JP6107710B2 - プログラム管理装置、車両用制御装置及びプログラム管理プログラム - Google Patents

Description

本発明は、外部からプログラム管理番号の読出要求があった場合は最新のプログラム管理番号を出力するプログラム管理装置、車両用制御装置及びプログラム管理プログラムに関する。

例えば車両用制御装置であるＥＣＵにおいて、フラッシュメモリ内のプログラムを車両搭載状態にて書換えるリプログラミング機能は近年標準的に搭載されている（特許文献１参照）。
近年、プログラムは複数の詳細単位プログラムで構成されるようになってきており、プログラムは詳細単位プログラムで流通するようになってきている。

特開２００５−２０２５９４号公報

一方、排ガス規制等の法規に関連するプログラムは、車両に具備されるダイアグノシス機能にて読出された際には、そのプログラムに一意に割振られたプログラム管理番号（以下、管理番号）を返答せねばならない。この管理番号は、プログラムがアップデートされる際には、現状割り振られている管理番号とは別の管理番号に変更される。これにより、その後、管理番号が読出された際には別の管理番号を応答することとなり、プログラムのトレーサビリティを保つことができる。

ところで、プログラムを管理し、ダイアグ・リプログラミング機能の際に動作するリプロプログラムは、従来、リプロプログラミングの際には詳細単位プログラムの該当領域である「書換対象領域」を書換えるとともに「共通ブロック」に位置させている管理番号を書換え、上述した管理番号読出し要求が有った際には、この共通ブロックの管理番号を返答していた。これは、どこの書換対象領域が書換わるか未定なため、管理番号を一つの場所にて管理していたからである。

しかしながら、消去は大領域（数Ｋバイト程度）で行わねばならないというフラッシュメモリの特徴のため、２０バイト以下程度の小サイズである管理番号を書換えるために共通ブロックとして書換対象領域である数Ｋバイト費やす必要があり、記憶領域を有効に使用できないという問題がある。

本発明は上記事情に鑑みてなされたもので、その目的は、書換対象領域に記憶された詳細単位プログラムを書換える際に、書換対象領域を有効に使用することができるプログラム管理装置、車両用制御装置及びプログラム管理プログラムを提供することにある。

請求項１の発明によれば、詳細単位プログラムはプログラムが最新か否かを特定するための更新マーカとプログラム管理番号を有しているので、外部からプログラム管理番号が要求された場合は、更新マーカを検査することにより最新の更新マーカを特定し、当該更新マーカが属する詳細単位プログラムが有するプログラム管理番号を出力することにより、最新のプログラム管理番号を出力することができる。

本発明の第１実施形態における不揮発性メモリの構成を模式的に示す図 車両に搭載された制御装置の構成を示す機能ブロック図 ダイアグツールと制御装置との間の通信手順を示す図 本発明の第２実施形態における不揮発性メモリの構成を模式的に示す図 本発明の第３実施形態における不揮発性メモリの構成を模式的に示す図 本発明の第４実施形態における不揮発性メモリの構成を模式的に示す図 本発明の第５実施形態における不揮発性メモリの構成を模式的に示す図

（第１実施形態）
以下、本発明の第１実施形態について図１から図３を参照しながら説明する。
図２に示すように、車両１には、エンジンを制御するエンジンＥＣＵ、カーエアコンを制御するエアコンＥＣＵ、ブレーキの作動を制御するブレーキＥＣＵ等の複数の制御装置２（車両用制御装置に相当）が搭載されている。制御装置２は、車載ＬＡＮ３を通じてツール接続コネクタ４と接続されている。制御装置２はマイクロコンピュータ５を主体として構成されている。マイクロコンピュータ５は、ＣＰＵ６、ＲＡＭからなる揮発性メモリ７、フラッシュメモリからなる不揮発性メモリ８（プログラム管理装置に相当）等から構成されている。ＣＰＵ６は、入力回路９、出力回路１０、外部通信インターフェース１１などの周辺回路と接続されている。

