JP2001263156A - 車両制御装置のためのメモリ書き換えシステム - Google Patents

Abstract

(57)【要約】 【課題】書き換え装置から車両制御装置へのプログラム
転送の信頼性および効率を改善する。 【解決手段】車両制御装置のメモリに記憶された第１の
プログラムを、書き換え装置から転送された第２のプロ
グラムに書き換える、車両制御装置のための書き換えシ
ステムであって、前記第２のプログラムが、該第２のプ
ログラムのプログラムコードと、該プログラムコードが
格納されるメモリの先頭アドレスを含む第１のアドレス
と、該プログラムコードの次に送信されるプログラムコ
ードが格納されるメモリの先頭アドレスを含む第２のア
ドレスとを備えるデータ列として転送されるようにした
車両制御装置のための書き換えシステムを提供する。転
送されるデータ列が、次に送信されるべきデータ列の先
頭アドレスを含むので、転送が中断された場合でも、該
中断されたデータ列から転送を再開することができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、車載制御装置の
メモリに保存されたプログラムを、外部の書き換え装置
から転送される別のプログラムに書き換えるメモリ書き
換えシステムに関する。

【０００２】

【従来の技術】現在、車両は、搭載された複数の電子制
御ユニット（以下、「ＥＣＵ」という）により、空燃
比、燃料噴射量、エミッションなどのエンジンに関する
制御、パワーウィンドウ、エアバッグ、ＡＢＳなどの車
体に関する制御など、様々に制御されている。ＥＣＵ
は、車両に搭載された様々なセンサによって感知された
車両の現在の状態および走行状況に基づいて、車両を様
々に制御する。

【０００３】ＥＣＵは、中央演算処理装置（ＣＰＵ）、
実行するプログラムおよびデータを格納するＲＯＭ（読
み取り専用メモリ）、実行時の作業領域を提供し演算結
果などを記憶するＲＡＭ（ランダムアクセスメモリ）、
各種センサからの信号を受け取り、およびエンジン各部
に制御信号を送る入出力インターフェースを備えてい
る。

【０００４】上記ＲＯＭに、フラッシュメモリ、ＥＥＰ
ＲＯＭ、ＥＰＲＯＭのような消去および書き込み可能な
ＲＯＭを使用し、シリアル通信を介して、必要に応じて
ＲＯＭに格納された情報を書き換えるシステムが知られ
ている。このシステムは、書き換え装置、車両制御装置
およびそれらを接続するシリアル通信路から構成され
る。たとえば、特開昭６３−２２３９０１号公報には、
外部の書き換え装置からの要求により、ＥＣＵを車両に
搭載したままで、ＳＣＩ端子（シリアル・コミュニケー
ション・インターフェース）を介して、ＥＣＵのＥＥＰ
ＲＯＭに格納されたプログラムを変更する方法が記載さ
れている。

【０００５】このシリアル通信を介したプログラム書き
換えシステムにおいては、書き換え装置は、内部に格納
されたプログラムコードを一定のバイト数ごとに順次シ
リアルデータ列に変換して車両制御装置に送信する。送
信されるプログラムコードが格納されるメモリのアドレ
スを車両制御装置に知らせるため、通常は以下のいずれ
かの方法でプログラムコードは送信される。すなわち、
１）アドレス値の小さい方から順番にプログラムコード
を送信する。または、２）シリアルデータ列に、プログ
ラムコードだけでなく、そのプログラムコードの先頭ア
ドレスを加えて、任意の順番に送信する。

【０００６】

【発明が解決しようとする課題】しかし、上記のような
方法でプログラムコードが格納されるアドレスを車両制
御装置に知らせることには、いくつかの問題点がある。
上記の方法１）においては、アドレス値の小さい方から
順番にプログラムコードを送信するので、メモリの全領
域にプログラムコードを送信しなければならない。途中
で送信が中断されると、その停止がプログラムコードの
送信終了によるものなのか、通信路の障害によるものな
のか判断することができず、信頼性が低下するからであ
る。したがって、すべてのメモリ領域が使用されない場
合（通常、すべてのメモリ領域を使用することはほとん
どない）、空き領域のプログラムコードも送信すること
となり、時間の浪費となる。

【０００７】上記の方法２）においては、方法１）のよ
うな時間の浪費は解消される。しかし、途中で通信が中
断した後に、車両制御装置が、前回受信したアドレスか
ら値の離れたアドレスが指定されたプログラムコードを
受信した場合（たとえば、アドレス１００００から１６
バイト受信し、その後アドレス１０１００から１０バイ
ト受信した場合）、そのアドレスが離れている間の部分
はプログラムが無い領域なのか、または受信に失敗した
ためにアドレス値が先に進んでしまったのかを判断する
ことができない。その結果、やはりプログラムコードの
転送の信頼性が低下する。

【０００８】一方、プログラムコードを転送するとき、
特にシリアル通信の場合には、電磁波などの外乱の影響
により、プログラムコードが正確に転送されないことが
ある。したがって、ＥＣＵおよび書き換え装置の両方
に、転送されたプログラムコードの整合性をチェックす
る機構を設けるのが望ましい。

【０００９】したがって、この発明は、上記の問題点を
解決するものであり、その目的は、プログラムを転送す
るときに時間の浪費を招くことなく、プログラム転送の
信頼性および転送効率が改善されたメモリ書き換えシス
テムを提供することである。

【００１０】この発明の他の目的は、書き換え装置およ
びＥＣＵの両方において、転送されたプログラムコード
の整合性を確かめることのできるメモリ書き換えシステ
ムを提供することである。

