JP2007011734A - 車載制御装置 - Google Patents

Abstract

【課題】無線通信によって得られる書き換え用のデータの取得時期や書き換え実行時期にかかる自由度を高めつつ、それらデータの書き換えにかかる信頼性のさらなる向上を図ることのできる車載制御装置を提供する。
【解決手段】車載制御装置において、電子制御装置１１０〜１３０内のデータの書き換えに際しては、マスタ制御装置１４０がまず、各車両のＶＩＮコード（車両識別コード）や制御プログラムのバージョン情報等を保持、管理している外部の管理センターから書き換え用のデータを無線通信によって取得する。そして、該取得したデータを一時的にメモリ装置１４３に格納するとともに該格納された書き換え用のデータの適正性を判断する。そしてこの結果、メモリ装置１４３に格納されている書き換え用のデータが適正であることを条件に、同書き換え用のデータを用いて電子制御装置１１０〜１３０内のデータを書き換える。
【選択図】 図２

Description

この発明は、車載機器を制御するための制御プログラムや制御データ等のデータが書き換え（リプログラミング）可能に構成された車載制御装置に関し、特に無線通信によって外部から得られる書き換え用のデータに基づいて同書き換えが実行される車載制御装置に関する。

従来、この種の車載制御装置としては、例えば特許文献１に記載の車載制御装置が知られている。
すなわち、この車載制御装置では、各車両のＶＩＮコード（車両識別コード）や制御プログラムのバージョン情報等を保持、管理している外部の管理センターとの間で無線通信による情報の授受を行う。そして、この管理センターから無線送信によって取得される書き換え用のデータに基づいて不揮発性メモリの書き換え可能な領域に格納されている制御プログラムや制御データの書き換えを実行する。しかも、この特許文献１に記載の車載制御装置では、それら制御プログラムや制御データの書き換えにかかる信頼性を維持すべく、上記書き換え用のデータの無線通信に際し、上記管理センターとの間の通信環境が良好であり、且つ、車両の状態が上記書き換えの実行に適した状況にあるか否かをまずは判断する。そして、こうした判断の結果、上記各条件が満たされていることを確認した上で、上記書き換え用のデータの無線通信による取得、並びに該取得したデータに基づく上記書き換えを実行するようにしている。

ただし、このような車載制御装置では、
・上記管理センターとの間の通信環境が良好であったとしても、例えば車両のキースイッチがオン状態にあるなど、車両の状態が上記データの書き換えに適した状況になければ、同データの取得や書き換えを実行しない。
・例えば車両のキースイッチがオフ状態にあるなど、車両の状態が上記データの書き換えに適した状況にあったとしても、車両が通信環境の悪い場所（例えば地下駐車場など）に駐車されている場合には、同じくデータの取得や書き換えを実行しない。
等々、制御プログラムや制御データの書き換えにかかる信頼性の維持を追求するあまり、データの取得や書き換えを行う時期についての自由度が大きく制限されることにもなっている。

そこで従来は、例えば特許文献２に記載の車載制御装置によるように、データ（プログラム）の書き換えに際して上記書き換え用のデータを一時的に格納するためのメモリ装置を備えるようにしたものなども提案されている。

すなわち、この特許文献２に記載の車載制御装置では、外部の通信環境が良好であれば、上記書き換え用のデータを無線通信によってまずは取得する。そして、この取得したデータの適正性の有無を判断し、この結果、該データが適正であることを条件に、同データを上記メモリ装置に格納する。そしてその後、車両の状態が上記データの書き換えに適した状況にあるときに、上記メモリ装置に格納されている上記書き換え用のデータを読み出し、該データに基づき上記データ（プログラム）の書き換えを実行するようにしている。したがって、このような車載制御装置によれば、
・外部の通信環境が良好であれば、例えば車両のキースイッチがオン状態にあるなど、車両の状態が上記データの書き換えに適した状況になくても、該データが無線通信によって取得され、上記記憶手段に格納される。
・例えば車両のキースイッチがオフ状態にあるなど、車両の状態が上記データの書き換えに適した状況にあれば、車両が通信環境の悪い場所（例えば地下駐車場など）に駐車されている場合であっても、上記記憶手段に格納されている書き換え用のデータを用いて上記制御プログラムや制御データの書き換えが実行される。
等々、データの取得時期や書き換え実行時期にかかる自由度が大きく向上されるようになる。
特開２００４−２８０００号公報 特開２００２−１５７１２７号公報

ところで、上記特許文献２に記載の車載制御装置では、無線通信によって取得される書き換え用のデータの適正性の有無を判断し、この結果、該データが適正であることを条件に、同データを上記メモリ装置に格納するようにしている。このため、上記特許文献２に記載の車載制御装置では、無線通信によって取得される上記書き換え用のデータの適正性は確かに保証される。

しかし、この特許文献２に記載の車載制御装置では、上記書き換え用のデータの上記メモリ装置への格納時に、例えば車両のキースイッチ（例えばＩＧスイッチ）がオン／オフ操作されるなど、車両の状況の変化に伴って車載バッテリの電圧が変動するようなことがあると、上記メモリ装置に格納される書き換え用のデータの適正性にも影響を及ぼしかねない。すなわち、この特許文献２に記載の車載制御装置では、上記メモリ装置に格納されている書き換え用のデータの適正性、ひいては上記書き換えられた制御プログラムや制御データについての適正性が必ずしも高いレベルで保証されているとは限らない。

本発明は、こうした実情に鑑みてなされたものであり、その目的は、無線通信によって得られる書き換え用のデータの取得時期や書き換え実行時期にかかる自由度を高めつつ、それらデータの書き換えにかかる信頼性のさらなる向上を図ることのできる車載制御装置を提供することにある。

こうした目的を達成するため、請求項１に記載の車載制御装置では、不揮発性メモリの書き換え可能な領域に格納されている車載機器を制御するための制御プログラム及び制御データの少なくとも一方を無線通信によって外部から得られる書き換え用のデータに基づき書き換え可能に構成された車載制御装置として、前記制御プログラム及び制御データの少なくとも一方の書き換えに際して前記書き換え用のデータが一時的に格納される記憶手段と、該記憶手段に格納された書き換え用のデータの適正性を判断する判断手段と、該判断手段により前記記憶手段に格納されている書き換え用のデータが適正であることが判断されることを条件に、同書き換え用のデータを用いて前記制御プログラム及び制御データの少なくとも一方を書き換える書換制御手段とを備えることとした。

このような構成によれば、
・外部の通信環境が良好であれば、例えば車両のキースイッチがオン状態にあるなど、車両の状態が上記データの書き換えに適した状況になくても、該データが無線通信によって取得され、上記記憶手段に格納される。
・例えば車両のキースイッチがオフ状態にあるなど、車両の状態が上記データの書き換えに適した状況にあれば、車両が通信環境の悪い場所（例えば地下駐車場など）に駐車されている場合であっても、上記記憶手段に格納されている書き換え用のデータを用いて上記制御プログラムや制御データの書き換えが実行される。
等々、データの取得時期や書き換え実行時期にかかる自由度の向上を図ることができるようになる。しかも、同構成では、記憶手段に格納されている書き換え用のデータの適正性を判断し、その結果、記憶手段に格納されている書き換え用のデータが適正であることを条件に、同記憶手段に格納されている書き換え用のデータを用いて上記制御プログラムや制御データの書き換えを実行するため、記憶手段に格納されているデータについての適正性が保証され、それらデータの書き換え（リプログラミング）にかかる信頼性も自ずと向上されるようになる。

ところで、上記判断手段による判断（適正性判断）については、上記書き換え用のデータが記憶手段に格納されている状態にて、例えばチェックサムなどのように該データ自体に予め設定されている特定の法則が満たされているか否かの判断に基づき行うようにすることも考えられる。ただしこの場合、上記特定の法則さえ満たされていれば、上記記憶手段に格納されている書き換え用のデータに誤りがあったとしても、同データが適正であると判断されかねない。このため、上記判断手段による判断（適正性判断）については、請求項２に記載の車載制御装置によるように、前記記憶手段に格納された書き換え用のデータと同データに対応するベリファイ用のデータとのベリファイチェックに基づいて行うようにすることが、書き換えられた制御プログラムや制御データについての適正性を確保する上でより望ましい。

なお、このベリファイチェックについては、車両側（車載制御装置）、及び上記書き換え用のデータの送信元のいずれにおいて行うようにしてもよい。
ちなみに、請求項３に記載の車載制御装置によるように、前記ベリファイチェックが、前記記憶手段に格納されている書き換え用のデータの当該車載制御装置からの返信に基づき前記書き換え用のデータの送信元において行われものであるときは、前記判断手段は、このベリファイチェックの結果として前記送信元から送信される情報に基づいて前記記憶手段に格納されている書き換え用のデータの適正性を判断することとなる。

一方、請求項４に記載の車載制御装置によるように、前記ベリファイチェックが、前記記憶手段に格納されている書き換え用のデータと該データに対応して送信元から再送信されるデータとに基づき当該車載制御装置において行われるものであるときは、前記判断手段は、このベリファイチェックの結果を直接参照して前記記憶手段に格納されている書き換え用のデータの適正性を判断することとなる。

また、ベリファイチェックの具体態様としては、例えば、請求項５に記載の車載制御装置によるように、
・当該車載制御装置と前記送信元との間での通信がパケット通信によって行われるとき、前記ベリファイチェックを、パケット単位に分割されたデータを単位として行う。
若しくは、請求項６に記載の車載制御装置によるように、
・前記ベリファイチェックを、前記記憶手段に格納された書き換え用のデータのデータ長を単位として行う。
等々、を採用することができる。

ちなみに、上記請求項５に記載の車載制御装置では、例えば、パケット（データブロック）単位で分割送信されるデータを受信する都度、それら対応するデータブロック毎に上記ベリファイチェックを行うようになる。したがって、書き換え用のデータ、若しくは上記ベリファイ用のデータを構成する全てのデータブロックの受信に先立って、上記対応する２つのデータブロックの不一致を確認した時点で上記メモリ装置に格納されている書き換え用のデータに適正性がない旨の判断を行うことができるようになる。

一方、上記請求項６に記載の車載制御装置では、例えば、上記書き換え用のデータ、及び上記ベリファイ用のデータがいずれもその全データ（全データブロック）が所定のメモリに格納されて後に、上記ベリファイチェックを実行するようになる。このため、ベリファイチェックの結果、これら２つのデータに相違部分があるとき、その部分の認識が容易となる。

また、請求項１〜６のいずれか一項に記載の車載制御装置において、請求項７に記載の車載制御装置によるように、前記書き換え用のデータの送信元との間での通信中に当該車両のキースイッチがオフ操作されることに基づき、車載バッテリからの給電状態を前記データの通信に要する時間だけ保持するようにすれば、車両のキースイッチ操作にかかわらず上記書き換え用のデータを的確に受信して上記記憶手段に格納することができるようになる。

また、請求項１〜７のいずれか一項に記載の車載制御装置において、請求項８に記載の車載制御装置によるように、前記書き換え用のデータの送信元との間での通信中に車載バッテリからの給電が遮断されることに基づいて該給電が遮断された旨を示す履歴情報を不揮発性メモリに保持する手段をさらに備えるようにすれば、上記送信元との間での通信中に車載バッテリからの給電が遮断されたような場合であれ、上記不揮発性メモリに保持されている履歴情報に基づき、記憶手段に格納されているデータの消去や該消去したデータの再受信等の処理を行うようにすることで、上記記憶手段に格納されるデータの信頼性を好適に維持することができるようになる。

なお、こうした処理は、例えば、請求項９に記載の車載制御装置によるように、当該車両のキースイッチのオン操作時に前記履歴情報が前記不揮発性メモリに保持されていることに基づき、前記記憶手段に格納されているデータの消去と該消去したデータの再受信とを行う手段をさらに備えることによって実行することができるようになる。

また、請求項１〜９のいずれか一項に記載の車載制御装置において、請求項１０に記載の車載制御装置では、設定されたタイマ時間に到達することに基づいて当該車載制御装置を自動起動するソークタイマをさらに備え、前記書換制御手段が、前記ソークタイマによって当該車載制御装置が起動されることに基づき、前記記憶手段に格納された書き換え用のデータが適正であると判断されていることを条件に、前記制御プログラム及び制御データの少なくとも一方を書き換えるようにしている。

