JP7318230B2 - センター装置、データ配信システム及び配信制御プログラム - Google Patents

Description

本発明は、センター装置、データ配信システム及び配信制御プログラムに関する。

近年、通信ネットワークの進展等に伴い、コネクッテッドカーの技術が普及している。コネクッテッドカーの技術を利用し、センター装置から車両側にデータを無線で配信する構成が供されている。例えば特許文献１には、センター装置において、リプログデータを車両側に無線で配信し、車載の電子制御装置（以下、ＥＣＵ（Electronic Control Unit））のアプリプログラムを更新する構成が開示されている。

特開２０１０－１９１７８６号公報

ＥＣＵのアプリプログラムを更新する際のＨＭＩ（Human Machine Interface）として、例えばナビゲーション装置等の車両に搭載されている車両用ＨＭＩ装置から操作可能とするだけでなく、例えばスマートフォン等のユーザが携帯可能な携帯端末からも操作可能とすれば、ユーザの利便性を高めることができる。しかしながら、車両用ＨＭＩ装置や携帯端末等の複数の機器から操作可能とする構成では、以下に示す不具合が想定される。

例えば車両が売買されたり譲渡されたりすると、車両の所有者であるオーナが変更されるが、そのオーナが変更された情報を、リプログデータを配信するセンター装置が管理していない場合がある。オーナが変更された情報をセンター装置が管理していない状況でリプログデータの配信イベントが成立すると、リプログデータの配信を知らせるキャンペーン通知は、センター装置から車両の現オーナの携帯端末に送信されず、車両の旧オーナの携帯端末に送信される。この場合、リプログデータの配信を旧オーナが許可してしまうと、リプログデータの配信を車両の現オーナが許可していないにも拘らず、リプログデータの配信が開始されてしまい、ＥＣＵのアプリプログラムが更新されてしまうことになる。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、車両側へのデータの配信を適切に行うことができるセンター装置、データ配信システム及び配信制御プログラムを提供することにある。

請求項１に記載したセンター装置によれば、承諾要求部（１４ａ）は、車両側へのデータ配信の承諾要求を複数の機器に行う。承諾判定部（１４ｂ）は、複数の機器からの承諾応答を判定する。配信制御部（１４ｃ）は、承諾判定部の判定結果にしたがって車両側へのデータ配信を制御する。必要有無判定部（１４ｄ）は、承諾要求を複数の機器の何れかに行う前に、承諾要求を複数の機器に行う必要の有無を判定する。承諾要求部は、必要有無判定部の判定結果にしたがって承諾要求を複数の機器に行うか否かを決定する。

承諾要求を複数の機器に行い、複数の機器からの承諾応答の判定結果にしたがって車両側へのデータ配信を制御するようにした。承諾要求の対象とする複数の機器に車両の現オーナが承諾応答する機器を含めておくことで、例えば車両のオーナが変更されて承諾要求が旧オーナの機器に行われ、データの配信を旧オーナが許可したとしても、その旧オーナが許可しただけでデータの配信が開始されてしまう事態を未然に回避することができる。これにより、データの配信を車両の現オーナが許可していないにも拘らず、データの配信が開始されてしまう事態を未然に回避することができ、センター装置から車両側へのデータの配信を適切に行うことができる。

請求項１３に記載したデータ配信システムによれば、センター装置（２）は、車両側へのデータ配信の承諾要求を複数の機器に行い、複数の機器からの承諾応答を判定し、その判定結果にしたがって車両側へのデータ配信を制御する。機器（５，１２）は、センター装置からの承諾要求に対して承諾応答を行う。センター装置は、承諾要求を複数の機器の何れかに行う前に、承諾要求を複数の機器に行う必要の有無を判定し、その判定結果にしたがって承諾要求を複数の機器に行うか否かを決定する。

請求項１に記載したセンター装置と同様に、承諾要求の対象とする複数の機器に車両の現オーナが承諾応答する機器を含めておくことで、例えば車両のオーナが変更されて承諾要求が旧オーナの機器に行われ、データの配信を旧オーナが許可したとしても、その旧オーナが許可しただけでデータの配信が開始されてしまう事態を未然に回避することができる。

一実施形態の全体構成を示す図 位置情報の変化を示す図 １段階承諾の手順を示す図 携帯端末における画面遷移を示す図 ２段階承諾の手順を示す図（その１） 携帯端末及び車両用ＨＭＩ装置における画面遷移を示す図（その１） ２段階承諾の手順を示す図（その２） 携帯端末及び車両用ＨＭＩ装置における画面遷移を示す図（その２） １段階承諾の処理の流れを示す図（その１） １段階承諾の処理の流れを示す図（その２） ２段階承諾の処理の流れを示す図（その１） ２段階承諾の処理の流れを示す図（その２） ２段階承諾の処理の流れを示す図（その３） ２段階承諾の処理の流れを示す図（その４） ２段階承諾の処理の流れを示す図（その５） ２段階承諾の処理の流れを示す図（その６）

以下、本発明の一実施形態について図面を参照して説明する。データ配信システムは、センター装置が車両側にデータを無線で配信するシステムである。本実施形態では、センター装置から車両側に配信されるデータとして、例えば車両に搭載されているＥＣＵの車両制御や診断等に使用されるアプリプログラムを更新するためのリプログデータを例示する。ここでいうリプログデータとは、ＥＣＵのハードウェア（物理的な機械）がアプリプログラムを実行してＥＣＵの動作を制御するために必要なソフトウェアを含む。

