JP3932654B2 - 車両用制御装置及び車両制御システム - Google Patents
車両用制御装置及び車両制御システム Download PDFInfo
- Publication number
- JP3932654B2 JP3932654B2 JP05856398A JP5856398A JP3932654B2 JP 3932654 B2 JP3932654 B2 JP 3932654B2 JP 05856398 A JP05856398 A JP 05856398A JP 5856398 A JP5856398 A JP 5856398A JP 3932654 B2 JP3932654 B2 JP 3932654B2
- Authority
- JP
- Japan
- Prior art keywords
- vehicle
- vehicle control
- rewrite
- data
- rewriting
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- G—PHYSICS
- G11—INFORMATION STORAGE
- G11C—STATIC STORES
- G11C16/00—Erasable programmable read-only memories
- G11C16/02—Erasable programmable read-only memories electrically programmable
- G11C16/06—Auxiliary circuits, e.g. for writing into memory
- G11C16/30—Power supply circuits
-
- G—PHYSICS
- G11—INFORMATION STORAGE
- G11C—STATIC STORES
- G11C16/00—Erasable programmable read-only memories
- G11C16/02—Erasable programmable read-only memories electrically programmable
- G11C16/06—Auxiliary circuits, e.g. for writing into memory
- G11C16/10—Programming or data input circuits
- G11C16/102—External programming circuits, e.g. EPROM programmers; In-circuit programming or reprogramming; EPROM emulators
-
- G—PHYSICS
- G11—INFORMATION STORAGE
- G11C—STATIC STORES
- G11C5/00—Details of stores covered by group G11C11/00
- G11C5/14—Power supply arrangements, e.g. power down, chip selection or deselection, layout of wirings or power grids, or multiple supply levels
Landscapes
- Engineering & Computer Science (AREA)
- Power Engineering (AREA)
- Power Sources (AREA)
- Techniques For Improving Reliability Of Storages (AREA)
- Stored Programmes (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、内蔵プログラムを書き換え可能な車両用制御装置（プログラム書換機能を有する車両用制御装置）、及び内蔵プログラムを書き換え可能な車両用制御装置を備えた車両制御システムに関する。
【０００２】
【従来の技術】
従来より、自動車のエンジンやトランスミッション等を制御する車両用制御装置として、電気的にデータの書き換え（詳しくはデータの消去及び書き込み）が可能なフラッシュメモリやＥＥＰＲＯＭ等の不揮発性メモリ（書換可能不揮発性メモリ）に、エンジン等を制御するための制御プログラムを構成するデータを格納しておき、このような書換可能不揮発性メモリ内のデータを市場への供給後でも書き換え可能に構成されたものがある。
【０００３】
即ち、この種のプログラム書換機能を有する車両用制御装置では、車両に搭載されたバッテリからの電力を受けて動作するマイクロコンピュータ（以下、マイコンという）を備えており、そのマイコンが、通常時には、書換可能不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載されたインジェクタやモータ等の機器を制御するための制御処理を行うが、別途接続されたデータ書換装置から書換指令を受けると、上記書換可能不揮発性メモリ内のデータ（つまり、制御プログラム）を上記データ書換装置から送信されて来る新たなデータに書き換えるための書換処理を行う。
【０００４】
そして、この種の車両用制御装置においては、例えば特開平７−３１１６０３号公報に開示されているように、不正な改造を防止するための技術として、書換可能不揮発性メモリ内に当該装置の暗証コードを格納しておき、その暗証コードとデータ書換装置から送信されて来る暗証コードとが一致した場合にのみ、書換処理を行うことが提案されている。
【０００５】
また、例えば特開平７−２７１６３４号公報に開示されている如く、書換可能不揮発性メモリ内に、書換処理を行うための書換プログラムを制御プログラムと共に格納しておき、その書換可能不揮発性メモリ内の書換プログラムを、揮発性のＲＡＭに転送してそのＲＡＭ上で実行する技術も提案されている。
【０００６】
そして、上記前者の公報に開示の技術を適用した車両用制御装置によれば、制御プログラムと共に当該装置の暗証コードも書き換えることができるため、当該装置の暗証コードを市場への供給後に何らかの原因で変更しなければならない場合が生じても、それに対応することが可能となる。
【０００７】
また、上記後者の公報に開示の技術を適用した車両用制御装置によれば、制御プログラムと共に書換プログラムも書き換えることができるため、書換処理の仕様を市場への供給後に何らかの原因で変更しなければならない場合が生じても、それに対応することが可能となる。
【０００８】
【発明が解決しようとする課題】
しかしながら、上記のような車両用制御装置において、マイコンが書換可能不揮発性メモリ内のデータを書き換えるための書換処理を実行している最中に、当該装置への電力供給が遮断されると、その書換処理が中断されてしまい、書換可能不揮発性メモリ内のデータが不完全な状態（つまり、新たなデータが書き込まれた記憶領域と、データが消去された記憶領域と、旧来のデータが残っている記憶領域とが混在した状態）となる。すると、例えば下記の▲１▼，▲２▼のような問題が発生する。
【０００９】
▲１▼：書換可能不揮発性メモリ内に暗証コードが格納される車両用制御装置では、暗証コードの全部或いは一部が消去された状態で書換処理が中断されてしまうと、当該装置に再び電力を供給して書換処理を行わせようとしても、データ書換装置からの暗証コードと当該装置の暗証コードとが一致しないため、書換処理の再実行が不能となってしまう。
【００１０】
▲２▼：書換不能不揮発性メモリ内に書換プログラムが格納される車両用制御装置では、書換プログラムの全部又は一部が消去された状態で書換処理が中断されてしまうと、当該装置に再び電力を供給して書換処理を行わせようとしても、もはや正常な書換プログラムが存在しないため、書換処理の再実行が不能となってしまう。
【００１１】
そして、このように書換処理の再実行が不能になってしまうと、もはや、その車両用制御装置は、正常なプログラムを内蔵することができず使用不可能となってしまう。
特に、この種の車両用制御装置には、一般に、車両のイグニッションスイッチがオンされているときに、バッテリからの電力が動作電力として供給されるが、書換可能不揮発性メモリ内のデータを書き換える作業中に、その作業を行う作業者がイグニッションスイッチを誤ってオフしてしまう虞があり、車両用制御装置での書換処理が中断されてしまう可能性が高い。
【００１２】
本発明は、こうした問題に鑑みなされたものであり、プログラム書換機能を有する車両用制御装置において、書換可能不揮発性メモリ内のデータを書き換えている最中に電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することを目的としている。
【００１３】
【課題を解決するための手段、及び発明の効果】
上記目的を達成するためになされた請求項１に記載の車両用制御装置は、データの書き換えが可能な不揮発性メモリを有すると共に、車両に搭載されたバッテリからの電力を受けて動作する処理実行部と、その処理実行部に供給される電力と同じ電力を受けて動作するＩＣであって、処理実行部がデータ書換装置と通信を行うための通信ＩＣと、車両に設けられた特定のスイッチがオン状態であるときに、処理実行部及び通信ＩＣへバッテリからの電力を供給する電力供給手段とを備えている。
【００１４】
よって、処理実行部及び通信ＩＣは、車両に設けられた前記スイッチがオンされると、バッテリからの電力が電力供給手段により供給されて動作する。そして、処理実行部は、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載された機器を制御するための制御処理を行い、外部のデータ書換装置からの書換指令を受けた場合には、前記不揮発性メモリ内のデータをデータ書換装置から与えられる新たなデータに書き換えるための書換処理を行う。
【００１５】
ここで特に、請求項１に記載の車両用制御装置において、電力供給手段は、前記スイッチがオフされても、電力供給の遮断を示す遮断指令を受けるまでは、処理実行部及び通信ＩＣへバッテリからの電力を継続して供給するように構成されている。そして、処理実行部は、書換処理の実行を完了した後に前記スイッチのオン／オフ状態を検出し、そのスイッチがオフしている場合に電力供給手段へ前記遮断指令を出力するように構成されている。
【００１６】
よって、処理実行部が書換処理を行っている最中に、前記スイッチが誤ってオフされても、電力供給手段は、処理実行部へバッテリからの電力を継続して供給することとなる。そして、処理実行部は、書換処理の実行を完了した後に前記スイッチがオフしていれば、電力供給手段へ電力供給の遮断を示す遮断指令を出力するため、電力供給手段による処理実行部への電力供給は、処理実行部が書換処理の実行を完了するまでの間、確実に継続することとなる。
【００１７】
従って、請求項１に記載の車両用制御装置によれば、処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。このため、前述した問題を確実に防止することができる。
【００１８】
特に、請求項２に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、処理実行部が、外部からの書換指令を受けると、前記不揮発性メモリ内の書換プログラムをデータの読み出し及び書き込みが可能な揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲２▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項１に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００１９】
また、請求項３に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、処理実行部が、書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項１に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２０】
次に、請求項４に記載の車両用制御装置は、請求項１に記載の車両用制御装置と同様に、データの書き換えが可能な不揮発性メモリを有する処理実行部を備えている。そして、この処理実行部も、車両に搭載されたバッテリからの電力を受けて動作し、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載された機器を制御するための制御処理を行い、外部からの書換指令を受けた場合には、前記不揮発性メモリ内のデータを外部から与えられる新たなデータに書き換えるための書換処理を行う。
【００２１】
ここで特に、請求項４に記載の車両用制御装置は、バッテリからの電力供給が他の車両用制御装置によって制御される。このため、処理実行部は、外部からの書換指令を受けて書換処理の実行を開始する前に、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、書換処理の実行を完了したときに、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されている。
【００２２】
よって、前記他の車両用制御装置を、請求項７に記載の如く、前記禁止信号を受けると、その後、前記許可信号を受けるまでの間は、請求項４に記載の車両用制御装置への電力供給を継続して行うように構成しておくことにより、処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。このため、前述した問題を確実に防止することができる。
【００２３】
特に、請求項５に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、処理実行部が、外部からの書換指令を受けると、前記不揮発性メモリ内の書換プログラムをデータの読み出し及び書き込みが可能な揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲２▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項４に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２４】
また、請求項６に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、処理実行部が、書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項４に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２５】
そして、請求項８に記載のように、請求項４〜６の何れかに記載の車両用制御装置と、請求項７に記載の車両用制御装置とから、車両を制御するための車両制御システムを構成すれば、請求項４〜６の何れかに記載の車両用制御装置に備えられた処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、その処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止できるようになる。
