特開 2023-124575 プログラム更新装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023124575

(43)【公開日】2023-09-06

(54)【発明の名称】プログラム更新装置

(51)【国際特許分類】

   G06F 8/65 20180101AFI20230830BHJP

【ＦＩ】

G06F8/65

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2022028414

(22)【出願日】2022-02-25

【新規性喪失の例外の表示】特許法第３０条第２項適用申請有り ２０２２年１月１１日にニチコン株式会社が株式会社トムス久喜倉庫事業所（埼玉県久喜市北青柳１４６４－１）に出荷 〔刊行物等〕 ２０２２年１月１２日にニチコン株式会社がセンコー株式会社奈良ＰＤセンター（奈良県大和郡山市横田町１４１－１）に出荷

(71)【出願人】

【識別番号】000004606

【氏名又は名称】ニチコン株式会社

(74)【代理人】

【識別番号】110000475

【氏名又は名称】弁理士法人みのり特許事務所

(72)【発明者】

【氏名】角田 寿紀

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA52

5B376CA55

5B376CA56

5B376CA58

(57)【要約】

【課題】プログラムをバックアップする機能を備えていない外部機器のプログラムの更新が失敗した場合に、プログラムを自動的に修復できるプログラム更新装置を提供する。
【解決手段】プログラム更新装置であるマイコンシステムＭは、領域２Ｂ、２Ｃのいずれか一方がバックアップ用ＦＷ（ファームウェア）を格納し、他方が更新用ＦＷを格納する第１記憶部としてのコード用フラッシュメモリ２と、更新用ＦＷを電子機器Ｄに送信することでＦＷを更新する制御部としてのマイコン１とを備える。マイコン１は、更新用ＦＷによる電子機器ＤのＦＷの更新が成功したか否かを判定し、その更新が失敗したと判定したときは、バックアップ用ＦＷを電子機器Ｄに送信することで電子機器ＤのＦＷを修復する一方、その更新が成功したと判定したときは、更新用ＦＷを新しいバックアップ用ＦＷとして扱う。
【選択図】図１

【特許請求の範囲】

【請求項1】

バックアップ用プログラムを格納するバックアップ領域と更新用プログラムを格納する更新領域とを有する第１記憶部と、
前記更新用プログラムを外部機器に送信することで当該外部機器のプログラムを更新する制御部とを備え、
前記制御部は、前記更新用プログラムによる前記外部機器のプログラムの更新が成功したか否かを判定し、当該更新が失敗したと判定したときは、前記バックアップ用プログラムを前記外部機器に送信することで前記外部機器のプログラムを修復する一方、当該更新が成功したと判定したときは、当該更新用プログラムを新しい前記バックアップ用プログラムとして扱う
ことを特徴とするプログラム更新装置。

【請求項2】

前記制御部は、前記バックアップ用プログラムによる前記外部機器のプログラムの修復が成功したか否かを判定し、当該修復が失敗したと判定したときは、新しい前記更新用プログラムを取得し、当該更新用プログラムを前記外部機器に送信することで当該外部機器のプログラムを修復する
ことを特徴とする請求項１に記載のプログラム更新装置。

【請求項3】

前記更新用プログラムによる前記外部機器のプログラム更新結果を格納する更新結果格納用領域を有する第２記憶部をさらに備えている
ことを特徴とする請求項１または２に記載のプログラム更新装置。

【請求項4】

前記第２記憶部は、前記バックアップ用プログラムによる前記外部機器のプログラム修復結果を格納する修復結果格納用領域をさらに有する
ことを特徴とする請求項３に記載のプログラム更新装置。

【請求項5】

前記第１記憶部は、前記制御部が動作するための自システム用プログラムを格納する自システム用領域をさらに有する
ことを特徴とする請求項１～４のいずれか一項に記載のプログラム更新装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、外部機器のプログラムを更新するプログラム更新装置に関するものである。

【背景技術】

【0002】

特許文献１には、プログラムであるファームウェアの実行によってシステム設定情報を更新することが可能な電子機器である情報処理装置が記載されている。この装置は、ファームウェアを実行する第１のプロセッサと、ファームウェアの更新を行う第２のプロセッサと、現状のファームウェアを格納する第１のメモリと、更新用のファームウェアを格納する第２のメモリと、第１および第２のメモリの一方を第１のプロセッサに接続するとともに他方を第２のプロセッサに接続するスイッチとを備えている。

【0003】

特許文献１に記載の構成では、第２のメモリが更新用のファームウェアの格納を失敗した場合（すなわちファームウェアの更新を失敗した場合）であっても、第１のメモリに更新前のファームウェアを格納しておくこと（すなわちバックアップ）ができるため、第１のプロセッサは、第１のメモリに格納されているファームウェアに従って動作することができる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１１－９０４８１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

ところで、電子機器が備えるメモリの低容量化等の観点からは、電子機器は、プログラムであるファームウェアをバックアップするための構成を備えていないことが好ましい。しかし、そのような構成を採用したとき、電子機器のプログラムの更新が失敗した場合にプログラムを自動的に修復できないという問題があった。

【0006】

本発明は、上記事情に鑑みてなされたものであって、プログラムをバックアップする機能を備えていない外部機器のプログラムの更新が失敗した場合に、プログラムを自動的に修復できるプログラム更新装置を提供することを課題とする。

