JP7025200B2 - プログラム制御装置、プログラム制御システムおよびプログラム制御方法 - Google Patents

Description

本発明は、プログラム制御装置、プログラム制御システムおよびプログラム制御方法に関する。

従来、例えば、車載ＥＣＵ（Electronic Control Unit）が実行するプログラムを書き換えるプログラム制御装置がある。プログラム制御装置は、例えば、センタから新しいプログラムが配信された場合に、車載ＥＣＵのプログラムを新しいプログラムに更新する（たとえば、特許文献１参照）。

特開２００９－５９３３４号公報

しかしながら、従来の技術では、車載ＥＣＵが正規プログラムから非正規プログラムに書き換えられた場合において、車載ＥＣＵに対して適切な処理を行っているとは言えなかった。

本発明は、上記に鑑みてなされたものであって、ＥＣＵに対して適切な処理を行うことができるプログラム制御装置、プログラム制御システムおよびプログラム制御方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係るプログラム制御装置は、取得部と、処理部とを備える。前記取得部は、所定のタイミングが到来した場合に、車両に搭載される電子装置に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および前記電子装置の前記車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する。前記処理部は、前記取得部が取得した前記照合情報に基づき前記プログラムが前記非正規であった場合、前記レベル情報の前記影響レベルに応じた処理を行う。

本発明によれば、ＥＣＵに対して適切な処理を行うことができる。

図１は、実施形態に係るプログラム制御システムを示す図である。 図２は、実施形態に係るプログラム制御装置の構成を示すブロック図である。 図３は、実施形態に係るサーバ装置の構成を示すブロック図である。 図４は、プログラム情報の説明図である。 図５は、ＥＣＵ情報の説明図である。 図６は、接続履歴情報の説明図である。 図７は、品番情報の説明図である。 図８は、対応指示情報の説明図である。 図９は、実施形態に係るプログラム制御装置が実行する処理の処理手順を示すフローチャートである。 図１０は、実施形態に係るサーバ装置が実行する処理の処理手順を示すフローチャートである。

以下、添付図面を参照して、本願の開示するプログラム制御装置、プログラム制御システムおよびプログラム制御方法の実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。

まず、図１を用いて実施形態に係るプログラム制御システムＳについて説明する。図１は、実施形態に係るプログラム制御システムＳを示す図である。図１に示すように、プログラム制御システムＳは、例えば、プログラム制御装置１と、サーバ装置１０と、車両ＥＣＵ（Electronic Control Unit）１００（電子装置の一例）とを含む。

プログラム制御装置１とサーバ装置１０とは、例えば、図示しないネットワークによって接続される。かかるネットワークは、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、電話網（携帯電話網、固定電話網等）、地域ＩＰ（Internet Protocol）網、インターネット等の通信ネットワークである。また、プログラム制御装置１と車両ＥＣＵ１００は、例えば、ＣＡＮ（Controller Area Network）等の車内ネットワークによって接続される。

プログラム制御装置１は、車両に搭載される電子制御装置であり、実施形態に係るプログラム制御方法を実行する。例えば、プログラム制御装置１は、サーバ装置１０からの指示に基づいて車両ＥＣＵ１００に対して処理を行う。なお、車両ＥＣＵ１００への処理については後述する。

サーバ装置１０は、プログラム制御装置１から送信される情報に基づいて各種処理を行う情報処理装置である。サーバ装置１０は、プログラム制御装置１から送信される情報に基づいて車両ＥＣＵ１００のプログラムが正規プログラムか非正規プログラムであるかを判定する判定処理を行う情報処理装置である。また、サーバ装置１０は、車両ＥＣＵ１００のプログラムが非正規プログラムであった場合に、車両ＥＣＵ１００の車両の制御における影響の度合いを示す影響レベルを判定する判定処理を行う。より具体的には、影響レベルは、例えば、車両の制御において車両ＥＣＵ１００の機能がどの程度重要であるかを示す度合いである。

また、サーバ装置１０は、上記した判定処理の結果に基づいてプログラム制御装置１へ車両ＥＣＵ１００に対する対応を指示する情報処理装置でもある。なお、サーバ装置１０は、正規か非正規かの判定処理を行うサーバ装置と、影響レベルを判定するサーバ装置と、対応を指示するサーバ装置とが別体で構成されてもよい。

