JP7514388B2

JP7514388B2 - 車両用電子制御装置及びプログラムの書き換え方法

Info

Publication number: JP7514388B2
Application number: JP2023512867A
Authority: JP
Inventors: 史鳥海
Original assignee: Hitachi Astemo Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2021-04-08
Filing date: 2022-03-04
Publication date: 2024-07-10
Anticipated expiration: 2042-03-04
Also published as: US20240160414A1; WO2022215402A1; JPWO2022215402A1

Description

本発明は、車両用電子制御装置及びプログラムの書き換え方法に関する。

自動車などの車両に搭載された電子制御装置（ＥＣＵ：Electric Control Unit）で動作するプログラムに対し、ＥＣＵの機能変更や不具合改修などを目的として、新しいバージョンのプログラムへの書き換えが行われることがある。このようなＥＣＵのプログラム書き換えに関連する技術の一例として、第１データ格納面と第２データ格納面とを含む不揮発性メモリを備え、車両用マスタ装置から受信した更新データに基づいて第２データ格納面のプログラムを書換える電子制御装置において、アクティベートの実行条件が成立したときに、第１データ格納面及び第２のデータ格納面のうち何れかが運用面であるかを示す運用面情報に基づいて、第２のデータ格納面を起動面として起動させる技術が提案されている。

特開２０２０－２７６６８号公報

ここで、ＥＣＵで動作するプログラムが格納される不揮発性メモリは、主としてＥＣＵの起動時に動作する起動プログラムが格納される起動プログラム領域と、ＥＣＵによる車載機器の制御等を実現する制御プログラム領域とを含んで構成される。これらのプログラム領域では、例えば、前述したようなプログラム書き換えを行う際における通信障害や書き換え中の電源供給遮断によって書き換えが失敗することにより、異常が発生する場合がある。また、プログラム領域の異常は、経年劣化による不揮発性メモリの記憶素子の電荷抜け等の物理的要因によっても生じ得る。特に、このような異常が起動プログラム領域において発生した場合、ＥＣＵ自体が起動不能となる状況が発生し得る。

そこで、本発明の１つの態様では、ＥＣＵが起動不能となるリスクを抑制し、ＥＣＵの動作の信頼性を向上させることを目的とする。

本発明の１つの態様では、電気的にデータを書き換え可能な不揮発性メモリと、プロセッサとを含んで構成されたＥＣＵにおいて、前記不揮発性メモリが、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備える。また、前記プロセッサは、外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記ローダプログラムの書き換えにおいて、前記複数のローダプログラム領域のうちの１つのローダプログラム領域のローダプログラムを書き換え、当該ローダプログラム領域の書き換え後のデータが正常であるときにさらに他のローダプログラム領域のローダプログラムの書き換えを行い、前記ＥＣＵを起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動するように構成される。
ここで、前記プロセッサは、前記車両用電子制御装置を起動するときに、前記複数のローダプログラム領域のなかに異常なローダプログラム領域が存在する場合には、当該異常なローダプログラム領域を再書き換え対象領域とし、所定のタイミングで、当該再書き換え対象領域のローダプログラムを前記正常なローダプログラム領域のローダプログラムで書き換える再書き換え処理を行うように構成され得る。
また、前記複数のローダプログラム領域のそれぞれは、ローダプログラムをさらに格納する予備領域を含み、前記プロセッサは、前記複数のローダプログラム領域のそれぞれに格納されたローダプログラムを、さらに前記予備領域に格納するように構成され得る。
さらに、前記プロセッサは、前記複数のローダプログラム領域のうちの少なくとも２つが正常であるときにのみ、外部からのプログラム書き換え命令に応じたプログラム書き換えを行うように構成され得る。

本発明によれば、ＥＣＵが起動不能となるリスクが抑制され、ＥＣＵの動作の信頼性の向上が実現される。

本発明の一実施形態におけるＥＣＵの一例を示すブロック図である。本発明の一実施形態におけるＥＣＵのプロセッサにおいて実現される機能の一例を示すブロック図である。本発明の一実施形態におけるＥＣＵのＲＯＭにおけるプログラム格納領域の一例の説明図である。本発明の一実施形態におけるプログラム書き換え処理の一例を示すフローチャートである。本発明の一実施形態におけるＥＣＵの起動処理の一例を示すフローチャートである。本発明の一実施形態におけるプログラムの再書き換え処理の一例を示すフローチャートである。本発明の一実施形態におけるプログラム書き換え処理の途中で異常が生じ得るタイミングと、それによるＥＣＵの動作との関連を示す説明図である。

以下、添付された図面を参照し、本発明を実施するための実施形態の具体例について詳述する。なお、図面の一部においては、構成要素の符号のみを付し、名称の記載を省略している。

図１は、自動車などの車両に搭載される電子制御装置１０の一例を示す。
ＥＣＵ１０は、車載機器（例えば、燃料噴射弁、点火プラグ、自動変速機、ブラシレスモータなど）を電子制御するマイクロコントローラである。ＥＣＵ１０は、図１に示すように、プロセッサ１１、ＲＡＭ１２、ＲＯＭ１３、入出力インタフェース１４、通信インタフェース１５及びこれらを相互通信可能に接続する内部バス１６を含む。

プロセッサ１１は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウェアであって、演算装置、命令や情報を格納するレジスタ、周辺回路などから構成されている。プロセッサ１１は、ＲＯＭ１３に格納されたプログラムをＲＡＭ１２にロードして実行する。

