-
Die
vorliegende Erfindung betrifft eine elektronische Steuereinheit
zur Steuerung eines Stellgliedes mittels eines Mikrocomputers.
-
Das
japanische Gebrauchsmuster 5-365544 ("Patentveröffentlichung 1"; Seite 2, 1) beschreibt eine Mikrocomputer-Steuervorrichtung
mit einem Mikrocomputer zur Ausgabe eines Steuersignales, mit welchem
eine bestimmte Last gesteuert wird, einem Überwachungsschaltkreis ("watchdog circuit") zur Erkennung eines
anormalen Betriebszustandes des Mikrocomputers und zum Ausgeben
eines Reset-Signales an den Mikrocomputer für einen Reset-Vorgang; einem Ausfallsicherheitsschaltkreis zur
Ausgabe eines Ausfallsicherheitssignales in Antwort auf das Reset-Signal
des Überwachungsschaltkreises;
und einem Signalschalt-Schaltkreis zum Schalten des Steuersignales
des Mikrocomputers auf die Ausfallsicherheitsseite in Antwort auf
das Ausfallsicherheitssignal.
-
Diese
Mikrocomputersteuervorrichtung, wie sie in der Patentveröffentlichung
1 beschrieben ist, ist jedoch für
Systeme wie ABS, VSC, etc. ungeeignet, da die bloße Überwachung
eines Überwachungsimpulses
nicht ausreichend ist. Eine Überwachung
auf einem höheren
Pegel (bei welchem ein Befehl genau durchgeführt wird, etc.) ist notwendig.
-
Die
Verwendung von zwei Mikrocomputern zur Durchführung einer Funktionsüberprüfung, wobei ein
wechselseitiger Datenaustausch zwischen ihnen durchgeführt wird,
und zum Vergleichen der Überprüfungsergebnisse
löst das
Problem nicht wirksam, da die Kosten zu hoch werden, so daß die Wettbewerbsfähigkeiten
des Endproduktes verschlechtert werden.
-
Die
DE 44 46 314 A1 ,
die als nächstkommender
Stand der Technik angesehen wird, lehrt eine Schaltungsanordnung
nach den Oberbegriff des unabhängigen
Anspruchs 1 sowie ein entsprechendes Verfahren. Eine Übertragungseinheit
(die aus Schnittstelle, Puffer und Schieberegister besteht) in einer Überwachungsschaltung
sendet nach der Lehre dieser Druckschrift Daten an einen Mikrocomputer und
empfängt
daraufhin Antworten von diesem Mikrocomputer. Sobald der Mikrocomputer
eingeschaltet wird, sendet er während
eines Überwachungsvorgangs
sozusagen von sich aus Antwortdaten an die Überwachungseinheit. Die Korrektheit
der gesendeten Antwortdaten wird durch Vergleich der vom Mikrocomputer
gesendeten Daten mit sequentiell aus einer Antwortdatentabelle ausgewählten Daten
festgestellt.
-
Aufgabe
der vorliegenden Erfindung ist es demnach, eine elektronische Steuereinheit
zu schaffen, welche preiswert im Aufbau ist und sicher überwachen
kann, ob ein Mikrocomputer normal arbeitet oder nicht.
-
Zur
Lösung
dieser Aufgabe ist gemäß einem ersten
Anspruch der vorliegenden Erfindung ein Überwachungsschaltkreis mit
einer Kommunikationseinheit und einer Vergleichs-/Beurteilungseinheit ausgestattet.
Die Kommunikationseinheit überträgt eine
Vergleichsnummer an einen Mikrocomputer und empfängt von dem Mikrocomputer eine
Antwort. Die Vergleichs-/Beurteilungseinheit vergleicht dann die vom
Mikrocomputer empfangene Antwort mit einer korrekten Antwort, um
die Funktion des Mikrocomputers zu überprüfen.
-
Der
Mikrocomputer steuert ein Stellglied und führt auch einen bestimmten selbstfunktionierenden Überprüfungsvorgang
bzw. einen Vorgang zur Überprüfung der
eigenen Funktion abhängig
von der empfangenen Vergleichsnummer durch und überträgt das Betriebsergebnis als
Antwort an den Überwachungsschaltkreis.
-
Die
elektronische Steuereinheit ist so ausgelegt, daß der Mikrocomputer den selbstfunktionierenden Überprüfungsvorgang
abhängig
von der empfangenen Vergleichsnummer durchführt und der Überwachungsschaltkreis überprüft die Antwort
als Betriebsergebnis hiervon. Somit kann mit Sicherheit überwacht
werden, ob der Mikrocomputer normal arbeitet. Weiterhin wird nur
ein Mikrocomputer benötigt, was
die Kosten niedrig hält.
