JP2002202895A - 車両基本機能制御プログラム更新装置 - Google Patents

Abstract

(57)【要約】 【課題】車両基本機能制御プログラムを実行する車載コ
ンピュータの全体的または部分的な交換を伴わずにその
車両基本機能制御プログラムの内容を更新することを可
能にする。 【解決手段】車両ディーラ用サーバ３０から送信された
電波により、車両基本機能制御プログラムの更新を行う
ために必要な暗号データを、データ取込み部１００にお
いて取り込む。その取り込まれた暗号データに基づき、
復号化回路９０および書換回路９２により、車両基本機
能制御プログラムを記憶したフラッシュメモリ８０にお
いてその車両基本機能制御プログラムの内容を更新す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、車両の基本機能を
制御するためにその車両に搭載されたコンピュータによ
り実行される車両基本機能制御プログラムを更新する技
術に関するものである。

【０００２】

【従来の技術】コンピュータの性能の飛躍的向上を背景
に、自動車、オートバイ等の車両の分野においては、そ
れの基本機能、すなわち、「走る」、「曲がる」および
「止まる」といった動作の性能を向上させるとともに、
ユーザの多様なニーズに応えるべく、その基本機能をコ
ンピュータにより電子制御する技術が広く採用されてい
る。

【０００３】このような技術を採用した電子制御車両
は、一般に、コンピュータが搭載されるとともに、その
車両の基本機能を制御するためにそのコンピュータによ
り実行される車両基本機能制御プログラムが、そのコン
ピュータのプログラムメモリに記憶される。

【０００４】この種の電子制御車両においては、その車
両基本機能制御プログラムをみだりに変更することは、
その車両の基本機能が設計通りに実現されなくなってし
まうことにつながるため、許されるべきではない。

【０００５】そのため、従来においては、この種の電子
制御車両は、それのユーザはもちろん、その車両を取り
扱う業者（製造業者、販売業者、修理業者等）ですら、
その車両のコンピュータの全体的または部分的な交換な
しで車両基本機能制御プログラムを書き換えることが基
本的には不可能であるように設計されていた。

【０００６】

【発明が解決しようとする課題】車両の基本性能を向上
させる等の目的のもと、例えば、その車両のメーカサイ
ドが、その車両に既に搭載されている車両基本機能制御
プログラムの内容を更新したいと要望する場合がある。

【０００７】しかし、従来の電子制御車両においては、
前述の説明から明らかなように、その車両のコンピュー
タの全体または一部を交換しない限り、車両基本機能制
御プログラムの内容を更新することが、そのコンピュー
タの構造上、禁止されていた。

【０００８】そのため、電子制御車両のユーザは、車両
基本機能制御プログラムの内容を更新することが必要で
ある場合には、わざわざ車両のディーラや修理工場、サ
ービステーション等にその車両を持ち込んで、ある期
間、その車両を預けておかなければならず、不便であっ
た。

【０００９】

【課題を解決するための手段および発明の効果】それら
の事情に鑑み、本発明は、コンピュータの全体的または
部分的な交換を伴わずに車両基本機能制御プログラムの
内容を更新することを可能にすることを課題としてなさ
れたものであり、本発明によって下記各態様が得られ
る。各態様は、請求項と同様に、項に区分し、各項に番
号を付し、必要に応じて他の項の番号を引用する形式で
記載する。これは、本明細書に記載の技術的特徴のいく
つかおよびそれらの組合せのいくつかの理解を容易にす
るためであり、本明細書に記載の技術的特徴やそれらの
組合せが以下の態様に限定されると解釈されるべきでは
ない。