ＲＡＭ１２は、電源供給遮断によってデータが消失する揮発性メモリであり、プロセッサ１１が動作中に使用する一時的な記憶領域を提供する。

ＲＯＭ１３は、電気的にデータを書き換え可能な不揮発性メモリであり、例えば、フラッシュＲＯＭやＥＥＰＲＯＭを含む。ＲＯＭ１３には、ＥＣＵ１０を起動する際に動作する起動プログラムや車載機器を制御する制御プログラム、及び当該プログラムの処理において用いるパラメータ等のデータが格納される。

入出力インタフェース１４は、Ａ／Ｄコンバータ、Ｄ／Ａコンバータ、Ｄ／Ｄコンバータ等からなり、外部機器に対するアナログ信号及びデジタル信号の入出力機能を提供する。通信インタフェース１５は、例えばＣＡＮ（Controller Area Network）トランシーバ等で構成され、車載ネットワークに接続する機能を提供する。内部バス１６は、各デバイス間でデータを交換するための経路であって、アドレスを転送するためのアドレスバス、データを転送するためのデータバス、アドレスバスやデータバスで実際に入出力を行うタイミングや制御情報を伝送するコントロールバスを含んでいる。

また、ＥＣＵ１０の通信インタフェース１５は、ゲートウェイ２０を介して、ＯＴＡ（Over the Air）基地局と無線通信する無線通信機３０に接続されている。ゲートウェイ２０は、ＯＴＡ基地局から送信されたデータのプロトコルを通信インタフェース１５で処理可能なプロトコルに変換すると共に、ＥＣＵ１０で処理されるデータのプロトコルを基地局ＢＳで処理可能なプロトコルに変換する機能を有する。

本実施形態では、ＥＣＵ１０で動作するプログラムに対する更新が必要となったときに、新しいバージョンのプログラムが、ＯＴＡ基地局から無線通信で車両に配信され、車両の無線通信機３０で受信される。当該プログラムは、ゲートウェイ２０によってプロトコル変換されてＥＣＵ１０に送信される。そして、ＥＣＵ１０の内部にあるＲＯＭ１３に格納されたプログラムが当該新しいバージョンのプログラムで書き換えられる。また、ＥＣＵ１０のプログラムの書き換えは、車両に搭載されたコネクタを介してプログラム書き換え装置を外部接続する方法によって行うことも可能である。そして、プログラムの書き換え後にＥＣＵ１０が起動した際には、新しいバージョンのプログラムが実行される。

図２は、ＥＣＵ１０のプロセッサ１１において実現される機能を示すブロック図である。プロセッサ１１は、プログラムを実行することによって実現される、プログラム書き換え部１１１及び制御実行部１１２を有する。

プログラム書き換え部１１１は、外部からのプログラム書き換え命令に応じて、ＥＣＵ１０のＲＯＭ１３に記憶されたプログラムの書き換えを行う。
制御実行部１１２は、ＲＯＭ１３に格納された起動プログラムを実行することによってＥＣＵ１０を起動し、制御プログラムを実行することによって車載機器の電子制御を行う。
プログラム再書き換え部１１３は、ＲＯＭ１３に格納されたプログラム領域において異常が存在するときに、プログラム再書き換え処理を行う。

次に、ＥＣＵ１０のＲＯＭ１３におけるデータ領域について説明する。
図３は、ＲＯＭ１３におけるプログラム格納領域の一例を示している。ＲＯＭ１３のプログラム格納領域は、起動プログラム領域であるスタートアッププログラム領域１３１、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３と、制御プログラム領域１３４とを含む。

スタートアッププログラム領域１３１は、ＥＣＵ１０の起動プログラムの一部であって起動時に常駐する各種プログラムを制御するスタートアッププログラムが格納される領域である。スタートアッププログラム領域１３１については、プログラム書き換えの対象外とする。

第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３は、ＥＣＵ１０の起動プログラムの一部であって制御プログラムをロードして起動させるローダプログラムが格納される領域である。ローダプログラムは、前述したスタートアッププログラムにより呼び出されて実行される。

第１ローダプログラム領域１３２は、動作対象であるローダプログラムが格納される第１ローダプログラム動作領域１３２１と、第２ローダプログラム領域１３３に格納されるローダプログラムが複製されて格納される第２ローダプログラム予備領域１３２２と、第１ローダプログラム動作領域１３２１が正常であるかをチェックするためのチェックサム１３２３とを含む。第２ローダプログラム領域１３３も同様に、動作対象であるローダプログラムが格納される第２ローダプログラム動作領域１３３１と、第１ローダプログラム領域１３２に格納されるローダプログラムが複製されて格納される第１ローダプログラム予備領域１３３２と、第２ローダプログラム動作領域１３３１が正常であるかをチェックするためのチェックサム１３３３とを含む。

制御プログラム領域１３４は、ＥＣＵ１０による車載機器への電子制御を行う制御プログラムが格納される領域である。制御プログラム領域１３４は、制御プログラムの処理に用いるパラメータ等のデータを含み得る。制御プログラムは、前述したローダプログラムによってロードされてプロセッサ１１で実行されることにより、電子制御を実現する。

すなわち、ＥＣＵ１０が正常に稼働している状態においては、プロセッサ１１により、スタートアッププログラム、ローダプログラム、制御プログラムの順にプログラムが実行される。

