JP7491765B2

JP7491765B2 - ファームウェア更新システムおよびファームウェア更新方法

Info

Publication number: JP7491765B2
Application number: JP2020127736A
Authority: JP
Inventors: 寿紀角田
Original assignee: Nichicon Corp
Current assignee: Nichicon Corp
Priority date: 2020-07-28
Filing date: 2020-07-28
Publication date: 2024-05-28
Anticipated expiration: 2040-07-28
Also published as: JP2022024904A

Description

本発明は、ファームウェアを更新するためのファームウェア更新システム、および、ファームウェア更新方法に関する。

特許文献１に記載のファームウェア実行装置は、ファームウェア情報保持部と、メモリと、更新制御部と、管理情報保持部と、起動制御部と、を備えている。ファームウェア保持部は、ファームウェアを保持するための２つの領域（ＢＡＮＫ－Ａ，ＢＡＮＫ－Ｂ）を有する。メモリは、ファームウェアの実行時の作業領域となる。更新制御部は、ファームウェアの更新のための制御を行う。管理情報保持部は、管理情報を保持する。起動制御部は、管理情報に基づいてファームウェアを起動させる。

そして、特許文献１のファームウェア実行装置では、同文献の図４に示すように、ファームウェア情報保持部の上記２つの領域のうち一方の領域に保持されたファームウェアの実行中に、ファームウェアの更新要求があると、更新制御部が、更新用のファームウェアを他方の領域に書き込む（ステップＳ１）。次に、更新制御部が、自装置を再起動させて、他方の領域に保持されたファームウェアを起動する（ステップＳ２）。また、このとき、更新後のファームウェアの動作を確認する確認処理を実行し、正常であることを確認したときに、自装置を再起動させて他方の領域に保持されたファームウェアを起動する。

次に、メモリに展開されている情報に基づくレジュームイメージを一方の領域に保持する（ステップＳ３）。次に、ファームウェアが他方の領域に保持され、レジュームイメージが一方の領域に保持されていることを、管理情報として管理情報保持部に記憶させる（ステップＳ４）。

特開２０１５－５５９１７号公報

ここで、特許文献１に記載されているようにしてファームウェアの更新を行う場合、ファームウェアの更新の途中で電源供給が遮断されてしまったときに、問題となることがある。

例えば、上記ステップＳ１、Ｓ２の実行中に電源供給が遮断されてしまった場合、ファームウェア情報保持部の一方の領域に実行ファームウェア（更新前のファームウェア）が保持され、他方の領域に更新用のファームウェアが保持されているのに対して、管理情報は、一方の領域に実行ファームウェアが保持され、他方の領域にレジュームイメージが保持されていることを示している。そのため、その後、装置が再起動されたときに、この管理情報に基づいて、一方の領域に保持された実行ファームウェアで起動することができるが、他方の領域に記憶されている更新用のファームウェアをレジュームイメージとしてメモリに展開しようとすることになり、装置を正常に起動させることができなくなってしまう。

また、上記ステップＳ３の実行中に、電源供給が遮断されてしまった場合、ファームウェア情報保持部の一方の領域にレジュームイメージが保持され、他方の領域に更新用のファームウェアが保持されているのに対して、管理情報は、一方の領域に実行ファームウェアが保持され、他方の領域にレジュームイメージが保持されていることを示している。つまり、ファームウェア情報保持部と管理情報保持部の領域に保持された情報が逆転した状態になる。そのため、その後、装置が再起動されたときに、この管理情報に基づいて、一方の領域に保持されたレジュームイメージを、実行ファームウェアとして起動させようとすることになり、装置を起動させることすらできなくなってしまう。

本発明の目的は、更新の途中で電源供給が遮断された場合でも、正常に起動することが可能なファームウェア更新装置、および、ファームウェア更新方法を提供することである。

第１の発明に係るファームウェア更新装置は、ファームウェアが記憶される記憶装置を有するマイコンと、前記マイコンに接続されるコントローラと、を備えたファームウェア更新システムであって、前記記憶装置は、前記ファームウェアがそれぞれ記憶される２つのバンクと、前記２つのバンクに対してそれぞれ設けられ、前記ファームウェアが起動可能であるか否かを示す起動可否情報を記憶する２つの可否情報記憶部と、前記ファームウェアを起動させるブートローダ、を記憶するブートローダ記憶部と、を有し、前記コントローラが、前記マイコンから、前記２つのバンクのどちらが、前記ファームウェアが動作中の動作バンクであるかの情報を取得し、前記マイコンに、前記２つのバンクのうち前記動作バンクでない非動作バンクに、更新するための前記ファームウェアのデータを送信し、前記マイコンは、前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアが起動不可能であることを示す情報とした状態で、前記非動作バンクへの前記ファームウェアのデータの書き込みを行い、前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアを起動可能であることを示す情報に変更したうえで、再起動して前記ブートローダを実行させ、前記ブートローダは、前記２つの可否情報記憶部に記憶された前記起動可否情報に基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させる。

本発明によると、ファームウェアの更新の途中のどの時点で電源供給が遮断されてしまった場合でも、ファームウェアを起動できなくなってしまうことがない。また、２つのバンクのうち一方のバンクに記憶されているファームウェアが起動できない場合でも、他方のバンクに記憶されたファームウェアを起動させることができる。すなわち、ファームウェアイメージの二重化を実現することができる。

