(57)【要約】【課題】不揮発性メモリの記憶内容が毀損、喪失した場合に、その原因を特定して自己診断することができる車両制御装置を提供する。【解決手段】車両に搭載され、かつ不揮発性メモリと、不揮発性メモリとの間でデータの送受信を実行する制御手段と、不揮発性メモリと制御手段間のデータ送受信の媒介を行う不揮発性メモリアクセス手段とを備えた車両制御装置において、不揮発性メモリへのアクセスを監視する不揮発性メモリアクセス監視手段を備え、制御手段と不揮発性メモリ間の送受信による実行される不揮発性メモリへのデータ書き込みに異常が生じた場合に、不揮発性メモリアクセス手段及び不揮発性メモリアクセス監視手段を介して、その異常発生原因を検出して不揮発性メモリに記憶させる構成とした。【選択図】図１
2009199515.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載され、かつ不揮発性メモリと、該不揮発性メモリとの間でデータの送受信を実行する制御手段と、前記不揮発性メモリと制御手段間のデータ送受信の媒介を行う不揮発性メモリアクセス手段とを備えた車両制御装置において、
前記不揮発性メモリへのアクセスを監視する不揮発性メモリアクセス監視手段を備え、前記制御手段と前記不揮発性メモリ間の送受信による実行される前記不揮発性メモリへのデータ書き込みに異常が生じた場合に、前記不揮発性メモリアクセス手段及び前記不揮発性メモリアクセス監視手段を介して、その異常発生原因を検出して前記不揮発性メモリに記憶させる構成としたことを特徴とする車両制御装置。
【請求項２】
請求項１記載の車両制御装置において、前記不揮発性メモリアクセス手段は、前記不揮発性メモリアクセス監視手段により前記不揮発性メモリへのデータの送受信を行う制御手段をなすソフトウェアの異常動作が検出された場合には、その異常検出を前記不揮発性メモリに記憶させる車両制御装置。
【請求項３】
請求項１記載の車両制御装置において、前記不揮発性メモリアクセス手段は、前記不揮発性メモリアクセス監視手段により前記不揮発性メモリへのデータ受信において通信異常が検出された場合には、その異常検出を前記不揮発性メモリに記憶させる車両制御装置。
【請求項４】
請求項１記載の車両制御装置において、前記不揮発性メモリアクセス手段は、前記不揮発性メモリアクセス監視手段により前記不揮発性メモリへのデータの書き込み時に前記制御手段を動作させるソフトウェアの異常動作が検出された場合には、その異常検出を前記不揮発性メモリに記憶させ、前記不揮発性メモリへのデータ書込み時にそのデータの送受信の通信異常が検出された場合には、その異常検出を前記不揮発性メモリに記憶させる車両制御装置。
【請求項５】
請求項２または４記載の車両制御装置において、前記不揮発性メモリアクセス手段は、前記不揮発性メモリアクセス監視手段に前記不揮発性メモリへの書き込み要求が正当であるか照会を行い、該照会の結果、その書き込み要求が正当であった場合には、前記不揮発性メモリに前記ソフトウェアにより実行されるデータを書き込み、他方、前記書き込み要求が不当であった場合には、前記ソフトウェアに異常があること示す不正書込識別信号を前記不揮発性メモリに書き込む車両制御装置。
【請求項６】
請求項３または４記載の車両制御装置において、前記不揮発性メモリアクセス監視手段は、前記制御手段と前記不揮発性メモリとの通信線状態を監視し、前記不揮発性メモリに前記制御手段のデータ書き込み要求がないにもかかわらず、前記通信線状態がアクティブである場合に前記不揮発性メモリに通信異常があることを示す不正書込識別信号を書き込む車両制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両制御装置に関し、特に、不揮発性メモリの異常を自己診断する車両制御装置に関する。
【背景技術】
【０００２】
近年、車両制御装置においては、環境対応や安全性能といった自動車に求められる性能要求が高まるに伴い、自動車システムの部品のばらつき、経年劣化の学習制御、法規制に準拠した診断情報などのデータの記憶が行われるようになっている。車両制御装置は、電気的に書き換え可能な不揮発性の半導体メモリ(フラッシュメモリ、ＥＥＰＲＯＭ等)を備え、それらのデータを半導体メモリに記憶させている。
