JP2023104466A

JP2023104466A - 車載電子制御装置、及びメモリ制御方法

Info

Publication number: JP2023104466A
Application number: JP2022005463A
Authority: JP
Inventors: 碧大島; Midori Oshima
Original assignee: Hitachi Astemo Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2022-01-18
Filing date: 2022-01-18
Publication date: 2023-07-28

Abstract

【課題】不揮発性メモリから読み出したデータの正常性を確保する。【解決手段】車載電子制御装置であって、不揮発性メモリ及び揮発性メモリを含むマイコンを備え、前記不揮発性メモリは、その記憶領域をファンクションブロックより小さい大きさに分割した論理ブロックで構成されており、前記マイコンは、前記不揮発性メモリに格納されたデータのＥＣＣエラーを検出し、ＥＣＣエラー検出時に、前記ＥＣＣエラーが検出された論理ブロックのＣＲＣ計算を実行し、ＣＲＣエラーが検出された場合、前記不揮発性メモリに格納されたデータが異常であると判定する。【選択図】図５

Description

本発明は、自動車に搭載される電子制御装置に関し、不揮発性メモリの制御技術に関する。

車両には、様々な機能を提供する複数の電子制御装置（ＥＣＵ：Electric Control Unit）が搭載されている。ＥＣＵには、様々な機能が割り当てられたマイクロコンピュータ（以下、マイコンと称する）が搭載されている。マイコンは、不揮発性メモリ（ＲＯＭ：Read Only Memory）に記憶されている制御用ソフトウェアの実行によって、制御対象の装置の動作を制御する。

ＥＣＵでは、不揮発性メモリに書き込まれたソフトウェアの信頼性を確保するために、不揮発性メモリの診断（不揮発性メモリ診断）が行われる。例えば、マイコンに搭載されるＥＣＣ（Error Correction Code）によって、１ビットのエラーを訂正したうえでソフトウェアを実行し、２ビットのエラーを検出してフェールセーフ等の安全動作を行うことができる。

本技術分野の背景技術として、以下の特許文献がある。特許文献１（特開２００８－２５０４２６号公報）には、ＲＦＩＤタグへのデータの書き込み時には、データおよび対応するチェックコードを書き込んでおき、データの読み出し時には、チェックコードを用いて、読み出したデータの誤りをＣＲＣによって検出し、誤りが検出されると、ＥＣＣによる誤り訂正を行い、更に、訂正後のデータの誤りをＣＲＣによって検出し、訂正後のデータの誤りが検出されたときには、データが異常であることを通知し、誤りが検出されなかったときには、データの誤りを訂正したことを通知する書き込み処理方法が記載されている。

特許文献２（特開２００１－２７９５７号公報）には、データ部の誤りを訂正する誤り訂正コードＥＣＣと、データ部の誤りを検出する第１の誤り検出コードと、該第１の誤り検出コードとは別の１つ以上の誤り検出コードとを備え、前記誤り訂正コードＥＣＣによる誤り訂正後、前記第１の誤り検出コードにより誤り検査をし、更に、前記別の誤り検出コードにより誤り検査を行う誤訂正検出方法が記載されている。

特開２００８－２５０４２６号公報特開２００１－２７９５７号公報

ＥＣＣ機能を利用して不揮発性メモリを診断すると、１ビットエラーを訂正でき、２ビットエラーを検出できるが、３ビット以上のエラーは正しく検出されず、例えば、３ビットのエラーが発生しても１ビットのエラーと誤検出する可能性があり、完全な正常性を確保できないことがある。

この問題に対し、特許文献１、２ではＥＣＣの１ビットエラー検出後にＣＲＣ（巡回冗長検査：Cyclic Redundancy Check）によって再検査を行って、誤検出に対して保証している。既存のＣＲＣ計算は不揮発性メモリを機能毎に分割した領域（ファンクションブロック）毎に行っている。一般的に、ファンクションブロックは大きな領域であり、ＣＲＣ計算時間が長い問題がある。