【課題を解決するための手段】

【0007】

上記課題を解決するため、本発明に係るプログラム更新装置は、バックアップ用プログラムを格納するバックアップ領域と更新用プログラムを格納する更新領域とを有する第１記憶部と、前記更新用プログラムを外部機器に送信することで当該外部機器のプログラムを更新する制御部とを備え、前記制御部は、前記更新用プログラムによる前記外部機器のプログラムの更新が成功したか否かを判定し、当該更新が失敗したと判定したときは、前記バックアップ用プログラムを前記外部機器に送信することで前記外部機器のプログラムを修復する一方、当該更新が成功したと判定したときは、当該更新用プログラムを新しい前記バックアップ用プログラムとして扱う。

【0008】

この構成では、プログラムをバックアップする機能を備えていない外部機器のプログラムの更新が失敗した場合に、バックアップ用プログラムにより外部機器のプログラムを自動的に修復できる。さらに、制御部が外部機器のプログラムの更新を繰り返すとき、その更新が失敗した場合であっても、新しいバックアップ用プログラムにより外部機器のプログラムを復元できる。

【0009】

上記プログラム更新装置において、前記制御部は、前記バックアップ用プログラムによる前記外部機器のプログラムの修復が成功したか否かを判定し、当該修復が失敗したと判定したときは、新しい前記更新用プログラムを取得し、当該更新用プログラムを前記外部機器に送信することで当該外部機器のプログラムを更新することが好ましい。

【0010】

上記プログラム更新装置において、前記更新用プログラムによる前記外部機器のプログラム更新結果を格納する更新結果格納用領域を有する第２記憶部をさらに備えていることが好ましい。

【0011】

上記プログラム更新装置において、前記第２記憶部は、前記バックアップ用プログラムによる前記外部機器のプログラム修復結果を格納する修復結果格納用領域をさらに有することが好ましい。

【0012】

上記プログラム更新装置において、前記第１記憶部は、前記制御部が動作するための自システム用プログラムを格納する自システム用領域をさらに有することが好ましい。

【発明の効果】

【0013】

本発明によれば、プログラムをバックアップする機能を備えていない外部機器のプログラムの更新が失敗した場合に、プログラムを自動的に修復できるプログラム更新装置を提供することができる。

【図面の簡単な説明】

【0014】

【図1】本発明の一実施形態に係るプログラム更新装置の概略構成図である。

【図2】（Ａ）は、同実施形態に係るプログラム更新処理を示すフローチャートであり、（Ｂ）は、プログラム更新装置の動作の一例を説明するためのタイミングチャートである。

【図3】同実施形態に係るプログラム修復処理を示すフローチャートである。

【図4】（Ａ）および（Ｂ）は、プログラム更新装置の動作の一例を説明するためのタイミングチャートである。

【図5】同実施形態に係るプログラム再修復処理を示すフローチャートである。

【図6】プログラム更新装置の動作の一例を説明するためのタイミングチャートである。

【図7】同実施形態に係る状態判定処理を示すフローチャートである。

【図8】プログラム更新装置の動作の一例を説明するためのタイミングチャートである。

【図9】変形例に係るプログラム更新装置の概略構成図である。

【発明を実施するための形態】

【0015】

図面を参照して、本発明の一実施形態に係るプログラム更新装置であるファームウェア更新装置を説明する。以下、本発明の「プログラム」であるファームウェアを「ＦＷ」、マイクロコンピュータを「マイコン」、バックアップを「ＢＵ」と略記する。

【0016】

図１に示すように、ＦＷ更新装置は、マイコンシステムＭにより構成されている。マイコンシステムＭは、マイコンシステムＭにＦＷおよびＦＷ情報を提供するコントローラＣと、本発明の「外部機器」としての電子機器Ｄとに接続される。

【0017】

コントローラＣは、マイコンシステムＭ用のＦＷ、電子機器Ｄ用のＦＷ、および、電子機器Ｄ用のＦＷに係るＦＷ情報を、マイコンシステムＭに送信する。なお、コントローラＣからマイコンシステムＭへのＦＷの送信完了後は、コントローラＣとマイコンシステムＭとの接続が切断されてもよい。

【0018】

マイコンシステムＭは、本発明の「制御部」としてのマイコン１と、本発明の「第１記憶部」としてのコード用フラッシュメモリ２と、本発明の「第２記憶部」としてのデータ用フラッシュメモリ３とを備えている。

【0019】

マイコン１は、コード用フラッシュメモリ２に格納されている自システム用ＦＷに従って動作することで、電子機器ＤのＦＷを更新するためのＦＷ更新処理、電子機器ＤのＦＷを修復するためのＦＷ修復処理、ＦＷ修復処理後に電子機器ＤのＦＷを修復するためのＦＷ再修復処理、および電子機器Ｄの状態を判定するための状態判定処理を行う。マイコン１が行う各処理は、図２以降を参照して後述する。

【0020】

コード用フラッシュメモリ２は、ＮＯＲ型フラッシュメモリにより構成されたファームウェア格納用メモリである。コード用フラッシュメモリ２は、３つに分けられた領域２Ａ，２Ｂ，２Ｃを有しており、データの読み出しと書き込みとを同時に処理できるように構成されている。