図１に示すように、データ配信システム１は、リプログデータを車両側に配信するセンター装置２と、リプログデータをセンター装置２に提供するキャンペーン管理者により管理されるキャンペーン管理者端末３と、車両に搭載されている車両側システム４と、ユーザが携帯可能な携帯端末５（第１の機器）とを有する。携帯端末５は、例えばＷｅｂブラウザを有するスマートフォンやタブレット等である。センター装置２、キャンペーン管理者端末３、車両側システム４及び携帯端末５は、通信ネットワーク６を介してデータ通信可能に構成されている。通信ネットワーク６は、ＬＰＷＡ（Low Power Wide Area）の通信方式に準拠した通信ネットワーク、ＬＴＥ（Long Term Evolution）の通信方式に準拠した通信ネットワークを含む。センター装置２と車両側システム４及び携帯端末５とは１対複数の関係にあり、センター装置２は、不特定多数の車両側システム４及び携帯端末５とデータ通信可能であり、リプログデータを不特定多数の車両側システム４及び携帯端末５に配信可能である。

キャンペーン管理者端末３は、センター装置２から車両側に配信されるリプログデータを管理し、例えば機能向上やバグ改修等によりリプログデータの配信イベントが成立すると、キャンペーン情報をセンター装置２に送信する。

センター装置２は、キャンペーン管理者端末３から送信されたキャンペーン情報を受信すると、リプログデータの配信を知らせるキャンペーン通知を車両側システム４や携帯端末５に送信する。

車両側システム４は、車両用マスタ装置７を有する。車両用マスタ装置７は、車載通信機８とゲートウェイ装置９とを有し、車載通信機８とゲートウェイ装置９とがデータ通信可能に接続されている。車載通信機８は、センター装置２との間で通信ネットワーク６を介してデータ通信を行う。車載通信機８は、センター装置２からリプログデータをダウンロードすると、そのダウンロードしたリプログデータをゲートウェイ装置９に転送する。

ゲートウェイ装置９には、バス１０を介して車両用ＨＭＩ装置１２（第２の機器）が接続されており、バス１１を介して各種ＥＣＵ１３が接続されている。車両用ＨＭＩ装置１２は、ＨＭＩ機能を有し、各種画面を表示する機能及びユーザの操作を受付ける機能を有する。バス１１は、例えばボディ系ネットワークのバス、走行系ネットワークのバス、マルチメディア系ネットワークのバス等である。ボディ系ネットワークのバスには、ボディ系の制御を行うＥＣＵが接続され、例えばドアのロック／アンロックを制御するドアＥＣＵ等が接続されている。走行系ネットワークのバスには、走行系の制御を行うＥＣＵが接続され、例えばエンジンの駆動を制御するエンジンＥＣＵ等が接続されている。マルチメディア系ネットワークのバスには、マルチメディア系の制御を行うＥＣＵが接続され、例えばナビゲーションシステムを制御するためのナビゲーションＥＣＵが接続されている。バス１１の種別や本数、ＥＣＵ１３の種別や個数は、例示した構成に限らない。

ゲートウェイ装置９は、データ中継機能を有し、車載通信機８からリプログデータが転送されると、その転送されたリプログデータを、配信先として指定されているＥＣＵ１３に配信する。ＥＣＵ１３は、ゲートウェイ装置９からリプログデータを受信すると、その受信したリプログデータをフラッシュメモリに書込む。ＥＣＵ１３は、リプログデータをフラッシュメモリに書込むことで、アプリプログラムを更新し、アプリプログラムの機能向上やバグ改修を行う。

上記した構成では、携帯端末５及び車両用ＨＭＩ装置１２は、それぞれセンター装置２から送信されたキャンペーン通知を受信すると、キャンペーン通知画面を表示し、センター装置２からリプログデータをダウンロード可能であることを示すキャンペーン情報をユーザに通知する。ユーザは、キャンペーン通知画面が携帯端末５や車両用ＨＭＩ装置１２に表示されると、アプリプログラムの更新の手続きを各種画面で確認し、必要事項を入力したり選択したりすることで、アプリプログラムの更新の手続きを可能である。即ち、ユーザは、車室外と車室内とで携帯端末５と車両用ＨＭＩ装置１２とを使い分け、アプリプログラムの更新の手続きを可能である。ユーザは、乗車中であれば車両用ＨＭＩ装置１２からアプリプログラムの更新の手続きを可能であり、乗車中でなくても携帯端末５を所有していれば携帯端末５からアプリプログラムの更新の手続きを可能である。尚、アプリプログラムの更新に緊急性を伴う場合には、キャンペーン通知画面を表示せず、ユーザがアプリプログラムの更新の手続きを行わなくとも、センター装置２からリプログデータをダウンロードしても良い。

センター装置２は、制御部１４と、データ通信部１５と、キャンペーン情報記憶部１６と、ユーザ情報記憶部１７と、車両情報記憶部１８と、外部情報記憶部１９とを有する。本実施形態では、これらの記憶部１６～１９がセンター装置２の内部に設けられている構成を例示しているが、これらの記憶部１６～１９がセンター装置２とは別の外部サーバに設けられている構成でも良く、センター装置２と外部サーバとがデータ通信を行う構成でも良い。

データ通信部１５は、キャンペーン管理者端末３、車両側システム４、携帯端末５との間で通信ネットワーク６を介してデータ通信を行う。

キャンペーン情報記憶部１６は、配信対象のリプログデータに関する各種情報をキャンペーン情報として記憶する。キャンペーン情報は、配信先、配信データ量、リプログデータの種別等を含み、キャンペーン管理者端末３からセンター装置２に送信されることでキャンペーン情報記憶部１６に記憶される。

ユーザ情報記憶部１７は、車両の所有者であるオーナに関する各種情報をユーザ情報として記憶する。ユーザ情報は、車両に固有に付与されている車両識別番号（以下、ＶＩＮ（Vehicle Identification Number）と称する）、その車両に搭載されている車載通信機８の電話番号、ユーザが所有する携帯端末５の電話番号等を含む。ユーザ情報は、例えばユーザが車両購入時に車両用ＨＭＩ装置１２により登録操作を行い、車両用マスタ装置７からセンター装置２に送信されることでユーザ情報記憶部１７に記憶される。車両が売買されたり譲渡されたりすると、車両のオーナが変更されるので、そのオーナが変更されることに追従してユーザ情報も変更される必要がある。

