JP7194760B2 - 制御システム、移動体、制御方法及びプログラム - Google Patents

Description

本発明は、制御システム、移動体、制御方法及びプログラムに関する。

特許文献１には、車両用のＥＣＵとして、アプリプログラムを書換え可能なＥＣＵが開示されている。
［先行技術文献］
［特許文献］
［特許文献１］ 特開２０２０－２７６６６号公報

第１の態様において、制御システムが提供される。制御システムは、移動体を制御する移動体制御部を備える。制御システムは、移動体制御部のプログラム更新を制御する更新制御部を備える。制御システムは、移動体制御部と更新制御部とを情報通信する経路である通信経路を備える。移動体制御部の診断を行う外部診断装置と接続され外部診断装置に移動体の情報を送信するための経路と通信経路とが少なくとも一部が共通である。制御システムは、プログラム更新と、外部診断装置による移動体制御部の診断とが行われる場合に、外部診断装置による診断及びプログラム更新の一方を制限する制限制御部を備える。

制限制御部は、プログラム更新と、外部診断装置による移動体制御部の診断とが行われる場合に、外部診断装置による診断が中止するまで、プログラム更新を禁止してよい。

制限制御部は、プログラム更新と、外部診断装置による移動体制御部の診断とが行われる場合に、外部診断装置による診断を停止する旨のユーザ通知を実行させてよい。

更新制御部は、移動体の起動時に、移動体制御部のプログラム更新に必要な移動体制御部の少なくともバージョンを含む情報であり移動体制御部が記憶する管理情報を通信経路を通じて取得する構成同期を実施してよい。制限制御部は、移動体の起動時に外部診断装置が移動体に接続されていることが検知された場合に、外部診断装置の接続が解除されるまで、構成同期を禁止してよい。

制限制御部は、移動体の起動時に外部診断装置が移動体に接続されていることが検知された場合に、移動体制御部の更新プログラムを送信するサーバからの更新プログラムの受信を禁止してよい。

更新制御部は、移動体制御部の更新プログラムを送信するサーバから、更新プログラムの存在通知を受信する制御を行ってよい。制限制御部は、移動体の起動時に外部診断装置が移動体に接続されていることが検知された場合に、更新プログラムが存在する旨のユーザ通知と、外部診断装置の接続の解除を要求するユーザ通知とを実行させてよい。

制限制御部は、移動体の起動時に外部診断装置が移動体に接続されていることが検知された後、外部診断装置の接続が解除された場合に、サーバからの更新プログラムの受信を開始させてよい。

制限制御部は、移動体制御部のプログラム更新のための更新プログラムを移動体制御部に書き込み中に外部診断装置が移動体に接続されたことが検知された場合に、移動体制御部への更新プログラムの書き込みを中断してよい。

制限制御部は、移動体制御部への更新プログラムを書き込み中に外部診断装置が移動体に接続されたことが検知された場合に、外部診断装置の接続の解除を要求するユーザ通知をさらに実行させてよい。

第２の態様において、移動体が提供される。移動体は、上記の制御システムを備える。

移動体は車両であってよい。

第３の態様において、制御方法が提供される。制御方法は、制御システムが実行する制御方法である。制御システムは、移動体を制御する移動体制御部と、移動体を制御する移動体制御部のプログラム更新を制御する更新制御部と、更新制御部とが情報通信する経路である通信経路とを備える。移動体制御部の診断を行う外部診断装置と接続され外部診断装置に移動体の情報を送信するための経路と通信経路とが少なくとも一部が共通である。制御方法は、プログラム更新と、外部診断装置による移動体制御部の診断とが行われる場合に、外部診断装置による診断及びプログラム更新の一方を制限する段階を備える。

第４の態様において、プログラムが提供される。プログラムは、コンピュータを、移動体を制御する移動体制御部として機能させる。プログラムは、コンピュータを、移動体制御部のプログラム更新を制御する更新制御部として機能させる。コンピュータは、移動体制御部と更新制御部とが情報通信する経路である通信経路を備える。移動体制御部の診断を行う外部診断装置と接続され外部診断装置に移動体の情報を送信するための経路と通信経路とが少なくとも一部が共通である。プログラムは、コンピュータを、プログラム更新と、外部診断装置による移動体制御部の診断とが行われる場合に、外部診断装置による診断及びプログラム更新の一方を制限する制限制御部として機能させる。

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。

一実施形態に係る更新システム１０を模式的に示す。 制御システム２００が備えるシステム構成を模式的に示す。 更新制御部２２０が記憶する管理情報データのデータ構造を示す。 プログラム更新処理に関するタイムチャートの一例を模式的に示す。 プログラム更新処理に関するタイムチャートの他の例を模式的に示す。 ＩＶＩ２９９に表示されるユーザ通知情報６００の一例を示す。 ＭＩＤ２９８に表示されるユーザ通知情報７００の一例を示す。 プログラム更新に関する処理の実行手順の一例を示すフローチャートである。 プログラム更新に関する処理の実行手順の一例を示すフローチャートである。 プログラム更新に関する処理の実行手順の一例を示すフローチャートである。 コンピュータ２０００の例を示す。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、一実施形態に係る更新システム１０を模式的に示す。更新システム１０は、車両２０と、サーバ７０とを備える。車両２０は、制御システム２００を備える。制御システム２００は、車両２０の制御と、通信ネットワーク９０を通じたサーバ７０との間の通信とを担う。通信ネットワーク９０は、インターネット等のＩＰネットワーク、Ｐ２Ｐネットワーク、ＶＰＮを含む専用回線、仮想ネットワーク、移動体通信網等を含む。

車両２０において、制御システム２００は、車両２０の制御を行う複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を備える。制御システム２００は、制御システム２００が備えるＥＣＵの更新プログラムを外部から取得する。例えば、制御システム２００は、通信ネットワーク９０を通じて、サーバ７０から送信された更新プログラムを無線通信により受信する。制御システム２００は、更新プログラムによって制御システム２００が備えるＥＣＵをリプログラミングする。リプログラミングは、制御システム２００が備えるＥＣＵの機能のアップグレード等を目的として行われる。このように、制御システム２００は、ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）によりＥＣＵをリプログラミングすることによってＥＣＵを更新する。本実施形態において、更新プログラムによってＥＣＵ等の機器を更新することを「プログラム更新」と呼ぶ。

