JP6435925B2 - サービス提供システム、ｅｃｕ、及び、外部装置 - Google Patents

Description

本発明は、サービス提供システム等に関する。

サービスエージェントがディレクトリエージェントにサービスを登録すると共に、ディレクトリエージェントは、ユーザエージェントからの要求に応じてサービスを照合し、要求に適合するサービスを該ユーザエージェントに返すフレームワークが知られている（特許文献１）。

特開２００４−３３４８９６号公報

特許文献１によれば、複数の異なる通信プロトコルが単一の統一フレームワークに統合され、ユーザアプリケーションが該フレームワークから様々なサービスを発見して利用できるようになる。しかしながら、利用するサービスの安全性を確保することができなかった。

本発明は、車両に追加されるサービスの安全性を確保することを目的とする。

本発明の一側面は、車両に搭載され、車載ネットワークを介して互いに通信可能に構成されており、サービスを提供する複数のＥＣＵと、ＥＣＵと通信を行う外部装置と、から構成されるサービス提供システムであって、ＥＣＵは、それまで提供してなかったサービスである新規サービスを新たに提供する前に、該新規サービスの識別情報を外部装置に送信するＥＣＵ送信手段と、外部装置からのテスト指示に応じて、新規サービスに関するテストを行い、該テストの結果を外部に送信するテスト手段と、外部装置から受信した判定情報が、新規サービスの提供を許可する旨を示している場合には、該新規サービスの提供を開始する新規サービス提供手段と、を備え、外部装置は、識別情報の受信後、該識別情報の送信元である対象ＥＣＵに対し、該識別情報に係る新規サービスに関するテスト指示を送信するテスト指示手段と、テストの結果を受信すると、該結果に基づき新規サービスの提供を許可するか否かを判定し、該判定結果を示す判定情報を対象ＥＣＵに送信する外部装置送信手段と、を備えること、を特徴とする。

このような構成によれば、ＥＣＵが新規サービスの提供を開始する前に、該新規サービスのテストが行われ、テスト結果が外部装置に送信される。外部装置は、テスト結果に基づき新規サービスの提供を許可するか否か決定し、許可が得られた場合には、新規サービスの提供が開始される。このため、車両に追加されるサービスの安全性を確保することができる。

また、上記サービス提供システムを構成するＥＣＵや外部装置を単体で構成しても良い。このような場合であっても、外部装置とＥＣＵとを組み合わせて用いることで、同様の効果を得ることができる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

本実施形態のサービス提供システムのブロック図である。 本実施形態の個別ＥＣＵのブロック図である。 本実施形態のドメインＥＣＵのブロック図である。 本実施形態のＧ／ＷＥＣＵのブロック図である。 本実施形態のセンタのブロック図である。 本実施形態のＥＣＵ等のプログラムの構成を示す説明図である。 本実施形態のサービスディスカバリについての説明図である。 本実施形態のサービスディスカバリのシーケンス図である。 本実施形態のサービスディスカバリのシーケンス図である。

以下、本発明の実施形態について図面を用いて説明する。なお、本発明の実施の形態は、下記の実施形態に何ら限定されることはなく、本発明の技術的範囲に属する限り種々の形態を採りうる。

［構成の説明］
本実施形態のサービス提供システム１は、１又は複数の車載システム２と、センタ４０と、配信サーバ５０等から構成される（図１）。

センタ４０，配信サーバ５０は、サーバとして構成されており、公衆通信回線網５を介して車載システム２を構成するＧ／ＷＥＣＵ３０と通信を行う。なお、センタ４０と配信サーバ５０を一台のサーバとして構成しても良い。また、負荷を分散させたり、バックアップを取ったり、緊急時に用いたりするため、センタ４０や配信サーバ５０を複数設けても良い。

一方、車載システム２は、Ｇ／ＷＥＣＵ３０，ドメインＥＣＵ２０，個別ＥＣＵ１０等の複数のＥＣＵから構成され、これらは、車載ネットワーク３に接続されている。車載システム２は、複数のドメイン４が設けられており、各ドメイン４には、同様の用途や機能を有する１又は複数の個別ＥＣＵ１０が属している。車載ネットワーク３には、各ドメイン４に対応してサブネットワーク３ａが設けられており、各ドメイン４に属する個別ＥＣＵ１０は、同一のサブネットワーク３ａに接続されている。各サブネットワーク３ａには、対応するドメイン４に属する個別ＥＣＵ１０の用途や機能等に応じた通信プロトコルが採用されている。なお、車載システム２は、ドメインを設けない構成としても良い。

Ｇ／ＷＥＣＵ３０は、無線通信により公衆通信回線網５にアクセスし、公衆通信回線網５を介してセンタ４０や配信サーバ５０等の外部サーバにアクセスすると共に、外部から車載ネットワーク３へのアクセスを制御する。

また、ドメインＥＣＵ２０は、各ドメイン４に対応して設けられており、対応するドメイン４のサブネットワーク３ａに接続されている。ドメインＥＣＵ２０は、対応するドメイン４に属する個別ＥＣＵ１０と、該ドメイン４に属さないＥＣＵとの間の通信のルーティングを行う。具体的には、ドメインＥＣＵ２０は、対応するドメイン４のサブネットワーク３ａから受信したデータを、他のドメインＥＣＵ２０やＧ／ＷＥＣＵ３０に送信する。また、他のドメインＥＣＵ２０やＧ／ＷＥＣＵ３０から受信したデータを、自装置に対応するドメイン４のサブネットワーク３ａに送出し、該データの送信先となる個別ＥＣＵ１０に送信する。

また、個別ＥＣＵ１０は、各種機能を有している。なお、いずれかの個別ＥＣＵ１０を、Ｇ／ＷＥＣＵ３０やドメインＥＣＵ２０として機能させるようにしても良い。
次に、車載システム２を構成する各ＥＣＵの構成について詳しく説明する。

個別ＥＣＵ１０は、通信部１１，記憶部１２，制御部１３等から構成される（図２）。
通信部１１は、サブネットワーク３ａを介して他の個別ＥＣＵ１０やドメインＥＣＵ２０と通信を行う部位である。無論、個別ＥＣＵ１０は、当該ＥＣＵの機能に応じて、さらに通信部等の部位を備えていても良い。

記憶部１２は、ＲＯＭやフラッシュメモリやＨＤＤ等の不揮発性の記憶装置から構成されており、各種データが保存されている。
制御部１３は、ＣＰＵ，ＲＯＭ，ＲＡＭ，Ｉ／Ｏ及びこれらを接続するバスライン等からなる周知のコンピュータを中心に構成されており、ＲＯＭに保存されているプログラムやＲＡＭにロードされたプログラム等に従い動作する。

