JP4486653B2 - 電子制御装置 - Google Patents

Description

本発明は、マイコンを備えた電子制御装置にかかり、特に複数のプログラム書き換え条件判定回路の中からある特定のプログラム書き換え条件判定回路のみを動作可能（イネーブル）にするプログラム書き換え条件セレクタを備えたオンボード書き換え可能な電子制御装置に関する。

書き換え可能不揮発性メモリを構成要素とするマイコンを備え、前記書き換え可能不揮発性メモリに記憶された制御プログラムや制御データを装置の完成状態で書き換えることができるオンボード書き換え可能な電子制御装置は既に提案されている（特許文献１，２参照）。

この種の電子制御装置は、通常モード時、マイコンは書き換え可能不揮発性メモリに記憶された制御プログラムを実行し、制御対象をコントロールするための制御処理を行う。

また、プログラム書き換えモード時には、制御装置外部からの入力信号を判定回路で判定し、その判定結果にしたがって、マイコンの動作状態をプログラム書き換えモードに切り換え、プログラム書き換えが実行される。

プログラム書き換えのための制御装置外部からの入力信号は、アプリケーションごとに異なるため、その判定回路もアプリケーションごとに用意されている。
特開平１１−２７２４９８号公報 特開平１２−２８４８９２号公報

単一の電子制御装置を各々のアプリケーションに適用する場合、アプリケーションごとに異なるプログラム書き換え条件判定回路が必要とされる。このような場合、生産性の低下を防止するためには、適用されるアプリケーションごとの製造工程に変更を加えないことが望ましい。

このため、複数のプログラム書き換え条件判定回路（前記異なるプログラム書き換え条件を判定する回路）を共存させるような製品設計が行われる。この場合、入力信号として実制御に使用する信号（センサの検出信号等）を用いると、次のような問題が発生する。

すなわち、複数のプログラム書き換え条件判定回路が存在すると、アプリケーションとして、書き換えモードを許可してはならない場合において、他のプログラム書き換え条件判定回路により、プログラム書き換えモードが許可される場合が発生する。このような場合には制御プログラムのセキュリティ上の問題が発生する。

書き換え条件判定回路がプログラム書き換え条件が成立したと判定した場合、判定信号はマイコンの動作モードを書き換えモードにセレクトする。また、前記判定信号は、制御装置内部のシステムリセット信号を書き換え動作中に発生させないため、リセット回路に対しリセット信号の発生をディセイブル（無効）する。

前記書き換え条件の判定に用いる入力信号は、実制御においても使用される信号であるため、アプリケーションとして仕様上書き換えモードを許可しない条件においても、リセット信号の発生をディセイブルさせてしまう。このため、ウォッチドッグタイマがその機能を停止させてしまい、マイコンの暴走を監視することが不可能となることがある。

本発明はこれらの問題点に鑑みてなされたもので、プログラム書き換え条件が誤って成立した場合においても、マイコンの誤動作を防止することのできる電子制御装置を提供するものである。

本発明は上記課題を解決するため、次のような手段を採用した。

入力された複数の外部入力信号の組み合わせにしたがって動作するマイコンと、前記複数の外部入力信号の組み合わせにしたがってそれぞれプログラム書き換え条件の成立を判定するプログラム書き換え条件判定回路を複数備えた複数プログラム書き換え条件判定回路と、前記複数プログラム書き換え条件判定回路出力にしたがって前記マイコンにプログラムの書き換えを指示するプログラム書き換えモード出力回路と、プログラム書き換え条件セレクタを備え、該プログラム書き換え条件セレクタは、自己の特定入力端子に入力されるプログラム書き換え条件選定用電圧のレベルを取得し、取得した電圧のレベルに応じて前記複数のプログラム書き換え条件判定回路のうち対応付けられたプログラム書き換え条件判定回路をイネイブル状態とし、他のプログラム書き換え条件の判定回路をディセイブル状態とする。

本発明は、以上の構成を備えるため、プログラム書き換え条件が誤って成立した場合においても、マイコンの誤動作を防止することのできる電子制御装置を提供することができる。

以下、最良の実施形態を添付図面を参照しながら説明する。図１は、本発明の実施形態にかかる電子制御装置２０を説明する図である。図において、マイコン９は、電子制御装置２０の外部スイッチ１４からの入力信号ＢＳ１、ＢＳ２、ＢＳ３にしたがって制御対象をコントロールする。

入力信号ＢＳ１、ＢＳ２、ＢＳ３は実制御信号として用いられるほか、プログラム書き換え条件としても用いられる。入力信号ＢＳ１、ＢＳ２、ＢＳ３によりプログラム書き換えを実行する際には、複数プログラム書き換え条件判定回路５において、ユーザがプログラム書き換えを行おうとしている可否かを判断し、判断結果にしたがってプログラム書き換えモード出力回路８から出力されるプログラム書き換えモード信号ＰＭの論理をコントロールする。

