(57)【特許請求の範囲】
【請求項１】
制御のためのアルゴリズムとデータを記憶した書き換え可能な記憶手段と、該記憶手段のアルゴリズムとデータに基づいて車載機器を制御するようにしたＣＰＵとを処理装置内部に格納するとともに、前記書き換え可能な記憶手段の内容が、通常前記処理装置外部から読みだし不能となるように梱包されてなる自動車用制御装置であって、
前記処理装置内部に、外部からの前記記憶手段の書き換え指令を判別する書き換えモード判別手段と、外部と通信を行うシリアル通信手段と、書き換えモード初期に該シリアル通信手段を通じて外部よりロードされた転送プログラムが一時的にロードされる一時記憶手段と、前記書き換えモード判別手段の信号を受けて前記一時記憶手段に転送プログラムをロードし所定のタイミングで制御を該転送プログラムに委ねる書き換え制御手段と、を備えるとともに、前記転送プログラムの働きによって前記シリアル転送手段を通じて外部より受信されたコードにより前記書き換え可能な記憶手段の内容を更新する機能を有し、
前記書き換え制御手段は、前記書き換え可能な記憶手段の１以上の所定番地の内容が未書き込み状態の場合、前記転送プログラムに制御を委ねる以前の所定のタイミングで外部より受信したコードと、前記書き換え可能な記憶手段の特定番地に予め格納されたコードとを比較せず、無条件に前記転送プログラムに制御を委ねる機能を備え、前記転送プログラムに制御を委ねる以前の所定のタイミングで外部より受信したコードと、前記書き換え可能な記憶手段の特定番地に予め格納されたコードとを比較し、不一致の場合は前記書き換え可能な記憶手段の所定の番地の内容の全部もしくは一部を消去する機能を備えたことを特徴とする自動車用制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、自動車用制御装置に関し、特に、自動車用制御装置に格納される制御ソフトウェアのオン・ボード書き換え技術に関する。
【０００２】
【従来の技術】
近年、大規模な電気的書き換え可能メモリ（Ｅ2ＰＲＯＭやフラッシュＲＯＭ）が実用化され、自動車用制御機器の内部にも使用されるようになってきている。
用途としては、制御定数の格納や制御アルゴリズムの格納等であり、以下のような利便性を提供すると考えられている。
【０００３】
▲１▼自動車メーカからの製品出荷後において発見されたソフトウェア・バグに対して、フィールドで容易にオン・ボード書き換えで対応できる。
▲２▼自動車の構成部品の劣化及び経時変化に対して、制御装置内に格納されたマッチング定数の書き換えで対応できる。
▲３▼製品出荷後において、オプション部品着脱等で制御装置の構成が変更になる場合、その構成に見合った制御ソフトを再ロードできる。
【０００４】
上記の▲１▼、▲２▼に対しては、例えば、文献「Cost-effective field reprogrammable code-flash memory technology. 」(Spec Publ Soc Automot Eng NO.SP-739 PAGE.55-59 1988）から明らかであり、▲３▼に対しては、例えば、特開平３−１４９３３７号公報に開示されている。
また、このようなオン・ボード書き換えに当たっては、ユーザが設計した書き換え用の転送プログラムを外部よりワンチップ・マイクロコンピュータ内部のＲＡＭ領域に読み込み、それによって書き換えを実施しようとする技術は、例えば、「H8/538F ハードウェアマニュアル」（（株）日立製作所  半導体事業部発行平成５年８月  第１版）等の文献で述べられているとおり、既に知られている。
【０００５】
ところで、外部より書き換え転送用のプログラムを読み込み、それに制御を委ねる方式のオン・ボード書き換えでは、正規の書き換えプログラムではなく、内部情報出力用の偽プログラムをロードされる可能性が不可避である。しかも、この書き換え用の転送プログラムの作成法は一般に公開されているので、誰にでも書き換え用の転送プログラムが自在に作成でき、その結果として偽プログラムを用いて内部コードを改ざんすることは、誰にでも容易にできる。
