JPH0742609A - 車両用制御装置のメモリチェック装置 - Google Patents

Abstract

(57)【要約】 【目的】 エンジン始動に悪影響を及ぼさず、確実にプ
ログラムメモリのチェックをする装置を提供すること。 【構成】 マイコン２はイグニッションスイッチ５１が
オンしてＣＰＵ２１が起動されると、８ｍｓ毎にプログ
ラムのメモリチェック処理を実行する。ただし、エンジ
ン回転数が４０００ｒｐｍ以上のときには処理を中断す
る。また、１回目のチェック処理で正常であると判定さ
れたときには、本処理を終了し、異常であると判定され
たときにはもう一度チェック処理を実行する。そこで再
び異常と判定されたときにのみプログラムメモリに異常
があると判定する。そして、異常が検出されたときに
は、バックアップ回路７により求められた制御量でエン
ジンを制御する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、車両用制御装置に関
し、詳しくはコンピュータのメモリチェックに関するも
のである。

【０００２】

【従来の技術】車載用機器を制御する車両用制御装置に
おいて、近年マイクロコンピュータを用いたものが製品
化されている。また、このような装置においては、車両
を制御するプログラムの不正な改造を防止するためにプ
ログラムをチェックする要求も高まっている。

【０００３】ところで、車両制御用のプログラムのチェ
ックをする技術としては、特開昭５５−１２８６４１号
公報や特開平２−２８１３５２号公報に示すようなもの
がある。すなわち、前者は、例えば、エンジン停止時や
車両停止時など車両を制御するための演算要求が非常に
少ない状態、または通常の動作領域では起り得ない状態
にメモリの記憶領域を一度にチェックするものであり、
後者は、通常の動作領域での状態（走行中）にメモリの
記憶領域を分割し、分割した部分を所定の時間毎にチェ
ックするものである。

【０００４】

【発明が解決しようとする課題】しかしながら、特開昭
５５−１２８６４１号公報の方法では、車両停止時及び
エンジン停止時の、特殊な状態時でしか、メモリチェッ
クができない為、エンジン始動後、即通常走行に入ると
チェックできず、また、メモリの全領域を一度にチェッ
クする方式であるため、始動時にメモリのチェックをし
た場合には、メモリチェックをする間、エンジンを制御
するための演算処理が実行されないため、エンジンの始
動に悪影響を及ぼすことも考えられる。

【０００５】また、特開平２−２８１３５２号公報の方
式では、メモリチェックする領域を分割し、分割した部
分を一定時間毎にチェックしているが、このメモリチェ
ックを車両の走行時、或いは非走行時に拘らず常時実施
しているため、エンジンの高回転時になると、このメモ
リチェックがマイコンの処理負荷となり、エンジン制御
処理が遅れ、やはりエンジンの始動に悪影響を及ぼすと
いった問題が生じる。

【０００６】そこで、本発明は上記問題点を解決するた
めになされたものであり、エンジン始動に悪影響を及ぼ
さず、確実にプログラムメモリのチェックをする装置を
提案することを目的とする。

【０００７】

【課題を解決するための手段】本発明は、上記目的を達
成するために、コンピュータにて車両を制御する車両制
御装置において、前記車両を制御するためのプログラム
を格納しているメモリと、前記コンピュータの起動時
に、所定時間毎に前記メモリの記憶領域の所定バイト毎
に前記プログラムをチェックして異常を検出するプログ
ラム異常検出手段と、前記車両に設けられたエンジンの
回転数を検出し、エンジンの回転数が所定回転数以上の
とき、前記プログラム異常検出手段によるプログラムの
異常検出処理を禁止する異常検出禁止手段とを備えると
いった技術手段を採用する。

【０００８】

【作用】上記構成において、異常検出禁止手段は、車両
に設けられたエンジンの回転数が所定回転数以上のと
き、プログラム異常検出手段によるコンピュータの起動
時に所定時間毎に所定バイト毎に分割された記憶領域を
順次チェックするといった一連のプログラムの異常検出
処理を禁止する。これにより、プログラムの異常検出処
理の実行により、エンジンを制御するための演算処理が
遅れてエンジンの始動に悪影響を与えるといったことは
ない。

