车载ECU、程序及信息处理方法与流程

车载ecu、程序及信息处理方法
技术领域
1.本公开涉及一种车载ecu、程序及信息处理方法。
2.本技术主张基于2020年3月26日申请的日本技术第2020－056666号的优先权，援引所述日本技术所记载的全部记载内容。


背景技术：

3.在车辆中，例如搭载有将括水器驱动装置、车辆的内外的灯光装置、门锁装置、电动窗等车身系统的装置的控制归拢起来进行的车载ecu即车身ecu(例如，专利文献1)。专利文献1的括水器驱动装置包含车载ecu(车身ecu)，通过应用于车载ecu的控制程序来驱动。
4.现有技术文献
5.专利文献
6.专利文献1：日本特开2017－224926号公报


技术实现要素：

7.本公开的一种方式所涉及的车载ecu控制搭载于车辆的车载装置，其中，所述车载ecu具备：存储部，存储用于控制所述车载装置的控制程序和用于进行所述车载装置或所述车载ecu的动作确认的检查用程序；及控制部，执行所述控制程序或所述检查用程序，在所述存储部中，存储有表示所述检查用程序有效或无效的有效性信息，所述控制部参照在所述存储部中存储的所述有效性信息，在所述检查用程序有效的情况下，执行所述检查用程序，在所述检查用程序无效的情况下，执行所述控制程序。
附图说明
8.图1是例示出包含实施方式1所涉及的车载ecu等的车载系统的结构的示意图。
9.图2是例示出车载ecu等的内部结构的框图。
10.图3是例示出车载ecu的控制部的处理的流程图。
11.图4是例示出实施方式2(请求信号)所涉及的车载ecu的控制部的处理的流程图。
12.图5是例示出实施方式3(监视)所涉及的车载ecu的控制部的处理的流程图。
具体实施方式
13.[本公开所要解决的课题]
[0014]
在专利文献1的车载ecu中，存在未进行与进行包含该车载ecu的括水器驱动装置的动作确认等的检查用程序相关的考虑这样的问题。
[0015]
本公开的目的在于，提供一种能够高效地使用进行本装置的动作确认的检查用程序的车载ecu等。
[0016]
[本公开的效果]
[0017]
根据本公开的一种方式，能够提供一种高效地使用进行本装置的动作确认的检查
用程序的车载ecu等。
[0018]
[本公开的实施方式的说明]
[0019]
最先，列举本公开的实施方式来说明。另外，也可以将下面记载的实施方式的至少一部分任意地组合。
[0020]
(1)本公开的一种方式所涉及的车载ecu控制搭载于车辆的车载装置，其中，所述车载ecu具备：存储部，存储用于控制所述车载装置的控制程序和用于进行所述车载装置或所述车载ecu的动作确认的检查用程序；及控制部，执行所述控制程序或所述检查用程序，在所述存储部中，存储有表示所述检查用程序有效或无效的有效性信息，所述控制部参照所述存储部中存储的所述有效性信息，在所述检查用程序有效的情况下，执行所述检查用程序，在所述检查用程序无效的情况下，执行所述控制程序。
[0021]
在本方式中，在控制车载装置的车载ecu的存储部中，存储有用于控制车载装置的控制程序及用于进行车载装置的动作确认的检查用程序。在存储部中还存储有表示检查用程序有效或无效的有效性信息。车载ecu的控制部例如在该车载ecu起动时，访问存储部，读出在该存储部中存储的有效性信息。控制部在由有效性信息表示出检查用程序有效的情况下，执行检查用程序。控制部在由有效性信息表示出检查用程序无效的情况下，执行控制程序。因此，控制部基于由该有效性信息表示的内容，选择性地执行检查用程序或控制程序，能够高效地使用该检查用程序。
[0022]
(2)关于本公开的一种方式所涉及的车载ecu，所述存储部中存储的所述有效性信息在所述车载ecu或所述车辆的制造工序中从有效变更为无效。
[0023]
在本方式中，存储部中存储的有效性信息在车载ecu或车辆的制造工序中从有效变更为无效，所以，在做完制造工序而上市的车辆中，有效性信息为无效，即该有效性信息成为表示检查用程序无效的状态。因此，在市场上市的车辆中，能够高效地防止由车载ecu的控制部执行检查用程序。
[0024]
