JP2012256386A

JP2012256386A - Program writing system

Info

Publication number: JP2012256386A
Application number: JP2011127622A
Authority: JP
Inventors: Shinya Noda; 伸也野田; Eiji Takayama; 英司高山; Norihiro Kikuchi; 宣博菊地; Reiko Abe; 玲子阿部
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2011-06-07
Filing date: 2011-06-07
Publication date: 2012-12-27
Anticipated expiration: 2031-06-07
Also published as: JP5516509B2

Abstract

PROBLEM TO BE SOLVED: To prevent writing other than a true control program to electronic control devices having a same hardware configuration for controlling control object devices for vehicles having different battery voltages.SOLUTION: When receiving a provision of a control program from a writing device 101, an ECU 104 determines true/false of the control program on the basis of a detected battery voltage Vand a working voltage Vobtained from working voltage information 110 in the control program. When determining that it is not the true control program, the ECU stops the writing process of the control program into a flash ROM.

Description

本発明は、発生する電源電圧が異なるバッテリを備えた複数の車両において、それぞれの車両に搭載された制御対象機器を制御するための電子制御装置として、同様のハードウエア構成を備えた電子制御装置が用いられる場合に、書込装置から提供される制御対象機器を制御するための制御プログラムを、それぞれの電子制御装置のメモリに書き込むプログラム書込システムに関する。 The present invention relates to an electronic control device having a similar hardware configuration as an electronic control device for controlling a control target device mounted on each vehicle in a plurality of vehicles including batteries having different power supply voltages to be generated. The present invention relates to a program writing system that writes a control program for controlling a control target device provided from a writing device to a memory of each electronic control device.

例えば、車両の仕様が異なっていても、制御ユニット（電子制御装置）を共通化できるようにすることが特許文献１に記載されている。この特許文献１に記載の制御ユニットでは、自動変速機や燃料噴射装置など車両に装備される制御対象をスイッチなどのセンサ類の出力に基づいて適宜コントロールする場合に、センサの出力に基づいて処理を実行する第１プログラム部と、センサ出力に基づかないで処理を実行する第２プログラム部とを設けている。そして、センサからの出力の有無を判別し、その判別結果に基づいて、両プログラムの内、いずれか一方を選択するようにしている。つまり、センサからの信号の有無を手がかりとして、制御に用いるプログラムを選択することにより、各車両の仕様に適したプログラムで制御対象を制御することができるようにしている。 For example, Patent Document 1 describes that a control unit (electronic control device) can be used in common even if the vehicle specifications are different. In the control unit described in Patent Document 1, when an object to be controlled such as an automatic transmission or a fuel injection device is appropriately controlled based on an output of a sensor such as a switch, a process is performed based on the output of the sensor. And a second program unit that executes processing without being based on the sensor output. And the presence or absence of the output from a sensor is discriminate | determined and either one of both programs is selected based on the discrimination | determination result. That is, the control target can be controlled with a program suitable for the specifications of each vehicle by selecting a program to be used for control based on the presence or absence of a signal from the sensor.

特開平２−１９７４３０号公報Japanese Patent Laid-Open No. 2-197430

しかしながら、上述した特許文献１では、制御ユニットを種々の仕様の車両で共通化できるようにするため、それら種々の仕様に対応する制御プログラムをすべて制御ユニット内に用意しておく必要がある。このため、制御プログラムは、個々の車両から見れば、不要なプログラム部分を含むものとなるので、制御プログラムを記憶しておくためのメモリ容量の増加を招くという不具合がある。 However, in Patent Document 1 described above, it is necessary to prepare all control programs corresponding to these various specifications in the control unit so that the control unit can be shared by vehicles having various specifications. For this reason, since the control program includes an unnecessary program portion when viewed from an individual vehicle, there is a problem in that the memory capacity for storing the control program is increased.

上述した不具合を解消するため、制御ユニットを共通化する場合に、ハードウエア構成としては同じ制御ユニットを使用しながら、その制御ユニットに用いる制御プログラムだけを、個々の仕様に適合したものとすることが考えられる。すなわち、制御プログラムは、制御ユニットが搭載される車両が決定されてから、制御ユニットに書き込むことにより、制御ユニットとして、異なる仕様の車両ごとに品番を付したり、在庫数を管理したりすることが不要となる。 In order to solve the above-mentioned problems, when using a common control unit, the same control unit as the hardware configuration should be used, and only the control program used for that control unit shall conform to the individual specifications. Can be considered. In other words, the control program writes a product to the control unit after the vehicle on which the control unit is mounted is determined, so that as a control unit, a product number is assigned to each vehicle with a different specification, or the inventory quantity is managed. Is no longer necessary.

ただし、ハードウエア構成として同じ制御ユニットを、１２Vと２４Vなど、バッテリ電圧の異なる車両に搭載しようとした場合、以下に説明するような問題が生じることが考えられる。つまり、制御ユニットは、ハードウエア構成として共通であるがゆえに、万一、制御ユニットに間違った制御プログラムが書き込まれてしまった場合でも、制御対象機器を駆動できてしまうことが起こりえる。 However, if the same control unit as the hardware configuration is to be mounted on a vehicle having a different battery voltage such as 12V and 24V, problems as described below may occur. That is, since the control unit has a common hardware configuration, even if an incorrect control program is written in the control unit, the control target device can be driven.

しかし、この場合、制御プログラムは、異なる電源電圧にて動作することを前提としているため、制御対象機器を正しく駆動することができなかったり、最悪の場合、駆動電流などが異なることに起因して、制御ユニットや、制御対象機器が損傷したりする可能性も否定できない。 However, in this case, since the control program is premised on operating with different power supply voltages, the control target device cannot be driven correctly, or in the worst case, the drive current is different. The possibility of damage to the control unit and the control target device cannot be denied.

本発明は、上述した点に鑑みてなされたもので、バッテリ電圧が異なる車両の制御対象機器を制御するための、同じハードウエア構成を備えた電子制御装置に対して、正しい制御プログラム以外の書き込みを防止することができ、万一、誤った制御プログラムが書き込まれたとしても、電子制御装置や制御対象機器の損傷を防止することが可能なプログラム書込システムを提供することも目的とする。 The present invention has been made in view of the above-described points, and writes other than a correct control program to an electronic control device having the same hardware configuration for controlling a control target device of a vehicle having a different battery voltage. Another object of the present invention is to provide a program writing system capable of preventing damage to an electronic control device and a control target device even if an erroneous control program is written.

