JPH1115741A - 電子制御装置 - Google Patents

Abstract

(57)【要約】 【課題】 制御の安全性と動作の信頼性とを高い次元で
両立させることのできる電子制御装置を提供する。 【解決手段】 フラッシュＲＯＭに書き込まれた制御プ
ログラムに従いエンジンを制御し、また、フラッシュＲ
ＯＭの記憶内容をサムチェックにより定期的に検査し
て、異常を検出すると（Ｓ３７０：ＮＯ）、エンジンを
停止させる処理（Ｓ３９０）を行う電子制御装置におい
て、フラッシュＲＯＭには、制御プログラムが書き込ま
れた記憶領域（以下、書込領域）を示す書込領域データ
が書き込まれており、サムチェックを行うサムチェック
処理では、フラッシュＲＯＭから書込領域データを読み
出して上記書込領域を判別し（Ｓ３２０）、その書込領
域についてのみサムチェックを行う（Ｓ３３５〜Ｓ３８
０）。よって、制御に実害のある異常時にだけ制御が停
止され、制御の安全性と動作の信頼性とを両立できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、記憶内容の書き換
えが可能な不揮発性メモリを備え、その不揮発性メモリ
に記憶された制御プログラムに従って制御対象を制御す
る電子制御装置に関する。

【０００２】

【従来の技術】近年、例えば車両のエンジンを制御する
電子制御装置においては、エンジンを制御するための制
御プログラム（即ち、プログラムを構成するプログラム
コードや、それの実行時に参照される制御用データ）を
記憶しておく記憶媒体として、電気的に記憶内容の書き
換えが可能なＥＥＰＲＯＭやフラッシュＥＥＰＲＯＭ
（以下、フラッシュＲＯＭという）等の不揮発性メモリ
を備え、その不揮発性メモリを装置に組み付けた状態
（実装した状態）で、プログラムを書き込み可能に構成
したものが提案されている。

【０００３】そして、このような電子制御装置によれ
ば、車両の種類や仕向地などに応じてエンジンに対する
制御内容が異なる場合でも、ハードウェアを変更するこ
となく、前記不揮発性メモリに書き込んでおく制御プロ
グラムを変えるだけで対応することができる。

【０００４】ところで、一般に、記憶内容の書き換えが
可能なＥＥＰＲＯＭやフラッシュＲＯＭなどの不揮発性
メモリは、記憶内容の書き換えが不能な所謂マスクＲＯ
Ｍと比較すると、記憶内容の保持性能（データリテンシ
ョン）に劣る面がある。つまり、メモリセルに生じた劣
化による不良等によって、その記憶内容が途中で変化し
てしまう可能性がある。

【０００５】そこで、従来より、この種の電子制御装置
では、その動作時に、不揮発性メモリの記憶内容が正常
であるか否かを、サムチェックによって検査するように
している。具体的には、まず、不揮発性メモリに書き込
むデータの和（即ち、サム値）が予め定めた規格値とな
るようにしておく。そして、電子制御装置は、その動作
時に、不揮発性メモリの全記憶領域のデータのサム値を
求め、その値が上記規格でなければ、不揮発性メモリの
記憶内容に異常が生じたと判断するようにしている。

【０００６】そして更に、この種の電子制御装置では、
上記の如く不揮発性メモリの記憶内容が異常であると判
断した場合には、その不揮発性メモリに記憶されている
制御プログラムの実行を止めて、例えばエンジンを強制
的に停止させるといったフェールセーフ用の動作モード
に移行し、これにより高い安全性を確保している。

【０００７】

【発明が解決しようとする課題】しかしながら、上記従
来の電子制御装置では、高い安全性を確保することがで
きるものの、以下の問題があった。まず、この種の電子
制御装置では、車両の種類や仕向地などに対応した様々
な種類の制御プログラムが不揮発性メモリに択一的に書
き込まれるため、制御プログラムが実際に書き込まれる
不揮発性メモリの記憶領域は、機種によって異なる場合
がある。

【０００８】このため、前述した従来装置の如く、不揮
発性メモリの全記憶領域の記憶内容についてサムチェッ
クを行うように構成すると、制御プログラムが記憶され
ていない領域（即ち、制御に関係のない記憶領域）で記
憶内容の変化が発生した場合でも、異常が生じたと判断
してフェールセーフ用の動作モードに移行してしまう。

【０００９】つまり、従来の装置では、実害のない異常
が不揮発性メモリに生じた場合でも、通常の制御動作を
停止してしまうこととなり、安全性は高いものの、動作
の信頼性には劣るものとなってしまうのである。本発明
は、こうした問題に鑑みなされたものであり、記憶内容
の書き換えが可能な不揮発性メモリに記憶された制御プ
ログラムに従い制御対象を制御する電子制御装置であっ
て、制御の安全性と動作の信頼性とを高い次元で両立さ
せることのできる電子制御装置を提供することを目的と
している。

【００１０】

【課題を解決するための手段、及び発明の効果】まず、
請求項１に記載の本発明の電子制御装置は、記憶内容の
書き換えが可能であると共に、制御対象を制御するため
の制御プログラムが記憶された不揮発性メモリと、該不
揮発性メモリの記憶内容が正常であるか否かを検査する
検査手段とを備えている。そして、当該装置は、通常時
には、前記不揮発性メモリに記憶されている制御プログ
ラムに従って制御対象を制御するが、検査手段によって
異常が検出されると、前記不揮発性メモリに記憶されて
いる制御プログラムに従った制御を停止する。

【００１１】尚、本発明において、制御プログラムと
は、制御対象を制御するためのソフトウェアであり、具
体的には、制御対象を制御するために実行されるプログ
ラムのプログラムコードと、その実行時に参照される制
御用データとの、両方或いは一方を示している。

