JP4487007B2 - 車載プログラムの書き換え制御システム - Google Patents

Description

本発明は車載プログラムを書き換える制御を行うシステムに関するものである。

近年開発されている建設機械には、車体の現在位置、サービスメータの計時値（累積稼動時間）、車体内で発生したエラーコードの過去の履歴などの車両状態の情報（以下車両状態データ）を収集するコントローラなどの各種コントローラが搭載されている。こうした車載コントローラ内には、ＣＰＵが設けられており、フラッシュメモリなどのＥＥＰＲＯＭ（電気的に消去可能なＲＯＭ）に記憶された車載プログラムにしたがい演算処理を実行し車両状態データの収集、外部との送受信等の処理を行う。たとえば車載のコントローラと外部のサーバとはインターネット等の通信手段を介して通信自在に接続されており、車載コントローラで収集された車両状態データがサーバに送信される。あるいはサービスマンが建設機械まで出向き車載コントローラにパーソナルコンピュータを接続して車両状態データをパーソナルコンピュータに取り込む。

車載プログラムをバージョンアップした場合や車両ごとにエラーコード生成、異常判断のためのしきい値等を変更したい場合には、上記フラッシュメモリに記憶された旧い車載プログラムを新しい車載プログラムに書き換える必要がある。

（従来技術１）
特許文献１（特開平１０−２１２７３９号公報）には、建設機械に関し、その稼動データ収集用のコントローラを設けるとともに、遠隔地にサーバとして機能もつ監視装置を設けて、これら稼動データ収集用コントローラと監視装置とを通信装置によって接続して、監視装置からの要求に応じて稼動データ収集用コントローラ内の稼動データ処理プログラムを書き換えるという発明が記載されている。通常運用時には建設機械内の稼動データ収集用コントローラは、稼動データ処理プログラムにしたがい稼動データを収集しこれを処理して、監視装置からの要求に応じて、処理した稼動データを監視装置に送信する。書き換え時には監視装置から新しい稼動データ処理プログラムが建設機械に送信され、建設機械内の稼動データ収集用コントローラで旧い稼動データ処理プログラムが新しい稼動データ処理プログラムに書き換えられる。

遠隔地にあるサーバ（監視装置）からリモートで建設機械内の車載プログラムを書き換えている途中で、通信異常やハングアップが発生することがある。このように車載プログラム書き換え処理中に異常が発生すると、車載プログラムがその後起動せず車載コントローラ自体が機能しなくなり、通常運用時に車両状態データの収集が不可能になるおそれがある。特に遠隔地からリモートで書き換え処理を行っているような場合には、通信異常やハングアップが発生するたびに遠隔地よりサービスマンが建設機械まで出向き車載コントローラを交換したり修理しなければならず、建設機械の作業効率が大幅に損なわれるとともに、回復に多大な人手、時間、工数を要する。

また車載プログラムのデータ量は数百キロバイトと大きいため、サーバ（監視装置）から多数の建設機械を対象として車載プログラムを送信しているような場合には、通信路が混雑してしまい書き換え処理に長時間を要することがある。このような場合、通信路は書き換え処理のための通信に占有されてしまい通常の運用処理のための通信が長時間にわたって中断されるおそれがある。

この点、上記特許文献１には、通信路が書き換え処理のために占有されることによる問題点の指摘や、それを回避するための措置についての記載はない。

本発明はこうした実状に鑑みてなされたものであり、書き換え処理を行っている途中に通信異常やハングアップなどの異常が発生した場合であったとしても、その後車載コントローラの機能を維持して通常の運用処理を確実に行えるようにして作業効率低下を防止するとともに、書き換え処理のための通信によって通信路が長時間占有されることを回避して通常の運用処理のための通信を確保することを解決課題とするものである。

第１発明は、
サーバと車両内の情報収集コントローラとが通信手段によって相互に通信可能に接続された車載プログラムの書き換え制御システムであって、
情報収集コントローラ内には、車両状態データと、車両状態データを生成する演算処理を行う車載プログラムと、現在の車載プログラムを新しい車載プログラムに書き換える書き換え制御プログラムがそれぞれ所定の記憶領域に記憶されており、
情報収集コントローラは、サーバと情報収集コントローラ間の通信状態が通常運用モードであるときには、車載プログラムにしたがい演算処理を行い、生成された車両状態データを通信手段を介してサーバに送信する処理を行い、サーバと情報収集コントローラ間の通信状態が書き換えモードであるときには、現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理を行うものであり、
サーバから現在の車載プログラムを新しい車載プログラムに書き換える書き換え指令が通信手段を介して送信されて車両内の情報収集コントローラに取り込まれると、これを受けて通常運用モードから書き換えモードに切り換わり、
書き換えタスクとタイマタスクを開始し、
書き換えタスクでは、
サーバで、車両状態データをチェックし、書き換え処理が可能か不可能かを判断する処理と、
サーバから判断結果を通信手段を介して車両内の情報収集コントローラに送信する処理と、
書き換え処理が可能であると判断された場合に、サーバから新しい車載プログラムを通信手段を介して車両内の情報収集コントローラに送信する処理と、
書き換え処理が可能であると判断された場合に、情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理と
が実行され、
タイマタスクでは、
タイマをセットし、指定された時間が経過したか否かを判断する処理と、
指定された時間が経過した場合に、所定の記憶領域に記憶されている現在の車載プログラムを起動して、書き換えモードから通常運用モードに切り換える処理と
が実行されること
を特徴とする。

第２発明は、第１発明において、
書き換えタスクでは、
情報収集コントローラから車両状態データを通信手段を介してサーバに送信する処理と、
サーバで、送信された車両状態データをチェックし、書き換え処理が可能か不可能かを判断する処理と、
サーバから判断結果を通信手段を介して車両内の情報収集コントローラに送信する処理と、
書き換え処理が可能であると判断された場合に、サーバから新しい車載プログラムを通信手段を介して車両内の情報収集コントローラに送信する処理と、
書き換え処理が可能であると判断された場合に、情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理と
が実行されること
を特徴とする。