-
Gemäß einem
zweiten Anspruch ist ein Überwachungsschaltkreis
mit einer Vergleichsnummer-Auswahleinheit, einer Kommunikationseinheit und
einer Vergleichs-/Beurteilungseinheit
ausgestattet. Die Vergleichsnummer-Auswahleinheit des Überwachungsschaltkreises wählt eine
Vergleichsnummer, welche einem Mikrocomputer zu übertragen ist. Die Kommunikationseinheit
des Überwachungsschaltkreises überträgt die von
der Vergleichsnummer-Auswahleinheit ausgewählte Vergleichsnummer an den
Mikrocomputer und empfängt
eine Antwort vom Mikrocomputer.
-
Die
Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreises vergleicht
die so empfangene Antwort mit einer korrekten Antwort. Wenn die
Antwort mit der korrekten Antwort übereinstimmt, erneuert die
Vergleichs-/Beurteilungseinheit
die von der Vergleichsnummer-Auswahleinheit auszuwählende Vergleichsnummer, überträgt die erneuerte Vergleichsnummer
als nächste
Vergleichsnummer an den Mikrocomputer und vergleicht dann eine empfangene
Antwort mit einer korrekten Antwort.
-
Andererseits,
wenn die Antwort nicht mit der korrekten Antwort übereinstimmt,
erneuert die Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreises
die von der Vergleichsnummer-Auswahleinheit auszuwählende Vergleichsnummer
nicht und wählt
die vorher übertragene
Vergleichsnummer erneut. Die Kommunikationseinheit überträgt die betreffende
Vergleichsnummer an den Mikrocomputer und dann vergleicht die Vergleichs-/Beurteilungseinheit
die empfangene Antwort mit einer korrekten Antwort.
-
Der
Mikrocomputer steuert ein Stellglied und führt auch einen Vorgang zur Überprüfung der
eigenen Funktion durch und überträgt das Betriebsergebnis
als Antwort an den Überwachungsschaltkreis.
-
Eine
elektronische Steuereinheit ist so ausgelegt, daß der Mikrocomputer den Vorgang
zur Überprüfung der
eigenen Funktion abhängig
von der empfangenen Vergleichsnummer durchführt und die Vergleichs-/Beurteilungseinheit
des Überwachungsschaltkreises überprüft die Antwort
als Betriebsergebnis. Somit kann mit hoher Präzision überwacht werden, ob der Mikrocomputer
normal arbeitet.
-
Wenn
die empfangene Antwort und die korrekte Antwort nicht übereinstimmend
sind, wird die gleiche Vergleichsnummer beibehalten, diese Vergleichsnummer
wird dem Mikrocomputer erneut übertragen
und die empfangene Antwort und die korrekte Antwort werden miteinander
verglichen. Infolgedessen kann unter der gleichen Bedingung (der gleichen
Vergleichsnummer) die Funktion des Mikrocomputers überprüft werden.
Da weiterhin nur ein Mikrocomputer verwendet wird, sind die Kosten
gering.
-
Wenn
gemäß einem
dritten Anspruch irgendetwas verursacht, daß der Mikrocomputer in einen anormalen
Zustand verfällt,
wird er daran gehindert, eine Antwort zu übertragen, so daß eine falsche
Antwort nicht übertragen
wird.
-
Wenn
daher der Überwachungsschaltkreis keine
Antwort innerhalb einer bestimmten Zeitdauer ausgehend von dem Zeitpunkt
aus empfangen kann, zu dem eine Vergleichsnummer dem Mikrocomputer übertragen
worden ist, oder wenn eine Nicht-Übereinstimmung zwischen der
empfangenen Antwort und der korrekten Antwort eine bestimmte Anzahl mal
empfangen wird, beurteilt der Überwachungsschaltkreis,
daß sich
der Mikrocomputer in einem anormalen Zustand befindet.
-
Infolgedessen
kann ein Overflow oder eine Betriebsunterbrechung des Mikrocomputers
mit Sicherheit erkannt werden, wobei ein vorübergehender und/oder selten
auftretender Betriebsfehler, beispielsweise ein weicher Fehler aufgrund
von α-Strahlen
(vorübergehend
gestörte
Bits des RAM) oder dergleichen, der nur ein vorübergehender Fehler des Mikrocomputers
ist, nicht als Anormalität
erkannt wird, so daß Störungen des
Computers mit Sicherheit entdeckt werden können.
-
Gemäß einem
vierten Anspruch überträgt der Mikrocomputer
die Antwort eines unabsichtlich falschen Betriebsergebnisses zu
jeder bestimmten Anzahl von Kommunikationen an den Überwachungsschaltkreis,
um hierdurch die Funktion des Überwachungsschaltkreises
zu überprüfen. Somit kann
von dem Mikrocomputer überprüft werden,
ob der Überwachungsschaltkreis
normal arbeitet.
