具体实施方式

以下，参照附图对一实施方式进行说明。数据分发系统是中心装置向车辆侧通过无线分发数据的系统。在本实施方式中，作为从中心装置分发到车辆侧的数据，例如例示用于更新搭载于车辆的ECU的车辆控制、诊断等所使用的应用程序的重编数据。此处所说的重编数据包含ECU的硬件(物理机)执行应用程序来控制ECU的动作所需的软件。

如图1所示，数据分发系统1具有：将重编数据向车辆侧分发的中心装置2、由将重编数据提供给中心装置2的活动管理者管理的活动管理者终端3、搭载于车辆的车辆侧系统4以及用户能够携带的便携终端5。便携终端5例如是具有Web浏览器的智能手机、平板电脑等。中心装置2、活动管理者终端3、车辆侧系统4以及便携终端5构成为能够经由通信网络6进行数据通信。通信网络6包含依照LPWA(Low Power Wide Area：低功耗广域)的通信方式的通信网络、依照LTE(Long Term Evolution：长期演进)的通信方式的通信网络。中心装置2与车辆侧系统4以及便携终端5为一对多的关系，中心装置2能够与非特定多数的车辆侧系统4以及便携终端5进行数据通信，并能够将重编数据分发至非特定多数的车辆侧系统4以及便携终端5。

活动管理者终端3管理从中心装置2向车辆侧分发的重编数据，例如若由于功能提高、错误修复等而重编数据的分发事件成立，则将活动信息发送至中心装置2。

中心装置2若接收到从活动管理者终端3发送的活动信息，则将通知重编数据的分发的活动通知分发至车辆侧系统4、便携终端5。

车辆侧系统4具有车辆用主装置7。车辆用主装置7具有车载通信机8和网关装置9，车载通信机8与网关装置9以能够进行数据通信的方式连接。车载通信机8与中心装置2之间经由通信网络6进行数据通信。车载通信机8若从中心装置2下载重编数据，则将该下载的重编数据转发到网关装置9。

在网关装置9经由总线10连接有车辆用HMI(Human Machine Interface：人机接口)装置12，并经由总线11连接有各种ECU13。车辆用HMI装置12具有HMI功能，并具有显示各种画面的功能以及接受用户的操作的功能。总线11例如是行驶系统网络的总线，连接进行行驶系统的控制的ECU。进行行驶系统的控制的ECU例如是控制加速器的驱动的加速器ECU、控制制动器的驱动的制动器ECU、控制转向的驱动的转向ECU、控制自动驾驶功能的自动驾驶ECU等。除了行驶系统网络的总线之外，总线11例如也可以是车体系统网络的总线、多媒体系统网络的总线等，也可以连接进行车体系统的控制的ECU、进行多媒体系统的控制的ECU。总线11的种类、根数、ECU13的种类、个数并不限定于例示的结构。

网关装置9具有数据中继功能，若从车载通信机8转发重编数据，则将该转发的重编数据分发至被指定为分发目的地的ECU13。ECU13若从网关装置9接收到重编数据，则将该接收的重编数据写入闪存。ECU13通过将重编数据写入闪存，从而更新应用程序，进行应用程序的功能提高、错误修复。

在上述的结构中，便携终端5以及车辆用HMI装置12若分别接收到从中心装置2分发的活动通知，则显示活动通知画面，并将表示能够从中心装置2下载重编数据的活动信息通知给用户。若活动通知画面被显示于便携终端5或车辆用HMI装置12，则用户通过在各种画面上确认应用程序的更新的手续，并输入或者选择必要事项，从而能够进行应用程序的更新的手续。即，用户能够在车厢外和车厢内分开使用便携终端5和车辆用HMI装置12来进行应用程序的更新的手续。用户如果在乘车中则能够从车辆用HMI装置12进行应用程序的更新的手续，即使不在乘车中但如果拥有便携终端5则也能够从便携终端5进行应用程序的更新的手续。另外，也可以在应用程序的更新伴随紧急性的情况下，即使不显示活动通知画面，用户不进行应用程序的更新的手续，也从中心装置2下载重编数据。

中心装置2具有：控制部14、数据通信部15、活动信息存储部16、用户信息存储部17、车辆信息存储部18以及外部信息存储部19。虽然在本实施方式中例示出这些存储部16～19被设置在中心装置2的内部的结构，但也可以是这些存储部16～19被设置在与中心装置2不同的外部服务器的结构，还可以是中心装置2与外部服务器进行数据通信的结构。

