特許 7552566 車両管理システムおよび車両管理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-09

(45)【発行日】2024-09-18

(54)【発明の名称】車両管理システムおよび車両管理方法

(51)【国際特許分類】

   G06F 8/65 20180101AFI20240910BHJP

   B60W 50/00 20060101ALI20240910BHJP

   B60W 60/00 20200101ALI20240910BHJP

【ＦＩ】

G06F8/65

B60W50/00

B60W60/00

【請求項の数】 5

(21)【出願番号】P 2021200834

(22)【出願日】2021-12-10

(65)【公開番号】P2023086371

(43)【公開日】2023-06-22

【審査請求日】2023-11-08

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】眞屋 朋和

【審査官】児玉 崇晶

(56)【参考文献】

【文献】特開２０２０－０２１１４２（ＪＰ，Ａ）

【文献】特開２０２１－１２３１４５（ＪＰ，Ａ）

【文献】特許第７３２８９２８（ＪＰ，Ｂ１）

【文献】寺岡 秀敏ほか，軽量スクリプト言語を用いた自動車ソフトウェア遠隔更新制御方式の開発，情報処理学会 研究報告 グループウェアとネットワークサービス，Vol. 2018-GN-103, NO.11，2018年01月19日，pp.1-7

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５

Ｂ６０Ｗ ５０／００

Ｂ６０Ｗ ６０／００

(57)【特許請求の範囲】

【請求項1】

第１サーバと第２サーバと車両とを含む車両管理システムであって、
前記第１サーバは、第１通信部と第１制御部と第１記憶部とを備え、
前記第２サーバは、第２通信部と第２制御部と第２記憶部とを備え、
前記車両は、
走り曲がり止まるための機能を有する車両機能部と、
前記車両機能部に着脱可能であり、前記第１通信部と互いに通信可能な第３通信部と、少なくとも１つの第３制御部と、対応する前記第３制御部で実行されるプログラムを記憶する第３記憶部とを備え、前記車両機能部に自動運転の指示を出す自動運転装置と、
前記車両機能部を制御するための制御コマンドを出力する第４制御部と、
前記第２通信部と互いに通信可能な第４通信部とを備え、
前記第１サーバにおいて、
前記第１記憶部は、前記第３制御部の前記プログラムのバージョンを更新するための更新用データを記憶し、
前記第１制御部は、前記車両の前記自動運転装置に、前記更新用データを送信するよう前記第１通信部を制御し、
前記車両の前記自動運転装置において、前記第３制御部は、前記第１サーバから前記第３通信部によって受信された前記更新用データを用いて、対応する前記第３記憶部に記憶された前記プログラムのバージョンを更新し、
前記車両において、前記第４制御部は、
前記第３制御部の更新された前記プログラムのバージョンを検知し、
検知したバージョンを示す第１特定情報を前記第２サーバに送信するよう、前記第４通信部を制御し、
前記第２サーバにおいて、前記第２制御部は、前記車両から前記第２通信部によって受信された前記第１特定情報で示されるバージョンを更新済バージョンとして認知する、車両管理システム。

【請求項2】

前記第１サーバにおいて、前記第１制御部は、前記プログラムの新しいバージョンが作成されるごとに、前記第２サーバに当該バージョンを示す第２特定情報を送信するよう前記第１通信部を制御し、
前記第２サーバにおいて、前記第２制御部は、
前記第１サーバから前記第２通信部によって受信された前記第２特定情報で示される新しいバージョンを古いバージョンに追加して動作可能バージョンとして前記第２記憶部に記憶させ、
前記更新済バージョンが、前記第２記憶部に記憶された前記動作可能バージョンに含まれるか否かを判断し、
前記更新済バージョンが前記動作可能バージョンに含まれるか否かの判断結果を管理者に通知する、請求項１に記載の車両管理システム。

【請求項3】

前記第２サーバにおいて、前記第２制御部は、前記更新済バージョンが前記動作可能バージョンに含まれないと判断された場合、前記車両の運用を停止させるための処理を実行する、請求項２に記載の車両管理システム。

【請求項4】

前記車両において、前記第４制御部は、自動運転の開始前に、前記自動運転装置から前記プログラムのバージョンを取得することでバージョンを検知する、請求項１から請求項３のいずれかに記載の車両管理システム。

【請求項5】

第１サーバと第２サーバと車両とを含む車両管理システムにおける車両管理方法であって、
前記第１サーバは、第１通信部と第１制御部と第１記憶部とを備え、
前記第２サーバは、第２通信部と第２制御部と第２記憶部とを備え、
前記車両は、
走り曲がり止まるための機能を有する車両機能部と、
前記車両機能部に着脱可能であり、前記第１通信部と互いに通信可能な第３通信部と、少なくとも１つの第３制御部と、対応する前記第３制御部で実行されるプログラムを記憶する第３記憶部とを備え、前記車両機能部に自動運転の指示を出す自動運転装置と、
前記車両機能部を制御するための制御コマンドを出力する第４制御部と、
前記第２通信部と互いに通信可能な第４通信部とを備え、
前記第１サーバにおいて、前記第１制御部が、前記車両の前記自動運転装置に、前記第１記憶部に記憶された前記第３制御部の前記プログラムのバージョンを更新するための更新用データを送信するよう前記第１通信部を制御するステップと、
前記車両の前記自動運転装置において、前記第３制御部が、前記第１サーバから前記第３通信部によって受信された前記更新用データを用いて、対応する前記第３記憶部に記憶された前記プログラムのバージョンを更新するステップと、
前記車両において、前記第４制御部が、
前記第３制御部の更新された前記プログラムのバージョンを検知するステップと、
検知したバージョンを示す第１特定情報を前記第２サーバに送信するよう、前記第４通信部を制御するステップと、
前記第２サーバにおいて、前記第２制御部が、前記車両から前記第２通信部によって受信された前記第１特定情報で示されるバージョンを更新済バージョンとして認知するステップとを含む、車両管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

この開示は、車両管理システムおよび車両管理方法に関し、特に、車両の自動運転装置のプログラムのバージョンの管理に適した車両管理システムおよび車両管理方法に関する。

【背景技術】

【0002】

従来、動力システムと電源システムと自動運転システムとを搭載した車両があった（たとえば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１８－１３２０１５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

車両の自動運転装置のプログラムが車両に適合したバージョンであれば、車両を適切に制御可能である。このため、自動運転装置のプログラムのバージョンを適切に管理できるようにすることが課題として考えられる。

【0005】

この開示は、このような課題を解決するためになされたものであって、その目的は、自動運転装置のプログラムのバージョンを適切に管理することが可能な車両管理システムおよび車両管理方法を提供することである。

【課題を解決するための手段】

【0006】

この開示に係る車両管理システムは、第１サーバと第２サーバと車両とを含む。第１サーバは、第１通信部と第１制御部と第１記憶部とを備える。第２サーバは、第２通信部と第２制御部と第２記憶部とを備える。車両は、走り曲がり止まるための機能を有する車両機能部と、車両機能部に着脱可能であり、第１通信部と互いに通信可能な第３通信部と、少なくとも１つの第３制御部と、対応する第３制御部で実行されるプログラムを記憶する第３記憶部とを備え、車両機能部に自動運転の指示を出す自動運転装置と、車両機能部を制御するための制御コマンドを出力する第４制御部と、第２通信部と互いに通信可能な第４通信部とを備える。

