JP2017191529A - Program rewriting system and program rewriting method - Google Patents
Program rewriting system and program rewriting method Download PDFInfo
- Publication number
- JP2017191529A JP2017191529A JP2016081650A JP2016081650A JP2017191529A JP 2017191529 A JP2017191529 A JP 2017191529A JP 2016081650 A JP2016081650 A JP 2016081650A JP 2016081650 A JP2016081650 A JP 2016081650A JP 2017191529 A JP2017191529 A JP 2017191529A
- Authority
- JP
- Japan
- Prior art keywords
- program
- type node
- rewriting
- divided
- node
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
この発明は、ネットワークに接続された制御装置のプログラムを書き換えるプログラム書き換えシステムおよびプログラム書き換え方法に関するものである。 The present invention relates to a program rewriting system and a program rewriting method for rewriting a program of a control device connected to a network.
従来、自動車のネットワークに接続された制御装置のプログラム書き換えシステムおよび方法として、例えば特許文献１に記載されたものが知られている。
この特許文献１におけるプログラム書き換えシステムでは、通信用バスラインを介して、プログラムのデータを書き換え対象であるエンジン制御装置と、メモリ書換機が通信バス接続用コネクタによって信号的に接続されている。
エンジン制御装置は、センサからの信号を処理する入力処理回路と、このセンサ信号等からエンジン最適制御量を演算するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、このＣＰＵでの演算結果を制御信号として受けてエンジンに取付けられた燃料噴射装置や点火装置などのアクチュエータを駆動する出力回路と、外部機器であるメモリ書換機とのデータ通信用の通信回路とを備えている。
2. Description of the Related Art Conventionally, as a program rewriting system and method for a control device connected to an automobile network, for example, one described in Patent Document 1 is known.
In the program rewriting system disclosed in Patent Document 1, an engine control device whose program data is to be rewritten and a memory rewrite device are connected in signal via a communication bus connection connector via a communication bus line.
The engine control device includes an input processing circuit that processes a signal from the sensor, a CPU (Central Processing Unit) that calculates an engine optimum control amount from the sensor signal and the like, and an operation result in the CPU as a control signal. And an output circuit for driving an actuator such as a fuel injection device or an ignition device attached to the memory, and a communication circuit for data communication with a memory rewrite machine as an external device.
ＣＰＵには制御プログラムに従い動作するマイクロ・プロセッサ・ユニット（以下、ＭＰＵ）と、このＭＰＵを動作させるに必要なプログラムおよびデータを格納するＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、ＭＰＵの演算結果を格納するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、入力処理回路および通信回路からの信号を受けるとともに、出力回路に制御信号を出力するＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）とが備えられている。
また、通信バス接続用コネクタにより接続されたモード判定用制御信号ラインは、リセット直後におけるＣＰＵの実行モードをメモリ書換機側から設定するものである。
The CPU includes a microprocessor unit (hereinafter referred to as MPU) that operates in accordance with a control program, a ROM (Read Only Memory) that stores programs and data necessary for operating the MPU, and a RAM that stores calculation results of the MPU. (Random Access Memory) and I / O (Input / Output) for receiving signals from the input processing circuit and the communication circuit and outputting a control signal to the output circuit.
Further, the mode determination control signal line connected by the communication bus connection connector sets the execution mode of the CPU immediately after the reset from the memory rewrite device side.
この特許文献１のプログラム書き換え方法は、内蔵プログラム起動中に外部から送信される書き換え命令があった場合に、自動車の駆動がなされていないことを様々な条件から判断し、駆動されていないことが判明すると、内蔵プログラムまたは内蔵データの一部または全部を、外部から送信される新たなプログラムまたはデータに書き換えるものである。 In the program rewriting method of Patent Document 1, when there is a rewriting command transmitted from the outside while the built-in program is activated, it is determined that the automobile is not driven from various conditions, and is not driven. If it becomes clear, a part or all of the built-in program or built-in data is rewritten with a new program or data transmitted from the outside.
しかしながら、この特許文献１に記載されたプログラムの書き換えシステムでは、プログラムを書き換えて、メモリ書換機をコネクタから切り離した後に、書き換えたプログラムのバグや、書き換えたプログラムにセキュリティ的な脆弱性が判明したときは、再度メモリ書換機を接続し直し、同じ書き換え手順を実施してプログラムを書き換えるまで、問題の有ったプログラムを使い続けることとなり、自動車の安全性が確保できないという問題があった。 However, in the program rewriting system described in Patent Document 1, after rewriting the program and disconnecting the memory rewrite device from the connector, a bug in the rewritten program and a security vulnerability in the rewritten program were found. In some cases, until the memory rewriting machine is connected again and the same rewriting procedure is performed to rewrite the program, the problematic program continues to be used, and the safety of the vehicle cannot be ensured.
この発明は、上記のような課題を解決するためになされたものであり、制御装置のプログラムを書き換え、この書き換えたプログラムに問題があった場合に、簡単に書き換え前のプロラムに戻すことができるプログラム書き換えシステムおよびプログラム書き換え方法を得ることを目的とする。 The present invention has been made in order to solve the above-described problems. When the program of the control device is rewritten and there is a problem with the rewritten program, the program can be easily returned to the program before rewriting. An object is to obtain a program rewriting system and a program rewriting method.
この発明に係わるプログラム書き換えシステムにおいては、第１種ノードおよび複数の第２種ノードが通信可能にネットワークに接続され、ネットワークに随時接続される第３種ノードから送信される書き換えプログラムによって第１種ノードのプログラムを書き換えるプログラム書き換えシステムであって、第１種ノードは、プログラムを保存する第１の記録領域と、この第１の記録領域に保存されているプログラムを複数に分割し、各分割プログラムを各別に第２種ノードに送信する分割プログラム送信部と、第３種ノードから受信した書き換えプログラムによって、第１の記録領域のプログラムを書き換えるプログラム書き換え部とを有し、第２種ノードは、第１種ノードから受信した分割プログラムを保存する第２の記録領域と、この第２の記録領域に保存された分割プログラムを第１種ノードに送信する送信部とを有し、第３種ノードは、書き換えプログラムを保存する第３の記録領域と、第１種ノードへの書き換えを指示する書き換え指示部と、書き換えプログラムを第１種ノードに送信する書き換えプログラム送信部とを有し、第１種ノードのプログラム書き換え部は、第３種ノードから書き換え指示を受信した場合に、分割プログラムを第２種ノードに送信したのち、第３種ノードから受信した書き換えプログラムによってプログラムを書き換えるものである。 In the program rewriting system according to the present invention, the first type node and the plurality of second type nodes are communicably connected to the network, and the first type is transmitted by the rewriting program transmitted from the third type node connected to the network as needed. A program rewriting system for rewriting a node program, wherein a first type node divides a first recording area for storing a program and a program stored in the first recording area into a plurality of divided programs. Respectively, and a program rewriting unit for rewriting the program in the first recording area by the rewriting program received from the third type node. A second recording area for storing the divided program received from the first type node; A transmission unit for transmitting the divided program stored in the second recording area to the first type node, and the third type node includes a third recording area for storing the rewrite program, and a first type node. A rewriting instruction unit for instructing rewriting and a rewriting program transmission unit for transmitting a rewriting program to the first type node, and the program rewriting unit of the first type node receives the rewriting instruction from the third type node After the split program is transmitted to the second type node, the program is rewritten by the rewrite program received from the third type node.
この発明によれば、第１種ノードおよび複数の第２種ノードが通信可能にネットワークに接続され、ネットワークに随時接続される第３種ノードから送信される書き換えプログラムによって第１種ノードのプログラムを書き換えるプログラム書き換えシステムであって、第１種ノードは、プログラムを保存する第１の記録領域と、この第１の記録領域に保存されているプログラムを複数に分割し、各分割プログラムを各別に第２種ノードに送信する分割プログラム送信部と、第３種ノードから受信した書き換えプログラムによって、第１の記録領域のプログラムを書き換えるプログラム書き換え部とを有し、第２種ノードは、第１種ノードから受信した分割プログラムを保存する第２の記録領域と、この第２の記録領域に保存された分割プログラムを第１種ノードに送信する送信部とを有し、第３種ノードは、書き換えプログラムを保存する第３の記録領域と、第１種ノードへの書き換えを指示する書き換え指示部と、書き換えプログラムを第１種ノードに送信する書き換えプログラム送信部とを有し、第１種ノードのプログラム書き換え部は、第３種ノードから書き換え指示を受信した場合に、分割プログラムを第２種ノードに送信したのち、第３種ノードから受信した書き換えプログラムによってプログラムを書き換えるので、書き換えたのちのプログラムに問題があった場合に、第２種ノードから簡単に書き換え前のプロラムに戻すことができる。 According to the present invention, the first type node and the plurality of second type nodes are communicably connected to the network, and the program of the first type node is executed by the rewrite program transmitted from the third type node connected to the network as needed. In the program rewriting system for rewriting, the first type node divides a first recording area for storing a program and a program stored in the first recording area into a plurality of parts, and each divided program is divided into a plurality of parts. A divided program transmission unit that transmits to the two-type node, and a program rewriting unit that rewrites the program in the first recording area by the rewriting program received from the third-type node, and the second-type node is the first-type node A second recording area for storing the division program received from the second recording area, and a division program stored in the second recording area. A transmission unit for transmitting the ram to the first type node, the third type node having a third recording area for storing the rewriting program, a rewriting instruction unit for instructing rewriting to the first type node, and a rewriting A rewriting program transmitting unit that transmits the program to the first type node, and the program rewriting unit of the first type node transmits the divided program to the second type node when receiving a rewriting instruction from the third type node. After that, since the program is rewritten by the rewriting program received from the third type node, if there is a problem with the program after the rewriting, it is possible to easily return to the program before rewriting from the second type node.
実施の形態１．
以下に、実施の形態１によるプログラム書き換えシステムについて、図に基づいて説明する。
図１は、この発明の実施の形態１によるプログラム書き換えシステムが適用される車両制御システムの構成を示すブロック図である。
図１において、実施の形態１のプログラム書き換えシステムは、第１種ノードであるモータ制御装置１０１と、第２種ノードであるＥＰＳ（Ｅｌｅｃｔｒｉｃ Ｐｏｗｅｒ Ｓｔｅｅｒｉｎｇ＝電動パワーステアリング）制御装置１０２ａおよびバッテリ制御装置１０２ｂと、第３種ノードであるテスタ１０３とを有する。
これらのノードは、車両のＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）ネットワーク１０６を介して、互いに通信可能に接続されている。
なお、第２種ノードとして、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂとを示したが、これに限らずに、さらに別のノードを含み得ることは言うまでもない。
Embodiment 1 FIG.