-
Wenn
gemäß einem
fünften
Anspruch beurteilt wird, daß der
Mikrocomputer in einem anormalen Zustand ist, unter bindet der Überwachungsschaltkreis
den Betrieb des Stellglieds durch den Mikrocomputer und hält das Auftreten
der Anormalität
fest. Infolgedessen kann die elektronische Steuereinheit bei einem
System angewendet werden, welches für Sicherheitsfragen zuständig ist,
beispielsweise ABS, VSC oder dergleichen.
-
Gemäß einem
sechsten, zehnten und vierzehnten Anspruch hat der Überwachungsschaltkreis eine
Vorrichtung zur Überprüfung, ob
der Mikrocomputer in einen normalen Zustand zurückgekehrt ist, nachdem beurteilt
worden ist, daß sich
der Mikrocomputer in einem anormalen Zustand befindet.
-
Wie
in einem zehnten Anspruch beschrieben, wird, wenn die Versorgung
eingeschaltet wird, der Mikrocomputer in einen anormalen Zustand
versetzt, so daß die
normale Steuerverarbeitung durchgeführt wird, nachdem der Mikrocomputer
mit Sicherheit als sich im normalen Zustand befindlich beurteilt worden
ist. Somit kann eine elektronische Steuereinheit mit höherer Sicherheit
geschaffen werden.
-
Gemäß einem
vierzehnten Anspruch überträgt nach
dem Beginn des Reset der Computer eine Antwort, welche ein absichtlich
falsches Betriebsergebnis bezüglich
einer Vergleichsnummer wenigstens einmal enthält, um zu überprüfen, ob der Überwachungsschaltkreis
eine korrekte Beurteilung einer Anormalität des Mikrocomputers durchführen kann und
eine sichere Verarbeitung bei einer Anormalität durchführen kann (Schalten des Steuersystems
auf die sichere Seite). Somit kann eine elektronische Steuereinheit
mit höherer
Sicherheit geschaffen werden.
-
Gemäß einem
siebten Anspruch wird als eine Einrichtung zur Beurteilung, ob der
Mikrocomputer in einen nor malen Zustand zurückversetzt worden ist, eine
bestimmte Anzahl von aufeinanderfolgenden Übereinstimmungen zwischen der
Antwort und der korrekten Antwort verwendet. Von daher kann der Anormalitäts-Verarbeitungsmodus
von der Bestätigung
befreit werden, daß der
Mikrocomputer mit Sicherheit in den normalen Zustand zurückversetzt worden
ist. Somit kann eine elektronische Steuereinheit mit höherer Sicherheit
geschaffen werden.
-
Gemäß einem
achten Anspruch wird als eine Einrichtung zur Beurteilung der Zurückversetzung des
Mikrocomputers in den normalen Zustand der Empfang eines Rücksetzsignales
verwendet. Somit kann der Anormalitäts-Verarbeitungsmodus früher freigegeben
werden, so daß die
Betriebsüberprüfungszeit
für den Überwachungsschaltkreis
verkürzt werden
kann.
-
Wenn
gemäß einem
neunten Anspruch der Mikrocomputer in einem derart instabilen Zustand
ist, daß er
abwechselnd den anormalen Zustand und den normalen Zustand wiederholt,
wird abgeschätzt,
daß eine
Anormalität
im Mikrocomputer aufgetreten ist. Weiterhin wird die Häufigkeit,
mit der der Überwachungsschaltkreis
beurteilen kann, daß der
Mikrocomputer in einen normalen Zustand zurückversetzt worden ist, auf
eine bestimmte Anzahl beschränkt. Wenn
daher der Mikrocomputer unter einer Anormalität leidet, kann diese Anormalität mit Sicherheit
festgestellt werden.
-
Wenn
gemäß einem
elften Anspruch beurteilt wird, daß der Mikrocomputer in den
normalen Zustand zurückversetzt
worden ist, erlaubt der Überwachungsschaltkreis,
daß der
Mikrocomputer das Stellglied betreibt und beendet die Feststellung,
daß eine anormale
Funktion vorliegt. Wenn daher der Mikrocomputer in den normalen
Zustand zurück versetzt worden
ist, kann die normale elektronische Steuerung wieder aufgenommen
werden.
-
Wenn
gemäß einem
zwölften
Anspruch der Mikrocomputer als sich in einem anormalen Zustand befindlich
beurteilt wird, setzt der Überwachungsschaltkreis
den Mikrocomputer zurück
und startet dann den Mikrocomputer erneut, um diesen zu initialisieren.
Somit kann der Mikrocomputer aus einer vorübergehenden Anormalität, beispielsweise
aufgrund eines Overflows wegen Rauschen oder dergleichen zurückgesetzt
werden, so daß diese
Erfindung bevorzugt bei einem System anwendbar ist, bei dem eine
Unterbrechung der Steuerung nicht vorteilhaft ist.
