JPH07311603A - 自動車用制御装置 - Google Patents
自動車用制御装置Info
- Publication number
- JPH07311603A JPH07311603A JP6101177A JP10117794A JPH07311603A JP H07311603 A JPH07311603 A JP H07311603A JP 6101177 A JP6101177 A JP 6101177A JP 10117794 A JP10117794 A JP 10117794A JP H07311603 A JPH07311603 A JP H07311603A
- Authority
- JP
- Japan
- Prior art keywords
- storage means
- rewriting
- outside
- transfer program
- program
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Stored Programmes (AREA)
- Control By Computers (AREA)
- Combined Controls Of Internal Combustion Engines (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】
【目的】 プログラムの機密性、及び保護性を大幅に向
上させるようになされ、しかも、プログラムの初期書き
込み時に不必要なセキュリティー動作を行わずに、障害
回復に費やす時間を最小限とすることができ、また、オ
ン・ボード・書き換え動作におけるデータ転送に割り込
み処理を使用することができるとともに、高速で且つ高
信頼性のプロトコルを容易に採用することができ、か
つ、自動車用オン・ボード・書き換えシステムを安価に
構成することのできる、自動車用制御装置を提供するこ
と。 【構成】 オン・ボード・プログラム書き換え機（１
０）の転送プログラム（１５）を、ＭＣＵ（２）内のＲ
ＡＭ（７）に転送し、この転送プログラムの作用により
フラッシュＲＯＭ（４）を書き換える。このＲＡＭ
（７）上の転送プログラムを起動する以前に、外部より
与えられるコード（１７ａ）と、もとあるＲＯＭ上のコ
ード（４ａ）との一致を調べ、不一致の場合は書き換え
動作を停止する書き換え制御手段（６）を、ＭＣＵ
（２）内部に構成することにより達成される。
上させるようになされ、しかも、プログラムの初期書き
込み時に不必要なセキュリティー動作を行わずに、障害
回復に費やす時間を最小限とすることができ、また、オ
ン・ボード・書き換え動作におけるデータ転送に割り込
み処理を使用することができるとともに、高速で且つ高
信頼性のプロトコルを容易に採用することができ、か
つ、自動車用オン・ボード・書き換えシステムを安価に
構成することのできる、自動車用制御装置を提供するこ
と。 【構成】 オン・ボード・プログラム書き換え機（１
０）の転送プログラム（１５）を、ＭＣＵ（２）内のＲ
ＡＭ（７）に転送し、この転送プログラムの作用により
フラッシュＲＯＭ（４）を書き換える。このＲＡＭ
（７）上の転送プログラムを起動する以前に、外部より
与えられるコード（１７ａ）と、もとあるＲＯＭ上のコ
ード（４ａ）との一致を調べ、不一致の場合は書き換え
動作を停止する書き換え制御手段（６）を、ＭＣＵ
（２）内部に構成することにより達成される。
Description
【０００１】
【産業上の利用分野】本発明は、自動車用制御装置に関
し、特に、自動車用制御装置に格納される制御ソフトウ
ェアのオン・ボード書き換え技術に関する。
し、特に、自動車用制御装置に格納される制御ソフトウ
ェアのオン・ボード書き換え技術に関する。
【０００２】
【従来の技術】近年、大規模な電気的書き換え可能メモ
リ（Ｅ2ＰＲＯＭやフラッシュＲＯＭ）が実用化され、
自動車用制御機器の内部にも使用されるようになってき
ている。用途としては、制御定数の格納や制御アルゴリ
ズムの格納等であり、以下のような利便性を提供すると
考えられている。
リ（Ｅ2ＰＲＯＭやフラッシュＲＯＭ）が実用化され、
自動車用制御機器の内部にも使用されるようになってき
ている。用途としては、制御定数の格納や制御アルゴリ
ズムの格納等であり、以下のような利便性を提供すると
考えられている。
【０００３】自動車メーカからの製品出荷後において
発見されたソフトウェア・バグに対して、フィールドで
容易にオン・ボード書き換えで対応できる。 自動車の構成部品の劣化及び経時変化に対して、制御
装置内に格納されたマッチング定数の書き換えで対応で
きる。 製品出荷後において、オプション部品着脱等で制御装
置の構成が変更になる場合、その構成に見合った制御ソ
フトを再ロードできる。
発見されたソフトウェア・バグに対して、フィールドで
容易にオン・ボード書き換えで対応できる。 自動車の構成部品の劣化及び経時変化に対して、制御
装置内に格納されたマッチング定数の書き換えで対応で
きる。 製品出荷後において、オプション部品着脱等で制御装
置の構成が変更になる場合、その構成に見合った制御ソ
フトを再ロードできる。
【０００４】上記の、に対しては、例えば、文献
「Cost-effective field reprogrammable code-flash m
emory technology. 」(Spec Publ Soc Automot Eng NO.
SP-739PAGE.55-59 1988）から明らかであり、に対し
ては、例えば、特開平３−１４９３３７号公報に開示さ
れている。また、このようなオン・ボード書き換えに当
たっては、ユーザが設計した書き換え用の転送プログラ
ムを外部よりワンチップ・マイクロコンピュータ内部の
ＲＡＭ領域に読み込み、それによって書き換えを実施し
ようとする技術は、例えば、「H8/538F ハードウェアマ
ニュアル」（（株）日立製作所 半導体事業部発行平成
５年８月 第１版）等の文献で述べられているとおり、
既に知られている。
「Cost-effective field reprogrammable code-flash m
emory technology. 」(Spec Publ Soc Automot Eng NO.
SP-739PAGE.55-59 1988）から明らかであり、に対し
ては、例えば、特開平３−１４９３３７号公報に開示さ
れている。また、このようなオン・ボード書き換えに当
たっては、ユーザが設計した書き換え用の転送プログラ
ムを外部よりワンチップ・マイクロコンピュータ内部の
ＲＡＭ領域に読み込み、それによって書き換えを実施し
ようとする技術は、例えば、「H8/538F ハードウェアマ
ニュアル」（（株）日立製作所 半導体事業部発行平成
５年８月 第１版）等の文献で述べられているとおり、
既に知られている。
【０００５】ところで、外部より書き換え転送用のプロ
グラムを読み込み、それに制御を委ねる方式のオン・ボ
ード書き換えでは、正規の書き換えプログラムではな
く、内部情報出力用の偽プログラムをロードされる可能
性が不可避である。しかも、この書き換え用の転送プロ
グラムの作成法は一般に公開されているので、誰にでも
書き換え用の転送プログラムが自在に作成でき、その結
果として偽プログラムを用いて内部コードを改ざんする
ことは、誰にでも容易にできる。
グラムを読み込み、それに制御を委ねる方式のオン・ボ
ード書き換えでは、正規の書き換えプログラムではな
く、内部情報出力用の偽プログラムをロードされる可能
性が不可避である。しかも、この書き換え用の転送プロ
グラムの作成法は一般に公開されているので、誰にでも
書き換え用の転送プログラムが自在に作成でき、その結
果として偽プログラムを用いて内部コードを改ざんする
ことは、誰にでも容易にできる。
【０００６】そこで、いわゆるフィールドで、制御ソフ
ト及び定数の書き換えを許すシステムにおいては、その
コードの機密性の保持と、正規操作以外の書き換え（改
ざん）に対するコードの保護とが重要な課題になってく
る。たとえば、外付けＥＰＲＯＭに関しては、所定のタ
イミングで外部記憶手段のデータに基づくチェックデー
タを作成し、このチェックデータと内部記憶手段内のチ
ェックデータとを比較し、その両者が不一致のときは外
部記憶手段のデータの改ざんが行われたとして異常モー
ドを設定するようにした制御装置が知られている（例え
ば、特開平３−２３８５４１号公報参照）。
ト及び定数の書き換えを許すシステムにおいては、その
コードの機密性の保持と、正規操作以外の書き換え（改
ざん）に対するコードの保護とが重要な課題になってく
る。たとえば、外付けＥＰＲＯＭに関しては、所定のタ
イミングで外部記憶手段のデータに基づくチェックデー
タを作成し、このチェックデータと内部記憶手段内のチ
ェックデータとを比較し、その両者が不一致のときは外
部記憶手段のデータの改ざんが行われたとして異常モー
ドを設定するようにした制御装置が知られている（例え
ば、特開平３−２３８５４１号公報参照）。
