CN113396398B - 存储器的改写历史记录装置 - Google Patents

Abstract

系统存储控制装置的控制程序和/或控制数值，可以进行外部改写，并且具有非易失性的存储器。该系统包括检查器，该检查器检查存储器的存储数据，并对存储器的正常或异常进行判定。该系统包括记录外部改写的历史的历史记录器。存储器具有存储调整值SUM‑ADJ的区域，该调整值SUM‑ADJ被改写以阻止由检查器进行的为异常的判定。存储器具有存储开关值INT‑E/D的区域，该开关值INT‑E/D设定由检查器进行的检查的有效或无效。历史包括调整值和开关值这两者。提供一种能够高效地发现改写行为的存储器的改写历史记录装置。

Description

存储器的改写历史记录装置

相关申请的交叉引用

本申请以2019年1月30日向日本提交的日本专利申请第2019-014671号为基础申请，基础申请的公开内容全部通过引用并入本申请。

技术领域

本说明书中的公开涉及一种存储器的改写历史记录装置。

背景技术

专利文献1公开了一种利用可改写的存储器的控制设备。作为背景技术所列举的现有技术文献中的公开内容，作为本说明书中技术要素的说明内容援引并入本申请。

现有技术文献

专利文献

专利文献1：日本专利第6009290号公报

发明内容

在利用可改写的存储器的控制设备中，有时记录存储器的改写行为。改写行为的历史能够发现存储数据的改写。从一个观点来看，要求能够发现非法的改写。另有观点认为，即使是合法的改写，也要求能够发现、或者能够再次确认该改写。鉴于上述观点或其它未提及的观点，要求对用于交通工具的控制装置进行进一步的改良。

所公开的一个目的是提供一种能够高效地发现改写行为的存储器的改写历史记录装置。

所公开的另一个目的是提供一种能够通过小规模的结构发现改写行为的存储器的改写历史记录装置。

此处公开的存储器的改写历史记录装置，包括：存储器，其存储控制装置的程序和/或数值，能够进行外部改写，并且为非易失性的；检查器，其检查存储器的存储数据，对存储器的正常或异常进行判定；以及历史记录器，其记录外部改写的历史。此外，存储器具有：调整值区域，其存储被改写以阻止由检查器进行的为异常的判定的调整值；以及，开关值区域，其存储设定由检查器进行的检查的有效或无效的开关值；历史包括调整值和开关值这两者。

根据所公开的存储器的改写历史记录装置，调整值和开关值这两者作为历史被记录。由于不仅记录调整值，还记录开关值，因此能够将合法的外部改写以及非法的外部改写这两者作为历史进行记录。其结果是，提供一种能够高效地发现改写行为的存储器的改写历史记录装置。

本说明书中公开的多种方式，采用互不相同的技术手段以实现各自的目的。权利要求范围及权利要求项中记载的括号内的附图标记，只是示例性地表示其与后述实施方式相应部分的对应关系，并不旨在限定保护范围。通过参考以下的详细说明及附图，本说明书所公开的目的、特征和效果会更加明确。

附图说明

图1是包括控制装置的交通工具系统的框图。

图2是初始设定处理的流程图。

图3是改写处理的流程图。

图4是检查处理的流程图。

图5是历史处理的流程图。

图6是输出处理的流程图。

图7是存储器的改写历史记录装置的框图。

具体实施方式

参照说明书附图对多个实施方式进行说明。在多个实施方式中，在功能上和/或结构上的对应部分和/或相关联部分，有时标记为相同的附图标记，或标记为仅百位以上的数位不同的附图标记。对应部件和/或关联部分，可以参照其他实施方式中的描述。

第一实施方式

<设备系统>

图1示出了设备系统1。设备系统1具备作为控制对象的动力源(PWRS)2。设备系统1具备用于对控制对象进行控制的控制系统。控制系统具备传感器组(SNSR)3、致动器组(ACTR)4、以及控制装置(ECU)5。

在本说明书中，设备这一用语应作广义解释。设备包括安置设备和移动设备。安置设备例如包括空调设备、发电设备以及照明设备等。移动设备包括所谓的交通工具。交通工具这一用语不仅包括移动用交通工具，还包括安置型交通工具。移动用交通工具例如包括地面行驶车辆、船舶及飞机。安置型的交通工具例如包括用于熟练操作技术的模拟设备。安置型的交通工具例如包括用于享受操作技术或交通工具行为的娱乐设备。在本实施方式中，设备系统1是交通工具系统。交通工具是鞍乘型的地面行驶车辆。交通工具的一个典型示例是两轮车。

动力源2由内燃机系统或电动机系统提供。在动力源2是内燃机系统的情况下，动力源2可包括内燃机、燃料供给系统和点火系统。在动力源2由电动机系统提供的情况下，动力源2可包括电池和电动机。在本实施方式中，动力源2提供交通工具中的动力。动力源2是内燃机系统。动力源2需要由控制系统控制以提供预先设定的功能。

包括控制装置5的控制系统提供存储器的改写历史记录装置。此外，控制系统还作为将动力源2的运转状态限制在预先设定的正规范围内的限制器而发挥功能。

<控制系统>

传感器组3包括多个传感器。多个传感器将表示动力源2的运转状态的电信号作为检测信号输出。在本实施方式中，传感器组3具备压力传感器(PRES)11及旋转角传感器(ANGL)12。压力传感器11检测内燃机的进气压力。旋转角传感器12检测内燃机的曲轴的旋转角度。传感器组3将检测信号输出到控制装置5。

