(57)【要約】外部ハードウェア装置２００が接続可能なインタフェース１４０と、量産型ソフトウェアが格納されている不揮発性の量産型ソフトウェア・記憶領域１１０と、揮発性のアップロード・記憶領域１２０Ｂとを有する制御装置１００、を準備する工程と、インタフェース１４０に、アップロード・ソフトウェア（ＵＳＷ）が格納されている外部ハードウェア装置２００を接続する工程と、外部ハードウェア装置２００から制御装置１００の揮発性アップロード・記憶領域１２０Ｂへと、ＵＳＷをロードする工程と、アップロード・記憶領域１２０ＢにおいてＵＳＷを実行する工程であって、その際、ＵＳＷの実行によって、量産型ソフトウェアの機能が診断および／または検査機能の分だけ拡張される、アップロード・記憶領域１２０ＢにおいてＵＳＷを実行する工程と、を有する、特に車両用の、制御装置１００の量産型ソフトウェアの機能を拡張する方法、に関する。【選択図】図１
2009533736.tif 000002
【特許請求の範囲】
【請求項１】
特に車両のための、制御装置（１００）の量産型ソフトウェアの機能を拡張する方法であって、
−（Ｓ１）外部ハードウェア装置（２００）が接続可能なインタフェース（１４０）と、前記量産型ソフトウェアが格納されている不揮発性の量産型ソフトウェア・記憶領域（１１０）と、揮発性のアップロード・記憶領域（１２０Ｂ）とを有する制御装置（１００）、を準備する工程と、
−（Ｓ２）前記インタフェース（１４０）に、アップロード・ソフトウェア（ＵＳＷ）が格納されている外部ハードウェア装置（２００）を接続する工程と、
−（Ｓ３）前記外部ハードウェア装置（２００）から前記制御装置（１００）の前記揮発性のアップロード・記憶領域（１２０Ｂ）へと、前記アップロード・ソフトウェア（ＵＳＷ）をロードする工程と、
−（Ｓ８）前記アップロード・記憶領域（１２０Ｂ）において前記アップロード・ソフトウェア（ＵＳＷ）を実行する工程であって、その際、前記アップロード・ソフトウェア（ＵＳＷ）の実行によって、前記量産型ソフトウェアの機能が、診断および／または検査機能の分だけ拡張される、前記アップロード・記憶領域（１２０Ｂ）において前記アップロード・ソフトウェア（ＵＳＷ）を実行する工程と、
を有する、特に車両のための、制御装置（１００）の量産型ソフトウェアの機能を拡張する方法。
【請求項２】
前記アップロード・ソフトウェア（ＵＳＷ）は、前記アップロード・ソフトウェア（ＵＳＷ）の実行中に、前記量産型ソフトウェアの所定のパラメータにアクセスすることを特徴とする、請求項１に記載の方法。
【請求項３】
前記量産型ソフトウェアの動作、特に前記量産型ソフトウェアの実行時の動作が、前記アップロード・ソフトウェアの実行に作用されないことを特徴とする、請求項１〜請求項２のいずれかに記載の方法。
【請求項４】
前記アップロード・ソフトウェア（ＵＳＷ）は、前記外部ハードウェア装置（２００）が前記制御装置（１００）に接続されている限りにおいて実行されることを特徴とする、請求項１〜請求項３のいずれかに記載の方法。
【請求項５】
前記アップロード・ソフトウェア（ＵＳＷ）が認証ユニット（１６０）により認証される工程（Ｓ４）がさらに設けられていることを特徴とする、請求項１〜請求項４のいずれかに記載の方法。
【請求項６】
前記アップロード・ソフトウェアは、前記外部ハードウェア装置（２００）から前記制御装置（１００）の前記揮発性のアップロード・記憶領域（１２０Ｂ）へのロードの際に、ダミー・アップロード・ソフトウェア（ＤＵＳＷ）と入れ替わり、前記ダミー・アップロード・ソフトウェア（ＤＵＳＷ）の実行時の動作が、前記アップロード・ソフトウェア（ＵＳＷ）の実行時の動作と同じであることを特徴とする、請求項１〜請求項５のいずれかに記載の方法。
【請求項７】
