DE102015218774B4

DE102015218774B4 - Elektronische Steuervorrichtung

Info

Publication number: DE102015218774B4
Application number: DE102015218774.8A
Authority: DE
Inventors: Yoshiyasu Futamura
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2014-10-01
Filing date: 2015-09-29
Publication date: 2019-12-05
Anticipated expiration: 2035-09-30
Also published as: DE102015218774A1

Abstract

Elektronische Steuervorrichtung, beinhaltend:eine Steuereinrichtung (20), die eine Betätigung zumindest einer Last steuert; undeinen Überwachungsabschnitt (21), der überwacht, ob die Steuereinrichtung normal arbeitet;wobei:der Überwachungsabschnitt beinhaltet:eine Fehlfunktionserfassungseinrichtung (30), die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird,eine Ausfallsicherheitseinrichtung (31), die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, undeine Rücksetzeinrichtung (32), die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen, wobei die Rücksetzeinrichtung ausgelegt ist, das Ausfallsicherheitssignal zu empfangen;ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt, unterscheidet; undin einem Fall, in dem die Rücksetzeinrichtung das Ausfallsicherheitssignal von der Ausfallsicherheitseinrichtung empfängt, die Rücksetzeinrichtung eine Ausgabe des Rücksetzsignals beendet.

Description

Die Erfindung betrifft eine elektronische Steuervorrichtung mit einer Steuereinrichtung und einem Überwachungsabschnitt. Die Steuereinrichtung steuert eine Betätigung zumindest einer Last. Der Überwachungsabschnitt überwacht, ob die Steuereinrichtung normal arbeitet.
Ein Patentdokument 1 offenbart eine elektronische Steuervorrichtung mit einem Mikrocomputer (einer Steuereinrichtung) und einem Überwachungs-IC (einem Überwachungsabschnitt). Der Mikrocomputer steuert eine Betätigung zumindest einer Last. Der Überwachungs-IC überwacht, ob der Mikrocomputer normal arbeitet.

Patentdokument 1: JP 2011 - 127 546 A

6 stellt eine schematische Konfiguration eines Überwachungs-IC in einer elektronischen Steuervorrichtung in einem Vergleichsbeispiel dar, wie zum Beispiel in dem Patentdokument 1 beschrieben ist. 7 ist ein Zeitverlaufsdiagramm, das ein Betriebsablaufbeispiel bei einer Fehlfunktion des Mikrocomputers darstellt. Nebenbei bemerkt hat in 6 ein Element in dem Vergleichsbeispiel, das zu einem Element in vorliegenden Ausführungsbeispielen ähnlich oder verwandt ist, ein Symbol, das durch Addieren von 100 zu dem Element in den vorliegenden Ausführungsbeispielen erhalten wird. Darüber hinaus wird angenommen, dass die elektronische Steuervorrichtung in dem Vergleichsbeispiel in einer elektronischen Motorsteuereinheit (ECU) für ein Fahrzeug verwendet wird.
Ein nicht gezeigter Mikrocomputer steuert Betätigungen eines Injektors, einer Zündkerze und eines Motors, der ein Drosselventil öffnet und schließt. Der Injektor, die Zündkerze und der Motor sind Beispiele von Lasten. Der Mikrocomputer gibt zu jedem vorbestimmten Zeitpunkt vorbestimmte Überwachungsdaten (zum Beispiel ein vorbestimmtes Authentizitätsmuster) an einen Überwachungs-IC aus.
Wie in 6 beschrieben ist, weist ein Überwachungs-IC 121 einen Fehlfunktionserfassungsabschnitt 130 und einen Ausfallsicherungs- bzw. Ausfallsicherheitsabschnitt 131 auf. Der Fehlfunktionserfassungsabschnitt 130 ermittelt auf der Grundlage der Überwachungsdaten, ob der Mikrocomputer normal arbeitet. Wenn die Fehlfunktion des Mikrocomputers erfasst wird, gibt der Fehlfunktionserfassungsabschnitt 130 ein Fehlfunktionssignal (zum Beispiel ein Hochpegelsignal, d.h. ein Signal mit einem hohen Pegel) an den Ausfallsicherheitsabschnitt 131 aus.
Der Ausfallsicherheitsabschnitt 131 weist zum Beispiel einen Zähler 131a auf. Der Zähler 131a ist zum Beispiel ein Abwärtszähler. Der Zähler 131a führt ausgehend von einem Fehlfunktionsbereinigungsschwellenwert eine Abwärtszählung in Übereinstimmung mit einem internen Takt durch, während er das Fehlfunktionssignal als einen Auslöser bzw. Trigger empfängt, wie in 7 beschrieben ist. Wenn ein Zählerwert gleich null ist, gibt der Zähler 131a, das heißt der Ausfallsicherheitsabschnitt 131, ein Ausfallsicherheitssignal (zum Beispiel ein Hochpegelsignal) an eine nicht gezeigte elektronische Drosselklappen- bzw. Drosselsteuerung (ETC) aus, so dass der Motor unter den Lasten in einem vorbestimmten Rückzugszustand verbleibt bzw. verharrt.
Wenn eine Ausgabe des Ausfallsicherheitssignals angehalten bzw. beendet wird, das heißt, wenn der Überwachungs-IC 121 ein Niedrigpegelsignal (das heißt, ein Signal mit einem niedrigen Pegel) an den ETC-Treiber ausgibt, gibt der ETC-Treiber ein Drossel(klappen)betätigungssignal in Übereinstimmung mit einem Steuersignal von einem Mikrocomputer aus und versorgt einen Motor mit Elektrizität. Wenn der ETC-Treiber das Ausfallsicherheitssignal empfängt, gibt der ETC-Treiber ein Drossel(klappen)stopsignal an den Motor aus. Demgemäß wird eine Motorsteuerung angehalten und wird das Drossel(klappen)ventil blockiert, so dass diese Situation ähnlich ist zu einer Situation dann, wenn das Beschleunigungspedal nicht niedergedrückt (betätigt) wird. Das Fahrzeug führt eine Notbetriebs- bzw. Rückzugsfortbewegung mit einer geringen Geschwindigkeit durch.
Die elektronische Steuervorrichtung in dem Vergleichsbeispiel hat jedoch keine Mittel, die versuchen, aus einer Fehlfunktion eines Mikrocomputers normal wiederzukehren bzw. wiederherzustellen. Daher wird dann, wenn der Mikrocomputer vorübergehend in einen Fehlfunktionszustand gerät, zum Beispiel aufgrund einer Datenstörung durch kosmische Strahlung, der Mikrocomputer nicht auf einen normalen Status zurückgeführt bzw. wiederhergestellt. Folglich kann eine Behandlung im Hinblick auf eine Ausfallsicherung vernünftig sein.
Ein Mechanismus (zum Beispiel ein Watchdog-Erfassungsmechanismus) erfasst eine Fehlfunktion eines Mikrocomputers und veranlasst den Mikrocomputer, zur Zeit der Fehlfunktion zurückgesetzt zu werden. 8 stellt eine Konfiguration dar, in welcher der Überwachungs-IC 121 von 6 um eine Funktion erweitert ist, die den Mikrocomputer zurücksetzt. 9 stellt ein Zeitverlaufsdiagramm dar, das ein Betriebsablaufbeispiel zu der Zeit darstellt, zu der der Mikrocomputer in der Konfiguration von 8 fehlfunktioniert.
Wie in 8 beschrieben wird, weist der Überwachungs-IC 121 einen Rücksetzabschnitt 132 zusätzlich zu dem Fehlfunktionserfassungsabschnitt 130 und dem Ausfallsicherheitsabschnitt 131 auf. Der Rücksetzabschnitt 132 weist zum Beispiel einen Zähler 132 und ein NICHT-Gatter 132b auf. Der Zähler 132a ist zum Beispiel ein Abwärtszähler. Der Zähler 131a bzw. 132a führt ausgehend von einem Rücksetzschwellenwert in Übereinstimmung mit einem internen Takt eine Abwärtszählung durch, während er das Fehlfunktionssignal als einen Trigger bzw. Auslöser empfängt, wie in 9 beschrieben ist. Wenn der Zählerwert gleich null ist, gibt der Zähler 132a ein Hochpegelsignal für eine vorbestimmte Zeitdauer aus. Das Hochpegelsignal wird an dem NICHT-Gatter 132b invertiert, um als ein Niedrigpegelsignal an den Mikrocomputer ausgegeben zu werden. Das Niedrigpegelsignal, welches von dem Rücksetzabschnitt 132 für eine vorbestimmte Zeitdauer ausgegeben worden ist, ist ein Rücksetzsignal. Nach der vorbestimmten Zeitdauer wird ein Rücksetzzustand bzw. Rücksetzstatus des Mikrocomputers aufgelöst bzw. freigegeben, und wird der Zählerwert des Zählers 132a gelöscht, und kehrt der Zählerwert des Zählers 132a auf den Rücksetzschwellenwert zurück.