致动器组4包括多个致动器。多个致动器提供用于调节动力源2的运转状态的调节器。在本实施方式中，致动器组4包括燃料泵(PUMP)13、燃料喷射阀(INJC)14、点火装置(IGNT)15和警告灯(WRNL)16。燃料泵13对贮存在燃料箱中的燃料加压。燃料泵13是电动泵或电磁柱塞泵。燃料泵13被控制为对燃料适当地加压。燃料喷射阀14通过喷射加压后的燃料来向内燃机供给燃料。燃料喷射阀14是电磁阀。燃料喷射阀14可调节喷射开始时刻、喷射结束时刻、喷射期间和/或喷射次数。燃料喷射阀14被控制成调节内燃机中的燃料供给。点火装置15对内燃机提供通过电火花的点火。点火装置15能够调节点火时刻、点火期间和/或点火能量的量。点火装置15被控制成调节内燃机中的点火。例如，通过点亮警告灯16来向使用者警告控制装置5的异常(内部错误)。致动器组4由控制装置5控制。

在动力源2包括电池和电动机的情况下，传感器组3和致动器组4包括适合动力源2的元件。传感器组3例如可以包括检测电池和/或电动机的温度的多个温度传感器、检测流过电动机的电流的电流传感器、以及检测电池电压的电压传感器。致动器组4例如可以包括控制向电动机供给的电力的逆变器电路。

控制装置5包括作为普通计算机的多个构成元件。这些构成元件可以被配置在单个IC封装中。取而代之地，多个构成元件也可以被配置在多个IC封装中。例如，也可以，在将后述的CPU 6作为处理器内核的单个IC封装中，配置后述的RAM(Random Access Memory(随机存取存储器))7、ROM(Read Only Memory(只读存储器))8、EEPROM(ElectricallyErasable and Programmable Read Only Memory(带电可擦可编程只读存储器))10。取而代之地，例如，还可以，在将后述的CPU 6作为处理器内核的IC封装中，配置后述的RAM 7和ROM 8，在另外的其他IC封装中配置后述的EEPROM 10。

控制装置5作为典型的元件，包括作为处理器的CPU 6、作为易失性的存储装置的RAM 7、作为非易失性的存储装置的ROM 8。RAM 7提供用于CPU6的临时存储区域。ROM 8提供用于CPU 6的程序保存区域和数值保存区域。ROM 8是能够重复写入、并且即使丧失电源供给也维持存储内容的闪存ROM。ROM 8由EEPROM(Electrically Erasable andProgrammable Read Only Memory)提供。ROM 8提供用于控制系统的程序和数值的存储区域。并且，ROM 8提供的存储区域能够从控制装置5的外部改写。ROM 8例如在制造工序中能够改写存储区域。ROM 8例如在市场上能够改写存储区域。ROM 8例如能够从后述的外部设备20改写存储区域。

控制装置5具有总线电路9。总线电路9将传感器组3、致动器组4以及控制装置5相互连接。在这个观点中，总线电路9提供I/O总线。总线电路9还在控制装置5的内部将CPU 6、RAM 7以及ROM 8相互连接。在这个观点中，总线电路9提供系统总线。总线电路9能够直接连接在控制装置5的外部。总线电路9将控制装置5与后述的外部设备20相互连接。总线电路9提供ROM 8与外部设备20之间的直接连接。该直接连接能够从控制装置5的外部改写ROM8的存储数据、所谓的外部改写。其结果是，在本实施方式中，能够不经由CPU 6而改写ROM 8的存储数据。

控制装置5包括作为非易失性的存储装置的EEPROM 10。ROM 8提供的存储区域与EEPROM 10提供的存储区域是互不相同的存储区域。EEPROM10不与总线电路9连接。EEPROM10不经由总线电路9而与CPU 6连接。即，EEPROM 10不能从控制装置5的外部直接改写EEPROM 10的存储数据。

ROM 8和EEPROM 10作为物理上不同的存储区域而被提供。ROM 8与EEPROM 10例如由不同的两个IC封装提供。ROM 8和EEPROM 10例如也可以在一个半导体芯片上由物理上分离的存储区域提供。ROM 8和EEPROM10例如还可以在共同的一个IC封装中由物理上分离的存储区域提供。

ROM 8和EEPROM 10作为关于与总线电路9的连接关系不同的存储区域而被提供。ROM 8直接连接到总线电路9。EEPROM 10通过经由CPU 6而间接地连接到总线电路9。ROM 8提供可外部改写的存储区域。EEPROM 10提供不可外部改写的存储区域。另外，该“不可”并不意味着完全无法进行EEPROM 10的存储数据的外部改写。意味着在控制装置5中无法以假定的外部连接方式进行改写。例如，直接访问EEPROM 10的物理端子是假定之外的。

设备系统1包括相对于控制系统可拆装的外部设备(EXTL)20。外部设备20是能够操作ROM 8的内容的设备。外部设备20是能够经由CPU 6对EEPROM 10的内容进行操作的设备。外部设备20在制造阶段由工厂设备提供。外部设备20在市场上由诊断系统提供。诊断系统用于诊断设备系统1是健全的、还是不健全的。例如，外部设备20获取控制系统中的信号和/或数据。外部设备20提供所获取的信号和/或数据以进行诊断。外部设备20有时在外部设备20的内部，将所获得的信号和/或数据与正常的信号和/或数据进行比较，并输出诊断结果。取而代之地，外部设备20可以向作业者和/或外部诊断装置提供所获取的信号和/或数据。

在外部设备20为诊断系统的情况下，外部设备20具有诊断终端装置21。诊断终端装置21例如设置在服务站。诊断终端装置21由对设备系统1进行检查或修理的作业者使用。控制装置5与诊断终端装置21可通过包括连接器22和电缆23的有线连接装置来连接。取而代之地，控制装置5与诊断终端装置21也可以通过无线连接装置来连接。

