WO2020162430A1 - 電子制御装置及び不揮発性メモリの使用方法 - Google Patents

電子制御装置及び不揮発性メモリの使用方法 Download PDF

Info

Publication number
WO2020162430A1
WO2020162430A1 PCT/JP2020/004052 JP2020004052W WO2020162430A1 WO 2020162430 A1 WO2020162430 A1 WO 2020162430A1 JP 2020004052 W JP2020004052 W JP 2020004052W WO 2020162430 A1 WO2020162430 A1 WO 2020162430A1
Authority
WO
WIPO (PCT)
Prior art keywords
electronic control
storage area
failure information
inactive state
written
Prior art date
Application number
PCT/JP2020/004052
Other languages
English (en)
French (fr)
Inventor
貴仁 藤生
建保 胡
大介 手島
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN202080006733.XA priority Critical patent/CN113196242A/zh
Priority to EP20752619.5A priority patent/EP3923139A4/en
Priority to US17/418,966 priority patent/US11836045B2/en
Publication of WO2020162430A1 publication Critical patent/WO2020162430A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0787—Storage of error reports, e.g. persistent data storage, storage using memory protection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/656—Updates while running
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1433—Saving, restoring, recovering or retrying at system level during software upgrading
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/2053—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where persistent mass storage functionality or persistent mass storage control functionality is redundant
    • G06F11/2094—Redundant storage or storage space