(3)关于本公开的一种方式所涉及的车载ecu，所述存储部中存储有在所述车载ecu起动时执行的启动程序，所述存储部包含能够进行来自正在执行所述控制程序的控制部的访问的第一区域及限制来自正在执行所述控制程序的控制部的访问的第二区域，所述有效性信息存储于所述第二区域，正在执行所述启动程序的控制部通过物理地址来访问所述第二区域。
[0025]
在本方式中，存储部包含能够进行来自正在执行控制程序的控制部的访问的第一区域及限制来自正在执行控制程序的控制部的访问的第二区域，有效性信息存储于第二区域。因此，在车辆的行驶时等通常时候，在限制来自由控制部执行的控制程序的访问的存储区域(第二区域)中，存储有效性信息。由此，能够高效地防止由正在执行控制程序的控制部改变该有效性信息。
[0026]
(4)关于本公开的一种方式所涉及的车载ecu，所述第二区域中的存储容量小于所述第一区域中的存储容量。
[0027]
在本方式中，存储有效性信息的第二区域中的存储容量小于能够进行来自正在执行控制程序的控制部的访问的第一区域中的存储容量。正在执行控制程序的控制部例如将车载装置的控制或驱动的日志数据写入到能够访问的第一区域而存储到存储部。因此，通过使第二区域的存储容量小于第一区域的存储容量，从而能够充分地确保该第一区域的存
储容量来存储关于车载装置的控制等所需的数据，并且确保存储使用例如位标记的有效性信息所需的第二区域，有效利用存储部的存储容量。
[0028]
(5)关于本公开的一种方式所涉及的车载ecu，在取得了从所述车辆外的外部装置发送的请求信号的情况下，所述控制部参照所述存储部中存储的所述有效性信息，并基于所述有效性信息来判定所述检查用程序有效还是无效。
[0029]
在本方式中，在取得了从所述车辆外的外部装置发送的请求信号的情况下，控制部参照存储部中存储的有效性信息，并基于该有效性信息来判定检查用程序有效还是无效。因此，为了执行检查用程序，成为满足了取得请求信号及检查用程序有效这2个要件的情况。由此，使执行检查用程序的要件更加严格化，能够高效地防止错误地执行该检查用程序。
[0030]
(6)关于本公开的一种方式所涉及的车载ecu，在从所述外部装置发送的请求信号中包含的标识符与在搭载于所述车辆内的其他车载ecu之间的通信中使用的标识符不同。
[0031]
在本方式中，在从外部装置发送的请求信号中包含的标识符与在搭载于车辆内的其他车载ecu之间的通信中使用的标识符不同。因此，在进行取得从外部装置发送的请求信号的处理时，能够高效地排除由搭载于车辆内的其他车载ecu之间的通信造成的影响，并高效地保障该请求信号的取得处理中的可靠性。
[0032]
(7)本公开的一种方式所涉及的车载ecu具备受理向存储有所述有效性信息的存储部的访问的受理部，所述存储部中存储的所述有效性信息通过经由所述受理部受理的信号而从无效变更为有效。
[0033]
在本方式中，车载ecu具备用于受理向存储了有效性信息的存储部的访问的输入输出i/f(接口)等受理部。车载ecu经由该受理部受理从连接于受理部的诊察装置输出的信号。例如，在车载ecu或车辆的制造工序中从有效变更为无效的有效性信息通过经由受理部受理的信号而从无效变更为有效。通过使用这样的受理部来受理从诊察装置输出的信号，从而能够将有效性信息从无效变更为有效，例如即使在车辆上市之后，根据需要，也能够再次执行检查用程序。
[0034]
(8)关于本公开的一种方式所涉及的车载ecu，所述车载装置是介于搭载于所述车辆的蓄电装置与车载负载之间的电气接线箱，所述电气接线箱包含进行电力从所述蓄电装置向所述车载负载的供断的继电器，所述控制部进行所述电气接线箱中包含的所述继电器的开闭控制。
[0035]
在本方式中，车载装置是介于搭载于车辆的蓄电装置与车载负载之间的电气接线箱，包含在该电气接线箱中并进行电力从蓄电装置向车载负载的供断的继电器由控制部进行开闭控制。因此，检查用程序例如用于进行继电器的动作确认，控制部通过参照有效性信息，从而能够选择性地执行用于对该继电器进行开闭控制的控制程序和用于进行该继电器的动作确认的检查用程序。