このような構成によれば、車載エンジンの稼働が停止しており、且つ、車両のキースイッチがオフ状態にあるとき（車両の状態が上記データの書き換えに適した状況にあるとき）に、上記車載制御装置が自動起動されて上記書換制御手段による書換処理が実行されるため、より高い信頼性の下で同書換処理が実行されるようになる。

また、請求項１〜９のいずれか一項に記載の車載制御装置において、請求項１１に記載の車載制御装置では、前記記憶手段に格納された書き換え用のデータが適正であると判断されることに基づいて前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えの実行待ち状態にある旨をユーザに通知する通知手段をさらに備え、同書換制御手段が、この通知によって前記制御プログラム及び制御データの少なくとも一方の書き換えの実行を指示する操作が行われることに基づき、前記制御プログラム及び制御データの少なくとも一方の書き換えを実行するようにしている。

このような構成によれば、上記制御プログラム及び制御データの少なくとも一方が、ユーザからの書き換え指示に基づいて書き換えられるようになる。したがって、リプログラミング中に車両のキースイッチがユーザによって操作されることが回避され、車両の状態が上記データの書き換えに適した状況にあるときに上記書換制御手段による書換処理を実行することができるようになる。

また、この場合には特に、請求項１２に記載の車載制御装置によるように、前記通知手段が、前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えが未実行であるとき、当該車両のキースイッチがオフ操作された時点、及び同キースイッチがオン操作された時点、の少なくとも一方の時点において前記通知を再実行するようにすることが、上記データの書き換え（リプログラミング）にかかるより円滑な実行を促す上で望ましい。

また、請求項１１または１２に記載の車載制御装置において、請求項１３に記載の車載制御装置によるように、前記通知手段が、前記制御プログラム及び制御データの少なくとも一方の書き換えの実行を指示する操作が行われたとき、車載エンジンの稼働の禁止を要求する通知をさらに行うようにすれば、リプログラミング中の車両のキースイッチの操作がより好適に回避されるようになる。

また、請求項１１〜１３のいずれか一項に記載の車載制御装置において、請求項１４に記載の車載制御装置では、前記通知手段による前記書き換えの実行待ち状態にある旨の通知に基づきタイマ時間が設定操作されるとともに、該設定されたタイマ時間に到達することに基づいて当該車載制御装置を自動起動するソークタイマをさらに備え、前記書換制御手段が、前記ソークタイマによって当該車載制御装置が起動されることに基づき、前記記憶手段に格納された書き換え用のデータが適正であると判断されていることを条件に、前記制御プログラム及び制御データの少なくとも一方を書き換えるようにしている。

上記構成では、リプログラミングの実行開始時期をユーザが適宜に選択（指示）することができるようになる。また、車載エンジンの稼働が停止しており、且つ、車両のキースイッチがオフ状態にある（車両の状態が上記データの書き換えに適した状況にあるとき）ときに、上記車載制御装置が自動起動されて上記書換制御手段による書換処理が実行されるため、より高い信頼性の下で同書換処理が実行されるようになる。

なおここで、上記請求項１０または１４に記載の車載制御装置が前記ソークタイマによって起動されることに基づき車載機器の故障診断を行うものであるときは、請求項１５に記載の車載制御装置によるように、前記ソークタイマによって当該車載制御装置が起動された時点で前記記憶手段に格納された書き換え用のデータが適正であると判断されていることに基づき前記車載機器の故障診断の実行を禁止するようにすることが実用上望ましい。すなわちこれによって、上記書換制御手段による書換処理がこうした故障診断処理と並行して実行されることが回避されるようになり、同書換処理をより的確に実行することができるようになる。

ところで、このような車載制御装置では、例えばエンジン制御に用いられる制御プログラムや制御データなどのデータを対象として上記書換制御手段による書換処理が一旦実行されると、該書換処理が終了するまで車両の利用機会が失われることが多い。したがって、請求項１４に記載の車載制御装置においては、請求項１６に記載の車載制御装置によるように、前記通知手段による前記書き換えの実行待ち状態にある旨の通知に対して前記制御プログラム及び制御データの少なくとも一方の書き換えのキャンセルを指示する操作が行われたとき、前記書換制御手段は、前記ソークタイマによる当該車載制御装置の起動時の前記制御プログラム及び制御データの少なくとも一方の書き換えを延期するようにすることがより望ましい。このような構成では、ユーザが、車両の利用機会を容易に確保することができるようになる。

また、ユーザに対する通知態様としては、例えば、請求項１７に記載の車載制御装置によるように、
・前記通知手段が、予め登録されている携帯電話へのメール送信によって前記通知を行う。
若しくは、請求項１８に記載の車載制御装置によるように、
・前記通知手段が、ナビゲーションシステムの画面表示を通じて前記通知を行う。
等々、を採用することが考えられる。

また、請求項１〜１８のいずれか一項に記載の車載制御装置において、請求項１９に記載の車載制御装置によるように、前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えに際し、車両の状態が前記制御プログラム及び制御データの少なくとも一方の書き換えに適した状態にあるか否かの開始判定を行い、該開始判定の結果、前記車両の状態が前記書き換えに適した状態にあると判定されることを条件に、前記記憶手段に格納されている書き換え用のデータを用いて前記制御プログラム及び制御データの少なくとも一方の書き換えを開始するようにすれば、上記書換制御手段による書換処理が、車両の状態が上記データの書き換えに適した状況にあるときにより確実に実行されるようになる。

そして具体的には、請求項２０に記載の車載制御装置によるように、前記書換制御手段による開始判定を、車載エンジンの運転停止に伴ってその回転数が「０」となった時刻から予め設定された時間が経過していること、及び車載バッテリの電圧が予め設定されている下限値以上であること、の論理積条件が満たされているか否かに基づき行うとともに、該論理積条件が満たされていることをもって前記書き換えに適した状態にあると判定して上記書換制御手段による書換処理を実行するようにすることが実用上望ましい。

すなわち、車両では通常、車載エンジンの運転停止に伴ってその回転数が「０」となると、例えば次回の運転時まで保持すべき学習値等のデータをバックアップＲＡＭ等のメモリに保持するなどの後処理が行われる。このため、車載エンジンの運転停止に伴ってその回転数が「０」となった時刻から予め設定された時間が経過して後に上記書換制御手段による書換処理を開始するようにすれば、該書換処理がこのような後処理と並行して実行されることが回避されるようになる。また、上記書換制御手段による書換処理については、車載バッテリの電圧が該書換処理が実行される上で必要とされる電圧値以上にあることを条件に、実行するようにすることが実用上望ましい。

ところで、請求項１〜２０のいずれか一項に記載の車載制御装置が分散制御を実行する複数の電子制御装置からなるとともに車内ＬＡＮを構成する通信バスによって相互に接続されてなるとき、無線通信によって得られる書き換え用のデータを通信バスを介して記憶手段に格納するとすれば、データの格納時に上記通信バスにかかる負荷が増大し、上記複数の電子制御装置による分散制御にも影響を及ぼしかねない。そこで、このような場合には、請求項２１に記載の車載制御装置によるように、それら電子制御装置の１つに、前記書き換え用のデータの送信元との間での通信を行う通信手段、及び前記記憶手段を設けるようにすることが実用上望ましい。これにより、無線通信によって得られる書き換え用のデータを上記通信バスを利用することなく上記記憶手段に格納することができるようになる。

（第１の実施の形態）
以下、この発明にかかる車載制御装置の第１の実施の形態について、図１〜図１６を参照して詳細に説明する。図１に、この実施の形態にかかる車載制御装置の全体構成をブロック図として示す。

同図１に示されるように、この車載制御装置１００は、大きくは、各種の車載機器を分散制御する複数の電子制御装置、及びこれら各電子制御装置に関する情報（例えば制御プログラムのバージョン情報など）を総括管理するマスタ制御装置１４０を備えている。これら制御装置は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのバス型のネットワークシステムを構成する通信バス１０１によってそれぞれ電気的に接続され、該通信バス１０１を通じて各種データの授受を行う。

ここで、上記複数の電子制御装置は、その一部として以下に列記する電子制御装置１１０〜１３０を有している。
・車載エンジンの燃料噴射等の制御を行うエンジン制御装置１１０。
・トランスミッションの変速比の自動切替制御を行うトランスミッション制御装置１２０。
・車両のブレーキ制御を行うブレーキ制御装置１３０。

これら各電子制御装置１１０〜１３０の間では、上記通信バス１０１を通じて各々の制御状態や制御結果等の授受が行われる。そして通常は、こうして授受される情報や予め保持されている制御データに基づき、当該電子制御装置１１０〜１３０自身がそれぞれ内蔵する不揮発性メモリに格納されている制御プログラムを実行することにより、上述の各制御が協調して実行されるようになる。例えば、上記トランスミッション制御装置１２０では、トランスミッションの出力軸等に設けられている車速センサによる検出信号（２値化信号）が取り込まれると、この検出信号に基づいて車速情報を示すデータを作成してこれを上記通信バス１０１上に例えばシリアルデータとして送出する。そして、通信バス１０１上に送出されたシリアルデータが、例えば上記ブレーキ制御装置１３０に取り込まれ、該ブレーキ制御装置１３０において上述の車両のブレーキ制御に供されることとなる。

一方、上記マスタ制御装置１４０は、各車両のＶＩＮコード（車両識別コード）や制御プログラムのバージョン情報等を保持、管理している外部の管理センター２００から書き換え用のデータを無線通信によって取得し（通信手段）、該取得したデータに基づき上記電子制御装置１１０〜１３０内のデータを書き換える部分でもある。

すなわち、上記電子制御装置１１０〜１３０内の制御プログラムや制御データ等のデータは、制御プログラムのバージョンアップや修正等に伴って、その内容の書き換えが必要となることがある。このような場合、同マスタ制御装置１４０では、該データ（プログラム）の書き換えに用いる書き換え用のデータを上記管理センター２００からまずは取得する。そして、該取得した書き換え用のデータに基づき、上記電子制御装置１１０〜１３０内のデータを、その書き換え対象となる電子制御装置と協働して書き換える（書換制御手段）。このような制御装置１００を車両に搭載するようにすることで、極めて容易に電子制御装置１１０〜１３０内の制御プログラムや制御データ等のデータを最新の状態に保つことができるようになる。

ただし前述の通り、上記書き換え用のデータを無線通信によって取得するこのような車載制御装置１００の場合、上記管理センター２００との間の通信環境の変化や車両の状態等によっては上記取得されるデータ自体の信頼性が低下する懸念がある。

そこで、この実施の形態では、上記制御プログラムや制御データの書き換えに際し、該車載制御装置１００のマスタ制御装置１４０がまず、無線通信によって得られる上記書き換え用のデータを一時的に記憶手段に格納するとともに該格納された書き換え用のデータの適正性を判断する（判断手段）。そしてこの結果、記憶手段に格納された書き換え用のデータが適正であることを条件に、同書き換え用のデータを用いて上記書き換えを実行するため、それらデータの書き換え（リプログラミング）にかかる信頼性の向上を図ることができるようになる。

しかも、同構成では、
・上記管理センター２００との間の通信環境が良好であれば、例えば車両のキースイッチがオン状態にあるなど、車両の状態が上記データの書き換えに適した状況になくても、該データを無線通信によって取得し、上記記憶手段に格納する。
・例えば車両のキースイッチがオフ状態にあるなど、車両の状態が上記データの書き換えに適した状況にあれば、車両が通信環境の悪い場所（例えば地下駐車場など）に駐車されている場合であっても、上記記憶手段に格納されている書き換え用のデータを用いて上記制御プログラムや制御データの書き換えを実行する。
等々、データの取得時期や書き換え実行時期にかかる自由度の向上も併せて図ることができるようになる。

図２は、図１に示した車載制御装置１００のうち、特にエンジン制御装置１１０及びマスタ制御装置１４０の内部構造をブロック図として示したものである。以下、同図２を併せ参照してこれら制御装置１１０、１４０の各内部構造及びそれらの電気的な動作についてさらに具体的に説明する。なおここでは、エンジン制御装置１１０内のデータが書き換えられる場合を想定している。

