(57)【要約】【課題】ユーザーが特別な操作をする事無く、安全に、かつ確実に、最新のソフトウェアへの変更を完了可能な電子制御装置を実現する。【解決手段】電子制御装置２は、制御プログラムを実行するメインマイコン９と、メインマイコン９が正しく動作できているか否かの動作の監視を行う監視部１１と、外部から送信されたソフトウェアをダウンロードするゲートウェイ部６と、メインマイコン９と通信を行い、ゲートウェイ部６によりダウンロードされたソフトウェアを保存するメモリ１１とを備える。監視部１１は、メインマイコン９とメモリ１０間の通信をモニタし、メインマイコン９のソフトウェアを外部からダウンロードされたソフトウェアに変更可能か否かを判定する。ダウンロードされたソフトウェアに変更可能と判定した後に、メインマイコン９のソフトウェアの変更を許可する。【選択図】図１
2020194262.tif 000002
【特許請求の範囲】
【請求項１】
制御プログラムを実行するメインマイコンと、
前記メインマイコンが正しく動作できているか否かの動作の監視を行う監視部と、
外部から送信されたソフトウェアをダウンロードするゲートウェイ部と、
前記メインマイコンと通信を行い、前記ゲートウェイ部によりダウンロードされた前記ソフトウェアを保存するメモリと、
を備え、
前記監視部は、前記メインマイコンと前記メモリ間の通信をモニタし、前記メインマイコンのソフトウェアを外部からダウンロードされた前記ソフトウェアに変更可能か否かを判定し、前記ダウンロードされた前記ソフトウェアに変更可能と判定した後に、前記メインマイコンのソフトウェアの変更を許可することを特徴とする電子制御装置。
【請求項２】
請求項１に記載の電子制御装置において、
前記監視部は、前記メインマイコンのソフトウェアの変更を許可するとともに、前記メインマイコンの動作の監視を停止し、前記メインマイコンのソフトウェアの変更が完了した後に、前記監視を再開することを特徴とする電子制御装置。
【請求項３】
請求項２に記載の電子制御装置において、
前記監視部は、メインマイコンのソフトウェアの変更が開始されると、前記メインマイコンと前記メモリ間の通信をモニタし、信号通信中であれば、メインマイコンのソフトウェアの変更動作中であると判定し、信号通信終了であれば、メインマイコンのソフトウェアの変更完了であると判定し、前記メインマイコンを一度リセットし、前記メインマイコンの動作の監視を再開することを特徴とする電子制御装置。
【請求項４】
請求項１に記載の電子制御装置において、
前記監視部は、前記メインマイコンの動作の監視には、前記メインマイコンに対する例題演習を含み、前記メインマイコンのソフトウェアの変更を許可するとともに、前記メインマイコンの動作の監視のうちの前記例題演習のみ停止し、前記メインマイコンのソフトウェアの変更が完了した後に、前記例題演習を再開することを特徴とする電子制御装置。
【請求項５】
請求項４に記載の電子制御装置において、
前記監視部は、メインマイコンのソフトウェアの変更が開始されると、前記メインマイコンのプログラム信号をモニタし、前記プログラム信号が送受信中であれば、メインマイコンのソフトウェアの変更動作中であると判定し、前記プログラム信号の送受信が停止していれば、メインマイコンのソフトウェアの変更完了であると判定し、前記メインマイコンを一度リセットし、前記例題演習による動作の監視を再開することを特徴とする電子制御装置。
【請求項６】
請求項１、２、３、４、５のうちのいずれか一項に記載の電子制御装置において、
前記電子制御装置は、自動車の車両制御用であることを特徴とする電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置に関する。
【背景技術】