【００１０】（１） 車両の基本機能を制御するために
その車両に搭載されたコンピュータにより実行される車
両基本機能制御プログラムであってそのコンピュータの
プログラムメモリに記憶されているものを更新するため
にその車両に搭載された装置であって、前記更新を行う
ために前記プログラムメモリに対して実行することが必
要である処理の内容を定義する処理内容定義データを取
り込むデータ取込み部と、その取り込まれた処理内容定
義データに基づき、前記処理を前記プログラムメモリに
対して実行することにより、前記車両基本機能制御プロ
グラムを更新するプログラム更新部とを含む車両基本機
能制御プログラム更新装置［請求項１］。この装置にお
いては、車両基本機能制御プログラムの更新を行うため
にプログラムメモリに対して実行することが必要である
処理の内容を定義する処理内容定義データがデータ取込
み部において取り込まれ、その取り込まれた処理内容定
義データに基づき、プログラム更新部により、上記処理
がプログラムメモリに対して実行され、それにより、車
両基本機能制御プログラムが更新される。したがって、
この装置によれば、コンピュータのうちの少なくともプ
ログラムメモリを含む部分を交換することなく、そのプ
ログラムメモリにおいて車両基本機能制御プログラムの
内容を更新可能となる。よって、この装置によれば、車
両のユーザは、車両基本機能制御プログラムの更新のた
めにわざわざ特定の場所に出向くことが不要となり、そ
の結果、この装置によれば、車両基本機能制御プログラ
ムの更新が容易になる。本項において「プログラム更新
部」は、車両基本機能制御プログラムを実行するための
コンピュータまたはそれとは別のコンピュータの一部と
して構成したり、それらコンピュータの一部と、電子回
路との組み合わせとして構成することが可能である。後
者の態様においては、例えば、後に実施形態において説
明するように、電子回路を、それらコンピュータの一部
からの指令信号に応答して起動するように設計すること
が可能である。また、本項において「処理内容定義デー
タ」の一例は、現在の車両基本機能制御プログラムの全
部または一部が更新されるべき内容を有するプログラム
を含み、かつ、そのプログラムでその現在の車両基本機
能制御プログラムの全部または一部を書き換えること
を、その車両基本機能制御プログラムを実行するための
コンピュータまたはそれとは別のコンピュータに指令す
ることを定義するデータとすることができる。また、
「処理内容定義データ」の別の例は、現在の車両基本機
能制御プログラムの一部を無効にし、または削除するこ
とを、その車両基本機能制御プログラムを実行するため
のコンピュータまたはそれとは別のコンピュータに指令
することを定義するデータとすることができる。また、
本項において「更新」という用語は、例えば、追加、変
更、書換、削除等の少なくとも１つを含むように解釈す
ることが可能である。 （２） 前記データ取込み部が、外部からオンラインで
送信された前記処理内容定義データを受信するデータ受
信部を含む（１）項に記載の車両基本機能制御プログラ
ム更新装置［請求項２］。この装置においては、車両基
本機能制御プログラムの更新が、外部からオンラインで
送信された処理内容定義データに基づいて行われる。し
たがって、この装置は、車両のユーザが、車両基本機能
制御プログラムの更新のために特定の物を使用して特定
の作業を行うことが不要である態様で実施することが可
能である。本項において「オンライン」でのデータ送信
は、無線の通信回線（電波、光）を利用して行うこと
や、有線の通信回線を利用して行うことが可能である。 （３） 前記処理内容定義データが、可搬性を有する記
録媒体に記録されたものであり、前記データ取込み部
が、前記車両に搭載されたデータ読取り装置であって前
記記録媒体が装填されてその記録媒体から前記処理内容
定義データを読み取るものを含む（１）項に記載の車両
基本機能制御プログラム更新装置［請求項３］。この装
置においては、車両基本機能制御プログラムの更新が、
オンラインではなく、記録媒体という物を使用すること
により、行われる。したがって、この装置によれば、オ
ンラインでの更新に固有の不都合、例えば、データ漏
洩、不正アクセス等に対する配慮をそれほどせずに済
み、車両基本機能制御プログラムの真正性を容易に維持
し得る。 （４） 前記処理内容定義データが、前記処理の内容が
暗号化された暗号データであり、前記プログラム更新部
が、その暗号データが入力された場合に、その入力され
た暗号データを復号化する復号化部を含む（１）ないし
（３）項のいずれかに記載の車両基本機能制御プログラ
ム更新装置［請求項４］。この装置によれば、暗号デー
タの復号化によって車両基本機能制御プログラムが更新
されるため、暗号データを使用せずにその更新を行う場
合に比較し、車両基本機能制御プログラムが不正に更新
されてしまう可能性が低減される。 （５） さらに、前記車両が、前記取り込まれた処理内
容定義データにより定義される処理が前記プログラムメ
モリに対して実行されることが予定された車両である予
定プログラム更新対象車両ではない場合に、前記プログ
ラム更新部による更新を禁止する第１更新禁止部を含む
（１）ないし（４）項のいずれかに記載の車両基本機能
制御プログラム更新装置［請求項５］。この装置におい
ては、車両が、データ取込み部に取り込まれた処理内容
定義データにより定義される処理がプログラムメモリに
対して実行されることが予定された車両である予定プロ
グラム更新対象車両ではない場合に、車両基本機能制御
プログラムの更新が禁止される。したがって、この装置
によれば、処理内容定義データと車両との実際の組み合
わせが、その車両のメーカやディーラが予定した組み合
