(57)【要約】【課題】ゲートウェイ制御装置の記憶部に記憶されたプログラムデータの書き換えが行われている期間に電子制御装置が通常状態に戻ることに起因して発生する不都合を抑制することのできる車載ネットワークシステムを提供する。【解決手段】車載ネットワークシステム１では、ＥＣＵ２０，２１が接続されるネットワークＮＷ１と、外部ツール３０が接続されるネットワークＮＷ２とがゲートウェイＥＣＵ１０を介して接続されている。ＥＣＵ２０，２１は、ゲートウェイＥＣＵ１０のプログラムデータの書き換えが行われている際、非通常状態に移行するとともに、所定の信号を予め設定された復帰設定時間受信できないことを条件に通常状態に復帰する。ゲートウェイＥＣＵ１０は、プログラムデータの書き換えが行われている期間、ＥＣＵ２０，２１に通信継続信号を継続的に送信する。【選択図】図１
2016107908.tif 000002
【特許請求の範囲】
【請求項１】
電子制御装置（２０，２１）が接続されるネットワーク（ＮＷ１）と、外部ツール（３０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続される車載ネットワークシステム（１）であって、
前記電子制御装置は、
前記外部ツールを通じて前記ゲートウェイ制御装置のプログラムデータの書き換えが行われる際、通常状態から非通常状態に移行するとともに、
前記非通常状態に移行した際、所定の信号を予め定められた復帰設定時間受信できないことを条件に前記通常状態に復帰するものであり、
前記ゲートウェイ制御装置は、
前記プログラムデータが記憶された記憶部（１３）を有し、
前記外部ツールにより前記記憶部の前記プログラムデータの書き換えが行われている期間、前記電子制御装置に前記所定の信号を継続的に送信することを特徴とする車載ネットワークシステム。
【請求項２】
前記ゲートウェイ制御装置は、前記外部ツールから送信される信号を前記所定の信号として前記電子制御装置に中継して送信することを特徴とする請求項１に記載の車載ネットワークシステム。
【請求項３】
前記ゲートウェイ制御装置は、
前記外部ツールからの要求に基づき前記通常状態から書き換え許可状態に移行するとともに、前記書き換え許可状態になっている期間に限り、前記記憶部に記憶された前記プログラムデータの書き換えが可能になるとともに、
前記書き換え許可状態になっている期間、前記外部ツールから送信される通信継続信号を継続的に受信することに基づいて前記書き換え許可状態を維持するものであり、
前記通信継続信号を前記所定の信号として前記電子制御装置に中継して送信することを特徴とする請求項２に記載の車載ネットワークシステム。
【請求項４】
前記記憶部には、
前記ゲートウェイ制御装置が通常状態の際に実行する通常制御用プログラムデータと、
前記記憶部のプログラムデータの書き換えの際に実行される書き換え用プログラムデータと、
前記通常制御用プログラムデータ及び前記書き換え用プログラムデータに共通して用いられ、前記外部ツールと前記電子制御装置との間の通信を中継するための共通プログラムデータと、が記憶されることを特徴とする請求項１〜３のいずれか一項に記載の車載ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載ネットワークシステムに関する。
【背景技術】
【０００２】
従来、特許文献１に記載の車載ネットワークシステムがある。特許文献１に記載の車載ネットワークシステムは、各種電子制御装置（ＥＣＵ）が接続される複数のネットワークと、複数のネットワーク間の通信を中継するゲートウェイ制御装置とを備えている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５３７５９０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、ゲートウェイ制御装置は、一般的に、ＲＯＭ（Read Only Memory）に記憶されたプログラムデータに基づき各種通信制御を行う。ＲＯＭに格納されたプログラムデータは、例えばバージョンアップや機能追加等のために、書き換えが行われることがある。ＲＯＭの書き換えは、車両の外部からゲートウェイ制御装置を介して外部ツールを接続し、当該外部ツールによりＲＯＭに記憶されたプログラムデータを書き換えることで行われる。
