WO2023140116A1 - 通信制御装置、車両、通信制御方法及び通信制御プログラム - Google Patents

Abstract

通信制御装置としてのセントラルＥＣＵは、車内ネットワークの通信設定の変更に係る変更通知を受け付ける受付部と、変更通知に伴って必要となる新たな設定情報に従って、イーサネットスイッチが動作可能か否かを判定する判定部と、設定情報に従ってイーサネットスイッチが動作可能であると判定した場合に、設定情報をイーサネットスイッチに反映させるか否かをユーザに問い合わせる照会部と、を備える。

Description

通信制御装置、車両、通信制御方法及び通信制御プログラム

　本開示は、ネットワークの通信を制御する通信制御装置、車両、通信制御方法及びプログラムに関する。

　特開２０１７－１６９０４４号公報には、ネットワークにおける通信設定（以下、「ネットワーク設定」ともいう。）を変更することができるＳＤＮ（Ｓｏｆｔｗａｒｅ　Ｄｅｆｉｎｅｄ　Ｎｅｔｗｏｒｋｉｎｇ）技術が開示されている。ＳＤＮネットワークは、ＳＤＮコントローラ及び複数のＳＤＮスイッチを含み、ＳＤＮコントローラがネットワーク設定をＳＤＮスイッチに配信することにより、ＳＤＮスイッチがネットワーク制御を行う。

　従来技術では、ユーザが配信パッケージ（ＯＴＡ）によるソフトウェアのアクティベートや、プラグアンドプレイでのＥＣＵ追加等の外部システムの変更を許可した後に、上記変更に伴って必要となる新たなネットワーク設定に従ってＳＤＮスイッチが動作できないことが顕在化した場合、ユーザの利便性が低下するという課題がある。

　本開示は、上記事実を考慮して成されたもので、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができる通信制御装置、車両、通信制御方法、及び通信制御プログラムを提供することを目的とする。

　第１の態様の通信制御装置は、ネットワークの通信を制御する通信制御装置であって、前記ネットワークの通信設定の変更に係る変更通知を受け付ける受付部と、前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、前記通信制御装置に接続された切替制御部が動作可能か否かを判定する判定部と、前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる照会部と、を備える。

　第１の態様の通信制御装置では、ネットワークの通信を制御する通信制御装置であって、受付部が前記ネットワークの通信設定の変更に係る変更通知を受け付け、判定部が前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、前記通信制御装置に接続された切替制御部が動作可能か否かを判定し、照会部が前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる。そのため、当該通信制御装置によれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができる

　第２の態様の通信制御装置は、第１の態様の通信制御装置において、前記判定部が前記新たな設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記ユーザに前記新たな設定情報に従って前記切替制御部は動作不能である旨、及び動作不能の原因を通知する通知部を備える。

　第２の態様の通信制御装置によれば、設定情報に従って切替制御部は動作不能である旨、及び動作不能の原因をユーザが把握することができる。

　第３の態様の通信制御装置は、第１の態様又は第２の態様の通信制御装置において、前記判定部が前記設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記切替制御部が動作可能となる設定情報を前記ネットワーク外部の外部装置に対して要求する要求部を備える。

　第３の態様の通信制御装置によれば、設定情報に従って切替制御部が動作不能であっても、切替制御部が動作可能となる設定情報を取得することができる。

　第４の態様の通信制御装置は、第１～第３の態様のうち何れか１の態様に記載の通信制御装置において、前記受付部は、前記ネットワーク上の制御装置において実行されるソフトウェアの更新と共に前記変更通知を受け付ける。

　第４の態様の通信制御装置によれば、ソフトウェアの更新と共に変更通知を受け付けることができる。

　第５の態様の通信制御装置は、第１～第４の態様のうち何れか１の態様に記載の通信制御装置において、前記受付部は、前記ネットワークに新たな制御装置が接続された場合に前記変更通知を受け付ける。

　第５の態様の通信制御装置によれば、ネットワークに新たな制御装置が接続された場合に変更通知を受け付けることができる。

　第６の態様の通信制御装置は、第１～第３の態様のうち何れか１の態様に記載の通信制御装置において、前記受付部は、前記ネットワークが外部から攻撃を受けてフェールセーフ状態になった場合に前記変更通知を受け付ける。

　第６の態様の通信制御装置によれば、ネットワークが外部から攻撃を受けた場合に変更通知を受け付けることができる。

　第７の態様の車両は、第１～第６の態様のうち何れか１の態様に記載の通信制御装置と、一又は複数の前記切替制御部と、前記切替制御部に接続された制御装置と、を備える。

　第７の態様の車両によれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制され、車両の走行の安全を担保することができる。

　第８の態様の通信制御方法は、ネットワークの通信を制御する通信制御方法であって、前記ネットワークの通信設定の変更に係る変更通知を受け付け、前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、通信制御装置に接続された切替制御部が動作可能か否かを判定し、前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる、処理をコンピュータが実行する。