また、ドメインＥＣＵ２０は、通信部２１，２２，制御部２３，記憶部２４等から構成される（図３）。
通信部２１は、サブネットワーク３ａを介して自装置と同じドメイン４に属する個別ＥＣＵ１０と通信を行う。また、通信部２２は、車載ネットワーク３を介して他のドメインＥＣＵ２０やＧ／ＷＥＣＵ３０と通信を行う。無論、通信部２１，２２は、単一の部位として構成されていても良い。

制御部２３は、ＣＰＵ，ＲＯＭ，ＲＡＭ，Ｉ／Ｏ及びこれらを接続するバスライン等からなる周知のコンピュータを中心に構成されており、ＲＯＭに保存されているプログラムやＲＡＭにロードされたプログラム等に従い動作する。

記憶部２４は、ＲＯＭやフラッシュメモリやＨＤＤ等の不揮発性の記憶装置から構成されており、各種データが保存されている。
また、Ｇ／ＷＥＣＵ３０は、通信部３１，外部通信部３２，制御部３３，記憶部３４等から構成される（図４）。

通信部３１は、車載ネットワーク３を介してドメインＥＣＵ２０と通信を行う部位である。
外部通信部３２は、図示しないアンテナ等を介して無線通信により公衆通信回線網５にアクセスし、センタ４０や配信サーバ５０等といった外部サーバと通信を行うための部位である。

制御部３３は、ＣＰＵ，ＲＯＭ，ＲＡＭ，Ｉ／Ｏ及びこれらを接続するバスライン等からなる周知のコンピュータを中心に構成されており、ＲＯＭに保存されているプログラムやＲＡＭにロードされたプログラム等に従い動作する。

記憶部３４は、ＲＯＭやフラッシュメモリやＨＤＤ等の不揮発性の記憶装置から構成されており、各種データが保存されている。
一方、センタ４０は、通信部４１，記憶部４２，制御部４３，表示部４４，操作部４５等を備える（図５）。

通信部４１は、公衆通信回線網５にアクセスする部位であり、公衆通信回線網５を介してＧ／ＷＥＣＵ３０と通信を行う。
記憶部４２は、ＲＯＭやフラッシュメモリやＨＤＤ等の不揮発性の記憶装置から構成されており、各種データが保存されている。

制御部４３は、ＣＰＵ，ＲＯＭ，ＲＡＭ，Ｉ／Ｏ及びこれらを接続するバスライン等からなる周知のコンピュータを中心に構成されており、記憶部４２等から読み出され、ＲＡＭにロードされたアプリケーションプログラム等に従い動作する。

また、表示部４４は、液晶ディスプレイ等として構成され、各種情報を表示する部位であり、操作部４５は、キーボードやマウス等として構成され、各種操作を受け付ける部位である。

なお、センタ４０は、必ずしも表示部４４や操作部４５を備える必要は無く、ネットワークを介した通信等により他の装置に各種情報を表示したり、他の装置から各種操作を受け付ける構成となっていても良い。

また、配信サーバ５０は、センタ４０と同様に構成されている。
次に、個別ＥＣＵ１０，ドメインＥＣＵ２０，Ｇ／ＷＥＣＵ３０等のＥＣＵや、センタ４０等の外部サーバを動作させるプログラムの構造について説明する。

ここで、外部サーバやＥＣＵにより提供される各々の機能を、サービスと記載する。各ＥＣＵは、例えば、自車両に乗車しているユーザ等を対象とするサービスや、自車両の走行に必要な各種制御を行うサービスや、運転支援を行うサービス等を提供する。この他にも、車載ネットワーク３を介して、他のＥＣＵやセンタ４０等に対しデータを提供するといったサービスも行われる。また、サービスは、他のＥＣＵやセンタ４０等から取得したデータに基づき行われる場合もある。また、各サービスには、識別情報であるサービスＩＤが設定されている。

外部サーバやＥＣＵにより提供される各種サービスを提供するプログラムは、ＳＯＡ（サービス指向アーキテクチャ）に基づき構成されており、サービス１００，サービスＩ／Ｆ１０１，サービスバス１０２等を有している（図６）。なお、サービス１００及びサービスＩ／Ｆ１０１は、外部サーバやＥＣＵにより提供される１又は複数のサービスの各々に対応して設けられており、サービスバス１０２は、外部サーバやＥＣＵに対応して設けられている。

サービス１００は、対応するサービスを提供するための処理を行う部位である。サービスを提供する際には、他のサービス（関連サービス）が必要となる場合がある。このような場合には、サービス１００は、他のサービス１００と連携して、該他のサービス１００による関連サービスを受けながら対応するサービスを提供する。なお、関連サービスは、自装置により提供される場合もあるし、他の装置により提供される場合もある。

サービス１００同士の連携は、メッセージという単位で行われる。なお、他のサービス１００にメッセージを渡すというサービスが提供される場合や、他のサービス１００から受け取ったメッセージを用いてサービスが提供される場合もある。

各サービス１００は、他のサービス１００を提供するＥＣＵ等の物理アドレス（サービスの位置）を把握することなく、他のサービス１００との間でメッセージの授受を行う。具体的には、各サービス１００は、メッセージの種別及びＩＤと、メッセージの本体部分を設定することで、自身が要求するサービスの内容等を伝える。

また、サービスＩ／Ｆ１０１は、サービス１００から受け取ったメッセージをサービスバス１０２に渡すと共に、サービスバス１０２から受け取ったメッセージをサービス１００に渡す。サービスＩ／Ｆ１０１は、サービス１００からメッセージを受け取ると、該サービス１００のサービスＩＤを、依頼元サービスＩＤとして特定する。また、該メッセージが示す要求を満たすサービスのサービスＩＤを特定し、特定したサービスＩＤを依頼先サービスＩＤとする。そして、該メッセージの提供元のサービスＩＤと依頼元サービスＩＤとをメッセージに付加し、サービスバス１０２に渡す。

また、サービスバス１０２は、サービスＩ／Ｆ１０１から渡されたメッセージを他のサービス１００に渡すと共に、他のサービス１００からのメッセージを、自装置に設けられている提供先のサービス１００に対応するサービスＩ／Ｆ１０１に渡す。