【０００５】
一方、ゲートウェイ制御装置のプログラムデータの書き換えの際には、ゲートウェイ制御装置の中継機能が中断されるため、ゲートウェイ制御装置と電子制御装置との間の通信が途絶える。この場合、電子制御装置が、ゲートウェイ制御装置と通信できないことに基づいて異常を検出する等、予期しない不都合が発生するおそれがある。これを解消するためには、例えばゲートウェイ制御装置のプログラムデータの書き換えが行われている期間、電子制御装置を、通常状態から、異常の検出等の特定の動作が禁止された非通常状態に移行させることが望ましい。具体的には、ゲートウェイ制御装置のプログラムデータの書き換えが行われている期間、電子制御装置に所定の信号を継続的に送信し、電子制御装置を非通常状態に維持することが望ましい。
【０００６】
しかしながら、ゲートウェイ制御装置のプログラムデータの書き換えが行われている期間は、ゲートウェイ制御装置の中継機能が停止しているため、外部ツールから電子制御装置に所定の信号を送信することができない。ゲートウェイ制御装置のプログラムデータの書き換えが行われている期間に、電子制御装置が所定の信号を受信できないことに基づき非通常状態から通常状態に復帰すると、ゲートウェイ制御装置の異常を誤検出する等の不都合が生じかねない。
【０００７】
本発明は、こうした実情に鑑みてなされたものであり、その目的は、ゲートウェイ制御装置の記憶部に記憶されたプログラムデータの書き換えが行われている期間に電子制御装置が通常状態に戻ることに起因して発生する不都合を抑制することのできる車載ネットワークシステムを提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決する車載ネットワークシステム（１）では、車載ネットワークシステム（１）電子制御装置（２０，２１）が接続されるネットワーク（ＮＷ１）と、外部ツール（３０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続されている。電子制御装置は、外部ツールを通じてゲートウェイ制御装置のプログラムデータの書き換えが行われる際、通常状態から非通常状態に移行するとともに、非通常状態に移行した際、所定の信号を予め定められた復帰設定時間受信できないことを条件に通常状態に復帰する。ゲートウェイ制御装置は、プログラムデータが記憶された記憶部（１３）を有し、外部ツールにより記憶部のプログラムデータの書き換えが行われている期間、電子制御装置に所定の信号を継続的に送信する。
【０００９】
この構成によれば、外部ツールによりゲートウェイ制御装置のプログラムデータの書き換えが行われている期間、ゲートウェイ制御装置から電子制御装置に所定の信号が継続的に送信されるため、電子制御装置を非通常状態に維持することができる。これにより、プログラムデータの書き換えが行われている期間に電子制御装置が通常状態に戻ることに起因して発生する不都合を解消することができる。
【発明の効果】
【００１０】
本発明によれば、ゲートウェイ制御装置の記憶部に記憶されたプログラムデータの書き換えが行われている期間に電子制御装置が通常状態に戻ることに起因して発生する不都合を抑制することができる。
【図面の簡単な説明】
【００１１】
【図１】車載ネットワークシステムの第１実施形態についてその概略構成を示すブロック図。
【図２】第１実施形態の車載ネットワークシステムについてそのゲートウェイＥＣＵの概略構成を模式的に示す図。
【図３】第１実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、及びその他のＥＣＵの動作例の一部を示すシーケンスチャート。
【図４】第１実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、及びその他のＥＣＵの動作例の一部を示すシーケンスチャート。
【図５】第１実施形態の車載ネットワークシステムについてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。
