(57)【特許請求の範囲】
【請求項１】
電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続される車載ネットワークシステム（１）であって、
前記外部ツールは、前記ゲートウェイ制御装置を介した前記電子制御装置との通信に基づいて前記電子制御装置のプログラムデータの書き換えを行い、
前記ゲートウェイ制御装置は、前記電子制御装置の前記プログラムデータの書き換えの際に前記外部ツールと前記電子制御装置との間で通信される特定の信号の中継に基づいて、前記プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行し、
前記電子制御装置は、
前記プログラムデータの書き換えに先立ち、前記外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件に前記プログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、
前記外部ツールとの通信に基づいて前記セキュリティを解除した際に、その旨を示すセキュリティ解除信号を前記外部ツールに前記ゲートウェイ制御装置を介して送信するものであり、
前記外部ツールは、
前記電子制御装置から送信される前記セキュリティ解除信号を受信した際に、前記書き換え許可状態への移行を要求する移行要求信号を前記電子制御装置に前記ゲートウェイ制御装置を介して送信するものであり、
前記特定の信号は、
前記セキュリティ解除信号であることを特徴とする車載ネットワークシステム。
【請求項２】
電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続される車載ネットワークシステム（１）であって、
前記外部ツールは、前記ゲートウェイ制御装置を介した前記電子制御装置との通信に基づいて前記電子制御装置のプログラムデータの書き換えを行い、
前記ゲートウェイ制御装置は、前記電子制御装置の前記プログラムデータの書き換えの際に前記外部ツールと前記電子制御装置との間で通信される特定の信号の中継に基づいて、前記プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行し、
前記電子制御装置は、
前記プログラムデータの書き換えに先立ち、前記外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件に前記プログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、
前記外部ツールとの通信に基づいて前記セキュリティを解除した際に、その旨を示すセキュリティ解除信号を前記外部ツールに前記ゲートウェイ制御装置を介して送信するものであり、
前記外部ツールは、
前記電子制御装置から送信される前記セキュリティ解除信号を受信した際に、前記書き換え許可状態への移行を要求する移行要求信号を前記電子制御装置に前記ゲートウェイ制御装置を介して送信するものであり、
前記特定の信号は、前記移行要求信号であることを特徴とする車載ネットワークシステム。
【請求項３】
前記ゲートウェイ制御装置は、前記外部ツールと前記電子制御装置との間で通信される予め定められた特定の複数の信号を中継することに基づいて前記書き換え専用状態に移行することを特徴とする請求項１又は２に記載の車載ネットワークシステム。
【請求項４】
前記ゲートウェイ制御装置は、前記複数の信号を予め定められた順序で中継することに基づいて前記書き換え専用状態に移行することを特徴とする請求項３に記載の車載ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載ネットワークシステムに関する。
【背景技術】
【０００２】
従来、特許文献１に記載の車載ネットワークシステムがある。特許文献１に記載の車載ネットワークシステムは、各種電子制御装置（ＥＣＵ： Electronic Control Unit）が接続される複数のネットワークと、複数のネットワーク間の通信を中継するゲートウェイ制御装置とを備えている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５３７５９０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、ＥＣＵは、一般に、ＲＯＭ（Read Only Memory）に記憶されたプログラムデータに基づいて各種制御を行う。ＲＯＭに格納されたプログラムデータは、例えばバージョンアップや機能追加等のために、書き換えが必要な場合がある。ＲＯＭの書き換えは、例えば車両の外部からゲートウェイ制御装置を介して外部ツールを接続し、当該外部ツールによりＲＯＭに記憶されたプログラムデータを書き換えることで行われる。
