JP4264254B2 - 車載プログラムの書き換え制御システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は車載プログラムを書き換える制御を行う装置に関するものである。
【０００２】
【従来の技術】
近年開発されている建設機械には、車体の現在位置、サービスメータの計時値（累積稼動時間）、車体内で発生したエラーコードの過去の履歴、現在キースイッチがオンされている（ＡＣＣ位置にある）か否かのキースイッチ情報、バッテリの現在の端子電圧のバッテリ端子電圧情報、始動ロックが有効、無効であるかおよび現在設定されている始動ロックの時間帯の始動ロック情報などの車両状態の情報（以下車両状態データ）を収集するコントローラなどの各種コントローラが搭載されている。こうした車載コントローラ内には、ＣＰＵが設けられており、フラッシュメモリなどのＥＥＰＲＯＭ（電気的に消去可能なＲＯＭ）に記憶された車載プログラムにしたがい演算処理を実行し車両状態データの収集、外部との送受信等の処理を行う。たとえば車載のコントローラと外部のサーバとはインターネット等の通信手段を介して通信自在に接続されており、車載コントローラで収集された車両状態データがサーバに送信される。あるいはサービスマンが建設機械まで出向き車載コントローラにパーソナルコンピュータを接続して車両状態データをパーソナルコンピュータに取り込む。
【０００３】
車載プログラムをバージョンアップした場合や車両ごとにエラーコード生成、異常判断のためのしきい値等を変更したい場合には、上記フラッシュメモリに記憶された旧い車載プログラムを新しい車載プログラムに書き換える必要がある。
【０００４】
（従来技術１）
特許文献１（特開平１０−２１２７３９号公報）には、建設機械に関し、その稼動データ収集用のコントローラを設けるとともに、遠隔地にサーバとして機能もつ監視装置を設けて、これら稼動データ収集用コントローラと監視装置とを通信装置によって接続して、監視装置からの要求に応じて稼動データ収集用コントローラ内の稼動データ処理プログラムを書き換えるという発明が記載されている。通常運用時には建設機械内の稼動データ収集用コントローラは、稼動データ処理プログラムにしたがい稼動データを収集しこれを処理して、監視装置からの要求に応じて、処理した稼動データを監視装置に送信する。書き換え時には監視装置から新しい稼動データ処理プログラムが建設機械に送信され、建設機械内の稼動データ収集用コントローラで旧い稼動データ処理プログラムが新しい稼動データ処理プログラムに書き換えられる。
【０００５】
【発明が解決しようとする課題】
車載コントローラ内のＲＡＭなどの素子に欠損などの不良等の異常があると、遠隔地にあるサーバ（監視装置）からリモートで建設機械内の車載プログラムを書き換えている途中で、車載コントローラ自体が機能しなくなり、通常運用時に車両状態データの収集が不可能になるおそれがある。特に車載コントローラは、車載プログラムにしたがい始動ロック回路に対して始動ロック解除指令を出力する機能を備えているが、車載コントローラが機能しなくなると始動ロックを解除できなくなる。建設機械５０は過酷な状況で稼動されることが多く、たとえば建設機械の周囲が崖であったり周囲に倒壊物があるような状況下で始動ロック解除が不可能になると、危険に晒されることになる。また始動ロック状態のまま車載コントローラが機能しなくなると、サービスマンが現地まで出向き車載コントローラを交換するなどしなければ移動できないため、稼動率が大幅が損なわれる。
【０００６】
また建設機械５０は僻地等で稼動することが多く、建設機械５０が稼動する場所によっては、通信が途絶えるなどして書き換え処理が正常に終了しなくなるおそれがある。
【０００７】
この点、上記特許文献１には、書き換え処理にあたり上述した不具合を事前に回避することについては何ら記載されていない。
【０００８】
本発明は、こうした実状に鑑みてなされたものであり、書き換え処理にあたり車両状態を事前にチェックすることにより、書き換え処理が正常に終了しなくなる事態や危険な状態になることを事前に回避することを解決課題とするものである。
【０００９】
【課題を解決するための手段および作用、効果】
第１発明は、
サーバと車両内の情報収集コントローラとが通信手段によって相互に通信可能に接続された車載プログラムの書き換え制御システムであって、
車両内では、情報収集コントローラとエンジンコントローラとが相互に通信可能に接続されており、
車両内には、エンジンの始動をロックする始動ロック回路が組み込まれ、エンジンコントローラから始動ロック設定指令が始動ロック回路に出力されると、始動ロック設定状態になり、エンジンコントローラから始動ロック解除指令が始動ロック回路に出力されると、始動ロック解除状態になるように構成されており、
情報収集コントローラ内には、始動ロック設定状態であるか始動ロック解除状態であるかを示す始動ロック情報を含む車両状態データと、車両状態データを生成する演算処理を行う車載プログラムと、車載プログラムを書き換える書き換え制御プログラムが記憶されており、情報収集コントローラは、車載プログラムにしたがい演算処理を行い、始動ロック設定指令または始動ロック解除指令をエンジンコントローラに出力するとともに、書き換え制御プログラムにしたがい演算処理を行い車載プログラムを書き換える書き換え処理を行うものであり、
サーバから車載プログラムを書き換える書き換え指令が通信手段を介して送信されて情報収集コントローラに取り込まれると、これを受けて車両状態データが情報収集コントローラから通信手段を介して送信されてサーバに取り込まれ、
サーバは、車両状態データのうち少なくとも始動ロック情報をチェックし、始動ロック設定状態である場合には、書き換え処理は不可能と判断し、情報収集コントローラで書き換え処理を実行させない指令を、通信手段を介して送信し情報収集コントローラに与える こと
を特徴とする。
【００１０】
第２発明は、第１発明において、
車両状態データには、始動ロック情報以外に、車両が稼動中であるかないかを示すデータが含まれ、
サーバは、車両状態データをチェックし、車両が稼動中である場合には、書き換え処理は不可能と判断し、情報収集コントローラで書き換え処理を実行させない指令を、通信手段を介して送信し、情報収集コントローラに与えること
を特徴とする。
【００１４】