【０００６】
そこで、いわゆるフィールドで、制御ソフト及び定数の書き換えを許すシステムにおいては、そのコードの機密性の保持と、正規操作以外の書き換え（改ざん）に対するコードの保護とが重要な課題になってくる。
たとえば、外付けＥＰＲＯＭに関しては、所定のタイミングで外部記憶手段のデータに基づくチェックデータを作成し、このチェックデータと内部記憶手段びのチェックデータとを比較し、その両者が不一致のときは外部記憶手段のデータの改ざんが行われたとして異常モードを設定するようにした制御装置が知られている（例えば、特開平３−２３８５４１号公報参照）。
【０００７】
【発明が解決しようとする課題】
ところが、大規模Ｅ2ＰＲＯＭ及びフラッシュＲＯＭ内蔵の車載用ワンチップ・マイクロコンピュータに関しては、そのコードの機密性の保持、及び正規操作以外の書き換え（改ざん）に対するコードの保護に関する技術は開発されていなかった。
【０００８】
また、ユーザが作成した書き換え用の転送プログラムを、外部よりワンチップ・マイクロコンピュータ内にロードして書き換えを行う場合、書き換えプログラムのアルゴリズムに対する自由度が少ないという問題点がある。例えば、割り込みベクタは、通常書き換えるべきフラッシュＲＯＭ上のアドレス空間にマッピングされており、書き換え動作中は割り込み処理を使用できないということが発生する。
【０００９】
本発明は、このような問題に鑑みてなされたものであって、その目的は、プログラムの機密性、及び保護性を大幅に向上させるようになされ、しかも、プログラムの初期書き込み時に不必要なセキュリティー動作を行わずに、障害回復に費やす時間を最小限とすることができ、また、オン・ボード・書き換え動作におけるデータ転送に割り込み処理を使用することができるとともに、高速で且つ高信頼性のプロトコルを容易に採用することができ、かつ、自動車用オン・ボード・書き換えシステムを安価に構成することのできる、自動車用制御装置を提供することである。
【００１０】
【課題を解決するための手段】
前記の目的を達成すべく、本発明に係わる自動車用制御装置は、基本的には、制御のためのアルゴリズムとデータを記憶した書き換え可能な記憶手段と、該記憶手段のアルゴリズムとデータに基づいて車載機器を制御するようにしたＣＰＵとを処理装置内部に格納するとともに、前記書き換え可能な記憶手段の内容が、通常前記処理装置外部から読みだし不能となるように梱包されてなる自動車用制御装置であって、前記処理装置内部に、外部からの前記記憶手段の書き換え指令を判別する書き換えモード判別手段と、外部と通信を行うシリアル通信手段と、書き換えモード初期に該シリアル通信手段を通じて外部よりロードされた転送プログラムが一時的にロードされる一時記憶手段と、前記書き換えモード判別手段の信号を受けて前記一時記憶手段に転送プログラムをロードし所定のタイミングで制御を該転送プログラムに委ねる書き換え制御手段と、を備えるとともに、前記転送プログラムの働きによって前記シリアル転送手段を通じて外部より受信されたコードにより前記書き換え可能な記憶手段の内容を更新する機能を有し、前記書き換え制御手段は、前記書き換え可能な記憶手段の１以上の所定番地の内容が未書き込み状態の場合、前記転送プログラムに制御を委ねる以前の所定のタイミングで外部より受信したコードと、前記書き換え可能な記憶手段の特定番地に予め格納されたコードとを比較せず、無条件に前記転送プログラムに制御を委ねる機能を備え、前記転送プログラムに制御を委ねる以前の所定のタイミングで外部より受信したコードと、前記書き換え可能な記憶手段の特定番地に予め格納されたコードとを比較し、不一致の場合は前記書き換え可能な記憶手段の所定の番地の内容の全部もしくは一部を消去する機能を備えたことを特徴としている。