制御システム２００は、診断装置３０を接続するための診断ポート３４を備える。診断ポートは、例えばＯＢＤ（Ｏｎ Ｂｏａｒｄ Ｄｉａｇｎｏｓｔｉｃｓ）コネクタである。診断装置３０は、ケーブル３２を通じて診断ポート３４に接続される。診断ポート３４は車両２０のネットワークを介して複数のＥＣＵと通信を行うことができる。診断装置３０は、例えばディーラー等で車両整備を行う場合等に使用される専用スキャンツールである。専用スキャンツールは、制御システム２００が備える各ＥＣＵに記憶されている情報を車両２０のネットワークを介して収集するために用いられる。診断ポート３４は、このような専用スキャンツールを接続することを主な目的として用意される。したがって、診断ポート３４に専用スキャンツールが接続されて情報を収集する際は車両２０内のネットワークには専用スキャンツールが要求した情報が展開するため、専用スキャンツールが接続されていない状態と比較して車両２０内のネットワークに流れる情報量は多様化する。一方、専用スキャンツールとは別に市販のスキャンツールも流通しているため、診断ポート３４に市販のスキャンツールが接続される可能性がある。市販のスキャンツールが診断ポート３４に接続されている場合、プログラム更新対象のＥＣＵが市販のスキャンツールと通信している場合に、プログラム更新対象のＥＣＵが他のＥＣＵと通信できない場合が生じ得るため、プログラム更新に支障が生じる可能性がある。

制御システム２００は、ＥＣＵのプログラム更新を実行する場合に、診断ポート３４に何らかの診断装置が接続されているか否かを判断する。制御システム２００は、診断ポート３４に何らかの診断装置が接続されている場合、ＥＣＵのプログラム更新に関連する処理の少なくとも一部を制限する。例えば、制御システム２００は、ＥＣＵに更新プログラムを書き込む処理を停止して、以後のプログラム更新の処理を停止する。これにより、市販のスキャンツールまたは専用スキャンツールによってプログラム更新に支障が生じる可能性を低減することができる。

図２は、制御システム２００が備えるシステム構成を模式的に示す。制御システム２００は、ＴＣＵ２０１と、ＥＣＵ２０２と、ＥＣＵ２０４と、ＥＣＵ２０５と、ＥＣＵ２０６と、ＭＩＤ２９８と、ＩＶＩ２９９と、診断ポート３４とを備える。図２において、ＦＩ２９４、バッテリ２９５、及び空調機器２９６は、車両２０が備える機器である。ＦＩ２９４、バッテリ２９５、及び空調機器２９６は、車両２０の被制御機器の一例である。

ＥＣＵ２０２は、ＴＣＵ２０１、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６と車内通信回線２８０を通じて接続される。ＥＣＵ２０２は、ＴＣＵ２０１、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９と車内通信回線２８０を通じて情報通信を行う。ＥＣＵ２０２は、ＴＣＵ２０１、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９を統括制御する。車内通信回線２８０は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）やイーサ・ネットワーク等を含んで構成されてよい。車内通信回線２８０は、情報通信を行うための経路である「通信経路」の一例である。

ＴＣＵ２０１は、テレマティクス制御ユニット（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である。ＴＣＵ２０１は、主として移動体通信を担う。ＴＣＵ２０１は、ＥＣＵ２０２の制御に基づいて、サーバ７０との間でデータの送受信を行う。ＴＣＵ２０１は、ＥＣＵ２０２の制御に基づいて、サーバ７０から送信された更新プログラムを移動体通信によって受信する。ＴＣＵ２０１は、無線通信部として機能し得る。

ＭＩＤ２９８は、マルチインフォメーションディスプレイである。ＩＶＩ２９９は、例えば車内インフォテインメント情報機器（ＩＶＩ）である。ＭＩＤ２９８及びＩＶＩ２９９は表示制御部として機能し得る。ＩＶＩ２９９は、無線ＬＡＮ通信機能を備える。ＩＶＩ２９９は、ＥＣＵ２０２の制御に基づいて、サーバ７０から送信された更新プログラムを無線ＬАＮ通信によって受信する。

診断ポート３４は、ＥＣＵ２０２、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９の診断を行う診断装置３０と接続される。診断ポート３４は、車内通信回線２８０に接続される。診断ポート３４に診断装置３０が接続されている場合、診断装置３０は、ＥＣＵ２０２、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９が記憶している車両２０の情報は車内通信回線２８０を通じて受信する。このように、診断装置３０と接続され診断装置３０に車両２０の情報を送信するための経路と車内通信回線２８０とは、少なくとも一部が共通である。なお、診断ポート３４は、車内通信回線２８０の一部を構成するＣＡＮに接続され、診断装置３０は、ＥＣＵ２０２、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９とＣＡＮ通信により車両２０の情報を受信するとしてよい。

ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、それぞれ車両２０を制御する車両制御部としてのＥＣＵである。ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、「移動体制御部」の一例である。ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、車両２０が備える各種の機器を制御する。例えば、ＥＣＵ２０４は、燃料噴射装置であるＦＩ２９４等を制御する。ＥＣＵ２０５は、高圧バッテリであるバッテリ２９５等を制御する。ＥＣＵ２０６は、空調機器２９６等を制御する。

本実施形態では、制御システム２００がＴＣＵ２０１、ＥＣＵ２０２、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９を備えるシステム構成を例示するが、制御システム２００のシステム構成は本実施形態の例に限られない。また、本実施形態では、例示として、プログラム更新の対象となり得る移動体制御部がＥＣＵ２０５であり、ＥＣＵ２０２がプログラム更新を制御する更新制御部として機能するものとして説明する。なお、プログラム更新の対象となり得る移動体制御部はＥＣＵ２０５に限られない。プログラム更新の対象となり得る移動体制御部は、ＴＣＵ２０１、ＥＣＵ２０２、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９のいずれであってよい。

ＥＣＵ２０２は、更新制御部２２０と、制限制御部２５０とを備える。更新制御部２２０と、ＥＣＵ２０５のプログラム更新を制御する。制限制御部２５０は、プログラム更新と、診断装置３０によるＥＣＵ２０５の診断とが行われる場合に、診断装置３０による診断及びプログラム更新の一方を制限する。例えば、制限制御部２５０は、プログラム更新と、診断装置３０によるＥＣＵ２０５の診断とが行われる場合に、プログラム更新を制限する。

制限制御部２５０は、プログラム更新と、診断装置３０によるＥＣＵ２０５の診断とが行われる場合に、診断装置３０による診断が中止するまで、プログラム更新を禁止してよい。制限制御部２５０は、プログラム更新と、診断装置３０によるＥＣＵ２０５の診断とが行われる場合に、診断装置３０による診断を停止する旨のユーザ通知を実行させてよい。ユーザとは例えば車両２０の搭乗者であってよい。制限制御部２５０は、例えばＭＩＤ２９８及びＩＶＩ２９９にユーザ通知を実行させてよい。例えば制限制御部２５０は、ユーザへの通知情報をＭＩＤ２９８及びＩＶＩ２９９に表示させてよい。