【０００９】

【実施例】以下、本発明の実施例について図に基づいて
説明する。図１は電子式エンジン制御装置の全体構成を
示す図である。図１において、制御ユニット１は、マイ
コン２、出力インターフェース回路３、ＲＯＭ４、電源
回路５、入力インターフェース回路６、およびバックア
ップ回路（Ｂ／Ｕ回路）７等より構成されている。ま
た、制御ユニット１にはエアフロメータ６１、スロット
ルセンサ６２、およびクランク角センサ６３等からの信
号が入力インターフェース回路６を介して入力されてい
る。

【００１０】ここで、エアフロメータ６１とはエンジン
に吸入される空気量を求めるセンサであり、図示しない
エンジンの吸気管内に配設されている。また、スロット
ルセンサ６２とはアクセルペダルに連動して開閉するス
ロットル弁の開度を求めるセンサであり、クランク角セ
ンサ６３とは図示しないディストリビュータ内に取り付
けられて、ディストリビュータの回転に応じた信号を出
力するセンサである。

【００１１】なお、制御ユニット１の電源は、バッテリ
５２からイグニッションＳＷ５１を介して電源回路５へ
と供給されており、イグニッションＳＷ５１がオン（閉
成）することにより、制御ユニット１は起動する。マイ
コン２は、ＣＰＵ２１、ＲＡＭ２２、入出力ポート（以
下、Ｉ／Ｏポートという）２３、Ｉ／Ｏポート２４、Ｉ
／Ｏポート２５、およびＡ／Ｄ変換器２６から構成され
ている。

【００１２】ここで、ＣＰＵ２１は車両を制御する各種
装置の作動制御等をするための処理を実行するものであ
り、詳しくは、入力インターフェース回路６を介して入
力された各種センサからの信号に基づき、ＲＯＭ４に格
納されているプログラムに従って車両を制御する各種装
置の制御量を演算するものである。なお、ＣＰＵ２１で
の演算処理に使用する各制御定数および演算データはＲ
ＡＭ２２に格納されている。

【００１３】そして、以上述べた処理によって求められ
た各種制御量は出力インターフェース回路３により各制
御信号に変換され、例えば燃料噴射弁３１等の車両を制
御する各種装置に出力され、これにより、エンジンは運
転状態に応じた最適の燃料噴射量で制御することができ
る。一方、バックアップ回路７は、何らかの原因により
ＣＰＵ２１にて各種制御量が演算されなくなった場合
に、ＣＰＵ２１に代わって各種制御量を求めるものであ
る。

【００１４】ところで、この電子式エンジン制御装置
は、前述した如く、ＲＯＭ４に格納されているプログラ
ムに従って燃料噴射量を求めている。よって、このプロ
グラムが車両メーカの意に反して変更された場合には、
最適な燃料噴射量を演算設定することはできず、これに
より、エミッションの悪化やエンジンの故障を招くとい
った不具合を生じてしまう。

【００１５】そこで、本実施例の装置では、このような
不具合を防止するための手段を備えているものであり、
この点について以下に説明する。図２はＲＯＭ４に格納
されているプログラムが不正に変更されているか否かを
判別する処理（メモリチェック）を示すフローチャート
であり、このルーチンはイグニッションＳＷ５１がオン
してＣＰＵ２１が起動されると８ｍｓ毎に実行される。

【００１６】図２において、ステップ１０２ではプログ
ラムが不正に変更されているかを判別する処理（チェッ
クサム）を実施する状態にあるか否かを判別する。詳し
くは、ＲＯＭ４の所定の領域に書き込まれている値が所
定の値になっているか否かで判別するものであり、例え
ば、車両メーカ等が制御プログラムを作成した後に仕様
変更などにより制御プログラムを変更した場合には、後
述する処理で不正改造があったと誤判定してしまうた
め、ＲＯＭ４の上記所定の領域の値を予め変更して以下
の処理を実行しないようにするものである。

【００１７】そして、このステップ１０２において、チ
ェックサムを実施する状態ではないと判断された場合に
は本ルーチンを終了し、実施する状態であると判断され
た場合にはステップ１０３に進む。ステップ１０３では
エンジン回転数が高回転状態（例えば、４０００ｒｐ
ｍ）にあるか否かを判別し、高回転時には以下の処理を
実施することなく本ルーチンを終了する。この理由につ
いて述べると、高回転時には回転数割込み処理が多発
し、エンジンを制御するための演算処理負荷が大きくな
る。よって、本実施例では高回転時にプログラムが不正
に変更されているかを判別する処理を中断してプログラ
ム負荷を減らし、エンジンを制御するための演算処理に
遅れが生じるのを防止しているのである。