わせと一致しない場合に、車両基本機能制御プログラム
が予定外に更新されてしまうことが回避される。よっ
て、この装置によれば、予定外の更新によって車両の基
本機能が損なわれてしまうことを回避し得る。 （６） 前記第１更新禁止部が、前記処理内容定義デー
タを識別するデータ識別情報と、前記車両を識別する車
両識別情報とを外部にオンラインで送信することに応答
してその外部からオンラインで受信した受信情報に基づ
き、前記車両が前記予定プログラム更新対象車両である
か否かを判定する判定手段と、その判定手段により前記
車両が前記予定プログラム更新対象車両ではないと判定
された場合に、前記プログラム更新部による更新を禁止
する更新禁止手段とを含む（５）項に記載の車両基本機
能制御プログラム更新装置。 （７） さらに、前記車両の実際のユーザがその車両の
真の所有者でもその真の所有者により許可された者でも
ない場合に、前記プログラム更新部による更新を禁止す
る第２更新禁止部を含む（１）ないし（６）項のいずれ
かに記載の車両基本機能制御プログラム更新装置［請求
項６］。この装置においては、車両の実際のユーザがそ
の車両の真の所有者でもその真の所有者により許可され
た者でもない場合に、車両基本機能制御プログラムの更
新が禁止される。したがって、この装置によれば、車両
の真の所有者の意に反して車両基本機能制御プログラム
が更新されてしまうことを容易に回避し得る。 （８） 前記第２更新禁止部が、前記車両に実際に装着
されたキーに搭載された発信回路から受信した受信信号
に基づき、その実際のキーが真正であるか否かを判定す
る判定手段と、その判定手段によりその実際のキーが真
正ではないと判定された場合に、前記プログラム更新部
による更新を禁止する更新禁止手段とを含む（７）項に
記載の車両基本機能制御プログラム更新装置。 （９） 前記プログラム更新部が、それが更新すべき前
記車両基本機能制御プログラムを実行する前記コンピュ
ータと同じコンピュータにより作動させられるものであ
る（１）ないし（８）項のいずれかに記載の車両基本機
能制御プログラム更新装置［請求項７］。この装置にお
いては、車両基本機能制御プログラムの更新が、そのプ
ログラムを実行するコンピュータと同じコンピュータに
より行われる。したがって、この装置によれば、専用の
コンピュータを追加せずに車両基本機能制御プログラム
の更新が可能となる。よって、この装置によれば、車両
基本機能制御プログラムの更新を経済的にも構造的にも
有利に実施可能となる。 （１０） さらに、前記コンピュータの負荷状態が設定
状態を超えている場合に、前記プログラム更新部による
更新を禁止する第３更新禁止部を含む（９）項に記載の
車両基本機能制御プログラム更新装置［請求項８］。こ
の装置においては、車両基本機能制御プログラムを実行
すべきコンピュータの負荷状態が設定状態を超えている
場合に、車両基本機能制御プログラムの更新が禁止され
る。したがって、この装置によれば、車両基本機能制御
プログラムを実行すべきコンピュータの通常機能を犠牲
にすることなく、そのコンピュータにより車両基本機能
制御プログラムの更新を行い得る。 （１１） 前記第３更新禁止部が、前記車両が実質的に
停止状態にはない場合に、前記コンピュータの負荷状態
が設定状態を超えている場合であるとして、前記プログ
ラム更新部による更新を禁止する更新禁止手段を含む
（１０）項に記載の車両基本機能制御プログラム更新装
置［請求項９］。車両が実質的に停止状態にはない場合
には、実質的に停止状態にある場合に比較し、車両基本
機能制御プログラムを実行すべきコンピュータがそのプ
ログラムを実行するために占有される時間が長いと考え
られる。このような知見に基づき、本項に係る装置にお
いては、車両が実質的に停止状態にはない場合に、コン
ピュータの負荷状態が設定状態を超えている場合である
として、そのコンピュータによる車両基本機能制御プロ
グラムの更新が禁止される。したがって、この装置によ
れば、車両基本機能制御プログラムの更新を行うことが
原因で、本来の動作、すなわち、車両基本機能制御プロ
グラムの実行に支障を来たすことを容易に回避し得る。 （１２） さらに、前記車両が実質的に停止状態にはな
い場合に、前記プログラム更新部による更新を禁止する
第４更新禁止部を含む（１）ないし（１１）項のいずれ
かに記載の車両基本機能制御プログラム更新装置［請求
項１０］。従来においては、前述の説明から明らかなよ
うに、車両の停止状態においてコンピュータを全体的に
または部分的に交換することにより、車両基本機能制御
プログラムの変更が行われていた。このように、従来に
おいては、車両基本機能制御プログラムの変更が車両の
停止状態で、すなわち、その車両のユーザにとって安全
な状態で行われていたのである。一方、これに倣い、前
記（１）ないし（１１）項のいずれかに記載の車両基本
機能制御プログラム更新装置を実施する際には、車両基
本機能制御プログラムの更新を車両の実質的な停止状態
で行うことが望ましいという考え方があり得る。そこ
で、本項に係る装置においては、車両が実質的に停止状
態にはない場合に、車両基本機能制御プログラムの更新
が禁止される。したがって、この装置によれば、車両基
本機能制御プログラムの更新を、従来におけるとほぼ同
じ状況で安全に行い得る。 （１３） 前記第４更新禁止部が、前記車両の状態を検
出する車両状態センサと、その車両状態センサの出力信
号に基づき、前記車両が実質的に停止状態にあるか否か
を判定する判定手段と、その判定手段により前記車両が
実質的に停止状態にはないと判定された場合に、前記プ
ログラム更新部による更新を禁止する更新禁止手段とを
含む（１２）項に記載の車両基本機能制御プログラム更
新装置。