诊断终端装置21具有终端控制装置(CNTR)24、内部存储装置(STRG)25、显示器(MNTR)26、以及输入器(MNSW)27。内部存储装置25能够由ROM或RAM提供。终端控制装置24将存储在EEPROM 10中的数据暂时记录在内部存储装置25中。终端控制装置24将存储在内部存储装置25中的数据显示在显示器26上。输入器27检测作业者的操作，将检测信号输入到终端控制装置24。在本实施方式中，输入器27检测请求历史显示的操作，并将该请求输出到终端控制装置24。

控制装置5也被称为电子控制装置(ECU：Electronic Control Unit)。控制装置5由(a)作为被称为if-then-else形式的多个逻辑的算法、或(b)通过机器学习调整而成的学习完成模型，例如，由作为神经网络的算法提供。

控制装置5包括至少一台计算机。控制装置5可以包括由数据通信装置链接的多台计算机。计算机包括作为硬件的至少一个处理器(硬件处理器)。硬件处理器可以由以下(i)、(ii)或(iii)来提供。

(i)硬件处理器可以是执行保存在至少一个存储器中的程序的至少一个处理器内核。在这种情况下，计算机由至少一个存储器和至少一个处理器内核提供。处理器内核被称为中央处理器(Central Processing Unit，CPU)、图形处理器(Graphics ProcessingUnit，GPU)、RISC(Reduced Instruction Set Computing(精简指令集计算机))-CPU等。存储器也被称为存储介质。存储器是非暂时性且实体性的存储介质，其非暂时地保存可由处理器读取的“程序和/或数据”。存储介质由半导体存储器、磁盘、或光盘等提供。程序可以以其本身、或作为保存有程序的存储介质来通用。

(ii)硬件处理器可以是硬件逻辑电路。在这种情况下，计算机由包括编程而得的多个逻辑单元(门电路)的数字电路提供。数字电路也被称为逻辑电路阵列，例如专用集成电路(Application-Specific Integrated Circuit，ASIC)、现场可编程逻辑门阵列(FieldProgrammable Gate Array，FPGA)、可编程逻辑门阵列(Programmable Gate Array，PGA)、复杂可编程逻辑器件(Complex Programmable Logic Device，CPLD)等。数字电路可以包括保存程序和/或数据的存储器。计算机可由模拟电路提供。计算机也可由数字电路和模拟电路的组合提供。

(iii)硬件处理器可以是上述(i)和上述(ii)的组合。(i)和(ii)配置在不同的芯片上、或者在共同的芯片上。在这些情况下，(ii)部分也被称为加速器。

控制设备、信号源和受控对象提供多种元件。这些元件中的至少一部分，可以被称为块、模块或区段。此外，控制系统中包括的元件仅在有意图的情况下被称为功能性单元。

本公开所记载的控制部及其方法可以利用通过构成处理器以及存储器而被提供的专用计算机来实现，该处理器被编程为执行通过计算机程序具体化的一个或多个功能。可替代地，本公开所记载的控制部及其方法也可以利用通过使处理器由一个以上的专用硬件逻辑电路构成而被提供的专用计算机来实现。可替代地，本公开所记载的控制部及其方法还可以利用一个以上的专用计算机来实现，该一个以上的专用计算机包括被编程为执行一个或多个功能的处理器、以及存储器与由一个以上的硬件逻辑电路构成的处理器的组合。此外，计算机程序可以作为由计算机执行的指令，存储在计算机可读非暂时有形记录介质中。

<存储的数据>

ROM 8具有程序区域(PRGM)31。程序区域31存储用于控制系统的程序。程序区域31例如存储燃料喷射程序和点火定时程序。ROM 8具有数值区域(VLDT)32。数值区域32存储用于控制系统的数值。数值区域32例如存储规定与内燃机的负荷相对的燃料喷射量的映射、以及规定与内燃机的转速相对的点火时刻的映射。

在ROM 8被外部改写的情况下，例如，作为程序区域31的一部分的改写区域(REWR)33的数据被改写。在ROM 8被外部改写的情况下，例如，作为数值区域32的一部分的改写区域(REWR)34的数据被改写。

ROM 8具有用于保存检查数据的区域。检查数据用于ROM 8本身的存储数据的错误检查。在ROM 8的存储数据中存在错误的情况下，作为控制装置5的异常(内部错误)进行处理。“错误检查”功能可以通过硬件或软件来实装。本说明书中的“错误检查”这一用语应作广义地解释。在“错误检查”中，通过规定计算方法，根据“作为检查对象的存储区域”计算出计算值。在“错误检查”中，将计算值与基准值进行比较，并检测存储数据的错误。在“错误检查”中，利用“检错码”来检查存储数据的错误。在本实施方式中，校验和被用作“检错码”。作为“检错码”，也可以利用垂直奇偶校验、和/或水平奇偶校验。作为“检错码”，还可以利用散列函数。作为“检错码”，还可以利用被称为消息摘要算法第五版(Message DigestAlgorithm 5，MD5)等的加密散列函数。作为“检错码”，还可以利用被称为CRC(CyclicRedundancy Check)的循环冗余校验。

本说明书中的“校验和”这一用语应作广义地解释。在本实施方式中，“校验和”是将“作为检查对象的存储区域”的存储数据的总和中的一些字节作为计算值来计算的方式。“校验和”也可以是将上述总和除以规定常数而得到的余数(剩余)作为计算值的方式。“校验和”还可以是将上述总和作为计算值的方式。在本实施方式中，“作为检查对象的存储区域”是ROM 8的全部存储区域。“作为检查对象的存储区域”也可以是ROM 8中的一部分存储区域。

