JP2012188027A - 情報処理装置、情報処理方法、およびプログラム - Google Patents

Abstract

【課題】簡単な操作で、かつ、安全に車両の制御プログラムを更新することができるようにする。
【解決手段】書き換え制御装置２２は、携帯機１２の認証一致結果と車両１１のドアの解錠操作から所定時間内に、更新用制御プログラムが記憶されている書き換え情報記憶装置１３が接続されたか否かを検出する。車両１１のドアの解錠操作から所定時間内に書き換え情報記憶装置１３との接続が検出された場合に、書き換え対象の制御装置２３内に記憶されている制御プログラムが、書き換え情報記憶装置１３から読み出された更新用制御プログラムに書き換えられる。本発明は、例えば、車両内の制御装置の制御プログラムの書き換え処理に適用できる。
【選択図】図１

Description

本発明は、情報処理装置、情報処理方法、およびプログラムに関し、特に、簡単な操作で、かつ、安全に車両の制御プログラムを更新することができるようにする情報処理装置、情報処理方法、およびプログラムに関する。

自家用車、トラック、バス、二輪車などの車両には、多数の制御装置が搭載されている。制御装置は、制御内容を規定した制御プログラムに基づいて制御を実行するものが一般的である。従って、仕様の変更や不具合の修正などにより、制御プログラムに変更の必要が生じた場合、制御装置内に記憶されている制御プログラムを更新する作業が必要となる。

特許文献１では、自動販売機の制御装置の制御プログラムを書き換える方法が提案されている。この方法では、保守用端末としてのリモートコントローラとメモリカードを自動販売機に接続して、保守用端末の操作に応じて、メモリカードに記憶されている更新プログラムが自動販売機内の制御装置に転送される。

車両の制御装置のプログラム変更の場合には、制御プログラムの変更による車両の安全性を考慮する必要があるが、特許文献１の方法は、車両の制御装置についてのものではないため、車両の安全性についての考慮がなされていない点で、そのまま採用することはできない。

車両の制御プログラムの更新に関するものでは、例えば、特許文献２で提案されている方法がある。しかし、この方法は、車両の走行に関係する制御プログラム以外のプログラムを更新するための方法であるため、車両が走行可能な状態で停車中のときでもプログラムの更新が可能とされている。車両の走行にも関係する制御プログラムの場合に、どのように安全を担保してプログラム等の更新を行うのかについては開示されていない。

特開２００１−３４８２２号公報 特開２００６−８１２６号公報

本発明は、このような状況に鑑みてなされたものであり、簡単な操作で、かつ、安全に車両の制御プログラムを更新することができるようにするものである。

本発明の一側面の情報処理装置は、車両に搭載される情報処理装置であって、携帯機の認証一致結果と前記車両のドアの解錠操作を受け付けて、前記車両のドアの解錠を行う解錠制御手段と、前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出する情報記憶装置接続検出手段と、前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換える書き換え手段とを備える。

本発明の一側面の情報処理装置においては、携帯機の認証一致結果と車両のドアの解錠操作を受け付けて、車両のドアの解錠が行われ、車両のドアの解錠操作から所定時間内に、情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かが検出され、車両のドアの解錠操作から所定時間内に書き換え情報記憶装置との接続が検出された場合に、情報処理装置内に記憶されている制御プログラムが、更新用制御プログラムに書き換えられる。

車両のドアの解錠を行うことができるのは、認証された携帯機を持つ者だけである。また、制御プログラムの更新を行うには、認証された携帯機を持つ者は、車両のドアの解錠操作から所定時間内に更新用制御プログラムが記憶されている書き換え情報記憶装置を接続されすればよい。従って、簡単な操作で、かつ、安全に、車両に搭載される情報処理装置内の制御プログラムを更新することができる。

解錠制御手段は、例えば、携帯機と無線通信を行うセキュリティ管理装置のセキュリティ制御部により構成され、情報記憶装置接続検出手段は、例えば、書き換えを制御する書き換え制御装置の書き換え制御部により構成され、書き換え手段は、例えば、書き換え対象の制御装置の不揮発性メモリ書き換え部により構成され、各手段は、例えば、共通の通信線で接続される。

前記書き換え手段には、さらに、前記携帯機からの書き換え開始操作情報を受信した場合に、書き換えるようにさせることができる。これにより、認証された携帯機を持つ者だけが書き換えを指示することができるので、車両を利用することが許可されていない者による不正な書き換えを防止することができる。

前記書き換え手段には、ACCがオフまたはIGNがオンであることを検出した場合には、書き換えないようにさせることができる。これにより、車両の動作に影響を及ぼす可能性のある状態で書き換えることを防止することができる。

本発明の一側面の情報処理方法は、車両に搭載される情報処理装置による情報処理方法であって、携帯機の認証一致結果と前記車両のドアの解錠操作を受け付けて、前記車両のドアの解錠を行い、前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出し、前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換えるステップを含む。

本発明の一側面の情報処理装置においては、携帯機の認証一致結果と車両のドアの解錠操作を受け付けて、車両のドアの解錠が行われ、車両のドアの解錠操作から所定時間内に、情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かが検出され、車両のドアの解錠操作から所定時間内に書き換え情報記憶装置との接続が検出された場合に、情報処理装置内に記憶されている制御プログラムが、更新用制御プログラムに書き換えられる。

これにより、簡単な操作で、かつ、安全に、車両に搭載される情報処理装置内の制御プログラムを更新することができる。

本発明の一側面のプログラムは、車両に搭載される情報処理装置としてのコンピュータに、携帯機認証後の前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出し、前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換えさせるステップを含む処理を実行させるためのものである。

本発明の一側面のプログラムにおいては、車両に搭載される情報処理装置としてのコンピュータに、携帯機認証後の車両のドアの解錠操作から所定時間内に、情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かが検出され、車両のドアの解錠操作から所定時間内に書き換え情報記憶装置との接続が検出された場合に、情報処理装置内に記憶されている制御プログラムが、更新用制御プログラムに書き換えられる。

これにより、簡単な操作で、かつ、安全に、車両に搭載される情報処理装置内の制御プログラムを更新することができる。

本発明の一側面によれば、簡単な操作で、かつ、安全に車両の制御プログラムを更新することができる。

本発明を適用した情報処理システムの一実施の形態の構成例を示すブロック図である。 セキュリティ管理装置の詳細構成例を示すブロック図である。 書き換え制御装置の詳細構成例を示すブロック図である。 制御装置の詳細構成例を示すブロック図である。 書き換え情報記憶装置の詳細構成例を示すブロック図である。 書き換え情報記憶装置の不揮発性メモリに記憶されている情報について説明する図である。 携帯機の詳細構成例を示すブロック図である。 携帯機の外観構成例を示す図である。 情報処理システムによる書き換え処理の全体処理フローについて説明する図である。 書き換え制御装置の処理を説明するフローチャートである。 書き換え可能状態確認処理の詳細を説明するフローチャートである。 書き換え情報種別確認処理の詳細を説明するフローチャートである。 携帯機の処理を説明するフローチャートである。 セキュリティ管理装置の処理を説明するフローチャートである。 ドア関連制御処理の詳細を説明するフローチャートである。 車両始動制御処理の詳細を説明するフローチャートである。 書き換え操作対応処理の詳細を説明するフローチャートである。 書き換え対象制御装置の処理を説明するフローチャートである。 書き換え可能状態移行処理の詳細を説明するフローチャートである。 不揮発性メモリ書き換え処理の詳細を説明するフローチャートである。 書き換え情報記憶装置の処理を説明するフローチャートである。 書き換え情報記憶装置の不揮発性メモリ６２に記憶される書き換えデータのその他の例を示す図である。 書き換え制御装置用制御プログラムの受信処理のフローチャートである。 書き換え開始操作定義情報のデータ例を示す図である。 書き換え開始操作定義情報受信処理を説明するフローチャートである。 書き換え情報記憶装置のその他の構成例を示すブロック図である。 書き換え情報記憶装置のその他の構成例を示すブロック図である。

［情報処理システムの構成例］
図１は、本発明を適用した情報処理システムの一実施の形態の構成例を示すブロック図である。

図１の情報処理システム１は、各種の自動車（例えば、自家用車、トラック、バスなど）、二輪車などの車両１１に搭載されている所定の制御装置のプログラムを書き換える書き換え処理を行うシステムである。

図１の情報処理システム１は、セキュリティ管理装置２１、書き換え制御装置２２、制御装置２３−１乃至２３−Ｎ（Ｎ≧２）を少なくとも備える車両１１と、車両１１のドアロックなどをリモートで制御することができる携帯型の携帯機１２と、書き換え情報としての制御プログラムを記憶する書き換え情報記憶装置１３とを有する。なお、本実施の形態において、制御装置２３−１乃至２３−Ｎを特に区別する必要がない場合には、単に、制御装置２３という。

車両１１内において、セキュリティ管理装置２１、書き換え制御装置２２、制御装置２３−１乃至２３−Ｎは、例えば、車載LAN（Local Area Network）の一種であるCAN（Controller Area Network）などの共通通信線２４により相互に接続されている。書き換え情報記憶装置１３は、車両１１の共通通信線２４への接続および切り離しが可能である。

セキュリティ管理装置２１は、携帯機１２と無線通信を行い、車両１１のセキュリティを管理する。具体的には、セキュリティ管理装置２１は、携帯機１２に記憶された、車両１１を特定する車両ID（Identification）を無線通信により携帯機１２から受信し、自身が記憶する車両IDと一致するか否かに応じて、携帯機１２およびそれを所持している運転者が正規の使用者（運転者）であるかを認証する。また、セキュリティ管理装置２１は、認証結果に応じてドアを解錠したり、携帯機１２（を所持する運転者）が車両１１の所定の範囲内から離れた場合には、ドアを施錠する制御なども行う。

書き換え制御装置２２は、情報処理システム１の書き換え処理全体の制御を行う。例えば、書き換え制御装置２２は、書き換え情報記憶装置１３の共通通信線２４への接続を検出する。そして、書き換え情報記憶装置１３が共通通信線２４に接続された場合に、書き換え情報記憶装置１３内に記憶されている書き換え情報の種別を確認し、書き換え対象の制御装置２３に書き換え開始指令を送信して、書き換え動作を実行させる。

制御装置２３は、例えば、ECU（Electronic Control Unit）などに相当し、車両１１内の装備を、機能や配置等によって複数のユニットに分類したときの１ユニット内の装置（群）を制御する装置である。制御装置２３は、例えば、エンジン制御装置、燃料タンク制御装置、開閉部制御装置などである。各制御装置２３には、それぞれを識別するための制御装置IDが割り振られている。本実施の形態では、制御装置２３が複数設けられているが、制御装置２３の個数は１個でもよく、任意である。

携帯機１２は、ユーザの操作を受け付け、ユーザの操作に応じた信号（操作信号）を、無線通信によりセキュリティ管理装置２１に送信する。また、携帯機１２は、セキュリティ管理装置２１からのID送信要求に応じて、内部に記憶されている車両IDを、無線通信によりセキュリティ管理装置２１に送信する。

書き換え情報記憶装置１３は、更新対象の制御プログラムなどのデータを内部に記憶し、共通通信線２４に接続された場合に、書き換え制御装置２２または書き換え対象の制御装置２３からの要求に応じて必要なデータ（プログラムを含む）を、要求された装置に共通通信線２４を介して送信する。

