JP2005202503A - 車載情報装置、車載機器管理システム、車両の制御機器のプログラムのバージョンアップ情報の配信方法、車両の制御機器のプログラムのバージョンアップ方法及び車両の制御機器のプログラムのバージョンアップシステム - Google Patents

Abstract

【課題】車両に搭載されたエンジンコントロールユニット等制御機器のプログラムを安全に且つ確実にバージョンアップする。
【解決手段】
部品製造会社は、制御機器のプログラムのバージョンアップ情報を車両製造会社に送信する。車両製造会社は、受信したバージョンアップ情報の正当性を認証し、認証したバージョンアップ情報を部品製造会社に送信する。部品製造会社は、車両製造会社によって認証されたバージョンアップ情報を車両の車載サーバに送信する。車両の車載サーバは、受信したバージョンアップ情報によって、制御機器のプログラムのバージョンアップを行う。
【選択図】 図１

Description

本発明は車両に搭載された機器に関し、特に、これらの機器に組み込まれたプログラムのバージョンアップ技術に関する。

自動車等の車両には、エンジンコントロールユニット、オートマチックトランスミッションコントロールユニット（以下、ＡＴコントロールユニットという）等の車両の購入時から搭載されている制御機器と、ナビゲーションシステム、ＥＴＣシステム（Electronic Toll Collection System）等の車両の購入後にユーザが搭載した車載機器がある。これらの電子機器に組み込まれたプログラムはしばしばバージョンアップされる。ナビゲーションシステム等のユーザが購入した電子機器のバージョンアップは、比較的簡単であり、ユーザ自身が実行することができる。しかしながら、エンジンコントロールユニット等の制御機器のプログラムのバージョンアップは、ユーザ自身が実行することはできない。

エンジンコントロールユニット等の制御機器のプログラムのバージョンアップ版を作成するのは、制御機器の製造会社である。しかしながら、制御機器のプログラムは、自動車の基本的な性能に関係するため、そのバージョンアップは、自動車の製造会社の承認が必要であり、且つ、機密性が要求される。

本発明の目的は、車両に搭載された電子機器のプログラムを簡単にバージョンアップする方法及び装置を提供することにある。

本発明によると、部品製造会社は、制御機器のプログラムのバージョンアップ情報を車両製造会社に送信する。車両製造会社は、受信したバージョンアップ情報の正当性を認証し、認証したバージョンアップ情報を部品製造会社に送信する。部品製造会社は、車両製造会社によって認証されたバージョンアップ情報を車両の車載サーバに送信する。車両の車載サーバは、受信したバージョンアップ情報によって、制御機器のプログラムのバージョンアップを行う。

部品製造会社は車両製造会社の秘密鍵によって暗号化したバージョンアップ情報を車両の車載サーバに送信する。車両の車載サーバは車両製造会社の公開鍵によってバージョンアップ情報を復号化する。

本発明によると、エンジンコントロールユニット等の制御機器のプログラムのバージョンアップが、簡単に且つ機密性の保持を確保した状態にて、行える。

図１を参照して自動車１００を含む通信ネットワークを説明する。本例によると、自動車１００には、車載サーバ２が搭載され、車載サーバ２には通信モジュール１が接続され又は内蔵されている。通信モジュール１は、携帯電話網６００及びインターネット４００を介して、部品製造会社２００に接続可能である。部品製造会社２００と自動車製造会社３００の間は、専用回線又はインターネット等の公衆網５００を介して接続されている。本例では、自動車１００には、エンジンコントロールユニット、ＡＴコントロールユニット等の部品製造会社２００によって製造された部品が搭載されており、これらの部品のプログラムをバージョンアップする場合を想定する。

図２を参照して本発明による自動車１００に搭載された車載情報装置の例を説明する。本例の車載情報装置は、通信モジュール１、車載サーバ２、制御系ＬＡＮ３、及び、車載機器系ＬＡＮ４を含む。上述のように、通信モジュール１は、車載サーバ２に接続され又は内蔵されている。通信モジュール１は、携帯電話網６００を介してインターネット４００に接続可能であり、自身の電話番号とＩＰアドレスを有する。通信モジュール１は、通常の電話機の機能を有し、例えば、特定の発呼者からの呼のみを着信する着信限定機能を有する。

