JP4720781B2 - 車両制御装置のデータ書換システム - Google Patents

Description

本発明は、無線通信ネットワークを通じて配信された書換指令に基づき自身の記憶するデータの書き換えを実施する車両制御装置のデータ書き換えを実施するためのデータ書換システムに関するものである。

従来、例えば特許文献１に見られるように、車両制御装置の制御プログラムや制御データの書き換えを、携帯電話回線などの無線通信ネットワーク経由で行なう、いわゆるリモート・リプログラムに関する技術が提案されている。こうしたリモート・リプログラムは、車両をわざわざディーラや整備工場などに持ち込まなくても実施可能であるため、車両制御装置の制御プログラムや制御データの問題部分を迅速且つ確実に解消することができる。

こうした従来の技術では、携帯電話回線を用いたリモート・リプログラムを、次のように行うよう想定されている。まず始めに、車両メーカの運営する書換実施局が、携帯電話回線を用いて、書換の対象となる各車両の車両制御装置にアクセスして書換指令を通知し、その後、同じく携帯電話回線を用いて、書換用のデータを送信する。一方、車両制御装置では、書換指令の受信に応じて書換用データの受け入れ準備を行ない、書換用データの受信後はその受信したデータに基いて、自身の記憶する制御プログラムや制御データを書き換えるようにしている。
特開平５−１９５８５９号公報

ところで、誤操作や故障などのためデータ書換システムが正常動作しなくなったとき等には、無線通信ネットワークを通じて不正な書換指令が配信されてしまうことが考えられる。このような場合、その配信された不正な書換指令に基いて、車両制御装置の制御プログラムや制御データを書き換えてしまうと、車両の動作に重大な影響を与える虞がある。しかしながら、上記従来の技術では、車両制御装置には、配信された書換指令が正当なものであるか否かを確認するすべはなく、不正に配信された書換指令に基づいた制御プログラムや制御データの書き換えがそのまま不正に実施されてしまう虞がある。また、たとえ書換指令が不正配信される可能性を予見できていたとしても、対応が間に合わずに不正な書換指令の配信を許してしまえば、その不正な書換指令に基く車両制御装置のデータ書換の不正実施を有効に防止する術は準備されていないのが実状である。

本発明はこうした現状に鑑みてなされたものであって、その解決しようとする課題は、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることのできる車両制御装置のデータ書換システムを提供することにある。

上記課題を解決するため、請求項１に記載の車両制御装置のデータ書換システムは、無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、前記車両制御装置は、前記書換指令を配信する書換実施局から前記書換指令の受信に用いた回線を一旦切断した後、回線を再接続して前記書換指令が正当であるか否かの問合せを行い、前記書換実施局での前記書換指令の発行の履歴の有無により当該受信した書換指令が正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許容するとともに、前記書換指令が正当でないことが確認されたときには、前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を前記書換指令の配信に使用した回線とは別の回線を用いて各車両の車両制御装置に配信し、各車両の車両制御装置は、当該配信された書換禁止指令に基づき以後における前記書換指令の受付を禁止することとした。

上記構成では、車両制御装置は、無線通信ネットワークを通じて書換指令を受信すると、車両制御装置の側から、その書換指令が正当であるか否かの問合せを行うようにしている。そして請求項１に記載の車両制御装置のデータ書換システムでは、その問合せにより、受信した書換指令が正当であることが確認されたときに限り、その書換指令に基く自身のデータ書換が許可されるようになる。即ち、いずれにおいても、車両制御装置は、問合せにより、受信した書換指令の正当性を自ら確認して、その書換指令に基くデータ書換を実施するかどうかを判断するようにしている。そのため、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実
施されないようにすることができる。

なお、無線通信ネットワーク経由で不正な書換指令が配信されるような状況では、車両制御装置への書換指令の配信を行うデータ書換システムに不具合が発生しており、その後も不正な書換指令が繰り返し配信される可能性があるものと考えられる。そこで、請求項１に記載の車両制御装置のデータ書換システムでは、前記書換指令が正当でないことが確認されたときには、以後における前記書換指令の受付を禁止することとしている。すなわち、書換指令が不正であることが一旦確認されると、その不正であると確認された書換指令だけでなく、それ以降に受信されたすべての書換指令について、その書換指令に基くデータ書換を実施しないようにしている。そのため、データ書換システムの安全性を十分保証できない状態で、同システムを通じた車両制御装置のデータ書換が実施されないようにすることができる。

なお、こうしたデータ書換システムにおいて車両制御装置の行う上記問合せは、前記書換指令を配信する書換実施局に対して行う。こうした場合、書換実施局が書換指令を配信したかどうかを、問合せにより確認することで、書換実施局を通じて配信された正当な書換指令と、書換実施局を通さずに配信された不正な書換指令とを、的確に見分けることができる。

なお上記データ書換システムにおける車両制御装置の行う上記問合せを、書換指令を受信した回線を一旦切断し、車両制御装置側から回線を再接続して行うようにしている。この場合、書換指令の配信元の如何によらず確実に、適切な相手に問合せを行うことができるようになる。

ちなみに、こうした車両制御装置のデータ書換システムにおける、上記書換指令が正当であるか否かの確認は、前記書換指令の配信の履歴の有無によって行う。

ところで上記車両制御装置のデータ書換システムでは、上記問合せを通じて書換指令が正当であるか否かを確認することで、個々の車両毎に不正な書換指令に基づくデータ書換を禁止するようにしている。もっとも、不正な書換指令の配信が確認、又は予見された場合、無線通信ネットワーク経由のデータ書換を各車両で一斉に禁止させることが望まれる。こうした場合、各車両の車両制御装置に書換禁止指令を一斉に配信して、無線通信ネットワーク経由のデータ書換を各車両一斉に禁止させることになる。ところが、書換指令の配信用の回線に、不正な書換指令の配信が許容されるような不具合がある状況で、その回線を用いて書換禁止指令を配信しても、各車両の車両制御装置に書換禁止指令を確実に配信することができない可能性がある。