ダイアグツール１２（または書換ツール）はツール接続コネクタ４に接続可能であり、ツール接続コネクタ４に接続された状態で制御装置２との間で情報を送受信する外部装置である。ダイアグツール１２は、不揮発性メモリ８に記憶されている制御プログラムを書換える場合は、制御装置２に対し新規の制御プログラムをシリアル通信により送信する。制御装置２のＣＰＵ６は、外部通信インターフェース１１を通じてダイアグツール１２との間でシリアル通信を行い、新規の制御プログラムを受信して不揮発性メモリ８に送信する。

次に不揮発性メモリ８について説明する。不揮発性メモリ８の一部は書換えることができないブート領域に設定されており、図１に示すように、そのブート領域に更新プログラム（以下、リプロプログラム）１３（管理手段及びプログラム管理プログラムに相当）が記憶されている。リプロプログラム１３は、ＣＰＵ６から受信した新規の制御プログラムの書換えを実行する。

不揮発性メモリ８においてブート領域以外の領域は不揮発性記憶領域１４に設定されており、その不揮発性記憶領域１４に制御プログラムが記憶されている。不揮発性記憶領域１４は同一サイズの消去単位領域毎に分割されており、その消去単位領域が書換対象領域♯１〜３として設定されている。図１では、書換対象領域を♯１〜３により簡易的に示しているが、実際には多数の書換対象領域が設定されている。制御プログラムは各書換対象領域♯１〜３に分割されて記憶されている。本実施形態では、書換対象領域♯１〜３に対応して分割されたプログラムを詳細単位プログラムと呼び、詳細単位プログラムのサイズが書換対象領域♯１〜３のサイズに一致する。

制御プログラムの一部を更新する場合は、書換対象領域♯１〜３に記憶されている制御プログラム全体を更新するのではなく、書換時間の短縮を図るために制御プログラムにおいて更新箇所が属する詳細単位プログラムのみを書換える。この場合、更新箇所が複数の詳細単位プログラムに属する場合は、該当する全ての詳細単位プログラムを書換える。

詳細単位プログラムにおける同一位置（先頭から同一アドレスだけ変位した位置）には更新マーカ１５が配置されている。この更新マーカ１５は、不揮発性メモリ８に記憶されている制御プログラムが最新か否かを示すもので、詳細単位プログラムを書換える際にダイアグツール１２により増加値を１として単調増加（０→１→２→３……）するように設定されている。つまり、詳細単位プログラムが有する更新マーカ１５は書換回数を示している。一方、詳細単位プログラムには更新マーカ１５に対応して管理番号（プログラム管理番号に相当）１６が記憶されている。この管理番号１６は、制御プログラムのバージョンを特定するものでメーカにより任意に設定される。従って、各書換対象領域♯１〜３に配置されている複数の更新マーカ１５の内、最大値となる更新マーカ１５に対応した管理番号１６が最新の管理番号、つまり書換対象領域♯１〜３に記憶されている制御プログラムを示す管理番号となる。

リプロプログラム１３には最初の更新マーカ１５の配置位置を示す更新マーカポインタ（以下、ＰＴＲ）１７が設定されており、リプロプログラム１３は、ＰＴＲ１７に基づいて最初の更新マーカ１５、つまり書換対象領域♯１に配置された更新マーカ１５を特定可能となっている。

次に、ダイアグツール１２と制御装置２との間の通信処理について図３を参照して説明する。ディーラの作業者は、所定の制御装置２の不揮発性メモリ８に記憶された制御プログラムを例えばバージョンアップにより更新する場合は、エンジンの停止状態でダイアグツール１２をツール接続コネクタ４に接続し、所定の制御装置２にアクセスするように指示する。すると、ダイアグツール１２は、所定の制御装置２に対して制御装置識別応答を要求するので、所定の制御装置２は、自己のＩＤを応答する。ダイアグツール１２は、ＩＤを認証すると、プログラム管理番号を要求するので、所定の制御装置２は、最新の管理番号を検査して応答する。

ダイアグツール１２は、所定の制御装置２から受信した管理番号１６が最新の管理番号かを判定し、最新の管理番号でない場合は、更新領域が属する詳細単位プログラムを所定の制御装置２に送信する。これにより、所定の制御装置２は、詳細単位プログラムを対応する書換対象領域♯１〜３に書換えるので、新規の制御プログラムに更新することができる。

