特開 2024-90874 車両電子制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024090874

(43)【公開日】2024-07-04

(54)【発明の名称】車両電子制御装置

(51)【国際特許分類】

   G06F 21/64 20130101AFI20240627BHJP

【ＦＩ】

G06F21/64

【審査請求】未請求

【請求項の数】3

【出願形態】ＯＬ

(21)【出願番号】P 2022207054

(22)【出願日】2022-12-23

(71)【出願人】

【識別番号】509186579

【氏名又は名称】日立Ａｓｔｅｍｏ株式会社

(74)【代理人】

【識別番号】100145023

【弁理士】

【氏名又は名称】川本 学

(74)【代理人】

【識別番号】100105887

【弁理士】

【氏名又は名称】来山 幹雄

(74)【代理人】

【識別番号】100182028

【弁理士】

【氏名又は名称】多原 伸宜

(72)【発明者】

【氏名】堀口 寛道

(72)【発明者】

【氏名】深川 晴美

(72)【発明者】

【氏名】小森 淳矢

(72)【発明者】

【氏名】木村 啓己

(72)【発明者】

【氏名】設楽 浩祐

(57)【要約】      （修正有）

【課題】プログラムを２値化したデータの書き込み中等に、電源の供給が停止された場合であっても、その停止による不要な影響を受けることを抑制して、そのデータの完全性を検証する車両電子制御装置を提供する。
【解決手段】車両電子制御装置において、コード生成部は、を生成するブロック対応コードのうち最後に生成されるブロック対応コードＨＣ４が生成されるまでに、電源供給が停止され、かつ、その後電源供給が再開された場合には、電源供給が停止されたタイミングに対して最後にメモリに書き込まれたブロック対応データＭＢ１に基づき、ブロック対応コードＨＣ１を生成する。積算値算出部は、ブロック対応コードＨＣ１からＨＣ３の各々のデータの長さを積算することにより、積算値Ｌ２を算出する。コード生成部は、ブロック対応コードＨＣ１からＨＣ３の各々のデータの長さを積算することにより算出された積算値Ｌ２を用いてＨＣ４を生成する。
【選択図】図２

【特許請求の範囲】

【請求項1】

電源供給がされている状態で車両の搭載機器を制御する車両電子制御装置であって、
前記車両を制御するプログラムが２値化されたデータが書き込まれるメモリと、
前記プログラムの前記データを複数のブロックに区画して前記複数のブロックに各々対応するブロック対応データとし、前記ブロック対応データを前記メモリに順次書き込む書き込み制御部と、
前記書き込み制御部が、前記ブロック対応データを前記メモリに書き込み、書きまれた前記ブロック対応データに基づき、かつそれらに対してユニークなブロック対応コードを各々生成するコード生成部と、
前記コード生成部により最後に生成される前記ブロック対応コードである第１のコードを除いた前記ブロック対応コードの各々のデータの長さを積算して積算値を算出する積算値算出部と、
を備える車両電子制御装置であって、
前記コード生成部は、前記積算値を用いて、前記第１のコードを生成し、
前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、
前記コード生成部は、前記電源供給が停止されたタイミングに対して最後に前記メモリに書き込まれた前記ブロック対応データに基づき、前記ブロック対応コードである第２のコードを生成し、
前記積算値算出部は、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより、前記積算値を算出し、
前記コード生成部は、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより算出された前記積算値を用いて、前記第１のコードを生成することを特徴とする車両電子制御装置。

【請求項2】

前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、前記コード生成部は、前記複数のブロックの内の最後のブロックに対応し、かつ前記電源供給が再開された後に前記メモリに書き込まれた前記ブロック対応データと、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより算出された前記積算値と、を用いて前記第１のコードを生成することを特徴とする請求項１に記載の車両電子制御装置。

【請求項3】

前記書き込み制御部は、前記ブロック対応データを前記メモリに順次書き込む度に、書き込まれた前記ブロック対応データのアドレスを、前記メモリとは別に備えられた別のメモリに書き込み、
前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、
前記コード生成部は、前記別のメモリに書き込まれた前記アドレスを参照して、前記電源供給が停止されたタイミングに対して最後に前記メモリに書き込まれた前記ブロック対応データを判別することを特徴とする請求項１又は２に記載の車両電子制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両電子制御装置に関し、特にプログラムを２値化したデータの書き込み中等に、電源の供給が停止された場合であっても、その停止による不要な影響を受けることを抑制してそのデータの完全性を検証する車両電子制御装置に関する。

【背景技術】

【0002】

近年、自動車等の車両に搭載されたＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ：電子制御装置）に適用されて、車両の搭載機器の動作等を制御するためのソフトウエアは多種多様となっており、かかるソフトウエア中のプログラムが車両の製造後に更新等される機会も増加している。かかる場合、更新等されるプログラムは外部端末や外部サーバ等の外部機器から有線通信又は無線通信で提供されるものであるが、ＥＣＵに更新等されたプログラムは、外部機器から提供されたプログラムと完全に一致していることが必要とされる。

