特許 7579309 制御装置、及び、制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-29

(45)【発行日】2024-11-07

(54)【発明の名称】制御装置、及び、制御方法

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241030BHJP

   G06F 21/32 20130101ALI20241030BHJP

   B60R 16/02 20060101ALI20241030BHJP

   B60R 21/38 20110101ALI20241030BHJP

【ＦＩ】

G06F8/65

G06F21/32

B60R16/02 660U

B60R21/38 310

【請求項の数】 10

(21)【出願番号】P 2022154740

(22)【出願日】2022-09-28

(65)【公開番号】P2024048685

(43)【公開日】2024-04-09

【審査請求日】2023-05-26

(73)【特許権者】

【識別番号】000005326

【氏名又は名称】本田技研工業株式会社

(74)【代理人】

【識別番号】110001081

【氏名又は名称】弁理士法人クシブチ国際特許事務所

(72)【発明者】

【氏名】吉川 大貴

【審査官】円子 英紀

(56)【参考文献】

【文献】特開２０２１－１５７４６６（ＪＰ，Ａ）

【文献】特開２０１８－０７４７９８（ＪＰ，Ａ）

【文献】特開２０１２－１０６５９３（ＪＰ，Ａ）

【文献】国際公開第２０２２／０４４２７０（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５

Ｇ０６Ｆ ２１／３２

Ｂ６０Ｒ １６／０２

Ｂ６０Ｒ ２１／３８

(57)【特許請求の範囲】

【請求項1】

車両に対する不正行為を検知する監視機能を実行し、前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力させる警報部と、
前記車両に搭載された電子機器が有するソフトウェアの更新を行うソフトウェア更新部と、
前記ソフトウェア更新部によって前記電子機器のソフトウェアの更新が行われる場合に、前記警報の出力の制限を行う警報出力制御部と、を備える、制御装置。

【請求項2】

前記ソフトウェア更新部は、前記警報出力制御部による前記制限が開始されてから前記電子機器のソフトウェアを更新する、請求項１に記載の制御装置。

【請求項3】

前記警報出力制御部は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が完了した後に、前記警報の出力の制限を解除する、請求項１に記載の制御装置。

【請求項4】

前記車両の外を撮影する撮影部を備え、
前記警報出力制御部は、前記警報の出力の制限を行っている場合に前記撮影部の撮影画像を用いて人物を検出し、前記車両の近傍に人物が存在しない場合に、前記警報部による前記警報の出力の制限を行う、請求項１に記載の制御装置。

【請求項5】

前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両に接近しているか否かを判定し、前記人物が前記車両に接近している場合は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新を中止させ、前記警報の出力の制限を解除する、請求項４に記載の制御装置。

【請求項6】

前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両の正規のユーザであるか否かを判定し、前記人物が前記車両の正規のユーザである場合は、前記警報部による前記警報の出力の制限を行う、請求項４に記載の制御装置。

【請求項7】

前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が開始した後で前記車両に対する不正行為を検知した場合に、前記電子機器のソフトウェアの更新を中止させ、前記警報の出力の制限を解除する、請求項１に記載の制御装置。

【請求項8】

前記電子機器は、第１電子機器と、第２電子機器とを含み、
前記警報出力制御部は、前記ソフトウェア更新部によって前記第１電子機器のソフトウェアの更新が行われる場合に、前記第１電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行い、前記ソフトウェア更新部によって前記第２電子機器のソフトウェアの更新が行われる場合に、前記第２電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行わない、請求項１に記載の制御装置。

【請求項9】

前記警報出力部は、指定された外部装置と通信回線を介して接続される通信装置を含み、
前記警報部は、前記監視機能により前記不正行為が検知された場合に、前記通信装置によって前記外部装置に警報を示す情報を送信させる、請求項１に記載の制御装置。

【請求項10】

車両に対する不正行為を検知する監視機能を実行し、
前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力し、
前記車両に搭載された電子機器が有するソフトウェアをソフトウェア更新部により更新する場合に、前記警報の出力の制限を行う、制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置、及び、制御方法に関する。

【背景技術】

【0002】

近年、交通の安全性の向上や車両における居住性の向上を目的として、車両に搭載される機器のソフトウェアの機能が進化している。これに伴い、機器の機能向上や改善を目的として、使用されている車両の機器のソフトウェアを更新することも提案されている。例えば、特許文献１には、車載器にサーバからプログラムをダウンロードしてインストールする手法が開示されている。
また、従来、車両を盗難等の被害から守るためのセキュリティ機能が高度化し、ソフトウェアを利用する提案がされている。例えば、特許文献２には、ＥＣＵがプログラムを実行することにより、車両内への侵入等の異常の発生を検知する構成が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１２－１１３３９４号公報

【文献】特開２０１４－０５６５６１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

車載機器やＥＣＵのソフトウェアを更新する場合には、ソフトウェアの更新の対象となる車載機器やＥＣＵの機能を一時的に停止させたり、再起動させたりすることがある。このため、セキュリティ機能に関与する車載機器やＥＣＵのソフトウェアを更新する場合、車載機器やＥＣＵが停止あるいは再起動することにより、異常発生を誤検知してしまう可能性がある。このため、セキュリティ機能に関与する車載機器やＥＣＵのソフトウェアを更新することが困難であった。
本発明はかかる背景に鑑みてなされたものであり、車両のセキュリティ機能に関与する機器のソフトウェアを更新するための手法を実現することにより、車両の機能向上の機会を増やし、延いては持続可能な輸送システムの発展に寄与することを目的とする。

【課題を解決するための手段】

【0005】

本発明の一態様は、車両に対する不正行為を検知する監視機能を実行し、前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力させる警報部と、前記車両に搭載された電子機器が有するソフトウェアの更新を行うソフトウェア更新部と、前記ソフトウェア更新部によって前記電子機器のソフトウェアの更新が行われる場合に、前記警報の出力の制限を行う警報出力制御部と、を備える、制御装置である。
本発明の他の態様によると、前記ソフトウェア更新部は、前記警報出力制御部による前記制限が開始されてから前記電子機器のソフトウェアを更新する。
本発明の他の態様によると、前記警報出力制御部は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が完了した後に、前記警報の出力の制限を解除する。
本発明の他の態様によると、前記車両の外を撮影する撮影部を備え、前記警報出力制御部は、前記警報の出力の制限を行っている場合に前記撮影部の撮影画像を用いて人物を検出し、前記車両の近傍に人物が存在しない場合に、前記警報部による前記警報の出力の制限を行う。
本発明の他の態様によると、前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両に接近しているか否かを判定し、前記人物が前記車両に接近している場合は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新を中止させる。
本発明の他の態様によると、前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両の正規のユーザであるか否かを判定し、前記人物が前記車両の正規のユーザである場合は、前記警報部による前記警報の出力の制限を行う。
本発明の他の態様によると、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が開始した後で前記車両に対する不正行為を検知した場合に、前記電子機器のソフトウェアの更新を中止させ、前記警報の出力の制限を解除する。
本発明の他の態様によると、前記電子機器は、第１電子機器と、第２電子機器とを含み、前記警報出力制御部は、前記ソフトウェア更新部によって前記第１電子機器のソフトウェアの更新が行われる場合に、前記第１電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行い、前記ソフトウェア更新部によって前記第２電子機器のソフトウェアの更新が行われる場合に、前記第２電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行わない。
本発明の他の態様によると、前記警報出力部は、指定された外部装置と通信回線を介して接続される通信装置を含み、前記警報部は、前記監視機能により前記不正行為が検知された場合に、前記通信装置によって前記外部装置に警報を示す情報を送信させる。
本発明の他の態様は、車両に対する不正行為を検知する監視機能を実行し、前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力し、前記車両に搭載された電子機器が有するソフトウェアをソフトウェア更新部により更新する場合に、前記警報の出力の制限を行う、制御方法である。

