JP5115600B2 - 制御装置 - Google Patents

Description

本発明は、制御動作を実施すると共に、この制御動作に伴って所定の情報をメモリに記憶させるように構成された制御装置に関する。

この種の制御装置としては、制御動作の実施と共に、その制御動作に関する情報として、例えば、センサによる検出値、制御動作の結果を示す値、制御動作の結果を演算するまでの過程で得られる途中演算結果、制御動作の結果として後の制御動作で使用する学習値、制御対象において発生した故障を示す故障情報などを、メモリの記憶領域（不揮発性ＲＡＭにおけるＲＡＭ領域）に記憶させる、といったものが提案されている（特許文献１参照）。

特開２００３−１０４１３７号公報

上述した制御装置では、電源電圧の低下などで制御装置の駆動を正常に行えない状態になると、制御動作に関する情報のメモリへの格納が正確に行われなくなるため、そのような状態であることを検出し、制御動作に関する情報のメモリへの記憶を禁止すべきである。

ただ、制御装置の駆動を正常に行えない状態は、必ずしも継続的なトラブルとは限らないため、制御動作に関する情報のメモリへの記憶を禁止した後、制御装置の駆動を正常に行える状態に戻ったときには、制御動作に関する情報の記憶を直ちに再開することが望ましい。

例えば、制御動作に関する情報として、制御動作の結果として後の制御動作で使用する学習値を記憶させる構成であれば、最新の結果を示す値に基づいて後の制御動作を行う必要があるからである。

しかし、上述した制御装置では、制御動作を正常に行える状態に戻ったとしても、そのような状態変化とは無関係に制御装置としての他の処理が実行されるため、その時点の処理負荷や処理の優先度に応じて、情報の記憶が直ちに再開できない恐れがある。

本発明は、このような課題を解決するためになされたものであり、その目的は、制御動作を正常に行える状態に戻ったときに、情報の記憶が直ちに再開できるようにするための技術を提供することである。

上記課題を解決するため第１の構成は、所定の情報の記憶が伴う１種類以上の制御動作それぞれに必要な処理を実施することに伴い、所定の情報を記憶させるためのメモリである動作メモリのうち、その制御動作に対応する記憶領域へと所定の情報を記憶させるように構成された制御装置である。

この制御装置は、当該制御装置に供給される電源のレベルに基づき、当該制御装置が、少なくともいずれかの前記制御動作を正常に行えない状態になっているか否かを判定する異常判定手段と、前記異常判定手段により制御動作を正常に行えない状態になっていると判定された場合に、少なくとも、該判定された制御動作に対応する前記動作メモリの記憶領域を、データの書込が行えない書込禁止領域に設定する禁止設定手段と、前記禁止設定手段により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段が、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、当該制御装置による他のいずれの処理よりも優先して、その記憶領域における前記書込禁止領域との設定を解除する設定解除手段と、を備えている。

このように構成された制御装置によれば、制御動作を正常に行える状態に戻った場合に、そのような状態変化を受けて、他のいずれの処理よりも優先して書込禁止領域の設定が解除されるため、制御動作に伴う情報の記憶を直ちに再開させることができる。

これにより、例えば、制御動作に関する情報として、制御動作の結果として後の制御動作で使用する学習値を記憶させる場合においては、制御動作を正常に行える状態に戻った以降、最新の結果を示す学習値に基づいて後の制御動作を行うことができるようになる。

この構成において、当該制御装置が制御動作を正常に行えない状態になっているか否かは、例えば、電源のレベルが制御動作を正常に行うために必要な範囲内にあるか否かにより判定すればよい。この場合、電源の供給源からの電源を直接的に監視して判定してもよいし、供給源からの電源を監視する別の監視主体からの通知信号に基づいて間接的に判定することとしてもよい。

また、上記構成において、書込禁止領域の設定を解除するための具体的な構成は特に限定されないが、ソフトウェア的な手法として、例えば、その解除のための処理についての優先度を最も高くしておき、その他のいずれの処理が実施中であったとしても、その解除のための処理が割込処理として最優先で実施されるようにすることが考えられる。

また、ハードウェア的な手法として、例えば、上記構成を以下に示す第２の構成のようにすることが考えられる。
第２の構成に係る制御装置は、少なくとも前記設定解除手段が実装された制御回路を備えている。そして、前記制御回路は、前記禁止設定手段により、記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段により、その記憶領域に対応する制御動作が正常に行えない状態になっていると判定されなくなったタイミングで、前記設定解除手段が、その記憶領域における前記書込禁止領域との設定を解除する。

