JP5939149B2

JP5939149B2 - 車両用情報処理装置およびプログラム更新方法

Info

Publication number: JP5939149B2
Application number: JP2012275725A
Authority: JP
Inventors: 鎮男眞鍋
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2012-12-18
Filing date: 2012-12-18
Publication date: 2016-06-22
Anticipated expiration: 2032-12-18
Also published as: JP2014118071A

Description

本発明は、車載制御装置が用いるプログラムの更新技術に関するものである。

ＣＡＮ等の車載ネットワークにおいては各種ＥＣＵが機能に応じたプログラムを実行しており、当該プログラムを車両と無線通信を行うサービスセンターから配信される更新プログラムや、サービスステーション等で有線により車両に供給される更新プログラムに書き換えるシステムが存在する。車両走行中はプログラムを実行している最中のＥＣＵが多いことから、斯かるプログラム更新（リプログラミング）を車両停止状態、すなわちイグニション・オフ状態かつ車両電源のオン状態で行うことや走行に支障の無いようなプログラム更新方法が検討されている。

特許文献１には、車載装置がエンジンの停止状態を検知するとセンターサーバより車載装置の更新プログラムを受信してプログラムの更新を行い、その後に車両電源を遮断することが記載されている。特許文献２には、車両ネットワークに接続されたメンテナンス専用のサービス端末から、車両診断を経て車両に搭載されるブレーキ制御システムの制御プログラムに対する書換え要求があった場合に、統合制御装置が車両を停止状態にするための制動指示を行った後、更新プログラムをダウンロードして書換え対象の制御装置に転送し、書換えを行わせることが記載されている。特許文献３には、車両走行中に制御ユニットによる制御処理が行われるか否かを確認し、制御処理が行われない場合に当該制御ユニットのプログラム更新を行う車両制御装置が記載されている。

特開２００４−２４９９１４号公報特開２００７−２３０３１７号公報特開２０１１−０７９４９６号公報

上述した従来のプログラム更新制御によれば、エンジン停止中や車両走行中の都合の良いタイミングでプログラム更新を行うので、車両走行中にプログラムの更新が行われることによって車両の走行に影響を与えてしまう、という問題を防ぐことができる。しかしながら、セキュリティ系プログラムの更新を、車両がエンジンを停止することや車両がパーキング状態でエンジンを動作させることのみを条件として実行しようとする場合には、セキュリティプログラムが実行されないため盗難防止装置が機能しないこととなる。従って、プログラム更新中に盗難の虞が生じる。

本発明は、斯かる従来の問題点に鑑みてなされたものであり、車両がエンジン停止中やパーキング状態であっても盗難防止機能が発揮された状態でセキュリティ系プログラムの更新を行うことのできる車両用情報処理装置、およびプログラム更新方法を提供するものである。

本発明の第１の局面は、車両に備えられる制御装置が使用するプログラムの更新を制御する車両用情報処理装置であって、セキュリティ系プログラムの更新が可能であることを示す情報が車両に与えられた場合に、走行系装置と操舵系装置との少なくとも一方の装置が規定のロック状態にあれば前記セキュリティ系プログラムの更新が可能であると判定する一方、前記少なくとも一方の装置が前記規定のロック状態になければ前記セキュリティ系プログラムの更新が可能ではないと判定し、前記セキュリティ系プログラムの更新が可能であると判定した場合に、車両が取得した更新プログラムにより前記セキュリティ系プログラムを更新するよう前記セキュリティ系プログラムを使用する前記制御装置に指示することを特徴とする。