In Übereinstimmung mit dieser Konfiguration ist es dann, wenn die Fehlfunktion des Mikrocomputers temporär ist, möglich, den Mikrocomputer durch die Rücksetzverarbeitung normal wiederherzustellen. Wie in 9 beschrieben wird jedoch dann, wenn die Fehlfunktion des Mikroprozessors permanent ist, das heißt, eine andauernde Fehlfunktion vorliegt, die Rücksetzverarbeitung wiederholt durchgeführt. Während der Mikrocomputer zurückgesetzt ist bzw. wird, befinden sich nicht nur der Motor, sondern auch der Injektor und die Zündkerze in einem Steuerungsstop. Wenn der Mikrocomputer zurückgesetzt wird, während das Ausfallsicherheitssignal ausgegeben wird, erfolgen eine Einspritzung und ein Zündvorgang nur in einer anderen Zeitspanne als der Rücksetzzeitspanne. Daher kann ein Motordrehmoment nicht erzeugt werden, und kann ein Motor zum Halt kommen. Nebenbei bemerkt stellt ein schraffierter Abschnitt in 9 eine Zeitspanne eines tatsächlichen Halts aufgrund des Zurücksetzens des Mikrocomputers dar.
Folglich kann es in Bezug auf zumindest eine durch den Mikrocomputer gesteuerte Last dann, wenn ein Betätigungsstatus zu der Zeit, zu der ein Ausfallsicherheitssignal ausgegeben wird, sich von einem Betätigungsstatus zu der Zeit, zu der ein Rücksetzsignal ausgegeben wird, unterscheidet, und wenn das Rücksetzsignal ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird, unmöglich sein, eine vorbestimmte Ausfallsicherheitsverarbeitung (zum Beispiel eine Notbetriebsfortbewegung) durchzuführen.
Ähnlich dazu steuert ein Mikrocomputer eine einzelne Last. Und wenn sich ein Betätigungszustand der Last zwischen einem Fall, in dem das Ausfallsicherheitssignal ausgegeben wird, und einem Fall, in dem das Rücksetzsignal ausgegeben wird, unterscheidet, kann eine ähnliche Schwierigkeit auftreten.
Ferner offenbart die Druckschrift US 2012 / 0 062 158 A1 eine elektronische Steuervorrichtung für ein Fahrzeug, die eine Leistungsumwandlungsschaltung betreibt, die mit einer rotierenden Maschine verbunden ist, die als fahrzeuginterne Antriebseinheit zum Steuern von Regelgrößen der rotierenden Maschine verwendet wird, wobei die elektronische Steuervorrichtung eine steuernde arithmetische Verarbeitungseinheit, die eine arithmetische Verarbeitung zum Steuern der Regelgrößen der rotierenden Maschine durchführt, und eine überwachende arithmetische Verarbeitungseinheit, die die steuernde arithmetische Verarbeitungseinheit überwacht, beinhaltet. Die überwachende arithmetische Verarbeitungseinheit beinhaltet eine Unterbindungseinheit, die die Ausgabe eines Betriebssignals von der steuernden arithmetischen Verarbeitungseinheit an die Leistungsumwandlungsschaltung unterbindet, bis bezüglich der steuernden arithmetischen Verarbeitungseinheit bestätigt ist, dass diese sich in einem normalen Zustand befindet.
Schließlich zeigt die Druckschrift DE 10 2006 028 992 A1 eine elektronische Steuervorrichtung, die einen Mikrocomputer, der eine Steuerfunktion eines Steuerns eines in ein Fahrzeug eingebauten Aktors in Übereinstimmung mit einem Eingangssignal, das einen Laufzustand des Fahrzeugs anzeigt, und eine Selbstüberwachungsfunktion eines Überwachens bezüglich dessen, ob die Steuerfunktion zweckmäßig arbeitet oder nicht, auf der Grundlage des Eingangssignals aufweist, und ein Überwachungsmodul, das kommunizierend mit dem Mikrocomputer verbunden ist und eine Digitalschaltung zum Überwachen aufweist, ob die Selbstüberwachungsfunktion zweckmäßig arbeitet oder nicht, beinhaltet. Das Überwachungsmodul beinhaltet einen Referenzzähler, der einen Takt aufwärts zählt, der als eine Betriebsreferenz der Digitalschaltung dient. Der Mikrocomputer beinhaltet einen Modulüberwachungsbereich, der dazu ausgelegt ist, einen Zählwert des Referenzzählers aufzunehmen und auf der Grundlage eines Änderungszustands des aufgenommenen Zählwerts zu überwachen, ob das Überwachungsmodul zweckmäßig arbeitet oder nicht.
Der Erfindung liegt als eine Aufgabe zugrunde, eine elektronische Steuervorrichtung bereitzustellen, die eine Steuereinrichtung dazu veranlasst, sich in Bezug auf eine temporäre Fehlfunktion der Steuereinrichtung wiederherzustellen und eine vorbestimmte Ausfallsicherheitsverarbeitung in Bezug auf eine permanente Fehlfunktion der Steuereinrichtung auszuführen.
Diese Aufgabe wird erfindungsgemäß gelöst durch eine elektronische Steuervorrichtung mit den Merkmalen des Anspruchs 1, alternativ durch eine elektronische Steuervorrichtung mit den Merkmalen des Anspruchs 2, und weiter alternativ durch eine elektronische Steuervorrichtung mit den Merkmalen des Anspruchs 3. Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der beigefügten Unteransprüche.
In Übereinstimmung mit einem Aspekt der Erfindung beinhaltet eine elektronische Steuervorrichtung eine Steuereinrichtung und einen Überwachungsabschnitt. Die Steuereinrichtung steuert eine Betätigung zumindest einer Last. Der Überwachungsabschnitt überwacht, ob die Steuereinrichtung normal arbeitet. Der Überwachungsabschnitt beinhaltet eine Fehlfunktionserfassungseinrichtung, die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird, eine Ausfallsicherheitseinrichtung, die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, und eine Rücksetzeinrichtung, die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen. Ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, unterscheidet sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt. In einem Fall, in dem die Rücksetzeinrichtung das Ausfallsicherheitssignal von der Ausfallsicherheitseinrichtung empfängt, beendet die Rücksetzeinrichtung eine Ausgabe des Rücksetzsignals auch dann, wenn die Fehlfunktionserfassungseinrichtung das Fehlfunktionssignal ausgibt.
In Übereinstimmung mit der elektronischen Steuervorrichtung kann es möglich sein, die Steuereinrichtung unter Verwendung eines von einer Rücksetzeinrichtung in Bezug auf eine temporäre Fehlfunktion der Steuereinrichtung ausgegebenen Rücksetzsignals normal wiederherzustellen.
In Übereinstimmung mit der elektronischen Steuervorrichtung endet auch dann, wenn ein Fehlfunktionssignal ausgegeben wird, eine Ausgabe eines Rücksetzsignals, während ein Ausfallsicherheitssignal ausgegeben wird. Es kann möglich sein, zu verhindern, dass eine vorbestimmte Ausfallsicherheitsverarbeitung nicht ausgeführt wird, da das Rücksetzsignal ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird. Daher kann es möglich sein, die Ausfallsicherheitsverarbeitung in Bezug auf die permanente Fehlfunktion der Steuereinrichtung auszuführen.
In Übereinstimmung mit einem anderen Aspekt der Erfindung beinhaltet eine elektronische Steuereinrichtung eine Steuereinrichtung und einen Überwachungsabschnitt. Die Steuereinrichtung steuert eine Betätigung zumindest einer Last. Der Überwachungsabschnitt überwacht, ob die Steuereinrichtung normal arbeitet. Der Überwachungsabschnitt beinhaltet eine Fehlfunktionserfassungseinrichtung, die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird, eine Ausfallsicherheitseinrichtung, die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, und eine Rücksetzeinrichtung, die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen. Der Überwachungsabschnitt übernimmt ein von einer externen Vorrichtung übertragenes Rücksetzstopsignal. Das Rücksetzstopsignal beendet eine Ausgabe des Rücksetzsignals. Ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, unterscheidet sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt. In einem Fall, in dem die Rücksetzeinrichtung das Rücksetzstopsignal von der externen Vorrichtung empfängt, beendet die Rücksetzeinrichtung die Ausgabe des Rücksetzsignals auch dann, wenn die Rücksetzeinrichtung das Fehlfunktionssignal von der Fehlfunktionserfassung bzw. Fehlfunktionserfassungseinrichtung empfängt.