この構成では、制御動作を正常に行える状態に戻ったタイミングで、書込禁止領域の設定を解除することにより、制御回路が情報の動作メモリへの記憶を再開させる。ここで、制御回路は、独立したハードウェア構成であるため、他の処理による処理負荷や優先度とは無関係に、制御動作に伴う情報の記憶を直ちに再開させることができる。

また、ハードウェア構成であれば、例えば適合などの動作時にメモリを書込可能状態にし、データの書換を行った後で書込禁止状態に戻す際、ソフトウェア的な優先度の高い割込処理を装った不正アクセスを受け付けることなく、メモリを書込禁止状態に戻すことができるという点で、不正アクセスによるデータ改ざんなどにも強い（耐タンパリング性が高い）。

なお、この構成においては、書込禁止領域の設定解除だけでなく、その設定解除の契機として、制御動作を正常に行えない状態になっていないことを判定することについても、制御回路側において実施することとしてもよい。また、全ての処理を制御回路側で実施することとしてもよい。

また、上記構成において、動作メモリの記憶領域を書込禁止領域に設定し、その設定を解除するための具体的な構成については特に限定されないが、例えば、以下に示す第３の構成のようにすることが考えられる。

第３の構成において、前記動作メモリは、データの読み出しのみを行うためのＲＯＭ領域、および、データの読み書き両方を行うためのＲＡＭ領域それぞれを規定可能な不揮発性ＲＡＭであって、少なくとも前記制御動作それぞれにより所定の情報が記憶される全ての記憶領域が、初期状態における前記ＲＡＭ領域として規定されている。

また、前記禁止設定手段は、前記異常判定手段により前記制御動作を正常に行えない状態になっていると判定された場合に、前記動作メモリにおける記憶領域のアドレス範囲を変更し、少なくとも、その制御動作に対応する前記動作メモリの記憶領域を、前記ＲＯＭ領域として規定することで前記書込禁止領域に設定する。

そして、前記設定解除手段は、前記禁止設定手段により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段が、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、前記動作メモリにおける記憶領域を初期状態に戻すことで、その記憶領域における前記書込禁止領域との設定を解除する。

この構成であれば、制御動作に伴って情報が記憶される動作メモリ（不揮発性ＲＡＭ）の記憶領域を、初期状態として規定されていたＲＡＭ領域からＲＯＭ領域へと変更することで書込禁止領域への設定を行うことができ、その後、記憶領域の規定をＲＯＭ領域からＲＡＭ領域へと戻すことで書込禁止領域の設定を解除することができる。

また、この構成は、以下に示す第４の構成のようにするとよい。
第４の構成は、前記動作メモリにおける前記ＲＯＭ領域および前記ＲＡＭ領域のアドレス範囲を示すアドレス情報が格納されるアドレスメモリを備えている。そして、前記禁止設定手段は、前記アドレスメモリに格納されたアドレス情報で示されるアドレス範囲を変更することで前記書込禁止領域に設定して、前記設定解除手段は、前記アドレスメモリに格納されたアドレス情報で示されるアドレス範囲を初期状態に戻すことで、その記憶領域における前記書込禁止領域との設定を解除する。

この構成であれば、アドレスメモリに格納されたアドレス情報で示されるアドレス範囲を変更することにより、制御動作により情報が記憶される動作メモリの記憶領域を、ＲＡＭ領域からＲＯＭ領域へと変更し、また、ＲＯＭ領域からＲＡＭ領域へと戻すことができる。

また、この構成においては、アドレスメモリに格納されたアドレス情報を初期値から変更し、その後、初期値に戻すようにすればよいが、このとき、初期値であるアドレス情報そのものを変更してしまうのではなく、一時的に退避させておくようにすれば、アドレス情報を初期値に戻す際の計算処理の負荷を軽減することができるため好適である。

このためには、上記構成を以下に示す第５の構成のようにするとよい。
第５の構成は、前記アドレスメモリに格納されたアドレス情報を退避させるための退避メモリを備えている。そして、前記禁止設定手段は、前記アドレスメモリに記憶されたアドレス情報を前記退避メモリへと退避させると共に、該当する前記制御動作に対応する前記動作メモリの記憶領域を前記ＲＯＭ領域に含めたアドレス範囲につき、該アドレス情報を示すアドレス情報を前記アドレスメモリに記憶させることで前記書込禁止領域への設定を行い、前記設定解除手段は、前記退避メモリに格納されたアドレス情報を前記アドレスメモリに戻すことにより、前記書込禁止領域への設定を解除する。