また、本発明の第２の局面は、車両に備えられる制御装置が使用するプログラムの更新を制御する車両用情報処理装置であって、セキュリティ系プログラムの更新が可能であることを示す情報が車両に与えられた場合に、走行系装置と操舵系装置との少なくとも一方の装置が規定のロック状態にあるか否かを検出するロック状態検出部と、前記ロック状態検出部によって前記少なくとも一方の装置が前記規定のロック状態にあることを検出した場合には前記セキュリティ系プログラムの更新が可能であると判定する一方、前記ロック状態検出部によって前記少なくとも一方の装置が前記規定のロック状態にないことを検出した場合には前記セキュリティ系プログラムの更新が可能ではないと判定する更新可否判定部と、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能であると判定した場合に、車両が取得した更新プログラムにより前記セキュリティ系プログラムを更新するよう前記セキュリティ系プログラムを使用する前記制御装置に指示する更新指示部と、を備えていることを特徴とする。
また、前記第２の局面に代えて、車両に備えられる制御装置が使用するプログラムの更新を制御する車両用情報処理装置であって、セキュリティ系プログラムの更新が可能であることを示す情報が車両に与えられた場合に、パーキングロック装置とステアリングロック装置とのうち、所定の装置である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあること、所定の装置である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあること、所定の装置の一方である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあるか前記所定の装置の他方である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあるかの少なくとも一方であること、および、所定の装置の一方である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあるとともに前記所定の装置の他方である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあること、のいずれか１つからなるように定められた条件が満たされるか否かを検出するロック状態検出部と、前記ロック状態検出部によって前記条件が満たされることを検出した場合には前記セキュリティ系プログラムの更新が可能であると判定する一方、前記ロック状態検出部によって前記条件が満たされないことを検出した場合には前記セキュリティ系プログラムの更新が可能ではないと判定する更新可否判定部と、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能であると判定した場合に、車両が取得した更新プログラムにより前記セキュリティ系プログラムを更新するよう前記セキュリティ系プログラムを使用する前記制御装置に指示する更新指示部と、を備え、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した場合に、前記所定の装置を前記規定のロック状態とする制御の指示を行うロック指示部をさらに備えている車両用情報処理装置であってもよい。さらに、前記ロック指示部が前記所定の装置を前記規定のロック状態とする制御の指示を行ってから、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した後は、前記セキュリティ系プログラムの更新を行わないようにしてもよい。

また、本発明の第３の局面は、前記第２の局面において、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能ではないと判定した場合に、前記セキュリティ系プログラムの更新を行わないことを特徴とする。

また、本発明の第４の局面は、前記第２の局面において、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した場合に、前記少なくとも一方の装置を前記規定のロック状態とする制御の指示を行うロック指示部をさらに備えていることを特徴とする。

また、本発明の第５の局面は、前記第４の局面において、前記ロック指示部が前記少なくとも一方の装置を前記規定のロック状態とする制御の指示を行ってから、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した後は、前記セキュリティ系プログラムの更新を行わないようにすることを特徴とする。

また、本発明の第６の局面は、車両に備えられる制御装置が使用するプログラムの更新を制御するプログラム更新方法であって、セキュリティ系プログラムの更新が可能であることを示す情報が車両に与えられた場合に、走行系装置と操舵系装置との少なくとも一方の装置が規定のロック状態にあるか否かを検出するステップと、前記前記少なくとも一方の装置が前記規定のロック状態にあることを検出した場合には前記セキュリティ系プログラムの更新が可能であると判定する一方、前記少なくとも一方の装置が前記規定のロック状態にないことを検出した場合には前記セキュリティ系プログラムの更新が可能ではないと判定するステップと、前記セキュリティ系プログラムの更新が可能であると判定した場合に、車両が取得した更新プログラムにより前記セキュリティ系プログラムを更新するよう前記セキュリティ系プログラムを使用する前記制御装置に指示するステップと、を含むことを特徴とする。

第１の局面、第２の局面、または第６の局面によれば、車両のエンジン停止中やパーキング状態時にセキュリティ系プログラムの更新を行っても、パーキングロックやステアリングロック等の所定の装置が盗難防止機能を発揮した状態でリプログラミングが行われる。従って、プログラム更新中にセキュリティ系プログラムが機能しないことにより盗難の虞が生じることを回避することができる。

第３の局面によれば、所定の装置の盗難防止機能が有効な状態でなければセキュリティ系プログラムの更新を行わないので、盗難防止効果を確実に優先させる更新ルールとすることができる。