[0036]
(9)关于本公开的一种方式所涉及的车载ecu，正在执行所述控制程序的控制部在所述有效性信息从有效变更为无效之后，在预定的定时监视所述有效性信息，在由所述有效性信息表示出所述检查用程序有效的情况下，输出与所述监视的结果相关的信息。
[0037]
在本方式中，正在执行控制程序的控制部在有效性信息从有效变更为无效之后，例如在车辆的起动时、停止时或预先确定的时刻等预定的定时，监视有效性信息。然后，正
在执行控制程序的控制部在由有效性信息表示出检查用程序有效的情况下，将与所述监视的结果相关的信息输出到搭载于车辆的显示器装置等hmi装置等。原本在上市后的车辆中，有效性信息维持表示无效的状态。在此基础上，正在执行控制程序的控制部在预定的定时定期地或稳定地监视有效性信息。因此，在存储有效性信息的存储区域中，即使在发生例如位反转等现象而该有效性信息变更为有效的状态的情况下，也能够将有效性信息为有效这一内容、即无意中变更为有效的状态这一内容输出到hmi装置等，通知给车辆的操作者等。
[0038]
(10)本公开的一种方式所涉及的程序使计算机执行以下处理：参照存储部，所述存储部存储用于控制车载装置的控制程序、用于进行所述车载装置或控制所述车载装置的车载ecu的动作确认的检查用程序及表示所述检查用程序有效或无效的有效性信息，在所述有效性信息表示所述检查用程序有效的情况下，执行所述检查用程序，在所述有效性信息表示所述检查用程序无效的情况下，执行所述控制程序。
[0039]
在本方式中，能够使计算机作为高效地使用进行本装置的动作确认的检查用程序的车载ecu而进行动作。
[0040]
(11)本公开的一种方式所涉及的信息处理方法使计算机执行以下处理：参照存储部，所述存储部存储用于控制车载装置的控制程序、用于进行所述车载装置或控制所述车载装置的车载ecu的动作确认的检查用程序及表示所述检查用程序有效或无效的有效性信息，在所述有效性信息表示所述检查用程序有效的情况下，执行所述检查用程序，在所述有效性信息表示所述检查用程序无效的情况下，执行所述控制程序。
[0041]
在本方式中，能够提供一种使计算机作为高效地使用进行本装置的动作确认的检查用程序的车载ecu而进行动作的信息处理方法。
[0042]
[本公开的实施方式的详细内容]
[0043]
下面，参照附图，说明本公开的实施方式所涉及的车载ecu2的具体例子。此外，本公开不限定于这些示例，通过权利要求书来表示，旨在包含与权利要求书等同的含义和范围内的全部变更。
[0044]
(实施方式1)
[0045]
下面，关于实施方式，基于附图进行说明。图1是例示出包含实施方式1所涉及的车载ecu2等的车载系统s的结构的示意图。图2是例示出车载ecu2等的内部结构的框图。车载系统s包含车载ecu2和连接到车载ecu2的电气接线箱3(车载装置)。该车载ecu2经由车载中继装置1，与其他车载ecu(ecu)、致动器或车外通信装置11等车载设备可通信地连接，例如，基于从这些车载设备输出的信号等，进行连接到本ecu即车载ecu2的电气接线箱3等车载装置的控制。
[0046]
车载中继装置1例如将控制系统ecu等车载设备、安全系统ecu等车载设备和bcu(body control unit：车身控制单元)等车身系统的车载设备等多个系统的分部归拢起来，对这些分部之间的车载设备彼此的通信进行中继。车载中继装置1也可以是例如网关或以太交换机，作为二层交换机、三层交换机和can网关发挥功能。进一步地将车外通信装置11和hmi装置12连接到车载中继装置1。车载中继装置1与车载ecu2等例如通过以太网(注册商标)电缆或can电缆等通信线10进行连接。
[0047]
车外通信装置11是用于使用例如lte、4g、5g、wifi等移动通信的协议来进行无线通信的通信装置，经由连接于车外通信装置11的天线，与位于车辆c外的外部服务器(未图
示)进行数据的发送接收。
[0048]
hmi装置12是汽车导航的显示器等显示装置。显示装置显示经由车载中继装置1从车载ecu2输出的信息。
[0049]