【0007】

第１サーバにおいて、第１記憶部は、第３制御部のプログラムのバージョンを更新するための更新用データを記憶し、第１制御部は、車両の自動運転装置に、更新用データを送信するよう第１通信部を制御する。車両の自動運転装置において、第３制御部は、第１サーバから第３通信部によって受信された更新用データを用いて、対応する第３記憶部に記憶されたプログラムのバージョンを更新する。車両において、第４制御部は、第３制御部の更新されたプログラムのバージョンを検知し、検知したバージョンを示す第１特定情報を第２サーバに送信するよう、第４通信部を制御する。第２サーバにおいて、第２制御部は、車両から第２通信部によって受信された第１特定情報で示されるバージョンを更新済バージョンとして認知する。

【0008】

このような構成によれば、第１サーバに記憶されている更新用データによって更新された車両の自動運転装置のプログラムのバージョンが更新済バージョンとして第２サーバによって認知される。その結果、自動運転装置のプログラムのバージョンを適切に管理することが可能な車両管理システムを提供することができる。

【0009】

第１サーバにおいて、第１制御部は、プログラムの新しいバージョンが作成されるごとに、第２サーバに当該バージョンを示す第２特定情報を送信するよう第１通信部を制御するようにしてもよい。第２サーバにおいて、第２制御部は、第１サーバから第２通信部によって受信された第２特定情報で示される新しいバージョンを古いバージョンに追加して動作可能バージョンとして第２記憶部に記憶させ、更新済バージョンが、第２記憶部に記憶された動作可能バージョンに含まれるか否かを判断し、更新済バージョンが動作可能バージョンに含まれるか否かの判断結果を管理者に通知するようにしてもよい。

【0010】

このような構成によれば、第２サーバによって、車両の自動運転装置のプログラムの新しいバージョンが作成されるごとに、新しいバージョンが古いバージョンに追加されて動作可能バージョンとして記憶され、車両の自動運転装置のプログラムの更新済バージョンが動作可能バージョンに含まれるか否かの判断結果が管理者に通知される。その結果、車両の自動運転装置のプログラムの更新済バージョンが動作可能バージョンであるか否かを管理者に分からせることができる。

【0011】

第２サーバにおいて、第２制御部は、更新済バージョンが動作可能バージョンに含まれないと判断された場合、車両の運用を停止させるための処理を実行するようにしてもよい。

【0012】

このような構成によれば、車両の自動運転装置のプログラムの更新済バージョンが動作可能バージョンでないような場合に、車両の運用を停止させることができる。

【0013】

車両において、第４制御部は、自動運転の開始前に、自動運転装置からプログラムのバージョンを取得することでバージョンを検知するようにしてもよい。

【0014】

このような構成によれば、車両の自動運転装置のプログラムの更新済バージョンが動作可能バージョンであるか否かを確認した後に、自動運転を開始することができる。

【0015】

この開示の他の局面によれば、車両管理方法は、第１サーバと第２サーバと車両とを含む車両管理システムにおける方法である。第１サーバは、第１通信部と第１制御部と第１記憶部とを備える。第２サーバは、第２通信部と第２制御部と第２記憶部とを備える。車両は、走り曲がり止まるための機能を有する車両機能部と、車両機能部に着脱可能であり、第１通信部と互いに通信可能な第３通信部と、少なくとも１つの第３制御部と、対応する第３制御部で実行されるプログラムを記憶する第３記憶部とを備え、車両機能部に自動運転の指示を出す自動運転装置と、車両機能部を制御するための制御コマンドを出力する第４制御部と、第２通信部と互いに通信可能な第４通信部とを備える。

【0016】

車両管理方法は、第１サーバにおいて、第１制御部が、車両の自動運転装置に、第１記憶部に記憶された第３制御部のプログラムのバージョンを更新するための更新用データを送信するよう第１通信部を制御するステップと、車両の自動運転装置において、第３制御部が、第１サーバから第３通信部によって受信された更新用データを用いて、対応する第３記憶部に記憶されたプログラムのバージョンを更新するステップと、車両において、第４制御部が、第３制御部の更新されたプログラムのバージョンを検知するステップと、検知したバージョンを示す第１特定情報を第２サーバに送信するよう、第４通信部を制御するステップと、第２サーバにおいて、第２制御部が、車両から第２通信部によって受信された第１特定情報で示されるバージョンを更新済バージョンとして認知するステップとを含む。

【0017】

このような構成によれば、自動運転装置のプログラムのバージョンを適切に管理することが可能な車両管理方法を提供することができる。

【発明の効果】

【0018】

この開示によれば、自動運転装置のプログラムのバージョンを適切に管理することが可能な、車両管理システムおよび車両管理方法を提供することができる。

【図面の簡単な説明】

【0019】

【図1】この開示の実施の形態に係る車両管理システムの構成の概略を示す図である。

【図2】この開示の実施の形態に係る車両の概要を示す図である。

【図3】この実施の形態に係るＡＤＳ、ＶＣＩＢおよびＶＰの構成を詳細に示す図である。

【図4】第１実施形態に係る車両管理システムにおけるＡＤＫのプログラムのバージョンを管理するための処理の流れを示すフローチャートである。

【図5】第２実施形態に係る車両管理システムにおけるＡＤＫのプログラムのバージョンを管理するための処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0020】

［第１実施形態］
以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付して、その説明は繰り返さない。

【0021】

＜全体構成＞
図１は、この開示の実施の形態に係る車両管理システム１００の構成の概略を示す図である。図１を参照して、車両１は、走り曲がり止まるための機能を有する車両プラットフォーム（ＶＰ：Vehicle Platform）２０と、ＶＰ２０に着脱可能であるとともにＶＰ２０に自動運転の指示を出す自動運転キット（ＡＤＫ：Autonomous Driving Kit）１０とを備える。ＶＰ２０は、ＡＤＫ１０からの指示を受付けてＶＰ２０の各部を制御する車両制御インターフェースボックス（ＶＣＩＢ：Vehicle Control Interface Box）４０と、車両プラットフォーム（ＶＰ：Vehicle Platform）２０の製造者のサーバ３などの外部装置と無線通信が可能な通信装置であるＤＣＭ（Data Communication Module）９０とを含む。

【0022】

車両管理システム１００は、複数の車両１を管理するためのシステムである。車両管理システム１００は、この実施の形態においては、ＡＤＫ１０によって実行される、自動運転のためのプログラムのバージョンを管理する。車両管理システム１００は、複数の車両１と、当該車両１のＡＤＫ１０の製造者のサーバ２と、前述のサーバ３と、当該車両１の運用管理者のサーバ４とを含む。

【0023】

運用管理者は、複数の車両１を運用して所定の事業（たとえば、貨物または旅客などの輸送事業）を営んでいる。ＶＰ２０の製造者は、ＶＰ２０を管理および管制している。ＡＤＫ１０の製造者は、ＡＤＫ１０を管理および管制している。

【0024】

サーバ４は、ＣＰＵ（Central Processing Unit）４１０と、メモリ４２０と、入力部４３０と、出力部４４０と、補助記憶装置４５０と、外部装置と無線通信および有線通信が可能な外部通信ユニット４９０とを備える。メモリ４２０は、ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）などで構成されるとともにＣＰＵ４１０によって実行されるプログラムおよびプログラムで用いられるデータを記憶する。入力部４３０は、たとえば、キーボードおよびマウスなどであり、所定情報または所定操作のサーバ４への入力を受付ける。出力部４４０は、たとえば、ディスプレイおよびスピーカなどであり、所定情報をサーバ４から出力する。補助記憶装置４５０は、メモリ４２０を補助して大容量のプログラムおよびデータを記憶する。

【0025】

ＣＰＵ４１０は、メモリ４２０または補助記憶装置４５０に記憶されたプログラムにしたがって、メモリ４２０もしくは補助記憶装置４５０に記憶されたデータ、入力部４３０から入力されたデータ、または、外部装置から外部通信ユニット４９０で受信されたデータを処理し、メモリ４２０または補助記憶装置４５０に記憶させたり、出力部４４０で出力させたり、外部通信ユニット４９０で外部装置に送信させたりする。

