WO2025022656A1

WO2025022656A1 - 車両ソフトウェア自動設定システム、車両ソフトウェア自動設定方法、及び車両制御装置

Info

Publication number: WO2025022656A1
Application number: PCT/JP2023/027594
Authority: WO
Inventors: 健志瀬田
Original assignee: Hitachi Astemo Ltd
Current assignee: Astemo Ltd
Priority date: 2023-07-27
Filing date: 2023-07-27
Publication date: 2025-01-30
Anticipated expiration: 2026-01-27
Also published as: JPWO2025022656A1; DE112023006388T5

Abstract

車両ソフトウェア自動設定システムは、車両制御装置と、管理装置と、を備え、車両制御装置は、車両に取り付けられた機器を検出する機器変更検出部と、機器の識別情報を認識する機器情報認識部と、識別情報を用いて、機器の作業可否及び妥当性を問い合わせる妥当性問合せ部と、を有し、管理装置は、妥当性問合せ部が問い合わせる識別情報を用いて、機器の作業可否及び妥当性を確認して車両制御装置に応答する妥当性確認部と、妥当性確認部により、作業許可であると確認された機器に関連するソフトウェアを選択して車両制御装置に配信するソフトウェア選択及び配信部と、を有する。

Description

車両ソフトウェア自動設定システム、車両ソフトウェア自動設定方法、及び車両制御装置

　本発明は、車両ソフトウェア自動設定システム、車両ソフトウェア自動設定方法、及び車両制御装置に関する。

　一般的に、車が販売された直後の価格が最も高く、時間の経過により、車の価値は、低下していく。しかし、車の販売後に、車載のソフトウェア及びハードウェアのアップデートによって、車に最新の技術（サービス）を継続的に提供することにより、車の価値を低下させず、車のライフタイムを伸ばすことができる。近年、車載ソフトウェアのアップデートでは、無線通信の利用が主流となるので、自動車メーカーにおいて、オンラインアップデート方式の検討が進んでいる。例えば、特許文献１には、車のソフトウェアアップデートを無線通信によって実施する技術が提案されている。

　特許文献１には、「該制御部は、第１のアップデートがハードウェアのアップデートである場合には、当該ユーザ端末へ、第１のアップデートを店舗で実施することを通知する。当該制御部は、第１のアップデートがソフトウェアのアップデートである場合には、当該ユーザ端末へ、第１のアップデートを無線通信によって実施することを通知する。」と記載されている。

　ところで、車のハードウェアのアップデートは、通常、ＯＥＭ（Original Equipment Manufacturing）のディーラーや指定工場などで、各種機器を物理的に取り付け、交換、及び調整により行われる。ハードウェアのアップデート作業が完了した後、専用の機器を使用してソフトウェアの更新が行われる。また、車の所有者が、必要に応じて、提供された新たなサービスを選択して、車のハードウェア及びソフトウェアをアップデートする。なお、ハードウェアとソフトウェアとの組み合わせの膨大化に伴い、ソフトウェアの書き替えや設定などが複雑になるので、ディーラーや指定工場などの作業難度が上がることが想定される。その解決策として、ＯＥＭの管理センターと連携し、ＵＰｎＰ（Universal Plug and Play）技術を利用してソフトウェアを自動にアップデートすることで、ハードウェアアップデートに伴うに必要なソフトウェアの作業項目の削減や作業ミスの軽減が期待される。

特開２０２２－１７４６７８号公報

　新しいサービスを提供するために行う車両のハードウェアやソフトウェアなどのアップデートに対して、自動車メーカーは、事故に繋がる可能性のあるインシデントを防止する責務がある。しかし、ＵＰｎＰ技術が適用される車両のハードウェアアップデートにおいて、例えば、取り付け機器の改造や未承認の機器の取り付け、許可されていない作業者による取り付け作業等が発生する場合、自動車メーカーは、安全にサービスを提供することが難しい。また、ＵＰｎＰ技術が適用される車両のハードウェアアップデートにおいて、例えば、車の所有者の許可なく車に取り付けられた機器に関するソフトウェアアップデートが行われてしまう問題が発生する。なお、特許文献１には、ＵＰｎＰ技術が適用される車両のソフトウェア自動アップデートにおける上述の各問題については、言及されていない。

　本発明は上記問題を解決するためのなされたものであり、本発明の目的は、車両の機器の取り付け及び取り付け手順の妥当性を確保でき、安全のサービス自動アップデートを提供することである。

　本発明は、車両制御装置と、管理装置と、を備え、車両制御装置は、車両に取り付けられた機器を検出する機器変更検出部と、機器の識別情報を認識する機器情報認識部と、識別情報を用いて、機器の作業可否及び妥当性を問い合わせる妥当性問合せ部と、を有し、管理装置は、妥当性問合せ部が問い合わせる識別情報を用いて、機器の作業可否及び妥当性を確認して車両制御装置に応答する妥当性確認部と、妥当性確認部により、作業許可であると確認された機器に関連するソフトウェアを選択して車両制御装置に配信するソフトウェア選択及び配信部と、を有する。

　本発明によれば、車両の機器の取り付け及び取り付け手順の妥当性を確保でき、安全のサービス自動アップデートを提供することである。

本発明の第１実施形態に係る車両ソフトウェア自動設定システムの機能構成例を示す図である。本発明の第１実施形態に係る車両ソフトウェア自動設定システムにおける、車両機器変更に伴うソフトウェア自動設定処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの車両制御装置における、取り付け機器の変化検知処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの車両制御装置における、取り付け手順の妥当性問合せ処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの管理センターにおける、取り付け手順の妥当性問合せ対応処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの車両制御装置における、取り付け機器状態の妥当性問合せ処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの管理センターにおける、取り付け機器の妥当性問合せ対応処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの車両制御装置における、ソフトウェア及び設定情報の適用処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両ソフトウェア自動設定システムの管理センターにおける、ソフトウェアの選択及び配信処理の手順を示すフローチャートである。本発明の第１実施形態に係る車両制御装置及び管理センターのハードウェア構成例を示すブロック図である。本発明の第２実施形態に係る車両ソフトウェア自動設定システムの車両制御装置における、取り付け手順の妥当性問合せ処理の手順を示すフローチャートである。本発明の第２実施形態に係る車両ソフトウェア自動設定システムの管理センターにおける、取り付け手順の妥当性問合せ対応処理の手順を示すフローチャートである。本発明の第３実施形態に係る車両ソフトウェア自動設定システムの管理センターにおける、取り付け機器の妥当性問合せ対応処理の手順を示すフローチャートである。

　以下、本発明を実施するための形態について、添付図面を参照して説明する。本明細書及び図面において、実質的に同一の機能又は構成を有する構成要素については、同一の符号を付することにより重複する説明を省略する。本発明は、例えば、先進運転支援システム（ＡＤＡＳ：Advanced Driver Assistance System）、又は自動運転（ＡＤ：Autonomous Driving）向けの車載ＥＣＵ（Electronic Control Unit）が通信可能な車両制御用の演算装置に適用可能である。

＜第１実施形態＞
［車両ソフトウェア自動設定システムの機能構成例］
　まず、本発明の第１実施形態に係る車両ソフトウェア自動設定システム１の機能構成例について説明する。図１は、本実施形態に係る車両ソフトウェア自動設定システム１の機能構成例を示す図である。車両ソフトウェア自動設定システム１は、図１に示すように、車両制御装置１０と、管理センター２０（管理装置の一例）とを備える。車両制御装置１０と、管理センター２０とは、インターネット等の公衆回線、専用回線等で構成されるネットワークを介して互いに情報データの送受信ができるように接続される。

