JP2004192278A - 通信システム及び車載ゲートウェイ装置 - Google Patents

Abstract

【課題】車載ゲートウェイ装置が実行する伝送データの処理プログラムの更新を可能とし、新規機能を追加して性能を向上させることが可能な通信システム及び車載ゲートウェイ装置を提供する。
【解決手段】車両に搭載され、複数の通信ネットワーク（ＯＰ−ＬＡＮ、ＣＬ−ＬＡＮ）間の伝送データの処理をプログラムに基づいて実行するゲートウェイ１０と、前記伝送データの処理を実行するためのプログラムを送信するＤＬサーバ３０とを備え、ゲートウェイ１０は、更新手段により、プログラム記憶部に記憶されている前記伝送データの処理を実行するためのプログラムを、ＤＬサーバ３０から送信され、第１受付手段で受付けたプログラムに更新する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、車両に搭載され、複数の通信ネットワーク間の伝送データの処理をプログラムに基づいて実行する車載ゲートウェイ装置と、該車載ゲートウェイ装置及び前記伝送データの処理を実行するためのプログラムを送信するサーバを備える通信システムに関する。
【０００２】
【従来の技術】
複数の通信ネットワークを相互に接続する場合、ゲートウェイ装置が使用される。自動車内に構築された車載通信システム（車載ＬＡＮ）においては、例えば、ユーザが自由に機器を接続及び取外しできる通信ネットワーク（以下、ＯＰ−ＬＡＮ）と、自動車メーカ以外は機器を接続及び取外しできない通信ネットワーク（以下、ＣＬ−ＬＡＮ）とが車載ゲートウェイ装置を用いて接続される。車載ゲートウェイ装置により、ＯＰ−ＬＡＮに接続された機器とＣＬ−ＬＡＮに接続された機器との間のデータ転送制御が行われる（例えば、特許文献１参照）。
【０００３】
ユーザが、インターネットに接続可能な外部通信装置をＯＰ−ＬＡＮに接続した場合、ＯＰ−ＬＡＮは外部通信装置によって直接的にインターネットに接続された状態となり、ＣＬ−ＬＡＮはゲートウェイ装置を介して間接的にインターネットに接続された状態となる。インターネットに接続することにより、例えば、インターネット上で各種サービスを提供するサーバに車両（外部通信装置）からアクセスし、商品購入又は予約などの各種サービスを利用することが可能になる。
【０００４】
また、車載ＬＡＮとして、ＩＥＥＥ１３９４に準拠した通信ネットワークを構築した場合、ＩＥＥＥ１３９４に準拠した各種機器を車載ＬＡＮに追加接続することが可能である。例えば、ＩＥＥＥ１３９４に準拠したＤＶＤプレーヤなどの電気機器を車載ＬＡＮに接続して、映画などを車内で観賞することが可能になる。
【０００５】
インターネットなどの外部通信ネットワーク、または、電気機器などの外部機器に対するデータ伝送は、通常、車載ゲートウェイ装置によるフィルタリング処理が行われる。例えばＯＰ−ＬＡＮ内の外部通信装置（インターネット）からＣＬ−ＬＡＮ内の各機器へのデータ転送をブロックしたり、ＣＬ−ＬＡＮ内の所定機器から外部通信機器（インターネット）へのデータ転送をブロックする。
【０００６】
【特許文献１】
特開２００２−１６６１４号公報
【０００７】
【発明が解決しようとする課題】
車載ＬＡＮとインターネットなどの外部通信ネットワークとの間のデータ送受信、または、車載ＬＡＮと電気機器などの外部機器との間のデータ送受信は、今後さらに増加する可能性が高い。また、インターネット上で提供される新規サービス、または、追加接続が可能な新規電気機器も増加する可能性が高い。これらサービス又は電気機器のライフサイクルは比較的短い傾向にあり、特にインターネット上で提供されるサービスは進歩が速い。
【０００８】
車載ゲートウェイ装置は、これら新規サービス又は新規電気機器に対するデータ伝送制御も行う必要がある。しかし、車両のライフサイクルは、上述したサービス又は電気機器のライフサイクルよりも比較的長い傾向にあるため、製造時には存在していないサービス又は電気機器に対するデータ伝送制御を行う必要が生じる場合がある。この場合、車載ゲートウェイ装置が新規サービス又は新規電気機器に対応できず、新規サービス又は新規電気機器を利用できない可能性が高い。
【０００９】
また、データ通信に関しては、新規プロトコル（通信規約）又は新規セキュリティ技術などの開発が進められており、上述した新規サービス又は新規電気機器と同様に、新規プロトコル又は新規セキュリティ技術に車載ゲートウェイ装置が対応できず、新規プロトコル又は新規セキュリティ技術を用いたデータ伝送を行えない場合がある。
【００１０】
本発明は斯かる事情に鑑みてなされたものであり、伝送データの処理を実行するためのプログラムを更新し、新規機能を追加して性能を向上させることが可能な通信システム及び車載ゲートウェイ装置を提供することを目的とする。
【００１１】
また、本発明は、特定のサーバ以外からの不正なプログラムのダウンロードを防止し、車載ゲートウェイ装置の動作の安定性及び車両の安全性を高めることが可能な通信システムを提供することを他の目的とする。
【００１２】
また、本発明は、特定の車載ゲートウェイ装置以外へのプログラムの送信を防止し、プログラムの不正使用を防止することが可能な通信システムを提供することを他の目的とする。
【００１３】
また、本発明は、サーバから車載ゲートウェイ装置に送信されるプログラムの送信エラー又は改ざんなどを検出し、車載ゲートウェイ装置の動作の安定性及び車両の安全性を高めることが可能な通信システムを提供することを他の目的とする。
【００１４】
また、本発明は、サーバから車載ゲートウェイ装置に送信するプログラムの盗聴を防止し、プログラムの不正使用を防止することが可能な通信システムを提供することを他の目的とする。
【００１５】
また、本発明は、車載ゲートウェイ装置が搭載された車両に応じたプログラムをサーバから送信することが可能な通信システムを提供することを他の目的とする。
【００１６】
また、本発明は、車載ゲートウェイ装置の動作設定に応じたプログラムをサーバから送信することが可能な通信システムを提供することを他の目的とする。
【００１７】
また、本発明は、プログラムの更新処理が運転に与える影響を最小限に抑え、安全性を高めることが可能な車載ゲートウェイ装置を提供することを他の目的とする。
【００１８】
また、本発明は、プログラムの更新処理による不具合への対応を容易にし、安全性を高めることが可能な車載ゲートウェイ装置を提供することを他の目的とする。
【００１９】
また、本発明は、プログラムの更新処理による他の機器のデータ伝送速度の低下を防止することが可能な車載ゲートウェイ装置を提供することを他の目的とする。
【００２０】
また、本発明は、プログラム更新途中のバッテリ切れによる異常終了を防止することが可能な車載ゲートウェイ装置を提供することを他の目的とする。