その点、請求項１に記載の車両制御装置のデータ書換システムでは、前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を前記書換指令の配信に使用した回線とは別の回線を用いて前記車両制御装置に配信することとしている。こうした車両制御装置及びそのデータ書換システムでは、書換指令の配信用の回線に不具合がある場合にも、各車両の車両制御装置に確実に書換禁止指令を配信することができるようになる。そのため、不正に配信された書換指令に基く車両制御装置のデータ書換を的確に防止することができる。
また、請求項１に記載の車両制御装置のデータ書換システムにおける上記書換指令の受信及び上記問合せは、請求項２に記載のように、携帯電話回線を通じて行うようにすることができる。
さらに、請求項３に記載の発明では、請求項１または２に記載の車両制御装置のデータ書換システムにおいて、前記書換禁止指令が、前記書換指令の配線に使用した回線とは別の複数の回線を用いて各車両の車両制御装置に一斉配信される。

本発明の車両制御装置のデータ書換システムによれば、無線通信ネットワークを通じて不正な書換指令が配信された場合に、その不正な書換指令に基いた不正なデータ書換が実施されないようにすることができる。

（第１の比較例）
以下、本発明の車両制御装置のデータ書換システムを具体化した実施の形態の説明に先立ち、第１の比較例を、図１〜図７を参照して詳細に説明する。本比較例では、車両制御装置は、書換指令を受信すると、その指令が正当であるか否かの問い合せを行うようにしている。そしてその問合せの回答によって、書換指令が正当であることが確認されたとき
に限り、その書換指令に基づくデータ書換を許可することで、換言すれば、書換指令が正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止することで、不正な書換指令の配信に応じて不正なデータ書換が実施されることを防止するようにしている。なお、ここでの車両制御装置の「データ書換」とは、車両制御装置に記憶された制御プログラム及び制御データの少くとも一方の書き換えを意味している。

図１に、本比較例の車両制御装置のデータ書換システムの全体構成を示す。同図に示すように、このデータ書換システムは、書換取り纏め局１０を中核として構成されており、その傘下には、複数の書換実施局１１が置かれている。書換実施局１１は、地域毎に設けられており、書換取り纏め局１０から通知された書換指令を、携帯電話回線１２を通じて各車両１３へと配信する。これら書換取り纏め局１０及び書換実施局１１は、車両制御装置２０のデータ書換の指令や書換用データの配信に係る処理を行うコンピュータシステムとして構成されており、無線通信ネットワーク（ここでは携帯電話回線１２）を通じて各車両１３の車両制御装置２０と交信可能とされている。

車両１３には、車両制御装置２０として、エンジン及びその動力伝達系の制御を司るパワトレＥＣＵ２１や、車室内空調装置の制御を司るエアコンＥＣＵ２２、アンチロックブレーキシステム（ＡＢＳ）の制御を司るＡＢＳ ＥＣＵ２３、車両１３の自己診断システムを制御する車載ダイアグマスタＥＣＵ２４などの複数のＥＣＵ（電子制御ユニット）が設けられている。これらのＥＣＵ２１〜２４は、車内ネットワーク２５を通じて相互に接続されている。また車内ネットワーク２５には、車両１３の走路案内を行うナビゲーション装置２６が接続されてもいる。なお車載ダイアグマスタＥＣＵ２４には、携帯電話回線１２に接続するための送受信器２７が設置されている。

本比較例では、次のような状況を想定し、そうした状況における車両制御装置の不正なデータ書換の実施回避を図るものとなっている。すなわち、本比較例では本来、書換取り纏め局１０の書換指令の発行に応じて書換実施局１１が車両１３（車両制御装置２０）に書換指令を配信することとなっているが、そうした書換実施局１１とは別の書換実施局１１ｆから書換指令が不正に配信される状況を想定している。以下では、車両１３に対する書換指令の配信を本来行うべき書換実施局１１を「正当な書換実施局」と記載し、上記別の書換実施局１１ｆを「不正な書換実施局」と記載する。本比較例では、以下の態様で、正当な書換実施局１１以外からの不正な書換指令の配信に対して、その指令に基づく車両制御装置２０のデータ書換を実施しないようにしている。

図２は、正当な書換実施局１１を通じて正当な書換指令が配信されたときの処理態様を示している。このときの書換実施局１１は、書換取り纏め局１０から発行された書換指令に応じて、データ書換の対象となる車両１３の車両制御装置２０に、携帯電話回線１２を通じて書換指令を配信する。このとき、書換実施局１１は、書換指令を配信した車両１３について、書換指令を配信した旨の履歴（書換指令配信履歴）を記録する。

一方、車両制御装置２０は、書換指令を受け取ると、携帯電話回線１２を一旦切断した後、正当な書換実施局１１に再び携帯電話回線１２を継ぎ直す（コールバック）。そして車両制御装置２０は、正当な書換実施局１１に自身の車両コードを通知して、自身に対する書換指令配信履歴の有無を問合せる。この問合せは、車両制御装置２０に予め記憶された、正当な書換実施局１１の連絡先情報（電話番号）に基づき行われる。

書換実施局１１は、車両制御装置２０からの問合せにより、車両コードが通知されると、その車両コードに該当する車両１３に対する書換指令配信履歴を検索し、その履歴の有無を回答する。このときの書換実施局１１には、該当車両１３に対する書換指令配信履歴が残されており、車両１３の車両制御装置２０に対して「書換指令配信履歴有り」を回答することになる。

この回答により、車両制御装置２０は、先に受信した書換指令が正当であると判断して、車両制御装置２０のデータ書換を許可する「書換許可モード」に移行する。これにより、その後に書換実施局１１から送信された書換用データに基いて車両制御装置２０のデータ書換が実施されるようになる。

一方、図３は、上記不正な書換実施局１１ｆから不正な書換指令が配信されたときの処理態様を示している。この場合にも、車両制御装置２０は、書換指令を受け取ると、携帯電話回線１２を一旦切断した後、自身の記憶する連絡先情報に基いて正当な書換実施局１１にコールバックを行う。そして自身の車両コードを通知して、自身に対する書換指令配信履歴の有無を問合せる。なお、このときのコールバックは、車両制御装置２０に記憶された正当な書換実施局１１の連絡先情報に基いて行われるため、書換指令の配信元の如何に関らず、必ず正当な書換実施局１１に対して行われることになる。