制御系ＬＡＮ３には、エンジンコントロールユニット３１、ＡＴコントロールユニット３２等の制御機器が接続されている。これらの制御機器は、部品製造会社２００によって製造され、自動車製造会社３００における自動車１００の組み立て工程にて搭載される。車載機器系ＬＡＮ４には、ナビゲーションシステム４１、ＥＴＣシステム４２等のユーザが後から搭載した電子機器が接続されている。

車載サーバ２は、制御部２１、メモリ２２、ＣＡＮ（Control Area Network）コントローラ２３、ＵＳＢ（Universal Serial Bus）ポート２４、液晶ディスプレイ等の表示部２５、及び、警告ランプ２６を有する。制御部２１は、電子署名の生成及び復号、認証、プログラムのバージョンアップ等を行う。制御部２１は、制御系ＬＡＮ３又は車載機器系ＬＡＮ４に新しい機器が接続された場合は、それを検出し、機器の形式等を読み出し、それをメモリ２２に記憶する。

メモリ２２は、制御系ＬＡＮ３及び車載機器系ＬＡＮ４に接続された機器に関する情報を記憶する。更に、メモリ２２は、部品製造会社２００から送信された又はダウンロードしたデータ等を格納する。メモリ２２は、ハードディスク、フラッシュメモリ等によって構成されてよい。ＣＡＮコントローラ２３は、制御系ＬＡＮ３と車載機器系ＬＡＮ４の間の接続同調、及び、セキュリティ管理を行う。ＵＳＢポート２４は、キーボード等の入力装置、ハードディスク等の記憶装置に対するインターフェースを提供する。ユーザは、ＵＳＢポート２４に接続されたキーボードより命令を入力することができるように構成してもよい。

表示部２５には、通信及びバージョンアップ作業の進行状況が表示される。例えば、部品製造会社２００からデータを受信している場合には、「データ受信中」の文字が表示され、プログラムの書き換えが行われている場合には、「バージョンアップ実行中」の文字が表示され、プログラムの書き換えに失敗した場合には、エラーの表示と共に再度実行するか否かを問い合わせる文字が表示される。更に、制御系ＬＡＮ３に新しい制御機器が接続された場合には、その旨を表示する。

警告ランプ２６は、赤、青等の複数のランプが含まれてよい。これらのランプは、点灯、点滅、消灯等により、電源オン、データ受信中、データ送信中、着呼あり、等を表示する。更に、警告ランプ２６は、部品製造会社２００に該当するプログラムのバージョンアップ版が存在するか、コントロールユニットのプログラムの書き換えが可能であるか等を表示するように構成してもよい。表示部２５及び警告ランプ２６は、通信状態、バージョンアップ作業、新しい機器の検出等の各種の情報を表示するが、これらの情報は、表示部２５と警告ランプ２６のいずれか一方によって表示されてよい。

本発明による制御機器のプログラムのバージョンアップの手順は以下に詳細に説明するが、ここでは、セキュリティについて説明する。本発明によると、部品製造会社２００と車載サーバ２の間の通信回線は、通信相手の認証を行ってから、接続を行う。例えば、部品製造会社２００が、車載サーバ２に接続する場合には、車載サーバ２が発呼者の認証を行う。車載サーバ２が部品製造会社２００に接続する場合には、部品製造会社２００が発呼者の認証を行う。こうして、発呼者の認証を行い、所定の相手との間のみ通信を接続するから、セキュリティが確保される。

本発明によると、部品製造会社２００と自動車製造会社３００の間、及び、部品製造会社２００と車載サーバ２の間は、電子署名を付したデータを交信する。本例では、公開鍵と秘密鍵を使用する非対称型暗号方式が使用されてよい。部品製造会社２００は、自動車製造会社３００の秘密鍵によって暗号化されたデータを車載サーバ２に送信する。車載サーバ２は、自動車製造会社３００の公開鍵によって、データを復号する。こうして、自動車製造会社３００による電子署名を利用することによって、セキュリティが確保される。尚、共通鍵を使用する対称型暗号方式が使用されてもよい。

本発明によると、制御機器のプログラムのバージョンアップは、エンジンの動作中には行われない。エンジンの動作中に、バージョンアッププログラムが送信されたとき又はダウンロードしたとき、プログラムの書き換えは、エンジンが停止してから所定の時間が経過した後に行われる。また、バージョンアップ中に、即ち、プログラムの書き換え中に、エンジンが始動された場合、マスタープログラムが起動される。このマスタープログラムは、出荷時のプログラム又はバージョンアップ直前のプログラムである。こうして、マスタープログラムを起動することにより、誤動作が回避される。