【０００２】
自動車に用いられる電子制御装置、例えば、エンジンを制御するエンジンコントロールユニットがある。
【０００３】
そして、電子制御装置にセキュリティや走行安全機能、各種不具合等を更新、修正した、最新のソフトウェアに変更（リプロ）することが必要とされる場合がある。
【０００４】
特に自動車向けのリプロにおいては、法令順守や安全上の問題から、常に最新のソフトウェアで車両を走行可能とすることが求められる。
【０００５】
このような従来技術におけるリプロは、ディーラーでの定期点検の機会等に合わせて実施されていたが、近年ではユーザーの利便性の観点から、ディーラーに行かなくても最新のソフトウェアを適用できる無線通信の手法；ＯＴＡ（Ｏｖｅｒ  ｔｈｅ  Ａｉｒ）への対応が必要になってきた。
【０００６】
ディーラーでのリプロの際は、リプロ後に診断ツールを電子制御装置に接続し、エラーが発生していてもエラーをクリアし、動作に問題無いことを確認していた。
【０００７】
しかしながら、ＯＴＡの場合は、ユーザーがリプロを実施する必要があるため、ユーザーが特別な操作をする事無く、確実にリプロを完了させるようにする必要があった。
【０００８】
特許文献１には、電子制御装置のソフトウェア更新に際し、マイコンが監視部に指示して例題演算方式からウォッチドッグパルスの簡易的な診断方式に切り替え、電子制御装置が誤ってリセットされてしまうのを防止することが記載されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２０１８−１３２９５７号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
従来の車両の電子制御装置においては、機能安全対応でメインマイコンが正しく動作できているかを確認するため、監視ＩＣによってＣＰＵ、クロックやＲＯＭ、ＲＡＭチェック、および例題演算方式やウォッチドッグパルス方式による監視等が実施されている。
【００１１】
上述した監視等は、リプロの実行中にも実施されているため、メインマイコンのソフトウェアが書き替わるタイミングでサブマイコンからメインマイコンに与えられる例題にメインマイコンが適切な回答を出来ない場合や、メインマイコンのＰｒｏｇｒａｍ  Ｒｕｎｎｉｎｇの信号を検出出来ない場合にはエラーを検出してしまう。
【００１２】
この場合、リプロ実行中はエラーをマスクし、リプロ実行継続可能な構成となっていた。
【００１３】
そのため、監視部にエラーの履歴が残り、リプロ実行終了後にユーザーが手動でエラーをクリアする必要があり、ユーザーに特別な操作が必要となる。
【００１４】
また、不明な外部アクセス等があった場合、メインマイコンが、監視方式の切り替えを指示し、監視動作を停止する構成であると、意図しないリプロが実行されてしまう可能性がある。
【００１５】
このため、安全性向上の観点から、意図しないリプロを防止するため、メインマイコンが監視方式の切り替えを指示し、監視動作を停止するのでは無く、監視ＩＣによる監視結果を以って、メインマイコンがリプロを開始できるようなプロセスにする必要があった。
【００１６】
本発明は、以上の課題に鑑みてなされたものであって、その目的は、ユーザーが特別な操作をする事無く、安全に、かつ確実に、最新のソフトウェアへの変更を完了可能な電子制御装置を実現することである。
【課題を解決するための手段】
【００１７】
本発明は、上記目的を達成するため、次のように構成される。
【００１８】
