JP2019073106A - 電子制御装置 - Google Patents

Abstract

【課題】供給電圧値が書き換え保証電圧値よりも低下している状態でプログラム又はデータが書き換えられる事態の発生を未然に回避する。【解決手段】電子制御装置２は、メモリ２ａ，２ｂに蓄積されているプログラム又はデータを書き換える書き換え部と、書き換え中の供給電圧値の推移状況を取得する推移状況取得部と、書き換えの進捗状況を取得する進捗状況取得部と、書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定する判定部と、を備える。【選択図】図１

Description

本発明は、電子制御装置に関する。

従来より、車両ネットワークに接続されている電子制御装置において、外部装置との間や車両ネットワーク内で送受信されるプログラム又はデータをメモリに書き込んで蓄積する構成が供されている（例えば特許文献１参照）。

特開２０１７−１１３７４号公報

この種の構成では、メモリに蓄積されているプログラム又はデータの書き換えが無人環境で実施されることがある。その場合、電子制御装置を遠隔操作により起動して書き換えを開始することになるが、電子制御装置への供給電圧値が書き換え保証電圧値を超えている状態で書き換えを終了する必要がある。即ち、供給電圧値が書き換え保証電圧値よりも低下している状態で書き換えられると、書き込まれたプログラム又はデータに化けや抜けが発生する等し、書き込まれたプログラム又はデータを保証し得なくなる虞がある。このような事情から、供給電圧値が書き換え保証電圧値よりも低下している状態でプログラム又はデータが書き換えられる事態の発生を未然に回避する仕組みが望まれている。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、供給電圧値が書き換え保証電圧値よりも低下している状態でプログラム又はデータが書き換えられる事態の発生を未然に回避することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、メモリ（１ａ，２ａ，２ｂ，３ａ，３ｂ，４ａ，５ａ）は、外部装置（１０〜１２）との間や車両ネットワーク（８，９）内で送受信されるプログラム又はデータを蓄積する。書き換え部（１７ｃ）は、メモリに蓄積されているプログラム又はデータを書き換える。推移状況取得部（１７ｄ）は、書き換え中の供給電圧値の推移状況を取得する。進捗状況取得部（１７ｅ）は、書き換えの進捗状況を取得する。判定部（１７ｈ）は、書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定する。

書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定するようにした。供給電圧値が書き換え保証電圧値よりも低下している状態でプログラム又はデータが書き換えられる事態の発生を未然に回避することができ、供給電圧値が書き換え保証電圧値を超えている状態でのプログラム又はデータの書き換えを担保することができる。これにより、供給電圧値が書き換え保証電圧値を超えている状態でプログラム又はデータが書き換えられることで、書き込まれたプログラム又はデータを適切に保証することができる。

一実施形態を示す電子制御装置及び周辺の構成を示す図 機能ブロック図 メモリ構成を示す図 供給電圧値及び書き換え残量の推移を示す図（その１） 供給電圧値及び書き換え残量の推移を示す図（その２） ウェイクアップ処理を示すシーケンス図 書き換え処理を示すシーケンス図 書き換え処理を示すフローチャート（その１） 書き換え処理を示すフローチャート（その２）

以下、本発明の一実施形態について図面を参照して説明する。図１に示すように、車両内には複数の電子制御装置１〜５と車載通信機６と電源制御装置７とが搭載されている。電子制御装置１〜５は、それぞれ車両内においてノードとして機能し、プログラム又はデータを蓄積するメモリを有する。電子制御装置１はメモリ１ａを有し、電子制御装置２はメモリ２ａ，２ｂを有し、電子制御装置３はメモリ３ａ，３ｂを有し、電子制御装置４はメモリ４ａを有し、電子制御装置５はメモリ５ａを有する。尚、電子制御装置１〜５に設けられるメモリの個数や容量は任意である。

