JP2021157466A - 車載中継装置、情報処理方法及びプログラム - Google Patents

Abstract

【課題】自装置の制御プログラムの更新を効率的に実施する車載中継装置等を提供する。【解決手段】車載中継装置は、記憶部に記憶される前記制御プログラム又は前記更新処理プログラムを選択的に実行する制御部とを備え、前記制御部は、前記制御プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される第１通信部を特定し、前記更新処理プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部を特定し、該特定した外部装置と通信するための第２通信部以外の通信部による通信を禁止する。【選択図】図１

Description

本発明は、車載中継装置、情報処理方法及びプログラムに関する。

車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するための車載ＥＣＵ（Electronic Control Unit）が搭載されている。車載ＥＣＵは、ＭＰＵ等の演算処理部、ＲＡＭ等の書き換え可能な不揮発性の記憶部、及び他の車載ＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた中継装置が実装されており、中継装置を介して、車外のネットワークに接続されているプログラム提供装置と通信し、当該プログラム提供装置から車載ＥＣＵの制御プログラムをダウンロード（受信）し、当該車載ＥＣＵの制御プログラムを更新することができる（例えば特許文献１参照）。

特開２０１７−９７８５１号公報

しかしながら、特許文献１の中継装置は、自装置にて実行する制御プログラムを更新する処理に関する事項は考慮されていないため、当該自装置の制御プログラムの更新を効率的に実施できないことが懸念される。

本開示の目的は、自装置の制御プログラムの更新を効率的に実施することができる車載中継装置を提供することである。

本開示の一態様に係る車載中継装置は、車両に搭載される車載中継装置であって、前記車両に搭載された複数の車載ＥＣＵと通信するための第１通信部と、前記車両外の外部装置と通信するための第２通信部とを含む複数の通信部と、前記複数の車載ＥＣＵ間における通信の中継に関する制御を行う制御プログラムと、前記制御プログラムの更新に関する処理を行う更新処理プログラムと、前記複数の通信部に関するネットワーク構成情報とが記憶される記憶部と、前記記憶部に記憶される前記制御プログラム又は前記更新処理プログラムを選択的に実行する制御部とを備え、前記制御部は、前記制御プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される第１通信部を特定し、前記更新処理プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部を特定し、該特定した外部装置と通信するための第２通信部以外の通信部による通信を禁止する。

本開示の一態様によれば、自装置の制御プログラムの更新を効率的に実施する車載中継装置等を提供することができる。

実施形態１に係る車載中継装置を含む車載システムの構成を例示する模式図である。 車載中継装置等の構成を例示するブロック図である。 ネットワーク構成情報の一態様を例示する説明図である。 本実施の形態に係る車載中継装置の制御部の処理を例示するフローチャートである。

［本発明の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載中継装置は、車両に搭載される車載中継装置であって、
前記車両に搭載された複数の車載ＥＣＵと通信するための第１通信部と、前記車両外の外部装置と通信するための第２通信部とを含む複数の通信部と、
前記複数の車載ＥＣＵ間における通信の中継に関する制御を行う制御プログラムと、前記制御プログラムの更新に関する処理を行う更新処理プログラムと、前記複数の通信部に関するネットワーク構成情報とが記憶される記憶部と、
前記記憶部に記憶される前記制御プログラム又は前記更新処理プログラムを選択的に実行する制御部とを備え、
前記制御部は、
前記制御プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される第１通信部を特定し、
前記更新処理プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部を特定し、該特定した外部装置と通信するための第２通信部以外の通信部による通信を禁止する。

本態様にあたっては、制御部は、制御プログラムを実行して中継制御する際に参照するネットワーク構成情報を、更新処理プログラムを実行する際に参照する。すなわち、複数の通信部に関するネットワーク構成情報は、制御部によって選択的に実行する制御プログラムから、更新処理プログラムに継承することができる。制御部は、制御プログラムから継承されたネットワーク構成情報を参照して、更新処理プログラムを実行する。更新処理プログラムの実行時において、制御部は、更新に関する処理を行う外部装置と通信するための第２通信部を有効にし、更新に関する処理を行う外部装置と通信するための第２通信部以外の通信部を、例えば無効状態又は非活性状態にし、当該通信部よる通信を禁止する。従って、更新に関する処理を行う外部装置と通信するための第２通信部以外の通信部を介し、車両内外からの不正なアクセスが行われることを防止し、制御プログラムの更新処理における安全性、信頼性を担保することができ、当該制御プログラムの更新を効率的に実施することができる。

（２）本開示の一態様に係る車載中継装置は、前記制御プログラムを実行中の制御部は、前記記憶部における物理アドレスに基づき、前記ネットワーク構成情報を前記記憶部の記憶領域に書き込み、
前記更新処理プログラムを実行中の制御部は、前記記憶部における物理アドレスに基づき、前記ネットワーク構成情報が書き込まれた前記記憶領域を参照する。

本態様にあたっては、制御プログラム及び更新処理プログラムは、例えば、制御部が起動時に最初に実行されるブートプログラムにより選択されることにより、当該制御部によって選択的に実行される。このように異なるプログラムが同一の制御部によって選択的に実行される際、制御部が記憶部にアクセスする際に用いられる論理アドレスは、個々のプログラムにおいて互換性が無い場合がある。これに対し、制御部は、制御プログラム及び更新処理プログラムの双方のプログラムを実行するにあたり、双方のプログラムによって共有的にアクセスできる記憶領域を構成するため、当該記憶領域に対しては、各プログラムに依拠する論理アドレスではなく、ハードウェア的に決定される記憶部の物理アドレスを用いてアクセスする。従って、制御プログラム及び更新処理プログラムにおいて、記憶部に対する論理アドレスの設定（アドレッシング）が異なる場合であっても、ハードウェア的に決定される記憶部の物理アドレスを用いて、ネットワーク構成情報を、制御プログラムによって書き込み、更新処理プログラムにて参照することができる。これにより、当該ネットワーク構成情報を効率的に制御プログラムから更新処理プログラムに継承又は伝達することができる。

（３）本開示の一態様に係る車載中継装置は、前記制御部は、特定した前記外部装置と通信するための第２通信部以外の通信部への給電を停止することにより、該通信部による通信を禁止する。

本態様にあたっては、制御部は、特定した外部装置と通信するため第２通信部以外の通信部による通信を禁止するにあたり、当該通信部への給電を停止するため、更新処理プログラムを実行して、制御プログラムを更新する間にて、これら不要な通信部により電力が消費されることを防止し、消費電力を抑制することができる。