-
Im
Fall einer derartigen permanenten Anormalität derart, daß diese
Anormalität
auch dann wieder auftritt, wenn der Mikrocomputer zurückgesetzt und
neu initialisiert wird, ist es notwendig, das System mit Sicherheit
anzuhalten. Somit ist gemäß einem
dreizehnten Anspruch die Häufigkeit,
mit der der Mikrocomputer von dem Überwachungsschaltkreis zurückgesetzt
und neu gestartet wird, beschränkt und
wenn die Reset-/Neustart-Frequenz die obengenannte Frequenz übersteigt,
wird der Mikrocomputer bleibend zurückgesetzt und in dem Ausgangszustand
gehalten.
-
Hierbei
unterbindet der Überwachungsschaltkreis
auch, daß der
Mikrocomputer das Stellglied steuert, bringt das Stellglied auf
die sichere Seite und hält
die Anormalität
fest, so daß eine
elektronische Steuereinheit mit hoher Sicherheit gewährleistet
ist.
-
Weitere
Einzelheiten, Anspruche und Vorteile der vorliegenden Erfindung
ergeben sich besser aus der nachfolgenden detaillierten Beschreibung
in Zusammenschau mit der Zeichnung.
-
Es
zeigt:
-
1 ein
Blockdiagramm einer elektronischen Steuereinheit für eine ABS-Steuerung
gemäß einer
ersten bevorzugten Ausführungsform;
-
2 ein
Ablaufdiagramm eines von einem Mikrocomputer durchgeführten Ablaufschemas,
wobei jede elektronische Steuereinheit mit einem derartigen Mikrocomputer
ausgestattet ist;
-
3 ein
Ablaufdiagramm eines Programmablaufs, welcher vom Mikrocomputer
zur Initialisierung der elektronischen Steuereinheit durchgeführt wird;
-
4 ein
Blockdiagramm einer elektronischen Steuereinheit gemäß einer
zweiten bevorzugten Ausführungsform;
und
-
5 ein
Flußdiagramm
eines Programmablaufs, welcher vom Mikrocomputer zur Initialisierung
der elektronischen Steuereinheit durchgeführt wird.
-
Bevorzugte
Ausführungsformen
der vorliegenden Erfindung werden nachfolgend unter Bezug auf die
beigefügte
Zeichung beschrieben.
-
(Erste Ausführungsform)
-
Eine
elektronische Steuereinheit 100 für eine ABS-Steuerung gemäß einer Ausführungsform
der vorliegenden Erfindung wird unter Bezug auf die 1 bis 3 näher beschrieben.
Die elektronische Steuereinheit 100 ist ausgestattet mit
einem Mikrocomputer 1 zur Steuerung eines Hydraulikzylinders
(nicht gezeigt) auf der Grundlage von Sensorausgängen von vier Fahrzeuggeschwindigkeitssensoren
(nicht gezeigt) und einem Überwachungsschaltkreis 2 zur Überwachung
der Funktion des Mikrocomputers 1. Der Mikrocomputer arbeitet
auf der Grundlage des Flußdiagramms
von 2 (Schritte 201 bis 212). Genauer
gesagt, der Mikrocomputer 1 führt einen bestimmten Zuweisungsvorgang
(Schritt 203) durch, um die Funktion des Mikrocomputers 1 selbst
abhängig
von einer empfangenen Vergleichsnummer 21 zu überprüfen und
führt eine
Antwortkorrekturverarbeitung (Schritt 204) abhängig von
dem Betriebsergebnis durch, um eine Antwortnummer 11 zu
berechnen. Die empfangene Vergleichsnummer 21 ist einem
Eingangssignal 20 überlagert.
Danach überträgt der Mikrocomputer 1 die
Antwortnummer 11, welche so berechnet worden ist, an den Überwachungsschaltkreis 2.
Die Antwortnummer 11 ist einem Antwortsignal 10 überlagert.
-
In
diesem Fall überträgt der Mikrocomputer 1 absichtlich
ein Antwortsignal 10 mit einer falschen Antwortnummer 11 an
den Überwachungsschaltkreis 2 alle
acht Male (im Schritt 202 sind die unteren drei Bits von
M "000"). Der Mikrocomputer 1 führt eine
Beurteilung hinsichtlich einer falschen Antwort durch, um zu überprüfen, ob
ein Zuweisungssignal 20 mit der gleichen Vergleichsnummer 21,
welche soeben vorher übertragen
worden ist, übertragen
wird (im Schritt 211 ist die momentane Vergleichsnummer identisch
zu der vorhergehenden Vergleichsnummer), wodurch der Betrieb des Überwachungsschaltkreises überprüft wird.
