２０に配信し、データ書換の実施を禁止させるようにしている。そのため、書換指令の配信に使用する回線にたとえ問題があったとしても、車両制御装置２０のデータ書換を禁止させることが可能となる。
【００７８】
本実施の形態は、次のように変更して実施することもできる。
・上記実施形態では、書換指令の配信用の回線として携帯電話回線１２を使用し、書換禁止指令の配信用の回線としてＦＭ多重放送３０Ａ及び路車間通信システムの光／電波通信３１Ａを使用するようにしていたが、両指令の配信に使用する回線の組み合わせは、これに限らず、適宜変更しても良い。要は、書換指令の配信に使用する回線と、書換禁止指令に使用する回線とを別のものとしておけば、書換指令配信用の回線に不具合があっても、書換禁止指令を配信可能とすることができる。
【００７９】
（その他の実施の形態）
＜書換禁止モードからの復帰＞
上記実施形態では、車両制御装置２０は、書換取り纏め局１０や書換実施局１１への問合せにより、受信した書換指令が不正であることが確認されたときや、書換禁止指令を受信したときに、自身を「書換禁止モード」に移行して、以後に書換用データを受信しても、データ書換を実施しないようにしていた。もっとも、書換禁止モードのままでは、以降、データ書換は一切実施できないことになるため、適切な時期に書換禁止モードからの復帰を行う必要がある。ここでは、そうした書換禁止モードからの復帰の条件として、以下の条件（イ）、（ロ）を提示する。なお、復帰の条件として下記（イ）、（ロ）のいずれかを採用する以外にも、下記（イ）及び（ロ）のいずれか一方の成立を復帰の条件としたり、下記（イ）及び（ロ）の双方の成立を復帰の条件としたりすることもできる。
【００８０】
（イ）書換禁止モードの移行から、予め設定された一定の期間（禁止モード維持期間）が経過すること。
（ロ）書換取り纏め局１０などから復帰指令を受信すること。
図１８は、上記（イ）を復帰条件としたときの、書換禁止モードからの復帰に係る処理（復帰処理）の態様を示している。本処理は、定時割込み処理として車両制御装置２０によって周期的に実施されるものとなっている。
【００８１】
本処理が開始されると、車両制御装置２０はまずステップＳ１８０１において、自身が現在「書換禁止モード」にあるか否かを確認する。ここで「書換禁止モード」になければ（Ｓ１８０１：ＮＯ）、本処理はそのまま終了される。一方、「書換禁止モード」となっていれば（Ｓ１８０１：ＹＥＳ）、車両制御装置２０は、ステップＳ１８０２において、書換禁止モードへの移行からの経過時間を参照し、同経過時間が、予め設定された書換禁止モードの維持期間を超過しているか否かを確認する。そして経過時間が上記維持期間を超過しているのであれば（Ｓ１８０２：ＹＥＳ）、車両制御装置２０はステップＳ１８０２において、自身を「書換初期モード」に復帰させる。
【００８２】
この場合、上記禁止モード維持期間として、データ書換システムを不具合から復旧させるために十分な期間（例えば１週間）に設定しておくことで、システムの不具合が解消されてから、データ書換の実施を許容させることができる。
【００８３】
図１９は、上記（ロ）を復帰条件としたときの、データ書換システムの処理態様の一例を示している。この場合も、データ書換システムに、書換指令の不正配信を許容するような不具合が発生すると、書換取り纏め局１０からＦＭ放送局３０や路車間通信局３１に「不具合発生」が通知され、ＦＭ多重放送３０Ａや路車間通信システムの光／電波通信３１Ａを通じて各車両１３の車両制御装置２０に書換禁止指令が配信される。そして車両制御装置２０は、書換実施局１１からの書換指令を受信すると、自身を「書換禁止モード」に移行させる。
【００８４】
こうして設定された書換禁止モードからの復帰は、例えば以下の態様で行われる。すなわち、システムの不具合の解消が確認されると、書換取り纏め局１０は、その旨を書換実施局１１に通知する。この通知により、書換実施局１１は、携帯電話回線１２を通じて各車両１３の車両制御装置２０に書換禁止モードからの復帰指令を配信する。そして車両制御装置２０は、こうした復帰指令の受信に応じて、自身を「書換初期モード」に移行させる。なお、このときには、システムの不具合は解消されており、こうした復帰指令の配信には、上記のように携帯電話回線１２を使用することが可能となっている。勿論、ＦＭ多重放送３０Ａや路車間通信システムの光／電波通信３１Ａなどの他の回線を使用して、復帰指令を配信することも可能である。
【００８５】