【０００３】
ところで、半導体メモリの記憶内容が何らかの原因で毀損、喪失すると、自動車システムにおける所期の動作を為さなくなる可能性がある。すなわち、部品のばらつきや経年劣化として学習してきた内容が毀損、喪失することにより、それまで適切に制御されていたシステムが制御不能に陥ったり、誤った動作を起こしたりする可能性がある。
【０００４】
そのため、不揮発性の半導体メモリを搭載した車両制御装置においては、不揮発性の半導体メモリが記憶している内容が異常であることを検出する自己診断をし、異常である場合にはあらかじめ定められた動作をするよう制御されるのが一般的である。
【０００５】
不揮発性メモリの自己診断を行う車両制御装置としては、例えば、パリティチェックなどの誤り検出機構及び復帰手段を備えたものがある（例えば、特許文献１参照）。また、半導体メモリの記憶領域を複数領域に分割したうえで、所定数の領域が同一値を記憶することをもって正常とみなし、それ以外領域を回復する機構を備えたものがある（例えば、特許文献２参照）。
【０００６】
【特許文献１】特開２００１−７３８６４号公報
【特許文献２】特開２００６−２８６１１１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
不揮発性の半導体メモリの記憶内容が毀損、喪失する原因としてはいくつかの要因が考えられる。ひとつは半導体メモリ上のデータが実際に毀損している場合である。データが実際に毀損した原因としては、半導体デバイス内部のウェハ、アッセンブリ上に故障が生じる場合と、半導体に微量に含まれている放射線元素から放出されるα線によりメモリ情報が毀損する場合などがある。いずれも半導体デバイス側の故障が原因で半導体メモリの記憶内容が毀損、喪失してしまっている状態である。
【０００８】
半導体メモリの記憶内容が毀損、喪失する２つ目の原因は、車両制御装置のＣＰＵ（制御手段）と半導体メモリとの間でデータを送受信する通信においてデータが毀損する場合である。半導体メモリと制御手段のどちらも正常動作していたとしても、半導体メモリと制御手段間でなされる通信において誤りが発生し、かつ誤りを訂正する機構を備えていない場合には誤ったデータが半導体メモリに記憶されるので、結果として半導体メモリの記憶内容が毀損しているのと同等な状態となる。
【０００９】
半導体メモリの記憶内容が毀損、喪失する３つ目の原因としては、制御手段上で動作し半導体メモリとのデータ送受信を制御するソフトウェアの動作異常も考えられる。何らかの原因でソフトウェアが異常動作を起こし、それによって制御手段が予期されるアドレスに対するデータ書込み以外のデータ書き込みを行う結果、予期しないデータが半導体メモリに記憶される場合である。
【００１０】
このように、不揮発性の半導体メモリの記憶内容が毀損、喪失する原因にはいくつかの要因が考えられる。しかしながら、従来の不揮発性の半導体メモリの異常を検出する車両制御装置においては、データの毀損・喪失の原因がいかなる事由であったとしてもそれを特定するのは不可能であった。すなわち、半導体メモリ（半導体デバイス）、制御装置上で動作するソフトウェア、半導体メモリと制御手段間の通信のいずれかに原因があったとしても、自己診断により検出されるのは半導体メモリ上の記憶異常であり、その直接的原因が何であったかまで区別して異常を検出することができなかった。
【００１１】
したがって、半導体メモリ上の記憶の異常により車両制御装置が動作不良に陥った場合でも、その直接的原因が分からないため、非常に困難な対策を迫られる。仮に車両制御装置を交換し、半導体デバイスや制御装置（ハードウェア）を入れ替えたとしても、その原因が制御手段上で動作するソフトウェアにあった場合には不具合の再発を抑止したことにはならない。
【００１２】
本発明の目的は、上記課題を解決すべく、不揮発性の半導体メモリの記憶内容が毀損、喪失した場合や、不正なデータが半導体メモリに記憶されかかった時に、その原因を特定して自己診断することができる車両制御装置を提供することにある。
