本発明は、常時電源系マイコンと非常時電源系マイコンとを備えた電子制御装置に関する。

従来、例えば特許文献1に示されるように、第1及び第2のマイクロコンピュータ(以下、マイコンと記載する)を備える電子制御装置が提案されている。各マイコンは、データの書き換えが可能な不揮発性メモリと、通信ラインに接続された通信回路と、を内蔵している。各マイコンは、通信回路を介して自身宛の書き込み対象のデータを受信すると、書込対象のデータを不揮発性メモリに書き込み、不揮発性メモリが記憶するデータを更新する。

特開2006−268107号公報

上記のような電子制御装置では、複数のマイコンの内、少なくとも1つのマイコンが不揮発性メモリに記憶されたデータを更新する際、全てのマイコンが制御処理を行う制御モードから、データの書き換え処理を行う書き換えモードに移行させることが考えられる。つまり、電子制御装置は、複数のマイコンでの動作モードを同期させることが考えられる。このようにするのは、各マイコン間での監視体系が崩れるなどによって電子制御装置が誤動作することを抑制するためである。

ところで、電子制御装置には、異なる電源系統で動作するものがある。例えば、ユーザの操作によって電源がオン及びオフ(言い換えると、電源供給及び電源供給の停止)する非常時電源系で動作すると共に、常に電源が供給されている常時電源系で動作する電子制御装置がある。このような電子制御装置では、非常時電源系で動作するマイコンと、常時電源系で動作するマイコンとが設けられていることが考えられる。

また、電子制御装置は、書き換えモードで動作しているときに、マイコンに対する電源供給が停止することもありうる。この場合、異なる電源系統で動作する電子制御装置では、マイコンに対する電源供給が再開されて再度書き換えを行う際に、非常時電源系で動作するマイコンと、常時電源系で動作するマイコンとで動作を開始するタイミングが異なることが起こりうる。このため、電子制御装置は、複数のマイコン間で動作モードを同期させることができず、誤動作する可能性がある。

本発明は、上記問題点に鑑みなされたものであり、誤動作を抑制できる電子制御装置を提供することを目的とする。

上記目的を達成するために本発明は、 被取付対象に取り付けられるものであり、 制御用ソフト及びリプログラミング用ソフトが記憶された書き換え可能なメモリ(11,21)と、 制御用ソフトに基づいた動作モードである制御モード、及びリプログラミング用ソフトに基づいた動作モードでありメモリに記憶された制御用ソフトの書き換えを行うリプロモードで動作し、ユーザの操作によって電源と接続されて電源供給が行われると共に、ユーザの操作によって電源と非接続とされて電源供給が停止される非常時電源系マイコン(20)と、 制御モード及びリプロモードで動作するものであり、ユーザの操作によらず電源と常時接続されて電源供給が行われる常時電源系マイコン(10)と、を備えた電子制御装置であって、 非常時電源系マイコンと常時電源系マイコンの夫々は、 電源からの電源供給が開始されると、制御モード及びリプロモードとは異なり、被取付対象に取り付けられた状態では実行されることがない動作モードであるオンボードモードで動作するか否かを判定する第1モード判定手段(S10)と、 第1モード判定手段によってオンボードモードで動作しないと判定された場合、メモリの制御用ソフトが正常に書き込まれているか否かに応じて、リプロモードで動作するか否かを判定するものであり、制御用ソフトが正常に書き込まれていないと判定した場合、リプロモードで動作するとみなして、自身以外のマイコンに対してリプロモードで動作するように指示する第2モード判定手段(S20)と、を有し、 第1モード判定手段は、リプロモードで動作するように指示されていない場合に、オンボードモードで動作しないと判定し、リプロモードで動作するように指示された場合に、オンボードモードで動作すると判定するものであり、 常時電源系マイコンは、リプロモードで動作しており、制御用ソフトの書き換えを行っている際に、非常時電源系マイコンに対する電源状態の変化を検出するものであり、電源状態が変化したことを検出した場合、第1モード判定手段による判定に処理を遷移する第1遷移手段(S51)を備えていることを特徴とする。

このように、本発明は、非常時電源系マイコンと常時電源系マイコンとを備えてなるものである。そして、常時電源系マイコンは、制御用ソフトの書き換えを行っている際に、非常時電源系マイコンに対する電源状態の変化を検出する。そして、常時電源系マイコンは、電源状態が変化したことを検出した場合、第1モード判定手段による判定に処理を遷移する。

このため、本発明は、常時電源系マイコンが書き換え中において、非常時電源系マイコンに対する電源状態が停止状態から供給状態に変化した場合、常時電源系マイコンと非常時電源系マイコンの両方が第1モード判定手段による判定を行うことになる。つまり、本発明は、常時電源系マイコンと非常時電源系マイコンとで、第1モード判定手段による判定の実行タイミングを同期させることができる。

よって、本発明は、常時電源系マイコンが書き換え中に、非常時電源系マイコンに対する電源状態が停止状態から供給状態に変化した場合であっても、常時電源系マイコンが非常時電源系マイコンに対してリプロモードで動作するように指示しない。このため、本発明は、常時電源系マイコンが書き換え中に、非常時電源系マイコンがオンボードモードで動作することを抑制できる。従って、本発明は、誤動作を抑制できる。

なお、本発明の常時電源系マイコンは、制御用ソフトの書き換えを行っている際に、非常時電源系マイコンに対する電源状態が供給状態から停止状態に変化した場合に関しても第1モード判定手段による判定を行うことになる。このとき、本発明の非常時電源系マイコンは、電源供給が停止されているため動作していない。従って、本発明は、常時電源系マイコンが書き換え作中に、非常時電源系マイコンがオンボードモードで動作することを抑制できる。従って、本発明は、誤動作を抑制できる。

なお、特許請求の範囲、及びこの項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、発明の技術的範囲を限定するものではない。

実施形態におけるECUの概略構成を示すブロック図である。

実施形態における各マイコンの処理動作を示すフローチャートである。

実施形態における常時電源系マイコンのオンビークルリプロモードでの処理動作を示すフローチャートである。

実施形態における常時電源系マイコンの制御モードでの処理動作を示すフローチャートである。

実施形態におけるECUの処理動作を示すタイムチャートであり、常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合のタイムチャートである。

