JP2018072920A - 車載機器判定システム及び情報収集装置 - Google Patents

Abstract

【課題】車載機器の正当性を判定し得る車載機器判定システム及び情報収集装置を提供する。
【解決手段】車載機器判定システムは、車両に搭載された一又は複数の車載機器との間で通信を行う通信部、前記通信部の通信により前記車載機器の識別情報を取得する識別情報取得部、並びに、該識別情報取得部が取得した識別情報を前記車両外のサーバ装置へ送信する識別情報送信部を有する情報収集装置と、車両に搭載され得る正当な車載機器の識別情報を記憶した識別情報記憶部、車両からの識別情報を受信する識別情報受信部、前記識別情報記憶部に記憶した識別情報及び前記識別情報受信部が受信した識別情報に基づき、前記識別情報受信部が受信した識別情報に係る車載機器が正当な車載機器であるか否かを判定する正当性判定部、並びに、該正当性判定部が正当な車載機器でないと判定した場合に通知を行う通知部を有する前記サーバ装置とを備える。
【選択図】図１

Description

本発明は、車両に搭載された車載機器の正否を判定する車載機器判定システム及びこのシステムを構成する情報収集装置に関する。

従来、車両には複数のＥＣＵ（Electronic Control Unit）などの車載機器が搭載され、複数のＥＣＵがＣＡＮ（Controller Area Network）バスなどの通信線を介して接続されて相互に情報の送受信を行うことが可能とされている。各ＥＣＵは、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の記憶部に記憶されたプログラムをＣＰＵ（Central Processing Unit）などの処理装置が読み出して実行することにより、車両の制御などの種々の処理を行っている。ＥＣＵの記憶部に記憶されたプログラム又はデータは、例えば機能追加、不具合の修正又はバージョンアップ等の必要が生じた際には、新たなプログラム又はデータに書き換える更新処理を行う必要がある。この場合、更新処理の対象となるＥＣＵに対して、通信線を介して更新用のプログラム又はデータを送信することが行われている。

特許文献１においては、外部の管理センターから書き換え用のデータを無線通信により取得したマスタ制御装置が、取得したデータを一時的にメモリ装置に格納すると共に、格納された書き換え用データの適正性を判断して、適正なデータを用いて車両の電子制御装置内のデータを書き換えるシステムが提案されている。

特開２００７−１１７３４号公報

車両の製造及び販売後に、車内ネットワークに対して追加でＥＣＵを接続する又はＥＣＵを交換する等のシステム構成の変更が行われる可能性がある。このようなＥＣＵの追加又は交換等は、車両のディーラなど正規の場所で行われるとは限らず、例えばユーザ自らが購入したＥＣＵを車内ネットワークに追加接続することも可能である。このような場合、ユーザが追加接続したＥＣＵは必ずしも正規のものであるとは限らないため、車載のシステムに悪影響を及ぼす虞がある。更には、悪意のある装置が車内ネットワークに接続される虞もある。

特許文献１に記載のシステムでは、外部の管理センターから取得した書き換え用のデータの正否を判定しているが、書き換え対象となる車内の電子制御装置が正当なものであるか否かについての検証は全く行われていない。しかしながら、正当ではないＥＣＵが車内ネットワークに接続された場合、プログラム又はデータの書き換えを行うべきではない。

本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車両に搭載された車載機器が正当なものであるか否かを判定し得る車載機器判定システム及び情報収集装置を提供することにある。

本発明に係る車載機器判定システムは、車両に搭載された一又は複数の車載機器との間で通信を行う通信部、前記通信部の通信により前記車載機器の識別情報を取得する識別情報取得部、並びに、該識別情報取得部が取得した識別情報を前記車両外のサーバ装置へ送信する識別情報送信部を有する情報収集装置と、車両に搭載され得る正当な車載機器の識別情報を記憶した識別情報記憶部、車両からの識別情報を受信する識別情報受信部、前記識別情報記憶部に記憶した識別情報及び前記識別情報受信部が受信した識別情報に基づき、前記識別情報受信部が受信した識別情報に係る車載機器が正当な車載機器であるか否かを判定する正当性判定部、並びに、該正当性判定部が正当な車載機器でないと判定した場合に通知を行う通知部を有する前記サーバ装置とを備えることを特徴とする。

また、本発明に係る車載機器判定システムは、前記サーバ装置が、車両に搭載され得る正当な車載機器にて実行されるプログラムを更新するための更新用プログラムを記憶する更新用プログラム記憶部と、前記車載機器についてプログラムの更新を行うか否かを判定する更新判定部と、前記正当性判定部が正当な車載機器と判定し、且つ、前記更新判定部が更新を行うと判定した車載機器の更新用プログラムを前記更新用プログラム記憶部から読み出して、当該車載機器が搭載された車両の前記情報収集装置へ送信する更新用プログラム送信部とを有し、前記情報収集装置は、前記サーバ装置から更新用プログラムを受信する更新用プログラム受信部と、前記更新用プログラム受信部が受信した更新用プログラムを更新対象の車載機器へ送信する更新用プログラム送信部とを有することを特徴とする。

また、本発明に係る車載機器判定システムは、前記サーバ装置が、前記更新判定部が更新を行うと判定した場合であっても、更新対象の車載機器が搭載された車両に前記正当性判定部が正当ではないと判定した車載機器が搭載されている場合、前記更新用プログラム送信部による更新用プログラムの送信を禁止する更新禁止部を有することを特徴とする。

また、本発明に係る車載機器判定システムは、前記サーバ装置の通知部は、前記識別情報受信部が受信した識別情報の送信元の前記情報収集装置へ通知を行い、前記情報収集装置は、前記サーバ装置からの通知に応じて、前記車両に設けられた表示部に通知情報を表示する処理を行う表示処理部を有することを特徴とする。

また、本発明に係る車載機器判定システムは、前記サーバ装置の通知部は、可搬型の無線通信器へ通知を行うことを特徴とする。

また、本発明に係る車載機器判定システムは、前記情報収集装置が、前記識別情報取得部が取得した識別情報が所定条件を満たすか否かを判定する条件判定部を有し、前記条件判定部が所定条件を満たさないと判定した場合に、前記識別情報送信部による前記サーバ装置への識別情報の送信を行うことを特徴とする。

また、本発明に係る車載機器判定システムは、前記情報収集装置が、前記識別情報取得部が取得した識別情報を記憶する記憶部を有し、前記条件判定部は、前記識別情報取得部が取得した識別情報が、前記記憶部に記憶された識別情報と一致することを所定条件として判定を行うことを特徴とする。

また、本発明に係る情報収集装置は、車両に搭載された一又は複数の車載機器との間で通信を行う通信部と、前記通信部の通信により前記車載機器の識別情報を取得する識別情報取得部と、前記識別情報取得部が取得した識別情報が所定条件を満たすか否かを判定する条件判定部と、前記条件判定部が所定条件を満たさないと判定した場合に、前記識別情報取得部が取得した識別情報を前記車両外のサーバ装置へ送信する識別情報送信部とを備えることを特徴とする。

本発明においては、車両に搭載された情報収集装置が一又は複数の車載機器との間で通信を行って、これら車載機器の識別情報を収集し、収集した識別情報を車外のサーバ装置へ送信する。サーバ装置は、正当な車載機器に付された識別情報のリストなどを記憶しておき、車両の情報収集装置から受信した識別情報に係る車載機器が正当なものであるか否かの判定を行う。サーバ装置は、情報収集装置から受信した識別情報が、記憶された正当な識別情報のリストに含まれているか否かを判定することで、この識別情報が付された車載機器が正当なものであるか否かを判定することができる。サーバ装置は、正当な車載機器ではないと判定した場合に通知を行う。正当な車載機器の識別情報のリストは膨大なデータ量となり追加及び修正等も頻繁に行われる可能性があるため、このような情報をサーバ装置が記憶して車載機器の正否を判定する構成とすることにより、正否判定をより精度よく行うことが可能となる。

