DE69926937T2

DE69926937T2 - Elektronische Steuerungsvorrichtung und Verfahren mit Rückschreibprogrammierfunktion

Info

Publication number: DE69926937T2
Application number: DE69926937T
Authority: DE
Inventors: Shinnosuke Kariya-shi Hayashi; Keiji Kariya-shi Sugai
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 1998-03-25
Filing date: 1999-03-24
Publication date: 2006-06-08
Anticipated expiration: 2019-03-25
Also published as: EP0945770B1; JPH11272498A; US6341239B1; EP0945770A3; DE69926937D1; EP0945770A2

Description

Die vorliegende Erfindung bezieht sich auf eine elektronische Steuereinheit und ein Verfahren unter Verwendung eines Mikrocomputers, insbesondere auf eine elektronische Steuereinheit und ein Verfahren, bei welchem ein Steuerprogramm und Steuerdaten, welche für den Mikrocomputer verwendet werden, welcher eine Steuerverarbeitung durchführt, bordseitig überschrieben werden können.
Als eine elektronische Steuereinheit zur Steuerung von beispielsweise einer Fahrzeugmaschine wurde der bordseitige überschreibbare Typ vorgeschlagen, welcher einen Mikrocomputer enthält, welcher einen überschreibbaren, nicht-flüchtigen Speicher, wie beispielsweise einen EEPROM oder einen Flash EEPROM enthält, wobei Speicherinhalte dessen elektrisch überschrieben werden können (insbesondere gelöscht und neu geschrieben werden können), und es erlaubt, dass ein Steuerprogramm und Steuerdaten, welche im überschreibbaren, nicht-flüchtigen Speicher gespeichert sind, in einen Zustand überschrieben werden, so dass die betroffene Einheit vollständig gerüstet ist.
In der Japanischen Patentveröffentlichung JP-A-9-44216 (USP 5,828,977) ist eine elektronische Steuereinheit derart entworfen, dass sie mit einer Speicher-Überschreibungs-Einheit nicht nur über eine Kommunikationsleitung sondern ebenfalls über eine Modusbestimmungs-Steuersignalleitung verbunden ist. Unmittelbar nachdem ein Mikrocomputer der elektronischen Steuereinheit nach dem Rücksetzzustand seinen Betrieb beginnt, führt der Mikrocomputer ein Startprogramm (Boot-Programm) im nicht-überschreibbaren, nicht-flüchtigen Speicher aus, und überprüft dadurch den Zustand eines von der Speicher-Überschreibungs-Einheit über die Modusbestimmungs-Steuersignalleitung eingegebenen Signals. Gemäß dem Zustand des Signals schaltet der Mikrocomputer den Eigenbetriebsmodus entweder in den Normalmodus, welcher das Steuerprogramm im überschreibbaren, nicht-flüchtigen Speicher ausführt, oder in den Überschreibungs-Modus, welcher die Überschreibungs-Verarbeitung ausführt, um.
Daher wird, nachdem die elektronische Steuereinheit eingeschaltet ist, und zwar wenn sie derart angeordnet ist, dass sie den Mikrocomputer vom Rücksetz-Zustand aus betreibt, und ein Signal, welches den Überschreibungs-Modus anzeigt, an die Modusbestimmungs-Steuersignalleitung von der Speicher-Überschreibungs-Einheit ausgibt, der Mikrocomputer die Überschreibungs-Verarbeitung ohne Bezug zum Steuerprogramm im überschreibbaren, nicht-flüchtigen Speicher ausführen. Demgemäss können, sogar wenn das Steuerprogramm noch nicht in den überschreibbaren, nicht-flüchtigen Speicher geschrieben ist, oder wenn das im überschreibbaren, nicht-flüchtigen Speicher gespeicherte Steuerprogramm aus irgendeinem Grund anormal wird, die Schreibdaten (d.h., neue Schreibdaten oder überschriebene Daten) im überschreibbaren, nicht-flüchtigen Speicher ausgeführt werden.
Jedoch werden, wenn die Modusbestimmungs-Steuersignalleitung zwischen der elektronischen Steuereinheit und der Speicher-Überschreibungs-Einheit bereitgestellt ist, die folgenden Probleme auftreten.

(1) Es ist notwendig, ein zugewiesenes Terminal für die Modusbestimmungs-Steuersignalleitung dem Verbinder hinzuzufügen, welcher die elektronische Steuereinheit und die Speicher-Überschreibungs-Einheit verbindet. Obwohl die Modusbestimmungs-Steuersignalleitung in der Praxis selten verwendet wird, ist ein neues Verbinder-Terminal zusätzlich bereitzustellen.
(2) Wartungsstationen für Fahrzeuge und dergleichen haben eine Problemdiagnose-Serviceeinheit zu verwenden, wobei Eigendiagnosedaten, welche in der elektronischen Steuereinheit gespeichert sind, über die Kommunikationsleitung gelesen werden können. Demgemäss kommt eine Anfrage von Ihnen auf, so dass die Funktion der Speicher-Überschreibungs-Einheit in der vorgenannten Serviceeinheit einbezogen ist, und dadurch können das Steuerprogramm und die Steuerdaten nur unter Verwendung der Kommunikationsleitung geschrieben werden. Wenn jedoch die Modusbestimmungs-Steuersignalleitung bereitgestellt ist, wird die vorgenannte Anfrage nicht erfüllt, welches zu einer Flexibilitätseinbuße führt. Das heißt, dass eine spezielle Einheit als Speicher-Überschreibungs-Einheit benötigt wird. Zusätzlich können der Kabelbaum zum Verbinden der Speicher-Überschreibungs-Einheit und der Kabelbaum zum Verbinden der weiteren Serviceeinheiten nicht in einem gemeinsamen integriert werden.
(3) Im Allgemeinen ist die Verbindung der elektronischen Steuereinheit und der Speicher-Überschreibungs-Einheit dieses Typs derart aufgebaut, dass der Verbinder, welcher am Ende des Kabelbaums bereitgestellt ist, welches sich seitens der elektronischen Steuereinheit erstreckt, mit dem Verbinder seitens der Speicher-Überschreibungs-Einheit in Eingriff gebracht wird. Wenn jedoch die Modusbestimmungs-Steuersignalleitung innerhalb des Kabelbaums, welcher sich seitens der elektronischen Steuereinheit erstreckt, mit einem Bereich des Spannungspegels kurzgeschlossen ist, welcher den Überschreibungs-Modus in einem Fahrzeug anzeigt, wird das normale Steuerprogramm nicht ausgeführt.

Hierbei wird es, wenn das Steuerprogramm und die Steuerdaten geschrieben werden, beispielsweise wenn der Bediener einen Arbeitsschritt zum Öffnen der Abdeckung der elektronischen Steuereinheit vornimmt, und direkt ein Modusbestimmungs-Signal an das Eingangsterminal (Eingangsanschluss) des Mikrocomputers anlegt, möglich, auf die Modusbestimmungs-Steuersignalleitung zu verzichten. Jedoch ist dies aufgrund der Verarbeitung und der Zuverlässigkeit der elektronischen Steuereinheit nicht praktikabel.
Dokument DE 44 40 127 A offenbart eine Steuervorrichtung, welche einen elektronisch programmierbaren Speicher enthält, wobei die Steuervorrichtung einen Mikrocomputer, wobei der Speicher ein Programm speichert, welches elektrisch gelöscht und programmiert werden kann, einen ROM und eine serielle Schnittstelle enthält. Die serielle Schnittstelle der Steuervorrichtung kann mit einer externen Kommunikationsvorrichtung verbunden werden, und es kann eine bidirektionale Kommunikation dazwischen aufgebaut werden. Im Falle des Auftretens einer Fehlfunktion im Mikrocomputer wird, wenn das gespeicherte Programm ausgeführt wird oder wenn eine Energie zur Steuervorrichtung unterbrochen wurde noch bevor ein Rücksetz-Programm begonnen wurde, die Steuervorrichtung in einem Arbeitsgang mit der externen Kommunikationsvorrichtung verbunden. Im Arbeitsgang wird ein Versuch unternommen, eine Neuprogrammierung der Steuervorrichtung durchzuführen, und zwar sogar dann, wenn das Diagnoseprogramm der Steuervorrichtung als Ergebnis eines Defekts im Speicher nicht korrekt gearbeitet hat. Die Steuervorrichtung wird getestet, nachdem die externe Kommunikationsvorrichtung damit verbunden wurde. Eine Neuprogrammierung wird dann begonnen, und das neuprogrammierte Programm für den programmierbaren Speicher wird an die Steuervorrichtung gesendet, und die Neuprogrammierung kann sogar dann durchgeführt werden, wenn das Steuerprogramm nicht begonnen wurde oder nicht durchgeführt werden kann, oder im Falle wenn bestimmt ist, dass eine Energie zur Steuervorrichtung unterbrochen wurde.
