JP2019191699A - プログラム更新装置およびプログラム更新システム - Google Patents

Abstract

【課題】不正なリプロ要求の可能性がある場合に、リプロ要求に従うことを防止することができるプログラム更新装置およびプログラム更新システムを提供する。【解決手段】プログラム更新装置１は、取得部２２と、書換部２３とを備える。取得部２２は、車両の制御プログラムの書き換え要求を送信してくる車載装置１１が搭載された車両の位置情報を取得する。書換部２３は、取得部２２によって取得される位置情報に応じて、車載装置１１に対する制御プログラムの書き換え処理の態様を変更し、遠隔地から書き換え処理を行う。【選択図】図２

Description

開示の実施形態は、プログラム更新装置およびプログラム更新システムに関する。

従来、車載装置に新たな車両制御機能を追加する場合や、車両制御の不具合を解消する場合に、車載装置に記憶された車両の制御プログラムを最新の制御プログラムに書き換えるプログラム更新装置がある（例えば、特許文献１参照）。

プログラム更新装置は、例えば、車両の所有者によって持ち込まれる車両の車載装置とコネクタを介して有線で接続された状態で制御プログラムの書き換え処理、所謂リプログラミング（以下、「リプロ」と記載する）を行うことが一般的である。

また、近年では、リプロ要求を送信してくる車載装置と、例えば、インターネット等の通信ネットワークを介して接続し、無線通信によって遠隔地から車載装置に対してリプロを行うプログラム更新装置がある。

特開２０１６−１０３１５５号公報

しかしながら、無線通信によって遠隔地からリプロを行うプログラム更新装置は、車両の所有者以外の悪意のある第３者が不正なリプロ要求を送信してきた場合に、不正なリプロ要求に応じてリプロを行うおそれがある。

実施形態の一態様は、上記に鑑みてなされたものであって、不正なリプロ要求の可能性がある場合に、リプロ要求に従うことを防止することができるプログラム更新装置およびプログラム更新システムを提供することを目的とする。

実施形態の一態様に係るプログラム更新装置は、取得部と、書換部とを備える。取得部は、車両の制御プログラムの書き換え要求を送信してくる車載装置が搭載された車両の位置情報を取得する。書換部は、前記取得部によって取得される前記位置情報に応じて、前記車載装置に対する前記制御プログラムの書き換え処理の態様を変更し、遠隔地から前記書き換え処理を行う。

実施形態の一態様に係るプログラム更新装置およびプログラム更新システムは、不正なリプロ要求の可能性がある場合に、リプロ要求に従うことを防止することができる。

図１は、実施形態に係るプログラム更新システムの概要を示す説明図である。 図２は、実施形態に係るプログラム更新装置の構成の一例を示す説明図である。 図３は、実施形態に係る車両情報の一例を示す説明図である。 図４Ａは、実施形態に係るプログラム更新装置１の具体的な動作の一例を示す説明図である。 図４Ｂは、実施形態に係るプログラム更新装置の具体的な動作の一例を示す説明図である。 図５は、実施形態に係るプログラム更新装置がリプロを行う場合の判断処理および判断処理結果に応じて送受信する情報を示す説明図である。 図６は、実施形態に係るプログラム更新装置の制御部が実行する処理の一例を示すフローチャートである。

以下、添付図面を参照して、プログラム更新装置およびプログラム更新システムの実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。図１は、実施形態に係るプログラム更新システムの概要を示す説明図である。

図１に示すように、実施形態に係るプログラム更新システム１００は、プログラム更新装置１と、車両１０に設けられる車載装置１１とを含む。車載装置１１は、記憶している車両の制御プログラムを実行することによって車両１０の動作を制御する車両制御装置である。

プログラム更新装置１は、車載装置１１に新たな車両制御機能を追加する場合や、車両制御の不具合を解消する場合に、車載装置１１に記憶された車両の制御プログラムを最新の制御プログラムに書き換える制御プログラムの書き換え処理を行うサーバ装置である。

以下では、制御プログラムの書き換え処理、所謂リプログラミングを略してリプロと称する。プログラム更新装置１は、例えば、インターネット等の通信ネットワークＮを介して車載装置１１と無線通信可能に接続される。

プログラム更新装置１は、リプロ要求を送信してくる車載装置１１と、通信ネットワークＮを介して接続し、無線通信によって遠隔地から車載装置１１に対してリプロを行う。ここで、無線通信によって遠隔地からリプロを行う一般的なプログラム更新装置は、車両１０の所有者以外の悪意のある第３者が不正なリプロ要求を送信してきた場合に、不正なリプロ要求に従ってリプロを行うおそれがある。