【００２６】
一方、請求項８に記載の車両制御システムは、具体的には、請求項９に記載の車両制御システムによって実現することができる。
即ち、請求項９に記載の車両制御システムは、車両のイグニッションスイッチがオンされるか、或いは、外部から駆動信号が与えられると、車両に搭載されたバッテリのプラス端子と車両内に配設された電源ラインとを接続する電力供給用リレーと、バッテリからの電力を前記電源ラインを介して受けることにより動作する複数の車両用制御装置とを備えている。そして、前記複数の車両用制御装置のうちの特定の車両用制御装置が、イグニッションスイッチのオンに伴い動作を開始すると、その後、イグニッションスイッチがオフ状態になり且つ所定の電力遮断条件が成立したと判断するまで、前記電力供給用リレーへ前記駆動信号を出力し続けるように構成されている。
【００２７】
そして特に、請求項９に記載の車両制御システムにおいて、前記特定の車両用制御装置以外の少なくとも１つの車両用制御装置は、請求項４に記載の車両用制御装置と同様の処理実行部を備えており、その処理実行部は、外部からの書換指令を受けて書換処理の実行を開始する前に、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、書換処理の実行を完了したときに、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されている。
【００２８】
そして、前記特定の車両用制御装置は、前記禁止信号を受けると、その後、前記許可信号を受けるまでの間（即ち、自分以外の車両用制御装置に備えられた処理実行部が書換処理の実行を完了するまでの間）は、前記電力遮断条件が非成立である（成立していない）と判断して、電力供給用リレーへ前記駆動信号を出力し続けるように構成されている。
【００２９】
この請求項９に記載の車両制御システムでは、イグニッションスイッチのオンに伴い、電力供給用リレー及び電源ラインを介して、全ての車両用制御装置にバッテリからの電力が供給されるが、前記特定の車両用制御装置以外の車両用制御装置に設けられた処理実行部が書換処理を実行している最中は、イグニッションスイッチがオフされても、その処理実行部への電力供給が継続されることとなる。よって、データの書き換えが中断されてしまうことを、確実に防止できる。
【００３０】
尚、データの書き換えが可能な不揮発性メモリとしては、フラッシュメモリ（フラッシュＲＯＭ）やＥＥＰＲＯＭが一般的であるが、電気的に書き換え可能な他のＲＯＭを用いても良い。一方、書換プログラムが転送される揮発性メモリとしては、一般的なＲＡＭを用いることができる。
【００３１】
【発明の実施の形態】
以下、本発明の一実施形態について、図面を用いて説明する。
まず図１は、本発明が適用された実施形態の車両制御システムの全体構成を表すブロック図である。
【００３２】
図１に示すように、本実施形態の車両制御システムは、車両の各部を制御するために、３つの車両用制御装置（以下、ＥＣＵという）１，２，３を備えている。例えば、ＥＣＵ１は、エンジンを制御するＥＣＵであり、ＥＣＵ２は、トランスミッションを制御するＥＣＵであり、ＥＣＵ３は、ブレーキ装置の油圧系統を制御するＥＣＵである。
【００３３】
そして、上記３つのＥＣＵ１，２，３は、車両内に配設された通信線４を介して、互いにデータ通信可能に接続されている。
また、上記各ＥＣＵ１，２，３は、内蔵のプログラムをオンボード書き換え可能に構成されており、ＥＣＵ１，２，３のうちの何れかのプログラムを書き換える際には、通信線４にデータ書換装置８が接続される。
【００３４】
一方、本実施形態の車両制御システムにおいて、上記３つのＥＣＵ１，２，３は、車両内に配設された共通の電源ラインＬ１に接続されている。そして、車両に搭載されたバッテリ５の電圧（バッテリ電圧）が、電力供給用リレーとしてのメインリレー６を介して上記電源ラインＬ１に供給されることにより、全てのＥＣＵ１，２，３が動作する。
【００３５】
尚、メインリレー６は、車両のイグニッションスイッチ７がオンされるか、或いは、外部から駆動信号が与えられると、自己の接点が短絡（オン）して、バッテリ５のプラス端子と上記電源ラインＬ１とを接続するように構成されている。そして、本実施形態においては、３つのＥＣＵ１，２，３のうちのＥＣＵ１が、メインリレー６に信号線Ｌ３を介して駆動信号を与えるようになっている。
【００３６】
つまり、イグニッションスイッチ７がオンされると、メインリレー６の接点が短絡して、各ＥＣＵ１，２，３に電源ラインＬ１を介してバッテリ５からの電力が供給され、それに伴い、各ＥＣＵ１，２，３が動作を開始する。そして、ＥＣＵ１は、動作を開始すると、イグニッションスイッチ７のオン／オフ状態をスイッチ状態検出用の信号線Ｌ２の電圧レベルによって検出すると共に、イグニッションスイッチ７がオフされたことを検知しても、後述する電力遮断条件が成立したと判断するまでの間は、上記信号線Ｌ３に駆動信号を出力して、メインリレー６の接点を短絡させたままにする。よって、イグニッションスイッチ７がオフされても、上記電力遮断条件が成立するまでは、メインリレー６の接点が短絡したままとなり、イグニッションスイッチ７がオフされ且つ上記電力遮断条件が成立すると、全てのＥＣＵ１，２，３への電力供給が遮断されることとなる。
【００３７】
次に、各ＥＣＵ１，２，３の内部構成について、ＥＣＵ１を例に挙げて説明する。
図２に示すように、ＥＣＵ１は、当該ＥＣＵの動作を司る処理実行部としてのマイコン（シングルチップマイクロコンピュータ）１０と、マイコン１０が通信線４を介して他のＥＣＵ２，３或いはデータ書換装置８と通信を行うための送受信回路からなる通信ＩＣ２２と、電源ラインＬ１からのバッテリ電圧を受けて、マイコン１０や通信ＩＣ２２を始めとするＥＣＵ１内の各部に動作電圧ＶCC（例えば５Ｖ）を供給する電源ＩＣ２０とを備えている。
【００３８】
そして、マイコン１０には、プログラムを実行する周知のＣＰＵ１２と、ＣＰＵ１２によって実行されるプログラム（詳しくは、そのプログラムを構成するデータ）やそのプログラムの実行時に参照されるデータを格納する不揮発性のフラッシュメモリ１４及びマスクＲＯＭ１８と、ＣＰＵ１２の演算結果等を一時記憶するための揮発性メモリとしてのＲＡＭ１６と、信号の入出力を行うためのＩ／Ｏや各種レジスタ等（図示省略）が内蔵されている。
【００３９】
ここで、フラッシュメモリ１４は、所定の書換電圧ＶP （例えば１２Ｖ）が印加された状態でデータの消去及び書き込みが可能な不揮発性ＲＯＭである。そして、このフラッシュメモリ１４には、車両に搭載された電磁弁やモータ等の機器（図示省略）を制御するための制御プログラムと、当該マイコン１０が搭載されるＥＣＵの暗証コードと、当該フラッシュメモリ１４に格納されているデータをデータ書換装置８から送信されて来る新たなデータに書き換えるための書換プログラムとが格納されている。
【００４０】
これに対して、マスクＲＯＭ１８は、データの書き換えが不能な不揮発性ＲＯＭである。そして、このマスクＲＯＭ１８には、マイコン１０のリセット解除直後に実行されるブートプログラムが格納されている。
尚、本実施形態では、電源ＩＣ２０が、マイコン１０からの指令に応じて、上記フラッシュメモリ１４へ書換電圧ＶP を印加するようになっている。また、電源ＩＣ２０は、イグニッションスイッチ７のオンに伴い上記動作電圧ＶCCの供給を開始してから、その動作電圧ＶCCが安定すると見なされる所定時間だけマイコン１０へリセット信号を出力する、所謂パワーオンリセット機能も備えている。
【００４１】
一方、他のＥＣＵ２，３の構成は、マイコン１０がメインリレー６を制御するための信号線Ｌ２，Ｌ３に接続されていないという点以外は、ＥＣＵ１の構成と同様である。つまり、３つのＥＣＵ１，２，３のうちで、ＥＣＵ１のマイコン１０だけが、図２に示す如く前述の信号線Ｌ２，Ｌ３に接続されている。
【００４２】
以上のように構成されたＥＣＵ１，２，３の各々においては、イグニッションスイッチ７がオンされると、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０を介して、マイコン１０へバッテリ５からの電力が供給される。
そして、電源ＩＣ２０のパワーオンリセット機能によるマイコン１０へのリセット信号が解除されると、マイコン１０（詳しくは、そのＣＰＵ１２）が、まず、マスクＲＯＭ１８に格納されているブートプログラムを実行し、データ書換装置８からの書換指令としての書換要求メッセージがない通常時には、そのブートプログラムにて、フラッシュメモリ１４に格納されている制御プログラムをコールする。
【００４３】
すると、以後、各ＥＣＵ１，２，３のマイコン１０は、フラッシュメモリ１４内の制御プログラムを実行することにより、通信線４を介して互いにデータ通信（データのやり取り）を行いながら各自に割り当てられた制御対象の機器を制御するための制御処理を行う。
【００４４】
尚、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のフラッシュメモリ１４に格納される制御プログラムには、メインリレー６を制御するためのプログラムが追加されている。そして、ＥＣＵ１のマイコン１０は、前述したように、イグニッションスイッチ７のオン／オフ状態を信号線Ｌ２の電圧レベルにより検出し、イグニッションスイッチ７がオフされ且つ電力遮断条件が成立したと判断するまでの間、メインリレー６へ信号線Ｌ３を介して駆動信号を出力する。
【００４５】
一方、各ＥＣＵ１，２，３のマイコン１０は、ブートプログラムの実行時に、データ書換装置８から書換要求メッセージが送信されて来たことを検出すると、フラッシュメモリ１４に格納されている書換プログラムを、ＲＡＭ１６に転送する。そして、その書換プログラムをＲＡＭ１６上で実行することにより、フラッシュメモリ１４内の自己の暗証コードと、データ書換装置８から送信されて来る暗証コードとが一致しているか否かを判定し、両暗証コードが一致していれば、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換えるための書換処理を行う。
【００４６】
そこで次に、各ＥＣＵ１，２，３のマイコン１０で実行される主要な処理の詳細について、図３〜図７を用いて説明する。
まず図３は、各ＥＣＵ１，２，３に設けられたマイコン１０のマスクＲＯＭ１８に格納されているブートプログラムの処理を表すフローチャートである。
【００４７】
図３に示すように、各ＥＣＵ１，２，３において、マイコン１０は、イグニッションスイッチ７のオンに伴いリセット状態から動作を開始すると、上記マスクＲＯＭ１８に格納されているブートプログラムの実行を開始し、最初のステップ（以下、単に「Ｓ」と記す）１１０にて、ＲＡＭ１６や各種レジスタ等を初期化する。尚、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のマイコン１０は、このＳ１１０の初期化処理により、信号線Ｌ３を介してメインリレー６へ駆動信号を出力したままにする。
【００４８】
そして、各ＥＣＵ１，２，３のマイコン１０は、続くＳ１２０にて、動作を開始してから所定時間以内にデータ書換装置８から書換要求メッセージが送信されて来たか否かを判定し、書換要求メッセージが送信されて来ないと判定した場合には、Ｓ１３０に進んで、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、その後は、フラッシュメモリ１４内の制御プログラムが実行されて、前述した通常時の制御処理（即ち、他のＥＣＵのマイコン１０とデータ通信を行いながら車両内の各種機器を制御するための処理）が行われることとなる。
【００４９】
一方、上記Ｓ１２０にて、データ書換装置８から書換要求メッセージが送信されて来たと判定した場合には、Ｓ１４０に移行して、フラッシュメモリ１４に格納されている書換プログラムを、ＲＡＭ１６へコピー（転送）する。そして、続くＳ１５０にて、そのＲＡＭ１６にコピーした書換プログラムへジャンプする。
【００５０】
すると、その後、ＥＣＵ１では、マイコン１０が、図４に示す書換プログラムの処理を実行することとなり、他のＥＣＵ２，３の各々では、マイコン１０が、図７に示す書換プログラムの処理を実行することとなる。つまり、ＥＣＵ１に設けられたマイコン１０のフラッシュメモリ１４には、書換プログラムとして、図４の処理を行うためのプログラムが格納されており、ＥＣＵ２，３に設けられたマイコン１０のフラッシュメモリ１４には、書換プログラムとして、図７の処理を行うためのプログラムが格納されている。
【００５１】
そこで、まず、ＥＣＵ１のマイコン１０が、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４からＲＡＭ１６にコピーして実行する書換プログラムの処理について説明する。
図４に示すように、ＥＣＵ１のマイコン１０が書換プログラムの実行を開始すると、まずＳ２１０にて、データ書換装置８から上記書換要求メッセージの次に送信されて来る暗証コードを受信し、続くＳ２２０にて、その受信した暗証コードと、自己のフラッシュメモリ１４に格納されている暗証コードとが一致しているか否かを判定する。
【００５２】
そして、上記両方の暗証コードが一致していると判定した場合には、データ書換装置８から自分に対して書換要求メッセージが送信されて来たものと判断して、Ｓ２３０〜Ｓ２６０の書換処理を行う。
即ち、まずＳ２３０にて、データ書換装置８から送信されて来る所定バイト分の書換データ（つまり、フラッシュメモリ１４に格納すべき新たなデータのうちの所定バイト分）を受信する。そして、続くＳ２４０にて、電源ＩＣ２０からフラッシュメモリ１４へ書換電圧ＶP を印加させると共に、フラッシュメモリ１４の記憶領域うち、上記Ｓ２３０で受信した書換データを書き込むべき領域のデータを消去する。そして更に、続くＳ２５０にて、フラッシュメモリ１４の記憶領域うち、上記Ｓ２４０でデータ消去を行った領域に、上記Ｓ２３０で受信した書換データを書き込む。次に、Ｓ２６０に進んで、フラッシュメモリ１４の全データの書き換えが完了したか否かを判定し、全データの書き換えが完了していない場合には、Ｓ２３０に戻る。
【００５３】
一方、上記Ｓ２６０にて、フラッシュメモリ１４の全データの書き換えが完了したと判定した場合には（つまり、書換処理の実行が完了すると）、Ｓ２７０に進む。
そして、このＳ２７０にて、イグニッションスイッチ（ＩＧＳＷ）７のオン／オフ状態を検出し、イグニッションスイッチ７がオフ状態であれば、続くＳ２８０にて、メインリレー６への駆動信号の出力を止めて、その後、当該書換プログラムの処理を終了する。すると、メインリレー６がオフすることとなり、それに伴い、全てのＥＣＵ１，２，３へのバッテリ５からの電力供給が遮断されて、全ＥＣＵ１，２，３が動作を停止することとなる。
【００５４】