この構成であれば、該当する記憶領域をＲＡＭ領域からＲＯＭ領域へと変更する際に、初期値であるアドレス情報を退避メモリに退避させておき、その後、退避させておいたアドレス情報をアドレスメモリに戻すことにより、その記憶領域をＲＯＭ領域からＲＡＭ領域へと戻すことができる。

なお、この構成には、該当する制御動作に対応する記憶領域がＲＯＭ領域に含められたアドレス範囲を示すアドレス情報がアドレスメモリに記憶され、これにより、該当する記憶領域がＲＡＭ領域からＲＯＭ領域へと変更されることとなるが、このアドレス情報は、都度生成されるものであってもよいし、あらかじめ用意されたものであってもよい。この後者の場合には、動作メモリや退避メモリなどに事前に格納しておくことが考えられる。

また、上記課題を解決するための制御方法は、所定の情報の記憶が伴う１種類以上の制御動作それぞれに必要な処理を実施することに伴い、所定の情報を記憶させるためのメモリである動作メモリのうち、その制御動作に対応する記憶領域へと所定の情報を記憶させるように構成された制御装置に、以下の手順を実行させることを特徴とする制御方法である。

この方法における手順は、当該制御装置に供給される電源のレベルに基づき、当該制御装置が、少なくともいずれかの前記制御動作を正常に行えない状態になっているか否かを判定する異常判定手順と、前記異常判定手順により制御動作を正常に行えない状態になっていると判定された場合に、少なくとも、該判定された制御動作に対応する前記動作メモリの記憶領域を、データの書込が行えない書込禁止領域に設定する禁止設定手順と、前記禁止設定手順により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手順にて、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、当該制御装置による他のいずれの処理よりも優先して、その記憶領域における前記書込禁止領域との設定を解除する設定解除手順と、である。

このような方法であれば、上記各構成に係る制御装置により、書込禁止領域の設定および設定の解除を行うのに好適である。
なお、この方法については、上述した第２〜第５の構成における各手段と同様の手順を制御装置に実施させるものとしてもよい。

また、この方法は、各手順をコンピュータシステムに実行させるためのプログラムとすることもでき、このプログラムを実行するコンピュータシステムは、上記各構成と同様の作用、効果を得ることができる。

そして、このプログラムは、コンピュータシステムによる処理に適した命令の順番付けられた列からなるものであって、各種記録媒体や通信回線を介して制御装置や、これを利用するユーザ等に提供されるものである。

ＥＣＵの全体構成を示すブロック図 制御装置の全体構成を示すブロック図 電源のレベル変化に伴う記憶領域の設定を示す図 メモリ保護処理を示すフローチャート アドレスメモリ、退避メモリへとアドレス情報を格納する様子を示す図（ａ）、動作メモリに対する書込禁止領域への設定を示す図（ｂ） 別の実施形態における電源のレベル変化に伴う記憶領域の設定を示す図 別の実施形態における動作メモリに対する書込禁止領域への設定を示す図 別の実施形態におけるメモリ保護処理を示すフローチャート

以下に本発明の実施形態を図面と共に説明する。
（１）全体構成
ＥＣＵ（Electric control unit）１は、図１に示すように、センサ１１０やスイッチ（ＳＷ）１２０など（以降「センサ類」という）からの入力信号に基づいて各種アクチュエータ１３０などを制御する処理を行う制御装置２、バッテリ１４０からの電源供給を受けて制御装置２に電源信号を供給する電源回路３、制御装置２とセンサ類やアクチュエータ１３０などとの間における信号の入出力を中継する入出力回路４などを備えている。

なお、本実施形態では、ＥＣＵ１が車両に搭載され、各種センサ類からの入力信号に基づいて各種アクチュエータ１３０を制御することで車両の動作を制御する、ように構成されたものを例示する。

制御装置２は、複数の制御動作それぞれに必要な処理を実施するＣＰＵ２１、ＣＰＵ２１による処理手順（プログラム）や処理結果などを記憶するための動作メモリ２３、ＣＰＵ２１と動作メモリ２３との間に介在するメモリ制御回路２５、制御装置２外部とのデータとのやりとりを制御する入出力インターフェース（Ｉ／Ｏ）２７などからなる。

これらのうち、ＣＰＵ２１は、一部の制御動作に関し、その制御動作に必要な処理の実施に伴って、所定の情報の動作メモリ２３への記憶も行うように構成されている。ここでいう「所定の情報」とは、例えば、センサによる検出値、制御動作の結果を示す値、制御動作の結果として後の制御動作で使用する学習値、制御対象において発生した故障を示す故障情報などのことである。

