JP7392544B2 - 車載ｅｃｕ、プログラム及び情報処理方法 - Google Patents

Description

本発明は、車載ＥＣＵ、プログラム及び情報処理方法に関する。

車両には、例えば、ワイパー駆動装置、車両の内外の灯火装置、ドアロック装置、パワーウインドウ等のボディ系の装置の制御を統括して行う車載ＥＣＵであるボディＥＣＵが搭載されている（例えば特許文献１）。特許文献１のワイパー駆動装置は、車載ＥＣＵ（ボデーＥＣＵ）を含み、車載ＥＣＵに適用されている制御プログラムにより駆動される。

特開２０１７－２２４９２６号公報

しかしながら、特許文献１の車載ＥＣＵにおいては、当該車載ＥＣＵを含むワイパー駆動装置の動作確認等を行う検査用プログラムに関する考慮がされていないという問題点がある。

本開示は、自装置の動作確認を行う検査用プログラムを効率的に用いることができる車載ＥＣＵ等を提供することを目的とする。

本開示の一態様に係る車載ＥＣＵは、車両に搭載される車載装置を制御する車載ＥＣＵであって、前記車載装置を制御するための制御プログラム及び、前記車載装置又は前記車載ＥＣＵの動作確認を行うための検査用プログラムが記憶される記憶部と、前記制御プログラム又は前記検査用プログラムを実行する制御部とを備え、前記記憶部には、前記検査用プログラムの有効又は無効を示す有効性情報が記憶されており、前記制御部は、前記記憶部に記憶される前記有効性情報を参照し、前記検査用プログラムが有効である場合は、前記検査用プログラムを実行し、前記検査用プログラムが無効である場合は、前記制御プログラムを実行する。

本開示の一態様によれば、自装置の動作確認を行う検査用プログラムを効率的に用いる車載ＥＣＵ等を提供することができる。

実施形態１に係る車載ＥＣＵ等を含む車載システムの構成を例示する模式図である。 車載ＥＣＵ等の内部構成を例示するブロック図である。 車載ＥＣＵの制御部の処理を例示するフローチャートである。 実施形態２（要求信号）に係る車載ＥＣＵの制御部の処理を例示するフローチャートである。 実施形態３（監視）に係る車載ＥＣＵの制御部の処理を例示するフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載ＥＣＵは、車両に搭載される車載装置を制御する車載ＥＣＵであって、
前記車載装置を制御するための制御プログラム及び、前記車載装置又は前記車載ＥＣＵの動作確認を行うための検査用プログラムが記憶される記憶部と、
前記制御プログラム又は前記検査用プログラムを実行する制御部とを備え、
前記記憶部には、前記検査用プログラムの有効又は無効を示す有効性情報が記憶されており、
前記制御部は、前記記憶部に記憶される前記有効性情報を参照し、
前記検査用プログラムが有効である場合は、前記検査用プログラムを実行し、
前記検査用プログラムが無効である場合は、前記制御プログラムを実行する。

本態様にあたっては、車載装置を制御する車載ＥＣＵの記憶部には、車載装置を制御するための制御プログラムと、車載装置の動作確認を行うための検査用プログラムとが、記憶されている。記憶部には、更に検査用プログラムの有効又は無効を示す有効性情報が記憶されている。車載ＥＣＵの制御部は、例えば、当該車載ＥＣＵの起動時において、記憶部にアクセスし、当該記憶部に記憶されている有効性情報を読み出す。制御部は、有効性情報にて検査用プログラムが有効であると示されている場合、検査用プログラムを実行する。制御部は、有効性情報にて検査用プログラムが無効であると示されている場合、制御プログラムを実行する。従って、制御部は、当該有効性情報によって示される内容に基づき、検査用プログラム又は制御プログラムを選択的に実行し、当該検査用プログラムを効率的に用いることができる。

（２）本開示の一態様に係る車載ＥＣＵは、前記記憶部に記憶される前記有効性情報は、前記車載ＥＣＵ又は前記車両の製造工程において、有効から無効に変更される。

本態様にあたっては、記憶部に記憶される有効性情報は、車載ＥＣＵ又は車両の製造工程において、有効から無効に変更されるため、製造工程を終えて出荷された車両においては、有効性情報は無効、すなわち当該有効性情報は、検査用プログラムは無効である旨を示す状態となっている。従って、市場に出荷された車両において、検査用プログラムが車載ＥＣＵの制御部により実行されることを効率的に防止することができる。

（３）本開示の一態様に係る車載ＥＣＵは、前記記憶部には、前記車載ＥＣＵの起動時に実行されるブートプログラムが記憶されており、
前記記憶部は、前記制御プログラムを実行中の制御部からのアクセスが可能な第１領域と、前記制御プログラムを実行中の制御部からのアクセスが制限される第２領域とを含み、
前記有効性情報は、前記第２領域に記憶されており、
前記ブートプログラムを実行中の制御部は、物理アドレスにより前記第２領域にアクセスする。

本態様にあたっては、記憶部は、制御プログラムを実行中の制御部からのアクセスが可能な第１領域と、制御プログラムを実行中の制御部からのアクセスが制限される第２領域とを含み、有効性情報は、第２領域に記憶されている。従って、車両の走行時等の通常時において、制御部により実行される制御プログラムからのアクセスが制限される記憶領域（第２領域）に、有効性情報は記憶されている。これにより、当該有効性情報が制御プログラムを実行中の制御部により改変されることを、効率的に防止することができる。

