JP2017134477A - 電子制御装置 - Google Patents

Abstract

【課題】回路を簡素化すると共に、誤作動の防止やセキュリティの向上を図る、制御関係情報の書き換えが可能な電子制御装置を提供する。【解決手段】電子制御装置は制御部２を含む。制御部２は装置外部から入力されるアナログの指令信号をデジタルの電圧信号に変換するＡ／Ｄ変換部１４と、デジタル変換された指令信号の電圧信号パターンと、プログラム書き換えモードへのモード切替を許容する電圧信号パターンとを比較し、モード切替条件の具備を判定するモード切替条件判定部１５と、判定結果に基づいて、電子制御装置の動作を通常モードからプログラム書き換えモードに移行させる動作モード切替部１６と、を有する。モード切替条件判定部１５は、電圧信号パターンを照合し、それらが一致した場合のみ、電子制御装置の動作を通常モードから情報書き換えモードに移行させる。【選択図】図２

Description

本発明は、制御データや制御プログラム等の制御関係情報を外部から書き換え可能な電子制御装置に関する。

近年、自動車や産業機械等の車両には、エンジンや、ワイパ装置・パワーウインドなどの各種電装品を制御するため、マイクロコンピュータを備えた電子制御装置が搭載されている。このような電子制御装置では、後日、プログラムのバージョンアップや不具合解消のため、マイクロコンピュータ内に格納された制御データや制御プログラム（以下、制御関係情報と略記する）の書き換えが必要となる場合がある。その際、マイクロコンピュータを含む制御ユニット全体を交換するのではなく、データやプログラムの書き換えによってバージョンアップ等に対応できれば、コスト的に有利である。また、ユーザー側にとっても、部品交換に比べ待ち時間が少なくて済み、好ましい。そこで、従来より、制御関係情報を外部から適宜書き換え可能な電子制御装置が種々提案されている（例えば、特許文献１,２）。

特開平９−１６０７６６号公報 特開２０１２−２０７６１５号公報

ところが、外部から制御関係情報を書き換える場合、その書き換え処理もまた所定の書き換えプログラム（ソフトウエア）によって実現しており、偶発的事象やノイズなどにより予期せぬ誤動作が生じる可能性がある。特に、車載装置のコネクタに書き換え用の専用線を追加し、その接続状態や入力信号によって通常作動と書き換えモードを判断する場合、ショート故障やノイズにより誤作動が生じる恐れがある。

例えば、入力信号のレベルでモードを切り替える場合（ここでは、入力信号がＨｉのとき、書き換えモードに移行とする）、電源側にショートした場合は書き換えモードに移行してしまい、ＧＮＤ側にショートした場合は書き換えに移行できない。つまり、意図せずに書き換えモードに移行してしまったり、逆に、通常作動状態から書き換えモードに移行できなかったり、と言うような誤動作が生じ得る。

また、専用線を介して入力されるパルスをカウントし、例えば、２０ｍｓのパルスを３回検出したとき書き換えモードに移行する、という設定の場合、パルス検出タイミングの同期を取る必要があるが、その取り方が難しい。この場合、書き換え信号を割り込みで検出すると、ノイズを検出する場合があるため、通常、電源投入後数ｍｓ以内にパルス検出タイミングの同期区間を設定する必要があり、書き換えの際、電源のオンオフが必要となり、処理手順が煩雑になる。また、常時割り込み待ちを行っていると、ノイズにより割り込みが続き通常処理が実行できなくなるおそれがある。これに対し、割り込みを行わず、ポーリングによって書き換え信号を検出すれば、上述のような割り込みによる問題は生じないが、短いサンプリング周期が必要となり、処理負荷が増加する。

一方、例えば、特許文献２の電子制御装置では、既存の２つの入力ピンから信号を読み取り、２つの信号が一致した時に書き換えモードに移行するようになっており、専用線を廃し、セキュリティ面も含めた対応がなされている。しかしながら、この場合も、信号が偶然に一致し、必要のないときに書き換えモードに移行する可能性がないとは言えない。また、２つの信号の一致を見るため、その分、どうしても回路が複雑化することは避けられない。