また、上記Ｓ２７０にて、イグニッションスイッチ７がオン状態であると判定した場合には、Ｓ２９０に移行して、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、ブートプログラム（図３）におけるＳ１３０の場合と同様に、その後は、フラッシュメモリ１４内の制御プログラムが実行されて、通常時の制御処理が行われることとなるが、この場合には、上記Ｓ２３０〜Ｓ２６０の書換処理で書き換えられた新たな制御プログラムに基づく制御処理が行われることとなる。尚、この状態において、フラッシュメモリ１４内の暗証コードと書換プログラムは、旧来と同じものか、或いは、新しいものに書き換えられている。
【００５５】
一方、上記Ｓ２２０にて、暗証コードが一致していないと判定した場合には、データ書換装置８からの書換要求メッセージが他のＥＣＵに対するものであると判断して、Ｓ２３０〜Ｓ２６０の書換処理を行わずにＳ３００へ移行する。
そして、このＳ３００にて、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、ブートプログラム（図３）におけるＳ１３０の場合と同様に、その後は、フラッシュメモリ１４内の旧来の制御プログラムが実行されて、通常時の制御処理が行われることとなる。
【００５６】
ところで、ＥＣＵ１のフラッシュメモリ１４に格納される制御プログラムには、他のＥＣＵ２，３から送信されて来る各種メッセージに対応した動作を行うための、図５に示す受信処理のプログラムと、メインリレー６を制御するための、図６に示すメインリレー制御処理のプログラムとが含まれている。
【００５７】
よって、図３のＳ１３０，図４のＳ２９０，及び図４のＳ３００の何れかでフラッシュメモリ１４内の制御プログラムへジャンプした場合には、ＥＣＵ１のマイコン１０は、少なくとも図５の受信処理と図６のメインリレー制御処理を実行することとなる。
【００５８】
具体的に説明すると、まず、図５に示す受信処理は、他のＥＣＵ２，３から通信線４を介してメッセージが送信されて来る毎に実行される。
そして、ＥＣＵ１のマイコン１０が受信処理の実行を開始すると、まずＳ３１０にて、送信されて来たメッセージを受信する。
【００５９】
そして更に、続くＳ３２０にて、Ｓ３１０で受信したメッセージが、他のＥＣＵ２，３からの電源遮断禁止要求であるか否かを判定し、電源遮断禁止要求であれば、続くＳ３３０にて、メインリレー６のオフを禁止することを示すフラグである禁止フラグＦｋをセットし（詳しくは、禁止フラグＦｋに「１」をセットし）、その後、当該受信処理を終了する。尚、電源遮断禁止要求とは、ＥＣＵ１以外の各ＥＣＵ２，３に設けられたマイコン１０が、自分のＥＣＵに対する電力供給の遮断を禁止させるためにＥＣＵ１へ送信するメッセージであり、本発明の禁止信号に相当している。
【００６０】
また、上記Ｓ３２０にて、Ｓ３１０で受信したメッセージが電源遮断禁止要求ではないと判定した場合には、Ｓ３４０に移行して、今度は、上記Ｓ３１０で受信したメッセージが、他のＥＣＵ２，３からの電源遮断許可要求であるか否かを判定する。そして、電源遮断許可要求であれば、続くＳ３５０にて、禁止フラグＦｋをクリアし（詳しくは、禁止フラグＦｋに「０」をセットし）、その後、当該受信処理を終了する。尚、電源遮断許可要求とは、ＥＣＵ１以外の各ＥＣＵ２，３に設けられたマイコン１０が、自分のＥＣＵに対する電力供給の遮断を許可するためにＥＣＵ１へ送信するメッセージであり、本発明の許可信号に相当している。
【００６１】
また更に、上記Ｓ３４０にて、Ｓ３１０で受信したメッセージが電源遮断許可要求ではないと判定した場合には、Ｓ３６０に移行して、受信したメッセージに対応した処理を実行した後、当該受信処理を終了する。尚、メッセージに対応した処理とは、例えば、受信したメッセージが現在のエンジン回転数を示す制御データを要求するメッセージであれば、自己が取得している最新のエンジン回転数を示す制御データを返信する、といったデータのやり取りを行うための処理である。
【００６２】
一方、図６に示すメインリレー制御処理は、所定時間毎に実行される。
そして、ＥＣＵ１のマイコン１０がメインリレー制御処理の実行を開始すると、まずＳ４１０にて、イグニッションスイッチ（ＩＧＳＷ）７のオン／オフ状態を検出し、イグニッションスイッチ７がオン状態であれば、そのまま当該処理を終了するが、イグニッションスイッチ７がオフ状態であれば、Ｓ４２０に進んで、前述の禁止フラグＦｋがセットされているか否かを判定する。
【００６３】
ここで、禁止フラグＦｋがセットされていれば、前述の電力遮断条件が非成立であると判断して、そのまま当該処理を終了する。
これに対し、禁止フラグＦｋがセットされていなければ、前述の電力遮断条件が成立していると判断して、Ｓ４３０に進む。そして、このＳ４３０にて、メインリレー６への駆動信号の出力を止め、その後、当該処理を終了する。すると、メインリレー６がオフして、全てのＥＣＵ１，２，３が動作を停止することとなる。
【００６４】
次に、ＥＣＵ１以外のＥＣＵ２，３に設けられたマイコン１０が、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４からＲＡＭ１６にコピーして実行する書換プログラムの処理について、図７を用い説明する。尚、図７において、図４と同じ処理内容については、同じステップ番号を付しているため、ここでは、図４と異なる部分についてのみ説明する。
【００６５】
図７に示すように、ＥＣＵ２，３のマイコン１０が実行する書換プログラムの処理は、ＥＣＵ１のマイコン１０が実行する書換プログラムの処理（図４）に対して、以下の（１）〜（３）の３点が異なっている。
（１）まず、Ｓ２２０にて、Ｓ２１０で受信した暗証コードと自己のフラッシュメモリ１４に格納されている暗証コードとが一致していないと判定した場合には、そのまま当該書換プログラムの処理を終了する。すると、そのＥＣＵは、実質的な動作を行わない状態となる。
【００６６】
（２）一方、Ｓ２２０にて、Ｓ２１０で受信した暗証コードと自己のフラッシュメモリ１４に格納されている暗証コードとが一致していると判定した場合には、次のＳ２２５にて、ＥＣＵ１へ前述の電源遮断禁止要求を送信した後、Ｓ２３０〜Ｓ２６０の書換処理を行う。
【００６７】
（３）その後、Ｓ２６０にて、フラッシュメモリ１４の全データの書き換えが完了したと判定すると（つまり、書換処理の実行が完了すると）、次のＳ２６５にて、ＥＣＵ１へ前述の電源遮断許可要求を送信する。そして、Ｓ２９０に進んで、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、その後は、上記Ｓ２３０〜Ｓ２６０の書換処理で書き換えられた新たな制御プログラムが実行されて、通常時の制御処理が行われることとなる。
【００６８】
以上のような本実施形態の車両制御システムにおいては、通信線４にデータ書換装置８を接続しない通常の状態でイグニッションスイッチ７をオンすれば、各ＥＣＵ１，２，３のマイコン１０が、図３のＳ１３０により、フラッシュメモリ１４内のデータによって構成される制御プログラムの実行を開始して、以後、イグニッションスイッチ７がオフされるまでの間、車両の各部（エンジンやトランスミッション等）を制御するための制御処理を行うこととなる。
【００６９】
一方、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ１の暗証コードとを順次送信させれば良い。
【００７０】
すると、ＥＣＵ１のマイコン１０は、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図４）をＲＡＭ１６にコピーして実行する。そして、ＥＣＵ１のマイコン１０は、図４のＳ２２０で肯定判定して（Ｓ２２０：ＹＥＳ）、Ｓ２３０〜Ｓ２６０の書換処理を行うことにより、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換える。
【００７１】
尚、この場合、他のＥＣＵ２，３のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行するが、ＥＣＵ２，３のマイコン１０は、図７のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、実質的な処理を行わない無処理状態となる。
【００７２】
ここで特に、ＥＣＵ１のマイコン１０は、図３のＳ１１０での初期化処理により、動作を開始した直後からメインリレー６へ駆動信号を出力して、イグニッションスイッチ７がオフされてもメインリレー６が継続してオンするようにしている。
【００７３】
そして、ＥＣＵ１のマイコン１０は、書換処理の実行を完了すると（Ｓ２６０：ＹＥＳ）、イグニッションスイッチ７のオン／オフ状態を検出して（Ｓ２７０）、イグニッションスイッチ７がオフしていれば（Ｓ２７０：ＹＥＳ）、メインリレー６への駆動信号の出力を止めて、メインリレー６をオフさせる（Ｓ２８０）。
【００７４】
よって、本実施形態のＥＣＵ１によれば、当該ＥＣＵ１のマイコン１０が書換処理を行っている最中に、イグニッションスイッチ７が誤ってオフされても、そのマイコン１０へは、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０を介して、バッテリ５からの電力が継続して供給されることとなる。そして、マイコン１０が書換処理の実行を完了してから、メインリレー６がオフすることとなるため、メインリレー６による電力供給は、ＥＣＵ１のマイコン１０が書換処理の実行を完了するまでの間、確実に継続する。
【００７５】
従って、本実施形態によれば、ＥＣＵ１のマイコン１０がフラッシュメモリ１４内のデータを書き換えている最中に、そのマイコン１０への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。
【００７６】
特に、本実施形態のＥＣＵ１では、フラッシュメモリ１４内に、書き換え対象のデータとして、制御プログラムだけではなく、書換プログラムと当該ＥＣＵ１の暗証コードとが格納されているため、マイコン１０が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼，▲２▼の理由により、書換処理の再実行が不能となって当該ＥＣＵ１が使用不可能となるが、本実施形態によれば、こうした問題を確実に防止することができる。
【００７７】
尚、本実施形態では、ＥＣＵ１，メインリレー６，及び電源ラインＬ１が、請求項１〜３の車両用制御装置に相当しており、イグニッションスイッチ７が、請求項１に記載の特定のスイッチに相当している。そして、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０と、ＥＣＵ１のマイコン１０が図３のＳ１１０でメインリレー６へ駆動信号を出力したままにする処理とが、請求項１に記載の電力供給手段に相当している。そして更に、ＥＣＵ１のマイコン１０が図４のＳ２８０でメインリレー６への駆動信号の出力を止める動作が、電力供給手段へ遮断指令を出力する動作に相当している。
【００７８】
一方また、本実施形態の車両制御システムにおいて、ＥＣＵ１以外の例えばＥＣＵ２のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ２の暗証コードとを順次送信させれば良い。
【００７９】
すると、ＥＣＵ２のマイコン１０は、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行する。そして、ＥＣＵ２のマイコン１０は図７のＳ２２０で肯定判定して（Ｓ２２０：ＹＥＳ）、ＥＣＵ１へ電源遮断禁止要求を送信した後（Ｓ２２５）、Ｓ２３０〜Ｓ２６０の書換処理を行い、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換える。そして更に、ＥＣＵ２のマイコン１０は、書換処理の実行を完了すると（Ｓ２６０：ＹＥＳ）、ＥＣＵ１へ電源遮断許可要求を送信し（Ｓ２６５）、その後、フラッシュメモリ１４内の新たな制御プログラムを実行する（Ｓ２９０）。
【００８０】
また、この場合、ＥＣＵ１のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図４）をＲＡＭ１６にコピーして実行するが、ＥＣＵ１のマイコン１０は、図４のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、図４のＳ３００により、以後は、少なくとも図５に示した受信処理のプログラムと図６に示したメインリレー制御処理のプログラムとを実行することとなる。
【００８１】
よって、ＥＣＵ１のマイコン１０は、図５の受信処理と図６のメインリレー制御処理により、ＥＣＵ２のマイコン１０が送信した電源遮断禁止要求を受信すると、その後、ＥＣＵ２のマイコン１０が送信する電源遮断許可要求を受信するまでの間は、禁止フラグＦｋをセットして（Ｓ３２０〜Ｓ３５０）、イグニッションスイッチ７のオン／オフ状態に拘らずメインリレー６をオンさせたままにすることとなる（Ｓ４１０〜Ｓ４３０）。
【００８２】
尚、この場合、ＥＣＵ３のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行するが、ＥＣＵ３のマイコン１０は、図７のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、実質的な処理を行わない無処理状態となる。
【００８３】
また、ＥＣＵ３のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ３の暗証コードとを順次送信させれば良い。すると、この場合には、ＥＣＵ３のマイコン１０が、ＥＣＵ１へ電源遮断禁止要求を送信した後に書換処理を行い、その書換処理の実行を完了すると、ＥＣＵ１へ電源遮断許可要求を送信することとなる。そして、ＥＣＵ２のマイコン１０は無処理状態となる。
【００８４】
つまり、本実施形態の車両制御システムにおいて、バッテリ５からの電力供給がＥＣＵ１により制御されるＥＣＵ２，３のマイコン１０は、書換処理の実行を開始する前にＥＣＵ１へ電源遮断禁止要求を送信し、その書換処理の実行を完了したときにＥＣＵ１へ電源遮断許可要求を送信するようにしている。そして、ＥＣＵ１のマイコン１０は、他のＥＣＵからの電源遮断禁止要求を受信すると、その後、他のＥＣＵからの電源遮断許可要求を受信するまでの間は、電力遮断条件が非成立であると判断して、メインリレー６への駆動信号を出力し続けるようにしている。
【００８５】
従って、本実施形態の車両制御システムによれば、ＥＣＵ２，３の何れかに設けられたマイコン１０が書換処理を行っている最中に、イグニッションスイッチ７が誤ってオフされても、そのマイコン１０へはバッテリ５からの電力が継続して供給されることとなる。そして、そのマイコン１０が書換処理の実行を完了してから、メインリレー６がオフすることとなる。よって、ＥＣＵ２，３の何れかに設けられたマイコン１０がフラッシュメモリ１４内のデータを書き換えている最中に、そのマイコン１０への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。
【００８６】
特に、本実施形態の車両制御システムでは、ＥＣＵ１以外のＥＣＵ２，３においても、フラッシュメモリ１４内に書換プログラムと暗証コードとが格納されているため、そのＥＣＵのマイコン１０が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼，▲２▼の理由により、そのＥＣＵが使用不可能となってしまうが、本実施形態によれば、こうした問題を確実に防止することができる。