Below, the program rewriting system by Embodiment 1 is demonstrated based on figures.
FIG. 1 is a block diagram showing a configuration of a vehicle control system to which a program rewriting system according to Embodiment 1 of the present invention is applied.
In FIG. 1, the program rewriting system of Embodiment 1 includes a
These nodes are communicably connected to each other via a vehicle CAN (Controller Area Network)
In addition, although the
第１種ノードとしてのモータ制御装置１０１は、駆動用モータ１１０を制御し、同様にＥＰＳ制御装置１０２ａは、ＥＰＳ１２０ａを、バッテリ制御装置１０２ｂは、バッテリ１２０ｂを、それぞれ制御するように接続されている。
なお、図１に示すテスタ１０３以外の制御装置は、常時、ＣＡＮネットワーク１０６に接続されているが、テスタ１０３は、ＣＡＮネットワーク１０６に常時接続されているものではなく、プログラムの書き換えや各ノードの故障診断時等、必要に応じて、随時、接続される。
各制御装置およびテスタの構成については後述する。
なお、各制御装置およびテスタは、図１に示す以外の構成物も備えているが、実施の形態１に直接関係しないものについては図示を省略している。
The
1 is always connected to the CAN
The configuration of each control device and tester will be described later.
Each control device and tester includes components other than those shown in FIG. 1, but those not directly related to the first embodiment are not shown.
図２は、この発明の実施の形態１によるプログラム書き換えシステムにおける第１種ノード〜第３種ノードの記録装置の領域構成を示すメモリマップ図である。
図２（ａ）は、モータ制御装置１０１の記録装置１１３の領域構成を示し、図２（ｂ）はＥＰＳ制御装置１０２ａの記録装置１２３ａの領域構成を示し、図２（ｃ）はバッテリ制御装置１０２ｂの記録装置１２３ｂの領域構成を示し、図２（ｄ）はテスタ１０３の記録装置１３３の領域構成を示している。
FIG. 2 is a memory map diagram showing the area configuration of the recording devices of type 1 to type 3 nodes in the program rewriting system according to Embodiment 1 of the present invention.
2A shows the area configuration of the
図２（ａ）において、記録装置１１３は、モータ制御プログラムを全体的もしくは部分的に書き換えるためのプログラム書き換え用プログラムを保存するプログラム書き換え用プログラム記録領域２２１と、モータ制御プログラムを保存する第１の記録領域であるモータ制御プログラム記録領域２２２と、駆動用モータ１１０の制御に関わるデータ等を保存するモータ制御プログラム用記録領域（データ用）２２３を備えている。
In FIG. 2A, the
図２（ｂ）において、記録装置１２３ａは、ＥＰＳ１２０ａの制御内容を決定するＥＰＳ制御プログラムを保存するＥＰＳ制御プログラム記録領域２３１ａと、ＥＰＳ１２０ａの制御に関わるデータ等を保存するＥＰＳ制御プログラム用記録領域（データ用）２３２ａと、後述する分割プログラムを一時的に保存する第２の記録領域である分割モータ制御プログラム記録領域２３３ａとを備えている。
なお、分割モータ制御プログラム記録領域２３３ａには、記録装置１２３ａの空き領域等を割り当てることができる。
In FIG. 2B, the
Note that an empty area of the
図２（ｃ）において、記録装置１２３ｂは、バッテリ１２０ｂの制御内容を決定するバッテリ制御プログラムを保存するバッテリ制御プログラム記録領域２３１ｂと、バッテリ１２０ｂの制御に関わるデータ等が記録されるバッテリ制御プログラム用記録領域（データ用）２３２ｂと、後述する分割プログラムを一時的に保存する第２の記録領域である分割モータ制御プログラム記録領域２３３ｂを備えている。
なお、分割モータ制御プログラム記録領域２３３ｂには、記録装置１２３ｂの空き領域等を割り当てることができる。
In FIG. 2C, the
Note that an empty area of the
図２（ｄ）において、記録装置１３３は、書き換えプログラムを保存する第３の記録領域であるモータ制御プログラム記録領域２４１を備えている。
In FIG. 2D, the
次に、図１の各制御装置およびテスタの構成と機能について説明する。
まず、モータ制御装置１０１の構成と機能について説明する。
マイコン１１１は、駆動用モータ１１０の制御に関わる制御量や各種処理値を演算する。ＣＡＮネットワーク用データ送受信部であるデータ送受信部１１２は、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂ、テスタ１０３を含む）とデータを送受信する。
記録装置１１３は、書き換え対象であるモータ制御プログラムを保存する第１の記録領域であるモータ制御プログラム記録領域２２２を有している。このモータ制御プログラムは、モータ制御装置１０１の動作（制御内容）を決定し、演算を行うものである。
Next, the configuration and function of each control device and tester in FIG. 1 will be described.
First, the configuration and function of the
The
The
モータ制御装置１０１のプログラム書き換え部１１４は、記録装置１１３のモータ制御プログラム記録領域２２２に保存されたモータ制御プログラムを全体的もしくは部分的に書き換える。その際には、記録装置１１３のプログラム書き換え用プログラム記録領域２２１に記録されたプログラム書き換え用プログラムを用いる。
The
状態検出部１１５は、第１種ノード自身がモータ制御プログラムを書き換え可能な状態であるか否か、或いはモータ制御プログラムが全て書き換えられているか否か、自身に異常がないか否か等の状態を検出し、他の制御装置に通知する。
状態検出部１１５により自身に異常があり、かつ、書き換え可能であることが検出された場合は、ＣＡＮネットワーク１０６を介して、ＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂに通知し、この通知を受けたＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂは、自身が保存する分割モータ制御プログラム（以下、分割プログラムと略す。）を、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
そして、モータ制御装置１０１は、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂから分割プログラムを受信する度に、モータ制御プログラム記録領域２２２に保存されたモータ制御プログラムの該当部分をプログラム書き換え部１１４により書き換える。
ここで、自身の異常とは、意図しない制御や処理を実施したり、セキュリティ上の脆弱性が検出されたりすることが挙げられるが、これに限るものではない。
The
When the
Then, every time the
Here, the abnormality of itself may include performing unintended control or processing, or detecting a security vulnerability, but is not limited thereto.
モータ制御装置１０１の分割プログラム送信部１１６は、テスタ１０３から書き換え指示を通知された後、モータ制御プログラム記録領域２２２に保存されている（現状時点の）モータ制御プログラムを分割して、分割プログラムを作成し、ＥＰＳ制御装置１０２ａと、バッテリ制御装置１０２ｂへそれぞれ送信する。
After receiving the rewrite instruction from the
次に、第２種ノードとしてのＥＰＳ制御装置１０２ａの構成と機能について説明する。
マイコン１２１ａは、ＥＰＳ１２０ａの制御量や各種処理値を演算する。データ送受信部１２２ａは、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、バッテリ制御装置１０２ｂ、テスタ１０３を含む）とデータの送受信を行う。記録装置１２３ａは、モータ制御プログラムの一部分である分割モータ制御プログラムを保存する第２の記録領域である分割モータ制御プログラム記録領域２３３ａを有している。
Next, the configuration and function of the
The
分割プログラム送信部１２４ａ（送信部）は、モータ制御装置１０１への分割プログラムの送信可否を判断する。分割プログラム送信部１２４ａにより、モータ制御装置１０１への分割プログラムの送信が可能であると判断された場合には、自ノードが第２の記録領域に保存する分割プログラムを、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
The division
次に、第２種ノードとしてのバッテリ制御装置１０２ｂの構成と機能について簡単に説明する。
マイコン１２１ｂは、バッテリ１２０ｂの制御量や各種処理値を演算する。データ送受信部１２２ｂは、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、テスタ１０３を含む）とデータを送受信する。
記録装置１２３ｂは、モータ制御プログラムを分割した一部分である分割プログラムを保存する第２の記録領域である分割モータ制御プログラム記録領域２３３ｂを有している。
Next, the configuration and function of the
The
The
分割プログラム送信部１２４ｂ（送信部）は、モータ制御装置１０１への分割プログラムの送信可否を判断する。分割プログラム送信部１２４ｂにより、モータ制御装置１０１への分割プログラムの送信が可能であると判断された場合には、自ノードが第２の記録領域に保存する分割プログラムを、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
The division
次に、第３種ノードとしてのテスタ１０３の構成と機能について簡単に説明する。
このテスタ１０３は、モータ制御プログラムの書き換え対象とするプログラム（以下、書き換えプログラムと略す。）を送信するものである。
マイコン１３１は、テスタ１０３の動作に関わる各種処理を実施する。データ送受信部１３２は、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂを含む）とデータを送受信する。
記録装置１３３は、図２（ｄ）に示すように、書き換えプログラムを保存する第３の記録領域であるモータ制御プログラム記録領域２４１を備えている。
Next, the configuration and function of the
The
The
As shown in FIG. 2D, the
書き換え指示部１３４は、モータ制御装置１０１に対して、プログラムの書き換えを指示する。書き換えプログラム送信部１３５は、モータ制御装置１０１から書き換え可能の通知を受けたのちに、モータ制御プログラム記録領域２４１に記録している書き換えプログラムをモータ制御装置１０１に送信する。
テスタ１０３は、常時、ＣＡＮネットワーク１０６に接続されるものではなく、制御装置へのプログラムの書き換えや、診断を実施するときに接続するものである。
The
The
次に、動作について説明する。
ここでは、実施の形態１によるプログラム書き換えシステムの各ノードにおける処理の流れについて、図３〜図６のフローチャートを用いて説明する。
第１種ノードであるモータ制御装置１０１では、駆動用モータ１１０の制御に関わる通常の処理と、モータ制御プログラムの書き換えに関する処理が実施される。プログラム書き換えに関する処理の流れを図３に示し、テスタ１０３から書き換え実施の通知（書き換え指示）があった場合に実施される。
第１種ノードであるモータ制御装置１０１の書き換え前のプロラムに書戻す処理の流れは、図４に示している。
Next, the operation will be described.
Here, the flow of processing in each node of the program rewriting system according to the first embodiment will be described with reference to the flowcharts of FIGS.
In the
The flow of the process of writing back to the program before rewriting of the
まず、図３により、第１種ノードのプログラム書き換え時の処理について説明する。
ステップＳ３０１において、状態検出部１１５は、テスタ１０３から書き換え指示が通知されているか否かを判断する。通知されている場合（ＹＥＳ）は、ステップＳ３０２へ進み、通知されていない場合（ＮＯ）は、通知されるまで待機する。
First, the processing at the time of program rewriting of the first type node will be described with reference to FIG.