本発明は、サーバ３からの要求に応じて車両５０内の車載プログラム６０を通信手段を介してリモートで書き換える場合に適用される。本発明によれば、書き換え処理にあたり車両状態データを事前にチェックするようにしたので、書き換え処理が正常に終了しなくなる事態や危険な状態になることを事前に回避することができる。
【００１５】
特に本発明では、車両５０内のデータとマスターファイル６′に格納されたデータとの一致、不一致を検証でき、その結果に応じてその後の処理を適切に判断することができる（図７のステップ３０５、３０６）。
【００１６】
また特に本発明では、車両５０が始動ロック状態のまま移動不可能となる事態を回避できるので、更に稼働率が低下する事態を事前に回避できるという効果が得られる。
【００１７】
【発明の実施の形態】
図１は実施形態の全体の装置構成を示している。なお以下の実施形態では車両として建設機械５０を想定し、この建設機械５０内の車載プログラム６０を書き換え専用サーバ３からの要求に応じてリモートで書き換える場合を想定する。
【００１８】
本実施形態のシステムでは、建設機械５０が通常運用サーバ２、書き換え専用サーバ３とにそれぞれ通信手段（無線通信１１、アンテナ１０、専用線９、地上波基地局８、専用線１４、１５）より相互に送受信自在に接続されている。
【００１９】
通常運用サーバ２は、イントラネット４の中に位置し、インターネット７に接続している。これにより通常運用サーバ２は、インターネット７、イントラネット４の各クライアント端末のサーバとして機能する。この通常運用サーバ２には、ネットワーク中の自己を識別するＩＤ（サーバ識別ＩＤ）であるＩＰアドレス「ＩＤ１」が付与されている。建設機械５０には通常運用サーバ２と通信可能な後述する通信端末（通信コントローラ３０）が搭載されており、この通信端末にはサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ３」が付与されている（図１０参照）。
【００２０】
書き換え専用サーバ３は、イントラネット５の中に位置し、インターネット７に接続している。これにより書き換え専用サーバ３は、インターネット７、イントラネット５の各クライアント端末のサーバとして機能する。この書き換え専用サーバ３には、ネットワーク中の自己を識別するＩＤ（サーバ識別ＩＤ）であるＩＰアドレス「ＩＤ２」が付与されている。建設機械５０には書き換え専用サーバ３と通信可能な後述する通信端末（通信コントローラ３０）が搭載されており、この通信端末にはサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ４」が付与されている（図１０参照）。
【００２１】
他の建設機械とサーバとの対応関係も同様である。
【００２２】
図１０は複数の建設機械５０、５０ａ、５０ｂ…と通常運用サーバ２、書き換え専用サーバ３との対応関係を示している。
【００２３】
建設機械５０ａ内の通信端末には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ５」が付与されているとともに、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ６」が付与されている。
【００２４】
また建設機械５０ｂ内の通信端末には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応するＩＰアドレス「ＩＤ７」が付与されているとともに、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応するＩＰアドレス「ＩＤ８」が付与されている。
【００２５】
各ＩＤ１、ＩＤ３、ＩＤ５、ＩＤ７…で特定されるサーバ、通信端末は１つのイントラネット４を構成している。
【００２６】
また各ＩＤ２、ＩＤ４、ＩＤ６、ＩＤ８…で特定されるサーバ、通信端末は１つのイントラネット５を構成している。
【００２７】
建設機械５０の車体内には、パケットデータ通信用の無線機を内蔵した通信コントローラ３０が設けられている。通信コントローラ３０のアンテナ３１と地上波用のアンテナ１０との間でパケット通信による無線通信１１が行われる。アンテナ１０は専用線９を介して地上波基地局８に接続している。地上波基地局１０は、たとえば携帯電話基地局である。地上波基地局１０は、専用線１４、１５を介してイントラネット４、５にそれぞれ接続している。
【００２８】
建設機械５０の車体内には、通信コントローラ３０以外に情報収集コントローラ２０、エンジンコントローラ４０等の各コントローラが設けられており、これら各コントローラは、所定の通信プロトコルにしたがって通信が行われる車体内通信回線５１によって相互に通信可能に接続されている。
【００２９】
建設機械５０の車体の各部には、エンジン５７の冷却水、バッテリ５３の電圧、ＧＰＳセンサなどが配設されており、これら各センサはセンサ群５２を構成している。なおＧＰＳセンサはＧＰＳ衛星から送信される電波を受信して、自己の建設機械５０の絶対位置を検出する。また建設機械５０の車体内には、カレンダ、タイマが設けられている。カレンダ、タイマは、年、月、日、時刻（時、分、秒）を計時する。また建設機械５０の車体内にはサービスメータＳＭＲが設けられている。サービスメータＳＭＲはエンジン５７の累積稼動時間を計時する。
【００３０】
情報収集コントローラ２０内では、バス線２４を介して、ＣＰＵ２１とフラッシュメモリ２２とＲＡＭ（随時書き込み読み出しメモり）２３とが相互にデータの入出力が自在に接続されている。なおフラッシュメモリ２２は、ＥＥＰＲＯＭ（電気的に消去可能なＲＯＭ）の一種である。またＲＡＭ２３の代わりにフラッシュメモリなどのＥＥＰＲＯＭを用いてもよい。フラッシュメモリ２２の所定記憶領域には、後述するように、車載プログラム６０が記憶されている。またフラッシュメモリ２２の所定記憶領域には、後述するように車載プログラム６０を書き換える書き換え処理を行う書き換え制御プログラム６１記憶されている。
【００３１】
ＣＰＵ２１は車載プログラム６０にしたがい演算処理を行い、車両状態データを生成する。車両状態データはＲＡＭ２３のデータ領域に記憶される。
【００３２】
たとえば始動ロックが有効と設定されている場合には、カレンダ、タイマの計時値等を取り込んで、設定された始動ロック時間帯になると始動ロック設定指令を出力して後述する始動ロックを行い始動ロック時間帯外の時間になると始動ロック解除指令を出力する処理を行う。
【００３３】
ＲＡＭ２３のデータ領域には、以下のような車両状態データが記憶される。
【００３４】
・自己のＩＰアドレス（ＩＤ３、ＩＤ４）