第２の発明に係るファームウェア更新システムは、第１の発明に係るファームウェア更新システムにおいて、前記ファームウェアは、自身を識別するための識別情報を含み、前記ブートローダは、前記２つの可否情報記憶部に記憶された前記起動可否情報と、前記２つのバンクに記憶された前記ファームウェアの前記識別情報とに基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させる。

本発明によると、２つのバンクの両方においてファームウェアを起動可能な場合に、より適切なファームウェアを起動させることができる。

第３の発明に係るファームウェア更新システムは、第２の発明に係るファームウェア更新システムであって、前記識別情報は、前記ファームウェアのバージョンの情報を含み、前記ブートローダは、前記２つの可否情報記憶部に記憶された前記起動可否情報の両方が、前記ファームウェアを起動可能であることを示している情報である場合に、前記２つのバンク記憶された前記ファームウェアのうち、前記識別情報が示すバージョンが新しいほうの前記ファームウェアを起動させる。

本発明によると、２つのバンクの両方においてファームウェアを起動可能な場合に、よりバージョンの新しいほうのファームウェアを起動させことができる。

第４の発明に係るファームウェア更新システムは、第２または第３の発明に係るファームウェア更新システムであって、前記識別情報は、前記ファームウェアに対応する機器固有の情報を含み、前記ブートローダは、前記２つのバンクの各々について、前記バンクに対応する前記起動可否情報が前記ファームウェアを起動可能であることを示しており、かつ、当該バンクに記憶されている前記ファームウェアの前記識別情報に含まれる前記機器固有の情報が、前記マイコンが制御する機器の種類に対応するものである場合にのみ、当該バンクに記憶されている前記ファームウェアを起動可能と判断し、前記マイコンは、前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに書き込まれた前記ファームウェアの前記識別情報が正しいか否かを判断し、当該識別情報が正しい場合にのみ、前記非動作バンクに対して設けられた前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアを起動可能であることを示す情報に変更する。

本発明によると、非動作バンクへのファームウェアの書き込みが完了したときに、当該ファームウェアの識別情報に含まれる機器固有の情報が、マイコンが制御する機器の種類に対応するものであることを確認してから、非動作バンクに対応する起動可否情報がファームウェアを起動可能なことを示す情報に変更することができる。

第５の発明に係るファームウェア更新システムは、第１～第４のいずれかの発明に係るファームウェア更新システムであって、前記マイコンは、前記コントローラから前記ファームウェアのデータを受信したときに、前記ファームウェアのデータに問題がないか否かを判断し、前記ファームウェアのデータに問題がない場合にのみ、前記非動作バンクへの前記ファームウェアのデータの書き込みを行う。

本発明によると、非動作バンクに不正なデータが書き込まれてしまうのを防止することができる。

また、コントローラから受信したファームウェアのデータに問題がない場合にのみ、非動作バンクへのファームウェアのデータの書き込みを行うため、ファームウェアの書き込み後に、動作確認を行うための再起動などが不要となる。これにより、ファームウェアの更新を高速に行うことができる。

第６の発明に係るファームウェア更新方法は、ファームウェアが記憶される記憶装置を有するマイコンにおいて前記ファームウェアを更新するファームウェア更新方法であって、前記記憶装置が、前記ファームウェアがそれぞれ記憶される２つのバンクと、前記２つのバンクに対してそれぞれ設けられ、前記ファームウェアが起動可能であるか否かを示す起動可否情報を記憶する２つの可否情報記憶部と、前記ファームウェアを起動させるブートローダを記憶するブートローダ記憶部と、を有し、前記マイコンから、前記２つのバンクのどちらが、前記ファームウェアが起動中の動作バンクであるかの情報を取得し、前記マイコンに、前記２つのバンクのうち前記動作バンクでない非動作バンクに、更新するための前記ファームウェアのデータを送信し、前記非動作バンクに対して設けられた前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアが起動不可能であることを示す情報とした状態で、前記非動作バンクへの前記ファームウェアのデータの書き込みを行い、前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアを起動可能であることを示す情報に変更したうえで、前記マイコンを再起動させて前記ブートローダを実行して、前記ブートローダに、前記２つの可否情報記憶部に記憶された前記起動可否情報に基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させる。

本発明によれば、ファームウェアの更新中のどの時点で電源供給が遮断されてしまった場合でも、ファームウェアを起動できなくなってしまうことがない。また、ファームウェアイメージの二重化を実現することができる。

本発明の実施形態に係るファームウェア更新システムの構成を示すブロック図である。ファームウェアの更新時のコントローラにおける処理の流れを示すフローチャートである。ファームウェアの更新時のマイコンにおける処理の流れを示すフローチャートである。ブートローダの処理の流れを示すフローチャートである。内蔵フラッシュメモリの状態を説明するための図であり、（ａ）が第２可否情報記憶部に記憶される起動可否情報をファームウェアを起動不可能であることを示す情報に変更する前の状態を示し、（ｂ）が（ａ）の後、第２バンクへのファームウェアのデータの書き込みが完了するまでの状態を示し、（ｃ）が（ｂ）の後、第２可否情報記憶部に記憶される起動可否情報をファームウェアを起動可能であることを示す情報に変更する前の状態を示し、（ｄ）が（ｃ）よりも後の状態を示している。