電子制御装置１は、通信バス８（車両ネットワークに相当する）を介して電子制御装置２，３及び電源制御装置７と接続され、通信バス９（車両ネットワークに相当する）を介して電子制御装置４，５と接続されている。電子制御装置１は、例えばゲートウェイＥＣＵであり、電子制御装置２〜５との間でプログラム又はデータを中継する中継機能を有する。電子制御装置１は、車両内においてプログラム又はデータを各ノードに配信することで、各ノードのメモリに蓄積されているプログラム又はデータの書き換えを管理する配信ノードとして機能する。

電子制御装置２〜５は、配信ノードとして機能する電子制御装置１から配信されたプログラム又はデータを受信することで、メモリに蓄積されているプログラム又はデータを書き換える書き換えノードとして機能する。電子制御装置２〜５は、例えばエンジンの制御を行うエンジンＥＣＵ、ブレーキの制御を行うブレーキＥＣＵ、ステアリングの制御を行うステアリングＥＣＵ、自動変速機の制御を行うトランスミッションＥＣＵ、ナビゲーションの制御を行うナビゲーションＥＣＵ、電子式料金収受システムとの通信制御を行うＥＴＣＥＣＵ、ドアのロック／アンロックの制御を行うドアＥＣＵ、メータの表示制御を行うメータＥＣＵ、エアコンの制御を行うエアコンＥＣＵ、ウィンドウの開閉制御を行うウィンドウＥＣＵ等である。

通信バス８，９は、例えばマルチメディア系の通信バス、パワートレイン系の通信バス、ボディ系の通信バス等であり、ＣＡＮ（Controller Area Network、登録商標）、ＬＩＮ（Local Interconnect Network）、ＣＸＰＩ（Clock Extension Peripheral Interface、登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Media Oriented Systems Transport、登録商標）等から構成されている。通信バス８，９は、通信プロトコルや通信速度や信号フォーマットが共通であっても良いし互いに異なっていても良い。又、電子制御装置の個数や通信バスの本数は例示した構成に限らない。

電子制御装置１は、車両ボディのコネクタに対して配線ケーブルが装着されたことで車両診断ツール１０（外部装置に相当する）と有線接続されると、車両診断ツール１０との間でプログラム又はデータを送受信する。車両診断ツール１０は、作業者が車両診断を行うために操作するツールである。

又、電子制御装置１は、車載通信機６との間でプログラム又はデータを送受信する。車載通信機６は、クラウド１１（外部装置に相当する）との間で広域通信ネットワークを介して無線接続されると、クラウド１１との間でプログラム又はデータを送受信する。クラウド１１は、例えばセンタ端末やサーバ等である。車載通信機６は、車両接続端末１２（外部装置に相当する）との間で近距離通信ネットワークを介して無線接続されると、車両接続端末１２との間でプログラム又はデータを送受信する。車両接続端末１２は、例えばユーザが携帯可能なスマートフォンやタブレット端末等である。以下、車両診断ツール１０、クラウド１１、車両接続端末１２を外部装置１０〜１２と総称する。電源制御装置７は、車両に搭載されているバッテリから各ノードへの電源電圧の供給を制御する。

次に、電子制御装置１〜５の構成について説明する。尚、書き換えノードである電子制御装置２〜５は基本的に同じ構成であるので、電子制御装置２を代表して説明する。即ち、配信ノードと書き換えノードの関係として電子制御装置１と電子制御装置２との関係について説明するが、電子制御装置１と電子制御装置３〜５との関係についても同様である。

図２に示すように、配信ノードである電子制御装置１は、ウェイクアップ制御部１３と、マイクロコンピュータ（以下、マイコンと称する）１４とを有する。ウェイクアップ制御部１３は、ウェイクアップ要求やスリープ要求をマイコン１４に出力し、マイコン１４のウェイクアップ状態とスリープ状態とを切り換える。マイコン１４は、スリープ状態では低消費電力で動作し、ウェイクアップ制御部１３からのウェイクアップ要求の入力を監視する。マイコン１４は、ＣＰＵ、ＲＡＭ、ＲＯＭ、Ｉ／Ｏポート等を有し、ソフトウェア等により実現される内部の機能として、送受信部１４ａと、配信部１４ｂと、バッテリ電圧値取得部１４ｃと、供給電圧値取得部１４ｄとを有する。

