JP7373590B2

JP7373590B2 - 電子制御装置及び電子制御システム

Info

Publication number: JP7373590B2
Application number: JP2021569776A
Authority: JP
Inventors: 崇顕野海道; 佑介小暮
Original assignee: Hitachi Astemo Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2020-01-10
Filing date: 2020-12-08
Publication date: 2023-11-02
Anticipated expiration: 2040-12-08
Also published as: US20230027587A1; JPWO2021140810A1; WO2021140810A1; DE112020005173T5

Description

本発明は、車両の電子制御装置のプログラムの更新に関する。

車両の電子制御装置（ＥＣＵ：ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）のプログラム更新手法の一つとして、プログラム配信センターより無線で配信されるプログラムをネットワーク経由でダウンロードし、ＥＣＵのプログラム更新を実施する、オンライン更新機能が存在する。

従来のプログラム更新では、ユーザ自身がディーラー等に車両を持込み、整備士が車両に専用装置を接続し、専用装置を操作して更新を実施していたが、オンライン更新機能を利用することで、ディーラーを訪問することなく更新が可能となる。ユーザとしては、機能追加や、機能改善や、問題が修正された新規プログラムの適用が容易となるため、利便性向上と、時間節約の効果がある。

ただし、車両においては、ＥＣＵへの給電が常時安定しているとは限らず、プログラム更新中にＥＣＵの給電が停止してしまう可能性がある。例えば、バッテリー電源は劣化や放電により、アクセサリー（ＡＣＣ）電源は、イグニッション（ＩＧＮ）電源がＯＦＦの状態においては一定時間で、給電が停止する可能性がある。

プログラム更新中にＥＣＵへの給電が停止した場合は、プログラム格納領域に不正なデータが残留するため、この不正データを検出してプログラム更新のやり直しが完了するまで、ユーザは新規プログラムを使用することができない。

上記課題を解決する技術として、特許文献１が知られている。特許文献１には、電源電圧が安定している期間を選択してプログラムの更新を実施することで、不正データを残留させずにプログラム更新を実施する装置が記載されている。

特開２０１５－３７９３８号公報

上記特許文献１に記載の装置は、車両の電源状態を取得することで、プログラム更新の中断と再開処理の判定をしているが、確実な電源状態の取得手段がないＥＣＵにおいては、中断と再開処理が正しく実施できない。例えば、外部装置から通信経路を経由しなければ電源状態が取得できないＥＣＵにおいては、通信経路や外部装置の故障により電源状態を取得できないケースが存在する。

本発明の目的は、ＥＣＵのオンライン更新機能において、プログラム更新中にＥＣＵへの給電が停止した場合でも、車両の電源状態を取得することなく、更新完了時に不正データが残留しないプログラムの更新を実現することである。

本発明は、外部からの給電がＯＮ又はＯＦＦにされる電源と、外部装置と通信する通信インターフェースと、プログラムとデータを保持する不揮発性メモリと、前記プログラムを実行する演算部と、を有する車両の電子制御装置であって、前記不揮発性メモリは、前記プログラムを格納するプログラム格納領域と、データを格納するデータ格納領域を含み、前記電子制御装置は、更新処理を行うプログラム更新処理部と、更新プログラムを格納するプログラム更新対象部と、前記通信インターフェースを介して受信した前記更新プログラム、前記更新プログラムのデータ長を示すデータ長情報、及び前記通信インターフェースを介して受信した前記更新プログラムを前記プログラム更新対象部に書込む前のデータ量を示すバッファリングサイズを一時的に格納する一時記憶部とを有し、前記演算部は、前記プログラムとして前記プログラム更新処理部を読み込んで実行し、前記バッファリングサイズが０か否かを判定し、前記バッファリングサイズが０ではない場合は前記通信インターフェースで受信し前記一時記憶部に格納された更新プログラムを所定サイズに分割して、前記分割された更新プログラムを前記プログラム更新対象部に書込み、前記書込みが完了した前記更新プログラムの位置を示す更新進捗のデータを前記データ格納領域に格納し、前記データ長情報に基づき前記バッファリングサイズを減算し、前記バッファリングサイズが０である場合は、前記更新プログラムが全て書き込まれたか否かを判定する。

本発明は、車両の電源状態を取得せずに、給電停止まで更新プログラムの書込みを継続するため、確実に電源状態を取得できない構成であってもプログラムの更新処理が実施可能となる。また、プログラムの更新中に給電が停止した場合、書込み中であった領域には不正データが残留するが、次回の起動時には、更新進捗のデータから正常に書込みが完了した領域が判定可能となる。そのため、不正データが残留した領域を正常なデータで上書きすることで、不正データが残留することなくプログラムの更新を完了することが可能となる。

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

本発明の実施例１を示し、車両に搭載される電子制御システムの一例を示すブロック図である。本発明の実施例１を示し、プログラム更新処理の一例を示すタイムチャートである。本発明の実施例１を示し、プログラム更新処理における更新データの転送処理の一例を示すフローチャートである。本発明の実施例１を示し、プログラム更新処理における更新データの書込み処理の一例を示すフローチャートである。本発明の実施例１を示し、プログラム更新処理における更新処理の一例を示すフローチャートである。本発明の実施例１を示し、プログラム更新処理における終了処理の一例を示すフローチャートである。本発明の実施例２を示し、プログラム更新処理における更新データの書込み処理の一例を示すフローチャートである。本発明の実施例２を示し、プログラム更新処理における更新データの書込み処理の一例を示すフローチャートである。本発明の実施例２を示し、プログラム更新処理における更新処理の一例を示すフローチャートである。本発明の実施例３を示し、更新進捗のデータを保存する処理の一例を示すフローチャートである。本発明の実施例４を示し、更新進捗のデータを不揮発性メモリに保存する処理の一例を示す図である。本発明の実施例５を示し、車両に搭載される電子制御システムの一例を示すブロック図である。本発明の実施例５を示し、プログラム更新処理の一例を示すタイムチャートである。

以下、本発明の実施形態を添付図面に基づいて説明する。

本発明における実施例１を、図１～図４Ｃを用いて説明する。

図１は、本発明の電子制御装置を含む電子制御システムの構成の一例を示すブロック図である。電子制御装置１は、電源２と、演算部３と、通信インターフェース４と、一時記憶装置５、不揮発性メモリ６を有する。

前記不揮発性メモリ６は、データ格納領域７とプログラム格納領域８を有し、プログラム格納領域８は、さらにプログラム更新処理部９とプログラム更新対象部１０を有する。

プログラム更新対象部１０は、更新プログラムを書き込むスタンバイ領域（図示省略）と、車両を制御するためのプログラム（制御プログラム）を格納するアクティブ領域（図示省略）を含む。更新プログラムの書込みが完了した後に、所定のタイミング（例えば、次回の起動時）でスタンバイ領域をアクティブ領域に切替えて、更新されたプログラムで車両の制御を実施する。