In step S <b> 301, the
続いて、ステップＳ３０２において、状態検出部１１５は、通常の処理が実施されているか否かを判断し、通常の処理が実施されていなければ、書き換え可能（ＹＥＳ）であるため、ステップＳ３０３へ進み、通常の処理が実施されている場合には、終了まで待機する。
Subsequently, in step S302, the
ステップＳ３０３（第２のステップ）において、分割プログラム送信部１１６は、記録装置１１３に保存されたモータ制御プログラム記録領域２２２にあるモータ制御プログラムを分割して、分割プログラムを作成する。そして、データ送受信部１１２により、分割プログラムを第２種ノードであるバッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａへ送信する。
ここで、実施の形態１では、第２種ノードを２つ備えているため、書き換えプログラムを２つに分割して、分割プログラムＡと分割プログラムＢを作成し、分割プログラムＡをＥＰＳ制御装置１０２ａに、分割プログラムＢをバッテリ制御装置１０２ｂに送信するものとする。
すなわち、書き換えプログラムは、分割プログラムＡと分割プログラムの２つに分割される。
In step S303 (second step), the division
Here, since the first type node is provided in the first embodiment, the rewriting program is divided into two to create the divided program A and the divided program B, and the divided program A is transferred to the
That is, the rewriting program is divided into two programs, a divided program A and a divided program.
ステップＳ３０４において、モータ制御プログラムすべてを送信したかどうかを判断する。すべてを送信している場合（ＹＥＳ）は、ステップＳ３０５へ進み、送信していない場合は（ＮＯ）は、ステップＳ３０３に進み、再度、送信処理を実施する。 In step S304, it is determined whether all the motor control programs have been transmitted. If everything has been transmitted (YES), the process proceeds to step S305. If not (NO), the process proceeds to step S303, and the transmission process is performed again.
ステップＳ３０５において、状態検出部１１５は、モータ制御プログラムのすべてを送信したため、テスタ１０３に対して、書き換え可能を通知する。
In step S305, since the
ステップＳ３０６において、テスタ１０３からの書き換えプログラムの受信を待つ。書き換えプログラムを受信した場合（ＹＥＳ）は、ステップＳ３０７に進む。
In step S306, reception of a rewrite program from the
ステップＳ３０７（第４のステップ）において、プログラム書き換え部１１４は、プログラム書き換え用プログラムを用いて、受信した書き換えプログラムに該当するモータ制御プログラムの部分を書き換え、ステップＳ３０８へ進む。
In step S307 (fourth step), the
ステップＳ３０８において、状態検出部１１５は、すべての書き換えプログラムを受信し、該当するモータ制御プログラムの部分を書き換えたか否かを判断する。すべての書き換えプログラムを受信していない場合は（ＮＯ）、ステップＳ３０６へ進み、受信している場合は（ＹＥＳ）処理を終了する。
In step S308, the
次に、図４を用いて、書き換え後の動作として、書き換えプログラムに書き換えたのち、書き換え前のプログラムに書戻す処理について説明する。
このとき、テスタ１０３は、ＣＡＮネットワーク１０６から取り外されているものとする。
ステップＳ３１１（第５のステップ）において、状態検出部１１５は、自身の処理に異常がないか否かを判断する。異常を検出した場合は（ＹＥＳ）、ステップＳ３１２へ進む。
Next, with reference to FIG. 4, description will be given of the processing after rewriting to the rewriting program and then writing back to the program before rewriting as the operation after rewriting.
At this time, the
In step S311 (fifth step), the
ステップＳ３１２において、状態検出部１１５は、通常の処理が実施されているか否かを判断し、通常の処理が実施されていなければ、書き換え可能（ＹＥＳ）であるため、ステップＳ３１３へ進み、通常の処理が実施されている場合には、終了するまで待機する。
In step S312, the
ステップＳ３１３において、状態検出部１１５は、第２種ノードであるバッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａに対して、記録している分割プログラムの送信指示を通知する。
In step S313, the
ステップＳ３１４において、バッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａからの分割プログラムの受信を待つ。分割プログラムを受信した場合（ＹＥＳ）は、ステップＳ３１５に進む。
In step S314, it waits for reception of the division program from the
ステップＳ３１５（第７のステップ）において、プログラム書き換え部１１４は、プログラム書き換え用プログラムを用いて、受信した分割プログラムに該当するモータ制御プログラムの部分を書き換え、ステップＳ３１６へ進む。
In step S315 (seventh step), the
ステップＳ３１６において、すべての分割プログラムを受信し、該当するモータ制御プログラムの部分を書き換えたか否かを判断する。すべての分割プログラムを受信していない場合は（ＮＯ）、ステップＳ３１４へ進み、受信している場合は（ＹＥＳ）処理を終了する。 In step S316, all the divided programs are received, and it is determined whether or not the corresponding motor control program portion has been rewritten. If all the divided programs have not been received (NO), the process proceeds to step S314, and if they have been received (YES), the process ends.
次に、第２種ノードであるＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂにおけるプログラム書き換えに関する処理の流れについて、図５を用いて説明する。
ＥＰＳ制御装置１０２ａ（またはバッテリ制御装置１０２ｂ）では、ＥＰＳ１２０ａ（またはバッテリ１２０ｂ）の制御に関わる通常の処理と、モータ制御装置１０１のプログラム書き換えに関する処理が実施される。
なお、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂにおけるプログラム書き換えに関する処理は、同じであるので、ここではＥＰＳ制御装置１０２ａを例に挙げて説明する。
Next, the flow of processing related to program rewriting in the
In the
Note that the processes related to program rewriting in the
ＥＰＳ制御装置１０２ａは、テスタ１０３から書き換え実施指示が通知された後、ステップＳ４０１において、モータ制御装置１０１からの分割プログラムの受信を待つ。データ送受信部１２２ａにより分割プログラムを受信した場合（ＹＥＳ）は、ステップＳ４０２へ進み、受信した分割プログラムを記録装置１２３ａの分割モータ制御プログラム記録領域２３３ａに保存し、ステップＳ４０３へ進む。
The
ステップＳ４０３において、ＥＰＳ制御装置１０２ａは、モータ制御装置１０１からの分割プログラムの送信指示の通知を待つ。送信指示が通知された場合（ＹＥＳ）は、ステップＳ４０５へ進み、送信指示が通知されていない場合（ＮＯ）は、ステップＳ４０４へ進む。
In step S403, the
ステップＳ４０４において、分割プログラムの受信を確認する。データ送受信部１２２ａにより分割プログラムを受信した場合（ＹＥＳ）は、ステップＳ４０２へ進む。受信していない場合（ＮＯ）は、ステップＳ４０３へ進み、分割プログラムの送信指示を待つ。
In step S404, reception of the divided program is confirmed. When the division program is received by the data transmitting / receiving
ステップＳ４０５（第６のステップ）において、分割モータ制御プログラム記録領域２３３ａに保存した分割プログラムをモータ制御装置１０１へ送信し、ステップＳ４０６へ進む。
In step S405 (sixth step), the divided program stored in the divided motor control
ステップＳ４０６において、保存した分割プログラムをすべて送信したかどうかを確認する。すべて送信している場合（ＹＥＳ）は処理を完了し、送信していない場合（ＮＯ）は、ステップＳ４０５へ進み、送信処理を実施する。 In step S406, it is confirmed whether or not all the saved divided programs have been transmitted. If all have been transmitted (YES), the process is completed. If not (NO), the process proceeds to step S405, and the transmission process is performed.
次に、第３種ノードであるテスタ１０３におけるプログラム書き換えに関する処理の流れについて、図６を用いて説明する。
テスタ１０３では、関連ノードへのプログラム書き換え実施の通知と、書き換えプログラムの送信処理を実施する。
Next, the flow of processing related to program rewriting in the
The
まず、ステップＳ４１１（第１のステップ）において、書き換え指示部１３４は、モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂに対して、モータ制御装置１０１の書き換えを実施することを通知する。
First, in step S411 (first step), the
次に、ステップＳ４１２において、書き換え指示部１３４は、モータ制御装置１０１から書き換え可能が通知されたかどうかを判断する。通知されている場合（ＹＥＳ）は、書き換え可能と判断し、ステップＳ４１３へ進む。通知されていない場合（ＮＯ）は、通知されるまで待機する。
Next, in step S <b> 412, the rewriting
次いで、ステップＳ４１３（第３のステップ）において、記録装置１３３のモータ制御プログラム記録領域２４１にあらかじめ記録されている書き換えプログラムをモータ制御装置１０１へ送信し、処理を終了する。
Next, in step S413 (third step), the rewriting program recorded in advance in the motor control
なお、本実施の形態１において、モータ制御装置１０１に分割プログラムを暗号化する暗号化部と復号化する復号化部を備え、暗号化部により暗号化した分割プログラムをＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂに送信し、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂでは、暗号化された分割プログラムを保存し、モータ制御装置１０１で、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂから暗号化された分割プログラムを受信した際に、復号化部により分割プログラムを復号化するようにしても良い。
In the first embodiment, the
上記のような暗号化部と復号化部を備えることにより、ＣＡＮネットワーク１０６で第三者に解読される危険性、またはＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂに保存時に、第三者に解読される危険性を低減させることができ、プログラム書き換えを安全に実施することが可能となる。
By providing the encryption unit and the decryption unit as described above, there is a risk of being decrypted by the third party on the
以上説明したように、実施の形態１によるプログラム書き換えシステムでは、テスタ１０３からモータ制御装置１０１へプログラム書き換え実施を通知したときに、モータ制御装置１０１では、まず、これまでの制御に用いていたモータ制御プログラムから分割プログラムを作成し、ＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂそれぞれに送信する。
送信完了後に、モータ制御装置１０１は、テスタ１０３から受信する書き換えプログラムでモータ制御プログラムを書き換える。
その後、テスタ１０３がＣＡＮネットワーク１０６から分離され、モータ制御装置１０１は、書き換えたモータ制御プログラムで制御する。
そして、モータ制御装置１０１は、制御中に動作異常やセキュリティ上の脆弱性が検出された場合には、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂに通知し、通知を受けたＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂは、自身が保存する分割プログラムをそれぞれモータ制御装置１０１に送信し、モータ制御装置１０１は、分割プログラムを受信する度に、受信した分割プログラムで該当するモータ制御プログラムを書き換える。
As described above, in the program rewriting system according to the first embodiment, when the
After the transmission is completed, the
Thereafter, the
When an abnormal operation or a security vulnerability is detected during the control, the
実施の形態１によれば、モータ制御装置１０１のモータ制御プログラムを書き換えて、テスタ１０３をＣＡＮネットワーク１０６から分離したのちに、モータ制御装置１０１の動作に異常が有ったり、セキュリティ上の脆弱性が検出されたりした場合には、従来のようにテスタ１０３をＣＡＮネットワーク１０６につなぎ直して再度、書き換えプログラムを送信することなく、効率の良く書き換え前の制御プログラムに戻すことができ、問題のある制御プログラムを使い続けず、自動車の安全性を確保することができる。
According to the first embodiment, after rewriting the motor control program of the
また、モータ制御プログラムから分割プログラムを作成し、複数の第２種ノード（実施の形態１ではＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂの２つ）に保存するため、１つの第２種ノードに全ての書き換えプログラムを保存できるほどの大きな記録容量を設ける必要がなく、１つのノードがコスト高になることを防ぐことができ、全体としてのコストが抑えられる。
In addition, since a divided program is created from the motor control program and stored in a plurality of second type nodes (in the first embodiment, two of the
実施の形態２．
図７は、この発明の実施の形態２によるプログラム書き換えシステムが適用される車両制御システムの構成を示すブロック図である。
図７において、実施の形態２によるプログラム書き換えシステムは、第１種ノードであるモータ制御装置１０１と、第２種ノードであるＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂと、第３種ノードであるテスタ１０３とを有する。
これらのノードは、車両のＣＡＮネットワーク１０６を介して、互いに通信可能に接続されている。
なお、第２種ノードとしては、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂとが示されているが、これに限らずに、さらに別のノードを含み得ることは言うまでもない。
Embodiment 2. FIG.