-
Wenn
eine Energieversorgungsquelle zum Betrieb der elektronischen Steuereinheit 100 eingeschaltet
wird (Initialisierungszeitpunkt), überträgt der Mikrocomputer 1 absichtlich
das Antwortsignal 10 mit der falschen Antwortnummer 11 (Schritt 309)
an den Überwachungsschaltkreis
dreimal aufeinanderfolgend, um die Steuerung des Hydraulikzylinders
in einen Sperrzustand zu versetzen (Antriebsverhinderungszustand),
wodurch der Betrieb des Überwachungsschaltkreises 2 überprüft wird
(JA in Schritt 314). Danach wird ein Antriebsverhinderungs-Freigabeschlüsselsignal
an den Überwachungsschaltkreis 2 übertragen.
-
Wenn
ein Antriebsverhinderungs-Freigabeschlüsselsignal-Überprüfungsschaltkreis 71 das
Antriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibt
der Antriebsverhinderungs-Freigabeschaltkreis 7 den Antriebsverhinderungszustand
des Hydraulikzylinders frei (das Freigeben wird bis zu drei Mal
durchgeführt).
-
Bezugnehmend
auf 1 weist der Überwachungsschaltkreis 2 einen
Zähler 3 (Vergleichsnummer-Auswahleinheit),
eine serielle Kommunikationseinheit 4 (Kommunikationseinheit),
einen Vergleichs-/Beurteilungsschaltkreis 5 (Vergleichs-/Beurteilungseinheit),
eine Antriebsverhinderungseinheit 6 und einen Freigabeschaltkreis 7 für die Antriebsverhinderung
auf.
-
Der
Zähler 3 dient
dazu, ein Zuweisungssignal zu erzeugen, welches eine bestimmte Vergleichsnummer 21 von
vorzugsweise 8 Bits enthält.
Das Zuweisungssignal (oder die Vergleichsnummer) 21, welches
von dem Zähler 3 ausgegeben
wird, wird in einen Decoder 31 eingegeben, um eine korrekte
Antwortnummer 30 auszugeben (korrekte Antwortnummer, welche
in 1 durch C.A.N. dargestellt ist) und weiterhin
wird das Zuweisungssignal der seriellen Kommunikationseinheit 4 eingegeben.
-
Zu
jeder bestimmten Zeit überträgt die serielle
Kommunikationseinheit 4, welche eine serielle Kommunikation
mit dem Mikrocomputer macht, das Zuweisungssignal 20 (SIN),
empfängt
ein Antwortsignal 10 (SOUT) vom Mikrocomputer 1 und
gibt eine Antwortnummer 11 mit 8 Bits (die in einem Antwortsignal
A.N. in 1 enthaltene Antwort) in einen
Vergleichs-/Beurteilungsabschnitt 51 des Vergleichs-/Beurteilungsschaltkreises 5 ein.
-
Der
Vergleichs-/Beurteilungsschaltkreis 5 weist den Vergleichs-/Beurteilungsabschnitt 51 und einen
Inverterschaltkreis 52 auf. Der Vergleichs-/Beurteilungsabschnitt 51 vergleicht
die Antwortnummer 11 mit der korrekten Antwortnummer 30,
welche vom Decoder 31 ausgegeben wird.
-
Wenn
die Antwortnummer 11 und die korrekte Antwortnummer 30 miteinander übereinstimmend sind
(Antwortnummer 11 = korrekte Antwortnummer 30),
gibt der Vergleichs-/Beurteilungsabschnitt 51 über den
Inverterschaltkreis 52 ein Zuweisungserneuerungssignal
(in 1 mit A.R. dargestellt) an den Zähler 3 aus,
um die Vergleichsnummer 21 des vom Zähler 3 zu übertragenden
Zuweisungssignales um 1 zu inkrementieren.
-
Wenn
die Antwortnummer 11 und die korrekte Antwortnummer 30 nicht übereinstimmend
sind (NG: Antwortnummer 11 ≠ korrekte Antwortnummer 30)
wird über
dem Inverterschaltkreis 52 kein Zuweisungserneuerungssignal
an den Zähler 3 ausgegeben
und somit wird das Zuweisungssignal 21 mit der gleichen
Vergleichsnummer wie die vorhergehende Vergleichsnummer, welches
gerade vorher übertragen
worden ist, vom Zähler 3 ausgegeben.
-
Die
Antriebsverhinderungseinheit 6 weist einen Dreifach-NG-Beurteilungsabschnitt 61,
einen Nichterneuerungs-Beurteilungsabschnitt 62,
einen ODER-Schaltkreis 63 und einen Flip-Flop-Schaltkreis 64 auf.