【発明の効果】

【0006】

本発明によれば、車両に搭載された電子機器のソフトウェアを、セキュリティに関する機能を誤動作させることなく、更新できる。これにより、ソフトウェアの更新による車両の機能向上の機会を増やすことができ、持続可能な輸送システムの発展に寄与することができる。

【図面の簡単な説明】

【0007】

【図1】管理システムの概略構成を示す図。

【図2】車両の制御システムの要部構成を示すブロック図。

【図3】制御システムの動作例を示すフローチャート。

【図4】制御システムの動作例を示すフローチャート。

【図5】制御システムの動作例を示すフローチャート。

【図6】制御システムの動作例を示すフローチャート。

【発明を実施するための形態】

【0008】

図１は、管理システム１００の概略構成を示す図である。
管理システム１００は、車両Ｖの全般的な制御および情報処理を行う制御システム１を含み、制御システム１を構成する各種のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）が実行するプログラムの更新を可能とするシステムである。管理システム１００は、制御システム１、サーバ２、及び、携帯端末３を含む。

【0009】

サーバ２は、通信ネットワークＮによって制御システム１と接続される。
通信ネットワークＮは、有線または無線通信回線で構成されるネットワークである。通信ネットワークＮは、例えば、セルラー通信網、Ｗｉ－Ｆｉ（登録商標）ネットワーク、Ｂｌｕｅｔｏｏｔｈ（登録商標）、インターネット、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、公衆回線、プロバイダ装置、専用回線、基地局等を含む。図１には通信ネットワークＮに含まれる基地局Ｂを図示する。制御システム１は、後述するＴＣＵ２１を利用して、基地局Ｂとの間でセルラー通信を実行することにより、通信ネットワークＮを通じて外部装置とデータ通信を実行する。

【0010】

制御システム１は、車両Ｖに搭載されるシステムであり、車両Ｖが備える各種の電子機器を含む。電子機器とは、例えば、ＥＣＵである。制御システム１は、複数のＥＣＵを統合して制御することにより、車両Ｖの各種機能を実行する。

【0011】

制御システム１は、サーバ２からデータをダウンロードし、ダウンロードしたデータを利用して、制御システム１が備えるＥＣＵにプログラムをインストールすること、及び、ＥＣＵにインストールされているプログラムを更新することができる。プログラムを更新するために制御システム１がサーバ２からダウンロードするデータを、更新データと呼ぶ。

【0012】

管理システム１００はサーバ２とは異なるサーバを備えてもよく、この場合、制御システム１は、サーバ２とは異なるサーバから更新データをダウンロードしてもよい。また、サーバ２は、１つのサーバコンピュータであってもよいし、複数のサーバコンピュータにより構成されてもよく、クラウドサーバであってもよい。

【0013】

制御システム１は、通信部として、後述するＴＣＵ２１を備える。制御システム１は、ＴＣＵ２１によってサーバ２と通信を実行することにより更新データをサーバ２からダウンロードする。制御システム１が更新データをダウンロードし、更新データを利用してプログラムのインストールや更新を行う処理を、ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）と呼ぶ。

【0014】

制御システム１は、通信ネットワークＮを介して携帯端末３とデータ通信可能に接続される。携帯端末３は、車両Ｖのユーザが使用する携帯型のコンピュータである。携帯端末３は、例えば、タブレット型コンピュータ、ノート型コンピュータ、スマートフォンである。制御システム１は、携帯端末３とデータ通信を実行することにより、携帯端末３にテキストメッセージ、電子メール、音声データ等を送信する。携帯端末３は、制御システム１から送信されたテキストメッセージや電子メールを受信して表示画面に表示する処理や、制御システム１から送信された音声データを受信し、この音声データに基づき音声を出力する処理等を実行する。携帯端末３は外部装置の一例に対応する。

【0015】

車両Ｖは、電力により動作するモータを駆動源として備える電動車両、及び、内燃機関を搭載する車両のいずれであってもよい。内燃機関は、車両Ｖを駆動する動力源として機能してもよい。また、車両Ｖが搭載する内燃機関が不図示の発電機を駆動することにより、モータを駆動するための電力を発電する構成であってもよい。

【0016】

以下の説明において、車両Ｖが起動している状態とは、車両Ｖの内燃機関が動作中または即時の始動が可能な状態、或いは、車両Ｖのモータが即時に動作可能な状態をいう。車両Ｖが起動している状態は、いわゆるイグニッションオンの状態、或いは、Ｒｅａｄｙ状態として知られている。車両Ｖが停止している状態とは、車両Ｖの内燃機関またはモータを即時に動作できない状態をいう。車両Ｖの停止状態は、例えば、車両Ｖの内燃機関を始動させるために燃料供給系統等を始動させることが必要な状態、或いは、車両Ｖのモータを動作させるために車両Ｖが搭載する不図示のインバータ回路を始動させることが必要な状態である。車両Ｖが停止している状態は、いわゆるイグニッションオフの状態である。

【0017】

車両Ｖは、車両Ｖを起動および停止させるための不図示の操作部を有する。この操作部は、例えば、ユーザが操作するＳＳＳＷ（Ｓｔａｒｔ Ｓｔｏｐ ＳＷｉｔｃｈ）や、リモコンの操作によって車両Ｖの始動及び／または停止の指示を受け付ける受信部を含む。車両Ｖのユーザは、例えば車両Ｖの運転者や車両Ｖの所有者であるが、運転者以外の人であって車両Ｖを使用する人を含んでもよい。車両Ｖを起動させる操作は、例えばイグニッションオンの操作であり、車両Ｖを停止させる操作はイグニッションオフの操作である。

【0018】

車両Ｖが起動している状態で、制御システム１はオン状態である。オン状態において、後述するように制御システム１を構成する機能部の大部分には電力が供給され、これらの機能部が動作する。

【0019】

車両Ｖの停止状態において、制御システム１はオフ状態となる。制御システム１のオフ状態では、制御システム１を構成する機能部の一部は電力供給が停止された状態となり、一部は電力供給が維持されて動作する。本実施形態の制御システム１は、車両Ｖの停止状態において、セキュリティ機能を実行する。制御システム１は、セキュリティ機能を実行中に制御システム１における異常を検知すると、警報を出力する。制御システム１が検知する異常とは、車両Ｖの盗難や破損である可能性のある事象である。制御システム１のセキュリティ機能により検知される異常は、車両に対する不正行為に相当する。具体的には、車両Ｖのドア等が適正でない方法により開かれること、車両Ｖの車体に不自然な振動が加わること、適正でない方法により車両Ｖを起動させようとする操作が行われることが挙げられる。本実施形態では、車両Ｖの停止状態において、制御システム１は、セキュリティ機能を実行可能である。