車両ＥＣＵ１００は、車両を制御するＥＣＵである。例えば、車両ＥＣＵ１００は、エンジンの燃料噴射量等を制御する制御装置である。あるいは、車両ＥＣＵ１００は、エアバッグの展開を制御する制御装置や、エアコンを制御する制御装置等であってもよい。

なお、図１では一例として、１台のプログラム制御装置１に１台の車両ＥＣＵ１００が接続される場合を示しているが、１台のプログラム制御装置１に複数台の車両ＥＣＵ１００が接続されてもよい。

ところで、例えば、車両ＥＣＵ１００は、正規プログラムから非正規プログラムに不正に書き換えられる場合がある。しかしながら、従来のプログラム制御方法では、例えば、新しい正規プログラムが配信されることで、非正規プログラムから正規プログラムに書き換えられるが、単に書き換えるだけでは再度非正規プログラムに書き換えられるおそれがある。あるいは、非正規プログラムが実行されることで、車両の制御が異常となるおそれもある。このように、従来は、車両ＥＣＵに対して適切に処理できているとは言えなかった。

そこで、実施形態に係るプログラム制御装置１は、車両ＥＣＵ１００の車両の制御における影響の度合いを示す影響レベルに応じた処理を行う。例えば、実施形態に係るプログラム制御装置１は、影響レベルがある程度大きい場合、非正規プログラムに書き換えられた車両ＥＣＵ１００に対して、正規プログラムに書き換えるとともに、イグニッションがオン状態になることを禁止する。一方で、影響レベルがある程度小さい場合、非正規プログラムから正規プログラムへの書き換えを行わず、車両ＥＣＵ１００を停止（つまり、車両ＥＣＵ１００の使用をロック）したり、運転者に非正規プログラムである旨を警告したりするに留める。

つまり、車両の制御に与える影響が大きい（影響レベルが大きい）車両ＥＣＵ１００については、正規プログラムへの書き換えや、車両を強制的に停止させる。一方、車両の制御に与える影響が小さい（影響レベルが小さい）車両ＥＣＵ１００については、車両ＥＣＵ１００のみの停止や、警告等に留めることで車両の走行自体は行えるようにする。

このように、実施形態に係るプログラム制御装置１では、車両ＥＣＵ１００の影響レベルに応じた処理を行うことで、従来のように単に非正規プログラムから正規プログラムに書き換える処理よりも適切な処理を行うことができる。

なお、上記した処理の開始は、イグニッションがオンされたタイミングであることが好ましい。つまり、車両が実際に走行する前にプログラム制御装置１が処理を行うことができるため、安全性を高めることができる。

次に、図２を参照して、実施形態に係るプログラム制御装置１の構成について詳細に説明する。図２は、実施形態に係るプログラム制御装置１の構成を示すブロック図である。

図２に示すように、実施形態に係るプログラム制御装置１は、制御部２と、記憶部３と、通信部４とを備える。通信部４は、ネットワークを介してサーバ装置１０と通信を行う通信インターフェースである。制御部２は、取得部２ａと、送信部２ｂと、接続判定部２ｃと、処理部２ｄとを備える。記憶部３は、プログラム情報３ａと、ＥＣＵ情報３ｂと、接続履歴情報３ｃとを記憶する。

ここで、プログラム制御装置１は、たとえば、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＨＤＤ（Hard Disk Drive）、入出力ポートなどを有するコンピュータや各種の回路を含む。

コンピュータのＣＰＵは、たとえば、ＲＯＭに記憶されたプログラムを読み出して実行することによって、制御部２の取得部２ａ、送信部２ｂ、接続判定部２ｃおよび処理部２ｄとして機能する。

また、制御部２の取得部２ａ、送信部２ｂ、接続判定部２ｃおよび処理部２ｄの少なくともいずれか一つまたは全部をＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアで構成することもできる。

また、記憶部３は、たとえば、ＲＡＭやＨＤＤに対応する。ＲＡＭやＨＤＤは、プログラム情報３ａや、ＥＣＵ情報３ｂ、接続履歴情報３ｃ、各種プログラムの情報等を記憶することができる。なお、プログラム制御装置１は、有線や無線のネットワークで接続された他のコンピュータや可搬型記録媒体を介して上記したプログラムや各種情報を取得することとしてもよい。