【００１８】ステップ１０４では後述する１回目完了フ
ラグを調べて、１回目のチェックサム判定が完了してい
るか否かを判別し、完了しているならステップ１０５に
進み、完了していないならステップ１０７に進む。そし
て、はじめは１回目のチェックサム判定が完了していな
いためステップ１０７に進む。ステップ１０７ではＲＯ
Ｍ４内に格納されている値を各アドレス毎に順次加算し
てチェックサム値演算を実行する。詳しくは、本実施例
では、図３に示すように３２Ｋ（＝３２７６８）バイト
の領域を２５６バイト毎に分割して、各領域毎に演算を
するものである。

【００１９】ステップ１０８では全領域のチェックサム
値演算が完了したかを判定し、完了していないなら本ル
ーチンを終了し、前述のステップ１０２〜１０７の処理
を繰り返し実行する。そして、全領域のチェックサム値
演算が完了した場合にはステップ１０９以降を実行す
る。なお、本実施例ではＲＯＭ４を２５６バイト毎に分
割して演算処理するため、１２８回（＝３２７６８／２
５６）ステップ１０２〜１０７の処理を繰り返すことに
より全領域のチェックサム値演算が完了する。また、前
述の如く、本ルーチンは８ｍｓ毎に実行されるので、全
領域チェックするのに要する時間は約１秒（８ｍｓ×１
２８）である。

【００２０】ステップ１０９では１回目のチェックサム
判定が完了しているか否かを判別し、完了しているなら
ステップ１１５に進み、完了していないならステップ１
１０に進む。そして、はじめは１回目のチェックサム判
定が完了していないためステップ１１０に進む。ステッ
プ１１０では上記ステップ１０７で演算されたサムチェ
ック値とＲＯＭ４に格納されている値とを比較して１回
目のチェックサム値判定をし、チェックサム値が異常な
らば、ステップ１１１に進んで１回目ＮＧフラグをセッ
トし、チェックサム値が正常ならば、ステップ１１２に
進んで１回目ＮＧフラグをクリアする。

【００２１】ステップ１１３では１回目のチェックサム
判定を完了したことを示す１回目完了フラグをセット
し、ステップ１１４では２回目のチェックサム値演算の
ために、チェックサム判定領域の設定アドレスと上記ス
テップ１０７で演算され、ＲＡＭ２２に格納されている
サムチェック値を初期セットする。ステップ１１９では
１回目ＮＧフラグを調べて、上記ステップ１１０にてチ
ェックサム値の異常と判断されたか否かを判別する。そ
して、チェックサム値の異常がない、すなわちプログラ
ムの不正な改造が行われていない場合にはステップ１２
３に進み、チェックサムＮＧフラグをクリアして本ルー
チンを終了する。

【００２２】一方、ステップ１１９において、チェック
サム値の異常と判断されたと判別されたなら、ステップ
１２０に進むが、２回目のチェックサム判定が完了しな
いため、ステップ１２３に進んでチェックサムＮＧフラ
グをクリアして本ルーチンを終了する。そして、前述の
如く、ステップ１２３の処理を実行したなら、２回目の
チェックサム判定を実行すべく、再びステップ１０２以
降の処理を実行する。

【００２３】なお、この場合には１回目のチェックサム
判定が完了しているため、ステップ１０４で肯定判定さ
れてステップ１０５に進む。ステップ１０５では１回目
ＮＧフラグを調べて、上記ステップ１１０にてチェック
サム値の異常と判断されたか否かを判別する。そして、
チェックサム値の異常がない、すなわちプログラムの不
正な改造が行われていない場合には本ルーチンを終了
し、チェックサム値の異常があった場合にはステップ１
０６に進む。

【００２４】ステップ１０６では２回目のチェックサム
が完了しているか否かを判別し、２回目のチェックサム
が完了している場合には本ルーチンを終了し、完了して
いない場合にはステップ１０７に進む。ステップ１０７
では前述した処理を実行し、全領域のチェックサム値演
算が完了した場合にはステップ１０９に進む。そして、
ステップ１０９では既に１回目のチェックサム判定が完
了しているため、肯定判定されてステップ１１５に進
む。

【００２５】ステップ１１５ではステップ１１０と同様
に上記ステップ１０７で演算されたサムチェック値とＲ
ＯＭ４に格納されている値とを比較して２回目のチェッ
クサム値判定をし、チェックサム値が異常ならば、ステ
ップ１１６に進んで２回目ＮＧフラグをセットし、チェ
ックサム値が正常ならば、ステップ１１７に進んで２回
目ＮＧフラグをクリアする。