　第８の態様の通信制御方法は、ネットワークの通信を制御する通信制御方法であって、コンピュータが前記ネットワークの通信設定の変更に係る変更通知を受け付ける。また、当該通信制御方法では、前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、通信制御装置に接続された切替制御部が動作可能か否かを判定する。また、当該通信制御方法では、前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる。そのため、当該通信制御方法によれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができる。

　第９の態様の通信制御プログラムは、ネットワークの通信を制御する通信制御プログラムであって、前記ネットワークの通信設定の変更に係る変更通知を受け付け、前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、自機に接続された切替制御部が動作可能か否かを判定し、前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる、処理をコンピュータに実行させる。

　第９の態様の通信制御プログラムは、ネットワークの通信を制御する通信制御プログラムであって、コンピュータに次の処理を実行させる。すなわち、コンピュータは前記ネットワークの通信設定の変更に係る変更通知を受け付ける処理を実行する。また、コンピュータは前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、自機に接続された切替制御部が動作可能か否かを判定する。また、コンピュータは、前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる。そのため、当該プログラムによれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができる。

　本開示によれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができる。

第１の実施形態に係る通信制御システムの概略構成を示す図である。 第１の実施形態の車両におけるＥＣＵのハードウェア構成を示すブロック図である。 第１の実施形態の通信制御システムの機能構成を示すブロック図である。 第１の実施形態の通信制御システムにおけるＯＴＡ処理の流れを示すシーケンス図である。 第１の実施形態の通信制御システムにおけるＯＴＡ処理の流れを示すシーケンス図である。 第１の実施形態の通信制御システムにおけるＯＴＡ処理の流れを示すシーケンス図である。 第１の実施形態のセントラルＥＣＵにおいて実行される照会処理の流れを示すフローチャートである。 第１の実施形態において、ユーザに提供される表示の例を示す正面図である。 第１の実施形態の通信制御システムにおけるプラグアンドプレイ処理の流れを示すシーケンス図である。 第１の実施形態の通信制御システムにおけるプラグアンドプレイ処理の流れを示すシーケンス図である。 第２の実施形態の車両におけるＥＣＵのハードウェア構成を示すブロック図である。 第３の実施形態の車両におけるＥＣＵのハードウェア構成を示すブロック図である。 第３の実施形態の通信制御システムの機能構成を示すブロック図である。

　本開示の通信制御装置を含む通信制御システムについて説明する。通信制御システムは、車両における通信を行うシステムであって、ＳＤＮ（Ｓｏｆｔｗａｒｅ　Ｄｅｆｉｎｅｄ　Ｎｅｔｗｏｒｋｉｎｇ）に対応しており、必要に応じて車外のサーバから通信の設定に係る設定情報を取得可能に構成されている。

［第１の実施形態］
　（全体構成）
　図１に示されるように、第１の実施形態の通信制御システム１０は、車両１２と、外部装置としてのセンタサーバ４０と、を含んで構成されている。センタサーバ４０は、車両１２の製造元等の通信制御システム１０の管理、運営を行う事業所に設置されている。車両１２及びセンタサーバ４０は、公衆ネットワークＮを通じて相互に接続されている。

　（車両）
　本実施形態の車両１２では、複数のＥＣＵ２０と、複数のイーサネットスイッチ３０と、ＤＣＭ（Ｄａｔａ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｍｏｄｕｌｅ）３２と、を含む車内ネットワーク１４が構成されている。車内ネットワーク１４はネットワークの一例である。また、ＥＣＵ２０は、車両１２の制御を統括するセントラルＥＣＵ２２と、セントラルＥＣＵ２２により通信が制御されるＥＣＵ２４と、を含んでいる。ＥＣＵ２４としては、ＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ　Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ）－ＥＣＵ、ステアリングＥＣＵ、ボデーＥＣＵ及び情報系ＥＣＵが例示される。ＥＣＵ２４は制御装置の一例である。

　図２に示されるように、ＥＣＵ２０は、ＳＤＮコントローラとして機能する制御部２１を少なくとも含み、必要に応じてイーサネットスイッチ３０を含んで構成されている。制御部２１は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）２０Ａ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）２０Ｂ、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ
　Ｍｅｍｏｒｙ）２０Ｃ、車内通信Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）２０Ｄ、及び入出力Ｉ／Ｆ２０Ｅを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、車内通信Ｉ／Ｆ２０Ｄ、及び入出力Ｉ／Ｆ２０Ｅは、内部バス２０Ｇを介して相互に通信可能に接続されている。

　ＣＰＵ２０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａは、ＲＯＭ２０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃを作業領域としてプログラムを実行する。

　ＲＯＭ２０Ｂは、各種プログラム及び各種データを記憶している。本実施形態のＲＯＭ２０Ｂには、通信を含むＥＣＵ２０の制御を行う制御プログラム１００が記憶されている。また、ＲＯＭ２０Ｂには、ＥＣＵ２０によりアプリケーションを実現するためのアプリケーションプログラム１１０が記憶されている。制御プログラム１００は通信制御プログラムの一例である。
　ＲＡＭ２０Ｃは、作業領域として一時的にプログラム又はデータを記憶する。