【０００７】
【発明が解決しようとする課題】ところが、大規模Ｅ2
ＰＲＯＭ及びフラッシュＲＯＭ内蔵の車載用ワンチップ
・マイクロコンピュータに関しては、そのコードの機密
性の保持、及び正規操作以外の書き換え（改ざん）に対
するコードの保護に関する技術は開発されていなかっ
た。
ＰＲＯＭ及びフラッシュＲＯＭ内蔵の車載用ワンチップ
・マイクロコンピュータに関しては、そのコードの機密
性の保持、及び正規操作以外の書き換え（改ざん）に対
するコードの保護に関する技術は開発されていなかっ
た。
【０００８】また、ユーザが作成した書き換え用の転送
プログラムを、外部よりワンチップ・マイクロコンピュ
ータ内にロードして書き換えを行う場合、書き換えプロ
グラムのアルゴリズムに対する自由度が少ないという問
題点がある。例えば、割り込みベクタは、通常書き換え
るべきフラッシュＲＯＭ上のアドレス空間にマッピング
されており、書き換え動作中は割り込み処理を使用でき
ないということが発生する。
プログラムを、外部よりワンチップ・マイクロコンピュ
ータ内にロードして書き換えを行う場合、書き換えプロ
グラムのアルゴリズムに対する自由度が少ないという問
題点がある。例えば、割り込みベクタは、通常書き換え
るべきフラッシュＲＯＭ上のアドレス空間にマッピング
されており、書き換え動作中は割り込み処理を使用でき
ないということが発生する。
【０００９】本発明は、このような問題に鑑みてなされ
たものであって、その目的は、プログラムの機密性、及
び保護性を大幅に向上させるようになされ、しかも、プ
ログラムの初期書き込み時に不必要なセキュリティー動
作を行わずに、障害回復に費やす時間を最小限とするこ
とができ、また、オン・ボード・書き換え動作における
データ転送に割り込み処理を使用することができるとと
もに、高速で且つ高信頼性のプロトコルを容易に採用す
ることができ、かつ、自動車用オン・ボード・書き換え
システムを安価に構成することのできる、自動車用制御
装置を提供することである。
たものであって、その目的は、プログラムの機密性、及
び保護性を大幅に向上させるようになされ、しかも、プ
ログラムの初期書き込み時に不必要なセキュリティー動
作を行わずに、障害回復に費やす時間を最小限とするこ
とができ、また、オン・ボード・書き換え動作における
データ転送に割り込み処理を使用することができるとと
もに、高速で且つ高信頼性のプロトコルを容易に採用す
ることができ、かつ、自動車用オン・ボード・書き換え
システムを安価に構成することのできる、自動車用制御
装置を提供することである。
【００１０】
【課題を解決するための手段】前記の目的を達成すべ
く、本発明に係わる自動車用制御装置は、基本的には、
制御のためのアルゴリズムとデータを記憶した書き換え
可能な記憶手段と、該記憶手段のアルゴリズムとデータ
に基づいて車載機器を制御するようにしたＣＰＵとを処
理装置内部に格納するとともに、前記書き換え可能な記
憶手段の内容が、通常前記処理装置外部から読みだし不
能となるように梱包されてなる自動車用制御装置であっ
て、前記処理装置内部に、外部からの前記記憶手段の書
き換え指令を判別する書き換えモード判別手段と、外部
と通信を行うシリアル通信手段と、書き換えモード初期
に該シリアル通信手段を通じて外部よりロードされた転
送プログラムが一時的にロードされる一時記憶手段と、
前記書き換えモード判別手段の信号を受けて前記一時記
憶手段に転送プログラムをロードし所定のタイミングで
制御を該転送プログラムに委ねる書き換え制御手段と、
を備えるとともに、前記転送プログラムの働きによって
前記シリアル転送手段を通じて外部より受信されたコー
ドにより前記書き換え可能な記憶手段の内容を更新する
機能を有する自動車用制御装置において、前記書き換え
制御手段は、前記転送プログラムに制御を委ねる以前の
所定のタイミングで外部より受信したコードと、前記書
き換え可能な記憶手段の特定番地に予め格納されたコー
ドとを比較し、不一致の場合は書き換えモードを中止す
る機能を備えたことを特徴としている。
く、本発明に係わる自動車用制御装置は、基本的には、
制御のためのアルゴリズムとデータを記憶した書き換え
可能な記憶手段と、該記憶手段のアルゴリズムとデータ
に基づいて車載機器を制御するようにしたＣＰＵとを処
理装置内部に格納するとともに、前記書き換え可能な記
憶手段の内容が、通常前記処理装置外部から読みだし不
能となるように梱包されてなる自動車用制御装置であっ
て、前記処理装置内部に、外部からの前記記憶手段の書
き換え指令を判別する書き換えモード判別手段と、外部
と通信を行うシリアル通信手段と、書き換えモード初期
に該シリアル通信手段を通じて外部よりロードされた転
送プログラムが一時的にロードされる一時記憶手段と、
前記書き換えモード判別手段の信号を受けて前記一時記
憶手段に転送プログラムをロードし所定のタイミングで
制御を該転送プログラムに委ねる書き換え制御手段と、
を備えるとともに、前記転送プログラムの働きによって
前記シリアル転送手段を通じて外部より受信されたコー
ドにより前記書き換え可能な記憶手段の内容を更新する
機能を有する自動車用制御装置において、前記書き換え
制御手段は、前記転送プログラムに制御を委ねる以前の
所定のタイミングで外部より受信したコードと、前記書
き換え可能な記憶手段の特定番地に予め格納されたコー
ドとを比較し、不一致の場合は書き換えモードを中止す
る機能を備えたことを特徴としている。
【００１１】そして、本発明のより好ましい具体例とし
ては、前記書き換え制御手段が、前記転送プログラムに
制御を委ねる以前の所定のタイミングで外部より受信し
たコードと、前記書き換え可能な記憶手段の特定番地に
予め格納されたコードとを比較し、不一致の場合は前記
書き換え可能な記憶手段の所定の番地の内容の全部もし
くは一部を消去する機能を備えたものや、前記書き換え
可能な記憶手段の１以上の所定番地の内容が未書き込み
状態の場合、前記転送プログラムに制御を委ねる以前の
所定のタイミングで外部より受信したコードと、前記書
き換え可能な記憶手段の特定番地に予め格納されたコー
ドとを比較せず、無条件に前記転送プログラムに制御を
委ねる機能を備えたものが挙げられる。
ては、前記書き換え制御手段が、前記転送プログラムに
制御を委ねる以前の所定のタイミングで外部より受信し
たコードと、前記書き換え可能な記憶手段の特定番地に
予め格納されたコードとを比較し、不一致の場合は前記
書き換え可能な記憶手段の所定の番地の内容の全部もし
くは一部を消去する機能を備えたものや、前記書き換え
可能な記憶手段の１以上の所定番地の内容が未書き込み
状態の場合、前記転送プログラムに制御を委ねる以前の
所定のタイミングで外部より受信したコードと、前記書
き換え可能な記憶手段の特定番地に予め格納されたコー
ドとを比較せず、無条件に前記転送プログラムに制御を
委ねる機能を備えたものが挙げられる。
【００１２】さらに、前記処理装置内部に、通常のモー
ドでは前記ＣＰＵの割り込みベクタ領域が前記書き換え
可能な記憶手段内部の所定領域に取られるようにすると
ともに、前記書き換えモード判別手段により遷移した書
き換えモード中においては、該モード内の所定期間中だ
け、前記一時記憶手段内の所定領域に割り込みベクタを
移動させるようにした割り込みベクタ移動手段を設ける
ことも好適な実施例である。
ドでは前記ＣＰＵの割り込みベクタ領域が前記書き換え
可能な記憶手段内部の所定領域に取られるようにすると
ともに、前記書き換えモード判別手段により遷移した書
き換えモード中においては、該モード内の所定期間中だ
け、前記一時記憶手段内の所定領域に割り込みベクタを
移動させるようにした割り込みベクタ移動手段を設ける
ことも好適な実施例である。
【００１３】
【作用】前述の如く構成された本発明に係わる自動車用
制御装置においては、ワンチップ・マイクロコンピュー
タの初期コード設定者しか知り得ない知識を利用して、
それをチェックコードとして用いることにより、偽プロ
グラムの侵入を防止し、あるいは、偽プログラムの侵入
の際に内部コードを消去し機密を保持することができ
る。また、コードの初期書き込みの際に、不必要なチェ
ック操作を行わないようにして、障害回復に費やす時間
及び労力を最小限とすることができる。さらに、ユーザ
ーによる書き換え用の転送プログラムの作成を容易にす
ることができる。
制御装置においては、ワンチップ・マイクロコンピュー
タの初期コード設定者しか知り得ない知識を利用して、
それをチェックコードとして用いることにより、偽プロ
グラムの侵入を防止し、あるいは、偽プログラムの侵入
の際に内部コードを消去し機密を保持することができ
る。また、コードの初期書き込みの際に、不必要なチェ
ック操作を行わないようにして、障害回復に費やす時間
及び労力を最小限とすることができる。さらに、ユーザ
ーによる書き換え用の転送プログラムの作成を容易にす
ることができる。
【００１４】
【実施例】以下、図面により本発明の一実施例を説明す
る。図１は本発明に係わる一実施例の自動車用制御装置
