WO2017212771A1 - 車両用装置 - Google Patents

車両用装置 Download PDF

Info

Publication number
WO2017212771A1
WO2017212771A1 PCT/JP2017/014672 JP2017014672W WO2017212771A1 WO 2017212771 A1 WO2017212771 A1 WO 2017212771A1 JP 2017014672 W JP2017014672 W JP 2017014672W WO 2017212771 A1 WO2017212771 A1 WO 2017212771A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
reprogram
travel
ecu
slave
Prior art date
Application number
PCT/JP2017/014672
Other languages
English (en)
French (fr)
Inventor
雄三 原田
翔 中村
上原　一浩
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Priority to DE112017002919.8T priority Critical patent/DE112017002919T5/de
Priority to CN201780035210.6A priority patent/CN109313592A/zh
Publication of WO2017212771A1 publication Critical patent/WO2017212771A1/ja
Priority to US16/211,437 priority patent/US11685359B2/en
Priority to US18/190,212 priority patent/US20230234549A1/en

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W10/00—Conjoint control of vehicle sub-units of different type or different function
    • B60W10/04—Conjoint control of vehicle sub-units of different type or different function including control of propulsion units
    • B60W10/06—Conjoint control of vehicle sub-units of different type or different function including control of propulsion units including control of combustion engines
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W10/00—Conjoint control of vehicle sub-units of different type or different function
    • B60W10/10—Conjoint control of vehicle sub-units of different type or different function including control of change-speed gearings
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W10/00—Conjoint control of vehicle sub-units of different type or different function
    • B60W10/30—Conjoint control of vehicle sub-units of different type or different function including control of auxiliary equipment, e.g. air-conditioning compressors or oil pumps
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/18—File system types
    • G06F16/182—Distributed file systems
    • G06F16/1824—Distributed file systems implemented using Network-attached Storage [NAS] architecture
    • G06F16/183—Provision of network file services by network file servers, e.g. by using NFS, CIFS
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0001—Details of the control system
    • B60W2050/0002—Automatic control, details of type of controller or control system architecture
    • B60W2050/0004—In digital systems, e.g. discrete-time systems involving sampling