【００１１】

【発明の実施の形態】以下、本発明のさらに具体的な一
実施形態を図面に基づいて詳細に説明する。

【００１２】図１には、本実施形態である車両基本機能
制御プログラム更新装置（以下、単に「更新装置」とい
う）の構成が機能ブロック図により概念的に表されてい
る。この更新装置は、車両において基本機能制御プログ
ラムを部品交換なしでオンラインで更新する装置であ
り、自動車等の車両に搭載される。

【００１３】この車両は、よく知られているように、エ
ンジン（内燃機関）と電動機との少なくとも一方である
駆動源からの動力により、複数の車輪のうちの少なくと
もいくつかである駆動車輪が駆動されることにより、駆
動（走行）させられる。

【００１４】この車両は、それの状態が電子制御ユニッ
ト１０（以下、「ＥＣＵ」と略称する）により制御さ
れ、これにより、車両の基本機能である「走る」、「曲
がる」および「止まる」といった動作が電子制御され
る。

【００１５】車両においてＥＣＵ１０により実行される
制御の種類は、例えば、パワートレイン制御と、ボデー
制御と、車両制御とに分類することができる。パワート
レイン制御は、駆動源の制御と、駆動源の動力を駆動車
輪に伝達する駆動系（トランスミッション、デファレン
シャル等を含む）の制御とを含んでいる。ボデー制御
は、エアバッグ等の乗員保護装置の制御を含んでいる。
車両制御は、ブレーキ制御と、サスペンション制御と、
ステアリング制御と、定速走行制御とを含んでいる。ブ
レーキ制御の一例は、車両制動時に各車輪のロック傾向
が過大になることを防止するアンチロック制御である。

【００１６】この車両は、さらに、図２に示すように、
ナビゲーション装置２０を備えている。ナビゲーション
装置２０は、よく知られているように、運転者に対して
車両の現在位置や目的地への経路を表示装置の地図上に
表示する装置である。このナビゲーション装置２０は、
ＦＭ多重文字放送や、道路上に設置されているビーコン
（情報通信施設）を利用することにより、外部から電波
によりデータを受信可能となっている。さらに、このナ
ビゲーション装置２０は、携帯電話機およびＰＨＳを含
む移動電話機２２が接続可能とされている。その接続に
より、この車両から外部へ電波によりデータを送信可能
となる。

【００１７】このナビゲーション装置２０は、ＥＣＵ１
０に接続されている。したがって、この車両において
は、図１に示すように、外部としての車両ディーラ用サ
ーバ３０（サーバ・コンピュータの一例である）および
車両メーカ用サーバ３２（サーバ・コンピュータの一例
である）からの送信データがナビゲーション装置２０を
介してＥＣＵ１０により電波として受信可能であるとと
もに、そのＥＣＵ１０からの送信データがナビゲーショ
ン装置２０および移動電話機２２を介して外部へ電波で
送信可能となっている。ここに、車両ディーラは、当該
車両を正規に販売したり、修理したりする事業体であ
る。また、車両メーカは、当該車両を正規に製造した事
業体である。

【００１８】この車両は、図２に示すように、さらに、
オーディオ装置４０を備えている。オーディオ装置４０
は、よく知られているように、車内で音楽や放送等のオ
ーディオソースをラジオ、カセットプレイヤ、ＣＤプレ
イヤ等によって聞くための装置である。このオーディオ
装置４０には、ＣＤオートチェンジャ４２が接続されて
おり、一度に装填された複数枚のＣＤが適宜選択されて
再生される。このオーディオ装置４０もＥＣＵ１０に接
続されており、これにより、ＥＣＵ１０は、それらオー
ディオ装置４０およびＣＤオートチェンジャ４２によ
り、ＣＤからデータを有線で、すなわち、車内の情報通
信ネットワーク５０を介して、受信可能となっている。

【００１９】ＥＣＵ１０は、よく知られているように、
図３に示すように、ＣＰＵ６０とＲＯＭ６２とＲＡＭ６
４とがバス６６により互いに接続されて構成されたコン
ピュータ７０を主体として構成されている。ＲＯＭ６２
は、フラッシュメモリ８０をフラッシュＥＰＲＯＭとし
て含むように構成されている。図４に示すように、この
フラッシュメモリ８０に、ＣＰＵ６０により実行されて
車両の基本機能を制御する車両基本機能制御プログラム
として、例えば、駆動源制御プログラム、駆動系制御プ
ログラムおよび車両制御プログラムが書換可能に記憶さ
れる。

【００２０】本実施形態においては、図１に示すよう
に、ＥＣＵ１０が、さらに、復号化回路９０と書換回路
９２とを含むように構成されている。

【００２１】復号化回路９０は、現在の車両基本機能制
御プログラムが書き換えられるべき内容を有する新規な
車両基本機能制御プログラムであって関係者から入手し
たものを暗号で表す暗号データを復号化して復号データ
を作成するための回路である。復号化回路９０は、真正
な復号鍵信号が入力されることに応答して、それに入力
された暗号データを復号する。

【００２２】これに対して、書換回路９２は、その復号
化回路９０により作成されて入力された復号データによ
り、フラッシュメモリ８０の内容を書き換えるための回
路である。書換回路９２は、書換許可信号が入力される
のに応答して、上記入力された復号データにより、現在
の車両基本機能制御プログラムの内容をフラッシュメモ
リ８０において書き換える。

【００２３】図１に示すように、ＥＣＵ１０のうちコン
ピュータ７０により構成される部分により、データ取込
み部１００、認証部１０２、復号鍵信号送信部１０４お
よび書換許可部１０６が構成されている。

【００２４】概略的に説明すれば、データ取込み部１０
０は、上述の暗号データを外部から取り込む部分であ
る。認証部１０２は、外部から取り込まれた暗号データ
と、その車両との実際の組み合わせが真正であることを
認証する部分である。復号鍵信号送信部１０４は、その
認証部１０２による認証に応答し、後述のようにして外
部から受信した復号鍵信号を上記復号化回路９０に供給
する部分である。書換許可部１０６は、車両が実質的に
停止状態にある場合に、書換許可信号を上記書換回路９
２に供給する部分である。