【００１１】

【課題を解決するための手段】上記の課題を解決するた
め、請求項１の車両制御装置のためのメモリ書き換えシ
ステムは、車両制御装置のメモリに記憶された第１のプ
ログラムを、書き換え装置から転送された第２のプログ
ラムに書き換える、車両制御装置のための書き換えシス
テムであって、前記第２のプログラムが、該第２のプロ
グラムのプログラムコードと、該プログラムコードが格
納されるメモリの先頭アドレスを含む第１のアドレス
と、該プログラムコードの次に送信されるプログラムコ
ードが格納されるメモリの先頭アドレスを含む第２のア
ドレスとを備えるデータ列として転送されるという構成
をとる。

【００１２】請求項１の発明によると、書き換え装置か
ら車両制御装置に転送されるデータ列が、次に送信され
るべきデータ列の先頭アドレスを含むので、車両制御装
置は、正しいデータ列を受信したかどうか容易に判断す
ることができる。

【００１３】請求項２の発明は、請求項１の車両制御装
置のためのメモリ書き換えシステムにおいて、今回転送
されたデータ列の第１のアドレスと、前回転送されたデ
ータ列の第２のアドレスとを比較することにより、前記
書き換え装置からデータ列が正しく転送されたかどうか
判断する判定手段を備えるという構成をとる。

【００１４】請求項２の発明によると、データ列の転送
が正しく行われたかどうかを判断する判定手段を備えて
いるので、正しい順番でプログラムコードをメモリに格
納することができ、プログラム転送の信頼性を向上させ
ることができる。

【００１５】請求項３の発明は、請求項２の車両制御装
置のためのメモリ書き換えシステムにおいて、判定手段
が、前記今回転送されたデータ列が正しく転送されなか
ったと判断したとき、前記書き換え装置に、該今回転送
されたデータ列の再送を要求するという構成をとる。

【００１６】請求項３の発明によると、データ列が正し
く転送されなかったと判断された場合には、書き換え装
置に再送を要求するので、転送が中断されたデータ列か
らの転送を自動的に再開することができ、伝送効率を向
上させることができる。

【００１７】請求項４の発明は、請求項３の車両制御装
置のためのメモリ書き換えシステムにおいて、書き換え
装置は、前記再送を要求されたデータ列のアドレスが、
前記今回転送したデータ列のアドレスと所定値以上離れ
ているとき、前記第２のプログラムを最初から転送しな
おすという構成をとる。

【００１８】請求項４の発明によると、書き換え装置に
おいて、車両制御装置からのプログラムコードの再送要
求に整合性があるかどうかチェックされ、整合性がない
と判断した場合にはプログラム全体を最初から転送しな
おすので、プログラム転送の信頼性を向上させることが
できる。

【００１９】請求項５の発明は、請求項１の車両制御装
置において、書き換え装置から転送されるデータ列の長
さを可変にすることができるという構成をとる。

【００２０】請求項５の発明によると、データ列の長さ
を可変にして転送することができるので、メモリの空き
領域の大きさに基づいてプログラムコードの長さを調整
することができるようになり、プログラムコードの転送
効率を向上させることができる。

【００２１】

【発明の実施の形態】次に図面を参照してこの発明の実
施の形態を、車両制御装置の不揮発性メモリに格納され
たセキュリティプログラムを書き換えるシステムに関し
て説明する。このセキュリティプログラムは、ＥＣＵの
メモリに格納された情報を不正に書き換えられることを
防止するセキュリティを解除する「キー」の役割を果た
す。自動車メーカによって認可された正規の書き換え装
置ならば、この「キー」を使用して、その自動車のＥＣ
Ｕのメモリに格納された情報を書き換えることができ
る。

【００２２】しかし、このキーがメーカー以外の第三者
に知られてしまった場合、正規の書き換え装置を使用し
なくてもＥＣＵの情報を書き換えることができるように
なり、セキュリティが機能しなくなる。したがって、こ
の実施例に示されるセキュリティプログラムを書き換え
るシステムは、この「キー」となるセキュリティプログ
ラムを新たなセキュリティプログラムに書き換えて、セ
キュリティ機能を回復させることを目的としている。

【００２３】しかし、この発明は、セキュリティプログ
ラムを書き換えるシステムに限定されるものではなく、
広く不揮発性メモリに格納された情報を書き換えるシス
テムに適用することができる。

【００２４】図１は、この発明によるメモリ書き換えシ
ステムの概要を示す。メモリ書き換えシステムは、車両
１に搭載された電子制御ユニット（ＥＣＵ）１０および
書き換え装置１１を備える。書き換え装置１１は、車両
１のメーカーによって認可された正規の書き換え装置で
ある。ＥＣＵ１０は、消去および書き込み可能なＲＯＭ
（図示せず）を備えている。図に示されるように、書き
換え装置１１をＥＣＵ１０に接続し、書き換え装置１１
を操作することにより、ＥＣＵ１０のＲＯＭに格納され
たプログラムおよびデータのような情報が不正に書き換
えられることを防止するセキュリティを解除し、該情報
を書き換えることができる。

【００２５】書き換えは、ＥＣＵ１０および書き換え装
置１１の間のシリアル通信を介して行われる。書き換え
装置１１を操作するユーザーは書き換え装置１１のボタ
ンを操作し、書き換え装置１１に備えられた表示画面と
対話しながら、書き換える情報をＥＣＵ１０に送信する
ことができる。しかし、書き換え装置は、図に示される
ような形態に限定されるものではなく、シリアル通信を
介してＥＣＵ１０と通信するプロトコルを持つ他の形態
の装置を書き換え装置として使用するようにしてもよ
い。