Definitions

  • the present disclosure relates to a vehicle device.
  • a large number of electronic control units (ECUs) are mounted on the vehicle, and these electronic control units control vehicle equipment in cooperation through an in-vehicle network.
  • ECUs electronice control units
  • Patent Document 1 a technique for updating a program stored in an internal memory of the electronic control device has been provided (see, for example, Patent Document 1).
  • a program update device receives an update file for updating a program from a center device and updates a program corresponding to the update file.
  • An object of the present disclosure is to provide a vehicle device that enables a vehicle user to safely drive and ensure safety when updating a program in response to a request from a terminal operable by the vehicle user. .
  • the reprogram master controls to update the program stored in the reprogram slave in response to the request.
  • the notification command unit issues a notification command to the notification medium of information on whether travel is possible.
  • the vehicle user when requested from the terminal operated by the vehicle user, information on whether or not the vehicle can travel can be notified to the notification medium, and the vehicle user can be appropriately notified of whether or not the vehicle can travel.
  • the vehicle user determines that the vehicle can travel and thus can safely drive the vehicle. Further, when the vehicle user is informed through the notification medium that the vehicle cannot travel, the vehicle user stops driving to determine that the vehicle cannot travel. Thereby, safety can be ensured.
  • FIG. 1 is a block diagram schematically showing the configuration of the vehicle system in the first embodiment.
  • FIG. 2 is a block diagram showing an example of the electrical configuration of the gateway device.
  • FIG. 3 is a block diagram showing an example of the electrical configuration of the ECU.
  • FIG. 4 is a block diagram showing a partial configuration of the network connection form.
  • FIG. 5 is a block diagram showing an example of the electrical configuration of the mobile terminal,
  • FIG. 6A is an external view of a mobile terminal and an in-vehicle display device,
  • FIG. 6B is an external view of the in-vehicle display device, FIG.
  • FIG. 7 is an explanatory diagram of the content of the travel propriety determination table.
  • FIG. 8 is a sequence diagram showing the overall operation.
  • FIG. 9 is a sequence diagram showing the operation at the time of interruption,
  • FIG. 10 shows the first display content of the display.
  • FIG. 11 shows the second display content of the display.
  • FIG. 12A is part 3 of the display content of the display
  • FIG. 12B is the fourth display content of the display
  • FIG. 12C is the fifth display content of the display
  • FIG. 13 is the sixth display content of the display.
  • FIG. 14 is part 7 of the display content of the display.
  • FIG. 15 is a flowchart showing the processing contents of the replog master in the second embodiment.
  • FIG. 16 is a flowchart showing a flow of a notification medium determination method.
  • FIG. 16 is a flowchart showing a flow of a notification medium determination method.
  • FIG. 17A is part 8 of the display content of the display.
  • FIG. 17B shows the ninth display content of the display.
  • FIG. 17C is part 10 of the display content of the display.
  • FIG. 17D is part 11 of the display content of the display unit.
  • FIG. 17E is part 12 of the display content of the display.
  • FIG. 17F is part 13 of the display content of the display.
  • FIG. 18 is a flowchart showing the interruption process.
  • FIG. 19 is a flowchart showing the processing contents of the replog master
  • FIG. 20 is a flowchart showing the processing contents of the reprogram slave in the third embodiment.
  • FIG. 21 is a flowchart showing the processing contents of the replog master.
  • (First embodiment) 1 to 14 are explanatory views of the first embodiment.
  • the vehicle system 1 of the present embodiment makes it possible to update a program installed in a vehicle electronic control device (hereinafter referred to as an ECU: Electronic Control Unit) installed in the vehicle.
  • the system is a center device 4 having a file server 2 and a web server 3, a portable terminal (corresponding to a terminal) 5 that is possessed and operated by a vehicle user and can be wirelessly connected to the web server 3, and mounted on the vehicle
  • the in-vehicle system 6 is connected to each other.
  • a monitor tool 48 can be externally connected to the in-vehicle system 6.
  • the file server 2 and the web server 3 are connected to the network.
  • the web server 3 can communicate with the portable terminal 5 through the outside network 7.
  • the web server 3 can communicate with the in-vehicle system 6 through the communication interface 8.
  • the outside-vehicle network 7 represents various communication networks such as a mobile communication network using 3G lines, 4G lines, etc., the Internet network, and a wireless LAN (for example, WiFi (registered trademark)).
  • program update files are stored by the program provider.
  • the file server 2 has a program management function, and an update file can be transmitted to the in-vehicle system 6 through the communication interface 9 in a vehicle equipped with an ECU requiring update processing.
  • the in-vehicle system 6 in the vehicle is connected to a central gateway device (CGW: Central Gateway: hereinafter abbreviated as a gateway device) 10, buses 11 to 15 of an in-vehicle LAN connected to the gateway device 10, and buses 11 to 15.
  • CGW Central Gateway: hereinafter abbreviated as a gateway device
  • a data communication module (hereinafter referred to as DCM: Data Communication Module) 21 and various ECUs 22 to 31, and operates by receiving supply of battery voltage.
  • the DCM 21 is an interface module for performing data communication with the center device 4 and the portable terminal 5 via radio.
  • the gateway device 10 can communicate with the external file server 2, the web server 3, and the mobile terminal 5 using the DCM 21.
  • the gateway device 10 has a function as a reprogram master RM that downloads an update file from the file server 2, transmits the update file to the program update target ECU, and performs update control.
  • the reprogram master RM is an abbreviation for a reprogram master device.
  • the reprogram slave RS is an abbreviation for a reprogram slave device.
  • the reprogram slave RS is any one or more of the ECUs 22 to 31.
  • FIG. 2 shows an example of the electrical configuration of the gateway device 10.
  • the gateway device 10 is connected to all of the plurality of buses 11-15.
  • the gateway device 10 includes a CPU 32, a ROM 33, a RAM 34, a microcomputer (hereinafter referred to as a microcomputer) 36 having a flash memory 35, and a transceiver 37, and the CPU 32 performs various types based on programs stored in a memory as a non-transitional recording medium.
  • the gateway device 10 operates using a power supply circuit 39 that inputs power from a battery power source + B for vehicle device operation, and has a built-in timer.
  • the power supply circuit 39 also receives an accessory power supply ACC and an ignition power supply IG.
  • an LED 38 is connected to the microcomputer 36 of the gateway device 10, and the microcomputer 36 lights / flashes the LED 38 so that internal information (for example, whether driving is possible or the progress of reprogramming) can be displayed to the outside. ing.
  • the in-vehicle LAN buses 11 to 15 shown in FIG. 1 are constructed by, for example, a plurality of networks having different or identical communication protocols. These networks include, for example, a body network N1, a traveling network N2, a multi-network It can be divided into a plurality of networks such as a media network N3. Various ECUs 22 to 31 are connected to the buses 12 to 14 of these networks N1 to N3.
  • a bus (hereinafter referred to as a body bus) 12 of the body network N1 includes, for example, a door ECU 22 having various functions for locking / unlocking the door, and a display control for a meter to be controlled.
  • An ECU such as a meter ECU 23 having various functions, an air conditioner ECU 24 for controlling the air conditioner, and a window ECU 25 for controlling opening / closing of the window glass is connected.
  • These ECUs 22 to 25 are referred to as body system ECUs 22 to 25 as necessary.
  • the door ECU 22 is configured by connecting a door lock motor.
  • an ECU having various functions (for example, an airbag ECU having an airbag control function, a keyless entry ECU having a keyless entry control function based on an operation of a wireless key or a smart key) is connected to the body bus 12 In some cases, illustration and description thereof are omitted.
  • the meter ECU 23 displays various information such as a vehicle speed based on the vehicle speed information, an engine speed based on the engine speed information, and a gasoline remaining amount information acquired by a remaining amount sensor (not shown) on an instrument panel or the like. It is an electronic control device for displaying on the instrument.
  • the bus 13 of the traveling system network N2 (hereinafter referred to as a traveling system bus) 13 includes, for example, an engine ECU 26 having various functions for controlling an engine to be controlled, and a brake ECU 27 having various functions for controlling a brake.
  • a powertrain ECU such as an ECT ECU 28 having various functions for controlling an automatic transmission and a power steering ECU 29 for controlling power steering is connected.
  • These ECUs 26 to 29 are referred to as travel system ECUs 26 to 29 as necessary.
  • the engine ECU 26 enables the vehicle to travel by driving an engine using, for example, gasoline fuel.
  • an ECU having various functions (for example, a parking ECU that detects the on / off state of the parking brake) is connected to the traveling bus 13, but the description thereof is omitted.
  • the engine ECU 26 is connected to various sensors such as a vehicle speed sensor, a throttle opening sensor, and an accelerator pedal opening sensor.
  • a brake pedal sensor is connected to the brake ECU 27.
  • the parking brake on / off detection sensor described above may be connected to the brake ECU 27.
  • a shift lever position sensor or the like is connected to the ECT ECU 28.
  • the shift lever position is a position such as parking (P), reverse (R), neutral (N), drive (D), etc., and the ECT ECU 28 can detect this position with a shift lever position sensor.
  • the bus of the multimedia network N3 (hereinafter referred to as multimedia bus) 14 includes, for example, a navigation ECU (hereinafter referred to as navigation ECU) 30 for controlling a navigation device to be controlled, an electronic toll collection system
  • An ECU such as an ETC ECU 31 for controlling (ETC: Electronic Toll Collection System: registered trademark) is connected.
  • ETC Electronic Toll Collection System: registered trademark
  • These ECUs 30 and 31 are referred to as multimedia ECUs 30 and 31 as necessary.
  • These multimedia ECUs 30 and 31 are vehicle electronic control devices that control multimedia electrical components for providing various types of information to the user as control targets.
  • FIG. 3 shows a basic electrical configuration example of various ECUs such as a navigation ECU.
  • the navigation ECU 30 communicates with other ECUs using a transceiver 40 for sending / receiving data to / from the bus 14 and a communication controller (not shown) that controls communication via the bus 14.
  • a microcomputer hereinafter referred to as a microcomputer 41 that realizes various functions assigned to the ECU in conjunction with the ECU.
  • the microcomputer 41 includes a CPU 42, a ROM 43, a RAM 44, and a flash memory 45, and the CPU 42 performs various processes based on a program stored in a memory as a non-transitional recording medium.
  • the gateway device 10 operates using the output voltage of the power supply circuit 49 that receives power from the battery power supply + B.
  • Various storage devices are connected to the navigation ECU 30, and map data, music data, and the like are stored in these storage devices.
  • the navigation ECU 30 periodically sends information on the current position of the vehicle acquired based on the position detector (eg, GPS receiver) and the map data in the storage device to the multimedia bus 14.
  • the ECUs 22 to 31 have substantially the same hardware configuration as the navigation ECU 30 shown in FIG. 3 although loads (sensors and actuators) connected to the ECUs 22 to 31 may be different from each other. 2 and 3, the gateway device 10 or the ECUs 22 to 31 detect the voltage value of the battery power source + B, the voltage value of the accessory power source ACC, and the voltage value of the ignition power source IG, respectively. Detectors 39a and 49a that compare with a predetermined threshold voltage and output a comparison result to the microcomputers 36 and 46 are provided.
  • a temperature sensor (not shown) for acquiring the operating temperature of each ECU 22 to 31 is connected to all or any of the ECUs 22 to 31, and each ECU 22 to 31 acquires sensor information of the temperature sensor. You can get information on operating temperature.
  • the body system ECUs 22 to 25 are supplied with a switch signal based on an ignition switch or push button for starting / stopping the engine, and the microcomputer 41 of the body system ECUs 22 to 25 responds to the switch signal with the accessory power supply ACC.
  • the output on / off of the ignition power supply IG is controlled using a relay (not shown).
  • the switch signal When this switch signal is OFF, only the battery power + B is supplied to the supply target ECU.
  • the switch signal is ACC
  • the accessory power supply ACC is supplied to the supply target ECU (any one or more of 22 to 31) and set to IG. Then, together with the accessory power supply ACC, the ignition power supply IG is supplied to the ECU to be supplied (any one or more of 22 to 31).
  • each of the ECUs 22 to 31 is connected to the gateway device 10 via a network, and each of the ECUs 22 to 31 is connected to a sensor SE such as the various sensors described above and a switch SW.
  • the sensor SE is a general term for various sensors (for example, a vehicle speed sensor, a water temperature sensor, a camera, an engine speed, a temperature sensor, an air temperature sensor, and a gasoline remaining amount sensor) connected to the ECUs 22 to 31.
  • the switches SW are connected to the ECUs 22 to 31 (for example, an ignition switch, a parking brake on / off detection sensor, a shift lever position sensor, a lock position switch, a seat belt judgment switch, a seating switch, etc.) Are collectively shown.
  • any one or more of the ECUs 22 to 31 is configured by connecting a display 46.
  • the display 46 is a vehicle-mounted display device such as a center information display (CID), a head-up display (HUD), or the like.
  • the indicator 46 may be a meter indicator of an instrument panel.
  • FIG. 6B shows an external view of a CID as the display unit 46.
  • the display unit 46 includes a display unit 46a and an operation unit 46b.
  • the operation unit 46b is configured using an operation switch group mounted on the side of the display unit 46a of the display unit 46 and / or a touch panel below the display screen of the display unit 46a, and configured to be operable by a vehicle user. .
  • a signal related to the operation is transmitted to the navigation ECU 30, and the microcomputer 41 of the navigation ECU 30 executes various processes.
  • the mobile terminal 5 includes a communication unit 5 c and a microcomputer 50 together with a display 5 a and an operation unit 5 b.
  • the microcomputer 50 includes a CPU, a ROM, a RAM, and the like (none of which are shown), and accepts an operation information for the operation unit 5b based on a program stored in a memory serving as a non-transitional recording medium and a display. Various processes such as a display process to 5a are performed.
  • the microcomputer 50 can access the DCM 21 shown in FIG. 1 by short-range wireless communication (for example, Bluetooth (registered trademark)) in addition to the outside network 7 by the communication unit 5c.
  • short-range wireless communication for example, Bluetooth (registered trademark)
  • FIG. 6A has shown the external view of the portable terminal 5, and is equipped with the indicator 5a and the operation part 5b on the external appearance.
  • the programs stored in the microcomputers 41 of the ECUs 22 to 31 shown in FIG. 1 are necessary programs that are executed when the ECUs 22 to 31 control the control target devices assigned to their ECUs. Update files and other non-update target files. That is, the update file indicates at least a part or all of the program files among the entire program files.
  • the gateway device 10 is connected to a network bus 15 for development, testing, and analysis, and an OBD (On-board diagnostics) connector 47 is connected to the bus 15.
  • OBD connector 47 can be connected to the monitor tool 48 from the outside when, for example, a vehicle designer, a dealer, or a worker at a repair shop is required.
  • the gateway device 10 receives all data sent to all the buses 11 to 15 and detects the state in the vehicle, that is, the operation state by the driver, the vehicle state, and the vehicle behavior.
  • the gateway device 10 includes in the flash memory 35 a travelability determination table TA1 in which conditions for updating the program are defined for each of the ECUs 22 to 31.
  • This travelability determination table TA1 does not have to indicate whether travel is possible in association with all of CANID, connection bus, and name, and whether travel is possible in association with any one of CANID, connection bus, or name. It only has to be written.
  • a part of the content of the travel propriety determination table TA1 will be described.
  • the door ECU 22 is connected to the body bus 12, for example, when the monitor tool 48 or the gateway device 10 gives 0x700 as CANID and transmits, the door ECU22 accepts this request, and the door ECU22 receives 0x708 as the CANID.
  • the power steering ECU 29 is connected to the traveling bus 13, but when the monitor tool 48 and the gateway device 10 transmit CANID 0x702 to the power steering ECU 29 via the bus 13, the power steering ECU 29 accepts this request, and the power steering ECU 29
  • the ECU 29 has a CANID of 0x70A and returns a response.
  • the monitor tool 48 or the gateway device 10 transmits a CANID with a number in the 700s
  • the corresponding ECU accepts this request and the number obtained by adding 8 to the CANID received by the ECU. And a response is returned, and information on whether or not the vehicle can travel is stored corresponding to each ECU.
  • the relationship information in which the CANID, ECU name, connection bus, and traveling availability are associated with each other is similarly associated with, for example, the standard format and the extended format defined in the CAN specification.
  • the travel propriety determination table TA1 indicates that the travel system ECUs 26 to 29 cannot travel during the update of the internal program.
  • the multimedia ECUs 30 and 31 are associated with the fact that they can run even while the internal program is being updated. Further, it is stored that the meter ECU 23 and the air conditioner ECU 24 connected to the body bus 12 can travel even during the internal program update.
  • update conditions at the time of travel / stop of the vehicle for example, the level of the remaining battery level, the level of the connected bus load, the level of the vehicle load, the vehicle interior temperature condition, etc.
  • the driving condition information may be associated with these update conditions and stored as related information, or may be set with exception conditions.
  • the CPU executes the program update process with reference to the travel propriety determination table TA1 stored in the flash memory 35 based on the program stored in the memory.
  • the processing of the gateway device 10 in FIG. 8 described below is processing performed by the microcomputer 36 executing a program, and the processing of the portable terminal 5 is performed by the built-in microcomputer 50 executing the program. Process.
  • the file server 2 reprograms the web server 3 through the network in step S2 of FIG. Notify event occurrence.
  • the event occurrence notification is received in step S3 of FIG.
  • the mobile terminal 5 may automatically access the web server 3 and receive an event occurrence notification.
  • the portable terminal 5 displays the event content on the display 5a as shown in FIG.
  • the mobile terminal 5 displays “Update data of in-vehicle program has been confirmed. Do you want to download?” On the display 5 a and displays a download button B 1 on the display 5 a. Display.
  • the portable terminal 5 When the vehicle user presses the download button B1 displayed on the display 5a of the portable terminal 5, for example, an update (download DL) request for the program update file is made.
  • the portable terminal 5 receives this request through the operation unit 5b using a touch panel.
  • the portable terminal 5 designates the update file by making a download request to the gateway device 10 through the web server 3 in step S4 of FIG.
  • the mobile terminal 5 may display the travel propriety information X2 on the display 5a, and in this case, the travel propriety information X2 may be displayed as “permitted”.
  • the web server 3 instructs the gateway device 10 to download the update file through the DCM 21 in step S4.
  • the gateway device 10 determines whether or not download is possible by determining the free capacity and resources of the flash memory 35 and the like. Whether the download is possible or not is determined by whether the remaining amount of the battery power + B mounted on the vehicle is sufficiently larger than a predetermined amount, for example, the voltage of the battery power + B is higher than a predetermined voltage, and the communication interface with the DCM 21
  • One or more or all of the conditions may be included such that the communication radio wave environment with 8 or / and 9 is stable, for example, the mutual received electric field strength level is a predetermined level or higher.
  • the gateway device 10 requests the file for update from the file server 2 through the DCM 21 in step S5 of FIG. 8 on condition that the download is possible.
  • the file server 2 distributes the update file to the gateway device 10 through the DCM 21 in step S6 of FIG. 8, and the gateway device 10 can download the update file in step S6.
  • the gateway device 10 When the gateway device 10 completes downloading the update file, it notifies the mobile terminal 5 that the download has been completed in step S7a in FIG. 8, and the mobile terminal 5 displays the download completion on the display 5a. Further, the gateway device 10 may transmit the download completion to the navigation ECU 30 as shown in step S7b of FIG. 8, and the navigation ECU 30 may display the download completion on the display unit 46.
  • FIG. 11 shows a display example of a download completion screen. Even at this time, the portable terminal 5 displays the travel propriety information on the screen of the display unit 5a.
  • the mobile terminal 5 also displays an update start button B2 on the download completion screen, and the mobile terminal 5 accepts a user pressing instruction for the update start button B2.
  • the vehicle user When the vehicle user confirms the download completion screen, the vehicle user operates the operation unit 5b of the portable terminal 5 or operates the operation unit 46b mounted on the display unit 46 to give an instruction to start reprogramming the update file.
  • a reprogram start instruction When a reprogram start instruction is given, the user issues an operation command (for example, an engine start command) for the in-vehicle device in response to, for example, operating a wireless key or a smart key from outside the vehicle. Then, power supplies for various operations are applied to the power supply circuit 39 of the gateway device 10 and the power supply circuits 49 of the ECUs 22 to 31.
  • the vehicle user issues an update start instruction by executing an application stored in the portable terminal 5 in step S8a and issues a reprogram execution instruction
  • the instruction information is transmitted to the web server 3.
  • the web server 3 notifies the gateway device 10 of an instruction through the DCM 21 in step S8a.
  • the navigation ECU 30 when the vehicle user makes an update request to the navigation ECU 30 by operating the operation unit 46b in step S8b, the navigation ECU 30 notifies the update request to the gateway device 10 and makes a reprogram execution request in step S8b of FIG. .
  • the gateway device 10 specifies an ECU (any one or more of 22 to 31) that is the reprogram slave RS according to the contents of the update file. Then, the gateway device 10 determines the boarding / alighting state in step S9 of FIG. 8, determines the vehicle state in step S10 of FIG. 8, and is specified when these states satisfy the necessary conditions. An update file is transmitted to the reprogram slave RS and a reprogram command is issued.
  • the gateway device 10 collates the CANID, connection bus or name of the reprogram slave RS with the travelability determination table TA1 to determine whether or not the vehicle can travel.
  • this information may be instructed to the mobile terminal 5 and the navigation ECU 30 for an initial notification.
  • the gateway device 10 determines that traveling is not possible when the reprogram slave RS is the ECU 26 to 29 connected to the traveling bus 13. In this case, the gateway device 10 may issue an initial notification command to the portable terminal 5 with the travel propriety information X2 indicating that the travel is impossible. Then, the vehicle user can recognize the travel propriety information X2 indicating that the mobile terminal 5 cannot travel by displaying the travel propriety information X2 indicating that the mobile terminal 5 cannot travel on the display 5a. In this case, the gateway device 10 does not output a reprogram execution command.
  • the determination conditions in step S9 are, for example, condition A1: no occupant is present in the vehicle, condition A2: the voltage of the battery power supply + B is equal to or higher than a predetermined value, condition A3: the door lock position is locked. Condition A4: The shift position is parked and the parking brake is on, Condition A5: The above conditions A1 to A4 are satisfied within a predetermined time from the reprogram start timing, It is to satisfy some or all of them.
  • the gateway device 10 obtains necessary information from the gateway device 10 itself or the ECUs 22 to 31 and determines whether the conditions A1 to A5 are satisfied, or the target ECU among the ECUs 22 to 31 determines the conditions A1 to A5. It is good to voluntarily determine whether or not it is satisfied.
  • the condition A1 may be determined by the above-described boarding determination process.
  • the condition A2 may be determined based on the output results of the detectors 39a and 49a that detect the detected value of the voltage of the battery power supply + B or / and the outputs of the power supply circuits 39 and 49.
  • the condition A3 may be determined based on, for example, a door lock / unlock state obtained by driving a door lock motor acquired by the door ECU 22.
  • the condition A4 may be determined based on, for example, sensor information of a shift lever position sensor acquired by the ECT ECU 28 or the like, and information on an on / off state detection sensor of a parking brake acquired from an ECU such as the parking ECU or the brake ECU 27.
  • the condition A5 is preferably such that the gateway device 10 or another ECU measures a time using, for example, a timer, and satisfies the conditions A1 to A4 before the measurement time passes a predetermined time. Thereby, boarding / alighting state can be determined in step S9.
  • condition A10 the gateway device 10, DCM 21, and the reprogram slave RS do not have any diagnostic abnormality
  • condition A11 the operation temperature of the gateway device 10, DCM 21, and reprogram slave RS is high. No, for example, operating within an appropriate operating temperature range
  • Condition A12 Replog Slave RS or ECU related to Replog Slave RS not being used
  • Condition A13 Battery power + B remaining amount is sufficient
  • A14 The remaining amount of gasoline is sufficient, for example, the remaining amount of gasoline is equal to or greater than a predetermined value
  • Condition A15 User confirmation is obtained when remote rewriting is performed according to a vehicle user instruction
  • Condition A16 Intermediate of gateway device 10 In the buffer area (equivalent to the storage unit) It yl is stored, a predetermined condition, such as.
  • the gateway device 10 acquires these pieces of information from the gateway device 10 itself, the DCM 21, the ECUs 22 to 31, and the like to determine the conditions A10 to A16, or the condition A10 to which the target ECU among the ECUs 22 to 31 corresponds. It is preferable to voluntarily determine whether or not to satisfy A16, and transmit the result to the gateway device 10 to determine whether or not the gateway device 10 comprehensively satisfies the conditions A10 to A16.
  • the condition A10 is desirably determined by the gateway device 10 acquiring diagnostic information indicating the content of the abnormality from the DCM 21, the ECUs 22 to 31 or the target ECU serving as the reprogram slave RS.
  • the condition A11 may be determined based on detection information of temperature sensors installed in the gateway device 10, the DCM 21, and the reprogram slave RS, for example.
  • the condition A12 may be determined based on the operation information of the reprogram slave RS and the operation information of the ECU related to the operation information.
  • condition A13 may be a condition that the detection voltage of the battery power source + B detected by the detection units 39a and 49a satisfies the condition that the detection voltage is equal to or higher than the threshold voltage, or the output voltage of the power supply circuits 39 and 49 is equal to or higher than a predetermined value.
  • the condition A14 may be determined based on detection information from a gasoline remaining amount sensor connected to the meter ECU 23, for example.
  • the gateway device 10 instructs the display 5a of the mobile terminal 5 to display a confirmation button (not shown) together with a message such as “Can I rewrite the program?”
  • a confirmation completion signal is transmitted to the gateway device 10 on the condition that the confirmation button is pressed by the vehicle user and this depression signal is accepted through the operation unit 5b, and the condition A15 is satisfied on the condition that the gateway device 10 accepts the confirmation completion signal. It is good to judge that it satisfies.
  • the condition A16 may be determined to be acceptable because the download DL has been completed without abnormality in step S6 of FIG. Thereby, a vehicle state can be determined.
  • the gateway device 10 When the gateway device 10 does not satisfy the conditions of Steps S9 and S10, the gateway device 10 instructs the portable terminal 5 to display the traveling permission / inhibition information X2 that is not permitted to be displayed on the display 5a. Then, it can be recognized that the vehicle user cannot travel. In this case, the gateway device 10 does not output a reprogram execution command until the conditions of steps S9 and S10 are satisfied.
  • the gateway apparatus 10 determines that the conditions of steps S9 and S10 are satisfied, the gateway apparatus 10 transmits an update file to the reprogram slave RS in step S11 of FIG.
  • the gateway device 10 may execute the reprogram execution command on the condition that the travel enable / disable described in the travel enable / disable table TA1 related to the ECU corresponding to the reprogram slave RS is not travelable and satisfies the conditions of steps S9 and S10. good. Furthermore, the gateway device 10 may issue a reprogram execution command on the condition that the travelability described in the travelability table TA1 related to all ECUs corresponding to the reprogram slave RS is travelable.
  • the reprogram slave RS When the gateway device 10 transmits an update file to the reprogram slave RS in step S11 of FIG. 8 and issues a reprogram execution command, the reprogram slave RS receives the update file and executes reprogram processing in step S12.
  • This rewriting process includes an entry, an old program erasing process, a new updating file writing process, a written updating file verifying process, a subsequent process, and the like.
  • the gateway device 10 when the gateway device 10 issues a reprogram execution command, information indicating that the reprogram is being executed and the stable state maintenance request include the reprogram slave RS and the navigation ECU 30 in steps SB and SC of FIG. It transmits to all other ECUs 22-31. By performing this process, the gateway device 10 can request all ECUs 22 to 31 including the reprogram slave RS to maintain the reprogramming enabled / disabled state and the traveling enabled / disabled state.
  • This stable state maintenance request is, for example, state C1: maintenance of whether or not each ECU 22 to 31 can be reprogrammed, state C2: engine start / stop key switch (or push button) or wireless key switch switch. Even if operated, the state of the ignition power supply IG or accessory power supply ACC is maintained and power supply to each of the ECUs 22 to 31 cannot be stopped.
  • State C3 Upon receiving a wireless operation instruction using a wireless key or a smart key used for keyless entry Also, the ECUs 22 to 31 are requested to maintain the door lock state, state C4: maintain the shift position in the parking state, and the like. Further, the gateway device 10 changes the subroutine of its own program so that the download is not executed even if the state C5: download user instruction is received.
  • each ECU 22 to 31 When each of the ECUs 22 to 31 receives the stable state maintenance request, each ECU 22 to 31 rewrites the contents held in the memory (for example, the RAM 44 and the flash memory 45) and controls the connection load (actuator) so as to maintain the states C1 to C4.
  • the memory for example, the RAM 44 and the flash memory 45
  • the connection load actuator
  • each of the ECUs 22 to 31 holds the data in the memory so as to set the reprogramming enabled / disabled state to non-rewritable.
  • the body system ECUs 22 to 25 prohibit the output stop by relay control of the accessory power source ACC and the ignition power source IG according to the change of the switch signal.
  • the door ECU 22 maintains the door lock state by maintaining the state of the door lock motor M1, and in order to maintain the state C4, the ECT ECU 28 maintains the shift position in the parking state.
  • the stable state maintenance request is provided to stably maintain the ECUs 22 to 31 including the reprogram slave RS in a state where reprogramming is possible by satisfying the conditions of steps S9 and S10.
  • this stable state maintenance request is stable even during reprogramming of each state in the vehicle (for example, the ignition power supply IG, the power supply voltage supply state by the accessory power supply ACC, the shift position, the vehicle unmanned state, etc.).
  • the gateway apparatus 10 can maintain each state of the vehicle, for example, prohibiting a door lock operation or holding the parking brake in an on state by making this stable state maintenance request, and reprogram processing. Can be executed stably.
  • the reprogram slave RS starts reprogramming.
  • the reprogram slave RS notifies the gateway device 10 of a travel permission / prohibition signal at a start timing for executing the update file rewriting process.
  • ECUs other than the ECU constituting the reprogram slave RS (particularly, the ECUs 26 to 29 connected to the traveling bus 13) also transmit a travel propriety signal to the gateway device 10 in response to a request from the gateway device 10, for example.
  • the gateway device 10 receives the plurality of travel enable / disable signals, if it receives a signal indicating that travel is not possible from any one of the ECUs in step S13, the gateway device 10 preferentially receives this travel disable information. And good.
  • the gateway device 10 determines that it can travel in step S13 of FIG. 8 without accepting such information indicating that travel is not possible, the gateway device 10 outputs a travel enable notification signal to the travel bus 13, for example. Then, the ECUs 26 to 29 connected to the traveling bus 13 return the program processing routine to a state where traveling is possible. Further, when it is determined in step S13 in FIG. 8 that the gateway device 10 can travel, the gateway device 10 issues a notification command in step S14 in FIG. At this time, for example, the gateway device 10 notifies the user's portable terminal 5 and / or the navigation ECU 30 of a travel enable notification signal. For example, when the mobile terminal 5 receives the travel enable notification signal, as shown in FIG.