また、動作メモリ２３は、図２に示すように、データの読み出しのみを行うためのＲＯＭ領域２１０、および、データの読み書き両方を行うためのＲＡＭ領域２２０を含む複数の記憶領域それぞれのアドレス範囲（本実施形態では両領域の境界となるアドレス；図２における「ａ」参照）を規定可能な不揮発性ＲＡＭである。

また、メモリ制御回路２５は、図２に示すように、動作メモリ２３のアドレス範囲が規定されたアドレス情報を格納するためのレジスタであるアドレスメモリ３１、このアドレスメモリ３１に格納されたアドレス情報を退避させるためのレジスタである退避メモリ３３、アドレスメモリ３１および退避メモリ３３へのアドレス情報の記憶を制御するアドレス制御部３５などを有するハードウェア構成である。このアドレスメモリ３１および退避メモリ３３へのアドレス情報の記憶は、アドレス制御部３５だけでなく、ＣＰＵ２１からの指令によっても制御される。

なお、本実施形態では、各制御動作に必要な処理に伴って情報が記憶されうる記憶領域を含む記憶領域（この記憶領域のアドレス範囲）を示すアドレス情報が、後述するメモリ保護処理において、初期状態のアドレス情報としてアドレスメモリ３１に格納される。

このメモリ制御回路２５は、アドレスメモリ３１に格納されたアドレス情報に基づいて、ＣＰＵ２１による動作メモリ２３へのアクセスを中継する。具体的には、ＣＰＵ２１からのアクセスがデータの読み出しであれば、そのアクセス先となる動作メモリ２３の記憶領域から、該当するデータを読み出してＣＰＵ２１へと渡す。一方、ＣＰＵ２１からのアクセスがデータの書込である場合には、そのアクセス先となる動作メモリ２３の記憶領域が、アクセス情報で規定されているＲＡＭ領域２２０内にある場合にのみ、そのアクセスに係るデータのアクセス先への書込を行う。

電源回路３は、バッテリ１４０からの電源供給を受け、この電源から所定の信号レベルの電源信号を生成して制御装置２へと供給するものであり、スイッチ（本実施形態においては、イグニッションスイッチ）１５０にてバッテリ１４０から電源回路３へと至る信号経路が導通されている場合に、電源信号の生成および制御装置２への供給を行う。

また、電源回路３は、バッテリ１４０から供給される電源のレベルに基づいて、制御装置２（のＣＰＵ２１）による制御動作が正常に行えない状態になっているか否かをチェックしており、正常に行えない状態になっていると判定した場合に、その旨を通知すべく制御装置２に対して通知信号を出力するように構成されている。

本実施形態において、電源回路３は、図３に示すように、バッテリ１４０から供給される電源のレベルを監視し、そのレベルが適切な信号レベルで電源信号を生成できる範囲（同図Ｖｔｈ１，Ｖｔｈ２）を下回っている場合に、制御動作が正常に行えない状態になっているものとして通知信号を制御装置２に出力する（通知信号の信号レベルをＨレベルにする）。ここでいう「制御装置の駆動が正常に行えない状態」とは、制御装置２へと充分な信号レベルの電源信号が供給されないことにより、制御動作に必要な処理だけでなく、その処理に伴って行われる情報の記憶が正常に行われなくなる状態のことである。

また、電源回路３は、バッテリ１４０から供給される電源のレベルが、適切な信号レベルで電源信号を生成できる範囲を下回り、さらに、制御装置２の起動を維持するのに必要なレベル（同図Ｖｔｈ０）をも下回った場合に、制御装置２を再起動するためのリセット信号を制御装置２に出力する。
（２）制御装置２によるメモリ保護処理
以下に、制御装置２のＣＰＵ２１が、動作メモリ２３のＲＯＭ領域２１０に記憶されたプログラムに従って実行するメモリ保護処理の処理手順を図４に基づいて説明する。このメモリ保護処理は、制御装置２が起動された以降、繰り返し実行される。

このメモリ保護処理が起動されると、まず、動作メモリ２３におけるＲＯＭ領域２１０のうち、あらかじめ定められた記憶領域に格納されているアドレス情報の読み出しが行われ、これが、メモリ制御回路２５におけるアドレスメモリ３１および退避メモリ３３に格納される（ｓ１１０）。

本実施形態では、図５（ａ）に示すように、制御動作が正常に行える状態になっている場合にＲＯＭ領域２１０およびＲＡＭ領域２２０として使用する記憶領域を規定するアドレス情報（ａ）と、制御動作が正常に行えない状態になっている場合にＲＯＭ領域２１０およびＲＡＭ領域２２０として使用する記憶領域を規定するアドレス情報（ｂ）と、が動作メモリ２３のうちＲＡＭ領域２２０として使用されることのない記憶領域に格納されている。