加えて、外部から制御関係情報を書き換える場合、車載の電子制御装置側にもプログラムの書き換えに対応する構成が必要であり、車両の機能や仕様によっては、プログラム等の書き換え機能を搭載できない場合もある。また、プログラム書き換えのため車載ネットワークを用いる場合、ＣＡＮ（Controller Area Network）のＩＤを通常用と書き換え用に分けて設定すると、車両側から書き換え用のＣＡＮ ＩＤを別途アサインする（割り当てる）必要があり、ネットワークの運用が煩雑化する。

本発明の目的は、制御データや制御プログラム等の制御関係情報の書き換えが可能な電子制御装置の回路を簡素化すると共に、誤作動の防止やセキュリティの向上を図ることにある。

本発明の電子制御装置は、制御関係情報を格納する記憶手段を備え、該記憶手段に格納された前記制御関係情報を外部から書き換え可能な電子制御装置であって、該電子制御装置に対し外部から入力されるアナログの指令信号をデジタルの電圧信号に変換するＡ／Ｄ変換部と、前記Ａ／Ｄ変換部にてデジタル変換された前記指令信号の電圧信号パターンと、前記制御関係情報を書き換える情報書き換えモードへのモード切替を許容する所定の電圧信号パターンとを比較し、前記指令信号が前記モード切替の条件を満たしているか否かを判定するモード切替条件判定部と、前記モード切替条件判定部の判定結果に基づいて、当該電子制御装置の動作を通常モードから情報書き換えモードに移行させる動作モード切替部と、を有することを特徴とする。

本発明にあっては、情報書き換えモードへのモード切替に際し、アナログの指令信号をデジタルの電圧信号に変換し、その電圧信号パターンと、予め設定された所定の電圧信号パターンとを照合する。そして、例えば、それらが一致した場合のみ、電子制御装置の動作を通常モードから情報書き換えモードに移行させる。これにより、電圧信号パターンが暗号と鍵のような関係で対応し、偶然の一致による誤った書き換えや第三者による不当な書き換えなどを防止でき、誤認識防止やセキュリティ向上が図られる。また、指令信号を入力するための端子を１つ設けるだけで情報書き換えモードへの移行が可能となるため、電子制御装置の回路の簡素化も図られる。

前記電子制御装置において、前記モード切替を許容する所定の前記電圧信号パターンを、特定の電圧値を有する複数の電圧信号の組み合わせから形成しても良い。この場合、複数の電圧信号の継続時間を適宜異ならせても良い。

また、前記所定の電圧信号パターンの隣接する電圧信号間に、該電圧信号同士が前記Ａ／Ｄ変換部にて同一電圧値にデジタル変換されない電位差を設けても良い。これにより、モード切替判定における誤判定防止が図られる。

本発明の電子制御装置によれば、外部から入力されるアナログの指令信号をデジタルの電圧信号に変換するＡ／Ｄ変換部と、指令信号の電圧信号パターンと、情報書き換えモードへのモード切替を許容する所定の電圧信号パターンとを比較し、モード切替条件の具備・不具備を判定するモード切替条件判定部と、モード切替条件判定部の判定結果に基づいて動作モードを情報書き換えモードに移行させる動作モード切替部と、を設け、情報書き換えモードへのモード切替に際し、指令信号の電圧信号パターンと、予め設定された所定の電圧信号パターンとを照合するようにしたので、誤認識の防止やセキュリティの向上を図ることが可能となる。また、１つの指令信号入力端子を設けるだけで情報書き換えモードへの移行が可能となるため、電子制御装置の回路の簡素化も図られる。