以下、本発明の好適な実施形態について説明する。

＜ファームウェア更新システムの全体構成＞
図１に示すように、本実施形態に係るファームウェア更新システム１は、マイコン２とコントローラ３とを備えている。マイコン２は、各種の機器に設けられ、当該機器の動作を制御する。コントローラ３は、後述するようにマイコン２に記憶されたファームウェアを更新するときに、マイコン２と通信可能に接続される。

＜マイコンの構成＞
マイコン２は、内蔵フラッシュメモリ１０（本発明の「記憶装置」）を有する。内蔵フラッシュメモリ１０は、第１バンク１１と、第２バンク１２と、第１可否情報記憶部１３と、第２可否情報記憶部１４と、ブートローダ記憶部１５とを有する。なお、本実施形態では、第１バンク１１および第２バンク１２が、本発明の「２つのバンク」に相当し、第１可否情報記憶部１３および第２可否情報記憶部１４が、本発明の「２つの可否情報記憶部」に相当する。

第１バンク１１および第２バンク１２は、それぞれ、ファームウェアを記憶するための領域である。また、ファームウェアには、自身を識別するための識別情報が含まれている。識別情報には、ファームウェアに対応する機器固有の情報、ファームウェアのバージョンの情報などが含まれている。

第１可否情報記憶部１３は、第１バンク１１についての、ファームウェアを起動可能であるか否かを示す起動可否情報を記憶するための領域である。第２可否情報記憶部１４は、第２バンク１２についての、ファームウェアを起動可能であるか否かを示す起動可否情報を記憶するための領域である。

ブートローダ記憶部１５は、ブートローダを記憶するための領域である。ブートローダとは、マイコン２の起動時に実行される、ファームウェアを起動させるためのプログラムのことである。このブートローダは、後述するように、第１可否情報記憶部１３および第２可否情報記憶部に記憶された起動可否情報と、ファームウェアに含まれる識別情報とに基づいて、第１バンク１１および第２バンク１２のいずれかに記憶されたファームウェアを選択的に起動させる。

＜ファームウェアの更新時の処理＞
次に、ファームウェア更新システム１において、ファームウェアを更新するための処理の流れについて説明する。本実施形態では、マイコン２が、ブートローダによって起動された、第１バンク１１および第２バンク１２のいずれかに記憶されたファームウェアに基づいて機器の制御を行っている状態で、ファームウェアの更新を行う。

ファームウェア更新システム１において、ファームウェアを更新するときには、コントローラ３をマイコン２と通信可能に接続する。ここで、コントローラ３には、第１バンク１１用の更新ファームウェアデータと、第２バンク用の更新ファームウェアデータとが記憶されている。第１バンク１１用の更新ファームウェアデータとは、第１バンク１１上で動作する、更新するためのファームウェアのデータである。第２バンク１２用の更新ファームウェアデータとは、第２バンク１２上で動作する、更新するためのファームウェアのデータである。

第１バンク１１用の更新ファームウェアデータと第２バンク用の更新ファームウェアデータとでは、ファームウェアの内容は同じであるが、内蔵フラッシュメモリ１０における、ファームウェアの実行アドレスが異なる。また、第１バンク１１および第２バンク１２用の更新ファームウェアデータにも、上記識別情報が含まれている。

そして、コントローラ３がマイコン２に接続されたファームウェア更新システム１では、例えば、作業者がファームウェアの更新を開始させるための適宜の操作を行うことにより、コントローラ３に、図２のフローに示す処理を開始させる。

図２は、ファームウェアの更新時のコントローラにおける処理の流れを示すフローチャートである。図２のフローについてより詳細に説明すると、コントローラ３は、まず、マイコン２に動作バンクの問い合わせを行う（Ｓ１０１）。動作バンクの問い合わせとは、第１バンク１１および第２バンク１２のどちらが、ファームウェアが起動中の動作バンクであるかについての問い合わせのことである。

また、コントローラ３によりＳ１０１の動作バンクの問い合わせが行われると、マイコン２は、図３のフローに示す処理を開始する。図３は、ファームウェアの更新時のマイコンにおける処理の流れを示すフローチャートである。図３のフローについてより詳細に説明すると、マイコン２は、まず、コントローラ３のＳ１０１の問い合わせに対して、第１バンク１１および第２バンク１２のどちらが動作バンクであるかの情報（以下、「動作バンクの情報」とすることがある）をコントローラ３に送信する（Ｓ２０１）。このとき、マイコンは、例えば、内蔵フラッシュメモリ１０の、動作しているファームウェアの識別情報が配置されているアドレスに基づいて、第１バンク１１および第２バンク１２のどちらが動作バンクであるかを判断する。

図２に示すように、コントローラ３は、Ｓ１０１の動作バンクの問い合わせの後、マイコン２から動作バンクの情報を受信するまで待機する（Ｓ１０２：ＮＯ）。そして、コントローラ３は、マイコン２から動作バンクの情報を受信したときに（Ｓ１０２：ＹＥＳ）、ファームウェア更新の開始指示をマイコン２に送信する（Ｓ１０３）。

図３に示すように、マイコン２は、Ｓ２０１で動作バンクの情報を送信した後、コントローラ３からファームウェア更新の開始指示を受信するまで待機する（Ｓ２０２：ＮＯ）。そして、マイコン２は、コントローラ３からファームウェア更新の開始指示を受信したときに（Ｓ２０２：ＹＥＳ）、第１バンク１１及び第２バンク１２のうち動作バンクでない非動作バンクに対応する可否情報記憶部（第１可否情報記憶部１３および第２可否情報記憶部１４のいずれか）に記憶されている起動可否情報を、ファームウェアが起動不可能であることを示す情報に変更したうえで（Ｓ２０３）、ファームウェア更新の開始応答をコントローラ３に送信する（Ｓ２０４）。