【００１２】ここで特に、本発明の電子制御装置では、
検査手段が、前記不揮発性メモリの記憶領域のうちで制
御プログラムが記憶されている記憶領域を判別する領域
判別手段を備えている。そして、検査手段は、領域判別
手段によって判別された記憶領域の記憶内容についての
み、正常であるか否かを検査する。

【００１３】つまり、本発明の電子制御装置では、不揮
発性メモリの記憶領域のうちで制御プログラムが記憶さ
れている記憶領域を判別し、その判別した記憶領域の記
憶内容（即ち、制御プログラム）についてのみ、正常で
あるか否かを検査している。そして、異常を検出した場
合には、不揮発性メモリに記憶されている制御プログラ
ムに従った制御を止めて、制御対象を不適切に制御して
しまうことを防止するようにしている。

【００１４】このため、本発明の電子制御装置によれ
ば、制御を行う上で実害のある異常が不揮発性メモリの
記憶内容に生じた場合にのみ、通常の制御動作を停止す
ることができ、制御の安全性と動作の信頼性とを高い次
元で両立させることができる。次に、請求項２に記載の
電子制御装置では、前記不揮発性メモリに、当該不揮発
性メモリの記憶領域のうちで制御プログラムが記憶され
ている記憶領域を示す領域情報が記憶されている。そし
て、領域判別手段は、不揮発性メモリから上記領域情報
を読み出すことにより、不揮発性メモリの記憶領域のう
ちで制御プログラムが記憶されている記憶領域を判別す
る。

【００１５】このような請求項２に記載の電子制御装置
によれば、不揮発性メモリに制御プログラムを書き込む
際に、上記領域情報も一緒に書き込んでおくだけで、制
御プログラムが記憶されている記憶領域を確実に判別す
ることができる。尚、領域情報としては、制御プログラ
ムが記憶されている記憶領域の先頭番地と、その記憶領
域の大きさ（容量）とを表すデータ、或いは、制御プロ
グラムが記憶されている記憶領域の先頭番地と最終番地
との各々を表すデータが考えられる。

【００１６】そして、この場合には、不揮発性メモリの
特定の記憶領域に、領域情報としての上記データを書き
込んでおき、領域判別手段が、その特定の記憶領域から
領域情報としての上記データを読み出して、制御プログ
ラムが記憶されている記憶領域を判別すれば良い。

【００１７】また、制御プログラムが記憶されている記
憶領域の最初と最後との各々に、領域情報としての目印
コードを書き込んでおき、領域判別手段が、不揮発性メ
モリの記憶内容を順次読み出して上記目印コードを探す
ことにより、制御プログラムが記憶されている記憶領域
を判別するようにしてもよい。

【００１８】ところで、検査手段は、前記不揮発性メモ
リの記憶内容が正常であるか否かを、例えば、当該電子
制御装置が動作を開始した直後に、一回だけ検査するよ
うに構成しても良いが、請求項３に記載の如く、検査手
段が、前記不揮発性メモリの記憶内容が正常であるか否
かを定期的に検査するよう構成すれば、より大きな効果
を得ることができる。

【００１９】つまり、不揮発性メモリの記憶内容は、い
つ変化してしまうか分からないため、請求項３に記載の
如く定期的に検査を行うことにより、制御の安全性を一
層高めることができるからである。一方、この種の電子
制御装置では、一般に、前記不揮発性メモリに新規に制
御プログラムを書き込む際には、制御プログラムの記憶
領域以外にも所定のデータを書き込み、その書き込み作
業の後で、不揮発性メモリの全記憶領域の記憶内容が書
き込んだ内容と一致しているか否かを検証することによ
り、不揮発性メモリへのデータ書き込みを問題なく実施
することができたこと（延いては、不揮発性メモリが正
常であること）を確認するようにしている。

【００２０】そこで、請求項４に記載の電子制御装置で
は、検査手段が、当該装置の外部から、前記不揮発性メ
モリの全ての記憶領域の記憶内容について検査を行うこ
とを要求する全領域検査要求があったか否かを検出する
要求検出手段を備えている。そして、検査手段は、要求
検出手段により前記全領域検査要求があったと検出され
ると、前記不揮発性メモリの全ての記憶領域の記憶内容
が正常であるか否かを検査し、異常を検出すると、当該
装置の外部へ異常を報知する。

【００２１】このような請求項４に記載の電子制御装置
によれば、外部から全領域検査要求を与えることによ
り、不揮発性メモリの全ての記憶領域の記憶内容が正常
であるか否かを知ることができるため、不揮発性メモリ
に新規に制御プログラムを書き込んだ際に、不揮発性メ
モリが正常で且つデータの書き込みを問題なく実施する
ことができたか否かを、容易に確認することができる。

【００２２】ところで、不揮発性メモリの記憶内容が正
常であるか否かを検査するための手法としては、様々な
ものが考えられるが、請求項５に記載のように、検査手
段が、不揮発性メモリの記憶内容が正常であるか否かを
サムチェックによって検査するよう構成すれば、記憶内
容の良否を非常に簡単に検査することができる。

【００２３】一方、前述した請求項１〜請求項５に記載
の電子制御装置において、検査手段は、所定の記憶媒体
に記憶されている検査プログラムに従って、前記不揮発
性メモリの記憶内容が正常であるか否かを検査するよう
に構成することができる。そして、上記検査プログラム
を記憶する記憶媒体としては、例えば、前記不揮発性メ
モリの記憶領域のうちで、制御プログラムが書き込まれ
る記憶領域以外の記憶領域を用いることができる。