・車載プログラム６０の現在のバージョン
・通信端末（通信コントローラ３０）の開局検査が完了したという開局検査完了情報
・建設機械５０の機種、型式、機番
・サービスメータＳＭＲの計時値（累積稼動時間）
・バッテリ５３の現在の端子電圧（バッテリ端子電圧情報）
・冷却水の温度
・ＧＰＳセンサで検出された自己の車両の現在の絶対位置（絶対位置情報）
・車体内で発生したエラーコードの履歴
・現在キースイッチ５４がオンされている（ＡＣＣ位置にある）か否かを示すキースイッチ情報
・現在始動ロックが有効か無効であるか、現在設定されている始動ロックの時間帯などの始動ロック情報
バス線２４は情報収集コントローラ２０外のサービスメータＳＭＲ、センサ群５２にインターフェースを介して接続しており、またバス線２４はコントローラ２０外の車体内通信回線５１にインターフェースを介して接続している。
【００３５】
なお本実施形態では、通信コントローラ３０と情報収集コントローラ２０とを別体にして、通信端末である通信コントローラ３０のＩＰアドレス「ＩＤ３」、「ＩＤ４」を情報収集コントローラ２０に設定しているが、通信端末としての通信コントローラ３０と情報収集コントローラ２０の機能を１つのコントローラで達成するように構成してもよい。
【００３６】
建設機械５０の車体内には、始動ロック回路５５が組み込まれている。
【００３７】
この始動ロック回路５５はリレー等で構成されキースイッチ５４と、エンジン５７を始動するスタータ５６との間に介在されている。スタータ５６の電源は車載のバッテリ５３であり、このバッテリ５３は各コントローラ２０、３０、４０の電源でもある。
【００３８】
始動ロック設定指令がエンジンコントローラ４０から出力されると、始動ロック回路５５のリレーが付勢されて始動ロック設定状態になる。すなわちキースイッチ５４がオン（ＡＣＣ位置）されたとしても、バッテリ５３の端子電圧がスタータ５６には印加されなくなる。これによりスタータ５６が作動不能の状態となりエンジン５７を始動することができなくなる。これに対してエンジンコントローラ４０から始動ロック解除指令が出力されると始動ロック回路５５のリレーが消勢されて始動ロック解除状態になる。すなわちキースイッチ５４をオン（ＡＣＣ位置）にすることによってスタータ５６が作動してエンジン５７を始動することができる。上記始動ロック設定指令、始動ロック解除指令は、車載プログラム６０にしたがい情報収集コントローラ２０から車体内通信回線５１を介してエンジンコントローラ４０に与えられる。始動ロック設定指令、始動ロック解除指令は、現在始動ロックが「有効」と設定されている場合に、情報収集コントローラ２０から出力される。なお始動ロック時間帯に入ったか否かは情報収集コントローラ２０内のカレンダ、タイマの計時値に基づき判断される。
【００３９】
またキースイッチ５４がオンされた（ＡＣＣ位置にある）という情報は、エンジンコントローラ４０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。
【００４０】
・サーバの切り換え制御
通常運用サーバ２は、建設機械５０を含む複数の建設機械内の車両状態データを管理している。
【００４１】
書き換え専用サーバ３は、車載プログラム６０の書き換えをリモートで行うサーバである。
【００４２】
通常運用サーバ２は、マスターファイル６を備えている。通常運用サーバ２に取り込まれた最新の車両状態データはマスターファイル６に格納される。
【００４３】
一方、書き換え専用サーバ３は、マスターファイル６′を備えている。通常運用サーバ２内のマスターファイル６の記憶データは、インターネット７を介して書き換え専用サーバ３内に取り込まれ、マスターファイル６と同記憶内容つまり「レプリカ」としてのマスターファイル６′が作成される。
【００４４】
つぎに図８を併せ参照して建設機械５０がいずれのサーバと接続を確立するかその接続切り換えの制御について説明する。
【００４５】
初期状態では、建設機械５０の車載コントローラ２０には、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「有効」と設定されており、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「無効」と設定されている（通常運用モード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ３」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる。
【００４６】
通常運用サーバ２から建設機械５０の車両状態データを要求する指令が、専用線１４、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信されると、建設機械５０のアンテナ３１で受信され、このデータは通信コントローラ３０に取り込まれる。通常運用サーバ２から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ１」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ３」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ１」が含まれているので、両者は対応している（「ＩＤ１」、「ＩＤ３」であり同一ネットワークである）と判断して、通信接続を確立し、建設機械５０側から車両状態データの送信が可能な状態にする（図８のステップ４０１の判断ＹＥＳ）。
【００４７】
このため車両状態データを要求する指令が通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。たとえば現在のサービスメータＳＭＲの計時値を要求する指令が情報収集コントローラ２０内に取り込まれると、ＲＡＭ２３のデータ領域に記憶されている現在のサービスメータＳＭＲの計時値が情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０内に取り込まれ、通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１４を介して通常運用サーバ２に取り込まれる。
【００４８】
また始動ロックの有効、無効、始動ロック時間帯という始動ロック情報を設定する指令が通常運用サーバ２から建設機械５０に送信された場合についても同様にして、情報収集コントローラ２０に指令された始動ロック情報が設定される。