第４の局面によれば、所定の装置の盗難防止機能が有効な状態でない場合には当該盗難防止機能を発揮する状態とするので、更新プログラムが供給され得る機会ごとにリプログラミングを実行することが容易になる。

第５の局面によれば、車両が所定の装置の盗難防止機能を有効にすることができない状態において、リプログラミングを行わずに、セキュリティ系プログラムを実行可能として車両を盗難の虞から保護することを優先することができる。

本発明の実施形態を示すものであり、第１の車両用情報処理装置を備えた車載ネットワークシステムの構成を示すブロック図第１の車両用情報処理装置の動作を説明するフローチャート本発明の実施形態を示すものであり、第２の車両用情報処理装置を備えた車載ネットワークシステムの構成を示すブロック図第２の車両用情報処理装置の動作を説明するフローチャート

〔第１の実施形態〕
本発明の一実施形態について図面を用いて説明すれば以下の通りである。

図１に、本実施形態に係る車両用情報処理装置を備えた車載ネットワークシステム１０の構成を示す。

車載ネットワークシステム１０は、通信装置１、リプログラミングＥＣＵ（車両用情報処理装置）２、セキュリティＥＣＵ３、シフトバイワイヤ（ＳＢＷ）ＥＣＵ４、パーキングロック装置５、ステアリングＥＣＵ６、および、ステアリングロック装置７を、通信バスを介して互いに接続されるように備えている。リプログラミングＥＣＵ２、セキュリティＥＣＵ３、シフトバイワイヤＥＣＵ４、および、ステアリングＥＣＵ６は、ＣＡＮバス等のメインバスＡ１を介して互いに接続されている。

通信装置１は、車両に備えられる制御装置である各種ＥＣＵが使用するプログラムの更新プログラムの配信元であるサービスセンターのサーバと無線通信を行う。通信装置１はリプログラミングＥＣＵ２の後述する内部バスＡ２に接続されており、前記サーバからのプログラム更新要求の受信や更新プログラムのダウンロード等を、リプログラミングＥＣＵ２との間で中継する。あるいは、通信装置１は、サービスステーション等で更新プログラムを車両に供給する端末と有線で接続される通信インタフェースとして機能するものであってもよいし、無線機能と有線機能との両方を有する通信インタフェースであってもよい。以下では、無線通信の場合を例に取って説明を行うが、有線通信の場合には、車両に接続された更新プログラムを供給する端末との間で後述する通信を行うこととなる。また、更新プログラムの要求・確認の一部通信を無線で行い、更新プログラムの供給等の他の一通信部を有線で行う等の通信形態の変形は適宜可能である。

リプログラミングＥＣＵ２は、コンピュータ構成をなすプロセッサ２ａ、メモリ２ｂ、およびトランシーバ２ｃを、内部バスＡ２を介して互いに接続されるように備えている。メモリ２ｂはＲＯＭおよびＲＡＭを含んでおり、半導体メモリ、メモリカード、ディスク等の任意の記録媒体が使用可能である。プロセッサ２は、メモリ２ｂのＲＯＭに格納されている、プログラム更新手順を記述したプログラムと協働して、盗難防止動作検出部（ロック状態検出部）２０１、ソフトウェア書換え判定部（更新可否判定部）２０２、および、ソフトウェア書換えツール（更新指示部）２０３を構成可能である。トランシーバ２ｃは、メインバスＡ１との間でプログラムおよびデータの送受信を行うインタフェースである。

盗難防止動作検出部２０１は、走行系装置や操舵装置が盗難防止動作を行っていることを示すロック状態を検出する。ソフトウェア書換え判定部２０２は、盗難防止動作検出部２０１によるロック状態の検出結果を受けて、ロック状態にあれば各種ＥＣＵ、特にセキュリティＥＣＵ３のリプログラミングが可能であると判定し、ロック状態になければ当該リプログラミングが可能でないと判定する。ソフトウェア書換えツール２０３は、ソフトウェア書換え判定部２０２がＥＣＵのリプログラミングが可能であると判定した場合に、更新プログラムを該当するＥＣＵに送信して書換えを指示する。