数据通信部15在与活动管理者终端3、车辆侧系统4、便携终端5之间经由通信网络6进行数据通信。活动信息存储部16将与分发对象的重编数据有关的各种信息存储为活动信息，并且存储重编数据。活动信息包含分发目的地、数据的分发量、重编数据的种类等，通过从活动管理者终端3发送到中心装置2而被存储至活动信息存储部16。重编数据通过从活动管理者终端3发送到中心装置2而被存储至活动信息存储部16。

用户信息存储部17将与车辆的所有者亦即车主有关的各种信息存储为用户信息。用户信息包含固有地赋予给车辆的车辆识别编号(以下，称为VIN(VehicleIdentification Number))、搭载于该车辆的车载通信机8的电话号码、用户所有的便携终端5的电话号码等。对于用户信息，例如由用户在购买车辆时通过车辆用HMI装置12进行登记操作，并通过从车辆用主装置7发送到中心装置2而被存储至用户信息存储部17。

车辆信息存储部18将与车辆有关的各种信息存储为车辆信息。车辆信息包含表示车辆日志的日志信息、表示车辆位置的位置信息。车辆日志例如是指发动机的开启时刻、发动机的关闭时刻、加速器的操作时刻、操作量、制动器的操作时刻或操作量、方向盘的操作时刻或操作量等。车辆信息通过从车辆用主装置7发送到中心装置2而被存储至车辆信息存储部18。

外部信息存储部19将从车辆外部获取的各种信息存储为外部信息。外部信息例如包含地图信息、气象信息、道路信息、SNS(Social Networking Service：社交网络服务)信息等。地图信息通过从地图信息分发服务器发送到中心装置2而被存储至外部信息存储部19。气象信息是天气、降水量、降雪量、风速、风向等与一般气象有关的信息，通过从气象信息分发服务器发送到中心装置2而被存储至外部信息存储部19。道路信息是路面状况、交通状况等与一般道路有关的信息，通过从道路信息分发服务器发送到中心装置2而被存储至外部信息存储部19。SNS信息是通过脸书(Facebook)、推特(Twitter，注册商标)、照片墙(Instagram)等应用从非特定多数的用户提供的信息，例如通过在提供SNS服务的机构汇集从非特定多数的用户提供的信息，并由操作人员将该汇集的信息登记至中心装置2而存储至外部信息存储部19。

控制部14具有包含CPU(Central Processing Unit：中央处理器)、ROM(Read OnlyMemory：只读存储器)、RAM(Random Access Memory：随机存取存储器)等的微机，执行储存于非迁移实体存储介质的控制程序来进行各种处理，控制中心装置2的动作。控制部14执行的控制程序包含分发控制程序。控制部14具有：分发控制部14a、车辆信息获取部14b、车辆信息解析部14c、外部信息获取部14d、外部信息解析部14e、正常动作判定部14f、分发对象扩大部14g以及分组部14h。

分发控制部14a控制向车辆侧的重编数据的分发。车辆信息获取部14b获取车辆信息存储部18中存储的车辆信息。若车辆信息由车辆信息获取部14获取，则车辆信息解析部14c解析该获取的车辆信息。即，通过从车辆用主装置7定期地向中心装置2发送车辆信息，并定期地更新存储于车辆信息存储部18的车辆信息，从而车辆信息解析部14c解析最新的车辆信息。外部信息获取部14d获取外部信息存储部19中存储的外部信息。若外部信息由外部信息获取部14d获取，则外部信息解析部14e解析该获取的外部信息。即，通过从外部信息分发服务器定期地向中心装置2发送外部信息，并定期地更新存储于外部信息存储部19的外部信息，从而外部信息解析部14e解析最新的外部信息。

当车辆信息由车辆信息解析部14c解析，外部信息由外部信息解析部14e解析时，正常动作判定部14f根据这些解析结果来构建判定分发完毕的重编数据的在车辆侧的动作是否正常的算法，并使用该构建的算法来判定分发完毕的重编数据的在车辆侧的动作是否正常。

当重编数据被分发到车辆侧，并且由正常动作判定部14f判定为该分发完毕的重编数据的在车辆侧的动作是正常的时，分发对象扩大部14g扩大重编数据的分发对象。作为分发对象扩大部14g扩大重编数据的分发对象的模式，有扩大重编数据的分发目的地的模式、扩大重编数据的分发量的模式以及扩大分发完毕的重编数据的功能或性能的模式。即，扩大重编数据的分发对象意味着扩大重编数据的分发目的地、扩大重编数据的分发量、扩大分发完毕的重编数据的功能或性能。

