JP7723554B2 - 車両用電子制御装置のプログラム書き換えシステム及びプログラム書き換え方法 - Google Patents

Description

本発明は、車両用電子制御装置のプログラム書き換えシステム及びプログラム書き換え方法に関する。

自動車などの車両に搭載された電子制御装置（ＥＣＵ：Electric Control Unit）で動作する制御プログラムに対し、ＥＣＵの機能変更や不具合改修などを目的として、新しいバージョンの制御プログラムへの書き換え（リプログラミング）が行われることがある。このようなＥＣＵの制御プログラムの書き換えに関連する技術の一例として、プログラム更新を行おうとしているユーザの情報である第１のユーザ情報と、プログラム更新の管理者として予め登録されているユーザの情報である第２のユーザ情報とを照合することによって車両のユーザが管理者であるか否かを判定し、判定の結果に基づいて制御プログラムの更新に関する処理を制御することにより、プログラム更新が管理者によって適切に行われるようにする技術が提案されている。

特開２０２０－２７６６８号公報

ここで、例えば、車両の製造工程において、ＥＣＵの製造拠点から車両の製造拠点にＥＣＵを出荷した後、車両の製造拠点における車両への組付け前の段階になってから、ＥＣＵの制御プログラムの書き換えの必要性が生じることがある。この場合、出荷済みのＥＣＵを再度ＥＣＵの製造拠点において回収し、製造拠点において制御プログラムの書き換えを行い、確認作業を行った後に、再度出荷するという流れで作業が行われていた。しかし、このような流れであると制御プログラムの書き換えに時間を要することから、ＥＣＵの出荷先である車両の製造拠点において制御プログラムの書き換え作業を直接行うことが求められるようになった。このため、出荷先の製造拠点においても、高い正確性をもって確実に制御プログラムの書き換えを行うことができるようにする方法が必要とされていた。

そこで、本発明の１つの態様では、ＥＣＵの制御プログラムの書き換え作業の精度を向上させることを目的とする。

本発明の１つの態様では、車両用電子制御装置と、前記車両用電子制御装置で動作する制御プログラムに対する書き換えプログラム及びプログラム書き換えに関連する設定情報を含んだ記述ファイルを用いて、前記制御プログラムの書き換えに用いる情報を含んだ書き換えファイルを生成するファイル生成装置と、前記車両用電子制御装置と通信可能に接続され、前記書き換えファイルに基づいて前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信するプログラム書き換え装置とを備えたプログラム書き換えシステムが、次のように構成される。すなわち、前記ファイル生成装置は、プログラムの書き換え対象とする車両用電子制御装置を示す対象情報を取得して、当該対象情報を含んだ前記書き換えファイルを生成するように構成される。前記プログラム書き換え装置は、前記書き換えファイルを取得し、当該書き換えファイルから前記対象情報を読み出して、当該対象情報を含んだ前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信するように構成される。前記車両用電子制御装置は、前記書き換え要求を受信したときに、当該書き換え要求から前記対象情報を読み出すとともに当該車両用電子制御装置が備えるメモリに格納された当該車両用電子制御装置の識別情報を読み出して、前記識別情報と前記対象情報とを照合し、当該照合結果に基づいて前記制御プログラムの書き換えを実行するか否かを決定するように構成される。

本発明によれば、ＥＣＵの制御プログラムの書き換え作業の精度を向上させることが可能となる。

本発明の一実施形態におけるプログラム書き換えシステムの一例を示すブロック図である。 本発明の一実施形態におけるプログラム書き換えシステムの概要の一例を示すブロック図である。 本発明の一実施形態におけるファイル生成装置による書き換えファイル生成処理の一例を示すフローチャートである。 本発明の一実施形態におけるプログラム書き換え装置によるプログラム書き換え処理の一例を示すフローチャートである。 本発明の一実施形態におけるＥＣＵによるプログラム書き換え処理の一例を示すフローチャートである。 本発明の一実施形態におけるプログラム書き換えシステムのデータの一例を示す説明図である。 本発明の一実施形態におけるプログラム書き換えシステムのデータ及び処理の一例を示す説明図である。

以下、添付された図面を参照し、本発明を実施するための実施形態の具体例について詳述する。なお、図面の一部においては、構成要素の符号のみを付し、名称の記載を省略している。

図１は、自動車等の車両に搭載されるＥＣＵにおいて動作する制御プログラムの書き換えを行うシステムの一例を示す。
システム１は、ファイル生成装置１０、プログラム書き換え装置２０及びＥＣＵ３０を備える。

ファイル生成装置１０は、プログラムの書き換え作業を行う作業者等が使用するコンピュータであり、ＥＣＵ３０の制御プログラムの書き換えを行うのに必要な情報を含んだ書き換えファイルを生成する機能を有する。ファイル生成装置１０は、プロセッサ１１、ＲＡＭ１２、ＲＯＭ１３及び入出力インタフェース１４を含む。