【0021】

本発明の「自システム用領域」である領域２Ａは、コントローラＣから受信した自システム用ＦＷを格納する。コントローラＣによって領域２Ａに格納されているＦＷが書き換えられることで、マイコンシステムＭのＦＷが更新可能に構成されている。

【0022】

領域２Ｂ，２Ｃは、コントローラＣから受信した外部機器用ＦＷを格納する。領域２Ｂ，２Ｃのうち一方は、電子機器ＤのＢＵ用ＦＷを格納し、他方は、更新用ＦＷを格納する。以下、領域２Ｂ，２Ｃのうち、ＢＵ用ＦＷを格納する方を「バックアップ領域（ＢＵ領域）Ｘ１」といい、更新用ＦＷを格納する方を「更新領域Ｘ２」という。領域２Ｂ，２Ｃの一方のみに外部機器用ＦＷが格納されている場合は、その外部機器用ＦＷがＢＵ用ＦＷである。また、領域２Ｂ，２Ｃの双方に外部機器用ＦＷが格納されている場合は、インクリメントされているＩＤを有する外部機器用ＦＷが更新用ＦＷであり、インクリメントされていないＩＤを有する外部機器用ＦＷがＢＵ用ＦＷである。これらの外部機器用ＦＷを区別するためのＩＤは、後述するＦＷ情報に含まれている。

【0023】

データ用フラッシュメモリ３は、ＮＡＮＤ型フラッシュメモリにより構成されたデータ格納用メモリである。データ用フラッシュメモリ３は、３つに分けられたブロック３Ａ，３Ｂ，３Ｃを有している。

【0024】

本発明の「更新結果格納用領域」であるブロック３Ａ，３Ｂは、外部機器用ＦＷに係るＦＷ情報を格納する。ブロック３Ａ，３Ｂのうち一方は、ＢＵ用ＦＷ（すなわちＢＵ領域Ｘ１に格納した外部機器用ＦＷ）に係るＦＷ情報であるＢＵ用ＦＷ情報を格納し、他方は、更新用ＦＷ（すなわち更新領域Ｘ２に格納した外部機器用ＦＷ）に係るＦＷ情報である更新用ＦＷ情報を格納する。以下、ブロック３Ａ，３Ｂのうち、ＢＵ用ＦＷ情報を格納する方を「第１ブロックＹ１」といい、更新用ＦＷ情報を格納する方を「第２ブロックＹ２」という。

【0025】

ブロック３Ａ，３Ｂに格納されるＦＷ情報には、外部機器用ＦＷ毎に関連付けられているＩＤ、格納場所、バージョン、チェックサム、およびサイズに係る情報を格納する。ＩＤは、外部機器用ＦＷを識別するための識別番号であり、例えば０ｘ００００～０ｘＦＦＦＦの範囲に含まれる数値であって、コード用フラッシュメモリ２への外部機器用ＦＷの書き込み（格納）毎にインクリメントされ、０ｘＦＦＦＦに到達後は０ｘ００００に戻される。格納場所は、コード用フラッシュメモリ２で外部機器用ＦＷを格納している領域であり、バージョンは、外部機器用ＦＷのバージョン番号であり、チェックサムは、外部機器用ＦＷの誤り訂正符号であり、サイズは、外部機器用ＦＷのプログラムサイズである。

【0026】

ＢＵ用ＦＷ情報を格納していないブロック３Ａ，３Ｂのいずれか（すなわち第２ブロックＹ２）は、常に更新用ＦＷ情報を格納するものではなく、マイコン１によるＦＷ更新処理時から更新用ＦＷ情報を格納する。マイコン１によるＦＷ更新処理で電子機器ＤのＦＷの更新が成功した場合は、既存のＢＵ用ＦＷ情報が消去されて更新用ＦＷ情報が新しいＢＵ用ＦＷ情報となるように構成されており、マイコン１は、更新用ＦＷを新しいＢＵ用ＦＷとして扱う。すなわち、第２ブロックＹ２が第１ブロックＹ１となり、更新領域Ｘ２がＢＵ領域Ｘ１となる。一方、マイコン１によるＦＷ更新処理で電子機器ＤのＦＷの更新が失敗した場合は、ＢＵ用ＦＷ情報および更新用ＦＷ情報のいずれも消去されないように構成されている。こうして、ブロック３Ａ，３Ｂは、更新用ＦＷによる電子機器ＤのＦＷの更新が成功した場合は、そのＦＷ更新結果として新しいＢＵ用ＦＷ情報のみを格納し、更新用ＦＷによる電子機器ＤのＦＷの更新が失敗した場合は、そのＦＷ更新結果としてＢＵ用ＦＷ情報および更新用ＦＷ情報の双方を格納する。

【0027】

また、マイコン１によるＦＷ修復処理で電子機器ＤのＦＷの修復が成功した場合は、更新用ＦＷ情報が消去されるように構成されている。さらに、マイコン１によるＦＷ再修復処理で電子機器ＤのＦＷの修復が成功した場合は、ＦＷ更新処理で電子機器ＤのＦＷの更新が成功した場合と同様に、既存のＢＵ用ＦＷ情報が消去されて更新用ＦＷ情報が新しいＢＵ用ＦＷ情報となるように構成されており、マイコン１は、更新用ＦＷを新しいＢＵ用ＦＷとして扱う。