同図２に示されるように、上記マスタ制御装置１４０は、各種情報を演算処理する制御部１４１を中心に構成されている。この制御部１４１は、該制御部１４１自身が内蔵する読み出し専用メモリに格納されている制御プログラムを実行することにより、無線通信部１４２やメモリ装置１４３、通信装置１４４等との間での各種データの授受や、それらデータに基づく演算処理を行うこととなる。

ここで、上記無線通信部１４２は、上記制御部１４１と上記管理センター２００との間での無線通信によるデータの授受を仲介する部分である。なお、この無線通信部１４２は、アンテナを介して受信される電波の強度等の情報に基づき上記管理センター２００との間の通信状況の良悪を判定する通信状況判定部１４５と接続されている。そして、該通信状況判定部１４５による判定結果によっては上記制御部１４１と上記管理センター２００との間の無線通信を禁止する。また、同無線通信部１４２は、上記制御部１４１を自動起動するソークタイマ１４６とも接続されており、管理センター２００から上記制御部１４１を起動する旨の信号が出力されたときは、該制御部１４１の起動を促すべく同ソークタイマ１４６にその旨の信号を出力するなどといった処理も併せ行う。

また、上記メモリ装置１４３は、無線通信によって得られる上記書き換え用のデータを一時的に保持する上述の記憶手段を形成する部分であり、例えばバックアップＲＡＭなど、データを不揮発な状態で保持するメモリからなる。

また、上記通信装置１４４は、上記制御部１４１と上記エンジン制御装置１１０との間での上記通信バス１０１を介したデータの授受を仲介する部分である。
このようなマスタ制御装置１４０にあって、上記エンジン制御装置１１０内のデータの書き換えに際しては、該マスタ制御装置１４０の制御部１４１がまず、上記無線通信部１４２を介して上記管理センター２００から無線送信される書き換え用のデータを取得する。次いで、該取得したデータをメモリ装置１４３に格納し、その上で同データの適正性を判断する。そしてその結果、メモリ装置１４３に格納されている書き換え用のデータに適正性があることを条件に、該データを用いて上記エンジン制御装置１１０内のデータの書き換えを該エンジン制御装置１１０との協働の下に実行する。具体的には、制御部１４１は、上記メモリ装置１４３から上記書き換え用のデータを読み出し、該読み出したデータを上記通信装置１４４を通じて上記エンジン制御装置１１０に送信する。

一方、上記エンジン制御装置１１０は、通信装置１１２やエンジン制御用プログラムメモリ１１３、書換制御用プログラムメモリ１１４等との間で授受される情報に基づき各種の演算処理を行う制御部１１１を中心に構成されている。

ここで、上記通信装置１１２は、上記制御部１１１と上記マスタ制御装置１４０との間での上記通信バス１０１を介したデータの授受を仲介する部分である。なお、この通信装置１１２も同様、上記制御部１１１を自動起動するソークタイマ１１５と接続されており、上記マスタ制御装置１４０から上記制御部１１１を起動する旨の信号が出力されたときは、該制御部１１１の起動を促すべく同ソークタイマ１１５にその旨の信号を出力するなどといった処理も併せ行う。

また、エンジン制御用プログラムメモリ１１３は、エンジン制御に用いられる制御プログラムや制御データ等のデータが格納されている部分であり、例えばフラッシュメモリやＥＥＰＲＯＭなど、電気的に書き換え可能な不揮発性メモリからなる。

また、書換制御用プログラムメモリ１１４は、制御部１１１が上記マスタ制御装置１４０の制御部１４１と協働して上記エンジン制御用プログラムメモリ１１３内のデータを書き換えるときに用いられる制御プログラムや制御データ等のデータが格納されている適宜の不揮発性メモリ（例えばＥＥＰＲＯＭ）からなる。

周知のように、このようなエンジン制御装置１１０では通常、制御部１１１が上記通信バス１０１上に送出されている車速情報等の運転情報を取り込み、上記エンジン制御用プログラムメモリ１１３に格納されている制御プログラムを実行することにより、上述のエンジン制御を行う。

ただし、上記エンジン制御用プログラムメモリ１１３内のデータの書き換えに際しては、該エンジン制御装置１１０の制御部１１１がまず、上記マスタ制御装置１４０から上記通信バス１０１上に送出されている上記書き換え用のデータを上記通信装置１１２を介して取り込む。次いで、該取得したデータを用いて上記書換制御用プログラムメモリ１１４内の制御プログラムを実行することにより、上記エンジン制御用プログラムメモリ１１３内のデータを書き換える。なお、上記マスタ制御装置１４０とエンジン制御装置１１０との間での通信に際しては、サムチェックなどの適宜の通信チェックを行うようにすることが実用上望ましい。

なお、エンジン制御装置１１０内のこうした内部構造は、他の電子制御装置１２０、１３０においても概ね共通している。
図３は、こうした内部構造を有するマスタ制御装置１４０及びエンジン制御装置１１０の協働の下に行われる上記データの書換処理についてその処理手順を示すシーケンスチャートである。次に、この図３を参照して同処理手順について説明する。

ちなみに、この書換処理に際しては、上記管理センター２００がまず、図４に示されるフローチャートの処理手順に従った送信処理を実行する。
すなわち、同図４に示されるように、上記管理センター２００は、上記エンジン制御装置１１０内のデータの書き換えが完了した旨を示す書換完了通知をその書き換え対象となる全ての車両から受信するまで、それら車両に搭載されている各制御装置１００に対し、上記書き換え用のデータを繰り返し送信する（ステップＳ１１及びＳ１２）。ただし、この実施の形態において、管理センター２００によるこの送信処理は、パケット通信によって実行され、上記書き換え用のデータは適宜のデータブロック単位（パケット単位）で分割送信される。また、同送信処理においては、書き換えの対象となる車両や電子制御装置を指定するＩＤ（ＶＩＮコードや品番など）、及びデータの書き換えを要求する通知（書き換え要求）も併せて送信される。

このような送信処理に対し、車載制御装置１００では、上記マスタ制御装置１４０の制御部１４１がまず、図３に示されるように、上記管理センター２００から無線送信される書き換え用のデータを受信して上記メモリ装置１４３に格納するための１次処理（ステップＳ１）を実行する。次いで、同じく管理センター２００から再送信されるデータに基づき、メモリ装置１４３に格納されている書き換え用のデータの適正性を判断するための２次処理（ステップＳ２）を実行する。そして次に、メモリ装置１４３に格納されている書き換え用のデータが適正である条件の下に、上記エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知するための３次処理（ステップＳ３００）を実行する（通知手段）。そして、この３次処理によってユーザから上記データの書き換えが指示されることに基づき、エンジン制御装置１１０内のデータの書き換えを実行するための４次処理（ステップＳ４）を上記エンジン制御装置１１０との協働の下に実行する。そして、このような一連の処理（１次処理〜４次処理）が実行されることによって、上記エンジン制御装置１１０内のデータが書き換えられると、該書き換えが完了した旨を示す上記書換完了通知を上記管理センター２００に送信し、この時点で同書換処理を終了する。

ただし、この実施の形態では、こうした書換処理（１次処理〜４次処理）は、具体的には、管理センター２００から上記書き換え用のデータが送信される都度、該データと併せて送信されるＩＤや書き換え要求、さらには図５に示されるかたちで操作される以下の３種のフラグ情報に基づいて以下のように行われる。なお後述するが、以下の３種のフラグ情報は、例えば、該制御部１４１自身が内蔵するバックアップＲＡＭにおいて記憶され、同制御部１４１によって操作される。
・１次処理（ステップＳ１）が実行される期間と同期するかたちでフラグ操作される１次処理フラグ。
・２次処理（ステップＳ２）が実行される期間と同期するかたちでフラグ操作される２次処理フラグ。
・３次処理及び４次処理（ステップＳ３及びＳ４）が実行される期間と同期するかたちでフラグ操作される３，４次処理フラグ。

図６は、これら３種のフラグ情報の論理レベル等に基づいて行われる上記書換処理（１次処理〜４次処理）についてその具体的な処理手順を示したフローチャートである。なおこの処理は、パケット単位に分割されたデータ（データブロック）が受信される度に行われる。

すなわち、この書換処理に際しては、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ２１の処理として、上記管理センター２００からのデータ（ＩＤ）が当該車両を指定しているか否かを確認する。同ＩＤが当該車両を指定しているときは、次いで、ステップＳ２２及びＳ２３の処理として、上記２次処理フラグ及び３，４次処理フラグの各論理レベルを順次に参照する。

そしてこの結果、上記２次処理フラグ及び３，４次処理フラグがいずれも論理「Ｌ」レベルにある場合、同制御部１４１は、先の図５に示したように上記１次処理（ステップＳ１）が行われるべき状況にあるとして、次にステップＳ２４の処理に移行する。そして、このステップＳ２４の処理において、上記エンジン制御装置１１０内のデータの書き換えが完了していないと判断されるときに、上記受信した書き換え用のデータをメモリ装置１４３に格納するデータ格納処理を実行する（ステップＳ１００）。これにより、こうしたステップＳ２１〜Ｓ２４、並びにステップＳ１００の処理が、上記１次処理（ステップＳ１）として実行されるようになる。なお、上記データ格納処理（ステップＳ１００）の詳細については、後に図７を参照して説明する。

ただし、上記ステップＳ２３の処理において、上記３，４次処理フラグが論理「Ｈ」レベルにある場合、同制御部１４１は、先の図５に示したように上記３次処理あるいは４次処理が行われるべき状況にあるとして、該３，４次処理フラグが論理「Ｈ」レベルにあることを確認した時点で、この制御を終了する。

他方、上記ステップＳ２２の処理において、上記２次処理フラグが論理「Ｈ」レベルにある場合には、先の図５に示したように、上記２次処理（ステップＳ２）が行われるべき状況にある。したがってこの場合、同制御部１４１は、次にステップＳ２００の処理として、メモリ装置１４３に格納されている上記書き換え用のデータの適正性を上記受信したデータに基づき判断する適正性判断処理（２次処理）を実行する。これにより、こうしたステップＳ２１及びＳ２２、並びにステップＳ２００の処理が、上記２次処理（ステップＳ２）として実行されるようになる。なお、上記適正性判断処理（ステップＳ２００）の詳細についても、後に図９を参照して説明する。

また、上記ステップＳ２００の処理が実行されて後、同制御部１４１は、次にステップＳ２５の処理として、上記３，４次処理フラグの論理レベルを確認する。そして、該３，４次処理フラグが論理「Ｈ」レベルにあるとき、同制御部１４１は、上記メモリ装置１４３に格納されている書き換え用のデータが適正であるとして、次いでステップＳ３００の処理として、エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する書換準備完了通知処理（３次処理）を実行する。これにより、こうしたステップＳ２５及びＳ３００の処理が、上記３次処理（ステップＳ３）として実行されるようになる。なお、上記書換準備完了通知処理（ステップＳ３００）の詳細についても、後に図１０を参照して説明する。

ただし、上記ステップＳ２５の処理において、上記３，４次処理フラグが論理「Ｌ」レベルにある場合には、上記ステップＳ２００の処理において、メモリ装置１４３に格納されている書き換え用のデータが適正でないと判断されたこととなる。したがってこの場合、同制御部１４１は、上記３，４次処理フラグが論理「Ｌ」レベルにあることを確認した時点で、同制御を終了する。

図７及び図９及び図１０は、上記ステップＳ１００の処理として実行されるデータ格納処理、及び上記ステップＳ２００の処理として実行される適正性判断処理、及び上記ステップＳ３００の処理として実行される書換準備完了通知処理について、それらの処理手順をそれぞれフローチャートとして示したものである。以下、これら図７及び図９及び図１０に基づきそれら各処理についてさらに詳述する。

まず、図７を参照して、上記データ格納処理（ステップＳ１００）についてその処理手順を詳述する。
いま、上記ステップＳ２４の処理（図６）において、上記エンジン制御装置１１０内のデータの書換処理が未だ完了していないと判断されたとすると、同マスタ制御装置１４０は上述のように、ステップＳ１００の処理として、上記受信した書き換え用のデータを上記メモリ装置１４３に格納する当該データ格納処理を実行する。