また本発明においては、車載機器が記憶するプログラム又はデータ（以下、単にプログラムという）を更新するための更新用プログラムをサーバ装置が記憶しておく。サーバ装置は、車載機器のプログラムの更新を行う必要があるか否かを判定し、正当な車載機器であると判定し且つ更新を行う必要があると判定した車載機器が搭載された車両の情報収集装置へ更新用プログラムを送信する。サーバ装置から更新用プログラムを受信した情報収集装置は、これを更新対象の車載機器へ送信することによって更新処理を行う。これにより、正当な車載機器へのみ更新用プログラムがサーバ装置から送信され、正当でない車載機器のプログラムについては更新処理を禁止することができる。

また本発明においては、プログラムの更新を行う必要があると判定した場合であっても、更新対象の車載機器が搭載された車両に正当でないと判定された車載機器が搭載されている場合、サーバ装置は更新用プログラムの送信を行わない。これにより、何らかの異常が発生している可能性がある車両にて更新処理が行われることを防止することができる。

また本発明においては、情報収集装置から受信した識別情報に基づいて車載機器が正当なものではないと判定したサーバ装置は、この識別情報の送信元の情報収集装置へ、車載機器が正当でない旨の通知を行う。この通知を受信した情報収集装置は、車両に設けられた表示部に、正当でないと判定された車載機器に係る情報を表示してユーザに通知する。これにより車両のユーザは、正当でない車載機器が車両に搭載されていることを認識することができる。

また本発明においては、情報収集装置から受信した識別情報に基づいて車載機器が正当なものではないと判定したサーバ装置は、可搬型の無線通信器へ通知を行う。可搬型の無線通信器は、例えば車両のユーザが所持する携帯電話機又はスマートフォン等の通信器とすることができる。サーバ装置は、例えば車両毎に通知先となる無線通信器に係る情報を記憶しておき、車載機器が正当なものでないとの判定を行った際には記憶した通知先へ通知を行う構成とすることができる。これによりユーザは、車両に乗車していない場合であっても、無線通信器にて通知を受信し、正当でない車載機器が車両に搭載されていることを認識することができる。

また本発明において情報収集装置は、車載機器から収集した識別情報が所定条件を満たすか否かの判定を行う。例えば情報収集装置は、定期的に車載機器から識別情報を取得し、取得した識別情報を記憶しておき、記憶しておいた識別情報と新たに取得した識別情報とが一致するか否かを所定条件として判定を行う構成とすることができ、車両に搭載された車載機器の追加又は変更等の有無を判定することができる。所定条件を満たさないと判定した場合、情報収集装置は、新たに取得した識別情報をサーバ装置へ送信する。これにより、所定条件を満たす場合には情報収集装置からサーバ装置への識別情報の送信が行われないため、情報収集装置及びサーバ装置の通信頻度を低減することができる。

本発明による場合は、情報収集装置が車載機器から取得した識別情報をサーバ装置へ送信し、サーバ装置が受信した識別情報に基づいて車載機器の正当性を判定する構成とすることにより、車両に搭載された車載機器が正当なものであるか否かを精度よく判定することができる。

本実施の形態に係る車載機器判定システムの構成を示す模式図である。 ＥＣＵの構成を示すブロック図である。 ゲートウェイの構成を示すブロック図である。 サーバ装置の構成を示すブロック図である。 ゲートウェイによるＥＣＵの識別情報収集処理の手順を示すフローチャートである。 サーバ装置によるＥＣＵの正当性判定処理の手順を示すフローチャートである。 ゲートウェイが行う更新処理の手順を示すフローチャートである。 サーバ装置が行う更新処理の手順を示すフローチャートである。 実施の形態２に係るゲートウェイの構成を示すブロック図である。 実施の形態２に係るゲートウェイの識別情報収集処理の手順を示すフローチャートである。 実施の形態２に係るゲートウェイの識別情報収集処理の手順を示すフローチャートである。

（実施の形態１）
図１は、本実施の形態に係る車載機器判定システムの構成を示す模式図である。本実施の形態に係る車載機器判定システムは、車両１に搭載された複数のＥＣＵ（Electronic Control Unit）２が、車両１内に配された通信線１ａ，１ｂ及びゲートウェイ４を介して相互に通信を行うシステムである。本実施の形態に係る車載機器判定システムは、ゲートウェイ４が情報収集装置に相当し、ＥＣＵ２が車載機器に相当する。また図示の例では、車内の通信線１ａに２つのＥＣＵ２及び１つの表示装置３が接続され、通信線１ｂに３つのＥＣＵ２が接続され、２本の通信線１ａ，１ｂがゲートウェイ４に接続されたシステム構成であり、ゲートウェイ４が通信線１ａ，１ｂ間の通信を中継することによって、全てのＥＣＵ２が他のＥＣＵ２又は表示装置３との間でデータの送受信を行うことができる。またゲートウェイ４には、車両１のＩＧスイッチ６からＩＧ信号が入力されている。

本実施の形態に係る車載機器判定システムでは、ゲートウェイ４に通信線１ｃを介して無線通信装置５が接続されており、ゲートウェイ４は無線通信装置５を介して車両１外に設置されたサーバ装置９との通信を行うことができる。サーバ装置９及び無線通信装置５は、例えば携帯電話通信網及びインターネット等を介した通信を行うことによりデータを送受信する。またサーバ装置９は、例えば車両１のユーザが所持するスマートフォン７との通信を行うことができる。

ＥＣＵ２は、例えば車両１のエンジンの動作を制御するＥＣＵ、ドアのロック／アンロックを制御するＥＣＵ、ライトの点灯／消灯を制御するＥＣＵ、エアバッグの動作を制御するＥＣＵ、及び、ＡＢＳ（Antilock Brake System）の動作を制御するＥＣＵ等の種々のＥＣＵが含まれ得る。各ＥＣＵ２は、車両１に配された通信線１ａ又は１ｂに接続され、通信線１ａ，１ｂを介して他のＥＣＵ２、表示装置３及びゲートウェイ４との間でデータの送受信を行うことができる。

表示装置３は、例えば液晶ディスプレイなどであり、ＥＣＵ２又はゲートウェイ４から与えられる表示命令などに応じて、車両１のユーザに対するメッセージ表示などを行う。また図示は省略するが、表示装置３は、例えばタッチパネル又はハードウェアキー等の操作部を有しており、ユーザの操作を受け付けてＥＣＵ２又はゲートウェイ４へ受け付けた操作内容を通知する。なお表示装置３は、例えばカーナビゲーション装置と共用のものであってよい。

ゲートウェイ４は、車両１の車内ネットワークを構成する複数の通信線１ａ〜１ｃが接続され、通信線間のデータの送受信を中継する処理を行う。図１に示す例においては、ゲートウェイ４には３つの通信線１ａ〜１ｃ、即ち２つのＥＣＵ２及び１つの表示装置３が接続された第１の通信線１ａ、３つのＥＣＵ２が接続された第２の通信線１ｂ及び無線通信装置５が接続された第３の通信線１ｃが接続されている。ゲートウェイ４は、いずれかの通信線１ａ〜１ｃから受信したデータを他の通信線１ａ〜１ｃへ送信することによって、データの中継を行う。

また本実施の形態に係るゲートウェイ４は、車両１に搭載された全てのＥＣＵ２から識別情報を取得する処理を定期的に行っている。ＥＣＵ２の識別情報は、例えばＥＣＵ２の装置自体に付されたシリアルナンバー（製造番号）及び／又はＥＣＵ２が記憶しているプログラムのバージョン情報等を含み得る。本実施の形態に係るゲートウェイ４は、例えば車両１のＩＧスイッチ６がオン状態へ切り替えられる都度にＥＣＵ２の識別情報を取得し、取得した識別情報をサーバ装置９へ送信する。

無線通信装置５は、例えば携帯電話通信網又は無線ＬＡＮ（Local Area Network）等の無線通信を行うことによって、サーバ装置９との間で情報の送受信を行うことができる。無線通信装置５は、通信線１ｃを介してゲートウェイ４に接続されており、ゲートウェイ４との間で有線通信による情報の送受信を行うことができる。これにより無線通信装置５は、ゲートウェイ４及びサーバ装置９の間の通信を中継することができ、ゲートウェイ４から与えられたデータをサーバ装置９へ送信すると共に、サーバ装置９から受信したデータをゲートウェイ４へ与える。