【００２６】ステップ１１８では２回目のチェックサム
判定を完了したことを示す２回目完了フラグをセット
し、ステップ１１９に進む。そして、ステップ１１９に
おいて肯定判定されてステップ１２０に進んだ場合に
は、２回目のチェックサム判定が完了しているため、ス
テップ１２１に進む。ステップ１２１では２回目ＮＧフ
ラグを調べて、上記ステップ１１５にてチェックサム値
の異常と判断されたか否かを判別する。そして、チェッ
クサム値の異常がない、すなわちプログラムの不正な改
造が行われていない場合にはステップ１２３に進み、チ
ェックサムＮＧフラグをクリアして本ルーチンを終了す
る。

【００２７】なお、ここでの処理は、２回目のチェック
サム値の異常がない場合には、チェックサムＮＧフラグ
をクリアするものであり、これにより、仮に何らかの理
由により、不正改造が行われていないにも拘らず１回目
のチェックサム判定にて異常と誤判定されても、２回目
のチェックサムで異常がない場合には、チェックサムＮ
Ｇフラグがセットされることはなく、判別処理の精度を
向上することができる。

【００２８】一方、ステップ１２１において、チェック
サム値の異常と判断されたと判別されたなら、ステップ
１２２に進み、チェックサムＮＧフラグをセットして本
ルーチンを終了する。なお、以上述べた処理では、１回
目のチェックサム判定にて正常と判断した場合には、ス
テップ１０５にて否定判定されるため、２回目のチェッ
クサム判定を実施することはない。よって、２回目のチ
ェックサム判定をしない分だけ、エンジンを制御するた
めの処理を実行でき、エンジンの制御性が向上するとい
った効果もある。

【００２９】また、本実施例では前述したようにＲＯＭ
４を２５６バイト毎に分割して演算処理している。ここ
で、２５６バイト毎に分割する理由について説明する。
図３において、ＲＯＭ４は１つのアドレスに１バイトの
記憶容量が用意されるアドレス８０００からアドレスＦ
ＦＦＦまでのメモリ領域から構成されている。そして、
２５６バイトとは例えば、アドレス８０００からアドレ
ス８０ＦＦまでのデータを示すものであり、本実施例で
はまずはじめにアドレス８０００からアドレス８０ＦＦ
までのデータのチェックサム値を求め、次のチェックサ
ム判定時にアドレス８１００からアドレス８１ＦＦまで
のデータのチェックサム値を求めることになる。

【００３０】ここで、このアドレスを示すデータも２バ
イト長のデータとなるが、２５６バイト目のデータはア
ドレス８０ＦＦであり、２５７バイト目はアドレス８１
００となることから、上位１バイト、すなわちアドレス
８０ＦＦの８０が８１に変化したかを判別するだけで２
５６バイト目まで加算したかを判断することができる。
つまり、２５６バイト毎に分割することにより上位１バ
イトのみアクセスすればよいので、上記ステップ１０７
のチェックサム値の演算処理時間を短縮することがで
き、更に、この処理は前述の如く、１２８回繰り返し実
行されるため、トータル的に見ればかなりの時間を短縮
することができる。

【００３１】また、どのアドレスまで加算を実行したか
を記憶するためのＲＡＭ２２のメモリ容量も１バイトで
よいので、メモリ容量も節約することもできる。図４は
図２のルーチンにおいて、不正改造がありと判断したと
きの処理を示すフローチャートであり、所定クランク角
毎に実行される。図４において、ステップ４０１ではチ
ェックサムＮＧフラグを調べ、チェックサムＮＧフラグ
がセットされていないなら、プログラムが不正に改造さ
れていないと判断してステップ４０２に進み、チェック
サムＮＧフラグがセットされているなら、プログラムが
不正に改造されたと判断してステップ４０３に進む。

【００３２】ステップ４０２ではＲＯＭ４内のプログラ
ムに従ってＣＰＵ２１により演算された制御量で各種装
置を制御する通常のエンジン制御処理を実行する。一
方、ステップ４０３ではプログラムが改造されているの
で、プログラムに従わず、バックアップ回路７により求
められた制御量でエンジンを制御するフェールセーフ処
理を実行すると共に、運転者に異常があったことを報知
する。