【課題を解決するための手段】
【００１３】
上記目的を達成すべく本発明に係る車両制御装置は、車両に搭載され、かつ不揮発性メモリと、該不揮発性メモリとの間でデータの送受信を実行する制御手段と、前記不揮発性メモリと制御手段間のデータ送受信の媒介を行う不揮発性メモリアクセス手段とを備えた車両制御装置において、前記不揮発性メモリへのアクセスを監視する不揮発性メモリアクセス監視手段を備え、前記制御手段と前記不揮発性メモリ間の送受信による実行される前記不揮発性メモリへのデータ書き込みに異常が生じた場合に、前記不揮発性メモリアクセス手段及び前記不揮発性メモリアクセス監視手段を介して、その異常発生原因を検出して前記不揮発性メモリに記憶させる構成としたものである。
【００１４】
前記不揮発性メモリアクセス手段及び不揮発性メモリアクセス監視手段が検出できる書き込み異常の原因としては、例えば、前記不揮発性メモリへのデータの送受信を行う制御手段をなすソフトウェアの異常と、前記不揮発性メモリへのデータ送受信における通信異常と、前記不揮発性メモリ自体の異常がある。
【発明の効果】
【００１５】
本発明によれば、不揮発性メモリ、制御手段、或いは不揮発性メモリと制御手段間の通信経路のどこで発生したかを特定して異常を検知することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明の好適な実施形態を添付図面に基づいて説明する。
【００１７】
図１は本実施形態の車両制御装置を示す機能ブロック図である。
【００１８】
図１に示すように、車両制御装置１は、車両に搭載された車両用電子機器（ＥＣＵ：Electrical Control Unit）である。車両制御装置１は、エンジンや他の電装部品等の各部品に取り付けられたセンサ類２に接続され、センサ類２からの入力信号を検出（受信）する入力信号検出手段３と、エンジン等が備えるアクチュエータ類５に接続され、アクチュエータ類５を駆動する出力回路６と、入力信号検出手段３と出力回路６に接続され入力信号検出手段３からの信号に応じて適切な制御信号を生成し出力回路６に出力する制御手段４と、電気的に書き換え可能な不揮発性の半導体メモリ（以下、「不揮発性メモリ」と称する）９と、制御手段４と不揮発性メモリ９とのデータの媒介を行う不揮発性メモリアクセス手段１０と、不揮発性メモリ９と不揮発性メモリアクセス手段１０との間の通信線の状態及び不揮発性メモリアクセス手段１０を監視する不揮発性メモリアクセス監視手段１１と、不揮発性メモリアクセス手段１０と外部の通信バス７に接続され、外部ネットワークとの信号の送受信を行う外部通信手段８とを備える。
【００１９】
図２は、図１の車両制御装置１のハードウェア構成を示すブロック図である。
【００２０】
図２に示すように、車両制御装置１は、センサ類２及びアクチュエータ類５に接続される入出力インタフェース（Ｉ／Ｆ）１２と、外部の通信バス７に接続され車両制御装置外部機器との信号送受信を行う外部通信インタフェース（Ｉ／Ｆ）１３と、一時的情報を記憶する揮発性メモリであるＲＡＭ（Random Access Memory）１４と、制御プログラム及び各種制御設定を記憶する不揮発性メモリであるＲＯＭ（Read Only Memory）１５と、不揮発性メモリに接続される内部通信インタフェース（Ｉ／Ｆ）１６と、それらを統括して制御を司るＣＰＵ（Central Processing Unit）１７とを有し、これらの要素がバス１８を介して互いに接続されている。不揮発性メモリとしては、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）２０が例示され、内部通信インタフェース１６に接続されている。ＥＥＰＲＯＭ２０と内部通信インタフェースとの間の通信（通信経路）は、入出力インタフェース１２にも接続され、バス１８を介してＣＰＵ１７で監視される。
【００２１】