この前者のアドレス情報（ａ）は、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域（アドレス範囲：ｂ〜ａ）と、この記憶領域より小さいアドレス（０ｘ０００…０〜ｂ）の記憶領域と、をＲＡＭ領域２２０として規定すると共に、それら記憶領域を除く記憶領域をＲＯＭ領域２１０として規定している。

また、他方のアドレス情報（ｂ）は、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域（アドレス範囲：ｂ〜ａ）と、この記憶領域より大きいアドレス（ａ〜０ｘＦＦＦ…Ｆ）の記憶領域と、をＲＯＭ領域２１０として規定すると共に、それら記憶領域を除く記憶領域をＲＡＭ領域２２０として規定している。

そして、このｓ１１０では、前者のアドレス情報（ａ）がアドレスメモリ３１に格納され、後者のアドレス情報（ｂ）が退避メモリ３３に格納される。こうして、アドレスメモリ３１にアドレス情報（ａ）が格納されることで、動作メモリ２３のうち、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域が、ＲＡＭ領域２２０として設定される。

次に、電源回路３から通知信号の入力が開始されているか否かがチェックされる（ｓ１２０）。上述したように、通知信号は、制御装置２による制御動作が正常に行えない状態になっていることを通知するための信号であるため、このｓ１１０では、通知信号の入力をチェックすることにより、制御動作が正常に行えない状態になっているか否かの異常判定を間接的に行っていることになる。

このｓ１２０において、電源回路３からの通知信号の入力が開始されるまで待機状態となり（ｓ１２０：ＮＯ）、その後、通知信号の入力が開始されたら（ｓ１２０：ＹＥＳ）、動作メモリ２３のうち、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域が、データの書込を行えない書込禁止領域に設定される（ｓ１３０）。

ここでは、図５（ｂ）に示すように、アドレスメモリ３１に格納されているアドレス情報（ａ）の退避メモリ３３への退避、および、退避メモリ３３に格納されているアドレス情報（ｂ）のアドレスメモリ３１への記憶が行われる。こうして、両メモリに格納されていたアドレス情報が入れ替えられる。

退避メモリ３３に格納されていたアドレス情報（ｂ）は、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域（アドレス範囲：ｂ〜ａ）を、データの書込を行えないＲＯＭ領域２１０として規定したものである。そのため、このアドレス情報（ｂ）をアドレスメモリ３１に記憶させることで、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域は、データの書込を行えない書込禁止領域に設定される（図３における「記憶領域の設定」参照）。

上述したｓ１３０の後、電源回路３からの通知信号の入力が終了したか否かがチェックされ（ｓ１４０）、入力が終了していなければ（ｓ１４０：ＮＯ）、電源回路３から上述したリセット信号が入力されたか否かをチェックする（ｓ１５０）。

このｓ１５０でリセット信号が入力されていれば（ｓ１５０：ＹＥＳ）、直ちに本メモリ保護処理が終了する一方、リセット信号が入力されていなければ（ｓ１５０：ＮＯ）、プロセスがｓ１４０へと戻る。

また、上記ｓ１４０で通知信号の入力が終了している場合（ｓ１４０：ＹＥＳ）、上記ｓ１３０による書込禁止領域の設定が解除された後（ｓ１６０）、プロセスがｓ１２０へと戻る。このｓ１６０は、ＣＰＵ２１による他のいずれの処理よりも優先度が高く設定されており、その他のいずれの処理が実施中であったとしても、割込処理として最優先で書込禁止設定の解除が実施される（図３における「記憶領域の設定」参照）。

ここでは、この時点でアドレスメモリ３１に格納されているアドレス情報（ｂ）の退避メモリ３３への記憶、および、退避メモリ３３に格納されているアドレス情報（ａ）のアドレスメモリ３１への記憶が行われる。こうして、両メモリに格納されていたアドレス情報が入れ替えられる。

退避メモリ３３に格納されていたアドレス情報（ａ）は、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域（アドレス範囲：ｂ〜ａ）がＲＡＭ領域２２０として規定されたものである。そのため、このアドレス情報（ａ）をアドレスメモリ３１に戻すことで、各制御動作に必要な処理に伴って情報が記憶されうる全ての記憶領域は、ＲＡＭ領域２２０へと戻されることで、書込禁止領域の設定が解除される。