（４）本開示の一態様に係る車載中継装置は、前記車両外の外部装置は、前記第２通信部に接続されるダイアグ装置と、前記第２通信部に接続される車外通信装置を介して通信する外部サーバとを含み、
前記ネットワーク構成情報には、前記複数の通信部それぞれを識別する識別子と、前記複数の通信部それぞれに接続される前記車載ＥＣＵ、前記車外通信装置及び前記ダイアグ装置を区分する情報とが関連付けられた情報が含まれており、
前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記ダイアグ装置又は前記車外通信装置が接続される第２通信部である。

本態様にあたっては、ネットワーク構成情報は、例えば、物理ポート番号等、通信部それぞれの識別子と、当該通信部に接続される外部装置（ダイアグ装置、外部サーバと接続するための車外通信装置）及び車載ＥＣＵを区分する、例えばＩＰアドレス又はＭＡＣアドレス等の情報が関連付けられた情報が含まれている。このようなネットワーク構成情報において、更新に関する処理を行う外部装置と通信するための第２通信部は、ダイアグ装置又は車外通信装置が接続される第２通信部とすることにより、更新処理プログラムを実行中の制御部は、更新に関する処理を行う外部装置と通信するための第２通信部を容易に特定し、当該ダイアグ装置又は車外通信装置が接続される第２通信部以外の通信部による通信を効率的に禁止することができる。

（５）本開示の一態様に係る車載中継装置は、前記車両外の外部装置は、前記第２通信部に接続されるダイアグ装置と、前記第２通信部に接続される車外通信装置を介して通信する外部サーバとを含み、
前記ネットワーク構成情報には、前記複数の通信部それぞれを識別する識別子と、前記複数の通信部それぞれに接続される前記車載ＥＣＵ、前記車外通信装置及び前記ダイアグ装置を区分する情報とが関連付けられた情報が含まれており、
前記制御プログラムを実行中の制御部は、
前記ダイアグ装置から出力された更新に関する情報を取得した場合、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記ダイアグ装置が接続される第２通信部である旨を前記ネットワーク構成情報に含め、
前記外部サーバから出力された更新に関する情報を取得した場合、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記車外通信装置が接続される第２通信部である旨をネットワーク構成情報に含める。

本態様にあたっては、制御プログラムを実行中の制御部は、更新に関する情報の出力先に基づき、当該出力先に接続される通信部が更新に関する処理を行う外部装置と通信するための第２通信部である旨をネットワーク構成情報に含める。従って、更新処理プログラムを実行中の制御部は、制御プログラムから継承されたネットワーク構成情報を参照することにより、更新に関する処理を行う外部装置と通信するための第２通信部を容易に特定し、当該ダイアグ装置が接続される第２通信部以外の通信部による通信を効率的に禁止することができる。

（６）本開示の一態様に係る情報処理方法は、コンピュータに、
複数の車載ＥＣＵ間における通信の中継に関する制御と、前記中継に関する制御を行うためのプログラムの更新に関する処理とを、選択的に実行させ、
前記中継に関する制御を実行させる際、記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される通信部を特定し、
前記更新に関する処理を実行させる際、前記記憶部に記憶されるネットワーク構成情報を参照して、更新に関する処理を行う外部装置と通信するための通信部を特定し、該特定した通信部以外の通信部による通信を禁止する
処理を実行させる。

本態様にあたっては、コンピュータにより、自装置である車載中継装置の制御プログラムの更新を効率的に実施する情報処理方法を提供することができる。

（７）本開示の一態様に係るプログラムは、コンピュータに、
複数の車載ＥＣＵ間における通信の中継に関する制御と、前記中継に関する制御を行うためのプログラムの更新に関する処理とを、選択的に実行させ、
前記中継に関する制御を実行させる際、記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される通信部を特定し、
前記更新に関する処理を実行させる際、前記記憶部に記憶されるネットワーク構成情報を参照して、更新に関する処理を行う外部装置と通信するための通信部を特定し、該特定した通信部以外の通信部による通信を禁止する
処理を実行させる。

本態様にあたっては、コンピュータを、自装置の制御プログラムの更新を効率的に実施する車載中継装置として用いることができる。

[本開示の実施形態の詳細]
本開示の実施形態に係る車載中継装置２の具体例を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載中継装置２を含む車載システムの構成を例示する模式図である。図２は、車載中継装置２等の構成を例示するブロック図である。車載システムは、車両Ｃに搭載された車外通信装置１及び車載中継装置２を含み、車載中継装置２は、車外通信装置１を介して外部サーバ１００と通信する。車載中継装置２は、自装置に直接接続されるダイアグ装置５と通信する。

外部サーバ１００及びダイアグ装置５は、車載中継装置２（自装置）の制御プログラム２ｃの更新に関する処理を行う外部装置に相当する。車載中継装置２は、これら外部サーバ１００及びダイアグ装置５から更新プログラムを取得することにより、自装置にて実行される制御プログラム２ｃの更新、すなわち取得した更新プログラムを、当該制御プログラム２ｃの新バージョンの制御プログラム２ｃとして適用することにより、リプログラミング（リプロ）を実行する。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部１０１を備える。記憶部１０１には、車載中継装置２の製造メーカ等によって作成された当該車載中継装置２を制御するためのプログラム又はデータが保存されている。当該プログラム又はデータは、更新プログラムとして、後述のごとく車両Ｃに送信され、車両Ｃに搭載されている車載中継装置２の制御プログラム２ｃ又はデータを更新するために用いられる。このように構成された外部サーバ１００は、ＯＴＡ（Over The Air）サーバとも称される。車両Ｃに搭載される車載中継装置２は、外部サーバ１００から無線通信により送信された更新プログラムを取得し、当該更新プログラムを実行する制御プログラム２ｃとして適用することにより、自装置が実行する制御プログラム２ｃを更新（リプロ）することができる。外部サーバ１００には、自装置である車載中継装置２の制御プログラム２ｃ以外に、当該車載中継装置２に接続される車載ＥＣＵ３のプログラム又はデータが記憶されているものであってもよい。車載中継装置２は、外部サーバ１００から、自装置に接続される車載ＥＣＵ３のプログラム等を取得し、取得したプログラム等を更新対象（リプロ対象）の車載ＥＣＵ３に出力（送信）し、当該車載ＥＣＵ３のプログラムの更新処理（リプロ処理）を行うリプロマスタとして機能するものであってもよい。