ROM 8存储两个数据作为检查数据。检查数据包括存储作为基准值的校验和值(SUM-CHK)的校验和区域35。检查数据包括存储作为差值的和调整值(SUM-ADJ)的和调整值区域36。校验和值是作为初始值的基准值。校验和值例如是初始模型的ROM 8中存储的全部数据的校验和值。和调整值相当于计算值与基准值之差(和调整值＝计算值-基准值)。由于作为和调整值而存储的数据，也是“校验和”的对象，因此使计算值变化。和调整值被设定以计算出等于基准值的计算值。

ROM 8具有软开关区域(SFSW)37。软开关区域37存储用于切换控制系统的行为的数值。软开关区域37具有存储内部错误开关值(INT-E/D)的内部错误区域38。内部错误开关值包括用于设定包含ROM 8的控制装置5的检查的有效或无效的信息。内部错误开关值包括用于选择是否执行包含ROM8的控制装置5的检查本身、即有效或无效的开关位。此外，内部错误开关值包括用于选择在包含ROM 8的控制装置5的异常(内部错误)被检测出的情况下的对策处理的有效或无效的开关位。其中，“检查的有效或无效”这一用语包括允许或阻碍执行检查本身的情况、以及允许或阻碍在检查的结果为异常的情况下执行的对策处理的情况。

内部错误区域38设定ROM 8的检查本身的有效/无效。内部错误区域38中包含的规定位1/0，例如与检查本身的有效/无效相对应。内部错误区域38设定在ROM 8的存储数据中检测出错误的情况下可利用的对策处理的有效/无效。内部错误区域38中包含的规定位1/0，例如与对策处理的有效/无效相对应。对策处理可以通过“启动的禁止/允许”、“警告灯的点亮/熄灭”和/或“内燃机的功能的无限制/限制”来提供。“内燃机的功能的限制/无限制”例如由“燃料喷射量的限制/无限制”、“点火提前角的限制/无限制”、“转数的限制/无限制”、“交通工具的速度的限制/无限制”来提供。在本实施方式中，内部错误区域38设定ROM8的错误被检测出的情况下的警告灯16的点亮/熄灭。

EEPROM 10具有存储多个历史数据LOG(i＝0～n)的历史区域41。i表示离散系统中的编号。i是整数。例如，(i)表示当前的数据，(i-1)表示前面的数据，(i+1)表示后面的数据。n是历史数据的数量的最大值。其中，n被设定为大于市场中的标准的版本升级次数。另外，历史区域41存储规定数量的历史数据LOG(i)。历史数据LOG(i)可以通过先进先出方式存储。

一个历史数据LOG(i)包括与和调整值区域36有关的历史数据、以及与内部错误区域38有关的历史数据这两者。在以下说明中，将与和调整值区域36有关的历史数据称为和历史LOG(i)ADJ。与内部错误区域38有关的历史数据被称为开关历史LOG(i)E/D。

多个历史数据LOG(1)～LOG(n)依次被累积地存储。当判定为和调整值区域36或内部错误区域38中的任一个被变更时，一个历史数据LOG(i)被累积地记录。该判定包括两个对照。一个对照通过ROM 8中的和调节值SUM-ADJ与EEPROM 10中的前一个和历史LOG(i-1)ADJ之间的对照来执行。一个对照通过ROM 8中的内部错误开关值INT-E/D与EEPROM 10中的前一个开关历史LOG(i-1)E/D之间的对照来执行。该判定是在动力源2被启动的情况下、或控制装置5上电复位的情况下执行的。

如图所示，在历史区域41存储多个历史数据LOG(i＝0～n)的情况下，最初的历史数据LOG(0)是初始值。历史数据LOG(0)例如记录在工厂出货时的和调整值SUM-ADJ和内部错误开关值INT-E/D这两者。

无论是合法的还是非法的，通过ROM 8的外部改写，和调整值区域36或内部错误区域38都发生变更。控制装置5当检测到上述变更时，将历史数据LOG(1)累积地写入EEPROM10。每当和调整值区域36或内部错误区域38中的任一方被变更时，重复进行累积的存储过程。通过该重复，依次添加历史数据LOG(i＝1～n)。

诊断终端装置21将EEPROM 10的历史数据LOG(i＝0～n)显示在显示器26上。在图示的示例中，在显示器26上显示与历史区域41相同的字符串42。

＜初始设定处理＞

图2示出了控制装置5的制造阶段的初始设定处理150。初始设定处理150包括对ROM 8设定工厂出货数据的处理。图示的初始设定处理150包括对EEPROM 10设定工厂出货数据的处理。初始设定处理150由作为外部设备20的工厂设备执行。

在步骤151中，外部设备20将工厂出货数据写入ROM 8。工厂出货数据是所谓的初始值。在步骤152中，外部设备20向程序区域31和数值区域32写入初始值。在步骤153中，外部设备20向校验和区域35与和调整值区域36写入初始值。在步骤154中，外部设备20向内部错误区域38写入初始值。

在步骤155中，外部设备20经由CPU 6将工厂出货数据写入EEPROM 10。在步骤156中，外部设备20将初始值写入EEPROM 10。初始值包括和历史LOG(0)ADJ及开关历史LOG(0)E/D这两者。

在初始设定处理150之后，控制装置5与动力源2等组合，并作为设备系统1提供给市场。控制装置5在提供给市场之后、提供用于通过执行后述的多个处理来检测外部改写的装置。

在本实施方式中，步骤155由外部设备20来执行。取而代之地，步骤155也可以在后述的步骤186中，由控制装置5来执行。在这种情况下，记录在EEPROM 10中的所有历史数据被自动累积。

<改写处理>

图3示出了改写处理160。在多数情况下，在将控制装置5出货到市场之后实施改写处理160。偶尔存在将控制装置5出货到市场之前的阶段中在工厂内实施改写处理160的情况。改写处理160由合法的外部设备20或非法的外部设备20执行。

