DE102004009359A1

DE102004009359A1 - Elektronische Steuereinheit zur Überwachung eines Mikrocomputers

Info

Publication number: DE102004009359A1
Application number: DE102004009359A
Authority: DE
Inventors: Hideki Kariya Kabune; Hiromi Kariya Maehata
Original assignee: Denso Corp; Advics Co Ltd
Current assignee: Denso Corp; Advics Co Ltd
Priority date: 2003-02-27
Filing date: 2004-02-26
Publication date: 2004-09-16
Anticipated expiration: 2024-02-27
Also published as: US20040172580A1; DE102004009359B4; US7305587B2; JP2004259137A

Abstract

Eine ECU (100, 200) beinhaltet einen Überwachungsschaltkreis (2) mit einem Zähler (3) zur Auswahl einer Zuweisungsnummer (21) eines Zuweisungssignals (20), eine serielle Kommunikationseinheit (4) zur Übertragung des Zuweisungssignals (20) der Zuweisungsnummer (21), ausgewählt durch den Zähler (3), und zum Empfang eines Antwortsignals von einem Mikrocomputer (1). Die ECU beinhaltet auch einen Vergleichs-/Beurteilungsschaltkreis (5) zum Vergleich einer Antwortnummer (11) mit einer korrekten Antwortnummer (30) und zum Inkrementieren der Zuweisungsnummer (21) des durch den Zähler ausgewählten Zuweisungssignals um 1, wenn die beiden Antworten übereinstimmen. Dieser Schaltkreis (5) behält die gleich Zuweisungsnummer (21) bei, wenn die Antworten nicht übereinstimmen. Der Mikrocomputer (1) führt einen Betrieb in Übereinstimmung mit der Zuweisungsnummer (21) des Zuweisungssignals (20) durch, welches empfangen worden ist und überträgt das Betriebsergebnis unter Verwendung eines Antwortsignals (10).

Description

Die vorliegende Erfindung betrifft eine elektronische Steuereinheit zur Steuerung eines Stellgliedes mittels eines Mikrocomputers.

Das japanische Gebrauchsmuster 5-365544 ("Patentveröffentlichung 1"; Seite 2, 1) beschreibt eine Mikrocomputer-Steuervorrichtung mit einem Mikrocomputer zur Ausgabe eines Steuersignales, mit welchem eine bestimmte Last gesteuert wird, einem Überwachungsschaltkreis ("watchdog circuit") zur Erkennung eines anormalen Betriebszustandes des Mikrocomputers und zum Ausgeben eines Reset-Signales an den Mikrocomputer für einen Reset-Vorgang; einem Ausfallsicherheitsschaltkreis zur Ausgabe eines Ausfallsicherheitssignales in Antwort auf das Reset-Signal des Überwachungsschaltkreises; und einem Signalschalt-Schaltkreis zum Schalten des Steuersignales des Mikrocomputers auf die Ausfallsicherheitsseite in Antwort auf das Ausfallsicherheitssignal.

Diese Mikrocomputersteuervorrichtung, wie sie in der Patentveröffentlichung 1 beschrieben ist, ist jedoch für Systeme wie ABS, VSC, etc. ungeeignet, da die bloße Überwachung eines Überwachungsimpulses nicht ausreichend ist. Eine Überwachung auf einem höheren Pegel (bei welchem ein Befehl genau durchgeführt wird, etc.) ist notwendig.

Die Verwendung von zwei Mikrocomputern zur Durchführung einer Funktionsüberprüfung, wobei ein wechselseitiger Datenaustausch zwischen ihnen durchgeführt wird, und zum Vergleichen der Überprüfungsergebnisse löst das Problem nicht wirksam, da die Kosten zu hoch werden, so daß die Wettbewerbsfähigkeiten des Endproduktes verschlechtert werden.

Aufgabe der vorliegenden Erfindung ist es demnach, eine elektronische Steuereinheit zu schaffen, welche preiswert im Aufbau ist und sicher überwachen kann, ob ein Mikrocomputer normal arbeitet oder nicht.

Zur Lösung dieser Aufgabe ist gemäß einem ersten Aspekt der vorliegenden Erfindung ein Überwachungsschaltkreis mit einer Kommunikationseinheit und einer Vergleichs-/Beurteilungseinheit ausgestattet. Die Kommunikationseinheit überträgt eine Zuweisungsnummer an einen Mikrocomputer und empfängt von dem Mikrocomputer eine Antwort. Die Vergleichs-/Beurteilungseinheit vergleicht dann die vom Mikrocomputer empfangene Antwort mit einer korrekten Antwort, um die Funktion des Mikrocomputers zu überprüfen.

Der Mikrocomputer steuert ein Stellglied und führt auch einen bestimmten selbstfunktionierenden Überprüfungsvorgang abhängig von der empfangenen Zuweisungsnummer durch und überträgt das Betriebsergebnis als Antwort an den Überwachungsschaltkreis.

Die elektronische Steuereinheit ist so ausgelegt, daß der Mikrocomputer den selbstfunktionierenden Überprüfungsvorgang abhängig von der empfangenen Zuweisungsnummer durchführt und der Überwachungsschaltkreis überprüft die Antwort als Betriebsergebnis hiervon. Somit kann mit Sicherheit überwacht werden, ob der Mikrocomputer normal arbeitet. Weiterhin wird nur ein Mikrocomputer benötigt, was die Kosten niedrig hält.