【0003】

かかる状況下で、特許文献１は、センター装置、車両情報通信システム、配信パッケージ送信方法及び配信パッケージの送信プログラムに関し、ロールバック用の差分データとして、新プログラムをベースとして旧プログラムへ更新する際の差分データファイル及び差分データの完全性検証データを生成することを開示し、例えば、完全性検証データは、ハッシュ関数を適用して生成されるハッシュ値であり、差分データのデータ値を所定バイト毎にメッセージブロックに区切って、初期ハッシュ値に対して最初のメッセージブロックのデータ値を適用して所定バイト長のハッシュ値を得ると、そのハッシュ値に次のメッセージブロックの差分データのデータ値を適用し、所定バイト長のハッシュ値を得ることを順次繰り返すもので、このように生成したハッシュ値と、差分データを受信した際のハッシュ値と、を比較して差分データの完全性を検証することを開示している。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０２０－２７６２５号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

ここで、本発明者の検討によれば、特許文献１の構成においては、全ての完全性検証データ（ハッシュ値であるユニークなコード）が生成されたとき、電源の供給が開始されてから生成されたコードであって、かつ最後のコードを除いたコードの各々のデータの長さの積算値を算出して、かかる積算値をも反映させて最後のコードを生成して、差分データ等の検証対象データの完全性を検証することも考えられる。

【0006】

しかしながら、かかる構成においては、更新プログラム等のプログラムを２値化したデータを電子制御装置のメモリに書き込んでいる途中で、車両のユーザ等によってイグニッションスイッチのオフ等がなされて電源の供給が停止され、その後イグニッションスイッチのオン等がなされて電源の供給が再開された場合には、プログラムの２値化データの全てがメモリに書き込まれるまで電源の供給が継続されていた場合に比較して、生成されるコードが不適切なものとなって、コードのデータの各々の長さの積算値も不適切なものとなってしまうため、本来生成すべき適切な最後のコードを生成することができなくなることが考えられて、メモリに書き込まれたプログラムの２値化データの完全性を検証する際に、不要な影響を受ける事態も考えられる。かかる事情は、コードを生成中に電源の供給が停止され、その後電源の供給が再開される場合でも同様に考えられるものである。

【0007】

本発明は、以上の検討を経てなされたものであり、プログラムを２値化したデータの書き込み中等に、電源の供給が停止された場合であっても、その停止による不要な影響を受けることを抑制した態様で、そのデータの完全性を検証することができる車両電子制御装置を提供することを目的とする。

【課題を解決するための手段】

【0008】

以上の目的を達成するべく、本発明は、電源供給がされている状態で車両の搭載機器を制御する車両電子制御装置であって、前記車両を制御するプログラムが２値化されたデータが書き込まれるメモリと、前記プログラムの前記データを複数のブロックに区画して前記複数のブロックに各々対応するブロック対応データとし、前記ブロック対応データを前記メモリに順次書き込む書き込み制御部と、前記書き込み制御部が、前記ブロック対応データを前記メモリに書き込み、書きまれた前記ブロック対応データに基づき、かつそれらに対してユニークなブロック対応コードを各々生成するコード生成部と、前記コード生成部により最後に生成される前記ブロック対応コードである第１のコードを除いた前記ブロック対応コードの各々のデータの長さを積算して積算値を算出する積算値算出部と、を備える車両電子制御装置であって、前記コード生成部は、前記積算値を用いて、前記第１のコードを生成し、前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、前記コード生成部は、前記電源供給が停止されたタイミングに対して最後に前記メモリに書き込まれた前記ブロック対応データに基づき、前記ブロック対応コードである第２のコードを生成し、前記積算値算出部は、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより、前記積算値を算出し、前記コード生成部は、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより算出された前記積算値を用いて、前記第１のコードを生成することを第１の局面とする。

【0009】

また、本発明は、第１の局面に加えて、前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、前記コード生成部は、前記複数のブロックの内の最後のブロックに対応し、かつ前記電源供給が再開された後に前記メモリに書き込まれた前記ブロック対応データと、前記第２のコードを含む前記ブロック対応コードの各々のデータの長さを積算することにより算出された前記積算値と、を用いて前記第１のコードを生成することを第２の局面とする。

【0010】

また、本発明は、第１又は第２の局面に加えて、前記書き込み制御部は、前記ブロック対応データを前記メモリに順次書き込む度に、書き込まれた前記ブロック対応データのアドレスを、前記メモリとは別に備えられた別のメモリに書き込み、前記第１のコードが生成されるまでに、前記電源供給が停止され、かつその後前記電源供給が再開された場合には、前記コード生成部は、前記別のメモリに書き込まれた前記アドレスを参照して、前記電源供給が停止されたタイミングに対して最後に前記メモリに書き込まれた前記ブロック対応データを判別することを第３の局面とする。