図４は、プロセッサ１１が、外部からのプログラム書き換え命令に応じて、ＲＯＭ１３に格納されたプログラムを書き換えるプログラム書き換え処理の一例を示す。外部からのプログラム書き換え命令とは、例えば、ＯＴＡによる書き換え命令や、ＥＣＵ１０に外部接続されたプログラム書き換え装置からの書き換え命令である。当該プログラム書き換え処理では、プロセッサ１１が、図３に示したＲＯＭ１３のプログラム領域のうち、スタートアッププログラム領域１３１を除く領域全体を書き換える。当該処理によって、プログラム書き換え部１１１の機能が実現される。

ステップ１００１（図ではＳ１００１と表記している。以下同様）で、プロセッサ１１は、第１ローダプログラム領域１３２のローダプログラムを消去する。

ステップ１００２で、プロセッサ１１は、制御プログラム領域１３４の制御プログラムを消去する。

ステップ１００３で、プロセッサ１１は、外部からのプログラム書き換え命令に含まれるローダプログラムによって、第１ローダプログラム領域１３２のローダプログラムを書き換える。より具体的には、プロセッサ１１は、第１ローダプログラム領域１３２の第１ローダプログラム動作領域１３２１、第２ローダプログラム予備領域１３２２及びチェックサム１３２３のデータを書き換える。

ステップ１００４で、プロセッサ１１は、外部からのプログラム書き換え命令に含まれる制御プログラムによって、制御プログラム領域１３４の制御プログラムを書き換える。なお、図示を省略しているが、プロセッサ１１は、制御プログラム領域１３４においてもチェックサムを書き込むものとする。

ステップ１００５で、プロセッサ１１は、ステップ１００３で書き込んだ第１ローダプログラム領域１３２のデータが正常であるか否かを確認する。より具体的には、プロセッサ１１は、第１ローダプログラム動作領域１３２１及び第２ローダプログラム予備領域１３２２のデータが正常であるか否かを、チェックサム１３２３を用いてチェックする。

ステップ１００６で、プロセッサ１１は、ステップ１００５における確認結果が正常である場合にはステップ１００７に処理を進め、確認結果が異常である場合には、そのまま処理を終了する。なお、確認結果が異常である場合には、外部に対して、第１ローダプログラム領域１３２におけるプログラム書き換えが失敗したことを通知するようにしてもよい。

ステップ１００７で、プロセッサ１１は、第２ローダプログラム領域１３３のローダプログラムを消去する。

ステップ１００８で、プロセッサ１１は、第１ローダプログラム領域１３２のローダプログラムによって、第２ローダプログラム領域１３３のローダプログラムを書き換える。より具体的には、プロセッサ１１は、第２ローダプログラム領域１３３の第２ローダプログラム動作領域１３３１、第１ローダプログラム予備領域１３３２及びチェックサム１３３３のデータを書き換える。なお、このとき、第２ローダプログラム領域１３３においても、第１ローダプログラム領域１３２からの複製ではなく、ステップ１００３と同様に、外部からのプログラム書き換え命令に含まれるローダプログラムを直接書き込むようにしてもよい。

図５は、ＥＣＵ１０を起動してＥＣＵ１０による車載機器の電子制御を実現する処理の一例を示す。当該処理では、プロセッサ１１が、図３に示したＲＯＭ１３におけるプログラム格納領域に格納されたプログラムのうち、スタートアッププログラム領域１３１に格納されたスタートアッププログラムを最初に実行する。当該処理によって、制御実行部１１２の機能が実現される。

ステップ１０１１で、プロセッサ１１は、スタートアッププログラムの処理により、第１ローダプログラム領域１３２のローダプログラムが正常であるか否かを確認する。より具体的には、プロセッサ１１は、第１ローダプログラム動作領域１３２１及び第２ローダプログラム予備領域１３２２のデータが正常であるか否かを、チェックサム１３２３を用いてチェックする。
ステップ１０１２で、プロセッサ１１は、ステップ１０１１における確認結果が正常である場合にはステップ１０１３に処理を進め、確認結果が異常である場合にはステップ１０２０に処理を進める。

ステップ１０１３で、プロセッサ１１は、スタートアッププログラムの処理により、第２ローダプログラム領域１３３のローダプログラムが正常であるか否かを確認する。より具体的には、プロセッサ１１は、第２ローダプログラム動作領域１３３１及び第１ローダプログラム予備領域１３３２のデータが正常であるか否かを、チェックサム１３３３を用いてチェックする。このとき、プロセッサ１１は、望ましくは、第２ローダプログラム動作領域１３３１のローダプログラムが、第１ローダプログラム動作領域１３２１のローダプログラムと一致するか否かについても確認する。
ステップ１０１４で、プロセッサ１１は、ステップ１０１３における確認結果が正常である場合にはステップ１０１５に処理を進め、確認結果が異常である場合にはステップ１０１８に処理を進める。

ステップ１０１５で、プロセッサ１１は、正常であることが確認された第１ローダプログラム領域１３２に格納されたローダプログラムの処理により、制御プログラム領域１３４に格納された制御プログラムが正常であるか否かを確認する。なお、プロセッサ１１は、制御プログラム領域１３４においても、チェックサム（図示省略）を用いることによってチェックを行うことが可能である。
ステップ１０１６で、プロセッサ１１は、ステップ１０１５における確認結果が正常である場合にはステップ１０１７に処理を進め、確認結果が異常である場合にはステップ１０１９に処理を進める。

ステップ１０１７で、プロセッサ１１は、正常であることが確認された第１ローダプログラム領域１３２に格納されたローダプログラムの処理により、制御プログラム領域１３４に格納された制御プログラムをロードし、当該制御プログラムを起動して実行する。これにより、ＥＣＵ１０による車載機器の電子制御が実現される。