【００３３】図５は前述したチェックプログラムの処理
のタイミングを表すタイムチャートを示す図である。運
転者は、イグニッションＳＷ５１をＯＮした後、エンジ
ンを始動するわけだが、本実施例では図５に示すよう
に、メモリチェック処理は８ｍｓ毎にＲＯＭ４の全領域
を分割した部分毎にチェックしている。このため、前回
のメモリチェック処理と今回のメモリチェック処理との
間に、本来のエンジン制御処理を実行することができ、
始動時のエンジン制御に極力影響を及ぼすことなく、Ｒ
ＯＭ４内に格納されているプログラムのチェックをする
ことができる。

【００３４】また、前述の如く、１回のチェックサム判
定を実施するのに要する時間は約１秒であるため、図３
に示すように２回チェックサム判定を実施しても、イグ
ニッションＳＷ５１をＯＮ後、約２秒でＲＯＭ４内に格
納されているプログラムのチェックをすることができ、
運転者がエンジンを始動し、発進しようとする頃には、
チェックが終了しているので、走行中に通常制御→退避
走行へと切り替わることはない。

【００３５】また、約２秒後のメモリチェック終了後
は、メモリチェック処理が実行されることがないので、
マイコンのエンジン制御処理の負荷にならず、常時メモ
リチェックをする方法に比べ、より多くのエンジン制御
処理を実行でき、高精度にエンジンを制御できる。図６
はメモリチェック処理実行中に、運転者のレーシングな
どにより、エンジンが高回転になった場合のチェックプ
ログラムの処理のタイミングを表すタイムチャートを示
す図である。

【００３６】図６において、エンジンが高回転時は、前
述の如く、クランク角センサ６３からの信号が多数入力
され、その分エンジン制御処理の負荷が増加し、この状
態でメモリチェック処理を実行するとエンジン制御処理
の遅れなどが生じ、エンジン制御に悪影響を及ぼす。例
えば、エンジンの噴き上がりが鈍くなり、レスポンスが
悪くなったり排気ガスが規制値を越えるようなことも考
えられる。

【００３７】しかしながら、本実施例では図２のステッ
プ１０３において、高回転時はメモリチェック処理を実
行していないよう処理しているため、図６に示す如く、
メモリチェック処理実行中に、エンジンが高回転になっ
た場合（Ｔｄｉｓの期間）は、メモリチェック処理が中
断され、エンジン制御するための演算処理に専念させる
ことができるため、エンジン制御に影響を及ぼすことは
ない。

【００３８】なお、その後、エンジンが低回転となった
場合には、メモリチェック処理を再開される。上記実施
例において、ステップＳ１０７〜ステップＳ１２３がプ
ログラム異常検出手段に、ステップＳ１０３が異常検出
禁止手段にそれぞれ相当し、機能する。

【００３９】

【発明の効果】以上述べたように、本発明においては、
エンジンの回転数が所定回転数以上のとき、プログラム
の異常検出処理を禁止するため、エンジン始動に悪影響
を及ぼさず、確実にプログラムメモリのチェックするこ
とができるという優れた効果を奏する。

【図面の簡単な説明】

【図１】電子式エンジン制御装置の全体構成を示す図で
ある。

【図２】チェックサムの作動を示すフローチャートであ
る。

【図３】ＲＯＭ４の記憶領域を示す図である。

【図４】プログラム異常時の処理を示すフローチャート
である。

【図５】チェックプログラムの実行タイミングを説明す
るためのタイムチャートである。

【図６】チェックプログラムの実行タイミングを説明す
るためのタイムチャートである。

【符号の説明】

１ 制御ユニット ２ マイコン ４ ＲＯＭ ２１ ＣＰＵ

Claims (1)

【特許請求の範囲】
1. 【請求項１】 コンピュータにて車両を制御する車両制
   御装置において、 前記車両を制御するためのプログラムを格納しているメ
   モリと、 前記コンピュータの起動時に、所定時間毎に前記メモリ
   の記憶領域の所定バイト毎に前記プログラムをチェック
   して異常を検出するプログラム異常検出手段と、 前記車両に設けられたエンジンの回転数を検出し、エン
   ジンの回転数が所定回転数以上のとき、前記プログラム
   異常検出手段によるプログラムの異常検出処理を禁止す
   る異常検出禁止手段とを備えたことを特徴とする車両用
   制御装置のメモリチェック装置。