　車内通信Ｉ／Ｆ２０Ｄは、各ＥＣＵ２０と接続するためのインタフェースである。当該インタフェースは、イーサネット（登録商標）による通信規格が用いられる。車内通信Ｉ／Ｆ２０Ｄは、外部バス２０Ｈに対して接続されている（図１参照）。

　入出力Ｉ／Ｆ２０Ｅは、制御部２１とＥＣＵ２０を構成する他の機器とを接続するインタフェースである。例えば、セントラルＥＣＵ２２の入出力Ｉ／Ｆ２０Ｅには、イーサネットスイッチ３０が接続されている。

　イーサネットスイッチ３０は、イーサネット（登録商標）による通信を行う中継装置であって、本実施形態のイーサネットスイッチ３０は、ＳＤＮスイッチとして機能する。イーサネットスイッチ３０は、車内ネットワーク１４の通信設定に係る通信情報に基づいてＥＣＵ２０間の通信を行う。また、イーサネットスイッチ３０は、制御部２１又は他のイーサネットスイッチ３０から通信情報を取得可能に構成されている。イーサネットスイッチ３０は、切替制御部の一例である。

　ＤＣＭ３２は、５Ｇ、４Ｇ、ＬＴＥ等の通信規格により通信を行うモジュールである。ＤＣＭ３２は、公衆ネットワークＮに対して接続されている（図１参照）。なお、車両１２においてＤＣＭ３２は、セントラルＥＣＵ２２の制御部２１に対して接続されているが、この限りではなく、セントラルＥＣＵ２２や他のＥＣＵ２４に内蔵していてもよい。

　（セントラルＥＣＵ）
　セントラルＥＣＵ２２は、制御部２１及びイーサネットスイッチ３０を搭載したＥＣＵ２０である。本実施形態のセントラルＥＣＵ２２では、ＣＰＵ２０Ａが、制御プログラム１００を実行することで、図３に示す統括制御部５０及び通信制御部５２として機能する。セントラルＥＣＵ２２は、通信制御装置の一例である。

　統括制御部５０はアプリケーションプログラム１１０等のソフトウェアの更新に伴うダウンロードや、新たなＥＣＵ２０を車内ネットワーク１４に接続した場合のプラグアンドプレイの実行を制御する。統括制御部５０は、受付部２００、照会部２１０及び実行部２２０を含んで構成されている。

　受付部２００は、アプリケーションプログラム１１０のダウンロード、及びＥＣＵ２０のプラグアンドプレイの検知を受け付ける機能を有している。また、本実施形態の受付部２００は、車内ネットワーク１４の通信設定の変更に係る変更通知を受け付ける。

　照会部２１０は、車両１２のユーザに対して車内ネットワーク１４の設定を変更するか否かの照会を行う機能を有している。

　反映部としての実行部２２０は、ソフトウェアのダウンロード又はプラグアンドプレイの実行に伴う車内ネットワーク１４の設定変更の実行を行う機能を有している。本実施形態の実行部２２０は、ソフトウェアの更新に際しては、アプリケーションプログラム１１０のダウンロードが完了したことを契機に設定情報を通信制御部５２及びイーサネットスイッチ３０に反映させる。また、実行部２２０は、プラグアンドプレイの実行に際しては、車両１２が再起動したこと（つまり、イグニッションがＯＦＦからＯＮになったこと）を契機に設定情報を通信制御部５２及びイーサネットスイッチ３０に反映させる。

　通信制御部５２はＳＤＮコントローラとして機能する。通信制御部５２は、判定部２５０、通知部２６０及び要求部２７０を含んで構成されている。

　判定部２５０は、ソフトウェアのダウンロード又はプラグアンドプレイに際し、通信制御部５２及びイーサネットスイッチ３０が適切な設定情報を有しているか否か判定を行う機能を有している。

　通知部２６０は、統括制御部５０に対して、通信制御部５２及びイーサネットスイッチ３０の状態を通知する機能を有している。本実施形態の通知部２６０は、車内ネットワーク１４に障害が生じている場合に、統括制御部５０に対してダイアグコードを送信する。これにより、統括制御部５０を通じてダイアグコードを取得したセンタサーバ４０等は、
障害の原因を把握することができる。

　要求部２７０は、通信制御部５２及びイーサネットスイッチ３０が適切な設定情報を有していない場合に適切な設定情報を要求する機能を有している。この場合、本実施形態の要求部２７０は、統括制御部５０又はセンタサーバ４０に対して、設定情報を要求する。また、要求部２７０は、イーサネットスイッチ３０に動作検証を要求する。また、要求部２７０はイーサネットスイッチ３０にアクティベートを要求する。

