DE102013221343A1 - CONTROL DEVICE AND VEHICLE CONTROL SYSTEM - Google Patents

CONTROL DEVICE AND VEHICLE CONTROL SYSTEM Download PDF

Info

Publication number
DE102013221343A1
DE102013221343A1 DE201310221343 DE102013221343A DE102013221343A1 DE 102013221343 A1 DE102013221343 A1 DE 102013221343A1 DE 201310221343 DE201310221343 DE 201310221343 DE 102013221343 A DE102013221343 A DE 102013221343A DE 102013221343 A1 DE102013221343 A1 DE 102013221343A1
Authority
DE
Germany
Prior art keywords
function
control
monitoring
check
abnormal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE201310221343
Other languages
German (de)
Inventor
Hirotaka Kunibe
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Denso Corp filed Critical Denso Corp
Publication of DE102013221343A1 publication Critical patent/DE102013221343A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D11/00—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated
    • F02D11/06—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance
    • F02D11/10—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type
    • F02D11/105—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type characterised by the function converting demand to actuation, e.g. a map indicating relations between an accelerator pedal position and throttle valve opening or target engine torque
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N11/00—Starting of engines by means of electric motors
    • F02N11/08—Circuits or control means specially adapted for starting of engines
    • F02N11/0814—Circuits or control means specially adapted for starting of engines comprising means for controlling automatic idle-start-stop
    • F02N11/0818—Conditions for starting or stopping the engine or for deactivating the idle-start-stop mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D2041/227—Limping Home, i.e. taking specific engine control measures at abnormal conditions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D2041/228—Warning displays
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D2250/00—Engine control related to specific problems or objectives
    • F02D2250/18—Control of the engine output torque
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N11/00—Starting of engines by means of electric motors
    • F02N11/08—Circuits or control means specially adapted for starting of engines
    • F02N11/0814—Circuits or control means specially adapted for starting of engines comprising means for controlling automatic idle-start-stop
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N11/00—Starting of engines by means of electric motors
    • F02N11/10—Safety devices
    • F02N11/108—Safety devices for diagnosis of the starter or its components
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N2300/00—Control related aspects of engine starting
    • F02N2300/20—Control related aspects of engine starting characterised by the control method
    • F02N2300/2002—Control related aspects of engine starting characterised by the control method using different starting modes, methods, or actuators depending on circumstances, e.g. engine temperature or component wear
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N2300/00—Control related aspects of engine starting
    • F02N2300/30—Control related aspects of engine starting characterised by the use of digital means
    • F02N2300/302—Control related aspects of engine starting characterised by the use of digital means using data communication
    • F02N2300/304—Control related aspects of engine starting characterised by the use of digital means using data communication with other systems inside the vehicle
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02T—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO TRANSPORTATION
    • Y02T10/00—Road transport of goods or passengers
    • Y02T10/10—Internal combustion engine [ICE] based vehicles
    • Y02T10/40—Engine management systems

Abstract

Eine Steuervorrichtung beinhaltet einen ersten Prozessor (31) und einen zweiten Prozessor (32), die unterschiedliche Verarbeitungen unabhängig gemäß Programmen ausführen. Der erste Prozessor weist eine erste Steuerfunktion (51) zum Ausführen einer ersten Steuerverarbeitung auf. Die erste Steuerfunktion ist durch ein erstes Programm (41) implementiert. Der zweite Prozessor weist eine erste Überwachungsfunktion (52) zum Bestimmen auf, ob die erste Steuerfunktion normal oder abnormal ist. Die erste Überwachungsfunktion ist durch ein zweites Programm (42) implementiert und führt eine vorbestimmte Ausfallsicherheitsprozedur ausgehend von der Bestimmung aus, dass die erste Steuerfunktion abnormal ist. Die erste Ausfallsicherheitsprozedur verbietet, dass ein Teil der ersten Steuerverarbeitung ausgeführt wird.A control device includes a first processor (31) and a second processor (32) that perform different processing independently according to programs. The first processor has a first control function (51) for performing first control processing. The first control function is implemented by a first program (41). The second processor has a first monitoring function (52) for determining whether the first control function is normal or abnormal. The first monitoring function is implemented by a second program (42) and executes a predetermined fail-safe procedure based on the determination that the first control function is abnormal. The first fail-safe procedure prohibits part of the first control processing from being performed.

Description

Die vorliegende Offenbarung betrifft eine Steuervorrichtung und ein Fahrzeugsteuersystem.The present disclosure relates to a control device and a vehicle control system.

Ein in der JP-A-2009-505182 offenbarter Mikrocomputer weist ein Paar Verarbeitungseinheiten (sogenannte Kerne) auf, die simultan dieselbe Verarbeitung ausführen. Der Mikrocomputer hat ferner einen Komparator zum Vergleichen einer Ausgabe eines Kerns mit einer Ausgabe des anderen Kerns. Wenn die Ausgaben identisch sind, gibt der Mikrocomputer eine der Ausgaben an die Außenseite als ein Ausgabesignal aus. Im Gegensatz dazu gibt der Mikrocomputer, wenn die Ausgaben nicht identisch sind, das Ausgabesignal nicht aus. In dem Mikrocomputer laufen die Kerne in einem sogenannten Lock-Step-Modus.An Indian JP-A-2009-505182 The disclosed microcomputer includes a pair of processing units (so-called cores) which simultaneously execute the same processing. The microcomputer further has a comparator for comparing an output of a core with an output of the other core. If the outputs are identical, the microcomputer outputs one of the outputs to the outside as an output signal. In contrast, if the outputs are not identical, the microcomputer does not output the output signal. In the microcomputer, the cores run in a so-called lock-step mode.

Unter der Annahme, dass der Mikrocomputer für Steuerungszwecke verwendet wird, führen die Kerne dieselbe Verarbeitung zur Steuerung aus. In diesem Fall, wenn die Ausgabe eines Kerns abnormal wird, gibt der Mikrocomputer das Ausgabesignal nicht aus. Dieser Ansatz verhindert, dass ein Steuersystem, das eine Steuerverarbeitung basierend auf dem Ausgabesignal des Mikrocomputers ausführt, eine undefinierte Operation ausführt, wodurch Sicherheit gewährleistet wird. Jedoch kann, wenn ein Ausfall auftritt, da das Ausgabesignal an das Steuersystem unterbrochen wird, das Steuersystem überhaupt keine Operationen mehr fortführen. Das heißt, beim Auftreten eines Ausfalls ist das Steuersystem überhaupt nicht verfügbar.Assuming that the microcomputer is used for control purposes, the cores perform the same processing for control. In this case, when the output of a core becomes abnormal, the microcomputer does not output the output signal. This approach prevents a control system that performs control processing based on the output signal of the microcomputer from performing an undefined operation, thereby ensuring security. However, if a failure occurs because the output signal to the control system is interrupted, the control system can not continue operations at all. That is, when a failure occurs, the control system is not available at all.

Im Hinblick auf das Vorhergehende ist es eine Aufgabe der vorliegenden Erfindung, eine Balance zwischen Sicherheit und Verfügbarkeit einer Steuervorrichtung zu gewährleisten, wenn ein abnormaler Zustand in einer Steuerfunktion der Steuervorrichtung auftritt.In view of the foregoing, an object of the present invention is to ensure a balance between safety and availability of a control device when an abnormal state occurs in a control function of the control device.

Gemäß einem Aspekt der vorliegenden Offenbarung beinhaltet eine Steuervorrichtung mindestens zwei Prozessoren, die unterschiedliche Verarbeitungen unabhängig gemäß Programmen ausführen. Die mindestens zwei Prozessoren beinhalten einen ersten Prozessor und einen zweiten Prozessor. Der erste Prozessor weist eine erste Steuerfunktion zum Ausführen einer ersten Steuerverarbeitung auf. Die erste Steuerfunktion ist durch ein erstes Programm implementiert. Der zweite Prozessor weist eine erste Überwachungsfunktion zum Bestimmen, ob die erste Steuerfunktion normal oder abnormal ist, auf. Die erste Überwachungsfunktion ist durch ein zweites Programm implementiert und führt eine erste Ausfallsicherheitsprozedur ausgehend von der Bestimmung aus, dass die erste Steuerfunktion abnormal ist. Die erste Ausfallsicherheitsprozedur verbietet, dass ein Teil der ersten Steuerverarbeitung ausgeführt wird.According to one aspect of the present disclosure, a control device includes at least two processors that execute different processings independently according to programs. The at least two processors include a first processor and a second processor. The first processor has a first control function for performing a first control processing. The first control function is implemented by a first program. The second processor has a first monitoring function for determining whether the first control function is normal or abnormal. The first monitoring function is implemented by a second program and executes a first fail-safe procedure based on the determination that the first control function is abnormal. The first fail-safe procedure prohibits part of the first control processing from being executed.

Die Steuervorrichtung kann ferner eine Überwachungseinrichtung beinhalten. In diesem Fall weist der zweite Prozessor eine erste Überprüfungsfunktion zum Ausführen einer ersten Überprüfung bezüglich dessen auf, ob die erste Überwachungsfunktion normal oder abnormal ist. Die erste Überprüfungsfunktion gibt eine erste Überprüfungsergebnisinformation, die ein Ergebnis der ersten Überprüfung angibt, an die Überwachungseinrichtung aus. Die Überwachungseinrichtung bestimmt basierend auf der ersten Überprüfungsergebnisinformation, ob die erste Überwachungsfunktion normal oder abnormal ist. Die Überwachungseinrichtung verbietet ausgehend von der Bestimmung, dass die erste Überwachungsfunktion abnormal ist, dass die erste Steuerverarbeitung ausgeführt wird.The control device may further include a monitoring device. In this case, the second processor has a first checking function for making a first check as to whether the first monitoring function is normal or abnormal. The first checking function outputs a first check result information indicative of a result of the first check to the monitoring device. The monitor determines based on the first check result information whether the first monitor function is normal or abnormal. The monitoring device prohibits, based on the determination that the first monitoring function is abnormal, that the first control processing is executed.

Gemäß einem weiteren Aspekt der vorliegenden Offenbarung wird die Steuervorrichtung in einem Steuersystem für Fahrzeuge verwendet.According to another aspect of the present disclosure, the control device is used in a control system for vehicles.

Die vorstehenden und weitere Aufgaben, Merkmale und Vorteile werden aus der nachfolgenden Beschreibung und den zugehörigen Zeichnungen, in denen gleiche Bezugszeichen gleiche Elemente darstellen, ersichtlicher.The above and other objects, features and advantages will become more apparent from the following description and the accompanying drawings, in which like reference characters represent the same elements.

Es zeigen:Show it:

1 ein Blockschaltbild einer elektronischen Steuereinheit (Electronic Control Unit, ECU) gemäß einer Ausführungsform der vorliegenden Offenbarung; 1 a block diagram of an electronic control unit (ECU) according to an embodiment of the present disclosure;

2 ein Ablaufdiagramm einer Steuerungsüberwachungsverarbeitung gemäß der Ausführungsform; 2 a flowchart of a control monitoring processing according to the embodiment;

3 ein Ablaufdiagramm einer Überwachungsüberprüfungsverarbeitung gemäß der Ausführungsform; und 3 FIG. 10 is a flowchart of a monitor check processing according to the embodiment; FIG. and

4 ein Ablaufdiagramm einer Ausfallbestimmungsverarbeitung gemäß der Ausführungsform. 4 FIG. 10 is a flowchart of failure determination processing according to the embodiment. FIG.

Eine Steuervorrichtung gemäß einer Ausführungsform der vorliegenden Offenbarung wird nachfolgend erläutert. Die Steuervorrichtung ist als eine elektronische Steuereinheit (Electronic Control Unit, ECU) ausgeführt, die einen Mikrocomputer aufweist. Beispielsweise kann die Steuervorrichtung an einem Fahrzeug angebracht sein und eine Drehmomentsteuerung zum Steuern eines Drehmoments ausführen, das durch einen Motor des Fahrzeugs ausgegeben wird. Wie später beschrieben ist, kann die Steuervorrichtung eine Leerlaufstoppsteuerung sowie die Drehmomentsteuerung ausführen.A control device according to an embodiment of the present disclosure will be explained below. The control device is implemented as an electronic control unit (ECU) having a microcomputer. For example, the control device may be mounted on a vehicle and perform a torque control for controlling a torque output by an engine of the vehicle. As will be described later, the Control device perform an idle stop control and the torque control.

Wie in 1 dargestellt ist, beinhaltet eine ECU 1 gemäß der Ausführungsform einen Mikrocomputer 3, eine Eingabeschaltung 5, eine integrierte Überwachungsschaltung (IC) 7, einen Anlasserrelaistreiber 11 und einen Drosselklappenmotortreiber 15. Die Eingabeschaltung 5 empfängt Eingabeinformationen von außerhalb der ECU 1 und gibt die Eingabeinformationen an den Mikrocomputer 3 aus. Der Überwachungs-IC 7 ist mit dem Mikrocomputer 3 durch eine serielle Kommunikationsleitung 6 verbunden. Der Anlasserrelaistreiber 11 schaltet ein Anlasserrelais 9 gemäß einem Anlassersteuersignal ein, das vom Mikrocomputer 3 ausgegeben wird. Der Drosselklappenmotortreiber 15 treibt einen Drosselklappenmotor 13 gemäß einem Drosselklappensteuersignal an, das vom Mikrocomputer 3 ausgegeben wird.As in 1 is shown includes an ECU 1 According to the embodiment, a microcomputer 3 , an input circuit 5 , a built-in monitoring circuit (IC) 7 , a starter relay driver 11 and a throttle motor driver 15 , The input circuit 5 receives input information from outside the ECU 1 and gives the input information to the microcomputer 3 out. The monitoring IC 7 is with the microcomputer 3 through a serial communication line 6 connected. The starter relay driver 11 switches a starter relay 9 in accordance with a starter control signal input from the microcomputer 3 is issued. The throttle motor driver 15 drives a throttle motor 13 in response to a throttle control signal coming from the microcomputer 3 is issued.