リプログラミングＥＣＵ２は、各種ＥＣＵが使用するプログラムに更新プログラムが存在するか否かを所定のタイミングで通信装置１を介してサービスセンターのサーバに確認し、更新プログラムが存在していればダウンロードして、メインバスＡ１に接続された図示しないメモリあるいはリプログラミングＥＣＵ２自身のメモリ２ｂに格納する。メモリに格納された更新プログラムは、盗難防止動作検出部２０１、ソフトウェア書換え判定部２０２、および、ソフトウェア書換えツール２０３による処理結果を踏まえて、以降で説明するタイミングでメインバスＡ１を介して対応するＥＣＵへと個別に転送される。

セキュリティＥＣＵ３は、コンピュータ構成をなすプロセッサ３ａ、メモリ３ｂ、およびトランシーバ３ｃを、内部バスＡ３を介して互いに接続されるように備えている。メモリ３ｂは、ＲＯＭおよびＲＡＭの他に、書換え可能な不揮発性メモリであるフラッシュＲＯＭ３０１を含んでいる。フラッシュＲＯＭ３０１には、セキュリティＥＣＵ３が盗難防止装置を有効に機能させるための制御プラグラムが格納されている。メモリ３ｂのＲＯＭには、プログラム更新（リプログラミング）を行うための起動プログラムおよび書換えプログラムが格納されている。セキュリティＥＣＵ３は、リプログラミングＥＣＵ２から送信されたセキュリティＥＣＵ３用の更新プログラムを、メインバスＡ１からトランシーバ３ｃを介して受信すると、ＲＯＭから起動プログラムおよび書換えプログラムを読み出して、フラッシュＲＯＭ３０１に格納されている前記制御プログラムを前記更新プログラムに書き換える。

シフトバイワイヤＥＣＵ４は、車両のシフトポジションを電気的に制御するＥＣＵであり、パーキングロック装置５に対してはパーキングロック制御を行うことができる。また、シフトバイワイヤＥＣＵ４は、車両のシフトポジションをパーキング位置として当該パーキングロック制御を行い、さらに車両電源のオフ移行を行う、いわゆるオートパーキングロック（オートＰ）制御を実行することができる。パーキングロック装置５は、運転者のエンジンスイッチによるパーキング位置へのシフト操作を受けたシフトバイワイヤＥＣＵ４からのパーキングロック指示があると、あるいは、シフトバイワイヤＥＣＵ４からのオートＰ制御がなされると、駆動輪の移動を機械的にロックする。また、パーキングロック装置５は、車両のイグニッション・オン状態への移行に連動したシフトバイワイヤＥＣＵ４からの制御により、パーキングロックを解除する。このように、シフトバイワイヤＥＣＵ４は、走行系装置のロック状態を制御する。

ステアリングＥＣＵ６は、ステアバイワイヤ方式によるステアリングシステムの動作を制御するＥＣＵであり、ステアリングロック装置７に対しては、車両のイグニッション・オフ状態への移行に連動してステアリングロック制御を行うことができる。ステアリングロック装置７は、ステアリングＥＣＵ６からのステアリングロック制御がなされると、ステアリングホイールの操作を機械的にロックする。また、ステアリングロック装置７は、車両のイグニッション・オン状態への移行に連動したステアリングＥＣＵ６からの制御により、ステアリングロックを解除する。このように、ステアリングＥＣＵ６は、操舵系装置のロック状態を制御する。

次に、図２のフローチャートを用いて、リプログラミングＥＣＵ２が盗難防止動作検出部２０１、ソフトウェア書換え判定部２０２、およびソフトウェア書換えツール２０３により実行する動作について説明する。