【００１２】
さらに、前記処理装置内部に、通常のモードでは前記ＣＰＵの割り込みベクタ領域が前記書き換え可能な記憶手段内部の所定領域に取られるようにするとともに、前記書き換えモード判別手段により遷移した書き換えモード中においては、該モード内の所定期間中だけ、前記一時記憶手段内の所定領域に割り込みベクタを移動させるようにした割り込みベクタ移動手段を設けることも好適な実施例である。
【００１３】
【作用】
前述の如く構成された本発明に係わる自動車用制御装置においては、ワンチップ・マイクロコンピュータの初期コード設定者しか知り得ない知識を利用して、それをチェックコードとして用いることにより、偽プログラムの侵入を防止し、あるいは、偽プログラムの侵入の際に内部コードを消去し機密を保持することができる。また、コードの初期書き込みの際に、不必要なチェック操作を行わないようにして、障害回復に費やす時間及び労力を最小限とすることができる。さらに、ユーザーによる書き換え用の転送プログラムの作成を容易にすることができる。
【００１４】
【発明の実施の形態】
以下、図面により本発明の一実施例を説明する。
図１は本発明に係わる一実施例の自動車用制御装置のブロック図である。
自動車用制御装置１の内部の基板には、ＭＣＵ(Micro Control Unit)２が半田付けされている。このＭＣＵ２内部には、ＣＰＵ(Central Processing Unit）３があり、書き換え可能記憶手段であるフラッシュＲＯＭ４に格納されているプログラムの指示により機器の制御を行うようになっている。通常このフラッシュＲＯＭ４の内容は、ＭＣＵ２というレジン梱包の内部に隠されており、外部より安易に読み書きできなくなっている。従って、この働きによりプログラムの機密性と保護性とが保持されている。
【００１５】
オン・ボード・プログラム書き換え機１０は、シリアル回線ＲＸ１１及びシリアル回線ＴＸ１２によりＭＣＵ２と接続し、外部より上記のプログラムの書き換えを行う。
一般に、ＭＣＵ２を自動車用制御装置１の基板より取り出さず、装着したままの形態で内部プログラムを書き換えることを、「オン・ボード・プログラム書き換え」と称している。基板よりＭＣＵ２を抜き差ししなくてすむので、電気的信頼性を損なうことがなく、ＥＰＲＯＭ交換及び基板やユニット等のアッシー交換の形態と比べて、交換にかかる時間とコストとを大幅に節約することができる。
【００１６】
この「オン・ボード・プログラム書き換え」の原理を説明すると以下のようになる。
外部スイッチ１３は、外部よりプログラム書き換えの指令をＭＣＵ２に伝える。これは、ＭＣＵ２の内部機構的な差異にもよるが、通常ＭＣＵ２の所定端子に書き込み電圧Ｖｐｐ（１２Ｖ）を印可してリセット解除することで行われる。書き換えモード判別手段５は、上記信号を判別して、ＭＣＵ２を書き換えモードの状態に遷移させる。
【００１７】
書き換えモードでは、ＣＰＵ３は、書き換え可能記憶手段４に格納されている通常の制御プログラムでは動作せず、書き換え制御手段６に格納されているブート・プログラムにより動作する。この働きによりＳＣＩ(Serial CommunicationInterface)８を通じて外部とデータ交換可能となる。
一方、オン・ボード・プログラム書き換え機１０は、ＭＣＵ２と同様のＳＣＩ１４、ＭＣＵ２内部の一時記憶手段７（いわゆるＲＡＭ）に転送されるべき書き換え用転送プログラム１５、最終的な結果として書き換え可能な記憶手段４の更新内容となるコードを記憶している交換可能な記録媒体１７、及びそれらのデータの流れを制御する通信制御手段１６により構成されている。
【００１８】
上記の交換可能な記録媒体１７は、ＥＰＲＯＭのような電気的素子の形でも良いし、フロッピーディスクのような磁気記録媒体、若しくはキーボードのような端末装置でも良い。