ダイアグ装置５は、車載中継装置２又は車載ＥＣＵ３の保守作業等、車両Ｃの整備を担う正規ディーラ等を含む車両整備業者によって用いられる装置（ダイアグツール）であり、例えばパソコン、タブレットＰＣ又はスマートホン等の汎用情報端末に専用アプリケーションをインストールした装置、又はハードウェアを含み専用情報端末として構成された装置である。ダイアグ装置５は、後述する車載ＥＣＵと同様にＣＰＵ又はＭＰＵにより制御部（図示せず）、記憶部（図示せず）及び車内通信部２３（図示せず）を含む。ダイアグ装置５は、車内通信部２３を介して車載中継装置２と通信する。ダイアグ装置５の記憶部は、外部サーバ１００と同様に車載中継装置２を制御するためのプログラム又はデータが保存されている。ダイアグ装置５に保存されているプログラム又はデータは、外部サーバ１００の場合と同様に、更新プログラムとして車両Ｃに送信され、車両Ｃに搭載されている車載中継装置２の制御プログラム２ｃ又はデータを更新するために用いられる。

車両Ｃには、車外通信装置１、車載中継装置２、表示装置７、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車外通信装置１と車載中継装置２とは、例えばイーサネット（Ethernet／登録商標）等の通信プロトコルに対応した通信線４１（イーサネットケーブル）によって通信可能に接続されている。車載中継装置２及び車載ＥＣＵ３は、イーサネット等の通信プロトコルに対応した通信線４１及び車内ＬＡＮ４によって通信可能に接続されている。車載中継装置２及び車載ＥＣＵ３の接続は、イーサネットに限定されず、例えばＣＡＮ（Control Area Network／登録商標）等の通信プロトコルに対応したＣＡＮバスによるものであってもよい。

車外通信装置１は、車外通信部１１及び車内通信部１２を含む。車内通信部１２は、例えば、１００ＢＡＳＥ−Ｔ１又は１０００ＢＡＳＥ−Ｔ１等のイーサネットケーブルによる通信線４１にて伝送されるＴＣＰ／ＩＰのパケットに対応するイーサネットＰＨＹ部である。車外通信装置１は、車内通信部１２及び、イーサネットケーブル等の通信線４１を介して、車載中継装置２と通信可能に接続されている。

車外通信部１１は、３Ｇ、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部１１に接続されたアンテナ１３を介して外部サーバ１００とデータの送受信を行う。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の車外ネットワークＮを介して行われる。

本実施形態では、車外通信装置１は、車載中継装置２と別装置とし、車内通信部１２等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載中継装置２の一構成部位として、車載中継装置２に内蔵されるものであってもよい。

車載中継装置２は、図２に示す如く、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２、車内通信部２３などを含む。車載中継装置２は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３及び、ボディ系の車載ＥＣＵ３等の複数の通信線４１による系統のセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継する。車載中継装置２は、例えばゲートウェイ又はイーサスイッチであり、レイヤー２スイッチ、レイヤー３スイッチ及びＣＡＮゲートウェイとして機能するものであってもよい。車載中継装置２は、例えば車両Ｃ全体をコントロールするボディＥＣＵ、自動運転を制御する自動運転ＥＣＵ等の一機能部として構成されるものであってもよい。車載中継装置２は、通信に関する中継に加え、蓄電装置（図示せず）から出力された電力を分配及び中継し、自装置に接続される車載ＥＣＵ３に供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。

制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成されている。制御部２０は、記憶部２１に予め記憶された各プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行う。なお以下において"プログラム"との記載には、プログラムと、当該プログラムの実行に必要なデータとを含み得る。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してある。記憶部２１には、ブートプログラム領域２１１、基本プログラム領域２１２、更新処理プログラム領域２１５、共有領域２１６等が含まれている。すなわち、記憶部２１は、ブートプログラム領域２１１、基本プログラム領域２１２、更新処理プログラム領域２１５、共有領域２１６等によるそれぞれの記憶領域に区分化されている。

ブートプログラム領域２１１には、ブートプログラム２ａが格納されている。ブートプログラム２ａは、車載中継装置２のリセット後又は起動時、最初に起動されるブートローダー等のプログラムである。制御部２０は、ブートプログラム２ａを実行することにより、共有領域２１６に保存される更新の有無に関する情報に応じて、基本プログラム２ｂ又は更新処理プログラム２ｇのいずれかを選択的に起動する処理を行う。

更新の有無に関する情報は、例えば、共有領域２１６における所定の物理アドレスのブロックに格納される更新フラグの有無、すなわち当該ブロックに格納される０又は１等の識別子（ビット値）に基づき示されるものであってもよい。例えば、更新フラグがある（識別子＝１）場合には、制御部２０は更新処理プログラム２ｇを起動させる。更新処理フラグがない（識別子＝０）場合には、制御部２０は基本プログラム２ｂを起動させる。ブートプログラム２ａは、更新処理プログラム２ｇ又は基本プログラム２ｂを起動させる処理を実行後、終了するものであってよい。

更新処理プログラム領域２１５には、更新処理プログラム２ｇが格納されている。更新処理プログラム２ｇは、外部サーバ１００又はダイアグ装置５から更新プログラムが出力又は送信され、提供される場合に、更新対象である制御プログラム２ｃを更新プログラムへと更新する更新処理を実行するためのプログラム（リプロ用ソフト）である。制御部２０は、更新処理プログラム２ｇを実行することにより、車外通信装置１又はダイアグ装置５等の外部装置との通信を行うことにより、当該外部装置から更新プログラムを取得し、取得した更新プログラムを基本プログラム領域２１２に格納する更新処理を行う。更新処理が完了した場合、制御部２０は、共有領域２１６の更新フラグを削除し、更新処理が完了したことを示す識別子を共有領域２１６に格納するものであってもよい。詳細は後述するが、制御部２０は、更新処理プログラム２ｇを実行することにより、共有領域２１６に記憶されているネットワーク構成情報を参照し、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定し、特定した車内通信部２３以外の車内通信部２３を無効化する処理を行う。

基本プログラム領域２１２には、プログラム（コードフラッシュ）領域２１３及びデータ領域（データフラッシュ）２１４が含まれている。プログラム領域２１３には、基本プログラム２ｂ、当該基本プログラム２ｂ上で実行される制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅなどが格納されている。データ領域２１４には、基本プログラム２ｂの有する入出力機能（ＮＶＭ）により管理されるＮＶＭ管理領域２ｆが含まれている。基本プログラム２ｂは、いわゆるオペレーティングシステムであり、例えば、又はＬｉｎｕｘ（登録商標）又はＡＵＴＯＳＡＲ（Automotive Open System Architecture ）の規格に準拠したものであってもよい。

制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅはいずれも、基本プログラム２ｂをプラットフォームとして実行されるプログラムである。