【０００５】
ここで、ゲートウェイ制御装置には、ＲＯＭの書き換えが行われるＥＣＵ以外にも様々なＥＣＵが接続されている。以下では、便宜上、ＲＯＭの書き換えが行われるＥＣＵを「書き換え対象ＥＣＵ」と称し、それ以外のＥＣＵを「書き換え対象外ＥＣＵ」と称する。外部ツールから送信されるプログラムデータをゲートウェイ制御装置を介して書き換え対象ＥＣＵに送信している間、ゲートウェイ制御装置が書き換え対象外ＥＣＵの通信を中継すると、ゲートウェイ制御装置と書き換え対象ＥＣＵとの間の通信速度が低下し、プログラムデータの書き換え完了時間が遅延するおそれがある。
【０００６】
また、ゲートウェイ制御装置が通信の中継処理以外に所定の車両制御を併せて実行するものである場合、その制御処理の実行分だけゲートウェイ制御装置の中継処理が遅延する。これに起因してゲートウェイ制御装置と書き換え対象ＥＣＵとの間の通信速度が低下すると、同様にプログラムデータの書き換え完了時間が遅延するおそれがある。
【０００７】
本発明は、こうした実情に鑑みてなされたものであり、その目的は、ゲートウェイ制御装置に接続された電子制御装置のプログラムデータの書き換え速度を向上させることのできる車載ネットワークシステムを提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決する車載ネットワークシステム（１）では、電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続されている。外部ツールは、ゲートウェイ制御装置を介した電子制御装置との通信に基づいて電子制御装置のプログラムデータの書き換えを行う。ゲートウェイ制御装置は、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信される特定の信号の中継に基づいて、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行する。電子制御装置は、プログラムデータの書き換えに先立ち、外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件にプログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、外部ツールとの通信に基づいてセキュリティを解除した際に、その旨を示すセキュリティ解除信号を外部ツールにゲートウェイ制御装置を介して送信する。外部ツールは、電子制御装置から送信されるセキュリティ解除信号を受信した際に、書き換え許可状態への移行を要求する移行要求信号を電子制御装置にゲートウェイ制御装置を介して送信する。特定の信号は、セキュリティ解除信号である。
また、上記課題を解決する車載ネットワークシステム（１）では、電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続されている。外部ツールは、ゲートウェイ制御装置を介した電子制御装置との通信に基づいて電子制御装置のプログラムデータの書き換えを行う。ゲートウェイ制御装置は、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信される特定の信号の中継に基づいて、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行する。電子制御装置は、プログラムデータの書き換えに先立ち、外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件にプログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、外部ツールとの通信に基づいてセキュリティを解除した際に、その旨を示すセキュリティ解除信号を外部ツールにゲートウェイ制御装置を介して送信する。外部ツールは、電子制御装置から送信されるセキュリティ解除信号を受信した際に、書き換え許可状態への移行を要求する移行要求信号を電子制御装置にゲートウェイ制御装置を介して送信する。特定の信号は、移行要求信号である。
【０００９】
この構成によれば、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信が行われると、当該通信に用いられる特定の信号に基づいてゲートウェイ制御装置が自動的に書き換え専用状態に移行する。すなわち、ゲートウェイ制御装置は、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する状態に自動的に移行する。そのため、電子制御装置のプログラムデータの書き換え速度を向上させることができる。
【発明の効果】
【００１０】
本発明によれば、ゲートウェイ制御装置に接続された電子制御装置のプログラムデータの書き換え速度を向上させることができる。