図３を参照して、本発明による制御機器のプログラムのバージョンアップの手順の第１の例を説明する。ここでは、エンジンコントロールユニット３１のプログラムをバージョンアップする場合を説明する。エンジンコントロールユニット３１は部品製造会社２００によって製造され、エンジンコントロールユニット３１を搭載する自動車１００は自動車製造会社３００によって製造されているものとする。

まず、第一段階のステップＳ１０１にて、部品製造会社２００は、バージョンアップ情報を、部品製造会社の秘密鍵によって暗号化し、それを第１の電子署名付データＤ１として、自動車製造会社３００に送信する。このバージョンアップ情報には、部品製造会社名、バージョンアップ対象のプログラムが格納された制御機器の型式、バージョンアップ対象のプログラムのバージョン情報、第１の乱数Ｒ１及びバージョンアップしたプログラムが含まれる。ステップＳ１０２にて、自動車製造会社３００は、第１の電子署名付データＤ１を受信する。

ステップＳ１０３にて、自動車製造会社３００は、受信した第１の電子署名付データＤ１を部品製造会社２００の公開鍵で復号化する。自動車製造会社３００は、復号化したデータにより、文書認証と本人認証を行う。文書認証は、データが改竄されていないか等のデータの内容を認証することである。文書認証用に、部品製造会社２００は、送信データにそのデータの整合性を証明するデータを付加してもよい。本人認証は、そのデータが所定のから送信されたものであること、即ち、データの送信元を認証することである。例えば、部品製造会社名が正しく復号化されている場合は、データの送信元が正しいと判定してよい。文書認証と本人認証の結果、復号化した第１の電子署名付データＤ１が正当なものであると判定すると、次のステップＳ１０４に進む。

ステップＳ１０４にて、自動車製造会社３００は、第１の電子署名付データＤ１に第２の乱数Ｒ２を追加し、自動車製造会社３００の秘密鍵によって暗号化し、それを第２の電子署名付データＤ２として、部品製造会社２００に送信する。自動車製造会社３００は、第２の電子署名付データＤ２を、自身の有する記憶装置に格納する。記憶装置に格納した第２の電子署名付データＤ２には、どのようなデータが登録されたかの概略情報を含んでよい。ステップＳ１０５にて、部品製造会社２００は、自動車製造会社３００の秘密鍵によって暗号化された第２の電子署名付データＤ２を受信する。

ステップＳ１０６にて、部品製造会社２００は、受信した第２の電子署名付データＤ２を自動車製造会社３００の公開鍵で復号化する。部品製造会社２００は、復号化したデータにより、文書認証と本人認証を行う。部品製造会社２００は、文書認証と本人認証の結果、復号化した第２の電子署名付データＤ２が正当なものであると判定すると、相互に正当性が確認されたことになる。部品製造会社２００は、第２の電子署名付データＤ２を、自身の有する記憶装置に格納する。

第二段階のステップＳ２０１にて、部品製造会社２００は該当する車両の通信モジュール１に電話をかける。ステップＳ２０２にて、通信モジュール１は車載サーバ２に発呼者の電話番号を通知する。ステップＳ２０３にて、車載サーバ２は発呼者の電話番号が予め登録された電話番号に一致するか否かを判定する。一致する場合には、ステップＳ２０４にて、通信モジュール１に回線接続処理を実行するように、指示する。一致しない場合には、不正アクセスであると判定し、発呼者の電話番号をメモリ２２に記憶する。ステップＳ２０５にて、通信モジュール１は、部品製造会社２００との間で、回線接続処理を実行する。ステップＳ２０６にて、通信モジュール１と部品製造会社２００は、インターネットを介して接続される。

第三段階のステップＳ３０１にて、部品製造会社２００は、自動車製造会社３００の秘密鍵によって暗号化された第２の電子署名付データＤ２を、パケット通信に適合するように分割し、通信モジュール１に送信する。第２の電子署名付データＤ２には、上述のように、バージョンアップしたプログラムを含むが、プログラムのうち変更した部分のみを送信してもよい。

ステップＳ３０２にて、通信モジュール１は、自動車製造会社３００の秘密鍵によって暗号化された第２の電子署名付データＤ２を受信し、受信したパケットをそのまま、又は、統合して、車載サーバ２に転送する。ステップＳ３０３にて、車載サーバ２は、自動車製造会社３００の公開鍵で第２の電子署名付データＤ２を復号化しバージョンアップ用のプログラムを取出す。車載サーバ２は、暗号化された第２の電子署名付データＤ２又は復号化したデータをメモリ２２の一時的に格納する。