プロセッサ１１は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウェアであって、演算装置、命令や情報を格納するレジスタ、周辺回路などから構成されている。プロセッサ１１は、ＲＯＭ１３に格納されたプログラムをＲＡＭ１２にロードして実行する。プロセッサ１１は、プログラムを実行することによってその機能が実現する、書き換えファイル生成部１１１を備える。

書き換えファイル生成部１１１は、ＲＯＭ１３に格納された、書き換えプログラム１３１及び記述ファイル１３２を用いて、書き換えファイル５０１を生成する。このとき、書き換えファイル生成部１１１は、プログラムの書き換え対象とするＥＣＵ３０を示す情報（例えば、プログラムの書き換え対象とするＥＣＵ３０の属性、特性、機能や用途等を識別可能な情報）を取得する。そして、当該プログラムの書き換え対象とするＥＣＵ３０を示す対象情報６０１を含んだ書き換えファイル５０１を生成する。当該対象情報６０１は、例えば、作業者による入力によって指定された情報や、予め書き換えプログラム１３１に対応付けて設定された情報等によって取得することが可能である。

ＲＡＭ１２は、電源供給遮断によってデータが消失する揮発性メモリであり、プロセッサ１１が動作中に使用する一時的な記憶領域を提供する。
ＲＯＭ１３は、電気的にデータを書き換え可能な不揮発性メモリであり、例えば、フラッシュＲＯＭやＥＥＰＲＯＭを含む。ＲＯＭ１３は、ＥＣＵ３０の制御プログラム３３２に対する書き換えプログラム１３１と、プログラム書き換えに関連する設定情報（測定変数、バリアントの依存関係のデータオブジェクトに関する各種パラメータや通信用のパラメータ等）を含んだ記述ファイル１３２と、これらを用いて書き換えファイル生成部１１１により生成された書き換えファイル５０１（５０１－１）とが格納される領域を含む。この書き換えファイル５０１は、対象情報６０１（６０１－１）を含む。書き換えファイル５０１は、例えばＰＤＸファイル等である。

入出力インタフェース１４は、入出力装置（キーボード、マウス、タッチパネル及びディスプレイ等、図示省略）との情報の送受信を行い、ユーザ操作等による入力を受け付ける一方、コンピュータによる処理結果を出力する。また、入出力インタフェース１４は、ＵＳＢメモリや外付けストレージ等の外部メモリとの間のデータの書き込み及び読み出しを行う。

なお、図示を省略しているが、ファイル生成装置１０は、さらに、外部ネットワークとの通信を実現する通信インタフェース等を備える。

プログラム書き換え装置２０は、プログラムの書き換え作業を行う作業者等が使用するコンピュータであり、ＥＣＵ３０に直接アクセスしてＥＣＵ３０に制御プログラムの書き換え要求を送信する機能を有する。プログラム書き換え装置２０は、プロセッサ２１、ＲＡＭ２２、ＲＯＭ２３、通信インタフェース２４及び入出力インタフェース２５を含む。

プロセッサ２１は、プログラムの書き換えツールとして動作するプログラムを実行することによってその機能が実現する、プログラム書き換え部２１１を備える。
プログラム書き換え部２１１は、ファイル生成装置１０によって生成された書き換えファイル５０１を取得し、当該書き換えファイル５０１に含まれる対象情報６０１を含んだ制御プログラムの書き換え要求７０１を、ＥＣＵ３０に対して送信する。そして、ＥＣＵ３０から書き換えプログラムの転送要求を受信したときに、書き換えファイル５０１に含まれる書き換えプログラムをＥＣＵ３０に送信する。

ＲＡＭ２２は、プログラム書き換え部２１１が生成した、ＥＣＵ３０に対するプログラムの書き換え要求７０１（７０１－１）が格納される領域を含む。書き換え要求７０１は、対象情報６０１（６０１－３）を含む。
ＲＯＭ２３は、ファイル生成装置１０によって生成された、対象情報６０１（６０１－２）を含んだ書き換えファイル５０１（５０１－２）が格納される領域を含む。なお、当該書き換えファイル５０１もＲＡＭ２２にのみ書き込んで処理を実行するような構成にすることも可能である。

通信インタフェース２４は、ＥＣＵ３０との間で通信が可能なプロトコルでデータの送受信を行う。本実施形態では、一例として、ＥＣＵ３０を車両への組付ける前の段階を想定しているため、プログラム書き換え装置２０とＥＣＵ３０とが直接接続されてデータの送受信を行う。また、ファイル生成装置１０との間で通信することも可能であり、通信によって書き換えファイル５０１を受信することも可能である。
入出力インタフェース２５は、入出力装置との間で、ユーザ操作等による入力を受け付ける一方、コンピュータによる処理結果を出力するほか、ＵＳＢメモリや外付けストレージ等の外部メモリとの間のデータの書き込み及び読み出しを行う。