ＩＧスイッチ６は、車両１のエンジン始動などをユーザが行うためのスイッチであり、オン／オフの２状態に切り替わる。本実施の形態においては、ＩＧ信号はＩＧスイッチ６の状態を示し、ＩＧオンは車両１のエンジンなどの原動機が動作しており、オルタネータなどによる発電が行われている状態であり、ＩＧオフは車両１の原動機が停止して発電が行われていない状態である。

サーバ装置９は、車両１に搭載されるＥＣＵ２にて実行されるプログラム及びデータを管理及び記憶している。サーバ装置９は、車両１からの問合わせに応じてプログラムなどの更新が必要であるか否かを通知すると共に、更新が必要である場合には更新用のプログラム及びデータを車両１へ配信する処理を行う。

本実施の形態においては、例えば車両１のエンジンが動作している際にゲートウェイ４及びサーバ装置９の通信が行われ、更新に必要なプログラム及び／又はデータ等のサーバ装置９からの取得（ダウンロード）がゲートウェイ４により行われる。更新に必要なプログラム及び／又はデータ等の取得を完了したゲートウェイ４は、その後に車両１のエンジンが停止した後（ＩＧスイッチ６がオフ状態へ切り替えられた後）、所定の更新タイミングに至った場合に、サーバ装置９から取得したプログラム及び／又はデータ等を更新対象のＥＣＵ２へ送信することにより、更新処理を行う。ゲートウェイ４から更新に必要なプログラム及び／又はデータ等を受信したＥＣＵ２は、自身の記憶部にこのプログラム及び／又はデータ等を書き込むことによって、更新処理を行う。

また本実施の形態に係るサーバ装置９は、車両１に搭載され得る全ての正当なＥＣＵ２についての識別情報をリストとして記憶している。車両１のゲートウェイ４が収集したＥＣＵ２の識別情報を受信した場合、サーバ装置９は、受信した識別情報が記憶している識別情報リストに含まれているか否かを判定することによって、受信した識別情報が付されたＥＣＵ２が正当なＥＣＵ２であるか否かを判定する。正当なＥＣＵ２ではないと判定した場合、サーバ装置９は、このＥＣＵ２が搭載された車両１のゲートウェイ４へ異常を通知する。サーバ装置９からの異常通知を受信したゲートウェイ４は、表示装置３に表示命令を与えることによって、ユーザに対する異常通知のメッセージ表示を行う。

またサーバ装置９は、車両１のユーザに係る通知先の情報として、ユーザが所持するスマートフォン７の情報を記憶している。スマートフォン７の情報は、例えばスマートフォン７の電話番号又はメールアドレス等の情報とすることができ、サーバ装置９がスマートフォン７へ情報を送信する際に送信先の指定に用いられる情報である。ゲートウェイ４から受信した識別情報に基づいて正当なＥＣＵ２ではないと判定したサーバ装置９は、このＥＣＵ２が搭載された車両１の通知先として登録されたスマートフォン７へ異常を通知する。サーバ装置９からの異常通知を受信したスマートフォン７は、ユーザに対する異常通知のメッセージ表示を行う。なお本実施の形態においては表示装置３にてメッセージ表示を行う構成とするが、これに限るものではなく、例えば音声出力装置にて音声メッセージを出力するなどの方法を採用してもよい。

またサーバ装置９は、ＥＣＵ２の更新処理に用いる更新用プログラムを送信する処理を行うが、正当ではないと判定されたＥＣＵ２が１つでも搭載された車両１に対しては、正当と判定されたＥＣＵ２の更新用プログラムであっても、更新用プログラムの送信は行わない。

図２は、ＥＣＵ２の構成を示すブロック図である。なお本図においては、複数のＥＣＵ２に共通の機能ブロックを抜き出して示しており、ＥＣＵ２毎に異なる機能ブロックについては図示を省略している。本実施の形態に係るＥＣＵ２は、処理部２１、記憶部２２及び通信部２３等を備えて構成されている。処理部２１は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成され、記憶部２２に記憶されたプログラム２２ａを読み出して実行することにより、種々の演算処理を行う。なお記憶部２２に記憶されるプログラム２２ａは、ＥＣＵ２毎にその内容が異なっている。

記憶部２２は、フラッシュメモリ又はＥＥＰＲＯＭ等の不揮発性のメモリ素子を用いて構成されている。記憶部２２は、処理部２１が実行するプログラム２２ａと、このプログラム２２ａの実行に必要なデータとを記憶する。なお以下において”プログラム２２ａ”との記載には、プログラム２２ａと、このプログラム２２ａの実行に必要なデータとを含み得る。

また本実施の形態において記憶部２２は、ＥＣＵ２毎に値が異なる識別情報２２ｂを記憶している。識別情報２２ｂは、例えばＥＣＵ２の装置毎に付されるシリアルナンバー又は製造番号等、及び、プログラム２２ａのバージョン情報を含む情報とすることができる。ＥＣＵ２のシリアルナンバー又は製造番号等は、ＥＣＵ２の製造時に付されて記憶部２２ｂに記憶される。プログラム２２ａのバージョン情報は、プログラム２２ａの更新処理を行う都度にその値が変更される情報である。なお本実施の形態においては識別情報２２ｂをプログラム２２ａが記憶されている記憶部２２に記憶する構成としたが、これに限るものではなく、別のメモリなどに記憶する構成としてもよい。この場合に、例えばプログラム２２ａのバージョン情報は記憶部２２に記憶し、ＥＣＵ２のシリアルナンバー又は製造番号等は別のＲＯＭ（Read Only Memory）に記憶するなど、識別情報２２ｂを分散して記憶しておく構成としてもよい。

通信部２３は、車内ネットワークを構成する通信線１ａ又は１ｂに接続され、例えばＣＡＮ（Controller Area Network）などの通信プロトコルに従ってデータの送受信を行う。通信部２３は、処理部２１から与えられたデータを電気信号に変換して通信線１ａ又は１ｂへ出力することによってデータを送信すると共に、通信線１ａ又は１ｂの電位をサンプリングして取得することによりデータを受信し、受信したデータを処理部２１へ与える。

また本実施の形態に係るＥＣＵ２の処理部２１には、更新用情報受信部２１ａ、更新処理部２１ｂ及び識別情報送信部２１ｃが設けられている。更新用情報受信部２１ａ〜識別情報送信部２１ｃは、更新処理の対象となるプログラム２２ａとは別のプログラム（図示は省略する）を処理部２１が実行することにより実現されるソフトウェア的な機能ブロックである。

更新用情報受信部２１ａは、通信線を介してゲートウェイ４から送信される更新用のプログラムを通信部２３にて受信し、受信した更新用のプログラムをバッファメモリ（図示は省略する）などに蓄積する処理を行う。更新処理部２１ｂは、更新用情報受信部２１ａがバッファなどに蓄積した更新用のプログラムを、記憶部２２のプログラム２２ａに対して上書きすることによって、プログラム２２ａを更新する処理を行う。識別情報送信部２１ｃは、ゲートウェイ４から与えられた識別情報の送信要求に応じて、記憶部２２ｂから識別情報２２ｂを読み出してゲートウェイ４へ送信する処理を行う。

図３は、ゲートウェイ４の構成を示すブロック図である。本実施の形態に係るゲートウェイ４は、処理部４１、記憶部４２、及び、３つの車内通信部４３等を備えて構成されている。処理部４１は、例えばＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、記憶部４２又は図示しないＲＯＭ等に記憶されたプログラムを読み出して実行することにより、種々の演算処理を行う。本実施の形態において処理部４１は、車内ネットワークの通信線１ａ〜１ｃ間のデータ送受信を中継する処理、ＥＣＵ２の更新処理、及び、ＥＣＵ２の識別情報を収集してサーバ装置９へ送信する処理等に必要な演算処理を行う。また車両１のＩＧスイッチ６から供給されるＩＧ信号は、処理部４１に入力されている。ただしＩＧ信号は、通信線１ａ〜１ｃを利用した車内通信によりゲートウェイ４へ入力されてもよい。