送受信部１４ａは、プログラム又はデータを通信バス８，９との間で送受信することで、車両側から外部装置１０〜１２に送信される車両状態や制御履歴に関するデータを送信し、外部装置１０〜１２から車両側に受信された車両制御に関するプログラム又はデータを受信する。配信部１４ｂは、プログラム又はデータを、通信バス８，９を介して書き換えノードである電子制御装置２〜５に配信する。

バッテリ電圧値取得部１４ｃは、バッテリ電圧値要求を電源制御装置７に送信し、車両バッテリのバッテリ電圧値を電源制御装置７から受信して取得する。供給電圧値取得部１４ｄは、供給電圧値要求を電子制御装置２〜５に送信し、電子制御装置２〜５の供給電圧値を当該電子制御装置２〜５から受信して取得する。

書き換えノードである電子制御装置２は、ウェイクアップ制御部１５と、供給電圧値監視部１６と、マイコン１７とを有する。ウェイクアップ制御部１５は、ウェイクアップ要求やスリープ要求をマイコン１７に出力し、マイコン１７のウェイクアップ状態とスリープ状態とを切り換える。供給電圧値監視部１６は、電子制御装置２への供給電圧値を監視する。マイコン１７は、スリープ状態では低消費電力で動作し、ウェイクアップ制御部１５からのウェイクアップ要求の入力を監視する。マイコン１７は、ＣＰＵ、ＲＡＭ、ＲＯＭ、Ｉ／Ｏポート等を有し、ソフトウェア等により実現される内部の機能として、送受信部１７ａと、モード切り換え部１７ｂと、書き換え部１７ｃと、推移状況取得部１７ｄと、進捗状況取得部１７ｅと、書き込み完了タイミング算出部１７ｆと、閾値タイミング算出部１７ｇと、判定部１７ｈと、制御実施部１７ｉとを有する。

図３に示すように、電子制御装置２のメモリ２ａは、制御プログラム、制御データ、書き換えプログラムを記憶する制御用記憶領域１８ａと、プログラム又はデータを蓄積する第１蓄積専用領域１８ｂ及び第２蓄積専用領域１８ｃと、フラグ情報を記憶する記憶領域１８ｄとを有する。電子制御装置２のメモリ２ａは、プログラム又はデータを２面構成で蓄積する。供給電圧値が書き換え保証電圧値を超えている状態でプログラム又はデータが書き換えられると、その書き込まれたプログラム又はデータを保証し得るが、供給電圧値が書き換え保証電圧値を低下している状態でプログラム又はデータが書き換えられると、その書き込まれたプログラム又はデータに化けや抜けが発生する等し、その書き込まれたプログラム又はデータを保証し得ない虞がある。

送受信部１７ａは、プログラム又はデータを通信バス８との間で送受信することで、車両側から外部装置１０〜１２に送信される車両状態や制御履歴に関するプログラム又はデータを受信し、外部装置１０〜１２から車両側に受信された車両制御に関するプログラム又はデータを受信する。モード切換部１７ｂは、スリープモードとウェイクアップモードとを切り換える。

書き換え部１７ｃは、メモリ２ａの第１蓄積専用領域１８ｂ及び第２蓄積専用領域１８ｃのうち何れかに蓄積されているプログラム又はデータを書き換える。推移状況取得部１７ｄは、書き換え中の供給電圧値の推移状況を取得する。進捗状況取得部１７ｅは、書き換えの進捗状況を取得する。書き込み完了タイミング算出部１７ｆは、書き換えの進捗状況から書き込み完了タイミングを算出する。閾値タイミング算出部１７ｇは、書き換え中の供給電圧値の推移状況から当該供給電圧値が書き換え保証電圧値未満となる閾値タイミングを算出する。