前記アップロード・ソフトウェア（ＵＳＷ）の実行後に、前記アップロード・ソフトウェア（ＵＳＷ）が削除される、および／または、前記アップロード・ソフトウェア（ＵＳＷ）が、ダミー・アップロード・ソフトウェア（ＤＵＳＷ）と入れ替わる更なる別の工程が設けられており、前記ダミー・アップロード・ソフトウェア（ＤＵＳＷ）の実行時の動作が、前記アップロード・ソフトウェア（ＵＳＷ）の実行時の動作と同じであることを特徴とする、請求項１〜請求項６のいずれかに記載の方法。
【請求項８】
制御装置であって、
−外部ハードウェア装置（２００）が接続可能なインタフェース（１４０）と、
−量産型ソフトウェアが格納されている不揮発性の量産型ソフトウェア・記憶領域（１１０）と、
−揮発性のアップロード・記憶領域（１２０Ｂ）であって、前記インタフェース（１４０）と接続されており、かつ前記インタフェース（１４０）を介して、前記外部ハードウェア装置（２００）から、前記量産型ソフトウェアの機能を診断および／または検査機能の分だけ拡張するアップロード・ソフトウェア（ＵＳＷ）がロードされる、揮発性のアップロード・記憶領域（１２０Ｂ）と、
−前記外部ソフトウェア装置（２００）から前記制御装置（１００）の揮発性のアップロード・記憶領域（１２０Ｂ）へと、前記アップロード・ソフトウェア（ＵＳＷ）をロードする手段と、
を備える、制御装置。
【請求項９】
前記外部ハードウェア装置（２００）から前記アップロード・記憶領域（１２０Ｂ）へとロードする際に、前記アップロード・ソフトウェア（ＵＳＷ）を認証する認証ユニット（１６０）がさらに設けられていることを特徴とする、請求項８または請求項９に記載の制御装置。
【請求項１０】
前記アップロード・記憶領域（１２０Ｂ）にダミー・アップロード・ソフトウェア（ＤＵＳＷ）が格納されており、前記ダミー・アップロード・ソフトウェア（ＤＵＳＷ）の実行時の動作が、前記アップロード・ソフトウェア（ＵＳＷ）の実行時の動作に対応しており、前記ダミー・アップロード・ソフトウェア（ＤＵＳＷ）は、前記外部ハードウェア装置（２００）から前記制御装置（１００）の前記揮発性のアップロード・記憶領域（１２０Ｂ）へのロードの際に入れ換えられることを特徴とする、請求項８または請求項９に記載の制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特に車両における、制御装置内の量産型ソフトウェアの機能を拡張する方法、および本方法に対応する制御装置に関する。
【背景技術】
【０００２】
車両の制御装置は、燃料噴射、点火時点、イモビライザ等の車両の機能を制御する。その際、制御装置は、所定の制御装置ソフトウェアを実行するマイクロコントローラと、この制御装置ソフトウェアが格納されている記憶装置とを有している。制御装置は、データバス等を介して制御装置と接続されている機能ユニット（エンジンの燃料噴射の計測システム等）を制御する。
【０００３】
制御装置ソフトウェアは、通常診断機能を有している。診断機能によって、車両の駆動中に発生した故障が診断されることが可能である。診断機能を開発するために、開発段階の間に、大量生産において発生しうる、可能な故障が収集される。このような故障の例として、経験的に頻繁に発生する故障、および、開発中にシステム解析から導出される故障が挙げられる。特に、故障は、数多くの異なる車両構成要素の相互作用によっても発生する可能性がある。これら全故障のために、制御装置ソフトウェア内で、対応する診断機能が作成される。
【０００４】
制御装置ソフトウェアの完成後に、これは、車両の制御装置内の（フラッシュメモリ等の）不揮発性記憶装置にロードされる。このように完成された制御装置ソフトウェアは、以下では「量産型ソフトウェア」と呼称される。
【０００５】
しかし、既に開発中に全可能な故障を考慮または予測し、対応する診断機能を作成することがほとんど不可能であることが実務において実証された。車両運用において、対応する診断機能が開発中に作成されなかった故障、が発生した場合、量産型ソフトウェアの診断機能を用いてこの故障の原因を解析することも不可能である。結果的に、サービス修理工場等での故障検査に手間とコストが掛かり、多くの場合、破損していない構成要素を交換することになる。