In Übereinstimmung mit der elektronischen Steuervorrichtung kann es möglich sein, die Steuereinrichtung unter Verwendung des von der Rücksetzeinrichtung ausgegebenen Rücksetzsignals in Bezug auf die temporäre Fehlfunktion der Steuereinrichtung normal wiederherzustellen bzw. in den Normalzustand wiederherzustellen.
In Übereinstimmung mit der elektronischen Steuervorrichtung stoppt auch dann, wenn das Fehlfunktionssignal ausgegeben wird, eine Ausgabe eines Rücksetzsignals, wenn das Rücksetzstopsignal von einer externen Vorrichtung empfangen wird. Es kann möglich sein, zu verhindern, dass eine vorbestimmte Ausfallsicherheitsverarbeitung nicht ausgeführt wird, da das Rücksetzsignal ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird. Es kann möglich sein, die Ausfallsicherheitsverarbeitung in Bezug auf die permanente Fehlfunktion der Steuereinrichtung auszuführen.
Die vorstehenden und weitere Ziele, Merkmale und Vorteile der Erfindung sind der nachfolgenden detaillierten Beschreibung unter Bezugnahme auf die beigefügten Zeichnungen deutlicher zu entnehmen. Es zeigen:

1 ein Diagramm, das eine schematische Konfiguration einer elektronischen Steuervorrichtung gemäß einem ersten Ausführungsbeispiel darstellt;
2 ein Diagramm, das eine schematische Konfiguration eines Überwachungs-IC darstellt;
3 ein Zeitverlaufsdiagramm, das ein Betriebsablaufbeispiel dann darstellt, wenn ein Mikrocomputer fehlfunktioniert;
4 ein Diagramm, das eine schematische Konfiguration eines elektronischen Steuersystems einschließlich der elektronischen Steuervorrichtung gemäß einem zweiten Ausführungsbeispiel darstellt;
5 ein Diagramm, das eine schematische Konfiguration des Überwachungs-IC darstellt;
6 ein Diagramm, das eine schematische Konfiguration eines Überwachungs-IC in einem Vergleichsbeispiel des bekannten Standes der Technik darstellt;
7 ein Zeitverlaufsdiagramm, das ein Betriebsablaufbeispiel des bekannten Standes der Technik dann darstellt, wenn sich ein Mikrocomputer in Fehlfunktion befindet;
8 ein Diagramm, das eine Konfiguration dahingehend, dass eine Rücksetzfunktion zu dem Überwachungs-IC des bekannten Standes der Technik in 6 hinzugefügt ist, darstellt; und
9 ein Zeitverlaufsdiagramm, das ein Betriebsablaufbeispiel des bekannten Standes der Technik dann darstellt, wenn ein Mikrocomputer fehlfunktioniert.

Nachstehend werden die Ausführungsbeispiele der Erfindung unter Bezugnahme auf die beigefügten Zeichnungen erklärt.
Ausführungsbeispiele der Erfindung werden unter Bezugnahme auf die Zeichnungen beschrieben. Nebenbei bemerkt sind gemeinsame Elemente oder zugeordnete Elemente in jedem Ausführungsbeispiel mit identischen Symbolen bezeichnet.
(Erstes Ausführungsbeispiel)
Eine schematische Konfiguration einer elektronischen Steuervorrichtung in dem vorliegenden Ausführungsbeispiel wird nachstehend unter Bezugnahme auf 1 erklärt.
Die elektronische Steuervorrichtung 10, die in 1 beschrieben ist, ist eine elektronische Motorsteuereinheit (ECU) für ein Fahrzeug. Die elektronische Steuervorrichtung 10 beinhaltet einen Mikrocomputer 20 und ein Überwachungs-IC 21. Der Mikrocomputer 20 entspricht einer Steuereinrichtung, die eine Betätigung bzw. Aktivierung einer Last steuert. Der Überwachungs-IC 21 entspricht einem Überwachungsabschnitt, der überwacht, ob der Mikrocomputer 20 normal arbeitet oder nicht. Der Mikrocomputer 20 steuert Betätigungen einer Einspritzeinrichtung bzw. eines Injektors 11, einer Zündkerze 12 und eines Motors 15, der ein Drosselventil 14 öffnet und schließt. Nebenbei bemerkt sind der Injektor 11, die Zündkerze 12 und der Motor 15 Beispiele von Lasten. Die elektronische Steuervorrichtung 10 beinhaltet einen elektronischen Drosselsteuertreiber 22 zum Ansteuern des Motors 15. Der elektronische Drosselsteuertreiber 22 wird auch als ein ETC-Treiber 22 bezeichnet.
Der Injektor 11 ist ein elektromagnetisches Treiberventil bzw. elektromagnetisch angesteuertes Ventil, das Kraftstoff einspritzt und liefert oder zuführt, und ist in der Nähe eines Einlassports jedes Zylinders der (nicht gezeigten) Ansaugleitung angeordnet. Wenn ein Nadelventil in Übereinstimmung mit der Zufuhr von Elektrizität zu einer Solenoidspule verlagert wird, wird der Kraftstoff eingespritzt. Die Zündkerze 12 ist an einem Zylinderkopf in jedem Zylinder eines nicht gezeigten Motors angebracht. Hochspannung wird an die Zündkerze 12 über eine Zündeinrichtung mit einer Zündspule oder dergleichen zu einem Sollzündzeitpunkt angelegt. Eine Funkenentladung tritt zwischen Gegenelektroden in jeder Zündkerze 12 aufgrund des Anlegens der Hochspannung auf, und ein Luft-Kraftstoff-Gemisch aus der Luft und dem Kraftstoff, die in eine Verbrennungskammer eingeleitet werden, wird gezündet und verbrennt. Das Drossel(klappen)ventil 14 justiert das in jeden Zylinder des Motors eingeleitete Luftvolumen durch Öffnen und Schließen eines Ansaug- bzw. Einlasskanals eines Ansaug- bzw. Einlassrohrs. Die Öffnung des Drosselventils 14 wird durch den Motor 15 eingestellt.
Wenn die Stromversorgung zu dem Motor 15 endet, wird das Drosselventil 14 in eine geschlossene Stellung positioniert. Wenn das Drosselventil 14 in die geschlossene Stellung positioniert ist, unterbricht bzw. versperrt das Drosselventil 14 nicht notwendigerweise den gesamten Einlasskanal. Das Drosselventil 14 versperrt den Einlasskanal in einem Ausmaß derart, dass die Luft in geringer Menge durchgeleitet wird. Diese geschlossene Position ist derselbe Zustand wie dann, wenn bei einer konventionellen mechanischen Drosselklappe ein Beschleunigungspedal nicht niedergedrückt wird. Daher ist in der geschlossenen Position das Luftvolumen, das der Motorbrennkammer zugeführt wird, minimal.
Der Mikrocomputer 20 ist ein Mikrocomputer mit einer CPU, einem ROM, einem RAM, einem Register, einem I/O-Port oder dergleichen. In dem Mikrocomputer führt die CPU eine Signalverarbeitung in Übereinstimmung mit verschiedenen Daten, die über einen Bus erhalten wurden, und einem im Voraus in das ROM gespeicherten Steuerprogramm durch, während sie eine Temporärspeicherfunktion des RAM oder des Registers nutzt. Ein durch die Signalverarbeitung gewonnenes Signal wird auf den Bus ausgegeben. Das heißt, der Mikrocomputer führt verschiedene Funktionen durch.
In dem vorliegenden Ausführungsbeispiel steuert der Mikrocomputer 20 die Menge der durch den Injektor 11 eingespritzten Kraftstoffeinspritzung, einen Zündzeitpunkt der Zündkerze 12, eine Drosselöffnung des Drosselventils 14, oder dergleichen, auf der Grundlage eines Zündsignals, einer Motordrehzahl, einer Motorkühlwassertemperatur, eines Ansaugdrucks, eines Luft-Kraftstoff-Verhältnisses, einer Beschleunigeröffnung oder dergleichen. Der Mikrocomputer 20 gibt ein Steuersignal an jeden des Injektors 11, der Zündkerze 12 und des ETC-Treibers 22, der den Motor 15 ansteuert, aus. Das heißt, jeder des Injektors 11, der Zündkerze 12 und des ETC-Treibers 22 empfängt Steuersignale von dem Mikrocomputer wie in 1 beschrieben.
Der Mikrocomputer 20 ermöglicht es, eine Datenkommunikation mit dem Überwachungs-IC 21 durchzuführen. Der Mikrocomputer 20 überträgt ein vorbestimmtes Überwachungsdatum zu einem vorbestimmten Zeitpunkt bzw. in einem vorbestimmten Zeitverhalten an den Überwachungs-IC 21. In dem vorliegenden Ausführungsbeispiel überträgt der Mikrocomputer 20 ein vorbestimmtes Authentizitätsmuster als die Überwachungsdaten.