【図６】車載ネットワークシステムの第２実施形態についてそのゲートウェイＥＣＵの概略構成を模式的に示す図。
【図７】第２実施形態の車載ネットワークシステムについてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。
【図８】第２実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、及びその他のＥＣＵの動作例の一部を示すシーケンスチャート。
【図９】車載ネットワークシステムの第３実施形態についてそのゲートウェイＥＣＵの概略構成を模式的に示す図。
【発明を実施するための形態】
【００１２】
＜第１実施形態＞
以下、車載ネットワークシステムの第１実施形態について説明する。
図１に示されるように、本実施形態の車載ネットワークシステム１は車両Ｃに搭載されている。車載ネットワークシステム１は、ゲートウェイ制御装置（ゲートウェイＥＣＵ）１０と、複数の電子制御装置（ＥＣＵ）２０，２１とを有している。
【００１３】
ＥＣＵ２０，２１は、車両Ｃに搭載された各種ＥＣＵ、例えば車載エンジンの駆動を制御するエンジンＥＣＵや、自動変速機の駆動を制御するトランスミッションＥＣＵ等を示す。また、ＥＣＵ２０，２１には、ゲートウェイＥＣＵ１０とは別のゲートウェイＥＣＵも含まれる。ＥＣＵ２０，２１はバスＢ１を介して通信可能に接続されている。
【００１４】
ゲートウェイＥＣＵ１０はバスＢ１を介してＥＣＵ２０，２１に接続されている。また、ゲートウェイＥＣＵ１０はバスＢ２を介して外部端子Ｔ１に接続されている。外部端子Ｔ１には、接続端子Ｔ２を介して外部ツール３０が接続される。ゲートウェイＥＣＵ１０は、バスＢ１により構成されるネットワークＮＷ１と、バスＢ２により構成されるネットワークＮＷ２とを接続するものであり、それらの間の通信を中継する。
【００１５】
外部ツール３０は、ゲートウェイＥＣＵ１０及びＥＣＵ２０，２１のバージョンアップや機能追加等のために、それらのプログラムデータを書き換えるための装置である。外部ツール３０は、例えばディーラにより手動で操作され、バスＢ２を介してゲートウェイＥＣＵ１０に更新用のプログラムデータを送信することにより、ゲートウェイＥＣＵ１０のプログラムデータを書き換える。また、外部ツール３０は、バスＢ２、ゲートウェイＥＣＵ１０、及びバスＢ１を介してＥＣＵ２０，２１に新たなプログラムデータを送信することにより、各ＥＣＵ２０，２１のプログラムデータを書き換える。
【００１６】
次に、ゲートウェイＥＣＵ１０の構成について詳しく説明する。
ゲートウェイＥＣＵ１０は、マイクロコンピュータを中心に構成されており、図２に示されるように、ＣＰＵ（中央演算処理装置）１１と、ＲＡＭ（Random Access Memory）１２と、ＲＯＭ（Read Only Memory）１３とを備えている。
【００１７】
ＲＡＭ１２には、ＣＰＵ１１の演算途中のデータや演算結果等が一時的に記憶される。
ＲＯＭ１３には、通常制御用プログラムデータＰ１と、当該通常制御用プログラムデータを書き換えるための書き換え用プログラムデータＰ２とが記憶されている。
【００１８】
通常制御用プログラムデータＰ１は、ゲートウェイＥＣＵ１０により通常行われる制御プログラムであり、例えばバスＢ１とバスＢ２との間でプロトコル変換を行うためのプログラムデータが該当する。通常制御用プログラムデータＰ１は、その主となるメインプログラムデータＰ１０と、中継用プログラムデータＰ１１と、通信用プログラムデータＰ１２，Ｐ１３とからなる。中継用プログラムデータＰ１１は、外部ツール３０とＥＣＵ２０，２１との間で通信を中継するためのプログラムである。通信用プログラムデータＰ１２は、外部ツール３０と通信を行うためのプログラムである。通信用プログラムデータＰ１３は、ＥＣＵ２０，２１と通信を行うためのプログラムである。
【００１９】