このコールバックに対して、正当な書換実施局１１は、先と同様に、通知された車両コードに該当する車両１３の書換指令配信履歴を検索し、その履歴の有無を回答する。但し、このときの正当な書換実施局１１には、車両１３に対する書換指令配信履歴は残されていないため、「書換指令配信履歴無し」との回答が行われることになる。

この回答を受けた車両制御装置２０は、先に受信した書換指令が不正であると判断し、自身のデータ書換を禁止する「書換禁止モード」に移行する。これにより、たとえ以後に書換用データが配信されても、その配信されたデータに基づく車両制御装置２０のデータ書換は実施されないようになる。

このように本比較例では、車両制御装置２０は、書換指令を受信すると、正当な書換実施局１１に対してその指令が正当であるか否かの問い合せを行うようにしている。そしてその問合せの回答によって、受信した書換指令が正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許可するようにしている。換言すれば、書換指令が正当でないことが確認されたときには、その書換指令に基づくデータ書換を禁止するようにしている。これにより本比較例では、携帯電話回線１２を通じて不正な書換指令が配信された場合における、車両制御装置２０のデータ書換の不正実施を好適に回避することができるようになっている。

なお、不正な書換指令が配信されるような状態、すなわちデータ書換システムが正常に機能していない状態では、不正な書換指令の配信が再三繰り返される可能性があり、システムの正常復帰が確認されるまで、携帯電話回線１２を経由したリモート・リプログラムの実施は当面見合せることが望ましい。そこで本比較例では、一旦、車両制御装置２０が書換禁止モードに移行すると、以後も、書換禁止モードをそのまま継続し、以後における書換指令の受付をすべて禁止するようにしている。そのため、書換禁止モードへの移行後に、新たに書換指令を受信しても、その受信した書換指令に基づく車両制御装置２０のデータ書換の実施は、その書換指令が正当であるか否かに関わらず、自動的に禁止されるようになっている。

続いてこうした本比較例において書換実施局１１により実施される処理の詳細を説明する。図４は、書換取り纏め局１０からの書換指令の受信に応じて書換実施局１１の実施する「書換指令配信処理」の詳細を、図５は、車両制御装置２０からのコールバックに応じて書換実施局１１の実施する「回答処理」の詳細をそれぞれ示している。

＜書換指令配信処理＞
まず図４を参照して、書換実施局１１の実施する「書換指令配信処理」の詳細を説明する。書換取り纏め局１０から書換指令を受信して本処理が開始されると、書換実施局１１はまず、ステップＳ４０１において、データ書換の対象となる各車両１３の車両制御装置２０に、携帯電話回線１２を接続して、書換指令を配信する。そして書換実施局１１は、続くステップＳ４０２において、書換指令を配信した車両１３のそれぞれについて、書換指令配信履歴を記録して、本処理を終了する。

＜回答処理＞
続いて図５を参照して、書換実施局１１の実施する「回答処理」の詳細を説明する。書換指令を配信した車両１３からのコールバックを受けて本処理が開始されると、書換実施局１１はまず、ステップＳ５０１において、そのコールバックにて通知された車両コードに該当する車両１３の書換指令配信履歴を検査し、その有無を確認する。ここで該当車両１３の書換指令配信履歴が無ければ（Ｓ５０１：ＮＯ）、書換実施局１１はステップＳ５０５において、問合せを行なった車両１３に対して書換指令配信履歴無しを回答して、本処理を終了する。一方、該当車両１３の書換指令配信履歴が有れば（Ｓ５０１：ＹＥＳ）、書換実施局１１は、ステップＳ５０２において、問合せを行なった車両１３に対して、書換指令配信履歴有りを回答する。そして書換実施局１３は、続くステップＳ５０３において、書換用データをその車両１３に送信し、更に続くステップＳ５０４において、その車両１３の書換指令配信履歴をクリアして、本処理を終了する。

次に、本比較例において車両制御装置２０によって実施される処理の詳細を説明する。図６は、書換指令の受信に応じて車両制御装置２０の実施する「問合処理」の詳細を、図７は、書換用データの受信に応じて車両制御装置２０の実施する「データ書換処理」の詳細を、それぞれ示している。

＜問合処理＞
まず図６を参照して、車両制御装置２０の実施する「問合処理」の詳細を説明する。書換指令を受信して本処理が開始されると、車両制御装置２０はまず、ステップＳ６０１において、自身が「書換初期モード」にあるか否かを確認する。「書換初期モード」とは、未だ上述の書換許可モード、及び書換禁止モードのいずれのモードにもなっていない状態を示すものであり、書換指令を初めて受信したときの車両制御装置２０は、この書換初期モードとされている。ここで、書換初期モードで無いことが確認されると（Ｓ６０１：ＮＯ）、車両制御装置２０はステップＳ６０７において自身を上記「書換禁止モード」に移行して本処理を終了する。一方、書換初期モードとなっていれば（Ｓ６０１：ＹＥＳ）、車両制御装置２０は、ステップＳ６０２において、先に書換指令を受信した携帯電話回線１２を一旦切断する。そして続くステップＳ６０３において、自身の記憶する連絡先情報に基き、正当な書換実施局１１に携帯電話回線１２を継ぎ直す（コールバック）。このときに車両制御装置２０は、正当な書換実施局１１に自身の車両コードを通知する。ここでコールバックを行うと、書換実施局１１は上述の回答処理を実施して、コールバックを行なった車両１３に対する書換指令配信履歴の有無を回答することになる。車両制御装置２０は、ステップＳ６０４において、この回答を受信する。そして車両制御装置２０は、書換指令配信履歴有りが回答されたのであれば（Ｓ６０５：ＹＥＳ）、ステップＳ６０６にて自身を「書換許可モード」に移行し、そうでなければ（Ｓ６０５：ＮＯ）、ステップＳ６０７にて自身を「書換禁止モード」に移行して、本処理を終了する。