Der Überwachungs-IC 21 empfängt die Überwachungsdaten und überwacht auf der Grundlage der empfangenen Überwachungsdaten, ob der Mikrocomputer 20 normal arbeitet. Wenn ermittelt wird, dass sich der Mikrocomputer 20 in einem Fehlfunktionszustand befindet, gibt der Monitor-IC 21 ein Ausfallsicherheitssignal an den ETC-Treiber 22 aus. Darüber hinaus gibt der Monitor-IC 21 ein Rücksetzsignal an den Mikrocomputer 20 aus. Einzelheiten der Verarbeitung werden später beschrieben. Während der Überwachungs-IC 21 das Rücksetzsignal ausgibt und der Mikrocomputer 20 das Rücksetzsignal empfängt, wird der Mikrocomputer 20 zurückgesetzt.
Nebenbei bemerkt bedeutet der Fehlfunktionszustand des Mikrocomputers (auch als eine Fehlfunktion des Mikrocomputers bezeichnet), dass der Mikrocomputer 20 selbst fehlfunktioniert. Darüber hinaus beinhaltet der Fehlfunktionszustand auch einen Zustand bzw. Status, in dem eine bestimmte Last aufgrund einer Fehlfunktion gewonnener Daten oder eines Sensors nicht gesteuert wird, auch wenn der Mikrocomputer 20 selbst normal arbeitet.
In Übereinstimmung mit dem Steuersignal von dem Mikrocomputer 20 gibt der ETC-Treiber 22 ein Drosselbetätigungssignal an den Motor 15 aus. Der ETC-Treiber steuert den Motor 15 durch Liefern von Elektrizität an dem Motor 15 an. Demgemäß hat das Drosselventil 14 eine vorbestimmte Öffnung.
Wenn der ETC-Treiber 22 das Ausfallsicherheitssignal von dem Monitor-IC 21 empfängt, gibt der ETC-Treiber 22 ein Drosselstopsignal an den Motor 15 aus. Das heißt, die Stromversorgung zu dem Motor 15 endet. Demgemäß erhält der Motor 15 einen Motorsteuerungsstop. In diesem Fall wird das Drosselventil 14 in die geschlossene Position positioniert. Demgegenüber gibt dann, wenn die Ausgabe des Ausfallsicherheitssignals aus dem Überwachungs-IC 21 ausgesetzt wird, der ETC-Treiber 22 das Drosselbetätigungssignal in Übereinstimmung mit dem von dem Mikrocomputer 20 übertragenen Steuersignal aus, und wird der Motor 15 mit Elektrizität versorgt.
Nachstehend wird der Überwachungs-IC 21 unter Bezugnahme auf 2 erklärt.
Wie in 2 beschrieben, weist der Überwachungs-IC 21 einen Fehlfunktionserfassungsabschnitt 30, einen Ausfallsicherungs- bzw. Ausfallsicherheitsabschnitt 31 und einen Rücksetzabschnitt 32 auf. Der Fehlfunktionserfassungsabschnitt 30 kann einem Beispiel einer Fehlfunktionserfassungseinrichtung entsprechen. Der Ausfallsicherheitsabschnitt 31 kann einem Beispiel einer Ausfallsicherheitseinrichtung entsprechen. Der Rücksetzabschnitt 32 kann einem Beispiel einer Rücksetzeinrichtung entsprechen.
Wenn der Fehlfunktionserfassungsabschnitt 30 die Überwachungsdaten von dem Mikrocomputer 20 empfängt, ermittelt der Fehlfunktionserfassungsabschnitt 30 auf der Grundlage der Überwachungsdaten, ob der Mikrocomputer 20 normal ist oder nicht. Wenn ermittelt wird, dass der Mikrocomputer 20 nicht normal ist bzw. normal arbeitet, das heißt, eine Fehlfunktion des Mikrocomputers 20 erfasst wird, gibt der Fehlfunktionserfassungsabschnitt 30 ein Fehlfunktionssignal aus. In dem vorliegenden Ausführungsbeispiel gibt dann, wenn ermittelt wird, dass das Authentizitätsmuster als die Überwachungsdaten ein zurückgewiesenes bzw. zurückzuweisendes Muster ist, gibt der Fehlfunktionserfassungsabschnitt 30 ein Hochpegelsignal als das Fehlfunktionssignal aus. Demgegenüber gibt dann, wenn ermittelt wird, dass das Authentizitätsmuster ein Akzeptanzmuster bzw. zu akzeptierendes Muster ist, der Fehlfunktionserfassungsabschnitt 30 ein Niedrigpegelsignal anstelle des Fehlfunktionssignals aus.
Wenn er Ausfallsicherheitsabschnitt 31 das Fehlfunktionssignal empfängt, erzeugt der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal und gibt dieses aus, um zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren. In dem vorliegenden Ausführungsbeispiel wird unter dem Injektor 11, der Zündkerze 12 und dem Motor, um nur den Motor 15 zu veranlassen, in dem Rückzugszustand zu verharren, das Ausfallsicherheitssignal an den ETC-Treiber 22 ausgegeben. Wenn der ETC-Treiber 22 das Ausfallsicherheitssignal empfängt, endet die Stromzufuhr zu dem Motor 15, und wird das Drosselventil 14 in die geschlossene Position positioniert.
Wenn zum Beispiel der Motor 15 in den Rückzugszustand gelangt, endet die Stromversorgung zu dem Motor 15, und wird das Drosselventil 14 in die geschlossene Position positioniert.
Der Ausfallsicherheitsabschnitt 31 weist zum Beispiel einen Zähler 31a auf. Der Zähler 31a führt eine Abwärtszählung in Übereinstimmung mit einem internen Takt unter Verwendung der Übernahme bzw. Zufuhr des Fehlfunktionssignals als Auslöser bzw. Trigger durch. Wenn der Zählwert gleich null ist, gibt der Ausfallsicherheitsabschnitt 31 das Hochpegelsignal als das Ausfallsicherheitssignal aus.
Wenn der Rücksetzabschnitt 32 das Fehlfunktionssignal empfängt, erzeugt der Rücksetzabschnitt 32 das Rücksetzsignal, um den Mikrocomputer 20 zurückzusetzen. Der Rücksetzabschnitt 32 gibt das erzeugte Rücksetzsignal an den Mikrocomputer 20 aus. In dem vorliegenden Ausführungsbeispiel wird das Niedrigpegelsignal als das Rücksetzsignal für eine vorbestimmte Zeitdauer ausgegeben. Währen der Mikrocomputer 20 das Rücksetzsignal empfängt, wird der Mikrocomputer 20 zurückgesetzt. Während das Rücksetzsignal ausgegeben wird, wird eine Last nicht gesteuert. Das heißt, während das Rücksetzsignal ausgegeben wird, endet die Kraftstoffeinspritzung durch den Injektor 11 und endet die Zündung durch die Zündkerze 12. Darüber hinaus endet die Stromversorgung zu dem Motor 15, und wird das Drosselventil 14 in die geschlossene Position positioniert.
Der Rücksetzabschnitt 32 weist einen Zähler 32a, ein NICHT-Gatter 32b und ein ODER-Gatter 32c. Der Zähler 32a führt eine Abwärtszählung in Übereinstimmung mit einem internen Takt unter Verwendung der Zufuhr des Fehlfunktionssignals als Auslöser bzw. Trigger durch. Wenn der Zählwert gleich null ist, gibt der Zähler 32a das Hochpegelsignal für eine feste Zeitdauer aus. Die Ausgabe des Zählers 32a wird durch das NICHT-Gatter 32b invertiert. Daher gibt dann, wenn die Ausgabe des Zählers 32a das Hochpegelsignal ausgibt, das NICHT-Gatter 32b das Niedrigpegelsignal aus.
Das ODER-Gatter 32c empfängt die Ausgabe des Ausfallsicherheitsabschnitts 31 (das heißt des Zählers 31a) und die Ausgabe des NICHT-Gatters 32b. Daher gibt dann, wenn das ODER-Gatter 32c das Ausfallsicherheitssignal (das heißt das Hochpegelsignal) empfängt, das ODER-Gatter 32c das Hochpegelsignal unabhängig von einem Pegel des Ausgangs bzw. der Ausgabe des NICHT-Gatters 32b aus.