Definitions

  • the present invention relates to a method of using an electronic control device and a nonvolatile memory.
  • the control program of an electronic control unit installed in a vehicle such as an automobile may be updated due to addition of functions or repair of defects.
  • the vehicle has been brought into a dealer or the like to update the control program of the electronic control unit.
  • Patent Document 1 Japanese Patent Laid-Open No. 2018-86894 (Patent Document 1), OTA (Over The Air) using wireless communication allows the user to control Techniques for updating control programs have been proposed.
  • the control program to be executed is written in one storage area, and the other storage area is set as the control program. It can be considered as a reserved area for updating. Then, by writing the update program in the reserved area and switching to the update program at the timing of, for example, restarting, the control program can be updated even while the vehicle is traveling.
  • the reserved area reserved in the non-volatile memory is used only for updating the control program, the usable storage area of the non-volatile memory becomes small.
  • an object of the present invention is to provide an electronic control device and a method of using a non-volatile memory, which can efficiently use the non-volatile memory.
  • the electronic control unit two storage areas that can exclusively switch between the active state and the inactive state are secured in the non-volatile memory, and the control program to be executed is written in the storage area in the active state.
  • the active storage area is used as a reserved area for updating the control program. Then, when not updating the control program, the electronic control unit writes arbitrary data in the storage area in the inactive state.
  • the non-volatile memory of the electronic control device can be efficiently used.
  • FIG. 7 is an explanatory diagram showing a state in which failure information is written in a storage area in an inactive state. It is explanatory drawing of the method of writing the failure information at the time of failure occurrence, and before and after failure occurrence. It is explanatory drawing of the method of writing failure information in the memory area with the same address space. It is a flowchart which shows an example of the program update process performed in an OTA center.
  • FIG. 1 shows an example of a system for updating a control program of an electronic control unit mounted on a vehicle VH using OTA.
  • the update program is stored in the server SVR of the OTA center CTR and is delivered to the vehicle VH by wireless communication from the base station BS connected to the OTA center CTR.
  • the update program distributed to the vehicle VH is sent to the electronic control unit via the wireless transceiver, the gateway, and the vehicle-mounted network, and written in the nonvolatile memory of the electronic control unit.
  • the server SVR of the OTA center CTR is given as an example of the external device.
  • the server SVR is composed of, for example, a general-purpose computer system.
  • FIG. 2 shows an example of the electronic control unit 100 mounted on the vehicle VH.
  • the electronic control unit 100 connects a processor 120, a code flash memory 140, a data flash memory 160, a RAM (Random Access Memory) 180, an input/output circuit 200, a communication circuit 220, and these so that they can communicate with each other. And an internal bus 240.
  • the code flash memory 140 is taken as an example of a non-volatile memory.
  • the vehicle VH is equipped with a plurality of electronic control units 100 connected to an in-vehicle network such as a CAN (Controller Area Network). ing.
  • CAN Controller Area Network
  • the processor 120 is hardware that executes an instruction set (data transfer, calculation, processing, control, management, etc.) described in a program, and includes a calculation device, a register for storing instructions and information, a peripheral circuit, and the like. Has been done.
  • the code flash memory 140 is a non-volatile memory in which data can be electrically rewritten, and stores, for example, a control program for controlling an engine, an automatic transmission, a fuel injection device, and the like.
  • the data flash memory 160 is a non-volatile memory in which data can be electrically rewritten, and stores data such as a learning value.
  • the RAM 180 is a volatile memory in which data is lost when the power supply is cut off, and provides a temporary storage area for the processor 120.
  • the input/output circuit 200 includes an A/D converter, a D/A converter, a D/D converter, and the like, and provides an input/output function of an analog signal and a digital signal with respect to an external device.
  • the communication circuit 220 includes a CAN transceiver and the like, and provides a function of connecting to an in-vehicle network.
  • the internal bus 240 is a path for exchanging data between devices, and an address bus for transferring an address, a data bus for transferring data, and an actual input/output with the address bus and the data bus. It includes a control bus for exchanging timing and control information.
  • the communication circuit 220 of the electronic control unit 100 is connected to a wireless transceiver 280 that wirelessly communicates with the base station BS via the gateway 260.
  • the gateway 260 can convert the protocol of the data transmitted from the base station BS into a protocol that can be processed by the communication circuit 220, and can process the protocol of the data processed by the electronic control unit 100 by the base station BS. Provides the function to convert to protocol.
  • the update program distributed from the base station BS is received by the wireless transceiver 280 mounted on the vehicle VH, protocol-converted by the gateway 260, and sent to the processor 120 via the communication circuit 220 and the internal bus 240. .. Then, the processor 120 updates the control program of the code flash memory 140, for example, according to a program stored in advance in the code flash memory 140, as described in detail below. Note that the program itself stored in advance in the code flash memory 140 can also be updated.
  • bank A and bank B are secured in advance in the code flash memory 140 as two storage areas in which the active state and the inactive state can be exclusively switched.
  • the control programs A to F for controlling the control target of the electronic control unit 100 are written in the bank A in the active state, and the data is not written in the bank B in the inactive state.
  • the bank B in the inactive state is used as a reserved area for updating the control programs AF.
  • the bank in the active state will be referred to as "active ROM”
  • the bank in the inactive state will be referred to as "inactive ROM”.
  • the control program of revision 1.0 is written in the active ROM, and the inactive ROM is unused.
  • the update program of revision 2.0 is written in the inactive ROM, and for example, at a predetermined timing such as when the electronic control unit 100 is restarted.
  • the active ROM is switched to the inactive ROM, and the inactive ROM is switched to the active ROM. Therefore, the electronic control unit 100 can then execute the revision 2.0 control program written in the active ROM, for example, to execute the control in which the function addition, the defect repair, and the like are performed.
  • the revision 3.0 update program is written in the inactive ROM, for example, when the electronic control unit 100 is restarted or the like.
  • the active ROM is switched to the inactive ROM and the inactive ROM is switched to the active ROM. By doing so, the control program can be updated even when the vehicle VH is running.
  • the processor 120 of the electronic control device 100 writes arbitrary data to the inactive ROM when the control program is not updated.
  • the arbitrary data for example, failure information such as at least one of OBS (On Board Snapshot) and FFD (Freeze Frame Data) can be used.
  • FIG. 5 shows an example of the failure information writing process that is repeatedly executed by the processor 120 of the electronic control device 100 at a predetermined time when the electronic control device 100 is activated.
  • the processor 120 of the electronic control unit 100 executes the failure information writing process according to the program written in the code flash memory 140.
  • step 1 the processor 120 of the electronic control unit 100 determines whether or not a failure has occurred in the control target of the electronic control unit 100, a sensor, or the like. Whether or not a failure has occurred can be determined using, for example, a self-diagnosis function, a BIST (Built-In Self Test), or the like. Then, if the processor 120 of the electronic control unit 100 determines that a failure has occurred, the process proceeds to step 2 (Yes). On the other hand, if the processor 120 of the electronic control unit 100 determines that no failure has occurred, it ends the failure information writing process (No).
  • step 2 the processor 120 of the electronic control unit 100 writes the failure information in the inactive ROM, as shown in FIG.
  • the processor 120 of the electronic control unit 100 writes OBS1 to 99 and FFD1 to 99 in the inactive ROM as failure information, but the type and number of failure information may be arbitrary. it can.
  • the failure information can be written in the inactive ROM, for example, in time series.
  • the inactive ROM when the inactive ROM is not used for updating the control program, the storage area of the inactive ROM is used as a storage area for failure information. Therefore, the code flash memory 140 can be efficiently used. Further, since the failure information is written in the inactive ROM of the code flash memory 140, it is possible to reduce the capacity of the backup RAM as compared with the case where the failure information is written in the backup RAM in the conventional technique. Therefore, the cost of the electronic control unit 100 can be reduced. According to the current regulations, there is no problem even if the failure information is lost when the control program is updated, and the use of the inactive ROM for updating the control program is not prevented.
  • the failure information written in the inactive ROM of the code flash memory 140 is read by, for example, GST (Generic Scan Tool) or the like, and can be used for identifying the cause of failure occurrence.
  • the code flash memory 140 has a relatively large capacity, as shown in FIG. 7, not only the OBS and FFD at the time of failure occurrence in the inactive ROM, but also at least one OBS and FFD before the failure occurrence and after the failure occurrence It is also possible to write at least one OBS and FFD of In this case, the OBS and FFD before the failure needs to be temporarily stored in the RAM 180 in a time series, so that the number can be set according to the capacity of the RAM 180, for example. Further, the number of OBSs and FFDs after a failure can be appropriately determined in consideration of the capacity of the inactive ROM and the like. By doing so, the acquisition period and frequency of the failure information are increased, and the history of the failure occurrence and the behavior after the failure occurrence can be grasped, which can be useful for the analysis of the cause of the failure.