【0020】

さらに、車両Ｖの停止状態において、制御システム１がオン状態として動作することも可能である。本実施形態の制御システム１は、車両Ｖの停止状態において、プログラムをインストールする機能を実行可能である。

【0021】

図２は、制御システム１の要部構成を示すブロック図である。
図２に示すように、制御システム１は、第１ＥＣＵ１１、第２ＥＣＵ１２、第３ＥＣＵ１３を含み、これらを区別しない場合にＥＣＵ１０と記載する。第１ＥＣＵ１１は、車両Ｖの全般的な制御および情報処理を行い、制御システム１を構成するＥＣＵ１０を制御する。第１ＥＣＵ１１には、通信ライン４１を介して第２ＥＣＵ１２が接続され、通信ライン４２を介して第３ＥＣＵ１３が接続される。通信ライン４１、４２およびその他の制御システム１の通信ラインは、ＣＡＮ、Ｅｔｈｅｒｎｅｔ（登録商標）等の規格に準拠した通信を行うバス、若しくは、Ｐ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）通信を行う通信ラインで構成されている。これらの通信ラインは、単一の通信ラインで構成されてもよいし、同一の規格に準拠した通信を行う複数の通信ラインで構成されてもよいし、異なる規格に準拠した通信を行う複数の通信ラインで構成されてもよい。

【0022】

第１ＥＣＵ１１は、通信ライン４１、４２間における通信データの授受を管理するゲートウェイの機能を実現する。また、第１ＥＣＵ１１は、ＯＴＡ管理を実行する。ＯＴＡ管理は、制御システム１がサーバ２から更新データをダウンロードする処理、及び、ダウンロードした更新プログラムを用いてＥＣＵ１０にプログラムをインストールまたは更新する制御を含む。

【0023】

第１ＥＣＵ１１には、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２１、ホーン２２、カメラ２３が接続される。ＴＣＵ２１は、移動通信システムの通信規格に準拠する無線通信装置である。ホーン２２は、不図示のホーンスイッチの操作、及び、第１ＥＣＵ１１の制御に従って鳴動する。カメラ２３は、車両Ｖの外部を撮影するように車両Ｖに設置されたデジタルカメラであり、第１ＥＣＵ１１の制御に従って撮影を実行する。第１ＥＣＵ１１は、カメラ２３から撮影画像データを取得する。カメラ２３は、単眼カメラであってもよいし、ステレオカメラであってもよく、可視領域外の波長の光により撮影を行うカメラであってもよい。また、カメラ２３は、複数のカメラを含んでもよく、車両Ｖの車室内を撮影するカメラを含んでもよい。カメラ２３は撮影部の一例に対応する。

【0024】

第２ＥＣＵ１２は、車両Ｖのセキュリティ機能を実行する。第３ＥＣＵ１３は、車両Ｖに搭載された各種のセンサの検出値を取得することにより、車両Ｖの状態を検知する。図２には、第２ＥＣＵ１２に接続されるセンサの一例として、フードＳＷ（スイッチ）３１、ドアＳＷ３２、及び、シルコンＳＷ３３を示す。フードＳＷ３１、ドアＳＷ３２、及び、シルコンＳＷ３３は、車両Ｖが有する開閉機構の開閉状態等を検知するスイッチ式のセンサである。フードＳＷ３１は、車両Ｖのボンネットフードの開閉状態を検知する。ドアＳＷ３２は、車両Ｖのドアの開閉状態を検知する。シルコンＳＷ３３は、車両Ｖのドアロックの施錠状態を検知する。ドアＳＷ３２及びシルコンＳＷ３３は、車両Ｖのドア及びリアゲートの各々に対応して、複数設置されてもよい。

【0025】

第２ＥＣＵ１２には、灯体ＥＣＵ２４が接続される。灯体ＥＣＵ２４は、車両Ｖが備える灯火装置に接続され、灯火装置を制御して、点灯、点滅、及び、消灯させる。図２には、灯体ＥＣＵ２４により制御される灯火装置の一例としてハザードランプ２５を示す。

【0026】

図２に示す各部は、制御システム１を構成する複数のＥＣＵ、及び、これらのＥＣＵにより制御される機器のうちの一部であり、制御システム１が図２に示されていない構成を具備することを妨げない。例えば、ＥＣＵ１０には、ＩＣＢ（Ｉｎｆｏｔａｉｎｍｅｎｔ Ｃｏｎｔｒｏｌ Ｂｏｘ）、ＭＰＵ（Ｍａｐ Ｐｏｓｉｔｉｏｎｉｎｇ Ｕｎｉｔ）、ＭＶＣ－ＥＣＵ（ＭＶＣ；Ｍｕｌｔｉ Ｖｉｅｗ Ｃａｍｅｒａ）、ＰＫＳ－ＥＣＵ（ＰＫＳ；Ｐａｒｋｉｎｇ Ｓｕｐｐｏｒｔ）、ＡＤＡＳ－ＥＣＵ（ＡＤＡＳ；Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｃｅ Ｓｙｓｔｅｍ）等のＥＣＵ、或いは、車両Ｖが備えるその他の種々のデバイスやセンサの動作を制御するＥＣＵが含まれ得る。そのようなデバイスやセンサには、自車両を走行させる走行用モータ、アクセルやブレーキなどの操縦器、ＶＳＡ装置（ＶＳＡ；Ｖｅｈｉｃｌｅ Ｓｔａｂｉｌｉｔｙ Ａｓｉｓｔ）、バッテリ、ドアウィンドウを駆動するウィンドウモータ、ドアロック機構を駆動するアクチュエータ、温度センサなどが含まれ得る。また、ＥＣＵ１０に、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｅｖｅｒｙｔｈｉｎｇ）通信装置、ＧＮＳＳ（Ｇｌｏｂａｌ Ｎａｖｉｇａｔｉｏｎ Ｓａｔｅｌｌｉｔｅ Ｓｙｓｔｅｍ）センサ、タッチパネル、ディスプレイ、スピーカ等が接続されてもよい。また、図２の第１ＥＣＵ１１、第２ＥＣＵ１２、第３ＥＣＵ１３の機能は一例である。これらの機能をより多くのＥＣＵに実装してもよいし、１つのＥＣＵに実装してもよい。また、ＥＣＵ１０どうし、及び、ＥＣＵ１０と各機器との接続形態も一例であり、各機器を図２とは異なるＥＣＵ１０に接続した構成とすることも勿論可能である。

