(57)【要約】【課題】  ブランク品の不揮発性メモリであっても、特別な書込み装置を必要とせず、既に認証情報等が書き込まれている不揮発性メモリと同様にデータの書換えを行うことができる電子制御装置を提供する。【解決手段】  ＥＣＵは、メモリライタがフラッシュＲＯＭの書換えを開始する場合（ステップＡ１）フラッシュＲＯＭがブランク品か判定し（ステップＢ３）、非ブランク品であればフラッシュＲＯＭに記憶されている通信識別子及び認証情報を読み出して（ステップＢ４）、メモリライタより送信された通信識別子等（ステップＡ２）と照合した結果に応じて書換えを許可する（ステップＢ６）。また、ＥＣＵは、ブランク品であれば予めマスクＲＯＭに記憶している仮通信識別子等を読み出し（ステップＢ５）、メモリライタより送信されたものと夫々照合して（ステップＢ６）両者が一致すれば（ＹＥＳ）書換え処理への移行を許可する（ステップＢ９，Ｂ１０）。【選択図】  図１
2006079168.tif 000002
【特許請求の範囲】
【請求項１】
データの書き換えが可能な不揮発性メモリを備え、通常時には、前記不揮発性メモリに格納された制御プログラム及び制御データに従って所定の制御対象を制御し、メモリ書換え装置からの書き換え指令を受けた場合には、前記不揮発性メモリに格納されている制御プログラム等の一部又は全部を、外部から送信される新たな制御プログラム等に書き換えるための書換え処理に移行する電子制御装置において、
前記メモリ書換え装置が、前記不揮発性メモリの書き換えを開始しようとすると、前記不揮発性メモリがブランク品であるか否かを判断し、
前記不揮発性メモリが非ブランク品である場合には、前記メモリ書換え装置より送信された前記電子制御装置の制御対象を示す制御対象識別情報及び当該メモリ書換え装置を特定するための書換え装置識別情報が、前記不揮発性メモリに記憶されている夫々の識別情報と一致しているか否かを判定し、各識別情報が夫々一致している場合にのみ、前記書換え処理への移行を許可し、
前記不揮発性メモリがブランク品である場合は、当該メモリに対する制御プログラム等の書換え処理への移行を、ブランク品に対応する特別の認証処理を実行した上で許可する書換え許可手段を備えことを特徴とする電子制御装置。
【請求項２】
前記書換え許可手段は、
前記ブランク品に対応して使用するための仮制御対象識別情報及び仮書換え装置識別情報を記憶しており、
前記不揮発性メモリがブランク品である場合は、メモリ書換え装置より送信された各識別情報を予め記憶している各仮識別情報と照合して、両者が一致した場合に当該メモリに対する書換え処理への移行を許可することを特徴とする請求項１記載の電子制御装置。
【請求項３】
前記不揮発性メモリがブランク品である場合に前記書換え許可手段が書換えを許可すると、前記不揮発性メモリが非ブランク品であることを示すための特定データを当該メモリの特定領域に書き込み、
前記不揮発性メモリがブランク品であるか否かを判定する場合は、前記特定領域に格納されているデータの状態に基づいて判定を行なうことを特徴とする請求項１又は２記載の電子制御装置。
【請求項４】
データの書き換えが可能な不揮発性メモリを備え、通常時には、前記不揮発性メモリに格納された制御プログラム及び制御データに従って所定の制御対象を制御し、メモリ書換え装置からの書き換え指令を受けた場合には、前記不揮発性メモリに格納されている制御プログラム等の一部又は全部を、外部から送信される新たな制御プログラム等に書き換えるための書換え処理に移行する電子制御装置のメモリ書換え方法において、
前記メモリ書換え装置が、前記不揮発性メモリの書き換えを開始しようとすると、前記不揮発性メモリがブランク品であるか否かを判断し、
前記不揮発性メモリが非ブランク品である場合には、前記メモリ書換え装置より送信された前記電子制御装置の制御対象を示す制御対象識別情報及び当該メモリ書換え装置を特定するための書換え装置識別情報が、前記不揮発性メモリに記憶されている夫々の識別情報と一致しているか否かを判定し、各識別情報が夫々一致している場合にのみ、前記書換え処理への移行を許可し、