そこで、プログラム更新装置１は、車載装置１１からリプロ要求を受信する場合に、車載装置１１が搭載された車両１０の位置情報を取得し（ステップＳ１）、位置情報に応じて車載装置１１に対するリプロの態様を変更し、遠隔地からリプロを行う。これにより、プログラム更新装置１は、不正なリプロ要求に従うことを防止することができる。

具体的には、プログラム更新装置１は、車両の位置情報を取得すると、車両の位置情報に問題があるか否かを判定する。このとき、プログラム更新装置１は、例えば、位置情報の示す位置が車両１０の正当な所有者であれば明らかにいるはずがない位置であった場合に、位置情報に問題ありと判定し、それ以外の場合には、位置情報に問題なしと判定する。

そして、プログラム更新装置１は、位置情報に問題なしと判定した場合（ステップＳ２）、車両１０が正常に動作する最新の制御プログラムに書き換える正常リプロ用プログラムを車載装置１１へ送信する（ステップＳ３）。

これに対して、プログラム更新装置１は、位置情報に問題ありと判定した場合（ステップＳ４）、車両１０が正常に動作しない制御プログラムに書き換える異常リプロ用プログラムを車載装置１１へ送信する（ステップＳ５）。

このように、プログラム更新システム１００によれば、プログラム更新装置１が車両１０の位置情報に応じて車載装置１１に対するリプロの態様を変更してリプロを行うので、不正なリプロ要求に従うことを防止することができる。

次に、図２を参照し、実施形態に係るプログラム更新装置１の構成の一例について説明する。図２は、実施形態に係るプログラム更新装置１の構成の一例を示す説明図である。図２に示すように、プログラム更新装置１は、通信ネットワークＮを介して車載装置１１およびユーザ端末１２と無線通信可能に接続される。

ユーザ端末１２は、車両１０の正当な所有者が使用する端末装置であり、例えば、パーソナルコンピュータ、タブレット型端末装置、およびスマートフォン等である。なお、ここでは、車載装置１１およびユーザ端末１２を１台ずつ図示しているが、プログラム更新装置１は、複数台の車載装置１１およびユーザ端末１２と接続して双方向の情報通信を行うことができる。

かかるプログラム更新装置１は、制御部２と記憶部３とを備える。記憶部３は、例えば、データフラッシュ等の情報記憶デバイスであり、リプロ用プログラム３１と、車両情報３２とを記憶する。

リプロ用プログラム３１は、前述した正常リプロ用プログラムと、異常リプロ用プログラムとを含む。なお、正常リプロ用プログラムには、正常リプロ用プログラムの提供開始日が対応付けられている。

車両情報３２は、車両１０を特定可能な各車両１０に関する固有の情報である。ここで、図３を参照し、車両情報３２の一例について説明する。図３は、実施形態に係る車両情報３２の一例を示す説明図である。

図３に示すように、車両情報３２は、車体番号、登録国情報、本拠地情報、および所有者情報を含む。車体番号は、例えば、車両１０の車体に刻印される車体の識別番号である。登録国情報は、車両１０が登録された国を示す情報である。

本拠地情報は、車両１０の使用の本拠の位置となる使用本拠地を示す情報である。また、所有者情報は、車両１０の正当な所有者の住所、氏名、生年月日、および電話番号等を示す情報である。かかる車両情報３２は、車両１０が登録された時点の情報である。

図２へ戻り、制御部２の説明を続ける。制御部２は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを有するマイクロコンピュータや各種の回路を含む。

制御部２は、ＣＰＵがＲＯＭに記憶されたプログラムを、ＲＡＭを作業領域として使用して実行することにより機能する通信部２１、取得部２２、および書換部２３を備える。なお、制御部２は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアで構成されてもよい。

通信部２１、取得部２２、および書換部２３は、それぞれ以下に説明する情報処理の作用を実現または実行する。なお、制御部２の内部構成は、図２に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

通信部２１は、通信ネットワークＮを介して無線によって、車載装置１１およびユーザ端末１２と通信可能に接続される。取得部２２は、リプロ要求を送信してくる車載装置１１が搭載された車両１０の位置情報を取得する。

取得部２２は、車載装置１１がＧＰＳ機能を備えている場合や、車載装置１１がカーナビゲーション装置と接続されている場合には、車載装置１１から位置情報を取得する。また、制御部２は、リプロ要求の送信に使用されたアクセスポイント（中継局）の位置を位置情報として取得することもできる。