車両に搭載される電子制御装置１は、バッテリー電源、ＡＣＣ（ＡＣＣＥＳＡＲＹ）電源などの給電装置１１から電源２に対して給電される。電子制御装置１は、外部装置１２から通信インターフェース４を経由して更新プログラムを受信する。また、更新処理に必要な制御信号は、通信インターフェース４経由で外部装置１２と電子制御装置１で送受信される。

また、通信インターフェース４は、イグニッションの情報を出力する外部ＥＣＵ１３に接続されて、イグニッションの情報（ＯＮ又はＯＦＦ）を取得する。なお、通信インターフェース４と外部装置１２及び外部ＥＣＵ１３はＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗａｏｋ）やＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）やＦｌｅｘｒａｙ等を介して接続されてもよい。

外部装置１２は、無線通信部（図示省略）を有し、無線ネットワークを介して配信装置から更新プログラムを受信して、電子制御装置１へ送信する。

演算部３は、プロセッサを含む演算装置で構成される。演算部３は、プログラム更新処理部９を実行することで、受信した更新プログラムをプログラム更新対象部１０に書込み、更新処理に付随するデータを一時記憶装置５と、データ格納領域７に書込む。

プログラム更新処理部９は、プログラムとして不揮発性メモリ６から演算部３に読み込まれて実行される。プログラム更新処理部９は、不揮発性メモリ６のプログラム更新対象部１０のスタンバイ領域に更新プログラムを書込んで、プログラム更新処理を管理する。

電子制御装置１は、プログラムの更新中に電源２への給電が停止又は再開された後は、外部装置１２より更新再開要求を受信する。電子制御装置１は更新再開要求に対して、更新再開位置の応答を返すことで、外部装置１２からは再開位置から更新プログラムが配信される。

一時記憶装置５は、揮発性の記憶媒体で構成することができ、例えば、ＤＲＡＭやＳＲＡＭを採用することができる。一時記憶装置５には、更新バッファ５０が設定される。

演算部３は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、演算部３は、更新処理プログラムに従って処理を実行することでプログラム更新処理部９として機能する。他のプログラムについても同様である。さらに、演算部３は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

プログラム更新処理について、図２のタイムチャートを用いて説明する。図２は、電子制御装置１の給電状態１０１と、車両の電源状態１０２と、プログラム更新処理１０３ａと、更新進捗のデータの保持タイミング１０４と時刻の関係を示している。

電子制御装置１の給電状態１０１は、電源２への給電の有無を示している。例えば、バッテリー電源であれば、外部装置１２（又は外部ＥＣＵ１３）から通信インターフェース４経由で電源のＯＮ又はＯＦＦの情報指令を受信することにより、電源２への給電が制御される。ＡＣＣ電源であれば、そのＯＮ又はＯＦＦに連動して電源２への電力の供給が制御される。

車両の電源状態１０２は、電源２への給電が安定しているか否かを示している。例えば、外部ＥＣＵ１３から取得したＩＧＮ（イグニッション）の情報がＯＮの状態であれば、バッテリーは充電が開始され、ＡＣＣ電源は切断されないため安定した状態と判定できる。またＥＶ（ＥｌｅｃｔｒｉｃＶｅｈｉｃｌｅ）車であれば、充電スタンドでバッテリーを充電していれば、安定した状態と言える。なお、車両の給電状態については電子制御装置１において取得しなくてもよい。

プログラム更新処理１０３ａは、外部装置１２から更新プログラムが転送されている場合に、プログラムの更新を実施するか否かを示している。更新進捗のデータの保持タイミング１０４は、更新プログラムの書込みが正常に完了した領域（又は部分）を示す情報を、保持するタイミングを示している。なお、後述するように、更新進捗のデータは、更新対象のプログラムのうち、プログラム更新対象部１０への書込みが完了した位置（又は部分）を特定する情報である。

プログラム更新処理部９は、更新プログラムの書込みが正常に完了した領域（又は位置）を示す情報としての更新進捗のデータを監視することで、更新処理の進捗状況を管理する。

図２の時刻Ｔ１は、給電装置１１から電源２への給電が開始された状態を示す。時刻Ｔ１において、車両の電源状態１０２は不安定であるが、電子制御装置１は給電状態であるのでプログラム更新処理１０３ａを実施する。

プログラム更新処理１０３ａは、所定のサイズ単位で更新プログラムの書込みを実施し、不揮発性メモリ６のプログラム更新対象部１０に書込みが完了した単位で更新進捗のデータをデータ格納領域７に保持する。

図２の時刻Ｔ２は、車両の電源状態１０２が安定した状態を示す。電子制御装置１は、車両の電源状態に関わらず、プログラム更新処理と、更新進捗のデータの保持を、時刻Ｔ１と同様に実施する。

図２の時刻Ｔ３は、車両の電源状態１０２が安定から不安定の状態に遷移した状態である。このときも、プログラム更新処理と、更新進捗のデータの保持を、時刻Ｔ１と同様に実施する。

図２の時刻Ｔ４は、電源２への給電が停止された状態である。時刻Ｔ４において、プログラムの更新中であった場合は、プログラム更新対象部１０に不正データが残留する。ただし、更新進捗のデータは不揮発性メモリ６のデータ格納領域７に保存された状態となる。時刻Ｔ４では、不揮発性メモリ６のデータ格納領域７に格納された更新進捗のデータは、前回正常に更新処理が完了した領域（又は部分）のアドレス（又はサイズあるいは識別子）が保持される。

図２の時刻Ｔ５は、電源２への給電が再開された状態である。時刻Ｔ５において、プログラム更新処理は、給電が停止される前に保存した、更新進捗のデータの次の領域から再開される。

再開の際には、電子制御装置１は、更新プログラムの書込みが正常に完了した領域の次の領域から更新を再開するため、給電が停止される前にプログラム更新対象部１０に残留した不正データは正常データで上書きされる。

図２に記載のプログラム更新処理１０３ａを実現するための、プログラム更新処理部９の詳細な処理を図３、図４Ａ～図４Ｃを用いて説明する。

図３は、プログラム更新処理における更新データの転送処理の一例を示すフローチャートで、図４Ａはプログラム更新処理における更新データの書込み処理の一例を示すフローチャートである。図４Ｂ、図４Ｃは、図４Ａのフローチャートのサブルーチンである。プログラム更新処理部９は、図３、図４Ａに記載のフローチャートを並列実行する。

実施例１において、プログラム更新中に給電の停止及び再開が発生しない、通常のプログラム更新処理の一例を以下に示す。

更新プログラムのダウンロードは、電子制御装置１が外部装置１２から更新要求を受信することをトリガとして開始する。プログラム更新処理部９は、図３のステップ２０１、２０２に記載のように、外部装置１２から通信メッセージを受信すると、受信したメッセージ種別を判定し、メッセージ種別に応じた処理を実行する。