电气接线箱3包含例如由fet等半导体组成的继电器31和熔断器(未图示)，介于蓄电装置4与车载负载5之间地设置。蓄电装置4是铅电池或锂电池等二次电池，是针对搭载于车辆c的车载负载5的电源。车载负载5是例如汽车空调、灯装置等负载装置，通过从蓄电装置4供给的电力来驱动。
[0050]
电气接线箱3与蓄电装置4及车载负载5通过电力线41连接。电气接线箱3与车载ecu2通过信号线221连接，电气接线箱3的继电器31基于经由信号线221从车载ecu2输出的信号而被控制成该继电器31的接通(闭)或断开(开)。通过对电气接线箱3的继电器31进行接通/断开控制，从而电力进行从蓄电装置4向车载负载5的供给或切断。
[0051]
电气接线箱3是连接到车载ecu2的车载装置的一个例子，不限定于此。连接到车载ecu2的车载装置例如也可以是门驱动装置或灯装置等搭载于车辆c的各种致动器。
[0052]
车载ecu2包含控制部20、存储部21、输入输出i/f22、通信部23和受理部24。控制部20由cpu(central processing unit：中央处理单元)或mpu(micro processing unit：微处理单元)等构成，读出在存储部21中存储的程序和数据来执行，进行控制处理等。
[0053]
存储部21由ram(random access memory：随机存取存储器)等易失性的存储器元件或rom(read only memory：只读存储器)、eeprom(electrically erasable programmable rom：电可擦除可编程rom)或闪存存储器等非易失性的存储器元件构成。在存储部21中，存储有程序和用于执行程序的数据。关于这些程序等，也可以存储从车载ecu2可读的记录介质读出的程序等。另外，也可以从连接于未图示的通信网的未图示的外部计算机下载这些程序等，并使存储部21进行存储。
[0054]
在存储部21中存储的程序包含启动程序等起动用程序、控制程序和检查用程序。在存储部21中，还存储有表示检查用程序是否有效的有效性信息。将存储部21划分为多个区域，作为该划分的一个例子，划分为启动程序区域210、第一区域211和第二区域212。在启动程序区域210中，储存(存储)有启动程序等起动用程序。在第一区域211中，储存(存储)有控制程序和检查用程序。在第二区域212中，储存(存储)有表示检查用程序是否有效的有效性信息。有效性信息也可以通过其值由例如0或1表示的位标记来定义。作为该位标记的一个例子，也可以是0表示检查用程序无效，1表示检查用程序有效。以使第二区域212中的存储容量为小于(少于)第一区域211中的存储容量的容量的方式，对第一区域211和第二区域212进行划分。
[0055]
输入输出i/f22连接由串行电缆等导线线束组成的信号线221，控制部20生成的信号经由输入输出i/f22和信号线221而输出到电气接线箱3。
[0056]
通信部23是与在由100base－t1或1000base－t1等以太网电缆组成的通信线10中传送的tcp/ip的数据组对应的以太网phy部。或者，通信部23也可以是对应于can协议的can收发器。
[0057]
受理部24是连接用于直接访问存储部21、并直接变更在该存储部21中存储的信息的rom写入器等改写装置7的输入输出端口。通过连接到受理部24的改写装置7，能够变更(改写)在存储部21的第二区域212中存储的有效性信息。
[0058]
外部装置6是在车辆c或连接电气接线箱3的车载ecu2的制造阶段经由车载ecu2的通信部23连接的产品检查用的诊察装置。外部装置6是将专用应用程序安装到例如个人计算机、平板pc或智能手机等通用信息终端而成的装置或包含硬件且构成为专用信息终端的装置。外部装置6也可以经由车载中继装置1，与车载ecu2可通信地连接。外部装置6将与检查用程序的执行请求(进入请求)相关的信号(请求信号)输出(发送)到车载ecu2。详细情况在后面叙述，车载ecu2的控制部20最好在从外部装置6接收到与检查用程序的执行请求(进入请求)相关的信号(请求信号)的情况下，进行与检查用程序的起动相关的处理。