なお、取得部２２は、車載装置１１がプログラム更新装置１へリプロ要求と共に位置情報を送信するように予め設定されている場合、リプロ要求と共に車両１０の位置情報を取得することができる。

なお、取得部２２は、位置情報と合わせて、車載装置１１から車両１０のユーザに関する個人情報や車体番号等も取得する。そして、取得部２２は、取得した情報を書換部２３へ出力する。

書換部２３は、車載装置１１からリプロ要求が送信されてくる場合に、取得部２２から入力される車両１０に関する情報と、記憶部３に記憶された車両１０の車両情報３２とを照合し、リプロ要求の正当性（問題の有無）を判定する。

例えば、書換部２３は、車両１０の位置情報に問題なしと判定した場合に、記憶部３に記憶されたリプロ用プログラム３１のうち、正常リプロ用プログラムを通信部２１を介して車載装置１１へ送信する。

また、書換部２３は、車両１０の位置情報に問題ありと判定した場合には、記憶部３に記憶されたリプロ用プログラム３１のうち、異常リプロ用プログラムを通信部２１を介して車載装置１１へ送信する。

このように、プログラム更新装置１は、車両１０の位置情報に応じて車載装置１１に対するリプロの態様を変更してリプロを行うので、不正なリプロ要求に従うことを防止することができる。

また、書換部２３は、車載装置１１から取得されたユーザに関する個人情報と、記憶部３に記憶された車両情報３２とが一致しない場合にも、異常リプロ用プログラムを通信部２１を介して車載装置１１へ送信する。

これにより、プログラム更新装置１は、例えば、車両１０が盗難に遭い、正当な所有者ではない第３者から不正なリプロ要求が送信されてくる場合に、不正なリプロ要求に従うことを防止することができる。

また、書換部２３は、車両１０の位置情報について問題のありなしの判定を確定できない場合には、ユーザ端末１２へ本人確認情報を送信する。そして、書換部２３は、本人確認に成功した場合には、正常リプロ用プログラムを車載装置１１へ送信し、本人確認に失敗した場合には、異常リプロ用プログラムを車載装置１１へ送信する。

これにより、書換部２３は、車両１０の位置情報からリプロ要求の正当性を判定できない場合であっても、車両１０の所有者の本人確認の結果に応じてリプロの態様を変更してリプロを行うので、不正なリプロ要求に従うことを防止することができる。

また、書換部２３は、例えば、リプロ要求が送信されてきた日時が、記憶部３に記憶された最新の正常リプロ用プログラムの提供開始日から所定期間（例えば、１年間）を超えている場合にも、異常リプロ用プログラムを車載装置１１へ送信する。

これにより、プログラム更新装置１は、例えば、車両１０が盗難に遭い、長期間放置された後、正当な所有者ではない第３者から不正なリプロ要求が送信されてくる場合に、不正なリプロ要求に従うことを防止することができる。

また、書換部２３は、取得部２２から入力される情報に基づいて、明らかに不正なリプロ要求であると判定した場合には、不正なリプロ要求が送信されてきたことを示す警告を車両１０の正当な所有者のユーザ端末１２へ送信することもできる。また、かかる場合、書換部２３は、車両１０の位置情報が示す位置付近の警察へ通報することもできる。

次に、図４Ａおよび図４Ｂを参照し、プログラム更新装置１の具体的な動作の一例について説明する。図４Ａおよび図４Ｂは、実施形態に係るプログラム更新装置１の具体的な動作の一例を示す説明図である。

図４Ａに示すように、プログラム更新装置１は、例えば、Ａ国で登録された車両１０に搭載された車載装置１１から、リプロ要求とＢ国を示す位置情報とが送信されてくる場合がある（ステップＳ６）。

かかる場合、車両１０は、Ａ国で盗難されてＢ国へ転売された可能性が高い。このため、プログラム更新装置１は、Ｂ国からリプロ要求を送信してきた車載装置１１へ異常リプロ用プログラムを送信する（ステップＳ７）。これにより、プログラム更新装置１は、盗難された車両１０をＢ国で正常に動作しないようにできる。

また、図４Ｂに示すように、プログラム更新装置１は、例えば、車両１０の使用本拠地Ｐから所定距離Ｌ（例えば、８００ｋｍ）を超える遠隔地から車両１０に搭載された車載装置１１よりリプロ要求と位置情報とが送信されてくる場合がある（ステップＳ８）。