【００２４】但し、この場合には、［従来の技術］の項
で述べたように、メモリセルに生じた劣化による不良等
によって、検査プログラムの内容が途中で変化してしま
う可能性がある。そこで、請求項６に記載のように、検
査手段が、記憶内容の書き換えが不能なプログラム格納
用メモリに記憶されている検査プログラムに従って、前
記不揮発性メモリの記憶内容が正常であるか否かを検査
するように構成すれば、検査プログラムの内容が変化し
てしまうことがなく、前記不揮発性メモリの記憶内容が
正常であるか否かを常に確実に検査できるため有利であ
る。

【００２５】尚、記憶内容の書き換えが不能なプログラ
ム格納用メモリとしては、半導体チップの製造時にプロ
グラムが記憶される所謂マスクＲＯＭを用いることがで
きる。

【００２６】

【発明の実施の形態】以下、本発明が適用された実施形
態について図面を用いて説明する。尚、本発明は、下記
の実施形態に限定されることなく、本発明の技術的範囲
に属する限り、種々の形態を採り得ることは言うまでも
ない。

【００２７】まず図１は、自動車に搭載されて内燃機関
型エンジンの制御を行う、実施形態のエンジン制御装置
（以下、ＥＣＵという）２の構成を示すブロック図であ
る。図１に示すように、ＥＣＵ２は、エンジンを制御す
るための様々な処理を実行するシングルチップマイクロ
コンピュータ（以下、マイコンという）４と、エンジン
の運転状態を検出する様々なセンサからの信号をマイコ
ン４に入力させると共に、マイコン４からの制御信号に
基づき、エンジンに取り付けられたインジェクタ（燃料
噴射弁）やイグナイタ等のアクチュエータへ駆動信号を
出力する入出力回路５と、記憶内容の書き換えが可能な
フラッシュＲＯＭ６と、マイコン４とフラッシュＲＯＭ
６とを情報交換可能に接続するバス７と、を備えてい
る。

【００２８】そして、マイコン４には、プログラムを実
行する周知のＣＰＵ８と、ＣＰＵ８により実行されるプ
ログラムを格納するマスクＲＯＭ１０と、ＣＰＵ８の演
算結果等を一時格納するＲＡＭ１２と、前記入出力回路
５との間で信号の入出力を行うためのＩ／Ｏ１４とが備
えられている。

【００２９】また、前記入出力回路５からは、先端にコ
ネクタ１６が取り付けられた信号線１８が延びており、
コネクタ１６には、車両の内部状態を検査するための検
査装置２０が着脱自在に接続される。そして、ＥＣＵ２
は、コネクタ１６に検査装置２０が接続されて、後述す
るようにテストモードであると判断すると、フラッシュ
ＲＯＭ６が正常であるか否かを検査して、その検査結果
を表す信号を検査装置２０へ送信するようになってい
る。

【００３０】尚、ＥＣＵ２は、その動作中に、上記セン
サやアクチュエータ等の車両各部の作動状態を監視して
おり、検査装置２０からの指令に応じて、上記監視した
結果を表す監視データを検査装置２０へ送信するように
なっているが、この点については、本発明とは直接関係
が無いので、詳細な説明は省略する。

【００３１】ここで、マイコン４内のマスクＲＯＭ１０
は、記憶内容の書き換えが不能な不揮発性メモリであ
る。そして、このマスクＲＯＭ１０には、リセット直後
に実行されるブートプログラムと、フラッシュＲＯＭ６
の記憶内容が正常であるか否かを検査するために実行さ
れるサムチェック処理のプログラム（検査プログラム）
と、上記サムチェック処理にて異常が検出された場合に
実行されるフェールセーフ処理のプログラムとが、マイ
コン４の製造時に記憶されている。

【００３２】一方、本実施形態において、フラッシュＲ
ＯＭ６は、１番地（即ち、１アドレス）当りのデータ長
が１６ビットの不揮発性メモリである。そして、このフ
ラッシュＲＯＭ６には、ＣＰＵ８がエンジンを制御する
ために実行するプログラムのプログラムコードと、その
プログラムの実行時に参照される制御用データとからな
る、エンジン制御用の制御プログラムが、ＥＣＵ２の製
造工程において当該フラッシュＲＯＭ６やマイコン４等
がＥＣＵ２へ実装された後に、周知のオンボード書き込
みの手法によって書き込まれている。

【００３３】具体的には、ＣＰＵ８が、マスクＲＯＭ１
０内のブートプログラムを起動した際に、当該ＥＣＵ２
に図示しないメモリ書込装置が接続されていると判断す
ると、まず、そのメモリ書込装置から送信されて来る書
込制御プログラムをＲＡＭ１２の所定領域に格納し、次
いで、その書込制御プログラムをＲＡＭ１２上で実行す
ることにより、その後メモリ書込装置から送られて来る
制御プログラムをフラッシュＲＯＭ６に書き込むように
なっている。

【００３４】そして、ＥＣＵ２では、フラッシュＲＯＭ
６に様々な種類の制御プログラムが択一的に書き込ま
れ、これにより、当該ＥＣＵ２が搭載される車両の種類
や仕向地などに応じてエンジンに対する制御内容が異な
る場合でも、フラッシュＲＯＭ６に書き込んでおく制御
プログラムを変えるだけで、ハードウェアを変更するこ
となく対応することができるようになっている。

【００３５】このように、ＥＣＵ２では、フラッシュＲ
ＯＭ６に様々な種類の制御プログラムが書き込まれるた
め、制御プログラムが実際に書き込まれるフラッシュＲ
ＯＭ６の記憶領域は、機種によって異なる。このため、
図２に示すように、本実施形態のＥＣＵ２では、フラッ
シュＲＯＭ６のＸ番地からＺ番地までの全記憶領域のう
ちの一部の記憶領域、即ち、Ｙ１番地からＹ４番地まで
の記憶領域（図２における書込領域）Ｒｗに、制御プロ
グラムが書き込まれており、上記記憶領域Ｒｗ以外の記
憶領域には、エンジンの制御に直接関係するデータは書
き込まれていない。