判定部１７ｈは、書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定する。即ち、判定部１７ｈは、図４に示すように、供給電圧値の低下速度に対して書き換え残量の減少速度が相対的に速く、書き込み完了タイミングが閾値タイミングよりも前であると判定すると、書き換えを継続実施可能であると判定する。即ち、供給電圧値が書き換え保証電圧値を超えている状態でプログラム又はデータの書き換えを終了することになるので、その書き込まれたプログラム又はデータを保証し得る。

一方、判定部１７ｈは、図５に示すように、供給電圧値の低下速度に対して書き換え残量の減少速度が相対的に遅く、書き込み完了タイミングが閾値タイミングよりも後であると判定すると、書き換えを継続実施不能であると判定する。即ち、供給電圧値が書き換え保証電圧値を超えている状態でプログラム又はデータの書き換えを終了せず、供給電圧値が書き換え保証電圧値を低下している状態でプログラム又はデータを書き換えることなるので、その書き込まれたプログラム又はデータに化けや抜けが発生する等し、その書き込まれたプログラム又はデータを保証し得ない。

制御実施部１７ｉは、メモリ２ａの第１蓄積専用領域１８ｂ及び第２蓄積専用領域１８ｃのうち何れかに蓄積されているプログラム又はデータを用いて車両制御を実施する。

次に、上記した構成の作用について図６から図９を参照して説明する。
図６に示すように、配信ノードである電子制御装置１は、外部装置１０〜１２から送信されたウェイクアップ要求を受信すると、スリープ状態からウェイクアップ状態に移行し、ウェイクアップ要求を電源制御装置７に送信し、バッテリ電圧値要求を電源制御装置７に送信する。電源制御装置７は、電子制御装置１から送信されたウェイクアップ要求を受信すると、スリープ状態からウェイクアップ状態に移行し、電子制御装置１から送信されたバッテリ電圧値要求を受信すると、その時点の車両バッテリのバッテリ電圧値を確認し、バッテリ電圧値が所定電圧値以上であれば、肯定応答を電子制御装置１に送信し、バッテリ電圧値が所定電圧値以上でなければ、否定応答を電子制御装置１に送信する。

電子制御装置１は、電源制御装置７から肯定応答を受信すると、バッテリ電圧値を取得し、肯定応答を外部装置１０〜１２に送信し、外部装置１０〜１２からのプログラム又はデータの受信を待機する。電子制御装置１は、外部装置１０〜１２からプログラム又はデータを受信すると、その受信したプログラム又はデータの配信先を特定し、肯定応答を外部装置１０〜１２に送信し、ウェイクアップ要求をプログラム又はデータの配信先に送信する。即ち、電子制御装置１は、プログラム又はデータの配信先として電子制御装置２を特定すると、ウェイクアップ要求を電子制御装置２に送信する。
これ以降、書き換えノードである電子制御装置２のマイコン１７の書き換え処理について説明する。

マイコン１７は、スリープ状態において、ウェイクアップ制御部１５からウェイクアップ要求を入力したか否かを判定する（Ｓ１）。マイコン１７は、電子制御装置１からウェイクアップ要求が受信されたことで、ウェイクアップ制御部１５からウェイクアップ要求を入力したと判定すると（Ｓ１：ＹＥＳ）、スリープ状態からウェイクアップ状態に移行し（Ｓ２）、書き換え処理を開始し、その入力したウェイクアップ要求が自ノード宛てのウェイクアップ要求であるか否かを判定する（Ｓ３）。マイコン１７は、自ノード宛てのウェイクアップ要求でないと判定すると（Ｓ３：ＮＯ）、ウェイクアップ状態からスリープ状態から移行し（Ｓ４）、書き換え処理を終了する。