　車両制御装置１０は、各種演算を行うＣＰＵ（Central Processing Unit）１２と、記憶装置１３とを有する情報処理装置の一例であり、車両に搭載され、車両の動作を制御する。ＣＰＵ１２及び記憶装置１３は、内部バス又はアダプタなどを介して互いに接続される。また、車両制御装置１０には、取り付け、交換、及び取り外しの可能な複数の機器１１＿１～機器１１＿ｎが、内部バスやゲートウェイなどを介して接続される。以降の説明では、機器１１＿１～機器１１＿ｎを区別しない場合、「機器１１」と総称する。機器１１は、例えば、センサーやアクチュエータ、コントローラー等の演算装置を含み、自動車メーカーが提供する新しい車両サービスを実現するための機器である。

　ＣＰＵ１２は、図１に示すように、機器情報認識部（取り付け機器ＩＤ認識部１２１）と、機器変更検出部（実装情報変更検出部１２２）と、妥当性問合せ部（妥当性確認部１２３）とを含む。また、ＣＰＵ１２は、車両ソフト適用部（車両ソフト更新部１２４）と、通知部（取り付け機器確認結果通知部１２５）とを含む。ＣＰＵ１２は、上記各構成部の動作を制御する。

　機器情報認識部（取り付け機器ＩＤ認識部１２１）は、機器（機器１１）の識別情報（例えば、ＩＤ：Identification）を認識する。

　機器変更検出部（実装情報変更検出部１２２）は、車両に取り付けられた機器を検出する。また、実装情報変更検出部１２２は、取り付け機器ＩＤ認識部１２１により認識された機器１１の交換や取り外しなどの接続変更を検出する。

　妥当性問合せ部（妥当性確認部１２３）は、機器の識別情報を用いて、機器の作業可否及び妥当性を問い合わせる。ここで、機器の作業可否は、機器の識別情報の作業可否、及び、機器の取り付け手順の作業可否を含み、機器の妥当性は、機器の識別情報の妥当性、及び、機器の取り付け手順の妥当性を含む。

　車両ソフトウェア適用部（車両ソフトウェア更新部１２４）は、管理装置（管理センター２０）の後述のソフトウェア選択及び配信部（ソフトウェア選択及び配信部２１２）により選択され、かつ配信されたソフトウェアを車両に適用（更新）する。

　通知部（取り付け機器確認結果通知部１２５）は、管理装置（管理センター２０）の後述の妥当性確認部（妥当性確認部２１１）により、機器の妥当性が未承認であると応答された場合、機器の妥当性が未承認であることを示すワーニング状態を通知する。取り付け機器確認結果通知部１２５は、ワーニング状態を、車両のセンターパネル、車載情報端末、車両の所有者のスマートフォンアプリ等を介して車両の所有者に通知する。

　記憶装置１３は、機器１１の識別情報（機器ＩＤ）、機器１１の識別情報の作業可否及び妥当性に関する情報、機器１１の取り付け手順の作業可否及び妥当性に関する情報、及び、動作中のソフトウェア及び設定情報を含む実装情報１３１を記憶する。なお、実装情報１３１は、機器ＩＤに紐付けられて記憶される。

　管理センター２０は、図１に示すように、管理装置の一例であり、各種演算を行うＣＰＵ２１と、記憶装置２２とを有し、車両の要求に応じて取り付け機器の妥当性を確認し、車両に要求されたさソフトウェアを選択して配信する処理等を行う。なお、管理センター２０は、上述の処理以外の車両管理機能を有してもよい。ＣＰＵ２１は、妥当性確認部（妥当性確認部２１１）と、ソフトウェア選択及び配信部（ソフトウェア選択及び配信部２１２）と、実装情報更新部２１３とを含み、各部の動作を制御する。なお、ＣＰＵ２１に代えてＧＰＵ（Graphics Processing Unit）を用いてもよく、ＣＰＵ２１とＧＰＵを併用してもよい。また、管理センター２０は、専用のサーバー上や、クラウド上に構成されてもよい。

　妥当性確認部（妥当性確認部２１１）は、妥当性問合せ部（車両制御装置１０の妥当性確認部１２３）が問い合わせる機器の識別情報を用いて、機器の作業可否及び妥当性を確認して車両制御装置（車両制御装置１０）に応答する。

　ソフトウェア選択及び配信部（ソフトウェア選択及び配信部２１２）は、妥当性確認部（妥当性確認部２１１）により、作業許可であると確認された機器に関連するソフトウェアを選択して車両制御装置（車両制御装置１０）に配信する。なお、機器に関連するソフトウェアは、機器を動作させるために必要となる車載ソフトウェア、機器ソフトウェア及び設定情報を含む。

　実装情報更新部２１３は、車両制御装置１０から受信した実装情報１３１を用いて、記憶装置２２に記憶される実装情報２２１を更新する。

　記憶装置２２は、管理センター２０により管理される全ての車両に接続される機器の実装情報２２１、及び、車両メーカーが提供する車両サービスを実現するために必要となる車載ソフトウェア、機器ソフトウェア及び設定情報を含むＳＷ（Software）及び設定管理情報２２２を記憶する。

［車両機器変更に伴うソフトウェア自動設定処理の手順］
　次に、車両ソフトウェア自動設定システム１における、車両機器変更に伴うソフトウェア自動設定処理の手順について説明する。図２は、本実施形態に係る車両ソフトウェア自動設定システム１における、車両機器変更に伴うソフトウェア自動設定処理の手順を示すフローチャートである。以下に説明する処理は、車両が起動すると開始する。

　まず、車両制御装置１０の実装情報変更検出部１２２は、取り付け機器の変化を検出する（ステップＳ１００）。この処理の詳細は、後述の図３で説明する。

　次いで、実装情報変更検出部１２２は、取り付け機器の変化があるか否かを判定する（ステップＳ１１０）。この処理において、実装情報変更検出部１２２は、取り付け機器の変化を検出した場合、取り付け機器の変化があると判定し、ステップＳ１１０はＹｅｓ判定となる。一方、実装情報変更検出部１２２は、取り付け機器の変化を検出しなかった場合、取り付け機器の変化がないと判定し、ステップＳ１１０はＮｏ判定となる。

　ステップＳ１１０の処理において、実装情報変更検出部１２２は、取り付け機器の変化がないと判定した場合（ステップＳ１１０がＮｏ判定の場合）、後述のステップＳ５００の処理が行われる。

　一方、ステップＳ１１０の処理において、実装情報変更検出部１２２が、取り付け機器の変化があると判定した場合（ステップＳ１１０がＹｅｓ判定の場合）、ステップＳ２００の処理が行われる。ステップＳ２００の処理において、妥当性確認部１２３は、変化のある取り付け機器の取り付け手順の妥当性を管理センター２０へ問合わせる。また、この処理において、妥当性確認部１２３は、管理センター２０から受信した妥当性問合せに対する応答に基づいて、実装情報１３１中の取り付け手順の妥当性を更新する。なお、この処理の詳細は、後述の図４で説明する。以降の説明では、変化が検出された取り付け機器を、「機器」と略称し、「取り付け手順」を、「手順」と略称することもある。

