WO2023203768A1 - 電子制御装置及び書込制御方法 - Google Patents

電子制御装置及び書込制御方法 Download PDF

Info

Publication number
WO2023203768A1
WO2023203768A1 PCT/JP2022/018588 JP2022018588W WO2023203768A1 WO 2023203768 A1 WO2023203768 A1 WO 2023203768A1 JP 2022018588 W JP2022018588 W JP 2022018588W WO 2023203768 A1 WO2023203768 A1 WO 2023203768A1
Authority
WO
WIPO (PCT)
Prior art keywords
nonvolatile memory
external
data
internal
processing
Prior art date
Application number
PCT/JP2022/018588
Other languages
English (en)
French (fr)
Inventor
保徳 磯崎
雄介 阿部
隆博 飯田
Original Assignee
日立Astemo株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立Astemo株式会社 filed Critical 日立Astemo株式会社
Priority to PCT/JP2022/018588 priority Critical patent/WO2023203768A1/ja
Publication of WO2023203768A1 publication Critical patent/WO2023203768A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories

Definitions

  • the present invention relates to a vehicle-mounted electronic control device.
  • An electronic control device such as an ECU (Electrical Control Unit) is controlled by a microcomputer (hereinafter referred to as a microcomputer).
  • the microcontroller installed in the electronic control unit realizes various functions, and is also equipped with external circuits that correspond to those functions. Control software connected to the device as an external circuit.
  • the ECU has a function of rewriting control software stored in internal nonvolatile memory using external signals.
  • diagnostic tools were connected to the ECU by wire via an OBD (On-board Diagnostic) connector, and communication methods such as CAN (Controller Area Network) were used to perform UDS (Unified Diagnostic Services) or XCP (Universal measurement and Calibration).
  • the control software to be updated is transferred in accordance with a predetermined protocol such as ⁇ Protocol'', and the internal non-volatile memory is rewritten accordingly.
  • OTA Over-the-air
  • the control software is rewritten by OTA, for example, using the following procedure. While the vehicle is in use, an in-vehicle receiver receives update data wirelessly transferred from a data server, and the transferred update data is sent to the ECU to be updated via the gateway and the transmission path of the in-vehicle network. After receiving the update data, a notification is sent to the user on the in-vehicle monitor that the control software can now be updated, and the system waits for an operation from the user. Thereafter, the control software is updated with the received update data in accordance with a control software update request made by a user's operation.
  • the rewriting method that transfers the control software via wire can rewrite the ECU's control software at high speed, so it can be used in EOLP (End of Line Programming), where the control software is written to the ECU during the manufacturing process at the factory, or at the repair shop.
  • EOLP End of Line Programming
  • the design should be such that each method is consistent and any method can be selected, so that even if the control software is rewritten using a wired method, the OTA specifications will not be deviated from (and vice versa). is necessary.
  • Double Bank method In order to support rewriting using both methods, a configuration called the Double Bank method is sometimes adopted for the ECU hardware.
  • Double Bank method the internal non-volatile memory in the microcontroller is divided into two areas, one area stores the currently running control program, and the other area writes the transferred update data. . Note that the former is referred to as the front surface, and the latter is referred to as the back surface.
  • Update data wirelessly transferred from a data server while the vehicle is in use is written on the back side of the nonvolatile memory.
  • the updated data to be transferred may be compressed or encrypted in order to speed up communication processing and ensure security. In that case, the data is decompressed and decrypted before being written to the back side of non-volatile memory.
  • the control software After receiving all the update data and writing to the back side, the control software is updated according to the user's request. Specifically, by changing the setting value of the internal register, the next time the ECU is started up, the side on which the control software is activated will be the opposite side (back side) from the current side. Although the vehicle cannot be started during this update process, with this Double Bank method, switching the starting surface is sufficient, so the time during which the vehicle cannot be started can be shortened. Therefore, the Double Bank method is easy to use and has been widely adopted.
  • an external bank method is sometimes adopted in which a flash memory (hereinafter referred to as external nonvolatile memory) is provided outside the microcomputer without dividing the internal nonvolatile memory of the microcomputer.
  • the microcomputer and external nonvolatile memory are connected to a communication section inside the microcomputer, and the external nonvolatile memory can be erased or written according to the communication content from the microcomputer.
  • Update data wirelessly transferred from a data server while the vehicle is in use is written into an external nonvolatile memory.
  • the updated data to be transferred may be compressed or encrypted in order to speed up communication processing and ensure security. In that case, it is better to write the file directly to the external non-volatile memory without decompressing or decoding it.
  • the control software After receiving all the update data and writing to the external non-volatile memory, the control software is updated in response to a user's request, similar to the Double Bank method. Specifically, the data stored in the external non-volatile memory is read out, necessary processing such as decoding and decompression is performed, the internal non-volatile memory is rewritten, and the control software is updated.
  • the required capacity of the internal nonvolatile memory can be suppressed to the same level as the required capacity of the control software.
  • it is necessary to provide a separate external nonvolatile memory, mass-produced, general-purpose chips can be used, so the cost of the ECU is lower than that of the Double Bank method. Therefore, it is considered to be an effective method for dealing with OTA even though the size of software is expected to increase in the future.
  • the External Bank method also has issues to be solved. As described above, in any case, it is necessary to make it possible to rewrite the control software using either OTA or wired methods. In the case of the External Bank method, there is a problem from this point of view.
  • Rollback means, when rewriting the control software fails, to return the control software to the state before the update using pre-saved data of the control software before the update. If updating of control software using OTA fails, the vehicle may become unable to run, so a rollback function is essential for an ECU that uses OTA.
  • Patent Document 1 Publication No. 2016-37157
  • MCU multi-core arithmetic processing unit
  • ROM control program
  • the core 22 executes a reception process of receiving rewriting data and storing it in a cache memory (CAM), and a process of writing data stored in the CAM to a ROM.
  • a vehicle control device is described that suspends the operations of the cores 21 and 23 when the core 22 is executing the process of writing rewriting data into the ROM.
  • control software data before update is the software itself running on the surface.
  • control software data before update is stored in an external non-volatile memory. Therefore, if the control software is updated only by OTA, no particular problem will occur.
  • One way to avoid this problem is to transfer the current internal non-volatile memory contents to the external non-volatile memory after the update data is stored in the external non-volatile memory by OTA and before updating the internal non-volatile memory.
  • One possible method is to back up (copy) to.
  • this method has the following problems from the viewpoint that it is desirable to reduce the processing load of OTA as much as possible, considering that OTA mainly performs processing while the vehicle is in use.
  • the update data be compressed.
  • the data stored in the external nonvolatile memory requires processing to compress the data stored in the internal nonvolatile memory.
  • compression processing consumes a large amount of CPU and memory resources, so it has a large impact on processing load. If copies are made only with encryption without compression, a large capacity of external non-volatile memory is required, which increases hardware costs.
  • backup using this method has the effect of increasing processing load and hardware cost.
  • Another way to solve this problem is to write backup data not only to the internal non-volatile memory but also to the external non-volatile memory when using wires.
  • the overall processing time increases due to the addition of processing to the external nonvolatile memory.
  • the time required is the sum of the processing times for writing to each nonvolatile memory. Note that the processing time required to rewrite the same amount of data is generally longer in external nonvolatile memory than in internal nonvolatile memory, so the increase in time is large.
  • Patent Document 1 Although the technology described in Patent Document 1 can execute the rewrite process at high speed while suppressing the power consumption required for the rewrite process, the rewrite target is only the (internal) nonvolatile memory corresponding to the core. It is not possible to simultaneously write a backup program to another memory under control from an external device.
  • the present invention aims to perform high-speed rewriting of internal nonvolatile memory and backup to external nonvolatile memory.
  • the electronic control device includes a microcomputer including a processor that executes a predetermined program, and an external nonvolatile memory connected to the microcomputer, and the microcomputer has internal nonvolatile memory and external nonvolatile memory. and a second communication unit that communicates with an external device, the microcomputer transmits data received from the external device for rewriting the internal nonvolatile memory to the internal nonvolatile memory. and writing to the external non-volatile memory.
  • FIG. 1 is a diagram showing the configuration of a system according to an embodiment of the present invention.
  • FIG. 3 is a diagram showing an example of the arrangement of a control program according to the first embodiment.
  • FIG. 3 is a diagram showing an example of the arrangement of a control program according to the first embodiment.
  • FIG. 3 is a diagram showing an example of a file used for updating a control program according to the first embodiment.
  • 5 is a flowchart of processing executed by the processor of the first embodiment on external nonvolatile memory.
  • 5 is a diagram illustrating a procedure for rewriting the internal nonvolatile memory and writing backup data to the external nonvolatile memory in the first embodiment.
  • FIG. FIG. 7 is a diagram illustrating an example of the arrangement of a control program according to a second embodiment.
  • FIG. 7 is a diagram illustrating an example of the arrangement of a control program according to a second embodiment.
  • FIG. 3 is a diagram showing the configuration of a received data storage unit according to a second embodiment.
  • 7 is a flowchart of control processing executed by the processor of the second embodiment on external nonvolatile memory.
  • 7 is a diagram illustrating a procedure for rewriting the internal nonvolatile memory and writing backup data to the external nonvolatile memory according to the second embodiment.
  • FIG. 7 is a diagram showing the correspondence between processes and tasks in Example 3.
  • FIG. FIG. 7 is a diagram illustrating an example of the arrangement of a control program according to a third embodiment.
  • FIG. 7 is a diagram illustrating an example of the arrangement of a control program according to a third embodiment.
  • 12 is a flowchart showing control of task execution according to the third embodiment.
  • FIG. 7 is a diagram showing a procedure for rewriting the internal nonvolatile memory and writing backup data to the external nonvolatile memory
  • FIG. 1 is a diagram showing the configuration of a system according to an embodiment of the present invention.
  • the system of this embodiment includes an ECU 1 and an external device 10 connected via a communication line 11.
  • the external device 10 is installed in a device whose main part is a microcomputer, for example, a personal computer, has a function of communicating with the ECU 1, and has software that realizes the functions necessary for the operation of this embodiment.
  • the external device 10 is connected to the ECU 1 via an interface such as an external connector provided on the ECU 1 or a vehicle connector connected to the external connector.
  • the ECU 1 is equipped with a microcomputer 2.
  • the microcomputer 2 includes at least one processor 3a that executes software (if multiple processors are installed, the processors 3a, 3b, etc.), at least one volatile RAM 5, and an external device.
  • at least one communication section 6 for communicating, an internal non-volatile memory 7 for holding a program, at least one communication section 8 for communicating with the external non-volatile memory 9, and a bus 4 for connecting the respective elements. has.
  • the microcomputer 2 is connected to an external nonvolatile memory 9 via a communication section 8 .
  • the external non-volatile memory 9 stores backup data of the control program executed in the internal non-volatile memory 7, and this backup data is used for rollback when updating of the control program fails. used.
  • the ECU 1 is capable of communicating with a connected external device 10 via at least one communication unit 6 .
  • Example 1 In the first embodiment, a method will be described in which speeding up is achieved by using commands from the external device 10 for a purpose other than the original purpose.
  • processors other than the processor 3a the processing of those processors is stopped or appropriate processing such as running on RAM (see FIG. 2) is performed so as not to interfere with the series of processing. It is assumed that there is
  • FIG. 2A and 2B are diagrams showing an example of the configuration of the control program of this embodiment.
  • FIG. 2A shows the arrangement in the RAM 5
  • FIG. 2B shows the arrangement in the internal nonvolatile memory 7.
  • the main programs executed by the processor 3a are a communication/data processing unit 23 that controls communication with the external device 10, decompresses and decodes received write data, and a program stored in the internal nonvolatile memory 7.
  • the internal nonvolatile memory rewriting unit 21 is arranged in the RAM 5.
  • the RAM 5 stores a program 22 that is referenced by other processors that are not involved in the operation of the processor 3a.
  • the reason why the program is arranged in this way is that when rewriting the internal nonvolatile memory 7, it is necessary to transition the internal nonvolatile memory 7 from the normal state to the rewritable state. This is because the stored program cannot be executed. Therefore, immediately before rewriting, control of the processor 3a is transferred to the internal nonvolatile memory rewriting unit 21 on the RAM 5, and after the transition to the rewritable state, the data in the internal nonvolatile memory 7 is rewritten, and after the rewriting is completed, the state is returned to the normal state. After that, control of the processor 3a is returned to the communication/data processing section 23 on the internal nonvolatile memory 7.
  • the program placed in the RAM 5 is stored as a part of the other data 25 in the internal non-volatile memory 7, and before executing a series of rewriting processes for the internal non-volatile memory 7, the program is stored in the other data 25.
  • the program is copied from RAM5. Thereafter, processors other than the processor 3a read the program from a predetermined address on the RAM 5 and execute the process.
  • FIG. 3 is a diagram showing an example of a file used for updating the control program.
  • the files used to update the control program are broadly divided into the update control software itself and rewrite control information.
  • the rewrite control information includes the address to be written, the program size to be written, the format of the data to be written, and a value for verifying whether writing has been performed correctly after rewriting.
  • FIG. 4 is a flowchart of the processing that the processor 3a executes on the external nonvolatile memory 9.
  • the processor 3a starts processing upon receiving write data from the external device 10 (S01).
  • the processor 3a determines whether erasing processing of the external nonvolatile memory 9 is necessary based on the current write target address and the size of data received from the external device 10 (S02), and determines that erasing processing is necessary. If so, the data stored in the external nonvolatile memory 9 is erased in predetermined erase units (S03).
  • the processor 3a writes the received write data to the external nonvolatile memory 9 in fixed units (S04). Thereafter, the processor 3a determines whether there is any more write data (S05), and repeats the process of step S04 until the write process for all write data is completed. Then, when all the write data has been written, the process has ended normally, so a normal response is returned to the external device and the next write data is requested (S06).
  • a file containing updated control software to be written into the ECU 1 and control information regarding the software is prepared, and the file is designated by the external device 10, as shown in FIG. Thereafter, the process is started in response to a start operation instruction from the user (S11).
  • the external device 10 reads and stores the specified file (S12).
  • the external device 10 transmits an initialization command for writing to the ECU 1 (S13).
  • This initialization command transmits information such as the rewriting target, size, and data type of the file read in step S12 to the ECU 1. Based on this information, the ECU 1 makes preparations necessary for rewriting control.
  • the external device 10 transmits the write data of the update software in multiple parts (S14 to S16).
  • the processor 3a executes the process shown in FIG. 4, and executes the write process to the external nonvolatile memory 9 by appropriately controlling the communication unit 8.
  • the ECU 1 requests the external device 10 for the next write data.
  • the external device 10 notifies the user of a response to the effect that the process has ended abnormally, and ends the process midway. The above process is repeated until all write data is written.
  • a completion notification is received from the external device 10 (S17).
  • the end notification in step S17 is sent to notify the ECU 1 that the rewriting process has ended, but in the first embodiment, the data written in the external non-volatile memory 9 is sent to the ECU 1 at the timing when the ECU 1 receives the end notification.
  • a rewrite process is executed to read and write to the internal nonvolatile memory 7. Specifically, a predetermined amount of data written in the external non-volatile memory 9 is read from the beginning, appropriate processing such as decoding processing and decompression processing is executed, and the process of rewriting the internal non-volatile memory 7 is repeated.
  • the control by the processor 3a is transferred from the communication and data processing unit 23 to the internal nonvolatile memory rewriting unit 21, and after the state of the internal nonvolatile memory 7 is changed to a rewritable state. , rewrites the internal non-volatile memory 7. After the rewriting is completed, the internal nonvolatile memory 7 is returned to its normal state, and then control by the processor 3a is returned to the communication and data processing section 23.
  • Example 1 The effects of speeding up by the method of Example 1 are as follows. At first glance, data is written to two nonvolatile memories (external nonvolatile memory 9, internal nonvolatile memory 7) in sequence, so when writing data to each of the two nonvolatile memories (when writing twice) ) and the processing time appears to be the same. However, the update data only needs to be transferred once from the external device 10. In particular, when the first embodiment is applied to the currently mainstream CAN, most of the processing time is the time for transferring update data to the ECU 1. Since the speed of reading write data from the external non-volatile memory 9 is faster than the data transfer time to the ECU 1 via the CAN, rewriting of the internal non-volatile memory 7 can be made faster by that difference.
  • writing to the internal non-volatile memory 7 is controlled by each processor using the data written to the internal non-volatile memory 7, so it is necessary to write raw data before conversion.
  • the data written to the secondary memory 9 is for backup purposes. Focusing on this point, in FIG. 5, the data written to the external non-volatile memory 9 is the received write data itself, but data converted by some method may be written to the external non-volatile memory 9.
  • compressed or encrypted write data can be decrypted before writing, decompressed before writing, or decrypted and decompressed before writing (the same data as in the internal non-volatile memory 7). good.
  • the data written to the external non-volatile memory 9 only needs to undergo some kind of conversion through processing by the processor so that it becomes the same as the data before conversion. Note that, as described above, in practice, it is essential that the data written to the external nonvolatile memory 9 be encrypted.
  • the procedure is to rewrite the internal nonvolatile memory 7 after writing data to the external nonvolatile memory 9, but the procedure is reversed, that is, after rewriting the internal nonvolatile memory 7, the external nonvolatile memory 9 is rewritten. You can also write data to.
  • write data transferred from the external device 10 is encrypted or compressed.
  • the transferred data is decoded and decompressed to return to the original data before writing. That is, when writing to the external nonvolatile memory 9, decompressed data is written, so the amount of data to be written increases. Otherwise, encryption and compression will be performed twice, making it a hassle. Considering this point, processing efficiency decreases in the order in which data is written to the external nonvolatile memory 9 after rewriting the internal nonvolatile memory 7.
  • Embodiment 2 shows an example of a procedure for achieving high speed by performing write processing in parallel using two processors 3a and 3b.
  • a description will be given with reference to the attached drawings.
  • the system configuration of the second embodiment requires at least two processors (CPUs) 3a and 3b that execute software. Other than this point, it is the same as FIG. 1.
  • Each of the processors 3a and 3b executes processing on the internal nonvolatile memory 7 and the external nonvolatile memory 9.
  • Other processors may stop processing so as not to disturb the series of processing, or may execute programs stored in a memory different from internal nonvolatile memory 7 (for example, RAM 5) (see FIG. 6A).
  • FIG. 6A and 6B are diagrams showing an example of the configuration of the control program of this embodiment.
  • FIG. 6A shows the arrangement in the RAM 5
  • FIG. 6B shows the arrangement in the internal nonvolatile memory 7.
  • the main programs executed by the processor 3a are the internal nonvolatile memory rewriting section 31 and the communication/data processing section 35.
  • the internal nonvolatile memory rewriting section 31 and the communication/data processing section 35 are the same as the internal nonvolatile memory rewriting section 21 and the communication/data processing section 23 of the first embodiment. Furthermore, the internal nonvolatile memory rewriting unit 31 is arranged in the RAM 5 for the same reason as in the first embodiment.
  • the RAM 5 stores a program 34 that is referenced by processors that are not involved in the operations of the processors 3a and 3b.
  • the reason for arranging the program 34 in the RAM 5 is also the same as in the first embodiment.
  • Example 2 differs from Example 1 in the following two points.