第四段階のステップＳ４０１にて、車載サーバ２は、コントロールユニット３１がバージョンアップ可能な状態であるか否かを判定し、バージョンアップ可能であると判定した場合には、エンジンコントロールユニット３１のプログラムをバージョンアップする。車載サーバ２は、例えば、エンジンが動作中である場合には、バージョンアップ不可であると判定し、エンジンの停止中又はエンジンが停止してから所定の時間が経過した場合には、バージョンアップ可能であると判定してよい。ステップＳ４０２、４０３にて、コントロールユニット３１のプログラムが書き換えられる。本例では、プログラムの全部が書き換えられてよいが、上述にように変更部分のみが送信された場合には、変更部分のみが書き換えられる。プログラムが書き換えが失敗した場合には、自動的に、又は、ユーザの指示により、再度、実行する。所定の回数実行しても、成功しない場合には、プログラムをバージョンアップ作業を終了する。

ステップＳ４０４にて、車載サーバ２は、バージョンアップ作業が終了したことを確認すると、通信モジュール１に、バージョンアップの結果の送信を命令する。

ステップＳ４０５にて、通信モジュール１は、バージョンアップの結果を部品製造会社２００に送信する。ステップＳ４０６にて、部品製造会社２００は、バージョンアップの結果を受信する。ステップＳ４０７にて、部品製造会社２００は、バージョンアップの結果を自動車製造会社３００に報告する。

図４を参照して、本発明による車両の制御機器のプログラムのバージョンアップの手順の第２の例を説明する。本例のバージョンアップの手順は、図３の第１の例と比較して、第二段階のみが異なる。従って、ここでは、第二段階のみを説明し、第一段階、第三段階及び第四段階の説明は省略する。

第二段階のステップＳ２１１にて、車載サーバ２は、通信モジュール１に回線接続処理を実行するように、指示する。車載サーバ２は、例えば、エンジン停止時、エンジン停止後所定時間が経過した時、ユーザの意思表示があった時等に、回線接続処理の実行を指示してよい。ステップＳ２１２にて、通信モジュール１は、部品製造会社２００との間で、回線接続処理を実行する。

ステップＳ２１３にて、部品製造会社２００は、アクセスしてきた通信モジュール１又は車載サーバ２の電話番号又はＩＰアドレスから正規のユーザのアクセスであるか否かを判定する。正規のユーザであると判定した場合には、通信モジュール１に対して接続許可を返信する。

それによって、通信モジュール１と部品製造会社２００との間で、パケット通信可能な通信回線が接続される。ここで、通信回線は、図１を参照して説明したように、インターネットであってよい。

ステップＳ２１４にて、車載サーバ２は部品製造会社２００に対して、制御系ＬＡＮ３に接続されている制御機器に関する情報、例えば、プログラムのバージョンアップ版が存在するか否かの情報を要求するように、通信モジュール１に命令を送る。ステップＳ２１５にて、通信モジュール１は、部品製造会社２００に、登録情報の要求を送信する。このとき、通信モジュール１は、バージョンアップ対象であるエンジンコントロールユニット３１の製品番号、型式等の識別番号を送信する。ステップＳ２１６にて、部品製造会社２００は、登録情報の送信要求を受信する。ステップＳ２１７にて、部品製造会社２００は車載サーバ２に対して、関係する登録情報を通知する。ステップＳ２１８にて、通信モジュール１は、登録情報を受信する。

ステップＳ２１９にて、車載サーバ２は、登録されている第２の電子署名付データＤ２の内容、又は、その概略情報を参照し、自車両のエンジンコントロールユニット３１のバージョンアップ情報が存在するか否かを確認する。該当するバージョンアップ情報が存在する場合には、ステップＳ２２０にて、車載サーバ２は、第２の電子署名付データＤ２のダウンロードの実行を命令する。ステップＳ２２１にて、通信モジュール１は、部品製造会社２００に対して、ダウンロードを要求する。ステップＳ２２２にて、部品製造会社２００は、通信モジュール１に対して、ダウンロードを許可する。第三段階のステップＳ３０１にて、部品製造会社２００は、車載サーバ２に対して、第２の電子署名付データＤ２を送信する。以下の処理は、図３の例と同様である。