Wenn das Anlasserrelais 9 eingeschaltet wird, wird ein Anlasser 19 zum Starten eines Motors 17 des Fahrzeugs mit Energie gespeist und aktiviert, um den Motor 17 zu starten. Der Drosselklappenmotor 13 ist ein Motor zum Einstellen eines Öffnungsgrads einer Drosselklappe 21, die den Betrag von Einlassluft zum Motor 17 einstellt. Der Drosselklappenmotortreiber 15 stellt eine Spannung, die durch das Drosselklappensteuersignal angegeben wird, dem Drosselklappenmotor 13 bereit, wodurch der Öffnungsgrad der Drosselklappe 21 auf einen Wert entsprechend der Spannung eingestellt wird. Beispielsweise kann das Drosselklappensteuersignal ein Pulsbreitenmodulations(PWM)-Signal sein.If the starter relay 9 is turned on, is a starter 19 to start an engine 17 the vehicle is powered and energized to the engine 17 to start. The throttle motor 13 is a motor for adjusting an opening degree of a throttle valve 21 that the amount of intake air to the engine 17 established. The throttle motor driver 15 A voltage indicated by the throttle control signal represents the throttle motor 13 ready, reducing the opening degree of the throttle 21 is set to a value corresponding to the voltage. For example, the throttle control signal may be a pulse width modulation (PWM) signal.

Der Mikrocomputer 3 beinhaltet zwei Prozessoren 31 und 32, einen ROM 33, einen RAM 35 und eine Kommunikationsschaltung 37. Die Prozessoren 31 und 32 führen unterschiedliche Verarbeitungen unabhängig durch Ausführen von Programmen aus, die in dem ROM 33 gespeichert sind. Der RAM 35 speichert Ergebnisse von Berechnungen, die durch die Prozessoren 31 und 32 ausgeführt werden. Die Kommunikationsschaltung 37 erlaubt den Prozessoren 31 und 32, mit dem Überwachungs-IC 7 durch die serielle Kommunikationsleitung 6 zu kommunizieren.The microcomputer 3 includes two processors 31 and 32 , a ROM 33 , a ram 35 and a communication circuit 37 , The processors 31 and 32 perform different processing independently by executing programs stored in the ROM 33 are stored. The RAM 35 stores results of calculations by the processors 31 and 32 be executed. The communication circuit 37 allowed the processors 31 and 32 , with the monitoring IC 7 through the serial communication line 6 to communicate.

Der ROM 33 als ein Speichermedium speichert mindestens ein erstes Programm 41, ein zweites Programm 42, ein drittes Programm 43, ein viertes Programm 44, ein fünftes Programm 45 und ein sechstes Programm 46.The ROM 33 as a storage medium stores at least a first program 41 , a second program 42 , a third program 43 , a fourth program 44 , a fifth program 45 and a sixth program 46 ,

Der Prozessor 31 weist eine Leerlaufstoppsteuerfunktion 51 zum Ausführen der Leerlaufstoppsteuerung auf. Die Leerlaufstoppsteuerfunktion 51 ist durch das erste Programm 41 implementiert. Das heißt, wenn der Prozessor 31 das erste Programm 41 ausführt, ist die Leerlaufstoppsteuerfunktion 51 implementiert, um die Leerlaufstoppsteuerung auszuführen.The processor 31 has an idling stop control function 51 for executing the idling stop control. The idling stop control function 51 is through the first program 41 implemented. That is, if the processor 31 the first program 41 is the idling stop control function 51 implemented to execute the idle stop control.

Gemäß der Ausführungsform beinhaltet die Leerlaufstoppsteuerung eine primäre Steuerung und eine sekundäre Steuerung.According to the embodiment, the idling stop control includes a primary control and a secondary control.

Wenn bestimmt wird, dass eine vorbestimmte Bedingung für automatisches Stoppen zum automatischen Stoppen des Motors 17 während eines Betriebs des Motors 17 erfüllt ist, sendet die primäre Steuerung der Leerlaufstoppsteuerung einen Motorstoppbefehl an eine andere ECU, die den Motor 17 steuert, wodurch der Motor 17 gestoppt wird. Dann sendet, wenn bestimmt wird, dass eine vorbestimmte Bedingung für automatisches Starten zum automatischen Neustarten des Motors 17 erfüllt ist, die primäre Steuerung der Leerlaufstoppsteuerung einen Motorstartbefehl an den Anlasserrelaistreiber 11, wodurch das Anlasserrelais 9 eingeschaltet wird. Demzufolge wird der Anlasser 19 aktiviert und der Motor 17 neu gestartet.When it is determined that a predetermined automatic stop condition for automatically stopping the engine 17 during operation of the engine 17 is met, the primary idling stop control sends an engine stop command to another ECU that controls the engine 17 controls, causing the engine 17 is stopped. Then, if it is determined that a predetermined automatic start condition is to be sent to automatically restart the engine 17 is satisfied, the primary control of the idling stop control an engine start command to the starter relay driver 11 , whereby the starter relay 9 is turned on. As a result, the starter 19 activated and the engine 17 restarted.

Die sekundäre Steuerung der Leerlaufstoppsteuerung aktiviert den Motoranlasser 19 gemäß einer Inbetriebnahmeoperation, die durch einen Fahrer des Fahrzeugs ausgeführt wird. Das heißt, die sekundäre Steuerung der Leerlaufstoppsteuerung ermöglicht, dass der Anlasser 19 gesteuert wird.The secondary idling stop control activates the engine starter 19 according to a startup operation performed by a driver of the vehicle. That is, the secondary control of idle stop control allows the starter 19 is controlled.

Beispielsweise kann, wenn alle folgenden drei Bedingungen erfüllt sind, die Bedingung für automatisches Stoppen erfüllt sein. Die erste Bedingung ist, dass ein Bremspedal des Fahrzeugs durchgedrückt bleibt. Die zweite Bedingung ist, dass ein Gaspedal des Fahrzeugs nicht durchgedrückt bleibt. Die dritte Bedingung ist, dass eine Geschwindigkeit des Fahrzeugs niedriger als eine vorbestimmte Geschwindigkeit ist. Es ist zu beachten, dass die Bedingung für automatisches Stoppen nicht auf die Erfüllung der vorstehenden drei Bedingungen begrenzt ist.For example, if all of the following three conditions are met, the automatic stop condition may be met. The first condition is that a brake pedal of the vehicle remains depressed. The second condition is that an accelerator pedal of the vehicle is not depressed. The third condition is that a speed of the vehicle is lower than a predetermined speed. It should be noted that the automatic stop condition is not limited to the satisfaction of the above three conditions.

Beispielsweise kann, wenn mindestens eine der folgenden zwei Bedingungen erfüllt ist, die Bedingung für automatisches Starten erfüllt sein. Die erste Bedingung ist, dass das Bremspedal nicht durchgedrückt ist. Die zweite Bedingung ist, dass der Fahrer eine vorbestimmte Operation zum Fahren des Fahrzeugs mit durchgedrücktem Bremspedal ausführt. Es ist zu beachten, dass die Bedingung für automatisches Starten nicht auf die Erfüllung der vorstehenden zwei Bedingungen beschränkt ist.For example, if at least one of the following two conditions is met, the automatic start condition may be met. The first condition is that the brake pedal is not depressed. The second condition is that the driver performs a predetermined operation for driving the vehicle with the brake pedal depressed. It should be noted that the automatic start condition is not limited to the fulfillment of the above two conditions.

Die Eingabeinformation, die von der Eingabeschaltung 5 in den Mikrocomputer 3 eingegeben wird, wird für die Leerlaufstoppsteuerung verwendet. Beispiele der Eingabeinformation, die für die Leerlaufstoppsteuerung verwendet wird, können ein Bremssignal, das angibt, ob das Bremspedal durchgedrückt ist, ein Gaspedalsignal, das den Grad des Durchdrückens des Gaspedals angibt, ein Geschwindigkeitssignal, das die Geschwindigkeit des Fahrzeugs angibt, und ein Inbetriebnahmeoperationssignal beinhalten, das angibt, ob der Fahrer die Inbetriebnahmeoperation ausführt.The input information provided by the input circuit 5 in the microcomputer 3 is input is used for the idling stop control. Examples of the input information used for the idling stop control may be a brake signal indicating whether the brake pedal is depressed , an accelerator pedal signal indicating the degree of depression of the accelerator pedal, a speed signal indicative of the speed of the vehicle, and a startup operation signal indicating whether the driver is performing the startup operation.

Der Prozessor 32 hat eine Leerlaufstoppsteuerungsüberwachungsfunktion 52 und eine Leerlaufstoppüberwachungsüberprüfungsfunktion 53. Die Leerlaufstoppsteuerungsüberwachungsfunktion 52 ist durch das zweite Programm 52 implementiert. Die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ist durch das dritte Programm 43 implementiert.The processor 32 has an idling stop control monitoring function 52 and an idling stop monitoring check function 53 , The idle stop control monitoring function 52 is through the second program 52 implemented. The idle stop monitoring check function 53 is through the third program 43 implemented.

Die Leerlaufstoppsteuerungsüberwachungsfunktion 52 überwacht, ob die Leerlaufstoppsteuerfunktion 51 des Prozessors 31 normal oder abnormal ist. Wenn die Leerlaufstoppsteuerungsüberwachungsfunktion 52 bestimmt, dass die Leerlaufstoppsteuerfunktion 51 abnormal ist, führt die Leerlaufstoppsteuerungsüberwachungsfunktion 52 eine vorbestimmte Ausfallsicherheitsprozedur aus, die mit der Leerlaufstoppsteuerung verknüpft ist.The idle stop control monitoring function 52 monitors whether the idle stop control function 51 of the processor 31 normal or abnormal. When the idle stop control monitoring function 52 determines that the idle stop control function 51 is abnormal, performs the idle stop control monitoring function 52 a predetermined fail-safe procedure associated with the idle-stop control.

Die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 führt eine erste Überprüfung bezüglich dessen durch, ob die Leerlaufstoppsteuerungsüberwachungsfunktion 52 normal oder abnormal ist, und gibt eine Überprüfungsergebnisinformation, die ein Ergebnis der ersten Überprüfung angibt, an die Kommunikationsschaltung 37 aus. Beim Ausgeben der Überprüfungsergebnisinformation fügt die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 eine erste Identifikationsinformation zur Überprüfungsergebnisinformation hinzu. Die erste Identifikationsinformation gibt an, dass die Überprüfungsergebnisinformation mit der ersten Identifikationsinformation durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird. In anderen Worten gibt die erste Identifikationsinformation an, dass die Überprüfungsergebnisinformation mit der ersten Identifikationsinformation mit der Leerlaufstoppsteuerung und nicht der Drehmomentsteuerung verknüpft ist.The idle stop monitoring check function 53 makes a first check as to whether the idle stop control monitoring function 52 is normal or abnormal, and gives a check result information indicative of a result of the first check to the communication circuit 37 out. When issuing the check result information, the idle stop check check function adds 53 add a first identification information to the check result information. The first identification information indicates that the check result information includes the first identification information by the idle-stop monitoring check function 53 is issued. In other words, the first identification information indicates that the check result information with the first identification information is linked with the idling stop control and not the torque control.

Der Prozessor 32 hat ferner eine Drehmomentsteuerfunktion 54 zum Ausführen der Drehmomentsteuerung des Motors 17. Die Drehmomentsteuerfunktion 54 ist durch das vierte Programm 44 implementiert.The processor 32 also has a torque control function 54 for carrying out the torque control of the engine 17 , The torque control function 54 is through the fourth program 44 implemented.

In der Drehmomentsteuerung wird ein Zieldrehmoment, das durch den Motor 17 auszugeben ist, basierend auf Umdrehungen pro Minute (RPM) des Motors 17 und dem Grad des Durchdrückens des Gaspedals berechnet. Dann wird ein Zielöffnungsgrad der Drosselklappe 21, der es dem Motor 17 ermöglicht, das Zieldrehmoment zu erzeugen, berechnet, und das Drosselklappensteuersignal zum Erzielen des Zielöffnungsgrads wird an den Drosselklappenmotortreiber 15 ausgegeben.In torque control, a target torque is generated by the motor 17 is output based on revolutions per minute (RPM) of the engine 17 and the degree of depression of the accelerator pedal. Then, a target opening degree of the throttle valve becomes 21 that's the engine 17 allows the target torque to be calculated, and the throttle control signal for achieving the target opening degree is sent to the throttle motor driver 15 output.

Die Eingabeinformation, die von der Eingabeschaltung 5 in den Mikrocomputer 3 eingegeben wird, wird für die Drehmomentsteuerung zusätzlich zur Leerlaufstoppsteuerung verwendet. Beispiele der Eingabeinformation, die für die Drehmomentsteuerung verwendet wird, können das Gaspedalsignal und ein Rotationssignal beinhalten, das die Umdrehungen pro Minute des Motors 17 angibt.The input information provided by the input circuit 5 in the microcomputer 3 is input is used for the torque control in addition to the idling stop control. Examples of the input information used for the torque control may include the accelerator pedal signal and a rotation signal representing the revolutions per minute of the engine 17 indicates.

Der Prozessor 31 hat ferner eine Drehmomentsteuerungsüberwachungsfunktion 55 und eine Drehmomentüberwachungsüberprüfungsfunktion 56. Die Drehmomentsteuerungsüberwachungsfunktion 55 ist durch das fünfte Programm 45 implementiert. Die Drehmomentüberwachungsüberprüfungsfunktion 56 ist durch das sechste Programm 46 implementiert.The processor 31 also has a torque control monitoring function 55 and a torque monitoring check function 56 , The torque control monitoring function 55 is through the fifth program 45 implemented. The torque monitoring check function 56 is through the sixth program 46 implemented.

Die Drehmomentsteuerungsüberwachungsfunktion 55 überwacht, ob die Drehmomentsteuerfunktion 54 des Prozessors 32 normal oder abnormal ist. Wenn die Drehmomentsteuerungsüberwachungsfunktion 55 bestimmt, dass die Drehmomentsteuerfunktion 54 abnormal ist, führt die Drehmomentsteuerungsüberwachungsfunktion 55 eine vorbestimmte Ausfallsicherheitsprozedur aus, die mit der Drehmomentsteuerung verknüpft ist.The torque control monitoring function 55 monitors whether the torque control function 54 of the processor 32 normal or abnormal. When the torque control monitoring function 55 determines that the torque control function 54 is abnormal, performs the torque control monitoring function 55 a predetermined fail-safe procedure associated with the torque control.