記憶部４２は、フラッシュメモリ又はＥＥＰＲＯＭ等の不揮発性のメモリ素子を用いて構成されている。記憶部４２は、例えばＥＣＵ２の更新に用いられるプログラム及びデータ等が記憶される。記憶部４２は、ＥＣＵ２から収集した識別情報を記憶してもよい。記憶部４２は、処理部４１が実行するプログラム及びこのプログラムの実行に必要なデータなどを記憶してもよい。また記憶部４２は、処理部４１の処理の過程で生成されたデータなどを記憶してもよい。

車内通信部４３は、車内ネットワークを構成する通信線１ａ〜１ｃに接続され、例えばＣＡＮなどの通信プロトコルに従ってデータの送受信を行う。車内通信部４３は、処理部４１から与えられたデータを電気信号に変換して通信線１ａ〜１ｃへ出力することによって情報を送信すると共に、通信線１ａ〜１ｃの電位をサンプリングして取得することによりデータを受信し、受信したデータを処理部４１へ与える。なおゲートウェイ４が備える３つの車内通信部４３は、それぞれ異なる通信プロトコルに従って通信を行うものであってもよい。

また処理部４１には、記憶部４２又はＲＯＭ等に記憶されたプログラムが実行されることによって、識別情報取得部４１ａ、識別情報送信部４１ｂ、更新用情報受信部４１ｃ、更新用情報送信部４１ｄ、通知受信部４１ｅ及び表示処理部４１ｆ等がソフトウェア的な機能ブロックとして実現される。識別情報取得部４１ａは、例えば車両１のＩＧスイッチ６がオフ状態からオン状態へ切り替えられる都度、車内通信部４３にて識別情報の送信要求をＥＣＵ２へ与え、これに対する応答としてＥＣＵ２が送信する識別情報を取得して記憶部４２に記憶する処理を行う。識別情報送信部４１ｂは、車両１に搭載された全てのＥＣＵ２について識別情報取得部４１ａによる識別情報の取得処理が完了した後、記憶部４２に記憶された全ＥＣＵ２の識別情報を無線通信装置５にてサーバ装置９へ送信する処理を行う。

更新用情報受信部４１ｃは、所定のタイミングで無線通信装置５を介したサーバ装置９との通信を行い、車両１に搭載されたＥＣＵ２のプログラム２２ａの更新が必要であるか否かを問い合わせる。更新要否の問合わせを行う所定のタイミングは、例えば１日毎又は１週間毎等のように所定周期としてよく、また例えばＩＧスイッチ６がオフ状態からオン状態へ切り替えられる都度などとしてもよい。更新が必要であるとの通知をサーバ装置９から与えられた場合、更新用情報受信部４１ｃは、サーバ装置９から送信される更新に必要なプログラム及びデータ等（以下、単に更新用プログラムという）を無線通信装置５にて受信して記憶部４２に記憶する。このときに更新用情報受信部４１ｃは、更新が必要な全てのＥＣＵ２について、更新用プログラムの受信を行う。

更新用情報送信部４１ｄは、更新用情報受信部４１ｃがサーバ装置９から取得して記憶部４２に記憶した更新用のプログラムを読み出し、読み出した更新用のプログラムを更新処理の対象となるＥＣＵ２へ送信することによって、このＥＣＵ２の記憶部２２に記憶されたプログラム２２ａの更新処理を行う。更新処理を行うと判定された更新用プログラムが複数存在する場合、更新用情報送信部４１ｄは、適宜の順序で更新用プログラムを順次的に送信してもよく、複数の更新用プログラムを並列的に送信してもよい。更新用情報送信部４１ｄによりＥＣＵ２に送信された更新用プログラムは、記憶部４２から消去される（ただし、消去せずに別のデータを書き込む必要が生じるまでは記憶しておいてもよい）。

通知受信部４１ｅは、識別情報送信部４１ｂが送信した識別情報に基づいてサーバ装置９が異常を判定した場合にサーバ装置９から送信される異常通知を、無線通信装置５を介して受信する処理を行う。表示処理部４１ｆは、通知受信部４１ｅがサーバ装置９からの異常通知を受信した場合に、車内通信部４３を介して表示装置４へ表示命令を送信することにより、車両１に正当でないＥＣＵ２が接続されている旨を通知するメッセージを表示装置３に表示する処理を行う。これにより車両１の表示装置３には、例えば「車内ネットワークに不正なＥＣＵ（識別情報ＸＸＸＸ）が接続されています。」などのメッセージが表示され、ユーザに対して不正なＥＣＵ２の接続を知らせると共に、不正なＥＣＵ２の識別情報を知らせることができる。

図４は、サーバ装置９の構成を示すブロック図である。本実施の形態に係るサーバ装置９は、例えば車両１の製造会社又は販売会社等が運営管理する装置であり、車両１外の適所に設置されている。サーバ装置９は、複数の車両１との通信を行うことができ、各車両１から情報を収集して管理する装置である。サーバ装置９は、処理部９１、記憶部９２及び通信部９３等を備えて構成されている。処理部９１は、例えばＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、記憶部９２に記憶されたサーバプログラムを読み出して実行することにより、車両１の管理に関する種々の演算処理を行う。本実施の形態において処理部９１は、車両１に搭載されたＥＣＵ２の更新用プログラムを配信する処理、及び、車両１に搭載されたＥＣＵ２が正当なものであるか否かを判定する処理等を行う。

記憶部９２は、例えばハードディスクなどの大容量の記憶装置を用いて構成されている。記憶部９２は、処理部９１が実行するサーバプログラム及びこの実行に必要なデータを記憶していると共に、処理部９１の処理過程で生成されたデータを記憶する。また本実施の形態において記憶部９２には、車両１へ配信する更新用のプログラム又はデータを記憶した更新用プログラムＤＢ（データベース）９２ａが設けられている。更新用プログラムＤＢ９２ａには、複数種の車両１に搭載され得る様々なＥＣＵ２のための様々なバージョンのプログラムが更新用プログラムとして記憶されており、サーバ装置９はこれらの中から適切なものを選択して車両１へ送信する。

また記憶部９２には、車両１に搭載され得る正当なＥＣＵ２に付される識別情報を記憶した正当情報ＤＢ９２ｂが設けられている。正当情報ＤＢ９２ｂには、例えばＥＣＵ２のハードウェアに対して与えられるシリアルナンバー又は製造番号等の情報が記憶され、また例えばＥＣＵ２のソフトウェアに対して与えられるプログラムのバージョン情報などが記憶される。サーバ装置９は、車両１から与えられたＥＣＵ２の識別情報について、記憶部９２の正当情報ＤＢ９２ｂに記憶された識別情報に一致擦るものが含まれているか否かを判定することによって、このＥＣＵ２が正当なものであるか否かを判定することができる。正当情報ＤＢ９２ｂに記憶される識別情報は、例えばＥＣＵ２が製造又は販売等される都度に追加されていく。

また記憶部９２には、ＥＣＵ２が正当ではない旨を通知する際の通知先に関する情報を記憶した通知情報ＤＢ９２ｃが設けられている。通知情報ＤＢ９２ｃには、例えばユーザが所持するスマートフォン７の電話番号又はメールアドレス等の情報が、車両１に対応付けて記憶される。サーバ装置９は、車両１から与えられた識別情報に基づいてＥＣＵ２が正当でないと判定した場合、通知情報ＤＢ９２ｃにこの車両に対応付けて記憶された通知先の情報を読み出して、正当でないＥＣＵ２が接続されている旨を通知するメール送信などを行うことができる。

通信部９３は、例えばインターネット及び携帯電話通信網等を介して、車両１又はスマートフォン７等との間の通信を行う。通信部９３は、処理部９１から与えられた送信用のメッセージを、所望の車両１又はスマートフォン７等に対して送信すると共に、車両１又はスマートフォン７等から受信したメッセージを処理部９１へ与える。