具体的には、該メッセージに含まれる依頼先サービスＩＤ等に基づき、該メッセージの提供先のＥＣＵの物理アドレス等を特定し、車載ネットワーク３等を介して提供先に該メッセージを渡す。無論、該メッセージの提供先が自装置のサービス１００である場合には、自装置のサービスＩ／Ｆ１０１にメッセージを渡す。なお、一例として、提供先のＥＣＵが接続されている車載ネットワーク３がＣＡＮである場合には、該ＥＣＵのＣＡＮ−ＩＤが提供先の物理アドレスとして特定される。これにより、お互いのサービス１００の位置が隠ぺいされた状態となり、位置透過性が確保される。

［動作の説明］
次に、本実施形態のサービス提供システム１の動作について説明する。
サービス提供システム１では、ユーザがＥＣＵに新たなサービス（新規サービス）の提供を開始させる際（プラグインを行う際）、サービスディスカバリが行われる。これにより、ユーザの手を煩わすこと無く、新規サービスを提供するために必要な関連サービスが車載システム２から発見され、該新規サービスを提供可能な状態となり、所謂プラグアンドプレイ機能が実現される。

サービスディスカバリには、参加認可，サービス検索，通信認可，登録テスト（新規サービスの動作テスト），動作認可のステップが設けられており、プラグインの対象となるＥＣＵとセンタ４０との間で連携することで、各ステップが実行される。

サービスディスカバリ中、センタ４０では、プラグインが行われる車両の仮想環境（具体的には、該車両や、車載システム２を構成する各ＥＣＵや、プラグインが行われるＥＣＵ等の制御モデル）が構築される。そして、各ステップの進行状況や登録テストの結果等が仮想環境上で実行される。また、プラグインを行うユーザは、センタ４０の表示部４４を視認することで各ステップの状況を把握することもできる（図７）。

なお、プラグインを行うユーザやサービスの種類に応じた仮想環境を表示するようにしても良い。具体的には、例えば、車両の所有者等といった一般ユーザによるプラグインが想定されているサービスのサービスディスカバリの際には、簡略的な仮想環境を表示しても良い。一方、車両の整備士等であるユーザによるプラグインが想定されているサービスのサービスディスカバリの際には、より詳細な仮想環境を表示しても良い。また、センタ４０にアクセスしたユーザの端末（例えば、スマフォ等の携帯端末やＰＣ等）にこのような仮想環境を表示し、各ステップの進行状況等を把握できるようにしても良い。

また、センタ４０の記憶部４２には、オーナ様情報としてサービス情報と車両情報が保存されている。サービス情報とは、サービス提供システム１において提供可能なサービスのサービスＩＤの一覧や、各サービスを提供可能なＥＣＵを示す情報や、各サービスを提供する際に必要となる関連サービスを示す情報等から構成される。また、車両情報とは、車載システム２が搭載された各車両に対応して設けられており、対応する車両に搭載された車載システム２を構成するＥＣＵや、各ＥＣＵが提供可能なサービス、及び、各ＥＣＵが現時点で提供しているサービスのサービスＩＤ等が登録されている。センタ４０は、これらの情報を随時更新する。サービスディスカバリの際には、センタ４０は、サービス情報や車両情報等に基づき、サービス検索を行う（詳細は後述する）。

以下では、サービスディスカバリを行うサービス提供システム１のシーケンスの具体例について、図８，９を用いて説明する。以下の処理は、主に、サービス提供システム１を構成するＥＣＵや外部サーバの制御部等により実行される。

Ｓ２００では、ユーザは、上述したプラグインを行う。プラグインの具体例としては、車載ネットワーク３に新たな個別ＥＣＵ１０を接続し、該個別ＥＣＵ１０により新規サービスの提供を開始させることが考えられる。このような場合には、該個別ＥＣＵ１０により提供される１又は複数の新規サービスのプラグインが行われることになる。また、この他にも、プラグインの具体例として、既存の個別ＥＣＵ１０にアプリケーションをインストールし、該アプリケーションにより提供される新規サービスのプラグインを行うことも考えられる。無論、該アプリケーションは、Ｇ／ＷＥＣＵ３０を介して外部サーバから提供されたものであっても良いし、記憶媒体から読み出されたものであっても良い。

なお、プラグインの対象となった個別ＥＣＵ１０を、対象ＥＣＵと記載する。また、本具体例では、対象ＥＣＵは、ドメインＡに対応するサブネットワーク３ａに新たに接続されるか、或いは、ドメインＡに属しているものとする。

Ｓ２０５では、対象ＥＣＵは、ドメインＡに対応するサブネットワーク３ａを介して、ドメインＡＥＣＵ（ドメインＡのドメインＥＣＵ２０）に参加申請のメッセージを送信する。該メッセージには、該サービスの認証を行うための新規サービスのサービスＩＤや、認証子等が含まれている。

Ｓ２１０，Ｓ２１５では、ドメインＡＥＣＵは、Ｇ／ＷＥＣＵ３０を介して、センタ４０に対し、対象ＥＣＵによる参加申請の可否の問合せメッセージを送信する。なお、該メッセージには、参加申請のメッセージに含まれていたサービスＩＤや認証子等が含まれている。

Ｓ２２０では、センタ４０は、問合せメッセージに含まれていたサービスＩＤや認証子や、記憶部４２に保存されている認証情報等に基づき、新規サービスの認証を行う。これにより、新規サービスが、サービス提供システム１により提供される正規のサービスか否か判定される。

Ｓ２２５，Ｓ２３０では、センタ４０は、Ｇ／ＷＥＣＵ３０を介して、ドメインＡＥＣＵに対し、認証が済んだ旨を示す認証済みメッセージを送信する。認証済みメッセージには、認証結果が含まれている。

続いて、ドメインＡＥＣＵは、認証済みメッセージに含まれる認証結果に応じて、新規サービスの参加の可否（新規サービスの提供を許可するか否か）を示すメッセージを送信する。具体的には、認証に成功した場合には、新規サービスの参加を許可する旨のメッセージを送信し、そうでない場合には、参加を許可しない旨のメッセージを送信する。本具体例では、参加を許可するメッセージが送信される（Ｓ２３５）。なお、対象ＥＣＵが参加を許可しない旨のメッセージを受信した場合には、サービスディスカバリは終了し、プラグインは失敗となる。

なお、Ｓ２００〜Ｓ２３５は、上述した“参加認可”というステップに該当する。
Ｓ２４０，Ｓ２４５では、対象ＥＣＵは、ドメインＡＥＣＵ，Ｇ／ＷＥＣＵ３０を介して、センタ４０に対し、新規サービスを提供する際に必要となる関連サービスの検索を指示するサービス検索メッセージを送信する。