ＥＣＵ３０は、車載機器（例えば、燃料噴射弁、点火プラグ、自動変速機、ブラシレスモータなど）を、制御プログラムを実行することによって電子制御するマイクロコンピュータを備える。ＥＣＵ３０のマイクロコンピュータは、プロセッサ３１、ＲＡＭ３２、ＲＯＭ３３及び通信インタフェース３４を含む。

プロセッサ３１は、プログラムを実行することによってその機能が実現する、書き換え可否決定部３１１及びプログラム書き換え部３１２を備える。
書き換え可否決定部３１１は、ファイル生成装置１０で生成された、プログラムの書き換え対象とするＥＣＵ３０を示す対象情報６０１を含んだ書き換え要求７０１を受信したときに、ＲＯＭ３３に予め書き込まれたＥＣＵ３０の識別情報３３１を読み出すとともに書き換え要求７０１から対象情報６０１を読み出して、識別情報３３１と対象情報６０１とを照合し、当該照合結果に基づいて、制御プログラム３３２の書き換えを実行するか否かを決定する。

プログラム書き換え部３１２は、書き換え可否決定部３１１において、制御プログラム３３２の書き換えを実行すると決定したときに、プログラム書き換え装置２０から制御プログラム３３２に対する書き換えプログラムを受信し、受信した書き換えプログラムで制御プログラム３３２を書き換える。

ＲＡＭ３２は、電源供給遮断によってデータが消失する揮発性メモリであり、プロセッサ３１が動作中に使用する一時的な記憶領域を提供する。ＲＡＭ３２には、プログラム書き換え装置２０から受信した書き換え要求７０１（７０１－２）が格納される領域を含む。書き換え要求７０１は、対象情報６０１（６０１－４）を含む。

ＲＯＭ３３は、電気的にデータを書き換え可能な不揮発性メモリであり、例えば、フラッシュＲＯＭやＥＥＰＲＯＭを含む。ＲＯＭ３３は、ＥＣＵ３０を識別する情報（例えば、ＥＣＵ３０の属性、特性、機能や用途等を識別可能な情報）である識別情報３３１と、制御対象とする車載機器を制御する制御プログラム３３２が格納された領域を含む。

通信インタフェース３４は、例えばＣＡＮトランシーバ等で構成されており、プログラム書き換え装置２０や車載ネットワークとの間で通信を行う。
なお、図示を省略しているが、ＥＣＵ３０は、さらに、制御対象とする車載機器の制御に関連する外部機器に接続され、外部機器に対するアナログ信号及びデジタル信号の入出力機能を提供する入出力インタフェース等を備える。

次に、本システム１におけるプログラム書き換え処理の概要について、図２を参照しながら説明する。これ以降の本実施形態の説明においては、システム１の運用環境として、ＥＣＵ３０が、開発段階において用いられる開発用の装置と、車両への組み付け段階の製品である量産用の装置との２種類存在することを想定する。通常、開発用のＥＣＵで動作する制御プログラムと、量産用のＥＣＵで動作する制御プログラムは異なっていることが多いため、開発用のＥＣＵを対象とする書き換えプログラムは開発用のＥＣＵに、量産用のＥＣＵを対象とする書き換えプログラムは量産用のＥＣＵに対して正確に書き込む必要がある。図２を用いた説明では、開発用のＥＣＵをＥＣＵ３０Ａ、量産用のＥＣＵをＥＣＵ３０Ｂとする。なお、図２では、図１に示した構成要素の一部の図示を省略している。

まず、開発用のＥＣＵであるＥＣＵ３０Ａに対するプログラムの書き換えについて説明する。ファイル生成装置１０は、開発用のＥＣＵを対象とする書き換えプログラム１３１Ａ及び記述ファイル１３２Ａを用い、書き換えファイル５０１Ａを生成する。このとき、ファイル生成装置１０は、書き換えファイル５０１Ａに、プログラムの書き換え対象が開発用のＥＣＵであることを示す対象情報６０１Ａを含める（Ｓ１１－Ｓ１３）。

そして、プログラム書き換え装置２０では、当該書き換えファイル５０１Ａを、通信や各種の外付けメモリ等を介して取得する（Ｓ１４）。そして、プログラム書き換え装置２０では、当該書き換えファイル５０１Ａに含まれる対象情報６０１Ａを含んだプログラムの書き換え要求７０１Ａを生成してＥＣＵ３０Ａに送信し（Ｓ１５）、ＥＣＵ３０Ａで、当該書き換え要求７０１Ａを受信する（Ｓ１６）。なお、書き換えファイル５０１Ａに含まれる対象情報６０１Ａと、プログラムの書き換え要求７０１Ａに含める対象情報６０１Ａとは、値（データ内容）が完全同一である必要はなく、いずれもが開発用のＥＣＵを対象とすることを示す点で一致していればよい。

