(57)【要約】【課題】管理者が、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を適切に管理することができる制御装置を提供する。【解決手段】車両に搭載された対象機器を制御する車載制御装置であるＥＣＵ３０の、対象機器の制御のための制御プログラムの更新する際に、当該更新を制御する制御装置として機能するＥＣＵにおいては、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果が取得される（Ｓ６，７）。そして、その判定の結果に基づいて制御プログラムの更新に関する処理が制御される（Ｓ８）。【選択図】図５
2017215889.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された対象機器を制御する車載制御装置の、前記対象機器の制御のための制御プログラムの更新を制御する制御装置であって、
前記車両のユーザの情報である第１のユーザ情報と、前記制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、前記車両のユーザが前記管理者であるか否かの判定の結果を取得するユーザ認証部と、
前記判定の結果に基づいて前記制御プログラムの更新に関する処理を制御する更新制御部と、を備える、制御装置。
【請求項２】
前記ユーザ認証部は、前記更新の際の前記車両のユーザの前記第１のユーザ情報を用いて行われた前記判定の結果を取得する、請求項１に記載の制御装置。
【請求項３】
前記第１のユーザ情報は、前記車両のドアアンロック時、エンジンＯＮの操作時、および電源ＯＮの操作時のいずれかに前記車両から所定範囲にいるユーザのユーザ情報である、請求項２に記載の制御装置。
【請求項４】
前記ユーザ認証部は、
前記第１のユーザ情報を取得する取得部と、
前記第１のユーザ情報を用いて前記判定を行う判定部と、を含む、請求項１〜請求項３のいずれか一項に記載の制御装置。
【請求項５】
前記取得部は、予め規定された通信範囲の通信機能によって前記車両のユーザの携帯端末装置と通信し、前記携帯端末装置から読み出される前記第１のユーザ情報を取得する、請求項４に記載の制御装置。
【請求項６】
前記取得部は、前記車両のユーザが前記第２のユーザ情報を入力可能な装置と通信し、前記装置に前記ユーザによって入力された前記第２のユーザ情報を取得する、請求項４に記載の制御装置。
【請求項７】
前記第２のユーザ情報を記憶する記憶部をさらに備え、
前記ユーザ認証部は、前記記憶部から前記第２のユーザ情報を読み出す読出部をさらに含み、
前記判定部は、前記取得部によって取得された第１のユーザ情報と前記読出部によって読み出された前記第２のユーザ情報とを用いて前記判定を行う、請求項４〜請求項６のいずれか一項に記載の制御装置。
【請求項８】
前記ユーザ認証部は、他の装置の有する、前記第２のユーザ情報を記憶する記憶部から前記第２のユーザ情報を読み出す読出部をさらに含み、
前記判定部は、前記取得部によって取得された第１のユーザ情報と前記読出部によって読み出された前記第２のユーザ情報とを用いて前記判定を行う、請求項４〜請求項６のいずれか一項に記載の制御装置。
【請求項９】
車両に搭載された対象機器を制御する車載制御装置の、前記対象機器の制御のための制御プログラムの更新方法であって、
前記車両のユーザの情報である第１のユーザ情報と、前記制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、前記車両のユーザが前記管理者であるか否かの判定の結果を取得するステップと、
前記判定の結果に基づいて前記制御プログラムの更新に関する処理を制御するステップと、を備える、プログラム更新方法。
【請求項１０】
車両に搭載された対象機器を制御する車載制御装置の、前記対象機器の制御のための制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、前記コンピュータを、
前記車両のユーザの情報である第１のユーザ情報と、前記制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、前記車両のユーザが前記管理者であるか否かの判定の結果を取得するユーザ認証部と、
前記判定の結果に基づいて前記制御プログラムの更新に関する処理を制御する更新制御部と、として機能させる、コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は制御装置、プログラム更新方法、およびコンピュータプログラムに関し、特に、車載制御装置の制御プログラムの更新を制御する制御装置、プログラム更新方法、およびコンピュータプログラムに関する。
【背景技術】
【０００２】
近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための車載制御装置である、所謂ＥＣＵ（Electronic  Control  Unit）が多数搭載されている。
ＥＣＵには、たとえば、アクセル、ブレーキ、ハンドルの操作に対してエンジンやブレーキ、ＥＰＳ（Electric  Power  Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じてヘッドライトの点灯／消灯やワイパーＯＮ／ＯＦＦ、ドアロック／アンロック等、運転席近傍に配設されるメータ類の動作を行うものがある。
【０００３】
一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read  Only  Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
ＥＣＵの制御プログラムは、車両の仕向け地やグレードなどに応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。