在扩大分发完毕的重编数据的功能或性能的模式中，当作为重编数据的结构而从外部指定功能或性能的开启/关闭时，如果能够开启/关闭该指定的功能或性能，则分发控制部14a在关闭分发完毕的重编数据的功能或性能时，使指定开启分发完毕的重编数据的功能或性能的指令分发至车辆用主装置7，从而开启该分发完毕的重编数据的功能或性能，并使车辆用主装置7实施分发完毕的重编数据的功能或性能的扩大。

分发对象扩大部14g判定车辆是否是行驶状态，并按照其判定结果来扩大重编数据的分发对象。即，如果是不对车辆行驶造成影响的重编数据的分发对象的扩大，则即使分发控制部14a在车辆行驶中进行重编数据的分发对象的扩大也不会对车辆行驶造成影响，但若在车辆行驶中进行对车辆行驶造成影响的重编数据的分发对象的扩大，则有可能对车辆行驶造成影响，所以在车辆停车中进行对车辆行驶造成影响的重编数据的分发对象的扩大。

分组部14f对重编数据的分发对象进行分组。分发对象扩大部14g按照由分组部14f分组后的组来扩大重编数据的分发对象。

接下来，参照图2～图18对上述的结构的作用进行说明。

如图2以及图3所示，若重编数据的分发事件成立，则活动管理者终端3将活动信息以及重编数据发送至中心装置2(S1)。在中心装置2中，控制部14若接收到从活动管理者终端3发送的活动信息以及重编数据，则使该接收的活动信息以及重编数据存储至活动信息存储部16。控制部14若判定分发开始指示(S2)，则使活动通知分发至车辆用主装置7(S3)。

车辆用主装置7若接收到从中心装置2分发的活动通知，则将活动显示指示发送至车辆用HMI装置12(S4)，在车辆用HMI装置12中使活动通知画面显示(S5)，催促用户选择是否允许开始下载重编数据。若用户选择允许开始下载重编数据的操作内容(S6)，则车辆用HMI装置12将该操作内容发送至车辆用主装置7(S7)。车辆用主装置7若从车辆用HMI装置12接收到操作内容，则将下载允许发送至中心装置2(S8)。

在中心装置2中，控制部14若接收到从车辆用主装置7发送的下载允许，则从活动信息存储部16获取重编数据(S9、S10)，并使该获取的重编数据分发至车辆用主装置7(S11)。

车辆用主装置7在从中心装置2下载重编数据以后，定期地向中心装置2发送车辆信息(S12)。在中心装置2中，控制部14若接收到从车辆用主装置7发送的车辆信息，则使该接收的车辆信息存储至车辆信息存储部18。控制部14定期地监视存储于车辆信息存储部18中的车辆信息(S13)。

包含地图信息分发服务器、气象信息分发服务器、道路信息分发服务器等的外部信息分发服务器定期地发送地图信息、气象信息、道路信息作为外部信息(S14)。在中心装置2中，控制部14若接收到从车辆用主装置7发送的外部信息，则使该接收的外部信息存储至外部信息存储部19。控制部14定期地监视存储于外部信息存储部19中的外部信息(S15)。

活动管理者终端3若在将活动信息以及重编数据发送至中心装置之后，创建对该重编数据进行了修正的修正版重编数据，则等待修正版重编数据的分发事件的成立。若修正版重编数据的分发事件成立，则活动管理者终端3将修正版重编数据发送至中心装置2(S16)。

在中心装置2中，控制部14若接收到从活动管理者终端3发送的修正版重编数据，则使该接收的修正版重编数据存储至活动信息存储部16，并获取修正版重编数据的内容(S17)。

控制部14定期地监视车辆信息以及外部信息，解析车辆信息以及外部信息来设定修正版重编数据的分发定时以及分发条件，并按照该设定的分发定时以及分发条件扩大分发对象。若成为该设定的修正版重编数据的分发定时，则控制部14按照该设定的分发条件从活动信息存储部16获取修正版重编数据(S18、S19)，并使下载通知分发至车辆用主装置7(S20)。分发条件是指修正版重编数据的分发目的地、修正版重编数据的分发量、分发完毕的修正版重编数据的功能或性能的条件。