制御プログラム２ｃは、更新処理プログラム２ｇに基づく更新処理を実施していない状態において実行されるプログラムであり、車載ＥＣＵ３間、あるいは外部サーバ１００及び車載ＥＣＵ３等の通信の中継を行う。この制御プログラム２ｃが、車載中継装置２から送信される更新プログラムによって更新される対象である。制御部２０は、制御プログラム２ｃを実行することにより、例えば記憶部２１に記憶されているネットワーク構成情報を参照して、車載ＥＣＵ３から送信されるＩＰパケット、ＣＡＮメッセージ等を中継する。詳細は後述するが、ネットワーク構成情報には、車内通信部２３間においてＩＰパケット等を中継するための中継経路情報（ルーティングテーブル）及び、いずれの車内通信部２３が、更新に関する処理を行う外部装置と通信するための通信部であるかと特定するための情報が含まれている。

ダイアグプログラム２ｄは、制御プログラム２ｃに含まれる１モジュールとして構成され、制御プログラム２ｃのプロセスのサブプロセスとして実行されるプログラムである。すなわち、ダイアグプログラム２ｄは、制御プログラム２ｃの一機能として実行されるものであり、更新プログラムに関する情報の有無を監視する。制御部２０は、ダイアグプログラム２ｄを実行することにより、車外通信装置１を用いた外部サーバ１００との通信を行うことにより、定期的に車両Ｃに搭載された制御プログラム２ｃの更新に関する情報があるか否かの問い合わせを行う。更新に関する情報があった場合、制御部２０は、更新要求があったことを示す識別子（更新フラグ）を共有領域２１６に格納、すなわち共有領域２１６に書き込むことにより記憶部２１に記憶する。

ダイアグプログラム２ｄは、制御プログラム２ｃのプロセスのサブプロセスとして実行されるプログラムに限定されるものではない。例えば、ダイアグプログラム２ｄは、制御プログラム２ｃに並行して実行されるプログラムであり、更新プログラムに関する情報の有無を監視する。本実施形態においてが、更新プログラムに関する情報に対する処理において、制御プログラム２ｃ及びダイアグプログラム２ｄは同義であるとし、以降は、制御プログラム２ｃによる機能として説明する。

制御部２０は、制御プログラム２ｃを実行することにより、ダイアグ装置５又は外部サーバ１００等、更新に関する処理を行う外部装置と通信し、外部装置から更新に関する情報を取得した場合、更新要求があったことを示す識別子（更新フラグ）を共有領域２１６に格納（書き込み、記憶）する。更に、制御部２０は、当該更新要求があったことを示す識別子と共に、ネットワーク構成情報を、当該共有領域２１６に格納する。又は、制御プログラム２ｃを実行中の制御部２０は、更新要求があったことを示す識別子にかえて、ネットワーク構成情報を共有領域２１６に格納するものであってもよい。すなわち、当該共有領域２１６にネットワーク構成情報が格納されていることにより、更新要求があったことを示すものとして、制御部２０は、処理するものであってもよい。

セキュリティプログラム２ｅは、制御プログラム２ｃ及びダイアグプログラム２ｄと並行して実行されるプログラムであり、これら制御プログラム２ｃ及びダイアグプログラム２ｄにおけるセキュリティ情報を管理する。

記憶部２１に記憶された上述のブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇは、車載中継装置２が読み取り可能な記録媒体２Ａから読み出されたブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇそれぞれを記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからブートプログラム２ａ、基本プログラム２ｂ、制御プログラム２ｃ、ダイアグプログラム２ｄ、セキュリティプログラム２ｅ、及び更新処理プログラム２ｇそれぞれをダウンロードし、記憶部２１に記憶させたものであってもよい。更に、記憶部２１には、車載中継装置２及び車両Ｃに搭載される全ての車載ＥＣＵ３の車両構成情報が記憶されるものであってもよい。当該車両構成情報には、例えば、車両ＣのＶＩＮ（Vehicle Identification Number）、車載中継装置２及び車載ＥＣＵ３の型式、実装されているプログラムの名称及びバージョン番号等が含まれているものであってもよい。

上記では、基本プログラム２ｂ上で実行される制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅが、それぞれ異なるプログラムモジュールとして構成される例を説明したが本実施形態は限定されるものではない。例えば、制御プログラム２ｃ、ダイアグプログラム２ｄ及びセキュリティプログラム２ｅは、基本プログラム２ｂの機能の一部として基本プログラム２ｂに含まれる構成であってもよい。

ＮＶＭ管理領域２ｆは、基本プログラム２ｂに含まれる入出力機能（メモリ管理機能）により管理されるデータ保存領域である。基本プログラム２ｂを実行する制御部２０は、基本プログラム２ｂに基づく通常の処理において、論理アドレスを物理アドレスに変換する入出力機能を用いてＮＶＭ管理領域２ｆにデータを保存する。すなわち基本プログラム２ｂを実行する制御部２０は、入出力機能により論理アドレスと物理アドレスと対応付けて変換する変換情報を記憶し、変換情報を参照して特定したＮＶＭ管理領域２ｆにデータを格納する。従って、ＮＶＭ管理領域２ｆは、当該入出力機能を備えない基本プログラム２ｂ以外の他のプログラムを実行する制御部２０からはアクセスが制限される。すなわちブートプログラム２ａ及び更新処理プログラム２ｇを実行する場合、制御部２０はＮＶＭ管理領域２ｆの情報を参照することができない。この様に構成されるＮＶＭ管理領域２ｆに対して、基本プログラム２ｂが備える入出力機能を用いて入出力処理を実行することにより、制御部２０は、当該ＮＶＭ管理領域２ｆへのデータ、プログラム等の読み書きを実行する。

共有領域２１６は、更新の有無に関する情報を示す識別子及び、ネットワーク構成情報を格納する領域であり、制御プログラム２ｃから更新処理プログラムに当該識別子及びネットワーク構成情報を継承させるために用いられる領域である。共有領域２１６は、基本プログラム２ｂが備える入出力機能で管理されないデータ保存領域であり、物理アドレスを用いて一意に場所を指定することができる記憶領域である。共有領域２１６に対しては、基本プログラム２ｂが備える入出力機能を実行する制御部２０はアクセスすることができない。ダイアグプログラム２ｄ及び制御プログラム２ｃを実行する制御部２０は、更新の有無に関する情報を識別した場合、識別子及びネットワーク構成情報を共有領域２１６に保存する。この場合において、制御部２０は、記憶部２１の不揮発性メモリにおける物理位置情報である物理アドレスを用いて共有領域２１６を指定し、当該共有領域２１６に識別子及びネットワーク構成情報を格納する。すなわち、制御部２０は、基本プログラム２ｂの機能により、論理アドレスと物理アドレスとを対応付ける変換処理を行うことなく、直接物理アドレスを指定して共有領域２１６に識別子を格納する。これにより、制御部２０がブートプログラム２ａに基づき処理を実行する場合であっても、基本プログラム２ｂを起動することなく位置が特定される共有領域２１６を参照して、更新の有無に関する情報を示す識別子を認識することが可能となる。また、制御部２０が更新処理プログラムに基づき処理を実行する場合であっても、基本プログラム２ｂを起動することなく位置が特定される共有領域２１６を参照して、ネットワーク構成情報を認識することが可能となる。