＜データ書換処理＞
続いて図７を参照して、車両制御装置２０の実施する「データ書換処理」の詳細を説明する。書換用データが受信されて本処理が開始されると、車両制御装置２０はまず、ステップＳ７０１において、自身が「書換許可モード」にあるか否かを確認する。ここで「書換許可モード」でない（Ｓ７０１：ＮＯ）とすれば、書換禁止モードに移行済みであるか、書換指令配信履歴の問合せに対する回答をせぬまま、書換用データを配信したか、のいずれかであり、いずれにせよ、正当な手順を経ないで書換用データが配信されたものと考えられる。そこでこのときの車両制御装置２０は、既に書換禁止モードとなっていればそのまま、なっていなければ、ステップＳ７０４において書換禁止モードに移行して、本処理を終了する。一方、「書換許可モード」となっていれば（Ｓ７０１：ＹＥＳ）、車両制御装置２０はステップＳ７０２において、配信された書換用データに基づき、自身のデータ書換を実施する。そして車両制御装置２０は、ステップＳ７０３において、自身を「書換初期モード」に移行させた後、本処理を終了する。

以上説明した本比較例の車両制御装置のデータ書換システムによれば、以下の効果を奏することができる。
（１）本比較例では、書換指令を受信すると、その指令が正当であるか否かを車両制御装置２０の側から問合せ、正当であると確認されない限り、その指令に基くデータ書換の実施を許可しないようにしている。すなわち、書換指令が正当でないと確認されたときには、その指令に基くデータ書換の実施を禁止するようにしている。そのため、不正な書換指令の配信に対して、その不正な書換指令に基づく不正なデータ書換の実施を好適に防止することができる。

（２）本比較例では、書換指令の受信に応じて車両制御装置２０は、書換指令を各車両１３に配信する書換実施局１１に対して問合せを行うようにしている。そして書換実施局１１が、該当車両１３に対する書換指令配信履歴の有無を回答することで、受信した書換指令が正当であるか否かを確認するようにしている。そのため、書換指令の正当性の確認を、容易且つ的確に行うことができる。

（３）本比較例では、その書換指令を受信した回線を一旦切断した後、改めて回線を継ぎ直して上記問合せを行うため、書換指令の送信元の如何に関わらず、適切な相手に問合せを行うことができる。

（４）本比較例では、車両制御装置２０は、受信した書換指令が正当でないことが確認されると、以後における書換指令の受け付け、すなわち書換指令の受信に応じた自身のデータ書換の実施に係る処理を禁止するようにしている。そのため、データ書換システムの安全性を十分保証できない状態では、同システムを通じた車両制御装置２０のデータ書換の実施を禁止することができるようになる。

（第２の比較例）
次に、上記車両制御装置のデータ書換システムに対する第２の比較例を、上記第１の比較例と異なる点を中心に説明する。なお以下の説明において、上記第１の比較例のものと同様の構成及び機能を備える部材については、同一の符号を付してその説明を省略する。

上記第１の比較例では、車両制御装置２０は、受信した書換指令が正当であるか否かの問合せを、書換指令を配信する正当な書換実施局１１に対して行うようにしていた。こうした場合、書換実施局１１が正常に機能していることを前提に、不正な書換指令に基づいて不正なデータ書換が実施されることを回避することができる。

一方、不正な書換指令が配信されてしまう状況としては、書換実施局１１の故障により、書換取り纏め局１０が書換指令を発行していないにも拘らず、書換実施局１１が勝手に書換指令を配信してしまうという状況も考えられる。この場合、故障中の書換実施局１１に上記問合せを行なっても、適切な回答が得られず、不正なデータ書換が実施されてしまう虞がある。すなわち、このときには、書換実施局１１は、書換取り纏め局１０からの指令に基かない不正なものとはいえ、書換指令を配信してはいるため、書換実施局１１には、書換指令配信履歴が残されている可能性がある。そしてこの場合には、車両制御装置２０からの問合せに対して、書換指令配信履歴有りとの回答がなされ、車両制御装置２０は、受信した書換指令が正当であると誤判断してしまう虞がある。

そこで本比較例では、車両制御装置２０は、受信した書換指令の正当性の確認のための問合せを、書換取り纏め局１０に対して行うようにしている。上述のような状況では、書換実施局１１に書換指令を配信したという履歴が残されていても、書換取り纏め局１０には、書換指令を発行したという履歴は残っていない。そのため、書換取り纏め局１０に書換指令発行履歴の有無を問合せれば、書換実施局１１が正常に機能せずに誤って書換指令を配信した場合にも、書換指令の正当性を適正に確認することができる。

図８は、こうした本比較例において、書換指令の配信が正当に行われた場合の処理態様を示している。
同図に示すように書換取り纏め局１０は、書換実施局１１に書換指令を発行すると、データ書換の対象とする車両１３のそれぞれについて、書換指令を発行した旨の履歴（書換指令発行履歴）を記録する。書換取り纏め局１０の発行した書換指令を受信した書換実施局１１は、データ書換の対象となる各車両１３の車両制御装置２０に、携帯電話回線１２を通じて書換指令を配信するとともに、書換指令を配信した車両１３のそれぞれについて、書換指令を配信した旨の履歴（書換指令配信履歴）を記録する。

ここで本比較例では、書換実施局１１から書換指令を受信した車両制御装置２０は、一旦、携帯電話回線１２を切断した後、書換取り纏め局１０に回線を継ぎ直して（コールバック）、自身の車両コードを通知して、自車に対する書換指令発行履歴の有無を問合せる。この問合せに対して書換取り纏め局１０は、通知された車両コードに該当する車両１３の書換指令発行履歴を検索し、問合せを行なった車両制御装置２０に対してその有無を回答する。このときの書換取り纏め局１０の回答は、「書換指令発行履歴有り」となる。こうした「書換指令発行履歴有り」との回答により、車両制御装置２０は、先に受信した書換指令が正当であると判断して、自身を上述の「書換許可モード」に移行する。

