JP5236376B2 - ネットワークシステムの書き換え装置 - Google Patents

Description

本発明は、車両に搭載され車両制御を行う、ネットワークで接続された電子制御装置の書き換え装置にかかり、詳しくは、プログラム書き換え中に電源が遮断された場合の制御に関する。

車両が備える多くの機器は、電子制御化されている。例えば、エンジン、ステアリング、トランスミッションなどが挙げられる。これらの機器はそれぞれ電子制御装置を備えている。これらの電子制御装置は、ネットワークを介して相互に接続され、それぞれが取得した情報を通信によって交換しつつ、各機器を制御している。

これらの電子制御装置には、読み書き可能な記憶媒体が搭載されており、この記憶媒体に格納されたプログラムを書き換えるシステムが知られている。また、電子制御装置に故障が生じているか、否かを判定するために、複数の電子制御装置同士が相互に故障検知を行うシステムも知られている。しかし、かかるシステムでは、プログラムの書き換えを行っている間にも故障検知が行われているため、書き換え中の通信停止等によって、故障が検知されるという問題があった。そのため、プログラム書き換え動作中には、故障検知を行わないようにする方法が提案されている（例えば、特許文献１参照）。

また、プログラムを書き換え中に誤って電源が遮断された場合に、書き換えが正常に完了しないままリセット状態となるのを防止するため、電源を再投入することによって書き換えが可能となる技術も開示されている（例えば、特許文献２参照）。
特開平１０−６３５４２号公報 特開２００４−２１０１８３号公報

しかし、プログラムの書き換え中に誤って電源が遮断された車載電子制御装置は、プログラムの書き換えを可能にする最小限のソフトウェアしか実装しておらず、通常時の動作を行うことができない。そのため、電子制御装置のプログラムを書き換え中に電源が遮断されると、電源が復帰したとき、途中まで書き換えがされた電子制御装置と通信を行っている他の電子制御装置は、実際は故障していないにも拘わらず、書き換え途中の電子制御装置の故障を検知するおそれがある。

そこで、従来は書き換え中に電源が遮断され、その後電源が投入されて、プログラムの書き換えが完了した後に、プログラムの書き換えを行っている電子制御装置以外の他の電子制御装置に記録されている故障情報が確認される。このとき、この他の電子制御装置が書き換え対象の電子制御装置に関する故障情報を記録している場合は、該故障情報を消去する必要が生じていた。

この作業は、作業者が取捨選択して行わなければならず、生産性向上の妨げとなるおそれがあった。

本発明は、一の電子制御装置のプログラム書き換え中に電源が遮断された場合でも、電源が再度投入されたとき、作業者が他の電子制御装置の故障情報を確認する等の煩雑な作業をすることなく、プログラムの書き換えがされる車両制御装置のネットワークシステムの書き換え装置を提供することを目的とする。

前記問題を解決するため、本発明の一の実施形態は、通信バスで接続され、相互に故障検知を行い、それぞれに読み書き可能な記憶媒体が搭載された、複数の電子制御装置と、いずれかの前記電子制御装置の前記記憶媒体のプログラムの書き換え処理を、前記通信バスを介して行う書き換え装置と、を備えたネットワークシステムにおいて、一の電子制御装置の前記プログラムの書き換え処理中に、電源が遮断され、その後前記電源が復帰するとき、前記一の電子制御装置の前記プログラムの書き換え処理命令を行う一方、他の電子制御装置へ前記故障検知の停止命令を行う制御手段を備えるネットワークシステムの書き換え装置を提供する。

本実施形態は、書き換え装置が一の電子制御装置の書き換え中に誤って電源が遮断された場合であっても、再度電源を投入することにより、書き換えを行うことができる一方、他の電子制御装置と一の電子制御装置との間の故障検知を停止する。

かかる構成によって、従来のように、作業者が他の電子制御装置の故障情報を確認し、他の電子制御装置に記録されていた一の電子制御装置の故障情報を消去する必要が無くなる。

また、前記制御手段は、前記電源が遮断され、その後復帰するとき、他の電子制御装置が一の電子制御装置の故障検知を行う前に前記故障検知の停止命令を行うようにすることが好ましい。