以上のように構成される情報処理システム１において、書き換え対象の制御装置２３内の記憶部に記憶されているデータを、書き換え情報記憶装置１３に記憶された書き換えデータで書き換える処理（書き換え処理）が行われる。

次に、情報処理システム１を構成する携帯機１２、書き換え情報記憶装置１３、セキュリティ管理装置２１、書き換え制御装置２２、および制御装置２３それぞれの詳細構成について、図２乃至図８を参照して説明する。

［セキュリティ管理装置２１の構成例］
図２は、セキュリティ管理装置２１の詳細構成例を示すブロック図である。

セキュリティ管理装置２１は、書き換え制御部３１、セキュリティ制御部３２、ID情報記憶部３３、無線通信部３４、共通通信線接続I/F（Interface）３５、およびログ記録部３６により構成される。

書き換え制御部３１は、情報処理システム１で行われる書き換え処理のうちの、セキュリティ管理装置２１内の処理を担当する。例えば、書き換え制御部３１は、書き換え処理において携帯機１２から無線通信により供給される、書き換え開始を示す操作情報（書き換え開始操作情報）を、共通通信線接続I/F３５を介して、書き換え制御装置２２に送信する。

セキュリティ制御部３２は、車両１１のセキュリティに関する処理（制御）を行う。例えば、セキュリティ制御部３２は、車両１１から無線通信により車両IDを受信し、ID情報記憶部３３に記憶されている車両IDと一致するか否かを判定し、携帯機１２およびそれを所持している運転者が正規の使用者（運転者）であるかを認証する。また例えば、セキュリティ制御部３２は、認証された正規の使用者からのドアの解錠操作である場合、ドアを解錠したり、携帯機１２（を所持する運転者）が車両１１の所定の範囲内から離れた場合には、ドアを施錠する制御なども行う。

ID情報記憶部３３は、正規の使用者（運転者）が保有している携帯機１２内に記憶されている車両IDと同一の車両IDを記憶する。

無線通信部３４は、書き換え制御部３１またはセキュリティ制御部３２の制御の下、携帯機１２と無線通信を行う。

共通通信線接続I/F３５は、共通通信線２４との接続部であり、書き換え制御部３１またはセキュリティ制御部３２が、書き換え制御装置２２に供給するデータを共通通信線２４に出力し、書き換え制御装置２２から供給されたデータを取得して、書き換え制御部３１またはセキュリティ制御部３２に供給する。

ログ記録部３６は、書き換え処理において行われた処理の途中経過、および、エラー発生時のエラー内容を記録（記憶）する。ログ記録部３６に記録された情報を解析することにより、エラーの内容を知ることができる。

［書き換え制御装置２２の構成例］
図３は、書き換え制御装置２２の詳細構成例を示すブロック図である。

書き換え制御装置２２は、書き換え制御部４１、RAM（Random Access Memory）４２、共通通信線接続I/F４３、及びログ記録部４４により構成される。

書き換え制御部４１は、書き換え処理のうちの、書き換え制御装置２２内の処理を担当する。書き換え制御装置２２は、共通通信線接続I/F４３を介して、セキュリティ管理装置２１、制御装置２３、および書き換え情報記憶装置１３と所定のデータの授受を行い、情報処理システム１で行われる書き換え処理の全体を制御するものであり、書き換え制御部４１がそれを実行する。

RAM４２は、書き換え制御部４１が書き換え制御を実行する場合に、実行時に一時的に記憶しておくことが必要なデータを適宜記憶する。

共通通信線接続I/F４３は、共通通信線２４との接続部であり、書き換え制御部４１が、他の装置に供給するデータを共通通信線２４に出力し、他の装置から供給されたデータを取得して、書き換え制御部４１に供給する。

ログ記録部４４は、書き換え処理において行われた処理の途中経過、および、エラー発生時のエラー内容を記録（記憶）する。ログ記録部４４に記録された情報を解析することにより、エラーの内容を知ることができる。

［制御装置２３の構成例］
図４は、制御装置２３の詳細構成例を示すブロック図である。

制御装置２３は、制御部５１、不揮発性メモリ書き換え部５２、不揮発性メモリ５３、RAM５４、共通通信線接続I/F５５、およびログ記録部５６により構成される。

制御部５１は、自身が担当するユニットに属する１以上の装置を制御する。どのような制御を行うかについては、不揮発性メモリ５３に記憶されている制御プログラムに記載されており、制御部５１は、電源投入または所定のタイミングで、不揮発性メモリ５３に記憶されている制御プログラムをロードして実行する。

不揮発性メモリ書き換え部５２は、書き換え処理のうちの、制御装置２３内の処理を担当する。書き換え処理において、不揮発性メモリ書き換え部５２が行う書き換え制御は、不揮発性メモリ５３に記憶されている不揮発性メモリ書き換え実行プログラム（図６）に基づいて行われる。

不揮発性メモリ５３は、上述した不揮発性メモリ書き換え実行プログラムおよび制御プログラムを記憶する。不揮発性メモリ書き換え実行プログラムは、不揮発性メモリ５３に記憶されている制御プログラムを書き換えるための実行プログラムであり、制御プログラムは、制御装置２３の制御内容を規定するプログラムである。この不揮発性メモリ書き換え実行プログラムおよび制御プログラム（図６）が、書き換え処理において、書き換え情報記憶装置１３から取得されて更新される書き換えデータに相当する。

なお、制御部５１に、不揮発性メモリ５３に記憶されている制御プログラムを書き換える機能を持たせる場合には、不揮発性メモリ書き換え部５２は省略することができる。

RAM５４は、制御部５１および不揮発性メモリ書き換え部５２が制御プログラムおよび不揮発性メモリ書き換え実行プログラムをそれぞれ実行する場合に、実行時に一時的に記憶しておくことが必要なデータを適宜記憶する。

共通通信線接続I/F５５は、共通通信線２４との接続部であり、制御部５１が、担当する制御対象の装置に供給するデータを共通通信線２４に出力し、制御対象の装置から供給されたデータを取得して、制御部５１に供給する。

また、共通通信線接続I/F５５は、書き換え処理において、不揮発性メモリ書き換え部５２が、書き換え制御装置２２に供給するデータを共通通信線２４に出力し、書き換え制御装置２２から供給されたデータを取得して、不揮発性メモリ書き換え部５２に供給する。

さらに、共通通信線接続I/F５５は、書き換え処理において、不揮発性メモリ書き換え部５２が、書き換え情報記憶装置１３に供給するデータを共通通信線２４に出力し、書き換え情報記憶装置１３から供給されたデータを取得して、不揮発性メモリ書き換え部５２または不揮発性メモリ５３に供給する。

ログ記録部５６は、書き換え処理において行われた処理の途中経過、および、エラー発生時のエラー内容を記録（記憶）する。ログ記録部５６に記録された情報を解析することにより、エラーの内容を知ることができる。

なお、ログ記録部は、セキュリティ管理装置２１、書き換え制御装置２２、及び制御装置２３のそれぞれに設けるのではなく、いずれか１つに設け、ログが集約されるようにしてもよい。

［書き換え情報記憶装置１３の構成例］
図５は、書き換え情報記憶装置１３の詳細構成例を示すブロック図である。

書き換え情報記憶装置１３は、CPU（Central Processing Unit）６１、不揮発性メモリ６２、共通通信線接続I/F６３、および保守用端末接続コネクタ６４により構成される。

CPU６１は、例えば、ROM（Read Only Memory）とRAM（Random Access Memory）を内蔵した１チップCPUで構成することができ、内蔵ROMに記憶されたプログラムにより、書き換え処理のうちの、書き換え情報記憶装置１３内の処理を担当する。例えば、CPU６１は、書き換え制御装置２２からの書き換え情報種別要求に応じて、不揮発性メモリ６２に記憶されている書き換えデータの種別を、共通通信線接続I/F６３を介して書き換え制御装置２２に送信する。また、CPU６１は、書き換え対象の制御装置２３からの書き換えデータの送信要求に応じて、書き換えデータを共通通信線接続I/F６３を介して共通通信線２４に出力する。

不揮発性メモリ６２は、書き換え対象の制御装置２３に転送される、書き換え情報としての不揮発性メモリ書き換え実行プログラムおよび制御プログラムを記憶する。

共通通信線接続I/F６３は、共通通信線２４との接続部であり、CPU６１の制御の下、書き換え制御装置２２または書き換え対象の制御装置２３とやりとりするデータの共通通信線２４への入出力を行う。保守用端末接続コネクタ６４は、保守用端末が共通通信線２４と接続するときの接続コネクタと同型のコネクタ端子である。書き換え情報記憶装置１３は、保守用端末接続コネクタ６４を有することにより、保守用端末用に用意されている接続端子に接続することで、共通通信線２４に接続することができる。

書き換え情報記憶装置１３は、例えば、手のひらサイズの小型の筺体で構成することができる。また、保守用端末に、後述する書き換え情報記憶装置１３の機能を備え、保守用端末を書き換え情報記憶装置１３として使用することもできる。

［書き換え情報の詳細例］
次に、図６を参照して、書き換え情報記憶装置１３の不揮発性メモリ６２に記憶されている情報について説明する。

書き換え情報記憶装置１３の不揮発性メモリ６２には、書き換え対象の制御装置２３を識別する対象装置識別情報、不揮発性メモリ書き換え実行プログラム、および制御プログラムが記憶されている。

対象装置識別情報は、書き換え対象の制御装置２３を示す制御装置IDと、制御プログラムのバージョンを表すバージョン情報とで構成される。

不揮発性メモリ書き換え実行プログラムには、先頭から順に、不揮発性メモリ書き換え実行プログラムであることを示すID、プログラムの書込み先アドレス、プログラムのデータ長、プログラムの実データが格納されている。

制御プログラムには、先頭から順に、制御プログラムであることを示すID、プログラムの書込み先アドレス、プログラムのデータ長、プログラムの実データが格納されている。

対象装置識別情報、不揮発性メモリ書き換え実行プログラム、および制御プログラムそれぞれは、例えば、不揮発性メモリ６２上に構築されたファイルシステムにファイルとして格納される。この場合、不揮発性メモリ６２には、３つのファイルが格納されることになる。

対象装置識別情報、不揮発性メモリ書き換え実行プログラム、および制御プログラムそれぞれのファイル名に、予め決定された、書き換えのデータであることを示すIDを含めるようにすることができる。これにより、書き換え情報記憶装置１３の不揮発性メモリ６２に、書き換え用のデータが記憶されているか否かを即座に判定することができる。

また、ファイル名は、書き換えのタイミングを指定した名前とすることができる。例えば、書き換え年と書き換え日を含む文字列をファイル名とすれば、所定の日にちにのみ書き換えが許可されるようにすることができる。

なお、対象装置識別情報、不揮発性メモリ書き換え実行プログラム、および制御プログラムは、１つまたは２つのファイルとして構成して格納してもよい。

［携帯機１２の構成例］
図７は、携帯機１２の詳細構成例を示すブロック図である。

携帯機１２は、音声出力部７１、表示部７２、操作ボタン７３A乃至７３F、操作ボタン接続部７４、操作制御部７５、ID情報記憶部７６、及び無線通信部７７により構成される。