Gemäß einem zweiten Aspekt ist ein Überwachungsschaltkreis mit einer Zuweisungsnummer-Auswahleinheit, einer Kommunikationseinheit und einer Vergleichs-/Beurteilungseinheit ausgestattet. Die Zuweisungsnummer-Auswahleinheit des Überwachungsschaltkreises wählt eine Zuweisungsnummer, welche einem Mikrocomputer zu übertragen ist. Die Kommunikationseinheit des Überwachungsschaltkreises überträgt die von der Zuweisungsnummer-Auswahleinheit ausgewählte Zuweisungsnummer an den Mikrocomputer und empfängt eine Antwort vom Mikrocomputer.

Die Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreises vergleicht die so empfangene Antwort mit einer korrekten Antwort. Wenn die Antwort mit der korrekten Antwort übereinstimmt, erneuert die Vergleichs-/Beurteilungseinheit die von der Zuweisungsnummer-Auswahleinheit auszuwählende Zuweisungsnummer, überträgt die erneuerte Zuweisungsnummer als nächste Zuweisungsnummer _ an den Mikrocomputer und vergleicht dann eine empfangene Antwort mit einer korrekten Antwort.

Andererseits, wenn die Antwort nicht mit der korrekten Antwort übereinstimmt, erneuert die Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreises die von der Zuweisungsnummer-Auswahleinheit auszuwählende Zuweisungsnummer nicht und wählt die vorher übertragene Zuweisungsnummer erneut. Die Kommunikationseinheit überträgt die betreffende Zuweisungsnummer an den Mikrocomputer und dann vergleicht die Vergleichs-/Beurteilungseinheit die empfangene Antwort mit einer korrekten Antwort.

Der Mikrocomputer steuert ein Stellglied und führt auch einen selbstfunktionierenden Überprüfungsvorgang durch und überträgt das Betriebsergebnis als Antwort an den Überwachungsschaltkreis.

Eine elektronische Steuereinheit ist so ausgelegt, daß der Mikrocomputer den selbstfunktionierenden Überprüfungsvorgang abhängig von der empfangenen Zuweisungsnummer durchführt und die Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreises überprüft die Antwort als Betriebsergebnis. Somit kann mit hoher Präzision überwacht werden, ob der Mikrocomputer normal arbeitet.

Wenn die empfangene Antwort und die korrekte Antwort nicht übereinstimmend sind, wird die gleiche Zuweisungsnummer: beibehalten, diese Zuweisungsnummer wird dem Mikrocomputer erneut übertragen und die empfangene Antwort und die korrekte Antwort werden miteinander verglichen. Infolgedessen kann unter der gleichen Bedingung (der gleichen Zuweisungsnummer) die Funktion des Mikrocomputers überprüft werden. Da weiterhin nur ein Mikrocomputer verwendet wird, sind die Kosten gering.

Wenn gemäß einem dritten Aspekt irgendetwas verursacht, daß der Mikrocomputer in einen anormalen Zustand verfällt, wird er daran gehindert, eine Antwort zu übertragen, so daß eine falsche Antwort nicht übertragen wird.

Wenn daher der Überwachungsschaltkreis keine Antwort innerhalb einer bestimmten Zeitdauer ausgehend von dem Zeitpunkt aus empfangen kann, zu dem eine Zuweisungsnummer dem Mikrocomputer übertragen worden ist, oder wenn eine Nicht-Übereinstimmung zwischen der empfangenen Antwort und der korrekten Antwort eine bestimmte Anzahl mal empfangen wird, beurteilt der Überwachungsschaltkreis, daß sich der Mikrocomputer in einem anormalen Zustand befindet.

Infolgedessen kann ein Overflow oder eine Betriebsunterbrechung des Mikrocomputers mit Sicherheit erkannt werden, wobei ein vorübergehender und/oder selten auftretender Betriebsfehler, beispielsweise ein weicher Fehler aufgrund von α-Strahlen (vorübergehend gestörte Bits des RAM) oder dergleichen, der nur ein vorübergehender Fehler des Mikrocomputers ist, nicht als Anormalität erkannt wird, so daß Störungen des Computers mit Sicherheit entdeckt werden können.

Gemäß einem vierten Aspekt überträgt der Mikrocomputer die Antwort eines unabsichtlich falschen Betriebsergebnisses zu jeder bestimmten Anzahl von Kommunikationen an den Überwachungsschaltkreis, um hierdurch die Funktion des Überwachungsschaltkreises zu überprüfen. Somit kann von dem Mikrocomputer überprüft werden, ob der Überwachungsschaltkreis normal arbeitet.

Wenn gemäß einem fünften Aspekt beurteilt wird, daß der Mikrocomputer in einem anormalen Zustand ist, unterbindet der Überwachungsschaltkreis den Betrieb des Stellglieds durch den Mikrocomputer und hält das Auftreten der Anormalität fest. Infolgedessen kann die elektronische Steuereinheit bei einem System angewendet werden, welches für Sicherheitsfragen zuständig ist, beispielsweise ABS, VSC oder dergleichen.

Gemäß einem sechsten, zehnten und vierzehnten Aspekt hat der Überwachungsschaltkreis eine Vorrichtung zur Überprüfung, ob der Mikrocomputer in einen normalen Zustand zurückgekehrt ist, nachdem beurteilt worden ist, daß sich der Mikrocomputer in einem anormalen Zustand befindet.

Wie in einem zehnten Aspekt beschrieben, wird, wenn die Versorgung eingeschaltet wird, der Mikrocomputer in einen anormalen Zustand versetzt, so daß die normale Steuerverarbeitung durchgeführt wird, nachdem der Mikro computer mit Sicherheit als sich im normalen Zustand befindlich beurteilt worden ist. Somit kann eine elektronische Steuereinheit mit höherer Sicherheit geschaffen werden.