【００８７】
尚、本実施形態の車両制御システムでは、ＥＣＵ２，３が、請求項４〜６の車両用制御装置に相当しており、ＥＣＵ１が、請求項４に記載の他の車両用制御装置と、請求項７の車両用制御装置とに相当している。また、ＥＣＵ１が、請求項９に記載の特定の車両用制御装置に相当し、ＥＣＵ２，３が、請求項９に記載の特定の車両用制御装置以外の車両用制御装置に相当している。
【００８８】
以上、本発明の一実施形態について説明したが、本発明は、上記実施形態に限定されるものではなく、種々の形態を採り得ることは言うまでもない。
例えば、上記実施形態のＥＣＵ１，２，３では、書換プログラムと暗証コードとを、フラッシュメモリ１４に格納するようにして、制御プログラムと共に書き換え可能としていたが、書換プログラムと暗証コードとの両方或いは何れか一方をマスクＲＯＭ１８に格納するようにしても良い。また、書換プログラムは、データ書換装置８から受信してＲＡＭ１６へ転送し、そのＲＡＭ１６上で実行するようにしても良い。
【００８９】
尚、書換プログラムと暗証コードとの両方をマスクＲＯＭ１８に格納するように変更した場合、或いは、暗証コードをマスクＲＯＭ１８に格納すると共に、書換プログラムをデータ書換装置８から受信してＲＡＭ１６上で実行するように変更した場合には、書換処理の実行中に電力供給が遮断されても、書換処理を再び行うことが可能となる。しかし、本実施形態の車両制御システムによれば、予期せぬ電力供給の遮断に伴う書換処理の中断を確実に防止できるため、書換処理をやり直さなければならない状況の発生を未然に防ぐことができ、非常に有利である。
【００９０】
また、上記実施形態の車両制御システムでは、通信線４に接続される全てのＥＣＵ１，２，３が、制御プログラムをオンボード書き換え可能に構成されていたが、例えば、ＥＣＵ１だけをオンボード書き換え可能としても良い。そして、この場合には、ＥＣＵ１のマイコン１０が実行する処理のうち、図４のＳ３００と、図５のＳ３２０〜Ｓ３５０と、図６のＳ４２０とを省略することができる。また、ＥＣＵ２，３のうちの何れか一方だけをオンボード書き換え可能としても良い。
【００９１】
一方、上記実施形態では、データ書換装置８が通信線４に接続されるようになっていたが、例えば、各ＥＣＵ１，２，３にデータ書換装置８と接続するための専用コネクタを設け、データ書換装置８をＥＣＵ１，２，３の各々に対して個別に接続するようにしても良い。
【００９２】
また、上記実施形態のＥＣＵ１，２，３では、データの書き換えが可能な不揮発性メモリとして、フラッシュメモリ１４を用いたが、ＥＥＰＲＯＭ等、電気的に書き換えが可能な他のＲＯＭを用いても良い。
【図面の簡単な説明】
【図１】 実施形態の車両制御システムの全体構成を表すブロック図である。
【図２】 図１のＥＣＵの内部構成を表すブロック図である。
【図３】 図１の各ＥＣＵで動作開始直後から実行される処理を表すフローチャートである。
【図４】 図１の特定のＥＣＵ（ＥＣＵ１）で実行される書換プログラムの処理を表すフローチャートである。
【図５】 図１の特定のＥＣＵ（ＥＣＵ１）で実行される受信処理を表すフローチャートである。
【図６】 図１の特定のＥＣＵ（ＥＣＵ１）で実行されるメインリレー制御処理を表すフローチャートである。
【図７】 図１の特定のＥＣＵ（ＥＣＵ１）以外のＥＣＵ（ＥＣＵ２，３）で実行される書換プログラムの処理を表すフローチャートである。
【符号の説明】
１，２，３…車両用制御装置（ＥＣＵ） ４…通信線 ５…バッテリ
６…メインリレー ７…イグニッションスイッチ ８…データ書換装置
Ｌ１…電源ライン Ｌ２，Ｌ３…信号線
１０…マイコン（シングルチップマイクロコンピュータ） １２…ＣＰＵ
１４…フラッシュメモリ １６…ＲＡＭ １８…マスクＲＯＭ
２０…電源ＩＣ ２２…通信ＩＣ
【発明の属する技術分野】
本発明は、内蔵プログラムを書き換え可能な車両用制御装置（プログラム書換機能を有する車両用制御装置）、及び内蔵プログラムを書き換え可能な車両用制御装置を備えた車両制御システムに関する。
【０００２】
【従来の技術】
従来より、自動車のエンジンやトランスミッション等を制御する車両用制御装置として、電気的にデータの書き換え（詳しくはデータの消去及び書き込み）が可能なフラッシュメモリやＥＥＰＲＯＭ等の不揮発性メモリ（書換可能不揮発性メモリ）に、エンジン等を制御するための制御プログラムを構成するデータを格納しておき、このような書換可能不揮発性メモリ内のデータを市場への供給後でも書き換え可能に構成されたものがある。
【０００３】
即ち、この種のプログラム書換機能を有する車両用制御装置では、車両に搭載されたバッテリからの電力を受けて動作するマイクロコンピュータ（以下、マイコンという）を備えており、そのマイコンが、通常時には、書換可能不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載されたインジェクタやモータ等の機器を制御するための制御処理を行うが、別途接続されたデータ書換装置から書換指令を受けると、上記書換可能不揮発性メモリ内のデータ（つまり、制御プログラム）を上記データ書換装置から送信されて来る新たなデータに書き換えるための書換処理を行う。
【０００４】
そして、この種の車両用制御装置においては、例えば特開平７−３１１６０３号公報に開示されているように、不正な改造を防止するための技術として、書換可能不揮発性メモリ内に当該装置の暗証コードを格納しておき、その暗証コードとデータ書換装置から送信されて来る暗証コードとが一致した場合にのみ、書換処理を行うことが提案されている。
【０００５】
また、例えば特開平７−２７１６３４号公報に開示されている如く、書換可能不揮発性メモリ内に、書換処理を行うための書換プログラムを制御プログラムと共に格納しておき、その書換可能不揮発性メモリ内の書換プログラムを、揮発性のＲＡＭに転送してそのＲＡＭ上で実行する技術も提案されている。
【０００６】
そして、上記前者の公報に開示の技術を適用した車両用制御装置によれば、制御プログラムと共に当該装置の暗証コードも書き換えることができるため、当該装置の暗証コードを市場への供給後に何らかの原因で変更しなければならない場合が生じても、それに対応することが可能となる。
【０００７】
また、上記後者の公報に開示の技術を適用した車両用制御装置によれば、制御プログラムと共に書換プログラムも書き換えることができるため、書換処理の仕様を市場への供給後に何らかの原因で変更しなければならない場合が生じても、それに対応することが可能となる。
【０００８】
【発明が解決しようとする課題】
しかしながら、上記のような車両用制御装置において、マイコンが書換可能不揮発性メモリ内のデータを書き換えるための書換処理を実行している最中に、当該装置への電力供給が遮断されると、その書換処理が中断されてしまい、書換可能不揮発性メモリ内のデータが不完全な状態（つまり、新たなデータが書き込まれた記憶領域と、データが消去された記憶領域と、旧来のデータが残っている記憶領域とが混在した状態）となる。すると、例えば下記の▲１▼，▲２▼のような問題が発生する。
【０００９】
▲１▼：書換可能不揮発性メモリ内に暗証コードが格納される車両用制御装置では、暗証コードの全部或いは一部が消去された状態で書換処理が中断されてしまうと、当該装置に再び電力を供給して書換処理を行わせようとしても、データ書換装置からの暗証コードと当該装置の暗証コードとが一致しないため、書換処理の再実行が不能となってしまう。
【００１０】
▲２▼：書換不能不揮発性メモリ内に書換プログラムが格納される車両用制御装置では、書換プログラムの全部又は一部が消去された状態で書換処理が中断されてしまうと、当該装置に再び電力を供給して書換処理を行わせようとしても、もはや正常な書換プログラムが存在しないため、書換処理の再実行が不能となってしまう。
【００１１】
そして、このように書換処理の再実行が不能になってしまうと、もはや、その車両用制御装置は、正常なプログラムを内蔵することができず使用不可能となってしまう。
特に、この種の車両用制御装置には、一般に、車両のイグニッションスイッチがオンされているときに、バッテリからの電力が動作電力として供給されるが、書換可能不揮発性メモリ内のデータを書き換える作業中に、その作業を行う作業者がイグニッションスイッチを誤ってオフしてしまう虞があり、車両用制御装置での書換処理が中断されてしまう可能性が高い。
【００１２】
本発明は、こうした問題に鑑みなされたものであり、プログラム書換機能を有する車両用制御装置において、書換可能不揮発性メモリ内のデータを書き換えている最中に電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することを目的としている。
【００１３】
【課題を解決するための手段、及び発明の効果】
上記目的を達成するためになされた請求項１に記載の車両用制御装置は、データの書き換えが可能な不揮発性メモリを有すると共に、車両に搭載されたバッテリからの電力を受けて動作する処理実行部と、その処理実行部に供給される電力と同じ電力を受けて動作するＩＣであって、処理実行部がデータ書換装置と通信を行うための通信ＩＣと、車両に設けられた特定のスイッチがオン状態であるときに、処理実行部及び通信ＩＣへバッテリからの電力を供給する電力供給手段とを備えている。
【００１４】
よって、処理実行部及び通信ＩＣは、車両に設けられた前記スイッチがオンされると、バッテリからの電力が電力供給手段により供給されて動作する。そして、処理実行部は、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載された機器を制御するための制御処理を行い、外部のデータ書換装置からの書換指令を受けた場合には、前記不揮発性メモリ内のデータをデータ書換装置から与えられる新たなデータに書き換えるための書換処理を行う。
【００１５】
ここで特に、請求項１に記載の車両用制御装置において、電力供給手段は、前記スイッチがオフされても、電力供給の遮断を示す遮断指令を受けるまでは、処理実行部及び通信ＩＣへバッテリからの電力を継続して供給するように構成されている。そして、処理実行部は、書換処理の実行を完了した後に前記スイッチのオン／オフ状態を検出し、そのスイッチがオフしている場合に電力供給手段へ前記遮断指令を出力するように構成されている。
【００１６】
よって、処理実行部が書換処理を行っている最中に、前記スイッチが誤ってオフされても、電力供給手段は、処理実行部へバッテリからの電力を継続して供給することとなる。そして、処理実行部は、書換処理の実行を完了した後に前記スイッチがオフしていれば、電力供給手段へ電力供給の遮断を示す遮断指令を出力するため、電力供給手段による処理実行部への電力供給は、処理実行部が書換処理の実行を完了するまでの間、確実に継続することとなる。
【００１７】
従って、請求項１に記載の車両用制御装置によれば、処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。このため、前述した問題を確実に防止することができる。
【００１８】
特に、請求項２に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、処理実行部が、外部からの書換指令を受けると、前記不揮発性メモリ内の書換プログラムをデータの読み出し及び書き込みが可能な揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲２▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項１に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００１９】
また、請求項３に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、処理実行部が、書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項１に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２０】
次に、請求項４に記載の車両用制御装置は、請求項１に記載の車両用制御装置と同様に、データの書き換えが可能な不揮発性メモリを有する処理実行部を備えている。そして、この処理実行部も、車両に搭載されたバッテリからの電力を受けて動作し、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、車両に搭載された機器を制御するための制御処理を行い、外部からの書換指令を受けた場合には、前記不揮発性メモリ内のデータを外部から与えられる新たなデータに書き換えるための書換処理を行う。
【００２１】
ここで特に、請求項４に記載の車両用制御装置は、バッテリからの電力供給が他の車両用制御装置によって制御される。このため、処理実行部は、外部からの書換指令を受けて書換処理の実行を開始する前に、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、書換処理の実行を完了したときに、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されている。
【００２２】
よって、前記他の車両用制御装置を、請求項７に記載の如く、前記禁止信号を受けると、その後、前記許可信号を受けるまでの間は、請求項４に記載の車両用制御装置への電力供給を継続して行うように構成しておくことにより、処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。このため、前述した問題を確実に防止することができる。
【００２３】
特に、請求項５に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、処理実行部が、外部からの書換指令を受けると、前記不揮発性メモリ内の書換プログラムをデータの読み出し及び書き込みが可能な揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲２▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項４に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２４】
また、請求項６に記載の如く、前記不揮発性メモリに、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、処理実行部が、書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されている場合には、処理実行部が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼の理由により、書換処理の再実行が不能となって当該装置が使用不可能となるが、請求項４に記載の車両用制御装置によれば、こうした問題を確実に防止できる。
【００２５】