前記不揮発性メモリがブランク品である場合は、当該メモリに対する制御プログラム等の書換え処理への移行を、ブランク品に対応する特別の認証処理を実行した上で許可することを特徴とする電子制御装置のメモリ書換え方法。
【請求項５】
前記ブランク品に対応して使用するための仮制御対象識別情報及び仮書換え装置識別情報を記憶しており、
前記不揮発性メモリがブランク品である場合は、メモリ書換え装置より送信された各識別情報を予め記憶している各仮識別情報と照合して、両者が一致した場合に当該メモリに対する書換え処理への移行を許可することを特徴とする請求項４記載の電子制御装置のメモリ書換え方法。
【請求項６】
前記不揮発性メモリがブランク品である場合に書換えを許可すると、前記不揮発性メモリが非ブランク品であることを示すための特定データを当該メモリの特定領域に書き込み、
前記不揮発性メモリがブランク品であるか否かを判定する場合は、前記特定領域に格納されているデータの状態に基づいて判定を行なうことを特徴とする請求項４又は５記載の電子制御装置のメモリ書換え方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、メモリ書換え装置からの書き換え指令を受けた場合には、不揮発性メモリに格納されている制御プログラム等の一部又は全部を、送信される新たな制御プログラム等に書き換える処理に移行する電子制御装置、及び電子制御装置のメモリ書換え方法に関する。
【背景技術】
【０００２】
例えば、特許文献１には、ＥＣＵ（マイクロコンピュータ）に搭載されているフラッシュＲＯＭに記憶されている制御プログラムをメモリ書換え装置が書き換える場合に、その制御プログラムに適合する制御対象を示す識別コードを送信し、ＥＣＵ側は、メモリ書換え装置より送信された識別コードと自己の制御対象を示す識別コードとが一致している場合にのみ、フラッシュＲＯＭを書き換えるための処理を実行するようにしたメモリ書換えシステムが開示されている。
この特許文献１において使用される「識別コード」は、制御プログラムの制御対象、若しくはその制御プログラム自体を特定するための認証に用いる情報として、認証情報と定義する。
【０００３】
また、特許文献２には、夫々がフラッシュメモリを有する２つのマイコンを備え、双方のマイコンが１つの通信ラインを共用して外部とデータ通信を行う場合に、外部装置より送信される識別コードが自分の識別コードと一致している場合は、当該外部装置より送信される書込みデータを受信してフラッシュメモリに書き込む処理を実行する電子制御装置が開示されている。
この特許文献２において使用される「識別コード」は、特許文献１のように制御プログラムの制御対象等を特定するものではなく、フラッシュメモリのデータ書換えを行う主体としての外部装置を認証するために用いる情報であり、一般的に言えば通信識別子と同様の情報である。
【特許文献１】特開平９−１３４３０７号公報
【特許文献２】特開平１０−１７１６４４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、特許文献１，２のように、認証情報や通信識別子を用いてフラッシュメモリに書込みを行う装置は、書込み対象であるフラッシュメモリには、認証情報や通信識別子が予め記憶されていることを前提としており、フラッシュメモリが全くデータの書込みが行われていない状態の所謂ブランク品である場合には、書き込むことができない。従って、ブランク品のフラッシュメモリにデータを書き込む場合には、別の書込み装置を用いて認証情報や通信識別子だけを書き込む必要があった。
【０００５】
本発明は上記事情に鑑みてなされたものであり、その目的は、ブランク品の不揮発性メモリであっても、特別な書込み装置を使用することなく既に認証情報等が書き込まれている不揮発性メモリと同様にデータの書換えを行うことができる電子制御装置、及び電子制御装置のメモリ書換え方法を提供することにある。