実施形態におけるECUの処理動作を示すタイムチャートであり、非常時マイコンがフラッシュROMの書き換え中で、非常時マイコンに対する瞬断が発生した場合のタイムチャートである。

実施形態におけるECUの処理動作を示すタイムチャートであり、非常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合のタイムチャートである。

ECUにおける電源瞬断と瞬断後のフラッシュROM状態との組み合わせを示す表である。

比較例におけるECUの処理動作を示すタイムチャートであり、常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合のタイムチャートである。

比較例におけるECUの処理動作を示すタイムチャートであり、非常時マイコンがフラッシュROMの書き換え中で、非常時マイコンに対する瞬断が発生した場合のタイムチャートである。

比較例におけるECUの処理動作を示すタイムチャートであり、非常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合のタイムチャートである。

以下において、図面を参照しながら、発明を実施するための複数の形態を説明する。本実施形態においては、本発明の電子制御装置をECU100に適用した例を採用している。ECU100は、被取付対象に取り付けられてなるものである。被取付対象としては、例えば車両などをあげることができる。本実施形態では、車両に取り付けられたECU100を採用する。なお、ECUは、Electronic Control Unitの略称である。

まず、図1を用いて、ECU100の構成に関して説明する。ECU100は、主に、常時電源系マイコン10、非常時電源系マイコン20、動作モード監視IC30、判定部40などを備えて構成されている。また、ECU100は、書き換え装置200が接続されている。以下、常時電源系マイコンを常時マイコン、非常時電源系マイコンを非常時マイコンと記載することもある。また、常時マイコン10と非常時マイコン20とを区別する必要がない場合は、単にマイコンとも記載する。

なお、書き換え装置200は、通信ラインを介して、後ほど説明する常時電源系マイコン10及び非常時電源系マイコン20と接続されている。そして、書き換え装置200は、常時マイコン10及び非常時マイコン20で用いられるフラッシュROM11,21に記憶された制御用ソフトを書き換えるための装置である。例えば、書き換え装置200は、常時マイコン10及び非常時マイコン20に対して、新しい制御用ソフトや、制御用ソフトの更新用プログラムなどを送信する。

常時マイコン10は、演算部、記憶部、入出力部などを備えたマイコンである。常時マイコン10は、常時電源110と接続されており、常時電源供給が行われる。なお、常時電源110は、例えば、車両に搭載されたバッテリ、及びイグニッションスイッチを介することなくバッテリと常時マイコン10とを接続している電源経路を含むものである。よって、常時マイコン10は、ユーザの操作によらずバッテリと常時接続されて、バッテリから電源供給が行われる、と言い換えるとことができる。しかしながら、常時マイコン10は、常時電源110における障害などによって、瞬間的に(言い換えると、短い時間だけ)電源供給が停止されることもありうる。つまり、常時マイコン10は、所謂瞬断によって、電源供給が停止されることもありうる。なお、バッテリは、特許請求の範囲における電源に相当する。また、電源供給が停止されているマイコンに対して電源供給が開始されたことを、マイコンの立ち上がり又はマイコンの動作開始と言い換えることができる。

常時マイコン10は、フラッシュROM11、フラッシュROM管理部12、動作モード選択部13、動作モード受信部14、動作モード送信部15、非常時電源監視部16などを備えて構成されている。

フラッシュROM11は、常時マイコン10における記憶部に含まれるものである。図示は省略するが、常時マイコン10は、記憶部として、フラッシュROM11だけではなくRAMなどを備えていてもよい。なお、ROMは、Read Only Memoryの略称である。RAMは、Random Access Memoryの略称である。

フラッシュROM11は、特許請求の範囲におけるメモリに相当するものである。フラッシュROM11は、書き換え可能で、且つ、自身に対する電源供給が停止されても記憶内容が消えない不揮発性の半導体メモリである。このフラッシュROM11には、制御用ソフト及びリプログラミング用ソフトが記憶されている。なお、フラッシュROM11は、フラッシュメモリと称することもできる。

常時マイコン10は、フラッシュROM11に記憶されている制御用ソフト及びリプログラミング用ソフトに基づいて動作する。つまり、常時マイコン10は、制御用ソフトに基づいた動作モードである制御モード、及びリプログラミング用ソフトに基づいた動作モードでありフラッシュROM11に記憶された制御用ソフトの書き換えを行うリプロモードで動作する。言い換えると、常時マイコン10は、自身の演算部がフラッシュROM11に記憶されている制御用ソフト及びリプログラミング用ソフトに従って演算処理を実行することによって、制御モード及びリプロモードで動作する。

なお、制御モードは、車両動作のための制御を行う動作モードである。一方、リプロモードは、制御用ソフトの書き換えを行うモードであるため、書き換えモード又はリプログラミングモードと称することもできる。詳述すると、リプロモードは、車両に搭載されたECU100に対して、書き換えを行うモードである。また、常時マイコン10は、リプロモードで動作する際には、動作モード送信部15から書き換え要求を送信する。更に、常時マイコン10と非常時マイコン20は、一方のマイコンが書き換え中の場合、他方のマイコン(言い換えると、書き換え中でないマイコン)は待機状態となる。

また、常時マイコン10は、制御モード及びリプロモードに加えて、オンボードモードでも動作可能である。オンボードモードとは、ECU100を車両から取り外した状態、つまり、ECU100が単体の状態で動作する動作モードである。言い換えると、オンボードモードは、ECU100を単体に対して、且つ、書き換え装置200を接続して、フラッシュROM11の書き換えを行うモードである。よって、ECU100は、車両に取り付けられている状態において、オンボードモードで動作することはない。このように、オンボードモードは、ECU100が車両に取り付けられた状態では実行されることがない動作モードである。

なお、オンボードモードは、リプロモードと同様に、フラッシュROM11を書き換えるモードである。しかしながら、リプロモードは、ECU100が車両に取り付けられた状態で動作する動作モードであるのに対して、オンボードモードは、ECU100が車両から取り外された状態で動作する動作モードである。よって、リプロモードをオンビークルリプロモード、オンボードモードをオンボードリプロモードと称することもできる。つまり、本実施形態では、単にリプロモードと記載した場合、オンビークルリプロモードを示すものである。