メッセージ種別は、外部装置１２と電子制御装置１間の、通信規格のフレーム、又はプロトコルのヘッダ、又はペイロードに含まれる情報によりプログラム更新処理部９で判定可能である。

メッセージ種別が更新要求であった場合は、図３のステップ２０３に記載のように、プログラム更新処理部９が更新状態の判定を実施する。更新状態は、図４Ａに記載の更新データ書込み処理が実施中か否かを示す状態であり、更新状態が未実施であれば、プログラム更新処理部９は図３のステップ２０４に記載のように、外部装置１２に更新準備完了の応答を送信する。その後、外部装置１２からは、更新データを含む、更新データ転送要求が送信される。

更新データは、更新プログラムの先頭アドレスから所定のサイズ毎に順次送信される。
また、外部装置１２と電子制御装置１間の通信規格に基づいたデータサイズ（固定長）で送信される。更新データのサイズは、例えば、通信規格がＣＡＮであれば８ｂｙｔｅ、ＣＡＮＦＤであれば６４ｂｙｔｅ、Ｅｔｈｅｒｎｅｔであればペイロードからプロトコルのヘッダサイズを除いたデータ量である。

プログラム更新処理部９は、更新データ転送要求を受信すると、図３のステップ２０６ａの記載のように、更新データを取得して更新バッファ５０に格納する。更新バッファ５０は、更新データを一時的に格納するためのバッファであり、一時記憶装置５に予め設定される。

また、更新バッファ５０に対しては、図３に記載の更新データ転送フローチャートでエンキューし、図４Ａに記載の更新データ書込みフローチャートでデキューされるため、循環バッファ（リングバッファ）構造として読み込み位置と書込み位置を制御すると、更新データのソート処理が不要となり演算量を低減させることができる。

プログラム更新処理部９は、更新データを一時記憶装置５の更新バッファ５０へ格納した後は、図３のステップ２０７～２０９の記載のように、次回の更新バッファ５０書込み位置の更新と、バッファリングサイズの加算を実施し、外部装置１２に次データ要求の応答を返す（２０９）。上記ステップ２０８では、プログラム更新処理部９が、バッファリングサイズに、更新バッファ５０に格納した更新データのサイズを加算する。

更新データ転送要求は、更新プログラムの転送が完了するまで継続されるため、図３のステップ２０６ａ～２０９に記載の処理は繰返して実行される。ただし、外部装置１２との通信形態によっては、図３のステップ２０９に記載の応答を返さなくても、更新データ転送要求が繰返し送信される場合がある。その場合は、都度の応答送信はしなくてもよい。

更新プログラムの転送が完了すると、外部装置１２から転送完了通知が送信される。プログラム更新処理部９は、転送完了通知を受信すると、図３のステップ２１０、２１１に記載のように、転送完了フラグをＯＮとし（２１０）、外部装置１２に応答を送信する（２１１）。

更新バッファ５０に格納された更新データを、プログラム更新対象部１０に書き込む処理は、図４Ａに記載の更新データ書込み処理で実施する。通常のプログラム更新処理では、プログラム更新処理部９が図４Ａのステップ３０４ａに記載のバッファリングサイズを判定する。プログラム更新処理部９は、一時記憶装置５に格納した更新データのバッファリングサイズが所定のサイズ以上であれば、図４のステップ３０８に記載の更新処理を実施する。

ステップ３０４ａの判定で使用される所定のサイズは、更新プログラムの分割単位、又は外部装置１２より受信する更新データのサイズ単位、又は演算部３の仕様に基づく不揮発性メモリ６への書込み単位、又はそれ以外の所定のサイズである。

上記所定のサイズは、プログラム更新処理部９、又はデータ格納領域７に予め定義しておいてもよいし、外部装置１２からの更新要求で通知される場合は、通知されたサイズでもよい。

また、不揮発性メモリ６への書込み単位は、例えば、ブロックのサイズや、ページのサイズ等、不揮発性半導体の種類に応じて予め設定された書込みサイズを所定のサイズとすることができる。

図４Ａのステップ３０８記載の更新処理では、図４Ｂのステップ３０９、３１０ａに記載のように、プログラム更新処理部９がプログラム更新対象部１０への書込み開始アドレスと、書込みサイズの決定を実施する。プログラム更新処理部９が書き込むサイズは上述の所定のサイズで実施される。

図４Ｂのステップ３１１に記載の更新データ書込み処理では、プログラム更新処理部９が一時記憶装置５の更新バッファ５０から書込みサイズ分のデータを読み込み、不揮発性メモリ６のプログラム更新対象部１０の書込み開始アドレスから順次書込みを実施する。

更新データの書込み後は、図４Ｂのステップ３１２、３１３に記載のように、プログラム更新処理部９が、更新進捗のデータを更新し、不揮発性メモリ６のデータ格納領域７に更新進捗のデータを保存する。

更新進捗のデータは、更新プログラムの書込みが正常に完了した領域を示す情報であり、外部装置１２と電子制御装置１間で共通利用が可能な情報である。例えば、更新プログラムの先頭からのバイト数と、更新プログラムのアドレスである。

プログラム更新処理部９は、更新進捗のデータを保存した後に、図４Ｂのステップ３１４、３１５に記載のように、更新バッファ５０の読み込み位置の更新と、バッファリングサイズの減算を実施し、図４Ａのステップ３０８に記載の更新処理を終了する。

ステップＳ３１４では、プログラム更新処理部９が、更新バッファ５０の読み込み位置に、読み込んだデータサイズを加算して更新する。また、ステップＳ３１５では、プログラム更新処理部９は、読み出したデータサイズを減算してバッファリングサイズを更新する。その後、図４Ａのステップ３０４ａ、３０８に記載の処理は、バッファリングサイズが所定のサイズ未満となるまで繰返して実施される。

バッファリングサイズが所定のサイズ未満となるのは、外部装置１２からの更新データが到着していない場合、又は更新プログラムの転送は完了しているが、所定のサイズ単位とならない最後の更新データが、更新バッファ５０に格納されている場合である。

前者の場合は、外部装置１２から転送完了通知を受信していないため、転送完了フラグがＯＦＦである。そのため、プログラム更新処理部９は、図４Ａのステップ３０５に記載の判定処理により、バッファリングサイズが、所定のサイズ以上となるまで監視する処理となる。

一方、後者の場合は、転送完了通知を外部装置１２から受信済みであるため、転送完了フラグがＯＮである。そのため、プログラム更新処理部９は、図４Ａのステップ３０６に記載のように、最後の更新データの書込みを実施する。更新データの書込み完了後は、図４Ａのステップ３０７、図４Ｃのステップ３１６～３２１に記載の、終了処理を実施して更新データ書込みフローチャートを終了する。