更新制御部２２０は、車両２０の起動時に、ＥＣＵ２０５のプログラム更新に必要なＥＣＵ２０５の少なくともバージョンを含む情報でありＥＣＵ２０５が記憶する管理情報を車内通信回線２８０を通じて取得する構成同期を実施してよい。例えば、更新制御部２２０は、車両２０のイグニッション（ＩＧ）電源がオンされた場合に、構成同期を実施してよい。制限制御部２５０は、車両２０の起動時に診断装置３０が車両２０に接続されていることが検知された場合に、診断装置３０の接続が解除されるまで、構成同期を禁止してよい。

制限制御部２５０は、車両２０の起動時に診断装置３０が車両２０に接続されていることが検知された場合に、ＥＣＵ２０５の更新プログラムを送信するサーバからの更新プログラムの受信を禁止してよい。

更新制御部２２０は、ＥＣＵ２０５の更新プログラムを送信するサーバから、更新プログラムの存在通知を受信する制御を行ってよい。制限制御部２５０は、車両２０の起動時に診断装置３０が車両２０に接続されていることが検知された場合に、更新プログラムが存在する旨のユーザ通知と、診断装置３０の接続の解除を要求するユーザ通知とを実行さてよい。

制限制御部２５０は、車両２０の起動時に診断装置３０が車両２０に接続されていることが検知された後、診断装置３０の接続が解除された場合に、サーバからの更新プログラムの受信を開始させてよい。

制限制御部２５０は、ＥＣＵ２０５への更新プログラムの書き込み中に診断装置３０が車両２０に接続されたことが検知された場合に、ＥＣＵ２０５への更新プログラムの書き込みを中断してよい。制限制御部２５０は、ＥＣＵ２０５への更新プログラムを書き込み中に診断装置３０が車両２０に接続されたことが検知された場合に、診断装置３０の接続の解除を要求するユーザ通知をさらに実行させてよい。

ここで、プログラム更新について説明する。プログラム更新の対象となる機器がＥＣＵであり、ＥＣＵのファームウェア格納用のメモリがシングルバンクメモリ（いわゆる１面ＲＯＭ）である場合のプログラム更新処理を説明する。この場合、ＥＣＵのファームウェア格納用のプログラム記憶領域は１つであるため、ＥＣＵがプログラム記憶領域内に格納されたプログラムに従って動作している場合には、更新プログラムをプログラム記憶領域に書き込むことができない。ＥＣＵのプログラム更新を行う場合、更新制御部２２０は、ＥＣＵに更新プログラムを転送してＥＣＵの予め定められたデータ記憶領域に更新プログラムを格納させた後、ＥＣＵにプログラム更新を指示する。ＥＣＵは、プログラム更新が指示されると、プログラム更新を行う制御コードを実行して、データ記憶領域に転送された更新プログラムをプログラム記憶領域に書き込み、更新プログラムをアクティベートする。更新プログラムのアクティベートは、例えばＥＣＵの起動時に更新プログラムをロードして更新プログラムに基づく制御を開始するように、ＥＣＵの起動パラメータを設定する処理を含む。なお、ＥＣＵのファームウェア格納用のメモリがシングルバンクメモリである場合において、「ＥＣＵのプログラム更新が可能な状態」は、ＥＣＵの予め定められたデータ記憶領域に更新プログラムが格納されている状態であってよい。

次に、ＥＣＵの内部メモリがダブルバンクメモリ（いわゆる２面ＲＯＭ）である場合のプログラム更新処理を説明する。この場合、ＥＣＵはファームウェア格納用のプログラム記憶領域を２つ有しているため、第１のプログラム記憶領域に格納されたプログラムに従ってＥＣＵが動作している場合に、第２のプログラム記憶領域に更新プログラムを書き込むことができる。例えば、例えば車両２０の走行中であっても、第２のプログラム記憶領域に更新プログラムを書き込むことができる。そのため、更新制御部２２０は、更新プログラムをＥＣＵに転送すると、更新プログラムを第２のプログラム記憶領域に書き込むようＥＣＵに指示する。ＥＣＵの第２のプログラム記憶領域への更新プログラムの書き込みが完了すると、ＥＣＵのプログラム更新が可能な状態となる。更新制御部２２０がＥＣＵのプログラム更新を行う場合、更新制御部２２０は、第２のプログラム記憶領域に書き込まれた更新プログラムをアクティベートするようＥＣＵに指示する。更新プログラムのアクティベートは、例えばＥＣＵの起動時に、第２のプログラム記憶領域に格納された更新プログラムをロードして更新プログラムに基づく制御を開始するように、ＥＣＵの起動パラメータを設定する処理を含む。例えば、更新プログラムのアクティベートは、第２のプログラム記憶領域をプログラムの読み出し領域として有効化するとともに、第１のプログラム記憶領域をプログラムの読み出し領域として無効化する処理を含む。このように、「ＥＣＵのプログラム更新」は、更新プログラムをＥＣＵのプログラム記憶領域に書き込むことを含む概念である。また、「ＥＣＵのプログラム更新」は、プログラム記憶領域に書き込まれた更新プログラムをアクティベートすることを含む概念である。

本実施形態において、プログラム更新の対象となる機器がＥＣＵ２０５である場合を説明する。また、ＥＣＵ２０５の内部メモリはダブルバンクメモリであるものとする。

図３は、更新制御部２２０が記憶する管理情報データのデータ構造を示す。更新制御部２２０は、車両２０のＩＧ電源がオンされた場合に、プログラム更新の対象となる機器（ＴＣＵ２０１、ＥＣＵ２０４、ＥＣＵ２０５、ＥＣＵ２０６、ＭＩＤ２９８及びＩＶＩ２９９）のそれぞれから、それぞれの機器が記憶する管理情報を車内通信回線２８０を通じて取得する。本実施形態では、管理情報を車内通信回線２８０を通じて取得することを「車内構成同期」と呼ぶ。

管理情報は、各機器のバージョン情報及び識別情報を含む。バージョン情報は、各機器のソフトウェアバージョン情報を含んでよい。バージョン情報は、各機器のハードウェアバージョン情報をさらに含んでよい。識別情報は、各機器のシリアル番号を含んでよい。更新制御部２２０は、各機器から取得した管理情報を、ＥＣＵに割り振られたＩＤ情報に対応づけてＥＣＵ２０２の内部メモリに記憶する。