【課題を解決するための手段】
【０００６】
請求項１記載の電子制御装置によれば、メモリ書換え装置が不揮発性メモリの書換えを開始しようとする場合に当該メモリがブランク品であるか否かを判定し、ブランク品である場合は、当該メモリに対する制御プログラム等の書換え処理への移行を、ブランク品に対応する特別の認証処理を実行した上で許可する。
斯様に構成すれば、電子制御装置側の不揮発性メモリがブランク品であり、制御対象識別情報及び書換え装置識別情報が未だ記憶されていない状態であっても、特別の認証処理によりメモリ書換え装置による制御プログラム等の書換えが可能となる。従って、従来とは異なり、ブランク品の不揮発性メモリについて別の書込み装置を使用して書込みを行う必要がなくなり、作業効率を向上させることができる。
【０００７】
請求項２記載の電子制御装置によれば、書換え許可手段は、不揮発性メモリがブランク品である場合は、メモリ書換え装置より送信された各識別情報を予め記憶している各仮識別情報と照合して、両者が一致した場合に当該メモリに対する書換え処理への移行を許可する。従って、仮識別情報を把握している者だけがブランク品である不揮発性メモリへの書込みを行うことができるので、セキュリティを保証することができる。
【０００８】
請求項３記載の電子制御装置によれば、不揮発性メモリがブランク品である場合に書換え許可手段が書換えを許可すると、その不揮発性メモリが非ブランク品であることを示すための特定データを当該メモリの特定領域に書き込み、前記不揮発性メモリがブランク品であるか否かを判定する場合は、特定領域に格納されているデータの状態に基づいて判定を行なう。即ち、電子制御装置は、不揮発性メモリの特定領域を参照すれば、特定データが格納されているか否かに応じてブランク品判定を簡単に行うことができる。
【発明を実施するための最良の形態】
【０００９】
以下、本発明を、電子制御装置として車両制御用のＥＣＵ(Electronic Control Unit)に適用した場合の一実施例について図面を参照して説明する。図２は、メモリ書換えシステムの電気的構成を示す機能ブロック図である。ＥＣＵ（マイクロコンピュータ）１は、ＣＰＵ（書換え許可手段）２，マスクＲＯＭ３，フラッシュＲＯＭ（不揮発性メモリ）４，その他の機能ブロック（周辺回路）５，６などで構成されており、それらはバスを介して接続されている。このＥＣＵ１は、例えば車両のイモビライザとして動作したり、パワーウインドウを制御するものなどであり、フラッシュＲＯＭ４には、各機能に応じた制御プログラムや制御プログラム中で使用されるデータなどが記憶される。
【００１０】
一方、メモリライタ（メモリ書換え装置）７は、フラッシュＲＯＭ４に書き込ませるプログラムやデータをＥＣＵ１側に送信するものであり、ＣＰＵなどを含んで構成される制御装置８，フラッシュＲＯＭ４に対する書換え用のプログラム１５などが記憶保持される記憶装置９等を備えている。そして、メモリライタ７の制御装置８とＥＣＵ１のＣＰＵ２とは、夫々に搭載されている通信回路１０，１１を介して例えばシリアル通信を行うようになっている。また、ＥＣＵ１のマスクＲＯＭ３には、フラッシュＲＯＭ書換え制御プログラム１２や、後述する仮通信識別子（書換え装置識別情報）１３，仮認証情報（制御対象識別情報）１４などが記憶されている。
【００１１】
ここで、図３には、既に書込みが行われている（即ち、非ブランク品の）フラッシュＲＯＭ４のメモリイメージの一例を示す。書込み済みのフラッシュＲＯＭ４には、ブランク判定領域（特定領域）に、非ブランク品であることを示す特定データ（ＮＯブランクデータ）がセットされている。通信識別子１６は、フラッシュＲＯＭ４に対するデータの書込みを許容するメモリライタを識別するための数バイトのデータである。また、認証情報１７は、フラッシュＲＯＭ４に書き込まれるべき制御プログラム、若しくはその制御プログラムによって制御される制御対象を特定するための数１０バイト程度のデータである。そして、残りの領域には、制御プログラム／データが格納されている。