  • the mobile terminal 5 causes the display 5a to display the progress status X1, the travel availability information X2, and the cancel button B3 related to the program update.
  • the display screen of the display 5a a message indicating that the vehicle can run even during program update is displayed.
  • the gateway device 10 does not output a travel enable notification signal to the travel bus 13 when it receives a travel enable / disable signal indicating that it cannot travel from any one ECU in step S13. At this time, the ECUs 26 to 29 connected to the traveling bus 13 determine that traveling is impossible and disable traveling control. Further, the gateway device 10 may output a travel impossibility notification signal to the travel bus 13. Also at this time, the ECUs 26 to 29 connected to the traveling bus 13 determine that traveling is impossible and disable traveling control.
  • the gateway device 10 issues a command to notify the travel availability information X2 indicating that travel is not possible in step S15 of FIG.
  • the portable terminal 5 receives a signal indicating that traveling is not possible, or when it has not received that traveling is possible, as shown in FIG. 12B, it displays traveling availability information X2 indicating that traveling is not possible. To display. At this time, it is desirable to display the remaining time information X3b indicating, for example, how many seconds it is possible to travel with the traveling availability information X2 on the display 5a of the portable terminal 5.
  • the execution completion information is notified to the gateway device 10, and the gateway device 10 notifies the portable terminal 5 of the reprogram completion information.
  • the portable terminal 5 enables the traveling availability information X2 and clearly indicates to the vehicle user by displaying that traveling is possible.
  • Fig. 9 shows a sequence diagram when an interruption request is made.
  • the vehicle user makes an interruption request by operating the portable terminal 5 and pressing the cancel button B3.
  • the interruption request is given to the gateway device 10 through the web server 3 and the DCM 21.
  • the gateway device 10 requests interruption by transmitting an interruption command to the reprogram slave RS in step S21 of FIG.
  • the reprogram slave RS stops the program update process without affecting the travel, or sets the program update process to the initial state to return to the travelable state and interrupts the rewriting.
  • the gateway apparatus 10 transmits a driving possibility notification signal as a driving propriety signal in step S23 of FIG.
  • the data is transmitted to the mobile terminal 5 through the DCM 21 and the web server 3 or transmitted to the navigation ECU 30.
  • the mobile terminal 5 receives this travel enable notification signal, as shown in FIG. 13, the mobile terminal 5 causes the display 5 a of the mobile terminal 5 to display travel enable / disable information X2 indicating that travel is possible. Thereby, it can be judged that the vehicle user can run. Further, the gateway device 10 transmits a travel enable notification signal to the travel bus 13. Then, the ECUs 26 to 29 connected to the traveling bus 13 can determine that they can travel, and return the processing to the vehicle travelable processing routine.
  • the mobile terminal 5 makes an interruption request through the web server 3, but when making an interruption request in the vehicle, another ECU (for example, the navigation ECU 30) transmits the interruption request to the gateway device 10. To do. As a result, the processing is interrupted.
  • another ECU for example, the navigation ECU 30
  • the gateway apparatus 10 since the gateway apparatus 10 has instructed the mobile terminal 5 to display the travel enable / disable information X2, the display 5a can appropriately notify the vehicle user of the drive availability. As a result, the vehicle user can confirm whether or not the vehicle can travel and can immediately determine whether or not the vehicle can be driven. For example, when the system 1 is executing a reprogram of a portion that does not directly affect driving, the vehicle user can be informed that driving is possible, so that the vehicle user can drive as quickly as possible.
  • the gateway device 10 accepts the interruption request when the vehicle user presses the cancel button B3. At this time, when the gateway apparatus 10 accepts this interruption request, it sends an interruption command to request interruption of the update file rewrite processing. At this time, even in the case of an emergency, the reprogram slave RS stops the program update process without affecting the travel, or sets the program update process as an initial state to return to the travelable state and interrupts the rewriting. Then, the gateway device 10 instructs the mobile terminal 5 to display that it can travel after completion of the interruption.
  • the gateway device 10 may transmit an interruption command when it is necessary to interrupt rewriting by determining the operation of the mobile terminal 5 by the vehicle user.
  • the gateway device 10 checks the CANID, connection bus, or name of the reprogram slave RS against the travelability determination table TA1 to determine whether or not the travel is possible, and the display device 5a instructs the mobile terminal 5 to display this travelability information, Since the traveling propriety information X2 is displayed, the vehicle user can immediately confirm the traveling propriety information X2.
  • the gateway device 10 instructs the reprogram slave RS to execute a reprogram on the condition that it is determined that the travel capability of the ECU corresponding to the reprogram slave RS stored in the travel propriety determination table TA1 is allowed to run, the reprogram processing is performed. Can be executed immediately without having to wait.
  • the gateway device 10 When the gateway device 10 receives a travel propriety signal from the reprogram slave RS or an ECU other than the ECU constituting the reprolog slave RS, the gateway device 10 instructs the portable terminal 5 to display the travel propriety information X2 related to the travel propriety signal. For this reason, the vehicle user can check the travel propriety information X2.
  • FIG. 14 shows a display screen instead of FIG. 11 as a modified example, but, for example, a waiting time after the start of update may be displayed before starting the reprogramming. That is, as shown in FIG. 14, in response to the display command of the gateway device 10, the mobile terminal 5 displays the remaining time information X ⁇ b> 3 b of “It is necessary to wait for x0 seconds to travel after starting updating” on the mobile terminal 5. It may be displayed on the device 5a.
  • any of the boarding / alighting conditions A1 to A5 determined in step S9 in FIG. 8 may be provided as necessary.
  • the boarding / alighting state in step S9 in FIG. 8 satisfies the determination condition when the conditions A2 to A5 are satisfied. Therefore, even if the user gets on the vehicle, for example, the door lock is performed. If the door lock condition A3 is satisfied by entering the locked state, the condition A4 is satisfied by holding the shift lever and the parking brake in the predetermined state described above, and the vehicle power supply condition A2 and the time condition A5 are satisfied. The conditions of the boarding / alighting state of S9 are satisfied.
  • step S9 of FIG. 8 a reprogram execution command is output to the reprogram slave RS. Since the user is on board, if the user subsequently performs various operations on the vehicle equipment, the vehicle state may change and the reprogram may fail.
  • the gateway apparatus 10 provide a process for outputting a stable state maintenance request to the reprogram slave RS and other ECUs in steps SB and SC of FIG. Then, each of the ECUs 22 to 31 can stably maintain the vehicle state.
  • an erroneous operation of the vehicle operation unit (operation unit 46b, key switch or push switch, shift lever, handle, accelerator, etc.) by the user It is possible to prevent the vehicle from starting erroneously, reprogram processing failure, and the user's escape from the vehicle.
  • any of the determination conditions A10 to A16 in step S10 may be provided as necessary. Further, the present invention can be similarly applied to the case where the status of the program update process is displayed on the display screen of the display 46 serving as the in-vehicle display device.
  • (Second Embodiment) 15 to 19 show additional explanatory views of the second embodiment. Since the present embodiment is characterized by the progress display command process and the progress determination process, the progress display command process and the progress determination process will be described. As shown in the first embodiment, when the reprogram slave RS receives the update file, it executes reprogram processing.
  • the progress display command process and the progress determination process according to the present embodiment are processes performed by the gateway device 10 serving as the reprogram master RM, and are performed in parallel while the reprogram slave RS is performing the reprogram process. Process.
  • the mobile terminal 5 is equipped with a GPS receiver that receives a GPS signal, and has a position specifying function for specifying a position based on the GPS receiver.
  • the gateway device 10 determines a notification medium.
  • the notification medium indicates various display media such as a display 46 connected to various ECUs, a display such as an LED 38 mounted on the mobile terminal 5, for example, the gateway device 10, and the like.
  • FIG. 16 is a flowchart showing the flow of the notification medium determination method.
  • the gateway device 10 specifies the distance of the mobile terminal 5 from the vehicle in step V1.
  • the gateway device 10 receives the current position by the position specifying function of the mobile terminal 5, compares the current position with the current position specified by the navigation ECU 30, and determines whether the mobile terminal 5 exists around the vehicle. Determine whether or not.
  • whether or not communication is established by a short-range wireless technology (for example, a communicable range of about 10 to 100 m) may be used as a determination material.
  • a short-range wireless technology for example, a communicable range of about 10 to 100 m
  • Bluetooth technology it is determined whether or not pairing is performed. Based on the determination result, it may be determined whether or not the vehicle exists around the vehicle.
  • the gateway device 10 determines NO in step V2, and determines the notification medium as the mobile terminal 5 possessed by the user in step V3. Conversely, when the gateway device 10 determines that the mobile terminal 5 is present around the vehicle, the gateway device 10 determines YES in step V2, and the gateway device 10 determines whether the user is getting on or off the vehicle in step V4. Identify.
  • the gateway device 10 may be specified by using a seating sensor or an intrusion sensor installed in advance in the vehicle interior as shown in the above-described embodiment.
  • the gateway device 10 determines the in-vehicle display device in step V6.
  • This in-vehicle display device represents the display 46, and is a display device such as a CID, a HUD, an instrument panel, and the like that is installed at a position where it can be directly visually recognized from the inside of the vehicle determined to be present. For this reason, if the driver is on board, the information displayed on the display screen of these in-vehicle display devices can be confirmed immediately.
  • the gateway device 10 determines the notification medium to be the user's portable terminal 5 and the LED 38 in step V7.
  • the gateway device 10 determines, for example, the LED 38 in step V7
  • the flashing cycle is lengthened when the progress status X1 is close to 0%, and the flashing cycle is gradually shortened when the progress status X1 is close to 100%.
  • the color of the LED 38 may be changed. For this reason, even if the driver is not in the vehicle, the vehicle user or the like can immediately confirm the information by confirming the lighting / flashing state of the display 5a or the LED 38 of the portable terminal 5.
  • the gateway device 10 determines to display on the mobile terminal 5, the gateway device 10 instructs the mobile terminal 5 to display the content shown in FIG. 17A.
  • the mobile terminal 5 displays the progress status X1, the travel propriety information X2, and the cancel button B3 on the display 5a.
  • the progress status X1 indicates 0%
  • the travel propriety information X2 indicates that travel is possible
  • the cancel button B3 is displayed so as to accept the update interruption.
  • step U2 After the gateway device 10 determines the notification medium, the process returns to the process of FIG. 15, and it is determined in step U2 whether the reprogram is in progress or has been completed.
  • the gateway apparatus 10 performs the series of processes shown in FIGS. 15 and 16, the processes described in the first embodiment are performed in parallel.
  • step U3 the progress is calculated.
  • the gateway device 10 can grasp the transmission end update file by transmitting an update file to the reprogram slave RS and receiving a response signal from the reprolog slave RS.
  • the gateway device 10 divides an update file at the time of reprogramming into messages in accordance with a standard such as UDS (Unified Diagnostic Services) defined by ISO14229, which is a diagnostic communication specification of a passenger car ECU, and transmits it to a reprogram slave RS. To do. At this time, the gateway device 10 transmits a service ID (SID34) indicating the start of data transfer to the reprogram slave RS, and then transmits the data a plurality of times together with a service ID (SID36) indicating the actual data transfer. A service ID (SID 37) indicating the above is transmitted.
  • a service ID SID34
  • the microcomputer 36 of the gateway device 10 can determine the progress status according to the transmission data amount transmitted to the reprogram slave RS.
  • the microcomputer 36 of the gateway device 10 may calculate the progress rate as the progress status by dividing the total amount of rewrite data amount of the update file by the transmission data amount transmitted to the reprogram slave RS.
  • the progress may be determined according to the percentage of the number of repetitions of the SID 36 indicating actual data transfer with respect to the total number of times, or a series of these service IDs (SID34, SID36, The number of transmission repetitions of SID 37) may be counted, and the progress status may be determined according to the number of transmission repetitions.
  • the progress status may be determined based on what percentage of the total number of update files the number of update files transmitted to the reprogram slave RS is, that is, the number of update files.
  • the gateway device 10 transmits an update file for which ECU.
  • the progress status may be determined. That is, the progress status may be determined according to the number of transmissions to the ECU.
  • the ECUs 22 to 31 serving as the reprogram slave RS mainly include the microcomputer 41 shown in FIG. 3, the microcomputer 41 includes a main main microcomputer and sub-microcomputers, and is configured to include a plurality of microcomputers as a whole. In some cases. In such a case, the update file may be reprogrammed for each of these main microcomputers and sub-microcomputers. In such a case, the main microcomputer and sub-microcomputer are regarded as one microcomputer, and the entire update is performed. The progress status may be determined according to what percentage of update files stored in the microcomputer are transmitted with respect to the number of target main microcomputers and sub-microcomputers.
  • the rewriting completion prediction time may be calculated according to the data amount of the update file, and the progress status may be determined using the time from the start of rewriting to the calculated rewriting completion prediction time.
  • These progress determination methods can also be used in combination.
  • the detailed progress status X1 can be acquired, and the progress can be displayed with finer display granularity of the percentage on the indicators 5a, 46, etc.
  • the gateway device 10 determines whether or not the vehicle can travel in step U4.
  • the gateway device 10 compares the CANID, connection bus, name, and other relevant information of the reprogram slave RS with the travel enable / disable determination table TA1 to read out and determine the travel enable / disable.
  • the travel availability information X2 is displayed on the display 5a of the portable terminal 5 together with the progress status X1.
  • the gateway device 10 calculates the time until the vehicle is allowed to travel based on the above-described progress situation in step U7 when the travel possibility determined in step U4 is not possible, and the vehicle is allowed to travel in step U8.
  • the remaining time until is displayed. This remaining time is based on the remaining processing amount obtained by subtracting the processing amount (for example, the transmission data amount, the receiving data amount, the number of update files, the number of blocks, the ratio of the number of ECUs, etc.) with respect to the entire processing amount. Calculated.
  • the gateway device 10 uses the progress status X1 and the traveling availability information X2 as well as the remaining time information X3b until traveling is possible. Displayed on the display 5a. Thereafter, when the reprogramming is completed, the reprogram slave RS notifies the gateway device 10 of this, so the gateway device 10 notifies the mobile terminal 5 of this fact. As a result, the portable terminal 5 displays on the display 5a that reprogramming is complete and ends.
  • a cancel button B3 for forced interruption by the user may be displayed on the display screen of the display 5a.
  • the microcomputer 50 of the portable terminal 5 accepts this request.
  • the mobile terminal 5 transmits this request to the gateway device 10.
  • the gateway device 10 interrupts the reprogram update file transmission process.
  • the gateway device 10 when the gateway device 10 is reprogramming the ECUs 26 to 29 connected to the traveling bus 13, for example, when it is determined that the reprogramming cannot be interrupted, the gateway device 10 sets the cancel button B3 to an unenabled state, and can be interrupted. At this time, the cancel button B3 may be enabled.
  • FIG. 18 shows a flow of processing contents of the gateway device 10 and the portable terminal 5 at the time of interruption.
  • the mobile terminal 5 receives the cancel button B3
  • information about pressing of the cancel button B3 is notified from the mobile terminal 5 to the gateway device 10 through the DCM 21.
  • the gateway device 10 stops rewriting in a state where the travel is not affected in step W2. That is, the reprogram slave RS transmits the travel propriety information as shown in the above-described embodiment, but the gateway device 10 receives the travel propriety information, and the gateway device 10 until the travel propriety information at this time becomes travelable.
  • the rewriting process is stopped at a timing when the vehicle waits and the vehicle can run.
  • the CPU 32 of the gateway device 10 stores this rewrite cancellation information in a storage medium such as the flash memory 35.
  • the gateway device 10 determines the time until the timing at which safe driving is possible even if the update file rewriting process is stopped halfway or the timing at which the reprogram processing is stopped and returned to the program before rewriting. The time is calculated as a time that does not affect the travel, and this time is notified to the mobile terminal 5. Then, as shown in FIG. 17C, the portable terminal 5 displays the notified time information X3c on the display 5a together with the reception message X3d of the cancel button B3 such as “Cancel”.
  • the portable terminal 5 counts the calculated time information X3c using a timer or the like, and when this time has elapsed, in step W3, the travel propriety information X2 is changed from “No” to “Yes”, and “Running is possible”. Is displayed on the display 5a. See FIG. 17D.
  • the timing at which the mobile terminal 5 displays the travelable message X3e on the display screen of the display 5a is connected to the reprogram slave RS or another ECU (for example, the travel bus 13) that allows the gateway device 10 to travel. It is desirable that it is received from the ECUs 26 to 29). That is, after notifying the portable terminal 5 of the time information X3c, the gateway device 10 determines whether or not the vehicle can travel based on the travel availability information received from the reprogram slave RS, and at the timing when the travel availability information becomes possible to travel. 5 is notified, and then the portable terminal 5 preferably displays the travelable message X3e on the display 5a. Then, it can be understood that the user can travel, and the user can start driving the vehicle safely.
  • the gateway device 10 determines whether or not the vehicle can travel based on the travel availability information received from the reprogram slave RS, and at the timing when the travel availability information becomes possible to travel. 5 is notified, and then the portable terminal 5 preferably displays the travelable message X3e on
  • the gateway device 10 mainly starts the reprogram processing.
  • the gateway device 10 refers to the flash memory 35 when the engine is started again and confirms that the rewrite stop information is stored, the gateway device 10 starts the reprogram processing.
  • the gateway device 10 calculates the time until the vehicle can run, and notifies the portable terminal 5 of the remaining time information X3b until the vehicle can run through the DCM 21. Then, as shown in FIG. 17E, the portable terminal 5 switches the travel propriety information X2 from “permitted” to “not permitted” and displays it on the display 5a, and displays the remaining time information X3b on the display 5a.
  • the gateway device 10 When the gateway device 10 accepts that the reprogramming is completed from the reprogram slave RS, the gateway device 10 clears the rewrite cancellation information stored in the flash memory 35 and notifies the portable terminal 5 of the completion information. Displays the progress status X1 as 100%, and informs the user that the vehicle can be traveled from the “not permitted” to the “permitted” information. See FIG. 17F. Accordingly, the user can recognize that the reprogram has been completed and can understand that the vehicle can travel safely and can start driving.
  • the gateway device 10 since the gateway device 10 issues a display command, the mobile terminal 5 displays the travel enable / disable information X2 on the display 5a. Therefore, it is possible to appropriately notify the vehicle user of the travel enable / disable. The user can determine whether or not driving is possible, thereby ensuring safety.
  • the vehicle user can be appropriately notified of the progress status X1.
  • the vehicle user can roughly grasp the time until the end of the program update when the progress status is notified through the notification medium. Therefore, the vehicle user can determine whether the program is being updated, and can prevent the vehicle from starting accidentally as much as possible. Thereby, safety can be ensured.
  • the vehicle user can grasp the progress status X1
  • the display granularity is rough, such as during reprogramming or two stages of reprogramming
  • the vehicle user can only grasp whether or not the reprogramming has been completed. In such a case, if the reprogram time is long, it may be determined that the reprogram has failed.
  • the progress status is determined according to the amount of transmission data transmitted by the gateway device 10 to the reprogram slave RS, the progress status is determined according to the number of transmission completions of the ECU, and the update processing that has been subjected to transmission processing.
  • the progress status is determined according to the number of files, the rewriting completion prediction time is calculated, and the progress status is determined using the time from the start of the rewriting to the rewriting completion prediction time.
  • the portable terminal 5 in response to the display command from the gateway device 10, the portable terminal 5 can notify that the progress is normally progressing as finely as possible, such as displaying the granularity of the progress display as a percentage. For this reason, the vehicle user can wait for reprogram end in comfort.
  • the portable terminal 5 displays the remaining time information X3b on the display 5a when the gateway device 10 issues a display command, the user can accurately determine how long the vehicle can be driven by waiting. . The user can effectively use the waiting time.
  • the mobile terminal 5 is configured to display the cancel button B3 on the display 5a and to accept the pressing of the cancel button B3, the user can issue a stop instruction at a timing at which the user wants to stop.
  • the gateway device 10 and the reprogram slave RS are in a state that does not affect the travel and continue to be reprogrammed without stopping until it is determined that travel is possible.
  • the user can drive in a program rewriting state that does not affect the vehicle running and can drive safely.
  • FIG. 19 collectively shows the processing contents of the gateway apparatus 10 serving as the reprogram master RM according to this embodiment.
  • the gateway device 10 receives a reprogramming instruction from the outside, the gateway device 10 executes the reprogramming in step Y1, and then calculates and determines the progress status X1 in step Y2.
  • the gateway device 10 determines whether or not the vehicle can travel in Step Y3, and in Step Y4 instructs the display device (for example, the display device 5a and the LED 38) to display the travel availability information X2 and the progress status X1.
  • the display device for example, the display device 5a and the LED 38
  • the user can grasp the detailed progress status X1, and there is no mistaken operation during rewriting, and even if a remote rewriting command is given, it can be safely rewritten.
  • the gateway device 10 repeats the processing from step Y1 until the reprogramming is completed.
  • the reprogram completion determination method is preferably determined by accepting the reprogram completion information from the reprogram slave RS and determining that the reprogram has been completed at the timing deemed complete, but when the update file has been transmitted to the reprogram slave RS Alternatively, it may be determined that the reprogram has been completed at a timing after a predetermined time has elapsed.
  • the gateway device 10 mainly determines the progress status and whether or not the vehicle can travel, and issues a display command to the display (for example, 5a). According to such a form, the gateway apparatus 10 can control information in an integrated manner.
  • FIGS. 20 and 21 show additional explanatory views of the third embodiment.
  • 20 and 21 are flowcharts showing processing contents of the gateway device 10 and the reprogram slave RS that are the reprogram master RM according to the present embodiment.
  • the processing contents of the gateway device 10 serving as the reprogram master RM illustrated in FIG. 19 may be shared by the reprogram slave RS.
  • the replog slave RS is mainly responsible for calculating and determining the progress status in step T1, determining whether or not the vehicle can travel in step T2, and transmitting the progress status and information indicating whether or not the vehicle can travel to the replog master RM in step T3.
  • the reprogram slave RS may determine the progress status according to the received data amount of the update file received from the gateway device 10.
  • the reprogram slave RS may determine the progress status by calculating the progress ratio by dividing the received data amount received by the total data amount of the update file received from the gateway device 10 in advance. At this time, the progress status may be determined according to what percentage of the number of repetitions of the SID 36 indicating actual data transfer has advanced with respect to the total number of times.
  • the gateway device 10 serving as the replog master RM acquires the progress status and the travel propriety information from the replog slave RS in step Y15, and instructs the display (for example, 5a) to display in step Y16.
  • the gateway device 10 serving as the reprogram master RM can periodically acquire the progress information from the reprogram slave RS by outputting the service ID (SID22).
  • a processing burden can be shared between the gateway device 10 and the reprogram slave RS. Since the reprogram completion timing is determined based on the completion information of the reprogram slave RS, the reprogram completion timing can be accurately determined. As shown in the above-described embodiment and the present embodiment, either the reprogram master RM or the reprogram slave RS may perform the determination process of whether or not traveling is possible and the determination process of the progress status.
  • the present invention is not limited to this, and the progress is made to the web server 3 side of the center apparatus 4.
  • the progress situation X1 may be confirmed by transmitting the situation and allowing the user to access the web server 3 by operating the operation unit 5b of the portable terminal 5.
  • the web server 3 is configured as a notification medium. The same applies to the above-described travel propriety information X2.
  • the relationship between the CANID or ECU name set in the table TA1 of the above-described embodiment and the propriety of traveling is merely an example, and the present invention is not limited to this.
  • the ECUs 22 to 31 of the respective systems are connected to the buses 12 to 14 such as the body bus 12, the traveling bus 13, and the multimedia bus 14; It is not restricted to what was demonstrated by the above-mentioned embodiment.
  • the ECUs 22 to 31 of each system are connected to the buses 12 to 14 such as the body bus 12, the traveling bus 13, and the multimedia bus 14, but the present invention is not limited to this. It is not something.
  • some or all of these ECUs 22 to 31 may be connected to one bus.
  • the ECUs 22 to 25 connected to the body bus 12 and the ECUs 30 and 31 connected to the multimedia bus 14 may be connected to the same bus.
  • the connection bus system of the ECUs 22 to 31 may be changed.
  • at least two or more functions of each ECU 22 to 31 may be integrated into one ECU.
  • the gateway device 10 is used as the reprogram master RM.
  • the present invention is not limited to this.
  • any one of the ECUs other than the ECU functioning as the reprogram slave RS, any one of the mobile terminal 5 and the monitor tool 48 may function as the reprogram master RM.
  • the gateway device 10 includes the travel availability determination table TA1, but the embodiment is not limited thereto.
  • the travel propriety determination table TA1 is stored in any of the ECUs 22 to 31 or the portable terminal 5 and the travel propriety determination table TA1 is shared in the system 1 may be adopted.
  • the LED 38 is shown connected to the gateway device 10, it may be connected to other ECUs 22 to 31.
  • the display unit 46 is shown connected to the navigation ECU 30, it may be connected to other ECUs 22 to 29, 31.
  • the various sensors described above may not be connected to the target ECU described above.
  • These various sensors (for example, a parking brake on / off state detection sensor, shift lever position sensor, gasoline remaining amount sensor) are connected to ECUs other than those described above, and communicate with each other through buses 11-15.
  • the gateway device 10 and other ECUs may acquire these sensor information.
  • the notification medium is not limited to the above-described embodiment, and for example, through a navigation ECU 30 or an audio ECU (not shown). You may apply to the form which alert
  • the present invention is not limited to this.
  • a volatile memory such as a RAM or a nonvolatile memory such as an EEPROM may be applied as the storage unit. You may comprise combining several embodiment mentioned above.
  • FIG. 16 shows an embodiment in which the vehicle user's boarding / alighting state is specified on the assumption that the mobile terminal 5 is present in the vicinity of the vehicle in step V2 in FIG. 16, but is not limited thereto. That is, step V2 may be provided as necessary.
  • Any of the mobile terminal 5, the gateway device 10, the ECU other than the reprogram slave RS, and the monitor tool 48 constitute a reprolog master RM.
  • Any one or more of the ECUs 22 to 31 constitutes a reprogram slave RS.
  • the microcomputer 36 or 41 of the replog master RM is configured as an acquisition unit that acquires the propriety of traveling.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a boarding / alighting state determination unit that determines a boarding / alighting state of a vehicle occupant.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a vehicle state determination unit that determines the operation / non-operation state of the engine.
  • the interruption request that transmits an interruption command to the reprogram slave RS and requests interruption of the rewrite processing of the update file. Configured as part.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a reprogram execution command unit that commands the reprogram slave RS to perform a reprogram.
  • the reprogram execution command unit transmits the reprogram execution command to the reprogram slave RS
  • the microcomputer 36 or 41 of the reprogram master RM determines whether or not the reprogram can be performed and whether the vehicle can run or not to all ECUs including the reprogram slave RS. It is configured as a stable state maintenance request unit that requests maintenance of a state.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a notification command unit that issues a notification command to the notification medium (the portable terminal 5, the LED 38, the display 46) of the information relating to the travel propriety signal.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a distance specifying unit that specifies the distance from the vehicle of the terminal 5 operated by the vehicle user.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a presence / absence determination unit that determines whether or not the terminal is present around the vehicle according to the distance specified by the distance specifying unit.
  • the microcomputer 36 or 41 of the reprogram master RM is configured as a boarding / alighting state specifying unit.
  • the web server 3, the display 5a, the LED 38, and the display 46 are configured as an informing medium for informing whether or not traveling is possible or progress.
  • the display 46 is configured as an in-vehicle display device.
  • the flash memories 35 and 45 are configured as a storage unit.
  • the reprogram master RM includes a progress determination unit that determines the progress status, a progress notification command unit that issues a notification command of the progress status, a progress notification control unit that controls the progress status, and a progress that controls display of the progress status. It is configured to realize at least a part of functions of a display control unit, a progress status acquisition unit that acquires a progress status, and a travel propriety determination unit that determines whether or not the vehicle can travel.
  • the functions of the progress determination unit and the travel propriety determination unit may be included in the reprogram slave RS.
  • 1 is a vehicle system
  • 3 is a web server (notification medium)
  • RM is a reprogram master (vehicle device)
  • RS is a reprogram slave
  • 36 is a microcomputer (determination unit, acquisition unit, notification command unit, remote control unit).
  • Program execution command unit, boarding / alighting state determination unit, vehicle state determination unit, distance identification unit, presence / absence determination unit) 41 is a microcomputer (determination unit, acquisition unit, notification command unit, reprogram execution command unit, boarding / alighting state determination unit) , Vehicle state determination unit), 5 is a portable terminal (notification medium, terminal), 35 is a flash memory (storage unit), 38 is an LED (notification medium), 45 is a flash memory (storage unit), 46 is a display (on-vehicle) (Display device, terminal, notification medium), TA1 indicates a travel propriety determination table.
  • the functions of one constituent element may be distributed to a plurality of constituent elements, or the functions of a plurality of constituent elements may be integrated into one constituent element.
  • at least a part of the configuration of the above-described embodiment may be replaced with a known configuration having a similar function.
  • some or all of the configurations of the two or more embodiments described above may be added in combination with each other or may be replaced.