本発明によれば、図２のステップ１０１〜１０７に示すように、書き換え専用サーバ３から通信手段１５、８、９、１０、１１を介して新しい車載プログラム６０に書き換える指令が情報収集コントローラ２０に与えられると、書き換え制御プログラム６１が起動されて書き換え処理が実行される（書き換えモード）。

書き換えが正常に終了した場合には、タイマはセット時間Ｔが経過する前にクリアされ、新しい車載プログラム６０に書き換えられる。

これに対して書き換えの途中で通信異常やハングアップが発生すると、タイマのセット時間Ｔを超えても書き換え処理が終了しないことになり（ステップ１０８の判断ＹＥＳ）、リセット処理を実行し、旧い車載プログラム６０′が起動される。更に建設機械５０とサーバとの通信状態が書き換えモードから通常運用モードに切り換えられて（通常運用モード）、以後通常運用サーバ２と建設機械５０との間での通信接続が可能となり通常運用処理を行うことができる（ステップ１０９）。

本発明によれば、書き換え処理を行っている途中に通信異常やハングアップなどの異常が発生した場合であっても確実に旧い車載プログラム６０′を起動させて情報収集コントローラ２０の機能を維持することができる。このため通常の運用処理を確実に行うことができ情報収集コントローラ２０が機能しなくなることによる作業効率低下を防止することができる。またタイマのセット時間Ｔが経過すれば書き換えモードから通常運用モードに移行するので、書き換え処理のための通信によって通信路が長時間占有されることが回避され通常の運用処理のための通信を確保して通常の運用処理に支障を来さないようにすることができる。

またログアウト手段によって、任意の時期に書き換え専用サーバ３との通信接続を断ち、書き換えモードを通常運用モードに切り換えてもよい。

本発明は、１つのサーバたとえば通常運用サーバ２で、書き換えモードから通常運用モードに復帰させる場合にも適用することができる。

図１は実施形態の全体の装置構成を示している。なお以下の実施形態では車両として建設機械５０を想定し、この建設機械５０内の車載プログラム６０を書き換え専用サーバ３からの要求に応じてリモートで書き換える場合を想定する。

本実施形態のシステムでは、建設機械５０が通常運用サーバ２、書き換え専用サーバ３とにそれぞれ通信手段（無線通信１１、アンテナ１０、専用線９、地上波基地局８、専用線１４、１５）より相互に送受信自在に接続されている。

通常運用サーバ２は、イントラネット４の中に位置し、インターネット７に接続している。これにより通常運用サーバ２は、インターネット７、イントラネット４の各クライアント端末のサーバとして機能する。この通常運用サーバ２には、ネットワーク中の自己を識別するＩＤ（サーバ識別ＩＤ）であるＩＰアドレス「ＩＤ１」が付与されている。建設機械５０には通常運用サーバ２と通信可能な後述する通信端末（通信コントローラ３０）が搭載されており、この通信端末にはサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ３」が付与されている（図１０参照）。

書き換え専用サーバ３は、イントラネット５の中に位置し、インターネット７に接続している。これにより書き換え専用サーバ３は、インターネット７、イントラネット５の各クライアント端末のサーバとして機能する。この書き換え専用サーバ３には、ネットワーク中の自己を識別するＩＤ（サーバ識別ＩＤ）であるＩＰアドレス「ＩＤ２」が付与されている。建設機械５０には書き換え専用サーバ３と通信可能な後述する通信端末（通信コントローラ３０）が搭載されており、この通信端末にはサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ４」が付与されている（図１０参照）。

他の建設機械とサーバとの対応関係も同様である。

図１０は複数の建設機械５０、５０ａ、５０ｂ…と通常運用サーバ２、書き換え専用サーバ３との対応関係を示している。

建設機械５０ａ内の通信端末には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ５」が付与されているとともに、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ６」が付与されている。

また建設機械５０ｂ内の通信端末には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ７」が付与されているとともに、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ８」が付与されている。

各ＩＤ１、ＩＤ３、ＩＤ５、ＩＤ７…で特定されるサーバ、通信端末は１つのイントラネット４を構成している。

また各ＩＤ２、ＩＤ４、ＩＤ６、ＩＤ８…で特定されるサーバ、通信端末は１つのイントラネット５を構成している。

建設機械５０の車体内には、パケットデータ通信用の無線機を内蔵した通信コントローラ３０が設けられている。通信コントローラ３０のアンテナ３１と地上波用のアンテナ１０との間でパケット通信による無線通信１１が行われる。アンテナ１０は専用線９を介して地上波基地局８に接続している。地上波基地局１０は、たとえば携帯電話基地局である。地上波基地局１０は、専用線１４、１５を介してイントラネット４、５にそれぞれ接続している。

建設機械５０の車体内には、通信コントローラ３０以外に情報収集コントローラ２０、エンジンコントローラ４０等の各コントローラが設けられており、これら各コントローラは、所定の通信プロトコルにしたがって通信が行われる車体内通信回線５１によって相互に通信可能に接続されている。

建設機械５０の車体の各部には、エンジン５７の冷却水、バッテリ５３の電圧、ＧＰＳセンサなどが配設されており、これら各センサはセンサ群５２を構成している。なおＧＰＳセンサはＧＰＳ衛星から送信される電波を受信して、自己の建設機械５０の絶対位置を検出する。また建設機械５０の車体内には、カレンダ、タイマが設けられている。カレンダ、タイマは、年、月、日、時刻（時、分、秒）を計時する。また建設機械５０の車体内にはサービスメータＳＭＲが設けられている。サービスメータＳＭＲはエンジン５７の累積稼動時間を計時する。

情報収集コントローラ２０内では、バス線２４を介して、ＣＰＵ２１とフラッシュメモリ２２とＲＡＭ（随時書き込み読み出しメモり）２３とが相互にデータの入出力が自在に接続されている。なおフラッシュメモリ２２は、ＥＥＰＲＯＭ（電気的に消去可能なＲＯＭ）の一種である。またＲＡＭ２３の代わりにフラッシュメモリなどのＥＥＰＲＯＭを用いてもよい。フラッシュメモリ２２の所定記憶領域には、後述するように、車載プログラム６０が記憶されている。またフラッシュメモリ２２の所定記憶領域には、後述するように車載プログラム６０を書き換える書き換え処理を行う書き換え制御プログラム６１記憶されている。