入出力Ｉ／Ｆ２２は、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２２を介して、車載中継装置２は、ディスプレイ等の表示装置７及び、車両の起動及び停止を行うＩＧスイッチ６と通信可能に接続される。

車内通信部２３は、例えばイーサネット又はＣＡＮ等の通信プロトコルを用いた入出力インターフェイスであり、制御部２０は、車内通信部２３を介して車内ＬＡＮ４に接続されている車載ＥＣＵ３、車外通信装置１及び他の中継装置等の車載機器、又はダイアグ装置５と相互に通信する。

車内通信部２３は、複数、設けられており、車内通信部２３それぞれに、車内ＬＡＮ４を構成する通信線４１が接続されている。このように車内通信部２３を複数、設けることにより、車内ＬＡＮ４は複数個のセグメントに分け、各セグメントに車載ＥＣＵを、当該車載ＥＣＵの機能（制御系機能、安全系機能、ボディ系機能）に応じて接続する。

車内通信部２３には、更にダイアグ装置５、外部サーバと通信するための車外通信装置１が接続され、当該車内通信部２３を介して、これらダイアグ装置５及び外部サーバ等の外部装置との通信が行われる。すなわち、ダイアグ装置５又は車外通信装置１が接続される車内通信部２３が、更新に関する処理を行う外部装置と通信するための通信部に相当する。

車載ＥＣＵ３は、制御部３０、記憶部３１及び車内通信部３２を含む。記憶部３１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。制御部３０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部３１に記憶されたプログラム及びデータを読み出し実行して制御処理等を行い、当該車載ＥＣＵ３を含む車載機器又はアクチュエータ等を制御する。

車載中継装置２の入出力Ｉ／Ｆ２２には、シリアルケーブル等のワイヤーハーネスにより、車両Ｃの起動又は停止を行うＩＧスイッチ６（イグニッションスイッチ）が通信可能に接続されている。ＩＧスイッチ６がオン又はオフにされた場合、ＩＧスイッチ６から出力（送信）された信号を、車載中継装置２の制御部２０は、入出力Ｉ／Ｆ２２を介して取得（受信）する。

表示装置７は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置７は、車載中継装置２の入出力Ｉ／Ｆ２２とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置７には、車載中継装置２の制御部２０から入出力Ｉ／Ｆ２２を介して出力されたデータ又は情報が表示される。

図３は、ネットワーク構成情報の一態様を例示する説明図である。上述のとおり、ネットワーク構成情報は、車載中継装置２の記憶部２１に記憶されている。ネットワーク構成情報は、記憶部２１において、更新処理プログラム２ｇを実行中の制御部２０及び、制御プログラム２ｃ（ダイアグプログラム２ｄ）を実行中の制御部２０、すなわちいずれのプログラムを実行中の制御部２０からも、アクセスが可能な共有領域２１６に記憶されている。又は、制御プログラム２ｃを実行中の制御部２０は、当該制御プログラム２ｃに基づき車載ＥＣＵ３間の通信の中継制御を行う際は、例えば、ＮＶＭ管理領域２ｆ等、基本プログラム２ｂにより設定される論理アドレスにて管理される領域に記憶されているネットワーク構成情報を参照する。そして、制御プログラム２ｃを実行中の制御部２０が、ダイアグ装置５又は外部サーバ１００から更新に関する情報を取得した場合、当該制御部２０は、ＮＶＭ管理領域２ｆ等に保存されているネットワーク構成情報を、共有領域２１６にコピー等して書き込むものであってもよい。

制御プログラム２ｃを実行中の制御部２０は、ＮＶＭ管理領域２ｆ等に保存されているネットワーク構成情報を、共有領域２１６にコピー等して書き込む際、当該ネットワーク構成情報に含まれる全ての情報を書き込むものに限定されない。制御プログラム２ｃを実行中の制御部２０は、ＮＶＭ管理領域２ｆ等に保存されているネットワーク構成情報を、共有領域２１６に書き込む際、当該ネットワーク構成情報に含まれる情報の内、少なくとも、更新に関する処理を実行する外部装置と通信するための車内通信部２３を特定する情報を、共有領域２１６に書き込むものであってもよい。

ネットワーク構成情報は、例えばテーブル形式で記憶されており、管理項目（フィールド）として、車内通信部２３の物理ポート番号、ＩＰアドレス、ＭＡＣ（Media Access Control）アドレス、リプロ用ポート及び接続ＥＣＵを含む。

車内通信部２３の物理ポート番号のフィールドには、個々の車内通信部２３において重複しないように設定された連番等による物理ポート番号が格納される。車内通信部２３が、イーサネットＰＨＹ部である場合、当該イーサネットＰＨＹ部を示すデバイス番号が、当該物理ポート番号のフィールドに格納されるものであってもよい。

ＩＰアドレスのフィールドには、対応する物理ポート番号の車内通信部２３に接続される車載ＥＣＵ３、車外通信装置１又はダイアグ装置５のＩＰアドレス（ＴＣＰ／ＩＰを用いた通信を行う際のネットワーク層に対応するアドレス）が格納される。制御部２０は、当該ＩＰアドレスを参照することにより、レイヤー３スイッチとして機能する。

ＭＡＣアドレスのフィールドには、対応する物理ポート番号の車内通信部２３に接続される車載ＥＣＵ３、車外通信装置１又はダイアグ装置５のＭＡＣアドレス（イーサネットによる通信を行う際のデータリング層に対応するアドレス）が格納される。制御部２０は、当該ＭＡＣアドレスを参照することにより、レイヤー２スイッチとして機能する。