一方、ＥＣＵ３０Ａは、自装置が開発用のＥＣＵであることを示す識別情報３３１ＡをＲＯＭ１３において保持している。そして、ＥＣＵ３０Ａは、書き換えファイル５０１Ａに含まれる対象情報６０１Ａと識別情報３３１Ａとを照合し、両方が開発用のＥＣＵであることを示す情報であるため、制御プログラム３３２を書き換える。

同様に、量産用のＥＣＵであるＥＣＵ３０Ｂに対するプログラムの書き換えについて説明する。ファイル生成装置１０は、量産用のＥＣＵを対象とする書き換えプログラム１３１Ｂ及び記述ファイル１３２Ｂを用い、書き換えファイル５０１Ｂを生成する。このとき、ファイル生成装置１０は、書き換えファイル５０１Ｂに、プログラムの書き換え対象が量産用のＥＣＵであることを示す対象情報６０１Ｂを含める（Ｓ２１－Ｓ２３）。

そして、プログラム書き換え装置２０では、当該書き換えファイル５０１Ｂを、通信や各種の外付けメモリ等を介して取得する（Ｓ２４）。そして、プログラム書き換え装置２０では、当該書き換えファイル５０１Ｂに含まれる対象情報６０１Ｂを含んだプログラムの書き換え要求７０１Ｂを生成してＥＣＵ３０Ｂに送信し（Ｓ２５）、ＥＣＵ３０Ｂで、当該書き換え要求７０１Ｂを受信する（Ｓ２６）。なお、書き換えファイル５０１Ｂに含まれる対象情報６０１Ｂと、プログラムの書き換え要求７０１Ｂに含める対象情報６０１Ｂとにおいても、値（データ内容）が完全同一である必要はなく、いずれもが量産用のＥＣＵを対象とすることを示す点で一致していればよい。

一方、ＥＣＵ３０Ｂは、自装置が量産用のＥＣＵであることを示す識別情報３３１ＢをＲＯＭ１３において保持している。そして、ＥＣＵ３０Ｂは、書き換えファイル５０１Ｂに含まれる対象情報６０１Ｂと識別情報３３１Ｂとを照合し、両方が量産用のＥＣＵであることを示す情報であるため、制御プログラム３３２を書き換える。

ここで、プログラム書き換え装置２０が、プログラムの書き換え対象が開発用のＥＣＵである書き換え要求７０１Ａを、量産用のＥＣＵであるＥＣＵ３０Ｂに送信した場合（Ｓ３１）について説明する。この場合、ＥＣＵ３０Ｂでは、書き換え要求７０１Ａに含まれる対象情報６０１Ａと、自装置が量産用のＥＣＵであることを示す識別情報３３１Ｂとを照合する。その結果、対象情報６０１Ａと識別情報３３１Ｂとが示す対象のＥＣＵが不一致であるため、ＥＣＵ３０Ｂは制御プログラム３３２の書き換えを行わない。

また同様に、プログラム書き換え装置２０が、プログラムの書き換え対象が量産用のＥＣＵである書き換え要求７０１Ｂを、開発用のＥＣＵであるＥＣＵ３０Ａに送信した場合（Ｓ３２）、ＥＣＵ３０Ａでは、書き換え要求７０１Ｂに含まれる対象情報６０１Ｂと、自装置が開発用のＥＣＵであることを示す識別情報３３１Ａとを照合する。その結果、対象情報６０１Ｂと識別情報３３１Ａとが示す対象のＥＣＵが不一致であるため、ＥＣＵ３０Ａは制御プログラムの書き換えを行わない。

したがって、開発用のＥＣＵを対象とする書き換えプログラムで量産用のＥＣＵであるＥＣＵ３０Ｂの制御プログラムを書き換えること、また、量産用のＥＣＵを対象とする書き換えプログラムで開発用のＥＣＵであるＥＣＵ３０Ａの制御プログラムを書き換えてしまう状況を回避することが可能となる。

次に、ファイル生成装置１０で実行される処理の一例について、図３に示すフローチャートを参照しながら説明する。
ステップ１００１で、書き換えファイル生成部１１１は、ユーザによる操作等に応じて、書き換えプログラム１３１及び記述ファイル１３２をＲＯＭ１３から読み出して取得する。なお、これらの書き換えプログラム１３１及び記述ファイル１３２は、ネットワークや各種の外付けメモリ等を介して取得することも可能である。

ステップ１００２で、書き換えファイル生成部１１１は、プログラムの書き換えを行う対象を、開発用のＥＣＵと量産用のＥＣＵとのいずれとするかを示す情報を取得する。前述したように、当該情報は、例えば、作業者による入力によって指定された情報や、予め書き換えプログラム１３１に対応付けて設定された情報等によって取得することが可能である。