車両制御装置２０は、「書換許可モード」に移行すると、書換取り纏め局１０との携帯電話回線１２の接続を切断し、今度は書換実施局１１に回線を継ぎ直す。そして車両制御装置２０は、書換実施局１１に、自身の車両コードを通知して書換用データの送信を要求する。これに対して書換実施局１０は、通知した車両コードに該当する車両１３の書換指令配信履歴の有無を検索し、書換指令配信履歴が有れば、書換用データを送信する。このときの車両制御装置２０は、上記のように「書換許可モード」に移行しており、こうして送信された書換用データに基いて自身のデータ書換を実施する。

一方、図９は、誤動作や故障のために書換実施局１１が、書換取り纏め局１０からの書換指令の発行に因らずして、誤って書換指令を配信してしまったときの処理態様を示している。

同図に示すように、この場合にも車両制御装置２０は、携帯電話回線１２経由で書換実施局１１から書換指令を受信すると、その携帯電話回線１２を一旦切断した後、改めて回線を書換取り纏め局１０に継ぎ直す。そして、車両制御装置２０は、書換取り纏め局１０に対して、自身の車両コードを通知して、自身に対する書換指令発行履歴の有無を問合せる。

このときの書換取り纏め局１０には、通知された車両コードに該当する車両１３の書換指令発行履歴は残されていないため、車両制御装置２０には「書換指令発行履歴無し」が回答される。車両制御装置２０は、この「書換指令発行履歴無し」の回答を受け、先に受信した書換指令が不正であると判断し、自身を上述の「書換禁止モード」に移行して、誤って配信された書換指令に基づく不正なデータ書換の実施を回避する。

次に、こうした本比較例において、書換取り纏め局１０の実施する処理の詳細を説明する。図１０は、書換指令の発行時に書換取り纏め局１０の実施する「書換指令発行処理」の詳細を、図１１は、同じく書換取り纏め局１０が、車両制御装置２０からの問合せに対して実施する「回答処理」の詳細を、それぞれ示している。

＜書換指令発行処理＞
まず図１０を参照して、書換取り纏め局１０の実施する「書換指令発行処理」の詳細を説明する。本処理が開始されると、書換取り纏め局１０はまず、ステップＳ１００１において、書換実施局１１に対し、データ書換の対象となる車両１３を指定した上で書換指令を発行する。そして書換取り纏め局１０は、続くステップＳ１００２において、データ書換の対象となる車両１３のそれぞれについて、書換指令発行履歴を記録して、本処理を終了する。

＜回答処理＞
次に図１１を参照して、本比較例においては書換取り纏め局１０が実施する「回答処理」の詳細を説明する。車両制御装置２０からの問合せを受けて本処理が開始されると、書換取り纏め局１０はまず、ステップＳ１１０１において、受信した車両コードに該当する車両１３に対する書換指令発行履歴を検索し、その有無を確認する。ここで該当車両１３の書換指令発行履歴が有れば（Ｓ１１０１：ＹＥＳ）、書換取り纏め局１０は、ステップＳ１１０２において、車両制御装置２０に対して「書換指令発行履歴有り」を回答し、更にステップＳ１１０３において、該当車両１３についての書換指令発行履歴をクリアして本処理を終了する。一方、該当車両１３の書換指令発行履歴が無ければ（Ｓ１１０１：ＮＯ）、書換取り纏め局１０は、ステップＳ１１０４において、車両制御装置２０に対して「書換指令発行履歴無し」を回答して本処理を終了する。

続いて、書換実施局１１の実施する処理の詳細を説明する。図１２は、車両制御装置２０からの書換用データの送信要求に対して書換実施局１１の実施する「書換用データ送信処理」の詳細を示している。なお本比較例においても、書換実施局１１は、書換取り纏め局１０からの書換指令の受信に応じ、上述の「書換指令配信処理」（図４）を実施する。

＜書換用データ送信処理＞
ここで図１２を参照して、書換実施局１１の実施する「書換用データ送信処理」の詳細を説明する。車両制御装置２０からの書換用データの送信要求が行われて本処理が開始されると、書換実施局１１はまずステップＳ１２０１において、送信要求時に通知された車両コードに該当する車両１３についての書換指令配信履歴を検索し、その有無を確認する。ここで該当車両１３の書換指令配信履歴が有れば（Ｓ１２０１：ＹＥＳ）、書換実施局１１は、ステップＳ１２０２において車両制御装置２０に書換用データを送信し、続くステップＳ１２０３において該当車両１３の書換指令配信履歴をクリアして本処理を終了する。一方、該当車両１３の書換指令配信履歴が無ければ（Ｓ１２０１：ＮＯ）、書換実施局１１は、そのまま本処理を終了する。

最後に、車両制御装置２０により行われる処理の詳細を説明する。図１３は、書換指令の受信に応じて車両制御装置２０の実施する「問合処理」の詳細を、図１４は、同じく車両制御装置２０が、書換取り纏め局１０から問合せに対する回答を受け取ったときに実施する「書換モード設定処理」の詳細を、それぞれ示している。なお本比較例においても車両制御装置２０は、書換実施局１１から書換用データを受信したときに、上述の「データ書換処理」（図７）を実施する。

＜問合処理＞
まず図１３を参照して、本比較例における「問合処理」の詳細を説明する。書換指令を受信して本処理が開始されると、車両制御装置２０はまず、ステップＳ１３０１において、自身が上述の「書換初期モード」にあるか否かを確認する。ここで、書換初期モードで無いことが確認されると（Ｓ１３０１：ＮＯ）、車両制御装置２０はステップＳ１３０４にて自身を「書換禁止モード」に移行して本処理を終了する。一方、書換初期モードとなっていれば（Ｓ１３０１：ＹＥＳ）、車両制御装置２０は、ステップＳ１３０２において、先に書換指令を受信した携帯電話回線１２を一旦切断する。そして続くステップＳ１３０３において、自身の記憶する連絡先情報に基き、書換取り纏め局１０に携帯電話回線１２を継ぎ直し（コールバック）、自身の車両コードを通知する。