【0026】

サーバ２，３のサーバ４と同じ名称の装置は、サーバ４と同様の装置である。図１においては、サーバ２，３には、入力部および出力部が含まれていないが、含めるようにしてもよい。

【0027】

図２は、この開示の実施の形態に係る車両１の概要を示す図である。前述したように、車両１は、ＡＤＫ１０と、ＶＰ２０とを備える。ＡＤＫ１０は、ＶＰ２０に取り付け可能（車両１に着脱可能）に構成されている。ＡＤＫ１０とＶＰ２０とは、ＶＣＩＢ４０を介して相互に通信可能に構成されている。

【0028】

ＶＰ２０は、ＡＤＫ１０からの制御要求に従って自動運転を行うことができる。なお、図２では、ＡＤＫ１０がＶＰ２０から離れた位置に示されているが、ＡＤＫ１０は、実際にはＶＰ２０のルーフトップ等に取り付けられる。ＡＤＫ１０をＶＰ２０から取り外すことも可能である。ＡＤＫ１０が取り外されている場合には、ＶＰ２０は、マニュアルモードによる走行制御（ユーザ操作に応じた走行制御）を実行する。

【0029】

ＡＤＫ１０は、車両１の自動運転を行うための自動運転システム（ＡＤＳ：Autonomous Driving System）１１を含む。ＡＤＳ１１は、たとえば、車両１の走行計画を作成する。ＡＤＳ１１は、走行計画に従って車両１を走行させるための各種制御要求を、制御要求毎に定義されたＡＰＩ（Application Program Interface）に従ってＶＰ２０に出力する。また、ＡＤＳ１１は、車両状態（ＶＰ２０の状態）を示す各種信号を、信号毎に定義されたＡＰＩに従ってＶＰ２０から受ける。そして、ＡＤＳ１１は、車両状態を走行計画に反映する。ＡＤＳ１１の詳細な構成については図３にて説明する。

【0030】

ＶＰ２０は、ベース車両３０と、ＶＣＩＢ４０とを含む。ベース車両３０は、ＡＤＫ１０（ＡＤＳ１１）からの制御要求に従って各種車両制御を実行する。ベース車両３０は、ベース車両３０を制御するための各種システムおよび各種センサを含む。より具体的には、ベース車両３０は、統合制御マネージャ３１と、ブレーキシステム３２と、ステアリングシステム３３と、パワートレーンシステム３４と、アクティブセーフティシステム３５と、ボディシステム３６と、車輪速センサ５１，５２と、ピニオン角センサ５３と、カメラ５４と、レーダセンサ５５，５６とを含む。

【0031】

統合制御マネージャ３１は、いずれも図示しないが、ＣＰＵなどのプロセッサと、ＲＯＭおよびＲＡＭなどのメモリとを含み、車両１の動作に関わる上記各システム（ブレーキシステム３２、ステアリングシステム３３、パワートレーンシステム３４、アクティブセーフティシステム３５、ボディシステム３６）を統合して制御する。

【0032】

ブレーキシステム３２は、ベース車両３０の各車輪に設けられた制動装置を制御するように構成されている。制動装置は、たとえば、アクチュエータによって調整される油圧に応じて動作するディスクブレーキシステム（図示せず）を含む。

【0033】

ブレーキシステム３２には車輪速センサ５１，５２が接続されている。車輪速センサ５１は、ベース車両３０の前輪の回転速度を検出し、検出された前輪の回転速度をブレーキシステム３２に出力する。車輪速センサ５２は、ベース車両３０の後輪の回転速度を検出し、検出された後輪の回転速度をブレーキシステム３２に出力する。ブレーキシステム３２は、各車輪の回転速度を車両状態に含まれる情報の一つとしてＶＣＩＢ４０に出力する。また、ブレーキシステム３２は、ＡＤＳ１１からＶＣＩＢ４０および統合制御マネージャ３１を介して出力される所定の制御要求に従って、制動装置に対する制動指令を生成する。ブレーキシステム３２は、生成された制動指令を用いて制動装置を制御する。なお、統合制御マネージャ３１は、各車輪の回転速度に基づいて車両１の速度（車速）を算出できる。

【0034】

ステアリングシステム３３は、車両１の操舵輪の操舵角（タイヤの切れ角）を操舵装置を用いて制御可能に構成されている。操舵装置は、たとえば、アクチュエータにより操舵角の調整が可能なラック＆ピニオン式の電動パワーステアリング（ＥＰＳ：Electric Power Steering）を含む。

【0035】

ステアリングシステム３３にはピニオン角センサ５３が接続されている。ピニオン角センサ５３は、アクチュエータの回転軸に連結されたピニオンギヤの回転角（ピニオン角）を検出し、検出されたピニオン角をステアリングシステム３３に出力する。ステアリングシステム３３は、ピニオン角を車両状態に含まれる情報の一つとしてＶＣＩＢ４０に出力する。また、ステアリングシステム３３は、ＡＤＳ１１からＶＣＩＢ４０および統合制御マネージャ３１を介して出力される所定の制御要求に従って、操舵装置に対する操舵指令を生成する。ステアリングシステム３３は、生成された操舵指令を用いて操舵装置を制御する。

【0036】

パワートレーンシステム３４は、複数の車輪のうちの少なくとも１つに設けられた電動パーキングブレーキ（ＥＰＢ：Electric Parking Brake）システム３４１と、車両１のトラッスミッションに設けられたパーキングロック（Ｐ－Ｌｏｃｋ）システム３４２と、シフトレンジを選択可能に構成されたシフト装置（図示せず）を含む推進システム３４３とを制御する。パワートレーンシステム３４の詳細な構成については、図３にて説明する。

【0037】

アクティブセーフティシステム３５は、カメラ５４およびレーダセンサ５５，５６を用いて前方または後方の障害物（歩行者、自転車、駐車車両、電柱など）を検出する。アクティブセーフティシステム３５は、車両１と障害物との間の距離、および、車両１の移動方向に基づいて、車両１が障害物と衝突する可能性があるかどうかを判定する。アクティブセーフティシステム３５は、衝突の可能性があると判定した場合、制動力が増加するように、統合制御マネージャ３１を介してブレーキシステム３２に制動指令を出力する。

【0038】

ボディシステム３６は、たとえば、車両１の走行状態または環境等に応じて、方向指示器、ホーン、ワイパー等の部品（いずれも図示せず）を制御するように構成されている。ボディシステム３６は、ＡＤＳ１１からＶＣＩＢ４０および統合制御マネージャ３１を介して出力される所定の制御要求に従って、上記の各部品を制御する。

【0039】

ＶＣＩＢ４０は、ＣＡＮ（Controller Area Network）等を通じてＡＤＳ１１と通信可能に構成されている。ＶＣＩＢ４０は、信号毎に定義された所定のＡＰＩを実行することにより、ＡＤＳ１１から各種制御要求を受信したり、車両状態をＡＤＳ１１に出力したりする。ＶＣＩＢ４０は、ＡＤＫ１０から制御要求を受信すると、その制御要求に対応する制御指令を統合制御マネージャ３１を介して、その制御指令に対応するシステムに出力する。また、ＶＣＩＢ４０は、ベース車両３０の各種情報を各種システムから統合制御マネージャ３１を介して取得し、ベース車両３０の状態を車両状態としてＡＤＳ１１に出力する。