図４Ｃは、プログラム更新処理部９で行われる終了処理の一例を示すフローチャートである。プログラム更新処理部９は、まず、転送完了フラグを「ＯＦＦ」に設定する（３１６）。次に、プログラム更新処理部９は、更新中止フラグを「ＯＦＦ」に設定する（３１７）。

プログラム更新処理部９は、一時記憶装置５のバッファの読み込み位置と書込み位置を同じアドレスにリセットする。そして、プログラム更新処理部９は、バッファのデータサイズをクリアする（３１６）。

プログラム更新処理部９は、不揮発性メモリ６のデータ格納領域７に格納された更新進捗のデータをクリアし（３５０）、更新状態を「未実施」にリセットする（３２１）。上記処理により、プログラム更新処理を完了する。

実施例１において、プログラム更新中に給電の停止又は再開が発生した場合のプログラム更新処理の一例を以下に示す。

図４Ａに記載の更新データ書込み処理では、電源２に給電が継続している間、更新データの書込みを継続する。そのため、図４Ｂのステップ３１１に記載の処理において、プログラム更新処理部９が更新データを書込んでいる期間に給電が停止した場合は、プログラム更新対象部１０に不正データが残留する。ただし、図４Ｂのステップ３１３に記載の処理により、更新進捗のデータは不揮発性メモリ６のデータ格納領域７に保存されている状態となっている。

給電再開後は、外部装置１２から更新再開要求が送信されるため、プログラム更新処理部９は、図３のステップ２１２、２１３に記載のように、不揮発性メモリ６のデータ格納領域７に保存されている更新進捗のデータを読み込み、外部装置１２に更新再開位置の応答を送信する。

更新再開位置は、データ格納領域７に保存されている更新進捗のデータの次の領域である。更新進捗のデータは、更新プログラムの書込みが正常に完了した領域を示す情報、かつ外部装置１２と電子制御装置１間で共通利用が可能な情報であるため、外部装置１２は、書込み未完了の領域から更新プログラムの配信を実施できる。

プログラム更新処理部９が更新再開位置の応答を送信した後は、外部装置１２から更新要求が送信されるため、上述した通常のプログラム更新処理と同様に、図３のステップ２０４で更新準備完了の応答を送信すると、更新データを含む更新データ転送要求が外部装置１２から送信される。外部装置１２は、更新再開前に更新プログラムの書込みが正常に完了した次の領域から更新データを順次送信する。プログラム更新処理部９は、図３のステップ２０６ａ～２０９に記載の処理を実施して、受信した更新データをバッファに蓄積する。

図４Ａに記載の更新データ書込み処理では、給電が停止したときにプログラム更新対象部１０に残留した不正データに更新データを上書きして、プログラム更新処理を続行する処理を実施する。

プログラム更新処理部９は、まず、図４Ａのステップ３０１に記載のように、データ格納領域７から更新進捗のデータを読み込み、通常のプログラム更新と同様に、図４Ａのステップ３０８と、図４Ｂに記載の更新処理を実施する。

更新処理では、図４Ｂのステップ３０９記載のように、プログラム更新処理部９が書込み開始アドレスの決定を実施する。書込み開始アドレスは、プログラム更新対象部１０に残留した不正データを上書きするための領域の先頭とする必要がある。そのため、プログラム更新処理部９は、書込み開始アドレスは、プログラム更新対象部１０の先頭アドレスに、更新進捗のデータサイズを加算した領域の次の領域とする。

また、プログラム更新処理部９は、図４Ｂのステップ３１１に記載の更新データ書込み処理では、プログラム更新対象部１０に残留した不正データを上書きするためのデータを書き込む必要がある。

これは前述のように、外部装置１２から、更新プログラムの書込みが正常に完了した次の領域から順次更新データが送信されるため、所望のデータが一時記憶装置５の更新バッファ５０に格納される。そのため、通常のプログラム更新処理と同様に、プログラム更新対象部１０は、更新バッファ５０から書込みサイズ分のデータを読み込み、プログラム更新対象部１０の書込み開始アドレスから順次書込みを実施すればよい。以降は、上述した通常（給電停止及び再開のない）のプログラム更新処理と同様の処理を実施し、プログラム更新を完了する。

実施例１において、プログラム更新中にキャンセル要求を受信した場合のプログラム更新の中止処理を以下に示す。

プログラム更新処理部９は、プログラム更新中に外部装置１２からキャンセル要求を受信した場合、図３のステップ２１４、２１５記載のように、更新中止フラグをＯＮとして、外部装置１２に応答を送信する。図４Ａに記載の更新データ書込み処理では、ステップ３０３に記載のように、プログラム更新処理部９は更新中止フラグの判定処理を実施し、図４Ａのステップ３０８に記載の更新処理後に、更新中止フラグがＯＮであれば、更新データ書込み処理を終了する。

ただし、更新プログラムを書き込む所定のサイズが大きい場合は、図４Ｂの更新処理の中断に時間がかかり、その間に外部装置１２から更新要求を受信する可能性がある。そのため、図４Ａのステップ３０２、図４Ｃのステップ３２１の記載のように、プログラム更新処理部９は、更新データ書込み処理の「実施中」、又は「未実施」の状態であるかを管理する。

更新処理が実施中であれば、図３のステップ２０３の記載のように、プログラム更新処理部９が、外部装置１２に更新不可の応答を送信することで、外部装置１２からの更新要求を拒否する。更新データ書込み処理の中断が完了した後は、更新状態が未実施となるため、プログラム更新処理部９は再度、更新要求を受信した場合にはプログラムの更新処理尾が可能となる。

以上、実施例１によれば、電子制御装置１は、プログラムの更新中に給電が停止し、不揮発性メモリ６のプログラム更新対象部１０に不正データが残留した場合においても、給電が再開された場合にはデータ格納領域７に格納された更新進捗のデータに基づいてプログラム更新対象部１０の書込みの再開位置を決定できる。電子制御装置１は、プログラム更新対象部１０内の不正データを更新データで上書きして、プログラムの更新処理を続行することが可能となる。これにより、電子制御装置１が、電源状態を確実に取得できない構成であってもプログラムの更新処理が実施可能となる。

前記実施例１において、更新データの所定のサイズは予め定義された値、又は外部装置１２からの更新要求で通知される値としており、１回のプログラム更新処理においては固定値である。プログラムの分割単位や、不揮発性メモリ６への書換え単位など、１回のプログラム更新処理で所定のサイズが固定である場合は実施例１の手法でもよいが、更新データのサイズは、通信形態によっては固定値であるとは限らない。

そのため、実施例２では、所定のサイズが更新データサイズ単位（可変長）であり、更新データ転送要求に含まれる更新データのサイズが可変であっても、更新データサイズ単位での書込みを可能とするプログラム更新処理を実現する。

実施例２におけるプログラム更新処理部９の詳細な処理を、図５、図６Ａ、図６Ｂを用いて説明する。図５は実施例２における更新データ転送処理の一例を示すフローチャートである。図６は実施例２における更新データ書込み処理の一例を示すフローチャートである。