【００３６】そして、上記記憶領域Ｒｗの前半部であっ
て、フラッシュＲＯＭ６のＹ１番地からＹ２番地までの
記憶領域（図２におけるプログラム領域）Ｒｃに、制御
プログラムのうちで命令語や条件文などを形成するプロ
グラムコードが書き込まれており、また、上記記憶領域
Ｒｗの後半部であって、フラッシュＲＯＭ６のＹ３番地
からＹ４番地までの記憶領域（図２におけるデータ領
域）Ｒｄに、制御プログラムのうちの制御用データが書
き込まれている。

【００３７】尚、以下では、フラッシュＲＯＭ６の記憶
領域のうちで、制御プログラムが書き込まれて記憶され
たＹ１番地からＹ４番地までの記憶領域Ｒｗを、書込領
域Ｒｗという。そして、制御プログラムのうちのプログ
ラムコードが書き込まれて記憶されたＹ１番地からＹ２
番地までの記憶領域Ｒｃを、プログラム領域Ｒｃとい
い、制御プログラムのうちの制御用データが書き込まれ
て記憶されたＹ３番地からＹ４番地までの記憶領域Ｒｄ
を、データ領域Ｒｄという。

【００３８】一方、図２に示すように、フラッシュＲＯ
Ｍ６において、上記プログラム領域Ｒｃ内の特定の番地
には、書込領域Ｒｗの先頭番地であるＹ１番地を示す先
頭番地データと、書込領域Ｒｗの大きさ（即ち、Ｙ１番
地からＹ４番地までの大きさであり、制御プログラムの
容量）を示す容量データとからなる、領域情報としての
書込領域データＤｒが書き込まれている。尚、本実施形
態において、フラッシュＲＯＭ６に書き込まれる制御プ
ログラムの容量は、予め２５６バイトの整数倍と決めら
れており、書込領域Ｒｗの大きさを示す容量データは、
上記整数の値Ｎを示すものとなっている。

【００３９】また、本実施形態において、書込領域Ｒｗ
に書き込まれる制御プログラム（プログラムコード及び
制御用データ）を構成するデータは、サムチェックによ
るメモリチェックを行うために、その和であるサム値が
予め第１の規格値Ａとなるように設定されている。

【００４０】尚、本実施形態において、サム値とは、フ
ラッシュＲＯＭ６の各番地における１６ビットデータの
各々を、各桁毎の桁上がりを無視して加算した値であ
る。このため、図２に示すように、データ領域Ｒｄの所
定領域には、書込領域Ｒｗのサム値を上記第１の規格値
Ａにするための調整用データ（通常モード用チェックサ
ム調整データ）Ｄｎが挿入されている。

【００４１】また更に、本実施形態においては、フラッ
シュＲＯＭ６の全記憶領域に書き込まれるデータについ
ても、サムチェックによるメモリチェックを行うため
に、その和であるサム値が予め第２の規格値Ｂとなるよ
うに設定されている。このため、図２に示すように、フ
ラッシュＲＯＭ６の記憶領域のうちで書込領域Ｒｗ以外
の所定領域には、フラッシュＲＯＭ６の全記憶領域のサ
ム値を上記第２の規格値Ｂにするための調整用データ
（テストモード用チェックサム調整データ）Ｄｔが挿入
されている。

【００４２】次に、ＥＣＵ２のマイコン４（ＣＰＵ８）
で実行される処理について、図３及び図４を用いて説明
する。まず、ＥＣＵ２では、車両のイグニッションスイ
ッチ（図示省略）がオンされて電源が投入されると、マ
イコン４のＣＰＵ８がリセット状態から動作を開始し
て、図３に示す処理を実行する。

【００４３】即ち、最初に、マスクＲＯＭ１０に記憶さ
れているブートプログラムを起動して、まずステップ
（以下、「Ｓ」と記す）１００にて、マイコン４の内部
を初期化するための初期化処理を実行する。尚、この初
期化処理により、後述するサムチェック処理（図４）で
参照されるＲＡＭ１２上のフラグＦに、初期値である
「１」がセットされる。また、図３において、前述した
オンボード書き込みを行うための処理部分については、
図示を省略している。

【００４４】そして次に、マスクＲＯＭ１０内のブート
プログラムからフラッシュＲＯＭ６に記憶されているエ
ンジン制御用の制御プログラム（詳しくは、フラッシュ
ＲＯＭ６のプログラム領域Ｒｃ）にジャンプして、プロ
グラム領域Ｒｃに記憶されているプログラムコードの実
行を開始する。

【００４５】すると、その後は、図３のＳ２００に示す
ように、フラッシュＲＯＭ６のデータ領域Ｒｄに記憶さ
れた制御用データを参照して行われるエンジン制御処理
が、繰り返し実行される。尚、Ｓ２００のエンジン制御
処理は、入出力回路５からの各種センサ信号と、フラッ
シュＲＯＭ６のデータ領域Ｒｄに記憶された制御用デー
タとに基づき、エンジンに対する最適な燃料噴射量や点
火時期などを演算し、その演算結果に応じて、インジェ
クタやイグナイタ等のアクチュエータを駆動するための
制御信号を入出力回路５に出力する、といった手順で実
行される。

【００４６】ここで、フラッシュＲＯＭ６のに書き込ま
れた制御プログラムには、ＣＰＵ８が一定時間（本実施
形態では、８ｍｓ）を繰り返し計時して、その一定時間
毎にマスクＲＯＭ１０に記憶されているサムチェック処
理のプログラムへジャンプするための、タイマ用プログ
ラムが組み込まれている。