Ｓ２５０では、センタ４０は、サービス情報や、プラグインがなされる車載システム２が搭載れている車両の車両情報に基づき、新規サービスの依存関係を解決する。具体的には、新規サービスを提供する上で必要な関連サービスを特定すると共に、記憶部４２に保存されているサービス情報に基づき、特定した各関連サービスが、該車載システム２を構成するＥＣＵにより提供されているか否かを判定する。

そして、提供されていない関連サービスが存在する場合には、センタ４０は、サービス情報や車両情報に基づき、車載システム２を構成するＥＣＵのうち、該関連サービスを提供可能なＥＣＵを特定する。

特定に成功した場合、センタ４０は、配信サーバ５０に対し、該関連サービスを提供するためのアプリケーションのダウンロードを指示し（Ｓ２５５）、配信サーバ５０は、これに応じてセンタ４０に該アプリケーションを送信する（Ｓ２６０）。一方、失敗した場合、センタ４０から個別ＥＣＵ１０にその旨を示すメッセージが送信され、サービスディスカバリは終了し、プラグインは失敗となる。

なお、Ｓ２５５，Ｓ２６０は、必須の処理ではなく、プラグインした新規サービスや、個別ＥＣＵ１０等にて提供可能なサービスに依存するものであることを、念のため付言しておく。

つまり、全ての関連サービスが個別ＥＣＵ１０等にて提供されている場合には、アプリケーションのダウンロードは不要となる。一方、サービス依存関係解決にて新たに必要となるアプリケーションが検知された場合には、Ｓ２５５，Ｓ２６６により該アプリケーションのダウンロードが行われる。さらに、サービス依存関係解決にて任意の拡張アプリケーション等が設けられていることが検知され、ユーザからの指示に応じて該拡張アプリケーションを追加する場合が想定される。このような場合、後述するＳ３２０やＳ５８５の完了後、拡張アプリケーションがダウンロードされる。

Ｓ２６５，Ｓ２７０では、センタ４０は、Ｇ／ＷＥＣＵ３０，ドメインＡＥＣＵを介して、対象ＥＣＵに対し、特定した関連サービスのサービスＩＤの一覧を示すメッセージを送信する。この時、センタ４０は、配信サーバ５０からダウンロードした関連サービスを提供するためのアプリケーションをいずれかのＥＣＵに送信し、該ＥＣＵに該アプリケーションをインストールしても良い。このような場合には、新規サービスの場合と同様にして、該アプリケーションにより新たに実行される関連サービスについての参加認可，サービス検索，通信認可，登録テスト，動作認可を行っても良い。

なお、サービス検索にて必要な関連サービスが見つからなかった場合や、必要な関連サービスを提供できない場合等には、サービスディスカバリは終了し、プラグインは失敗となる。

また、Ｓ２４０〜Ｓ２７０は、上述した“サービス検索”というステップに該当する。
続いて、対象ＥＣＵは、関連サービスを提供する個別ＥＣＵ１０が属するドメインＥＣＵ２０に対し、該個別ＥＣＵ１０との間の通信の申請を行う。また、新規サービスを提供する際に外部サーバと通信を行う場合には、Ｇ／ＷＥＣＵ３０に対する通信の申請を行う。

本具体例では、対象ＥＣＵは、まず、ドメインＡＥＣＵに対し、通信申請メッセージを送信する（Ｓ２７５）。通信申請メッセージには、新規サービスや、新規サービスの提供に必要な関連サービスのサービスＩＤ等が含まれている。

ドメインＡＥＣＵは、通信申請メッセージに含まれている情報に基づき、対象ＥＣＵとドメインＡに属する個別ＥＣＵ１０との間の通信を許可するか否かを判定する。本具体例では、ドメインＡＥＣＵは該通信を認可してルーティング情報等を更新し（Ｓ２８０）、通信認可メッセージを対象ＥＣＵに送信する（Ｓ２８５）。

同様にして、対象ＥＣＵは、ドメインＡＥＣＵを介して、ドメインＢＥＣＵに通信申請メッセージを送信する（Ｓ２９０）。ドメインＢＥＣＵは、通信申請メッセージに含まれている情報に基づき、対象ＥＣＵとドメインＢに属する個別ＥＣＵ１０との間の通信を許可するか否かを判定する。本具体例では、ドメインＢＥＣＵは該通信を認可してルーティング情報等を更新し（Ｓ２９５）、ドメインＡＥＣＵを介して、通信認可メッセージを対象ＥＣＵに送信する（Ｓ３００）。

Ｓ３０５では、対象ＥＣＵは、ドメインＡＥＣＵを介して、Ｇ／ＷＥＣＵ３０に対し、新規サービスを提供するための通信の申請を行う。本具体例では、Ｇ／ＷＥＣＵ３０は、通信を認可してルーディン情報等を更新し（Ｓ３１０）、ドメインＡＥＣＵを介して、その旨を示すメッセージを対象ＥＣＵに送信する（Ｓ３１５）。これにより、新規サービスを提供する際、Ｇ／ＷＥＣＵ３０を介して外部サーバにアクセスすること等が可能となる。

なお、Ｓ２９０〜Ｓ３１５は、上述した“通信認可”というステップに該当する。
Ｓ３２０では、対象ＥＣＵは、新規サービスの参加が認められた旨をユーザに報知する。これに応じて、ユーザは、対象ＥＣＵに対し、新規サービスの登録開始を指示する操作を行う（Ｓ３２５）。これにより、新規サービスが正常に提供されるかどうかのテストがなされる。なお、対象ＥＣＵは、テストにおいて、関連サービスを提供する個別ＥＣＵ１０や、該個別ＥＣＵ１０が属するドメイン４のドメインＥＣＵ２０と通信を行い、これらのＥＣＵとの間でメッセージの送受信が可能か否かを判定しても良い。また、対象ＥＣＵは、このような通信を行うことで、対象ＥＣＵと関連サービスを提供する個別ＥＣＵ１０を連動して動作させ、この時の電源状態を確認しても良い。また、新規サービスにてＧ／ＷＥＣＵ３０を介して外部サーバにアクセスする必要がある場合には、対象ＥＣＵは、該外部サーバやＧ／ＷＥＣＵ３０と通信を行うことで、これらの装置との間の通信状態を確認しても良い。