なお、上述したｓ１２０〜ｓ１６０のうち、ｓ１４０およびｓ１６０については、制御装置２による処理手順としてではなく、メモリ制御回路２５側で実施することとしてもよい。
（３）作用，効果
上記実施形態における制御装置２によれば、制御動作を正常に行える状態に戻った場合に、そのような状態変化に着目して、他のいずれの処理よりも優先して書込禁止領域の設定が解除されるため、制御動作に伴う情報の記憶を直ちに再開させることができる。

これにより、例えば、制御動作に関する情報として、制御動作の結果として後の制御動作で使用する学習値を記憶させる場合においては、制御動作を正常に行える状態に戻った以降、最新の結果を示す学習値に基づいて後の制御動作を行うことができるようになる。

また、上記実施形態において、書込禁止領域の設定を解除するための具体的な構成を、メモリ制御回路２５によるハードウェア的な手法により実現した場合には、制御動作を正常に行える状態に戻ったタイミングで、メモリ制御回路２５が情報の動作メモリ２３への記憶を再開させる。ここで、メモリ制御回路２５は、独立したハードウェア構成であるため、他の処理による処理負荷や優先度とは無関係に、制御動作に伴う情報の記憶を直ちに再開することができる。

また、ハードウェア構成であれば、例えば適合などの動作時に動作メモリ２３を書込可能状態にし、データの書換を行った後で書込禁止状態に戻す際、ソフトウェア的な優先度の高い割込処理を装った不正アクセスを受け付けることなく、動作メモリ２３を書込禁止状態に戻すことができるという点で、不正アクセスによるデータ改ざんなどにも強い（耐タンパリング性が高い）。

また、上記実施形態においては、制御動作に伴って情報が記憶される動作メモリ２３の記憶領域を、初期状態として規定されていたＲＡＭ領域２２０からＲＯＭ領域２１０へと変更することで書込禁止領域への設定を行うことができ（図４のｓ１３０）、その後、記憶領域の規定をＲＯＭ領域２１０からＲＡＭ領域２２０へと戻すことで書込禁止領域の設定を解除することができる（同図ｓ１６０）。

このとき、アドレスメモリ３１に格納されたアドレス情報で示されるアドレス範囲を変更する（退避メモリ３３のアドレス情報と入れ替える）ことにより、制御動作により情報が記憶される動作メモリ２３の記憶領域を、ＲＡＭ領域２２０からＲＯＭ領域２１０へと変更し、また、ＲＯＭ領域２１０からＲＡＭ領域２２０へと戻すことができる。

また、上記実施形態では、該当する記憶領域をＲＡＭ領域２２０からＲＯＭ領域２１０へと変更する際に、初期値であるアドレス情報を退避メモリ３３に退避させておき、その後、退避させておいたアドレス情報をアドレスメモリ３１に戻すことにより、その記憶領域をＲＯＭ領域２１０からＲＡＭ領域２２０へと戻すことができる。
（４）変形例
以上、本発明の実施の形態について説明したが、本発明は、上記実施形態に何ら限定されることはなく、本発明の技術的範囲に属する限り種々の形態をとり得ることはいうまでもない。

例えば、上記実施形態においては、制御装置２が制御動作を正常に行えない状態になっているか否かを、電源の供給源（バッテリ１４０）からの電源を監視する別の監視主体（電源回路３）からの通知に基づいて間接的に判定するように構成されている。しかし、制御装置２が、電源の供給源からの電源を直接的に監視して判定するように構成してもよい。

また、上記実施形態においては、通知信号の入力が開始されたか否かのチェック〜書込禁止領域の設定解除までの全ての処理（ｓ１２０〜ｓ１６０）を、メモリ制御回路２５側でハードウェア的に実施するように構成してもよい。

また、上記実施形態においては、不揮発性ＲＡＭである動作メモリ２３の記憶領域のうち、ＲＯＭ領域２１０とＲＡＭ領域２２０とのアドレス範囲を変更することにより、書込禁止領域への設定、および、その設定の解除を行うように構成されている。しかし、この設定および設定解除については、動作メモリ２３における記憶領域のアドレス範囲を変更する以外の構成により実現してもよい。

また、上記実施形態においては、アドレスメモリ３１に、あらかじめ退避メモリ３３に格納されたアドレス情報を記憶させ、これにより、該当する記憶領域がＲＡＭ領域２２０からＲＯＭ領域２１０へと変更されるように構成されている。ここで、退避メモリ３３に格納されたアドレス情報ではなく、都度生成したアドレス情報をアドレスメモリ３１に記憶させるように構成してもよい。