在步骤161中，外部设备20将新的改写值写入ROM 8。在步骤162中，外部设备20向程序区域31和数值区域32写入新的数据。在步骤163中，外部设备20向和调整值区域36写入新的数据。其中，校验和区域35的值没有变更。由此，即使改写区域33、34的数据被改写，也不会通过基于校验和的检查而检测到ROM 8的异常。在为非法改写的情况下，可以说和调整值区域36是为了基于校验和来欺骗检查功能而被改写的。在步骤164中，外部设备20向内部错误区域38写入新的数据。内部错误区域38为了设定检查的有效或无效而被改写。内部错误区域38的改写的一个用途是设定执行或不执行检查本身。内部错误区域38的改写的另一个用途是使伴随对改写区域33、34进行改写而产生的对策处理无效化或无力化。

＜检查处理＞

图4示出了由控制装置5执行的ROM 8的检查处理170。在步骤171中，控制装置5判定ROM 8的检查定时是否到来。检查定时例如是动力源2启动时、控制装置5上电复位时等。如果不是检查定时(“否(NO)”)，则跳过以下处理。如果是检查定时(“是(YES)”)，则处理进入步骤172。

此外，在步骤171中，控制装置5根据内部错误开关值INT-E/D判定是否允许检查处理170本身。在根据内部错误开关值INT-E/D允许检查处理170本身的情况下(“是”)，处理进入到步骤172。在根据内部错误开关值INT-E/D不允许检查处理170本身的情况下(“否”)，跳过以下处理(步骤172-步骤177)。

在步骤172中，控制装置5计算针对ROM 8的校验和。控制装置5根据ROM 8的所有存储区域，通过设定的校验和方式计算出计算值SUMR。在步骤173中，控制装置5从ROM 8读取作为基准值的校验和值SUM-CHK。

在步骤174中，控制装置5判定计算值SUMR是否与校验和值SUM-CHK相等。在计算值SUMR与校验和值SUM-CHK相等的情况下(“是”)，ROM 8的检查结果是正常的。在这种情况下，处理进入到步骤175。在计算值SUMR与校验和值SUM-CHK不等的情况下(“否”)，ROM 8的检查结果为异常(内部错误)。在这种情况下，处理进入到步骤176。步骤174提供校验和判定部，该校验和判定部基于根据包含调整值的存储器的存储数据计算出的校验和值与预先确定的基准值是否相等、来判定ROM 8是正常还是异常。

在步骤175中，控制装置5判定程序或数值是否在正常范围内。在程序或数值在正常范围内的情况下(“是”)，ROM 8的检查结果为正常。在这种情况下，跳过以下处理。在程序或数值不在正常范围内的情况下(“否”)，ROM8的检查结果为异常(内部错误)。在这种情况下，进入到步骤176。步骤175提供内部错误判定部，该内部错误判定部基于程序和/或数值是否在正常范围内来判定ROM 8是正常还是异常。正常范围作为能够维持设备系统1的正常功能的范围而预先设定。例如，正常范围规定了内燃机的上限转数。例如，在数值区域32超过上限转数的情况下，步骤175中的判定向“否”分支。

在步骤176中，控制装置5检查内部错误开关值INT-E/D。在根据内部错误开关值INT-E/D允许规定的对策处理的情况下(“是”)，进入到步骤177。在根据内部错误开关值INT-E/D不允许规定的对策处理的情况下(“否”)，跳过以下处理。在这种情况下，尽管检测到ROM 8的异常(内部错误)，但不执行对策处理。步骤176提供内部开关判定部，在通过校验和判定出ROM 8的异常的情况下，该内部开关判定部根据开关值判定对策处理的有效或无效。步骤176提供内部开关判定部，在通过内部错误判定部判定出ROM 8的异常的情况下，该内部开关判定部根据开关值判定对策处理的有效或无效。

在步骤177中，控制装置5执行预先设定的对策处理。在本实施方式中，指示检测到ROM 8的异常(内部错误)的警告灯16被点亮。由此，使用者能够知道设备系统1的异常。

＜历史处理＞

图5示出了由控制装置5执行的历史处理180。在步骤181中，控制装置5判定动力源2是否启动。在本实施方式中，每当动力源2启动时执行历史处理。在动力源2启动时，控制装置5通过上电复位而启动。在本实施方式中，构成为，每当由历史处理180提供的历史记录器启动时，执行由后述的第一判定部和第二判定部进行的判定。在动力源2包括内燃机的情况下，步骤181的处理通过检测点火开关从“断开(OFF)”切换为“接通(ON)”的处理来提供。在动力源2启动的情况下，处理进入到步骤182。在动力源2未启动的情况下，跳过以下处理。

在步骤182中，控制装置5从ROM 8读取和调整值SUM-ADJ、内部错误开关值INT-E/D。在步骤183中，控制装置5从EEPROM 10读取当前的历史数据LOG(i)。当前的历史数据LOG(i)是最终存储在历史区域41中的数据。历史数据LOG(i)包括和历史LOG(i)ADJ及开关历史LOG(i)E/D。

在步骤184中，控制装置5判定存储在ROM 8中的和调整值SUM-ADJ与存储在EEPROM10中的当前的和历史LOG(i)ADJ是否相等。在和调整值SUM-ADJ与和历史LOG(i)ADJ相等的情况下(“是”)，处理进入到步骤185。在和调整值SUM-ADJ与和历史LOG(i)ADJ不等的情况下(“否”)，处理进入到步骤186。步骤184提供第一判定部，该第一判定部判定存储在ROM 8中的调整值与包含在最新的历史(LOG(i))中的历史调整值是否相等。