かかる場合、車両１０の正当な所有者１３が遠隔地まで車両１０を運転し、遠隔地からリプロ要求を送信した可能性もあるが、車両１０が盗難された可能性もある。このため、かかる場合には、プログラム更新装置１は、所有者１３のユーザ端末１２へ本人確認情報を送信し（ステップＳ９）、本人確認を行う。

これにより、プログラム更新装置１は、リプロ要求が正当なリプロ要求か不当なリプロ要求かを確実に判定することができ、正当なリプロ要求である場合に限り、正常リプロ用プログラムを車載装置１１へ送信することができる。

次に、図５を参照し、プログラム更新装置１がリプロを行う場合の判断処理および判断処理結果に応じて送受信する情報について説明する。図５は、実施形態に係るプログラム更新装置１がリプロを行う場合の判断処理および判断処理結果に応じて送受信する情報を示す説明図である。

図５に示すように、プログラム更新装置１は、車載装置１１からリプロ要求を受信すると（ステップＳ１１）、車載装置１１から車両１０の位置情報を取得する（ステップＳ１２）。このとき、プログラム更新装置１は、車載装置１１から車両１０のユーザに関する個人情報や車体番号等も取得する。

そして、プログラム更新装置１は、車載装置１１から取得した全ての情報と、記憶部３に記憶された車両情報３２との照合結果、および、最新の正常リプロ用プログラムの提供開始日からの経過日数等に基づいてリプロ要求の正当性を判定する（ステップＳ１３）。

そして、プログラム更新装置１は、リプロ要求の正当性を「高」と判定した場合（ステップＳ１４）、正常リプロ用プログラムを車載装置１１へ送信する（ステップＳ１５）。また、プログラム更新装置１は、リプロ要求の正当性を「低」と判定した場合（ステップＳ１６）、異常リプロ用プログラムを車載装置１１へ送信する（ステップＳ１７）。

さらに、プログラム更新装置１は、不正なリプロ要求を受信したことを警察へ通報し（ステップＳ１８）、車両１０の正当な所有者１３のユーザ端末１２へ警告を送信する（ステップＳ１９）。

また、プログラム更新装置１は、リプロ要求の正当性を「中」と判定した場合（ステップＳ２０）、ユーザ端末１２へ本人確認情報を送信する（ステップＳ２１）。そして、プログラム更新装置１は、本人確認に成功したと判定した場合には（ステップＳ２２）、リプロ要求の正当性を「高」と判定した場合（ステップＳ１４）と同様に、正常リプロ用プログラムを車載装置１１へ送信する（ステップＳ１５）。

また、プログラム更新装置１は、本人確認に失敗したと判定した場合には（ステップＳ２３）、リプロ要求の正当性を「低」と判定した場合（ステップＳ１６）と同様に、異常リプロ用プログラムを車載装置１１へ送信する（ステップＳ１７）。

次に、図６を参照し、実施形態に係るプログラム更新装置１の制御部２が実行する処理の一例について説明する。図６は、実施形態に係るプログラム更新装置１の制御部２が実行する処理の一例を示すフローチャートである。

制御部２は、電源が投入されている期間に図６に示す処理を繰り返し実行する。なお、前述した制御部２が警察へ通報する処理、および車両１０の所有者１３のユーザ端末１２へ警告を送信する処理は、制御部２が行う必須の処理ではない。このため、図６に示すフローチャートでは、警察への通報処理およびユーザ端末１２への警告送信処理を省略している。

図６に示すように、制御部２は、まず、車載装置１１からリプロ要求を受信したか否かを判定する（ステップＳ１０１）。そして、制御部２は、リプロ要求を受信していないと判定した場合（ステップＳ１０１，Ｎｏ）、リプロ要求を受信するまでステップＳ１０１の判定処理を繰り返す。

また、制御部２は、リプロ要求を受信したと判定した場合（ステップＳ１０１，Ｙｅｓ）、リプロ要求を送信してきた車載装置１１が搭載されている車両１０の位置情報を取得する（ステップＳ１０２）。

その後、制御部２は、位置情報の示す位置が車両１０の登録国内か否かを判定する（ステップＳ１０３）。そして、制御部２は、登録国内でないと判定した場合（ステップＳ１０３，Ｎｏ）、車両が正常に動作しない異常リプロ用プログラムを車載装置１１へ送信し（ステップＳ１０９）、処理を終了する。

また、制御部２は、位置情報の示す位置が車両１０の登録国内であると判定した場合（ステップＳ１０３，Ｙｅｓ）、位置情報の示す位置が使用本拠地Ｐから所定距離内か否かを判定する（ステップＳ１０４）。