以上のステップ１０１１～ステップ１０１７の処理が、第１ローダプログラム領域１３２、第２ローダプログラム領域１３３及び制御プログラム領域１３４のいずれも正常である場合の処理である。

次に、ステップ１０１３における第２ローダプログラム領域１３３の確認において異常が検出された場合について説明する。プロセッサ１１は、前述したように、ステップ１０１４の判定によりステップ１０１８に処理を進める。

ステップ１０１８で、プロセッサ１１は、第２ローダプログラム領域１３３の書き換えフラグをセットする。これにより、後述するプログラムの再書き換え処理により、第２ローダプログラム領域１３３に対して優先的に再書き換え処理が行われる。その後、プロセッサ１１は、ステップ１０１５以降の処理を実行する。

次に、ステップ１０１５における制御プログラム領域１３４の確認において異常が検出された場合について説明する。プロセッサ１１は、前述したように、ステップ１０１６の判定によりステップ１０１９に処理を進める。

ステップ１０１９で、プロセッサ１１は、正常であることが確認された第１ローダプログラム領域１３２に格納されたローダプログラムによる処理によって、ＥＣＵ１０の動作を継続する。この場合は、制御プログラム領域１３４に異常が生じているため、現時点ではＥＣＵ１０による電子制御は実現できない。しかし、ローダプログラムによってＥＣＵ１０の動作を継続させ、再度の外部からのプログラム書き換え命令を正常に待機することが可能である。このとき、前述したステップ１０１８において第２ローダプログラム領域１３３の書き換えフラグがセットされている場合には、後述するプログラムの再書き換え処理により、第２ローダプログラム領域１３３に対して優先的に再書き換え処理を行うことが可能である。

なお、ステップ１０１７及び１０１９では、第２ローダプログラム領域１３３のローダプログラムも正常であることが確認されている場合には、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３のいずれのローダプログラムによって処理してもよい。

次に、ステップ１０１１における第１ローダプログラム領域１３２の確認において異常が検出された場合について説明する。プロセッサ１１は、前述したように、ステップ１０１２の判定によりステップ１０２０に処理を進める。

ステップ１０２０で、プロセッサ１１は、第１ローダプログラム領域１３２の書き換えフラグをセットする。これにより、後述するプログラム再書き換え処理により、第１ローダプログラム領域１３２に対して優先的に再書き換え処理が行われる。

ステップ１０２１で、プロセッサ１１は、スタートアッププログラムの処理により、第２ローダプログラム領域１３３のローダプログラムが正常であるか否かを確認する。より具体的には、プロセッサ１１は、第２ローダプログラム動作領域１３３１及び第１ローダプログラム予備領域１３３２のデータが正常であるか否かを、チェックサム１３３３を用いてチェックする。

ステップ１０２２で、プロセッサ１１は、ステップ１０２１における確認結果が正常である場合にはステップ１０２３に処理を進め、確認結果が異常である場合にはステップ１０２６に処理を進める。

ステップ１０２３で、プロセッサ１１は、正常であることが確認された第２ローダプログラム領域１３３に格納されたローダプログラムの処理により、制御プログラム領域１３４の制御プログラムが正常であるか否かを確認する。なお、プロセッサ１１は、ステップ１０１５と同様に、制御プログラム領域１３４においても、チェックサム（図示省略）を用いることによってチェックを行うことが可能である。

ステップ１０２４で、プロセッサ１１は、ステップ１０２３における確認結果が正常である場合にはステップ１０２５に処理を進め、確認結果が異常である場合にはステップ１０２７に処理を進める。

ステップ１０２５で、プロセッサ１１は、正常であることが確認された第２ローダプログラム領域１３３に格納されたローダプログラムの処理により、制御プログラム領域１３４に格納された制御プログラムをロードし、当該制御プログラムを起動して実行する。これにより、ＥＣＵ１０による車載機器の電子制御が実現される。

次に、ステップ１０２１における第２ローダプログラム領域１３３の確認において異常が検出された場合について説明する。プロセッサ１１は、前述したように、ステップ１０２２の判定によりステップ１０２６に処理を進める。

ステップ１０２６で、プロセッサ１１は、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３の両方が異常であるため、安全面に鑑み、ＥＣＵ１０をシャットダウンさせる。

次に、ステップ１０２３における制御プログラム領域１３４の確認において異常が検出された場合について説明する。プロセッサ１１は、前述したように、ステップ１０２４の判定によりステップ１０２７に処理を進める。

ステップ１０２７で、プロセッサ１１は、正常であることが確認された第２ローダプログラム領域１３３に格納されたローダプログラムによる処理によって、ＥＣＵ１０の動作を継続する。この場合は、ステップ１０２３と同様に、制御プログラム領域１３４に異常が生じているため、現時点ではＥＣＵ１０による電子制御は実現できない。しかし、ローダプログラムによってＥＣＵ１０の動作を継続させ、再度の正常なプログラムの書き換え処理を待機することが可能である。このとき、前述したステップ１０２０において第１ローダプログラム領域１３２の書き換えフラグがセットされているため、後述するプログラムの再書き換え処理により、第１ローダプログラム領域１３２に対して優先的にプログラムの再書き換え処理を行うことが可能である。

図６は、第１ローダプログラム領域１３２又は第２ローダプログラム領域１３３に異常が検出された場合に実行されるプログラムの再書き換え処理の一例を示す。当該処理は、いずれかの領域の書き換えフラグがセットされているときに、所定のタイミングで（例えば、プログラム書き換え処理の直後や、所定時間経過後に）実行される。