ＣＰＵ２１は車載プログラム６０にしたがい演算処理を行い、車両状態データを生成する。車両状態データはＲＡＭ２３のデータ領域に記憶される。

たとえば始動ロックが有効と設定されている場合には、カレンダ、タイマの計時値等を取り込んで、設定された始動ロック時間帯になると始動ロック設定指令を出力して後述する始動ロックを行い始動ロック時間帯外の時間になると始動ロック解除指令を出力する処理を行う。

ＲＡＭ２３のデータ領域には、以下のような車両状態データが記憶される。

・自己のＩＰアドレス（ＩＤ３、ＩＤ４）
・車載プログラム６０の現在のバージョン
・通信端末（通信コントローラ３０）の開局検査が完了したという開局検査完了情報
・建設機械５０の機種、型式、機番
・サービスメータＳＭＲの計時値（累積稼動時間）
・バッテリ５３の現在の端子電圧（バッテリ端子電圧情報）
・冷却水の温度
・ＧＰＳセンサで検出された自己の車両の現在の絶対位置（絶対位置情報）
・車体内で発生したエラーコードの履歴
・現在キースイッチ５４がオンされている（ＡＣＣ位置にある）か否かを示すキースイッチ情報
・現在始動ロックが有効か無効であるか、現在設定されている始動ロックの時間帯などの始動ロック情報
バス線２４は情報収集コントローラ２０外のサービスメータＳＭＲ、センサ群５２にインターフェースを介して接続しており、またバス線２４はコントローラ２０外の車体内通信回線５１にインターフェースを介して接続している。

なお本実施形態では、通信コントローラ３０と情報収集コントローラ２０とを別体にして、通信端末である通信コントローラ３０のＩＰアドレス「ＩＤ３」、「ＩＤ４」を情報収集コントローラ２０に設定しているが、通信端末としての通信コントローラ３０と情報収集コントローラ２０の機能を１つのコントローラで達成するように構成してもよい。

建設機械５０の車体内には、始動ロック回路５５が組み込まれている。

この始動ロック回路５５はリレー等で構成されキースイッチ５４と、エンジン５７を始動するスタータ５６との間に介在されている。スタータ５６の電源は車載のバッテリ５３であり、このバッテリ５３は各コントローラ２０、３０、４０の電源でもある。

始動ロック設定指令がエンジンコントローラ４０から出力されると、始動ロック回路５５のリレーが付勢されて始動ロック設定状態になる。すなわちキースイッチ５４がオン（ＡＣＣ位置）されたとしても、バッテリ５３の端子電圧がスタータ５６には印加されなくなる。これによりスタータ５６が作動不能の状態となりエンジン５７を始動することができなくなる。これに対してエンジンコントローラ４０から始動ロック解除指令が出力されると始動ロック回路５５のリレーが消勢されて始動ロック解除状態になる。すなわちキースイッチ５４をオン（ＡＣＣ位置）にすることによってスタータ５６が作動してエンジン５７を始動することができる。上記始動ロック設定指令、始動ロック解除指令は、車載プログラム６０にしたがい情報収集コントローラ２０から車体内通信回線５１を介してエンジンコントローラ４０に与えられる。始動ロック設定指令、始動ロック解除指令は、現在始動ロックが「有効」と設定されている場合に、情報収集コントローラ２０から出力される。なお始動ロック時間帯に入ったか否かは情報収集コントローラ２０内のカレンダ、タイマの計時値に基づき判断される。

またキースイッチ５４がオンされた（ＡＣＣ位置にある）という情報は、エンジンコントローラ４０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。

・サーバの切り換え制御
通常運用サーバ２は、建設機械５０を含む複数の建設機械内の車両状態データを管理している。

書き換え専用サーバ３は、車載プログラム６０の書き換えをリモートで行うサーバである。

通常運用サーバ２は、マスターファイル６を備えている。通常運用サーバ２に取り込まれた最新の車両状態データはマスターファイル６に格納される。

一方、書き換え専用サーバ３は、マスターファイル６′を備えている。通常運用サーバ２内のマスターファイル６の記憶データは、インターネット７を介して書き換え専用サーバ３内に取り込まれ、マスターファイル６と同記憶内容つまり「レプリカ」としてのマスターファイル６′が作成される。

つぎに図８を併せ参照して建設機械５０がいずれのサーバと接続を確立するかその接続切り換えの制御について説明する。

初期状態では、建設機械５０の車載コントローラ２０には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「有効」と設定されており、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「無効」と設定されている（通常運用モード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ３」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる。

通常運用サーバ２から建設機械５０の車両状態データを要求する指令が、専用線１４、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信されると、建設機械５０のアンテナ３１で受信され、このデータは通信コントローラ３０に取り込まれる。通常運用サーバ２から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ１」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ３」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ１」が含まれているので、両者は対応している（「ＩＤ１」、「ＩＤ３」であり同一ネットワークである）と判断して、通信接続を確立し、建設機械５０側から車両状態データの送信が可能な状態にする（図８のステップ４０１の判断ＹＥＳ）。

このため車両状態データを要求する指令が通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。たとえば現在のサービスメータＳＭＲの計時値を要求する指令が情報収集コントローラ２０内に取り込まれると、ＲＡＭ２３のデータ領域に記憶されている現在のサービスメータＳＭＲの計時値が情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０内に取り込まれ、通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１４を介して通常運用サーバ２に取り込まれる。

また始動ロックの有効、無効、始動ロック時間帯という始動ロック情報を設定する指令が通常運用サーバ２から建設機械５０に送信された場合についても同様にして、情報収集コントローラ２０に指令された始動ロック情報が設定される。

なお通常運用サーバ２の各クライアント端末から通常運用サーバ２を介して建設機械５０に対して同様な指令を与えるようにしてもよい。

また建設機械５０で特定の異常が発生したり、特定の時刻になるなど特定のイベントが発生した場合には、そのイベント発生時点でＲＡＭ２３に記憶されている異常内容や定期的に送信すべき車両状態データなどが情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０内に取り込まれ、通信コントローラ３０のアンテナ３１から無線通信１１として送信される（自動発信）。自動発信された車両状態データは、アンテナ１０、専用線９、地上波基地局８、専用線１４を介して通常運用サーバ２に取り込まれる。