FIG. 7 is a block diagram showing a configuration of a vehicle control system to which a program rewriting system according to Embodiment 2 of the present invention is applied.
7, the program rewriting system according to the second embodiment includes a
These nodes are communicably connected to each other via the vehicle's
In addition, although the
第１種ノードとしてのモータ制御装置１０１は駆動用モータ１１０を制御し、同様にＥＰＳ制御装置１０２ａはＥＰＳ１２０ａを、バッテリ制御装置１０２ｂはバッテリ１２０ｂを、それぞれ制御するように接続されている。
なお、図７に示すテスタ１０３以外の制御装置は、常時、ＣＡＮネットワーク１０６に接続されているが、テスタ１０３は、ＣＡＮネットワーク１０６に常時、接続されるのではなく、プログラムの書き換え、各ノードの故障診断時など、必要に応じて随時、接続される。
各制御装置およびテスタの構成については後述する。
なお、図７において、各制御装置およびテスタは、図７に示す以外の構成物も備えているが、本実施の形態２に直接関係しないものについては図示を省略している。
The
Although the control devices other than the
The configuration of each control device and tester will be described later.
In FIG. 7, each control device and tester includes components other than those shown in FIG. 7, but those not directly related to the second embodiment are not shown.
図８は、この発明の実施の形態２によるプログラム書き換えシステムにおける第１〜第３種ノードの記録装置の領域構成を示すメモリマップ図である。
図８（ａ）は、モータ制御装置１０１の記録装置１１３の領域構成を示し、図８（ｂ）は、ＥＰＳ制御装置１０２ａの記録装置１２３ａの領域構成を示し、図８（ｃ）は、バッテリ制御装置１０２ｂの記録装置１２３ｂの領域構成を示し、図８（ｄ）は、テスタ１０３の記録装置１３３の領域構成を示している。
FIG. 8 is a memory map diagram showing the area configuration of the recording devices of the first to third type nodes in the program rewriting system according to the second embodiment of the present invention.
8A shows the area configuration of the
図８（ａ）において、記録装置１１３は、モータ制御プログラムを全体的もしくは部分的に書き換えるためのプログラム書き換え用プログラムを保存するプログラム書き換え用プログラム記録領域２２１と、モータ制御プログラムを保存する第１の記録領域であるモータ制御プログラム記録領域２２２と、駆動用モータ１１０の制御に関わるデータ等を保存するモータ制御プログラム用記録領域（データ用）２２３と、モータ制御プログラムを部分的に検証するためのプログラム検証用プログラムを保存するプログラム検証用プログラム記録領域６３４とを備えている。
In FIG. 8A, the
図８（ｂ）において、記録装置１２３ａは、ＥＰＳ１２０ａの制御内容を決定するＥＰＳ制御プログラムを保存するＥＰＳ制御プログラム記録領域２３１ａと、ＥＰＳ１２０ａの制御に関わるデータ等を保存するＥＰＳ制御プログラム用記録領域（データ用）２３２ａと、後述する分割プログラムを一時的に保存する第２の記録領域およびチェックコードを一時的に保存する第４の記録領域である分割モータ制御プログラム記録領域５３３ａとを備えている。
なお、分割モータ制御プログラム記録領域５３３ａには、記録装置１２３ａの空き領域等を割り当てることができる。
In FIG. 8B, the
Note that an empty area of the
図８（ｃ）において、記録装置１２３ｂは、バッテリ１２０ｂの制御内容を決定するバッテリ制御プログラムを保存するバッテリ制御プログラム記録領域２３１ｂと、バッテリ１２０ｂの制御に関わるデータ等が記録されるバッテリ制御プログラム用記録領域（データ用）２３２ｂと、後述する分割プログラムを一時的に保存する第２の記録領域およびチェックコードを一時的に保存する第４の記録領域である分割モータ制御プログラム記録領域５３３ｂを備えている。
なお、分割モータ制御プログラム記録領域５３３ｂには、記録装置１２３ｂの空き領域等を割り当てることができる。
In FIG. 8C, the
Note that an empty area of the
図８（ｄ）において、記録装置１３３は、書き換えプログラムを保存する第３の記録領域であるモータ制御プログラム記録領域２４１を備えている。
In FIG. 8D, the
次に、図７の各制御装置およびテスタの構成と機能について説明する。
まず、モータ制御装置１０１の構成と機能について簡単に説明する。
マイコン１１１は、駆動用モータ１１０の制御に関わる制御量や各種処理値を演算する。ＣＡＮネットワーク用データ送受信部であるデータ送受信部１１２は、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂ、テスタ１０３を含む）とデータを送受信する。
記録装置１１３は、書き換え対象であるモータ制御プログラムを保存する第１の記録領域を有している。このモータ制御プログラムは、モータ制御装置１０１の動作（制御内容）を決定し、演算を行うものである。
Next, the configuration and function of each control device and tester in FIG. 7 will be described.
First, the configuration and function of the
The
The
モータ制御装置１０１のプログラム書き換え部１１４は、記録装置１１３のモータ制御プログラム記録領域２２２に保存されたモータ制御プログラムを全体的もしくは部分的に書き換える。その際には、記録装置１１３のプログラム書き換え用プログラム記録領域２２１に記録されたプログラム書き換え用プログラムを用いる。
The
分割プログラムおよびチェックコード送信部５１２（チェックコード生成部を含む）は、記録装置１１３に保存されたモータ制御プログラム記録領域２２２にあるモータ制御プログラムを分割して、分割プログラムおよび分割したプログラムが変更されていないことを証明するチェックコードを作成する。
第２の状態検出部５１３は、第１種ノード自身が通常の処理が実施されているか否かにより、自身がモータ制御プログラムを書き換え可能な状態であるか否か、或いはモータ制御プログラムが全て書き換えられているか否かの状態を検出し、他の制御装置に通知する。
第２の状態検出部５１３により、書き換え可能であることが検出された場合は、ＣＡＮネットワーク１０６を介してＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂに通知する。
そして、この通知を受けたＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂは、自身が保存する分割プログラムおよび保存する分割プログラムが変更されていないことを証明するチェックコードを、ＣＡＮネットワーク１０６を介して、モータ制御装置１０１に送信する。
The division program and check code transmission unit 512 (including the check code generation unit) divides the motor control program in the motor control
The second
When the second
Then, the
モータ制御装置１０１のプログラム検証部５１１は、記録装置１１３のプログラム検証用プログラム記録領域６３４に記録されたプログラム検証用プログラムを用いて、ＣＡＮネットワーク１０６上または他のノードで保存中に分割プログラムが壊れていないか否か（例えば、ノイズによるビット反転等）を、受信したチェックコードを用いて検証する。
The
モータ制御装置１０１は、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂから分割プログラムを受信する度に、モータ制御プログラム記録領域２２２に保存されたモータ制御プログラムの該当する分割プログラムを、プログラム書き換え部１１４により書き換える。
また、チェックコードを受信する度に、プログラム検証部５１１により、対応する分割プログラムによって書き換えられた内容を検証する。
Whenever the
Each time a check code is received, the
次に、第２種ノードとしてのＥＰＳ制御装置１０２ａの構成と機能について簡単に説明する。
マイコン１２１ａは、ＥＰＳ１２０ａの制御量や各種処理値を演算する。データ送受信部１２２ａは、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、バッテリ制御装置１０２ｂ、テスタ１０３を含む）とデータの送受信を行う。
記録装置１２３ａは、モータ制御プログラムの書き換えプログラムの一部分である分割プログラム、および他の第２種ノードが保存する分割プログラムが変更されていないことを証明するチェックコードを保存する第２の記録領域・第４の記録領域として、分割モータ制御プログラム記録領域５３３ａを有している。
Next, the configuration and function of the
The
The
分割プログラムおよびチェックコード送信部５２１ａは、モータ制御装置１０１への分割プログラムおよびチェックコードの送信可否を判断する。
分割プログラム送信部１２４ａにより、モータ制御装置１０１への分割プログラムおよびチェックコードの送信が可能であると判断された場合には、自身が保存する分割プログラムおよびチェックコードを、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
The division program and check
If the divided
第１種ノード状態検出部５２２ａは、モータ制御装置１０１に異常がないか否かの状態を検出する。異常を検出した場合は、ＣＡＮネットワーク１０６を介してモータ制御装置１０１とバッテリ制御装置１０２ｂに書き戻し指示を通知する。
第１種ノード状態検出部５２２ａにより異常を検出している、または、他の第２種ノードから書き戻し指示が通知されている場合、かつ、モータ制御装置１０１の第２の状態検出部５１３より、書き換え可能であることが通知された場合は、自身が保存する分割プログラムおよびチェックコードを、ＣＡＮネットワーク１０６を介して、モータ制御装置１０１に送信する。
ここで、モータ制御装置１０１の異常には、意図しない制御または処理が実施されたり、セキュリティ上の脆弱性があったりすることが挙げられるが、これに限るものではない。
The first type node
When abnormality is detected by the first type node
Here, examples of the abnormality of the
次に、第２種ノードとしてのバッテリ制御装置１０２ｂの構成と機能について、簡単に説明する。
マイコン１２１ｂは、バッテリ１２０ｂの制御量や各種処理値を演算する。データ送受信部１２２ｂは、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、テスタ１０３を含む）とデータを送受信する。
記録装置１２３ｂは、モータ制御プログラムを分割した一部分である分割プログラムおよび他の制御装置が保存する分割プログラムが変更されていないことを証明するチェックコードを保存する第２の記録領域・第４の記録領域として、分割モータ制御プログラム記録領域５３３ｂを有している。
Next, the configuration and function of the
The
The
分割プログラムおよびチェックコード送信部５２１ｂは、モータ制御装置１０１への分割プログラムおよびチェックコードの送信可否を判断する。
分割プログラムおよびチェックコード送信部５２１ｂにより、モータ制御装置１０１への分割プログラムおよびチェックコードの送信が可能であると判断された場合には、自ノードが保存する分割プログラムおよびチェックコードを、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
The division program and check
If the divided program and check