　（制御の流れ）
　本実施形態の通信制御システム１０において実行される処理の流れについて、図４～図６のシーケンス図、図７のフローチャート、図８の表示画面、並びに図９及び図１０のシーケンス図を用いて説明する。セントラルＥＣＵ２２における処理は、ＣＰＵ２０Ａが統括制御部５０及び通信制御部５２として機能することにより実行される。

　まず、センタサーバ４０、セントラルＥＣＵ２２の制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４におけるシステム全体の処理の流れについて説明する。なお、各シーケンス図では、イーサネットスイッチ３０及びＥＣＵ２４が１台ずつしか図示されていないが、この限りではなく、車内ネットワーク１４上のイーサネットスイッチ３０及びＥＣＵ２４が対象となる。

　図４のステップＳ１０において、センタサーバ４０は、制御部２１の統括制御部５０に対して、パッケージプログラムを送信する。パッケージプログラムには、アプリケーションプログラム１１０及び車内ネットワーク１４の設定情報が含まれている。

　ステップＳ１１において、制御部２１の統括制御部５０は、通信制御部５２に対して、設定情報を送信する。

　ステップＳ１２において、制御部２１の通信制御部５２は、イーサネットスイッチ３０に対して、設定情報を送信する。

　ステップＳ１３において、制御部２１の通信制御部５２は、検証処理を実行する。具体的に、制御部２１の通信制御部５２は、適切な設定情報を記憶しているか否かを検証する。ここで、適切な設定情報とは、ステップＳ１０においてダウンロードされたアプリケーションプログラム１１０を車内ネットワーク１４において動作させることが可能な設定情報である。

　ステップＳ１４において、制御部２１の通信制御部５２は、イーサネットスイッチ３０に対して、検証要求を行う。具体的に、通信制御部５２は、イーサネットスイッチ３０に対して、イーサネットスイッチ３０が適切な設定情報を記憶しているか否かの検証結果を送信するように要求する。

　ステップＳ１５において、イーサネットスイッチ３０は、検証処理を実行する。具体的に、イーサネットスイッチ３０は、適切な設定情報を記憶しているか否かを検証する。

　ステップＳ１６において、イーサネットスイッチ３０は、制御部２１の通信制御部５２に対して、検証結果を送信する。具体的に、イーサネットスイッチ３０は、通信制御部５２に対して、イーサネットスイッチ３０が設定情報を記憶しているか否かの検証結果を送信する。

　ステップＳ１７において、制御部２１の通信制御部５２は、判定処理を実行する。具体
的に、通信制御部５２は、通信制御部５２及びイーサネットスイッチ３０が適切な設定情報を有しているか否か判定を行う。

　ステップＳ１８において、制御部２１の通信制御部５２は、統括制御部５０に対して、ステップＳ１７において実行した判定処理の判定結果を送信する。

　ステップＳ１９において、制御部２１の統括制御部５０は、通信制御部５２及びイーサネットスイッチ３０のうち少なくとも何れか一方が適切な設定情報を記憶している、すなわち設定情報に従って、通信制御部５２及びイーサネットスイッチ３０が動作可能か否かを判定する。統括制御部５０は通信制御部５２及びイーサネットスイッチ３０が動作可能であると判定した場合（ステップＳ１９：ＹＥＳ）、ステップＳ４０に移行する。一方、統括制御部５０は通信制御部５２及びイーサネットスイッチ３０が動作不能であると判定した場合（ステップＳ１９：ＮＯ）、ステップＳ３０に移行する。

　次に、制御部２１の統括制御部５０が、通信制御部５２及びイーサネットスイッチ３０が動作不能であると判定した場合のセンタサーバ４０、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４におけるシステム全体の処理の流れを説明する。

　図５のステップＳ３０において、制御部２１の統括制御部５０は、センタサーバ４０に対して、イーサネットスイッチ３０が動作可能となる設定情報を要求する。ここで、統括制御部５０はステップＳ１９において、通信制御部５２及びイーサネットスイッチ３０が動作不能であると判定した場合に、動作不能である旨、及び動作不能の原因を示すダイアグコードを生成している。そして、統括制御部５０は設定情報を要求するコマンドと共に、車内ネットワーク１４においてＥＣＵ２０及びイーサネットスイッチ３０が動作不能である旨、及び動作不能の原因を示すダイアグコードを送信する。

　ステップＳ３１において、センタサーバ４０は、制御部２１の統括制御部５０に対して、アプリケーションプログラム１１０を車内ネットワーク１４において動作させることが可能な設定情報を送信する。

　そして、センタサーバ４０、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４は、図４に示したステップＳ１１からステップＳ１８までの処理と同じ処理を実行する。

　次に、制御部２１の統括制御部５０が、通信制御部５２及びイーサネットスイッチ３０が動作可能であると判定した場合のセンタサーバ４０、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４におけるシステム全体の処理の流れを説明する。