音声出力部７１は、スピーカ等からなり、操作制御部７５の制御により、発信音、ブザー、メロディ等の音やメッセージ等の音声を出力する。

表示部７２は、LCD (Liquid Crystal Display)またはLED (Light Emitting Diode）等からなり、「書き換え開始の操作をしてください」、「データの更新中です」等をメッセージ（文字）や所定の点灯方法で表示する。

図７の音声出力部７１と表示部７２の破線は、音声出力部７１と表示部７２が必須ではなく、省略可能であることを示している。

操作ボタン７３A乃至７３Fは、車両１１に対して、ドアの施錠および解錠等の所定の動作を指示するときに、ユーザにより操作されるボタンである。この例では、ユーザの操作を受け付ける操作部が６個の操作ボタン７３A乃至７３Fにより構成されているが、操作部の個数はこれに限定されない。

操作ボタン接続部７４は、操作ボタン７３A乃至７３Fで行われたユーザの操作を、操作信号として操作ボタン７３A乃至７３Fから取得し、操作制御部７５に供給する。

操作制御部７５は、無線通信部７７を介して、セキュリティ管理装置２１との間で、所定のデータ（例えば、車両IDなど）をやりとりする。また、操作制御部７５は、操作ボタン接続部７４を介して取得される操作ボタン７３A乃至７３Fで行われたユーザの操作や、セキュリティ管理装置２１から供給されたデータに応じて、音声出力部７１から音（音声）を出力させたり、表示部７２に所定のメッセージを表示させたりする。

ID情報記憶部７６は、携帯機１２と対応付けられている車両１１を特定する車両IDを記憶する。無線通信部７７は、操作制御部７５の制御により、セキュリティ管理装置２１と無線通信を行う。

［携帯機１２の外観例］
図８は、携帯機１２の外観構成例を示している。

携帯機１２の操作面となる一面には、音声出力部７１、表示部７２、および、操作ボタン７３A乃至７３Fが設けられている。

［書き換え処理の全体処理フロー］
次に、図９のフローチャートを参照して、情報処理システム１による書き換え処理の全体処理フローについて説明する。

初めに、ステップＳ１１において、運転者または書き換え処理を実行する作業員等のユーザは、携帯機１２を操作して、ドアの解錠操作を行うと、ステップＳ２１において、携帯機１２は、そのドアの解錠操作を受け付け、ドアの解錠の操作信号を、携帯機１２が記憶している車両IDとともに無線通信によりセキュリティ管理装置２１に送信する。

セキュリティ管理装置２１は、ステップＳ４１において、無線通信により携帯機１２から送信されてきた車両IDが、自身が記憶する車両IDと一致することを確認し、ドアを解錠する。また、ステップＳ４１において、セキュリティ管理装置２１は、ドアの解錠を書き換え制御装置２２に共通通信線２４を介して通知する。

書き換え制御装置２２は、ステップＳ６１において、セキュリティ管理装置２１から共通通信線２４を介して通知されたドアの解錠の通知を受信し、ドアの解錠を確認（認識）する。

次に、ステップＳ１２において、ユーザがACC（Accessories）オンの操作を行うと、セキュリティ管理装置２１は、ステップＳ４２において、その操作に応じて、ACCをオンにする。なお「ACC（Accessories）オン」は、車両１１内の予め定められたいくつかの電装品のみが稼動可能な状態であり、後述する「IGN（Ignition）オン」は、車両１１内の全ての電装品が稼動可能な状態である。

次に、ステップＳ１３において、ユーザが、書き換え情報記憶装置１３を、例えば、車両１１のインストルメントパネル部などに設けられた接続部に接続すると、書き換え情報記憶装置１３は、ステップＳ１０１において、車両１１の共通通信線２４と接続されたことを検出し、ステップＳ１０２において、共通通信線２４を介して、書き換え制御装置２２に接続を通知する。

なお、書き換え情報記憶装置１３は、車両１１内の接続部に直接（物理的に）接続されるものでも良いし、物理的には接続されていなくとも無線通信により通信可能に接続されるものでもよい。この場合、書き換え情報記憶装置１３が、無線通信相手の書き換え制御装置２２の無線通信部の通信範囲内に存在したときに、書き換え情報記憶装置１３の接続が検出されたことになる。

書き換え制御装置２２は、ステップＳ６２において、書き換え情報記憶装置１３からの接続通知を受信して、書き換え情報記憶装置１３の接続を検出し、ステップＳ６３において、ステップＳ６１のドアの解錠の確認から、所定時間内であることを確認する。後述する詳細処理で説明するように、制御プログラムの書き換え作業は、ドアの解錠操作が行われてから所定時間以内に、書き換え制御装置２２の接続があった場合のみ、実行されるからである。

書き換え情報記憶装置１３の接続が、ドアの解錠の確認から所定時間内である場合には、書き換え制御装置２２は、ステップＳ６４において、車両１１が書き換え可能状態であることを確認する。車両１１が書き換え可能状態であるためには、例えば、ACCがオンであることやIGNがオフであることが必要であり、書き換え制御装置２２は、そのような条件を満たすか否かを確認する。

車両１１が書き換え可能状態であることが確認できた場合、書き換え制御装置２２は、ステップＳ６５において、書き換える情報の種別を要求する書き換え情報種別要求を、共通通信線２４を介して、書き換え情報記憶装置１３に送信する。

書き換え情報記憶装置１３は、ステップＳ１０３において、書き換え制御装置２２からの書き換え情報種別要求を受信し、ステップＳ１０４において、書き換え情報種別を、共通通信線２４を介して書き換え制御装置２２に送信する。

書き換え制御装置２２は、ステップＳ６６において、書き換え情報記憶装置１３から送信されてきた書き換え情報種別を受信し、書き換え情報記憶装置１３に記憶されている書き換えデータの種別を確認する。ここで、取得される書き換え情報種別としては、図６に示した、書き換え対象の制御装置２３を識別する対象装置識別情報が含まれているため、書き換え情報種別を取得することで、制御装置２３−１乃至２３−Ｎのどれが書き換え対象であるかが特定される。

そして、ステップＳ６７において、書き換え制御装置２２は、携帯機１２が車両１１に登録されたものであるかを確認する携帯機確認指示を、共通通信線２４を介してセキュリティ管理装置２１に送信する。

セキュリティ管理装置２１は、ステップＳ４３において、書き換え制御装置２２からの携帯機確認指示を受信して、携帯機１２に対して、無線通信によりID送信を要求する。

携帯機１２は、ステップＳ２２において、セキュリティ管理装置２１からのID送信要求を受信して、ステップＳ２３において、携帯機１２がID情報記憶部７６に格納している車両IDを無線通信により送信する。

セキュリティ管理装置２１は、ステップＳ４４において、携帯機１２からの車両IDを受信して、自身のID情報記憶部３３に記憶している車両IDと一致するかを確認する。セキュリティ管理装置２１は、車両IDが一致することを確認したら、その確認結果を書き換え制御装置２２に共通通信線２４を介して送信する。

書き換え制御装置２２は、ステップＳ６８において、車両IDが一致したことを示す確認結果（携帯機確認OK）を受信すると、ステップＳ６９において、書き換え許可情報の要求を、書き換え情報記憶装置１３に共通通信線２４を介して送信する。書き換え許可情報は、書き換え情報記憶装置１３に記憶されている書き換えデータによる書き換えを許可するかどうかを決定するための、予め、書き換え制御装置２２と書き換え情報記憶装置１３との間で取り決められたデータ（パスワード）である。

書き換え情報記憶装置１３は、ステップＳ１０５において、書き換え制御装置２２からの書き換え許可情報の要求を受信し、ステップＳ１０６において、書き換え許可情報を、共通通信線２４を介して書き換え制御装置２２に送信する。

書き換え制御装置２２は、ステップＳ７０において、書き換え情報記憶装置１３からの書き換え許可情報を受信すると、ステップＳ７１において、車両１１内の全ての制御装置２３−１乃至２３−Ｎに、制御装置２３の識別情報を要求する。

車両１１内の全ての制御装置２３−１乃至２３−Ｎそれぞれは、ステップＳ９１において、書き換え制御装置２２からの識別情報の要求を受信すると、ステップＳ９２において、自機の識別情報（制御装置ID）を送信する。

書き換え制御装置２２は、ステップＳ７２において、制御装置２３−１乃至２３−Ｎそれぞれから送信されてきた識別情報を受信し、ステップＳ７３において、受信した各制御装置２３の識別情報と、ステップＳ６６で特定された書き換え対象の制御装置２３の識別情報とを比較し、書き換え対象の制御装置２３が存在するか否かを確認する。

そして、書き換え対象の制御装置２３の存在を確認すると、書き換え制御装置２２は、ステップＳ７４において、セキュリティ管理装置２１に対して、書き換え開始操作情報を要求する。

セキュリティ管理装置２１は、ステップＳ４５において、書き換え制御装置２２からの書き換え開始操作情報の要求を受信し、そのまま携帯機１２に送信する。

携帯機１２は、ステップＳ２４において、セキュリティ管理装置２１からの書き換え開始操作情報の要求を受信し、ユーザに書き換え開始操作を促す処理を行う。ここで行われる書き換え開始操作を促す処理は、例えば、「書き換え開始の操作を行ってください」のメッセージを表示部７２に表示するとともに、音声出力部７１から音声を出力したり、ブザーを出力したりする処理である。

携帯機１２の書き換え開始操作を促す処理により、ユーザは、ステップＳ１４において、書き換えを開始する操作を行う。本実施の形態では、書き換えを開始する操作は、携帯機１２の操作ボタン７３を所定の手順で操作するもので、どのような手順かは予め決定され、ユーザが知っているものとする。携帯機１２は、ステップＳ２５において、ユーザによる書き換え開始操作を受け付け、その操作を示す書き換え開始操作情報を送信する。

セキュリティ管理装置２１は、ステップＳ４６において、携帯機１２からの書き換え開始操作情報を無線通信により受信して、それを共通通信線２４を介して書き換え制御装置２２に送信する。

書き換え制御装置２２は、ステップＳ７５において、セキュリティ管理装置２１からの書き換え開始操作情報を受信することにより、書き換え開始操作があったと判定する。そして、ステップＳ７６において、書き換え制御装置２２は、書き換え開始指令を、共通通信線２４を介して書き換え対象の制御装置２３（以下、書き換え対象制御装置２３という。）に送信する。

書き換え対象制御装置２３は、ステップＳ９３において、書き換え制御装置２２からの書き換え開始指令を受信し、ステップＳ９４において、書き換え可能状態に移行する。そして、ステップＳ９５において、書き換え対象制御装置２３は、書き換えデータの送信を、書き換え情報記憶装置１３に要求する。

書き換え情報記憶装置１３は、ステップＳ１０７において、書き換え対象制御装置２３からの書き換えデータの送信要求を受信し、ステップＳ１０８において、書き換えデータを書き換え対象制御装置２３に共通通信線２４を介して送信する。

書き換え対象制御装置２３は、ステップＳ９６において、書き換え情報記憶装置１３からの書き換えデータを受信し、ステップＳ９７において、装置内の不揮発性メモリ５３のデータを、受信した書き換えデータで書き換える。