第１種ノード状態検出部５２２ｂは、モータ制御装置１０１に異常がないか否かの状態を検出する。異常を検出した場合は、ＣＡＮネットワーク１０６を介して、モータ制御装置１０１とＥＰＳ制御装置１０２ａに書き戻し指示を通知する。
第１種ノード状態検出部５２２ｂにより異常を検出している、または、他の第２種ノードから書き戻し指示が通知されている場合、かつ、モータ制御装置１０１の第２の状態検出部５１３より書き換え可能であることが通知された場合は、自身が保存する分割プログラムおよびチェックコードを、ＣＡＮネットワーク１０６を介してモータ制御装置１０１に送信する。
ここで、モータ制御装置１０１の異常とは、意図しない制御または処理が実施されたり、セキュリティ上の脆弱性があったりすることが挙げられるが、これに限るものではない。
The first type node
When abnormality is detected by the first type node
Here, the abnormality of the
次に、第３種ノードとしてのテスタ１０３の構成と機能について簡単に説明する。このテスタ１０３は、書き換えプログラムを送信するものである。
マイコン１３１は、テスタ１０３の動作に関わる各種処理を実施する。データ送受信部１３２は、ＣＡＮネットワーク１０６を介して、接続された他の制御装置（モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂを含む）とデータを送受信する。
記録装置１３３は、図８（ｄ）に示すように、書き換えプログラムを保存する第３の記録領域であるモータ制御プログラム記録領域２４１を備えている。
Next, the configuration and function of the
The
As shown in FIG. 8D, the
書き換え指示部１３４は、モータ制御装置１０１に対して、プログラムの書き換えを指示する。書き換えプログラム送信部１３５は、モータ制御装置１０１から書き換え可能の通知を受けたのちに、モータ制御プログラム記録領域２４１に記録している書き換えプログラムをモータ制御装置１０１に送信する。
テスタ１０３は、常時、ＣＡＮネットワーク１０６に接続されるものではなく、制御装置へのプログラムの書き換えや、診断を実施するときに接続されるものである。
The
The
次に、動作について説明する。
ここでは、実施の形態２によるプログラム書き換えシステムの各ノードにおける処理の流れについて、図９〜図１２のフローチャートを用いて説明する。
第１種ノードであるモータ制御装置１０１では、駆動用モータ１１０の制御に関わる通常の処理と、モータ制御プログラムの書き換えに関する処理が実施される。プログラム書き換えに関する処理は、図９に示し、テスタ１０３から書き換え実施の通知（書き換え指示）があった場合に実施される。
第１種ノードであるモータ制御装置１０１における書き換え前のプロラムに書戻す処理は、図１０に示している。
Next, the operation will be described.
Here, the flow of processing in each node of the program rewriting system according to the second embodiment will be described with reference to the flowcharts of FIGS.
In the
The process of writing back to the program before rewriting in the
まず、図９により、第１種ノードのプログラム書き換え時の処理について説明する。
ステップＳ７０１において、第２の状態検出部５１３は、テスタ１０３から書き換え指示が通知されているか否かを判断する。通知されている場合（ＹＥＳ）は、ステップＳ７０２へ進み、通知されていない場合（ＮＯ）は、通知されるまで待機する。
First, the processing at the time of rewriting the program of the first type node will be described with reference to FIG.
In step S <b> 701, the second
続いて、ステップＳ７０２において、第２の状態検出部５１３は、通常の処理が実施されているか否かを判断し、通常の処理が実施されていなければ、書き換え可能（ＹＥＳ）であるため、ステップＳ７０３へ進み、通常の処理が実施されている場合には、終了まで待機する。
Subsequently, in step S702, the second
ステップＳ７０３において、分割プログラムおよびチェックコード送信部５１２は、記録装置１１３に保存されたモータ制御プログラム記録領域２２２にあるモータ制御プログラムを分割して、分割プログラムおよび分割したプログラムが変更されていないことを証明するチェックコードを作成する。
そして、データ送受信部１１２により、分割プログラムおよびチェックコードを第２種ノードであるバッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａへ送信する。
ここで、実施の形態２では、第２種ノードを２つ備えているため、書き換えプログラムを２つに分割し、分割プログラムＡと分割プログラムＢを作成するとともに、分割プログラムＡと分割プログラムＢのそれぞれに対応するチェックコードＡとチェックコードＢを作成し、分割プログラムＡとチェックコードＢをＥＰＳ制御装置１０２ａに、分割プログラムＢとチェックコードＡをバッテリ制御装置１０２ｂへといったように、分割プログラムとチェックコードを異なる制御装置に送信するものとする。
In step S703, the divided program and check
Then, the data transmission /
Here, since the second type node is provided in the second embodiment, the rewriting program is divided into two, and the divided program A and the divided program B are created. Check code A and check code B corresponding to each are created, and divided program A and check code B are sent to
ステップＳ７０４において、モータ制御プログラムから作成した分割プログラムおよびチェックコードのすべてを送信したかどうかを判断する。すべてを送信している場合（ＹＥＳ）は、ステップＳ７０５へ進み、送信していない場合は（ＮＯ）は、ステップＳ７０３に進み、再度、送信処理を実施する。 In step S704, it is determined whether all of the division program and check code created from the motor control program have been transmitted. If everything has been transmitted (YES), the process proceeds to step S705. If not (NO), the process proceeds to step S703, and the transmission process is performed again.
ステップＳ７０５において、第２の状態検出部５１３は、モータ制御プログラムすべてを送信したため、テスタ１０３に対して書き換え可能を通知する。
In step S705, the second
ステップＳ７０６において、テスタ１０３からの書き換えプログラムの受信を待つ。書き換えプログラムを受信した場合（ＹＥＳ）は、ステップＳ７０７に進む。
In step S706, reception of a rewrite program from the
ステップＳ７０７において、プログラム書き換え部１１４は、プログラム書き換え用プログラムを用いて、受信した書き換えプログラムに該当するモータ制御プログラムの部分を書き換え、ステップＳ７０８へ進む。
In step S707, the
ステップＳ７０８において、第２の状態検出部５１３は、すべての書き換えプログラムを受信し、該当するモータ制御プログラムの部分を書き換えたか否かを判断する。受信してない場合は（ＮＯ）、ステップＳ７０６へ進み、受信している場合は（ＹＥＳ）処理を終了する。
In step S708, the second
次に、図１０を用いて、モータ制御装置１０１において、書き換えプログラムに書き換えたのち、書き換え前のプロラムに書戻す処理について説明する。
この時、テスタ１０３は、ＣＡＮネットワーク１０６から取り外されているものとする。
ステップＳ７１１において、第２の状態検出部５１３は、第２種ノード（ここでは、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂ）から書き戻し指示を通知されているか否かを判断する。通知されている場合（ＹＥＳ）は、ステップＳ７１２へ進み、通知されていない場合（ＮＯ）は、受信するまで待機する。
Next, with reference to FIG. 10, a description will be given of processing in the
At this time, it is assumed that the
In step S711, the second
ステップＳ７１２において、第２の状態検出部５１３は、通常の処理が実施されているか否かを判断し、通常の処理が実施されていなければ、書き換え可能（ＹＥＳ）であるため、ステップＳ７１３へ進み、通常の処理が実施されている場合は、終了まで待機する。
In step S712, the second
ステップＳ７１３において、第２の状態検出部５１３は、第２種ノードであるバッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａに対して、記録している分割プログラムおよびチェックコードの送信指示を通知する。
In step S713, the second
ステップＳ７１４において、バッテリ制御装置１０２ｂとＥＰＳ制御装置１０２ａからの分割プログラムおよびチェックコードの受信を待つ。分割プログラムまたはチェックコードを受信した場合（ＹＥＳ）は、ステップＳ７１５に進む。
In step S714, reception of the division program and check code from the
ステップＳ７１５において、受信した内容を確認する。分割プログラムであれば、ステップＳ７１６へ進み、チェックコードであれば、ステップＳ７１７へ進む。
ステップＳ７１６において、プログラム書き換え部１１４は、プログラム書き換え用プログラムを用いて、受信した分割プログラムに該当するモータ制御プログラムの部分を書き換え、ステップＳ７１９へ進む。
In step S715, the received content is confirmed. If it is a divided program, the process proceeds to step S716, and if it is a check code, the process proceeds to step S717.
In step S716, the
ステップＳ７１７において、プログラム検証部５１１は、プログラム検証用プログラムを用い、受信したチェックコードに該当するモータ制御プログラムの部分を検証する。
ステップＳ７１８において、検証結果に対する問題の有無を判断し、問題がない場合（ＹＥＳ）は、ステップＳ７１９へ進み、問題がある場合（ＮＯ）は、書き戻し処理を終了する。
In step S717, the
In step S718, it is determined whether there is a problem with the verification result. If there is no problem (YES), the process proceeds to step S719. If there is a problem (NO), the write-back process is terminated.
ステップＳ７１９において、すべての分割プログラムを受信し、該当するモータ制御プログラムの部分を書き換えたか否かを判断する。すべてを受信していない場合は（ＮＯ）、ステップＳ７１４へ進み、受信している場合は（ＹＥＳ）、処理を終了する。 In step S719, it is determined whether all divided programs have been received and the corresponding motor control program portion has been rewritten. If not all have been received (NO), the process proceeds to step S714. If all have been received (YES), the process ends.