車両情報記憶部１８は、車両に関する各種情報を車両情報として記憶する。車両情報は、車両ログを示すログ情報、車両位置を示す位置情報を含む。車両ログとは、例えばエンジンのオン時刻、エンジンのオフ時刻、アクセルの操作時刻や操作量、ブレーキの操作時刻や操作量、ステアリングの操作時刻や操作量等である。車両情報は、車両用マスタ装置７からセンター装置２に送信されることで車両情報記憶部１８に記憶される。

外部情報記憶部１９は、車両外部から取得される各種情報を外部情報として記憶する。外部情報は、例えば地図情報を含み、地図情報を配信する地図情報配信サーバからセンター装置２に送信されることで外部情報記憶部１９に記憶される。

制御部１４は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等を含むマイコンを有し、非遷移的実体的記憶媒体に格納されている制御プログラムを実行して各種処理を行い、センター装置２の動作を制御する。制御部１４が実行する制御プログラムには、配信制御プログラムが含まれる。制御部１４は、承諾要求部１４ａと、承諾判定部１４ｂと、配信制御部１４ｃと、必要有無判定部１４ｄと、本人確認判定部１４ｅとを有する。

承諾要求部１４ａは、キャンペーン通知及び承諾要求をデータ通信部１５から携帯端末５や車両用ＨＭＩ装置１２に送信させることで、リプログデータの配信の承諾要求を携帯端末５や車両用ＨＭＩ装置１２に行う。承諾要求部１４ａが承諾要求を行う態様としては、承諾要求を携帯端末５だけに行う１段階承諾と、承諾要求を携帯端末５及び車両用ＨＭＩ装置１２に行う２段階承諾とがある。

承諾判定部１４ｂは、携帯端末５や車両用ＨＭＩ装置１２から送信された承諾応答がデータ通信部１５に受信されると、携帯端末５や車両用ＨＭＩ装置１２からの承諾応答を判定する。承諾判定部１４ｂは、オーナが携帯端末５や車両用ＨＭＩ装置１２により承諾を許可する操作を行ったことで、携帯端末５や車両用ＨＭＩ装置１２から送信された承諾応答が許可を示す場合には、承諾応答が許可であると判定する。一方、承諾判定部１４ｂは、オーナが携帯端末５や車両用ＨＭＩ装置１２により承諾を拒否する操作を行った又は何れの操作も行わなかったことで、携帯端末５や車両用ＨＭＩ装置１２から送信された承諾応答が拒否を示す場合には、承諾応答が拒否であると判定する。

配信制御部１４ｃは、車両側へのリプログデータの配信を制御する。必要有無判定部１４ｄは、例えば車両状態の変化を判定し、承諾要求を携帯端末５及び車両用ＨＭＩ装置１２に行う必要の有無、即ち、２段階承諾を行う必要の有無を判定し、１段階承諾及び２段階承諾のうちの何れを行うかを決定する。

必要有無判定部１４ｄは、車両状態の変化として、例えば駐車位置の変化、走行経路の変化、運転操作の変化を判定し、１段階承諾及び２段階承諾のうち何れを行うかを決定する。必要有無判定部１４ｄは、例えば毎日の特定時刻の位置情報により示される車両位置を定期的に判定し、その車両位置が変化していないと判定すると、２段階承諾を行う必要がないと判定するが、その車両位置が変化したと判定すると、２段階承諾を行う必要があると判定する。必要有無判定部１４ｄは、図２に示すように、毎日の特定時刻（図２では「２２：００」）の車両位置が特定の日付（図２では９月１１日～１２日）を境にして変化したと判定すると、オーナが変更された（図２では、オーナがＡ市在住の人物からＢ市在住の人物に変更された）可能性が高いと判定し、２段階承諾を行う必要があると判定する。

同様に、必要有無判定部１４ｄは、例えば毎日の特定時間帯の走行経路を定期的に判定し、その走行経路が特定の日付を境にして変化したと判定すると、オーナが変更された可能性が高いと判定しても良い。又、必要有無判定部１４ｄは、運転操作（例えばアクセル操作やブレーキ操作の頻度や操作量等による加減速操作、ステアリング操作の頻度や操作量等による急旋回操作）を定期的に判定し、その運転操作が特定の日付を境にして変化したと判定すると、オーナが変更された可能性が高いと判定しても良い。即ち、必要有無判定部１４ｄは、車両が売買されたり譲渡されたりしてオーナが変更されると、そのオーナの生活拠点が変化して駐車位置の変化や走行経路の変化が発生したり、オーナ自体の運転癖により運転操作の変化が発生することから、それらの変化を判定することで、オーナが変更された可能性が高いと判定する。

上記した承諾要求部１４ａは、２段階承諾を行う必要がないと必要有無判定部１４ｄにより判定されると、１段階承諾を行い、承諾要求を携帯端末５だけに行う。承諾要求部１４ａは、２段階承諾を行う必要があると必要有無判定部１４ｄにより判定されると、２段階承諾を行い、１段階目の承諾要求を携帯端末５に行い、２段階目の承諾要求として本人確認要求を車両用ＨＭＩ装置１２に行う。

本人確認判定部１４ｅは、車両用ＨＭＩ装置１２から送信された本人確認応答がデータ通信部１５に受信されると、車両用ＨＭＩ装置１２からの本人確認応答を判定する。本人確認判定部１４ｅは、オーナが車両用ＨＭＩ装置１２により後述する例えば正しいセキュリティコードを入力する操作を行ったことで、車両用ＨＭＩ装置１２から送信された本人確認応答が成功を示す場合には、本人確認応答が成功であると判定する。一方、本人確認判定部１４ｅは、オーナが車両用ＨＭＩ装置１２により正しいセキュリティコードを入力する操作を行わなかったことで、車両用ＨＭＩ装置１２から送信された本人確認応答が失敗成功を示す場合には、本人確認応答が失敗であると判定する。