-
Der
Dreifach-NG-Beurteilungsabschnitt 61 beurteilt, ob die
Häufigkeit,
mit der NG, welches sequenziell von dem Vergleichs-/Beurteilungsabschnitt 51 beurteilt
worden ist, 3 oder mehr erreicht. Wenn die fortlaufende
NG-Beurteilungshäufigkeit 3 erreicht,
gibt der Dreifach-NG-Beurteilungsabschnitt 61 einen Ausgang
mit logisch hohem Pegel aus.
-
Der
Nichterneuerungs-Beurteilungsabschnitt 62 beurteilt auf
der Grundlage des Antwortnummer-Erneuerungssignals von der seriellen
Kommunikationseinheit 4, ob die Antwortnummer innerhalb
einer bestimmten Zeit (30 ms) erneuert worden ist. wenn die Antwortnummer
nicht erneuert worden ist, gibt der nichterneuerungs-Beurteilungsabschnitt 62 ein
Signal mit logisch hohem Pegel aus.
-
Wenn
der ODER-Schaltkreis 63 einen Ausgang mit hohem logischen
Pegel von dem Dreifach-NG-Beurteilungsabschnitt 61, dem
Nichterneuerungs-Beurteilungsabschnitt 62 oder ein CPU-Resetsignal
empfängt,
beurteilt der ODER-Schaltkreis 63, daß der Mikrocomputer 1 in
einen anormalen Betriebszustand verfallen ist und gibt einen Ausgang
mit hohem logischen Pegel an den Flip-Flop-Schaltkreis 64.
Auf diese weise verhindert der Flip-Flop-Schaltkreis 64 die
Steuerung des Hydraulikzylinders durch den Mikrocomputer 1 (d.
h. es liegt ein Betriebsverhinderungszustand vor).
-
Wenn
der Mikrocomputer 1 in den anormalen Betriebszustand verfällt, gibt
ein Resetsignal-Übertragungsschaltkreis
(nicht gezeigt) des Überwachungsschaltkreises 2 ein
Resetsignal an den Mikrocomputer 1 aus. Wenn der Mikrocomputer 1 auf
der Grundlage dieses Resetsignales in den normalen Zustand zurückversetzt
wird, überträgt der Mikrocomputer 1 absichtlich
in Antwort auf das Zuweisungssignal 20 das Antwortsignal 10,
welches das falsche Betriebsergebnis enthält, an den Überwachungsschaltkreis 2,
um die Funktion des Überwachungsschaltkreises 2 zu über prüfen. Mit
anderen Worten, der Mikrocomputer 1 überprüft hier, ob der Überwachungsschaltkreis 2 korrekt
arbeitet.
-
Der
Antriebsverhinderungs-Freigabeschaltkreis 7 weist einen
Antriebsverhinderungs-Freigabeschlüsselsignalschaltkreis 71,
einen Zählerschaltkreis 72,
einen Flip-Flop-Schaltkreis 73,
einen ODER-Schaltkreis 74, einen Inverterschaltkreis 75 und
einen UND-Schaltkreis 76 auf.
-
Wenn
von dem Mikrocomputer 1 über die serielle Kommunikationseinheit 4 ein
Freigabeschlüsselsignal übertragen
wird, beurteilt der Schlüsselsignalschaltkreis 71,
ob der Freigabeschlüssel
mit dem Antriebsverhinderungs-Freigabeschlüssel übereinstimmend ist oder nicht.
-
Für den Fall,
daß der
Flip-Flop-Schaltkreis 64 das Stellglied (Hydraulikzylinder)
in den Antriebsverhinderungszustand versetzt, wenn der Schlüsselsignalüberprüfungsschaltkreis 71 das
Antriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibt der
Freigabeschaltkreis 7 den Antriebsverhinderungszustand
des Hydraulikzylinders bis zu drei mal frei.
-
(Zweite Ausführungsform)
-
Nachfolgend
wird die Arbeitsweise einer elektronischen Steuereinheit 200 für eine ABS-Steuerung
(entsprechend den ersten bis fünften
und zwölften
bis vierzehnten Ansprüchen
der Erfindung) gemäß einer
zweiten bevorzugten Ausführungsform unter
Bezugnahme auf 4 beschrieben.
-
Wie
die elektronische Steuereinheit 100 weist die elektronische
Steuereinheit 200 einen Mikrocomputer 1 zur Steuerung
eines (nicht gezeigten) Hydraulikzylinders auf der Grundlage von
Sensorausgängen
von vier Fahrzeuggeschwindigkeitssensoren (nicht gezeigt) und einen Überwa chungsschaltkreis 2 zur Überwachung
der Funktion des Mikrocomputers 1 auf.