【００２５】この書換許可部１０６は、車両が実質的に
停止状態にあるか否かを判定するために、車両の状態を
検出する車両状態センサに接続されている。その車両状
態センサ１１０は、車体速度を検出する車体速度センサ
（車輪の回転速度を検出する車輪速度センサで代用
可）、駆動源の回転数を検出する回転数センサ、駆動系
の状態を変更するために運転者により操作されるシフト
操作部材としてのシフトレバーの操作位置を検出するシ
フト位置センサ等を含んでいる。

【００２６】本実施形態においては、その車両状態セン
サ１１０が、ＥＣＵ１０による車両基本機能制御にも使
用されるようになっており、車両基本機能制御プログラ
ムの更新に専用のものとはされていない。したがって、
本実施形態によれば、車両基本機能制御プログラムのオ
ンライン更新機能を車両に付加するのに伴うコストアッ
プを容易に節減させ得る。

【００２７】それらデータ取込み部１００、認証部１０
２、復号鍵信号送信部１０４および書換許可部１０６の
各機能は、図５にフローチャートで概念的に表されてい
る書換プログラムであってＲＯＭ６２の書換プログラム
メモリ１１２（図３参照）に記憶されているものがＣＰ
Ｕ６０により実行されることにより、実現される。

【００２８】この書換プログラムは、繰り返し実行され
る。各回の実行時には、まず、ステップＳ１（以下、単
に「Ｓ１」で表す。他のステップについても同じとす
る）において、図１に示す車両ディーラ用サーバ３０か
ら、現在の車両基本機能制御プログラムが部分的に書き
換えられるべき内容を有する新規の車両基本機能制御プ
ログラムを表す暗号データを電波により受信したか否か
が判定される。受信しなかった場合には、その判定がＮ
Ｏとなり、直ちにこの書換プログラムの一回の実行が終
了する。

【００２９】これに対して、暗号データを受信した場合
には、Ｓ１の判定がＹＥＳとなり、Ｓ２に移行する。こ
のＳ２においては、その受信した暗号データが暗号デー
タメモリ１２０（図３参照）であってＲＡＭ６４に設け
られたものに一時的にストアされる。

【００３０】その後、Ｓ３において、その受信した暗号
データを識別するための固有情報であるデータＩＤが、
その暗号データから抽出される。さらに、このステップ
においては、当該車両を識別するための固有情報（例え
ば、車体番号）を表すデータである車両ＩＤが、例え
ば、ＲＯＭ６２やナビゲーション装置２０のコンピュー
タのＲＯＭから読み出される。さらに、このステップに
おいては、それらデータＩＤと車両ＩＤとが、車両メー
カ用サーバ３２に電波により送信される。

【００３１】その車両メーカ用サーバ３２においては、
受信したデータＩＤと車両ＩＤとの組み合わせが、予め
登録してある複数の組み合わせの中に一致するものがあ
るか否かが判定される。認証の成否が判断されるのであ
る。この判断は、車両が受信した暗号データによってそ
の車両の車両基本機能制御プログラムを書き換えること
が車両ディーラまたは車両メーカが意図したことである
か否かが判定されるのである。

【００３２】認証が成立した場合には、車両メーカ用サ
ーバ３２は、そのことを表す認証情報を電波によりその
車両に送信する。その認証情報を受信した車両において
は、Ｓ４の判定がＹＥＳとなり、Ｓ５に移行する。

【００３３】これに対して、車両メーカ用サーバ３２か
ら認証情報を受信しない状態が設定時間以上継続した場
合には、Ｓ４ａの判定がＹＥＳとなり、今回は、受信し
た暗号データによる車両基本機能制御プログラムの書換
が不適当であるとして、Ｓ１０において、書換不許可信
号が書換回路９２に送信される。以上で、この書換プロ
グラムの今回の実行が終了する。したがって、本実施形
態においては、データＩＤと車両ＩＤとの実際の組み合
わせが真正ではない場合には、車両基本機能制御プログ
ラムの書換が禁止される。

【００３４】Ｓ５においては、当該車両において現在使
用されているキー１２２（図１参照）から復号鍵信号を
受信したか否かが判定される。ここに、キー１２２は、
よく知られているように、車両電源の投入・切断および
駆動源の起動・停止を指令するために運転者により、車
両の所定位置に差し込まれて操作される物理的存在であ
る。本実施形態においては、実際のキー１２２が真正で
ある場合には、そのキー１２２に装着された発信回路１
２４（図１参照）が、真正の復号鍵信号を車両の受信回
路（車両のうち、キー１２２が差し込まれる位置に近接
して配置されている。図示しない）に向けて発するよう
になっている。

【００３５】復号鍵信号が真正であるか否かを問わず、
復号鍵信号をキー１２２から上記受信回路を経てＥＣＵ
１０が受信した場合には、図５のＳ５の判定がＹＥＳと
なり、Ｓ６に移行する。