続いて、対象ＥＣＵは、テストの際に通信相手となるＥＣＵに対し、新規サービスのテストの開始を指示する登録開始通知メッセージを送信する。登録開始通知メッセージには、新規サービスのサービスＩＤ等が含まれている。なお、登録開始通知メッセージを受信したＥＣＵは、現状の自装置の機能でテストを実施可能か否か判定し、実施不可能と判定した場合には、配信サーバ５０からテストを行うためのアプリケーションをダウンロードし、自装置にインストールする。なお、テストを行うためのアプリケーションは、永続的に保持しておく必要はないため、テスト終了後にアンインストールしても良い。

本具体例では、対象ＥＣＵは、まず、ドメインＡＥＣＵに対し、登録開始通知メッセージを送信する（Ｓ３３０）。
Ｓ３３５では、ドメインＡＥＣＵは、新規サービスのテストを行うためのモードに移行する。これにより、ドメインＡＥＣＵは、通常動作が制限された状態になる。そして、モード移行がなされた旨のメッセージを対象ＥＣＵに送信する（Ｓ３４０）。

Ｓ３４５では、対象ＥＣＵは、ドメインＡＥＣＵを介して、ドメインＢＥＣＵに対し登録開始通知メッセージを送信し、これに応じて、ドメインＢＥＣＵは、ドメインＡＥＣＵと同様にモード移行する（Ｓ３５０）。

Ｓ３５５では、ドメインＢＥＣＵは、Ｇ／ＷＥＣＵ３０を介して、配信サーバ５０に対し、新規サービスのテストを行うためのアプリケーションのダウンロードの申請を送信する。配信サーバ５０は、Ｇ／ＷＥＣＵ３０を介して、ドメインＢＥＣＵに該アプリケーションを送信し（Ｓ３６０）、ドメインＢＥＣＵは、該アプリケーションをインストールする（Ｓ３６５）。そして、モード移行がなされた旨のメッセージを、ドメインＡＥＣＵを介して対象ＥＣＵに送信する（Ｓ３７０）。

Ｓ３７５では、対象ＥＣＵは、ドメインＡＥＣＵを介して、Ｇ／ＷＥＣＵ３０に対し登録開始通知メッセージを送信する。これに応じて、Ｇ／ＷＥＣＵ３０は、ドメインＡＥＣＵと同様にモード移行し（Ｓ３８０）、ドメインＡＥＣＵを介して、モード移行がなされた旨のメッセージを対象ＥＣＵに送信する（Ｓ３８５）。

Ｓ３９０〜Ｓ４００では、対象ＥＣＵは、ドメインＡＥＣＵ，Ｇ／ＷＥＣＵ３０を介して、センタ４０に対し、テストの開始を指示するテスト開始申請メッセージを送信する。テスト開始申請メッセージには、新規サービスのサービスＩＤ等が含まれている。

Ｓ４０５では、センタ４０は、テスト結果を示すための仮想環境の表示を開始し、センタ４０は、Ｇ／ＷＥＣＵ３０，ドメインＡＥＣＵを介して、対象ＥＣＵに対し、テストの開始を指示するメッセージを送信する（Ｓ４１０〜Ｓ４２０）。

Ｓ４２５では、対象ＥＣＵは、テストメッセージを生成してドメインＡＥＣＵに送信する。一方、ドメインＡＥＣＵは、受信したテストメッセージに基づきテスト処理を行い（Ｓ４３０）、Ｇ／ＷＥＣＵ３０を介して、テスト処理の結果を示すメッセージをセンタ４０に送信する（Ｓ４３５，Ｓ４４０）。そして、センタ４０は、受信したメッセージに基づき、対象ＥＣＵとドメインＡＥＣＵとの間のテスト結果を判定する（Ｓ４４５）。また、ドメインＡＥＣＵは、対象ＥＣＵに対し、テストメッセージを送信する（Ｓ４５０）。なお、該テストメッセージは、先に行われたテスト処理の結果に応じた内容となっていても良い。

Ｓ４５５では、対象ＥＣＵは、ドメインＡＥＣＵから受信したテストメッセージに基づきテスト処理を行い、ドメインＡＥＣＵを介して、ドメインＢＥＣＵに対し、テストメッセージを送信する（Ｓ４６０，Ｓ４６５）。なお、該テストメッセージは、先に行われたテスト処理の結果に応じた内容となっていても良い。

Ｓ４７０では、ドメインＢＥＣＵは、受信したテストメッセージに基づきテスト処理を行い、Ｇ／ＷＥＣＵ３０を介して、テスト処理の結果を示すメッセージをセンタ４０に送信する（Ｓ４７５，Ｓ４８０）。そして、センタ４０は、受信したメッセージに基づき、対象ＥＣＵとドメインＢＥＣＵとの間のテスト結果を判定する（Ｓ４８５）。また、ドメインＢＥＣＵは、ドメインＡＥＣＵを介して、対象ＥＣＵに対し、テストメッセージを送信する（Ｓ４９０，Ｓ４９５）。なお、該テストメッセージは、先に行われたテスト処理の結果に応じた内容となっていても良い。

Ｓ５００では、対象ＥＣＵは、ドメインＢＥＣＵから受信したテストメッセージに基づきテスト処理を行う。そして、該テスト処理の結果と、先に行われたテスト処理の結果とを全て示す結果確認メッセージを、ドメインＡＥＣＵ，Ｇ／ＷＥＣＵ３０を介してセンタ４０に送信する（Ｓ５０５〜Ｓ５１５）。

センタ４０は、受信した確認結果メッセージに基づき、新規サービスを問題無く提供できるか否かを判定する完了判定を行い（Ｓ５２０）、問題無く提供できる場合には、新規サービスの提供を許可し、そうでない場合には許可しない。そして、新規サービスの提供の可否を示す判定情報メッセージを、Ｇ／ＷＥＣＵ３０，ドメインＡＥＣＵを介して対象ＥＣＵに送信する（Ｓ５２５〜Ｓ５３５）。

なお、Ｓ３３０〜Ｓ５３５は、上述した“登録テスト”というステップに該当する。
続いて、対象ＥＣＵは、関連サービスを提供する個別ＥＣＵ１０が属するドメインＥＣＵ２０に対し、テストの結果（換言すれば、センタ４０により新規サービスの提供が許可されたか否か）を送信する。また、新規サービスを提供する際に外部サーバと通信を行う場合には、Ｇ／ＷＥＣＵ３０にテストの結果を送信する。