リプロ用ポートのフィールドには、自装置である車載中継装置２の制御プログラム２ｃの更新に関する処理を行う外部装置と通信するための車内通信部２３を特定するための識別子（フラグ）が格納される。本実施形態では、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定するための識別子として、１を設定しており、図示のとおり、ｅｔｈ０２の物理ポート（リプロ用ポート：１）を、当該外部装置と通信するための車内通信部２３として特定している。すなわち、リプロ用ポートに１以外となる０が格納されている他の物理ポートは、更新に関する処理を行う外部装置と通信するための車内通信部２３以外の車内通信部２３として、特定される。このようにネットワーク構成情報には、車載中継装置２が備える車内通信部２３それぞれに対し、いずれの車内通信部２３が更新に関する処理を行う外部装置と通信するための車内通信部２３であるかを特定する情報が含まれているため、更新処理プログラム２ｇを実行中の制御部２０は、当該外部装置と通信するための車内通信部２３を容易に特定することができる。

接続ＥＣＵのフィールドには、対応する物理ポート番号の車内通信部２３に接続される車載装置の名称、種類又は区分に関する情報が格納される。

図４は、本実施の形態に係る車載中継装置２の制御部２０の処理を例示するフローチャートである。車載中継装置２の制御部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）又は停止状態（ＩＧスイッチ６がオフ）において、定常的に以下の処理を行う。

車載中継装置２の制御部２０は、ネットワーク構成情報を記憶部２１（共有領域２１６）に書き込む（Ｓ１０１）。本処理を行うにあたり、制御部２０は、車載ＥＣＵ３間の通信を中継するための制御プログラム２ｃを実行中であり、当該制御プログラム２ｃの入出力機能を用いて、ネットワーク構成情報を記憶部２１における共有領域２１６の物理アドレスに基づき、当該共有領域２１６にネットワーク構成情報を書き込むものであってもよい。又は、制御部２０は、基本プログラム２ｂを実行し、さらに基本プログラム２ｂ上にて制御プログラム２ｃ及びダイアグプログラム２ｄを並行して実行し、ダイアグプログラム２ｄの入出力機能を用いて、共有領域２１６の物理アドレスに基づき、当該共有領域２１６にネットワーク構成情報を書き込むものであってもよい。

ネットワーク構成情報が書き込まれる共有領域２１６は、記憶部２１の物理アドレスに基づき特定される領域であるため、制御部２０が制御プログラム２ｃ及び更新処理プログラム２ｇのいずれのプログラムを実行した場合であっても、制御部２０は、共有領域２１６にアクセスすることができる。従って当該共有領域２１６を用いることにより、制御プログラム２ｃから更新処理プログラム２ｇにネットワーク構成情報を確実に継承することができる。

制御部２０は、ネットワーク構成情報を記憶部２１（共有領域２１６）に書き込むにあたり、外部装置から取得した更新に関する情報（キャンペーン情報）についても、当該共有領域２１６に書き込むものであってもよい。制御部２０は、自装置である車載中継装置２と、ダイアグ装置５又は外部サーバ１００等の外部装置とが接続され、これら外部装置から、更新に関する情報が送信（出力）された場合、ネットワーク構成情報を記憶部２１（共有領域２１６）に書き込むものであってもよい。この場合、制御部２０は、更新に関する情報を送信（出力）した外部装置と通信するために用いられた車内通信部２３を特定するための情報をネットワーク構成情報に反映して、当該ネットワーク構成情報を記憶部２１（共有領域２１６）に書き込むものであってもよい。

例えば、更新に関する情報が送信（出力）した外部装置がダイアグ装置５である場合、制御部２０は、ネットワーク構成情報において、ダイアグ装置５が接続される車内通信部２３のリプロ用ポートのフィールドに格納されるフラグを１に変更し、他の車内通信部２３のリプロ用ポートのフィールドに格納されるフラグを０にすることにより、外部装置と通信するために用いられた車内通信部２３を特定してもよい。また、更新に関する情報が送信（出力）した外部装置が外部サーバ１００である場合、制御部２０は、ネットワーク構成情報において、外部サーバ１００と通信するための外部通信装置が接続される車内通信部２３のリプロ用ポートのフィールドに格納されるフラグを１に変更し、他の車内通信部２３のリプロ用ポートのフィールドに格納されるフラグを０にすることにより、外部装置と通信するために用いられた車内通信部２３を特定してもよい。

このように更新に関する情報を送信（出力）した外部装置に基づき、ネットワーク構成情報を変更することにより、更新に関する処理を行う外部装置と通信するための車内通信部２３が複数ある場合であっても、今回の更新に関する処理において用いられる車内通信部２３を容易に特定することができる。従って、更新に関する処理において不要な車内通信部２３を確実に無効化し、これら不要な車内通信部２３による通信を禁止することにより、当該更新に関する処理のセキュリティを担保することができる。

制御部２０は、ネットワーク構成情報に含まれる全ての情報を、当該共有領域２１６に書き込むものに限定されない。制御部２０は、ネットワーク構成情報において、更新に関する処理行う外部装置と通信するための車内通信部２３の物理ポート番号等、当該車内通信部２３を特定するための情報を、当該共有領域２１６に書き込むものであってもよい。又は、制御部２０は、更新に関する処理行う外部装置と通信するための車内通信部２３以外の車内通信部２３の物理ポート番号等、すなわち、後述する処理において、無効化する車内通信部２３の物理ポート番号を、当該共有領域２１６に書き込むものであってもよい。

車載中継装置２の制御部２０は、車両Ｃが停止されたか否かを判定する（Ｓ１０２）。車両Ｃが停止されていない場合（Ｓ１０２：ＮＯ）、車載中継装置２の制御部２０は、再度、処理Ｓ１０２を実行すべく、ループ処理を行う。車両Ｃが停止された場合（Ｓ１０２：ＹＥＳ）、車載中継装置２の制御部２０は、車載中継装置２の制御部２０は、制御プログラム２ｃを終了する（Ｓ１０３）。本実施形態においては、車載中継装置２の制御部２０にて実行されている制御プログラム２ｃの終了、すなわち車載中継装置２のリセットを行うにあたり、車両Ｃの停止（ＩＧスイッチ６のオフ）をトリガーして用いたが、これに限定されない。当該制御プログラム２ｃの終了は、例えば、ダイアグ装置５等の外部装置から出力されたリセット信号等に基づき、行われるものであってもよい。

車載中継装置２の制御部２０は、更新に関する情報の有無を判定する（Ｓ１０４）。制御部２０は、例えば、ブートプログラム２ａを実行し、当該ブートプログラム２ａに含まれる入出力機能を用いて、記憶部２１（共有領域２１６）を参照し、更新に関する情報の有無を判定する。

