JP4436933B2 - プログラム可能記憶装置を有する制御装置の作動方法 - Google Patents

Description

従来の技術
本発明は、請求項１の上位概念による方法に関する。すなわち、制御装置動作に対するデータとプログラムを記憶するプログラム可能記憶装置を有する制御装置の作動方法に関する。
この種の方法は例えばＤＥ４３３２４９９Ａ１に公開されている。この刊行物に記載された制御装置は自動車制御装置であり、この制御装置には機器動作のためのデータおよびプログラムを記憶するプログラム可能、正確に言えば消去可能不揮発性記憶装置がフラッシュＥＰＲＯＭの形態で装備されている。
プログラム可能記憶装置を制御装置動作に対するデータおよびプログラムを記憶するための記憶装置として設けることは有利である。なぜなら、これによって制御装置動作を簡単にいつでも永続的に変更できるからであり、このことは例えば始めはわからなかったエラーが記憶されたデータおよびプログラムにある場合、または顧客の個別の希望を考慮する場合に非常に重要である。
フラッシュＥＰＲＯＭをプログラム可能記憶装置として使用することにより、このことはますます重要になる。なぜならフラッシュＥＰＲＯＭは“通常の”ＥＰＲＯＭの利点（狭い空間での高い記憶セル密度）とＥＥＰＲＯＭの利点（記憶内容を電気的に簡単に消去できる）を併せ持つからである。
始めにプログラミングするために、すなわちフラッシュＥＰＲＯＭを消去および／または上書きするために（有利には自動車製造時に自動車形式に依存して）、または後からこれを再プログラミングするために（エラー処理のための顧客サービスまたは個人的な顧客の要望に応じて）、例えばパーソナルコンピュータの形式の外部プログラム装置が制御装置に接続される。この種のプログラム装置によって必要に応じ、制御装置のフラッシュＥＰＲＯＭに記憶されている制御プログラムが消去され、および／またはデータにより上書きされ、新たに記憶されたデータを使用することができる。
このように簡単かつ迅速に、制御装置動作に対するデータおよびプログラムを記憶装置へプログラミングできることにより、制御装置を非常にフレキシブルに使用することができ、簡単かつ迅速にそれぞれの条件に適合することができる。
他方では記憶装置の記憶内容が上書き可能ないし消去可能であることには所定の危険性が伴う。なぜなら、記憶内容の変更、とりわけノイズや誤プログラミングによる変更は場合により安全性の点で非常に問題となるからである。
この理由から他方では、制御装置および／またはプログラム装置で識別された障害をできるだけ取り除くことが必要である。しかし障害と思われるものの原因を探すことは、記憶内容の変化の原因が実際に障害にあることが確実である場合だけ意味のあることである。
従って本発明の課題は、プログラム可能記憶装置の規定外の内容に対する原因を適切な手段によって探索することである。
この課題は本発明のより、請求項１に記載の構成によって解決される。
本発明では、プログラム可能記憶装置のプログラミングと共にプログラミング過程を記録するデータも記憶される。
それぞれのプログラミング過程を記録したデータを相応に選択し、これを不揮発性メモリに記憶することにより、これからいつでもプログラム可能記憶装置の場合により行われた再プログラミングについて詳細を述べることができる。
それぞれのプログラミング過程を記録するために選択されたデータが多ければ多いほど、該当するプログラミング過程を後でより詳細に再現することができる。
それぞれのプログラミング過程を記録するために選択されたデータは例えば次の情報を含むことができる。
−それぞれのプログラミング過程の時点、経過、持続時間および／または成否についての情報
−それぞれ行われた変更の位置（記憶装置内の）、量、形式（消去および／または上書き）および／または内容（例えば新たに書き込まれたデータ等のチェックサム）についての情報、および／または
−それぞれのプログラミング過程を行ったプログラム装置についての情報。
この種の情報を評価する際に例えば、プログラム可能記憶装置のそれぞれどの領域で再プログラミングによるデータ変更が行われたかを検出する。
検査すべきデータ変更が再プログラミングによって変化した領域の外にある場合、または再プログラミングにより行われなかった変更を取り扱うならば、制御および／またはプログラム装置には障害があり、これを除去しなければならない。