書き換えモードに遷移したＭＣＵ２は、シリアル回線ＲＸ１１を介して、書き換え用転送プログラム１５を一時記憶手段７に転送する。その後、ＣＰＵ３の制御は、この一時記憶手段７上の書き換え用転送プログラムに移行する。
【００１９】
この書き換え用転送プログラムは、引き続きシリアル回線ＲＸ１１を通じて、オン・ボード・プログラム書き換え機１０の交換可能な記録媒体１７のコードを読み込み、書き換え可能な記憶手段４の内容を更新する。
シリアル回線ＴＸ１２は、シリアル通信のフロー制御に用いるものであり、例えばＭＣＵ２からオン・ボード・プログラム書き換え機１０に向けての受信確認信号やデータ再送指示等に使用される。
【００２０】
書き換え用転送プログラム１５は、ＭＣＵ２内部の書き換え制御手段６に、予めファームウェアとして格納しておけば、書き換えモード初期にオン・ボード・プログラム書き換え機１０よりＭＣＵ２に転送しなくてすむので効率的であるが、以下のような理由で採用されていない。
▲１▼書き換え制御手段６のファームウェアが大規模になり、コストがかさむこと。（簡単なブート・プログラムを設定するのに精一杯である。）
▲２▼オン・ボード・プログラム書き換え機１０とＭＣＵ２間の通信プロトコル、及び書き換え可能記憶手段７の書き換えアルゴリズムが固定となり、柔軟性が損なわれる。（ユーザがＴＰＯに応じた手段をとれなくなる。）
【００２１】
また、書き換え転送プログラム１５を書き換え可能な記憶手段４の中にいれておけば同様に不要となるが、以下のような理由で、この方式も採用されていない。
▲１▼初期書き込みとそれ以降の書き込みでは方式を違えなければならない。（未書き込み状態では転送プログラムが存在していない。）
▲２▼書き換え用転送プログラムそれ自体を外部より修正できない。
▲３▼書き換え用転送プログラム自体が載っているメモリブロックを消去できない。
▲４▼自動車用制御装置１の制御プログラムと書き換え用転送プログラムをセットにして同時に管理するのが煩雑である。
【００２２】
交換可能な記録媒体１７に含まれているチェクコード１７ａは、所定のタイミングで、シリアル回線ＲＸ１１を通じてＭＣＵ２に送られる。この所定のタイミングとは、ＭＣＵ２内の書き換え制御手段６が、ＣＰＵ３の制御を一時記憶手段７上の書き換え転送プログラムに移す以前ならばいつでも良い。書き換え制御手段６のブート・プログラムは、この送られてきたコードと、書き換え可能な記憶手段４内の特定番地の内容４ａとの比較を行う。比較結果が不一致であるならば、セキュリティー違反として、以下ブート・プログラムに指示された動作を行う。
【００２３】
また、図１において、割り込みベクタ移動手段９は、前述の書き換え用転送プログラム稼働中に、割り込みベクタ領域を、領域４ｂから、領域７ｂに移動させる機能を持っている。
通常、書き換え可能な記憶手段４に格納されたプログラムによりＣＰＵ３が動作している間は、割り込みベクタ領域は、領域４ｂに取られている。しかしながら、書き換え動作中もこの領域を固定とすると、この領域が記憶されている書き換え可能な記憶手段４自体のコードが書き換えられている最中は、ＣＰＵ３はこの領域４ｂの内容を読み出すことができない。特に、フラッシュＲＯＭ等でこの記憶手段４が構成されている場合は、領域４ａを含むメモリブロックの消去若しくは書き込み中は、当該メモリブロック全てが、完全に読みだし禁止となってしまう。従って、書き換え操作中はＭＣＵ２がもとから持っている割り込み機能を利用できないということになる。
【００２４】
この欠点を解消するための手段が、割り込みベクタ移動手段９である。書き換えモードで、一時記憶手段７の上の書き換え用転送プログラムが動作している間は、割り込みベクタ領域を、一時記憶手段７内の領域７ａに移動させる。従って、書き換え用転送プログラムで、割り込み機能が利用できるようになり、アルゴリズムの自由度が増加する。