【0027】

制御システム１において、第１ＥＣＵ１１は、プロセッサ１１０と、メモリ１１５と、を備える。プロセッサ１１０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＭＣＵ（Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）、或いは、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）により構成される。メモリ１１５は、プロセッサ１１０が実行するプログラム、及び、プロセッサ１１０により処理されるデータを不揮発的に記憶する。メモリ１１５は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）で構成される。メモリ１１５は、プログラム及びデータを一時的に記憶するためのワークエリアを形成するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を備えてもよい。第１ＥＣＵ１１は、プロセッサ１１０、及びメモリ１１５を一体に備える集積回路で構成されてもよい。また、第１ＥＣＵ１１は、プロセッサ１１０、メモリ１１５、及びその他の回路のそれぞれを独立したハードウェアとして備える構成であってもよい。

【0028】

メモリ１１５は、制御プログラム１１６、機器情報１１７、及び、予約情報１１８を記憶する。

【0029】

プロセッサ１１０は、制御プログラム１１６を実行することによって、第１ＥＣＵ１１の各部、及び、制御システム１を構成する装置を制御する。プロセッサ１１０は、制御システム１に含まれるＥＣＵが実行するアプリケーションプログラムに関する機能部として、プログラム管理部１１１、及び、検出部１１２を有する。

【0030】

プログラム管理部１１１は、制御システム１におけるプログラムのインストール、及び、実行を管理する。制御システム１を構成するＥＣＵ１０は、車両Ｖに搭載された機器を制御するプログラムを有し、プログラムを実行することにより機器を制御する。この種のプログラムは、ファームウェア、ミドルウェア、或いは、制御プログラムと呼ばれる。プログラム管理部１１１が管理するプログラムはソフトウェアの一態様である。プログラム管理部１１１は、ソフトウェア更新部の一例に対応する。

【0031】

プログラム管理部１１１が管理するプログラムは、ファームウェア、ミドルウェア、制御プログラム、及び、アプリケーションプログラムのいずれであってもよい。本実施形態では一例として、プログラム管理部１１１が管理する対象がアプリケーションプログラムである場合を説明する。このアプリケーションプログラムは、車両Ｖの製造元や販売元の事業者により提供され、この事業者が管理するサーバ２から通信ネットワークＮを介して車両Ｖにダウンロードされる。プログラム管理部１１１が管理するプログラムは、車両Ｖの販売店や整備工場に設置される不図示の診断装置を制御システム１に接続することにより、診断装置から車両Ｖにダウンロードされてもよい。また、アプリケーションプログラムは、車両Ｖの製造元や販売元とは無関係な第三者により開発または提供されたプログラムであってもよい。

【0032】

プログラム管理部１１１は、プログラムのインストール、及び、更新の対象とするＥＣＵ１０を特定する。以下の説明では、プログラムのインストール、及び、更新をまとめてインストールと呼ぶ。プログラム管理部１１１は、ＴＣＵ２１によりサーバ２と通信を実行することにより、インストールの対象のＥＣＵ１０の型番、仕様、バージョンに適合する更新データをサーバ２に要求する。プログラム管理部１１１は、サーバ２から更新データをダウンロードし、更新データに基づいてプログラムをインストールする。プログラム管理部１１１は、プログラムをインストールした後、インストールされたプログラムの状態をチェックし、正常にインストールが完了したことを確認してからインストールを完了する。

【0033】

検出部１１２は、制御システム１に含まれる各種のＥＣＵ１０、及び、ＥＣＵ１０により制御される車両Ｖの各機器を検出する。検出部１１２は、例えば、制御システム１の動作中に、ＥＣＵ１０及び各機器を検出し、機器情報１１７を更新する。

【0034】

機器情報１１７は、制御システム１を構成するＥＣＵ１０、及び、ＥＣＵ１０により制御される機器に関する情報を含む。機器情報１１７は、例えば、各々のＥＣＵ１０の型番、仕様、ＥＣＵ１０にインストールされているプログラムのバージョン等の情報を含む。

【0035】

プログラム管理部１１１は、ユーザによる操作等に応じて、プログラムのインストールの予約を受け付ける。例えば、プログラム管理部１１１は、サーバ２に対し、制御システム１に含まれるＥＣＵ１０に対応する新しい更新データの有無の問合せを行い、新しい更新データがある場合に、不図示のディスプレイやタッチパネルを利用して、ユーザに対してインストールを促す通知を行う。プログラム管理部１１１は、ユーザの操作によりインストールが指示された場合、この操作に基づき予約を受け付ける。車両Ｖが起動している状態で予約を受け付けた場合、プログラム管理部１１１は、予約情報１１８を生成または更新する。予約情報１１８には、例えば、車両Ｖが停止してからプログラムのインストールを実行することを指定する情報である。予約情報１１８は、インストールする更新データの種類、プログラムをインストールする対象のＥＣＵ１０等を示す情報を含む。プログラム管理部１１１は、予約を受け付けた場合、車両Ｖが起動している状態で更新データをダウンロードしてもよいし、車両Ｖが停止してから更新データをダウンロードしてもよい。

【0036】

プログラム管理部１１１は、車両Ｖが起動している状態でプログラムをインストールしてもよい。この場合、制御システム１は、車両Ｖを停止させてからプログラムをインストールし、インストールが完了した後に車両Ｖを起動させる。また、プログラムをインストールするために車両Ｖを停止させる必要がない場合がある。例えば、車両Ｖの映像再生等を実行するためのプログラムは、車両Ｖを停止させずにインストールすることが可能である。この場合、車両Ｖが起動した状態を維持したまま、プログラム管理部１１１は、プログラムをインストールする。

【0037】

第２ＥＣＵ１２は、プロセッサ１２０と、メモリ１２５と、を備える。プロセッサ１２０は、例えば、ＣＰＵ、ＭＣＵ、或いは、ＭＰＵにより構成される。メモリ１２５は、プロセッサ１２０が実行するプログラム、及び、プロセッサ１２０により処理されるデータを不揮発的に記憶する。メモリ１２５は、例えば、ＲＯＭで構成される。メモリ１２５は、プログラム及びデータを一時的に記憶するためのワークエリアを形成するＲＡＭを備えてもよい。第２ＥＣＵ１２は、プロセッサ１２０、及びメモリ１２５を一体に備える集積回路で構成されてもよい。また、第２ＥＣＵ１２は、プロセッサ１２０、メモリ１２５、及びその他の回路のそれぞれを独立したハードウェアとして備える構成であってもよい。

【0038】

メモリ１２５は、制御プログラム１２６を記憶する。
プロセッサ１２０は、制御プログラム１２６を実行することによって、警報部１２１、及び、警報出力制御部１２２として機能する。

【0039】

警報部１２１は、車両Ｖの監視機能を実行する。警報部１２１の監視機能は、車両Ｖのセキュリティ機能に相当する。監視機能は、車両Ｖが停止している状態で、車両Ｖの異常を検出して警報を出力する機能である。警報部１２１は、車両Ｖが停止すると、監視機能の実行を開始する。制御システム１は、ユーザの操作により監視機能が解除された場合に、警報部１２１による監視機能を実行しない構成であってもよい。