上述した目的を達成するために、請求項１に記載のプログラム書込システムは、発生する電源電圧が異なるバッテリを備えた複数の車両において、それぞれの車両に搭載された制御対象機器を制御するための電子制御装置として、同様のハードウエア構成を備えた電子制御装置が用いられる場合に、書込装置から提供される、制御対象機器を制御するための制御プログラムを、それぞれの電子制御装置のメモリに書き込むものであって、
バッテリが発生する電源電圧を検出する検出手段と、
制御プログラムには、使用すべき電源電圧を示す使用電圧情報が付随しており、検出手段によって検出された電源電圧と、制御プログラムに付随する使用電圧情報とに基づいて、正しい制御プログラムであるか否かを判定する判定手段と、
判定手段が正しい制御プログラムではないと判定した場合に、当該制御プログラムを用いた処理の実行を停止する停止手段と、を備えることを特徴とする。 In order to achieve the above-described object, the program writing system according to claim 1 controls a control target device mounted on each vehicle in a plurality of vehicles including batteries with different power supply voltages. When an electronic control device having the same hardware configuration is used as the electronic control device, the control program for controlling the control target device provided from the writing device is stored in the memory of each electronic control device. To write in,
Detecting means for detecting a power supply voltage generated by the battery;
Use voltage information indicating the power supply voltage to be used is attached to the control program. Based on the power supply voltage detected by the detection means and the use voltage information attached to the control program, is the control program correct? Determining means for determining whether or not;
And a stop unit that stops execution of processing using the control program when the determination unit determines that the control program is not correct.

請求項１に記載のプログラム書込システムは、上述した検出手段及び判定手段を備えているので、書込装置から提供される制御プログラムが、使用電圧の観点から、正しい制御プログラムであるか否かを判定することができる。そして、正しい制御プログラムではないと判定された場合、停止手段は、その制御プログラムを用いた処理の実行を停止する。例えば、制御プログラムが、まだ電子制御装置のメモリに書き込まれていなければ、書き込み処理の実行を停止し、すでに電子制御装置のメモリに書き込まれている場合には、その制御プログラムを用いての制御対象機器の制御を停止する。従って、正しい制御プログラム以外の書き込みを防止することができ、万一、誤った制御プログラムが書き込まれたとしても、その制御プログラムを用いての制御を実行しないので、電子制御装置や制御対象機器の損傷を防止することができる。 Since the program writing system according to claim 1 includes the above-described detection means and determination means, it is determined whether or not the control program provided from the writing device is a correct control program from the viewpoint of the operating voltage. Can be determined. When it is determined that the control program is not correct, the stop unit stops the execution of the process using the control program. For example, if the control program has not yet been written to the memory of the electronic control device, the execution of the writing process is stopped, and if the control program has already been written to the memory of the electronic control device, control using the control program is performed. Stop control of the target device. Therefore, writing other than the correct control program can be prevented, and even if an incorrect control program is written, control using the control program is not executed. Damage can be prevented.

請求項２に記載したように、検出手段、判定手段、及び停止手段は、制御プログラムが書き込まれる電子制御装置に設けることができる。そして、書込装置から電子制御装置に制御プログラムが提供されたときに、判定手段が、検出手段によって検出された電源電圧と、制御プログラムに付随する使用電圧情報とに基づき、正しい制御プログラムではないと判定した場合、停止手段は、書込装置から電子制御装置に提供された制御プログラムのメモリへの書込処理を中止することが好ましい。これにより、誤った制御プログラムが電子制御装置のメモリに書き込まれることを未然に防ぐことができる。 As described in claim 2, the detection means, the determination means, and the stop means can be provided in the electronic control device in which the control program is written. When the control program is provided from the writing device to the electronic control device, the determination means is not a correct control program based on the power supply voltage detected by the detection means and the use voltage information attached to the control program. If it is determined, the stop means preferably stops the writing process of the control program provided from the writing device to the electronic control device into the memory. This can prevent an erroneous control program from being written in the memory of the electronic control device.

一方、請求項３に記載したように、書込装置から電子制御装置に制御プログラムが提供されたときには、電子制御装置は、書込装置から提供された制御プログラムを、一旦、自身のメモリに書き込んでも良い。そして、電子制御装置が車両に搭載されて、制御プログラムが書き込まれた後、判定手段が、検出手段によって検出された電源電圧と、制御プログラムに付随する使用電圧情報とに基づき、正しい制御プログラムではないと判定した場合、停止手段が、制御プログラムを用いての制御対象機器の制御の実行を停止するようにしても良い。 On the other hand, as described in claim 3, when the control program is provided from the writing device to the electronic control device, the electronic control device once writes the control program provided from the writing device into its own memory. But it ’s okay. Then, after the electronic control device is mounted on the vehicle and the control program is written, the determination means is based on the power supply voltage detected by the detection means and the use voltage information attached to the control program. If it is determined that there is no control, the stop unit may stop execution of control of the control target device using the control program.

例えば、工場出荷の時点で、電子制御装置が搭載される車両が決定されており、出荷前の最終工程などで、電子制御装置のメモリに制御プログラムが書き込まれることも考えられる。この場合、電子制御装置は、車両のバッテリに接続されない状態で、制御プログラムの書き込みが行われることになる。このため、電子制御装置に設けられた検出手段によってバッテリが発生する電源電圧を検出することができないので、電子制御装置は、制御プログラムの正誤を判定することなく、一旦、自身のメモリに書き込んでおく。そして、電子制御装置が車両に搭載されて、制御プログラムが書き込まれた後、バッテリによる電源電圧と、使用電圧情報とに基づき、正しい制御プログラムであるか否かを判定する。もし、正しい制御プログラムではないと判定した場合、この制御プログラムを用いての制御を実行しないので、電子制御装置や制御対象機器の損傷を防止することができる。 For example, it is conceivable that the vehicle on which the electronic control device is mounted is determined at the time of factory shipment, and the control program is written in the memory of the electronic control device in the final process before shipment. In this case, the electronic control device writes the control program without being connected to the vehicle battery. For this reason, since the power supply voltage generated by the battery cannot be detected by the detection means provided in the electronic control device, the electronic control device temporarily writes it in its own memory without determining whether the control program is correct or incorrect. deep. Then, after the electronic control device is mounted on the vehicle and the control program is written, it is determined whether the control program is correct based on the power supply voltage by the battery and the use voltage information. If it is determined that the control program is not correct, the control using this control program is not executed, so that it is possible to prevent damage to the electronic control device and the control target device.