Abstract

車両用システム（１）は、複数の車両用電子制御装置（以下ＥＣＵと称す）のうち記憶されたプログラムの更新用ファイルが更新対象とされたＥＣＵによるリプログスレーブ（ＲＳ）と、車両ユーザにより操作可能な端末（５、４６）からの要求に応じて前記更新用ファイルを前記リプログスレーブに送信し当該リプログスレーブに記憶されるプログラムを更新制御するリプログマスタ（ＲＭ）と、前記更新用ファイルを前記リプログスレーブに書換えるときに車両の走行可否を判定する判定部（ＲＭ、３６、Ｓ９、Ｓ１０、Ｙ３、ＲＳ、４１、Ｓ１２、Ｙ１２）と、を備える。車両用装置（ＲＭ）は前記リプログマスタ（ＲＭ）として機能し、前記判定部により判定された前記走行可否を取得する取得部（３６、Ｓ１２、Ｕ４；４１、Ｙ１５）と、前記取得部により取得された前記走行可否の情報を報知媒体（３、５ａ、３８、４６）に報知指令する報知指令部（３６、Ｓ１４、Ｕ５；４１、Ｙ１６）と、を備える。

Description

車両用装置 関連出願の相互参照
　本出願は、２０１６年６月９日に出願された日本特許出願番号２０１６－１１５３０７号に基づくもので、ここにその記載内容を援用する。
　本開示は、車両用装置に関する。
　車両には多数の電子制御装置（ＥＣＵ）が搭載されており、これらの電子制御装置が車内ネットワークを通じて連携して車両用機器を制御している。従来、この電子制御装置の内部メモリに記憶されたプログラムを更新する技術が提供されている（例えば特許文献１参照）。この特許文献１記載の技術によれば、プログラム更新装置が、センタ装置からプログラムを更新するための更新ファイルを受信し、この更新ファイルに対応するプログラムを更新することが記載されている。
特開２０１４－１０６８７５号公報
　近年、特許文献１記載の技術のように、各種無線通信技術を用いて車内ネットワークに接続しプログラムを更新することが可能になりつつある。しかしながら、車両ユーザにより操作可能な端末からの要求に応じて無線通信により遠隔更新するときには、車両ユーザが車両を運転操作可能な環境下でもプログラム更新処理を実行できるようになる虞がある。このような場合、車両ユーザがプログラムを書換途中にも拘わらず、車両を運転操作してしまう虞がある。例えばプログラム書換処理が不十分なまま、車両ユーザが車両を運転操作すると車両が意図しない挙動をしてしまう虞がある。
　本開示の目的は、車両ユーザにより操作可能な端末からの要求に応じてプログラム更新するときに、車両ユーザが安全に運転操作でき安全性を確保できるようにした車両用装置を提供することにある。
　本開示の一態様によれば、車両ユーザが端末を操作しプログラムを更新要求すると、リプログマスタはこの要求に応じてリプログスレーブに記憶されたプログラムを更新制御する。リプログマスタの取得部が判定部により判定された走行可否を取得すると、報知指令部が報知媒体に走行可否の情報を報知指令する。
　このため、車両ユーザにより操作された端末から要求された場合、走行可否の情報を報知媒体に報知することができ、走行可否を車両ユーザに適切に知らせることができる。車両ユーザは走行可であることが報知媒体を通じて知らされたときには走行可能であると判断するため安全に運転操作できる。また車両ユーザは走行不可であることが報知媒体を通じて知らされたときには走行不可であると判断するため運転を止める。これにより安全性を確保できる。
　本開示についての上記目的およびその他の目的、特徴や利点は、添付の図面を参照しながら下記の詳細な記述により、より明確になる。その図面は、
図１は、第１実施形態における車両用システムの構成を概略的に示すブロック図であり、 図２は、ゲートウェイ装置の電気的構成例を示すブロック図であり、 図３は、ＥＣＵの電気的構成例を示すブロック図であり、 図４は、ネットワーク接続形態の一部構成を示すブロック図であり、 図５は、携帯端末の電気的構成例を示すブロック図であり、 図６Ａは、携帯端末と車載表示装置の外観図であり、 図６Ｂは、車載表示装置の外観図であり、 図７は、走行可否判定テーブルの内容説明図であり、 図８は、全体動作を示すシーケンス図であり、 図９は、中断時動作を示すシーケンス図であり、 図１０は、表示器の表示内容のその１であり、 図１１は、表示器の表示内容のその２であり、 図１２Ａは、表示器の表示内容のその３であり、 図１２Ｂは、表示器の表示内容のその４であり、 図１２Ｃは、表示器の表示内容のその５であり、 図１３は、表示器の表示内容のその６であり、 図１４は、表示器の表示内容のその７であり、 図１５は、第２実施形態におけるリプログマスタの処理内容を示すフローチャートであり、 図１６は、報知媒体の決定方法の流れを示すフローチャートであり、 図１７Ａは、表示器の表示内容のその８であり、 図１７Ｂは、表示器の表示内容のその９であり、 図１７Ｃは、表示器の表示内容のその１０であり、 図１７Ｄは、表示器の表示内容のその１１であり、 図１７Ｅは、表示器の表示内容のその１２であり、 図１７Ｆは、表示器の表示内容のその１３であり、 図１８は、中断時処理を示すフローチャートであり、 図１９は、リプログマスタの処理内容を示すフローチャートであり、 図２０は、第３実施形態におけるリプログスレーブの処理内容を示すフローチャートであり、 図２１は、リプログマスタの処理内容を示すフローチャートである。
　以下、車両用装置の幾つかの実施形態について図面を参照しながら説明する。以下に説明する各実施形態において、同一又は類似の動作を行う構成については、同一又は類似の符号を付して必要に応じて説明を省略する。なお、下記の実施形態において同一又は類似する構成には、符号の十の位と一の位とに同一符号を付して説明を行っている。
　（第１実施形態）
　図１から図１４は第１実施形態の説明図を示している。図１に示すように、本実施形態の車両用システム１は、車両内に設置された車両用電子制御装置（以下、ＥＣＵと称す： Electronic Control Unit）に実装されているプログラムを更新可能にするシステムであり、ファイルサーバ２及びウェブサーバ３を備えるセンタ装置４、車両ユーザにより所持され操作可能でありウェブサーバ３に無線接続可能に構成される携帯端末（端末相当）５、車両に搭載される車両内システム６、を互いに接続して構成される。後述するが、車両内システム６には外的にモニタツール４８を接続可能になっている。
　ファイルサーバ２とウェブサーバ３とはネットワーク接続されている。ウェブサーバ３は携帯端末５との間で車外ネットワーク７を通じて通信可能になっている。またウェブサーバ３は、車両内システム６との間で通信インタフェース８を通じて通信可能になっている。車外ネットワーク７は、例えば３Ｇ回線、４Ｇ回線等による移動通信網、インターネット網、無線ＬＡＮ（例えばＷｉＦｉ（登録商標））などの各種の通信ネットワークを示すものである。
　ファイルサーバ２には、プログラム更新用ファイルがプログラム提供事業者により蓄積される。ファイルサーバ２はプログラム管理機能を備え、更新処理を要するＥＣＵを搭載する車両に更新ファイルを通信インタフェース９を通じて車両内システム６に送信可能になっている。
　車両内の車両内システム６は、中央ゲートウェイ装置（ＣＧＷ：Central GateWay：以下ゲートウェイ装置と略す）１０と、このゲートウェイ装置１０に接続される車載ＬＡＮのバス１１～１５と、バス１１～１５に接続されるデータコミュニケーションモジュール（以下、ＤＣＭと称す：Data Communication Module）２１及び各種のＥＣＵ２２～３１と、を備え、バッテリ電圧の供給を受けて動作する。ＤＣＭ２１は、センタ装置４や携帯端末５との間で無線を介してデータ通信するためのインタフェースモジュールである。
　ゲートウェイ装置１０は、ＤＣＭ２１を用いて外部のファイルサーバ２、ウェブサーバ３、及び、携帯端末５と通信接続できる。ゲートウェイ装置１０は、ファイルサーバ２から更新用ファイルをダウンロードし、プログラム更新対象のＥＣＵに当該更新用ファイルを送信し更新制御するリプログマスタＲＭとしての機能を備える。リプログマスタＲＭはリプログラムのマスタ装置の略である。
　以下、プログラム更新処理のことを「リプログラム」と称すると共に、プログラム更新対象のＥＣＵのことを必要に応じてリプログスレーブＲＳと称す。リプログスレーブＲＳとはリプログラムのスレーブ装置の略である。ここでリプログスレーブＲＳとなるのは、ＥＣＵ２２～３１のうち何れか１つ以上のＥＣＵである。
　図２にゲートウェイ装置１０の電気的構成例を示す。ゲートウェイ装置１０は複数のバス１１～１５の全てに接続されている。ゲートウェイ装置１０は、ＣＰＵ３２、ＲＯＭ３３、ＲＡＭ３４、フラッシュメモリ３５を備えるマイクロコンピュータ（以下マイコン）３６、及びトランシーバ３７を備え、ＣＰＵ３２が非遷移的記録媒体としてのメモリに記憶されているプログラムに基づいて各種処理を行うが、ゲートウェイ装置１０は、車両用装置動作用のバッテリ電源＋Ｂから電源入力する電源回路３９を用いて動作し、タイマが内蔵されている。電源回路３９には、アクセサリ電源ＡＣＣ、イグニッション電源ＩＧも入力される。
　例えば、ゲートウェイ装置１０のマイコン３６にはＬＥＤ３８が接続されており、マイコン３６がこのＬＥＤ３８を点灯／点滅することで内部情報（例えば、走行可否、リプログラムの進捗状況）を外部に表示可能になっている。
　図１に示す車載ＬＡＮのバス１１～１５は、例えば互いに通信プロトコルが異なる又は同一となる複数のネットワークにより構築されており、これらのネットワークは、例えば、ボディ系ネットワークＮ１、走行系ネットワークＮ２、マルチメディア系ネットワークＮ３、など複数のネットワークに分けることができる。これらのネットワークＮ１～Ｎ３のバス１２～１４には各種のＥＣＵ２２～３１が接続されている。
　ボディ系ネットワークＮ１のバス（以下、ボディ系バスと称す）１２には、例えば、ドアをロック／アンロック制御するための各種機能を備えるドアＥＣＵ２２、制御対象となるメータの表示制御を行うための各種機能を備えるメータＥＣＵ２３、エアコンディショナを制御するためのエアコンＥＣＵ２４、ウィンドウガラスを開閉制御するためのウィンドウＥＣＵ２５、等のＥＣＵが接続されている。これらのＥＣＵ２２～２５を必要に応じてボディ系ＥＣＵ２２～２５と称す。ドアＥＣＵ２２はドアロックモータを接続して構成される。
　また、その他にも様々な機能を備えるＥＣＵ（例えばエアバッグ制御機能を備えるエアバッグＥＣＵ、ワイヤレスキー又はスマートキー等の操作に基づくキーレスエントリー制御機能を備えるキーレスエントリーＥＣＵ）がボディ系バス１２に接続されることもあるがその図示及び説明は省略する。例えば、メータＥＣＵ２３は、車速情報に基づく車速、エンジン回転数情報に基づくエンジン回転数、残量センサ（図示せず）により取得されるガソリンの残量情報、による各種情報をインストルメントパネル等の表示器に表示させるための電子制御装置である。
　走行系ネットワークＮ２のバス（以下、走行系バスと称す）１３には、例えば、制御対象となるエンジンを制御するための各種機能を備えるエンジンＥＣＵ２６、ブレーキを制御するための各種機能を備えるブレーキＥＣＵ２７、自動変速機を制御するための各種機能を備えるＥＣＴＥＣＵ２８、パワーステアリングを制御するパワステＥＣＵ２９、等のパワートレイン系ＥＣＵが接続されている。これらのＥＣＵ２６～２９を必要に応じて走行系ＥＣＵ２６～２９と称す。エンジンＥＣＵ２６は例えばガソリン燃料を用いたエンジンを駆動することで車両を走行可能にする。
　また、その他にも様々な機能を備えるＥＣＵ（例えばパーキングブレーキのオン／オフ状態を検知するパーキングＥＣＵなど）が走行系バス１３に接続されているが、その説明は省略する。図示しないが、エンジンＥＣＵ２６には車速センサ、スロットル開度センサ、及びアクセルペダル開度センサ等の各種センサが接続されている。また、ブレーキＥＣＵ２７にはブレーキペダルセンサが接続されている。前述のパーキングブレーキのオン／オフ状態の検出センサはブレーキＥＣＵ２７に接続されていても良い。
　また、ＥＣＴＥＣＵ２８にはシフトレバー位置センサなどが接続されている。シフトレバー位置は、例えばパーキング（Ｐ）、リバース（Ｒ）、ニュートラル（Ｎ）、ドライブ（Ｄ）などの位置であり、ＥＣＴＥＣＵ２８はこの位置をシフトレバー位置センサにより検出できる。
　マルチメディア系ネットワークＮ３のバス（以下、マルチメディア系バスと称す）１４には、例えば、制御対象となるナビゲーション装置を制御するためのナビゲーションＥＣＵ（以下ナビＥＣＵと称す）３０、電子式料金収受システム（ＥＴＣ：Electronic Toll Collection System：登録商標）の制御を行うためのＥＴＣＥＣＵ３１、等のＥＣＵが接続されている。これらのＥＣＵ３０、３１を必要に応じてマルチメディア系ＥＣＵ３０、３１と称す。これらのマルチメディア系ＥＣＵ３０、３１は各種情報をユーザに提供するためのマルチメディア系の電装品を制御対象として制御する車両用電子制御装置である。
　図３にナビＥＣＵなどの各種ＥＣＵの基本的な電気的構成例を示している。例えば、ナビＥＣＵ３０は、バス１４へのデータの送出／取込を行うためのトランシーバ４０と、バス１４を介して通信を制御する通信コントローラ（図示せず）を用いて他のＥＣＵと通信し他のＥＣＵと連動して自らのＥＣＵに割り当てられた各種機能を実現するマイクロコンピュータ（以下マイコン）４１と、を備える。マイコン４１は、ＣＰＵ４２、ＲＯＭ４３、ＲＡＭ４４、フラッシュメモリ４５を備えており、ＣＰＵ４２が非遷移的記録媒体としてのメモリに記憶されているプログラムに基づいて各種処理を行う。ゲートウェイ装置１０は、バッテリ電源＋Ｂから電源を入力する電源回路４９の出力電圧を用いて動作する。ナビＥＣＵ３０には各種記憶装置が接続され、これらの記憶装置には地図データや音楽データ等が記憶されている。そして、このナビＥＣＵ３０は、位置検出器（例えばＧＰＳ受信機等）及び記憶装置の地図データに基づいて取得される車両の現在位置の情報をマルチメディア系バス１４に定期的に送出する。
　ＥＣＵ２２～３１は、当該ＥＣＵ２２～３１に接続される負荷（センサ、アクチュエータ）が互いに異なることがあるものの、この図３に示すナビＥＣＵ３０と概ね同様のハードウェア構成をなしている。また、図２及び図３に例を示すように、ゲートウェイ装置１０又はＥＣＵ２２～３１は、バッテリ電源＋Ｂの電圧値、アクセサリ電源ＡＣＣの電圧値、イグニッション電源ＩＧの電圧値を検出し、これらをそれぞれ所定の閾値電圧と比較し比較結果をマイコン３６、４６に出力する検出部３９ａ、４９ａを備える。
　各ＥＣＵ２２～３１の全て又は何れかには当該各ＥＣＵ２２～３１の動作温度を取得する温度センサ（図示せず）が接続されており、各ＥＣＵ２２～３１は当該温度センサのセンサ情報を取得することで動作温度の情報を取得できる。
　また、ボディ系ＥＣＵ２２～２５にはエンジン始動／停止用のイグニッションスイッチ又はプッシュボタンに基づくスイッチ信号が入力されており、このボディ系ＥＣＵ２２～２５のマイコン４１が、スイッチ信号に応じて、アクセサリ電源ＡＣＣ、イグニッション電源ＩＧの出力オン／オフをリレー（図示せず）を用いて制御する。
　このスイッチ信号が、ＯＦＦのときにはバッテリ電源＋Ｂだけが供給対象のＥＣＵに供給され、ＡＣＣのときにはアクセサリ電源ＡＣＣが供給対象のＥＣＵ（２２～３１の何れか１つ以上）に供給され、ＩＧとされるとアクセサリ電源ＡＣＣと共にイグニッション電源ＩＧが供給対象のＥＣＵ（２２～３１の何れか１つ以上）に供給される。
　図４に示すように、各ＥＣＵ２２～３１はゲートウェイ装置１０にネットワーク接続されているが、各ＥＣＵ２２～３１には前述した各種センサなどのセンサＳＥ、スイッチＳＷが接続されている。センサＳＥは、各ＥＣＵ２２～３１に接続される各種センサ（例えば、車速センサ、水温センサ、カメラ、エンジン回転数、温度センサ、気温センサ、ガソリンの残量センサ）を総称して示すものであり、スイッチＳＷは、各ＥＣＵ２２～３１に接続される各種スイッチ（例えばイグニッションスイッチ、パーキングブレーキのオン／オフ状態の検出センサ、シフトレバー位置センサ、ロックポジションスイッチ、シートベルトの判断スイッチ、着座スイッチ、等）を総称して示すものである。
　多数のＥＣＵ２２～３１のうち何れか一つ以上のＥＣＵ（例えばナビＥＣＵ３０）は表示器４６を接続して構成される。以下、表示器４６がナビＥＣＵ３０に接続されているものとして説明を行う。この表示器４６は、センターインフォメーションディスプレイ（Center Information Display：ＣＩＤ）、ヘッドアップディスプレイ（Head-Up Display:ＨＵＤ）、などによる車載表示装置である。表示器４６はインストルメントパネルのメータ表示器であっても良い。
　図６Ｂに表示器４６としてＣＩＤの外観図を示しているが、表示器４６は表示部４６ａ及び操作部４６ｂを搭載している。操作部４６ｂは、表示器４６の表示部４６ａの脇に搭載される操作スイッチ群、又は／及び、表示部４６ａの表示画面下のタッチパネルを用いて構成され、車両ユーザにより操作可能に構成される。操作部４６ｂがユーザ操作されると、操作に係る信号をナビＥＣＵ３０に伝達し、ナビＥＣＵ３０のマイコン４１は各種処理を実行する。
　図５に携帯端末５の電気的構成例を示すように、携帯端末５は、表示器５ａ、操作部５ｂと共に、通信部５ｃ、及びマイコン５０を備える。マイコン５０はＣＰＵ、ＲＯＭ、ＲＡＭ等（何れも図示せず）を備えており、非遷移的記録媒体としてのメモリに記憶されているプログラムに基づいて操作部５ｂの操作情報の受付処理及び表示器５ａへの表示処理等の各種処理を行う。マイコン５０は、通信部５ｃにより、車外ネットワーク７の他、近距離無線通信（例えばブルートゥース（登録商標））により図１に示すＤＣＭ２１にアクセス可能になっている。携帯端末５のマイコン５０のメモリにはウェブサーバ３にアクセスするためのアプリケーション（例えばブラウザ）がユーザ指示に応じて予めインストールされており、ユーザがこのアプリケーションを実行することでウェブサーバ３を通じてプログラムの更新指示を行うことができる。また、図６Ａは携帯端末５の外観図を示しており、表示器５ａと操作部５ｂとを外観上備える。
　図１に示す各ＥＣＵ２２～３１のマイコン４１の内部に記憶されるプログラムは、各ＥＣＵ２２～３１が自らのＥＣＵに割当てられた制御対象機器を制御するときに行う必要なプログラムであり、更新対象となる更新用ファイル及びその他の非更新対象のファイルにより構成される。すなわち、更新用ファイルは全体のプログラムのファイルのうち、少なくとも一部又は全部のプログラムのファイルを指す。
　また図１に示すように、ゲートウェイ装置１０は、開発、テスト、解析用のネットワークのバス１５に接続されており、このバス１５にはＯＢＤ（On-board diagnostics）コネクタ４７が接続されている。ＯＢＤコネクタ４７は、例えば車両設計者、ディーラや修理工場の作業者が必要なときに外部からモニタツール４８を接続可能になっている。
　ゲートウェイ装置１０は、全てのバス１１～１５に送出されるデータを全て受信し、車両内の状態、すなわち、運転者による操作状態、車両状態、車両挙動、を検出する。また、ゲートウェイ装置１０は、各ＥＣＵ２２～３１毎にプログラムを更新可能な条件が規定された走行可否判定テーブルＴＡ１をフラッシュメモリ３５内に備える。
　図７に示すように、走行可否判定テーブルＴＡ１には、各ＥＣＵ２２～３１の走行可否と、当該ＥＣＵ２２～３１を接続するＣＡＮＩＤ、接続バス、名称とを対応づけた関係情報が記されている。この走行可否判定テーブルＴＡ１には、ＣＡＮＩＤ、接続バス、名称の全てに対応づけて走行可否が記されていなくても良く、ＣＡＮＩＤ、接続バス又は名称の何れか一つに対応づけて走行可否が記されていれば良い。
　この走行可否判定テーブルＴＡ１の内容の一部を説明する。例えば、ドアＥＣＵ２２はボディ系バス１２に接続されているが、例えばモニタツール４８やゲートウェイ装置１０がＣＡＮＩＤとして０ｘ７００を付与して送信すると、ドアＥＣＵ２２がこの要求を受付け、ドアＥＣＵ２２はＣＡＮＩＤとして０ｘ７０８を付して要求に応答することが対応付けて記されており、このドアＥＣＵ２２はプログラム更新中においても走行可能（走行可否＝可）であることが記されている。
　また、例えば、パワステＥＣＵ２９は走行系バス１３に接続されているが、モニタツール４８、ゲートウェイ装置１０がＣＡＮＩＤとして０ｘ７０２としてバス１３を介してパワステＥＣＵ２９に送信すると、パワステＥＣＵ２９はこの要求を受付け、パワステＥＣＵ２９はＣＡＮＩＤとして０ｘ７０Ａとし応答を返信することが記されており、このパワステＥＣＵ２９は内部プログラム更新中において走行不可（走行可否＝否）であることが記されている。
　また他のＥＣＵにおいても、モニタツール４８やゲートウェイ装置１０がＣＡＮＩＤとして７００番台の番号を付して送信すると、対応するＥＣＵが、この要求を受付け、このＥＣＵが受信したＣＡＮＩＤに８を加入した番号を付して応答を返信することが記されており、これらの個々のＥＣＵに対応して走行可否の情報が記憶されている。図７に示すように、これらのＣＡＮＩＤ，ＥＣＵ名称、接続バスと走行可否とを対応づけた関係情報は、例えばＣＡＮ仕様に規定される標準フォーマットでも拡張フォーマットでも同様に対応づけされている。
　図７に示されている内容を概略的にまとめて説明すると、この走行可否判定テーブルＴＡ１では、走行系ＥＣＵ２６～２９は、当該内部プログラムの更新中には走行不可であることが記されており、マルチメディア系ＥＣＵ３０、３１は、当該内部プログラムの更新中であっても走行可能であることが対応づけて記されている。また、ボディ系バス１２に接続されるメータＥＣＵ２３やエアコンＥＣＵ２４は内部プログラム更新中においても走行可能であることが記憶されている。この走行可否判定テーブルＴＡ１に、車両の走行時／停止時の更新条件（例えばバッテリ残量の高低、接続バス負荷の高低、車両負荷の高低、車室内温度条件、等）を詳細に設定し、これらの更新条件に走行可否情報を対応づけて関係情報として記憶させても良いし、また、これらに例外条件を設けて設定しても良い。
　そして、ゲートウェイ装置１０のマイコン３６は、ＣＰＵがメモリに記憶されているプログラムに基づいて、フラッシュメモリ３５に格納されている走行可否判定テーブルＴＡ１を参照しプログラム更新処理を実行する。
　以下、システム全体におけるプログラム更新処理の流れについて、図８、図９のシーケンス図、図９～図１３の表示画面を参照しながら説明する。
　下記の説明では、ユーザがワイヤレスキー又はスマートキーを用いて車外から車両内装置（例えばエンジン始動／停止、すなわち電源ＡＣＣ、ＩＧ等の投入）をリモート操作可能である車両を想定すると共に、プログラム更新処理の経過をユーザが所持する携帯端末５の表示器５ａに表示させる例を挙げて説明する。また、以下の動作説明における携帯端末５の表示器５ａの表示内容は、例えばナビＥＣＵ３０が表示器４６に表示処理させても良いため、必要に応じて説明を加入する。
　また、以下に説明する図８中のゲートウェイ装置１０の処理は、マイコン３６がプログラムを実行することにより行われる処理であり、携帯端末５の処理は内蔵のマイコン５０がプログラムを実行することにより行われる処理である。
　まず図８に示すように、ステップＳ１において、センタ装置４のファイルサーバ２に更新用ファイルが蓄積されると、このファイルサーバ２は、図８のステップＳ２においてネットワークを通じてウェブサーバ３にリプログラムのイベント発生を通知する。車両ユーザが、携帯端末５を操作してウェブサーバ３にアクセスすると、図８のステップＳ３においてイベント発生の通知を受信する。携帯端末５が自動的にウェブサーバ３にアクセスしてイベント発生の通知を受信しても良い。このとき携帯端末５はその表示器５ａに図１０に示すようにイベント内容を表示する。例えば、図１０に示すように、携帯端末５は、「車載プログラムのアップデートデータが確認されました。ダウンロードしますか？」と表示器５ａに表示させると共に、ダウンロードのボタンＢ１を表示器５ａに表示させる。車両ユーザが例えば携帯端末５の表示器５ａに表示されたダウンロードのボタンＢ１を押下することで、プログラムの更新用ファイルをアップデート（ダウンロードＤＬ）要求する。携帯端末５は、タッチパネルによる操作部５ｂを通じてこの要求を受け付ける。携帯端末５は、図８のステップＳ４においてウェブサーバ３を通じてゲートウェイ装置１０にダウンロード要求することで更新用ファイルを指定する。なお、このとき図１０に示すように、携帯端末５は走行可否情報Ｘ２を表示器５ａに表示させても良く、この場合、走行可否情報Ｘ２を「可」として表示させても良い。
　ウェブサーバ３は更新用ファイルが指定されると、ウェブサーバ３がステップＳ４においてＤＣＭ２１を通じてゲートウェイ装置１０に更新用ファイルをダウンロード指令する。ゲートウェイ装置１０は、フラッシュメモリ３５等の空き容量やリソースの判断を行うことでダウンロード可否の判定を行う。このダウンロード可否の判定は、車両に搭載されるバッテリ電源＋Ｂの残量が所定量以上に十分に残っていること、例えばバッテリ電源＋Ｂの電圧が所定電圧以上であること、また、ＤＣＭ２１と通信インタフェース８又は／及び９との通信電波環境が安定していること、例えば相互の受信電界強度レベルが所定以上であること、などの何れか一つ以上又は全ての条件を含んでいても良い。