  • the processor 120 of the electronic control unit 100 transfers the failure information writing program written in the active ROM to the RAM 180 and executes the program (procedure (1)).
  • the failure information writing program executed in the RAM 180 controls the ROM changeover switch that exclusively switches the active ROM and the inactive ROM to enable access to the inactive ROM (procedure (2)), and the failure information is written in. Write to the active ROM (procedure (3)). Note that the failure information writing program controls the ROM changeover switch to enable access to the active ROM when the writing of the failure information to the inactive ROM is completed.
  • FIG. 9 shows an example of the program update process executed by the server SVR in the OTA center CTR, for example, when the administrator issues an instruction to update the control program.
  • the server SVR of the OTA center CTR executes a program update process according to a program stored in a storage such as a hard disk drive.
  • step 11 the server SVR of the OTA Center CTR inquires of the vehicle VH about the failure information.
  • the inquiry about the failure information is performed, for example, for each vehicle VH that is an update target of the control program.
  • the server SVR of the OTA center CTR determines whether or not the failure information is received from the vehicle VH. Then, if the server SVR of the OTA center CTR determines that the failure information is received, the process proceeds to step 13 (Yes). On the other hand, if the server SVR of the OTA center CTR determines that the failure information is not received, that is, the failure information is not written in the inactive ROM of the vehicle VH, the process proceeds to step 15 (No).
  • the server SVR of the OTA center CTR temporarily stores the failure information received from the vehicle VH in a storage such as a hard disk in a state associated with the identifier of the vehicle VH.
  • the server SVR of the OTA center CTR can store the failure information in the cloud service.
  • the server SVR of the OTA center CTR refers to the received failure information and determines whether or not it is possible to update the control program. That is, as shown in FIG. 10, the server SVR of the OTA center CTR has at least one failure code included in the failure information as a failure of the vehicle VH that may not normally update the control program. A stored table TBL is provided. Then, the server SVR of the OTA center CTR determines whether or not the control program can be updated by checking whether or not the failure code included in the received failure information is stored in the table TBL. To do. Then, if the server SVR of the OTA center CTR determines that the control program can be updated, the process proceeds to step 15 (Yes). On the other hand, if the server SVR of the OTA center CTR determines that the control program cannot be updated, it ends the program update process (No).
  • the server SVR of the OTA center CTR sends the update program to the vehicle VH.
  • the server SVR of the OTA center CTR should divide the update program into a predetermined size that can be transmitted in one communication, and sequentially transmit the divided update programs. You can The server SVR of the OTA center CTR may send the difference between the control programs stored in the active ROM instead of sending the entire update program.
  • the server SVR of the OTA center CTR determines whether or not there is a response to the completion of updating the control program from the vehicle VH. Then, if the server SVR of the OTA center CTR determines that the update completion response is received, the process proceeds to step 17 (Yes). On the other hand, if the server SVR of the OTA center CTR determines that there is no update completion response, it waits until there is an update completion response (No).
  • the server SVR of the OTA center CTR sends the failure information temporarily stored in the storage to the vehicle VH. That is, since the update of the control program is completed in the vehicle VH, the server SVR of the OTA center CTR transmits the failure information to the vehicle VH, so that the failure information in the vehicle VH can be continuously used.
  • the server SVR of the OTA center CTR writes the failure information in the vehicle VH instead of the failure information. It is sufficient to send the message that it was not registered.
  • the server SVR of the OTA center CTR can identify which revision of the control program the failure information is related to. Therefore, the revision information of the control program can be added to the failure information. .. By doing so, even if the failure information regarding the control programs of different revisions is mixed, the failure information and the control program can be linked by referring to the revision information.
  • FIG. 11 shows an example of the failure information return processing executed by the processor 120 of the electronic control apparatus 100 when the electronic control apparatus 100 of the vehicle VH receives the failure information inquiry.
  • the processor 120 of the electronic control unit 100 executes a failure information return process according to a program stored in the code flash memory 140.
  • the processor 120 of the electronic control unit 100 returns the failure information written in the inactive ROM of the code flash memory 140 to the OTA center CTR which made the failure information inquiry. If the failure information is not written in the inactive ROM, the processor 120 of the electronic control unit 100 returns that fact as failure information.
  • FIG. 12 shows an example of a program update process executed by the processor 120 of the electronic control unit 100 when the electronic control unit 100 of the vehicle VH receives the update program.
  • the processor 120 of the electronic control unit 100 executes the program update process according to the program stored in the code flash memory 140.
  • the processor 120 of the electronic control unit 100 writes the received update program in the inactive ROM.
  • the processor 120 of the electronic control unit 100 receives the difference between the control programs stored in the active ROM, the processor 120 applies the patch to the control program stored in the active ROM while applying the patch to the control program stored in the active ROM. Can be written on.
  • the processor 120 of the electronic control unit 100 switches the active ROM to the inactive ROM and switches the inactive ROM to the active ROM at a predetermined timing.
  • the predetermined timing is, for example, a timing at which the electronic control device 100 is restarted, idling stopped, parked, or the like, which is in a state where there is no problem even if control is disabled or insufficient during the switching time. can do. Therefore, the electronic control unit 100 can subsequently control the control target by the updated control program.
  • the processor 120 of the electronic control unit 100 returns a control program update completion response to the OTA center CTR which transmitted the update program.
  • the processor 120 of the electronic control device 100 may transmit a re-sending request for the update program instead of the update completion response when the writing of the update program in the inactive ROM is not normally performed.
  • the server SVR of the OTA center CTR may resend the update program in response to the resend request.
  • the processor 120 of the electronic control unit 100 determines whether or not the failure information is received from the OTA center CTR. Then, if the processor 120 of the electronic control unit 100 determines that the failure information is received, the process proceeds to step 35 (Yes). On the other hand, if the processor 120 of the electronic control unit 100 determines that the failure information has not been received, that is, the failure information has not been written, it ends the program update processing (No).
  • the processor 120 of the electronic control unit 100 writes the failure information into the inactive ROM.
  • the OTA center CTR when updating the control program of the electronic control unit 100, the OTA center CTR first inquires of the vehicle VH about failure information.
  • the electronic control unit 100 of the vehicle VH inquired about the failure information returns the failure information written in the inactive ROM or the fact that the failure is not written to the OTA center CTR.
  • the OTA center CTR When receiving the failure information, the OTA center CTR temporarily stores the failure information in the storage and determines whether or not the control program can be updated by the failure specified by the failure information. Then, the OTA center CTR transmits the update program to the electronic control unit 100 of the vehicle VH if the control program can be updated or the failure information is not written.
  • the electronic control unit 100 of the vehicle VH that has received the update program writes the update program to the inactive ROM, switches the active ROM to the inactive ROM, and switches the inactive ROM to the active ROM at a predetermined timing. Then, the electronic control unit 100 of the vehicle VH returns a control program update completion response to the OTA center CTR. After that, when the electronic control unit 100 of the vehicle VH receives the failure information from the OTA center CTR, it writes the failure information in the inactive ROM.
  • the electronic control unit 100 of the vehicle VH transmits the failure information written in the inactive ROM to the OTA center CTR, and the update program transmitted from the OTA center CTR to the inactive ROM. Write. Further, the electronic control unit 100 of the vehicle VH switches the active ROM to the inactive ROM, switches the inactive ROM to the active ROM, and writes the failure information transmitted from the OTA center CTR to the inactive ROM.
  • the electronic control unit 100 of the vehicle VH continuously uses the two storage areas secured in the code flash memory 140 to update the control program, while continuing the failure information written in the inactive ROM. Can be used.
  • two storage areas are secured in the code flash memory 140, but two storage areas are secured in the data flash memory 160, or two storage areas are physically stored in one nonvolatile memory.
  • the area may be secured. Further, not only the failure information but also any data such as a learning value may be written in the inactive ROM in addition to the failure information.
  • processor 140 code flash memory (non-volatile memory) VH vehicle CTR OTA center SVR server (external device)