　図６のステップＳ４０において、制御部２１の統括制御部５０は、照会処理を実行する。照会処理の詳細については、後述する。

　ステップＳ４１において、制御部２１の統括制御部５０は、ステップＳ４０の処理結果により、設定情報を反映可能であるか否か判定する。統括制御部５０は、設定情報を反映可能であると判定した場合（ステップＳ４１：ＹＥＳ）、ステップＳ４２に移行する。一方、統括制御部５０は、設定情報を反映可能でないと判定した場合（ステップＳ４１：ＮＯ）、処理を終了する。

　ステップＳ４２において、制御部２１の統括制御部５０は、アプリケーションプログラム１１０をインストールする対象となるＥＣＵ２４に対して、当該アプリケーションプログラム１１０を送信する。

　ステップＳ４３において、ＥＣＵ２４は、制御部２１の統括制御部５０に対して、アプリケーションプログラム１１０のダウンロードが完了したことを通知する。

　ステップＳ４４において、制御部２１の統括制御部５０は、通信制御部５２に対して、アクティベートを要求する。具体的に、統括制御部５０は、設定情報を通信制御部５２に反映するように要求する。また、ステップＳ４４において、統括制御部５０は、ＥＣＵ２４に対しても、アクティベートを要求する。

　ステップＳ４５において、制御部２１の通信制御部５２は、イーサネットスイッチ３０に対して、アクティベートを要求する。具体的に、通信制御部５２は、設定情報をイーサネットスイッチ３０に反映するように要求する。

　ステップＳ４６において、制御部２１の通信制御部５２は、反映処理を実行する。具体的に、通信制御部５２は、設定情報を通信制御部５２に反映する。

　ステップＳ４７において、イーサネットスイッチ３０は、反映処理を実行する。具体的に、イーサネットスイッチ３０は、設定情報をイーサネットスイッチ３０に反映する。

　ステップＳ４８において、ＥＣＵ２４は、反映処理を実行する。具体的に、ＥＣＵ２４は、インストールされたアプリケーションプログラム１１０及び設定情報を反映させる。

　ステップＳ４９において、イーサネットスイッチ３０は、制御部２１の通信制御部５２に対して、イーサネットスイッチ３０に設定情報を反映した旨を通知する。

　ステップＳ５０において、制御部２１の通信制御部５２は、制御部２１の統括制御部５０に対して、イーサネットスイッチ３０及び通信制御部５２に設定情報を反映した旨を通知する。

　ステップＳ５１において、ＥＣＵ２４は、制御部２１の統括制御部５０に対して、ＥＣＵ２４にインストールされたアプリケーションプログラム１１０及び設定情報を反映した旨を通知する。

　ステップＳ５２において、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４は、ＥＣＵ２４にインストールされたアプリケーションプログラム１１０の実行に伴う通信を開始する。

　次に図７の照会処理について説明する。
　図７のステップＳ１００において、統括制御部５０は、車両１２のインストルメントパネル、又はメータパネル等に設けられたモニタに照会内容を表示させる。具体的に、図８に示されるように、アプリケーションプログラム１１０であるソフトウェアを反映させるためには、通信設定の更新が必要である旨、及び通信設定の更新中は車両１２の再始動が一定時間行えない旨が表示される。車両１２のユーザは、通信設定の更新を含むソフトウェアの反映を実行させる場合、「はい」と表示されたボタン８０を選択する。一方、車両１２のユーザは、通信設定の更新を含むソフトウェアの反映を実行させない場合、「いいえ」と表示されたボタン８２を選択する。

　ステップＳ１０１において、統括制御部５０は、タイマ時間内（例えば、照会内容の表示開始から１分間）であるか否かを判定する。統括制御部５０は、タイマ時間内である場合（ステップＳ１０１：ＹＥＳ）、ステップＳ１０２に移行する。一方、統括制御部５０は、タイマ時間が経過した場合（ステップＳ１０１：ＮＯ）、ステップＳ１０５に移行する。

　ステップＳ１０２において、統括制御部５０は、通信設定を更新するか否かの選択を受け付けたか否かを判定する。統括制御部５０は、通信設定を更新するか否かの選択を受け付けた場合（ステップＳ１０２：ＹＥＳ）、ステップＳ１０３に移行する。一方、統括制御部５０は、通信設定を更新するか否かの選択を受け付けなかった場合（ステップＳ１０２：ＮＯ）、ステップＳ１００に戻る。

　ステップＳ１０３において、統括制御部５０は、通信設定が更新可能であるか否かを判定する。具体的に、統括制御部５０は、ボタン８０が選択されたか否かを判定する。統括制御部５０は、通信設定が更新可能である場合（ステップＳ１０３：ＹＥＳ）、ステップＳ１０４に移行する。一方、統括制御部５０は、通信設定が更新可能でない場合（ステップＳ１０３：ＮＯ）、ステップＳ１０５に移行する。