　そして、ゲートウェイ装置１０は、ダウンロード可能になったことを条件として、図８のステップＳ５においてＤＣＭ２１を通じてファイルサーバ２に更新用ファイルを要求する。これにより、ファイルサーバ２が、図８のステップＳ６においてＤＣＭ２１を通じてゲートウェイ装置１０に更新用ファイルを配信し、ゲートウェイ装置１０はステップＳ６において更新用ファイルをダウンロードできる。
　ゲートウェイ装置１０が更新用ファイルをダウンロード完了すると、図８のステップＳ７ａにおいてダウンロード完了したことを携帯端末５に通知し、携帯端末５が表示器５ａにダウンロード完了したことを表示する。またゲートウェイ装置１０は、図８のステップＳ７ｂに示すようにダウンロード完了したことをナビＥＣＵ３０に伝達し、ナビＥＣＵ３０が表示器４６にダウンロード完了したことを表示させるようにしても良い。図１１はダウンロード完了画面の表示例を示している。携帯端末５はこの時点においても表示部５ａの画面に走行可否情報を表示させている。携帯端末５はこのダウンロード完了画面に更新開始ボタンＢ２も合わせて表示させており、携帯端末５は、この更新開始ボタンＢ２のユーザ押下指示を受付けるようになっている。車両ユーザはダウンロード完了画面を確認すると、携帯端末５の操作部５ｂを操作したり、表示器４６に搭載される操作部４６ｂを操作したりすることで更新用ファイルをリプログラム開始指示する。リプログラム開始指示するときには、ユーザは車両の外部から例えばワイヤレスキー又はスマートキーを操作することに応じて車両内装置の操作指令（例えばエンジンの始動指令）を行う。するとゲートウェイ装置１０の電源回路３９、各ＥＣＵ２２～３１の電源回路４９には各種動作用の電源が印加される。
　車両ユーザがステップＳ８ａにおいて携帯端末５に記憶されるアプリケーションを実行することで更新開始指示しリプログラム実行指令したときには、この指令情報はウェブサーバ３に伝えられる。するとウェブサーバ３がステップＳ８ａにおいてＤＣＭ２１を通じて指令をゲートウェイ装置１０に通知する。
　他方、車両ユーザがステップＳ８ｂにおいて操作部４６ｂを操作することでナビＥＣＵ３０に更新要求したときには、ナビＥＣＵ３０がこの更新要求をゲートウェイ装置１０に通知することで図８のステップＳ８ｂにおいてリプログラム実行要求する。
　ゲートウェイ装置１０は、更新用ファイルの内容に応じてリプログスレーブＲＳとなるＥＣＵ（２２～３１のうち何れか１つ以上）を特定する。そして、ゲートウェイ装置１０は、図８のステップＳ９において乗車／降車状態を判定し、図８のステップＳ１０において車両状態を判定し、これらの状態が必要な条件を満たしているときに、特定されたリプログスレーブＲＳに対し更新用ファイルを送信しリプログラム指令する。
　この図１０のステップＳ９、Ｓ１０の処理を行う前に先立って、又は、並行して、ゲートウェイ装置１０は、リプログスレーブＲＳのＣＡＮＩＤ，接続バス又は名称を走行可否判定テーブルＴＡ１に照合して走行可否を判定し、ステップＳＡにおいてこの情報を携帯端末５、ナビＥＣＵ３０に初期報知指令するようにしても良い。
　特に、ゲートウェイ装置１０は、リプログスレーブＲＳが走行系バス１３に接続されたＥＣＵ２６～２９であるときには走行不可と判定する。この場合、ゲートウェイ装置１０はこの走行不可である旨の走行可否情報Ｘ２を携帯端末５に初期報知指令しても良い。すると、携帯端末５が走行不可である旨の走行可否情報Ｘ２を表示器５ａに表示することで、車両ユーザは、この走行不可である走行可否情報Ｘ２を認識できる。この場合、ゲートウェイ装置１０はリプログラム実行指令を出力しない。
　以下、ステップＳ９、Ｓ１０の判定条件例を詳細に述べる。ステップＳ９の判定条件は、例えば、条件Ａ１：乗員が車両内に存在していないこと、条件Ａ２：バッテリ電源＋Ｂの電圧が所定値以上であること、条件Ａ３：ドアロックポジションがロック状態であること、条件Ａ４：シフトポジションがパーキングで且つパーキングブレーキがオン状態であること、条件Ａ５：リプログラムの開始タイミングから所定時間以内に前述のＡ１～Ａ４の条件を満たしていること、などの条件をその一部又は全て満たすことである。
　このときゲートウェイ装置１０が必要な情報をゲートウェイ装置１０自身又はＥＣＵ２２～３１等から取得し条件Ａ１～Ａ５を満たすか判定したり、又は、各ＥＣＵ２２～３１のうち対象のＥＣＵが条件Ａ１～Ａ５を満たすか否か自主的に判定すると良い。
　条件Ａ１は、前述した乗車判定処理により判定すると良い。条件Ａ２は、バッテリ電源＋Ｂの電圧の検出値を検出する検出器３９ａ、４９ａ出力結果、又は／及び、電源回路３９、４９の出力に基づいて判定すると良い。条件Ａ３は、例えばドアＥＣＵ２２により取得されるドアロックモータの駆動によるドアロック／アンロック状態に基づいて判定すると良い。条件Ａ４は、例えばＥＣＴＥＣＵ２８などにより取得されるシフトレバー位置センサのセンサ情報、パーキングＥＣＵ又はブレーキＥＣＵ２７などのＥＣＵから取得されるパーキングブレーキのオン／オフ状態の検知センサの情報に基づいて判定すると良い。条件Ａ５は、ゲートウェイ装置１０や他のＥＣＵが例えばタイマを用いて時間を計測し、この計測時間が所定時間を経過する前に条件Ａ１～Ａ４を満たすこととすると良い。これにより、ステップＳ９において乗車／降車状態を判定できる。
　また、ステップＳ１０の判定条件は、条件Ａ１０：ゲートウェイ装置１０、ＤＣＭ２１、リプログスレーブＲＳに何らかのダイアグの異常を生じていないこと、条件Ａ１１：ゲートウェイ装置１０、ＤＣＭ２１、リプログスレーブＲＳの動作温度が高温ではない、例えば適切な動作温度範囲内で動作していること、条件Ａ１２：リプログスレーブＲＳ又はリプログスレーブＲＳに関連するＥＣＵが使用されていないこと、条件Ａ１３：バッテリ電源＋Ｂの残量が充分、条件Ａ１４：ガソリンの残量が充分、例えばガソリン残量が所定以上であること、条件Ａ１５：車両ユーザ指示に応じて遠隔書換えする場合にはユーザ確認を得たこと、条件Ａ１６：ゲートウェイ装置１０の中間バッファ領域（記憶部相当）にリプログラム対象の更新用ファイルが格納されていること、などの所定条件である。ゲートウェイ装置１０はこれらの情報を当該ゲートウェイ装置１０自身、ＤＣＭ２１、ＥＣＵ２２～３１等から取得して各条件Ａ１０～Ａ１６を判定したり、又は、各ＥＣＵ２２～３１のうち対象のＥＣＵが該当する条件Ａ１０～Ａ１６を満たすか否か自主的に判定し、その結果をゲートウェイ装置１０に送信し、ゲートウェイ装置１０が総合的に条件Ａ１０～Ａ１６を満たすか判定すると良い。
　条件Ａ１０は、ゲートウェイ装置１０が、ＤＣＭ２１、ＥＣＵ２２～３１の全て又はリプログスレーブＲＳとなる対象ＥＣＵから異常の内容を示すダイアグ情報を取得して判定することが望ましい。条件Ａ１１は、例えばゲートウェイ装置１０、ＤＣＭ２１、リプログスレーブＲＳに設置された温度センサの検出情報に基づいて判定すると良い。条件Ａ１２は、リプログスレーブＲＳの動作情報、及び、この動作情報に関連するＥＣＵの動作情報に基づいて判定すると良い。条件Ａ１３は、例えば検出部３９ａ、４９ａによるバッテリ電源＋Ｂの検出電圧が閾値電圧以上、又は、電源回路３９、４９の出力電圧が所定値以上である条件を満たすことを条件とすると良い。条件Ａ１４は、例えばメータＥＣＵ２３に接続されるガソリンの残量センサの検出情報に基づいて判定すると良い。
　条件Ａ１５において、ゲートウェイ装置１０は、携帯端末５の表示器５ａに「プログラム書換を開始しても良いですか？」などのメッセージと共に確認ボタン（図示せず）を表示指令し、携帯端末５は確認ボタンが車両ユーザにより押下されこの押下信号を操作部５ｂを通じて受け付けたことを条件としてゲートウェイ装置１０に確認完了信号を送信し、ゲートウェイ装置１０が確認完了信号を受け付けたことを条件として条件Ａ１５を満たすと判定すると良い。条件Ａ１６は、図８のステップＳ６においてダウンロードＤＬが異常なく完了したことで可と判定すると良い。これにより、車両状態を判定できる。
　ゲートウェイ装置１０は、ステップＳ９及びＳ１０の条件を満たしていないときには、走行不可である走行可否情報Ｘ２を携帯端末５に表示指令し表示器５ａに表示させる。すると、車両ユーザは走行不可であると認識できる。この場合、ゲートウェイ装置１０は、ステップＳ９及びＳ１０の条件を満たすまで、リプログラム実行指令を出力しない。
　ゲートウェイ装置１０は、このようなステップＳ９、Ｓ１０の条件を満たしていると判定したときには、図８のステップＳ１１においてリプログスレーブＲＳに更新用ファイルを送信し、リプログラムを実行指令する。
　ゲートウェイ装置１０は、リプログスレーブＲＳに対応したＥＣＵに係る走行可否テーブルＴＡ１に記された走行可否が走行不可で、且つ、ステップＳ９、Ｓ１０の条件を満たすことを条件としてリプログラム実行指令しても良い。さらに、ゲートウェイ装置１０は、リプログスレーブＲＳに対応した全てのＥＣＵに係る走行可否テーブルＴＡ１に記された走行可否が走行可であることを条件としてリプログラム実行指令しても良い。
　ゲートウェイ装置１０が、図８のステップＳ１１においてリプログスレーブＲＳに更新用ファイルを送信しリプログラム実行指令すると、リプログスレーブＲＳは更新用ファイルを受信しステップＳ１２においてリプログラム処理を実行する。この書換処理は、エントリ、古いプログラムの消去処理、新たな更新用ファイルの書込処理、書き込まれた更新用ファイルのベリファイ処理、その事後処理などからなっている。
　このようにゲートウェイ装置１０がリプログラム実行指令するときには、図８のステップＳＢ、ＳＣにおいて、リプログラムの実施中であることを示す情報、及び、安定状態維持要求をリプログスレーブＲＳ及びナビＥＣＵ３０を含む他の全てのＥＣＵ２２～３１に送信する。この処理を行うことで、ゲートウェイ装置１０はリプログスレーブＲＳを含む全てのＥＣＵ２２～３１にリプログラムの可否状態、及び、走行可否の状態の維持を要求できる。
　この安定状態維持要求は、例えば、状態Ｃ１：各ＥＣＵ２２～３１のリプログラムの可否状態の維持、状態Ｃ２：エンジン始動／停止用のキースイッチ（又はプッシュボタン）又はワイヤレスのキースイッチによるスイッチがユーザ操作されてもイグニッション電源ＩＧ又はアクセサリ電源ＡＣＣの状態を保持し各ＥＣＵ２２～３１への電源供給停止不能を維持、状態Ｃ３：キーレスエントリーに用いられるワイヤレスキー又はスマートキー等による無線操作指示を受けてもドアロック状態を維持、状態Ｃ４：シフトポジションをパーキング状態に維持、することなどを、各ＥＣＵ２２～３１に要求するものである。またゲートウェイ装置１０は、状態Ｃ５：ダウンロードのユーザ指示を受信してもダウンロード非実施、とするように自身のプログラムのサブルーチンを変更する。
　各ＥＣＵ２２～３１は、安定状態維持要求を受け付けると、状態Ｃ１～Ｃ４を維持するように、メモリ（例えばＲＡＭ４４、フラッシュメモリ４５）の保持内容を書換えたり、接続負荷（アクチュエータ）を制御する。状態Ｃ１を維持するため、各ＥＣＵ２２～３１は、リプログラムの可否状態を書換不可に設定するようにデータをメモリに保持する。状態Ｃ２を維持するため、ボディ系ＥＣＵ２２～２５は、スイッチ信号の変化に応じたアクセサリ電源ＡＣＣ、イグニッション電源ＩＧのリレー制御による出力停止を不可とする。また、状態Ｃ３を維持するため、ドアＥＣＵ２２はドアロックモータＭ１の状態を保持することでドアロック状態を維持し、状態Ｃ４を維持するため、ＥＣＴＥＣＵ２８はシフトポジションをパーキング状態に維持する。
　安定状態維持要求は、ステップＳ９及びＳ１０の条件を満たすことでリプログラム可能になった状態を、リプログスレーブＲＳを含む各ＥＣＵ２２～３１に対し安定的に維持するために設けられる。言い換えると、この安定状態維持要求は、車両内部の各状態（例えば、イグニッション電源ＩＧ、アクセサリ電源ＡＣＣによる電源電圧供給状態、シフトポジション、車室内無人状態、等）をリプログラム中においても安定的に保持するために設けられる要求を示す。ゲートウェイ装置１０が、この安定状態維持要求を行うことで、例えばドアロック操作を禁止したり、パーキングブレーキをオン状態に保持したりするなど、車両の各状態を維持することができ、リプログラム処理を安定して実行完了できる。
　この後、リプログスレーブＲＳはリプログラムを開始する。リプログスレーブＲＳは、更新用ファイルの書換処理を実施する開始タイミングなどにおいて走行可否信号をゲートウェイ装置１０に通知する。リプログスレーブＲＳを構成するＥＣＵ以外の他のＥＣＵ（特に走行系バス１３に接続されるＥＣＵ２６～２９）もまた、例えばゲートウェイ装置１０からの要求に応じて走行可否信号をゲートウェイ装置１０に送信する。このとき、ゲートウェイ装置１０はこれらの複数の走行可否信号を受付けたときに、ステップＳ１３において走行不可である旨の信号を何れか一のＥＣＵから受付けると、この走行不可の情報を優先して受付けると良い。
　ゲートウェイ装置１０は、このような走行不可の情報を受け付けることなく図８のステップＳ１３において走行可であると判定すると、走行可能通知信号を例えば走行系バス１３に出力する。すると、走行系バス１３に接続されたＥＣＵ２６～２９は走行可能な状態にプログラム処理ルーチンを戻す。また、ゲートウェイ装置１０は、図８のステップＳ１３において走行可であると判定したときには、図８のステップＳ１４において走行可である旨を報知指令する。このとき例えばゲートウェイ装置１０は、ユーザの携帯端末５又は／及びナビＥＣＵ３０に走行可能通知信号を通知する。例えば携帯端末５が走行可能通知信号を受信すると、図１２Ａに示すように、携帯端末５は、表示器５ａに、プログラム更新に係る進捗状況Ｘ１、走行可否情報Ｘ２、キャンセルボタンＢ３を表示させる。この表示器５ａの表示画面には、プログラム更新途中であっても走行可能であることを示すメッセージが表示されている。
　ゲートウェイ装置１０は、ステップＳ１３において何れか一のＥＣＵから走行不可である旨の走行可否信号を受け付けると、走行系バス１３に走行可能通知信号を出力しない。このとき走行系バス１３に接続されたＥＣＵ２６～２９は走行不可と判定し走行制御を不能とする。また、ゲートウェイ装置１０は走行系バス１３に走行不能通知信号を出力するようにしても良い。このときも走行系バス１３に接続されたＥＣＵ２６～２９は走行不可と判定し走行制御を不能とする。
　このときゲートウェイ装置１０は、図８のステップＳ１５において走行不可である旨を示す走行可否情報Ｘ２を報知指令する。携帯端末５は走行不可である信号を受信したとき、又は、走行可であることを受信していないときには、図１２Ｂに示すように、走行不可であることを示す走行可否情報Ｘ２を表示器５ａに表示させる。このとき、走行可否情報Ｘ２と共に例えばあと何秒で走行可能になるかを示す残余時間情報Ｘ３ｂを携帯端末５の表示器５ａに表示させることが望ましい。
　そして、その後、リプログスレーブＲＳがリプログラム処理を実行完了すると、この実行完了した情報をゲートウェイ装置１０に通知し、ゲートウェイ装置１０は、この情報を携帯端末５にリプログラム完了情報を通知する。すると図１２Ｃに示すように、携帯端末５は、リプログラム完了した後に、走行可否情報Ｘ２を可とし、走行可能であることを表示することで車両ユーザに明示する。
　図９は中断要求がなされた場合のシーケンス図を示す。ここでは、車両ユーザが携帯端末５を操作しキャンセルボタンＢ３を押下したことで中断要求する例を示す。車両ユーザが図９のステップＳ２０において携帯端末５を操作しキャンセルボタンＢ３を押下して中断要求すると、この中断要求はウェブサーバ３及びＤＣＭ２１を通じてゲートウェイ装置１０に与えられる。ゲートウェイ装置１０は、この中断要求を受け付けると、図９のステップＳ２１においてリプログスレーブＲＳに中断コマンドを送信することで中断要求する。このとき、リプログスレーブＲＳは、プログラム更新処理を走行に影響しない状態で停止し、又は、プログラム更新処理を初期状態として、走行可能状態に戻して書換えを中断する。
　また、ゲートウェイ装置１０は中断要求を受け付けた後、図９のステップＳ２２においてリプログスレーブＲＳから中断完了した旨の中断完了信号を受信すると、図９のステップＳ２３において走行可否信号として走行可能通知信号をＤＣＭ２１及びウェブサーバ３を通じて携帯端末５に送信したり、ナビＥＣＵ３０に送信したりする。携帯端末５は、この走行可能通知信号を受け付けると、図１３に示すように、走行可能であることを示す走行可否情報Ｘ２を携帯端末５の表示器５ａに表示させる。これにより、車両ユーザは走行可能であることを判断できる。また、ゲートウェイ装置１０は走行系バス１３に走行可能通知信号を送信する。すると走行系バス１３に接続されたＥＣＵ２６～２９は走行可能であると判断でき、車両走行可能処理ルーチンに処理を戻す。
　前述した例では、携帯端末５がウェブサーバ３を通じて中断要求する例を示しているが、車両内で中断要求する場合には、他のＥＣＵ（例えばナビＥＣＵ３０）が中断要求をゲートウェイ装置１０に送信する。これにより処理が中断されることになる。
　＜まとめ＞
　本実施形態によれば、ゲートウェイ装置１０が、走行可否情報Ｘ２を携帯端末５に表示指令しているため、表示器５ａにより車両ユーザに運転可否を適切に報知できる。これにより車両ユーザは走行可否を確認することができ、運転可否を即座に判断できる。例えば、システム１が走行に直接影響しない部分のリプログラム実行している場合には、運転可能であることを報知できるため、車両ユーザに少しでも素早く運転してもらうことができる。
　また、例えば車両ユーザが緊急であると判断した場合には、車両ユーザがキャンセルボタンＢ３を押下することでゲートウェイ装置１０が中断要求を受け付ける。このとき、ゲートウェイ装置１０がこの中断要求を受け付けると中断コマンドを送信することで更新用ファイルの書換処理を中断要求する。このとき、緊急の場合においても、リプログスレーブＲＳは、プログラム更新処理を走行に影響しない状態で停止し、又は、プログラム更新処理を初期状態として、走行可能状態に戻して書換えを中断する。そして、ゲートウェイ装置１０は中断完了後に携帯端末５に走行可能となった旨を表示指令する。これにより、リプログラム途中であっても車両ユーザが誤って操作することがなくなり、遠隔書換えであっても車両ユーザが安全な状態で運転走行できる。なお、ゲートウェイ装置１０は、車両ユーザによる携帯端末５の操作を判断することで書換中断が必要となったときに、中断コマンドを送信するようにしても良い。
　ゲートウェイ装置１０は、リプログスレーブＲＳのＣＡＮＩＤ，接続バス又は名称を走行可否判定テーブルＴＡ１に照合して走行可否を判定し、この走行可否情報を携帯端末５に表示指令するときには、表示器５ａがこの走行可否情報Ｘ２を表示するため、車両ユーザは走行可否情報Ｘ２を即座に確認できる。
　ゲートウェイ装置１０は、走行可否判定テーブルＴＡ１に記憶されたリプログスレーブＲＳに対応したＥＣＵの走行可否が走行可であると判定されたことを条件としてリプログスレーブＲＳにリプログラム実行指令すると、リプログラム処理を待機する必要なく即座に実行できる。
　ゲートウェイ装置１０は、リプログスレーブＲＳ、又は、リプログスレーブＲＳを構成するＥＣＵ以外の他のＥＣＵから走行可否信号を受信すると当該走行可否信号に係る走行可否情報Ｘ２を携帯端末５等に表示指令する。このため、車両ユーザは走行可否情報Ｘ２を確認できる。
　図１４に図１１に代わる表示画面を変形例として示すが、リプログラムを開始する前に、例えば更新開始後の待機時間を表示するようにしても良い。すなわち、図１４に示すように、ゲートウェイ装置１０の表示指令に応じて、携帯端末５は「更新開始後、走行するにはｘ０秒待機必要です。」という残余時間情報Ｘ３ｂを携帯端末５の表示器５ａに表示させても良い。
　＜変形例＞
　以下、ユーザが車両に乗車した状態においてリプログラム開始指示する場合について説明する。前述では、ユーザが車両の外部からエンジンを始動しリプログラム指示する形態を示したが、ユーザが乗車した状態においてキースイッチ（又はプッシュボタン）を操作しエンジンを始動した場合であっても適用できる。
　例えば、図８のステップＳ９において判定される乗車／降車状態の条件Ａ１～Ａ５のうち何れかは必要に応じて設ければ良いが、例えば着座センサ、侵入センサを装備していない車両も存在する。このため条件Ａ１を排除した場合について考慮する。
　このような場合、図８のステップＳ９の乗車／降車状態は、条件Ａ２～Ａ５を満たしたときに判定条件が成立することから、ユーザがたとえ車両に乗車していたとしても、例えばドアロックをロック状態にすることでドアロック条件Ａ３を満たし、シフトレバーやパーキングブレーキを前述した所定の状態に保持することで当該条件Ａ４を満たし、車両電源条件Ａ２や時間条件Ａ５を満たしていれば、ステップＳ９の乗車／降車状態の条件を満たすことになる。
　ユーザが、車内のキースイッチ、プッシュボタンの操作に応じてエンジンを始動した後、表示器４６の操作部４６ｂを操作しリプログラム指示することが想定される。リプログラム開始するためには、図８のステップＳ９、Ｓ１０を満たす必要があることから、ユーザが例えばステップＳ９の条件Ａ３、Ａ４等を意図的に満たすように車両装備（例えばシフトレバー、ドアロック、パーキングブレーキ）を操作することでステップＳ９の条件が成立する。この場合、図８のステップＳ１１において、リプログラム実行指令がリプログスレーブＲＳに出力される。ユーザが乗車していることから、この後、ユーザが車両装備について様々な操作をしてしまうと、車両状態が変化しリプログラムが失敗したりすることも想定される。
　このようなことを考慮した場合、特にゲートウェイ装置１０が図８のステップＳＢ、ＳＣにおいて安定状態保持要求をリプログスレーブＲＳや他のＥＣＵに出力する処理を設けることが望ましい。すると、各ＥＣＵ２２～３１は、車両状態を安定的に保持することができ、特にユーザによる車両操作部（操作部４６ｂ、キースイッチ又はプッシュスイッチ、シフトレバー、ハンドル、アクセル等）の誤操作、当該誤操作に基づく車両誤発進、リプログラム処理失敗、ユーザの車外への脱出、等を未然に防ぐことができる。
　また同様に、ステップＳ１０の判定条件Ａ１０～Ａ１６のうち何れかは必要に応じて設ければ良い。また、プログラム更新処理の状況を車載表示装置となる表示器４６の表示画面に表示させる場合にも同様に適用できる。
　（第２実施形態）
　図１５から図１９は第２実施形態の追加説明図を示している。本実施形態では、進捗表示指令処理、進捗判定処理に特徴を備えているため、この進捗表示指令処理、進捗判定処理について説明する。第１実施形態に示したように、リプログスレーブＲＳは更新用ファイルを受信するとリプログラム処理を実施する。
　本実施形態に係る進捗表示指令処理、進捗判定処理は、リプログマスタＲＭとなるゲートウェイ装置１０が行う処理であり、前述のリプログスレーブＲＳがリプログラム処理を行っている最中にも並行して行われる処理である。
　本実施形態においても、ゲートウェイ装置１０がリプログマスタＲＭとして機能する形態を示す。本実施形態に係る携帯端末５は、ＧＰＳ信号を受信するＧＰＳ受信機を搭載しており、このＧＰＳ受信機に基づいて位置特定する位置特定機能を備える。
　まず図１５のＵ１に示すようにゲートウェイ装置１０は報知媒体を決定する。この報知媒体は、例えば各種ＥＣＵに接続される表示器４６、携帯端末５、例えばゲートウェイ装置１０に搭載される例えばＬＥＤ３８などの表示器、など各種の表示媒体を示す。図１６に報知媒体の決定方法の流れをフローチャートで示す。
　この図１６に示すように、ゲートウェイ装置１０が、ステップＶ１において携帯端末５の車両からの距離を特定する。例えば、ゲートウェイ装置１０は、携帯端末５の位置特定機能によりこの現在位置を受信し、この現在位置とナビＥＣＵ３０により特定される現在位置とを比較し、携帯端末５が車両周辺に存在しているか否かを判定する。また、例えば近距離無線技術（例えば通信可能範囲１０～１００ｍ程度）により通信確立しているか否かを判定材料としても良く、例えばブルートゥース技術を用いた場合にはペアリングしたか否かを判定し、この判定結果に基づいて車両周辺に存在しているか否かを判定しても良い。
　そしてゲートウェイ装置１０は、携帯端末５が車両周辺に存在しないと判定したときにはステップＶ２にてＮＯと判定し、ステップＶ３において報知媒体をユーザの所持する携帯端末５に決定する。逆に、ゲートウェイ装置１０は、携帯端末５が車両周辺に存在していると判定したときにはステップＶ２にてＹＥＳと判定し、ゲートウェイ装置１０は、ステップＶ４においてユーザが乗車しているか降車しているか特定する。例えば、このとき、ゲートウェイ装置１０は、前述実施形態に示したように車室内に予め設置された着座センサ又は侵入センサを用いて特定すると良い。
　ゲートウェイ装置１０は、ステップＶ５において運転者が乗車中であると判定したときには、ステップＶ６において報知媒体を車載表示装置に決定する。この車載表示装置は表示器４６を表すものであり、ＣＩＤ、ＨＵＤ、インストメントパネルなど運転者が存在すると判定された車内から直接視認可能な位置に設置されている表示装置である。このため、運転者が、乗車中であればこれらの車載表示装置の表示画面に表示された情報を即座に確認できる。