プログラム書き換えモード信号ＰＭがプログラム書き換えモードを示す場合、マイコン９は書き換え許可モードとなり、ブート領域１２からプログラムを起動する。このプログラムは、ユーザ領域１１に格納されているプログラムとは異なり、リセット回路１３にウォッチドッグタイマ用のパルスＰＲを出力し続けることができない。

リセット回路１３は、前記パルスが入力されない場合システムリセット信号を発生するように設定されている。なお、このシステムリセット信号は、プログラム書き換えモード出力回路８からリセット回路１３にプログラム書き換えモード信号ＰＭを供給することにより抑制することができる。これにより、プログラム書き換え時にマイコン９がリセットされることなく、プログラム書き換えが可能となる。

ところで、単一の電子制御装置２０を、例えば複数（３個）のアプリケーションに適用する場合、アプリケーションごとに異なるプログラム書き換え条件が必要となる。このため、本実施形態ではプログラム書き換え条件判定回路を複数（５−１〜５−３）備える。

なお、異なるアプリケーションごとに部品実装仕様を変更した電子制御装置を制作することは、製品の生産性を低下させる要因となる。このため、図１に示すように、アプリケーションごとの製造工程を変更することなく同一の電子制御装置を制作し、制作した各電子制御装置のそれぞれに、複数プログラム書き換え条件判定回路５（複数の異なるプログラム書き換え条件を判定する書き換え条件判定回路５−１ないし５−３）を実装し、共存させる。これにより生産性を上げることができる。

前述のように、プログラム書き換え条件は、電子制御装置２０の各アプリケーションによって異なる。また、入力信号ＢＳ１、ＢＳ２、ＢＳ３は常時変化する。このため、ある特定のアプリケーションとして仕様上書き換えモードに移行することを許可してはならない場合において、他のアプリケーション用のプログラム書き換え条件の判定回路により、プログラム書き換えモード信号ＰＭがプログラム書き換えモードの論理になることがあり得る。すなわち、生産性向上のため複数プログラム書き換え条件の判定回路を共存させることは、マイコン９の動作モードおよびウォッチドッグタイマの抑制を誤って設定してしまう可能性があると言える。

そこで、本実施形態では、プログラム書き換え条件セレクタ４を用い、セレクタ４で設定した閾値電圧とプログラム書き換え条件選定用電圧Ｖ２とを比較し、比較結果にしたがって複数のプログラム書き換え条件判定回路のうちのいずれか一つを選択し、選択した書き換え条件判定回路のみを動作可能とする。

図２は、プログラム書き換え条件セレクタ４の構成を示す図である。図に示すように、電源電圧Ｖｃｃを抵抗Ｒ１、Ｒ２、Ｒ３で分圧し、その分圧比に基づいて、コンパレータＣＰ１、ＣＰ２の判定閾値を設定する。図２の例では、コンパレータＣＰ１の閾値Ｖｃ１はＶｃｃ＊（Ｒ２＋Ｒ３）／（Ｒ１＋Ｒ２＋Ｒ３）であり、コンパレータＣＰ２の閾値Ｖｃ２はＶｃｃ＊Ｒ３／（Ｒ１＋Ｒ２＋Ｒ３）である。

これによりプログラム書き換えセレクタ４は、プログラム書き換え条件選定用電圧Ｖ２が、Ｖｃ１以上、Ｖｃ１以下でＶｃ２以上、Ｖｃ２以下のいずれの電圧範囲内にあるかを判定することができる。例えば、プログラム書き換え条件選定用電圧Ｖ２がＶｃ１以上と判定された場合、プログラム書き換え条件Ｉの判定回路５−１がオン（動作可能）にされると同時に、プログラム書き換え条件ＩＩの判定回路５−２とプログラム書き換え条件ＩＩＩの判定回路５−３の判定回路がオフ（動作不能）にされることになる。

このとき、入力信号ＢＳ１とＢＳ３の信号がプログラム書き換え条件Ｉを満足すると、複数プログラム書き換え条件判定回路５のセレクタ４によりオンとされたプログラム書き換え条件判定回路５−１で判定されたプログラム書き換えモードのみが許可される。

このように、プログラム書き換え条件セレクタ４のエンコード結果により選択された判定回路のみが機能し、選択されない判定回路は機能しないようにした。このため、他のプログラム書き換え条件判定回路によりプログラム書き換えモードが許可されることを防止することができる。

ところで、前記プログラム書き換え条件セレクタ４の追加によっても回避することができない問題がある。

すなわち、通常動作モード時、前記プログラム書き換え条件セレクタ４により、当該アプリケーションに適用されるプログラム書き換え条件判定回路５−１〜５−３のいずれか一つのみをオン（動作可能）にし、適用されない残りの判定回路をオフ（動作不能）にしても、制御上常時変化する入力信号ＢＳ１、ＢＳ２、ＢＳ３の組み合せが、前記オンとされた判定回路の条件を満足した場合、プログラム書き換えモード出力回路８はプログラム書き換えモード信号ＰＭを出力してしまう。