マイコン１７は、自ノード宛てのウェイクアップ要求であると判定すると（Ｓ３：ＹＥＳ）、認証を実施する（Ｓ５）。マイコン１７は、認証が成立したか否かを判定し（Ｓ６）、認証が成立しなかったと判定すると（Ｓ６：ＮＯ）、書き換え処理を終了する。

マイコン１７は、認証が成立したと判定すると（Ｓ６：ＹＥＳ）、定応答を電子制御装置１に送信し（Ｓ７）、電子制御装置１からの供給電圧値要求の受信を待機する（Ｓ８）。マイコン１７は、電子制御装置１から供給電圧値要求を受信したと判定すると（Ｓ８：ＹＥＳ）、その時点の供給電圧値を確認し（Ｓ９）、供給電圧値を所定電圧値以上であるか否かを判定する（Ｓ１０）。マイコン１７は、供給電圧値が所定電圧値以上でないと判定すると（Ｓ１０：ＮＯ）、書き換え条件が成立していないと判定し、否定応答を電子制御装置１に送信し（Ｓ１１）、書き換え処理を終了する。

マイコン１７は、供給電圧値が所定電圧値以上であると判定すると（Ｓ１０：ＹＥＳ）、書き換え条件が成立していると判定し、肯定応答を電子制御装置１に送信し（Ｓ１２）、その供給電圧値を書き換え前電圧値として記憶し（Ｓ１３）、電子制御装置１からの消去要求の受信を待機する（Ｓ１４）。

マイコン１７は、電子制御装置１から消去要求を受信したと判定すると（Ｓ１４：ＹＥＳ）、その時点の供給電圧値を確認し（Ｓ１５）、その供給電圧値を用い、その供給電圧値の推移状況から当該供給電圧値が書き換え保証電圧値未満となる閾値タイミングを算出する（Ｓ１６）。マイコン１７は、供給電圧値と書き換え保証電圧値とを比較し（Ｓ１７）、供給電圧値が書き換え保証電圧値を超えていないと判定すると（Ｓ１７：ＮＯ）、書き換え条件が成立していないと判定し、否定応答を電子制御装置１に送信し（Ｓ１８）、書き換え処理を終了する。

マイコン１７は、供給電圧値が書き換え保証電圧値を超えていると判定すると（Ｓ１７：ＹＥＳ）、書き換え条件が成立していると判定し、消去処理を実施し（Ｓ１９）、消去処理を正常に終了すると、肯定応答を電子制御装置１に送信し（Ｓ２０）、電子制御装置１からの書き込み対象のプログラム又はデータの受信を待機する（Ｓ２１）。

マイコン１７は、電子制御装置１から書き込み対象のプログラム又はデータの受信を開始したと判定すると（Ｓ２１：ＹＥＳ）、その時点の供給電圧値を確認し（Ｓ２２）、その供給電圧値を用い、その供給電圧値の推移状況から当該供給電圧値が書き換え保証電圧値未満となる閾値タイミングを算出し（Ｓ２３）、書き込み対象のプログラム又はデータの書き込み処理を実施し（Ｓ２４）、書き換えの進捗状況から書き込み完了タイミングを算出する（Ｓ２５）。

マイコン１７は、書き込み完了タイミングと閾値タイミングとを比較し（Ｓ２６）、書き込み完了タイミングが閾値タイミングよりも後であると判定すると（Ｓ２６：ＮＯ）、書き換え条件が成立していないと判定し、否定応答を電子制御装置１に送信し（Ｓ２７）、書き換え処理を終了する。即ち、マイコン１７は、書き換えを継続実施不能であると判定する。