Ｓ５４０では、対象ＥＣＵは、テスト結果を示すテスト結果報告メッセージを、ドメインＡＥＣＵに送信する。ドメインＡＥＣＵは、テスト結果報告メッセージが新規サービスの提供を許可する旨を示している場合には、新規サービスの提供を認可し、そうでない場合には認可しない。本具体例では、ドメインＡＥＣＵは、新規サービスの提供を認可し（Ｓ５４５）、その旨を示すメッセージを対象ＥＣＵに送信する（Ｓ５５０）。

Ｓ５５５では、対象ＥＣＵは、テスト結果を示すテスト結果報告メッセージを、ドメインＡＥＣＵを介してドメインＢＥＣＵに送信する。ドメインＢＥＣＵは、ドメインＡＥＣＵと同様にして新規サービスの提供を認可し（Ｓ５６０）、その旨を示すメッセージを、ドメインＡＥＣＵを介して対象ＥＣＵに送信する（Ｓ５６５）。

Ｓ５７０では、対象ＥＣＵは、テスト結果を示すテスト結果報告メッセージを、ドメインＡＥＣＵを介してＧ／ＷＥＣＵ３０に送信する。Ｇ／ＷＥＣＵ３０は、ドメインＡＥＣＵと同様にして新規サービスの提供を認可し（Ｓ５７５）、その旨を示すメッセージを、ドメインＡＥＣＵを介して対象ＥＣＵに送信する（Ｓ５８０）。

Ｓ５８５は、対象ＥＣＵは、参加が完了した旨（プラグインが成功した旨）をユーザに報知する。ユーザが車載システムを再起動させると（Ｓ５９０）、対象ＥＣＵに搭載されたサービス１００により、新規サービスの提供が開始される。

なお、上記具体例では、個別ＥＣＵ１０により提供される新規サービスをプラグインする場合を例示したが、ドメインＥＣＵ２０やＧ／ＷＥＣＵ３０により提供される新規サービスをプラグインする場合も、同様にしてサービスディスカバリが行われる。

［具体例１］
次に、サービス提供システム１に、近接通報システム（クリソナセンサ）として構成された個別ＥＣＵ１０により提供される新規サービスをプラグインする具体例１について説明する。

近接通報システムは、予め定められた閾値以下の速度で自車両が運転されている場合に、自車両のフロントバンパに設けられた超音波センサにより自車両周辺の物体を検出し、映像や音声を介して自車両が物体に衝突する危険性を警告するよう構成されている。

近接通報システムは、超音波センサにより自車両周辺の物体を検出するというサービス（物体検出サービス）を提供する。そして、物体検出サービスの提供に伴い、自車両の速度を検出する関連サービスや、ドライバの有無を検出する関連サービスや、ドライバに対し映像や音声を介して警告を発する関連サービスが必要となる。

近接通報システムが車載ネットワーク３に接続されると、上述した物体検出サービスが新規サービスとしてプラグインされ、サービスディスカバリが開始される。
サービスディスカバリにおけるサービス検索では、上述した関連サービスが特定される。そして、車載システム２を構成するＥＣＵでこれらの関連サービスが提供されている場合には、センタ４０は、近接通報システムに対し、これらの関連サービスのサービスＩＤを通知する。

一方、車載システム２を構成するＥＣＵでこれらの関連サービスは提供されていないが、該関連サービスを提供可能なＥＣＵが車載システム２に設けられている場合には、センタ４０は、該関連サービスを提供するためのアプリケーションを配信サーバ５０から取得する。そして、該アプリケーションを該ＥＣＵに対し送信し、該ＥＣＵにインストールする。また、該関連サービスを提供可能なＥＣＵが車載システム２に設けられていない場合には、プラグインは失敗となる。

その後、通信認可，登録テスト，動作認可の各ステップを経てプラグインが成功すると、自車用にて近接通報システムを稼働させることができるようになる。
［具体例２］
次に、サービス提供システム１に、バックガイドモニタシステムとして構成された個別ＥＣＵ１０により提供される新規サービスをプラグインする具体例２について説明する。

バックガイドモニタシステムは、自車両のシフトレバーの位置がバックである場合に、自車両後方を撮影する後方カメラによる撮影画像をモニタに表示するよう構成されている。

バックガイドモニタシステムは、後方カメラによる撮影画像をモニタに表示するというサービス（後方表示サービス）を提供する。そして、後方表示サービスの提供に伴い、シフトレバーの位置を検出する関連サービスが必要となる。

バックガイドモニタシステムが車載ネットワーク３に接続されると、上述した後方表示サービスが新規サービスとしてプラグインされ、サービスディスカバリが開始される。
サービスディスカバリにおけるサービス検索では、上述した関連サービスが特定される。そして、具体例１と同様にして、バックガイドモニタシステムに関連サービスのサービスＩＤが通知されたり、関連サービスを提供するためのアプリケーションがＥＣＵにインストールされたりする。また、該関連サービスを提供可能なＥＣＵが車載システム２に設けられていない場合には、プラグインは失敗となる。

その後、通信認可，登録テスト，動作認可の各ステップを経てプラグインが成功すると、自車両にてバックガイドモニタシステムを稼働させることができるようになる。
なお、上述した具体例１，２は、本発明におけるプラグインを説明するための一例であり、本発明は、具体例１，２に限らず、様々なサービスをプラグインする際に適用可能であることを、念のため付言しておく。

［効果］
本実施形態のサービス提供システム１によれば、新規サービスをプラグインすると、サービスディスカバリの登録テストにて新規サービスのテストが行われ、テスト結果がセンタ４０に送信される。センタ４０は、テスト結果に基づき新規サービスの提供を許可するか否か決定し、許可が得られた場合には、新規サービスの提供が開始される。このため、車両に追加されるサービスの安全性を確保することができる。

また、新規サービスのテストは、新規サービスを提供する対象ＥＣＵと他のＥＣＵとの間で通信を行うことで実現される。具体的には、対象ＥＣＵと、関連サービスを提供する個別ＥＣＵ１０が属するドメイン４のドメインＥＣＵ２０等との間で通信を行うことで、新規サービスのテストが行われる。また、新規サービスにて外部サーバとの間で通信がなされる場合には、対象ＥＣＵとＧ／ＷＥＣＵ３０との間で通信を行うことで、新規サービスのテストが行われる。このため、他のＥＣＵと連携して新規サービスを提供する場合の動作状態についてテストすることができ、新規サービスの安全性をより確実に確保することができる。

また、サービスディスカバリの参加認可において、センタ４０で新規サービスの認証がなされ、認証に成功した場合には新規サービスのプラグインが認められる。このため、不正な新規サービスがプラグインされるのを防止できる。