【図面の簡単な説明】
【００１１】
【図１】車載ネットワークシステムの一実施形態についてその概略構成を示すブロック図。
【図２】実施形態の車載ネットワークシステムについてそのゲートウェイＥＣＵの概略構成を模式的に示す図。
【図３】実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。
【図４】実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。
【図５】実施形態の車載ネットワークシステムについてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。
【図６】車載ネットワークシステムの変形例について外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。
【図７】車載ネットワークシステムの他の変形例についてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。
【図８】車載ネットワークシステムの他の変形例についてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。
【発明を実施するための形態】
【００１２】
以下、車載ネットワークシステムの一実施形態について説明する。はじめに、図１を参照して、本実施形態の車載ネットワークシステムの概要について説明する。
【００１３】
図１に示されるように、本実施形態の車載ネットワークシステム１は車両Ｃに搭載されている。車載ネットワークシステム１は、ゲートウェイ制御装置（ゲートウェイＥＣＵ）１０と、複数の電子制御装置（ＥＣＵ）２０，３０とを有している。
【００１４】
ＥＣＵ２０，３０は、車両Ｃに搭載された各種ＥＣＵ、例えば車載エンジンの駆動を制御するエンジンＥＣＵや、自動変速機の駆動を制御するトランスミッションＥＣＵ等を示す。また、ＥＣＵ２０，３０には、ゲートウェイＥＣＵ１０とは別のゲートウェイＥＣＵも含まれる。ＥＣＵ２０，３０は、マイクロコンピュータを中心に構成されており、ＣＰＵ（中央演算処理装置）２１，３１やＲＡＭ（Random Access Memory）２２，３２、ＲＯＭ（Read Only Memory）２３，３３等をそれぞれ有している。ＣＰＵ２１，３１は、ＲＯＭ２２，３２に記憶されたプログラムデータＰａ，Ｐｂに基づいて各種制御処理をそれぞれ実行する。ＥＣＵ２０，３０はバスＢ１を介して通信可能に接続されている。
【００１５】
ゲートウェイＥＣＵ１０はバスＢ１を介してＥＣＵ２０，３０に接続されている。また、ゲートウェイＥＣＵ１０はバスＢ２を介して外部端子Ｔ１に接続されている。外部端子Ｔ１には、接続端子Ｔ２を介して外部ツール４０が接続される。ゲートウェイＥＣＵ１０は、バスＢ１により構成されるネットワークＮＷ１と、バスＢ２により構成されるネットワークＮＷ２との間の通信を中継する。また、ゲートウェイＥＣＵ１０は、バスＢ２と、バスＢ２とは別の図示しない車両内のバスとの間の通信を中継する。なお、ゲートウェイＥＣＵ１０は、通信を中継する機能に限らず、例えば車両ドアのロック／アンロック制御やヘッドライトの点灯制御等の車両制御を併せて実行するものであってもよい。
【００１６】
外部ツール４０は、ゲートウェイＥＣＵ１０及びＥＣＵ２０，３０のバージョンアップや機能追加等のために、それらのプログラムデータを書き換えるための装置である。外部ツール４０は、作業者により手動で操作される。外部ツール４０は、例えばバスＢ２、ゲートウェイＥＣＵ１０、及びバスＢ１を介してＥＣＵ２０，３０に新たなプログラムデータを送信することにより、各ＥＣＵ２０，３０のプログラムデータＰａ，Ｐｂを書き換える。なお、プログラムデータＰａ，Ｐｂの書き換えは、車両が使用されていない状態でディーラや工場等で行われる。
【００１７】
本実施形態では、外部ツール４０によるプログラムデータの書き換えがＥＣＵ２０を対象として行われる場合について例示する。すなわち、本実施形態では、ＥＣＵ２０が「書き換え対象ＥＣＵ」となっており、ＥＣＵ２１が「書き換え対象外ＥＣＵ」となっている。
【００１８】
次に、図２を参照して、ゲートウェイＥＣＵ１０の構成について詳しく説明する。
ゲートウェイＥＣＵ１０は、マイクロコンピュータを中心に構成されており、図２に示されるように、ＣＰＵ１１と、ＲＡＭ１２と、ＲＯＭ１３とを備えている。
【００１９】
ＲＡＭ１２には、ＣＰＵ１１の演算途中のデータや演算結果等が一時的に記憶される。
ＲＯＭ１３には、通常制御用プログラムデータＰ１と、書き換え専用プログラムデータＰ２とが記憶されている。
【００２０】