電子制御装置において、制御プログラムを実行するメインマイコンと、前記メインマイコンが正しく動作できているか否かの動作の監視を行う監視部と、外部から送信されたソフトウェアをダウンロードするゲートウェイ部と、前記メインマイコンと通信を行い、前記ゲートウェイ部によりダウンロードされた前記ソフトウェアを保存するメモリと、を備え、前記監視部は、前記メインマイコンと前記メモリ間の通信をモニタし、前記メインマイコンのソフトウェアを外部からダウンロードされた前記ソフトウェアに変更可能か否かを判定し、前記ダウンロードされた前記ソフトウェアに変更可能と判定した後に、前記メインマイコンのソフトウェアの変更を許可する。
【発明の効果】
【００１９】
本発明によれば、ユーザーが特別な操作をする事無く、安全に、かつ確実に、最新のソフトウェアへの変更を完了可能な電子制御装置を実現することができる。
【図面の簡単な説明】
【００２０】
【図１】本発明の実施例１が適用される車両およびＯＴＡセンターの概略構成図である。
【図２】電子制御装置の、ＯＴＡリプロ前の動作フローチャートである。
【図３】実施例１におけるＯＴＡリプロの動作フローチャートの一例を示す図である。
【図４】実施例２におけるＯＴＡリプロの動作フローチャートの一例を示す図である。
【発明を実施するための形態】
【００２１】
以下、図面を用いて、本発明の実施形態に係る電子制御装置について詳細に説明する。
【実施例】
【００２２】
（実施例１）
図１は、本発明の実施例１が適用される車両１およびＯＴＡセンター３の概略構成図である。
【００２３】
図１において、車両１は、電子制御装置２と、ＩＶＣ（Ｉｎｔｅｒ  Ｖｅｈｉｃｌｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ）４と、ＩＶＩ（Ｉｎ  Ｖｅｈｉｃｌｅ  Ｉｎｆｏｔａｉｎｍｅｎｔ  ｓｙｓｔｅｍ）５と、Ｇａｔｅｗａｙ（ゲートウェイ部）６、バッテリ１２と、イグニッションスイッチ１３とを備える。
【００２４】
電子制御装置２はＣＡＮ通信ＩＣ７、電源ＩＣ８、メインマイコン９、監視ＩＣ（監視部）１１と外付けメモリ１０とを備える。
【００２５】
ＩＶＣ４は、車両間通信のための装置（ＷＩＦＩ等）である。ＩＶＩ５は車載情報装置（ディスプレイ等）である。
【００２６】
Ｇａｔｅｗａｙ６は、外部から送信されたソフトウェアをダウンロードする。また、Ｇａｔｅｗａｙ６は、各電子制御装置の通信ネットワークを管理する装置である。
【００２７】
ＣＡＮ通信ＩＣ７はＧａｔｅｗａｙ６等のＣＡＮ通信で接続された他の電子制御装置と通信を行うＩＣである。電源ＩＣ８は電子制御装置２の電源の役割を果たしており、電子制御装置２に実装される電子部品へ電源を供給するＩＣである。メインマイコン９は、制御プログラムを実行し、演算部として動作するＣＰＵコアの他、ＲＡＭやＲＯＭなどのメモリや、外部との入出力を行う回路などの周辺回路を有して構成される。
【００２８】
外付けメモリ１０は、メインマイコン９と通信を行い、ＯＴＡ経由でＧａｔｅｗａｙ６から受信した最新ソフトウェアをメインマイコン９にリプロする前に保存しておくＩＣである。
【００２９】
監視ＩＣ１１はメインマイコン９の動作を監視する。監視ＩＣ１１は、メインマイコン９が正常に動作されているか否かを例題演算やウォッチドッグタイマによって監視するＩＣである。
【００３０】
バッテリ１２は車両１の各種制御装置に電源を供給する装置である。
【００３１】
イグニッションスイッチ１３は車両１のエンジンをスタートする際にＯＮとなり、電源ＩＣ８、メインマイコン９に信号が入力される。
【００３２】
図２は、電子制御装置２の、ＯＴＡリプロ前の動作フローチャートである。
【００３３】
図２のステップＳａにおいて、ＯＴＡセンター３からソフトウェアの更新要求が有った場合、ＯＴＡセンター３がＩＶＣ４、ＩＶＩ５等を経由してＧａｔｅｗａｙ６と通信をし、Ｇａｔｅｗａｙ６に最新ソフトウェアをダウンロードする。
【００３４】