Die Drehmomentüberwachungsüberprüfungsfunktion 56 führt eine zweite Überprüfung bezüglich dessen aus, ob die Drehmomentsteuerungsüberwachungsfunktion 55 normal oder abnormal ist, und gibt eine Überprüfungsergebnisinformation, die ein Ergebnis der zweiten Überprüfung angibt, an die Kommunikationsschaltung 37 aus. Wird die Überprüfungsergebnisinformation ausgegeben, fügt die Drehmomentüberwachungsüberprüfungsfunktion 56 eine zweite Identifikationsinformation zur Überprüfungsergebnisinformation hinzu. Die zweite Identifikationsinformation gibt an, dass die Überprüfungsergebnisinformation mit der zweiten Identifikationsinformation durch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird. In anderen Worten gibt die zweite Identifikationsinformation an, dass die Überprüfungsergebnisinformation mit der zweiten Identifikationsinformation mit der Drehmomentsteuerung und nicht der Leerlaufstoppsteuerung verknüpft ist.The torque monitoring check function 56 performs a second check as to whether the torque control monitor function 55 is normal or abnormal, and gives a check result information indicative of a result of the second check to the communication circuit 37 out. When the check result information is output, the torque check check function adds 56 add a second identification information to the check result information. The second identification information indicates that the check result information with the second identification information by the torque monitor check function 56 is issued. In other words, the second identification information indicates that the check result information is associated with the second identification information with the torque control and not the idling stop control.

Beispielsweise ist die Kommunikationsschaltung 37 ein Parallel-Seriell-Konverter. Die Kommunikationsschaltung 37 empfängt parallele Daten, konvertiert die parallelen Daten in serielle Daten und gibt dann die seriellen Daten an die serielle Kommunikationsleitung 6 aus. Insbesondere konvertiert die Kommunikationsschaltung 37 die Überprüfungsergebnisinformation, die vom Prozessor 32 ausgegeben wird (d. h. die Leerlaufstoppüberwachungsüberprüfungsfunktion 53), und die Überprüfungsergebnisinformation, die vom Prozessor 31 ausgegeben wird (d. h. die Drehmomentüberwachungsüberprüfungsfunktion 56), in die Form serieller Daten. Dann sendet die Kommunikationsschaltung 37 die seriellen Daten an den Überwachungs-IC 7 durch die serielle Kommunikationsleitung 6.For example, the communication circuit 37 a parallel-to-serial converter. The communication circuit 37 receives parallel data, converts the parallel data into serial data, and then gives the serial data to the serial communication line 6 out. In particular, the communication circuit converts 37 the check result information provided by the processor 32 is issued (ie the idle stop monitoring check function 53 ), and the check result information provided by the processor 31 is output (ie, the torque monitor check function 56 ), in the form of serial data. Then send the communication circuit 37 the serial data to the monitoring IC 7 through the serial communication line 6 ,

Der Überwachungs-IC 7 beinhaltet eine Kommunikationsschaltung 61 und einen Bestimmungsabschnitt 63 für eine ausgefallene Funktion. Die Kommunikationsschaltung 61 erlaubt dem Überwachungs-IC 7, serielle Kommunikation mit dem Mikrocomputer 3 auszuführen (insbesondere den zwei Prozessoren 31 und 32).The monitoring IC 7 includes a communication circuit 61 and a determination section 63 for a failed feature. The communication circuit 61 allows the monitoring IC 7 , serial communication with the microcomputer 3 to execute (in particular the two processors 31 and 32 ).

Die Kommunikationsschaltung 61 empfängt die Überprüfungsergebnisinformation mit der ersten Identifikationsinformation oder der zweiten Identifikationsinformation vom Mikrocomputer 3 und gibt die Überprüfungsergebnisinformation an den Bestimmungsabschnitt 63 für eine ausgefallene Funktion aus.The communication circuit 61 receives the check result information with the first identification information or the second identification information from the microcomputer 3 and gives the check result information to the determining section 63 for a failed feature.

Der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt basierend auf der Identifikationsinformation, die der Überprüfungsergebnisinformation hinzugefügt wird, ob die Überprüfungsergebnisinformation, die vom Mikrocomputer durch die serielle Kommunikationsleitung 6 und die Kommunikationsschaltung 61 empfangen wird, von der Leerlaufstoppüberwachungsüberprüfungsfunktion 53 oder der Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird.The determination section 63 for a failed function determined based on the identification information added to the check result information, whether the check result information supplied from the microcomputer through the serial communication line 6 and the communication circuit 61 is received from the idling stop monitoring check function 53 or the torque monitor verification function 56 is issued.

Das heißt, wenn die Überprüfungsergebnisinformation mit der ersten Identifikationsinformation in den Bestimmungsabschnitt 63 für eine ausgefallene Funktion eingegeben wird, bestimmt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion, dass die Überprüfungsergebnisinformation von der Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird und sich auf die Leerlaufstoppsteuerungsüberwachungsfunktion 52 bezieht. Im Gegensatz dazu, wenn die Überprüfungsergebnisinformation mit der zweiten Identifikationsinformation in den Bestimmungsabschnitt 63 für eine ausgefallene Funktion eingegeben wird, bestimmt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion, dass die Überprüfungsergebnisinformation von der Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird und sich auf die Drehmomentsteuerungsüberwachungsfunktion 55 bezieht.That is, when the check result information including the first identification information in the determining section 63 for a failed function, the determination section determines 63 for a failed function, that the check result information from the idle stop check function 53 is issued and on the idle stop control monitoring function 52 refers. In contrast, when the check result information with the second identification information in the determining section 63 for a failed function, the determination section determines 63 for a failed function, that the check result information from the torque monitor check function 56 is issued and refers to the torque control monitoring function 55 refers.

Ferner bestimmt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion basierend auf der Überprüfungsergebnisinformation, die von der Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird (d. h. basierend auf der Überprüfungsergebnisinformation mit der ersten Identifikationsinformation), ob die Leerlaufstoppsteuerungsüberwachungsfunktion 52 normal oder abnormal ist. Wenn die Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist, führt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion eine vorbestimmte Ausfallsicherheitsprozedur durch, die mit der Leerlaufstoppsteuerung verknüpft ist.Further, the determination section determines 63 for a failed function based on the check result information obtained from the idle stop check function 53 is output (ie, based on the check result information with the first identification information), whether the idle stop control monitoring function 52 normal or abnormal. If the determination section 63 for a failed function determines that the idle stop control monitoring function 52 is abnormal, the determination section leads 63 for a failed function, a predetermined fail-safe procedure associated with the idle-stop control.

Ferner bestimmt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion basierend auf der Überprüfungsergebnisinformation, die von der Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird (d. h. basierend auf der Überprüfungsergebnisinformation mit der zweiten Identifikationsinformation), ob die Drehmomentsteuerungsüberwachungsfunktion 55 normal oder abnormal ist. Wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, führt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion eine vorbestimmte Ausfallsicherheitsprozedur durch, die mit der Drehmomentsteuerung verknüpft ist.Further, the determination section determines 63 for a failed function based on the check result information obtained from the torque monitor check function 56 is output (ie, based on the check result information with the second identification information), whether the torque control monitoring function 55 normal or abnormal. If the determining section 63 for a failed function determines that the torque control monitoring function 55 is abnormal, the determination section leads 63 for a failed function, a predetermined fail-safe procedure associated with the torque control.

Als Nächstes wird eine Steuerungsüberwachungsverarbeitung, die durch die Leerlaufstoppsteuerungsüberwachungsfunktion 52 und die Drehmomentsteuerungsüberwachungsfunktion 55 ausgeführt wird, nachfolgend mit Bezug auf 2 erläutert.Next, a control monitoring processing performed by the idling stop control monitoring function 52 and the torque control monitoring function 55 is executed, with reference to 2 explained.

In der nachfolgenden Beschreibung werden, wenn die Leerlaufstoppsteuerungsüberwachungsfunktion 52 und die Drehmomentsteuerungsüberwachungsfunktion 55 nicht voneinander unterschieden werden, die Leerlaufstoppsteuerungsüberwachungsfunktion 52 und die Drehmomentsteuerungsüberwachungsfunktion 55 kollektiv als die „Steuerungsüberwachungsfunktion” bezeichnet. Ebenso wird in der nachfolgenden Beschreibung eine durch die Steuerungsüberwachungsfunktion zu überwachende Steuerfunktion als die „Zielsteuerfunktion” bezeichnet. Insbesondere, wenn die Steuerungsüberwachungsfunktion die Leerlaufstoppsteuerungsüberwachungsfunktion 52 ist, ist die Zielsteuerfunktion die Leerlaufstoppsteuerfunktion 51, und wenn die Steuerungsüberwachungsfunktion die Drehmomentsteuerungsüberwachungsfunktion 55 ist, ist die Zielsteuerfunktion die Drehmomentsteuerfunktion 54.In the following description, when the idling stop control monitoring function 52 and the torque control monitoring function 55 are not distinguished from each other, the idling stop control monitoring function 52 and the torque control monitoring function 55 collectively referred to as the "control monitoring function". Also, in the following description, a control function to be monitored by the control monitoring function will be referred to as the "target control function". In particular, when the control monitoring function is the idling stop control monitoring function 52 is, the target control function is the idling stop control function 51 , and if the control monitoring function is the torque control monitoring function 55 is, the target control function is the torque control function 54 ,

Die Steuerungsüberwachungsverarbeitung, die in 2 dargestellt ist, wird durch jeden der Prozessoren 31 und 32 beispielsweise in einem regelmäßigen Zeitintervall ausgeführt.The control monitoring processing included in 2 is represented by each of the processors 31 and 32 for example, executed at a regular time interval.

Wie in 2 dargestellt ist, startet die Steuerungsüberwachungsverarbeitung bei S110, wo jeder der Prozessoren 31 und 32 die Eingabeinformationen, die durch die Zielsteuerfunktion verwendet wird, teilweise oder ganz liest.As in 2 is shown, control monitoring processing starts at S110 where each the processors 31 and 32 partially or completely reads the input information used by the target control function.

Dann fährt die Steuerungsüberwachungsverarbeitung mit Schritt S120 fort, wo ein Ergebnis einer Berechnung, die durch die Zielsteuerfunktion ausgeführt wird, aus dem RAM 35 ausgelesen wird.Then, the control monitoring processing proceeds to step S120, where a result of calculation performed by the target control function is retrieved from the RAM 35 is read out.

Dann fährt die Steuerungsüberwachungsverarbeitung mit Schritt S130 fort, wo ein Bestimmungswert, der verwendet wird, um eine Gültigkeit des bei S120 gelesenen Ergebnisses der Berechnung zu bestimmen, basierend auf der bei S110 gelesenen Eingabeinformation berechnet wird.Then, the control monitoring processing proceeds to step S130, where a determination value used to determine a validity of the result of the calculation read at S120 is calculated based on the input information read at S110.

Dann fährt die Steuerungsüberwachungsverarbeitung mit S140 fort, wo basierend auf einem Vergleich zwischen dem bei S120 gelesenen Ergebnis der Berechnung und dem bei S130 berechneten Bestimmungswert bestimmt wird, ob die Zielsteuerfunktion normal oder abnormal ist.Then, the control monitoring processing proceeds to S140, where it is determined whether the target control function is normal or abnormal based on a comparison between the result of the calculation read at S120 and the determination value calculated at S130.

Wird bestimmt, dass die Zielsteuerfunktion normal ist, was JA bei S140 entspricht, endet die Steuerungsüberwachungsverarbeitung. Im Gegensatz dazu, wenn bestimmt wird, dass die Zielsteuerfunktion abnormal ist, was NEIN bei S140 entspricht, fährt die Steuerungsüberwachungsverarbeitung mit Schritt S150 fort. Bei S150 wird eine vorbestimmte Ausfallsicherheitsprozedur ausgeführt, um einen Teil der Steuerung der Zielsteuerfunktion zu verbieten. Nach S150 endet die Steuerungsüberwachungsverarbeitung. Alternativ ist es möglich die Ausfallsicherheitsprozedur bei S150 nur auszuführen, wenn bei S140 bestimmt wird, dass die Zielsteuerfunktion gemäß einer vorbestimmten Anzahl mehrmals abnormal ist. Ferner kann eine Alarmprozedur zum Informieren eines Benutzers (beispielsweise eines Fahrers) des Fahrzeugs über ein Auftreten eines abnormalen Zustands bei S150 zusätzlich zur Ausfallsicherheitsprozedur ausgeführt werden. Beispielsweise kann die Alarmprozedur einen Alarmgeber beleuchten, einen Alarmbuzzer aktivieren und/oder eine sichtbare oder hörbare Nachricht erzeugen, die das Auftreten der abnormalen Bedingung angibt.When it is determined that the target control function is normal, which is YES at S140, the control monitoring processing ends. In contrast, when it is determined that the target control function is abnormal, which is NO at S140, the control monitoring processing proceeds to step S150. At S150, a predetermined fail-safe procedure is executed to prohibit part of the control of the target control function. After S150, the control monitoring processing ends. Alternatively, it is possible to execute the fail-safe procedure at S150 only if it is determined at S140 that the target control function is abnormal several times according to a predetermined number. Further, an alarm procedure for informing a user (eg, a driver) of the vehicle of occurrence of an abnormal condition may be performed at S150 in addition to the fail-safe procedure. For example, the alarm procedure may illuminate an alarm, activate an alarm buzzer, and / or generate a visible or audible message indicating the occurrence of the abnormal condition.

Unter der Annahme, dass die Steuerungsüberwachungsfunktion die Leerlaufstoppsteuerungsüberwachungsfunktion 52 ist, wird die Eingabeinformation (beispielsweise das Bremssignal, das Gaspedalsignal und das Geschwindigkeitssignal), die verwendet wird, um zu bestimmen, ob die Bedingung für automatisches Stoppen erfüllt ist, bei S110 ausgelesen. Dann wird bei S120 ein Ergebnis einer Bestimmung bezüglich dessen, ob ein automatisches Stoppen des Motors 17 auszuführen ist, als das Ergebnis der Berechnung gelesen, die durch die Leerlaufstoppsteuerfunktion 51 ausgeführt wird. Es ist zu beachten, dass das automatische Stoppen des Motors 17 nachfolgend manchmal einfach als „Leerlaufstopp” bezeichnet wird. Dann wird bei S130 bestimmt, ob die Bedingung für automatisches Stoppen erfüllt ist, basierend auf der bei S110 gelesenen Eingabeinformation. Ferner wird bei S130 ein Ergebnis der Bestimmung bezüglich dessen, ob die Bedingung für automatisches Stoppen erfüllt ist, als der Bestimmungswert festgelegt. Dann wird bei S140 bestimmt, ob die Leerlaufstoppsteuerfunktion 51 normal oder abnormal ist, indem bestimmt wird, ob der Bestimmungswert, der bei S130 festgelegt wird, theoretisch gleich dem Ergebnis der Bestimmung ist, das bei S120 gelesen wird.Assuming that the control monitoring function is the idling stop control monitoring function 52 is, the input information (eg, the brake signal, the accelerator pedal signal, and the speed signal) used to determine whether the automatic stop condition is satisfied is read out at S110. Then at S120, a result of a determination as to whether an automatic engine stop 17 is to be executed, as the result of the calculation read by the idling stop control function 51 is performed. It should be noted that the automatic stopping of the engine 17 sometimes simply referred to as "idling stop" hereinafter. Then, at S130, it is determined whether the automatic stop condition is satisfied based on the input information read at S110. Further, at S130, a result of the determination as to whether the automatic stop condition is satisfied is set as the determination value. Then, at S140, it is determined whether the idling stop control function 51 is normal or abnormal, by determining whether the determination value set at S130 is theoretically equal to the result of the determination read at S120.