【００４９】
なお通常運用サーバ２の各クライアント端末から通常運用サーバ２を介して建設機械５０に対して同様な指令を与えるようにしてもよい。
【００５０】
また建設機械５０で特定の異常が発生したり、特定の時刻になるなど特定のイベントが発生した場合には、そのイベント発生時点でＲＡＭ２３に記憶されている異常内容や定期的に送信すべき車両状態データなどが情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０内に取り込まれ、通信コントローラ３０のアンテナ３１から無線通信１１として送信される（自動発信）。自動発信された車両状態データは、アンテナ１０、専用線９、地上波基地局８、専用線１４を介して通常運用サーバ２に取り込まれる。
【００５１】
通常運用サーバ２に取り込まれた建設機械５０の車両状態データは、通常運用サーバ２に属するネットワーク、つまりインターネット７、イントラネット４に接続されている各クライアント端末から通常運用サーバ２にアクセスすることにより各クライアント端末の表示画面に表示される。
【００５２】
通常運用サーバ２に取り込まれた最新の車両状態データはマスターファイル６に格納されるとともに、インターネット７を介してマスターファイル６′に格納される（図８のステップ４０５）。
【００５３】
車載プログラム６０をバージョンアップした場合や建設機械ごとにエラーコード生成や異常判断のためのしきい値等を変更したい場合には、上記フラッシュメモリ２２に記憶されている旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられる。なお以下の説明では旧い車載プログラム６０にダッシュを付与して新しい車載プログラム６０と区別する。
【００５４】
書き換え専用サーバ３から建設機械５０の車載プログラム６０を書き換える指令が専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信されると、建設機械５０のアンテナ３１で受信され、このデータは通信コントローラ３０内に取り込まれる。
【００５５】
書き換え専用サーバ３から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ２」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ３」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ２」が含まれているので、両者は対応していない（「ＩＤ２」、「ＩＤ３」であり同一のネットワークではない）と判断して、通信接続を切断する（図８のステップ４０１の判断ＮＯ）。
【００５６】
識別ＩＤが不一致により通信接続が切断されたという情報は通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０では、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「有効」に切り換えられ、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「無効」に切り換えられる（書き換えモード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ４」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる（図８のステップ４０２）。
【００５７】
書き換え専用サーバ３は、通信接続が切断されたことを受けて書き換え指令を建設機械５０に対して再度送信する。書き換え専用サーバ３から送信されるデータ中には、サーバ識別ＩＤ「ＩＤ２」を含んでいる。通信コントローラ３０では現在ＩＰアドレス「ＩＤ４」が設定されており、受信したデータにはサーバ識別ＩＤ「ＩＤ２」が含まれているので、両者は対応している（「ＩＤ２」、「ＩＤ４」であり同一ネットワークである）と判断して、通信接続を確立する（図８のステップ４０３の判断ＹＥＳ）。
【００５８】
以後、一定の条件をクリアすることを前提として、書き換え専用サーバ３からの指令に応じて情報収集コントローラ２０で車載プログラム６０を書き換える処理が行われる（図８のステップ４０４）。
【００５９】
以上のように本実施形態によれば、建設機械５０と通常運用サーバ２、書き換え専用サーバ３といった各サーバとの間で通信接続を切り換えることができる。このため図１０に示すように多数の建設機械５０、５０ａ、５０ｂ…が存在する場合に、ある建設機械と通常運用サーバ２との通信接続を確立して通常運用処理を行いつつ、これと並行して他の建設機械と書き換え専用サーバ３との通信接続を確立して書き換え処理を行うことができる。このためサーバに高い負荷がかかったりデータ量の大きいプログラムの送信によって通信路が占有されることがなくなり、サーバと多数の建設機械との間でデータの送受信が安定して行われる。
【００６０】
書き換え専用サーバ３からの指令に応じて車載プログラム６０を書き換える処理の手順は図２に示される。
【００６１】
・通常運用モードへの復帰制御
同図２に示すように、図８のステップ４０３で建設機械５０と書き換え専用サーバ３との間で通信接続が確立すると（図２のステップ１０１）、情報収集コントローラ２０でタイマがセットされ、タイマタスクが実行される（ステップ１０２、１０８、１０９）。
【００６２】
ここでタイマのセット時間は、書き換え処理に要する時間に余裕を見込んだ時間Ｔに設定される。
【００６３】
情報収集コントローラ２０はマルチタスクで動作しておりタイマタスクは他タスクつまり書き換えタスク（ステップ１０３〜１０７）とは独立して動作する。このため他タスクが暴走したとしてもタイマタスクが確実に動作して自己リセット処理により旧車載プログラム６０′を起動させることが可能になる（ステップ１０９）。
【００６４】
書き換えタスク（ステップ１０３〜１０７）が正常に終了した場合には、タイマはセット時間Ｔが経過する前にクリアされ、新しい車載プログラム６０に書き換えられる。
【００６５】
これに対して書き換えタスク（ステップ１０３〜１０７）の途中で通信異常やハングアップが発生すると、タイマのセット時間Ｔを超えても書き換え処理が終了しないことになり（ステップ１０８の判断ＹＥＳ）、リセット処理を実行し、旧い車載プログラム６０′が起動される。
【００６６】