ＥＣＵ２０２は、ＩＧ電源オン時に、各機器から収集した管理情報をサーバ７０に送信する。サーバ７０は、車両２０から受信した各機器の管理情報を記憶する。サーバ７０は、車両２０から受信した管理情報に基づいて、各機器のプログラム更新が可能であるか否かを判断して、各機器のプログラム更新が可能である場合に、車両２０に更新プログラムの存在通知を送信する。例えば、管理情報の現在のソフトウェアバージョンより新しいソフトウェアバージョンの更新プログラムが存在する場合に、更新プログラムの存在通知を車両２０に送信する。更新制御部２２０は、更新プログラムの存在通知を受信すると、サーバ７０から更新プログラムを受信する。このように、サーバ７０は、車両２０から受信した管理情報に基づいて更新プログラムの存在を判断する。管理情報は制御システム２００が備える機器のプログラム更新に必要な情報の一例である。

なお、ＥＣＵ２０２は、ＩＧ電源がオンされた場合に診断装置３０が車内通信回線２８０に接続されている場合、車内構成同期を行わずに、管理情報がないことをサーバ７０に送信する。本実施形態では、サーバ７０に管理情報を送信すること、又は、管理情報がないことを送信することを「外部構成同期」と呼ぶ。

図４は、プログラム更新処理に関するタイムチャートの一例を模式的に示す。図４は、ＩＧスイッチの状態、更新関連処理の実行状態、電源状態、車両２０の走行状態、及び診断装置３０の接続状態を示す。図４のタイムチャートは、ＩＧスイッチがオンされる前に診断装置３０が診断ポート３４に接続されている場合のタイムチャートである。なお、プログラム更新の対象となる機器はＥＣＵ２０５であるものとする。

時刻ｔ１において、ユーザによってＩＧスイッチがオフになると、更新制御部２２０は構成同期を行う。このとき、更新制御部２２０は、車内通信回線２８０に診断装置３０が接続されていることが検出されると、車内構成同期を行わずに外部構成同期のみを行う（構成同期１）。この場合、サーバ７０は、サーバ７０が記憶している管理情報に基づいて更新プログラムの存在を判断し、更新プログラムが存在する場合は存在通知を車両２０に送信する。更新制御部２２０は、サーバ７０から存在通知を受信すると、更新プログラムの存在をユーザに通知するとともに、診断装置３０を診断ポート３４から取り外すよう通知し（更新通知）、更新処理を中断する（待機中）。

時刻ｔ２において、更新制御部２２０は、診断ポート３４から診断装置３０が取り外されたことを検知すると、車内構成同期及び外部構成同期を行い（構成同期２）、更新プログラムをサーバ７０からダウンロードする（ダウンロード）。ダウンロードが完了すると、更新制御部２２０は、プログラム更新の対象となるＥＣＵ２０５に更新プログラムの書き込む（書き込み）。なお、ＥＣＵ２０５は、ファームウェア格納用の内部メモリがダブルバンクメモリであるため、ＥＣＵ２０５に更新プログラムの書き込みは車両２０の走行中に実行することができる。

時刻ｔ３において、ＩＧスイッチがオフされると、更新制御部２２０は、診断ポート３４に診断装置３０が接続されていないことを確認して、ＥＣＵ２０５のプログラム更新を実行する（更新）。このプログラム更新で実行される処理は、上述した更新プログラムのアクティベートである。なお、プログラム更新を実行する場合、プログラム更新を実行するために必要な機器の電源状態はオンとし、他の機器の電源状態はオフとなる（更新中状態）。プログラム更新が完了すると、ＩＧ電源はオフ状態となる。

図４のタイムチャートに示されるように、ＩＧ電源がオンされたときに診断装置３０が診断ポート３４に接続されている場合には、更新プログラムが存在する場合であっても、サーバ７０からの更新プログラムを受信する処理、更新プログラムの書き込む処理、及び更新プログラムをアクティベートする処理を禁止することができる。また、診断装置３０が診断ポート３４から取り外された場合に、あらためて車内構成同期を含む構成同期を実行してから更新プログラムを受信することが可能になる。これにより、診断装置３０が診断ポート３４に接続されていない状態で適正に車内構成同期を行い、適正な更新プログラムを受信することが可能になる。

図５は、プログラム更新処理に関するタイムチャートの他の例を模式的に示す。図５は、図４と同様に、ＩＧスイッチの状態、更新関連処理の実行状態、電源状態、車両２０の走行状態、及び診断装置３０の接続状態を示す。図５のタイムチャートは、車両２０の起動中に診断装置３０が診断ポート３４に接続される場合のタイムチャートである。なお、プログラム更新の対象となる機器はＥＣＵ２０５であるものとする。

図５のタイムチャートの開始タイミングにおいて、車両２０が走行中であり、ＥＣＵ２０５の更新プログラムをダウンロード中であるとする。ダウンロードが完了すると、更新制御部２２０は、プログラム更新の対象となるＥＣＵ２０５に更新プログラムの書き込む（書き込み１）。

車両２０の停車後、更新制御部２２０は、更新プログラムの書き込み中に時刻ｔ１において診断装置３０が診断ポート３４に接続されたことを検知すると、ＥＣＵ２０５への更新プログラムの書き込みを中断して、診断装置３０の取り外しをユーザに要求する（取り外し通知）。

時刻ｔ２において、更新制御部２２０は、診断ポート３４から診断装置３０が取り外されたことを検知すると、取り外し通知を停止して、更新プログラムの書き込み開始を待機する待機状態とする。

時刻ｔ３においてＩＧスイッチがオフされてＩＧ電源がオフ状態となり、時刻ｔ４においてＩＧスイッチがオンされると、更新制御部２２０は、診断ポート３４に診断装置３０が接続されていないことを確認して、ＥＣＵ２０５への更新プログラムの書き込みを再開し（書き込み２）、更新プログラムの書き込みが完了すると、ＥＣＵ２０５のプログラム更新を実行する（更新）。このプログラム更新で実行される処理は、上述した更新プログラムのアクティベートである。ＥＣＵ２０５のプログラム更新が完了すると、車両２０は走行可能な状態となる。

図６は、ＩＶＩ２９９に表示されるユーザ通知情報６００の一例を示す。更新制御部２２０は、診断ポート３４に診断装置３０が接続されていることを検知した場合、ユーザ通知情報６００をＩＶＩ２９９に表示させる。ユーザ通知情報６００は、図４のタイムチャートの「更新通知」の期間に表示される。また、ユーザ通知情報６００は、図５のタイムチャートにおける「取り外し通知」の期間に表示される。