【0040】

なお、車両１は、ＭａａＳ（Mobility as a Service）システムの構成の一つとして使用され得る。ＭａａＳシステムは、車両１に加えて、たとえば、データサーバと、モビリティサービス・プラットフォーム（ＭＳＰＦ：Mobility Service Platform）（いずれも図示せず）とを備える。

【0041】

ＭＳＰＦとは、様々なモビリティサービスが接続される統一プラットフォームである。ＭＳＰＦには、自動運転関連のモビリティサービスが接続される。ＭＳＰＦには、自動運転関連のモビリティサービス以外にも、ライドシェア事業者、カーシェア事業者、レンタカー事業者、タクシー事業者、保険会社等により提供されるモビリティサービスが接続され得る。

【0042】

車両１は、前述したように、データサーバと無線通信が可能なＤＣＭ９０をさらに備える。ＤＣＭ９０は、たとえば、速度、位置、自動運転状態のような車両情報をデータサーバに出力する。また、ＤＣＭ９０は、たとえば、自動運転関連のモビリティサービスにおいて車両１を含む自動運転車両の走行を管理するための各種データを、モビリティサービスからＭＳＰＦおよびデータサーバを通じて受信する。

【0043】

ＭＳＰＦにおいては、ＡＤＳ１１の開発に必要な車両状態および車両制御の各種データを利用するためのＡＰＩが公開されている。各種モビリティサービスは、ＭＳＰＦ上で公開されたＡＰＩを用いて、ＭＳＰＦが提供する様々な機能をサービス内容に応じて利用できる。たとえば自動運転関連のモビリティサービスは、ＭＳＰＦ上で公開されたＡＰＩを用いて、車両１の運転制御データ、データサーバに蓄えられた情報等をＭＳＰＦから取得できる。また、自動運転関連のモビリティサービスは、上記ＡＰＩを用いて、車両１を含む自動運転車両を管理するためのデータ等をＭＳＰＦへ送信できる。

【0044】

＜詳細構成＞
図３は、この実施の形態に係るＡＤＳ１１、ＶＣＩＢ４０およびＶＰ２０の構成を詳細に示す図である。図３に示すように、ＡＤＳ１１は、コンピュータ１１１と、ＨＭＩ（Human Machine Interface）１１２と、認識用センサ１１３と、姿勢用センサ１１４と、センサクリーナ１１５と、サーバ２などの外部装置と無線通信が可能な外部通信ユニット１１９とを含む。

【0045】

コンピュータ１１１は、ＣＰＵなどのプロセッサ１１１Ａと、ＲＯＭおよびＲＡＭなどのメモリ１１１Ｂとを含む。メモリ１１１Ｂは、プロセッサ１１１Ａによって実行可能なプログラムを記憶する。コンピュータ１１１は、車両１の自動運転時に各種センサ（後述）を用いて車両１の環境、ならびに、車両１の姿勢、挙動および位置を取得するとともに、ＶＰ２０からＶＣＩＢ４０を経由して車両状態を取得して車両１の次の動作（加速、減速、曲がる、止まる等）を設定する。コンピュータ１１１は、次の動作を実現するための各種指令をＶＣＩＢ４０に出力する。コンピュータ１１１は、さらに、通信モジュール１１１Ｃ，１１１Ｄを含む。通信モジュール１１１Ｃ，１１１Ｄの各々は、ＶＣＩＢ４０と通信可能に構成されている。

【0046】

ＨＭＩ１１２は、自動運転時、ユーザ操作を要する運転時、自動運転とユーザ操作を要する運転との間の移行時などに、ユーザに情報を提示したりユーザ操作を受け付けたりする。ＨＭＩ１１２は、たとえば、ベース車両３０に設けられたタッチパネルディスプレイ等の入出力装置（図示せず）と接続されるように構成されている。

【0047】

認識用センサ１１３は、車両１の環境を認識するためのセンサである。認識用センサ１１３は、たとえばＬＩＤＡＲ（Laser Imaging Detection and Ranging）と、ミリ波レーダと、カメラ（いずれも図示せず）とのうちの少なくとも１つを含む。ＬＩＤＡＲは、たとえば赤外パルスのレーザ光を発し、そのレーザ光の対象物からの反射光を検出することによって対象物の距離および方向を計測する。ミリ波レーダは、ミリ波を発し、そのミリ波の対象物からの反射波を検出することによって対象物の距離および方向を計測する。カメラは、たとえばルームミラーの裏側に配置され、車両１の前方の画像を撮影する。

【0048】

姿勢用センサ１１４は、車両１の姿勢、挙動、位置を検出するためのセンサである。姿勢用センサ１１４は、たとえば、ＩＭＵ（Inertial Measurement Unit）と、ＧＰＳ（Global Positioning System）（いずれも図示せず）とを含む。ＩＭＵは、たとえば、車両１の前後方向、左右方向および上下方向の加速度と、車両１のロール方向、ピッチ方向およびヨー方向の角速度とを検出する。ＧＰＳは、地球の軌道上を周回する複数のＧＰＳ衛星から受信する情報を用いて車両１の位置を検出する。

【0049】

センサクリーナ１１５は、洗浄液、ワイパー等を用いて、車両１の走行中に上記の各種センサ（カメラのレンズ、レーザ光の照射部など）に付着する汚れを除去するように構成される。

【0050】

ＶＣＩＢ４０は、ＶＣＩＢ４１と、ＶＣＩＢ４２とを含む。ＶＣＩＢ４１，４２の各々は、ＣＰＵなどのプロセッサ４１１，４２１と、ＲＯＭおよびＲＡＭなどのメモリ４１２，４２２と、外部と通信するためのインターフェースである通信部４１３，４２３とを含む。メモリは、プロセッサによって実行可能なプログラムを記憶する。ＶＣＩＢ４１の通信部４１３と通信モジュール１１１Ｃとは相互に通信可能に接続されている。ＶＣＩＢ４２の通信部４２３と通信モジュール１１１Ｄとは相互に通信可能に接続されている。さらに、ＶＣＩＢ４１の通信部４１３とＶＣＩＢ４２の通信部４２３とは相互に通信可能に接続されている。

【0051】

ＶＣＩＢ４１，４２の各々は、ＡＤＳ１１とＶＰ２０との間で制御要求および車両情報を中継する。より具体的には、ＶＣＩＢ４１は、ＡＰＩを用いて、ＡＤＳ１１からの制御要求から制御指令を生成する。

【0052】

ＡＤＳ１１からＶＣＩＢ４０に供給される制御要求に対応する制御指令（コマンド）は、たとえば、シフトレンジの切り替えを要求する推進方向コマンドと、ＥＰＢシステム３４１およびＰ－Ｌｏｃｋシステム３４２の作動／作動解除を要求する不動コマンドと、車両１の加速または減速を要求する加速コマンドと、操舵輪のタイヤ切れ角を要求するタイヤ切れ角コマンドと、自律（Autonomous）モードとマニュアルモードとの切り替えを要求する自律化コマンドと、車両の停車保持または停車保持の解除を要求する停止コマンドとを含む。

【0053】

そして、ＶＣＩＢ４１は、生成された制御指令を、ＶＰ２０に含まれる複数のシステムのうちの対応するシステムに出力する。また、ＶＣＩＢ４１は、ＡＰＩを用いて、ＶＰ２０の各システムからの車両情報から車両状態を示す情報を生成する。車両状態を示す情報は、車両情報と同一の情報であってもよいし、車両情報からＡＤＳ１１で実行される処理に用いられる情報が抽出されたものであってもよい。ＶＣＩＢ４１は、生成された車両状態を示す情報をＡＤＳ１１に出力する。ＶＣＩＢ４２についても同様である。