  • One is a receive data buffer in which the processor 3a stores the write data received from the external device 10, and the processor 3b reads the stored data and executes the process of writing it to the external non-volatile memory 9.
  • the point is that a storage section 32 is provided.
  • the external nonvolatile memory control unit 33 which is the main program executed by the processor 3b, is stored in the RAM 5.
  • the reason why the external nonvolatile memory control unit 33 is stored in the RAM 5 is that, as in the first embodiment, the program stored in the internal nonvolatile memory 7 cannot be executed when the internal nonvolatile memory 7 is in a rewritable state.
  • the external non-volatile memory control unit 33 is arranged in the RAM 5 in order to freely control the external non-volatile memory 9 while the internal non-volatile memory 7 is being processed.
  • the program placed in the RAM 5 is stored as a part of the other data 36 in the internal non-volatile memory 7, and before executing a series of rewriting processes for the internal non-volatile memory 7, the program is stored as a part of the other data 36 in the internal non-volatile memory 7.
  • the program is copied from RAM5. Thereafter, processors other than the processor 3a read the program from a predetermined address on the RAM 5 and execute the process.
  • FIG. 7 is a diagram showing the configuration of the received data storage section 32.
  • a reception completion pointer 41 indicating the end of the write data received from the external device 10 has been written to the received data storage unit 32, and a write pointer 41 indicating the end of the data that has been written to the external non-volatile memory 9.
  • Two pointers are provided: a completion pointer 42.
  • the area between the reception completion pointer 41 and the write completion pointer 42 is unprocessed data in which write data received from the external device 10 has not been written to the external nonvolatile memory 9.
  • the values of these pointers increase or decrease in a fixed direction (increase or decrease in a fixed direction with respect to the address of the RAM 5), and there is an upper limit determined by the size of the received data storage section 32. In other words, this upper limit value indicates the end of the received data storage section 32.
  • both pointers 41 and 42 are the same, but in a series of processes, the following operations occur.
  • the processor 3a uses the communication and data processing section 35 to execute a process of writing the write data received from the external device 10 into the received data storage section 32 in a fixed direction. After the write process is completed, the value of the reception completion pointer 41 is changed by the amount of data written. Thereafter, after completing the processing on the internal non-volatile memory 7 handled by the processor 3a, the processing result is returned to the external device 10.
  • the processor 3b executes the process as follows. If there is a difference between the reception completion pointer 41 and the write completion pointer 42, there is unprocessed data that has not been written to the external nonvolatile memory 9. Therefore, the processor 3b reads a predetermined amount of data from the location indicated by the write completion pointer 42 and writes it into the external nonvolatile memory 9. Thereafter, the value of the write completion pointer 42 changes in the same direction as the reception completion pointer 41 by the amount of data written. If the reception completion pointer 41 and the write completion pointer 42 match, there is no unprocessed data, so the processor 3b waits without performing the write process. Thereafter, when the reception completion pointer 41 is advanced by the processor 3a, a difference occurs between the reception completion pointer 41 and the write completion pointer 42, so the processor 3b resumes writing data to the external nonvolatile memory 9.
  • each of the processors 3a and 3b independently executes the above-described processing, in the following two cases, the processors 3a and 3b execute the processing synchronously.
  • One is that when the value of the reception completion pointer 41 reaches the upper limit value, even if the processing of the processor 3a is completed, the response to the external device 10 is not sent until the value of the write completion pointer 42 reaches the upper limit value. wait.
  • the processor 3a responds to the external device 10, and then returns the reception completion pointer 41 and the write completion pointer 42 to their initial values. Thereafter, the above-mentioned processing is executed.
  • the processor 3a waits until the reception completion pointer 41 and the write completion pointer 42 match before responding. Note that whether the write data is the last one depends on, for example, the size information of the program sent in advance from the external device 10, the amount of data received from the external device 10 measured inside the ECU 1, and the write data received this time. Can be determined based on size.
  • FIG. 8 is a flowchart of the control process that the processor 3b executes on the external nonvolatile memory.
  • the processor 3b When the processor 3b starts processing according to the user's operation, it waits for instructions from the processor 3a (S21). Thereafter, when the processor 3b receives the first write data from the external device 10, the process proceeds to step S22 by the operation of the processor 3a, and starts processing.
  • step S22 it is determined whether erasure processing of the external non-volatile memory 9 in the area where the write data is to be written is necessary, and if necessary, the data is erased in erasure units of the external non-volatile memory 9 (S23).
  • step S24 it is determined whether there is writable data using the procedure described in FIG. 7 (S24). If there is no unwritten data, the process waits in S24. If there is data to be written, the write data is read from the received data storage section 32 and written to the external nonvolatile memory 9 (S25, S26). After writing, verify is performed to verify the written data (S27). For example, data in the same range as the location written in step S26 is read from the external nonvolatile memory 9, and a match with the written data is confirmed. If they match, it is assumed that the writing was completed correctly and the write completion pointer 42 is advanced. Thereafter, it is determined whether either the write completion pointer 42 has reached the upper limit value or the written data is the final data (S28). If the conditions are met, the process returns to step S21; if neither condition is met, the process returns to step S24.
  • step S21 when the process moves to step S21 because the write completion pointer 42 has reached the upper limit value, after the reception completion pointer 41 and the write completion pointer 42 are cleared by the processor 3a, the process moves to step S22 by an operation from the processor 3a. to determine whether erasing is necessary.
  • step S22 if the size of the received data storage section 32 and the erase unit of the external nonvolatile memory 9 match, the determination is always YES. Therefore, the process may be simplified by setting the size of the received data storage section 32 and executing step S23 without making the determination in step S22.
  • Steps S31 to S33 are the same as S11 to S13 in the first embodiment.
  • step S34 the first write data is transferred from the external device 10.
  • the processor 3a advances the reception completion pointer 41.
  • the processor 3b is instructed to proceed to step S22, and the processing of the processor 3b is started. Thereafter, the process of rewriting the internal nonvolatile memory 7 is executed if possible.
  • the required amount of data has not been reached, so it is not executed. After the rewrite process to the internal nonvolatile memory 7 is completed, the process result is returned to the external device 10.
  • the internal nonvolatile memory 7 is rewritten.
  • the internal non-volatile memory rewriting unit 31 moves once to the internal non-volatile memory 7 to a rewritable state, and then rewrites the data.
  • the internal non-volatile memory 7 is returned to its normal state, and then control of the processor 3a is returned to the communication/data processing section 35, after which the processing result is sent back to the external device 10.
  • steps S34 and S35 the processor 3b executes the process shown in FIG. 8, regardless of the movement of the processor 3a. Since a difference occurs between the reception completion pointer 41 and the write completion pointer 42 in step S34, data is written to the external non-volatile memory 9 through appropriate control via the communication unit 8. After data writing is completed, the write completion pointer 42 is advanced by the amount written. In FIG. 9, before the processor 3a receives the write data in step S36, the reception completion pointer 41 and the write completion pointer 42 match, and the processor 3a enters a standby state. In step S36, when the processor 3a receives new write data and the reception completion pointer 41 advances, the write process is restarted.
  • step S37 when the reception completion pointer 41 reaches the upper limit value, the processor 3a waits for a response to the external device 10 until the write completion pointer 42 reaches the upper limit value, as explained in FIG. Then, after waiting for the write completion pointer 42 to reach the upper limit value (S38), the processor 3a returns the processing result to the external device 10.
  • the processor 3a sets the reception completion pointer 41 and the write completion pointer 42 to initial values, and repeats the processing from S34.
  • the external device 10 After receiving all the write data and completing the processing of the ECU 1, the external device 10 transmits a termination command (S42). When the external device 10 receives a normal response from the ECU 1, it notifies the user of the completion of the process (S43), and ends the series of processes.
  • each of the processors 3a and 3b executes processing independently, but if any error occurs in the process of processing the external nonvolatile memory 9, the processor 3b notifies the processor 3a of the error, and the processor Even if 3a has completed its own processing normally, it returns an error to the external device 10 and ends the processing.
  • the effects of speeding up by the method of Example 2 are as follows.
  • the internal non-volatile memory 7 side, which the processor 3a is in charge of, is almost the same as the conventional wired method, although there are some differences such as writing to the received data storage section 32 and synchronization with the external non-volatile memory 9 side. Can be processed. If the processor 3b can perform the backup process to the external non-volatile memory 9 using the processing time, the process can be performed in approximately the same time as rewriting the internal non-volatile memory 7.
  • the speed can be increased by reducing the data transfer time.
  • the fastest processing time is the same as before, and the slowest processing time is faster than the processing time required to write to the external non-volatile memory 9 alone.
  • Embodiment 3 shows an example of a procedure for simultaneously executing processing on two nonvolatile memories by multitasking using one processor.
  • a description will be given with reference to the attached drawings.
  • the system configuration in the third embodiment is the same as that in the first embodiment. As in the first embodiment, if there are processors other than the processor 3a, the processing of those processors is stopped or executed on the RAM 5 (see FIG. 11), or other appropriate processing is performed so as not to interfere with the series of processing.
  • the contents processed by the processor are broken down into three parts, as shown in FIG. 10: communication and data processing task 55, internal non-volatile memory rewriting task 51, and external non-volatile memory control task 53. do.
  • the communication/data processing task 55 includes transmission/reception processing with the external device 10, reception processing using a predetermined protocol, storage processing in the received data storage section 52, decoding of written data, and decompression processing of written data. Execute one of the processes depending on the internal state of the The internal non-volatile memory rewriting task 51 includes erasing the internal non-volatile memory 7, writing to the internal non-volatile memory 7, and confirming the completion of erasing and writing, and performs any of these processes depending on the current internal state. Execute.
  • the external non-volatile memory control task 53 includes erasing the external non-volatile memory 9, writing to the external non-volatile memory 9, reading the external non-volatile memory 9, and confirming the completion of erasing/writing processing, and the current internal Execute one of the processes depending on the status.
  • erasing and writing to non-volatile memory takes time from the time a command is sent until the command is completed. During this time, if the processor is in a standby state in which it does not perform other processing, the overall processing efficiency will decrease. Therefore, processing efficiency can be improved by separating command processing for erase/write processing and processing for checking whether the processing is completed.
  • FIG. 11A and 11B are diagrams showing an example of the configuration of the control program of this embodiment.
  • FIG. 11A shows the arrangement in the RAM 5
  • FIG. 11B shows the arrangement in the internal nonvolatile memory 7.
  • the processing program included in the communication/data processing task 55 is placed in the internal nonvolatile memory 7, and the processing program included in the internal nonvolatile memory rewriting task 51 and the processing program included in the external nonvolatile memory control task 53 are placed in the RAM 5. will be placed in
  • the internal non-volatile memory rewriting task 51, external non-volatile memory control task 53, and communication/data processing task 55 of the third embodiment are the internal non-volatile memory rewriting section 31, external non-volatile memory control section 33 of the first embodiment. , is the same as the communication and data processing section 35. Further, other data 56, received data storage section 52, etc. are also the same as in the first embodiment.
  • the tasks are divided and the processing is repeated in accordance with the sequence shown in FIG. 12 using one processor, thereby eliminating the waiting time of the processor as much as possible and executing the processing at high speed.
  • the communication and data processing task 55 is executed (S52), and then the external nonvolatile memory control task 53 (S54) is executed.
  • the internal nonvolatile memory rewriting task 51 (S53) is executed instead of the communication and data processing task 55.
  • switching between the communication/data processing task 55 and the internal nonvolatile memory rewriting task 51 can be performed, for example, by the following method.
  • the communication/data processing task 55 completes processing such as decoding and decompressing the received write data, and the next time the internal nonvolatile memory 7 is rewritten, the communication/data processing task 55 completes the process when the external nonvolatile memory control task 53 ends.
  • a flag indicating that the internal nonvolatile memory rewriting task 51 is to be executed instead of 55 is set. Then, after the external nonvolatile memory control task 53 ends, the internal nonvolatile memory rewriting task 51 is activated.
  • this state continues while the internal non-volatile memory 7 is being rewritten, and after the internal non-volatile memory 7 is rewritten, the internal non-volatile memory rewriting task 51 initializes the flag, and the next external non-volatile memory control task 53 After execution of , the state returns to the state where the communication and data processing task 55 is executed.
  • the structure of the received data storage section 52 can be the same as that in FIG. 7 of the second embodiment.
  • the processing procedure using the reception completion pointer 41 and the write completion pointer 42 may also be the same as in the second embodiment (FIG. 7).
  • the processing procedure for the external non-volatile memory 9 may be the same as in the second embodiment (FIG. 8).
  • the erase/write command processing and the completion confirmation processing are provided separately, so S23 and S26 are the two stages of "erase/write command" and "confirmation". It can be divided into
  • Example 3 differs from Example 2 in the following points.
  • the processing of each task is executed alternately.
  • the rewriting process of the internal nonvolatile memory 7 and the rewriting process of the external nonvolatile memory 9 are executed independently and simultaneously in parallel, so that processing can be performed without depending on each other's status and without waiting time.
  • the next process cannot proceed until the process of other tasks is finished and the task itself waits. From this point of view, the speedup of processing according to the third embodiment is somewhat limited compared to the second embodiment.
  • this embodiment is similar to the second embodiment in that processing on the external nonvolatile memory 9 can be executed during communication control with the external device 10 and processing on the internal nonvolatile memory 7, processing speed can be increased. Further, if the processing performance of the processor is high, the difference between the second embodiment and the third embodiment will be small.
  • FIG. 13 takes the time axis into consideration.
  • the processor 3a alternately executes either the communication/data processing task 55 or the internal nonvolatile memory rewriting task 51 and the external nonvolatile memory control task 53 as shown in FIG.
  • FIG. 13 shows that rewriting processing of the internal nonvolatile memory 7 by the internal nonvolatile memory rewriting task 51 and writing processing of the external nonvolatile memory 9 by the external nonvolatile memory control task 53 are performed alternately. Note that the intervals between the arrows indicating each process are not related to the actual length of processing time.
  • the communication and data processing task 55 stores it in the received data storage section 52.
  • the next external nonvolatile memory control task 53 since the write data has been stored in the received data storage section 52, processing for the external nonvolatile memory 9 is started. Specifically, the external nonvolatile memory control task 53 executes the process in step S22 (determining the necessity of erasing), and if necessary, sends the process in step S23 (erase command) to the external nonvolatile memory via the communication unit 8. Issue to memory 9.
  • step S64 processing for the internal nonvolatile memory 7 is not executed, but response processing for the external device 10 is executed. .
  • step S64 processing for the internal nonvolatile memory 7 is not executed, but response processing for the external device 10 is executed.
  • the next external nonvolatile memory control task 53 issues a command to the external nonvolatile memory 9 to confirm whether the erasing process has been completed, and based on the response, it is confirmed whether the erasing process has been completed. Thereafter, the external nonvolatile memory control task 53 repeats this process until it is confirmed that the erasing process is completed. Thereafter, the process shown in FIG. 8 is executed when the external nonvolatile memory control task 53 is executed.
  • the communication and data processing task 55 receives the next write data S65 from the external device 10. After receiving, the process until writing to the received data storage section 52 is the same as step S64. Thereafter, write data processing such as decoding and decompression is executed by the communication and data processing task 55 several times. After the processing of the write data is completed, in order to write the data into the internal non-volatile memory 7, a flag is set to execute the internal non-volatile memory rewriting task 51 instead of the communication/data processing task 55 next time.
  • the internal non-volatile memory rewrite task 51 is executed, and thereafter, similarly to the external non-volatile memory 9, erasure, confirmation, write, and confirmation processes are executed.
  • the flag is initialized so that the communication/data processing task 55 is executed.
  • the communication line 11 is configured as a wired communication line, and the rewritten data is transferred via wired communication, but the communication line 11 may be configured as a wireless communication line. , the rewrite data may be transferred via wireless communication.
  • the electronic control device includes a microcomputer 2 including a processor that executes a predetermined program, and an external nonvolatile memory 9 connected to the microcomputer 2. , an internal nonvolatile memory 7, a communication unit 8 that communicates with an external nonvolatile memory 9, and a communication unit 6 that communicates with an external device 10. Since the data received from the device 10 is written to the internal nonvolatile memory 7 and the external nonvolatile memory 9, in a configuration where the microcontroller can access the internal nonvolatile memory 7 and the external nonvolatile memory 9, the data received from the device 10 is written based on the control from the external device 10.
  • the internal nonvolatile memory 7 can be rewritten and the backup data can be written to the external nonvolatile memory 9 at high speed.
  • processing speed can be increased.
  • the microcomputer 2 also has a received data storage section 32 that stores data received from the external device 10, and stores the same data stored in the received data storage section 32 in the internal nonvolatile memory 7 and the external nonvolatile memory. 9, internal processing is simple and the program can be made faster.
  • It also has a first processor 3a that performs writing processing on the internal nonvolatile memory, and a second processor 3b that performs writing processing on the external nonvolatile memory, and the first processor 3a writes data received from the external device 10.
  • the second processor 3b writes the data stored in the received data storage section 32 and the internal nonvolatile memory 7 to the external nonvolatile memory 9, so processing can be distributed among the processors and the processing speed can be increased. can be improved.
  • the microcomputer 2 decrypts the data received from the external device 10 and writes it to the internal nonvolatile memory 7, without decrypting the data received from the external device 10. Since the rollback data is written to the external nonvolatile memory 9 at the same time, rollback data can be stored in the external nonvolatile memory 9 while maintaining security.
  • the present invention is not limited to the embodiments described above, and includes various modifications and equivalent configurations within the scope of the appended claims.
  • the embodiments described above have been described in detail to explain the present invention in an easy-to-understand manner, and the present invention is not necessarily limited to having all the configurations described.
  • a part of the configuration of one embodiment may be replaced with the configuration of another embodiment.
  • the configuration of one embodiment may be added to the configuration of another embodiment.
  • other configurations may be added, deleted, or replaced with a part of the configuration of each embodiment.
  • each of the above-mentioned configurations, functions, processing units, processing means, etc. may be realized in part or in whole by hardware, for example by designing an integrated circuit, and a processor realizes each function. It may also be realized by software by interpreting and executing a program.
  • Information such as programs, tables, files, etc. that realize each function can be stored in a storage device such as a memory, hard disk, or SSD (Solid State Drive), or in a recording medium such as an IC card, SD card, or DVD.
  • a storage device such as a memory, hard disk, or SSD (Solid State Drive)
  • a recording medium such as an IC card, SD card, or DVD.
  • control lines and information lines shown are those considered necessary for explanation, and do not necessarily show all control lines and information lines necessary for implementation. In reality, almost all configurations can be considered interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Stored Programmes (AREA)