【００２６】図２は、この発明に従うメモリ書き換えシ
ステムの全体的な機能ブロック図を示す。前述したよう
に、メモリ書き換えシステムは、車両に搭載されたＥＣ
Ｕ１０および書き換え装置１１を備える。書き換え装置
１１はＥＣＵ１０の外部に設けられ、ＥＣＵ１０とシリ
アル通信を介して接続される。

【００２７】ＥＣＵ１０は、マイクロコンピュータおよ
びこれに付随する回路素子で構成され、中央演算処理装
置１４（以下「ＣＰＵ」という）、不揮発性メモリであ
って、実行するプログラムおよびデータを格納するＲＯ
Ｍ１６および１８、実行時の作業領域を提供し演算結果
などを記憶するＲＡＭ３７（ランダムアクセスメモ
リ）、各種センサ３９からの信号を受け取り、車両の各
部に制御信号を送る入出力インターフェース３８を備え
る。各種センサ３９からの信号には、エンジン回転数
（Ｎｅ）、エンジン水温（Ｔｗ）、吸気温（Ｔａ）、バ
ッテリ電圧（ＶＢ）、イグニションスイッチ（IGSW）な
どが含まれる。こうして、ＣＰＵ１４は、入出力インタ
ーフェース３８から入力された信号に基づいて、ＲＯＭ
１６および１８から制御プログラムおよびデータを呼び
出して演算を行い、その結果を入出力インターフェース
３８を介して車両の各部に出力し、車両の様々な機能を
制御する。

【００２８】また、ＥＣＵ１０は、インターフェース１
２を備える。インターフェース１２は、書き換え装置１
１との通信プロトコルを持ち、ＥＣＵ１０および書き換
え装置１１の間のシリアル通信を可能にする。

【００２９】変更可能ＲＯＭ１６は、格納された情報を
消去して書き込むことができるメモリであり、たとえば
フラッシュメモリ、ＥＥＰＲＯＭによって実現すること
ができる。変更不可能ＲＯＭ１８は、上記のフラッシュ
メモリ、ＥＥＰＲＯＭのような消去および書き込み可能
なＲＯＭのメモリ領域のうち、ある領域を変更不可能領
域と設定することによって実現することができ、または
製造時にデータが決められ、その後に消去および書き込
みができないマスクＲＯＭや、または１度だけデータを
書き込むことができるＰＲＯＭなどによっても実現する
ことができる。

【００３０】これらのＲＯＭ１６および１８は、別個の
メモリとして実現してもよく、または１つのメモリのメ
モリ領域を２つの領域に分割して一方を変更可能領域と
して使用し、他方を変更不可能領域として使用すること
もできる。後者の場合、たとえばＥＥＰＲＯＭのある特
定の領域を変更不可能領域としてプログラムなどを格納
した後、それ以外の空き領域に対してスタートおよびエ
ンドアドレスを指定することにより、変更可能領域を新
たに設定することができる。

【００３１】ここで、ＲＯＭ１６、１８およびＣＰＵの
実現の形態例について、図３を参照する。図３において
は、ＲＯＭ１６および１８はフラッシュメモリによって
実現される。図３の（ａ）は、フラッシュメモリがＣＰ
Ｕと別個に設けられた形態を示す。書き換え装置との通
信により書き換えモードに移行すると、ＣＰＵは、書き
換え装置からプログラムコードを受信し、書き換えを実
行するプログラムを呼び出して、受信したプログラムコ
ードをフラッシュメモリに書き込む。

【００３２】一方、図３の（ｂ）は、フラッシュメモリ
が内蔵されて、ＣＰＵと共に１チップを構成する形態を
示す。書き換え装置からの信号によって書き換えモード
に移行すると、書き換え装置からのプログラムコード
は、ＣＰＵに組み込まれた機能によって自動的にフラッ
シュメモリに書き込まれる。いずれの形態においても、
この発明によるメモリ書き換えシステムを適用すること
ができる。

【００３３】図２に戻ると、変更可能ＲＯＭ１６にはセ
キュリティ関数ｆ_２が格納されており、この関数ｆ
_２が、書き換え装置１１による書き換えの対象となる。
セキュリティ関数ｆ_２は、ＲＯＭ１６に格納された情報
が不正に書き換えられることを防止するセキュリティ機
能を実現する関数であり、上記の「キー」に該当する。

【００３４】変更不可能ＲＯＭ１８には、認証部３１、
乱数生成部３３および書き換え実行部３５を実現するプ
ログラムが格納される。認証部３１は、書き換え装置１
１からのセキュリティ解除要求に応答して、セキュリテ
ィ関数ｆ_２および乱数Ｒを使用し、書き換え装置１１が
正規の書き換え装置かどうかを判断する。乱数Ｒを使用
するのは、セキュリティ機能を向上させるためであり、
乱数Ｒは、乱数生成部３３により生成される。正規の書
き換え装置と判断したならば、セキュリティを解除す
る。

【００３５】書き換え実行部３５は、認証部３１により
セキュリティが解除された後、セキュリティ関数ｆ_２を
消去し、書き換え装置１１から新たなセキュリティ関数
ｆ_３を構成するデータ列を受信し、受信したデータ列に
整合性があると判断したならば、それをＲＯＭ１６に書
き込む。反対に、書き込み実行部３５は、受信したデー
タ列に整合性が無いと判断したならば、正しいデータ列
を再送するよう書き換え装置１１に要求する。