【０００６】
現存の量産型ソフトウェアの診断機能を拡張するための従来の別の方法は、制御装置に新しい、拡張された制御ソフトウェアをロードするものである。しかし、このような再プログラミングに非常にコストが掛かり、さらに、サービスにおいて、再プログラミングが多くの場合に制御装置自体によってサポートされていないという短所がある。
【０００７】
独国特許出願公開第１０２６０１０３号明細書では、制御装置内に通常の第１不揮発性記憶領域に加えて、第２不揮発性記憶領域を設けることが提案されている。第２不揮発性記憶領域には、新しいソフトウェア構成要素（パッチ）が書き込まれる。第１記憶領域からの分岐によって、第１記憶領域内の古いソフトウェア構成要素の代わりに、第２記憶領域の新しいソフトウェア構成要素が実行される。新しいソフトウェア構成要素の実行後に、プロセスは、第２記憶領域から再び第１記憶領域へ戻る。
【０００８】
この場合にも、パッチのロードに比較的コストが掛かる、または、サポートが不可能であるという問題が生じる。さらに、全診断機能、すなわち、場合によっては引渡しの後に初めて開発される診断機能を考慮すると、プログラムコードが増大し、これに対応して大容量のリソースを準備する必要性が生じる。
【発明の開示】
【課題を解決するための手段】
【０００９】
このことに基づき、特に車両のための、制御装置の量産型ソフトウェアの機能を拡張する方法であって、
−外部ハードウェア装置が接続可能なインタフェースと、量産型ソフトウェアが格納されている不揮発性の量産型ソフトウェア・記憶領域と、揮発性のアップロード・記憶領域とを有する制御装置、を準備する工程と、
−インタフェースに、アップロード・ソフトウェアが格納されている外部ハードウェア装置を接続する工程と、
−外部ハードウェア装置から制御装置の揮発性のアップロード・記憶領域へと、アップロード・ソフトウェアをロードする工程と、
−アップロード・記憶領域においてアップロード・ソフトウェアを実行する工程であって、その際、アップロード・ソフトウェアの実行によって、量産型ソフトウェアの機能が、診断および／または検査機能の分だけ拡張される、アップロード・記憶領域においてアップロード・ソフトウェアを実行する工程と、
を有する、特に車両のための、制御装置の量産型ソフトウェアの機能を拡張する方法が構想されている。
【００１０】
本発明に基づく制御装置は、
−外部ハードウェア装置が接続可能なインタフェースと、
−量産型ソフトウェアが格納されている不揮発性の量産型ソフトウェア・記憶領域と、
−揮発性のアップロード・記憶領域であって、インタフェースと接続されており、かつ、インタフェースを介して、外部ハードウェア装置から、量産型ソフトウェアの機能を診断および／または検査機能の分だけ拡張するアップロード・ソフトウェアがロードされる、揮発性のアップロード・記憶領域と、
−外部ソフトウェア装置から制御装置の不揮発性のアップロード・記憶領域へとアップロード・ソフトウェアをロードする手段と、
を含んでいる。
【００１１】
外部ハードウェア装置は、特に診断装置として構成されることが可能である。アップロード・ソフトウェアをロードするための手段は、特に、以下に記載のアップロード・ハンドラによって実現可能である。アップロード・ハンドラは、自身のために設けられた記憶領域へのアップロード・ソフトウェアのロードを調整する。
【００１２】
本発明の基礎を成す構想は、制御装置のＲＡＭ記憶装置に拡張ソフトウェア（アップロードソフトウェア）をロードすることによって、量産型ソフトウェアの、および特に診断および／または検査機能の必要に適った拡張を達成することにある。このことによって、簡単な方法で、特に、コストを掛けて量産型ソフトウェアを交換せずに、診断または検査機能の分だけ制御装置を拡張することが達成される、という本質的な利点が生まれる。
【００１３】