Gemäß einem vierzehnten Aspekt überträgt nach dem Beginn des Reset der Computer eine Antwort, welche ein absichtlich falsches Betriebsergebnis bezüglich einer Zuweisungsnummer wenigstens einmal enthält, um zu überprüfen, ob der Überwachungsschaltkreis eine korrekte Beurteilung einer Anormalität des Mikrocomputers durchführen kann und eine sichere Verarbeitung bei einer Anormalität durchführen kann (Schalten des Steuersystems auf die sichere Seite). Somit kann eine elektronische Steuereinheit mit höherer Sicherheit geschaffen werden.

Gemäß einem siebten Aspekt wird als eine Einrichtung zur Beurteilung, ob der Mikrocomputer in einen normalen Zustand zurückversetzt worden ist, eine bestimmte Anzahl von aufeinanderfolgenden Übereinstimmungen zwischen der Antwort und der korrekten Antwort verwendet. von daher kann der Anormalitäts-Verarbeitungsmodus von der Bestätigung befreit werden, daß der Mikrocomputer mit Sicherheit in den normalen Zustand zurückversetzt worden ist. Somit kann eine elektronische Steuereinheit mit höherer Sicherheit geschaffen werden.

Gemäß einem achten Aspekt wird als eine Einrichtung zur Beurteilung der Zurückversetzung des Mikrocomputers in den normalen Zustand der Empfang eines normalen Rücksetzsignales verwendet. Somit kann der Anormalitäts-Verarbeitungsmodus früher freigegeben werden, so daß die Betriebsüberprüfungszeit für den Überwachungsschaltkreis verkürzt werden kann.

Wenn gemäß einem neunten Aspekt der Mikrocomputer in einem derart instabilen Zustand ist, daß er abwechselnd den anormalen Zustand und den normalen Zustand wiederholt, wird abgeschätzt, daß eine Anormalität im Mikrocomputer aufgetreten ist. Weiterhin wird die Häufigkeit, mit der der Überwachungsschaltkreis beurteilen kann, daß der Mikrocomputer in einen normalen Zustand zurückversetzt worden ist, auf eine bestimmte Anzahl beschränkt. Wenn daher der Mikrocomputer unter einer Anormalität leidet, kann diese Anormalität mit Sicherheit festgestellt werden.

Wenn gemäß einem elften Aspekt beurteilt wird, daß der Mikrocomputer in den normalen Zustand zurückversetzt worden ist, erlaubt der Überwachungsschaltkreis, daß der Mikrocomputer das Stellglied betreibt und beendet die _ Feststellung, daß eine anormale Funktion vorliegt. Wenn daher der Mikrocomputer in den normalen Zustand zurückversetzt worden ist, kann die normale elektronische Steuerung wieder aufgenommen werden.

Wenn gemäß einem zwölften Aspekt der Mikrocomputer als sich in einem anormalen Zustand befindlich beurteilt wird, setzt der Überwachungsschaltkreis den Mikrocomputer zurück und startet dann den Mikrocomputer erneut, um diesen zu initialisieren. Somit kann der Mikrocomputer aus einer vorübergehenden Anormalität, beispielsweise aufgrund eines Overflows wegen Rauschen oder dergleichen zurückgesetzt werden, so daß diese Erfindung bevorzugt bei einem System anwendbar ist, bei dem eine Unterbrechung der Steuerung nicht vorteilhaft ist.

Im Fall einer derartigen permanenten Anormalität derart, daß diese Anormalität auch dann wieder auftritt, wenn der Mikrocomputer zurückgesetzt und neu initialisiert wird, ist es notwendig, das System mit Sicherheit anzuhalten. Somit ist gemäß einem dreizehnten Aspekt die Häufigkeit, mit der der Mikrocomputer von dem Überwachungsschaltkreis zurückgesetzt und neu gestartet wird, beschränkt und wenn die Reset-/Neustart-Frequenz die obengenannte Frequenz übersteigt, wird der Mikrocomputer bleibend zurückgesetzt und in dem Ausgangszustand gehalten.

Hierbei unterbindet der Überwachungsschaltkreis auch, daß der Mikrocomputer das Stellglied steuert, bringt das Stellglied auf die sichere Seite und hält die Anormalität fest, so daß eine elektronische Steuereinheit mit hoher Sicherheit gewährleistet ist.

Weitere Einzelheiten, Aspekte und Vorteile der vorliegenden Erfindung ergeben sich besser aus der nachfolgenden detaillierten Beschreibung in Zusammenschau mit der Zeichnung.