図２は、本発明の一実施例によるアルゴリズムをフローチャートにより示したものである。このアルゴリズムは、前述したように、書き換え制御手段６に実装されたブート・プログラムにより実行される。
【００２５】
書き換えモード判別手段の信号を受けて書き換え制御手段６のブート・プログラムが起動されると、まずブロック２０１に進み、外部のオン・ボード・プログラム書き換え機１０との同期処理が取られる。同期処理とは、オン・ボード・プログラム書き換え機１０とＭＣＵ２との転送レートのすり合わせ、及び通信プロトコルの確認処理などが含まれている。その後、ブロック２０２に進み受信すべき転送プログラムの総バイト数を受信する。その後は、ループを形成したブロック２０３、２０４、２０５により、転送プログラムを１バイトごとに外部から一時記憶手段７にコピーする。このループは、転送プログラムの全てをコピーするまで継続される。次に、処理はブロック２０６に進み、オン・ボード・プログラム書き換え機１０から送られてきたチェックコード１７ａを受信する。ブロック２０７では、このチェックコード１７ａと書き換え可能記憶手段４上の所定コード４ａとを比較し、一致した場合はブロック２０８に進み、先程転送したばかりの一時記憶手段７上のプログラムに制御を移す。不一致の場合は、ブロック２０９で書き換えモードを終了させ、もとある書き換え可能な記憶手段４上のコードのプロテクトを行う。
【００２６】
本実施例によれば、プログラムの機密性と保護性の向上が実現できる。ところが、前述のアルゴリズムは、所定コード４ａの取り得るコードパターンの全てについて、総当たり的に書き換え動作を実行させれば、いつかはプロテクトが破られてしまう。
この点を改善した他の実施例を、図３のフローチャートに示す。
【００２７】
図３では、図２のブロック２０７の論理を反転したブロック２０７’と新たに追加されたブロック２１０以外は、全て図２と同じ構成ブロックである。したがって、図３のフローチャートにおいて、図２のブロックと対応するブロックには同一の符号を付してそれらの重複する説明は省略し、以下においては、図２との相違点のみを重点的に説明する。
【００２８】
ブロック２０７’では、オン・ボード・プログラム書き換え機１０より送られたチェックコード１７ａと書き換え可能な記憶手段４上の所定コード４ａとを比較し、一致すれば、図２と同様に、転送プログラムに制御移す。不一致ならば、次のブロック２１０により、もとある書き換え可能な記憶手段４上のコードの全部もしくはその一部を消去し機密を保持する。
【００２９】
本実施例のアルゴリズムでは、前述したような試行錯誤的なプロテクト破りの手法が使えず、システムの機密性が高まる。しかしながら、チェックコードの照合に失敗すると無条件にコードが消去されるので、再びコードが一から書き直しになるという虞がある。この点の解決策として、チェックコード照合に所定回数以上失敗した場合のみプログラムが消去されるように、アルゴリズムを変更しても良い。
【００３０】
また、以上述べたような、チェックコードの照合は、書き換え用転送プログラム取り込み後に行われるようになっているが、転送プログラム取り込み前に行っても良い。
次に、本発明の他の実施例によるフローチャートを図４に示す。図４は、図３をベースとしてブロック２１１を追加したものであり、図２及び図３と対応するブロックには同一の符号が付してあり、以下においては、図３と差異のある動作のみを説明する。
【００３１】
書き換え用転送プログラム取り込み後、書き換え可能記憶手段４の所定番地が未書き込み状態であるならば、続くチェックコード照合をブロック２１１でスキップする。
このアルゴリズムは、ＭＣＵ２の初期書き込み操作で不要なことをせず、スループットを向上させることができる。
【００３２】