通常制御用プログラムデータＰ１は、ゲートウェイＥＣＵ１０により通常行われる制御プログラムであり、例えばバスＢ１とバスＢ２との間でプロトコル変換を行うためのプログラムデータや、バスＢ２と図示しない社内の他のバスとの間でプロトコル変換を行うためのプログラムデータ等が含まれている。また、ゲートウェイＥＣＵ１０が、例えば車両ドアのロック／アンロック制御やヘッドライトの点灯制御等を併せて実行する場合には、それらの制御用プログラムデータも通常制御用プログラムデータＰ１に含まれている。
【００２１】
書き換え専用プログラムデータＰ２は、プログラムデータの書き換えに関連する通信を優先するように通信の中継に制限を設ける処理を実行するためのプログラムデータである。
【００２２】
ＣＰＵ１１は、ＲＯＭ１３に記憶された通常制御用プログラムデータＰ１に基づいて、ゲートウェイＥＣＵ１０により行われる通常制御を実行する。また、ＣＰＵ１１は、外部端子Ｔ１に外部ツール４０が接続された際、外部ツール４０からの要求に応じて、ＲＯＭ１３に記憶された書き換え専用プログラムデータＰ２を実行する。これにより、ＣＰＵ１１は、プログラムデータの書き換えに関連する通信を優先する状態になる。
【００２３】
次に、図３を参照して、外部ツール４０による書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換え手順について詳しく説明する。なお、図３に示される処理は、例えば車両が使用されていない状態で工場やディーラにおいて作業者が外部ツール４０を操作することにより行われる。また、図３に示されるプログラムデータＰａの書き換え手順としては、例えばＵＤＳ（ＩＳＯ１４２２９）に準拠した手順を採用することができる。
【００２４】
図３に示されるように、外部ツール４０は、まず、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０に非通常状態移行要求信号を送信する（ステップＳ１００）。ゲートウェイＥＣＵ１０は、非通常状態移行要求信号を中継すると（ステップＳ２００）、通常状態（ Default Session）から非通常状態（Non-Default Session）に移行する（ステップＳ２０１）。各ＥＣＵ２０，３０は、非通常状態移行要求信号を受信すると（ステップＳ３００，Ｓ４００）、通常状態から非通常状態に移行する（ステップＳ３０１，Ｓ４０１）。なお、通常状態とは、各ＥＣＵ１０，２０，３０がそれぞれの役割に応じた通常の制御を行う状態である。非通常状態とは、外部ツール４０からの要求に応じて通常実行できない特殊な操作が可能となる状態である。各ＥＣＵ１０，２０，３０が非通常状態に移行することにより、例えば異常検出を禁止させたり、通信を停止させる等の特殊な操作が可能となる。
【００２５】
また、各ＥＣＵ１０，２０，３０は、非通常状態に移行した際、何らかの信号を所定の時間受信できないことを条件に、あるいは通常状態移行要求信号を受信することを条件に通常状態に復帰する。以下では、便宜上、この所定の時間を「復帰設定時間」と称する。本実施形態では、復帰設定時間よりも短い周期で各ＥＣＵ１０，２０，３０に何らかの信号を送信することにより、各ＥＣＵ１０，２０，３０を非通常状態に維持させることが可能となっている。
【００２６】
外部ツール４０は、各ＥＣＵ１０，２０，３０を非通常状態に移行させた後、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０にダイアグマスク要求信号を送信する（ステップＳ１０１）。ゲートウェイＥＣＵ１０は、ダイアグマスク要求信号を中継すると（ステップＳ２０２）、ダイアグマスク状態に移行する（ステップＳ２０３）。各ＥＣＵ２０，３０は、ダイアグマスク要求信号を受信すると（ステップＳ３０２，Ｓ４０２）、ダイアグマスク状態に移行する（ステップＳ３０３，Ｓ４０３）。ダイアグマスク状態とは、非通常状態において選択可能な一状態であり、異常検出機能が無効化された状態を示す。各ＥＣＵ１０，２０，３０がダイアグマスク状態になることにより、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に書き換え対象ＥＣＵ２０とそれ以外のＥＣＵ１０，３０との間の通信が途絶えたとしても、それを理由に各ＥＣＵ１０，２０，３０が異常検出を行うことを回避できる。
【００２７】
外部ツール４０は、各ＥＣＵ１０，２０，３０をダイアグマスク状態に移行させた後、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０に送信停止要求信号を送信する（ステップＳ１０２）。各ＥＣＵ２０，３０は、送信停止要求信号を受信すると（ステップＳ３０４，Ｓ４０４）、送信停止状態に移行する（ステップＳ３０５，Ｓ４０５）。送信停止状態とは、非通常状態において選択可能な一状態であり、プログラムデータＰａの書き換えに関連する通信を除き、他のＥＣＵへの信号の送信が停止された状態を示す。各ＥＣＵ２０，３０が送信停止状態になることにより、プログラムデータＰａの書き換えに関連する通信が優先されるため、結果的に外部ツール４０と書き換え対象ＥＣＵ２０との間の通信速度を向上させることができる。よって、プログラムデータＰａの書き換え速度を向上させることができる。