また処理部９１には、記憶部９２に記憶されたサーバプログラムが実行されることによって、識別情報受信部９１ａ、正当性判定部９１ｂ、通知部９１ｃ、更新判定部９１ｄ、更新用情報送信部９１ｅ及び更新禁止部９１ｆ等がソフトウェア的な機能ブロックとして実現される。識別情報受信部９１ａは、車両１のゲートウェイ４から定期的に又は適宜のタイミングで送信される車両１に搭載されたＥＣＵ２から収集された識別情報を受信する処理を行う。なお車両１のゲートウェイ４は、車両１に搭載された全てのＥＣＵ２についての識別情報を送信するため、識別情報受信部９１ａは送信された全てのＥＣＵ２の識別情報を受信し、受信した全ての識別情報を送信元の車両１に対応付けて記憶部９２に一時的に記憶する。

正当性判定部９１ｂは、識別情報受信部９１ａが受信した車両１の全てのＥＣＵ２の識別情報について、記憶部９２の正当情報ＤＢ９２ｂに記憶されているか否かを判定することにより、各ＥＣＵ２が正当なものであるか否かを判定する。通知部９１ｃは、正当性判定部９１ｂが正当でないと判定したＥＣＵ２を搭載した車両１のゲートウェイ４へ、正当でないＥＣＵ２が搭載されている旨の通知を送信する処理を行う。また通知部９１ｃは、記憶部９２の通知情報ＤＢ９２ｃを参照して、正当性判定部９１ｂが正当でないと判定したＥＣＵ２を搭載した車両１に対応付けられた通知先の情報を取得し、この通知先として登録されたスマートフォン７などへ、車両１に正当でないＥＣＵ２が搭載されている旨の通知を送信する処理を行う。

更新判定部９１ｄは、車両１のゲートウェイ４から、車両１に搭載されたＥＣＵ２のプログラムの更新の有無の問合わせを受信した場合に、プログラムの更新が必要であるか否かを判定し、判定結果を問い合せに対する応答としてゲートウェイ４へ送信する処理を行う。更新用情報送信部９１ｅは、車両１のゲートウェイ４から更新用プログラムの送信要求を受信した場合、記憶部９２の更新用プログラムＤＢ９２ａに記憶された更新用プログラムから要求元の車両１に適したものを読み出して、要求元の車両１へ送信する処理を行う。更新禁止部９１ｆは、正当性判定部９１ｂが正当でないと判定したＥＣＵ２が搭載された車両１について、更新用情報送信部９１ｅによる更新用プログラムの送信を禁止する処理を行う。

図５は、ゲートウェイ４によるＥＣＵ２の識別情報収集処理の手順を示すフローチャートである。なお本フローチャートは、車両１のＩＧスイッチ６がオフ状態である場合を初期状態として処理を示してある。ゲートウェイ４の処理部４１の識別情報取得部４１ａは、ＩＧスイッチ６から入力されるＩＧ信号を取得し、ＩＧ信号がオフ状態からオン状態へ切り替えられたか否かを判定する（ステップＳ１）。ＩＧ信号がオン状態へ切り替えられていない場合（Ｓ１：ＮＯ）、識別情報取得部４１ａは、ＩＧ信号がオン状態へ切り替えられるまで待機する。ＩＧ信号がオン状態へ切り替えられた場合（Ｓ１：ＹＥＳ）、識別情報取得部４１ａは、車内通信部４３にて、通信線１ａ，１ｂに接続されたＥＣＵ２に対して識別情報の送信要求を行う（ステップＳ２）。

識別情報取得部４１ａは、送信要求に対する応答として、ＥＣＵ２から識別情報を受信したか否かを判定する（ステップＳ３）。ＥＣＵ２から識別情報を受信していない場合（Ｓ３：ＮＯ）、識別情報取得部４１ａは、識別情報を取得するまで待機する。識別情報を受信した場合（Ｓ３：ＹＥＳ）、識別情報取得部４１ａは、車両１に搭載された全ＥＣＵ２について識別情報の受信を完了したか否かを判定する（ステップＳ４）。少なくとも１つのＥＣＵ２について識別情報を受信していない場合（Ｓ４：ＮＯ）、識別情報取得部４１ａは、ステップＳ３へ処理を戻す。

全てのＥＣＵ２について識別情報の受信を完了した場合（Ｓ４：ＹＥＳ）、処理部４１の識別情報送信部４１ｂは、全てのＥＣＵ２についての識別情報を、無線通信装置５を介してサーバ装置９へ送信する（ステップＳ５）。識別情報の送信に応じてサーバ装置９では、この識別情報に基づくＥＣＵ２の正否判定が行われ、その判定結果がゲートウェイ４へ通知される。ゲートウェイ４の処理部４１の通知受信部４１ｅは、無線通信装置５を介してサーバ装置９からの通知を受信し、サーバ装置９からＥＣＵ２が正当なものではないとの判定結果を示す不正通知を受信したか否かを判定する（ステップＳ６）。不正通知を受信していない場合（Ｓ６：ＮＯ）、処理部４１は、処理を終了する。不正通知を受信した場合（Ｓ６：ＹＥＳ）、処理部４１の表示処理部４１ｆは、車内通信部４３にて表示装置３へ、車両１に正当でないＥＣＵ２が接続されている旨を通知するメッセージを表示する表示命令を送信し（ステップＳ７）、処理を終了する。

なお図５に示したフローチャートにおいては、ＩＧスイッチ６がオン状態へ切り替えられた際に、ＥＣＵ２の識別情報を収集してサーバ装置９へ送信する処理を行う構成としたが、これに限るものではない。例えばゲートウェイ４は、１日に１回、１週間に１回又は１ヶ月に１回等の頻度でＥＣＵ２の識別情報を収集してサーバ装置９へ送信する処理を行う構成としてもよい。また例えばゲートウェイ４は、ＩＧスイッチ６がオフ状態へ切り替えられた場合に識別情報の収集及び送信を行う構成としてもよく、更に異なるタイミングで行ってもよい。

図６は、サーバ装置９によるＥＣＵ２の正当性判定処理の手順を示すフローチャートである。なおサーバ装置９は、管理対象となる各車両１について、本図のフローチャートに示された処理を個別に行っている。サーバ装置９の処理部９１の識別情報受信部９１ａは、通信部９３にて車両１のゲートウェイ４からＥＣＵ２の識別情報を受信したか否かを判定する（ステップＳ１１）。識別情報を受信していない場合（Ｓ１１：ＮＯ）、識別情報受信部９１ａは、識別情報を受信するまで待機する。車両１から識別情報を受信した場合（Ｓ１１：ＹＥＳ）、処理部９１の正当性判定部９１ｂは、記憶部９２の正当情報ＤＢ９２ｂに記憶された識別情報を検索し（ステップＳ１２）、ステップＳ１１にて受信した全ての識別情報が正当情報ＤＢ９２ｂに記憶されているか否かを判定する（ステップＳ１３）。受信した全ての識別情報が正当情報ＤＢ９２ｂに記憶されている場合（Ｓ１３：ＹＥＳ）、正当性判定部９１ｂは、車両１に搭載された全てのＥＣＵ２が正当なものであると判定し、処理を終了する。なおこのときにサーバ装置９は、ＥＣＵ２が正当である旨の応答を、識別情報の送信元のゲートウェイ４へ送信してもよい。

少なくとも１つの識別情報が正当情報ＤＢ９２ｂに記憶されていない場合（Ｓ１３：ＮＯ）、正当性判定部９１ｂは、記憶されていない識別情報が付されたＥＣＵ２が正当なものではないと判定する。処理部９１の通知部９１ｃは、この識別情報の送信元のゲートウェイ４へ、正当でないＥＣＵ２が搭載されている旨と、正当でないと判定したＥＣＵ２についての情報とを通知するメッセージの送信を通信部９３にて行う（ステップＳ１４）。通知部９１ｃは、記憶部９２の通知情報ＤＢ９２ｃを参照して、正当でないＥＣＵ２が搭載されている車両１に対応付けられたユーザの通知先を取得する（ステップＳ１５）。通知部９１ｃは、取得した通知先のスマートフォン７などへ、車両１に正当でないＥＣＵ２が搭載されている旨と、正当でないと判定したＥＣＵ２についての情報とを通知するメッセージの送信を通信部９３にて行う（ステップＳ１６）。また処理部９１の更新禁止部９１ｆは、正当でないと判定したＥＣＵ２が搭載された車両１について、以後の更新用プログラムの送信を禁止し（ステップＳ１７）、処理を終了する。