更なる別の利点として、まれにしか利用されない機能は、必要な場合にのみロードされればよいことが挙げられる。例えば、量産型ソフトウェアではなく必要な場合にロードされるアップロード・ソフトウェアにおいて、車両運用の間にではなく診断または待機においてのみ呼び出される診断機能、を設けることが可能である。従って、量産型ソフトウェアに全診断および検査機能が設けられる場合に比べて、リソースが著しく節約される。
【００１４】
本発明に基づく方法の更なる別の利点は、制御装置を変更することなく、本方法が実行可能であることにある。
【００１５】
アップロード・ソフトウェアが、アップロード・ソフトウェアの実行中に、量産型ソフトウェアの所定のパラメータにアクセスする場合に、有利である。量産型ソフトウェアの動作、特に量産型ソフトウェアの実行時の動作が、アップロード・ソフトウェアの実行に作用されない場合に、特に有利である。このことは、例えば、拡張された機能が車外で実現される場合には、すなわち、拡張ソフトウェアが例えば診断装置で駆動し、対応するデータリンクを介して、制御装置と診断装置との間でデータが交換される場合には可能ではない。この場合、データ伝送に必要な時間によって、実行時の動作にエラーが生じる。これに対して、本発明に基づく方法によって、好適な実時間動作が達成される。
【００１６】
本発明の実施形態において、アップロード・ソフトウェアは、外部ハードウェア装置が制御装置に接続されている限りにおいて実行される。従って、アップロード・ソフトウェアが誤って作動されえないことが保障される。
【００１７】
本発明の好適な実施形態において、前記アップロード・ソフトウェアが認証ユニットにより認証される更なる別の工程が設けられている。従って、アップロード・ソフトウェアをロードする機能が、誤って（車両のチューニング等）利用されないことが保障される。
【００１８】
アップロード・ソフトウェアが、外部ハードウェア装置から制御装置の揮発性のアップロード・記憶領域へのロードの際に、ダミー・アップロード・ソフトウェアと入れ換わり、ダミー・アップロード・ソフトウェアの実行時の動作が、アップロード・ソフトウェアの実行時の動作と同じであることは、有利である。従って、制御装置の実行時の動作は、アップロード・ソフトウェアがインストールされているか否かに依存しないことが保障される。
【００１９】
本発明の好適な実施形態において、アップロード・ソフトウェアの実行後に、アップロード・ソフトウェアが削除される、および／または、アップロード・ソフトウェアが、ダミー・アップロード・ソフトウェアと入れ換わる更なる別の工程が設けられており、ダミー・アップロード・ソフトウェアの実行時の動作は、アップロード・ソフトウェアの実行時の動作と同じである。これは、アップロード・ソフトウェアが誤って作動されることが可能ではなく、かつ、制御装置の実行時の動作はアップロード・ソフトウェアがインストールされているか否かに依存しないことを保障するための、更なる別の措置である。
【００２０】
制御装置の好適な実施形態において、外部ハードウェア装置からアップロード・記憶領域へとロードする際に、アップロード・ソフトウェアを認証する認証ユニットがさらに設けられている。従って、アップロード・ソフトウェアをロードする機能が、誤って（車両のチューニング等）利用されないことが保障される。
【００２１】
制御装置の好適な実施形態において、アップロード・記憶領域にダミー・アップロード・ソフトウェアが格納されており、ダミー・アップロード・ソフトウェアの実行時の動作が、アップロード・ソフトウェアの実行時の動作に対応しており、ダミー・アップロード・ソフトウェアは、外部ハードウェア装置から制御装置の揮発性のアップロード・記憶領域へのロードの際に入れ換えられる。これにより、制御装置の実行時の動作は、アップロード・ソフトウェアがインストールされているか否かに依存しないことが保障される。
【発明を実施するための最良の形態】
【００２２】
全図において、同一または機能が同一の構成要素には、他に記載がない限り同一の符号が付されている。