更新に関する情報がない場合（Ｓ１０４：ＮＯ）、車載中継装置２の制御部２０は、本実施形態における一連の処理を終了する。更新に関する情報がない場合、すなわちダイアグ装置５等の更新に関する処理を行う外部装置から、自装置の制御プログラム２ｃの更新に関する情報（キャンペーン情報）を取得していない場合、制御部２０は、本実施形態における一連の処理を終了し、車両Ｃの停止状態に応じて、例えば停止状態又は待機状態（スリープ）に遷移する。

更新に関する情報がある場合（Ｓ１０４：ＹＥＳ）、車載中継装置２の制御部２０は、更新処理プログラム２ｇを実行する（Ｓ１０５）。更新に関する情報がある場合、すなわちダイアグ装置５等の更新に関する処理を行う外部装置から、自装置の制御プログラム２ｃの更新に関する情報（キャンペーン情報）を取得している場合、制御部２０は、更新処理プログラム２ｇを実行する。

制御部２０が、更新に関する情報があると判定する場合は、自装置の制御プログラム２ｃの更新に関する情報（キャンペーン情報）が記憶部２１（共有領域２１６）に記憶されている場合に限定されない。制御部２０は、当該記憶部２１（共有領域２１６）にネットワーク構成情報が記憶されていることをもって、更新に関する情報があると判定するものであってもよい。すなわち、ネットワーク構成情報が、更新に関する情報に相当するものとして、車載中継装置２の制御部２０は、更新に関する情報の有無を判定するものであってもよい。

車載中継装置２の制御部２０は、記憶部２１（共有領域２１６）に記憶されているネットワーク構成情報を参照する（Ｓ１０６）。更新処理プログラム２ｇを実行中の制御部２０は、例えば、物理アドレスを用いて記憶部２１（共有領域２１６）にアクセスし、当該共有領域２１６に記憶されているネットワーク構成情報を参照する。

車載中継装置２の制御部２０は、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定する（Ｓ１０７）。更新処理プログラム２ｇを実行中の制御部２０は、例えば、ネットワーク構成情報に含まれているリプロ用ポートのフィールドに格納されている各車内通信部２３それぞれのフラグ情報を参照することにより、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定する。又は、外部装置から取得した更新に関する情報（キャンペーン情報）には、当該外部装置と通信するために用いられて物理ポート番号が含まれており、制御部２０は、当該物理ポート番号に基づき、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定するものであってもよい。又は、外部装置から取得した更新に関する情報（キャンペーン情報）には、当該外部装置のアドレス（ＩＰアドレス、ＭＡＣアドレス）が含まれており、制御部２０は、当該アドレスに対応する車内通信部２３を、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定するものであってもよい。

車載中継装置２の制御部２０は、特定した車内通信部２３以外の車内通信部２３を無効化する（Ｓ１０８）。更新処理プログラム２ｇを実行中の制御部２０は、更新に関する処理を行う外部装置と通信するための車内通信部２３以外の車内通信部２３に対し、例えばオフ信号を出力することにより、これら車内通信部２３を無効化し、当該車内通信部２３により中継が行われることを禁止する。

制御部２０は、更新に関する処理を行う外部装置と通信するための車内通信部２３以外の車内通信部２３に対する電力の供給を停止することにより、これら車内通信部２３により中継が行われることを禁止するものであってもよい。すなわち、制御部２０は、例えば、これら車内通信部２３に接続される電力線に設けられたスイッチをオフにすることにより、当該車内通信部２３に対する電力の供給を停止するものであってもよい。

車載中継装置２の制御部２０は、更新に関する処理を行う外部装置から更新プログラムを取得する（Ｓ１０９）。外部装置から取得した更新プログラムは、現時点まで自装置にて実行していた制御プログラム２ｃの新バージョンのプログラムに相当する。制御部２０は、ダイアグ装置５等の外部装置から更新プログラムを取得（受信）し、取得した更新プログラムを次回の起動時より実行する制御プログラム２ｃとして、記憶部２１のプログラム領域２１３（コードフラッシュ）に書き込み、当該記憶部２１にて記憶する。

車載中継装置２の制御部２０は、更新処理プログラム２ｇを終了する（Ｓ１１０）。制御部２０は、更新処理プログラム２ｇを終了する際、記憶部２１（共有領域２１６）に記憶されているネットワーク構成情報及び自装置の制御プログラム２ｃの更新に関する情報（キャンペーン情報）を削除するものであってもよい。制御部２０は、更新処理プログラム２ｇを終了することにより、車両Ｃの停止状態に応じて、例えば停止状態又は待機状態（スリープ）に遷移する。

これらネットワーク構成情報及び更新に関する情報を記憶部２１（共有領域２１６）から削除することにより、次回の車両Ｃの起動時に、車載中継装置２の制御部２０は、更新に関する情報は無い、すなわち自装置の制御プログラム２ｃの更新は不要であると判定する。これにより、車載中継装置２の制御部２０は、Ｓ１０９の処理で取得した更新プログラムを適用して、新バージョンによる制御プログラム２ｃを実行する。当該新バージョンの制御プログラム２ｃを実行することにより、車載ＥＣＵ３間の中継処理を行うゲートウェイ又はイーサスイッチとして機能する。制御部２０は、当該制御プログラム２ｃを実行するにあたり、まずは基本プログラム２ｂを実行し、当該基本プログラム２ｂ上にて制御プログラム２ｃを実行するものであってもよい。

本実施形態によれば、更新処理プログラム２ｇを実行する制御部２０は、制御プログラム２ｃから継承されたネットワーク構成情報を参照する。制御プログラム２ｃから継承されたネットワーク構成情報には、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定するための情報が含まれているため、更新処理プログラム２ｇを実行する制御部２０は、更新に関する処理にて用いる車内通信部２３を容易に特定することができる。

更新処理プログラム２ｇを実行する制御部２０は、更新に関する処理を行う外部装置と通信するための車内通信部２３を有効にし、更新に関する処理を行う外部装置と通信するための車内通信部２３以外の車内通信部２３を、例えば無効状態又は非活性状態にし、当該車内通信部２３よる通信を禁止する。従って、車載中継装置２は、自装置の制御プログラム２ｃを更新する処理（リプロ処理）を行う際、不要な車内通信部２３を介して不正なアクセスが行われることを防止し、制御プログラム２ｃの更新処理における安全性、信頼性を担保することができ、当該制御プログラム２ｃの更新を効率的に実施することができる。