コントローラ３は、図２に示すように、Ｓ１０３のファームウェア更新開始指示の送信後、ファームウェア更新の開始応答を受信するまで待機する（Ｓ１０４：ＮＯ）。そして、ファームウェア更新の開始応答の信号を受信したときに（Ｓ１０４：ＹＥＳ）、コントローラ３は、非動作バンク用の更新ファームウェアデータをマイコン２に送信する（Ｓ１０５）。

マイコン２は、図３に示すように、Ｓ２０４のファームウェア更新の開始応答の送信後、更新ファームウェアデータを受信するまで待機し（Ｓ２０５：ＮＯ）、更新ファームウェアデータを受信したときに（Ｓ２０５：ＹＥＳ）、受信した更新ファームウェアデータに問題がないか否かを判定する（Ｓ２０６）。Ｓ２０６では、例えば、マイコン２は、受信した更新ファームウェアデータが不正なデータである場合、受信した更新ファームウェアデータの書き込みアドレスが不正である場合、受信した更新ファームウェアデータの定量毎のチェックサムの結果が異常である場合などに、受信した更新ファームウェアデータに問題があると判定する。

受信した更新ファームウェアデータに問題がある場合には（Ｓ２０６：ＮＯ）、マイコン２は、エラー信号をコントローラ３に出力し（Ｓ２０７）、更新処理を終了する。受信した更新ファームウェアデータに問題がない場合には（Ｓ２０６：ＹＥＳ）、マイコン２は、非動作バンクへの更新ファームウェアデータの書き込みを行う（Ｓ２０８）。そして、非動作バンクへの更新ファームウェアデータの書き込みが完了したときに、マイコン２は、更新ファームウェアデータの書き込みが完了したことを示す更新データ応答を、コントローラ３に送信する（Ｓ２０９）。

コントローラ３は、図２に示すように、Ｓ１０５で更新ファームウェアデータを送信した後、エラー信号を受信していなければ（Ｓ１０８：ＮＯ）、更新データ応答を受信するまで待機する（Ｓ１０６：ＮＯ）。また、更新データ応答の受信の待機中に（Ｓ１０６：ＮＯ）、エラー信号を受信したときには（Ｓ１０８：ＹＥＳ）、処理を終了する。そして、更新データ応答を受信したときに（Ｓ１０６：ＹＥＳ）、コントローラ３は、全ての更新ファームウェアデータの送信が完了したか否かを判定する（Ｓ１０７）。

ここで、本実施形態では、コントローラ３が、Ｓ１０５において、更新ファームウェアデータを一部分ずつ分割して送信している。Ｓ１０７では、上述したように分割して送信する更新ファームウェアデータが全て送信されたか否かを判定する。

そして、全ての更新ファームウェアデータの送信が完了していない場合には（Ｓ１０７：ＮＯ）、Ｓ１０５に戻り、全ての更新ファームウェアデータの送信が完了したときに（Ｓ１０７：ＹＥＳ）、処理を終了する。

一方、マイコン２は、図３に示すように、Ｓ２０９の更新データ応答の送信後、全ての更新ファームウェアデータの受信が完了したか否かを判定する（Ｓ２１０）。ここで、本実施形態では、上述したようにコントローラ３から分割された更新ファームウェアデータの一部分を受信する毎に、その都度、受信したデータを非動作バンクに書き込む。これにより、マイコン２に、受信した更新ファームウェアデータを一時的に記憶しておくために別途メモリなどを設ける必要がない。そして、Ｓ２１０では、上述したように分割されてコントローラ３から送られてきた更新ファームウェアデータの全てのデータを受信したか否かを判定する。

全ての更新ファームウェアデータの受信が完了していない場合には（Ｓ２１０：ＮＯ）、Ｓ２０５に戻る。全ての更新ファームウェアデータの受信が完了したときには（Ｓ２１０：ＹＥＳ）、マイコン２は、非動作バンクに書き込まれた更新ファームウェアデータに含まれる識別情報に問題がないか否かを判定する（Ｓ２１１）。Ｓ２１１では、例えば、当該識別情報が示す機器固有情報が、マイコン２が制御する機器に対応するものでない場合に、識別情報に問題があると判定する。

識別情報に問題がある場合には（Ｓ２１１：ＮＯ）、マイコン２は、エラー信号をコントローラ３に出力し（Ｓ２０７）、更新処理を終了する。識別情報に問題がない場合には（Ｓ２１１：ＹＥＳ）、マイコン２は、非動作バンクに対応する可否情報記憶部に記憶されている起動可否情報を、ファームウェアを起動可能であることを示す情報に変更したうえで（Ｓ２１２）、再起動処理を行う（Ｓ２１３）。再起動処理では、現在起動中のファームウェアを終了させたうえで、ブートローダを起動させる。

Ｓ２１３の再起動処理で起動されたブートローダは、図４のフローに沿って処理を行う。なお、ブートローダは、マイコン２が制御している機器の電源がオンになったときなど、Ｓ２１３の再起動処理以外のマイコン２の起動時においても図４のフローに沿って処理を行う。