次に、第２種ノードであるＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂにおけるプログラム書き換えに関する処理の流れについて、図１１を用いて説明する。
ＥＰＳ制御装置１０２ａ（またはバッテリ制御装置１０２ｂ）では、ＥＰＳ１２０ａ（またはバッテリ１２０ｂ）の制御に関わる通常の処理と、モータ制御装置１０１のプログラム書き換えに関する処理が実施される。
なお、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂにおけるプログラム書き換えに関する処理は、同じであるので、ここでは、ＥＰＳ制御装置１０２ａを例に挙げて説明する。
Next, the flow of processing related to program rewriting in the
In the
In addition, since the process regarding the program rewriting in the
ＥＰＳ制御装置１０２ａは、テスタ１０３から書き換え実施指示が通知された後、ステップＳ８０１において、分割プログラムまたはチェックコードの受信を待つ。データ送受信部１２２ａにより、分割プログラムまたはチェックコードを受信した場合（ＹＥＳ）は、ステップＳ８０２へ進み、受信した分割プログラムまたはチェックコードを記録装置１２３ａの分割モータ制御プログラム記録領域５３３ａに保存し、ステップＳ８０３へ進む。
After receiving the rewrite execution instruction from the
ステップＳ８０３（第５のステップ）において、ＥＰＳ制御装置１０２ａの第１種ノード状態検出部５２２ａは、モータ制御装置１０１に異常がないか否かを判断する。モータ制御装置１０１の異常を検出した場合（ＹＥＳ）は、ステップＳ８０６へ進み、異常を検出していない場合（ＮＯ）は、ステップＳ８０４へ進む。
In step S803 (fifth step), the first type node
ステップＳ８０４において、ＥＰＳ制御装置１０２ａは、他の第２種ノード（ここでは、バッテリ制御装置１０２ｂ）からモータ制御装置１０１へ書き戻し指示が通知されているか否かを判断する。通知されている場合（ＹＥＳ）は、ステップＳ８０７へ進み、通知されていない場合（ＮＯ）は、ステップＳ８０５へ進む。
In step S804, the
ステップＳ８０５において、データ送受信部１２２ａにより、分割プログラムまたはチェックコードを受信しているかどうかを確認する。受信している場合（ＹＥＳ）は、ステップＳ８０２へ進み、受信していない場合（ＮＯ）は、ステップＳ８０３へ進む。
In step S805, the data transmission /
ステップＳ８０６において、ＥＰＳ制御装置１０２ａは、他の第２種ノード（ここでは、バッテリ制御装置１０２ｂ）とモータ制御装置１０１へ書き戻し指示を通知し、ステップＳ８０７へ進む。
In step S806, the
ステップＳ８０７において、ＥＰＳ制御装置１０２ａは、モータ制御装置１０１からの分割プログラムおよびチェックコードの送信指示を待つ。送信指示が通知されている場合（ＹＥＳ）は、ステップＳ８０８へ進み、送信指示が通知されていない場合（ＮＯ）は、通知されるまで待機する。
In step S807, the
ステップＳ８０８において、分割モータ制御プログラム記録領域５３３ａに保存された分割プログラムおよびチェックコードをモータ制御装置１０１へ送信し、ステップＳ８０９へ進む。
In step S808, the divided program and check code stored in the divided motor control
ステップＳ８０９において、保存した分割プログラムおよびチェックコードをすべて送信したかどうかを確認する。
すべて送信している場合（ＹＥＳ）は、処理を完了し、送信していない場合（ＮＯ）は、ステップＳ８０８へ進み、送信処理を実施する。
In step S809, it is confirmed whether all of the saved divided programs and check codes have been transmitted.
If all are transmitted (YES), the process is completed, and if not transmitted (NO), the process proceeds to step S808, and the transmission process is performed.
次に、第３種ノードであるテスタ１０３におけるプログラム書き換えに関する処理の流れについて、図１２を用いて説明する。
テスタ１０３では、関連ノードへのプログラム書き換え実施の通知と、書き換えプログラムの送信処理を実施する。
まず、ステップＳ８１１において、書き換え指示部１３４は、モータ制御装置１０１、ＥＰＳ制御装置１０２ａ、バッテリ制御装置１０２ｂに対して、モータ制御装置１０１の書き換えを実施することを通知する。
Next, a flow of processing related to program rewriting in the
The
First, in step S811, the
次に、ステップＳ８１２において、書き換え指示部１３４は、モータ制御装置１０１から書き換え可能が通知されたかどうかを判断する。通知されている場合（ＹＥＳ）は、書き換え可能と判断し、ステップＳ８１３へ進む。通知されていない場合（ＮＯ）は、通知されるまで待機する。
Next, in step S812, the
ステップＳ８１３においては、記録装置１３３のモータ制御プログラム記録領域２４１にあらかじめ記録されている書き換えプログラムをモータ制御装置１０１へ送信し、処理を終了する。
In step S813, the rewrite program recorded in advance in the motor control
なお、本実施の形態２において、モータ制御装置１０１に、分割プログラムおよびチェックコードを暗号化する暗号化部と復号化する復号化部を備え、暗号化部により暗号化した分割プログラムおよびチェックコードをＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂに送信し、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂでは、暗号化された分割プログラムおよびチェックコードを保存し、モータ制御装置１０１で、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂから暗号化された分割プログラムおよびチェックコードを受信した際に、復号化部により分割プログラムを復号化するようにしても良い。
In the second embodiment, the
上記のような暗号化部と復号化部を備えることにより、ＣＡＮネットワーク１０６で第三者に解読される危険性、またはＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂでの保存時に第三者に解読される危険性を低減させることができ、プログラム書き換えを安全に実施することが可能となる。
By providing the encryption unit and the decryption unit as described above, there is a risk of being decrypted by a third party on the
以上のような処理の流れを持つ、実施の形態２によるプログラム書き換えシステムでは、テスタ１０３からモータ制御装置１０１へプログラム書き換え実施を通知したときに、モータ制御装置１０１では、まず、これまでの制御に用いていたモータ制御プログラムから、分割プログラムを作成するとともに、分割したプログラムが変更されていないことを証明するチェックコードを作成し、ＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂにそれぞれ送信する。
送信完了後に、モータ制御装置１０１は、テスタ１０３から送信される書き換えプログラムで、モータ制御プログラムを書き換える。
その後、テスタ１０３がＣＡＮネットワーク１０６から分離され、モータ制御装置１０１は、書き換えたモータ制御プログラムで制御する。
そして、ＥＰＳ制御装置１０２ａまたはバッテリ制御装置１０２ｂが、書き換えたモータ制御プログラムによるモータ制御装置１０１の動作異常やセキュリティ上の脆弱性が検出された場合には、他の第２種ノードとモータ制御装置１０１に通知する。
In the program rewriting system according to the second embodiment having the above processing flow, when the
After the transmission is completed, the
Thereafter, the
When the
これにより、ＥＰＳ制御装置１０２ａとバッテリ制御装置１０２ｂは、自身が保存する分割プログラムおよびチェックコードをそれぞれモータ制御装置１０１に送信し、モータ制御装置１０１は、分割プログラムを受信する度に、受信した分割プログラムに該当するモータ制御プログラムの部分を書き換え、チェックコードを受信する度に、該当するモータ制御プログラムの部分を検証するものである。
Thereby, the
実施の形態２のプログラム書き換えシステムによれば、モータ制御装置１０１のモータ制御プログラムを書き換えて、テスタ１０３をＣＡＮネットワーク１０６から分離したのちに、モータ制御装置１０１の動作に異常が有ったり、セキュリティ上の脆弱性が検出されたりした場合にも、テスタ１０３をＣＡＮネットワーク１０６につなぎ直して再度、書き換えプログラムを送信する必要がなく、効率の良く書き換え前の制御プログラムに戻し、かつ検証することができ、モータ制御装置１０１は、問題のある制御プログラムを使い続けず、自動車の安全性を確保することができる。
According to the program rewriting system of the second embodiment, after the motor control program of the
また、モータ制御プログラムから分割プログラムを作成し、複数の第２種ノード（本実施の形態２では、ＥＰＳ制御装置１０２ａおよびバッテリ制御装置１０２ｂの２つ）に保存するため、１つの第２種ノードに全ての書き換えプログラムを保存できるほどの大きな記録容量を設ける必要がなく、１つのノードがコスト高になることを防ぐことができ、全体としてのコストが抑えられる。
In addition, since a divided program is created from the motor control program and stored in a plurality of second type nodes (in the second embodiment, two of the
なお、上述の実施の形態１と実施の形態２では、２つの第２種ノードを備えた車両制御システムを例に挙げて説明したが、第２種ノードの数はこれに限定されるものではない。
第２種ノードの数を増やすことにより、各分割プログラムの容量を低減することができ、各第２種ノードに必要となる記録容量を抑えることができる。
In the first embodiment and the second embodiment described above, the vehicle control system including two second type nodes has been described as an example. However, the number of second type nodes is not limited to this. Absent.
By increasing the number of type 2 nodes, the capacity of each divided program can be reduced, and the recording capacity required for each type 2 node can be suppressed.
また、各ノードが接続されるネットワークとしてＣＡＮネットワーク１０６を例に挙げて説明したが、ネットワークの種類はこれに限るものではない。
また、テスタは、ＣＡＮネットワーク１０６を介さずに、直接、モータ制御装置１０１に接続する場合でも同様の効果が得られる。
Further, although the
Further, the same effect can be obtained when the tester is directly connected to the
また、上述の実施の形態１と実施の形態２では、第１種ノードのプログラム書き換えが成功することを前提として説明したが、検証結果により問題があり、書き換えが失敗した場合や、何らかの理由で書き換えが失敗した場合に備えて、第１種ノードにタイムアウト時間等を設定しておき、所定時間が経過しても書き換えプログラムまたは、分割プログラムを受信できない場合や、書き換えが終了しない場合には、書き換え処理を強制的に終了させるようにしても良い。 In the first and second embodiments described above, the description has been made on the assumption that the program rewriting of the first type node is successful. However, there is a problem due to the verification result, and the rewriting fails or for some reason. In preparation for the case where rewriting fails, a timeout time or the like is set in the first type node, and when the rewriting program or the divided program cannot be received even after a predetermined time has passed, or when rewriting does not end, The rewriting process may be forcibly terminated.
ただし、書き換え処理を途中で終了させる場合には、関連ノードに故障状況を示す一意のコードを記録しておく等の対応策を併せて用意しておく必要がある。 However, when the rewriting process is terminated halfway, it is necessary to prepare a countermeasure such as recording a unique code indicating a failure state in the related node.