書き換え用プログラムデータＰ２は、外部ツール３０からゲートウェイＥＣＵ１０に送信される新たなプログラムデータに基づいて通常制御用プログラムデータを書き換えるためのプログラムデータである。書き換え用プログラムデータＰ２は、そのメインプログラムデータＰ２０と、通信継続用プログラムデータＰ２１と、通信用プログラムデータＰ２２，Ｐ２３とからなる。通信継続用プログラムデータＰ２１は、ゲートウェイＥＣＵ１０の通常制御用プログラムデータの書き換えが行われている際に、ＥＣＵ２０，２１と継続して通信を行うためのプログラムである。通信用プログラムデータＰ２２は、外部ツール３０と通信を行うためのプログラムである。通信用プログラムＰ２３は、ＥＣＵ２０，２１と通信を行うためのプログラムである。
【００２０】
ＣＰＵ１１は、ＲＯＭ１３に記憶された通常制御用プログラムデータＰ１に基づいて、ゲートウェイＥＣＵ１０により行われる通常制御を実行する。すなわち、ＣＰＵ１１は、バスＢ１とバスＢ２との間でプロトコル変換を行う処理等を実行する。
【００２１】
また、ＣＰＵ１１は、外部端子Ｔ１に外部ツール３０が接続された際、外部ツール３０からの要求に応じて、ＲＯＭ１３に記憶された書き換え用プログラムデータＰ２を実行する。これにより、ＣＰＵ１１は、外部ツール３０からゲートウェイＥＣＵ１０に送信される新たなプログラムデータに基づいて通常制御用プログラムデータＰ１を書き換える処理を実行する。
【００２２】
次に、外部ツール３０による通常制御用プログラムデータＰ１の書き換え手順について詳しく説明する。なお、通常制御用プログラムデータＰ１の書き換え手順としては、例えばＵＤＳ（ＩＳＯ１４２２９）に準拠した手順を採用することができる。
【００２３】
図３に示されるように、外部ツール３０は、まず、非通常状態移行要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１００）。ゲートウェイＥＣＵ１０は、非通常状態移行要求信号を受信すると（ステップＳ２００）、これをＥＣＵ２０，２１に中継して送信するとともに、通常状態（Default Session）から非通常状態（Non-Default Session）に移行する（ステップＳ２０１）。ＥＣＵ２０，２１も、非通常状態移行要求信号を受信すると（ステップＳ３００）、通常状態から非通常状態に移行する（ステップＳ３０１）。なお、通常状態とは、各ＥＣＵ１０，２０，２１がそれぞれの役割に応じた通常の制御を行う状態である。非通常状態とは、外部ツール３０からの要求に応じて通常実行できない特殊な操作が可能となる状態である。各ＥＣＵ１０，２０，２１が非通常状態に移行することにより、例えば異常検出を禁止させたり、通信を停止させる等の特殊な操作が可能となる。
【００２４】
また、各ＥＣＵ１０，２０，２１は、非通常状態に移行した際、何らかの信号を所定の時間受信できないことを条件に、あるいは通常状態移行要求信号を受信することを条件に通常状態に復帰する。以下では、便宜上、この所定の時間を「復帰設定時間」と称する。本実施形態では、復帰設定時間よりも短い周期で各ＥＣＵ１０，２０，２１に何らかの信号を送信することにより、各ＥＣＵ１０，２０，２１を非通常状態に維持させることが可能である。
【００２５】
外部ツール３０は、各ＥＣＵ１０，２０，２１を非通常状態に移行させた後、ダイアグマスク要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１０１）。ゲートウェイＥＣＵ１０は、ダイアグマスク要求信号を受信すると（ステップＳ２０２）、これをＥＣＵ２０，２１に中継して送信するとともに、ダイアグマスク状態に移行する（ステップＳ２０３）。ＥＣＵ２０，２１も、ダイアグマスク要求信号を受信すると（ステップＳ３０２）、ダイアグマスク状態に移行する（ステップＳ３０３）。ダイアグマスク状態とは、非通常状態において選択可能な一状態であり、異常検出機能が無効化された状態を示す。各ＥＣＵ１０，２０，２１がダイアグマスク状態になることにより、ゲートウェイＥＣＵ１０の通常制御用プログラムデータＰ１の書き換えの際に各ＥＣＵ１０，２０，２１の間の通信が途絶えたとしても、それを理由に各ＥＣＵ１０，２０，２１が異常検出を行うことを回避できる。
【００２６】