【００２３】
図１は、本発明の一実施形態に基づく制御装置１００の構成図である。制御装置１００には、診断装置２００が接続されている。本例において、制御装置１００は、（図示されていない）車両内に設けられている。
【００２４】
制御装置１００は、不揮発性記憶装置１１０と、揮発性記憶装置１２０と、マイクロプロセッサ１３０と、インタフェース１４０とを含んでいる。不揮発性記憶装置１１０は、特に、フラッシュメモリとして構成されていることが可能である。このフラッシュメモリ１１０には、工場で開発された、車両の機能ユニットを制御する量産型ソフトウェアが格納されている。その際、量産型ソフトウェアは、公知の方法でマイクロプロセッサ１３０にロードされ、実行される。
【００２５】
揮発性記憶装置１２０は、ＲＡＭ記憶装置である。ＲＡＭ記憶装置は、第１記憶領域１２０Ａと、第２記憶領域１２０Ｂとを有している。第１記憶領域１２０Ａは、例えば、量産型ソフトウェアによって、関数の値またはパラメータを格納するために利用される。第２記憶領域１２０B（以下、「アップロード・記憶領域」とも呼ばれる）には、量産型ソフトウェアの機能を拡張するアップロード・ソフトウェア、が格納可能である。
【００２６】
フラッシュメモリ１１０およびＲＡＭ記憶装置１２０は、ＣＡＮインタフェース等として実現可能なインタフェース１４０と接続されている。このインタフェース１４０は、開発ツールに接続されることが可能である。開発ツールによって、量産型ソフトウェアがフラッシュメモリ１１０にロードされることが可能である。車両への制御装置１００の組込みに基づいて、インタフェース１４０は、（詳細に示されていない）診断ソケットと接続されている。診断ソケットには、例えば診断装置２００が接続されることが可能である。このようにして、図１に示される構成が完成する。
【００２７】
図１に示されるように、診断装置２００は、記憶装置２１０と、ディスプレイ２２０と、入力装置２３０（キーボード等）と、インタフェース２４０とを含み、例えば、ＰＣ、ラップトップ等によって実現可能である。記憶装置２１０には、特別な開発環境で開発されたアップロード・ソフトウェアが格納されている。このアップロード・ソフトウェアは、例えば、既に制御装置１００にインストールされた量産型ソフトウェアには含まれない診断機能または検査機能、を含むことが可能である。特に、このような診断または検査機能は、量産型ソフトウェアの引渡しの後にも開発されることが可能である。入力装置２３０に入力される命令によって、アップロード・ソフトウェアは、インタフェース２４０および１４０を介してアップロード・記憶領域１２０Ｂへとロードされることが可能である。従って、フラッシュメモリ１１０内に存在する量産型ソフトウェアが補完される。アップロード・ソフトウェアによって（または量産型ソフトウェアによっても）、故障診断の枠組みにおいて測定された測定値または解析結果等が、ディスプレイ２２０に表示されることが可能である。しかし、代替的な実施形態において、アップロード・ソフトウェアのロード後に、制御装置１００から診断装置２００を切り離し、故障診断中に測定された測定値等を適切な記憶装置（ドライブ・レコーダー等）に格納し、後の時点に読出し、解析することも可能である。
【００２８】
図２は、上記の制御装置１００の量産型ソフトウェアの機能を拡張する典型的な方法における、データおよび情報フローを示す説明図である。アップロード・ソフトウェアＵＳＷは、特別な開発環境３００において製造される。この開発環境は、アップロード・ソフトウェアＵＳＷが、量産型ソフトウェアの正常のシーケンスに干渉せず、従って、量産型ソフトウェアのシーケンスの動作に誤りが生じることを保障する。特に、開発環境３００は、アップロード・ソフトウェアＵＳＷが量産型ソフトウェアに対して無許可のアクセスを行なわないことを保障する。このことは例えば、アップロード・ソフトウェアＵＳＷに、所定のパラメータ（変数および関数等）に対する読出しアクセス、および、ＲＡＭ記憶領域の所定の領域に対する書き込みアクセスのみを許可することによって実現可能である。