次に、ステップＳｂにおいて、電子制御装置２はＧａｔｅｗａｙ６からソフトウェアの更新要求が有った場合に、ＣＡＮ通信ＩＣ７、メインマイコン９を経由し、外付けメモリ１０にソフトウェアをダウンロードする。
【００３５】
以上のリプロ前のソフトウェアダウンロードプロセスは一般的に車両１の動作状態に依らず実施される。
【００３６】
図３は、実施例１におけるＯＴＡリプロの動作フローチャートの一例を示す図である。
【００３７】
メインマイコン９のＲＯＭに外付けメモリ１０に保存された最新のソフトウェアをリプロするため、電子制御装置２が起動した後、メインマイコン９によって起動要因の判定を実施する（ステップＳ１）。ステップＳ１において、イグニッションスイッチ１３による起動であると判定された場合、通常動作に入る（ステップＳ２（通常モード移行））。
【００３８】
ステップＳ１において、Ｇａｔｅｗａｙ６からのリプロ要求によるＣＡＮ  Ｗａｋｅｕｐでの起動であると判定された場合、ＯＴＡリプロモードに入る（ステップＳ３）。
【００３９】
リプロモード移行後は、車両１のエンジンスピードが０であること、イグニッションスイッチがＯＦＦであること、シフトポジションがパーキングであること、サイドブレーキがＯＮであること等、車両１が停止し、安全状態であることを確認する（ステップＳ３）。
【００４０】
これは、電子制御装置２はメインマイコン９のＲＯＭにあるソフトウェアで動作しているため、車両１が動作している状態で外付けメモリ１０の最新ソフトウェアをメインマイコン９のＲＯＭにリプロしてしまうと上手く動作できないためである。
【００４１】
また、ステップＳ３において、メインマイコン９内部のメモリチェック、エラーコードチェック、自己診断、セキュリティ認証等を実施する。
【００４２】
ステップＳ４及びＳ５において、監視ＩＣ１１がメインマイコン９と外付けメモリ１０間の通信状態を確認する。例えば、ＳＰＩ通信のＣＳ（Ｃｈｉｐ  Ｓｅｌｅｃｔ）端子をモニタし、Ｌｏレベルであることを判定する。これは、メインマイコン９がリプロのために外付けメモリ１０へのアクセスを有効化したことを確認するためである。
【００４３】
ステップＳ４及びＳ５にて、リプロが可能であると判定されると、ステップＳ６に進む。
【００４４】
ステップＳ６において、監視ＩＣ１１による監視（メインマイコン９が正しく動作できているか否かを確認するための例題演算やウォッチドッグパルス等）を停止させ、リプロを許可し、開始させる。
【００４５】
メインマイコン９が監視方式の切り替えを指示し、監視動作を停止させるのではなく、監視ＩＣ１１がメインマイコン９と外付けメモリ１０間の通信をモニタし、リプロ（メインメモリ９のソフトウェアをダウンロードされたソフトウェアに変更する）可能な状態が確立していることを確認し、リプロ可能か否かを判定し、リプロ可能と判定した後に、監視を停止し、リプロを許可して実行させている。
【００４６】
このように動作させることにより、リプロの信頼性が向上される。つまり、意図しないリプロが実行されてしまう可能性が排除されることにより、信頼性が向上される。
【００４７】
次に、ステップＳ７、Ｓ８において、リプロが開始されると、監視ＩＣ１１はメインマイコン９と外付けメモリ１０間の通信をモニタする。例えば、ステップＳ８において、ＳＰＩ通信のＴｘ、Ｒｘ信号がＨｉ、Ｌｏ時間を行き来している場合は信号通信中であることからリプロ中であると認識（判定）し、メインマイコン９と外付けメモリ１０間の通信をモニタするステップＳ７に戻る。
【００４８】
また、ステップＳ８において、ＳＰＩ通信のＴｘ、Ｒｘ信号が、ＨｉもしくはＬｏ固定となった場合には信号通信終了であり、リプロ完了または通信エラーと認識（判定）する。その後、処理はステップＳ９に進む。