Abstract

電子制御装置であって、所定のプログラムを実行するプロセッサを含むマイコンと、前記マイコンに接続される外部不揮発性メモリとを備え、前記マイコンは、内部不揮発性メモリと、前記外部不揮発性メモリと通信する第１通信部と、外部装置と通信する第２通信部とを有し、前記マイコンは、前記内部不揮発性メモリを書き換えるための前記外部装置から受信したデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリに書き込む。

Description

電子制御装置及び書込制御方法
　本発明は、車載用電子制御装置に関する。
　ＥＣＵ（Electrical Control Unit）などの電子制御装置は、マイクロコンピュータ（以下、マイコン）により制御される。電子制御装置に搭載されるマイコンは様々な機能を実現し、さらに、それらの機能に対応した外部回路が設けられており、マイコンの内部の不揮発性メモリ（以下、内部不揮発性メモリ）に記憶されている制御用ソフトウェアによって外部回路として接続された装置を制御する。
　ＥＣＵは、外部からの信号よって内部不揮発性メモリに格納された制御用ソフトウェアを書き換える機能を有する。従来は例えば、ＯＢＤ（On-board Diagnostic）コネクタを介して有線で診断ツールをＥＣＵへ接続し、ＣＡＮ（Controller Area Network）などの通信手段で、ＵＤＳ（Unified Diagnostic Services）やＸＣＰ（Universal measurement and Calibration Protocol）等の所定のプロトコルに従って、更新すべき制御用ソフトウェアを転送し、それによって内部不揮発性メモリの書き換えを行っていた。しかし、近年ではＯＴＡ（Over-the-air）という無線通信によって制御用ソフトウェアを転送する方式もある。
　ＯＴＡによる制御用ソフトウェアの書き換えは、例えば、以下の手順で行われる。車両使用中にデータサーバから無線で転送された更新用データを車載の受信機で受信し、転送された更新用データはゲートウェイ及び車載ネットワークの伝送路を介して更新対象のＥＣＵに送られる。更新用データの受信が終了した後、車内モニタ等に、ユーザへ制御用ソフトウェアのアップデートが可能となった通知を出し、ユーザからの操作を待つ。その後、ユーザからの操作よる制御用ソフトウェアの更新リクエストに従って、受信した更新用データで制御用ソフトウェアを更新する。
　ＯＴＡによる制御用ソフトウェア書換方法がなかった時、ＥＣＵの制御用ソフトウェアの更新が必要な際、修理工場への入庫が必要でありユーザへの手間がかかる。しかし、ＯＴＡでは普段の車両の使用中に制御用ソフトウェアが更新可能であり、修理工場への入庫が必要ない。また、車両メーカにとっても、制御用ソフトウェアの書換対応のための手間やコストを削減でき、ＥＣＵを最適な状態にアップデートしやすい。このようにＯＴＡは、車両メーカ、及びユーザの双方にメリットがある。このため、ＥＣＵの制御用ソフトウェアをＯＴＡ方式によって更新するケースは、増加すると予想される。
　しかしながら、有線で制御用ソフトウェアを転送する書換方法は、ＥＣＵの制御用ソフトウェアを高速で書き換えできるため、工場での製造工程においてＥＣＵへ制御用ソフトウェアを書き込むＥＯＬＰ（End of Line Programming）や修理工場での制御用ソフトウェアの書き換えの場面で必要である。すなわち、今後はＥＣＵの制御用ソフトウェアの書換方法として、従来の有線による方法とＯＴＡによる方法のいずれも対応可能なものが増えると予想される。この場合、例えば有線による方法で制御用ソフトウェアの書き換えを実施しても、ＯＴＡに関する仕様を逸脱しない（その逆も同様）よう、各々の方法を整合させ、いずれの方法も選択できるような設計が必要である。
　両者の方法による書き換えに対応するために、ＥＣＵのハードウェアに主にＤｏｕｂｌｅ　Ｂａｎｋ方式と呼ばれる構成が採用されることがある。Ｄｏｕｂｌｅ　Ｂａｎｋ方式では、マイコン内の内部不揮発性メモリが２分割されており、一方の領域には現在実行中の制御プログラムが格納されており、他方の領域には、転送された更新用データを書き込む。なお、前者を表面、後者を裏面と称する。
　Ｄｏｕｂｌｅ　Ｂａｎｋ方式を用いたＯＴＡによる制御用ソフトウェアの書き換えは、例えば、以下の手順で行われる。車両使用中にデータサーバから無線で転送される更新用データを不揮発性メモリの裏面に書き込む。なお、転送される更新用データは通信処理の高速化やセキュリティの確保のため圧縮や暗号化などがされている場合がある。その場合は、解凍や復号を行ってから不揮発性メモリの裏面に書き込む。
　全ての更新用データの受信が完了し、裏面への書き込みが終了した後、ユーザからの要求によって制御用ソフトウェアを更新する。具体的には、内部レジスタの設定値を変更して、次回ＥＣＵ立ち上げ時に、制御用ソフトウェアの起動する面を現在と反対側（裏面）にする。この更新の処理の間は車両を起動できないが、このＤｏｕｂｌｅ　Ｂａｎｋ方式では起動面の切り替えで済むため、車両を起動できない時間が短くて済む。そのため、Ｄｏｕｂｌｅ　Ｂａｎｋ方式は使い勝手がよく、広く採用されている。
　しかしながら、Ｄｏｕｂｌｅ　Ｂａｎｋ方式の場合、制御用ソフトウェアのデータサイズの２倍の容量を持つ内部不揮発性メモリが必要になる。今後、自動運転などの処理の高度化、車両の集中制御化などの観点からソフトウェアが大容量化すると予想される。そのため、ソフトウェアの必要容量が大きくになるにつれ、その２倍の内部不揮発性メモリの容量を持つマイコン製品が市場に存在しない可能性がある。このようなマイコン製品が存在しても、マイコンの価格が内部不揮発性メモリの容量に依存するため、コストが高くなる。特に、車載用製品は、大量生産品という観点から、製造コストが大きく増加する。現状では、必要な容量が比較的小さいため、必要な容量の２倍も大きな値ではなく、このデメリットが小さいが、将来的には大きなデメリットになるケースが予想される。
　この欠点に対応するＥＣＵのハードウェア構成として、マイコンの内部不揮発性メモリを分割せずに、マイコン外部にフラッシュメモリ（以降、外部不揮発性メモリ）を設けるＥｘｔｅｒｎａｌ　Ｂａｎｋ方式が採用されることがある。マイコンと外部不揮発性メモリはマイコン内部の通信部と接続し、マイコンからの通信内容によって、外部不揮発性メモリの消去や書込を行うことができる。
　Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式を用いたＯＴＡによる制御用ソフトウェアの書き換えは、例えば、以下の手順で行われる。車両使用中にデータサーバから無線で転送される更新用データを外部不揮発性メモリに書き込む。なお、転送される更新用データは通信処理の高速化やセキュリティの確保のため圧縮や暗号化などがされている場合がある。その場合は、解凍や復号を行わずにそのまま外部不揮発性メモリ面に書き込むとよい。
　全ての更新用データの受信が完了し、外部不揮発性メモリへの書き込みが終了した後、Ｄｏｕｂｌｅ　Ｂａｎｋ方式と同様に、ユーザからのリクエストによって制御用ソフトウェアを更新する。具体的には、外部不揮発性メモリに格納されたデータを読み出し、復号・解凍などの必要な処理を行って、内部不揮発性メモリを書き換え、制御用ソフトウェアを更新する。
　Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式では、必要な内部不揮発性メモリの容量は制御用ソフトウェアの必要容量と同等に抑えられる。外部不揮発性メモリを別に設ける必要があるが、大量生産品で汎用品のチップを使用できるため、ＥＣＵのコストは、Ｄｏｕｂｌｅ　Ｂａｎｋ方式より抑えられる。そのため、今後のソフトウェアのサイズの増加が予想される中でもＯＴＡに対応するための有効な方式と考えられる。
　しかしながら、Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式にも解決すべき課題がある。前述したように、制御用ソフトウェアの書き換えは、いかなる場合でも、ＯＴＡ及び有線による方法を、どちらでも実施できる状態にする必要がある。Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式の場合、この観点から問題がある。
　ＯＴＡによる更新にはロールバックと呼ばれる機能が設けられる。ロールバックとは、制御用ソフトウェアの書き換えを失敗した場合に、予め保存された更新前の制御用ソフトウェアのデータを用いて、制御用ソフトウェアを更新前に戻すことである。ＯＴＡによる制御用ソフトウェアの更新に失敗した場合、車両が走行不可能になる可能性があるため、ＯＴＡを採用するＥＣＵにはロールバック機能は必須の機能である。
　本技術分野の背景技術として、以下の先行技術がある。特許文献１（特表２０１６－３７１５７号公報）には、マルチコア型演算処理ユニット（ＭＣＵ）のコア２１が、外部装置からコア２２の制御プログラム（ＲＯＭ）の書き換え要求を受信したときは、コア２２が書き換え処理を実行する。コア２２は書き換え用データを受信してキャッシュメモリ（ＣＡＭ）に格納する受信処理、及びＣＡＭに格納したデータをＲＯＭへ書き込む処理を実行する。コア２２が書き換え用データをＲＯＭに書き込む処理を実行しているときは、コア２１及び２３の作動を休止させる車両用制御装置が記載されている。
特開２０１６－３７１５７号公報
　Ｄｏｕｂｌｅ　Ｂａｎｋ方式の場合、更新前の制御用ソフトウェアのデータは、表面で起動しているソフトウェアそのものである。Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式の場合、更新前の制御用ソフトウェアのデータは、外部不揮発性メモリに格納される。そのため、ＯＴＡのみで制御用ソフトウェアの更新を行う場合は特段これに関する問題は起こらない。
　しかし、従来の有線による方法は、内部不揮発性メモリのみを書き換えるため、外部不揮発性メモリに更新前の制御用ソフトウェアが格納されない。すなわち、仮に有線による方法で制御用ソフトウェアを更新後に、ＯＴＡによる更新が実施され、それが失敗した場合、外部不揮発性メモリに更新前のプログラムが格納されていないため、ロールバックが実施できず、車両が起動不可能となる。
　有線による更新後、ＯＴＡによる更新のケースは、Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式を採用するすべての工場出荷後のＥＣＵに当てはまる。すなわち、Ｅｘｔｅｒｎａｌ　Ｂａｎｋ方式を採用する場合は、ＯＴＡによる更新時のロールバックを可能とする対策が必要である。
　この問題を回避する一つの案として、ＯＴＡによって外部不揮発性メモリへの更新用データが格納された後、内部不揮発性メモリの更新前に、現在の内部不揮発性メモリの内容を、外部不揮発性メモリへバックアップ（コピー）する方法が考えられる。
　しかし、この方法にはＯＴＡが主に車両使用中に処理する点を考慮した場合、ＯＴＡの処理負荷はなるべく低くすることが望ましいという観点から以下の問題がある。
　セキュリティ上の観点から、外部不揮発性メモリに格納される制御用ソフトウェアのデータの暗号化が実用上は必須である。内部不揮発性メモリに格納されるデータはプレーンなソフトウェアのデータ（生データ）なので、内部不揮発性メモリから外部不揮発性メモリへのバックアップの過程で暗号化処理が必要となり、暗号化による処理負荷が増加する。
　また、ＯＴＡによる更新用データの転送時間の短縮のため、更新用データは圧縮されているとよい。その場合、外部不揮発性メモリへ格納されるデータは、内部不揮発性メモリに格納されたデータを圧縮する処理が必要となる。一般的に圧縮処理はＣＰＵとメモリのリソースを大きく消費するため、処理負荷への影響は大きい。もし、圧縮せずに暗号化のみでコピーをすると、外部不揮発性メモリの大きな容量が必要となるため、ハードウェアのコストが増加する。
　以上の観点から、この方法によるバックアップは、処理負荷やハードウェアコストの増加の影響が生じる。
　この問題を解決する別の方法として、有線による場合、内部不揮発性メモリの書き換えだけでなく、外部不揮発性メモリにもバックアップデータを書き込む方法が考えられる。このようにすることで、ＯＴＡによる内部不揮発性メモリの更新実施前には、内部不揮発性メモリに格納されたデータが既に外部不揮発性メモリにバックアップされている状態なので、前述のコピー処理は不要となる。そのため、前述の方法における問題を解消できる。
　しかしながら、この方法では、外部不揮発性メモリに対する処理の追加によって全体の処理時間が増加する。単純に計算すると、各不揮発性メモリに書き込む処理時間の和の時間が必要となる。なお、一般的に同量のデータの書き換えにかかる処理時間は、外部不揮発性メモリは内部不揮発性メモリより長いため、時間の増加分は大きい。