【０００４】
たとえば、特許文献１には、車載通信機などのゲートウェイが管理サーバから更新プログラムを受信し、受信した更新プログラム用いてＥＣＵが制御プログラムを旧バージョンから新バージョンに書き換えることにより、車両の各ＥＣＵに対するプログラム更新を無線通信によって遠隔で実行する技術が開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−６５８５６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
車両の用いられ方の一つに、複数ユーザで共有する用いられ方が挙げられる。たとえば、レンタカーとして不特定多数のユーザグループで共有されたり、家族等の特定のユーザグループで共有されたりする用いられ方が考えられる。
【０００７】
たとえば車両の所有者などの当該車両の管理者が、当該車両のＥＣＵの制御プログラムの更新も管理したいというニーズがある。しかしながら、当該車両が複数ユーザによって共有されて用いられ、上記の管理者以外のユーザが使用している際にＥＣＵの制御プログラムが更新されると、管理者はＥＣＵの制御プログラムの更新を適切に管理できない場合が生じる。
【０００８】
本発明のある局面における目的は、管理者がプログラムの更新を適切に管理することができる制御装置、プログラム更新方法、およびコンピュータプログラムを提供することである。
【課題を解決するための手段】
【０００９】
ある実施の形態に従うと、制御装置は、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を制御する制御装置であって、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果を取得するユーザ認証部と、判定の結果に基づいて制御プログラムの更新に関する処理を制御する更新制御部と、を備える。
【００１０】
他の実施の形態に従うと、プログラム更新方法は、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新方法であって、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果を取得するステップと、判定の結果に基づいて制御プログラムの更新に関する処理を制御するステップと、を備える。
【００１１】
他の実施の形態に従うと、コンピュータプログラムは、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータを、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果を取得するユーザ認証部と、判定の結果に基づいて制御プログラムの更新に関する処理を制御する更新制御部と、として機能させる。
【発明の効果】
【００１２】
この発明によると、管理者が、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を適切に管理することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施形態に係るプログラム更新システムの全体構成図である。
【図２】ゲートウェイの内部構成を示すブロック図である。
【図３】ＥＣＵの内部構成を示すブロック図である。
【図４】管理サーバの内部構成を示すブロック図である。
【図５】ＥＣＵの制御プログラムの更新の一例を示すシーケンス図である。
【図６】デバイスと通信可能なＥＣＵの機能構成の具体例を示したブロック図である。
【図７】図５のステップＳ６，７のユーザ認証の処理の流れの一例を表したフローチャートである。
【発明を実施するための形態】
【００１４】
［実施の形態の説明］
本実施の形態には、少なくとも以下のものが含まれる。
すなわち、本実施の形態に含まれる制御装置は、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を制御する制御装置であって、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが前記管理者であるか否かの判定の結果を取得するユーザ認証部と、判定の結果に基づいて制御プログラムの更新に関する処理を制御する更新制御部と、を備える。
この構成によれば、車両のユーザが制御プログラムの更新の管理者である場合に車載制御装置の制御プログラムの更新に関する処理が行われ、車両のユーザが管理者でない場合には処理が行われないように制御することができる。そのため、制御プログラムの更新を管理者が適切に管理することができる。
【００１５】
好ましくは、ユーザ認証部は、更新の際の車両のユーザの第１のユーザ情報を用いて行われた判定の結果を取得する。
これによって、制御プログラムの更新の管理の精度を向上させることができる。
【００１６】
好ましくは、第１のユーザ情報は、車両のドアアンロック時、エンジンＯＮの操作時、および電源ＯＮの操作時のいずれかに車両から所定範囲にいるユーザのユーザ情報である。
このような構成にすることによって、判定に用いられるユーザ情報が制御プログラムの更新時の車両のユーザのユーザ情報である可能性を高めることができるために、制御プログラムの更新の管理の精度をより向上させることができる。
【００１７】
好ましくは、ユーザ認証部は、第１のユーザ情報を取得する取得部と、第１のユーザ情報を用いて判定を行う判定部と、を含む。
この構成によって、制御装置自身によって制御プログラムの更新の管理のための処理を行うことができる。
【００１８】
好ましくは、取得部は、予め規定された通信範囲の通信機能によって車両のユーザの携帯端末装置と通信し、携帯端末装置から読み出される第１のユーザ情報を取得する。