マイコン１７は、書き込み完了タイミングが閾値タイミングよりも前であると判定すると（Ｓ２６：ＹＥＳ）、書き換えを継続実施可能であると判定し、電子制御装置１から書き込み対象のプログラム又はデータの受信の終了を待機する（Ｓ２８）。マイコン１７は、電子制御装置１から書き込み対象のプログラム又はデータの受信を終了していないと判定すると（Ｓ２８：ＮＯ）、ステップＳ２２に戻り、ステップＳ２２以降を繰り返す。即ち、マイコン１７は、書き込み対象のプログラム又はデータの受信を開始すると、書き込み対象のプログラム又はデータの受信を終了するまで、供給電圧値を確認し続け、書き換えを継続実施可能であるか否かを判定し続ける。マイコン１７は、電子制御装置１から書き込み対象のプログラム又はデータの受信を終了したと判定すると（Ｓ２８：ＹＥＳ）、肯定応答を電子制御装置１に送信し（Ｓ２９）、電子制御装置１からのベリファイ要求の受信を待機する（Ｓ３０）。

マイコン１７は、電子制御装置１からベリファイ要求を受信したと判定すると（Ｓ３０：ＹＥＳ）、ベリファイ処理を実施し（Ｓ３１）、ベリファイ処理を正常に終了すると、肯定応答を電子制御装置１に送信し（Ｓ３２）、ウェイクアップ状態からスリープ状態に自律的に移行し（Ｓ３３）、書き換え処理を終了する。

尚、以上は、書き換えノードである電子制御装置２について例示したが、書き換えノードである電子制御装置３〜５についても同様である。即ち、電子制御装置３〜５は、上記したように電子制御装置２が書き込み完了タイミングと閾値タイミングとを比較して書き換えを継続実施可能であるか否かを判定するのと同様に、書き換えを継続実施可能であるか否かを判定する。

以上に説明したように本実施形態によれば、次に示す効果を得ることができる。
電子制御装置２〜５において、プログラム又はデータの書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定するようにした。供給電圧値が書き換え保証電圧値よりも低下している状態でプログラム又はデータが書き換えられる事態の発生を未然に回避することができ、供給電圧値が書き換え保証電圧値を超えている状態でのプログラム又はデータの書き換えを担保することができる。これにより、供給電圧値が書き換え保証電圧値を超えている状態でプログラム又はデータが書き換えられることで、書き込まれたプログラム又はデータを適切に保証することができる。

又、電子制御装置２〜５において、書き換えの進捗状況から書き込み完了タイミングを算出し、書き換え中の供給電圧値の推移状況から当該供給電圧値が書き換え保証電圧値未満となる閾値タイミングを算出し、書き込み完了タイミングが閾値タイミングよりも前である場合に書き換えを継続実施可能であると判定し、書き込み完了タイミングが閾値タイミングよりも後である場合に書き換えを継続実施不能であると判定するようにした。書き込み完了タイミングと閾値タイミングとを比較することで、書き換えを継続実施可能であるか否かを判定することができる。

又、電子制御装置２〜５において、プログラム又はデータを２面構成で蓄積し、書き換えタイミングが古い方の面に蓄積されているプログラム又はデータの書き換えが中止されると、書き換えタイミングが新しい方の面に蓄積されているプログラム又はデータを用いて制御を実施するようにした。例えば書き換え中に供給電圧値が急激に低下する等して書き換えを正常に終了しない事態に陥っても、書き換えタイミングが新しい方の面に蓄積されているプログラム又はデータを用いて車両制御を実施することができる。

又、電子制御装置２〜５において、配信ノードである電子制御装置１からウェイクアップ要求を受信したことでスリープモードからウェイクアップモードに移行した後に、そのウェイクアップ要求の送信元がプログラム又はデータの正規の配信元であることの認証が成立した場合に、書き換えを開始するようにした。書き換え対象の電子制御装置が書き換え時にスリープモードからウェイクアップモードに移行することで、消費電力の増大を適切に抑えることできる。