ステップ１００３で、書き換えファイル生成部１１１は、ステップ１００２で取得した情報が、開発用のＥＣＵと量産用のＥＣＵとのいずれを示しているかを判定する。開発用のＥＣＵである場合にはステップ１００４に進み、量産用のＥＣＵである場合にはステップ１００５に進む。

ステップ１００４で、書き換えファイル生成部１１１は、プログラムの書き換え対象が開発用のＥＣＵであることを示す対象情報６０１を含んだ書き換えファイル５０１を生成する。
ステップ１００５で、書き換えファイル生成部１１１は、プログラムの書き換え対象が量産用のＥＣＵであることを示す対象情報６０１を含んだ書き換えファイル５０１を生成する。

次に、プログラム書き換え装置２０で実行される処理の一例について、図４に示すフローチャートを参照しながら説明する。
ステップ１０１１で、プログラム書き換え部２１１は、ユーザによる操作等に応じて、ファイル生成装置１０によって生成された書き換えファイル５０１を取得する。書き換えファイル５０１は、ネットワークや各種の外付けメモリ等を介して取得することが可能である。

ステップ１０１２で、プログラム書き換え部２１１は、書き換えファイル５０１から、対象情報６０１を読み出して取得する。換言すれば、プログラム書き換え部２１１は、プログラムの書き換えを行う対象を、開発用のＥＣＵと量産用のＥＣＵとのいずれとするかを示す情報を取得する。

ステップ１０１３で、プログラム書き換え部２１１は、対象情報６０１を含んだプログラムの書き換え要求７０１Ａを生成し、ＥＣＵ３０に対して送信する。
ステップ１０１４で、プログラム書き換え部２１１は、ＥＣＵ３０から、プログラムの書き換えを実行するか否かを示す応答を受信する。より具体的には、当該応答は、プログラムの書き換えを実行するときには書き換えプログラムの転送要求であり、書き換えを実行しないときには、書き換え処理の中止を通知する応答となる。

ステップ１０１５で、プログラム書き換え部２１１は、ステップ１０１４で受信した応答が、プログラムの書き換えを実行することを示す応答であったか否かを判定する。プログラムの書き換えを実行する場合にはステップ１０１６に進み、実行しない場合にはステップ１０１７に進む。

ステップ１０１６で、プログラム書き換え部２１１は、ＥＣＵ３０に対して、書き換えファイル５０１に含まれる書き換えプログラムを送信する。
ステップ１０１７で、プログラム書き換え部２１１は、ＥＣＵ３０において制御プログラムの書き換えが行われないことを通知する警告を出力する。当該警告は任意の方法で行うことが可能である。例えば、プログラム書き換え部２１１は、ディスプレイ等の出力装置（図示省略）によって出力したり、所定のアドレスにメッセージを送信したりすることができる。

次に、ＥＣＵ３０で実行される処理の一例について、図５に示すフローチャートを参照しながら説明する。
ステップ１０２１で、書き換え可否決定部３１１は、プログラム書き換え装置２０から、書き換え要求７０１を受信する。

ステップ１０２２で、書き換え可否決定部３１１は、ＲＯＭ３３から識別情報３３１を読み出して取得する。
ステップ１０２３で、書き換え可否決定部３１１は、書き換え要求７０１に含まれる対象情報６０１を読み出して取得する。

ステップ１０２４で、書き換え可否決定部３１１は、識別情報３３１が開発用のＥＣＵと量産用のＥＣＵとのいずれを示しているかを判定する。開発用のＥＣＵを示している場合にはステップ１０２５に進み、量産用のＥＣＵを示している場合にはステップ１０２８に進む。

ステップ１０２５で、書き換え可否決定部３１１は、対象情報６０１が開発用のＥＣＵと量産用のＥＣＵとのいずれを示しているかを判定する。開発用のＥＣＵを示している場合には、ステップ１０２６に進み、量産用のＥＣＵを示している場合には、ステップ１０２７に進む（Ｎｏ）。

ステップ１０２６で、書き換え可否決定部３１１は、識別情報３３１及び対象情報６０１のいずれもが開発用のＥＣＵであることを示しているため、制御プログラム３３２を書き換える条件が成立したと判別する。
ステップ１０２７で、書き換え可否決定部３１１は、識別情報３３１が開発用のＥＣＵを示している一方で対象情報６０１が量産用装置を示しているため、制御プログラム３３２を書き換える条件が成立していないと判別する。

ステップ１０２８で、書き換え可否決定部３１１は、対象情報６０１が開発用のＥＣＵと量産用のＥＣＵとのいずれを示しているかを判定する。量産用のＥＣＵを示している場合には、ステップ１０２９に進み、開発用のＥＣＵを示している場合には、ステップ１０３０に進む。