ここでは、エンジンコントロールユニットのプログラムのバージョンアップの方法を説明したが、他の制御機器、例えば、ＡＴコントロールユニットのプログラムのバージョンアップも同様な方法により実施することができる。

次に、ナビゲーションシステム等のユーザが購入した電子機器のバージョンアップの方法を説明する。ユーザが購入した電子機器のバージョンアップには、自動車製造装置の承認を必要としない。従って、図３および図４にて説明した手順のうち第一段階の処理及びステップＳ４０５〜Ｓ４０８の結果の報告の処理を省略すればよい。即ち、通信モジュール１は、部品製造会社２００の代わりに電子機器の製造会社との間で、通信を行う。この場合、暗号化しないデータを交信してもよい。

図５を参照して本発明による車載サーバによる制御機器の検出動作を説明する。本例では、制御系ＬＡＮ３に、エンジンコントロールユニット３１、ＡＴコントロールユニット３２等の制御機器が新たに搭載された場合又は制御機器が交換された場合、それを検出する。ステップＳ５０１にて、車載サーバ２は、制御系ＬＡＮ３に、エンジンコントロールユニット３１、ＡＴコントロールユニット３２等の制御機器が新たに搭載された場合、又は、これらの制御機器が交換された場合に、それを検出する。ステップＳ５０２にて、この制御機器が、正規のものであるか否かを判定する。

ここで、制御機器が正規のものであるとは、その制御機器及びそれに搭載されたプログラムが自動車製造会社３００によって認証されているものであることを言う。例えば、制御機器の機器情報又はプログラムに所定の識別番号が含まれる場合には、自動車製造会社３００によって認証されていると判定する。

この判定は、車載サーバ２が実行してもよいが、本例では、部品製造会社２００が実行する。即ち、通信モジュール１は、部品製造会社２００に対して、制御機器及びそれに搭載されたプログラムに関する情報を送信する。部品製造会社２００はその制御機器及びそれに搭載されたプログラムが、正規のものであるか否かを判定する。

車載サーバ２は、部品製造会社２００から、判定結果を受信する。制御機器が、正規のものである場合には、ステップＳ５０３にて、その制御機器と制御系ＬＡＮ３を接続する。制御機器が、正規のものでない場合には、ステップＳ５０４にて、その制御機器と制御系ＬＡＮ３を切断する。ステップＳ５０５にて、表示部２５に、新しく搭載された制御機器の検出結果を表示する。例えば、「新しい機器が検出され、正常に接続されました。」又は、「新しい機器が検出されましたが、正常に接続されませんでした。」等が表示される。

以上本発明の例を説明したが、本発明は上述の例に限定されるものではなく、特許請求の範囲に記載された発明の範囲にて様々な変更が可能であることは当業者が容易に理解されよう。

本発明の車載サーバを搭載した車両を含む通信システムの例を示す図である。 本発明の車載サーバの構成例を示す図である。 本発明の車載サーバによるプログラムのバージョンアップの手順の第１の例を示す図である。 本発明の車載サーバによるプログラムのバージョンアップの手順の第２の例を示す図である。 本発明の車載サーバによる新しい機器を検出する手順の例を示す図である。

符号の説明

１…通信モジュール、２…車載サーバ、３…制御系ＬＡＮ、４…車載機器系ＬＡＮ、２１…制御部、２２…メモリ、２３…CANコントローラ、２４…ＵＳＢポート、２５…表示部、２６…ランプ、３１…エンジンコントロールユニット、３２…ＡＴコントロールユニット、４１…ナビゲーションシステム、４２…ＥＴＣシステム、１００…自動車、２００…部品製造会社、３００…自動車製造会社、４００…インターネット、５００…通信網、６００…携帯電話網

Claims (31)