【００３６】これに対して、キー１２２から復号鍵信号
を受信しない状態が設定時間以上継続した場合には、Ｓ
５ａの判定がＹＥＳとなる。この場合、現に使用されて
いるキー１２２が真正でないため、受信した暗号データ
による車両基本機能制御プログラムの書換が不適当であ
るとして、Ｓ１０において、書換不許可信号が書換回路
９２に送信される。以上で、この書換プログラムの今回
の実行が終了する。

【００３７】Ｓ６においては、その受信した復号鍵信号
が復号化回路９０に送信される。その送信に応答し、復
号化回路９０は、その復号鍵信号が真正である場合に
は、暗号データメモリ１２０から暗号データを取り込ん
で復号化を行い、復号データを書換回路９２に出力す
る。しかし、復号化回路９０は、その復号鍵信号が真正
ではない場合には、暗号データメモリ１２０から暗号デ
ータを取り込むことも復号化も行わず、復号データを書
換回路９２に出力することもしない。したがって、本実
施形態においては、キー１２２から受信した復号鍵信号
が真正ではない場合には、車両基本機能制御プログラム
の書換が禁止される。

【００３８】その後、Ｓ７において、車両状態センサ１
１０から、現在の車両状態を表す車両状態信号が入力さ
れる。続いて、Ｓ８において、その入力された車両状態
信号に基づき、車両が実質的に停止状態にあるか否かが
判定される。具体的には、前記車体速度センサからの信
号が車体速度が０に十分に近い設定速度以下であること
を表しているという条件と、前記回転数センサからの信
号が駆動源の回転数が０に十分に近い設定回転数以下で
あることを表しているという条件と、前記シフト位置セ
ンサからの信号がシフトレバーがパーキング操作位置に
あることを表しているという条件とが互いに一緒に成立
したか否かが判定され、成立した場合には、車両が実質
的に停止状態にあると判定され、一方、成立しない場合
には、車両が実質的に停止状態にはないと判定される。
車両が実質的に停止状態にあれば、ＥＣＵ１０のコンピ
ュータ７０の負荷がかなり小さく、車両基本機能制御プ
ログラムの書換を行わせても、そのコンピュータ７０に
支障を来すおそれはほとんどないと予想される。

【００３９】今回は、車両が実質的に停止状態にあると
仮定すれば、Ｓ８の判定がＹＥＳとなり、Ｓ９に移行す
るが、今回は、車両が実質的に停止状態にはないと仮定
すれば、Ｓ８の判定がＮＯとなる。その後、Ｓ８ａにお
いて、Ｓ８の判定がＮＯである状態が設定時間以上継続
したか否かが判定される。継続していない場合には、判
定がＮＯとなり、Ｓ７に戻るが、継続した場合には、判
定がＹＥＳとなり、Ｓ１０において、書換不許可信号が
書換回路９２に送信される。この場合、車両基本機能制
御プログラムの書換が禁止される。以上で、この書換プ
ログラムの今回の実行が終了する。

【００４０】Ｓ９においては、書換許可信号が書換回路
９２に送信される。その送信に応答し、書換回路９２
は、復号化回路９０から復号データが出力されることを
条件に、その復号データで現在の車両基本機能制御プロ
グラムを部分的に書き換える。したがって、キー１２２
から受信した復号鍵信号が真正ではない場合には、たと
え車両メーカ用サーバ３２から認証情報を受信し、か
つ、車両が実質的に停止状態にある場合であっても、暗
号データによる車両基本機能制御プログラムの書換が禁
止される。

【００４１】以上で、この書換プログラムの一回の実行
が終了する。

【００４２】以上の説明から明らかなように、本実施形
態においては、ＥＣＵ１０のうち図５のＳ２を実行する
部分がデータ取込み部１００を構成し、Ｓ３およびＳ４
を実行する部分が認証部１０２を構成し、Ｓ５およびＳ
６を実行する部分が復号鍵信号送信部１０４を構成し、
Ｓ７ないしＳ９を実行する部分が書換許可部１０６を構
成しているのである。

【００４３】以上の説明から明らかなように、本実施形
態においては、ＥＣＵ１０のコンピュータ７０が請求項
１における「コンピュータ」の一例を構成し、フラッシ
ュメモリ８０が同請求項における「プログラムメモリ」
の一例を構成し、暗号データが同請求項における「処理
内容定義データ」の一例を構成し、少なくともデータ取
込み部１００が同請求項における「データ取込み部」の
一例を構成し、少なくともＥＣＵ１０のコンピュータ７
０のうち図５の書換プログラムを実行する部分と、復号
化回路９０と、書換回路９２とが互いに共同して同請求
項における「プログラム更新部」の一例を構成している
のである。

【００４４】さらに、本実施形態においては、ナビゲー
ション装置２０とデータ取込み部１００とが互いに共同
して請求項２における「データ受信部」の一例を構成し
ているのである。

【００４５】さらに、本実施形態においては、復号化回
路９０が請求項４における「復号化部」の一例を構成し
ているのである。

【００４６】さらに、本実施形態においては、認証部１
０２と復号化回路９０のうち復号化を真正の復号鍵信号
の受信時に限って許可する部分とが互いに共同して請求
項５における「第１更新禁止部」の一例を構成している
のである。