のブロック図である。自動車用制御装置１の内部の基板
には、ＭＣＵ(Micro Control Unit)２が半田付けされて
いる。このＭＣＵ２内部には、ＣＰＵ(Central Process
ing Unit）３があり、書き換え可能記憶手段であるフラ
ッシュＲＯＭ４に格納されているプログラムの指示によ
り機器の制御を行うようになっている。通常このフラッ
シュＲＯＭ４の内容は、ＭＣＵ２というレジン梱包の内
部に隠されており、外部より安易に読み書きできなくな
っている。従って、この働きによりプログラムの機密性
と保護性とが保持されている。
る。図１は本発明に係わる一実施例の自動車用制御装置
のブロック図である。自動車用制御装置１の内部の基板
には、ＭＣＵ(Micro Control Unit)２が半田付けされて
いる。このＭＣＵ２内部には、ＣＰＵ(Central Process
ing Unit）３があり、書き換え可能記憶手段であるフラ
ッシュＲＯＭ４に格納されているプログラムの指示によ
り機器の制御を行うようになっている。通常このフラッ
シュＲＯＭ４の内容は、ＭＣＵ２というレジン梱包の内
部に隠されており、外部より安易に読み書きできなくな
っている。従って、この働きによりプログラムの機密性
と保護性とが保持されている。
【００１５】オン・ボード・プログラム書き換え機１０
は、シリアル回線ＲＸ１１及びシリアル回線ＴＸ１２に
よりＭＣＵ２と接続し、外部より上記のプログラムの書
き換えを行う。一般に、ＭＣＵ２を自動車用制御装置１
の基板より取り出さず、装着したままの形態で内部プロ
グラムを書き換えることを、「オン・ボード・プログラ
ム書き換え」と称している。基板よりＭＣＵ２を抜き差
ししなくてすむので、電気的信頼性を損なうことがな
く、ＥＰＲＯＭ交換及び基板やユニット等のアッシー交
換の形態と比べて、交換にかかる時間とコストとを大幅
に節約することができる。
は、シリアル回線ＲＸ１１及びシリアル回線ＴＸ１２に
よりＭＣＵ２と接続し、外部より上記のプログラムの書
き換えを行う。一般に、ＭＣＵ２を自動車用制御装置１
の基板より取り出さず、装着したままの形態で内部プロ
グラムを書き換えることを、「オン・ボード・プログラ
ム書き換え」と称している。基板よりＭＣＵ２を抜き差
ししなくてすむので、電気的信頼性を損なうことがな
く、ＥＰＲＯＭ交換及び基板やユニット等のアッシー交
換の形態と比べて、交換にかかる時間とコストとを大幅
に節約することができる。
【００１６】この「オン・ボード・プログラム書き換
え」の原理を説明すると以下のようになる。外部スイッ
チ１３は、外部よりプログラム書き換えの指令をＭＣＵ
２に伝える。これは、ＭＣＵ２の内部機構的な差異にも
よるが、通常ＭＣＵ２の所定端子に書き込み電圧Ｖｐｐ
（１２Ｖ）を印可してリセット解除することで行われ
る。書き換えモード判別手段５は、上記信号を判別し
て、ＭＣＵ２を書き換えモードの状態に遷移させる。
え」の原理を説明すると以下のようになる。外部スイッ
チ１３は、外部よりプログラム書き換えの指令をＭＣＵ
２に伝える。これは、ＭＣＵ２の内部機構的な差異にも
よるが、通常ＭＣＵ２の所定端子に書き込み電圧Ｖｐｐ
（１２Ｖ）を印可してリセット解除することで行われ
る。書き換えモード判別手段５は、上記信号を判別し
て、ＭＣＵ２を書き換えモードの状態に遷移させる。
【００１７】書き換えモードでは、ＣＰＵ３は、書き換
え可能記憶手段４に格納されている通常の制御プログラ
ムでは動作せず、書き換え制御手段６に格納されている
ブート・プログラムにより動作する。この働きによりＳ
ＣＩ(Serial CommunicationInterface)８を通じて外部
とデータ交換可能となる。一方、オン・ボード・プログ
ラム書き換え機１０は、ＭＣＵ２と同様のＳＣＩ１４、
ＭＣＵ２内部の一時記憶手段７（いわゆるＲＡＭ）に転
送されるべき書き換え用転送プログラム１５、最終的な
結果として書き換え可能な記憶手段４の更新内容となる
コードを記憶している交換可能な記録媒体１７、及びそ
れらのデータの流れを制御する通信制御手段１６により
構成されている。
え可能記憶手段４に格納されている通常の制御プログラ
ムでは動作せず、書き換え制御手段６に格納されている
ブート・プログラムにより動作する。この働きによりＳ
ＣＩ(Serial CommunicationInterface)８を通じて外部
とデータ交換可能となる。一方、オン・ボード・プログ
ラム書き換え機１０は、ＭＣＵ２と同様のＳＣＩ１４、
ＭＣＵ２内部の一時記憶手段７（いわゆるＲＡＭ）に転
送されるべき書き換え用転送プログラム１５、最終的な
結果として書き換え可能な記憶手段４の更新内容となる
コードを記憶している交換可能な記録媒体１７、及びそ
れらのデータの流れを制御する通信制御手段１６により
構成されている。
【００１８】上記の交換可能な記録媒体１７は、ＥＰＲ
ＯＭのような電気的素子の形でも良いし、フロッピーデ
ィスクのような磁気記録媒体、若しくはキーボードのよ
うな端末装置でも良い。書き換えモードに遷移したＭＣ
Ｕ２は、シリアル回線ＲＸ１１を介して、書き換え用転
送プログラム１５を一時記憶手段７に転送する。その
後、ＣＰＵ３の制御は、この一時記憶手段７上の書き換
え用転送プログラムに移行する。
ＯＭのような電気的素子の形でも良いし、フロッピーデ
ィスクのような磁気記録媒体、若しくはキーボードのよ
うな端末装置でも良い。書き換えモードに遷移したＭＣ
Ｕ２は、シリアル回線ＲＸ１１を介して、書き換え用転
送プログラム１５を一時記憶手段７に転送する。その
後、ＣＰＵ３の制御は、この一時記憶手段７上の書き換
え用転送プログラムに移行する。
【００１９】この書き換え用転送プログラムは、引き続
きシリアル回線ＲＸ１１を通じて、オン・ボード・プロ
グラム書き換え機１０の交換可能な記録媒体１７のコー
ドを読み込み、書き換え可能な記憶手段４の内容を更新
する。シリアル回線ＴＸ１２は、シリアル通信のフロー
制御に用いるものであり、例えばＭＣＵ２からオン・ボ
ード・プログラム書き換え機１０に向けての受信確認信
号やデータ再送指示等に使用される。
きシリアル回線ＲＸ１１を通じて、オン・ボード・プロ
グラム書き換え機１０の交換可能な記録媒体１７のコー
ドを読み込み、書き換え可能な記憶手段４の内容を更新
する。シリアル回線ＴＸ１２は、シリアル通信のフロー
制御に用いるものであり、例えばＭＣＵ２からオン・ボ
ード・プログラム書き換え機１０に向けての受信確認信
号やデータ再送指示等に使用される。
【００２０】書き換え用転送プログラム１５は、ＭＣＵ
２内部の書き換え制御手段６に、予めファームウェアと
して格納しておけば、書き換えモード初期にオン・ボー
ド・プログラム書き換え機１０よりＭＣＵ２に転送しな
くてすむので効率的であるが、以下のような理由で採用
されていない。 書き換え制御手段６のファームウェアが大規模にな
り、コストがかさむこと。（簡単なブート・プログラム
を設定するのに精一杯である。） オン・ボード・プログラム書き換え機１０とＭＣＵ２
間の通信プロトコル、及び書き換え可能記憶手段７の書
き換えアルゴリズムが固定となり、柔軟性が損なわれ
る。（ユーザがＴＰＯに応じた手段をとれなくなる。）
２内部の書き換え制御手段６に、予めファームウェアと
して格納しておけば、書き換えモード初期にオン・ボー
ド・プログラム書き換え機１０よりＭＣＵ２に転送しな
くてすむので効率的であるが、以下のような理由で採用
されていない。 書き換え制御手段６のファームウェアが大規模にな
り、コストがかさむこと。（簡単なブート・プログラム
を設定するのに精一杯である。） オン・ボード・プログラム書き換え機１０とＭＣＵ２
間の通信プロトコル、及び書き換え可能記憶手段７の書
き換えアルゴリズムが固定となり、柔軟性が損なわれ
る。（ユーザがＴＰＯに応じた手段をとれなくなる。）
【００２１】また、書き換え転送プログラム１５を書き
換え可能な記憶手段４の中にいれておけば同様に不要と
なるが、以下のような理由で、この方式も採用されてい
ない。 初期書き込みとそれ以降の書き込みでは方式を違えな
ければならない。（未書き込み状態では転送プログラム
が存在していない。） 書き換え用転送プログラムそれ自体を外部より修正で
きない。 書き換え用転送プログラム自体が載っているメモリブ
ロックを消去できない。 自動車用制御装置１の制御プログラムと書き換え用転
送プログラムをセットにして同時に管理するのが煩雑で
ある。
換え可能な記憶手段４の中にいれておけば同様に不要と
なるが、以下のような理由で、この方式も採用されてい
ない。 初期書き込みとそれ以降の書き込みでは方式を違えな
ければならない。（未書き込み状態では転送プログラム
が存在していない。） 書き換え用転送プログラムそれ自体を外部より修正で
きない。 書き換え用転送プログラム自体が載っているメモリブ
ロックを消去できない。 自動車用制御装置１の制御プログラムと書き換え用転
送プログラムをセットにして同時に管理するのが煩雑で
ある。
【００２２】交換可能な記録媒体１７に含まれているチ