ユーザ通知情報６００は、ユーザへの通知情報６１０及び通知情報６２０を含む。通知情報６１０は、更新プログラムが存在することを示す。通知情報６２０は、診断装置３０の接続を解除する旨の情報である。通知情報６２０は、診断装置３０による診断を停止する旨の情報であり得る。更新制御部２２０は、診断装置３０が診断ポート３４に接続されている間、ユーザ通知情報６００をＩＶＩ２９９に表示させてよい。更新制御部２２０は、通知情報６２０の内容をＩＶＩ２９９に音声で再生させてよい。

図７は、ＭＩＤ２９８に表示されるユーザ通知情報７００の一例を示す。更新制御部２２０は、診断ポート３４に診断装置３０が接続されていることを検知した場合、ユーザ通知情報７００をＭＩＤ２９８に表示させる。ユーザ通知情報７００は、図４のタイムチャートの「更新通知」の期間に表示される。また、ユーザ通知情報７００は、図５のタイムチャートにおける「取り外し通知」の期間に表示される。

ユーザ通知情報７００は、ユーザへの通知情報７２０を含む。通知情報７２０は、診断装置３０の接続を解除する旨の情報である。通知情報７２０は、診断装置３０による診断を停止する旨の情報であり得る。更新制御部２２０は、診断装置３０が診断ポート３４に接続されている間、ユーザ通知情報７００をＭＩＤ２９８に表示させてよい。

更新制御部２２０は、ＩＶＩ２９９に加えて、ＭＩＤ２９８を通じてユーザ通知情報を表示させる。これにより、更新プログラムを行うために診断装置３０の接続を解除する必要があることをユーザに確実に認知させることができる。例えば、仮にＩＶＩ２９９が故障していた場合でも、ＭＩＤ２９８を通じてユーザに通知することができる。

なお、更新制御部２２０は、車両２０の車速が０であり、かつ、シフトポジションがパーキングポジションであることを条件として、ユーザ通知情報６００及びユーザ通知情報７２０を表示させてよい。これにより、ユーザが診断装置３０を取り外すことができるようなタイミングで適切に通知することができる。

図８は、プログラム更新に関する処理の実行手順の一例を示すフローチャートである。図８のフローチャートの処理は、ＩＧスイッチがオンされた場合に開始される。図８のフローチャートは、ＩＧスイッチのオフ操作に応じてＩＧ電源がオンになった後に構成同期を実行するまでの処理を示す。

Ｓ８０２において、更新制御部２２０は、診断装置３０が診断ポート３４に接続されているか否かを判断する。更新制御部２２０は、車内通信回線２８０の信号状態に基づいて、診断ポート３４に診断装置３０が接続されているか否かを判断してよい。更新制御部２２０は、ＩＧスイッチがオンされてから予め定められた時間が経過するまでの期間、診断ポート３４に診断装置３０が接続されているか否かを判断してよい。

診断ポート３４に診断装置３０が接続されていない場合、Ｓ８０４において、更新制御部２２０は車内構成同期を行う。続いて、Ｓ８０６において、更新制御部２２０は、Ｓ８０４の車内構成同期で取得した管理情報をサーバ７０に送信する（外部構成同期）。Ｓ８０２の判断において診断装置３０が診断ポート３４に接続されていると判断した場合、Ｓ８０８において、更新制御部２２０は、「構成情報なし」を示す情報をサーバ７０に送信する。

なお、図８は、ＩＧ電源がオンされた場合に、中断状態のプログラム更新処理が存在していない場合のフローチャートである。例えば図４に関連して説明したように、ＩＧスイッチがオンされる前にＥＣＵ２０５への更新プログラムの書き込みを中断していた場合は、プログラム更新処理は中断状態にある。この場合、更新制御部２２０は、診断装置３０が診断ポート３４に接続されていないことを条件として、プログラム更新処理を再開する。例えば、更新制御部２２０は、ＥＣＵ２０５への更新プログラムの書き込みを再開する。一方、診断装置３０が診断ポート３４に接続されている場合、更新制御部２２０は、診断装置３０を診断ポート３４から取り外す旨のユーザ通知を行う。例えば、更新制御部２２０は、ＩＶＩ２９９にユーザ通知情報７００を表示させるとともに、ＭＩＤ２９８にユーザ通知情報６００を表示させる。

図９は、プログラム更新に関する処理の実行手順の一例を示すフローチャートである。図９のフローチャートの処理は、サーバ７０から更新プログラムの存在通知情報を受信した場合の処理である。

更新制御部２２０は、サーバ７０から更新プログラムの存在通知情報を受信すると、Ｓ９０２において、診断装置３０が診断ポート３４に接続されているか否かを判断する。診断装置３０が診断ポート３４に接続されている場合はＳ９０４に移行し、診断装置３０が診断ポート３４に接続されていない場合はＳ９１０に移行する。

Ｓ９０４において、更新制御部２２０は、診断装置３０を診断ポート３４から取り外す旨のユーザ通知を行い、本フローチャートの処理を終了する。Ｓ９０４において、更新制御部２２０は、例えばＩＶＩ２９９にユーザ通知情報７００を表示させるとともに、ＭＩＤ２９８にユーザ通知情報６００を表示させる。これにより、診断装置３０が診断ポート３４に接続されている場合でも、更新プログラムの存在をユーザに通知することができるので、重要な更新プログラムが適用されない状態で長期間放置されることがないようにすることができる。

Ｓ９０２の判断において診断装置３０が診断ポート３４に接続されていないと判断した場合、Ｓ９１０において、更新制御部２２０は、サーバ７０から更新プログラムを含む更新データをダウンロードし、プログラム更新の対象となるＥＣＵ２０５に転送する。

更新プログラムの転送が完了すると、Ｓ９１２において、更新制御部２２０は、ＥＣＵ２０５に転送された更新プログラムを書き込むようＥＣＵ２０５に指示する。Ｓ９１４において、診断装置３０が診断ポート３４に接続されたか否かを判断する。診断装置３０が診断ポート３４に接続されていない場合は、Ｓ９１６に移行し、診断装置３０が診断ポート３４に接続されている場合は、Ｓ９１８に移行する。

Ｓ９１６において、更新制御部２２０は、更新プログラムの書き込みが完了したか否かを判断する。更新制御部２２０は、ＥＣＵ２０５から更新プログラムの書き込みが完了した旨の通知を車内通信回線２８０を通じて受信した場合に、更新プログラムの書き込みが完了したと判断する。更新プログラムの書き込みが完了していない場合はＳ９１４に移行し、更新プログラムの書き込みが完了した場合は本フローチャートの処理を終了する。