　次いで、妥当性確認部１２３は、管理センター２０からの妥当性問合せに対する応答に基づいて、手順の作業拒否を判定する（ステップＳ２１０）。この処理では、妥当性確認部１２３は、管理センター２０からの応答に「作業許可」との応答が含まれる場合、手順が作業許可であると判定し、ステップＳ２１０はＹｅｓ判定となる。一方、妥当性確認部１２３は、管理センター２０からの応答に「作業拒否」との応答が含まれる場合、手順が作業拒否であると判定し、ステップＳ３１０はＮｏ判定となる。

　ステップＳ２１０の処理において、妥当性確認部１２３は、手順が作業拒否であると判定した場合（ステップＳ２１０が「作業拒否」判定の場合）、後述のステップＳ５００の処理が行われる。

　一方、ステップＳ２１０の処理において、妥当性確認部１２３は、手順が作業許可であると判定した場合（ステップＳ２１０が「作業許可」判定の場合）、ステップＳ３００の処理が行われる。ステップＳ３００の処理において、妥当性確認部１２３は、変化のある取り付け機器の識別情報（機器ＩＤ）の妥当性を管理センター２０へ問合わせる（ステップＳ３００）。また、この処理では、妥当性確認部１２３は、管理センター２０からの妥当性問合せに対する応答に基づいて、実装情報１３１中の機器ＩＤの妥当性を更新する。なお、この処理の詳細は、後述の図６で説明する。以降の説明では、取り付け機器の識別情報の妥当性を、「機器状態の妥当性」と称し、取り付け機器の識別情報の作業拒否を、「機器状態の作業拒否」と称する。

　次いで、妥当性確認部１２３は、管理センター２０からの妥当性問合せに対する応答に基づいて、機器状態の作業拒否を判定する（ステップＳ３１０）。この処理では、妥当性確認部１２３は、管理センター２０からの応答に「作業許可」との応答が含まれる場合、機器状態が作業許可であると判定し、ステップＳ３１０はＹｅｓ判定となる。一方、妥当性確認部１２３は、管理センター２０からの応答に「作業拒否」との応答が含まれる場合、機器状態が作業拒否であると判定し、ステップＳ３１０はＮｏ判定となる。

　ステップＳ３１０の処理において、妥当性確認部１２３は、機器状態が作業拒否であると判定した場合（ステップＳ３１０が「作業拒否」判定の場合）、後述のステップＳ５００の処理が行われる。

　一方、ステップＳ３１０の処理において、妥当性確認部１２３は、機器状態が作業許可であると判定した場合（ステップＳ３１０が「作業許可」判定の場合）、ステップＳ４００の処理が行われる。ステップＳ４００の処理において、車両ソフト更新部１２４は、取り付け機器に関連するソフトウェア及び設定情報の適用処理を行う。なお、ステップＳ４００の詳細処理は、後述の図８で説明する。

　ステップＳ１１０のＮｏ判定の場合、ステップＳ２１０の「作業拒否」判定の場合、ステップＳ３１０の「作業拒否」判定の場合、又は、ステップＳ４００の処理後、ステップＳ５００の処理が行われる。ステップＳ５００の処理において、車両制御装置１０の妥当性確認部１２３は、自装置の全ての取り付け機器に対して、機器の妥当性を確認する。また、この処理において、妥当性確認部１２３は、各機器の機器ＩＤに紐付けられている実装情報１３１中の機器状態妥当性及び手順妥当性を確認する。また、この処理では、車両制御装置１０は、ネットワークを介して、実装情報１３１を管理センター２０に共有する。管理センター２０の実装情報更新部２１３は、車両制御装置１０から共有された実装情報１３１を管理センター２０の実装情報２２１に更新する。

　次いで、妥当性確認部１２３は、全ての取り付け機器の中、妥当性が未承認の機器があるか否かを判定する（ステップＳ５１０）。この処理では、妥当性確認部１２３は、ステップＳ５００の処理において、全ての機器の機器ＩＤに紐付けられている実装情報１３１中の機器状態妥当性及び手順妥当性が「承認」であると確認した場合、未承認の機器がないと判定し、ステップＳ５１０はＮｏ判定となる。一方、妥当性確認部１２３は、ステップＳ５００の処理において、機器ＩＤに紐付けられている実装情報１３１中の機器状態妥当性及び／又は手順妥当性が「未承認」のものが存在すると確認した場合、未承認の機器があると判定し、ステップＳ５１０はＹｅｓ判定となる。

　ステップＳ５１０の処理において、妥当性確認部１２３が未承認の機器があると判定した場合（ステップＳ５１０のＹｅｓ判定の場合）、取り付け機器確認結果通知部１２５は、妥当性が未承認の取り付け機器の未承認状態示すワーニング状態を、車両の所有者に通知する（ステップＳ５２０）。なお、車両の所有者に対するワーニング通知は、所有者のスマートフォンアプリを介して通知してもよいし、車両のセンターパネルに表示することにより通知してもよい。また、この処理では、手順妥当性の未承認と、機器状態妥当性の未承認とを分けてワーニング通知を行ってもよい。

　一方、ステップＳ５１０の処理において、妥当性確認部１２３が未承認の機器がないと判定した場合（ステップＳ５１０のＮｏ判定の場合）、取り付け機器確認結果通知部１２５は、ワーニング通知を解除する（ステップＳ５３０）。ステップＳ５２０、または、ステップＳ５３０の処理後、車両機器変更に伴うソフトウェア自動設定処理は終了する。

［車両制御装置における取り付け機器の変化検出処理の手順］
　次に、車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け機器の変化検出処理の手順について説明する。図３は、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け機器の変化検出処理の手順を示すフローチャートである。以下に説明する処理は、図２に示す処理のステップＳ１００において、サブルーチンとして呼び出されて実行される。

　まず、車両制御装置１０の取り付け機器ＩＤ認識部１２１は、車両の全ての取り付け機器の機器ＩＤを認識する（ステップＳ１０１）。

　次いで、車両制御装置１０の実装情報変更検出部１２２は、取り付け機器ＩＤ認識部１２１により認識された機器の数回に行われるループ処理を開始する（ステップＳ１０２）。

　次いで、実装情報変更検出部１２２は、認識された機器ＩＤを１つ取得する（ステップＳ１０３）。なお、ループ処理が繰り返される度に、実装情報変更検出部１２２は、機器ＩＤを１つずつ順に取得する。

　次いで、実装情報変更検出部１２２は、実装情報１３１に、取得された機器ＩＤが存在するか否かを判定する（ステップＳ１０４）。

　ステップＳ１０４の処理において、実装情報変更検出部１２２は、実装情報１３１に機器ＩＤが存在しないと判定した場合（ステップＳ１０４のＮｏ判定の場合）、機器の新規取り付けを実装情報１３１に更新（登録）する（ステップＳ１０５）。

　一方、ステップＳ１０４の処理において、実装情報変更検出部１２２は、実装情報１３１に機器ＩＤが存在すると判定した場合（ステップＳ１０４のＹｅｓ判定の場合）、又は、ステップＳ１０５の処理後、今回のループ処理を終了する（ステップＳ１０６）。

　全ての機器に対して、ステップＳ１０２～ステップＳ１０６の処理が実行された後、実装情報変更検出部１２２は、実装情報１３１に検索されなかった機器ＩＤが存在するか否かを判定する（ステップＳ１０７）。