车辆用主装置7若接收到从中心装置2分发的下载通知，则将下载显示指示发送至车辆用HMI装置12(S21)，在车辆用HMI装置12中使下载通知画面显示(S22)，催促用户选择是否允许开始下载修正版重编数据。若用户选择允许开始下载修正版重编数据的操作内容(S23)，则车辆用HMI装置12将该操作内容发送至车辆用主装置7(S24)。车辆用主装置7若从车辆用HMI装置12接收到操作内容，则将下载允许发送至中心装置2(S25)。

在中心装置2中，控制部14若接收到从车辆用主装置7发送的下载允许，则使修正版重编数据分发至车辆用主装置7(S26)。控制部14进行扩大修正版重编数据的分发目的地的模式、扩大修正版重编数据的分发量的模式、扩大分发完毕的修正版重编数据的功能或性能的模式中的任意一个模式，作为扩大修正版重编数据的分发对象的模式。以下，对各模式进行说明。

(1)扩大修正版重编数据的分发目的地的模式

如图4所示，作为车辆信息以及外部信息，控制部14例如解析每个车辆的10：00～17：00的时间段的平均停车时间、气温变动范围、距最近的经销商的距离。控制部14按照距最近的经销商的距离对车辆进行分组。如图5所示，控制部14按照距最近的经销商的距离的顺序，将车辆A～车辆C设为组A，将车辆D～车辆F设为组B，将车辆G～车辆I设为组C。

如图6所示，控制部14为该分组后的每一组设定对象车辆数，并按照该设定的对象车辆数生成扩大修正版重编数据的分发目的地的分发计划。控制部14对于组A，例如将对象车辆数设定为100台，并将向该100台的对象车辆的修正版重编数据的分发定时设定为M1月D1日。同样地，控制部14对于组B，例如将对象车辆数设定为900台，并将向该900台的对象车辆的修正版重编数据的分发定时设定为M2月D2日，对于组C，例如将对象车辆数设定为9000台，并将向该9000台的对象车辆的修正版重编数据的分发定时设定为M3月D3日。另外，时间序列的顺序是M1月D1日、M2月D2日、M3月D3日。M1、M2、M3是“1”～“12”的任意的自然数，D1、D2、D3是“1”～“31”的任意的自然数。

如图7以及图8所示，在中心装置2中，当成为为组A设定的分发定时亦即M1月D1日时，控制部14将修正版重编数据的分发目的地设定为组A。控制部14从活动信息存储部16获取修正版重编数据(S31、S32)，并使下载通知分发至属于组A的车辆的车辆用主装置7(S33)。

属于组A的车辆的车辆用主装置7若接收到从中心装置2分发的下载通知，则将下载显示指示发送至车辆用HMI装置12(S34)，在车辆用HMI装置12中使下载通知画面显示(S35)，催促用户选择是否允许开始下载修正版重编数据。若用户选择允许开始下载修正版重编数据的操作内容(S36)，则车辆用HMI装置12将该操作内容发送至属于组A的车辆的车辆用主装置7(S37)。属于组A的车辆的车辆用主装置7若从车辆用HMI装置12接收到操作内容，则将下载允许发送至中心装置2(S38)。

在中心装置2中，控制部14若接收到从属于组A的车辆的车辆用主装置7发送的下载允许，则使修正版重编数据分发至属于组A的车辆的车辆用主装置7(S39)。以后，控制部14定期地监视从属于组A的车辆的车辆用主装置7发送的车辆信息(S40、41)，并定期地监视从包含地图信息分发服务器、气象信息分发服务器、道路信息分发服务器等的外部信息分发服务器发送的外部信息(S42、43)。控制部14根据车辆信息以及外部信息的解析结果来构建判定分发完毕的修正版重编数据的在车辆侧的动作是否正常的算法，并使用该构建的算法来判定被分发到组A的车辆侧的修正版重编数据的在车辆侧的动作是否正常。

当成为为组B设定的分发定时亦即M2月D2日时，控制部14判定分发到组A的车辆侧的修正版重编数据的在车辆侧的动作在从M1月D1日到M2月D2日的期间是否正常(正常动作判定步骤)。控制部14若判定为分发到组A的车辆侧的修正版重编数据的在车辆侧的动作是正常的，则设定组B作为修正版重编数据的分发目的地，并进行同样的处理，使修正版重编数据分发至属于组B的车辆的车辆用主装置7(S44～S56、分发对象扩大步骤)。