この構成によって、判定に用いられるユーザ情報が制御プログラムの更新時の車両のユーザのユーザ情報である可能性を高めることができ、また、ユーザ操作を必要とせずにユーザ情報が取得される。そのため、ユーザの操作を不要として制御プログラムの更新の管理の精度をより向上させることができる。
【００１９】
好ましくは、取得部は、車両のユーザが第２のユーザ情報を入力可能な装置と通信し、装置にユーザによって入力された第２のユーザ情報を取得する。
この構成によって、判定に用いられるユーザ情報が制御プログラムの更新時の車両のユーザのユーザ情報である可能性を高めることができ、また、容易な構成によってユーザ情報が取得される。そのため、容易な構成で制御プログラムの更新の管理の精度をより向上させることができる。
【００２０】
好ましくは、制御装置は第２のユーザ情報を記憶する記憶部をさらに備え、ユーザ認証部は、記憶部から第２のユーザ情報を読み出す読出部をさらに含み、判定部は、取得部によって取得された第１のユーザ情報と読出部によって読み出された第２のユーザ情報とを用いて判定を行う。
この構成によって、管理者とするユーザのユーザ情報（第２のユーザ情報）を記憶部に登録することで容易に制御プログラムの更新の管理を行うことができる。
【００２１】
好ましくは、ユーザ認証部は、他の装置の有する、第２のユーザ情報を記憶する記憶部から第２のユーザ情報を読み出す読出部をさらに含み、判定部は、取得部によって取得された第１のユーザ情報と読出部によって読み出された第２のユーザ情報とを用いて判定を行う。
この構成によって、管理者とするユーザのユーザ情報（第２のユーザ情報）を当該制御装置に登録する操作を行うことなく、容易に制御プログラムの更新の管理を行うことができる。
【００２２】
本実施の形態に含まれるプログラム更新方法は、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新方法であって、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果を取得するステップと、判定の結果に基づいて制御プログラムの更新に関する処理を制御するステップと、を備える。
この構成によれば、車両のユーザが制御プログラムの更新の管理者である場合に車載制御装置の制御プログラムの更新に関する処理が行われ、車両のユーザが管理者でない場合には処理が行われないように制御することができる。そのため、制御プログラムの更新を管理者が適切に管理することができる。
【００２３】
本実施の形態に含まれるコンピュータプログラムは、車両に搭載された対象機器を制御する車載制御装置の、対象機器の制御のための制御プログラムの更新を制御する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータを、車両のユーザの情報である第１のユーザ情報と、制御プログラムの更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって得られる、車両のユーザが管理者であるか否かの判定の結果を取得するユーザ認証部と、判定の結果に基づいて制御プログラムの更新に関する処理を制御する更新制御部と、として機能させる。
この構成によれば、車両のユーザが制御プログラムの更新の管理者である場合に車載制御装置の制御プログラムの更新に関する処理が行われ、車両のユーザが管理者でない場合には処理が行われないように制御することができる。そのため、制御プログラムの更新を管理者が適切に管理することができる。
【００２４】
［実施の形態の詳細］
以下に、図面を参照しつつ、好ましい実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。
【００２５】
＜第１の実施の形態＞
〔システムの全体構成〕
図１は、本発明の実施形態に係るプログラム更新システムの全体構成図である。
図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５およびＤＬ（ダウンロード）サーバ６を含む。
管理サーバ５およびＤＬサーバ６は、たとえば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。
【００２６】
車両１には、ゲートウェイ１０と、無線通信部１５と、複数のＥＣＵ３０と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）とが搭載されている。
車両１には、共通の車内通信線にバス接続された複数のＥＣＵ３０による通信グループが存在し、ゲートウェイ１０は、通信グループ間の通信を中継している。このため、ゲートウェイ１０には、複数の車内通信線が接続されている。
【００２７】
複数のＥＣＵ３０のうちの少なくとも１台のＥＣＵ３０Ａは、デバイス７と無線通信可能である。デバイス７は、一例として、ユーザの携帯端末装置である。この場合、デバイス７は、ユーザ情報を記憶し、ＥＣＵ３０Ａに対する通信機能を有する装置である。デバイス７は、たとえば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、免許証等のユーザカードなどである。デバイス７は、他の例として、ユーザ情報を入力可能な入力装置である。この場合、デバイス７は、ユーザ情報を入力するための機能（たとえばボタン、タッチパネル、マイク、カメラ、指紋等の読取装置、等）と、ＥＣＵ３０Ａに対する通信機能とを有する装置である。デバイス７は、たとえば、カーナビゲーション装置、ユーザが所有するスマートフォンなどである。
【００２８】
無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５およびＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、ＥＣＵ３０に送信する。
ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。
【００２９】
車両１に搭載される無線通信部１５としては、たとえば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal  Computer）等の装置が考えられる。
図１では、ゲートウェイ１０が無線通信部１５を介して車外装置と通信を行う場合が例示されているが、ゲートウェイ１０が無線通信の機能を有する場合には、ゲートウェイ１０自身が管理サーバ５などの車外装置と無線通信を行う構成としてもよい。
【００３０】
また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６とが別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。
【００３１】
〔ゲートウェイの内部構成〕
図２は、ゲートウェイ１０の内部構成を示すブロック図である。
図２に示すように、ゲートウェイ１０は、ＣＰＵ（Central  Processing  Unit）１１、ＲＡＭ（Random  Access  Memory）１２、記憶部１３、および車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線とを介して接続されているが、これらは一つの装置で構成してもよい。
【００３２】
ＣＰＵ１１は、記憶部１３に記憶された一または複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
ＣＰＵ１１は、たとえば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。ＲＡＭ１２は、ＳＲＡＭ（Static  ＲＡＭ）またはＤＲＡＭ（Dynamic  ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
【００３３】
記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ（Electrically  Erasable  Programmable  Read  Only  Memory）等の不揮発性のメモリ素子などにより構成されている。
記憶部１３は、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等を記憶する記憶領域を有する。記憶部１３は、ＤＬサーバ６から受信した各ＥＣＵ３０の更新プログラムなども記憶する。
【００３４】
車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、たとえばＣＡＮ（Controller  Area  Network）、ＣＡＮＦＤ（ＣＡＮ  with  Flexible  Data  Rate）、ＬＩＮ（Local  Interconnect  Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、またはＭＯＳＴ（Media  Oriented  Systems  Transport：ＭＯＳＴは登録商標）等の規格に応じて、ＥＣＵ３０との通信を行う。
車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
【００３５】
無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。
【００３６】
図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal  Serial  Bus）またはＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０とが通信可能になる。
【００３７】
〔ＥＣＵの内部構成〕
図３は、ＥＣＵ３０のうちのデバイス７と通信可能なＥＣＵ３０Ａの内部構成を示すブロック図である。
図３に示すように、ＥＣＵ３０Ａは、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、第１通信部３４、および第２通信部３６などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、たとえば、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、およびドアロック制御ＥＣＵなどがある。
【００３８】
ＣＰＵ３１は、記憶部３３に予め記憶された一または複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。
ＲＡＭ３２は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
【００３９】
記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
記憶部３３が記憶する情報には、たとえば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラム（以下、「制御プログラム」という。）が含まれる。
【００４０】
第１通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。第１通信部３４は、たとえばＣＡＮ、Ｅｔｈｅｒｎｅｔ、またはＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
第１通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。第１通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