図２０は、上記条件（イ）及び（ロ）の双方の成立を、復帰条件としたときの、復帰処理のフローチャートを示している。本処理は、定時割込み処理として車両制御装置２０によって周期的に実施される。本処理が開始されると、車両制御装置２０はまずステップＳ２００１において、自身が現在「書換禁止モード」にあるか否かを確認する。そして書換禁止モードとなっていれば（Ｓ２００１：ＹＥＳ）、ステップＳ２００２において、書換禁止モードへの移行からの経過時間が、上述の維持期間を超過しているか否かを確認する。ここで維持期間の超過が確認されると（Ｓ２００２：ＹＥＳ）、車両制御装置２０は、上記復帰指令の受信履歴の有無を確認する。そして車両制御装置２０は、復帰指令の受信履歴が記録されていることをもって（Ｓ２００３：ＹＥＳ）、ステップＳ２００４にて自身を書換初期モードに移行する。
【００８６】
なお、こうした受付禁止の解除は、車両１３の所有者が手動で行わせるようにすることもできる。この場合、不具合が解消されると、データ書換システムの管理者から各車両１３の所有者に対して、受付禁止の解除操作を要請する連絡を行い、その連絡により、各車両１３の所有者が指定の操作を行って、書換指令の受付禁止を解除することになる。
【図面の簡単な説明】
【００８７】
【図１】本発明の第１実施形態についてそのデータ書換システムの全体構成を模式的に示すブロック図。
【図２】同実施形態において正当に書換指令が配信されたときの処理態様を示すフローチャート。
【図３】同実施形態において不正に書換指令が配信されたときの処理態様を示すフローチャート。
【図４】同実施形態において書換実施局の行う書換指令配信処理のフローチャート。
【図５】同実施形態において書換実施局の行う回答処理のフローチャート。
【図６】同実施形態において車両制御装置の行う問合処理のフローチャート。
【図７】同実施形態において車両制御装置の行うデータ書換処理のフローチャート。
【図８】本発明の第２実施形態について正当に書換指令が配信されたときの処理態様を示すフローチャート。
【図９】同実施形態において不正に書換指令が配信されたときの処理態様を示すフローチャート。
【図１０】同実施形態において書換取り纏め局の行う書換指令発行処理のフローチャート。
【図１１】同実施形態において書換取り纏め局の行う回答処理のフローチャート。
【図１２】同実施形態において書換実施局の行う書換用データ送信処理のフローチャート。
【図１３】同実施形態において車両制御装置の行う問合処理のフローチャート。
【図１４】同実施形態において車両制御装置の行う書換モード設定処理のフローチャート。
【図１５】本発明の第３実施形態についてその全体構成を模式的に示すブロック図。
【図１６】同実施形態における書換禁止指令の配信に係る処理態様を示すフローチャート。
【図１７】同実施形態において車両制御装置の行う書換モード設定処理のフローチャート。
【図１８】本発明の他の実施形態において車両制御装置の行う復帰処理のフローチャート。
【図１９】上記復帰処理の他の実施態様を採用するデータ書換システムについてその復帰処理の態様を示すフローチャート。
【図２０】上記復帰処理の更に別の実施態様について車両制御装置の行う処理の手順を示すフローチャート。
【符号の説明】
【００８８】
１０…書換取り纏め局、１１…（正当な）書換実施局、１１ｆ…不正な書換実施局、１２…携帯電話回線、１３…車両、２０…車両制御装置、２１…パワトレＥＣＵ、２２…エアコンＥＣＵ、２３…ＡＢＳ  ＥＣＵ、２４…車載ダイアグマスタＥＣＵ、２５…車内ネットワーク、２６…ナビゲーション装置、２６Ａ…受信器、２７…送受信器、３０…ＦＭ放送局、３０Ａ…ＦＭ多重放送、３１…路車間通信局、３１Ａ…光／電波通信（光ビーコンによる路車間通信／電波ビーコンによる路車間通信）。
【図１】
2008276663.tif 000003
【図２】
2008276663.tif 000004
【図３】
2008276663.tif 000005
【図４】
2008276663.tif 000006
【図５】
2008276663.tif 000007
【図６】
2008276663.tif 000008
【図７】
2008276663.tif 000009
【図８】
2008276663.tif 000010
【図９】
2008276663.tif 000011
【図１０】
2008276663.tif 000012
【図１１】
2008276663.tif 000013
【図１２】
2008276663.tif 000014
【図１３】
2008276663.tif 000015
【図１４】
2008276663.tif 000016
【図１５】
2008276663.tif 000017
【図１６】
2008276663.tif 000018
【図１７】
2008276663.tif 000019
【図１８】
2008276663.tif 000020
【図１９】
2008276663.tif 000021
【図２０】
2008276663.tif 000022