＜書換モード設定処理＞
次に図１４を参照して、車両制御装置２０の実施する「書換モード設定処理」の詳細を説明する。上記「問合処理」（図１３）を実施すると、書換取り纏め局１０において「回答処理」（図１１）が実施され、自車に対する書換指令発行履歴の有無が回答される。本処理は、この回答の受信に応じて実施される。

さて本処理が開始されると、車両制御装置２０はまずステップＳ１４０２において、先に書換取り纏め局１０から受信の回答が「書換指令発行履歴有り」であったか否かを確認する。ここで「書換履歴発行履歴無し」との回答を受け取っていた場合には（Ｓ１４０２：ＮＯ）、車両制御装置２０は、先に受信した書換指令が不正であると判断して、ステップＳ１４０３において自身を「書換禁止モード」に移行して本処理を終了する。

一方、「書換履歴発行履歴有り」との回答を受け取っていた場合には（Ｓ１４０２：ＹＥＳ）、車両制御装置２０は、書換指令が正当であると判断して、ステップＳ１４０４において自身を上述の「書換許可モード」に移行する。そして車両制御装置２０は、ステップＳ１４０５において、書換取り纏め局１０に継がれた携帯電話回線１２を切断し、続くステップＳ１４０６において、書換実施局１１に回線を継ぎ直して、自身の車両コードを通知することで書換用データの送信を要求する。データを受信した以降は、第１の比較例における図７にて説明したデータ書換処理と同等の処理を実施することとなる。

以上説明した本比較例の車両制御装置のデータ書換システムによれば、上記（１）〜（４）に記載の効果に加え、更に以下の効果を奏することができる。
（５）本比較例では、車両制御装置２０は、受信した書換指令が正当であるか否かの問合せを書換取り纏め局１０に対して行うようにしている。そのため、書換実施局１１が誤動作や故障によって書換指令を誤って配信した場合にも、その誤った指令に基く不正なデータ書換が実施されないようにすることができる。

以上説明した各比較例は、次のように変更して実施することもできる。
・上記各比較例では、受信した書換指令が不正であることが一旦確認されると、以後における書換指令の受付、すなわち書換指令に基くデータ書換の実施を一切禁止するようにしていた。不正な書換指令が配信されるような状況では、データ書換システムに深刻な不具合が発生しており、不正な書換指令が以後も再三に渡り配信される可能性があるため、こうして以後の書換指令の受付けを禁止する対応は有効である。もっとも、再三に渡り、不正な書換指令が配信されたとしても、書換指令を受信する毎にその正当性を確認すれば、不正なデータ書換の実施は回避することができる。よって書換禁止モードを、一度の書換指令及び書換用データの配信に限り有効とし、その都度、解除する（書換初期モードに復帰する）ようにしてもよい。その場合、図６の問合処理において、その実施時に車両制御装置２０が書換許可モードにあるか否かに関わらず、同処理の実施後は、書換初期モードに移行する構成とすることになる。より具体的には、書換指令を受信したことで起動するこの問合処理の最初のステップＳ６０１にて、モードの判断を行うのではなく、モードを書換初期モードに設定して、図６に示されるステップＳ６０２以降の処理を実行するようにすれば良い。第２の比較例においては、図１３に示すステップＳ１３０１の判断処理を上述の「書換初期モードに設定する」処理へと変更すれば良い。

・上記各比較例では、書換指令や書換用データの配信、及び受信した書換指令の正当性の確認のための問合せを、携帯電話回線１２を使用して行うようにしていたが、こうした配信や問合せをそれ以外の無線通信ネットワークを使用して行うようにしても良い。

（実施の形態）
次に、本発明の車両制御装置のデータ書換システムを具体化した一実施の形態を、上記各比較例と異なる点を中心に説明する。なお以下の説明において、上記各比較例のものと同様の構成及び機能を備える部材については、同一の符号を付してその説明を省略する。

第１及び第２の比較例では、書換指令が不正配信されたときに、個々の車両１３において書換指令が不正であることを確認し、その不正な書換指令に基くデータ書換の実施を回避するようにしていた。これに対して本実施の形態では、書換指令の不正配信を察知したときに、すべての車両１３のデータ書換の実施を一括して禁止させる仕組みを提案する。すなわち、本実施の形態では、書換指令の不正配信が実際に確認されたときや、書換指令が不正配信される可能性が認められたときに、書換取り纏め局１０から各車両１３の車両制御装置２０に、データ書換禁止の指令を一斉に配信するようにしている。ただし、書換指令が不正配信されるような状況下では、書換指令の配信に使用する回線はその安全性を保証できない状態にあり、データ書換禁止の指令をすべての車両１３へと確実に通知することができない虞がある。そこで本実施の形態では、こうした場合の書換禁止指令の配信を、書換指令の配信に使用する回線とは別の回線を用いて行うようにしている。

図１５に、こうした本実施の形態の車両制御装置のデータ書換システムの全体構成を示す。同図に示すように、データ書換システムは、書換取り纏め局１０を中核に、その傘下に置かれた複数の書換実施局１１を有してなっている。そして上記比較例と同様に、書換取り纏め局１０から発行された書換指令に基いて、書換実施局１１が、携帯電話回線１２を通じて各車両１３の車両制御装置２０に書換指令を配信するように構成されている。

本実施の形態では、書換取り纏め局１０は、ＦＭ多重放送を行なうＦＭ放送局３０、道路沿いに設置された光ビーコンや電波ビーコンを通じて道路交通情報を配信する路車間通
信局３１を通じて、各車両１３の車両制御装置２０に上述の書換禁止指令を一斉配信するように構成されている。各車両１３のナビゲーション装置２６には、上記ＦＭ放送局３０からのＦＭ多重放送３０Ａや、路車間通信局３１の光／電波ビーコンからの光／電波通信３１Ａを受信するための受信器２６Ａが設置されている。