【0028】

本発明の「修復結果格納用領域」であるブロック３Ｃは、通常時はブランク状態であるが、マイコン１によるＦＷ更新処理で電子機器ＤのＦＷの更新が失敗し、かつ、マイコン１によるＦＷ修復処理で電子機器ＤのＦＷの修復が失敗した場合に、失敗情報としてＦＷ更新処理で電子機器Ｄに送信された更新用ＦＷのＩＤを格納する。こうして、ブロック３Ｃは、ＢＵ用ＦＷによる電子機器ＤのＦＷの修復が失敗した場合は、そのＦＷ修復結果として更新用ＦＷのＩＤを格納する。

【0029】

電子機器Ｄは、マイコンシステムＭから電子機器Ｄ用のＦＷを受信する。電子機器Ｄは、受信したＦＷを格納するメモリ（図示略）を備えており、そのメモリに格納されたＦＷに従って動作する。マイコンシステムＭが電子機器Ｄのメモリに格納されているＦＷを書き換えることで、電子機器ＤのＦＷが更新可能に構成されている。電子機器Ｄは、自身のＦＷをバックアップする機能を備えていない。

【0030】

（ＦＷ更新処理）
次に、図２（Ａ）を参照して、マイコン１が実行するＦＷ更新処理を説明する。
図２（Ａ）に示すように、まず、マイコン１は、電子機器Ｄ用のＦＷを外部機器用ＦＷとしてコントローラＣから受信し、領域２Ｂ，２ＣのうちＢＵ用ＦＷを格納していない領域に、受信した外部機器用ＦＷを更新用ＦＷとして格納させる（ステップＳ１）。また、マイコン１は、ステップＳ１で受信した外部機器用ＦＷに係るＦＷ情報を更新用ＦＷ情報としてコントローラＣから受信し、ブロック３Ａ，３ＢのうちＢＵ用ＦＷ情報を格納していないブロックに更新用ＦＷ情報を格納させる。

【0031】

次いで、マイコン１は、マイコンシステムＭと電子機器Ｄが接続されている任意のタイミングで、更新領域Ｘ２に格納している更新用ＦＷを電子機器Ｄに送信し、電子機器ＤのＦＷの更新を開始する（ステップＳ２）。

【0032】

そして、マイコン１は、更新用ＦＷの送信を完了し、更新用ＦＷにより電子機器ＤのＦＷの更新が成功したか否かを判定する（ステップＳ３）。マイコン１は、更新用ＦＷにより電子機器ＤのＦＷの更新が成功したと判定した場合（ステップＳ３：ＹＥＳ）、第１ブロックＹ１からＢＵ用ＦＷ情報を削除して、ＦＷ更新処理を終了する（ステップＳ４）。

【0033】

一方、マイコン１は、更新用ＦＷにより電子機器ＤのＦＷの更新が失敗したと判定した場合（ステップＳ３：ＮＯ）、第１ブロックＹ１からＢＵ用ＦＷ情報を削除することなくＦＷ更新処理を終了する。

【0034】

図２（Ｂ）を参照して、ＦＷ更新処理時に各フラッシュメモリ２，３が格納するＦＷおよび情報を説明する。以下の説明では、ＦＷ更新処理の開始前に、領域２ＢにＢＵ用ＦＷが格納され、かつ、ブロック３ＡにＢＵ用ＦＷ情報が格納されていることを前提とする。

【0035】

図２（Ｂ）に示すように、マイコン１が更新用ＦＷおよび更新用ＦＷ情報の受信を時刻Ｔ１で開始すると、ＢＵ用ＦＷを格納していない領域２Ｃへの更新用ＦＷの格納が開始される。そして、更新用ＦＷおよび更新用ＦＷ情報の受信が完了し、領域２Ｃへの更新用ＦＷの格納が時刻Ｔ２で完了すると、ＢＵ用ＦＷ情報を格納していないブロック３Ｂに更新用ＦＷ情報が格納される。その直後に、更新領域Ｘ２である領域２Ｃから電子機器Ｄへの更新用ＦＷの送信が開始され、更新用ＦＷの送信が完了して電子機器ＤのＦＷの更新が時刻Ｔ３で成功すると、第１ブロックＹ１であるブロック３Ａに格納されているＢＵ用ＦＷ情報が消去され、領域２Ｂに無効ＦＷが格納された状態となる。その結果、ブロック３Ｂに格納されている更新用ＦＷ情報が新しいＢＵ用ＦＷ情報となり、領域２Ｃに格納されている更新用ＦＷが新しいＢＵ用ＦＷとなる。したがって、時刻Ｔ３後は、領域２ＣがＢＵ領域Ｘ１として機能し、領域２Ｂが更新領域Ｘ２として機能する。

【0036】

（ＦＷ修復処理）
次に、図３を参照して、マイコン１が実行するＦＷ修復処理を説明する。
図３に示すように、マイコン１は、ＦＷ更新処理で電子機器ＤのＦＷの更新を失敗したと判定した場合、マイコンシステムＭと電子機器Ｄが接続されている任意のタイミングで、ＢＵ領域Ｘ１に格納しているＢＵ用ＦＷを電子機器Ｄに送信し、電子機器ＤのＦＷの修復を行う（ステップＳ１１）。