Das Dokument US-A-4 550 278 offenbart eine Steuervorrichtung, welche mit einer Speichereinheit zum Speichern von Daten, welche Fehler darstellen, welche im System auftreten, als auch von weiteren Daten, welche diese Fehler berücksichtigen (Fehler-Historie), bereitgestellt ist. Die Fehlerdaten und die weitere Information in Übereinstimmung mit den Fehlertypen und die Sequenz und die Anzahl an Fehlerauftritten können durch Bearbeiten und Anzeigen dieser in der Speichersektion gespeicherten Daten zusammen mit der Fehlerauftritts-Historie eingeschätzt werden. Eine Anzahl an Problemfaktoren wird bestimmt um eine Fehleranalyse zu ermöglichen.
Das Dokument EP 0 762 249 A1 offenbart eine Steuerung für eine Maschine mit einer Steuerung zum Überschreiben eines Programms oder von Daten in einer Steuerung nach einem Maschinenstopp, wobei erfasst wird, ob die Maschine eines Fahrzeugs im Betrieb ist oder nicht. Wenn die Maschine gestoppt ist, fragt ein Speicherschreiber an das Maschinen-Steuerprogramm zu überschreiben, und eine entsprechende Software wird ausgeführt. Nach Durchführung einer Rücksetzung wird das neue Maschinen-Steuerprogramm gestartet.
Es ist Aufgabe der vorliegenden Erfindung eine elektronische Steuereinheit und ein Verfahren bereitzustellen, welche ein Datenschreiben in einem überschreibbaren, nicht-flüchtigen Speicher ohne eine Signalleitung zum Bestimmen des Modus ausführen können, welcher zwischen einer externen Einheit und der elektronischen Steuereinheit untergebracht ist, und zwar sogar dann, wenn ein Steuerprogramm nicht in den überschreibbaren, nicht-flüchtigen Speicher geschrieben wird oder wenn das im überschreibbaren, nicht-flüchtigen Speicher gespeicherte Steuerprogramm anormal wird.
Gemäß der vorliegenden Erfindung wird diese Aufgabe durch eine elektronische Steuereinheit und ein elektronisches Steuerverfahren gemäß den anliegenden Ansprüchen gelöst.
Die elektronische Steuereinheit gemäß der vorliegenden Erfindung ist mit einer externen Einheit verbindbar. In der elektronischen Steuereinheit führt ein Mikrocomputer ein Steuerprogramm aus, welches Daten enthält, welche in einem überschreibbaren, nicht-flüchtigen Speicher gespeichert sind, wobei Speicherinhalte derer elektrisch überschrieben werden können, und führt eine Steuerverarbeitung zum Steuern eines Steuerobjekts aus. Eine Überwachungsschaltung, welche innerhalb derselben Einheit zusammen mit dem Mikrocomputer bereitgestellt ist, überwacht kontinuierlich ob ein Ausführungszustand des Steuerprogramms im Mikrocomputer normal oder anormal ist, und bestimmt im Speziellen den Ausführungszustand des Steuerprogramms als anormal, wenn ein Überwachungssignal nicht zu jeder Zeit ausgegeben wird, welche gleich oder kleiner einer vorbestimmten Zeit ist. Der Mikrocomputer führt eine Überschreibungs-Verarbeitung zum Aktualisieren und Schreiben von Überschreibungs-Daten aus, welche von der externen Einheit in den überschreibbaren, nicht-flüchtigen Speicher übertragen werden, wenn der Ausführungszustand des Steuerprogramms durch die Überwachungsschaltung als anormal bestimmt wird.
Somit ist der Mikrocomputer im Falle, dass das Steuerprogramm noch nicht in den überschreibbaren, nicht-flüchtigen Speicher geschrieben ist, oder im Falle, dass das im überschreibbaren, nicht-flüchtigen Speicher gespeicherte Steuerprogramm aus irgendeinem Grund anormal wird, nicht in der Lage das Steuerprogramm auszuführen. Daher bestimmt die Überwachungsschaltung in beiden vorgenannten Fällen den Ausführungszustand durch den Mikrocomputer als anormal, und der Mikrocomputer wechselt den Modus zum Überschreibungs-Modus um die Überschreibungs-Verarbeitung auszuführen.
Demgemäss ist es, obwohl keine Signalleitung zum Bestimmen des Modus zwischen der externen Einheit und der elektronischen Steuereinheit untergebracht ist, möglich, ein neues Steuerprogramm und neue Steuerdaten in den überschreibbaren, nicht-flüchtigen Speicher zu schreiben, und zwar von einem Zustand aus, bei welchem das Steuerprogramm nicht in den überschreibbaren, nicht flüchtigen Speicher geschrieben wird. Wenn das im überschreibbaren, nicht-flüchtigen Speicher gespeicherte Steuerprogramm in einen anormalen Zustand gebracht wird, ist es möglich, das betreffende Steuerprogramm in ein Programm aus normalen Inhalten zu überschreiben.
Hier wird als überschreibbarer, nicht-flüchtiger Speicher im allgemeinen ein EEPROM oder Flash EEPROM verwendet, obwohl ebenfalls weitere überschreibbare ROMs verwendet werden können.
1 ist ein Blockdiagramm, welches einen Aufbau einer elektronischen Steuereinheit (ECU) einer Ausführungsform darstellt;
2 ist eine Ansicht, welche die Inhalte von Speicherbereichen darstellt;
3 ist ein Ablaufdiagramm, welches die Gesamtverarbeitung darstellt, welche ein Mikrocomputer einer ECU ausführt;
4 ist ein Ablaufdiagramm, welches eine SCI Unterbrechungsverarbeitung darstellt, welche der Mikrocomputer der ECU im normalen Modus ausführt; und
5 ist ein Ablaufdiagramm, welches die Verarbeitung darstellt, welche ein Rücksetzimpuls-Überwachungs-IC ausführt, welcher eine Überwachungsschaltung bildet.
Eine beispielhafte Ausführungsform der Erfindung wird mit Bezug auf die begleitenden Zeichnungen beschrieben.
In 1, welche ein elektronisches Steuersystem für eine Fahrzeug-Brennkraftmaschine darstellt, welche eine elektronische Steuereinheit (ECU) 2 verwendet, enthält die ECU 2 eine Eingangs-Verarbeitungsschaltung (IP) 6, welche Signale von verschiedenen Sensoren (SR) 4 zum Erfassen der Laufzustände einer Maschine eingibt und die Sensorsignale verarbeitet. Die ECU 2 enthält ferner einen Mikrocomputer 8, welcher die optimalen Steuerwerte der Maschine auf Basis der Sensorsignale von der Eingangs-Verarbeitungsschaltung 6 bearbeitet oder berechnet, und Steuersignale auf Basis der Betriebsergebnisse ausgibt, eine Ausgangsschaltung (OC) 12, welche die Steuersignale vom Mikrocomputer 8 empfängt und Stellglieder (A) 10, wie beispielsweise Kraftstoff-Einspritzer, Zünder und dergleichen, antreibt, welche in der Maschine eingebaut sind. Die ECU 2 enthält ferner eine Kommunikationsschaltung (CC) 16 zum Ausführen einer seriellen Datenkommunikation mit einer Speicher-Überschreibungs-Einheit 14, welche eine externe Einheit ist.
Der Mikrocomputer 8 enthält eine zentrale Verarbeitungseinheit (CPU) 18, welche gemäss einem Programm arbeitet, einen nicht-flüchtigen Flash EEPROM 20 und einen Mask ROM 21, welche ein Programm (im Speziellen Daten, welche das Programm bilden), welches zum Betreiben der CPU 18 erforderlich ist, und Daten, auf welche während der Ausführung des Programms durch die CPU 18 zurückgegriffen werden, speichern, einen flüchtigen RAM 22, welcher zeitweilig die Betriebsergebnisse durch die CPU 18, usw., speichert, und eine Eingangs-/Ausgangsschaltung (I/O) 24. Die I/O 24 empfängt die Signale von der Eingangsverarbeitungsschaltung 6 und der Kommunikationsschaltung 16, usw., und gibt die Steuersignale an die Ausgangsschaltung 12 aus.
Der Flash EEPROM 20 ist ein nicht-flüchtiger ROM, wobei die Speicherinhalte dessen elektrisch überschrieben werden können (löschen und neu schreiben). Der Mask ROM 21 ist ein nicht-flüchtiger ROM, dessen Speicherinhalte nicht überschrieben werden können. Jedoch braucht im Falle, dass ein Flash EEPROM oder ein EEPROM als Ersatz des Mask ROM 21 verwendet wird, das Löschen und Schreiben der Speicherinhalte nur unterdrückt zu werden.