【００２１】
また、本発明は、プログラム更新後の不具合の発生を低減し、車載ゲートウェイ装置の安定性及び車両の安全性を高めることが可能な車載ゲートウェイ装置を提供することを他の目的とする。
【００２２】
【課題を解決するための手段】
第１発明に係る通信システムは、車両に搭載され、複数の通信ネットワーク間の伝送データの処理をプログラムに基づいて実行する車載ゲートウェイ装置と、車外機器と通信を行う外部通信装置とを備えた通信システムにおいて、前記伝送データの処理を実行するためのプログラムを送信するサーバを備え、前記車載ゲートウェイ装置は、前記伝送データの処理を実行するためのプログラムを記憶する書換が可能なプログラム記憶部と、前記サーバから送信されたプログラムを受付ける第１受付手段と、プログラム記憶部に記憶されているプログラムを、第１受付手段で受付けたプログラムに更新する更新手段とを備えることを特徴とする。
【００２３】
第２発明に係る通信システムは、第１発明において、前記第１受付手段は、前記サーバから認証用情報を受付けるように構成されており、前記車載ゲートウェイ装置は、第１受付手段で受付けた認証用情報に基づいて、前記サーバを認証する第１認証手段を備え、第１認証手段による認証が完了した場合、第１受付手段により、前記サーバからプログラムを受付けるべくなしてあることを特徴とする。
【００２４】
第３発明に係る通信システムは、第１又は第２発明において、前記サーバは、プログラムの送信先から認証用情報を受付ける第２受付手段と、第２受付手段で受付けた認証用情報に基づいて、プログラムの送信先を認証する第２認証手段とを備え、第２認証手段による認証が完了した送信先にプログラムを送信すべくなしてあることを特徴とする。
【００２５】
第４発明に係る通信システムは、第１〜第３発明の何れかにおいて、前記サーバは、送信するプログラムに改変検出情報を付加する付加手段を備え、前記車載ゲートウェイ装置は、前記付加手段によってプログラムに付加された改変検出情報に基づいて、前記プログラムの改変を検出する改変検出手段を備えることを特徴とする。
【００２６】
第５発明に係る通信システムは、第１〜第３発明の何れかにおいて、前記サーバは、送信するプログラムを暗号化する暗号化手段を備え、前記車載ゲートウェイ装置は、前記暗号化手段で暗号化されたプログラムを復号する復号手段を備えることを特徴とする。
【００２７】
第６発明に係る通信システムは、第１〜第５発明の何れかにおいて、前記車載ゲートウェイ装置は、車両に関する車両情報を送信する送信手段を備え、前記第２受付手段は、車載ゲートウェイ装置から送信された車両情報を受付けるべくなしてあり、前記サーバは、第２受付手段で受付けた車両情報に対応するプログラムを送信すべくなしてあることを特徴とする。
【００２８】
第７発明に係る通信システムは、第１〜第５発明の何れかにおいて、前記車載ゲートウェイ装置は、前記伝送データの処理に関する設定情報を送信する送信手段を備え、前記第２受付手段は、車載ゲートウェイ装置から送信された設定情報を受付けるべくなしてあり、前記サーバは、第２受付手段で受付けた設定情報に対応するプログラムを送信すべくなしてあることを特徴とする。
【００２９】
第８発明に係る車載ゲートウェイ装置は、車両に搭載され、複数の通信ネットワーク間の伝送データの処理をプログラムに基づいて実行する車載ゲートウェイ装置において、前記伝送データの処理を実行するためのプログラムを記憶する書換が可能なプログラム記憶部と、前記伝送データの処理を実行するためのプログラムを受付ける受付手段と、プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新する更新手段とを備えることを特徴とする。
【００３０】
第９発明に係る車載ゲートウェイ装置は、第８発明において、車両が停止していることを検出する停止検出手段を備え、前記受付手段は、停止検出手段によって車両の停止が検出されている場合に、プログラムを受付けるべくなしてあることを特徴とする。
【００３１】
第１０発明に係る車載ゲートウェイ装置は、第８発明において、車両内の人体を検出する人体検出手段を備え、前記受付手段は、人体検出手段によって車両内の人体が検出されている場合に、プログラムを受付けるべくなしてあることを特徴とする。
【００３２】
第１１発明に係る車載ゲートウェイ装置は、第８発明において、前記複数の通信ネットワーク間の単位時間あたりのデータ伝送量を検出する伝送量検出手段を備え、前記受付手段は、伝送量検出手段によって検出されたデータ伝送量が所定値以下の場合に、プログラムを受付けるべくなしてあることを特徴とする。
【００３３】
第１２発明に係る車載ゲートウェイ装置は、第８発明において、車両に搭載されたバッテリの残量を検出する残量検出手段を備え、前記受付手段は、残量検出手段によって検出された残量が所定値以上の場合に、プログラムを受付けるべくなしてあることを特徴とする。
【００３４】
第１３発明に係る車載ゲートウェイ装置は、第８〜第１２発明の何れかにおいて、前記受付手段で受付けたプログラムを実行して動作を確認する動作確認手段を備え、前記更新手段は、動作確認手段による動作の確認が完了した場合、プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新すべくなしてあることを特徴とする。
【００３５】
第１又は第８発明においては、車載ゲートウェイ装置は、送信データの処理を実行するためのプログラムを書換が可能なプログラム記憶部に記憶しており、サーバから送信されたプログラムを受付手段（第１受付手段）で受付け、更新手段により、プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新する。サーバは、例えば車両の製造業者又は販売業者が運営するサーバであり、新規プロトコル又は新規サービスに対応したプログラムなどを送信する。車載ゲートウェイ装置は、例えば外部通信装置を経由してサーバからプログラムをダウンロードすることにより、新規プロトコル又は新規サービスに対応することが可能になる。新規機能を追加して性能を向上させることが可能である。
【００３６】
第２発明においては、車載ゲートウェイ装置は、プログラムを送信するサーバから第１受付手段で受付けた認証用情報に基づいて、前記サーバを認証し、認証が完了した場合にプログラムを受付ける。例えば送信元アドレスに基づいて認証を行ったり、パスワードなどの認証情報を受取って認証を行うことが可能である。アドレスは改ざんの可能性が存在するため、パスワードを用いることが好ましい、特にワンタイムパスワードを用いてアクセス毎にパスワードを変更することが好ましい。また、暗号を利用した電子認証を行うことも可能である。
【００３７】