このことにより、プログラム可能記憶装置の規定外の内容に対する原因を確実に検出することができる。
原因の検出は固定的スキームに従って行われ、このことにより除去すべき障害についての自動的に自己検査を実行することができる。
障害を確実に識別するだけでなく本発明の方法はさらに、プログラム可能記憶装置で行われた再プログラミングがそのために権限のある箇所による規定通りのプログラミングであるか、または（間違ったまたは乱用による）資格権限のないプログラミングであるかを検出できる。
本発明の有利な改善形態は従属請求項に記載されている。
本発明を以下、図面に示された実施例に基づいて詳細に説明する。
図は、外部プログラム装置に接続された制御装置を示し、この制御装置により本発明の方法が実施される。
次の説明は制御装置、例えば自動車の機関、伝動装置、ブレーキ等を制御するための制御装置、すなわち自動車制御装置の作動方法に関するものである。
制御装置は、これらを作動するためのデータおよびプログラムを記憶するプログラム可能記憶装置、より正確に言えばフラッシュＥＰＲＯＭの形態の消去可能不揮発性記憶装置を有しており、この記憶装置はすでに冒頭に述べたようにこの適用領域に対してとくに有利である。
記憶装置のプログラミングは外部プログラム装置を介して行われる。このプログラム装置は例えばシリアルインターフェースを介して自動車制御装置と接続されている。
しかし本発明は、外部プログラム装置を使用した自動車制御装置のフラッシュＥＰＲＯＭのプログラミングに制限されるものではない。本発明はむしろ、制御装置の記憶装置がプログラム装置によりプログラミングされる一般的分野で適用することができる。
制御装置は図に参照番号２０により示されている。これは制御ユニット２１、第１のプログラム可能記憶装置および第２のプログラム可能記憶装置２３を有する。
制御ユニット２１はマイクロコンピュータ、マイクロコントローラまたは同等のものにより実現されている。制御ユニットは割り当てられた制御機能を実行し、自己制御プログラムを実行する。このプログラムはその実行に必要なデータと共に第１の記憶装置２２に記憶されている。
第１の記憶装置はプログラム可能記憶装置であり、より正確に言えば、フラッシュＥＰＲＯＭの形態の消去可能不揮発性記憶装置である。
第２の記憶装置２３もプログラム可能記憶装置であり、より正確に言えば、消去可能不揮発性記憶装置であるが、しかしこの実施例ではＥＥＰＲＯＭによって実現されている。この第２の記憶装置２３は後で詳細に説明するプログラミング記録データを記憶するための用いる。
第１の記憶装置２２は、有利にはパーソナルコンピュータ等の形態の外部プログラム機器１０と共働してプログラミングすることができる。
プログラム装置１０は制御装置２０とシリアルインターフェースを介して接続されている。プログラム装置１０がプログラミング要請を制御装置２０に出力すると、制御装置（少なくとも規定通りのプログラミング試行である限り）によって第１の記憶装置２２に記憶されているデータが消去され、および／または通常はプログラム装置１０から伝送される新たなデータが第１の記憶装置２２に書き込まれる。
第１の記憶装置２２のプログラミングと共に、すなわち第１の記憶装置２２の消去または上書きの前後ないし消去中に、この過程が前にすでに説明したプログラミング記録データを第２の記憶装置２３に記憶することにより記録される。プログラミング記録データを第２の記憶装置２３に記憶することをすでに第１の記憶装置２２のプログラミング中に行うことが優先される。なぜなら、このようにデータを時間的に交錯させて第１および第２の記憶装置に記憶することにより、第１の記憶装置２２の再プログラミングが、これのプログラミング記録データの第２の記録装置２３への書き込みによる記録なしに行われる可能性が小さくなるからである。
プログラミング記録データの形式および大きさが相応に設定されていれば後からこれからいつでも、場合に行われた第１の記憶装置２２の再プログラミングに関する詳細情報を多少とも得ることができる。
プログラミング記録データが大きければ大きいほど、これにより記録されたプログラミング過程を後から正確に再現することができる。
それぞれのプログラミング過程を記録するために選択されたプログラミング記録データは例えば次の情報を含むことができる。
−それぞれのプログラミング過程の時点、経過、持続時間および／または成否について