本車両制御装置１において、図１の機能ブロック図と図２のハードウェアブロック図とを対応させると、図１の入力信号検出手段３及び出力回路６が図２の入出力インタフェース１２に相当し、また、図１の制御手段４、不揮発性メモリアクセス手段１０及び不揮発性メモリアクセス監視手段１１は、図２のＲＯＭ１５に記述されたソフトウェア（プログラム）及びＲＡＭ１４を介してソフトウェアを実行するＣＰＵ１７に相当する。図１の不揮発性メモリ９は、図２のＥＥＰＲＯＭ２０に相当する。
【００２２】
入出力インタフェース１２、外部通信インタフェース１３、ＲＡＭ１４、ＲＯＭ１５、ＣＰＵ１７、内部通信インタフェース１６及びバス１８といったモジュール群は、１つまたは２以上のチップからなるマイコン１９で構成してもよい。ＣＰＵ１７は、センサ類の入力情報を基に外部のエンジンや他の電装部品の制御及び車両制御装置内のデータ処理等を実行する。ＲＯＭ１５は、ＣＰＵ１７により実行されるプログラムやデータを記憶する。ＲＡＭ１４は、ＣＰＵ１７による演算結果やＲＯＭ１５のプログラムやデータを一時的に記録する。
【００２３】
次に、図３に基づき、車両制御装置１の動作について説明する。
【００２４】
図３に示すマイコン１９は、不揮発性メモリアクセス手段１０、不揮発性メモリアクセス監視手段１１、内部通信インタフェース１６及びアプリケーションプログラム２１を有する。アプリケーションプログラム２１は、車両のセンサ類２から入力されたデータの処理、アクチュエータへの駆動・制御処理及びこれらの処理結果を基に制御対象に関する情報を不揮発性メモリへ書き込むためのプログラムである。アプリケーションプログラム２１は、不揮発性メモリアクセス手段１０及び不揮発性メモリアクセス監視手段１１と同様に、ＲＯＭ１５に記述されＣＰＵ１７に読み出されて実行されるソフトウェアである。図３に示す内部通信インタフェース１６はマイコン１９内にハードウェアとして実装される内蔵モジュールである。ＥＥＰＲＯＭ２０は内部通信インタフェース１６に接続されると共に、図示しない入力信号検出手段３（図１参照）を介して不揮発性メモリアクセス監視手段１１に接続されている。
【００２５】
アプリケーションプログラム２１が車両制御装置１の外部制御対象等に関するデータの書き込みをＥＥＰＲＯＭ２０に行う際、まず不揮発性メモリアクセス手段１０に書き込み要求を行う（矢印ａ）。不揮発性メモリアクセス手段１０では、書き込み要求が正しいものであるかの確認を行うため、不揮発性メモリアクセス監視手段１１に照会を行う（矢印ｂ）。
【００２６】
不揮発性メモリアクセス監視手段１１が、不揮発性メモリアクセス手段１０からの書き込み要求を正当なものであると認証した場合（矢印ｃ）、不揮発性メモリアクセス手段１０が内部通信インタフェース１６を駆動することにより（矢印ｄ）、アプリケーションプログラム２１から要求されたデータをＥＥＰＲＯＭ２０に対して書き込むための書き込み信号が送信される（矢印ｅ）。
【００２７】
一方、不揮発性メモリアクセス監視手段１１がアプリケーションプログラム２１からの書き込み要求を不当なものであると判定した場合には、不揮発性メモリアクセス手段１０はアプリケーションプログラム２１から書き込み要求されたデータではなく、不正な書き込み要求があったことを示す書き込みデータ（不正書込識別データ）をＥＥＰＲＯＭ２０に対して書き込む。この動作により、書き込み要求が正当なものではなかったことがＥＥＰＲＯＭ２０に記憶される。
【００２８】
これにより、車両制御装置１上で不揮発性メモリ９に不正なデータ書き込み要求があった場合でも、その原因が不揮発性メモリ９とのデータ送受信を行う制御手段４を制御するソフトウェア（アプリケーション２１）にあった場合には、その原因を判別することが可能となる。
【００２９】