そのため、不揮発性メモリが正常の場合、通常制御の再開が遅延する。また、不揮発性メモリが故障している場合、安全制御への移行が遅延する。安全な車両制御を実現するためにはＣＲＣ計算時間の短縮が求められる。一方、いずれの先行技術文献にも、ＣＲＣ計算時間を短縮する観点や手段の開示も示唆もない。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、車載電子制御装置であって、不揮発性メモリ及び揮発性メモリを含むマイコンを備え、前記不揮発性メモリは、その記憶領域をファンクションブロックより小さい大きさに分割した論理ブロックで構成されており、前記マイコンは、前記不揮発性メモリに格納されたデータのＥＣＣエラーを検出し、ＥＣＣエラー検出時に、前記ＥＣＣエラーが検出された論理ブロックのＣＲＣ計算を実行し、ＣＲＣエラーが検出された場合、前記不揮発性メモリに格納されたデータが異常であると判定することを特徴とする。

本発明の一態様によれば、不揮発性メモリから読み出したデータの正常性を確保できる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。

実施例１の電子制御装置の構成を示す図である。従来の不揮発性メモリの構造を示す図である。実施例１の不揮発性メモリの構成を示す図である。実施例１の不揮発性メモリ書き込み用バイナリコード作成処理のフローチャートである。実施例２の初期動作処理のフローチャートである。実施例１の通常動作時の処理のフローチャートである。実施例３の縮退制御のフローチャートである。実施例３の不揮発性メモリ内の論理ブロックの割り当てを示す図である。

以下、添付された図面を参照し、本発明の実施例を詳述する。

＜実施例１＞
図１は、本発明の実施例１の電子制御装置（ＥＣＵ：(Electric Control Unit）１の構成を示す図である。

電子制御装置１は、マイコン２を有し、例えば車両に搭載されており、車両搭載機器を制御する。電子制御装置１は、マイコン２の他、他の電子制御装置やセンサ類と通信する通信インターフェースを有する。マイコン２は、ソフトウェアによる演算処理を実行する少なくとも１つのＣＰＵ（Central Processor Unit）３と、少なくとも一つの揮発性メモリ（ＲＡＭ：Random Access Memory）４と、プログラムやデータを保持する少なくとも一つの不揮発性メモリ５を有する。

図２は、従来の不揮発性メモリの構造を示す図である。不揮発性メモリ内の記憶領域はファンクションブロック毎に分割され、各ファンクションブロックはＣＲＣ（Cyclic Redundancy Check）計算結果期待値を有している。ファンクションブロックとは、所定の機能を実現するプログラムブロックの単位である。

図３は、実施例１の不揮発性メモリ５の構成を示す図である。

不揮発性メモリ５内の記憶領域はファンクションブロック６毎に分割され、各ファンクションブロック６は１ＫＢ毎にｍ個の論理ブロック１０に分割されている。論理ブロック１０の分割サイズは、通常制御への復帰許容時間内及び安全制御への移行許容時間内のいずれでもＣＲＣ計算が完了する時間（例えば、図６のステップＳ１９でエラー発生と判定されて、ＣＲＣチェックで一致と判定されて通常制御に戻る時間）であれば１ＫＢ以外でもよい。また、論理ブロック１０の分割サイズ及び分割個数は、ファンクションブロック６毎に異なってもよい。

ファンクションブロック６の最後の論理ブロックｍにはＣＲＣテーブル１１が設けられる。ＣＲＣテーブル１１は、論理ブロック１０と同じｍ個に分割され、分割された領域の各々には各論理ブロック１０のＣＲＣ計算結果期待値１２が格納される。ＣＲＣ計算結果を記録するＣＲＣテーブル１１は、不揮発性メモリ５ではなく、揮発性メモリ４に格納してもよい。その場合、初期動作の中で各論理ブロック毎のＣＲＣを計算して記録してもよい。ＣＲＣ計算結果期待値１２を纏めてＣＲＣテーブル１１に記録するので、実行コードと区別してＣＲＣ計算結果期待値１２を記録できる。また、不揮発性メモリ５と揮発性メモリ４の両方に格納してもよい。