また、サービスディスカバリのサービス検索において、新規サービスの提供に必要となる関連サービスが探し出され、対象ＥＣＵに関連サービスのサービスＩＤが通知される。これにより、対象ＥＣＵは、関連サービスを正確に把握でき、新規サービスを確実に提供可能となる。

さらに、車載システム２を構成する各ＥＣＵで関連サービスが提供されていない場合には、いずれかのＥＣＵに関連サービスを提供するためのアプリケーションがダウンロードされ、該ＥＣＵに該アプリケーションがインストールされる。このため、ユーザの手を煩わせること無く、確実に新規サービスの提供を開始できる。

また、関連サービスが他のドメイン４に属する個別ＥＣＵ１０により提供される場合には、対象ＥＣＵは、該ドメイン４のドメインＥＣＵ２０に通信申請を行い、該個別ＥＣＵ１０との間の通信が可能な状態にする。このため、ユーザの手を煩わせること無く、確実に新規サービスの提供を開始できる。

なお、センタ４０は、プラグインにより実施された処理の記録（履歴情報）を、プラグインがなされた車両のオーナ様情報と対応付けて保存し、ユーザ等からの指示に応じて履歴情報を開示しても良い。これにより、問題発生時のトレーサビリティを確保し、信頼性を高めることができる。

［他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されることなく、種々の形態を採り得る。

（１）本実施形態のサービス提供システム１は、センタ４０と、配信サーバ５０と、車載システム２とから構成されている。しかしながら、センタ４０や配信サーバ５０に替えて、車載システム２を構成するＧ／ＷＥＣＵ３０と有線又は無線を介して直接的に通信可能に構成され、センタ４０や配信サーバ５０と同様の機能を備える外部装置を用いても良い。このような場合であっても、同様の効果を得ることができる。

（２）本実施形態では、サービスディスカバリにおいて、車載システム２とセンタ４０との間で通信を行い、センタ４０に保存されているサービス情報や車両情報に基づきサービス検索が行われる。しかしながら、これに限らず、車載システム２にてサービス検索を行っても良い。

具体的には、例えば、Ｇ／ＷＥＣＵ３０やドメインＥＣＵ２０にてサービス情報や車両情報を有し、該ＥＣＵにてサービス依存関係の解決を行っても良い。そして、Ｇ／ＷＥＣＵ３０等から対象ＥＣＵに対し、関連サービスのサービスＩＤを通知しても良いし、配信サーバ５０に対し、いずれかのＥＣＵに関連サービスを提供するアプリケーションのダウンロードを指示しても良い。無論、Ｇ／ＷＥＣＵ３０等に限らず、個別ＥＣＵ１０にて同様にしてサービス依存関係の解決を行っても良い。このような場合であっても、同様の効果を得ることができる。

（３）本実施形態における１つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を１つの構成要素に統合させたりしてもよい。また、本実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、本実施形態の構成の一部を省略してもよい。また、本実施形態の構成の少なくとも一部を、他の実施形態の構成に対して付加又は置換してもよい。なお、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。

（４）上述したサービス提供システムの他、サービス提供システムを構成する個別ＥＣＵ１０，ドメインＥＣＵ２０，Ｇ／ＷＥＣＵ３０，センタ４０等の形態で本発明を実現することもできる。また、個別ＥＣＵ１０，ドメインＥＣＵ２０，Ｇ／ＷＥＣＵ３０，センタ４０等としてコンピュータを機能させるためのプログラム、このプログラムを記録した媒体、これらのＥＣＵやセンタ４０等により実現される処理に相当する方法など、種々の形態で本発明を実現することもできる。

［特許請求の範囲との対応］
上記実施形態の説明で用いた用語と、特許請求の範囲の記載に用いた用語との対応を示す。

本実施形態のドメインＥＣＵ２０が中継ＥＣＵの一例に、センタ４０，配信サーバ５０が外部装置の一例に、センタ４０の記憶部４２が記憶手段の一例に相当する。また、ＥＣＵや外部サーバのプログラムにおけるサービス１００が、新規サービス提供手段，関連サービス提供手段の一例に相当する。

また、サービスディスカバリのシーケンスの具体例におけるＳ２０５がＥＣＵ送信手段の一例に、Ｓ２２５が認証手段の一例に、Ｓ２５０がサービス検索手段の一例に、Ｓ２６０，Ｓ２６５がプログラム提供手段の一例に、Ｓ２７５，Ｓ２９０が要求手段の一例に、Ｓ２８０，Ｓ２９５が開始手段の一例に、Ｓ３９０がＥＣＵ送信手段の一例に、Ｓ４１０がテスト指示手段の一例に、Ｓ４２５，Ｓ４５５，Ｓ４６０，Ｓ５００，Ｓ５０５がテスト手段の一例に、Ｓ５２５外部装置送信手段の一例に相当する。

１…サービス提供システム、２…車載システム、３…車載ネットワーク、４…ドメイン、５…公衆通信回線網、１０…個別ＥＣＵ、１１…通信部、１２…記憶部、１３…制御部、２０…ドメインＥＣＵ、２１…通信部、２２…通信部、２３…制御部、２４…記憶部、３０…Ｇ／ＷＥＣＵ、３１…車内通信部、３２…外部通信部、３３…制御部、３４…記憶部、４０…センタ、４１…通信部、４２…記憶部、４３…制御部、４４…表示部、４５…操作部。

Claims (7)