　この処理時間の増加が特に問題となるのは、工場内で出荷時に初期プログラムを書き込む（ＥＯＬＰ）ケースである。車両は大量生産品のため、製造工程は厳密に管理されている。特に、処理時間の増加によって生産性が低下する。また、このために生産設備を強化すると対策コストが必要となる。すなわち、ソフトウェア上の処理による高速化が現実的である。処理時間の高速化は、今後のＥｘｔｅｒｎａｌ　Ｂａｎｋ方式の利便性を左右する非常に重要な課題である。
　特許文献１に記載された技術では、書き換え処理にかかる消費電力を抑えつつ高速で書換処理を実行できるものの、書き換え対象はそのコアに対応する（内部）不揮発性メモリのみである。外部装置からの制御によって、別のメモリにバックアップとしてのプログラムを同時に書き込むことはできない。
　本発明では、内部不揮発性メモリの書き換えと外部不揮発性メモリへのバックアップを高速で実行することを目的とする。
　本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、電子制御装置であって、所定のプログラムを実行するプロセッサを含むマイコンと、前記マイコンに接続される外部不揮発性メモリとを備え、前記マイコンは、内部不揮発性メモリと、前記外部不揮発性メモリと通信する第１通信部と、外部装置と通信する第２通信部とを有し、前記マイコンは、前記内部不揮発性メモリを書き換えるための前記外部装置から受信したデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリに書き込むことを特徴とする。
　本発明の代表的な実施の形態によれば、内部不揮発性メモリの書き換えと外部不揮発性メモリへのバックアップを高速で実行できる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。
本発明の実施例のシステムの構成を示す図である。 実施例１の制御プログラムの配置の一例を示す図である。 実施例１の制御プログラムの配置の一例を示す図である。 実施例１の制御用プログラムの更新のために使用されるファイルの一例を示す図である。 実施例１のプロセッサが外部不揮発性メモリに対して実行する処理のフローチャートである。 実施例１の内部不揮発性メモリの書き換えと共に外部不揮発性メモリへのバックアップデータを書き込む手順を示す図である。 実施例２の制御プログラムの配置の一例を示す図である。 実施例２の制御プログラムの配置の一例を示す図である。 実施例２の受信データ格納部の構成を示す図である。 実施例２のプロセッサが外部不揮発性メモリに対して実行する制御処理のフローチャートである。 実施例２の内部不揮発性メモリの書き換えと共に外部不揮発性メモリへのバックアップデータを書き込む手順を示す図である。 実施例３の処理とタスクとの対応を示す図である。 実施例３の制御プログラムの配置の一例を示す図である。 実施例３の制御プログラムの配置の一例を示す図である。 本実施例３のタスク実行の制御を表すフローチャートである。 実施例３の内部不揮発性メモリの書き換えと共に外部不揮発性メモリへのバックアップデータを書き込む手順を示す図である。
　以下、本発明の実施例を、添付された図面を参照しつつ説明する。
　図１は、本発明の実施例のシステムの構成を示す図である。
　本実施例のシステムはＥＣＵ１と通信線１１を介して接続される外部装置１０とを有する。
　外部装置１０は、マイクロコンピュータを主要部とした装置、例えばパーソナルコンピュータに搭載され、ＥＣＵ１と通信できる機能を有し、かつ本実施例の動作に必要な機能を実現するソフトウェアを有する。外部装置１０は、ＥＣＵ１に設けられた外部コネクタ又は当該外部コネクタに繋がる車両のコネクタなどのインターフェースを介してＥＣＵ１に接続される。
　ＥＣＵ１には、マイコン２が搭載されている。マイコン２は、ソフトウェアを実行する少なくとも一つ以上のプロセッサ３ａと（複数のプロセッサが搭載される場合は、プロセッサ３ａ、プロセッサ３ｂ・・・とする）、少なくとも一つの揮発性ＲＡＭ５と、外部装置と通信するための少なくとも一つの通信部６と、プログラムを保持する内部不揮発性メモリ７と、外部不揮発性メモリ９と通信するための少なくとも一つの通信部８と、それぞれの要素を接続するバス４とを有する。マイコン２は、通信部８を介して外部不揮発性メモリ９と接続される。外部不揮発性メモリ９には、後述するように、内部不揮発性メモリ７で実行される制御用プログラムのバックアップデータが格納され、このバックアップデータは制御用プログラムの更新に失敗した場合のロールバック用に使用される。ＥＣＵ１は、少なくとも一つの通信部６を介して、接続される外部装置１０と通信可能である。
　［実施例１］
　実施例１では、外部装置１０からの指令を本来とは別の目的に使用することで、高速化を達成する方法について説明する。
　実施例１では、プロセッサ３ａ以外のプロセッサがある場合、一連の処理を妨げないように、それらのプロセッサの処理を停止する、又はＲＡＭ上で動作（図２参照）など適切な処理を行われているものとする。
　図２Ａ、図２Ｂは、本実施例の制御プログラムの構成の一例を示す図であり、図２ＡはＲＡＭ５内の配置を示し、図２Ｂは内部不揮発性メモリ７内の配置を示す。
　プロセッサ３ａが実行する主なプログラムは、外部装置１０との通信制御や、受信した書込データの解凍処理及び復号処理などを実行する通信兼データ処理部２３、内部不揮発性メモリ７に格納されたデータに対する処理を実行する内部不揮発性メモリ書換部２１、及び外部不揮発性メモリ９に対する処理を実行する外部不揮発性メモリ制御部２４がある。
　内部不揮発性メモリ書換部２１は、ＲＡＭ５に配置される。ＲＡＭ５には、内部不揮発性メモリ書換部２１の他に、プロセッサ３ａの動作に関与しない他のプロセッサが参照するプログラム２２が格納される。
　このようにプログラムが配置される理由は、内部不揮発性メモリ７を書き換える際、内部不揮発性メモリ７を通常状態から書換可能状態に移行する必要があるが、書換可能状態では内部不揮発性メモリ７に格納されているプログラムを実行できないためである。そのため、書換直前にプロセッサ３ａの制御をＲＡＭ５上の内部不揮発性メモリ書換部２１に移してから、書換可能状態に移行後に内部不揮発性メモリ７のデータを書き換え、書き換えが終了して通常状態に戻した後に、プロセッサ３ａの制御を内部不揮発性メモリ７上の通信兼データ処理部２３に戻す制御を行う。
　なお、他のプロセッサについても、内部不揮発性メモリ７が書換可能状態では、内部不揮発性メモリ７に格納されるプログラムを実行できない。すなわち、内部不揮発性メモリ７が書換可能状態では、他のプロセッサのプログラムもＲＡＭ５上で実行される必要がある。各プロセッサは各々独立して動くことを考慮し、前述の配置によって、この条件を満たすようにしている。
　なお、ＲＡＭ５は、その特性上、電源を遮断すると書き込まれたデータは保持されずに、消失する。このため、ＲＡＭ５に配置されるプログラムは、内部不揮発性メモリ７のその他のデータ２５の一部として格納されており、一連の内部不揮発性メモリ７の書換処理を実行する前に、その他のデータ２５からＲＡＭ５にプログラムがコピーされる。その後、プロセッサ３ａ以外のプロセッサは、ＲＡＭ５上の所定のアドレスからプログラムを読み出して処理を実行する。
　図３は、制御用プログラムの更新のために使用されるファイルの一例を示す図である。
　制御用プログラムを更新するために使用されるファイルは、更新用の制御用ソフトウェア本体と、書換制御用情報に大別される。書換制御用情報は、書き込み対象のアドレス、書き込み対象のプログラムサイズ、書き込まれるデータのフォーマット、書き換え後に正しく書き込めたか検証するための値などである。このファイルを外部装置１０に対して指定することによって、このファイルを外部装置１０に付与する。その後、適切なタイミングで、それらの情報をＥＣＵ１に対して送付することで、プログラムの書き換えを適切に制御できる。
　図４は、プロセッサ３ａが外部不揮発性メモリ９に対して実行する処理のフローチャートである。
　プロセッサ３ａは、外部装置１０から書込データの受信を契機に処理を開始する（Ｓ０１）。
　次に、プロセッサ３ａは、現在の書き込み対象アドレスと外部装置１０から受信したデータのサイズから、外部不揮発性メモリ９の消去処理の必要性を判定し（Ｓ０２）、消去処理が必要であると判定された場合、外部不揮発性メモリ９に格納されたデータを所定の消去単位で消去する（Ｓ０３）。
　その後、プロセッサ３ａは、受信した書込データを一定の単位で、外部不揮発性メモリ９に書き込む（Ｓ０４）。その後、プロセッサ３ａは、書込データがまだあるか判定し（Ｓ０５）、全ての書込データの書込処理が終了するまで、ステップＳ０４の処理を繰り返す。そして、全ての書込データの書き込みが完了すると、正常に処理が終了したので、外部装置へ正常応答を返信して、次の書込データを要求する（Ｓ０６）。
　なお、消去処理（Ｓ０３）又は書込処理（Ｓ０４）が正常終了しなかった場合は、処理を終了し、外部装置へ異常応答を返信する（Ｓ０７）。外部装置は、適切なエラーメッセージをユーザに報知する。
　次に、図５を参照して、実施例１のシステムによる、内部不揮発性メモリ７の書き換えと共に外部不揮発性メモリ９へのバックアップデータを書き込む手順を説明する。
　まず、図３に一例を示すような、ＥＣＵ１に書き込まれる更新後の制御用ソフトウェアと、当該ソフトウェアに関する制御用情報を含むファイルを用意し、そのファイルを外部装置１０にて指定する。その後、ユーザからの開始操作の指示によって処理を開始する（Ｓ１１）。外部装置１０は、指定されたファイルを読み込み、格納する（Ｓ１２）。
　その後、外部装置１０は、ＥＣＵ１に対する書き込みのための初期化命令を送信する（Ｓ１３）。この初期化命令によって、ステップＳ１２で読み込まれたファイルの書き換え対象、サイズ、データの種別などの情報をＥＣＵ１に伝達する。ＥＣＵ１は、この情報に基づいて、書換制御に必要な準備を行う。
　その後、外部装置１０は、更新用ソフトウェアの書込用データを複数回に分けて送信する（Ｓ１４～Ｓ１６）。プロセッサ３ａは、図４に示す処理を実行し、通信部８を適切に制御することで外部不揮発性メモリ９に対する書き込み処理を実行する。図４で示す一連の処理が正常に終了したら（Ｓ０６）、ＥＣＵ１は次の書込データを外部装置１０に要求する。処理が異常終了したら（Ｓ０７）、外部装置１０は異常終了した旨の応答をユーザ報知し、処理を途中で終了する。以上の処理を全ての書込データが書き込まれるまで繰り返す。
　最後の書込データを受領（Ｓ１６）し、受領した最後の書込データの処理が完了して、外部装置１０へ正常応答を送信すると、外部装置１０から終了通知を受領する（Ｓ１７）。本来、ステップＳ１７の終了通知は、ＥＣＵ１に書換処理の終了する通知するために送信されるが、実施例１では、ＥＣＵ１が終了通知を受領したタイミングで、外部不揮発性メモリ９に書き込んだデータを読み出して内部不揮発性メモリ７に書き込む、書換処理を実行する。具体的には、外部不揮発性メモリ９に書き込んだデータを先頭から所定量を読み出し、復号処理、解凍処理などの適切な処理を実行して、内部不揮発性メモリ７を書き換える処理を繰り返す。
　なお、内部不揮発性メモリ７の書き換え直前には、プロセッサ３ａによる制御を通信兼データ処理部２３から内部不揮発性メモリ書換部２１に移し、内部不揮発性メモリ７の状態を書換可能状態に移行した後に、内部不揮発性メモリ７を書き換える。書き換え終了後は、内部不揮発性メモリ７を通常の状態に戻した後、プロセッサ３ａによる制御を通信兼データ処理部２３に戻す。
　以上の処理が実行され、内部不揮発性メモリ７の書き換えが正常に完了した場合、終了通知（Ｓ１７）に対して正常応答を外部装置１０に返信する。外部装置１０は、この正常応答を受信すると、ユーザに一連の処理が正常完了した旨を報知する（Ｓ１８）。一方、内部不揮発性メモリ７の書き換えが途中で失敗した場合、終了通知（Ｓ１７）に対して異常終了を外部装置１０に応答し、ユーザに異常終了した旨を報知する。
　実施例１の方法による高速化の効果は以下の通りである。一見、二つの不揮発性メモリ（外部不揮発性メモリ９、内部不揮発性メモリ７）に順にデータを書き込んでいるため、二つの不揮発性メモリの各々へデータを書き込む場合（２回の書き込みを実施する場合）と処理時間は変わらないように見える。しかし、更新用データは外部装置１０から１回転送すればよい。特に、現在主流のＣＡＮに実施例１を適用する場合、処理時間の多くがＥＣＵ１への更新用データの転送時間である。ＣＡＮを介したＥＣＵ１へのデータ転送時間と比較し、外部不揮発性メモリ９から書込データを読み出す速度の方が速いため、その差だけ、内部不揮発性メモリ７の書き換えを高速化できる。