次に、１段階承諾及び２段階承諾について図３から図８を参照して説明する。
（１－１）１段階承諾
図３及び図４に示すように、１段階承諾では、センター装置２は、リプログデータの配信イベントが成立すると、キャンペーン通知及び１段階目承諾要求を携帯端末５に送信する。

携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン通知画面Ａ１を表示し、キャンペーン情報をオーナに通知する。携帯端末５は、オーナがキャンペーン通知画面Ａ１で「はい」を選択すると、ダウンロード許可画面Ａ２を表示し、そのリプログデータのダウンロードの開始を許可するか否かの選択をオーナに促す。携帯端末５は、オーナがダウンロード許可画面Ａ２で「はい」を選択すると、１段階目承諾応答を許可としてセンター装置２に送信する。

センター装置２は、携帯端末５から送信された１段階目承諾応答を受信し、その受信した１段階目承諾応答が許可であると判定すると、車両用マスタ装置７へのリプログデータの配信を開始する。即ち、１段階承諾では、オーナは、携帯端末５を操作するだけでリプログデータの配信を開始させることができる。

（１－２）２段階承諾
図５及び図６に示すように、２段階承諾では、センター装置２は、リプログデータの配信イベントが成立すると、最初にキャンペーン通知及び１段階目承諾要求を携帯端末５に送信する。

携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン通知画面Ａ１を表示し、キャンペーン情報をオーナに通知する。携帯端末５は、オーナがキャンペーン通知画面Ａ１で「はい」を選択すると、セキュリティコード通知画面Ａ３を表示し、セキュリティコードをオーナに通知し、１段階目承諾応答を許可としてセンター装置２に送信する。

センター装置２は、携帯端末５から送信された１段階目承諾応答を受信し、その受信した１段階目承諾応答が許可であると判定すると、次にキャンペーン通知及び２段階目承諾要求（本人確認要求）を車両用ＨＭＩ装置１２に送信する。

車両用ＨＭＩ装置１２は、センター装置２から送信されたキャンペーン通知及び２段階目承諾要求（本人確認要求）を受信すると、セキュリティコード入力画面Ｂ１を表示し、セキュリティコードの入力をオーナに促す。車両用ＨＭＩ装置１２は、オーナが正しいセキュリティコードを入力すると、ダウンロード許可画面Ｂ２を表示し、そのリプログデータのダウンロードの開始を許可するか否かの選択をオーナに促す。車両用ＨＭＩ装置１２は、オーナがダウンロード許可画面Ｂ２で「はい」を選択すると、本人確認応答を成功としてセンター装置２に送信する。

センター装置２は、車両用ＨＭＩ装置１２から送信された本人確認応答を受信し、その受信した本人確認応答が成功であると判定すると、車両用マスタ装置７へのリプログデータの配信を開始する。即ち、２段階承諾では、オーナは、携帯端末５を操作するだけではリプログデータの配信を開始させることができず、携帯端末５を操作した後に車両用ＨＭＩ装置１２を操作することでリプログデータの配信を開始させることができる。

一方、図７及び図８に示すように、車両用ＨＭＩ装置１２は、オーナが正しいセキュリティコードを入力しないと、本人確認応答を失敗としてセンター装置２に送信する。

センター装置２は、携帯端末５から送信された本人確認応答を受信し、その受信した本人確認応答が失敗であると判定すると、ユーザ登録要求を車両用ＨＭＩ装置１２に送信する。車両用ＨＭＩ装置１２は、センター装置２から送信されたユーザ登録要求を受信すると、ユーザ登録案内画面Ｂ３を表示し、ユーザ情報の登録をオーナに促す。

次に、上記した構成の作用について図９から図１６を参照して説明する。ここでは、
（２－１）車両のオーナが変更されていない場合
（２－２）車両のオーナが変更され、リプログデータの配信を旧オーナが許可した場合
（２－３）車両のオーナが変更され、リプログデータの配信を旧オーナが拒否した場合
について順次説明する。

（２－１）車両のオーナが変更されていない場合
図９及び図１０に示すように、ユーザが車両を購入すると、その車両を購入したユーザは現オーナとなる（Ｓ１）。例えば現オーナが車両用ＨＭＩ装置１２等によりユーザ情報の登録操作を行うと、車両用マスタ装置７は、その現オーナが登録したユーザ情報をセンター装置２に送信する（Ｓ２）。センター装置２において、制御部１４は、車両用マスタ装置７から送信されたユーザ情報が受信されると、その受信されたユーザ情報をユーザ情報記憶部１７に記憶させる。尚、現オーナが現オーナの携帯端末５によりユーザ情報の登録操作を行っても良い。

キャンペーン管理者端末３は、ユーザ情報取得要求をセンター装置２に送信し、センター装置２から送信されたユーザ情報を受信して取得する（Ｓ３）。車両用マスタ装置７は、ユーザ情報をセンター装置２に送信した以後では、車両情報をセンター装置２に定期的に送信する（Ｓ４）。センター装置２において、制御部１４は、車両用マスタ装置７から送信された車両情報が受信されると、その受信された車両情報を車両情報記憶部１８に記憶させる。

キャンペーン管理者端末３は、リプログデータの配信イベントが成立すると、キャンペーン情報をセンター装置２に送信する（Ｓ５）。センター装置２において、制御部１４は、キャンペーン管理者端末３から送信されたキャンペーン情報が受信されると、その受信されたキャンペーン情報をキャンペーン情報記憶部１６に記憶させる。制御部１４は、配信開始指示を判定すると（Ｓ６）、車両情報記憶部１８に記憶されている車両情報を取得し（Ｓ７）、外部情報記憶部１９に記憶されている外部情報を取得し（Ｓ８）、その取得した車両情報及び外部情報にしたがって２段階承諾を行う必要の有無を判定する。