−それぞれ行われたプログラミング過程の位置（第１の記憶装置内の）、容量、形式（消去および／または上書き）および／または内容（例えば新たに書き込まれたデータのチェックサム等）について、および／または
−それぞれのプログラミング過程を行ったプログラム装置について。
本実施例では例えばデータは、プログラム装置の識別子、第１の記憶装置のプログラミング中の制御装置および／またはプログラム装置の状態情報および／またはエラー情報、および新たに第１の記憶装置２２に書き込まれたデータのチェックサムであり、これらがプログラミング記録データとして第２の記録装置２３に記憶される。
しかしプログラミング記録データの形態で記憶される情報は前記の情報に限定されない。プログラミング記録データは、どのような形式であろうとも、行われた第１の記憶装置２２のプログラミングまたは再プログラミングを解明する情報であればよい。
前記のプログラミング記録データを第２の記憶装置２３に記憶することは基本的に、プログラム装置１０によっても制御装置２０によっても行うことができる。
第１の記憶装置２２の不正再プログラミングまたは無資格の第三者による再プログラミングが隠蔽されることを阻止するために、有利な変形実施例では、第２の記憶装置２３へのプログラミング記録データの記憶をプログラム装置１０によるコンフリクトなしで、制御装置２０により完全に自立的にかつ自動的に行う。前記の理由から、外部装置、例えばプログラム装置１０による第２の記憶装置２３の消去および／または書き込みとそのトリガが明確に禁止されていると有利である。これにより第２の記憶装置２３に記憶された内容を簡単に除去することができない。
第２の記憶装置２３は前記の実施例では制御装置２０により自動的に、第１の記憶装置２２のプログラミング開始時に開放され、第１の記憶装置２２のプログラミング終了時に閉鎖される。
第２の記憶装置２３の記憶容量は有利には、第１の記憶装置に該当する多数のプログラミング過程、例えば１０のプログラミング過程を記録するのに十分な大きさに選定される。
第２の記憶装置２３には第１の記憶装置２２に書き込むべきデータないしすでに書き込まれたデータではなく、単にその記憶過程を記録するデータが収容されるだけであるという事実から、第２の記憶装置２３に記憶すべきデータ量は比較的小さい。従って複数のプログラミング過程に対して十分な記憶容量を設ける場合でも比較的小さな記憶容量で十分である。この理由からこのためにＥＥＰＲＯＭのように比較的小さなメモリセル密度を有する記憶装置を使用することができる。もちろん第２の記憶装置２３に対して第１の記憶装置２２と同じようにフラッシュＥＰＲＯＭを使用することもできる。第１および第２の記憶装置はまたただ１つのフラッシュＥＰＲＯＭにより構成することもできる。しかしこの場合は前にすでに述べたように制御が完全に異なるので、場合によっては比較的に高い制御コストを受け入れなければならない。
例えば第２の記憶装置２３の制御に対するアドレス管理である制御コストを小さくするために、第２の記憶装置に対して設けられたアドレスカウンタを、連続的に検査しないで記憶終了部に達したとき自動的に記憶開始部にジャンプするように構成するか（モジュロカウンタ）、または第２の記憶装置２３をリングメモリとして構成する。
第２の記憶装置２３の内容は必要ならばシリアルインターフェースを介して読み出すことができ、これを介してプログラム装置１０を制御装置２０と接続することもできる。
第２の記憶装置２３から読み出され、場合により制御装置内部で評価される情報は第１の記憶装置２２の最後のプログラミング過程を記録する。
この情報に基づいて、どのように元は第１の記憶装置２２に存在しなかったデータがそこにファイルされているのか、正確に言えば元は第１の記憶装置２２に存在しなかったデータが第１の記憶装置２２の再プログラミングによって、または他の例えばノイズの結果によってそこにファイルされているのかを検出することができる。
さらに場合によっては（例えば記憶されたプログラム装置の識別子等の評価で）、行われた第１の記憶装置２２の再プログラミングがこれに対して権限のある箇所または人物によって行われたか否かを検出することができる。
第２の記憶装置２３に記憶されているプログラミング記録データから行われる検出は種々の理由から重要である。
１つには迅速かつ間違えなしに、制御装置を発生した障害に基づいて交換すべきかまたは修理すべきか判断できる。
またユーザーに対し、不正な誤プログラミングないし再プログラミングを証明することができ、場合により保証請求を棄却することができる。