本発明の一実施の形態である電子制御装置の構成を示す説明図であり、（ａ）は通常使用時、（ｂ）はプログラム書き換え時の状態をそれぞれ示している。 図１の電子制御装置における制御部の構成を示す機能ブロック図である。 プログラム書き換え処理の手順を示すフローチャートである。 プログラム書き換え処理におけるモード切替条件の判定手順を示すフローチャートである。 モード切替信号の一例を示す説明図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。図１は、本発明の一実施の形態である電子制御装置の構成を示す説明図であり、（ａ）は通常使用時、（ｂ）はプログラム書き換え時の状態をそれぞれ示している。図１の電子制御装置１は、自動車の電装品の駆動制御に使用され、ＣＰＵを有する制御部２と、電源回路３、ＣＡＮ回路４を備えている。電源回路３は、コネクタＣ１を介して車載バッテリ５と接続されている。ＣＡＮ回路４は、コネクタＣ２,Ｃ３と接続されており、通常使用時（通常モード）は車両側ＥＣＵ６と接続される。この場合、コネクタＣ２はＨｉ側のＣＡＮ通信ライン７Ｈと、コネクタＣ３はＬｏ側のＣＡＮ通信ライン７Ｌとそれぞれ接続される。Ｃ４は接地端子（ＧＮＤ）であり、通常使用時はこれも車両側ＥＣＵ６と接続される。電子制御装置１にはさらに、コネクタＣ５が設けられている。コネクタＣ５には、「プログラム書き換えモード（情報書き換えモード）」時にプログラム書き込み装置８が接続される（「通常モード」では不使用）。

図２は、制御部２の構成を示す機能ブロック図である。図２に示すように、制御部２内には、ＣＰＵ１１と、制御関係情報が格納されるＲＯＭ１２（記憶手段）、車速等の検出データ等が一時的に格納されるＲＡＭ１３が設けられている。ＲＯＭ１２には、電気的に内部のデータやプログラムが書き換え可能な不揮発性のメモリが使用される。ＣＰＵ１１には、「プログラム書き換えモード」への移行を示すアナログの指令信号をプログラム書き込み装置８から受信し、それをデジタルの電圧信号に変換するＡ／Ｄ変換部１４が設けられている。Ａ／Ｄ変換部１４はコネクタＣ５に接続されており、コネクタＣ５はＡＤ変換ポートとなっている。Ａ／Ｄ変換部１４では、電圧が変化するアナログの指令信号を、デジタルの電圧信号（パルス信号）に変換する。

ＣＰＵ１１にはさらに、Ａ／Ｄ変換部１４にてデジタル信号に変換された指令信号が入力されるモード切替条件判定部１５が設けられている。モード切替条件判定部１５は、入力された信号が、「通常モード」から「プログラム書き換えモード」へのモード切替条件を満たしているかどうかを判定する。モード切替条件判定部１５の後段には、動作モード切替部１６が設けられている。動作モード切替部１６は、モード切替条件が満たされている場合は、電子制御装置１の動作を「通常モード」から「プログラム書き換えモード」に切り替える。また、動作モード切替部１６は、制御関係情報の更新が終了すると、電子制御装置１の動作を「プログラム書き換えモード」から元の「通常モード」に切り替える。

動作モード切替部１６の後段には、モード実施制御部１７が設けられている。モード実施制御部１７は、選択されたモードに基づいて電子制御装置１を動作させる。すなわち、モード実施制御部１７は、「プログラム書き換えモード」へのモード切替信号を受けたと判断されると、プログラム書き込み装置８から、ＣＡＮ回路４を介して更新プログラムや更新データ（以下、更新プログラム等と略記する）を受信（ダウンロード）する。そして、当該更新プログラム等にてＲＯＭ１２内の制御関係情報を書き換え、電子制御装置１を再起動させる。

図３は、電子制御装置１におけるプログラム書き換え処理の手順を示すフローチャートである。制御関係情報を書き換えるべく、コネクタＣ２〜Ｃ５にプログラム書き込み装置８を接続すると、制御部２に対し、まず「プログラム書き換えモード」へのモード切替信号が送出される。これを受けた制御部２は、信号をＡ／Ｄ変換部１４にてデジタル信号に変換し、モード切替条件判定部１５にて、入力された信号がモード切替条件を満たしているかどうかを判定する（ステップＳ１）。図４は、ステップＳ１における条件判定手順を示すフローチャートである。図４に示すように、モード切替条件の判定は、Ｓ１１〜Ｓ１３の３条件（条件(1)〜(3)）が成立して初めてモード切替条件具備と判定される。