制御部１４は、例えば車両状態の変化を判定し、駐車位置の変化、走行経路の変化、運転操作の変化の何れもなかったと判定し、車両状態の変化がなかったと判定すると、２段階承諾を行う必要がないと判定する。一方、制御部１４は、例えば駐車位置の変化、走行経路の変化、運転操作の変化のうち何れかがあったと判定し、車両状態の変化があったと判定すると、２段階承諾を行う必要があると判定する。この場合は、車両のオーナが変更されていないので、制御部１４は、車両状態の変化がなかったと判定し、２段階承諾を行う必要がないと判定する。制御部１４は、キャンペーン通知及び１段階目承諾要求を現オーナの携帯端末５に送信させる（Ｓ９、承諾要求手順）。

現オーナの携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン情報を現オーナに通知し（Ｓ１０）、そのリプログデータのダウンロードの開始を許可するか否かの選択を現オーナに促す。現オーナの携帯端末５は、リプログデータのダウンロードの開始を許可する旨を現オーナが選択すると（Ｓ１１）、１段階目承諾応答を許可としてセンター装置２に送信する（Ｓ１２）。センター装置２において、制御部１４は、現オーナの携帯端末５から送信された１段階目承諾応答が受信され、その受信された１段階目承諾応答が許可であると判定すると（承諾判定手順）、この時点では２段階承諾を行う必要がないと判定しているので、リプログデータを車両用マスタ装置７に配信させる（Ｓ１３）。

車両用マスタ装置７は、センター装置２からリプログデータをダウンロードした以降でも、車両情報をセンター装置２に定期的に送信する（Ｓ１４）。センター装置２において、制御部１４は、車両用マスタ装置７から送信された車両情報が受信されると、その受信された車両情報を車両情報記憶部１８に記憶させる。

制御部１４は、車両情報記憶部１８に記憶されている車両情報を取得し（Ｓ１５）、外部情報記憶部１９に記憶されている外部情報を取得し（Ｓ１６）、その取得した車両情報及び外部情報にしたがって２段階承諾を行う必要の有無を定期的に判定する。制御部１４は、これ以降に、例えば駐車位置の変化、走行経路の変化、運転操作の変化のうち何れかがあったと判定し、車両状態の変化があったと判定すると、ユーザ情報記憶部１７に記憶されているユーザ情報を確認する（Ｓ１７）。

キャンペーン管理者端末３は、リプログデータの配信イベントが成立すると、キャンペーン情報をセンター装置２に送信する（Ｓ１８）。センター装置２において、制御部１４は、キャンペーン管理者端末３から送信されたキャンペーン情報が受信されると、その受信されたキャンペーン情報をキャンペーン情報記憶部１６に記憶させる。制御部１４は、配信開始指示を判定すると（Ｓ１９）、この時点では２段階承諾を行う必要があると判定しているので、これ以降は２段階承諾を行う。

（２－２）車両のオーナが変更され、リプログデータの配信を旧オーナが許可した場合
図１１及び図１２に示すように、例えば旧オーナから現オーナに車両が売却されると、オーナが変更される（Ｓ２５）。この場合、センター装置２において、制御部１４は、車両情報及び外部情報にしたがって２段階承諾を行う必要の有無を定期的に判定し（Ｓ２８，Ｓ２９）、オーナが変更されたことで、例えば駐車位置の変化、走行経路の変化、運転操作の変化のうち何れかがあったと判定し、２段階承諾を行う必要があると判定する。制御部１４は、この時点ではユーザ情報記憶部１７に記憶されているユーザ情報が更新されていないので、キャンペーン通知及び１段階目承諾要求を旧オーナの携帯端末５に送信させる（Ｓ３０）。

旧オーナの携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン情報を旧オーナに通知し（Ｓ３１）、そのリプログデータのダウンロードの開始を許可するか否かの選択を旧オーナに促す。旧オーナの携帯端末５は、１段階目承諾要求を許可し、リプログデータをダウンロードの開始を許可する旨を旧オーナが選択すると（Ｓ３２）、１段階目承諾応答を許可としてセンター装置２に送信する（Ｓ３３）。

センター装置２において、制御部１４は、旧オーナの携帯端末５から送信された１段階目承諾応答が受信され、その受信された１段階目承諾応答が許可であると判定するが、この時点では２段階承諾を行う必要があると判定しているので、キャンペーン通知及び２段階目承諾要求（本人確認要求）を車両用マスタ装置７に送信させ、本人確認要求を行う（Ｓ３４）。

車両用マスタ装置７は、センター装置２から送信されたキャンペーン通知及び２段階目承諾要求（本人確認要求）を受信すると、本人確認の通知指示を車両用ＨＭＩ装置１２に送信し（Ｓ３５）、本人確認を現オーナに通知し（Ｓ３６）、本人確認操作として例えばセキュリティコードの入力を現オーナに促す（Ｓ３７）。この場合、セキュリティコードは旧オーナの携帯端末５に送信されているので、現オーナは正しいセキュリティコードを入力することができない。車両用ＨＭＩ装置１２は、例えば現オーナが正しいセキュリティコードを入力することができずにタイムアウトすると、又は「セキュリティコードを通知されていない場合はこちら」を選択すると、或いは正しくないセキュリティコードを入力すると、その操作内容を車両用マスタ装置７に送信する（Ｓ３８）。車両用マスタ装置７は、車両用ＨＭＩ装置１２から操作内容を受信すると、本人確認応答を失敗としてセンター装置２に送信する（Ｓ３９）。

センター装置２において、制御部１４は、車両用マスタ装置７から送信された本人確認応答が受信され、その受信された本人確認応答が失敗であると判定すると、ユーザ登録要求を車両用マスタ装置７に送信させる（Ｓ４０）。車両用マスタ装置７は、センター装置２から送信されたユーザ登録要求を受信すると、ユーザ登録の通知指示を車両用ＨＭＩ装置１２に送信し（Ｓ４１）、ユーザ登録を現オーナに通知し（Ｓ４２）、ユーザ情報の登録を現オーナに促す（Ｓ４３）。車両用ＨＭＩ装置１２は、現オーナがユーザ情報を登録すると、その操作内容を車両用マスタ装置７に送信する（Ｓ４４）。車両用マスタ装置７は、車両用ＨＭＩ装置１２から操作内容を受信すると、ユーザ情報をセンター装置２に送信する（Ｓ４５）。