　ステップＳ１０４において、統括制御部５０は、通信設定を更新することを決定する。

　ステップＳ１０５において、統括制御部５０は、通信設定の更新を中断する。

　ステップＳ１０６において、統括制御部５０は、車両１２のユーザの選択結果を出力する。具体的に、統括制御部５０は、ステップＳ１０２の判定に際して受け付けた通信設定を更新するか否かのユーザの選択結果を出力する。そして、統括制御部５０は、本照会処理を終了し、図６のステップＳ４０に戻る。

　次に、新たなＥＣＵ２４を車内ネットワーク１４に接続した場合のプラグアンドプレイ処理の流れを、図９及び図１０を用いて説明する。

　図４に示す通信制御システム１０における処理の流れと図９に示す通信制御システム１０における処理の流れとでは、ステップＳ１０の処理に代えてステップＳ６０の処理が適用されている点、及びステップＳ１９において肯定判定であった場合にステップＳ７０に移行する点が異なっている。なお、プラグアンドプレイに際して検証される設定情報は、新たに接続されたＥＣＵ２４を車内ネットワーク１４において動作させることが可能な設定情報である。

　図４に示す通信制御システム１０における処理の流れと同一の処理を実行するステップについては、図４と同一のステップ番号を付して、その説明を省略する。

　図９のステップＳ６０において、ＥＣＵ２４は、制御部２１の統括制御部５０に対して、設定情報を送信する。

　次に、ステップＳ１９において肯定判定であった場合のセンタサーバ４０、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４におけるシステム全体の処理の流れを説明する。

　図１０のステップＳ７０において、制御部２１の統括制御部５０は、照会処理を実行する。照会処理の流れは図７に示した処理の流れと同一である。

　ステップＳ７１において、制御部２１の統括制御部５０は、ステップＳ７０の処理結果より、設定情報を反映可能であるか否か判定する。統括制御部５０は、設定情報を反映可能であると判定した場合（ステップＳ７１：ＹＥＳ）、ステップＳ７２に移行する。一方、統括制御部５０は、設定情報を反映可能でないと判定した場合（ステップＳ７１：ＮＯ
）、処理を終了する。

　ステップＳ７２において、車両１２が再起動する。具体的に、イグニッションが一旦、ＯＦＦとなり、再びＯＮになるように車両１２を制御する。

　ステップＳ７３において、制御部２１の統括制御部５０は、通信制御部５２に対して、アクティベートを要求する。具体的に、統括制御部５０は、設定情報を通信制御部５２に反映するように要求する。

　ステップＳ７４において、制御部２１の通信制御部５２は、イーサネットスイッチ３０に対して、アクティベートを要求する。具体的に、通信制御部５２は、設定情報をイーサネットスイッチ３０に反映するように要求する。

　ステップＳ７５において、制御部２１の統括制御部５０は、ＥＣＵ２４に対して、アクティベートを要求する。具体的に、統括制御部５０は、設定情報をＥＣＵ２４に反映するように要求する。

　ステップＳ７６において、制御部２１の通信制御部５２は、反映処理を実行する。具体的に、通信制御部５２は、設定情報を通信制御部５２に反映する。

　ステップＳ７７において、イーサネットスイッチ３０は、反映処理を実行する。具体的に、イーサネットスイッチ３０は、設定情報をイーサネットスイッチ３０に反映する。

　ステップＳ７８において、ＥＣＵ２４は、反映処理を実行する。具体的に、ＥＣＵ２４は、設定情報をＥＣＵ２４に反映する。

　ステップＳ７９において、イーサネットスイッチ３０は、制御部２１の通信制御部５２に対して、イーサネットスイッチ３０に設定情報を反映した旨を通知する。

　ステップＳ８０において、制御部２１の通信制御部５２は、制御部２１の統括制御部５０に対して、イーサネットスイッチ３０及び通信制御部５２に設定情報を反映した旨を通知する。

　ステップＳ８１において、ＥＣＵ２４は、制御部２１の統括制御部５０に対して、ＥＣＵ２４に設定情報を反映した旨を通知する。

　ステップＳ８２において、制御部２１、イーサネットスイッチ３０、及びＥＣＵ２４は、通信を開始する。

　（まとめ）
　本実施形態のセントラルＥＣＵ２２において、通信制御部５２は、設定情報に従って、イーサネットスイッチ３０が動作不能であると判定した場合、車両１２のユーザに設定情報に従って、イーサネットスイッチ３０が動作不能である旨、及びダイアグコードを通知する。そのため、設定情報に従ってイーサネットスイッチ３０は動作不能である旨、及び動作不能の原因をユーザが把握することができる。

　また、本実施形態のセントラルＥＣＵ２２において、通信制御部５２は、設定情報に従って、イーサネットスイッチ３０が動作不能であると判定した場合、イーサネットスイッチ３０が動作可能となる設定情報をセンタサーバ４０に対して要求する。そのため、設定情報に従ってイーサネットスイッチ３０が動作不能であっても、イーサネットスイッチ３
０が動作可能となる設定情報を取得することができる。

