特開 2024-83137 プログラム修復システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024083137

(43)【公開日】2024-06-20

(54)【発明の名称】プログラム修復システム

(51)【国際特許分類】

   G06F 8/654 20180101AFI20240613BHJP

   B60R 16/02 20060101ALI20240613BHJP

   B60L 1/00 20060101ALI20240613BHJP

   B60L 3/00 20190101ALI20240613BHJP

【ＦＩ】

G06F8/654

B60R16/02 660U

B60L1/00 L

B60L3/00 H

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2022197485

(22)【出願日】2022-12-09

(71)【出願人】

【識別番号】000217491

【氏名又は名称】ダイヤゼブラ電機株式会社

(74)【代理人】

【識別番号】100087941

【弁理士】

【氏名又は名称】杉本 修司

(74)【代理人】

【識別番号】100112829

【弁理士】

【氏名又は名称】堤 健郎

(74)【代理人】

【識別番号】100155963

【弁理士】

【氏名又は名称】金子 大輔

(74)【代理人】

【識別番号】100142608

【弁理士】

【氏名又は名称】小林 由佳

(74)【代理人】

【識別番号】100154771

【弁理士】

【氏名又は名称】中田 健一

(74)【代理人】

【識別番号】100167977

【弁理士】

【氏名又は名称】大友 昭男

(72)【発明者】

【氏名】石田 忠雄

【テーマコード（参考）】

5B376

5H125

【Ｆターム（参考）】

5B376CA55

5B376CA56

5B376GA08

5H125AA01

5H125CC04

5H125CD00

5H125EE70

(57)【要約】

【課題】プログラムデータ書き換えの通信中に異常が発生しても、容易かつ確実にプログラムデータ異常の修復が可能なプログラム修復システムを提供する。
【解決手段】マスタマイクロコンピュータ２と通信可能なスレーブマイクロコンピュータ３は、２面のメモリ１０、２０に同一または相異なるプログラムデータを順次記憶して順次書き込むもので、その２面のメモリ１０、２０両方から起動可能になっており、そのうち１面のメモリ１０でプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、当該プログラムデータの同一性を照合して異常の発生を判定するものであり、当該１面のメモリ１０のプログラムデータを、他の１面のメモリ２０に記憶された当該書き換え前のプログラムデータに書き戻しが可能となっている。
【選択図】図８

【特許請求の範囲】

【請求項1】

電気自動車の車両制御におけるプログラムデータ処理に使用されて、マスタマイクロコンピュータと、プログラムデータを記憶する２面のメモリをもつスレーブマイクロコンピュータとが通信可能に構成される、プログラム修復システムであって、
前記スレーブマイクロコンピュータは、前記２面のメモリに同一または相異なるプログラムデータを順次記憶して順次書き込むもので、その２面のメモリ両方から起動可能になっており、そのうち１面のメモリでプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、当該プログラムデータの同一性を照合して異常の発生を判定するものであり、当該１面のメモリのプログラムデータを、他の１面のメモリに記憶された当該書き換え前のプログラムデータに書き戻すことが可能なプログラム修復システム。

【請求項2】

電気自動車の車両制御におけるプログラムデータ処理に使用されて、マスタマイクロコンピュータと、プログラムデータを記憶する２面のメモリをもつスレーブマイクロコンピュータとが通信可能に構成される、プログラム修復システムであって、
前記スレーブマイクロコンピュータは、前記２面のメモリに同一または相異なるプログラムデータを順次記憶して順次書き込むもので、その２面のうちいずれか一方から起動可能になっており、当該起動された１面のメモリでプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、当該プログラムデータの同一性を照合して異常の発生を判定するものであり、当該１面のメモリのプログラムデータを、他の１面のメモリに記憶された当該書き換え前のプログラムデータに書き戻しが可能なプログラム修復システム。

【請求項3】

請求項１または２において、
前記マスタマイクロコンピュータから直接書き込まれた前記スレーブマイクロコンピュータのメモリの１面から起動可能になっている、プログラム修復システム。

【請求項4】

請求項１または２において、
前記マスタマイクロコンピュータからの書き換えプログラムデータを前記スレーブマイクロコンピュータが受信する第１のステップ、
前記スレーブマイクロコンピュータが受信した書き換えプログラムデータをその第１面のメモリに格納する第２のステップ、
前記第１面のメモリに格納された書き換えプログラムデータに異常が発生していないかチェックする第３のステップ、
異常が発生していない場合、前記スレーブマイクロコンピュータの第２面のメモリに当該書き換えプログラムデータをコピーし、異常が発生した場合、前記第２面のメモリに保持していた書き換え前プログラムデータにより前記第１面のメモリの書き換えプログラムデータを書き戻す第４のステップを有する、プログラム修復システム。