なおサーバ装置９は、更新用プログラムの送信を禁止した後、例えば車両１のディーラ又は整備工場等において不正なＥＣＵ２が取り外されたことが確認された際に、ディーラ又は整備工場等の装置から禁止解除の命令が与えられた場合に、更新用プログラムの送信禁止を解除してもよい。また例えばサーバ装置９は、次の機会に車両１から送信された識別情報に基づく正否判定を行い、全てのＥＣＵ２が正当なものであると判定した場合には、更新用プログラムの送信禁止を解除してもよい。またこれら以外の要因でサーバ装置９が更新用プログラムの送信禁止を解除する構成としてもよい。

図７は、ゲートウェイ４が行う更新処理の手順を示すフローチャートである。ゲートウェイ４の処理部４１の更新用情報受信部４１ｃは、ＩＧスイッチ６から入力されるＩＧ信号を取得し、ＩＧ信号がオフ状態からオン状態へ切り替えられたか否かを判定する（ステップＳ２１）。ＩＧ信号がオン状態へ切り替えられていない場合（Ｓ２１：ＮＯ）、更新用情報受信部４１ｃは、ＩＧ信号がオン状態へ切り替えられるまで待機する。ＩＧ信号がオン状態へ切り替えられた場合（Ｓ２１：ＹＥＳ）、更新用情報受信部４１ｃは、無線通信装置５を介した無線通信を行い、サーバ装置９へ車両１に搭載されたＥＣＵ２のプログラムの更新の有無を問い合わせる（ステップＳ２２）。

更新用情報受信部４１ｃは、問い合わせに対してサーバ装置９から送信される応答を、無線通信装置５を介して受信する（ステップＳ２３）。更新用情報受信部４１ｃは、サーバ装置９からの応答に基づいて、車両１に搭載されたＥＣＵ２のプログラムの更新の有無を判定する（ステップＳ２４）。更新がない場合（Ｓ２４：ＮＯ）、更新用情報受信部４１ｃは、ステップＳ２１へ処理を戻す。更新がある場合（Ｓ２４：ＹＥＳ）、更新用情報受信部４１ｃは、サーバ装置９へ更新用プログラムの送信を要求する（ステップＳ２５）。更新用情報受信部４１ｃは、要求に応じてサーバ装置９から送信される更新用プログラムを、無線通信装置５を介して受信し（ステップＳ２６）、受信した更新用プログラムを記憶部４２に記憶する（ステップＳ２７）。

次いで処理部４１の更新用情報送信部４１ｄは、ＥＣＵ２の更新処理を行うタイミングに至ったか否かを判定する（ステップＳ２８）。更新用情報送信部４１ｄは、例えば車両１のＩＧスイッチ６がオフ状態に切り替えられた場合に更新処理を行うタイミングに至ったと判定する構成とすることができ、また例えば午前２時などの所定時刻に至った場合に更新処理を行うタイミングに至ったと判定する構成とすることができる。なお更新処理を行うタイミングは上記のものに限らず、様々なタイミングで更新処理を行う構成としてよい。更新処理を行うタイミングに至っていないと判定した場合（Ｓ２８：ＮＯ）、更新用情報送信部４１ｄは、更新処理を行うタイミングに至るまで待機する。更新処理を行うタイミングに至ったと判定した場合（Ｓ２８：ＹＥＳ）、更新用情報送信部４１ｄは、記憶部４２に記憶した更新用プログラムを、車内通信部４３にて更新対象のＥＣＵ２へ送信することで更新処理を行い（ステップＳ２９）、ステップＳ２１へ処理を戻す。

図８は、サーバ装置９が行う更新処理の手順を示すフローチャートである。なおサーバ装置９は、管理対象となる各車両１について、本図のフローチャートに示された処理を個別に行っている。サーバ装置９の処理部９１の更新判定部９１ｄは、車両１からＥＣＵ２のプログラムの更新有無の問合わせを受信したか否かを判定する（ステップＳ４１）。問合わせを受信していない場合（Ｓ４１：ＮＯ）、更新判定部９１ｄは、ステップＳ４４へ処理を進める。問合わせを受信した場合（Ｓ４１：ＹＥＳ）、更新判定部９１ｄは、問合わせ元の車両１に搭載されたＥＣＵ２のプログラムについて更新の有無を調査する（ステップＳ４２）。例えばゲートウェイ４が送信する問い合わせに車両１に搭載されたＥＣＵ２のプログラムのバージョン情報などが含まれている場合、更新判定部９１ｄは、問合わせに含まれるバージョン情報が最新のバージョンであるか否かを判定することによって、プログラムの更新の有無を判定する構成とすることができる。また例えばサーバ装置９が各車両１に搭載されたＥＣＵ２のプログラムのバージョン情報などをデータベース化して管理する構成としてもよく、この場合に更新判定部９１ｄは、データベースを参照することによって更新の有無を判定する構成とすることができる。更新判定部９１ｄは、ステップＳ４２の処理結果として得られた更新の有無を、応答として問合わせ元のゲートウェイ４へ送信し（ステップＳ４３）、ステップＳ４４へ処理を進める。

次いで処理部９１の更新用情報送信部４１ｄは、車両１のゲートウェイ４から更新用プログラムの送信要求を受信したか否かを判定する（ステップＳ４４）。送信要求を受信していない場合（Ｓ４４：ＮＯ）、更新用情報送信部４１ｄは、ステップＳ４１へ処理を戻す。送信要求を受信した場合（Ｓ４４：ＹＥＳ）、更新用情報送信部９１ｄは、送信要求元の車両１に対する更新用プログラムの送信が更新禁止部９１ｆにより禁止されているか否かを判定する（ステップＳ４５）。更新用プログラムの送信が禁止されている場合（Ｓ４５：ＹＥＳ）、更新用情報送信部４１ｄは、更新用プログラムの送信せずに、ステップＳ４１へ処理を戻す。更新用プログラムの送信が禁止されていない場合（Ｓ４５：ＮＯ）、更新用情報送信部４１ｄは、要求元の車両１のＥＣＵ２にて更新処理を行うべき更新用プログラムを記憶部９２の更新用プログラムＤＢ９２ａから読み出して、要求元の車両１のゲートウェイ４へ送信し（ステップＳ４６）、ステップＳ４１へ処理を戻す。

以上の構成の本実施の形態に係る車載機器判定システムは、車両１に搭載されたゲートウェイ４が一又は複数のＥＣＵ２との間で通信を行って、これらＥＣＵ２の識別情報を収集し、収集した識別情報を車外のサーバ装置９へ送信する。サーバ装置９は、正当なＥＣＵ２に付された識別情報を記憶部９２の正当情報ＤＢ９２ｂに記憶しておき、車両１のゲートウェイ４から受信した識別情報に係るＥＣＵ２が正当なものであるか否かの判定を行う。サーバ装置９は、ゲートウェイ４から受信した識別情報が、記憶部９２の正当情報ＤＢ９２ｂに含まれているか否かを判定することによって、この識別情報が付されたＥＣＵ２が正当なものであるか否かを判定することができる。サーバ装置９は、正当なＥＣＵ２ではないと判定した場合に、その旨を通知する。正当なＥＣＵ２の識別情報を集めた正当情報ＤＢ９２ｂは膨大なデータ量となり追加及び修正等も頻繁に行われる可能性があるため、このような情報をサーバ装置９が記憶部９２に記憶してＥＣＵ２の正否を判定する構成とすることにより、正否判定をより精度よく行うことが可能となる。

また本実施の形態においては、ＥＣＵ２が記憶部２２に記憶するプログラム２２ａを更新するための更新用プログラムを、サーバ装置９が記憶部９２の更新用プログラムＤＢ９２ａに記憶しておく。サーバ装置９は、車両委１の各ＥＣＵ２についてプログラム２２ａの更新を行う必要があるか否かを判定し、正当なＥＣＵ２であると判定し且つ更新を行う必要があると判定したＥＣＵ２が搭載された車両１のゲートウェイ４へ更新用プログラムを送信する。サーバ装置９から更新用プログラムを受信したゲートウェイ４は、これを更新対象のＥＣＵ２へ送信することによって更新処理を行う。これにより、正当なＥＣＵ２へのみ更新用プログラムがサーバ装置９から送信され、正当でないＥＣＵ２のプログラムについては更新処理を禁止することができる。