【0054】

ブレーキシステム３２は、ブレーキシステム３２１，３２２を含む。ステアリングシステム３３は、ステアリングシステム３３１，３３２を含む。パワートレーンシステム３４は、ＥＰＢシステム３４１と、Ｐ－Ｌｏｃｋシステム３４２と、推進システム３４３とを含む。

【0055】

ＶＣＩＢ４１とＶＣＩＢ４２とは基本的には同等の機能を有するが、ＶＣＩＢ４１とＶＣＩＢ４２との間では、ＶＰ２０を含まれるシステムへの接続先が一部異なっている。具体的には、ＶＣＩＢ４１と、ブレーキシステム３２１と、ステアリングシステム３３１と、ＥＰＢシステム３４１と、Ｐ－Ｌｏｃｋシステム３４２と、推進システム３４３と、ボディシステム３６とは、通信バスを介して相互に通信可能に接続されている。ＶＣＩＢ４２と、ブレーキシステム３２２と、ステアリングシステム３３２と、Ｐ－Ｌｏｃｋシステム３４２とは、通信バスを介して相互に通信可能に接続されている。

【0056】

このように、一部システムの動作（ブレーキ、操舵など）に関して同等の機能を有するＶＣＩＢ４１，４２をＶＣＩＢ４０が含むことにより、ＡＤＳ１１とＶＰ２０との間の制御系統が冗長化されている。したがって、当該システムに何らかの障害が発生した場合に、適宜、制御系統を切り替えたり障害が発生した制御系統を遮断したりすることによって、ＶＰ２０の機能を維持できる。

【0057】

ブレーキシステム３２１，３２２の各々は、制動装置を制御可能に構成されている。ブレーキシステム３２１は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従って、制動装置に対する制動指令を生成する。ブレーキシステム３２２は、ＡＤＳ１１からＶＣＩＢ４２を介して出力される制御要求に従って、制動装置に対する制動指令を生成する。ブレーキシステム３２１とブレーキシステム３２２とは同等の機能を有していてもよい。あるいは、ブレーキシステム３２１，３２２のうちの一方は各車輪の制動力を独立して制御可能に構成され、他方は各車輪において同じ制動力が発生するように制御可能に構成されていてもよい。ブレーキシステム３２１，３２２は、たとえば、いずれか一方のブレーキシステムにより生成された制動指令を用いて制動装置を制御し、そのブレーキシステムに異常が発生した場合に他方のブレーキシステムにより生成された制動指令を用いて制動装置を制御してもよい。

【0058】

ステアリングシステム３３１，３３２の各々は、車両１の操舵輪の操舵角を操舵装置を用いて制御可能に構成されている。ステアリングシステム３３１は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従って、操舵装置に対する操舵指令を生成する。ステアリングシステム３３２は、ＡＤＳ１１からＶＣＩＢ４２を介して出力される制御要求に従って、操舵装置に対する操舵指令を生成する。ステアリングシステム３３１とステアリングシステム３３２とは同等の機能を有していてもよい。あるいは、ステアリングシステム３３１，３３２は、たとえば、いずれか一方のステアリングシステムにより生成された操舵指令を用いて操舵装置を制御し、そのステアリングシステムに異常が発生した場合に他方のステアリングシステムにより生成された操舵指令を用いて操舵装置を制御してもよい。

【0059】

ＥＰＢシステム３４１は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従ってＥＰＢを制御する。ＥＰＢは、制動装置（ディスクブレーキシステムなど）とは別に設けられ、アクチュエータの動作によって車輪を固定する。ＥＰＢは、たとえば、複数の車輪のうちの一部に設けられたパーキングブレーキ用のドラムブレーキをアクチュエータを用いて作動させて車輪を固定したり、ブレーキシステム３２１，３２２とは別に制動装置に供給される油圧を調整可能なアクチュエータを用いて制動装置を作動させて車輪を固定したりする。ＥＰＢシステム３４１は、ブレーキホールド機能を有し、ブレーキホールドの作動と解除とを切替可能に構成されている。

【0060】

Ｐ－Ｌｏｃｋシステム３４２は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従ってＰ－Ｌｏｃｋ装置を制御する。Ｐ－Ｌｏｃｋシステム３４２は、たとえば、制御要求がシフトレンジをパーキングレンジ（Ｐレンジ）にする制御要求を含む場合にＰ－Ｌｏｃｋ装置を作動させ、制御要求がシフトレンジをＰレンジ以外にする制御要求を含む場合にＰ－Ｌｏｃｋ装置の作動を解除する。Ｐ－Ｌｏｃｋ装置は、車両１のトランスミッション内の回転要素に連結して設けられた歯車（ロックギヤ）の歯部に対して、アクチュエータによる位置調整が可能なパーキングロックポールの先端の突起部を嵌合させる。これにより、トランスミッションの出力軸の回転が固定され、車輪が固定される。

【0061】

推進システム３４３は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従って、シフト装置のシフトレンジを切り替えたり、駆動源（モータジェネレータ、エンジンなど）からの駆動力を制御したりする。シフトレンジは、Ｐレンジに加えて、たとえば、ニュートラルレンジ（Ｎレンジ）と、前進走行レンジ（Ｄレンジ）と、後進走行レンジ（Ｒレンジ）とを含む。

【0062】

アクティブセーフティシステム３５は、ブレーキシステム３２１と通信可能に接続されている。アクティブセーフティシステム３５は、前述のとおり、カメラ５４および／またはレーダセンサ５５を用いて前方の障害物を検出し、衝突の可能性があると判定した場合に制動力が増加するようにブレーキシステム３２１に制動指令を出力する。

【0063】

ボディシステム３６は、ＡＤＳ１１からＶＣＩＢ４１を介して出力される制御要求に従って、方向指示器、ホーン、ワイパー等の部品を制御する。

【0064】

車両１においては、たとえばユーザのＨＭＩ１１２に対する操作によって自律モードが選択された場合に自動運転が実行される。前述したように、ＡＤＳ１１は、自動運転中には、まず走行計画を作成する。走行計画の例としては、たとえば、直進を継続する計画、予め定められた走行経路の途中の所定の交差点で左折／右折する計画、走行車線を変更する計画などが挙げられる。ＡＤＳ１１は、作成された走行計画に従って、車両１が動作するために必要な制御的な物理量（加速度、減速度、タイヤ切れ角など）を算出する。ＡＤＳ１１は、ＡＰＩの実行周期毎の物理量を分割する。ＡＤＳ１１は、ＡＰＩを用いて、分割された物理量を表す制御要求をＶＣＩＢ４０に出力する。さらに、ＡＤＳ１１は、ＶＰ２０から車両状態（車両１の実際の移動方向、車両の固定化の状態など）を取得し、取得された車両状態を反映した走行計画を再作成する。このようにして、ＡＤＳ１１は、車両１の自動運転を可能とする。

【0065】

＜ＡＤＫ１０のプログラムのバージョンの管理＞
上述したようなＡＤＫ１０のＡＤＳ１１のコンピュータ１１１のプロセッサ１１１Ａは、メモリ１１１Ｂに記憶されたプログラムにしたがって所定の処理を実行する。なお、ここでは、ＡＤＳ１１のコンピュータ１１１には、プロセッサ１１１Ａが１つ備えられている例について示しているが、コンピュータ１１１に備えられるプロセッサは１つに限定されず、複数のプロセッサが備えられるようにしてもよい。プロセッサが複数、備えられる場合、各プロセッサで実行されるプログラムを記憶したメモリが対応して設けられる。

【0066】

この車両１のＡＤＫ１０のプログラムが車両１に適合したバージョンであれば、車両１を適切に制御可能である。逆に、ＡＤＫ１０のプログラムが車両１に適合したバージョンでなければ、車両１を適切に制御できない場合が生じる。このため、ＡＤＫ１０のプログラムのバージョンを適切に管理できるようにすることが課題として考えられる。