[0059]
在车载ecu2起动时，车载ecu2的控制部20执行启动程序等起动用程序，作为进行起动处理的起动处理部发挥功能。作为车载ecu2的起动处理的一环，正在执行启动程序等起动用程序的控制部20基于存储部21中的物理地址，参照在第二区域212中存储的有效性信息，与该有效性信息(位标记)的值(0或1)相应地，选择性地执行控制程序或检查用程序。车载ecu2的控制部20通过执行控制程序，从而作为进行与连接于本ecu的电气接线箱3等车载装置的控制相关的处理的车载装置控制处理部发挥功能。车载ecu2的控制部20通过执行检查用程序，从而作为进行本ecu的自诊断处理、与连接于本ecu的电气接线箱3等车载装置的连接确认处理等检查用处理的检查用处理部发挥功能。
[0060]
存储部21中的启动程序区域210例如按存储部21的由物理地址中的最先的门牌号(第0块)构成的区域进行划分。车载ecu2的控制部20在本ecu起动时，执行在启动程序区域210中存储的启动程序，基于在第二区域212中存储的有效性信息，选择性地执行控制程序或检查用程序。
[0061]
将存储部21中的第一区域211划分为能够进行来自正在执行控制程序的控制部20的访问的区域。即，正在执行控制程序的控制部20对按逻辑地址寻址找到的第一区域211进行参照系统访问和写入系统访问。
[0062]
将存储部21中的第二区域212划分为限制来自正在执行控制程序的控制部20的访问的区域。第二区域212由于未进行按照逻辑地址的寻址，所以，正在执行控制程序的控制部20对第二区域212无法与第一区域211同样地进行使用逻辑地址的访问。为了访问第二区域212，控制部20需要使用物理地址来访问该第二区域212。正在执行启动程序等起动用程序的控制部20基于预定的物理地址，参照在第二区域212中存储的有效性信息。
[0063]
第二区域212是用于存储在车载ecu2起动时参照的有效性信息的区域，所以，以使第二区域212的存储容量为小于第一区域211的存储容量的容量的方式，在存储部21中划分第一区域211和第二区域212。通过这样划分第一区域211和第二区域212，从而能够充分地确保在控制电气接线箱3等车载装置时使用的第一区域211的存储容量，有效利用存储部21的存储容量。
[0064]
在本实施方式中，记载为在车载ecu2起动时控制部20执行的起动用程序是启动程序，但不限定于此。在车载ecu2起动时控制部20执行的起动用程序也可以是用于控制连接到车载ecu2的车载装置的控制程序。在车载ecu2起动时，控制部20执行控制程序，正在执行控制程序的控制部20也可以基于物理地址，参照在第二区域212中存储的有效性信息。
[0065]
在车辆c或连接电气接线箱3的车载ecu2的制造阶段，在执行检查用程序之前，有效性信息表示检查用程序有效。即，在执行检查用程序之前，有效性信息的值设为1(检查用程序有效)，存储于第二区域212。
[0066]
在车辆c或连接电气接线箱3的车载ecu2的制造阶段，在执行检查用程序而车载ecu2和电气接线箱3的检查完成之后，将有效性信息变更为表示检查用程序无效。即，在执行检查用程序之后，将有效性信息的值变更为0(检查用程序无效)，存储于第二区域212。
[0067]
在将有效性信息的值变更为0(检查用程序无效)并存储于第二区域212之后，包含车载ecu2的车辆c在市场上市。在车辆c上市后，在第二区域212中存储的有效性信息的值(0：检查用程序无效)不变更地维持，所以，能够高效地防止在制造工序之后无意中执行检查用程序。在此基础上，当在车辆c发生了故障的情况下需要修理或分析故障原因的情况下，通过将改写装置7连接到受理部24，将在第二区域212中存储的有效性信息直接改写成1(检查用程序有效)，从而能够再次执行检查用程序。
[0068]
图3是例示出车载ecu2的控制部20的处理的流程图。车载ecu2的控制部20例如在将进行车辆c的起动或停止的点火开关(ig开关)接通的情况等向车载ecu2进行了起动请求的情况下，进行以下的处理。