リプログラミングＥＣＵ２は所定のタイミングで通信装置１を介してサービスセンターのサーバや中継サーバ等に、各種ＥＣＵの更新プログラムが存在するか否かを問い合わせる。当該所定のタイミングとして各ＥＣＵに適した個別のタイミングが設定されてよく、走行時および停車時を含めて車両電源がＯＮである間に更新プログラムの存在可否を把握しておく。更新プログラムが存在する場合には、配信元となるサーバから各更新プログラムについてリプログラミングの要求が返信されてくる。以下では、セキュリティＥＣＵ３のリプログラミングを行う例を説明するが、他のＥＣＵのリプログラミングも同様の手順により併せて行ってもよい。

ステップＳ１０１において、リプログラミングＥＣＵ２がサーバからセキュリティＥＣＵ３のリプログラミングの要求を受けると、ステップＳ１０２において盗難防止動作検出部２０１は、車両電源のオン状態を維持したイグニッション・オフ動作を処理開始条件として、あるいは車両のイグニッション・オンを処理開始条件として、パーキングロック装置５がパーキングロック状態にあるか否かを、シフトバイワイヤＥＣＵ４に問い合わせて検出する。また、盗難防止動作検出部２０１は、車両のイグニッション・オフ状態かつ車両電源オン状態において、ステアリングロック装置７がステアリングロック状態にあるか否かを、ステアリングＥＣＵ６に問い合わせて検出する。パーキングロック状態とステアリングロック状態とは両方とも検出してもよいし、いずれか所定の一方のみを検出してもよい。

ステップＳ１０２において、（ａ）パーキングロック装置５がパーキングロック状態にあることを条件として、あるいは、（ｂ）ステアリングロック装置７がステアリングロック状態にあることを条件として、またあるいは（ｃ）パーキングロック装置５がパーキングロック状態にあるかステアリングロック装置７がステアリングロック状態にあるかの少なくとも一方であることを条件として、さらにあるいは、（ｄ）パーキングロック装置５がパーキングロック状態にあり、かつ、ステアリングロック装置７がステアリングロック状態にあることを条件として、ソフトウェア書換え判定部２０２がセキュリティＥＣＵ３のリプログラミングが可能であると判定し、ステップＳ１０３へ進む。上記の条件（ａ）〜（ｄ）についていずれを採用するかは任意であり、いずれか１つの条件が採用されるように定められていればよい。

ステップＳ１０３では、ソフトウェア書換えツール２０３によるソフトウェアの書換え、すなわちセキュリティＥＣＵ３のリプログラミングを実行する。当該ステップＳ１０３において、リプログラミングＥＣＵ２はサーバから更新プログラムをダウンロードして、メインバスＡ１に接続されたメモリあるいはメモリ２ｂに格納する。このダウンロード処理は、サーバからリプログラミングの要求がなされた時点で即時に行ったり、走行中の処理負荷が小さい任意のタイミング等で行ったりしてもよい。ソフトウェア書換えツール２０３は、メモリ２ｂに格納された更新プログラムをセキュリティＥＣＵ３に送信して、プログラムの書換えを行うよう指示する。あるいは、ソフトウェア書換えツール２０３は、セキュリティＥＣＵ３にメインバスＡ１上のメモリに格納された更新プログラムを取得してプログラムの書換えを行うよう指示する。

セキュリティＥＣＵ３は、トランシーバ３ｃを介して更新プログラムを受信し、メモリ３ｂのＲＯＭに格納されている起動プログラムおよび書換えプログラムを起動させて、フラッシュＲＯＭ３０１に格納されていた制御プログラムであるセキュリティソフトウェアを書き換える。これにより、パーキングロックやステアリングロック等の盗難防止機能が発揮された状態でリプログラミングが行われる。