図４のフローについてより詳細に説明すると、ブートローダは、第１可否情報記憶部１３および第２可否情報記憶部１４に記憶された起動可否情報と、第１バンク１１および第２バンク１２に記憶されたファームウェアの識別情報とに基づいて、第１バンク１１および第２バンク１２のそれぞれについて、ファームウェアを起動可能か否かを判断する。

具体的には、ブートローダは、第１可否情報記憶部１３に記憶された起動可否情報が、ファームウェアを起動可能なことを示しており、かつ、第１バンク１１に記憶されたファームウェアの識別情報に含まれる機器固有情報が、マイコン２によって制御される機器の種類に対応している場合に、第１バンク１１に記憶されているファームウェアを起動可能であると判断する。

同様に、ブートローダは、第２可否情報記憶部１４に記憶された起動可否情報が、ファームウェアを起動可能なことを示しており、かつ、第２バンク１２に記憶されたファームウェアの識別情報に含まれる機器固有情報が、マイコン２によって制御される機器の種類に対応している場合に、第２バンク１２に記憶されているファームウェアを起動可能であると判断する。

そして、第１バンク１１および第２バンク１２のうち、第１バンク１１についてのみファームウェアを起動可能な場合には（Ｓ３０１：ＹＥＳ）、ブートローダは、第１バンク１１に記憶されたファームウェアを起動させる（Ｓ３０２）。

また、第１バンク１１および第２バンク１２のうち、第２バンク１２についてのみファームウェアを起動可能な場合には（Ｓ３０１：ＮＯ、Ｓ３０３：ＹＥＳ）、ブートローダは、第２バンク１２に記憶されたファームウェアを起動させる（Ｓ３０４）。

第１バンク１１および第２バンク１２の両方についてファームウェアを起動可能な場合には（Ｓ３０１：ＮＯ、Ｓ３０３：ＮＯ、Ｓ３０５：ＹＥＳ）、ブートローダは、第１バンク１１および第２バンク１２に記憶されたファームウェアの識別情報に含まれるバージョンの情報に基づいて、どちらのバンクに記憶されたファームウェアのバージョンがより新しいかを判断する（Ｓ３０６）。

そして、第１バンク１１に記憶されたファームウェアのバージョンのほうが新しい場合には（Ｓ３０６：ＹＥＳ）、ブートローダは、第１バンク１１に記憶されたファームウェアを起動させる（Ｓ３０２）。一方、第２バンク１２に記憶されたファームウェアのバージョンのほうが新しい場合には（Ｓ３０６：ＮＯ）、ブートローダは、第２バンク１２に記憶されたファームウェアを起動させる（Ｓ３０４）。

第１バンク１１および第２バンク１２の両方についてファームウェアが起動不可能な場合には（Ｓ３０１：ＮＯ、Ｓ３０３：ＮＯ、Ｓ３０５：ＮＯ）、ブートローダはエラー信号を出力して（Ｓ３０７）、処理を終了する。

＜更新途中に電源供給が遮断した場合のマイコンの状態＞
次に、上述したようにしてファームウェアを更新している途中の各時点において停電等によって電源供給が遮断してしまった場合の内蔵フラッシュメモリ１０の状態について説明する。なお、ここでは、第１バンク１１に記憶されたファームウェアの動作中に、第２バンク１２への更新ファームウェアデータの書き込みを行う場合、すなわち、第１バンク１１が動作バンクであり、第２バンク１２が非動作バンクである場合を例に挙げて説明する。

まず、Ｓ１０１～Ｓ１０３、Ｓ２０１～Ｓ２０３のいずれかの処理の途中に、電源供給が遮断されてしまった場合を考える。

この場合には、第１バンク１１および第２バンク１２に記憶されているファームウェアのデータ、および、第１可否情報記憶部１３および第２可否情報記憶部１４に記憶されている起動可否情報に対する変更等が行われていない。したがって、図５（ａ）に示すように、第１バンク１１に、それまで動作していたファームウェアが記憶され、第２バンク１２に更新前のファームウェアが記憶され、可否情報記憶部１３、１４に記憶された起動可否情報の両方が、ファームウェアを起動可能であることを示している。

そのため、電源供給が回復し、マイコン２が再起動されたときに、ブートローダが、図４のフローに沿って処理を行うことにより、第１バンク１１記憶されたファームウェアを起動させることになり、問題がない。

ここで、図５（ａ）においては、第１バンク１１、第２バンク１２、第１可否情報記憶部１３および第２可否情報記憶部１４の括弧書きの内容が、各部分に記憶されている内容を示している。また、図５（ａ）中の「ＦＷ」とはファームウェアのことである。以下に説明する図５（ｂ）～（ｄ）についても同様である。

次に、Ｓ１０４～Ｓ１０７、Ｓ２０４～Ｓ２１０のいずれかの処理の途中に、電源供給が遮断された場合を考える。

この場合には、図５（ｂ）に示すように、第１バンク１１に、それまで動作していたファームウェアが記憶され、第１可否情報記憶部１３に記憶された起動可否情報が、ファームウェアを起動可能であることを示している。一方で、第２バンク１２においては、更新前のファームウェアが記憶された状態、または、ファームウェアの更新途中の状態となっているのに対して、第２可否情報記憶部１４に記憶された起動可否情報が、ファームウェアを起動不可能であることを示している。