更に建設機械５０とサーバとの通信状態が書き換えモードから通常運用モードに切り換えられる。すなわち情報収集コントローラ２０では、書き換え専用サーバ３のサーバ識別ＩＤ「ＩＤ２」に対応する自己のＩＰアドレス「ＩＤ４」が「無効」に復帰され、通常運用サーバ２のサーバ識別ＩＤ「ＩＤ１」に対応する自己のＩＰアドレス「ＩＤ３」が「有効」に復帰される（通常運用モード）。情報収集コントローラ２０で「有効」と設定された自己のＩＰアドレスのデータ「ＩＤ３」は、情報収集コントローラ２０から車体内通信回線５１を介して通信コントローラ３０内に取り込まれる。このため以後通常運用サーバ２と建設機械５０との間での通信接続が可能となり通常運用処理を行うことができる（ステップ１０９）。
【００６７】
以上のように本実施形態によれば、書き換え処理を行っている途中に通信異常やハングアップなどの異常が発生した場合であっても確実に旧い車載プログラム６０′を起動させて情報収集コントローラ２０の機能を維持することができる。このため通常の運用処理を確実に行うことができ情報収集コントローラ２０が機能しなくなることによる作業効率低下を防止することができる。またタイマのセット時間Ｔが経過すれば書き換えモードから通常運用モードに移行するので、書き換え処理のための通信によって通信路が長時間占有されることが回避され通常の運用処理のための通信を確保して通常の運用処理に支障を来さないようにすることができる。
【００６８】
・車両状態データのチェック処理
図２のステップ１０１で書き換え専用サーバ３と建設機械５０の通信コントローラ３０との通信接続が確立されると、書き換え専用サーバ３から送信されてきた書き換え指令が通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。
【００６９】
情報収集コントローラ２０が書き換え指令を受けると、つぎのステップ１０３で、まず現在の車両状態データをチェックする処理が実行され、更につぎのステップ１０４で、チェック結果に応じて車載プログラム６０の書き換え処理を実行すべきか否か（書き換え処理が可能か否か）の判断処理が実行される。
【００７０】
ステップ１０３、１０４のチェック処理、判断処理は、書き換え専用サーバ３で行われる。すなわち情報収集コントローラ２０は書き換え指令を受けると、チェックすべき車両状態データを情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０に送信する。このためチェックすべき車両状態データは通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。
【００７１】
書き換え専用サーバ３は、受信した車両状態データをチェックし、つぎの条件がすべて満たされていることを条件として、書き換え処理を実行すべきと判断する。
【００７２】
１）始動ロック中ではないこと
２）建設機械５０が稼動中ではないこと
３）現在の旧い車載プログラム６０′が書き換え対象のバージョンであること
上記１）の「始動ロック中ではないこと」を書き換え処理の実行の条件としたのは、書き換え処理の途中で情報収集コントローラ２０が機能しなくなるおそれがあり、情報収集コントローラ２０が機能しなくなることにより始動ロックを解除する指令を出力できなくなるおそれがあるからである。建設機械５０は過酷な状況で稼動されることが多く、たとえば建設機械の周囲が崖であったり周囲に倒壊物があるような状況下で始動ロック解除が不可能になると、危険に晒されることになる。
【００７３】
「始動ロック中ではないこと」は、情報収集コントローラ２０に記憶されている始動ロック情報に基づき判断される。たとえば始動ロックが「無効」に設定されている場合、始動ロックが「有効」かつ現在の時刻が始動ロック時間帯外である場合に、「始動ロック中ではない」と判断される。
【００７４】
上記２）の「建設機械５０が稼動中ではないこと」を書き換え処理の条件としたのは、稼動中の建設機械５０に新しい車載プログラム６０を送信中に、稼動状態によっては（たとえば走行中）通信が途絶えたり通信が不安定になり、書き換え処理が正常に終了しないおそれがあるからである。
【００７５】
「建設機械５０が稼動中ではないこと」は、情報収集コントローラ２０に記憶されているキースイッチ情報に基づき判断される。たとえばキースイッチ５４がオフされている（ＡＣＣ位置オフ）である場合に、「建設機械５０が稼動中ではない」と判断される。なお建設機械５０が稼動中であるか否かは、オルタネータの端子電圧を検出したり、エンジン５７の回転数を検出したりすることによっても、判断することができる。
【００７６】
上記３）の「現在の旧い車載プログラム６０′が書き換え対象のバージョンであること」を条件としたのは、当然に書き換え処理を行う必要がないからである。前述したように現在の車載プログラムのバージョンは、車両状態データとして情報収集コントローラ２０に記憶されている。
【００７７】
そのほかに以下の条件を適宜加えるようにしてもよい。
【００７８】
４）開局検査が完了した通信端末（通信コントローラ３０）であること
５）バッテリ端子電圧が正常範囲であること
６）建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること
上記４）の「開局検査が完了した通信端末（通信コントローラ３０）であること」を条件としたのは、サーバ側で建設機械５０を管理する準備ができていないからである。
【００７９】
上記５）の「バッテリ端子電圧が正常範囲であること」を条件としたのは、バッテリ５３の端子電圧が正常範囲から外れていると、情報収集コントローラ２０のＣＰＵ２１を安定して動作することができず書き換え処理が正常に終了しないおそれがあるからである。「バッテリ端子電圧が正常範囲であること」は情報収集コントローラ２０に記憶されているバッテリ端子電圧情報に基づき判断される。
【００８０】
上記６）の「建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること」を条件としたのは、建設機械５０に新しい車載プログラム６０を送信中に、通信が途絶えたり通信が不安定になり、書き換え処理が正常に終了しないおそれがあるからである。またコントローラが機能しなくなったとしても建設機械５０の安全が確保されるからである。「建設機械５０が無線通信１１を安定して行える場所や安全な場所に位置していること」は情報収集コントローラ２０に記憶されている絶対位置情報に基づき判断される。
【００８１】