[0069]
车载ecu2的控制部20执行启动程序等起动用程序(s101)。控制部20例如在供给驱动电力或输入起动请求的信号等向车载ecu2进行了起动请求的情况下，执行启动程序等起动用程序。该启动程序存储(储存)于存储部21的由物理地址中的最先的门牌号(第0块)构成的启动程序区域210中，控制部20通过参照该启动程序区域210，从而读出启动程序并执行。起动用程序不限定于仅在车载ecu2起动时执行的启动程序，也可以是用于控制连接到车载ecu2的车载装置的控制程序。
[0070]
车载ecu2的控制部20参照在第二区域212中存储的有效性信息(s102)。在车载ecu2起动时执行的由启动程序或控制程序组成的起动用程序基于存储部21的物理地址，以参照预先确定了物理地址的门牌号的第二区域212的方式进行编码。正在执行起动用程序的控制部20通过基于物理地址，参照在第二区域212中存储(储存)的有效性信息，从而取得该有效性信息的值。在有效性信息通过例如由0或1表示的位标记来定义的情况下，控制部20也可以基于表示该位的门牌号的物理地址，取得有效性信息的值。
[0071]
车载ecu2的控制部20基于有效性信息，判定检查用程序是否有效(s103)。作为有效性信息(位标记)的值的一个例子，在0表示检查用程序无效、1表示检查用程序有效的情况下，控制部20基于该值，判定检查用程序是否有效。
[0072]
在检查用程序有效的情况下(s103：“是”)，车载ecu2的控制部20执行检查用程序(s1031)。正在执行启动程序等起动用程序的控制部20也可以在检查用程序有效的情况下，在执行检查用程序之后，结束该起动用程序。控制部20通过在执行检查用程序之后，结束起动用程序，从而使正在执行的程序从起动用程序转移到检查用程序，使车载ecu2的动作状态(处理方式)从起动处理状态转变为检查处理状态。
[0073]
车载ecu2的控制部20基于检查用程序，执行车载ecu2(本ecu)的检查(s1032)。控制部20基于由检查用程序进行编码的处理内容，进行例如本ecu的自诊断处理、与连接于本ecu的电气接线箱3等车载装置的连接确认处理、在电气接线箱3中包含的继电器31、开关等的动作确认处理等检查用处理。
[0074]
在检查用程序并非有效的情况下(s103：“否”)，即在检查用程序无效的情况下，车载ecu2的控制部20执行控制程序(s104)。正在执行启动程序等起动用程序的控制部20在检查用程序并非有效的情况下(无效的情况下)，在执行控制程序之后，结束起动用程序，从而
使正在执行的程序从起动用程序转移到控制程序，使车载ecu2的动作状态(处理方式)从起动处理状态转变为控制处理状态。在s101的处理中，在作为起动用程序而执行控制程序的情况下，车载ecu2的控制部20也可以维持执行控制程序的状态，持续执行控制程序。即，关于控制程序中的处理顺序，也可以作为进行了有效性信息的判定处理的后处理而进行与连接到本ecu的车载装置的控制相关的处理。
[0075]
车载ecu2的控制部20基于控制程序，开始进行连接到本ecu的电气接线箱3等车载装置的控制(s105)。在车载ecu2是控制车辆c整体的车身ecu(bcu)的情况下，车载ecu2例如接收基于由车辆c的操作者实施的操作而输出的信号，基于该信号，进行用于驱动连接到本ecu的车载装置的控制。车载ecu2的控制部20在执行s105或s1032的处理之后，结束本流程中的一系列处理。或者，车载ecu2的控制部20也可以在执行s105的处理之后，为了再次实施s104和s105而进行循环处理，持续进行车载装置的控制。
[0076]
根据本实施方式，车载ecu2的控制部20能够基于由在存储部21的第二区域212中存储的有效性信息表示的内容(位标记的值)，选择性地执行检查用程序或控制程序，高效地使用该检查用程序。
[0077]