Es zeigt:
1 ein Blockdiagramm einer elektronischen Steuereinheit für eine ABS-Steuerung gemäß einer ersten bevorzugten Ausführungsform;
2 ein Ablaufdiagramm eines von einem Mikrocomputer durchgeführten Ablaufschemas, wobei jede elektronische Steuereinheit mit einem derartigen Mikrocomputer ausgestattet ist;
3 ein Ablaufdiagramm eines Programmablaufs, welcher vom Mikrocomputer zur Initialisierung der elektronischen Steuereinheit durchgeführt wird;
4 ein Blockdiagramm einer elektronischen Steuereinheit gemäß einer zweiten bevorzugten Ausführungsform; und
5 ein Flußdiagramm eines Programmablaufs, welcher vom Mikrocomputer zur Initialisierung der elektronischen Steuereinheit durchgeführt wird.
Bevorzugte Ausführungsformen der vorliegenden Erfindung werden nachfolgend unter Bezug auf die beigefügte Zeichung beschrieben.
(Erste Ausführungsform)
Eine elektronische Steuereinheit 100 für eine ABS-Steuerung gemäß einer Ausführungsform der vorliegenden Erfindung wird unter Bezug auf die 1 bis 3 näher beschrieben. Die elektronische Steuereinheit 100 ist ausgestattet mit einem Mikrocomputer 1 zur Steuerung eines Hydraulikzylinders (nicht gezeigt) auf der Grundlage von Sensorausgängen von vier Fahrzeuggeschwindigkeitssensoren (nicht gezeigt) und einem Überwachungsschaltkreis 2 zur Überwachung der Funktion des Mikrocomputers 1. Der Mikrocomputer arbeitet auf der Grundlage des Flußdiagramms von 2 (Schritte 201 bis 212). Genauer gesagt, der Mikrocomputer 1 führt einen bestimmten Zuweisungsvorgang (Schritt 203) durch, um die Funktion des Mikrocomputers 1 selbst abhängig von einer empfangenen Zuweisungsnummer 2 zu überprüfen und führt eine Antwortkorrekturverarbeitung (Schritt 204) abhängig von dem Betriebsergebnis durch, um eine Antwortnummer 11 zu berechnen. Die empfangene Zuweisungsnummer 21 ist einem Eingangssignal 20 überlagert. Danach überträgt der Mikrocomputer 1 die Antwortnummer 11, welche so berechnet worden ist, an den Überwachungsschaltkreis 2. Die Antwortnummer 11 ist einem Antwortsignal 10 überlagert.
In diesem Fall überträgt der Mikrocomputer 1 absichtlich ein Antwortsignal 10 mit einer falschen Antwortnummer 11 an den Überwachungsschaltkreis 2 alle acht Male (im Schritt 202 sind die unteren drei Bits von M "000"). Der Mikrocomputer 1 führt eine Beurteilung hinsichtlich einer falschen Antwort durch, um zu überprüfen, ob ein Zuweisungssignal 20 mit der gleichen Zuweisungsnummer 21, welche soeben vorher übertragen worden ist, übertragen wird (im Schritt 211 ist die momentane Zuweisungsnummer identisch zu der vorhergehenden Zuweisungsnummer), wodurch der Betrieb des Überwachungsschaltkreises überprüft wird.
Wenn eine Energieversorgungsquelle zum Betrieb der elektronischen Steuereinheit 100 eingeschaltet wird (Initialisierungszeitpunkt), überträgt der Mikrocomputer 1 absichtlich das Antwortsignal 10 mit der falschen Antwortnummer 11 (Schritt 309) an den Überwachungsschaltkreis dreimal aufeinanderfolgend, um die Steuerung des Hydraulikzylinders in einen Sperrzustand zu versetzen (Antriebsverhinderungszustand), wodurch der Betrieb des Überwachungsschaltkreises 2 überprüft wird (JA in Schritt 314). Danach wird ein Antriebsverhinderungs-Freigabeschlüsselsignal an den Überwachungsschaltkreis 2 übertragen.
Wenn ein Antriebsverhinderungs-Freigabeschlüsselsignal-Überprüfungsschaltkreis 71 das Antriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibt der Antriebsverhinderungs-Freigabeschaltkreis 7 den Antriebsverhinderungszustand des Hydraulikzylinders frei (das Freigeben wird bis zu drei Mal durchgeführt).
Bezugnehmend auf 1, so weist der Überwachungsschaltkreis 2 einen Zähler 3 (Zuweisungsnummer-Auswahl einheit), eine serielle Kommunikationseinheit 4 (Kommunikationseinheit), einen Vergleichs-/Beurteilungsschaltkreis 5 (Vergleichs-/Beurteilungseinheit), eine Antriebsverhinderungseinheit 6 und einen Freigabeschaltkreis 7 für die Antriebsverhinderung auf.
Der Zähler 3 dient dazu, ein Zuweisungssignal zu erzeugen, welches eine bestimmte Zuweisungsnummer 21 von vorzugsweise 8 Bits enthält. Das Zuweisungssignal (oder die Zuweisungsnummer) 21, welches von dem Zähler 3 ausgegeben wird, wird in einen Decoder 31 eingegeben, um eine korrekte Antwortnummer 30 auszugeben (korrekte Antwortnummer, welche in 1 durch C.A.N. dargestellt ist) und weiterhin wird das Zuweisungssignal der seriellen Kommunikationseinheit 4 eingegeben.