一方、例えば、ブロック２１１で未書き込み状態を判定する所定番地を前述のコード４ａと一致させておく。そして、前述の書き換え用転送プログラムの初期で、この所定番地を未書き込み状態にしておき、全ての更新すべきコードの書き換えが終わった時点で、この所定番地に次の書き換えに備えてチェックコードを設定するようにする。これにより、このチェックコードが完全な書き換えに成功したか否かの信号をも兼ねるようになる。この結果、プログラム書き換えの途中で、シリアル回線に何らかの障害が発生して、書き換え制御がハングアップした様な場合、次のリトライでは、前述のアルゴリズムの働きにより途中まで書き換わったプログラムは消去されない。従って、書き換えの済んでいないメモリブロックより書き換え動作を継続すれば良く、障害回復のための時間が短くて済むという優れた効果が得られる。
【００３３】
次に、本発明による実施例との比較のため、割り込み機能を使用しない従来の書き換え用転送プログラムのタイムチャートを、図５に示す。
期間５０１で、オン・ボード・プログラム書き換え機１０より１バイト受信すると、直後の期間５０２で、書き換え可能な記憶手段４のコードを当該データで更新する。そして、続く期間５０３で、シリアル通信回線ＴＸ１２上に次の受信が可能である旨の信号を出力する。オン・ボード・プログラム書き換え機１０では、この信号を認識して、次のデータを期間５０４で送信し、いわゆるハンド・シェーク動作により１バイト毎の転送を行う。
【００３４】
このアルゴリズムをフローチャートにしたものが、図６である。なお、このフローチャートにおいては、受信データの誤り検出と再送機能は煩雑になるので、当該フローチャートからは除外している。
ブロック６０１では、オン・ボード・プログラム書き換え機１０からのデータを受信し、ブロック６０２でデータを更新する。そして、続くブロック６０３で書き換えるべきプログラムコードの全てが受信完了したならば、６０５に飛び終了する。まだ受信すべきコードが残っているならば、ブロック６０４で、次の受信が可能となった旨を返送しブロック６０１に戻る。
【００３５】
この従来の方式は、以下のような欠点を有している。
▲１▼データの受信動作と、書き込み動作が、マルチタスクとして並行して行えない。従って、オン・ボード・プログラム書き換え機１０とＭＣＵ２との間で、１バイト毎のハンドシェーク動作を行わざるを得ず、転送のスループットが上がらない。
▲２▼データが受信可能となった旨の信号、例えば図５のデータ５０５が、シリアル回線上のノイズにより消失した場合、ハンドシェーク動作がそこで停止し継続不能となる。しかも書き換え転送用プログラムでは、この現象を認識する手段がない。
【００３６】
以上の欠点を解消するため、本発明の実施例により、受信割り込みとタイマ割り込みとを用いて動作を改善した結果を、図７のタイムチャートに示す。
図７では、受信割り込みを用いて、データが４バイト毎にまとめて送られている。しかも、受信動作と、書き込み動作がマルチタスクとして並行して行われており、受信可能信号７０１の送信が、受信データ４バイトに１バイトと間引かれている。この受信可能信号７０１の送出タイミングは、原理的にはデータの受信バッファの大きさだけ間引くことができる。従って、図５と比べても転送スループットが大きく向上していることがわかる。
【００３７】
また、受信可能信号７０１を送出した後、図示した期間Ｔの間に、次の受信データが送られてくるかどうかを待つ。もし、送られてこなければ、受信可能信号７０１が回線上で消失したものとみなし、再び受信可能信号７０２を送出する（いわゆるタイム・アウト処理）。この機能により、データ転送の信頼性が大きく向上する。
【００３８】
以上のアルゴリズムをフローチャートにしたものが、図８である。なお、このフローチャートにおいても、受信データの誤り検出と再送機能は煩雑になるので、当該フローチャートから除外している。