【００４７】このため、ＣＰＵ８は、図３のＳ２００で
エンジン制御処理を実行している最中に８ｍｓが経過す
ると、その度毎に、マスクＲＯＭ１０に記憶されている
サムチェック処理のプログラムへジャンプして、図４に
示すサムチェック処理を実行する。

【００４８】図４に示すように、ＣＰＵ８がサムチェッ
ク処理の実行を開始すると、まずＳ３００にて、エンジ
ンの制御を行わないテストモードであるか否かを判定す
る。尚、本実施形態においては、ＥＣＵ２にコネクタ１
６を介して検査装置２０が接続され、その検査装置２０
からテストモードを示す全領域検査要求としてのテスト
起動信号が出力されている場合に、テストモードである
と判定する。

【００４９】ここで、上記Ｓ３００にて、テストモード
ではない（換言すれば、エンジンの制御を行う通常モー
ドである）と判定した場合には、Ｓ３１０に進んで、図
３の初期化処理（Ｓ１００）で初期化したフラグＦが、
未だ「１」であるか否かを判定する。

【００５０】そして、上記Ｓ３１０にて、フラグＦが
「１」であると判定した場合には、続くＳ３２０にて、
フラッシュＲＯＭ６の前述した特定の番地から書込領域
データＤｒを読み出して取得し、その書込領域データＤ
ｒの先頭番地データと容量データとに基づき、フラッシ
ュＲＯＭ６の記憶領域のうちで制御プログラムが記憶さ
れている書込領域Ｒｗを判別する。

【００５１】つまり、Ｓ３２０では、上記先頭番地デー
タが示す番地（図２のＹ１番地）を、書込領域Ｒｗの先
頭番地として記憶すると共に、その先頭番地から上記容
量データが示す容量分だけ後の番地（図２のＹ４番地）
を、書込領域Ｒｗの最終番地として記憶する。

【００５２】そして、続くＳ３３０にて、フラグＦに
「０」をセットし、更に続くＳ３３５にて、後述するＳ
３４０でサム値の計算を開始すべきフラッシュＲＯＭ６
の番地を示すサム値計算開始アドレスＳＡに、上記Ｓ３
２０で記憶した書込領域Ｒｗの先頭番地（Ｙ１番地）を
セットして、Ｓ３４０に進む。

【００５３】また、上記Ｓ３１０にて、フラグＦが
「１」ではないと判定した場合には、既にＳ３２０の処
理を実行して書込領域Ｒｗを判別できていることから、
そのままＳ３４０に移行する。Ｓ３４０では、フラッシ
ュＲＯＭ６の記憶領域のうち、サム値計算開始アドレス
ＳＡとして現在セットされている番地から２５６バイト
分の記憶領域について、その記憶領域に記憶されている
データのサム値（つまり、各番地における１６ビットデ
ータの各々を、各桁毎の桁上がりを無視して加算した
値）を計算する。

【００５４】次に、Ｓ３５０にて、今回のＳ３４０でサ
ム値を計算した記憶領域の最終番地が、上記Ｓ３２０で
記憶した書込領域Ｒｗの最終番地（Ｙ４番地）であるか
否かを判定し、書込領域Ｒｗの最終番地でなければ、書
込領域Ｒｗのサム値を全て計算できていないと判断し
て、Ｓ３６０に進む。

【００５５】そして、Ｓ３６０にて、今回のＳ３４０で
サム値を計算した記憶領域の最終番地の次の番地を、サ
ム値計算開始アドレスＳＡとしてセットし直し、その
後、当該サムチェック処理を一旦終了して、エンジン制
御処理に戻る。尚、このＳ３６０でサム値計算開始アド
レスＳＡが更新されて、次に当該サムチェック処理が実
行された場合には、上記Ｓ３４０において、今回の処理
で計算するサム値（つまり、更新されたサム値計算開始
アドレスＳＡの示す番地から２５６バイト分のサム値）
に前回計算したサム値が累積加算される。

【００５６】一方、上記Ｓ３５０にて、今回のＳ３４０
でサム値を計算した記憶領域の最終番地が、上記Ｓ３２
０で記憶した書込領域Ｒｗの最終番地（Ｙ４番地）であ
ると判定した場合には、書込領域Ｒｗのサム値を全て計
算できたと判断して、Ｓ３７０に移行する。

【００５７】このＳ３７０では、上記Ｓ３４０で累積計
算されたサム値が、書込領域Ｒｗのサム値として予め設
定された第１の規格値Ａと一致しているか否かを判定
し、両値が一致していれば、フラッシュＲＯＭ６に記憶
された制御プログラムに異常は無いと判断して、Ｓ３７
５に進む。

【００５８】そして、このＳ３７５にて、上記Ｓ３４０
で累積計算したサム値を消去し、続くＳ３８０にて、前
述したＳ３３５と全く同様に、サム値計算開始アドレス
ＳＡに、上記Ｓ３２０で記憶した書込領域Ｒｗの先頭番
地（Ｙ１番地）をセットする。そして、その後、当該サ
ムチェック処理を一旦終了して、エンジン制御処理に戻
る。

【００５９】尚、Ｓ３８０でサム値計算開始アドレスＳ
Ａに書込領域Ｒｗの先頭番地がセットされて、次に当該
サムチェック処理が実行された場合には、上記Ｓ３３５
でサム値計算開始アドレスＳＡに書込領域Ｒｗの先頭番
地がセットされた場合（つまり、ＥＣＵ２がリセット状
態から動作を開始して最初に当該サムチェック処理が実
行された場合）と同様に、上記Ｓ３４０では、書込領域
Ｒｗの先頭番地から２５６バイト分のサム値が計算され
る。