フラッシュROM管理部12、動作モード選択部13、非常時電源監視部16は、常時マイコン10における演算部に含まれるものである。また、動作モード受信部14、動作モード送信部15は、常時マイコン10における入出力部に含まれるものである。言い換えると、常時マイコン10は、自身が実行可能な機能を示す機能ブロックとして、フラッシュROM管理部12、動作モード選択部13、動作モード受信部14、動作モード送信部15、非常時電源監視部16を備えている。

フラッシュROM管理部12は、フラッシュROM11に制御用ソフトが正常に書き込まれているか否かを判定する。例えば、常時マイコン10は、リプロモードで動作中において、自身に対する電源供給の瞬断が発生すると、フラッシュROM11に対する書き込みを中断することになる。このような場合、フラッシュROM11は、制御用ソフトが正常に書き込まれていない状態となる。つまり、フラッシュROM11に制御用ソフトが正常に書き込まれていない状態は、フラッシュROM異常と言い換えることができる。よって、フラッシュROM管理部12は、フラッシュROM11におけるフラッシュROM異常を検出するものである。

動作モード選択部13は、書き換え要求の有無などを判定し、この判定結果などに基づいて動作モードを選択する。詳述すると、動作モード選択部13は、動作モード受信部14からの書き換え要求や、フラッシュROM管理部12でのフラッシュROM異常の検出結果によって、動作モードとして制御モード、リプロモード、オンボードモードのいずれかを選択する。

動作モード受信部14は、非常時マイコン20からの書き換え要求を受信する。なお、後ほど説明するが、動作モード受信部14は、判定部40を介して受信した書き換え要求を受信することになる。動作モード送信部15は、非常時マイコン20に対して書き換え要求を送信する。なお、後ほど説明するが、動作モード送信部15は、判定部40を介して書き換え要求を送信することになる。

非常時電源監視部16は、非常時マイコン20に対する電源状態の変化を検出する。つまり、非常時電源監視部16は、非常時マイコン20に対する電源状態が電源供給から電源供給の停止に変化したか否か、及び、非常時マイコン20に対する電源状態が電源供給の停止から電源供給に変化したか否かを判定する。なお、非常時電源監視部16は、電源供給されている非常時マイコン20に対して電源供給が停止されたか否か、及び電源供給が停止されている非常時マイコン20に対して電源供給が開始されたか否かを判定する、と言い換えることができる。また、後ほど説明するが、非常時マイコン20は、イグニッションスイッチのオン及びオフによって、電源供給及び電源供給の停止が変化する。よって、非常時電源監視部16は、イグニッションスイッチがオンからオフ、又はオフからオンに変化したか否かを判定する、と言い換えることもできる。

非常時マイコン20は、常時マイコン10と同様に、演算部、記憶部、入出力部などを備えたマイコンである。非常時マイコン20は、非常時電源120と接続されており、ユーザの操作によってバッテリと接続されて電源供給が行われると共に、ユーザの操作によってバッテリと非接続とされて電源供給が停止される。なお、非常時電源120は、例えば、車両に搭載されたバッテリ、及びイグニッションスイッチを介してバッテリと非常時マイコン20とを接続している電源経路を含むものである。よって、非常時マイコン20は、ユーザがイグニッションスイッチをオン操作することでバッテリと接続されて電源供給が行われると共に、ユーザがイグニッションスイッチをオフ操作することでバッテリと非接続とされて電源供給が停止される。しかしながら、非常時マイコン20は、非常時電源120における障害などによって、イグニッションスイッチの状態にかかわらず、瞬断によって電源供給が停止されることもありうる。

非常時マイコン20は、フラッシュROM21、フラッシュROM管理部22、動作モード選択部23、動作モード受信部24、動作モード送信部25などを備えて構成されている。

フラッシュROM21は、特許請求の範囲におけるメモリに相当するものである。なお、フラッシュROM21は、フラッシュROM11と同様であるため詳しい説明は省略する。また、非常時マイコン20は、記憶部として、フラッシュROM21だけではなくRAMなどを備えていてもよい。

非常時マイコン20は、常時マイコン10と同様に、フラッシュROM21に記憶されている制御用ソフト及びリプログラミング用ソフトに基づいて動作する。つまり、非常時マイコン20は、制御用ソフトに基づいた動作モードである制御モード、及びリプログラミング用ソフトに基づいた動作モードでありフラッシュROM21に記憶された制御用ソフトの書き換えを行うリプロモードで動作する。また、非常時マイコン20は、制御モード及びリプロモードに加えて、オンボードモードでも動作可能である。

フラッシュROM管理部22、動作モード選択部23は、非常時マイコン20における演算部に含まれるものである。また、動作モード受信部24、動作モード送信部25は、非常時マイコン20における入出力部に含まれるものである。言い換えると、非常時マイコン20は、自身が実行可能な機能を示す機能ブロックとして、フラッシュROM管理部22、動作モード選択部23、動作モード受信部24、動作モード送信部25を備えている。なお、フラッシュROM管理部22、動作モード選択部23、動作モード受信部24、動作モード送信部25の夫々は、フラッシュROM管理部12、動作モード選択部13、動作モード受信部14、動作モード送信部15の夫々と同様である。よって、フラッシュROM管理部22、動作モード選択部23、動作モード受信部24、動作モード送信部25に関する詳しい説明は省略する。

フラッシュROM管理部22は、フラッシュROM21に制御用ソフトが正常に書き込まれているか否かを判定する。例えば、非常時マイコン20は、リプロモードで動作中において、自身に対する電源供給の瞬断が発生すると、フラッシュROM21に対する書き込みを中断することになる。このような場合、フラッシュROM21は、制御用ソフトが正常に書き込まれていない状態となる。つまり、フラッシュROM21に制御用ソフトが正常に書き込まれていない状態は、ROM異常と言い換えることができる。よって、フラッシュROM管理部22は、フラッシュROM21におけるフラッシュROM異常を検出するものである。

動作モード選択部23は、書き換え要求の有無などを判定し、この判定結果などに基づいて動作モードを選択する。詳述すると、動作モード選択部23は、動作モード受信部24からの書き換え要求や、フラッシュROM管理部22でのROM異常の検出結果によって、動作モードとして制御モード、リプロモード、オンボードモードのいずれかを選択する。