さらに、前記制御手段は、前記電源が遮断され、その後復帰するとき、前記複数の電子制御装置のすべてが前記故障検知の停止命令を受信可能な所定時間に至るまでは前記故障検知の停止命令の送信を継続するように構成することが好ましい。

前記した構成に加え、他の実施形態は、前記一の電子制御装置が所定時間応答しないとき、前記電源が遮断しているか、否かを検出する電源検知手段をさらに備えるようにしてもよい。

また、前記他の電子制御装置の少なくとも一つが所定時間応答しないとき、前記電源が遮断しているか、否かを検出する電源検知手段をさらに備えるようにしてもよい。

また、前記電源が遮断しているか、否か、をイグニッション・スイッチの状態を監視することにより検出する電源検知手段をさらに備えた構成としてもよい。

本発明によれば、一の電子制御装置のプログラム書き換え中に電源が遮断された場合でも、電源が再度投入されたとき、作業者が煩雑な作業をすることなく、プログラムの書き換えがされる車両制御装置のネットワークシステムの書き換え装置を提供する。

以下、本発明の実施形態について、図面を参照して説明する。図１は、本実施形態に係る書き換え装置を備えたネットワークシステムの構成を示すブロック図である。

車両１は、エンジン、ステアリング、トランスミッションなどの多くの機器３０によって構成されている。これらの機器３０の多くは電子制御化されており、ＥＣＵ（電子制御装置）２０（２０Ａ，２０Ｂ，・・）によって制御されている。図１に示すように、それぞれの機器３０，・・，３０に対応するＥＣＵ２０Ａ，２０Ｂ，・・は、通信バス（ネットワーク）１００に接続されている。そして、電源４０は、電源ライン１１０に接続され、ＥＣＵ２０に電力を供給している。

ＥＣＵ２０は、制御信号を出力するＣＰＵ（中央処理装置）２１と、制御用のプログラムや情報を格納する記憶媒体を備える。記憶媒体には、読み書き可能なフラッシュメモリやＥＥＰＲＯＭ（電気的に内容を書き換えることができるＲＯＭ）が使用されたメモリ２２も含まれている。また、ＥＣＵ２０は、ネットワークを介して他のＥＣＵ２０と相互に情報の受発信を行いながら、通信異常がないか監視する故障検知部２３を備えている。

メモリ２２に格納された制御用のプログラムは、書き換えることが可能であり、ネットワークに接続された書き換え装置１０は、プログラムの書き換え処理を実施することができる。

故障検知部２３は、例えば、図１に示すＥＣＵ２０ＡとＥＣＵ２０Ｂとの間の双方向矢印のように、一のＥＣＵ２０Ａと他のＥＣＵ２０Ｂとのネットワークを介した相互通信を行い、通信異常が生じた場合に異常を検知する。

書き換え装置１０は、ネットワーク１００を介して、一のＥＣＵ２０のメモリ２２のプログラムを書き換える書き換え部１１と、後記する電源遮断後の書き換え動作等を制御する制御部１２と、電源ライン１１０を監視して電源が遮断されているか否か検知して判定する電源検知部１３と、を備えている。

従来、かかるシステムにおいて、書き換え部１１が、一のＥＣＵ２０Ａのメモリ２２のプログラムを書き換えている途中に、電源４０が遮断され、その後電源４０が再投入されると、一のＥＣＵ２０Ａのプログラム書き込みが完了していないため、相互に異常検知を行う他のＥＣＵ２０Ｂが一のＥＣＵ２０Ａの故障を検知していた。なお、この電源４０の遮断と再投入は、例えば、イグニッション・スイッチのｏｎ／ｏｆｆが相当する。

次に図を参照して本実施形態にかかる一実施例の処理フローを説明する。図２は「書き換え処理」のフロー図であり、図３は、「イグニッション・スイッチの状態判定処理」（イグニッション・スイッチのｏｎ／ｏｆｆ判定に伴う処理）のフロー図である。なお、以下の説明では図１も併せて参照する。