ステップ１０３１で、プロセッサ１１は、書き換えフラグがセットされているローダプログラム領域を再書き換え対象領域とし、当該再書き換え対象領域のローダプログラムを消去する。

ステップ１０３２で、プロセッサ１１は、再書き換え対象領域のローダプログラムを正常なローダプログラム領域に書き込まれているローダプログラムで書き換える。すなわち、第１ローダプログラム領域１３２に書き換えフラグがセットされている場合には、プロセッサ１１は、第１ローダプログラム領域１３２に第２ローダプログラム１３３に格納されたローダプログラムを複製して書き込む。より具体的には、プロセッサ１１は、第１ローダプログラム領域１３２の第１ローダプログラム動作領域１３２１、第２ローダプログラム予備領域１３２２及びチェックサム１３２３に対し、第２ローダプログラム動作領域１３３１、第１ローダプログラム予備領域１３３２及びチェックサム１３３３のデータを複製してそれぞれ書き込む。一方で、第２ローダプログラム領域１３３に書き換えフラグがセットされている場合には、プロセッサ１１は、第２ローダプログラム領域１３３に第１ローダプログラム１３２に格納されたローダプログラムを複製して書き込む。より具体的には、プロセッサ１１は、第２ローダプログラム領域１３３の第２ローダプログラム動作領域１３３１、第１ローダプログラム予備領域１３３２及びチェックサム１３３３に対し、第１ローダプログラム動作領域１３２１、第２ローダプログラム予備領域１３２２及びチェックサム１３２３のデータを複製してそれぞれ書き込む。

ステップ１０３３で、プロセッサ１１は、再書き換え対象領域のローダプログラムが正常であるか否かを確認する。
ステップ１０３４で、プロセッサ１１は、ステップ１０３３における確認結果が正常である場合には処理を終了し、確認結果が異常である場合にはステップ１０３５に処理を進める。

ステップ１０３５で、プロセッサ１１は、書き換え処理の繰り返し回数が所定の閾値である上限値を超えているか否かを判定する。繰り返し回数が上限値を超えている場合には、ステップ１０３６に進み（Ｙｅｓ）、超えていない場合には、繰り返し回数のカウンタを加算してステップ１０３１に戻る（Ｎｏ）。

ステップ１０３６で、プロセッサ１１は、再書き換え対象領域において故障が生じていることを記憶するとともに、外部に対して通知する。具体例としては、車両に搭載されたワーニングランプ等の出力手段によって警告を出力したり、外部サーバ等に対し、無線通信を介して故障を通知したりすることができる。なお、この場合、前述したように正常なローダプログラム領域に格納されたローダプログラムによってＥＣＵ１０による電子制御が正常に実現できているため、ＥＣＵ１０の処理自体に制限を加える必要はない。

次に、外部からのプログラム書き換え命令に応じて行われるプログラム書き換え処理の途中で障害が生じ得るタイミングと、それによるＥＣＵ１０の動作との関連について説明する。図７は、本実施形態において、図４に示したプログラム書き換え処理の途中において障害が発生し得るタイミングＴ１～Ｔ１３と、それぞれのタイミングで障害が発生した場合においてプログラムの再書き換えの対象となるローダプログラム領域、及びＥＣＵ１０の動作について示す表である。なお、プログラム書き換え処理の途中において障害が発生する要因としては、例えば、ＥＣＵ１０における電源供給遮断や、ＯＴＡにおける通信障害等が考え得る。

Ｔ１は、プログラムの書き換えを開始する前の段階である。このタイミングで障害が発生した場合、書き換え前のローダプログラム及び制御プログラムによる動作は可能である。この場合、いずれのプログラム領域も書き換えがなされていないため、外部からのプログラム書き換え処理を再度行うこととなる。

Ｔ２～Ｔ６は、第１ローダプログラム領域１３２のデータの消去が開始されてから、書き換えが完了する前までの間である。Ｔ２～Ｔ３のタイミングで障害が発生した場合、書き換え前の第２ローダプログラム領域１３３のローダプログラムで制御プログラム領域１３４を起動することが可能である。この場合、第１ローダプログラム領域１３２に対する書き換えフラグがセットされ、優先的に再書き換え処理が行われることとなる。ただし、第２ローダプログラム領域１３３及び制御プログラム領域１３４のいずれも書き換え前であるため、外部からのプログラム書き換え処理を再度行うこととなる。また、Ｔ４～Ｔ６のタイミングで障害が発生した場合も、書き換え前の第２ローダプログラム領域１３３のローダプログラムで起動することが可能である。この場合、第１ローダプログラム領域１３２に対する書き換えフラグがセットされ、優先的に再書き換え処理が行われることとなる。ただし、第２ローダプログラム領域１３３は書き換え前であり、制御プログラム領域１３４は消去された状態であることから、外部からのプログラム書き換え処理を再度行うこととなる。

Ｔ７～Ｔ８は、第１ローダプログラム領域１３２におけるローダプログラムの書き換えは完了しているが、制御プログラム領域１３４の書き換えが完了する前である。このＴ７～Ｔ８のタイミングで障害が発生した場合、書き換え後の第１ローダプログラム領域１３２のローダプログラムで動作することが可能である。このとき、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３のいずれも書き換え途中ではなく正常な状態であるが、第２ローダプログラム領域１３３は書き換え前であるため、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３のデータが一致しない。このため、第２ローダプログラム領域１３３に対する書き換えフラグがセットされ、プログラム再書き換え処理によって優先的に書き換えが行われることとなる。しかし、この場合は、制御プログラム領域１３４が書き換え前であるため、外部からのプログラム書き換え処理を再度行うこととなる。