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Automation & Control Theory (AREA)
  • Stored Programmes (AREA)
  • Debugging And Monitoring (AREA)

Abstract

電子制御装置において、不揮発性メモリにアクティブ状態とインアクティブ状態とを排他的に切り替え可能な２つの記憶領域が確保され、アクティブ状態の記憶領域に実行対象の制御プログラムが書き込まれ、インアクティブ状態の記憶領域が制御プログラムを更新するための予約領域として使用される。そして、電子制御装置は、制御プログラムを更新しないとき、インアクティブ状態の記憶領域に任意のデータを書き込む。

Description

電子制御装置及び不揮発性メモリの使用方法
　本発明は、電子制御装置及び不揮発性メモリの使用方法に関する。
　自動車などの車両に搭載された電子制御装置は、機能追加、不具合改修などによって制御プログラムが更新される場合がある。従来では、車両をディーラなどに持ち込んで、電子制御装置の制御プログラムを更新していた。この場合、車両ユーザの利便性が良くないことから、特開２０１８－８６８９４号公報（特許文献１）に記載されるように、無線通信を使用したＯＴＡ（Over The Air）によって、ユーザの手元で制御プログラムを更新する技術が提案されている。
特開２０１８－８６８９４号公報
　ＯＴＡによって制御プログラムを更新する場合、車両走行中などにも制御プログラムを更新できることが望ましい。これを実現するため、電子制御装置の不揮発性メモリに確保された２つの記憶領域を交互に使用し、一方の記憶領域に実行対象の制御プログラムを書き込んでおき、他方の記憶領域を制御プログラムの更新用の予約領域とすることが考えられる。そして、予約領域に更新プログラムを書き込み、例えば、再起動時などのタイミングで更新プログラムに切り替えることで、車両走行中などにも制御プログラムを更新できるようになる。しかしながら、不揮発性メモリに確保された予約領域は、制御プログラムを更新するためだけに使用されるため、不揮発性メモリの利用可能な記憶領域が小さくなってしまう。
　そこで、本発明は、不揮発性メモリを効率的に利用可能な、電子制御装置及び不揮発性メモリの使用方法を提供することを目的とする。
　このため、電子制御装置において、不揮発性メモリにアクティブ状態とインアクティブ状態とを排他的に切り替え可能な２つの記憶領域が確保され、アクティブ状態の記憶領域に実行対象の制御プログラムが書き込まれ、インアクティブ状態の記憶領域が制御プログラムを更新するための予約領域として使用される。そして、電子制御装置は、制御プログラムを更新しないとき、インアクティブ状態の記憶領域に任意のデータを書き込む。
　本発明によれば、電子制御装置の不揮発性メモリを効率的に利用することができる。
電子制御装置の制御プログラムを更新するシステム図である。 電子制御装置の一例を示す内部構成図である。 コードフラッシュメモリのデータ構造図である。 制御プログラムの更新方法の説明図である。 車両で実行される故障情報書込み処理の一例を示すフローチャートである。 インアクティブ状態の記憶領域に故障情報を書き込んだ状態の説明図である。 故障発生時及び故障発生前後の故障情報を書き込む方法の説明図である。 アドレス空間が同一の記憶領域に故障情報を書き込む方法の説明図である。 ＯＴＡセンターで実行されるプログラム更新処理の一例を示すフローチャートである。 制御プログラムの更新ができない故障を定義したテーブルの説明図である。 車両で実行される故障情報返送処理の一例を示すフローチャートである。 車両で実行されるプログラム更新処理の一例を示すフローチャートである。
　以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。
　図１は、ＯＴＡを利用して、車両ＶＨに搭載された電子制御装置の制御プログラムを更新するシステムの一例を示している。更新プログラムは、ＯＴＡセンターＣＴＲのサーバーＳＶＲに格納されており、ＯＴＡセンターＣＴＲに接続された基地局ＢＳから無線通信で車両ＶＨに配信される。車両ＶＨに配信された更新プログラムは、無線送受信機、ゲートウェイ及び車載ネットワークを介して電子制御装置に送られ、電子制御装置の不揮発性メモリに書き込まれる。ここで、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、外部装置の一例として挙げられる。なお、サーバーＳＶＲは、例えば、汎用コンピュータシステムから構成されている。
　図２は、車両ＶＨに搭載された電子制御装置１００の一例を示している。
　電子制御装置１００は、プロセッサ１２０と、コードフラッシュメモリ１４０と、データフラッシュメモリ１６０と、ＲＡＭ（Random Access Memory）１８０と、入出力回路２００と、通信回路２２０と、これらを相互通信可能に接続する内部バス２４０と、を備えている。ここで、コードフラッシュメモリ１４０が、不揮発性メモリの一例として挙げられる。なお、図２においては、１つの電子制御装置１００のみが図示されているが、車両ＶＨには、ＣＡＮ（Controller Area Network）などの車載ネットワークに接続された、複数の電子制御装置１００が搭載されている。
　プロセッサ１２０は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウエアであって、演算装置、命令や情報を格納するレジスタ、周辺回路などから構成されている。コードフラッシュメモリ１４０は、電気的にデータを書き換え可能な不揮発性メモリからなり、例えば、エンジン、自動変速機、燃料噴射装置などを制御する制御プログラムなどを格納する。データフラッシュメモリ１６０は、電気的にデータを書き換え可能な不揮発性メモリからなり、例えば、学習値などのデータを格納する。ＲＡＭ１８０は、電源供給遮断によってデータが消失する揮発性メモリからなり、プロセッサ１２０の一時的な記憶領域を提供する。
　入出力回路２００は、Ａ／Ｄコンバータ、Ｄ／Ａコンバータ、Ｄ／Ｄコンバータなどからなり、外部機器に対するアナログ信号及びデジタル信号の入出力機能を提供する。通信回路２２０は、ＣＡＮトランシーバなどからなり、車載ネットワークに接続する機能を提供する。内部バス２４０は、各デバイス間でデータを交換するための経路であって、アドレスを転送するためのアドレスバス、データを転送するためのデータバス、アドレスバスやデータバスで実際に入出力を行うタイミングや制御情報を遣り取りするコントロールバスを含んでいる。
　また、電子制御装置１００の通信回路２２０は、ゲートウェイ２６０を介して、基地局ＢＳと無線通信する無線送受信機２８０に接続されている。ここで、ゲートウェイ２６０は、基地局ＢＳから送信されたデータのプロトコルを通信回路２２０で処理可能なプロトコルに変換すると共に、電子制御装置１００で処理されるデータのプロトコルを基地局ＢＳで処理可能なプロトコルに変換する機能を提供する。
　従って、基地局ＢＳから配信された更新プログラムは、車両ＶＨに搭載された無線送受信機２８０で受信され、ゲートウェイ２６０によってプロトコル変換されつつ、通信回路２２０及び内部バス２４０を介してプロセッサ１２０に送られる。そして、プロセッサ１２０は、例えば、コードフラッシュメモリ１４０に予め格納されたプログラムに従って、以下で詳細に説明するように、コードフラッシュメモリ１４０の制御プログラムを更新する。なお、コードフラッシュメモリ１４０に予め格納されたプログラム自体も、更新対象となり得る。
　コードフラッシュメモリ１４０には、図３に示すように、アクティブ状態とインアクティブ状態とを排他的に切り替え可能な２つの記憶領域として、バンクＡとバンクＢとが予め確保されている。図３に示す一例では、アクティブ状態のバンクＡに、電子制御装置１００の制御対象を制御するための制御プログラムＡ～Ｆが書き込まれ、インアクティブ状態のバンクＢにデータが書き込まれていない状態を示している。ここで、インアクティブ状態のバンクＢは、制御プログラムＡ～Ｆを更新するための予約領域として使用される。なお、以下の説明においては、アクティブ状態のバンクを「アクティブＲＯＭ」、インアクティブ状態のバンクを「インアクティブＲＯＭ」と呼ぶこととする。
　電子制御装置１００の初期状態では、図４に示すように、アクティブＲＯＭにリビジョン１．０の制御プログラムが書き込まれ、インアクティブＲＯＭが未使用となっている。この初期状態において、アクティブＲＯＭに書き込まれている制御プログラムを更新する場合、インアクティブＲＯＭにリビジョン２．０の更新プログラムが書き込まれ、例えば、電子制御装置１００の再起動時などの所定のタイミングで、アクティブＲＯＭがインアクティブＲＯＭに切り替えられると共に、インアクティブＲＯＭがアクティブＲＯＭに切り替えられる。従って、電子制御装置１００は、その後、アクティブＲＯＭに書き込まれているリビジョン２．０の制御プログラムを実行し、例えば、機能追加、不具合改修などが行われた制御を実行することができる。