【0067】

そこで、ＡＤＫ１０の製造者のサーバ２において、メモリ２２０または補助記憶装置２５０は、ＡＤＫ１０のプロセッサ１１１Ａのプログラムのバージョンを更新するための更新用データを記憶し、ＣＰＵ２１０は、車両１のＡＤＫ１０に、更新用データを送信するよう外部通信ユニット２９０を制御する。車両１のＡＤＫ１０において、プロセッサ１１１Ａは、サーバ２から外部通信ユニット１１９によって受信された更新用データを用いて、対応するメモリ１１１Ｂに記憶されたプログラムのバージョンを更新する。車両１において、ＶＣＩＢ４１，４２のプロセッサ４１１，４２１は、ＡＤＫ１０のプロセッサ１１１Ａの更新されたプログラムのバージョンを検知し、検知したバージョンを示す特定情報をＶＰ２０の製造者のサーバ３に送信するよう、ＤＣＭ９０を制御する。サーバ３において、ＣＰＵ３１０は、車両１から外部通信ユニット３９０によって受信された特定情報で示されるバージョンを更新済バージョンとして認知する。

【0068】

これにより、ＡＤＫ１０の製造者のサーバ２に記憶されている更新用データによって更新された車両１のＡＤＫ１０のプログラムのバージョンが更新済バージョンとしてＶＰ２０の製造者のサーバ３によって認知される。このため、ＡＤＫ１０のプログラムのバージョンをＶＰ２０の製造者のサーバ３でも管理することができる。その結果、ＡＤＫ１０のプログラムのバージョンを適切に管理することができる。

【0069】

ＡＤＫ１０の製造者によってＡＤＫ１０のプロセッサ１１１Ａで実行されるプログラムのバージョンが更新されると、通常、ＶＰ２０の製造者は、車両１に取付けられているＡＤＫ１０に更新されたバージョンのプログラムを組込んだときに、適切に動作するかを確認している。

【0070】

図４は、第１実施形態に係る車両管理システム１００におけるＡＤＫ１０のプログラムのバージョンを管理するための処理の流れを示すフローチャートである。図４を参照して、ＡＤＫ１０の製造者のサーバ２において、ＣＰＵ２１０は、新しいバージョンの作成を把握したか否かを判断する（ステップＳ２１１）。新バージョンの作成を把握した（ステップＳ２１１でＹＥＳ）と判断した場合、ＣＰＵ２１０は、新バージョンを示す情報を含む新バージョンが作成されたことを示す情報を、ＶＰ２０の製造者のサーバ３に通知するよう外部通信ユニット２９０を制御する（ステップＳ２１２）。

【0071】

ＶＰ２０の製造者のサーバ３において、ＣＰＵ３１０は、外部通信ユニット３９０によって、ＡＤＫ１０の製造者のサーバ２から、新バージョンが作成されたことを示す情報の通知が受信されたか否かを判断する（ステップＳ３１１）。新バージョンが作成されたことを示す情報の通知が受信された（ステップＳ３１１でＹＥＳ）と判断した場合、ＣＰＵ３１０は、当該新バージョンのプログラムを組込んだ、実車またはシミュレーションでの試験において車両１が適切に動作することを事前に確認していることによって、新バージョンへの更新を許可できるか否かを判断する（ステップＳ３１２）。

【0072】

新バージョンへの更新が許可できる（ステップＳ３１２でＹＥＳ）と判断した場合、ＣＰＵ３１０は、新バージョンへの更新を許可する旨の情報をサーバ２へ送信するよう外部通信ユニット３９０を制御する（ステップＳ３１３）。そして、ＣＰＵ３１０は、車両１のＡＤＫ１０で動作可能なバージョンを示す動作可能バージョン情報に新バージョンを示す情報を追加して、メモリ３２０または補助記憶装置３５０に記憶させる（ステップＳ３１４）。

【0073】

ＡＤＫ１０の製造者のサーバ２において、ＣＰＵ２１０は、外部通信ユニット２９０によって、ＶＰ２０の製造者のサーバ３から、新バージョンへの更新を許可する旨の情報を受信されたか否かを判断する（ステップＳ２１３）。新バージョンへの更新を許可する旨の情報が受信された（ステップＳ２１３でＹＥＳ）と判断した場合、ＣＰＵ２１０は、車両１のＡＤＫ１０に、ＡＤＫ１０のコンピュータ１１１のプロセッサ１１１Ａのプログラムを新バージョンへ更新するための更新用情報を送信するよう、外部通信ユニット２９０を制御する（ステップＳ２１４）。

【0074】

新バージョンの作成を把握していない（ステップＳ２１１でＮＯ）と判断した場合、新バージョンへの更新を許可する旨の情報を受信していない（ステップＳ２１３でＮＯ）と判断した場合、または、ステップＳ２１４の後、ＣＰＵ２１０は、実行する処理を上位の処理に戻す。

【0075】

車両１のＡＤＫ１０において、ＡＤＳ１１のコンピュータ１１１のプロセッサ１１１Ａは、外部通信ユニット１１９によって、ＡＤＫ１０の製造者のサーバ２から、更新用情報を受信されたか否かを判断する（ステップＳ１１１）。更新用情報が受信された（ステップＳ１１１でＹＥＳ）と判断した場合、プロセッサ１１１Ａは、更新用情報を用いて、メモリ１１１Ｂに記憶された更新対象のプロセッサ１１１Ａのプログラムを更新する（ステップＳ１１２）。

【0076】

プロセッサ１１１Ａは、現在がＡＤＫ１０による自動運転の開始時であるか否かを判断する（ステップＳ１１３）。自動運転の開始時である（ステップＳ１１３でＹＥＳ）と判断した場合、プロセッサ１１１Ａは、プロセッサ１１１Ａで実行されているプログラムのバージョンを示す特定情報をＶＣＩＢ４０に送信するよう通信モジュール１１１Ｃ，１１１Ｄを制御する（ステップＳ１１４）。

【0077】

自動運転の開始時でない（ステップＳ１１３でＮＯ）と判断した場合、または、ステップＳ１１４の後、プロセッサ１１１Ａは、実行する処理を上位の処理に戻す。

【0078】

車両１のＶＰ２０のＶＣＩＢ４０において、ＶＣＩＢ４１，４２のプロセッサ４１１，４２１は、それぞれ、通信部４１３，４２３によって、ＡＤＫ１０から、特定情報が受信されたか否かを判断する（ステップＳ４１１）。特定情報が受信された（ステップＳ４１１でＹＥＳ）と判断した場合、プロセッサ４１１，４２１は、それぞれ、受信した特定情報をＶＰ２０の製造者のサーバ３に送信するようＤＣＭ９０を制御する（ステップＳ４１２）。

【0079】

特定情報が受信されていない（ステップＳ４１１でＮＯ）と判断した場合、または、ステップＳ４１２の後、プロセッサ４１１，４２１は、実行する処理を上位の処理に戻す。

【0080】

ＶＰ２０の製造者のサーバ３において、ＣＰＵ３１０は、外部通信ユニット３９０によって、車両１のＶＰ２０から特定情報が受信されたか否かを判断する（ステップＳ３２１）。特定情報が受信された（ステップＳ３２１でＹＥＳ）と判断した場合、ＣＰＵ３１０は、受信された特定情報で示されるＡＤＫ１０の更新済のプログラムのバージョンが、メモリ３２０または補助記憶装置３５０に記憶されている動作可能バージョン情報に含まれる、車両１のＡＤＫ１０で動作可能なバージョンに一致するかを判断する（ステップＳ３２２）。