【００３６】書き換え装置１１は、セキュリティ関数ｆ
_１および新たなセキュリティ関数ｆ _３を持つ。セキュリ
ティ関数ｆ_１は、上記のＲＯＭ１６に格納されたセキュ
リティ関数ｆ_２と対になってセキュリティ機能を実現す
る関数である。セキュリティ関数ｆ_２が第三者によって
変更されていなければ、書き換え装置１１の持つセキュ
リティ関数ｆ_１およびＥＣＵ１０の持つセキュリティ関
数ｆ_２は、同じ関数である。代わりに、セキュリティ関
数ｆ_１およびｆ_２の間に何らかの一定の関係を持たせる
ようにしてもよい。

【００３７】新たなセキュリティ関数ｆ_３は、新たなセ
キュリティ機能を実現するものとして、セキュリティ関
数ｆ_２の代わりにＲＯＭ１６に格納されることになる関
数である。新たなセキュリティ関数ｆ_３は、現在のセキ
ュリティ関数ｆ_１およびｆ_２に何らかの変更を加えたも
のであり、たとえば関数の式自体が異なったもの、また
は関数に含まれる定数を変更したものでよい。たとえ
ば、関数ｆ_１およびｆ_２が、ｆ_１＝ｆ_２＝Ａ×Ｒ＋Ｂ
（ここで、Ａ＝１０，Ｂ＝５）であるとき、新たなセキ
ュリティ関数ｆ_３をｆ_３＝Ａ＋Ｒ×Ｂ（ここで、Ａ＝１
０，Ｂ＝５）のように設定することができる。または、
ｆ_１およびｆ_２の定数ＡおよびＢの値を、Ａ＝５、Ｂ＝
１０のように変更することもできる。

【００３８】また、書き換え装置１１は、セキュリティ
解除要求部２１、書き換え要求部２３、データ列組立部
２５を備え、これらはプログラムとして書き換え装置１
１のメモリに格納されている。セキュリティ解除要求部
２１は、セキュリティ関数ｆ _１を使用して、ＥＣＵ１０
に対してセキュリティ解除を要求する。

【００３９】データ列組立部２５は、ＥＣＵ１０に送信
される新たなセキュリティ関数ｆ_３のプログラムコード
を、シリアル通信に適したデータ列に変換する。以下に
図４を参照して詳細に説明するように、それぞれのデー
タ列は、該データ列に含まれるプログラムコードが格納
されるＲＯＭ１６の第１のアドレスと、次に転送される
プログラムコードが格納される第２のアドレスとを含む
よう組み立てられる。書き換え要求部２３は、セキュリ
ティが解除された後に、データ列組立部２５によって組
み立てられた新たなセキュリティ関数ｆ_３を表すデータ
列をＥＣＵ１０に送信する。

【００４０】再送チェック部２７は、ＥＣＵ１０からの
再送要求の整合性をチェックし、整合性のあるデータ列
の再送が要求されたと判断したならば、その要求された
データ列を再送するよう書き換え要求部２３に命令し、
整合性のないデータ列の再送が要求されたと判断したな
らば、セキュリティ関数ｆ_３を構成するデータ列を最初
から転送しなおすよう書き換え要求部２３に命令する。
後者の場合、最初からすべてのデータ列を転送しなおす
代わりに、再送要求される直前に転送したデータ列から
いくつかさかのぼったデータ列（たとえば、５個前のデ
ータ列）から転送しなおすようにしてもよい。

【００４１】整合性の有無は、再送要求されたデータ列
のアドレスが、再送要求の直前に転送したデータ列のア
ドレスと所定値以上離れているかどうかに基づいて判断
する。この実施例では、具体的にいうと、再送要求され
たデータ列のアドレスと、再送要求の直前に転送したデ
ータ列、その１つ前に転送したデータ列および次回転送
するデータ列の３つのアドレスとそれぞれ比較し、いず
れかに一致すれば整合性ありと判断する。これは、いず
れにも一致しなければ、再送要求されたデータ列のアド
レスが、現在転送中のプログラムコードのアドレスと離
れすぎており、再送要求にエラーがあると考えられるか
らである。

【００４２】上記のように３つのアドレスと比較するの
ではなく、そのうちのいずれか、たとえば再送要求され
る直前に転送したデータ列とのみ比較して、整合性を確
かめるようにしてもよい。または、再送要求されたデー
タ列のアドレスが、再送要求される直前に転送したデー
タ列のアドレスと所定値以上離れていなければ、整合性
ありと判断するようにしてもよい。

【００４３】ここで、図４を参照して、データ列組立部
２５によって組み立てられるシリアルデータ列の形式を
詳細に説明する。データ列組立部２５は、転送されるプ
ログラムをある長さのプログラムコード（たとえば、８
バイト）に分割し、該プログラムコードに第１および第
２のアドレスフィールドを付加してシリアルデータ列を
組み立てる。

【００４４】図４に示されるように、シリアルデータ列
のそれぞれは、プログラムコードの先頭に第１のアドレ
スフィールドを持ち、末尾に第２のアドレスフィールド
を持つ。しかし、第１および第２のアドレスフィールド
とプログラムコードの配置は、異なるものでもよい。第
１のアドレスフィールドには、このプログラムコードが
格納されるメモリの先頭アドレスが含まれる。第２のア
ドレスフィールドには、次に送信されるプログラムコー
ドが格納されるメモリの先頭アドレスが含まれる。すな
わち、データ列１の第２のアドレス「３Ｆ５０」は、次
に送信されるデータ列２の第１のアドレスに等しい。