【発明の効果】

【0011】

以上の本発明の第１の局面にかかる車両電子制御装置によれば、最後に生成されるブロック対応コードである第１のコードが生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部が、電源供給が停止されたタイミングに対して最後にメモリに書き込まれたブロック対応データに基づき、ブロック対応コードである第２のコードを生成し、積算値算出部が、第２のコードを含むブロック対応コードの各々のデータの長さを積算することにより、積算値を算出し、コード生成部が、第２のコードを含むブロック対応コードの各々のデータの長さを積算することにより算出された積算値を用いて、第１のコードを生成するものであるため、書き込み制御部がブロックのデータの一部までをメモリに書き込んだ状態で電源供給が一旦停止された場合や、コード生成部がそのデータに対してユニークなコードの一部までを生成している状態で電源供給が一旦停止された場合であっても、書き込み制御部が全てのブロックのデータをメモリに書き込むまで電源の供給が継続して行われた場合や、コード生成部がそのデータに対してユニークなコードを全て生成し終るまで電源の供給が継続して行われた場合と同一の最後のコードを生成することができる。よって、電源供給が一旦停止された場合であっても、その停止された際に本来生成すべきであったコードを適切に生成することができ、かかる適切なコードを用いて積算値を算出することができるため、かかる積算値を用いて、電源供給の停止による不要な影響を受けることを抑制した態様で、メモリに書き込まれたプログラムの２値化データの完全性を検証することができる。

【0012】

また、本発明の第２の局面にかかる車両電子制御装置によれば、第１のコードが生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部が、複数のブロックの内の最後のブロックに対応し、かつ電源供給が再開された後にメモリに書き込まれたブロック対応データと、第２のコードを含むブロック対応コードの各々のデータの長さを積算することにより算出された積算値と、を用いて第１のコードを生成するものであるため、電源供給が一旦停止された場合であっても、適切に生成された最後のコードを用いて、プログラムの２値化データの完全性を確実に検証することができる。

【0013】

また、本発明の第３の局面にかかる車両電子制御装置によれば、書き込み制御部が、ブロック対応データをメモリに順次書き込む度に、書き込まれたブロック対応データのアドレスを、メモリとは別に備えられた別のメモリに書き込み、第１のコードが生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部が、別のメモリに書き込まれたアドレスを参照して、電源供給が停止されたタイミングに対して最後にメモリに書き込まれたブロック対応データを判別するものであるため、電源供給が一旦停止された場合であっても、電源供給が停止されたタイミングに対して最後にメモリに書き込みが完了しているブロック対応データに基づきコードの生成を実行することにより、又は電源供給が停止されたタイミングに対して最後にメモリに途中までの書き込みがなされたブロック対応データの不足分の書き込みを待って、そのブロック対応データに基づきコードの生成を実行することにより、電源供給が停止された際に生成すべきであったコードを確実に生成することができ、そのデータ長を用いて、プログラムの２値化データの完全性をより確実に検証することができる。

【図面の簡単な説明】

【0014】

【図1】図１は、本発明の実施形態における車両電子制御装置の構成を示すブロック図である。

【図2】図２（ａ）は、電源の供給が停止されない場合において、本実施形態における比較例の車両電子制御装置の動作を時系列的に示す模式図であり、図２（ｂ）は、電源の供給が停止される場合において、本実施形態における比較例の車両電子制御装置の動作を時系列的に示す模式図である。

【図3】図３（ａ）は、電源の供給が停止されない場合において、本実施形態における車両電子制御装置の動作を時系列的に示す模式図であり、図３（ｂ）は、電源の供給が停止される場合において、本実施形態における車両電子制御装置の動作を時系列的に示す模式図である。

【発明を実施するための形態】

【0015】

以下、図面を適宜参照して、本発明の実施形態における車両電子制御装置につき、詳細に説明する。

【0016】

〔車両電子制御装置の構成〕
まず、図１を参照して、本実施形態における車両電子制御装置（以下、単に電子制御装置ということがある）の構成について説明する。

【0017】

図１は、本実施形態における車両電子制御装置の構成を示すブロック図である。

【0018】

図１に示すように、本実施形態における車両電子制御装置（ＥＣＵ）１は、典型的には、自動車等の車両に搭載される駆動源等の搭載機器を制御対象とする演算処理装置であり、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：中央処理ユニット）１０と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０と、不揮発性メモリ５０と、内部通信線６０と、通信回路７０と、電源回路８０と、を備え、車両に搭載された電源であるバッテリＢから電力の供給を受けて動作するものである。

【0019】

ＣＰＵ１０は、電源供給停止検知部１１と、書き込み制御部１２と、コード生成部１３と、積算値算出部１４と、検証部１５と、を備えている。なお、図中では、電源供給停止検知部１１、書き込み制御部１２、コード生成部１３、積算値算出部１４及び検証部１５を、電子制御装置１が制御対象の動作の制御を実行する際に用いる制御・処理プログラムを実行する際の機能ブロックとして示す。