マイコン９は、起動時のみ動作モード端子の論理（プログラム書き換えモード信号ＰＭの論理）にしたがって、ユーザ領域１１またはブート領域１２のプログラムを選択して起動する。なお、起動後はプログラム書き換えモード信号ＰＭの論理が変化しても、この変化はマイコン９の機能上、キャンセルされる。しかし、リセット回路１３中のウォッチドッグタイマの機能は停止されるため、マイコン９のプログラム暴走監視は不可能となる。

このため、本実施形態では、通常動作モードで実行されるユーザ領域１１内のプログラムに、プログラム書き換えモード出力回路８に対して書き換えモード信号ＰＭの出力をキャンセルする書き換えモード出力キャンセル信号Ｃ１を出力する機能を付加する。これにより、通常動作モード時にプログラム書き換えモード出力回路８の機能を停止させることができる。

これにより、通常動作モード時に何れかのアプリケーションに適用されるプログラム書き換え条件が入力信号ＢＳ１〜ＢＳ３の何れかの組み合せで成立しても、ウォッチドッグタイマの機能が誤って停止されることない。このため、マイコン９の暴走を監視することができ、電子制御装置として正規かつ安全な動作を果たすことが可能となる。

以上説明したように、本実施形態によれば、プログラム書き換え条件の選定用信号（プログラム書き換え条件選定用電圧）をプログラム書き換え条件セレクタに入力し、該プログラム書き換え条件セレクタは前記選定信号を判断し、その判断結果に基づいてある特定のアプリケーションのプログラム書き換え条件判定回路のみイネイブルする。これによって、他のプログラム書き換え条件によるプログラム書き換えモードの発生が抑止することが可能である。

また、マイコンが通常動作モードにおいて制御プログラムを実行している場合、マイコンからプログラム書き換えモード出力回路に対して常時、書き換えモード信号ＰＭをディセイブルする信号（キャンセル信号Ｃ１）を送信する。このため、通常動作モードにおいてプログラム書き換え条件が成立して書き換えモードが許可されても、プログラム書き換えモード信号ＰＭがマイコンやリセット回路に出力されることはない。このため、ウォッチドッグタイマの機能が誤って停止されることを避けることができる。

実施形態にかかる電子制御装置２０を説明する図である。 プログラム書き換え条件セレクタ４の構成を示す図である。

符号の説明

４ プログラム書き換え条件セレクタ
５ 複数プログラム書き換え条件判定回路
５−１ プログラム書き換え条件Ｉの判定回路
５−２ プログラム書き換え条件IIの判定回路
５−３ プログラム書き換え条件IIIの判定回路
８ プログラム書き換えモード出力回路
９ マイコン
１０ ＣＰＵ
１１ ユーザ領域
１２ ブート領域
１３ リセット回路
１４ 外部スイッチ
２０ 電子制御装置
ＰＭ プログラム書き換えモード信号
Ｃ１ キャンセル信号
Ｖ２ プログラム書き換え条件選定用電圧

Claims (3)

1. 入力された複数の外部入力信号の組み合わせにしたがって動作するマイコンと、
   前記複数の外部入力信号の組み合わせにしたがってそれぞれプログラム書き換え条件の成立を判定するプログラム書き換え条件判定回路を複数備えた複数プログラム書き換え条件判定回路と、
   前記複数プログラム書き換え条件判定回路出力にしたがって前記マイコンにプログラムの書き換えを指示するプログラム書き換えモード出力回路と、
   プログラム書き換え条件セレクタを備え、
   該プログラム書き換え条件セレクタは、自己の特定入力端子に入力されるプログラム書き換え条件選定用電圧のレベルを取得し、取得した電圧のレベルに応じて前記複数のプログラム書き換え条件判定回路のうち対応付けられたプログラム書き換え条件判定回路をイネイブル状態とし、他のプログラム書き換え条件の判定回路をディセイブル状態とすることを特徴とする電子制御装置。
2. 請求項１記載の電子制御装置において、
   前記プログラム書き換え条件セレクタによってイネイブルにされたプログラム書き換え条件判定回路がプログラム書き換え条件の成立を表す判定信号をプログラム書き換えモード出力回路に出力したとき、
   プログラム書き換えモード出力回路は、プログラム書き換えモード信号を前記マイコンに送信し、前記マイコンの動作モードをプログラム書き換えモードに切り換えるとともに、前記プログラム書き換えモード信号を用いてウオッチドッグタイマ機能を停止させ、プログラム書き換えモードを許可する条件でリセット信号が発生しないようにしたことを特徴とする電子制御装置。
3. 請求項１記載の電子制御装置において、
   前記マイコンは、通常動作モードにあるとき前記プログラム書き換えモード出力回路の機能を停止させ、プログラム書き換え条件判定回路の出力が入力されても、前記プログラム書き換えモード出力回路がプログラム書き換えモード信号を出力しないようにしたことを特徴とする電子制御装置。

Images