在步骤185中，控制装置5判定存储在ROM 8中的内部错误开关值INT-E/D与存储在EEPROM 10中的当前的历史数据LOG(i)E/D是否相等。在内部错误开关值INT-E/D与历史数据LOG(i)E/D相等的情况下(“是”)，处理结束。在内部错误开关值INT-E/D与历史数据LOG(i)E/D不等的情况下(“否”)，处理进入到步骤186。步骤185提供第二判定部，该第二判定部判定存储在ROM 8中的开关值与包含在最新的历史(LOG(i))中的历史开关值是否相等。

其结果是，控制装置5在步骤184或步骤185的任一方中作出否定判定的情况下，执行步骤186。控制装置5在步骤184和步骤185这两者中作出肯定判定的情况下，不执行步骤186。在步骤186中，控制装置5将存储在ROM 8中的和调节值SUM-ADJ及内部错误开关值INT-E/D这两者作为最新历史数据LOG(i+1)写入EEPROM 10。步骤186提供记录部，该记录部在第一判定部184或第二判定部185的任一个中作出否定判定的情况下，将调整值和开关值作为历史来记录。

＜输出处理＞

图6示出了由控制装置5和外部设备20执行的输出处理190。在步骤191中，外部设备20判定控制装置5与外部设备20是否通过连接器22连接。在没有建立可通信连接的情况下(“否”)，跳过以下处理。在建立了可通信连接的情况下(“是”)，处理进入到步骤192。

在建立了控制装置5与外部设备20的连接的情况下，控制装置5与外部设备20执行多种诊断处理。诊断处理包括输出设备系统1的状态的多种处理。诊断处理之一是输出EEPROM 10的历史数据LOG(i＝0～n)的处理。

在步骤192中，外部设备20检测使用者的请求操作。请求操作是请求输出历史数据的操作。请求操作通过输入器27的操作而被输入。在没有请求操作的情况下(“否”)，跳过以下的处理。在有请求操作的情况下(“是”)，处理进入到步骤193。在步骤193中，外部设备20向控制装置5输出请求信号RQ。

在步骤194中，控制装置5判定是否有来自外部设备20的请求信号RQ。在没有请求信号RQ的情况下(“否”)，跳过以下的处理。在有请求信号RQ的情况下(“是”)，处理进入到步骤195。在步骤195中，控制装置5将所有历史数据LOG(i＝0～n)从EEPROM 10输出到外部设备20。

在步骤196中，外部设备20从控制装置5接收历史数据LOG(i＝0～n)。所接收的历史数据是存储在EEPROM 10中的历史数据。所接收的历史数据被存储在外部设备20的内部存储装置25中。在步骤197中，外部设备20在显示器26上显示存储在内部存储装置25中的历史数据LOG(i＝0～n)。

输出处理190的结果是，根据EEPROM 10的历史数据，向作业者提示合法的外部改写和非法的外部改写这两者。作业者能够知道合法的外部改写的合法历史数据。合法历史数据例如由制造商提供。或者，合法历史数据根据由作业者向制造商的请求而提供。合法历史数据包括与所有合法外部改写相关地、伴随外部改写而产生的和调节值SUM-ADJ、以及内部错误开关值INT-E/D。因此，作业者通过将EEPROM 10的历史数据与合法历史数据进行对比，能够得知存在不合法的外部改写。

外部设备20也可以在步骤197中实施自诊断。在这种情况下，外部设备20将合法历史数据至少暂时地存储在内部存储装置25中。外部设备20判定从EEPROM 10获取的所有历史数据LOG(i＝0～n)是否与合法历史数据一致。在从EEPROM 10获取的历史数据LOG(i＝0～n)包含合法历史数据中不存在的数据的情况下，该外部改写不合法的可能性较高。外部设备20可以构成为，在历史数据LOG(i＝0～n)包括不合法的历史数据的情况下，发出警告。

<合法的外部改写>

在ROM 8被外部改写的情况下，和调整值SUM-ADJ被改写。作为合法的外部改写，例如，能够假定制造商带来的版本升级。在这种情况下，制造商不仅改写了改写区域33、34，而且改写了和调整值区域36。由此，能够在维持作为基准值的校验和值SUM-CHK的同时，避免由ROM 8的检查引起的异常(内部错误)的检测。由于制造商能够避免内部错误，因此不会改写内部错误区域38。制造商设定内部错误开关值INT-E/D，使得执行基于校验和的检查本身。制造商在检测出ROM 8的异常的情况下，设定内部错误开关值INT-E/D，以执行预先确定的对策处理。

当和调整值区域36或内部错误区域38中的一方被改写时，在下次启动动力源2时，历史数据LOG(i)被追加存储在EEPROM 10中。其结果是，合法的改写作为历史而留下。

<非法的外部改写>

可以假定通过非法的外部改写而改写ROM 8的情况。作为非法的外部改写，例如，能够假定未经制造商许可的改造行为。在这种情况下，改造者对改写区域33、34进行改写。此外，改造者改写和调整值SUM-ADJ，以欺骗基于校验和的检查。换言之，改造者改写和调整值SUM-ADJ，以使步骤174中的校验和检查的判定结果向“是”分支。此外，周到的改造者改写了内部错误开关值INT-E/D，以阻止基于校验和的检查本身。周到的改造者改写了内部错误开关值INT-E/D，使得判定结果将步骤176中的是否需要对策处理的向“否”分支。

在大部分的情况下，改造者对改写区域33、34进行改写，以使交通工具的行为变得激烈。在这种情况下，为了保护设备系统1，有时检测异常(内部错误)。换言之，步骤175中的正常范围的判定结果有时向“否”分支。即使在这种情况下，由于周到的改造者改写了内部错误开关值INT-E/D，因此步骤176中的判定也向“否”分支。