ステップ１０２９で、書き換え可否決定部３１１は、識別情報３３１及び対象情報６０１のいずれもが量産用のＥＣＵであることを示しているため、制御プログラム３３２を書き換える条件が成立したと判別する。
ステップ１０３０で、書き換え可否決定部３１１は、識別情報３３１が量産用のＥＣＵを示している一方で対象情報６０１が開発用のＥＣＵを示しているため、制御プログラム３３２を書き換える条件が成立していないと判別する。

ステップ１０３１で、書き換え可否決定部３１１は、制御プログラム３３２を書き換える条件が成立したか否かを判定する。条件が成立している場合には、書き換え可否決定部３１１は、制御プログラムの書き換えを実行することを決定してステップ１０３２に進み（Ｙｅｓ）、条件が成立していない場合には、制御プログラム３３２の書き換えを実行しないことを決定し、ステップ１０３３に進む（Ｎｏ）。

ステップ１０３２で、プログラム書き換え部３１２は、制御プログラム３３２の書き換え処理を実行する。より具体的には、プログラム書き換え部３１２は、プログラム書き換え装置２０に対して、制御プログラム３３２に対する書き換えプログラムの転送要求を送信する。そして、プログラム書き換え装置２０が転送要求に応じて送信した書き換えプログラムを受信し、当該書き換えプログラムを用いて制御プログラム３３２を書き換える。

ステップ１０３３で、プログラム書き換え部３１２は、制御プログラム３３２の書き換えを行わないことを示す情報（エラー）を出力する。このとき、前述したように、プログラム書き換え装置２０を介して警告を出力することが可能である。

ここで、本システム１において実行されるプログラムの書き換え処理について、ＩＳＯ１４２２９－１で定められるＥＣＵの診断用の通信プロトコルであるＵＤＳ（Unified Diagnostic Services）プロトコルに従ったデータの具体例を示しつつ説明する。

図６は、ＵＤＳプロトコルに基づいたプログラムの書き換え要求７０１のデータ構造の具体例を示している。この書き換え要求７０１は、書き換えファイル５０１のＰＤＸファイルに基づいて生成され、ＳＩＤ（Service Identifier）が「３４」の「Download Request」を示す。そして、当該書き換え要求７０１は、「dataFormatIdentifier」のパラメータを備える。この「dataFormatIdentifier」のパラメータには、上位４ビットに圧縮情報である「compressionMethod」が含まれ、下位４ビットに暗号化情報である「encryptionMethod」が含まれる。本実施形態では、この「compressionMethod」の値の定義を新たに設け、対象情報６０１を設定することにより、書き換え要求７０１に対象情報６０１を含めることを実現させる。より具体的には、「compressionMethod」が「1111b」であるときに開発用のＥＣＵの制御プログラム３３２を書き換え対象とすることを示し、「0001b」であるときに量産用のＥＣＵの制御プログラム３３２を書き換え対象とするものとして定義する。

図７は、このようなＵＤＳプロトコルに基づいた書き換え要求７０１を用いて、プログラム書き換え装置２０及びＥＣＵ３０の間でどのようなデータが送受信されるかについての具体例を示している。図７（Ａ）は、制御プログラム３３２の書き換えを実行する場合、図７（Ｂ）は制御プログラム３３２の書き換えを実行しない場合について図示している。

図７（Ａ）を参照すると、まず、プログラム書き換え装置２０は、ＳＩＤが「３４」の「Download Parameter（Download Request）」のデータをＥＣＵ３０に対して送信する。そして、ＥＣＵ３０の書き換え可否決定部３１１では、前述した「compressionMethod」に設定された対象情報６０１に基づいて、制御プログラム３３２の書き換えを実行するか否かを判別する。例えば、ＥＣＵ３０のＲＯＭ１３に格納された識別情報３３１が、開発用のＥＣＵであることを示す情報（EngineeringKEY）である場合、「compressionMethod」の値が「1111b」であれば制御プログラム３３２の書き換えを実行し、「0001b」であれば書き換えを実行しない。逆に、識別情報３３１が、量産用のＥＣＵであることを示す情報（EngineeringKEY以外）である場合、「compressionMethod」の値が「0001b」であれば制御プログラム３３２の書き換えを実行し、「1111b」であれば書き換えを実行しない。

ＥＣＵ３０のプログラム書き換え部３１２は、書き換え可否決定部３１１によって制御プログラム３３２の書き換えを実行すると決定されると、制御プログラム３３２（Code Flush）を消去する。このとき、プログラム書き換え部３１２は、プログラム書き換え装置２０に対して「7F 34 78」のデータを送信し、データの消去が終了すると、「Download Request」に対する応答として、ＳＩＤが「７４」のデータを必要なパラメータとともに返信する。