また上述した書き換え対象制御装置２３の書き換えデータによる更新とは別に（並行して）、書き換え制御装置２２が、ステップＳ７６として書き換え開始指令を書き換え対象制御装置２３に送信したあと、ステップＳ７７において、書き換え開始をセキュリティ管理装置２１に共通通信線２４を介して通知する。

セキュリティ管理装置２１は、ステップＳ４７において、共通通信線２４を介して書き換え制御装置２２から送信されてきた、書き換えを開始したことを示す書き換え開始通知を受信し、ステップＳ４８において、受信した書き換え開始通知を無線通信により携帯機１２に送信する。

携帯機１２は、ステップＳ２６において、セキュリティ管理装置２１からの書き換え開始通知を受信し、ステップＳ２７において、書き換え開始を示すメッセージを表示部７２に表示する。書き換え開始後は、例えば、「書き換え中」のメッセージが表示部７２に表示される。ユーザは、ステップＳ１５において、表示部７２に表示されたメッセージを見て、書き換え開始を確認する。

書き換え対象制御装置２３において、ステップＳ９７として実行が開始された、不揮発性メモリ５３のデータの書き換えが終了すると、書き換え対象制御装置２３は、ステップＳ９８において、書き換えの結果を通知する書き換え結果通知を、共通通信線２４を介して書き換え制御装置２２に送信する。また、ステップＳ９９において、書き換え対象制御装置２３は、更新したプログラムを起動し、通常の制御動作に復帰する。

書き換え制御装置２２は、ステップＳ７８において、書き換え対象制御装置２３からの書き換え結果通知を受信し、それをセキュリティ管理装置２１に送信する。セキュリティ管理装置２１は、ステップＳ４９において、書き換え制御装置２２からの書き換え結果通知を受信し、それをさらに、無線通信により携帯機１２に送信する。

携帯機１２は、ステップＳ２８において、セキュリティ管理装置２１からの書き換え結果通知を受信し、ステップＳ２９において、書き換え結果を表示部７２に表示する。

ユーザは、ステップＳ１６において、表示部７２に表示された書き換え結果を確認し、ステップＳ１７において、書き換え情報記憶装置１３を車両１１から取り外す。

以上により、情報処理システム１による書き換え処理が終了する。

上述した書き換え処理によれば、セキュリティ管理装置２１のセキュリティ制御部３２（解錠制御手段）は、携帯機１２の認証一致結果と車両１１のドアの解錠操作を受け付けて、車両１１のドアの解錠を行う。書き換え制御装置２２の書き換え制御部４１（情報記憶装置接続検出手段）は、車両のドアの解錠操作から所定時間内に、制御装置２３内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置１３が接続されたかを検出する。

そして、車両１１のドアの解錠操作から所定時間内に書き換え情報記憶装置１３との接続が検出された場合に、書き換え対象制御装置２３の不揮発性メモリ書き換え部５２（書き換え手段）が、制御装置２３に記憶されている制御プログラムを更新用制御プログラムに書き換える。

従って、ユーザが制御プログラムの書き換えを行うために最低限必要な操作は、ドアの解錠操作と、ドアの解錠操作から所定時間内の書き換え情報記憶装置１３の接続だけであるので、保守用端末を用いることなく簡単に、制御プログラムの書き換えを行うことができる。

なお、ユーザが制御プログラムの書き換えを行うための操作に、ユーザにより所定の書き換え開始操作が行われたことをさらに条件としてもよい。これにより、さらに、所定の書き換え開始操作を知る者だけが書き換えを行うことが可能となるので、安全性が向上する。

また、ドアの解錠から所定時間内に書き換え情報記憶装置１３の接続が検出されたかの判定に、ACCのオンオフの条件も加え、ACCがオフのときに書き換え情報記憶装置１３の接続が検出され、その後に、ACCがオンとなったことをさらに条件として判定するようにしてもよい。この場合、ACCがオンにした後、別の目的で書き換え情報記憶装置１３を接続したときには、制御プログラムの書き換え開始操作を待つ不要な動作を行わないようにすることができる。

上述の書き換え処理によれば、車両IDが一致する携帯機１２を持つ者だけが書き換えを指示することができるので、車両１１を利用することが許可されていない者による不正な書き換えを防止することができる。また、制御プログラムの書き換えができるのは、ドアの解錠操作から所定時間内だけ、制御プログラムの書き換えを可能とし、安全が確保される。また、車両１１の所有者（携帯機１２を持つユーザ）が車両１１から離れた際に不正に書き換えられることを防止することができる。

また、書き換え情報記憶装置１３が接続されていない状態では、書き換えは実行されないので、ユーザ（不正に書き換えようとするものも含む）がどのような操作を行っても、制御プログラムが書き換えられてしまうことはない。書き換え情報記憶装置１３が接続されていないときには、制御プログラムの書き換えのための不要な判定処理を行う必要はない。

書き換え情報記憶装置１３から送信されてきた書き換え情報種別を受信し、書き換えの対象装置を識別する対象装置識別情報を確認するので、車両１１内に複数の制御装置２３−１乃至２３−Ｎが存在する場合であっても、書き換え対象の制御装置２３を指定する必要がないので、より簡単な操作とすることができる。

携帯機１２の表示部７２に書き換え結果が表示されるので、ユーザは、保守用端末がなくても、書き換え結果を確認することができる。なお、書き換え結果は、携帯機１２の表示部７２ではなく、セキュリティ管理装置２１が、車両１１内のインストルメントパネルやオーディオ装置に表示するようにしてもよい。

以上のように、書き換え処理によれば、簡単な操作で、かつ、安全に車両１１の制御プログラムを更新することができる。

以下、情報処理システム１の書き換え処理を、装置ごとに処理を説明することで、さらに詳しく説明する。

［書き換え制御装置２２の全体処理フロー］
図１０は、書き換え処理における書き換え制御装置２２の処理を説明するフローチャートである。

書き換え制御装置２２では、初めに、ステップＳ１２１において、携帯機１２によるドアの解錠動作があったか否かを判定し、ドアの解錠動作があったと判定されるまで処理が繰り返される。

ステップＳ１２１で、ドアの解錠動作があったと判定された場合、処理はステップＳ１２２に進み、書き換え制御装置２２は、ドアの解錠後、所定時間経過したかを判定する。

ステップＳ１２２で、ドアの解錠後、まだ所定時間経過していないと判定された場合、処理はステップＳ１２４に進み、書き換え制御装置２２は、書き換え情報記憶装置１３の接続を検出したか否かを判定する。ステップＳ１２４で、書き換え情報記憶装置１３の接続を検出していないと判定された場合、処理はステップＳ１２２に戻る。

一方、ステップＳ１２２で、ドアの解錠後、所定時間経過したと判定された場合、処理はステップＳ１２３に進み、書き換え制御装置２２は、ドア解錠タイムアウトエラーをログ記録部４４に記録して、処理を終了する。

以上のステップＳ１２２乃至Ｓ１２４では、書き換え制御装置２２は、ドアの解錠後、所定時間が経過するまでに、書き換え情報記憶装置１３の接続が検出されたかを判定し、ドアの解錠後、所定時間が経過するまでに、書き換え情報記憶装置１３の接続が検出されない場合には、ドア解錠タイムアウトエラーとして書き換え処理を終了する。

ドアの解錠後、所定時間が経過するまでに、書き換え情報記憶装置１３の接続が検出された場合には、ステップＳ１２４で、書き換え情報記憶装置１３の接続が検出したと判定され、処理がステップＳ１２５に進む。

ステップＳ１２５において、書き換え制御装置２２は、車両１１の状態が書き換え可能状態にあるか否かを確認する書き換え可能状態確認処理を実行する。この処理の詳細については、図１１を参照して後述する。

ステップＳ１２６において、書き換え制御装置２２は、書き換え可能状態確認処理の結果、書き換え可能状態であるかを判定する。ステップＳ１２６で、書き換え可能状態ではないと判定された場合、処理はステップＳ１２７に進み、書き換え制御装置２２は、書き換え可能状態エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１２６で、書き換え可能状態であると判定された場合、処理はステップＳ１２８に進み、書き換え制御装置２２は、書き換え対象の制御装置２３と、書き換える情報（データ）の種別を確認する書き換え情報種別確認処理を実行する。この処理の詳細については図１２を参照して後述するが、この処理では、書き換える情報が、不揮発性メモリ書き換え実行プログラムと制御プログラムの両方であるのか、または、制御プログラムのみであるのかを確認することができる。

そして、ステップＳ１２９において、書き換え制御装置２２は、携帯機１２が車両１１に登録されたものであるかを確認する携帯機確認指示をセキュリティ管理装置２１に送信する。

ステップＳ１３０において、書き換え制御装置２２は、携帯機１２が車両１１に登録されたものであると判定されたか、即ち、セキュリティ管理装置２１から携帯機確認OKの通知があったかを判定する。

ステップＳ１３０で、キュリティ管理装置２１から携帯機確認OKの通知がないと判定された場合、処理はステップＳ１３１に進み、書き換え制御装置２２は、携帯機応答エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１３０で、セキュリティ管理装置２１から携帯機確認OKの通知があったと判定された場合、処理はステップＳ１３２に進み、書き換え制御装置２２は、書き換え情報記憶装置１３に、書き換え許可情報を要求する。

そして、ステップＳ１３３において、書き換え制御装置２２は、要求した書き換え許可情報に応じて、書き換え情報記憶装置１３から、書き換え許可情報を受信したかを判定する。

ステップＳ１３３で、書き換え情報記憶装置１３から書き換え許可情報を受信しなかったと判定された場合、処理はステップＳ１３４に進み、書き換え制御装置２２は、書き換え許可情報エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１３３で、書き換え情報記憶装置１３から書き換え許可情報を受信したと判定された場合、処理はステップＳ１３５に進み、書き換え制御装置２２は、共通通信線２４を介して接続されている全ての制御装置２３−１乃至２３−Ｎに、制御装置識別情報を要求する。

そして、ステップＳ１３６において、書き換え制御装置２２は、全ての制御装置２３−１乃至２３−Ｎから、制御装置識別情報の送信があったかを判定する。ステップＳ１３６で、少なくとも１つの制御装置２３から制御装置識別情報の送信がなかったと判定された場合、処理はステップＳ１３７に進み、書き換え制御装置２２は、制御装置識別情報受信エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１３６で、全ての制御装置２３−１乃至２３−Ｎから、制御装置識別情報の送信があったと判定された場合、処理はステップＳ１３８に進み、書き換え制御装置２２は、書き換え対象の制御装置２３があったかを判定する。ステップＳ１３８では、上述したステップＳ１２８の書き換え情報種別確認処理で認識された書き換え対象の制御装置２３から、制御装置識別情報の送信があったか否かにより、書き換え対象の制御装置２３があるか否かを判定することができる。

ステップＳ１３８で、書き換え対象の制御装置２３がないと判定された場合、処理はステップＳ１３９に進み、書き換え制御装置２２は、書き換え対象検出エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１３８で、書き換え対象の制御装置２３があったと判定された場合、処理はステップＳ１４０に進み、書き換え制御装置２２は、書き換え開始操作情報をセキュリティ管理装置２１に要求する。セキュリティ管理装置２１への書き換え開始操作情報の要求が、携帯機１２での書き換え開始操作を促す表示となり、ユーザによる書き換え開始操作が行われる。