因此，即使是非法的外部改写，如果和调整值SUM-ADJ和/或内部错误开关值INT-E/D被改写，则控制装置5也无法检测异常(内部错误)。然而，当和调整值SUM-ADJ或内部错误开关值INT-E/D中的一方被改写时，在下次启动动力源2时，历史数据LOG(i)被追加存储在EEPROM 10中。其结果是，非法的改写作为历史而留下。

＜非外部改写的异常＞

ROM 8的数据可能因设备的不稳定性、设备的寿命或少有的辐射而不规则地反转。当ROM 8的任意位反转时，通过ROM 8的检查(校验和)检测出异常(内部错误)。在这种情况下，控制装置5执行根据内部错误开关值INT-E/D而预先设定的对策处理。

<存储器的改写历史记录装置>

图7是存储器的改写历史记录装置的框图。各个模块由控制装置5的硬件资源、以及用于使硬件资源发挥功能的软件资源来提供。

存储器M1存储控制装置5的程序和/或数值。存储器M1是可外部改写且非易失性的。存储器M1由ROM 8提供。

存储器M1被检查器M2检查。检查器M2检查存储器M1的存储数据，判定存储器M1的正常或异常。检查器M2执行“错误检查”。检查器M2是通过校验和来检查存储器M1的存储数据的校验和检查器。检查器M2包括校验和判定部174，该校验和判定部174基于根据包含调整值的存储器M1的存储数据计算出的校验和值与预先确定的基准值是否相等，来判定存储器M1是正常还是异常。检查器M2包括内部开关判定部171、176，该内部开关判定部171、176根据开关值来判定基于校验和进行的存储器M1的检查的有效或无效。检查器M2包括内部开关判定部171，该内部开关判定部171根据开关值来判定是否执行基于校验和进行的存储器M1的检查本身。检查器M2包括内部开关判定部176，在通过校验和判定存储器M1的异常的情况下，该内部开关判定部176根据开关值判定对策处理的有效或无效。检查器M2包括内部错误判定部175，该内部错误判定部175根据程序和/或数值是否在正常范围内来判定存储器M1是正常还是异常。检查器M2包括内部开关判定部176，在通过内部错误判定部判定存储器M1的异常的情况下，该内部开关判定部176根据开关值判定对策处理的有效或无效。

当通过检查器M2在存储器M1中检测出异常(内部错误)时，检查器M2执行对策处理。

存储器M1具有存储调整值(SUM-ADJ)的和调整值区域36，该调整值(SUM-ADJ)被改写以阻止由检查器M2进行的为异常的判定。存储器M1具有存储开关值(INT-E/D)的内部错误区域38，该开关值(INT-E/D)设定由检查器M2进行的检查的有效或无效。

避免对策处理的第一方法通过欺骗由检查器M2进行的检查来提供。对于第一方法，使用和调整值区域36。在和调整值区域36被设定为适当的调节值(和调节值SUM-ADJ)的情况下，检查器M2不会检测到异常(内部错误)。换言之，和调整值区域36可用于使由检查器M2进行的检查有效地发挥功能，同时阻止通过该检查检测到异常。因此，可以说第一方法是使检查器M2正常发挥功能、同时欺骗该检查的处理。

避免对策处理的第二方法通过设定由检查器M2进行的检查本身的有效或无效来提供。其中，“检查的有效或无效”这一用语包括阻碍执行检查本身的情况、以及阻碍在检查的结果为异常的情况下执行的对策处理的情况。对于第二方法，使用内部错误区域38。在内部错误区域38被设定为适当的开关值(内部错误开关值INT-E/D)的情况下，设定由检查器M2进行的检查的有效或无效。

第二方法之一是阻碍由检查器M2执行检查本身。在这种情况下，也使用内部错误区域38。在内部错误区域38被设定为适当的开关值(内部错误开关值INT-E/D)的情况下，检查器M2不执行检查本身。

第二方法之一是仅阻碍响应检查结果而启动的对策处理的执行。在这种情况下，也使用内部错误区域38。在内部错误区域38被设定为适当的开关值(内部错误开关值INT-E/D)的情况下，即使检查器M2检测出异常(内部错误)，也不执行对策处理。

在本实施方式中，历史记录器M3累积地记录调整值和开关值这两者，以监视第一方法和第二方法这两者。其结果是，历史包括调整值和开关值这两者。由此，不管是合法的还是非法的，存在外部改写的情况均被记录。由于不仅记录调整值，还记录开关值，因此能够将合法的外部改写以及非法的外部改写这两者作为历史进行记录。其结果是，提供一种能够高效地发现改写行为的存储器的改写历史记录装置。

历史记录器M3将外部改写的历史记录在存储器M1中。历史记录器M3包括与存储器M1不同的非易失性的其他存储器。其他存储器由EEPROM 10提供。

历史记录器M3构成为，在存储器M1被外部改写时，将调整值和开关值这两者作为历史进行记录。在这种情况下，历史记录器M3包括第一判定部184和第二判定部185。第一判定部184判定存储器M1中存储的调整值是否与最新历史(LOG(i))中包含的历史调整值相等。第二判定部185判定存储器M1中存储的开关值是否与最新历史(LOG(i))中包含的历史开关值相等。历史记录器M3包括记录部186，该记录部186在第一判定部或第二判定部的任一方中作出否定判定的情况下，将调整值和开关值作为历史来记录。历史记录器M3构成为，每当历史记录器M3启动时，执行由第一判定部184和第二判定部185进行的判定。启动具体是接通控制装置5的电源开关。

存储器的改写历史记录装置可以包括输出器M4。输出器M4输出记录在历史记录器M3中的历史数据。历史包括调整值和开关值这两者，因此通过这些值指示合法的外部改写和非法的外部改写。控制装置5可以包括存储器M1、检查器M2以及历史记录器M3。在一个实施方式中，输出器M4由能够与控制装置5可数据通信连接的外部设备20提供。