【0040】

警報部１２１は、車両Ｖが備える機器のうち監視対象の状態を監視する。警報部１２１の監視対象は、制御システム１に含まれるＥＣＵ１０、及び、ＥＣＵ１０に接続された機器のいずれであってもよい。本実施形態では、警報部１２１の監視対象ＴＧがフードＳＷ３１、ドアＳＷ３２、及びシルコンＳＷ３３である場合を例に挙げて説明する。この場合、車両Ｖのボンネットフードやドアが適正でない方法により開かれたとき、或いは、車両Ｖのドアのロックが適正でない方法により解除されたときに、警報部１２１は、車両Ｖの異常を検出する。

【0041】

警報部１２１は、車両Ｖの状態を判定し、監視を行うべき状態であると判定した場合に、監視動作を行う。監視を行う状態とは、例えば、車両Ｖが停止している状態である。

【0042】

警報部１２１は、監視動作において監視対象ＴＧの状態を検出する。警報部１２１は、監視対象ＴＧの状態に基づいて車両Ｖに異常が発生したことを検出する。警報部１２１は、車両Ｖの異常が発生したことを検出した場合に警報を出力する。警報の出力の態様は、例えば、ホーン２２を鳴動させることである。この場合、警報部１２１は、ホーン２２を鳴動させることを要求する信号を、第１ＥＣＵ１１に対して出力する。警報の出力の態様は、ハザードランプ２５を点滅させることであってもよい。この場合、警報部１２１は、ハザードランプ２５を点滅させることを要求する信号を、第３ＥＣＵ１３に出力する。警報の出力の態様は、携帯端末３にテキストメッセージまたは電子メールを送信することであってもよい。この場合、警報部１２１は、ＴＣＵ２１により携帯端末３にテキストメッセージまたは電子メールを送信することを要求する信号を、第１ＥＣＵ１１に出力する。

【0043】

警報出力制御部１２２は、警報部１２１による警報の出力を制限する。警報出力制御部１２２は、警報部１２１の監視対象のＥＣＵ１０、または、警報部１２１の監視対象の機器を制御するＥＣＵ１０に対し、プログラム管理部１１１がプログラムをインストールする場合に、警報の出力を制限する。

【0044】

警報出力制御部１２２による警報出力の制限は、例えば、警報部１２１による警報の出力を禁止または停止させることである。警報出力の禁止とは、警報出力の開始を禁止することをいい、警報出力の停止は、警報部１２１が監視機能を実行中に警報出力を停止させること、及び／または、監視機能を停止させることを含む。
警報出力制御部１２２による制限は、警報部１２１の機能を部分的に制限することであってもよい。具体的には、警報部１２１がホーン２２を使用して出力を行うこと、及び、ＴＣＵ２１により出力を行うことを禁止または停止させ、警報部１２１がハザードランプ２５により出力を行うことを制限しない態様であってもよい。また、警報出力制御部１２２による警報出力の制限は、警報部１２１が監視動作を行うことを禁止または停止させることであってもよい。

【0045】

第３ＥＣＵ１３は、プロセッサ１３０と、メモリ１３５と、を備える。プロセッサ１３０は、例えば、ＣＰＵ、ＭＣＵ、或いは、ＭＰＵにより構成される。メモリ１３５は、プロセッサ１３０が実行するプログラム、及び、プロセッサ１３０により処理されるデータを不揮発的に記憶する。メモリ１３５は、例えば、ＲＯＭで構成される。メモリ１３５は、プログラム及びデータを一時的に記憶するためのワークエリアを形成するＲＡＭを備えてもよい。第３ＥＣＵ１３は、プロセッサ１３０、及びメモリ１３５を一体に備える集積回路で構成されてもよい。また、第３ＥＣＵ１３は、プロセッサ１３０、メモリ１３５、及びその他の回路のそれぞれを独立したハードウェアとして備える構成であってもよい。

【0046】

メモリ１３５は、制御プログラム１３６、及び、アプリケーションプログラム１３７を記憶する。プロセッサ１３０は、制御プログラム１３６を実行することによって、アプリケーションプログラム１３７を実行するためのプラットフォームを構成する。このプラットフォームはプログラム実行部１３１に相当する。つまり、プロセッサ１３０は、制御プログラム１３６を実行することで、アプリケーションプログラム１３７を実行可能な状態となる。

【0047】

第３ＥＣＵ１３は、アプリケーションプログラム１３７を実行することにより、第３ＥＣＵ１３に接続された機器を制御する。例えば、第３ＥＣＵ１３に不図示のタッチパネルやスピーカが接続されている場合、第３ＥＣＵ１３は、アプリケーションプログラム１３７を実行することにより、映像コンテンツの再生、音楽再生、ハンズフリー通話等の機能を実行する。

【0048】

制御システム１は、警報装置１４を備えてもよい。警報装置１４は、超音波センサ１４１、及び、ブザー１４２を備える。超音波センサ１４１は、車両Ｖの車室内における物体の動きを検知するセンサである。超音波センサ１４１が動きを検知する物体は人間を含む。超音波センサ１４１は、ＥＣＵ１０によって警戒を開始することを指示された場合に、指示に応じて警戒動作を実行する。超音波センサ１４１は、警戒動作において物体の動きを検知した場合、ブザー１４２を鳴動させる。本実施形態では、警報装置１４は、第１ＥＣＵ１１の制御に従って警戒動作を開始する。警報装置１４は、警報部１２１とは独立して警戒動作を実行することができる。例えば、警報出力制御部１２２によって警報出力が制限されている状態で、警報装置１４は警戒動作を実行できる。警報装置１４の警戒動作は、警報部１２１による監視機能と同様に、車両Ｖのセキュリティ機能である。

【0049】

図３、図４、図５、及び図６は、制御システム１の動作例を示すフローチャートである。図３－図６に示す動作は、制御システム１がプログラムをインストールする場合の動作であり、特に、車両Ｖが停止している状態でプログラムをインストールする動作例を示す。

【0050】

制御システム１は、第２ＥＣＵ１２による監視機能を搭載しており、この監視機能によって、車両Ｖの駐車中における異常を検知し、警報を出力する。図３－図６は、警報部１２１が監視機能を実行するよう設定されている場合に、プログラムをインストールする動作例を示す。図３のステップＳ１１－Ｓ１５、Ｓ２２はプログラム管理部１１１により実行される。ステップＳ１６－Ｓ２１、Ｓ２３は警報出力制御部１２２により実行される。

【0051】

図３の動作は、予約情報１１８によりプログラムのインストールが予約されている場合の動作である。
制御システム１は、ユーザの操作により車両Ｖが停止したことを検知すると（ステップＳ１１）、警報部１２１による監視動作を開始する（ステップＳ１２）。続いて、制御システム１は、予約情報１１８を参照する（ステップＳ１３）。ステップＳ１３で、制御システム１は、例えば、プログラムをインストールする対象のＥＣＵ１０、及び、インストールするプログラムを特定する。

【0052】

制御システム１は、プログラムがインストールされるＥＣＵ１０が、警報部１２１の監視対象ＴＧに関係するＥＣＵ１０であるか否かを判定する（ステップＳ１４）。図２に示す構成例で、監視対象ＴＧは、第３ＥＣＵ１３に接続されている。この構成において、第３ＥＣＵ１３は、監視対象ＴＧに関係するＥＣＵ１０に該当する。