【0081】

更新済のバージョンが動作可能バージョンに一致しない（ステップＳ３２２でＮＯ）と判断した場合、ＣＰＵ３１０は、運行管理者によるその特定情報を送信してきた車両１の運用を停止させるため、バージョンが不一致であった旨を、当該車両１の運用管理者のサーバ４に送信するよう、外部通信ユニット３９０を制御する（ステップＳ３２３）。運用管理者は、バージョンが不一致であった旨を受信することで、状況に応じた車両１の運行を停止させるための処理を実行できる。運行を停止させるための処理としては、たとえば、車両１に運転者がいる場合は、手動運転で整備工場に向かうように運転者に指示する処理であってもよいし、運転者がいるかいないかに関わらず、自動運転で整備工場に向かうよう制御する処理であってもよいし、すぐに運行を停止させる処理であってもよい。

【0082】

特定情報が受信されていない（ステップＳ３２１でＮＯ）と判断した場合、更新済のバージョンが動作可能バージョンに一致する（ステップＳ３２２でＹＥＳ）と判断した場合、または、ステップＳ３２３の後、ＣＰＵ３１０は、実行する処理を上位の処理に戻す。

【0083】

これによって、車両１のＡＤＫ１０で更新済のプログラムのバージョンが、事前に確認された動作可能バージョンでない場合は、当該車両１の運用を停止させることができる。このため、ＡＤＫ１０の製造者によってＡＤＫ１０のプログラムが、動作可能なことが確認されていないバージョンに故意または過失で更新された場合、または、悪意を持った第三者によってＡＤＫ１０のプログラムが不正に更新された場合であっても、当該車両１が誤動作する前に運用を停止させることができる。その結果、ＡＤＫ１０のプログラムのバージョンを適切に管理することができる。

【0084】

［第２実施形態］
第１実施形態においては、更新済のプログラムのバージョンが動作可能バージョンであるか否かは、ＶＰ２０の製造者のサーバ３で確認されるようにした。第２実施形態においては、更新済のプログラムのバージョンが動作可能バージョンであるか否かは、車両１のＶＣＩＢ４１，４２で確認されるようにする。

【0085】

図５は、第２実施形態に係る車両管理システム１００におけるＡＤＫ１０のプログラムのバージョンを管理するための処理の流れを示すフローチャートである。図５を参照して、図５の各ステップの処理のうち、第１実施形態の図４と同じステップの番号の処理は、図４で説明した処理の内容と同じであるので、重複する説明は繰り返さない。

【0086】

ＶＰ２０の製造者のサーバ３において、図４で説明したステップＳ３１３の後、ＣＰＵ３１０は、車両１のＡＤＫ１０のプログラムの新バージョンを示すバージョン情報を、車両１のＶＣＩＢ４０に送信するよう外部通信ユニット３９０を制御する。

【0087】

車両１のＶＰ２０のＶＣＩＢ４０において、ＶＣＩＢ４１，４２のプロセッサ４１１，４２１は、それぞれ、通信部４１３，４２３によって、サーバ３から、バージョン情報が受信されたか否かを判断する（ステップＳ４２１）。バージョン情報が受信された（ステップＳ４２１でＹＥＳ）と判断した場合、当該車両１のＡＤＫ１０で動作可能なバージョンを示す動作可能バージョン情報に、受信されたバージョン情報で示される新バージョンを示す情報を追加して、ＶＣＩＢ４０のメモリ４１２，４２２に記憶させる（ステップＳ４２２）。

【0088】

ＶＣＩＢ４１，４２のプロセッサ４１１，４２１は、それぞれ、通信部４１３，４２３によって、ＡＤＫ１０から、特定情報が受信されたか否かを判断する（ステップＳ４２３）。特定情報が受信された（ステップＳ４２３でＹＥＳ）と判断した場合、プロセッサ４１１，４２１は、それぞれ、受信した特定情報で示されるＡＤＫ１０の更新済のプログラムのバージョンが、メモリ４１２，４２２に記憶されている動作可能バージョン情報に含まれる、ＡＤＫ１０で動作可能なバージョンに一致するかを判断する（ステップＳ４２４）。

【0089】

更新済のバージョンが動作可能バージョンに一致しない（ステップＳ４２４でＮＯ）と判断した場合、プロセッサ４１１，４２１は、車両１の運用を停止させるための処理を実行する（ステップＳ４２５）。車両１の運用を停止させるための処理としては、たとえば、車両１に運転者がいる場合は、手動運転で整備工場に向かうように運転者に指示する処理であってもよいし、運転者がいるかいないかに関わらず、自動運転で整備工場に向かうようＶＰ２０の各部を制御する処理であってもよいし、すぐに運行を停止させるようＶＰ２０の各部を制御する処理であってもよい。

【0090】

特定情報が受信されていない（ステップＳ４２３でＮＯ）と判断した場合、更新済のバージョンが動作可能バージョンに一致する（ステップＳ４２４でＹＥＳ）と判断した場合、または、ステップＳ４２５の後、プロセッサ４１１，４２１は、実行する処理を上位の処理に戻す。

【0091】

これによって、車両１のＡＤＫ１０で更新済のプログラムのバージョンが、事前に確認された動作可能バージョンでない場合は、当該車両１の運用を停止させることができる。このため、ＡＤＫ１０の製造者によってＡＤＫ１０のプログラムが、動作可能なことが確認されていないバージョンに故意または過失で更新された場合、または、悪意を持った第三者によってＡＤＫ１０のプログラムが不正に更新された場合であっても、当該車両１が誤動作する前に運用を停止させることができる。その結果、ＡＤＫ１０のプログラムのバージョンを適切に管理することができる。

【0092】

［変形例］
（１） 前述した実施の形態においては、図３で示したように、ＡＤＫ１０のコンピュータ１１１のプロセッサ１１１Ａが１つである場合の例について示した。しかし、これに限定されず、ＡＤＫ１０のコンピュータ１１１のプロセッサが複数であってもよい。この場合、複数のプロセッサのそれぞれに対応するプログラムは、１つのメモリ１１１Ｂに記憶されるようにしてもよいし、複数のプロセッサにそれぞれ対応するメモリに記憶されるようにしてもよく、それぞれ、独立に更新されることとする。

【0093】

（２） 前述した実施の形態においては、図１で示したように、サーバ２，３は、それぞれ、ＡＤＫ１０およびＶＰ２０の製造者のサーバであることとした。しかし、これに限定されず、サーバ２，３は、他の者のサーバであってもよく、たとえば、それぞれ、ＡＤＫ１０およびＶＰ２０の販売者のサーバであってもよい。

【0094】

（３） 前述した実施の形態においては、図４および図５のステップＳ１１３等で示したように、バージョンが適正か否かの判断のタイミングが、自動運転の開始時であることとした。しかし、バージョンが適正か否かの判断のタイミングは、これに限定されず、他のタイミングであってもよく、車両１の起動時であってもよいし、手動運転から自動運転への切替え時であってもよい。

【0095】

（４） 前述した実施の形態においては、図４および図５で示したように、ＶＰ２０の側の制御部がＶＣＩＢ４１，４２のプロセッサ４１１，４２１であることした。しかし、これに限定されず、ＶＰ２０の制御部は、他の制御部であってもよく、たとえば、図２で示した統合制御マネージャ３１のプロセッサであってもよいし、他のＥＣＵのプロセッサであってもよい。

【0096】

（５） 前述した実施の形態においては、図１で示したように、車両１の運行管理者は、ＶＰ２０の製造者（または販売者）と異なることとした。しかし、これに限定されず、車両１の運行管理者が、ＶＰ２０の製造者（または販売者）と同じであってもよい。