又、電子制御装置２〜５において、書き換えを終了すると、ウェイクアップモードからスリープモードに自律的に移行するようにした。配信ノードである電子制御装置１からのスリープ要求を受信することなくスリープモードに移行することで、消費電力の増大を適切に抑えることできる。特に車両バッテリからの供給電力を駆動電力とする構成では、消費電力の増大を抑えることで、所謂バッテリ上がりを適切に回避することができる。この場合、電子制御装置１がスリープ要求を送信しないことで、通信バス８，９におけるバス負荷の増大を適切に抑えることもできる。

又、電子制御装置２〜５において、書き換えを継続実施不能であると判定すると、書き換えを中止し、書き換えを継続実施不能である旨を外部装置１０〜１２に送信するようにした。書き換えを継続実施不能である旨を車両外部に通知することができる。

又、電子制御装置１において、車両バッテリのバッテリ電圧値を電源制御装置７から取得し、バッテリ電圧値が書き換え保証電圧値以上である場合に、プログラム又はデータを配信先に配信するようにした。書き換え前のタイミングで書き換え可能な電圧環境であるか否かを車両バッテリのバッテリ電圧値により判定することで、プログラム又はデータを不要に配信する事態の発生を未然に回避することができる。

又、電子制御装置１において、プログラム又はデータの配信先の供給電圧値を取得し、配信先の供給電圧値が書き換え保証電圧値以上である場合に、プログラム又はデータを配信先に配信するようにした。書き換え前のタイミングで書き換え可能な電圧環境であるか否かを配信先の供給電圧値により判定することで、プログラム又はデータを不要に配信する事態の発生を未然に回避することができる。

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

書き換えノードである電子制御装置２〜５において、メモリに蓄積されているプログラム又はデータを、電子制御装置１から配信されたプログラム又はデータにしたがって書き換える構成を例示したが、配信ノードである電子制御装置１においても、メモリに蓄積されているプログラム又はデータを書き換える構成でも良い。

電子制御装置２〜５において、書き換えを終了すると、ウェイクアップモードからスリープモードに自律的に移行する構成を例示したが、電子制御装置１からスリープ要求を受信した場合にウェイクアップモードからスリープモードに移行する構成でも良い。このように構成すれば、スリープモードに自律的に切り換えることが不能な構成でも、電子制御装置１からスリープ要求を受信してスリープモードに移行することで、消費電力の増大を適切に抑えることできる。

外部装置１０〜１２との間で送受信されるプログラム又はデータを対象とする構成を例示したが、車両ネットワーク内で送受信されるプログラム又はデータを対象としても良い。即ち、車両内のみで扱うプログラム又はデータを書き換える場合に適用しても良い。又、車両ネットワークからウェイクアップ要求やスリープ要求を受信する構成でも良く、書き換えを継続実施不能であると判定すると、書き換えを継続実施不能である旨を車両ネットワークに送信する構成でも良い。

図面中、１〜５は電子制御装置、１ａ，２ａ，２ｂ，３ａ，３ｂ，４ａ，５ａはメモリ、８，９は通信バス（車両ネットワーク）、１０は車両診断ツール（外部装置）、１１はクラウド（外部装置）、１２は車両接続端末（外部装置）、１４ｂは配信部、１４ｃはバッテリ電圧値取得部、１４ｄは供給電圧値取得部、１７ａは送受信部、１７ｂはモード切り換え部、１７ｃは書き換え部、１７ｄは推移状況取得部、１７ｅは進捗状況取得部、１７ｆは書き込み完了タイミング算出部、１７ｇは閾値タイミング算出部、１７ｈは判定部である。

Claims (9)