ェクコード１７ａは、所定のタイミングで、シリアル回
線ＲＸ１１を通じてＭＣＵ２に送られる。この所定のタ
イミングとは、ＭＣＵ２内の書き換え制御手段６が、Ｃ
ＰＵ３の制御を一時記憶手段７上の書き換え転送プログ
ラムに移す以前ならばいつでも良い。書き換え制御手段
６のブート・プログラムは、この送られてきたコード
と、書き換え可能な記憶手段４内の特定番地の内容４ａ
との比較を行う。比較結果が不一致であるならば、セキ
ュリティー違反として、以下ブート・プログラムに指示
された動作を行う。
ェクコード１７ａは、所定のタイミングで、シリアル回
線ＲＸ１１を通じてＭＣＵ２に送られる。この所定のタ
イミングとは、ＭＣＵ２内の書き換え制御手段６が、Ｃ
ＰＵ３の制御を一時記憶手段７上の書き換え転送プログ
ラムに移す以前ならばいつでも良い。書き換え制御手段
６のブート・プログラムは、この送られてきたコード
と、書き換え可能な記憶手段４内の特定番地の内容４ａ
との比較を行う。比較結果が不一致であるならば、セキ
ュリティー違反として、以下ブート・プログラムに指示
された動作を行う。
【００２３】また、図１において、割り込みベクタ移動
手段９は、前述の書き換え用転送プログラム稼働中に、
割り込みベクタ領域を、領域４ｂから、領域７ｂに移動
させる機能を持っている。通常、書き換え可能な記憶手
段４に格納されたプログラムによりＣＰＵ３が動作して
いる間は、割り込みベクタ領域は、領域４ｂに取られて
いる。しかしながら、書き換え動作中もこの領域を固定
とすると、この領域が記憶されている書き換え可能な記
憶手段４自体のコードが書き換えられている最中は、Ｃ
ＰＵ３はこの領域４ｂの内容を読み出すことができな
い。特に、フラッシュＲＯＭ等でこの記憶手段４が構成
されている場合は、領域４ａを含むメモリブロックの消
去若しくは書き込み中は、当該メモリブロック全てが、
完全に読みだし禁止となってしまう。従って、書き換え
操作中はＭＣＵ２がもとから持っている割り込み機能を
利用できないということになる。
手段９は、前述の書き換え用転送プログラム稼働中に、
割り込みベクタ領域を、領域４ｂから、領域７ｂに移動
させる機能を持っている。通常、書き換え可能な記憶手
段４に格納されたプログラムによりＣＰＵ３が動作して
いる間は、割り込みベクタ領域は、領域４ｂに取られて
いる。しかしながら、書き換え動作中もこの領域を固定
とすると、この領域が記憶されている書き換え可能な記
憶手段４自体のコードが書き換えられている最中は、Ｃ
ＰＵ３はこの領域４ｂの内容を読み出すことができな
い。特に、フラッシュＲＯＭ等でこの記憶手段４が構成
されている場合は、領域４ａを含むメモリブロックの消
去若しくは書き込み中は、当該メモリブロック全てが、
完全に読みだし禁止となってしまう。従って、書き換え
操作中はＭＣＵ２がもとから持っている割り込み機能を
利用できないということになる。
【００２４】この欠点を解消するための手段が、割り込
みベクタ移動手段９である。書き換えモードで、一時記
憶手段７の上の書き換え用転送プログラムが動作してい
る間は、割り込みベクタ領域を、一時記憶手段７内の領
域７ｂに移動させる。従って、書き換え用転送プログラ
ムで、割り込み機能が利用できるようになり、アルゴリ
ズムの自由度が増加する。図２は、本発明の一実施例に
よるアルゴリズムをフローチャートにより示したもので
ある。このアルゴリズムは、前述したように、書き換え
制御手段６に実装されたブート・プログラムにより実行
される。
みベクタ移動手段９である。書き換えモードで、一時記
憶手段７の上の書き換え用転送プログラムが動作してい
る間は、割り込みベクタ領域を、一時記憶手段７内の領
域７ｂに移動させる。従って、書き換え用転送プログラ
ムで、割り込み機能が利用できるようになり、アルゴリ
ズムの自由度が増加する。図２は、本発明の一実施例に
よるアルゴリズムをフローチャートにより示したもので
ある。このアルゴリズムは、前述したように、書き換え
制御手段６に実装されたブート・プログラムにより実行
される。
【００２５】書き換えモード判別手段の信号を受けて書
き換え制御手段６のブート・プログラムが起動される
と、まずブロック２０１に進み、外部のオン・ボード・
プログラム書き換え機１０との同期処理が取られる。同
期処理とは、オン・ボード・プログラム書き換え機１０
とＭＣＵ２との転送レートのすり合わせ、及び通信プロ
トコルの確認処理などが含まれている。その後、ブロッ
ク２０２に進み受信すべき転送プログラムの総バイト数
を受信する。その後は、ループを形成したブロック２０
３、２０４、２０５により、転送プログラムを１バイト
ごとに外部から一時記憶手段７にコピーする。このルー
プは、転送プログラムの全てをコピーするまで継続され
る。次に、処理はブロック２０６に進み、オン・ボード
・プログラム書き換え機１０から送られてきたチェック
コード１７ａを受信する。ブロック２０７では、このチ
ェックコード１７ａと書き換え可能記憶手段４上の所定
コード４ａとを比較し、一致した場合はブロック２０８
に進み、先程転送したばかりの一時記憶手段７上のプロ
グラムに制御を移す。不一致の場合は、ブロック２０９
で書き換えモードを終了させ、もとある書き換え可能な
記憶手段４上のコードのプロテクトを行う。
き換え制御手段６のブート・プログラムが起動される
と、まずブロック２０１に進み、外部のオン・ボード・
プログラム書き換え機１０との同期処理が取られる。同
期処理とは、オン・ボード・プログラム書き換え機１０
とＭＣＵ２との転送レートのすり合わせ、及び通信プロ
トコルの確認処理などが含まれている。その後、ブロッ
ク２０２に進み受信すべき転送プログラムの総バイト数
を受信する。その後は、ループを形成したブロック２０
３、２０４、２０５により、転送プログラムを１バイト
ごとに外部から一時記憶手段７にコピーする。このルー
プは、転送プログラムの全てをコピーするまで継続され
る。次に、処理はブロック２０６に進み、オン・ボード
・プログラム書き換え機１０から送られてきたチェック
コード１７ａを受信する。ブロック２０７では、このチ
ェックコード１７ａと書き換え可能記憶手段４上の所定
コード４ａとを比較し、一致した場合はブロック２０８
に進み、先程転送したばかりの一時記憶手段７上のプロ
グラムに制御を移す。不一致の場合は、ブロック２０９
で書き換えモードを終了させ、もとある書き換え可能な
記憶手段４上のコードのプロテクトを行う。
【００２６】本実施例によれば、プログラムの機密性と
保護性の向上が実現できる。ところが、前述のアルゴリ
ズムは、所定コード４ａの取り得るコードパターンの全
てについて、総当たり的に書き換え動作を実行させれ
ば、いつかはプロテクトが破られてしまう。この点を改
善した他の実施例を、図３のフローチャートに示す。
保護性の向上が実現できる。ところが、前述のアルゴリ
ズムは、所定コード４ａの取り得るコードパターンの全
てについて、総当たり的に書き換え動作を実行させれ
ば、いつかはプロテクトが破られてしまう。この点を改
善した他の実施例を、図３のフローチャートに示す。
【００２７】図３では、図２のブロック２０７の論理を
反転したブロック２０７’と新たに追加されたブロック
２１０以外は、全て図２と同じ構成ブロックである。し
たがって、図３のフローチャートにおいて、図２のブロ
ックと対応するブロックには同一の符号を付してそれら
の重複する説明は省略し、以下においては、図２との相
違点のみを重点的に説明する。
反転したブロック２０７’と新たに追加されたブロック
２１０以外は、全て図２と同じ構成ブロックである。し
たがって、図３のフローチャートにおいて、図２のブロ
ックと対応するブロックには同一の符号を付してそれら
の重複する説明は省略し、以下においては、図２との相
違点のみを重点的に説明する。
【００２８】ブロック２０７’では、オン・ボード・プ
ログラム書き換え機１０より送られたチェックコード１
７ａと書き換え可能な記憶手段４上の所定コード４ａと
を比較し、一致すれば、図２と同様に、転送プログラム
に制御移す。不一致ならば、次のブロック２１０によ
り、もとある書き換え可能な記憶手段４上のコードの全
部もしくはその一部を消去し機密を保持する。
ログラム書き換え機１０より送られたチェックコード１
７ａと書き換え可能な記憶手段４上の所定コード４ａと
を比較し、一致すれば、図２と同様に、転送プログラム
に制御移す。不一致ならば、次のブロック２１０によ
り、もとある書き換え可能な記憶手段４上のコードの全
部もしくはその一部を消去し機密を保持する。
【００２９】本実施例のアルゴリズムでは、前述したよ
うな試行錯誤的なプロテクト破りの手法が使えず、シス
テムの機密性が高まる。しかしながら、チェックコード
の照合に失敗すると無条件にコードが消去されるので、
再びコードが一から書き直しになるという虞がある。こ
の点の解決策として、チェックコード照合に所定回数以
上失敗した場合のみプログラムが消去されるように、ア
ルゴリズムを変更しても良い。
うな試行錯誤的なプロテクト破りの手法が使えず、シス