同样地，当成为为组C设定的分发定时亦即M3月D3日时，控制部14判定分发到组B的车辆侧的修正版重编数据的在车辆侧的动作在从M2月D2日到M3月D3日的期间是否正常(正常动作判定步骤)。控制部14若判定为分发到组B的车辆侧的修正版重编数据的在车辆侧的动作是正常的，则设定组C作为修正版重编数据的分发目的地，并进行同样的处理，使修正版重编数据分发至属于组C的车辆的车辆用主装置7(分发对象扩大步骤)。

控制部14通过这样逐步扩大修正版重编数据的分发目的地来扩大修正版重编数据的分发对象。另外，当分发到组A的车辆侧的修正版重编数据的在车辆侧的动作不正常，且在修正版重编数据中未检测到不良情况时，控制部14不使修正版重编数据分发至属于组B的车辆的车辆用主装置7。即，控制部14通过不使修正版重编数据分发至属于组B的车辆的车辆用主装置7来抑制由于不良情况而产生的损害的影响。另外，控制部14对检测到不良情况的修正版重编数据采取必要的对策。

另外，如图4以及图5所例示的那样，通过按照距最近的经销商的距离对车辆进行分组，由此即使在修正版重编数据检测到不良情况，经销商的负责人也能够立即应对。并不限定于按照距最近的经销商的距离进行分组，例如也可以按照车型、年型、等级等分组。例如如果按照车型进行分组，则也可以使修正版重编数据分发至车型A的车辆侧，并在对于该车型A的车辆判定为修正版重编数据的在车辆侧的动作是正常的之后，使修正版重编数据分发至车型B的车辆侧。例如如果按照年型进行分组，则也可以使修正版重编数据分发至比较新的年型的车辆侧，并在对于该比较新的年型的车辆判定为修正版重编数据的在车辆侧的动作是正常的之后，使修正版重编数据分发至比较旧的年型的车辆侧。例如如果按照等级进行分组，则也可以使修正版重编数据分发至比较高的等级的车辆侧，并在对于该比较高的等级的车辆判定为修正版重编数据的在车辆侧的动作是正常的之后，使修正版重编数据分发至比较低的等级的车辆侧。

(2)扩大修正版重编数据的分发量的模式

如图9所示，控制部14将修正版重编数据分割为逻辑单元，并按照该分割成的每个逻辑单元计算数据容量。逻辑单元是指构成修正版重编数据的数据的单元。如图10所示，控制部14按照该计算出的数据容量创建扩大重编数据的分发量的分发计划。对于数据容量为10kB(千字节)的逻辑单元A，控制部14将修正版重编数据的分发定时设定为M1月D1日。同样地，对于数据容量为1MB(兆字节)的逻辑单元B，控制部14将修正版重编数据的分发定时设定为M2月D2日，对于数据容量为10MB的逻辑单元C，控制部14将修正版重编数据的分发定时设定为M3月D3日。

如图11以及图12所示，在中心装置2中，当成为为逻辑单元A设定的分发定时亦即M1月D1日时，控制部14将修正版重编数据的分发量设定为逻辑单元A的10kB。控制部14从活动信息存储部16获取修正版重编数据中的逻辑单元A的10kB(S61、S62)，并使该获取的逻辑单元A的下载通知分发至车辆用主装置7(S63)。

车辆用主装置7若接收到从中心装置2分发的逻辑单元A的下载通知，则将下载显示指示发送至车辆用HMI装置12(S64)，在车辆用HMI装置12中使下载通知画面显示(S65)，催促用户选择是否允许开始下载重编数据中中逻辑单元A。若用户选择允许开始下载逻辑单元A的操作内容(S66)，则车辆用HMI装置12将该操作内容发送至车辆用主装置7(S67)。车辆用主装置7若从车辆用HMI装置12接收到操作内容，则将下载允许发送至中心装置2(S68)。

在中心装置2中，控制部14若接收到从车辆用主装置7发送的下载允许，则使修正版重编数据中的逻辑单元A的10kB分发至车辆用主装置7(S69)。之后，控制部14定期地监视从车辆用主装置7发送的车辆信息(S70、71)，并定期地监视从包含地图信息分发服务器、气象信息分发服务器、道路信息分发服务器等的外部信息分发服务器发送的外部信息(S72、73)。控制部14根据车辆信息以及外部信息的解析结果来构建判定分发完毕的修正版重编数据中的逻辑单元A的在车辆侧的动作是否正常的算法，并使用该构建的算法，判定分发到车辆侧的修正版重编数据中的逻辑单元A的在车辆侧的动作是否正常。