【0037】

そして、マイコン１は、ＢＵ用ＦＷの送信を完了し、ＢＵ用ＦＷにより電子機器ＤのＦＷの修復が成功したか否かを判定する（ステップＳ１２）。マイコン１は、ＢＵ用ＦＷにより電子機器ＤのＦＷの修復が成功したと判定した場合（ステップＳ１２：ＹＥＳ）、第２ブロックＹ２から更新用ＦＷ情報を削除して、ＦＷ修復処理を終了する（ステップＳ１３）。

【0038】

一方、マイコン１は、ＢＵ用ＦＷによる電子機器ＤのＦＷの修復が失敗したとマイコン１が判定した場合（ステップＳ１２：ＮＯ）、ＦＷ更新処理でＦＷの更新に失敗した更新用ＦＷのＩＤをブロック３Ｃに格納させ（ステップＳ１４）、第２ブロックＹ２から更新用ＦＷ情報を削除することなく、ＦＷ修復処理を終了する。

【0039】

図４（Ａ）および（Ｂ）を参照して、ＦＷ更新処理時およびＦＷ修復処理時に各フラッシュメモリ２，３が格納するＦＷおよび情報を説明する。なお、上記のＦＷ更新処理時の説明と同様に、領域２ＢにＢＵ用ＦＷが格納され、かつ、ブロック３ＡにＢＵ用ＦＷ情報が格納されていることを前提とし、上記のＦＷ更新処理に係る説明は簡略化する。

【0040】

図４（Ａ）に示すように、マイコン１がＦＷ更新処理を開始すると、時刻Ｔ２の直後に、領域２Ｃから電子機器Ｄへの更新用ＦＷの送信が開始される。更新用ＦＷの送信の完了後に電子機器ＤのＦＷの更新が失敗したと時刻Ｔ５で判定されると、ＢＵ領域Ｘ１である領域２Ｂから電子機器ＤへのＢＵ用ＦＷの送信が開始され、ＢＵ用ＦＷの送信が完了して電子機器ＤのＦＷの修復が時刻Ｔ６で成功すると、第２ブロックＹ２であるブロック３Ｂに格納されている更新用ＦＷ情報が消去され、領域２Ｃには無効ＦＷが格納された状態となる。したがって、時刻Ｔ６後は、ＦＷ更新処理の開始時と同様に、領域２ＢがＢＵ領域Ｘ１として機能し、領域２Ｃが更新領域Ｘ２として機能する。

【0041】

また、図４（Ｂ）に示すように、更新用ＦＷの送信の完了後に電子機器ＤのＦＷの更新が失敗したと時刻Ｔ５で判定された後、ＢＵ用ＦＷの送信の完了後に電子機器ＤのＦＷの修復が失敗したと時刻Ｔ７で判定されると、領域２Ｃに格納されている更新用ＦＷのＩＤがブロック３Ｃに格納される。

【0042】

（ＦＷ再修復処理）
次に、図５を参照して、マイコン１が実行するＦＷ再修復処理を説明する。
図５に示すように、マイコン１は、ＦＷ修復処理で電子機器ＤのＦＷの修復を失敗したと判定した場合、第２ブロックＹ２から更新用ＦＷ情報を削除するとともに、ステップＳ１と同様にして、外部機器用ＦＷをコントローラＣから受信し、更新領域Ｘ２に、受信した外部機器用ＦＷを新しい更新用ＦＷとして格納させる（ステップＳ２１）。また、マイコン１は、ステップＳ２１で受信した外部機器用ＦＷに係るＦＷ情報を新しい更新用ＦＷ情報としてコントローラＣから受信し、第２ブロックＹ２に新しい更新用ＦＷ情報を格納させる。すなわち、ステップＳ２１では、マイコン１は、新しい更新用ＦＷおよび新しい更新用ＦＷ情報をコントローラＣから取得する。このとき、新しい更新用ＦＷ情報に含まれる更新用ＦＷのＩＤは、ＦＷ更新処理でＦＷの更新に失敗した更新用ＦＷのＩＤからインクリメントされたものである。

【0043】

次いで、マイコン１は、古い更新用ＦＷのＩＤ（すなわちＦＷ修復処理のステップＳ１４で格納した更新用ＦＷのＩＤ）をブロック３Ｃから削除し（ステップＳ２２）、ステップＳ２と同様に任意のタイミングで、更新領域Ｘ２に格納している新しい更新用ＦＷを電子機器Ｄに送信し、電子機器ＤのＦＷの修復を開始する（ステップＳ２３）。

【0044】

そして、マイコン１は、新しい更新用ＦＷにより電子機器ＤのＦＷの修復（更新）が成功したか否かを判定する（ステップＳ２４）。マイコン１は、新しい更新用ＦＷにより電子機器ＤのＦＷの修復が成功したと判定した場合（ステップＳ２４：ＹＥＳ）、ＢＵ用ＦＷ情報を削除して、ＦＷ再修復処理を終了する（ステップＳ２５）。

【0045】

一方、マイコン１は、新しい更新用ＦＷにより電子機器ＤのＦＷの修復が失敗したと判定した場合（ステップＳ２４：ＮＯ）、第１ブロックＹ１からＢＵ用ＦＷ情報を削除することなく、ブロック３Ｃに新しい更新用ＦＷのＩＤを格納し、ＦＷ再修復処理を終了する（ステップＳ２６）。