動作モード受信部24は、常時マイコン10からの書き換え要求を受信する。なお、後ほど説明するが、動作モード受信部24は、判定部40を介して受信した書き換え要求を受信することになる。動作モード送信部25は、常時マイコン10に対して書き換え要求を送信する。なお、後ほど説明するが、動作モード送信部25は、判定部40を介して書き換え要求を送信することになる。

動作モード監視IC30は、常時マイコン10と非常時マイコン20夫々の動作モードを監視する。言い換えると、動作モード監視IC30は、常時マイコン10の動作モードと、非常時マイコン20の動作モードとによって、車両上では動作することがない動作モードであるか否か、つまり、オンボードモードであるか否かを検出する。そして、動作モード監視IC30は、オンボードモードであることを検出すると、常時マイコン10及び非常時マイコン20に対してリセットを発行する。なお、動作モード監視IC30は、ECU100が車両に取り付けられている場合であり、且つ、オンボードモードであることを検出すると、常時マイコン10及び非常時マイコン20に対してリセットを発行する。また、動作モード監視IC30は、常時マイコン10と非常時マイコン20のいずれか一方がオンボードモードで動作していた場合、オンボードモードで動作しているマイコンに対してリセットを発行する。

なお、常時マイコン10及び非常時マイコン20は、オンボードリプロモードでは、例えばマイコンメーカ固有のファームとして動作する。このため、常時マイコン10及び非常時マイコン20は、制御が正常であることを示すWDC信号などを出力しない。よって、ECU100は、ハード的な監視機能を持つ動作モード監視IC30によって、常時マイコン10及び非常時マイコン20の動作異常を検出する。なお、WDCは、Watch Dog Clearの略称である。

また、常時マイコン10及び非常時マイコン20の夫々は、WDC信号などを用いて、互いに動作状態を監視してもよい。しかしながら、常時マイコン10及び非常時マイコン20の夫々は、互いの動作モードの同期が取れない場合、つまり、一方が制御モードで他方がリプロモードの場合、双方の監視体系が崩れることになる。このため、常時マイコン10及び非常時マイコン20は、動作モードの同期が取れない場合、WDC信号の出力停止によるリセット発行が定期的に実施される。これによって、制御モードで動作中のマイコンは、リプロモードで動作中のマイコンが状態異常であると判定することになる。

判定部50は、常時マイコン10と非常時マイコン20の夫々が制御モードであるリプロモードであるかを判定する。判定部50は、動作モード送信部25から送信された常時マイコン10に対する書き換え要求と、動作モード送信部15から送信された非常時マイコン20に対する書き換え要求とに基づいて判定を行う。判定部50は、常時マイコン10と非常時マイコン20のいずれか一方が、書き換え要求を送信している場合、常時マイコン10と非常時マイコン20とに対して書き換え要求を送信する。そして、判定部50は、常時マイコン10と非常時マイコン20の両方が、書き換え要求を送信していない場合、常時マイコン10と非常時マイコン20とに対して書き換え要求を送信しない。例えば、動作モード送信部15,25は、書き換え要求を送信する場合、書き換え要求を示す要求信号をハイレベルとし、書き換え要求を送信しない場合、要求信号をローレベルとする。これによって、ECU100は、常時マイコン10と非常時マイコン20とで動作モードを同期させやすくすることができる。

しかしながら、常時マイコンと非常時マイコンとを備えたECUの場合、各マイコンに瞬断が生じたりすると、各マイコンに対する電源供給の開始タイミングがずれることが起こりうる。言い換えると、常時マイコンと非常時マイコンとを備えたECUの場合、各マイコンに瞬断が生じたりすると、各マイコンで動作開始のタイミングが異なることがある。

次に、図2〜図7を用いて、ECU100の処理動作に関して説明する。まず、図2〜図4のフローチャートを用いて、ECU100の処理動作を説明する。

常時マイコン10及び非常時マイコン20は、自身に対する電源供給が開始されると、図2のフローチャートに示す処理を実行する。しかしながら、常時マイコン10及び非常時マイコン20は、ステップS40とステップS50での処理内容が異なる。非常時マイコン20は、ステップS40において車両動作のための制御を行うと共に、ステップS50において制御用ソフトの書き換えを行う。一方、常時マイコン10は、ステップS40において車両動作のための制御に加えてステップS41に示す判定を行うと共に、ステップS50において制御用ソフトの書き換えに加えてステップS51に示す判定を行う。なお、常時マイコン10及び非常時マイコン20は、自身に対する電源供給が停止されると、図2のフローチャートに示す処理を終了する。

ステップS10では、オンボードリプロモードで動作するか否かを判定する(第1モード判定手段)。動作モード選択部13,23の夫々は、マイコン外部からの書き換え要求の有無に基づいて、オンボードで動作するか否かを判定する。詳述すると、動作モード選択部13,23の夫々は、リプロモードで動作するように指示されていない場合に、オンボードモードで動作しないと判定し、リプロモードで動作するように指示された場合に、オンボードモードで動作すると判定する。そして、動作モード選択部13,23の夫々は、オンボードモードで動作しないと判定した場合はステップS20へ進む。また、動作モード選択部13,23の夫々は、オンボードモードで動作すると判定した場合はステップS60へ進む。

ステップS20では、フラッシュROM異常であるか否かを判定する(第2モード判定手段)。常時マイコン10と非常時マイコン20の夫々は、ステップS10において、オンボードモードで動作しないと判定した場合、フラッシュROM異常であるか否かを判定する。

このとき、フラッシュROM管理部12は、フラッシュROM11に制御用ソフトが正常に書き込まれているか否かを判定する。そして、フラッシュROM管理部12は、フラッシュROM11に制御用ソフトが正常に書き込まれていると判定した場合、フラッシュROM異常でないとみなす。つまり、フラッシュROM管理部12は、フラッシュROM11に制御用ソフトが正常に書き込まれていると判定した場合、フラッシュROM11は正常であるとみなす。また、フラッシュROM管理部12は、フラッシュROM11に制御用ソフトが正常に書き込まれていないと判定した場合、フラッシュROM異常であるとみなす。同様に、フラッシュROM管理部22は、フラッシュROM21に制御用ソフトが正常に書き込まれているか否かによって、フラッシュROM異常であるか否かを判定する。