　以上、図５を用いて不揮発性メモリの書き換えの一例を説明したが、プログラムの本来の動作に影響を与えない範囲で、他の処理を前後に実行してもよい。実際の運用に基づいた一例をあげると、書換前にＥＣＵ１の固有情報を読み出すための指令や、初期化（Ｓ１３）の前に書換後に意図したソフトウェアに更新できたか検証するための値を送信し、終了通知（Ｓ１７）による処理完了後に、外部装置１０からの指令に基づいて、ＥＣＵ１が所定の方法によって書込後のメモリのデータを用いて演算を行って、事前に送信された値と照合してもよい。
　また、内部不揮発性メモリ７への書き込みは、内部不揮発性メモリ７へ書き込まれたデータを用いて各プロセッサが制御するものであることから、変換前の生データを書き込む必要があるが、外部不揮発性メモリ９に書き込むデータはバックアップ目的である。その点に着目すると、図５において、外部不揮発性メモリ９へ書き込まれるデータは、受信した書込データそのものであるが、何らかの方法によって変換されたデータを外部不揮発性メモリ９に書き込んでもよい。具体的には、圧縮や暗号化された書込データを、復号してから書き込み、解凍してから書き込み、復号及び解凍してから（内部不揮発性メモリ７と同一のデータを）書き込みのいずれでもよい。すなわち、外部不揮発性メモリ９に書き込まれるデータは、プロセッサの処理によって何らかの変換を行って変換前のデータと同一になればよい。なお、前述したとおり、実用上は外部不揮発性メモリ９に書き込むデータは暗号化されていることは必須である。
　また、図５では、外部不揮発性メモリ９にデータを書き込んだ後、内部不揮発性メモリ７を書き換える手順としたが、逆の手順、すなわち内部不揮発性メモリ７を書き換えた後、外部不揮発性メモリ９にデータを書き込んでもよい。
　一般的には、外部装置１０から転送される書込データは暗号化や圧縮されている。内部不揮発性メモリ７を書き換える際には、転送されたデータを復号・解凍によって元のデータに戻してから書き込む。すなわち、外部不揮発性メモリ９に書き込む際は、解凍済データを書き込むため、書き込むデータ量が増える。もしくは、暗号化や圧縮が行われて２度手間になる。この点を考慮すると、内部不揮発性メモリ７を書き換えた後に外部不揮発性メモリ９にデータを書き込む順では、処理効率が低下する。
　［実施例２］
　実施例２では、二つのプロセッサ３ａ、３ｂを用いて、並列に書込処理を行うことで高速化を達成する手順の一例を示す。以下、添付された図面を参照しつつ説明する。
　実施例２のシステムの構成については、ソフトウェアを実行する少なくとも二つのプロセッサ（ＣＰＵ）３ａ、３ｂが必要となる。この点以外は図１と同じである。
　プロセッサ３ａとプロセッサ３ｂのそれぞれは、内部不揮発性メモリ７、外部不揮発性メモリ９に対する処理を実行する。これ以外のプロセッサは、一連の処理を妨げないように処理を停止する、又は、内部不揮発性メモリ７と異なるメモリ（例えばＲＡＭ５）に格納されたプログラムを実行してもよい（図６Ａ参照）。
　図６Ａ、図６Ｂは、本実施例の制御プログラムの構成の一例を示す図であり、図６ＡはＲＡＭ５内の配置を示し、図６Ｂは内部不揮発性メモリ７内の配置を示す。
　プロセッサ３ａが実行する主なプログラムは、内部不揮発性メモリ書換部３１及び通信兼データ処理部３５である。内部不揮発性メモリ書換部３１及び通信兼データ処理部３５は、実施例１の内部不揮発性メモリ書換部２１及び通信兼データ処理部２３と同じである。また、内部不揮発性メモリ書換部３１がＲＡＭ５に配置されるのも実施例１と同様の理由である。
　ＲＡＭ５には、内部不揮発性メモリ書換部３１の他に、プロセッサ３ａ、３ｂの動作に関与しないプロセッサが参照するプログラム３４が格納される。プログラム３４をＲＡＭ５に配置する理由も実施例１と同じである。
　実施例２は、実施例１と以下の２点で相違する。一つは、プロセッサ３ａが外部装置１０から受信した書込データを格納し、かつ、プロセッサ３ｂが格納されたデータを読み取り、外部不揮発性メモリ９に書き込む処理を実行するためのバッファである受信データ格納部３２が設けられる点である。もう一つは、プロセッサ３ｂが実行する主なプログラムである外部不揮発性メモリ制御部３３がＲＡＭ５に格納される点である。外部不揮発性メモリ制御部３３をＲＡＭ５に格納する理由は実施例１と同様に、内部不揮発性メモリ７の書換可能状態において、内部不揮発性メモリ７に格納されるプログラムを実行できないためである。本実施例では、内部不揮発性メモリ７に対する処理の実行中に、外部不揮発性メモリ９への自由な制御を行うために、外部不揮発性メモリ制御部３３はＲＡＭ５に配置する。
　なお、ＲＡＭ５は、その特性上、電源を遮断すると書き込まれたデータは保持されずに、消失する。このため、ＲＡＭ５に配置されるプログラムは、内部不揮発性メモリ７のその他のデータ３６の一部として格納されており、一連の内部不揮発性メモリ７の書換処理を実行する前に、その他のデータ３６からＲＡＭ５にプログラムがコピーされる。その後、プロセッサ３ａ以外のプロセッサは、ＲＡＭ５上の所定のアドレスからプログラムを読み出して処理を実行する。
　図７は、受信データ格納部３２の構成を示す図である。
　受信データ格納部３２に対し、外部装置１０から受信した書込データが書き込まれている末端を示す受信完了ポインタ４１と、外部不揮発性メモリ９に対する書込処理が完了したデータの末端を示す書込完了ポインタ４２の二つのポインタが設けられている。受信完了ポインタ４１と書込完了ポインタ４２の間が、外部装置１０から受信した書込データが外部不揮発性メモリ９に書き込まれていない未処理データである。これらポインタの値は一定方向に増加又は減少し（ＲＡＭ５のアドレスに関して一定の方向で増減し）、受信データ格納部３２のサイズによって定まる上限値が存在する。言い換えると、この上限値は受信データ格納部３２の末端を示す。
　初期状態は両ポインタ４１、４２の値（両ポインタが示すアドレス）が同じであるが、一連の処理の中で、下記のように動作する。プロセッサ３ａは、通信兼データ処理部３５によって、外部装置１０から受信した書込データを受信データ格納部３２へ一定の方向に書き込む処理を実行する。書込処理終了後、データを書き込んだ分だけ受信完了ポインタ４１の値を変化する。その後、プロセッサ３ａが担当する内部不揮発性メモリ７に対する処理の終了後、外部装置１０へ処理の結果を応答する。
　一方、プロセッサ３ｂは以下のように処理を実行する。受信完了ポインタ４１と書込完了ポインタ４２に差がある場合、外部不揮発性メモリ９に書き込まれていない未処理データが存在する。そのため、プロセッサ３ｂは、書込完了ポインタ４２が示す場所から所定量のデータを読み出して、外部不揮発性メモリ９に書き込む。その後、データを書き込んだ分だけ書込完了ポインタ４２の値を受信完了ポインタ４１と同じ方向に変化する。受信完了ポインタ４１と書込完了ポインタ４２が一致している場合、未処理データが存在しないため、プロセッサ３ｂは書き込み処理を行わずに待つ。その後、プロセッサ３ａにより受信完了ポインタ４１が進んだ場合、受信完了ポインタ４１と書込完了ポインタ４２に差が生じるので、プロセッサ３ｂは外部不揮発性メモリ９へのデータ書き込みを再開する。
　プロセッサ３ａ、３ｂの各々は前述した処理を独立して実行するが、以下の２点に該当する場合には、プロセッサ３ａ、３ｂは同期して処理を実行する。一つは、受信完了ポインタ４１の値が上限値に達した場合に、プロセッサ３ａの処理が完了しても、書込完了ポインタ４２の値が上限値に達するまで、外部装置１０への応答を待つ。受信完了ポインタ４１及び書込完了ポインタ４２が上限値に達した後、プロセッサ３ａは外部装置１０へ応答した後、受信完了ポインタ４１及び書込完了ポインタ４２を初期値に戻す。以後、前述の処理を実行する。
　もう一つは、外部装置１０から受信した書込データが最後のデータである場合、受信完了ポインタ４１及び書込完了ポインタ４２が一致するまで待ってからプロセッサ３ａは応答を行う。なお、書込データが最後かは、例えば、外部装置１０から予め送られたプログラムのサイズ情報と、ＥＣＵ１内部で計測している外部装置１０から受信したデータ量と、今回受信した書込データのサイズに基づいて判定できる。
　図８は、プロセッサ３ｂが外部不揮発性メモリに対して実行する制御処理のフローチャートである。
　プロセッサ３ｂは、ユーザの操作に従って処理を開始すると、プロセッサ３ａからの指令を待ち受ける（Ｓ２１）。その後、プロセッサ３ｂは、外部装置１０から初回の書込データを受信すると、プロセッサ３ａの操作によってステップＳ２２に移行し、処理を開始する。
　ステップＳ２２では、書込データを書き込むべき領域の外部不揮発性メモリ９の消去処理が必要かを判定し、必要があれば外部不揮発性メモリ９の消去単位でデータを消去する（Ｓ２３）。
　その後、図７で説明した手順で、書込可能なデータがあるかを判定する（Ｓ２４）。未書込のデータがない場合はＳ２４で待機する。書き込むべきデータがある場合は受信データ格納部３２から書込データを読み出し、外部不揮発性メモリ９に書き込む（Ｓ２５、Ｓ２６）。書込後は、書き込まれたデータを検証するベリファイを実施する（Ｓ２７）。例えば、ステップＳ２６によって書き込んだ場所と同じ範囲のデータを外部不揮発性メモリ９から読み出し、書き込んだデータとの一致を確認する。一致した場合、正しく書き込めたとして書込完了ポインタ４２を進める。その後、書込完了ポインタ４２が上限値に達している、又は書き込んだデータが最終データであるの、いずれかの条件に該当するかを判定する（Ｓ２８）。条件に該当する場合はステップＳ２１に戻り、どちらの条件にも該当しない場合はステップＳ２４に戻る。
　なお、書込完了ポインタ４２が上限値に達したことよってステップＳ２１に移行した場合、プロセッサ３ａによって受信完了ポインタ４１及び書込完了ポインタ４２がクリアされた後で、プロセッサ３ａからの操作によってステップＳ２２に移行して、消去の要否を判定する。
　書き込むデータがなくなるまで以上の処理を繰り返す。
　なお、ステップＳ２２に関して、受信データ格納部３２のサイズと外部不揮発性メモリ９の消去単位が一致している場合、必ずＹＥＳと判定される。このため、受信データ格納部３２のサイズを設定し、ステップＳ２２の判定を行わずに、ステップＳ２３を実行するように、処理を簡略化してもよい。
　次に、図９を参照して、実施例２による、内部不揮発性メモリ７の書き換えと外部不揮発性メモリ９への書き込みを並列に行う手順を説明する。
　ステップＳ３１～Ｓ３３は、実施例１のＳ１１～Ｓ１３と同じである。
　ステップＳ３４で外部装置１０から初回の書込データが転送される。プロセッサ３ａは受信した書込データを、受信データ格納部３２に保存した後、受信完了ポインタ４１を進める。同時にプロセッサ３ｂに対しステップＳ２２への移行を指令し、プロセッサ３ｂの処理を開始する。その後、内部不揮発性メモリ７への書換処理ができれば実行する。Ｓ３４では必要なデータ量に達していないため実行していない。内部不揮発性メモリ７への書換処理の終了後、外部装置１０に処理結果を返信する。
　外部装置１０から次の書込データを受領すると（Ｓ３５）、同様に受信データ格納部３２に保存する。その後、内部不揮発性メモリ７を書き換える。書換直前に一度内部不揮発性メモリ書換部３１に移行して、内部不揮発性メモリ７を書換可能状態に移行した後にデータを書き換える。書換終了後、内部不揮発性メモリ７を通常状態に戻した後、プロセッサ３ａの制御を通信兼データ処理部３５に戻し、その後に外部装置１０に処理結果を返信する。
　一方、ステップＳ３４、Ｓ３５において、プロセッサ３ｂはプロセッサ３ａの動きとは関係なく、図８に示す処理を実行する。ステップＳ３４によって受信完了ポインタ４１と書込完了ポインタ４２に差分が生じるため、通信部８を介して外部不揮発性メモリ９に適切に制御して、データを書き込む。データ書込終了後は、書き込んだ分だけ書込完了ポインタ４２を進める。図９では、プロセッサ３ａが、ステップＳ３６で書込データを受信する前に、受信完了ポインタ４１と書込完了ポインタ４２が一致し待機状態となる。ステップＳ３６によって、プロセッサ３ａが、新たな書込データを受信し、受信完了ポインタ４１が進めば書き込み処理が再開される。
　この後、受信完了ポインタ４１が上限値に達するまで、前述した処理を繰り返す。そして、ステップＳ３７で、受信完了ポインタ４１が上限値に達した場合、図７で説明した通り、書込完了ポインタ４２が上限値に達するまで、プロセッサ３ａは外部装置１０への応答を待つ。そして、書込完了ポインタ４２が上限値に達するのを待って（Ｓ３８）、プロセッサ３ａが外部装置１０へ処理結果を返信する。次の書込データの受信では（Ｓ３９）、プロセッサ３ａが受信完了ポインタ４１と書込完了ポインタ４２を初期値に設定して、Ｓ３４からの処理を繰り返す。
　そして、最後の書込データを受信した場合（Ｓ４０）、現在のポインタの位置にかかわらず、ステップＳ３７及びＳ３８と同じ処理を実行する（Ｓ４１）。