　逆に、ゲートウェイ装置１０は、ステップＶ５において運転者が乗車中でないと判定したときには、ステップＶ７において報知媒体をユーザの携帯端末５と、ＬＥＤ３８とに決定する。このとき、ゲートウェイ装置１０は、ステップＶ７において例えばＬＥＤ３８に決定したときには、進捗状況Ｘ１が０％に近いときには点滅周期を長くし、進捗状況Ｘ１が１００％に近いときには徐々に点滅周期を短くすると良い。また、ＬＥＤ３８の色を変化させても良い。このため、運転者が乗車中でなくても、車両ユーザ等はこれらの携帯端末５の表示器５ａ又はＬＥＤ３８の点灯／点滅状態を確認することで即座に情報を確認できる。
　例えば、ゲートウェイ装置１０は携帯端末５に表示させることを決定したときには図１７Ａに示す内容を表示させるように携帯端末５に指令する。ここでは、第１実施形態と同様に、図１７Ａに示すように、携帯端末５は、進捗状況Ｘ１、走行可否情報Ｘ２、キャンセルボタンＢ３を表示器５ａに表示させる。初期状態では、進捗状況Ｘ１は０％を示しており、走行可否情報Ｘ２は走行可能であることを示しており、キャンセルボタンＢ３は更新中断を受付けるように表示している。
　ゲートウェイ装置１０が報知媒体を決定した後には、図１５の処理に戻り、ステップＵ２においてリプログラムが進行途中であるか完了したかを判定する。ゲートウェイ装置１０が、図１５、図１６に示す一連の処理を行うときに、第１実施形態に示した処理が並行して行われているが、ゲートウェイ装置１０はリプログラムが進行途中であるときには、ステップＵ３において進捗状況を算出する。
　全体シーケンスとしては、ゲートウェイ装置１０は更新用ファイルをリプログスレーブＲＳに送信し、このリプログスレーブＲＳから応答信号を受信することで送信終了更新用ファイルを把握することができる。
　車載ダイアグ通信仕様に準拠した方法を説明する。ゲートウェイ装置１０は、乗用車のＥＣＵのダイアグ通信仕様であるISO14229で規定されたＵＤＳ（Unified Diagnostic Services）等の規格に準拠してリプログラム時における更新用ファイルをメッセージに分割してリプログスレーブＲＳに送信する。このときゲートウェイ装置１０は、リプログスレーブＲＳに対し、データ転送開始を示すサービスＩＤ（ＳＩＤ３４）を送信し、その後、実データ転送を示すサービスＩＤ（ＳＩＤ３６）と共にデータを複数回送信し、データ転送終了を示すサービスＩＤ（ＳＩＤ３７）を送信する。
　このためゲートウェイ装置１０のマイコン３６はリプログスレーブＲＳに送信した送信データ量に応じて進捗状況を判定することができる。具体例としては、ゲートウェイ装置１０のマイコン３６が更新用ファイルの書換データ量の全体量をリプログスレーブＲＳに送信した送信データ量で除して進捗割合を進捗状況として算出すると良い。
　このとき、実データ転送を示すＳＩＤ３６の繰り返し回数が全体の回数に対して何パーセント進行したかに応じて進捗状況を判定しても良いし、また、これらの一連のサービスＩＤ（ＳＩＤ３４、ＳＩＤ３６、ＳＩＤ３７）の送信繰り返し回数を計数し、この送信繰り返し回数に応じて進捗状況を判定しても良い。このような場合、ゲートウェイ装置１０は、各ＥＣＵ２２～３１の更新用ファイルの記憶用メモリの例えば１Ｍbyteの記憶領域に対し、２５６byte、１kbyteなど単位ブロック（＝セクタ）毎に分けて更新用ファイルを送信するが、この送信データ量について、ブロックを単位として全体ブロックに対しどれだけのブロックを送信したか、により進捗状況を判定しても良い。すなわちブロック（＝セクタ）を単位として進捗状況を判定しても良い。
　また、リプログスレーブＲＳに送信処理された更新用ファイルの個数が更新用ファイルの全体個数の何パーセントとなっているか、すなわち更新用ファイルの個数を単位として進捗状況を判定しても良い。また、例えばリプログスレーブＲＳが全体のＥＣＵ２２～３１のうちの一部の幾つか複数のＥＣＵを対象とされているときには、ゲートウェイ装置１０は何個目のＥＣＵを対象として更新用ファイルを送信しているかを判定し進捗状況を判定しても良い。すなわちＥＣＵへの送信終了個数に応じて進捗状況を判定しても良い。
　また、リプログスレーブＲＳとなるＥＣＵ２２～３１は図３に示すマイコン４１を主として構成されているものの、当該マイコン４１は、主のメインマイコンとサブマイコンとを備え全体で複数個備えて構成されている場合もある。このような場合、これらのメインマイコン、サブマイコン毎に更新用ファイルをリプログラムする場合もあり、このような場合には、メインマイコン、サブマイコンをそれぞれ１つのマイコンと見做し、全体の更新対象となるメインマイコン、サブマイコンの個数に対し、何パーセントのマイコンに記憶される更新用ファイルを送信したかに応じて進捗状況を判定しても良い。
　さらに、更新用ファイルのデータ量に応じて書換完了予測時間を算出し、この算出された書換完了予測時間に対する書換開始からの時間を用いて進捗状況を判定しても良い。これらの進捗状況の判定方法は組み合わせて用いることもできる。これにより詳細な進捗状況Ｘ１を取得でき、表示器５ａ、４６等へのパーセンテージの表示粒度を細かくして進捗表示できる。
　そして、ゲートウェイ装置１０は、このように進捗状況を判定した後、ステップＵ４において走行可否を判定する。ゲートウェイ装置１０は、ステップＵ４においてリプログスレーブＲＳのＣＡＮＩＤ、接続バス、名称等の関係情報を走行可否判定テーブルＴＡ１に照合して走行可否を読み出して判定し、この判定処理後に携帯端末５に表示指令し、図１７Ｂに示すように、ステップＵ５において、進捗状況Ｘ１と共に走行可否情報Ｘ２を携帯端末５の表示器５ａに表示させる。
　ゲートウェイ装置１０は、ステップＵ４において判定された走行可否が走行不可とされているときには、ステップＵ７において前述の進捗状況に基づいて走行可となるまでの時間を算出し、ステップＵ８において走行可となるまでの残余時間を表示する。この残余時間は、全体処理量に対しての処理量（例えば前述の送信データ量、受信データ量、更新用ファイルの個数、ブロック個数、ＥＣＵ個数の割合等）を減じた残余処理量に基づいて算出される。
　このとき、例えば走行不可となったときには、図１７Ｂに画面表示イメージを示すように、ゲートウェイ装置１０は、前述の進捗状況Ｘ１、走行可否情報Ｘ２と共に、走行可となるまでの残余時間情報Ｘ３ｂを表示器５ａに表示する。その後、リプログラムが完了すれば、リプログスレーブＲＳがゲートウェイ装置１０にこの旨を通知するため、ゲートウェイ装置１０は携帯端末５にこの旨を通知する。これにより携帯端末５は表示器５ａにリプログラム完了した旨を表示して終了する。
　また、図１７Ａ、図１７Ｂに示したように、ユーザによる強制中断用のキャンセルボタンＢ３を表示器５ａの表示画面に表示させるようにすると良い。ユーザはこのキャンセルボタンＢ３を押下することで携帯端末５のマイコン５０はこの要求を受付ける。すると、携帯端末５はこの要求をゲートウェイ装置１０に伝達する。これにより、ゲートウェイ装置１０はリプログラム用の更新ファイルの送信処理を中断する。
　例えば、ゲートウェイ装置１０は、例えば走行系バス１３に接続されるＥＣＵ２６～２９をリプログラムしているとき、リプログラムの中断を不可と判定したときには、このキャンセルボタンＢ３をアンイネーブル状態とし、中断可能なときにこのキャンセルボタンＢ３をイネーブル状態とすると良い。
　図１８は中断時におけるゲートウェイ装置１０及び携帯端末５の処理内容の流れを示す。携帯端末５がキャンセルボタンＢ３を受け付けると、このキャンセルボタンＢ３の押下情報が携帯端末５からＤＣＭ２１を通じてゲートウェイ装置１０に通知される。ゲートウェイ装置１０は、ステップＷ２において走行に影響が出ない状態で書換中止する。すなわち、リプログスレーブＲＳは前述実施形態に示したように走行可否情報を送信するが、ゲートウェイ装置１０はこの走行可否情報を受信し、ゲートウェイ装置１０はこのときの走行可否情報が走行可となるまで待機し、そして、走行可となったタイミングで書換処理を中止する。
　ゲートウェイ装置１０のＣＰＵ３２はこの書換中止情報をフラッシュメモリ３５などの記憶媒体に記憶する。この場合、ゲートウェイ装置１０は、このとき更新用ファイルの書換処理を途中で停止しても安全走行可能となるタイミング、又は、リプログラム処理を停止し書き換え前のプログラムに戻すタイミング、までの時間を走行に影響が出なくなる程度の時間として算出し、この時間を携帯端末５に通知する。すると図１７Ｃに示すように、携帯端末５は、この通知された時間情報Ｘ３ｃを、「キャンセルされました。」などのキャンセルボタンＢ３の受付メッセージＸ３ｄと共に表示器５ａに表示させる。
　携帯端末５は、算出された時間情報Ｘ３ｃをタイマなどを用いてカウントし、この時間が経過すると、ステップＷ３において走行可否情報Ｘ２を「否」から「可」に変更表示させると共に「走行可能です」などの走行可能メッセージＸ３ｅを表示器５ａに表示させる。図１７Ｄ参照。
　なお、携帯端末５が走行可能メッセージＸ３ｅを表示器５ａの表示画面に表示させるタイミングは、ゲートウェイ装置１０が走行可となる走行可否信号をリプログスレーブＲＳ又は他のＥＣＵ（例えば走行系バス１３に接続されるＥＣＵ２６～２９）から受付けた後であることが望ましい。すなわち、ゲートウェイ装置１０は、携帯端末５に時間情報Ｘ３ｃを通知した後、リプログスレーブＲＳから受け付ける走行可否情報に基づいて走行可否を判定し、その走行可否情報が走行可となったタイミングで携帯端末５にこの旨を通知し、その後、携帯端末５が走行可能メッセージＸ３ｅを表示器５ａに表示させることが望ましい。すると、ユーザは走行可能であるということを理解でき、ユーザは安全に車両運転を開始できる。
　その後、通常通りユーザが車両を運転しエンジン停止した後、ゲートウェイ装置１０が主となってリプログラム処理を開始する。例えば、ゲートウェイ装置１０は再度エンジン起動したときにフラッシュメモリ３５を参照し書換中止情報が記憶されていることを確認すると、リプログラム処理を開始する。
　前述と同様に、ゲートウェイ装置１０は、走行可となるまでの時間を算出し、ＤＣＭ２１を通じて走行可となるまでの残余時間情報Ｘ３ｂを携帯端末５に通知する。すると携帯端末５は、図１７Ｅに示すように、走行可否情報Ｘ２を「可」から「否」に切り替えて表示器５ａに表示させると共に、残余時間情報Ｘ３ｂを表示器５ａに表示させる。
　そして、ゲートウェイ装置１０は、リプログラムが完了したことをリプログスレーブＲＳから受け付けると、フラッシュメモリ３５に記憶された書換中止情報をクリアすると共に、携帯端末５にこの完了情報を通知し、携帯端末５が進捗状況Ｘ１を１００％として表示させると共に、走行可否情報Ｘ２を「否」から「可」として走行可能であることをユーザに知らせる。図１７Ｆ参照。これにより、ユーザはリプログラム完了したことを認識できると共に、安全に車両走行可能であるということを理解でき運転開始できる。
　本実施形態によれば、ゲートウェイ装置１０が表示指令することで携帯端末５は走行可否情報Ｘ２を表示器５ａに表示させているため、車両ユーザに走行可否を適切に知らせることができる。ユーザは運転可能であるか否かを判定でき、これにより安全性を確保できる。
　また、ゲートウェイ装置１０が表示指令することで携帯端末５は進捗状況Ｘ１を表示器５ａに表示させているため、車両ユーザに進捗状況Ｘ１を適切に知らせることができる。車両ユーザは進捗状況が報知媒体を通じて知らされたときにはプログラム更新終了までの時間を大よそ把握することができる。したがって、車両ユーザはプログラム更新中か判断することができ、誤って運転開始してしまうことを極力防止できる。これにより安全性を確保できる。
　例えば、車両ユーザが進捗状況Ｘ１を把握できても、表示粒度がリプログラム中又はリプログラム終了の２段階などと荒い場合には、車両ユーザはリプログラム完了しているかどうかしか把握できない。このような場合、リプログラム時間が長い場合にリプログラムが失敗したと判断してしまう恐れがある。
　本実施形態においては、ゲートウェイ装置１０がリプログスレーブＲＳに送信した送信データ量に応じて進捗状況を判定したり、ＥＣＵの送信終了個数に応じて進捗状況を判定したり、送信処理された更新用ファイルの個数に応じて進捗状況を判定したり、書換完了予測時間を算出し、書換完了予測時間に対する書換開始からの時間を用いて進捗状況を判定している。このため、ゲートウェイ装置１０が表示指令することに応じて、携帯端末５は進捗表示の粒度をパーセンテージ表示するなどのように極力細かくして正常に進行していることを通知できる。このため、車両ユーザは、安心してリプログラム終了を待機できる。
　また、ゲートウェイ装置１０が表示指令することで携帯端末５は残余時間情報Ｘ３ｂを表示器５ａに表示させているため、ユーザは、どの程度待機すれば車両を運転可能であるかを的確に判断できる。ユーザは待ち時間を有効活用できる。
　また、携帯端末５はキャンセルボタンＢ３を表示器５ａに表示させ、このキャンセルボタンＢ３の押下を受付けるように構成されているため、ユーザは中断したいタイミングで中断指令できる。
　また、ユーザによりキャンセルボタンＢ３が押下され受け付けたとしても、ゲートウェイ装置１０及びリプログスレーブＲＳは走行に影響が出ない状態となり走行可と判定されるまでリプログラムを停止せず継続しているため、ユーザは車両走行に影響が出ない程度のプログラム書換状態において運転することができ安全に運転できる。
　図１９は本実施形態に係るリプログマスタＲＭとなるゲートウェイ装置１０の処理内容をフローチャートにまとめて示している。ゲートウェイ装置１０は、外部からリプログラム指示を受け付けると、ゲートウェイ装置１０はステップＹ１においてリプログラムを実行するが、その後ステップＹ２において進捗状況Ｘ１を算出し判定する。
　そして、ゲートウェイ装置１０はステップＹ３において走行可否を判定し、ステップＹ４においてこれらの走行可否情報Ｘ２、進捗状況Ｘ１を予め設定された表示器（例えば表示器５ａ、ＬＥＤ３８）に表示指令する。進捗状況Ｘ１をユーザ提示することで、ユーザは詳細な進捗状況Ｘ１を把握することができ、書換中に誤って操作することが無くなり、遠隔書換指令しても安全に書換可能となる。
　そして、ゲートウェイ装置１０は、リプログラムを完了するまでステップＹ１から処理を繰り返す。リプログラム完了の判断方法はリプログスレーブＲＳからのリプログラム完了情報を受付けて完了と見做したタイミングでリプログラム完了したと判断することが望ましいが、更新用ファイルをリプログスレーブＲＳに送信完了した時点から所定時間経過したタイミングをリプログラム完了したと判断しても良い。本実施形態では、このようにゲートウェイ装置１０が主となって進捗状況、走行可否を判定し、表示器（例えば５ａ）に表示指令している。このような形態によれば、ゲートウェイ装置１０が情報を統括制御できる。
　（第３実施形態）
　図２０及び図２１は第３実施形態の追加説明図を示している。図２０及び図２１は本実施形態に係るリプログマスタＲＭとなるゲートウェイ装置１０及びリプログスレーブＲＳの処理内容をフローチャートにより示している。これらの図２０及び図２１に示すように、図１９に示したリプログマスタＲＭとなるゲートウェイ装置１０の処理内容をリプログスレーブＲＳに分担しても良い。
　図２０に示すように、リプログスレーブＲＳが主となりステップＴ１において進捗状況を算出して判定し、ステップＴ２において走行可否を判定し、ステップＴ３においてリプログマスタＲＭに進捗状況、走行可否の情報を送信する。このステップＴ２において、リプログスレーブＲＳは、ゲートウェイ装置１０から受信した更新用ファイルの受信データ量に応じて進捗状況を判定すると良い。具体例としては、リプログスレーブＲＳが、受信された受信データ量を予めゲートウェイ装置１０から受信した更新用ファイルのデータ全体量で除して進捗割合を算出して進捗状況を判定しても良い。このとき、実データ転送を示すＳＩＤ３６の繰り返し回数が全体の回数に対して何パーセント進行したかに応じて進捗状況を判定しても良い。
　これらの一連の処理をリプログラム完了するまで繰り返す。また、リプログマスタＲＭとなるゲートウェイ装置１０は、ステップＹ１５においてリプログスレーブＲＳから進捗状況、走行可否情報を取得し、ステップＹ１６において表示器（例えば５ａ）に表示指令する。このとき、リプログマスタＲＭとなるゲートウェイ装置１０はサービスＩＤ（ＳＩＤ２２）を出力することでリプログスレーブＲＳから定期的に進捗情報を取得することができる。
　このような形態によれば、ゲートウェイ装置１０とリプログスレーブＲＳとの間で処理負担を分担できる。リプログラムの完了タイミングをリプログスレーブＲＳの完了情報に基づいて判定しているため、リプログラム完了タイミングを正確に判定できる。
　前述実施形態及び本実施形態に示したように、走行可否の判定処理、進捗状況の判定処理は、リプログマスタＲＭ、リプログスレーブＲＳの何れが行っても良い。
　（他の実施形態）
　本開示は、前述した実施形態に限定されるものではなく、種々変形して実施することができ、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。例えば以下に示す変形又は拡張が可能である。
　前述した形態では、リプログマスタＲＭ又はリプログスレーブＲＳが進捗状況を取得し、表示器４６に表示させる形態を説明したが、これに限定されるものではなく、センタ装置４のウェブサーバ３側に進捗状況を送信し、ユーザがこのウェブサーバ３に携帯端末５の操作部５ｂを操作してアクセスすることで進捗状況Ｘ１を確認するようにしても良い。この場合、ウェブサーバ３が報知媒体として構成される。前述の走行可否情報Ｘ２についても同様である。
　前述した実施形態のテーブルＴＡ１に設定されたＣＡＮＩＤやＥＣＵの名称と走行可否との関係は一例に過ぎず、これに限定されるものではない。
　前述実施形態においては、ボディ系バス１２、走行系バス１３、マルチメディア系バス１４等のバス１２～１４に各系統のＥＣＵ２２～３１が接続されている形態を示しているが、ＥＣＵの種類は前述実施形態で説明したものに限られるものではない。
　前述実施形態においては、ボディ系バス１２、走行系バス１３、マルチメディア系バス１４等のバス１２～１４に各系統のＥＣＵ２２～３１が接続されている形態を示しているが、これに限定されるものではない。例えば、これらのＥＣＵ２２～３１の一部又は全部が一つのバスに接続されていても良い。特に前述実施形態ではボディ系バス１２に接続されたＥＣＵ２２～２５とマルチメディア系バス１４に接続されたＥＣＵ３０、３１とは、同じバスに接続されていても良い。また、ＥＣＵ２２～３１の接続バスの系統を変更しても良い。また各ＥＣＵ２２～３１の少なくとも２つ以上の機能は１つのＥＣＵに統合して構成しても良い。
　前述実施形態の車両用システム１においては、ゲートウェイ装置１０をリプログマスタＲＭとして用いた形態を示したが、これに限定されるものではない。例えば、リプログスレーブＲＳとして機能するＥＣＵ以外のＥＣＵのうち何れか、携帯端末５、及び、モニタツール４８の何れか一つの構成を、リプログマスタＲＭとして機能させるようにしても良い。
　前述実施形態の車両用システム１においては、ゲートウェイ装置１０が走行可否判断テーブルＴＡ１を備えた形態を示しているが、これに限定されるものではない。例えば、ＥＣＵ２２～３１又は携帯端末５のうちの何れかに走行可否判断テーブルＴＡ１を記憶させ、システム１内でこの走行可否判断テーブルＴＡ１を共有する構成であってもよい。
　ＬＥＤ３８はゲートウェイ装置１０に接続されている形態を示したが、他のＥＣＵ２２～３１に接続されていても良い。表示器４６はナビＥＣＵ３０に接続されている形態を示したが、他のＥＣＵ２２～２９、３１に接続されていても良い。
　前述説明した各種センサ（例えば、パーキングブレーキのオン／オフ状態の検出センサ、シフトレバー位置センサ、ガソリンの残量センサ）は、前述説明した対象ＥＣＵに接続されていなくても良い。この各種センサ（例えば、パーキングブレーキのオン／オフ状態の検出センサ、シフトレバー位置センサ、ガソリンの残量センサ）が前述以外の他のＥＣＵに接続されており、バス１１～１５を通じて通信することで、ゲートウェイ装置１０やその他のＥＣＵがこれらのセンサ情報を取得するようにしても良い。
　報知媒体となる表示器５ａ、４６を選択して各種メッセージを表示する形態を示したが、報知媒体は前述した実施形態に限られるものではなく、例えばナビＥＣＵ３０やオーディオＥＣＵ（図示せず）を通じて車両に搭載されたスピーカを通じて音を報知させる形態に適用しても良い。
　フラッシュメモリ３５、４５を記憶部として構成した形態を示したが、これに限定されるものではない。例えば、ＲＡＭなどの揮発性メモリ、ＥＥＰＲＯＭなどの不揮発性メモリを記憶部として適用しても良い。前述した複数の実施形態を組み合わせて構成しても良い。
　図１６のステップＶ２において携帯端末５が車両周辺に存在すると判定したことを前提として車両ユーザの乗車／降車状態を特定する実施形態を示したが、これに限定されるものではない。すなわちステップＶ２は必要に応じて設ければ良い。
　（本開示と前述実施形態との対応関係の説明）
　本開示と前述実施形態との対応関係を説明する。携帯端末５、ゲートウェイ装置１０、リプログスレーブＲＳ以外のＥＣＵ、モニタツール４８の何れかは、リプログマスタＲＭを構成する。ＥＣＵ２２～３１の何れか一つ以上のＥＣＵはリプログスレーブＲＳを構成する。リプログマスタＲＭのマイコン３６又は４１は走行可否を取得する取得部として構成される。また、リプログマスタＲＭのマイコン３６又は４１は車両乗員の乗車／降車状態を判定する乗車降車状態判定部として構成される。また、リプログマスタＲＭのマイコン３６又は４１はエンジンの動作／非動作状態を判定する車両状態判定部として構成される。また、リプログマスタＲＭのマイコン３６又は４１は、車両ユーザにより操作される端末５、４６から中断要求を受付けたときにはリプログスレーブＲＳに中断コマンドを送信し更新用ファイルの書換処理を中断要求する中断要求部として構成される。また、リプログマスタＲＭのマイコン３６又は４１はリプログスレーブＲＳにリプログラム実行指令するリプログラム実行指令部として構成される。また、リプログマスタＲＭのマイコン３６又は４１は、リプログラム実行指令部がリプログラム実行指令をリプログスレーブＲＳに送信するときに、リプログスレーブＲＳを含む全てのＥＣＵにリプログラムの可否状態及び走行可否の状態の維持を要求する安定状態維持要求部として構成される。
　また、リプログマスタＲＭのマイコン３６又は４１は、走行可否信号に係る情報を報知媒体（携帯端末５、ＬＥＤ３８、表示器４６）に報知指令する報知指令部として構成される。リプログマスタＲＭのマイコン３６又は４１は車両ユーザに操作された端末５の車両からの距離を特定する距離特定部として構成される。このときリプログマスタＲＭのマイコン３６又は４１は距離特定部により特定された距離に応じて端末が車両周辺に存在するか否かを判定する存否判定部として構成される。リプログマスタＲＭのマイコン３６又は４１は乗車降車状態特定部として構成される。ウェブサーバ３、表示器５ａ、ＬＥＤ３８、表示器４６は走行可否又は進捗状況を報知する報知媒体として構成される。特に表示器４６は車載表示装置として構成される。フラッシュメモリ３５、４５等は記憶部として構成される。
　（その他の観点での説明）
　また、各実施形態において、リプログマスタＲＭは、進捗状況を判定する進捗判定部、進捗状況を報知指令する進捗報知指令部、進捗状況を報知制御する進捗報知制御部、進捗状況を表示制御する進捗表示制御部、進捗状況を取得する進捗状況取得部、車両の走行可否を判定する走行可否判定部、のうち少なくとも一部の機能を実現するように構成される。進捗判定部、走行可否判定部としての機能は、リプログスレーブＲＳが備えていても良い。
　なお、図面中、１は車両用システム、３はウェブサーバ（報知媒体）、ＲＭはリプログマスタ（車両用装置）、ＲＳはリプログスレーブ、３６はマイコン（判定部、取得部、報知指令部、リプログラム実行指令部、乗車降車状態判定部、車両状態判定部、距離特定部、存否判定部）、４１はマイコン（判定部、取得部、報知指令部、リプログラム実行指令部、乗車降車状態判定部、車両状態判定部）、５は携帯端末（報知媒体、端末）、３５はフラッシュメモリ（記憶部）、３８はＬＥＤ（報知媒体）、４５はフラッシュメモリ（記憶部）、４６は表示器（車載表示装置、端末、報知媒体）、ＴＡ１は走行可否判定テーブル、を示す。
　例えば、一つの構成要素が有する機能を複数の構成要素に分散させたり、複数の構成要素が有する機能を一つの構成要素に統合させたりしてもよい。また前述の実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、前述の２以上の実施形態の構成の一部又は全部を互いに組み合わせて付加しても置換しても良い。なお、特許請求の範囲に記載した括弧内の符号は、本開示の一つの態様として、前述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。
　本開示は、前述した実施形態に準拠して記述されたが、本開示は当該実施形態や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