記憶部３に記憶されるプログラム情報３ａは、車両ＥＣＵ１００の正規プログラムに関する情報である。例えば、プログラム情報３ａは、車両ＥＣＵ１００を設置した作業者等によって予め記憶される。ここで、図４を用いて、プログラム情報３ａについて説明する。

図４は、プログラム情報３ａの説明図である。図４に示すように、プログラム情報３ａは、「プログラムＩＤ」、「ＥＣＵＩＤ」、「正規プログラムデータ」といった項目を有する。

「プログラムＩＤ」は、車両ＥＣＵ１００のプログラムを識別する情報である。「ＥＣＵＩＤ」は、車両ＥＣＵ１００を識別する情報である。「正規プログラムデータ」は、正規プログラムに書き換えるための情報であり、例えばソースコードを含む情報である。

なお、図４に示すプログラム情報３ａは、一例であり、正規プログラムのバージョンに関する情報や、最新版に更新された日時が含まれてもよい。

図２に戻ってＥＣＵ情報３ｂについて説明する。ＥＣＵ情報３ｂは、車両ＥＣＵ１００に関する情報である。ＥＣＵ情報３ｂは、後述する取得部２ａによって車両ＥＣＵ１００から取得される情報である。ここで、図５を用いて、ＥＣＵ情報３ｂについて説明する。

図５は、ＥＣＵ情報３ｂの説明図である。図５に示すように、ＥＣＵ情報３ｂは、「ＥＣＵＩＤ」、「名称」、「ＥＣＵ品番」および「ソフト品番」といった項目を含む。

「ＥＣＵＩＤ」は、車両ＥＣＵ１００を識別する情報である。「名称」は、車両ＥＣＵ１００の名称である。「ＥＣＵ品番」は、車両ＥＣＵ１００の製造番号や型番等の車両ＥＣＵ１００に付けられた固有の番号を示す情報である。「ソフト品番」は、車両ＥＣＵ１００に現在書き込まれているプログラムの品番を示す情報である。

図２に戻って接続履歴情報３ｃについて説明する。接続履歴情報３ｃは、外部装置による車両ＥＣＵ１００への有線接続の履歴を示す情報である。ここで、図６を用いて、接続履歴情報３ｃについて説明する。

図６は、接続履歴情報３ｃの説明図である。図６に示すように、接続履歴情報３ｃは、「接続元ＩＤ」および「接続日時」といった項目を有する。「接続元ＩＤ」は、接続された外部装置を識別する情報である。「接続日時」は、外部装置が接続された日時を示す情報である。接続履歴情報３ｃは、後述する接続判定部２ｃによって有線接続があったと判定された場合に更新される。

プログラム制御装置１の制御部２は、車両ＥＣＵ１００のＥＣＵ情報３ｂを取得して、サーバ装置１０へ送信するとともに、サーバ装置１０から送信される対応指示に応じた処理を行う。

取得部２ａは、サーバ装置１０および車両ＥＣＵ１００から各種情報を取得する。例えば、取得部２ａは、車両ＥＣＵ１００からＥＣＵ情報３ｂを取得して、記憶部３のＥＣＵ情報３ｂとして記憶する。

なお、ＥＣＵ情報３ｂの取得タイミングは任意である。例えば、取得部２ａは、一定期間毎にＥＣＵ情報３ｂを取得してもよく、あるいは所定のタイミングが到来した場合に、ＥＣＵ情報３ｂを取得してもよい。所定のタイミングは、例えば、イグニッションがオンされたタイミング等がある。また、取得部２ａは、サーバ装置１０から取得指示があった場合に、ＥＣＵ情報３ｂを取得するようにしてもよい。

また、取得部２ａは、サーバ装置１０から車両ＥＣＵ１００に書き込まれたプログラムが正規であるか非正規であるかの照合結果を含む照合情報を取得する。取得部２ａは、取得した照合情報を処理部２ｄへ出力する。なお、サーバ装置１０が生成する照合情報については後述する。