　ステップＳ１０７の処理において、実装情報変更検出部１２２は、実装情報１３１に検索されなかった機器ＩＤが存在すると判定した場合（ステップＳ１０７のＹｅｓ判定の場合）、機器の取り外しを実装情報１３１に更新（削除）する（ステップＳ１０８）。

　一方、ステップＳ１０７の処理において、実装情報変更検出部１２２は、実装情報１３１に検索されなかった機器ＩＤが存在しないと判定した場合（ステップＳ１０７のＮｏ判定の場合）、又は、ステップＳ１０８の処理後、取り付け機器の変化検知処理は終了する。

［車両制御装置における手順の妥当性問合せ処理の手順］
　次に、車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け手順の妥当性問合せ処理の手順について説明する。図４は、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け手順の妥当性問合せ処理の手順を示すフローチャートである。以下に説明する処理は、図２に示す処理のステップＳ２００において、サブルーチンとして呼び出されて実行される。

　まず、車両制御装置１０の妥当性確認部１２３は、作業場所を特定するため、取り付け機器の接続の初回検知時の車両の位置情報を取得する（ステップＳ２０１）。なお、車両の位置情報は、例えば、ＧＰＳ情報や、カメラ、ＬｉＤＡＲ（Light Detection And Ranging）等のセンサーの検知情報と地図情報とを照合して算出される。

　次いで、妥当性確認部１２３は、取得した車両の位置情報を管理センター２０に送信し、機器の取り付け手順の妥当性問合せを行う（ステップＳ２０２）。この処理では、管理センター２０は、車両制御装置１０から受信した手順の妥当性問合せに対して、作業可否と、取り付け手順の妥当性とを確認し、確認結果を車両制御装置１０に応答する。なお、管理センター２０における、取り付け手順の妥当性問合せ対応処理について、後述の図５で詳述する。

　次いで、妥当性確認部１２３は、管理センター２０から応答された確認結果に基づいて、作業可否を判定する（ステップＳ２０３）。

　ステップＳ２０３の処理において、妥当性確認部１２３は、応答された確認結果に「作業拒否」が含まれると判定した場合（ステップＳ２０３の「作業拒否」判定の場合）、手順の妥当性問合せ処理は終了する。

　一方、ステップＳ２０３の処理において、妥当性確認部１２３は、応答された確認結果に「作業許可」が含まれると判定した場合、手順の妥当性を判定する（ステップＳ２０４）。

　ステップＳ２０４の処理において、妥当性確認部１２３は、応答された確認結果に含まれる手順の妥当性が「承認」であると判定した場合（ステップＳ２０４の「承認」判定の場合）、ステップＳ２０６の処理を行う。ステップＳ２０６の処理において、妥当性確認部１２３は、実装情報１３１における、取り付け機器の機器ＩＤに紐付ける手順妥当性を「承認」に更新する（ステップＳ２０５）。

　一方、ステップＳ２０４の処理において、妥当性確認部１２３は、応答された確認結果に含まれる手順の妥当性が「未承認」であると判定した場合（ステップＳ２０４の「未承認」判定の場合）、ステップＳ２０６の処理を行う。ステップＳ２０６の処理において、妥当性確認部１２３は、実装情報１３１における、取り付け機器の機器ＩＤに紐付ける手順妥当性を「未承認」に更新する。ステップＳ２０３の「作業拒否」判定の場合、ステップＳ２０５、又は、ステップＳ２０６の処理後、手順の妥当性問合せ処理は終了する。

［管理センターにおける取り付け手順の妥当性問合せ対応処理の手順］
　次に、車両ソフトウェア自動設定システム１の管理センター２０における、取り付け手順の妥当性問合せ対応処理について説明する。この処理では、妥当性確認部（妥当性確認部２１１）は、車両の位置情報に基づいて、車両の位置が予め登録された作業許可の作業場所であると判定した場合、機器の取り付け手順の妥当性が承認であり、機器の取り付け手順の作業可否が作業許可であると確定する。また、妥当性確認部（妥当性確認部２１１）は、車両の位置情報に基づいて、車両の位置が予め登録された作業許可の作業場所でないと判定した場合、機器の取り付け手順の妥当性が未承認であると確定し、機器の取り付け手順の作業可否を、車両の所有者へ確認する。また、妥当性確認部（妥当性確認部２１１）は、機器の取り付け手順が所有者により許可された場合、機器の取り付け手順の作業可否が作業許可であると確定する。具体的な処理手順は、図５を用いて説明する。

　図５は、本実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、取り付け手順の妥当性問合せ対応処理の手順を示すフローチャートである。以下に説明する処理は、管理センター２０が車両から取り付け手順の妥当性問合せを受信すると開始する。

　まず、管理センター２０の妥当性確認部２１１は、取り付け手順の妥当性問合せを受け付ける（ステップＳ２５１）。

　次いで、妥当性確認部２１１は、妥当性問合せに含まれる車両の位置情報が、車両メーカーの許可した作業場所であるか否かを判定する（ステップＳ２５２）。なお、車両メーカーの許可した作業場所は、例えば、ディーラー工場、指定工場等である。

　ステップＳ２５２の処理において、妥当性確認部２１１は、車両の位置情報が記憶装置２２に予め登録された作業許可の作業場所であると判定した場合（ステップＳ２５２のＹｅｓ判定の場合）、取り付け手順の妥当性を「承認」に更新する（ステップＳ２５３）。この処理では、妥当性確認部２１１は、実装情報２２１における、取り付け機器の機器ＩＤに紐付ける手順妥当性を「承認」に更新する。

　一方、ステップＳ２５２の処理において、妥当性確認部２１１は、車両の位置情報が記憶装置２２に予め登録された作業場所でないと判定した場合（ステップＳ２５２のＮｏ判定の場合）、車両の所有者に作業可否を確認する（ステップＳ２５４）。

　次いで、妥当性確認部２１１は、車両の所有者の回答は作業許可であるか否かを判定する（ステップＳ２５５）。

　ステップＳ２５５の処理において、妥当性確認部２１１は、所有者の回答が作業拒否である場合（ステップＳ２５５のＮｏ判定の場合）、作業拒否を車両制御装置１０に応答する（ステップＳ２５６）。

　一方、ステップＳ２５５の処理において、妥当性確認部２１１は、所有者の回答が作業許可である場合（ステップＳ２５５のＹｅｓ判定の場合）、取り付け手順の妥当性を「未承認」に更新する（ステップＳ２５７）。この処理では、妥当性確認部２１１は、実装情報２２１における、取り付け機器の機器ＩＤに紐付ける手順妥当性を「未承認」に更新する。

　ステップＳ２５３、又は、ステップＳ２５７の処理後、妥当性確認部２１１は、作業許可及び更新した手順妥当性を車両制御装置１０に応答する（ステップＳ２５８）。ステップＳ２５６、又は、ステップＳ２５８の処理後、管理センター２０における取り付け手順の妥当性問合せ対応処理は終了する。

［車両制御装置における取り付け機器状態の妥当性問合せ処理の手順］
　次に、車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け機器状態の妥当性問合せ処理の手順について説明する。図６は、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け機器状態の妥当性問合せ処理の手順を示すフローチャートである。以下に説明する処理は、図２に示す処理のステップＳ３００において、サブルーチンとして呼び出されて実行される。