テムの機密性が高まる。しかしながら、チェックコード
の照合に失敗すると無条件にコードが消去されるので、
再びコードが一から書き直しになるという虞がある。こ
の点の解決策として、チェックコード照合に所定回数以
上失敗した場合のみプログラムが消去されるように、ア
ルゴリズムを変更しても良い。
【００３０】また、以上述べたような、チェックコード
の照合は、書き換え用転送プログラム取り込み後に行わ
れるようになっているが、転送プログラム取り込み前に
行っても良い。次に、本発明の他の実施例によるフロー
チャートを図４に示す。図４は、図３をベースとしてブ
ロック２１１を追加したものであり、図２及び図３と対
応するブロックには同一の符号が付してあり、以下にお
いては、図３と差異のある動作のみを説明する。
の照合は、書き換え用転送プログラム取り込み後に行わ
れるようになっているが、転送プログラム取り込み前に
行っても良い。次に、本発明の他の実施例によるフロー
チャートを図４に示す。図４は、図３をベースとしてブ
ロック２１１を追加したものであり、図２及び図３と対
応するブロックには同一の符号が付してあり、以下にお
いては、図３と差異のある動作のみを説明する。
【００３１】書き換え用転送プログラム取り込み後、書
き換え可能記憶手段４の所定番地が未書き込み状態であ
るならば、続くチェックコード照合をブロック２１１で
スキップする。このアルゴリズムは、ＭＣＵ２の初期書
き込み操作で不要なことをせず、スループットを向上さ
せることができる。
き換え可能記憶手段４の所定番地が未書き込み状態であ
るならば、続くチェックコード照合をブロック２１１で
スキップする。このアルゴリズムは、ＭＣＵ２の初期書
き込み操作で不要なことをせず、スループットを向上さ
せることができる。
【００３２】一方、例えば、ブロック２１１で未書き込
み状態を判定する所定番地を前述のコード４ａと一致さ
せておく。そして、前述の書き換え用転送プログラムの
初期で、この所定番地を未書き込み状態にしておき、全
ての更新すべきコードの書き換えが終わった時点で、こ
の所定番地に次の書き換えに備えてチェックコードを設
定するようにする。これにより、このチェックコードが
完全な書き換えに成功したか否かの信号をも兼ねるよう
になる。この結果、プログラム書き換えの途中で、シリ
アル回線に何らかの障害が発生して、書き換え制御がハ
ングアップした様な場合、次のリトライでは、前述のア
ルゴリズムの働きにより途中まで書き換わったプログラ
ムは消去されない。従って、書き換えの済んでいないメ
モリブロックより書き換え動作を継続すれば良く、障害
回復のための時間が短くて済むという優れた効果が得ら
れる。
み状態を判定する所定番地を前述のコード４ａと一致さ
せておく。そして、前述の書き換え用転送プログラムの
初期で、この所定番地を未書き込み状態にしておき、全
ての更新すべきコードの書き換えが終わった時点で、こ
の所定番地に次の書き換えに備えてチェックコードを設
定するようにする。これにより、このチェックコードが
完全な書き換えに成功したか否かの信号をも兼ねるよう
になる。この結果、プログラム書き換えの途中で、シリ
アル回線に何らかの障害が発生して、書き換え制御がハ
ングアップした様な場合、次のリトライでは、前述のア
ルゴリズムの働きにより途中まで書き換わったプログラ
ムは消去されない。従って、書き換えの済んでいないメ
モリブロックより書き換え動作を継続すれば良く、障害
回復のための時間が短くて済むという優れた効果が得ら
れる。
【００３３】次に、本発明による実施例との比較のた
め、割り込み機能を使用しない従来の書き換え用転送プ
ログラムのタイムチャートを、図５に示す。期間５０１
で、オン・ボード・プログラム書き換え機１０より１バ
イト受信すると、直後の期間５０２で、書き換え可能な
記憶手段４のコードを当該データで更新する。そして、
続く期間５０３で、シリアル通信回線ＴＸ１２上に次の
受信が可能である旨の信号を出力する。オン・ボード・
プログラム書き換え機１０では、この信号を認識して、
次のデータを期間５０４で送信し、いわゆるハンド・シ
ェーク動作により１バイト毎の転送を行う。
め、割り込み機能を使用しない従来の書き換え用転送プ
ログラムのタイムチャートを、図５に示す。期間５０１
で、オン・ボード・プログラム書き換え機１０より１バ
イト受信すると、直後の期間５０２で、書き換え可能な
記憶手段４のコードを当該データで更新する。そして、
続く期間５０３で、シリアル通信回線ＴＸ１２上に次の
受信が可能である旨の信号を出力する。オン・ボード・
プログラム書き換え機１０では、この信号を認識して、
次のデータを期間５０４で送信し、いわゆるハンド・シ
ェーク動作により１バイト毎の転送を行う。
【００３４】このアルゴリズムをフローチャートにした
ものが、図６である。なお、このフローチャートにおい
ては、受信データの誤り検出と再送機能は煩雑になるの
で、当該フローチャートからは除外している。ブロック
６０１では、オン・ボード・プログラム書き換え機１０
からのデータを受信し、ブロック６０２でデータを更新
する。そして、続くブロック６０３で書き換えるべきプ
ログラムコードの全てが受信完了したならば、６０５に
飛び終了する。まだ受信すべきコードが残っているなら
ば、ブロック６０４で、次の受信が可能となった旨を返
送しブロック６０１に戻る。
ものが、図６である。なお、このフローチャートにおい
ては、受信データの誤り検出と再送機能は煩雑になるの
で、当該フローチャートからは除外している。ブロック
６０１では、オン・ボード・プログラム書き換え機１０
からのデータを受信し、ブロック６０２でデータを更新
する。そして、続くブロック６０３で書き換えるべきプ
ログラムコードの全てが受信完了したならば、６０５に
飛び終了する。まだ受信すべきコードが残っているなら
ば、ブロック６０４で、次の受信が可能となった旨を返
送しブロック６０１に戻る。
【００３５】この従来の方式は、以下のような欠点を有
している。 データの受信動作と、書き込み動作が、マルチタスク
として並行して行えない。従って、オン・ボード・プロ
グラム書き換え機１０とＭＣＵ２との間で、１バイト毎
のハンドシェーク動作を行わざるを得ず、転送のスルー
プットが上がらない。 データが受信可能となった旨の信号、例えば図５のデ
ータ５０５が、シリアル回線上のノイズにより消失した
場合、ハンドシェーク動作がそこで停止し継続不能とな
る。しかも書き換え転送用プログラムでは、この現象を
認識する手段がない。
している。 データの受信動作と、書き込み動作が、マルチタスク
として並行して行えない。従って、オン・ボード・プロ
グラム書き換え機１０とＭＣＵ２との間で、１バイト毎
のハンドシェーク動作を行わざるを得ず、転送のスルー
プットが上がらない。 データが受信可能となった旨の信号、例えば図５のデ
ータ５０５が、シリアル回線上のノイズにより消失した
場合、ハンドシェーク動作がそこで停止し継続不能とな
る。しかも書き換え転送用プログラムでは、この現象を
認識する手段がない。
【００３６】以上の欠点を解消するため、本発明の実施
例により、受信割り込みとタイマ割り込みとを用いて動
作を改善した結果を、図７のタイムチャートに示す。図
７では、受信割り込みを用いて、データが４バイト毎に
まとめて送られている。しかも、受信動作と、書き込み
動作がマルチタスクとして並行して行われており、受信
可能信号７０１の送信が、受信データ４バイトに１バイ
トと間引かれている。この受信可能信号７０１の送出タ
イミングは、原理的にはデータの受信バッファの大きさ
だけ間引くことができる。従って、図５と比べても転送
スループットが大きく向上していることがわかる。
例により、受信割り込みとタイマ割り込みとを用いて動
作を改善した結果を、図７のタイムチャートに示す。図
７では、受信割り込みを用いて、データが４バイト毎に
まとめて送られている。しかも、受信動作と、書き込み
動作がマルチタスクとして並行して行われており、受信
可能信号７０１の送信が、受信データ４バイトに１バイ
トと間引かれている。この受信可能信号７０１の送出タ
イミングは、原理的にはデータの受信バッファの大きさ
だけ間引くことができる。従って、図５と比べても転送
スループットが大きく向上していることがわかる。
【００３７】また、受信可能信号７０１を送出した後、
図示した期間Ｔの間に、次の受信データが送られてくる
かどうかを待つ。もし、送られてこなければ、受信可能
信号７０１が回線上で消失したものとみなし、再び受信
可能信号７０２を送出する（いわゆるタイム・アウト処
理）。この機能により、データ転送の信頼性が大きく向
上する。
図示した期間Ｔの間に、次の受信データが送られてくる
かどうかを待つ。もし、送られてこなければ、受信可能
信号７０１が回線上で消失したものとみなし、再び受信
可能信号７０２を送出する（いわゆるタイム・アウト処
理）。この機能により、データ転送の信頼性が大きく向
上する。
【００３８】以上のアルゴリズムをフローチャートにし