Hier werden die Inhalte von Speicherbereichen des Flash EEPROM 20, Mask ROM 21 und RAM 22 mit Bezug auf 2 beschrieben.
Wie in 2 gezeigt, wird der Flash EEPROM 20 als ein Maschinensteuerprogramm- und Daten-(Programm/Daten) Speicherbereich 32 zum Speichern des Steuerprogramms und der Steuerdaten für eine Maschinensteuerung verwendet. Nachdem der Mikrocomputer 8 im Herstellungsprozess der ECU 2 seitens der ECU 2 befestigt ist, werden ein anwendbares Steuerprogramm und Steuerdaten in den Flash EEPROM 20 geschrieben. Hier wird angenommen, dass das Steuerprogramm und die Steuerdaten bereits darin geschrieben sind.
Andererseits wird der Mask ROM 21 als ein Boot-Programm-Speicherbereich 34 zum Speichern eines Boot-Programms verwendet, welches unmittelbar nach Auslösung einer Rücksetzung ausgeführt wird, verwendet, und ein anwendbares Boot-Programm wird zuvor in diesem Mask ROM 21 gespeichert, bevor der Mikrocomputer 8 seitens der ECU 2 befestigt wird.
Der RAM 22 ist mit einem Flash ROM bereit gestellt, welcher einen Steuerprogramm-Speicherbereich 36 und einen Betriebs-Arbeitsbereich 38 überschreibt. Ein Flash ROM Überschreibungs-Steuerprogramm, welches von der Speicher-Überschreibungs-Einheit 14, welche später beschrieben wird, übertragen wird, wird an den Flash ROM Überschreibungs-Steuerprogramm-Speicherbereich 36 übertragen, um die Speicherinhalte des Flash EEPROM 20 zu überschreiben. Der Betriebs-Arbeitsbereich 38 wird für eine Betriebs-Arbeit verwendet, wenn das Flash ROM Überschreibungs-Steuerprogramm ausgeführt wird.
Ferner enthält sowohl das Boot-Programm im Mask ROM 21 als auch das im Flash EEPROM 20 gespeicherte (geschriebene) Steuerprogramm, als auch das Flash ROM Überschreibungs-Steuerprogramm, welches von der Speicher-Überschreibungs-Einheit 14 an den Flash ROM Überschreibungs-Steuerprogramm-Speicherbereich 36 des RAM 22 übertragen wird, ein Überwachungsimpuls-Ausgabeprogramm, durch welches der Mikrocomputer 8 einen Betriebsüberwachungs-Überwachungsimpuls WP zu jeder Zeit ausgibt, welche gleich oder kleiner als eine vorbestimmte spezifische Zeit TW ist.
Wieder bezugnehmend auf 1 ist die Speicher-Überschreibungs-Einheit 14 mit der ECU 2 verbunden, wenn das Steuerprogramm und die Steuerdaten für die Maschinensteuerung überarbeitet in den Flash EEPROM 20 geschrieben werden oder das bereits geschriebene Steuerprogramm und die Steuerdaten durch neue Inhalte überschrieben werden. Die Verbindung der ECU 2 und der Speicher-Überschreibungs-Einheit 14 wird durch Ineingriffnahme von beiden Verbindern CN vorgenommen, so dass eine Kommunikationsleitung L von beiden hinsichtlich von Signalen verbunden werden. Das heißt, dass es eine Ineingriffnahme der Verbinder CN ermöglicht, das der Mikrocomputer 8 der ECU 2 eine serielle Kommunikation mit der Speicher-Überschreibungs-Einheit 14 über die Kommunikationsschaltung 16 und die Kommunikationsleitung L ausführt.
Ferner enthält die ECU 2 eine Überwachungsschaltung 26 zum Überwachen des Betriebszustandes des Mikrocomputers 8, und die Überwachungsschaltung 26 enthält einen Energieversorgungs-IC 28 mit einer Überwachungsimpuls-Überwachungsfunktion und einen Rücksetzimpuls-Überwachungs-IC 29.
Hier weist der Energieversorgungs-IC 28 die folgenden drei Funktionen (1)–(3) auf. (1) Eine Betriebsspannungs-Versorgungsfunktion, welche eine Energieversorgungsspannung (normalerweise um 12 Volt aus einer Batterie, welche über den Zündschalter eines Fahrzeugs oder dergleichen zugeführt wird), welche an die ECU 2 angelegt wird, in eine Betriebsspannung von 5 Volt umwandelt, und dem Mikrocomputer 8, der Ausgangsschaltung 12 und dergleichen innerhalb der ECU 2 zuführt. (2) Die Einschalt-Rücksetzfunktion, welche damit fortfährt einem Rücksetzanschluss des Mikrocomputers 8 ein Rücksetz-Signal zuzuführen, und zwar während einer Zeitperiode vom Beginn der Versorgung der Betriebsspannung mit der Eingabe der Energieversorgungsspannung, bis angenommen wird, dass die Betriebsspannung einen stabilisierten Pegel erreicht hat. (3) Die Überwachungsimpuls-Überwachungsfunktion (die Überwachungsimpuls-Zeitnehmerfunktion), welche überwacht, dass der Überwachungsimpuls zu jeder Zeit ausgegeben wird, welche gleich oder kleiner als die vorhergehende spezifische Zeit TW ist, welche mit der Programmausführung durch den Mikrocomputer 8 einhergeht, und einen Rücksetzimpuls RP einer vorbestimmten Zeitbreite an den Rücksetzanschluss des Mikrocomputers 8 ausgibt, wenn die Ausgabeperiode anormal ist, d.h., wenn der Überwachungsimpuls WP nicht innerhalb einer Zeitnehmer-Zeit TM vom Mikrocomputer 8 ausgegeben wird, welche länger als die vorhergehende spezifische Zeit TW eingestellt ist.
Der Rücksetzimpuls-Überwachungs-IC 29 ist aus einem kleinen Mikrocomputer (beispielsweise ein 1-Bit Mikrocomputer) ausgebildet, welcher einen einfachen Aufbau hat, und führt die in 5 gezeigte Verarbeitung mit der vom Energieversorgungs-IC 28 zugeführten Betriebsspannung aus.
Das heißt, dass bei Schritt (S) S1000 in Abhängigkeit davon ob der Rücksetzimpuls RP vom Energieversorgungs-IC 28 an den Mikrocomputer 8 als erzeugt bestimmt ist, und der Rücksetzimpuls RP als nicht erzeugt bestimmt ist, die Verarbeitung auf S1020 gewechselt wird. Wenn der Rücksetzimpuls RP als erzeugt bestimmt ist, wird ein Zähler CRST zum Zählen der Anzahl an erzeugten Rücksetzimpulsen beim folgenden S1010 um 1 erhöht, und dann fährt der Verlauf mit S1020 fort.
Bei S1020 wird bestimmt ob der Wert des Zählers CRST gleich oder größer als ein vorbestimmter Wert n ist, welcher größer als 1 ist, und wenn bestimmt wird, dass der Wert des Zählers CRST gleich oder größer als der vorbestimmte Wert n ist, wird ein Stellglied-Antriebsstoppsignal As mit dem aktiven Pegel (beispielsweise niedriger Pegel = 0 Volt) beim folgenden S1030 an die Ausgangsschaltung 12 ausgegebenen. Beim Empfang des Stoppsignals AS stoppt die Ausgangsschaltung 12 den Antrieb des Stellglieds 10 unabhängig vom Steuersignal vom Mikrocomputer 8.
Mit anderen Worten, hat direkt nach Empfang der Betriebsspannung vom Energieversorgungs-IC 28 und Beginn des Betriebes, der Rücksetzimpuls-Überwachungs-IC 29 damit begonnen, das Stellglied-Antriebsstoppsignal AS mit dem passiven Pegel (beispielsweise hoher Pegel = 5 Volt) an die Ausgangsschaltung 12 auszugeben. In diesem Zustand ist der Antrieb des Stellglieds 10 durch die Ausgangsschaltung 12 möglich. Wenn der Rücksetzimpuls RP wiederholt (n > 1) vom Energieversorgungs-IC 28 an den Mikrocomputer 8 ausgegeben wird, und der Wert des Zählers CRST gleich oder größer als der vorbestimmte Wert n wird, bestimmt der Rücksetzimpuls-Überwachungs-IC 29 den Betrieb des Mikrocomputers 8 als anormal und wechselt den Pegel des Stellglied-Antriebstoppsignal AS an die Ausgangsschaltung 12 auf den aktiven Pegel. Dadurch wird der Antrieb des Stellglieds 10 durch die Ausgangsschaltung 12 erzwungen gestoppt. Hier fährt dieser erzwungene Stoppzustand solange fort, bis die Energieversorgung an die ECU 12 abgeschnitten wird.