図４は、実施例１の不揮発性メモリ書き込み用バイナリコード作成処理のフローチャートである。

ビルドＰＣは、電子制御装置１で実行されるソフトウェアをコンパイルしてバイナリコードを作成するビルド処理を実行し（ステップＳ１）、ＣＲＣを計算する対象の論理ブロック１０を選択する（ステップＳ２）。その後、プログラム中で計算されるＣＲＣの期待値を計算し（ステップＳ３）、計算結果をＣＲＣテーブル１１に記録する（ステップＳ４）。ステップＳ２からＳ４の処理を各論理ブロック１０に対し実行し、全ての論理ブロック１０のＣＲＣがＣＲＣテーブル１１に記録された後に、処理を終了する。

図６は、実施例１の通常動作時の処理のフローチャートである。

マイコン２がソフトウェアを実行すると、電子制御装置１の起動時に実行される初期動作（ステップＳ７）の後、通常動作（ステップＳ１７）が実行される。通常制御（ステップＳ１８）において不揮発性メモリ５を読み出し、ＥＣＣ（Error Correction Code）２ビットエラーを検出し、読み出したデータにＥＣＣ２ビットエラーが発生しているか判定する（ステップＳ２８）。ＥＣＣ２ビットエラーが発生していれば、安全制御（ステップＳ１６）を行う。ＥＣＣ２ビットエラーが発生していなければ、ステップＳ１９に進む。その後、読み出したデータにＥＣＣ１ビットエラーの検出及び訂正を試みて、ＥＣＣ１ビットエラーが発生しているかを判定する（ステップＳ１９）。ＥＣＣ１ビットエラーが発生していなければ、通常制御（ステップＳ１８）を繰り返す。一方、ＥＣＣ１ビットエラーが発生していれば、予め不揮発性メモリ５に保存された各論理ブロック１０の先頭アドレスとサイズの情報を取得する（ステップＳ２０）。その後、予め分割されたファンクションブロック６のどの論理ブロック１０でＥＣＣエラーが発生したかを判定し、エラーが検出された論理ブロック１０でのみ、ＥＣＣエラー訂正済のデータからＣＲＣを計算する（ステップＳ２１）。その後、ステップＳ２１におけるＣＲＣ計算結果と、ＣＲＣテーブル１１に格納されたＣＲＣ計算結果期待値１２とを比較する（ステップＳ２２）。ステップＳ２３において比較結果が不一致であれば、３ビット以上のエラーが発生しているので、不揮発性メモリ５の故障を判定し、安全制御を実行する（ステップＳ１６）。比較結果が一致であれば、通常制御（ステップＳ１９）に復帰する。

実施例１では、３ビット以上のＥＣＣエラーも検出可能となり、不揮発性メモリ５から読み出したデータの正常性を確保できる。ＥＣＣ１ビットのエラーが発生した論理ブロック１０でのみＣＲＣを計算すればよいので、１回のＣＲＣ計算の時間を短縮でき、車両動作遅延を小さくして、安全な車両制御を実現できる。

また、１ビットＥＣＣエラー訂正後のデータを用いて、論理ブロック１０のＣＲＣ計算の結果によって、前記不揮発性メモリに格納されたデータの異常を判定するので、３ビット以上に生じたエラーを検出できる。

また、予め不揮発性メモリ５に保存された各論理ブロック１０の先頭アドレスとサイズの情報によって、エラー発生箇所を特定するので、エラー発生箇所が簡単に特定できる。

＜実施例２＞
実施例２では、前述した実施例１と異なり、通常動作（ステップＳ１７）の前の初期動作（ステップＳ７）において不揮発性メモリ５に格納されているデータをチェックする。