次に、Ｓ２１１、Ｓ２１２のいずれかの処理の途中に、電源供給が遮断された場合を考える。

この場合には、図５（ｃ）に示すように、第１バンク１１に、それまで動作していたファームウェアが記憶され、第１可否情報記憶部１３に記憶された起動可否情報が、ファームウェアを起動可能であることを示しているが、第２可否情報記憶部１４に記憶された起動可否情報が、ファームウェアを起動不可能であることを示している。

そのため、電源供給が回復し、マイコン２が再起動されたときに、ブートローダが、図４のフローに沿って処理を行うことにより、第１バンク１１に記憶されたファームウェアを起動させることになり、問題がない。

また、Ｓ２１２の処理が完了した後に、電源供給が遮断された場合には、図５（ｄ）に示すように、第１バンク１１に、それまで動作していたファームウェアが記憶され、第２バンク１２に更新後のファームウェアが記憶され、可否情報記憶部１３、１４に記憶された起動可否情報の両方が、ファームウェアを起動可能であることを示している。そのため、電源供給が回復し、マイコン２が再起動されたときに、ブートローダが、図４のフローに沿って処理を行うことにより、第１バンク１１および第２バンク１２に記憶されたファームウェアのうち、バージョンの新しい方のファームウェアが起動される。

これにより、第２バンク１２に記憶された更新後のファームウェアが、第１バンク１１に記憶されたファームウェアよりもバージョンの新しいものである場合には、第２バンク１２に記憶された更新後のファームウェアが起動される。第２バンク１２に記憶された更新後のファームウェアが、第１バンク１１に記憶されたファームウェアよりもバージョンの古いものである場合には、第１バンク１１に記憶された更新前のファームウェアが起動される。なお、第２バンク１２に記憶された更新後のファームウェアが、第１バンク１１に記憶されたファームウェアとバージョンが同じものである場合には、第１バンク１１および第２バンク１２のどちらかに記憶されたファームウェアが起動されるようすればよい。

以上のように、本実施形態の場合には、ファームウェアの更新のための処理のどの時点で電源供給が遮断されてしまった場合でも、電源供給が回復し、マイコン２が再起動されたときに、ファームウェアを正常に起動させることができる。

また、上述したのとは逆に、第２バンク１２に記憶されたファームウェアの動作中に、第１バンク１１に記憶されるファームウェアを更新する場合、すなわち、第２バンク１２が動作バンクであり、第１バンク１１が非動作バンクである場合には、第１バンク１１と第２バンク１２、および、第１可否情報記憶部１３と第２可否情報記憶部１４とで、記憶されている内容が、上述したのと逆になるだけである。

＜効果＞
本実施形態では、マイコン２の内蔵フラッシュメモリ１０が、ファームウェアを記憶する２つのバンク（第１バンク１１、第２バンク１２）と、２つのバンクに対応する２つの可否情報記憶部（第１可否情報記憶部１３、第２可否情報記憶部１４）と、ブートローダ記憶部１５とを有する。そして、ファームウェアの更新時に、２つのバンクのうち、非動作バンクに対応する可否情報記憶部に記憶される起動可否情報を、ファームウェアを起動不可能であることを示す情報としたうえで、非動作バンクに更新後のファームウェアのデータを書き込む。これにより、上述したように、ファームウェアの更新中のどの時点で電源供給が遮断されてしまった場合でも、ファームウェアを起動できなくなってしまうことがない。

また、本実施形態では、２つのバンクのうち一方のバンクに記憶されているファームウェアが起動できない場合でも、他方のバンクに記憶されたファームウェアが起動可能であれば、当該ファームウェアを起動することができる。すなわち、ファームウェアイメージの二重化を実現することができる。

また、本実施形態では、ファームウェアが自身を識別するための識別情報を含んでおり、ブートローダが、２つの可否情報記憶部に記憶された起動可否情報と、識別情報とに基づいて、２つのバンクのいずれかに記憶されたファームウェアを起動させる。これにより、より適切なファームウェアを起動させることができる。

また、本実施形態では、識別情報がファームウェアのバージョンの情報を含んでいる。そして、２つのバンクの両方においてファームウェアを起動可能な場合に、よりバージョンの新しいほうのファームウェアを起動させる。これにより、より新しいファームウェアを起動させることができる。

また、本実施形態では、非動作バンクへの更新ファームウェアデータの書き込みが完了した後に、非動作バンクに書き込まれた更新ファームウェアデータに含まれる識別情報に問題がないか否かを判定する。そして、当該識別情報に問題がない場合にのみ、非動作バンクに対応する起動可否情報を、ファームウェアを起動可能であることを示す情報に変更する。これにより、非動作バンクにマイコン２が制御する機器に対応する更新ファームウェアが書き込まれ、非動作バンクに記憶されたファームウェアが確実に起動可能な状態となってから、非動作バンクに対応する起動可否情報を、ファームウェアを起動可能なことを示す情報とすることができる。

また、本実施形態では、マイコン２がコントローラ３から更新ファームウェアデータを受信したときに、更新ファームウェアデータに問題がないか否かを判断し、問題がない場合にのみ、非動作バンクへの更新ファームウェアデータの書き込みを行う。これにより、非動作バンクに、適切でないファームウェアデータが書き込まれてしまうことを防止することができる。

また、マイコン２が、コントローラ３から受信した更新ファームウェアデータに問題がない場合にのみ、非動作バンクへの更新ファームウェアデータの書き込みを行うため、ファームウェアの書き込み後に、動作確認を行うための再起動などが不要となる。これにより、ファームウェアの更新を高速に行うことができる。