外部ツール３０は、各ＥＣＵ１０，２０，２１をダイアグマスク状態に移行させた後、送信停止要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１０２）。ゲートウェイＥＣＵ１０は、送信停止要求信号を受信すると（ステップＳ２０４）、これをＥＣＵ２０，２１に中継して送信するとともに、送信停止状態に移行する（ステップＳ２０５）。ＥＣＵ２０，２１も、送信停止要求信号を受信すると（ステップＳ３０４）、送信停止状態に移行する（ステップＳ３０５）。送信停止状態とは、非通常状態において選択可能な一状態であり、通常制御用プログラムデータＰ１の書き換えに必要な信号の送信を除き、他のＥＣＵへの信号の送信が停止された状態を示す。各ＥＣＵ１０，２０，２１が送信停止状態になることにより、通常制御用プログラムデータＰ１の書き換えに必要な通信のみが行われるようになるため、結果的に外部ツール３０とゲートウェイＥＣＵ１０との間の通信速度を向上させることができる。よって、プログラムデータの書き換え速度を向上させることができる。
【００２７】
外部ツール３０は、各ＥＣＵ１０，２０，２１を送信停止状態に移行させた後、ゲートウェイＥＣＵ１０のセキュリティを解除する。具体的には、外部ツール３０は、まず、シード要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１０３）。ゲートウェイＥＣＵ１０は、シード要求信号を受信すると（ステップＳ２０６）、ランダムな文字列からなるシードを生成するとともに（ステップＳ２０７）、生成したシードを外部ツール３０に送信する（ステップＳ２０８）。
【００２８】
外部ツール３０は、ゲートウェイＥＣＵ１０から送信されるシードを受信すると（ステップＳ１０４）、当該シードに基づいて暗号鍵を生成するとともに（ステップＳ１０５）、生成した暗号鍵をゲートウェイＥＣＵ１０に送信する（ステップＳ１０６）。ゲートウェイＥＣＵ１０は、外部ツール３０にシードを送信した後（ステップＳ２０８）、当該シードに基づいて暗号鍵を生成する（ステップＳ２０９）。そして、ゲートウェイＥＣＵ１０は、外部ツール３０から送信される暗号鍵を受信すると（ステップＳ２１０）、自らが生成した暗号鍵と、外部ツール３０から送信された暗号鍵とを照合する（ステップＳ２１１）。ゲートウェイＥＣＵ１０は、それらの暗号鍵が互いに一致する場合には（ステップＳ２１１：ＹＥＳ）、セキュリティを解除し（ステップＳ２１２）、その旨を外部ツール３０に送信する（ステップＳ２１３）。
【００２９】
外部ツール３０は、ゲートウェイＥＣＵ１０のセキュリティが解除された旨を受信すると（ステップＳ１０７）、図４に示されるように書き換え許可状態移行要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１０８）。ゲートウェイＥＣＵ１０は、セキュリティが解除されている状態で書き換え許可状態移行要求信号を受信すると（ステップＳ２１４）、書き換え許可状態（Programing Session）に移行する（ステップＳ２１５）。書き換え許可状態とは、非通常状態において選択可能な一状態であり、ゲートウェイＥＣＵ１０のＲＯＭ１３に記憶されたデータを書き換えることの可能な状態である。ゲートウェイＥＣＵ１０は、書き換え許可状態に移行すると、実行プログラムを通常制御用プログラムデータＰ１から書き換え用プログラムデータＰ２に切り替える。ゲートウェイＥＣＵ１０は、書き換え許可状態に移行した後、その旨を外部ツール３０に送信する（ステップＳ２１６）。
【００３０】
書き換え許可状態に移行したゲートウェイＥＣＵ１０は、図５に示される処理を所定の周期で実行する。
【００３１】
すなわち、ゲートウェイＥＣＵ１０は、まず、書き換え許可状態であるか否かを判断する（ステップＳ１０）。ゲートウェイＥＣＵ１０は、書き換え許可状態である場合、第１カウンタＣ１及び第２カウンタＣ２のそれぞれの値をインクリメントする（ステップＳ１１）。次に、ゲートウェイＥＣＵ１０は、外部ツール３０から送信されるプログラムデータの書き換え要求信号を受信したか否かを判断する（ステップＳ１２）。ゲートウェイＥＣＵ１０は、外部ツール３０から送信されるプログラムデータの書き換え要求信号を受信した場合には（ステップＳ１２：ＹＥＳ）、外部ツール３０から送信される新たなプログラムデータに基づきＲＯＭ１３の通常制御用プログラムデータＰ１を書き換える処理を行う（ステップＳ１３）。また、ゲートウェイＥＣＵ１０は、第１カウンタＣ１の値をクリアする（ステップＳ１４）。