具体的には、同図７に示されるように、上記書き換え用のデータの上記メモリ装置１４３への格納に際しては、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ１０１の処理として、上記１次処理フラグを論理「Ｈ」レベルに操作する。次いで、ステップＳ１０２の処理として、データブロック単位（パケット単位）にて分割送信される上記書き換え用のデータを図８に示されるかたちで上記メモリ装置１４３の一部のメモリ領域１４３ａに格納する。そして次に、ステップＳ１０３の処理として、上記書き換え用のデータを構成する全てのデータブロック（データブロック「１」〜データブロック「ｎ」）が上記メモリ装置１４３に格納されたか否かを判断する。この結果、上記書き換え用のデータを構成する全てのデータブロックが上記メモリ装置１４３に格納されていないと判断される場合には、このデータ格納処理を一旦終了し、パケット通信によって次のデータブロックが受信されるまで待機する。すなわちこの場合、上記書き換え用のデータを構成する全てのデータブロックが上記メモリ装置１４３に格納されたと判断されるまで、上記書き換え用のデータがデータブロック単位にて受信される都度、上記ステップＳ１０１〜Ｓ１０３の処理を繰り返し実行することとなる。

そして、こうした処理の結果、図８に示されるように、上記書き換え用のデータを構成する全てのデータブロック（データブロック「１」〜データブロック「ｎ」）が上記メモリ装置１４３に格納されたと判断されると、同制御部１４１は、次にステップＳ１０４の処理に移行する。そして、このステップＳ１０４の処理において、上記１次処理フラグを論理「Ｌ」レベルに操作するとともに上記２次処理フラグを論理「Ｈ」レベルに操作した時点で、当該データ格納処理を終了する。

このように１次処理フラグ及び２次処理フラグが操作されることによって、上記制御部１４１は次に、先の図５に示したように、該メモリ装置１４３に格納されている書き換え用のデータの適正性を判断する適正性判断処理（ステップＳ２００）を行うようになる。ただし、この実施の形態では、同制御部１４１は、上記管理センター２００から再送信されるデータを上記メモリ装置１４３に格納されている書き換え用のデータに対応するベリファイ用のデータとして受信し、該受信したデータと上記格納されているデータとのベリファイチェックに基づき、該適正性判断処理を実行する。

次に、図９を参照して、この適正性判断処理（ステップＳ２００）の具体的な処理態様について説明する。
すなわち、いま、上記ステップＳ２２の処理（図６）において、上記２次処理フラグが論理「Ｈ」レベルにあるとすると、同マスタ制御装置１４０は上述のように、ステップＳ２００の処理として、メモリ装置１４３に格納されている上記書き換え用のデータの適正性を上記受信したデータに基づき判断する当該適正性判断処理を実行する。

具体的には、同図９に示されるように、適正性の判断に際しては、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ２０１の処理として、受信したベリファイ用のデータのデータブロックに対応する上記書き換え用のデータのデータブロックを上記メモリ装置１４３から読み出す。次いで、ステップＳ２０２の処理として、上記受信したデータブロック（ベリファイ用のデータ）と上記読み出したデータブロック（書き換え用のデータ）とを比較（ベリファイチェック）する。この結果、これら２つのデータブロックが一致した場合には、次にステップＳ２０３の処理として、上記メモリ装置１４３に格納されている書き換え用のデータを構成する全てのデータブロック（データブロック「１」〜データブロック「ｎ」）に関してのベリファイチェックが完了したか否かの判断を行う。

このステップＳ２０３の処理において、該ベリファイチェックが完了していないと判断される場合には、この適正性判断処理を一旦終了し、パケット通信によって次のデータブロックを受信するまで待機する。すなわちこの場合、上記メモリ装置１４３に格納されている書き換え用のデータを構成する全てのデータブロック（データブロック「１」〜データブロック「ｎ」）に関してのベリファイチェックが完了したと判断されるまで、上記ステップＳ２０１〜Ｓ２０３の処理を繰り返し実行することとなる。

ただしこの際、上記ステップＳ２０２の処理において、上記２つのデータブロックが一致しないと判断された場合、同制御部１４１は、これら２つのデータブロックが一致しないと判断した時点で、次にステップＳ２０６〜Ｓ２０８の処理を行う。すなわち、まず、ステップＳ２０６の処理として、上記ベリファイチェックが一致しなかった旨を上記管理センター２００に通知する。次に、ステップＳ２０７の処理として、上記２次処理フラグを論理「Ｌ」レベルに操作する。そして次に、ステップＳ２０８の処理として、メモリ装置１４３に格納されている全てのデータブロック（データブロック「１」〜データブロック「ｎ」）を削除する。このような処理（ステップＳ２０６〜Ｓ２０８）を通じて、同制御部１４１は、上述の書換処理（１次処理〜４次処理）を、上記データ格納処理（１次処理）から再実行するようになる。

一方、上記ステップＳ２０１〜Ｓ２０３の処理が繰り返し実行された結果、ステップＳ２０３の処理において、全てのデータブロック（データブロック「１」〜データブロック「ｎ」）に関してのベリファイチェックが完了したと判断された場合には、同制御部１４１は、次にステップＳ２０４の処理を行う。すなわち、このステップＳ２０４の処理として、上記ベリファイチェックが一致した旨を上記管理センター２００に通知する。そしてその後に、ステップＳ２０５の処理として、上記２次処理フラグを論理「Ｌ」レベルに操作するとともに上記３，４次処理フラグを論理「Ｈ」レベルに操作した時点で、当該適正性判断処理を終了する。

このように２次処理フラグ及び３，４次処理フラグが操作されることによって、上記制御部１４１は次に、先の図５に示したように、エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する書換準備完了通知処理（ステップＳ３００）を行うようになる。

次に、図１０を参照して、この書換準備完了通知処理（ステップＳ２００）の具体的な処理態様について説明する。
すなわち、いま、上記ステップＳ２５の処理（図６）において、上記３，４次処理フラグが論理「Ｈ」レベルにあるとすると、同マスタ制御装置１４０は上述のように、ステップＳ３００の処理として、エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する当該書換準備完了通知処理を実行する。

具体的には、同図１０に示されるように、ユーザへの通知に際しては、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ３０１の処理として、ドライバ（ユーザ）がシートに着座しているか否かを検出する着座センサからの出力を監視する。なお、この着座センサは、例えば、ドライバの着座によってシートに付与される圧力の大きさを検出する圧力センサなどからなる。そしてその結果、該着座センサからの出力に基づき、ドライバがシートに着座していると判断される場合には、次にステップＳ３０２の処理として、車内に設けられているナビゲーションシステムの画面表示を通じて、上記エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知した時点で、同制御を終了する。

ただし、上記ステップＳ３０１の処理において、ドライバがシートに着座していないと判断される場合には、次にステップＳ３０３の処理に移行する。そして、このステップＳ３０３の処理において、予め登録されている携帯電話へのメール送信（Ｅメール）によって、上記エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知した時点で、同制御を終了する。なお、このステップＳ３０３の処理は、具体的には、同制御部１４１が上記無線通信部１４２を介して上記メール送信（Ｅメール）による通知を行うべき旨の信号を上記管理センター２００に送信することによって行われる。すなわちこの場合、上記管理センター２００が、同信号の受信に基づき、予め登録されている携帯電話へのメール送信（Ｅメール）を実行することとなる。

このように書換準備完了通知処理が終了すると、上記制御部１４１は、上記データの書き換えに関するユーザによる指示があるまで、基本的に待機する。なお、ユーザによる指示は、例えば、上記ナビゲーションシステムのスイッチ操作や、上記Ｅメールに対する返信メールを上記管理センター２００に送信する操作などを通じて行われる。また、ユーザは、こうした操作を通じて、上記エンジン制御装置１１０内のデータの書き換えを指示し、あるいは同データの書き換えのキャンセルを指示する。この実施の形態では、ユーザは、上記書き換えの指示態様として、車載制御装置１００に対し、書換開始時刻を指示することも可能である。すなわちこの場合、上記マスタ制御装置１４０のソークタイマ１４６に、ユーザにより指示された書換開始時刻に対応するタイマ時間が設定されることとなる。

ただし、この実施の形態では、上記エンジン制御装置１１０内のデータの書き換えにかかるより円滑な実行を促すべく、同制御部１４１は、当該車両のＩＧスイッチがオフ操作された時点、及び同ＩＧスイッチがオン操作された時点において、こうしたユーザによる操作が未実行であるとき、上記書換準備完了通知処理を再実行するようにしている。

図１１及び図１２は、ＩＧスイッチがオフ操作及びオン操作された時点で行われる処理についてその処理手順をそれぞれフローチャートとして示したものである。
まず、図１１を参照して、上記ＩＧスイッチがオフ操作された時点で行われる処理について説明する。

すなわち、いま、ＩＧスイッチがオフ操作されたとすると、上記マスタ制御装置１４０の制御部１４１はまず、ステップＳ３１の処理として、メインリレー制御に基づき車載バッテリからの給電状態を保持する。また併せて、このメインリレー制御の開始に基づき、タイマ（メインリレータイマ）による計時を開始する。そして次に、上記１次処理フラグ、２次処理フラグがいずれも論理「Ｌ」レベルにあり、且つ、上記３，４次処理フラグが論理「Ｈ」レベルにあることを条件に（ステップＳ３２及びＳ３３）、上記ソークタイマ１４６にタイマ時間（データの書換開始時刻）が設定されているか否かを判断する（ステップＳ３４）。この結果、データの書換開始時刻が設定されている場合には、上述の通り、ユーザによる操作は既に行われている。したがってこの場合、同制御部１４１は、次にステップＳ３５の処理として、上記メインリレー制御に基づく車載バッテリからの給電状態の保持を解除した時点で、この制御を終了する。

一方、このステップＳ３４の処理において、上記データの書換開始時刻が設定されていない場合には、ユーザによる操作が未だ行われていないこととなる。したがって、同制御部１４１は、上記エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する上記書換準備完了通知処理（ステップＳ３００）を再実行する。そして次に、ステップＳ３５の処理として、上記メインリレー制御に基づく車載バッテリからの給電状態の保持を解除した時点で、この制御を終了する。こうした処理を通じて、上記エンジン制御装置１１０内のデータの書き換えにかかるより円滑な実行が促されるようになる。

他方、上記ステップＳ３３の処理において、上記３，４次処理フラグが論理「Ｌ」レベルにある場合には、上記３種のフラグ情報がいずれも論理「Ｌ」レベルにあり、先の図５に示したように、上述の書換処理（１次処理〜４次処理）が未だ実行されていない状況にある。したがって、同制御部１４１は、上記ステップＳ３４及びＳ３００の処理を行うことなく、上記ステップＳ３５の処理に移行し、上記メインリレー制御に基づく車載バッテリからの給電状態の保持を解除した時点で、この制御を終了する。

また他方、上記ステップＳ３２の処理において、上記１次処理フラグ及び２次処理フラグの一方が論理「Ｈ」レベルにある場合には、上述のデータ格納処理（ステップＳ１００）または適正性判断処理（ステップＳ２００）が実行されるべき状況にある。すなわち、同制御部１４１が、上記書き換え用のデータまたはベリファイ用のデータを受信すべく、上記管理センター２００との間で無線通信中であるにもかかわらず、上記ＩＧスイッチがオフ操作されたこととなる。

そこでこの場合、上記マスタ制御装置１４０の制御部１４１は、次にステップＳ３６の処理として、車載バッテリからの給電状態を上記データの通信に要する時間だけ保持し、上述のデータ格納処理（ステップＳ１００）及び適正性判断処理（ステップＳ２００）の実行を継続するようにしている。これにより、ＩＧスイッチの操作にかかわらず、これらデータ格納処理（ステップＳ１００）及び適正性判断処理（ステップＳ２００）を的確に実行することができるようになる。

ただし、例えば、車両が通信環境の悪い場所（例えば地下駐車場など）に駐車されている場合や、車載バッテリの電圧値が上記通信を行うために必要とされる下限値未満である場合など、上記データの通信を中止するようにすることが、上述の書換処理（１次処理〜４次処理）にかかる信頼性を維持する上で望ましいこともある。したがって、同制御部１４１は、このステップＳ３６の処理において、上記メインリレータイマによる計時時間が上記データの通信に要する時間として予め設定されている上限時間を超えた場合や、車載バッテリの電圧値が上記下限値未満となった場合には、まず、上記データの通信を中止する。そして、上記データの通信を中止した旨を示す通信中止履歴を例えば該制御部１４１自身が内蔵するバックアップＲＡＭに記憶し（ステップＳ３７）、上記メインリレー制御に基づく車載バッテリからの給電状態の保持を解除した時点で（ステップＳ３５）、この制御を終了することとしている。後述するが、このような処理（ステップＳ３５〜Ｓ３７）を通じて、同制御部１４１は、上述の書換処理（１次処理〜４次処理）を、上記データ格納処理（１次処理）から再実行するようになる。