【００２９】
開発環境３００から診断テスタ２００への転送、および制御装置１００への診断テスタ２００の接続の後に、アップロード・ソフトウェアＵＳＷは、制御装置１００の実行時環境１４０を介して、アップロード・記憶装置１２０Ｂへとロードされることが可能である。その際、アップロード・ソフトウェアＵＳＷのロードは、アップロード・ハンドラによって調整される。アップロード・ハンドラは、アップロード・ソフトウェアＵＳＷが独自のために設けられた記憶領域にロードされることを保障する。アップロード・ハンドラは、特に、制御装置１００の駆動システム１５０の一部として構成されることが可能であり、かつ、アップロード・ソフトウェアによって量産型ソフトウェアの一時的な拡張が達成可能であるように提供される仕組みである。
【００３０】
アップロード・記憶領域１２０Ｂへのアップロード・ソフトウェアＵＳＷのロードの間に、認証装置１６０によって、アップロード・ソフトウェアの認証が行なわれる。この認証装置１６０の機能は、アップロード・ハンドラによっても遂行可能である。制御装置１００により実行されたソフトウェアを操作することによって、例えば、車両の性能を向上させる（チューニング）ことが可能である。いずれにせよ、これにより道路交通での安全性リスクが高まるため、明確な保障および責務に鑑みると製造者にとっては都合が良くない。従って、アップロード機能が、制御装置１００により実行されたソフトウェアの、第三者による無資格の変更（チューニング）を引き起こさないことを、認証装置１６０によるアップロード・ソフトウェアの認証によって保障する必要がある。このような操作に対する簡単な防護が、パスワードの利用によって達成されうる。防護のために、フラッシュメモリ１１０にはパスワードが格納され、かつ、アップロード・記憶装置１２０Ｂへのアップロード・ソフトウェアの書き込みは、診断装置２００またはアップロード・ソフトウェアから正しいパスワードが提示された場合にのみ、認証装置１６０によって許可される。より改良された防護は、証明書および非対称な暗号方式の使用によって達成される。その際、伝送されるソフトウェアは、認証局の秘密鍵によって、すなわち、ここではアップロード・ソフトウェアの製造者によって署名されており、制御装置の側で、対応する公開鍵によって検証されることが可能である。
【００３１】
アップロード・ソフトウェアＵＳＷのロードの後に、これが制御装置１００で実行される。その際、アップロード・ソフトウェアＵＳＷは、所定のパラメータ、またはインタフェース１７０に対してアクセスすることが可能である。例えば、アップロード・ソフトウェアＵＳＷは、量産型ソフトウェアに対して読出しアクセスすることが可能であり、かつ、ＲＡＭ記憶装置１２０の特定領域に書き込みアクセスを行なうことが可能である。このようなアクセス権の他に、システムリソース（伝送帯域幅等）に関する基本条件も考慮される。従って、量産型ソフトウェアが、アップロード・ソフトウェアによって、無許可では作用されないことが保障される。
【００３２】
アップロード・ソフトウェアの実行は、アップロード・ハンドラによって制御される。そのため、アップロード・ハンドラは、各他の制御装置機能のように駆動システムに登録されており、従って駆動システムにより呼び出される。駆動システムによるアップロード・ハンドラの呼び出しは、迅速な応答を実現するために、割込み制御で行なわれることが可能である。しかし通常では、駆動システムの対応するスケジューリングによって行なわれる。アップロード・ソフトウェアのロードの際に、アップロード・ハンドラによって内部状態が設定される。内部状態は、アップロード・ソフトウェアが使用可能であり、かつ、どこでアップロード・ソフトウェアが使用可能なのか、について示している。駆動システムによってアップロード・ハンドラが呼び出される場合、アップロード・ハンドラはこの状態を検出し、場合によってはアップロード・ソフトウェアを実行する。これは、アップロード・ハンドラが、アップロード・ソフトウェアまたはアップロード・ソフトウェアの対応する構成要素への、プログラムシーケンスの分岐を引き起こすことによって、行なわれることが可能である。