たものが、図８である。なお、このフローチャートにお
いても、受信データの誤り検出と再送機能は煩雑になる
ので、当該フローチャートから除外している。ブロック
８２０から８２３までは、受信割り込みの処理ルーチン
を示している。ブロック８２０では、ブロック８１０で
許可したタイマ割り込みを禁止し、前述したタイム・ア
ウト処理が発生しないようにしている。ブロック８２１
及び、ブロック８２２では、割り込み要因となったデー
タを受信し、受信バッファに順次格納しておく。続くブ
ロック８２３では、実際に受信バッファに格納されたバ
イト数を変数ｎとしてカウントする。
たものが、図８である。なお、このフローチャートにお
いても、受信データの誤り検出と再送機能は煩雑になる
ので、当該フローチャートから除外している。ブロック
８２０から８２３までは、受信割り込みの処理ルーチン
を示している。ブロック８２０では、ブロック８１０で
許可したタイマ割り込みを禁止し、前述したタイム・ア
ウト処理が発生しないようにしている。ブロック８２１
及び、ブロック８２２では、割り込み要因となったデー
タを受信し、受信バッファに順次格納しておく。続くブ
ロック８２３では、実際に受信バッファに格納されたバ
イト数を変数ｎとしてカウントする。
【００３９】一方、書き換え転送用プログラムのブロッ
ク８０１では、受信バッファにデータが存在するかどう
か調べている。もし存在しないならばループによりこれ
を待ち、存在するならば、続くブロック８０２、８０３
でバッファより読み出して書き込みを行う。次のブロッ
ク８０４では受信バッファより読み出したデータ数を変
数ｍにてカウントする。ブロック８０５では、もしバッ
ファにまだ読みだしていないデータがあるならば、ブロ
ック８０２に戻る判定を行う。続くブロック８０６で
は、受信バッファに貯まったデータ数が規定のバイト数
かであるかどうか調べる。規定のバイト数とは、一回に
外部より送られてくるデータの個数を指し、受信バッフ
ァの大きさに依存する（図７の場合では４）。もし、規
定のバイト数に達しているならばブロック８０７に進
み、達してしなければ直前のブロック８０５と共にルー
プを形成し、受信割り込み処理により受信バッファにデ
ータが貯まるのを待つ。ブロック８０７では、書き換え
るべきコードの全てが受信完了したかどうか調べてい
る。受信が完了したならば、８１１に飛び終了する。ま
だ受信すべきコードが残っているならば、ブロック８０
８で変数ｎとｍをクリアし、ブロック８０９で次の受信
が可能となった旨を返送する。ブロック８１０では、タ
イム・アウト処理用のタイマ割り込みを活性化させブロ
ック８０１に戻る。
ク８０１では、受信バッファにデータが存在するかどう
か調べている。もし存在しないならばループによりこれ
を待ち、存在するならば、続くブロック８０２、８０３
でバッファより読み出して書き込みを行う。次のブロッ
ク８０４では受信バッファより読み出したデータ数を変
数ｍにてカウントする。ブロック８０５では、もしバッ
ファにまだ読みだしていないデータがあるならば、ブロ
ック８０２に戻る判定を行う。続くブロック８０６で
は、受信バッファに貯まったデータ数が規定のバイト数
かであるかどうか調べる。規定のバイト数とは、一回に
外部より送られてくるデータの個数を指し、受信バッフ
ァの大きさに依存する（図７の場合では４）。もし、規
定のバイト数に達しているならばブロック８０７に進
み、達してしなければ直前のブロック８０５と共にルー
プを形成し、受信割り込み処理により受信バッファにデ
ータが貯まるのを待つ。ブロック８０７では、書き換え
るべきコードの全てが受信完了したかどうか調べてい
る。受信が完了したならば、８１１に飛び終了する。ま
だ受信すべきコードが残っているならば、ブロック８０
８で変数ｎとｍをクリアし、ブロック８０９で次の受信
が可能となった旨を返送する。ブロック８１０では、タ
イム・アウト処理用のタイマ割り込みを活性化させブロ
ック８０１に戻る。
【００４０】図７に図示したように期間Ｔが過ぎた時
に、１バイトも受信が行われなかった場合は、タイマ割
り込み処理のブロック８３０が起動し、受信可能信号を
再送信する。
に、１バイトも受信が行われなかった場合は、タイマ割
り込み処理のブロック８３０が起動し、受信可能信号を
再送信する。
【００４１】
【発明の効果】以上説明から理解されるように、本発明
によれば、プログラムの機密性、及び保護性を大幅に向
上させるようになされ、しかも、プログラムの初期書き
込み時に不必要なセキュリティー動作を行わずに、障害
回復に費やす時間を最小限とすることができ、また、オ
ン・ボード・書き換え動作におけるデータ転送に割り込
み処理を使用することができるとともに、高速で且つ高
信頼性のプロトコルを容易に採用することができ、か
つ、自動車用オン・ボード・書き換えシステムを安価に
構成することができる。
によれば、プログラムの機密性、及び保護性を大幅に向
上させるようになされ、しかも、プログラムの初期書き
込み時に不必要なセキュリティー動作を行わずに、障害
回復に費やす時間を最小限とすることができ、また、オ
ン・ボード・書き換え動作におけるデータ転送に割り込
み処理を使用することができるとともに、高速で且つ高
信頼性のプロトコルを容易に採用することができ、か
つ、自動車用オン・ボード・書き換えシステムを安価に
構成することができる。
【図１】本発明の一実施例を示す内部ブロック図。
【図２】本発明の一実施例を示すフローチャート。
【図３】本発明の他の実施例を示すフローチャート。
【図４】本発明の他の実施例を示すフローチャート。
【図５】従来型転送プログラムのタイムチャート。
【図６】従来型転送プログラムのフローチャート。
【図７】本発明による転送プログラムのタイムチャート
【図８】本発明による転送プログラムのフローチャー
ト。
ト。
１…自動車用制御装置、２…ＭＣＵとしてのワンチップ
・マイクロコンピュータ、３…ＣＰＵ、４…書き換え可
能記憶手段としてのフラッシュＲＯＭ、６…書き換え制
御手段としてのブート・プログラム・ファームウェア、
７…一時記憶手段としてのＲＡＭ、１０…オン・ボード
・書き換え機、１１，１２…双方向のシリアル通信回
線、１５…書き換え用転送プログラム、１７…交換可能
な記録媒体としてのＥＰＲＯＭ
・マイクロコンピュータ、３…ＣＰＵ、４…書き換え可
能記憶手段としてのフラッシュＲＯＭ、６…書き換え制
御手段としてのブート・プログラム・ファームウェア、
７…一時記憶手段としてのＲＡＭ、１０…オン・ボード
・書き換え機、１１，１２…双方向のシリアル通信回
線、１５…書き換え用転送プログラム、１７…交換可能
な記録媒体としてのＥＰＲＯＭ
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０６Ｆ 9/06 Ｇ 7230−5Ｂ 12/14 ３１０ Ａ
Claims (4)
- 【請求項１】 制御のためのアルゴリズムとデータを記
憶した書き換え可能な記憶手段と、該記憶手段のアルゴ
リズムとデータに基づいて車載機器を制御するようにし
たＣＰＵとを処理装置内部に格納するとともに、前記書
き換え可能な記憶手段の内容が、通常前記処理装置外部
から読みだし不能となるように梱包されてなる自動車用
制御装置であって、 前記処理装置内部に、外部からの前記記憶手段の書き換
え指令を判別する書き換えモード判別手段と、外部と通
信を行うシリアル通信手段と、書き換えモード初期に該
シリアル通信手段を通じて外部よりロードされた転送プ
ログラムが一時的にロードされる一時記憶手段と、前記
書き換えモード判別手段の信号を受けて前記一時記憶手
段に転送プログラムをロードし所定のタイミングで制御
を該転送プログラムに委ねる書き換え制御手段と、を備
えるとともに、前記転送プログラムの働きによって前記
シリアル転送手段を通じて外部より受信されたコードに
より前記書き換え可能な記憶手段の内容を更新する機能
を有する自動車用制御装置において、 前記書き換え制御手段は、前記転送プログラムに制御を
委ねる以前の所定のタイミングで外部より受信したコー
ドと、前記書き換え可能な記憶手段の特定番地に予め格
納されたコードとを比較し、不一致の場合は書き換えモ
ードを中止する機能を備えたことを特徴とする自動車用
制御装置。 - 【請求項２】 制御のためのアルゴリズムとデータを記
憶した書き換え可能な記憶手段と、該記憶手段のアルゴ
リズムとデータに基づいて車載機器を制御するようにし
たＣＰＵとを処理装置内部に格納するとともに、前記書
き換え可能な記憶手段の内容が、通常前記処理装置外部
から読みだし不能となるように梱包されてなる自動車用
制御装置であって、 前記処理装置内部に、外部からの前記記憶手段の書き換
え指令を判別する書き換えモード判別手段と、外部と通
信を行うシリアル通信手段と、書き換えモード初期に該
シリアル通信手段を通じて外部よりロードされた転送プ
ログラムが一時的にロードされる一時記憶手段と、前記
書き換えモード判別手段の信号を受けて前記一時記憶手
段に転送プログラムをロードし所定のタイミングで制御