次に、図１２を参照して、上記ＩＧスイッチがオン操作された時点で行われる処理について説明する。
いま、上記ＩＧスイッチがオン操作されたとすると、上記マスタ制御装置１４０の制御部１４１はまず、ステップＳ４１の処理として、該制御部１４１自身が内蔵するバックアップＲＡＭに上記通信中止履歴が記憶されているか否かを判断する。この結果、該履歴が記憶されていると判断された場合、同制御部１４１は、上記管理センター２００との間での通信が中止されたとして、上述の書換処理（１次処理〜４次処理）を上記データ格納処理（１次処理）から再実行すべく、次にステップＳ４２〜Ｓ４４の処理を順次に実行する。

すなわち、同制御部１４１はまず、上記ステップＳ４２の処理として、上記メモリ装置１４３に格納されている上記管理センター２００との間での通信によって受信したデータ（書き換え用のデータやベリファイ用のデータ）を消去する。そして次に、上記１次処理フラグ、及び２次処理フラグ、及び３，４次処理フラグをいずれも論理「Ｌ」レベルに操作して後に（ステップＳ４３）、該制御部１４１自身が内蔵するバックアップＲＡＭに記憶されている上記通信中止履歴を消去する（ステップＳ４４）。これらステップＳ４２〜Ｓ４４の処理を通じて、同制御部１４１は上述の通り、上述の書換処理（１次処理〜４次処理）を、上記データ格納処理（１次処理）から再実行するようになる。そしてその後は、ステップＳ４５の処理として、上記３，４次処理フラグが論理「Ｈ」レベルにあるか否かを判断し、その結果、３，４次処理フラグが論理「Ｌ」レベルにあると判断した時点で、この制御を終了する。

ただし、上記ステップＳ４１の処理において、該制御部１４１自身が内蔵するバックアップＲＡＭに通信中止履歴が記憶されていない場合、同制御部１４１は、上記ステップＳ４２〜Ｓ４４の処理を実行することなく、上記ステップＳ４５の処理に移行する。そして、このステップＳ４５の処理において、上記３，４次処理フラグが論理「Ｈ」レベルにあると判断されると、次にステップＳ４６の処理として、上記ソークタイマ１４６にデータの書換開始時刻が設定されているか否かを判断する。この結果、上記データの書換開始時刻が設定されていない場合、同制御部１４１は、ユーザによる操作が未だ行われていないとして、上記エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する上記書換準備完了通知処理（ステップＳ３００）を再実行する。こうした処理を通じて、上記エンジン制御装置１１０内のデータの書き換えにかかるより円滑な実行が促されるようになる。

一方、上記ステップＳ４６の処理において、データの書換開始時刻が設定されている場合には、同制御部１４１は、ユーザによる操作が既に行われているとして、この制御を終了する。

そして、こうして書換準備完了通知処理（ステップＳ３００）が繰り返し実行された結果、ユーザによる操作が行われると、上記制御部１４１は次に、ユーザ指示に対する応答処理（４次処理）を行うようになる。

図１３は、ユーザ指示に対する応答処理についてその処理手順をフローチャートとして示したものであり、次に、同図１３を参照して、該処理について説明する。
この処理に際しては、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ４０１の処理として、ユーザによる操作が、上記エンジン制御装置１１０内のデータの書き換えを指示するものであったか否かの判断を行う。この結果、ユーザによる操作が、該書き換えのキャンセルを指示するものであった場合、上記エンジン制御装置１１０内のデータの書き換えを延期すべく、同制御を終了する。

一方、このステップＳ４０１の処理において、ユーザによる操作が上記エンジン制御装置１１０内のデータの書き換えを指示するものであったと判断された場合、同制御部１４１は、次にステップＳ４０２の処理として、データの書換開始時刻の設定が要求（指示）されているか否かを判断する。そしてこの結果、データの書換開始時刻の設定が指示されていないと判断されると、同制御部１４１は、次にステップＳ４０３の処理として、上記メモリ装置１４３に格納されている書き換え用のデータを用いて上記エンジン制御装置１１０内のデータを書き換える書換実行処理を行う。

他方、上記ステップＳ４０２の処理において、データの書換開始時刻の設定が指示されていると判断された場合、同制御部１４１は、次にステップＳ４０４の処理として、ユーザにより指示された書換開始時刻をもって上記ソークタイマ１４６にタイマ時間を設定する。これにより、該制御部１４１が、上記ソークタイマ１４６による自動起動に基づき、上記書換実行処理（ステップＳ４０３）を実行するようになる。具体的には、図１４に示されるように、いま、上記設定されたタイマ時間に到達し、上記ソークタイマ１４６による自動起動があったとすると、同制御部１４１は、上記３，４次処理フラグが論理「Ｈ」レベルにあることを条件に（ステップＳ６１）、上記書換実行処理（ステップＳ４０３）を実行する。

図１５は、こうした書換実行処理についてその処理手順をフローチャートとして示したものであり、次に、同図１５を参照して、該処理について説明する。
いま、上記ステップＳ４０２の処理（図１３）において、書換開始時刻の指定がない、若しくは上記ステップＳ６１の処理（図１４）において、上記３，４次処理フラグが論理「Ｈ」レベルにあると判断されたとすると、同マスタ制御装置１４０は上述のように、ステップＳ４０３の処理として、当該書換実行処理を実行する。

この書換実行処理に際しては、同図１５に示されるように、上記マスタ制御装置１４０の制御部１４１がまず、ステップＳ４１１の処理として、書き換え実行の対象となる上記エンジン制御装置１１０の制御部１１１が給電状態にあるか否かを確認する。この結果、制御部１１１が給電状態になければ、該制御部１１１が給電状態となるまで、上記エンジン制御装置１１０に対し、同制御部１１１を起動する旨の指令を出力する（ステップＳ４１２）。

一方、このステップＳ４１１の処理において、例えば上記エンジン制御装置１１０のソークタイマ１１５による自動起動があり、上記制御部１１１が給電状態にあると判断されると、同制御部１４１は、次にステップＳ４１３の処理として、上記エンジン制御装置１１０に対し、ダイアグ処理の実行を禁止する旨の指令を出力する。

すなわち、この実施の形態では、エンジン制御装置１１０は、上記制御部１１１の起動に基づき制御対象となる車載機器の故障診断処理（ダイアグ処理）を行うものとなっている。この点、この実施の形態では、エンジン制御装置１１０のソークタイマ１１５によって上記制御部１１１が起動された時点で、上記ステップＳ４１３の処理として、ダイアグ処理の実行を禁止する旨の指令を出力するようにしている。このため、エンジン制御装置１１０内のデータの書換実行処理がこうした故障診断処理と並行して実行されることが回避されるようになり、同書換処理をより的確に実行することができるようになる。

しかも、この実施の形態では、同制御部１４１は、次にステップＳ４１４の処理として、車両の状態が上記データの書き換えに適した状態にあるか否かの開始判定を行い、該開始判定の結果、車両の状態が書き換えに適した状態にあると判定されることを条件に、上記データの書換実行処理を開始するようにしている。このため、車両の状態が上記データの書き換えに適した状況にあるときにより確実に上記データの書換実行処理を実行することができるようになる。なお、該開始判定（ステップＳ４１４）は、当該車両の状態が上記書き換えに適した状態となるまで繰り返し実行される（ステップＳ４１５）。この開始判定については、図１６を参照して後述する。

また、こうした開始判定の結果、当該車両の状態が上記書き換えに適した状態にあると判定された場合（ステップＳ４１５）、同制御部１４１は、次にステップＳ４１６の処理として、ユーザに対し、車載エンジンの稼働の禁止を要求する通知を行う。なおこの通知も、例えば、予め登録されている携帯電話に対するＥメール送信等により行われる。そして、ユーザに対して該通知を行った上で、上記エンジン制御装置１１０内のデータを、該エンジン制御装置１１０（制御部１１１）と協働して書き換える（ステップＳ４１７）。なお、該書き換えの具体的な態様については、図２を参照して前述した通りである。

そして、同制御部１４１は、上記エンジン制御装置１１０内のデータの書き換え（リプログラミング）が完了すると（ステップＳ４１８）、次にステップＳ４１９の処理として、上記３，４次処理フラグを論理「Ｌ」レベルに操作する。そして次に、ステップＳ４２０の処理として、上記管理センター２００に対し、上述の書換完了通知（図３）を送信する。これにより、上記管理センター２００において、上記マスタ制御装置１４０に対する前述した送信処理（図４）が中止されるようになる。そしてその後、同制御部１４１は、ユーザに対し、車載エンジンの稼働の禁止を解除する通知を行うとともに（ステップＳ４２１）、エンジン制御装置１１０に対し、ダイアグ処理の実行禁止を解除する旨の指令を出力した時点で（ステップＳ４２２）、この制御を終了する。

他方、上記ステップＳ４１８の処理において、上記エンジン制御装置１１０内のデータの書き換え（リプログラミング）が完了していないと判断された場合には、該データの書き換えが完了するまで、上記ステップＳ４１７の処理が繰り返し実行される（ステップＳ４２３）。ただし、このステップＳ４２３の処理において、上記ステップＳ４１７の処理の実行にかかる回数が予め設定されている上限値を超えたとときは、上述の一連の処理（１次処理〜４次処理）を中止し、上記管理センター２００に対してその旨を通知する（ステップＳ４２４）。そしてその後、上記ステップＳ４２１及びＳ４２２の処理を順次に実行した時点で、この制御を終了する。

図１６は、上記ステップＳ４１４の処理として、上記マスタ制御装置１４０によって行われる開始判定についてその処理手順を示したフローチャートであり、次に同図１６を参照して、該開始判定について説明する。

該開始判定に際しては、同マスタ制御装置１４０の制御部１４１がまず、ステップＳ４５１の処理として、車両の状態を示す各種の車載センサからの出力をモニタする。そして、それらモニタしたセンサ出力に基づき、以下のステップＳ４５２〜Ｓ４６０の処理を実行することにより、当該開始判定を行う。

具体的には、同制御部１４１は、ステップＳ４５２の処理として、エンジン回転数が「５０ｒｐｍ」未満（実質的に「０」）であるか否かの判断を行う。この結果、エンジン回転数が「５０ｒｐｍ」以上であると判断された場合、同制御部１４１は、上記エンジン制御用プログラムメモリ１１３に格納されている制御プログラムを用いた上述の制御（エンジン制御）が行われている可能性があるとして、次のステップＳ４６０の処理において、車両の状態がデータ書き換えに適した状態にないと判定する。

一方、上記ステップＳ４５２の処理において、エンジン回転数が「５０ｒｐｍ」以上であると判断された場合には、同制御部１４１は、次にステップＳ４５３の処理として、エンジン回転数が「５０ｒｐｍ」未満（実質的に「０」）となった時刻から予め設定された時間が経過するまで待機する。すなわち、当該車両にあって、上記エンジン制御装置１１０の制御部１１１では、車載エンジンの運転停止に伴ってその回転数が「０」となると、例えば次回の運転時まで保持すべき学習値等のデータを該制御部１１１自身が内蔵するバックアップＲＡＭ（不揮発性メモリ）に保持するなどの後処理が行われる。このため、この実施の形態では、エンジン回転数が「５０ｒｐｍ」未満（実質的に「０」）となった時刻から予め設定された時間が経過するまで待機することによって、こうした後処理と並行して上記エンジン制御装置１１０内のデータの書き換えが実行されることを回避するようにしている。