Ｔ９～Ｔ１２は、第１ローダプログラム領域１３２及び制御プログラム領域１３４の書き換えは完了しているが、第２ローダプログラム領域１３３のデータの消去が開始されてから、書き換えが完了する前までの間である。このＴ９～Ｔ１２のタイミングで障害が発生した場合、第２ローダプログラム領域１３３に対する書き換えフラグがセットされ、プログラム再書き換え処理によって優先的に書き換えが行われることとなる。このとき、第２ローダプログラム領域１３３のプログラムの書き換えは、プログラム再書き換え処理により、すでに書き換えが完了している第１ローダプログラム領域１３２のローダプログラムを用いて行うことができる。このため、外部からのプログラム書き換え処理を再度行うことは不要である。

Ｔ１３は、プログラム書き換え処理が全て完了した後であるため、このタイミングで障害が発生しても、プログラム書き換え処理を再度行うことは不要である。

このように、本実施形態では、外部からのプログラム書き換え処理においてどのタイミングで障害が発生したとしても、いずれかのローダプログラム領域に格納されたローダプログラムによってＥＣＵ１０を動作させることが可能である。

以上説明した本実施形態によれば、ＥＣＵ１０のＲＯＭ１３において、起動プログラムのうち、プログラム書き換えの対象となり得るローダプログラムが格納されるローダプログラム領域が、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３の冗長構成とされている。そして、プロセッサ１１が外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、起動プログラム領域の書き換えにおいて、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３の両方に対してローダプログラムの書き換えが行われる。そして、プロセッサ１１がＥＣＵ１０を起動するときに、スタートアッププログラムによって第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３のうち正常なローダプログラム領域に格納されたローダプログラムが実行され、当該ローダプログラムによって制御プログラムが起動される。

例えば、本実施形態によれば、第１ローダプログラム領域１３２に異常が存在する場合であっても、第２ローダプログラム領域１３３に格納されたローダプログラムによって制御プログラムをロードして起動することができる。一方で、第２ローダプログラム領域１３３に異常が存在する場合であっても、第１ローダプログラム領域１３２に格納されたローダプログラムによって制御プログラムをロードして起動することができる。

このため、本実施形態によれば、プログラム書き換え処理に起因して起動プログラム領域に異常が発生しても、いずれかのローダプログラム領域に格納されたローダプログラムによってＥＣＵ１０による制御を実現させることが可能である。したがって、ＥＣＵ１０の動作の信頼性を向上させることが可能となる。

特に、近年では、ＯＴＡを悪用した不正なプログラムの書き換えが発生することがあり、すでに市場に出回っている車両のＥＣＵに対してセキュリティ強化が必要となることがある。このような場合、単なる制御プログラムの書き換えのみならず、起動プログラムの書き換えが必要となる場合がある。また、別の側面として、車両のＯＥＭ（Original Equipment Manufacturing）による開発拠点が世界中に広がっており、仕様も複雑化している。このため、ＥＣＵの開発中に、仕様変更によりＲＯＭの起動プログラムを書き換えるケースが増加する傾向にある。この点において、本実施形態では、ＥＣＵ１０の起動プログラム領域を、仕様変更等が生じても変更の影響が及ばない基本部分であるスタートアッププログラムの格納領域と、仕様変更等に伴ってプログラムの書き換えが生じ得るローダプログラムの格納領域とに分割し、プログラムの書き換え処理の対象となるローダプログラムの格納領域を冗長構成としている。したがって、起動プログラムの書き換えに起因するＲＯＭ１３の異常によって生じ得るＥＣＵ１０の動作への影響を、効果的に抑制することができる。

また、ＲＯＭにおける起動プログラム領域の異常は、プログラム書き換え処理によるものに限定されず、例えば、経年劣化による不揮発性メモリの記憶素子の電荷抜け等の物理的要因によっても生じ得る。本実施形態によれば、このような他の要因によっていずれかのローダプログラム領域に異常が生じた場合にも、他のローダプログラム領域に格納されたローダプログラムを実行することができ、ＥＣＵ１０による制御を実現させることが可能である。

また、制御プログラム領域１３４において異常が存在する場合においても、前述のようにいずれかのローダプログラムが動作可能であるため、ＥＣＵ１０の動作自体を継続し、外部からのプログラム書き換え命令に応じた再度のプログラム書き換え処理を正常に待機することが可能である。

さらに、本実施形態によれば、まず第１ローダプログラム領域１３２のローダプログラムが書き換えられ、第１ローダプログラム領域１３２における書き換え後のローダプログラムが正常であることが確認されたときに、他のローダプログラム領域である第２ローダプログラム領域１３３のローダプログラムの書き換えが行われる。このため、ローダプログラム領域の冗長構成におけるデータの信頼性が向上する。

また、本実施形態によれば、プログラム再書き換え処理によって、いずれかのローダプログラム領域において異常が存在した場合には、当該ローダプログラム領域を再書き換え対象領域とし、正常なローダプログラム領域のローダプログラムによって再書き換え対象領域のローダプログラムを書き換えることができる。このため、外部からのプログラム書き換えを再度行う必要なく、ローダプログラム領域の冗長構成を生成することが可能となる。