【００６０】一方、上記Ｓ３７０にて、Ｓ３４０で累積
計算されたサム値が第１の規格値Ａと一致していないと
判定した場合には、フラッシュＲＯＭ６に記憶された制
御プログラムの内容が、メモリセルに生じた劣化による
不良等によって変化してしまったと判断して、Ｓ３９０
に移行する。

【００６１】そして、このＳ３９０にて、当該サムチェ
ック処理のプログラムと共にマスクＲＯＭ１０に記憶さ
れているフェールセーフ処理のプログラムにジャンプし
て、フラッシュＲＯＭ６に記憶されている制御プログラ
ムへ戻ることなく、そのフェールセーフ処理を実行す
る。

【００６２】尚、このフェールセーフ処理は、インジェ
クタやイグナイタ等のアクチュエータの作動を停止させ
る制御信号を入出力回路５に出力して、エンジンの作動
を停止させると共に、運転席の前面に設けられたメータ
パネル内のウォーニングランプを点灯させる、といった
手順で実行される。

【００６３】一方また、前述したＳ３００にて、テスト
モードであると判定した場合には、Ｓ４００に移行し
て、フラッシュＲＯＭ６の全記憶領域のサム値を計算す
る。そして、続くＳ４１０にて、上記Ｓ４００で計算し
たサム値が、フラッシュＲＯＭ６の全記憶領域のサム値
として予め設定された第２の規格値Ｂと一致しているか
否かを判定し、両値が一致していれば、フラッシュＲＯ
Ｍ６に記憶された全データに異常は無いと判断して、Ｓ
４２０に進み、検査装置２０へ正常を通知するための信
号を出力する。そして、その後、全てのプログラム実行
を終了する。

【００６４】すると、検査装置２０側では、ディスプレ
イなどの表示装置に正常を示すメッセージが表示される
こととなる。これに対し、上記Ｓ４１０にて、Ｓ４００
で計算したサム値が第２の規格値Ｂと一致していないと
判定した場合には、フラッシュＲＯＭ６にデータを正し
く書き込むことができていないか、或いは、フラッシュ
ＲＯＭ６に書き込んだデータが、メモリセルに生じた劣
化による不良等によって変化してしまったと判断して、
Ｓ４３０に進み、検査装置２０へ異常を通知するための
信号を出力する。そして、その後、全てのプログラム実
行を終了する。

【００６５】すると、検査装置２０側では、ディスプレ
イなどの表示装置に異常の発生を示すメッセージが表示
されることとなる。つまり、サムチェック処理では、エ
ンジンの制御を行う通常モードであると判定すると（Ｓ
３００：ＮＯ）、フラッシュＲＯＭ６にてエンジン制御
用の制御プログラムが記憶されている書込領域Ｒｗを判
別し（Ｓ３２０）、その書込領域Ｒｗをサムチェック領
域として（図２参照）、メモリチェックを行っている
（Ｓ３３５〜Ｓ３８０）。

【００６６】より詳しくは、当該サムチェック処理を実
行する毎に、書込領域Ｒｗの先頭番地から２５６バイト
分ずつサム値を累積計算して（Ｓ３４０）、書込領域Ｒ
ｗの容量を２５６バイトで割った値の回数だけ当該サム
チェック処理が実行される毎に、書込領域Ｒｗのサム値
の計算が１回完了するようになっている（Ｓ３５０：Ｙ
ＥＳ）。

【００６７】そして、計算し終えた書込領域Ｒｗのサム
値が、予め設定された第１の規格値Ａでなければ（Ｓ３
７０：ＮＯ）、フラッシュＲＯＭ６に記憶された制御プ
ログラムの内容が、メモリセルに生じた劣化による不良
等によって変化してしまったと判断して、フラッシュＲ
ＯＭ６内の制御プログラムへ戻ることなく、フェールセ
ーフ処理を実行して、エンジンを強制的に停止させるよ
うにしている（Ｓ３９０）。

【００６８】また、サムチェック処理では、テストモー
ドであると判定すると（Ｓ３００：ＹＥＳ）、フラッシ
ュＲＯＭ６の全記憶領域をサムチェック領域として（図
２参照）、メモリチェックを行っている（Ｓ４００〜Ｓ
４３０）。詳しくは、フラッシュＲＯＭ６の全記憶領域
のサム値を計算し（Ｓ４００）、その計算したサム値
が、予め設定された第２の規格値Ｂでなければ（Ｓ４１
０：ＮＯ）、フラッシュＲＯＭ６にデータを正しく書き
込むことができていないか、或いは、フラッシュＲＯＭ
６に書き込んだデータが、メモリセルに生じた劣化によ
る不良等によって変化してしまったと判断して、検査装
置２０へ異常を通知するための信号を出力するようにし
ている（Ｓ４３０）。

【００６９】尚、本実施形態では、図４のサムチェック
処理が、検査手段としての処理に相当している。そし
て、その中で、Ｓ３２０の処理が、領域判別手段として
の処理に相当し、Ｓ３００の処理が、要求検出手段とし
ての処理に相当している。以上詳述したように本実施形
態のＥＣＵ２では、その動作中に、エンジン制御用の制
御プログラムが記憶されたフラッシュＲＯＭ６の記憶内
容が正常であるか否かを、サムチェックによって検査
し、異常を検出した場合には、制御プログラムの実行を
止めて、エンジンを不適切に制御してしまうことを防止
し、これにより、制御の安全性を確保している。

【００７０】そして特に、本実施形態のＥＣＵ２では、
フラッシュＲＯＭ６の記憶領域のうちで制御プログラム
が記憶されている書込領域Ｒｗを判別し（Ｓ３２０）、
その判別した書込領域Ｒｗの記憶内容についてのみ、サ
ムチェックによる検査を行うようにしている（Ｓ３３５
〜Ｓ３８０）。