【００４５】このように、データ列の第２のアドレスフ
ィールドに、次に送信されるデータ列の先頭アドレスを
持たせることにより、ＥＣＵは、データ列を正しい順番
で受信したかを判断することができる。具体的には、Ｅ
ＣＵ１０の書き換え実行部３５は、書き換え装置１１か
らデータ列を受信すると、前回受信したデータ列の第２
のアドレスと、今回受信したデータ列の第１のアドレス
とを比較し、一致したならば、受信したプログラムコー
ドを、変更可能ＲＯＭ１６の、第１のアドレスが示すア
ドレスに書き込む。

【００４６】こうして、転送の途中で通信が中断した場
合には、ＥＣＵは、プログラムコードが前回どこまでメ
モリに格納されて、次にどのプログラムコードが転送さ
れるべきかを判断して、次に再送されるべきデータ列を
書き換え装置に通知することができるので、プログラム
転送の信頼性が向上する。

【００４７】たとえば、図４に示されるデータ列１の転
送とデータ列２の転送の間で通信に障害が生じて、転送
が中断された場合、すでにメモリに格納されたデータ列
１の第２のアドレス３Ｆ５０によって、ＥＣＵ１０に
は、データ列１までが正しくメモリに格納され、次に受
信するデータ列２はアドレス３Ｆ５０から始まるという
ことがわかる。したがって、アドレス３Ｆ５０から始ま
るデータ列２の再送を書き換え装置１１に要求すること
により、データ列２の転送から通信を再開することがで
きる。

【００４８】または、アドレス３Ｆ２０から始まるデー
タ列１がメモリに格納された後、アドレス３Ｆ７０から
始まるデータ列３が送信された場合には、データ列１の
第２のアドレス３Ｆ５０により、ＥＣＵ１０には、アド
レス３Ｆ２０と３Ｆ７０の間のアドレス３Ｆ５０から始
まるデータ列が受信されていないということがわかる。
したがって、アドレス３Ｆ５０から始まるデータ列２の
転送を書き換え装置１１に要求することにより、たとえ
通信の障害によってデータ列２の転送が失敗していた場
合でも、速やかにプログラム転送を正常に復帰させるこ
とができる。

【００４９】なお、最後に送信されるデータ列には、第
２のアドレスフィールドを設けなくてもよく、または特
別の制御コードを入れてこれが最後のデータ列であるこ
とを示すようにしてもよい。

【００５０】このように、書き換え装置１１は、任意の
アドレスから開始するプログラムコードをＥＣＵ１０に
送信することができるので、無駄なプログラム転送をな
くすことができ、伝送効率が向上する。

【００５１】データ列の転送および書き込みは、比較的
時間を要する。したがって、メモリの空き領域に対応す
るプログラムコードを転送しないことによって、転送効
率を向上させるのが好ましい。この発明に従うメモリ書
き換えシステムにおいては、転送されるプログラムコー
ドの長さを可変にすることができるので、メモリの空き
領域に対応するプログラムコードを含まないようデータ
列を作成することができる。

【００５２】図５の（ａ）は、実施の一例として、書き
換え装置からＥＣＵに転送されるプログラムコードの例
を、アドレスと共に示す。図５の（ｂ）は、プログラム
コードの長さを固定長としたときに組み立てられるデー
タ列の例を示す。図５の（ｃ）および（ｄ）は、プログ
ラムコードの長さを可変長としたときに組立られるデー
タ列の例を示す。

【００５３】図５の（ａ）において、「ＦＦ」は空き領
域を示す。したがって、アドレス３Ｆ２０〜３Ｆ５０の
領域においてプログラムコードとしての実質的なデータ
が含まれるのは、アドレス３Ｆ２０〜３Ｆ２３、３Ｆ２
８〜３Ｆ２９、３Ｆ２Ｂ〜３Ｆ２Ｃ、３Ｆ４８〜３Ｆ４
Ｆおよび３Ｆ５０である。

【００５４】図５の（ａ）のプログラムコードを８バイ
トの固定長で転送する場合には、データ列組立部２５
は、該プログラムコードを先頭アドレスから８バイト単
位に分割し、それぞれの８バイトのプログラムコードに
２つのアドレスフィールド（それぞれのアドレスフィー
ルドは２バイトである）を付加して、１２バイトのデー
タ列を作成する。しかし、それぞれの８バイトのプログ
ラムコードがすべて「ＦＦ」のバイトで構成されるとき
は、そのプログラムコードからはデータ列を作成しな
い。これは、「ＦＦ」はメモリの空き領域であって転送
する必要がないからである。したがって、図５の（ｂ）
に示すように、それぞれが１２バイトの、全部で３つの
データ列が組み立てられる。したがって、合計して３６
バイトのデータ量が転送される。

【００５５】図５の（ａ）のプログラムコードを可変長
で転送しようとする場合には、データ列組立部は、転送
されるべきプログラムコードを先頭アドレスから走査
し、「ＦＦ」バイトを含まないようプログラムコードを
可変長に分割し、それぞれのプログラムコードのかたま
りに２つのアドレスフィールド（それぞれのアドレスフ
ィールドは２バイトである）を付加して、データ列を作
成する。したがって、図５の（ｃ）に示すように、全部
で４つのデータ列が組み立てられ、合計して３２バイト
のデータ量が転送される。この方式では、「ＦＦ」バイ
トはまったく転送されないので、図５の（ｂ）に比べて
転送効率が向上する。

【００５６】図５の（ｃ）によって可能な転送効率をさ
らに向上させるため、この発明によるデータ列組立部２
５は、メモリの空き領域の大きさに基づいて、データ列
を組み立てることもできる。言い換えると、プログラム
コードが含まれる領域間に空き領域がある場合、その空
き領域の大きさが所定値より大きければ、その空き領域
を転送しないようデータ列を作成し、空き領域の大きさ
が所定値以下ならば、その空き領域を含めてデータ列を
作成する。