【００３２】
ゲートウェイＥＣＵ１０は、プログラムデータの書き換え要求信号を受信していない場合には（ステップＳ１２：ＮＯ）、外部ツール３０から送信される移行要求信号を受信したか否かを判断する（ステップＳ１５）。移行要求信号とは、通常状態移行要求信号、非通常状態移行要求信号、及び書き換え許可状態移行要求信号のいずれかを示す。ゲートウェイＥＣＵ１０は、外部ツール３０から送信される移行要求信号を受信している場合には（ステップＳ１５：ＹＥＳ）、移行要求信号に応じた状態へ移行する（ステップＳ１６）。また、ゲートウェイＥＣＵ１０は、第１カウンタＣ１の値をクリアする（ステップＳ１７）。
【００３３】
ゲートウェイＥＣＵ１０は、移行要求信号を受信していない場合には（ステップＳ１５：ＮＯ）、第１カウンタＣ１の値が第１閾値Ｃｔｈ１以上であるか否かを判断する（ステップＳ１８）。ゲートウェイＥＣＵ１０は、第１カウンタＣ１の値が第１閾値Ｃｔｈ１以上である場合には（ステップＳ１８：ＹＥＳ）、書き換え許可状態から非通常状態に移行する（ステップＳ１９）。
【００３４】
ゲートウェイＥＣＵ１０は、第１カウンタＣ１の値が第１閾値Ｃｔｈ１未満である場合（ステップＳ１８；ＮＯ）、あるいはステップＳ１４，１７，１９のいずれかの処理を実行した場合には、第２カウンタＣ２の値が第２閾値Ｃｔｈ２以上であるか否かを判断する（ステップＳ２０）。なお、第２閾値Ｃｔｈ２は、第２カウンタＣ２の値が零から第２閾値Ｃｔｈ２に達するまでの経過時間がＥＣＵ２０，２１の復帰設定時間よりも短くなるように設定されている。ゲートウェイＥＣＵ１０は、第２カウンタＣ２の値が第２閾値Ｃｔｈ２以上である場合には（ステップＳ２０：ＹＥＳ）、通信継続信号を生成し（ステップＳ２１）、これをＥＣＵ２０，２１に送信する（ステップＳ２２）。また、ゲートウェイＥＣＵ１０は、第２カウンタＣ２の値をクリアする（ステップＳ２３）。すなわち、ゲートウェイＥＣＵ１０は、第２カウンタＣ２の値が第２閾値Ｃｔｈ２に達する都度、通信継続信号をＥＣＵ２０，２１に送信する。ゲートウェイＥＣＵ１０は、ステップＳ２３の処理を実行した場合、あるいは第２カウンタＣ２の値が第２閾値Ｃｔｈ２未満である場合には（ステップＳ２０：ＮＯ）、ステップＳ１０の処理に戻る。
【００３５】
なお、図５に示されるステップＳ２０〜Ｓ２３の処理は、図２に示される書き換え用プログラムデータＰ２の通信継続用プログラムデータＰ２１の一部に相当する。
【００３６】
ゲートウェイＥＣＵ１０は、書き換え許可状態とは別の状態に移行した場合、ステップＳ１０で書き換え許可状態でないと判断し（ステップＳ１０：ＮＯ）、この処理を終了する。
【００３７】
次に、図５に示される処理を実行するゲートウェイＥＣＵ１０の動作について図４を参照して説明する。
【００３８】
図４に示されるように、外部ツール３０は、書き換え許可状態に移行の旨がゲートウェイＥＣＵ１０から送信されると（ステップＳ１０９）、プログラムデータの書き換え要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１１０）。ゲートウェイＥＣＵ１０は、プログラムデータの書き換え要求信号を受信すると（ステップＳ２１７）、当該信号に基づき、ＲＯＭ１３に記憶された通常制御用プログラムデータＰ１の書き換えを行う（ステップＳ２１８）。なお、図示は割愛するが、外部ツール３０は、通常制御用プログラムデータＰ１の書き換えを行っている期間、ゲートウェイＥＣＵ１０と双方向通信を行うことにより、新たな通常制御用プログラムデータＰ１がＲＯＭ１３に正しく書き込まれているか否かを検証する、いわゆるベリファイ等を行う。また、外部ツール３０は、所定の周期で通信継続信号をゲートウェイＥＣＵ１０に送信することにより（ステップＳ１１１）、ゲートウェイＥＣＵ１０を書き換え許可状態に維持させる。なお、所定の周期は、ゲートウェイＥＣＵ１０の復帰設定時間よりも短い時間に設定されている。
【００３９】
ゲートウェイＥＣＵ１０は、書き換え許可状態であるとき、第２カウンタＣ２の値が第２閾値Ｃｔｈ２に達するまでの時間が経過する都度、通信継続信号をＥＣＵ２０，２１に送信する（ステップＳ２１９）。これにより、ＥＣＵ２０，２１は、ダイアグマスク状態及び送信停止状態に維持される。