また本実施の形態においては、プログラムの更新を行う必要があるＥＣＵ２が存在する場合であっても、この更新対象のＥＣＵ２が搭載された車両１に正当でないと判定されたＥＣＵ２が搭載されている場合には、サーバ装置９はこの車両１へ更新用プログラムの送信を行わない。これにより、何らかの異常が発生している可能性がある車両１にて更新処理が行われることを防止できる。

また本実施の形態においては、ゲートウェイ４から受信した識別情報に基づいてＥＣＵ２が正当なものではないと判定したサーバ装置９は、この識別情報の送信元のゲートウェイ４へ、ＥＣＵ２が正当でない旨の通知を行う。この通知を受信したゲートウェイ４は、車両１に設けられた表示装置３に、正当でないと判定されたＥＣＵ２に係る情報を表示してユーザに通知する。これにより車両１のユーザは、正当でないＥＣＵ２が車両１に搭載されていることを認識できる。

また本実施の形態においては、ゲートウェイ４から受信した識別情報に基づいてＥＣＵ２が正当なものではないと判定したサーバ装置９は、スマートフォン７などの可搬型の無線通信器への通知を行う。サーバ装置９は、例えば車両１毎に通知先となる無線通信器に係る情報を記憶部９２の通知情報ＤＢ９２ｃに記憶しておき、ＥＣＵ２が正当なもの出ないと判定を行った際には記憶した通知先へ通知を行う構成とすることができる。これによりユーザは、車両１に乗車していない場合であっても、スマートフォン７などの無線通信器にてサーバ装置９からの通知を受信し、正当でないＥＣＵ２が車両１に搭載されていることを認識できる。

なお本実施の形態においては、車両１に搭載されたゲートウェイ４がＥＣＵ２の識別情報の収集及び収集した識別情報のサーバ装置９への送信等を行う構成、即ちゲートウェイ４が情報収集装置として機能する構成としたが、これに限るものではない。ゲートウェイ４以外の車載機器、例えばいずれかのＥＣＵ２が情報収集装置としての処理を行う構成としてもよい。また本実施の形態に係る車載機器判定システムでは、ゲートウェイ４及びサーバ装置９がＥＣＵ２のプログラム２２ａの更新処理を行う構成としたが、これに限るものではなく、更新処理を行わない構成とし、単にＥＣＵ２の正否を判定する処理を行うシステムとしてよい。

（変形例）
また本実施の形態においては、車両１に搭載された複数のＥＣＵ２のうちの１つのＥＣＵ２が正当なものではないと判定された場合であっても、この正当でないＥＣＵ２を搭載した車両１の別の正当なＥＣＵ２について更新用プログラムの送信を禁止する構成としたが、これに限るものではない。サーバ装置９は、正当でないと判定されたＥＣＵ２が搭載された車両１に対して、正当であると判定されたＥＣＵ２のための更新用プログラムを送信する構成としてよい。

（実施の形態２）
図９は、実施の形態２に係るゲートウェイ２０４の構成を示すブロック図である。実施の形態２に係る車載機器判定システムは、ＥＣＵ２の識別情報を収集するゲートウェイ２０４は、収集した識別情報を単にサーバ装置９へ送信するのではなく、収集した識別情報が所定の条件を満たすか否かの判定を行い、判定結果に応じてサーバ装置９へ識別情報を送信するか否かを決定する構成である。

実施の形態２に係るゲートウェイ２０４の記憶部４２には、識別情報取得部４１ａがＥＣＵ２から取得した識別情報を記憶しておく識別情報記憶部４２ａが設けられている。識別情報取得部４１ａは、例えばＩＧスイッチ６がオフ状態からオン状態へ切り替えられた場合に、車両１に搭載された全てのＥＣＵ２の識別情報を取得して、記憶部４２の識別情報記憶部４２ａに記憶する。識別情報取得部４１ａは、ＩＧスイッチ６のオン状態への切り替えの都度、識別情報の取得及び記憶を繰り返し行う。識別情報記憶部４２ａには、少なくとも１回分の識別情報、即ち少なくとも前回のＩＧスイッチ６のオン状態への切り替えの際に取得した識別情報が記憶されている。

また実施の形態２に係るゲートウェイ２０４の処理部４１には、条件判定部２４１ｇがソフトウェア的な機能ブロックとして更に設けられている。条件判定部２４１ｇは、識別情報取得部４１ａがＥＣＵ２から取得した識別情報が所定条件を満たすか否かの判定を行う。本実施の形態において条件判定部２４１ｇは、識別情報記憶部４２ａに記憶されている前回に取得した識別情報と、識別情報取得部４１ａが今回に取得した識別情報とを比較し、両識別情報が一致することを所定条件として判定を行う。これにより、車両１の車内ネットワークに対するＥＣＵ２の追加又は変更等を、条件判定部２４１ｇが判定することができる。

実施の形態２に係るゲートウェイ２０４の識別情報送信部４１ｂは、識別情報記憶部４２ａに記憶された識別情報と、識別情報取得部４１ａが取得した識別情報とが一致すると条件判定部２４１ｇが判定した場合、車両１の装置構成に変化はないと考えられるため、サーバ装置９への識別情報の送信を行わない。これに対して、識別情報記憶部４２ａに記憶された識別情報と、識別情報取得部４１ａが取得した識別情報とが一致しないと条件判定部２４１ｇが判定した場合、識別情報送信部４１ｂは、車両１の装置構成に変化が生じたと考えられるため、識別情報取得部４１ａが取得した識別情報を、無線通信装置５を介してサーバ装置９へ送信する。ゲートウェイ２０４からの識別情報を受信したサーバ装置９が行う処理は、実施の形態１に係る車載機器判定システムと同様である。

図１０及び図１１は、実施の形態２に係るゲートウェイ２０４の識別情報収集処理の手順を示すフローチャートである。ゲートウェイ２０４の処理部４１の識別情報取得部４１ａは、ＩＧスイッチ６から入力されるＩＧ信号を取得し、ＩＧ信号がオフ状態からオン状態へ切り替えられたか否かを判定する（ステップＳ５１）。ＩＧ信号がオン状態へ切り替えられていない場合（Ｓ５１：ＮＯ）、識別情報取得部４１ａは、ＩＧ信号がオン状態へ切り替えられるまで待機する。ＩＧ信号がオン状態へ切り替えられた場合（Ｓ５１：ＹＥＳ）、識別情報取得部４１ａは、車内通信部４３にて、通信線１ａ，１ｂに接続されたＥＣＵ２に対して識別情報の送信要求を行う（ステップＳ５２）。

識別情報取得部４１ａは、送信要求に対する応答として、ＥＣＵ２から識別情報を受信したか否かを判定する（ステップＳ５３）。ＥＣＵ２から識別情報を受信していない場合（Ｓ５３：ＮＯ）、識別情報取得部４１ａは、識別情報を取得するまで待機する。識別情報を受信した場合（Ｓ５３：ＹＥＳ）、識別情報取得部４１ａは、車両１に搭載された全ＥＣＵ２について識別情報の受信を完了したか否かを判定する（ステップＳ５４）。少なくとも１つのＥＣＵ２について識別情報を受信していない場合（Ｓ５４：ＮＯ）、識別情報取得部４１ａは、ステップＳ５３へ処理を戻す。

全てのＥＣＵ２について識別情報の受信を完了した場合（Ｓ５４：ＹＥＳ）、処理部４１の条件判定部２４１ｇは、記憶部４２の識別情報記憶部４２ａに記憶された前回に取得した識別情報を読み出す（ステップＳ５５）。条件判定部２４１ｇは、ステップＳ５２〜Ｓ５４にて識別情報取得部４１ａが今回に取得した識別情報と、ステップＳ５５にて識別情報記憶部４２ａから読み出した識別情報とが一致するか否かを判定する（ステップＳ５６）。両識別情報が一致する場合（Ｓ５６：ＹＥＳ）、条件判定部２４１ｇは、処理を終了する。