また、上述の実施の形態２では、分割プログラムに対応するチェックコードが届くことを前提として説明したが、チェックコードか届かない時は、ＣＡＮネットワーク１０６もしくは、該当する第２種ノードに異常があると判断することができ、早期に書き換えを中止することができる。
In the second embodiment described above, the description has been made on the assumption that the check code corresponding to the divided program arrives. However, when the check code does not reach, there is an abnormality in the
また、上述の実施の形態２では、チェックコードにより、分割したプログラムが変更されていないことを証明できることを前提に説明したが、チェックコードとして、変更時に訂正できるチェックコード（例えば、Ｅｒｒｏｒ−Ｃｏｒｒｅｃｔｉｎｇ Ｃｏｄｅ）を用いれば、問題発生時に分割プログラムを修復させることもできる。 In the above-described second embodiment, the description has been made on the assumption that the divided program can be proved by the check code. However, as the check code, a check code that can be corrected at the time of change (for example, an error-correcting code). ) Can be used to repair the split program when a problem occurs.
なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。 It should be noted that within the scope of the present invention, the embodiments can be freely combined, or the embodiments can be appropriately modified or omitted.
この発明は、ネットワークに接続された複数の制御装置を含むシステム（例えば車両制御システム）におけるプログラムの書き換えに利用することができる。 The present invention can be used for rewriting a program in a system (for example, a vehicle control system) including a plurality of control devices connected to a network.
１０１ モータ制御装置（第１種ノード）、１０２ａ ＥＰＳ制御装置（第２種ノード）、
１０２ｂ バッテリ制御装置（第２種ノード）、１０３ テスタ（第３種ノード）、
１０６ ＣＡＮネットワーク、１１０ 駆動用モータ、
１１１、１２１ａ、１２１ｂ、１３１ マイコン、
１１２、１２２ａ、１２２ｂ、１３２ データ送受信部、
１１３、１２３ａ、１２３ｂ、１３３ 記録装置、
１１４ プログラム書き換え部、１１５ 状態検出部、１１６ 分割プログラム送信部、
１２０ａ ＥＰＳ、１２０ｂ バッテリ、
１２４ａ、１２４ｂ 分割プログラム送信部、１３４ 書き換え指示部、
１３５ 書き換えプログラム送信部、５１１ プログラム検証部、
５１２ 分割プログラムおよびチェックコード送信部、５１３ 第２の状態検出部、
５２１ａ、５２１ｂ 分割プログラムおよびチェックコード送信部、
５２２ａ、５２２ｂ 第１種ノード状態検出部
101 motor control device (first type node), 102a EPS control device (second type node),
102b Battery control device (type 2 node), 103 tester (type 3 node),
106 CAN network, 110 drive motor,
111, 121a, 121b, 131 microcomputer,
112, 122a, 122b, 132 data transmission / reception unit,
113, 123a, 123b, 133 recording device,
114 program rewriting unit, 115 status detection unit, 116 divided program transmission unit,
120a EPS, 120b battery,
124a, 124b division program transmission unit, 134 rewrite instruction unit,
135 rewrite program transmission unit, 511 program verification unit,
512 division program and check code transmission unit, 513 second state detection unit,
521a, 521b division program and check code transmission unit,
522a, 522b type 1 node state detection unit
この発明に係わるプログラム書き換えシステムにおいては、第１種ノードおよび複数の第２種ノードが通信可能にネットワークに接続され、ネットワークに随時接続される第３種ノードから送信される書き換えプログラムによって第１種ノードのプログラムを書き換えるプログラム書き換えシステムであって、第１種ノードは、プログラムを保存する第１の記録領域と、この第１の記録領域に保存されているプログラムを複数に分割し、各分割プログラムを各別に第２種ノードに送信する分割プログラム送信部と、第３種ノードから受信した書き換えプログラムによって、第１の記録領域のプログラムを書き換えるプログラム書き換え部とを有し、第２種ノードは、第１種ノードから受信した分割プログラムを保存する第２の記録領域と、この第２の記録領域に保存された分割プログラムを第１種ノードに送信する送信部と、第１種ノードの状態を検出する第１種ノード状態検出部とを有し、第３種ノードは、書き換えプログラムを保存する第３の記録領域と、第１種ノードへの書き換えを指示する書き換え指示部と、書き換えプログラムを第１種ノードに送信する書き換えプログラム送信部とを有し、第１種ノードのプログラム書き換え部は、第３種ノードから書き換え指示を受信した場合に、分割プログラムを第２種ノードに送信したのち、第３種ノードから受信した書き換えプログラムによってプログラムを書き換え、第２種ノードは、プログラム書き換え部によってプログラムが書き換えられたのちに、第１種ノード状態検出部によって第１種ノードの異常が検出された場合に、第１種ノードおよび他の第２種ノードに通知するとともに、自ノードが保存する分割プログラムを第１種ノードに送信し、通知を受けた他の第２種ノードは、自ノードが保存する分割プログラムを第１種ノードに送信し、第１種ノードは、各第２種ノードより受信した分割プログラムにより、第１の記録領域のプログラムの該当部分を書き換えるものである。 In the program rewriting system according to the present invention, the first type node and the plurality of second type nodes are communicably connected to the network, and the first type is transmitted by the rewriting program transmitted from the third type node connected to the network as needed. A program rewriting system for rewriting a node program, wherein a first type node divides a first recording area for storing a program and a program stored in the first recording area into a plurality of divided programs. Respectively, and a program rewriting unit for rewriting the program in the first recording area by the rewriting program received from the third type node. A second recording area for storing the divided program received from the first type node; Has a transmission unit for transmitting the stored divided program in the second recording area to the one node, the first type node state detecting unit for detecting the state of the first type node, the third type node, A first recording node having a third recording area for storing the rewriting program, a rewriting instruction unit for instructing rewriting to the first type node, and a rewriting program transmitting unit for transmitting the rewriting program to the first type node; the program rewriting unit, when receiving a rewrite instruction from the three nodes, after transmitting the divided programs into the second type node, rewrites the program by rewriting program received from the third type node, the second type node After the program is rewritten by the program rewriting unit, the first type node status detection unit detects an abnormality of the first type node. In addition to notifying the first type node and other second type nodes, the divided program stored by the own node is transmitted to the first type node, and the other second type node receiving the notification is stored by the own node. The divided program to be transmitted is transmitted to the first type node, and the first type node rewrites the corresponding part of the program in the first recording area by the divided program received from each second type node .
この発明によれば、第１種ノードおよび複数の第２種ノードが通信可能にネットワークに接続され、ネットワークに随時接続される第３種ノードから送信される書き換えプログラムによって第１種ノードのプログラムを書き換えるプログラム書き換えシステムであって、第１種ノードは、プログラムを保存する第１の記録領域と、この第１の記録領域に保存されているプログラムを複数に分割し、各分割プログラムを各別に第２種ノードに送信する分割プログラム送信部と、第３種ノードから受信した書き換えプログラムによって、第１の記録領域のプログラムを書き換えるプログラム書き換え部とを有し、第２種ノードは、第１種ノードから受信した分割プログラムを保存する第２の記録領域と、この第２の記録領域に保存された分割プログラムを第１種ノードに送信する送信部と、第１種ノードの状態を検出する第１種ノード状態検出部とを有し、第３種ノードは、書き換えプログラムを保存する第３の記録領域と、第１種ノードへの書き換えを指示する書き換え指示部と、書き換えプログラムを第１種ノードに送信する書き換えプログラム送信部とを有し、第１種ノードのプログラム書き換え部は、第３種ノードから書き換え指示を受信した場合に、分割プログラムを第２種ノードに送信したのち、第３種ノードから受信した書き換えプログラムによってプログラムを書き換え、第２種ノードは、プログラム書き換え部によってプログラムが書き換えられたのちに、第１種ノード状態検出部によって第１種ノードの異常が検出された場合に、第１種ノードおよび他の第２種ノードに通知するとともに、自ノードが保存する分割プログラムを第１種ノードに送信し、通知を受けた他の第２種ノードは、自ノードが保存する分割プログラムを第１種ノードに送信し、第１種ノードは、各第２種ノードより受信した分割プログラムにより、第１の記録領域のプログラムの該当部分を書き換えるので、書き換えたのちのプログラムに問題があった場合に、第２種ノードから簡単に書き換え前のプロラムに戻すことができる。 According to the present invention, the first type node and the plurality of second type nodes are communicably connected to the network, and the program of the first type node is executed by the rewrite program transmitted from the third type node connected to the network as needed. In the program rewriting system for rewriting, the first type node divides a first recording area for storing a program and a program stored in the first recording area into a plurality of parts, and each divided program is divided into a plurality of parts. A divided program transmission unit that transmits to the two-type node, and a program rewriting unit that rewrites the program in the first recording area by the rewriting program received from the third-type node, and the second-type node is the first-type node A second recording area for storing the division program received from the second recording area, and a division program stored in the second recording area. Has a transmission unit for transmitting the ram to the first type node, the first type node state detecting unit for detecting the state of the first type node, the third type node, a third recording area for storing the rewriting program A rewriting instruction unit that instructs rewriting to the first type node, and a rewriting program transmitting unit that transmits the rewriting program to the first type node. The program rewriting unit of the first type node is a third type node. When the rewrite instruction is received from the node, after the split program is transmitted to the second type node, the program is rewritten by the rewrite program received from the third type node , and the program is rewritten by the program rewriting unit in the second type node Later, when an abnormality of the first type node is detected by the first type node state detection unit, the first type node and other second type nodes are detected. And the split program stored by the own node is transmitted to the first type node, and the other second type node having received the notification transmits the split program stored by the own node to the first type node, Since the first type node rewrites the corresponding part of the program in the first recording area by the divided program received from each second type node , if there is a problem with the program after the rewriting, You can easily return to the program before rewriting.
次に、図４を用いて、書き換え後の動作として、書き換えプログラムに書き換えたのち、書き換え前のプログラムに書戻す処理について説明する。
このとき、テスタ１０３は、ＣＡＮネットワーク１０６から取り外されているものとする。
ステップＳ３１１において、状態検出部１１５は、自身の処理に異常がないか否かを判断する。異常を検出した場合は（ＹＥＳ）、ステップＳ３１２へ進む。
Next, with reference to FIG. 4, description will be given of the processing after rewriting to the rewriting program and then writing back to the program before rewriting as the operation after rewriting.