【0097】

（６） 前述した実施の形態では、ＡＤＫ１０およびＶＣＩＢ４１，４２は、ＣＡＮで接続されることとした。しかし、これに限定されず、ＡＤＫ１０およびＶＣＩＢ４１，４２を接続するのは、どのような接続方式であってもよく、ＣＡＮと異なる車載通信ネットワークであってもよいし、他の通信方式の接続方式であってもよい。

【0098】

（７） 前述した実施の形態を、サーバ２，３，４、車両１、ＡＤＫ１０、ＡＤＳ１１、ＶＰ２０、ベース車両３０またはＶＣＩＢ４０などの装置の開示と捉えることができるし、これらの装置のうちいずれか複数の装置を含むシステムの開示と捉えることができるし、これらの装置またはシステムでの方法またはプログラムの開示と捉えることができる。

【0099】

［まとめ］
（１） 図１で示したように、車両管理システム１００は、ＡＤＫ１０の製造者（または販売者）のサーバ２と、ＶＰ２０の製造者（または販売者）のサーバ３と、車両１とを含む。図１で示したように、サーバ２は、外部通信ユニット２９０とＣＰＵ２１０とメモリ２２０（または補助記憶装置２５０）とを備える。図１で示したように、サーバ３は、外部通信ユニット３９０とＣＰＵ３１０とメモリ３２０（または補助記憶装置３５０）とを備える。図１から図３で示したように、車両１は、走り曲がり止まるための機能を有するＶＰ２０と、ＶＰ２０に着脱可能であり、サーバ２の外部通信ユニット２９０と互いに通信可能な外部通信ユニット１１９と、少なくとも１つのプロセッサ１１１Ａと、対応するプロセッサ１１１Ａで実行されるプログラムを記憶するメモリ１１１Ｂとを備え、ＶＰ２０に自動運転の指示を出すＡＤＫ１０と、ＶＰ２０を制御するための制御コマンドを出力するＶＣＩＢ４０と、サーバ３の外部通信ユニット２９０と互いに通信可能なＤＣＭ９０とを備える。

【0100】

図４および図５で示したように、ＡＤＫ１０の製造者のサーバ２において、メモリ２２０（または補助記憶装置２５０）は、ＡＤＫ１０のプロセッサ１１１Ａのプログラムのバージョンを更新するための更新用情報を記憶し、ＣＰＵ２１０は、車両１のＡＤＫ１０に、更新用情報を送信するよう外部通信ユニット２９０を制御する（たとえば、ステップＳ２１４）。図４および図５で示したように、車両１のＡＤＫ１０において、プロセッサ１１１Ａは、サーバ２から外部通信ユニット１１９によって受信された更新用情報を用いて、対応するメモリ１１１Ｂに記憶されたプログラムのバージョンを更新する（たとえば、ステップＳ１１２）。図４で示したように、車両１において、ＶＣＩＢ４１，４２は、ＡＤＫ１０のプロセッサ１１１Ａの更新されたプログラムのバージョンを検知し（たとえば、ステップＳ４１１）、検知したバージョンを示す特定情報を、ＶＰ２０の製造者のサーバ３に送信するよう、ＤＣＭ９０を制御する（たとえば、ステップＳ４１２）。図４で示したように、ＶＰ２０の製造者のサーバ３において、ＣＰＵ３１０は、車両１から外部通信ユニット３９０によって受信された特定情報で示されるバージョンを更新済バージョンとして認知する（たとえば、ステップＳ３２１）。

【0101】

これにより、ＡＤＫ１０の製造者のサーバ２に記憶されている更新用情報によって更新された車両１のＡＤＫ１０のプログラムのバージョンが更新済バージョンとしてＶＰ２０の製造者のサーバ３によって認知される。その結果、ＡＤＫ１０のプログラムのバージョンを適切に管理することができる。

【0102】

（２） 図４で示したように、ＡＤＫ１０の製造者のサーバ２において、ＣＰＵ２１０は、プログラムの新しいバージョンが作成されるごとに、ＶＰ２０の製造者のサーバ３に当該バージョンを示す情報を送信するよう外部通信ユニット２９０を制御する（たとえば、ステップＳ２１１，ステップＳ２１２）。図４および図５で示したように、ＶＰ２０の製造者のサーバ３において、ＣＰＵ３１０は、サーバ２から外部通信ユニット３９０によって受信された情報で示される新しいバージョンを古いバージョンに追加して動作可能バージョンとしてメモリ３２０（または補助記憶装置３５０）に記憶させ（たとえば、ステップＳ３１４）、更新済バージョンが、メモリ３２０（または補助記憶装置３５０）に記憶された動作可能バージョンに含まれるか否かを判断し（たとえば、ステップＳ３２２）、更新済バージョンが動作可能バージョンに含まれるか否かの判断結果を運用管理者のサーバ４に通知する（たとえば、ステップＳ３２３）。

【0103】

これにより、ＡＤＫ１０の製造者のサーバ２によって、車両１のＡＤＫ１０のプログラムの新しいバージョンが作成されるごとに、新しいバージョンが古いバージョンに追加されて動作可能バージョンとして記憶され、車両１のＡＤＫ１０のプログラムの更新済バージョンが動作可能バージョンに含まれるか否かの判断結果が運用管理者に通知される。その結果、車両１のＡＤＫ１０のプログラムの更新済バージョンが動作可能バージョンであるか否かを運用管理者に分からせることができる。

【0104】

（３） 図４および図５で示したように、ＶＰ２０の製造者のサーバ３において、ＣＰＵ３１０は、更新済バージョンが動作可能バージョンに含まれないと判断された場合、車両１の運用を停止させるための処理を実行する（たとえば、ステップＳ３２３）。

【0105】

これにより、車両１のＡＤＫ１０のプログラムの更新済バージョンが動作可能バージョンでないような場合に、車両１の運用を停止させることができる。

【0106】

（４） 図４および図５で示したように、車両１において、ＶＣＩＢ４１，４２は、自動運転の開始前に、ＡＤＫ１０からプログラムのバージョンを取得することでバージョンを検知する（たとえば、ステップＳ４１１，ステップＳ４２３）。

【0107】

これにより、車両１のＡＤＫ１０のプログラムの更新済バージョンが動作可能バージョンであるか否かを確認した後に、自動運転を開始することができる。

【0108】

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0109】

１ 車両、２，３，４ サーバ、１０ ＡＤＫ、１１ ＡＤＳ、２０ ＶＰ、３０ ベース車両、３１ 統合制御マネージャ、３２，３２１，３２２ ブレーキシステム、３３，３３１，３３２ ステアリングシステム、３４ パワートレーンシステム、３５ アクティブセーフティシステム、３６ ボディシステム、４０，４１，４２ ＶＣＩＢ、５１，５２ 車輪速センサ、５３ ピニオン角センサ、５４ カメラ、５５，５６ レーダセンサ、９０ ＤＣＭ、１００ 車両管理システム、１１１ コンピュータ、１１１Ａ，４１１，４２１ プロセッサ、１１１Ｂ，２２０，３２０，４１２，４２０，４２２ メモリ、１１１Ｃ，１１１Ｄ 通信モジュール、１１２ ＨＭＩ、１１３ 認識用センサ、１１４ 姿勢用センサ、１１５ センサクリーナ、１１９，２９０，３９０，４９０ 外部通信ユニット、２１０，３１０，４１０ ＣＰＵ、２５０，３５０，４５０ 補助記憶装置、３４１ ＥＰＢシステム、３４２ Ｐ－Ｌｏｃｋシステム、３４３ 推進システム、４１３，４２３ 通信部、４３０ 入力部、４４０ 出力部。

【図1】

【図2】

【図3】

【図4】

【図5】