【請求項5】

請求項１または２において、
前記プログラムデータの書き戻しを、前記スレーブマイクロコンピュータのメモリ内部のミラー領域を用いて実行する、プログラム修復システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電気自動車の車両制御におけるプログラムデータ処理に使用されて、通信中のプログラムデータ異常を修復する、プログラム修復システムに関する。

【背景技術】

【0002】

近年、電気自動車（ＥＶ）における車両制御（ＥＣＵ（Ｅｎｇｉｎｅ Ｃｏｎｔｒｏｌ Ｕｎｉｔ））において、マスタマイクロコンピュータ（マスタＭＣＵ）とスレーブマイクロコンピュータ（スレーブＭＣＵ）とが通信可能に構成されて、プログラムデータ処理に使用されるシステムが増加している。このとき、電気自動車に搭載された制御基板が電気ノイズなどの影響を受けて、プログラムデータ書き換えの通信中にノイズが発生し、当該プログラムデータに異常が発生する場合がある。

【0003】

その一方、従来から、プライマリ／バックアップ複製機能を実行するプロセッサと、プライマリプロセスの状態情報とバックアッププロセスの状態情報を同期化するように構成されて出力バッファを保持するメモリとを含み、プライマリプロセスとバックアッププロセス間における遅延の影響を受けにくくする技術が知られている（例えば、特許文献１）。

【0004】

また、プロセッサがアクセスする一面のメモリに障害が発生した場合に、プロセッサによりメモリ内に記憶されているモニタプログラムを実行して、システムプログラムを起動することでこれを復旧させて、システムを稼働する技術も知られている（例えば、特許文献２）。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特表２０１５－５０８５３７号公報

【特許文献2】特開２００５－２７６０１３号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかし、特許文献１は、プログラムデータ書き換えの通信中に、ノイズでプログラムデータに異常が発生した場合に、当該プログラムデータ異常を修復するものではない。また、特許文献２のように、スレーブＭＣＵが１面しかメモリを持たない場合、プログラムデータ書き換えの際、ノイズで当該メモリのプログラムデータが破壊されてしまい修復が困難となる場合がある。

【0007】

通常、スレーブＭＣＵが２面のメモリのプログラムデータ構成を持っていても、両面からではなく片方の面からしか起動できず、また１面のプログラムデータと２面のプログラムデータに関連性がないとき、いずれか一方の面のプログラムデータを有効に活用できない場合がある。

【0008】

さらに、無線通信でのプログラムデータの書き換え（ＯＴＡ）中にプログラムデータが一旦ＮＧになったときに、当該システム部分を修復しないかぎり、再度通信で当該プログラムデータを受け取ることはできず、次の書き換えが発生した場合、新たなプログラムデータも受け取ることができないことが生じ得る。

【0009】

本発明は、プログラムデータ書き換えの通信中に異常が発生しても、容易にプログラムデータ異常の修復が可能なプログラム修復システムを提供することを目的とする。

【課題を解決するための手段】

【0010】

上記目的を達成するために、本発明に係るプログラム修復システムは、電気自動車の車両制御におけるプログラムデータ処理に使用されて、マスタマイクロコンピュータと、プログラムデータを記憶する２面のメモリをもつスレーブマイクロコンピュータとが通信可能に構成される。
前記スレーブマイクロコンピュータは、前記２面のメモリに同一または相異なるプログラムデータを順次記憶して順次書き込むもので、その２面のメモリ両方から起動可能になっており、そのうち１面のメモリで、またはその２面のうちいずれか一方から起動可能になっており、当該起動された１面のメモリで、プログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、当該プログラムデータの同一性を照合して異常の発生を判定するものであり、当該１面のメモリのプログラムデータを、他の１面のメモリに記憶された当該書き換え前のプログラムデータに書き戻すことができる。

【0011】

この構成によれば、スレーブマイクロコンピュータは、２面のメモリのうち１面のメモリでプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、その１面のメモリのプログラムデータを、他の１面のメモリに記憶された当該書き換え前のプログラムデータに書き戻すことができるので、プログラムデータ書き換えの通信中に異常が発生しても、容易かつ確実にプログラムデータ異常の修復が可能となる。