【００２８】
外部ツール４０は、各ＥＣＵ２０，３０を送信停止状態に移行させた後、書き換え対象ＥＣＵ２０のセキュリティを解除する。具体的には、外部ツール４０は、まず、ゲートウェイＥＣＵ１０を介して書き換え対象ＥＣＵ２０にシード要求信号を送信する（ステップＳ１０３）。書き換え対象ＥＣＵ２０は、シード要求信号を受信すると（ステップＳ３０６）、ランダムな文字列からなるシードを生成するとともに（ステップＳ３０７）、生成したシードを含むシード応答信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３０８）。
【００２９】
外部ツール４０は、書き換え対象ＥＣＵ２０から送信されるシード応答信号を受信すると（ステップＳ１０４）、当該シード応答信号に含まれるシードに基づいて暗号鍵を生成するとともに（ステップＳ１０５）、生成した暗号鍵を含む暗号鍵応答信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１０６）。書き換え対象ＥＣＵ２０は、外部ツール４０にシード応答信号を送信した後（ステップＳ３０８）、当該シードに基づいて暗号鍵を生成する（ステップＳ３０９）。そして、書き換え対象ＥＣＵ２０は、外部ツール４０から送信される暗号鍵応答信号を受信すると（ステップＳ３１０）、自らが生成した暗号鍵と、暗号鍵応答信号に含まれる暗号鍵とを照合することにより、外部ツール４０の認証を行う（ステップＳ３１１）。書き換え対象ＥＣＵ２０は、それらの暗号鍵が互いに一致する場合には、外部ツール４０の認証が成立したと判断し（ステップＳ３１２：ＹＥＳ）、セキュリティを解除するとともに（ステップＳ３１３）、その旨を示すセキュリティ解除信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３１４）。
【００３０】
ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継すると（ステップＳ２０５）、書き換え専用状態に移行する（ステップＳ２０６）。具体的には、ゲートウェイＥＣＵ１０は、実行プログラムを通常制御用プログラムデータＰ１から書き換え専用プログラムデータＰ２に切り替えることにより、書き換え専用状態に移行する。これにより、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えに関連する通信を優先する状態となる。
【００３１】
外部ツール４０は、書き換え対象ＥＣＵ２０から送信されるセキュリティ解除信号を受信すると（ステップＳ１０７）、図４に示されるように書き換え許可状態移行要求信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１０８）。書き換え対象ＥＣＵ２０は、セキュリティが解除されている状態で書き換え許可状態移行要求信号を受信すると（ステップＳ３１５）、書き換え許可状態（ Programing Session）に移行する（ステップＳ３１６）。書き換え許可状態とは、非通常状態において選択可能な一状態であり、ゲートウェイＥＣＵ１０のＲＯＭ１３に記憶されたデータを書き換えることの可能な状態である。書き換え対象ＥＣＵ２０は、書き換え許可状態に移行した後、その旨を示す移行完了信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３１７）。
【００３２】
外部ツール４０は、移行完了信号を受信すると（ステップＳ１０９）、プログラムデータＰａの書き換え要求信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１１０）。書き換え対象ＥＣＵ２０は、プログラムデータＰａの書き換え要求信号を受信すると（ステップＳ３１８）、当該信号に基づいて、ＲＯＭ１３に記憶されたプログラムデータＰａの書き換えを行う（ステップＳ３１９）。なお、図示は割愛するが、外部ツール４０は、プログラムデータＰａの書き換えを行っている期間、ゲートウェイＥＣＵ１０と双方向通信を行うことにより、新たなプログラムデータＰａがＲＯＭ１３に正しく書き込まれているか否かを検証する、いわゆるベリファイ等を行う。
【００３３】