　そして、アクティブＲＯＭに書き込まれているリビジョン２．０の制御プログラムを更に更新する場合、インアクティブＲＯＭにリビジョン３．０の更新プログラムが書き込まれ、例えば、電子制御装置１００の再起動時などの所定のタイミングで、アクティブＲＯＭがインアクティブＲＯＭに切り替えられると共に、インアクティブＲＯＭがアクティブＲＯＭに切り替えられる。このようにすることで、車両ＶＨが走行中であっても制御プログラムを更新することができる。
　しかしながら、インアクティブＲＯＭが制御プログラムの更新のためだけに使用されると、コードフラッシュメモリ１４０の使用可能な記憶領域が小さくなってしまう。そこで、コードフラッシュメモリ１４０を効率的に利用するため、電子制御装置１００のプロセッサ１２０は、制御プログラムを更新しないとき、インアクティブＲＯＭに任意のデータを書き込む。ここで、任意のデータとしては、例えば、ＯＢＳ（On Board Snapshot）及びＦＦＤ（Freeze Frame Data）の少なくとも一方などの故障情報とすることができる。
　図５は、電子制御装置１００が起動されたことを契機として、電子制御装置１００のプロセッサ１２０が所定時間ごとに繰り返し実行する、故障情報書込み処理の一例を示している。ここで、電子制御装置１００のプロセッサ１２０は、コードフラッシュメモリ１４０に書き込まれているプログラムに従って、故障情報書込み処理を実行する。
　ステップ１（図５では「Ｓ１」と略記する。以下同様。）では、電子制御装置１００のプロセッサ１２０が、電子制御装置１００の制御対象及びセンサなどに故障が発生したか否かを判定する。故障発生の有無は、例えば、自己診断機能、ＢＩＳＴ（Built-In Self Test）などを使用して判定することができる。そして、電子制御装置１００のプロセッサ１２０は、故障が発生したと判定すれば、処理をステップ２へと進める（Ｙｅｓ）。一方、電子制御装置１００のプロセッサ１２０は、故障が発生していないと判定すれば、故障情報書込み処理を終了させる（Ｎｏ）。
　ステップ２では、電子制御装置１００のプロセッサ１２０が、図６に示すように、インアクティブＲＯＭに故障情報を書き込む。図６に示す一例では、電子制御装置１００のプロセッサ１２０は、故障情報として、インアクティブＲＯＭにＯＢＳ１～９９及びＦＦＤ１～９９を書き込んでいるが、その故障情報の種類及び個数は任意とすることができる。また、インアクティブＲＯＭへの故障情報の書き込みは、例えば、時系列で書き込むことができる。
　このようにすれば、インアクティブＲＯＭが制御プログラム更新のために使用されないとき、インアクティブＲＯＭの記憶領域が故障情報の格納領域として利用される。従って、コードフラッシュメモリ１４０を効率的に利用することができる。また、故障情報がコードフラッシュメモリ１４０のインアクティブＲＯＭに書き込まれることから、従来技術において故障情報をバックアップＲＡＭに書き込んでいた場合と比較して、バックアップＲＡＭの容量を小さくすることが可能となって、電子制御装置１００のコストを低減することができる。なお、現状の法規では、制御プログラムを更新したときには故障情報が消失しても問題がなく、インアクティブＲＯＭを制御プログラム更新のために使用することを妨げない。コードフラッシュメモリ１４０のインアクティブＲＯＭに書き込まれた故障情報は、例えば、ＧＳＴ（Generic Scan Tool）などにより読み出され、故障発生の原因を特定することなどに利用することができる。
　コードフラッシュメモリ１４０は、比較的大容量であるため、図７に示すように、インアクティブＲＯＭに故障発生時のＯＢＳ及びＦＦＤだけでなく、故障発生前の少なくとも１つのＯＢＳ及びＦＦＤ、故障発生後の少なくとも１つのＯＢＳ及びＦＦＤを書き込むこともできる。この場合、故障発生前のＯＢＳ及びＦＦＤは、ＲＡＭ１８０に時系列で一時的に保存しておく必要があるため、例えば、ＲＡＭ１８０の容量に応じた個数とすることができる。また、故障発生後のＯＢＳ及びＦＦＤは、インアクティブＲＯＭの容量などを考慮して、その個数を適宜決定することができる。このようにすれば、故障情報の取得期間及び頻度が増加し、故障発生の経緯や故障発生後の挙動を把握することが可能となり、故障原因の解析に役立つことができる。
　アクティブＲＯＭ及びインアクティブＲＯＭのアドレス空間が同一の場合、アクティブＲＯＭに書き込まれている故障情報書込みプログラムで故障情報をインアクティブＲＯＭに書き込むことができない。この場合、図８に示すように、電子制御装置１００のプロセッサ１２０は、アクティブＲＯＭに書き込まれている故障情報書込みプログラムをＲＡＭ１８０に転送して実行する（手順（１））。ＲＡＭ１８０で実行された故障情報書込みプログラムは、アクティブＲＯＭとインアクティブＲＯＭとを排他的に切り替えるＲＯＭ切替スイッチを制御してインアクティブＲＯＭへのアクセスを可能とし（手順（２））、故障情報をインアクティブＲＯＭに書き込む（手順（３））。なお、故障情報書込みプログラムは、インアクティブＲＯＭへの故障情報の書き込みが完了したら、ＲＯＭ切替スイッチを制御してアクティブＲＯＭへのアクセスを可能にする。
　コードフラッシュメモリ１４０のインアクティブＲＯＭを使用して制御プログラムを更新しても、インアクティブＲＯＭに書き込まれていた故障情報を継続して保持したい場合、次のようにすればよい。
　図９は、ＯＴＡセンターＣＴＲにおいて、例えば、管理者によって制御プログラムの更新指示がなされたことを契機として、サーバーＳＶＲが実行するプログラム更新処理の一例を示している。なお、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、例えば、ハードディスクドライブなどのストレージに格納されたプログラムに従って、プログラム更新処理を実行する。
　ステップ１１では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨに故障情報を問い合わせる。ここで、故障情報の問い合わせは、例えば、制御プログラムの更新対象となる各車両ＶＨに対して行われる。
　ステップ１２では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨから故障情報を受信したか否かを判定する。そして、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、故障情報を受信したと判定すれば、処理をステップ１３へと進める（Ｙｅｓ）。一方、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、故障情報を受信していない、即ち、車両ＶＨのインアクティブＲＯＭに故障情報が書き込まれていないと判定すれば、処理をステップ１５へと進める（Ｎｏ）。
　ステップ１３では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨから受信した故障情報を、例えば、ハードディスクなどのストレージに車両ＶＨの識別子と関連付けた状態で一時的に記憶させる。なお、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、故障情報をクラウドサービスに記憶させることもできる。
　ステップ１４では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、受信した故障情報を参照し、制御プログラムを更新することが可能であるか否かを判定する。即ち、ＯＴＡセンターＣＴＲのサーバーＳＶＲには、制御プログラムの更新が正常に行うことができない可能性がある車両ＶＨの故障として、図１０に示すように、故障情報に含まれる故障コードが少なくとも１つ格納されたテーブルＴＢＬが備えられている。そして、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、受信した故障情報に含まれる故障コードがテーブルＴＢＬに格納されているか否かを確認することで、制御プログラムを更新することが可能であるか否かを判定する。そして、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、制御プログラムの更新が可能であると判定すれば、処理をステップ１５へと進める（Ｙｅｓ）。一方、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、制御プログラムの更新が可能でないと判定すれば、プログラム更新処理を終了させる（Ｎｏ）。