また、取得部２ａは、サーバ装置１０から車両ＥＣＵ１００の車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する。影響レベルは、例えば、安全性要求レベルであるＡＳＩＬ（Automotive Safety Integrity Level）や、車両ＥＣＵ１００のプロセスが正常であるかを示すＱＭ（Quality Management）等を用いることができる。なお、影響レベルは、上記に限らず、例えば車両製造メーカーが任意に設定してもよい。

送信部２ｂは、記憶部３に記憶されたＥＣＵ情報３ｂおよび接続履歴情報３ｃをサーバ装置１０へ送信する。送信部２ｂは、例えば、サーバ装置１０から送信要求があった場合に、ＥＣＵ情報３ｂおよび接続履歴情報３ｃを送信する。あるいは、送信部２ｂは、イグニッションがオンされる等の所定のタイミングが到来した場合に、ＥＣＵ情報３ｂおよび接続履歴情報３ｃを送信する。

接続判定部２ｃは、車両ＥＣＵ１００のプログラムを非正規に書き換え可能な外部装置が車両ＥＣＵ１００に有線接続されているか否かを判定する。

具体的には、接続判定部２ｃは、ＣＡＮ等の車内ネットワーク上に接続されている装置の識別情報を取得し、未知の識別情報がＣＡＮに接続されていた場合、外部装置が接続されたと判定し、接続履歴情報３ｃとして記憶する。なお、かかる外部装置とは、例えば、車両ＥＣＵ１００の検査用に一時的に接続される装置や、あるいは車両ＥＣＵ１００のプログラムを不正に非正規プログラムに書き換え可能な装置である。

具体的には、処理部２ｄは、取得部２ａが取得した照合結果に基づき車両ＥＣＵ１００の現在のプログラムが非正規であった場合、車両ＥＣＵ１００の影響レベルに応じた処理を行う。例えば、影響レベルに応じた処理は、サーバ装置１０が決定し、指示するが、具体的な処理および処理の決定方法については図８で後述する。なお、処理部２ｄは、車両ＥＣＵ１００の現在のプログラムが正規であった場合には、処理を行わない。

次に、図３を用いて、実施形態に係るサーバ装置１０の構成について詳細に説明する。図３は、実施形態に係るサーバ装置１０の構成を示すブロック図である。

図３に示すように、サーバ装置１０は、制御部２０と、記憶部３０と、通信部４０とを備える。通信部４０は、プログラム制御装置１とネットワークを介して通信を行う通信インターフェースである。なお、サーバ装置１０も、プログラム制御装置１と同様に、コンピュータや各種回路にて構成することができる。

制御部２０は、照合部２０ａと、指示部２０ｂとを備える。記憶部３０は、品番情報３０ａと、対応指示情報３０ｂとを記憶する。

品番情報３０ａは、車両ＥＣＵ１００の品番に関する情報を含む。品番情報３０ａは、照合部２０ａの照合処理の際用いられる情報である。ここで、図７を用いて、品番情報３０ａについて説明する。

図７は、品番情報３０ａの説明図である。図７に示すように、品番情報３０ａは、「ＥＣＵＩＤ」、「ＥＣＵ種別」および「正規ソフト品番」といった項目を含む。「ＥＣＵＩＤ」は、車両ＥＣＵ１００を識別する情報である。「ＥＣＵ種別」は、車両ＥＣＵ１００の機能の種別を示す情報である。「正規ソフト品番」は、車両ＥＣＵ１００の正規プログラムの品番を示す情報である。

図３に戻って対応指示情報３０ｂについて説明する。対応指示情報３０ｂは、後述する指示部２０ｂが決定する指示内容を含んだ情報である。ここで、図８を用いて、対応指示情報３０ｂについて説明する。

図８は、対応指示情報３０ｂの説明図である。図８に示すように、対応指示情報３０ｂは、「有線接続」、「影響度レベル」、「ＥＣＵ種別」および「対応指示内容」といった項目を有する。

「有線接続」は、外部装置の有線接続の有無を示す情報である。「影響レベル」は、上記したように車両の制御における影響の度合いを示す情報である。「ＥＣＵ種別」は、車両ＥＣＵ１００の機能の種別を示す情報である。「対応指示内容」は、車両ＥＣＵ１００に対するプログラム制御装置１の処理内容を示す情報である。