本実施形態によれば、制御プログラム２ｃ及び更新処理プログラム２ｇの双方のプログラムを実行するにあたり、例えば、物理アドレスを用いて共有領域２１６にアクセスし、ネットワーク構成情報等の書き込み及び参照を行う。従って、制御プログラム２ｃ及び更新処理プログラム２ｇが同一の制御部２０によって選択的に実行される際、記憶部２１にアクセスする際に用いられる論理アドレスが個々のプログラムにおいて互換性が無い場合であっても、両プログラムが共にアクセスできる共有領域２１６を用いることにより、制御プログラム２ｃにて用いられるネットワーク構成情報を、更新処理プログラム２ｇに継承することができる。

本実施形態によれば、制御プログラム２ｃを実行中の制御部２０は、更新に関する情報の出力先に基づき、ネットワーク構成情報に含まれるリプロ用ポートのフィールドに格納される値（フラグ）を変更し、更新に関する処理を行う外部装置と通信するための車内通信部２３を特定する情報を、当該ネットワーク構成情報に反映する。従って、車載中継装置２が、当該外部装置と通信するための車内通信部２３を複数、有する場合であっても、更新処理プログラム２ｇを実行中の制御部２０は、制御プログラム２ｃから継承されたネットワーク構成情報を参照することにより、更新に関する処理を行う外部装置と通信するための車内通信部２３を確実に特定することができる。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

Ｃ 車両
Ｎ 車外ネットワーク
１００ 外部サーバ（外部装置）
１０１ 記憶部
１ 車外通信装置
１１ 車外通信部
１２ 車内通信部
１３ アンテナ
２ 車載中継装置
２０ 制御部
２１ 記憶部
２１１ ブートプログラム領域
２１２ 基本プログラム領域
２１３ プログラム領域
２１４ データ領域
２１５ 更新処理プログラム領域
２１６ 共有領域
２ａ ブートプログラム
２ｂ 基本プログラム
２ｃ 制御プログラム
２ｄ ダイアグプログラム
２ｅ セキュリティプログラム
２ｆ ＮＶＭ管理領域
２ｇ 更新処理プログラム
２Ａ 記録媒体
２２ 入出力Ｉ／Ｆ
２３ 車内通信部（通信部、第１通信部、第２通信部）
３ 車載ＥＣＵ
３０ 制御部
３１ 記憶部
３２ 車内通信部
４ 車内ＬＡＮ
４１ 通信線
５ ダイアグ装置（外部装置）
６ ＩＧスイッチ
７ 表示装置

Claims (7)

1. 車両に搭載される車載中継装置であって、
   前記車両に搭載された複数の車載ＥＣＵと通信するための第１通信部と、前記車両外の外部装置と通信するための第２通信部とを含む複数の通信部と、
   前記複数の車載ＥＣＵ間における通信の中継に関する制御を行う制御プログラムと、前記制御プログラムの更新に関する処理を行う更新処理プログラムと、前記複数の通信部に関するネットワーク構成情報とが記憶される記憶部と、
   前記記憶部に記憶される前記制御プログラム又は前記更新処理プログラムを選択的に実行する制御部とを備え、
   前記制御部は、
   前記制御プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される第１通信部を特定し、
   前記更新処理プログラムを実行する際、前記記憶部に記憶されるネットワーク構成情報を参照して、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部を特定し、該特定した外部装置と通信するための第２通信部以外の通信部による通信を禁止する
   車載中継装置。
2. 前記制御プログラムを実行中の制御部は、前記記憶部における物理アドレスに基づき、前記ネットワーク構成情報を前記記憶部の記憶領域に書き込み、
   前記更新処理プログラムを実行中の制御部は、前記記憶部における物理アドレスに基づき、前記ネットワーク構成情報が書き込まれた前記記憶領域を参照する
   請求項１に記載の車載中継装置。
3. 前記制御部は、特定した前記外部装置と通信するための第２通信部以外の通信部への給電を停止することにより、該通信部による通信を禁止する
   請求項１又は請求項２に記載の車載中継装置。
4. 前記車両外の外部装置は、前記第２通信部に接続されるダイアグ装置と、前記第２通信部に接続される車外通信装置を介して通信する外部サーバとを含み、
   前記ネットワーク構成情報には、前記複数の通信部それぞれを識別する識別子と、前記複数の通信部それぞれに接続される前記車載ＥＣＵ、前記車外通信装置及び前記ダイアグ装置を区分する情報とが関連付けられた情報が含まれており、
   前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記ダイアグ装置又は前記車外通信装置が接続される第２通信部である
   請求項１から請求項３のいずれか１項に記載の車載中継装置。
5. 前記車両外の外部装置は、前記第２通信部に接続されるダイアグ装置と、前記第２通信部に接続される車外通信装置を介して通信する外部サーバとを含み、
   前記ネットワーク構成情報には、前記複数の通信部それぞれを識別する識別子と、前記複数の通信部それぞれに接続される前記車載ＥＣＵ、前記車外通信装置及び前記ダイアグ装置を区分する情報とが関連付けられた情報が含まれており、
   前記制御プログラムを実行中の制御部は、
   前記ダイアグ装置から出力された更新に関する情報を取得した場合、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記ダイアグ装置が接続される第２通信部である旨を前記ネットワーク構成情報に含め、
   前記外部サーバから出力された更新に関する情報を取得した場合、前記制御プログラムの更新に関する処理を行う外部装置と通信するための第２通信部は、前記車外通信装置が接続される第２通信部である旨をネットワーク構成情報に含める
   請求項１から請求項３のいずれか１項に記載の車載中継装置。
6. コンピュータに、
   複数の車載ＥＣＵ間における通信の中継に関する制御と、前記中継に関する制御を行うためのプログラムの更新に関する処理とを、選択的に実行させ、
   前記中継に関する制御を実行させる際、記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される通信部を特定し、
   前記更新に関する処理を実行させる際、前記記憶部に記憶されるネットワーク構成情報を参照して、更新に関する処理を行う外部装置と通信するための通信部を特定し、該特定した通信部以外の通信部による通信を禁止する
   処理を実行させる情報処理方法。
7. コンピュータに、
   複数の車載ＥＣＵ間における通信の中継に関する制御と、前記中継に関する制御を行うためのプログラムの更新に関する処理とを、選択的に実行させ、
   前記中継に関する制御を実行させる際、記憶部に記憶されるネットワーク構成情報を参照して、中継先となるいずれかの車載ＥＣＵが接続される通信部を特定し、
   前記更新に関する処理を実行させる際、前記記憶部に記憶されるネットワーク構成情報を参照して、更新に関する処理を行う外部装置と通信するための通信部を特定し、該特定した通信部以外の通信部による通信を禁止する
   処理を実行させるプログラム。

Images