【0012】

好ましくは、前記マスタマイクロコンピュータから直接書き込まれた前記スレーブマイクロコンピュータのメモリの１面から起動可能になっている。この場合、プログラムデータ書き換えの通信中に異常が発生しても、より容易かつ確実にプログラムデータ異常の修復が可能となる。

【0013】

好ましくは、前記マスタマイクロコンピュータからの書き換えプログラムデータを前記スレーブマイクロコンピュータが受信する第１のステップ、前記スレーブマイクロコンピュータが受信した書き換えプログラムデータをその第１面のメモリに格納する第２のステップ、前記第１面のメモリに格納された書き換えプログラムデータに異常が発生していないかチェックする第３のステップ、異常が発生していない場合、前記スレーブマイクロコンピュータの第２面のメモリに当該書き換えプログラムデータをコピーし、異常が発生した場合、前記第２面のメモリに保持していた書き換え前プログラムデータにより、前記第１面のメモリの書き換えプログラムデータを書き戻す第４のステップを有する。したがって、プログラムデータ書き換えの通信中に異常が発生しても、より容易かつ確実にプログラムデータ異常の修復が可能となる。

【0014】

また好ましくは、前記プログラムデータの書き戻しを前記スレーブマイクロコンピュータのメモリ内部のミラー領域を用いて実行する。この場合、プログラムデータの書き戻しが簡単な構成でより容易となる。

【発明の効果】

【0015】

本発明では、スレーブマイクロコンピュータは、２面のメモリのうち１面のメモリでプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、その１面のメモリのプログラムデータを、他の１面のメモリに記憶された当該書き換え前のプログラムデータに書き戻すことができるので、プログラムデータ書き換えの通信中に異常が発生しても、容易かつ確実にプログラムデータ異常の修復が可能となる。

【図面の簡単な説明】

【0016】

【図1】本発明の一実施形態に係るプログラム修復システムを示すブロック図である。

【図2】本システムのプログラムデータ書き換え動作の詳細を示すブロック図である。

【図3】同データ書き換え動作の詳細を示すブロック図である。

【図4】同データ書き換え動作の詳細を示すブロック図である。

【図5】同データ書き換え動作の詳細を示すブロック図である。

【図6】同データ書き換え動作の詳細を示すブロック図である。

【図7】同データ書き換え動作の詳細を示すブロック図である。

【図8】（Ａ）、（Ｂ）は本システムの書き戻し動作を示す模式図である。

【図9】本システムの動作を示すフローチャートである。

【発明を実施するための形態】

【0017】

以下、本発明の実施形態を図面にしたがって説明する。図１は本発明の一実施形態に係るプログラム修復システム１を示すブロック図である。このプログラム修復システム１は、プログラムデータの書き換え（リプログラミング）システムを形成する。

【0018】

電気自動車（ＥＶ）の車両制御を行うＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）４、リモートコントロール用ソフトウエアであるＮＥＴＩＭＰＲＥＳＳ５、およびネットワーク通信の解析等を実行するソフトウエアツールであるＣＡＮＡｌｙｚｅｒ６が、ＣＡＮ－ＢＵＳ７を介してマスタマイクロコンピュータ（マスタＭＣＵ）２およびスレーブマイクロコンピュータ（スレーブＭＣＵ）３に通信可能に接続されている。マスタＭＣＵ２とスレーブＭＣＵ３間はＬＩＮ－ＢＵＳ８で接続されている。スレーブＭＣＵ３は、１面と２面のメモリ（ＲＡＭ）１０、２０を有している。ＣＡＮ－ＢＵＳ７は車両内の機器間でデータ通信を行うＣｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ バスである。ＬＩＮ－ＢＵＳ８は電気自動車の車両制御に使用される通信プロトコルであるＬｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔｅｄ Ｎｅｔｗｏｒｋ バスである。

【0019】

図２～図７は、本システムにおけるプログラムデータの書き換え（リプログラミング）動作の詳細を示すブロック図である。この例では、ＥＶ（電気自動車）に、マスタＭＣＵ２に対しスレーブＭＣＵ３の１６台が接続された状態で搭載されている。

【0020】

まず、図２のように、ＮＥＴＩＭＰＲＥＳＳ５を使用して、マスタＭＣＵ２にマスタＭＣＵ２のプログラムデータとスレーブＭＣＵ３のプログラムデータの両方が書き込まれて、マスタＭＣＵ２のリプログラミングが完了される。つぎに図３のように、ＣＡＮＡｌｙｚｅｒ６を使用して、マスタＭＣＵ２に対し、各スレーブＭＣＵ３の書き換え（リプログラミング）が開始される。