を該転送プログラムに委ねる書き換え制御手段と、を備
えるとともに、前記転送プログラムの働きによって前記
シリアル転送手段を通じて外部より受信されたコードに
より前記書き換え可能な記憶手段の内容を更新する機能
を有する自動車用制御装置において、 前記書き換え制御手段は、前記転送プログラムに制御を
委ねる以前の所定のタイミングで外部より受信したコー
ドと、前記書き換え可能な記憶手段の特定番地に予め格
納されたコードとを比較し、不一致の場合は前記書き換
え可能な記憶手段の所定の番地の内容の全部もしくは一
部を消去する機能を備えたことを特徴とする自動車用制
御装置。 - 【請求項３】 制御のためのアルゴリズムとデータを記
憶した書き換え可能な記憶手段と、該記憶手段のアルゴ
リズムとデータに基づいて車載機器を制御するようにし
たＣＰＵとを処理装置内部に格納するとともに、前記書
き換え可能な記憶手段の内容が、通常前記処理装置外部
から読みだし不能となるように梱包されてなる自動車用
制御装置であって、 前記処理装置内部に、外部からの前記記憶手段の書き換
え指令を判別する書き換えモード判別手段と、外部と通
信を行うシリアル通信手段と、書き換えモード初期に該
シリアル通信手段を通じて外部よりロードされた転送プ
ログラムが一時的にロードされる一時記憶手段と、前記
書き換えモード判別手段の信号を受けて前記一時記憶手
段に転送プログラムをロードし所定のタイミングで制御
を該転送プログラムに委ねる書き換え制御手段と、を備
えるとともに、前記転送プログラムの働きによって前記
シリアル転送手段を通じて外部より受信されたコードに
より前記書き換え可能な記憶手段の内容を更新する機能
を有する自動車用制御装置において、 前記書き換え制御手段は、前記書き換え可能な記憶手段
の１以上の所定番地の内容が未書き込み状態の場合、前
記転送プログラムに制御を委ねる以前の所定のタイミン
グで外部より受信したコードと、前記書き換え可能な記
憶手段の特定番地に予め格納されたコードとを比較せ
ず、無条件に前記転送プログラムに制御を委ねる機能を
備えたことを特徴とする自動車用制御装置。 - 【請求項４】 制御のためのアルゴリズムとデータを記
憶した書き換え可能な記憶手段と、該記憶手段のアルゴ
リズムとデータに基づいて車載機器を制御するようにし
たＣＰＵとを処理装置内部に格納するとともに、前記書
き換え可能な記憶手段の内容が、通常前記処理装置外部
から読みだし不能となるように梱包されてなる自動車用
制御装置であって、 前記処理装置内部に、外部からの前記記憶手段の書き換
え指令を判別する書き換えモード判別手段と、外部と通
信を行うシリアル通信手段と、書き換えモード初期に該
シリアル通信手段を通じて外部よりロードされた転送プ
ログラムが一時的にロードされる一時記憶手段と、前記
書き換えモード判別手段の信号を受けて前記一時記憶手
段に転送プログラムをロードし所定のタイミングで制御
を該転送プログラムに委ねる書き換え制御手段と、を備
えるとともに、前記転送プログラムの働きによって前記
シリアル転送手段を通じて外部より受信されたコードに
より前記書き換え可能な記憶手段の内容を更新する機能
を有する自動車用制御装置において、 前記処理装置内部に、通常のモードでは前記ＣＰＵの割
り込みベクタ領域が前記書き換え可能な記憶手段内部の
所定領域に取られるようにするとともに、前記書き換え
モード判別手段により遷移した書き換えモード中におい
ては、該モード内の所定期間中だけ、前記一時記憶手段
内の所定領域に割り込みベクタを移動させるようにした
割り込みベクタ移動手段を設けたことを特徴とする自動
車用制御装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10117794A JP3176506B2 (ja) | 1994-05-16 | 1994-05-16 | 自動車用制御装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10117794A JP3176506B2 (ja) | 1994-05-16 | 1994-05-16 | 自動車用制御装置 |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001028844A Division JP3732413B2 (ja) | 2001-02-05 | 2001-02-05 | 自動車用制御装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07311603A true JPH07311603A (ja) | 1995-11-28 |
| JP3176506B2 JP3176506B2 (ja) | 2001-06-18 |
Family
ID=14293724
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP10117794A Expired - Lifetime JP3176506B2 (ja) | 1994-05-16 | 1994-05-16 | 自動車用制御装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3176506B2 (ja) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH11237957A (ja) * | 1998-02-23 | 1999-08-31 | Fujitsu Ltd | 磁気ディスク制御装置およびそのファームウェア活性交換方法 |
| US6138059A (en) * | 1998-03-10 | 2000-10-24 | Denso Corporation | Vehicle control system and unit for preventing power supply cutoff during re-programming mode |
| US6144887A (en) * | 1996-12-09 | 2000-11-07 | Denso Corporation | Electronic control unit with reset blocking during loading |
| US6249848B1 (en) | 1996-09-20 | 2001-06-19 | Denso Corporation | Memory writing device for an electronic device |
| US6490663B1 (en) | 1998-07-14 | 2002-12-03 | Denso Corporation | Electronic control apparatus having rewritable nonvolatile memory |
| JP2003068019A (ja) * | 2001-08-28 | 2003-03-07 | Nec Corp | 光ディスク装置、そのファームウエア書き換え方法およびそのプログラム |
| JP2008068676A (ja) * | 2006-09-12 | 2008-03-27 | Toyota Motor Corp | 車載ユニットの個体性能情報の書き換え方法及び書き換え装置 |
| JP2014102901A (ja) * | 2012-11-16 | 2014-06-05 | Fuji Denki Kogyo Kk | 保護装置 |
| JP2015112963A (ja) * | 2013-12-10 | 2015-06-22 | トヨタ自動車株式会社 | 車載ネットワークシステム |
| JP2017157202A (ja) * | 2016-02-26 | 2017-09-07 | 株式会社デンソー | 車載制御装置 |
-
1994
- 1994-05-16 JP JP10117794A patent/JP3176506B2/ja not_active Expired - Lifetime
Cited By (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6505280B2 (en) * | 1996-09-20 | 2003-01-07 | Denso Corporation | Memory writing device for an electronic device |
| US6275911B1 (en) | 1996-09-20 | 2001-08-14 | Denso Corporation | Memory writing device for an electronic device |
| US6249848B1 (en) | 1996-09-20 | 2001-06-19 | Denso Corporation | Memory writing device for an electronic device |