そして、こうした後処理が終了して後に、同制御部１４１は、次に、以下のステップＳ４５４〜Ｓ４５８の処理として、
（ａ）車速が「３ｋｍ／ｈ」未満（実質的に「０」）であること（ステップＳ４５４）
（ｂ）シフトポジションがパーキング「Ｐ」ポジション、若しくはニュートラル「Ｎ」ポジションにあること（ステップＳ４５５）。
（ｃ）サイドブレーキが作動していること（ステップＳ４５６）。
（ｄ）車載バッテリの電圧値が、上記エンジン制御装置１１０内のデータを書き換える上で必要とされる下限値以上であること（ステップＳ４５７）。
（ｅ）エンジン制御装置１１０を含めて、車載制御装置１００が有する制御装置がいずれも上述の故障診断処理（ダイアグ処理）を実行していないこと（ステップＳ４５８）。
の論理積条件が満たされているか否かをさらに判断する。そして、ステップＳ４５４〜Ｓ４５８の処理において、これら条件（ａ）〜（ｅ）の論理積が満たされていると判断されるとき、同制御部１４１が、当該車両の状態がデータ書き換えに適した状態にあると判定する（ステップＳ４５９）。なお、上記条件（ａ）〜（ｃ）は、当該車両の安全が確保されているか否かを確認するための条件であり、上記条件（ｄ）及び（ｅ）は、上記エンジン制御装置１１０内のデータの書き換えをより高い信頼性の下で実行するための条件である。したがって、これらステップＳ４５４〜Ｓ４５８の処理を順次に実行するに際して、上記条件（ａ）〜（ｅ）のいずれか１つでも満たされていない条件があると判断された場合には、同制御部１４１は、該判断を行った時点で、上記ステップＳ４６０の処理に移行し、車両の状態がデータ書き換えに適した状態にないと判定する。

以上説明したように、この実施の形態にかかる車載制御装置によれば、以下に記載するような多くの優れた効果が得られるようになる。
（１）エンジン制御装置１１０内の制御プログラムや制御データの書き換えに際して、無線通信によって得られる書き換え用のデータを一時的にメモリ装置１４３に格納することとした。そして、該メモリ装置１４３に格納されている書き換え用のデータが適正であることを条件に、同書き換え用のデータを用いた上記制御プログラムや制御データの書き換えを実行することとした。このため、無線通信によって得られる書き換え用のデータの取得時期や書き換え実行時期にかかる自由度を高めつつ、それらデータの書き換えにかかる信頼性のさらなる向上を図ることができるようになる。

（２）メモリ装置１４３に格納されている書き換え用のデータの適正性の判断を、該書き換え用のデータと同データに対応するベリファイ用のデータとのベリファイチェックに基づいて行うようにしたため、上述の書換処理（１次処理〜４次処理）をより適正に実行することができるようになる。

（３）データブロック（パケット）単位で分割送信されるデータを受信する都度、それら分割されたデータ毎に上記ベリファイチェックを行うこととした。このため、上記ベリファイ用のデータを構成する全てのデータブロックの受信に先立って、これら２つのデータブロックが一致しなかった時点で、上記メモリ装置１４３に格納されている書き換え用のデータに適正性がない旨の判断を行うことができるようになる。

（４）マスタ制御装置１４０は、上記管理センター２００との間での通信中に、ＩＧスイッチがオフ操作されることに基づき、車載バッテリからの給電状態を上記データの通信に要する時間だけ保持するようにした。このため、ＩＧスイッチの操作にかかわらず上記書き換え用のデータを的確に受信して上記メモリ装置１４３に格納することができるようになる。

（５）マスタ制御装置１４０は、上記管理センター２００との間での通信中に、車載バッテリからの給電が遮断されることに基づいて該給電が遮断された旨を示す履歴情報（通信中止履歴）をバックアップＲＡＭ（不揮発性メモリ）に保持するようにした。これにより、該履歴情報に基づき、上記メモリ装置１４３に格納されている書き換え用のデータの消去や該消去した書き換え用のデータの再受信等を行うことができるようになる。

（６）ユーザからの書き換え指示に基づき上記エンジン制御装置１１０内のデータの書き換え（リプログラミング）を実行するため、リプログラミング中に車両のキースイッチが操作されることが回避されるようになり、車載機器を制御するための制御プログラムや制御データ等のデータを的確に書き換えることができるようになる。

（７）エンジン制御装置１１０内のデータの書き換えが未実行であるとき、ＩＧスイッチがオフ操作された時点、及び同ＩＧスイッチがオン操作された時点において、上記書換準備完了通知処理（ステップＳ３００）を再実行するようにした。このため、上記データの書き換え（リプログラミング）にかかるより円滑な実行が促されるようになる。

（８）エンジン制御装置１１０内のデータの書き換えの実行を指示する操作が行われたとき、車載エンジンの稼働の禁止を要求する通知をユーザに対して行うようにした。このため、リプログラミング中の車両のキースイッチの操作が好適に回避されるようになり、同エンジン制御装置１１０内のデータをより的確に書き換えることができるようになる。

（９）ユーザによって設定されるタイマ時間（書換開始時刻）に到達することに基づき上記マスタ制御装置１４０の制御部１４１を起動するソークタイマ１４６を備えることとした。そして、該マスタ制御装置１４０の制御部１４１が、この起動に基づき、上記メモリ装置１４３に格納されている書き換え用のデータが適正であることを条件に、上記エンジン制御装置１１０内のデータを書き換える上記書換実行処理（ステップＳ４０３）を実行するようにした。このため、上記データの書き換え実行時期をユーザが適宜に選択（指示）することができるようになる。また併せて、車載エンジンの稼働が停止しており、且つ、車両のキースイッチがオフ状態にあるとき（車両の状態が上記データの書き換えに適した状況にあるとき）に、上記マスタ制御装置１４０の制御部１４１が自動起動されて上記書き換えを実行するため、高い信頼性の下で該データの書き換えを実行することができるようになる。

（１０）ソークタイマ１４６によって当該マスタ制御装置１４０の制御部１４１が起動された時点で、上記メモリ装置１４３に格納されている書き換え用のデータが適正であると判断されている場合、この自動起動時に行われる車載機器の故障診断処理（ダイアグ処理）の実行を禁止するようにした。これにより、該故障診断処理と並行して上記書換処理が行われることが回避されるようになり、上述の書換処理（１次処理〜４次処理）をより的確に実行することができるようになる。

（１１）ユーザからのキャンセル指示に基づき、上記エンジン制御装置１１０内のデータの書き換えを延期することとしたため、ユーザは、車両の利用機会を容易に確保することができるようになる。

（１２）上記エンジン制御装置１１０内のデータの書き換えに際し、車両の状態が該書き換えに適した状態にあるか否かの開始判定を行うこととした。そして、車両の状態が該書き換えに適した状態にあると判定されることを条件に、上記メモリ装置１４３に格納されている書き換え用のデータを用いて上記エンジン制御装置１１０内のデータを書き換えるようにした。このため、該データの書き換えが、車両の状態が上記データの書き換えに適した状況にあるときにより確実に実行されるようになる。

（１３）エンジン回転数が「５０ｒｐｍ」未満（実質的に「０」）となった時刻から予め設定された時間が経過するまで待機し、上述の後処理と並行して上記エンジン制御装置１１０内のデータの書き換えが実行されることを回避するようにしたため、より高い信頼性の下で該データの書き換えを実行することができるようになる。

（１４）マスタ制御装置１４０が、無線通信部１４２、及びメモリ装置１４３を備えることとしたため、無線通信によって得られる書き換え用のデータを上記通信バス１０１を利用することなくメモリ装置１４３に格納することができるようになる。

（第２の実施の形態）
次に、この発明にかかる車載制御装置についてその第２の実施の形態を示す。なお、この実施の形態の車載制御装置も、先の第１の実施の形態の車載制御装置（図１）とほぼ同様、大きくは、各種の車載機器を分散制御する複数の電子制御装置と、これら各電子制御装置に関する情報を総括管理するマスタ制御装置とを備え、これら制御装置間での通信をバス型のネットワークシステムを通じて行うものとなっている。また、車載制御装置が備える各制御装置の内部構造も、先の第１の実施の形態（図２）とほぼ同様であり、上記制御プログラムや制御データの書き換えに際し、同車載制御装置のマスタ制御装置がまず、
・無線通信によって得られる書き換え用のデータを一時的にメモリ装置１４３に格納するとともに該格納された書き換え用のデータの適正性を判断すること。
・上記格納された書き換え用のデータが適正であることを条件に、同書き換え用のデータを用いて書き換え対象となる制御装置内のデータの書き換え（リプログラミング）を実行すること。
等々、といった処理を行う点についても、先の第１の実施の形態とほぼ同様である。

ただし、この実施の形態では、図１７に、先の図３と比較して示すように、書き換え対象となるエンジン制御装置１１０内のデータを書き換えるための一連の処理態様（１次処理〜４次処理）が異なっている。すなわち、この実施の形態の車載制御装置１００は、上記書き換え用のデータを上記メモリ装置１４３に格納するための１次処理（ステップＳ６）、及び該書き換え用のデータの適正性を判断するための２次処理（ステップＳ７）についてはこれらを、管理センター２００との間で授受される図１７に示される情報に基づき実行する。

図１８及び図１９は、この実施の形態にかかる車載制御装置１００が上記１次処理及び２次処理（ステップＳ６及びＳ７）を実行するにあたって、上記管理センター２００及びマスタ制御装置１４０がそれぞれ行う処理についてそれらの処理手順を示すフローチャートである。次に、図１７〜図１９を併せ参照して、上記１次処理及び２次処理（ステップＳ６及びＳ７）について説明する。

まず、図１７及び図１８を参照して、上記１次処理及び２次処理（ステップＳ６及びＳ７）のうち、上記管理センター側から見たときの１次処理及び２次処理（ステップＳ６ａ及びＳ７ａ）について説明する。

図１７及び図１８に示されるように、この処理に際しては、上記管理センター２００がまず、ステップＳ６１１の処理として、書き換えの対象となる車両（制御装置）を指定するＩＤ、及びエンジン制御装置１１０内のデータの書き換えを要求する通知（書き換え要求）を上記車載制御装置１００のマスタ制御装置１４０に送信する。なお、このステップＳ６１１の処理は、上記マスタ制御装置１４０から上記データの書き換えの実行開始を許可する開始応答を受信するまで繰り返し実行される（ステップＳ６１２）。

そして次に、ステップＳ６１３の処理として、同管理センター２００は、上記マスタ制御装置１４０から送信される開始応答に基づき、上記書き換え用のデータを上記マスタ制御装置１４０にパケット通信によって送信する。すなわち、同管理センター２００は、図２０に示されるように、上記書き換え用のデータをデータブロック単位（データブロック「１」〜データブロック「ｎ」）で所定のメモリの第１領域２０１に保持している。そして、この実施の形態においても、これらデータブロック単位（パケット単位）で上記書き換え用のデータ（送信データ「１」〜送信データ「ｎ」）を送信する。ただし、この実施の形態では、同マスタ制御装置１４０は、ステップＳ６１４の処理として、上記マスタ制御装置１４０から上記書き換え用のデータを受信した旨の受信完了通知を受信するまで上記ステップＳ６１３の処理を繰り返し実行することで、上記書き換え用のデータを構成する全てのデータブロックを一括して送信する。

この管理センター２００においては、こうしたステップＳ６１１〜Ｓ６１４の処理が、上記管理センター側から見たときの１次処理（ステップＳ６ａ）として実行され、これによって上記書き換え用のデータが上記マスタ制御装置１４０のメモリ装置１４３に格納されるようになる。そして、これらステップＳ６１１〜Ｓ６１４の処理が終了すると、同管理センター２００は上述の通り、上記管理センター側から見たときの２次処理（ステップＳ７ａ）を実行する。

すなわち、いま、上記ステップＳ６１４の処理において、上記受信完了通知が受信されたとすると、同管理センター２００は、まず、ステップＳ７１１の処理として、上記マスタ制御装置１４０から上記メモリ装置１４３に格納された上記書き換え用のデータの返信があるまで待機する。なおここでも、上記書き換え用のデータはデータブロック単位（パケット単位）で分割送信され、このステップＳ７１１の処理において、該書き換え用のデータを構成する全てのデータブロックが返信されると、同管理センター２００は、次にステップＳ７１２の処理に移行する。

このステップＳ７１２の処理においては、上記マスタ制御装置１４０から返信された書き換え用のデータを、先の図２０に例示したかたち（データブロック単位）で上記所定のメモリの第２領域（図示略）に格納する。そして、同管理センター２００は通常、次にステップＳ７２０の処理として、上記第１領域２０１に予め保持している上記データをベリファイ用のデータとして用いて、該ベリファイ用のデータと上記第２領域に格納されている上記返信された書き換え用のデータとのベリファイチェック処理を行った時点で、この制御を終了する。