ここで、本発明の電子制御装置１では、「プログラム書き換えモード」へのモード切替信号は、特定の電圧レベル（電圧値）と、特定の電圧継続時間をそれぞれ備えた複数個の電圧信号の組み合わせから構成されている。図５は、モード切替信号の一例であり、ここでは、３つの異なる電圧値Ｖ１〜Ｖ３（例えば、Ｖ１：１.０Ｖ，Ｖ２：４.５Ｖ，Ｖ３：３.０Ｖ）と、同じ電圧継続時間Ｔ１を備えた３つの電圧信号が一組でモード切替信号の電圧信号パターンを形成している。この場合、隣接する電圧信号の電圧値は、Ａ／Ｄ変換部１４におけるデジタル変換の際、両者を同一電圧値に誤認識（誤変換）しない程度の電位差が設けられている。ここでは、Ａ／Ｄ変換部１４の分解能に照らして十分に判別可能な値（例えば、±０.５Ｖ）以上の電位差が設定されている。

一方、制御部２のＲＯＭ１２には、モード切替信号として、図５と同様の電圧信号パターンが格納されている。モード切替条件判定部１５は、ＲＯＭ１２に格納されたこの電圧信号パターンの電圧値（判定基準値）と、入力された信号の電圧値を比較し、モード切替条件の具備・不具備を判定する。すなわち、まずステップＳ１１にて、電圧信号パターンのうちの最初の信号（第１信号Ａ）の電圧値と電圧継続時間を判定基準値と比較する。なお、ここでは、電圧継続時間は全てＴ１（４０ｍｓ）で統一されているため、電圧値Ｖ１のみが判定基準値として比較される。この際、電圧値（及び電圧継続時間：ここでは不問、以下同様）が一致しない場合は、条件不具備であるため、ステップＳ１４に進み「モード切替条件不具備」と判定する。これに対し、入力された信号の電圧値と格納されている判定基準値が一致した場合にはステップＳ１２に進み、次の信号（第２信号Ｂ）の比較に移る。

ステップＳ１２においても、ステップＳ１１と同様に、第２信号Ｂと判定基準値（Ｖ２）が一致しない場合はステップＳ１４に進み「モード切替条件不具備」と判定し、両者が一致した場合はステップＳ１３に進み、第３信号Ｃの比較を行う。ステップＳ１３において、第３信号Ｃと判定基準値（Ｖ３）が一致しない場合はステップＳ１４に進み「モード切替条件不具備」と判定し、両者が一致した場合はステップＳ１５に進み、今度は３条件が全て一致したことから、「モード切替条件具備」と判定し、ルーチンを抜ける。このように、電子制御装置１では、外部からの信号同士を比較するのではなく、外部信号と内部データとの照合によって、モードの切替を判定する。

ステップＳ１にて電圧信号パターンを照合し、モード切替条件の具備・不具備を判定した後、ステップＳ２に進み、条件成立の有無が確認される。このとき、「モード切替条件不具備」の場合は、ステップＳ３に進み、「通常モード」が維持される。これに対し、「モード切替条件具備」の場合は、ステップＳ４に進み、動作モード切替部１６により、電子制御装置１の動作モードが「通常モード」から「プログラム書き換えモード」に切り替えられる。そして、モード実施制御部１７の指令に基づき、プログラム書き込み装置８から、ＣＡＮ回路４を介して更新プログラム等が適宜分割送信され（ダウンロード）、この更新プログラム等により、ＲＯＭ１２内の制御関係情報が書き換えられる。

このように、本発明の電子制御装置１は、特定の電圧値と特定の電圧継続時間を備えた複数個の電圧信号から構成されたモード切替信号により、「プログラム書き換えモード」へのモード切替が実行される。その際、モード切替信号は、制御部２に予め格納された電圧パターンと比較され、それらが完全一致した場合のみモードが切り替えられる。このとき、偶然に信号が一致する可能性は極めて低く、モード切替条件の判定処理は比較的容易でありながら、ノイズによる誤検出を効果的に防止することが可能となる。また、単純なコネクタの接続／未接続の判定に比して、誤判定の発生を大幅に低減することができ、装置のロバスト性向上が図られる。