さらに、内部通信インタフェース１６とＥＥＰＲＯＭ２０との間の通信線２１（矢印ｅ，ｆ）は、不揮発性メモリアクセス監視手段１１によって監視されており（矢印ｇ）、内部通信インタフェース１６からＥＥＰＲＯＭ２０まで不正な通信が行われていたか否かの判定を行う。すなわち、内部通信インタフェース１６からＥＥＰＲＯＭ２０までの通信が行われるのは、アプリケーションプログラム２１からの書き込み要求を不揮発性メモリアクセス手段１０が受け取り、不揮発性メモリアクセス監視手段１１が書き込みを許可し、不揮発性メモリアクセス手段１０が内部通信インタフェース１６を駆動した場合のみである。この一連の動作が為されないにも関わらず不揮発性メモリアクセス監視手段１１によって内部通信インタフェース１６とＥＥＰＲＯＭ２０との間の通信線に何らかの通信状態が確認された場合は、内部通信インタフェース１６が誤動作したか、もしくは内部通信インタフェース１６とＥＥＰＲＯＭ２０との間の通信線にノイズ等の誤動作が発生したかのいずれかの通信論理における異常が発生したことを示す。このような異常通信が発生した場合、不揮発性メモリアクセス監視手段１１は不揮発性メモリアクセス手段１０に異常通信が発生したことを通知し、ＥＥＰＲＯＭ２０に対して通信異常の発生を記憶する。
【００３０】
これにより、車両制御装置１上で不揮発性メモリ９の記憶内容が毀損した場合でも、その原因が不揮発性メモリ９とのデータ送受信における通信異常にあった場合には、そのことを判別することが可能となる。
【００３１】
上述のソフトウェア異常に基づく不正書き込み要求を示す書き込み識別データが検出されず、かつ通信異常に基づく通知が検出されていないにもかかわらず、不揮発性メモリ９にデータの毀損、喪失が発生している場合には、不揮発性メモリ自体（不揮発性メモリ側の半導体デバイス）にデータの毀損・喪失が発生していることを示す。
【００３２】
次に、不揮発性メモリアクセス手段１０の動作（ＥＥＰＲＯＭ書込みルーチン）及び不揮発性メモリアクセス監視手段１１（署名の照会、通信線監視ルーチン）の動作を図４から図６に示すフローチャートを用いて説明する。
【００３３】
図４は、不揮発性メモリアクセス手段１０にて実行されるＥＥＰＲＯＭ書込ルーチン２２のフローチャートである。ＥＥＰＲＯＭ書込ルーチン２２に従って、先ず、不揮発性メモリアクセス手段１０は、呼び出し元であるアプリケーションプログラム２１から引数として書き込みアドレス（Ｗａ）２３、書き込みデータ（Ｗｄ）２４および署名（Ｓｇ）２５を受け取る。次に、アプリケーションプログラムから受け取った署名２５が正しいものであることを確認するため、署名の照会を行う（ステップＳ２６）。署名の照会は不揮発性メモリアクセス監視手段１１において行われ、その詳細は後述する（図５参照）。
【００３４】
不揮発性メモリアクセス監視手段１１から照会の結果が不揮発性メモリアクセス手段１０に返ってくると、照会結果を判定し（ステップＳ２７）、ＥＥＰＲＯＭ書込中信号をＨｉｇｈにする。ＥＥＰＲＯＭ書込み中信号（Ｗｓ）は、ＥＥＰＲＯＭへの書込信号の送出の可否を示す信号であり、ＥＥＰＲＯＭ２０に対して内部通信インタフェース１６が書き込み信号を送出している間はＨｉｇｈ、ＥＥＰＲＯＭ２０に対して内部通信インタフェース１６が書き込み信号を送出してないときはＬｏｗと定義した。なお、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）はソフトウェアで設定するのでも、またハードウェアで実装される何らかの機能が表示するものでも構わない。
【００３５】
署名の照会２６の結果、呼び出し元が送ってきた署名（Ｓｇ）２５が正しいことが確認できれば（ステップＳ２７→Ｓ）、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）をＨｉｇｈとした（ステップＳ２８）後、内部通信インタフェース１６を駆動し、アプリケーションプログラム２１より引数として受領した書き込みアドレス（Ｗａ）２３に対応する書き込みデータ（Ｗｄ）２４を書き込む信号をＥＥＰＲＯＭ２０に送出する（ステップＳ２９）。書き込み信号の送出が終了したら、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）を再度Ｌｏｗとする（ステップＳ３０）。
【００３６】