両識別情報が一致しない場合（Ｓ５６：ＮＯ）、処理部４１は、ステップＳ５２〜Ｓ５４にて識別情報取得部４１ａが今回に取得した識別情報を記憶部４２の識別情報記憶部４２ａに記憶する（ステップＳ５７）。処理部４１の識別情報送信部４１ｂは、全てのＥＣＵ２についての識別情報を、無線通信装置５を介してサーバ装置９へ送信する（ステップＳ５８）。処理部４１の通知受信部４１ｅは、サーバ装置９からＥＣＵ２が正当なものではないとの判定結果を示す不正通知を受信したか否かを判定する（ステップＳ５９）。不正通知を受信していない場合（Ｓ５９：ＮＯ）、処理部４１は、処理を終了する。不正通知を受信した場合（Ｓ５９：ＹＥＳ）、処理部４１の表示処理部４１ｆは、車内通信部４３にて表示装置３へ、車両１に正当でないＥＣＵ２が接続されている旨を通知するメッセージを表示する表示命令を送信し（ステップＳ６０）、処理を終了する。

以上の構成の実施の形態２に係る車載機器判定システムでは、ゲートウェイ２０４が車両１のＥＣＵ２から収集した識別情報が所定条件を満たすか否かの判定を行う。例えばゲートウェイ２０４は、定期的にＥＣＵ２から識別情報を取得し、取得した識別情報を識別情報記憶部４２ａに記憶しておき、記憶しておいた識別情報と新たに取得した識別情報とが一致するか否かを所定条件として判定を行う構成とすることができる。これによりゲートウェイ２０４は、車両１に対するＥＣＵ２の追加又は変更等の有無を判定することができる。所定条件を満たさないと判定した場合、ゲートウェイ２０４は、新たに取得した識別情報をサーバ装置９へ送信する。これにより、所定条件を満たす場合にはゲートウェイ２０４からサーバ装置９への識別情報の送信が行われないため、ゲートウェイ２０４及びサーバ装置９の通信頻度を低減することができる。

なお本実施の形態においては、ゲートウェイ２０４が所定条件として識別情報記憶部４２ａに記憶された識別情報と新たに取得した識別情報とが一致するか否かを判定する構成としたが、所定条件はこれ以外であってもよい。例えば、サーバ装置９が記憶部９２の正当情報ＤＢ９２ｂに記憶している情報の一部をゲートウェイ２０４が取得して記憶部４２に記憶しておき、識別情報取得部４１ａが取得した識別情報がサーバ装置９から取得した情報に含まれているか否かを所定条件としてゲートウェイ２０４が判定する構成としてもよい。

また、実施の形態２に係る車載機器判定システムのその他の構成は、実施の形態１に係る車載機器判定システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

１ 車両
１ａ〜１ｃ 通信線
２ ＥＣＵ（車載機器）
３ 表示装置
４ ゲートウェイ（情報収集装置）
５ 無線通信装置
６ ＩＧスイッチ
７ スマートフォン（可搬型の無線通信器）
９ サーバ装置
２１ 処理部
２１ａ 更新用情報受信部
２１ｂ 更新処理部
２１ｃ 識別情報送信部
２２ 記憶部
２２ａ プログラム
２２ｂ 識別情報
２３ 通信部
４１ 処理部
４１ａ 識別情報取得部
４１ｂ 識別情報送信部
４１ｃ 更新用情報受信部
４１ｄ 更新用情報送信部
４１ｅ 通知受信部
４１ｆ 表示処理部
４２ 記憶部
４２ａ 識別情報記憶部
４３ 車内通信部（通信部）
９１ 処理部
９１ａ 識別情報受信部
９１ｂ 正当性判定部
９１ｃ 通知部
９１ｄ 更新判定部
９１ｅ 更新用情報送信部
９１ｆ 更新禁止部
９２ 記憶部
９１ａ 更新用プログラムＤＢ（更新用プログラム記憶部）
９１ｂ 正当情報ＤＢ（識別情報記憶部）
９１ｃ 通知情報ＤＢ
９３ 通信部
２０４ ゲートウェイ
２４１ｇ 条件判定部

Claims (8)

1. 車両に搭載された一又は複数の車載機器との間で通信を行う通信部、前記通信部の通信により前記車載機器の識別情報を取得する識別情報取得部、並びに、該識別情報取得部が取得した識別情報を前記車両外のサーバ装置へ送信する識別情報送信部を有する情報収集装置と、
   車両に搭載され得る正当な車載機器の識別情報を記憶した識別情報記憶部、車両からの識別情報を受信する識別情報受信部、前記識別情報記憶部に記憶した識別情報及び前記識別情報受信部が受信した識別情報に基づき、前記識別情報受信部が受信した識別情報に係る車載機器が正当な車載機器であるか否かを判定する正当性判定部、並びに、該正当性判定部が正当な車載機器でないと判定した場合に通知を行う通知部を有する前記サーバ装置と
   を備えることを特徴とする車載機器判定システム。
2. 前記サーバ装置は、
   車両に搭載され得る正当な車載機器にて実行されるプログラムを更新するための更新用プログラムを記憶する更新用プログラム記憶部と、
   前記車載機器についてプログラムの更新を行うか否かを判定する更新判定部と、
   前記正当性判定部が正当な車載機器と判定し、且つ、前記更新判定部が更新を行うと判定した車載機器の更新用プログラムを前記更新用プログラム記憶部から読み出して、当該車載機器が搭載された車両の前記情報収集装置へ送信する更新用プログラム送信部と
   を有し、
   前記情報収集装置は、
   前記サーバ装置から更新用プログラムを受信する更新用プログラム受信部と、
   前記更新用プログラム受信部が受信した更新用プログラムを更新対象の車載機器へ送信する更新用プログラム送信部と
   を有すること
   を特徴とする請求項１に記載の車載機器判定システム。
3. 前記サーバ装置は、前記更新判定部が更新を行うと判定した場合であっても、更新対象の車載機器が搭載された車両に前記正当性判定部が正当ではないと判定した車載機器が搭載されている場合、前記更新用プログラム送信部による更新用プログラムの送信を禁止する更新禁止部を有すること
   を特徴とする請求項２に記載の車載機器判定システム。
4. 前記サーバ装置の通知部は、前記識別情報受信部が受信した識別情報の送信元の前記情報収集装置へ通知を行い、
   前記情報収集装置は、前記サーバ装置からの通知に応じて、前記車両に設けられた表示部に通知情報を表示する処理を行う表示処理部を有すること
   を特徴とする請求項１乃至請求項３のいずれか１つに記載の車載機器判定システム。
5. 前記サーバ装置の通知部は、可搬型の無線通信器へ通知を行うこと
   を特徴とする請求項１乃至請求項４のいずれか１つに記載の車載機器判定システム。
6. 前記情報収集装置は、
   前記識別情報取得部が取得した識別情報が所定条件を満たすか否かを判定する条件判定部を有し、
   前記条件判定部が所定条件を満たさないと判定した場合に、前記識別情報送信部による前記サーバ装置への識別情報の送信を行うこと
   を特徴とする請求項１乃至請求項５のいずれか１つに記載の車載機器判定システム。
7. 前記情報収集装置は、前記識別情報取得部が取得した識別情報を記憶する記憶部を有し、
   前記条件判定部は、前記識別情報取得部が取得した識別情報が、前記記憶部に記憶された識別情報と一致することを所定条件として判定を行うこと
   を特徴とする請求項６に記載の車載機器判定システム。
8. 車両に搭載された一又は複数の車載機器との間で通信を行う通信部と、
   前記通信部の通信により前記車載機器の識別情報を取得する識別情報取得部と、
   前記識別情報取得部が取得した識別情報が所定条件を満たすか否かを判定する条件判定部と、
   前記条件判定部が所定条件を満たさないと判定した場合に、前記識別情報取得部が取得した識別情報を前記車両外のサーバ装置へ送信する識別情報送信部と
   を備えることを特徴とする情報収集装置。

Images