また、電子制御装置１では、書き換え専用の端子（コネクタＣ５）１つで「プログラム書き換えモード」に移行可能であり、簡素な回路にて、制御関係情報の書き換えが可能となる。さらに、「プログラム書き換えモード」は、「通常モード」に対してＡＤ変換処理が１回追加される程度で実行可能なため、処理負荷への影響も小さく抑えられる。加えて、電子制御装置１においては、車両側からプログラム書き換え専用のＣＡＮ ＩＤをアサインする必要もなくなる。

さらに、電子制御装置１では、モード切替信号は一種の暗号として機能しており、暗号化された指令信号により「プログラム書き換えモード」への切替が行われる。このため、制御部２に格納されている電圧信号パターンを知っている者しかプログラムの書き換えを行うことができず、セキュリティの向上も図られる。

本発明は前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。
例えば、前述の実施形態では、モード切替信号の電圧信号パターンを３つの電圧信号にて形成した例を示したが、電圧信号の個数は３個には限られず、少なくとも２個以上（複数個）あれば良く、４個以上であっても良い。この場合、電圧信号の個数は多いほど、誤認識の可能性は少なくなるが、多過ぎると照合処理の負担が大きくなるため、３〜５個程度が好適である。また、前述の実施形態では、各電圧信号の継続時間を全て同じに設定しているが、各信号毎に継続時間をそれぞれ異ならせても良い（例えば、第１信号：４０ｍｓ，第２信号：３０ｍｓ，第３信号：５０ｍｓ）。電圧継続時間を含めることにより、電圧信号パターンの照合判定をより高精度に行うことが可能となる。

本発明による電子制御装置は、車載電装品の駆動制御のみならず、エンジンの動作制御や、家電製品や産業機械等の駆動用モータの制御にも広く適用可能である。

１ 電子制御装置
２ 制御部
３ 電源回路
４ ＣＡＮ回路
５ 車載バッテリ
６ 車両側ＥＣＵ
７Ｈ,７Ｌ ＣＡＮ通信ライン
８ プログラム書き込み装置
１１ ＣＰＵ
１２ ＲＯＭ
１３ ＲＡＭ
１４ Ａ／Ｄ変換部
１５ モード切替条件判定部
１６ 動作モード切替部
１７ モード実施制御部
Ａ 第１信号
Ｂ 第２信号
Ｃ 第３信号
Ｃ１〜Ｃ５ コネクタ
Ｔ１ 電圧継続時間
Ｖ１〜Ｖ３ 電圧値

Claims (3)

1. 制御関係情報を格納する記憶手段を備え、該記憶手段に格納された前記制御関係情報を外部から書き換え可能な電子制御装置であって、
   該電子制御装置に対し外部から入力されるアナログの指令信号をデジタルの電圧信号に変換するＡ／Ｄ変換部と、
   前記Ａ／Ｄ変換部にてデジタル変換された前記指令信号の電圧信号パターンと、前記制御関係情報を書き換える情報書き換えモードへのモード切替を許容する所定の電圧信号パターンとを比較し、前記指令信号が前記モード切替の条件を満たしているか否かを判定するモード切替条件判定部と、
   前記モード切替条件判定部の判定結果に基づいて、当該電子制御装置の動作を通常モードから情報書き換えモードに移行させる動作モード切替部と、を有することを特徴とする電子制御装置。
2. 請求項１記載の電子制御装置において、
   前記モード切替を許容する所定の前記電圧信号パターンは、特定の電圧値を有する複数の電圧信号の組み合わせからなることを特徴とする電子制御装置。
3. 請求項２記載の電子制御装置において、
   前記所定の電圧信号パターンは、隣接する電圧信号間に、該電圧信号同士が前記Ａ／Ｄ変換部にて同一電圧値にデジタル変換されない電位差を有することを特徴とする電子制御装置。

Images