Als nächstes wird, wenn das Stellglied-Antriebsstoppsignal AS am vorangehenden S1030 in den aktiven Pegel gebracht wird, oder wenn beim vorangehenden S1020 bestimmt wird, dass der Wert des Zählers CRST kleiner als der vorbestimmte Wert n ist, der Ablauf auf S1040 gewechselt, bei welchem bestimmt wird ob der Wert des Zählers CRST gleich oder größer als ein vorbestimmter Wert m ist, welcher größer als 1 ist.
Wenn der Wert des Zählers CRST ungleich oder größer als der vorbestimmte Wert m ist, kehrt der Ablauf auf S1000 zurück. Wenn jedoch der Wert des Zählers CRST gleich oder größer als der vorbestimmte Wert m ist, gibt der Rücksetzimpuls-Überwachungs-IC 29 ein Modusbestimmungs-Steuersignal MS mit dem aktiven Pegel (beispielsweise niedriger Pegel = 0 Volt) entsprechend eines Überschreibungs-Modus an einen spezifischen Eingangsanschluss (Modusbestimmungs-Eingangsanschluss) des Mikrocomputers 8 aus. Dann kehrt der Ablauf auf S1000 zurück.
Wie oben beschrieben, beginnt unmittelbar nach Empfang der Betriebsspannung vom Energieversorgungs-IC 28 und Beginn des Betriebes, der Rücksetzimpuls-Überwachungs-IC 29 mit der Ausgabe des Modusbestimmungs-Steuersignals MS mit dem passiven Pegel (beispielsweise hoher Pegel = 5 Volt) entsprechend eines normalen Modus an den vorhergehenden Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8. Wenn der Rücksetzimpuls RP m-fach vom Energieversorgungs-IC 28 an den Mikrocomputer 8 ausgegeben wird, und der Wert des Zählers CRST gleich oder größer als der vorbestimmte Wert m wird, bestimmt der Rücksetzimpuls-Überwachungs-IC 29 den Betrieb des Mikrocomputers 8 als anormal und wechselt den Pegel des Modusbestimmungs-Steuersignals MS am vorhergehenden Modusbestimmungs-Eingangsanschluss auf den aktiven Pegel entsprechend des Überschreibungs-Modus. Hier fährt dieser Zustand solange fort, bis die Energieversorgung an der ECU 2 abgeschnitten wird.
Bei der so aufgebauten ECU 2 beginnt der Mikrocomputer 8 den Betrieb vom Rücksetzzustand aus und führt das Boot-Programm im Mask ROM 21 aus, welches als eine Rücksetz-Eingabeadresse wie in 2 gezeigt eingestellt ist, wodurch der Mikrocomputer 8 den Pegel des Modusbestimmungs-Steuersignals MS, welches an den vorhergehenden Modusbestimmungs-Eingangsanschluss eingegeben wird, bestimmt. Gemäss dem Pegel des Modusbestimmungs-Steuersignals MS zu diesem Zeitpunkt wechselt der Mikrocomputer 8 den Betriebsmodus danach entweder in den normalen Modus, welcher das Steuerprogramm im Flash EEPROM 20 ausführt, oder den Überschreibungs-Modus, welcher eine Überschreibungs-Verarbeitung zum Aktualisieren und Schreiben von Überschreibungs-Daten in den Flash EEPROM 20 ausführt (d.h., neues Steuerprogramm und neue Steuerdaten), welche von der Speicher-Überschreibungs-Einheit 14 übertragen werden.
Als nächstes wird der durch den Mikrocomputer 8 ausgeführte Ablauf mit Bezug auf 3 beschrieben. Hier ist 3 ein Ablaufdiagramm, welches den Gesamtablauf darstellt, welcher durch den Mikrocomputer 8 ausgeführt wird, in welchem die Abläufe von S100–S300 und S500 durch das Boot-Programm im Mask ROM 21 ausgeführt werden. Der Ablauf von S400 wird durch das Flash Rom Überschreibungs-Steuerprogramm ausgeführt, welches die Speicher-Überschreibungs-Einheit 14 an den RAM 22 überträgt. Die Abläufe von S600–S800 werden durch ein Steuerprogramm für eine Maschinensteuerung (Maschinensteuerprogramm) im Flash EEPROM 20 ausgeführt.
Wie in 3 gezeigt, wird zu Beginn des Betriebes am Rücksetzzustand, zunächst der Mikrocomputer 8 mit einer Ausführung des Boot-Programms im Mask ROM 21 beginnen.
Zunächst überprüft der Mikrocomputer 8 bei S100 den Pegel des Modusbestimmungs-Steuersignals, welches an seinem eigenen Modusbestimmungs-Eingangsanschluss vom Rücksetzimpuls-Überwachungs-IC 29 der Überwachungsschaltung 26 eingegeben wird.
Wenn das Modusbestimmungs-Steuersignal aktiv ist, bestimmt es der Mikrocomputer 8 als Überschreibungs-Modus und fährt mit dem Ablauf auf S200 fort. Bei diesem S200 wird das Flash ROM Überschreibungs-Steuerprogramm von der Speicher-Überschreibungs-Einheit 14 in den RAM 22 heruntergeladen.
Das heißt, dass die Speicher-Überschreibungs-Einheit 14 derart entworfen ist, dass sie, nachdem der spezifische Betrieb beendet ist, das Flash ROM Überschreibungs-Steuerprogramm vom betreffenden Speichermedium, wie beispielsweise ein ROM oder eine Magnet-Disk, an der Speicher-Überschreibungs-Einheit 14 ausliest und das Programm über die Kommunikationsleitung L an die ECU 2 überträgt. Dann empfängt der Mikrocomputer 8 durch den Ablauf von S200 das Flash ROM Überschreibungs-Steuerprogramm von der Speicher-Überschreibungs-Einheit 14 und speichert das Programm im Flash ROM Überschreibungs-Steuerprogramm-Speicherbereich 36 des RAM 22.
Nachdem das Herunterladen des Flash ROM Überschreibungs-Steuerprogramms am RAM 22 durch den Ablauf von S200 vollendet ist, fährt der Ablauf mit S300 fort und springt zur Ablauf-Startadresse des Flash ROM Überschreibungs-Steuerprogramm-Speicherbereichs 36 im RAM 22. Das Flash ROM Überschreibungs-Steuerprogramm wird auf dem ROM 22 ausgeführt. Wie in S400 gezeigt, wird der Überschreibungs-Ablauf zum Aktualisieren des Schreibens der von der Speicher-Überschreibungs-Einheit 14 übertragenen Schreibdaten im Flash EEPROM 22 ausgeführt.
Ferner wird der Überschreibungs-Ablauf des Flash ROM Überschreibungs-Steuerprogramms beispielsweise durch die folgende Prozedur ausgeführt.

1. Einlesen einer Objektadresse (oder Löschen eines Objektblocks) zum Schreiben von Daten von der Speicher-Überschreibungs-Einheit 14 durch die Kommunikationsleitung L und Löschen von alten Daten von der Objektadresse (oder Löschen des Objektblocks) im Flash EEPROM 20.
2. Einlesen von Schreibdaten (d.h., neue Daten, welche ein neues Steuerprogramm und neue Steuerdaten bilden) von der Speicher-Überschreibungs-Einheit 14 über die Kommunikationsleitung L und Schreiben der Daten in den Bereich des Flash EEPROM 20, wo die alten Daten gelöscht sind.
3. Empfangen aller Steuerprogramme und Steuerdaten, welche von der Speicher-Überschreibungs-Einheit 14 überschrieben werden sollten, Ausgeben eines Überschreibungs-Vollendungssignals an die Speicher-Überschreibungs-Einheit 14 über die Kommunikationsleitung L nach Vollenden des Überschreibens des Flash EEPROM 20 und danach Wiederholen mit der Ausgabe dieses Überschreibungs-Vollendungssignals, welches in eine Endlosschleife eingeht.

Dann empfängt die Speicher-Überschreibungs-Einheit 14 das vorhergehende Überschreibungs-Vollendungssignal und zeigt eine Meldung der Überschreibungs-Vollendung an einem spezifischen Display (nicht dargestellt) an. Demgemäss überwacht der Bediener die Meldung der Überschreibungs-Vollendung und erkennt dadurch, dass die Datenüberschreibung im Flash EEPROM 20 vollendet ist.
Wenn andererseits das Modusbestimmungs-Steuerprogramm bei S100 des Boot-Programms als passiv bestimmt wird, bestimmt es der Mikrocomputer 8 als ein Maschinensteuermodus als normalen Modus um den Ablauf auf S500 fortzusetzen. Bei diesem S500 springt der Ablauf zum Maschinensteuerprogramm im Flash EEPROM 20.
Danach wird das Maschinensteuerprogramm im Flash EEPROM 20 ausgeführt, und die Abläufe von S600–S800 werden ausgeführt.