また、上記実施形態において、電源回路３は、いずれの制御動作であるかに拘わらず、制御動作が正常に行えない状態になっていると判定した場合に、制御装置２へと通知信号を出力し、制御装置２は、この通知信号を受けて、全ての制御動作に対応するＲＡＭ領域２２０の一部記憶領域を書込禁止領域に設定するように構成されている。

しかし、電源回路３は、制御動作それぞれについて正常に行えない状態になっているか否かを判定し、その制御動作に関係づけられた通知信号を制御装置２へと出力すると共に、制御装置２側では、この通知信号を受けて、特定の制御動作に対応するＲＡＭ領域２２０の一部記憶領域を書込禁止領域に設定するように構成してもよい。

例えば、制御動作の中に、あるアクチュエータ１３０を動作させるための途中演算結果、または各種センサ類によって得られるアクチュエータ１３０による動作結果を学習データとして動作メモリ２３のＲＡＭ領域２２０に記憶させる処理を伴う出力制御動作と、あるセンサ１１０による検出値を動作メモリ２３のＲＡＭ領域２２０に記憶させる処理を伴う検出制御動作と、が含まれ、図６に示すように、アクチュエータ１３０を正常に作動させるのに必要な電源のレベル（Ｖｔｈ５〜Ｖｔｈ６）が、センサ１１０による検出を正常に行うのに必要な電源のレベル（Ｖｔｈ３〜Ｖｔｈ４）より低い場合を例示する。

この場合においては、例えば、図７に示すように、電源回路３を、制御動作に関連づけられた通知信号を出力する（同図では、制御動作毎の出力経路を設けている）構成とし、また、メモリ制御回路２５における退避メモリ３３を、複数のアドレス情報を選択的に読み書き可能なレジスタで構成する。ここで選択的とは、レジスタへの書き込み順序と、読み出し順序とを相関させなくても良い、という意味である（発明としては、キューやスタックのように相関させても良い）。ここでのアドレス情報には、少なくとも、上記と同様のアドレス情報（ａ）と、出力制御動作に対応する記憶領域（図７におけるアドレス範囲ｂ〜ａ）を規定するアドレス情報（ｂ）と、検出制御動作に対応する記憶領域（同図のアドレス範囲ｃ〜ｂ）を規定するアドレス情報（ｃ）と、がある。

そして、メモリ保護処理としては、以下に示す第１メモリ保護処理と第２メモリ保護処理とに分けて実行されるようにする。
一方の第１メモリ保護処理では、図８（ａ）に示すように、通知信号の入力開始を受け（ｓ１２０：ＹＥＳ）、その通知信号に関連づけられた制御動作に対応する記憶領域を書込禁止領域に設定する（ｓ１３０）、といった処理をリセット信号が入力されるまで繰り返す（ｓ２１０：ＮＯ）。他方、第２メモリ保護処理では、図８（ｂ）に示すように、通知信号の入力終了を受け（ｓ１４０：ＹＥＳ）、その通知信号に関連づけられた制御動作に対応する記憶領域の書込禁止領域への設定を解除する（ｓ１６０）、といった処理をリセット処理が入力されるまで繰り返す（ｓ１５０：ＮＯ）。

このような構成であれば、各制御動作に対応するＲＡＭ領域２２０の一部記憶領域を、各制御動作が実際に正常に行えない状態になっているタイミングで書込禁止領域に設定することができる。そのため、実際に正常に行えない状態になっていないにも拘わらず、対応する記憶領域が書込禁止領域に設定されてしまうといったことを防止し、適切なタイミングで書込禁止領域への設定および解除をすることができる（図６のｔ１−ｔ１’、ｔ２−ｔ２’参照）。
（５）本発明との対応関係
以上説明した実施形態において、図４のｓ１２０が本発明における異常判定手段であり、同図ｓ１３０が本発明における禁止設定手段であり、同図ｓ１６０が本発明における設定解除手段である。

１…ＥＣＵ、２…制御装置、３…電源回路、４…入出力回路、２１…ＣＰＵ、２３…動作メモリ、２５…メモリ制御回路、３１…アドレスメモリ、３３…退避メモリ、３５…アドレス制御部、１１０…センサ、１３０…アクチュエータ、１４０…バッテリ、１５０…スイッチ、２１０…ＲＯＭ領域、２２０…ＲＡＭ領域。

Claims (5)