そして、ステップＳ１４１において、書き換え制御装置２２は、書き換え開始操作があったか、即ち、セキュリティ管理装置２１からの書き換え開始操作情報を受信したかを判定する。

ステップＳ１４１で、書き換え開始操作がなかったと判定された場合、処理はステップＳ１４２に進み、書き換え制御装置２２は、書き換え開始操作エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ１４１で、書き換え開始操作があったと判定された場合、処理はステップＳ１４３に進み、書き換え制御装置２２は、書き換え対象の制御装置２３（書き換え対象制御装置２３）に、書き換え開始指令を送信する。また、ステップＳ１４４において、書き換え制御装置２２は、セキュリティ管理装置２１に、書き換え開始を通知する。ステップＳ１４３とステップＳ１４４は、同時に行うことができる。

そして、ステップＳ１４５において、書き換え制御装置２２は、書き換え対象制御装置２３から、書き換え結果通知を受信したかを判定する。

ステップＳ１４５で、書き換え対象制御装置２３から書き換え結果通知を受信していないと判定された場合、ステップＳ１４６に進み、タイムアウトが発生したか否かが判定される。そして、ステップＳ１４６で、タイムアウトが発生していないと判定された場合には、再び処理がステップＳ１４５に戻り、書き換え対象制御装置２３から書き換え結果通知を受信したかが判定される。そして、ステップＳ１４６で、タイムアウトが発生したと判定された場合、処理はステップＳ１４７に進み、書き換え制御装置２２は、書き換え結果受信エラーをログ記録部４４に記録して、処理を終了する。

一方、タイムアウトが発生する前に書き換え結果通知を受信した場合には、ステップＳ１４５で、書き換え対象制御装置２３から書き換え結果通知を受信したと判定されて、ステップＳ１４８に進み、書き換え制御装置２２は、セキュリティ管理装置２１に、書き換え結果通知を送信して、処理を終了する。

［書き換え可能状態確認処理の詳細処理］
図１１のフローチャートは、上述したステップＳ１２５の処理として実行される、書き換え可能状態確認処理の詳細を示している。

この処理では、初めに、ステップＳ１６１において、書き換え制御装置２２は、ACCがオンであるかを判定する。ステップＳ１６１で、ACCがオンではないと判定された場合、書き換え制御装置２２は、車両１１の状態が書き換え不能状態と判定する。

一方、ステップＳ１６１で、ACCがオンであると判定された場合、処理はステップＳ１６３に進み、書き換え制御装置２２は、IGNがオフであるかを判定する。ステップＳ１６３で、IGNがオフではない（オンである）と判定された場合、処理はステップＳ１６４に進み、書き換え制御装置２２は、車両１１の状態が書き換え禁止状態と判定する。

一方、ステップＳ１６３で、IGNがオフであると判定された場合、処理はステップＳ１６５に進み、書き換え制御装置２２は、その他の書き換え禁止条件を満たすかを判定する。その他の書き換え禁止条件としては、例えば、少なくとも１つの制御装置２３から書き換え禁止信号が出力されている状態、車両１１が故障している状態、車両１１内のバッテリの電圧が低下している状態など、制御装置２３の制御プログラム書き換えに影響を及ぼす可能性のある所定の状態を、書き換え禁止条件とすることができる。また、書き換え開始操作をユーザに行わせた際に、その書き換え開始操作がドアの解錠を行った携帯機１２ではないことを書き換え禁止条件としてもよい。

ステップＳ１６５で、その他の書き換え禁止条件を満たすと判定された場合、処理はステップＳ１６６に進み、書き換え制御装置２２は、車両１１の状態が書き換え禁止条件の状態と判定して、処理は図１０に戻る。

一方、ステップＳ１６５で、その他の書き換え禁止条件を満たさないと判定された場合、処理はステップＳ１６７に進み、書き換え制御装置２２は、車両１１の状態が書き換え可能状態であると判定して、処理は図１０に戻る。

以上のように、少なくともACCがオン、かつ、IGNがオフである場合を書き換え可能状態として検出することで、車両１１の動作に影響を及ぼす可能性のある状態で書き換えることを防止することができる。

［書き換え情報種別確認処理の詳細処理］
図１２のフローチャートは、上述したステップＳ１２８の処理として実行される、書き換え情報種別確認処理の詳細を示している。

この処理では、初めに、ステップＳ１８１において、書き換え制御装置２２は、書き換える情報の種別を要求する書き換え情報種別要求を書き換え情報記憶装置１３に送信し、ステップＳ１８２において、要求に応じて送信されてきた書き換え情報種別を受信する。

そして、ステップＳ１８３において、書き換え制御装置２２は、受信した書き換え情報種別に、対象装置識別情報、即ち、書き換え対象の制御装置２３の識別情報があるかを判定する。

ステップＳ１８３で、受信した書き換え情報種別に、対象装置識別情報がないと判定された場合、処理はステップＳ１８４に進み、書き換え制御装置２２は、対象装置識別情報エラーをログ記録部４４に記録して、処理は終了する。

一方、ステップＳ１８３で、受信した書き換え情報種別に、対象装置識別情報があると判定された場合、処理はステップＳ１８５に進み、書き換え制御装置２２は、受信した書き換え情報種別に、不揮発性メモリ書き換え実行プログラムがあるかを判定する。

ステップＳ１８５で、受信した書き換え情報種別に、不揮発性メモリ書き換え実行プログラムがないと判定された場合、処理はステップＳ１８６に進み、書き換え制御装置２２は、不揮発性メモリ書き換え実行プログラムの更新なしと判定して、処理をステップＳ１８７に進める。

一方、ステップＳ１８５で、受信した書き換え情報種別に、不揮発性メモリ書き換え実行プログラムがあると判定された場合、処理はステップＳ１８７に進み、書き換え制御装置２２は、受信した書き換え種別に、更新用の制御プログラムがあるかを判定する。

ステップＳ１８７で、受信した書き換え情報種別に、更新用の制御プログラムがないと判定された場合、処理はステップＳ１８８に進み、書き換え制御装置２２は、書き換えデータエラーをログ記録部４４に記録して、処理は終了する。

一方、ステップＳ１８７で、受信した書き換え情報種別に、更新用の制御プログラムがあると判定された場合、処理は図１０に戻る。

以上のように、書き換え情報種別確認処理により、書き換えデータ（不揮発性メモリ書き換え実行プログラムおよび更新用の制御プログラム）が書き換え情報記憶装置１３に記憶されているか否かが判定される。従って、例えば、別の情報が記憶されている同型の情報記憶装置を接続したような場合であっても、誤ってデータを書き換えることを防止することができる。

なお、不揮発性メモリ書き換え実行プログラムが取得できない場合には、不揮発性メモリ５３に記憶されている既存の不揮発性メモリ書き換え実行プログラムが使用されるため、データエラーとはならない。しかし、更新用の制御プログラムが取得できない場合には、書き換え処理の目的を達成できないため終了となる。

書き換え制御装置２２の処理は、図１０乃至図１２を参照して説明したようになる。

［携帯機１２の全体処理フロー］
次に、図１３のフローチャートを参照して、書き換え処理における携帯機１２の処理を説明する。図１３で実行される送受信は、セキュリティ管理装置２１との間で無線通信により行われるものである。

初めに、ステップＳ２０１において、携帯機１２は、ユーザのドアの解錠操作を受け付け、ドアの解錠の操作信号（ドアの解錠指令）をセキュリティ管理装置２１に送信する。

そして、ステップＳ２０２において、携帯機１２は、ID送信要求を受信したか否かを判定し、ID送信要求を受信するまで、ステップＳ２０２の処理を繰り返す。

そして、ステップＳ２０２で、ID送信要求を受信したと判定された場合、処理はステップＳ２０３に進み、携帯機１２は、ID情報記憶部７６に記憶している車両IDをセキュリティ管理装置２１に送信する。

なお、ドアの解錠操作は、携帯機１２による操作ではなく、ユーザが車両１１のドアに対して行うものでもよい。この場合、携帯機１２は、ID送信要求に応じた車両IDの送信から処理が実行される。

次に、ステップＳ２０４において、携帯機１２は、書き換え開始操作情報の要求を受信したか否かを判定し、書き換え開始操作情報の要求を受信するまで、ステップＳ２０４の処理を繰り返す。

そして、ステップＳ２０４で、書き換え開始操作情報の要求を受信したと判定された場合、処理はステップＳ２０５に進み、携帯機１２は、「書き換え開始の操作を行ってください」などの、ユーザに書き換え開始操作を促す表示を表示部７２に表示する。

次に、ステップＳ２０６において、携帯機１２は、書き換え開始操作が行われたかを判定し、書き換え開始操作が行われたと判定されるまで、ステップＳ２０６の処理を繰り返す。

そして、ステップＳ２０６において、書き換え開始操作が行われたと判定された場合、処理はステップＳ２０７に進み、携帯機１２は、行われた書き換え開始操作に対応する書き換え開始操作情報をセキュリティ管理装置２１に送信する。

次に、ステップＳ２０８において、携帯機１２は、セキュリティ管理装置２１から、書き換え開始通知を受信したか否かを判定し、書き換え開始通知を受信したと判定されるまで、ステップＳ２０８の処理を繰り返す。

そして、ステップＳ２０８において、書き換え開始通知を受信したと判定された場合、処理はステップＳ２０９に進み、携帯機１２は、書き換え開始を示す表示を表示部７２に表示する。書き換え開始後は、例えば、「書き換え中」のメッセージが表示部７２に表示される。

次に、ステップＳ２１０において、携帯機１２は、セキュリティ管理装置２１から、書き換えの結果を通知する書き換え結果通知を受信したか否かを判定し、書き換え結果通知を受信したと判定されるまで、ステップＳ２１０の処理を繰り返す。

そして、ステップＳ２１０において、書き換え結果通知を受信したと判定された場合、処理はステップＳ２１１に進み、携帯機１２は、書き換え結果を表示部７２に表示して、処理を終了する。

［セキュリティ管理装置２１の全体処理フロー］
図１４は、書き換え処理におけるセキュリティ管理装置２１の処理を説明するフローチャートである。図１４の処理は繰り返し実行される。

初めに、ステップＳ２２１において、セキュリティ管理装置２１は、携帯機１２でドアに関する操作がユーザによりされたか否かを判定する。ステップＳ２２１で、ドアに関する操作がされていないと判定された場合、次のステップＳ２２２の処理がスキップされる。

一方、ステップＳ２２１で、ドアに関する操作がされたと判定された場合、処理はステップＳ２２２に進み、セキュリティ管理装置２１は、図１５を参照して後述するドア関連制御処理を実行する。

そして、ステップＳ２２３において、セキュリティ管理装置２１は、車両１１の始動を制御する操作がユーザによりされたか否かを判定する。ステップＳ２２３で、車両１１の始動を制御する操作がされていないと判定された場合、次のステップＳ２２４の処理がスキップされる。

一方、ステップＳ２２３で、車両１１の始動を制御する操作がされたと判定された場合、処理はステップＳ２２４に進み、セキュリティ管理装置２１は、図１６を参照して後述する車両始動制御処理を実行する。