センター装置２において、制御部１４は、車両用マスタ装置７から送信されたユーザ情報が受信されると、その受信されたユーザ情報をユーザ情報記憶部１７に記憶させ、ユーザ情報を更新する。ユーザ情報が更新されることで、車両のオーナの携帯端末５の電話番号が、旧オーナの携帯端末５の電話番号から現オーナの携帯端末５の電話番号に更新される。

（２－３）車両のオーナが変更され、リプログデータの配信を旧オーナが拒否した場合
図１３及び図１４に示すように、携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン情報を旧オーナに通知し（Ｓ６１）、そのリプログデータのダウンロードの開始を許可するか否かの選択を旧オーナに促す。旧オーナの携帯端末５は、キャンペーン情報の通知に対して旧オーナが何ら操作しないと、１段階目承諾応答をセンター装置２に送信しない。

センター装置２において、制御部１４は、携帯端末５から１段階目承諾応答が受信されなくても、この時点では２段階承諾を行う必要があると判定しているので、この場合も、キャンペーン通知及び２段階目承諾要求（本人確認要求）を車両用マスタ装置７に送信させ、本人確認要求を行う（Ｓ６２）。これ以降、制御部１４は、車両用マスタ装置７から送信されたユーザ情報が受信されると、その受信されたユーザ情報をユーザ情報記憶部１７に記憶させ、ユーザ情報を更新する。

以上により、センター装置２において、制御部１４は、車両のオーナが変更されたと判定すると、２段階承諾を行う必要があると判定することで、キャンペーン通知及び１段階目承諾要求を旧オーナの携帯端末５に送信させた後に、旧オーナの携帯端末５からの１段階目承諾応答が許可であるか拒否であるかに拘らず、キャンペーン通知及び２段階目承諾要求（本人確認要求）を車両用マスタ装置７に送信させる。即ち、リプログデータの配信を旧オーナが許可しても、リプログデータの配信が開始されてしまうことはない。そして、制御部１４は、車両用マスタ装置７から送信された本人確認応答が失敗であると判定すると、ユーザ登録要求を車両用マスタ装置７に送信させ、車両用マスタ装置７から送信されたユーザ情報が受信されると、その受信されたユーザ情報をユーザ情報記憶部１７に記憶させ、ユーザ情報を更新する。これ以降、制御部１４は、ユーザ情報を更新したことにより、キャンペーン通知及び１段階目承諾要求を現オーナの携帯端末５に送信させる。

以上は、例えば車両状態の変化を判定することで車両のオーナが変更されたか否かを判定し、２段階承諾を行う必要の有無を判定する構成を説明したが、車両のオーナが変更された場合に限らず、それ以外の状況でも２段階承諾を行う構成でも良い。例えば前回のリプログデータの配信時から今回のリプログデータの配信イベント成立時までの経過期間や今回のデータの配信時の課金等を判定し、２段階承諾を行う必要の有無を判定しても良い。

必要有無判定部１４ｄは、前回のリプログデータの配信時から今回のリプログデータの配信イベント発生時までの経過期間を判定する場合であれば、その経過期間が所定期間（例えば数ヶ月等）を超えていないと判定すると、２段階承諾を行う必要がないと判定し、その経過期間が所定期間を超えていると判定すると、２段階承諾を行う必要があると判定しても良い。即ち、前回のリプログデータの配信時から今回のリプログデータの配信イベント発生時までの経過期間が所定期間を超えていると、リプログデータの配信の目的や意義をオーナが失念していることが懸念されるので、リプログデータの配信の目的や意義をオーナに改めて認識させるために２段階承諾を行っても良い。

又、必要有無判定部１４ｄは、今回のリプログデータの配信時の課金を判定する場合であれば、その課金が発生しないと判定すると、２段階承諾を行う必要がないと判定し、その課金が発生すると判定すると、２段階承諾を行う必要があると判定しても良い。即ち、今回のリプログデータの配信時に課金が発生すると、その課金により経済的な負担が発生するので、経済的な負担の発生をオーナに認識させるために２段階承諾を行っても良い。

この場合、図１５及び図１６に示すように、センター装置２において、制御部１４は、キャンペーン通知及び１段階目承諾要求を現オーナの携帯端末５に送信させる（Ｓ８９）。現オーナの携帯端末５は、センター装置２から送信されたキャンペーン通知及び１段階目承諾要求を受信すると、キャンペーン情報を現オーナに通知し（Ｓ９０）、そのリプログデータのダウンロードの開始を許可するか否かの選択をオーナに促す。現オーナの携帯端末５は、リプログデータのダウンロードの開始を許可する旨をオーナが選択すると（Ｓ９１）、１段階目承諾応答を許可としてセンター装置２に送信する（Ｓ９２）。

センター装置２において、制御部１４は、現オーナの携帯端末５から送信された１段階目承諾応答が受信され、その受信された１段階目承諾応答が許可であると判定すると、キャンペーン通知及び２段階目承諾要求（本人確認要求）を車両用マスタ装置７に送信させ、本人確認要求を行う（Ｓ９３）。車両用マスタ装置７は、センター装置２から送信されたキャンペーン通知及び２段階目承諾要求（本人確認要求）を受信すると、本人確認の通知指示を車両用ＨＭＩ装置１２に送信し（Ｓ９４）、本人確認を現オーナに通知し（Ｓ９５）、例えばセキュリティコードの入力を現オーナに促す（Ｓ９６）。この場合、セキュリティコードは現オーナの携帯端末５に送信されているので、現オーナは正しいセキュリティコードを入力することができる。車両用ＨＭＩ装置１２は、例えば現オーナが正しいセキュリティコードを入力すると、その操作内容を車両用マスタ装置７に送信する（Ｓ３７）。車両用マスタ装置７は、車両用ＨＭＩ装置１２から操作内容を受信すると、本人確認応答を成功としてセンター装置２に送信する（Ｓ９８）。