つまり、後述する指示部２０ｂは、対応指示情報３０ｂを参照して、プログラム制御装置１への指示内容を決定する。なお、指示部２０ｂによる対応指示情報３０ｂを用いた指示内容の決定方法については後述する。

照合部２０ａは、プログラム制御装置１から送信されるＥＣＵ情報３ｂと、記憶部３０に記憶された品番情報３０ａとを照合する。具体的には、照合部２０ａは、ＥＣＵ情報３ｂの「ソフト品番」と、品番情報３０ａの「正規ソフト品番」とが一致するか否かを判定する。

例えば、照合部２０ａは、ＥＣＵ情報３ｂの「ソフト品番」と、品番情報３０ａの「正規ソフト品番」とが一致する場合、車両ＥＣＵ１００の現在のプログラムが正規であるとの照合結果を生成する。

一方、照合部２０ａは、ＥＣＵ情報３ｂの「ソフト品番」と、品番情報３０ａの「正規ソフト品番」とが一致しない場合、車両ＥＣＵ１００の現在のプログラムが非正規であるとの照合結果を生成する。そして、照合部２０ａは、かかる照合結果を含む照合情報を指示部２０ｂへ出力する。

例えば、照合部２０ａは、図５に示すＥＣＵ情報３ｂを取得したとする。かかる場合、照合部２０ａは、ＥＣＵＩＤが「Ｅ１」のソフト品番「ＥＳ１１１」が、正規ソフト品番「ＥＳ１１１」と一致しているため、「Ｅ１」である車両ＥＣＵ１００の現在のプログラムが正規であるとする。

一方、照合部２０ａは、ＥＣＵＩＤが「Ｅ２」のソフト品番「ＥＳ９９９」が、正規ソフト品番「ＥＳ２２２」と一致していないため、「Ｅ２」である車両ＥＣＵ１００の現在のプログラムが非正規であるとする。

指示部２０ｂは、各種情報に基づいて記憶部３０に記憶された対応指示情報３０ｂを参照してプログラム制御装置１への指示内容を決定しプログラム制御装置１へ指示する。具体的には、指示部２０ｂは、まず、照合部２０ａによって非正規プログラムに書き換えられた車両ＥＣＵ１００について、プログラム制御装置１から取得した接続履歴情報３ｃを参照してかかる車両ＥＣＵ１００への有線接続の有無を判定する接続判定処理を行う。

つづいて、指示部２０ｂは、有線接続があった場合、対応指示情報３０ｂ（図８参照）の有線接続「あり」について、影響度レベルを決定する。影響度レベルは、品番情報３０ａの「ＥＣＵ種別」を参照して決定される。

そして、指示部２０ｂは、決定した影響度レベルに応じた対応指示内容をプログラム制御装置１への対応指示として決定し、プログラム制御装置１へ通知する。

図８の例において、指示部２０ｂは、有線接続「あり」、影響度レベル「１」の場合、非正規プログラムに書き換えられた車両ＥＣＵ１００を停止することで、使用をロックするとともに、運転者に対して警告を出す。警告の出力方法は、例えば、車載ナビゲーション装置の表示部へ警告画像を表示したり、音声出力してもよい。あるいは、プログラム制御装置１自体が所定の出力部を有し、かかる出力部を介して警告を行ってもよい。

また、指示部２０ｂは、影響レベル「２」の場合、正規プログラムにロールバックする指示を行う。つまり、上記のプログラム制御装置１の処理部２ｄは、影響レベルが所定の閾値（影響レベル２）以上であった場合、正規プログラムに書き換える。これにより、車両ＥＣＵ１００が非正規プログラムの状態で車両が走行することを防ぐことができる。

また指示部２０ｂは、影響レベル「３」の場合、正規プログラムにロールバックする指示を行うが、例えば、プロテクション等が施されることにより非正規プログラムから正規プログラムにロールバックできず失敗した時には、次回以降にイグニッションがオンされることを禁止する。これにより、車両を確実に停止させることができるため、車両ＥＣＵ１００の異常時における安全性を高めることができる。