そして、制御部２は、使用本拠地Ｐから所定距離内でないと判定した場合（ステップＳ１０４，Ｎｏ）、処理をステップＳ１０７へ移す。また、制御部２は、使用本拠地Ｐから所定距離内であると判定した場合（ステップＳ１０４，Ｙｅｓ）、最新の制御プログラムの提供開始日から所定期間内か否かを判定する（ステップＳ１０５）。

制御部２は、提供開始日から所定期間内でないと判定した場合（ステップＳ１０５，Ｎｏ）車両１０の所有者１３へ確認する（ステップＳ１０７）。そして、制御部２は、車両１０を使用中の所有者本人と確認できたか否かを判定する（ステップＳ１０８）。

制御部２は、所有者本人と確認できたと判定した場合（ステップＳ１０８，Ｙｅｓ）処理をステップＳ１０６へ移す。また、制御部２は、所有者本人と確認できないと判定した場合（ステップＳ１０８，Ｎｏ）、異常リプロ用プログラムを車載装置１１へ送信して（ステップＳ１０９）、処理を終了する。

また、制御部２は、最新の制御プログラムの提供開始日から所定期間内であると判定した場合（ステップＳ１０５，Ｙｅｓ）、車両１０が正常に動作する正常リプロ用プログラムを車載装置１１へ送信し（ステップＳ１０６）、処理を終了する。

なお、ここでは、位置情報の示す位置が登録国内、位置情報の示す位置が使用本拠地Ｐから所定距離内、および最新のプログラムの提供開始日から所定期間内という３つの条件が全て成立した場合に、正常リプロ用プログラムを送信したが、これは一例である。

制御部２は、位置情報の示す位置が登録国内である場合に、正常リプロ用プログラムを車載装置１１へ送信してもよい。また、制御部２は、位置情報の示す位置が使用本拠地Ｐから所定距離内でない場合に、異常リプロ用プログラムを車載装置１１へ送信してもよい。

プログラム更新装置１は、車両情報３２に車両１０の盗難届が提出されているか否かの情報を追加して記憶部３に記憶させてもよい。かかる場合、プログラム更新装置１は、盗難届が提出されている車両１０の車載装置１１からリプロ要求を受信する場合に、車載装置１１へ異常リプロ用プログラムを送信する。これにより、プログラム更新装置１は、盗難されたことが明白な車両１０を正常に動作しないようにできる。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１００ プログラム更新システム
１ プログラム更新装置
２ 制御部
２１ 通信部
２２ 取得部
２３ 書換部
３ 記憶部
３１ リプロ用プログラム
３２ 車両情報
１０ 車両
１１ 車載装置
１２ ユーザ端末

Claims (4)

1. 車両の制御プログラムの書き換え要求を送信してくる車載装置が搭載された車両の位置情報を取得する取得部と、
   前記取得部によって取得される前記位置情報に応じて、前記車載装置に対する前記制御プログラムの書き換え処理の態様を変更し、遠隔地から前記書き換え処理を行う書換部と
   を備えることを特徴とするプログラム更新装置。
2. 前記車両の登録国を記憶する記憶部
   を備え、
   前記書換部は、
   前記位置情報の示す位置が前記記憶部に記憶された前記車両の登録国外であると判定する場合に、前記車両が正常動作しない前記制御プログラムに書き換える
   ことを特徴とする請求項１に記載のプログラム更新装置。
3. 前記記憶部は、
   前記車両の使用の本拠の位置を示す使用本拠地をさらに記憶し、
   前記書換部は、
   前記位置情報の示す位置が前記記憶部に記憶された前記車両の登録国内であり、且つ前記記憶部に記憶された前記使用本拠地から所定距離以上離れた遠隔地を示すと判定する場合に、前記車両の所有者に確認して前記書き換え処理を行う
   ことを特徴とする請求項２に記載のプログラム更新装置。
4. 車両の制御プログラムの書き換え要求を送信する車載装置と、
   前記車載装置に対する前記制御プログラムの書き換え処理を行うサーバ装置と
   を含み、
   前記サーバ装置は、
   前記書き換え要求を送信してくる前記車載装置が搭載された車両の位置情報を取得する取得部と、
   前記取得部によって取得される前記位置情報に応じて、前記車載装置に対する前記制御プログラムの書き換え処理の態様を変更し、遠隔地から前記書き換え処理を行う書換部と
   を備えることを特徴とするプログラム更新システム。

Images