そして、ステップＳ２２５において、セキュリティ管理装置２１は、書き換え制御装置２２から、携帯機１２が車両１１に登録されたものであるかを確認する携帯機確認指示を受信したかを判定する。ステップＳ２２５で、携帯機確認指示を受信していないと判定された場合、次のステップＳ２２６乃至Ｓ２２９の処理がスキップされる。

一方、ステップＳ２２５で、携帯機確認指示を受信したと判定された場合、処理はステップＳ２２６に進み、セキュリティ管理装置２１は、携帯機１２にID送信を要求して、要求に応じて送信されてくる車両IDを受信する。

そして、ステップＳ２２７において、セキュリティ管理装置２１は、登録された携帯機１２の車両IDを受信したかを判定する。

ステップＳ２２７で、登録された携帯機１２の車両IDを受信していないと判定された場合、処理はステップＳ２２８に進み、セキュリティ管理装置２１は、書き換え制御装置２２に、携帯機確認NGを送信する。

一方、ステップＳ２２７で、登録された携帯機１２の車両IDを受信したと判定された場合、処理はステップＳ２２９に進み、セキュリティ管理装置２１は、書き換え制御装置２２に、携帯機確認OKを送信する。

次に、セキュリティ管理装置２１は、ステップＳ２３０において、書き換え制御装置２２から、書き換え開始操作情報の要求を受信したかを判定する。ステップＳ２３０で、書き換え開始操作情報の要求を受信していないと判定された場合、次のステップＳ２３１の処理がスキップされる。

一方、ステップＳ２３０で、書き換え開始操作情報の要求を受信したと判定された場合、処理はステップＳ２３１に進み、セキュリティ管理装置２１は、受信した書き換え開始操作情報の要求を、そのまま携帯機１２に送信する。

次に、セキュリティ管理装置２１は、ステップＳ２３２において、携帯機１２で書き換えに関する操作があったかを判定する。ここで、書き換えに関する操作とは、書き換え開始操作、書き換え終了確認操作、または、書き換え中断操作のいずれかである。ステップＳ２３２で、携帯機１２で書き換えに関する操作がないと判定された場合、次にステップＳ２３３の処理がスキップされる。

一方、ステップＳ２３２で、携帯機１２で書き換えに関する操作があったと判定された場合、処理はステップＳ２３３に進み、セキュリティ管理装置２１は、図１７を参照して後述する、書き換え操作対応処理を実行する。

次に、セキュリティ管理装置２１は、ステップＳ２３４において、書き換え制御装置２２から、書き換えを開始したことを示す書き換え開始通知を受信したかを判定する。ステップＳ２３４で、書き換え開始通知を受信していないと判定された場合、次のステップＳ２３５の処理がスキップされる。

一方、ステップＳ２３４で、書き換え開始通知を受信したと判定された場合、処理はステップＳ２３５に進み、セキュリティ管理装置２１は、受信した書き換え開始通知を、無線通信により携帯機１２に送信する。

次に、セキュリティ管理装置２１は、ステップＳ２３６において、書き換え制御装置２２から、書き換えを終了したことを示す書き換え結果通知を受信したかを判定する。ステップＳ２３６で、書き換え結果通知を受信していないと判定された場合、次のステップＳ２３７およびＳ２３８の処理がスキップされる。

一方、ステップＳ２３６で、書き換え結果通知を受信したと判定された場合、処理はステップＳ２３７に進み、セキュリティ管理装置２１は、受信した書き換え結果通知を、無線通信により携帯機１２に送信する。さらに、ステップＳ２３８において、セキュリティ管理装置２１は、書き換え開始操作設定を解除して、処理を終了する。

［ドア関連制御処理の詳細処理］
図１５のフローチャートは、上述したステップＳ２２２の処理として実行される、セキュリティ管理装置２１のドア関連制御処理の詳細を示している。

初めに、ステップＳ２５１において、セキュリティ管理装置２１は、携帯機１２から受信した操作信号に基づいて、ドアを施錠する操作がされたかを判定する。

ステップＳ２５１で、ドアを施錠する操作がされたと判定された場合、処理はステップＳ２５２に進み、セキュリティ管理装置２１は、ドアを施錠する制御を行う。一方、ステップＳ２５１で、ドアを施錠する操作がされていないと判定された場合、ステップＳ２５２の処理がスキップされる。

次に、セキュリティ管理装置２１は、ステップＳ２５３において、携帯機１２から受信した操作信号に基づいて、ドアを解錠する操作がされたかを判定する。

ステップＳ２５３で、ドアを解錠する操作がされたと判定された場合、処理はステップＳ２５４に進み、セキュリティ管理装置２１は、ドアを解錠する制御を行い、ステップＳ２５５において、ドアの解錠を書き換え制御装置２２に通知する。

一方、ステップＳ２５３で、ドアを解錠する操作がされていないと判定された場合、上述したステップＳ２５４およびＳ２５５の処理がスキップされる。

次に、セキュリティ管理装置２１は、ステップＳ２５６において、携帯機１２から受信した操作信号に基づいて、トランクオープン操作がされたかを判定する。

ステップＳ２５６で、トランクオープン操作がされたと判定された場合、処理はステップＳ２５７に進み、セキュリティ管理装置２１は、トランクを開ける制御を行う。一方、ステップＳ２５６で、トランクオープン操作がされていないと判定された場合、上述したステップＳ２５７の処理がスキップされる。

以上により、ドア関連制御処理が終了して、図１４に戻る。なお、図１５のドア関連制御処理は、携帯機１２によって、ユーザがドアに関する操作を行った場合の処理であるので、図１５では、携帯機１２が有する車両IDの一致の確認も当然に行われる。

［ドア関連制御処理の詳細処理］
図１６のフローチャートは、上述したステップＳ２２４の処理として実行される、セキュリティ管理装置２１の車両始動制御処理の詳細を示している。

初めに、ステップＳ２７１において、セキュリティ管理装置２１は、ACCをオンにする操作がされたかを判定する。ステップＳ２７１で、ACCをオンにする操作がされていないと判定された場合、処理はステップＳ２７７に進む。

一方、ステップＳ２７１で、ACCをオンにする操作がされたと判定された場合、処理はステップＳ２７２に進み、セキュリティ管理装置２１は、携帯機１２に車両IDの送信を要求する。

そして、ステップＳ２７３において、セキュリティ管理装置２１は、登録された車両IDの受信があったか、即ち、ID情報記憶部３３に記憶されているものと同一の車両IDの受信があったかを判定する。

ステップＳ２７３で、登録された車両IDの受信がないと判定された場合には、処理はステップＳ２７４に進み、タイムアウトが発生したかが判定される。ステップＳ２７４で、タイムアウトが発生していないと判定された場合、処理はステップＳ２７３に戻る。即ち、セキュリティ管理装置２１は、タイムアウトが発生するまで、登録された車両IDの受信を待機する。

そして、ステップＳ２７４で、タイムアウトが発生したと判定された場合、処理はステップＳ２７５に進み、セキュリティ管理装置２１は、携帯機ID受信エラーをログ記録部３６に記録して、処理はステップＳ２７７に進む。

一方、ステップＳ２７３で、登録された車両IDの受信があったと判定された場合には、処理はステップＳ２７６に進み、セキュリティ管理装置２１は、ACCをオンにする。

次に、ステップＳ２７７において、セキュリティ管理装置２１は、IGNをオンにする操作がされたかを判定する。ステップＳ２７７で、IGNをオンにする操作がされていないと判定された場合、処理は図１４に戻る。

一方、ステップＳ２７７で、IGNをオンにする操作がされたと判定された場合、処理はステップＳ２７８に進み、セキュリティ管理装置２１は、携帯機１２に車両IDの送信を要求する。

そして、ステップＳ２７９において、セキュリティ管理装置２１は、登録された車両IDの受信があったかを判定する。

ステップＳ２７９で、登録された車両IDの受信がないと判定された場合には、処理はステップＳ２８０に進み、タイムアウトが発生したかが判定される。ステップＳ２８０で、タイムアウトが発生していないと判定された場合、処理はステップＳ２７９に戻る。即ち、セキュリティ管理装置２１は、タイムアウトが発生するまで、登録された車両IDの受信を待機する。

そして、ステップＳ２８０で、タイムアウトが発生したと判定された場合、処理はステップＳ２８１に進み、セキュリティ管理装置２１は、携帯機ID受信エラーをログ記録部３６に記録して、処理は図１４に戻る。

一方、ステップＳ２７９で、登録された車両IDの受信があったと判定された場合には、処理はステップＳ２８２に進み、セキュリティ管理装置２１は、IGNをオンにする。

以上により、車両始動制御処理が終了して、図１４に戻る。

［書き換え操作対応処理の詳細処理］
図１７のフローチャートは、上述したステップＳ２３３の処理として実行される、セキュリティ管理装置２１の書き換え操作対応処理の詳細を示している。

初めに、ステップＳ３０１において、セキュリティ管理装置２１は、書き換え開始操作がされたか否かを判定し、書き換え開始操作がされていないと判定した場合、次のステップＳ３０２をスキップする。

一方、ステップＳ３０１で、書き換え開始操作がされたと判定された場合、処理はステップＳ３０２に進み、セキュリティ管理装置２１は、書き換え制御装置２２に、書き換え開始操作を通知する。

次に、セキュリティ管理装置２１は、ステップＳ３０３において、書き換え終了確認操作がされたか否かを判定し、書き換え終了確認操作がされていないと判定した場合、次のステップＳ３０４をスキップする。

一方、ステップＳ３０３で、書き換え終了確認操作がされたと判定された場合、処理はステップＳ３０４に進み、セキュリティ管理装置２１は、書き換え制御装置２２に、書き換え終了確認操作を通知する。

次に、セキュリティ管理装置２１は、ステップＳ３０５において、書き換え中断操作がされたか否かを判定し、書き換え中断操作がされていないと判定した場合、次のステップＳ３０６をスキップする。

一方、ステップＳ３０５で、書き換え中断操作がされたと判定された場合、処理はステップＳ３０６に進み、セキュリティ管理装置２１は、書き換え制御装置２２に、書き換え中断操作を通知する。

以上により、書き換え操作対応処理が終了して、図１４に戻る。

［書き換え対象制御装置２３の全体処理フロー］
図１８は、書き換え対象制御装置２３の処理を説明するフローチャートである。

初めに、ステップＳ３２１において、書き換え対象制御装置２３は、書き換え制御装置２２から、識別情報を要求する識別情報要求を受信したか否かを判定し、識別情報要求を受信したと判定されるまで待機する。

ステップＳ３２１で、識別情報要求を受信したと判定された場合、処理はステップＳ３２２に進み、書き換え対象制御装置２３は、書き換え制御装置２２に、自機の識別情報を送信する。

そして、ステップＳ３２３において、書き換え対象制御装置２３は、書き換え開始指令を受信したか否かを判定する。ステップＳ３２３で、書き換え開始指令を受信していないと判定された場合、処理はステップＳ３２４に進み、タイムアウトが発生したかが判定される。ステップＳ３２４で、タイムアウトが発生していないと判定された場合、処理はステップＳ３２３に戻る。即ち、書き換え対象制御装置２３は、タイムアウトが発生するまで、書き換え開始指令の受信を待機する。