他方、不揮発性メモリアクセス監視手段１１での署名の照会の結果、呼び出し元が送ってきた署名（Ｓｇ）２５が正しくなければ（ステップＳ２７→Ｎ）、不揮発性メモリアクセス手段１０は、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）をＨｉｇｈとした（ステップＳ３１）後、内部通信インタフェース１６を駆動し、ソフトウェア事由による不正書き込みを表す書き込み信号（不正書込信号）をＥＥＰＲＯＭ２０に送出する（ステップＳ３２）。不正書込信号の送出が終了したら、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）を再度Ｌｏｗとする（ステップＳ３３）。
【００３７】
このような、一連の動作（ＥＥＰＲＯＭ書込みルーチン）によって、ソフトウェアに起因するＥＥＰＲＯＭ２０に対する不正な書き込みがあったことをＥＥＰＲＯＭ２０に記憶させる。
【００３８】
図５は、不揮発性メモリアクセス監視手段１１において署名の照会ルーチンを示すフローチャートである。
【００３９】
図５に示すように、不揮発性メモリアクセス監視手段１１は、呼び出し元であるＥＥＰＲＯＭ書込ルーチン２２（不揮発性メモリアクセス手段１０）から引数として書き込みアドレス（Ｗａ）２３、書き込みデータ（Ｗｄ）２４および署名（Ｓｇ）２５を受け取る。受け取った情報に基づき署名（Ｓｇ’）の演算を行う（ステップＳ３４）。署名（Ｓｇ'）の演算は、アプリケーションプログラム２１と事前に認証数を共有する方法でもよく、または書き込みアドレス（Ｗａ）２３と書き込みアドレス（Ｗａ）２３と書き込みデータ（Ｗｄ）２４との組み合わせにより演算される共通鍵暗号もしくは公開鍵暗号を用いる方法でもよく、少なくとも元の署名（Ｓｇ）２５がアプリケーションプログラム２１からの書き込み要求によるものであることが確認できる方法であればどのような演算方法を採用してもよい。演算による署名（Ｓｇ'）が元の署名（Ｓｇ）２５の値に一致すれば（ステップＳ３５→Ｙ）、元の署名（Ｓｇ）２５がアプリケーションプログラム２１による書き込み要求によるものであることが確認でき、呼び出し元であるＥＥＰＲＯＭ書込ルーチン２２に認証が正しく行われたことをＥＥＰＲＯＭ書込みルーチン（不揮発性メモリアクセス手段１０）に通知して終了する（ステップＳ３６）。
【００４０】
他方、演算による署名（Ｓｇ'）が元の署名（Ｓｇ）２５の値に一致しなければ、アプリケーションプログラム２１による書き込み要求であることが確認できないので、呼び出し元であるＥＥＰＲＯＭ書込ルーチン２２に認証が正しく行われなかったことを不揮発性メモリアクセス手段１０に通知して終了する（ステップＳ３７）。
【００４１】
図６は、不揮発性メモリアクセス監視手段１１にて実行される制御手段４（マイコン１９）と不揮発性メモリ９（ＥＥＰＲＯＭ２２）間のデータ通信の異常を検出するフローチャートである（通信線の監視ルーチン）。
【００４２】
図６に示すように、不揮発性メモリアクセス監視手段１１において通信線の監視ルーチン３８が実行されると、まず、不揮発性メモリアクセス監視手段１１は、通信線状態（Ｓｔ）を取得する（ステップＳ３９）。通信線状態（Ｓｔ）は、内部通信インタフェース１６とＥＥＰＲＯＭ２０との間の通信線の状態を示すパラメータである。不揮発性メモリアクセス監視手段１１は、内部通信インタフェース１６とＥＥＰＲＯＭ２０間の通信状態を監視しており、通信線状態（Ｓｔ）が通信中である状態を示すアクティブであれば（ステップＳ４０→Ｙ）、ＥＥＰＲＯＭ書込み中信号（Ｗｓ）の状態を確認する（ステップＳ４１）。ＥＥＰＲＯＭ書込み信号の状態（Ｗｓ）がＬｏｗであれば、ＥＥＰＲＯＭ書込ルーチン２２がＥＥＰＲＯＭ２０に対して内部通信インタフェース１６を介して書き込み信号を送出していないにも関わらず何らかのデータが送出されている（すなわち、通信異常がある）ことを意味する。そこで、通信線状態（Ｓｔ）がアクティブでＥＥＰＲＯＭ書込み信号がＬｏｗであれば、ＥＥＰＲＯＭ書き込み要求により、通信異常が発生した旨をＥＥＰＲＯＭ２０に記憶させる（ステップＳ４２）。
【００４３】