Wenn das ODER-Gatter 32c das Niedrigpegelsignal von dem Ausfallsicherheitsabschnitt 31 empfängt, wird die Ausgabe bzw. das Ausgangssignal des ODER-Gatters 32c in Übereinstimmung mit dem Eingang bzw. der Zufuhr von dem NICHT-Gatter 32b ermittelt. Das heißt, wenn das ODER-Gatter 32c das Hochpegelsignal von dem NICHT-Gatter 32b empfängt, gibt das ODER-Gatter 32c das Hochpegelsignal aus. Wenn das ODER-Gatter 32c das Niedrigpegelsignal von dem NICHT-Gatter 32b empfängt, gibt das ODER-Gatter 32c das Niedrigpegelsignal aus.
Daher gibt dann, wenn der Rücksetzabschnitt 32 das Ausfallsicherheitssignal von dem Ausfallsicherheitsabschnitt 31 empfängt, der Rücksetzabschnitt 32 das Hochpegelsignal aus. Das heißt, die Ausgabe des Rücksetzsignals wird ausgesetzt. Das Rücksetzsignal wird nicht ausgegeben. Nur (1) wenn das Niedrigpegelsignal von dem Ausfallsicherheitsabschnitt 31 empfangen wird und (2) wenn das Niedrigpegelsignal von dem NICHT-Gatter 32b empfangen wird, gibt der Rücksetzabschnitt 32 das Niedrigpegelsignal aus, das heißt, gibt das Rücksetzsignal aus. In diesem Fall wird der Mikrocomputer 20 zurückgesetzt.
Nachstehend wird ein Betriebsablauf zu der Zeit, zu der eine permanente Fehlfunktion in dem Mikrocomputer 20 auftritt, unter Bezugnahme auf 3 erklärt. In 3 ist eine Betätigungsstopzeitdauer des Motors 15 aufgrund der Zurücksetzung zweckmäßig durch Schraffur gezeigt.
Wir vorstehend beschrieben wurde, ermittelt der Fehlfunktionserfassungsabschnitt 30 in dem Überwachungs-IC 21, ob die von dem Mikrocomputer 20 zugeführten Überwachungsdaten normal sind oder nicht. Wenn ermittelt wird, dass der Mikrocomputer 20 normal ist, gibt der Fehlfunktionserfassungsabschnitt 30 das Niedrigpegelsignal aus, welches einen normalen Zustand angibt. In diesem Fall beginnt der Zähler 31a in dem Ausfallsicherheitsabschnitt 31 keine Zählung, und gibt der Zähler 31a (das heißt, der Ausfallsicherheitsabschnitt 31) das Niedrigpegelsignal aus. Das heißt, die Ausgabe des Ausfallsicherheitssignals wird unterbrochen bzw. ausgesetzt. Das Ausfallsicherheitssignal wird nicht ausgegeben.
Darüber hinaus beginnt der Zähler 32a in dem Rücksetzabschnitt 32 keine Zählung, und gibt der Zähler 32a das Niedrigpegelsignal aus. Das NICHT-Gatter 32b invertiert das Niedrigpegelsignal, um das Hochpegelsignal zu erzeugen. Folglich empfängt das ODER-Gatter 32c das Niedrigpegelsignal von dem Zähler 31a und das Hochpegelsignal von dem NICHT-Gatter 32b, und gibt das ODER-Gatter 32c (der Rücksetzabschnitt 32) das Hochpegelsignal aus. Das heißt, die Ausgabe des Rücksetzsignals wird unterbrochen bzw. ausgesetzt. Das Rücksetzsignal wird nicht ausgegeben.
Wenn ermittelt wird, dass er Mikrocomputer 20 normal ist, empfängt der ETC-Treiber 22 das Niedrigpegelsignal von dem Ausfallsicherheitsabschnitt 31. Daher gibt in Übereinstimmung mit dem Steuersignal aus dem Mikrocomputer 20 der ETC-Treiber 22 das Drosselbetätigungssignal aus, und wird der Motor 15 mit Elektrizität versorgt. In diesem Fall befindet sich das Fahrzeug in einem normalen Steuerzustand.
Wenn der Fehlfunktionserfassungsabschnitt 30 die Fehlfunktion des Mikrocomputers 20 erfasst und das Fehlfunktionssignal (in diesem Fall das Hochpegelsignal) ausgibt, beginnt der Zähler 31a in dem Ausfallsicherheitsabschnitt 31 die Zählung und führt in Übereinstimmung mit dem internen Takt die Abwärtszählung ausgehend von dem Fehlfunktionsbereinigungsschwellenwert durch. Wenn der Zählwert gleich null ist, gibt der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal (das heißt das Hochpegelsignal) aus.
Darüber hinaus funktioniert das Fehlfunktionssignal als der Auslöser bzw. Trigger des Zählers 32a, und beginnt der Zähler 32a in dem Rücksetzabschnitt 32 die Zählung, und führt in Übereinstimmung mit einem internen Takt die Abwärtszählung ausgehend von einem Rücksetzschwellenwert durch. Wenn der Zählerwert gleich null ist, gibt der Zähler 32a das Hochpegelsignal für eine feste Zeitdauer aus. Das von dem Zähler 32a ausgegebene Hochpegelsignal wird an dem NICHT-Gatter 32b zu dem Niedrigpegelsignal invertiert.
Es wird angemerkt, dass das Ausfallsicherheitsprozess die permanente Fehlfunktion des Mikrocomputers 20 behandelt, und die Rücksetzverarbeitung die vorübergehende bzw. temporäre Fehlfunktion in dem Mikrocomputer 20 behandelt. Die Erzeugung des Ausfallsicherheitssignals und die Erzeugung des Rücksetzsignals haben dasselbe Fehlfunktionssignal als den Auslöser. Eine Zeitdauer, die zum Erzeugen des Ausfallsicherheitssignals benötigt wird, ist länger als eine Zeitdauer, die zum Erzeugen des Rücksetzsignals benötigt wird. Folglich wird das Rücksetzsignal früher erzeugt als die Erzeugung des Ausfallsicherheitssignals erfolgt. In dem vorliegenden Ausführungsbeispiel ist der Fehlfunktionsbereinigungsschwellenwert größer als der Rücksetzschwellenwert.
Daher wird, nachdem das Fehlfunktionssignal ausgegeben ist, der Wert des Zählers 32a (der dem Rücksetzschwellenwert entspricht) vor einer Zeit null, zu der der Wert des Zählers 31a (der dem Fehlfunktionsbereinigungsschwellenwert entspricht) null wird. Wenn das ODER-Gatter 32c das Niedrigpegelsignal von dem Ausfallsicherheitsabschnitt 31 und das Niedrigpegelsignal von dem NICHT-Gatter 32b empfängt, gibt das ODER-Gatter 32c das Niedrigpegelsignal aus, welches das Rücksetzsignal ist. Demgemäß wird der Mikrocomputer 20 zurückgesetzt. In diesem Fall gibt der Mikrocomputer 20 das Steuersignal nicht an den ETC-Treiber 22 aus, und hört das von dem ETC-Treiber 22 ausgegebene Drosselbetätigungssignal damit auf, den Motor 15 mit Elektrizität zu versorgen. Demgemäß wird das Drosselventil 14 in die geschlossene Position positioniert.
Der Zählerwert des Zählers 32a wird gelöscht bzw. zurückgesetzt, nachdem eine vorbestimmte Zeit verstreicht, und der Rücksetzschwellenwert wird erneut gesetzt. Jedoch wird, wie in 3 beschrieben ist, dann, wenn die permanente Fehlfunktion in dem Mikrocomputer 20 auftritt, das Fehlfunktionssignal kontinuierlich ausgegeben, und beginnt der Zähler 32a das Abwärtszählen erneut. In dem vorliegenden Ausführungsbeispiel ist in der Mitte der Abwärtszählung des Zählers 32a beim zweiten Mal der Wert des Zählers 31a gleich null.
Bevor der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal ausgibt, empfängt das ODER-Gatter 32c das Niedrigpegelsignal von dem Ausfallsicherheitsabschnitt 31 und empfängt das Hochpegelsignal von dem NICHT-Gatter 32b. Daher gibt das ODER-Gatter 32c (das heißt, der Rücksetzabschnitt 32) das Hochpegelsignal aus. Daher gibt in Übereinstimmung mit dem Steuersignal von dem Mikrocomputer 20 der ETC-Treiber 22 das Drosselbetätigungssignal aus und wird der Motor 15 mit Elektrizität versorgt.
Darüber hinaus gibt dann, wenn der Zählwert des Zählers 31a gleich null ist, der Ausfallsicherheitsabschnitt 31 das Hochpegelsignal als das Ausfallsicherheitssignal aus. Das ODER-Gatter 32c empfängt das Hochpegelsignal von dem Ausfallsicherheitsabschnitt 31 und empfängt das Hochpegelsignal von dem NICHT-Gatter 32b, und das ODER-Gatter 32c gibt das Hochpegelsignal aus. Daher wird die Ausgabe des Rücksetzsignals unterbrochen bzw. ausgesetzt. Die Ausgabe des Rücksetzsignals wird beendet, das Rücksetzsignal wird nicht ausgegeben.