そして、ステップＳ３２４で、タイムアウトが発生したと判定された場合、処理はステップＳ３２５に進み、書き換え対象制御装置２３は、書き換え開始指令受信エラーをログ記録部５６に記録して、処理を終了する。

一方、ステップＳ３２３で、書き換え開始指令を受信したと判定された場合、処理はステップＳ３２６に進み、書き換え対象制御装置２３は、図１９を参照して後述する、書き換え可能状態に移行する書き換え可能状態移行処理を実行する。

次に、ステップＳ３２７において、書き換え対象制御装置２３は、書き換え情報記憶装置１３に、書き換えデータの送信を要求する。

そして、ステップＳ３２８において、書き換え対象制御装置２３は、書き換えデータを受信したか否かを判定する。ステップＳ３２８で、書き換えデータを受信していないと判定された場合、処理はステップＳ３２９に進み、タイムアウトが発生したかが判定される。ステップＳ３２９で、タイムアウトが発生していないと判定された場合、処理はステップＳ３２８に戻る。即ち、書き換え対象制御装置２３は、タイムアウトが発生するまで、書き換えデータの受信を待機する。

そして、ステップＳ３２９で、タイムアウトが発生したと判定された場合、処理はステップＳ３３０に進み、書き換え対象制御装置２３は、書き換えデータ受信エラーをログ記録部５６に記録して、処理を終了する。

一方、ステップＳ３２８で、書き換えデータを受信したと判定された場合、処理はステップＳ３３１に進み、書き換え対象制御装置２３は、書き換えデータを取得して、ステップＳ３３２において、不揮発性メモリ５３のデータを書き換えデータで書き換える不揮発性メモリ書き換え処理を実行する。この不揮発性メモリ書き換え処理の詳細については、図２０を参照して後述する。

不揮発性メモリ書き換え処理が終了すると、書き換え対象制御装置２３は書き換え結果を取得でき、ステップＳ３３３において、書き換え対象制御装置２３は、書き換え制御装置２２に、書き換え結果通知を送信する。

そして、ステップＳ３３４において、書き換え対象制御装置２３は、更新した制御プログラムを起動し、処理を終了する。

［書き換え可能状態移行処理の詳細処理］
図１９のフローチャートは、上述したステップＳ３２６の処理として実行される、書き換え可能状態移行処理の詳細を示している。

この処理では、初めに、ステップＳ３５１において、書き換え対象制御装置２３は、自身が担当する制御対象の各機器に、制御中断を通知する。

そして、ステップＳ３５２において、書き換え対象制御装置２３は、各機器から中断可の応答があったか否かを判定する。

ステップＳ３５２で、少なくとも１つの機器から、中断不可の応答があったと判定された場合、処理はステップＳ３５３に進み、書き換え対象制御装置２３は、制御中断エラーをログ記録部５６に記録して、処理は終了する。

一方、ステップＳ３５２で、自身が担当する制御対象の全ての機器から、中断可の応答があったと判定された場合、処理はステップＳ３５４に進み、書き換え対象制御装置２３は、制御動作を中断して、処理は図１８に戻る。

［不揮発性メモリ書き換え処理の詳細処理］
図２０のフローチャートは、上述したステップＳ３３２の処理として実行される、不揮発性メモリ書き換え処理の詳細を示している。

この処理では、初めに、ステップＳ３７１において、書き換え対象制御装置２３は、上述したステップＳ３３１で取得した書き換えデータに、不揮発性メモリ書き換え実行プログラムが含まれているか否かを判定する。

ステップＳ３７１で、不揮発性メモリ書き換え実行プログラムが含まれていないと判定された場合、処理はステップＳ３７２に進み、書き換え対象制御装置２３は、不揮発性メモリ５３に記憶されている既存の不揮発性メモリ書き換え実行プログラムをRAM５４にロードして起動する。即ち、不揮発性メモリ書き換え実行プログラムは、更新用の制御プログラムと一緒に更新することができるが、更新が必要ない場合には、不揮発性メモリ５３に記憶されている既存の不揮発性メモリ書き換え実行プログラムが起動される。

なお、不揮発性メモリ書き換え実行プログラムを不揮発性メモリ５３には記憶させないようにして、常に書き換え情報記憶装置１３から取得してロードするようにし、不揮発性メモリ書き換え実行プログラムが取得できない場合は、データエラーとするようにしてもよい。この場合、不揮発性メモリ５３の記憶領域を節約することができる。

一方、ステップＳ３７１で、不揮発性メモリ書き換え実行プログラムが含まれていると判定された場合、処理はステップＳ３７３に進み、書き換え対象制御装置２３は、取得した不揮発性メモリ書き換え実行プログラムをRAM５４にロードして起動する。即ち、取得した不揮発性メモリ書き換え実行プログラムがRAM５４上に展開される。そして、更新された不揮発性メモリ書き換え実行プログラムに基づいて、不揮発性メモリ書き換え部５２が、以下の更新用の制御プログラムの書き換えを実行する。

ステップＳ３７４において、書き換え対象制御装置２３の不揮発性メモリ書き換え部５２は、不揮発性メモリ５３の更新領域、即ち、制御用プログラムが記憶されている領域のデータを消去する。

そして、ステップＳ３７５において、不揮発性メモリ書き換え部５２は、取得した更新用の制御プログラムを、不揮発性メモリ５３のデータを消去した領域、即ち、制御用プログラムが記憶される領域に書き込む。

ステップＳ３７６において、不揮発性メモリ書き換え部５２は、更新用の制御プログラムの書き込み結果を確認し、書き換え結果が正常であるか否かを判定する。

ステップＳ３７６で、書き換え結果が正常ではないと判定された場合、処理はステップＳ３７７に進み、不揮発性メモリ書き換え部５２は、書き換え結果を書き込みエラーとして、処理は図１８に戻る。

一方、ステップＳ３７６で、書き換え結果が正常であると判定された場合、処理はステップＳ３７８に進み、不揮発性メモリ書き換え部５２は、書き換え結果を正常として、処理は図１８に戻る。

以上のように、書き換え対象制御装置２３が、書き換え制御装置２２から書き換え開始指令を受信すると、書き換え対象制御装置２３自身が書き換え情報記憶装置１３に書き換えデータを要求して取得し、書き換える。従って、書き換え制御装置２２が書き換え情報記憶装置１３から書き換えデータを取得して、書き換え対象制御装置２３に転送する必要はない。

［書き換え情報記憶装置１３の全体処理フロー］
図２１は、書き換え処理における書き換え情報記憶装置１３の処理を説明するフローチャートである。

初めに、ステップＳ４０１において、書き換え情報記憶装置１３は、車両１１の共通通信線２４に接続されたか否かを判定し、共通通信線２４に接続されたと判定されるまで待機する。

そして、ステップＳ４０１で、共通通信線２４に接続されたと判定された場合、処理はステップＳ４０２に進み、書き換え情報記憶装置１３は、書き換え制御装置２２に接続を通知する。

次に、ステップＳ４０３において、書き換え情報記憶装置１３は、書き換え制御装置２２から、書き換え情報種別要求を受信したかを判定し、書き換え情報種別要求を受信したと判定されるまで待機する。

そして、ステップＳ４０３で、書き換え情報種別要求を受信したと判定された場合、処理はステップＳ４０４に進み、書き換え情報記憶装置１３は、書き換え情報種別を書き換え制御装置２２に送信する。

次に、ステップＳ４０５において、書き換え情報記憶装置１３は、書き換え制御装置２２から、書き換え許可情報の要求を受信したかを判定し、書き換え許可情報の要求を受信したと判定されるまで待機する。

そして、ステップＳ４０５で、書き換え許可情報の要求を受信したと判定された場合、処理はステップＳ４０６に進み、書き換え情報記憶装置１３は、予め内部に記憶されている書き換え許可情報を書き換え制御装置２２に送信する。

次に、ステップＳ４０７において、書き換え情報記憶装置１３は、書き換え対象制御装置２３から、書き換えデータの送信要求を受信したかを判定し、書き換えデータの送信要求を受信したと判定されるまで待機する。

そして、ステップＳ４０７で、書き換えデータの送信要求を受信したと判定された場合、処理はステップＳ４０８に進み、書き換え情報記憶装置１３は、書き換えデータの送信要求を書き換え対象制御装置２３に送信して、処理を終了する。

以上、書き換え処理を情報処理システム１の各装置単位でみた場合の処理について説明した。

次に、上述した書き換え処理の変形例について説明する。

［書き換え制御装置用制御プログラムも書き換え情報記憶装置１３で提供する例］
上述した実施の形態では、図６を参照して説明したように、書き換えデータとして、書き換え対象制御装置２３の不揮発性メモリ書き換え部５２が、制御プログラムの書き換えを実行するための不揮発性メモリ書き換え実行プログラムと、書き換え対象制御装置２３の制御部５１で実行されるプログラムであって、更新用の制御プログラムが、対象装置識別情報とともに記録されていた。

書き換え情報記憶装置１３の不揮発性メモリ６２に記憶される書き換えデータには、さらに、図２２に示すように、書き換え処理の全体を制御する書き換え制御装置２２用のプログラムであって、書き換え制御装置２２の書き換え制御部４１で実行される制御プログラムを含むようにしてもよい。

［書き換え制御装置２２用の制御プログラムの受信処理］
図２３は、書き換え情報記憶装置１３の不揮発性メモリ６２に、書き換え制御装置２２用の制御プログラムが記憶されている場合に実行される、書き換え制御装置２２による、書き換え制御装置用制御プログラムの受信処理のフローチャートである。

この処理では、初めに、ステップＳ４２１において、書き換え制御装置２２は、書き換え情報記憶装置１３に、共通通信線２４を介して、書き換え制御装置用制御プログラムの送信を要求する。

ステップＳ４２２において、書き換え制御装置２２は、書き換え制御装置用制御プログラムを書き換え情報記憶装置１３から受信したか否かを判定する。

ステップＳ４２２で、書き換え制御装置用制御プログラムを受信していないと判定された場合には、処理はステップＳ４２３に進み、タイムアウトが発生したかが判定される。ステップＳ４２３で、タイムアウトが発生していないと判定された場合、処理はステップＳ４２２に戻る。即ち、書き換え制御装置２２は、タイムアウトが発生するまで、書き換え制御装置用制御プログラムの受信を待機する。

そして、ステップＳ４２３で、タイムアウトが発生したと判定された場合、処理はステップＳ４２４に進み、書き換え制御装置２２は、書き換え制御装置用制御プログラム受信エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ４２２で、書き換え制御装置用制御プログラムを受信したと判定された場合には、処理はステップＳ４２５に進み、書き換え制御装置２２は、書き換え制御装置用制御プログラムをRAM４２にロードして起動し、処理を終了する。

図２３の、書き換え制御装置２２による、書き換え制御装置用制御プログラムの受信処理は、例えば、図９の全体処理フローでは、ステップＳ６５の処理の前、図９の書き換え制御装置２２の処理フローでは、ステップＳ１２８の処理の前などに挿入することができる。

書き換え制御装置用制御プログラムも書き換え情報記憶装置１３に記憶させ、書き換え処理を行うときだけ、RAM４２にロードして起動することで、書き換えを行わない状態の車両１１には、書き換え制御装置用制御プログラムを記憶しておく必要がないので、書き換え制御装置用制御プログラムを記憶しておくROM（Read Only Memory）等の記憶領域を節約することができる。