さて、上述のように制御装置２が最新の管理番号を特定する動作は、実際には不揮発性メモリ８のリプロプログラム１３が行っており、以下、リプロプログラム１３が最新の管理番号を特定する動作について説明する。
リプロプログラム１３は、まず、図１に矢印で示すように、更新マーカポインタ（以下、ＰＴＲ）が示す最初の更新マーカ１５、つまり書換対象領域♯１の更新マーカ１５を特定して取得する。

次に、書換対象領域のサイズに基づいて次の書換対象領域♯２の更新マーカ１５を特定する。つまり、各書換対象領域♯１〜３のサイズは全て同一であり、最初の書換対象領域♯１の更新マーカ１５の配置位置から書換対象領域のサイズを加算した位置が次の書換対象領域♯２の更新マーカ１５の配置位置となることから、次の更新マーカ１５を特定して取得することができる。
同様の手順により最後の書換対象領域♯３の更新マーカ１５まで特定して取得することにより全ての更新マーカ１５を取得することができる。

リプロプログラム１３は、上述のようにして全ての更新マーカ１５を取得した場合は、更新マーカ１５の検査を行う。
即ち、更新マーカ１５は詳細単位プログラムが更新される毎に１ずつ単調増加されるので、更新マーカ１５の内、最大値となる更新マーカ１５が最新の更新マーカ１５であり、当該更新マーカ１５が属する詳細単位プログラムが最後に書換えられた最新の詳細単位プログラムである。従って、最新の詳細単位プログラムに属する管理番号１６が不揮発性メモリ８に記憶されている制御プログラムのバージョンを示す管理番号１６であることから、リプロプログラム１３は、以上のようにして特定した最新の管理番号１６を出力する。

ダイアグツール１２は、制御装置２から入力した最新の管理番号１６に基づいて制御プログラムが最新か否かを判断し、最新でいない場合は、該当する詳細単位プログラムを送信する。この場合、詳細単位プログラムには書換回数を示す更新マーカ１５が設定されると共に制御プログラムの管理番号１６が設定される。

そして、リプロプログラム１３は、ダイアグツール１２から受信した詳細単位プログラムを対応する書換対象領域♯１〜３に書換える。
以上のようにして、制御装置２の不揮発性メモリ８に記憶されている制御プログラムを最新の制御プログラムに更新することができる。

ここで、リプロプログラム１３は、詳細単位プログラムを書換対象領域♯１〜３に書換える際に、当該詳細単位プログラムが有する更新マーカ１５が、書換対象領域♯１〜３に配置されている更新マーカ１５の内の最大値に１を加算した数値でないときは書換えを実行しないようになっている。つまり、詳細単位プログラムが有する更新マーカ１５は１ずつ単純増加するように規定されていることから、このような規則性が失われた詳細単位プログラムを書換えしないのである。

このような実施形態によれば、次のような効果を奏することができる。
リプロプログラム１３は、ＰＴＲ１７により更新マーカ１５を順に特定して取得し、全ての更新マーカ１５を検査することにより最新の更新マーカ１５を特定し、当該更新マーカ１５が属する詳細単位プログラムが有する管理番号１６を出力するので、不揮発性メモリ８に記憶されている最新の管理番号を出力することができる。

詳細単位プログラムは同一サイズに設定されており、各書換対象領域♯１〜３に配置されている更新マーカ１５は規則的に配置されているので、ＰＴＲ１７により最初の更新マーカ１５を特定すれば、書換対象領域♯１〜３のサイズに基づいて次の更新マーカ１５を容易に特定して取得することができる。
規則性が失われた更新マーカ１５を有する詳細単位プログラムの書換えを実行しないので、制御プログラムの更新の信頼性を担保することができる。
尚、書換対象領域♯３の更新マーカ１５から順に特定して取得するようにしてもよい。

（第２実施形態）
本発明の第２実施形態について図４を参照して説明する。第１実施形態では、各書換対象領域♯１〜３のサイズが同一であり、各書換対象領域♯１〜３に更新マーカ１５が規則的に配置されている場合の位置特定方法を説明したが、各書換対象領域♯１〜３のサイズが異なる場合、或いは各書換対象領域♯１〜３における更新マーカ１５の配置位置が異なる場合、或いはリプロプログラム１３のプログラムサイズ等の制約により、次の更新マーカ１５の位置を計算して特定する方法が取れない場合等では実施することできないことがある。