図５に記載の更新データ転送処理は、ステップ２０６ｂに記載の処理が、前記実施例１の図３のステップ２０６ａと異なる。実施例２では、更新バッファ５０に、１回で受信する更新データのデータ長と、更新データを順次格納する。

図６Ａに記載の更新データ書込み処理では、まずステップ３０４ｂ記載のバッファリングサイズの判定処理が実施例１の図４Ａに示したステップ３０４ａと異なる。実施例２では、バッファリングサイズが０以外であれば、図６のステップ３０８に記載の更新処理を実施する。

更新処理では、図６Ｂのステップ３１０ｂに記載の処理が前記実施例１の図４Ｂのステップ３１０ａと異なる。図６Ｂのステップ３１０ｂに記載の処理では、更新バッファ５０から１回で受信する更新データのデータ長を読み出し、読み出したデータ長を所定のサイズとする。これにより、１回で受信する更新データのサイズが変化した場合でも、更新データサイズでの書込みが可能となる。

実施例２では、所定のサイズ単位とならない最後の更新データは存在しないため、図６Ａのステップ３０４ｂに記載の処理において、バッファリングサイズが０の場合は、前記実施例１の図４Ａに示したステップ３０６に記載の最終データの書込み処理は不要である。その他の構成については、前記実施例１と同様である。

以上、実施例２によれば、前記実施例１の効果に加えて、更新データサイズのデータ長が可変であっても、更新データサイズ単位のプログラムの書込み処理が可能となる。

前記実施例１、実施例２において、更新データの所定のサイズが小さい場合、更新進捗データの不揮発性メモリ６への保存回数が増加し、不揮発性メモリ６の書換え回数上限への到達時間が短くなる。そのため、実施例３では、更新進捗のデータの書込み回数を低減したプログラム更新処理を提供する。

実施例３は、前記実施例１の図４Ｂ、前記実施例２の図６Ｂに示したステップ３１３に記載の処理において、更新進捗のデータを一時記憶装置５に格納するという点が、前記実施例１、実施例２と異なる。

しかし、一時記憶装置５のデータは、上述のように揮発性の記憶媒体で構成されており、給電が停止したときに消去されるため、不揮発性メモリ６に定期的に保存する必要がある。実施例３における、更新進捗のデータの保存処理について、図７を用いて説明する。

図７に記載の更新進捗のデータを保存処理は、前記実施例１の図４Ａ～図４Ｃ、前記実施例２の図６に記載の更新データ書込み処理とは独立して実施する。また、更新進捗のデータの保存処理は、プログラム更新処理部９に含まれる。

なお、実施例３では、前記実施例１、２に示した更新進捗のデータの読み出し処理は、不揮発性メモリ６のデータ格納領域７に代わって一時記憶装置５から読み出す処理とする。

まず、プログラム更新処理部９は、図７のステップ４０１に記載のように、不揮発性メモリ６への書込み条件の判定を実施し、条件が一致していればステップ４０２へ進んで、更新進捗のデータを一時記憶装置５から読み出して不揮発性メモリ６に保存する。一方、プログラム更新処理部９は、書き込み条件が所定の書き込み条件と不一致であれば、再度、書込み条件を満たすかを監視する。

なお、書込み条件は、予め定義した周期でもよいし、外部装置１２から受信する制御信号に特定の値が含まれている場合でもよい。

以上、実施例３によれば、前記実施例１、２の効果に加えて、不揮発性メモリ６に更新進捗のデータを書き込む回数を低減することが可能となり、不揮発性メモリ６の利用期間を増大することができる。なお、実施例３は実施例１、又は実施例２と組合わせ実施可能である。

前記実施例１、実施例２において、更新データの所定のサイズが小さい場合、更新進捗データの不揮発性メモリ６への保存回数が増加する。不揮発性メモリ６では、更新進捗のデータを特定の固定領域に保存すると、その領域については、書換え回数上限への到達時間が短くなる。そのため、実施例４では、不揮発性メモリ６内で更新進捗のデータを格納する領域を動的に変更するプログラムの更新処理を提供する。

実施例４では、前記実施例１の図４Ｂ、前記実施例２の図６Ｂのステップ３１３に記載の更新進捗のデータの書込み処理、又は前記実施例３の図７のステップ４０２に記載の更新進捗のデータの書込み処理において、更新進捗のデータを格納する領域を不揮発性メモリ６内で動的に変更（切替え）する。実施例４における、更新進捗のデータの保存処理について、図８を用いて説明する。図８は、更新進捗のデータを不揮発性メモリに保存する処理の一例を示す図である。

実施例４では、図８のデータ格納領域７－Ａ、７－Ｂとして記載したように、データ格納領域７を。Ａｃｔｉｖｅ領域とＳｔａｎｄｂｙ領域の２つの領域に分割する。Ａｃｅｉｖｅ領域は、データ格納領域７に書込み要求があった場合に、データ書込みを実施する領域である。このとき、Ｓｔａｎｄｂｙ領域への書込みは実施しない。

図８において、データ格納領域７は、Ｓｔｅｐ１～Ｓｔｅｐ３の３段階で領域７－Ａ、７－Ｂが動的に変化する例を示す。

図８に記載のＳｔｅｐ１は、Ａｃｔｉｖｅ領域（７－Ａ）に各種データが保存されており、Ｓｔａｎｄｂｙ領域（７－Ｂ）のデータは消去されている状態である。

この状態から図８のＳｔｅｐ２で、図中「Ａ２」のデータをデータ格納領域７へ保存する場合、プログラム更新処理部９は、最後の保存データ「Ｃ１」の次の領域に保存する。
同じデータ種別である「Ａ１」が保存されている領域への上書きは実施しない。以降のデータについても、プログラム更新処理部９は、最後の保存データの次の領域に保存する。

Ａｃｔｉｖｅ領域の保存データ量が、図８に記載の領域切替え閾値ＴＨａを超過すると、プログラム更新処理部９は、図８に記載のＳｔｅｐ３で、Ａｃｔｉｖｅ領域とＳｔａｎｄｂｙ領域の切替えを実施する。

切替えの際には、プログラム更新処理部９が旧Ａｃｔｉｖｅ領域（７－Ａ）のデータ種別毎の最新データを、新Ａｃｔｉｖｅ領域（７－Ｂ）にコピーし、旧Ａｃｔｉｖｅ領域（７－Ａ）のデータは消去する。

その後、プログラム更新処理部９は、新Ａｃｔｉｖｅ領域（７－Ｂ）に対して、旧Ａｃｔｉｖｅ領域と同様の方法で更新進捗のデータ保存を実施する。新Ａｃｔｉｖｅ領域（７－Ｂ）において、図８に記載の領域切替え閾値ＴＨａを超過した場合、プログラム更新処理部９は、再度、Ａｃｔｉｖｅ領域とＳｔａｎｄｂｙ領域の切替えを実施する。