Das heißt, dass zunächst bei S600 eine Maschinensteuerroutine als Steuerablauf zum Steuern einer Maschine ausgeführt wird. Ferner wird diese Maschinensteuerroutine gemäss einer Prozedur derart ausgeführt, dass ein optimaler Kraftstoffverbrauch, Zündzeitpunkt und dergleichen, der Maschine auf Basis der verschiedenen Sensorsignale von der Eingangsverarbeitungsschaltung 6 und der Steuerdaten im Flash EEPROM 20 berechnet werden, und die Steuersignale zum Antreiben der Stellglieder 10 eines Kraftstoffeinspritzers, Zünders, und dergleichen gemäss der Berechnungsergebnisse ausgegeben werden.
Obwohl diese Maschinensteuerroutine wiederholt ausgeführt wird, wird die Maschine in elektronisch gesteuerter Weise angetrieben. Jedoch wird, nachdem die Ausführung der Maschinensteuerroutine in einer herkömmlichen Weise vollendet ist, und zwar bevor dieselbe Routine noch einmal wiederholt wird, am folgenden S700 bestimmt, ob ein Flash ROM Überschreibungs-Anforderungsbefehl von der Speicher-Überschreibungs-Einheit 14 empfangen ist oder nicht, und zwar auf Basis des Status eines Flash ROM Überschreibungs-Anforderungsflag XWRITE.
Dieses Flash ROM Überschreibungs-Anforderungsflag XWRITE wird im Ablauf einer SCI Unterbrechung eingestellt, welche Unterbrechungen ausführt, wenn die seriellen Daten von der Speicher-Überschreibungs-Einheit 14 über die Kommunikationsleitung L empfangen sind.
Das heißt, dass der Mikrocomputer 8 beim Empfang der seriellen Daten von der Speicher-Überschreibungs-Einheit 14, sobald das Maschinensteuerprogramm ausgeführt wird, den wie in 4 gezeigten SCI Unterbrechungsablauf ausführt. Zunächst bestimmt der Mikrocomputer 8 bei S910 ob der Flash ROM Überschreibungs-Anforderungsbefehl "W" als eine Überschreibungs-Anweisung von der Speicher-Überschreibungs-Einheit 14 empfangen ist. Wenn es der Flash ROM Überschreibungs-Anforderungsbefehl "W" ist, wird am folgenden S920 das Flash ROM Überschreibungs-Anforderungsflag XWRITE eingestellt, und dann wird der betreffende SCI Unterbrechungsablauf beendet. Wenn es nicht der Flash ROM Überschreibungs-Anforderungsbefehl ist, wird der betreffende SCI Unterbrechungsablauf beendet. Hier ist das Programm dieses SCI Unterbrechungsablaufes im Maschinensteuerprogramm im Flash EEPROM 20 enthalten.
Daher wird jedes Mal wenn die Maschinensteuerroutine (S600) wiederholt wird, der eingestellte Status des Flash ROM Überschreibungs-Anforderungsflags XWRITRE überprüft (S700). Wenn das Flag XWRITE nicht eingestellt ist, wird die Maschinensteuerroutine (S600) unmittelbar wiederholt.
Andererseits wird am vorhergehenden S700, und zwar wenn bestimmt wird, dass das Flash ROM Überschreibungs-Anforderungsflag XWRITE eingestellt ist, d.h., wenn der Flash ROM Überschreibungs-Anforderungsbefehl empfangen ist, bestimmt, dass die Überschreibungs-Bedingung vollendet ist, und der Ablauf fährt mit dem folgenden S800 fort, ohne die Maschinensteuerroutine zu wiederholen. An diesem S800 wird das Flash ROM Überschreibungs-Anforderungsflag XWRITE zurückgesetzt, und dann bewegt sich der Ablauf auf S200 des vorhergehenden Boot-Programms.
Daher wird der Mikrocomputer 8, wenn er ebenfalls den Flash ROM Überschreibungs-Anforderungsbefehl von der Speicher-Überschreibungs-Einheit 14 empfängt, während das Maschinensteuerprogramm ausgeführt wird, den Eigenbetriebsmodus auf den Überschreibungs-Modus wechseln. Das Flash ROM Überschreibungs-Steuerprogramm von der Speicher-Überschreibungs-Einheit 14 wird auf dem RAM 22 durch die vorhergehenden Abläufe S200–S400 ausgeführt, und danach wird der Überschreibungs-Ablauf ausgeführt, welcher das Schreiben der von der Speicher-Überschreibungs-Einheit 14 übertragenen Schreibdaten in den Flash EEPROM 20 aktualisiert.
In diesem Fall wird, wenn der Programmteil von S700 und S800 in denselben Inhalt oder einen verbesserten Inhalt überschrieben wird, die Funktion zur Übertragung des Maschinensteuerzustandes zum Überschreibungs-Modus aufrechterhalten. Es kann angeordnet werden, dass der Programmteil von S700 und S800 nicht überschrieben wird, und nur der Programmteil der Maschinensteuerroutine von S600 überschrieben wird.
In der ECU 2 dieser Ausführungsform wie oben, wird, wenn die Energieversorgungsspannung daran angelegt wird, der Mikrocomputer 8 durch die Einschalt-Rücksetzfunktion des Energieversorgungs-IC 28, welcher die Überwachungsschaltung 26 bildet, den Betrieb vom Rücksetzzustand aus starten, zunächst das Boot-Programm im Mask ROM 21 ausführen, und bei S100 bestimmen, dass der Modus der Maschinensteuermodus als normaler Modus ist. Dies rührt daher, dass, wie oben beschrieben, unmittelbar nach Empfang der Betriebsspannung vom Energieversorgungs-IC 28 und Beginn des Betriebes, der Rücksetzimpuls-Überwachungs-IC 29 das Modusbestimmungs-Steuersignal MS mit dem passiven Pegel, welcher den normalen Modus entspricht, an den Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 ausgibt.
Der Mikrocomputer 8 überträgt den Ablauf vom Boot-Programm an das Maschinensteuerprogramm im Flash EEPROM 20 (S500) und führt wiederholt die Maschinensteuerroutine (S600) auf Basis des Maschinensteuerprogramms aus, um somit die Maschine zu steuern. Während der Mikrocomputer 8 wiederholt die Maschinensteuerroutine ausführt, führt er wiederholt das Überwachungsimpuls-Ausgabeprogramm aus, welches im Maschinensteuerprogramm enthalten ist, und gibt den Betriebsüberwachungs-Überwachungsimpuls WP zu jedem Zeitpunkt, welcher gleich oder kleiner als die spezifische Zeit TW ist, an die Überwachungsschaltung 26 aus.
Hier ist es im Falle, dass der Steuerinhalt der Maschine modifiziert ist, im Zustand, bei welchem der Mikrocomputer 8 wiederholt die Maschinensteuerroutine wie oben ausführt, ausreichend anzuordnen, dass die Speicher-Überschreibungs-Einheit 14 mit der entsprechenden ECU 2 verbunden ist, und der Flash ROM Überschreibungs-Anforderungsbefehl von der Speicher-Überschreibungs-Einheit 14 an die ECU 2 übertragen wird.
Mit anderen Worten wird bei S700 des Maschinensteuerprogramms, wenn es bestimmt ist, im Empfang des Flash ROM Überschreibungs-Anforderungsbefehls von der Speicher-Überschreibungs-Einheit 14 zu sein, der Mikrocomputer 8 bestimmen, dass die Überschreibungs-Bedingung festgelegt ist, und den Eigenbetriebsmodus zum Überschreibungs-Modus transferieren.
In diesem Überschreibungs-Modus lädt der Mikrocomputer 8 das Flash ROM Überschreibungs-Steuerprogramm von der Speicher-Überschreibungs-Einheit 14 an den RAM 22 herunter (S200), und zwar basierend auf einem speziellen Handshake mit der Speicher-Überschreibungs-Einheit 14, und überträgt den Ablauf zum Ausführungsablauf des Flash ROM Überschreibungs-Steuerprogramms (S300), wodurch der Mikrocomputer 8 die Überschreibungs-Verarbeitung (S400) zum Aktualisieren des Schreibens in den Flash EEPROM 20 von Überschreibungs-Daten (neues Maschinensteuerprogramm und neue Steuerdaten) ausführen wird, welche von der Speicher-Überschreibungs-Einheit 14 übertragen werden.
Danach überträgt der Mikrocomputer 8 zur Vollendung der Überschreibungs-Verarbeitung des Flash EEPROM 20, das Überschreibungs-Vollendungssignal an die Speicher-Überschreibungs-Einheit 14, so dass die Speicher-Überschreibungs-Einheit 14 eine Meldung der Überschreibungs-Vollendung auf ihrem Display angezeigt hat.