Claims (13)

  1. 　複数の車両用電子制御装置（以下ＥＣＵと称す）のうち記憶されたプログラムの更新用ファイルが更新対象とされたＥＣＵによるリプログスレーブ（ＲＳ）と、
    　車両ユーザにより操作可能な端末（５、４６）からの要求に応じて前記更新用ファイルを前記リプログスレーブに送信し当該リプログスレーブに記憶されるプログラムを更新制御するリプログマスタ（ＲＭ）と、
    　前記更新用ファイルを前記リプログスレーブに書換えるときに車両の走行可否を判定する判定部（ＲＭ、３６、Ｓ９、Ｓ１０、Ｙ３、ＲＳ、４１、Ｓ１２、Ｙ１２）と、
    　を備えた車両用システム（１）に構成され、前記リプログマスタ（ＲＭ）として機能する車両用装置（ＲＭ）であって、
    　前記判定部により判定された前記走行可否を取得する取得部（３６、Ｓ１２、Ｕ４；４１、Ｙ１５）と、
    　前記取得部により取得された前記走行可否の情報を報知媒体（３、５ａ、３８、４６）に報知指令する報知指令部（３６、Ｓ１４、Ｕ５；４１、Ｙ１６）と、
    　を備える車両用装置。
  2. 　前記判定部（ＲＭ、３６、Ｓ９、Ｓ１０；４１）をさらに備える請求項１記載の車両用装置。
  3. 　車両ユーザにより操作される前記端末から中断要求を受付けたとき、または、車両状態がユーザ操作により書換中断が必要になったときには前記リプログスレーブに中断コマンドを送信し前記更新用ファイルの書換処理を中断要求する中断要求部（３６、Ｓ２１）、をさらに備える請求項１または２記載の車両用装置。
  4. 　前記ＥＣＵの走行可否と、当該ＥＣＵのＣＡＮＩＤ，接続バス又は名称とを対応づけた関係情報を走行可否判定テーブル（ＴＡ１）として記憶する記憶部（３５；４５）をさらに備え、
    　前記判定部は、前記リプログスレーブのＣＡＮＩＤ，接続バス又は名称を前記記憶部の走行可否判定テーブルに照合して走行可否を判定し、
    　前記報知指令部は、前記判定部により判定された走行可否の情報を報知媒体に報知指令する請求項１から３の何れか一項に記載の車両用装置。
  5. 　前記判定部により前記走行可否判定テーブルに記憶された前記リプログスレーブに対応したＥＣＵの走行可否が走行可であると判定されたことを条件として前記リプログスレーブにリプログラム実行指令するリプログラム実行指令部（３６、Ｓ１１；４１）をさらに備える請求項４記載の車両用装置。
  6. 　前記判定部（３６、ＳＡ；４１）は、前記リプログスレーブが走行系ネットワーク（Ｎ２）のバス（１３）に接続されているＥＣＵ（２６～２９）であるときには走行不可と判定する請求項１から３の何れか一項に記載の車両用装置。
  7. 　前記リプログスレーブにリプログラム実行指令するリプログラム実行指令部（３６、Ｓ１１：４１）をさらに備え、
    　前記リプログラム実行指令部がリプログラム実行指令を前記リプログスレーブに送信するときに、前記リプログスレーブを含む全てのＥＣＵにリプログラムの可否状態及び前記走行可否の状態の維持を要求する安定状態維持要求部（３６、ＳＢ、ＳＣ；４１）、をさらに備える請求項１から３の何れか一項に記載の車両用装置。
  8. 　前記判定部は、
    　車両乗員の乗車／降車状態を判定する乗車降車状態判定部（３６、Ｓ９；４１）と、
    　車両状態を判定する車両状態判定部（３６、Ｓ１０；４１）と、を備え、
    　前記安定状態維持要求部は、前記乗車降車状態判定部により車両乗員が乗車していないと判定されると共に、前記車両状態判定部により車両状態が所定条件を満たすと判定されたことを条件として前記リプログスレーブを含む全てのＥＣＵにリプログラムの可否状態及び前記走行可否の状態の維持を要求する請求項７記載の車両用装置。
  9. 　前記乗車降車状態判定部は、
    　前記車両乗員が車両内に存在していないこと（Ａ１）をＡ１とし、
    　車両用装置動作用のバッテリ電源（＋Ｂ）の電圧値が所定値以上であること（Ａ２）をＡ２とし、
    　ドアロックポジションがロック状態であること（Ａ３）をＡ３とし、
    　シフトポジションがパーキングで且つパーキングブレーキがオン状態であること（Ａ４）をＡ４とし、
    　さらに、前記リプログラムの開始タイミングから所定時間以内に前記Ａ１～Ａ４の条件を満たしていること（Ａ５）を含んで乗車／降車状態として判定する請求項８記載の車両用装置。
  10. 　前記車両用システムは、前記更新用ファイルを格納するファイルサーバ（２）と通信するＤＣＭ（２１）を備え、
    　前記車両状態判定部は、
    　前記リプログマスタ、前記ＤＣＭ、及び、前記リプログスレーブに何らかのダイアグの異常を生じていないこと（Ａ１０）、
    　前記リプログマスタ、前記ＤＣＭ、前記リプログスレーブの動作温度が適切な動作温度範囲内で動作していること（Ａ１１）、
    　前記リプログスレーブ又は当該リプログスレーブに関連するＥＣＵが使用されていないこと（Ａ１２）、
    　車両用装置動作用のバッテリ電源（＋Ｂ）の電圧値が所定値以上であること（Ａ１３）、
    　ガソリンの残量が充分であること（Ａ１４）、
    　車両ユーザによる確認を得たこと（Ａ１５）、及び、
    　前記リプログマスタの記憶部にリプログラム対象の更新用ファイルが格納されていること（Ａ１６）、を、前記所定条件として含み、車両状態が所定条件を満たすか否かを判定する請求項８または９記載の車両用装置。
  11. 　前記安定状態維持要求部が、前記リプログスレーブを含む全てのＥＣＵにリプログラムの可否状態及び前記走行可否の状態の維持を要求するときには、
    　各ＥＣＵのリプログラムの可否状態の維持（Ｃ１）、
    　エンジン始動／停止用のスイッチがユーザ操作されてもイグニッション電源（ＩＧ）又はアクセサリ電源（ＡＣＣ）の状態を保持し各ＥＣＵへの電源供給停止不能を維持（Ｃ２）、
    　キーレスエントリーに用いられるワイヤレスキー又はスマートキー等による無線操作指示を受けてもドアロック状態を維持（Ｃ３）、及び、
    　シフトポジションをパーキング状態に維持（Ｃ４）、を、要求する請求項８から１０の何れか一項に記載の車両用装置。
  12. 　複数の車両用電子制御装置（以下ＥＣＵと称す）のうち記憶されたプログラムの更新用ファイルが更新対象とされたＥＣＵによるリプログスレーブ（ＲＳ）と、
    　車両ユーザにより操作可能な端末（５、４６）からの要求に応じて前記更新用ファイルを前記リプログスレーブに送信し当該リプログスレーブに記憶されるプログラムを更新制御するリプログマスタ（ＲＭ）と、
    　前記更新用ファイルを前記リプログスレーブに書換えるときに車両の走行可否を判定する判定部（ＲＭ、３６、Ｓ９、Ｓ１０、Ｙ３、ＲＳ、４１、Ｓ１２、Ｙ１２）と、
    　を備えた車両用システム（１）に構成され、前記リプログマスタ（ＲＭ）として機能する車両用装置（ＲＭ）であって、
    　リプログラム実行指令するリプログラム実行指令部により実行指令された前記リプログスレーブ、又は、前記リプログスレーブを構成するＥＣＵ以外の他のＥＣＵから走行可否信号を受信すると当該走行可否信号に係る情報を報知媒体（５、３８、４６）に報知指令する報知指令部（３６、Ｓ１３、Ｓ１４；４１）、を備える車両用装置。
  13. 　前記報知指令部は、前記リプログスレーブ、又は、前記他のＥＣＵから複数の走行可否信号を受信したときには走行不可の情報を優先して報知媒体（５、３８、４６）に報知指令する請求項１２記載の車両用装置。
PCT/JP2017/014672 2016-06-09 2017-04-10 車両用装置 WO2017212771A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
DE112017002919.8T DE112017002919T5 (de) 2016-06-09 2017-04-10 Fahrzeugvorrichtung
CN201780035210.6A CN109313592A (zh) 2016-06-09 2017-04-10 车辆用装置
US16/211,437 US11685359B2 (en) 2016-06-09 2018-12-06 Vehicle device
US18/190,212 US20230234549A1 (en) 2016-06-09 2023-03-27 Vehicle device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016115307A JP6805559B2 (ja) 2016-06-09 2016-06-09 リプログマスタ
JP2016-115307 2016-06-09