【0046】

図６を参照して、ＦＷ再修復時に各フラッシュメモリ２，３が格納するＦＷおよび情報を説明する。以下の説明では、ＦＷ再修復処理の開始前に、領域２ＢにＢＵ用ＦＷが格納され、領域２Ｃに更新用ＦＷが格納され、ブロック３ＡにＢＵ用ＦＷ情報が格納され、ブロック３Ｂに更新用ＦＷ情報が格納され、ブロック３Ｃに更新用ＦＷのＩＤが格納されていることを前提とする。

【0047】

図６に示すように、マイコン１が新しい更新用ＦＷおよび新しい更新用ＦＷ情報の受信を時刻Ｔ８で開始すると、時刻Ｔ８前にブロック３Ｂに格納されている更新用ＦＷ情報が消去され、領域２Ｃへの新しい更新用ＦＷの格納が開始される。そして、新しい更新用ＦＷおよび新しい更新用ＦＷ情報の受信が完了し、領域２Ｃへの新しい更新用ＦＷの格納が時刻Ｔ９で完了すると、ＢＵ用ＦＷ情報を格納していないブロック３Ｂに新しい更新用ＦＷ情報が格納される。また、ブロック３Ｂへの新しい更新用ＦＷ情報の格納完了後に、ブロック３Ｃに格納されている古い更新用ＦＷのＩＤが時刻Ｔ１０で消去される。その直後、更新領域Ｘ２である領域２Ｃから電子機器Ｄへの新しい更新用ＦＷの送信が開始され、新しい更新用ＦＷの送信が完了して電子機器ＤのＦＷの修復（更新）が時刻Ｔ１１で成功すると、第１ブロックＹ１であるブロック３Ａに格納されているＢＵ用ＦＷ情報が消去され、領域２Ｂに無効ＦＷが格納された状態となる。その結果、ブロック３Ｂに格納されている更新用ＦＷ情報が新しいＢＵ用ＦＷ情報となり、領域２Ｃに格納されている更新用ＦＷが新しいＢＵ用ＦＷとなる。

【0048】

（状態判定処理）
次に、図７を参照して、マイコンシステムＭの起動時にマイコン１が実行する状態判定処理を説明する。状態判定処理は、電子機器Ｄの状態が、正常に動作する正常状態であるか否かを判定するとともに、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新も修復も不可能な異常状態であるか、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新または修復が可能な回復可能状態であるかを判定する処理である。

【0049】

図７に示すように、まず、マイコン１は、ブロック３Ｃが更新用ＦＷのＩＤを格納しているか否かを判定する（ステップＳ３１）。マイコンシステムＭの起動時にブロック３Ｃに更新用ＦＷのＩＤが格納されている場合は、ＦＷ修復処理におけるステップＳ１４からＦＷ再修復処理におけるステップＳ２２までの間（例えば図４（Ｂ）中の時刻Ｔ７後かつ図６中のＴ１０前）に電源遮断が発生し、マイコンシステムＭがシャットダウンした場合である。

【0050】

マイコン１は、ブロック３Ｃが更新用ＦＷのＩＤを格納していないとステップＳ３１で判定した場合（ステップＳ３１：ＮＯ）、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納しているか否かを判定する（ステップＳ３２）。さらに、マイコン１は、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納していないと判定した場合（ステップＳ３２：ＮＯ）、ブロック３Ａ，３ＢのいずれかがＢＵ用ＦＷ情報を格納しているか否かを判定する（ステップＳ３３）。

【0051】

マイコン１は、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納しているとステップＳ３２で判定した場合（ステップＳ３２：ＹＥＳ）、更新用ＦＷまたはＢＵ用ＦＷを送信することで電子機器ＤのＦＷの更新または修復できる状態であるため、電子機器Ｄが回復可能状態であると判定する（ステップＳ３４）。すなわち、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納しているとステップＳ３２で判定される場合は、ＦＷ更新中（例えば、図２（Ｂ）中の時刻Ｔ２後かつ時刻Ｔ３前、図４中の時刻Ｔ２後かつ時刻Ｔ５前、または、図６中の時刻Ｔ１０後かつ時刻Ｔ１１前）またはＦＷ修復中（例えば、図４中の時刻Ｔ５後かつ時刻Ｔ６，Ｔ７前）に電源遮断が発生した場合であり、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新または修復ができる状態である。この場合、マイコン１は、更新用ＦＷの送信を自動的に開始することで、電子機器ＤのＦＷの更新を行う。

【0052】

また、マイコン１は、ブロック３Ａ，３ＢのいずれかがＢＵ用ＦＷ情報を格納しているとステップＳ３３で判定した場合（ステップＳ３３：ＹＥＳ）、ＦＷ更新処理またはＦＷ修復処理が完了している状態であるため、電子機器Ｄが正常状態であると判定する（ステップＳ３５）。

【0053】

また、マイコン１は、ブロック３Ａ，３ＢのいずれもＢＵ用ＦＷ情報を格納していないとステップＳ３３で判定した場合（ステップＳ３３：ＮＯ）、ＦＷ更新処理およびＦＷ修復処理を行うことができない状態であるため、電子機器Ｄが異常状態であると判定する（ステップＳ３６）。