【００４１】
なお、以上のＣＰＵ３１〜第１通信部３４は、デバイス７との通信機能を有さないＥＣＵ３０にも同様に含まれる。
【００４２】
第２通信部３６は、たとえばＮＦＣ（Near  Field  Communication）やＢｌｕｅｔｏｏｔｈ（登録商標）などの規格に応じて、デバイス７と近距離無線通信を行う。
第２通信部３６は、近距離無線通信によってデバイス７から受信した情報をＣＰＵ３１に与える。
【００４３】
ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」または「リプログラミングモード」（以下、「リプロモード」ともいう。）のいずれかに切り替える起動部３５が含まれる。
ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（たとえば、燃料エンジンに対するエンジン制御や、ドアロックモータに対するドアロック制御など）を実行する制御モードのことである。
【００４４】
リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムの消去や書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。
【００４５】
リプロモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。
【００４６】
〔管理サーバの内部構成〕
図４は、管理サーバ５の内部構成を示すブロック図である。
図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、および通信部５５などを備える。
【００４７】
ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一または複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。
ＲＡＭ５３は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
【００４８】
記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、または、ハードディスクなどの磁気記憶装置等により構成されている。
通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。
【００４９】
〔制御プログラムの更新シーケンス〕
図５は、本実施形態のプログラム更新システムにおいて実行される、ＥＣＵに対する制御プログラムの更新の一例を示すシーケンス図である。一例として、管理サーバ５が、予め会員登録されたユーザが所有する車両１について、当該車両１のＥＣＵの制御プログラムを更新するタイミングを決定する。更新のタイミングは、たとえば、車両１のカーメーカーなどによって設定されてもよい。
【００５０】
ＥＣＵの制御プログラムを更新するタイミングに達すると、管理サーバ５は、該当する車両１のゲートウェイ１０宛てに、ＥＣＵ３０の更新プログラムの保存先ＵＲＬとダウンロード要求とを送信する（ステップＳ１）。
これにより、ゲートウェイ１０は、ＥＣＵ３０のための更新プログラムをＤＬサーバ６からダウンロードする（ステップＳ２）。ゲートウェイ１０は、受信した更新プログラムを自装置の記憶部１３に一時的に格納して保存する。
【００５１】
更新プログラムの保存が完了すると、ゲートウェイ１０は、ＤＬが正常に完了したことを管理サーバ５に送信する（ステップＳ３）。引き続き自動で更新を行う場合、ＤＬ完了通知を受信した管理サーバ５は、制御プログラムの更新要求をゲートウェイ１０に送信する。管理サーバ５は、ＤＬ完了後、一時中断し外部から更新要求を受けてから、制御プログラムの更新要求をゲートウェイ１０に送信してもよい（ステップＳ４）。
更新要求を受信したゲートウェイ１０は、記憶部１３に保存した更新プログラムを用いて制御プログラムを更新させるべく、該当するＥＣＵ３０に制御プログラムの更新要求を送信する（ステップＳ５）。
【００５２】
制御プログラムの更新要求を受信すると、該当するＥＣＵ３０はユーザ認証を実行する（ステップＳ６，７）。ユーザ認証は、制御プログラムの更新処理実行時の車両１のユーザが、当該ＥＣＵ３０の制御プログラムの更新の権限を有する管理者である更新管理者として登録されているユーザであるか否かを判定する処理である。具体的には、該当するＥＣＵ３０がデバイス７と通信可能なＥＣＵ３０Ａである場合、ＥＣＵ３０Ａはデバイス７からユーザ情報を読み出して（ステップＳ６）、制御プログラムの更新管理者として予め登録されているユーザのユーザ情報と比較することによって、デバイス７のユーザ情報、すなわち車両１の現在のユーザが更新管理者であるか否かを判定する（ステップＳ７）。なお、車両１のユーザとは、車両１内にいるユーザを指す。また、車両１のユーザは、車両１から所定範囲内にいるユーザを含んでもよい。所定範囲は、たとえば、ＥＣＵ３０Ａの第２通信部３６がデバイス７と近距離無線通信が可能な範囲である。
【００５３】
該当するＥＣＵ３０がデバイス７と通信可能なＥＣＵ３０Ａではない場合、ステップＳ６で当該ＥＣＵ３０はデバイス７と通信可能なＥＣＵ３０Ａを経由してデバイス７からユーザ情報を読み出してもよい。または、当該ＥＣＵ３０は、デバイス７と通信可能なＥＣＵ３０Ａにユーザ認証を指示してＥＣＵ３０ＡにステップＳ６〜Ｓ７を実行させて、ＥＣＵ３０Ａから認証結果を取得してもよい。すなわち、ステップＳ６〜Ｓ７のＥＣＵ３０におけるユーザ認証は、該当するＥＣＵ３０Ａ自身でデバイス７からユーザ情報の取得またはＥＣＵ３０が他のＥＣＵ３０Ａを介してデバイス７からユーザ情報の取得を行ってユーザ認証を行うもの、ならびに、ＥＣＵ３０が他のＥＣＵ３０Ａで実行させたユーザ認証の結果を取得するものを含む。