第３発明においては、サーバは、プログラムの送信先から第２受付手段で受付けた認証用情報に基づいて、第２認証手段で前記送信先を認証し、認証が完了した送信先にプログラムを送信する。例えば送信先のアドレスに基づいて認証を行ったり、送信先からパスワードなどの認証情報を受取って認証を行うことが可能である。車載ゲートウェイ装置のＲＯＭに機器番号などの機器識別情報が記憶されている場合は、送信先から機器番号を受取って認証を行うことが可能である。アドレスは改ざんの可能性が存在し、パスワードは入力の手間が生じるため、車載ゲートウェイ装置固有の機器番号を認証に用いることが好ましい。
【００３８】
第４発明においては、サーバから送信されるプログラムには、付加手段によって改変検出情報が付加されている。車載ゲートウェイ装置は、受付けたプログラムの改変を、改変検出手段により、前記受付けたプログラムに付加されている改変検出情報に基づいて検出する。改変検出情報は、例えばＭＤ５又はＳＨＡ−１などのハッシュアルゴリズムで作成することが可能である。車載ゲートウェイが受付けたプログラムから作成したハッシュ値が、前記プログラムに付加されているハッシュ値（改変検出情報）と異なることによりプログラムの改変を検出することが可能である。改変検出情報は、秘密鍵暗号方式又は公開鍵暗号方式などで暗号化することも可能である。
【００３９】
第５発明においては、サーバから送信されるプログラムは、暗号化手段によって暗号化されている。車載ゲートウェイ装置は、前記暗号化手段で暗号化されたプログラムを受付け、受付けたプログラムを復号手段で復号する。暗号化及び復号は、秘密鍵暗号方式又は公開鍵暗号方式などを用いることが可能である。秘密鍵又は公開鍵は、車載ゲートウェイ装置又はサーバのＲＯＭなどに記憶しておくことが可能である。
【００４０】
第６発明においては、ゲートウェイ装置は、車両に関する車両情報を送信手段から送信する。サーバは、車両情報を第２受付手段で受付け、受付けた車両情報に対応するプログラムを前記ゲートウェイ装置に送信する。車両情報は、例えば車両の種類、グレード、または仕向地などの情報を含み、サーバには、例えば車両の種類、グレード、または仕向地に対応するプログラムが格納されている。例えば、全種類の車両に搭載されている機器に関するプログラムを共通プログラムとし、一部の種類に搭載されている機器に関するプログラムを個別プログラムとした場合、サーバは、共通プログラムと車両の種類に応じた個別プログラムとを送信する。車両情報に、車両に搭載されている機器を含ませることも可能である。
【００４１】
第７発明においては、ゲートウェイ装置は、伝送データの処理に関する設定情報を送信手段から送信する。サーバは、設定情報を第２受付手段で受付け、受付けた設定情報に対応するプログラムを前記ゲートウェイ装置に送信する。車載ゲートウェイ装置においては、例えばフィルタリングポリシを高いセキュリティ強度に設定したり、低いセキュリティ強度に設定することが可能である。このような設定を含んだ設定情報をサーバに送信することにより、例えばセキュリティ強度が高い設定の場合は、セキュリティ機能が強化されたプログラムをサーバからダウンロードすることが可能になる。
【００４２】
第９発明においては、受付手段は、車両が停止していることを検出する停止検出手段によって車両の停止が検出されている場合に、車載ゲートウェイ装置で実行される伝送データの処理を実行するためのプログラムを受付ける。プログラム記憶部に記憶されているプログラムを前記受付けたプログラムに更新する間、車載ゲートウェイ装置は一時的に伝送データの処理を実行できなくなるが、車両が停止しているため、車載ゲートウェイ装置の一時的な処理停止による運転への影響は、最小限に抑えられる。
【００４３】
第１０発明においては、受付手段は、車両内の人体を検出する人体検出手段によって車両内の人体が検出されている場合に、プログラムを受付ける。車両内にユーザがいるため、プログラムのダウンロード及び更新に不具合が生じた場合であっても、車両内のユーザが対応することが可能である。また、プログラムの更新後の各車載機器の動作に不具合が生じた場合であっても、車両内のユーザが対応することが可能である。車両内にユーザがいることの検出は、ドアのロックの有無に基づいて検出したり、イグニッション又は電源のオン／オフに基づいて検出することも可能である。
【００４４】
第１１発明においては、受付手段は、車載ゲートウェイ装置に接続された複数の通信ネットワーク間の単位時間あたりのデータ伝送量を検出する伝送量検出手段によって検出されたデータ伝送量が所定値以下の場合に、プログラムを受付ける。プログラムをダウンロード中の車載ゲートウェイ装置は、例えば車両に搭載されたナビゲーションシステム及びＣＤプレーヤが使用されている場合、動画データ及び音声データのデータ伝送制御をダウンロードと並行して行う。この場合、ダウンロードによって動画データ及び音声データの帯域が減少し、伝送遅れによる動画又は音声の一時停止が生じる可能性がある。前記所定値は、プログラムのダウンロードを行っても帯域に余裕があるデータ伝送量に設定される。また、車内に人がいない場合は、各車載機器が使用されていないことが多く、人体検出手段が車両内の人体を検出しなかった場合に、プログラムのダウンロードを行うことも可能である。同様に、各車載機器が動作を停止していることを確認した後、プログラムのダウンロードを行うことも可能である。
【００４５】
第１２発明においては、受付手段は、車載バッテリの残量を検出する残量検出手段によって検出された残量が所定値以上の場合に、プログラムを受付ける。プログラムのダウンロード途中又は更新途中で、車載バッテリから車載ゲートウェイ装置への電力供給が停止した場合、ダウンロードを最初からやり直す又はプログラムが使用不能になる可能性が高い。前記所定値は、プログラムのダウンロード及び更新が確実に行える車載バッテリの残量に設定される。また、エンジンが作動している場合はオルタネータによる発電が行われるため、残量検出手段により、車載バッテリの残量に加えてエンジンの作動状況（発電状況）を検出し、発電が行われている場合は受付手段でプログラムを受付けることも可能である。
【００４６】
第１３発明においては、受付手段で受付けたプログラムを実行して動作を確認する動作確認手段による動作の確認が完了した場合、更新手段により、プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新する。例えば、車載ゲートウェイ装置に接続された２つの通信ネットワーク（ＣＬ−ＬＡＮ及びＯＰ−ＬＡＮ）に夫々接続された所定機器間の所定データのデータ転送が行えるか否かを確認する。動作確認手段は、例えば動作確認用データを含む動作確認プログラムに従って動作確認を行う。動作確認プログラムは、例えば車載ゲートウェイ装置内の記憶装置に予め記憶しておいたり、ダウンロードするプログラムに予め付加しておくことが可能である。