図５は、本発明の実施例２の初期動作処理のフローチャートである。

マイコン２がソフトウェアを実行すると、電子制御装置１の起動後にプログラムの開始（ステップＳ６）時に初期動作（ステップＳ７）を実行する。初期動作（ステップＳ７）では、不揮発性メモリ５の先頭アドレスを読み出しアドレスに指定する（ステップＳ８）。その後、読み出しアドレスから読み出し単位毎にデータを読み出し（ステップＳ９）、読み出したデータにＥＣＣ２ビットエラーを検出し、読み出したデータにＥＣＣ２ビットエラーが発生しているか判定する（ステップＳ２４）。ＥＣＣ２ビットエラーが発生していれば、安全制御（ステップＳ１６）を行う。ＥＣＣ２ビットエラーが発生していなければ、ステップＳ１０に進む。ＥＣＣ１ビットエラーの検出及び訂正を試みて、読み出したデータにＥＣＣ１ビットエラーが発生しているかを判定する（ステップＳ１０）。ＥＣＣ１ビットエラーが発生していなければ、ステップＳ１４に進む。一方、ＥＣＣ１ビットエラーが発生していれば、エラーが検出された論理ブロック１０でのみ、ＥＣＣエラー訂正済のデータからＣＲＣを計算する（ステップＳ１１）。その後、ステップＳ１１におけるＣＲＣ計算結果と、ＣＲＣテーブル１１に格納されたＣＲＣ計算結果期待値１２とを比較する（ステップＳ１２）。ステップＳ１３において比較結果が不一致であれば、３ビット以上のエラーが発生しているので、不揮発性メモリ５の故障を判定し、安全制御を実行する（ステップＳ１６）。比較結果が一致であれば、不揮発性メモリ５の終了アドレスまで全領域のデータを読み出して、ＥＣＣ１ビットエラーがチェックされているか判定する（ステップＳ１４）。ＥＣＣ１ビットエラーチェックが終了アドレスまで完了していなければ、次のアドレスを読み出しアドレスに変更して（ステップＳ１５）、ステップＳ９に戻る。ＥＣＣ１ビットエラーチェックが終了アドレスまで完了していれば、通常動作（ステップＳ１７）を開始する。

実施例２では、初期動作（ステップＳ７）において不揮発性メモリ５に格納されているデータをチェックするので、通常動作（ステップＳ１７）の前の不揮発性メモリ５の全領域のチェックができ、通常動作から安全制御（ステップＳ１６）に移行する機会を減少でき、走行安全性を向上できる。

＜実施例３＞
実施例３は、実施例１、２で前述したＥＣＣ１ビットエラーチェックと縮退制御を組み合わせたものである。

図７は、実施例３の縮退制御のフローチャートである。

マイコン２がソフトウェアを実行し、初期動作（ステップＳ７）又は通常動作（ステップＳ１７）において不揮発性メモリ５の故障を判定すると、安全制御（ステップＳ１６）において、縮退制御実行可否を判定する（ステップＳ２５）。縮退制御が可能であれば、縮退制御（ステップＳ２６）を実行し、縮退制御が不可能であれば異常時制御（ステップＳ２７）を実行する。

図８は、実施例３の不揮発性メモリ５内の論理ブロック１０の割り当てを示す図である。

通常動作（ステップＳ１７）において、通常制御用のプログラム又はデータが格納されている論理ブロック１３が異常と判定された場合、縮退制御が可能である。一方、縮退制御用のプログラム又はデータが格納されている論理ブロック１４が異常と判定された場合、縮退制御が不可能であり、安全制御（ステップＳ１６）に進む。

縮退制御実行可否判定（ステップＳ２５）において、縮退制御用のプログラム又はデータが格納されている論理ブロック１４にＣＲＣ計算を実施し、ＣＲＣテーブル１１に格納されたＣＲＣ計算結果期待値１２と一致する場合に縮退制御を可能とする条件を追加してもよい。また、縮退制御（ステップＳ２６）の実行中に、通常制御（ステップＳ１８）と同様のＥＣＣチェックによって故障と判定された場合、異常時制御（ステップＳ２７）を実行してもよい。

縮退制御用のプログラム又はデータが格納されている論理ブロック１４は、図示したように連続する論理ブロック１０に格納されても、連続しない論理ブロック１０に格納されてもよい。

実施例３では、不揮発性メモリ５の故障判定時に縮退制御（ステップＳ２６）を実行するので、不揮発性メモリ５の故障時にも車両が突然制御不能にならず、機能が制限されても車両の走行を継続し、車両動作と安全性を両立した制御ができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１電子制御装置
２マイコン
３ＣＰＵ
４揮発性メモリ（ＲＡＭ）
５不揮発性メモリ（ＲＯＭ）
６ファンクションブロック
１０論理ブロック
１１ＣＲＣテーブル
１２ＣＲＣ計算結果期待値
１３通常制御が格納されている論理ブロック
１４縮退制御が格納されている論理ブロック