　また、本実施形態のセントラルＥＣＵ２２において、統括制御部５０は、ＥＣＵ２４車両ネットワーク上の制御装置において実行されるアプリケーションプログラム１１０の更新と共に、変更通知を受け付ける。そのため、アプリケーションプログラム１１０の更新と共に変更通知を受け付けることができる。

　また、本実施形態のセントラルＥＣＵ２２において、統括制御部５０は、ＥＣＵ２４が新たに接続された場合に変更通知を受け付ける。そのため、ＥＣＵ２４が新たに接続された場合に変更通知を受け付けることができる。

　本実施形態の変更通知は、アプリケーションプログラム１１０の更新に係る通知であって、セントラルＥＣＵ２２において、通信制御部５２は、更新されるアプリケーションプログラム１１０に基づいて設定情報が記憶されているかを判定する。そのため、アプリケーションプログラム１１０の情報に基づいて設定情報が記憶されているかを判定することができる。

　また、本実施形態のセントラルＥＣＵ２２において、統括制御部５０は、変更通知をセンタサーバ４０から受け付ける。そのため、車内ネットワーク１４外の装置から変更通知を受け付けることができる。

　また、本実施形態のセントラルＥＣＵ２２は、車内ネットワーク１４の通信設定を変更する場合、通信設定の変更に係る変更通知を受け付けた後、所定の契機に新たな設定情報を通信制御部５２及びイーサネットスイッチ３０に反映させる。そのため、本実施形態によれば、車内ネットワーク１４における通信制御部５２及びイーサネットスイッチ３０の通信設定が所定の契機に反映されるため、ネットワーク設定を変更する場合における通信の不具合が抑制される。

　特に、本実施形態によれば、ＯＴＡによるソフトウェアのダウンロードに際して通信設定が変更される場合における通信の不具合が抑制される。また、本実施形態によれば、新たなＥＣＵ２４の接続に伴うプラグアンドプレイの際に通信設定が変更される場合における通信の不具合が抑制される。

　本実施形態の車両１２は、セントラルＥＣＵ２２と、一又は複数のイーサネットスイッチ３０と、ＥＣＵ２４と、を備えている。本実施形態の車両１２によれば、ユーザが認識しない状態でネットワークの通信設定が変更された場合に、事後的に、新たなネットワーク設定に従って切替制御部が動作できないことが顕在化することを抑制することができ、車両の走行の安全を担保することができる。

［第２の実施形態］
　第２の実施形態は、イーサネットスイッチ３０がセントラルＥＣＵ２２とは別体で構成されている点で、第１の実施形態と相違する。以下、第１の実施形態との相違点について説明する。

　図１１に示されるように、セントラルＥＣＵ２２は、制御部２１のみを含み、イーサネットスイッチ３０を含まずに構成されている。すなわち、イーサネットスイッチ３０は、セントラルＥＣＵ２２とは別体で構成されている。

　以上のように、本実施形態では、イーサネットスイッチ３０がセントラルＥＣＵ２２とは別体で構成されている。そのため、本実施形態によれば、セントラルＥＣＵ２２がイーサネットスイッチ３０を含んでいない場合であっても、ユーザが認識しない状態で車内ネットワーク１４の通信設定が変更された場合に、事後的に、新たなネットワーク設定に従ってイーサネットスイッチ３０が動作できないことが顕在化することを抑制することができる。

［第３の実施形態］
　第３の実施形態は、制御部２１の統括制御部５０が、セントラルＥＣＵ２２とは別のＥＣＵ２０により機能する点で、第１の実施形態と相違する。以下、第１の実施形態との相違点について説明する。

　図１２に示されるように、本実施形態の車両１２では、複数のＥＣＵ２０と、複数のイーサネットスイッチ３０と、ＤＣＭ３２と、を含む車内ネットワーク１４が構成されている。また、ＥＣＵ２０は、セントラルＥＣＵ２２と、ＥＣＵ２４と、管理ＥＣＵ２６と、を含んでいる。ＤＣＭ３２は管理ＥＣＵ２６を介して公衆ネットワークＮに接続されている。

　セントラルＥＣＵ２２は、ＣＰＵ２０Ａが、制御プログラム１００を実行することで、図１３に示す通信制御部５２として機能する。一方、管理ＥＣＵ２６は、ＣＰＵ２０Ａが、制御プログラム１００を実行することで、図１３に示す統括制御部５０として機能する。すなわち、本実施形態の車両１２では、複数のＣＰＵ２０Ａによりネットワーク設定の変更に係る通信制御部５２及び統括制御部５０の処理が実現される。

　以上、本実施形態では、制御部２１の統括制御部５０が、セントラルＥＣＵ２２とは別のＥＣＵ２０により機能する。そのため、本実施形態によれば、制御部２１の統括制御部５０が、セントラルＥＣＵ２２とは別のＥＣＵ２０により機能する場合であっても、ユーザが認識しない状態で車内ネットワーク１４の通信設定が変更された場合に、事後的に、新たなネットワーク設定に従ってイーサネットスイッチ３０が動作できないことが顕在化することを抑制することができる。