＜変形例＞
以上、本発明の好適な実施形態について説明したが、本発明は上述の実施形態に限られるものではなく、特許請求の範囲に記載の限りにおいて様々な変更が可能である。

上述の実施形態では、ファームウェアの更新時に、マイコン２が、非動作バンクへの更新ファームウェアデータの書き込みの完了後に、非動作バンクに書き込まれた更新ファームウェアデータに含まれる識別情報に問題がないか否かを判定する。そして、当該識別情報に問題がない場合にのみ、非動作バンクに対応する起動可否情報を、ファームウェアを起動可能であることを示す情報に変更する。しかしながら、これには限られない。

例えば、非動作バンクへの更新ファームウェアデータの書き込みの完了後、上記判定を行うことなく、非動作バンクに対応する可否情報記憶部に記憶された起動可否情報を、ファームウェアを起動可能であることを示す情報に変更してもよい。非動作バンクへの更新ファームウェアデータの書き込みが完了していれば、通常は、非動作バンクに記憶されたファームウェアは起動可能となるため、上記判定を行わなくても問題となることはほぼない。また、仮に、非動作バンクに書き込まれた更新ファームウェアが、マイコン２が制御する機器に対応するものでない場合には、ファームウェアの識別情報に含まれる機器固有情報が、マイコン２が制御する機器の種類に対応するものではないため、ブートローダが非動作バンクに記憶されたファームウェアを起動してしまうことはない。

また、上述の実施形態では、非動作バンクへの更新ファームウェアデータの書き込みを行う前に、マイコン２が、受信した更新ファームウェアデータに問題がないか否かを判断したが、これには限られない。

例えば、マイコン２が、コントローラ３から更新ファームウェアデータを受信したときに、更新ファームウェアデータに問題がないか否かの判定を行わずに、非動作バンクへの当該更新ファームウェアデータの書き込みを行うようにしてもよい。通常、コントローラ３からマイコン２に異なる機器のファームウェアが送信されることはない。また、仮に、非動作バンク２に異なる機器の更新ファームウェアデータが書き込まれてしまった場合、当該ファームウェアの識別情報に含まれる機器固有情報が、マイコン２が制御する機器の種類に対応しない。

したがって、例えば、上述の実施形態で説明したように、起動可否情報がファームウェアを起動可能であることを示しており、かつ、識別情報に含まれる機器固有情報が、マイコン２が制御する機器の種類に対応している場合にのみ、ファームウェアを起動させるようにしておけば、異なる機器のファームウェアを起動してしまうことはない。

あるいは、例えば、更新ファームウェアデータの書き込み後に、Ｓ２１１の判断を行うようにすれば、非動作バンクに異なる機器のファームウェアのデータが記憶された状態で、非動作バンクに対応する起動可否情報が、ファームウェアを起動可能であることを示す情報に変更されることがない。したがって、非動作バンクに書き込まれた、異なる機器のファームウェアが起動されてしまうことがない。

また、上述の実施形態では、第１バンク１１および第２バンク１２の両方において、ファームウェアの起動が可能な場合に、第１バンク１１および第２バンク１２に記憶された識別情報に含まれるファームウェアのバージョンの情報を参照し、バージョンの新しい方のファームウェアを起動させるようにしたが、これには限られない。

例えば、識別情報を、ファームウェアが作成された日時の情報を含むものとし、第１バンク１１および第２バンク１２の両方において、ファームウェアの起動が可能な場合に、第１バンク１１および第２バンク１２に記憶された識別情報に含まれるファームウェアの作成日時の情報を参照し、作成日時の新しい方のファームウェアを起動させるようにしてもよい。

さらには、第１バンク１１および第２バンク１２の両方において、ファームウェアの起動が可能な場合に、識別情報に基づいて、どちらのバンクに記憶されたファームウェアを起動させるかを決定することにも限られない。例えば、内蔵フラッシュメモリ１０に、第１バンク１１および第２バンク１２のうち、最後にファームウェアのデータの書き込みが行われたバンクの情報を記憶するための領域を設け、第１バンク１１および第２バンク１２の両方において、ファームウェアの起動が可能な場合に、第１バンク１１および第２バンク１２のうち、最後にファームウェアのデータの書き込みが行われたバンクに記憶されたファームウェアを起動させるようにしてもよい。

通常、後に書き込まれたファームウェアほどバージョンが新しい。そして、この場合には、上述したように、第１バンク１１および第２バンク１２のうち、どちらのバンクに最後にファームウェアのデータが書き込まれたかに基づいてファームウェアを起動させれば、よりバージョンの新しいファームウェアを起動させることができる。ただし、この場合、例えば、非動作バンクに、現在使用されているものよりもバージョンの古いファームウェアのデータが書き込まれてしまうと、第１バンク１１および第２バンク１２に記憶されたファームウェアのうち、よりバージョンの古いものが起動されてしまうことになる。

１ファームウェア更新システム
２マイコン
３コントローラ
１０内蔵フラッシュメモリ
１１第１バンク
１２第２バンク
１３第１可否情報記憶部
１４第２可否情報記憶部
１５ブートローダ記憶部