【0020】

具体的には、電源供給停止検知部１１は、バッテリＢからの電力が、イグニッションスイッチ８２を介し、電源回路８０を含む電子制御装置１に供給されているか否かを検知する。詳しくは、電源供給停止検知部１１は、典型的には車両の運転者等によりイグニッションスイッチ８２がオフ状態からオン状態にされることにより、バッテリＢからの電流が電源回路８０に流れると、例えば電源回路８０内の所定回路に電流が流れるときの電流値を算出して、バッテリＢからの電力が電子制御装置１に供給されていることを検知する一方で、典型的には車両の運転者等によりイグニッションスイッチ８２がオン状態からオフ状態にされることにより、バッテリＢからの電流が電源回路８０に流れなくなると、例えば電源回路８０内の所定回路に電流が流れなくなったときの電流値を算出して、バッテリＢからの電力が電子制御装置１に供給されていないことを検知する。なお、電源回路８０は、バッテリＢからの電力を受けて、その電源電圧をＣＰＵ１０で必要とされる電圧に変換する等の機能を有する。

【0021】

書き込み制御部１２は、電子制御装置１に適用されるソフトウエアにおける典型的には制御・処理プログラムの更新プログラム等を２値化したデータを、各々が実質同一の長さ（容量）を有する複数のブロックに区画して、かかる複数のブロックに各々対応するブロック対応データとし、かかるブロック対応データをＲＯＭ２０に順次書き込む。詳しくは、書き込み制御部１２は、内部通信線６０を介して、ブロック対応データを、ＲＯＭ２０に送って、ＲＯＭ２０内の記憶領域である第１バンク３０にまず書き込んで書き込み済みデータ３２とし、それに引き続いて、第１バンク３０に書き込んだブロック対応データと同じデータをＲＯＭ２０内の記憶領域である第２バンク４０に書き込んで書き込み済みデータ４２とする。また、かかる書き込み対象の制御・処理プログラムの更新プログラム等は、典型的には、その２値化データとして、外部端末や外部サーバ等の外部送信元機器７２から、外部通信線７４を経て、又は所定のプロトコルの無線通信を経て、通信回路７０で受信されるもので、電子制御装置１に初期状態で実装される制御・処理プログラムに対する更新プログラム等が含まれるものである。更に、ブロック対応データをＲＯＭ２０に順次書き込むときに、ブロック対応データがＲＯＭ２０に最後に書き込まれるのは第２バンク４０であるので、書き込み制御部１２は、ブロック対応データを第１バンク３０の後に引き続いて第２バンク４０に書き込む度に、第２バンク４０に書き込まれたブロック対応データの書き込み済みデータ４２のアドレス（典型的には書き込み済み領域の最終アドレス）を、不揮発性メモリ５０に、書き込み済みアドレス５２として書き込む。なお、ＲＯＭ２０内の第２バンク４０が省略される場合には、書き込み制御部１２は、ブロック対応データを第１バンク３０に書き込む度に、第１バンク３０に書き込まれたブロック対応データの書き込み済みデータ４２のアドレス（典型的には書き込み済みの領域を示すアドレス）を、不揮発性メモリ５０に、書き込み済みアドレス５２として書き込むことが好ましい。かかる書き込み制御部１２は、一旦電源供給が停止され、その後電源供給が再開された場合には、その電源供給が停止された際に書き込みの途中であったデータ等の値を、その続きから書き込みを再開することが可能である。また、ＲＯＭ２０及び不揮発性メモリ５０共に、それらメモリの種類としては、典型的には、いわゆるフラッシュメモリが適用されている。また、通信回路７０は、外部送信元機器７２との間で送受信機能を有する。

【0022】

コード生成部１３は、書き込み制御部１２が、ブロック対応データを、ＲＯＭ２０の第１バンク３０に引き続いて第２バンク４０に書き込むと、書きまれたブロック対応データである書き込み済みデータ４２に基づいて、かつそれに対してユニークなブロック対応コードを生成する。かかるユニークなブロック対応コードは、典型的には、このように書きまれたブロック対応データである書き込み済みデータ４２の値にいわゆるハッシュ関数（例えばＳＨＡ－２５６に相当するもの）を適用して算出されるハッシュコード（ハッシュ値）である。また、コード生成部１３は、典型的には、書き込み対象の制御・処理プログラムの更新プログラム等の最後のブロック対応データに基づいて最後のブロック対応コードを生成する際には、かかる最後のブロック対応データの値と、積算値算出部１４が算出した積算値と、に基づいて、最後のブロック対応コード（第１のコード）を生成する。なお、コード生成部１３は、このように書きまれたブロック対応データである書き込み済みデータ４２の値のみならず、その１つ前に書きまれたブロック対応データである書き込み済みデータ４２の値又はそのハッシュコード（１つ前に書きまれたブロック対応データがない最初の生成の場合にはハッシュコードの初期値）に対してもハッシュ関数を適用して、ハッシュコードを算出してもよい。