Ｓ９１４において診断装置３０が診断ポート３４に接続されていると判断した場合、Ｓ９１８において更新制御部２２０は更新プログラムの書き込みを停止するようＥＣＵ２０５に指示し、Ｓ９０４に移行する。

図１０は、プログラム更新に関する処理の実行手順の一例を示すフローチャートである。図１０のフローチャートの処理は、ＩＧスイッチがオフされた場合に開始される。

Ｓ１００２において、更新制御部２２０は、更新準備が完了したか否かを判断する。例えば、更新制御部２２０は、ＩＧスイッチがオフされる前にＥＣＵ２０５から更新プログラムの書き込みが完了した旨の通知を受信していた場合に、更新準備が完了していると判断する。更新準備が完了していない場合は本フローチャートの処理を終了する。更新準備が完了している場合、Ｓ１００４において、診断装置３０が診断ポート３４に接続されているか否かを判断する。診断装置３０が診断ポート３４に接続されている場合はＳ１００６に移行し、診断装置３０が診断ポート３４に接続されていない場合はＳ１０１０に移行する。

診断装置３０が診断ポート３４に接続されていない場合、Ｓ１０１０において、システム更新の実行がユーザから許諾されたか否かを判断する。例えば、更新制御部２２０は、システム更新を実行する旨のユーザ指示を受け付ける画面をＩＶＩ２９９に表示させ、システム更新を実行する旨のユーザ指示をＩＶＩ２９９から取得した場合に、システム更新の実行がユーザから許諾されたと判断する。システム更新の実行がユーザから許諾されていない場合、本フローチャートの処理を終了する。

システム更新の実行がユーザから許諾された場合、Ｓ１０１２において、ＥＣＵ２０５のプログラム更新を開始するようＥＣＵ２０５に指示する。更新制御部２２０は、ＥＣＵ２０５からプログラム更新が完了した旨の通知を車内通信回線２８０を通じて受信した場合、Ｓ１０１４においてプログラム更新が完了した旨をサーバ７０に通知し、本フローチャートの処理を終了する。

Ｓ１００４において診断装置３０が診断ポート３４に接続されていると判断した場合は、Ｓ１００６において、更新制御部２２０は診断装置３０を診断ポート３４から取り外す旨のユーザ通知を行い、本フローチャートの処理を終了する。Ｓ１００６において、更新制御部２２０は、例えばＩＶＩ２９９にユーザ通知情報７００を表示させるとともに、ＭＩＤ２９８にユーザ通知情報６００を表示させる。

続いて、Ｓ１００８において、更新制御部２２０は、予め定められた時間内に診断装置３０が診断ポート３４から取り外されたか否かを判断する。予め定められた時間内に診断装置３０が診断ポート３４から取り外された場合はＳ１０１０に移行し、予め定められた時間内に診断装置３０が診断ポート３４から取り外されなかった場合は本フローチャートの処理を終了する。本フローチャートの処理が終了すると、車両２０のＩＧ電源状態はオフとなる。

以上に説明したように、本実施形態に係る制御システム２００の制御によれば、プログラム更新を実行する場合に、診断ポート３４に何らかの診断装置が接続されているときは、ＥＣＵのプログラム更新を制限する。これにより、市販のスキャンツールによってプログラム更新に支障が生じる可能性を低減することができる。また、プログラム更新のように、診断ポート３４を通じた外部との通信を遮断する必要がある処理を行う場合に、ＥＣＵのプログラム更新を停止して診断装置３０の取り外しを通知するので、診断ポート３４の利用を通常時にまで禁止することがないため、ユーザの利便性が高まる。

なお、以上に説明した実施形態では、主として診断ポート３４に診断装置が接続されている場合にプログラム更新を制限する場合の具体例を説明した。これに対し、プログラム更新が行われる場合に、診断ポート３４に診断装置が接続されているときには、診断装置による診断を制限してよい。例えば制限制御部２５０は制御システム２００内の各機器が診断装置と通信することを禁止してよい。また、制限制御部２５０は、診断ポート３４と車内通信回線２８０との間の通信回線を切断してもよい。例えば、診断ポート３４と車内通信回線２８０との接続点に診断ポート３４と車内通信回線２８０との間の接続と非接続とを切り替える切替回路を設け、切替回路によって診断ポート３４と車内通信回線２８０との間の通信回線を切断してもよい。

なお、車両２０は、輸送機器の一例としての車両である。車両は、内燃機関を備える自動車、電気自動車、燃料電池自動車（ＦＣＶ）等の自動車であってよい。自動車は、バス、トラック、二輪自動車等を含む。車両は、鞍乗型車両等であってよく、バイクであってよい。輸送機器としては、車両の他に、無人航空機を含む航空機、船舶等の機器を含む。輸送機器は、人又は物品を輸送する任意の機器であってよい。輸送機器は移動体の一例である。移動体は、輸送機器に限らず、移動可能な任意の機器であってよい。

図１１は、本発明の複数の実施形態が全体的又は部分的に具現化され得るコンピュータ２０００の例を示す。コンピュータ２０００にインストールされたプログラムは、コンピュータ２０００を、実施形態に係る制御システム等のシステム、装置又は当該装置の各部として機能させる、当該装置又は当該装置の各部に関連付けられるオペレーションを実行させる、及び／又は、実施形態に係るプロセス又は当該プロセスの段階を実行させることができる。そのようなプログラムは、コンピュータ２０００に、本明細書に記載の処理手順及びブロック図のブロックのうちのいくつか又はすべてに関連付けられた特定のオペレーションを実行させるべく、ＣＰＵ２０１２によって実行されてよい。

本実施形態によるコンピュータ２０００は、ＣＰＵ２０１２、及びＲＡＭ２０１４を含み、それらはホストコントローラ２０１０によって相互に接続されている。コンピュータ２０００はまた、ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０を含む。ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０は、入力／出力コントローラ２０２０を介してホストコントローラ２０１０に接続されている。

ＣＰＵ２０１２は、ＲＯＭ２０２６及びＲＡＭ２０１４内に格納されたプログラムに従い動作し、それにより各ユニットを制御する。

通信インタフェース２０２２は、ネットワークを介して他の電子デバイスと通信する。フラッシュメモリ２０２４は、コンピュータ２０００内のＣＰＵ２０１２によって使用されるプログラム及びデータを格納する。ＲＯＭ２０２６は、アクティブ化時にコンピュータ２０００によって実行されるブートプログラム等、及び／又はコンピュータ２０００のハードウエアに依存するプログラムを格納する。入力／出力チップ２０４０はまた、キーボード、マウス及びモニタ等の様々な入力／出力ユニットをシリアルポート、パラレルポート、キーボードポート、マウスポート、モニタポート、ＵＳＢポート、ＨＤＭＩ（登録商標）ポート等の入力／出力ポートを介して、入力／出力コントローラ２０２０に接続してよい。