Zu jeder bestimmten Zeit überträgt die serielle Kommunikationseinheit 4, welche eine serielle Kommunikation mit dem Mikrocomputer macht, das Zuweisungssignal 20 (SIN), empfängt ein Antwortsignal 10 (SOUT) vom Mikrocomputer 1 und gibt eine Antwortnummer 11 mit 8 Bits (die in einem Antwortsignal A.N. in 1 enthaltene Antwort) in einen Vergleichs-/Beurteilungsabschnitt 51 des Vergleichs-/Beurteilungsschaltkreises 5 ein.
Der Vergleichs-/Beurteilungsschaltkreis 5 weist den Vergleichs-/Beurteilungsabschnitt 51 und einen Inverterschaltkreis 52 auf. Der Vergleichs-/Beurteilungsabschnitt 51 vergleicht die Antwortnummer 11 mit der korrekten Antwortnummer 30, welche vom Decoder 31 ausgegeben wird. Wenn die Antwortnummer 11 und die korrekte Antwortnummer 30 miteinander übereinstimmend sind (Antwortnummer 11 = korrekte Antwortnummer 30), gibt der Vergleichs-/Beurteilungsabschnitt 51 über den Inverterschaltkreis 52 ein Zuweisungserneuerungssignal (in 1 mit A.R. dar gestellt) an den Zähler 3 aus, um die Zuweisungsnummer 21 des vom Zähler 3 zu übertragenden Zuweisungssignales um 1 zu inkrementieren.
Wenn die Antwortnummer 11 und die korrekte Antwortnummer 30 nicht übereinstimmend sind (NG: Antwortnummer 11 ≠ korrekte Antwortnummer 30) wird über dem Inverterschaltkreis 52 kein Zusweisungserneuerungssignal an den Zähler 3 ausgegeben und somit wird das Zuweisungssignal 21 mit der gleichen Zuweisungsnummer wie die vorhergehende Zuweisungsnummer, welches gerade vorher übertragen worden ist, vom Zähler 3 ausgegeben.
Die Antriebsverhinderungseinheit 6 weist einen dreifach-NG-Beurteilungsabschnitt 61, einen Nichterneuerungs-Beurteilungsabschnitt 62, einen ODER-Schaltkreis 63 und einen Flip-Flop-Schaltkreis 64 auf.
Der dreifach-NG-Beurteilungsabschnitt 61 beurteilt, ob die Häufigkeit, mit der NG, welches sequenziell von dem Vergleichs-/Beurteilungsabschnitt 51 beurteilt worden ist, 3 oder mehr erreicht. Wenn die fortlaufende NG-Beurteilungshäufigkeit 3 erreicht, gibt der dreifach-NG-Beurteilungsabschnitt 61 einen Ausgang mit logisch hohem Pegel aus.
Der nichterneuerungs-Beurteilungsabschnitt 62 beurteilt auf der Grundlage des Antwortnummer-Erneuerungssignals von der seriellen Kommunikationseinheit 4, ob die Antwortnummer innerhalb einer bestimmten Zeit (30ms) erneuert worden ist. Wenn die Antwortnummer nicht erneuert worden ist, gibt der nichterneuerungs-Beurteilungsabschnitt 62 ein Signal mit logisch hohem Pegel aus.
Wenn der ODER-Schaltkreis 63 einen Ausgang mit hohem logischen Pegel von dem dreifach-NG-Beurteilungsabschnitt 61, dem Nichterneuerungs-Beurteilungsabschnitt 62 oder ein CPU-Resetsignal empfängt, beurteilt der ODER-Schaltkreis 63, daß der Mikrocomputer 1 in einen anormalen Betriebszustand verfallen ist und gibt einen Ausgang mit hohem logischen Pegel an den Flip-Flop-Schaltkreis 64. Auf diese Weise verhindert der Flip-Flop-Schaltkreis 64 die Steuerung des Hydraulikzylinders durch den Mikrocomputer 1 (d. h. es liegt ein Betriebsverhinderungszustand vor).
Wenn der Mikrocomputer 1 in den anormalen Betriebszustand verfällt, gibt ein Resetsignal-Übertragungsschaltkreis (nicht gezeigt) des Überwachungsschaltkreises 2 ein Resetsignal an den Mikrocomputer 1 aus. Wenn der Mikrocomputer 1 auf der Grundlage dieses Resetsignales in den normalen Zustand zurückvesetzt wird, überträgt der Mikrocomputer 1 absichtlich in Antwort auf das Zuweisungssignal 20 das Antwortsignal 10, welches das falsche Betriebsergebnis enthält, an den Überwachungsschaltkreis 2, um die Funktion des Überwachungsschaltkreises 2 zu überprüfen. Mit anderen Worten, der Mikrocomputer 1 überprüft hier, ob der Überwachungsschaltkreis 2 korrekt arbeitet.
Der Antriebsverhinderungs-Freigabeschaltkreis 7 weist einen Antriebsverhinderungs-Freigabeschlüsselsignalschaltkreis 71, einen Zählerschaltkreis 72, einen Flip-Flop-Schaltkreis 73, einen ODER-Schaltkreis 74, einen Inverterschaltkreis 75 und einen UND-Schaltkreis 76 auf.
Wenn von dem Mikrocomputer 1 über die serielle Kommunikationseinheit 4 ein Freigabeschlüsselsignal übertragen wird, beurteilt der Schlüsselsignalschaltkreis 71, ob der Freigabeschlüssel mit dem Antriebsverhinderungs-Freigabeschlüssel übereinstimmend ist oder nicht.