当成为为逻辑单元B设定的分发定时亦即M2月D2日，控制部14判定分发到车辆侧的修正版重编数据中的逻辑单元A的在车辆侧的动作在从M1月D1日到M2月D2日的期间是否正常(正常动作判定步骤)。控制部14若判定为分发到车辆侧的修正版重编数据中的逻辑单元A的在车辆侧的动作是正常的，则将修正版重编数据的分发量设定为逻辑单元B的1MB，并进行同样的处理，使修正版重编数据中的逻辑单元B的1MB分发至车辆用主装置7(S74～S86、分发对象扩大步骤)。

同样地，当成为为逻辑单元C设定的分发定时亦即M3月D3日时，控制部14判定分发到车辆侧的修正版重编数据中的逻辑单元B的在车辆侧的动作在从M2月D2日到M3月D3日的期间是否正常(正常动作判定步骤)。控制部14若判定为分发到车辆侧的修正版重编数据中的逻辑单元B的在车辆侧的动作是正常的，则将修正版重编数据的分发量设定为逻辑单元C的10MB，并进行同样的处理，使修正版重编数据中的逻辑单元C的10MB分发至车辆用主装置7(分发对象扩大步骤)。

控制部14通过这样逐步扩大修正版重编数据的分发量来扩大修正版重编数据的分发对象。另外，当分发到车辆侧的修正版重编数据中的逻辑单元A的在车辆侧的动作不正常，且在修正版重编数据中检测到不良情况时，控制部14不使修正版重编数据中的逻辑单元B的1MB分发至车辆的车辆用主装置7。即，控制部14通过不使修正版重编数据中的逻辑单元B的1MB分发至车辆的车辆用主装置7来抑制由于不良情况而产生的损害的影响。另外，控制部14对检测到不良情况的修正版重编数据采取必要的对策。

(3)扩大分发完毕的修正版重编数据的功能或性能的模式

如图13所示，控制部14设定自动制动功能、自动转向操纵功能、自动加速功能，作为分发到车辆侧的修正版重编数据中的功能或性能的开启/关闭的对象。如图14所示，控制部14设定开启自动制动功能、关闭自动转向操纵功能、关闭自动加速功能的模式1、开启自动制动功能、开启自动转向操纵功能、关闭自动加速功能的模式2、以及开启自动制动功能、开启自动转向操纵功能、开启自动加速功能的模式3，创建扩大分发完毕的重编数据的功能或性能的分发计划。控制部14将表示向模式1的转移指示的设定变更通知的分发定时设定为M1月D1日。同样地，控制部14将表示向模式2的转移指示的设定变更通知的分发定时设定为M2月D2日，将表示向模式3的转移指示的设定变更通知的分发定时设定为M3月D3日。

如图15以及图16所示，在中心装置2中，控制部14使修正版重编数据分发至车辆用主装置7(S91～S93)之后，若成为表示向模式1的转移指示的设定变更通知的分发定时亦即M1月D1日，则使表示向模式1的转移指示的设定变更通知分发至车辆用主装置7(S94)。

车辆用主装置7若接收到从中心装置2分发的设定变更通知，则将设定变更显示指示发送至车辆用HMI装置12(S95)，在车辆用HMI装置12中使设定变更通知画面显示(S96)，催促用户选择是否允许分发完毕的重编数据的设定变更。若用户选择允许设定变更的操作内容(S97)，则车辆用HMI装置12将该操作内容发送至车辆用主装置7(S98)。车辆用主装置7若从车辆用HMI装置12接收到操作内容，则将设定变更允许发送至中心装置2(S99)。