通常運用サーバ２に取り込まれた建設機械５０の車両状態データは、通常運用サーバ２に属するネットワーク、つまりインターネット７、イントラネット４に接続されている各クライアント端末から通常運用サーバ２にアクセスすることにより各クライアント端末の表示画面に表示される。

通常運用サーバ２に取り込まれた最新の車両状態データはマスターファイル６に格納されるとともに、インターネット７を介してマスターファイル６′に格納される（図８のステップ４０５）。

車載プログラム６０をバージョンアップした場合や建設機械ごとにエラーコード生成や異常判断のためのしきい値等を変更したい場合には、上記フラッシュメモリ２２に記憶されている旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられる。なお以下の説明では旧い車載プログラム６０にダッシュを付与して新しい車載プログラム６０と区別する。

書き換え専用サーバ３から建設機械５０の車載プログラム６０を書き換える指令が専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信されると、建設機械５０のアンテナ３１で受信され、このデータは通信コントローラ３０内に取り込まれる。

書き換え専用サーバ３から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ２」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ３」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ２」が含まれているので、両者は対応していない（「ＩＤ２」、「ＩＤ３」であり同一のネットワークではない）と判断して、通信接続を切断する（図８のステップ４０１の判断ＮＯ）。

識別ＩＤが不一致により通信接続が切断されたという情報は通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０では、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「有効」に切り換えられ、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「無効」に切り換えられる（書き換えモード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ４」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる（図８のステップ４０２）。

書き換え専用サーバ３は、通信接続が切断されたことを受けて書き換え指令を建設機械５０に対して再度送信する。書き換え専用サーバ３から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ２」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ４」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ２」が含まれているので、両者は対応している（「ＩＤ２」、「ＩＤ４」であり同一ネットワークである）と判断して、通信接続を確立する（図８のステップ４０３の判断ＹＥＳ）。

以後、一定の条件をクリアすることを前提として、書き換え専用サーバ３からの指令に応じて情報収集コントローラ２０で車載プログラム６０を書き換える処理が行われる（図８のステップ４０４）。

以上のように本実施形態によれば、建設機械５０と通常運用サーバ２、書き換え専用サーバ３といった各サーバとの間で通信接続を切り換えることができる。このため図１０に示すように多数の建設機械５０、５０ａ、５０ｂ…が存在する場合に、ある建設機械と通常運用サーバ２との通信接続を確立して通常運用処理を行いつつ、これと並行して他の建設機械と書き換え専用サーバ３との通信接続を確立して書き換え処理を行うことができる。このためサーバに高い負荷がかかったりデータ量の大きいプログラムの送信によって通信路が占有されることがなくなり、サーバと多数の建設機械との間でデータの送受信が安定して行われる。

書き換え専用サーバ３からの指令に応じて車載プログラム６０を書き換える処理の手順は図２に示される。

・通常運用モードへの復帰制御
同図２に示すように、図８のステップ４０３で建設機械５０と書き換え専用サーバ３との間で通信接続が確立すると（図２のステップ１０１）、情報収集コントローラ２０でタイマがセットされ、タイマタスクが実行される（ステップ１０２、１０８、１０９）。

ここでタイマのセット時間は、書き換え処理に要する時間に余裕を見込んだ時間Ｔに設定される。

情報収集コントローラ２０はマルチタスクで動作しておりタイマタスクは他タスクつまり書き換えタスク（ステップ１０３〜１０７）とは独立して動作する。このため他タスクが暴走したとしてもタイマタスクが確実に動作して自己リセット処理により旧車載プログラム６０′を起動させることが可能になる（ステップ１０９）。

書き換えタスク（ステップ１０３〜１０７）が正常に終了した場合には、タイマはセット時間Ｔが経過する前にクリアされ、新しい車載プログラム６０に書き換えられる。

これに対して書き換えタスク（ステップ１０３〜１０７）の途中で通信異常やハングアップが発生すると、タイマのセット時間Ｔを超えても書き換え処理が終了しないことになり（ステップ１０８の判断ＹＥＳ）、リセット処理を実行し、旧い車載プログラム６０′が起動される。

更に建設機械５０とサーバとの通信状態が書き換えモードから通常運用モードに切り換えられる。すなわち情報収集コントローラ２０では、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「無効」に復帰され、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「有効」に復帰される（通常運用モード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ３」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる。このため以後通常運用サーバ２と建設機械５０との間での通信接続が可能となり通常運用処理を行うことができる（ステップ１０９）。

以上のように本実施形態によれば、書き換え処理を行っている途中に通信異常やハングアップなどの異常が発生した場合であっても確実に旧い車載プログラム６０′を起動させて情報収集コントローラ２０の機能を維持することができる。このため通常の運用処理を確実に行うことができ情報収集コントローラ２０が機能しなくなることによる作業効率低下を防止することができる。またタイマのセット時間Ｔが経過すれば書き換えモードから通常運用モードに移行するので、書き換え処理のための通信によって通信路が長時間占有されることが回避され通常の運用処理のための通信を確保して通常の運用処理に支障を来さないようにすることができる。

またログアウト手段を設け、任意の時期に書き換え専用サーバ３との通信接続を断ち、書き換えモードを通常運用モードに切り換えてもよい。

・車両状態データのチェック処理
図２のステップ１０１で書き換え専用サーバ３と建設機械５０の通信コントローラ３０との通信接続が確立されると、書き換え専用サーバ３から送信されてきた書き換え指令が通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。

情報収集コントローラ２０が書き換え指令を受けると、つぎのステップ１０３で、まず現在の車両状態データをチェックする処理が実行され、更につぎのステップ１０４で、チェック結果に応じて車載プログラム６０の書き換え処理を実行すべきか否か（書き換え処理が可能か否か）の判断処理が実行される。

ステップ１０３、１０４のチェック処理、判断処理は、書き換え専用サーバ３で行われる。すなわち情報収集コントローラ２０は書き換え指令を受けると、チェックすべき車両状態データを情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０に送信する。このためチェックすべき車両状態データは通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。