Claims

ファームウェアが記憶される記憶装置を有するマイコンと、
前記マイコンに接続されるコントローラと、を備えたファームウェア更新システムであって、
前記記憶装置は、
前記ファームウェアがそれぞれ記憶される２つのバンクと、
前記２つのバンクに対してそれぞれ設けられ、前記ファームウェアが起動可能であるか否かを示す起動可否情報を記憶する２つの可否情報記憶部と、
前記ファームウェアを起動させるブートローダ、を記憶するブートローダ記憶部と、を有し、
前記コントローラが、
前記マイコンから、前記２つのバンクのどちらが、前記ファームウェアが動作中の動作バンクであるかの情報を取得し、
前記マイコンに、前記２つのバンクのうち前記動作バンクでない非動作バンクに、更新するための前記ファームウェアのデータを送信し、
前記マイコンは、
前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアが起動不可能であることを示す情報とした状態で、前記非動作バンクへの前記ファームウェアのデータの書き込みを行い、
前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記非動作バンクに記憶された前記ファームウェアを起動可能であることを示す情報に変更したうえで、再起動して前記ブートローダを実行させ、
前記ブートローダは、前記２つの可否情報記憶部に記憶された前記起動可否情報に基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させ、
前記ファームウェアは、自身を識別するための識別情報を含み、
前記識別情報は、前記ファームウェアに対応する機器固有の情報を含み、
前記ブートローダは、
前記２つの可否情報記憶部に記憶された前記起動可否情報と、前記２つのバンクに記憶された前記ファームウェアの前記識別情報とに基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させ、
前記２つのバンクの各々について、前記バンクに対応する前記起動可否情報が前記ファームウェアを起動可能であることを示しており、かつ、当該バンクに記憶されている前記ファームウェアの前記識別情報に含まれる前記機器固有の情報が、前記マイコンが制御する機器の種類に対応するものである場合にのみ、当該バンクに記憶されている前記ファームウェアを起動可能と判断し、
前記マイコンは、
前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに書き込まれた前記ファームウェアの前記識別情報が正しいか否かを判断し、当該識別情報が正しい場合にのみ、前記非動作バンクに対して設けられた前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアを起動可能であることを示す情報に変更することを特徴とするファームウェア更新システム。
前記識別情報は、前記ファームウェアのバージョンの情報を含み、
前記ブートローダは、
前記２つの可否情報記憶部に記憶された前記起動可否情報の両方が、前記ファームウェアを起動可能であることを示している情報である場合に、前記２つのバンク記憶された前記ファームウェアのうち、前記識別情報が示すバージョンが新しいほうの前記ファームウェアを起動させることを特徴とする請求項１に記載のファームウェア更新システム。
前記マイコンは、
前記コントローラから前記ファームウェアのデータを受信したときに、前記ファームウェアのデータに問題がないか否かを判断し、前記ファームウェアのデータに問題がない場合にのみ、前記非動作バンクへの前記ファームウェアのデータの書き込みを行うことを特徴とする請求項１または２に記載のファームウェア更新システム。
ファームウェアが記憶される記憶装置を有するマイコンにおいて前記ファームウェアを更新するファームウェア更新方法であって、
前記記憶装置が、
前記ファームウェアがそれぞれ記憶される２つのバンクと、
前記２つのバンクに対してそれぞれ設けられ、前記ファームウェアが起動可能であるか否かを示す起動可否情報を記憶する２つの可否情報記憶部と、
前記ファームウェアを起動させるブートローダを記憶するブートローダ記憶部と、を有し、
前記マイコンから、前記２つのバンクのどちらが、前記ファームウェアが起動中の動作バンクであるかの情報を取得し、
前記マイコンに、前記２つのバンクのうち前記動作バンクでない非動作バンクに、更新するための前記ファームウェアのデータを送信し、
前記非動作バンクに対して設けられた前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアが起動不可能であることを示す情報とした状態で、前記非動作バンクへの前記ファームウェアのデータの書き込みを行い、
前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに対応する前記可否情報記憶部に記憶される前記起動可否情報を、前記非動作バンクに記憶された前記ファームウェアを起動可能であることを示す情報に変更したうえで、前記マイコンを再起動させて前記ブートローダを実行して、
前記ブートローダに、前記２つの可否情報記憶部に記憶された前記起動可否情報に基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させ、
前記ファームウェアは、自身を識別するための識別情報を含み、
前記識別情報は、前記ファームウェアに対応する機器固有の情報を含み、
前記ブートローダに、
前記２つの可否情報記憶部に記憶された前記起動可否情報と、前記２つのバンクに記憶された前記ファームウェアの前記識別情報とに基づいて、前記２つのバンクのいずれかに記憶された前記ファームウェアを選択的に起動させ、
前記２つのバンクの各々について、前記バンクに対応する前記起動可否情報が前記ファームウェアを起動可能であることを示しており、かつ、当該バンクに記憶されている前記ファームウェアの前記識別情報に含まれる前記機器固有の情報が、前記マイコンが制御する機器の種類に対応するものである場合にのみ、当該バンクに記憶されている前記ファームウェアを起動可能と判断させ、
前記マイコンに、
前記非動作バンクへの前記ファームウェアのデータの書き込みの完了後に、前記非動作バンクに書き込まれた前記ファームウェアの前記識別情報が正しいか否かを判断させ、当該識別情報が正しい場合にのみ、前記非動作バンクに対して設けられた前記可否情報記憶部に記憶される前記起動可否情報を、前記ファームウェアを起動可能であることを示す情報に変更させることを特徴とするファームウェア更新方法。