なお上記条件１）〜６）がすべて満たされることを書き換え処理実行の条件とするのではなく、これら１）〜６）のうちいずれか１つあるいは２以上の組合せを書き換え処理実行の条件としてもよい。
【００８２】
書き換え専用サーバ３は、情報収集コントローラ２０に記憶されている車両状態データを参照して書き換え処理実行の可否を判断するようにしているが、マスターファイル６′には、建設機械５０の最新の車両状態データが格納されているので、マスターファイル６′に格納されている車両状態データを参照して書き換え処理実行の可否を判断してもよい。また情報収集コントローラ２０に記憶されている車両状態データとマスターファイル６′に格納されている車両状態データを併せ参照して書き換え処理実行の可否を判断してもよい。
【００８３】
図７は、情報収集コントローラ２０に記憶されている車両状態データとマスターファイル６′に格納されている車両状態データを併せ参照する場合に、両者のデータを検証する処理の手順を示している。
【００８４】
すなわち書き換え専用サーバ３と建設機械５０の通信コントローラ３０との通信接続が確立されると（ステップ３０１）、建設機械５０より、情報収集コントローラ２０内部のチェックすべき車両状態データが書き換え専用サーバ３に送信され、書き換え専用サーバ３で取得される（ステップ３０２）。一方書き換え専用サーバ３はマスターファイル６′を参照して同じチェックすべき車両状態データを取得している。そこでマスターファイル６′を参照して予め取得しておいた車両状態データと情報収集コントローラ２０内部より取得された車両状態データとを比較して（ステップ３０３）、両者が同一であるか否かが判断される。たとえば始動ロック情報についてマスターファイル６′のデータと情報収集コントローラ２０内部のデータとが同一であるかが判断される（ステップ３０４）。
【００８５】
この結果両者が同一である場合には（ステップ３０４の判断Ｙ）、図２のステップ１０３のチェック処理が実行され、更に図２のステップ１０４の書き換え可否判断処理が実行されることになる（ステップ３０５）。しかし両者が同一でない場合には（ステップ３０５の判断Ｎ）、以降のチェック処理、書き換え可否判断処理を中断して、データが異なる原因を解析する処理が実行される（ステップ３０６）。
【００８６】
書き換え専用サーバ３が、書き換え処理を実行すべきと判断した場合には（図２のステップ１０４の判断ＹＥＳ）、書き換え専用サーバ３から建設機械５０にその旨のデータが送信されて、以後情報収集コントローラ２０で旧い車載プログラム６０′を新しい車載プログラム６０に書き換える実行されることになる（ステップ１０５、１０６、１０７）。しかし書き換え専用サーバ３が、書き換え処理を実行すべきでないと判断した場合には（図２のステップ１０４の判断ＮＯ）、書き換え専用サーバ３から建設機械５０にその旨のデータが送信されて情報収集コントローラ２０に取り込まれる。情報収集コントローラ２０はこれを受けて、タイマがセット時間Ｔを超えた場合と同様に、リセット処理を実行し、旧い車載プログラム６０′を起動させる。更に建設機械５０とサーバとの通信状態が書き換えモードから通常運用モードに切り換えられる。このため以後通常運用サーバ２と建設機械５０との間での通信接続が可能となり、通常運用処理を行うことができる（ステップ１０９）。
【００８７】
以上のように本実施形態によれば、書き換え処理にあたり車両状態データを事前にチェックするようにしたので、書き換え処理が正常に終了しなくなる事態や危険な状態になることを事前に回避することができる。特に始動ロック状態のまま情報収集コントローラ２０が機能しなくなる事態を回避できるので、稼働率が低下する事態を事前に回避することができる。
【００８８】
・書き換え処理（車両状態データの退避処理）
つぎに図２に図３を併せ参照して、図２のステップ１０５、１０６、１０７の書き換え処理について説明する。図３（ａ）〜（ｆ）はフラッシュメモリ２２、ＲＡＭ２３の状態の遷移を示している。
【００８９】
このうち図３（ａ）は書き換え前のフラッシュメモリ２２、ＲＡＭ２３の状態を示している。同図３（ａ）に示すように、フラッシュメモリ２２のプログラム領域には、車載プログラム６０′が記憶されている。なおフラッシュメモリ２２の図示していない記憶領域には書き換え制御プログラム６１が記憶されている。
【００９０】
書き換え制御プログラム６１は、旧い車載プログラム６０′を新しい車載プログラム６０に書き換える処理を行うプログラムである。
【００９１】
ＲＡＭ２３はワーク領域２３ａ、２３ｃと車両状態データ６０ｄが記憶されているデータ領域２３ｂとからなる。ワーク領域２３ａ、２３ｃは空容量の領域である。
【００９２】
書き換え専用サーバ３が、書き換え処理を実行すべきと判断した場合には（図２のステップ１０４の判断ＹＥＳ）、書き換え専用サーバ３からその旨のデータが専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信され、建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｂ）に示すようにＲＡＭ２３のデータ領域２３ｂから車両状態データ６０ｄを読み出し、これを情報収集コントローラ２０から車体通信回線５１を介して通信コントローラ３０に送信する。このため車両状態データ６０ｄは通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。
【００９３】
書き換え専用サーバ３は、車両状態データ６０ｄをサーバ３内の所定の記憶媒体に記憶させ退避させる（図２のステップ１０５）。
【００９４】
書き換え専用サーバ３に車両状態データ６０ｄが退避されると、書き換え専用サーバ３から新しい車載プログラム６０が専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信され、建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｃ）に示すように、受信した新しい車載プログラム６０をＲＡＭ２３のテンポラリ領域２３ｄに一時的にバッファする。このテンポラリ領域２３ｄは、ワーク領域２３ａ、２３ｃのみならずデータ領域２３ｂを含んでいる。すなわち新しい車載プログラム６０の容量はＲＡＭ２３全体の領域に相当する程度に大きい場合が多いが、車両状態データ６０ｄを退避させてデータ領域２３ｂを新しい車載プログラム６０のバッファ領域として使用することができるようになったので、確実にＲＡＭ２３上に大容量の新しい車載プログラム６０をバッファすることができるようになる。