【0053】

プログラムがインストールされるＥＣＵ１０が、警報部１２１の監視対象ＴＧに関係するＥＣＵ１０でないと判定した場合（ステップＳ１４；ＮＯ）、更新処理を実行し（ステップＳ１５）、本処理を終了する。この場合、車両Ｖは停止した状態を維持し、警報部１２１による監視動作が実行される。

【0054】

プログラムがインストールされるＥＣＵ１０が、警報部１２１の監視対象ＴＧに関係するＥＣＵ１０であると判定した場合（ステップＳ１４；ＹＥＳ）、制御システム１は、カメラ２３の撮影画像による監視を開始する（ステップＳ１６）。制御システム１は、カメラ２３の撮影画像を取得して、車両Ｖの周囲に人がいるか否かを判定する（ステップＳ１７）。ステップＳ１７は、例えば、カメラ２３の撮影画像を解析して、撮影画像に人が写っているか否かを判定する処理である。

【0055】

車両Ｖの周囲に人がいないと判定した場合（ステップＳ１７；ＮＯ）、制御システム１は後述するステップＳ２０に移行する。
車両Ｖの周囲に人がいると判定した場合（ステップＳ１７；ＹＥＳ）、制御システム１は、撮影画像から検出された人が車両Ｖに接近中であるか否かを判定する（ステップＳ１８）。ステップＳ１８は、例えば、異なるタイミングでカメラ２３により撮影された複数の撮影画像において、人が検出された位置を比較することにより、撮影画像に写っている人が車両Ｖに向かって移動しているか否かを判定する処理である。

【0056】

撮影画像から検出された人が車両Ｖに接近中でないと判定した場合（ステップＳ１８；ＮＯ）、制御システム１はステップＳ２０に移行する。
撮影画像から検出された人が車両Ｖに接近中であると判定した場合（ステップＳ１８；ＹＥＳ）、制御システム１は、撮影画像から検出された人が車両Ｖのユーザであるか否かを判定する（ステップＳ１９）。ステップＳ１９は、例えば、カメラ２３の撮影画像において検出された人の顔等が、予め制御システム１に登録されたユーザの顔等と類似または一致するか否かを判定する処理である。この処理のため、制御システム１には、予め車両Ｖのユーザが登録される。具体的には、ユーザの顔等の画像の特徴を示す情報等が、第１ＥＣＵ１１に記憶される。

【0057】

撮影画像から検出された人が車両Ｖのユーザでないと判定した場合（ステップＳ１９；ＮＯ）、制御システム１は、ステップＳ１７に戻る。
撮影画像から検出された人が車両Ｖのユーザであると判定した場合（ステップＳ１９；ＹＥＳ）、制御システム１は、ステップＳ２０に移行して、インストール監視処理を開始する（ステップＳ２０）。インストール監視処理については図５を参照して後述する。

【0058】

インストール監視処理を開始した後、制御システム１は、警報部１２１による警報出力の制限を開始する（ステップＳ２１）。
制御システム１は、警報出力制御部１２２による制限を実行した後で、更新処理を実行する（ステップＳ２２）。
更新処理が完了した後、制御システム１は、警報出力制御部１２２による警報出力の制限を解除し（ステップＳ２３）、本処理を終了する。

【0059】

図４は、図３のステップＳ１５及びステップＳ２２で実行される更新処理を示す。図４の動作はプログラム管理部１１１により実行される。
制御システム１は、サーバ２に対して、更新データのダウンロードを要求する（ステップＳ３１）。制御システム１が要求する更新データは、例えば、予約情報１１８により指定されたＥＣＵ１０のプログラムをインストールするための更新データである。

【0060】

制御システム１は、サーバ２から更新データをダウンロードする（ステップＳ３２）。
制御システム１は、ダウンロード済みの更新データを取得し（ステップＳ３３）、取得した更新データに基づいて、プログラムをＥＣＵ１０にインストールする（ステップＳ３４）。その後、制御システム１は、プログラムが正常にインストールされたか否かを判定するため、インストールしたプログラムの検証を行う（ステップＳ３５）。プログラムの検証が完了した後、制御システム１は、更新処理を終了して図３の動作に戻る。

【0061】

制御システム１は、図４に示す更新処理のうちステップＳ３１－Ｓ３２を、更新処理の実行前に行い、予め更新データをサーバ２からダウンロードしてもよい。例えば、プログラム管理部１１１は、予約を受け付けたことに応じて予約情報１１８を生成または更新した場合に、生成または更新後の予約情報１１８に基づいて、ステップＳ３１－Ｓ３２の動作を実行してもよい。このステップＳ３１－Ｓ３２の動作は、車両Ｖが起動している状態、すなわち、車両Ｖが停止する前に実行されてもよい。この場合、制御システム１は、図３のステップＳ１５、Ｓ２２において、ステップＳ３３－Ｓ３５を実行すればよい。
また、制御システム１は、予約情報１１８に基づいて、更新処理の実行前に、複数の更新データをサーバ２からダウンロードしてもよい。この場合、ステップＳ３３で、制御システム１は、ダウンロード済みの更新データの中から、プログラムをインストールする対象のＥＣＵ１０に対応する更新データを選択して取得する。

【0062】

なお、プログラムの検証においてエラーが検出された場合、制御システム１は、プログラムのインストールを再試行するか、或いは、エラーを出力してインストールを終了して図３の動作に戻る。

【0063】

図５は、インストール監視処理を示す。インストール監視処理は、図３のステップＳ２２で実行される更新処理と並行して、プログラム管理部１１１または警報出力制御部１２２により実行される。

【0064】

制御システム１は、カメラ２３の撮影画像による監視を開始する（ステップＳ４１）。制御システム１は、カメラ２３の撮影画像を取得して、車両Ｖの周囲に人がいるか否かを判定する（ステップＳ４２）。ステップＳ４２は、例えば、ステップＳ１７と同様の処理である。

【0065】

車両Ｖの周囲に人がいないと判定した場合（ステップＳ４２；ＮＯ）、制御システム１は後述するステップＳ４５に移行する。
車両Ｖの周囲に人がいると判定した場合（ステップＳ４２；ＹＥＳ）、制御システム１は、撮影画像から検出された人が車両Ｖに接近中であるか否かを判定する（ステップＳ４３）。ステップＳ４３は、例えば、ステップＳ１８と同様の処理である。

【0066】

撮影画像から検出された人が車両Ｖに接近中でないと判定した場合（ステップＳ４３；ＮＯ）、制御システム１はステップＳ４５に移行する。撮影画像から検出された人が車両Ｖに接近中であると判定した場合（ステップＳ４３；ＹＥＳ）、制御システム１は、撮影画像から検出された人が車両Ｖのユーザであるか否かを判定する（ステップＳ４４）。ステップＳ４４は、例えば、ステップＳ１９と同様の処理である。

【0067】

撮影画像から検出された人が車両Ｖのユーザでないと判定した場合（ステップＳ４４；ＮＯ）、制御システム１は、実行中の更新処理を中断させる（ステップＳ４６）。続いて、制御システム１は、警報出力制御部１２２による警報出力の制限を解除させ（ステップＳ４７）、本処理を終了する。更新処理を中断させる処理は、いわゆる割込処理として実行できる。更新処理を中断させた場合、制御システム１は、エラーを出力して動作を終了してもよいし、図３のステップＳ１６に移行してもよい。