| US6477626B1 (en) | 1996-09-20 | 2002-11-05 | Denso Corporation | Memory writing device for an electronic device |
| US7493455B2 (en) | 1996-09-20 | 2009-02-17 | Denso Corporation | Memory writing device for an electronic device |
| US6957296B2 (en) | 1996-09-20 | 2005-10-18 | Denso Corporation | Memory writing device for an electronic device |
| US6144887A (en) * | 1996-12-09 | 2000-11-07 | Denso Corporation | Electronic control unit with reset blocking during loading |
| US6493593B1 (en) | 1996-12-09 | 2002-12-10 | Denso Corporation | Electronic control unit |
| JPH11237957A (ja) * | 1998-02-23 | 1999-08-31 | Fujitsu Ltd | 磁気ディスク制御装置およびそのファームウェア活性交換方法 |
| US6138059A (en) * | 1998-03-10 | 2000-10-24 | Denso Corporation | Vehicle control system and unit for preventing power supply cutoff during re-programming mode |
| US6490663B1 (en) | 1998-07-14 | 2002-12-03 | Denso Corporation | Electronic control apparatus having rewritable nonvolatile memory |
| JP2003068019A (ja) * | 2001-08-28 | 2003-03-07 | Nec Corp | 光ディスク装置、そのファームウエア書き換え方法およびそのプログラム |
| JP2008068676A (ja) * | 2006-09-12 | 2008-03-27 | Toyota Motor Corp | 車載ユニットの個体性能情報の書き換え方法及び書き換え装置 |
| JP2014102901A (ja) * | 2012-11-16 | 2014-06-05 | Fuji Denki Kogyo Kk | 保護装置 |
| JP2015112963A (ja) * | 2013-12-10 | 2015-06-22 | トヨタ自動車株式会社 | 車載ネットワークシステム |
| JP2017157202A (ja) * | 2016-02-26 | 2017-09-07 | 株式会社デンソー | 車載制御装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3176506B2 (ja) | 2001-06-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6976136B2 (en) | Flash memory protection scheme for secured shared BIOS implementation in personal computers with an embedded controller | |
| TW480443B (en) | Virus resistant and hardware independent method of flashing system BIOS | |
| CA1211542A (en) | Security arrangement for and method of rendering microprocessor-controlled electronic equipment inoperative after occurrence of disabling event | |
| US7389536B2 (en) | System and apparatus for limiting access to secure data through a portable computer to a time set with the portable computer connected to a base computer | |
| US20050259465A1 (en) | Nonvolatile memory apparatus | |
| JP3176506B2 (ja) | 自動車用制御装置 | |
| US8219978B2 (en) | Information processing device | |
| CN107392059B (zh) | 保护非易失性存储器中存储的程序代码的装置 | |
| WO2010130171A1 (zh) | 一种移动终端及保护其系统数据的方法 | |
| JPH11272459A (ja) | 書換え可能不揮発性メモリの書換え方法及びシステム並びにアプリケ―ション・プログラムの故障回復方法及びシステム | |
| JP3732413B2 (ja) | 自動車用制御装置 | |
| US7934050B2 (en) | Microcomputer for flash memory rewriting | |
| JP2002024046A (ja) | マイクロコンピュータ及びそのメモリ内容変更システム並びにメモリ内容変更方法 | |
| JPH10105408A (ja) | 情報処理装置 | |
| CN115145650A (zh) | 信息处理装置、存储介质及信息处理方法 | |
| JP2002014871A (ja) | コンテンツチェック方法、コンテンツ更新方法、および処理装置 | |
| CN112131537B (zh) | 一种对zynq芯片程序镜像文件的加解密的方法 | |
| JP4509291B2 (ja) | Ｉｃカード、ｉｃカードのプログラム更新装置、および、その方法 | |
| JPH1011277A (ja) | 電気的書換え可能な不揮発性メモリを備えるコンピュータ装置および不揮発性半導体メモリ | |
| EP4124980A1 (en) | Personalization of a secure element | |
| JPH11167525A (ja) | 不揮発性メモリ混載マイコン及びその不揮発性メモリ書換え方法並びに不揮発性メモリ混載マイコンの不揮発性メモリ書換えプログラムを記録した記録媒体 | |
| JP3709702B2 (ja) | Ｉｃカード、ｉｃカード接続装置、ｉｃカードシステム及びプログラムの実行制御方法 | |
| JP2003005854A (ja) | 情報処理装置 | |
| JP2023020590A (ja) | 情報処理装置、及び監視方法 | |
| JPH0934795A (ja) | Ｃｐｕプログラムのコピープロテクト法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080406 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090406 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090406 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100406 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100406 Year of fee payment: 9 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100406 Year of fee payment: 9 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110406 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120406 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120406 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130406 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140406 Year of fee payment: 13 |
|
| EXPY | Cancellation because of completion of term |