在第二区域212中存储的有效性信息在车载ecu2或车辆c的制造工序中从有效变更为无效，所以，在做完制造工序而上市的车辆c中，有效性信息改写成表示无效(检查用程序无效)的状态。因此，能够高效地防止在市场上市的车辆c中无意中执行检查用程序。在此基础上，在车辆c发生了故障等的情况下，通过将改写装置7直接连接到车载ecu2的受理部24，从而通过从该改写装置7输出的数据或信号等，将有效性信息从无效改写成有效，能够在车辆c的修理工序等中再次执行检查用程序。
[0078]
根据本实施方式，将存储检查用程序的有效性信息的第二区域212划分为限制来自正在执行控制程序的控制部20的访问的区域。即，将有效性信息存储于未定义执行控制程序的控制部20在访问存储部21(第一区域211)时使用的逻辑地址的第二区域212中。因此，在车辆c的行驶时等通常时候，能够高效地防止由执行控制程序的控制部20改变有效性信息。
[0079]
(实施方式2)
[0080]
图4是例示出实施方式2(请求信号)所涉及的车载ecu2的控制部20的处理的流程图。车载ecu2的控制部20例如在将进行车辆c的起动或停止的点火开关(ig开关)接通的情况等向车载ecu2进行了起动请求的情况下，进行以下的处理。车载ecu2的控制部20与实施方式1的处理s101同样地进行s201的处理。
[0081]
车载ecu2的控制部20判定是否受理了与检查用程序相关的请求(s202)。如上所述，在车载ecu2等的制造阶段或维修作业时，经由车载ecu2的通信部23连接有外部装置6。在该情况下，在车载ecu2起动时，从该外部装置6输出(发送)与检查用程序的执行请求(进入请求)相关的请求信号。在从外部装置6输出了请求信号的情况下，控制部20经由通信部23取得(接收)该请求信号。
[0082]
外部装置6在输出请求信号时，也可以通过与在搭载于车辆c内的其他车载ecu之间的通信中使用的标识符不同的标识符来输出该请求信号。在例如通过can来进行车辆c内的车载ecu2之间的通信的情况下，该标识符相当于can－id，在例如通过以太网(tcp/ip)来进行的情况下，该标识符也可以相当于端口编号。通过这样使标识符不同，从而车载ecu2的
控制部20在进行取得从外部装置6发送的请求信号的处理时，能够高效地排除由搭载于车辆c内的其他车载ecu之间的通信造成的影响，保障该请求信号的取得处理中的可靠性。在外部装置6未连接于通信部23的情况下，控制部20不取得请求信号(进入请求)。
[0083]
在受理了与检查用程序相关的请求的情况下(s202：“是”)，控制部20与实施方式1的处理s102同样地进行s203的处理。控制部20与实施方式1中的s102之后的处理即s103至s105、s1032同样地，进行s204至s206、s2042的处理。
[0084]
在未受理与检查用程序相关的请求的情况下(s202：“否”)，控制部20与实施方式1的处理s104、s105同样地进行s205、s206的处理。车载ecu2的控制部20在执行s206或s2042的处理后，结束本流程中的一系列处理。或者，车载ecu2的控制部20也可以在执行s206的处理之后，为了再次实施s205和s206，进行循环处理，持续进行车载装置的控制。
[0085]
根据本实施方式，车载ecu2的控制部20在取得从车辆c外的外部装置6发送的请求信号的情况下，参照在存储部21中存储的有效性信息，基于该有效性信息，判定检查用程序有效还是无效。因此，为了执行检查用程序，需要具备取得请求信号及检查用程序有效这2个要件，使执行检查用程序的要件更加严格化，能够高效地防止错误地执行该检查用程序。
[0086]
(实施方式3)
[0087]
图5是例示出实施方式3(监视)所涉及的车载ecu2的控制部20的处理的流程图。车载ecu2的控制部20例如在将进行车辆c的起动或停止的点火开关(ig开关)接通的情况等向车载ecu2进行了起动请求的情况下，进行以下的处理。车载ecu2的控制部20与实施方式1的处理s101至s104及s1031、s1032同样地，进行s301至s304及s3031、s3032的处理。
[0088]
车载ecu2的控制部20通过在s304的处理中执行控制程序，从而与实施方式1的s105同样地进行开始车载装置的控制的处理(s305)，并且进行检查用程序是否无效的判定(s306)。正在执行控制程序的控制部20也可以通过生成例如子进程，从而进行s305的处理即与车载装置的控制相关的处理，并且将进行检查用程序是否无效的判定的处理作为并行处理来实施。车载ecu2的控制部20在执行s305、s307或s3032的处理后，结束本流程中的一系列处理。或者，车载ecu2的控制部20也可以在执行s305、s307的处理之后，为了再次实施s305、s306和s307，进行循环处理，持续进行车载装置的控制及表示检查用程序无效的有效性信息的监视。
[0089]
控制部20与s303的处理同样地，参照在第二区域212中存储(储存)的有效性信息，取得该有效性信息的值。有效性信息例如也可以通过由0或1表示的位标记来定义，0表示检查用程序无效，1表示检查用程序有效。
[0090]
在本流程中的一系列处理中，在s303中，在检查用程序并非有效(0：检查用程序无效)这样的条件下，进行s306的处理，在这些处理之间，表示检查用程序的有效性的有效性信息(位标记)不是通过控制部20执行的控制程序来变更的信息。然而，在存储有效性信息的第二区域212中，例如由于电噪声或宇宙射线的碰撞等而发生位反转(从0反转成1)的现象在可能性上也可能存在。因此，控制部20即使正在执行控制程序，也生成例如子进程而持续进行检查程序是否无效的监视，从而能够探测由于位反转等而无意中变更了有效性信息的事件。
[0091]
控制部20在进行检查程序是否无效的监视时，也可以基于物理地址，对存储有效性信息的第二区域212进行访问，并参照该有效性信息。因此，正在执行控制程序的控制部
20关于用于控制车载装置的处理，基于逻辑地址，对存储部21的第一区域211进行参照和写入系统的访问，关于检查程序是否无效的监视处理，基于物理地址，对存储部21的第二区域212进行参照系统的访问。通过这样与处理的种类相应地使访问存储部21的地址系统不同，从而能够保障对在第二区域212中存储的有效性信息的稳健性。
[0092]
在检查用程序无效的情况下(s306：“是”)，车载ecu2的控制部20为了再次执行s306的处理，进行循环处理。通过进行该循环处理，从而正在执行控制程序的控制部20能够周期性地持续进行检查程序是否无效的监视。
[0093]
在检查用程序并非无效的情况下(s306：“否”)，即在检查用程序有效的情况下，车载ecu2的控制部20输出变更了有效性信息这一内容。
[0094]
检查用程序并非无效的情况是指，如上所述，由于位反转等而无意中将有效性信息从无效变更为有效的情况。在检查用程序有效的情况下，车载ecu2的控制部20将表示无意中将有效性信息从无效变更为有效的信息例如经由车载中继装置1输出到hmi装置，或经由车载中继装置1和车外通信装置11输出到外部服务器。通过将变更了有效性信息这一内容输出到例如hmi装置12或外部服务器，从而能够将该内容高效地通知给车辆c的操作者或外部服务器的管理者。
[0095]
应当认为，本次公开的实施方式在所有方面都是示例性的，而非限制性的。本发明的范围不通过上述含义，而通过权利要求书来表示，旨在包含与权利要求书等同的含义和范围内的全部变更。
[0096]
附图标记说明
[0097]
c车辆
[0098]
s车载系统
[0099]
1车载中继装置(网关)
[0100]
10通信线
[0101]
11车外通信装置
[0102]
12hmi装置
[0103]
2车载ecu
[0104]
20控制部
[0105]
21存储部
[0106]
210启动程序区域
[0107]
211第一区域
[0108]
212第二区域
[0109]
21a记录介质
[0110]
22输入输出i/f
[0111]
221信号线
[0112]
23通信部
[0113]
24受理部
[0114]
3电气接线箱(车载装置)
[0115]
31继电器
[0116]
4蓄电装置
[0117]
41电力线
[0118]
5车载负载
[0119]
6外部装置(诊察装置)
[0120]
7改写装置。