センター装置２において、制御部１４は、車両用マスタ装置７から送信された本人確認応答が受信され、その受信された本人確認応答が成功であると判定すると、リプログデータを車両用マスタ装置７に配信させる（Ｓ９９）。

以上に説明したように本実施形態によれば、以下に示す作用効果を得ることができる。センター装置２において、承諾要求を携帯端末５及び車両用ＨＭＩ装置１２に対して段階的に行い、携帯端末５及び車両用ＨＭＩ装置１２からの承諾応答の判定結果にしたがって車両側へのリプログデータの配信を制御するようにした。例えば車両のオーナが変更され、リプログデータの配信を旧オーナが許可したとしても、その旧オーナが許可しただけでリプログデータの配信が開始されてしまう事態を未然に回避することができる。これにより、リプログデータの配信を車両の現オーナが許可していないにも拘らず、リプログデータの配信が開始されてしまう事態を未然に回避することができ、センター装置２から車両側へのリプログデータの配信を適切に行うことができる。

２段階承諾を行う必要の有無を判定し、その判定結果にしたがって１段階承諾及び２段階承諾のうち何れを行うかを決定するようにした。１段階承諾を常に行うようにすると、例えばオーナが変更された場合に発生する問題を解決することができず、２段階承諾を常に行うようにすると、オーナの手間が不必要に増大することになるが、１段階承諾と２段階承諾とを使い分けることで、オーナの手間が不必要に増大することを未然に回避しつつ、オーナが変更された場合に発生する問題を解決することができる。

２段階承諾を行う必要がないと判定し、１段階承諾を行う場合に、承諾要求を携帯端末５に行うようにした。１段階承諾を車両用ＨＭＩ装置７に行うようにすると、オーナが承諾応答を行う機会が乗車中に限られるが、１段階承諾を携帯端末５に行うことでオーナが承諾応答を行う機会が乗車中に限られることがなく、オーナが携帯端末５を所持している期間で承諾応答を行うことができ、承諾応答を行う機会の自由度を高めることができる。

１段階承諾を行う場合に、携帯端末５からの承諾応答が許可であると判定すると、リプログデータの配信を行うようにした。ユーザが携帯端末５を操作するだけでリプログデータの配信を開始させることができる。

２段階承諾を行う必要があると判定し、２段階承諾を行う場合に、１段階目の承諾要求を携帯端末５に行い、２段階目の承諾要求を車両用ＨＭＩ装置７に行うようにした。１段階目の承諾要求を車両用ＨＭＩ装置７に行うようにすると、ユーザが１段階目の承諾応答を行う機会が乗車中に限られるが、１段階承諾を携帯端末５に行うことでユーザが携帯端末５を所持している期間で１段階目の承諾応答を行うことができ、１段階目の承諾応答を行う機会の自由度を高めることができる。

２段階承諾を行う場合に、本人確認要求を車両用ＨＭＩ装置７に行うことで、２段階目の承諾要求を車両用ＨＭＩ装置７に行い、車両用ＨＭＩ装置７からの本人確認応答が成功であると判定すると、リプログデータの配信を行うようにした。ユーザが携帯端末５を操作した後に車両用ＨＭＩ装置７を操作することでリプログデータの配信を開始させることができる。

２段階承諾を行う場合に、車両用ＨＭＩ装置７からの承諾応答が失敗であると判定すると、ユーザ情報の登録要求を車両用ＨＭＩ装置７に行うようにした。車両用ＨＭＩ装置７からの本人確認応答が失敗であることを契機としてユーザ情報の登録をオーナに促すことができる。

車両状態の変化として、駐車位置の変化、走行経路の変化、運転操作の変化を判定し、その判定結果にしたがって２段階承諾を行う必要の有無を判定するようにした。駐車位置の変化、走行経路の変化、運転操作の変化からオーナが変更されたか否かを判定することができる。

前回のリプログデータの配信時から今回のリプログデータの配信イベント発生時までの経過期間を判定し、その判定結果にしたがって２段階承諾を行う必要の有無を判定するようにした。オーナが変更されていない場合でも、前回のリプログデータの配信時から今回のリプログデータの配信イベント発生時までの経過期間が所定期間を超えていると、リプログデータの配信の目的や意義をオーナが失念していることが懸念される。２段階承諾を行うことで、リプログデータの配信の目的や意義をオーナに改めて認識させることができ、リプログデータの配信をオーナが安易に許可してしまう事態を未然に回避することできる。

今回のリプログデータの配信時の課金を判定し、その判定結果にしたがって２段階承諾を行う必要の有無を判定するようにした。オーナが変更されていない場合でも、今回のリプログデータの配信時に課金が発生すると、その課金により経済的な負担が発生する。２段階承諾を行うことで、経済的な負担の発生をオーナに認識させることができ、リプログデータの配信をオーナが安易に許可してしまう事態を未然に回避することできる。

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

センター装置２から車両側に配信されるデータの種別に応じて２段階承諾を行う必要の有無を判定しても良い。例えば緊急性や重要度が極めて高いリプログデータの配信イベントが成立した場合には、２段階承諾を行う必要の有無を判定せず、リプログデータを配信しても良い。

承諾要求を携帯端末５及び車両用ＨＭＩ装置１２に行う場合に、承諾要求を段階的に行う構成に限らず、承諾要求を同時に行う構成でも良い。即ち、センター装置２において、承諾要求を携帯端末５及び車両用ＨＭＩ装置１２に同時に送信し、携帯端末５及び車両用ＨＭＩ装置１２の両方からの承諾応答が許可であると判定した場合に、リプログデータを配信する構成でも良い。