請求項４に記載したように、電子制御装置は、制御プログラムが書き込まれたことを示す書込情報を不揮発性のメモリに書き込んでおき、当該不揮発性のメモリに書き込まれた書込情報に基づいて、初回起動時のみ、判定手段による判定処理を実行することが好ましい。判定手段による判定処理は、電子制御装置のメモリに書き込まれた制御プログラムが正しいか否かを判定するものであり、制御プログラムの書き込み後に１回実行すれば十分なためである。 According to the fourth aspect of the present invention, the electronic control device writes the write information indicating that the control program has been written in the nonvolatile memory, and based on the write information written in the nonvolatile memory. Thus, it is preferable to execute the determination process by the determination unit only at the first activation. This is because the determination process by the determination means determines whether or not the control program written in the memory of the electronic control device is correct, and is sufficient if it is executed once after the control program is written.

請求項５に記載したように、電子制御装置は、バッテリからの電源供給が絶たれたとき、その旨を示す電源途絶情報を不揮発性メモリに書き込んでおき、当該不揮発性メモリに書き込まれた電源途絶情報に基づいて、バッテリからの電源供給が再開されたときに、判定手段による判定処理を実行するようにしても良い。これにより、バッテリ交換時に、本来装着されるべきバッテリの電源電圧とは異なる電源電圧のバッテリが誤って装着されたときにも、制御プログラムを用いての、制御対象機器の制御の実行を停止することができる。 According to a fifth aspect of the present invention, when the power supply from the battery is cut off, the electronic control device writes power interruption information indicating that in the nonvolatile memory, and the power supply written in the nonvolatile memory. Based on the interruption information, when the power supply from the battery is resumed, the determination process by the determination unit may be executed. Thereby, when a battery having a power supply voltage different from the power supply voltage of the battery to be originally attached is erroneously attached when the battery is replaced, execution of control of the control target device using the control program is stopped. be able to.

請求項６に記載したように、検出手段、判定手段、及び停止手段は、制御プログラムを提供する書込装置に設けることもできる。そして、判定手段が、検出手段によって検出された電源電圧と、制御プログラムに付随する使用電圧情報とに基づき、正しい制御プログラムではないと判定した場合、停止手段は、電子制御装置への制御プログラムの提供を行わないようにすることが好ましい。このようにしても、誤った制御プログラムが電子制御装置のメモリに書き込まれることを未然に防ぐことができる。 According to the sixth aspect of the present invention, the detection unit, the determination unit, and the stop unit may be provided in a writing device that provides a control program. When the determination unit determines that the control program is not correct based on the power supply voltage detected by the detection unit and the use voltage information accompanying the control program, the stop unit determines whether the control program to the electronic control device is It is preferable not to provide. This can also prevent an erroneous control program from being written into the memory of the electronic control device.

第１実施形態におけるプログラム書込システムの全体構成を示す構成図である。1 is a configuration diagram showing an overall configuration of a program writing system in a first embodiment. 第１実施形態のプログラム書込システムにおける制御プログラムの書込処理を示すフローチャートである。It is a flowchart which shows the writing process of the control program in the program writing system of 1st Embodiment. 制御プログラムの構成を概念的に示した図である。It is the figure which showed notionally the structure of the control program. 第２実施形態によるプログラム書込システムにおいて、ＥＣＵ２０４が、車両のバッテリではなく生産ラインに設けられた電源２１３に電源ライン２１６を介して接続された状態で、書込装置２０１により制御プログラムの書き込みが行われる様子を示した図である。In the program writing system according to the second embodiment, the writing device 201 writes the control program in a state where the ECU 204 is connected to the power source 213 provided in the production line instead of the vehicle battery via the power source line 216. It is the figure which showed a mode that it was performed. ＥＣＵ２０４が車両に搭載されたときの状態をブロック図として示した図である。It is the figure which showed the state when ECU204 was mounted in the vehicle as a block diagram. ＥＣＵ２０４において、エンジン始動時に実行される処理を示した図である。It is a figure showing processing performed at the time of engine starting in ECU204. 第３実施形態におけるプログラム書込システムの全体構成を示す構成図である。It is a block diagram which shows the whole structure of the program writing system in 3rd Embodiment. 第３実施形態のプログラム書込システムにおいて、書込装置３０１により実行される処理を示すフローチャートである。It is a flowchart which shows the process performed by the writing apparatus 301 in the program writing system of 3rd Embodiment.

（第１実施形態）
以下、本発明の第１実施形態におけるプログラム書込システムについて、図面に基づいて説明する。 (First embodiment)
Hereinafter, a program writing system according to a first embodiment of the present invention will be described with reference to the drawings.

図１に、本実施形態におけるプログラム書込システムの全体構成を示す。図１に示すように、プログラム書込システムは、制御プログラムの書き込みが行われる電子制御装置（ＥＣＵ）１０４と、このＥＣＵ１０４に対して、制御プログラムの書き込みの指示や、書き込まれるべき制御プログラムの提供を行う書込装置１０１とを有する。なお、図１では、ＥＣＵ１０４が車両１０２に搭載された状態で、接続線１０７を介して書込装置１０１と接続された状態を示している。 FIG. 1 shows the overall configuration of the program writing system in the present embodiment. As shown in FIG. 1, the program writing system provides an electronic control unit (ECU) 104 to which a control program is written, and provides the control program to be written to the ECU 104 and a control program to be written. And a writing device 101 that performs. FIG. 1 shows a state in which the ECU 104 is mounted on the vehicle 102 and connected to the writing device 101 via the connection line 107.

ＥＣＵ１０４は、書き込まれた制御プログラムに従って、車両１０２に搭載された制御対象機器を制御するものであるが、図１では、一例として、車両のエンジンの運転状態を制御するためのＥＣＵとしての構成を示している。すなわち、ＥＣＵ１０４は、エンジンの運転状態を検出する様々なセンサからの信号を入力する入力部と、この入力部を介して入力されたセンサ信号に基づき、エンジンの運転状態を制御するための様々な処理を実行するＭＣＵ（マイクロコンピュータユニット）と、このＭＣＵからの制御信号に基づいて、エンジンに取り付けられた、ＥＧＲ弁、インジェクタ、燃料ポンプ、及び電子スロットルバルブ等のアクチュエータ１０５へ駆動信号を出力する出力部とを備えている。なお、図１では、入力部、ＭＣＵ、及び出力部とも、簡略化のため、いずれも図示していない。 The ECU 104 controls a control target device mounted on the vehicle 102 in accordance with the written control program. In FIG. 1, for example, the ECU 104 is configured as an ECU for controlling the operating state of the vehicle engine. Show. In other words, the ECU 104 inputs various signals from various sensors that detect the operating state of the engine and various sensors for controlling the operating state of the engine based on the sensor signals input through the input unit. Based on an MCU (microcomputer unit) that executes processing and a control signal from the MCU, a drive signal is output to an actuator 105 such as an EGR valve, an injector, a fuel pump, and an electronic throttle valve attached to the engine. And an output unit. In FIG. 1, none of the input unit, MCU, and output unit are shown for the sake of simplicity.