そして、請求項８に記載のように、請求項４〜６の何れかに記載の車両用制御装置と、請求項７に記載の車両用制御装置とから、車両を制御するための車両制御システムを構成すれば、請求項４〜６の何れかに記載の車両用制御装置に備えられた処理実行部が前記不揮発性メモリ内のデータを書き換えている最中に、その処理実行部への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止できるようになる。
【００２６】
一方、請求項８に記載の車両制御システムは、具体的には、請求項９に記載の車両制御システムによって実現することができる。
即ち、請求項９に記載の車両制御システムは、車両のイグニッションスイッチがオンされるか、或いは、外部から駆動信号が与えられると、車両に搭載されたバッテリのプラス端子と車両内に配設された電源ラインとを接続する電力供給用リレーと、バッテリからの電力を前記電源ラインを介して受けることにより動作する複数の車両用制御装置とを備えている。そして、前記複数の車両用制御装置のうちの特定の車両用制御装置が、イグニッションスイッチのオンに伴い動作を開始すると、その後、イグニッションスイッチがオフ状態になり且つ所定の電力遮断条件が成立したと判断するまで、前記電力供給用リレーへ前記駆動信号を出力し続けるように構成されている。
【００２７】
そして特に、請求項９に記載の車両制御システムにおいて、前記特定の車両用制御装置以外の少なくとも１つの車両用制御装置は、請求項４に記載の車両用制御装置と同様の処理実行部を備えており、その処理実行部は、外部からの書換指令を受けて書換処理の実行を開始する前に、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、書換処理の実行を完了したときに、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されている。
【００２８】
そして、前記特定の車両用制御装置は、前記禁止信号を受けると、その後、前記許可信号を受けるまでの間（即ち、自分以外の車両用制御装置に備えられた処理実行部が書換処理の実行を完了するまでの間）は、前記電力遮断条件が非成立である（成立していない）と判断して、電力供給用リレーへ前記駆動信号を出力し続けるように構成されている。
【００２９】
この請求項９に記載の車両制御システムでは、イグニッションスイッチのオンに伴い、電力供給用リレー及び電源ラインを介して、全ての車両用制御装置にバッテリからの電力が供給されるが、前記特定の車両用制御装置以外の車両用制御装置に設けられた処理実行部が書換処理を実行している最中は、イグニッションスイッチがオフされても、その処理実行部への電力供給が継続されることとなる。よって、データの書き換えが中断されてしまうことを、確実に防止できる。
【００３０】
尚、データの書き換えが可能な不揮発性メモリとしては、フラッシュメモリ（フラッシュＲＯＭ）やＥＥＰＲＯＭが一般的であるが、電気的に書き換え可能な他のＲＯＭを用いても良い。一方、書換プログラムが転送される揮発性メモリとしては、一般的なＲＡＭを用いることができる。
【００３１】
【発明の実施の形態】
以下、本発明の一実施形態について、図面を用いて説明する。
まず図１は、本発明が適用された実施形態の車両制御システムの全体構成を表すブロック図である。
【００３２】
図１に示すように、本実施形態の車両制御システムは、車両の各部を制御するために、３つの車両用制御装置（以下、ＥＣＵという）１，２，３を備えている。例えば、ＥＣＵ１は、エンジンを制御するＥＣＵであり、ＥＣＵ２は、トランスミッションを制御するＥＣＵであり、ＥＣＵ３は、ブレーキ装置の油圧系統を制御するＥＣＵである。
【００３３】
そして、上記３つのＥＣＵ１，２，３は、車両内に配設された通信線４を介して、互いにデータ通信可能に接続されている。
また、上記各ＥＣＵ１，２，３は、内蔵のプログラムをオンボード書き換え可能に構成されており、ＥＣＵ１，２，３のうちの何れかのプログラムを書き換える際には、通信線４にデータ書換装置８が接続される。
【００３４】
一方、本実施形態の車両制御システムにおいて、上記３つのＥＣＵ１，２，３は、車両内に配設された共通の電源ラインＬ１に接続されている。そして、車両に搭載されたバッテリ５の電圧（バッテリ電圧）が、電力供給用リレーとしてのメインリレー６を介して上記電源ラインＬ１に供給されることにより、全てのＥＣＵ１，２，３が動作する。
【００３５】
尚、メインリレー６は、車両のイグニッションスイッチ７がオンされるか、或いは、外部から駆動信号が与えられると、自己の接点が短絡（オン）して、バッテリ５のプラス端子と上記電源ラインＬ１とを接続するように構成されている。そして、本実施形態においては、３つのＥＣＵ１，２，３のうちのＥＣＵ１が、メインリレー６に信号線Ｌ３を介して駆動信号を与えるようになっている。
【００３６】
つまり、イグニッションスイッチ７がオンされると、メインリレー６の接点が短絡して、各ＥＣＵ１，２，３に電源ラインＬ１を介してバッテリ５からの電力が供給され、それに伴い、各ＥＣＵ１，２，３が動作を開始する。そして、ＥＣＵ１は、動作を開始すると、イグニッションスイッチ７のオン／オフ状態をスイッチ状態検出用の信号線Ｌ２の電圧レベルによって検出すると共に、イグニッションスイッチ７がオフされたことを検知しても、後述する電力遮断条件が成立したと判断するまでの間は、上記信号線Ｌ３に駆動信号を出力して、メインリレー６の接点を短絡させたままにする。よって、イグニッションスイッチ７がオフされても、上記電力遮断条件が成立するまでは、メインリレー６の接点が短絡したままとなり、イグニッションスイッチ７がオフされ且つ上記電力遮断条件が成立すると、全てのＥＣＵ１，２，３への電力供給が遮断されることとなる。
【００３７】
次に、各ＥＣＵ１，２，３の内部構成について、ＥＣＵ１を例に挙げて説明する。
図２に示すように、ＥＣＵ１は、当該ＥＣＵの動作を司る処理実行部としてのマイコン（シングルチップマイクロコンピュータ）１０と、マイコン１０が通信線４を介して他のＥＣＵ２，３或いはデータ書換装置８と通信を行うための送受信回路からなる通信ＩＣ２２と、電源ラインＬ１からのバッテリ電圧を受けて、マイコン１０や通信ＩＣ２２を始めとするＥＣＵ１内の各部に動作電圧ＶCC（例えば５Ｖ）を供給する電源ＩＣ２０とを備えている。
【００３８】
そして、マイコン１０には、プログラムを実行する周知のＣＰＵ１２と、ＣＰＵ１２によって実行されるプログラム（詳しくは、そのプログラムを構成するデータ）やそのプログラムの実行時に参照されるデータを格納する不揮発性のフラッシュメモリ１４及びマスクＲＯＭ１８と、ＣＰＵ１２の演算結果等を一時記憶するための揮発性メモリとしてのＲＡＭ１６と、信号の入出力を行うためのＩ／Ｏや各種レジスタ等（図示省略）が内蔵されている。
【００３９】
ここで、フラッシュメモリ１４は、所定の書換電圧ＶP （例えば１２Ｖ）が印加された状態でデータの消去及び書き込みが可能な不揮発性ＲＯＭである。そして、このフラッシュメモリ１４には、車両に搭載された電磁弁やモータ等の機器（図示省略）を制御するための制御プログラムと、当該マイコン１０が搭載されるＥＣＵの暗証コードと、当該フラッシュメモリ１４に格納されているデータをデータ書換装置８から送信されて来る新たなデータに書き換えるための書換プログラムとが格納されている。
【００４０】
これに対して、マスクＲＯＭ１８は、データの書き換えが不能な不揮発性ＲＯＭである。そして、このマスクＲＯＭ１８には、マイコン１０のリセット解除直後に実行されるブートプログラムが格納されている。
尚、本実施形態では、電源ＩＣ２０が、マイコン１０からの指令に応じて、上記フラッシュメモリ１４へ書換電圧ＶP を印加するようになっている。また、電源ＩＣ２０は、イグニッションスイッチ７のオンに伴い上記動作電圧ＶCCの供給を開始してから、その動作電圧ＶCCが安定すると見なされる所定時間だけマイコン１０へリセット信号を出力する、所謂パワーオンリセット機能も備えている。
【００４１】
一方、他のＥＣＵ２，３の構成は、マイコン１０がメインリレー６を制御するための信号線Ｌ２，Ｌ３に接続されていないという点以外は、ＥＣＵ１の構成と同様である。つまり、３つのＥＣＵ１，２，３のうちで、ＥＣＵ１のマイコン１０だけが、図２に示す如く前述の信号線Ｌ２，Ｌ３に接続されている。
【００４２】
以上のように構成されたＥＣＵ１，２，３の各々においては、イグニッションスイッチ７がオンされると、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０を介して、マイコン１０へバッテリ５からの電力が供給される。
そして、電源ＩＣ２０のパワーオンリセット機能によるマイコン１０へのリセット信号が解除されると、マイコン１０（詳しくは、そのＣＰＵ１２）が、まず、マスクＲＯＭ１８に格納されているブートプログラムを実行し、データ書換装置８からの書換指令としての書換要求メッセージがない通常時には、そのブートプログラムにて、フラッシュメモリ１４に格納されている制御プログラムをコールする。
【００４３】
すると、以後、各ＥＣＵ１，２，３のマイコン１０は、フラッシュメモリ１４内の制御プログラムを実行することにより、通信線４を介して互いにデータ通信（データのやり取り）を行いながら各自に割り当てられた制御対象の機器を制御するための制御処理を行う。
【００４４】
尚、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のフラッシュメモリ１４に格納される制御プログラムには、メインリレー６を制御するためのプログラムが追加されている。そして、ＥＣＵ１のマイコン１０は、前述したように、イグニッションスイッチ７のオン／オフ状態を信号線Ｌ２の電圧レベルにより検出し、イグニッションスイッチ７がオフされ且つ電力遮断条件が成立したと判断するまでの間、メインリレー６へ信号線Ｌ３を介して駆動信号を出力する。
【００４５】
一方、各ＥＣＵ１，２，３のマイコン１０は、ブートプログラムの実行時に、データ書換装置８から書換要求メッセージが送信されて来たことを検出すると、フラッシュメモリ１４に格納されている書換プログラムを、ＲＡＭ１６に転送する。そして、その書換プログラムをＲＡＭ１６上で実行することにより、フラッシュメモリ１４内の自己の暗証コードと、データ書換装置８から送信されて来る暗証コードとが一致しているか否かを判定し、両暗証コードが一致していれば、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換えるための書換処理を行う。
【００４６】
そこで次に、各ＥＣＵ１，２，３のマイコン１０で実行される主要な処理の詳細について、図３〜図７を用いて説明する。
まず図３は、各ＥＣＵ１，２，３に設けられたマイコン１０のマスクＲＯＭ１８に格納されているブートプログラムの処理を表すフローチャートである。
【００４７】
図３に示すように、各ＥＣＵ１，２，３において、マイコン１０は、イグニッションスイッチ７のオンに伴いリセット状態から動作を開始すると、上記マスクＲＯＭ１８に格納されているブートプログラムの実行を開始し、最初のステップ（以下、単に「Ｓ」と記す）１１０にて、ＲＡＭ１６や各種レジスタ等を初期化する。尚、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のマイコン１０は、このＳ１１０の初期化処理により、信号線Ｌ３を介してメインリレー６へ駆動信号を出力したままにする。
【００４８】
そして、各ＥＣＵ１，２，３のマイコン１０は、続くＳ１２０にて、動作を開始してから所定時間以内にデータ書換装置８から書換要求メッセージが送信されて来たか否かを判定し、書換要求メッセージが送信されて来ないと判定した場合には、Ｓ１３０に進んで、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、その後は、フラッシュメモリ１４内の制御プログラムが実行されて、前述した通常時の制御処理（即ち、他のＥＣＵのマイコン１０とデータ通信を行いながら車両内の各種機器を制御するための処理）が行われることとなる。
【００４９】
一方、上記Ｓ１２０にて、データ書換装置８から書換要求メッセージが送信されて来たと判定した場合には、Ｓ１４０に移行して、フラッシュメモリ１４に格納されている書換プログラムを、ＲＡＭ１６へコピー（転送）する。そして、続くＳ１５０にて、そのＲＡＭ１６にコピーした書換プログラムへジャンプする。
【００５０】
すると、その後、ＥＣＵ１では、マイコン１０が、図４に示す書換プログラムの処理を実行することとなり、他のＥＣＵ２，３の各々では、マイコン１０が、図７に示す書換プログラムの処理を実行することとなる。つまり、ＥＣＵ１に設けられたマイコン１０のフラッシュメモリ１４には、書換プログラムとして、図４の処理を行うためのプログラムが格納されており、ＥＣＵ２，３に設けられたマイコン１０のフラッシュメモリ１４には、書換プログラムとして、図７の処理を行うためのプログラムが格納されている。
【００５１】
そこで、まず、ＥＣＵ１のマイコン１０が、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４からＲＡＭ１６にコピーして実行する書換プログラムの処理について説明する。
図４に示すように、ＥＣＵ１のマイコン１０が書換プログラムの実行を開始すると、まずＳ２１０にて、データ書換装置８から上記書換要求メッセージの次に送信されて来る暗証コードを受信し、続くＳ２２０にて、その受信した暗証コードと、自己のフラッシュメモリ１４に格納されている暗証コードとが一致しているか否かを判定する。
【００５２】
そして、上記両方の暗証コードが一致していると判定した場合には、データ書換装置８から自分に対して書換要求メッセージが送信されて来たものと判断して、Ｓ２３０〜Ｓ２６０の書換処理を行う。
即ち、まずＳ２３０にて、データ書換装置８から送信されて来る所定バイト分の書換データ（つまり、フラッシュメモリ１４に格納すべき新たなデータのうちの所定バイト分）を受信する。そして、続くＳ２４０にて、電源ＩＣ２０からフラッシュメモリ１４へ書換電圧ＶP を印加させると共に、フラッシュメモリ１４の記憶領域うち、上記Ｓ２３０で受信した書換データを書き込むべき領域のデータを消去する。そして更に、続くＳ２５０にて、フラッシュメモリ１４の記憶領域うち、上記Ｓ２４０でデータ消去を行った領域に、上記Ｓ２３０で受信した書換データを書き込む。次に、Ｓ２６０に進んで、フラッシュメモリ１４の全データの書き換えが完了したか否かを判定し、全データの書き換えが完了していない場合には、Ｓ２３０に戻る。
【００５３】
一方、上記Ｓ２６０にて、フラッシュメモリ１４の全データの書き換えが完了したと判定した場合には（つまり、書換処理の実行が完了すると）、Ｓ２７０に進む。
そして、このＳ２７０にて、イグニッションスイッチ（ＩＧＳＷ）７のオン／オフ状態を検出し、イグニッションスイッチ７がオフ状態であれば、続くＳ２８０にて、メインリレー６への駆動信号の出力を止めて、その後、当該書換プログラムの処理を終了する。すると、メインリレー６がオフすることとなり、それに伴い、全てのＥＣＵ１，２，３へのバッテリ５からの電力供給が遮断されて、全ＥＣＵ１，２，３が動作を停止することとなる。
【００５４】