【0021】

そして、図４のように、マスタＭＣＵ２から各スレーブＭＣＵ３のＲＡＭ領域にＷＣＰ（ＲＯＭ書き換えプログラム）データが送信されて、全スレーブＭＣＵ３のＲＡＭ領域へのＷＣＰデータ送信が完了される。このリプログラミング中、スレーブＭＣＵのＲＯＭ領域は不定となるため、このＲＡＭ領域のＷＣＰがＲＯＭ書き換えを行う。

【0022】

図５のように、スレーブＭＣＵ３のＲＡＭ領域のＷＣＰによりスレーブＭＣＵ３のＲＯＭ領域が消去（イレーズ）される。そして、図６のように、マスタＭＣＵ２のリプログラミングで書き込んだプログラムデータが各スレーブＭＣＵ３の第１面、第２面のメモリ１０、２０に順次送信されて、全スレーブＭＣＵ３へのプログラムデータ送信が完了される。送信されたプログラムデータは各メモリ１０、２０に格納される。

【0023】

つぎに、図７のように、各スレーブＭＣＵ３の第１面、第２面のメモリ１０、２０について送信されたプグラムデータの同一性の照合確認がなされる。全スレーブＭＣＵ３の照合ＯＫの場合、スレーブＭＣＵのリプログラミングが完了される。

【0024】

図８（Ａ）、（Ｂ）は、本システムの書き戻し動作を示す模式図である。スレーブＭＣＵ３は、１面と２面のメモリ（ＲＡＭ）１０、２０を有しており、この２面のメモリ１０、２０に同一または相異なるプログラムデータを順次記憶して順次書き込むもので、その２面１０、２０の両方から起動可能になっている。

【0025】

図８（Ａ）のように、マスタＭＣＵ２からスレーブＭＣＵ３の第１面のメモリ１０へ新たな書き換えプログラムデータ（Ｎｅｗ Ｄａｔａ）の送信中に（Ｎｅｗ Ｄａｔａ×Ｏｌｄ Ｄａｔａは途中まで書き込んでいる状態を表示）に、ノイズ（Ｎｏｉｓｅ）が発生した場合に、図８（Ｂ）のように、第１面のメモリ１０のデータ（Ｎｅｗ Ｄａｔａ×Ｏｌｄ Ｄａｔａ）を、第２面のメモリ２０の書き換え前プログラムデータ（Ｏｌｄ Ｄａｔａ）に書き戻している。

【0026】

すなわち、スレーブＭＣＵ３が第１面、第２面のメモリ１０、２０をもち、起動できる面を変えずに、ストックとして第２面のメモリ２０に元のプログラムデータを置くことにより、確実に元のプログラムデータに戻し、固定のアドレスから動作が可能となっている。これにより、プログラムデータ書き換えの通信中に異常が発生しても、安定してプログラムデータを起動でき、容易かつ確実にプログラムデータ異常の修復を行うことができる。

【0027】

本発明では、スレーブＭＣＵ３の第１面のメモリ１０、第２面のメモリ２０におけるプログラムデータの書き戻しは、例えばスレーブＭＣＵのメモリ内部のミラー領域（アドレス空間における実メモリ領域の他に存在するアドレス領域）を利用して実行される。書き換えプログラムデータまたは書き換え前プログラムデータがミラー領域のアドレスにアクセスされて読み出され、第１面のメモリ１０と第２面のメモリ２０の間で両プログラムデータが書き戻される。

【0028】

なお、前記プログラムデータの書き戻しを、ＮＥＴＩＭＰＲＥＳＳからスレーブＭＣＵの１面、２面のメモリ１０、２０に書き換えプログラムデータまたは書き換え前プログラムデータを順次送信することにより実現してもよい。

【0029】

図９は本システムの動作を示すフローチャートである。まず、リプログラミング開始指令発行・マスタＭＣＵ２と全スレーブＭＣＵ３の応答確認が行われる（ステップＳ１）。ＣＡＮＡｌｙｚｅｒ６からＣＡＮ－ＢＵＳ７を介してリプログラミング開始指令が発行され、これに基づいてマスタＭＣＵ２と２面のメモリを有するスレーブＭＣＵ３の間でＬＩＮ－ＢＵＳ８を介してリプログラミング開始指令が送受信される。この際、例えばリプログラミング開始のＡＣＫ（肯定応答／確認応答）が用いられる。