Gleichzeitig gibt, da der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal ausgibt, der ETC-Treiber 22 das Drosselstopsignal an den Motor 15 aus. Das heißt, die Stromversorgung zu dem Motor 15 endet bzw. stoppt. Demgemäß befindet sich der Motor 15 in dem Motorsteuerungsstop(zustand). Das Drosselventil 14 ist in der geschlossenen Position positioniert. Es wird angemerkt, dass, da der Injektor 11 und die Zündkerze 12 durch Steuersignals von dem Mikrocomputer 20 gesteuert werden, wenn das Ausfallsicherheitssignal ausgegeben wird, das Fahrzeug die Rückzugsfortbewegung mit einer geringen Geschwindigkeit durchführt.
Die Haupteffekte der elektronischen Steuervorrichtung 10 gemäß dem vorliegenden Ausführungsbeispiel werden nachstehend erklärt.
In Übereinstimmung mit dem vorliegenden Ausführungsbeispiel weist der Überwachungs-IC 21 den Rücksetzabschnitt 32 auf. Daher kann es für die temporäre Fehlfunktion des Mikrocomputers 20 möglich sein, den Mikrocomputer 20 durch das von dem Rücksetzabschnitt 32 ausgegebene Rücksetzsignal wieder in einen normalen Zustand zu bringen bzw. versetzen.
Auch wenn der Fehlfunktionserfassungsabschnitt 30 das Fehlfunktionssignal ausgibt, wird die Ausgabe des Rücksetzsignals aus dem Rücksetzabschnitt 32 ausgesetzt, während der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal ausgibt. Folglich kann es möglich sein, zu verhindern, dass eine vorbestimmte Ausfallsicherheitsverarbeitung nicht ausgeführt wird, da das Rücksetzsignal ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird. Daher kann es dann, wenn die permanente in dem Mikrocomputer auftritt, möglich sein, die Ausfallsicherheitsverarbeitung sicher auszuführen.
In dem vorliegenden Ausführungsbeispiel behält nur der Motor 15 unter dem Injektor 11, der Zündkerze 12 und dem Motor 15, die durch den Mikrocomputer 20 gesteuert werden, den Rückzugszustand in Übereinstimmung mit dem Ausfallsicherheitssignal bei. Genauer endet die Stromversorgung zu dem Motor 15. Daher werden auch dann, wenn das Ausfallsicherheitssignal ausgegeben wird, der Injektor 11 und die Zündkerze 12 durch den Mikrocomputer 20 gesteuert. Daher befindet sich dann, wenn das Ausfallsicherheitssignal ausgegeben wird, nur der Motor 15 in dem Steuerungsstop(zustand). Demgegenüber wird dann, wenn das Rücksetzsignal ausgegeben wird, der Mikrocomputer 20 zurückgesetzt, und befinden sich der Injektor 11, die Zündkerze 12 und der Motor 15 in dem Steuerungsstop(zustand). Das heißt, ein Betätigungszustand dann, wenn das Ausfallsicherheitssignal ausgegeben wird, und ein Betätigungszustand dann, wenn das Rücksetzsignal ausgegeben wird, unterscheiden sich in Bezug auf zumindest eine Last, die durch den Mikrocomputer 20 gesteuert wird. Da jedoch das Rücksetzsignal nicht ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird, kann es möglich sein, dass ein Fahrzeug eine Rückzugsfortbewegung bzw. einen Notbetrieb mit einer geringen Geschwindigkeit durchführt. Das heißt, es kann möglich sein, zu verhindern, dass ein Motor sich in dem abgestorbenen Zustand befindet bzw. abstirbt. Der Betätigungszustand zu der Zeit, zu der das Ausfallsicherheitssignal ausgegeben wird, kann als ein erster Betätigungszustand bezeichnet werden. Der Betätigungszustand zu der Zeit, zu der das Rücksetzsignal ausgegeben wird, kann als ein zweiter Betätigungszustand bezeichnet werden.
(Zweites Ausführungsbeispiel)
In dem zweiten Ausführungsbeispiel wird eine Beschreibung einen Teil betreffend, der der in dem ersten Ausführungsbeispiel beschriebenen elektronischen Steuervorrichtung 10 gemeinsam ist, weggelassen.
Die elektronische Steuervorrichtung 10 in dem zweiten Ausführungsbeispiel wird nachstehend unter Bezugnahme auf 4 und 5 erklärt. Nebenbei bemerkt stellt 4 ein elektronisches Steuersystem einschließlich der elektronischen Steuervorrichtung 10 dar. In 4 sind Darstellungen von Lasten, die durch den Mikrocomputer 20 gesteuert werden, wie beispielsweise der Injektor 11, die Zündkerze 12 und der Motor 15, zweckmäßig weggelassen. Ferner ist die Darstellung des ETC-Treibers 22 ebenfalls weggelassen.
Die elektronische Steuervorrichtung 10 beinhaltet den Mikrocomputer 20, den Überwachungs-IC 21, den ETC-Treiber 22, ähnlich zu dem ersten Ausführungsbeispiel. Die elektronische Steuervorrichtung 10 beinhaltet einen Steuereinrichtungsbereichnetzwerk (CAN)-Treiber wie in 4 beschrieben. Nebenbei bemerkt ist CAN eine eingetragene Marke.
Die elektronische Steuervorrichtung 10 kommuniziert wechselweise mit einer anderen elektronischen Steuervorrichtung 40 in Übereinstimmung mit einem CAN-Protokoll über einen CAN-Bus. Die andere elektronische Steuervorrichtung 40 beinhaltet darüber hinaus einen Mikrocomputer 41, einen CAN-Treiber 42, oder dergleichen. Nebenbei bemerkt kann für die Motor-ECU als die elektronische Steuervorrichtung 10 eine Brems-ECU oder dergleichen als die andere elektronische Steuervorrichtung 40 verwendet werden. Nachstehend kann die andere elektronische Steuervorrichtung 40 auch einfach als eine elektronische Steuervorrichtung 40 bezeichnet sein.
Jeder der CAN-Treiber 23, 42 beinhaltet eine CAN-Steuereinrichtung und einen CAN-Sender/Empfänger bzw. Transceiver. Der Mikrocomputer 20 weist den CAN-Treiber 23 an, Kommunikationsdaten auf den CAN-Bus auszugeben. Der Mikrocomputer 20 erhält Kommunikationsdaten, die auf den CAN-Bus ausgegeben wurden, von einem anderen Knoten, wie beispielsweise der elektronischen Steuervorrichtung 40, über den CAN-Treiber 23. Der Mikrocomputer 41 weist den CAN-Treiber 42 an, Kommunikationsdaten auf den CAN-Bus auszugeben. Der Mikrocomputer 41 erhält Kommunikationsdaten, die von einem anderen Knoten, wie beispielsweise der elektronischen Steuervorrichtung 10, auf den CAN-Bus ausgegeben wurden, über den CAN-Treiber 42.
Jede der elektronischen Steuervorrichtungen 10, 40 überwacht eine wechselseitige Fehlfunktion gegenseitig. In dem vorliegenden Ausführungsbeispiel wird, als ein Mittel zum Erfassen einer Fehlfunktion, die Gesamtzahl von Kommunikationsausfällen gezählt. Die elektronische Steuervorrichtung 10 überträgt Kommunikationsdaten an die elektronische Steuervorrichtung 40. Folglich erfasst die elektronische Steuervorrichtung 40 ein Vorhandensein der elektronischen Steuervorrichtung 10 und erzeugt einen Kommunikationsausfallzähler bezüglich der elektronischen Steuervorrichtung 10. Der Kommunikationsausfallzähler nimmt mit verstreichender Zeit zu, und der Kommunikationsausfallzähler wird zum Beispiel jedes Mal initialisiert, wenn die Kommunikationsdaten empfangen werden.
Bevor die Fehlfunktion in dem Mikrocomputer 20 in der elektronischen Steuervorrichtung 10 auftritt, überträgt die elektronische Steuervorrichtung 10 die Kommunikationsdaten in einem erforderlichen Zeitverhalten. Ein Zählerwert des Kommunikationsausfallzählers der elektronischen Steuervorrichtung 40 überschreitet niemals einen vorbestimmten Schwellenwert. Das heißt, die elektronische Steuervorrichtung 40 erfasst niemals die Fehlfunktion des Mikrocomputers 20 (der elektronischen Steuervorrichtung 10). Demgegenüber nimmt dann, wenn die Fehlfunktion in dem Mikrocomputer 20 auftritt und die elektronische Steuervorrichtung 10 die Kommunikationsdaten nicht überträgt, der Zählerwert des Kommunikationsausfallzählers in der elektronischen Steuervorrichtung 40 gleichförmig zu. Wenn der Zählerwert den Schwellenwert überschreitet, erfasst die elektronische Steuervorrichtung 40 die Fehlfunktion des Mikrocomputers 20.