プログラムは、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、又はメモリカードのようなコンピュータ可読記憶媒体又はネットワークを介して提供される。ＲＡＭ２０１４、ＲＯＭ２０２６、又はフラッシュメモリ２０２４は、コンピュータ可読記憶媒体の例である。プログラムは、フラッシュメモリ２０２４、ＲＡＭ２０１４、又はＲＯＭ２０２６にインストールされ、ＣＰＵ２０１２によって実行される。これらのプログラム内に記述される情報処理は、コンピュータ２０００に読み取られ、プログラムと上記様々なタイプのハードウエアリソースとの間の連携をもたらす。装置又は方法が、コンピュータ２０００の使用に従い情報のオペレーション又は処理を実現することによって構成されてよい。

例えば、コンピュータ２０００及び外部デバイス間で通信が実行される場合、ＣＰＵ２０１２は、ＲＡＭ２０１４にロードされた通信プログラムを実行し、通信プログラムに記述された処理に基づいて、通信インタフェース２０２２に対し、通信処理を命令してよい。通信インタフェース２０２２は、ＣＰＵ２０１２の制御下、ＲＡＭ２０１４及びフラッシュメモリ２０２４のような記録媒体内に提供される送信バッファ処理領域に格納された送信データを読み取り、読み取った送信データをネットワークに送信し、ネットワークから受信された受信データを、記録媒体上に提供される受信バッファ処理領域等に書き込む。

また、ＣＰＵ２０１２は、フラッシュメモリ２０２４等のような記録媒体に格納されたファイル又はデータベースの全部又は必要な部分がＲＡＭ２０１４に読み取られるようにし、ＲＡＭ２０１４上のデータに対し様々な種類の処理を実行してよい。ＣＰＵ２０１２は次に、処理されたデータを記録媒体にライトバックする。

様々なタイプのプログラム、データ、テーブル、及びデータベースのような様々なタイプの情報が記録媒体に格納され、情報処理にかけられてよい。ＣＰＵ２０１２は、ＲＡＭ２０１４から読み取られたデータに対し、本明細書に記載され、プログラムの命令シーケンスによって指定される様々な種類のオペレーション、情報処理、条件判断、条件分岐、無条件分岐、情報の検索／置換等を含む、様々な種類の処理を実行してよく、結果をＲＡＭ２０１４にライトバックする。また、ＣＰＵ２０１２は、記録媒体内のファイル、データベース等における情報を検索してよい。例えば、各々が第２の属性の属性値に関連付けられた第１の属性の属性値を有する複数のエントリが記録媒体内に格納される場合、ＣＰＵ２０１２は、第１の属性の属性値が指定されている、条件に一致するエントリを当該複数のエントリの中から検索し、当該エントリ内に格納された第２の属性の属性値を読み取り、それにより予め定められた条件を満たす第１の属性に関連付けられた第２の属性の属性値を取得してよい。

上で説明したプログラム又はソフトウェアモジュールは、コンピュータ２０００上又はコンピュータ２０００近傍のコンピュータ可読記憶媒体に格納されてよい。専用通信ネットワーク又はインターネットに接続されたサーバーシステム内に提供されるハードディスク又はＲＡＭのような記録媒体が、コンピュータ可読記憶媒体として使用可能である。コンピュータ可読記憶媒体に格納されたプログラムを、ネットワークを介してコンピュータ２０００に提供してよい。

コンピュータ２０００にインストールされ、コンピュータ２０００を制御システム２００として機能させるプログラムは、ＣＰＵ２０１２等に働きかけて、コンピュータ２０００を、制御システム２００の各部としてそれぞれ機能させてよい。これらのプログラムに記述された情報処理は、コンピュータ２０００に読込まれることにより、ソフトウエアと上述した各種のハードウエア資源とが協働した具体的手段である制御システム２００の各部として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピュータ２０００の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の制御システム２００が構築される。

様々な実施形態が、ブロック図等を参照して説明された。ブロック図において各ブロックは、（１）オペレーションが実行されるプロセスの段階又は（２）オペレーションを実行する役割を持つ装置の各部を表わしてよい。特定の段階及び各部が、専用回路、コンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプログラマブル回路、及び／又はコンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプロセッサによって実装されてよい。専用回路は、デジタル及び／又はアナログハードウエア回路を含んでよく、集積回路（ＩＣ）及び／又はディスクリート回路を含んでよい。プログラマブル回路は、論理ＡＮＤ、論理ＯＲ、論理ＸＯＲ、論理ＮＡＮＤ、論理ＮＯＲ、及び他の論理オペレーション、フリップフロップ、レジスタ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルロジックアレイ（ＰＬＡ）等のようなメモリ要素等を含む、再構成可能なハードウエア回路を含んでよい。

コンピュータ可読記憶媒体は、適切なデバイスによって実行される命令を格納可能な任意の有形なデバイスを含んでよく、その結果、そこに格納される命令を有するコンピュータ可読記憶媒体は、処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく実行され得る命令を含む製品の少なくとも一部を構成する。コンピュータ可読記憶媒体の例としては、電子記憶媒体、磁気記憶媒体、光記憶媒体、電磁記憶媒体、半導体記憶媒体等が含まれてよい。コンピュータ可読記憶媒体のより具体的な例としては、フロッピー（登録商標）ディスク、ディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ＥＰＲＯＭ又はフラッシュメモリ）、電気的消去可能プログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）、静的ランダムアクセスメモリ（ＳＲＡＭ）、コンパクトディスクリードオンリメモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、ブルーレイ（ＲＴＭ）ディスク、メモリスティック、集積回路カード等が含まれてよい。

コンピュータ可読命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、又はＳｍａｌｌｔａｌｋ（登録商標）、ＪＡＶＡ（登録商標）、Ｃ＋＋等のようなオブジェクト指向プログラミング言語、及び「Ｃ」プログラミング言語又は同様のプログラミング言語のような従来の手続型プログラミング言語を含む、１又は複数のプログラミング言語の任意の組み合わせで記述されたソースコード又はオブジェクトコードのいずれかを含んでよい。