さらに、本実施形態によれば、プログラム再書き換え処理において、再書き換え対象領域に対する再書き換え処理の繰り返し回数が上限値を超えている場合に、再書き換え対象領域において故障が生じていることをＲＯＭ１３自体や外部の記憶手段において記憶し、外部に対して、対象領域が異常であることを通知する。これにより、ＲＯＭ１３における記憶素子の物理的故障等に対して早急に対応することが可能となる。このとき、必要に応じて、当該再書き換え対象領域を使用禁止とすることを通知するようにしてもよい。

ここで、プログラム再書き換え処理の変形例として、前述した図６のステップ１０３３の処理において再書き換え対象領域が正常であった場合においても、例えば、再書き換え対象領域を示す情報とともに当該再書き換え処理が行われたタイミングを記憶しておくことにより、再書き換え処理が行われた頻度をローダプログラム領域ごとに算出してもよい。そして、再書き換え処理の頻度が所定の閾値よりも高いローダプログラム領域が存在する場合には、外部に対して警告を出力するようにしてもよい。また、当該頻度が特に高い場合には、対象領域において故障が生じている可能性があることをＲＯＭ１３自体や外部の記憶手段において記憶したり、外部に対して故障を通知したりしてもよい。

また、さらなる変形例として、次回にＥＣＵ１０を起動するときに、再書き換え処理が行われた頻度が最も低いローダプログラム領域に格納されたローダプログラムを実行するようにしてもよい。そうすることによって、ＥＣＵ１０の起動における信頼性をより向上させることができる。
なお、プログラム再書き換え処理は、本発明において必須ではなく任意の構成である。

また、本実施形態では、第１ローダプログラム領域１３２において、第２ローダプログラム予備領域１３２２を備える一方で、第２ローダプログラム領域１３３で、第１ローダプログラム予備領域１３３２を備えている。このようなさらなる冗長構成を有することにより、ローダプログラムが実行できなくなるリスクをさらに低減させることが可能となる。なお、このような予備領域を備えることは、本発明において必須ではなく任意の構成である。

さらに、外部からのプログラム書き換え命令によってプログラム書き換えを行うときの変形例として、複数のローダプログラム領域のうちの少なくとも２つ、すなわち、本実施形態においては、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３の両方が正常であるときにのみ、外部からのプログラム書き換え命令に応じたプログラム書き換え処理を行うようにしてもよい。そうすることによって、確実にローダプログラム領域の冗長構成が実現できる場合にのみプログラム書き換えが行われることになり、ＥＣＵ１０の動作の信頼性をさらに向上させることが可能となる。

また、プログラム領域の変形例として、ＲＯＭ１３において、複数の制御プログラム領域を備えた冗長構成としてもよい。そして、ＥＣＵ１０を起動するときに、複数の制御プログラム領域のうち、正常な制御プログラム領域に格納された制御プログラムを選択して起動するようにしてもよい。また、いずれかの制御プログラム領域に異常がある場合にも書き換えフラグをセットするようにし、プログラム再書き換え処理において、他の制御プログラムの格納領域の制御プログラムで異常がある制御プログラム領域の制御プログラムを書き換えるようにしてもよい。そうすることによって、いずれかの制御プログラム領域において異常が発生した場合にも、正常にＥＣＵ１０による制御を実現できる。また、外部からのプログラム書き換え処理を再度行うことを回避できる可能性が高くなる。

なお、本実施形態では、ローダプログラム領域について、第１ローダプログラム領域１３２及び第２ローダプログラム領域１３３の２つの冗長構成としているが、領域数は２つに限定されるものではなく、複数であればいくつであってもよい。制御プログラム領域を冗長構成とした場合においても同様である。

また、上記の本実施形態の説明においては、ローダプログラム領域を含めたプログラムの書き換え処理についてのみ言及したが、通常のプログラム書き換え処理、すなわち、制御プログラムのみの書き換え処理を行うことも当然に可能である。

以上説明した本発明の実施形態は、本発明の技術的範囲で考え得る実施態様の一部に過ぎず、本発明の例示として開示されるものであって、本発明の技術的範囲を制限するものではない。また、各実施形態における機能的構成及び物理的構成は、前述の態様に限定されるものではなく、例えば、各機能や物理的資源を統合して実装したり、逆に、さらに分散して実装したり、さらには、構成の一部について他の構成の追加、削除、置換等をすることも可能である。

１０…ＥＣＵ、１１…プロセッサ、１２…ＲＡＭ、１３…ＲＯＭ、１１１…プログラム書き換え部、１１２…制御実行部、１１３…プログラム再書き換え部、１３１…スタートアッププログラム領域、１３２…第１ローダプログラム領域、１３３…第２ローダプログラム領域、１３４…制御プログラム領域