そして、プログラム書き換え装置２０は、ＳＩＤが「３６」の「Transfer Data」のデータ、すなわち、制御プログラム３３２に対する書き換えプログラムを含んだデータをＥＣＵ３０に送信する。そして、ＥＣＵ３０のプログラム書き換え部３１２は、制御プログラム３３２に対する書き換え処理を行う。このとき、プログラム書き換え部３１２は、プログラム書き換え装置２０に対して「7F 36 78」のデータを送信し、データの書き換えが終了すると、「Transfer Data」に対する応答として、ＳＩＤが「７６」のデータを必要なパラメータとともに返信する。

一方、図７（Ｂ）では、プログラム書き換え装置２０が、ＳＩＤが「３４」の「Download Parameter（Download Request）」のデータをＥＣＵ３０に対して送信する。しかし、ＥＣＵ３０の書き換え可否決定部３１１において、制御プログラム３３２の書き換えを実行しないと決定されたものとする。この場合、ＥＣＵ３０の書き換え可否決定部３１１は、プログラム書き換え装置２０に対して、書き換えが行われなかったことを示す「7F 34 31」のデータを送信する。当該データによって、プログラム書き換え装置２０は、ＥＣＵ３０において制御プログラム３３２の書き換えが行われなかったことを識別することが可能となる。

このように、本実施形態によれば、ＥＣＵ３０の制御プログラム３３２に対する書き換えが発生したときに、ファイル生成装置１０によって、開発用のＥＣＵと量産用のＥＣＵとのいずれの制御プログラム３３２を書き換え対象とするかを示す対象情報６０１を含んだ書き換えファイル５０１が生成される。そして、プログラム書き換え装置２０では、当該書き換えファイル５０１を用い、対象情報６０１を含んだ書き換え要求７０１をＥＣＵ３０に送信する。そして、ＥＣＵ３０では、自装置の識別情報３３１と、書き換え要求７０１に含まれた対象情報６０１とを照合して、両方が開発用のＥＣＵを示している場合又は両方が量産用のＥＣＵを示している場合のみ、制御プログラム３３２の書き換えを実行する。これにより、開発用のＥＣＵを対象とする書き換えプログラムで量産用のＥＣＵの制御プログラムを書き換えてしまうこと、また、量産用のＥＣＵを対象とする書き換えプログラムで開発用のＥＣＵの制御プログラムを書き換えてしまうことを回避することが可能となる。したがって、開発用のＥＣＵ３０と量産用のＥＣＵ３０が両方存在する作業環境においても、プログラムの書き換え作業を正確に行うことが可能となり、プログラムの書き換え作業の精度を向上させることができる。その結果、意図しない制御プログラムの書き換えが行われたＥＣＵ３０が市場に流出することを回避することが可能となる。

また、このとき、ＥＣＵ３０において制御プログラム３３２の書き換えを実行しないと決定したときには、書き換え処理が中止され、プログラム書き換え装置２０に対してエラーが返信される。これにより、プログラム書き換え装置２０において、書き換えに失敗したことを示す警告を出力することができる。このため、作業者は、書き換え作業に不具合があったことをすぐに把握することができ、作業をやり直すこと等が可能となる。

なお、本実施形態では、開発用のＥＣＵと量産用のＥＣＵとを識別してプログラムの書き換えを制御する例を用いて説明したが、ＥＣＵ３０において保持する識別情報３３１や、書き換えファイル５０１及び書き換え要求７０１で保持する対象情報６０１における値の定義を変えることにより、任意の識別対象についてプログラム書き換え処理の可否を判別することができる。例えば、プログラム書き換え処理の可否をさらに細かい種別ごとに判別したい場合には、識別情報３３１及び対象情報６０１のいずれにも、当該種別ごとに異なる値を設定しておき、両者を照合するようにすればよい。さらには、プログラム書き換え処理の可否をＥＣＵ３０の個体ごとに判別したい場合には、識別情報３３１及び対象情報６０１のいずれにも、ＥＣＵ３０の個体を識別可能な識別子を設定してもよい。

また、本実施形態では、ＥＣＵ３０が車両に組付けられる前を想定して説明したが、車両への組付け後においても適用可能である。例えば、ＯＴＡ（Over the Air）によって車両に搭載されたＥＣＵのプログラムを書き換えるシステム等においても、本実施形態で説明した技術を適用して、車両に送信される書き換え要求にＥＣＵの対象情報を含め、プログラムの書き換え対象とするＥＣＵにも識別情報を予め設定しておき、識別情報と対象情報と照合することによって書き換えを実行するか否かを決定する制御を行うことにより、誤ったＥＣＵを対象としてプログラムの書き換えを行ってしまうことを回避することが可能となる。