-
Die
elektronische Steuereinheit 200 ist mit einem Resetschaltkreis 8 anstelle
des Antriebsverhinderungs-Freigabeschaltkreises 7 der ersten
Ausführungsform
ausgestattet. Der Resetschaltkreis 8 weist einen Resetschaltkreis 81 für Versorgung
EIN, einen Resetpulserzeugungsschaltkreis 82, einen Zähler 83,
einen ODER-Schaltkreis 84 und einen Inverterschaltkreis 85 auf.
wenn beurteilt wird, daß der
Mikrocomputer 1 in einem anormalen Zustand ist, gibt der Resetschaltkreis 8 ein
Resetsignal an eine Signalleitung aus, welche mit einem Resetanschluß verbunden
ist, um den Mikrocomputer 1 zurückzusetzen.
-
Der
Mikrocomputer arbeitet normalerweise gemäß dem Flußdiagramm (Schritt 201 bis 211)
von 2. Dieser Ablauf ist der gleiche wie bei der elektronischen
Steuereinheit 100.
-
Wenn
eine Energieversorgungsquelle zum Betrieb der elektronischen Steuereinheit 200 eingeschaltet
wird (Initialisierung), überträgt der Mikrocomputer 1 absichtlich
ein Antwortsignal 10 mit einer falschen Antwortnummer an
den Überwachungsschaltkreis,
und zwar dreimal aufeinanderfolgend, wie in dem Flußdiagramm
von 5 gezeigt (Schritte 501 bis 518),
so daß der
Mikrocomputer 1 sich selbst zurücksetzt und somit der Betrieb
des Überwachungsschaltkreises überprüft wird
(EIN in Schritt 503).
-
Einige
der vielen Vorteile, welche durch die elektronischen Steuereinheiten 100 und 200 geschaffen
werden, werden nachfolgend beschrieben.
-
(A)
Die elektronischen Steuereinheiten 100 und 200 sind
so ausgelegt, daß der
Vergleichs-/Beurteilungs schaltkreis 5 des Überwachungsschaltkreises 2 die
Antwortnummer 11 mit der korrekten Antwortnummer 30 vergleicht,
um die Funktion des Mikrocomputers 1 zu überprüfen. Somit
kann mit hoher Präzision überwacht
werden, ob der Mikrocomputer 1 normal arbeitet oder nicht.
Weiterhin wird nur ein Mikrocomputer verwendet, so daß die Kosten
verringert sind.
-
Wenn
die Antwortnummer 11 und die korrekte Antwortnummer 30 nicht übereinstimmend
sind, hält
der Überwachungsschaltkreis
die Vergleichsnummer 21 ungeändert, überträgt das Zuweisungssignal 20 entsprechend
der Vergleichsnummer 21 erneut an den Mikrocomputer 1 und
vergleicht die Antwortnummer 11 mit der korrekten Antwortnummer 30 erneut.
Das heißt,
wenn die Antwort falsch ist, wird eine Neuüberprüfung unter den gleichen Bedingungen
(unter Verwendung der gleichen Vergleichsnummer) durchgeführt, so
daß somit
sicher identifiziert werden kann, ob die falsche Antwort durch Störrauschen
oder dergleichen oder durch eine Fehlerfunktion des Mikrocomputers 1 verursacht
wurde.
-
(B)
wenn der Mikrocomputer 1 durch irgendeinen Grund in einen
anormalen Zustand verfällt,
wird es unmöglich
die Antwortnummer 11 zu übertragen, oder die Antwortnummer 11 und
die korrekte Antwortnummer 30 sind nicht mehr in Übereinstimmung.
-
Bei
den elektronischen Steuereinheiten 100 und 200 wird,
wenn die Antwortnummer nicht innerhalb von 30 ms von der Zeit an
erneuert wird, zu der das Zulassungssignal 20 dem Mikrocomputer 1 übertragen
worden ist, oder wenn eine Nichtübereinstimmung
zwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimal
hintereinander beurteilt wird, wird darauf geschlossen, daß der Mikrocomputer 1 sich
in einem anormalen Zustand befindet und somit wird eine Steuerung
des Hydraulikzylinders durch den Mikrocomputer 1 unterbunden.
-
Weiterhin,
wenn die Energiequellenversorgung eingeschaltet wird, wird der Zustand
des Überwachungsschaltkreises 2 in
einen Beurteilungszustand durch das Resetsignal versetzt, welches
einer Anormalität
des Mikrocomputers entspricht und die Steuerung des Hydraulikzylinders
durch den Mikrocomputer 1 wird vom Überwachungsschaltkreis 2 verhindert.
Das heißt,
der Mikrocomputer wird in den Antriebsverhinderungszustand versetzt.