そこで、本実施形態では、次の更新マーカ１５の配置位置を特定するためのポインタを採用した。
即ち、詳細単位プログラムは、第１実施形態で説明した更新マーカ１５及び管理番号１６に加えて次更新マーカポインタ（以下、次ＰＴＲ）１８を有している。この次ＰＴＲ１８は、次の書換対象領域の更新マーカ１５の配置位置を示している。

リプロプログラム１３は、ＰＴＲ１７により最初の書換対象領域♯１の更新マーカ１５を特定して取得する。次に、当該更新マーカ１５に対応する次ＰＴＲ１８に基づいて次の書換対象領域♯２の更新マーカ１５を特定して取得する。
以上のようにして更新マーカ１５を順に特定して取得し、最後の更新マーカ１５を特定して取得した場合は、全ての更新マーカ１５を検査して最大値となる更新マーカ１５を特定することにより最新の管理番号を特定して出力する。

このような実施形態によれば、次のような効果を奏することができる。
書換対象領域♯１〜３のサイズが異なっていたり、詳細単位プログラムにおける更新マーカ１５の配置位置が異なっていたり、リプロプログラム１３が能力不足の場合であっても、次ＰＴＲ１８に基づいて更新マーカ１５を特定して取得することができるので、最新の更新マーカ１５を特定して最新の管理番号を出力することができる。
尚、書換対象領域♯１〜３のサイズが同一の場合に本実施形態の構成を適用してもよい。

（第３実施形態）
次に本発明の第３実施形態について図５を参照して説明する。この第３実施形態は、ＰＴＲ１７の配置位置を示すポインタを設け、２段階で更新マーカ１５の位置を特定することを特徴とする。

詳細単位プログラムには更新マーカ１５の配置位置を示すＰＴＲ１７が配置され、書換対象領域♯１〜３の最後尾にはＰＴＲ１７の配置位置を示す更新マーカポインタポインタ（以下、ＰＴＲＰＴＲ）１９が配置されている。

リプロプログラム１３は、最初の書換対象領域♯１の最後尾に配置されているＰＴＲＰＴＲ１９を特定し、そのＰＴＲＰＴＲ１９からＰＴＲ１７を特定し、そのＰＴＲ１７から更新マーカ１５を特定して取得する。
次に、次の書換対象領域♯２の最後尾に配置されているＰＴＲＰＴＲ１９を特定し、そのＰＴＲＰＴＲ１９からＰＴＲ１７を特定し、ＰＴＲ１７から更新マーカ１５を特定して取得する。
以上のようにして、ＰＴＲＰＴＲ１９とＰＴＲ１７に基づいて更新マーカ１５を順に特定して取得し、全ての更新マーカ１５を取得した場合は、更新マーカ１５を検査し、最新の更新マーカ１５に対応した最新の管理番号を出力する。

このような実施形態によれば、次のような効果を奏することができる。
ＰＴＲ１７が各書換対象領域♯１〜３に配置されていることから、第２実施形態と同様に、書換対象領域♯１〜３のサイズの違い、更新マーカ１５の配置位置の違い、リプロプログラム１３の能力不足に対処できる。

さらに、ＰＴＲ１７の配置位置を示すＰＴＲＰＴＲ１９が存在することにより、ＰＴＲ１７とＰＴＲＰＴＲ１９の２段階の特定を正しく行えた場合のみ更新マーカ１５を特定できることになるので、データ化け等の偶発的な故障、プログラム生成バグ等のバグと共に、プログラム改竄等のセキュリティ対策を行うことができる。
尚、ＰＴＲＰＴＲ１９を書換対象領域♯１〜３の先頭に配置するようにしてもよい。

（第４実施形態）
次に本発明の第４実施形態について図６を参照して説明する。この第４実施形態は、詳細単位プログラムがプログラムの適否を判断するためのプログラムを有していることを特徴とする。
図６に示すように、詳細単位プログラムは妥当性チェックプログラム２０を有している。妥当性チェックプログラム２０はプログラムの妥当性・整合性のチェックを行うもので、他の詳細単位プログラムと共存して動作させても良いか否か、或いは改竄されていないか等をチェックする。チェック方法としては、例えば各詳細単位プログラムに付随するプログラムシグニチャを検査したり、簡易的には各詳細単位プログラムのサイズをチェックしたりすることで行われる。