ちなみに、後述するが、このベリファイチェック処理（ステップＳ７２０）では、上記マスタ制御装置１４０に対し、上記ベリファイチェックの結果が送信される。これにより、上記マスタ制御装置１４０では、該ベリファイチェックの結果に基づき、上記メモリ装置１４３に格納されている書き換え用のデータが適正であるか否かの判断が行われ、この結果、該データが適正であることを条件に、同書き換え用のデータを用いて上記エンジン制御装置１１０内のデータが書き換えられるようになる。ただし、同ベリファイチェックの結果の送信に基づき、上記メモリ装置１４３に格納されている書き換え用のデータが適正でないと判断された場合、同マスタ制御装置１４０では、図１７に示されるように、当該書換処理（１次処理〜４次処理）を上記１次処理（ステップＳ６）から再実行する旨を当該管理センター２００に要求する通知を行う。したがってこの場合、同管理センター２００は、上記ステップＳ６１１の処理からの各処理を再実行することとなる（ステップＳ７１３）。

この管理センター２００においては、こうしたステップＳ７１１〜Ｓ７１３、並びにステップＳ７２０の処理が、上記管理センター側から見たときの２次処理（ステップＳ７ａ）として実行される。

次に、図１７及び図１９を参照して、上記１次処理及び２次処理（ステップＳ６及びＳ７）のうち、車両側から見たときの１次処理及び２次処理（ステップＳ６ｂ及びＳ７ｂ）について説明する。

同図１７及び図１９に示されるように、いま、上記管理センター２００において、上記書き換えの対象となる車両（制御装置）を指定するＩＤを送信する処理（ステップＳ６１１）が実行されたとすると、同車載制御装置１００のマスタ制御装置１４０がまず、ステップＳ６６１の処理として、同ＩＤが当該車両を指定しているか否かを確認する。同ＩＤが当該車両を指定しているときは、次いで、上記管理センター２００に対して上記データの書き換えの実行開始を許可する開始応答を送信し（ステップＳ６６２）、該書き換え用のデータを受信するまで待機する（ステップＳ６６３）。

そして、このステップＳ６６３の処理において、データブロック単位で分割送信される上記書き換え用のデータの全データが受信されると、同マスタ制御装置１４０は、次にステップＳ６６４の処理として、１次処理フラグを論理「Ｈ」レベルに操作する。なお、この実施の形態においても、該１次処理フラグを含めて、各フラグ情報は、上記マスタ制御装置１４０の制御部１４１が内蔵するバックアップＲＡＭにおいて記憶され、同制御部１４１によって操作される。そして、同マスタ制御装置１４０は、上記１次処理フラグをこうして操作した上で、次にステップＳ６６５の処理として、上記受信した書き換え用のデータを上記メモリ装置１４３に格納する。そして、該書き換え用のデータの格納が完了したことをもって、ステップＳ６６６の処理として、上記１次処理フラグを論理「Ｌ」レベルに操作するとともに、２次処理フラグを論理「Ｈ」レベルに操作する。そして次に、ステップＳ６６７の処理として、同マスタ制御装置１４０は、上記管理センター２００に対して上記書き換え用のデータの受信が完了した旨の受信完了通知を送信する。

このマスタ制御装置１４０においては、こうしたステップＳ６６１〜Ｓ６６７の処理が、上記車両側から見たときの１次処理（ステップＳ６ｂ）として実行される。そして、これらステップＳ６６１〜Ｓ６６７の処理が終了すると、同マスタ制御装置１４０は上述の通り、車両側から見たときの２次処理（ステップＳ７ｂ）を実行する。

すなわち、いま、上記ステップＳ６６７の処理において、上記管理センター２００に対して上記受信完了通知を送信したとすると、同マスタ制御装置１４０はまず、ステップＳ７６１の処理として、上記メモリ装置１４３に格納されている書き換え用のデータを読み出して上記管理センター２００に送信（返信）する。これにより、上記管理センター２００では上述の通り、該マスタ制御装置１４０から返信される書き換え用のデータに基づき上記ベリファイチェック処理（ステップＳ７１２）が実行されるようになる。

そこで、該マスタ制御装置１４０では、上記管理センター２００によるベリファイチェックの結果を受信するまで待機し（ステップＳ７６２）、該受信したベリファイチェックの結果に基づき、上記メモリ装置１４３に格納されている書き換え用のデータに適正性があるか否かの判断を行う（ステップＳ７６３）。この結果、上記ベリファイチェックが一致しており、上記メモリ装置１４３に格納されている書き換え用のデータが適正であると判断された場合には、同マスタ制御装置１４０は、次にステップＳ７６４の処理として、上記２次処理フラグを論理「Ｌ」レベルに操作するとともに、３，４次処理フラグを論理「Ｈ」レベルに操作する。そして、上記２次処理フラグ及び３，４次処理フラグをこうして操作した上で、次にステップＳ３００の処理として、エンジン制御装置１１０内のデータを書き換えるための準備が完了した旨をユーザに通知する書換準備完了通知処理（３次処理）を実行する。

一方、上記ステップＳ７６３の処理において、上記ベリファイチェックが一致しておらず、上記メモリ装置１４３に格納されている書き換え用のデータが適正でないと判断された場合には、同マスタ制御装置１４０は、次にステップＳ７６５の処理として、上記２次処理フラグを論理「Ｌ」レベルに操作する。すなわちこの場合、メモリ装置１４３に格納されている書き換え用のデータを削除し（ステップＳ７６６）、上記管理センター２００に対し、当該書換処理（１次処理〜４次処理）を上記１次処理（ステップＳ６）から再実行する旨を要求することとなる。

このマスタ制御装置１４０においては、こうしたステップＳ７６１〜Ｓ７６７の処理が、上記車両側から見たときの２次処理（ステップＳ７ｂ）として実行される。そしてその後は、図１７及び図１９に併せて示されるように、先の第１の実施の形態と同様、３次処理及び４次処理（ステップＳ３及びＳ４）を順次に実行することで、上記エンジン制御装置１１０内のデータを書き換える。

図２１は、上記管理センター２００において行われる上記ベリファイチェック処理（ステップＳ７２０）についてその処理手順を示すフローチャートであり、次に、同図２１を参照して、該処理について説明する。

この処理に際しては、上記管理センター２００がまず、ステップＳ７２１の処理として、上記所定のメモリの第２領域に格納されている上記返信された書き換え用のデータと、同メモリの第１領域２０１（図２０）に格納されているデータとをそれぞれ読み出す。そして次に、ステップＳ７２２の処理として、上記第１領域２０１から読み出されたデータをベリファイ用のデータとして用いて、該ベリファイ用のデータと上記返信された書き換え用のデータとを互いに対応するデータブロック単位で比較（ベリファイチェック）する。この結果、これら２つのデータブロックが一致した場合には、次にステップＳ７２３の処理として、上記返信された書き換え用のデータを構成する全てのデータブロックに関してのベリファイチェックが完了したか否かを判断する。そして、このステップＳ７２３の処理において、上記ベリファイチェックが完了したと判断されると、同管理センター２００は、次にステップＳ７２４の処理として、上記マスタ制御装置１４０に対して上記ベリファイチェックが一致した旨を通知する。

一方、上記ステップＳ７２３の処理において、上記返信された書き換え用のデータを構成する全てのデータブロックに関してのベリファイチェックが完了していないと判断される場合には、該ベリファイチェックが完了したと判断されるまで上記ステップＳ７２２の処理（ベリファイチェック）を繰り返し実行することとなる。ただしこの際、このステップＳ７２２の処理において、上記２つのデータブロックが一致しないと判断された場合、同管理センター２００は、次にステップＳ７２５の処理として、上記ベリファイチェックが一致しなかった旨を上記マスタ制御装置１４０に通知した時点で、このベリファイチェック処理を終了する。

以上説明したように、この第２の実施の形態にかかる車載制御装置によっても、基本的には先の第１の実施の形態の前記（１）及び（２）、並びに前記（４）〜（１４）の効果と同等、あるいはそれに準じた効果を得ることができるとともに、以下の効果を新たに得ることができるようになる。

（１５）上記書き換え用のデータ、及び上記ベリファイ用のデータがいずれもその全データ（全データブロック）が所定のメモリに格納されて後に、上記ベリファイチェックを実行することとしたため、これら２つのデータに相違部分があるとき、その部分の認識が容易となる。
（他の実施の形態）
なお、上記各実施の形態は、以下のように変更して実施することもできる。

・上記管理センター２００によるデータ送信に際して、上記マスタ制御装置１４０の制御部１４１に対する給電が遮断されているときに上記ソークタイマ１４６による該制御部１４１の自動起動を促すための信号を併せて送信するようにすることが実用上より望ましい。

・車両が上記データの書き換えに適した状態にあるか否かの開始判定を、車載エンジンの運転停止に伴ってその回転数が「０」となった時刻から予め設定された時間が経過していること、及び条件（ａ）〜（ｅ）の論理積が満たされているか否かの判断に基づき行うようにした。ただし、車両が上記データの書き換えに適した状態にあるか否かを判定する上では、当該車両の安全が確保されているか否かを確認するための条件（ａ）〜（ｃ）についてはそれらが満たされているか否かの判断を必ずしも行わなくてもよい。また、該開始判定の判定態様については、任意である。例えば、上記エンジン回転数が「０」となった時刻から予め設定された時間が経過していること、及び車載バッテリの電圧が予め設定されている下限値以上であること、の論理積条件が満たされていることをもって、車両の状態が上記データの書き換えに適した状態にあると判断するようにしてもよい。このような条件下であっても、車両は上記データの書き換えを適正に行うために必要とされる最低限の状態にはある。

・シートに着座しているか否かに関わらず、予め登録されている携帯電話へのメール送信（Ｅメール）によって、上記データを書き換えるための準備が完了した旨をユーザに通知するようにしてもよい。

・スマートカードキーが車両の近傍にあるとの認識に基づいてドアロック制御や、ハザードランプの点灯制御を実行するなど、他の通知態様をもって、ユーザへの各種通知を行うようにしてもよい。

・ユーザによる上記データの書き換えのキャンセル要求は、ユーザによる車両の利用機会を確保する上で利便であるものの、必ずしも要求可能としなくてもよい。
・上記エンジン制御装置１１０は、ソークタイマ１１５を必ずしも備えなくてもよい。ただしこの場合、上記４次処理（ステップＳ４）として、ユーザによって上記データの書き換えが指示された時点で、上記データの書き換えを実行することとなる。

・上記メモリ装置１４３に格納されている書き換え用のデータが適正であると判断されて以降、上記書換準備完了通知処理（ステップＳ３００）を実行するタイミングは任意であり、またその実行回数も任意（ただし、１回以上）である。

・上記データの書き換えの実行を指示する操作を、上記エンジン制御装置１１０内のデータの書き換え（４次処理）の実行開始条件としなくてもよい。例えば、ソークタイマ１４６に予めタイマ時間を設定しておき、該ソークタイマ１４６によってマスタ制御装置１４０が起動されることに基づき、メモリ装置１４３に格納されている書き換え用のデータが適正であると判断されていることを条件に、上記データの書き換えを実行するようにしてもよい。

・ＩＧスイッチのオン操作時以外のタイミングにおいて、バックアップＲＡＭに上記通信中止履歴が保持されていることに基づき、上記メモリ装置１４３に格納されている書き換え用のデータの消去や、該消去した書き換え用のデータの再受信を行うようにしてもよい。

・ベリファイチェックは、任意のデータ長を単位として行うことができる。
・上記１次処理フラグ、２次処理フラグ、３，４次処理フラグについては、先の図５に例示したかたちで操作される限りは、上記メモリ装置１４３を含めて、いずれの手段にて保持してもよい。また、各種の履歴情報（通信中止履歴など）についても同様、書き込み／消去可能に不揮発な状態で保持される限りは、上記メモリ装置１４３を含めて、いずれの手段にて保持してもよい。