【００４７】
【発明の実施の形態】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
（第１の実施の形態）
図１に、本発明に係る車載ゲートウェイ装置（以下、ゲートウェイという）１０を備えた車載ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を含む通信システムの構成例を示す。また、図２にゲートウェイ１０の構成例を示す。
【００４８】
車載ＬＡＮは、ゲートウェイ１０に接続されたＣＬ−ＬＡＮとＯＰ−ＬＡＮとを含む。ＣＬ−ＬＡＮは、接続できる機器を自動車メーカが制限しており、自動車メーカ以外による機器の接続及び取外しを禁止している通信ネットワークである。ＯＰ−ＬＡＮは、自動車のユーザが自由に機器を接続及び取外すことができる通信ネットワークである。本説明では、ＣＬ−ＬＡＮには、ディスプレイ２３，スピーカ２４，ナビゲーションシステム２５，及び操作装置２６が接続されており、ＯＰ−ＬＡＮには、外部通信装置２０，車載ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）２１及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｉｄｅｏ Ｄｉｓｋ）プレーヤ２２が接続されている。
【００４９】
各機器２０〜２６は、例えばＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）１３９４に準拠した通信Ｉ／Ｆ（通信インタフェイス）を備え、デージーチェーン接続されている。また、ＩＥＥＥ１３９４においては、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓ）２７３４で規定されているＩＰ ｏｖｅｒ ＩＥＥＥ１３９４に基づいて、ＩＰパケットを伝送することが可能である。外部通信装置２０は、ＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）又は携帯電話などの無線通信が可能であり、インターネット等の車外の通信ネットワーク４０にＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）サーバ４２を経由して接続可能である。
【００５０】
ＯＰ−ＬＡＮ及びＣＬ−ＬＡＮに接続された各機器及びゲートウェイ１０は、ＩＥＥＥ１３９４パケット（以下、１３９４パケット）と、ＩＰ ｏｖｅｒ ＩＥＥＥ１３９４パケット（以下、ＩＰ−１３９４パケット）との一方又は両方の伝送が可能である。例えば、ゲートウェイ１０のデータ転送処理により、ＤＶＤプレーヤ２２からディスプレイ２３に１３９４パケットを伝送したり、外部通信装置２０からナビゲーションシステム２５へＩＰ―１３９４パケット（ＩＰパケット）を伝送すること等が可能である。車外（インターネット）では主にＩＰパケットによるデータ伝送が行われており、ゲートウェイ１０でＩＰパケット（ＩＰ−１３９４パケット）と１３９４パケットとの変換を行うことも可能である。
【００５１】
ゲートウェイ１０は、図２に示すように、ＣＬ−ＬＡＮ，ＯＰ−ＬＡＮが夫々接続される第１通信Ｉ／Ｆ１６，第２通信Ｉ／Ｆ（第１受付手段）１７と、第１通信Ｉ／Ｆ１６及び第２通信Ｉ／Ｆ１７に接続され、ＣＬ−ＬＡＮ及びＯＰ−ＬＡＮ間のデータ伝送を制御するＭＰＵ１１とを備え、ゲートウェイ１０で行う各種処理をＭＰＵ１１で実行する。ＭＰＵ１１には、データ伝送処理を含む各種処理の実行時に使用するデータ又はプログラムなどが記憶されるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２、フラッシュメモリ１３及びＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４が接続されている。
【００５２】
ＲＯＭ１４には、例えば、ゲートウェイ１０で行う各種処理を実行するためのメインプログラム、およびゲートウェイ１０の機器番号などの機器識別情報が記憶されている。フラッシュメモリ（プログラム記憶部）１３には、例えば、ゲートウェイ１０で行う各種処理を実行するための処理プログラムが記憶されている。ＭＰＵ１１は、ＲＯＭ１４に記憶されているメインプログラムを実行すると共に、フラッシュメモリ１３から必要な処理プログラムを読出して実行する。フラッシュメモリ１３に記憶されている処理プログラムは、ＭＰＵ（更新手段）１１により、更新することが可能である。更新処理は、例えば操作装置２６の更新要求キーを操作することで実行される。操作装置２６は、インストルメントパネルに設けたり、ディスプレイ２３と一体的に構成することが可能である。
【００５３】
各種処理の実行に必要なデータは、ＭＰＵ１１により、ＲＡＭ１２、フラッシュメモリ１３、及びＲＯＭ１４から読出される。また、処理結果は、ＭＰＵ１１により、ＲＡＭ１２又はフラッシュメモリ１３に記憶される。例えば、各機器２０〜２６の１３９４アドレス及び／又はＩＰアドレスなどのアドレステーブルがＲＡＭ１２に記憶され、データの転送をブロックする送信元及び／又は送信先などのフィルタリングポリシがフラッシュメモリ１３に記憶される。ＭＰＵ１１は、前記アドレステーブル及びフィルタリングポリシを参照して、データ伝送処理を行う。なお、ＲＡＭ１２を使用せずにフラッシュメモリ１３のみを使用することも可能である。
【００５４】
通信ネットワーク４０には、処理プログラムを送信するＤＬ（ＤｏｗｎＬｏａｄ）サーバ３０が接続されている。図３に、ＤＬサーバ３０の構成例を示す。ＤＬサーバ３０は、通信ネットワーク４０に接続され、通信ネットワーク４０とのデータ通信制御を行う通信Ｉ／Ｆ３４と、通信Ｉ／Ｆ３４と接続されたＭＰＵ３１と、ＭＰＵ３１に接続されたＲＡＭ３２及びハードディスク３３とを備える。ハードディスク３３には、ゲートウェイ１０がダウンロードを行う処理プログラムが記憶されている。また、ハードディスク３３には、処理プログラムのダウンロードを行うゲートウェイの認証に使用するユーザ情報が記憶されている。
【００５５】
次に、本発明に係るゲートウェイ１０の処理プログラムの更新について説明する。図４にゲートウェイ１０の処理プログラムの更新処理手順の例を示す。また、図５にデータ（プログラム）の送受信を概念的に示す。図５においては、実線の四角で囲まれた部分の処理を主に行っている。
【００５６】
ユーザが操作装置２６を操作して処理プログラムのダウンロードを指示した場合、操作装置２６からゲートウェイ１０に、処理プログラムのダウンロード指示が送信される。ゲートウェイ１０の第１通信Ｉ／Ｆ１６で受付けたダウンロード指示は、ＭＰＵ１１に送られる。ＭＰＵ１１は、ダウンロード指示に応じて、例えば処理プログラムに含まれるＤＬサーバ３０のアドレスを取得し、取得したアドレス（ＤＬサーバ３０）宛のダウンロード要求を、第２通信Ｉ／Ｆ１７から外部通信装置２０に送信する。外部通信装置２０は、受付けたダウンロード要求の送信先が車外の通信ネットワーク４０であるため、ＩＳＰサーバ４２との接続を確立し、ＩＳＰサーバ４２にダウンロード要求を送信する（Ｓ１２）。