【0054】

一方、マイコン１は、ブロック３Ｃが更新用ＦＷのＩＤを格納しているとステップＳ３１で判定した場合（ステップＳ３１：ＹＥＳ）、ステップＳ３２と同様に、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納しているか否かを判定する（ステップＳ３７）。さらに、マイコン１は、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納していると判定した場合（ステップＳ３７：ＹＥＳ）、ブロック３Ａ，３Ｂのいずれかが新しい更新用ＦＷ情報を格納しているか否かを判定する（ステップＳ３８）。ここでいう、新しい更新用ＦＷ情報とは、ブロック３Ｃに格納されているＩＤに対してインクリメントされたＩＤを有する更新用ＦＷ情報である。

【0055】

マイコン１は、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納していないとステップＳ３７で判定した場合（ステップＳ３７：ＮＯ）、ＦＷ再修復処理において新しい更新用ＦＷおよび新しい更新用ＦＷ情報の受信を完了していない状態であるため、電子機器Ｄが異常状態であると判定する（ステップＳ３９）。すなわち、ブロック３Ａ，３ＢがＢＵ用ＦＷ情報と更新用ＦＷ情報を格納していないとステップＳ３７で判定される場合は、ＦＷ再修復処理において更新用ＦＷ情報を削除してから新しい更新用ＦＷ情報が格納されるまでの間（例えば図６中の時刻Ｔ８後かつ時刻Ｔ９前）に電源遮断が発生した場合であり、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新または修復ができない状態である。この場合、マイコン１は、コントローラＣと接続された状態でＦＷ再修復処理を開始することで、電子機器ＤのＦＷの修復を行う。

【0056】

また、マイコン１は、ブロック３Ａ，３Ｂのいずれも新しい更新用ＦＷ情報を格納していないとステップＳ３８で判定した場合（ステップＳ３８：ＮＯ）、ステップＳ３９と同様に、電子機器Ｄが異常状態であると判定する（ステップＳ４０）。ブロック３Ａ，３Ｂのいずれも新しい更新用ＦＷ情報を格納していないとステップＳ３８で判定される場合は、ＦＷ修復処理が完了してからＦＷ再修復処理において更新用ＦＷ情報が削除されるまでの間（例えば図６中の時刻Ｔ８前）に電源遮断が発生した場合であり、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新または修復ができない状態である。この場合、マイコン１は、コントローラＣと接続された状態でＦＷ再修復処理を開始することで、電子機器ＤのＦＷの修復を行う。

【0057】

また、マイコン１は、ブロック３Ａ，３Ｂのいずれかが新しい更新用ＦＷ情報を格納しているとステップＳ３８で判定した場合（ステップＳ３８：ＹＥＳ）、ＦＷ再修復処理において新しい更新用ＦＷおよび新しい更新用ＦＷ情報の受信を完了している状態であるため、電子機器Ｄが回復可能状態であると判定する（ステップＳ４１）。ブロック３Ａ，３Ｂのいずれかが新しい更新用ＦＷ情報を格納しているとステップＳ３８で判定される場合は、ＦＷ再修復処理において新しい更新用ＦＷ情報を受信してからブロック３Ｃに格納されている更新用ＦＷのＩＤが消去されるまでの間（例えば図６中の時刻Ｔ９後かつ時刻Ｔ１０前）に電源遮断が発生した場合であり、マイコンシステムＭ単体の動作により電子機器ＤのＦＷの更新ができる状態である。この場合、マイコン１は、ブロック３Ｃから更新用ＦＷのＩＤを除去した後に、新しい更新用ＦＷの送信を自動的に開始することで、電子機器ＤのＦＷの更新または修復を行う。

【0058】

図８を参照して、ステップＳ３４後、および、ステップＳ４１後かつブロック３Ｃからの更新用ＦＷのＩＤ消去後に、電子機器ＤのＦＷの更新または修復が行われる際の各フラッシュメモリ２，３が格納するＦＷおよび情報を説明する。以下の説明では、領域２ＢにＢＵ用ＦＷが格納され、領域２Ｃに更新用ＦＷが格納され、ブロック３ＡにＢＵ用ＦＷ情報が格納され、ブロック３Ｂに更新用ＦＷ情報が格納されていることを前提とする。

【0059】

図８に示すように、電源遮断が解消されている任意の時刻Ｔ１３に、更新領域Ｘ２である領域２Ｃから電子機器Ｄへの更新用ＦＷの送信が開始され、更新用ＦＷの送信が完了して電子機器ＤのＦＷの更新が時刻Ｔ１４で成功すると、第１ブロックＹ１であるブロック３Ａに格納されているＢＵ用ＦＷ情報が消去され、領域２Ｂに無効ＦＷが格納された状態となる。こうして、上記のＦＷ更新処理と同様の処理が行われる。この処理で電子機器ＤのＦＷの更新が失敗したと判定した場合、マイコン１は、上記のＦＷ修復処理を行うことで、電子機器ＤのＦＷを修復する。