また、上記Ｓ２７０にて、イグニッションスイッチ７がオン状態であると判定した場合には、Ｓ２９０に移行して、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、ブートプログラム（図３）におけるＳ１３０の場合と同様に、その後は、フラッシュメモリ１４内の制御プログラムが実行されて、通常時の制御処理が行われることとなるが、この場合には、上記Ｓ２３０〜Ｓ２６０の書換処理で書き換えられた新たな制御プログラムに基づく制御処理が行われることとなる。尚、この状態において、フラッシュメモリ１４内の暗証コードと書換プログラムは、旧来と同じものか、或いは、新しいものに書き換えられている。
【００５５】
一方、上記Ｓ２２０にて、暗証コードが一致していないと判定した場合には、データ書換装置８からの書換要求メッセージが他のＥＣＵに対するものであると判断して、Ｓ２３０〜Ｓ２６０の書換処理を行わずにＳ３００へ移行する。
そして、このＳ３００にて、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、ブートプログラム（図３）におけるＳ１３０の場合と同様に、その後は、フラッシュメモリ１４内の旧来の制御プログラムが実行されて、通常時の制御処理が行われることとなる。
【００５６】
ところで、ＥＣＵ１のフラッシュメモリ１４に格納される制御プログラムには、他のＥＣＵ２，３から送信されて来る各種メッセージに対応した動作を行うための、図５に示す受信処理のプログラムと、メインリレー６を制御するための、図６に示すメインリレー制御処理のプログラムとが含まれている。
【００５７】
よって、図３のＳ１３０，図４のＳ２９０，及び図４のＳ３００の何れかでフラッシュメモリ１４内の制御プログラムへジャンプした場合には、ＥＣＵ１のマイコン１０は、少なくとも図５の受信処理と図６のメインリレー制御処理を実行することとなる。
【００５８】
具体的に説明すると、まず、図５に示す受信処理は、他のＥＣＵ２，３から通信線４を介してメッセージが送信されて来る毎に実行される。
そして、ＥＣＵ１のマイコン１０が受信処理の実行を開始すると、まずＳ３１０にて、送信されて来たメッセージを受信する。
【００５９】
そして更に、続くＳ３２０にて、Ｓ３１０で受信したメッセージが、他のＥＣＵ２，３からの電源遮断禁止要求であるか否かを判定し、電源遮断禁止要求であれば、続くＳ３３０にて、メインリレー６のオフを禁止することを示すフラグである禁止フラグＦｋをセットし（詳しくは、禁止フラグＦｋに「１」をセットし）、その後、当該受信処理を終了する。尚、電源遮断禁止要求とは、ＥＣＵ１以外の各ＥＣＵ２，３に設けられたマイコン１０が、自分のＥＣＵに対する電力供給の遮断を禁止させるためにＥＣＵ１へ送信するメッセージであり、本発明の禁止信号に相当している。
【００６０】
また、上記Ｓ３２０にて、Ｓ３１０で受信したメッセージが電源遮断禁止要求ではないと判定した場合には、Ｓ３４０に移行して、今度は、上記Ｓ３１０で受信したメッセージが、他のＥＣＵ２，３からの電源遮断許可要求であるか否かを判定する。そして、電源遮断許可要求であれば、続くＳ３５０にて、禁止フラグＦｋをクリアし（詳しくは、禁止フラグＦｋに「０」をセットし）、その後、当該受信処理を終了する。尚、電源遮断許可要求とは、ＥＣＵ１以外の各ＥＣＵ２，３に設けられたマイコン１０が、自分のＥＣＵに対する電力供給の遮断を許可するためにＥＣＵ１へ送信するメッセージであり、本発明の許可信号に相当している。
【００６１】
また更に、上記Ｓ３４０にて、Ｓ３１０で受信したメッセージが電源遮断許可要求ではないと判定した場合には、Ｓ３６０に移行して、受信したメッセージに対応した処理を実行した後、当該受信処理を終了する。尚、メッセージに対応した処理とは、例えば、受信したメッセージが現在のエンジン回転数を示す制御データを要求するメッセージであれば、自己が取得している最新のエンジン回転数を示す制御データを返信する、といったデータのやり取りを行うための処理である。
【００６２】
一方、図６に示すメインリレー制御処理は、所定時間毎に実行される。
そして、ＥＣＵ１のマイコン１０がメインリレー制御処理の実行を開始すると、まずＳ４１０にて、イグニッションスイッチ（ＩＧＳＷ）７のオン／オフ状態を検出し、イグニッションスイッチ７がオン状態であれば、そのまま当該処理を終了するが、イグニッションスイッチ７がオフ状態であれば、Ｓ４２０に進んで、前述の禁止フラグＦｋがセットされているか否かを判定する。
【００６３】
ここで、禁止フラグＦｋがセットされていれば、前述の電力遮断条件が非成立であると判断して、そのまま当該処理を終了する。
これに対し、禁止フラグＦｋがセットされていなければ、前述の電力遮断条件が成立していると判断して、Ｓ４３０に進む。そして、このＳ４３０にて、メインリレー６への駆動信号の出力を止め、その後、当該処理を終了する。すると、メインリレー６がオフして、全てのＥＣＵ１，２，３が動作を停止することとなる。
【００６４】
次に、ＥＣＵ１以外のＥＣＵ２，３に設けられたマイコン１０が、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４からＲＡＭ１６にコピーして実行する書換プログラムの処理について、図７を用い説明する。尚、図７において、図４と同じ処理内容については、同じステップ番号を付しているため、ここでは、図４と異なる部分についてのみ説明する。
【００６５】
図７に示すように、ＥＣＵ２，３のマイコン１０が実行する書換プログラムの処理は、ＥＣＵ１のマイコン１０が実行する書換プログラムの処理（図４）に対して、以下の（１）〜（３）の３点が異なっている。
（１）まず、Ｓ２２０にて、Ｓ２１０で受信した暗証コードと自己のフラッシュメモリ１４に格納されている暗証コードとが一致していないと判定した場合には、そのまま当該書換プログラムの処理を終了する。すると、そのＥＣＵは、実質的な動作を行わない状態となる。
【００６６】
（２）一方、Ｓ２２０にて、Ｓ２１０で受信した暗証コードと自己のフラッシュメモリ１４に格納されている暗証コードとが一致していると判定した場合には、次のＳ２２５にて、ＥＣＵ１へ前述の電源遮断禁止要求を送信した後、Ｓ２３０〜Ｓ２６０の書換処理を行う。
【００６７】
（３）その後、Ｓ２６０にて、フラッシュメモリ１４の全データの書き換えが完了したと判定すると（つまり、書換処理の実行が完了すると）、次のＳ２６５にて、ＥＣＵ１へ前述の電源遮断許可要求を送信する。そして、Ｓ２９０に進んで、フラッシュメモリ１４に格納されている制御プログラムへジャンプする。すると、その後は、上記Ｓ２３０〜Ｓ２６０の書換処理で書き換えられた新たな制御プログラムが実行されて、通常時の制御処理が行われることとなる。
【００６８】
以上のような本実施形態の車両制御システムにおいては、通信線４にデータ書換装置８を接続しない通常の状態でイグニッションスイッチ７をオンすれば、各ＥＣＵ１，２，３のマイコン１０が、図３のＳ１３０により、フラッシュメモリ１４内のデータによって構成される制御プログラムの実行を開始して、以後、イグニッションスイッチ７がオフされるまでの間、車両の各部（エンジンやトランスミッション等）を制御するための制御処理を行うこととなる。
【００６９】
一方、３つのＥＣＵ１，２，３のうち、ＥＣＵ１のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ１の暗証コードとを順次送信させれば良い。
【００７０】
すると、ＥＣＵ１のマイコン１０は、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図４）をＲＡＭ１６にコピーして実行する。そして、ＥＣＵ１のマイコン１０は、図４のＳ２２０で肯定判定して（Ｓ２２０：ＹＥＳ）、Ｓ２３０〜Ｓ２６０の書換処理を行うことにより、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換える。
【００７１】
尚、この場合、他のＥＣＵ２，３のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行するが、ＥＣＵ２，３のマイコン１０は、図７のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、実質的な処理を行わない無処理状態となる。
【００７２】
ここで特に、ＥＣＵ１のマイコン１０は、図３のＳ１１０での初期化処理により、動作を開始した直後からメインリレー６へ駆動信号を出力して、イグニッションスイッチ７がオフされてもメインリレー６が継続してオンするようにしている。
【００７３】
そして、ＥＣＵ１のマイコン１０は、書換処理の実行を完了すると（Ｓ２６０：ＹＥＳ）、イグニッションスイッチ７のオン／オフ状態を検出して（Ｓ２７０）、イグニッションスイッチ７がオフしていれば（Ｓ２７０：ＹＥＳ）、メインリレー６への駆動信号の出力を止めて、メインリレー６をオフさせる（Ｓ２８０）。
【００７４】
よって、本実施形態のＥＣＵ１によれば、当該ＥＣＵ１のマイコン１０が書換処理を行っている最中に、イグニッションスイッチ７が誤ってオフされても、そのマイコン１０へは、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０を介して、バッテリ５からの電力が継続して供給されることとなる。そして、マイコン１０が書換処理の実行を完了してから、メインリレー６がオフすることとなるため、メインリレー６による電力供給は、ＥＣＵ１のマイコン１０が書換処理の実行を完了するまでの間、確実に継続する。
【００７５】
従って、本実施形態によれば、ＥＣＵ１のマイコン１０がフラッシュメモリ１４内のデータを書き換えている最中に、そのマイコン１０への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。
【００７６】
特に、本実施形態のＥＣＵ１では、フラッシュメモリ１４内に、書き換え対象のデータとして、制御プログラムだけではなく、書換プログラムと当該ＥＣＵ１の暗証コードとが格納されているため、マイコン１０が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼，▲２▼の理由により、書換処理の再実行が不能となって当該ＥＣＵ１が使用不可能となるが、本実施形態によれば、こうした問題を確実に防止することができる。
【００７７】
尚、本実施形態では、ＥＣＵ１，メインリレー６，及び電源ラインＬ１が、請求項１〜３の車両用制御装置に相当しており、イグニッションスイッチ７が、請求項１に記載の特定のスイッチに相当している。そして、メインリレー６，電源ラインＬ１，及び電源ＩＣ２０と、ＥＣＵ１のマイコン１０が図３のＳ１１０でメインリレー６へ駆動信号を出力したままにする処理とが、請求項１に記載の電力供給手段に相当している。そして更に、ＥＣＵ１のマイコン１０が図４のＳ２８０でメインリレー６への駆動信号の出力を止める動作が、電力供給手段へ遮断指令を出力する動作に相当している。
【００７８】
一方また、本実施形態の車両制御システムにおいて、ＥＣＵ１以外の例えばＥＣＵ２のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ２の暗証コードとを順次送信させれば良い。
【００７９】
すると、ＥＣＵ２のマイコン１０は、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行する。そして、ＥＣＵ２のマイコン１０は図７のＳ２２０で肯定判定して（Ｓ２２０：ＹＥＳ）、ＥＣＵ１へ電源遮断禁止要求を送信した後（Ｓ２２５）、Ｓ２３０〜Ｓ２６０の書換処理を行い、フラッシュメモリ１４内の全データをデータ書換装置８から送信されて来る新たなデータに書き換える。そして更に、ＥＣＵ２のマイコン１０は、書換処理の実行を完了すると（Ｓ２６０：ＹＥＳ）、ＥＣＵ１へ電源遮断許可要求を送信し（Ｓ２６５）、その後、フラッシュメモリ１４内の新たな制御プログラムを実行する（Ｓ２９０）。
【００８０】
また、この場合、ＥＣＵ１のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図４）をＲＡＭ１６にコピーして実行するが、ＥＣＵ１のマイコン１０は、図４のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、図４のＳ３００により、以後は、少なくとも図５に示した受信処理のプログラムと図６に示したメインリレー制御処理のプログラムとを実行することとなる。
【００８１】
よって、ＥＣＵ１のマイコン１０は、図５の受信処理と図６のメインリレー制御処理により、ＥＣＵ２のマイコン１０が送信した電源遮断禁止要求を受信すると、その後、ＥＣＵ２のマイコン１０が送信する電源遮断許可要求を受信するまでの間は、禁止フラグＦｋをセットして（Ｓ３２０〜Ｓ３５０）、イグニッションスイッチ７のオン／オフ状態に拘らずメインリレー６をオンさせたままにすることとなる（Ｓ４１０〜Ｓ４３０）。
【００８２】
尚、この場合、ＥＣＵ３のマイコン１０も、図３のＳ１４０及びＳ１５０により、フラッシュメモリ１４内の書換プログラム（図７）をＲＡＭ１６にコピーして実行するが、ＥＣＵ３のマイコン１０は、図７のＳ２２０で否定判定して（Ｓ２２０：ＮＯ）、実質的な処理を行わない無処理状態となる。
【００８３】
また、ＥＣＵ３のフラッシュメモリ１４に格納されたデータを書き換える場合には、通信線４にデータ書換装置８を接続してからイグニッションスイッチ７をオンし、データ書換装置８から通信線４へ書換要求メッセージとＥＣＵ３の暗証コードとを順次送信させれば良い。すると、この場合には、ＥＣＵ３のマイコン１０が、ＥＣＵ１へ電源遮断禁止要求を送信した後に書換処理を行い、その書換処理の実行を完了すると、ＥＣＵ１へ電源遮断許可要求を送信することとなる。そして、ＥＣＵ２のマイコン１０は無処理状態となる。
【００８４】
つまり、本実施形態の車両制御システムにおいて、バッテリ５からの電力供給がＥＣＵ１により制御されるＥＣＵ２，３のマイコン１０は、書換処理の実行を開始する前にＥＣＵ１へ電源遮断禁止要求を送信し、その書換処理の実行を完了したときにＥＣＵ１へ電源遮断許可要求を送信するようにしている。そして、ＥＣＵ１のマイコン１０は、他のＥＣＵからの電源遮断禁止要求を受信すると、その後、他のＥＣＵからの電源遮断許可要求を受信するまでの間は、電力遮断条件が非成立であると判断して、メインリレー６への駆動信号を出力し続けるようにしている。
【００８５】
従って、本実施形態の車両制御システムによれば、ＥＣＵ２，３の何れかに設けられたマイコン１０が書換処理を行っている最中に、イグニッションスイッチ７が誤ってオフされても、そのマイコン１０へはバッテリ５からの電力が継続して供給されることとなる。そして、そのマイコン１０が書換処理の実行を完了してから、メインリレー６がオフすることとなる。よって、ＥＣＵ２，３の何れかに設けられたマイコン１０がフラッシュメモリ１４内のデータを書き換えている最中に、そのマイコン１０への電力供給が遮断されてデータの書き換えが中断されてしまうことを、確実に防止することができる。
【００８６】