このように、本車両制御装置は、不揮発性メモリ９に不正な書き込み要求があったり、それに基づき記憶内容が毀損した場合の原因を、不揮発性メモリ９、制御手段４、或いは不揮発性メモリ９と制御手段４間の通信のうちのいずれであるかを区別でき、問題発生時の対策をより適切に行うことが可能となる。
【００４４】
具体的には、不揮発性の半導体メモリ９へのデータの送受信を行う制御手段を動作させるソフトウェア（アプリケーション２１）の異常動作が検知された場合には、その異常を不揮発性メモリ９へ記憶させておくことにより、不揮発性メモリ９の記憶内容が毀損した場合に、その原因がソフトウェアにあったことを判別できる。また、不揮発性メモリ９へのデータの送受信において通信異常が検知された場合には、その異常を不揮発性メモリへ記憶させておくことにより、不揮発性メモリ９の記憶内容が毀損した場合に、その原因が不揮発性メモリ９へのデータの送受信における通信異常であったことを判別することができる。さらに、これら２つの異常検出法を組み合わせることにより、不揮発性メモリ９の記憶内容が毀損した際に、その原因が不揮発性メモリ９とのデータ送受信を行う制御装置を制御するソフトウェアでも不揮発性メモリ９へのデータの送受信における通信異常でもないことを検出した場合、不揮発性の半導体メモリ９の記憶内容が毀損した原因が不揮発性の半導体メモリ自身に起因することを判別することが可能となる。
【００４５】
以上、本発明は、上述した実施の形態に限定されるものではなく、他にも種々のものが想定される。
【００４６】
本実施形態では、ＥＥＰＲＯＭ２０に接続されるマイコン１９側の通信インタフェースとして内部通信インタフェース１６を用いたが、ＥＥＰＲＯＭとマイコン（制御手段）との接続は、不揮発性の半導体メモリが通信によって制御装置と接続された構成であればよい。例えば、ＥＥＰＲＯＭ２０に接続されるマイコン１９側の通信インタフェースとして入出力インタフェース１２を使用してもよい。また、ＥＥＰＲＯＭ２０に接続されるマイコン１９側の通信インタフェースとして汎用の入出力インタフェースを使用し、ＲＯＭ１５に記載されるソフトウェアによって直接信号を駆動し通信する形態としてもよい。
【００４７】
本実施形態では不揮発性の半導体メモリとしてＥＥＰＲＯＭ２０を用い、ＥＥＰＲＯＭ２０がマイコン１９の外部に配置される構成としたが、異常検出対象となる不揮発性の半導体メモリがマイコン内部に内蔵されていてもよい。この構成においては、マイコンと不揮発性の半導体メモリへのデータの送受信における通信異常の検知は行われないが、マイコン内において制御手段から不揮発性メモリへのデータの送信を行うソフトウェアの異常について診断するように構成されていればよい。
【００４８】
また、不揮発性メモリ９にソフトウェアの異常、通信の異常、不揮発性メモリ自体の異常がそれぞれ記憶されたときには、車載の表示器や警告音として各異常をユーザに知らせるようにしてもよい。
【図面の簡単な説明】
【００４９】
【図１】本発明に係る実施形態の車両制御装置を示す機能ブロック図である。
【図２】一実施形態の車両制御装置を示すハードウェアブロック図（ブロック構成図）である。
【図３】一実施形態の車両制御装置を示すブロック構成図である。
【図４】ソフトウェア異常の検出・書き込みを実行する際の不揮発性メモリアクセス手段の動作を示すフローチャートである。
【図５】署名照会を実行する際の不揮発性メモリアクセス監視手段の動作を示すフローチャートである。
【図６】通信異常の検出・書き込みを実行する際の不揮発性メモリアクセス監視手段の動作を示すフローチャートである。
【符号の説明】
【００５０】
１  車両制御装置
４  制御手段
９  不揮発性メモリ
１０  不揮発性メモリアクセス手段
１１  不揮発性メモリアクセス監視手段
１４  ＲＡＭ
１５  ＲＯＭ
１６  内部通信インタフェース
１７  ＣＰＵ
【図１】
2009199515.tif 000003
【図２】
2009199515.tif 000004
【図３】
2009199515.tif 000005
【図４】
2009199515.tif 000006
【図５】
2009199515.tif 000007
【図６】
2009199515.tif 000008