Wenn die elektronische Steuervorrichtung 40 die Fehlfunktion des Mikrocomputers 20 erfasst, erzeugt der Mikrocomputer 41 in der elektronischen Steuervorrichtung 40 ein Rücksetzstopsignal. Das Rücksetzstopsignal wird von der elektronischen Steuervorrichtung 40 ausgegeben, und das ODER-Gatter 43 empfängt das Rücksetzstopsignal über eine Verdrahtung. Das Rücksetzstopsignal kann einem Beispiel eines externen Signals entsprechen.
Ein Schalter 44 ist mit dem ODER-Gatter 43 über eine Verdrahtung verbunden. Der Schalter 44 wird durch einen Insassen (einen Benutzer) in einem Fahrzeug betätigt und gibt das Rücksetzstopsignal (das einem Beispiel des externen Signals entspricht) aus. Wenn das ODER-Gatter 43 das Rücksetzstopsignal von zumindest einer der elektronischen Steuervorrichtung 40 und/oder dem Schalter 44 empfängt, gibt das ODER-Gatter 43 das Hochpegelsignal als das Rücksetzstopsignal an den Überwachungs-IC 21 aus. Demgegenüber gibt dann, wenn das ODER-Gatter 43 das Rücksetzstopsignal von der elektronischen Steuervorrichtung 40 oder dem Schalter 44 nicht empfängt, das ODER-Gatter 43 das Niedrigpegelsignal an den Überwachungs-IC 21 aus. Das heißt, die Ausgabe des Rücksetzstopsignals wird ausgesetzt. Das elektronische Steuersystem beinhaltet die elektronischen Steuervorrichtungen 10, 40 und den Schalter 44.
Wie in 5 beschrieben ist, hat der Überwachungs-IC 21 im Wesentlichen dieselbe Konfiguration wie der in dem ersten Ausführungsbeispiel (unter Bezugnahme auf 2) beschriebene Überwachungs-IC 21. In dem ersten Ausführungsbeispiel wird das Ausfallsicherheitssignal als das Rücksetzstopsignal verwendet. In dem vorliegenden Ausführungsbeispiel wird anstelle des Ausfallsicherheitssignals ein wie vorstehend beschrieben anderes Signal als das Rücksetzstopsignal verwendet.
Wenn der Fehlfunktionserfassungsabschnitt 30 die Fehlfunktion des Mikrocomputers 20 erfasst und das Fehlfunktionssignal (in diesem Ausführungsbeispiel das Hochpegelsignal) ausgibt, beginnt der Zähler 32a in dem Rücksetzabschnitt 32 die Zählung als ein Auslöser des Fehlfunktionssignals, und führt die Abwärtszählung ausgehend von dem Rücksetzschwellenwert in Übereinstimmung mit dem internen Takt durch. Wenn der Zählwert gleich null ist, gibt der Zähler 32a das Hochpegelsignal für eine feste Zeitdauer aus. Dieses von dem Zähler 32a ausgegebene Hochpegelsignal wird an dem NICHT-Gatter 32b in das Niedrigpegelsignal invertiert.
Wenn das ODER-Gatter 32c das Niedrigpegelsignal von dem NICHT-Gatter 32b empfängt und das Niedrigpegelsignal von dem ODER-Gatter 43 empfängt, gibt das ODER-Gatter 32c das Niedrigpegelsignal als das Rücksetzsignal aus. In diesem Fall wird der Mikrocomputer 20 zurückgesetzt.
Demgegenüber gibt dann, wenn das ODER-Gatter 32c das Rücksetzstopsignal (ein auf hohem Pegel liegendes Signal) empfängt, das ODER-Gatter 32c das Hochpegelsignal unabhängig von einem Ausgangspegel des NICHT-Gatters 32b aus. Das heißt, die Ausgabe des Rücksetzsignals wird ausgesetzt. Das Rücksetzsignal wird nicht ausgegeben. Daher wird auch dann, wenn das NICHT-Gatter 32b das Niedrigpegelsignal ausgibt, die Ausgabe des Rücksetzsignals angehalten.
Folglich wird auch in Übereinstimmung mit dieser Konfiguration der Rücksetzabschnitt 32 daran gehindert, das Rücksetzsignal auszugeben, während der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal ausgibt. Daher kann es möglich sein, zu verhindern, dass eine vorbestimmte Ausfallsicherheitsverarbeitung nicht ausgeführt wird, da das Rücksetzsignal ausgegeben wird, während das Ausfallsicherheitssignal ausgegeben wird. Daher kann es dann, wenn die permanente Fehlfunktion in dem Mikrocomputer 20 auftritt, möglich sein, die Ausfallsicherheitsverarbeitung sicher auszuführen.
Nebenbei bemerkt beinhaltet das vorliegende Ausführungsbeispiel eine elektronische Steuervorrichtung 40 und einen Schalter 44 als eine externe Vorrichtung, die das Rücksetzstopsignal ausgibt bzw. ausgeben. Das elektronische Steuersystem 10 kann jedoch entweder die elektronische Steuervorrichtung oder den Schalter 44 beinhalten. In diesem Fall kann das ODER-Gatter 43 unnötig werden. Wenn die elektronische Steuervorrichtung 40 als die externe Vorrichtung verwendet wird, kann es möglich sein, das Rücksetzstopsignal ohne Betätigung bzw. Bedienung durch einen Insassen eines Fahrzeugs auszugeben. Wenn der Schalter 44 als die externe Vorrichtung verwendet wird, kann es möglich sein, das Rücksetzstopsignal nach dem Erkennen eines abgestorbenen Zustands eines Motors durch den Insassen auszugeben.
In den vorliegenden Ausführungsbeispielen wird eine einzelne elektronische Steuervorrichtung 40 als die externe Vorrichtung beschrieben. Es können jedoch mehrere elektronische Steuervorrichtungen als die externe Vorrichtung bereitgestellt sein.
In dem vorliegenden Ausführungsbeispiel wird CAN als ein Kommunikationsprotokoll eines Netzwerks verwendet. Das Kommunikationsprotokoll des Netzwerks ist jedoch nicht auf dieses Beispiel beschränkt. Folglich kann das Kommunikationsprotokoll zum Beispiel FlexRay (eine eingetragene Marke) sein. Eine beliebige Konfiguration der elektronischen Steuervorrichtung 40 kann verwendet werden, solange die elektronische Steuervorrichtung 10 (der Mikrocomputer 20) über einen Bus überwacht werden kann, und solange, wenn ermittelt wird, dass eine Fehlfunktion auftritt, ein Rücksetzstopsignal erzeugt werden kann.
Ein bevorzugtes Ausführungsbeispiel der Erfindung wurde beschrieben. Es wird angemerkt, dass die Erfindung nicht auf das beschriebene Ausführungsbeispiel beschränkt ist, und dass die erfindungsgemäße Offenbarung auf verschieden modifizierte Arten innerhalb des Schutzbereichs der Erfindung ausgeführt werden kann.
Der für die elektronische Steuervorrichtung 10 bereitgestellte Überwachungsabschnitt ist nicht auf den Überwachungs-IC 21 beschränkt. Zum Beispiel kann ein Überwachungsmikrocomputer, der getrennt von dem Mikrocomputer 20 bereitgestellt ist, verwendet werden.
Die elektronische Steuervorrichtung 10 ist nicht auf eine Motor-ECU beschränkt. Die elektronische Steuervorrichtung 10 kann eine beliebige andere fahrzeuginterne ECU bzw. elektronische Steuereinheit als die Motor-ECU sein. Ferner kann die elektronische Steuervorrichtung 10 eine beliebige andere ECU als die fahrzeuginterne ECU sein.
In den vorliegenden Ausführungsbeispielen unterscheidet sich der Betätigungszustand bzw. Betätigungsstatus dann, wenn der Mikrocomputer 20 mehrere Lasten steuert und das Ausfallsicherheitssignal in Bezug auf zumindest eine der mehreren Lasten ausgegeben wird, von dem Betätigungszustand dann, wenn das Rücksetzsignal ausgegeben wird. Im Einzelnen steuert der Mikrocomputer 20 den Injektor 11, die Zündkerze 12 und den Motor 15 der elektronischen Drossel(klappe) 13. Zur Zeit der Ausfallsicherheitsverarbeitung wird die Betätigung bzw. der Betrieb des Motors 15 angehalten. Zur Zeit des Zurücksetzens wird die Betätigung bzw. der Betrieb des Injektors 11, der Zündkerze 12 und des Motors 15 beendet.