書き換え専用サーバ３は、受信した車両状態データをチェックし、つぎの条件がすべて満たされていることを条件として、書き換え処理を実行すべきと判断する。

１）始動ロック中ではないこと
２）建設機械５０が稼動中ではないこと
３）現在の旧い車載プログラム６０′が書き換え対象のバージョンであること
上記１）の「始動ロック中ではないこと」を書き換え処理の実行の条件としたのは、書き換え処理の途中で情報収集コントローラ２０が機能しなくなるおそれがあり、情報収集コントローラ２０が機能しなくなることにより始動ロックを解除する指令を出力できなくなるおそれがあるからである。建設機械５０は過酷な状況で稼動されることが多く、たとえば建設機械の周囲が崖であったり周囲に倒壊物があるような状況下で始動ロック解除が不可能になると、危険に晒されることになる。

「始動ロック中ではないこと」は、情報収集コントローラ２０に記憶されている始動ロック情報に基づき判断される。たとえば始動ロックが「無効」に設定されている場合、始動ロックが「有効」かつ現在の時刻が始動ロック時間帯外である場合に、「始動ロック中ではない」と判断される。

上記２）の「建設機械５０が稼動中ではないこと」を書き換え処理の条件としたのは、稼動中の建設機械５０に新しい車載プログラム６０を送信中に、稼動状態によっては（たとえば走行中）通信が途絶えたり通信が不安定になり、書き換え処理が正常に終了しないおそれがあるからである。

「建設機械５０が稼動中ではないこと」は、情報収集コントローラ２０に記憶されているキースイッチ情報に基づき判断される。たとえばキースイッチ５４がオフされている（ＡＣＣ位置オフ）である場合に、「建設機械５０が稼動中ではない」と判断される。なお建設機械５０が稼動中であるか否かは、オルタネータの端子電圧を検出したり、エンジン５７の回転数を検出したりすることによっても、判断することができる。

上記３）の「現在の旧い車載プログラム６０′が書き換え対象のバージョンであること」を条件としたのは、当然に書き換え処理を行う必要がないからである。前述したように現在の車載プログラムのバージョンは、車両状態データとして情報収集コントローラ２０に記憶されている。

そのほかに以下の条件を適宜加えるようにしてもよい。

４）開局検査が完了した通信端末（通信コントローラ３０）であること
５）バッテリ端子電圧が正常範囲であること
６）建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること
上記４）の「開局検査が完了した通信端末（通信コントローラ３０）であること」を条件としたのは、サーバ側で建設機械５０を管理する準備ができていないからである。

上記５）の「バッテリ端子電圧が正常範囲であること」を条件としたのは、バッテリ５３の端子電圧が正常範囲から外れていると、情報収集コントローラ２０のＣＰＵ２１を安定して動作することができず書き換え処理が正常に終了しないおそれがあるからである。「バッテリ端子電圧が正常範囲であること」は情報収集コントローラ２０に記憶されているバッテリ端子電圧情報に基づき判断される。

上記６）の「建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること」を条件としたのは、建設機械５０に新しい車載プログラム６０を送信中に、通信が途絶えたり通信が不安定になり、書き換え処理が正常に終了しないおそれがあるからである。またコントローラが機能しなくなったとしても建設機械５０の安全が確保されるからである。「建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること」は情報収集コントローラ２０に記憶されている絶対位置情報に基づき判断される。

なお上記条件１）〜６）がすべて満たされることを書き換え処理実行の条件とするのではなく、これら１）〜６）のうちいずれか１つあるいは２以上の組合せを書き換え処理実行の条件としてもよい。

書き換え専用サーバ３は、情報収集コントローラ２０に記憶されている車両状態データを参照して書き換え処理実行の可否を判断するようにしているが、マスターファイル６′には、建設機械５０の最新の車両状態データが格納されているので、マスターファイル６′に格納されている車両状態データを参照して書き換え処理実行の可否を判断してもよい。また情報収集コントローラ２０に記憶されている車両状態データとマスターファイル６′に格納されている車両状態データを併せ参照して書き換え処理実行の可否を判断してもよい。

図７は、情報収集コントローラ２０に記憶されている車両状態データとマスターファイル６′に格納されている車両状態データを併せ参照する場合に、両者のデータを検証する処理の手順を示している。

すなわち書き換え専用サーバ３と建設機械５０の通信コントローラ３０との通信接続が確立されると（ステップ３０１）、建設機械５０より、情報収集コントローラ２０内部のチェックすべき車両状態データが書き換え専用サーバ３に送信され、書き換え専用サーバ３で取得される（ステップ３０２）。一方書き換え専用サーバ３はマスターファイル６′を参照して同じチェックすべき車両状態データを取得している。そこでマスターファイル６′を参照して予め取得しておいた車両状態データと情報収集コントローラ２０内部より取得された車両状態データとを比較して（ステップ３０３）、両者が同一であるか否かが判断される。たとえば始動ロック情報についてマスターファイル６′のデータと情報収集コントローラ２０内部のデータとが同一であるかが判断される（ステップ３０４）。

この結果両者が同一である場合には（ステップ３０４の判断Ｙ）、図２のステップ１０３のチェック処理が実行され、更に図２のステップ１０４の書き換え可否判断処理が実行されることになる（ステップ３０５）。しかし両者が同一でない場合には（ステップ３０５の判断Ｎ）、以降のチェック処理、書き換え可否判断処理を中断して、データが異なる原因を解析する処理が実行される（ステップ３０６）。

書き換え専用サーバ３が、書き換え処理を実行すべきと判断した場合には（図２のステップ１０４の判断ＹＥＳ）、書き換え専用サーバ３から建設機械５０にその旨のデータが送信されて、以後情報収集コントローラ２０で旧い車載プログラム６０′を新しい車載プログラム６０に書き換える実行されることになる（ステップ１０５、１０６、１０７）。しかし書き換え専用サーバ３が、書き換え処理を実行すべきでないと判断した場合には（図２のステップ１０４の判断ＮＯ）、書き換え専用サーバ３から建設機械５０にその旨のデータが送信されて情報収集コントローラ２０に取り込まれる。情報収集コントローラ２０はこれを受けて、タイマがセット時間Ｔを超えた場合と同様に、リセット処理を実行し、旧い車載プログラム６０′を起動させる。更に建設機械５０とサーバとの通信状態が書き換えモードから通常運用モードに切り換えられる。このため以後通常運用サーバ２と建設機械５０との間での通信接続が可能となり、通常運用処理を行うことができる（ステップ１０９）。