Für den Fall, daß der Flip-Flop-Schaltkreis 64 das Stellglied (Hydraulikzylinder) in den Antriebsverhinderungszustand versetzt, wenn der Schlüsselsignalüberprüfungsschaltkreis 71 das Antriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibt der Freigabeschaltkreis 7 den Antriebsverhinderungszustand des Hydraulikzylinders bis zu drei mal frei.
(Zweite Ausführungsform)
Nachfolgend wird die Arbeitsweise einer elektronischen Steuereinheit 200 für eine ABS-Steuerung (entsprechend den ersten bis fünften und zwölften bis vierzehnten Aspekten der Erfindung) gemäß einer zweiten bevorzugten Ausführungsform unter Bezugnahme auf 4 beschrieben.
Wie die elektronische Steuereinheit 100 weist die elektronische Steuereinheit 200 einen Mikrocomputer 1 zur Steuerung eines (nicht gezeigten) Hydraulikzylinders auf der Grundlage von Sensorausgängen von vier Fahrzeuggeschwindigkeitssensoren (nicht gezeigt) und einen Überwachungsschaltkreis 2 zur Überwachung der Funktion des Mikrocomputers 1 auf.
Die elektronische Steuereinheit 200 ist mit einem Resetschaltkreis 8 anstelle des Antriebsverhinderungs-Freigabeschaltkreises 7 der ersten Ausführungsform ausgestattet. Der Resetschaltkreis 8 weist einen Resetschaltkreis 81 für Versorgung EIN, einen Resetpulserzeugungsschaltkreis 82, einen Zähler 83, einen ODER-Schaltkreis 84 und einen Inverterschaltkreis 85 auf. Wenn beurteilt wird, daß der Mikrocomputer 1 in einem anormalen Zustand ist, gibt der Resetschaltkreis 8 ein Resetsignal an eine Signalleitung aus, welche mit einem Resetanschluß verbunden ist, um den Mikrocomputer 1 zurückzusetzen.
Der Mikrocomputer arbeitet normalerweise gemäß dem Flußdiagramm (Schritt 201 bis 211) von 2. Dieser Ablauf ist der gleiche wie bei der elektronischen Steuereinheit 100.
Wenn eine Energieversorgungsquelle zum Betrieb der elektronischen Steuereinheit 200 eingeschaltet wird (Initialisierung), überträgt der Mikrocomputer 1 absichtlich ein Antwortsignal 10 mit einer falschen Antwortnummer an den Überwachungsschaltkreis, und zwar dreimal aufeinanderfolgend, wie in dem Flußdiagramm von 5 gezeigt (Schritte 501 bis 518), so daß der Mikrokomputer 1 sich selbst zurücksetzt und somit der Betrieb des Überwachungsschaltkreises überprüft wird (EIN in Schritt 503).
Einige der vielen Vorteile, welche durch die elektronischen Steuereinheiten 100 und 200 geschaffen werden, werden nachfolgend beschrieben.
(A) Die elektronischen Steuereinheiten 100 und 200 sind so ausgelegt, daß der Vergleichs-/Beurteilungsschaltkreis 5 des Überwachungsschalktreises 2 die Antwortnummer 11 mit der korrekten Antwortnummer 30 vergleicht, um die Funktion des Mikrocomputers 1 zu überprüfen. Somit kann mit hoher Präzision überwacht werden, ob der Mikrocomputer 1 normal arbeitet oder nicht. Weiterhin wird nur ein Mikrocomputer verwendet, so daß die Kosten verringert sind.
Wenn die Antwortnummer 11 und die korrekte Antwortnummer 30 nicht übereinstimmend sind, hält der Überwachungsschaltkreis die Zuweisungsnummer 21 ungeändert, überträgt das Zuweisungssignal 20 entsprechend der Zuweisungsnummer 21 erneut an den Mikrocomputer 1 und vergleicht die Antwortnummer 11 mit der korrekten Antwort nummer 30 erneut. Das heißt, wenn die Antwort falsch ist, wird eine Neuüberprüfung unter den gleichen Bedingungen (unter Verwendung der gleichen Zuweisungsnummer) durchgeführt, so daß somit sicher identifiziert werden kann, ob die falsche Antwort durch Störrauschen oder dergleichen oder durch eine Fehlerfunktion des Mikrocomputers 1 verursacht wurde.
(B) Wenn der Mikrocomputer 1 durch irgendeinen Grund in einen anormalen Zustand verfällt, wird es unmöglich die Antwortnummer 11 zu übertragen, oder die Antwortnummer 11 und die korrekte Antwortnummer 30 sind nicht mehr in Übereinstimmung.
Bei den elektronischen Steuereinheiten 100 und 200 wird, wenn die Antwortnummer nicht innerhalb von 30 ms von der Zeit an erneuert wird, zu der das Zulassungssignal 20 dem Mikrocomputer 1 übertragen worden ist, oder wenn eine Nichtübereinstimmung zwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimal hintereinander beurteilt wird, wird darauf geschlossen, daß der Mikrocomputer 1 sich in einem anormalen Zustand befindet und somit wird eine Steuerung des Hydraulikzylinders durch den Mikrocomputer 1 unterbunden.