本実施形態では、妥当性チェックプログラム２０は、各書換対象領域♯１〜３に規則的に配列されているものとする。
リプロプログラム１３は、妥当性プログラムを順に動作させることにより各詳細単位プログラムの妥当性をチェックした後、更新マーカ１５の検査に移行して最新の管理番号を出力する。

このような実施形態によれば、次のような効果を奏することができる。
詳細単位プログラムが有する妥当性チェックプログラム２０により詳細単位プログラムの妥当性をチェックするようにしたので、不揮発性メモリ８に記憶される制御プログラムの信頼性を高めることができる。

（第５実施形態）
次に本発明の第５実施形態について図７を参照して説明する。この第５実施形態は、妥当性チェックプログラム２０の配置位置を示すポインタを設けたことを特徴とする。
図７に示すように、詳細単位プログラムは、妥当性チェックプログラム２０の配置位置を示す妥当性チェックプログラムポインタ２１を有している。リプロプログラム１３は、ＰＴＲ１７により最初の書換対象領域♯１の妥当性チェックプログラムポインタ２１の配置位置を特定する。この場合、妥当性チェックプログラム２０が更新マーカ１５及び次の妥当性チェックプログラム２０の配置位置を特定するので、リプロプログラム１３は、妥当性チェックプログラム２０により詳細単位プログラムの妥当性を順に検査してから、次の書換対象領域♯２の更新マーカ１５を特定して取得する。そして、全ての更新マーカ１５を取得した場合は、更新マーカ１５を検査し、最新の更新マーカ１５に対応する最新の管理番号を出力する。

このような実施形態によれば、次のような効果を奏することができる。
妥当性チェックプログラムポインタ２１により妥当性チェックプログラム２０の配置位置を特定するようにしたので、妥当性チェックプログラム２０の配置位置が不規則であっても妥当性チェックプログラム２０を特定して動作させることができる。

（その他の実施形態）
本発明は、上記実施形態に限定されることなく、次のように変形または拡張したり、各変形例を上記実施形態と組合せたり、各変形例を組合せるようにしてもよい。
更新マーカ１５としては、特定の数値から所定の減少値で単純減少するようにしてもよい。また、増加値或いは減少値は１に限定されることなく、２以上であってもよい。
不揮発性メモリとしてＥＥＰＲＯＭを対象としてもよい。
ダイアグツール１２をツール接続コネクタ４に接続した際に、ダイアグツール１２から制御装置２にリプロプログラムを送信し、制御装置２のＣＰＵ６がリプロプログラムを実行するようにしてもよい。

図面中、８は不揮発性メモリ（プログラム管理装置）、２は制御装置（車両用制御装置）、１３はリプロプログラム（管理手段及びプログラム管理プログラム）、１４は不揮発性記憶領域、１５は更新マーカ、１６は管理番号、１８は次更新マーカポインタ、１９は更新マーカポインタポインタ、２０は妥当性チェックプログラム、２１は妥当性チェックプログラムポインタ、♯１〜♯３は書換対象領域である。

Claims (11)