【0060】

本実施形態では次の効果が得られる。
（１）マイコンシステムＭ（プログラム更新装置）は、ＢＵ用ＦＷ（バックアップ用プログラム）を格納するＢＵ領域Ｘ１と更新用ＦＷ（更新用プログラム）を格納する更新領域Ｘ２とを有するコード用フラッシュメモリ２（第１記憶部）と、更新用ＦＷを電子機器Ｄ（外部機器）に送信することで電子機器ＤのＦＷ（プログラム）を更新するマイコン１（制御部）とを備えている。そして、マイコン１は、更新用ＦＷによる電子機器ＤのＦＷの更新が成功したか否かを判定し、更新が失敗したと判定したときは、ＢＵ用ＦＷを電子機器Ｄに送信することで電子機器ＤのＦＷを修復する。このため、ＦＷをバックアップする機能を備えていない電子機器ＤのＦＷの更新が失敗した場合に、ＢＵ用ＦＷにより電子機器ＤのＦＷを自動的に修復できる。さらに、マイコン１は、更新が成功したと判定したときは、更新用ＦＷを新しいＢＵ用ＦＷとして扱う。このため、マイコン１が電子機器ＤのＦＷの更新を繰り返すとき、その更新が失敗した場合であっても、新しいＢＵ用ＦＷにより電子機器ＤのＦＷを復元（修復）できる。

【0061】

（２）マイコン１は、ＢＵ用ＦＷによる電子機器ＤのＦＷの修復が成功したか否かを判定し、修復が失敗したと判定したときは、新しい更新用ＦＷを取得し、その更新用ＦＷを電子機器Ｄに送信することで電子機器ＤのＦＷを修復する。このため、ＢＵ用ＦＷによる電子機器ＤのＦＷの修復が失敗した場合には、新しい更新用ＦＷにより電子機器ＤのＦＷを自動的に修復できる。

【0062】

（３）マイコンシステムＭは、更新用ＦＷによる電子機器ＤのＦＷ更新結果（プログラム更新結果）を格納するブロック３Ａ，３Ｂ（更新結果格納用領域）を有するデータ用フラッシュメモリ３（第２記憶部）をさらに備えている。このため、マイコンシステムＭが電源遮断等の理由でシャットダウンした場合であっても、マイコン１は、ブロック３Ａ，３Ｂに格納されているＦＷ更新結果（すなわちＦＷ情報）に基づいて、シャットダウン前に電子機器ＤのＦＷの更新が成功したか否かを判定できる。

【0063】

（４）データ用フラッシュメモリ３は、ＢＵ用ＦＷによる電子機器ＤのＦＷ修復結果を格納するブロック３Ｃ（修復結果格納用領域）をさらに有する。このため、マイコンシステムＭが電源遮断等の理由でシャットダウンした場合であっても、マイコン１は、ブロック３Ｃに格納されているＦＷ修復結果に基づいて、シャットダウン前に電子機器ＤのＦＷの修復が成功したか否かを判定できる。

【0064】

（５）コード用フラッシュメモリ２は、マイコン１が動作するための自システム用プログラムを格納する領域２Ａ（自システム用領域）をさらに有する。このため、マイコン１は、コントローラＣとマイコンシステムＭとが接続されていない状態であっても動作できるため、マイコンシステムＭ単体で、電子機器ＤのＦＷの更新および修復が可能である。

【0065】

本発明は、上記実施形態に限定されるものではなく、上記構成を変更することもできる。例えば、以下のように変更して実施することもでき、以下の変更を組み合わせて実施することもできる。

【0066】

（変形例１）
図９に示すように、コード用フラッシュメモリ２は、切り替え可能な複数のバンク２ａ，２ｂを備えていてもよい。この構成によれば、アドレスバスのサイズを小さくできるとともに、マイコンシステムＭの冗長化を図ることができる。

【0067】

変形例１に係る複数のバンク２ａ，２ｂは、それぞれ、領域２Ａ，２Ｂ，２Ｃを有しており、バンク２ａ，２ｂは、それらの一方から読み出し処理が可能なとき、他方に書き込み処理が可能に構成されている。この構成によれば、マイコン１は、バンク２ａ，２ｂの一方（以下、「第１バンクＺ１」という）の領域２Ａに格納している自システム用ＦＷに従って動作するときは、他方（以下、「第２バンクＺ２」という）の領域２Ａ～２Ｃに自システム用ＦＷおよび外部機器用ＦＷを格納する。その後、マイコン１は、第２バンクＺ２の領域２Ａに格納されている自システム用ＦＷに従って動作することで、第２バンクＺ２の領域２Ｂ，２Ｃに格納されている外部機器用ＦＷを用いて電子機器ＤのＦＷの更新および修復を行うこと、ならびに、第１バンクＺ１の領域２Ａ～２Ｃに自システム用ＦＷおよび外部機器用ＦＷを格納することができる。

【0068】

（変形例２）
外部機器用ＦＷが格納される領域は、２つに分けられた領域２Ｂ，２Ｃに限定されない。すなわち、コード用フラッシュメモリ２が有する外部機器用ＦＷを格納するための領域を増やすこともできる。また、外部機器用ＦＷを格納するための領域数に応じて、データ用フラッシュメモリ３が有するブロックを増やすこともできる。また、変形例１に係るバンクを増やすこともできる。

【符号の説明】

【0069】

Ｃ コントローラ
Ｄ 電子機器（外部機器）
Ｍ マイクロコンピュータシステム（プログラム更新装置）
１ マイクロコンピュータ（制御部）
２ コード用フラッシュメモリ（第１記憶部）
２Ａ 領域（自システム用領域）
２Ｂ，２Ｃ 領域（バックアップ領域、更新領域）
２ａ，２ｂ バンク
３ データ用フラッシュメモリ（第２記憶部）
３Ａ，３Ｂ ブロック（更新結果格納用領域）
３Ｃ ブロック（修復結果格納用領域）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】