　ステップ１５では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨに対して更新プログラムを送信する。ここで、更新プログラムが大きく１回の通信で送信できない場合、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、１回の通信で送信可能な所定サイズに更新プログラムを分割し、分割した更新プログラムを順次送信することができる。なお、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、更新プログラムの全体を送信せずに、アクティブＲＯＭに格納されている制御プログラムの差分を送信するようにしてもよい。
　ステップ１６では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨから制御プログラムの更新完了応答があったか否かを判定する。そして、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、更新完了応答があったと判定すれば、処理をステップ１７へと進める（Ｙｅｓ）。一方、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、更新完了応答がないと判定すれば、更新完了応答があるまで待機する（Ｎｏ）。
　ステップ１７では、ＯＴＡセンターＣＴＲのサーバーＳＶＲが、車両ＶＨに対して、ストレージに一時的に記憶させておいた故障情報を送信する。即ち、車両ＶＨにおいて制御プログラムの更新が完了したので、ＯＴＡセンターＣＴＲのサーバーＳＶＲが故障情報を車両ＶＨに送信することで、車両ＶＨにおける故障情報を継続して利用することを可能にする。なお、故障情報の送信対象となる車両ＶＨのインアクティブＲＯＭに故障情報が書き込まれていなかった場合、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、車両ＶＨに対して、故障情報に代えて、故障情報が書き込まれていなかった旨を送信すればよい。
　ＯＴＡセンターＣＴＲのサーバーＳＶＲは、車両ＶＨに故障情報を送信するとき、どのリビジョンの制御プログラムに関する故障情報であるかを特定可能とするため、故障情報に制御プログラムのリビジョン情報を付加することもできる。このようにすれば、異なるリビジョンの制御プログラムに関する故障情報が混在していても、そのリビジョン情報を参照することで、故障情報と制御プログラムとを紐付けすることができる。
　図１１は、車両ＶＨの電子制御装置１００が故障情報問い合わせを受信したことを契機として、電子制御装置１００のプロセッサ１２０が実行する、故障情報返送処理の一例を示している。なお、電子制御装置１００のプロセッサ１２０は、コードフラッシュメモリ１４０に格納されているプログラムに従って、故障情報返送処理を実行する。
　ステップ２１では、電子制御装置１００のプロセッサ１２０が、故障情報問い合わせを行ったＯＴＡセンターＣＴＲに対して、コードフラッシュメモリ１４０のインアクティブＲＯＭに書き込まれている故障情報を返送する。なお、電子制御装置１００のプロセッサ１２０は、インアクティブＲＯＭに故障情報が書き込まれていない場合、故障情報としてその旨を返送する。
　図１２は、車両ＶＨの電子制御装置１００が更新プログラムを受信したことを契機として、電子制御装置１００のプロセッサ１２０が実行する、プログラム更新処理の一例を示している。なお、電子制御装置１００のプロセッサ１２０は、コードフラッシュメモリ１４０に格納されているプログラムに従って、プログラム更新処理を実行する。
　ステップ３１では、電子制御装置１００のプロセッサ１２０が、受信した更新プログラムをインアクティブＲＯＭに書き込む。ここで、電子制御装置１００のプロセッサ１２０は、アクティブＲＯＭに格納されている制御プログラムの差分を受信した場合には、アクティブＲＯＭに格納されている制御プログラムにパッチを当てつつ、これをインアクティブＲＯＭに書き込むことができる。
　ステップ３２では、電子制御装置１００のプロセッサ１２０が、所定のタイミングで、アクティブＲＯＭをインアクティブＲＯＭに切り替えると共に、インアクティブＲＯＭをアクティブＲＯＭに切り替える。ここで、所定のタイミングとは、例えば、電子制御装置１００の再起動時、アイドリングストップ時、駐車時など、切替時間に制御が不可又は不十分となっても支障がない状態となったタイミングとすることができる。従って、電子制御装置１００は、その後、更新された制御プログラムによって制御対象を制御することができる。
　ステップ３３では、電子制御装置１００のプロセッサ１２０が、更新プログラムを送信したＯＴＡセンターＣＴＲに対して、制御プログラムの更新完了応答を返送する。なお、電子制御装置１００のプロセッサ１２０は、インアクティブＲＯＭへの更新プログラムの書き込みが正常に行われなかった場合、更新完了応答に代えて、更新プログラムの再送要求を送信するようにしてもよい。この場合、ＯＴＡセンターＣＴＲのサーバーＳＶＲは、再送要求に応答して、更新プログラムを再送すればよい。
　ステップ３４では、電子制御装置１００のプロセッサ１２０が、ＯＴＡセンターＣＴＲから故障情報を受信したか否かを判定する。そして、電子制御装置１００のプロセッサ１２０は、故障情報を受信したと判定すれば、処理をステップ３５へと進める（Ｙｅｓ）。一方、電子制御装置１００のプロセッサ１２０は、故障情報を受信していない、即ち、故障情報が書き込まれていなかったと判定すれば、プログラム更新処理を終了させる（Ｎｏ）。
　ステップ３５では、電子制御装置１００のプロセッサ１２０が、故障情報をインアクティブＲＯＭに書き込む。
　このようにすれば、電子制御装置１００の制御プログラムを更新する場合、最初に、ＯＴＡセンターＣＴＲから車両ＶＨに対して故障情報が問い合わされる。故障情報が問い合わされた車両ＶＨの電子制御装置１００は、インアクティブＲＯＭに書き込まれている故障情報又は故障が書き込まれていない旨をＯＴＡセンターＣＴＲに返送する。ＯＴＡセンターＣＴＲは、故障情報を受信した場合、ストレージに故障情報を一時的に記憶すると共に、故障情報により特定される故障によって制御プログラムの更新が可能であるか否かを判定する。そして、ＯＴＡセンターＣＴＲは、制御プログラムの更新が可能であるか、故障情報が書き込まれていなければ、車両ＶＨの電子制御装置１００に対して更新プログラムを送信する。
　更新プログラムを受信した車両ＶＨの電子制御装置１００は、インアクティブＲＯＭに更新プログラムを書き込み、所定のタイミングで、アクティブＲＯＭをインアクティブＲＯＭに切り替えると共に、インアクティブＲＯＭをアクティブＲＯＭに切り替える。そして、車両ＶＨの電子制御装置１００は、ＯＴＡセンターＣＴＲに対して、制御プログラムの更新完了応答を返送する。その後、車両ＶＨの電子制御装置１００は、ＯＴＡセンターＣＴＲから故障情報を受信すると、インアクティブＲＯＭに故障情報を書き込む。
　要するに、車両ＶＨの電子制御装置１００は、制御プログラムを更新するとき、インアクティブＲＯＭに書き込まれている故障情報をＯＴＡセンターＣＴＲに送信し、ＯＴＡセンターＣＴＲから送信された更新プログラムをインアクティブＲＯＭに書き込む。また、車両ＶＨの電子制御装置１００は、アクティブＲＯＭをインアクティブＲＯＭに切り替えると共にインアクティブＲＯＭをアクティブＲＯＭに切り替え、ＯＴＡセンターＣＴＲから送信された故障情報をインアクティブＲＯＭに書き込む。
　従って、車両ＶＨの電子制御装置１００は、コードフラッシュメモリ１４０に確保された２つの記憶領域を交互に使用して制御プログラムを更新しつつ、インアクティブＲＯＭに書き込まれていた故障情報を継続して利用することができる。
　以上説明した実施形態では、コードフラッシュメモリ１４０に２つの記憶領域が確保されていたが、データフラッシュメモリ１６０に２つの記憶領域が確保されていたり、物理的に１つの不揮発性メモリに２つの記憶領域が確保されていたりしてもよい。また、インアクティブＲＯＭには、故障情報に限らず、又は故障情報に加え、学習値などの任意のデータを書き込むようにしてもよい。
　なお、当業者であれば、様々な上記実施形態の技術的思想について、その一部を省略したり、その一部を適宜組み合わせたり、その一部を置換したりすることで、新たな実施形態を生み出せることを容易に理解できるであろう。
　　１００　電子制御装置
　　１２０　プロセッサ
　　１４０　コードフラッシュメモリ（不揮発性メモリ）
　　ＶＨ　車両
　　ＣＴＲ　ＯＴＡセンター
　　ＳＶＲ　サーバー（外部装置）