Demgemäss wird es nach einer Bestätigung, dass die Meldung der Überschreibungs-Vollendung angezeigt ist, nur benötigt, dass der Bediener die Zuführung der Energieversorgungsspannung abschaltet, die Speicher-Überschreibungs-Einheit 14 von der Kommunikationsleitung L entfernt, und die Energieversorgungsspannung wieder an die ECU 2 anlegt.
Wie oben beschrieben, bestimmt der Mikrocomputer 8 den Modus als den normalen Modus (Maschinensteuermodus) bei S100 des Boot-Programms und führt das Maschinensteuerprogramm im Flash EEPROM 20 aus. Jedoch werden zu diesem Moment das Maschinensteuerprogramm und die Steuerdaten im Flash EEPROM 20 in neue Inhalte überschrieben. Demgemäss wird eine Maschinensteuerung der unterschiedlichen Inhalte zu denen vor dem Überschreiben, bei S600 in der Maschinensteuerroutine durchgeführt.
Wenn der Mikrocomputer 8 beispielsweise inmitten der Ausführung der Überschreibungs-Verarbeitung von S400 ist, wird, wenn die Zuführung der Energieversorgungsspannung an die ECU 2 abgeschaltet wird oder wenn die Verbindung zwischen ECU 2 und Speicher-Überschreibungs-Einheit 14 abgebrochen ist, die Überschreibungs-Verarbeitung ausgesetzt, so dass der Mikrocomputer 8 in einen derartigen Zustand gebracht wird, dass das Maschinensteuerprogramm im Flash EEPROM 20 nicht normal ausgeführt werden kann.
Im Falle, dass das Schreiben von Daten in den Flash EEPROM 20 zu einem Fehler wie oben führt, ist es notwendig, den Speicherinhalt des Flash EEPROM 20 zu schreiben und zu korrigieren. Sobald jedoch das Maschinensteuerprogramm im Flash EEPROM 20 in einen anormalen Zustand fällt, ist der Mikrocomputer 8 nicht in der Lage, die Vollständigkeit/Unvollständigkeit der Überschreibungs-Bedingung durch S700 in 3 zu bestimmen. Daher, obwohl die Speicher-Überschreibungs-Einheit 14 den Flash ROM Überschreibungs-Anforderungsbefehl an die ECU 2 überträgt, wird der Mikrocomputer 8 nicht in der Lage sein, den Betriebsmodus vom Maschinensteuermodus in den Überschreibungs-Modus zu wechseln.
Genauso wird im Herstellungsablauf der ECU 2, usw., als auch im Anfangszustand, bei welchem das Steuerprogramm und die Steuerdaten noch nicht in den Flash EEPROM 20 geschrieben sind, der Mikrocomputer 8 nicht in der Lage sein, die Vollständigkeit/Unvollständigkeit der Überschreibungs- Bedingung durch S700 in 3 zu bestimmen. Daher kann, sogar obwohl die Speicher-Überschreibungs-Einheit 14 mit der ECU 2 verbunden ist, und der Flash ROM Überschreibungs-Anforderungsbefehl von der Speicher-Überschreibungs-Einheit 14 an die ECU 2 übertragen wird, der Betriebsmodus des Mikrocomputers 8 nicht zum Überschreibungs-Modus wechseln.
Jedoch, gemäss ECU 2 dieser Ausführungsform, sogar im Falle, dass das Steuerprogramm im Flash EEPROM 20 aus irgendeinem Grund anormal wird, oder sogar im Falle, dass das Steuerprogramm noch nicht im Flash EEPROM 20 geschrieben ist, ermöglicht es der hiernach beschriebene Betrieb nicht nur den Betriebsmodus des Mikrocomputers 8 in den Überschreibungs-Modus zu bringen, sondern ebenfalls das Schreiben von Daten (im speziellen Überschreiben oder Neuschreiben des Steuerprogramms, usw.) im Flash EEPROM 20 auszuführen.
Das heißt, dass im Falle, bei welchem das im Flash EEPROM 20 gespeicherte Steuerprogramm aus irgendeinem Grund im anormalen Zustand ist, oder im Falle, dass das Steuerprogramm noch nicht im Flash EEPROM 20 geschrieben ist, und zwar wenn die Energieversorgungsspannung an die ECU 2 angelegt wird, um den Mikrocomputer 8 aus dem Rücksetzzustand zu betreiben, der Mikrocomputer 8 den Betrieb zur Ausführung des Steuerprogramms (S600) im Flash EEPROM 20 von S500 des Boot-Programms wechseln wird. Jedoch ist der Mikrocomputer 8 in diesem Falle nicht in der Lage, das Steuerprogramm normal auszuführen, und als Konsequenz daraus, wird der Mikrocomputer 8 nicht in der Lage sein, den Überwachungsimpuls WP auszugeben, welcher zu jeder Zeit ausgegeben werden sollten, welche gleich oder kleiner als die spezifische Zeit TW ist.
Der Energieversorgungs-IC 28 der Überwachungsschaltung 26 bestimmt, dass der Ausführungszustand des Steuerprogramms durch den Mikrocomputer 8 anormal ist, und gibt den Rücksetzimpuls RP an den Rücksetzanschluss des Mikrocomputers 8 aus. Demgemäss wird der Mikrocomputer 8 den Betrieb wieder vom Rücksetzzustand aus starten, und den Betrieb von S500 des Boot-Programms aus zur Ausführung des Steuerprogramms (S600) im Flash EEPROM 20 wechseln.
Hier wird im Falle, dass das im Flash EEPROM 20 gespeicherte Steuerprogramm im anormalen Zustand ist, oder im Falle, dass das Steuerprogramm nicht in den Flash EEPROM 20 geschrieben ist, und zwar sogar obwohl der Rücksetzimpuls RP dem Mikrocomputer 8 zugeführt ist, das Steuerprogramm nicht normal ausgeführt, und der Überwachungsimpuls WP wird nicht zu jeder Zeit ausgegeben, welche gleich oder kleiner als die spezifische Zeit TW vom Mikrocomputer 8 ist.
Daher fährt der Zustand fort, in welchem der Rücksetzimpuls RP vom Energieversorgungs-IC 28 an den Mikrocomputer 8 ausgegeben wird, in welchem der Ausführungszustand des Steuerprogramms durch den Mikrocomputer 8 nicht normal wird, und zwar sogar obwohl der Rücksetzimpuls RP an den Mikrocomputer 8 ausgegeben ist.
Wenn der m-te Rücksetzimpuls RP (m > 1) vom Energieversorgungs-IC 28 an den Mikrocomputer 8 ausgegeben ist, und zwar durch die Abläufe von S1040 und S1050 in 5, wechselt der Rücksetzimpuls-Überwachungs-IC 29 der Überwachungsschaltung 26 den Pegel des Modusbestimmungs-Steuersignals MS, welches der Rücksetzimpuls-Überwachungs-IC 29 an den Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 ausgibt, vom passiven Pegel in den aktiven Pegel entsprechend des Überschreibungs-Modus.
Dann wird der Mikrocomputer 8 wieder den Betrieb vom Rücksetzzustand aus durch den vorhergehenden m-ten Rücksetzimpuls RP beginnen. In diesem Fall ist das Modusbestimmungs-Steuersignal MS, welches in den Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 vom Rücksetzimpuls-Überwachungs-IC 29 eingegeben ist, im aktiven Pegel entsprechend des Überschreibungs-Modus. Demgemäss bestimmt der Mikrocomputer 8 den Modus als den Überschreibungs-Modus durch S100 des Boot-Programms und führt die Abläufe von S200–S400 aus, und zwar unabhängig von den Speicherinhalten des Flash EEPROM 20.
Daher wird in es diesem Zustand ein Verbinden der Speicher-Überschreibungs-Einheit 14 an die ECU 2 und ein darauf folgendes Übertragen des Flash ROM Überschreibungs-Steuerprogramms, der Objektadresse zum Schreiben der Daten und der zu schreibenden Schreibdaten von der Speicher-Überschreibungs-Einheit 14 an die ECU 2 ermöglichen, ein gewünschtes Steuerprogramm und Steuerdaten in den Flash EEPROM 20 zu schreiben.
Somit wird bei der ECU 2 dieser Ausführungsform, und zwar im Falle, dass der Ausführungszustand des Steuerprogramms durch den Mikrocomputer durch die Überwachungsschaltung 26 als anormal bestimmt ist, der Mikrocomputer 8 den Modus auf den Überschreibungs-Modus übertragen, um die Überschreibungs-Verarbeitung auszuführen (S400). Daher wird, und zwar ohne eine spezielle Modusbestimmungs-Signalleitung, welche zwischen dem Mikrocomputer 8 und der Speicher-Überschreibungs-Einheit 14 bereit gestellt ist, im Falle, dass das im Flash EEPROM 20 gespeicherte Steuerprogramm in einen anormalen Zustand gebracht wurde, oder im Falle, dass das Steuerprogramm noch nicht in den Flash EEPROM 20 geschrieben ist, der Mikrocomputer 8 in der Lage sein, die Daten in den Flash EEPROM 20 zu schreiben.