【0023】

ここで、コード生成部１３は、かかる最後のブロック対応コードである第１のコードが生成されるまでに、電源供給停止検知部１１が、バッテリＢからの電力が電子制御装置１に供給されていないことを検知し、かつその後に、バッテリＢからの電力が電子制御装置１に供給されていることを検知したとき、つまり一旦電源供給が停止され、その後電源供給が再開された場合には、その電源供給が停止されたタイミングに対してＲＯＭ２０の第２バンク４０に最後に書き込まれていたブロック対応データである書き込み済みデータ４２に基づき、ブロック対応コード（第２のコード）を生成する。この際、コード生成部１３は、不揮発性メモリ５０に書き込まれていた第２バンク４０における書き込み済みデータ４２のアドレスを参照して、電源供給が停止されたタイミングに対して最後に第２バンク４０に書き込まれていたブロック対応データである書き込み済みデータ４２を判別する。そして、このような第２バンク４０に最後に書き込まれていたブロック対応データである書き込み済みデータ４２において、そのブロック対応データの全データの書き込みが完了していると判別する場合には、電源供給が停止された際には典型的にはブロック対応コードの生成の途中であったはずであるが、そのブロック対応データの全データに基づいて、又はそのブロック対応データの一部のみのデータの書き込みが完了していると判別する場合には、電源供給が停止された際には典型的にはブロック対応コードの生成は開始されていなかったものであるが、書き込み制御部１２によるその不足分のデータの書き込みを待って、そのブロック対応データの全データに基づいて、第２のコードを算出する。かかる第２のコードは、電源供給の停止がない場合に同じブロック対応データに相当する書き込み済みデータ４２に基づいて生成されたブロック対応コードと一致する。なお、ユニークなブロック対応コードとしては、ハッシュコードの他に、所定の暗号化アルゴリズムを用いて暗号化されたコード等を用いてもよい。

【0024】

積算値算出部１４は、コード生成部１３により最後に生成される第１のコードを除外しながら、第１のコード以前に生成された複数のブロック対応コードの各々のデータの長さを算出し、それらを積算することにより積算値を算出する。また、コード生成部１３が最後に生成するブロック対応コードである第１のコードが生成されるまでに、一旦電源供給が停止され、その後電源供給が再開された場合には、コード生成部１３により最後に生成される第１のコードを除いた、つまり電源供給の停止を挟んで、コード生成部１３により最後の第１のコードが生成されるまでに生成される複数のブロック対応コードの各々データの長さを算出して、それらを積算する積算値を算出する。この際、コード生成部１３により最後の第１のコードが生成されるまでに生成される複数のブロック対応コードには、第２のコードが含まれる。このように第２のコードを含むブロック対応コードの各々のデータの長さやそれらを積算した積算値は、電源供給の停止がない場合に算出した各々のデータの長さやそれらを積算した積算値と一致する。なお、ブロック対応コードのデータの長さとしては、そのデータのビット数を用いてもよいし、そのブロック対応コードを生成するための演算回数や演算時間等を用いてもよい。また、積算値算出部１４では、コード生成部１３が第１のコードを生成するまでに、第１のコード以外のブロック対応コードの各々のデータの長さを算出して、それらの積算値を算出することが必要とされる。

【0025】

また、コード生成部１３が第１のコード以外のブロック対応コードを生成するタイミングは、書き込み制御部１２がブロック対応データをＲＯＭ２０の第１バンク３０に引き続いて第２バンク４０に書き込む度にその都度であってもよいし、積算値算出部１４が積算値を算出する直前であってもよい。前者の場合には、典型的には、コード生成部１３は、第１のコード以外のブロック対応コードを生成する度にその都度、かかるブロック対応コードを不揮発性メモリ５０に書き込む、又はコード生成部１３が第１のコード以外のブロック対応コードを生成する度にその都度、積算値算出部１４が各々のブロック対応コードの長さを算出してそれらの値を不揮発性メモリ５０に書き込んでおくことが必要となる。また、後者の場合には、典型的には、積算値算出部１４は、コード生成部１３により第１のコード以外のブロック対応コードが生成されるタイミングに合わせて、それらのコードの値を用いて、各々のデータの長さを算出して、それらの積算値を算出すれば足りることになる。

【0026】

検証部１５は、書きみ対象の制御・処理プログラムの更新プログラム等の２値化データが通信回路７０で受信された際に、第１のコードに相当する受信時コードを算出しており、かかる受信コードと、コード生成部１３が生成した第１のコードと、を比較することにより、ＲＯＭ２０の第２バンク４０に最後に書き込まれたブロック対応データである書き込み済みデータ４２の完全性を検証する。具体的には、検証部１５は、検証部１５が算出した受信時コードと、コード生成部１３が生成した第１のコードと、が一致すれば、書き込み済みデータ４２には完全性があると判別し、これらが一致しなければ、書き込み済みデータ４２には完全性がないと判別する。かかる検証においては、電源供給の停止がある場合であっても、第１のコードを除くブロック対応データの生成、それらのデータの長さの算出、それらのデータの長さの積算値の算出、及び第１のコードの生成に対し、不要な影響が生じることが抑制されているため、電源供給の停止に起因する不要な影響が生じることが抑制されている。

【0027】

以上説明してきた構成を有する電子制御装置１は、電子制御装置１に適用される制御・処理プログラムの更新プログラム等を２値化したデータの書き込み中に、電源の供給が停止された場合であっても、その停止による不要な影響を受けることを抑制して、書き込まれたデータの完全性を検証する検証処理を実行することになる。以下、更に図２及び図３をも参照して、かかる検証処理を実行する際に第１コードを算出する電子制御装置１の動作について説明する。

【0028】

〔車両電子制御装置の動作〕
図２（ａ）は、電源の供給が停止されない場合において、本実施形態における比較例の車両電子制御装置の動作を時系列的に示す模式図であり、図２（ｂ）は、電源の供給が停止される場合において、本実施形態における比較例の車両電子制御装置の動作を時系列的に示す模式図である。また、図３（ａ）は、電源の供給が停止されない場合において、本実施形態における車両電子制御装置１の動作を時系列的に示す模式図であり、図３（ｂ）は、電源の供給が停止される場合において、本実施形態における車両電子制御装置１の動作を時系列的に示す模式図である。なお、以下では、便宜上、本実施形態における比較例の車両電子制御装置の構成要素に対して、本実施形態における車両電子制御装置１の同等の構成要素の符号と同じ符号を用いて説明する。

【0029】

まず、図２（ａ）に示すように、本実施形態における比較例の車両電子制御装置では、電源供給停止検知部１１が電源供給の停止を検知することがない例において、書き込み制御部１２は、通信回路７０が書き込み対象の制御・処理プログラムの更新プログラム等の２値化データＤを受信すると、書き込み制御部１２は、２値化データＤを複数のブロックに区画したブロック対応データＭＢ１からＭＢ４として、ＲＯＭ２０内の第１バンク３０にまず書き込み、それに引き続いて第２バンク４０に書き込む。このように書き込み制御部１２がＲＯＭ２０内の第２バンク４０にブロック対応データＭＢ１からＭＢ４を書き込むと、コード生成部１３は、書きまれたブロック対応データＭＢ１からＭＢ４に基づいて、かつそれに対してユニークなブロック対応コードであるハッシュコードＨＣ１からＨＣ４を生成する。詳しくは、一例として、コード生成部１３は、ハッシュコードの所定の初期値及び書きまれたブロック対応データＭＢ１に基づいて、ハッシュコードＨＣ１を生成し、ハッシュコードＨＣ１及び書きまれたブロック対応データＭＢ２に基づいて、ハッシュコードＨＣ２を生成し、ハッシュコードＨＣ２及び書きまれたブロック対応データＭＢ３に基づいて、ハッシュコードＨＣ３を生成する。この際、積算値算出部１４は、コード生成部１３により最後に生成されるハッシュコードＨ４を除外し、ハッシュコードＨ４以前に生成されたハッシュコードＨＣ１からＨＣ３の各々のデータの長さを算出し、それらを積算することにより積算値Ｌ１を算出する。そして、コード生成部１３は、ハッシュコードＨＣ４を生成する際には、ハッシュコードＨＣ３及び書き込み済みのブロック対応データＭＢ４に加えて積算値Ｌ１にも基づいて、ハッシュコードＨＣ４を生成する。

【0030】

次に、図２（ｂ）に示す本実施形態における比較例の車両電子制御装置では、図２（ａ）に示す本実施形態における比較例の車両電子制御装置に対して、ブロック対応データＭＢ１がＲＯＭ２０の第２バンク４０に書き込まれている途中、又はハッシュコードＨＣ１が生成されている途中の期間ＴＳの始期で、電源供給が停止され、かつ期間ＴＳの終期で電源供給が再開されていることを、電源供給停止検知部１１が検知した点が相違している。つまり、ブロック対応データＭＢ１がＲＯＭ２０の第２バンク４０に書き混まれている途中で電源供給の停止があった場合には、ブロック対応データＭＢ１は、その全てが書き込み制御部１２により第２バンク４０に書き込まれていない可能性が高く、仮にブロック対応データＭＢ１の全てが第２バンク４０に書き込まれていないとすれば、このような不完全なブロック対応データＭＢ１に基づいてコード生成部１３により生成されたハッシュコードＨＣ１も不完全なものとなってしまう。かかる事情は、ハッシュコードＨＣ１が生成されている途中で 電源供給の停止があった場合にも、ハッシュコードＨＣ１も不完全なものとなってしまう点では同様である。また、かかる電源供給の停止が発生した場合には、積算値算出部１４は、一般的には、その電源供給が再開した後のハッシュコードＨＣ２及びＨＣ３を積算して積算値Ｌ２を算出することになるため、このように算出された積算値Ｌ２は、図２（ａ）に示す本来呈すべき値を呈する積算値Ｌ１とは異なった値を呈することになる。この結果、図２（ｂ）においてコード生成部１３により生成されたハッシュコードＨＣ４は、図２（ａ）においてコード生成部１３により生成されたハッシュコードＨＣ４とは異なった値を呈してしまい、検証部１５が算出した受信時コードと、コード生成部１３が生成したハッシュコードＨＣ４と、が一致しない結果となるため、検証部１５により、第２バンク４０に書きまれたブロック対応データＭＢ１からＭＢ４には完全性がないと判別されることになる。なお、電源供給の停止が発生したときに、コード生成部１３で生成されるハッシュコードＨＣ１が不揮発性メモリ５０に書き込まれていた場合も想定し得るが、このような不揮発性メモリ５０に書き込まれたハッシュコードＨＣ１は不完全なものであるため、かかる不完全なハッシュコードＨＣ１を含むハッシュコードＨＣ１からＨＣ３の各々のデータ長さを積算値算出部１４が積算して積算値を算出したとしても、図２（ａ）に示す本来呈すべき値を呈する積算値Ｌ１とは異なった値を呈することになる。

【0031】

一方で、本実施形態における車両電子制御装置１では、電源供給の停止がない場合である図３（ａ）に示す状況は、図２（ａ）に示す比較例のものと同様になるが、図３（ｂ）に示すように電源供給停止検知部１１が期間ＴＳで電源供給の停止が発生したことを検知した場合には、図２（ｂ）に示す比較例のものとは相違して、コード生成部１３は、不揮発性メモリ５０に書き込まれていたＲＯＭ２０の第２バンク４０における書き込み済みデータ４２であるブロック対応データのアドレスを参照して、電源供給が停止されたタイミングに対してＲＯＭ２０の第２バンク４０に最後に書き込み完了していたデータがブロック対応データＭＢ１であることを判別し、又は第２バンク４０にブロック対応データＭＢ１の書き込みが完了していないと判別したときには書き込み制御部１２によるその書き込みの完了を待って、ハッシュコードの所定の及び書き込みが完了しているブロック対応データＭＢ１に基づいて、かつブロック対応データＭＢ１に対してユニークなブロック対応コードであるハッシュコードＨＣ１を改めて生成すると共に、その後ハッシュコードＨＣ１及びブロック対応データＭＢ２に基づいて、かつブロック対応データＭＢ２に対して各々ユニークなブロック対応コードであるハッシュコードＨＣ２生成し、更にハッシュコードＨＣ２及びブロック対応データＭＢ３に基づいて、かつブロック対応データＭＢ３に対して各々ユニークなブロック対応コードであるハッシュコードＨＣ３生成する。この際、積算値算出部１４は、コード生成部１３により最後に生成されるハッシュコードＨ４を除外し、ハッシュコードＨ４以前に生成されたハッシュコードＨＣ１からＨＣ３の各々のデータの長さを算出し、それらを積算することにより積算値Ｌ２を算出する。かかる積算値Ｌ２は、電源供給の停止後にコード生成部１３が改めて生成したハッシュコードＨＣ１が、図３（ａ）に示す本来呈すべき値を呈するＨＣ１と一致する値を呈するものであるため、図３（ａ）に示す本来呈すべき値を呈する積算値Ｌ１と一致する値を呈するものである。そして、コード生成部１３は、ハッシュコードＨＣ４を生成する際には、ブロック対応データＭＢ４に加えて積算値Ｌ２にも基づいて、ハッシュコードＨＣ４を生成するため、このように電源供給が停止した後に生成されるハッシュコードＨＣ４は、図３（ａ）に示す本来呈すべき値を呈するハッシュコードＨＣ４と一致する値を呈することになる。この結果、検証部１５は、検証部１５が算出した受信時コードと、コード生成部１３が生成したハッシュコードＨＣ４と、が一致するため、電源供給の停止に不要な影響を受けることなく、第２バンク４０に書きまれたブロック対応データＭＢ１からＭＢ４には完全性があると判別することが可能となる。