Claims

電気的にデータを書き換え可能な不揮発性メモリと、プロセッサとを含んで構成された車両用電子制御装置であって、
前記不揮発性メモリは、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備え、
前記プロセッサは、外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動するように構成され、
前記プロセッサは、前記車両用電子制御装置を起動するときに、前記複数のローダプログラム領域のなかに異常なローダプログラム領域が存在する場合には、当該異常なローダプログラム領域を再書き換え対象領域とし、所定のタイミングで、当該再書き換え対象領域のローダプログラムを前記正常なローダプログラム領域のローダプログラムで書き換える再書き換え処理を行うように構成された、車両用電子制御装置。
前記プロセッサは、前記再書き換え処理によっても前記再書き換え対象領域が正常にならない場合には前記再書き換え処理を繰り返して行い、繰り返し回数が所定の閾値を超えたときには、当該再書き換え対象領域において故障が生じていることを外部に対して通知するように構成された、請求項１記載の車両用電子制御装置。
前記プロセッサは、前記再書き換え処理が行われた頻度を前記複数のローダプログラム領域のそれぞれについて算出し、当該頻度が所定の閾値よりも高いローダプログラム領域が存在する場合には、外部に対して警告を出力するように構成された、請求項１記載の車両用電子制御装置。
前記プロセッサは、前記再書き換え処理が行われた頻度を前記複数のローダプログラム領域のそれぞれについて算出し、前記車両用電子制御装置を起動するときに、前記複数のローダプログラム領域のうち、前記再書き換え処理が行われた頻度が最も低いローダプログラム領域に格納されたローダプログラムを実行するように構成された、請求項１記載の車両用電子制御装置。
電気的にデータを書き換え可能な不揮発性メモリと、プロセッサとを含んで構成された車両用電子制御装置であって、
前記不揮発性メモリは、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備え、
前記プロセッサは、外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動するように構成され、
前記複数のローダプログラム領域のそれぞれは、ローダプログラムをさらに格納する予備領域を含み、
前記プロセッサは、前記複数のローダプログラム領域のそれぞれに格納されたローダプログラムを、さらに前記予備領域に格納するように構成された、車両用電子制御装置。
電気的にデータを書き換え可能な不揮発性メモリと、プロセッサとを含んで構成された車両用電子制御装置であって、
前記不揮発性メモリは、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備え、
前記プロセッサは、外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動するように構成され、
前記プロセッサは、前記複数のローダプログラム領域のうちの少なくとも２つが正常であるときにのみ、外部からのプログラム書き換え命令に応じたプログラム書き換えを行うように構成された、車両用電子制御装置。
前記プロセッサは、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のうちの１つのローダプログラム領域のローダプログラムを書き換え、当該ローダプログラム領域の書き換え後のローダプログラムが正常であるときに、さらに他のローダプログラム領域のローダプログラムの書き換えを行うように構成された、請求項１～６のいずれか１項に記載の車両用電子制御装置。
電気的にデータを書き換え可能な不揮発性メモリに、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備えた車両用電子制御装置のプロセッサが、
外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動し、
前記プロセッサが、前記車両用電子制御装置を起動するときに、前記複数のローダプログラム領域のなかに異常なローダプログラム領域が存在する場合には、当該異常なローダプログラム領域を再書き換え対象領域とし、所定のタイミングで、当該再書き換え対象領域のローダプログラムを前記正常なローダプログラム領域のローダプログラムで書き換える再書き換え処理を行う、プログラムの書き換え方法。
前記プロセッサが、前記再書き換え処理によっても前記再書き換え対象領域が正常にならない場合には前記再書き換え処理を繰り返して行い、繰り返し回数が所定の閾値を超えたときには、当該再書き換え対象領域において故障が生じていることを外部に対して通知する、請求項８記載のプログラムの書き換え方法。
前記プロセッサが、前記再書き換え処理が行われた頻度を前記複数のローダプログラム領域のそれぞれについて算出し、当該頻度が所定の閾値よりも高いローダプログラム領域が存在する場合には、外部に対して警告を出力する、請求項８記載のプログラムの書き換え方法。
前記プロセッサが、前記再書き換え処理が行われた頻度を前記複数のローダプログラム領域のそれぞれについて算出し、前記車両用電子制御装置を起動するときに、前記複数のローダプログラム領域のうち、前記再書き換え処理が行われた頻度が最も低いローダプログラム領域に格納されたローダプログラムを実行する、請求項８記載のプログラムの書き換え方法。
電気的にデータを書き換え可能な不揮発性メモリに、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備えた車両用電子制御装置のプロセッサが、
外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動し、
前記複数のローダプログラム領域のそれぞれは、ローダプログラムをさらに格納する予備領域を含み、
前記プロセッサが、前記複数のローダプログラム領域のそれぞれに格納されたローダプログラムを、さらに前記予備領域に格納する、プログラムの書き換え方法。
電気的にデータを書き換え可能な不揮発性メモリに、プログラム書き換えの対象外であるスタートアッププログラムが格納されるスタートアッププログラム領域及びプログラム書き換えの対象となり得るローダプログラムがそれぞれ格納される複数のローダプログラム領域を含む起動プログラム領域と、車載機器を制御する制御プログラムが格納される制御プログラム領域とを備えた車両用電子制御装置のプロセッサが、
外部からのプログラム書き換え命令に応じてプログラム書き換えを行うときに、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のそれぞれのローダプログラムを書き換え、前記車両用電子制御装置を起動するときに、前記スタートアッププログラムによって前記複数のローダプログラム領域のうち正常なローダプログラム領域に格納されたローダプログラムを実行し、当該ローダプログラムによって前記制御プログラムを起動し、
前記プロセッサが、前記複数のローダプログラム領域のうちの少なくとも２つが正常であるときにのみ、外部からのプログラム書き換え命令に応じたプログラム書き換えを行う、プログラムの書き換え方法。
前記プロセッサが、前記起動プログラム領域の書き換えにおいて、前記複数のローダプログラム領域のうちの１つのローダプログラム領域のローダプログラムを書き換え、当該ローダプログラム領域の書き換え後のローダプログラムが正常であるときに、さらに他のローダプログラム領域のローダプログラムの書き換えを行うように構成された、請求項８～１３のいずれか１項に記載のプログラムの書き換え方法。