Claims (14)

  1. 　不揮発性メモリにアクティブ状態とインアクティブ状態とを排他的に切り替え可能な２つの記憶領域が確保され、前記アクティブ状態の記憶領域に実行対象の制御プログラムが書き込まれ、前記インアクティブ状態の記憶領域が前記制御プログラムを更新するための予約領域として使用される電子制御装置であって、
    　前記制御プログラムを更新しないとき、前記インアクティブ状態の記憶領域に任意のデータが書き込まれる、
    　電子制御装置。
  2. 　前記任意のデータは、故障情報である、
    　請求項１に記載の電子制御装置。
  3. 　前記故障情報は、ＯＢＳ及びＦＦＤの少なくとも一方である、
    　請求項２に記載の電子制御装置。
  4. 　前記故障情報は、時系列で書き込まれる、
    　請求項２に記載の電子制御装置。
  5. 　前記インアクティブ状態の記憶領域には、故障発生時及び故障発生前後の前記故障情報が書き込まれる、
    　請求項２に記載の電子制御装置。
  6. 　前記制御プログラムを更新するとき、前記インアクティブ状態の記憶領域に書き込まれている前記任意のデータを外部装置に送信し、前記外部装置から送信された更新プログラムを前記インアクティブ状態の記憶領域に書き込み、前記アクティブ状態の記憶領域をインアクティブ状態に切り替えると共に前記インアクティブ状態の記憶領域をアクティブ状態に切り替え、前記外部装置から送信された前記任意のデータを前記インアクティブ状態の記憶領域に書き込む、
    　請求項１に記載の電子制御装置。
  7. 　前記外部装置は、ＯＴＡセンターのサーバーである、
    　請求項６に記載の電子制御装置。
  8. 　不揮発性メモリにアクティブ状態とインアクティブ状態とを排他的に切り替え可能な２つの記憶領域が確保され、前記アクティブ状態の記憶領域に実行対象の制御プログラムが書き込まれ、前記インアクティブ状態の記憶領域が前記制御プログラムを更新するための予約領域として使用される電子制御装置のプロセッサが、前記制御プログラムを更新しないとき、前記インアクティブ状態の記憶領域に任意のデータを書き込む、
    　不揮発性メモリの使用方法。
  9. 　前記任意のデータは、故障情報である、
    　請求項８に記載の不揮発性メモリの使用方法。
  10. 　前記故障情報は、ＯＢＳ及びＦＦＤの少なくとも一方である、
    　請求項９に記載の不揮発性メモリの使用方法。
  11. 　前記電子制御装置のプロセッサが、前記インアクティブ状態の記憶領域に前記故障情報を時系列で書き込む、
    　請求項９に記載の不揮発性メモリの使用方法。
  12. 　前記電子制御装置のプロセッサが、前記インアクティブ状態の記憶領域に、故障発生時及び故障発生前後の前記故障情報を書き込む、
    　請求項９に記載の不揮発性メモリの使用方法。
  13. 　前記電子制御装置のプロセッサが、前記制御プログラムを更新するとき、前記インアクティブ状態の記憶領域に書き込まれている前記任意のデータを外部装置に送信し、前記外部装置から送信された更新プログラムを前記インアクティブ状態の記憶領域に書き込み、前記アクティブ状態の記憶領域をインアクティブ状態に切り替えると共に前記インアクティブ状態の記憶領域をアクティブ状態に切り替え、前記外部装置から送信された前記任意のデータを前記インアクティブ状態の記憶領域に書き込む、
    　請求項８に記載の不揮発性メモリの使用方法。
  14. 　前記外部装置は、ＯＴＡセンターのサーバーである、
    　請求項１３に記載の不揮発性メモリの使用方法。
PCT/JP2020/004052 2019-02-05 2020-02-04 電子制御装置及び不揮発性メモリの使用方法 WO2020162430A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202080006733.XA CN113196242A (zh) 2019-02-05 2020-02-04 电子控制装置以及非易失性存储器的使用方法
EP20752619.5A EP3923139A4 (en) 2019-02-05 2020-02-04 ELECTRONIC CONTROL DEVICE AND METHOD OF USING NON-VOLATILE MEMORY
US17/418,966 US11836045B2 (en) 2019-02-05 2020-02-04 Electronic control device having a non-volatile memory with a reserved area storing failure data