そして、フラッシュROM管理部12,22の夫々は、フラッシュROM異常でないと判定した場合はステップS30へ進む。また、フラッシュROM管理部12,22の夫々は、フラッシュROM異常であると判定した場合はリプロモードで動作するとみなしてステップS50へ進む。このように、常時マイコン10と非常時マイコン20の夫々は、フラッシュROM11,21の夫々における制御用ソフトが正常に書き込まれているか否かに応じて、リプロモードで動作するか否かを判定する。

なお、常時マイコン10と非常時マイコン20の夫々は、リプロモードで動作するとみなした場合、自身以外のマイコンに対して、リプロモードで動作するように指示する。例えば、フラッシュROM管理部12がリプロモードで動作するとみなした場合、動作モード送信部15は、非常時マイコン20に対して書き換え要求を送信することで、リプロモードで動作するように指示する。

ステップS30では、オンビークルリプロモードで動作するか否かを判定する(第3モード判定手段)。常時マイコン10と非常時マイコン20の夫々は、ステップS20において、リプロモードで動作しないと判定された場合、制御モードで動作するか否かを判定する。このとき、動作モード選択部13,23の夫々は、判定部40からの切り換え要求の有無に基づいて、制御モードで動作するか否かを判定する。そして、動作モード選択部13,23の夫々は、制御モードで動作しないと判定した場合はステップS50へ進み、制御モードで動作すると判定した場合はステップS40へ進む。なお、動作モード選択部13,23の夫々は、ステップS20でのNO判定後、一定時間の待機後にステップS30での判定を行うと好ましい。このようにすることで、図6のタイミングt14や図7のタイミングt24のように相手側の書き換え要求信号出力を確実に受け取ることができる。

ステップS40では、常時マイコン10と非常時マイコン20の夫々は、制御モードで動作する。ステップS50では、常時マイコン10と非常時マイコン20の夫々は、リプロモードで動作する。ステップS60では、常時マイコン10と非常時マイコン20の夫々は、オンボードモードで動作する。

ここで、図3を用いて、常時マイコン10におけるリプロモードでの処理動作を説明する。常時マイコン10は、リプロモードで動作中、ステップS51での判定を行う。

ステップS51では、非常時電源状態が変化したか否かを判定する(第1遷移手段)。このとき、非常時電源監視部16は、非常時マイコン20に対する電源状態の変化を検出する。言い換えると、非常時電源監視部16は、非常時マイコン20の立ち上がり、及び立ち下りを検出する。

そして、非常時電源監視部16は、電源状態が変化したことを検出した場合、ステップS10での判定に処理を遷移(言い換えると、移行)する。つまり、常時マイコン10は、リプロモードで動作中(書き換え中)において、非常時マイコン20に対する電源状態が変化したことを検出すると、自身に対する電源供給が開始された直後の状態に初期化する。なお、非常時電源監視部16は、電源状態が変化したことを検出していない場合、ステップS51での処理を繰り返し実行する。

ここで、図4を用いて、常時マイコン10における制御モードでの処理動作を説明する。常時マイコン10は、制御モードで動作中、ステップS41での判定を行う。

ステップS41では、非常時電源の立ち上がりを判定する(第2遷移手段)。このとき、非常時電源監視部16は、非常時マイコン20に対する電源状態が停止状態から供給状態に変化したか否かを検出する。

そして、非常時電源監視部16は、非常時マイコン20に対する電源状態が停止状態から供給状態に変化したことを検出した場合、ステップS30での判定に処理を遷移する。また、非常時電源監視部16は、非常時マイコン20に対する電源状態が停止状態から供給状態に変化したことを検出していない場合、ステップS41での処理を繰り返し実行する。

次に、図5〜図7のタイムチャートを用いて、ECU100の処理動作を説明する。ここでは、比較例のECUの処理動作を示すタイムチャートである図9〜図11を用いて、比較例のECUの処理動作と比較しつつ、ECU100の処理動作を説明する。

なお、比較例のECUは、ECU100と同様に、常時マイコンと非常時マイコンとを備えており、図2のフローチャートと同様の処理を実行するものとする。しかしながら、比較例のECUは、非常時マイコンだけではなく、常時マイコンであっても、ステップS41及びステップS51での判定を行わない。

また、常時マイコンと非常時マイコンとを備えたECU100や比較例のECUは、図8に示すように、電源瞬断と瞬断後のフラッシュROM状態との組み合わせが起こりうる。

まず、一つ目の組み合わせは、非常時マイコンがフラッシュROMの書き換え中に、常時マイコンに対する瞬断が発生した場合である。この場合、瞬断後のフラッシュROM状態は、非常時マイコンソフト異常となる。つまり、フラッシュROMは、非常時マイコンの制御用ソフトが正常に書き込まれていない状態となる。

次に、二つ目の組み合わせは、非常時マイコンがフラッシュROMの書き換え中に、非常時マイコンに対する瞬断が発生した場合である。この場合、瞬断後のフラッシュROM状態は、非常時マイコンソフト異常となる。つまり、フラッシュROMは、非常時マイコンの制御用ソフトが正常に書き込まれていない状態となる。

そして、三つ目の組み合わせは、常時マイコンがフラッシュROMの書き換え中に、常時マイコンに対する瞬断が発生した場合である。この場合、瞬断後のフラッシュROM状態は、常時マイコンソフト異常となる。つまり、フラッシュROMは、常時マイコンの制御用ソフトが正常に書き込まれていない状態となる。

なお、四つ目の組み合わせは、常時マイコンがフラッシュROMの書き換え中に、非常時マイコンに対する瞬断が発生した場合である。この場合、瞬断後のフラッシュROM状態は、常時マイコンソフト異常及び非常時マイコンソフト異常とならない。つまり、常時マイコンの制御用ソフト及び、非常時マイコンの制御用ソフトは、非常時マイコンに対する瞬断が発生したことが原因で、正常に書き込まれていない状態となることはない。

比較例のECUは、この四つの組み合わせの夫々において異常となることが懸念される。この四つのケースに関して、タイムチャートを用いて詳しく説明する。

まず、三つ目の組み合わせに関して説明する。常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合、比較例のECUは、図9に示すタイムチャートのように動作する。

タイミングt31に示すように、常時マイコンの書き換え中に常時マイコンに対する瞬断が発生した場合、比較例のECUは、全てのマイコンの書き換えが中断状態となる。つまり、常時マイコンだけでなく、非常時マイコンに関しても、書き換えが中断状態となる。

その後、タイミングt32に示すように、常時マイコンに対する電源供給が復帰すると、常時マイコンは、リセットが解除されて、図2に示すフローチャートをスタート(S)する。このとき、非常時マイコンは、電源供給が停止されている。よって、常時マイコンは、ステップS10に続いて、ステップS20へ進むことになる。

常時マイコンは、タイミングt33に示すように、ステップS20での判定においてフラッシュROMの異常を検出して、ステップS50のリプロモードへ進み、フラッシュROMの書き換えを再開することになる。また、常時マイコンは、リプロモードで動作するため、タイミングt33に示すように、書き換え要求を送信することになる。これによって、非常時マイコンには、書き換え要求が送信される。

その後、非常時マイコンは、電源供給が開始されると、図2に示すフローチャートをスタート(S)する。このとき、非常時マイコンは、タイミングt33において、書き換え要求が送信されている。このため、タイミングt34に示すように、非常時マイコンは、ステップS10で、オンボードモードで動作すると判定することになる。よって、非常時マイコンは、ステップS60のオンボードモードへ進むことになる。つまり、非常時マイコンは、比較例のECUが車両上で動作しているにかかわらず、オンボードモードに突入することになる。この結果、動作モード監視ICは、タイミングt35に示すように、オンボードモードであることを検出することになり、非常時マイコンに対してリセットを発行する。

これに対して、ECU100は、図5に示すタイムチャートのように動作する。タイミングt1に示すように、常時マイコン10の書き換え中に常時マイコンに対する瞬断が発生した場合、ECU100は、全てのマイコンの書き換えが中断状態となる。つまり、常時マイコン10だけでなく、非常時マイコン20に関しても、書き換えが中断状態となる。

その後、タイミングt2に示すように、常時マイコンに対する電源供給が復帰すると、常時マイコン10は、リセットが解除されて、図2に示すフローチャートをスタート(S)する。このとき、非常時マイコン20は、電源供給が停止されている。よって、常時マイコン10は、ステップS10に続いて、ステップS20へ進むことになる。

常時マイコン10は、ステップS20での判定においてフラッシュROMの異常を検出して、タイミングt3に示すように、ステップS50のリプロモードへ進み、フラッシュROMの書き換えを再開することになる。更に、常時マイコン10は、リプロモードで動作中において、非常時電源監視部16が非常時マイコン20に対する電源状態の変化を検出する(ステップS51)。

その後、非常時マイコン20は、タイミングt4に示すように、電源供給が開始されると、図2に示すフローチャートをスタート(S)する。このとき、常時マイコン10は、ステップS51において、非常時電源監視部16が、非常時マイコン20に対する電源状態の変化、すなわち、非常時マイコン20の立ち上がりを検出することになる。よって、常時マイコン10は、リプロモードで動作中において、非常時マイコン20に対する電源状態が変化したことで、自身に対する電源供給が開始された直後の状態に初期化する。つまり、常時マイコン10は、図2に示すフローチャートをスタート(S)する。そして、常時マイコン10は、再度、ステップS10を行うことになる。言い換えると、常時マイコン10は、ステップS50のリプロモードから、ステップS10に再度遷移する。

これによって、常時マイコン10と非常時マイコン20は、図2に示すフローチャートのステップS10を行うことになる。このように、ECU100は、常時マイコン10と非常時マイコン20との動作モードを同期させることができる。

また、常時マイコン10と非常時マイコン20の夫々は、リプロモードで動作するように指示されないため、タイミングt5に示すように、ステップS10においてオンボードモードで動作しないと判定する。よって、常時マイコン10と非常時マイコン20の夫々は、ステップS20へ進むことになる。

そして、非常時マイコン20は、ステップS20において、フラッシュROM異常を検出しないため、ステップS30での判定に進む。一方、常時マイコン10は、ステップS20での判定においてフラッシュROMの異常を検出して、ステップS50のリプロモードへ進み、フラッシュROM11の書き換えを再開することになる。これによって、常時マイコン10は、再度、フラッシュROM11の書き換えを行うことができる。また、常時マイコン10は、リプロモードで動作するため、タイミングt6に示すように、書き換え要求を送信することになる。つまり、非常時マイコン20は、タイミングt6に示すように、書き換え要求が送信される。

このとき、非常時マイコン20は、比較例のECUと異なり、ステップS20での判定を完了しているため、オンボードモードに突入することはない。そして、非常時マイコン20は、ステップS30での判定において、判定部40からの切り換え要求を受け取ることになるため、ステップS50のリプロモードへ進む。言い換えると、非常時マイコン20は、ステップS30での判定において、切り換え要求を検出することになるため、リプロモードに移行する。これによって、非常時マイコン20に関しても、フラッシュROM21の書き換え可能な状態となる。このように、非常時マイコン20は、常時マイコン10が書き換え要求を出す前に、ステップS10での判定を完了しているため、ステップS30での判定でオンビークルモードに遷移可能となる。

次に、二つ目及び四つ目の組み合わせに関して説明する。常時マイコン及び非常時マイコンのいずれかがフラッシュROMの書き換え中で、非常時マイコンに対する瞬断が発生した場合、比較例のECUは、図10に示すタイムチャートのように動作する。

タイミングt41に示すように、非常時マイコンの書き換え中に非常時マイコンに対する瞬断が発生した場合は、非常時マイコンは、書き換えが中断状態となる。一方、常時マイコンは、リプロモードを継続する。つまり、非常時マイコンのみ書き換えが中断状態となる。

その後、タイミングt42に示すように、非常時マイコンに対する電源供給が復帰すると、非常時マイコンは、リセットが解除されて、図2に示すフローチャートをスタート(S)する。このとき、常時マイコンは、リプロモードで動作しているため、書き換え要求を送信することになる。これによって、非常時マイコンには、書き換え要求が送信される。

このため、タイミングt43に示すように、非常時マイコンは、ステップS10で、オンボードモードで動作すると判定することになる。よって、非常時マイコンは、ステップS60のオンボードモードへ進むことになる。つまり、非常時マイコンは、比較例のECUが車両上で動作しているにかかわらず、オンボードモードに突入することになる。この結果、動作モード監視ICは、タイミングt44に示すように、オンボードモードであることを検出することになり、非常時マイコンに対してリセットを発行する。

また、タイミングt41において、常時マイコンの書き換え中に非常時マイコンに対する瞬断が発生した場合も同様に、常時マイコンは、書換えを継続するが、非常時マイコンは、瞬断状態となる。その後、タイミングt42において、非常時マイコンに対する電源供給が復帰すると、非常時マイコンは、リセットが解除される。よって、非常時マイコンは、電源供給が開始されると、図2に示すフローチャートをスタート(S)する。このとき、非常時マイコンは、タイミングt42において、書き換え要求が送信されている。このため、タイミングt43に示すように、非常時マイコンは、ステップS10で、オンボードモードで動作すると判定することになる。このため、非常時マイコンは、ステップS60のオンボードモードへ進むことになる。つまり、非常時マイコンは、比較例のECUが車両上で動作しているにかかわらず、オンボードモードに突入することになる。この結果、動作モード監視ICは、タイミングt44において、オンボードモードであることを検出することになり、非常時マイコンに対してリセットを発行する。

これに対して、ECU100は、図6に示すタイムチャートのように動作する。タイミングt11に示すように、非常時マイコン20の書き換え中に非常時マイコン20に対する瞬断が発生した場合、非常時マイコン20は、書き換えが中断状態となる。

一方、常時マイコン10は、ステップS51において、非常時電源監視部16が、非常時マイコン20に対する電源状態の変化、すなわち、非常時マイコン20の立ち下がりを検出することになる(ステップS51)。よって、常時マイコン10は、リプロモードで動作中において、非常時マイコン20に対する電源状態が変化したことで、自身に対する電源供給が開始された直後の状態に初期化する(ステップS51)。つまり、常時マイコン10は、図2に示すフローチャートをスタート(S)する。そして、常時マイコン10は、再度、ステップS10を行うことになる。言い換えると、常時マイコン10は、ステップS50のリプロモードから、ステップS10に再度遷移する。その後、常時マイコン10は、ステップS10〜ステップS30を経て、ステップS40の制御モードで動作することになる。更に、常時マイコン10は、制御モードにおいて、非常時電源監視部16が非常時マイコン20に対する電源状態が停止状態から供給状態に変化したか否かを検出する(ステップS41)。

そして、タイミングt12,t13に示すように、常時マイコン10は、制御モードで動作中において、非常時マイコン20に対する電源状態が停止状態から供給状態に変化したことで、ステップS30に遷移する。

一方、非常時マイコン20は、タイミングt12に示すように、自身に対する電源供給が復帰すると、リセットが解除されて、図2に示すフローチャートをスタート(S)する。このとき、常時マイコン10は、リプロモードで動作していないため、書き換え要求を送信していない。このため、非常時マイコン20は、オンボードモードに遷移することなく、ステップS20に遷移する。

その後、非常時マイコン20は、タイミングt14に示すように、ステップS20での判定においてフラッシュROMの異常を検出して、ステップS50のリプロモードへ進み、フラッシュROM21の書き換えを再開することになる。これによって、非常時マイコン20は、再度、フラッシュROM21の書き換えを行うことができる。また、非常時マイコン20は、リプロモードで動作するため、タイミングt14に示すように、書き換え要求を送信することになる。つまり、常時マイコン10は、タイミングt14に示すように、書き換え要求が送信される。

よって、常時マイコン10は、ステップS30での判定において、判定部40からの切り換え要求を受け取ることになるため、ステップS50のリプロモードへ進む。言い換えると、常時マイコン10は、ステップS30での判定において、切り換え要求を検出することになるため、リプロモードに移行する。これによって、常時マイコン10に関しても、フラッシュROM11の書き換え可能な状態となる。このように、常時マイコン10は、非常時マイコン20が起動した後に、再度ステップS30での判定にて、書き換え要求を検出しリプロモードに遷移可能となる。

また、上記のように、常時マイコン10は、制御用プログラムを書き換え中、非常時電源監視部16が非常時マイコン20に対する電源状態の変化を検出するものである。よって、タイミングt11において、常時マイコン10の書き換え中に非常時マイコン20に対する瞬断が発生した場合、常時マイコン10は、非常時電源監視部16が非常時マイコン20に対する電源状態が供給状態から停止状態に変化したと検出することになる。このような場合、常時マイコン10は、自身の制御用ソフトの書き換え、つまり、フラッシュROM11の書き換えを中断すると好ましい。

このようにすることで、常時マイコン10だけ制御用ソフトが更新されることを抑制できる。つまり、常時マイコン10と非常時マイコン20とで、制御用ソフトの不整合が生じることを抑制できる。言い換えると、常時マイコン10は、制御用ソフトの書き換えを継続して書き換えが完了し、新しい制御用ソフトに更新された状態であるのに対して、非常時マイコン20は、制御用ソフトが更新されない状態となることを抑制できる。

そして、一つ目の組み合わせに関して説明する。非常時マイコンがフラッシュROMの書き換え中で、常時マイコンに対する瞬断が発生した場合、比較例のECUは、図11に示すタイムチャートのように動作する。

タイミングt51に示すように、非常時マイコンの書き換え中に常時マイコンに対する瞬断が発生した場合、比較例のECUは、全てのマイコンの書き換えが中断状態となる。つまり、非常時マイコンだけでなく、常時マイコンに関しても、書き換えが中断状態となる。しかしながら、このとき、常時マイコンは、フラッシュROMの書き換えを行っていないため、フラッシュROM異常にはならない。

その後、タイミングt52に示すように、常時マイコンに対する電源供給が復帰すると、常時マイコンは、リセットが解除されて、図2に示すフローチャートをスタート(S)する。このとき、非常時マイコンは、電源供給が停止されている。よって、常時マイコンは、ステップS10に続いて、ステップS20へ進むことになる。また、常時マイコンは、ステップS20での判定においてフラッシュROMの異常を検出しないため、ステップS30へ進む。更に、常時マイコンは、非常時マイコンに対する電源供給が停止されており、ステップS30において書き換え要求を受け取らないため、ステップS40の制御モードへ進むことになる。