　まず、車両制御装置１０の妥当性確認部１２３は、取り付け機器の機器ＩＤをキーとして、管理センター２０へ機器状態の妥当性問合せを行う（ステップＳ３０１）。また、この処理では、管理センター２０は、車両制御装置１０から受信した機器状態の妥当性問合せに対して、作業可否及び妥当性を確認し、確認結果を車両制御装置１０に応答する。なお、管理センター２０における、取り付け機器状態の妥当性問合せ対応処理について、後述の図７で詳述する。

　次いで、妥当性確認部１２３は、管理センター２０から応答された確認結果に基づいて、作業可否を判定する（ステップＳ３０２）。

　ステップＳ３０２の処理において、妥当性確認部１２３は、応答された確認結果に「作業拒否」が含まれる場合（ステップＳ３０２の「作業拒否」判定の場合）、取り付け機器の妥当性問合せ処理は終了する。

　一方、ステップＳ３０２の処理において、妥当性確認部１２３は、応答された確認結果に「作業許可」が含まれる場合（ステップＳ３０２の「作業許可」判定の場合）、確認結果に基づいて、機器状態の妥当性を判定する（ステップＳ３０３）。

　ステップＳ３０３の処理において、妥当性確認部１２３は、応答された確認結果に含まれる機器状態の妥当性が「承認」であると判定した場合（ステップＳ３０３の「承認」判定の場合）、ステップＳ３０４の処理が行われる。ステップＳ３０４の処理において、妥当性確認部１２３は、実装情報１３１における、取り付け機器の機器ＩＤに紐付ける機器状態妥当性を「承認」に更新する。

　一方、ステップＳ３０３の処理において、妥当性確認部１２３は、応答された確認結果に含まれる機器状態の妥当性が「未承認」である場合（ステップＳ３０３の「未承認」判定の場合）、ステップＳ３０５の処理が行われる。ステップＳ３０５の処理において、妥当性確認部１２３は、実装情報１３１における、取り付け機器の機器ＩＤに紐付ける機器状態妥当性を「未承認」に更新する。ステップＳ３０２の「作業拒否」判定の場合、ステップＳ３０４、又は、ステップＳ３０５の処理後、取り付け機器状態の妥当性問合せ処理は終了する。

［管理センターにおける取り付け機器状態の妥当性問合せ対応処理の手順］
　次に、車両ソフトウェア自動設定システム１の管理センター２０における、取り付け機器状態の妥当性問合せ対応処理について説明する。この処理では、妥当性確認部（妥当性確認部２１１）は、機器の識別情報に基づいて、機器が保安基準に満たしていると判定した場合、機器の識別情報の妥当性が承認であり、機器の識別情報の作業可否が作業許可であると確定する。また、妥当性確認部（妥当性確認部２１１）は、機器の識別情報に基づいて、機器が保安基準に満たしていないと判定した場合、機器の識別情報の妥当性が未承認であると確定し、機器の識別情報の作業可否を、車両の所有者へ確認する。また、妥当性確認部（妥当性確認部２１１）は、機器の識別情報が所有者により許可された場合、機器の識別情報の作業可否が作業許可であると確定する。具体的な処理手順は、図７を用いて説明する。

　図７は、本実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、取り付け機器の妥当性問合せ対応処理の手順を示すフローチャートである。以下に説明する処理は、管理センター２０が車両から取り付け機器状態の妥当性問合せを受信すると開始する。

　まず、管理センター２０の妥当性確認部２１１は、取り付け機器状態の妥当性問合せを受け付ける（ステップＳ３５１）。

　次いで、妥当性確認部２１１は、妥当性問合せに含まれる機器ＩＤを有する機器が、保安上または公害防止のための技術上最低限度の基準である保安基準を満たしているか否かを判定する（ステップＳ３５２）。

　ステップＳ３５２の処理において、妥当性確認部２１１は、機器が保安基準を満たしていると判定した場合（ステップＳ３５２のＹｅｓ判定の場合）、取り付け機器状態の妥当性を「承認」に更新する（ステップＳ３５３）。この処理では、妥当性確認部２１１は、実装情報２２１における、取り付け機器の機器ＩＤに紐付ける機器状態妥当性を「承認」に更新する。

　一方、ステップＳ３５２の処理において、妥当性確認部２１１は、機器が保安基準を満たしていないと判定した場合（ステップＳ３５２のＮｏ判定の場合）、車両の所有者に作業可否を確認する（ステップＳ３５４）。

　次いで、妥当性確認部２１１は、車両の所有者の回答は作業許可であるか否かを判定する（ステップＳ３５５）。

　ステップＳ３５５の処理において、妥当性確認部２１１は、所有者の回答が作業拒否であると判定した場合（ステップＳ３５５のＮｏ判定の場合）、作業拒否を車両制御装置１０に応答する（ステップＳ３５６）。

　一方、ステップＳ３５５の処理において、妥当性確認部２１１は、所有者の回答が作業許可であると判定した場合（ステップＳ３５５のＹｅｓ判定の場合）、取り付け機器状態の妥当性を「未承認」に更新する（ステップＳ３５７）。この処理では、妥当性確認部２１１は、実装情報２２１における、取り付け機器の機器ＩＤに紐付ける機器状態妥当性を「未承認」に更新する。

　ステップ３５３、又は、ステップＳ３５７の処理後、妥当性確認部２１１は、作業許可及び更新した機器妥当性を車両制御装置１０に応答する（ステップＳ３５８）。ステップＳ３５６、又は、ステップＳ３５８の処理後、管理センター２０における取り付け機器状態の妥当性問合せ対応処理は終了する。

［車両制御装置におけるソフトウェア及び設定情報の適用処理の手順］
　次に、車両制御装置１０におけるソフトウェア及び設定情報の適用処理の手順について説明する。図８は、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、ソフトウェア及び設定情報の適用処理の手順を示すフローチャートである。以下に説明する処理は、図２に示す処理のステップＳ４００において、サブルーチンとして呼び出されて実行される。

　まず、車両制御装置１０の車両ソフト更新部１２４は、管理センター２０へ、取り付け機器に関連するソフトウェア及び設定情報の配信を要求する（ステップＳ４０１）。また、この処理では、管理センター２０は、車両制御装置１０から受信したソフトウェア及び設定情報の配信要求に対して、取り付け機器に関連するソフトウェア及び設定情報を選択して車両制御装置１０に配信する。なお、管理センター２０における、ソフトウェアの選択及び配信処理について、後述の図９で詳述する。

　次いで、車両ソフト更新部１２４は、管理センター２０から、ソフトウェア及び設定情報を受信してバッファリングを行う（ステップＳ４０２）。

　次いで、車両ソフト更新部１２４は、車載ソフトウェアの更新があるか否かを判定する（ステップＳ４０３）。この処理では、車両ソフト更新部１２４は、受信したソフトウェアの中に車載ソフトウェアが含まれる場合、受信した車載ソフトウェアのバージョン情報と、動作中の車載ソフトウェアのバージョン情報とを比較し、比較結果に基づいて判定を行う。受信した車載ソフトウェアのバージョン情報と、動作中の車載ソフトウェアのバージョン情報とが異なる場合に、車両ソフト更新部１２４は、更新があると判定し、ステップＳ４０３がＹｅｓ判定となる。一方、受信した車載ソフトウェアのバージョン情報と、動作中の車載ソフトウェアのバージョン情報とが同じである場合に、車両ソフト更新部１２４は、更新がないと判定し、ステップＳ４０３がＮｏ判定となる。