ＥＣＵ１０４のＭＣＵは、公知のように、ＣＰＵ、フラッシュＲＯＭ、ＲＡＭ等からなる。そして、書込装置１０１から提供された制御プログラムは、一時的にＲＡＭに保存され、その後、フラッシュＲＯＭに書き込まれる。 The MCU of the ECU 104 includes a CPU, a flash ROM, a RAM, and the like as is well known. The control program provided from the writing device 101 is temporarily stored in the RAM and then written in the flash ROM.

ＥＣＵ１０４は、電源ライン１０６を介してバッテリ１０３からの電源供給を受ける。ただし、ＥＣＵ１０４は、例えば、１２Vと２４Vなど、バッテリ電圧の異なる車両において、ハードウエア構成を変えずに共通して使用できるように、バッテリ電源電圧から、ＥＣＵ内の各部に供給する一定の基準電圧（目標電圧）を発生する電源回路を備えている。つまり、この電源回路は、例えば、降圧型のスイッチングレギュレータを有しており、バッテリ電圧によらず、ほぼ一定の基準電圧（例えば、１０Ｖ）を発生することが可能なものである。 The ECU 104 receives power supply from the battery 103 via the power line 106. However, the ECU 104 is, for example, a constant reference voltage supplied to each part in the ECU from the battery power supply voltage so that it can be used in common without changing the hardware configuration, such as 12V and 24V. A power supply circuit for generating (target voltage) is provided. That is, the power supply circuit has, for example, a step-down switching regulator, and can generate a substantially constant reference voltage (for example, 10 V) regardless of the battery voltage.

また、ＥＣＵ１０４は、上述した入力部の一部の構成として、Ａ／Ｄ変換器を備えている。そして、バッテリ１０３との間を接続する電源ライン１０６は、別途、ＥＣＵ１０４の入力部にも接続され、バッテリ１０３が発生する電源電圧を入力部のＡ／Ｄ変換器によりＡ／Ｄ変換して取り込むことが可能に構成されている。これにより、ＥＣＵ１０４は、バッテリ１０３が発生する電源電圧を検出することができる。 Moreover, ECU104 is provided with the A / D converter as a part of structure of the input part mentioned above. The power supply line 106 connected to the battery 103 is also connected to the input unit of the ECU 104 separately, and the power supply voltage generated by the battery 103 is A / D converted by the A / D converter of the input unit and taken in. It is configured to be possible. Thereby, ECU104 can detect the power supply voltage which the battery 103 generate | occur | produces.

次に、本実施形態のプログラム書込システムにおける制御プログラムの書込処理について、図２のフローチャートを参照しつつ説明する。なお、ＥＣＵ１０４内のフラッシュＲＯＭは、データの書き込みが可能な領域とデータの書き込みが不能な領域とに分割されており、これら各領域は、フラッシュＲＯＭの記憶領域に付されるアドレスによって指定されている。データの書き込みが不能な領域には、予めＥＣＵ１０４を起動するためのブートプログラムが記憶されている。書込装置１０１から提供される制御プログラムは、フラッシュＲＯＭの、データ書き込み可能領域に書き込まれる。 Next, control program writing processing in the program writing system of this embodiment will be described with reference to the flowchart of FIG. The flash ROM in the ECU 104 is divided into an area where data can be written and an area where data cannot be written. These areas are designated by addresses assigned to the storage area of the flash ROM. Yes. In an area where data cannot be written, a boot program for starting the ECU 104 is stored in advance. The control program provided from the writing device 101 is written in the data writable area of the flash ROM.

まず、ステップＳ１０１において、書込装置１０１により、ＥＣＵ１０４に付されているハードウエア品番が読み出され、書き込もうとしている制御プログラムとの対応が取れているかを確認する。ただし、上述したように、ＥＣＵ１０４は、バッテリ電圧の異なる車両において共通して使用されるものであり、書き込まれる制御プログラムは、バッテリ電圧の種類に応じて複数種類ある。従って、ステップＳ１０１の確認だけでは、バッテリ電圧をも考慮した上で、正しい制御プログラムが書き込まれるか否かを判断することはできない。 First, in step S101, the hardware device number attached to the ECU 104 is read out by the writing device 101, and it is confirmed whether or not correspondence with the control program to be written is established. However, as described above, the ECU 104 is commonly used in vehicles with different battery voltages, and there are a plurality of types of control programs to be written in accordance with the types of battery voltages. Therefore, it is not possible to determine whether or not a correct control program is written only by checking the step S101 in consideration of the battery voltage.

続くステップＳ１０２では、ＥＣＵ１０４に制御プログラムを書き込むため、ＥＣＵ１０４のセキュリティを解除する。このセキュリティ解除は、例えば、以下のようにして行われる。まず、予め、ＥＣＵ１０４と書込装置１０１とに、入力された数値に対して予め定められた演算を行って、その演算結果を返す同じ関数をそれぞれ記憶させておく。そして、ＥＣＵ１０４にて乱数を発生させ、ＥＣＵ１０４及び書込装置１０１それぞれにおいて、その乱数を上述した関数に入力することにより演算結果を得る。これらの演算結果をキーとして、ＥＣＵ１０４において、キーの照合を行う。そして、キーが一致した場合、認証が成立し、ＥＣＵ１０４のセキュリティが解除される。 In the subsequent step S102, the security of the ECU 104 is released in order to write the control program to the ECU 104. This security cancellation is performed as follows, for example. First, the ECU 104 and the writing device 101 each store the same function that performs a predetermined calculation on the input numerical value and returns the calculation result. Then, the ECU 104 generates a random number, and the ECU 104 and the writing device 101 respectively input the random number to the above-described function to obtain a calculation result. Using these calculation results as keys, the ECU 104 collates the keys. If the keys match, authentication is established and the security of the ECU 104 is released.