本実施例における書き換え装置１０は、図２に示す「書き換え処理」と図３に示す「イグニッション・スイッチの状態判定処理」を行う。図３「イグニッション・スイッチの状態判定処理」は、図２「書き換え処理」実行時、常に動作する構成としている。

図２「書き換え処理」中に、図３「イグニッション・スイッチの状態判定処理」において、書き換え装置１０の電源検知部１３がイグニッション・スイッチの状態を検知し、制御部１２がイグニッション・スイッチをｏｆｆと判定した場合（図３ステップＳ０１：ｏｆｆ）、「書き換え処理」を中止する（図３ステップＳ０２）。

ここで、電源検知部１３の状態判断は、所定間隔で、所定時間、繰り返し電源の検知を行う構成としている（図３のステップＳ０１：ｏｎ，Ｓ０３：ｏｆｆが該当する）。かかる構成によれば、電源が遮断されたか否かを確実に判断することができ、電源が再投入されたときにはスムースに書き換え等の動作に移行することができる。

イグニッション・スイッチをｏｆｆと判定した後、イグニッション・スイッチをｏｎと判定するまで、「イグニッション・スイッチの状態判定処理」を実行し続ける（図３ステップＳ０３：ｏｆｆ）。

図３「イグニッション・スイッチの状態判定処理」でイグニッション・スイッチがｏｎされたと判定された場合（図３ステップＳ０３：ｏｎ）には、図２「書き換え処理」が、先頭から再実行される（図３ステップＳ０４）。そして、後記するように所定時間ｔの間は、繰り返し、故障検出の停止を要求するリクエスト・メッセージ（故障検知停止要求）を書き換え装置１０と接続されるすべてのＥＣＵ２０に送信している（図２ステップＲ０１）。

図２「書き換え処理」は、次の順序で処理される。

書き換え装置１０の制御部１２は、通常の場合、ＥＣＵ２０Ａ（図１参照）のプログラムを書き換える前に、図２「書き換え処理」で故障検出の停止を要求するリクエスト・メッセージ（故障検知停止要求）を書き換え装置１０と接続されるすべてのＥＣＵ２０（例えば、図１においてＥＣＵ２０Ａ，ＥＣＵ２０Ｂ，・・・）へ、送信する。

しかし、前記したステップＳ０３，Ｓ０４を経由した場合、すなわち、書き換え中にイグニッション・スイッチがｏｆｆされた後に、ｏｎが検出され、再度書き換えを行う場合、書き換え装置１０の制御部１２は、ＥＣＵ２０Ａ（図１参照）のプログラムを書き換える前に、故障検知停止要求を書き換え装置１０と接続されるすべてのＥＣＵ２０へ、所定時間ｔの間、繰り返し、送信する（図２ステップＲ０１）。

制御部１２は、書き換え時間を短くする目的で、図２「書き換え処理」でＥＣＵ２０間の通信停止を要求するリクエスト・メッセージ（通信の停止要求）を書き換え装置１０と接続されるすべてのＥＣＵ２０に送信する（図２ステップＲ０２）。

制御部１２は、図２「書き換え処理」でメモリ消去を要求するリクエスト・メッセージ（メモリ消去要求）をＥＣＵ２０Ａに送信する（図２ステップＲ０３）。

ＥＣＵ２０Ａは、メモリ消去後、消去が正常に終了したことを示すレスポンス・メッセージを書き換え装置１０に返送する。

書き換え部１１は、図２「書き換え処理」で新たに書込むデータの１２８バイト分を組み込んだメッセージをＥＣＵ２０Ａに送信する（図２ステップＲ０４）。

書き換え部１１からのメッセージを受信したＥＣＵ２０Ａは、受信したデータをメモリに書込み後、書込みが正常に終了したことを示すレスポンス・メッセージを書き換え装置１０に返送する。そして、書き換え装置１０は、このレスポンス・メッセージを確認する（図２ステップＲ０４）。

書き換え装置１０は、図２「書き換え処理」で全てのデータの書込みが終了するまで、前記処理を繰り返す（図２ステップＲ０４、ステップＲ０５：ＮＯ）。

ここで、前記処理を繰り返している（図２ステップＲ０４、ステップＲ０５：ＮＯ）間に、すなわち、全てのデータの書込みが終了する前に、
イグニッション・スイッチのｏｆｆが発生した場合は以下のように処理する。