【００４９】
ステップＳ９において、監視ＩＣ１１がメインマイコン９を一度リセットし、停止していた監視ＩＣ１１の監視機能を再開させる。
【００５０】
ステップＳ１０において、メインマイコン９に書き込まれたソフトウェアが正しいことをＣＡＮ通信ＩＣ７経由でＧａｔｅｗａｙ６と通信をしてソフトウェアのバージョンや書き込まれたＲＯＭ容量を確認する。
【００５１】
ステップＳ１０において、メインマイコン９に書き込まれたソフトウェアが正しくない場合（ＮＧの場合）は、ステップＳ１１に進み、エラーフラグをメインマイコン９に保存する。そして、ステップＳ１３において、ＩＶＩ５等により、ユーザーにアラームを表示し、ステップＳ１２に進む。
【００５２】
ステップＳ１０において、メインマイコン９に書き込まれたソフトウェアが正しい場合（ＯＫの場合）は、ステップＳ１２に進み、電子制御装置２をリセットし、ＯＴＡリプロモードを終了する。そして、通常モードに移行する。
【００５３】
ステップＳ１２においては、ソフトウェアのＶｅｒｉｆｙが完了後、例えばＧａｔｅｗａｙ６が電子制御装置２をリセットさせる。
【００５４】
以上のように、本発明の実施例１によれば、リプロモード移行後、リプロ開始前に、監視ＩＣ１１がメインマイコン９と外付けメモリ１０間でリプロ可能な状態が確立していることを確認し、リプロ可能であることを判定した後に、監視を停止させている。このように動作させることにより、意図しないリプロが実行されてしまう可能性が排除されることにより、信頼性が向上される。
【００５５】
また、リプロ実行中は、監視ＩＣ１１による監視を停止し、メインマイコン９に対する例題演習を停止して、リプロ終了後に、メインマイコン９に対する例題演習を再開し、エラーか否かを判定するように構成されている。
【００５６】
本発明の実施例１とは異なり、リプロ実行中にも例題演習を行い、監視等を実行する場合は、監視部にエラーの履歴が残ることがある。そのため、リプロ実行終了後にユーザーが手動でエラーをクリアする必要があり、ユーザーに特別な操作が必要となる。
【００５７】
これに対して、本発明の実施例１は、上記構成となっているため、リプロ実行終了後にユーザーが手動でエラーをクリアする必要は無く、ユーザーによる特別な操作は不要となる。
【００５８】
つまり、本発明の実施例１によれば、ユーザーが特別な操作をする事無く、安全に、かつ確実に、最新のソフトウェアへの変更を完了可能な電子制御装置を実現することができる。
【００５９】
（実施例２）
次に、本発明の実施例２について説明する。
【００６０】
実施例２は、図１に示した例と同様な車両１およびＯＴＡセンター３に適用される。
【００６１】
また、実施例２におけるＯＴＡリプロ前の動作フローチャートは図２に示した例と同様となる。
【００６２】
図４は、実施例２におけるＯＴＡリプロの動作フローチャートの一例を示す図である。
【００６３】
図４に示した例は、図３に示した例に対して、リプロ実行中は例題演算方式の監視のみ停止し、ウォッチドッグパルス方式の監視は継続する場合の例である。
【００６４】
図４に示した例と図３に示した例の異なるところは、図４に示した例は、ウォッチドッグパルス方式による監視が継続しているため、リプロ中の監視をメインマイコン９と外付けメモリ１０間の通信信号、例えばＳＰＩ通信のＴｘ、Ｒｘをモニタするのでは無く、メインマイコンプログラム信号、例えばＰｒｏｇｒａｍ  ｒｕｎｎｉｎｇをモニタし、Ｈｉ、Ｌｏ時間を行き来している場合（プログラム信号を送受信している場合）はリプロ中と認識（判定）し、ＨｉもしくはＬｏ固定となった場合（プログラム信号の送受信が停止している場合）にはリプロ完了または通信エラーと認識（判定）する。
【００６５】
図４を参照して説明する。