図１６は、本実施の形態のデータ書換システムにおける上記書換禁止指令の配信に係る処理態様を示している。データ書換システムに故障などの不具合の発生が確認されると、書換取り纏め局１０は、ＦＭ放送局３０及び路車間通信局３１に「不具合発生」を通知する。ＦＭ放送局３０及び路車間通信局３１は、この通知を受けると、ＦＭ多重放送３０Ａや光／電波通信３１Ａを通じて各車両１３の車両制御装置２０に書換禁止指令を配信する。各車両１３の車両制御装置２０は、書換禁止指令を受信すると、書換禁止指令を受信した旨の履歴（書換禁止指令受信履歴）を記録する。車両制御装置２０は、こうした書換禁止指令受信履歴が記録された状態で、書換実施局１１から書換指令を受信すると、自身を上述の「書換禁止モード」に移行させることで、その受信した書換指令に基くデータ書換の実施を禁止する。

図１７は、こうした本実施の形態において、書換指令の受信に応じて車両制御装置２０の実施する「書換モード設定処理」の詳細を示している。同図に示すように、書換指令を受信して本処理を開始すると、車両制御装置２０はまず、ステップＳ１７０１において、自身が上述の「書換初期モード」にあるか否かを確認する。ここで「書換初期モード」にない場合には（Ｓ１７０１：ＮＯ）、車両制御装置２０は、ステップＳ１７０４にて自身を「書換禁止モード」に移行して本処理を終了する。

「書換初期モード」となっているときには（Ｓ１７０１：ＹＥＳ）、車両制御装置２０はステップＳ１７０２において、書換禁止指令の受信履歴の有無を確認する。ここで、車両制御装置２０が以前にＦＭ放送局３０や路車間通信局３１から書換禁止指令を受信しており、その履歴が残されていれば（Ｓ１７０２：ＹＥＳ）、車両制御装置２０は、ステップＳ１７０４において自身を「書換禁止モード」に移行して、本処理を終了する。これに対して、書換禁止指令の受信履歴が記録されていないときには（Ｓ１７０２：ＮＯ）、車両制御装置２０は、ステップＳ１７０３において、自身を「書換許可モード」に移行して、本処理を終了する。

なお、車両制御装置２０は、こうした書換モード設定処理の実施後、書換用データを受信すると、上述の「データ書換処理」（図７参照）を実施して、書換用データの受信時に自身が書換許可モードとなっていることを条件にデータ書換を実施する。そしてデータ書換を実施すると、車両制御装置２０は、書換初期モードに移行する。

以上説明した本実施の形態によれば、以下の効果を奏することができる。
（６）本実施の形態では、書換指令の配信に使用する回線（携帯電話回線１２）とは別の回線（ＦＭ多重放送３０Ａ、路車間通信システムの光／電波通信３１Ａ）を用いて書換禁止指令を各車両１３の車両制御装置２０に配信し、データ書換の実施を禁止させるようにしている。そのため、書換指令の配信に使用する回線にたとえ問題があったとしても、車両制御装置２０のデータ書換を禁止させることが可能となる。

本実施の形態は、次のように変更して実施することもできる。
・上記実施の形態では、書換指令の配信用の回線として携帯電話回線１２を使用し、書換禁止指令の配信用の回線としてＦＭ多重放送３０Ａ及び路車間通信システムの光／電波通信３１Ａを使用するようにしていたが、両指令の配信に使用する回線の組み合わせは、これに限らず、適宜変更しても良い。要は、書換指令の配信に使用する回線と、書換禁止指令に使用する回線とを別のものとしておけば、書換指令配信用の回線に不具合があっても、書換禁止指令を配信可能とすることができる。

（その他の実施の形態）
＜書換禁止モードからの復帰＞
上記実施形態及び各比較例では、車両制御装置２０は、書換取り纏め局１０や書換実施局１１への問合せにより、受信した書換指令が不正であることが確認されたときや、書換禁止指令を受信したときに、自身を「書換禁止モード」に移行して、以後に書換用データを受信しても、データ書換を実施しないようにしていた。もっとも、書換禁止モードのままでは、以降、データ書換は一切実施できないことになるため、適切な時期に書換禁止モードからの復帰を行う必要がある。ここでは、そうした書換禁止モードからの復帰の条件として、以下の条件（イ）、（ロ）を提示する。なお、復帰の条件として下記（イ）、（ロ）のいずれかを採用する以外にも、下記（イ）及び（ロ）のいずれか一方の成立を復帰の条件としたり、下記（イ）及び（ロ）の双方の成立を復帰の条件としたりすることもできる。

（イ）書換禁止モードの移行から、予め設定された一定の期間（禁止モード維持期間）が経過すること。
（ロ）書換取り纏め局１０などから復帰指令を受信すること。
図１８は、上記（イ）を復帰条件としたときの、書換禁止モードからの復帰に係る処理（復帰処理）の態様を示している。本処理は、定時割込み処理として車両制御装置２０によって周期的に実施されるものとなっている。

本処理が開始されると、車両制御装置２０はまずステップＳ１８０１において、自身が現在「書換禁止モード」にあるか否かを確認する。ここで「書換禁止モード」になければ（Ｓ１８０１：ＮＯ）、本処理はそのまま終了される。一方、「書換禁止モード」となっていれば（Ｓ１８０１：ＹＥＳ）、車両制御装置２０は、ステップＳ１８０２において、書換禁止モードへの移行からの経過時間を参照し、同経過時間が、予め設定された書換禁止モードの維持期間を超過しているか否かを確認する。そして経過時間が上記維持期間を超過しているのであれば（Ｓ１８０２：ＹＥＳ）、車両制御装置２０はステップＳ１８０２において、自身を「書換初期モード」に復帰させる。

この場合、上記禁止モード維持期間として、データ書換システムを不具合から復旧させるために十分な期間（例えば１週間）に設定しておくことで、システムの不具合が解消されてから、データ書換の実施を許容させることができる。