特に、本実施形態の車両制御システムでは、ＥＣＵ１以外のＥＣＵ２，３においても、フラッシュメモリ１４内に書換プログラムと暗証コードとが格納されているため、そのＥＣＵのマイコン１０が書換処理を行っている最中に電力供給が遮断されてしまうと、前述した▲１▼，▲２▼の理由により、そのＥＣＵが使用不可能となってしまうが、本実施形態によれば、こうした問題を確実に防止することができる。
【００８７】
尚、本実施形態の車両制御システムでは、ＥＣＵ２，３が、請求項４〜６の車両用制御装置に相当しており、ＥＣＵ１が、請求項４に記載の他の車両用制御装置と、請求項７の車両用制御装置とに相当している。また、ＥＣＵ１が、請求項９に記載の特定の車両用制御装置に相当し、ＥＣＵ２，３が、請求項９に記載の特定の車両用制御装置以外の車両用制御装置に相当している。
【００８８】
以上、本発明の一実施形態について説明したが、本発明は、上記実施形態に限定されるものではなく、種々の形態を採り得ることは言うまでもない。
例えば、上記実施形態のＥＣＵ１，２，３では、書換プログラムと暗証コードとを、フラッシュメモリ１４に格納するようにして、制御プログラムと共に書き換え可能としていたが、書換プログラムと暗証コードとの両方或いは何れか一方をマスクＲＯＭ１８に格納するようにしても良い。また、書換プログラムは、データ書換装置８から受信してＲＡＭ１６へ転送し、そのＲＡＭ１６上で実行するようにしても良い。
【００８９】
尚、書換プログラムと暗証コードとの両方をマスクＲＯＭ１８に格納するように変更した場合、或いは、暗証コードをマスクＲＯＭ１８に格納すると共に、書換プログラムをデータ書換装置８から受信してＲＡＭ１６上で実行するように変更した場合には、書換処理の実行中に電力供給が遮断されても、書換処理を再び行うことが可能となる。しかし、本実施形態の車両制御システムによれば、予期せぬ電力供給の遮断に伴う書換処理の中断を確実に防止できるため、書換処理をやり直さなければならない状況の発生を未然に防ぐことができ、非常に有利である。
【００９０】
また、上記実施形態の車両制御システムでは、通信線４に接続される全てのＥＣＵ１，２，３が、制御プログラムをオンボード書き換え可能に構成されていたが、例えば、ＥＣＵ１だけをオンボード書き換え可能としても良い。そして、この場合には、ＥＣＵ１のマイコン１０が実行する処理のうち、図４のＳ３００と、図５のＳ３２０〜Ｓ３５０と、図６のＳ４２０とを省略することができる。また、ＥＣＵ２，３のうちの何れか一方だけをオンボード書き換え可能としても良い。
【００９１】
一方、上記実施形態では、データ書換装置８が通信線４に接続されるようになっていたが、例えば、各ＥＣＵ１，２，３にデータ書換装置８と接続するための専用コネクタを設け、データ書換装置８をＥＣＵ１，２，３の各々に対して個別に接続するようにしても良い。
【００９２】
また、上記実施形態のＥＣＵ１，２，３では、データの書き換えが可能な不揮発性メモリとして、フラッシュメモリ１４を用いたが、ＥＥＰＲＯＭ等、電気的に書き換えが可能な他のＲＯＭを用いても良い。
【図面の簡単な説明】
【図１】 実施形態の車両制御システムの全体構成を表すブロック図である。
【図２】 図１のＥＣＵの内部構成を表すブロック図である。
【図３】 図１の各ＥＣＵで動作開始直後から実行される処理を表すフローチャートである。
【図４】 図１の特定のＥＣＵ（ＥＣＵ１）で実行される書換プログラムの処理を表すフローチャートである。
【図５】 図１の特定のＥＣＵ（ＥＣＵ１）で実行される受信処理を表すフローチャートである。
【図６】 図１の特定のＥＣＵ（ＥＣＵ１）で実行されるメインリレー制御処理を表すフローチャートである。
【図７】 図１の特定のＥＣＵ（ＥＣＵ１）以外のＥＣＵ（ＥＣＵ２，３）で実行される書換プログラムの処理を表すフローチャートである。
【符号の説明】
１，２，３…車両用制御装置（ＥＣＵ） ４…通信線 ５…バッテリ
６…メインリレー ７…イグニッションスイッチ ８…データ書換装置
Ｌ１…電源ライン Ｌ２，Ｌ３…信号線
１０…マイコン（シングルチップマイクロコンピュータ） １２…ＣＰＵ
１４…フラッシュメモリ １６…ＲＡＭ １８…マスクＲＯＭ
２０…電源ＩＣ ２２…通信ＩＣ
Claims (9)
- データの書き換えが可能な不揮発性メモリを有すると共に、車両に搭載されたバッテリからの電力を受けて動作し、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、前記車両に搭載された機器を制御するための制御処理を行い、外部のデータ書換装置からの書換指令を受けた場合には、前記不揮発性メモリ内のデータを前記データ書換装置から与えられる新たなデータに書き換えるための書換処理を行う処理実行部と、
前記処理実行部に供給される電力と同じ電力を受けて動作するＩＣであって、前記処理実行部が前記データ書換装置と通信を行うための通信ＩＣと、
前記車両に設けられた特定のスイッチがオン状態であるときに、前記処理実行部及び前記通信ＩＣへ前記バッテリからの電力を供給する電力供給手段と、
を備えた車両用制御装置において、
前記電力供給手段は、前記スイッチがオフされても、電力供給の遮断を示す遮断指令を受けるまでは、前記処理実行部及び前記通信ＩＣへ前記バッテリからの電力を継続して供給するように構成されており、
前記処理実行部は、前記書換処理の実行を完了した後に前記スイッチのオン／オフ状態を検出し、前記スイッチがオフしている場合に前記電力供給手段へ前記遮断指令を出力するように構成されていること、
を特徴とする車両用制御装置。 - 請求項１に記載の車両用制御装置において、
前記不揮発性メモリには、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、
前記処理実行部は、データの読み出し及び書き込みが可能な揮発性メモリを備えていると共に、前記書換指令を受けると、前記不揮発性メモリ内の書換プログラムを前記揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されていること、
を特徴とする車両用制御装置。 - 請求項１に記載の車両用制御装置において、
前記不揮発性メモリには、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、
前記処理実行部は、前記書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されていること、
を特徴とする車両用制御装置。 - 車両に搭載されたバッテリからの電力供給が、他の車両用制御装置によって制御される車両用制御装置であって、
データの書き換えが可能な不揮発性メモリを有すると共に、前記バッテリからの電力を受けて動作し、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、前記車両に搭載された機器を制御するための制御処理を行い、外部からの書換指令を受けた場合には、前記不揮発性メモリ内のデータを外部から与えられる新たなデータに書き換えるための書換処理を行う処理実行部を備え、
更に、前記処理実行部は、前記書換指令を受けて前記書換処理の実行を開始する前に、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、前記書換処理の実行を完了したときに、前記他の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されていること、
を特徴とする車両用制御装置。 - 請求項４に記載の車両用制御装置において、
前記不揮発性メモリには、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に前記書換処理を行うための書換プログラムが格納されており、
前記処理実行部は、データの読み出し及び書き込みが可能な揮発性メモリを備えていると共に、前記書換指令を受けると、前記不揮発性メモリ内の書換プログラムを前記揮発性メモリに転送して実行することにより、前記書換処理を行うように構成されていること、
を特徴とする車両用制御装置。 - 請求項４に記載の車両用制御装置において、
前記不揮発性メモリには、書き換え対象のデータとして、前記制御処理を行うための制御プログラムと共に当該車両用制御装置の暗証コードが格納されており、
前記処理実行部は、前記書換指令を受けると、外部から与えられる暗証コードが前記不揮発性メモリ内の暗証コードと一致しているか否かを判定し、その両暗証コードが一致している場合にのみ、前記書換処理を行うように構成されていること、
を特徴とする車両用制御装置。 - 請求項４ないし請求項６の何れかに記載の車両用制御装置と共に車両に搭載され、前記他の車両用制御装置として、請求項４ないし請求項６の何れかに記載の車両用制御装置への電力供給を制御する車両用制御装置であって、
前記禁止信号を受けると、その後、前記許可信号を受けるまでの間は、請求項４ないし請求項６の何れかに記載の車両用制御装置への電力供給を継続して行うように構成されていること、
を特徴とする車両用制御装置。 - 請求項４ないし請求項６の何れかに記載の車両用制御装置と、請求項７に記載の車両用制御装置とを備えたこと、
を特徴とする車両制御システム。 - 車両のイグニッションスイッチがオンされるか、或いは、外部から駆動信号が与えられると、車両に搭載されたバッテリのプラス端子と車両内に配設された電源ラインとを接続する電力供給用リレーと、
前記バッテリからの電力を前記電源ラインを介して受けることにより動作する複数の車両用制御装置とを備え、
前記複数の車両用制御装置のうちの特定の車両用制御装置が、前記イグニッションスイッチのオンに伴い動作を開始すると、その後、前記イグニッションスイッチがオフ状態になり且つ所定の電力遮断条件が成立したと判断するまで、前記電力供給用リレーへ前記駆動信号を出力し続けるように構成された車両制御システムであって、
前記特定の車両用制御装置以外の少なくとも１つの車両用制御装置は、
データの書き換えが可能な不揮発性メモリを有すると共に、前記バッテリからの電力を受けて動作し、通常時には、前記不揮発性メモリに格納されたデータにより構成される制御プログラムに従って、前記車両に搭載された機器を制御するための制御処理を行い、外部からの書換指令を受けた場合には、前記不揮発性メモリ内のデータを外部から与えられる新たなデータに書き換えるための書換処理を行う処理実行部を備え、
更に、前記処理実行部は、前記書換指令を受けて前記書換処理の実行を開始する前に、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を禁止するための禁止信号を出力し、前記書換処理の実行を完了したときに、前記特定の車両用制御装置へ、当該装置に対する電力供給の遮断を許可するための許可信号を出力するように構成されており、
前記特定の車両用制御装置は、前記禁止信号を受けると、その後、前記許可信号を受けるまでの間は、前記電力遮断条件が非成立であると判断して、前記電力供給用リレーへ前記駆動信号を出力し続けるように構成されていること、
を特徴とする車両制御システム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP05856398A JP3932654B2 (ja) | 1998-03-10 | 1998-03-10 | 車両用制御装置及び車両制御システム |
| US09/257,240 US6138059A (en) | 1998-03-10 | 1999-02-25 | Vehicle control system and unit for preventing power supply cutoff during re-programming mode |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP05856398A JP3932654B2 (ja) | 1998-03-10 | 1998-03-10 | 車両用制御装置及び車両制御システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH11259375A JPH11259375A (ja) | 1999-09-24 |
| JP3932654B2 true JP3932654B2 (ja) | 2007-06-20 |
Family
ID=13087930
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP05856398A Expired - Fee Related JP3932654B2 (ja) | 1998-03-10 | 1998-03-10 | 車両用制御装置及び車両制御システム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6138059A (ja) |
| JP (1) | JP3932654B2 (ja) |
Families Citing this family (28)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1181628B1 (de) * | 1999-05-21 | 2003-03-19 | Papst-Motoren GmbH & Co. KG | Verfahren zum nichtflüchtigen speichern mindestens eines betriebsdatenwerts eines elektromotors, und elektromotor zu durchführung eines solchen verfahrens |
| US6434455B1 (en) * | 1999-08-06 | 2002-08-13 | Eaton Corporation | Vehicle component diagnostic and update system |
| CA2282881C (en) * | 1999-09-20 | 2001-10-30 | Vansco Electronics Ltd. | Electrical control apparatus including a plurality of programmable modules |
| DE19947251A1 (de) * | 1999-09-30 | 2001-05-31 | Bosch Gmbh Robert | Verfahren und Vorrichtung zur Steuerung von Prozessen in Verbindung mit einem Antrieb |
| US6236919B1 (en) * | 1999-10-12 | 2001-05-22 | Ford Motor Company | Method and apparatus providing operation of an integration hub for automotive signals during low voltage conditions |
| JP2004521403A (ja) * | 2000-08-02 | 2004-07-15 | シーメンス ヴィディーオー オートモーティヴ コーポレイション | 車両の電子制御ユニットの無線による再プログラミング |