Insbesondere wird bei S140 bestimmt, dass die Leerlaufstoppsteuerfunktion 51 abnormal ist, wenn der Bestimmungswert angibt, dass die Bedingung für automatisches Stoppen trotz der Tatsache nicht erfüllt ist, dass das Ergebnis der Berechnung, die durch die Leerlaufstoppsteuerfunktion 51 ausgeführt wird, angibt, den Leerlaufstopp auszuführen, oder wenn der Bestimmungswert angibt, dass die Bedingung für automatisches Stoppen trotz der Tatsache erfüllt ist, dass das Ergebnis der Berechnung, die durch die Leerlaufstoppsteuerfunktion 51 ausgeführt wird, angibt, den Leerlaufstopp nicht auszuführen. Dann wird, wenn bestimmt wird, dass die Leerlaufstoppsteuerfunktion 51 abnormal ist, was NEIN bei S140 entspricht, die Ausfallsicherheitsprozedur bei S150 ausgeführt.Specifically, it is determined at S140 that the idling stop control function 51 is abnormal if the determination value indicates that the automatic stop condition is not satisfied despite the fact that the result of the calculation made by the idling stop control function 51 is executed, indicates to execute the idling stop, or if the determination value indicates that the automatic stop condition is satisfied despite the fact that the result of the calculation made by the idling stop control function 51 is executed, indicating not to execute the idle stop. Then, when it is determined that the idling stop control function 51 is abnormal, which corresponds to NO at S140, the fail-safe procedure is performed at S150.

Beispielsweise kann die bei S150 ausgeführte Ausfallsicherheitsprozedur verbieten, dass die Leerlaufstoppsteuerfunktion 51 den Leerlaufstopp ausführt (d. h. die primäre Steuerung der Leerlaufstoppsteuerung). In diesem Fall kann beispielsweise die Ausfallsicherheitsprozedur einen Signalpfad blockieren, durch welchen der Mikrocomputer 3 den Motorstoppbefehl an die andere ECU sendet, die den Motor 17 steuert. Es ist zu beachten, dass die bei S150 ausgeführte Ausfallsicherheitsprozedur nicht verbietet, dass die Leerlaufstoppsteuerfunktion 51 die sekundäre Steuerung der Leerlaufstoppsteuerung ausführt. Demnach kann, sogar wenn die Ausfallsicherheitsprozedur bei S150 ausgeführt wird, der Motoranlasser 19 beispielsweise durch eine Inbetriebnahmeoperation des Fahrers gesteuert werden.For example, the fail-safe procedure performed at S150 may prohibit the idle-stop control function 51 performs the idle stop (ie the primary idle stop control). In this case, for example, the fail-safe procedure may block a signal path through which the microcomputer 3 sends the engine stop command to the other ECU that controls the engine 17 controls. It should be noted that the fail-safe procedure performed at S150 does not prohibit the idle-stop control function 51 performs the secondary control of the idling stop control. Thus, even if the fail-safe procedure is performed at S150, the engine starter 19 For example, be controlled by a startup operation of the driver.

Als ein weiteres Beispiel kann mindestens das Geschwindigkeitssignal als die Eingabeinformation bei S110 gelesen werden. In dem weiteren Beispiel kann bei S130 basierend auf dem Geschwindigkeitssignal bestimmt werden, ob bei der gegenwärtigen Situation der Leerlaufstopp nicht ausgeführt werden soll, und ein Ergebnis der Bestimmung kann als der Bestimmungswert festgelegt werden. Dann kann bei S140 bestimmt werden, dass die Leerlaufstoppsteuerfunktion 51 abnormal ist, wenn der Bestimmungswert angibt, dass bei der gegenwärtigen Situation der Leerlaufstopp trotz der Tatsache nicht ausgeführt werden sollte, dass das Ergebnis der Berechnung, die durch die Leerlaufstoppsteuerfunktion 51 ausgeführt wird, angibt, den Leerlaufstopp auszuführen.As another example, at least the speed signal may be read as the input information at S110. In the further example, at S130, based on the speed signal, it may be determined whether the idling stop should not be performed in the present situation, and a result of the determination may be set as the determination value. Then, at S140, it may be determined that the idling stop control function 51 is abnormal if the determination value indicates that in the current situation, the idling stop is not in spite of the fact should be executed that the result of the calculation, by the idle stop control function 51 is executed, indicates to execute the idle stop.

Andererseits wird unter der Annahme, dass die Steuerungsüberwachungsfunktion die Drehmomentsteuerungsüberwachungsfunktion 55 ist, die Eingabeinformation (beispielsweise das Rotationssignal und das Gaspedalsignal), die verwendet wird, um das Zieldrehmoment, das durch den Motor 17 auszugeben ist, zu berechnen, bei S110 gelesen. Dann wird bei S120 das Zieldrehmoment als das Ergebnis der Berechnung gelesen, die durch die Drehmomentsteuerfunktion 54 ausgeführt wird. Dann wird bei S130 ein erlaubtes Drehmoment als der Bestimmungswert basierend auf der bei S110 gelesenen Eingabeinformation berechnet. Es ist zu beachten, dass das erlaubte Drehmoment ein Maximalwert des Zieldrehmoments ist, das durch die Drehmomentsteuerfunktion 54 berechnet werden kann, wenn die Drehmomentsteuerfunktion 54 normal ist. Alternativ kann das erlaubte Drehmoment um einen vorbestimmten Wert größer als der maximale Wert sein. Dann wird bei S140 bestimmt, ob die Drehmomentsteuerfunktion 54 normal oder abnormal ist, indem bestimmt wird, ob das bei S120 gelesene Zieldrehmoment nicht größer als das bei S130 berechnete erlaubte Drehmoment ist. Wird bestimmt, dass das Zieldrehmoment größer als das erlaubte Drehmoment ist, was NEIN bei S140 entspricht, wird die Ausfallsicherheitsprozedur bei S150 ausgeführt.On the other hand, assuming that the control monitoring function is the torque control monitoring function 55 is, the input information (for example, the rotation signal and the accelerator pedal signal), which is used to the target torque, by the motor 17 output, to be calculated, read at S110. Then, at S120, the target torque is read as the result of the calculation made by the torque control function 54 is performed. Then, at S130, an allowable torque is calculated as the determination value based on the input information read at S110. It should be noted that the allowable torque is a maximum value of the target torque generated by the torque control function 54 can be calculated when the torque control function 54 is normal. Alternatively, the allowable torque may be greater than the maximum value by a predetermined value. Then, at S140, it is determined whether the torque control function 54 is normal or abnormal by determining whether the target torque read at S120 is not greater than the allowable torque calculated at S130. If it is determined that the target torque is greater than the allowable torque, which is NO at S140, the fail-safe procedure is executed at S150.

Beispielsweise kann die bei S150 ausgeführte Ausfallsicherheitsprozedur einen maximalen Öffnungsgrad der Drosselklappe 21, der durch die Drehmomentsteuerfunktion 54 gesteuert wird, auf einen vorbestimmten erlaubten Öffnungsgrad beschränken. Beispielsweise kann der erlaubte Öffnungsgrad als ein Öffnungsgrad der Drosselklappe 21, wenn der Motor 17 das erlaubte Drehmoment ausgibt oder wenn der Motor 17 ein Drehmoment ausgibt, das um einen vorbestimmten Wert kleiner als das erlaubte Drehmoment ist, definiert werden. In diesem Fall kann beispielsweise die Ausfallsicherheitsprozedur ein Ausgabetastverhältnis des Drosselklappensteuersignals, das vom Mikrocomputer 3 an den Drosselklappenmotortreiber 15 ausgegeben wird, in ein vorbestimmtes erlaubtes Tastverhältnis entsprechend dem erlaubten Öffnungsgrad umschreiben, wenn das Ausgabetastverhältnis nicht kleiner als das erlaubte Tastverhältnis ist. Beispielsweise kann das Ausgabetastverhältnis des Drosselklappensteuersignals in einem internen Register des Mikrocomputers 3 festgelegt werden. Alternativ kann beispielsweise ein Signalpfad, durch den das Drosselklappensteuersignal vom Mikrocomputer 3 an den Drosselklappenmotortreiber 15 gesendet wird, auf einen anderen Signalpfad umgeschaltet werden, so dass ein anderes Drosselklappensignal mit dem erlaubten Tastverhältnis an den Drosselklappenmotortreiber 15 gesendet werden kann. Es ist zu beachten, dass die Ausfallsicherheitsprozedur, die bei S150 ausgeführt wird, der Drehmomentsteuerfunktion 54 nicht verbietet, den Öffnungsgrad der Drosselklappe 21 zu steuern, wenn der Öffnungsgrad der Drosselklappe 21 nicht größer als der erlaubte Öffnungsgrad ist. Das heißt, sogar wenn die Ausfallsicherheitsprozedur bei S150 ausgeführt wird, kann der Öffnungsgrad der Drosselklappe 21 gesteuert werden, sofern der Öffnungsgrad der Drosselklappe 21 den erlaubten Öffnungsgrad nicht überschreitet.For example, the fail-safe procedure executed at S150 may indicate a maximum opening degree of the throttle 21 that by the torque control function 54 is restricted to a predetermined allowable opening degree. For example, the allowable opening degree may be an opening degree of the throttle valve 21 when the engine 17 outputs the allowed torque or if the engine 17 outputs a torque that is smaller than the allowable torque by a predetermined value. In this case, for example, the fail-safe procedure may be an output duty ratio of the throttle control signal received from the microcomputer 3 to the throttle motor driver 15 when the output duty ratio is not smaller than the allowable duty ratio, is written into a predetermined allowable duty ratio corresponding to the allowable opening degree. For example, the output duty ratio of the throttle control signal may be in an internal register of the microcomputer 3 be determined. Alternatively, for example, a signal path through which the throttle control signal from the microcomputer 3 to the throttle motor driver 15 is sent, be switched to another signal path, so that another throttle signal with the allowed duty cycle to the throttle motor driver 15 can be sent. It should be noted that the fail-safe procedure performed at S150 is the torque control function 54 does not prohibit the opening degree of the throttle 21 to control when the opening degree of the throttle 21 not greater than the permitted opening degree. That is, even if the fail-safe procedure is executed at S150, the opening degree of the throttle valve may be increased 21 be controlled, provided the degree of opening of the throttle 21 does not exceed the permitted opening degree.

Als ein weiteres Beispiel kann bei S130 ein weiteres Zieldrehmoment anstelle des erlaubten Drehmoments als der Bestimmungswert berechnet werden, indem dasselbe Programm als die Drehmomentsteuerfunktion 54 verwendet wird. Dann kann bei S140 bestimmt werden, ob die Drehmomentsteuerfunktion 54 normal oder abnormal ist, indem das andere bei S30 berechnete Zieldrehmoment mit dem bei S120 gelesenen Zieldrehmoment verglichen wird. Dann kann, wenn eine Differenz zwischen dem Zieldrehmoment nicht null ist, bestimmt werden, dass die Drehmomentsteuerfunktion 54 abnormal ist, was NEIN bei S140 entspricht, und die Ausfallsicherheitsprozedur kann bei S150 ausgeführt werden. Alternativ kann, wenn die Differenz zwischen den Zieldrehmomenten größer als ein vorbestimmter Wert ist, bestimmt werden, dass die Drehmomentsteuerfunktion 54 abnormal ist, was NEIN bei S140 entspricht, und die Ausfallsicherheitsprozedur kann bei S150 ausgeführt werden.As another example, at S130, another target torque instead of the allowable torque may be calculated as the determination value by using the same routine as the torque control function 54 is used. Then, at S140, it may be determined whether the torque control function 54 is normal or abnormal by comparing the other target torque calculated at S30 with the target torque read at S120. Then, if a difference between the target torque is not zero, it may be determined that the torque control function 54 is abnormal, which is NO at S140, and the fail-safe procedure may be executed at S150. Alternatively, if the difference between the target torques is greater than a predetermined value, it may be determined that the torque control function 54 is abnormal, which is NO at S140, and the fail-safe procedure may be executed at S150.

Als weiteres Beispiel kann die Eingabeinformation (beispielsweise das Rotationssignal, das Gaspedalsignal und ein Einlassluftsignal, das den Betrag von in den Motor 17 eingelassener Luft angibt), die verwendet wird, um nicht nur das erlaubte Drehmoment, sondern ebenso ein tatsächliches Ausgabedrehmoment des Motors 17 zu berechnen, bei S110 gelesen werden. In diesem Beispiel kann Schritt S120 übersprungen werden. Dann kann bei S130 das erlaubte Drehmoment als der Bestimmungswert basierend auf der bei S110 gelesenen Eingabeinformation berechnet werden. Ferner kann bei S130 das tatsächliche Ausgabedrehmoment basierend auf der bei S110 gelesenen Eingabeinformation berechnet werden. Dann kann bei S140 bestimmt werden, ob die Drehmomentsteuerfunktion 54 normal oder abnormal ist, indem das erlaubte Drehmoment mit dem tatsächlichen Ausgabedrehmoment verglichen wird. Dann kann, wenn das tatsächliche Ausgabedrehmoment größer als das erlaubte Drehmoment ist, bestimmt werden, dass die Drehmomentsteuerfunktion 54 abnormal ist, was NEIN bei S140 entspricht, und die Ausfallsicherheitsprozedur kann bei S150 ausgeführt werden.As another example, the input information (eg, the rotation signal, the accelerator pedal signal, and an intake air signal, which is the amount of in the engine 17 indicated air), which is used to not only the allowable torque, but also an actual output torque of the engine 17 to be calculated, read at S110. In this example, step S120 may be skipped. Then, at S130, the allowable torque may be calculated as the determination value based on the input information read at S110. Further, at S130, the actual output torque may be calculated based on the input information read at S110. Then, at S140, it may be determined whether the torque control function 54 is normal or abnormal by comparing the allowable torque with the actual output torque. Then, if the actual output torque is greater than the allowable torque, it may be determined that the torque control function 54 is abnormal, which is NO at S140, and the fail-safe procedure may be executed at S150.