Das heißt, dass, wenn keine spezielle Modusbestimmungs-Signalleitung zwischen dem Mikrocomputer 8 und der Speicher-Überschreibungs-Einheit 14 bereitgestellt ist, und zwar im Falle, dass das in den Flash EEPROM 20 geschriebene Steuerprogramm in einen anormalen Zustand gebracht wurde, der Mikrocomputer 8 in der Lage ist, dass betreffende Steuerprogramm in einen normalen Inhalt zu schreiben und zu korrigieren. Von dem Zustand aus, in welchem das Steuerprogramm nicht in den Flash EEPROM 20 geschrieben ist, ist der Mikrocomputer 8 in der Lage, ein neues Steuerprogramm und neue Steuerdaten in den Flash EEPROM 20 zu schreiben.
Daher kann die ECU 2 gemäss der ECU 2 dieser Ausführungsform mit der Speicher-Überschreibungs-Einheit 14 verbunden werden, und zwar nur über die Kommunikationsleitung L, und ist in der Lage, alle herkömmlichen Probleme zu lösen.
Darüber hinaus zählt der Rücksetzimpuls-Überwachungs-IC 29, welcher die Überwachungsschaltung 26 bildet, in der ECU dieser Ausführungsform, die Ausgangsfrequenz des Rücksetzimpulses RP, welcher vom Energieversorgungs-IC 28, welcher ebenso die Überwachungsschaltung 26 bildet, an den Mikrocomputer 8 ausgegeben wird, und wenn der m-te (m > 1) Rücksetzimpuls RP an den Mikrocomputer 8 ausgegeben ist, wird der Rücksetzimpuls-Überwachungs-IC 29 dazu angeordnet, den Pegel des Modusbestimmungs-Steuersignals MS, welches dem Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 zugeführt wird, in den aktiven Pegel entsprechend des Überschreibungs-Modus zu wechseln. Demgemäss wird, obwohl der Rücksetzimpuls RP an den Rücksetzanschluss des Mikrocomputers 8 ausgegeben wird, und zwar nur wenn der Zustand, in welchem der Ausführungszustand des Steuerprogramms nicht normal wird, sich m-fach fortsetzt, die Überwachungsschaltung 26 das Modusbestimmungs-Steuersignal MS mit dem aktiven Pegel entsprechend des Überschreibungs-Modus an den Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 ausgeben.
Daher wird gemäss der ECU 2 dieser Ausführungsform, und zwar wenn eine normale, rückkehrbare, unkorrekte Programmausführung durch den Rücksetzimpuls RP inmitten der Ausführung eines normalen Steuerprogramms im Flash EEPROM 20 durch den Mikrocomputer 8 auftritt, der Ausführungszustand des Steuerprogramms durch den Mikrocomputer 8 schnell auf den normalen Zustand wiederhergestellt werden, und zwar nur durch den Rücksetzimpuls RP vom Energieversorgungs-IC 28, und zwar ohne dass der Betriebsmodus des Steuerprogramms 8 auf den Überschreibungs-Modus gewechselt wird.
Das heißt, dass, wenn sich der Fall, bei welchem eine normale, rückehrbare, unkorrekte Programmausführung im Mikrocomputer 8 auftritt, vom Fall unterscheidet, bei welchem ein Datenschreiben in den Flash EEPROM 20 notwendig ist (d.h., im Falle, bei welchem das Steuerprogramm nicht in den Flash EEPROM geschrieben ist, oder im Falle, bei welchem das im Flash EEPROM 20 gespeicherte Steuerprogramm aus irgendeinem Grund anormal wird), und zwar nur wenn ein Datenschreiben in den Flash EEPROM 20 definitiv notwendig ist, der Betriebsmodus des Mikrocomputers 8 auf den Überschreibungs-Modus gewechselt werden kann.
Wenn die normale Rückkehr von einer unkorrekten Programmausführung nicht in Betracht gezogen werden braucht, kann der spezifische Wert m, welchen der Rücksetzimpuls-Überwachungs-IC 29 bei S1040 in 5 bestimmt, auf "1" gesetzt werden. Wenn dies so angeordnet ist, und wenn die Überwachungsschaltung 26 den Ausführungszustand des Steuerprogramms durch den Mikrocomputer 8 als anormal bestimmt, wird die Überwachungsschaltung 26 immer den Rücksetzimpuls RP an den Rücksetzanschluss des Mikrocomputers 8 ausgeben und das Modusbestimmungs-Steuersignal MS mit dem aktiven Pegel entsprechend des Überschreibungs-Modus an den Modusbestimmungs-Eingangsanschluss des Mikrocomputers 8 ausgeben.
Ferner, gemäss der ECU 2 dieser Ausführungsform, bestimmt der Mikrocomputer 8 den Betriebsmodus entweder auf den Überschreibungs-Modus oder den normalen Modus zu wechseln, und zwar nur durch Bestimmung des Signalpegels des Modusbestimmungs-Eingangsanschlusses im Boot-Programm, welches direkt nach Auslösung der Rücksetzung ausgeführt wird. Daher ist es für den Mikrocomputer 8 nicht notwendig für eine lange Zeit im Boot-Programm zu verbleiben, und der Mikrocomputer 8 ist in der Lage, eine Verzögerungszeit vor dem Ausführungsbeginn des Steuerprogramms im normalen Zustand, bei welchem das Datenschreiben in den Flash EEPROM 20 nicht ausgeführt wird, auf ein Minimum zu reduzieren. Da das Boot-Programm mit einem einfachen Aufbau ausgemacht werden kann, kann ein Speicher mit geringer Kapazität als Mask ROM 21 zum Speichern des Boot-Programms verwendet werden.
Die Erfindung ist nicht auf die vorhergehende Ausführungsform beschränkt, und natürlich können bei der Ausführungsform verschiedene Modifikationen und Änderungen vorgenommen werden.
Beispielsweise kann sie derart angeordnet werden, dass, wenn die Erzeugungsperiode des Rücksetzimpulses RP kürzer als eine vorbestimmte Zeit ist, und zusätzlich die Erzeugungsfrequenz den spezifischen Wert m (> 1) erreicht, der Pegel des Modusbestimmungs-Steuersignals MS zum Mikrocomputer 8 vom passiven Pegel auf den aktiven Pegel gewechselt wird.
In diesem Beispiel kann der Fall, bei welchem eine normale, rückehrbare, unkorrekte Programmausführung im Mikrocomputer 8 auftritt, zuverlässiger vom Fall unterschieden werden, bei welchem das Steuerprogramm nicht im Flash EEPROM 20 geschrieben ist, oder vom Fall, bei welchem das im Flash EEPROM 20 gespeicherte Steuerprogramm anormal wird.
Ferner kann der Rücksetzimpuls-Überwachungs-IC 29 derart aufgebaut sein, dass der Ausführungszustand des Steuerprogramms durch den Mikrocomputer 8 als normal oder nicht normal bestimmt wird, und zwar durch Überwachung der Ausgangsperiode des Überwachungsimpulses WP. Das heißt, dass der Grund dafür jener ist, dass, nachdem eine spezifische Zeitnehmerzeit TM, welche durch den Energieversorgungs-IC 28 gezählt ist, verstrichen ist, und zwar wenn der Überwachungsimpuls WP nicht vom Mikrocomputer 8 ausgegeben ist, der Betriebszustand des Mikrocomputers 8 derart bestimmt werden kann, dass er nicht in den normalen Zustand zurückgekehrt ist, obwohl der Mikrocomputer 8 mehrfach den Rücksetzimpuls RP vom Energieversorgungs-IC 28 empfangen hat.
Andererseits kann sie derart angeordnet sein, dass der Rücksetzimpuls-Überwachungs-IC 29 die Überwachungsimpuls-Überwachungsfunktion (Überwachungs-Zeitnehmerfunktion) trägt, welche der Energieversorgungs-IC 28 hält, und den Rücksetzimpuls RP vom Rücksetzimpuls-Überwachungs-IC 29, welcher derart angeordnet ist, an den Mikrocomputer 8 ausgibt.
Ferner kann die Überwachungsschaltung 26 mit einem IC anstelle von zwei separaten ICs 28 und 29 aufgebaut sein.