Claims

車載電子制御装置であって、
不揮発性メモリ及び揮発性メモリを含むマイコンを備え、
前記不揮発性メモリは、その記憶領域をファンクションブロックより小さい大きさに分割した論理ブロックで構成されており、
前記マイコンは、
前記不揮発性メモリに格納されたデータのＥＣＣエラーを検出し、
ＥＣＣエラー検出時に、前記ＥＣＣエラーが検出された論理ブロックのＣＲＣ計算を実行し、
ＣＲＣエラーが検出された場合、前記不揮発性メモリに格納されたデータが異常であると判定することを特徴とする車載電子制御装置。
請求項１に記載の車載電子制御装置であって、
前記マイコンは、
１ビットＥＣＣエラー訂正後のデータを用いて、論理ブロックのＣＲＣを計算し、
ＣＲＣ計算の結果によって、前記不揮発性メモリに格納されたデータの異常を判定することを特徴とする車載電子制御装置。
請求項１に記載の車載電子制御装置であって、
前記マイコンは、
前記車載電子制御装置の起動時に前記不揮発性メモリに格納された全データを読み出し、
前記読み出したデータのＥＣＣエラーを検出し、
ＥＣＣエラー検出時に、前記ＥＣＣエラーが検出された論理ブロックのＣＲＣ計算を実行し、
ＣＲＣエラーが検出された場合、前記不揮発性メモリに格納されたデータが異常であると判定することを特徴とする車載電子制御装置。
請求項１に記載の車載電子制御装置であって、
前記マイコンは、前記ＣＲＣ計算の結果を、前記不揮発性メモリ及び前記揮発性メモリの少なくとも一方に格納することを特徴とする車載電子制御装置。
請求項４に記載の車載電子制御装置であって、
前記不揮発性メモリは、前記車載電子制御装置に書き込まれるバイナリコードの作成時に計算されたＣＲＣ値を記録し、
前記マイコンは、前記格納されたＣＲＣ計算の結果と、前記不揮発性メモリに記録されたＣＲＣ値とを比較して、前記不揮発性メモリに格納されたデータの異常を判定することを特徴とする車載電子制御装置。
請求項５に記載の車載電子制御装置であって、
前記マイコンは、前記格納されたＣＲＣ計算の結果と、前記不揮発性メモリに記録されたＣＲＣ値とが一致する場合、前記不揮発性メモリに格納されたデータが正常であると判定し、通常制御に復帰することを特徴とする車載電子制御装置。
請求項５に記載の車載電子制御装置であって、
前記マイコンは、前記格納されたＣＲＣ計算の結果と、前記不揮発性メモリに記録されたＣＲＣ値とが不一致である場合、ＥＣＣエラーが検出されていない論理ブロックを用いて縮退制御を行うことを特徴とする車載電子制御装置。
請求項１に記載の車載電子制御装置であって、
前記マイコンは、前記不揮発性メモリの各論理ブロックの先頭アドレスとサイズの情報を参照して、ＥＣＣエラーが検出された論理ブロックを特定することを特徴とする車載電子制御装置。
車載電子制御装置におけるメモリ制御方法であって、
前記車載電子制御装置は、不揮発性メモリ及び揮発性メモリを含むマイコンを有し、
前記不揮発性メモリは、その記憶領域をファンクションブロックより小さい大きさに分割した論理ブロックで構成されており、
前記メモリ制御方法は、
前記マイコンが、前記不揮発性メモリに格納されたデータのＥＣＣエラーを検出し、
前記マイコンが、ＥＣＣエラー検出時に、前記ＥＣＣエラーが検出された論理ブロックのＣＲＣ計算を実行し、
前記マイコンが、ＣＲＣエラーが検出された場合、前記不揮発性メモリに格納されたデータが異常であると判定することを特徴とするメモリ制御方法。