続くステップＳ１０３では、書込装置１０１からＥＣＵ１０４への制御プログラムの転送に先立ち、書込装置１０１が、制御プログラムをフラッシュＲＯＭに書き込むための書込プログラムをＥＣＵ１０４に転送する。この書込プログラムは、ＲＡＭ内に書き込まれるか、一旦、ＥＣＵ１０４内のフラッシュＲＯＭ内に書き込まれる。ＲＡＭ内に書き込まれた場合はＥＣＵ１０４への電源供給が絶たれた時点で自動消去され、フラッシュＲＯＭ内に書き込まれた場合は制御プログラムの書き込みが正常に終了した時点で消去される。なお、書き込みプログラムは、予め、ＥＣＵ１０４のフラッシュＲＯＭ内に記憶させておいても良い。 In subsequent step S <b> 103, prior to transfer of the control program from the writing device 101 to the ECU 104, the writing device 101 transfers a writing program for writing the control program to the flash ROM to the ECU 104. This writing program is written in the RAM or once in the flash ROM in the ECU 104. If it is written in the RAM, it is automatically erased when the power supply to the ECU 104 is cut off, and if it is written in the flash ROM, it is erased when the writing of the control program is completed normally. Note that the writing program may be stored in advance in the flash ROM of the ECU 104.

ステップＳ１０４では、上述したように、ＥＣＵ１０４において、バッテリ１０３が発生する電源電圧をＡ／Ｄ変換することにより、バッテリ電圧Ｖ_Ｖの検出を行なう。続くステップＳ１０５では、書込装置１０１が、ＥＣＵ１０４に向けて、制御プログラムの転送を開始する。なお、この制御プログラムの転送は分割して行われ、転送された制御プログラムは、一旦、ＥＣＵ１０４のＲＡＭに保存される。 In step S104, as described above, in the ECU 104, the power supply voltage battery 103 is generated by converting A / D, to detect the battery voltage _{V V.} In subsequent step S <b> 105, writing device 101 starts transfer of the control program to ECU 104. The transfer of the control program is performed in a divided manner, and the transferred control program is temporarily stored in the RAM of the ECU 104.

ここで、制御プログラムの、最初にＥＣＵ１０４に転送される分割部分に、図３に示すように、当該制御プログラムが使用されるべき電源電圧を示す使用電圧情報１１０が含まれている。従って、ＥＣＵ１０４は、最初に書込装置１０１から転送されてきた制御プログラムの分割部分を受け取った時点で、その制御プログラムが使用されるべき電源電圧についての情報を取得することができる。なお、使用電圧情報１１０は、必ずしも制御プログラム内に保存されていなくとも良い。例えば、制御プログラムとは分離して、制御プログラムの転送に先立って、使用電圧情報だけを転送しても良いし、制御プログラムに使用電圧に応じたファイル名を付すことにより、そのファイル名を使用電圧情報として利用することも可能である。 Here, as shown in FIG. 3, use voltage information 110 indicating the power supply voltage to be used by the control program is included in the divided portion of the control program that is first transferred to the ECU 104. Therefore, when the ECU 104 receives a divided part of the control program transferred from the writing device 101 for the first time, the ECU 104 can acquire information on the power supply voltage to be used by the control program. The use voltage information 110 is not necessarily stored in the control program. For example, it is possible to transfer only the operating voltage information separately from the control program prior to the transfer of the control program, or use the file name by attaching a file name corresponding to the operating voltage to the control program. It can also be used as voltage information.

ステップＳ１０６では、ＥＣＵ１０４は、上述した使用電圧情報１１０から、制御プログラムが使用されるべき使用電圧Ｖ_Ｓを取得する。そして、ステップＳ１０７において、ＥＣＵ１０４は、ステップＳ１０４にて取得されたバッテリ電圧Ｖ_Ｖと、ステップＳ１０６で取得された使用電圧Ｖ_Ｓとを比較して、不一致であるか否かを判定する。このステップＳ１０７において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが一致していると判定されると、ステップＳ１０８に進み、ＥＣＵ１０４は、最初に受け取った制御プログラムの分割部分をフラッシュＲＯＭに書き込むとともに、残りの制御プログラムを順次、書込装置１０１から転送させる。そして、受け取った制御プログラムを、順番に、フラッシュＲＯＭに書き込んでいく。 In step S106, the ECU 104 acquires the use voltage V _S to be used by the control program from the use voltage information 110 described above. In step S107, the ECU 104 compares the battery voltage V _V acquired in step S104 with the use voltage V _S acquired in step S106, and determines whether or not there is a mismatch. If it is determined in step S107 that the battery voltage V _V and the use voltage V _S match, the process proceeds to step S108, where the ECU 104 writes the divided portion of the control program received first in the flash ROM, The remaining control programs are sequentially transferred from the writing device 101. Then, the received control program is written in the flash ROM in order.

ステップＳ１０９では、ＥＣＵ１０４における、制御プログラムの書込処理が正常に終了したか否かを、例えば、チェックサムを用いて判定する。このとき、書込処理が正常に終了しなかったと判定されると、ＥＣＵ１０４は、ステップＳ１１０において、フラッシュＲＯＭに書き込んだ制御プログラムをすべて消去し、ステップＳ１１１の処理に進む。一方、ステップＳ１０９にて書込処理が正常に終了したと判定されると、ステップＳ１１０の処理を実行することなく、ステップＳ１１１の処理に進む。ステップＳ１１１では、ＥＣＵ１０４は、自身にリセットをかける。なお、リセットをかける際、ＥＣＵ１０４は、フラッシュＲＯＭに書込プログラムが保存されていた場合、保存された書込プログラムを消去する。 In step S109, it is determined using the checksum, for example, whether or not the writing process of the control program in the ECU 104 has ended normally. At this time, if it is determined that the writing process has not ended normally, the ECU 104 erases all the control programs written in the flash ROM in step S110, and proceeds to the process in step S111. On the other hand, if it is determined in step S109 that the writing process has ended normally, the process proceeds to step S111 without executing the process in step S110. In step S111, the ECU 104 resets itself. When resetting, the ECU 104 deletes the stored writing program if the writing program is stored in the flash ROM.