・上記エンジン制御用プログラムメモリ１１３や書換制御用プログラムメモリ１１４が、ＥＥＰＲＯＭなど、電気的に書き換え可能な不揮発性メモリからなる場合、上記エンジン制御装置１１０の制御部１１１は、上記後処理において次回の運転時まで保持すべき学習値等のデータをこれらメモリ１１３、１１４に格納してもよい。

・ＩＧスイッチの操作に基づく前述の各処理（書換準備完了通知処理など）は、アクセサリースイッチなど、別のキースイッチの操作に基づいて行うようにしてもよい。
・マスタ制御装置１４０が、上記無線通信部１４２、及びメモリ装置１４３を備えることとしたが、これら無線通信部１４２、及びメモリ装置１４３を各別の制御装置に備えるようにしてもよい。メモリ装置１４３として例えば、ナビゲーションシステムを構成する制御装置に設けられるハードディスク等の大規模メモリを採用するようにすれば、該メモリ装置１４３としての容量を確保することも容易となる。

・メモリ装置１４３は、データが不揮発な状態で保持される書き換え可能なメモリであればよい。
・マスタ制御装置１４０の書き換えの対象は、電子制御装置１１０〜１３０に限られず、任意である。また、電子制御装置１１０〜１３０を書き換えの対象としなくてもよい。

・上記各実施の形態の車載制御装置を、２つの電子制御装置の間で、専用の通信線を通じて通信するものに適用することも可能である。
・無線通信によって得られる書き換え用のデータを一時的にメモリ装置１４３に格納するとともに該格納された書き換え用のデータの適正性を判断する。そして、該格納された書き換え用のデータが適正であることを条件に、同書き換え用のデータを用いて書き換え対象となる制御装置内のデータの書き換え（リプログラミング）を実行する車載制御装置であれば、無線通信によって得られる書き換え用のデータの取得時期や書き換え実行時期にかかる自由度を高めつつ、それらデータの書き換えにかかる信頼性のさらなる向上を図ることはできる。この意味では、上記管理センター２００との間での通信中に当該車両のキースイッチがオフ操作されることに基づき、車載バッテリからの給電状態をデータ通信に要する時間だけ必ずしも保持しなくてよい。また、上記管理センター２００との間での通信中に車載バッテリからの給電が遮断されることに基づいて該給電が遮断された旨を示す通信中止履歴を必ずしも不揮発性メモリに保持しなくてよい。

この発明にかかる車載制御装置の第１の実施の形態について、管理センターとの関係も含めて、その全体構成を示すブロック図。 同実施の形態の車載制御装置のうち、特にマスタ制御装置及びエンジン制御装置の内部構造を示すブロック図。 マスタ制御装置及びエンジン制御装置の協働の下に行われるデータの書換処理についてその処理手順を示すシーケンスチャート。 管理センターにおいて行われる書き換え用のデータの送信処理についてその処理手順を示すフローチャート。 書換処理の進行状況に応じて操作されるフラグ情報の推移を概念的に示すチャート。 マスタ制御装置において行われる書換処理についてその具体的な処理手順を示すフローチャート。 マスタ制御装置によるデータ格納処理についてその処理手順を示すフローチャート。 書き換え用のデータが一時的に格納されるメモリ装置のメモリ構造を示すブロック図。 マスタ制御装置による適正性判断処理についてその処理手順を示すフローチャート。 マスタ制御装置による書換準備完了通知処理についてその処理手順を示すフローチャート。 ＩＧスイッチのオフ操作時にマスタ制御装置により行われる処理についてその処理手順を示すフローチャート。 ＩＧスイッチのオン操作時にマスタ制御装置により行われる処理についてその処理手順を示すフローチャート。 ユーザ指示に対する応答処理についてその処理手順を示すフローチャート。 ソークタイマによる自動起動に基づきマスタ制御装置により行われる処理についてその処理手順を示すフローチャート。 マスタ制御装置による書換実行処理についてその処理手順を示すフローチャート。 マスタ制御装置による開始判定処理についてその処理手順を示すフローチャート。 この発明にかかる車載制御装置の第２の実施の形態において行われるデータの書換処理についてその処理手順を示すシーケンスチャート。 同実施の形態の車載制御装置が１次処理及び２次処理を実行するにあたって、管理センターが行う処理についてその処理手順を示すフローチャート。 同実施の形態の車載制御装置が１次処理及び２次処理を実行するにあたって、マスタ制御装置が行う処理についてその処理手順を示すフローチャート。 管理センターにおいて書き換え用のデータを保持するメモリのメモリ構造を示すブロック図。 管理センターにおいて行われるベリファイチェック処理についてその処理手順を示すフローチャート。

符号の説明

１００…車載制御装置、１０１…通信バス、１１０…エンジン制御装置、１１１、１４１…制御部、１１２、１４４…通信装置、１１３…エンジン制御用プログラムメモリ、１１４…書換制御用プログラムメモリ、１１５、１４６…ソークタイマ、１２０…トランスミッション制御装置、１３０…ブレーキ制御装置、１４０…マスタ制御装置、１４２…無線通信部、１４３…メモリ装置、１４３ａ…メモリ領域、１４５…通信状況判定部、２００…管理センター、２０１…第１領域。

Claims (21)

1. 不揮発性メモリの書き換え可能な領域に格納されている車載機器を制御するための制御プログラム及び制御データの少なくとも一方が無線通信によって外部から得られる書き換え用のデータに基づき書き換え可能に構成された車載制御装置において、
   前記制御プログラム及び制御データの少なくとも一方の書き換えに際して前記書き換え用のデータが一時的に格納される記憶手段と、該記憶手段に格納された書き換え用のデータの適正性を判断する判断手段と、該判断手段により前記記憶手段に格納されている書き換え用のデータが適正であることが判断されることを条件に、同書き換え用のデータを用いて前記制御プログラム及び制御データの少なくとも一方を書き換える書換制御手段とを備える
   ことを特徴とする車載制御装置。
2. 前記判断手段による判断が、前記記憶手段に格納された書き換え用のデータと同データに対応するベリファイ用のデータとのベリファイチェックに基づいて行われる
   請求項１に記載の車載制御装置。
3. 前記ベリファイチェックは、前記記憶手段に格納されている書き換え用のデータの当該車載制御装置からの返信に基づき前記書き換え用のデータの送信元において行われ、前記判断手段は、このベリファイチェックの結果として前記送信元から送信される情報に基づいて前記記憶手段に格納されている書き換え用のデータの適正性を判断する
   請求項２に記載の車載制御装置。
4. 前記ベリファイチェックは、前記記憶手段に格納されている書き換え用のデータと該データに対応して送信元から再送信されるデータとに基づき当該車載制御装置において行われ、前記判断手段は、このベリファイチェックの結果を直接参照して前記記憶手段に格納されている書き換え用のデータの適正性を判断する
   請求項２に記載の車載制御装置。
5. 当該車載制御装置と前記送信元との間での通信がパケット通信によって行われ、前記ベリファイチェックは、パケット単位に分割されたデータを単位として行われる
   請求項３または４に記載の車載制御装置。
6. 前記ベリファイチェックは、前記記憶手段に格納された書き換え用のデータのデータ長を単位として行われる
   請求項３または４に記載の車載制御装置。
7. 前記書き換え用のデータの送信元との間での通信中に当該車両のキースイッチがオフ操作されることに基づき、車載バッテリからの給電状態を前記データの通信に要する時間だけ保持する
   請求項１〜６のいずれか一項に記載の車載制御装置。
8. 前記書き換え用のデータの送信元との間での通信中に車載バッテリからの給電が遮断されることに基づいて該給電が遮断された旨を示す履歴情報を不揮発性メモリに保持する手段をさらに備える
   請求項１〜７のいずれか一項に記載の車載制御装置。
9. 当該車両のキースイッチのオン操作時に前記履歴情報が前記不揮発性メモリに保持されていることに基づき、前記記憶手段に格納されているデータの消去と該消去したデータの再受信とを行う手段をさらに備える
   請求項８に記載の車載制御装置。
10. 請求項１〜９のいずれか一項に記載の車載制御装置において、
    設定されたタイマ時間に到達することに基づいて当該車載制御装置を自動起動するソークタイマをさらに備え、
    前記書換制御手段は、前記ソークタイマによって当該車載制御装置が起動されることに基づき、前記記憶手段に格納された書き換え用のデータが適正であると判断されていることを条件に、前記制御プログラム及び制御データの少なくとも一方を書き換える
    ことを特徴とする車載制御装置。
11. 請求項１〜９のいずれか一項に記載の車載制御装置において、前記記憶手段に格納された書き換え用のデータが適正であると判断されることに基づいて前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えの実行待ち状態にある旨をユーザに通知する通知手段をさらに備え、同書換制御手段は、この通知によって前記制御プログラム及び制御データの少なくとも一方の書き換えの実行を指示する操作が行われることに基づき、前記制御プログラム及び制御データの少なくとも一方の書き換えを実行する
    ことを特徴とする車載制御装置。
12. 前記通知手段は、前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えが未実行であるとき、当該車両のキースイッチがオフ操作された時点、及び同キースイッチがオン操作された時点、の少なくとも一方の時点において前記通知を再実行する
    請求項１１に記載の車載制御装置。
13. 前記通知手段は、前記制御プログラム及び制御データの少なくとも一方の書き換えの実行を指示する操作が行われたとき、車載エンジンの稼働の禁止を要求する通知をさらに行う
    請求項１１または１２に記載の車載制御装置。
14. 請求項１１〜１３のいずれか一項に記載の車載制御装置において、
    前記通知手段による前記書き換えの実行待ち状態にある旨の通知に基づきタイマ時間が設定操作されるとともに、該設定されたタイマ時間に到達することに基づいて当該車載制御装置を自動起動するソークタイマをさらに備え、
    前記書換制御手段は、前記ソークタイマによって当該車載制御装置が起動されることに基づき、前記記憶手段に格納された書き換え用のデータが適正であると判断されていることを条件に、前記制御プログラム及び制御データの少なくとも一方を書き換える
    ことを特徴とする車載制御装置。
15. 当該車載制御装置は前記ソークタイマによって起動されることに基づき車載機器の故障診断を行うものであり、前記ソークタイマによって当該車載制御装置が起動された時点で前記記憶手段に格納された書き換え用のデータが適正であると判断されているときは、前記車載機器の故障診断の実行を禁止する
    請求項１０または１４に記載の車載制御装置。
16. 前記書換制御手段は、前記通知手段による前記書き換えの実行待ち状態にある旨の通知に対して前記制御プログラム及び制御データの少なくとも一方の書き換えのキャンセルを指示する操作が行われたとき、前記ソークタイマによる当該車載制御装置の起動時の前記制御プログラム及び制御データの少なくとも一方の書き換えを延期する
    請求項１４に記載の車載制御装置。
17. 前記通知手段は、予め登録されている携帯電話へのメール送信によって前記通知を行う
    請求項１１〜１６のいずれか一項に記載の車載制御装置。
18. 前記通知手段は、ナビゲーションシステムの画面表示を通じて前記通知を行う
    請求項１１〜１６のいずれか一項に記載の車載制御装置。
19. 前記書換制御手段による前記制御プログラム及び制御データの少なくとも一方の書き換えに際し、車両の状態が前記制御プログラム及び制御データの少なくとも一方の書き換えに適した状態にあるか否かの開始判定を行い、該開始判定の結果、前記車両の状態が前記書き換えに適した状態にあると判定されることを条件に、前記記憶手段に格納されている書き換え用のデータを用いて前記制御プログラム及び制御データの少なくとも一方の書き換えを開始する
    請求項１〜１８のいずれか一項に記載の車載制御装置。
20. 前記書換制御手段による開始判定は、車載エンジンの運転停止に伴ってその回転数が「０」となった時刻から予め設定された時間が経過していること、及び車載バッテリの電圧が予め設定されている下限値以上であること、の論理積条件が満たされているか否かに基づき行われ、該論理積条件が満たされていることをもって前記書き換えに適した状態にあると判定する
    請求項１９に記載の車載制御装置。
21. 当該車載制御装置が分散制御を実行する複数の電子制御装置からなるとともに、車内ＬＡＮを構成する通信バスによって相互に接続されてなり、それら電子制御装置の１つに、前記書き換え用のデータの送信元との間での通信を行う通信手段、及び前記記憶手段が設けられてなる
    請求項１〜２０のいずれか一項に記載の車載制御装置。

Images