【００５７】
ＩＳＰサーバ４２は、外部通信装置２０から受付けたダウンロード要求を、ＤＬサーバ３０に送信する。ＤＬサーバ３０は、通信Ｉ／Ｆ３４でダウンロード要求を受付けて（Ｓ１４）、ＭＰＵ３１に送る。ＭＰＵ３１は、受付けたダウンロード要求の送信元の認証を行う（Ｓ１６）。例えば、ＤＬサーバ３０のハードディスク３３に記憶されているユーザ情報にゲートウェイ１０の機器番号が登録されている場合、ゲートウェイ１０のＭＰＵ１１により、ＲＯＭ１４に記憶されている機器番号（機器識別情報）をダウンロード要求に付加して送信し、ＤＬサーバ３０のＭＰＵ（第２認証手段）３１により、通信Ｉ／Ｆ（第２受付手段）３４で受付けたダウンロード要求に付加されている機器番号をユーザ情報に基づいて認証することが可能である。認証が完了しない場合（Ｓ１８：ＮＯ）、ＭＰＵ３１は、ダウンロード要求を拒否する。
【００５８】
認証が完了した場合（Ｓ１８：ＹＥＳ）、ＭＰＵ３１により、ハードディスク３３から処理プログラムを読出して、通信Ｉ／Ｆ３４からゲートウェイ１０宛に送信する（Ｓ２０）。ＤＬサーバ３０から送信された処理プログラムは、ＩＳＰサーバ４２を経由して、外部通信装置２０に送信される。外部通信装置２０は、受付けた処理プログラムの送信元の認証を行う（Ｓ２２）。例えば、処理プログラムの送信元アドレスと予め登録されているＤＬサーバ３０のアドレスとを比較して認証を行うことが可能である。認証が完了しない場合（Ｓ２４：ＮＯ）、外部通信装置２０は、処理プログラムの受付を拒否する。
【００５９】
認証が完了した場合（Ｓ２４：ＹＥＳ）、外部通信装置２０は処理プログラムを受付けて（Ｓ２６）、ゲートウェイ１０に送信する。ゲートウェイ１０の第２通信Ｉ／Ｆ１７で受付けた処理プログラムはＲＡＭ１２に記憶され、ＭＰＵ１１によりデータ認証が行われる（Ｓ２８）。例えば、ＤＬサーバ３０のＭＰＵ（付加手段）３１により、ＭＤ５又はＳＨＡ−１などのハッシュアルゴリズムに基づいて処理プログラムのハッシュ値を演算し、演算したハッシュ値を処理プログラムに付加して送信する。ゲートウェイ１０のＭＰＵ（改変検出手段）１１により、受付けた処理プログラムのハッシュ値をＤＬサーバ３０側と同様のハッシュアルゴリズムで演算し、演算したハッシュ値と前記受付けた処理プログラムに付加されているハッシュ値とを比較してデータ認証を行うことが可能である。
【００６０】
データ認証が完了しない場合（Ｓ３０：ＮＯ）、ダウンロードしたプログラムの欠落，伝送エラー又は改ざんがあると判定でき、ＭＰＵ１１は、ダウンロード要求を再度送信する（Ｓ１２）。データ認証が完了した場合（Ｓ３０：ＹＥＳ）、ＭＰＵ１１は、フラッシュメモリ１３に記憶されている処理プログラムを、ＤＬサーバ３０から受取った処理プログラムに更新する（Ｓ３４）。更新処理は、ＲＯＭ１４に記憶されているメインプログラムにより実行される。更新後は、ダウンロードしたプログラム（フラッシュメモリ１３に記憶）をＭＰＵ１１で実行して各種処理を行う。
【００６１】
上述した実施の形態では、ダウンロード要求の認証をＤＬサーバ３０で行い（Ｓ１６）、処理プログラムの認証を外部通信装置２０で行った（Ｓ２２）が、図５の破線部分に示すように、ダウンロード要求の認証を外部通信装置２０及び／又はＩＳＰサーバ４２で行ったり、処理プログラムの認証をＩＳＰサーバ４２及び／又はゲートウェイ１０のＭＰＵ１１（第１認証手段）で行うことも可能である。また、送信元及び／又は送信先の認証は、任意の認証方法を用いることが可能である。また、ＤＬサーバ３０のＭＰＵ（暗号化手段）３１でプログラムを暗号化し、車載ゲートウェイ装置１０のＭＰＵ（復号手段）１１で前記プログラムを復号することにより、盗聴を防止することも可能である。
【００６２】
（第２の実施の形態）
ＤＬサーバ３０のハードディスク３３に記憶されている処理プログラムがバージョンアップされた場合などに、ＤＬサーバ３０から登録ユーザのゲートウェイ１０にダウンロード指示を送信することも可能である。ダウンロード指示をゲートウェイ１０に送信するＤＬサーバ３０の構成例を図６に示す。ＤＬサーバ３０の構成は第１の実施の形態（図３）と同様であり、ＭＰＵ３１，ＲＡＭ３２，ハードディスク３３，及び通信Ｉ／Ｆ３４を備える。ハードディスク３３には、各ユーザのゲートウェイ１０のアドレスを含むユーザ情報が記憶されている。また、ハードディスク３３には、ＤＬサーバ３０を識別するためのサーバ識別情報が記憶されている。
【００６３】
図７に、ゲートウェイ１０の処理プログラムの更新処理手順の例を示す。また、図８にデータ（プログラム）の送受信を概念的に示す。ハードディスク３３に記憶されている処理プログラムがバージョンアップなどで変更された場合、ＭＰＵ３１により、ユーザ情報内の各ユーザのゲートウェイ１０のアドレスを取得し、通信Ｉ／Ｆ３４から前記取得したアドレス宛にダウンロード指示を送信する（Ｓ４０）。ＤＬサーバ３０から送信されたダウンロード指示は、ＩＳＰサーバ４２を経由して外部通信装置２０に送信される。外部通信装置２０は、ダウンロード指示を受付け（Ｓ４２）、受付けたダウンロード指示の送信元の認証を行う（Ｓ４４）。例えば、送信元アドレスに基づいてＤＬサーバ３０を認証したり、ＤＬサーバ３０から外部通信装置２０にサーバ識別情報を送信して、ＤＬサーバ３０の認証を行うことが可能である。
【００６４】
認証が完了しない場合（Ｓ４６：ＮＯ）、外部通信装置２０は、ダウンロード指示を拒否する。認証が完了した場合（Ｓ４６：ＹＥＳ）、外部通信装置２０は、受付けたダウンロード指示をゲートウェイ１０に送信する。ゲートウェイ１０の第２通信Ｉ／Ｆ１７で受付けたダウンロード指示は、ＭＰＵ１１に送られる。ＭＰＵ１１は、ダウンロード指示に従って、ＤＬサーバ３０宛のダウンロード要求を、第２通信Ｉ／Ｆ１７から外部通信装置２０に送信する。外部通信装置２０は、ダウンロード要求を、ＩＳＰサーバ４２を経由して、ＤＬサーバ３０に送信する（Ｓ４８）。
【００６５】
ＤＬサーバ３０は、通信Ｉ／Ｆ３４でダウンロード要求を受付け（Ｓ５０）、ＭＰＵ３１に送る。ＭＰＵ３１は、受付けたダウンロード要求の送信元の認証を行う（Ｓ５２）。例えばゲートウェイ１０の機器番号に基づいて認証を行う。認証が完了しない場合（Ｓ５４：ＮＯ）、ＭＰＵ３１は、処理プログラムの送信を拒否する。認証が完了した場合（Ｓ５４：ＹＥＳ）、ＭＰＵ３１により、ハードディスク３３から処理プログラムを読出して、通信Ｉ／Ｆ３４からゲートウェイ１０宛に送信する（Ｓ５６）。ＤＬサーバ３０から送信された処理プログラムは、ＩＳＰサーバ４２を経由して、外部通信装置２０に送信される。外部通信装置２０は、処理プログラムを受付けて（Ｓ５８）、ゲートウェイ１０に送信する。ゲートウェイ１０の第２通信Ｉ／Ｆ１７で受付けた処理プログラムはＲＡＭ１２に記憶され、ＭＰＵ１１によりデータ認証が行われる（Ｓ６０）。例えばハッシュ値を用いてデータ認証を行うことが可能である。