在中心装置2中，控制部14若接收到从车辆用主装置7发送的设定变更允许，则使表示向模式1的转移指示的设定变更指示分发至车辆用主装置7(S100)。车辆用主装置7若接收到从中心装置2分发的设定变更指示，则按照该接收的设定变更指示来设定自动制动功能、自动转向操纵功能、自动加速功能的开启/关闭。即，车辆用主装置7将自动制动功能开启发送至制动器ECU，使制动器ECU的自动制动功能开启，将自动转向操纵功能关闭发送至自动驾驶ECU，使自动驾驶ECU的自动转向操纵功能关闭，将自动加速功能关闭发送至加速器ECU，使加速器ECU的自动加速功能关闭。之后，控制部14定期地监视从车辆用主装置7发送的车辆信息(S101、102)，并定期地监视从包含地图信息分发服务器、气象信息分发服务器、道路信息分发服务器等的外部信息分发服务器发送的外部信息(S103、104)。控制部14根据车辆信息以及外部信息的解析结果来构建判定模式1的在车辆侧的动作、即自动制动功能的在车辆侧的动作是否正常的算法，并使用该构建的算法，判定自动制动功能的在车辆侧的动作是否正常。

当成为表示向模式2的转移指示的设定变更通知的分发定时亦即M2月D2日时，控制部14判定自动制动功能的在车辆侧的动作在从M1月D1日到M2月D2日的期间是否正常(正常动作判定步骤)。控制部14若判定为自动制动功能的在车辆侧的动作是正常的，则使表示向模式2的转移指示的设定变更通知分发至车辆用主装置7(S105～S115、分发对象扩大步骤)。该情况下，车辆用主装置7若接收到从中心装置2分发的设定变更指示，则按照该接收的设定变更指示将自动制动功能开启发送至制动器ECU，使制动器ECU的自动制动功能的开启继续，将自动转向操纵功能开启发送至自动驾驶ECU，将自动驾驶ECU的自动转向操纵功能从关闭切换为开启，将自动加速功能关闭发送至加速器ECU，使加速器ECU的自动加速功能的关闭继续。

同样地，当成为表示向模式3的转移指示的设定变更通知的分发定时亦即M3月D3日时，控制部14判定自动制动功能以及自动转向操纵功能的在车辆侧的动作在从M2月D2日到M3月D3日的期间是否正常(正常动作判定步骤)。控制部14若判定为自动制动功能以及自动转向操纵功能的在车辆侧的动作是正常的，则使表示向模式3的转移指示的设定变更通知分发至车辆用主装置7(分发对象扩大步骤)。该情况下，车辆用主装置7若接收到从中心装置2分发的设定变更指示，则按照该接收的设定变更指示将自动制动功能开启发送至制动器ECU，使制动器ECU的自动制动功能的开启继续，将自动转向操纵功能开启发送至自动驾驶ECU，使自动驾驶ECU的自动转向操纵功能的开启继续，将自动加速功能开启发送至加速器ECU，将加速器ECU的自动加速功能从关闭切换为开启。

控制部14通过这样逐步扩大分发完毕的修正版重编数据的功能或性能来扩大修正版重编数据的分发对象。另外，控制部14在使表示向模式1的转移指示的设定变更指示分发到车辆侧之后，若模式1的在车辆侧的动作不正常，并在修正版重编数据检测到不良情况，则不使表示向模式2的转移指示的设定变更指示分发到车辆的车辆用主装置7。即，控制部14通过不使表示向模式2的转移指示的设定变更指示分发到车辆的车辆用主装置7来抑制由于不良情况而产生的损害的影响。另外，控制部14对检测到不良情况的修正版重编数据采取必要的对策。另外，虽然例示出逐步地使制动器ECU的自动制动功能、自动驾驶ECU的自动转向操纵功能、加速器ECU的自动加速功能开启的情况，但也可以构成为使其它ECU的其它功能开启。

以上，对在中心装置2中使修正版重编数据、设定变更指示分发至发送了车辆信息的车辆的车辆用主装置7的情况进行了说明，但也可以分发至未发送车辆信息的车辆的车辆用主装置7。如图17所示，在中心装置2中，控制部14在扩大修正版重编数据的分发目的地或分发量的情况下，在使数据结构相同的修正版重编数据分发至车辆A～车辆C、车辆P～车辆R之后，即使从车辆A～车辆C接收车辆信息，但由于某种原因没有从车辆P～车辆R接收到车辆信息，除了使修正版重编数据发送至车辆A～车辆C之外，还可以使修正版重编数据发送到车辆P～车辆R。

如图18所示，在中心装置2中，控制部14在扩大分发完毕的修正版重编数据的功能或性能的情况下，在使数据结构相同的修正版重编数据分发到车辆A～车辆C、车辆P～车辆R之后，即使从车辆A～车辆C接收到车辆信息，但由于某种原因没有从车辆P～车辆R接收到车辆信息，除了使设定变更指示发送到车辆A～车辆C之外，还可以使设定变更指示发送到车辆P～车辆R。