1. エンジンコントロールユニットを含む制御機器を接続する制御系ＬＡＮと、上記制御系ＬＡＮに接続された車載サーバと、上記制御機器を製造した部品製造会社との間でデータの送受信を行う通信手段と、を有し、上記通信手段は、特定の機関による電子署名が付された上記制御機器のプログラムのバージョンアップ情報を上記部品製造会社から受信し、上記車載サーバは、上記通信手段が受信した上記プログラムのバージョンアップ情報を復号化し、それによって上記制御機器のプログラムのバージョンアップを行うことを特徴とする車載情報装置。
2. 請求項１の車載情報装置において、上記電子署名は秘密鍵暗号方式を採用し、上記車載サーバは、上記特定の機関の秘密鍵によって暗号化された上記プログラムのバージョンアップ情報を上記特定の機関の公開鍵によって復号化することを特徴とする車載情報装置。
3. 請求項１記載の車載情報装置において、上記通信手段は固有の電話番号を有することを特徴とする車載情報装置。
4. 請求項１記載の車載情報装置において、上記通信手段は固有のＩＰアドレスを有することを特徴とする車載情報装置。
5. 請求項１記載の車載情報装置において、上記通信手段は、登録された電話番号からの発呼のみを接続処理することを特徴とする車載情報装置。
6. 請求項１記載の車載情報装置において、上記バージョンアップ情報はバージョンアップしたプログラムの外に、更に、部品製造会社名、バージョンアップ対象のプログラムが格納された制御機器の型式、及び、バージョンアップ対象のプログラムのバージョン情報のうちの少なくとも１つを含むことを特徴とする車載情報装置。
7. 請求項１記載の車載情報装置において、上記バージョンアップ情報には、上記部品製造会社によって付加された第１の乱数と上記特定の機関によって付加された第２の乱数を含むことを特徴とする車載情報装置。
8. 請求項１記載の車載情報装置において、上記通信手段は、上記部品製造会社又はユーザから要求があったときに、上記制御機器のプログラムのバージョンアップ情報を上記部品製造会社から受信することを特徴とする車載情報装置。
9. 請求項１記載の車載情報装置において、上記特定の機関は車両製造会社であることを特徴とする車載情報装置。
10. 請求項１記載の車載情報装置において、上記車載サーバは、上記部品製造会社に登録されている情報を参照し、上記制御系ＬＡＮに接続されている制御機器に関するバージョンアップ情報が登録されている場合には、上記部品製造会社から上記制御機器のプログラムのバージョンアップ情報をダウンロードすることを特徴とする車載情報装置。
11. 請求項１記載の車載情報装置において、上記部品製造会社との間の通信の接続状態及び上記制御機器のプログラムのバージョンアップ作業の進行状態を表示するためのディスプレイ手段又はランプを有することを特徴とする車載情報装置。
12. 請求項１記載の車載情報装置において、上記通信手段によって受信した上記制御機器のプログラムのバージョンアップ情報又は上記車載サーバによって復号化された上記プログラムのバージョンアップ情報を記憶する記憶手段を有することを特徴とする車載情報装置。
13. 請求項１記載の車載情報装置において、上記制御機器のプログラムのバージョンアップ作業は、エンジンの停止中に又はエンジンの停止後一定時間経過後に実行することを特徴とする車載情報装置。
14. 請求項１記載の車載情報装置において、上記制御機器のプログラムのバージョンアップ作業中にエンジンが始動された場合は、上記バージョンアップ用のプログラムとは異なるマスタープログラムが起動されることを特徴とする車載情報装置。
15. 請求項１４記載の車載情報装置において、上記マスタープログラムは出荷時のプログラム又はバージョンアップ直前のプログラムであることを特徴とする車載情報装置。
16. エンジンコントロールユニットを含む制御機器を接続する制御系ＬＡＮと、上記制御系ＬＡＮに接続された車載サーバと、上記制御機器を製造した部品製造会社との間でデータの送受信を行う通信手段と、を有し、上記車載サーバが上記制御系ＬＡＮにおける新たに接続又は交換による新設の制御機器を検出したとき、上記通信手段は、上記新設の制御機器が正規のものであるか否かを特定の機関に問い合わせることを特徴とする車載機器管理システム。
17. 請求項１６記載の車載機器管理システムにおいて、上記車載サーバは、上記新設の制御機器が正規のものである場合に、上記新設の制御機器を上記制御系ＬＡＮに接続することを特徴とする車載機器管理システム。
18. 請求項１６記載の車載機器管理システムにおいて、上記車載サーバは、上記新設の制御機器が正規のものでない場合に、上記新設の制御機器を上記制御系ＬＡＮに接続しないことを特徴とする車載機器管理システム。
19. 請求項１６記載の車載機器管理システムにおいて、上記特定の機関は車両製造会社であることを特徴とする車載機器管理システム。
20. 部品製造会社が、車両の車載サーバに制御機器のプログラムのバージョンアップ情報を配信するバージョンアップ情報の配信方法において、
    車両の制御部品のプログラムのバージョンアップ情報を車両製造会社に送信するバージョンアップ情報送信ステップと、
    上記車両製造会社の秘密鍵によって暗号化された上記バージョンアップ情報を電子署名付データとして上記車両製造会社から受信する電子署名付データ受信ステップと、
    上記電子署名付データを上記車両製造会社の公開鍵によって復号化する復号化ステップと、
    該復号化した上記電子署名付データが正当なものであるか否かを認証する認証ステップと、