【００６６】
データ認証が完了しない場合（Ｓ６２：ＮＯ）、ＭＰＵ１１は、ダウンロード要求を再度送信する（Ｓ４８）。データ認証が完了した場合（Ｓ６２：ＹＥＳ）、ＭＰＵ１１は、フラッシュメモリ１３に記憶されている処理プログラムを、ＤＬサーバ３０から受取った処理プログラムに更新する（Ｓ６４）。
【００６７】
上述した実施の形態では、ダウンロード指示の認証を外部通信装置２０で行った（Ｓ４４）が、図８の破線部分に示すように、ダウンロード指示の認証をＩＳＰサーバ４２及び／又はゲートウェイ１０のＭＰＵ１１で行うことが可能である。また、処理プログラムの認証を外部通信装置２０で行うことも可能である。また、送信元及び／又は送信先の認証は、任意の認証方法を用いることができる。また、暗号化することにより、盗聴を防止することも可能である。
【００６８】
また、例えば所定期間毎にゲートウェイ１０からＤＬサーバ３０に更新確認要求を送信して、処理プログラムの更新の有無を確認し、処理プログラムの更新がある場合にダウンロード要求を送信してダウンロードを行うことも可能である。
【００６９】
（第３の実施の形態）
ゲートウェイ１０からダウンロード要求と共に車両に関する車両情報を送信し、車両に応じた処理プログラムをＤＬサーバ３０からダウンロードすることも可能である。ダウンロード要求と共に車両情報を送信するゲートウェイ１０の構成例を図９に示す。ゲートウェイ１０の構成は第１の実施の形態（図２）と同様であり、ＭＰＵ１１，ＲＡＭ１２，フラッシュメモリ１３，ＲＯＭ１４，第１通信Ｉ／Ｆ１６，及び第２通信Ｉ／Ｆ１７（送信手段）を備える。フラッシュメモリ１３には、例えば車両の種類、グレード、又は仕向地などの情報を含んだ車両情報が記憶されている。また、ＤＬサーバの３０の構成も第１の実施の形態（図３）と同様であり、ＭＰＵ３１，ＲＡＭ３２，ハードディスク３３，及び通信Ｉ／Ｆ（第２受付手段）３４を備える。ハードディスク３３には、車両情報の種類に応じた複数の処理プログラムが記憶されている。所領情報は、ＭＰＵ１１により、例えば機器の追加又は取外しに応じて更新される。
【００７０】
ゲートウェイ１０の処理プログラムの更新処理手順は、第１又は第２の実施の形態と同様である。ただし、ゲートウェイ１０からＤＬサーバ３０宛に送信されるダウンロード要求（図４のＳ１２又は図７のＳ４８）には、ＭＰＵ１１により、フラッシュメモリ１３から取得した車両情報が付加される。また、ＤＬサーバ３０からゲートウェイ１０宛に送信される処理プログラム（図４のＳ２０又は図７のＳ５６）は、ＭＰＵ３２により、車両情報に基づいてハードディスク３３から取得した処理プログラムである。例えば、車両情報の仕向地が、運転中の動画表示が規制されている地域である場合、ＤＬサーバ３０のＭＰＵ３１は、動画データに関する処理に制限が加えられた処理プログラムを送信する。また、例えば、車両に動画データを扱える機器が搭載されていない場合は、動画データを破棄する処理プログラムを送信する。
【００７１】
また、車両情報と同様にして、ゲートウェイ１０の動作設定に関する設定情報をＤＬサーバ３０に送信し、設定情報に応じた処理プログラムをダウンロードすることも可能である。例えば、フィルタリングポリシが、セキュリティ強度を高めた設定になっている場合、ＤＬサーバ３０のＭＰＵ３２は、セキュリティ機能が強化されたプログラムを送信する。また、ゲートウェイ１０の全機能のうち、動作設定で使用するように設定された機能に対応する処理プログラムのみをダウンロードすることも可能である。
【００７２】
（第４の実施の形態）
処理プログラムのダウンロードは、車両が停止している場合に行うことが可能である。停車中に処理プログラムのダウンロードを行うゲートウェイ１０を備えた車載ＬＡＮの例を図１０（ａ）、（ｂ）に示す。図１０（ａ）に示す車載ＬＡＮにおいては、車速検出器などの車両が停止していることを検出する検出手段２９がゲートウェイ１０に接続されている。また、図１０（ｂ）に示す車載ＬＡＮにおいては、検出手段２９がＣＬ−ＬＡＮに接続されている。検出手段２９からゲートウェイ１０に、車両が停止したことを示す車両停止信号、又は、車速に関する車速信号が送信される。
【００７３】
図１１に、ゲートウェイ１０の処理プログラムの更新処理手順の例を示す。ゲートウェイ１０の処理プログラムの更新処理手順は、第１の実施の形態（又は第２の実施の形態）とほぼ同様である。ただし、ＤＬサーバ３０からゲートウェイ１０宛に送信された処理プログラムの受付（Ｓ２６（又は図７のＳ５８））は、車両が停止している場合のみ行う（Ｓ２５：ＹＥＳ）。例えば、ゲートウェイ１０のＭＰＵ１１が、検出手段２９から車両停止信号を受付けるなどして車両が停止していると判定した場合は、処理プログラムを受付ける（ダウンロードを開始する）。車両の停止は、サイドブレーキの状態などから取得することも可能である。処理プログラムの更新時はゲートウェイ１０の動作が一時的に停止するが、車両が移動していないため、前記一時的な停止が運転に及ぼす影響は少ない。
【００７４】
また、検出手段２９として、車両内の人体を検出する人体検出センサを用い、人体が検出されている場合は、処理プログラムのダウンロードを行うことも可能である。この場合、上述した車両停止の検出と同様に、ＤＬサーバ３０からゲートウェイ１０宛に送信された処理プログラムの受付（図１１のＳ２６（又は図７のＳ５８）に対応）は、車両内で人体が検出された場合のみ行う（図１１のＳ２５：ＹＥＳに対応）。例えば、ゲートウェイ１０のＭＰＵ１１により、検出手段２９から人体検出信号を受付けるなどして車両内にユーザがいると判定した場合、処理プログラムを受付ける（ダウンロードを開始する）。また、ドアがロックされていることを検出したり、イグニッションのオン又は電源のオンを検出することにより、車両内にユーザがいるか否かを判定することも可能である。車両内にユーザがいるため、処理プログラムのダウンロード又は更新に不具合が発生した場合は、ユーザにより迅速に対応することが可能である。
【００７５】
また、ＭＰＵ（伝送量検出手段）１１で単位時間あたりのデータ伝送量を検出し、検出したデータ伝送量が所定値以下の場合に、処理プログラムのダウンロードを行うことも可能である。この場合、上述した車両停止の検出と同様に、ＤＬサーバ３０からゲートウェイ１０宛に送信された処理プログラムの受付（図１１のＳ２６（又は図７のＳ５８）に対応）は、単位時間あたりのデータ伝送量が所定値以下の場合のみ行う（図１１のＳ２５：ＹＥＳに対応）。また、ＭＰＵ１１により、車載ＬＡＮの各機器２０〜２６が動作していないことを確認した後、処理プログラムをダウンロードすることも可能である。同様に、車両内の人体が検出されない場合に、処理プログラムをダウンロードすることも可能である。データ伝送量が少なく、帯域に余裕がある場合にダウンロードを行うことにより、ダウンロードによる帯域不足を防止することが可能である。