【００４０】
外部ツール３０及びゲートウェイＥＣＵ１０は、プログラムデータの書き換えが行われている期間、ステップＳ１１０，Ｓ１１１及びステップＳ２１７，Ｓ２１８の処理を繰り返し実行する。
【００４１】
外部ツール３０は、プログラムデータの書き換えが完了すると、通常状態移行要求信号をゲートウェイＥＣＵ１０に送信する（ステップＳ１１２）。ゲートウェイＥＣＵ１０は、外部ツール３０から送信される通常状態移行要求信号を受信すると（ステップＳ２２０）、通常状態に移行する（ステップＳ２２１）。また、ゲートウェイＥＣＵ１０は、外部ツール３０から送信される通常状態移行要求信号をＥＣＵ２０，２１に中継して送信する。これにより、ＥＣＵ２０，２１は、通常状態移行要求信号を受信すると（ステップＳ３０６）、通常状態に移行する（ステップＳ３０７）。
【００４２】
以上説明した本実施形態の車載ネットワークシステム１によれば、以下の（１）に示される作用及び効果を得ることができる。
【００４３】
（１）外部ツール３０を通じてゲートウェイＥＣＵ１０のプログラムデータの書き換えが行われている期間、ゲートウェイＥＣＵ１０からＥＣＵ２０，２１に通信継続信号が継続的に送信されるため、ＥＣＵ２０，２１を非通常状態に、より詳しくは送信停止状態及びダイアグマスク状態に維持することができる。これにより、ゲートウェイＥＣＵ１０のプログラムデータの書き換えが行われている期間にＥＣＵ２０，２１が通常状態に戻ることに起因して発生する不都合、例えばＥＣＵ２０，２１がゲートウェイＥＣＵ１０の通信異常を誤検出する等の不都合を解消することができる。
【００４４】
＜第２実施形態＞
次に、車載ネットワークシステム１の第２実施形態について説明する。以下、第１実施形態との相違点を中心に説明する。
【００４５】
図６に示されるように、本実施形態のゲートウェイＥＣＵ１０は、ＲＯＭ１３の書き換え用プログラムデータＰ２に、通信継続用プログラムデータＰ２１に代えて、中継用プログラムデータＰ２４を有している。中継用プログラムデータＰ２４は、外部ツール３０とＥＣＵ２０，２１との間で通信を中継するためのプログラムである。
【００４６】
具体的には、ゲートウェイＥＣＵ１０は、図４に示される処理に代えて、図７に示される処理を実行する。なお、図７に示される各処理において、図４に示される処理と同一の処理には同一の符号を付すことにより重複する説明を割愛する。
【００４７】
図７に示されるように、ゲートウェイＥＣＵ１０は、第１カウンタＣ１の値が第１閾値Ｃｔｈ１未満である場合（ステップＳ１８；ＮＯ）、外部ツール３０から送信される通信継続信号を受信したか否かを判断する（ステップＳ３０）。ゲートウェイＥＣＵ１０は、外部ツール３０から送信される通信継続信号を受信した場合（ステップＳ３０：ＹＥＳ）、当該通信継続信号をＥＣＵ２０，２１に中継して送信する（ステップＳ３１）。このステップＳ３０，Ｓ３１の処理が、図６に示される書き換え用プログラムデータＰ２の中継用プログラムデータＰ２４の一部に相当する。
【００４８】
ゲートウェイＥＣＵ１０は、ステップＳ１４，Ｓ１７，Ｓ１９，Ｓ３１のいずれかの処理を実行した場合、あるいは外部ツール３０から送信される通信継続信号を受信していない場合には（ステップＳ３０：ＮＯ）、ステップＳ１０の処理に戻る。
【００４９】
次に、図７に示される処理を実行するゲートウェイＥＣＵ１０の動作について図８を参照して説明する。なお、図８に示される各処理において、図４に示される処理と同一の符号を付すことにより重複する説明を割愛する。
【００５０】
図８に示されるように、ゲートウェイＥＣＵ１０は、書き換え許可状態であるとき、外部ツール３０から送信される通信継続信号を受信する都度（ステップＳ２３０）、これをＥＣＵ２０，２１に中継して送信する。
【００５１】
以上説明した本実施形態の車載ネットワークシステム１によれば、以下の（２）に示される作用及び効果を更に得ることができる。
【００５２】