一方、ステップＳ１０７において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが一致していないと判定されると、制御プログラムのフラッシュＲＯＭへの書き込みを行わないようにするため、ステップＳ１０８〜Ｓ１１０の処理を実行することなく、ステップＳ１１１の処理に進む。 On the other hand, if it is determined in step S107 that the battery voltage V _V and the use voltage V _S do not match, the processing in steps S108 to S110 is performed in order to prevent the control program from being written to the flash ROM. Without executing, the process proceeds to step S111.

以上のように、第１実施形態によるプログラム書込システムでは、ＥＣＵ１０４が、書込装置１０１から制御プログラムの提供を受けたときに、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとに基づき、制御プログラムの正誤を判定する。そして、正しい制御プログラムではないと判定した場合、制御プログラムのフラッシュＲＯＭへの書込処理を中止する。これにより、誤った制御プログラムがＥＣＵ１０４のフラッシュＲＯＭに書き込まれることを未然に防ぐことができる。 As described above, in the program writing system according to the first embodiment, when the ECU 104 receives provision of the control program from the writing device 101, the control program of the control program is based on the battery voltage V _V and the use voltage V _S. Judge correctness. If it is determined that the control program is not correct, the writing process of the control program to the flash ROM is stopped. Thereby, it is possible to prevent an erroneous control program from being written in the flash ROM of the ECU 104.

（第２実施形態）
次に、本発明の第２実施形態によるプログラム書込システムについて、図４〜図６を参照しつつ説明する。 (Second Embodiment)
Next, a program writing system according to a second embodiment of the present invention will be described with reference to FIGS.

上述した第１実施形態では、プログラム書込システムを構成するＥＣＵ１０４が、車両１０２に搭載され、バッテリ１０３が発生する電源電圧を検出可能な状態で、制御プログラムの書込処理が行われるケースについて説明した。 In the first embodiment described above, a case is described in which the ECU 104 configuring the program writing system is mounted on the vehicle 102 and the control program writing process is performed in a state where the power supply voltage generated by the battery 103 can be detected. did.

しかしながら、例えば、工場出荷の時点で、ＥＣＵが搭載される車両が決定されており、出荷前の最終工程などで、ＥＣＵのフラッシュＲＯＭに制御プログラムが書き込まれることも考えられる。 However, for example, it is conceivable that the vehicle on which the ECU is mounted is determined at the time of factory shipment, and the control program is written in the flash ROM of the ECU in the final process before shipment.

本実施形態によるプログラム書込システムでは、このように、ＥＣＵが車両のバッテリに接続されていないときに、書込装置から制御プログラムを提供された場合であっても、その制御プログラムが、正しい制御プログラムであるかを判定するとともに、誤った制御プログラムであった場合には、その制御プログラムを用いた処理を停止できるようにしたものである。以下、具体的に、本実施形態によるプログラム書込システムについて説明する。 Thus, in the program writing system according to the present embodiment, even when the control program is provided from the writing device when the ECU is not connected to the battery of the vehicle, the control program is controlled correctly. In addition to determining whether the program is a program, if the control program is incorrect, processing using the control program can be stopped. Hereinafter, the program writing system according to the present embodiment will be specifically described.

図４に示すように、ＥＣＵ２０４は、車両のバッテリではなく生産ラインに設けられた電源２１３に電源ライン２１６を介して接続された状態で、書込装置２０１により制御プログラムの書き込みが行われる。この場合、ＥＣＵ２０４は、車両のバッテリが発生する電源電圧を検出することができないので、使用電圧の観点において、上述した第１実施形態に示した制御プログラム書き込み中の制御プログラムの正誤を判定することなく、一旦、制御プログラムを、フラッシュＲＯＭに書き込んでおく。 As shown in FIG. 4, the ECU 204 writes the control program by the writing device 201 in a state where the ECU 204 is connected to the power source 213 provided in the production line instead of the vehicle battery via the power source line 216. In this case, since the ECU 204 cannot detect the power supply voltage generated by the battery of the vehicle, the ECU 204 determines whether the control program being written in the control program described in the first embodiment is correct or incorrect from the viewpoint of the voltage used. Instead, the control program is once written in the flash ROM.

そして、図５に示すようにＥＣＵ２０４が車両２０２に搭載され、制御プログラムが書き込まれた後、バッテリ２０３による電源電圧Ｖ_Ｖと、使用電圧Ｖ_Ｓとを比較することにより、正しい制御プログラムであるか否かを判定する。もし、正しい制御プログラムではないと判定した場合、この制御プログラムを用いての、エンジン制御を実行しないようにする。これにより、万一、誤った制御プログラムがＥＣＵ２０４のフラッシュＲＯＭに書き込まれたとしても、ＥＣＵ２０４や各アクチュエータ２０５が損傷する事態の発生を防止することができる。 Then, as shown in FIG. 5, after the ECU 204 is mounted on the vehicle 202 and the control program is written, whether the power supply voltage V _V by the battery 203 is compared with the use voltage V _S is a correct control program. Determine whether or not. If it is determined that the control program is not correct, the engine control using this control program is not executed. Thereby, even if an erroneous control program is written in the flash ROM of the ECU 204, it is possible to prevent the ECU 204 and each actuator 205 from being damaged.

以下に、本実施形態のプログラム書込システムにおいて実行される処理内容について、図６のフローチャートを用いて説明する。 Hereinafter, processing contents executed in the program writing system of the present embodiment will be described with reference to the flowchart of FIG.

まず、ステップＳ２０１では、ＥＣＵ２０４の初期化処理を行う。具体的には、ＥＣＵ２０４のＲＡＭやレジスタの値をすべてクリアする。続くステップＳ２０２では、バッテリ電圧判定実施条件が成立したか否かを判定する。具体的には、このバッテリ電圧判定実施条件の成立判定では、ＥＣＵ２０４のフラッシュＲＯＭに制御プログラムが書き込まれてから、初めてＥＣＵ２０４が起動されたか否かを判定する。この判定は、例えば、ＥＣＵ２０４が、制御プログラムが書き込まれたときに、その旨を示す書込情報を、フラッシュＲＯＭや、バックアップＲＡＭなどの不揮発性のメモリに書き込んでおき、その書込情報を参照することによって行うことができる。 First, in step S201, initialization processing of the ECU 204 is performed. Specifically, all the values of the RAM and registers of the ECU 204 are cleared. In a succeeding step S202, it is determined whether or not a battery voltage determination execution condition is satisfied. Specifically, in the determination of establishment of the battery voltage determination execution condition, it is determined whether or not the ECU 204 is activated for the first time after the control program is written in the flash ROM of the ECU 204. In this determination, for example, when the control program is written, the ECU 204 writes write information indicating that in a nonvolatile memory such as a flash ROM or a backup RAM, and refers to the write information. Can be done.