【0068】

撮影画像から検出された人が車両Ｖのユーザであると判定した場合（ステップＳ４４；ＹＥＳ）、制御システム１は、ステップＳ４５に移行する。ステップＳ４５で、制御システム１は、更新処理が終了したか否かを判定する（ステップＳ４５）。更新処理が終了していないと判定した場合（ステップＳ４５；ＮＯ）、制御システム１は、ステップＳ４２に戻る。更新処理が終了したと判定した場合（ステップＳ４５；ＹＥＳ）、制御システム１は、本処理を終了する。

【0069】

図６は、図３とは別の動作例を示す。図３のステップＳ１６－Ｓ１９で実行したカメラ２３の撮影画像による監視、及び、ステップＳ２０のインストール監視処理に代えて、ステップＳ５１、Ｓ５２の動作を実行する。ステップＳ５１、Ｓ５２は、プログラム管理部１１１または警報出力制御部１２２により実行される。図６において、図３と同じ処理には同ステップ番号を付して説明を省略する。

【0070】

制御システム１は、ステップＳ１４で、プログラムがインストールされるＥＣＵ１０が監視対象ＴＧに関係すると判定した場合（ステップＳ１４；ＹＥＳ）、代替警報機能による監視を開始する（ステップＳ５１）。代替警報機能とは、警報部１２１の代わりに車両Ｖにおける異常の検知および警報の出力を行う機能である。例えば、警報装置１４が超音波センサ１４１によって異常を検知し、ブザー１４２によって報知を行うことは、代替警報機能に該当する。本実施形態では、ステップＳ５１で、制御システム１は警報装置１４による監視を開始する。これにより、車両Ｖに対して超音波センサ１４１による監視がなされる。

【0071】

その後、制御システム１は、ステップＳ２１－Ｓ２３を実行し、ステップＳ２３で警報部１２１の警報出力の制限を解除した後、ステップＳ５１で開始した監視を停止する（ステップＳ５２）。

【0072】

このように、制御システム１は、警報部１２１を用いる監視機能により車両Ｖを監視することが可能であり、監視機能の監視対象ＴＧに関係するＥＣＵ１０にプログラムをインストールするときには、警報の出力を制限する。ＥＣＵ１０にプログラムをインストールする場合、ＥＣＵ１０の再起動、制御プログラムの再ロード、ＥＣＵ１０に接続されたセンサを用いる検出の途絶、他のＥＣＵ１０との通信の途絶等が発生する。これらの事象が発生すると、監視機能により異常が検知されることを招き、警報の誤出力、すなわち誤報知を招く可能性がある。本実施形態の制御システム１によれば、警報出力を制限することによってＥＣＵ１０にプログラムをインストールする際の誤報知を防止できる。

【0073】

図３の動作では、警報出力を制限する前に、カメラ２３の撮影画像による判定を行い、車両Ｖの盗難や損害が発生するリスクが存在するか否かを制御システム１が判定する。そして、車両Ｖの盗難や損害が発生するリスクが存在すると判定した場合は、警報出力の制限を開始しないので、車両Ｖのセキュリティ性能を維持できる。さらに、警報出力を制限する間は図５に示したインストール監視処理を実行することにより、プログラムのインストール中も車両Ｖのセキュリティ性能を維持できる。また、車両Ｖに、警報部１２１とは異なるセキュリティ機能が搭載されている場合、このセキュリティ機能を利用して、プログラムのインストール中に監視を行うこともできる。従って、車両Ｖのセキュリティ性能を維持しながら、プログラムのインストール時における警報の誤出力を防止できる。

【0074】

図６の動作例では、図３の動作に警報装置１４を利用する例を説明したが、例えば、警報装置１４を、図５のインストール監視処理に利用してもよい。すなわち、図５のステップＳ４１－Ｓ４４に代えて、超音波センサ１４１による警戒動作を実行してもよい。この場合、超音波センサ１４１が異常を検知した場合に、ステップＳ４６－Ｓ４７を実行して、プログラム管理部１１１によるインストールを中断させてもよい。

【0075】

上記実施形態は本発明を適用した一具体例を示すものであり、発明が適用される形態を限定するものではない。

【0076】

上記実施形態で説明した図３－図６に示す動作は、複数のＥＣＵ１０に対しプログラム管理部１１１がプログラムをインストールする場合に適用できる。具体的には、図３または図６の動作を、複数のＥＣＵ１０に対して並行に実行できる。この場合、第３ＥＣＵ１３に対してプログラムをインストールする間は、監視対象ＴＧに関して、警報部１２１による警報の出力が制限される。これに対し、第２ＥＣＵ１２にプログラムをインストールする場合、警報部１２１による警報の出力が制限されない。ここで、第２ＥＣＵ１２に対するインストールと第３ＥＣＵ１３に対するインストールとが並行して実行される場合、警報出力制御部１２２は、警報部１２１が第３ＥＣＵ１３に繋がる監視対象ＴＧに関して出力する警報を制限する一方、その他の機器を利用して不正行為を検知した場合の警報出力を制限しない構成とすることができる。この例では、第３ＥＣＵ１３が第１電子機器の一例に対応し、第２ＥＣＵ１２が第２電子機器の一例に対応する。

【0077】

上記実施形態では、制御システム１を構成するＥＣＵ１０のうち、第１ＥＣＵ１１がプログラム管理部１１１を有し、プログラム管理部１１１により第３ＥＣＵ１３にプログラムをインストールする例を説明した。この構成は一例であり、プログラム管理部１１１は、第１ＥＣＵ１１自体にプログラムをインストールしてもよく、他のＥＣＵ１０にプログラムをインストールしてもよい。また、警報装置１４や灯体ＥＣＵ２４にプログラムをインストールすることが可能な構成であってもよい。

【0078】

上記実施形態では、車両Ｖが起動している間にプログラムのインストールが予約され、その後に車両Ｖが停止する場合の動作を説明したが、図３－図６に示した動作を実行する機会は、これに限定されない。例えば、制御システム１は、車両Ｖが停止している間にユーザの操作またはサーバ２によってプログラムの更新が指示された場合に、図３－図６に示した動作を実行してもよい。

【0079】

上記実施形態では、代替警報機能として警報装置１４を用いる例を説明したが、制御システム１が備える代替警報機能は警報装置１４の構成に限定されない。例えば、制御システム１は、振動センサを備える警報装置や、車両Ｖの車体への接触を検知するセンサを使用する警報装置を備えてもよい。
上記実施形態では、警報部１２１の監視対象ＴＧをフードＳＷ３１、ドアＳＷ３２、及びシルコンＳＷ３３とする例を説明した。これは一例であり、監視対象ＴＧは、制御システム１が備えるＥＣＵ１０及び機器であれば何でもよく、監視対象ＴＧの種類及び数に制限はない。