【００７６】
また、検出手段２９として、車載ＬＡＮの各機器２０〜２６に電力を供給するバッテリの残量を検出する残量検出センサを用い、バッテリの残量が所定値以上の場合に、処理プログラムのダウンロードを行うことも可能である。この場合、上述した車両停止の検出と同様に、ＤＬサーバ３０からゲートウェイ１０宛に送信された処理プログラムの受付（図１１のＳ２６（又は図７のＳ５８）に対応）は、バッテリ残量が所定値以上の場合のみ行う（図１１のＳ２５：ＹＥＳに対応）。例えば、ゲートウェイ１０のＭＰＵ１１により、検出手段２９から受付けたバッテリ残量が所定値以上あることを検出した場合、処理プログラムを受付ける（ダウンロードを開始する）。また、ＭＰＵ１１により、エンジンが作動してオルタネータによる発電が行われていることを検出した場合、処理プログラムをダウンロードすることも可能である。バッテリの残量が十分ある場合に処理プログラムのダウンロード及び更新を行うことにより、ダウンロード中又は更新中のバッテリ切れを防止することが可能である。
【００７７】
（第５の実施の形態）
フラッシュメモリ１３に記憶されている処理プログラムの更新は、テストを行った後に更新することが可能である。図１２に、ゲートウェイ１０の処理プログラムの更新処理手順の例を示す。ゲートウェイ１０の処理プログラムの更新処理手順は、第１の実施の形態（又は第２の実施の形態）とほぼ同様である。ただし、フラッシュメモリ１３に記憶されている処理プログラムの更新（Ｓ３４（又は図７のＳ６４））は、ダウンロードしてＲＡＭ１２に記憶された処理プログラムのテスト後（Ｓ３１、Ｓ３２：ＹＥＳ）に行う。例えば、ゲートウェイ１０のＭＰＵ（動作確認手段）１１により、ダウンロードした処理プログラムを実行して、ＣＬ−ＬＡＮ内の所定機器とＯＰ−ＬＡＮ内の所定機器間の所定データの転送テストを行う。テストに使用するデータなどのテスト情報は、処理プログラムに付加したり、予めフラッシュメモリ１３に記憶しておくことが可能である。ダウンロードしたプログラムのテストを行うことにより、更新後の不具合の発生を未然に防ぐことが可能である。
【００７８】
上述した第１〜第５の実施の形態において、ＤＬサーバ３０から処理プログラムを送信する場合、ＭＰＵ３１により、送信先のユーザの識別情報などのプログラム送信に関する送信管理情報をハードディスク３３に記憶しておき、例えば課金管理を行うことも可能である。また、送信先及び／又は送信元の認証は、任意の認証方法を用いることが可能であり、例えば課金が発生するダウンロードに関しては、機器の内蔵ＲＯＭに記憶された機器番号を用いて認証を行い、無料のダウンロードに関しては送信先アドレスを確認して認証を行うことが可能である。また、暗号を利用して認証を行ったり、プログラムを公開したくない場合又は著作権を保護するために暗号を用いることも可能である。
【００７９】
【発明の効果】
第１又は第８発明によれば、新しいプログラムを受付手段（第１受付手段）で受付け、更新手段により、プログラム記憶部に記憶されている古いプログラムを、受付手段で受付けた新しいプログラムに更新することにより、新規機能を追加して性能を向上させることが可能である。例えば新規なプロトコルに対応したり、新規なセキュリティ技術を使用することが可能である。
【００８０】
第２発明によれば、車載ゲートウェイ装置の第１認証手段でプログラムを送信するサーバを認証し、認証が完了した場合にプログラムを受付けることにより、正規のサーバ以外からの不正なプログラムのダウンロードなどを防止することが可能になる。不正なプログラムの使用を防止して、車載ゲートウェイ装置の動作の安定性及び車両の安全性を高めることが可能である。
【００８１】
第３発明によれば、サーバの第２認証手段でプログラムの送信先を認証し、認証が完了した送信先にプログラムを送信することにより、特定の車載ゲートウェイ装置以外へのプログラムの送信を防止することが可能になる。プログラムの不正使用を防止することが可能である。
【００８２】
第４発明によれば、サーバから送信されるプログラムに付加手段で改変検出情報を付加し、車載ゲートウェイ装置が受付けたプログラムの改変を改変検出手段で検出することにより、送信エラー又は改ざんのない正しいプログラムを使用することが可能である。送信エラーが発生した又は改ざんされたプログラムの使用を防止して、車載ゲートウェイ装置の動作の安定性及び車両の安全性を高めることが可能である。
【００８３】
第５発明によれば、サーバから送信されるプログラムを暗号化手段で暗号化し、車載ゲートウェイ装置が受付けたプログラムを復号手段で復号することにより、プログラムの盗聴を防止することが可能である。プログラムの不正使用を防止することが可能である。
【００８４】
第６発明によれば、ゲートウェイ装置の送信手段から車両情報を送信し、サーバから車両情報に対応するプログラムを送信することにより、車両に応じたプログラムをダウンロードすることが可能になる。
【００８５】
第７発明によれば、ゲートウェイ装置の送信手段から設定情報を送信し、サーバから設定情報に対応するプログラムを送信することにより、車載ゲートウェイ装置の動作設定に応じたプログラムをダウンロードすることが可能になる。
【００８６】
第９発明によれば、停止検出手段で車両の停止を検出した場合に、プログラムを受付けて更新を行うことにより、プログラム更新時に車載ゲートウェイ装置の動作が不安定になった場合でも、車両が停止しているために運転への影響は少なく、安全性が高まる。
【００８７】
第１０発明によれば、人体検出手段で車両内の人体を検出した場合に、新しいプログラムを受付けて更新を行うことにより、プログラムのダウンロード又は更新の不具合にユーザが迅速に対応できるため、プログラム更新時の車載ゲートウェイ装置の動作の不具合が運転に与える影響を低減することが可能である。
【００８８】
第１１発明によれば、伝送量検出手段で検出したデータ伝送量が所定値以下の場合に、プログラムを受付けて更新を行うことにより、帯域が不足している場合のプログラムのダウンロードを中止し、他の機器のデータ伝送速度の低下を防止することが可能である。
【００８９】
第１２発明によれば、残量検出手段で検出したバッテリ残量が所定値以上の場合に、プログラムを受付けて更新を行うことにより、プログラムの更新途中のバッテリ切れなどを防止して、車載ゲートウェイ装置のプログラム更新途中の異常終了を防止することが可能である。
【００９０】