このように、初回起動時であるか否かを判定するのは、ＥＣＵ２０４のフラッシュＲＯＭに書き込まれた制御プログラムが正しいか否かの判定が、制御プログラムの書き込み後に１回実行されれば十分なためである。換言すれば、ステップＳ２０２においてバッテリ電圧判定実施条件が不成立であると判定されると、制御プログラムの正誤判定を行うことなく、ステップＳ２０６の処理に進む。 As described above, it is sufficient to determine whether the control program written in the flash ROM of the ECU 204 is correct or not when it is executed once after the control program is written. Because. In other words, if it is determined in step S202 that the battery voltage determination execution condition is not satisfied, the process proceeds to step S206 without performing correct / incorrect determination of the control program.

ステップＳ２０２において、バッテリ電圧判定実施条件が成立したと判定された場合、すなわち、初回起動時である場合、ステップＳ２０３に進んで、車両のバッテリ電圧Ｖ_Ｖの検出を行なう。続くステップＳ２０４では、制御プログラムに含まれる使用電圧情報１１０から、当該プログラムの使用電圧Ｖ_Ｓを取得する。そして、ステップＳ２０５において、ＥＣＵ２０４は、バッテリ電圧Ｖ_Ｖと、使用電圧Ｖ_Ｓとを比較して、不一致であるか否かを判定する。なお、この判定時に、上述した不揮発性メモリに、制御プログラムの正誤判定処理が完了した情報、及びその判定結果を残しておく。これにより、次回以降のＥＣＵ２０４の起動時に、再度、制御プログラムの正誤判定処理を実施せずに済む。 In step S202, if the battery voltage determination execution condition is determined to be satisfied, i.e., if it is the first time start, the process proceeds to step S203, detects the battery voltage V _V of the vehicle. In the subsequent step S204, the use voltage V _{S of the} program is acquired from the use voltage information 110 included in the control program. Then, in step S205, ECU204 determines the battery voltage _{V V,} by comparing the operating voltage _{V S,} whether the mismatch. Note that, at the time of this determination, information on the completion of the control program correctness determination process and the determination result are left in the above-described nonvolatile memory. As a result, it is not necessary to perform the correctness / incorrectness determination process of the control program again when the ECU 204 is activated next time.

ステップＳ２０５において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが不一致であると判定されると、ステップＳ２１０の処理に進み、アクチュエータ２０５への駆動信号の出力を停止したままとし、制御プログラムを用いてのエンジン制御を実行しないようにする。 If it is determined in step S205 that the battery voltage V _V and the use voltage V _S do not match, the process proceeds to step S210, the output of the drive signal to the actuator 205 is stopped, and the control program is used. Do not execute the engine control.

一方、ステップＳ２０５において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが一致していると判定されると、ステップＳ２０６に進んで、図示しないスタータスイッチからの信号を取得する。ステップＳ２０７では、取得したスタータスイッチの信号に基づき、スタータスイッチがオンされているか否かを判定する。このとき、オンされていないと判定された場合には、ステップＳ２０６の処理に戻り、オンされていると判定された場合には、ステップＳ２０８の処理に進む。 On the other hand, if it is determined in step S205 that the battery voltage V _V and the use voltage V _S match, the process proceeds to step S206, and a signal from a starter switch (not shown) is acquired. In step S207, based on the acquired starter switch signal, it is determined whether or not the starter switch is on. At this time, if it is determined that it is not turned on, the process returns to step S206, and if it is determined that it is turned on, the process proceeds to step S208.

ステップＳ２０８では、スタータモータに駆動信号を出力して、エンジンの始動を開始する。そして、ステップＳ２０９では、エンジンの始動後、運転者によるアクセル操作等に応じて最適な運転状態となるように、エンジンの制御を開始する。 In step S208, a drive signal is output to the starter motor to start the engine. In step S209, after the engine is started, engine control is started so that an optimal driving state is obtained in accordance with the accelerator operation by the driver.

（第３実施形態）
次に、本発明の第３実施形態におけるプログラム書込システムについて、図７、図８を参照しつつ説明する。 (Third embodiment)
Next, a program writing system according to the third embodiment of the present invention will be described with reference to FIGS.

上述した第１、第２実施形態では、ＥＣＵ１０４，２０４において、制御プログラムが正しいか否かを判定するものであった。しかしながら、この判定は、車両に搭載されるＥＣＵはなく、そのＥＣＵに制御プログラムを提供する書込装置において行うことも可能である。 In the first and second embodiments described above, the ECUs 104 and 204 determine whether or not the control program is correct. However, this determination can be performed by a writing device that does not have an ECU mounted on the vehicle and provides a control program to the ECU.

本第３実施形態では、書込装置において、制御プログラムが正しいか否かを判定するようにしたプログラム書込システムについて説明する。 In the third embodiment, a program writing system that determines whether a control program is correct in a writing apparatus will be described.

図７は、第３実施形態によるプログラム書込システムの全体構成を示す図である。図７に示すように、本実施形態によるプログラム書込システムは、ＥＣＵ３０４が、車両に搭載された状態で、制御プログラムを書き込む場合に適用されるものである。そして、本実施形態では、書込装置３０１にて、制御プログラムの正誤を判定するため、電源ライン３０６ａを介して、車載バッテリ３０３と書込装置３０１とを接続し、書込装置３０１において、バッテリ３０３が発生する電源電圧を検出可能に構成されている。その他の構成は、第１実施形態と同様であるため、説明を省略する。 FIG. 7 is a diagram showing an overall configuration of a program writing system according to the third embodiment. As shown in FIG. 7, the program writing system according to the present embodiment is applied when the ECU 304 writes a control program while being mounted on a vehicle. In this embodiment, the writing device 301 connects the in-vehicle battery 303 and the writing device 301 via the power supply line 306a in order to determine whether the control program is correct or incorrect. The power supply voltage generated by 303 can be detected. Since other configurations are the same as those of the first embodiment, description thereof is omitted.

次に、図８のフローチャートに従って、書込装置３０１により実行される処理について説明する。 Next, processing executed by the writing device 301 will be described according to the flowchart of FIG.