【００１２】
次に、本実施例の作用について図１も参照して説明する。図１は、ＥＣＵ１が、メモリライタ７からの要求に応じてフラッシュＲＯＭ４の書き換えを行なう場合の手順を示すシーケンス図である。メモリライタ７は、先ず書き換え処理の開始を示すメッセージを、通信回路１０，１１を介してＥＣＵ１側に送信する（ステップＡ１）。すると、ＥＣＵ１のＣＰＵ２は、マスクＲＯＭ３に記憶されている書換え制御プログラム１２を起動する（ステップＢ１）。
【００１３】
続いて、メモリライタ７側では、ユーザが、フラッシュＲＯＭ４に書き込むために必要な通信識別１６子及び認証情報１７を入力する。尚、フラッシュＲＯＭ４がブランク品である場合は、ＥＣＵ１のマスクＲＯＭ３に記憶されている仮通信識別子１３及び仮認証情報１４を入力する（従って、これらの情報を予め知り得ないユーザには、フラッシュＲＯＭ４の書き換えを行なうことはできない）。すると、メモリライタ７の制御装置８は、入力された通信識別子及び認証情報をＥＣＵ１側に送信する（ステップＡ２）。
【００１４】
ＥＣＵ１のＣＰＵ２は、メモリライタ７側より送信された通信識別子及び認証情報を受信すると（ステップＢ２）、フラッシュＲＯＭ４がブランク品であるか否かを判定する（ステップＢ３）。ブランク品かどうかの判定は、以下のように行なう。一般に、ブランク品のフラッシュＲＯＭのデータはオール「１」となっているので（図２参照）、図３に示すように、フラッシュＲＯＭ４の所定のアドレスをブランク判定用の領域に定めておく。
【００１５】
そして、後述するステップＢ１１，Ｂ１２のように、メモリライタ７がブランク品のフラッシュＲＯＭに書込みを行った場合には、ブランク判定領域に非ブランク品であることを示す特定データ（例えば、５５ＡＡｈなど）をセットするようにしておく。従って、ＣＰＵ２がフラッシュＲＯＭ４のブランク判定領域のデータを読み出せば、ブランク品かどうかの判定が可能となる。
【００１６】
フラッシュＲＯＭ４がブランク品でない場合（ステップＢ３，「ＮＯ」）、図３に示すように、通信識別子１６及び認証情報１７はフラッシュＲＯＭ４に既に書き込まれているので、ＥＣＵ１のＣＰＵ２は、フラッシュＲＯＭ４より通信識別子１６及び認証情報１７を読み出す（ステップＢ４）。そして両者が夫々一致するか照合を行い（ステップＢ６）、照合結果が「ＯＫ」であれば（「ＹＥＳ」）、メモリライタ７側に「書換え許可」を示すメッセージを送信する（ステップＢ９）。一方、照合結果が「ＮＧ」であれば（ステップＢ６，「ＮＯ」）、メモリライタ７側に「書換え拒否」を示すメッセージを送信すると（ステップＢ７）、その時点での各ステータスをリセットして（ステップＢ８）処理を終了する。尚、図１では、照合結果が「ＯＫ」の場合を例とするため、「書換え拒否」のメッセージ送信は破線矢印で示している。
【００１７】
メモリライタ７は、ＥＣＵ１側より送信された「書換え許可」を示すメッセージを受信すると、書換えコマンドと共に、フラッシュＲＯＭ４に記憶されている制御プログラム／データを更新するためのプログラム１５やデータなどを送信する（ステップＡ３）。すると、ＥＣＵ１のＣＰＵ２は、書換えコマンドの受信に従ってフラッシュＲＯＭ４の書き換え処理を行ない、制御プログラム／データを更新する（ステップＢ１０）。
【００１８】
一方、ステップＢ３におけるブランク判定において、フラッシュＲＯＭ４がブランク品であると判定された場合（「ＹＥＳ」）、ＥＣＵ１のＣＰＵ２は、マスクＲＯＭ３に記憶されている仮通信識別子１３及び仮認証情報１４を読み出し（ステップＢ５）、メモリライタ７より送信され、受信した通信識別子及び認証情報と照合する（ステップＢ６）。そして、両者が一致し「ＯＫ」であった場合は（「ＹＥＳ」）、非ブランク品の場合と同様にステップＢ９，Ｂ１０を実行し、フラッシュＲＯＭ４の書換えを行う。
【００１９】