根据上述实施方式，可以进行外部改写的特定数据作为历史数据累积并输出。因此，提供了外部改写的历史。其结果是，能够提供一种可高效地发现外部改写的存储器的改写历史记录装置。

可以进行外部改写的特定数据包括用于欺骗基于所谓的校验和的检查的和调整值SUM-ADJ。可以进行外部改写的特定数据还包括用于设定检查的有效/无效的内部错误开关值INT-E/D。通过将这两种数据都包括在内，可以提高检测外部改写的精度。

可外部改写的存储区域无论是合法还是非法的，都可以被改写。在这种情况下，可以生成存储区域的唯一散列码，并将其考虑为历史记录。然而，需要用于累积散列码的大存储容量。此外，需要装载基于硬件的散列码生成器、或基于软件的散列码生成器。与此相对，本实施方式中的和调整值SUM-ADJ的数据量远少于散列码的数据量。因此，根据本实施方式，能够提供一种可高效地发现储存区域的改写的存储器的改写历史记录装置。此外，通过基于校验和的存储区域的检查功能可以通过小规模的硬件或软件来提供。因此，可以提供一种能够通过小规模的结构发现储存区域的改写的存储器的改写历史记录装置。

其他实施方式

本说明书以及说明书附图等中的公开内容并不限于列举出的实施方式。公开内容包括被列举出的实施方式和本领域技术人员基于它们而得到的变形实施方式。例如，公开内容并不限于实施方式中所示出的部件和/或要素的组合。公开内容可通过多种组合来实施。公开内容还可具有可追加到实施方式中的追加部分。公开内容包含实施方式中部件和/或要素被省略的实施方式。公开内容包含一个实施方式与其他实施方式之间的部件和/或要素的置换或组合。所公开的技术范围并不限于实施方式的记载。所公开的若干技术范围，由权利要求范围的记载来表示，还应理解为包括与权利要求书的记载具有同等意义及范围内的所有变更。

本说明书以及说明书附图等中的公开内容并不限于权利要求书的记载。说明书及说明书附图等中的公开内容，包含权利要求书所记载的技术思想，并且进一步涉及比权利要求书所记载的技术思想更多样且更广泛的技术思想。因此，不受权利要求书的记载的限制，可以从说明书和说明书附图等的公开内容中提取多种技术思想。

在上述实施方式中，历史处理180和历史记录器M3将历史记录在EEPROM 10中。取而代之地，历史处理180和历史记录器M3也可以将历史记录在可通过无线通信连接的服务器中。并且，外部设备20可以由可通过无线通信连接的服务器提供。在这种情况下，能够在服务器中集中地监视并管理多个控制装置5中的外部改写。

Claims (10)

1.一种存储器的改写历史记录装置，包括：存储器，其存储控制装置的程序和/或数值，能够进行外部改写，并且为非易失性的；

检查器，其检查所述存储器的存储数据，对所述存储器的正常或异常进行判定；以及

历史记录器，其记录所述外部改写的历史，

所述存储器具有：

调整值区域，其存储被改写以阻止由所述检查器进行的为异常的判定的调整值；以及

开关值区域，其存储设定由所述检查器进行的检查的有效或无效的开关值；其中，

所述历史包括：

所述调整值和所述开关值这两者。

2.根据权利要求1所述的存储器的改写历史记录装置，还包括输出器，所述输出器输出所述历史记录器中记录的历史。

3.根据权利要求2所述的存储器的改写历史记录装置，其中，所述控制装置包括所述存储器、所述检查器以及所述历史记录器，

所述输出器由能够与所述控制装置可进行数据通信地连接的外部设备提供。

4.根据权利要求1所述的存储器的改写历史记录装置，其中，所述历史记录器构成为，在所述存储器被外部改写时将所述调整值和所述开关值这两者作为所述历史进行记录。

5.根据权利要求4所述的存储器的改写历史记录装置，其中，所述历史记录器包括：

第一判定部，其判定所述存储器中存储的所述调整值是否与最新的所述历史中包含的历史调整值相等；

第二判定部，其判定所述存储器中存储的所述开关值是否与最新的所述历史中包含的历史开关值相等；以及

记录部，其在所述第一判定部或所述第二判定部的任一个中作出否定判定的情况下，将所述调整值和所述开关值作为所述历史来记录。

6.根据权利要求5所述的存储器的改写历史记录装置，其中，所述历史记录器构成为，每当所述历史记录器启动时，执行由所述第一判定部和所述第二判定部进行的判定。

7.根据权利要求1至6中的任一项所述的存储器的改写历史记录装置，其中，所述检查器是通过校验和来检查所述存储器的存储数据的校验和检查器。

8.根据权利要求7所述的存储器的改写历史记录装置，其中，

所述检查器包括：

校验和判定部，其基于根据包含所述调整值的所述存储器的存储数据计算出的校验和值与预先确定的基准值是否相等，来判定所述存储器是正常还是异常；以及

内部开关判定部，其根据所述开关值来判定由所述校验和判定部进行的检查的有效或无效。

9.根据权利要求1至6中的任一项所述的存储器的改写历史记录装置，其中，

所述检查器包括：

内部错误判定部，其根据所述程序和/或数值是否在正常范围内，来判定所述存储器是正常还是异常；以及

内部开关判定部，其在由所述内部错误判定部判定所述存储器为异常的情况下，根据所述开关值判定对策处理的有效或无效。

10.根据权利要求1至6中的任一项所述的存储器的改写历史记录装置，其中，所述历史记录器包括与所述存储器不同的非易失性的其他存储器。