第１３発明によれば、動作確認手段による動作確認が完了した場合に、更新手段によるプログラム更新を行うことにより、動作に問題が無いことが確認されたプログラムを使用することになり、車載ゲートウェイ装置の動作の安定性及び車両の安全性を高めることが可能である。
【図面の簡単な説明】
【図１】本発明に係るゲートウェイ（車載ゲートウェイ装置）を備えた車載ＬＡＮを含む通信システムの構成例を示すブロック図である。
【図２】本発明に係るゲートウェイの構成例を示すブロック図である。
【図３】本発明に係るＤＬサーバ（プログラムを送信するサーバ）の構成例を示すブロック図である。
【図４】処理プログラムの更新処理手順の例を示すフローチャートである。
【図５】データ（プログラム）の送受信を概念的に示す図である。
【図６】ＤＬサーバの他の構成例を示すブロック図である。
【図７】処理プログラムの更新処理手順の他の例を示すフローチャートである。
【図８】データ（プログラム）の送受信を概念的に示す図である。
【図９】ゲートウェイの他の構成例を示すブロック図である。
【図１０】車載ＬＡＮの他の例を示すブロック図である。
【図１１】処理プログラムの更新処理手順の他の例を示すフローチャートである。
【図１２】処理プログラムの更新処理手順の他の例を示すフローチャートである。
【符号の説明】
１０ ゲートウェイ（車載ゲートウェイ装置）
１１ ＭＰＵ（更新手段、改変検出手段、復号手段、伝送量検出手段、動作確認手段）
１２ ＲＡＭ
１３ フラッシュメモリ（プログラム記憶部）
１４ ＲＯＭ
１６ 第１通信Ｉ／Ｆ
１７ 第２通信Ｉ／Ｆ（第１受付手段（受付手段）、送信手段）
２０ 外部通信装置
２９ 検出手段（停止検出手段、人体検出手段、残量検出手段）
３０ ＤＬサーバ（プログラムを送信するサーバ）
３１ ＭＰＵ（付加手段、暗号化手段）
３２ ＲＡＭ
３３ ハードディスク
３４ 通信Ｉ／Ｆ（第２受付手段）

Claims (13)

1. 車両に搭載され、複数の通信ネットワーク間の伝送データの処理をプログラムに基づいて実行する車載ゲートウェイ装置と、車外機器と通信を行う外部通信装置とを備えた通信システムにおいて、
   前記伝送データの処理を実行するためのプログラムを送信するサーバを備え、
   前記車載ゲートウェイ装置は、
   前記伝送データの処理を実行するためのプログラムを記憶する書換が可能なプログラム記憶部と、
   前記サーバから送信されたプログラムを受付ける第１受付手段と、
   プログラム記憶部に記憶されているプログラムを、第１受付手段で受付けたプログラムに更新する更新手段と
   を備えることを特徴とする通信システム。
2. 前記第１受付手段は、前記サーバから認証用情報を受付けるように構成されており、
   前記車載ゲートウェイ装置は、
   第１受付手段で受付けた認証用情報に基づいて、前記サーバを認証する第１認証手段を備え、
   第１認証手段による認証が完了した場合、第１受付手段により、前記サーバからプログラムを受付けるべくなしてあることを特徴とする請求項１記載の通信システム。
3. 前記サーバは、
   プログラムの送信先から認証用情報を受付ける第２受付手段と、
   第２受付手段で受付けた認証用情報に基づいて、プログラムの送信先を認証する第２認証手段と
   を備え、第２認証手段による認証が完了した送信先にプログラムを送信すべくなしてあることを特徴とする請求項１又は２記載の通信システム。
4. 前記サーバは、送信するプログラムに改変検出情報を付加する付加手段を備え、
   前記車載ゲートウェイ装置は、前記付加手段によってプログラムに付加された改変検出情報に基づいて、前記プログラムの改変を検出する改変検出手段を備えることを特徴とする請求項１〜３の何れかに記載の通信システム。
5. 前記サーバは、送信するプログラムを暗号化する暗号化手段を備え、
   前記車載ゲートウェイ装置は、前記暗号化手段で暗号化されたプログラムを復号する復号手段を備えることを特徴とする請求項１〜３の何れかに記載の通信システム。
6. 前記車載ゲートウェイ装置は、車両に関する車両情報を送信する送信手段を備え、
   前記第２受付手段は、車載ゲートウェイ装置から送信された車両情報を受付けるべくなしてあり、
   前記サーバは、第２受付手段で受付けた車両情報に対応するプログラムを送信すべくなしてあることを特徴とする請求項１〜５の何れかに記載の通信システム。
7. 前記車載ゲートウェイ装置は、前記伝送データの処理に関する設定情報を送信する送信手段を備え、
   前記第２受付手段は、車載ゲートウェイ装置から送信された設定情報を受付けるべくなしてあり、
   前記サーバは、第２受付手段で受付けた設定情報に対応するプログラムを送信すべくなしてあることを特徴とする請求項１〜５の何れかに記載の通信システム。
8. 車両に搭載され、複数の通信ネットワーク間の伝送データの処理をプログラムに基づいて実行する車載ゲートウェイ装置において、
   前記伝送データの処理を実行するためのプログラムを記憶する書換が可能なプログラム記憶部と、
   前記伝送データの処理を実行するためのプログラムを受付ける受付手段と、
   プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新する更新手段と
   を備えることを特徴とする車載ゲートウェイ装置。
9. 車両が停止していることを検出する停止検出手段を備え、
   前記受付手段は、停止検出手段によって車両の停止が検出されている場合に、プログラムを受付けるべくなしてあることを特徴とする請求項８記載の車載ゲートウェイ装置。
10. 車両内の人体を検出する人体検出手段を備え、
    前記受付手段は、人体検出手段によって車両内の人体が検出されている場合に、プログラムを受付けるべくなしてあることを特徴とする請求項８記載の車載ゲートウェイ装置。
11. 前記複数の通信ネットワーク間の単位時間あたりのデータ伝送量を検出する伝送量検出手段を備え、
    前記受付手段は、伝送量検出手段によって検出されたデータ伝送量が所定値以下の場合に、プログラムを受付けるべくなしてあることを特徴とする請求項８記載の車載ゲートウェイ装置。
12. 車両に搭載されたバッテリの残量を検出する残量検出手段を備え、
    前記受付手段は、残量検出手段によって検出された残量が所定値以上の場合に、プログラムを受付けるべくなしてあることを特徴とする請求項８記載の車載ゲートウェイ装置。
13. 前記受付手段で受付けたプログラムを実行して動作を確認する動作確認手段を備え、
    前記更新手段は、動作確認手段による動作の確認が完了した場合、プログラム記憶部に記憶されているプログラムを、受付手段で受付けたプログラムに更新すべくなしてあることを特徴とする請求項８〜１２の何れかに記載の車載ゲートウェイ装置。

Images