【００７１】このため、本実施形態のＥＣＵ２によれ
ば、エンジンの制御を行う上で実害のある異常がフラッ
シュＲＯＭ６の記憶内容に生じた場合にのみ、エンジン
制御を停止することができ、制御の安全性と動作の信頼
性とを高い次元で両立させることができる。

【００７２】つまり、フラッシュＲＯＭ６の記憶領域の
うち、制御プログラムが記憶されておらずエンジンの制
御に関係がない記憶領域で、記憶内容の変化が発生した
場合には、フェールセーフ処理を行う異常時の動作モー
ドへ移行せず、実害のある異常がフラッシュＲＯＭ６に
生じた場合にだけ、通常のエンジン制御を停止すること
となるため、制御の安全性と動作の信頼性とを共に高い
レベルにすることができるのである。

【００７３】ところで、マイコン４のＣＰＵ８がフラッ
シュＲＯＭ６の書込領域Ｒｗを判別するためには、例え
ば、ＥＣＵ２にディップスイッチを搭載し、そのディッ
プスイッチの設定によって、マイコン４に書込領域Ｒｗ
を特定するための情報を与える、といった手法を採るこ
ともできる。

【００７４】しかし、本実施形態のＥＣＵ２のように、
フラッシュＲＯＭ６に、書込領域Ｒｗを示す書込領域デ
ータＤｒを書き込んでおき、ＣＰＵ８がフラッシュＲＯ
Ｍ６から上記書込領域データＤｒを読み出して書込領域
Ｒｗを判別するように構成すれば、フラッシュＲＯＭ６
に制御プログラムを書き込む際に、上記書込領域データ
Ｄｒを一緒に書き込んでおくだけで、制御プログラムが
記憶されている書込領域Ｒｗを確実に判別することがで
きる。

【００７５】そして更に、本実施形態のＥＣＵ２では、
フラッシュＲＯＭ６の書込領域Ｒｗに対するサムチェッ
クを、定期的に行うようにしているため、制御の安全性
を一層高めることができる。つまり、フラッシュＲＯＭ
６の記憶内容は、いつ変化してしまうか分からないから
である。

【００７６】一方、本実施形態のＥＣＵ２では、検査装
置２０が接続されて、その検査装置２０からテスト起動
信号を受けると（Ｓ３００：ＹＥＳ）、フラッシュＲＯ
Ｍ６の全記憶領域の記憶内容についてサムチェックを行
い（Ｓ４００）、異常を検出すると（Ｓ４１０：Ｎ
Ｏ）、検査装置２０へ異常を報知するための信号を出力
するようにしている（Ｓ４３０）。

【００７７】よって、本実施形態のＥＣＵ２によれば、
検査装置２０を接続してテスト起動信号を与えることに
より、フラッシュＲＯＭ６の全記憶領域の記憶内容が正
常であるか否かを知ることができるため、フラッシュＲ
ＯＭ６に新規に制御プログラムを書き込んだ際に、フラ
ッシュＲＯＭ６が正常で且つデータの書き込みを問題な
く実施することができたか否かを、容易に確認すること
ができる。

【００７８】また、本実施形態のＥＣＵ２では、フラッ
シュＲＯＭ６の記憶内容が正常であるか否かを、サムチ
ェックによって検査するようにしているため、記憶内容
の良否を非常に簡単に検査することができる。尚、本実
施形態のＥＣＵ２では、サムチェック処理（図４）のプ
ログラムに従って、フラッシュＲＯＭ６の記憶内容が正
常であるか否かを検査しているが、そのサムチェック処
理のプログラムは、例えば、フラッシュＲＯＭ６におけ
る書込領域Ｒｗ以外の記憶領域に書き込んでおくように
しても良い。

【００７９】但し、この場合には、メモリセルに生じた
劣化による不良等によって、サムチェック処理のプログ
ラムが途中で変化してしまう可能性があるため、サムチ
ェック処理のプログラムは、本実施形態のＥＣＵ２のよ
うに、記憶内容の書き換えが不能なマスクＲＯＭ１０に
記憶させておいた方がより安全である。

【００８０】一方、上記実施形態のＥＣＵ２では、フラ
ッシュＲＯＭ６の書込領域Ｒｗを示す書込領域データＤ
ｒとして、書込領域Ｒｗの先頭番地を示す先頭番地デー
タと、書込領域Ｒｗの大きさを示す容量データとを用い
たが、書込領域Ｒｗの先頭番地と最終番地との各々を表
すデータを用いても良い。また、制御プログラムが記憶
されている記憶領域の最初と最後との各々に、書込領域
データＤｒとしての目印コードを書き込んでおき、サム
チェック処理（図４）のＳ３２０にて、フラッシュＲＯ
Ｍ６の記憶内容を順次読み出して上記目印コードを探す
ことにより、制御プログラムが記憶されている書込領域
Ｒｗを判別するようにしてもよい。

【００８１】また、上記実施形態のＥＣＵ２では、サム
チェック処理を一定時間毎に実行させるためのタイマ用
プログラムが、フラッシュＲＯＭ６内に制御プログラム
と共に記憶されていたが、制御プログラムの実行とサム
チェック処理のプログラムの実行とを管理するためのプ
ログラムを、マスクＲＯＭ１０に記憶させておき、その
マスクＲＯＭ１０内のプログラムの実行により、エンジ
ン制御処理とサムチェック処理との実行タイミングを管
理するようにしても良い。