ステップＳ１０２において、条件（ａ）および条件（ｄ）に対応してパーキングロック装置５がパーキングロック状態にない場合は、あるいは、条件（ｂ）および条件（ｄ）に対応してステアリングロック装置７がステアリングロック状態にない場合は、またあるいは、条件（ｃ）に対応してパーキングロック装置５がパーキングロック状態になく、かつ、ステアリングロック装置７がステアリングロック状態にない場合は、ステップＳ１０４へ進む。ステップＳ１０４では、ソフトウェア書換えツール２０３によるソフトウェアの書換え、すなわちセキュリティＥＣＵ３の図２で示されるリプログラミング処理を強制的に中止し、セキュリティＥＣＵ３のリプログラミングを行わない。これにより、パーキングロック装置５やステアリングロック装置７といった所定の装置の盗難防止機能が有効な状態でなければセキュリティ系プログラムの更新を行わないので、盗難防止効果を確実に優先させる更新ルールとすることができる。

なお、以上の処理をオートパーキングロック制御と組み合わせて、リプログラミングの処理が終了した後に、また、リプログラミング処理が中止された場合に車両電源のオフが可能な状態にあればリプログラミング処理の中止後に、車両電源のオフ動作までを自動的に完了させるようにしてもよい。

以上のように、本実施形態によれば、車両がエンジン停止状態やパーキング状態にある時にセキュリティ系プログラムの更新を行っても、パーキングロックやステアリングロック等の盗難防止機能が発揮された状態でリプログラミングが行われる。従って、プログラム更新中にセキュリティ系プログラムが機能しないことにより盗難の虞が生じることを回避することができる。

なお、ロック制御対象は上記のようにパーキングロック装置やステアリングロック装置に限らず、ペダル機構等その他の任意の走行系装置や操舵装置であってもよいし、同時に３つ以上のロックを条件とする動作でもよい。

〔第２の実施形態〕
本発明の他の実施形態について図面を用いて説明すれば以下の通りである。

図３に、本実施形態に係る車両用情報処理装置を備えた車載ネットワークシステム２０の構成を示す。

車載ネットワークシステム２０は、図１の車載ネットワークシステム１０において、リプログラミングＥＣＵ２のプロセッサ２ａとプログラム更新手順を記述したプログラムとが協働して、さらに盗難防止動作指示部（ロック指示部）２０４を構成可能としたものである。図１と同一の符号が付されたその他の部材については、図１および図２と特に異なる点についてのみ説明する。

盗難防止動作指示部２０４は、盗難防止動作検出部２０１が、パーキングロック装置５がパーキングロック状態にないことやステアリングロック装置７がステアリングロック状態にないこと、すなわち車両が盗難防止動作を行っていないことを検出した場合に、シフトバイワイヤＥＣＵ４やステアリングＥＣＵ６に盗難防止動作を行うよう指示する。

次に、図４のフローチャートを用いて、リプログラミングＥＣＵ２が盗難防止動作検出部２０１、ソフトウェア書換え判定部２０２、ソフトウェア書換えツール２０３、および盗難防止動作指示部２０４により実行する動作について説明する。

ステップＳ２０１において、リプログラミングＥＣＵ２がサーバからセキュリティＥＣＵ３のリプログラミングの要求を受けると、ステップＳ２０２において盗難防止動作検出部２０１は、車両のイグニッション・オフ状態かつ車両電源オン状態において、パーキングロック装置５がパーキングロック状態にあるか否かを、シフトバイワイヤＥＣＵ４に問い合わせて検出する。また、盗難防止動作検出部２０１は、車両のイグニッション・オフ状態かつ車両電源オン状態において、ステアリングロック装置７がステアリングロック状態にあるか否かを、ステアリングＥＣＵ６に問い合わせて検出する。パーキングロック状態とステアリングロック状態とは両方とも検出してもよいし、いずれか一方のみを検出してもよい。

ステップＳ２０２において、（ａ）パーキングロック装置５がパーキングロック状態にあることを条件として、あるいは、（ｂ）ステアリングロック装置７がステアリングロック状態にあることを条件として、またあるいは（ｃ）パーキングロック装置５がパーキングロック状態にあるかステアリングロック装置７がステアリングロック状態にあるかの少なくとも一方であることを条件として、さらにあるいは、（ｄ）パーキングロック装置５がパーキングロック状態にあり、かつ、ステアリングロック装置７がステアリングロック状態にあることを条件として、ソフトウェア書換え判定部２０２がセキュリティＥＣＵ３のリプログラミングが可能であると判定し、ステップＳ２０３へ進む。上記の条件（ａ）〜（ｄ）についていずれを採用するかは任意であり、いずれか１つの条件が採用されるように定められていればよい。