| KR100394639B1 (ko) * | 2000-12-27 | 2003-08-14 | 현대자동차주식회사 | 자동차용 배터리의 스탠바이 전력의 오류 진단장치 및 그방법 |
| US7765043B2 (en) * | 2003-05-12 | 2010-07-27 | Toyota Jidosha Kabushiki Kaisha | Power supply control apparatus and method |
| US20040243284A1 (en) * | 2003-05-28 | 2004-12-02 | Caterpillar Inc. | Methods and systems for modifying flash files |
| US6928362B2 (en) * | 2003-06-06 | 2005-08-09 | John Meaney | System and method for real time programmability of an engine control unit |
| WO2007046209A1 (ja) * | 2005-10-18 | 2007-04-26 | Sharp Kabushiki Kaisha | 液晶表示装置 |
| ES2274733B1 (es) * | 2005-11-14 | 2008-03-01 | Boxitech, S.L. | Sistema reprogramable de centralita de encendido para motores de combustion interna. |
| WO2007072735A1 (ja) * | 2005-12-20 | 2007-06-28 | Pioneer Corporation | データ更新装置および更新制御方法 |
| US20070185624A1 (en) * | 2006-02-07 | 2007-08-09 | General Motors Corporation | Method for remote reprogramming of vehicle flash memory |
| JP2007237905A (ja) * | 2006-03-08 | 2007-09-20 | Denso Corp | ハイブリッド型車両用のプログラム書き換えシステム及び電子制御装置 |
| US20070277028A1 (en) * | 2006-05-26 | 2007-11-29 | Jamey Cates | Method and system for recovery from reprogramming failures in nonvolatile memory |
| DE102006045139B4 (de) * | 2006-09-25 | 2016-02-11 | Continental Automotive Gmbh | Vorrichtung und Verfahren zur Zustandverwaltung eines Betriebssteuergeräts eines Kraftfahrzeugs |
| JP5030727B2 (ja) * | 2007-10-01 | 2012-09-19 | 日立オートモティブシステムズ株式会社 | 車両用電子制御装置 |
| DE102007059355A1 (de) * | 2007-12-10 | 2009-06-18 | Continental Automotive Gmbh | Verfahren zum Betreiben eines Steuergerätes und Steuergerät |
| JP5129075B2 (ja) * | 2008-09-26 | 2013-01-23 | 本田技研工業株式会社 | エンジン始動装置 |
| DE102009017910A1 (de) | 2009-04-17 | 2010-10-21 | Volkswagen Ag | Verfahren zur Speicherung flüchtiger Werte beim Ausschalten einer Versorgungsspannung eines Fahrzeugs sowie entsprechende Vorrichtung, entsprechendes Elektronikmodul, entsprechendes System und entsprechendes Fahrzeug |
| JP5609702B2 (ja) * | 2011-02-17 | 2014-10-22 | 株式会社デンソー | 車載制御装置のプログラム更新システム |
| KR101776965B1 (ko) * | 2011-08-26 | 2017-09-08 | 두산인프라코어 주식회사 | 하이브리드 전원 장치 및 그 제어 방법 |
| JP5423754B2 (ja) * | 2011-09-28 | 2014-02-19 | 株式会社デンソー | バス監視セキュリティ装置及びバス監視セキュリティシステム |
| US9516006B2 (en) | 2013-10-23 | 2016-12-06 | Google Inc. | Re-programmable secure cryptographic device |
| US9430220B2 (en) * | 2014-07-22 | 2016-08-30 | GM Global Technology Operations LLC | Method, medium, and apparatus for re-programming flash memory of a computing device |
| JP6334436B2 (ja) * | 2015-02-27 | 2018-05-30 | 日立オートモティブシステムズ株式会社 | 車両用相互監視モジュール |
| DE102020200203B4 (de) * | 2020-01-09 | 2022-01-20 | Vitesco Technologies GmbH | Vorrichtung zum Betreiben eines elektronischen Systems, insbesondere eines Fahrzeugs |
Family Cites Families (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE3410082A1 (de) * | 1984-03-20 | 1985-09-26 | Robert Bosch Gmbh, 7000 Stuttgart | Steuergeraet fuer kraftfahrzeuge |
| JPH02100743A (ja) * | 1988-10-07 | 1990-04-12 | Tokyo Electric Co Ltd | 電子機器 |
| GB9019423D0 (en) * | 1990-09-06 | 1990-10-24 | Gen Motors Luxembourg Operatio | Electronic controller for vehicle |
| US5278759A (en) * | 1991-05-07 | 1994-01-11 | Chrysler Corporation | System and method for reprogramming vehicle computers |
| DE4315494C1 (de) * | 1993-05-10 | 1994-09-29 | Daimler Benz Ag | Anordnung und Verfahren zur Programmierung wenigstens eines Kfz-Steuergeräts |
| DE4332499A1 (de) * | 1993-09-24 | 1995-03-30 | Bosch Gmbh Robert | Verfahren zur vollständigen Neuprogrammierung eines löschbaren, nichtflüchtigen Speichers |
| DE4344866A1 (de) * | 1993-12-29 | 1995-07-06 | Bosch Gmbh Robert | Steuergerät und Vorrichtung zu dessen Programmierung |
| JPH07271634A (ja) * | 1994-03-29 | 1995-10-20 | Hitachi Ltd | フラッシュｅｅｐｒｏｍを備えた制御装置 |
| JP3176506B2 (ja) * | 1994-05-16 | 2001-06-18 | 株式会社日立製作所 | 自動車用制御装置 |
| DE4425388B4 (de) * | 1994-07-19 | 2005-07-21 | Robert Bosch Gmbh | Steuergerät |
| DE4440127B4 (de) * | 1994-11-10 | 2007-11-08 | Robert Bosch Gmbh | Steuergerät |
| JP3491419B2 (ja) * | 1995-12-04 | 2004-01-26 | 株式会社デンソー | 電子制御装置 |
| US6009372A (en) * | 1997-10-01 | 1999-12-28 | Cummins Engine Company, Inc. | Management of programming and memory space for an internal combustion engine control system |
-
1998
- 1998-03-10 JP JP05856398A patent/JP3932654B2/ja not_active Expired - Fee Related
-
1999
- 1999-02-25 US US09/257,240 patent/US6138059A/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| US6138059A (en) | 2000-10-24 |
| JPH11259375A (ja) | 1999-09-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3932654B2 (ja) | 車両用制御装置及び車両制御システム | |
| JP4061694B2 (ja) | 電子制御装置及び制御システム | |
| JP2003256228A (ja) | プログラム書換装置 | |
| US6401163B1 (en) | Apparatus and method for rewriting data from volatile memory to nonvolatile memory | |
| EP0825530A2 (en) | Computer apparatus having electrically rewritable nonvolatile memory, and nonvolatile semiconductor memory | |
| JP2009262676A (ja) | 電子制御装置 | |
| JP2009262679A (ja) | 電子制御装置、及び車両制御システム | |
| US6182004B1 (en) | Apparatus and method for controlling electric power supply in nonvolatile memory rewriting operation | |
| JP2001123874A (ja) | 電子制御装置のプログラム書換システム及びメモリ書換装置 | |
| JP3137012B2 (ja) | 電子制御装置 | |
| JP3972429B2 (ja) | 車両制御用メモリ書き換え装置 | |
| KR101601751B1 (ko) | 차량용 전자제어유닛 및 그 부트 소프트웨어 리프로그래밍 방법 | |
| JP3234772B2 (ja) | 車載パワートレイン制御装置 | |
| JP3491358B2 (ja) | 電源遮断検出装置 | |
| JP2016126699A (ja) | 自動車用電子制御装置 | |
| JP2001297009A (ja) | 車両制御装置のための書き換えシステム | |
| JP4066499B2 (ja) | 電子制御装置，電子制御システムおよび適合判断方法 | |
| JP2004210183A (ja) | 車載プログラムの書き換え制御装置 | |
| JP2007316800A (ja) | 車載プログラム書換え制御装置 | |
| JP4281222B2 (ja) | 不揮発性メモリ書き込み装置 | |
| EP0785508B1 (en) | Method of controlling data writing into on-board microcomputer | |
| JP2003271420A (ja) | 電子制御装置 | |
| JP3551855B2 (ja) | 車両用制御装置 | |
| JP2004021520A (ja) | 車両用電子制御装置 | |
| JP2004005152A (ja) | 不揮発性メモリの書き換え装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040722 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20061128 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061205 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070129 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070227 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070312 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100330 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110330 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120330 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120330 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130330 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140330 Year of fee payment: 7 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |