JP2020035503A - Automobile electronic control device - Google Patents

Abstract

To improve failure diagnostic accuracy of a non-volatile memory.SOLUTION: An automobile electronic control device writes the same data to a plurality of data banks secured in a non-volatile memory during self shutdown in which an ignition switch is turned OFF. And the automobile electronic control device determines whether each data written to the plurality of data banks is normal at the time of starting in which the ignition switch is turned ON (S11, S12), and if at least one of the data is not normal (S13), writes the data determined to be normal to the data banks written with the data determined not to be normal (S14). And if the data cannot be written normally (S16), the automobile electronic control device diagnoses that the non-volatile memory has failed (S19).SELECTED DRAWING: Figure 4

Description

本発明は、自動車用電子制御装置に関する。   The present invention relates to an electronic control unit for a vehicle.

自動車用電子制御装置には、イグニッションスイッチをＯＦＦにすると、制御対象の学習値、故障情報などのデータを不揮発性メモリに書き込むなど、ファイナライズ処理を行ってから内部電源を遮断する「セルフシャットダウン機能」が備えられている。そして、イグニッションスイッチをＯＮにすると、自動車用電子制御装置は、不揮発性メモリからデータをＲＡＭ（Random Access Memory）に読み出し、そのデータを使用して制御対象を制御する。   When the ignition switch is turned off, the vehicle's electronic control unit performs a finalizing process, such as writing data such as learning values of the control target and failure information to a non-volatile memory, and then shuts off the internal power supply. Is provided. Then, when the ignition switch is turned on, the electronic control unit for a vehicle reads data from the nonvolatile memory to a random access memory (RAM), and controls the control target using the data.

不揮発性メモリの素子の固着などの故障を検知するため、特開２０１４−７５０７８号公報（特許文献１）に記載される技術が提案されている。この提案技術においては、イグニッションスイッチがＯＮになったときに、不揮発性メモリから読み出したデータについて、データに含まれる誤り検出符号を使用してデータが正常に書き込まれたか否かを判定することで、不揮発性メモリの故障が検知されている。   A technique described in Japanese Patent Application Laid-Open Publication No. 2014-75078 (Patent Document 1) has been proposed to detect a failure such as fixation of an element of a nonvolatile memory. In this proposed technique, when the ignition switch is turned on, the data read from the non-volatile memory is determined by using an error detection code included in the data to determine whether the data has been normally written. , A failure of the nonvolatile memory has been detected.

特開２０１４−７５０７８号公報JP 2014-75078 A

しかしながら、セルフシャットダウン中のデータ書き込みによって不揮発性メモリの故障が検知できても、例えば、バックアップＲＡＭがないと、その故障情報を保持し続けることができない。また、イグニッションスイッチがＯＮになったときの故障検知では、データ書き込み電圧の瞬間的な低下又は遮断によるデータ破損か、不揮発性メモリ自体の故障であるかを区別することもできない。   However, even if a failure in the nonvolatile memory can be detected by writing data during the self-shutdown, the failure information cannot be maintained without the backup RAM, for example. Further, in the failure detection when the ignition switch is turned on, it is impossible to distinguish between data corruption due to an instantaneous decrease or interruption of the data write voltage or a failure in the nonvolatile memory itself.

そこで、本発明は、不揮発性メモリの故障診断精度を向上させた、自動車用電子制御装置を提供することを目的とする。   Therefore, an object of the present invention is to provide an electronic control unit for a vehicle in which the accuracy of failure diagnosis of a nonvolatile memory is improved.

このため、電気的にデータを書換可能な不揮発性メモリを有する自動車用電子制御装置は、イグニッションスイッチがＯＦＦになったセルフシャットダウン中に、不揮発性メモリに確保された複数の記憶領域に同一データを書き込む。また、自動車用電子制御装置は、イグニッションスイッチがＯＮになった起動時に、複数の記憶領域に書き込まれた各データが正常であるか否かを判定し、データの少なくとも１つが正常でなければ、正常でないと判定されたデータが書き込まれていた記憶領域に正常であると判定されたデータを書き込む。そして、自動車用電子制御装置は、データを正常に書き込むことができなければ、不揮発性メモリが故障していると診断する。   For this reason, an electronic control unit for a vehicle having a nonvolatile memory capable of electrically rewriting data stores the same data in a plurality of storage areas secured in the nonvolatile memory during self-shutdown when the ignition switch is turned off. Write. Also, the electronic control unit for a vehicle determines whether or not each data written in the plurality of storage areas is normal at the time of starting when the ignition switch is turned on, and if at least one of the data is not normal, The data determined to be normal is written to the storage area to which the data determined to be normal has been written. If the data cannot be written normally, the electronic control unit for a vehicle diagnoses that the non-volatile memory has failed.

本発明によれば、不揮発性メモリの故障診断精度を向上させることができる。   According to the present invention, it is possible to improve the fault diagnosis accuracy of the nonvolatile memory.

自動車用電子制御装置の一例を示す概略構成図である。It is a schematic structure figure showing an example of an electronic control unit for vehicles. 学習値、故障情報などのデータを格納する記憶領域のデータ構造図である。FIG. 4 is a data structure diagram of a storage area for storing data such as learning values and failure information. データ書き込み処理の一例を示すフローチャートである。9 is a flowchart illustrating an example of a data write process. 故障診断処理の一例を示すフローチャートである。It is a flowchart which shows an example of a failure diagnosis process. 正常時における診断シーケンスの第１段階の説明図である。FIG. 7 is an explanatory diagram of a first stage of a diagnostic sequence in a normal state. 正常時における診断シーケンスの第２段階の説明図である。FIG. 9 is an explanatory diagram of a second stage of the diagnostic sequence in a normal state. 正常時における診断シーケンスの第３段階の説明図である。FIG. 11 is an explanatory diagram of a third stage of the diagnostic sequence in a normal state. 正常時における診断シーケンスの第４段階の説明図である。FIG. 14 is an explanatory diagram of a fourth stage of the diagnostic sequence in a normal state. 異常時における診断シーケンスの第１段階の説明図である。FIG. 4 is an explanatory diagram of a first stage of a diagnostic sequence when an abnormality occurs. 異常時における診断シーケンスの第２段階の説明図である。FIG. 9 is an explanatory diagram of a second stage of the diagnostic sequence when an abnormality occurs. 異常時における診断シーケンスの第３段階の説明図である。FIG. 10 is an explanatory diagram of a third stage of the diagnostic sequence when an abnormality occurs. 異常時における診断シーケンスの第４段階の説明図である。FIG. 14 is an explanatory diagram of a fourth stage of the diagnostic sequence at the time of abnormality. 異常時における診断シーケンスの第５段階の説明図である。FIG. 11 is an explanatory diagram of a fifth stage of the diagnostic sequence at the time of abnormality. 異常時における診断シーケンスの第６段階の説明図である。FIG. 14 is an explanatory diagram of a sixth step of the diagnostic sequence at the time of abnormality. 書き込み機能診断処理の一例を示すフローチャートである。It is a flowchart which shows an example of a writing function diagnosis process. 書き込み機能診断シーケンスの第１段階の説明図である。FIG. 9 is an explanatory diagram of a first stage of the writing function diagnosis sequence. 書き込み機能診断シーケンスの第２段階の説明図である。FIG. 9 is an explanatory diagram of a second stage of the writing function diagnosis sequence. 書き込み機能診断シーケンスの第３段階の説明図である。FIG. 10 is an explanatory diagram of a third stage of the write function diagnosis sequence. 書き込み機能診断シーケンスの第４段階の説明図である。FIG. 14 is an explanatory diagram of a fourth stage of the writing function diagnosis sequence.

以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。
図１は、自動車用電子制御装置（以下「電子制御装置」という）１００の一例を示す。 Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings.
FIG. 1 shows an example of a vehicle electronic control device (hereinafter, referred to as “electronic control device”) 100.

電子制御装置１００は、図示しない自動車に搭載され、例えば、エンジン、自動変速機、燃料ポンプ、バルブタイミングを電動で変更する電動ＶＴＣ（Valve Timing Control）、圧縮比を変更するＶＣＲ（Variable Compression Ratio）などを電子制御する。電子制御装置１００は、プロセッサ１１０と、ＲＡＭ（Random Access Memory）１２０と、ＥＥＰＲＯＭ（Electrically Etasable Programmable Read Only Memory）１３０と、通信回路１４０と、入出力回路１５０と、これらを相互通信可能に接続するバス１６０と、を有している。なお、電動ＶＴＣやＶＣＲなどのサブシステムには、一般的に、セルフシャットダウン中に検知された故障を保持し続けることができるバックアップＲＡＭや、警告灯を点灯させる機能は備えられていない。以下の説明では、電子制御装置１００は電動ＶＴＣなどのサブシステムとするが、この限りではない。   The electronic control unit 100 is mounted on an automobile (not shown), and includes, for example, an engine, an automatic transmission, a fuel pump, an electric VTC (Valve Timing Control) for electrically changing valve timing, and a VCR (Variable Compression Ratio) for changing a compression ratio. Electronic control of such. The electronic control device 100 connects the processor 110, a RAM (Random Access Memory) 120, an EEPROM (Electrically Etasable Programmable Read Only Memory) 130, a communication circuit 140, an input / output circuit 150, and these to allow mutual communication. And a bus 160. Note that subsystems such as an electric VTC and a VCR generally do not have a backup RAM that can continue to hold a failure detected during self-shutdown, or a function of turning on a warning lamp. In the following description, the electronic control device 100 is a subsystem such as an electric VTC, but is not limited thereto.

プロセッサ１１０は、ソフトウエアプログラムに記述された命令セットを実行するハードウエアであって、例えば、ＣＰＵ（Central Processing Unit）などからなる。ＲＡＭ１２０は、電源を遮断するとデータが消失する揮発性メモリの一例であって、例えば、ＤＲＡＭ（Dynamic Random Access Memory）、ＳＲＡＭ（Static Random Access Memory）などからなる。ＥＥＰＲＯＭ１３０は、電源を遮断してもデータが保持されると共に、電気的にデータを書換可能な不揮発性メモリの一例であって、例えば、フラッシュＲＯＭ（Read Only Memory）などからなる。通信回路１４０は、車載ネットワークの一例であるＣＡＮ（Controller Area Network）などを介して、他の電子制御装置などと通信するためのデバイスであって、例えば、ＣＡＮトランシーバなどからなる。入出力回路１５０は、各種のセンサ又はスイッチなどからアナログ信号又はデジタル信号を読み込むと共に、アクチュエータなどにアナログ又はデジタルの駆動信号を出力するデバイスであって、例えば、Ａ／Ｄコンバータ、Ｄ／Ｄコンバータなどからなる。   The processor 110 is hardware that executes an instruction set described in a software program, and includes, for example, a CPU (Central Processing Unit). The RAM 120 is an example of a volatile memory that loses data when the power is turned off, and includes, for example, a DRAM (Dynamic Random Access Memory) and an SRAM (Static Random Access Memory). The EEPROM 130 is an example of a non-volatile memory that retains data even when the power is turned off and is electrically rewritable, and includes, for example, a flash ROM (Read Only Memory). The communication circuit 140 is a device for communicating with another electronic control device or the like via a CAN (Controller Area Network), which is an example of an in-vehicle network, and includes, for example, a CAN transceiver. The input / output circuit 150 is a device that reads an analog signal or a digital signal from various sensors or switches and outputs an analog or digital drive signal to an actuator or the like, and includes, for example, an A / D converter and a D / D converter. Etc.

ＥＥＰＲＯＭ１３０には、図２に示すように、制御対象に関する学習値、故障情報などのデータを記憶する複数の第１の記憶領域として、例えば、データバンク１〜４が確保されている。ここで、故障情報は、電子制御装置１００の作動中に、例えば、ＯＢＤ（On-Board Diagnostics）機能により収集される。なお、複数の第１の記憶領域としては、４つのデータバンク１〜４に限らず、例えば、制御対象の重要度などを考慮してその個数を決定することができる。   As shown in FIG. 2, in the EEPROM 130, for example, data banks 1 to 4 are secured as a plurality of first storage areas for storing data such as learning values and failure information relating to a control target. Here, the failure information is collected by the OBD (On-Board Diagnostics) function during the operation of the electronic control device 100, for example. The number of the first storage areas is not limited to the four data banks 1 to 4. For example, the number of the first storage areas can be determined in consideration of the importance of the control target.

そして、電子制御装置１００は、例えば、ＥＥＰＲＯＭ１３０とは異なるＰＲＯＭ（Programmable ROM）に格納されている制御プログラム（制御変数を含む）に従って、以下に説明する処理によって、ＥＥＰＲＯＭ１３０に故障が発生しているか否かを診断する。ここで、制御プログラムがＰＲＯＭに格納されている理由は、ＥＥＰＲＯＭ１３０に故障が発生していると、制御プログラムが正常に動作しない可能性があるため、ＥＥＰＲＯＭ１３０に故障が発生しているか否かを誤診断してしまうおそれがあるからである。   The electronic control unit 100 determines whether a failure has occurred in the EEPROM 130 by a process described below in accordance with a control program (including control variables) stored in a PROM (Programmable ROM) different from the EEPROM 130, for example. To diagnose. Here, the reason why the control program is stored in the PROM is that if the EEPROM 130 has a failure, the control program may not operate properly. Therefore, it is erroneously determined whether or not the EEPROM 130 has a failure. This is because a diagnosis may be made.

図３は、イグニッションスイッチがＯＦＦになったことを契機として、電子制御装置１００のプロセッサ１１０が、内部電源を保持しつつファイナライズ処理を実行するセルフシャットダウン中に実行する、データ書き込み処理の一例を示す。なお、データ書き込み処理を実行する前提として、電子制御装置１００の作動中に学習値、故障情報などのデータが収集されてＲＡＭ１２０に記憶されているものとする。   FIG. 3 shows an example of a data write process executed by the processor 110 of the electronic control unit 100 during a self-shutdown in which the internal switch is turned off and the processor 110 of the electronic control unit 100 executes the finalize process while maintaining the internal power supply. . It is assumed that data such as a learning value and failure information are collected and stored in the RAM 120 during the operation of the electronic control device 100 as a premise of executing the data writing process.

ステップ１（図３では「Ｓ１」と略記する。以下同様。）では、プロセッサ１１０が、ＥＥＰＲＯＭ１３０のデータバンクを特定する制御変数ｉに１を代入する。   In step 1 (abbreviated as “S1” in FIG. 3; the same applies hereinafter), the processor 110 substitutes 1 for a control variable i that specifies the data bank of the EEPROM 130.

ステップ２では、プロセッサ１１０が、ＥＥＰＲＯＭ１３０のデータバンク［ｉ］に、ＲＡＭ１２０に記憶されている学習値、故障情報などのデータを書き込む。このとき、プロセッサ１１０は、データバンク［ｉ］に書き込むデータのチェックサムを算出する。   In step 2, the processor 110 writes data such as learning values and failure information stored in the RAM 120 to the data bank [i] of the EEPROM 130. At this time, the processor 110 calculates a checksum of the data to be written to the data bank [i].

ステップ３では、プロセッサ１１０が、ステップ２で算出したチェックサムとデータバンク［ｉ］に書き込まれたデータに含まれるチェックサムとを比較し、データの書き込みが正常に終了したか否かを判定する。そして、プロセッサ１１０は、データの書き込みが正常に終了したと判定すれば、処理をステップ５へと進める（Ｙｅｓ）。一方、プロセッサ１１０は、データの書き込みが正常に終了しない、即ち、データの書き込みに異常が発生したと判定すれば、処理をステップ４へと進める（Ｎｏ）。なお、電子制御装置１００のハードウエアによって、データの書き込みが正常に終了したか否かを判定するようにしてもよい。   In step 3, the processor 110 compares the checksum calculated in step 2 with the checksum included in the data written to the data bank [i], and determines whether the data writing has been completed normally. . If the processor 110 determines that the data writing has been completed normally, the process proceeds to step 5 (Yes). On the other hand, if the processor 110 determines that the data writing does not end normally, that is, determines that an error has occurred in the data writing, the process proceeds to step 4 (No). The hardware of the electronic control unit 100 may determine whether the data writing has been completed normally.

ステップ４では、データの書き込みが正常に終了しなかったので、プロセッサ１１０が、異常を検出したことをＲＡＭ１２０に記憶させる。その後、プロセッサ１１０は、処理をステップ５へと進める。なお、セルフシャットダウンが終了したときには、内部電源が遮断されてＲＡＭ１２０のデータが消失するので、異常を検出したことをＲＡＭ１２０に記憶させなくてもよい。   In step 4, since the data writing did not end normally, the processor 110 causes the RAM 120 to store the detection of the abnormality. After that, the processor 110 causes the process to proceed to step 5. When the self-shutdown is completed, the internal power supply is shut off and the data in the RAM 120 is lost. Therefore, it is not necessary to store the detection of the abnormality in the RAM 120.

ステップ５では、プロセッサ１１０が、制御変数ｉをインクリメント、即ち、ｉ＝ｉ＋１とする。   In step 5, the processor 110 increments the control variable i, that is, i = i + 1.

ステップ６では、プロセッサ１１０が、制御変数ｉがＥＥＰＲＯＭ１３０に確保されたデータバンクの個数ｎ（本実施形態では４）を上回ったか否か、即ち、最後のデータバンクまでデータを書き込んだか否かを判定する。そして、プロセッサ１１０は、最後のデータバンクまでデータを書き込んだと判定すれば、データ書き込み処理を終了させる（Ｙｅｓ）。一方、プロセッサ１１０は、最後のデータバンクまでデータを書き込んでいないと判定すれば、処理をステップ２へと戻す（Ｎｏ）。なお、データ書き込み機能の失陥やＥＥＰＲＯＭ１３０の故障などにより、データ書き込み処理が終了できない可能性を考慮し、イグニッションスイッチをＯＦＦにしてから所定時間経過後に、データ書き込み処理を強制的に終了させてもよい。   In step 6, the processor 110 determines whether or not the control variable i has exceeded the number n (4 in this embodiment) of data banks secured in the EEPROM 130, that is, whether or not data has been written to the last data bank. I do. If the processor 110 determines that data has been written up to the last data bank, it ends the data write process (Yes). On the other hand, if the processor 110 determines that data has not been written to the last data bank, the process returns to step 2 (No). In consideration of a possibility that the data writing process cannot be terminated due to a failure of the data writing function or a failure of the EEPROM 130, even if the data writing process is forcibly terminated after a predetermined time has elapsed since the ignition switch was turned off. Good.

かかるデータ書き込み処理によれば、イグニッションスイッチがＯＦＦになったセルフシャットダウン中に、作動中に収集された学習値、故障情報などのデータは、ＥＥＰＲＯＭ１３０に確保された複数のデータバンクに書き込まれる。即ち、ＥＥＰＲＯＭ１３０の複数のデータバンクには、同一データが書き込まれる。なお、データの書き込みが正常に終了したか否かは、チェックサムに限らず、ＣＲＣ（Cyclic Redundancy Check）、パリティビットなどの誤り検出符号を使用して判定してもよい（以下同様）。   According to the data writing process, during the self-shutdown operation when the ignition switch is turned off, data such as learning values and failure information collected during operation are written to a plurality of data banks secured in the EEPROM 130. That is, the same data is written to a plurality of data banks of the EEPROM 130. Note that whether or not the data writing has been normally completed may be determined not only by the checksum but also by using an error detection code such as a CRC (Cyclic Redundancy Check) and a parity bit (the same applies hereinafter).

図４は、イグニッションスイッチがＯＮになったことを契機として、電子制御装置１００のプロセッサ１１０が起動時に実行する、故障診断処理の一例を示す。   FIG. 4 shows an example of a failure diagnosis process executed by the processor 110 of the electronic control unit 100 at the time of startup when the ignition switch is turned on.

ステップ１１では、プロセッサ１１０が、ＥＥＰＲＯＭ１３０の複数のデータバンクに書き込まれているすべてのデータを読み込む。なお、プロセッサ１１０は、どのデータバンクに書き込まれていたデータであるかを特定可能なように、例えば、数字からなる識別子を付しつつデータを読み込むことができる。ここで、識別子として順次大きくなる数値を使用した場合、最も大きい数字が付されているデータバンクが最新のものであると特定することもできる。   In step 11, the processor 110 reads all data written in the plurality of data banks of the EEPROM 130. Note that the processor 110 can read data while giving an identifier consisting of a number, for example, so as to specify which data bank the data was written to. Here, when a numerical value that sequentially increases is used as the identifier, it is possible to specify that the data bank to which the largest numeral is assigned is the latest one.

ステップ１２では、プロセッサ１１０が、各データバンクに書き込まれていたデータについて、データから算出したチェックサムとデータに含まれるチェックサムとを比較して、内容が異常となっているデータ（異常データ）があるか否かを判定する。そして、プロセッサ１１０は、異常データがあると判定すれば、処理をステップ１３へと進める（Ｙｅｓ）。一方、プロセッサ１１０は、異常データがないと判定すれば、処理をステップ２３へと進める（Ｎｏ）。ここで、異常データが書き込まれていたデータバンクの識別子については、後述の処理のために、例えば、ＲＡＭ１２０に書き込んでおく。   In step 12, the processor 110 compares the checksum calculated from the data with the checksum included in the data written in each data bank, and finds data having abnormal contents (abnormal data). It is determined whether or not there is. If the processor 110 determines that there is abnormal data, the process proceeds to step 13 (Yes). On the other hand, if the processor 110 determines that there is no abnormal data, the process proceeds to step 23 (No). Here, the identifier of the data bank in which the abnormal data has been written is written in, for example, the RAM 120 for the processing described below.

ステップ１３では、プロセッサ１１０が、ステップ１２での比較結果に基づいて、内容が正常であるデータ（正常データ）があるか否かを判定する。そして、プロセッサ１１０は、正常データがあると判定すれば、処理をステップ１４へと進める（Ｙｅｓ）。一方、プロセッサ１１０は、正常データがない、即ち、各データバンクに書き込まれていたすべてのデータが異常であると判定すれば、処理をステップ１６へと進める（Ｎｏ）。   In step 13, the processor 110 determines whether there is data whose contents are normal (normal data) based on the comparison result in step 12. If the processor 110 determines that there is normal data, the process proceeds to step 14 (Yes). On the other hand, if the processor 110 determines that there is no normal data, that is, all data written in each data bank is abnormal, the process proceeds to step 16 (No).

ステップ１４では、プロセッサ１１０が、複数のデータバンクの中から所定規則によって選定された１つのデータバンクに書き込まれているデータをＲＡＭ１２０にコピーする。ここで、所定規則としては、例えば、ステップ１１においてデータ読み込みが正常に行われたデータバンクのうち、識別子によって最新のものであると特定されるデータバンクとすることができる。   In step 14, the processor 110 copies the data written in one data bank selected by a predetermined rule from the plurality of data banks to the RAM 120. Here, the predetermined rule may be, for example, a data bank specified as the latest one by the identifier among the data banks whose data has been read normally in step 11.

ステップ１５では、一部のデータバンクに書き込まれていたデータが異常であったため、プロセッサ１１０が、異常データが書き込まれていたデータバンクに最新の正常データを書き込む。即ち、プロセッサ１１０は、セルフシャットダウン中のデータ書き込み処理において、例えば、書き込み電圧が瞬間的に低下又は遮断して書き込みが正常に終了できなかった可能性を鑑み、データをデータバンクに再度書き込む。このとき、プロセッサ１１０は、データバンクに書き込むデータのチェックサムを算出する。その後、プロセッサ１１０は、処理をステップ１６へと進める。   In step 15, since the data written to some of the data banks is abnormal, the processor 110 writes the latest normal data to the data bank to which the abnormal data has been written. That is, in the data write process during the self-shutdown, the processor 110 writes the data into the data bank again in consideration of, for example, a possibility that the write voltage may be momentarily reduced or cut off and the write may not be completed normally. At this time, the processor 110 calculates a checksum of the data to be written to the data bank. After that, the processor 110 causes the process to proceed to step 16.

ステップ１６では、各データバンクに書き込まれていたすべてのデータが異常であるため、プロセッサ１１０が、初期値などのデフォルト値をＲＡＭ１２０にコピーする。   In step 16, since all data written in each data bank is abnormal, the processor 110 copies default values such as initial values to the RAM 120.

ステップ１７では、各データバンクに書き込まれていたすべてのデータが異常であるため、プロセッサ１１０が、すべてのデータバンク１〜４に初期値などのデフォルト値を書き込む。このとき、プロセッサ１１０は、各データバンクに書き込むデータのチェックサムを算出する。その後、プロセッサ１１０は、処理をステップ１８へと進める。   In step 17, since all data written in each data bank is abnormal, the processor 110 writes default values such as initial values to all data banks 1 to 4. At this time, the processor 110 calculates a checksum of data to be written to each data bank. After that, the processor 110 causes the process to proceed to step 18.

ステップ１８では、プロセッサ１１０が、ステップ１５又はステップ１７でデータを書き込んだデータバンクについて、ステップ１５又はステップ１７で算出したチェックサムとデータバンクに書き込まれたデータに含まれるチェックサムとを比較し、データの書き込みが正常に終了したか否かを判定する。そして、プロセッサ１１０は、データの書き込みが正常に終了したと判定すれば、処理をステップ１９へと進める（Ｙｅｓ）。一方、プロセッサ１１０は、データの書き込みが正常に終了しない、即ち、データの書き込みに異常が発生したと判定すれば、処理をステップ２０へと進める（Ｎｏ）。なお、電子制御装置１００のハードウエアによって、データの書き込みが正常に終了したか否かを判定するようにしてもよい。   In step 18, the processor 110 compares the checksum calculated in step 15 or step 17 with the checksum included in the data written in the data bank for the data bank to which the data has been written in step 15 or step 17, It is determined whether the data writing has been completed normally. If the processor 110 determines that the data writing has been completed normally, the process proceeds to step 19 (Yes). On the other hand, if the processor 110 determines that the data writing does not end normally, that is, determines that an error has occurred in the data writing, the process proceeds to step 20 (No). The hardware of the electronic control unit 100 may determine whether the data writing has been completed normally.

ステップ１９では、セルフシャットダウン中にデータの書き込みが正常に終了しなかったデータバンクへのデータの書き込みが正常に終了したので、プロセッサ１１０が、異常が検出されなかったことをＲＡＭ１２０に記憶させる。その後、プロセッサ１１０は、故障診断処理を終了させる。なお、プロセッサ１１０は、制御対象を実際に制御するとき、ＲＡＭ１２０に書き込まれたデータを参照して、制御値を学習値で補正したり、故障情報を追加したりすることができる。   In step 19, the processor 110 causes the RAM 120 to store that no abnormality has been detected since the data writing to the data bank for which the data writing did not end normally during the self-shutdown has ended normally. After that, the processor 110 ends the failure diagnosis processing. Note that when actually controlling the control target, the processor 110 can correct the control value with the learning value or add failure information with reference to the data written in the RAM 120.

ステップ２０では、セルフシャットダウン中にデータの書き込みが正常に終了しなかったデータバンクへのデータの書き込みが正常に終了しなかったので、プロセッサ１１０が、ＥＥＰＲＯＭ１３０が異常、即ち、ＥＥＰＲＯＭ１３０が故障していると判断し、異常が検出されたことをＲＡＭ１２０に記憶させる。なお、ＲＡＭ１２０に記憶させた情報は、制御対象を実際に制御する際に利用することができる。   In step 20, the data writing to the data bank that did not end normally during the self-shutdown did not end normally. Therefore, the processor 110 found that the EEPROM 130 was abnormal, that is, the EEPROM 130 failed. And that the abnormality is detected is stored in the RAM 120. The information stored in the RAM 120 can be used when actually controlling the control target.

ステップ２１では、プロセッサ１１０が、例えば、車両の運転席の前方に取り付けられているインストルメントパネルの警告灯を点灯させることができるエンジン制御ユニットなどに対して、ＣＡＮ通信などを介して警告灯の点灯依頼を送信する。そして、この点灯依頼を受信したエンジン制御ユニットなどは、電子制御装置１００に代わって警告灯を点灯させる。従って、車両の運転者は、インストルメントパネルの警告灯が点灯することで、ＥＥＰＲＯＭ１３０に故障が発生している可能性があることを認識できる。なお、電子制御装置１００がサブシステムでなければ、自ら警告灯を点灯させることができる。   In step 21, the processor 110 issues a warning light via a CAN communication or the like to, for example, an engine control unit or the like that can turn on a warning light of an instrument panel mounted in front of the driver's seat of the vehicle. Send a lighting request. Then, the engine control unit or the like that has received the lighting request turns on the warning light instead of the electronic control unit 100. Therefore, the driver of the vehicle can recognize that there is a possibility that a failure has occurred in the EEPROM 130 by turning on the warning light of the instrument panel. If the electronic control unit 100 is not a subsystem, the warning light can be turned on by itself.

ステップ２２では、プロセッサ１１０が、制御対象を制御するモードをフェイルセーフモードに移行する。従って、制御対象は、ＥＥＰＲＯＭ１３０が故障していても、機能が制限された状態で作動可能となり、例えば、運転者がサービス工場まで車両を走行させることができる。その後、プロセッサ１１０は、故障診断処理を終了させる。なお、プロセッサ１１０は、フェイルセーフモードに移行する代わりに、又は、これと併せて、ＲＡＭ１２０にデフォルト値を書き込むようにしてもよい。   In step 22, the processor 110 shifts the mode for controlling the control target to the fail-safe mode. Therefore, even if the EEPROM 130 is out of order, the control target can operate in a state where the functions are restricted, and, for example, the driver can drive the vehicle to a service factory. After that, the processor 110 ends the failure diagnosis processing. Note that the processor 110 may write the default value to the RAM 120 instead of, or in addition to, shifting to the fail-safe mode.

かかる故障診断処理によれば、イグニッションスイッチがＯＮになった起動時に、ＥＥＰＲＯＭ１３０の複数のデータバンクに書き込まれている各データが正常であるか否かが判定される。そして、データの少なくとも１つが異常であれば、異常データが書き込まれていたデータバンクに最新の正常データが書き込まれる。その後、データが正常に書き込まれたか否かが判定され、データが正常に書き込まれていなければ、ＥＥＰＲＯＭ１３０が故障していると診断される。   According to the failure diagnosis processing, it is determined whether or not each data written in the plurality of data banks of the EEPROM 130 is normal at the time of starting when the ignition switch is turned on. If at least one of the data is abnormal, the latest normal data is written to the data bank where the abnormal data was written. Thereafter, it is determined whether or not the data has been written normally. If the data has not been written normally, it is diagnosed that the EEPROM 130 has failed.

要するに、セルフシャットダウン中のデータ書き込みは、書き込み電圧の瞬間的な低下又は遮断などにより正常に終了しなかった可能性を鑑み、再起動時にデータ書き込みを再度実行することで、そのデータ書き込みに係るデータバンク、即ち、ＥＥＰＲＯＭ１３０が故障しているか否かが診断される。このため、何らかの原因によって書き込み電圧の瞬間的な低下又は遮断が頻発する状態であっても、再起動時にＥＥＰＲＯＭ１３０が故障しているか否かが診断されるため、ＥＥＰＲＯＭ１３０の故障診断精度を向上させることができる。再起動時にＥＥＰＲＯＭ１３０の故障が検知できた場合、電動ＶＴＣなどのサブシステムは警告灯を点灯することができないが、例えば、警告灯を点灯できるエンジン制御ユニットにＣＡＮ通信などを介して警告灯の点灯依頼を送信することで、エンジン制御ユニットが、サブシステムに代わって警告灯を点灯して運転者に知らせることができる。また、ＥＥＰＲＯＭ１３０の故障は、イグニッションスイッチがＯＮになったときに診断されるため、バックアップＲＡＭが不要となる。   In short, in consideration of the possibility that the data writing during the self-shutdown did not end normally due to an instantaneous decrease or interruption of the writing voltage, the data writing related to the data writing is performed again by restarting the data writing at the time of restart. It is diagnosed whether the bank, that is, the EEPROM 130 has failed. Therefore, even if the write voltage is instantaneously reduced or interrupted frequently for some reason, it is diagnosed whether or not the EEPROM 130 has failed at the time of restart, so that the failure diagnosis accuracy of the EEPROM 130 can be improved. Can be. If a failure of the EEPROM 130 is detected at the time of restart, the subsystem such as the electric VTC cannot turn on the warning light. For example, the engine control unit that can turn on the warning light turns on the warning light via CAN communication or the like. By transmitting the request, the engine control unit can turn on the warning light to notify the driver instead of the subsystem. Further, since the failure of the EEPROM 130 is diagnosed when the ignition switch is turned on, a backup RAM is not required.

また、異常データが書き込まれていたデータバンクに正常データを書き込むに先立って、所定のデータ、例えば、１６進数の５５５５ｈ及びＡＡＡＡｈを書き込んでから、正常データを書き込むようにしてもよい。このようにすれば、ＥＥＰＲＯＭ１３０のメモリセル（ビット）故障を検知することができる。   Further, before writing the normal data to the data bank in which the abnormal data has been written, predetermined data, for example, 5555h and AAAAh in hexadecimal may be written, and then the normal data may be written. In this way, a memory cell (bit) failure of the EEPROM 130 can be detected.

ここで、ＥＥＰＲＯＭ１３０の故障診断方法の理解を容易ならしめることを目的として、ＥＥＰＲＯＭ１３０が正常であるときの診断シーケンスと、ＥＥＰＲＯＭ１３０に異常が発生したときの診断シーケンスと、を比較して説明する。なお、異常が発生したときの診断シーケンスの前提として、ＥＥＰＲＯＭ１３０のデータバンク２が故障しているものとする。   Here, for the purpose of facilitating the understanding of the failure diagnosis method of the EEPROM 130, a diagnosis sequence when the EEPROM 130 is normal and a diagnosis sequence when an abnormality occurs in the EEPROM 130 will be compared and described. It is assumed that the data bank 2 of the EEPROM 130 has failed as a premise of the diagnosis sequence when an abnormality occurs.

［正常時の診断シーケンス］
イグニッションスイッチがＯＦＦになったセルフシャットダウン中のデータ書き込みでは、図５に示すように、ＲＡＭ１２０のデータ２が、最初に、ＥＥＰＲＯＭ１３０のデータバンク１に書き込まれる。次に、ＲＡＭ１２０のデータ２が、ＥＥＰＲＯＭ１３０のデータバンク２及び３に書き込まれた後、図６に示すように、ＲＡＭ１２０のデータ２が、ＥＥＰＲＯＭ１３０のデータバンク４に書き込まれる。 [Normal diagnostic sequence]
In data writing during self-shutdown with the ignition switch turned off, as shown in FIG. 5, data 2 of the RAM 120 is first written to the data bank 1 of the EEPROM 130. Next, after the data 2 of the RAM 120 is written to the data banks 2 and 3 of the EEPROM 130, the data 2 of the RAM 120 is written to the data bank 4 of the EEPROM 130 as shown in FIG.

その後、ファイナライズ処理が終了して内部電源が遮断されると、ＲＡＭ１２０のデータが消失するので、図７に示すように、ＥＥＰＲＯＭ状態及びデータが不定となる。この状態でイグニッションスイッチがＯＮになると、ＥＥＰＲＯＭ１３０の全データバンクに書き込まれていたデータが正常であるか否か判定される。全データバンクに書き込まれていたデータが正常であると、例えば、図８に示すように、データバンク１のデータがＲＡＭ１２０にコピーされると共に、そのＥＥＰＲＯＭ状態が正常に設定される。このような処理が、イグニッションスイッチがＯＦＦ又はＯＮになったときに順次実行され、ＥＥＰＲＯＭ１３０が正常であるとの診断が行われる。   Thereafter, when the finalizing process is completed and the internal power supply is cut off, the data in the RAM 120 is lost, so that the EEPROM state and the data become undefined as shown in FIG. When the ignition switch is turned on in this state, it is determined whether or not the data written in all the data banks of the EEPROM 130 is normal. If the data written in all the data banks is normal, for example, as shown in FIG. 8, the data in the data bank 1 is copied to the RAM 120, and the EEPROM state is set to normal. Such processing is sequentially executed when the ignition switch is turned OFF or ON, and a diagnosis is made that the EEPROM 130 is normal.

［異常時の診断シーケンス］
イグニッションスイッチがＯＦＦになったセルフシャットダウン中のデータ書き込みでは、図９に示すように、ＲＡＭ１２０のデータ２が、最初に、ＥＥＰＲＯＭ１３０のデータバンク１に書き込まれる。次に、ＲＡＭ１２０のデータ２が、ＥＥＰＲＯＭ１３０のデータバンク２に書き込まれる。このとき、データバンク２が故障しているため、データ書き込みが正常に終了せず、図１０に示すように、ＲＡＭ１２０のＥＥＰＲＯＭ状態が異常に設定される。そして、ＲＡＭ１２０のデータ２が、ＥＥＰＲＯＭ１３０のデータバンク３及び４に夫々書き込まれる。 [Diagnosis sequence at abnormal time]
In data writing during self-shutdown with the ignition switch turned off, as shown in FIG. 9, data 2 of the RAM 120 is first written to the data bank 1 of the EEPROM 130. Next, the data 2 of the RAM 120 is written to the data bank 2 of the EEPROM 130. At this time, since the data bank 2 has failed, the data writing does not end normally, and the EEPROM state of the RAM 120 is set to abnormal as shown in FIG. Then, the data 2 of the RAM 120 is written to the data banks 3 and 4 of the EEPROM 130, respectively.

その後、ファイナライズ処理が終了して内部電源が遮断されると、ＲＡＭ１２０のデータが消失するので、図１１に示すように、ＥＥＰＲＯＭ状態及びデータが不定となる。従って、セルフシャットダウン中にデータバンク２が故障であると判定された情報は、内部電源の遮断によって消失してしまう。この状態でイグニッションスイッチがＯＮになると、ＥＥＰＲＯＭ１３０の全データバンクに書き込まれていたデータが正常であるか否か判定される。データバンク２のデータが異常であるので、図１２に示すように、正常であるデータバンク１のデータがデータバンク２に書き込まれる。そして、データバンク２へのデータ書き込みが正常に終了しなかったので、図１３に示すように、ＲＡＭ１２０のＥＥＰＲＯＭ状態が異常に設定される。このような処理を実行した後、図１４に示すように、正常であるデータバンク１のデータがＲＡＭ１２０にコピーされる。このような処理が、イグニッションスイッチがＯＦＦ又はＯＮになったときに順次実行され、ＥＥＰＲＯＭ１３０が故障しているとの診断が行われる。   Thereafter, when the finalizing process is completed and the internal power supply is cut off, the data in the RAM 120 is lost, so that the state of the EEPROM and the data become indefinite as shown in FIG. Therefore, the information determined that the data bank 2 is out of order during the self-shutdown is lost by shutting off the internal power supply. When the ignition switch is turned on in this state, it is determined whether or not the data written in all the data banks of the EEPROM 130 is normal. Since the data in the data bank 2 is abnormal, the data in the normal data bank 1 is written to the data bank 2 as shown in FIG. Then, since the data writing to the data bank 2 did not end normally, the EEPROM state of the RAM 120 is set to abnormal as shown in FIG. After executing such processing, as shown in FIG. 14, the data of the normal data bank 1 is copied to the RAM 120. Such processing is sequentially executed when the ignition switch is turned OFF or ON, and a diagnosis that the EEPROM 130 has failed is performed.

ところで、ＥＥＰＲＯＭ１３０の複数のデータバンクにデータが正常に書き込まれている状態で、ＥＥＰＲＯＭ１３０へのデータ書き込み機能が失陥すると、イグニッションスイッチがＯＮになった起動時の故障診断処理において、ＥＥＰＲＯＭ１３０の故障を診断することができない。即ち、セルフシャットダウン中にデータを書き込むことができなくても、複数のデータバンクに書き込まれているデータが正常であるので、これからＥＥＰＲＯＭ１３０の故障を診断することができない。このため、データ書き込み機能が失陥した後、ＥＥＰＲＯＭ１３０の複数のデータバンクにデータを正常に書き込むことができないことを検知できず、制御対象に影響を及ぼしてしまう。   By the way, if the function of writing data to the EEPROM 130 fails while the data is normally written to the plurality of data banks of the EEPROM 130, the failure of the EEPROM 130 is determined in the failure diagnosis process at the time of startup when the ignition switch is turned ON. Cannot diagnose. That is, even if the data cannot be written during the self-shutdown, the data written in the plurality of data banks is normal, so that the failure of the EEPROM 130 cannot be diagnosed from this. For this reason, after the failure of the data write function, it cannot be detected that the data cannot be normally written to the plurality of data banks of the EEPROM 130, which affects the control target.

そこで、電子制御装置１００のプロセッサ１１０は、イグニッションスイッチがＯＮになるたびに、ＥＥＰＲＯＭ１３０に確保された２つの記憶領域１及び２に任意のデータ及びその反転値を夫々書き込み、任意のデータ及びその反転値と書き込まれた２つのデータとを比較して、データ書き込み機能が失陥しているか否かを診断してもよい。ここで、任意のデータとしては、イグニッションスイッチがＯＮになるたびに変化するデータが望ましく、例えば、ＥＥＰＲＯＭ１３０へのデータ書き込み回数などを使用することができる。なお、記憶領域１及び２が、少なくとも１つの第２の記憶領域の一例として挙げられる。   Therefore, every time the ignition switch is turned on, the processor 110 of the electronic control unit 100 writes arbitrary data and its inverted value into the two storage areas 1 and 2 secured in the EEPROM 130, and writes the arbitrary data and its inverted value. The value may be compared with the two written data to determine whether the data writing function has failed. Here, as the arbitrary data, data that changes each time the ignition switch is turned on is desirable. For example, the number of times of writing data to the EEPROM 130 can be used. Note that the storage areas 1 and 2 are given as an example of at least one second storage area.

図１５は、イグニッションスイッチがＯＮになったことを契機として、電子制御装置１００のプロセッサ１１０が起動時に実行する、書き込み機能診断処理の一例を示す。なお、ＥＥＰＲＯＭ１３０へのデータ書き込み回数は、電子制御装置１００の初期化処理において、ＥＥＰＲＯＭ１３０の記憶領域１より読み出した値をインクリメントし、このインクリメントした値がＲＡＭ１２０に書き込まれているものとする。   FIG. 15 illustrates an example of a writing function diagnosis process executed by the processor 110 of the electronic control device 100 at the time of activation when the ignition switch is turned on. It is assumed that the number of times of writing data to the EEPROM 130 is obtained by incrementing a value read from the storage area 1 of the EEPROM 130 in the initialization processing of the electronic control device 100 and writing the incremented value to the RAM 120.

ステップ３１では、プロセッサ１１０が、ＲＡＭ１２０からインクリメントされた書き込み回数を読み出し、これをＥＥＰＲＯＭ１３０の記憶領域１に書き込む。   In step 31, the processor 110 reads the incremented write count from the RAM 120 and writes the read count into the storage area 1 of the EEPROM 130.

ステップ３２では、プロセッサ１１０が、ＲＡＭ１２０から読み出したインクリメントされた書き込み回数の反転値を求め、これをＥＥＰＲＯＭ１３０の記憶領域２に書き込む。ここで、書き込み回数の反転値とは、書き込み回数データの各ビットを反転、即ち、各ビットの０と１とを反転させたものをいう。このようにすれば、インクリメントされた書き込み回数とその反転値をＥＥＰＲＯＭ１３０に書き込むことによって、書き込み機能診断を毎回全ビット（ハードウエア固有の書き込み単位）に対して行うことができる。また、ＥＥＰＲＯＭ１３０のバスに対する診断もビット単位で行うことができる。   In step 32, the processor 110 obtains an inverted value of the incremented write count read from the RAM 120 and writes the inverted value in the storage area 2 of the EEPROM 130. Here, the inverted value of the number of times of writing means a value obtained by inverting each bit of the number of times of writing data, that is, inverting 0 and 1 of each bit. In this way, by writing the incremented write count and its inverted value to the EEPROM 130, a write function diagnosis can be performed for all bits (write units unique to hardware) each time. In addition, diagnosis of the bus of the EEPROM 130 can be performed in bit units.

ステップ３３では、プロセッサ１１０が、ＥＥＰＲＯＭ１３０の記憶領域１及び２に書き込まれたデータを夫々読み出し、書き込んだデータと書き込まれたデータとを比較することで、データ間に整合性があるか否かを判定する。具体的には、プロセッサ１１０は、書き込み回数と記憶領域１から読み込んだデータとが同一であるか否かを判定すると共に、書き込み回数の反転値と記憶領域２から読み出したデータとが同一であるか否かを判定することで、データ間の整合性を判定する。そして、プロセッサ１１０は、データ間に整合性がないと判定すれば、処理をステップ３４へと進める（Ｙｅｓ）。一方、プロセッサ１１０は、データ間に整合性があると判定すれば、書き込み機能診断処理を終了させる（Ｎｏ）。   In step 33, the processor 110 reads the data written in the storage areas 1 and 2 of the EEPROM 130, respectively, and compares the written data with the written data to determine whether or not there is consistency between the data. judge. Specifically, the processor 110 determines whether or not the number of times of writing and the data read from the storage area 1 are the same, and the inverted value of the number of times of writing and the data read from the storage area 2 are the same. By determining whether or not the data is consistent, data consistency is determined. If the processor 110 determines that there is no consistency between the data, the process proceeds to step 34 (Yes). On the other hand, if the processor 110 determines that there is consistency between the data, it ends the write function diagnosis processing (No).

ステップ３４では、データ間に整合性がない、即ち、データを正常に書き込むことができなかったため、プロセッサ１１０が、データ書き込み機能が失陥していると診断する。なお、警告灯を自ら点灯させることができない電動ＶＴＣのデータ書き込み機能が失陥していると診断されたときには、プロセッサ１１０は、例えば、ＣＡＮ通信を介してエンジン制御ユニットなどへ警告灯の点灯依頼を送信し、エンジン制御ユニットが、車両の運転席の前方に取り付けられているインストルメントパネルの警告灯を点灯させてもよい。また、データ書き込み機能が所定回数連続して失陥していると診断されたときに、その診断を確定するようにしてもよい。   In step 34, the processor 110 diagnoses that the data write function has failed because there is no consistency between the data, that is, the data could not be written normally. When it is diagnosed that the data writing function of the electric VTC, which cannot turn on the warning light by itself, has failed, the processor 110 requests the engine control unit or the like to turn on the warning light via CAN communication, for example. May be transmitted, and the engine control unit may turn on a warning light on an instrument panel mounted in front of the driver's seat of the vehicle. Further, when it is determined that the data writing function has failed continuously for a predetermined number of times, the diagnosis may be determined.

かかる書き込み機能診断処理によれば、イグニッションスイッチがＯＮになるたびに、ＥＥＰＲＯＭ１３０に確保された記憶領域１及び２に対して、データ書き込み回数及びその反転値が書き込まれる。そして、書き込んだデータと書き込まれたデータとが比較され、これらの間に整合性がなければ、データ書き込み機能が失陥していると診断される。即ち、データ書き込み機能が失陥しているときには、ＥＥＰＲＯＭ１３０にデータを書き込むことができないので、書き込むデータと書き込まれたデータとの間に整合性がなくなってしまう。このため、書き込むデータと書き込まれたデータとを比較することで、データ書き込み機能が失陥しているか否かを診断することができる。   According to the write function diagnosis processing, each time the ignition switch is turned on, the number of times of data writing and its inverted value are written to the storage areas 1 and 2 secured in the EEPROM 130. Then, the written data and the written data are compared, and if there is no consistency between them, it is diagnosed that the data writing function has failed. That is, when the data writing function has failed, data cannot be written to the EEPROM 130, so that there is no consistency between the written data and the written data. Therefore, by comparing the data to be written with the written data, it is possible to diagnose whether or not the data writing function has failed.

ここで、データ書き込み機能の失陥診断方法の理解を容易ならしめることを目的として、具体的な例を挙げて説明する。なお、以下の説明においては、初期状態では、データ書き込み機能が正常であり、かつ、データ書き込み回数が００００ｈ（１６進数）であるものとする。ここで、初期状態のデータ書き込み回数は００００ｈ以外の値でもよく、また、データ長も４バイトなどの任意の長さとしてもよい。ここで、データ書き込み回数のデータ長は、ハードウエア固有の書き込み単位の最小値（例えば、２バイト）とし、それ以上のデータ長であってもよい。但し、ハードウエア固有の書き込み単位の最小値の整数倍とすると、ソフトウエアの構成上、管理が容易になる。   Here, a specific example will be described for the purpose of facilitating the understanding of the failure diagnosis method of the data writing function. In the following description, it is assumed that, in the initial state, the data write function is normal and the number of times of data write is 0000h (hexadecimal). Here, the number of times of data writing in the initial state may be a value other than 0000h, and the data length may be an arbitrary length such as 4 bytes. Here, the data length of the number of times of data writing is a minimum value (for example, 2 bytes) of a hardware-specific writing unit, and may be a data length longer than that. However, if it is an integral multiple of the minimum value of the write unit unique to hardware, management becomes easy due to the configuration of software.

初期状態においてイグニッションスイッチがＯＮになると、図１６に示すように、初期化処理でインクリメントされたデータ書き込み回数０００１ｈが記憶領域１に書き込まれると共に、データ書き込み回数の反転値ＦＦＦＥｈが記憶領域２に書き込まれる。初期状態ではデータ書き込み機能が正常であるため、書き込んだデータと書き込まれたデータとの間には整合性がある。このため、第１回目の診断においては、データ書き込み機能が正常であると診断される。ここで、電子制御装置１００が搭載された車両が市場に出荷された後は、初期状態のデータ書き込み回数を使用しないようにすることで、初期状態（若しくは意図した初期化）か、そうでないかを区別することができる。また、市場に出荷されても初期状態のデータ書き込み回数のままであれば、出荷後に何らかの原因でＥＥＰＲＯＭ１３０が故障したと認識することができる。なお、このような場合には、初期状態のデータ書き込み回数は、ソフトウエアによっても書き込まれないようにすることが好ましい。   When the ignition switch is turned on in the initial state, as shown in FIG. 16, the data write number 0001h incremented in the initialization processing is written to the storage area 1, and the inverted value FFFEh of the data write number is written to the storage area 2 as shown in FIG. It is. Since the data writing function is normal in the initial state, there is consistency between the written data and the written data. For this reason, in the first diagnosis, it is diagnosed that the data writing function is normal. Here, after the vehicle on which the electronic control device 100 is mounted is shipped to the market, whether the initial state (or intended initialization) or not is determined by not using the data write count in the initial state. Can be distinguished. In addition, if the number of times of data writing in the initial state remains the same even after being shipped to the market, it can be recognized that the EEPROM 130 has failed for some reason after shipping. In such a case, it is preferable that the number of times of data writing in the initial state is not written by software.

イグニッションスイッチが再度ＯＮになると、図１７に示すように、初期化処理でインクリメントされたデータ書き込み回数０００２ｈが記憶領域１に書き込まれると共に、データ書き込み回数の反転値ＦＦＦＤｈが記憶領域２に書き込まれる。このとき、データ書き込み機能が正常であるため、書き込んだデータと書き込まれたデータとの間には整合性がある。このため、第２回目の診断においても、データ書き込み機能が正常であると診断される。その後、イグニッションスイッチがＯＦＦになるまでの間に、何らかの理由によって、データ書き込み機能が失陥したとする。   When the ignition switch is turned on again, as shown in FIG. 17, the number of times of data writing 0002h incremented in the initialization processing is written to the storage area 1, and the inverted value FFFDh of the number of times of data writing is written to the storage area 2. At this time, since the data writing function is normal, there is consistency between the written data and the written data. For this reason, also in the second diagnosis, it is diagnosed that the data writing function is normal. Thereafter, it is assumed that the data writing function has failed for some reason before the ignition switch is turned off.