Weiterhin, wenn die Energiequellenversorgung eingeschaltet wird, wird der Zustand des Überwachungsschaltkreises 2 in einen Beurteilungszustand durch das Resetsignal versetzt, welches einer Anormalität des Mikrocomputers entspricht und die Steuerung des Hydraulikzylinders durch den Mikrocomputer 1 wird vom Überwachungsschaltkreis 2 verhindert. Das heißt, der Mikrocomputer wird in den Antriebsverhinderungszustand versetzt. Wenn danach der Mikrocomputer 1 seinen Betrieb durch Aufheben des Resetsignales beginnt und ein normales Rücksetzsignal dem Überwachungsschaltkreis 2 durch den Initialisierungsvor gang des Mikrocomputers 1 übertragen wird, ermöglicht der Überwachungsschaltkreis, daß der Mikrocomputer 1 den Hydraulikzylinder steuert. Das heißt, der Mikrocomputer 1 wird in einen Stellgliedantriebszustand zurückversetzt.
Wenn bei den elektronischen Steuereinheiten 100 und 200 die Antwortnummer 11 nicht innerhalb von 30 ms ausgehend von dem Zeitpunkt erneuert wird, zu dem das Zuweisungssignal 20 dem Mikrocomputer 1 übertragen worden ist oder wenn eine Nichtübereinstimmung zwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimal hintereinander beurteilt worden ist, verhindert der Überwachungsschaltkreis 2, daß der Mikrocomputer 1 den Hydraulikzylinder steuert. Gleichzeitig gibt der Überwachungsschaltkreis 2 ein Resetsignal an den Mikrocomputer 1 aus und nachdem das Resetsignal freigegeben worden ist, erlaubt der Überwachungsschaltkreis 2, daß der Mikrocomputer 1 den Hydraulikzylinder wieder steuert und setzt den Mikrocomputer, der sich in einem anormalen Zustand befunden hat, wieder in einen normalen Zustand zurück.
Somit können die elektronischen Steuereinheiten 100 und 200 den Hydraulikzylinder für ABS mit hoher Sicherheit steuern.
Falls der Mikrocomputer mehrfach in anormalen Zustand verfällt, wird dieser Anormalitätszustand des Mikrocomputers mit Wahrscheinlichkeit durch einen bestimmten Grund verursacht. von daher wird die Häufigkeit, mit der der Steuerungsverhinderungszustand des Hydraulikzylinders durch den Mikrocomputer in den Steuererlaubniszustand durch den Überwachungsschaltkreis 2 geändert wird, in der elektronischen Steuereinheit 100 auf dreimal begrenzt.
Weiterhin ist in der elektronischen Steuereinheit 200 die Häufigkeit des Zurücksetzens des Mikrocomputers durch den Überwachungsschaltkreis 2 durch den Zähler 83 auf viermal begrenzt.
(C) Die elektronischen Steuereinheiten 100 und 200 sind so ausgelegt, daß der Mikrocomputer 1 absichtlich das Antwortsignal 10 der falschen Antwortnummer 11 an den Überwachungsschaltkreis 2 alle acht Male einer Kommunikation zwischen dem Mikrocomputer 1 und dem Überwachungsschaltkreis 2 überträgt. Somit kann durch den Mikrocomputer 1 korrekt überprüft werden, ob der Überwachungsschaltkreis 2 normal arbeitet.
(D) Wenn in den elektronischen Steuereinheiten 100 und 200 der Mikrocomputer 1 durch das Resetsignal in den normalen Zustand zurückversetzt wird, überträgt der Mikrocomputer 1 absichtlich das Antwortsignal 10, welches das falsche Betriebsergebnis enthält in Antwort auf das Zuweisungssignal 20, um die Funktion des Überwachungsschaltkreises 2 zu überprüfen.
Infolgedessen wird, wenn der Mikrocomputer zurückgesetzt wird, die Funktion des Überwachungsschaltkreises 2 überprüfbar, so daß die Sicherheit verbessert wird, In einer elektronischen Steuereinheit zur Überwachung eines Mikrocomputers beinhaltet demnach erfindungsgemäß eine ECU einen Überwachungsschaltkreis mit einem Zähler zur Auswahl einer Zuweisungsnummer eines Zuweisungssignales, eine serielle Kommunikationseinheit zur Übertragung des Zuweisungssignals der Zuweisungsnummer, ausgewählt durch den Zähler und zum Empfang eines Antwortsignals von einem Mikrocomputer. Die ECU beinhaltet auch einen Vergleichs-/Beurteilungsschaltkreis zum Vergleich einer Antwortnummer mit einer korrekten Antwortnummer und zum Inkrementieren der Zuweisungsnummer des durch den Zähler ausgewählten Zuweisungssignales um 1, wenn die beiden Antworten übereinstimmen. Dieser Schaltkreis behält die gleiche Zuweisungsnummer bei, wenn die Antworten nicht übereinstimmen. Der Mikrocomputer führt einen Betrieb in Übereinstimmung mit der Zuweisungsnummer des Zuweisungssignals durch, welches empfangen worden ist und überträgt das Betriebsergebnis unter Verwendung eines Antwortsignals.
Die Beschreibung der Erfindung ist rein exemplarisch, so daß Abwandlungen hiervon nicht vom Umfang der Erfindung abweichen, sondern im Rahmen der Erfindung liegen, wie durch die beiliegenden Ansprüche und deren Äquivalente definiert ist.