以上のように本実施形態によれば、書き換え処理にあたり車両状態データを事前にチェックするようにしたので、書き換え処理が正常に終了しなくなる事態や危険な状態になることを事前に回避することができる。特に始動ロック状態のまま情報収集コントローラ２０が機能しなくなる事態を回避できるので、稼働率が低下する事態を事前に回避することができる。

・書き換え処理（車両状態データの退避処理）
つぎに図２に図３を併せ参照して、図２のステップ１０５、１０６、１０７の書き換え処理について説明する。図３（ａ）〜（ｆ）はフラッシュメモリ２２、ＲＡＭ２３の状態の遷移を示している。

このうち図３（ａ）は書き換え前のフラッシュメモリ２２、ＲＡＭ２３の状態を示している。同図３（ａ）に示すように、フラッシュメモリ２２のプログラム領域には、車載プログラム６０′が記憶されている。なおフラッシュメモリ２２の図示していない記憶領域には書き換え制御プログラム６１が記憶されている。

書き換え制御プログラム６１は、旧い車載プログラム６０′を新しい車載プログラム６０に書き換える処理を行うプログラムである。

ＲＡＭ２３はワーク領域２３ａ、２３ｃと車両状態データ６０ｄが記憶されているデータ領域２３ｂとからなる。ワーク領域２３ａ、２３ｃは空容量の領域である。

書き換え専用サーバ３が、書き換え処理を実行すべきと判断した場合には（図２のステップ１０４の判断ＹＥＳ）、書き換え専用サーバ３からその旨のデータが専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信され、建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｂ）に示すようにＲＡＭ２３のデータ領域２３ｂから車両状態データ６０ｄを読み出し、これを情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０に送信する。このため車両状態データ６０ｄは通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。

書き換え専用サーバ３は、車両状態データ６０ｄをサーバ３内の所定の記憶媒体に記憶させ退避させる（図２のステップ１０５）。

書き換え専用サーバ３に車両状態データ６０ｄが退避されると、書き換え専用サーバ３から新しい車載プログラム６０が専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信され、建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｃ）に示すように、受信した新しい車載プログラム６０をＲＡＭ２３のテンポラリ領域２３ｄに一時的にバッファする。このテンポラリ領域２３ｄは、ワーク領域２３ａ、２３ｃのみならずデータ領域２３ｂを含んでいる。すなわち新しい車載プログラム６０の容量はＲＡＭ２３全体の領域に相当する程度に大きい場合が多いが、車両状態データ６０ｄを退避させてデータ領域２３ｂを新しい車載プログラム６０のバッファ領域として使用することができるようになったので、確実にＲＡＭ２３上に大容量の新しい車載プログラム６０をバッファすることができるようになる。

なおフラッシュメモリ２２に記憶されている書き換え制御プログラム６１はＲＡＭ２３の所定の記憶領域にコピーされ、これによりコピーされたＲＡＭ２３上の書き換え制御プログラム６１にシステム制御権が移され、フラッシュメモリ２２は書き換えモードとなる。このため以後図３（ｄ）に示すように、ＲＡＭ２３上の書き込み制御プログラム６１にしたがい、フラッシュメモリ２２上の旧い車載プログラム６０′がＲＡＭ２３上の新しい車載プログラム６０によって書き換えられる。すなわちＲＡＭ２３のテンポラリ領域２３ｄにバッファされている新しい車載プログラム６０をＣＲＣチェックした後、この新しい車載プログラム６０がフラッシュメモリ２２のプログラム領域、つまり旧い車載プログラム６０′が記憶されている領域にコピーされ、旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられる（図２のステップ１０６）。

図３（ｅ）に示すように新しい車載プログラム６０がフラッシュメモリ２２にコピーされると、情報収集コントローラ２０からその旨のデータが車体通信回線５１を介して通信コントローラ３０に送信され、更に通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。

書き換え専用サーバ３は、これを受けて、記憶媒体に退避されていた車両状態データ６０ｄを専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信する。車両状態データ６０ｄは建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｆ）に示すように、受信した車両状態データ６０ｄをＲＡＭ２３の元のデータ領域２３ｂに書き込み戻す処理を行う（ステップ１０７）。

なお書き換え処理が終了するとＣＰＵ２１は自己リセット処理を行う。このためシステム制御権がフラッシュメモリ２２に移され、フラッシュメモリ２２が通常モードになり、フラッシュメモリ２２のプログラム領域に記憶されている新しい車載プログラム６０が起動する。

ところで、旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられると、車両状態データ６０ｄのアドレスが変更されることがある。そこで書き換え専用サーバ３に車両状態データ６０ｄが退避されている間に、新しい車載プログラム６０に対応するように車両状態データ６０ｄのアドレスを変更するなど、車両状態データ６０ｄを書き換える処理を行い、書き換えられた車両状態データ６０ｄを、ＲＡＭ２３の元のデータ領域２３ｂに書き込み戻すようにしてもよい。

以上のように本実施形態によれば、サービスメータＳＭＲの計時値（累積稼動時間）や車体内で発生した過去のエラー履歴など、書き換え処理にあたってリセットされてはならない継承したい車両状態データ６０ｄを、書き換え処理の際に、ＲＡＭ２３のデータ領域２３ｂから書き換え専用サーバ３の記憶媒体に退避させておき書き換え処理終了後に、元のデータ領域２３ｂに書き込み戻すようにしたので、継承したい車両状態データ６０ｄを、情報収集コントローラ２０のメモリ上に確実に残すことができる。また車両状態データ６０ｄを退避させた後のデータ領域２３ｂを、新しい車載プログラム６０のバッファ領域として使用するようにしたので、情報収集コントローラ２０内の小容量のメモリ上で大容量の車載プログラム６０を確実にバッファでき、書き換え処理を確実に行わせることができる。