書き換え装置１０の電源検知部１３は、図３「イグニッション・スイッチの状態判定処理」でイグニッション・スイッチが、ｏｆｆされたことを検出したとき（図３ステップＳ０１：ｏｆｆ）、制御部１２は、ＥＣＵ２０Ａへのデータ送信を停止し、電源検知部１３は引き続きイグニッション・スイッチのｏｎを監視する（図３ステップＳ０３）。

ここで、イグニッション・スイッチがｏｎされる場合、電源検知部１３は、図３「イグニッション・スイッチの状態判定処理」でイグニッション・スイッチが、ｏｎされたことを検出する（図３ステップＳ０３：ｏｎ）。そして、制御部１１は、故障検出の停止を要求するリクエスト・メッセージを書き換え装置１０と接続されるＥＣＵ２０Ａへ送信する。

なお、制御部１１は、故障検出の停止を要求するリクエスト・メッセージを所定間隔で所定時間ｔの間、繰り返し送信する。

以降、前記した手順を全てのデータの書込みが終了する（図２ステップＲ０５：ＹＥＳ）まで繰り返し実行する。

前記構成によれば、複数の電子制御装置間での故障検知が行われる前に、他の電子制御装置と一の電子制御装置との間の故障検知を停止する命令を行うため、一の電子制御装置の書き換え中断に起因する故障情報を確実に検知しないようにすることができる。

以上、本発明について好適な実施形態を説明した。本発明は、図面に記載したものに限定されることなく、その趣旨を逸脱しない範囲で設計変更が可能である。

本発明の一実施形態に係る書き換え装置を備えたネットワークシステムの構成を示すブロック図である。 「書き換え処理」のフロー図である。 「イグニッション・スイッチの状態判定処理」のフロー図である。

符号の説明

１ 車両
１０ 書き換え装置
１１ 書き換え部
１２ 制御部
１３ 電源検知部
２０ ＥＣＵ
２１ ＣＰＵ
２２ メモリ（記憶媒体）
２３ 故障検知部
３０ 機器
４０ 電源
１００ ネットワーク
１１０ 電源ライン

Claims (6)

1. 通信バスを介して通信可能に接続された、相互に故障検知を行うことのできる複数の電子制御装置のうちの、いずれか一の前記電子制御装置が備える記憶媒体のプログラムの書き換え処理を前記通信バスを介して行う、ネットワークシステムの書き換え装置であって、
   前記一の電子制御装置の前記プログラムの書き換え処理を開始するときに、及び、当該書き換え処理中に電源が遮断されその後前記電源が復帰するときに、前記一の電子制御装置の前記プログラムの書き換え処理命令を行う一方、他の電子制御装置へ前記故障検知の停止命令を行う制御手段を備える、
   ネットワークシステムの書き換え装置。
2. 前記制御手段は、前記電源が遮断され、その後復帰するとき、前記複数の電子制御装置同士が前記故障検知を開始する前に前記故障検知の停止命令を行う請求項１に記載のネットワークシステムの書き換え装置。
3. 前記制御手段は、前記電源が遮断され、その後復帰するとき、前記複数の電子制御装置のすべてが前記故障検知の停止命令を受信可能な所定時間に至るまでは前記故障検知の停止命令の送信を行う請求項１または請求項２に記載のネットワークの書き換え装置。
4. 前記一の電子制御装置が所定時間応答しないとき、前記電源が遮断しているか、否か、を検出する電源検知手段をさらに備えた請求項１ないし請求項３のいずれか一項に記載のネットワークシステムの書き換え装置。
5. 前記他の電子制御装置の少なくとも一つが所定時間応答しないとき、前記電源が遮断しているか、否か、を検出する電源検知手段をさらに備えた請求項１ないし請求項３のいずれか一項に記載のネットワークシステムの書き換え装置。
6. 前記電源が遮断しているか、否か、をイグニッション・スイッチの状態を監視することにより検出する電源検知手段をさらに備えた請求項１ないし請求項３のいずれか一項に記載のネットワークシステムの書き換え装置。

Images