如以上说明的那样，根据本实施方式，能够得到以下所示的作用效果。在中心装置2中，当将修正版重编数据分发至车辆侧，并且判定为该分发完毕的修正版重编数据的在车辆侧的动作是正常的时，扩大修正版重编数据的分发对象。通过在确认了分发完毕的修正版重编数据的在车辆侧的动作是正常的之后才扩大修正版重编数据的分发对象，能够适当地降低分发完毕的数据所附带的影响范围。

在中心装置2中，通过扩大修正版重编数据的分发目的地来扩大修正版重编数据的分发对象。能够在确认了分发完毕的修正版重编数据的在车辆侧的动作是正常的之后扩大修正版重编数据的分发目的地。

在中心装置2中，通过扩大修正版重编数据的分发量来扩大修正版重编数据的分发对象。能够在确认了分发完毕的修正版重编数据的在车辆侧的动作是正常的之后扩大修正版重编数据的分发量。

在中心装置2中，通过使车辆用主装置7实施分发完毕的修正版重编数据的功能或性能的扩大来扩大修正版重编数据的分发对象。能够在确认了分发完毕的修正版重编数据的在车辆侧的动作是正常的之后扩大分发完毕的修正版重编数据的功能或性能。

在中心装置2中，通过将指定分发完毕的修正版重编数据的功能或性能的扩大的指令分发至车辆侧而使车辆用主装置7实施该分发完毕的修正版重编数据的功能或性能的扩大。在分发扩大了功能或性能的修正版重编数据的结构中，有可能从中心装置2向车辆侧的数据分发量增大，通信时间变长，不能够立即实施功能或性能的扩大，但通过将指令分发至车辆侧，能够降低从中心装置2向车辆侧的数据分发量，减少通信时间，能够立即实施功能或性能的扩大。

对数据的分发对象进行分组，并按照该分组后的组扩大数据的分发对象。能够以组为单位逐步扩大修正版重编数据的分发对象。

在中心装置2中，从车辆侧获取并解析车辆信息，使用其解析结果来判定分发完毕的修正版重编数据的在车辆侧的动作是否正常。通过获取并解析车辆信息，能够通过实际的车辆动作判定分发完毕的修正版重编数据的在车辆侧的动作。

在中心装置2中，例如获取并解析地图信息、气象信息、道路信息等外部信息，使用其解析结果来判定分发完毕的修正版重编数据的在车辆侧的动作是否正常。通过作为外部信息而例如获取并解析地图信息、气象信息、道路信息等，能够与外部信息建立关联地检测分发完毕的修正版重编数据的在车辆侧的动作。

本公开依照实施例进行了描述，但应该理解并不限定于该实施例、结构。本公开也包含各种变形例、同等范围内的变形。除此之外，各种组合、方式、进一步在它们中包含仅一要素、其以上，或者其以下的其它组合、方式也在本公开的范畴、思想范围内。

虽然扩大修正版重编数据的分发对象，但也可以扩大不是修正版的重编数据、即分发至车辆侧的最初的重编数据的分发对象。从中心装置2分发到车辆侧的数据并不限定于用于更新ECU的应用程序的重编数据，例如也可以是地图数据等。

作为扩大分发完毕的修正版重编数据的功能或性能，例示出使功能开启的结构，但例如也可以变更成为用于使功能有效的判定基准的阈值，或者使性能增大。

也可以组合扩大修正版重编数据的分发目的地的模式、扩大修正版重编数据的分发量的模式以及扩大分发完毕的修正版重编数据的功能或性能的模式。例如也可以逐步扩大修正版重编数据的分发量的同时逐步扩大分发完毕的修正版重编数据的功能或性能。

本公开所记载的控制部及其方法也可以由通过构成被编程为执行由计算机程序具体化的一个或者多个功能的处理器以及存储器而提供的专用计算机来实现。或者，本公开所记载的控制部及其方法也可以由通过由一个以上的专用硬件逻辑电路构成处理器而提供的专用计算机来实现。或者，本公开所记载的控制部及其方法也可以通过由被编程为执行一个或者多个功能的处理器以及存储器与由一个以上的硬件逻辑电路构成的处理器的组合构成的一个以上的专用计算机来实现。另外，计算机程序也可以作为由计算机执行的指令存储于计算机可读取的非迁移有形记录介质。