ステップＳ２０３では、ソフトウェア書換えツール２０３によるソフトウェアの書換え、すなわちセキュリティＥＣＵ３のリプログラミングを実行する。当該ステップＳ２０３において、リプログラミングＥＣＵ２はサーバから更新プログラムをダウンロードして、メインバスＡ１に接続されたメモリあるいはメモリ２ｂに格納する。このダウンロード処理は、サーバからリプログラミングの要求がなされた時点で即時に行ったり、走行中の処理負荷が小さい任意のタイミング等で行ったりしてもよい。ソフトウェア書換えツール２０３は、メモリ２ｂに格納された更新プログラムをセキュリティＥＣＵ３に送信して、プログラムの書換えを行うよう指示する。あるいは、ソフトウェア書換えツール２０３は、セキュリティＥＣＵ３にメインバスＡ１上のメモリに格納された更新プログラムを取得してプログラムの書換えを行うよう指示する。

ステップＳ２０２において、条件（ａ）および条件（ｄ）に対応してパーキングロック装置５がパーキングロック状態にない場合は、あるいは、条件（ｂ）および条件（ｄ）に対応してステアリングロック装置７がステアリングロック状態にない場合は、またあるいは、条件（ｃ）に対応してパーキングロック装置５がパーキングロック状態になく、かつ、ステアリングロック装置７がステアリングロック状態にない場合は、ソフトウェア書換え判定部はセキュリティＥＣＵ３のリプログラミングが可能でないと判定し、ステップＳ２０４へ進む。

ステップＳ２０４において、盗難防止動作指示部２０４は、条件（ａ）に対応してシフトバイワイヤＥＣＵ４にパーキングロック装置５をパーキングロック状態とするように指示する、あるいは、条件（ｂ）に対応してステアリングＥＣＵ６にステアリングロック装置７をステアリングロック状態とするように指示する、またあるいは、条件（ｃ）に対応してシフトバイワイヤＥＣＵ４にパーキングロック装置５をパーキングロック状態とするように指示するとともにステアリングＥＣＵ６にステアリングロック装置７をステアリングロック状態とするように指示する、さらにあるいは、条件（ｄ）に対応してパーキングロック装置５がパーキングロック状態になければシフトバイワイヤＥＣＵ４にパーキングロック装置５をパーキングロック状態とするように指示するとともに、ステアリングロック装置７がステアリングロック状態になければステアリングＥＣＵ６にステアリングロック装置７をステアリングロック状態とするように指示する。

ステップＳ２０４の次はステップＳ２０５に進む。ステップＳ２０５では、盗難防止動作検出部２０１は、パーキングロック装置５がパーキングロック状態にあるか否かを、シフトバイワイヤＥＣＵ４に問い合わせて検出すること、および、ステアリングロック装置７がステアリングロック状態にあるか否かを、ステアリングＥＣＵ６に問い合わせて検出することを、条件（ａ）〜（ｄ）に対応して再び行う。

ステップＳ２０５において、条件（ａ）〜（ｄ）の所定のものが満たされればソフトウェア書換え判定部２０２がセキュリティＥＣＵ３のリプログラミングは可能であると判定し、ステップＳ２０３へ進んで、ソフトウェア書換えツール２０３によるソフトウェアの書換え、すなわちセキュリティＥＣＵ３のリプログラミングを行う。これにより、パーキングロックやステアリングロック等の盗難防止機能が発揮された状態でリプログラミングが行われる。