コンピュータ可読命令は、汎用コンピュータ、特殊目的のコンピュータ、若しくは他のプログラム可能なデータ処理装置のプロセッサ又はプログラマブル回路に対し、ローカルに又はローカルエリアネットワーク（ＬＡＮ）、インターネット等のようなワイドエリアネットワーク（ＷＡＮ）を介して提供され、説明された処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく、コンピュータ可読命令を実行してよい。プロセッサの例としては、コンピュータプロセッサ、処理ユニット、マイクロプロセッサ、デジタル信号プロセッサ、コントローラ、マイクロコントローラ等を含む。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

特許請求の範囲、明細書、及び図面中において示した装置、システム、プログラム、及び方法における動作、手順、ステップ、及び段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の順序で実現しうることに留意すべきである。特許請求の範囲、明細書、及び図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。

１０ 更新システム
２０ 車両
３０ 診断装置
３２ ケーブル
３４ 診断ポート
７０ サーバ
９０ 通信ネットワーク
２００ 制御システム
２０１ ＴＣＵ
２０２ ＥＣＵ
２０４ ＥＣＵ
２０５ ＥＣＵ
２０６ ＥＣＵ
２２０ 更新制御部
２５０ 制限制御部
２８０ 車内通信回線
２９４ ＦＩ
２９５ バッテリ
２９６ 空調機器
２９８ ＭＩＤ
２９９ ＩＶＩ
６００ ユーザ通知情報
６１０ 通知情報
６２０ 通知情報
７００ ユーザ通知情報
７２０ 通知情報
２０００ コンピュータ
２０１０ ホストコントローラ
２０１２ ＣＰＵ
２０１４ ＲＡＭ
２０２０ 入力／出力コントローラ
２０２２ 通信インタフェース
２０２４ フラッシュメモリ
２０２６ ＲＯＭ
２０４０ 入力／出力チップ

Claims (13)

1. 移動体を制御する移動体制御部と、
   前記移動体制御部のプログラム更新を制御する更新制御部と、
   前記移動体制御部と前記更新制御部とを情報通信する経路である通信経路と
   を備え、
   前記移動体制御部の診断を行う外部診断装置と接続され前記外部診断装置に前記移動体の情報を送信するための経路と前記通信経路とが少なくとも一部が共通であり、
   前記プログラム更新と、前記外部診断装置による前記移動体制御部の診断とが行われる場合に、前記外部診断装置による診断及び前記プログラム更新の一方を制限する制限制御部
   を備える制御システム。
2. 前記制限制御部は、前記プログラム更新と、前記外部診断装置による前記移動体制御部の診断とが行われる場合に、前記外部診断装置による診断が中止するまで、前記プログラム更新を禁止する
   請求項１に記載の制御システム。
3. 前記制限制御部は、前記プログラム更新と、前記外部診断装置による前記移動体制御部の診断とが行われる場合に、前記外部診断装置による診断を停止する旨のユーザ通知を実行させる
   請求項２に記載の制御システム。
4. 前記更新制御部は、前記移動体の起動時に、前記移動体制御部のプログラム更新に必要な前記移動体制御部の少なくともバージョンを含む情報であり前記移動体制御部が記憶する管理情報を前記通信経路を通じて取得する構成同期を実施し、
   前記制限制御部は、前記移動体の起動時に前記外部診断装置が前記移動体に接続されていることが検知された場合に、前記外部診断装置の前記接続が解除されるまで、前記構成同期を禁止する
   請求項２又は３に記載の制御システム。
5. 前記制限制御部は、前記移動体の起動時に前記外部診断装置が前記移動体に接続されていることが検知された場合に、前記移動体制御部の更新プログラムを送信するサーバからの前記更新プログラムの受信を禁止する
   請求項２から４のいずれか一項に記載の制御システム。
6. 前記更新制御部は、前記移動体制御部の更新プログラムを送信するサーバから、前記更新プログラムの存在通知を受信する制御を行い、
   前記制限制御部は、前記移動体の起動時に前記外部診断装置が前記移動体に接続されていることが検知された場合に、前記更新プログラムが存在する旨のユーザ通知と、前記外部診断装置の前記接続の解除を要求するユーザ通知とを実行させる
   請求項２から５のいずれか一項に記載の制御システム。
7. 前記制限制御部は、前記移動体の起動時に前記外部診断装置が前記移動体に接続されていることが検知された後、前記外部診断装置の前記接続が解除された場合に、前記サーバからの前記更新プログラムの受信を開始させる
   請求項５又は６に記載の制御システム。
8. 前記制限制御部は、前記プログラム更新のための更新プログラムを移動体制御部に書き込み中に前記外部診断装置が前記移動体に接続されたことが検知された場合に、前記移動体制御部への前記更新プログラムの書き込みを中断する
   請求項２から７のいずれか一項に記載の制御システム。
9. 前記制限制御部は、前記更新プログラムを前記移動体制御部に書き込み中に前記外部診断装置が前記移動体に接続されたことが検知された場合に、前記外部診断装置の前記接続の解除を要求するユーザ通知をさらに実行させる
   請求項８に記載の制御システム。
10. 請求項１から９のいずれか一項に記載の制御システム
    を備える移動体。
11. 前記移動体は車両である
    請求項１０に記載の移動体。
12. 制御システムが実行する制御方法であって、
    前記制御システムは、移動体を制御する移動体制御部と、移動体を制御する移動体制御部のプログラム更新を制御する更新制御部と、前記更新制御部とが情報通信する経路である通信経路とを備え、
    前記移動体制御部の診断を行う外部診断装置と接続され前記外部診断装置に前記移動体の情報を送信するための経路と前記通信経路とが少なくとも一部が共通であり、
    前記制御方法は、
    前記プログラム更新と、前記外部診断装置による前記移動体制御部の診断とが行われる場合に、前記外部診断装置による診断及び前記プログラム更新の一方を制限する段階
    を備える制御方法。
13. プログラムであって、コンピュータを、
    移動体を制御する移動体制御部、及び
    前記移動体制御部のプログラム更新を制御する更新制御部
    として機能させ、
    前記コンピュータは、前記移動体制御部と前記更新制御部とが情報通信する経路である通信経路を備え、
    前記移動体制御部の診断を行う外部診断装置と接続され前記外部診断装置に前記移動体の情報を送信するための経路と前記通信経路とが少なくとも一部が共通であり、
    前記プログラムは、前記コンピュータを、
    前記プログラム更新と、前記外部診断装置による前記移動体制御部の診断とが行われる場合に、前記外部診断装置による診断及び前記プログラム更新の一方を制限する制限制御部
    として機能させるためのプログラム。

Images