以上、実施例４によれば、不揮発性メモリ６のデータ格納領域７において特定領域の書換え回数を低減することが可能となり、不揮発性メモリ６の利用期間を増大することができる。なお、実施例４は実施例１、又は実施例２、又は実施例３と組合わせて実施可能である。

前記実施例１、実施例２、実施例３、実施例４では、無線によるプログラム更新は、外部装置１２から更新再開要求を受信して、電子制御装置１がプログラムの更新を再開する。

有線によるプログラム更新では、専用装置（例えば、ダイアグノスティックス）を車両に接続して更新プログラムを転送するが、周知又は公知の専用装置には更新再開の機能は搭載されていない。そのため、プログラム更新中に電子制御装置１への給電が停止した場合は、プログラム更新を初めからやり直す必要がある。

また、有線によるプログラム更新処理は無線と比較して高速であるため、給電が停止されない期間でプログラム更新を実施し、給電の停止が予期できる場合はプログラムの更新を停止して、再度給電が安定したときにプログラムの更新をやり直したほうが、更新失敗のリスクを低減することができる。

また、有線によるプログラム更新処理は、車両の整備工場などで専用装置１４の操作を習得した作業者が実施するため、プログラムの更新処理が中断したことを的確に認識して、再度プログラムの更新を実施することができる。

以上より実施例５では、無線によるプログラム更新は、前記実施例１、実施例２、実施例３、実施例４に記載のプログラム更新処理を実施するが、有線によるプログラム更新は、給電が停止されない間に実施し、給電の停止が予測される場合は、プログラムの更新処理を停止する。

図９は、車両に搭載された電子制御装置を含む電子制御システムの一例を示すブロック図である。実施例５の電子制御装置１には、前記実施例１の図１に示した外部ＥＣＵ１３に代わって専用装置１４が通信インターフェース４に有線で接続される。上述したように、専用装置１４はダイアグノスティックスなどで構成される。その他の構成は、前記実施例１と同様である。

専用装置１４を用いた有線によるプログラム更新処理について、図９のタイムチャートを用いて説明する。なお、図２に記載のタイムチャートと同様の内容は省略する。

図１０は、電子制御装置の給電状態１０１と、車両の電源状態１０２と、前記実施例１に示したプログラム更新処理１０３ａと、有線によるプログラム更新処理の第１の処理１０３ｂと、有線によるプログラム更新処理の第２の処理１０３ｃと時刻の関係を示している。なお、プログラム更新処理の第２の処理１０３ｃは、プログラム更新処理の第１の処理１０３ｂの変形例を示しており、同時に実行される処理ではない。

外部装置１２からの更新要求が有線、又は無線であるかの判定は、通信規格のフレーム、又はプロトコルのヘッダ、又はペイロードに含まれる情報により判定可能である。もしくは、外部装置１２と電子制御装置１との間で、無線によるプログラム更新、有線によるプログラム更新、それぞれ専用のセッションを予め確立してもよい。

図１０の時刻Ｔ１は、車両の電源状態１０２が不安定であるため、電子制御装置１は、有線によるプログラム更新処理の第１の処理１０３ｂや、有線によるプログラム更新処理の第２の処理１０３ｃは実施しない。例えば、電子制御装置１は、外部装置１２からの更新要求や、更新データ転送要求を破棄し、又は拒否の応答を返す。

また、プログラム更新処理部９からプログラム更新対象部１０への書込みを中止する。
車両の電源状態１０２は、実施例１、実施例２、実施例３、実施例４では取得しなくてもよいが、実施例５では取得する必要がある。

図１０の時刻Ｔ２では、車両の電源状態１０２が安定しているため、有線によるプログラム更新処理の第１の処理１０３ｂと、有線によるプログラム更新処理の第２の処理１０３ｃを実施する。有線によるプログラム更新処理は、更新再開の機能がないため更新進捗のデータは保存しなくてもよい。

図１０の時刻Ｔ３は、車両の電源状態１０２が安定から不安定に遷移するため、時刻Ｔ１と同様に、有線によるプログラム更新処理の第１の処理１０３ｂは中断する。ただし車両の電源状態１０２が不安定であっても、安定から不安定の状態に遷移後の一定時間（例えば、Ｔ３からＴ３Ａの間）は、給電が保証されている場合がある。

例えば、イグニッションがＯＦＦとなった後の数分間は電源２への給電が保証されている。この場合は、有線によるプログラム更新処理の第２の処理１０３ｃに記載のように、プログラム更新処理を継続する。

図１０の時刻Ｔ３Ａは、給電の保障時間が終了した状態であるため、時刻Ｔ１と同様に、有線によるプログラム更新処理の第２の処理１０３ｃを停止する。給電の保障時間は電子制御装置１で予め定義しておき、車両の電源状態が安定から不安定状態に遷移した後（Ｔ３）の時間をカウントし、カウントが定義値（Ｔ３Ａ）を超過したことを条件としてプログラム更新処理を停止すればよい。

以上実施例５によれば、有線によるプログラム更新と、無線によるプログラムの更新処理の内容を切替えて、それぞれのケースに適したプログラム更新が実施可能である。なお実施例５は、実施例１、又は実施例２、又は実施例３、又は実施例４と組合わせて実施可能である。

＜結び＞
以上のように、上記実施例の電子制御装置及び電子制御システムは、以下のような構成とすることができる。

（１）外部からの給電がＯＮ又はＯＦＦにされる電源（２）と、外部装置（１３）と通信する通信インターフェース（４）と、プログラムとデータを保持する不揮発性メモリ（６）と、前記プログラムを実行する演算部（３）と、を有する車両の電子制御装置（１）であって、前記不揮発性メモリ（６）は、前記プログラムを格納するプログラム格納領域（８）と、データを格納するデータ格納領域（７）を含み、前記プログラム格納領域（８）は、更新処理を行うプログラム更新処理部（９）と、更新プログラムを格納するプログラム更新対象部（１０）を有し、前記演算部（３）は、前記プログラムとして前記プログラム更新処理部（９）を読み込んで実行し、前記通信インターフェース（４）で受信した更新プログラムを所定サイズに分割して、前記分割された更新プログラムを前記プログラム更新対象部（１０）に書込み、前記演算部（３）は、前記書込みが完了した前記更新プログラムの位置を示す更新進捗のデータを前記データ格納領域（７）に格納することを特徴とする電子制御装置。

上記構成により、電子制御装置１は、プログラムの更新中に給電が停止して、不揮発性メモリ６のプログラム更新対象部１０に不正データが残留した場合においても、給電が再開された場合にはデータ格納領域７に格納された更新進捗のデータに基づいてプログラム更新対象部１０の書込みの再開位置を決定できる。電子制御装置１は、プログラム更新対象部１０内の不正データを更新データで上書きして、プログラムの更新処理を続行することが可能となる。これにより、電子制御装置１が、電源状態を確実に取得できない構成であってもプログラムの更新処理が実施可能となる。