また、外部ツール４０は、所定の周期で通信継続信号を書き換え対象ＥＣＵ２０及び書き換え対象外ＥＣＵ３０にゲートウェイＥＣＵ１０を介して継続的に送信することにより（ステップＳ１１１）、各ＥＣＵ１０，２０，３０の状態を維持する。本実施形態では、外部ツール４０から書き換え対象ＥＣＵ２０へのプログラムデータＰａの書き換え要求信号の送信と、外部ツール４０から各ＥＣＵ１０，２０，３０への通信継続信号の送信とが、プログラムデータＰａの書き換えに関連する通信となっている。
【００３４】
外部ツール４０は、プログラムデータＰａの書き換えが行われている期間、ステップＳ１１０，Ｓ１１１の処理を繰り返し実行する。外部ツール４０は、プログラムデータＰａの書き換えが完了すると、通常状態移行要求信号を各ＥＣＵ２０，３０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１１２）。ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継すると（ステップＳ２０７）、通常状態に移行する（ステップＳ２０８）。各ＥＣＵ２０，３０は、通常状態移行要求信号を受信すると（ステップＳ３２０，Ｓ４０６）、通常状態に移行する（ステップＳ３２１，Ｓ４０７）。
【００３５】
次に、ゲートウェイＥＣＵ１０の動作について図５を参照して総括する。なお、ゲートウェイＥＣＵ１０は、非通常状態に移行した際に図５に示される動作を所定の周期で繰り返し実行する。
【００３６】
図５に示されるように、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される特定の信号を中継したか否かを判断する（ステップＳ１）。本実施形態では、特定の信号としてセキュリティ解除信号が用いられている。ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継していない場合には（ステップＳ１：ＮＯ）、この処理を終了する。
【００３７】
ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継した場合には（ステップＳ１：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。書き換え専用状態に移行したゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継したか否かを判断する（ステップＳ３）。ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継していない場合には（ステップＳ３：ＮＯ）、信号の未受信時間が復帰設定時間以内であるか否かを判断する（ステップＳ４）。ゲートウェイＥＣＵ１０は、信号の未受信時間が復帰設定時間以内である場合には（ステップＳ４：ＹＥＳ）、ステップＳ３の判断処理に戻る。
【００３８】
ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継した場合（ステップＳ３：ＹＥＳ）、あるいは信号の未受信時間が復帰設定時間を超えた場合には（ステップＳ４：ＮＯ）、通常状態に移行する（ステップＳ５）。
【００３９】
以上説明した本実施形態の車載ネットワークシステム１によれば、以下の（１）及び（２）に示される作用及び効果を得ることができる。
【００４０】
（１）書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に当該ＥＣＵ２０から外部ツール４０に送信されるセキュリティ解除信号をゲートウェイＥＣＵ１０が中継すると、ゲートウェイＥＣＵ１０が自動的に書き換え専用状態に移行する。すなわち、ゲートウェイＥＣＵ１０は、プログラムデータＰａの書き換えに関連する通信を優先させる状態に自動的に移行する。そのため、書き換え対象ＥＣＵ２０のプログラムデータの書き換え速度を向上させることができる。
【００４１】
なお、本実施形態では、車両が使用されていない状態で工場やディーラにおいて書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えが行われることを前提としている。車両が使用されていない状態であるが故に、プログラムデータＰａの書き換えに関連する通信にゲートウェイＥＣＵ１０を専念させることが可能となる。
【００４２】
（２）接続端子Ｔ２に不正な外部ツールが接続されたような場合、当該不正な外部ツールから書き換え対象ＥＣＵ２０に送信される信号に基づいてゲートウェイＥＣＵ１０が書き換え専用状態に移行するようなことがあると、意図せずにゲートウェイＥＣＵ１０の中継機能が無効化されるおそれがあるため、セキュリティの面で好ましくない。この点、本実施形態のように、ゲートウェイＥＣＵ１０が書き換え専用状態に移行する際のトリガとなる特定の信号として、セキュリティ解除信号を採用すれば、書き換え対象ＥＣＵ２０の認証結果に基づいてゲートウェイＥＣＵ１０を書き換え専用状態に移行させることができるため、セキュリティ性を向上させることができる。