【００５７】図５の（ｃ）のアドレス３Ｆ２８および３
Ｆ２Ｂから開始する２つのプログラムコードの間には、
アドレス３Ｆ２Ａに対応する「ＦＦ」バイトが１つのみ
である。したがって、アドレスフィールドの長さを考慮
すると、上記２つのプログラムコードは２つのデータ列
として送信されるよりも、図５の（ｄ）に示されるよう
に、アドレス３Ｆ２Ａの「ＦＦ」を含む１つのデータ列
として送信する方が効率が良い。したがって、データ列
組立部２５は、プログラムコードを走査して、たとえば
「ＦＦ」バイトの連続が４つに満たない場合には、図５
の（ｃ）のように別個のデータ列としてではなく、図５
の（ｄ）のように１つのデータ列としてデータ列を作成
する。こうして、転送されるデータ量は２９バイトとな
り、さらに転送効率を向上させることができる。

【００５８】この発明に従うメモリ書き換えシステム
は、図５の（ｂ）〜（ｄ）のいずれの形態のデータ列を
も含むものとする。

【００５９】図１に示されるメモリ書き換えシステムの
動作の概要を、図６および図７を参照しながら説明す
る。書き換え装置１１をＥＣＵ１０に接続した後、書き
換え装置１１のたとえば何らかの操作ボタンを押すこと
により、書き換え動作が開始する。または、ＥＣＵを操
作して、書き換え動作を開始するようにしてもよい。

【００６０】ステップ４１において、書き換え装置１１
のセキュリティ解除要求部２１は、ＥＣＵ１０にセキュ
リティ解除要求信号を送信する。ＥＣＵ１０は、それに
応答して、正規の書き換え装置が接続されていることを
確認する認証処理を開始する。

【００６１】認証処理の一例を図７に示す。ステップ５
１において、書き換え装置１１のセキュリティ解除要求
部２１は、任意の数Ｒを送信するようＥＣＵ１０に要求
する。それに応答して、ＥＣＵ１０の認証部３１が呼び
出される。認証部３１は、乱数生成部３３を呼び出し
て、乱数によって任意の数Ｒを設定し、その任意の数Ｒ
を書き換え装置１１に送信する（ステップ５２）。な
お、上記の乱数を使用して数Ｒを設定する代わりに、異
なる機構を用いて任意に数Ｒを設定するようにしてもよ
い。書き換え装置１１は、予め内部に持っているセキュ
リティ関数ｆ_１を使用して、Ｋ１＝ｆ_１(Ｒ)により、数
Ｒに対する関数ｆ_１の関数値Ｋ１を求める（ステップ５
３）。

【００６２】一方、ＥＣＵ１０の認証部３１は、変更可
能ＲＯＭ１６に格納されたセキュリティ関数ｆ_２を使用
して、Ｋ２＝ｆ_２（Ｒ）を計算して関数値Ｋ２を求める
（ステップ５４）。書き換え装置１１のセキュリティ解
除要求部２１は、関数値Ｋ１をＥＣＵ１０に送信する
（ステップ５５）。認証部３１は、書き換え装置１１か
らの関数値Ｋ１と、内部で生成した関数値Ｋ２を比較し
（ステップ５６）、一致したならば、正規の書き換え装
置と判断して、書き換え許可信号を書き換え装置１１に
送信する（ステップ５７）。このように、書き換えを実
行するには、まずセキュリティを解除する必要があるの
で、現在のセキュリティ関数ｆ_１およびｆ _２を使用し
て、セキュリティを解除する。

【００６３】図６に戻り、ＥＣＵ１０によって書き換え
装置１１が正規のものであると認証されて書き換えが許
可されたならば、ステップ４２に進む。書き換え装置１
１の書き換え要求部２３は、書き換え開始信号をＥＣＵ
１０に送り、ＥＣＵ１０の書き換え実行部３５は、準備
ができたならば、開始許可信号を返す。ステップ４３に
おいて、書き換え要求部２３は、書き換え動作モードに
移行する要求をＥＣＵ１０に送り、ＥＣＵ１０の書き換
え実行部３５は動作モード移行処理を行う。ステップ４
４において、書き換え要求部２３は動作モードの移行が
完了したかをＥＣＵ１０に問い合わせ、書き換え実行部
３５は、動作モードの移行が完了したならば、移行完了
信号を書き換え装置１１に送信する。

【００６４】ステップ４５において、書き換え要求部２
３は、変更可能ＲＯＭ１６に格納されたセキュリティ関
数ｆ_２の消去を要求し、書き換え実行部３５は応答し
て、ＲＯＭ１６のセキュリティ関数ｆ_２を消去する。

【００６５】書き換え装置１１においては、新たなセキ
ュリティ関数として関数ｆ_３が設定され、データ列組立
部２５によって、この新たなセキュリティ関数ｆ_３は、
ＥＣＵ１０に送信するためのシリアルデータ列として準
備されている。このセキュリティ関数ｆ_３の設定および
そのデータ列の組立は、通常、書き換え装置１１によっ
てセキュリティ解除要求または書き換え開始信号をＥＣ
Ｕ１０に送信する前に行われる。しかし、ステップ４５
の直前に行うようにしてもよい。

【００６６】セキュリティ関数ｆ_３は、たとえば書き換
え装置１１に予め保存されているいくつかの関数の中か
ら選択することによって設定することもでき、またはユ
ーザーが書き換え装置１１を操作しながら新たな関数を
作成するようにしてもよい。