1. 複数の書換対象領域（♯１〜♯３）からなる不揮発性記憶領域（１４）と、外部からプログラムを構成する詳細単位プログラムを書換える指令を受けた場合は、当該詳細単位プログラムを対応する前記書換対象領域に書換えると共に、外部からプログラム管理番号の読出要求があった場合は最新のプログラム管理番号を出力する管理手段（１３）とを備えたプログラム管理装置（８）において、
   前記詳細単位プログラムは、前記プログラムを識別するためのプログラム管理番号（１６）と前記プログラムが最新か否かを特定するための更新マーカ（１５）とを有し、
   前記管理手段は、外部から前記プログラム管理番号の読出要求があった場合は、前記書換対象領域に配置された更新マーカを検査して最新の更新マーカを特定し、当該更新マーカが属する前記書換対象領域に配置された前記プログラム管理番号を出力することを特徴とするプログラム管理装置。
2. 前記書換対象領域は、同一サイズであり、
   前記詳細単位プログラムは、前記更新マーカの配置位置が同一であり
   前記管理手段は、最初の更新マーカの配置位置を示す更新マーカポインタ（１７）を有し、当該更新マーカポインタに基づいて最初の更新マーカを特定し、以後、当該更新マーカの配置位置に基づいて次の更新マーカを特定することを繰返すことにより全ての更新マーカを検査することを特徴とする請求項１記載のプログラム管理装置。
3. 前記詳細単位プログラムは、次に検査すべき更新マーカの配置位置を特定するための次更新マーカポインタ（１８）を有し、
   前記管理手段は、最初の更新マーカの配置位置を示す更新マーカポインタ（１７）を有し、当該更新ポインタに基づいて最初の更新マーカを検査し、以後、次更新マーカポインタに基づいて次の更新マーカを特定することを繰返すことにより全ての更新マーカを検査することを特徴とする請求項１記載のプログラム管理装置。
4. 前記書換対象領域は、サイズが一定であり、
   前記詳細単位プログラムは、更新マーカの配置位置を特定するための更新マーカポインタ（１７）、及び当該更新マーカポインタの配置位置を特定するための更新マーカポインタポインタ（１９）を先頭または最後尾に有し、
   前記管理手段は、最初の前記更新マーカポインタポインタに基づいて最初の前記更新マーカポインタを特定し、当該更新マーカポインタに基づいて最初の更新マーカを特定し、以後、前記更新マーカポインタポインタの配置位置に基づいて次の更新マーカポインタポインタ、前記更新マーカポインタ、前記更新マーカを順に特定することを繰返すことにより全ての更新マーカを検査することを特徴とする請求項１記載のプログラム管理装置。
5. 前記詳細単位プログラムは、当該詳細単位プログラムが正常であるかを判定する妥当性チェックプログラム（２０）を有し、
   前記管理手段は、前記妥当性チェックプログラムによりプログラムを検査してから更新マーカを検査することを特徴とする請求項１から４のいずれか一項に記載のプログラム管理装置。
6. 前記詳細単位プログラムは、前記妥当性チェックプログラムの配置位置を特定するための妥当性チェックプログラムポインタ（２１）を有し、
   前記管理手段は、前記妥当性チェックプログラムポインタに基づいて前記妥当性チェックプログラムを特定することを特徴とする請求項５記載のプログラム管理装置。
7. 前記更新マーカは、所定の増加値で単純増加、または所定の減少値で単純減少するように設定されていることを特徴とする請求項１から６のいずれか一項に記載のプログラム管理装置。
8. 前記管理手段は、前記詳細単位プログラムを前記書換対象領域に書換える際に、当該詳細単位プログラムが有する更新マーカが、前記更新マーカが単純増加する場合には、前記書換対象領域に配置されている前記更新マーカの内の最大値に前記所定の増加値を加算した数値でないとき、或いは前記更新マーカが単純減少する場合には、前記書換対象領域に配置されている前記更新マーカの内の最小値から前記所定の減少値を減算した数値でないときは、前記詳細単位プログラムの書換えを実行しないことを特徴とする請求項７記載のプログラム管理装置。
9. 前記所定の増加値または減少値は１であることを特徴とする請求項７または８記載のプログラム管理装置。
10. 請求項１から９の何れか一項に記載のプログラム管理装置を備え、
    前記プログラム管理装置の前記書換対象領域に記憶された制御プログラムを実行することにより所定の制御対象を制御することを特徴とする車両用制御装置。
11. 外部からプログラムを構成する詳細単位プログラムを書換える指令を受けた場合は、当該詳細単位プログラムを不揮発性記憶領域において対応する書換対象領域に書換えると共に、外部からプログラム管理番号の読出要求があった場合は最新のプログラム管理番号を出力するプログラム管理プログラム（１３）において、
    前記詳細単位プログラムは、前記プログラムを識別するためのプログラム管理番号と前記プログラムが最新か否かを特定するための更新マーカを有し、
    外部から前記プログラム管理番号の読出要求があった場合は、前記書換対象領域に配置された更新マーカを検査することにより最新の更新マーカを特定し、当該更新マーカが属する前記書換対象領域に配置された前記プログラム管理番号を出力することを特徴とするプログラム管理プログラム。

Images