Die Erfindung kann jedoch in einem Fall verwendet werden, in dem sich ein Betriebs- oder Betätigungszustand der Ausfallsicherheitsverarbeitung von einem Betriebs- oder Betätigungszustand der Rücksetzverarbeitung unterscheidet. In der Ausfallsicherheitsverarbeitung wird ein Ausfallsicherheitssignal in Bezug auf zumindest eine durch den Mikrocomputer 20 gesteuerte Last ausgegeben. In der Rücksetzverarbeitung wird ein Rücksetzsignal in Bezug auf die zumindest eine Last ausgegeben. Folglich ist die Anzahl von Lasten (die Steuerungszielen entsprechen), die durch den Mikrocomputer 20 gesteuert werden, nicht beschränkt. Die Lasten sind nicht auf den Injektor 11, die Zündkerze 12 und den Motor 15 beschränkt.
Wenn zum Beispiel der Mikrocomputer 20 eine einzelne Last steuert, und wenn die Betätigungszustände der Lasten zwischen der Ausfallsicherheitsverarbeitung und der Rücksetzverarbeitung unterschiedlich sind, kann die vorliegende Offenbarung verwendet werden.
In dem vorliegenden Ausführungsbeispiel gibt beispielsweise der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals aus, so dass eine der mehreren Lasten in einem vorbestimmten Notbetriebs- bzw. Rückzugszustand verharrt. Jedoch kann der Ausfallsicherheitsabschnitt 31 das Ausfallsicherheitssignal ausgeben, so dass alle Lasten in einem vorbestimmten Rückzugszustand verharren. Damit mehrere Lasten, welche alle Teil der insgesamt vorhandenen Lasten sind, in einem vorbestimmten Rückzugszustand verharren, kann der Ausfallsicherheitsabschnitt das Ausfallsicherheitssignal ausgeben. Das heißt, die Erfindung kann in einem Fall verwendet werden, in dem sich der Betätigungszustand dann, wenn das Ausfallsicherheitssignal ausgegeben wird, von dem Betätigungszustand dann, wenn das Rücksetzsignal ausgegeben wird, in Bezug auf zumindest eine durch den Mikrocomputer 20 gesteuerte Last unterscheidet.
In den vorliegenden Ausführungsbeispielen sind der Zähler 31a und der Zähler 32a als ein Beispiel eines Abwärtszählers beschrieben. Ein Zähler kann ein Aufwärtszähler sein.
Während die elektronische Steuervorrichtung unter Bezugnahme auf die Ausführungsbeispiele derselben beschrieben wurde, versteht sich, dass die Erfindung nicht auf die Ausführungsbeispiele und Konstruktionen beschränkt ist. Die Erfindung soll verschiedene Modifikationen und äquivalente Anordnungen mit abdecken. Während die verschiedenen Kombinationen und Konfigurationen beschrieben wurden, liegen darüber hinaus andere Kombinationen und Konfigurationen, einschließlich mehreren, weniger oder nur einem Element(en), ebenfalls innerhalb des Schutzbereichs der Erfindung.

Claims

Elektronische Steuervorrichtung, beinhaltend: eine Steuereinrichtung (20), die eine Betätigung zumindest einer Last steuert; und einen Überwachungsabschnitt (21), der überwacht, ob die Steuereinrichtung normal arbeitet; wobei: der Überwachungsabschnitt beinhaltet: eine Fehlfunktionserfassungseinrichtung (30), die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird, eine Ausfallsicherheitseinrichtung (31), die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, und eine Rücksetzeinrichtung (32), die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen, wobei die Rücksetzeinrichtung ausgelegt ist, das Ausfallsicherheitssignal zu empfangen; ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt, unterscheidet; und in einem Fall, in dem die Rücksetzeinrichtung das Ausfallsicherheitssignal von der Ausfallsicherheitseinrichtung empfängt, die Rücksetzeinrichtung eine Ausgabe des Rücksetzsignals beendet.
Elektronische Steuervorrichtung, beinhaltend: eine Steuereinrichtung (20), die eine Betätigung zumindest einer Last steuert; und einen Überwachungsabschnitt (21), der überwacht, ob die Steuereinrichtung normal arbeitet; wobei: der Überwachungsabschnitt beinhaltet: eine Fehlfunktionserfassungseinrichtung (30), die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird, eine Ausfallsicherheitseinrichtung (31), die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, und eine Rücksetzeinrichtung (32), die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen; wobei der Überwachungsabschnitt ein von einer externen Vorrichtung (40, 44) übertragenes Rücksetzstopsignal übernimmt, wobei das Rücksetzstopsignal eine Ausgabe des Rücksetzsignals beendet; ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt, unterscheidet; eine andere elektronische Steuervorrichtung (40) der externen Vorrichtung entspricht; die elektronische Steuervorrichtung und die andere elektronische Steuervorrichtung (40) wechselseitig die Fehlfunktion der Steuereinrichtung überwachen, und in einem Fall, in dem die Rücksetzeinrichtung das Rücksetzstopsignal von der anderen elektronischen Steuervorrichtung empfängt, die Rücksetzeinrichtung die Ausgabe des Rücksetzsignals auch dann beendet, wenn die Rücksetzeinrichtung das Fehlfunktionssignal von der Fehlfunktionserfassungseinrichtung empfängt.
Elektronische Steuervorrichtung, beinhaltend: eine Steuereinrichtung (20), die eine Betätigung zumindest einer Last steuert; und einen Überwachungsabschnitt (21), der überwacht, ob die Steuereinrichtung normal arbeitet; wobei: der Überwachungsabschnitt beinhaltet: eine Fehlfunktionserfassungseinrichtung (30), die ein Fehlfunktionssignal ausgibt, wenn eine Fehlfunktion der Steuereinrichtung erfasst wird, eine Ausfallsicherheitseinrichtung (31), die ein Ausfallsicherheitssignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die zumindest eine Last zu veranlassen, in einem vorbestimmten Rückzugszustand zu verharren, und eine Rücksetzeinrichtung (32), die ein Rücksetzsignal auf der Grundlage des Fehlfunktionssignals ausgibt, um die Steuereinrichtung zurückzusetzen; wobei der Überwachungsabschnitt ein von einer externen Vorrichtung (40, 44) übertragenes Rücksetzstopsignal übernimmt, wobei das Rücksetzstopsignal eine Ausgabe des Rücksetzsignals beendet; ein erster Betätigungszustand der zumindest einen Last zu einer Zeit, zu der die Ausfallsicherheitseinrichtung das Ausfallsicherheitssignal ausgibt, sich von einem zweiten Betätigungszustand zu einer Zeit, zu der die Rücksetzeinrichtung das Rücksetzsignal ausgibt, unterscheidet; ein Schalter der externen Vorrichtung entspricht und durch einen Benutzer betätigt wird; die elektronische Steuervorrichtung das Rücksetzstopsignal von dem Schalter übernimmt; und in einem Fall, in dem die Rücksetzeinrichtung das Rücksetzstopsignal von dem Schalter empfängt, die Rücksetzeinrichtung die Ausgabe des Rücksetzsignals auch dann beendet, wenn die Rücksetzeinrichtung das Fehlfunktionssignal von der Fehlfunktionserfassungseinrichtung empfängt.
Elektronische Steuervorrichtung nach Anspruch 2, wobei: ein Schalter der externen Vorrichtung entspricht und durch einen Benutzer betätigt wird; die elektronische Steuervorrichtung das Rücksetzstopsignal von dem Schalter übernimmt; und in einem Fall, in dem die Rücksetzeinrichtung das Rücksetzstopsignal von dem Schalter empfängt, die Rücksetzeinrichtung die Ausgabe des Rücksetzsignals auch dann beendet, wenn die Rücksetzeinrichtung das Fehlfunktionssignal von der Fehlfunktionserfassungseinrichtung empfängt.
Elektronische Steuervorrichtung nach einem der Ansprüche 1-4, wobei: die Steuereinrichtung eine Vielzahl von Lasten einschließlich der zumindest einen Last steuert; und ein Teil der Vielzahl von Lasten in einem vorbestimmten Rückzugszustand verharrt, wenn das Ausfallsicherheitssignal empfangen wird.
Elektronische Steuervorrichtung nach Anspruch 5, wobei: die elektronische Steuervorrichtung an einem Fahrzeug bereitgestellt ist; die Vielzahl von Lasten einen Motor (15), der ein Drosselventil (14) öffnet und schließt, einen Injektor (11) und eine Zündkerze (12) beinhaltet; die Steuereinrichtung den Motor, den Injektor und die Zündkerze steuert; und das Ausfallsicherheitssignal eine Betätigung des Motors unter dem Motor, dem Injektor und der Zündkerze beendet.