　全ての書込データを受信し、ＥＣＵ１の処理が終わった後、外部装置１０が終了命令を送信する（Ｓ４２）。外部装置１０は、ＥＣＵ１から正常応答を受信した場合、処理完了をユーザへ通知し（Ｓ４３）、一連の処理を終了する。
　以上の処理を順に行うが、途中で何らかの要因で処理が失敗した場合、外部装置１０は処理の異常終了をユーザに通知する。なお、プロセッサ３ａとプロセッサ３ｂの各々は独立して処理を実行するが、外部不揮発性メモリ９の処理の過程において何らかのエラーが生じた場合、その旨をプロセッサ３ｂからプロセッサ３ａに通知して、プロセッサ３ａが自身の処理が正常終了していても、外部装置１０に対してエラーを返信し処理を終了する。
　実施例２の方法による高速化の効果は以下の通りである。プロセッサ３ａが担当する内部不揮発性メモリ７側は、受信データ格納部３２への書き込みや、外部不揮発性メモリ９側との同期など異なる点はあるが、今までの有線による方法とほぼ同じように処理できる。その処理時間を利用して、プロセッサ３ｂが外部不揮発性メモリ９へのバックアップ処理を行うことができれば、内部不揮発性メモリ７の書き換えとほぼ同じ時間で処理できる。内部不揮発性メモリ７に比べ、外部不揮発性メモリ９の書換性能が著しく悪い場合は、それが達成できないが、その場合でも外部装置１０から外部不揮発性メモリ９への書き込み処理と比較し、データ転送が不要（内部不揮発性メモリ７側で処理される）ため、データ転送時間の減少分で高速化できる。以上をまとめると、最速で今までと同等、最遅でも外部不揮発性メモリ９に単独で書き込むための処理時間より高速化ができる。
　以上、図９を用いて不揮発性メモリの書き換えの一例を説明したが、プログラムの本来の動作に影響を与えない範囲で、実施例１で説明した他の処理を前後に実行してもよい。
　［実施例３］
　実施例３では一つのプロセッサを用いて、マルチタスク処理によって、二つの不揮発性メモリに対して同時に処理を実行する手順の一例を示す。以下、添付された図面を参照しつつ説明する。
　実施例３におけるシステムの構成は実施例１と同様である。実施例１と同様、プロセッサ３ａ以外のプロセッサがある場合、一連の処理を妨げないように、それらのプロセッサの処理を停止する、又はＲＡＭ５上で動作（図１１参照）など適切に処理する。
　一連の書き換え手順において、プロセッサが処理する内容を、図１０に示すように細かく分解し、通信兼データ処理タスク５５、内部不揮発性メモリ書換タスク５１、外部不揮発性メモリ制御タスク５３の三つに分類する。
　通信兼データ処理タスク５５は、外部装置１０との送受信処理、既定のプロトコルによる受信処理、受信データ格納部５２への格納処理、書込データの復号、及び書込データの解凍処理を含み、現在の内部状態に応じていずれかの処理を実行する。内部不揮発性メモリ書換タスク５１は、内部不揮発性メモリ７の消去、内部不揮発性メモリ７の書込、及び消去・書込の終了確認処理を含み、現在の内部状態に応じていずれかの処理を実行する。外部不揮発性メモリ制御タスク５３は、外部不揮発性メモリ９の消去、外部不揮発性メモリ９の書込、外部不揮発性メモリ９の読込、及び消去・書込処理の終了確認処理を含み、現在の内部状態に応じていずれかの処理を実行する。
　一般的に不揮発性メモリの消去・書込は、命令を送信してからその命令を完了するまで時間がかかる。その間、プロセッサが他の処理を実行しない待機状態にすると全体の処理効率が低下する。そのため、消去・書込処理のための命令処理と、その処理が完了したかを確認する処理を分けることで、処理効率を高めることができる。
　図１１Ａ、図１１Ｂは、本実施例の制御プログラムの構成の一例を示す図であり、図１１ＡはＲＡＭ５内の配置を示し、図１１Ｂは内部不揮発性メモリ７内の配置を示す。
　通信兼データ処理タスク５５に含まれる処理プログラムは内部不揮発性メモリ７に配置され、内部不揮発性メモリ書換タスク５１に含まれる処理プログラムと、外部不揮発性メモリ制御タスク５３に含まれる処理プログラムはＲＡＭ５上に配置される。
　ここで、実施例３の内部不揮発性メモリ書換タスク５１、外部不揮発性メモリ制御タスク５３、通信兼データ処理タスク５５は、実施例１の内部不揮発性メモリ書換部３１、外部不揮発性メモリ制御部３３、通信兼データ処理部３５と同じである。また、その他のデータ５６や受信データ格納部５２なども実施例１と同じである。
　前述のようにタスクを分けて、一つのプロセッサで図１２に示すシーケンスに従って処理を繰り返し、プロセッサの待機時間を可能な限りなくして、高速で処理を実行する。図１２に示す通り、通常時は、通信兼データ処理タスク５５を実行し（Ｓ５２）、その後、外部不揮発性メモリ制御タスク５３（Ｓ５４）を実行する。但し、内部不揮発性メモリ７を書き換えるときは、通信兼データ処理タスク５５の代わりに内部不揮発性メモリ書換タスク５１（Ｓ５３）を実行する。
　なお、通信兼データ処理タスク５５と内部不揮発性メモリ書換タスク５１の切り替えは、例えば以下の方法で実施できる。通信兼データ処理タスク５５によって、受信した書込データの復号・解凍などの処理が終わり、次回に内部不揮発性メモリ７を書き換える際は、外部不揮発性メモリ制御タスク５３の終了時に通信兼データ処理タスク５５ではなく内部不揮発性メモリ書換タスク５１を実施することを示すフラグを設定する。そして、外部不揮発性メモリ制御タスク５３の終了後、内部不揮発性メモリ書換タスク５１が起動する。以後、内部不揮発性メモリ７の書換中はこの状態が続き、内部不揮発性メモリ７の書換終了後に内部不揮発性メモリ書換タスク５１がフラグを初期化することで、次の外部不揮発性メモリ制御タスク５３の実行後に、通信兼データ処理タスク５５が実行される状態に戻る。
　実施例３は、以上のような設計をするので、実施例２と同様の設計が可能である。例えば、受信データ格納部５２の構造は実施例２の図７と同じものを使用できる。受信完了ポインタ４１と書込完了ポインタ４２を用いた処理手順も実施例２（図７）と同じでよい。また、外部不揮発性メモリ９への処理手順も実施例２（図８）と同じでよい。詳細には、前述の通り、処理効率の観点から、消去・書込の命令処理と完了確認処理は別に設けられるため、Ｓ２３とＳ２６は「消去／書込の命令」、「確認」の２段階に分けられる。
　但し、実施例３は以下の点で実施例２と相違する。図１２からも分かるように、各タスクの処理を交互に実行する点である。実施例２では、内部不揮発性メモリ７の書換処理と外部不揮発性メモリ９の書換処理を独立して同時に並行で実行するため、お互いの状況に依存せず、待ち時間がなく処理できる。しかし、実施例３の場合、他のタスクの処理が終わり、自身のタスクまで待たないと次の処理が進まない。このような観点から、実施例３による処理の高速化は、実施例２と比べるとやや限定的である。しかし、外部装置１０との通信制御や内部不揮発性メモリ７の処理の間に、外部不揮発性メモリ９への処理を実行できる点は実施例２と同様であるため、処理を高速化できる。また、プロセッサの処理性能が高速であれば、実施例２と実施例３の差は小さくなる。
　図１３を参照して実施例３の具体的な処理について説明する。全体の制御のフローは図９と同じため、ステップＳ６４とＳ６５（図１３のＳ３４とＳ３５に対応）での内部動作に焦点をあてて説明する。
　なお、図１３は図９と違い時間軸を考慮に入れて表している。前述した通り、プロセッサ３ａは、図１２のように通信兼データ処理タスク５５又は内部不揮発性メモリ書換タスク５１のいずれかと、外部不揮発性メモリ制御タスク５３を交互に実行する。図１３では、内部不揮発性メモリ書換タスク５１による内部不揮発性メモリ７の書換処理と、外部不揮発性メモリ制御タスク５３による外部不揮発性メモリ９の書込処理とを交互に行っていることを示す。なお、各処理を示す矢印の間隔は実際の処理時間の長さとは関連していない。
　Ｓ６４では、外部装置１０から書込データを受け取った後、通信兼データ処理タスク５５により、受信データ格納部５２に格納する。その次の外部不揮発性メモリ制御タスク５３では、受信データ格納部５２に書き込みデータが格納されたので、外部不揮発性メモリ９に対する処理を開始する。具体的には、外部不揮発性メモリ制御タスク５３はステップＳ２２の処理（消去の必要性の判定）を実行し、必要があればステップＳ２３の処理（消去コマンド）を通信部８介して外部不揮発性メモリ９に発行する。
　外部不揮発性メモリ制御タスク５３の終了後、プロセッサの処理が通信兼データ処理タスク５５に移るが、ステップＳ６４では内部不揮発性メモリ７に対する処理を実行せず、外部装置１０への応答処理を実行する。そして、次の外部不揮発性メモリ制御タスク５３では、消去処理が終了したかを確認するコマンドを外部不揮発性メモリ９に発行し、その応答により消去処理が終わったか確認する。以後、外部不揮発性メモリ制御タスク５３では消去処理の終了が確認できるまでこれを繰り返す。その後、外部不揮発性メモリ制御タスク５３の実行時に図８に示す処理を実行する。
　外部装置１０に対する応答処理実行後は、通信兼データ処理タスク５５で、外部装置１０から次の書込データＳ６５を受信する。受信後、受信データ格納部５２に書き込むまではステップＳ６４と同じである。その後、数回の通信兼データ処理タスク５５によって、復号・解凍などの書込データ処理を実行する。書込データの処理の終了後は、それを内部不揮発性メモリ７に書き込むため、次回は通信兼データ処理タスク５５の代わりに、内部不揮発性メモリ書換タスク５１を実行するようにフラグを設定する。外部不揮発性メモリ制御タスク５３の終了後、内部不揮発性メモリ書換タスク５１を実行し、以後、外部不揮発性メモリ９と同様に、消去、確認、書き込み、確認の処理を実行する。書き換えが終了し、次の外部不揮発性メモリ制御タスク５３の終了後、通信兼データ処理タスク５５を実行するようにフラグを初期化する。
　以後、実施例２と同様の流れで処理を実行する。いずれかのタスクおいて何らかのエラーが生じた場合、外部装置１０に対してエラー通知を送信して、処理を中断する。
　また、プログラムの本来の動作に影響を与えない範囲で、実施例１で説明した他の処理を前後に実行してもよい。
　［変形例］
　以上に説明した実施例は、それぞれ実用上の観点から通信線１１が有線で構成され、有線通信を介して書換データが転送されるものであるが、通信線１１が無線で構成されてもよく、無線通信を介して書換データが転送されるものでもよい。
　以上に説明したように、本発明の実施例の電子制御装置は、所定のプログラムを実行するプロセッサを含むマイコン２と、マイコン２に接続される外部不揮発性メモリ９とを備え、前記マイコン２は、内部不揮発性メモリ７と、外部不揮発性メモリ９と通信する通信部８と、外部装置１０と通信する通信部６とを有し、マイコン２は、内部不揮発性メモリ７を書き換えるために、外部装置１０から受信したデータを、内部不揮発性メモリ７及び外部不揮発性メモリ９に書き込むので、マイコンが内部不揮発性メモリ７と外部不揮発性メモリ９にアクセスできる構成において、外部装置１０からの制御に基づいてマイコン２の内部不揮発性メモリ７に格納されたＥＣＵ１の制御用ソフトウェアを書き換える際に、内部不揮発性メモリ７の書き換えと外部不揮発性メモリ９へのバックアップデータの書き込みを高速に実行できる。特に、外部装置１０から１回のデータ転送で、内部不揮発性メモリ７及び外部不揮発性メモリ９の両方にデータを書き込むので、処理を高速化できる。
　また、マイコン２は、外部装置１０から受信したデータを格納する受信データ格納部３２を有し、受信データ格納部３２に格納されるデータと同じデータを、内部不揮発性メモリ７及び外部不揮発性メモリ９に書き込むので、内部処理が簡単でプログラムを高速化できる。
　また、前記内部不揮発性メモリに書き込み処理を行う第１プロセッサ３ａと、外部不揮発性メモリに書き込み処理を行う第２プロセッサ３ｂとを有し、第１プロセッサ３ａは、外部装置１０から受信したデータを受信データ格納部３２及び内部不揮発性メモリ７に書き込み、第２プロセッサ３ｂは、受信データ格納部３２に格納されたデータを外部不揮発性メモリ９に書き込むので、プロセッサ間で処理を分散でき、処理速度を向上できる。
　また、前記インターフェースが受信したデータが暗号化されている場合、マイコン２は、外部装置１０から受信したデータを復号して内部不揮発性メモリ７に書き込み、外部装置１０から受信したデータを復号せずに外部不揮発性メモリ９に書き込むので、セキュリティ維持しつつ、ロールバック用のデータを外部不揮発性メモリ９に格納できる。
　なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。
　また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
　各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Claims (7)