【００４７】さらに、本実施形態においては、発信回路
１２４と復号鍵信号送信部１０４と復号化回路９０のう
ち復号化を真正の復号鍵信号の受信時に限って許可する
部分とが互いに共同して請求項６における「第２更新禁
止部」の一例を構成しているのである。

【００４８】さらに、本実施形態においては、少なくと
もＥＣＵ１０のコンピュータ７０のうち図５の書換プロ
グラムを実行する部分と、復号化回路９０と、書換回路
９２とが互いに共同して請求項７における「プログラム
更新部」の一例を構成し、車両基本機能制御プログラム
の実行と更新とが同じコンピュータ７０により実施され
るようになっているのである。

【００４９】さらに、本実施形態においては、車両状態
センサ１１０と書換許可部１０６と書換回路９２のうち
書換を書換許可信号の受信時に限って許可する部分とが
互いに共同して請求項８における「第３更新禁止部」の
一例、および請求項９における「更新禁止手段」の一例
を構成しているのである。

【００５０】さらに、本実施形態においては、車両状態
センサ１１０と書換許可部１０６と書換回路９２のうち
書換を書換許可信号の受信時に限って許可する部分とが
互いに共同して請求項１０における「第４更新禁止部」
の一例を構成しているのである。

【００５１】なお付言すれば、本実施形態においては、
暗号データが、車両ディーラ用サーバ３０から送信され
る電波により搬送されてＥＣＵ１０に取り込まれるよう
になっているが、このような態様で暗号データをＥＣＵ
１０が取り込むことは本発明を実施する上において不可
欠なことではない。例えば、暗号データをＣＤ（コンパ
クトディスク）に記録するととも、ＥＣＵ１０に接続さ
れたオーディオ装置４０およびＣＤオートチェンジャ４
２をデータ読取り部として機能させることにより、その
ＣＤオートチェンジャ４２にそのＣＤを装填してそのＣ
Ｄから必要なデータを読み取らせることにより、暗号デ
ータをＥＣＵ１０に取り込むようにして本発明を実施す
ることが可能なのである。

【００５２】さらに付言すれば、本実施形態において
は、フラッシュメモリ８０における車両基本機能制御プ
ログラムの更新の選択的禁止が、復号化過程と書換過程
との双方において行われるようになっている。復号化回
路９０と書換回路９２との双方を利用することにより行
われるようになっているのであるが、このような態様で
更新の選択的禁止を実行することは本発明を実施する上
において不可欠なことではない。例えば、それら復号化
過程と書換過程とのいずれかのみにおいて更新の選択的
禁止が行われるようにして本発明を実施することが可能
なのである。

【００５３】さらに付言すれば、本実施形態において
は、フラッシュメモリ８０における車両基本機能制御プ
ログラムの更新が、データＩＤと車両ＩＤとの組み合わ
せに関する認証と、車両のキー１２２に関する認証との
双方が一緒に成立しない限り、禁止されるようになって
いるが、このような態様で更新の選択的禁止を実行する
ことは本発明を実施する上において不可欠なことではな
い。例えば、フラッシュメモリ８０における車両基本機
能制御プログラムの更新が、データＩＤと車両ＩＤとの
組み合わせに関する認証と、車両のキー１２２に関する
認証とのいずれかが成立しない限り、禁止されるように
して本発明を実施することが可能なのである。

【００５４】さらに付言すれば、本実施形態において
は、プログラム更新部がＥＣＵ１０のコンピュータ７０
のうち書換プロブラムを実行する部分と、復号化回路９
０および書換回路９２という専用の電子回路との組み合
わせにより構成されるようになっているが、このような
態様でプログラム更新部を構成することは本発明を実施
する上において不可欠なことではない。例えば、ＥＣＵ
１０のコンピュータ７０または専用のコンピュータによ
り、上記書換プロブラムと同じプログラムの他、復号化
回路９０に代わる復号化プログラムと、書換回路９２に
代わる復号データ書換プログラムとを実行させることに
より、それらコンピュータ７０または専用コンピュータ
の一部としてプログラム更新部が構成されるようにして
本発明を実施することが可能なのである。

【００５５】さらに付言すれば、本実施形態において
は、更新されるべき車両基本機能制御プログラムがフラ
ッシュメモリ８０としてのフラッシュＥＰＲＯＭに記憶
されるようになっているが、このような態様で車両基本
機能制御プログラムメモリを構成することは本発明を実
施する上において不可欠なことではない。例えば、ＦＰ
ＧＡ(Field Programmable Gate Array)を用いて車両基
本機能制御回路とプログラムメモリとが構成されるよう
にして本発明を実施することが可能なのである。この態
様によれば、例えば、車両基本機能制御プログラムの更
新に必要な時間を容易に短縮し得る。

【００５６】以上、本発明の一実施形態を図面に基づい
て詳細に説明したが、これは例示であり、前記［課題を
解決するための手段および発明の効果］の欄に記載の態
様を始めとして、当業者の知識に基づいて種々の変形、
改良を施した他の形態で本発明を実施することが可能で
ある。