（２）上記（１）に記載の電子制御装置であって、前記演算部（３）は、前記電源（２）への給電がＯＦＦとなって書込みが中断した後に、前記電源（２）への給電がＯＮとなった場合に、前記データ格納領域（７）から前記更新進捗のデータを読み込んで、前記書込みが完了した領域の次の領域又は前記書込みが中断した領域の先頭から前記書換えを再開することを特徴とする電子制御装置。

上記構成により、給電が再開された場合には演算部３がデータ格納領域７に格納された更新進捗のデータに基づいてプログラム更新対象部１０における書込みの再開位置を決定し、不正データを更新データで上書きして、プログラムの更新処理を続行することが可能となる。

（３）上記（１）に記載の電子制御装置であって、前記通信インターフェース（４）は、イグニッションの状態を示す情報を受信し、前記演算部（３）は、前記イグニッションの状態を示す情報がＯＦＦであっても前記電源（２）に給電されている間は、前記書込みを継続することを特徴とする電子制御装置。

上記構成により、イグニッションがＯＦＦとなった後の数分間は電源２への給電が保証されている場合は、プログラム更新処理を継続することでプログラムの更新処理を推進することができる。

（４）上記（１）に記載の電子制御装置であって、前記所定サイズは、前記更新プログラムが分割して配信される場合は、前記分割の単位とすることを特徴とする電子制御装置。

上記構成により、電子制御装置１は、外部装置１２から更新プログラムが分割されて送信される場合には、分割されたサイズを所定サイズとすることで、プログラム更新対象部１０に書き込むことができる。

（５）上記（１）に記載の電子制御装置であって、前記所定サイズは、前記通信インターフェース（４）で受信したデータサイズ単位とすることを特徴とする電子制御装置。

上記構成により、電子制御装置１は、通信インターフェース４で受信した更新プログラムのサイズを所定サイズとすることで、プログラム更新対象部１０に書き込むことができる。

（６）上記（１）に記載の電子制御装置であって、前記所定サイズは、前記不揮発性メモリ（６）への書込み単位とすることを特徴とする電子制御装置。

上記構成により、電子制御装置１は、不揮発性メモリ６への書込み単位を所定サイズとすることで、プログラム更新対象部１０への書込みを効率よく行うことができる。

（７）上記（１）に記載の電子制御装置であって、前記演算部（３）は、前記データ格納領域（７）内に設定した複数の領域を動的に切替えて前記更新進捗のデータを書き込むことを特徴とする電子制御装置。

上記構成により、電子制御装置１は、不揮発性メモリ６の複数の領域を切替えて書込みを行うことで、特定の個所（領域）に書込みが集中するのを抑制し、不揮発性メモリ６の利用期間を延長することができる。

（８）上記（１）に記載の電子制御装置であって、揮発性の記憶媒体で構成された一時記憶装置（５）をさらに有し、前記演算部（３）は、前記更新進捗のデータを前記一時記憶装置（５）に格納した後、所定のタイミングで前記データ格納領域（７）に書込むことを特徴とする電子制御装置。

上記構成により、更新データの所定サイズが小さい場合、更新進捗データの不揮発性メモリ６への書込み回数が増大し、不揮発性メモリ６の書換え回数上限への到達時間が短くなるのを抑制する。このため、揮発性の記憶媒体で構成された一時記憶装置５に更新進捗のデータを書き込んでから、所定のタイミングで不揮発性メモリ６のデータ格納領域７へ書き込むことで、不揮発性メモリ６への書込み回数を低減することが可能となる。

（９）外部からの給電がＯＮ又はＯＦＦにされる電源（２）と、外部装置（１３）と通信する通信インターフェース（４）と、プログラムとデータを保持する不揮発性メモリ（６）と、前記プログラムを実行する演算部（３）と、を有する電子制御装置（１）と、無線通信部を有して更新プログラムを受信して前記電子制御装置（１）に当該更新プログラムを送信する外部装置（１３）と、を有する電子制御システムであって、前記不揮発性メモリ（６）は、前記プログラムを格納するプログラム格納領域（８）と、データを格納するデータ格納領域（７）を含み、前記プログラム格納領域（８）は、更新処理を行うプログラム更新処理部（９）と、更新プログラムを格納するプログラム更新対象部（１０）を有し、前記演算部（３）は、前記プログラムとして前記プログラム更新処理部（９）を読み込んで実行し、前記通信インターフェース（４）が前記外部装置（１３）から受信した前記更新プログラムを所定サイズに分割して、前記分割された更新プログラムを前記プログラム更新対象部（１０）に書込み、前記演算部（３）は、前記書込みが完了した前記更新プログラムの位置を示す更新進捗のデータを前記データ格納領域（７）に格納することを特徴とする電子制御システム。

上記構成により、上記構成により、電子制御装置１は、プログラムの更新中に給電が停止して、不揮発性メモリ６のプログラム更新対象部１０に不正データが残留した場合においても、給電が再開された場合にはデータ格納領域７に格納された更新進捗のデータに基づいてプログラム更新対象部１０の書込みの再開位置を決定できる。電子制御装置１は、プログラム更新対象部１０内の不正データを更新データで上書きして、プログラムの更新処理を続行することが可能となる。これにより、電子制御装置１が、電源状態を確実に取得できない構成であってもプログラムの更新処理が実施可能となる。

（１０）上記（９）に記載の電子制御システムであって、前記演算部（３）は、前記電源（２）への給電がＯＦＦとなって書込みが中断した後に、前記電源（２）への給電がＯＮとなった場合に、前記データ格納領域（７）から前記更新進捗のデータを読み込んで、前記書込みが完了した領域の次の領域又は前記書込みが中断した領域の先頭から前記書換えを再開することを特徴とする電子制御システム。

（１１）上記（９）に記載の電子制御システムであって、前記電子制御装置（１）に有線で接続された専用装置（１４）をさらに有し、前記通信インターフェース（４）は、前記専用装置（１４）から有線通信により前記更新プログラムを受信し、前記演算部（３）は、前記専用装置（１４）から受信した場合には、前記更新プログラムを前記プログラム更新対象部（１０）に書込むことを特徴とする電子制御システム。

上記構成により、外部装置１２からの無線によるプログラム更新処理では、書込みが完了すると前記更新進捗のデータを不揮発性メモリ６へ書き込むが、専用装置１４から更新プログラムを受信した場合には、そのまま不揮発性メモリ６のプログラム更新対象部１０へ書き込むことで、プログラムの更新処理を迅速に行うことができる。