  1. 　電子制御装置であって、
    　所定のプログラムを実行するプロセッサを含むマイコンと、
    　前記マイコンに接続される外部不揮発性メモリとを備え、
    　前記マイコンは、内部不揮発性メモリと、前記外部不揮発性メモリと通信する第１通信部と、外部装置と通信する第２通信部とを有し、
    　前記マイコンは、前記内部不揮発性メモリを書き換えるための前記外部装置から受信したデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリに書き込むことを特徴とする電子制御装置。
  2. 　請求項１に記載の電子制御装置であって、
    　前記内部不揮発性メモリを書き換えるためのデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリの一方に書き込んだ後、当該一方の不揮発性メモリに書き込まれたデータと同じデータを他方の不揮発性メモリに書き込むことを特徴とする電子制御装置。
  3. 　請求項２に記載の電子制御装置であって、
    　前記内部不揮発性メモリを書き換えるためのデータを、前記外部不揮発性メモリに書き込んだ後、前記外部不揮発性メモリに書き込まれたデータと同じデータを前記内部不揮発性メモリに書き込むことを特徴とする電子制御装置。
  4. 　請求項１に記載の電子制御装置であって、
    　前記マイコンは、前記外部装置から受信したデータを格納する受信データ格納部を有し、
    　前記受信データ格納部に格納されるデータと同じデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリに書き込むことを特徴とする電子制御装置。
  5. 　請求項４に記載の電子制御装置であって、
    　前記内部不揮発性メモリへの書き込み処理を行う第１プロセッサと、
    　前記外部不揮発性メモリへの書き込み処理を行う第２プロセッサとを有し、
    　前記第１プロセッサは、前記外部装置から受信したデータを前記受信データ格納部及び前記内部不揮発性メモリに書き込み、
    　前記第２プロセッサは、前記受信データ格納部に格納されたデータを前記外部不揮発性メモリに書き込むことを特徴とする電子制御装置。
  6. 　請求項１に記載の電子制御装置であって、
    　前記外部装置から受信したデータが圧縮・暗号化されている場合、前記マイコンは、前記外部装置から受信したデータを解凍・復号して前記内部不揮発性メモリに書き込み、
    　前記外部装置から受信したデータを解凍・復号せずに前記外部不揮発性メモリに書き込むことを特徴とする電子制御装置。
  7. 　電子制御装置が実行する書込制御方法であって、
    　前記電子制御装置は、所定のプログラムを実行するプロセッサを含むマイコンと、前記マイコンに接続される外部不揮発性メモリとを有し、
    　前記マイコンは、内部不揮発性メモリと、前記外部不揮発性メモリと通信する第１通信部と、外部装置と通信する第２通信部とを有し、
    　前記書込制御方法は、
    　前記マイコンが、前記内部不揮発性メモリを書き換えるためのデータを前記外部装置から受信し、
    　前記マイコンが、前記外部装置から受信したデータを、前記内部不揮発性メモリ及び前記外部不揮発性メモリに書き込むことを特徴とする書込制御方法。
PCT/JP2022/018588 2022-04-22 2022-04-22 電子制御装置及び書込制御方法 WO2023203768A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/018588 WO2023203768A1 (ja) 2022-04-22 2022-04-22 電子制御装置及び書込制御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/018588 WO2023203768A1 (ja) 2022-04-22 2022-04-22 電子制御装置及び書込制御方法