上述した実施形態では、車両状態データ６０ｄを建設機械５０の外部の書き換え専用サーバ３の記憶媒体に退避させるようにしているが、書き換え処理の際に別の記憶領域あるいは別の記憶媒体に車両状態データ６０ｄを退避できればよく、建設機械５０の内部で退避させるようにしてもよい。

図５は同じＲＡＭ２３上の別の記憶領域に車両状態データ６０ｄを退避させる場合のメモリの状態遷移を示している。以下図５を図６のフローチャートを併せ参照して説明する。

すなわち図５（ａ）に示すようにＲＡＭ２３のデータ領域２３ｂに記憶されている車両状態データ６０ｄは、ＲＡＭ２３の最後尾の記憶領域２３ｅにコピーされ退避される（図６のステップ２０１）。つぎに図５（ｂ）に示すように、データ領域２３ｂを含むテンポラリ領域２３ｄに、書き換え専用サーバ３から受信した新しい車載プログラム６０が一時的にバッファされる（図６のステップ２０２）。

つぎに図５（ｃ）に示すようにＲＡＭ２３のテンポラリ領域２３ｄにバッファされている新しい車載プログラム６０がフラッシュメモリ２２のプログラム領域にコピーされる（図６のステップ２０３）。この書き換え処理後に、ＲＡＭ２３上のテンポラリ領域２３ｄに残されている新しい車載プログラム６０はクリアされる（ステップ２０４）。

つぎに図５（ｄ）に示すようにＲＡＭ２３の最後尾の記憶領域２３ｅに退避されていた車両状態データ６０ｄが、ＲＡＭ２３の元の正規の位置であるデータ領域２３ｂに書き込み戻される（図６のステップ２０５）。この書き込み戻し後に、ＲＡＭ２３の最後尾の記憶領域２３ｅに残されている車両状態データ６０ｄはクリアされる（ステップ２０６）。

なお上記ステップ２０４、２０６のクリア処理は必要に応じて行えばよく、クリアしないままプログラム、データを残したままにしておいてもよい。

図５では同じ記憶媒体であるＲＡＭ２３上の別の記憶領域に車両状態データ６０ｄを退避させるようにしているが、車体内のＲＡＭ２３とは別の記憶媒体に同様にして退避させるようにしてもよい。たとえば図１に示すように、建設機械５０には情報収集コントローラ２０以外に通信コントローラ３０、エンジンコントローラ４０等々のコントローラが備えられている。そこで書き換え処理の際に情報収集コントローラ２０から車体内通信回線５１を介して別のコントローラ内の記憶媒体に車両状態データ６０ｄを退避させておき、書き換え処理終了後に別のコントローラから情報収集コントローラ２０内のＲＡＭ２３上の元のデータ領域２３ｂに車両状態データ６０ｄを書き込み戻すようにしてもよい。

上述した実施形態では、車両状態データ６０ｄを別の記憶領域に退避させるようにしているが、書き換え処理時に車両状態データ６０ｄがリセットされなければよく、必ずしも別の領域に退避させる必要はない。

すなわち図４に示すように、ＲＡＭ２３のデータ領域２３ｂを上書きが不可能な領域として設定するとともに、ＲＡＭ２３のテンポラリ領域２３ｄを上書きが可能な領域として設定する。このため書き換え専用サーバ３から送信された新しい車載プログラム６０は、上書き可のテンポラリ領域２３ｂに一時的にバッファされるが、上書き不可のデータ領域２３ｂにはバッファされない。これにより、書き換え処理時にデータ領域２３ｂに記憶されている車両状態データ６０ｄがリセットされてしまう事態を防止できる。

以上説明した実施形態では、２つのサーバそれぞれで通常運用処理、書き換え処理が行われる場合を想定して説明したが、１つのサーバで通常運用処理、書き換え処理を行わせるようにしてもよい。たとえば通常運用サーバ２で通常運用処理のみならず書き換え処理も行わせるようにしてもよい。

図９は通常運用サーバ２と建設機械５０との間で通常運用モードと書き換えモードとを切り換える処理を行う処理手順を示している。

この場合、通常運用サーバ２側のアプリケーションプログラムと建設機械５０側のアプリケーションプログラムとの間の通信プロトコルとして、ＵＤＰとＴＣＰの２つのトランスポート層のプロトコルが用意される。

このため通常運用サーバ２からＵＤＰの通信プロトコルにしたがってデータが送信されると、建設機械５０側の通信コントローラ３０は、ＵＤＰのアプリケーションプログラムとの接続を確立し、他方のＴＣＰのアプリケーションプログラムとの接続を無効にする（ステップ５０１の判断Ｙ）。これを受けて建設機械５０の通信コントローラ３０は通常運用モードであると判断し、以後情報収集コントローラ２０を介して通常運用処理を実行させる（ステップ５０３）。これに対して通常運用サーバ２からＴＣＰの通信プロトコルにしたがってデータが送信されると、建設機械５０側の通信コントローラ３０は、ＴＣＰのアプリケーションプログラムとの接続を確立し、他方のＵＤＰのアプリケーションプログラムとの接続を無効にする（ステップ５０２の判断Ｙ）。これを受けて建設機械５０の通信コントローラ３０は書き換えモードであると判断し、以後情報収集コントローラ２０を介して書き換え処理を実行させる（ステップ５０４）。

またサーバを２つ設ける場合に、一方のサーバを主として使用し他方のサーバを予備用のサーバとして使用する実施も可能である。たとえば一方でサーバで通常運用処理と書き換え処理を行うが、このサーバをメンテナンスしている場合などに他方の予備用のサーバを稼動させて通常運用処理と書き換え処理を行わせるようにしてもよい。この場合も２つのサーバと建設機械との間での通信接続の切り換えは、上述した実施形態の方法を適用することができる。