また、ＥＣＵ１のＣＰＵ２は、ステップＢ１０の実行後に、フラッシュＲＯＭ４がブランク品であったか否か、即ち、ステップＢ３における判定が「ＹＥＳ」，「ＮＯ」の何れであったかを判断し（ステップＢ１１）、ブランク品であった場合は（「ＹＥＳ」）、フラッシュＲＯＭ４の特定領域に「ＮＯブランクデータ」を書き込むようにする（ステップＢ１２）。
【００２０】
以上のように本実施例によれば、ＥＣＵ１は、メモリライタ７がフラッシュＲＯＭ４の書換えを開始しようとする場合にフラッシュＲＯＭ４がブランク品であるか否かを判定し、ブランク品である場合は、特別の認証処理として、メモリライタ７より送信された通信識別子及び認証情報と予めマスクＲＯＭ３に記憶されている仮通信識別子１３及び仮認証情報１４とを夫々照合し、両者が一致した場合にフラッシュＲＯＭ４に対する書換え処理への移行を許可するようにした。
【００２１】
従って、フラッシュＲＯＭ４がブランク品であり、通信識別子１６及び認証情報１７が未だ記憶されていない状態であってもメモリライタ７による制御プログラム等の書換えが可能となるので、従来とは異なり、ブランク品について別のメモリライタを使用して書込みを行う必要がなくなり、作業効率を向上させることができる。そして、仮通信識別子１３及び仮認証情報１４を把握しているユーザだけが、ブランク品のフラッシュＲＯＭ４に対する書込みを行えるので、セキュリティを保証することができる。
【００２２】
また、ＥＣＵ１は、ブランク品のフラッシュＲＯＭ４に対して仮通信識別子１３及び仮認証情報１４を用いた認証処理を行った上で書込みを行った場合、その書き込みによって当該フラッシュＲＯＭ４が非ブランク品となることを示す「ＮＯブランクデータ」をフラッシュＲＯＭ４のブランク判定領域に書き込み、ブランク品判定を行う場合は、ブランク判定領域に「ＮＯブランクデータ」が格納されているか否かによって判定するので、ブランク品判定を簡単に行うことができる。
【００２３】
本発明は上記し又は図面に記載した実施例にのみ限定されるものではなく、以下のような変形が可能である。
ＮＯブランクデータは、１ビットのフラグの有無を示すデータであっても良い。
要求されるセキュリティのレベルによっては、メモリライタ７の記憶装置９に、通信識別子１６及び仮認証情報１７，仮通信識別子１３及び仮認証情報１４を予め記憶させておき、ユーザが何れか選択した方をＥＣＵ１側に送信しても良い。
【００２４】
ブランク判定領域に「ＮＯブランクデータ」が格納されているか否かによってブランク品判定を行うものに限らず、通信識別子及び認証情報が所定の領域に記憶されているか否かによって判定を行っても良い。
「ブランク品に対応する特別の認証処理」とは上記実施例にて例示したものに限らず、書換え装置識別情報及び制御対象識別情報を用いる認証処理以外であれば、ブランク品である場合に実行するべき独特な方式を適宜定めて行えば良い。
【００２５】
不揮発性メモリは、ＥＥＰＲＯＭであっても良い。
電子制御装置は、車両用ＥＣＵに限ることなく、データの書き換えが可能な不揮発性メモリを備えるものであれば適用が可能である。
【図面の簡単な説明】
【００２６】
【図１】本発明を、車両制御用のＥＣＵに適用した場合の一実施例であり、ＥＣＵがフラッシュＲＯＭの書き換えを行なう場合の手順を示すシーケンス図
【図２】メモリ書換えシステムの電気的構成を示す機能ブロック図
【図３】非ブランク品であるフラッシュＲＯＭのメモリイメージの一例を示す図
【符号の説明】
【００２７】
図面中、１はＥＣＵ（電子制御装置）、２はＣＰＵ（書換え許可手段）、４はフラッシュＲＯＭ（不揮発性メモリ）、７はメモリライタ（メモリ書換え装置）、１３は仮通信識別子（仮書換え装置識別情報）、１４は仮認証情報（仮制御対象識別情報），１６は通信識別子（書換え装置識別情報）、１７は仮認証情報（制御対象識別情報）を示す。
【図１】
2006079168.tif 000003
【図２】
2006079168.tif 000004
【図３】
2006079168.tif 000005