イグニッションスイッチが再度ＯＮになると、図１８に示すように、初期化処理でインクリメントされたデータ書き込み回数０００３ｈが記憶領域１に書き込まれると共に、データ書き込み回数の反転値ＦＦＦＣｈが記憶領域２に書き込まれる。このとき、データ書き込み機能が失陥しているので、記憶領域１及び２の内容は、前回のまま、即ち、記憶領域１には０００２ｈ、記憶領域２にはＦＦＦＤｈが書き込まれており、書き込むデータと書き込まれたデータとの間には整合性がなくなってしまう。このため、第３回目の診断においては、データ書き込み機能が失陥していると診断される。   When the ignition switch is turned on again, as shown in FIG. 18, the number of times of data writing 0003h incremented in the initialization process is written to the storage area 1, and the inverted value FFFCh of the number of times of data writing is written to the storage area 2. At this time, since the data writing function has failed, the contents of the storage areas 1 and 2 remain the same as before, that is, 0002h is written in the storage area 1, FFFDh is written in the storage area 2, and the data to be written is written. And the written data will not be consistent. For this reason, in the third diagnosis, it is diagnosed that the data writing function has failed.

その後、イグニッションスイッチが再度ＯＮになると、図１９に示すように、初期化処理でインクリメントされたデータ書き込み回数０００４ｈが記憶領域１に書き込まれると共に、データ書き込み回数の反転値ＦＦＦＢｈが記憶領域２に書き込まれる。このとき、データ書き込み機能が失陥しているので、記憶領域１には０００２ｈ、記憶領域２にはＦＦＦＤｈが書き込まれており、書き込むデータと書き込まれたデータとの間には整合性がなくなってしまう。このため、第４回目の診断においては、データ書き込み機能が相変わらず失陥していると診断される。   Thereafter, when the ignition switch is turned on again, as shown in FIG. 19, the number of data writes 0004h incremented by the initialization process is written to the storage area 1, and the inverted value FFFBh of the number of data writes is written to the storage area 2 as shown in FIG. It is. At this time, since the data writing function has failed, 0002h has been written in the storage area 1 and FFFDh has been written in the storage area 2, and there is no consistency between the written data and the written data. I will. For this reason, in the fourth diagnosis, it is diagnosed that the data writing function is still failed.

なお、データ書き込み機能の失陥診断は、ＥＥＰＲＯＭ１３０に確保された２つの記憶領域１及び２に限らず、ＥＥＰＲＯＭ１３０に確保された少なくとも１つの記憶領域を使用して、ここに任意のデータ（診断ごとに異なる値を示すデータ）を書き込むことで診断することもできる。また、ＥＥＰＲＯＭ１３０の記憶領域は、例えば、ＥＥＰＲＯＭ１３０のデータ書き込み回数の制約が緩ければ、データバンク１〜４のいずれかを利用してもよい。この場合、特定のデータバンクに対するデータ書き込み回数が過度に増加しないように、データバンク１〜４を順番に利用することが望ましい。   The failure diagnosis of the data writing function is not limited to the two storage areas 1 and 2 secured in the EEPROM 130, and at least one storage area secured in the EEPROM 130 is used to store arbitrary data (for each diagnosis). Can be diagnosed by writing data indicating a different value to The storage area of the EEPROM 130 may use any one of the data banks 1 to 4 if, for example, the number of times of writing data in the EEPROM 130 is loose. In this case, it is desirable to use the data banks 1 to 4 in order so that the number of times of writing data to a specific data bank does not excessively increase.

１００ 電子制御装置（自動車用電子制御装置）
１３０ ＥＥＰＲＯＭ（不揮発性メモリ） 100 Electronic control unit (electronic control unit for automobile)
130 EEPROM (non-volatile memory)

Claims (7)

電気的にデータを書換可能な不揮発性メモリを有する自動車用電子制御装置であって、
イグニッションスイッチがＯＦＦになったセルフシャットダウン中に、前記不揮発性メモリに確保された複数の第１の記憶領域に同一データを書き込み、
前記イグニッションスイッチがＯＮになった起動時に、前記複数の第１の記憶領域に書き込まれた各データが正常であるか否かを判定し、前記データの少なくとも１つが正常でなければ、正常でないと判定された前記データが書き込まれていた前記第１の記憶領域に正常であると判定された前記データを書き込み、当該データを正常に書き込むことができなければ、前記不揮発性メモリが故障していると診断する、
自動車用電子制御装置。 An electronic control unit for a vehicle having a nonvolatile memory capable of electrically rewriting data,
During self-shutdown with the ignition switch turned off, the same data is written to a plurality of first storage areas secured in the nonvolatile memory,
At the time of starting when the ignition switch is turned on, it is determined whether or not each data written in the plurality of first storage areas is normal. If at least one of the data is not normal, it is determined that the data is not normal. The determined data is written to the first storage area where the determined data has been written, and if the data cannot be written normally, the nonvolatile memory has failed. Diagnose,
Automotive electronic control unit. 正常でないと判定された前記データが書き込まれていた前記第１の記憶領域に正常であると判定された前記データを書き込むに先立って、データ書き込み対象の前記第１の記憶領域に所定のデータを書き込む、
請求項１に記載の自動車用電子制御装置。 Prior to writing the data determined to be normal to the first storage area to which the data determined to be abnormal has been written, predetermined data is written to the first storage area to be written. Write,
An electronic control unit for an automobile according to claim 1. 前記所定のデータは、１６進数の５５５５ｈ及びＡＡＡＡｈである、
請求項２に記載の自動車用電子制御装置。 The predetermined data is hexadecimal 5555h and AAAAh.
An electronic control unit for a vehicle according to claim 2. 前記複数の第１の記憶領域に書き込まれていたすべてのデータが正常でないとき、前記複数の第１領域のすべてに所定のデフォルト値を書き込む、
請求項１〜請求項３のいずれか１つに記載の自動車用電子制御装置。 When all data written to the plurality of first storage areas are not normal, a predetermined default value is written to all of the plurality of first areas.
An electronic control unit for a vehicle according to any one of claims 1 to 3. 前記不揮発性メモリが故障していると診断されたとき、他の電子制御装置に対して警告灯の点灯依頼を送信する、
請求項１〜請求項４のいずれか１つに記載の自動車用電子制御装置。 When the non-volatile memory is diagnosed as having failed, transmitting a lighting request for a warning light to another electronic control device,
An electronic control unit for a vehicle according to any one of claims 1 to 4. 前記イグニッションスイッチがＯＮになるたびに、前記不揮発性メモリに確保された少なくとも１つの第２の記憶領域に任意のデータを書き込み、前記任意のデータと前記少なくとも１つの第２の記憶領域に書き込まれたデータとを比較して、前記不揮発性メモリへのデータ書き込み機能が失陥しているか否かを診断する、
請求項１〜請求項５のいずれか１つに記載の自動車用電子制御装置。 Each time the ignition switch is turned on, arbitrary data is written to at least one second storage area secured in the nonvolatile memory, and the arbitrary data and the at least one second storage area are written to the at least one second storage area. Diagnosing whether or not the function of writing data to the nonvolatile memory has failed,
An electronic control unit for a vehicle according to any one of claims 1 to 5. 前記任意のデータは、前記イグニッションスイッチがＯＮになるたびに変化するデータである、
請求項６に記載の自動車用電子制御装置。 The arbitrary data is data that changes each time the ignition switch is turned on.
An electronic control unit for a vehicle according to claim 6.