【００４３】
なお、上記実施形態は、以下の形態にて実施することもできる。
・図６に示されるように、ゲートウェイＥＣＵ１０は、外部ツール４０から送信される書き換え許可状態移行要求信号の中継に基づいて（ステップＳ２１０）、書き換え専用状態に移行してもよい（ステップＳ２１１）。すなわち、図６に示されるステップＳ１の処理の特定の信号として書き換え許可状態移行要求信号を採用してもよい。このような構成であっても、上記の（１）に記載の作用及び効果を得ることができる。また、外部ツール４０は、セキュリティ解除信号に基づいて書き換え許可状態移行要求信号を送信する、換言すれば書き換え対象ＥＣＵ２０により外部ツール４０の認証が成立した場合に限って書き換え許可状態移行要求信号を送信する。したがって、上記（２）に記載の作用及び効果を得ることもできる。同様に、特定の信号として移行完了信号を採用した場合でも、上記の（１）及び（２）に記載の作用及び効果を得ることができる。
【００４４】
・ゲートウェイＥＣＵ１０は、特定の信号として、非通常状態移行要求信号、ダイアグマスク要求信号、送信停止要求信号、シード要求信号、シード応答信号、暗号鍵応答信号等を採用してもよい。要は、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される特定の信号の中継に基づいて書き換え専用状態に移行するものであればよい。
【００４５】
・図７に示されるように、ゲートウェイＥＣＵ１０は、図５に示されるステップＳ１の判断処理に代えて、予め定められた特定の複数の信号を中継したか否かを判断する処理を行ってもよい（ステップＳ６）。すなわち、ゲートウェイＥＣＵ１０は、予め定められた特定の複数の信号を中継することを条件に（ステップＳ６：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。特定の複数の信号としては、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される複数の信号が該当する。例えば、セキュリティ解除信号及び書き換え許可状態移行要求信号を採用することができる。このような構成によれば、不正な外部ツールを用いた不正操作をより回避し易くなるため、セキュリティ性を更に向上させることができる。
【００４６】
・図８に示されるように、ゲートウェイＥＣＵ１０は、図７に示されるステップＳ６の判断処理に代えて、特定の複数の信号を予め定められた順序で中継したか否かを判断する処理を行ってもよい（ステップＳ７）。すなわち、ゲートウェイＥＣＵ１０は、特定の複数の信号を予め定められた順序で中継することを条件に（ステップＳ７：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。例えば、ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継した後に、書き換え許可状態移行要求信号を中継することに基づいてステップＳ７の判断処理を肯定判断する。このような構成によれば、不正な外部ツールを用いた不正操作をより的確に回避することができるため、セキュリティ性を一層向上させることができる。
【００４７】
・ゲートウェイＥＣＵ１０の書き換え専用状態は、プログラムデータの書き換えに関連する通信のみを中継するように通信の中継を制限する状態であってもよい。すなわち、ゲートウェイＥＣＵ１０は、書き換え専用状態に移行した際、書き換え対象ＥＣＵ２０へのプログラムデータＰａの書き換え要求信号の中継、及び各ＥＣＵ１０，２０，３０への通信継続信号の中継のみを行う状態になってもよい。
【００４８】
・本発明は上記の具体例に限定されるものではない。すなわち、上記の具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素及びその配置や条件等は、例示したものに限定されるわけではなく適宜変更することができる。また、前述した実施形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。
【符号の説明】
【００４９】
１：車載ネットワークシステム
１０：ゲートウェイＥＣＵ（ゲートウェイ制御装置）
２０，３０：ＥＣＵ（電子制御装置）
４０：外部ツール
ＮＷ１，ＮＷ２：ネットワーク
【図１】
0006390398.tif 000002
【図２】
0006390398.tif 000003
【図３】
0006390398.tif 000004
【図４】
0006390398.tif 000005
【図５】
0006390398.tif 000006
【図６】
0006390398.tif 000007
【図７】
0006390398.tif 000008
【図８】
0006390398.tif 000009