以上説明した本発明の実施形態は、本発明の技術的範囲で考え得る実施態様の一部に過ぎず、本発明の例示として開示されるものであって、本発明の技術的範囲を制限するものではない。また、各実施形態における機能的構成及び物理的構成は、前述の態様に限定されるものではなく、例えば、各機能や物理的資源を統合して実装したり、逆に、さらに分散して実装したり、さらには、構成の一部について他の構成の追加、削除、置換等をすることも可能である。

１０…ファイル生成装置、１１１…書き換えファイル生成部、２０…プログラム書き換え装置、２１１…プログラム書き換え部、３０…ＥＣＵ、３１１…書き換え可否決定部、３１２…プログラム書き換え部、３３１…識別情報、３３２…制御プログラム、５０１…書き換えファイル、６０１…対象情報、７０１…書き換え要求

Claims (5)

1. 車両用電子制御装置と、
   前記車両用電子制御装置で動作する制御プログラムに対する書き換えプログラム及びプログラム書き換えに関連する設定情報を含んだ記述ファイルを用いて、前記制御プログラムの書き換えに用いる情報を含んだ書き換えファイルを生成するファイル生成装置と、
   前記車両用電子制御装置と通信可能に接続され、前記書き換えファイルに基づいて前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信するプログラム書き換え装置と
   を備えたプログラム書き換えシステムであって、
   前記ファイル生成装置は、プログラムの書き換え対象とする車両用電子制御装置を示す対象情報を取得して、当該対象情報を含んだ前記書き換えファイルを生成するように構成され、
   前記プログラム書き換え装置は、前記書き換えファイルを取得し、当該書き換えファイルから前記対象情報を読み出して、当該対象情報を含んだ前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信するように構成され、
   前記車両用電子制御装置は、前記書き換え要求を受信したときに、当該書き換え要求から前記対象情報を読み出すとともに当該車両用電子制御装置が備えるメモリに格納された当該車両用電子制御装置の識別情報を読み出して、前記識別情報と前記対象情報とを照合し、当該照合結果に基づいて前記制御プログラムの書き換えを実行するか否かを決定するように構成された、プログラム書き換えシステム。
2. 前記識別情報が、前記車両用電子制御装置が開発段階において用いられる開発用の装置と車両への組み付け段階の製品である量産用の装置とのいずれであるかを示す情報である一方、前記対象情報は、プログラムの書き換え対象とする車両用電子制御装置が前記開発用の装置と前記量産用の装置とのいずれであるかを示す情報であり、
   前記車両用電子制御装置は、前記対象情報及び前記識別情報の両方が前記開発用の装置であることを示す情報であるとき、又は、前記対象情報及び前記識別情報の両方が前記量産用の装置であることを示す情報であるときに、前記制御プログラムの書き換えを実行すると決定するように構成された、請求項１に記載のプログラム書き換えシステム。
3. 前記車両用電子制御装置は、前記制御プログラムの書き換えを実行しないと決定したときに警告を出力するように構成された、請求項１又は２に記載のプログラム書き換えシステム。
4. 前記車両用電子制御装置は、前記制御プログラムの書き換えを実行すると決定したときに、前記制御プログラムに対する書き換えプログラムの転送要求を前記プログラム書き換え装置に送信して、当該転送要求に応じて前記プログラム書き換え装置から送信された前記書き換えプログラムを受信し、当該書き換えプログラムを用いて前記制御プログラムを書き換えるように構成された、請求項１～３のいずれか１項に記載のプログラム書き換えシステム。
5. 車両用電子制御装置と、
   前記車両用電子制御装置で動作する制御プログラムに対する書き換えプログラム及びプログラム書き換えに関連する設定情報を含んだ記述ファイルを用いて、前記制御プログラムの書き換えに用いる情報を含んだ書き換えファイルを生成するファイル生成装置と、
   前記車両用電子制御装置と通信可能に接続され、前記書き換えファイルに基づいて前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信するプログラム書き換え装置と
   が実行するプログラム書き換え方法であって、
   前記ファイル生成装置が、プログラムの書き換え対象とする車両用電子制御装置を示す対象情報を取得して、当該対象情報を含んだ前記書き換えファイルを生成し、
   前記プログラム書き換え装置が、前記書き換えファイルを取得し、当該書き換えファイルから前記対象情報を読み出して、当該対象情報を含んだ前記制御プログラムの書き換え要求を前記車両用電子制御装置に対して送信し、
   前記車両用電子制御装置が、前記書き換え要求を受信したときに、当該書き換え要求から前記対象情報を読み出すとともに当該車両用電子制御装置が備えるメモリに格納された当該車両用電子制御装置の識別情報を読み出して、前記識別情報と前記対象情報とを照合し、当該照合結果に基づいて前記制御プログラムの書き換えを実行するか否かを決定する、
   プログラム書き換え方法。