JP2019070906A - 電子制御装置のソフトウェア書換方法 - Google Patents

Abstract

【課題】ソフトウェアの書換時間を短縮すると共に書換後のセキュリティの信頼性を確保する。【解決手段】コンピュータが、高速通信インターフェースと外部書込装置との接続および遮断を司る接続部に両者の接続指示を送信する接続指示機能を有すると共に記憶媒体に記憶された第１ソフトウェアを実行して、接続指示機能により接続部に接続指示を送信し、接続部が、接続指示に応じて高速通信インターフェースと外部書込装置とを接続する。続いて、外部書込装置が、記憶媒体に記憶された第１ソフトウェアを接続指示機能を有しない第２ソフトウェアに高速通信により書き換える。そして、接続部が、高速通信インターフェースと外部書込装置とを遮断する。【選択図】図３

Description

本発明は、電子制御装置のソフトウェア書換方法に関する。

従来、この種の電子制御装置のソフトウェア書換方法としては、書換可能な記憶媒体と通信ネットワーク（ＣＡＮ）を介してデータ通信を行なう通信回路とをそれぞれ有する車両用の複数の電子制御装置（書換対象ＥＣＵ）と書換装置とを同一の通信ネットワークに接続し、書換装置から複数の電子制御装置に対して単一の識別子で同時にデータを送信し、複数の電子制御装置からそれぞれ異なった識別子で書換装置に応答データを送信することにより、複数の電子制御装置に対して並列で同一のソフトウェアの書換動作を実行するものが提案されている（例えば、特許文献１参照）。

特開２０１４−１９４６８８号公報

上述の電子制御装置のソフトウェア書換方法では、書込装置による電子制御装置のソフトウェアの書換動作を低速通信（ＣＡＮ通信）により行なうから、ソフトウェアの書換時間が長くなる。これに対して、この書換動作を高速通信により行なうことも考えられるが、一般に、高速通信は低速通信に比してセキュリティが低いことから、その後のソフトウェアの再書換が容易となり、セキュリティの信頼性の確保が課題となる。

本発明の電子制御装置のソフトウェア書換方法は、ソフトウェアの書換時間を短縮すると共に書換後のセキュリティの信頼性を確保することを主目的とする。

本発明の電子制御装置のソフトウェア書換方法は、上述の主目的を達成するために以下の手段を採った。

本発明の電子制御装置のソフトウェア書換方法は、
書換可能な記憶媒体、外部装置との低速通信を司る低速通信インターフェース、外部装置との高速通信を司る高速通信インターフェース、を有するコンピュータを備える車両用の電子制御装置における前記記憶媒体に記憶されたソフトウェアを外部書込装置により書き換える電子制御装置のソフトウェア書換方法であって、
（ａ）前記コンピュータが、前記高速通信インターフェースと前記外部書込装置との接続および遮断を司る接続部に両者の接続指示を送信する接続指示機能を有すると共に前記記憶媒体に記憶された第１ソフトウェアを実行して、前記接続指示機能により前記接続部に前記接続指示を送信し、
（ｂ）前記接続部が、前記接続指示に応じて前記高速通信インターフェースと前記外部書込装置とを接続し、
（ｃ）前記外部書込装置が、前記記憶媒体に記憶された前記第１ソフトウェアを前記接続指示機能を有しない第２ソフトウェアに前記高速通信により書き換え、
（ｄ）前記接続部が、前記高速通信インターフェースと前記外部書込装置とを遮断する、
ことを要旨とする。

この本発明の電子制御装置のソフトウェア書換方法では、コンピュータが、高速通信インターフェースと外部書込装置との接続および遮断を司る接続部に両者の接続指示を送信する接続指示機能を有すると共に記憶媒体に記憶された第１ソフトウェアを実行して、接続指示機能により接続部に接続指示を送信し、接続部が、接続指示に応じて高速通信インターフェースと外部書込装置とを接続する。続いて、外部書込装置が、記憶媒体に記憶された第１ソフトウェアを接続指示機能を有しない第２ソフトウェアに高速通信により書き換える。そして、接続部が、高速通信インターフェースと外部書込装置とを遮断する。したがって、外部書込装置が記憶媒体のソフトウェアを低速通信により書き換えるものに比して、ソフトウェアの書換時間を短縮することができる。そして、ソフトウェアの書換後に高速通信インターフェースと外部書込装置とを遮断し且つ第２ソフトウェアが接続指示機能を有しないことにより、書換後のセキュリティの信頼性を確保することができる。