さらに第１の記憶装置２２の再プログラミングの成否によって、制御装置により制御される自動車等の要素の故障または予定より早い摩耗を、該当する要素の欠陥が原因であるのか、または制御装置による異常な制御が原因であるかを検出することができる。

Claims (12)

1. 制御装置の作動方法であって、
   該制御装置は、第１のプログラム可能記憶装置（２２）と、制御機能を実現するためのプログラムを実行する制御ユニット（２１）と、第２の不揮発性記憶装置（２３）とを有し、
   前記制御機能を実現するためのプログラムは前記第１のプログラム可能記憶装置（２２）に記憶されている形式の制御装置の作動方法において、
   ・第１のステップで前記制御ユニット（２１）は、前記第１の記憶装置（２２）を外部プログラム装置（１０）によりプログラミングし、
   ・第２のステップで前記制御ユニット（２１）は、前記プログラミングと共に、前記第１の記憶装置のプログラミング過程を記録する記録データを第２の記憶装置（２３）に記憶し、
   ・第３のステップで前記制御ユニット（２１）は、前記外部プログラム装置または他の別の外部プログラム装置による前記第２の記憶装置へのアクセスを禁止し、
   これにより以下のすべてのことが防止される：
   （ａ）前記第２の記憶装置（２３）の消去；
   （ｂ）前記第２の記憶装置への書き込み；
   （ｃ）前記第２の記憶装置の消去のトリガ；
   （ｄ）前記第２の記憶装置への書き込みのトリガ；
   ことを特徴とする方法。
2. プログラミング過程を記録する記録データの記憶を、前記制御装置（２０）によるトリガを除いて自動的に開始し終了する、請求項１記載の方法。
3. プログラミング過程を記録する記録データの記憶を、前記第１のプログラム可能記憶装置（２２）のプログラミング中に行う、請求項１記載の方法。
4. プログラミング過程を記録する記録データの記憶を、前記第１の記憶装置（２２）の消去中または上書き中に行う、請求項１記載の方法。
5. プログラミング過程を記録する記録データに対する第２の記憶装置（２３）はリングメモリとして構成されている、請求項１記載の方法。
6. プログラミング過程を記録する記録データに対する第２の記憶装置（２３）に配属されたアドレスカウンタはモジュロカウンタとして構成されている、請求項５記載の方法。
7. 制御装置に対する作動装置であって、
   該制御装置は、第１のプログラム可能記憶装置（２２）と、制御機能を実現するためのプログラムを実行する制御ユニット（２１）と、第２の不揮発性記憶装置（２３）とを有し、
   前記制御機能を実現するためのプログラムは前記第１のプログラム可能記憶装置（２２）に記憶されている形式の制御装置の作動装置において、
   ・前記制御ユニット（２１）は、前記第１の記憶装置（２２）を外部プログラム装置（１０）によりプログラミングし、
   ・前記制御ユニット（２１）は、前記プログラミングと共に、前記第１の記憶装置のプログラミング過程を記録する記録データを第２の記憶装置（２３）に記憶し、
   ・前記制御ユニット（２１）は、前記外部プログラム装置または他の別の外部プログラム装置による前記第２の記憶装置へのアクセスを禁止し、
   これにより以下のすべてのことが防止される：
   （ａ）前記第２の記憶装置（２３）の消去；
   （ｂ）前記第２の記憶装置への書き込み；
   （ｃ）前記第２の記憶装置の消去のトリガ；
   （ｄ）前記第２の記憶装置への書き込みのトリガ；
   ことを特徴とする作動装置。
8. プログラミング過程を記録する記録データの記憶は、前記制御装置（２０）によるトリガを除いて自動的に開始され終了される、請求項７記載の装置。
9. プログラミング過程を記録する記録データの記憶は、前記第１のプログラム可能記憶装置（２２）のプログラミング中に行われる、請求項７記載の装置。
10. プログラミング過程を記録する記録データの記憶は、前記第１の記憶装置（２２）の消去中または上書き中に行われる、請求項７記載の装置。
11. プログラミング過程を記録する記録データに対する第２の記憶装置（２３）はリングメモリとして構成されている、請求項７記載の装置。
12. プログラミング過程を記録する記録データに対する第２の記憶装置（２３）に配属されたアドレスカウンタはモジュロカウンタとして構成されている、請求項１１記載の装置。

Images