また本実施形態では、車両として建設機械５０を想定しているが、本発明は一般自動車等、任意の車両の車載プログラムを書き換える場合に適用することができる。

図１は本実施形態のシステムの全体構成を示す図である。 図２は実施形態の書き換え処理の手順を示す図である。 図３（ａ）〜（ｆ）はフラッシュメモリ、ＲＡＭの状態遷移を示す図である。 図４は上書きが不可のデータ領域を示す図である。 図５（ａ）〜（ｄ）はフラッシュメモリ、ＲＡＭの状態遷移を示す図である。 図６はデータを退避する場合の処理手順を示す図である。 図７はマスターファイルとの間で検証を行う場合の処理手順を示す図である。 図８はサーバの切換え処理の手順を示す図である。 図９は、通常運用モードと書き換えモードとの切換え処理の手順を示す図である。 図１０はサーバと建設機械の対応関係を示す図である。

符号の説明

２ 通常運用サーバ
３ 書き換え専用サーバ
４、５ イントラネット
６、６′ マスターファイル
７ インターネット
８ 地上波基地局
９、１４、１５ 専用線
１０ アンテナ
１１ 無線通信
２０ 情報収集コントローラ
２１ ＣＰＵ
２２ フラッシュメモリ
２３ ＲＡＭ
３０ 通信コントローラ
５０ 建設機械

Claims (5)

1. サーバと車両内の情報収集コントローラとが通信手段によって相互に通信可能に接続された車載プログラムの書き換え制御システムであって、
   情報収集コントローラ内には、車両状態データと、車両状態データを生成する演算処理を行う車載プログラムと、現在の車載プログラムを新しい車載プログラムに書き換える書き換え制御プログラムがそれぞれ記憶媒体の所定の記憶領域に記憶されており、
   情報収集コントローラは、サーバと情報収集コントローラ間の通信状態が通常運用モードであるときには、車載プログラムにしたがい演算処理を行い、生成された車両状態データを通信手段を介してサーバに送信する処理を行い、サーバと情報収集コントローラ間の通信状態が書き換えモードであるときには、現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理を行うものであり、
   サーバから現在の車載プログラムを新しい車載プログラムに書き換える書き換え指令が通信手段を介して送信されて車両内の情報収集コントローラに取り込まれると、情報収集コントローラは、通常運用モードから書き換えモードに切り換わり、
   書き換えタスクとタイマタスクを開始し、
   タイマタスクでタイマがセットされると、書き換えタスクが開始され、
   書き換えタスクでは、
   情報収集コントローラから車両状態データを通信手段を介してサーバに送信する処理と、
   サーバで、送信された車両状態データをチェックし、書き換え処理を実行すべきかを判断する処理と、
   サーバで、書き換え処理を実行すべきと判断した場合に、サーバから、書き換え処理を実行すべき旨を通信手段を介して車両内の情報収集コントローラに送信する処理と、
   前記書き換え処理を実行すべき旨の送信後、サーバから、新しい車載プログラムを通信手段を介して車両内の情報収集コントローラに送信する処理と、
   新しい車載プログラムが通信手段を介して車両内の情報収集コントローラに取り込まれると、これを受けて、情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理と
   が順次実行され、
   タイマが前記書き換え処理の終了に要する時間に余裕を見込んだセット時間にセットされて、タイマタスクが実行され、
   タイマタスクでは、
   タイマのセット時間が経過したか否かを判断する処理と、
   セット時間が経過した場合に、所定の記憶領域に記憶されている現在の車載プログラムを起動して、書き換えモードから通常運用モードに切り換える処理と
   が実行されること
   を特徴とする車載プログラムの書き換え制御システム。
2. サーバから通信手段を介して送信された書き換え処理を実行すべき旨が車両内の情報収集コントローラ内に取り込まれると、これを受けて、前記記憶媒体のデータ領域に記憶されている車両状態データを別の記憶媒体に退避させる処理を行い、
   当該処理を行った後に、情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを新しい車載プログラムに書き換える書き換え処理が行われること
   を特徴とする請求項１記載の車載プログラムの書き換え制御システム。
3. サーバから通信手段を介して送信された書き換え処理を実行すべき旨が車両内の情報収集コントローラ内に取り込まれると、これを受けて、前記記憶媒体のデータ領域に記憶されている車両状態データを別の記憶媒体に退避させる処理を行い、
   当該処理を行った後に、前記データ領域を含むテンポラリ領域に、サーバから送信された新しい車載プログラムを一時的にバッファし、
   情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを、前記テンポラリ領域にバッファされた新しい車載プログラムによって書き換える書き換え処理が行われること
   を特徴とする請求項１記載の車載プログラムの書き換え制御システム。
4. サーバから通信手段を介して送信された書き換え処理を実行すべき旨が車両内の情報収集コントローラ内に取り込まれると、これを受けて、前記記憶媒体のデータ領域に記憶されている車両状態データを通信手段を介してサーバに送信する処理を行い、
   情報収集コントローラから通信手段を介して送信された車両状態データがサーバ内に取り込まれると、サーバで、車両状態データを当該サーバ内の所定の記憶媒体に退避させる処理を行い、
   サーバで、車両状態データが所定の記憶媒体に退避されると、サーバから、新しい車載プログラムを通信手段を介して車両内の情報収集コントローラに送信する処理を行うこと
   を特徴とする請求項１記載の車載プログラムの書き換え制御システム。
5. サーバから通信手段を介して送信された書き換え処理を実行すべき旨が車両内の情報収集コントローラ内に取り込まれると、これを受けて、前記記憶媒体のデータ領域に記憶されている車両状態データを通信手段を介してサーバに送信する処理を行い、
   情報収集コントローラから通信手段を介して送信された車両状態データがサーバ内に取り込まれると、サーバで、車両状態データを当該サーバ内の所定の記憶媒体に退避させる処理を行い、
   サーバで、車両状態データが所定の記憶媒体に退避されると、サーバから、新しい車載プログラムを通信手段を介して車両内の情報収集コントローラに送信する処理を行い、
   サーバから通信手段を介して送信された新しい車載プログラムが車両内の情報収集コントローラに取り込まれると、これを受けて、情報収集コントローラで、前記データ領域を含むテンポラリ領域に、新しい車載プログラムを一時的にバッファする処理を行い、
   情報収集コントローラで、所定の記憶領域に記憶された現在の車載プログラムを、前記テンポラリ領域にバッファされた新しい車載プログラムによって書き換える書き換え処理が行われること
   を特徴とする請求項１記載の車載プログラムの書き換え制御システム。

Images