Claims

Eine elektronische Steuereinheit (100, 200) zur Steuerung eines Stellgliedes mittels eine Mikrokomputers (1), mit. einem Überwachungsschaltkreis (2) mit einer Kommunikationseinheit (4) zur Übertragung einer Zuweisungsnummer (21) an den Mikrocomputer und zum Empfang einer Antwort (11) von dem Mikrocomputer; und einer Vergleichs-/Beurteilungseinheit (5) zum Vergleich der Antwort (11) mit einer korrekten Antwort (30) zur Überprüfung des Mikrocomputers (1), wobei der Mikrocomputer (1) einen vorbestimmten Selbstfunktions-Überprüfungsvorgang abhängig von der Zuweisungsnummer (21) durchführt und ein Betriebsergebnis hiervon als Antwort überträgt.
Eine elektronische Steuereinheit (100, 200) zur Steuerung eines Stellgliedes mittels eines Mikrocomputers (1), mit. einem Überwachungsschaltkreis (2) mit einer Zuweisungsnummerauswahleinheit (3) zum Auswählen einer Zuweisungsnummer (21), einer Kommunikationseinheit (4) zur Übertragung der Zuweisungsnummer (21), die von der Zuweisungsnummerauswahleinheit (3) ausgewählt wurde an den Mikrocomputer (1) und zum Empfang einer Antwort (11) vom Mikrocomputer, und einer Vergleichs-/Beurteilungseinheit (5) zum Vergleichen der Antwort (11) mit einer korrekten Antwort (30), um die Funktion des Mikrocomputers (1) zu überprüfen, wobei die Zuweisungsnummerauswahleinheit (3) die Zuweisungsnummer in eine nächste Zuweisungsnummer erneuert, wenn die Antwort (11) und die korrekte Antwort (30) in der Vergleichs-/Beurteilungseinheit (5) als miteinander übereinstimmend beurteilt werden und die gleiche Zuwei sungsnummer als nächste Zuweisungsnummer auswählt, wenn die Antwort (11) und die korrekte Anwort (30) in der Vergleichs-/Beurteilungseinheit (5) als nicht miteinander übereinstimmend beurteilt werden, und wobei der Mikrocomputer (1) einen bestimmten Selbstfunktions-Überprüfungsvorgang abhängig von der empfangenen Zuweisungsnummer (21) durchführt und ein Betriebsergebnis als Antwort (11) überträgt.
Elektronische Steuereinheit (100, 200) nach Anspruch 1 oder 2, wobei der Überwachungsschaltkreis (2) beurteilt, daß der Mikrocomputer (1) in einem anormalen Zustand ist, wenn der Überwachungsschaltkreis (2) keine Antwort innerhalb eines bestimmten Zeit nach Übertragung der Zuweisungsnummer (21) an den Mikrocomputer (1) empfängt oder wenn eine Nichtübereinstimmung zwischen der Antwort (11) und der korrekten Antwort (30) aufeinanderfolgend eine bestimmte Anzahl mal beurteilt wird.
Elektrische Steuereinheit (100, 200) nach einem der Ansprüche 1 bis 3, wobei der Mikrocomputer (1) absichtlich an den Überwachungsschaltkreis (2) eine Antwort (11) mit einem falschen Betriebsergebnis mit. einer bestimmten Häufigkeit überträgt, um hierdurch die Funktion des Überwachungsschaltkreises (2) zu überprüfen.
Elektronische Steuereinheit (100, 200) nach einem der Ansprüche 1 bis 4, wobei, wenn der Überwachungsschaltkreis 2 beurteilt, dass der Mikrocomputer (1) in einem anomalen Zustand ist, der Überwachungsschaltkreis (2) den Mikrocomputer (1) in einen Antriebsverhinderungszustand versetzt.
Elektronische Steuereinheit (100, 200) nach einem der Ansprüche 1 bis 5, wobei der Überwachungsschaltkreis (2) einen Schaltkreis (7, 8) enthält zur Beurteilung, ob der Mikrocomputer (1) in einen normalen Zustand zurückversetzt worden ist, nachdem einmal beurteilt wurde, dass der Mikrocomputer (1) in einem anomalen Zustand ist.
Elektronische Steuereinheit (100) nach Anspruch 6, wobei der Schaltkreis (7, 8) beurteilt, ob es eine Übereinstimmung zwischen der Antwort (11) und der korrekten Antwort (30) aufeinanderfolgend für eine bestimmte Anzahl von Zeiten gibt.
Elektronische Steuereinheit (100, 200) nach Anspruch 6, wobei, wenn ein normales Rückstellsignal empfangen wird, die Vorrichtungen (7, 8) zur Beurteilung, ob der Mikrocomputer (1) in einen normalen Zustand zurückversetzt worden ist, beurteilt, dass der Mikrocomputer (1) in den normalen Zustand zurückversetzt worden ist.
Elektronische Steuereinheit (100, 200) nach einem der Ansprüche 6 bis 8, wobei der Überwachungsschaltkreis (2) die Häufigkeit auf eine bestimmte Häufigkeit beschränkt, mit der der Mikrocomputer (1) als in den normalen Zustand zurückversetzt beurteilt werden kann.
Elektronische Steuereinheit (200) nach einem der Ansprüche 6 bis 9, wobei der Überwachungsschaltkreis (2) den Mikrocomputer (1) in einen anormalen Zustand versetzt, wenn eine Energieversorgungsquelle eingeschaltet wird.
Elektronische Steuereinheit (200) nach einem der Ansprüche 6 bis 10, wobei der Überwachungsschaltkreis (2) es dem Mikrocomputer (1) erlaubt, in einem Stellgliedantriebszustand zu sein und eine Funktions-Anormalität nicht länger feststellt, wenn der Überwachungsschaltkreis (2) beurteilt, dass der Mikrocomputer (1) in den normalen Zustand zurückversetzt worden ist.
Elektronische Steuereinheit (200) nach einem der Ansprüche 1 bis 4, wobei, wenn der Überwachungsschaltkreis (2) den Mikrocomputer (1) als in einem normalen Zustand befindlich beurteilt, dann der Überwachungsschaltkreis (2) den Mikrocomputer (1) zurücksetzt, um den Mikrocomputer (1) neu zu starten.
Elektronische Steuereinheit (200) nach Anspruch 12, wobei der Überwachungsschaltkreis (2) die Häufigkeit auf eine bestimmte Anzahl von Malen beschränkt, mit der der Mikrocomputer (1) zurückgesetzt wird, um neu gestartet zu werden und den Mikrocomputer (1) fest zurücksetzt, wenn die Reset/Neustart-Häufigkeit des Mikrocomupters die bestimmte Anzahl von Malen übersteigt.
Elektronische Steuereinheit (100, 200) nach einem der Ansprüche 5 bis 12, wobei, nachdem der Mikrocomputer (1) zurückgesetzt und neu gestartet worden ist, der Mikrocomputer (1) absichtlich eine Antwort (11) eines falschen Betriebsergebnisses in Antwort auf die Zuweisungsnummer (21) wenigstens einmal überträgt, um zu überprüfen, ob der Überwachungsschaltkreis (2) eine genaue Beurteilung hinsichtlich einer Anormalität des Mikrocomputers (1) durchführt und eine sichere Anormalitätsverarbeitung durchführt.