また、指示部２０ｂは、有線接続「なし」の場合、無線接続により正規プログラムから非正規プログラムに書き換えられた可能性が高いため、正規プログラムへのロールバックを行うとともに、無線による非正規プログラムへのリプログラミングを禁止する。これにより、無線接続による非正規プログラムへの書き換えが再度行われることを防止できる。つまり、指示部２０ｂは、有線接続の有無に応じて異なる処理を処理部２ｄに行わせる。これにより、実施形態に係るプログラム制御装置１は、車両ＥＣＵ１００が非正規プログラムに書き換えられた経緯を考慮できるため、より適切な処理を行うことができる。

次に、図９を用いて、実施形態に係るプログラム制御装置１が実行する処理の処理手順について説明する。図９は、実施形態に係るプログラム制御装置１が実行する処理の処理手順を示すフローチャートである。

図９に示すように、まず、取得部２ａは、所定のタイミングが到来したか否かを判定する（ステップＳ１０１）。取得部２ａは、所定のタイミングが到来していない場合（ステップＳ１０１，Ｎｏ）、所定のタイミングが到来するまでステップＳ１０１の判定処理を繰り返す。

取得部２ａは、所定のタイミングが到来した場合（ステップＳ１０１，Ｙｅｓ）、車両ＥＣＵ１００のＥＣＵ情報３ｂを取得する（ステップＳ１０２）。つづいて、送信部２ｂは、取得部２ａが取得したＥＣＵ情報３ｂをサーバ装置１０へ送信する（ステップＳ１０３）。

つづいて、処理部２ｄは、サーバ装置１０から車両ＥＣＵ１００に対する対応指示を受け付ける（ステップＳ１０４）。つづいて、処理部２ｄは、受け付けた対応指示に基づく処理を行い（ステップＳ１０５）、処理を終了する。

次に、図１０を用いて、実施形態に係るサーバ装置１０が実行する処理の処理手順について説明する。図１０は、実施形態に係るサーバ装置１０が実行する処理の処理手順を示すフローチャートである。

まず、照合部２０ａは、プログラム制御装置１からＥＣＵ情報３ｂを取得したか否かを判定する（ステップＳ２０１）。照合部２０ａは、ＥＣＵ情報３ｂを取得していない場合（ステップＳ２０１，Ｎｏ）、ＥＣＵ情報３ｂを取得するまでステップＳ２０１の判定処理を繰り返す。

そして、照合部２０ａは、ＥＣＵ情報３ｂを取得した場合（ステップＳ２０１，Ｙｅｓ）、記憶部３０に記憶された品番情報３０ａとＥＣＵ情報３ｂとを照合する（ステップＳ２０２）。

指示部２０ｂは、照合部２０ａによる照合結果において、車両ＥＣＵ１００の現在のプログラムが正規であるか否かを判定する（ステップＳ２０３）。指示部２０ｂは、車両ＥＣＵ１００の現在のプログラムが正規であった場合（ステップＳ２０３，Ｙｅｓ）、処理を終了する。

一方、指示部２０ｂは、車両ＥＣＵ１００の現在のプログラムが非正規であった場合（ステップＳ２０３，Ｎｏ）、接続履歴情報３ｃに基づいて有線接続の有無を判定する（ステップＳ２０４）。

指示部２０ｂは、有線接続がなかった場合（ステップＳ２０４，Ｎｏ）、対応指示情報３０ｂにおける有線接続「なし」の対応指示を行い（ステップＳ２０５）、処理を終了する。

一方、指示部２０ｂは、有線接続があった場合（ステップＳ２０４，Ｙｅｓ）、影響レベルを決定する（ステップＳ２０６）。つづいて、指示部２０ｂは、対応指示情報３０ｂにおける影響レベルに応じた対応指示を行い（ステップＳ２０７）、処理を終了する。

上述してきたように、実施形態に係るプログラム制御装置１は、取得部２ａと、処理部２ｄとを備える。取得部２ａは、所定のタイミングが到来した場合に、車両に搭載される電子装置（車両ＥＣＵ１００）に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および電子装置の車両の制御における影響の度合いを示す影響レベルに関するレベル情報（品番情報３０ａの「ＥＣＵ種別」）を取得する。処理部２ｄは、取得部２ａが取得した照合情報に基づきプログラムが非正規であった場合、レベル情報の影響レベルに応じた処理を行う。これにより、ＥＣＵに対して適切な処理を行うことができる。