図１９は、上記（ロ）を復帰条件としたときの、データ書換システムの処理態様の一例を示している。この場合も、データ書換システムに、書換指令の不正配信を許容するような不具合が発生すると、書換取り纏め局１０からＦＭ放送局３０や路車間通信局３１に「不具合発生」が通知され、ＦＭ多重放送３０Ａや路車間通信システムの光／電波通信３１Ａを通じて各車両１３の車両制御装置２０に書換禁止指令が配信される。そして車両制御装置２０は、書換実施局１１からの書換指令を受信すると、自身を「書換禁止モード」に移行させる。

こうして設定された書換禁止モードからの復帰は、例えば以下の態様で行われる。すなわち、システムの不具合の解消が確認されると、書換取り纏め局１０は、その旨を書換実施局１１に通知する。この通知により、書換実施局１１は、携帯電話回線１２を通じて各車両１３の車両制御装置２０に書換禁止モードからの復帰指令を配信する。そして車両制御装置２０は、こうした復帰指令の受信に応じて、自身を「書換初期モード」に移行させる。なお、このときには、システムの不具合は解消されており、こうした復帰指令の配信には、上記のように携帯電話回線１２を使用することが可能となっている。勿論、ＦＭ多重放送３０Ａや路車間通信システムの光／電波通信３１Ａなどの他の回線を使用して、復帰指令を配信することも可能である。

図２０は、上記条件（イ）及び（ロ）の双方の成立を、復帰条件としたときの、復帰処理のフローチャートを示している。本処理は、定時割込み処理として車両制御装置２０によって周期的に実施される。本処理が開始されると、車両制御装置２０はまずステップＳ２００１において、自身が現在「書換禁止モード」にあるか否かを確認する。そして書換禁止モードとなっていれば（Ｓ２００１：ＹＥＳ）、ステップＳ２００２において、書換禁止モードへの移行からの経過時間が、上述の維持期間を超過しているか否かを確認する。ここで維持期間の超過が確認されると（Ｓ２００２：ＹＥＳ）、車両制御装置２０は、上記復帰指令の受信履歴の有無を確認する。そして車両制御装置２０は、復帰指令の受信履歴が記録されていることをもって（Ｓ２００３：ＹＥＳ）、ステップＳ２００４にて自身を書換初期モードに移行する。

なお、こうした受付禁止の解除は、車両１３の所有者が手動で行わせるようにすることもできる。この場合、不具合が解消されると、データ書換システムの管理者から各車両１３の所有者に対して、受付禁止の解除操作を要請する連絡を行い、その連絡により、各車両１３の所有者が指定の操作を行って、書換指令の受付禁止を解除することになる。

第１の比較例についてそのデータ書換システムの全体構成を模式的に示すブロック図。 同比較例において正当に書換指令が配信されたときの処理態様を示すフローチャート。 同比較例において不正に書換指令が配信されたときの処理態様を示すフローチャート。 同比較例において書換実施局の行う書換指令配信処理のフローチャート。 同比較例において書換実施局の行う回答処理のフローチャート。 同比較例において車両制御装置の行う問合処理のフローチャート。 同比較例において車両制御装置の行うデータ書換処理のフローチャート。 第２の比較例について正当に書換指令が配信されたときの処理態様を示すフローチャート。 同比較例において不正に書換指令が配信されたときの処理態様を示すフローチャート。 同比較例において書換取り纏め局の行う書換指令発行処理のフローチャート。 同比較例において書換取り纏め局の行う回答処理のフローチャート。 同比較例において書換実施局の行う書換用データ送信処理のフローチャート。 同比較例において車両制御装置の行う問合処理のフローチャート。 同比較例において車両制御装置の行う書換モード設定処理のフローチャート。 本発明の一実施の形態についてその全体構成を模式的に示すブロック図。 同実施の形態における書換禁止指令の配信に係る処理態様を示すフローチャート。 同実施の形態において車両制御装置の行う書換モード設定処理のフローチャート。 本発明の他の実施形態において車両制御装置の行う復帰処理のフローチャート。 上記復帰処理の他の実施態様を採用するデータ書換システムについてその復帰処理の態様を示すフローチャート。 上記復帰処理の更に別の実施態様について車両制御装置の行う処理の手順を示すフローチャート。

符号の説明

１０…書換取り纏め局、１１…（正当な）書換実施局、１１ｆ…不正な書換実施局、１２…携帯電話回線、１３…車両、２０…車両制御装置、２１…パワトレＥＣＵ、２２…エアコンＥＣＵ、２３…ＡＢＳ ＥＣＵ、２４…車載ダイアグマスタＥＣＵ、２５…車内ネットワーク、２６…ナビゲーション装置、２６Ａ…受信器、２７…送受信器、３０…ＦＭ放送局、３０Ａ…ＦＭ多重放送、３１…路車間通信局、３１Ａ…光／電波通信（光ビーコンによる路車間通信／電波ビーコンによる路車間通信）。

Claims (3)

1. 無線通信ネットワークを通じて書換指令を配信して各車両の車両制御装置のデータ書換を実施させる車両制御装置のデータ書換システムにおいて、
   前記車両制御装置は、前記書換指令を配信する書換実施局から前記書換指令の受信に用いた回線を一旦切断した後、回線を再接続して前記書換指令が正当であるか否かの問合せを行い、前記書換実施局での前記書換指令の発行の履歴の有無により当該受信した書換指令が正当であることが確認されたときに限り、その書換指令に基づくデータ書換を許容するとともに、前記書換指令が正当でないことが確認されたときには、前記書換指令に基づくデータ書換を禁止させるための書換禁止指令を前記書換指令の配信に使用した回線とは別の回線を用いて各車両の車両制御装置に配信し、各車両の車両制御装置は、当該配信された書換禁止指令に基づき以後における前記書換指令の受付を禁止する
   ことを特徴とする車両制御装置のデータ書換システム。
2. 前記車両制御装置は、前記書換指令の受信及び前記問合せを、携帯電話回線を通じて行う
   請求項２に記載の車両制御装置のデータ書換システム。
3. 前記書換禁止指令が、前記書換指令の配線に使用した回線とは別の複数の回線を用いて各車両の車両制御装置に一斉配信される
   請求項１または２に記載の車両制御装置のデータ書換システム。

Images