　ステップＳ４０３の処理において、車両ソフト更新部１２４は、車両ソフトウェアの更新があると判定した場合（ステップＳ４０３のＹｅｓ判定の場合）、受信した車載ソフトウェアを適用する（ステップＳ４０４）。

　一方、ステップＳ４０３の処理において、車両ソフト更新部１２４は、車載ソフトウェアの更新がないと判定した場合（ステップＳ４０３のＮｏ判定の場合）、又は、ステップＳ４０３の処理後、設定情報の更新があるか否かを判定する（ステップＳ４０５）。この処理では、車両ソフト更新部１２４は、受信した設定情報と、動作中の設定情報とを比較し、比較結果に基づいて判定を行う。受信した設定情報と、動作中の設定情報と異なる場合に、車両ソフト更新部１２４は、更新があると判定し、ステップＳ４０５がＹｅｓ判定となる。一方、受信した設定情報と、動作中の設定情報と同じである場合に、車両ソフト更新部１２４は、更新がないと判定し、ステップＳ４０５がＮｏ判定となる。

　ステップＳ４０５の処理において、車両ソフト更新部１２４は、設定情報の更新があると判定した場合（ステップＳ４０５のＹｅｓ判定の場合）、受信した設定情報を適用する（ステップＳ４０６）。

　一方、ステップＳ４０５の処理において、車両ソフト更新部１２４は、設定情報の更新がないと判定した場合（ステップＳ４０５のＮｏ判定の場合）、又は、ステップＳ４０６の処理後、機器ソフトウェアの更新があるか否かを判定する（ステップＳ４０７）。この処理では、車両ソフト更新部１２４は、受信した機器ソフトウェアのバージョン情報と、動作中の機器ソフトウェアのバージョン情報とを比較し、比較結果に基づいて判定を行う。受信した機器ソフトウェアのバージョン情報と、動作中の機器ソフトウェアのバージョン情報と異なる場合に、車両ソフト更新部１２４は、更新があると判定し、ステップＳ４０７がＹｅｓ判定となる。一方、受信した機器ソフトウェアのバージョン情報と、動作中の機器ソフトウェアのバージョン情報と同じである場合に、車両ソフト更新部１２４は、更新がないと判定し、ステップＳ４０７がＮｏ判定となる。

　ステップＳ４０７の処理において、車両ソフト更新部１２４は、機器ソフトウェアの更新があると判定した場合（ステップＳ４０７のＹｅｓ判定の場合）、受信した機器ソフトウェアを適用する（ステップＳ４０８）。

　一方、ステップＳ４０７の処理において、車両ソフト更新部１２４は、機器ソフトウェアの更新がないと判定した場合（ステップＳ４０７のＮｏ判定の場合）、又は、ステップＳ４０８の処理後、ソフトウェア及び設定情報の適用処理は終了する。

［管理センターにおけるソフトウェアの選択及び配信処理の手順］
　次に、管理センター２０におけるソフトウェアの選択及び配信処理の手順について説明する。図９は、本実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、ソフトウェアの選択及び配信処理の手順を示すフローチャートである。以下に説明する処理は、管理センター２０が車両制御装置１０からソフトウェアの配信要求を受信すると開始する。

　まず、管理センター２０のソフトウェア選択及び配信部２１２は、ソフトウェアの配信要求を受け付ける（ステップＳ４０１１）。

　次いで、ソフトウェア選択及び配信部２１２は、受信した配信要求に基づいて、ソフトウェア及び設定情報を選択する（ステップＳ４０１２）。この処理では、ソフトウェア選択及び配信部２１２は、受信した配信要求に含まれる機器ＩＤに紐付ける実装情報１３１、及び、車両メーカーが同車両に提供するサービスメニューをキーに、車両メーカーで検証済の車載ソフトウェア、機器ソフトウェア及び設定情報を、記憶装置２２のＳＷ及び設定管理情報２２２から選択する。

　次いで、ソフトウェア選択及び配信部２１２は、選択したソフトウェア及び設定情報を車両制御装置１０に配信する（ステップＳ４０１３）。ステップＳ４０１３の処理後、ソフトウェアの選択及び配信処理は終了する。なお、配信方法については、標準化された無線通信方式を利用することができる。

［車両制御装置及び管理センターのハードウェア構成例］
　次に、車両制御装置１０及び管理センター２０を構成する情報処理装置３０のハードウェア構成例について説明する。図１０は、本実施形態に係る車両制御装置１０及び管理センター２０のハードウェア構成例を示すブロック図である。

　情報処理装置３０は、図１０に示すように、ＣＰＵ３０ａ、ＲＯＭ（Read Only Memory）３０ｂ、ＲＡＭ（Random Access Memory）３０ｃ、記憶装置３０ｄ及び入出力インターフェース３０ｅを備える。ＣＰＵ３０ａ、ＲＯＭ３０ｂ、ＲＡＭ３０ｃ、記憶装置３０ｄ及び入出力インターフェース３０ｅは、バス３０ｆにより、互いに情報データの送受信ができるように接続される。

　ＣＰＵ３０ａは、車両制御装置１０のＣＰＵ１２、及び管理センター２０のＣＰＵ２１の一例であり、車両制御装置１０又は管理センター２０内の各部の動作を制御する。なお、ＣＰＵ３０ａに代えてＧＰＵ（Graphics Processing Unit）を用いてもよく、ＣＰＵ３０ａとＧＰＵを併用してもよい。

　ＲＯＭ３０ｂは、例えば不揮発性メモリ等の記憶媒体で構成され、ＣＰＵ３０ａが実行及び参照するプログラムやデータ等を記憶する。

　ＲＡＭ３０ｃは、例えば揮発性メモリ等の記憶媒体で構成され、ＣＰＵ３０ａが行う各処理に必要な情報（データ）を一時的に記憶する。

　記憶装置３０ｄは、ＣＰＵ３０ａによって実行されるプログラムを格納したコンピューター読取可能な非一過性の記録媒体で構成され、例えばＨＤＤ（Hard Disk Drive）等の記憶装置で構成される。記憶装置３０ｄは、車両制御装置１０の記憶装置１３、及び管理センター２０の記憶装置２２の一例であり、図１で説明した実装情報１３１、実装情報２２１、ＳＷ及び設定管理情報２２２等を記憶するとともに、ＣＰＵ３０ａが各部を制御するためのプログラム、ＯＳ（Operating System）、コントローラー等のプログラム、データを記憶する。なお、記憶装置３０ｄに記憶されるプログラム、データの一部は、ＲＯＭ３０ｂに記憶されてもよい。また、ＣＰＵ３０ａによって実行されるプログラムを格納したコンピューター読取可能な非一過性の記録媒体は、ＨＤＤに限定されず、例えば、ＳＳＤ（Solid State Drive）、ＣＤ（Compact Disc）－ＲＯＭ、ＤＶＤ（Digital Versatile Disc）－ＲＯＭ等の記録媒体であってもよい。