【００５４】
ユーザ認証によって車両１のユーザが更新管理者であると判定されると、自身の制御モードを通常モードからリプロモードに切り替える。これにより、当該ＥＣＵは制御プログラムの更新処理が可能な状態となる。
【００５５】
ＥＣＵ３０は、受信した更新プログラムを展開して旧バージョンの制御プログラムに適用することにより、制御プログラムを旧バージョンから新バージョンに書き換える（ステップＳ８）。書き換えが完了すると、ＥＣＵ３０は、書き換えの完了通知をゲートウェイ１０に送信する（ステップＳ９）。ゲートウェイ１０は、書き換えの完了通知を該当するＥＣＵ３０から受信すると、更新完了通知を管理サーバ５に送信する（ステップＳ１０）。
【００５６】
［ＥＣＵの機能構成］
図６は、デバイス７と通信可能なＥＣＵ３０Ａの、制御プログラムの更新処理を行うための機能構成の具体例を示したブロック図である。図６の各機能は、ＥＣＵ３０ＡのＣＰＵ３１が記憶部３３に記憶されているプログラムをＲＡＭ３２上に読み出して実行することによって、主にＣＰＵ３１によって実現される。
【００５７】
詳しくは、図６を参照して、ＥＣＵ３０ＡのＣＰＵ３１は、第２通信部３６での近距離無線通信によってデバイス７からユーザ情報Ｙ１（第１のユーザ情報）を取得する取得部３１１と、記憶部３３に用意されている、ユーザ情報を記憶するデータベースＤＢから更新管理者のユーザ情報Ｙ２（第２のユーザ情報）を読み出す読出部３１２と、ユーザ情報Ｙ１とユーザ情報Ｙ２とを照合することで、車両１のユーザが更新管理者であるか否かを判定する判定部３１３と、その判定結果に応じて制御プログラムの更新を制御する更新処理部（更新制御部）３１４と、を含む。取得部３１１と読出部３１２と判定部３１３とは、上記ステップＳ６，７で表されたユーザ認証を行うためのユーザ認証部であり、更新処理部は、制御プログラムの更新に関する処理を制御する更新制御部の一例である。
【００５８】
ユーザ情報Ｙ１は、たとえば、デバイス７が携帯電話機、スマートフォン、タブレット型端末などの携帯端末装置である場合、それら装置に記憶されているユーザ名や電話番号やメールアドレスやそれらの組み合わせなどが挙げられる。デバイス７が免許証や携帯端末装置などである場合、それら装置に記憶されている、ユーザ名やユーザに付与されている識別子（番号等）やそれらの組み合わせなどが挙げられる。デバイス７がカーナビゲーション装置やスマートフォンなどの入力装置である場合、ユーザに付与されたＩＤやパスワードや顔画像や音声情報や指紋または虹彩情報やそれらの組み合わせなどが挙げられる。
【００５９】
データベースＤＢは、自装置（ＥＣＵ３０Ａ）の記憶部３３に用意されていてもよいし、他の複数のＥＣＵ３０のいずれかの記憶部３３に用意されていてもよい。たとえば、他のＥＣＵ３０としては、たとえばドアロック／アンロック等を行うＥＣＵ３０であってよく、この場合、ドアロック／アンロック等の際のユーザ認証用のユーザ情報と兼用されてもよい。このようにすることで、ユーザ情報を記憶するための記憶容量を抑えることができる。ＥＣＵ３０ＡまたはＥＣＵ３０のデータベースＤＢに記憶されている更新管理者のユーザ情報は、車両１のユーザの操作に従ってデータベースＤＢに登録されてもよい。このようにすることで、ユーザは任意に更新管理者を登録することができ、ユーザの利便性を向上させることができる。または、更新管理者のユーザ情報は管理サーバ５からの登録要求に応じて自動的にデータベースＤＢに登録されてもよい。このようにすることで更新管理者の登録を容易にすることができる。
【００６０】
また、データベースＤＢはＥＣＵ３０ごとに用意されて、当該ＥＣＵ３０の制御プログラムの更新の際のユーザ認証には自装置のデータベースＤＢに登録されているユーザ情報Ｙ２が用いられてもよい。このようにすることで、ＥＣＵ３０ごとに異なる更新管理者を設定することができ、より細やかな管理を可能にする。
【００６１】
また、データベースＤＢは、管理サーバ５の記憶部５４やＤＬサーバ６に用意されていてもよい。管理サーバ５やＤＬサーバ６に記憶されている更新管理者のユーザ情報は、たとえば、ユーザが会員登録するなどの際に併せて登録される。このようにすることで、更新管理者の登録を容易にすることができる。
【００６２】
データベースＤＢには、更新管理者として複数のユーザのユーザ情報Ｙ２が記憶されていてもよい。データベースＤＢに複数の更新管理者のユーザ情報が登録されている場合、判定部３１３は、デバイス７から取得されたユーザ情報Ｙ１が複数のユーザ情報Ｙ２のうちの少なくとも１つと一致することで車両１のユーザが更新管理者であると判定してもよい。または、判定部３１３は、取得部３１１から複数のユーザ情報Ｙ１を受け取り、その中に複数のユーザ情報Ｙ２がすべて含まれていた場合に車両１のユーザが更新管理者であると判定してもよい。このようにすることで、制御プログラムの更新の管理をより厳格にしたり、柔軟にしたりすることができる。
【００６３】
データベースＤＢに更新管理者として複数のユーザのユーザ情報を記憶可能な構成の場合、さらに、更新管理者ごとに更新を許可可能なレベルが設定され、ユーザ認証には制御プログラムの更新のレベルに応じたユーザ情報が用いられてもよい。たとえば、同じＥＣＵの制御プログラムであっても、管理者１に対してはすべての更新を許可し、管理者２に対しては一部の更新を許可する、などのレベルが挙げられる。このようにすることで、より細やかな管理を可能にする。
【００６４】
なお、デバイス７との通信機能を有さないＥＣＵ３０の場合もＣＰＵ３１は図６の各機能を有していてもよい。この場合、取得部３１１は、デバイス７と通信可能なＥＣＵ３０Ａと通信し、ＥＣＵ３０Ａがデバイス７から取得したユーザ情報Ｙ１を受信する。
【００６５】
［ユーザ認証］