【００３３】
記憶領域１２０Ｂへのアップロード・ソフトウェアＵＳＷのロードの前に、そこには、（ノーオペレーション・コード等の）ダミー・アップロード・ソフトウェアＤＵＳＷが設けられている。これは、後にロードされるアップロード・ソフトウェアＵＳＷと同じ実行時の特徴を有している。通常の車両運用の間に、駆動システムまたはアップロード・ソフトウェアによって、ダミー・アップロード・ソフトウェアＤＵＳＷが呼び出され、実行される。すなわち、ダミー・アップロード・ソフトウェアによって、アップロード・ソフトウェアがロードされているか否かに関係なく、量産型ソフトウェアの実行時の動作が同じであることが保障される。従って、ダミー・アップロード・ソフトウェアは、後に開発されるべきアップロード・ソフトウェアの仕様も決定する。換言すると、ダミー・アップロード・ソフトウェアによって、量産型ソフトウェアの実行における、特定の実行時間が確保される。アップロード・ソフトウェアは、この実行時間を超過しないという条件で開発される。ダミー・アップロード・ソフトウェアによって、アップロード・記憶装置１２０Ｂ内の特定の記憶領域に対応する、異なる長さの複数の時間ブロックを確保することも可能である。この場合、アップロード・ソフトウェアは、アップロード・ハンドラによって、独自の実時間に対応する記憶領域に格納される。
【００３４】
図３は、本発明に基づく方法の実施形態のフローチャートを示している。
【００３５】
工程Ｓ１では、上記の制御装置１００および上記の診断テスタ２００が準備される。その際典型的に、制御装置１００は、既に特定の走行距離を走行した車両に組み込まれている。その際、制御装置１００の量産型ソフトウェアにおいて対応する診断機能が提供されていない故障が、車両に発生する可能性がある。このような機能は、ここに記載される方法によって提供され、従ってこのような故障の厳密な解析が可能になる。さらに、通常の車両運用においては実行出来ない、または実行するべきではない診断機能を実現することも可能である。このような機能の例として、シリンダの圧縮を検査するための圧縮検査が挙げられる。このような検査において、噴射が非作動され、センサを介してシリンダの圧縮が逆推理される。従って、このような検査も、修理工場での診断において実行される。このような通常の車両運用では実行されない機能のための本方法を利用することによって、量産型ソフトウェア内での対応する記憶場所を節約することが可能になる。本方法は、すなわち、ルーチン待機において、または、車両における明らかな故障または推測される故障に基づいても、実行されることが可能である。本方法は、特に、認可された修理工場で実行するのに適しており、そこでの解析を容易にする。
【００３６】
工程Ｓ２では、各インタフェースを接続することによって、制御装置１００に、アップロード・ソフトウェアＵＳＷが格納されている診断テスタ２００が接続される。例えば、診断テスタ２００は、そのために車両に設けられた診断ソケットに接続されることが可能である。
【００３７】
工程Ｓ３では、診断テスタ２００によって、制御装置１００のアップロード・記憶領域１２０Ｂに、アップロード・ソフトウェアＵＳＷがロードされる。そのために、アップロード・ソフトウェアＵＳＷは、診断テスタ２００によってアップロード・記憶領域１２０Ｂに複写され、そこに格納される。このロード工程は、上記のアップロード・ハンドラによって制御される。
【００３８】