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/211,437 Continuation US11685359B2 (en) 2016-06-09 2018-12-06 Vehicle device

Publications (1)

Publication Number Publication Date
WO2017212771A1 true WO2017212771A1 (ja) 2017-12-14

Family

ID=60577705

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/014672 WO2017212771A1 (ja) 2016-06-09 2017-04-10 車両用装置

Country Status (5)

Country Link
US (2) US11685359B2 (ja)
JP (1) JP6805559B2 (ja)
CN (1) CN109313592A (ja)
DE (1) DE112017002919T5 (ja)
WO (1) WO2017212771A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020059033A1 (ja) * 2018-09-19 2020-03-26 三菱電機株式会社 車載装置、更新決定方法及び更新決定プログラム
WO2020102471A1 (en) * 2018-11-15 2020-05-22 Solera Holdings, Inc. System and method for monitoring battery health
CN112543912A (zh) * 2018-08-10 2021-03-23 株式会社电装 显示控制装置、改写进展状况的显示控制方法以及改写进展状况的显示控制程序
CN112821994A (zh) * 2020-12-31 2021-05-18 武汉光庭信息技术股份有限公司 一种双冗余ecu的uds响应调停系统及方法

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6805559B2 (ja) 2016-06-09 2020-12-23 株式会社デンソー リプログマスタ
JP6665728B2 (ja) * 2016-08-05 2020-03-13 株式会社オートネットワーク技術研究所 車載更新装置、車載更新システム及び通信装置の更新方法
WO2018079004A1 (ja) * 2016-10-27 2018-05-03 住友電気工業株式会社 制御装置、プログラム更新方法、およびコンピュータプログラム
DE102017115816A1 (de) * 2017-07-13 2019-01-17 Witte Automotive Gmbh System mit Tür, Türschloss und Funkschlüssel
US10895235B2 (en) 2017-10-25 2021-01-19 Ford Global Technologies, Llc Method and system for activating in-vehicle power source
JP6915500B2 (ja) * 2017-11-06 2021-08-04 トヨタ自動車株式会社 更新システム、電子制御装置、更新管理装置、及び更新管理方法
JP6979630B2 (ja) * 2018-01-17 2021-12-15 パナソニックＩｐマネジメント株式会社 監視装置、監視方法及びプログラム
CN110233768B (zh) * 2018-03-05 2022-02-25 博泰车联网科技(上海)股份有限公司 基于uds的can总线测试系统及can总线测试方法
US11480936B2 (en) * 2018-06-08 2022-10-25 Silicon Works Co., Ltd. System and method for wirelessly transmitting and receiving safety information
WO2020022265A1 (ja) 2018-07-25 2020-01-30 株式会社デンソー 車両用電子制御システム、プログラム更新の承諾判定方法及びプログラム更新の承諾判定プログラム
JP7379892B2 (ja) 2018-07-25 2023-11-15 株式会社デンソー 車両用電子制御システム、車両側システム及び携帯端末
WO2020032193A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両用電子制御システム、プログラム更新の報知制御方法及びプログラム更新の報知制御プログラム
JP6973450B2 (ja) 2018-08-10 2021-12-01 株式会社デンソー 車両用マスタ装置、インストールの指示判定方法及びインストールの指示判定プログラム
WO2020032043A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両用電子制御システム、配信パッケージのダウンロード判定方法及び配信パッケージのダウンロード判定プログラム
JP7111074B2 (ja) 2018-08-10 2022-08-02 株式会社デンソー 車両用マスタ装置、セキュリティアクセス鍵の管理方法、セキュリティアクセス鍵の管理プログラム及び車両用電子制御システム
JP7024765B2 (ja) 2018-08-10 2022-02-24 株式会社デンソー 車両用マスタ装置、更新データの配信制御方法及び更新データの配信制御プログラム
JP7338280B2 (ja) 2018-08-10 2023-09-05 株式会社デンソー 車両用電子制御システム、車両用マスタ装置、メータ装置、プログラム更新の報知制御方法、インジケータの表示指示プログラム及びインジケータの表示プログラム
JP7400232B2 (ja) 2018-08-10 2023-12-19 株式会社デンソー 電子制御装置、リトライポイントの特定方法、リトライポイントの特定プログラム及び車両用電子制御システム
JP7419689B2 (ja) 2018-08-10 2024-01-23 株式会社デンソー 車両用電子制御システム、センター装置、車両用マスタ装置、表示制御情報の送信制御方法、表示制御情報の受信制御方法、表示制御情報の送信制御プログラム及び表示制御情報の受信制御プログラム
JP6973449B2 (ja) * 2018-08-10 2021-12-01 株式会社デンソー 車両用電子制御システム、配信パッケージのダウンロード判定方法及び配信パッケージのダウンロード判定プログラム
JP7427879B2 (ja) 2018-08-10 2024-02-06 株式会社デンソー 車両用マスタ装置、書換え対象のグループ管理方法及び書換え対象のグループ管理プログラム
JP7047819B2 (ja) 2018-08-10 2022-04-05 株式会社デンソー 電子制御装置、車両用電子制御システム、アクティベートの実行制御方法及びアクティベートの実行制御プログラム
JP7354631B2 (ja) 2018-08-10 2023-10-03 株式会社デンソー 電子制御装置、車両用電子制御システム、差分データの整合性判定方法及び差分データの整合性判定プログラム
JP7354658B2 (ja) 2018-08-10 2023-10-03 株式会社デンソー 車両用電子制御システム、進捗表示の画面表示制御方法及び進捗表示の画面表示制御プログラム
JP2020027640A (ja) 2018-08-10 2020-02-20 株式会社デンソー 電子制御装置、書換えの実行制御方法及び書換えの実行制御プログラム
WO2020032048A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 表示制御装置、書換え進捗状況の表示制御方法及び書換え進捗状況の表示制御プログラム
WO2020032194A1 (ja) * 2018-08-10 2020-02-13 株式会社デンソー 車両用電子制御システム、進捗表示の画面表示制御方法及び進捗表示の画面表示制御プログラム
JP6628375B1 (ja) * 2018-09-06 2020-01-08 みこらった株式会社 自動運転車及び自動運転車用プログラム
JP6962301B2 (ja) * 2018-09-25 2021-11-05 株式会社オートネットワーク技術研究所 中継装置
JP7115330B2 (ja) * 2019-01-16 2022-08-09 トヨタ自動車株式会社 車載システム、無線通信装置、及び制御方法
JP7218623B2 (ja) * 2019-03-08 2023-02-07 住友電装株式会社 車載更新装置、更新処理システム、更新処理方法及びコンピュータプログラム
JP7238547B2 (ja) * 2019-03-29 2023-03-14 マツダ株式会社 自動車用演算装置
JP7115416B2 (ja) * 2019-05-17 2022-08-09 株式会社デンソー 車両用装置及びプログラム
CN110412971B (zh) * 2019-06-11 2021-05-25 万专知识产权运营有限公司 一种ecu检测方法
JP2021005217A (ja) * 2019-06-26 2021-01-14 株式会社デンソー 車両制御システムおよび電子制御装置
WO2021024589A1 (ja) * 2019-08-06 2021-02-11 日本電気株式会社 モビリティ制御システム、方法、および、プログラム
US11704106B2 (en) * 2019-11-08 2023-07-18 Toyota Jidosha Kabushiki Kaisha Program update system and vehicle management server
JP7248297B2 (ja) * 2019-11-28 2023-03-30 みこらった株式会社 自動運転車及び自動運転車用プログラム
JP7132904B2 (ja) 2019-12-19 2022-09-07 本田技研工業株式会社 プログラム更新方法
JP7430068B2 (ja) 2020-01-31 2024-02-09 株式会社小松製作所 作業車両用表示制御装置及び作業車両
JP2021149699A (ja) 2020-03-19 2021-09-27 本田技研工業株式会社 ソフトウェア書換装置
DE102020117441A1 (de) 2020-07-02 2022-01-05 eClever Holding GmbH i. G. Fahrzeugdatenübertragungseinheit und Kraftfahrzeug mit einer solchen Einheit
JP7420018B2 (ja) * 2020-08-31 2024-01-23 トヨタ自動車株式会社 ソフトウェア更新装置、方法、プログラム、および、車両

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007230317A (ja) * 2006-02-28 2007-09-13 Hitachi Ltd ブレーキ制御システム及びそのプログラム更新方法
JP2010093347A (ja) * 2008-10-03 2010-04-22 Toyota Motor Corp 車両用無線通信装置、通信方法
JP2010170304A (ja) * 2009-01-22 2010-08-05 Fujitsu Ten Ltd 管理装置
JP2014221608A (ja) * 2013-05-14 2014-11-27 スズキ株式会社 車両の電子制御装置

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6694235B2 (en) 2001-07-06 2004-02-17 Denso Corporation Vehicular relay device, in-vehicle communication system, failure diagnostic system, vehicle management device, server device and detection and diagnostic program
JP4622177B2 (ja) 2001-07-06 2011-02-02 株式会社デンソー 故障診断システム、車両管理装置、サーバ装置、及び検査診断プログラム
JP4942261B2 (ja) 2001-07-31 2012-05-30 株式会社デンソー 車両用中継装置、及び、車内通信システム
JP4286633B2 (ja) * 2003-10-28 2009-07-01 富士通テン株式会社 ソフトウェア更新装置およびソフトウェア更新方法
JP4599952B2 (ja) * 2004-09-15 2010-12-15 株式会社デンソー プログラム書き換えシステム及び車両コンピュータシステム
JP4599953B2 (ja) * 2004-09-15 2010-12-15 株式会社デンソー プログラム書き換えシステム及び車両コンピュータシステム
JP5347997B2 (ja) 2010-02-04 2013-11-20 株式会社デンソー 故障診断用情報収集装置
US9464905B2 (en) * 2010-06-25 2016-10-11 Toyota Motor Engineering & Manufacturing North America, Inc. Over-the-air vehicle systems updating and associate security protocols
WO2012017719A1 (ja) * 2010-08-03 2012-02-09 本田技研工業株式会社 車両用プログラム書換えシステム
CN102736925A (zh) * 2011-04-14 2012-10-17 比亚迪股份有限公司 一种车辆的软件更新方法和系统
JP5920006B2 (ja) 2012-05-14 2016-05-18 富士通株式会社 画面更新制御プログラム、画面更新制御方法、および情報処理装置
JP6056424B2 (ja) * 2012-11-29 2017-01-11 株式会社デンソー 車載プログラム更新装置
JP5884716B2 (ja) * 2012-12-11 2016-03-15 トヨタ自動車株式会社 車載システム
JP6029985B2 (ja) * 2013-01-11 2016-11-24 クラリオン株式会社 情報処理装置、操作システム、および、情報処理装置の操作方法
US9910660B2 (en) 2013-08-05 2018-03-06 Harman International Industries, Incorporated Operating system replacement for in-vehicle computing system
US10282194B2 (en) * 2014-10-07 2019-05-07 Ford Global Technologies, Llc Methods and systems to update a vehicle computing system
JP2016115307A (ja) 2014-12-18 2016-06-23 セイコーエプソン株式会社 印刷装置、印刷システム、キャリブレーションプログラム、記録媒体
JP6805559B2 (ja) 2016-06-09 2020-12-23 株式会社デンソー リプログマスタ

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007230317A (ja) * 2006-02-28 2007-09-13 Hitachi Ltd ブレーキ制御システム及びそのプログラム更新方法
JP2010093347A (ja) * 2008-10-03 2010-04-22 Toyota Motor Corp 車両用無線通信装置、通信方法
JP2010170304A (ja) * 2009-01-22 2010-08-05 Fujitsu Ten Ltd 管理装置
JP2014221608A (ja) * 2013-05-14 2014-11-27 スズキ株式会社 車両の電子制御装置

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112543912A (zh) * 2018-08-10 2021-03-23 株式会社电装 显示控制装置、改写进展状况的显示控制方法以及改写进展状况的显示控制程序
WO2020059033A1 (ja) * 2018-09-19 2020-03-26 三菱電機株式会社 車載装置、更新決定方法及び更新決定プログラム
JPWO2020059033A1 (ja) * 2018-09-19 2020-12-17 三菱電機株式会社 車載装置、更新決定方法及び更新決定プログラム
WO2020102471A1 (en) * 2018-11-15 2020-05-22 Solera Holdings, Inc. System and method for monitoring battery health
CN112821994A (zh) * 2020-12-31 2021-05-18 武汉光庭信息技术股份有限公司 一种双冗余ecu的uds响应调停系统及方法

Also Published As

Publication number Publication date
DE112017002919T5 (de) 2019-03-07
US20230234549A1 (en) 2023-07-27
US20190111907A1 (en) 2019-04-18
US11685359B2 (en) 2023-06-27
CN109313592A (zh) 2019-02-05
JP2017220091A (ja) 2017-12-14
JP6805559B2 (ja) 2020-12-23

Similar Documents

Publication Publication Date Title
JP6414568B2 (ja) 車両用装置
WO2017212771A1 (ja) 車両用装置
JP6856100B2 (ja) リプログマスタ
US11886857B2 (en) Center device, specification data generation method and computer program product for generating specification data
JP6056424B2 (ja) 車載プログラム更新装置
US11960875B2 (en) Vehicle master device, vehicle electronic control system, configuration setting information rewrite instruction method, and configuration setting information rewrite instruction program product
JP2017220091A5 (ja)
US11169797B2 (en) Vehicle controller configuration backup and restoration using data snapshots
US11157262B2 (en) Program updating device, program updating system and program updating method
JP2006192967A (ja) 遠隔操作制御システムおよび車載遠隔操作制御装置
JP2015041231A (ja) プログラム書換システム、制御装置、プログラム出力装置、蓄積装置、コネクタ、及びプログラム書換方法
JP6733726B2 (ja) リプログシステム、リプログマスタ及びリプログシステムの報知方法
WO2020039843A1 (ja) 自動日常点検システム
US20240069905A1 (en) Vehicular electronic control device, vehicular electronic control system, and updated configuration information determination program
KR20190067304A (ko) 차량의 배터리 충전 상태 제어 장치 및 그 방법
US11614930B2 (en) Center device, vehicle electronic control system, program update progress control method, and program update progress control program
WO2019221118A1 (ja) 電子制御装置及びセッション確立プログラム
JP6136973B2 (ja) 車両用表示装置
JP2012035662A (ja) 車両用プログラム書換えシステム
JP2004314773A (ja) 車載情報システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17809954

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 17809954

Country of ref document: EP

Kind code of ref document: A1