1. 所定の情報の記憶が伴う１種類以上の制御動作それぞれに必要な処理を実施することに伴い、所定の情報を記憶させるためのメモリである動作メモリのうち、その制御動作に対応する記憶領域へと所定の情報を記憶させるように構成された制御装置であって、
   当該制御装置に供給される電源のレベルに基づき、当該制御装置が、少なくともいずれかの前記制御動作を正常に行えない状態になっているか否かを判定する異常判定手段と、
   前記異常判定手段により制御動作を正常に行えない状態になっていると判定された場合に、少なくとも、該判定された制御動作に対応する前記動作メモリの記憶領域を、データの書込が行えない書込禁止領域に設定する禁止設定手段と、
   前記禁止設定手段により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段が、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、当該制御装置による他のいずれの処理よりも優先して、その記憶領域における前記書込禁止領域との設定を解除する設定解除手段と、を備えており、
   前記動作メモリは、データの読み出しのみを行うためのＲＯＭ領域、および、データの読み書き両方を行うためのＲＡＭ領域それぞれを規定可能な不揮発性ＲＡＭであって、少なくとも前記制御動作それぞれにより所定の情報が記憶される全ての記憶領域が、初期状態における前記ＲＡＭ領域として規定されており、
   前記禁止設定手段は、前記異常判定手段により前記制御動作を正常に行えない状態になっていると判定された場合に、前記動作メモリにおける記憶領域のアドレス範囲を変更し、少なくとも、その制御動作に対応する前記動作メモリの記憶領域を、前記ＲＯＭ領域として規定することで前記書込禁止領域に設定して、
   前記設定解除手段は、前記禁止設定手段により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段が、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、前記動作メモリにおける記憶領域を初期状態に戻すことで、その記憶領域における前記書込禁止領域との設定を解除する
   ことを特徴とする制御装置。
2. 少なくとも前記設定解除手段が実装された制御回路を備え、
   前記制御回路は、前記禁止設定手段により、記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段により、その記憶領域に対応する制御動作が正常に行えない状態になっていると判定されなくなったタイミングで、前記設定解除手段が、その記憶領域における前記書込禁止領域との設定を解除する
   ことを特徴とする請求項１に記載の制御装置。
3. 前記動作メモリにおける前記ＲＯＭ領域および前記ＲＡＭ領域のアドレス範囲を示すアドレス情報が格納されるアドレスメモリを備えており、
   前記禁止設定手段は、前記アドレスメモリに格納されたアドレス情報で示されるアドレス範囲を変更することで前記書込禁止領域に設定して、
   前記設定解除手段は、前記アドレスメモリに格納されたアドレス情報で示されるアドレス範囲を初期状態に戻すことで、その記憶領域における前記書込禁止領域との設定を解除する
   ことを特徴とする請求項１または請求項２に記載の制御装置。
4. 前記アドレスメモリに格納されたアドレス情報を退避させるための退避メモリを備えており、
   前記禁止設定手段は、前記アドレスメモリに記憶されたアドレス情報を前記退避メモリへと退避させると共に、該当する前記制御動作に対応する前記動作メモリの記憶領域を前記ＲＯＭ領域に含めたアドレス範囲につき、該アドレス情報を示すアドレス情報を前記アドレスメモリに記憶させることで前記書込禁止領域への設定を行い、
   前記設定解除手段は、前記退避メモリに格納されたアドレス情報を前記アドレスメモリに戻すことにより、前記書込禁止領域への設定を解除する
   ことを特徴とする請求項３に記載の制御装置。
5. 所定の情報の記憶が伴う１種類以上の制御動作それぞれに必要な処理を実施することに伴い、所定の情報を記憶させるためのメモリである動作メモリのうち、その制御動作に対応する記憶領域へと所定の情報を記憶させるように構成された制御装置であって、
   当該制御装置に供給される電源のレベルに基づき、当該制御装置が、少なくともいずれかの前記制御動作を正常に行えない状態になっているか否かを判定する異常判定手段と、
   前記異常判定手段により制御動作を正常に行えない状態になっていると判定された場合に、少なくとも、該判定された制御動作に対応する前記動作メモリの記憶領域を、データの書込が行えない書込禁止領域に設定する禁止設定手段と、
   前記禁止設定手段により記憶領域が前記書込禁止領域に設定された以降、前記異常判定手段が、その記憶領域に対応する制御動作を正常に行えない状態になっていると判定しなくなった場合に、その記憶領域における前記書込禁止領域との設定を解除する設定解除手段と、を備えており、
   さらに、
   前記書込禁止領域との設定を解除するための処理についての優先度が最も高くなるように設定されており、
   前記設定解除手段は、前記記憶領域における前記書込禁止領域との設定を解除するための処理を、該処理に設定された優先度に基づいて、当該制御装置による他のいずれの処理よりも優先して実施する
   ことを特徴とする制御装置。