（４）本開示の一態様に係る車載ＥＣＵは、前記第２領域における記憶容量は、前記第１領域における記憶容量よりも小さい。

本態様にあたっては、有効性情報が記憶される第２領域における記憶容量は、制御プログラムを実行中の制御部からのアクセスが可能な第１領域における記憶容量よりも小さい。制御プログラムを実行中の制御部は、例えば、車載装置の制御又は駆動のログデータを、アクセスが可能な第１領域に書き込み、記憶部に記憶する。従って、第２領域の記憶容量を、第１領域の記憶容量よりも小さくすることにより、当該第１領域の記憶容量を十分に確保して車載装置の制御等に関し必要なデータを記憶すると共に、例えばビットフラグを用いた有効性情報を記憶するために必要な第２領域を確保し、記憶部の記憶容量を有効活用することができる。

（５）本開示の一態様に係る車載ＥＣＵは、前記制御部は、前記車両外の外部装置から送信される要求信号を取得した場合、
前記記憶部に記憶される前記有効性情報を参照し、
前記有効性情報に基づき、前記検査用プログラムが有効又は無効であるかを判定する。

本態様にあたっては、制御部は、前記車両外の外部装置から送信される要求信号を取得した場合、記憶部に記憶される有効性情報を参照し、当該有効性情報に基づき検査用プログラムが有効又は無効であるかを判定する。従って、検査用プログラムが実行されるためには、要求信号の取得及び検査用プログラムが有効であることの２つの要件が満たされた場合となる。これにより、検査用プログラムが実行される要件を更に厳格化し、当該検査用プログラムが誤って実行されることを効率的に防止することができる。

（６）本開示の一態様に係る車載ＥＣＵは、前記外部装置から送信される要求信号に含まれる識別子は、前記車両内に搭載される他の車載ＥＣＵ間の通信にて用いられる識別子とは異なる。

本態様にあたっては、外部装置から送信される要求信号に含まれる識別子は、車両内に搭載される他の車載ＥＣＵ間の通信にて用いられる識別子とは異なる。従って、外部装置から送信される要求信号を取得する処理を行うにあたり、車両内に搭載される他の車載ＥＣＵ間の通信による影響は効率的に排除し、当該要求信号の取得処理における信頼性を効率的に担保することができる。

（７）本開示の一態様に係る車載ＥＣＵは、前記有効性情報が記憶されている記憶部へのアクセスを受け付ける受付部を備え、
前記記憶部に記憶される前記有効性情報は、前記受付部を介して受け付けた信号によって、無効から有効に変更される。

本態様にあたっては、車載ＥＣＵは、有効性情報が記憶されている記憶部へのアクセスを受け付けるための入出力Ｉ／Ｆ等の受付部を備える。車載ＥＣＵは、受付部に接続されたダイアグ装置から出力された信号を、当該受付部を介して受け付ける。例えば、車載ＥＣＵ又は車両の製造工程において、有効から無効に変更された有効性情報は、受付部を介して受け付けた信号によって、無効から有効に変更される。このような受付部を用いて、ダイアグ装置から出力された信号を受け付けることにより、有効性情報を無効から有効に変更することができ、例えば、車両が出荷された後であっても、必要に応じて再度、検査用プログラムを実行することができる。

（８）本開示の一態様に係る車載ＥＣＵは、前記車載装置は、前記車両に搭載される蓄電装置と車載負荷との間に介在する電気配線箱であり、
前記電気配線箱は、前記蓄電装置から前記車載負荷への電力の給断を行うリレーを含み、
前記制御部は、前記電気配線箱に含まれる前記リレーの開閉制御を行う。

本態様にあたっては、車載装置は車両に搭載される蓄電装置と車載負荷との間に介在する電気配線箱であり、当該電気配線箱に含まれ、蓄電装置から車載負荷への電力の給断を行うリレーは、制御部によって開閉制御される。従って、検査用プログラムは、例えば、リレーの動作確認を行うために用いられ、制御部は、有効性情報を参照することにより、当該リレーを開閉制御するための制御プログラムと、当該リレーの動作確認を行うための検査用プログラムとを、選択的に実行することができる。

（９）本開示の一態様に係る車載ＥＣＵは、前記制御プログラムを実行中の制御部は、
前記有効性情報が有効から無効に変更された後、所定のタイミングで前記有効性情報を監視し、
前記検査用プログラムが有効である旨が前記有効性情報にて示されている場合、前記監視の結果に関する情報を出力する。

本態様にあたっては、制御プログラムを実行中の制御部は、有効性情報が有効から無効に変更された後、例えば、車両の起動時、停止時又は予め決定された時刻等の所定のタイミングで有効性情報を監視する。そして、制御プログラムを実行中の制御部は、検査用プログラムが有効である旨が有効性情報にて示されている場合、前記監視の結果に関する情報を、車両に搭載されているディスプレイ装置等のＨＭＩ装置等に出力する。本来的に出荷後の車両においては、有効性情報は、無効であることを示す状態が維持される。その上で、制御プログラムを実行中の制御部は、所定のタイミングにて定期的又は定常的に有効性情報を監視している。従って、有効性情報が記憶される記憶領域において、例えばビット反転等の現象が発生し、当該有効性情報が有効な状態に変更された場合であっても、有効性情報が有効な旨、すなわち意図せず、有効な状態に変更された旨をＨＭＩ装置等に出力し、車両の操作者等に報知することができる。

（１０）本開示の一態様に係るプログラムは、コンピュータに
車載装置を制御するための制御プログラム、前記車載装置又は前記車載装置を制御する車載ＥＣＵの動作確認を行うための検査用プログラム及び、前記検査用プログラムの有効又は無効を示す有効性情報が記憶される記憶部を参照し、
前記有効性情報が、前記検査用プログラムは有効である旨を示す場合、前記検査用プログラムを実行し、
前記有効性情報が、前記検査用プログラムは無効である旨を示す場合、前記制御プログラムを実行する
処理を実行させる。

本態様にあたっては、コンピュータを自装置の動作確認を行う検査用プログラムを効率的に用いる車載ＥＣＵとして動作させることができる。

（１１）本開示の一態様に係る情報処理方法は、車載装置を制御するための制御プログラム、前記車載装置又は前記車載装置を制御する車載ＥＣＵの動作確認を行うための検査用プログラム及び、前記検査用プログラムの有効又は無効を示す有効性情報が記憶される記憶部を参照し、
前記有効性情報が、前記検査用プログラムは有効である旨を示す場合、前記検査用プログラムを実行し、
前記有効性情報が、前記検査用プログラムは無効である旨を示す場合、前記制御プログラムを実行する
処理をコンピュータに実行させる。

本態様にあたっては、コンピュータを自装置の動作確認を行う検査用プログラムを効率的に用いる車載ＥＣＵとして動作させる情報処理方法を提供することができる。

[本開示の実施形態の詳細]
本開示の実施形態に係る車載ＥＣＵ２の具体例を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載ＥＣＵ２等を含む車載システムＳの構成を例示する模式図である。図２は、車載ＥＣＵ２等の内部構成を例示するブロック図である。車載システムＳは、車載ＥＣＵ２及び車載ＥＣＵ２に接続される電気配線箱３（車載装置）を含む。当該車載ＥＣＵ２は、車載中継装置１を介して他の車載ＥＣＵ（ＥＣＵ）、アクチュエータ又は車外通信装置１１等の車載機器と通信可能に接続され、例えば、これら車載機器から出力された信号等に基づき、自ＥＣＵである車載ＥＣＵ２に接続される電気配線箱３等の車載装置の制御を行う。

車載中継装置１は、例えば、制御系ＥＣＵ等の車載機器、安全系ＥＣＵ等の車載機器及び、ＢＣＵ（Body Control Unit）等のボディ系の車載機器など、複数系統のセグメントを統括し、これらセグメント間での車載機器同士の通信を中継する。車載中継装置１は、例えばゲートウェイ又はイーサスイッチであり、レイヤ２スイッチ、レイヤ３スイッチ及びＣＡＮゲートウェイとして機能するものであってもよい。車載中継装置１には、更に車外通信装置１１及びＨＭＩ装置１２が接続される。車載中継装置１と、車載ＥＣＵ２等とは、例えば、イーサネット（登録商標）ケーブル、又はＣＡＮケーブル等の通信線１０により、接続される。

車外通信装置１１は、例えば、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信装置１１に接続されたアンテナを介して、車両Ｃ外に位置する外部サーバ（図示せず）とデータの送受信を行う。

ＨＭＩ装置１２は、カーナビゲーションのディスプレイ等の表示装置である。表示装置は、車載中継装置１を介して、車載ＥＣＵ２から出力された情報を表示する。

電気配線箱３は、例えばＦＥＴ等の半導体によるリレー３１及びヒューズ（図示せず）を含み、蓄電装置４と車載負荷５との間に介在して設けられている。蓄電装置４は、鉛電池又は、リチウム電池等の二次電池であり、車両Ｃに搭載される車載負荷５に対する電力源である。車載負荷５は、例えばカーエアコン、ランプ装置等の負荷装置であり、蓄電装置４から供給された電力によって駆動する。

電気配線箱３と、蓄電装置４及び車載負荷５とは、電力線４１により接続されている。電気配線箱３と車載ＥＣＵ２とは信号線２２１により接続されており、電気配線箱３のリレー３１は、信号線２２１を介して車載ＥＣＵ２から出力された信号に基づき、当該リレー３１のオン（閉）又はオフ（開）に制御される。電気配線箱３のリレー３１がオン・オフ制御されることにより、蓄電装置４から車載負荷５への電力の供給又は遮断が行われる。

電気配線箱３は、車載ＥＣＵ２に接続される車載装置の一例であり、これに限定されない。車載ＥＣＵ２に接続される車載装置は、例えば、ドア駆動装置又はランプ装置等、車両Ｃに搭載される種々にアクチュエータであってもよい。

車載ＥＣＵ２は、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２、通信部２３及び受付部２４を含む。制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２１に記憶されたプログラム及びデータを読み出し実行して制御処理等を行う。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成されている。記憶部２１には、プログラム及びプログラムを実行するためのデータが記憶されている。これらプログラム等は、車載ＥＣＵ２が読み取り可能な記録媒体から読み出されたプログラム等を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからこれらプログラム等をダウンロードし、記憶部２１に記憶させたものであってもよい。

記憶部２１に記憶されたプログラムは、ブートプログラム等の起動用プログラム、制御プログラム及び検査用プログラムを含む。記憶部２１には、更に検査用プログラムが有効であるか否かであるかを示す有効性情報が記憶されている。記憶部２１は、複数の領域に区分化されており、当該区分化の一例として、ブートプログラム領域２１０、第１領域２１１及び第２領域２１２に区分化されている。ブートプログラム領域２１０には、ブートプログラム等の起動用プログラムが格納（記憶）されている。第１領域２１１には、制御プログラム及び検査用プログラムが格納（記憶）されている。第２領域２１２には、検査用プログラムが有効であるか否かであるかを示す有効性情報が格納（記憶）されている。有効性情報は、その値が例えば０又は１にて示されるビットフラグにより定義されるものであってもよい。当該ビットフラグの一例として、０は、検査用プログラムが無効であることを示し、１は、検査用プログラムが有効であることを示すものであってもよい。第２領域２１２における記憶容量は、第１領域２１１における記憶容量よりも小さい（少ない）容量となるように、第１領域２１１及び第２領域２１２は、区分化されている。

入出力Ｉ／Ｆ２２は、シリアルケーブル等のワイヤーハーネスによる信号線２２１が接続され、制御部２０が生成した信号は、入出力Ｉ／Ｆ２２及び信号線２２１を介して、電気配線箱３に出力される。

通信部２３は、１００ＢＡＳＥ－Ｔ１又は１０００ＢＡＳＥ－Ｔ１等のイーサネットケーブルによる通信線１０にて伝送されるＴＣＰ／ＩＰのパケットに対応するイーサネットＰＨＹ部である。又は、通信部２３は、ＣＡＮプロコトルに対応したＣＡＮトランシーバであってもよい。

受付部２４は、記憶部２１に直接アクセスし、当該記憶部２１に記憶されている情報を直接、変更するために用いられるＲＯＭライター等の書換装置７が接続される入出力ポートである。受付部２４に接続される書換装置７により、記憶部２１の第２領域２１２に記憶されている有効性情報を変更する（書き換える）ことができる。

外部装置６は、車両Ｃ又は、電気配線箱３が接続される車載ＥＣＵ２の製造段階において、車載ＥＣＵ２の通信部２３を介して接続される製品検査用のダイアグ装置である。外部装置６は、例えばパソコン、タブレットＰＣ又はスマートホン等の汎用情報端末に専用アプリケーションをインストールした装置、又はハードウェアを含み専用情報端末として構成された装置である。外部装置６は、車載中継装置１を介して、車載ＥＣＵ２と通信可能に接続されるものであってもよい。外部装置６は、検査用プログラムの実行要求（エントリ要求）に関する信号（要求信号）を車載ＥＣＵ２に出力（送信）する。詳細は後述するが、車載ＥＣＵ２の制御部２０は、外部装置６から検査用プログラムの実行要求（エントリ要求）に関する信号（要求信号）を受信した場合、検査用プログラムの起動に関する処理を行うものであってよい。

車載ＥＣＵ２の起動時、車載ＥＣＵ２の制御部２０はブートプログラム等の起動用プログラムを実行し、起動処理を行う起動処理部として機能する。ブートプログラム等の起動用プログラムを実行中の制御部２０は、車載ＥＣＵ２の起動処理の一環として、記憶部２１における物理アドレスに基づき、第２領域２１２に記憶されている有効性情報を参照し、当該有効性情報（ビットフラグ）の値（０又は１）に応じて、制御プログラム又は検査用プログラムを選択的に実行する。車載ＥＣＵ２の制御部２０は制御プログラムを実行することにより、自ＥＣＵに接続されている電気配線箱３等の車載装置の制御に関する処理を行う車載装置制御処理部として機能する。車載ＥＣＵ２の制御部２０は検査用プログラムを実行することにより、自ＥＣＵの自己診断処理、自ＥＣＵに接続されている電気配線箱３等の車載装置との接続確認処理等の検査用処理を行う検査用処理部として機能する。

記憶部２１におけるブートプログラム領域２１０は、例えば、記憶部２１の物理アドレスにおける最初の番地（０ブロック目）からなる領域にて区分化されている。車載ＥＣＵ２の制御部２０は、自ＥＣＵの起動時において、ブートプログラム領域２１０に記憶されているブートプログラムを実行し、第２領域２１２に記憶されている有効性情報に基づき、制御プログラム又は検査用プログラムを選択的に実行する。

記憶部２１における第１領域２１１は、制御プログラムを実行中の制御部２０からのアクセスが可能な領域として区分化されている。すなわち、制御プログラムを実行中の制御部２０は、論理アドレスにてアドレッシングされた第１領域２１１に対し、参照系アクセス及び書込み系アクセスを行う。

記憶部２１における第２領域２１２は、制御プログラムを実行中の制御部２０からのアクセスが制限される領域として区分化されている。第２領域２１２は論理アドレスによるアドレッシングがされていないため、制御プログラムを実行中の制御部２０は、第２領域２１２に対し、第１領域２１１と同様に論理アドレスを用いたアクセスをすることができない。第２領域２１２にアクセスするためには、制御部２０は、物理アドレスを用いて当該第２領域２１２にアクセスする必要がある。ブートプログラム等の起動用プログラムを実行中の制御部２０は、予め定められている物理アドレスに基づき、第２領域２１２に記憶されている有効性情報を参照する。

第２領域２１２は、車載ＥＣＵ２の起動時に参照される有効性情報を記憶するための領域であるため、第２領域２１２の記憶容量は、第１領域２１１の記憶容量よりも小さい容量となるように、第１領域２１１及び第２領域２１２は、記憶部２１において区分化されている。このように第１領域２１１及び第２領域２１２を区分化することにより、電気配線箱３等の車載装置を制御する際に用いられる第１領域２１１の記憶容量を十分に確保し、記憶部２１の記憶容量を有効活用することができる。

本実施形態において、車載ＥＣＵ２の起動時に制御部２０が実行する起動用プログラムは、ブートプログラムであると記載したが、これに限定されない。車載ＥＣＵ２の起動時に制御部２０が実行する起動用プログラムは、車載ＥＣＵ２に接続される車載装置を制御するための制御プログラムであってもよい。車載ＥＣＵ２の起動時、制御部２０は制御プログラムを実行し、制御プログラムを実行中の制御部２０は、物理アドレスに基づき、第２領域２１２に記憶されている有効性情報を参照するものであってもよい。

車両Ｃ又は、電気配線箱３が接続される車載ＥＣＵ２の製造段階において検査用プログラムが実行される前は、有効性情報は、検査用プログラムが有効である旨を示している。すなわち、検査用プログラムが実行される前は、有効性情報の値は、１（検査用プログラムは有効）であるとして、第２領域２１２に記憶されている。

車両Ｃ又は、電気配線箱３が接続される車載ＥＣＵ２の製造段階において検査用プログラムが実行され、車載ＥＣＵ２及び電気配線箱３の検査が完了した後、有効性情報は、検査用プログラムが無効である旨を示すように変更される。すなわち、検査用プログラムが実行された後、有効性情報の値は、０（検査用プログラムは無効）に変更されて、第２領域２１２に記憶される。

有効性情報の値が、０（検査用プログラムは無効）に変更されて第２領域２１２に記憶された後、車載ＥＣＵ２を含む車両Ｃは、市場に出荷されるものとなる。車両Ｃの出荷後、第２領域２１２に記憶された有効性情報の値（０：検査用プログラムは無効）は、変更されることなく維持されるため、製造工程以降、検査用プログラムが、意図せず実行されることを効率的に防止することができる。その上で、車両Ｃが故障した場合、修理又は故障要因の分析を要する場合、受付部２４に書換装置７を接続し、第２領域２１２に記憶されている有効性情報を直接、１（検査用プログラムは有効）に書き換えることにより、再度、検査用プログラムを実行することができる。

図３は、車載ＥＣＵ２の制御部２０の処理を例示するフローチャートである。車載ＥＣＵ２の制御部２０は、例えば、車両Ｃの起動又は停止を行うイグニッション・スイッチ（ＩＧスイッチ）がオンにされた場合等、車載ＥＣＵ２への起動要求が行われた場合、以下の処理を行う。

車載ＥＣＵ２の制御部２０は、ブートプログラム等の起動用プログラムを実行する（Ｓ１０１）。制御部２０は、例えば、駆動電力が供給又は起動要求の信号が入力等、車載ＥＣＵ２への起動要求が行われた場合、ブートプログラム等の起動用プログラムを実行する。当該ブートプログラムは、記憶部２１の物理アドレスにおける最初の番地（０ブロック目）からなるブートプログラム領域２１０に記憶（格納）されており、制御部２０は、当該ブートプログラム領域２１０を参照することにより、ブートプログラムを読み出し、実行する。起動用プログラムは、車載ＥＣＵ２の起動時のみ実行されるブートプログラムに限定されず、車載ＥＣＵ２に接続される車載装置を制御するための制御プログラムであってもよい。

車載ＥＣＵ２の制御部２０は、第２領域２１２に記憶されている有効性情報を参照する（Ｓ１０２）。車載ＥＣＵ２の起動時に実行されるブートプログラム又は制御プログラムによる起動用プログラムは、記憶部２１の物理アドレスに基づき、予め物理アドレスの番地が決定されている第２領域２１２を参照するようにコーディングされている。起動用プログラムを実行中の制御部２０は、物理アドレスに基づき、第２領域２１２に記憶（格納）されている有効性情報を参照することにより、当該有効性情報の値を取得する。有効性情報が、例えば０又は１にて示されるビットフラグにより定義される場合、制御部２０は、当該ビットの番地を示す物理アドレスに基づき、有効性情報の値を取得するものであってもよい。

車載ＥＣＵ２の制御部２０は、有効性情報に基づき、検査用プログラムは有効であるか否かを判定する（Ｓ１０３）。有効性情報（ビットフラグ）の値の一例として、０は、検査用プログラムが無効であることを示し、１は、検査用プログラムが有効であることを示す場合、制御部２０は、当該値に基づき、検査用プログラムが有効であるか否かを判定する。

検査用プログラムが有効である場合（Ｓ１０３：ＹＥＳ）、車載ＥＣＵ２の制御部２０は、検査用プログラムを実行する（Ｓ１０３１）。ブートプログラム等の起動用プログラムを実行中の制御部２０は、検査用プログラムが有効である場合、検査用プログラムを実行した後、当該起動用プログラムを終了するものであってもよい。制御部２０は、検査用プログラムを実行した後、起動用プログラムを終了することにより、実行中のプログラムを起動用プログラムから検査用プログラムに移行させ、車載ＥＣＵ２の動作状態（処理態様）を、起動処理状態から検査処理状態に遷移させる。

車載ＥＣＵ２の制御部２０は、検査用プログラムに基づき、車載ＥＣＵ２（自ＥＣＵ）の検査を実行する（Ｓ１０３２）。制御部２０は、検査用プログラムにてコーディングされている処理内容に基づき、例えば、自ＥＣＵの自己診断処理、自ＥＣＵに接続されている電気配線箱３等の車載装置との接続確認処理、電気配線箱３に含まれるリレー３１、スイッチ等の動作確認処理等の検査用処理を行う。

検査用プログラムが有効でない場合（Ｓ１０３：ＮＯ）、すなわち検査用プログラムが無効である場合、車載ＥＣＵ２の制御部２０は、制御プログラムを実行する（Ｓ１０４）。ブートプログラム等の起動用プログラムを実行中の制御部２０は、検査用プログラムが有効でない場合（無効である場合）、制御プログラムを実行した後、起動用プログラムを終了することにより、実行中のプログラムを起動用プログラムから制御プログラムに移行させ、車載ＥＣＵ２の動作状態（処理態様）を、起動処理状態から、制御処理状態に遷移させる。Ｓ１０１の処理において、起動用プログラムとして制御プログラムを実行している場合は、車載ＥＣＵ２の制御部２０は、制御プログラムを実行している状態を維持し、制御プログラムの実行を継続するものであってもよい。すなわち、制御プログラムにおける処理シーケンスは、有効性情報の判定処理を行った後処理として、自ＥＣＵに接続される車載装置の制御に関する処理を行うものであってもよい。

車載ＥＣＵ２の制御部２０は、制御プログラムに基づき、自ＥＣＵに接続される電気配線箱３等の車載装置の制御を開始する（Ｓ１０５）。車載ＥＣＵ２が車両Ｃ全体を制御するボディＥＣＵ（ＢＣＵ）である場合、車載ＥＣＵ２は、例えば、車両Ｃの操作者による操作に基づき出力された信号を受信し、当該信号に基づき自ＥＣＵに接続される車載装置を駆動するための制御を行う。車載ＥＣＵ２の制御部２０は、Ｓ１０５又はＳ１０３２の処理の実行後、本フローにおける一連の処理を終了する。又は、車載ＥＣＵ２の制御部２０は、Ｓ１０５の処理を実行した後、再度Ｓ１０４及びＳ１０５を実施すべくループ処理を行い、車載装置の制御を継続するものであってもよい。

本実施形態によれば、車載ＥＣＵ２の制御部２０は、記憶部２１の第２領域２１２に記憶されている有効性情報によって示される内容（ビットフラグの値）に基づき、検査用プログラム又は制御プログラムを選択的に実行し、当該検査用プログラムを効率的に用いることができる。

第２領域２１２に記憶されている有効性情報は、車載ＥＣＵ２又は車両Ｃの製造工程において、有効から無効に変更されるため、製造工程を終えて出荷された車両Ｃにおいては、有効性情報は無効（検査用プログラムは無効）である旨を示す状態に書き換えられている。従って、市場に出荷された車両Ｃにおいて、検査用プログラムが意図せず実行されることを効率的に防止することができる。その上で、車両Ｃが故障等した場合は、車載ＥＣＵ２の受付部２４に書換装置７を直接、接続することにより、当該書換装置７から出力されたデータ又は信号等により、有効性情報を無効から有効に書き換え、車両Ｃの修理工程等において再度、検査用プログラムを実行することができる。

本実施形態によれば、検査用プログラムの有効性情報が記憶される第２領域２１２は、制御プログラムを実行中の制御部２０からのアクセスが制限される領域として区分化されている。すなわち、有効性情報は、制御プログラムを実行する制御部２０が記憶部２１（第１領域２１１）にアクセスする際に用いられる論理アドレスが定義されていない第２領域２１２にて、記憶されている。従って、車両Ｃの走行時等の通常時において、有効性情報が、制御プログラムを実行する制御部２０により、改変されることを効率的に防止することができる。

（実施形態２）
図４は、実施形態２（要求信号）に係る車載ＥＣＵ２の制御部２０の処理を例示するフローチャートである。車載ＥＣＵ２の制御部２０は、例えば、車両Ｃの起動又は停止を行うイグニッション・スイッチ（ＩＧスイッチ）がオンにされた場合等、車載ＥＣＵ２への起動要求が行われた場合、以下の処理を行う。車載ＥＣＵ２の制御部２０は、実施形態１の処理Ｓ１０１と同様にＳ２０１の処理を行う。

車載ＥＣＵ２の制御部２０は、検査用プログラムに関する要求を受け付けたか否かを判定する（Ｓ２０２）。上述のとおり、車載ＥＣＵ２等の製造段階又は保守作業時においては、車載ＥＣＵ２の通信部２３を介して、外部装置６が接続されている。この場合、車載ＥＣＵ２の起動時に、当該外部装置６から、検査用プログラムの実行要求（エントリ要求）に関する要求信号が出力（送信）される。外部装置６から要求信号が出力された場合、制御部２０は、通信部２３を介して当該要求信号を取得（受信）する。

外部装置６は、要求信号を出力する際、車両Ｃ内に搭載される他の車載ＥＣＵ間の通信にて用いられる識別子とは異なる識別子にて、当該要求信号を出力するものであってもよい。車両Ｃ内における車載ＥＣＵ２間の通信が、例えばＣＡＮで行われる場合、当該識別子はＣＡＮ－ＩＤに相当し、例えばイーサネット（ＴＣＰ／ＩＰ）で行われる場合、当該識別子はポート番号に相当するものであってもよい。このように識別子を異ならせることにより、車載ＥＣＵ２の制御部２０が、外部装置６から送信される要求信号を取得する処理を行うにあたり、車両Ｃ内に搭載される他の車載ＥＣＵ間の通信による影響を効率的に排除し、当該要求信号の取得処理における信頼性を担保することができる。外部装置６が通信部２３に接続されていない場合、制御部２０は、要求信号（エントリ要求）を取得することはない。

検査用プログラムに関する要求を受け付けた場合（Ｓ２０２：ＹＥＳ）、制御部２０は、実施形態１の処理Ｓ１０２と同様にＳ２０３の処理を行う。制御部２０は、実施形態１におけるＳ１０２の以降の処理であるＳ１０３からＳ１０５、Ｓ１０３２と同様に、Ｓ２０４からＳ２０６、Ｓ２０４２までの処理を行う。

検査用プログラムに関する要求を受け付けなかった場合（Ｓ２０２：ＮＯ）、制御部２０は、実施形態１の処理Ｓ１０４、Ｓ１０５と同様にＳ２０５、Ｓ２０６の処理を行う。車載ＥＣＵ２の制御部２０は、Ｓ２０６又はＳ２０４２の処理の実行後、本フローにおける一連の処理を終了する。又は、車載ＥＣＵ２の制御部２０は、Ｓ２０６の処理を実行した後、再度Ｓ２０５及びＳ２０６を実施すべくループ処理を行い、車載装置の制御を継続するものであってもよい。

本実施形態によれば、車載ＥＣＵ２の制御部２０は、車両Ｃ外の外部装置６から送信される要求信号を取得した場合、記憶部２１に記憶される有効性情報を参照し、当該有効性情報に基づき検査用プログラムが有効又は無効であるかを判定する。従って、検査用プログラムが実行されるためには、要求信号の取得及び検査用プログラムが有効であることの２つの要件具備が必要となり、検査用プログラムが実行される要件を更に厳格化し、当該検査用プログラムが誤って実行されることを効率的に防止することができる。

（実施形態３）
図５は、実施形態３（監視）に係る車載ＥＣＵ２の制御部２０の処理を例示するフローチャートである。車載ＥＣＵ２の制御部２０は、例えば、車両Ｃの起動又は停止を行うイグニッション・スイッチ（ＩＧスイッチ）がオンにされた場合等、車載ＥＣＵ２への起動要求が行われた場合、以下の処理を行う。車載ＥＣＵ２の制御部２０は、実施形態１の処理Ｓ１０１からＳ１０４、及びＳ１０３１，Ｓ１０３２と同様に、Ｓ３０１からＳ３０４、及びＳ３０３１，Ｓ３０３２までの処理を行う。

車載ＥＣＵ２の制御部２０は、Ｓ３０４の処理にて制御プログラムを実行することにより、実施形態１のＳ１０５と同様に車載装置の制御を開始する処理（Ｓ３０５）を行うと共に、検査用プログラムが無効であるか否かの判定を行う（Ｓ３０６）。制御プログラムを実行中の制御部２０は、例えばサブプロセスを生成することにより、Ｓ３０５の処理である車載装置の制御に関する処理を行うと共に、検査用プログラムが無効であるか否かの判定を行う処理を並行処理として実施するものであってもよい。車載ＥＣＵ２の制御部２０は、Ｓ３０５、Ｓ３０７又はＳ３０３２の処理の実行後、本フローにおける一連の処理を終了する。又は、車載ＥＣＵ２の制御部２０は、Ｓ３０５、Ｓ３０７の処理を実行した後、再度Ｓ３０５、Ｓ３０６及びＳ３０７を実施すべくループ処理を行い、車載装置の制御及び、検査用プログラムが無効であることを示す有効性情報の監視を継続するものであってもよい。

制御部２０は、Ｓ３０３の処理と同様に第２領域２１２に記憶（格納）されている有効性情報を参照し、当該有効性情報の値を取得する。有効性情報は、例えば、０又は１にて示されるビットフラグにより定義されており、０は、検査用プログラムが無効であることを示し、１は、検査用プログラムが有効であることを示すものであってもよい。

本フローにおける一連の処理においては、Ｓ３０３にて、検査用プログラムが有効ではない（０：検査用プログラムが無効である）という条件の下、Ｓ３０６の処理を行われるものであり、これら処理の間においては、検査用プログラムの有効性を示す有効性情報（ビットフラグ）は、制御部２０が実行する制御プログラムによって変更される情報ではない。しかしながら、有効性情報が記憶されている第２領域２１２において、例えば、電気ノイズ又は宇宙線の衝突等により、ビット反転（０から１に反転）する現象が発生することも可能性としては、あり得るものである。従って、制御部２０は、制御プログラムを実行中であっても、例えばサブプロセスを生成して検査プログラムが無効であるかの監視を継続的に行うことにより、ビット反転等により有効性情報が意図せず変更された事象を検知することができる。

制御部２０は、検査プログラムが無効であるかの監視を行うにあたり、有効性情報が記憶されている第２領域２１２に対し、物理アドレスに基づきアクセスし、当該有効性情報を参照するものであってもよい。従って、制御プログラムを実行中の制御部２０は、車載装置を制御するための処理については論理アドレスに基づき記憶部２１の第１領域２１１に参照及び書込み系のアクセスを行い、検査プログラムが無効であるかの監視処理については物理アドレスに基づき記憶部２１の第２領域２１２に参照系のアクセスを行う。このように処理の種類に応じて、記憶部２１にアクセスするアドレス系統を異ならせることにより、第２領域２１２に記憶されている有効性情報に対する堅牢性を担保することができる。

検査用プログラムが無効である場合（Ｓ３０６：ＹＥＳ）、車載ＥＣＵ２の制御部２０は、再度Ｓ３０６の処理を実行すべく、ループ処理を行う。当該ループ処理を行うことにより、制御プログラムを実行中の制御部２０は、検査プログラムが無効であるかの監視を周期的及び継続的に行うことができる。

検査用プログラムが無効でない場合（Ｓ３０６：ＮＯ）、すなわち検査用プログラムが有効となっている場合、車載ＥＣＵ２の制御部２０は、有効性情報が変更された旨を出力する。

検査用プログラムが無効でない場合とは、上述のとおり、ビット反転等により、有効性情報が意図せず無効から有効に変更された場合である。検査用プログラムが有効となっている場合、車載ＥＣＵ２の制御部２０は、有効性情報が意図せず無効から有効に変更された旨を示す情報を、例えば、車載中継装置１を介してＨＭＩ装置又は、車載中継装置１及び車外通信装置１１を介して外部サーバに出力する。有効性情報が変更された旨を、例えばＨＭＩ装置１２又は外部サーバに出力することにより、当該旨を車両Ｃの操作者又は外部サーバの管理者に効率的に報知することができる。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載システム
１ 車載中継装置（Ｇａｔｅｗａｙ）
１０ 通信線
１１ 車外通信装置
１２ ＨＭＩ装置
２ 車載ＥＣＵ
２０ 制御部
２１ 記憶部
２１０ ブートプログラム領域
２１１ 第１領域
２１２ 第２領域
２１Ａ 記録媒体
２２ 入出力Ｉ／Ｆ
２２１ 信号線
２３ 通信部
２４ 受付部
３ 電気配線箱（車載装置）
３１ リレー
４ 蓄電装置
４１ 電力線
５ 車載負荷
６ 外部装置（ダイアグ装置）
７ 書換装置

Claims (9)

1. 車両に搭載される車載装置を制御する車載ＥＣＵであって、
   前記車載装置を制御するための制御プログラム及び、前記車載装置又は前記車載ＥＣＵの動作確認を行うための検査用プログラムが記憶される記憶部と、
   前記制御プログラム又は前記検査用プログラムを実行する制御部と
   を備え、
   前記記憶部には、前記検査用プログラムの有効又は無効を示す有効性情報が記憶されており、
   前記制御部は、前記記憶部に記憶される前記有効性情報を参照し、
   前記検査用プログラムが有効である場合は、前記検査用プログラムを実行し、
   前記検査用プログラムが無効である場合は、前記制御プログラムを実行し、
   前記記憶部には、前記車載ＥＣＵの起動時に実行されるブートプログラムが記憶されており、
   前記記憶部は、前記制御プログラムを実行中の制御部からのアクセスが可能な第１領域と、前記制御プログラムを実行中の制御部からのアクセスが制限される第２領域とを含み、
   前記有効性情報は、前記第２領域に記憶されており、
   前記ブートプログラムを実行中の制御部は、物理アドレスにより前記第２領域にアクセスし、
   前記制御プログラムを実行中の制御部は、前記車載装置の制御又は駆動のログデータを前記第１領域に書き込み、
   前記第２領域における記憶容量は、前記第１領域における記憶容量よりも小さい
   車載ＥＣＵ。
2. 前記記憶部に記憶される前記有効性情報は、前記車載ＥＣＵ又は前記車両の製造工程において、有効から無効に変更される
   請求項１に記載の車載ＥＣＵ。
3. 前記制御部は、前記車両外の外部装置から送信される要求信号を取得した場合、
   前記記憶部に記憶される前記有効性情報を参照し、
   前記有効性情報に基づき、前記検査用プログラムが有効又は無効であるかを判定する
   請求項１又は請求項２に記載の車載ＥＣＵ。
4. 前記外部装置から送信される要求信号に含まれる識別子は、前記車両内に搭載される他の車載ＥＣＵ間の通信にて用いられる識別子とは異なる
   請求項３に記載の車載ＥＣＵ。
5. 前記有効性情報が記憶されている記憶部へのアクセスを受け付ける受付部を備え、
   前記記憶部に記憶される前記有効性情報は、前記受付部を介して受け付けた信号によって、無効から有効に変更される
   請求項１から請求項４のいずれか１項に記載の車載ＥＣＵ。
6. 前記車載装置は、前記車両に搭載される蓄電装置と車載負荷との間に介在する電気配線箱であり、
   前記電気配線箱は、前記蓄電装置から前記車載負荷への電力の給断を行うリレーを含み、
   前記制御部は、前記電気配線箱に含まれる前記リレーの開閉制御を行う
   請求項１から請求項５のいずれか１項に記載の車載ＥＣＵ。
7. 前記制御プログラムを実行中の制御部は、
   前記有効性情報が有効から無効に変更された後、所定のタイミングで前記有効性情報を監視し、
   前記検査用プログラムが有効である旨が前記有効性情報にて示されている場合、前記監視の結果に関する情報を出力する
   請求項１から請求項６のいずれか１項に記載の車載ＥＣＵ。
8. コンピュータに
   車載装置を制御するための制御プログラム、前記車載装置又は前記車載装置を制御する車載ＥＣＵの動作確認を行うための検査用プログラム及び、前記検査用プログラムの有効又は無効を示す有効性情報が記憶される記憶部を参照し、
   前記有効性情報が、前記検査用プログラムは有効である旨を示す場合、前記検査用プログラムを実行し、
   前記有効性情報が、前記検査用プログラムは無効である旨を示す場合、前記制御プログラムを実行し、
   前記記憶部には、前記車載ＥＣＵの起動時に実行されるブートプログラムが記憶されており、
   前記記憶部は、前記制御プログラムを実行中の前記コンピュータからのアクセスが可能な第１領域と、前記制御プログラムを実行中の前記コンピュータからのアクセスが制限される第２領域とを含み、
   前記有効性情報は、前記第２領域に記憶されており、
   前記ブートプログラムを実行中の前記コンピュータは、物理アドレスにより前記第２領域にアクセスし、
   前記制御プログラムを実行中の前記コンピュータは、前記車載装置の制御又は駆動のログデータを前記第１領域に書き込み、
   前記第２領域における記憶容量は、前記第１領域における記憶容量よりも小さい
   処理を実行させるプログラム。
9. コンピュータに
   車載装置を制御するための制御プログラム、前記車載装置又は前記車載装置を制御する車載ＥＣＵの動作確認を行うための検査用プログラム及び、前記検査用プログラムの有効又は無効を示す有効性情報が記憶される記憶部を参照し、
   前記有効性情報が、前記検査用プログラムは有効である旨を示す場合、前記検査用プログラムを実行し、
   前記有効性情報が、前記検査用プログラムは無効である旨を示す場合、前記制御プログラムを実行し、
   前記記憶部には、前記車載ＥＣＵの起動時に実行されるブートプログラムが記憶されており、
   前記記憶部は、前記制御プログラムを実行中の前記コンピュータからのアクセスが可能な第１領域と、前記制御プログラムを実行中の前記コンピュータからのアクセスが制限される第２領域とを含み、
   前記有効性情報は、前記第２領域に記憶されており、
   前記ブートプログラムを実行中の前記コンピュータは、物理アドレスにより前記第２領域にアクセスし、
   前記制御プログラムを実行中の前記コンピュータは、前記車載装置の制御又は駆動のログデータを前記第１領域に書き込み、
   前記第２領域における記憶容量は、前記第１領域における記憶容量よりも小さい
   処理を実行させる情報処理方法。

Images