　入出力インターフェース３０ｅは、ＣＰＵ３０ａの制御により、情報処理装置３０の外部との情報データの送受信を行う。

［効果］
　上述したように、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０は、取り付け機器の変化を検出し、変化のある取り付け機器状態及び機器の取り付け手順の妥当性（機器の妥当性）を車両の管理センター２０へ問い合わせる。また、車両ソフトウェア自動設定システム１の管理センター２０は、作業可否及び妥当性を確認して、確認結果を車両制御装置１０に応答する。また、車両制御装置１０は、機器状態及び機器の取り付け手順が作業許可された場合のみ、管理センター２０へ取り付け機器の変化に伴うソフトウェア及び設定情報の配信を要求して自車両に適用する。また、車両制御装置１０は、妥当性が未承認である機器について、妥当性が未承認であることを示すワーニング状態を車両の所有者に通知する。すなわち、車両ソフトウェア自動設定システム１は、車両メーカーが許可した作業場所、又は、車両の所有者が許可したが作業場所における、保安基準を満たしている機器に関するソフトウェア（サービス）を選択して自動に車両に適用（アップデート）する。また、車両ソフトウェア自動設定システム１は、妥当性が未承認の機器について車両の所有者に通知することにより、車両の所有者が車両に取り付けられている機器の妥当性を把握することができる。このため、本実施形態に係る車両ソフトウェア自動設定システム１によれば、車両の機器の取り付け及び取り付け手順の妥当性を確保でき、安全のサービス自動アップデートを提供することである。

＜第２実施形態＞
　次に、本発明の第２実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け手順の妥当性問合せ処理の手順について説明する。なお、本発明の第２実施形態に係る車両ソフトウェア自動設定システム１は、第１実施形態に係る車両ソフトウェア自動設定システム１と同じ構成を有するので、重複説明は省略する。

　図１１は、本実施形態に係る車両ソフトウェア自動設定システム１の車両制御装置１０における、取り付け手順の妥当性の問合せ処理の手順を示すフローチャートである。図１１と図４とを比較して分かるように、第２実施形態では、妥当性確認部１２３は、取り付け機器の接続の初回検知時の車両の位置情報を取得すること（図４のステップＳ２０１）でなく、代わりに、図１１に示すステップＳ２０１１の処理を行う。なお、図１１に示すステップＳ２０１１以外の各処理は、図４に示す各処理と同じであるため、重複説明は省略する。

　ステップＳ２０１１の処理では、機器の取り付けを行った作業者を認証するための所定認証情報を取得する。車両制御装置１０の妥当性確認部１２３は、ディーラー又は指定工場において、作業者毎に備える、車両専用の診断機（ＯＤＢ２：On-Board Diagnostics 2）に接続する作業許可を証明する証明用デバイスの認証情報と、作業者が個別に持つ認証デバイス（例えば、作業者のスマートフォン）の認証情報（パスワード、生体認証など）とを含む所定認証情報を取得する。また、妥当性確認部１２３は、取得した所定認証情報を管理センター２０に送信し、取り付け手順の妥当性問合せを行う（ステップＳ２０２）。

　一方、管理センター２０では、車両制御装置１０の取り付け手順の妥当性問合せが受信されると、取り付け手順の妥当性問合せ対応処理が行われる。本実施形態では、妥当性確認部（妥当性確認部２１１）は、機器の取り付けを行った作業者を認証するための所定認証情報に基づいて、作業者が予め登録された作業許可の作業者であると判定した場合、機器の取り付け手順の妥当性が承認であり、機器の取り付け手順の作業可否が作業許可であると確定する。また、妥当性確認部（妥当性確認部２１１）は、機器の取り付けを行った作業者を認証するための所定認証情報に基づいて、作業者が予め登録された作業許可の作業者でないと判定した場合、機器の取り付け手順の妥当性が未承認であると確定し、機器の取り付け手順の作業可否を、車両の所有者へ確認する。また、妥当性確認部（妥当性確認部２１１）は、機器の取り付け手順が所有者により許可された場合、機器の取り付け手順の作業可否が作業許可であると確定する。具体的な処理手順は、図１２を用いて説明する。

　図１２は、本実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、取り付け手順の妥当性問合せ対応処理の手順を示すフローチャートである。図１２と図５とを比較して分かるように、第２実施形態では、管理センター２０の妥当性確認部２１１は、図５のステップＳ２５２の代わりに、図１２に示すステップＳ２５２１及びステップＳ２５２２の処理を行う。

　ステップＳ２５２１の処理では、妥当性確認部２１１は、受信した妥当性問合せに含まれる所定認証情報と、記憶装置２２に予め登録された所定認証情報とを比較して作業者の認証を行う。

　次いで、妥当性確認部２１１は、作業者が作業許可の作業者であるか否かを判定する（ステップＳ２５２２）。この処理では、妥当性確認部２１１は、受信した妥当性問合せに含まれる所定認証情報と、予め登録された所定認証情報と一致する場合、作業者が作業許可の作業者であると判定し、ステップＳ２５２２がＹｅｓ判定となる。一方、妥当性確認部２１１は、受信した妥当性問合せに含まれる所定認証情報と、予め登録された所定認証情報と一致しない場合、作業者が作業許可の作業者でないと判定し、ステップＳ２５２２がＮｏ判定となる。

　ステップＳ２５２２の処理において、妥当性確認部２１１は、作業者が作業許可の作業者であると判定した場合（ステップＳ２５２２のＹｅｓ判定の場合）、ステップＳ２５３の処理を行う。

　一方、ステップＳ２５２２の処理において、妥当性確認部２１１は、作業者が作業許可の作業者でないと判定した場合（ステップＳ２５２２のＮｏ判定の場合）、ステップＳ２５４の処理を行う。なお、ステップＳ２５２２以降の各処理は、図５に示す各処理と同じであるため、重複説明は省略する。

［効果］
　上述したように、本発明の第２実施形態に係る車両ソフトウェア自動設定システム１は、作業場所の妥当性を確認することでなく、ディーラー又は指定工場における作業者が作業許可の作業者であるか否かを確認する。すなわち、第２実施形態に係る車両ソフトウェア自動設定システム１は、ディーラーや指定工場などに保有される、作業員に紐付けられる専用機器、ツール、専用の証明ドングル等の認証情報を確認することにより、許可された作業員及び作業場所を担保する。このため、本発明の第２実施形態に係る車両ソフトウェア自動設定システム１は、第１実施形態に係る車両ソフトウェア自動設定システム１と同じ効果を有するとともに、サービス自動アップデートの安全性をさらに向上することができる。また、本発明の第２実施形態に係る車両ソフトウェア自動設定システム１によれば、車両位置を取得できない場合にも、車両の機器の取り付け及び取り付け手順の妥当性を確保でき、安全のサービス自動アップデートを提供することである。

＜第３実施形態＞
　次に、本発明の第３実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、取り付け機器状態の妥当性問合せ対応処理の手順について説明する。なお、本発明の第３実施形態に係る車両ソフトウェア自動設定システム１は、第１実施形態に係る車両ソフトウェア自動設定システム１と同じ構成を有するので、重複説明は省略する。

　本実施形態では、妥当性確認部（妥当性確認部２１１）は、機器の識別情報に基づいて、機器が予め認証済の機器であると判定した場合、機器の識別情報の妥当性が承認であり、機器の識別情報の作業可否が作業許可であると確定する。また、妥当性確認部（妥当性確認部２１１）は、機器の識別情報に基づいて、機器が予め認証済の機器でないと判定した場合、機器の識別情報の妥当性が未承認であると確定し、機器の識別情報の作業可否を、車両の所有者へ確認する。また、妥当性確認部（妥当性確認部２１１）は、機器の識別情報が所有者により許可された場合、機器の識別情報の作業可否が作業許可であると確定する。具体的な処理手順は、図１３を用いて説明する。