（１２）上記（１１）に記載の電子制御システムであって、前記通信インターフェース（４）は、イグニッションの状態を示す情報を受信し、前記演算部（３）は、前記イグニッションの状態がＯＦＦの情報を受信した場合には、前記外部装置（１３）からの更新プログラムの更新要求を拒否することを特徴とする電子制御システム。

上記構成により、イグニッションの状態を示す情報がＯＦＦとなった場合には、前記外部装置（１３）からの更新プログラムの更新要求を拒否することで、専用装置１４からのｐプログラムの更新処理を実行することができる。

（１３）上記（１２）に記載の電子制御システムであって、前記演算部（３）は、前記イグニッションの状態がＯＦＦの情報を受信した場合には、前記ＯＦＦの情報を受信してからの時間をカウントし、前記時間が所定時間になるまで前記書込みを継続した後、前記専用装置からの前記書込みを停止することを特徴とする電子制御システム。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。
例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１電子制御装置
２電源
３演算部
４一時記憶領域
５通信インターフェース
６不揮発性メモリ
７データ格納領域
８プログラム格納領域
９プログラム更新処理部
１０プログラム更新対象部
１１外部給電装置
１２外部装置
１３外部ＥＣＵ
１４専用装置

Claims

外部からの給電がＯＮ又はＯＦＦにされる電源と、
外部装置と通信する通信インターフェースと、
プログラムとデータを保持する不揮発性メモリと、
前記プログラムを実行する演算部と、を有する車両の電子制御装置であって、
前記不揮発性メモリは、
前記プログラムを格納するプログラム格納領域と、データを格納するデータ格納領域を含み、
前記電子制御装置は、
更新処理を行うプログラム更新処理部と、
更新プログラムを格納するプログラム更新対象部と、
前記通信インターフェースを介して受信した前記更新プログラム、前記更新プログラムのデータ長を示すデータ長情報、及び前記通信インターフェースを介して受信した前記更新プログラムを前記プログラム更新対象部に書込む前のデータ量を示すバッファリングサイズを一時的に格納する一時記憶部とを有し、
前記演算部は、
前記プログラムとして前記プログラム更新処理部を読み込んで実行し、
前記バッファリングサイズが０か否かを判定し、
前記バッファリングサイズが０ではない場合は前記通信インターフェースで受信し前記一時記憶部に格納された更新プログラムを所定サイズに分割して、前記分割された更新プログラムを前記プログラム更新対象部に書込み、
前記書込みが完了した前記更新プログラムの位置を示す更新進捗のデータを前記データ格納領域に格納し、前記データ長情報に基づき前記バッファリングサイズを減算し、
前記バッファリングサイズが０である場合は、前記更新プログラムが全て書き込まれたか否かを判定することを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記演算部は、
前記電源への給電がＯＦＦとなって書込みが中断した後に、前記電源への給電がＯＮとなった場合に、前記データ格納領域から前記更新進捗のデータを読み込んで、前記書込みが完了した領域の次の領域又は前記書込みが中断した領域の先頭から前記書込みを再開することを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記通信インターフェースは、
イグニッションの状態を示す情報を受信し、
前記演算部は、
前記イグニッションの状態を示す情報がＯＦＦであっても前記電源に給電されている間は、前記書込みを継続することを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記所定サイズは、前記更新プログラムが分割して配信される場合は、前記分割の単位とすることを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記所定サイズは、前記通信インターフェースで受信したデータサイズ単位とすることを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記所定サイズは、前記不揮発性メモリへの書込み単位とすることを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
前記演算部は、
前記データ格納領域内に設定した複数の領域を動的に切替えて前記更新進捗のデータを書き込むことを特徴とする電子制御装置。
請求項１に記載の電子制御装置であって、
揮発性の記憶媒体で構成された一時記憶装置をさらに有し、
前記演算部は、
前記更新進捗のデータを前記一時記憶装置に格納した後、所定のタイミングで前記データ格納領域に書込むことを特徴とする電子制御装置。
外部からの給電がＯＮ又はＯＦＦにされる電源と、外部装置と通信する通信インターフェースと、プログラムとデータを保持する不揮発性メモリと、前記プログラムを実行する演算部と、を有する電子制御装置と、
無線通信部を有して更新プログラムを受信して前記電子制御装置に当該更新プログラムを送信する外部装置と、を有する電子制御システムであって、
前記不揮発性メモリは、
前記プログラムを格納するプログラム格納領域と、データを格納するデータ格納領域を含み、
前記電子制御装置は、
更新処理を行うプログラム更新処理部と、
更新プログラムを格納するプログラム更新対象部と、
前記通信インターフェースを介して受信した前記更新プログラム、前記更新プログラムのデータ長を示すデータ長情報、及び前記通信インターフェースを介して受信した前記更新プログラムを前記プログラム更新対象部に書込む前のデータ量を示すバッファリングサイズを一時的に格納する一時記憶部とを有し、
前記演算部は、
前記プログラムとして前記プログラム更新処理部を読み込んで実行し、
前記バッファリングサイズが０か否かを判定し、
前記バッファリングサイズが０ではない場合は前記通信インターフェースが前記外部装置から受信し前記一時記憶部に格納された更新プログラムを所定サイズに分割して、前記分割された更新プログラムを前記プログラム更新対象部に書込み、
前記書込みが完了した前記更新プログラムの位置を示す更新進捗のデータを前記データ格納領域に格納し、前記データ長情報に基づき前記バッファリングサイズを減算し、
前記バッファリングサイズが０である場合は、前記更新プログラムが全て書き込まれたか否かを判定することを特徴とする電子制御システム。
請求項９に記載の電子制御システムであって、
前記演算部は、
前記電源への給電がＯＦＦとなって書込みが中断した後に、前記電源への給電がＯＮとなった場合に、前記データ格納領域から前記更新進捗のデータを読み込んで、前記書込みが完了した領域の次の領域又は前記書込みが中断した領域の先頭から前記書込みを再開することを特徴とする電子制御システム。
請求項９に記載の電子制御システムであって、
前記電子制御装置に有線で接続された専用装置をさらに有し、
前記通信インターフェースは、
前記専用装置から有線通信により前記更新プログラムを受信し、
前記演算部は、
前記専用装置から受信した前記更新プログラムを前記プログラム更新対象部に書込むことを特徴とする電子制御システム。
請求項１１に記載の電子制御システムであって、
前記通信インターフェースは、
イグニッションの状態を示す情報を受信し、
前記演算部は、
前記イグニッションの状態がＯＦＦの情報を受信した場合には、前記外部装置からの更新プログラムの更新要求を拒否することを特徴とする電子制御システム。
請求項１２に記載の電子制御システムであって、
前記演算部は、
前記イグニッションの状態がＯＦＦの情報を受信した場合には、前記ＯＦＦの情報を受信してからの時間をカウントし、前記時間が所定時間になるまで前記書込みを継続した後、前記専用装置からの前記書込みを停止することを特徴とする電子制御システム。