Als Nächstes wird eine Überwachungsüberprüfungsverarbeitung, die in der Leerlaufstoppüberwachungsüberprüfungsfunktion 53 und der Drehmomentüberwachungsüberprüfungsfunktion 56 ausgeführt wird, nachfolgend mit Bezug auf 3 erläutert. Next, a watchdog check processing that is in the idle stop watchdog check function 53 and the torque monitor verification function 56 is executed, with reference to 3 explained.

In der nachfolgenden Beschreibung werden, wenn die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 und die Drehmomentüberwachungsüberprüfungsfunktion 56 nicht voneinander unterschieden werden, die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 und die Drehmomentüberwachungsüberprüfungsfunktion 56 kollektiv als die „Überprüfungsfunktion” bezeichnet. Ebenso wird in der nachfolgenden Beschreibung eine durch die Überprüfungsfunktion zu überprüfende Steuerungsüberwachungsfunktion als die „Zielüberwachungsfunktion” bezeichnet. Insbesondere, wenn die Überprüfungsfunktion die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ist, ist die Zielüberwachungsfunktion die Leerlaufstoppsteuerungsüberwachungsfunktion 52, und wenn die Überprüfungsfunktion die Drehmomentüberwachungsüberprüfungsfunktion 56 ist, ist die Zielüberwachungsfunktion die Drehmomentsteuerungswachungsfunktion 55.In the description below, when the idling stop monitoring check function 53 and the torque monitor verification function 56 are not differentiated from each other, the idling stop monitoring check function 53 and the torque monitor verification function 56 collectively referred to as the "verification function". Also, in the following description, a control monitoring function to be checked by the checking function will be referred to as the "target monitoring function". In particular, when the verification function is the idle-stop monitoring check function 53 is, the target monitoring function is the idling stop control monitoring function 52 , and if the verification function is the torque monitoring verification function 56 is, the target monitoring function is the torque control function 55 ,

Die in 3 dargestellte Überwachungsüberprüfungsverarbeitung wird beispielsweise durch jeden der Prozessoren 31 und 32 in einem regelmäßigen Zeitabstand ausgeführt.In the 3 For example, monitor verification processing shown by each of the processors 31 and 32 executed at regular intervals.

Wie in 3 dargestellt ist, startet die Überwachungsüberprüfungsverarbeitung bei S210, wo jeder der Prozessoren 31 und 32 das Programm, das die Zielüberwachungsfunktion implementiert, unter Verwendung von Dummy-Eingabeinformationen bzw. Fülleingebeinformationen anstelle tatsächlicher Eingabeinformationen ausführt. In anderen Worten wird bei S210 die Steuerungsüberwachungsverarbeitung, die in 2 dargestellt ist, unter Verwendung der Fülleingabeinformation ausgeführt.As in 3 is shown, the monitor check processing starts at S210, where each of the processors 31 and 32 the program implementing the target monitoring function executes dummy input information instead of actual input information using dummy input information. In other words, at S210, the control monitoring processing included in 2 is executed using the fill input information.

Beispielsweise werden gemäß der Ausführungsform Schritte S120, S130 und S140 von 2 bei S210 unter Verwendung der in dem ROM 33 vorab gespeicherten Fülleingabeinformation anstelle der bei S110 von 2 gelesenen tatsächlichen Eingabeinformation ausgeführt. Wie später erläutert wird, weist die im ROM 33 vorab gespeicherte Fülleingabeinformation mehrere unterschiedliche Füllinformationselemente auf, und das bei S210 verwendete Füllinformationselement wird jedes Mal geändert, wenn die Überwachungsüberprüfungsverarbeitung ausgeführt wird.For example, according to the embodiment, steps S120, S130, and S140 of FIG 2 at S210 using the in the ROM 33 pre-stored fullness information instead of at S110 of 2 executed actual input information. As will be explained later, in ROM 33 pre-stored fullness input information has a plurality of different fill information items, and the fill information item used at S210 is changed each time the watchdog check processing is executed.

Dann fährt die Überwachungsüberprüfungsverarbeitung mit S220 fort, wo bestimmt wird, ob ein Ergebnis der bei S140 ausgeführten Bestimmung, die bei S210 ausgeführt wird, angibt, dass die Zielsteuerfunktion normal ist. Kurz gesagt wird bei S220 bestimmt, ob das Ergebnis der bei S210 ausgeführten Bestimmung normal ist.Then, the monitor check processing proceeds to S220, where it is determined whether a result of the determination made at S140 made at S210 indicates that the target control function is normal. In short, it is determined at S220 whether the result of the determination made at S210 is normal.

Wird bestimmt, dass das Ergebnis der bei S210 ausgeführten Bestimmung normal ist, was JA bei S220 entspricht, fährt die Überwachungsüberprüfungsverarbeitung mit S230 fort. Bei S230 wird eine normale Information bzw. Normalinformation, die angibt, dass die Zielsteuerfunktion normal ist, als die Überprüfungsergebnisinformation an die Kommunikationsschaltung 37 ausgegeben. Wenn im Gegensatz dazu bestimmt wird, dass das Ergebnis der bei S210 ausgeführten Bestimmung abnormal ist, was NEIN bei S220 entspricht, fährt die Überwachungsüberprüfungsverarbeitung mit S240 fort. Bei S240 wird eine abnormale Information bzw. Abnormalinformation, die angibt, dass die Zielsteuerfunktion abnormal ist, als die Überprüfungsergebnisinformation an die Kommunikationsschaltung 37 ausgegeben. Nach S230 oder S240 endet die Überwachungsüberprüfungsverarbeitung.When it is determined that the result of the determination made at S210 is normal, which is YES at S220, the monitoring check processing proceeds to S230. At S230, normal information indicating that the target control function is normal is sent to the communication circuit as the check result information 37 output. Conversely, if it is determined that the result of the determination made at S210 is abnormal, which is NO at S220, the monitoring check processing proceeds to S240. At S240, abnormal information indicating that the target control function is abnormal is sent to the communication circuit as the check result information 37 output. After S230 or S240, the audit verification processing ends.

Unter der Annahme, dass die Überprüfungsfunktion die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ist, wird die erste Identifikationsinformation der normalen Information bei S230 hinzugefügt und der abnormalen Information bei S240 hinzugefügt. Wie vorstehend erläutert, gibt die erste Identifikationsinformation an, dass die Überprüfungsergebnisinformation durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird.Assuming that the check function is the idle stop watchdog check function 53 is the first identification information is added to the normal information at S230 and added to the abnormal information at S240. As explained above, the first identification information indicates that the check result information by the idle-stop monitoring check function 53 is issued.

Andererseits wird unter der Annahme, dass die Überprüfungsfunktion die Drehmomentüberwachungsüberprüfungsfunktion 56 ist, die zweite Identifikationsinformation der normalen Information bei S230 hinzugefügt und der abnormalen Information bei S240 hinzugefügt. Wie vorstehend erläutert, gibt die zweite Identifikationsinformation an, dass die Überprüfungsergebnisinformation durch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird.On the other hand, assuming that the check function is the torque monitor check function 56 is added the second identification information of the normal information at S230 and added to the abnormal information at S240. As explained above, the second identification information indicates that the check result information by the torque monitor check function 56 is issued.

Die Fülleingabeinformation beinhaltet ein erstes Füllinformationselement und ein zweites Füllinformationselement. Das erste Füllinformationselement verursacht, dass das Ergebnis der bei S220 ausgeführten Bestimmung unter der Bedingung normal wird, dass sowohl das Programm als auch der Prozessor (31 oder 32) normal sind. In anderen Worten verursacht das erste Füllinformationselement, dass das Ergebnis der bei S140 von 2 ausgeführten Bestimmung angibt, dass die Zielsteuerfunktion unter der Bedingung normal ist, dass sowohl das Programm als auch der Prozessor normal sind. Im Gegensatz dazu verursacht das zweite Füllinformationselement, dass das Ergebnis der bei S220 ausgeführten Bestimmung unter der Bedingung abnormal wird, dass das Programm und der Prozessor normal sind. In anderen Worten verursacht das zweite Füllinformationselement, dass das Ergebnis der bei S140 von 2 ausgeführten Bestimmung angibt, dass die Zielsteuerfunktion unter der Bedingung abnormal ist, dass das Programm und der Prozessor (31 oder 32) normal sind.The fill input information includes a first fill information element and a second fill information element. The first fill information item causes the result of the determination made at S220 to become normal under the condition that both the program and the processor (FIG. 31 or 32 ) are normal. In other words, the first one causes Fill information element that results at S140 of 2 The stated determination indicates that the target control function is normal under the condition that both the program and the processor are normal. In contrast, the second filling information item causes the result of the determination made at S220 to become abnormal on the condition that the program and the processor are normal. In other words, the second fill information item causes the result of S140 of FIG 2 stated determination indicates that the target control function is abnormal on the condition that the program and the processor ( 31 or 32 ) are normal.

Gemäß der Ausführungsform wird die Fülleingabeinformation, die durch die Überprüfungsfunktion verwendet wird, derart ausgewählt, dass die Überprüfungsergebnisinformation, die durch die Überprüfungsfunktion ausgegeben wird, sich mit einem spezifischen vorbestimmten Muster ändern kann. Beispielsweise kann das spezifische vorbestimmte Muster wie folgt sein: „normale Information” → „normale Information” → „abnormale Information” → „normale Information” → „normale Information” → „abnormale Information”.According to the embodiment, the rich input information used by the checking function is selected such that the check result information output by the checking function may change with a specific predetermined pattern. For example, the specific predetermined pattern may be as follows: "normal information" → "normal information" → "abnormal information" → "normal information" → "normal information" → "abnormal information".

Mit einem derartigen Ansatz kann, wenn die Überprüfungsergebnisinformation, die durch die Überprüfungsfunktion ausgegeben wird, sich gemäß dem spezifischen vorbestimmten Muster ändert, bestimmt werden, dass die Zielsteuerfunktion (d. h. die Steuerungsüberwachungsfunktion, die durch die Überprüfungsfunktion überprüft wird) normal ist. Im Gegensatz dazu kann, wenn die Überprüfungsergebnisinformation, die durch die Überprüfungsfunktion ausgegeben wird, sich nicht gemäß dem spezifischen vorbestimmten Muster ändert, bestimmt werden, dass die Zielsteuerfunktion abnormal ist.With such an approach, when the check result information output by the check function changes according to the specific predetermined pattern, it may be determined that the target control function (i.e., the control monitor function checked by the check function) is normal. In contrast, when the check result information output by the check function does not change according to the specific predetermined pattern, it may be determined that the target control function is abnormal.

In dem vorstehenden Beispiel werden Schritte S120, S130 und S140 der Steuerungsüberwachungsverarbeitung durch die Überprüfungsfunktion überprüft. Alternativ können andere Schritte der Steuerungsüberwachungsverarbeitung durch die Überprüfungsfunktion überprüft werden.In the above example, steps S120, S130, and S140 of the control monitoring processing are checked by the checking function. Alternatively, other steps of control monitoring processing may be checked by the checking function.

Als Nächstes wird eine Ausfallbestimmungsverarbeitung, die durch den Bestimmungsabschnitt 63 für eine ausgefallene Funktion des Überwachungs-IC 7 ausgeführt wird, nachfolgend mit Bezug auf 4 erläutert.Next, a failure determination processing executed by the determination section 63 for a failed function of the monitoring IC 7 is executed, with reference to 4 explained.

Wie vorstehend beschrieben ist, bestimmt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion basierend auf der der Überprüfungsergebnisinformation hinzugefügten Identifikationsinformation, ob die Überprüfungsergebnisinformation, die durch die serielle Kommunikationsleitung 6 und die Kommunikationsschaltung 61 empfangen wird, durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 oder die Drehmomentüberwachungsüberprüfungsfunktion 56 des Mikrocomputers 3 ausgegeben wird.As described above, the determining section determines 63 for a failed function based on the identification information added to the check result information, whether the check result information obtained by the serial communication line 6 and the communication circuit 61 is received by the idling stop monitoring check function 53 or the torque monitor verification function 56 of the microcomputer 3 is issued.

Dann führt der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die Ausfallbestimmungsverarbeitung für jede der Überprüfungsfunktionen 53 und 56 beispielsweise in einem regelmäßigen Zeitintervall durch.Then the destination section leads 63 for a failed function, the failure determination processing for each of the verification functions 53 and 56 for example, in a regular time interval.

Wie in 4 dargestellt ist, startet die Ausfallbestimmungsverarbeitung bei S310, wo der Bestimmungsabschnitt für eine ausgefallene Funktion bestimmt, ob die Überprüfungsergebnisinformation, die durch die Überprüfungsfunktion ausgegeben wird, sich gemäß dem spezifischen vorbestimmten Muster ändert.As in 4 is shown, the failure determination process starts at S310 where the failed function determination section determines whether the verification result information output by the verification function changes according to the specific predetermined pattern.

Wenn der Bestimmungsabschnitt für eine ausgefallene Funktion bestimmt, dass sich die Überprüfungsergebnisinformation gemäß dem spezifischen vorbestimmten Muster ändert, was JA bei S310 entspricht, fährt die Ausfallbestimmungsverarbeitung mit S320 fort. Bei S320 bestimmt der Bestimmungsabschnitt für eine ausgefallene Funktion, dass die Zielsteuerfunktion (d. h. die Steuerungsüberwachungsfunktion, die durch die Überprüfungsfunktion überprüft wird) normal ist. Nach S320 endet die Ausfallbestimmungsverarbeitung.When the failed function determining section determines that the check result information changes according to the specific predetermined pattern, which is YES at S310, the failure determination processing proceeds to S320. At S320, the failed function determining section determines that the target control function (i.e., the control monitoring function that is checked by the checking function) is normal. After S320, the failure determination processing ends.

Wenn im Gegensatz dazu der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass sich die Überprüfungsergebnisinformation nicht gemäß dem spezifischen vorbestimmten Muster ändert, was NEIN bei S310 entspricht, fährt die Ausfallbestimmungsverarbeitung mit S330 fort. Bei S330 macht der Bestimmungsabschnitt 63 für eine ausgefallene Funktion eine provisorische Bestimmung, dass die Zielsteuerfunktion abnormal ist. Dann fährt die Ausfallbestimmungsverarbeitung mit S340 fort, wo der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, ob die provisorische Bestimmung für eine vorbestimmte Zeitperiode anhält (das heißt, weiterhin gilt). Wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die provisorische Bestimmung nicht für die vorbestimmte Zeitperiode anhält, was NEIN bei S340 entspricht, endet die Ausfallbestimmungsverarbeitung.If, on the contrary, the determining section 63 for a failed function, if the check result information does not change according to the specific predetermined pattern, which is NO at S310, the failure determination processing proceeds to S330. At S330, the determination section makes 63 for a failed function, a provisional determination that the target control function is abnormal. Then, the failure determination processing proceeds to S340, where the determination section 63 for a failed function determines whether the provisional determination for a predetermined period of time stops (that is, continues to apply). If the determining section 63 for a failed function determines that the provisional determination does not stop for the predetermined period of time, which corresponds to NO at S340, the failure determination processing ends.