Hierbei gibt es, und zwar unabhängig davon, dass das Steuerprogramm im Flash EEPROM 20 selber anormal ist, ebenfalls eine Möglichkeit, welche zufriedenstellend den Programmteil zur Ausgabe des Überwachungsimpulses WP durchführt. Demgemäss kann sie beispielsweise derart angeordnet sein, dass vor einem Beginn der Ausführung des Steuerprogramms im Flash EEPROM 20 (vor einem Springen auf das Steuerprogramm bei S500 in 3), der Mikrocomputer 8 auf die Daten im Flash EEPROM 20 eine Summenüberprüfung ausführt, und im Falle einer Anormalität der Summenüberprüfung danach eine Ausgabe des Überwachungsimpulses WP stoppt. Diese Anordnung wird eine Anormalität des Steuerprogramms im Flash EEPROM 20 genauer erfassen, so dass der Betriebsmodus auf den Überschreibungs-Modus gewechselt werden kann, bei welchem das Steuerprogramm überschrieben werden kann.
Andererseits ist bei der ECU 2 der vorhergehenden Ausführungsform das Flash ROM Überschreibungs-Steuerprogramm derart entworfen, dass es von der Speicher-Überschreibungs-Einheit 14 empfangen wird. Jedoch kann sie derart angeordnet sein, dass sie das Flash ROM Überschreibungs-Steuerprogramm zuvor in einem nicht überschreibbaren, nicht-flüchtigen Speicher (beispielsweise der Mask Rom 21) speichert.
Ferner wird bei der ECU 2 der vorhergehenden Ausführungsform der Flash EEPROM 20 als überschreibbarer, nicht-flüchtiger Speicher verwendet, jedoch können die weiteren ROMs, welche elektrisch überschreibbar sind, wie beispielsweise ein EEPROM, verwendet werden.
Ferner ist die ECU 2 der vorhergehenden Ausführungsform dazu gedacht, die Maschine eines Fahrzeugs zu steuern. Jedoch kann die Erfindung auf gesamte selbe Weise bei der elektronischen Steuereinheit angewendet werden, welche die weiteren Steuerobjekte steuert, und zwar beispielweise die Bremse, das Getriebe, die Radaufhängung und dergleichen.
In einer ECU (2) zum Steuern einer Maschine führt ein Mikrocomputer (8) ein Programm in einem Mask ROM 21 nach Loslösung der Rücksetzung aus, bestimmt ein Signal (MS) eines spezifischen Eingangsanschlusses, und wechselt den Eigenbetriebsmodus gemäss dem vorhergehenden Bestimmungsergebnis entweder in den normalen Modus zur Ausführung eines Steuerprogramms in einem Flash ROM 20 oder in den Überschreibungs-Modus zum Aktualisieren und Schreiben von Daten von einer externen Einheit (14) in den ROM (20) um.
Eine Überwachungsschaltung (26) überwacht einen Überwachungsimpuls (WP) vom Mikrocomputer (8), gibt einen Rücksetzimpuls (RP) an den Mikrocomputer (8) aus, wenn eine Anormalität bestimmt wird, und wechselt den Pegel des vorhergehenden Signals (MS) an den Mikrocomputer (8) vom Pegel des normalen Modus in den Pegel des Überschreibungs-Modus um.

Claims

Elektronische Steuereinheit (2), welche mit einer externen Einheit (14) verbindbar ist, mit: einem Mikrocomputer (8), welcher ein Steuerprogramm ausführt, welches Daten enthält, welche in einem überschreibbaren, nicht-flüchtigen Speicher (20) gespeichert sind, dessen Speicherinhalte elektrisch überschrieben werden können, und eine Steuerverarbeitung zum Steuern eines Steuerobjekts (10) ausführt; und einer Überwachungsschaltung (26), welche innerhalb derselben Einheit zusammen mit dem Mikrocomputer (8) bereitgestellt ist und kontinuierlich überwacht ob ein Ausführungszustand des Steuerprogramms im Mikrocomputer (8) normal oder abnormal ist, wobei die Überwachungsschaltung (26) den Ausführungszustand des Steuerprogramms im Mikrocomputer (8) als abnormal bestimmt, wenn ein Überwachungssignal (WP) nicht zu jeder Zeit, welche gleich oder kleiner als eine vorbestimmte Zeit (TW) ist, durch den Mikrocomputer (8) ausgegeben wird, und wobei der Mikrocomputer (8) derart aufgebaut ist um eine Überschreibungs-Verarbeitung zum Aktualisieren und Schreiben von Überschreibungsdaten, welche von der externen Einheit (14) übertragen werden, im überschreibbaren, nicht-flüchtigen Speicher (20) auszuführen, wenn durch die Überwachungsschaltung (26) bestimmt ist, dass der Ausführungszustand des Steuerprogramms abnormal ist.
Elektronische Steuereinheit nach Anspruch 1, bei welcher: der Mikrocomputer (8) ferner so aufgebaut ist, dass er unmittelbar nach Beginn eines Betriebs von einem Rücksetzzustand aus ein Startprogramm ausführt, welches in einem Nicht-Überschreib-Objekt, nicht-flüchtigen Speicher (21) gespeichert ist, wodurch ein Pegel einer Modusbestimmungs-Binärsignal (MS) Eingabe an ein selbstspezifizierendes Eingabeterminal bestimmt wird, und gemäß des Pegels des Modusbestimmungs-Binärsignals (MS) einen Eigenbetriebsmodus entweder in einen normalen Modus zur Ausführung des im überschreibbaren, nicht-flüchtigen Speicher (20) gespeicherten Steuerprogramms oder in einen Überschreibungs-Modus zur Ausführung der Überschreibungs-Verarbeitung umschaltet; und die Überwachungsschaltung (26) derart aufgebaut ist, um einen Rücksetz-Impuls (RP) an ein Rücksetz-Terminal des Mikrocomputers (8) auszugeben, um den Mikrocomputer (8) rückzusetzen, und das Modusbestimmungs-Binärsignal (MS) eines Pegels, welcher dem Überschreibungs-Modus entspricht, an das spezifische Eingabeterminal des Mikrocomputers (8) ausgibt, wenn durch den Mikrocomputer (8) bestimmt ist, dass der Ausführungszustand des Steuerprogramms abnormal ist.
Elektronische Steuereinheit nach Anspruch 2, bei welcher: die Überwachungsschaltung (26) ferner derart aufgebaut ist, das Modusbestimmungs-Binärsignal (MS) eines Pegels entsprechend des Überschreibungs-Modus nur dann an das spezifische Eingabeterminal des Mikrocomputers (8) auszugeben, wenn ein Zustand, in welchem der Ausführungszustand des Steuerprogramms durch den Mikrocomputer (8) abnormal ist, sich mehrfach fortsetzt, und zwar unter einer Bedingung, dass die Überwachungsschaltung (26) den Rücksetz-Impuls (RP) ausgibt.
Elektronische Steuereinheit nach einem der Ansprüche 1 bis 3, bei welcher: der Mikrocomputer (8) ferner derart aufgebaut ist, um zu bestimmen ob eine vorbestimmte Überschreibungs-Bedingung erfüllt ist oder nicht, wenn das Steuerprogramm im überschreibbaren, nicht-flüchtigen Speicher (20) ausgeführt wird, und den Eigenbetriebsmodus zum Überschreibungs-Modus umzuschalten, um die Überschreibungs-Verarbeitung auszuführen, wenn bestimmt ist, dass die Überschreibungs-Bedingung erfüllt ist.
Elektronisches Steuerverfahren für einen Mikrocomputer (8), welcher eine CPU (18) zur Ausführung eines ersten Steuerprogramms, einen nicht-flüchtigen, überschreibbaren Speicher (20), welcher das Steuerprogramm speichert, und eine Überwachungsschaltung (26) hat, wobei der Mikrocomputer (8) an eine externe Überschreibungs-Einheit (14) verbindbar ist, um ein zweites Steuerprogramm zu übertragen, und die Überwachungsschaltung (26) zusammen mit dem Mikrocomputer (8) innerhalb derselben Einheit bereitgestellt ist, wobei das Verfahren die Schritte enthält: Überwachen (S1000–S1040) einer ersten Steuerprogramm-Ausführungsverarbeitung des Mikrocomputers (8) durch die Überwachungsschaltung (26), und Bestimmen eines Ausführungszustands des ersten Steuerprogramms im Mikrocomputer (8) als abnormal, wenn ein Überwachungssignal (WP) durch den Mikrocomputer (8) nicht zu jeder Zeit ausgegeben wird, welche gleich oder kleiner als eine vorbestimmte Zeit (TW) ist; Anlegen (S1050) eines Überwachungssignals (MS) an den Mikrocomputer (8), welches auf ein Überwachungsergebnis von der Überwachungsschaltung (26) hinweist; Übertragen (S100–S200) des zweiten Steuerprogramms von der externen Überschreibungs-Einheit (14) an den Mikrocomputer (8), und Überschreiben (S300–S400) des übertragenen zweiten Steuerprogramms im nicht-flüchtigen, überschreibbaren Speicher (20) anstelle des ersten Steuerprogramms, und zwar unter der Bedingung, dass das Überwachungssignal auf eine Abnormalität des Mikrocomputers (8) hinweist.