【図面の簡単な説明】

【図１】本発明の一実施形態である車両基本機能制御プ
ログラム更新装置の構成を概念的に表す機能ブロック図
である。

【図２】図１における車両の内部における情報通信ネッ
トワーク５０を説明するための図である。

【図３】図１におけるＥＣＵ１０の構成を概念的に表す
ブロック図である。

【図４】図３におけるフラッシュメモリ８０の構成を概
念的に表すブロック図である。

【図５】図３におけるＥＣＵ１０により実行される書換
プログラムの内容を概念的に表すフローチャートであ
る。

【符号の説明】

１０ 電子制御ユニットＥＣＵ ２０ ナビゲーション装置 ３０ 車両ディーラ用サーバ ３２ 車両メーカ用サーバ ４０ オーディオ装置 ４２ ＣＤオートチェンジャ ７０ コンピュータ ８０ フラッシュメモリ ９０ 復号化回路 ９２ 書換回路 １００ データ取込み部 １０２ 認証部 １０４ 復号鍵信号送信部 １０６ 書換許可部 １１０ 車両状態センサ １２０ 暗号データメモリ １２２ キー １２４ 発信回路

───────────────────────────────────────────────────── フロントページの続き (72)発明者 加藤 覚 愛知県愛知郡長久手町大字長湫字横道41番 地の１ 株式会社豊田中央研究所内 (72)発明者 前田 光俊 愛知県愛知郡長久手町大字長湫字横道41番 地の１ 株式会社豊田中央研究所内 (72)発明者 米村 正寿 愛知県愛知郡長久手町大字長湫字横道41番 地の１ 株式会社豊田中央研究所内 (72)発明者 伊藤 博 愛知県愛知郡長久手町大字長湫字横道41番 地の１ 株式会社豊田中央研究所内 Ｆターム(参考） 5B076 EA18 EB01 FA00 5H215 AA10 BB10 CC09 CX01 GG04 KK07

Claims (10)

【特許請求の範囲】
1. 【請求項１】 車両の基本機能を制御するためにその車
   両に搭載されたコンピュータにより実行される車両基本
   機能制御プログラムであってそのコンピュータのプログ
   ラムメモリに記憶されているものを更新するためにその
   車両に搭載された装置であって、 前記更新を行うために前記プログラムメモリに対して実
   行することが必要である処理の内容を定義する処理内容
   定義データを取り込むデータ取込み部と、 その取り込まれた処理内容定義データに基づき、前記処
   理を前記プログラムメモリに対して実行することによ
   り、前記車両基本機能制御プログラムを更新するプログ
   ラム更新部とを含む車両基本機能制御プログラム更新装
   置。
2. 【請求項２】 前記データ取込み部が、外部からオンラ
   インで送信された前記処理内容定義データを受信するデ
   ータ受信部を含む請求項１に記載の車両基本機能制御プ
   ログラム更新装置。
3. 【請求項３】 前記処理内容定義データが、可搬性を有
   する記録媒体に記録されたものであり、前記データ取込
   み部が、前記車両に搭載されたデータ読取り装置であっ
   て前記記録媒体が装填されてその記録媒体から前記処理
   内容定義データを読み取るものを含む請求項１に記載の
   車両基本機能制御プログラム更新装置。
4. 【請求項４】 前記処理内容定義データが、前記処理の
   内容が暗号化された暗号データであり、前記プログラム
   更新部が、その暗号データが入力された場合に、その入
   力された暗号データを復号化する復号化部を含む請求項
   １ないし３のいずれかに記載の車両基本機能制御プログ
   ラム更新装置。
5. 【請求項５】 さらに、前記車両が、前記取り込まれた
   処理内容定義データにより定義される処理が前記プログ
   ラムメモリに対して実行されることが予定された車両で
   ある予定プログラム更新対象車両ではない場合に、前記
   プログラム更新部による更新を禁止する第１更新禁止部
   を含む請求項１ないし４のいずれかに記載の車両基本機
   能制御プログラム更新装置。
6. 【請求項６】 さらに、前記車両の実際のユーザがその
   車両の真の所有者でもその真の所有者により許可された
   者でもない場合に、前記プログラム更新部による更新を
   禁止する第２更新禁止部を含む請求項１ないし５のいず
   れかに記載の車両基本機能制御プログラム更新装置。
7. 【請求項７】 前記プログラム更新部が、それが更新す
   べき前記車両基本機能制御プログラムを実行する前記コ
   ンピュータと同じコンピュータにより作動させられるも
   のである請求項１ないし６のいずれかに記載の車両基本
   機能制御プログラム更新装置。
8. 【請求項８】 さらに、前記コンピュータの負荷状態が
   設定状態を超えている場合に、前記プログラム更新部に
   よる更新を禁止する第３更新禁止部を含む請求項７に記
   載の車両基本機能制御プログラム更新装置。
9. 【請求項９】 前記第３更新禁止部が、前記車両が実質
   的に停止状態にはない場合に、前記コンピュータの負荷
   状態が設定状態を超えている場合であるとして、前記プ
   ログラム更新部による更新を禁止する更新禁止手段を含
   む請求項８に記載の車両基本機能制御プログラム更新装
   置。
10. 【請求項１０】 さらに、前記車両が実質的に停止状態
    にはない場合に、前記プログラム更新部による更新を禁
    止する第４更新禁止部を含む請求項１ないし９のいずれ
    かに記載の車両基本機能制御プログラム更新装置。