こうした本発明の電子制御装置のソフトウェア書換方法において、前記ステップ（ｃ）は、前記電子制御装置を再起動することにより、前記接続部が、前記高速通信インターフェースと前記外部書込装置とを遮断するものとしてもよい。

また、本発明の電子制御装置のソフトウェア書換方法において、前記接続部は、前記高速通信インターフェースと前記外部書込装置との物理的な接続および遮断を司るハードウェアゲートシステムと、前記接続指示を受けると前記ハードウェアゲートシステムに前記高速通信インターフェースと前記外部書込装置とを接続させて且つその接続を保持させるラッチ回路と、を有するものとしてもよい。

本発明の変形例の電子制御装置のソフトウェア書換システムは、
書換可能な記憶媒体、外部装置との低速通信を司る低速通信インターフェース、外部装置との高速通信を司る高速通信インターフェース、を有するコンピュータを備える車両用の電子制御装置と、
前記記憶媒体に記憶されたソフトウェアを書き換える外部書込装置と、
を備える電子制御装置のソフトウェア書換システムであって、
前記電子制御装置は、前記コンピュータに加えて、前記高速通信インターフェースと前記外部書込装置との接続および遮断を司る接続部を更に有し、
前記記憶媒体には、前記高速通信インターフェースと前記外部書込装置との接続指示を前記接続部に送信する接続指示機能を有する第１ソフトウェアが記憶されており、
前記外部書込装置には、前記接続指示機能を有しない第２ソフトウェアが記憶されている、
ことを要旨とする。

この本発明の変形例の電子制御装置のソフトウェア書換システムでは、コンピュータが、高速通信インターフェースと外部書込装置との接続および遮断を司る接続部に両者の接続指示を送信する接続指示機能を有すると共に記憶媒体に記憶された第１ソフトウェアを実行して、接続指示機能により接続部に接続指示を送信し、接続部が、接続指示に応じて高速通信インターフェースと外部書込装置とを接続する。続いて、外部書込装置が、記憶媒体に記憶された第１ソフトウェアを接続指示機能を有しない第２ソフトウェアに高速通信により書き換える。そして、接続部が、高速通信インターフェースと外部書込装置とを遮断する。したがって、外部書込装置が記憶媒体のソフトウェアを低速通信により書き換えるものに比して、ソフトウェアの書換時間を短縮することができる。そして、ソフトウェアの書換後に高速通信インターフェースと外部書込装置とを遮断し且つ第２ソフトウェアが接続指示機能を有しないことにより、書換後のセキュリティの信頼性を確保することができる。

電子制御装置のソフトウェア書換システム１０の構成の概略を示す構成図である。 電子制御装置２０の製造方法の一例を示す工程図である。 フラッシュメモリ３４のソフトウェアの書換工程の一例を示す工程図である。

次に、本発明を実施するための形態を実施例を用いて説明する。

図１は、電子制御装置のソフトウェア書換システム１０の構成の概略を示す構成図である。図１に示すように、電子制御装置のソフトウェア書換システム１０は、車両用の電子制御装置２０と、外部書込装置６０と、製造設備７０と、を備える。電子制御装置２０は、本発明の一実施例としての電子制御装置のソフトウェア書換方法によりソフトウェアが書き換えられるものであり、マイクロコンピュータ（以下、「マイコン」という）３０と、電源ＩＣ４０と、接続部５０と、マイコン３０や電源ＩＣ４０、接続部５０などを収納する筐体２２と、を備える。なお、図１は、電子制御装置２０のソフトウェアの書換前の様子を示したものであり、外部書込装置６０や製造設備７０は、電子制御装置２０のソフトウェアの書換の際などに用いられるものである。