【００９５】
なおフラッシュメモリ２２に記憶されている書き換え制御プログラム６１はＲＡＭ２３の所定の記憶領域にコピーされ、これによりコピーされたＲＡＭ２３上の書き換え制御プログラム６１にシステム制御権が移され、フラッシュメモリ２２は書き換えモードとなる。このため以後図３（ｄ）に示すように、ＲＡＭ２３上の書き込み制御プログラム６１にしたがい、フラッシュメモリ２２上の旧い車載プログラム６０′がＲＡＭ２３上の新しい車載プログラム６０によって書き換えられる。すなわちＲＡＭ２３のテンポラリ領域２３ｄにバッファされている新しい車載プログラム６０をＣＲＣチェックした後、この新しい車載プログラム６０がフラッシュメモリ２２のプログラム領域、つまり旧い車載プログラム６０′が記憶されている領域にコピーされ、旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられる（図２のステップ１０６）。
【００９６】
図３（ｅ）に示すように新しい車載プログラム６０がフラッシュメモリ２２にコピーされると、情報収集コントローラ２０からその旨のデータが車体通信回線５１を介して通信コントローラ３０に送信され、更に通信コントローラ３０のアンテナ３１から無線通信１１として送信され、アンテナ１０、専用線９、地上波基地局８、専用線１５を介して書き換え専用サーバ３に取り込まれる。
【００９７】
書き換え専用サーバ３は、これを受けて、記憶媒体に退避されていた車両状態データ６０ｄを専用線１５、地上波基地局８、専用線９、アンテナ１０を介して無線通信１１として建設機械５０に送信する。車両状態データ６０ｄは建設機械５０のアンテナ３１で受信され、通信コントローラ３０から車体内通信回線５１を介して情報収集コントローラ２０内に取り込まれる。これを受けて情報収集コントローラ２０のＣＰＵ２１は、図３（ｆ）に示すように、受信した車両状態データ６０ｄをＲＡＭ２３の元のデータ領域２３ｂに書き込み戻す処理を行う（ステップ１０７）。
【００９８】
なお書き換え処理が終了するとＣＰＵ２１は自己リセット処理を行う。このためシステム制御権がフラッシュメモリ２２に移され、フラッシュメモリ２２が通常モードになり、フラッシュメモリ２２のプログラム領域に記憶されている新しい車載プログラム６０が起動する。
【００９９】
ところで、旧い車載プログラム６０′が新しい車載プログラム６０に書き換えられると、車両状態データ６０ｄのアドレスが変更されることがある。そこで書き換え専用サーバ３に車両状態データ６０ｄが退避されている間に、新しい車載プログラム６０に対応するように車両状態データ６０ｄのアドレスを変更するなど、車両状態データ６０ｄを書き換える処理を行い、書き換えられた車両状態データ６０ｄを、ＲＡＭ２３の元のデータ領域２３ｂに書き込み戻すようにしてもよい。
【０１００】
以上のように本実施形態によれば、サービスメータＳＭＲの計時値（累積稼動時間）や車体内で発生した過去のエラー履歴など、書き換え処理にあたってリセットされてはならない継承したい車両状態データ６０ｄを、書き換え処理の際に、ＲＡＭ２３のデータ領域２３ｂから書き換え専用サーバ３の記憶媒体に退避させておき書き換え処理終了後に、元のデータ領域２３ｂに書き込み戻すようにしたので、継承したい車両状態データ６０ｄを、情報収集コントローラ２０のメモリ上に確実に残すことができる。また車両状態データ６０ｄを退避させた後のデータ領域２３ｂを、新しい車載プログラム６０のバッファ領域として使用するようにしたので、情報収集コントローラ２０内の小容量のメモリ上で大容量の車載プログラム６０を確実にバッファでき、書き換え処理を確実に行わせることができる。
【０１０１】
上述した実施形態では、車両状態データ６０ｄを建設機械５０の外部の書き換え専用サーバ３の記憶媒体に退避させるようにしているが、書き換え処理の際に別の記憶領域あるいは別の記憶媒体に車両状態データ６０ｄを退避できればよく、建設機械５０の内部で退避させるようにしてもよい。
【０１０２】
図５は同じＲＡＭ２３上の別の記憶領域に車両状態データ６０ｄを退避させる場合のメモリの状態遷移を示している。以下図５を図６のフローチャートを併せ参照して説明する。
【０１０３】
すなわち図５（ａ）に示すようにＲＡＭ２３のデータ領域２３ｂに記憶されている車両状態データ６０ｄは、ＲＡＭ２３の最後尾の記憶領域２３ｅにコピーされ退避される（図６のステップ２０１）。つぎに図５（ｂ）に示すように、データ領域２３ｂを含むテンポラリ領域２３ｄに、書き換え専用サーバ３から受信した新しい車載プログラム６０が一時的にバッファされる（図６のステップ２０２）。
【０１０４】
つぎに図５（ｃ）に示すようにＲＡＭ２３のテンポラリ領域２３ｄにバッファされている新しい車載プログラム６０がフラッシュメモリ２２のプログラム領域にコピーされる（図６のステップ２０３）。この書き換え処理後に、ＲＡＭ２３上のテンポラリ領域２３ｄに残されている新しい車載プログラム６０はクリアされる（ステップ２０４）。
【０１０５】
つぎに図５（ｄ）に示すようにＲＡＭ２３の最後尾の記憶領域２３ｅに退避されていた車両状態データ６０ｄが、ＲＡＭ２３の元の正規の位置であるデータ領域２３ｂに書き込み戻される（図６のステップ２０５）。この書き込み戻し後に、ＲＡＭ２３の最後尾の記憶領域２３ｅに残されている車両状態データ６０ｄはクリアされる（ステップ２０６）。
【０１０６】
なお上記ステップ２０４、２０６のクリア処理は必要に応じて行えばよく、クリアしないままプログラム、データを残したままにしておいてもよい。
【０１０７】
図５では同じ記憶媒体であるＲＡＭ２３上の別の記憶領域に車両状態データ６０ｄを退避させるようにしているが、車体内のＲＡＭ２３とは別の記憶媒体に同様にして退避させるようにしてもよい。たとえば図１に示すように、建設機械５０には情報収集コントローラ２０以外に通信コントローラ３０、エンジンコントローラ４０等々のコントローラが備えられている。そこで書き換え処理の際に情報収集コントローラ２０から車体内通信回線５１を介して別のコントローラ内の記憶媒体に車両状態データ６０ｄを退避させておき、書き換え処理終了後に別のコントローラから情報収集コントローラ２０内のＲＡＭ２３上の元のデータ領域２３ｂに車両状態データ６０ｄを書き込み戻すようにしてもよい。
【０１０８】