Publications (1)

Publication Number Publication Date
WO2023203768A1 true WO2023203768A1 (ja) 2023-10-26

Family

ID=88419496

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/018588 WO2023203768A1 (ja) 2022-04-22 2022-04-22 電子制御装置及び書込制御方法

Country Status (1)

Country Link
WO (1) WO2023203768A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015121953A (ja) * 2013-12-24 2015-07-02 株式会社デンソー マイクロコンピュータ及び電子制御装置
JP2021024555A (ja) * 2019-08-06 2021-02-22 日本電産エレシス株式会社 電動パワーステアリング制御装置
WO2021075361A1 (ja) * 2019-10-18 2021-04-22 日立Astemo株式会社 冗長系システム及び負荷駆動制御装置
JP2021144635A (ja) * 2020-03-13 2021-09-24 富士通株式会社 プログラム更新システム、並びに情報処理装置及び情報処理プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015121953A (ja) * 2013-12-24 2015-07-02 株式会社デンソー マイクロコンピュータ及び電子制御装置
JP2021024555A (ja) * 2019-08-06 2021-02-22 日本電産エレシス株式会社 電動パワーステアリング制御装置
WO2021075361A1 (ja) * 2019-10-18 2021-04-22 日立Astemo株式会社 冗長系システム及び負荷駆動制御装置
JP2021144635A (ja) * 2020-03-13 2021-09-24 富士通株式会社 プログラム更新システム、並びに情報処理装置及び情報処理プログラム

Similar Documents

Publication Publication Date Title
US6754765B1 (en) Flash memory controller with updateable microcode
US20060075395A1 (en) Flash card system
US20100122017A1 (en) Memory controller, non-volatile memory system, and host device
US8176009B2 (en) Performing a pre-update on a non volatile memory
US20200225869A1 (en) Live Firmware Activation in a Memory System
JP6070360B2 (ja) 情報処理装置およびその処理方法
US20060224821A1 (en) System for parallel updating flash memory and method for the same
TWI722269B (zh) 韌體更新方法及使用此方法的電子裝置
US20100169546A1 (en) Flash memory access circuit
US20070011416A1 (en) Data storage device and medium and related method of storing backup data
CN111026427B (zh) 一种含cpu和fpga的嵌入式系统远程在线升级方法
US7761651B2 (en) Information processing apparatus
WO2023203768A1 (ja) 電子制御装置及び書込制御方法
US20030084232A1 (en) Device and method capable of changing codes of micro-controller
US20080301358A1 (en) Electronic device that Downloads Operational Firmware from an External Host
US8429336B2 (en) Disk drive and method of changing a program therefor
JP2008047155A (ja) 一括消去型不揮発性メモリおよび携帯電話
WO2006101123A1 (ja) 不揮発性記憶装置及び不揮発性記憶装置の制御情報のロード方法
JPH11265283A (ja) 記憶装置におけるファームウェアの修正方法及び記憶装置
US20050265266A1 (en) Optical disc drive that downloads operational firmware from an external host
JP2009223435A (ja) データ記憶方法及び装置、並びにプログラム
US20050268029A1 (en) Optical Disc Drive that Downloads Operational Firmware from an External Host
US20230153096A1 (en) Upgradable electronic device, server for upgrdading electronic device, and method for upgrading electronic device
JP4575112B2 (ja) ファームウェアの書換方法、ディスクドライブ装置、及び情報処理システム
JPH06161842A (ja) 外部記憶装置およびこれを用いたコンピュータ

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22938567

Country of ref document: EP

Kind code of ref document: A1