一方、ステップＳ２０５において条件（ａ）〜（ｄ）の所定のものが満たされなければ、ソフトウェア書換え判定部２０２は、リプログラミングが可能でないと判定し、ステップＳ２０６へ進む。ソフトウェア書換え判定部２０２がリプログラミングが可能でないと判定する限り、盗難防止動作指示部２０４がパーキングロックやステアリングロックを指示し続けてもよいが、ロック指示後にソフトウェア書換え判定部２０２がリプログラミングが可能でないと判定した後は、ステップＳ２０６において、リプログラミングＥＣＵ２が、車両がロック可能な状態ではない、ロック動作の異常等の理由でリプログラミングが可能でないと判定し、ソフトウェア書換えツール２０３によるソフトウェアの書換え、すなわちセキュリティＥＣＵ３のリプログラミング処理を強制的に中止し、セキュリティＥＣＵ３のリプログラミングを行わない。このように、車両がパーキングロック装置５やステアリングロック装置７といった所定の装置の盗難防止機能を有効にすることができない状態においては、リプログラミングを行わずに、セキュリティ系プログラムを実行可能として車両を盗難の虞から保護することを優先することができる。

以上のように、本実施形態によれば、車両がエンジン停止状態やパーキング状態にある時にセキュリティ系プログラムの更新を行っても、パーキングロックやステアリングロック等の盗難防止機能が発揮された状態でリプログラミングが行われる。従って、プログラム更新中に盗難の虞が生じることを回避することができる。また、パーキングロック装置５やステアリングロック装置７といった所定の装置の盗難防止機能が有効な状態でない場合には当該盗難防止機能を発揮する状態とするので、サーバから更新プログラムが配信される機会ごとにリプログラミングを実行することが容易になる。

なお、以上の処理をオートパーキングロック制御と組み合わせて、リプログラミングの処理が終了した後に、車両電源のオフ動作までを自動的に完了させるようにしてもよい。

以上、本実施形態について説明した。なお、上述した各実施例を本発明の趣旨を逸脱しない範囲で変更した構成で実施することも可能である。

本発明は、盗難防止装置を搭載した車両等に適用可能である。

２リプログラミングＥＣＵ
３セキュリティＥＣＵ
４シフトバイワイヤＥＣＵ
５パーキングロック装置
６ステアリングＥＣＵ
７ステアリングロック装置
１０、２０車載ネットワークシステム
２０１盗難防止動作検出部
２０２ソフトウェア書換え判定部
２０３ソフトウェア書換えツール
３０１フラッシュＲＯＭ

Claims

車両に備えられる制御装置が使用するプログラムの更新を制御する車両用情報処理装置であって、
セキュリティ系プログラムの更新が可能であることを示す情報が車両に与えられた場合に、パーキングロック装置とステアリングロック装置とのうち、所定の装置である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあること、所定の装置である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあること、所定の装置の一方である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあるか前記所定の装置の他方である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあるかの少なくとも一方であること、および、所定の装置の一方である前記パーキングロック装置がパーキングロック状態という規定のロック状態にあるとともに前記所定の装置の他方である前記ステアリングロック装置がステアリングロック状態という規定のロック状態にあること、のいずれか１つからなるように定められた条件が満たされるか否かを検出するロック状態検出部と、
前記ロック状態検出部によって前記条件が満たされることを検出した場合には前記セキュリティ系プログラムの更新が可能であると判定する一方、前記ロック状態検出部によって前記条件が満たされないことを検出した場合には前記セキュリティ系プログラムの更新が可能ではないと判定する更新可否判定部と、
前記更新可否判定部が前記セキュリティ系プログラムの更新が可能であると判定した場合に、車両が取得した更新プログラムにより前記セキュリティ系プログラムを更新するよう前記セキュリティ系プログラムを使用する前記制御装置に指示する更新指示部と、
を備え、
前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した場合に、前記所定の装置を前記規定のロック状態とする制御の指示を行うロック指示部をさらに備えていることを特徴とする車両用情報処理装置。
前記ロック指示部が前記所定の装置を前記規定のロック状態とする制御の指示を行ってから、前記更新可否判定部が前記セキュリティ系プログラムの更新が可能でないと判定した後は、前記セキュリティ系プログラムの更新を行わないようにすることを特徴とする請求項１に記載の車両用情報処理装置。