なお、上述したプログラム制御システムＳでは、プログラム制御装置１とサーバ装置１０とが別体で構成されたが、プログラム制御装置１とサーバ装置１０とが一体で構成された装置が車両に搭載されてもよい。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１ プログラム制御装置
２、２０ 制御部
２ａ 取得部
２ｂ 送信部
２ｃ 接続判定部
２ｄ 処理部
３、３０ 記憶部
３ａ プログラム情報
３ｂ ＥＣＵ情報
３ｃ 接続履歴情報
４、４０ 通信部
１０ サーバ装置
２０ａ 照合部
２０ｂ 指示部
１００ 車両ＥＣＵ
Ｓ プログラム制御システム

Claims (6)

1. 所定のタイミングが到来した場合に、車両に搭載される電子装置に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および前記電子装置の前記車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する取得部と、
   前記取得部が取得した前記照合情報に基づき前記プログラムが前記非正規であった場合、前記レベル情報の前記影響レベルに応じた処理を行う処理部と、
   前記電子装置の正規プログラムに関するプログラム情報を記憶する記憶部と、
   を備え、
   前記処理部は、
   前記影響レベルが所定の閾値以上であった場合、前記非正規の前記プログラムを前記記憶部に記憶された前記正規プログラムに書き換える処理を行うこと
   を特徴とするプログラム制御装置。
2. 所定のタイミングが到来した場合に、車両に搭載される電子装置に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および前記電子装置の前記車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する取得部と、
   前記取得部が取得した前記照合情報に基づき前記プログラムが前記非正規であった場合、前記レベル情報の前記影響レベルに応じた処理を行う処理部と、
   を備え、
   前記取得部は、
   前記電子装置の前記プログラムを前記非正規に書き換え可能な外部装置の当該電子装置への有線による接続の有無の履歴を示す接続履歴情報をさらに取得し、
   前記処理部は、
   前記取得部が取得した前記接続履歴情報に基づいて前記接続の有無に応じて異なる処理を行うこと
   を特徴とするプログラム制御装置。
3. 前記取得部は、
   前記車両のイグニッションがオンされた場合に、前記所定のタイミングが到来したとして、前記照合情報および前記レベル情報を取得すること
   を特徴とする請求項１または２に記載のプログラム制御装置。
4. 請求項１～３のいずれか１つに記載のプログラム制御装置と、
   前記照合情報および前記レベル情報を生成して前記プログラム制御装置へ送信するサーバ装置と
   を備えることを特徴とするプログラム制御システム。
5. 所定のタイミングが到来した場合に、車両に搭載される電子装置に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および前記電子装置の前記車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する取得工程と、
   前記取得工程が取得した前記照合情報に基づき前記プログラムが前記非正規であった場合、前記レベル情報の前記影響レベルに応じた処理を行う処理工程と、
   前記電子装置の正規プログラムに関するプログラム情報を記憶部に記憶する記憶工程と、
   を含み、
   前記処理工程は、
   前記影響レベルが所定の閾値以上であった場合、前記非正規の前記プログラムを前記記憶部に記憶された前記正規プログラムに書き換える処理を行うこと
   を特徴とするプログラム制御方法。
6. 所定のタイミングが到来した場合に、車両に搭載される電子装置に書き込まれたプログラムが正規であるか非正規であるかを示す照合情報および前記電子装置の前記車両の制御における影響の度合いを示す影響レベルに関するレベル情報を取得する取得工程と、
   前記取得工程が取得した前記照合情報に基づき前記プログラムが前記非正規であった場合、前記レベル情報の前記影響レベルに応じた処理を行う処理工程と、
   を含み、
   前記取得工程は、
   前記電子装置の前記プログラムを前記非正規に書き換え可能な外部装置の当該電子装置への有線による接続の有無の履歴を示す接続履歴情報をさらに取得し、
   前記処理工程は、
   前記取得工程が取得した前記接続履歴情報に基づいて前記接続の有無に応じて異なる処理を行うこと
   を特徴とするプログラム制御方法。

Images