ブロック８２０から８２３までは、受信割り込みの処理ルーチンを示している。ブロック８２０では、ブロック８１０で許可したタイマ割り込みを禁止し、前述したタイム・アウト処理が発生しないようにしている。ブロック８２１及び、ブロック８２２では、割り込み要因となったデータを受信し、受信バッファに順次格納しておく。続くブロック８２３では、実際に受信バッファに格納されたバイト数を変数ｎとしてカウントする。
【００３９】
一方、書き換え転送用プログラムのブロック８０１では、受信バッファにデータが存在するかどうか調べている。もし存在しないならばループによりこれを待ち、存在するならば、続くブロック８０２、８０３でバッファより読み出して書き込みを行う。次のブロック８０４では受信バッファより読み出したデータ数を変数ｍにてカウントする。ブロック８０５では、もしバッファにまだ読みだしていないデータがあるならば、ブロック８０２に戻る判定を行う。続くブロック８０６では、受信バッファに貯まったデータ数が規定のバイト数かであるかどうか調べる。規定のバイト数とは、一回に外部より送られてくるデータの個数を指し、受信バッファの大きさに依存する（図７の場合では４）。もし、規定のバイト数に達しているならばブロック８０７に進み、達してしなければ直前のブロック８０５と共にループを形成し、受信割り込み処理により受信バッファにデータが貯まるのを待つ。ブロック８０７では、書き換えるべきコードの全てが受信完了したかどうか調べている。受信が完了したならば、８１１に飛び終了する。まだ受信すべきコードが残っているならば、ブロック８０８で変数ｎとｍをクリアし、ブロック８０９で次の受信が可能となった旨を返送する。ブロック８１０では、タイム・アウト処理用のタイマ割り込みを活性化させブロック８０１に戻る。
【００４０】
図７に図示したように期間Ｔが過ぎた時に、１バイトも受信が行われなかった場合は、タイマ割り込み処理のブロック８３０が起動し、受信可能信号を再送信する。
【００４１】
【発明の効果】
以上説明から理解されるように、本発明によれば、プログラムの機密性、及び保護性を大幅に向上させるようになされ、しかも、プログラムの初期書き込み時に不必要なセキュリティー動作を行わずに、障害回復に費やす時間を最小限とすることができ、また、オン・ボード・書き換え動作におけるデータ転送に割り込み処理を使用することができるとともに、高速で且つ高信頼性のプロトコルを容易に採用することができ、かつ、自動車用オン・ボード・書き換えシステムを安価に構成することができる。
【図面の簡単な説明】
【図１】本発明の一実施例を示す内部ブロック図。
【図２】本発明の一実施例を示すフローチャート。
【図３】本発明の他の実施例を示すフローチャート。
【図４】本発明の他の実施例を示すフローチャート。
【図５】従来型転送プログラムのタイムチャート。
【図６】従来型転送プログラムのフローチャート。
【図７】本発明による転送プログラムのタイムチャート
【図８】本発明による転送プログラムのフローチャート。
【符号の説明】
１…自動車用制御装置、２…ＭＣＵとしてのワンチップ・マイクロコンピュータ、３…ＣＰＵ、４…書き換え可能記憶手段としてのフラッシュＲＯＭ、６…書き換え制御手段としてのブート・プログラム・ファームウェア、７…一時記憶手段としてのＲＡＭ、１０…オン・ボード・書き換え機、１１，１２…双方向のシリアル通信回線、１５…書き換え用転送プログラム、１７…交換可能な記録媒体としてのＥＰＲＯＭ
【図１】
0003732413.tif 000002
【図２】
0003732413.tif 000003
【図３】
0003732413.tif 000004
【図４】
0003732413.tif 000005
【図５】
0003732413.tif 000006
【図６】
0003732413.tif 000007
【図７】
0003732413.tif 000008
【図８】
0003732413.tif 000009