【００６７】ステップ４６において、書き換え要求部２
３は、書き込み要求信号と共に、新たなセキュリティ関
数ｆ_３のプログラムコードを含むデータ列をＥＣＵ１０
に送信する。書き換え実行部３５は、書き換え装置１１
からデータ列を受信し、該データ列の第１のアドレス
を、前回受信されたデータ列の第２のアドレスと比較す
る。一致した場合には、該データ列に含まれるプログラ
ムコードを変更可能ＲＯＭ１６に書き込む。書き込みを
完了すると、書き換え実行部３５は、書き込み完了通知
を書き換え装置１１に送信する。書き換え装置１１は、
それに応答して、次のデータ列をＥＣＵ１０に送信す
る。このステップ４６は、ＲＯＭ１６に、セキュリティ
関数ｆ_３のすべてのプログラムコードの書き込みが完了
するまで繰り返される。

【００６８】図には示されていないが、ステップ４６に
おいて、受信したデータ列の第１のアドレスと、前回受
信されたデータ列の第２のアドレスが一致しなければ、
書き換え実行部３５は書き換え装置１１にデータ列の再
送要求信号を送信する。書き換え装置１１の再送チェッ
ク部２７は、再送要求信号に応答して、再送要求された
データ列のアドレスが、再送要求の直前に転送したデー
タ列のアドレス、そのデータ列の前に転送したデータ列
のアドレスおよび次回転送するデータ列のアドレスのい
ずれかに一致するかどうか調べる。一致すれば、書き換
え要求部２３は、再送要求されたデータ列を転送し、一
致しなければ、新たなセキュリティ関数ｆ_３を最初のデ
ータ列から転送しなおす。書き換え実行部３５は、前述
したように、受信したデータ列に含まれるプログラムコ
ードを書き込み、書き込み完了通知を書き換え装置１１
に送信する。

【００６９】書き込みが完了したならば、書き換え要求
部２３は、書き換え動作モードを解除する要求をＥＣＵ
１０に送信する（ステップ４７）。書き換え実行部３５
は、それに応答して書き換え動作モードを解除する。書
き換え装置１１によって、ＲＯＭ１６に格納されたセキ
ュリティ関数がｆ_３に変更されたので、書き換え装置１
１で使用されるセキュリティ関数もｆ_３に設定され、そ
の後のセキュリティ機能は、セキュリティ関数ｆ_３によ
って実現される。新たなセキュリティ関数ｆ_３を設定し
た後、または新たなセキュリティ関数ｆ_３をＲＯＭ１６
に書き込んだ後、前のセキュリティ関数ｆ_１を消去する
することができる。

【００７０】図８は、プログラム転送におけるＥＣＵの
動作を示すフローチャートである。図６において、書き
換え装置からＥＣＵに対して書き込み要求信号が発行さ
れた時、このフローに入る。ステップ７１において、書
き換え装置からデータ列を受信したかどうか判断し、受
信したならばステップ７２に進む。１つのデータ列が受
信されるたびに、前回受信したデータ列の第２のアドレ
スおよび今回受信したデータ列の第１のアドレスを比較
する（ステップ７３）。

【００７１】なお、最初に受信したデータ列には、比較
する前回のデータ列が存在しないので、ステップ７４に
進む。または、最初であることを示す何らかのコードが
含まれているかどうかチェックするようにしてもよい。

【００７２】ステップ７３において一致したならば、正
しいデータ列を受信したと判断し、受信したデータ列に
おけるプログラムコードを、変更可能ＲＯＭの、該デー
タ列の第１のアドレスで示されるアドレスに格納する
（ステップ７４）。ステップ７３において一致しなけれ
ば、正しいデータ列が受信されなかったことを示すの
で、前回受信した第２のアドレスを書き換え装置に通知
して、その第２のアドレスから開始するデータ列の再送
を要求する。このとき、ＥＣＵにおいてエラーを示す何
らかの表示をするようにしてもよい。

【００７３】通知を受けた書き換え装置は、ＥＣＵから
送られてきた第２のアドレスから開始するデータ列を再
び送信する。書き換え装置は、この再送を何回か試みる
ことができ、予め決められた回数だけ再送を試みてもエ
ラーになるならば、処理を中止することができる。その
ような場合、ＥＣＵは、最初からデータ列を転送しなお
すよう書き換え装置に要求することもできる。

【００７４】こうして、ＥＣＵは、不正な順序でデータ
列を受信することがなくなり、車両制御装置が誤ったプ
ログラムコードを保存することを回避することができ
る。

【００７５】図９は、書き換え装置におけるプログラム
転送の動作を示すフローチャートである。書き換え装置
は、ＥＣＵから再送要求を受信しない限り、ＥＣＵから
の書き込み完了信号に応答して、次のデータ列を転送す
る（ステップ８１および８６）。ステップ８１におい
て、ＥＣＵから再送要求を受信したならば、再送要求さ
れたデータ列のアドレスを、前々回および前回にＥＣＵ
に転送したデータ列のアドレス、および次回転送するデ
ータ列のアドレスと比較する（ステップ８２）。

【００７６】再送要求されたデータ列のアドレスが、こ
れら３つのデータ列のアドレスのいずれかと一致したな
らば（ステップ８３）、再送要求に整合性があると考え
られるので、要求されたデータ列の再送を実行する（ス
テップ８４）。ステップ８３において、いずれのアドレ
スとも一致しなければ、再送要求されたデータ列のアド
レスは正確でないと考えられるので、セキュリティ関数
ｆ_３全体を最初から転送しなおす（ステップ８５）。こ
の場合、実際には、すでに送信されて書き込まれたプロ
グラムコードを消去するよう、ＥＣＵに要求する。