At this time, the
Oite to Step S31 1, the
Claims (7)
上記第１種ノードは、
上記プログラムを保存する第１の記録領域と、
この第１の記録領域に保存されているプログラムを複数に分割し、各分割プログラムを各別に上記第２種ノードに送信する分割プログラム送信部と、
上記第３種ノードから受信した上記書き換えプログラムによって、上記第１の記録領域の上記プログラムを書き換えるプログラム書き換え部とを有し、
上記第２種ノードは、
上記第１種ノードから受信した上記分割プログラムを保存する第２の記録領域と、
この第２の記録領域に保存された上記分割プログラムを上記第１種ノードに送信する送信部とを有し、
上記第３種ノードは、
上記書き換えプログラムを保存する第３の記録領域と、
上記第１種ノードへの書き換えを指示する書き換え指示部と、
上記書き換えプログラムを上記第１種ノードに送信する書き換えプログラム送信部とを有し、
上記第１種ノードのプログラム書き換え部は、上記第３種ノードから書き換え指示を受信した場合に、上記分割プログラムを上記第２種ノードに送信したのち、上記第３種ノードから受信した上記書き換えプログラムによって上記プログラムを書き換えることを特徴とするプログラム書き換えシステム。 A program rewriting system in which a first type node and a plurality of second type nodes are communicably connected to a network, and the program of the first type node is rewritten by a rewriting program transmitted from a third type node connected to the network as needed Because
The first type node is
A first recording area for storing the program;
A divided program transmission unit that divides the program stored in the first recording area into a plurality of parts, and transmits each divided program to the second type node separately;
A program rewriting unit for rewriting the program in the first recording area by the rewriting program received from the third type node;
The second type node is
A second recording area for storing the divided program received from the first type node;
A transmission unit for transmitting the divided program stored in the second recording area to the first type node;
The above type 3 node is
A third recording area for storing the rewriting program;
A rewriting instruction unit for instructing rewriting to the first type node;
A rewriting program transmitting unit for transmitting the rewriting program to the first type node;
The program rewrite unit of the first type node receives the rewrite instruction from the third type node, transmits the divided program to the second type node, and then receives the rewrite program received from the third type node. A program rewriting system, wherein the program is rewritten by
上記プログラム書き換え部によって上記プログラムを書き換えたのちに、上記状態検出部により異常が検出された場合に上記第２種ノードに通知し、
上記第２種ノードは、上記通知を受けて、自ノードが保存する分割プログラムを上記第１種ノードに送信し、
上記第１種ノードは、上記第２種ノードより受信した上記分割プログラムにより、上記第１の記録領域のプログラムの該当部分を書き換えることを特徴とする請求項１に記載のプログラム書き換えシステム。 The first type node has a state detection unit that detects its own state,
After rewriting the program by the program rewriting unit, when an abnormality is detected by the state detection unit, the second type node is notified,
Upon receiving the notification, the second type node transmits the divided program stored by the own node to the first type node,
2. The program rewriting system according to claim 1, wherein the first type node rewrites a corresponding part of the program in the first recording area by the divided program received from the second type node.
上記プログラム書き換え部によって上記プログラムを書き換えたのちに、上記第１種ノードの異常が検出された場合に上記第１種ノードおよび他の第２種ノードに通知するとともに、自ノードが保存する分割プログラムを上記第１種ノードに送信し、
上記通知を受けた他の第２種ノードは、自ノードが保存する分割プログラムを上記第１種ノードに送信し、
上記第１種ノードは、各第２種ノードより受信した上記分割プログラムにより、上記第１の記録領域のプログラムの該当部分を書き換えることを特徴とする請求項１に記載のプログラム書き換えシステム。 The second type node has a first type node state detection unit for detecting the state of the first type node,
After rewriting the program by the program rewriting unit, when an abnormality of the first type node is detected, the divided program is stored in the first type node and other second type nodes and stored by the own node To the first type node,
Upon receiving the notification, the other type 2 node transmits the divided program stored by itself to the type 1 node,
2. The program rewriting system according to claim 1, wherein the first type node rewrites a corresponding portion of the program in the first recording area by the divided program received from each second type node.
上記第２種ノードから受信した上記分割プログラムを復号化する復号化部とを有し、
上記分割プログラムを暗号化してから上記第２種ノードに送信し、第２種ノードから受信した上記分割プログラムを複合化してから、上記第１の記録領域の上記プログラムの該当部分を書き換えることを特徴とする請求項２または請求項３に記載のプログラム書き換えシステム。 The first type node includes an encryption unit that encrypts the divided program;
A decoding unit for decoding the divided program received from the second type node,
The divided program is encrypted, transmitted to the second type node, the divided program received from the second type node is decrypted, and the corresponding part of the program in the first recording area is rewritten. The program rewriting system according to claim 2 or 3.
このチェックコード生成部により生成されたチェックコードを上記第２種ノードに送信し、
上記第２種ノードは、上記第１種ノードから受信したチェックコードを保存する第４の記録領域を有し、
上記分割プログラムの第１種ノードへの送信時に、上記第４の記録領域に保存されているチェックコードを第１種ノードに送信し、
上記第１種ノードは、上記第２種ノードから受信した上記分割プログラムおよび上記チェックコードから、上記分割プログラムが変更されていないことを検証した後、この分割プログラムにより、上記第１の記録領域の上記プログラムの該当部分を書き換えることを特徴とする請求項２から請求項４のいずれか一項に記載のプログラム書き換えシステム。 The first type node has a check code generation unit that generates a check code for verifying the divided program when the divided program is generated,
The check code generated by the check code generation unit is transmitted to the second type node,
The second type node has a fourth recording area for storing the check code received from the first type node,
When transmitting the divided program to the first type node, the check code stored in the fourth recording area is transmitted to the first type node,
The first type node verifies that the divided program has not been changed from the divided program and the check code received from the second type node, and then uses the divided program to store the first recording area. The program rewriting system according to any one of claims 2 to 4, wherein a corresponding portion of the program is rewritten.
上記書き換え指示の受信に応じて、上記第１種ノードが上記プログラムを分割し、各分割プログラムを各別に複数の第２種ノードに上記ネットワークを介して送信する第２のステップ、
上記第３種ノードが、上記プログラムを書き換えるための書き換えプログラムを上記第１種ノードに送信する第３のステップ、
および上記第１種ノードが、上記プログラムを、上記第３のステップで送信された書き換えプログラムによって書き換える第４のステップを含むことを特徴とするプログラム書き換え方法。 A first step in which the third type node transmits a program rewrite instruction of the first type node to the first type node via the network;
A second step in which the first type node divides the program in response to receiving the rewrite instruction, and transmits each divided program to a plurality of second type nodes via the network;
A third step in which the third type node transmits a rewriting program for rewriting the program to the first type node;
A program rewriting method comprising: a fourth step in which the first type node rewrites the program by the rewriting program transmitted in the third step.
この第５のステップにより異常が検出された場合に、上記各第２種ノードがそれぞれ保存している上記分割プログラムを上記第１種ノードに送信する第６のステップ、
および上記第１種ノードが、上記第６のステップにより送信された分割プログラムにより、上記第４のステップで書き換えたプログラムの該当部分を、書き換える第７のステップを含むことを特徴とする請求項６に記載のプログラム書き換え方法。 A fifth step in which, after rewriting the program in the fourth step, the first type node or the second type node detects an abnormal operation of the first type node;
A sixth step of transmitting the divided program stored in each of the second type nodes to the first type node when an abnormality is detected in the fifth step;
And the first type node includes a seventh step of rewriting a corresponding part of the program rewritten in the fourth step by the divided program transmitted in the sixth step. The program rewrite method described in 1.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016081650A JP6165292B1 (en) | 2016-04-15 | 2016-04-15 | Program rewriting system and program rewriting method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016081650A JP6165292B1 (en) | 2016-04-15 | 2016-04-15 | Program rewriting system and program rewriting method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP6165292B1 JP6165292B1 (en) | 2017-07-19 |
| JP2017191529A true JP2017191529A (en) | 2017-10-19 |
Family
ID=59351367
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2016081650A Active JP6165292B1 (en) | 2016-04-15 | 2016-04-15 | Program rewriting system and program rewriting method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6165292B1 (en) |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005339049A (en) * | 2004-05-25 | 2005-12-08 | Toshiba Corp | Paper sheet processing system |
| JP2013246718A (en) * | 2012-05-28 | 2013-12-09 | Auto Network Gijutsu Kenkyusho:Kk | Control system and program updating method |
-
2016
- 2016-04-15 JP JP2016081650A patent/JP6165292B1/en active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005339049A (en) * | 2004-05-25 | 2005-12-08 | Toshiba Corp | Paper sheet processing system |
| JP2013246718A (en) * | 2012-05-28 | 2013-12-09 | Auto Network Gijutsu Kenkyusho:Kk | Control system and program updating method |
Also Published As
| Publication number | Publication date |
|---|---|
| JP6165292B1 (en) | 2017-07-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6675271B2 (en) | Gateway device, in-vehicle network system, and firmware update method | |
| JP6741559B2 (en) | Evaluation device, evaluation system, and evaluation method | |
| US11803366B2 (en) | Firmware updating system and method | |
| JP7280412B2 (en) | GATEWAY DEVICE, IN-VEHICLE NETWORK SYSTEM AND FIRMWARE UPDATE METHOD | |
| CN104426669B (en) | Method for the protected transmission of data | |
| TW201929441A (en) | System and method for online functional testing for error-correcting code function | |
| US20230409491A1 (en) | Memory device with cryptographic kill switch | |
| CN111786820B (en) | Firmware updating method and device and network equipment | |
| CN210310316U (en) | Autonomous driving controller for vehicle autonomous driving system | |
| EP3565176A1 (en) | Data transfer system and transfer method | |
| CN105279441A (en) | Methods and architecture for encrypting and decrypting data | |
| CN111095200A (en) | Method, device and equipment for safely upgrading embedded program and storage medium | |
| JP2016134671A (en) | Data generation device, communication device, communication system, mobile, data generation method and program | |
| JP6165292B1 (en) | Program rewriting system and program rewriting method | |
| CN112242903B (en) | Hybrid device and method for performing secure boot procedure for hybrid device | |
| EP3979113B1 (en) | Secure startup method, target controller, auxiliary controller, control system, vehicle-mounted device, and computer-readable storage medium | |
| CN113204365A (en) | Charging pile upgrading method and intelligent charging pile | |
| KR102236282B1 (en) | Method and system for authenticating communication data of vehicle | |
| JP6103565B1 (en) | Program rewriting system and program rewriting method | |
| CN113542265A (en) | Local network security management, device, computer equipment and storage medium | |
| US10359753B2 (en) | Program rewriting system and program rewriting method | |
| KR102649908B1 (en) | Vehicle communication system, communication method, and storage medium storing communication program | |
| US20240036878A1 (en) | Method for booting an electronic control unit | |
| EP4220461A1 (en) | Accelerated secure boot for embedded controllers | |
| CN115729123A (en) | Control method and device for Electronic Control Unit (ECU) |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170523 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170620 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 6165292 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |