JP2003104138A

JP2003104138A - データ書き換えのための車両制御装置の監視システム

Info

Publication number: JP2003104138A
Application number: JP2001305312A
Authority: JP
Inventors: Masanori Matsuura; 正典松浦; Tetsuya Yashiki; 哲也屋敷; Shigeki Baba; 茂樹馬場; Takashi Kuki; 隆久木; Shuji Tomimatsu; 修治富松
Original assignee: Honda Motor Co Ltd
Current assignee: Honda Motor Co Ltd
Priority date: 2001-10-01
Filing date: 2001-10-01
Publication date: 2003-04-09

Abstract

(57)【要約】【課題】車両制御装置のデータ書き換え動作に及ぼす遅
延を最小にして、書き換え動作中でも故障監視を継続す
ることができるようにする。【解決手段】外部の書換装置から受信したデータで、不
揮発性メモリに格納されたデータを書き換える車両制御
装置と、制御装置に故障が生じたかどうかを判定する監
視装置とを備える。車両制御装置は、書き換え制御モー
ドにおいては第１の監視用データを監視装置に送信し、
該書き換え以外の通常制御モードにおいては第２の監視
用データを監視装置に送信する。監視装置は、受信した
第１の監視用データおよび第２の監視用データに基づい
て、車両制御装置に故障が生じたかどうかを判定する。
第１の監視用データの送信タイミングは、第２の監視用
データの送信タイミングよりも長く設定される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、外部の書き換え
装置から受信したデータで、車両制御装置のメモリに格
納されたデータを書き換える、車両制御装置のための書
き換えシステムに関する。

【０００２】

【従来の技術】現在、車両は、複数の車両制御装置（以
下、「ＥＣＵ」ともいう）により、空燃比、燃料噴射
量、エミッションなどのエンジンに関する制御、パワー
ウィンドウ、エアバッグ、ＡＢＳなどの車体に関する制
御など、様々に制御されている。ＥＣＵは、車両に搭載
された様々なセンサによって検出された車両の状態に基
づいて、車両を様々に制御する。

【０００３】ＥＣＵは、中央演算処理装置（ＣＰＵ）、
実行するプログラムおよびデータを格納するＲＯＭ（読
み取り専用メモリ）、実行時の作業領域を提供し演算結
果などを記憶するＲＡＭ（ランダムアクセスメモリ）、
各種センサからの信号を受け取り、およびエンジン各部
に制御信号を送る入出力インターフェースを備えてい
る。上記ＲＯＭには、典型的にはフラッシュメモリ、Ｅ
ＥＰＲＯＭのような消去および書き込み可能な不揮発性
メモリが含まれる。

【０００４】このような不揮発性メモリに格納されたデ
ータを書き換えるシステムが知られている。このシステ
ムは、典型的には、書き換え装置、ＥＣＵ、およびそれ
らを接続するシリアル通信路から構成される。ＥＣＵ
は、該ＥＣＵに搭載された不揮発性メモリに格納された
データを消去し、書き換え装置からシリアル通信を介し
て送信されたデータを受信し、該受信したデータを該不
揮発性メモリの所定の領域に書き込む。

【０００５】このような、不揮発性メモリの書き換えを
実行するＥＣＵに故障が生じているかどうかを判定する
ため、該ＥＣＵとは別の監視ＥＣＵを設けることが提案
されている。監視ＥＣＵは、書き換えを実行するＥＣＵ
（以下、監視対象ＥＣＵと呼ぶ）との通信を介して、監
視対象ＥＣＵが正常に動作しているかどうか判断する。
具体的には、監視対象ＥＣＵが定期的に監視用データを
監視ＥＣＵに送信する。監視ＥＣＵは、監視用データを
定期的に受信している間は、監視対象ＥＣＵが正常に動
作していると判断する。一方、監視ＥＣＵは、所定期間
が経過しても監視用データが受信されない場合は、監視
対象ＥＣＵに故障が生じていると判断する。

【０００６】監視対象ＥＣＵがメモリの書き換えを実行
している間にこのような監視用データが通信を介して送
受信されると、書き換え動作が遅くなり、書き換え時間
が長くなるという問題があった。

【０００７】これを解決するため、監視対象ＥＣＵが書
き換えを実行している間は、監視対象ＥＣＵと監視ＥＣ
Ｕとの間の通信を停止することが考えられる。しかしな
がら、通信を停止すると、監視ＥＣＵは、所定時間が経
過しても監視対象ＥＣＵから監視用データを受信しない
ため、監視対象ＥＣＵに故障が生じていると誤って判定
することがある。

【０００８】特開平１０−６３５４２号公報には、書き
換え動作中には監視ＥＣＵが故障判定を実行しないよう
にする方法が記載されている。この方法によると、書き
換えを開始するとき、外部の書き換え装置が、通信ライ
ンを介して監視ＥＣＵに監視を停止するよう要求する。
書き換えが終了した後、書き換え装置が、監視ＥＣＵに
監視を再開するよう要求する。また、別の方法による
と、監視対象ＥＣＵが書き換え装置から書き換え開始信
号を受信したとき、該監視対象ＥＣＵが、監視ＥＣＵに
監視を停止するよう要求する。書き換えが終了した後、
監視対象ＥＣＵが、監視ＥＣＵに監視を再開するよう要
求する。

【０００９】

【発明が解決しようとする課題】しかしながら、上記の
特開平１０−６３５４２号公報のものによると、監視Ｅ
ＣＵが誤って監視停止要求を受信したと判断してしまっ
た場合、または、書き換え装置および監視対象ＥＣＵが
誤って監視停止要求を監視ＥＣＵに送信してしまった場
合、監視が停止され、監視対象ＥＣＵの故障を判断する
ことができなくなる。

【００１０】したがって、書き換え動作中も監視を継続
しつつ、書き換え動作に遅延を生じさせない装置および
方法が必要とされている。

【００１１】

【課題を解決するための手段】上記の課題を解決するた
め、請求項１の発明のデータ書き換えのための車両制御
装置の監視システムは、車両を制御するための制御情報
を記憶した書き換え可能な不揮発性メモリを有し、外部
の書換装置から受信したデータで該メモリに格納された
データを書き換える、車両に搭載された車両制御装置
と、車両制御装置に故障が生じたかどうかを判定する監
視装置とを備え、車両制御装置は、前記メモリのデータ
を書き換える書き換え制御モードにおいては第１の監視
用データを監視装置に送信し、該書き換え制御以外の通
常制御モードにおいては第２の監視用データを監視装置
に送信し、監視装置は、受信した前記第１の監視用デー
タおよび前記第２の監視用データに基づいて、車両制御
装置に故障が生じたかどうかを判定し、第１の監視用デ
ータの送信タイミングの間隔は、第２の監視用データの
送信タイミングの間隔よりも長く設定される、という構
成をとる。

【００１２】この発明によると、書き換え動作中も車両
制御装置に対する監視が継続されるので、車両制御装置
に故障が生じた場合に速やかに対応することができる。
また、書き換え制御モードにおける監視用データは、通
常の制御モードにおける監視用データよりも送信タイミ
ングの間隔が長く設定されるので、監視により書き換え
動作に及ぼされる遅延を最小にすることができる。

【００１３】請求項２の発明は、請求項１に記載のデー
タ書き換えのための車両制御装置の監視システムにおい
て、監視装置は、書き換え制御モードにおいては、第１
の所定時間が経過しても第１の監視用データを受け取ら
なければ車両制御装置に故障が生じたと判定し、通常制
御モードにおいては、第２の所定時間が経過しても第２
の監視用データを受け取らなければ車両制御装置に故障
が生じたと判定し、第１の所定時間は、第２の所定時間
よりも長く設定される、という構成をとる。

【００１４】この発明によると、監視装置は、書き換え
制御モードにおいては、通常制御モードよりも長い時間
間隔で故障判定を実行するので、通常制御モードでは速
やかに故障を検出することができると共に、書き換え制
御モードでは、書き換え動作に及ぼす遅延を最小限にし
つつ車両制御装置の監視を継続することができる。

【００１５】

【発明の実施の形態】次に図面を参照してこの発明の実
施の形態を、外部の書き換え装置が送信したデータで、
車両制御装置（ＥＣＵ）の不揮発性メモリに格納された
データを書き換えるシステムに関して説明する。

【００１６】図１は、この発明に従う監視システムの全
体的な機能ブロック図を示す。監視システムは、書き換
え装置２０から受信したデータでメモリの書き換えを実
行する監視対象ＥＣＵ１０、および該ＥＣＵ１０を監視
する監視ＥＣＵ３０を備える。

【００１７】監視対象ＥＣＵ１０は、典型的にはシリア
ル通信を介して、外部に設けられた書き換え装置２０に
接続されることができる。書き換え装置２０は、ＥＣＵ
１０が搭載される車両のメーカーによって認可された正
規の書き換え装置である。書き換え装置２０をシリアル
通信バスを介してＥＣＵ１０に接続することにより、書
き換え装置２０によって、ＥＣＵ１０のＲＯＭ１３に格
納されたデータおよびプログラムを書き換えることがで
きる。

【００１８】ＥＣＵ１０は、典型的にはマイクロコンピ
ュータおよびこれに付随する回路素子で構成され、中央
演算処理装置（以下「ＣＰＵ」という）、不揮発性メモ
リであって、実行するプログラムおよびデータを格納す
るＲＯＭ１３、実行時の作業領域を提供し演算結果など
を記憶するＲＡＭ（ランダムアクセスメモリ）、車両に
設けられた様々なセンサから検出信号を受け取り、車両
の各部に制御信号を送る入出力インターフェースを備え
る。ここで、センサからの検出信号には、エンジン回転
数、エンジン水温、吸気温、バッテリ電圧、イグニショ
ンスイッチなどが含まれる。ＣＰＵは、入出力インター
フェースから入力された検出信号に基づいて、ＲＯＭ１
３から制御プログラムおよびデータを呼び出して演算を
行い、その結果を入出力インターフェースを介して車両
の各部に出力し、車両の様々な機能を制御する。

【００１９】簡単にするため、図１には、ＲＯＭ１３の
みが表されている。以下、ＲＯＭ１３に格納されている
データを書き換える実施例について説明する。しかし、
以下の実施例の説明は、ＲＯＭ１３に格納されているプ
ログラムを書き換える場合にも同様に適用される。

【００２０】ＲＯＭ１３は、格納されたデータを消去し
て新たなデータを書き込むことができる不揮発性メモリ
であり、たとえばフラッシュメモリ、ＥＥＰＲＯＭによ
って実現することができる。

【００２１】制御モード切り換え部１２、書き換え部１
４、タイミング制御部１５および監視用データ送信部１
６は、典型的にはコンピュータプログラムとして実現さ
れる。これらのプログラムは、たとえば書き換え不可能
なＲＯＭ（図示せず）に格納される。書き換え不可能な
ＲＯＭは、格納されたデータを変更することができない
不揮発性メモリである。

【００２２】書き換え不可能なＲＯＭは、製造時にデー
タが決められ、その後に消去および書き込みができない
マスクＲＯＭや、１度だけデータを書き込むことができ
るＰＲＯＭなどによって実現することができる。また
は、フラッシュメモリ、ＥＥＰＲＯＭのような消去およ
び書き込み可能（すなわち書き換え可能）なＲＯＭ１３
のメモリ領域のうち、ある領域を変更不可能領域と設定
することによって実現してもよい。たとえば、ＥＥＰＲ
ＯＭのある特定の領域を書き換え不可能領域と設定し、
そこにプログラムなどを格納する。その後、該書き換え
不可能領域以外の空き領域に対してスタートおよびエン
ドアドレスを指定することにより、書き換え可能領域を
設定する。

【００２３】図１および図２を参照して、書き換え装置
２０から受信したデータで、ＥＣＵ１０のＲＯＭ１３に
格納されたデータを書き換える動作を説明する。ここ
で、書き換え装置２０からＥＣＵ１０へのデータ送信
は、データブロック単位に実行される。

【００２４】書き換え装置２０をＥＣＵ１０に接続した
後、書き換え装置２０を操作して、書き換え動作を開始
する。または、ＥＣＵ１０を操作して、書き換え動作を
開始するようにしてもよい。

【００２５】ステップＳ４１において、書き換え装置２
０は、ＥＣＵ１０にセキュリティ解除要求信号を送信す
る。ＥＣＵ１０は、それに応答して、正規の書き換え装
置が接続されていることを確認する認証処理を開始す
る。書き換え装置２０が正規のものであると認証された
ならば、ＥＣＵ１０は、認証が成功したことを示す信号
を書き換え装置２０に送信する。一方、書き換え装置２
０が正規のものではないと判断されたならば、認証が不
成功だったことを示す信号を書き換え装置２０に送信す
る。認証が成功したならばステップＳ４２に進み、書き
換え装置２０は、書き換え開始信号をＥＣＵ１０に送信
する。ＥＣＵ１０は、それに応答して、書き換え開始許
可信号を返す。

【００２６】ステップＳ４３において、書き換え装置２
０は、書き換え制御モードへの移行を要求する信号をＥ
ＣＵ１０に送信する。ＥＣＵ１０の制御モード切り換え
部１２は、制御モード移行許可信号を書き換え装置２０
に送信すると共に、書き換え制御フラグに１をセットし
て、書き換え制御モードに移行する。ステップＳ４４に
おいて、書き換え装置２０は、制御モードの移行が完了
したかどうかをＥＣＵ１０に問い合わせる。制御モード
の移行が完了したならば、制御モード切り換え部１２
は、移行完了信号を書き換え装置２０に送信する。

【００２７】ステップＳ４５において、書き換え装置２
０は、ＲＯＭ１３に格納されたデータの消去をＥＣＵ１
０に要求する。具体的には、書き換え装置２０は、ＲＯ
Ｍ１３の消去すべきデータが格納されたメモリアドレス
を送信する。ＥＣＵ１０の書き換え部１４は、受け取っ
たメモリアドレスに従って、ＲＯＭ１３のデータを消去
する。消去が完了したならば、消去完了信号を書き換え
装置２０に送信する。

【００２８】ステップＳ４６において、書き換え装置２
０は、書き込み要求信号と共に、ＲＯＭ１３に書き込む
べきデータブロックをＥＣＵ１０に送信する。データブ
ロックには、該データブロックが格納されるべきＲＯＭ
１３のメモリアドレスが付加されている。ＥＣＵ１０の
書き換え部１４は、書き換え装置２０から送られたデー
タブロックを受信し、付加されているメモリアドレスに
従って、受信したデータブロックをＲＯＭ１３に書き込
む。書き込みを完了すると、書き換え部１４は、書き込
み完了信号を書き換え装置２０に送信する。書き換え装
置２０は、それに応答して、次のデータブロックをＥＣ
Ｕ１０に送信する。

【００２９】ステップＳ４６は、すべてのデータブロッ
クがＲＯＭ１３に書き込まれるまで繰り返される。たと
えば１つのプログラムを送信する場合、該プログラム
は、所定の長さのデータブロックに分割されて送信され
る。プログラムを構成するすべてのデータブロックが送
信されてＲＯＭ１３に書き込まれるまで、ステップＳ４
６は繰り返される。

【００３０】すべてのデータブロックのＲＯＭ１３への
書き込みが完了したならば、書き換え装置２０は、書き
換え制御モードの解除を要求する信号をＥＣＵ１０に送
信する（ステップＳ４７）。ＥＣＵ１０の制御モード切
り換え部１２は、書き換え制御フラグをゼロにリセット
し、書き換え制御モードから通常の制御モードに移行す
る。制御モード切り換え部１２は、書き換え制御モード
が解除されたことを示す信号を書き換え装置２０に送
る。

【００３１】代替的に、書き換え制御モードへの移行
は、ステップ４２において書き換え開始許可信号を書き
換え装置２０に送信する際に行ってもよい。または、ス
テップ４５またはステップ４６において、書き換え装置
２０からの消去要求信号または書き込み要求信号を受信
した際に実施してもよい。前述したように、書き換え制
御モードへ移行する際には書き換え制御フラグに値１が
セットされる。

【００３２】さらに、代替的に、消去制御と書き込み制
御の間で制御モードを切り換えるようにしてもよい。た
とえば、消去要求信号を受信したときに書き換え制御モ
ードに移行し、消去完了信号が返信されたときに、書き
換え制御モードから通常制御モードに移行する。また、
書き込み要求信号を受信したときに書き換え制御モード
に移行し、書き換え制御モード解除要求信号を受信した
ときに、書き換え制御モードから通常制御モードに移行
する。

【００３３】さらに、代替的に、１つのデータブロック
について書き込み要求信号を受信したときに書き込み制
御モードに移行し、該データブロックについて書き込み
完了信号を返信したときに通常制御モードに移行しても
よい。この場合、ステップ４６が実行されるたびに、書
き込み制御モードへの移行処理が実行される。

【００３４】再び図１を参照すると、タイミング制御部
１５は、監視ＥＣＵ３０に監視用データを送信するタイ
ミングを規定する。タイミング制御部１５は、書き換え
制御モードにあるとき、書き換え制御用に設定された時
間間隔（たとえば、１００ミリ秒）でタイミング信号を
発し、通常制御モードにあるとき、通常制御用に設定さ
れた時間間隔（たとえば、１ミリ秒）でタイミング信号
を発する。書き換え制御モードにおけるタイミング信号
の発生間隔は、通常制御モードにおけるタイミング信号
の発生間隔に比べて長く設定される。

【００３５】監視用データ送信部１６は、タイミング制
御部１５によって発せられたタイミング信号に従って、
監視用データを監視ＥＣＵ３０に送信する。具体的に
は、書き換え制御モードにあるときにタイミング信号が
発せられた場合は、書き換え制御モード用に予め用意さ
れた監視用データ（以下、書き換え監視用データと呼
ぶ）が監視ＥＣＵ３０に送信される。また、通常制御モ
ードにおいてタイミング信号が発せられた場合は、通常
制御モード用に予め用意された監視用データ（以下、通
常監視用データと呼ぶ）が監視ＥＣＵ３０に送信され
る。こうして、書き換え動作中は、長めに設定された時
間間隔で書き換え監視用データが送信され、通常動作中
は、短めに設定された時間間隔で通常監視用データが送
信される。

【００３６】代替的に、書き換え制御モードにおけるタ
イミング信号と通常制御モードにおけるタイミング信号
とを区別することができるよう、異なる信号を設定して
もよい。この場合、書き換え用タイミング信号が発せら
れた場合は、書き換え監視用データが監視ＥＣＵ３０に
送信される。通常タイミング信号が発せられた場合は、
通常監視用データが監視ＥＣＵ３０に送信される。

【００３７】監視ＥＣＵ３０は、監視対象のＥＣＵ１０
と同様に、典型的にはマイクロコンピュータおよびこれ
に付随する回路素子で構成され、中央演算処理装置（以
下「ＣＰＵ」という）、不揮発性メモリであって、実行
するプログラムおよびデータを格納するＲＯＭ、実行時
の作業領域を提供し演算結果などを記憶するＲＡＭ（ラ
ンダムアクセスメモリ）、および入出力インターフェー
スを備える。監視ＥＣＵ３０は、様々なＥＣＵの故障判
定を実行するプログラムを有している。

【００３８】監視用データ受信部３１、タイマ部３２お
よび故障判定部３３は、典型的にはコンピュータプログ
ラムによって実現され、該プログラムは、監視ＥＣＵ３
０に設けられたＲＯＭ（図示せず）に格納される。

【００３９】監視用データ受信部３１は、監視対象ＥＣ
Ｕ１０の監視用データ送信部１６からの監視用データを
受信する。タイマ部３２は、書き換え監視用データが受
け取られたならば、書き換え制御用に用意されたタイマ
（以下、書き換え用タイマと呼ぶ）に、書き換え制御用
の所定時間（たとえば、１秒）をセットする。一方、タ
イマ部３２は、通常監視用データが受け取られたなら
ば、通常制御用に用意されたタイマ（以下、通常用タイ
マと呼ぶ）に、通常制御用の所定時間（たとえば、１０
ミリ秒）をセットする。書き換え用タイマにセットされ
る時間は、通常用タイマにセットされる時間よりも長
い。

【００４０】この実施例においては、書き換え用タイマ
および通常用タイマは、初期化において所定時間がセッ
トされるダウンタイマを用いる。代替的に、初期化にお
いてゼロにリセットされるアップタイマを用いてもよ
い。

【００４１】故障判定部３３は、通常制御モードでは、
通常用タイマにセットされた時間が経過しても通常監視
用データを受け取らなかった場合には、ＥＣＵ１０に故
障が生じたと判定する。一方、故障判定部３３は、書き
換え制御モードでは、書き換え用タイマにセットされた
時間が経過しても書き換え監視用データを受け取らなか
った場合には、ＥＣＵ１０に故障が生じたと判定する。

【００４２】こうして、通常制御モードでは、短い時間
間隔で故障判定が行われるので、故障が生じた場合に速
やかに対処することができる。書き換え制御モードで
は、通常制御モードよりも長い時間間隔で監視用データ
が送信されるので、監視動作によってＥＣＵ１０の書き
換え動作に及ぼされる遅延を最小にすることができる。
さらに、書き換え動作中も監視が継続して行われるの
で、書き換え動作中においてもＥＣＵ１０の故障を検出
することができる。

【００４３】図３は、監視対象であるＥＣＵ１０の監視
用データ送信部１６によって実行される、監視用データ
の送信プロセスを示すフローチャートである。

【００４４】ステップＳ１０１において、監視用データ
の送信タイミングが到来したかどうか判断する。すなわ
ち、タイミング制御部１５からタイミング信号が発せら
れたかどうか判断する。タイミング信号が発せられなけ
れば、そのままルーチンを抜ける。

【００４５】タイミング信号が発せられたならば、書き
換え制御フラグに値１がセットされているかどうか判断
する。セットされていなければ、現在通常制御モードに
あることを示すので、ステップＳ１０３に進む。セット
されていれば、現在書き換え制御モードにあることを示
すので、ステップＳ１０５に進む。

【００４６】前述したように、書き換え制御用と通常制
御用とで異なるタイミング信号が設定される場合は、ス
テップＳ１０２の判断をタイミング信号によって判断す
る。具体的には、通常制御用のタイミング信号が発せら
れたならばステップＳ１０３に進み、書き換え制御用の
タイミング信号が発せられたならばステップＳ１０５に
進む。

【００４７】ステップＳ１０３において、通常制御用に
予め決められた通常監視用データを監視ＥＣＵ３０に送
信する。ステップＳ１０４に進み、通常制御用のタイミ
ング信号の発生間隔を初期化する。たとえば、ダウンタ
イマを用いる場合、該ダウンタイマに、通常制御用のタ
イミング信号の発生間隔に相当する時間（この例では、
１ミリ秒）をセットする。

【００４８】ステップＳ１０５において、初回監視用デ
ータフラグの値が１かどうか判断する。初回監視用デー
タフラグは、書き換え制御モードに移行した後の最初の
（１回目の）監視用データが送信された時に値１がセッ
トされるフラグである。書き換え制御モードに移行した
際にはこのフラグはゼロなので、ステップＳ１０６に進
む。

【００４９】ステップＳ１０６において、書き換え制御
移行通知が付加された通常監視用データを送信する。書
き換え制御移行通知は、次のサイクルで送信する監視用
データは書き換え制御用であることを知らせるためのも
のであり、任意の制御コードで表すことができる。書き
換え制御移行通知が付加された通常監視用データの送信
を設定したならば、初回監視用データフラグに値１をセ
ットする（Ｓ１０７）。こうして、書き換え制御モード
に移行した後の最初の監視用データは、通常制御用のタ
イミングで、通常制御用の監視用データに特別な制御コ
ード（すなわち、上記の書き換え制御移行通知）が付加
されて送信される。

【００５０】ステップＳ１０９に進み、書き換え制御用
のタイミング信号の発生間隔を初期化する。ダウンタイ
マを用いる場合、該ダウンタイマに、書き換え制御用の
タイミング信号の発生間隔に相当する時間（この例で
は、１００ミリ秒）をセットする。

【００５１】ステップＳ１０５において、初回監視用デ
ータフラグの値がゼロならば、書き換え制御用に予め決
められた書き換え監視用データを送信する（Ｓ１０
８）。ステップＳ１０９に進み、書き換え制御用のタイ
ミング信号の発生間隔を初期化する。前述したように、
書き換え制御用のタイミング信号の発生間隔は、通常制
御用のタイミング信号の発生間隔よりも長い。

【００５２】図４は、監視ＥＣＵ３０の監視用データ受
信部３１およびタイマ部３２によって実行される、監視
用データを受信するプロセスを示すフローチャートであ
る。ステップＳ１２１において、監視対象ＥＣＵ１０か
ら、監視用データを受信したかどうか判断する。受信し
ていなければ、そのままこのルーチンを抜ける。受信し
たならば、監視用データが、書き換え制御用のものか、
または通常制御用のものか判断する（Ｓ１２２）。受信
した監視用データが書き換え制御用のもの（すなわち、
書き換え監視用データ）ならば、書き換え用タイマに、
書き換え制御用の所定時間（この例では、１秒）をセッ
トする（Ｓ１２５）。

【００５３】受信した監視用データが通常制御用のもの
（すなわち、通常監視用データ）ならば、該監視用デー
タに書き換え制御移行通知が付加されているかどうか判
断する。書き換え制御移行通知は、図３のステップ１０
６で付加される制御コードである。通常監視用データに
書き換え制御移行通知が付加されていれば、今回のサイ
クルで受信した監視用データが、書き換え制御モードに
移行した後の最初の監視用データであることを示す。す
なわち、ＥＣＵ１０が、通常制御モードから書き換え制
御モードに移行したことを示す。この場合、ステップＳ
１２５に進み、書き換え用タイマに、書き換え制御用の
所定時間をセットする。

【００５４】ステップＳ１２３において、通常監視用デ
ータに書き換え制御移行通知が付加されていなければ、
ＥＣＵ１０において通常制御モードが実行中であること
を示す。ステップＳ１２４に進み、通常用タイマに、通
常制御用の所定時間（この例では、１０ミリ秒）をセッ
トする。

【００５５】前述したように、書き換え用タイマにセッ
トされる時間は、通常用タイマにセットされる時間より
も長い。こうして、監視用データを受け取るたびに、監
視用データに関連づけられた制御モードに応じた時間
で、タイマが初期化される。

【００５６】図５は、監視ＥＣＵ３０の故障判定部３３
によって実行される、故障を判定するプロセスを示すフ
ローチャートである。

【００５７】最初に、通常制御モードにおける故障判定
プロセスを説明する。ステップＳ１４１において、通常
用タイマがゼロかどうか判断する。すなわち、通常用タ
イマにセットされた時間（この例では、１０ミリ秒）が
経過したかどうか判断する。通常監視用データが、通常
制御用のタイミング（この例では、１ミリ秒）で受信さ
れていれば、図４に示されるように、通常用タイマはゼ
ロになる前に初期化される。したがって、ステップＳ１
４１の判断がＮｏであれば、ＥＣＵ１０は正常と判定さ
れる。

【００５８】一方、通常監視用データが、通常用タイマ
がゼロになっても受信されなければ、ステップＳ１４１
の判断はＹｅｓとなる。ステップＳ１４２に進み、書き
換え用タイマがゼロかどうか判断する。通常制御モード
においては、図４に示されるように、書き換え用タイマ
は初期化されないので、該タイマはゼロを示している。
したがって、ステップＳ１４２の判断はＹｅｓとなり、
ＥＣＵ１０に故障が生じていると判定される（Ｓ１４
３）。このように、通常制御モードにおいては、通常用
タイマにセットされる時間間隔で故障判定が実行され
る。したがって、ＥＣＵ１０に故障が生じた場合には、
早期に検出して該故障に対応することができる。

【００５９】次に、書き換え制御モードにおける故障判
定プロセスを説明する。ステップＳ１４１において、通
常用タイマがゼロかどうか判断する。書き換え制御モー
ドにおいては、図４に示されるように、通常用タイマは
初期化されないのでゼロを示している。したがって、ス
テップＳ１４１の判断はＹｅｓとなる。

【００６０】ステップＳ１４２に進み、書き換え用タイ
マがゼロかどうか判断する。すなわち、書き換え用タイ
マにセットされた時間（この例では、１秒）が経過した
かどうか判断する。書き換え監視用データが、書き換え
制御用のタイミング（この例では、１００ミリ秒）で受
信されていれば、図４に示されるように、書き換え用タ
イマはゼロになる前に初期化される。したがって、ステ
ップＳ１４２の判断がＮｏであれば、ＥＣＵ１０は正常
と判定される。

【００６１】一方、書き換え監視用データが、書き換え
用タイマがゼロになっても受信されなければ、ステップ
Ｓ１４２の判断はＹｅｓとなり、ＥＣＵ１０に故障が生
じていると判定される（Ｓ１４３）。このように、書き
換え制御モードにおいては、書き換え用タイマにセット
される時間間隔で故障判定が実行される。この時間間隔
は、通常制御モードで使用される故障判定の時間間隔よ
りも長い。したがって、監視によって書き換え動作に及
ぼされる遅延を最小限にすることができる。また、書き
換え制御モードにおいても故障判定を継続することがで
きるので、ＥＣＵ１０の信頼性を高めることができる。

【００６２】前述したように、書き換え制御モードに移
行した後に最初に監視ＥＣＵ３０に送信される監視用デ
ータは、書き換え制御移行通知が付加された通常監視用
データである（図３を参照）。また、この書き換え制御
移行通知が付加された通常監視用データを受信した監視
ＥＣＵ３０は、書き換え用タイマを初期化する（図４を
参照）。したがって、書き換え制御移行通知が付加され
た通常監視用データが、書き換え用タイマにセットされ
た時間が経過しても受信されない場合、ＥＣＵ１０に故
障が生じていると判定される。このように、制御モード
の移行の際にも、図５のプロセスを実行することによ
り、ＥＣＵ１０の故障を検出することができる。

【００６３】

【発明の効果】この発明によると、書き換え動作中にお
いても、書き換え動作を実行している制御装置の監視を
継続することができると共に、監視に起因する書き換え
動作の遅延を最小限にすることができる。

【図面の簡単な説明】

【図１】この発明の一実施例における、書き換えシステ
ムの全体を示すブロック図。

【図２】この発明の一実施例における、書き換え装置と
制御装置の信号シーケンスを示すチャート。

【図３】この発明の一実施例における、監視対象ＥＣＵ
の監視用データの送信プロセスを示すフローチャート。

【図４】この発明の一実施例における、監視ＥＣＵの監
視用データの受信プロセスを示すフローチャート。

【図５】この発明の一実施例における、監視ＥＣＵの故
障判定プロセスを示すフローチャート。

【符号の説明】

１０監視対象ＥＣＵ１３ＲＯＭ２０書き換え装置３０監視ＥＣＵ

───────────────────────────────────────────────────── フロントページの続き (72)発明者馬場茂樹埼玉県和光市中央１丁目４番１号株式会社本田技術研究所内 (72)発明者久木隆埼玉県和光市中央１丁目４番１号株式会社本田技術研究所内 (72)発明者富松修治埼玉県和光市中央１丁目４番１号株式会社本田技術研究所内Ｆターム(参考） 5B042 GA07 GA11 GB08 GC16 JJ21 JJ26 JJ38 5B076 CA01 CA09 EB02 5H223 AA10 CC08 EE04 EE15 EE17 FF08

Claims

【特許請求の範囲】

【請求項１】車両を制御するための制御情報を記憶した
書き換え可能な不揮発性メモリを有し、外部の書換装置
から受信したデータで該メモリに格納されたデータを書
き換える、車両に搭載された車両制御装置と、前記車両制御装置に故障が生じたかどうかを判定する監
視装置とを備え、前記車両制御装置は、前記メモリのデータを書き換える
書き換え制御モードにおいては第１の監視用データを前
記監視装置に送信し、該書き換え制御以外の通常制御モ
ードにおいては第２の監視用データを前記監視装置に送
信し、前記監視装置は、受信した前記第１の監視用データおよ
び前記第２の監視用データに基づいて、前記車両制御装
置に故障が生じたかどうかを判定し、前記第１の監視用データの送信タイミングの間隔は、前
記第２の監視用データの送信タイミングの間隔よりも長
く設定される、データ書き換えのための車両制御装置の監視システム。
【請求項２】前記監視装置は、前記書き換え制御モード
においては、第１の所定時間が経過しても前記第１の監
視用データを受け取らなければ前記車両制御装置に故障
が生じたと判定し、前記通常制御モードにおいては、第
２の所定時間が経過しても前記第２の監視用データを受
け取らなければ前記車両制御装置に故障が生じたと判定
し、前記第１の所定時間は、前記第２の所定時間よりも長く
設定される、請求項１に記載のデータ書き換えのための車両制御装置
の監視システム。