【0030】

つぎに、ＷＣＰ（ＲＯＭ書き換えプログラム）データ転送フェーズが実行される（ステップＳ２）。マスタＭＣＵ２とスレーブＭＣＵ３の間でＷＣＰデータが送受信され、この際、両者の間で例えばＷＣＰチェックサムにより初期化状態がチェックされる。これにより、マスタＭＣＵ２からスレーブＭＣＵ３の第１面、第２面のＲＡＭ領域にＷＣＰデータが送信される。そして、イレーズフェーズ（ステップＳ３）では、スレーブＭＣＵのＲＡＭ領域のＷＣＰ（ＲＯＭ書き換えプログラム）によりスレーブＭＣＵのＲＯＭ領域が消去される。

【0031】

つぎに、プログラムフェーズ（ステップＳ４）では、マスタＭＣＵ２のリプログラミングで書き込んだプログラムデータが各スレーブＭＣＵ３の第１面、第２面のメモリ１０、２０に順次送信されて、当該メモリ１０、２０に格納される。この際、両者の間で例えばプログラムチェックサムにより送受信状態がチェックされる。このステップＳ４により、本発明におけるマスタＭＣＵ２からの書き換えプログラムデータをスレーブＭＣＵ３が受信する、第１のステップと、スレーブＭＣＵ３が受信した書き換えプログラムデータを第１面のメモリ１０に格納する、第２のステップとが実行される。

【0032】

つぎに、ベリファイフェーズ（ステップＳ５）では、全スレーブＭＣＵ３の第１面、第２面のメモリ１０、２０について送信されたプログラムデータの同一性の照合確認がなされる。このステップＳ５により、スレーブＭＣＵ３の第１面のメモリ１０に格納された書き換えプログラムデータに異常が発生していないかのチェックを実施する第３のステップが実行される。

【0033】

そして、ステップＳ５の照合確認において、スレーブＭＣＵ３の第１面のメモリ１０の書き換えプログラムデータに異常が発生しているか否かが確認される（ステップＳ６）。この場合、当該プログラムデータの同一性を照合して異常の発生が判定される。異常が発生していない場合、スレーブＭＣＵ３の第２面のメモリ２０に、スレーブＭＣＵ３の第１面のメモリ１０のデータが格納される（ステップＳ７）。このとき、第１面のメモリ１０に書き換えプログラムデータ（Ｎｅｗ Ｄａｔａ）、第２面のメモリ２０に書き換え前プログラムデータ（Ｏｌｄ Ｄａｔａ）が格納されている。

【0034】

ステップＳ６で異常が発生した場合、スレーブＭＣＵ３の第1面のメモリ１０の異常プログラムデータが、スレーブＭＣＵ３の第２面のメモリ２０に保持していた書き換え前のプログラムデータに書き戻される（ステップＳ８）。このとき、図８（Ｂ）のように、第１面のメモリ１０と第２面のメモリ２０の両方に書き換え前プログラムデータ（Ｏｌｄ Ｄａｔａ）が格納されている。このステップＳ６～ステップＳ８により、本発明の第４のステップが実行される。

【0035】

こうして、スレーブＭＣＵ３は、２面のメモリ１０、２０のうち１面のメモリ１０でプログラムデータ書き換えの通信中にノイズによる異常が発生した場合に、当該１面のメモリ１０のプログラムデータを、他の１面のメモリ２０に記憶された当該書き換え前のプログラムデータに書き戻すことができるので、プログラムデータ書き換えの通信中に異常が発生しても、容易かつ確実にプログラムデータ異常の修復が可能となる。

【0036】

本発明は、以上の実施形態に限定されるものでなく、本発明の要旨を逸脱しない範囲内で、種々の追加、変更または削除が可能である。したがって、そのようなものも本発明の範囲内に含まれる。

【符号の説明】

【0037】

１：プログラム修復システム
２：マスタマイクロコンピュータ（マスタＭＣＵ）
３：スレーブマイクロコンピュータ（スレーブＭＣＵ）
４：ＥＶ（電気自動車）のＥＣＵ
５：ＮＥＴＩＭＰＲＥＳＳ
６：ＣＡＮＡｌｙｚｅｒ
７：ＣＡＮ－ＢＵＳ
８：ＬＩＮ－ＢＵＳ８
１０：第１面のメモリ
２０：第２面のメモリ
ＥＶ：電気自動車

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】