また、書き換え情報記憶装置１３に記憶させた書き換え制御装置用制御プログラムを、セキュリティ管理装置２１、または、書き換え対象ではない制御装置２３にロードして実行させ、セキュリティ管理装置２１、または、書き換え対象ではない制御装置２３を、書き換え制御装置として動作させるようにしてもよい。セキュリティ管理装置２１を書き換え制御装置として動作させるようにした場合には、図９等を参照して説明したセキュリティ管理装置２１と書き換え制御装置２２との間の共通通信線２４を介したやりとりが不要となるので、制御プログラムが簡単な構成となり、書き換え処理にかかる時間も短くすることができる。

［書き換え開始操作情報も書き換え情報記憶装置１３で提供する例］
上述した実施の形態では、制御プログラムの書き換えを開始させるため携帯機１２で行われる操作手順が予め決定されており、ユーザは、予め決められた書き換え開始操作を行うものとして説明した。

しかし、書き換え情報記憶装置１３に、制御プログラムの書き換えを開始するための操作手順を定義したデータである書き換え開始操作定義情報を記憶させておき、書き換え処理を実行する都度、書き換え制御装置２２に書き換え開始操作定義情報を提供することによって、書き換え開始操作を、所望の操作手順に変更することができる。

図２４は、書き換え開始操作定義情報のデータ例を示している。

図１７の書き換え操作対応処理で説明したように、書き換え処理に関し、ユーザが可能な操作は、書き換え開始操作、書き換え終了確認操作、および、書き換え中断操作である。書き換え開始操作定義情報には、これら３つの操作それぞれについて、操作の手順が定義されている。

書き換え開始操作定義情報には、例えば、図２４に示されるように、書き換え開始操作、書き換え終了確認操作、および、書き換え中断操作それぞれの操作を定義した情報の位置（メモリアドレス）を記録した、書き換え開始操作情報位置、書き換え終了確認操作情報位置、および、書き換え中断操作情報位置が含まれる。

そして、書き換え開始操作情報位置、書き換え終了確認操作情報位置、および、書き換え中断操作情報位置に続いて、９種類の操作手順が登録されており、書き換え開始操作情報位置、書き換え終了確認操作情報位置、および、書き換え中断操作情報位置のそれぞれは、９種類の操作手順のいずれかを示す値となっている。

図９の例では、書き換え開始操作情報位置は、「操作ボタン７３Aの長押し」が登録されている位置を示しており、書き換え開始操作が、「操作ボタン７３Aの長押し」に設定されている。同様に、書き換え終了確認操作は「操作ボタン７３Bの長押し」に、書き換え中断操作は、「操作ボタン７３Dの長押し」に設定されている。

図２５は、書き換え情報記憶装置１３に書き換え開始操作定義情報が記憶されている場合に、その書き換え開始操作定義情報を受信する書き換え開始操作定義情報受信処理のフローチャートを示している。

初めに、ステップＳ４４１において、書き換え制御装置２２は、書き換え情報記憶装置１３に、共通通信線２４を介して、書き換え開始操作定義情報の送信を要求する。

ステップＳ４４２において、書き換え制御装置２２は、書き換え開始操作定義情報を書き換え情報記憶装置１３から受信したか否かを判定する。

ステップＳ４４２で、書き換え開始操作定義情報を受信していないと判定された場合には、処理はステップＳ４４３に進み、タイムアウトが発生したかが判定される。ステップＳ４４３で、タイムアウトが発生していないと判定された場合、処理はステップＳ４４２に戻る。即ち、書き換え制御装置２２は、タイムアウトが発生するまで、書き換え開始操作定義情報の受信を待機する。

そして、ステップＳ４４３で、タイムアウトが発生したと判定された場合、処理はステップＳ４４４に進み、書き換え制御装置２２は、書き換え開始操作定義情報受信エラーをログ記録部４４に記録して、処理を終了する。

一方、ステップＳ４４２で、書き換え開始操作定義情報を受信したと判定された場合には、処理はステップＳ４４５に進み、書き換え制御装置２２は、受信した書き換え開始操作定義情報に基づいて、書き換え開始操作を設定して、処理を終了する。

この処理は、例えば、図９の全体処理フローでは、書き換え開始操作情報をセキュリティ管理装置２１に要求するステップＳ７４の処理の前、図９の書き換え制御装置２２の処理フローでは、ステップＳ１４０の処理の前などに挿入することができる。そして、図９のステップＳ１４１において、書き換え開始操作があったか否かが判定されるが、ここでの書き換え開始操作が、ステップＳ４４５で設定された操作がなされたか、ということになる。

以上のように、書き換え開始操作定義情報を書き換え情報記憶装置１３に記憶させ、書き換え制御装置２２に送信することにより、書き換え開始操作等の手順を車両１１の出荷後に変更することができる。従って、作業の自由度が高まるとともに、書き換え開始操作等の手順を不正に知られることがなくなる。

なお、上述した例は、書き換え開始操作を携帯機１２で行う例について説明したが、書き換え開始操作は、携帯機１２以外の操作部、例えば、車両１１内の空調設定部やオーディオ装置などに対して行うようにしてもよい。この場合、書き換え開始操作はセキュリティ管理装置２１で判定される。

［書き換え情報記憶装置１３のその他の例］
次に、書き換え情報記憶装置１３のその他の例について説明する。

上述した実施の形態では、図５および図２１を参照して説明したように、書き換え情報記憶装置１３がCPU１１１を有し、CPU１１１が書き換えデータの送信要求を受信したかなどを判定し、書き換えデータの送信などを行っていた。

しかし、書き換え情報記憶装置１３は、処理判断を行うCPUを有さず、単に、書き換えデータを記憶する記憶領域だけを有するものでもよい。

図２６は、書き換え情報記憶装置１３のその他の例であって、処理判断を行うCPUを備えない書き換え情報記憶装置１３の例を示すブロック図である。

図２６において、メモリカード（ICカード）１０１が書き換え情報記憶装置１３に対応する。

メモリカード１０１は、CPU１１１、メモリカードソケット１１２、及び、共通通信線接続I/F１１３を備える書き換え情報記憶装置装着装置１０２の、メモリカードソケット１１２に装着される。

書き換え情報記憶装置装着装置１０２のCPU１１１は、図５に示した書き換え情報記憶装置１３のCPU６１と同じ役割を果たし、共通通信線接続I/F１１３は、図５に示した書き換え情報記憶装置１３の共通通信線接続I/F６３と同じ役割を果たす。

換言すれば、図５に示した書き換え情報記憶装置１３の不揮発性メモリ６２が、図２６においては、メモリカード１０１として分離できるようになされたものである。ただし、通常、車両１１に取り付けられているナビゲーション装置やオーディオ装置を、書き換え情報記憶装置装着装置１０２として使用することができ、書き換え処理を実行するために、書き換え情報記憶装置装着装置１０２を別途用意する必要はない。

図２７は、書き換え情報記憶装置１３のその他の例であって、処理判断を行うCPUを備えない書き換え情報記憶装置１３のその他の例を示すブロック図である。

図２７において、USBメモリ１２１が書き換え情報記憶装置１３に対応する。

USBメモリ１２１は、CPU１３１、USBコネクタ１３２、及び、共通通信線接続I/F１３３を備える書き換え情報記憶装置装着装置１２２の、USBコネクタ１３２に装着される。

書き換え情報記憶装置装着装置１２２のCPU１３１は、図５に示した書き換え情報記憶装置１３のCPU６１と同じ役割を果たし、共通通信線接続I/F１３３は、図５に示した書き換え情報記憶装置１３の共通通信線接続I/F６３と同じ役割を果たす。

換言すれば、図５に示した書き換え情報記憶装置１３の不揮発性メモリ６２が、図２７においては、USBメモリ１２１として分離できるようになされたものである。ただし、通常、車両１１に取り付けられているナビゲーション装置やオーディオ装置を、書き換え情報記憶装置装着装置１２２として使用することができ、書き換え処理を実行するために、書き換え情報記憶装置装着装置１２２を別途用意する必要はない。

また、図２６および図２７では、いずれも接続端子により物理的に接続する接触式の書き換え情報記憶装置１３の例であるが、CPUを有しない書き換え情報記憶装置１３は、無線通信により、書き換え情報記憶装置装着装置１２２と、書き換えデータを授受するものでもよい。

例えば、携帯機１２との無線通信手段（無線通信部３４）を有するセキュリティ管理装置２１を、図２６に示した書き換え情報記憶装置装着装置１０２として機能させ、図２６のメモリカード１０１が、書き換え情報記憶装置装着装置１０２としてのセキュリティ管理装置２１と、無線通信により書き換えデータを授受させるようにすることも可能である。

従って、書き換え情報記憶装置１３と、車両１１内の書き換え対象制御装置２３および書き換え制御装置２２等との通信は、無線および有線のどちらでもよい。

セキュリティ管理装置２１、書き換え制御装置２２、および、書き換え対象制御装置２３の上述した書き換え処理を行う各手段は、１つの情報処理装置として構成してもよい。

本明細書において、フローチャートに記述されたステップは、記載された順序に沿って時系列的に行われる場合はもちろん、必ずしも時系列的に処理されなくとも、並列に、あるいは呼び出しが行われたとき等の必要なタイミングで実行されてもよい。

また、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

１ 情報処理システム
１１ 車両
１２ 携帯機
１３ 書き換え情報記憶装置
２１ セキュリティ管理装置
２２ 書き換え制御装置
２３−１乃至２３−Ｎ 制御装置
２４ 共通通信線
３１ 書き換え制御部
３２ セキュリティ制御部
４１ 書き換え制御部
５１ 制御部
５２ 不揮発性メモリ書き換え部
５３ 不揮発性メモリ
６１ ＣＰＵ
６２ 不揮発性メモリ

Claims (5)

1. 車両に搭載される情報処理装置であって、
   携帯機の認証一致結果と前記車両のドアの解錠操作を受け付けて、前記車両のドアの解錠を行う解錠制御手段と、
   前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出する情報記憶装置接続検出手段と、
   前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換える書き換え手段と
   を備える情報処理装置。
2. 前記書き換え手段は、さらに、前記携帯機からの書き換え開始操作情報を受信した場合に、書き換える
   請求項１に記載の情報処理装置。
3. 前記書き換え手段は、ACCがオフまたはIGNがオンであることを検出した場合には、書き換えない
   請求項１に記載の情報処理装置。
4. 車両に搭載される情報処理装置による情報処理方法であって、
   携帯機の認証一致結果と前記車両のドアの解錠操作を受け付けて、前記車両のドアの解錠を行い、
   前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出し、
   前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換える
   ステップを含む情報処理方法。
5. 車両に搭載される情報処理装置としてのコンピュータに、
   携帯機認証後の前記車両のドアの解錠操作から所定時間内に、前記情報処理装置内の制御プログラムを書き換えるための更新用制御プログラムが記憶されている書き換え情報記憶装置が接続されたか否かを検出し、
   前記車両のドアの解錠操作から所定時間内に前記書き換え情報記憶装置との接続が検出された場合に、前記情報処理装置内に記憶されている制御プログラムを、前記更新用制御プログラムに書き換えさせる
   ステップを含む処理を実行させるためのプログラム。

Images