工程Ｓ４では、アップロード・ソフトウェアＵＳＷの認証（出所証明）が行なわれる。これは、例えば上記のように証明書を用いて、すなわち、あらかじめ記憶装置１１０に格納された所属する公開鍵によって、秘密鍵により符号化された（または署名された）アップロード・ソフトウェアを解読することによって、行なわれることが可能である。適切な認証アルゴリズムの詳細に関しては、例えば、ブルース  シュナイアー（Ｂｒｕｃｅ  Ｓｃｈｎｅｉｅｒ）著「応用暗号技術（Ａｐｐｌｉｅｄ  Ｃｒｙｐｔｏｇｒａｐｈｙ）」、ジョン・ウィリー・アンド・サンズ（Ｊｏｈｎ  Ｗｉｌｅｙ  ＆  Ｓｏｎｓ）、１９９６年に記載されている。
【００３９】
工程Ｓ５では、工程Ｓ４における認証が成功したかについて検査される。認証が成功した場合には、本方法は工程Ｓ６に進む。認証が成功しなかった場合には、本方法は中止される。
【００４０】
工程Ｓ６では、アップロード・ソフトウェアが、診断装置２００のキーボード２３０への対応する入力によって作動される。
【００４１】
工程Ｓ７では、診断装置２００が未だに制御装置１００に接続されているかについて検査される。該当する場合には、本方法は工程Ｓ８に進む。該当しない場合には、本方法は中止される。従って、アップロード・ソフトウェアが、例えばハードウェアの故障等によって、通常の車両運用の間に実行されず、診断駆動においてのみ実行可能であることが保障される。
【００４２】
工程Ｓ８では、アップロード・ソフトウェア（または、アップロード・ソフトウェアのプログラムブロック等の一部）が、アップロード・記憶領域１２０Ｂで実行される。アップロード・ソフトウェアによって、量産型ソフトウェアの機能が、診断機能の分だけ拡張される。診断機能は、例えば診断装置２００によって、キーボート２３０への対応する入力により呼び出されることが可能である。
【００４３】
工程Ｓ９では、中止条件が検査される。すなわち、例えば、診断装置２００でアップロード・ソフトウェアを終了するための入力が行なわれたかどうか検査される。該当する場合には、本方法工程Ｓ１０に進む。該当しない場合には、本方法は工程Ｓ７に戻る。
【００４４】
工程Ｓ１０では、アップロード・ソフトウェアＵＳＷがアップロード・記憶領域１２０Ｂから削除され、ダミー・アップロード・ソフトウェアと入れ替えられる。
【００４５】
上記の方法によって、制御装置１００の診断または検査機能が、簡単な方法で、すなわち特に、コストを掛けて量産型ソフトウェアを交換せずに拡張されることが可能である。上記の方法の更なる別の利点は、制御装置が変更されずに実行されることにある。
【００４６】
本発明は、上記のとおり好適な実施形態を用いて記載されているが、好適な実施形態に限定されず、多様な形式および形態に変更可能である。
【００４７】
例えば、上記の例では、外部ハードウェア装置は診断テスタとして構成されている。しかし、対応する機能が具備されたドライブ・レコーダとしても構成可能である。
【００４８】
さらに、上記の例では、アップロード・記憶装置１２０Ｂに、符号化されたアップロード・ソフトウェアがロードされた後に初めて、認証が実行される。しかし、最初にハンドシェークによって（例えばパスワードを用いて）診断装置２００の認可を実行し、その後に初めてアップロード・ソフトウェアをロードすることも可能である。
【図面の簡単な説明】
【００４９】
本発明は、以下において、添付の図に示される実施形態を用いて詳細に解説される。
【図１】本発明の、本発明の実施形態に基づく制御装置の構成図を示しており、制御装置には診断装置が接続されている。
【図２】本発明に基づく方法のデータおよび情報フローを示す、説明図を示している。
【図３】本発明に基づく方法の一実施形態のフローチャートを示している。
【図１】
2009533736.tif 000003
【図２】
2009533736.tif 000004
【図３】
2009533736.tif 000005
【国際調査報告】
2009533736.tif 000006
2009533736.tif 000007
2009533736.tif 000008
2009533736.tif 000009