マイコン３０は、ＣＰＵ３１を中心とするマイクロプロセッサとして構成されており、ＣＰＵ３１に加えて、プログラムなどのソフトウェアを記憶するＲＯＭ３２や、データを一時的に記憶するＲＡＭ３３、書換可能でデータやソフトウェアを記憶保持する不揮発性のフラッシュメモリ３４、一定周期のパルス信号としてのウォッチドッグ信号（ＷＤ信号）を生成して電源ＩＣ４０に送信するウォッチドッグタイマ（以下、「ＷＤＴ」という）３５、通信ライン３６ａを介した電子制御装置２０外の装置（以下、「外部装置」という）との低速通信（例えばＣＡＮ通信）を司る低速通信インターフェース（以下、「Ｉ／Ｆ」という）３６、通信ライン３７ａを介した外部装置との高速通信を司る高速通信Ｉ／Ｆ３７、電源ＩＣ４０や接続部５０の後述のラッチ回路５４との内部通信を司る内部通信Ｉ／Ｆ（図示省略）などを備える。フラッシュメモリ３４には、接続部５０のラッチ回路５４に接続指示を送信する接続指示機能を有するソフトウェアＡ（実施例では、電子制御装置２０の検査用のソフトウェア）が記憶されている。図１では、通信ライン３６ａの一端部（内部端子）が低速通信Ｉ／Ｆ３６に接続されると共に他端部（外部端子）が筐体２２外に引き出されて外部装置としての製造設備７０に接続されており、通信ライン３７ａの一端部（内部端子）が高速通信Ｉ／Ｆ３７に接続されると共に他端部（外部端子）が筐体２２外に引き出されて外部装置としての外部書込装置６０に接続されている。なお、電子制御装置２０が出荷後に車両に搭載される際には、通信ライン３６ａの他端部（外部端子）は、その車両における他の電子制御装置や機器などに接続される。このマイコン３０は、電源ＩＣ４０からリセット指示を受信すると、再起動する。

電源ＩＣ４０は、電子制御装置２０全体の電源（各部品への電力供給）のオンオフを司る。この電源ＩＣ４０は、マイコン３０（ＷＤＴ３５）からＷＤ信号を受信したり、必要に応じてマイコン３０にリセット指示を送信したりする。また、電源ＩＣ４０は、電源ライン４１に接続された外部装置から電力供給を受けると共に、通信ライン４２に接続された外部装置と通信を行なう。図１では、電源ライン４１および通信ライン４２の一端部（内部端子）が電源ＩＣ４０に接続されると共に他端部（外部端子）が筐体２２外に引き出されて外部装置としての製造設備７０に接続されている。なお、電子制御装置２０が出荷後に車両に搭載される際には、電源ライン４１は、１２Ｖバッテリなどに接続される。

接続部５０は、通信ライン３７ａに設けられており、通信ライン３７ａの高速通信Ｉ／Ｆ３７側と外部装置側（図１では外部書込装置６０側）との物理的な（ハードでの）接続および遮断を司るハードウェアゲートシステム５２と、マイコン３０から接続指示を受信するとハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部装置側とを物理的に接続させて且つその接続を保持させるラッチ回路５４と、を備える。

外部書込装置６０は、ＣＰＵやＲＯＭ、ＲＡＭ、フラッシュメモリ、高速通信Ｉ／Ｆなどを備えるコンピュータとして構成されており、ＲＯＭやフラッシュメモリなどの何れかの記憶媒体６２には、上述の接続指示機能を有しないソフトウェアＢ（実施例では、車両制御用のソフトウェア）が記憶されている。図１では、上述したように、外部書込装置６０に、電子制御装置２０の通信ライン３７ａが接続されている。また、外部書込装置６０は、製造設備７０と通信可能となっている。

製造設備７０は、図示しないが、外部書込装置６０と同様のコンピュータや、製造設備７０に接続された装置にその作動用の電力を供給する電力供給部などを備える。図１では、上述したように、製造設備７０に、電子制御装置２０の電源ライン４１や通信ライン３６ａ，４２が接続されている。また、上述したように、製造設備７０は、外部書込装置６０と通信可能となっている。

次に、電子制御装置２０の製造方法について説明する。図２は、電子制御装置２０の製造方法の一例を示す工程図である。電子制御装置２０を製造する際には、マイコン３０や電源ＩＣ４０、接続部５０などの各部品を基板（図示省略）に実装し（工程Ｓ１００）、ソフトウェアＡが記憶された記憶媒体を有する書込装置（図示省略）をマイコン３０のフラッシュメモリ３４に高速通信Ｉ／Ｆ３７や通信ライン３７ａを介さずに接続し、この書込装置からマイコン３０のフラッシュメモリ３４に高速通信によりソフトウェアＡ（実施例では、電子制御装置２０の検査用のソフトウェア）を書き込む（工程Ｓ１１０）。

そして、フラッシュメモリ３４へのソフトウェアＡの書込が完了すると、基板を筐体２２に収納したり、電源ライン４１や通信ライン３６ａ，３７ａ，４２における外部装置との接続用の端部を筐体２２外に引き出すなどして、電子制御装置２０を組み立てる（工程Ｓ１２０）。