Wenn danach der Mikrocomputer 1 seinen Betrieb durch Aufheben
des Resetsignales beginnt und ein normales Rücksetzsignal dem Überwachungsschaltkreis 2 durch
den Initialisierungsvorgang des Mikrocomputers 1 übertragen
wird, ermöglicht
der Überwachungsschaltkreis,
daß der
Mikrocomputer 1 den Hydraulikzylinder steuert. Das heißt, der
Mikrocomputer 1 wird in einen Stellgliedantriebszustand
zurückversetzt.
-
Wenn
bei den elektronischen Steuereinheiten 100 und 200 die
Antwortnummer 11 nicht innerhalb von 30 ms ausgehend von
dem Zeitpunkt erneuert wird, zu dem das Zuweisungssignal 20 dem
Mikrocomputer 1 übertragen
worden ist oder wenn eine Nichtübereinstimmung
zwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimal
hintereinander beurteilt worden ist, verhindert der Überwachungsschaltkreis 2,
daß der
Mikrocomputer 1 den Hydraulikzylinder steuert. Gleichzeitig
gibt der Überwachungsschaltkreis 2 ein
Resetsignal an den Mikrocomputer 1 aus und nachdem das
Resetsignal freigegeben worden ist, erlaubt der Überwachungsschaltkreis 2,
daß der
Mikrocomputer 1 den Hydraulikzylinder wieder steuert und
setzt den Mikrocomputer, der sich in einem anormalen Zustand befunden hat,
wieder in einen normalen Zustand zurück.
-
Somit
können
die elektronischen Steuereinheiten 100 und 200 den
Hydraulikzylinder für
ABS mit hoher Sicherheit steuern.
-
Falls
der Mikrocomputer mehrfach in anormalen Zustand verfällt, wird
dieser Anormalitätszustand
des Mikrocomputers mit Wahrscheinlichkeit durch einen bestimmten
Grund verursacht. Von daher wird die Häufigkeit, mit der der Steuerungsverhinderungszustand
des Hydraulikzylinders durch den Mikrocomputer in den Steuererlaubniszustand
durch den Überwachungsschaltkreis 2 geändert wird,
in der elektronischen Steuereinheit 100 auf dreimal begrenzt.
-
Weiterhin
ist in der elektronischen Steuereinheit 200 die Häufigkeit
des Zurücksetzens
des Mikrocomputers durch den Überwachungsschaltkreis 2 durch
den Zähler 83 auf
viermal begrenzt.
-
(C)
Die elektronischen Steuereinheiten 100 und 200 sind
so ausgelegt, daß der
Mikrocomputer 1 absichtlich das Antwortsignal 10 der
falschen Antwortnummer 11 an den Überwachungsschaltkreis 2 alle
acht Male einer Kommunikation zwischen dem Mikrocomputer 1 und
dem Überwachungsschaltkreis 2 überträgt. Somit
kann durch den Mikrocomputer 1 korrekt überprüft werden, ob der Überwachungsschaltkreis 2 normal
arbeitet.
-
(D)
Wenn in den elektronischen Steuereinheiten 100 und 200 der
Mikrocomputer 1 durch das Resetsignal in den normalen Zustand
zurückversetzt wird, überträgt der Mikrocomputer 1 absichtlich
das Antwortsignal 10, welches das falsche Betriebsergebnis
enthält,
in Antwort auf das Zuweisungssignal 20, um die Funktion
des Überwachungsschaltkreises 2 zu überprüfen.
-
Infolgedessen
wird, wenn der Mikrocomputer zurückgesetzt
wird, die Funktion des Überwachungsschaltkreises 2 überprüfbar, so
daß die
Sicherheit verbessert wird.
-
In
einer elektronischen Steuereinheit zur Überwachung eines Mikrocomputers
beinhaltet demnach erfindungsgemäß eine ECU
einen Überwachungsschaltkreis
mit einem Zähler
zur Auswahl einer Vergleichsnummer eines Zuweisungssignales, eine
serielle Kommunikationseinheit zur Übertragung des Zuweisungssignals
der Vergleichsnummer, ausgewählt
durch den Zähler
und zum Empfang eines Antwortsignals von einem Mikrocomputer. Die
ECU beinhaltet auch einen Vergleichs-/Beurteilungsschaltkreis zum
Vergleich einer Antwortnummer mit einer korrekten Antwortnummer
und zum Inkrementieren der Vergleichsnummer des durch den Zähler ausgewählten Zuweisungssignales
um 1, wenn die beiden Antworten übereinstimmen.
Dieser Schaltkreis behält
die gleiche Vergleichsnummer bei, wenn die Antworten nicht übereinstimmen.
Der Mikrocomputer führt
einen Betrieb in Übereinstimmung
mit der Vergleichsnummer des Zuweisungssignals durch, welches empfangen
worden ist und überträgt das Betriebsergebnis
unter Verwendung eines Antwortsignals.