まず、ステップＳ３０１では、データベースや、外部記憶媒体から、ＥＣＵ３０４に書き込むべき制御プログラムを読み込む。続くステップＳ３０２では、車両のバッテリ電圧Ｖ_Ｖを検出する。そして、ステップＳ３０３において、ステップＳ３０１にて読み込んだ制御プログラムに含まれる使用電圧情報１１０から、使用電圧Ｖ_Ｓを取得する。 First, in step S301, a control program to be written in the ECU 304 is read from a database or an external storage medium. In subsequent step S302, the vehicle battery voltage _VV is detected. In step S303, the use voltage V _S is acquired from the use voltage information 110 included in the control program read in step S301.

ステップＳ３０４では、書込装置３０１は、バッテリ電圧Ｖ_Ｖと、使用電圧Ｖ_Ｓとを比較して、不一致であるか否かを判定する。このステップＳ３０４において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが不一致であると判定されると、そのまま、図８のフローチャートに示す処理を終了する。一方、ステップＳ３０４において、バッテリ電圧Ｖ_Ｖと使用電圧Ｖ_Ｓとが一致していると判定されると、ステップＳ３０５に進んで、制御プログラムの書き込み処理を実行する。 In step S304, the writing device 301 compares the battery voltage V _V and the use voltage V _S to determine whether or not they are inconsistent. If it is determined in step S304 that the battery voltage V _V and the use voltage V _S do not match, the processing shown in the flowchart of FIG. On the other hand, if it is determined in step S304 that the battery voltage V _V is equal to the use voltage V _S , the process proceeds to step S305 to execute a control program writing process.

このように、本実施形態のプログラム書込システムでは、書込装置３０１が、書込処理を開始する前に、制御プログラムの正誤を判定し、もし誤っていると判定した場合には、書込処理を実行しないようにしている。従って、早い段階で、制御プログラムの正誤判定を行うことができるとともに、誤った制御プログラムがＥＣＵ３０４に書き込まれることを未然に防ぐことができる。 As described above, in the program writing system of the present embodiment, the writing device 301 determines whether the control program is correct before starting the writing process. The processing is not executed. Accordingly, it is possible to determine whether or not the control program is correct at an early stage, and to prevent an erroneous control program from being written in the ECU 304 in advance.

以上、本発明の好ましい実施形態について説明したが、本発明は上述した実施形態になんら制限されることなく、本発明の主旨を逸脱しない範囲において、種々変形して実施することが可能である。 The preferred embodiments of the present invention have been described above. However, the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the spirit of the present invention.

例えば、上述した第２実施形態のプログラム書込システムでは、制御プログラムが書き込まれた後の、ＥＣＵ２０４の初回起動時に、制御プログラムの正誤判定を実行した。この第２実施形態のプログラム書込システムにおいて、さらに、ＥＣＵ２０４が、バッテリ２０３からの電源供給が絶たれたとき、その旨を示す電源途絶情報を不揮発性メモリに書き込んでおき、当該不揮発性メモリに書き込まれた電源途絶情報に基づいて、バッテリ２０３からの電源供給が再開されたときに、制御プログラムの正誤判定処理を実行するようにしても良い。このようにすれば、バッテリ交換時に、本来装着されるべきバッテリの電源電圧とは異なる電源電圧のバッテリが誤って装着されたときにも、制御プログラムを用いての、制御対象機器の制御の実行を停止することができるようになる。 For example, in the program writing system of the second embodiment described above, the correctness / incorrectness determination of the control program is performed at the first activation of the ECU 204 after the control program is written. In the program writing system of the second embodiment, when the power supply from the battery 203 is cut off, the ECU 204 writes power interruption information indicating that in the nonvolatile memory and stores the information in the nonvolatile memory. Based on the written power interruption information, when the power supply from the battery 203 is resumed, the correctness determination process of the control program may be executed. In this way, even when a battery with a power supply voltage different from the power supply voltage of the battery to be originally attached is mistakenly installed when the battery is replaced, the control target device is controlled using the control program. Will be able to stop.

１０１書込装置
１０２車両
１０３バッテリ
１０４ＥＣＵ
１０５アクチュエータ
１０６電源ライン 101 Writing Device 102 Vehicle 103 Battery 104 ECU
105 Actuator 106 Power line

Claims

In a plurality of vehicles having batteries with different power supply voltages to be generated, an electronic control device having a similar hardware configuration is used as an electronic control device for controlling a control target device mounted on each vehicle. A program writing system for writing a control program for controlling the control target device provided from a writing device to a memory of each electronic control device,
Detecting means for detecting a power supply voltage generated by the battery;
The control program is accompanied by use voltage information indicating a power supply voltage to be used. Based on the power supply voltage detected by the detection means and the use voltage information attached to the control program, the control program is correct. Determining means for determining whether or not
A program writing system comprising: stopping means for stopping execution of processing using the control program when the determining means determines that the control program is not correct.

The detection means, the determination means, and the stop means are provided in the electronic control device in which the control program is written,
When the control program is provided from the writing device to the electronic control device, the determination means performs correct control based on the power supply voltage detected by the detection means and use voltage information associated with the control program. 2. The program according to claim 1, wherein, when it is determined that the program is not a program, the stopping unit stops the writing process of the control program provided from the writing device to the electronic control device into the memory. Writing system.

The detection means, the determination means, and the stop means are provided in the electronic control device in which the control program is written,
When a control program is provided from the writing device to the electronic control device, the electronic control device writes the control program provided from the writing device in its own memory,
After the electronic control device is mounted on the vehicle and the control program is written, the determination means is correct based on the power supply voltage detected by the detection means and the use voltage information accompanying the control program. 2. The program writing system according to claim 1, wherein when it is determined that the program is not a control program, the stopping unit stops execution of control of the control target device using the control program.

The electronic control device writes write information indicating that the control program has been written to a non-volatile memory, and based on the write information written to the non-volatile memory, only at the first startup, 4. The program writing system according to claim 3, wherein a determination process by the determination unit is executed.

When the power supply from the battery is cut off, the electronic control unit writes power interruption information indicating that in the nonvolatile memory, and based on the power interruption information written in the nonvolatile memory, 5. The program writing system according to claim 4, wherein when the power supply from the battery is resumed, a determination process by the determination unit is executed.

The detection means, determination means, and stop means are provided in the writing device that provides the control program,
When the determination unit determines that the control program is not correct based on the power supply voltage detected by the detection unit and the use voltage information accompanying the control program, the stop unit controls the electronic control device. 2. The program writing system according to claim 1, wherein no program is provided.