【0032】

以上の説明から明らかなように、本実施形態における車両電子制御装置１では、最後に生成されるブロック対応コードである第１のコードＨＣ４が生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部１３が、電源供給が停止されたタイミングＴＳに対して最後にメモリに書き込まれたブロック対応データＭＢ１に基づき、ブロック対応コードである第２のコードＨＣ１を生成し、積算値算出部１４が、第２のコードＨＣ１を含むブロック対応コードＨＣ１からＨＣ３の各々のデータの長さを積算することにより、積算値Ｌ２を算出し、コード生成部１３が、第２のコードＨＣ１を含むブロック対応コードＨＣ１からＨＣ３の各々のデータの長さを積算することにより算出された積算値Ｌ２を用いて、第１のコードＨＣ４を生成するものであるため、書き込み制御部１２がブロックのデータＭＢ１の一部までをメモリ２０に書き込んだ状態で電源供給が一旦停止された場合や、コード生成部１３がそのデータＭＢ１に対してユニークなコードＨＣ１の一部までを生成している状態で電源供給が一旦停止された場合であっても、書き込み制御部１２が全てのブロックのデータＭＢ１からＭＢ４をメモリに書き込むまで電源の供給が継続して行われた場合や、コード生成部１３がそのデータＭＢ１からＭＢ３に対してユニークなコードＨＣ１からＨＣ３を全て生成し終るまで電源の供給が継続して行われた場合と同一の最後のコードＨＣ４を生成することができる。よって、電源供給が一旦停止された場合であっても、その停止された際に本来生成すべきであったコードＨＣ１からＨＣ３を適切に生成することができ、かかる適切なコードＨＣ１からＨＣ３を用いて積算値Ｌ２を算出することができるため、かかる積算値Ｌ２を用いて、電源供給の停止による不要な影響を受けることを抑制した態様で、メモリに書き込まれたプログラムの２値化データＭＢ１からＭＢ４の完全性を検証することができる。

【0033】

また、本実施形態における車両電子制御装置１では、第１のコードＨＣ４が生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部１３が、複数のブロックの内の最後のブロックに対応し、かつ電源供給が再開された後にメモリ２０に書き込まれたブロック対応データＭＢ４と、第２のコードＨＣ１を含むブロック対応コードＨＣ１からＨＣ３の各々のデータの長さを積算することにより算出された積算値Ｌ２と、を用いて第１のコードＨＣ４を生成するものであるため、電源供給が一旦停止された場合であっても、適切に生成された最後のコードＨＣ４を用いて、プログラムの２値化データＭＢ１からＭＢ４の完全性を確実に検証することができる。

【0034】

また、本実施形態における車両電子制御装置１では、書き込み制御部１２が、ブロック対応データＭＢ１からＭＢ４をメモリ２０に順次書き込む度に、書き込まれたブロック対応データＭＢ１からＭＢ４のアドレス５２を、メモリ２０とは別に備えられた別のメモリ５０に書き込み、第１のコードＨＣ４が生成されるまでに、電源供給が停止され、かつその後電源供給が再開された場合には、コード生成部１３が、別のメモリ５０に書き込まれたアドレス５２を参照して、電源供給が停止されたタイミングに対して最後にメモリに書き込まれたブロック対応データＭＢ１を判別するものであるため、電源供給が一旦停止された場合であっても、電源供給が停止されたタイミングに対して最後にメモリに書き込みが完了しているブロック対応データＭＢ１に基づきコードＨＣ１の生成を実行することにより、又は電源供給が停止されたタイミングに対して最後にメモリに途中までの書き込みがなされたブロック対応データＭＢ１の不足分の書き込みを待って、そのブロック対応データＭＢ１に基づきコードＨＣ１の生成を実行することにより、電源供給が停止された際に生成すべきであったコードＨＣ１を確実に生成することができ、そのデータ長を用いて、プログラムの２値化データＭＢ１からＭＢ４の完全性をより確実に検証することができる。

【0035】

なお、本発明は、部材の種類、形状、配置、個数等は前述の実施形態に限定されるものではなく、その構成要素を同等の作用効果を奏するものに適宜置換する等、発明の要旨を逸脱しない範囲で適宜変更可能であることはもちろんである。

【産業上の利用可能性】

【0036】

以上のように、本発明は、プログラムを２値化したデータの書き込み中等に、電源の供給が停止された場合であっても、その停止による不要な影響を受けることを抑制した態様で、そのデータの完全性を検証することができる車両電子制御装置を提供することができるものであり、その汎用普遍的な性格から車両等の電子制御装置に広く適用され得るものと期待される。

【符号の説明】

【0037】

１…車両電子制御装置
１０…ＣＰＵ
１１…電源供給停止検知部
１２…書き込み制御部
１３…コード生成部
１４…積算値算出部
１５…検証部
２０…ＲＯＭ
３０…第１バンク
３２…書き込み済みデータ
４０…第２バンク
４２…書き込み済みデータ
５０…不揮発性メモリ
５２…書き込み済みアドレス
６０…内部通信線
７０…通信回路
７２…外部送信元機器
７４…外部通信線
８０…電源回路
８２…イグニッションスイッチ
Ｂ…バッテリ

【図1】

【図2】

【図3】