図７は、上記ステップＳ６，７のユーザ認証の処理の流れの一例を表したフローチャートである。図７のフローチャートに表された処理は、一例として、ＥＣＵ３０ＡのＣＰＵ３１が記憶部３３に記憶されているプログラムをＲＡＭ３２上に読み出して実行し、図６の各機能を発揮することによって実現される。
【００６６】
ユーザ認証は、予め規定されたタイミングでＥＣＵ３０Ａにおいて行われる。予め規定されたタイミングは、たとえば、図５に表されたようにＥＣＵ３０Ａがゲートウェイ１０から制御プログラムの更新要求（ステップＳ５）を受けたタイミングである。またたとえば、ＥＣＵ３０Ａがゲートウェイ１０から更新要求と共に更新プログラムを受け取り、記憶部３３に記憶したタイミングにユーザ認証が行われてもよい。またたとえば、ゲートウェイ１０から以前に受け取り、制御プログラムの更新を未だ行っていない更新プログラムが記憶部３３に記憶されている場合に、予め規定された所定の時間間隔でユーザ認証が行われてもよい。つまり、一例として、ユーザ認証は制御プログラムを更新する直前に行われる。この場合、ユーザ情報Ｙ１は制御プログラムの更新時の車両１のユーザのものとなり、管理精度を向上させることができる。
【００６７】
またたとえば、更新要求または更新プログラムの有無に関わらず、車両１のドアアンロックのタイミングや、電源ＯＮ操作を受け付けたタイミングや、エンジンＯＮ操作を受け付けたタイミングなどの、予め規定された、ユーザが車両１の運転を開始する、または内部にいるタイミングにユーザ認証が行われてもよい。つまり、一例として、ユーザ認証は制御プログラムを更新するより以前に行われて、制御プログラムの更新の際にユーザ認証の結果が用いられる。同様に、デバイス７からのユーザ情報Ｙ１の取得を上記の予め規定されたタイミングに行っておき、制御プログラムを更新する直前に記憶しているユーザ情報Ｙ１を用いてユーザ認証を行ってもよい。この場合、管理精度を確保しつつ、制御プログラムの更新の直前にユーザ認証を開始するよりもすばやく認証を行うことができ、制御プログラムの更新に要する時間を短縮することができる。
なお、この場合のユーザ認証の結果は、ユーザが車両１の運転を終了する、または外部に出るタイミングにメモリから破棄される。破棄のタイミングは、たとえば、ドアロックのタイミングや、電源ＯＦＦ操作を受け付けたタイミングや、エンジンＯＦＦ操作を受け付けたタイミングなどである。または、ユーザが車両１の運転を開始する、または内部にいるタイミングごとにユーザ認証が行われて、メモリに記憶されているユーザ認証が上書きされてもよい。このようにすることで、制御プログラムの更新の際の車両１のユーザのユーザ認証の結果を、制御プログラムの更新の判断に用いることができて、管理精度を向上させることができる。
【００６８】
ＣＰＵ３１は、上記のタイミングに達すると図７の処理を開始する。図７を参照して、ユーザ認証を開始すると、ＣＰＵ３１は、デバイス７と通信することによってユーザ情報Ｙ１を取得する（ステップＳ１０１）。デバイス７がカーナビゲーション装置やスマートフォンなどのユーザ情報を入力するための機能とＥＣＵ３０Ａに対する通信機能とを有する装置であり、ユーザ情報Ｙ１が上記のようにユーザに付与されたＩＤやパスワードやそれらの組み合わせなどの場合、ステップＳ１０１でＣＰＵ３１は、デバイス７にユーザ情報Ｙ１の入力を受け付ける画面を表示するための情報や入力を促すメッセージなどを送信することで、ユーザからのデバイス７に対するユーザ情報Ｙ１の入力を促してもよい。
【００６９】
また、ＣＰＵ３１は、記憶部３３のデータベースＤＢ、または管理サーバ５などの他の装置の有するデータベースＤＢから、更新管理者のユーザ情報Ｙ２を読み出す（ステップＳ１０３）。そして、ＣＰＵ３１は、これらユーザ情報Ｙ１，Ｙ２を照合する（ステップＳ１０５）。
【００７０】
照合の結果がＯＫである場合、つまり、車両１のユーザが更新管理者であると判定された場合（ステップＳ１０５で「ＯＫ」）、ＣＰＵ３１は、受信した更新プログラムを用いて制御プログラムを更新する（ステップＳ１０７）。
【００７１】
照合の結果がＮＧである場合、つまり、車両１のユーザが更新管理者であると判定されなかった場合には（ステップＳ１０５で「ＮＧ」）、ステップＳ１０７をスキップする。つまり、この場合には制御プログラムの更新は行われない。また、この場合には、上記のような画面表示もなされない。
【００７２】
なお、ユーザ認証の結果は、制御プログラムの更新処理を含む、制御プログラムの更新に関するあらゆる処理の実行の可否に用いられてもよい。たとえば、制御プログラムの更新に先立って図示しない出力装置（たとえばナビゲーション装置やデバイス７のディスプレイ、スピーカ等）に更新の可否を問い合わせる画面表示やメッセージ出力などを行い、ユーザによる認証操作を受け付けてから制御プログラムの更新が開始される場合、出力を行うか否かがユーザ認証の結果に応じて決定されてもよい。
【００７３】
［第１の実施の形態の効果］
第１の実施の形態にかかるプログラム更新システムによれば、ＥＣＵの制御プログラムの更新に先立って車両のユーザのユーザ認証が行われて、更新管理者である場合に制御プログラムが更新される。更新管理者でないユーザが車両のユーザである場合には制御プログラムの更新が行われない。つまり、更新管理者が把握せずに制御プログラムが更新されてしまう事態を回避できる。このため、制御プログラムの更新を更新管理者が管理することができる。
【００７４】
さらに、ユーザの承認を得てから制御プログラムの更新が行われる場合には、更新管理者以外のユーザによっては制御プログラムの更新が行われないために、更新管理者以外のユーザが車両を使用している場合には制御プログラムの更新の承認を得るための通知も行われない。このため、制御プログラムの更新を更新管理者が適切に管理することができる。
【００７５】
＜第２の実施の形態＞