［備考］
　なお、上記の各実施形態におけるネットワーク設定の変更に係る処理は、ソフトウェアであるアプリケーションプログラム１１０をダウンロードした場合の処理、及び、ＥＣＵ２４を車内ネットワーク１４に追加した際のプラグアンドプレイの場合の処理として例示した。しかし、本実施形態のネットワーク設定の変更に係る処理が適用されるケースはこれに限らず、車両１２の製造時に車内ネットワーク１４の構成が構築される場合、又は車内ネットワーク１４が外部から攻撃を受けてフェールセーフ状態になった場合、において適用されてもよい。

　上記実施形態でＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した各種処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、上述した各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

　また、上記実施形態において、各プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、ＥＣＵ２０における制御プログラム１００はＲＯＭ２０Ｂに予め記憶されている。しかしこれに限らず、各プログラムは、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

　上記実施形態で説明した処理の流れは、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。

（付記項１）
　プロセッサを有し、ネットワークの通信を制御する通信制御装置であって、
　前記プロセッサは、
　前記ネットワークの通信設定の変更に係る変更通知を受け付け、
　前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、前記通信制御装置に接続された切替制御部が動作可能か否かを判定し、
　前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる
　ように構成されている通信制御装置。

（付記項２）
　前記プロセッサは、前記新たな設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記ユーザに前記新たな設定情報に従って前記切替制御部は動作不能である旨、及び動作不能の原因を通知する、付記項１に記載の通信制御装置。

（付記項３）
　前記プロセッサは、前記設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記切替制御部が動作可能となる設定情報を前記ネットワーク外部の外部装置に対して要求する、付記項１又は付記項２に記載の通信制御装置。

（付記項４）
　前記プロセッサは、前記ネットワーク上の制御装置において実行されるソフトウェアの更新と共に前記変更通知を受け付ける付記項１～３の何れか１項に記載の通信制御装置。

（付記項５）
　前記プロセッサは、前記ネットワークに新たな制御装置が接続された場合に前記変更通知を受け付ける付記項１～４の何れか１項に記載の通信制御装置。

（付記項６）
　前記プロセッサは、前記ネットワークが外部から攻撃を受けてフェールセーフ状態になった場合に前記変更通知を受け付ける付記項１～３の何れか１項に記載の通信制御装置。

　日本出願特願２０２２－００８９９９号の開示はその全体が参照により本明細書に取り込まれる。

　本明細書に記載された全ての文献、特許出願、及び技術規格は、個々の文献、特許出願、及び技術規格が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。

Claims (9)

1. 　ネットワークの通信を制御する通信制御装置であって、
   　前記ネットワークの通信設定の変更に係る変更通知を受け付ける受付部と、
   　前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、前記通信制御装置に接続された切替制御部が動作可能か否かを判定する判定部と、
   　前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる照会部と、
   　を備える通信制御装置。
2. 　前記判定部が前記新たな設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記ユーザに前記新たな設定情報に従って前記切替制御部は動作不能である旨、及び動作不能の原因を通知する通知部を備える、
   　請求項１に記載の通信制御装置。
3. 　前記判定部が前記設定情報に従って前記切替制御部が動作不能であると判定した場合は、前記切替制御部が動作可能となる設定情報を前記ネットワーク外部の外部装置に対して要求する要求部を備える、
   　請求項１又は２に記載の通信制御装置。
4. 　前記受付部は、前記ネットワーク上の制御装置において実行されるソフトウェアの更新と共に前記変更通知を受け付ける請求項１～３の何れか１項に記載の通信制御装置。
5. 　前記受付部は、前記ネットワークに新たな制御装置が接続された場合に前記変更通知を受け付ける請求項１～４の何れか１項に記載の通信制御装置。
6. 　前記受付部は、前記ネットワークが外部から攻撃を受けてフェールセーフ状態になった場合に前記変更通知を受け付ける請求項１～３の何れか１項に記載の通信制御装置。
7. 　請求項１～６の何れか１項に記載の通信制御装置と、
   　一又は複数の前記切替制御部と、
   　前記切替制御部に接続された制御装置と、
   　を備えた車両。
8. 　ネットワークの通信を制御する通信制御方法であって、
   　前記ネットワークの通信設定の変更に係る変更通知を受け付け、
   　前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、通信制御装置に接続された切替制御部が動作可能か否かを判定し、
   　前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる、
   　処理をコンピュータが実行する通信制御方法。
9. 　ネットワークの通信を制御する通信制御プログラムであって、
   　前記ネットワークの通信設定の変更に係る変更通知を受け付け、
   　前記変更通知に伴って必要となる前記ネットワークの新たな設定情報に従って、通信制御装置に接続された切替制御部が動作可能か否かを判定し、
   　前記設定情報に従って前記切替制御部が動作可能であると判定した場合に、前記新たな設定情報を前記切替制御部に反映させるか否かをユーザに問い合わせる、
   　処理をコンピュータに実行させる通信制御プログラム。