電子制御装置２０の組立が完了すると、電子制御装置２０の検査を行なう（工程Ｓ１３０）。この工程Ｓ１３０では、最初に、電源ライン４１や通信ライン３６ａ，４２を製造設備７０に接続する。電源ライン４１を製造設備７０に接続すると、製造設備７０から電子制御装置２０にその作動用の電力が供給されるようになる。そして、製造設備７０から通信ライン３６ａを介してマイコン３０に低速通信（例えばＣＡＮ通信）により検査モードへの移行指示を送信する。マイコン３０は、この移行指示を受信すると、検査モードに移行し、ソフトウェアＡを実行して電子制御装置２０の検査を行ない、その検査結果を通信ライン３６ａを介して製造設備７０に低速通信により送信する。製造設備７０は、内蔵のマイコンにより、電子制御装置２０が正常か否かを判定する。なお、電子制御装置２０の検査を完了しても、製造設備７０と電子制御装置２０との接続を継続させる。

そして、電子制御装置２０が正常である場合、通信ライン３７ａを外部書込装置６０に接続し、マイコン３０のフラッシュメモリ３４のソフトウェアＡ（実施例では、電子制御装置２０の検査用のソフトウェア）をソフトウェアＢ（実施例では、車両制御用のソフトウェア）に書き換えて（工程Ｓ１４０）、電子制御装置２０の製造を完了し、出荷する。この工程Ｓ１４０は、例えば、図３の工程図により行なわれる。

フラッシュメモリ３４のソフトウェアを書き換える書換工程では、図３に示すように、最初に、製造設備７０から通信ライン３６ａを介してマイコン３０に低速通信により書換モードへの移行指示を送信する（工程Ｓ２００）。マイコン３０は、この移行指示を受信すると、書換モードに移行してソフトウェアＡを実行し、ソフトウェアＡの接続指示機能によりラッチ回路５４に接続指示を送信する（工程Ｓ２１０）。ラッチ回路５４は、接続指示を受信すると、ハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側とを物理的に接続させてその接続を保持させ（工程Ｓ２２０）、その接続が完了すると、接続完了信号（フラッシュメモリ３４のソフトウェアを書換可能になった旨を示す信号）をマイコン３０に送信する（工程Ｓ２３０）。なお、その後も、ラッチ回路５４は、ハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側との接続を保持させる。

マイコン３０は、接続完了信号を受信すると、電源ＩＣ４０へのＷＤ信号の送信を停止する（工程Ｓ２４０）。電源ＩＣ４０は、マイコン３０からのＷＤ信号が停止すると、リセット指示をマイコン３０に送信する（工程Ｓ２５０）。マイコン３０は、リセット指示を受信すると、再起動する（工程Ｓ２６０）。なお、マイコン３０が再起動しても、ラッチ回路５４は、ハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側との接続を保持させる。

次に、外部書込装置６０は、フラッシュメモリ３４のソフトウェアＡをソフトウェアＢに通信ライン３７ａを介して高速通信により書き換える（工程Ｓ２８０）。これにより、フラッシュメモリ３４のソフトウェアを低速通信により書き換えるものに比して、ソフトウェアの書換時間を短縮することができる。そして、外部書込装置６０は、ソフトウェアの書換が完了すると、書換完了信号を製造設備７０に送信する（工程Ｓ２９０）。

製造設備７０は、書換完了信号を受信すると、電子制御装置２０の電源ＩＣ４０に通信ライン４２を介して電子制御装置２０の再起動指示を送信する（工程Ｓ３００）。電子制御装置２０の電源ＩＣ４０は、この再起動指示を受信すると、電子制御装置２０を再起動して（工程Ｓ３１０）、この書換工程を終了する。電子制御装置２０が再起動すると、ラッチ回路５４は、ハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側との接続を保持させるのを終了する。これにより、通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側とが遮断される。また、フラッシュメモリ３４のソフトウェアは、接続指示機能を有するソフトウェアＡから接続指示機能を有しないソフトウェアＢに書き換えられているから、マイコン３０からラッチ回路５４に接続指示が送信されることがなく、ラッチ回路５４がハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側とを接続させることもない。これらのことから、通信ライン３７ａが外部装置（一般ツールなど）に接続されたとしても、通信ライン３７ａを介してフラッシュメモリ３４のソフトウェアがソフトウェアＢから他のソフトウェアに書き換えられるのを抑止することができる。この結果、電子制御装置２０のセキュリティの信頼性を確保することができる。