第１の実施の形態にかかるプログラム更新システムでは、制御プログラムを更新するＥＣＵ３０においてユーザ認証が行われる。しかしながら、ユーザ認証は、ＥＣＵ３０での制御プログラムの更新を制御可能ないずれの装置（制御装置）で行われてもよい。たとえば、制御装置は、たとえば、制御プログラムを更新する第１のＥＣＵとは異なる第２のＥＣＵであってもよい。
【００７６】
上記のように、第２のＥＣＵもまた、図６に表された各機能を有する。第２のＥＣＵは、ユーザが車両１に乗車してから第１のＥＣＵが制御プログラムを更新するまでの間に（たとえば上記のタイミングで）図７のユーザ認証を実行し、認証結果を第１のＥＣＵに渡す、または、認証結果を記憶部３３に記憶しておいて第１のＥＣＵからの要求に応じて渡す。
【００７７】
第２のＥＣＵ３０は、たとえば、ドアロック／アンロックを行うＥＣＵ３０、エンジンＯＮ／ＯＦＦを行うＥＣＵ３０などであってよい。この場合、ドアロック／アンロックの際のユーザ認証や、エンジンＯＮ／ＯＦＦの際のユーザ認証の認証結果を第１のＥＣＵ３０に渡してもよい。
【００７８】
＜第３の実施の形態＞
ユーザ認証を行う制御装置は、ＥＣＵ３０以外の装置であってもよい。一例として、ＥＣＵ３０での制御プログラムの更新に関する処理を制御する制御装置であるゲートウェイ１０においてユーザ認証が行なわれてもよい。
【００７９】
ゲートウェイ１０がユーザ認証を行なう場合、ゲートウェイ１０のＣＰＵ１１が記憶部１３に記憶されているプログラムをＲＡＭ１２上に読み出して実行することによって、図６の各機能はＣＰＵ１１によって実現される。この場合、取得部３１１は、制御プログラムを更新するＥＣＵ３０またはその他のＥＣＵ３０Ａと通信することで、当該ＥＣＵ３０がデバイス７から取得したユーザ情報Ｙ１を取得する。更新管理者のユーザ情報を記憶するデータベースＤＢは記憶部１３に用意されていて、読出部３１２が記憶部１３からユーザ情報Ｙ２を読み出してもよい。または、読出部３１２は、制御プログラムを更新するＥＣＵ３０またはその他のＥＣＵ３０Ａもしくは管理サーバ５と通信することで、これら装置に記憶されているユーザ情報Ｙ２を読み出してもよい。
【００８０】
ゲートウェイ１０は、ＥＣＵ３０に更新プログラムを渡して制御プログラムの更新を要求する（ステップＳ５）前にユーザ認証を行う。たとえば、ゲートウェイ１０は、管理サーバ５から更新プログラムのダウンロードが要求された際（ステップＳ１）にユーザ認証を行ってもよいし、車両１のドアロック／アンロックのタイミングや電源ＯＮ操作を受け付けたタイミングなどのユーザが車両１の運転を開始する、または内部にいるタイミングにユーザ認証を行ってもよい。なお、ゲートウェイ１０は、ユーザ認証より前に更新プログラムをＥＣＵ３０に渡し、ユーザ認証に成功した場合に当該ＥＣＵ３０に制御プログラムの更新を要求してもよい。
【００８１】
＜第４の実施の形態＞
ユーザ認証を行う制御装置は、車外の制御装置であってもよい。図５に示されたように、管理サーバ５はＥＣＵ３０での制御プログラムの更新をゲートウェイ１０に要求するため（ステップＳ４）、管理サーバ５もＥＣＵ３０での制御プログラムの更新に関する処理を制御する制御装置であると言える。従って、管理サーバ５においてユーザ認証が行なわれてもよい。
【００８２】
管理サーバ５がユーザ認証を行なう場合、管理サーバ５のＣＰＵ５１がＲＯＭ５２に記憶されているプログラムをＲＡＭ５３上に読み出して実行することによって、図６の各機能はＣＰＵ５１によって実現される。この場合、取得部３１１は、制御プログラムを更新するＥＣＵ３０またはその他のＥＣＵ３０Ａと通信することで、当該ＥＣＵ３０がデバイス７から取得したユーザ情報Ｙ１を取得する。更新管理者のユーザ情報を記憶するデータベースＤＢは記憶部５４に用意されていて、読出部３１２が記憶部５４からユーザ情報Ｙ２を読み出してもよい。または、読出部３１２は、制御プログラムを更新するＥＣＵ３０やゲートウェイ１０と通信することで、これら装置に記憶されているユーザ情報Ｙ２を読み出してもよい。
【００８３】
管理サーバ５は、制御プログラムの更新をゲートウェイ１０に要求する（ステップＳ４）前にユーザ認証を行う。たとえば、管理サーバ５は、ゲートウェイ１０に更新プログラムのダウンロードを要求する（ステップＳ１）前にユーザ認証を行ってもよいし、ＥＣＵ３０の制御プログラムの更新をゲートウェイ１０に要求する（ステップＳ４）前にユーザ認証を行ってもよい。また、管理サーバ５とＤＬサーバ６とが同一のサーバ装置で構成される場合には、これらサーバがゲートウェイ１０に更新プログラムを送信する（ステップＳ２）前にユーザ認証を行ってもよい。
【００８４】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【００８５】
１  車両
２  広域通信網
５  管理サーバ（制御装置）
６  ＤＬサーバ（制御装置）
７  デバイス
１０  ゲートウェイ（制御装置）
１１  ＣＰＵ
１２  ＲＡＭ
１３  記憶部
１４  車内通信部
１５  無線通信部
３０  ＥＣＵ（車載制御装置）
３１  ＣＰＵ
３２  ＲＡＭ
３３  記憶部
３４  第１通信部
３５  起動部
３６  第２通信部
５１  ＣＰＵ
５２  ＲＯＭ
５３  ＲＡＭ
５４  記憶部
５５  通信部
３１１  取得部（ユーザ認証部）
３１２  読出部（ユーザ認証部）
３１３  判定部（ユーザ認証部）
３１４  更新処理部（更新制御部）
Ｙ１，Ｙ２  ユーザ情報
【図１】
2017215889.tif 000003
【図２】
2017215889.tif 000004
【図３】
2017215889.tif 000005
【図４】
2017215889.tif 000006
【図５】
2017215889.tif 000007
【図６】
2017215889.tif 000008
【図７】
2017215889.tif 000009