　図１３は、本実施形態に係る車両ソフトウェア自動設定システム１の管理センター２０における、取り付け機器状態の妥当性問合せ対応処理の手順を示すフローチャートである。図１３と図７とを比較して分かるように、第３実施形態では、管理センター２０の妥当性確認部２１１は、図７のステップＳ３５２の代わりに、図１３に示すステップＳ３５２１の処理を行う。

　ステップＳ３５２１の処理では、妥当性確認部２１１は、妥当性問合せに含まれる機器ＩＤを有する機器が認証機器であるか否かを判定する。ここで、認証機器とは、取り付け機器が、車両メーカーにより同車種において予め認証済の機器である。すなわち、本実施形態では、妥当性確認部２１１は、保安基準を確認すること（図７のステップＳ３５２参照）により、さらに安全性の高い機器の認証情報を確認する。なお、ステップＳ３５２１以降の各処理は、図７に示す各処理と同じであるため、重複説明は省略する。

［効果］
　上述したように、本発明の第３実施形態に係る車両ソフトウェア自動設定システム１は、取り付け機器妥当性を確認する際、保安基準より安全性の高い機器の認証情報を確認する。このため、本発明の第３実施形態に係る車両ソフトウェア自動設定システム１は、第１実施形態に係る車両ソフトウェア自動設定システム１と同じ効果を有するとともに、サービス自動アップデートの安全性をさらに向上することができる。

　なお、本発明は上述した各実施形態に限られるものではなく、請求の範囲に記載した本発明の要旨を逸脱しない限りその他種々の応用例、変形例を取り得ることは勿論である。
　例えば、上述した各実施形態は本発明を分かりやすく説明するために車両ソフトウェア自動設定システムの構成を詳細かつ具体的に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されない。また、ここで説明した実施形態の構成の一部を他の実施形態の構成に置き換えることは可能であり、さらにはある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加、削除、置換をすることも可能である。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

　１…車両ソフトウェア自動設定システム、１０…車両制御装置、１１…機器、１２，２１…ＣＰＵ、１３，２２…記憶装置、２０…管理センター、１２１…取り付け機器ＩＤ認識部、１２２…実装情報変更検出部、１２３，２１１…妥当性確認部、１２４…車両ソフトウェア更新部、１２５…取り付け機器確認結果通知部、１３１，２２１…実装情報、２１２…ソフトウェア選択及び配信部、２１３…実装情報更新部、２２２…ＳＷ及び設定管理情報

Claims

　車両制御装置と、管理装置と、を備え、
　前記車両制御装置は、
　車両に取り付けられた機器を検出する機器変更検出部と、
　前記機器の識別情報を認識する機器情報認識部と、
　前記識別情報を用いて、前記機器の作業可否及び妥当性を問い合わせる妥当性問合せ部と、を有し、
　前記管理装置は、
　前記妥当性問合せ部が問い合わせる前記識別情報を用いて、前記機器の前記作業可否及び前記妥当性を確認して前記車両制御装置に応答する妥当性確認部と、
　前記妥当性確認部により、作業許可であると確認された前記機器に関連するソフトウェアを選択して前記車両制御装置に配信するソフトウェア選択及び配信部と、を有する
　車両ソフトウェア自動設定システム。
　前記車両制御装置は、前記妥当性確認部により、前記機器の前記妥当性が未承認であると応答された場合、前記機器の前記妥当性が未承認であることを示すワーニング状態を通知する通知部を備える
　請求項１に記載の車両ソフトウェア自動設定システム。
　前記車両制御装置は、前記ソフトウェア選択及び配信部により選択され、かつ配信された前記ソフトウェアを前記車両に適用する車両ソフトウェア適用部を備える
　請求項２に記載の車両ソフトウェア自動設定システム。
　前記機器の前記作業可否は、前記識別情報の作業可否、及び、前記機器の取り付け手順の作業可否を含み、
　前記機器の前記妥当性は、前記識別情報の妥当性、及び、前記機器の取り付け手順の妥当性を含む
　請求項１に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記車両の位置情報に基づいて、前記車両の位置が予め登録された作業許可の作業場所であると判定した場合、前記機器の取り付け手順の妥当性が承認であり、前記機器の取り付け手順の作業可否が作業許可であると確定する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記車両の位置情報に基づいて、前記車両の位置が予め登録された作業許可の作業場所でないと判定した場合、前記機器の取り付け手順の妥当性が未承認であると確定し、前記機器の取り付け手順の作業可否を、前記車両の所有者へ確認する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の取り付けを行った作業者を認証するための所定認証情報に基づいて、前記作業者が予め登録された作業許可の作業者であると判定した場合、前記機器の取り付け手順の妥当性が承認であり、前記機器の取り付け手順の作業可否が作業許可であると確定する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の取り付けを行った作業者を認証するための所定認証情報に基づいて、前記作業者が予め登録された作業許可の作業者でないと判定した場合、前記機器の取り付け手順の妥当性が未承認であると確定し、前記機器の取り付け手順の作業可否を、前記車両の所有者へ確認する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の取り付け手順が前記所有者により許可された場合、前記機器の取り付け手順の作業可否が作業許可であると確定する
　請求項６に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の前記識別情報に基づいて、前記機器が保安基準に満たしていると判定した場合、前記機器の前記識別情報の妥当性が承認であり、前記機器の前記識別情報の作業可否が作業許可であると確定する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の前記識別情報に基づいて、前記機器が保安基準に満たしていないと判定した場合、前記機器の前記識別情報の妥当性が未承認であると確定し、前記機器の前記識別情報の作業可否を、前記車両の所有者へ確認する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の前記識別情報に基づいて、前記機器が予め認証済の機器であると判定した場合、前記機器の前記識別情報の妥当性が承認であり、前記機器の前記識別情報の作業可否が作業許可であると確定する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の前記識別情報に基づいて、前記機器が予め認証済の機器でないと判定した場合、前記機器の前記識別情報の妥当性が未承認であると確定し、前記機器の前記識別情報の作業可否を、前記車両の所有者へ確認する
　請求項４に記載の車両ソフトウェア自動設定システム。
　前記妥当性確認部は、前記機器の前記識別情報が前記所有者により許可された場合、前記機器の前記識別情報の作業可否が作業許可であると確定する
　請求項１１に記載の車両ソフトウェア自動設定システム。
　車両制御装置と、管理装置と、を備える車両ソフトウェア自動設定システムにおける車両ソフトウェア自動設定方法であって、
　前記車両制御装置は、
　車両に取り付けられた機器を検出するステップと、
　前記機器の識別情報を認識するステップと、
　前記識別情報を用いて、前記機器の作業可否及び妥当性を問い合わせるステップと、を含み、
　前記管理装置は、
　前記車両制御装置が問い合わせる前記識別情報を用いて、前記機器の前記作業可否及び前記妥当性を確認して前記車両制御装置に応答するステップと、
　作業許可であると確認された前記機器に関連するソフトウェアを選択して前記車両制御装置に配信するステップと、含む
　車両ソフトウェア自動設定方法。
　車両に取り付けられた機器を検出する実装情報変更検出部と、
　前記機器の識別情報を認識する機器情報認識部と、
　前記識別情報を用いて、前記機器の作業可否及び妥当性を問い合わせる妥当性問合せ部と、を備える
　車両制御装置。