その後、非常時マイコンは、電源供給が開始されると、図2に示すフローチャートをスタート(S)する。このとき、常時マイコンは、制御モードで動作している。このため、非常時マイコンは、ステップS20に進むことになる。更に、非常時マイコンは、ステップS20での判定においてフラッシュROM異常を検出して、ステップS50のリプロモードへ進み、フラッシュROMの書き換えを再開することになる。このとき、常時マイコンは、制御モードで動作しているのに対して、非常時マイコンは、リプロモードで動作することになる。このため、常時マイコンは、非常時マイコンの状態異常を検出することになる。

これに対して、ECU100は、図7に示すタイムチャートのように動作する。タイミングt11に示すように、非常時マイコン20の書き換え中に非常時マイコン20に対する瞬断が発生した場合、非常時マイコン20は、書き換えが中断状態となる。

タイミングt21に示すように、非常時マイコン20の書き換え中に常時マイコン10に対する瞬断が発生した場合、ECU100は、全てのマイコンの書き換えが中断状態となる。つまり、非常時マイコン20だけでなく、常時マイコン10に関しても、書き換えが中断状態となる。しかしながら、このとき、常時マイコン10は、フラッシュROMの書き換えを行っていないため、フラッシュROM異常にはならない。

その後、タイミングt22に示すように、常時マイコンに対する電源供給が復帰すると、常時マイコン10は、比較例のECUにおける常時マイコンと同様に、ステップS40の制御モードへ進むことになる。更に、常時マイコン10は、制御モードにおいて、非常時電源監視部16が非常時マイコン20に対する電源状態が停止状態から供給状態に変化したか否かを検出する(ステップS41)。

そして、タイミングt23に示すように、常時マイコン10は、制御モードで動作中において、非常時マイコン20に対する電源状態が停止状態から供給状態に変化したことで、ステップS30に遷移する。

一方、非常時マイコン20は、電源供給が開始されると、図2に示すフローチャートをスタート(S)する。このとき、常時マイコン10は、リプロモードで動作していないため、書き換え要求を送信していない。このため、非常時マイコン20は、オンボードモードに遷移することなく、ステップS20に遷移する。

その後、非常時マイコン20は、タイミングt24に示すように、ステップS20での判定においてフラッシュROM異常を検出して、ステップS50のリプロモードへ進み、フラッシュROM21の書き換えを再開することになる。これによって、非常時マイコン20は、再度、フラッシュROM21の書き換えを行うことができる。また、非常時マイコン20は、リプロモードで動作するため、タイミングt24に示すように、書き換え要求を送信することになる。つまり、常時マイコン10は、タイミングt24に示すように、書き換え要求が送信される。

このとき、常時マイコン10は、制御モードで動作していない。このため、常時マイコン10は、ステップS30での判定において、判定部40からの切り換え要求を受け取ることになるため、ステップS50のリプロモードへ進む。言い換えると、常時マイコン10は、ステップS30での判定において、切り換え要求を検出することになるため、リプロモードに移行する。これによって、常時マイコン10に関しても、リプロモードに移行し、フラッシュROM11の書き換え可能な状態となる。このように、常時マイコン10は、非常時マイコン20が起動した後に、再度ステップS30での判定にて、書き換え要求を検出しリプロモードに遷移可能となる。

ここまでに説明したように、ECU100は、常時マイコン10と非常時マイコン20とを備えてなるものである。そして、常時マイコン10は、制御用ソフトの書き換えを行っている際に、非常時マイコンに対する電源状態の変化を検出する。そして、常時マイコン10は、電源状態が変化したことを検出した場合、ステップS10での判定に処理を遷移する。

このため、ECU100は、常時マイコン10が書き換え中において、非常時マイコン20に対する電源状態が停止状態から供給状態に変化した場合、常時マイコン10と非常時マイコン20の両方がステップS10での判定を行うことになる。つまり、ECU100は、常時マイコン10と非常時マイコン20とで、ステップS10での判定の実行タイミングを同期させることができる。

よって、ECU100は、常時マイコン10が書き換え中に、非常時マイコン20に対する電源状態が停止状態から供給状態に変化した場合であっても、常時マイコン10が非常時マイコン20に対してリプロモードで動作するように指示しない。このため、ECU100は、常時マイコン10が書き換え中に、非常時マイコン20がオンボードモードで動作することを抑制できる。従って、ECU100は、誤動作を抑制できる。

なお、常時マイコン10は、制御用ソフトの書き換えを行っている際に、非常時マイコン20に対する電源状態が供給状態から停止状態に変化した場合に関してもステップS10での判定を行うことになる。このとき、非常時マイコン20は、電源供給が停止されているため動作していない。従って、ECU100は、常時マイコンが書き換え作中に、非常時マイコン20がオンボードモードで動作することを抑制できる。従って、ECU100は、誤動作を抑制できる。

つまり、常時マイコンと非常時マイコンとを備えたECUでは、電源供給の開始タイミング、つまり、立ち上がりに差が生じる。ECU100は、立ち上がりの差によって、電源瞬断によって常時マイコン10の書き換えが失敗した後のリトライ時(再書き換え時)に、マイコンがオンボードモードに遷移することを抑制できる。これによって、ECU100は、リトライ時のリプロモードへの遷移を正常に実施することが可能となる。

また、ECU100は、常時マイコン10が制御モードで動作中に、非常時マイコン20の立ち上がりを検出し、ステップS30での判定に遷移することで、非常時マイコン20における書き換え失敗後のリトライにも対応可能となる。

以上、本発明の好ましい実施形態について説明した。しかしながら、本発明は、上記した実施形態に何ら制限されることはなく、本発明の趣旨を逸脱しない範囲において、種々の変形が可能である。

10 常時電源系マイコン、11 フラッシュROM、12 フラッシュROM管理部、13 動作モード選択部、14 動作モード受信部、15 動作モード送信部、16 非常時電源監視部、20 非常時電源系マイコン、21 フラッシュROM、22 フラッシュROM管理部、23 動作モード選択部、24 動作モード受信部、25 動作モード送信部、30 動作モード監視IC、40 判定部、100 ECU、110 常時電源、120 非常時電源、200 書き換え装置