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-018584 2019-02-05
JP2019018584A JP7216559B2 (ja) 2019-02-05 2019-02-05 電子制御装置及び不揮発性メモリの使用方法

Publications (1)

Publication Number Publication Date
WO2020162430A1 true WO2020162430A1 (ja) 2020-08-13

Family

ID=71947710

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/004052 WO2020162430A1 (ja) 2019-02-05 2020-02-04 電子制御装置及び不揮発性メモリの使用方法

Country Status (5)

Country Link
US (1) US11836045B2 (ja)
EP (1) EP3923139A4 (ja)
JP (1) JP7216559B2 (ja)
CN (1) CN113196242A (ja)
WO (1) WO2020162430A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7128763B2 (ja) * 2019-03-18 2022-08-31 日立Astemo株式会社 電子制御装置及び制御データの設定方法
WO2023141832A1 (zh) * 2022-01-26 2023-08-03 宁德时代新能源科技股份有限公司 程序更新方法和程序更新装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005059862A1 (ja) * 2003-12-15 2005-06-30 Hitachi, Ltd. 車載制御装置の情報更新方法と更新情報通信システム、および、車両搭載制御装置と情報管理基地局装置
JP2009044543A (ja) * 2007-08-09 2009-02-26 Sharp Corp テレビ受信機
WO2009090978A1 (ja) * 2008-01-15 2009-07-23 Toyota Jidosha Kabushiki Kaisha 車両用制御装置
JP2014085709A (ja) * 2012-10-19 2014-05-12 Denso Corp 車載電子制御装置
JP2018086894A (ja) 2016-11-28 2018-06-07 トヨタ自動車株式会社 リプログラミング制御装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3726663B2 (ja) * 2000-09-07 2005-12-14 日産自動車株式会社 電子制御装置の制御データ記憶装置
JP2003084998A (ja) * 2001-09-12 2003-03-20 Denso Corp 故障診断システム及び電子制御装置
US7549042B2 (en) * 2003-12-16 2009-06-16 Microsoft Corporation Applying custom software image updates to non-volatile storage in a failsafe manner
US7512864B2 (en) * 2005-09-30 2009-03-31 Josef Zeevi System and method of accessing non-volatile computer memory
US7587431B1 (en) * 2006-09-28 2009-09-08 Emc Corporation Updating snapshots
JP4640475B2 (ja) * 2008-09-11 2011-03-02 トヨタ自動車株式会社 車両の修理交換情報管理システム、車両の修理交換情報管理装置、車両の異常原因情報管理システム、車両の異常原因情報管理装置、複数組の教師データの処理方法
US8543760B2 (en) * 2010-12-13 2013-09-24 International Business Machines Corporation Saving log data using a disk system as primary cache and a tape library as secondary cache
JP2013222435A (ja) * 2012-04-19 2013-10-28 Toshiba Corp 半導体記憶装置及びその制御方法
US20170046152A1 (en) * 2015-08-12 2017-02-16 Quanta Computer Inc. Firmware update
US10157005B2 (en) * 2016-09-30 2018-12-18 Intel Corporation Utilization of non-volatile random access memory for information storage in response to error conditions
US10782955B2 (en) 2017-01-03 2020-09-22 Ford Global Technologies, Llc Pre-shutdown swap verification
US10152381B1 (en) * 2017-04-27 2018-12-11 EMC IP Holding Company LLC Using storage defragmentation function to facilitate system checkpoint

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005059862A1 (ja) * 2003-12-15 2005-06-30 Hitachi, Ltd. 車載制御装置の情報更新方法と更新情報通信システム、および、車両搭載制御装置と情報管理基地局装置
JP2009044543A (ja) * 2007-08-09 2009-02-26 Sharp Corp テレビ受信機
WO2009090978A1 (ja) * 2008-01-15 2009-07-23 Toyota Jidosha Kabushiki Kaisha 車両用制御装置
JP2014085709A (ja) * 2012-10-19 2014-05-12 Denso Corp 車載電子制御装置
JP2018086894A (ja) 2016-11-28 2018-06-07 トヨタ自動車株式会社 リプログラミング制御装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3923139A4

Also Published As

Publication number Publication date
JP7216559B2 (ja) 2023-02-01
US20220197747A1 (en) 2022-06-23
EP3923139A4 (en) 2022-09-21
EP3923139A1 (en) 2021-12-15
JP2020126452A (ja) 2020-08-20
US11836045B2 (en) 2023-12-05
CN113196242A (zh) 2021-07-30

Similar Documents

Publication Publication Date Title
WO2018070156A1 (ja) ソフトウェア更新装置、ソフトウェア更新方法、ソフトウェア更新システム
WO2020080273A1 (ja) 車載更新装置、更新処理プログラム及び、プログラムの更新方法
WO2020162430A1 (ja) 電子制御装置及び不揮発性メモリの使用方法
US11126422B2 (en) Program update system, control system, mobile body, program update method, recording medium
US20190256109A1 (en) Control apparatus, control method, and computer program
WO2020158675A1 (ja) 電子制御装置及びプログラム更新方法
JPWO2005078264A1 (ja) 車両用データのバックアップ方法
JP6547904B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
US11853742B2 (en) Server, software update system, distribution method, and non-transitory storage medium
WO2021024792A1 (ja) 車両制御装置、更新プログラム、プログラム更新システム、及び書込み装置
US20210173634A1 (en) Vehicle control device and program update system
WO2020189281A1 (ja) 電子制御装置及び制御データの設定方法
CN111190628B (zh) 基站升级方法、装置、设备和存储介质
WO2019038855A1 (ja) 車載電子機器、サーバ装置、およびソフトウェア更新方法
US20220244946A1 (en) Ota master, update control method, non-transitory storage medium, and vehicle
JP2005085054A (ja) プログラム動作変更方法
JP2005085054A5 (ja)
JP2002073361A (ja) 遠隔ソフトウエア更新可能な電子機器及び遠隔ソフトウエア更新方法。
WO2023106072A1 (ja) 車載装置、プログラム、プログラムの更新方法、及び車載更新システム
US20220204008A1 (en) Arithmetic processing device, vehicle control device, and update method
CN116149906A (zh) 车辆里程信息的备份方法、装置、车辆及存储介质
JP2000089939A (ja) 制御プログラム更新方式
JP2022126194A (ja) Ｏｔａマスタ、センタ、システム、方法、プログラム、及び車両
JP2021124829A (ja) 電子制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20752619

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020752619

Country of ref document: EP

Effective date: 20210906