【００６６】
図４におけるステップＳ１〜Ｓ５、Ｓ１０〜Ｓ１３は、図３に示したステップＳ１〜Ｓ５、Ｓ１０〜Ｓ１３と同様であるので、説明は省略する。
【００６７】
図４のステップＳ６Ａにおいて、監視ＩＣ１１による監視動作は継続した状態で、メインマイコン９に対する例題演習を停止させ、リプロを開始させる。
【００６８】
監視ＩＣ１１がメインマイコン９と外付けメモリ１０間でリプロ可能な状態が確立していることを確認し、リプロ可能であることを判定した後に、例題演習を停止させている。このように動作させることにより、実施例１と同様に、リプロの信頼性が向上される。
【００６９】
次に、ステップＳ７Ａ、Ｓ８Ａにおいて、リプロを開始後、メインマイコンプログラム信号をモニタし、Ｈｉ、Ｌｏ時間を行き来している場合はメインプログラム信号が動作中であり、リプロ中と判定し、ＨｉもしくはＬｏ固定となった場合にはメインマイコンプログラム信号が停止していると判定し、リプロ完了または通信エラーと判定する。
【００７０】
ステップＳ８Ａにおいて、リプロ完了または通信エラーと判定した場合は、ステップＳ９Ａに進む。
【００７１】
ステップＳ９Ａにおいて、監視ＩＣ１１がメインマイコン９を一度リセットし、停止していたメインマイコン９に対する例題演習による動作の監視を再開する。
【００７２】
以降、ステップＳ１０〜Ｓ１３において、実施例１と同様な処理を行う。
【００７３】
本発明の実施例２によれば、実施例１と同様に、意図しないリプロが実行されてしまう可能性が排除されることにより、信頼性が向上される。
【００７４】
また、リプロ実行中は、監視ＩＣ１１による例題演習以外の監視を継続し、メインマイコン９に対する例題演習を停止して、リプロ終了後に、メインマイコン９に対する例題演習を再開し、エラーか否かを判定するように構成されている。
【００７５】
本発明の実施例２は、実施例１とは異なり、リプロ実行中にも例題演習以外の監視を実行するが、例題演習は停止するため、リプロ実行終了後にユーザーが手動でエラーをクリアする必要がなく、ユーザーに特別な操作する必要は無く、ユーザーによる特別な操作は不要となる。
【００７６】
実施例２においては、リプロ動作中も監視を行うので、実施例１に比較して、より安全性が向上される。
【００７７】
実施例２によれば、実施例１と同様に、ユーザーが特別な操作をする事無く、安全に、かつ確実に、最新のソフトウェアへの変更を完了可能な電子制御装置を実現することができる。
【００７８】
本発明は、自動車の車両制御用の電子制御装置に適用することができる他、最新のソフロトウェアがダウンロードされる制御機器、例えば、ロボット等の他の制御機器用の電子制御装置にも適用可能である。
【００７９】
なお、本発明は、監視部１１は、メインマイコン９とメモリ１０間の通信をモニタし、メインマイコン９のソフトウェアを外部からダウンロードされたソフトウェアに変更可能か否か（リプロ可能か否か）を判定し、ダウンロードされたソフトウェアに変更可能と判定した後に、メインマイコン９のソフトウェアの変更を許可するのみの構成も本発明の態様に含まれる。
【符号の説明】
【００８０】
１・・・車両、２・・・電子制御装置、３・・・ＯＴＡセンター、４・・・ＩＶＣ、５・・・ＩＶＩ、６・・・Ｇａｔｅｗａｙ（ゲートウェイ部）、７・・・ＣＡＮ通信ＩＣ、８・・・電源ＩＣ、９・・・メインマイコン、１０・・・外付けメモリ、１１・・・監視ＩＣ（監視部）、１２・・・バッテリ、１３・・・イグニッションスイッチ
【図１】
2020194262.tif 000003
【図２】
2020194262.tif 000004
【図３】
2020194262.tif 000005
【図４】
2020194262.tif 000006