【００８２】ところで、サムチェック処理は、一定時間
毎に限らず、例えば、図５のＳ１５０に示すように、Ｅ
ＣＵ２に電源が投入されて、制御プログラムに基づくエ
ンジン制御処理の実行を開始する前にも、行うようにし
ても良い。尚、このとき実行されるサムチェック処理で
は、図４のＳ３６０でサム値計算開始アドレスＳＡを更
新した後に、当該処理を一旦終了せずＳ３４０へ戻るよ
うにすれば良い。

【００８３】また、サムチェック処理は、ＥＣＵ２に電
源が投入されて、制御プログラムに基づくエンジン制御
処理の実行を開始する前に（つまり、図５のＳ１５０の
タイミングで）、一回だけ実行するようにしても、一定
時間毎に実行する場合に比べて制御の安全性は劣るもの
の、不適当な制御が行われることを防止できるという効
果を得ることができる。

【００８４】一方更に、上記実施形態では、フラッシュ
ＲＯＭ６に記憶された制御プログラムが、プログラムコ
ードと制御用データとからなるものであったが、フラッ
シュＲＯＭ６に記憶される制御プログラムが、プログラ
ムコードだけ、あるいは、制御用データだけからなる場
合でも、図４のサムチェック処理は全く同様に行うこと
ができる。

【００８５】また、サムチェック処理は、フラッシュＲ
ＯＭ６が複数個の場合には、各々のフラッシュＲＯＭに
ついて行うようにすることができる。また更に、上記の
ように物理的ではなく、フラッシュＲＯＭ６の記憶領域
が複数個の記憶領域にブロック分けされている場合に
は、その各ブロックについて、前述したサムチェック処
理と同様の処理を行えば良い。

【００８６】尚、上記各実施形態では、エンジンを制御
するＥＣＵ２について説明したが、本発明の適用範囲
は、これに限られない。即ち、例えばブレーキ、トラン
スミッション、サスペンション等の制御対象を制御する
電子制御装置に対しても、全く同様に適用することがで
きる。

【図面の簡単な説明】

【図１】 実施形態のエンジン制御装置（ＥＣＵ）の構
成を示すブロック図である。

【図２】 フラッシュＲＯＭの記憶内容を説明する説明
図である。

【図３】 ＥＣＵにて実行される処理の全体を表すフロ
ーチャートである。

【図４】 ＥＣＵにてフラッシュＲＯＭの記憶内容を検
査するために実行されるサムチェック処理を表すフロー
チャートである。

【図５】 他の実施形態を説明するフローチャートであ
る。

【符号の説明】

２…エンジン制御装置（ＥＣＵ） ４…シングルチップマイクロコンピュータ（マイコン）
５…入出力回路 ６…フラッシュＲＯＭ（記憶内容の書き換えが可能な不
揮発性メモリ） ７…バス ８…ＣＰＵ １０…マスクＲＯＭ １
２…ＲＡＭ １４…Ｉ／Ｏ １６…コネクタ １８…信号線
２０…検査装置

Claims (6)

【特許請求の範囲】
1. 【請求項１】 記憶内容の書き換えが可能であると共
   に、制御対象を制御するための制御プログラムが記憶さ
   れた不揮発性メモリと、該不揮発性メモリの記憶内容が
   正常であるか否かを検査する検査手段とを備え、 通常時には、前記不揮発性メモリに記憶されている前記
   制御プログラムに従って前記制御対象を制御し、前記検
   査手段により異常が検出されると、前記制御プログラム
   に従う制御を停止するよう構成された電子制御装置にお
   いて、 前記検査手段は、 前記不揮発性メモリの記憶領域のうちで前記制御プログ
   ラムが記憶されている記憶領域を判別する領域判別手段
   を備え、該領域判別手段により判別された記憶領域の記
   憶内容についてのみ、正常であるか否かを検査するよう
   構成されていること、 を特徴とする電子制御装置。
2. 【請求項２】 請求項１に記載の電子制御装置におい
   て、 前記不揮発性メモリに、当該不揮発性メモリの記憶領域
   のうちで前記制御プログラムが記憶されている記憶領域
   を示す領域情報が記憶されており、 前記領域判別手段は、 前記不揮発性メモリから前記領域情報を読み出すことに
   より、前記不揮発性メモリの記憶領域のうちで前記制御
   プログラムが記憶されている記憶領域を判別するよう構
   成されていること、 を特徴とする電子制御装置。
3. 【請求項３】 請求項１又は請求項２に記載の電子制御
   装置において、 前記検査手段は、 前記不揮発性メモリの記憶内容が正常であるか否かを、
   定期的に検査するよう構成されていること、 を特徴とする電子制御装置。
4. 【請求項４】 請求項１ないし請求項３の何れかに記載
   の電子制御装置において、 前記検査手段は、 当該装置の外部から、前記不揮発性メモリの全ての記憶
   領域の記憶内容について検査を行うことを要求する全領
   域検査要求があったか否かを検出する要求検出手段を備
   え、該要求検出手段により前記全領域検査要求があった
   と検出されると、前記不揮発性メモリの全ての記憶領域
   の記憶内容が正常であるか否かを検査し、異常を検出す
   ると、当該装置の外部へ異常を報知するよう構成されて
   いること、 を特徴とする電子制御装置。
5. 【請求項５】 請求項１ないし請求項４の何れかに記載
   の電子制御装置において、 前記検査手段は、 前記不揮発性メモリの記憶内容が正常であるか否かを、
   サムチェックによって検査するよう構成されているこ
   と、 を特徴とする電子制御装置。
6. 【請求項６】 請求項１ないし請求項５の何れかに記載
   の電子制御装置において、 前記検査手段は、 記憶内容の書き換えが不能なプログラム格納用メモリに
   記憶されている検査プログラムに従って、前記不揮発性
   メモリの記憶内容が正常であるか否かを検査するよう構
   成されていること、 を特徴とする電子制御装置。