【００７７】こうして、書き換え装置は、ＥＣＵからの
再送要求に整合性があるかどうかチェックするので、誤
ったアドレスのデータ列が転送されて、車両制御装置に
格納されるということを回避することができる。

【００７８】

【発明の効果】請求項１の発明によると、書き換え装置
から車両制御装置に転送されるデータ列が、次に送信さ
れるべきデータ列の先頭アドレスを含むので、車両制御
装置は、正しいデータ列を受信したかどうか容易に判断
することができる。

【００７９】請求項２の発明によると、データ列の転送
が正しく行われたかどうかを判断する判定手段を備えて
いるので、正しい順番でプログラムコードをメモリに格
納することができ、プログラム転送の信頼性を向上させ
ることができる。

【００８０】請求項３の発明によると、データ列が正し
く転送されなかったと判断された場合には、書き換え装
置に再送を要求するので、転送が中断されたデータ列か
らの転送を自動的に再開することができ、伝送効率を向
上させることができる。

【００８１】請求項４の発明によると、書き換え装置に
おいて、車両制御装置からのプログラムコードの再送要
求に整合性があるかどうかチェックされ、整合性がない
と判断した場合にはプログラム全体を最初から転送しな
おすので、プログラム転送の信頼性を向上させることが
できる。

【００８２】請求項５の発明によると、データ列の長さ
を可変にして転送することができるので、メモリの空き
領域の大きさに基づいてプログラムコードの長さを調整
することができるようになり、プログラムコードの転送
効率を向上させることができる。

【図面の簡単な説明】

【図１】この発明に従うメモリ書き換えシステムの概要
を示す図。

【図２】この発明の一実施例における、メモリ書き換え
システムの全体を示すブロック図。

【図３】この発明の一実施例における、メモリ書き換え
システムのＥＣＵのＲＯＭおよびＣＰＵの形態例を示す
図。

【図４】この発明の一実施例における、メモリ書き換え
システムのプログラム転送時のデータ列の形式を示す
図。

【図５】この発明の一実施例における、（ａ）転送され
るプログラムコードおよび対応するアドレス、（ｂ）デ
ータ列が固定長で組み立てられる例、（ｃ）データ列が
可変長で組み立てられる例、（ｃ）メモリの空き領域を
考慮してデータ列が可変長で組み立てられる例、を示す
図。

【図６】この発明の一実施例における、メモリ書き換え
システムの動作手順を示す図。

【図７】この発明の一実施例における、メモリ書き換え
システムの認証手順を示す図。

【図８】この発明の一実施例における、メモリ書き換え
システムのプログラム転送時のＥＣＵの動作を示すフロ
ーチャート。

【図９】この発明の一実施例における、メモリ書き換え
システムのプログラム転送時の書き換え装置の動作を示
すフローチャート。

【符号の説明】

１０ ＥＣＵ １１ 書き換え装置 １２ インターフェース １４ ＣＰＵ １６ 変更可能ＲＯＭ １８ 変更不可能Ｒ
ＯＭ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 12/14 ３１０ Ｇ０６Ｆ 12/16 ３１０Ｇ 12/16 ３１０ 9/06 ４２０Ｕ (72)発明者 水尾 直彦 埼玉県和光市中央１丁目４番１号 株式会 社本田技術研究所内 Ｆターム(参考） 3G084 BA09 BA13 BA24 DA04 DA13 DA27 EB02 EB06 FA02 FA03 FA20 FA33 FA36 5B017 AA02 BA01 BB02 CA12 CA15 CA16 5B018 GA06 HA25 KA12 MA35 NA06 RA11 RA12 5B076 CA01 CA04 EB01

Claims (5)

【特許請求の範囲】
1. 【請求項１】車両制御装置のメモリに記憶された第１の
   プログラムを、書き換え装置から転送された第２のプロ
   グラムに書き換える、車両制御装置のためのメモリ書き
   換えシステムであって、 前記第２のプログラムが、該第２のプログラムのプログ
   ラムコードと、該プログラムコードが格納されるメモリ
   の先頭アドレスを含む第１のアドレスと、該プログラム
   コードの次に送信されるプログラムコードが格納される
   メモリの先頭アドレスを含む第２のアドレスとを備える
   データ列として転送される車両制御装置のためのメモリ
   書き換えシステム。
2. 【請求項２】前記車両制御装置において、今回転送され
   たデータ列の第１のアドレスと、前回転送されたデータ
   列の第２のアドレスとを比較することにより、前記書き
   換え装置からデータ列が正しく転送されたかどうか判断
   する判定手段を備える請求項１に記載の車両制御装置の
   ためのメモリ書き換えシステム。
3. 【請求項３】前記判定手段は、前記今回転送されたデー
   タ列が正しく転送されなかったと判断したとき、前記書
   き換え装置に、該今回転送されたデータ列の再送を要求
   する請求項２に記載の車両制御装置のためのメモリ書き
   換えシステム。
4. 【請求項４】前記書き換え装置は、前記再送を要求され
   たデータ列のアドレスが、前記今回転送したデータ列の
   アドレスと所定値以上離れているとき、前記第２のプロ
   グラムを最初から転送しなおす請求項３に記載の車両制
   御装置のためのメモリ書き換えシステム。
5. 【請求項５】前記書き換え装置から転送されるデータ列
   の長さを可変にすることができる請求項１に記載の車両
   制御装置のためのメモリ書き換えシステム。