    上記認証ステップにて、正当なものであると認証したとき上記電子署名付データを車両に搭載された車載サーバに送信する電子署名付データ送信ステップと、
    を含む車両の制御機器のプログラムのバージョンアップ情報の配信方法。
21. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    上記バージョンアップ情報送信ステップにおいて、車両の制御部品のプログラムのバージョンアップ情報を上記部品製造会社自身の秘密鍵によって暗号化した電子署名付データを車両製造会社に送信することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
22. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    上記バージョンアップ情報送信ステップにおいて、車両の制御部品のプログラムのバージョンアップ情報と第１の乱数を部品製造会社自身の秘密鍵によって暗号化した電子署名付データを車両製造会社に送信することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
23. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    上記電子署名付データ受信ステップは、上記車両製造会社の秘密鍵によって暗号化された上記バージョンアップ情報と第２の乱数を電子署名付データとして上記車両製造会社から受信することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
24. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    更に、車両に搭載された車載サーバから制御機器のプログラムのバージョンアップの結果を受信するバージョンアップ結果受信ステップと、を有することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
25. 請求項２４記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    更に、車両に搭載された車載サーバから送信された制御機器のプログラムのバージョンアップの結果を車両製造会社に送信するバージョンアップ結果送信ステップと、を有することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
26. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    上記電子署名付データ送信ステップにおいて、特定の電話番号又はＩＰアドレスを有する車載サーバに上記電子署名付データを送信することを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
27. 請求項２０記載の車両の制御機器のプログラムのバージョンアップ情報の配信方法において、
    上記バージョンアップ情報はバージョンアップしたプログラムの外に、更に、部品製造会社名、バージョンアップ対象のプログラムが格納された制御機器の型式、及び、バージョンアップ対象のプログラムのバージョン情報のうちの少なくとも１つを含むことを特徴とする車両の制御機器のプログラムのバージョンアップ情報の配信方法。
28. 車両の車載サーバが、部品製造会社から送信されたバージョンアップ情報によって制御機器のプログラムをバージョンアップする方法において、
    車両製造会社の秘密鍵によって暗号化された制御機器のプログラムのバージョンアップ情報を電子署名付データとして受信する電子署名付データ受信ステップと、
    該電子署名付データを上記車両会社の公開鍵によって復号化する復号化ステップと、
    該復号化した上記電子署名付データが正当なものであるか否かを認証する認証ステップと、
    記認証ステップにて、正当なものであると認証したとき上記バージョンアップ情報を使用して制御機器のバージョンアップ作業を行うバージョンアップステップと、
    を含む車両の制御機器のプログラムのバージョンアップ方法。
29. 請求項２８記載の車両の制御機器のプログラムのバージョンアップ方法において、
    上記バージョンアップ情報はバージョンアップしたプログラムの外に、更に、部品製造会社名、バージョンアップ対象のプログラムが格納された制御機器の型式、及び、バージョンアップ対象のプログラムのバージョン情報のうちの少なくとも１つを含むことを特徴とする車両の制御機器のプログラムのバージョンアップ方法。
30. 車両製造会社と部品製造会社とを含む車両の制御機器のプログラムのバージョンアップシステムにおいて、上記部品製造会社は、制御機器のプログラムのバージョンアップ情報を上記車両製造会社に送信し、上記車両製造会社は、上記バージョンアップ情報の正当性を認証し、認証した上記バージョンアップ情報を上記部品製造会社に送信し、上記部品製造会社は、上記認証された上記バージョンアップ情報を車両の車載サーバに送信し、上記制御機器のプログラムのバージョンアップを行うことを特徴とする車両の制御機器のプログラムのバージョンアップシステム。
31. 請求項３０記載の車両の制御機器のプログラムのバージョンアップシステムにおいて、上記部品製造会社は、上記車両製造会社の秘密鍵によって暗号化された制御機器のプログラムのバージョンアップ情報を車両の車載サーバに送信することを特徴とする車両の制御機器のプログラムのバージョンアップシステム。

Images