（２）ゲートウェイＥＣＵ１０は、外部ツール３０から送信される通信継続信号をＥＣＵ２０，２１に中継して送信するだけであるため、第１実施形態のような第２カウンタＣ２による経過時間の管理が不要となる。すなわち、ゲートウェイＥＣＵ１０から第２カウンタＣ２を削減することができるため、ゲートウェイＥＣＵ１０の構造を簡素化することができる。
【００５３】
＜第３実施形態＞
次に、車載ネットワークシステム１の第３実施形態について説明する。以下、第２実施形態との相違点を中心に説明する。
【００５４】
図９に示されるように、本実施形態のゲートウェイＥＣＵ１０では、ＲＯＭ１３の通常制御用プログラムデータＰ１がメインプログラムデータＰ１０のみからなる。また、ＲＯＭ１３の書き換え用プログラムデータＰ２もメインプログラムデータＰ２０のみからなる。
【００５５】
本実施形態のＲＯＭ１３には、通常制御用プログラムデータＰ１及び書き換え用プログラムデータＰ２に共通して用いられる共通プログラムデータＰ３が記憶されている。共通プログラムデータＰ３は、中継用プログラムデータＰ３０と、通信用プログラムデータＰ３１，Ｐ３２とからなる。中継用プログラムデータＰ３０は、外部ツール３０とＥＣＵ２０，２１との間で通信を中継するためのプログラムである。中継用プログラムデータＰ３０には、図７に示されるステップＳ３０，Ｓ３１の処理が含まれる。通信用プログラムデータＰ３１は、外部ツール３０と通信を行うためのプログラムである。通信用プログラムＰ３２は、ＥＣＵ２０，２１と通信を行うためのプログラムである。
【００５６】
以上説明した本実施形態の車載ネットワークシステム１によれば、以下の（３）に示される作用及び効果を更に得ることができる。
【００５７】
（３）ゲートウェイＥＣＵ１０では、通常状態の際に外部ツール３０とＥＣＵ２０，２１との間で通信を中継するためのプログラムデータと、ＲＯＭ１３のプログラムデータの書き換えの際に外部ツール３０とＥＣＵ２０，２１との間で通信を中継するためのプログラムデータとを共通化することができる。これにより、第２実施形態のゲートウェイＥＣＵ１０と比較すると、ＲＯＭ１３の容量を少なくすることができる。
【００５８】
＜他の実施形態＞
なお、上記各実施形態は、以下の形態にて実施することもできる。
・通常制御用プログラムデータＰ１の書き換え中にゲートウェイＥＣＵ１０からＥＣＵ２０，２１に送信される所定の信号は、通信継続信号に限らず、ＥＣＵ２０，２１をダイアグマスク状態及び送信停止状態に維持させることの可能な適宜の信号を採用することができる。例えば、非通常状態移行要求信号やダイアグマスク要求信号、送信停止要求信号等を採用してもよい。
【００５９】
・通常制御用プログラムデータＰ１及び書き換え用プログラムデータＰ２が記憶される記憶部は、ＲＯＭ１３に限らず、適宜の記憶装置を採用することができる。
【００６０】
・各実施形態の構成は、ＲＯＭ１３に記憶された通常制御用プログラムデータＰ１の書き換えの際に限らず、ＲＯＭ１３に記憶された任意のプログラムデータの書き換えの際に用いることが可能である。
【００６１】
・本発明は上記の具体例に限定されるものではない。すなわち、上記の具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素及びその配置や条件等は、例示したものに限定されるわけではなく適宜変更することができる。また、前述した実施形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。
【符号の説明】
【００６２】
１：車載ネットワークシステム
１０：ゲートウェイＥＣＵ（ゲートウェイ制御装置）
１３：記憶部
２０，２１：ＥＣＵ（電子制御装置）
３０：外部ツール
ＮＷ１，ＮＷ２：ネットワーク
【図１】
2016107908.tif 000003
【図２】
2016107908.tif 000004
【図３】
2016107908.tif 000005
【図４】
2016107908.tif 000006
【図５】
2016107908.tif 000007
【図６】
2016107908.tif 000008
【図７】
2016107908.tif 000009
【図８】
2016107908.tif 000010
【図９】
2016107908.tif 000011