1. 車両ネットワーク（８，９）に接続されている電子制御装置であって、
   外部装置（１０〜１２）との間や車両ネットワーク（８，９）内で送受信されるプログラム又はデータを蓄積するメモリ（１ａ，２ａ，２ｂ，３ａ，３ｂ，４ａ，５ａ）と、
   前記メモリに蓄積されているプログラム又はデータを書き換える書き換え部（１７ｃ）と、
   書き換え中の供給電圧値の推移状況を取得する推移状況取得部（１７ｄ）と、
   書き換えの進捗状況を取得する進捗状況取得部（１７ｅ）と、
   書き換え中の供給電圧値の推移状況と書き換えの進捗状況とを用い、書き換えを継続実施可能であるか否かを判定する判定部（１７ｈ）と、を備えた電子制御装置。
2. 書き換えの進捗状況から書き込み完了タイミングを算出する書き込み完了タイミング算出部（１７ｆ）と、
   書き換え中の供給電圧値の推移状況から当該供給電圧値が書き換え保証電圧値未満となる閾値タイミングを算出する閾値タイミング算出部（１７ｇ）と、を備え、
   前記書き換え部は、書き換え前の供給電圧値が所定電圧値以上であるときに書き換えを開始し、
   前記判定部は、書き換えが開始された以降では、書き込み完了タイミングが閾値タイミングよりも前である場合には、書き換えを継続実施可能であると判定し、書き込み完了タイミングが閾値タイミングよりも後である場合には、書き換えを継続実施不能であると判定する請求項１に記載した電子制御装置。
3. 車両制御を実施する制御実施部（１７ｉ）を備え、
   前記メモリは、プログラム又はデータを２面構成で蓄積し、
   前記書き換え部は、書き換えタイミングが古い方の面に蓄積されているプログラム又はデータを書き換え、
   前記制御実施部は、書き換えタイミングが古い方の面に蓄積されているプログラム又はデータの書き換えが中止されると、書き換えタイミングが新しい方の面に蓄積されているプログラム又はデータを用いて車両制御を実施する請求項１又は２に記載した電子制御装置。
4. スリープモードとウェイクアップモードとを切り換えるモード切り換え部（１７ｂ）を備え、
   前記モード切り換え部は、前記外部装置や前記車両ネットワークからウェイクアップ要求が受信されると、スリープモードからウェイクアップモードに切り換え、
   前記書き換え部は、スリープモードからウェイクアップモードに切り換えられた後に、そのウェイクアップ要求の送信元がプログラム又はデータの正規の配信元であることの認証が成立した場合に、書き換えを開始する請求項１から３の何れか一項に記載した電子制御装置。
5. 前記モード切り換え部は、書き換えが終了されると、ウェイクアップモードからスリープモードに自律的に切り換える請求項４に記載した電子制御装置。
6. 前記モード切り換え部は、書き換えが終了されると、前記外部装置や前記車両ネットワークからスリープ要求が受信された場合にウェイクアップモードからスリープモードに切り換える請求項４に記載した電子制御装置。
7. 前記外部装置や前記車両ネットワークとの間で通知情報を送受信する送受信部（１７ａ）を備え、
   前記書き換え部は、書き換えを継続実施不能であると判定されると、書き換えを中止し、
   前記送受信部は、書き換えが中止されると、書き換えを継続実施不能である旨を前記外部装置や前記車両ネットワークに送信する請求項１から６の何れか一項に記載した電子制御装置。
8. プログラム又はデータを配信先に配信する配信部（１４ｂ）と、
   車両電源の制御機能を有する電源制御装置（７）から車両バッテリのバッテリ電圧値を取得するバッテリ電圧値取得部（１４ｃ）と、を備え、
   前記配信部は、車両バッテリのバッテリ電圧値が書き換え保証電圧値以上である場合に、プログラム又はデータを配信先に配信する請求項１から７の何れか一項に記載した電子制御装置。
9. プログラム又はデータの配信先の供給電圧値を取得する供給電圧値取得部（１４ｄ）を備え、
   前記配信部は、配信先の供給電圧値が書き換え保証電圧値以上である場合に、プログラム又はデータを配信先に配信する請求項８に記載した電子制御装置。

Images