上述した実施形態では、車両状態データ６０ｄを別の記憶領域に退避させるようにしているが、書き換え処理時に車両状態データ６０ｄがリセットされなければよく、必ずしも別の領域に退避させる必要はない。
【０１０９】
すなわち図４に示すように、ＲＡＭ２３のデータ領域２３ｂを上書きが不可能な領域として設定するとともに、ＲＡＭ２３のテンポラリ領域２３ｄを上書きが可能な領域として設定する。このため書き換え専用サーバ３から送信された新しい車載プログラム６０は、上書き可のテンポラリ領域２３ｂに一時的にバッファされるが、上書き不可のデータ領域２３ｂにはバッファされない。これにより、書き換え処理時にデータ領域２３ｂに記憶されている車両状態データ６０ｄがリセットされてしまう事態を防止できる。
【０１１０】
以上説明した実施形態では、２つのサーバそれぞれで通常運用処理、書き換え処理が行われる場合を想定して説明したが、１つのサーバで通常運用処理、書き換え処理を行わせるようにしてもよい。たとえば通常運用サーバ２で通常運用処理のみならず書き換え処理も行わせるようにしてもよい。
【０１１１】
図９は通常運用サーバ２と建設機械５０との間で通常運用モードと書き換えモードとを切り換える処理を行う処理手順を示している。
【０１１２】
この場合、通常運用サーバ２側のアプリケーションプログラムと建設機械５０側のアプリケーションプログラムとの間の通信プロトコルとして、ＵＤＰとＴＣＰの２つのトランスポート層のプロトコルが用意される。
【０１１３】
このため通常運用サーバ２からＵＤＰの通信プロトコルにしたがってデータが送信されると、建設機械５０側の通信コントローラ３０は、ＵＤＰのアプリケーションプログラムとの接続を確立し、他方のＴＣＰのアプリケーションプログラムとの接続を無効にする（ステップ５０１の判断Ｙ）。これを受けて建設機械５０の通信コントローラ３０は通常運用モードであると判断し、以後情報収集コントローラ２０を介して通常運用処理を実行させる（ステップ５０３）。これに対して通常運用サーバ２からＴＣＰの通信プロトコルにしたがってデータが送信されると、建設機械５０側の通信コントローラ３０は、ＴＣＰのアプリケーションプログラムとの接続を確立し、他方のＵＤＰのアプリケーションプログラムとの接続を無効にする（ステップ５０２の判断Ｙ）。これを受けて建設機械５０の通信コントローラ３０は書き換えモードであると判断し、以後情報収集コントローラ２０を介して書き換え処理を実行させる（ステップ５０４）。
【０１１４】
またサーバを２つ設ける場合に、一方のサーバを主として使用し他方のサーバを予備用のサーバとして使用する実施も可能である。たとえば一方でサーバで通常運用処理と書き換え処理を行うが、このサーバをメンテナンスしている場合などに他方の予備用のサーバを稼動させて通常運用処理と書き換え処理を行わせるようにしてもよい。この場合も２つのサーバと建設機械との間での通信接続の切り換えは、上述した実施形態の方法を適用することができる。
【０１１５】
また本実施形態では、車両として建設機械５０を想定しているが、本発明は一般自動車等、任意の車両の車載プログラムを書き換える場合に適用することができる。
【図面の簡単な説明】
【図１】図１は本実施形態のシステムの全体構成を示す図である。
【図２】図２は実施形態の書き換え処理の手順を示す図である。
【図３】図３（ａ）〜（ｆ）はフラッシュメモリ、ＲＡＭの状態遷移を示す図である。
【図４】図４は上書きが不可のデータ領域を示す図である。
【図５】図５（ａ）〜（ｄ）はフラッシュメモリ、ＲＡＭの状態遷移を示す図である。
【図６】図６はデータを退避する場合の処理手順を示す図である。
【図７】図７はマスターファイルとの間で検証を行う場合の処理手順を示す図である。
【図８】図８はサーバの切換え処理の手順を示す図である。
【図９】図９は、通常運用モードと書き換えモードとの切換え処理の手順を示す図である。
【図１０】図１０はサーバと建設機械の対応関係を示す図である。
【符号の説明】
２ 通常運用サーバ
３ 書き換え専用サーバ
４、５ イントラネット
６、６′ マスターファイル
７ インターネット
８ 地上波基地局
９、１４、１５ 専用線
１０ アンテナ
１１ 無線通信
２０ 情報収集コントローラ
２１ ＣＰＵ
２２ フラッシュメモリ
２３ ＲＡＭ
３０ 通信コントローラ
５０ 建設機械

Claims (2)

1. サーバと車両内の情報収集コントローラとが通信手段によって相互に通信可能に接続された車載プログラムの書き換え制御システムであって、
   車両内では、情報収集コントローラとエンジンコントローラとが相互に通信可能に接続されており、
   車両内には、エンジンの始動をロックする始動ロック回路が組み込まれ、エンジンコントローラから始動ロック設定指令が始動ロック回路に出力されると、始動ロック設定状態になり、エンジンコントローラから始動ロック解除指令が始動ロック回路に出力されると、始動ロック解除状態になるように構成されており、
   情報収集コントローラ内には、始動ロック設定状態であるか始動ロック解除状態であるかを示す始動ロック情報を含む車両状態データと、車両状態データを生成する演算処理を行う車載プログラムと、車載プログラムを書き換える書き換え制御プログラムが記憶されており、情報収集コントローラは、車載プログラムにしたがい演算処理を行い、始動ロック設定指令または始動ロック解除指令をエンジンコントローラに出力するとともに、書き換え制御プログラムにしたがい演算処理を行い車載プログラムを書き換える書き換え処理を行うものであり、
   サーバから車載プログラムを書き換える書き換え指令が通信手段を介して送信されて情報収集コントローラに取り込まれると、これを受けて車両状態データが情報収集コントローラから通信手段を介して送信されてサーバに取り込まれ、
   サーバは、車両状態データのうち少なくとも始動ロック情報をチェックし、始動ロック設定状態である場合には、書き換え処理は不可能と判断し、情報収集コントローラで書き換え処理を実行させない指令を、通信手段を介して送信し情報収集コントローラに与えること
   を特徴とする車載プログラムの書き換え制御システム。
2. 車両状態データには、始動ロック情報以外に、車両が稼動中であるかないかを示すデータが含まれ、
   サーバは、車両状態データをチェックし、車両が稼動中である場合には、書き換え処理は不可能と判断し、情報収集コントローラで書き換え処理を実行させない指令を、通信手段を介して送信し、情報収集コントローラに与えること
   を特徴とする請求項１記載の車載プログラムの書き換え制御システム。

Images