【0080】

図１及び図２は、本願発明の理解を容易にするために、管理システム１００の各装置の機能構成を、主な処理内容により区分して示した概略構成を示す図であり、装置の構成を限定するものではない。図３－図６に示した各処理は、１つのプログラムにより実行されてもよいし、複数のプログラムにより実行されてもよい。

【0081】

また、車両Ｖは、例えば四輪自動車であるが、車両Ｖの種類は特に制限されず、大型自動車、商用車、二輪車、三輪車等であってもよい。その他、制御システム１における各部の構成は任意に変更可能である。

【0082】

［上記実施形態によりサポートされる構成］
上記実施形態は、以下の構成をサポートする。

【0083】

（構成１）車両に対する不正行為を検知する監視機能を実行し、前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力させる警報部と、前記車両に搭載された電子機器が有するソフトウェアの更新を行うソフトウェア更新部と、前記ソフトウェア更新部によって前記電子機器のソフトウェアの更新が行われる場合に、前記警報の出力の制限を行う警報出力制御部と、を備える、制御装置。
構成１の制御装置によれば、車両の監視機能による警報の誤出力を防止し、車両に搭載された電子機器のソフトウェアを更新できる。これにより、ソフトウェアの更新による車両の機能向上の機会を増やすことができ、持続可能な輸送システムの発展に寄与することができる。

【0084】

（構成２）前記ソフトウェア更新部は、前記警報出力制御部による前記制限が開始されてから前記電子機器のソフトウェアを更新する、構成１に記載の制御装置。
構成２の制御装置によれば、監視機能による警報の誤出力を、より確実に防止できる。

【0085】

（構成３）前記警報出力制御部は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が完了した後に、前記警報の出力の制限を解除する、構成１または構成２に記載の制御装置。
構成３の制御装置によれば、警報の誤出力のおそれがない場合に車両の監視機能を実行可能とすることにより、車両をより確実に保護できる。

【0086】

（構成４）前記警報出力制御部は、前記警報部の前記監視機能が実行されていない状態で、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が予定されている場合に、前記電子機器のソフトウェアの更新が完了するまで前記監視機能の開始を制限する、構成１から構成３のいずれかに記載の制御装置。
構成４の制御装置によれば、ソフトウェアの更新が予定されている場合に監視機能を開始しないので、ソフトウェアの更新に起因する警報の誤出力を防止できる。

【0087】

（構成５）前記車両の外を撮影する撮影部を備え、前記警報出力制御部は、前記警報の出力の制限を行っている場合に前記撮影部の撮影画像を用いて人物を検出し、前記車両の近傍に人物が存在しない場合に、前記警報部による前記警報の出力の制限を行う、構成１から構成４のいずれかに記載の制御装置。
構成５の制御装置によれば、撮影画像を用いて車両に対して不正行為が行われる可能性が低いことを確認した後に、警報の出力を制限するので、警報の出力を制限する間の車両のセキュリティ性能を維持できる。

【0088】

（構成６）前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両に接近しているか否かを判定し、前記人物が前記車両に接近している場合は、前記ソフトウェア更新部による前記電子機器のソフトウェアの更新を中止させ、前記警報の出力の制限を解除する、構成５に記載の制御装置。
構成５の制御装置によれば、撮影画像に基づいて、車両に対して不正行為が行われる可能性が低いことを、より確実に確認できる。

【0089】

（構成７）前記警報出力制御部は、前記撮影部の撮影画像を用いて検出された前記人物が前記車両の正規のユーザであるか否かを判定し、前記人物が前記車両の正規のユーザである場合は、前記警報部による前記警報の出力の制限を行う、構成５または構成６に記載の制御装置。
構成７の制御装置によれば、車両のユーザを警戒の対象から除外することができるので、車両の保護を可能としながら、利便性を向上させることができる。

【0090】

（構成８）前記ソフトウェア更新部による前記電子機器のソフトウェアの更新が開始した後で前記車両に対する不正行為を検知した場合に、前記電子機器のソフトウェアの更新を中止させ、前記警報の出力の制限を解除する、構成１から構成７のいずれかに記載の制御装置。
構成８の制御装置によれば、ソフトウェアの更新が行われている間に車両に対する不正行為を検知した場合に、警報の出力の制限を解除するので、警報を出力することが可能となる。これにより、警報の出力を制限してソフトウェアを更新する間も、車両を保護できる。

【0091】

（構成９）前記電子機器は、第１電子機器と、第２電子機器とを含み、前記警報出力制御部は、前記ソフトウェア更新部によって前記第１電子機器のソフトウェアの更新が行われる場合に、前記第１電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行い、前記第２電子機器について前記監視機能により不正行為が検知された場合の前記警報の出力の制限を行わない、構成１から構成８のいずれかに記載の制御装置。
構成９の制御装置によれば、ソフトウェアの更新により監視機能に影響を与えない電子機器に対し、ソフトウェアを更新する場合には、警報の出力を制限しないことで車両のセキュリティ性能を維持できる。

【0092】

（構成１０）前記警報出力部は、指定された外部装置と通信回線を介して接続される通信装置を含み、前記警報部は、前記監視機能により前記不正行為が検知された場合に、前記通信装置によって前記外部装置に警報を示す情報を送信させる、構成１から構成９のいずれかに記載の制御装置。
構成１０の制御装置によれば、警報を出力する動作として、外部装置に警報を示す情報を送信することができる。これにより、車両から離れた場所にいるユーザ等に、車両に対する不正行為を知らせることができる。

【0093】

（構成１１）車両に対する不正行為を検知する監視機能を実行し、前記監視機能により前記不正行為が検知された場合に警報出力部によって警報を出力し、前記車両に搭載された電子機器が有するソフトウェアをソフトウェア更新部により更新する場合に、前記警報の出力の制限を行う、制御方法。
構成１１の制御方法によれば、車両の監視機能による警報の誤出力を防止し、車両に搭載された電子機器のソフトウェアを更新できる。これにより、ソフトウェアの更新による車両の機能向上の機会を増やすことができ、持続可能な輸送システムの発展に寄与することができる。

【符号の説明】

【0094】

１…制御システム、２…サーバ、３…携帯端末（外部装置）、１０…ＥＣＵ、１１…第１ＥＣＵ、１２…第２ＥＣＵ、１３…第３ＥＣＵ、１４…警報装置、２１…ＴＣＵ、２２…ホーン、２３…カメラ（撮影部）、２４…灯体ＥＣＵ、２５…ハザードランプ、３１…フードＳＷ、３２…ドアＳＷ、３３…シルコンＳＷ、４１…通信ライン、４２…通信ライン、１００…管理システム、１１０…プロセッサ、１１１…プログラム管理部（ソフトウェア更新部）、１１２…検出部、１１５…メモリ、１１６…制御プログラム、１１７…機器情報、１１８…予約情報、１２０…プロセッサ、１２１…警報部、１２２…警報出力制御部、１２５…メモリ、１２６…制御プログラム、１３０…プロセッサ、１３１…プログラム実行部、１３５…メモリ、１３６…制御プログラム、１３７…アプリケーションプログラム、１４１…超音波センサ、１４２…ブザー、Ｎ…通信ネットワーク、ＴＧ…監視対象、Ｖ…車両。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】