Wenn im Gegensatz dazu der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die provisorische Bestimmung für die vorbestimmte Zeitperiode anhält, was JA bei S340 entspricht, fährt die Ausfallbestimmungsverarbeitung mit S350 fort. Bei S350 macht der Bestimmungsabschnitt 63 für eine ausgefallene Funktion eine finale Bestimmung, dass die Zielsteuerfunktion abnormal ist, und führt eine vorbestimmte Ausfallsicherheitsprozedur aus, die mit der entsprechenden Steuerung verknüpft ist (d. h. der Leerlaufstoppsteuerung oder Drehmomentsteuerung). Nach S350 endet die Ausfallbestimmungsverarbeitung.If, on the contrary, the determining section 63 for a failed function determines that the provisional determination for the predetermined time period stops, which is YES in S340, the failure determination processing proceeds to S350. For S350, the destination section is 63 for a failed function, a final determination that the target control function is abnormal, and executes a predetermined fail-safe procedure associated with the corresponding control (ie, idling stop control or torque control). After S350, the failure determination processing ends.

Als Nächstes wird die Ausfallsicherheitsprozedur, die bei S350 durch den Bestimmungsabschnitt 63 für eine ausgefallene Funktion ausgeführt wird, im Detail erläutert.Next, the fail-safe procedure performed at S350 by the determining section 63 for a failed function is explained in detail.

Als Erstes führt unter der Annahme, dass die Überprüfungsfunktion die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ist, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 62 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die mit der Leerlaufstoppsteuerung verknüpfte Ausfallsicherheitsprozedur durch, indem er dem Anlassersteuersignal, das vom Mikrocomputer 3 an den Anlasserrelaistreiber 11 ausgegeben wird, verbietet, das Anlasserrelais 9 einzuschalten. Beispielsweise kann gemäß der Ausführungsform der Bestimmungsabschnitt 63 für eine ausgefallene Funktion in der Ausfallsicherheitsprozedur ein Verbotssignal an den Anlasserrelaistreiber 11 ausgeben, und der Anlasserrelaistreiber 11 kann das Anlasserrelais 9 ausgehend vom Empfang des Verbotssignals ungeachtet des Anlassersteuersignals ausgeschaltet lassen.First, assuming that the check function performs the idle stop check check function 53 is when the determining section 63 for a failed function determines that the idle stop control monitoring function 62 is abnormal, the determining section 63 for a failed function, the fail-safe procedure associated with idle-stop control by passing the starter control signal received from the microcomputer 3 to the starter relay driver 11 is issued prohibits the starter relay 9 turn. For example, according to the embodiment, the determination section 63 for a failed function in the fail-safe procedure, a prohibition signal to the starter relay driver 11 output, and the starter relay driver 11 can the starter relay 9 let go off the reception of the prohibition signal regardless of the starter control signal.

Wird der Leerlaufstopp (d. h. das automatische Stoppen des Motors 17) unter einer Bedingung ausgeführt, dass es dem Anlasserrelais 9 verboten bleibt, eingeschaltet zu werden, kann der Motor 17 danach nicht neu gestartet werden. Aus diesem Grund verbietet der Bestimmungsabschnitt 63 für eine ausgefallene Funktion den Leerlaufstopp in der mit der Leerlaufstoppsteuerung verknüpften Ausfallsicherheitsprozedur. Beispielsweise kann der Bestimmungsabschnitt 63 für eine ausgefallene Funktion den Leerlaufstopp verbieten, indem er dieselbe Prozedur ausführt, die bei der Leerlaufstoppsteuerungsüberwachungsfunktion 52 bei S150 von 2 ausgeführt wird.Will the idling stop (ie the automatic stop of the engine 17 ) under a condition that it is the starter relay 9 The engine can not be switched on 17 thereafter not be restarted. For this reason, the determining section prohibits 63 for a failed feature, the idle stop in the failover procedure associated with idle stop control. For example, the determination section 63 for a failed function, prohibit idle stop by performing the same procedure as in the Idle Stop Control Monitor feature 52 at S150 of 2 is performed.

Das heißt, wenn die Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist, gibt es keine Garantie, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 die Leerlaufstoppsteuerfunktion 51 richtig überwacht und die Ausfallsicherheitsprozedur richtig ausführt. Aus diesem Grund verbietet, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion basierend auf der Überprüfungsergebnisinformation, die durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 63 ausgegeben wird, bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die gesamte Steuerung (d. h. sowohl die primäre Steuerung als auch die sekundäre Steuerung) der Leerlaufstoppsteuerfunktion 51. Dieser Ansatz unterbindet, dass die Leerlaufstoppsteuerfunktion 51 versehentlich den Motor 17 anlässt.That is, when the idle stop control monitoring function 52 is abnormal, there is no guarantee that the idle stop control monitoring function 52 the idling stop control function 51 is properly monitored and performs the fail-safe procedure correctly. For this reason, if the determining section prohibits 63 for a failed function based on the check result information obtained by the idle-stop monitoring check function 63 is output, determines that the idling stop control monitoring function 52 is abnormal, the determining section 63 for a failed function, the entire control (ie both the primary control and the secondary control) of the idling stop control function 51 , This approach prevents the idle stop control function 51 accidentally the engine 17 anlässt.

Die Tatsache, dass der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist, kann angeben, dass die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 anstelle der Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist. Sogar in diesem Fall kann der Prozessor 32 die Leerlaufstoppsteuerfunktion 51 des Prozessors 31 nicht richtig überwachen. Demnach verbietet, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die gesamte Steuerung der Leerlaufstoppsteuerfunktion 51, wodurch Sicherheit gewährleistet wird.The fact that the determining section 63 for a failed function determines that the idle stop control monitoring function 52 is abnormal, can indicate that the idle stop monitoring feature 53 instead of the idling stop control monitoring function 52 is abnormal. Even in this case, the processor can 32 the idling stop control function 51 of the processor 31 do not monitor properly. Accordingly prohibited if the determining section 63 for a failed function determines that the idle stop control monitoring function 52 is abnormal, the determining section 63 for a failed function, the entire control of the idling stop control function 51 which ensures safety.

Anderseits führt unter der Annahme, dass die Überprüfungsfunktion die Drehmomentüberwachungsüberprüfungsfunktion 56 ist, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die mit der Drehmomentsteuerung verknüpfte Ausfallsicherheitsprozedur durch, indem er dem Drosselklappensteuersignal, das vom Mikrocomputer 3 an den Drosselklappenmotortreiber 15 ausgegeben wird, verbietet, den Öffnungsgrad der Drosselklappe 21 zu steuern. Beispielsweise kann gemäß der Ausführungsform der Bestimmungsabschnitt 63 für eine ausgefallene Funktion ein Verbotssignal an den Drosselklappenmotortreiber 15 in der Ausfallsicherheitsprozedur ausgeben, und der Drosselklappenmotortreiber 15 kann die Spannungsversorgung des Drosselklappenmotors 13 ausgehend vom Empfang des Verbotssignals ungeachtet des Drosselklappensteuersignals stoppen. Somit wird die elektrische Steuerung des Öffnungsgrads der Drosselklappe 21 verboten. Wenn die elektrische Steuerung des Öffnungsgrads der Drosselklappe 21 verboten wird, wird der Öffnungsgrad der Drosselklappe 21 bei einem Wert gehalten, der es dem Motor erlaubt, im Leerlauf zu laufen. Alternativ kann, wenn die elektrische Steuerung des Öffnungsgrads der Drosselklappe 21 verboten wird, der Öffnungsgrad der Drosselklappe 21 durch ein mechanisches Mittel innerhalb eines vorbestimmten Bereichs gemäß einer Operation des Gaspedals durch den Fahrer abgeglichen werden. Somit wird, sogar wenn die elektrische Steuerung des Öffnungsgrads der Drosselklappe 21 verboten wird, eine Minimalfahrt des Fahrzeugs sichergestellt.On the other hand, assuming that the check function performs the torque monitor check function 56 is when the determining section 63 for a failed function determines that the torque control monitoring function 55 is abnormal, the determining section 63 for a failed function, the failsafe procedure associated with the torque control by responding to the throttle control signal received from the microcomputer 3 to the throttle motor driver 15 is issued prohibits the opening degree of the throttle 21 to control. For example, according to the embodiment, the determination section 63 for a failed function, a prohibition signal to the throttle motor driver 15 in the fail-safe procedure, and the throttle motor driver 15 can be the power supply of the throttle motor 13 stopping from receipt of the prohibition signal regardless of the throttle control signal. Thus, the electric control of the opening degree of the throttle valve 21 forbidden. When the electrical control of the opening degree of the throttle 21 is prohibited, the opening degree of the throttle 21 held at a value that allows the engine to idle. Alternatively, when the electrical control of the opening degree of the throttle 21 is prohibited, the opening degree of the throttle 21 be adjusted by a mechanical means within a predetermined range according to an operation of the accelerator pedal by the driver. Thus, even if the electric control of the opening degree of the throttle valve 21 is prohibited, ensures a minimum travel of the vehicle.

Das heißt, wenn die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, besteht keine Garantie, dass die Drehmomentsteuerungsüberwachungsfunktion 55 die Drehmomentsteuerfunktion 54 richtig überwacht und die Ausfallsicherheitsprozedur richtig ausführt. Aus diesem Grund verbietet, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion basierend auf der Überprüfungsergebnisinformation, die durch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird, bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die gesamte Steuerung der Drehmomentsteuerfunktion 54. Dieser Ansatz unterbindet, dass die Drehmomentsteuerfunktion 54 versehentlich das Ausgabedrehmoment des Motors 17 erhöht.That is, when the torque control monitoring function 55 is abnormal, there is no guarantee that the torque control monitoring function 55 the torque control function 54 is properly monitored and performs the fail-safe procedure correctly. For this reason, if the determining section prohibits 63 for a failed function based on the check result information provided by the torque monitor check function 56 is output, determines that the torque control monitoring function 55 is abnormal, the determining section 63 for a failed function, the entire control of the torque control function 54 , This approach prevents the torque control function 54 accidentally the output torque of the motor 17 elevated.

Die Tatsache, dass der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, kann angeben, dass die Überprüfungsfunktion 56 anstelle der Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist. Sogar in diesem Fall kann der Prozessor 31 die Drehmomentsteuerfunktion 54 des Prozessors 32 nicht richtig überwachen. Demnach verbietet, wenn der Bestimmungsabschnitt 63 für eine ausgefallene Funktion bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 abnormal ist, der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die gesamte Steuerung der Drehmomentsteuerfunktion 54, wodurch Sicherheit gewährleistet wird.The fact that the determining section 63 for a failed function determines that the torque control monitoring function 55 is abnormal, can specify that the verification function 56 instead of the torque control monitoring function 55 is abnormal. Even in this case, the processor can 31 the torque control function 54 of the processor 32 do not monitor properly. Accordingly prohibited if the determining section 63 for a failed function determines that the torque control monitoring function 55 is abnormal, the determining section 63 for a failed function, the entire control of the torque control function 54 which ensures safety.

Nachdem der Bestimmungsabschnitt 63 für eine ausgefallene Funktion die Ausfallsicherheitsprozedur bei S350 ausführt, endet die Ausfallbestimmungsverarbeitung.After the determination section 63 for a failed function, executing the fail-safe procedure at S350, the failure determination processing ends.

Wie vorstehend beschrieben ist, weisen gemäß der Ausführungsform die Prozessoren 31 und 32 des Mikrocomputers 3 die Leerlaufstoppsteuerfunktion 51 bzw. die Drehmomentsteuerfunktion 54 auf. Der Prozessor 31 hat die Drehmomentsteuerungsüberwachungsfunktion 55 zum Überwachen der Drehmomentsteuerfunktion 54 des Prozessors 32 und zum Ausführen der Ausfallsicherheitsprozedur, wenn die Drehmomentsteuerfunktion 54 abnormal ist. Der Prozessor 32 hat die Leerlaufstoppsteuerungsüberwachungsfunktion 52 zum Überwachen der Leerlaufstoppsteuerfunktion 51 des Prozessors 31 und zum Ausführen der Ausfallsicherheitsprozedur, wenn die Leerlaufstoppsteuerfunktion 51 abnormal ist.As described above, according to the embodiment, the processors 31 and 32 of the microcomputer 3 the idling stop control function 51 or the torque control function 54 on. The processor 31 has the torque control monitoring function 55 for monitoring the torque control function 54 of the processor 32 and to execute the fail-safe procedure when the torque control function 54 is abnormal. The processor 32 has the idle stop control monitoring function 52 for monitoring the idling stop control function 51 of the processor 31 and to execute the fail-safe procedure when the idle-stop control function 51 is abnormal.

Somit erfasst, wenn die Steuerfunktion von einem der Prozessoren 31 und 32 abnormal wird, die Steuerungsüberwachungsfunktion des anderen der Prozessoren 31 und 32 die Abnormalität und führt die Ausfallsicherheitsprozedur (bei S150 in 2) aus, um Sicherheit zu gewährleisten. Da die Ausfallsicherheitsprozedur, die durch die Steuerungsüberwachungsfunktion ausgeführt wird, nicht die gesamte Steuerung der Zielsteuerfunktion verbietet, bleibt die Zielsteuerfunktion verfügbar. Beispielsweise verbietet, wenn die Leerlaufstoppsteuerungsüberwachungsfunktion 52 des Prozessors 32 die Abnormalität der Leerlaufstoppsteuerfunktion 51 des Prozessors 31 erfasst, die Ausfallsicherheitsprozedur, die durch die Leerlaufstoppsteuerungsüberwachungsfunktion 52 ausgeführt wird, der Leerlaufstoppsteuerfunktion 51, die primäre Steuerung der Leerlaufstoppsteuerung auszuführen, verbietet jedoch der Leerlaufstoppsteuerfunktion 51 nicht, die sekundäre Steuerung der Leerlaufstoppsteuerung auszuführen. Demnach können, wenn eine abnormale Bedingung in der ECU 1 auftritt, Sicherheit und Verfügbarkeit ins Gleichgewicht gebracht werden.Thus detected when the control function of one of the processors 31 and 32 becomes abnormal, the control monitoring function of the other of the processors 31 and 32 the abnormality and performs the fail - safe procedure (at S150 in 2 ) to ensure safety. Since the fail-safe procedure performed by the control monitor function does not prohibit the entire control of the target control function, the target control function remains available. For example, prohibits when the idle stop control monitoring function 52 of the processor 32 the abnormality of the idling stop control function 51 of the processor 31 detects the fail-safe procedure performed by the idle stop control monitoring function 52 is executed, the idle stop control function 51 However, to perform the primary control of the idling stop control prohibits the idling stop control function 51 not to execute the secondary control of the idling stop control. Thus, if an abnormal condition in the ECU 1 occurs, safety and availability are balanced.

Ferner weisen die Prozessoren 31 und 32 die Drehmomentüberwachungsüberprüfungsfunktion 56 bzw. die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 auf. Die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 des Prozessors 32 macht die erste Überprüfung bezüglich dessen, ob die Leerlaufstoppsteuerungsüberwachungsfunktion 52 des Prozessors 32 normal oder abnormal ist, und gibt die Überprüfungsergebnisinformation, die das Ergebnis der ersten Überprüfung angibt, an den Überwachungs-IC 7 durch die Kommunikationsschaltung 37 aus. Die Drehmomentüberwachungsüberprüfungsfunktion 56 des Prozessors 31 macht die zweite Überprüfung bezüglich dessen, ob die Drehmomentsteuerungsüberwachungsfunktion 55 des Prozessors 31 normal oder abnormal ist, und gibt die Überprüfungsergebnisinformation, die das Ergebnis der zweiten Überprüfung angibt, an den Überwachungs-IC 7 durch die Kommunikationsschaltung 37 aus.Further, the processors have 31 and 32 the torque monitoring check function 56 or the idling stop monitoring check function 53 on. The idle stop monitoring check function 53 of the processor 32 makes the first check as to whether the idle stop control monitoring function 52 of the processor 32 is normal or abnormal, and gives the check result information indicating the result of the first check to the monitor IC 7 through the communication circuit 37 out. The torque monitoring check function 56 of the processor 31 makes the second check as to whether the torque control monitor function 55 of the processor 31 is normal or abnormal, and gives the check result information indicating the result of the second check to the monitor IC 7 through the communication circuit 37 out.

Wenn der Überwachungs-IC 7 basierend auf dem Ergebnis der ersten Überprüfung, das durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 des Prozessors 32 ausgegeben wird, bestimmt, dass die Leerlaufstoppsteuerungsüberwachungsfunktion 52 des Prozessors 32 abnormal ist, verbietet der Überwachungs-IC 7 die gesamte Steuerung der Leerlaufstoppsteuerfunktion 51 des Prozessors 31, die durch die Leerlaufstoppsteuerungsüberwachungsfunktion 52 überwacht wird (bei S350 in 4).When the monitoring IC 7 based on the result of the first check, by the idle stop monitoring check function 53 of the processor 32 is output, determines that the idling stop control monitoring function 52 of the processor 32 is abnormal, prohibits the monitoring IC 7 the entire control of the idling stop control function 51 of the processor 31 caused by the idle stop control monitoring function 52 is monitored (at S350 in 4 ).

Gleichermaßen verbietet, wenn der Überwachungs-IC 7 basierend auf dem Ergebnis der zweiten Überprüfung, das durch die Drehmomentüberwachungsüberprüfungsfunktion 56 des Prozessors 31 ausgegeben wird, bestimmt, dass die Drehmomentsteuerungsüberwachungsfunktion 55 des Prozessors 31 abnormal ist, der Überwachungs-IC 7 die gesamte Steuerung der Drehmomentsteuerfunktion 54 des Prozessors 32, die durch die Drehmomentsteuerungsüberwachungsfunktion 55 überwacht wird (bei S350 in 4).Equally forbidden if the monitoring IC 7 based on the result of the second check performed by the torque monitor check function 56 of the processor 31 is output, determines that the torque control monitoring function 55 of the processor 31 is abnormal, the monitoring IC 7 the entire control of the torque control function 54 of the processor 32 generated by the torque control monitoring function 55 is monitored (at S350 in 4 ).

Mit einem derartigen Ansatz verbietet, wenn einer der Prozessoren 31 und 32 abnormal wird und nicht mehr in der Lage ist, die Steuerfunktion des anderen der Prozessoren 31 und 32 zu überwachen, der Überwachungs-IC 7 die gesamte Steuerung der Steuerfunktion des anderen der Prozessoren 31 und 32.With such an approach prohibits, if one of the processors 31 and 32 becomes abnormal and is no longer capable of Control function of the other of the processors 31 and 32 to monitor the monitoring IC 7 the entire control of the control function of the other of the processors 31 and 32 ,

Demnach ist in der ECU 1 gemäß der Ausführungsform, wenn die Leerlaufstoppsteuerfunktion 51 des Prozessors 31 abnormal wird, die Leerlaufstoppsteuerung teilweise verboten, und wenn der Prozessor 32, der überwacht, ob die Leerlaufstoppsteuerfunktion 51 normal oder abnormal ist, abnormal wird, ist die Leerlaufstoppsteuerung in ihrer Gesamtheit verboten. Auf diese Weise wird die mit der Leerlaufstoppsteuerung verknüpfte Ausfallsicherheitsprozedur stufenweise ausgeführt. Gleichermaßen wird, wenn die Drehmomentsteuerfunktion 54 des Prozessors 32 abnormal wird, ein Teil der Drehmomentsteuerung verboten, und wenn der Prozessor 31, der überwacht, ob die Drehmomentsteuerfunktion 54 normal oder abnormal ist, abnormal wird, wird die gesamte Drehmomentsteuerung verboten. Auf diese Weise wird die mit der Drehmomentsteuerung verknüpfte Ausfallsicherheitsprozedur stufenweise ausgeführt. Somit können Sicherheit und Verlässlichkeit der Steuerung verbessert werden, während Verfügbarkeit erreicht wird.Accordingly, in the ECU 1 According to the embodiment, when the idling stop control function 51 of the processor 31 becomes abnormal, the idle stop control partially prohibited, and when the processor 32 that monitors whether the idle stop control function 51 is normal or abnormal, becomes abnormal, the idling stop control is prohibited in its entirety. In this way, the fail-safe procedure associated with the idling stop control is executed in stages. Likewise, when the torque control function 54 of the processor 32 becomes abnormal, part of the torque control is prohibited, and when the processor 31 that monitors whether the torque control function 54 normal or abnormal, becomes abnormal, all torque control is prohibited. In this way, the fail-safe procedure associated with the torque control is performed in stages. Thus, safety and reliability of the control can be improved while availability is achieved.

Ferner wird die Ausfallsicherheitsprozedur angemessen sowohl für die Leerlaufstoppsteuerung als auch die Drehmomentsteuerung ausgeführt. Ferner kann, da die Leerlaufstoppsteuerfunktion 51 und die Drehmomentsteuerfunktion 54 durch die separaten Prozessoren 31 und 32 ausgeführt werden, eine Prozesslast für jeden der Prozessoren 31 und 32 reduziert werden.Further, the fail-safe procedure is adequately executed for both the idling stop control and the torque control. Further, since the idle stop control function 51 and the torque control function 54 through the separate processors 31 and 32 a process load for each of the processors 31 and 32 be reduced.

Ferner wird die Überprüfungsergebnisinformation, die durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird, mit der ersten Identifikationsinformation bereitgestellt, um anzugeben, dass die Überprüfungsergebnisinformation mit der ersten Identifikationsinformation durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 ausgegeben wird. Gleichermaßen wird die Überprüfungsergebnisinformation, die durch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird, mit der zweiten Identifikationsinformation bereitgestellt, um anzugeben, dass die Überprüfungsergebnisinformation mit der zweiten Identifikationsinformation durch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird. Die Überprüfungsergebnisinformation, die sowohl durch die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 als auch die Drehmomentüberwachungsüberprüfungsfunktion 56 ausgegeben wird, wird durch die gemeinsame serielle Kommunikationsleitung 6 in den Überwachungs-IC 7 durch die Kommunikationsschaltung 37 eingegeben. Der Überwachungs-IC 7 identifiziert basierend auf der Identifikationsinformation, welche der Leerlaufstoppüberwachungsüberprüfungsfunktion 53 und der Drehmomentüberwachungsüberprüfungsfunktion 56 die Überprüfungsergebnisinformation ausgibt, die durch die serielle Kommunikationsleitung 6 eingegeben wird. Somit kann die Anzahl von Kommunikationsleitungen zwischen dem Mikrocomputer 3 und der Überwachungs-IC 7 reduziert werden.Further, the check result information obtained by the idle-stop monitoring check function 53 is provided with the first identification information to indicate that the check result information including the first identification information by the idle-stop monitoring check function 53 is issued. Likewise, the check result information obtained by the torque monitor check function becomes 56 is provided with the second identification information to indicate that the check result information including the second identification information is provided by the torque monitor check function 56 is issued. The check result information obtained by both the idle stop monitoring check function 53 as well as the torque monitoring check function 56 is issued through the common serial communication line 6 in the monitoring IC 7 through the communication circuit 37 entered. The monitoring IC 7 identifies which of the idle stop monitoring check function based on the identification information 53 and the torque monitor verification function 56 outputs the check result information passing through the serial communication line 6 is entered. Thus, the number of communication lines between the microcomputer 3 and the monitoring IC 7 be reduced.

Ferner können, da die Leerlaufstoppsteuerung und die Drehmomentsteuerung, die durch die Prozessoren 31 bzw. 32 ausgeführt werden, unterschiedliche Prozesse in einem Steuersystem des Fahrzeugs sind, Sicherheit und Verlässlichkeit des Steuersystems verbessert werden. Das heißt, wenn die ECU 1 als eine Steuervorrichtung eines Steuersystems eines Fahrzeugs verwendet wird, kann das Steuersystem hohe Sicherheit und hohe Verlässlichkeit aufweisen.Further, since the idle stop control and the torque control may be performed by the processors 31 respectively. 32 Running different processes in a control system of the vehicle, safety and reliability of the control system can be improved. That is, when the ECU 1 As a control device of a control system of a vehicle, the control system can have high safety and high reliability.

(Modifikationen)(Modifications)

Wenn die vorliegende Offenbarung mit Bezug auf ihre Ausführungsformen erläutert wurde, ist es ersichtlich, dass die Offenbarung nicht auf die Ausführungsformen und Konstruktionen beschränkt ist. Die vorliegende Offenbarung soll unterschiedliche Modifikationen und äquivalente Anordnungen abdecken. Darüber hinaus sind neben den unterschiedlichen Kombinationen und Konfigurationen weitere Kombinationen und Konfigurationen, die mehr, weniger oder nur ein einzelnes Element beinhalten, ebenso als innerhalb des Geists und Umfangs der vorliegenden Offenbarung zu betrachten.When the present disclosure has been explained with respect to its embodiments, it is to be understood that the disclosure is not limited to the embodiments and constructions. The present disclosure is intended to cover various modifications and equivalent arrangements. Moreover, in addition to the various combinations and configurations, other combinations and configurations that include more, less, or only a single element are also to be considered within the spirit and scope of the present disclosure.

Beispielsweise kann die Drehmomentsteuerfunktion 54 vom Programm 32 entfernt werden, während die Drehmomentsteuerungsüberwachungsfunktion 55 und die Drehmomentüberwachungsüberprüfungsfunktion 56 vom Prozessor 31 entfernt werden können. Alternativ kann die Leerlaufstoppsteuerfunktion 51 vom Prozessor 31 entfernt werden, während die Leerlaufstoppsteuerungsüberwachungsfunktion 52 und die Leerlaufstoppüberwachungsüberprüfungsfunktion 53 vom Prozessor 32 entfernt werden können.For example, the torque control function 54 from the program 32 during the torque control monitoring function 55 and the torque monitor verification function 56 from the processor 31 can be removed. Alternatively, the idling stop control function 51 from the processor 31 be removed while the idle stop control monitoring function 52 and the idling stop monitoring check function 53 from the processor 32 can be removed.

Ferner können die Leerlaufstoppüberwachungsüberprüfungsfunktion 53, die Drehmomentüberwachungsüberprüfungsfunktion 56 und der Überwachungs-IC 7 entfernt werden.Further, the idling stop monitoring check function may be 53 , the torque monitoring verification function 56 and the monitoring IC 7 be removed.

Ferner kann einer der Prozessoren 31 und 32 sowohl die Leerlaufstoppsteuerfunktion 51 als auch die Drehmomentsteuerfunktion 54 aufweisen, während der andere der Prozessoren 31 und 32 die Leerlaufstoppsteuerungsüberwachungsfunktion 52, die Leerlaufstoppüberwachungsüberprüfungsfunktion 53, die Drehmomentsteuerungsüberwachungsfunktion 55 sowie die Drehmomentüberwachungsüberprüfungsfunktion 56 allesamt aufweisen kann.Furthermore, one of the processors 31 and 32 both the idling stop control function 51 as well as the torque control function 54 while the other of the processors 31 and 32 the idling stop control monitoring function 52 , the idling stop monitoring check function 53 , the torque control monitoring function 55 and the torque monitor verification function 56 all may have.

Die Steuerung, die durch die ECU 1 ausgeführt wird, ist nicht auf die Leerlaufstoppsteuerung und die Drehmomentsteuerung beschränkt. The control by the ECU 1 is executed is not limited to the idling stop control and the torque control.

Die Prozessoren 31 und 32 sind nicht auf einen Einzelkernprozessor mit einem beschränkt. Beispielsweise können die Prozessoren 31 und 32 ein Zweikernprozessor sein, der dazu in der Lage ist, im sogenannten Lockstep-Modus zu arbeiten. Mit einem derartigen Ansatz kann die Verlässlichkeit der ECU 1 weiter verbessert werden.The processors 31 and 32 are not limited to a single-core processor with one. For example, the processors 31 and 32 a dual-core processor that is able to work in lockstep mode. With such an approach, the reliability of the ECU 1 be further improved.

Die Anzahl von Prozessoren, die im Mikrocomputer 3 eingebunden sind, kann drei oder mehr sein. Die Prozessoren können in separaten Mikrocomputern einer einzelnen ECU oder mehrerer ECUs eingebunden sein.The number of processors in the microcomputer 3 can be three or more. The processors may be incorporated in separate microcomputers of a single ECU or multiple ECUs.