1. 車両に搭載され、車載ネットワーク（２）を介して互いに通信可能に構成されており、サービスを提供する複数のＥＣＵ（１０，２０，３０）と、前記ＥＣＵと通信を行う外部装置（４０，５０）と、から構成されるサービス提供システム（１）であって、
   前記ＥＣＵは、
   当該ＥＣＵが前記車載ネットワークに新たに接続されたことにより新たに提供可能になった前記サービス、又は、前記車載ネットワークに接続されている当該ＥＣＵに新たにインストールされたプログラムにより新たに提供可能になった前記サービスである新規サービスの提供を開始する前に、該新規サービスの識別情報を前記外部装置に送信するＥＣＵ送信手段と（Ｓ２０５、Ｓ３９０）、
   前記外部装置からのテスト指示に応じて、前記新規サービスに関するテストを行い、該テストの結果を外部に送信するテスト手段と（Ｓ４２５，Ｓ４５５，Ｓ４６０，Ｓ５００，Ｓ５０５）、
   前記外部装置から受信した判定情報が、前記新規サービスの提供を許可する旨を示している場合には、該新規サービスの提供を開始する新規サービス提供手段と（１００）、を備え、
   前記外部装置は、
   認証情報を記憶している認証情報記憶手段（４２）と、
   前記ＥＣＵから受信した前記新規サービスの前記識別情報と、前記認証情報記憶手段に記憶されている前記認証情報とに基づき、前記新規サービスが提供可能な前記サービスか否かを判定する判定手段と（Ｓ２２０）、
   前記判定手段により肯定判定が得られた場合に、前記識別情報の送信元である対象ＥＣＵに対し、該識別情報に係る前記新規サービスに関する前記テスト指示を送信するテスト指示手段と（Ｓ４１０）、
   前記テストの結果を受信すると、該結果に基づき前記新規サービスの提供を許可するか否かを判定し、該判定結果を示す前記判定情報を前記対象ＥＣＵに送信する外部装置送信手段と（Ｓ５２５）、を備えること、
   を特徴とするサービス提供システム。
2. 請求項１に記載のサービス提供システムにおいて、
   前記外部装置は、
   前記ＥＣＵにより提供される前記サービスの前記識別情報を記憶している識別情報記憶手段と（４２）、
   受信した前記識別情報に係る前記新規サービスを提供するために必要となる前記サービスである関連サービスの前記識別情報を、前記識別情報記憶手段から読み出し、前記対象ＥＣＵに送信するサービス検索手段と（Ｓ２５０）、をさらに備え、
   前記テスト手段は、前記外部装置から受信した前記識別情報に係る前記関連サービスを提供するための前記ＥＣＵと通信を行うことで、前記テストを行うこと、
   を特徴とするサービス提供システム。
3. 請求項１又は請求項２に記載のサービス提供システムにおいて、
   前記外部装置は、
   前記ＥＣＵにより提供される前記サービスの前記識別情報を記憶している識別情報記憶手段と（４２）、
   受信した前記識別情報に係る前記新規サービスを提供するために必要となる前記サービスである関連サービスの前記識別情報を、前記識別情報記憶手段から読み出し、前記対象ＥＣＵに送信するサービス検索手段と（Ｓ２５０）、をさらに備え、
   前記新規サービス提供手段は、いずれかの前記ＥＣＵに、前記外部装置から受信した前記識別情報に係る前記関連サービスを提供させながら、前記新規サービスを提供すること、
   を特徴とするサービス提供システム。
4. 請求項２又は請求項３に記載のサービス提供システムにおいて、
   前記外部装置は、前記関連サービスを提供するためのプログラムである関連サービスプログラムを、前記ＥＣＵに提供するプログラム提供手段（Ｓ２６０，Ｓ２６５）をさらに備え、
   前記ＥＣＵは、前記外部装置から提供された前記関連サービスプログラムに従い動作し、前記関連サービスを提供する関連サービス提供手段（１００）をさらに備えること、
   を特徴とするサービス提供システム。
5. 請求項２から請求項４のうちのいずれか１項に記載のサービス提供システムにおいて、
   前記サービス提供システムには、１又は複数の前記ＥＣＵが属するドメイン（４）が設けられており、
   それぞれの前記ドメインに対応して中継ＥＣＵ（２０）が設けられており、前記ドメインに属する前記ＥＣＵは、該ドメインに対応する前記中継ＥＣＵに接続されており、
   前記対象ＥＣＵは、前記外部装置から、前記関連サービスの前記識別情報を受信すると、該識別情報に基づき、該関連サービスを提供する他の前記ＥＣＵである関連ＥＣＵが接続された前記ドメインに設けられた前記中継ＥＣＵに対し、該関連ＥＣＵとの通信を要求する要求手段をさらに備え（Ｓ２７５，Ｓ２９０）、
   前記中継ＥＣＵは、前記対象ＥＣＵからの前記要求に応じて、前記対象ＥＣＵと前記関連ＥＣＵとの間の通信を開始させる開始手段をさらに備えること（Ｓ２８０，Ｓ２９５）、
   を特徴とするサービス提供システム。
6. 車両に搭載され、車載ネットワーク（２）を介して通信可能に構成されており、サービスを提供するＥＣＵであって、
   当該ＥＣＵが前記車載ネットワークに新たに接続されたことにより新たに提供可能になった前記サービス、又は、前記車載ネットワークに接続されている当該ＥＣＵに新たにインストールされたプログラムにより新たに提供可能になった新規サービスの提供を開始する前に、該新規サービスの識別情報を外部装置（４０，５０）に送信するＥＣＵ送信手段と（Ｓ２０５、Ｓ３９０）、
   前記外部装置にて前記新規サービスが提供可能な前記サービスと判定された場合に前記外部装置から送信されるテスト指示に応じて、前記新規サービスに関するテストを行い、該テストの結果を外部に送信するテスト手段と（Ｓ４２５，Ｓ４５５，Ｓ４６０，Ｓ５００，Ｓ５０５）、
   前記外部装置から受信した判定情報が、前記新規サービスの提供を許可する旨を示している場合には、該新規サービスの提供を開始する新規サービス提供手段と（１００）、
   を備えることを特徴とするＥＣＵ（１０）。
7. 車両に搭載された複数のＥＣＵ（１０，２０，３０）であって、車載ネットワーク（２）を介して互いに通信可能に構成されており、サービスを提供する前記複数のＥＣＵと通信を行う外部装置（４０）であって、
   認証情報を記憶している認証情報記憶手段（４２）と、
   前記ＥＣＵから受信した新規サービスの前記識別情報と、前記認証情報記憶手段に記憶されている前記認証情報とに基づき、前記新規サービスが提供可能な前記サービスか否かを判定する判定手段と（Ｓ２２０）、
   前記判定手段により肯定判定が得られた場合に、前記識別情報の送信元である前記ＥＣＵに対し、該識別情報に係る前記新規サービスに関する前記テスト指示を送信するテスト指示手段と（Ｓ４１０）、
   前記テスト指示に応じて行われたテストの結果を受信すると、該結果に基づき前記新規サービスの提供を許可するか否かを判定し、該判定結果を示す判定情報を前記ＥＣＵに送信する外部装置送信手段と（Ｓ５２５）、
   を備え、
   前記新規サービスとは、前記ＥＣＵが前記車載ネットワークに新たに接続されたことにより新たに提供可能になった前記サービス、又は、前記車載ネットワークに接続されている前記ＥＣＵに新たにインストールされたプログラムにより新たに提供可能になった前記サービスであること、
   を特徴とする外部装置（４０）。

Images