以上説明した実施例の電子制御装置２０のソフトウェア書換方法では、書換工程において、マイコン３０がソフトウェアＡを実行してソフトウェアＡの接続指示機能によりラッチ回路５４に接続指示を送信し、ラッチ回路５４が接続指示に応じてハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側とを物理的に接続させてその接続を保持させる。続いて、外部書込装置６０がフラッシュメモリ３４のソフトウェアＡをソフトウェアＢに通信ライン３７ａを介して高速通信により書き換え、その書換完了後に、ラッチ回路５４がハードウェアゲートシステム５２に通信ライン３７ａの高速Ｉ／Ｆ３７側と外部書込装置６０側との接続を終了させる。これにより、外部書込装置６０がフラッシュメモリ３４のソフトウェアを低速通信により書き換えるものに比して、ソフトウェアの書換時間を短縮することができる。そして、ソフトウェアの書換後には、セキュリティの信頼性を確保することができる。

実施例の電子制御装置２０のソフトウェア書換方法では、フラッシュメモリ３４のソフトウェアＡ（電子制御装置２０の検査用のソフトウェア）をソフトウェアＢ（車両制御用のソフトウェア）に書き換える場合について説明した。しかし、ソフトウェアＡおよびソフトウェアＢは、電子制御装置２０の検査用のソフトウェアおよび車両制御用のソフトウェアに限定されるものではない。

実施例では、外部書込装置６０と製造設備７０とは、別体として構成されるものとしたが、一体に構成されるものとしてもよい。

実施例の主要な要素と課題を解決するための手段の欄に記載した発明の主要な要素との対応関係について説明する。実施例では、フラッシュメモリ３４が「記憶媒体」に相当し、低速通信Ｉ／Ｆ３６が「低速通信インターフェース」に相当し、高速通信Ｉ／Ｆ３７が「高速通信インターフェース」に相当し、マイコン３０が「コンピュータ」に相当し、電子制御装置２０が「電子制御装置」に相当し、外部書込装置６０が「外部書込装置」に相当し、接続部５０が「接続部」に相当する。

なお、実施例の主要な要素と課題を解決するための手段の欄に記載した発明の主要な要素との対応関係は、実施例が課題を解決するための手段の欄に記載した発明を実施するための形態を具体的に説明するための一例であることから、課題を解決するための手段の欄に記載した発明の要素を限定するものではない。即ち、課題を解決するための手段の欄に記載した発明についての解釈はその欄の記載に基づいて行なわれるべきものであり、実施例は課題を解決するための手段の欄に記載した発明の具体的な一例に過ぎないものである。

以上、本発明を実施するための形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において、種々なる形態で実施し得ることは勿論である。

本発明は、電子制御装置の製造産業などに利用可能である。

１０ ソフトウェア書換システム、２０ 電子制御装置、２２ 筐体、３０ マイコン、３１ ＣＰＵ、３２ ＲＯＭ、３３ ＲＡＭ、３４ フラッシュメモリ、３５ ウォッチドッグタイマ（ＷＤＴ）、３６ 低速通信インターフェース（Ｉ／Ｆ）、３７ 高速通信インターフェース（Ｉ／Ｆ）、３６ａ，３７ａ，４２ 通信ライン、４０ 電源ＩＣ、４１ 電源ライン、５０ 接続部、５２ ハードウェアゲートシステム、５４ ラッチ回路、６０ 外部書込装置、６２ 記憶媒体、７０ 製造設備。

Claims (1)

1. 書換可能な記憶媒体、外部装置との低速通信を司る低速通信インターフェース、外部装置との高速通信を司る高速通信インターフェース、を有するコンピュータを備える車両用の電子制御装置における前記記憶媒体に記憶されたソフトウェアを外部書込装置により書き換える電子制御装置のソフトウェア書換方法であって、
   （ａ）前記コンピュータが、前記高速通信インターフェースと前記外部書込装置との接続および遮断を司る接続部に両者の接続指示を送信する接続指示機能を有すると共に前記記憶媒体に記憶された第１ソフトウェアを実行して、前記接続指示機能により前記接続部に前記接続指示を送信し、
   （ｂ）前記接続部が、前記接続指示に応じて前記高速通信インターフェースと前記外部書込装置とを接続し、
   （ｃ）前記外部書込装置が、前記記憶媒体に記憶された前記第１ソフトウェアを前記接続指示機能を有しない第２ソフトウェアに前記高速通信により書き換え、
   （ｄ）前記接続部が、前記高速通信インターフェースと前記外部書込装置とを遮断する、
   電子制御装置のソフトウェア書換方法。

Images