Die Datenkommunikation zwischen der Überwachungs-IC 7 und den Prozessoren 31 und 32 des Mikrocomputers 3 ist nicht auf eine serielle Datenkommunikation beschränkt, sondern beinhaltet parallele Datenkommunikation.The data communication between the monitoring IC 7 and the processors 31 and 32 of the microcomputer 3 is not limited to serial data communication but involves parallel data communication.

Ein Mikrocomputer oder eine Einheit, die dieselbe Rolle wie der Überwachungs-IC 7 spielen kann, kann anstelle des Überwachungs-IC 7 verwendet werden.A microcomputer or a unit that has the same role as the monitoring IC 7 Can play instead of the monitoring IC 7 be used.

Die Erfindung lässt sich folgendermaßen zusammenfassen. Eine Steuervorrichtung beinhaltet einen ersten Prozessor und einen zweiten Prozessor, die unterschiedliche Verarbeitungen unabhängig gemäß Programmen ausführen. Der erste Prozessor weist eine erste Steuerfunktion zum Ausführen einer ersten Steuerverarbeitung auf. Die erste Steuerfunktion ist durch ein erstes Programm implementiert. Der zweite Prozessor weist eine erste Überwachungsfunktion zum Bestimmen auf, ob die erste Steuerfunktion normal oder abnormal ist. Die erste Überwachungsfunktion ist durch ein zweites Programm implementiert und führt eine vorbestimmte Ausfallsicherheitsprozedur ausgehend von der Bestimmung aus, dass die erste Steuerfunktion abnormal ist. Die erste Ausfallsicherheitsprozedur verbietet, dass ein Teil der ersten Steuerverarbeitung ausgeführt wird.The invention can be summarized as follows. A control device includes a first processor and a second processor that perform different processings independently according to programs. The first processor has a first control function for performing a first control processing. The first control function is implemented by a first program. The second processor has a first monitoring function for determining whether the first control function is normal or abnormal. The first monitoring function is implemented by a second program and executes a predetermined fail-safe procedure based on the determination that the first control function is abnormal. The first fail-safe procedure prohibits part of the first control processing from being executed.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

  • JP 2009-505182 A [0002] JP 2009-505182 A [0002]

Claims (6)

Steuervorrichtung, aufweisend: mindestens zwei Prozessoren, die unterschiedliche Verarbeitungen unabhängig gemäß Programmen ausführen, wobei die mindestens zwei Prozessoren einen ersten Prozessor (31) und einen zweiten Prozessor (32) beinhalten, der erste Prozessor eine erste Steuerfunktion (51) zum Ausführen einer ersten Steuerverarbeitung aufweist, die erste Steuerfunktion durch ein erstes Programm (41) implementiert ist, der zweite Prozessor eine erste Überwachungsfunktion (52) zum Bestimmen, ob die erste Steuerfunktion normal oder abnormal ist, aufweist, die erste Überwachungsfunktion durch ein zweites Programm (42) implementiert ist und eine erste Ausfallsicherheitsprozedur ausgehend von der Bestimmung ausführt, dass die erste Steuerfunktion abnormal ist, und die erste Ausfallsicherheitsprozedur verbietet, dass ein Teil der ersten Steuerverarbeitung ausgeführt wird.A control device, comprising: at least two processors that perform different processing independently in accordance with programs, the at least two processors having a first processor ( 31 ) and a second processor ( 32 ), the first processor has a first control function ( 51 ) for performing a first control processing, the first control function by a first program ( 41 ), the second processor performs a first monitoring function ( 52 ) for determining whether the first control function is normal or abnormal, the first monitoring function by a second program ( 42 ) and executes a first fail-safe procedure based on the determination that the first control function is abnormal, and the first fail-safe procedure prohibits part of the first control processing from being executed. Steuervorrichtung gemäß Anspruch 1, ferner gekennzeichnet durch: eine Überwachungseinrichtung (7), wobei der zweite Prozessor eine erste Überprüfungsfunktion zum Ausführen einer ersten Überprüfung bezüglich dessen aufweist, ob die erste Überwachungsfunktion normal oder abnormal ist, die erste Überprüfungsfunktion eine erste Überprüfungsergebnisinformation, die ein Ergebnis der ersten Überprüfung angibt, an die Überwachungseinrichtung ausgibt, die Überwachungseinrichtung basierend auf der ersten Überprüfungsergebnisinformation bestimmt, ob die erste Überwachungsfunktion normal oder abnormal ist, und die Überwachungseinrichtung ausgehend von der Bestimmung, dass die erste Überwachungsfunktion abnormal ist, verbietet, dass die erste Steuerverarbeitung ausgeführt wird.Control device according to claim 1, further characterized by: a monitoring device ( 7 ), wherein the second processor has a first checking function for making a first check as to whether the first monitoring function is normal or abnormal, the first checking function outputs a first check result information indicative of a result of the first check to the monitoring device based on the monitoring means on the first check result information, determines whether the first monitor function is normal or abnormal, and the monitor prohibits the first control processing from being executed, based on the determination that the first monitor function is abnormal. Steuervorrichtung gemäß Anspruch 2, dadurch gekennzeichnet, dass der zweite Prozessor eine zweite Steuerfunktion (54) aufweist, um eine zweite Steuerverarbeitung auszuführen, die zweite Steuerfunktion durch ein viertes Programm (44) implementiert ist, der erste Prozessor eine zweite Überwachungsfunktion (55) zum Bestimmen, ob die zweite Steuerfunktion normal oder abnormal ist, aufweist, die zweite Überwachungsfunktion durch ein fünftes Programm (45) implementiert ist und ausgehend von der Bestimmung, dass die zweite Steuerfunktion abnormal ist, eine zweite Ausfallsicherheitsprozedur ausführt, die zweite Ausfallsicherheitsprozedur verbietet, dass ein Teil der zweiten Steuerverarbeitung ausgeführt wird, der erste Prozessor eine zweite Überprüfungsfunktion zum Ausführen einer zweiten Überprüfung bezüglich dessen aufweist, ob die zweite Überwachungsfunktion normal oder abnormal ist, die zweite Überprüfungsfunktion eine zweite Überprüfungsergebnisinformation, die ein Ergebnis der zweiten Überprüfung angibt, an die Überwachungseinrichtung ausgibt, die Überwachungseinrichtung basierend auf der zweiten Überprüfungsergebnisinformation bestimmt, ob die zweite Überwachungsfunktion normal oder abnormal ist, und die Überwachungseinrichtung ausgehend von der Bestimmung, dass die zweite Überwachungsfunktion abnormal ist, verbietet, dass die zweite Steuerverarbeitung ausgeführt wird.Control device according to Claim 2, characterized in that the second processor has a second control function ( 54 ) to carry out a second control processing, the second control function by a fourth program ( 44 ), the first processor has a second monitoring function ( 55 ) for determining whether the second control function is normal or abnormal, the second monitoring function has a fifth program ( 45 and implementing a second fail-safe procedure, based on the determination that the second control function is abnormal, the second fail-safe procedure prohibiting part of the second control processing from being executed, the first processor having a second checking function for executing a second check with respect thereto; whether the second monitoring function is normal or abnormal, the second checking function outputs a second check result information indicative of a result of the second check to the monitor, the monitor determines whether the second monitor function is normal or abnormal based on the second check result information, and the monitor Based on the determination that the second monitoring function is abnormal, prohibiting the second control processing from being executed. Steuervorrichtung gemäß Anspruch 3, ferner gekennzeichnet durch: eine Kommunikationsschaltung (37), wobei die erste Überprüfungsfunktion eine erste Identifikationsinformation zur ersten Überprüfungsergebnisinformation hinzufügt, die erste Identifikationsinformation angibt, dass die erste Überprüfungsergebnisinformation durch die erste Überprüfungsfunktion ausgegeben wird, die zweite Überprüfungsfunktion eine zweite Identifikationsinformation zur zweiten Überprüfungsergebnisinformation hinzufügt, die zweite Identifikationsinformation angibt, dass die zweite Überprüfungsergebnisinformation durch die zweite Überprüfungsfunktion ausgegeben wird, die Kommunikationsschaltung die erste Identifikationsinformation und die zweite Identifikationsinformation an die Überwachungseinrichtung durch eine serielle Kommunikationsleitung (6) sendet, und die Überwachungseinrichtung basierend auf der Identifikationsinformation identifiziert, welche der ersten Überprüfungsfunktion und der zweiten Überprüfungsfunktion die Überprüfungsergebnisinformation ausgibt, die durch die serielle Kommunikationsleitung eingegeben wird.Control device according to claim 3, further characterized by: a communication circuit ( 37 ), wherein the first checking function adds first identification information to the first check result information, the first identification information indicates that the first check result information is output by the first check function, the second check function adds second identification information to the second check result information, the second identification information indicates that the second check result information is issued by the second checking function, the communication circuit sends the first identification information and the second identification information to the monitoring device through a serial communication line (FIG. 6 ), and the monitoring means identifies, based on the identification information, which one of the first checking function and the second checking function outputs the check result information input through the serial communication line. Steuervorrichtung gemäß Anspruch 3 oder 4, dadurch gekennzeichnet, dass sowohl die erste Steuerverarbeitung als auch die zweite Steuerverarbeitung in einem Steuersystem eines Fahrzeugs unterschiedlich zueinander sind.Control device according to claim 3 or 4, characterized in that both the first control processing and the second control processing in a control system of a vehicle are different from each other. Steuersystem für ein Fahrzeug, aufweisend: eine Steuervorrichtung (1) gemäß einem der Ansprüche 1–5.A control system for a vehicle, comprising: a control device ( 1 ) according to any one of claims 1-5.
DE201310221343 2012-10-22 2013-10-21 CONTROL DEVICE AND VEHICLE CONTROL SYSTEM Pending DE102013221343A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012233026A JP5741550B2 (en) 2012-10-22 2012-10-22 Control device and vehicle control system
JP2012-233026 2012-10-22

Publications (1)

Publication Number Publication Date
DE102013221343A1 true DE102013221343A1 (en) 2014-04-24

Family

ID=50437251

Family Applications (1)

Application Number Title Priority Date Filing Date
DE201310221343 Pending DE102013221343A1 (en) 2012-10-22 2013-10-21 CONTROL DEVICE AND VEHICLE CONTROL SYSTEM

Country Status (2)

Country Link
JP (1) JP5741550B2 (en)
DE (1) DE102013221343A1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3591196A4 (en) * 2017-03-31 2020-03-11 Honda Motor Co., Ltd. General-purpose engine control apparatus

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6465003B2 (en) * 2015-11-30 2019-02-06 株式会社デンソー Electronic control unit
JP7106237B2 (en) * 2020-04-02 2022-07-26 三菱電機株式会社 vehicle controller

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009505182A (en) 2005-08-08 2009-02-05 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング Data processing method and apparatus

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11294252A (en) * 1998-04-13 1999-10-26 Denso Corp Electronic control device
JP2002169706A (en) * 2000-12-04 2002-06-14 Mitsubishi Electric Corp Monitor system
JP2003076572A (en) * 2001-09-05 2003-03-14 Central Japan Railway Co Computer system, program and fallback method
JP2006011686A (en) * 2004-06-24 2006-01-12 Fuji Xerox Co Ltd Method for detecting abnormality of multi-task system
JP2008140280A (en) * 2006-12-05 2008-06-19 Hitachi Ltd Reliability enhancing method in operation management of server
JP2009282601A (en) * 2008-05-20 2009-12-03 Nec System Technologies Ltd Operation monitoring program, monitoring system, and monitoring method
JP2011065528A (en) * 2009-09-18 2011-03-31 Toyota Motor Corp Multiprocessor system
JP2012063837A (en) * 2010-09-14 2012-03-29 Yokogawa Electric Corp Abnormality notification system and semiconductor testing device

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009505182A (en) 2005-08-08 2009-02-05 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング Data processing method and apparatus

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3591196A4 (en) * 2017-03-31 2020-03-11 Honda Motor Co., Ltd. General-purpose engine control apparatus
US10989159B2 (en) 2017-03-31 2021-04-27 Honda Motor Co., Ltd. Control device of general-purpose engine

Also Published As

Publication number Publication date
JP5741550B2 (en) 2015-07-01
JP2014085761A (en) 2014-05-12

Similar Documents

Publication Publication Date Title
DE102008063625B4 (en) Vehicle electronic control device with a monitoring control circuit
DE112018002176T5 (en) Abnormality determination device, abnormality determination method and abnormality determination program
DE102013015172A1 (en) Security system challenge-and-response procedure using a modified watchdog timer
DE102010017256B4 (en) ECO DRIVE MODE CONTROL DEVICE AND ECO DRIVE MODE CONTROL METHOD
DE102014222860A1 (en) Electronic vehicle control unit
DE102011055258A1 (en) Control device for a motor vehicle
DE102007009831B4 (en) Display trip unit in a motor vehicle with an automatic start-stop function
DE102013204842B4 (en) control system
WO2007025844A1 (en) Method for increasing the availability of motor vehicles engines
DE102013218504A1 (en) Method and device for monitoring a drive of a motor vehicle
DE102017118174A1 (en) BRAKE-BY-WIRE SYSTEM
DE102013221343A1 (en) CONTROL DEVICE AND VEHICLE CONTROL SYSTEM
DE102018113071A1 (en) VEHICLE ACCESSORIES PERFORMANCE MANAGEMENT
DE102008044066A1 (en) Control device of an internal combustion engine
DE102007021589B4 (en) Machine start protection through safety software layer
DE102012101329A1 (en) Power source control apparatus and method and power management system
DE102013221098B4 (en) VEHICLE CONTROL UNIT
DE102013203186A1 (en) Start-stop automatic control unit for performing engine idle reduction control in vehicle, has a starter relay set to off state, starter whose driving is stopped, and microcomputer which is reset, on detecting microcomputer abnormality
DE102016216434B4 (en) Electronic control unit and computer program
DE102016200130B4 (en) Electronic control device
DE102012221277A1 (en) Device for controlling operation and movement of hybrid vehicle, has signal comparison modules comparing output signals of sensors with each other to determine whether abnormality of sensors or micro-processing units is present
DE102019111623A1 (en) STEERING APPARATUS AND STEERING PROCEDURE AND STEERING SYSTEM
WO2005096108A2 (en) Control system for operating functions on interacting appliances
DE102013203100B4 (en) CONTROL FOR ENGINE STARTERS
DE102011083655A1 (en) Monitoring device of electronic control system for controlling electric motor, determines error event origin task number on detecting incorrect response number and restarts system operation from error event origin task number

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R012 Request for examination validly filed

Effective date: 20140912

R016 Response to examination communication