承諾要求を段階的に行う場合に、２段階承諾を行う構成に限らず、３段階以上の承諾を行う構成でも良い。承諾要求を段階的に行う場合に、セキュリティコードを用いて本人確認を行う構成に限らず、セキュリティコードを用いず、例えばユーザ情報と共にキーワードが登録され、その登録されたキーワードと本人確認を行う際に入力されたキーワードとを照合し、本人確認を行う構成でも良い。

センター装置２から車両側に配信されるデータは、ＥＣＵのアプリプログラムを更新するためのリプログデータに限らず、例えば地図データ等であっても良い。
オーナが変更された場合に限らず、例えばオーナが変更されずに車両が一時的に他人に貸し出される使用形態に適用しても良い。

キャンペーン通知画面、ダウンロード許可画面、セキュリティコード通知画面、セキュリティコード入力画面、ダウンロード許可画面、ユーザ登録案内画面は、オーナが目的とする操作が可能であれば、どのような画面表示であっても良い。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、１はデータ配信システム、２はセンター装置、５は携帯端末（第１の機器）、１２は車両用ＨＭＩ装置（第２の機器）、１４は制御部、１４ａは承諾要求部、１４ｂは承諾判定部、１４ｃは配信制御部、１４ｄは必要有無判定部、１４ｅは本人確認判定部である。

Claims (14)

1. 車両側へのデータ配信の承諾要求を複数の機器に行う承諾要求部（１４ａ）と、
   複数の機器からの承諾応答を判定する承諾判定部（１４ｂ）と、
   前記承諾判定部の判定結果にしたがって車両側へのデータ配信を制御する配信制御部（１４ｃ）と、
   承諾要求を複数の機器の何れかに行う前に、承諾要求を複数の機器に行う必要の有無を判定する必要有無判定部（１４ｄ）と、を備え、
   前記承諾要求部は、前記必要有無判定部の判定結果にしたがって承諾要求を複数の機器に行うか否かを決定するセンター装置。
2. 前記承諾要求部は、承諾要求を複数の機器に行う必要がないと前記必要有無判定部により判定された場合に、承諾要求を複数の機器のうち第１の機器に行い、
   前記配信制御部は、第１の機器からの承諾応答が許可であると前記承諾判定部により判定された場合に、車両側へのデータ配信を行う請求項１に記載したセンター装置。
3. 前記承諾要求部は、承諾要求を複数の機器に行う必要があると前記必要有無判定部により判定された場合に、承諾要求を複数の機器のうち少なくとも第１の機器及び第２の機器に行い、
   前記配信制御部は、少なくとも第１の機器及び第２の機器からの承諾応答が許可であると前記承諾判定部により判定された場合に、車両側へのデータ配信を行う請求項２に記載したセンター装置。
4. 前記承諾要求部は、１段階目の承諾要求を第１の機器に行い、２段階目の承諾要求を第２の機器に行うことで、承諾要求を第１の機器及び第２の機器に対して段階的に行う請求項２又は３に記載したセンター装置。
5. 前記承諾要求部は、２段階目の承諾要求として本人確認要求を第２の機器に行う請求項４に記載したセンター装置。
6. 第２の機器からの本人確認応答を判定する本人確認判定部（１４ｅ）と、
   前記配信制御部は、第２の機器からの本人確認応答が成功であると前記本人確認判定部により判定された場合に、車両側へのデータ配信を行う請求項５に記載したセンター装置。
7. 前記承諾要求部は、第２の機器からの本人確認応答が失敗であると前記本人確認判定部により判定された場合に、ユーザ情報の登録要求を前記第２の機器に行う請求項６に記載したセンター装置。
8. 前記必要有無判定部は、車両状態の変化を判定し、その判定結果にしたがって承諾要求を複数の機器に行う必要の有無を判定する請求項１から７の何れか一項に記載したセンター装置。
9. 前記必要有無判定部は、車両状態の変化として、駐車位置の変化、走行経路の変化、運転操作の変化のうち少なくとも何れかを判定する請求項８に記載したセンター装置。
10. 前記必要有無判定部は、前回のデータの配信時から今回のデータの配信イベントの成立時までの経過期間を判定し、その判定結果にしたがって承諾要求を複数の機器に行う必要の有無を判定する請求項１から７の何れか一項に記載したセンター装置。
11. 前記必要有無判定部は、今回のデータの配信時の課金を判定し、その判定結果にしたがって承諾要求を複数の機器に行う必要の有無を判定する請求項１から７の何れか一項に記載したセンター装置。
12. 前記承諾要求部は、複数の機器として、ユーザが携帯可能な携帯端末と、車両に搭載されている車両用ＨＭＩ装置とを含み、承諾要求を複数の機器に行う請求項１から１１の何れか一項に記載したセンター装置。
13. 車両側へのデータ配信の承諾要求を複数の機器に行い、複数の機器からの承諾応答を判定し、その判定結果にしたがって車両側へのデータ配信を制御するセンター装置（２）と、
    前記センター装置からの承諾要求に対して承諾応答を行う機器（５，１２）と、を備え、
    前記センター装置は、承諾要求を複数の機器の何れかに行う前に、承諾要求を複数の機器に行う必要の有無を判定し、その判定結果にしたがって承諾要求を複数の機器に行うか否かを決定するデータ配信システム。
14. センター装置（２）に、
    車両側へのデータ配信の承諾要求を複数の機器の何れかに行う前に、承諾要求を複数の機器に行う必要の有無を判定し、その判定結果にしたがって承諾要求を複数の機器に行うか否かを決定し、承諾要求を複数の機器に行う承諾要求手順と、
    複数の機器からの承諾応答を判定する承諾判定手順と、
    前記承諾判定手順の判定結果にしたがって車両側へのデータ配信を制御する配信制御手順と、を実行させる配信制御プログラム。
    

Images