DE102015221980A1 - Electronic control device - Google Patents

Electronic control device Download PDF

Info

Publication number
DE102015221980A1
DE102015221980A1 DE102015221980.1A DE102015221980A DE102015221980A1 DE 102015221980 A1 DE102015221980 A1 DE 102015221980A1 DE 102015221980 A DE102015221980 A DE 102015221980A DE 102015221980 A1 DE102015221980 A1 DE 102015221980A1
Authority
DE
Germany
Prior art keywords
circuit
monitoring circuit
output
fail
microcomputer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102015221980.1A
Other languages
German (de)
Inventor
Hiroki Okada
Keiichi Kato
Eiichiro Kawakami
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Denso Corp filed Critical Denso Corp
Publication of DE102015221980A1 publication Critical patent/DE102015221980A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/26—Functional testing
    • G06F11/263—Generation of test inputs, e.g. test vectors, patterns or sequences ; with adaptation of the tested hardware for testability with external testers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/2205—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested
    • G06F11/2215—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested to test error correction or detection circuits

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)
  • Debugging And Monitoring (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

Eine elektronische Steuervorrichtung (1) beinhaltet einen Mikrocomputer (3), eine Überwachungsschaltung (4) und einen Ausgabeverifizierungsteil (401). Der Mikrocomputer (3) steuert Treiben eines Aktuators (A). Die Überwachungsschaltung (4) überwacht den Mikrocomputer (3) und gibt ein Ausfallsicherungssignal aus, wenn ein Zählwert eines Fehlerzählers (404), der die Anzahl von Erfassungen einer Abnormalität des Mikrocomputers (3) angibt, einen vorbestimmten ersten Grenzzählwert erreicht. Der Mikrocomputer (3) veranlasst die Überwachungsschaltung (4) vorsätzlich, die Abnormalität des Mikrocomputers (3) zu erfassen. Die Überwachungsschaltung (4) gibt ein Einzelpulssignal aus, wenn der Zählwert des Fehlerzählers (404) einen vorbestimmten zweiten Grenzzählwert erreicht, der kleiner als der erste Grenzzählwert ist. Der Ausgabeverifizierungsteil (401) verifiziert, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung (4) ausgegeben werden wird, basierend auf dem Einzelpulssignal.An electronic control device (1) includes a microcomputer (3), a monitor circuit (4), and an output verification part (401). The microcomputer (3) controls driving of an actuator (A). The monitoring circuit (4) monitors the microcomputer (3) and outputs a fail-safe signal when a count value of an error counter (404) indicative of the number of abnormality detections of the microcomputer (3) reaches a predetermined first limit count value. The microcomputer (3) intentionally causes the monitoring circuit (4) to detect the abnormality of the microcomputer (3). The monitoring circuit (4) outputs a single-pulse signal when the count value of the error counter (404) reaches a predetermined second limit count smaller than the first limit count value. The output verifying part (401) verifies whether the fail-safe signal will be normally output from the monitor circuit (4) based on the single-pulse signal.

Figure DE102015221980A1_0001
Figure DE102015221980A1_0001

Description

Die vorliegende Erfindung betrifft eine elektronische Steuervorrichtung.The present invention relates to an electronic control device.

Eine herkömmliche elektronische Steuervorrichtung, die in der JP 2008-226043A offenbart ist, hat einen Mikrocomputer zum Steuern eines Treibens einer Brennkraftmaschine und eine integrierte Überwachungsschaltung (IC) zum Überwachen eines Betriebs einer Steuerschaltung.A conventional electronic control device, which in the JP 2008-226043A has a microcomputer for controlling a driving of an internal combustion engine and an integrated monitoring circuit (IC) for monitoring an operation of a control circuit.

Der Mikrocomputer hat ein Testauswahlmittel zum Auswählen eines Tests, um dadurch eine entsprechende Funktion zu erfassen. Der Mikrocomputer führt nicht nur den durch das Testauswahlmittel ausgewählten Test aus, sondern überträgt ebenso eine Testantwort, die ein Ergebnis des Ausführens des Tests ist. Die Überwachungsschaltung überprüft, ob der Mikrocomputer normal oder abnormal operiert, basierend auf der vom Mikrocomputer übertragenen Testantwort. Bestimmt die Überwachungsschaltung, dass der Mikrocomputer mehr als eine vorbestimmte Häufigkeit abnormal operiert, gibt die Überwachungsschaltung ein Ausfallsicherungssignal aus, um Ausgabeleistung der Brennkraftmaschine zu beschränken.The microcomputer has a test selecting means for selecting a test to thereby detect a corresponding function. The microcomputer not only executes the test selected by the test selection means, but also transmits a test response which is a result of executing the test. The monitoring circuit checks whether the microcomputer is operating normally or abnormally based on the test response transmitted from the microcomputer. If the monitoring circuit determines that the microcomputer abnormally operates more than a predetermined number of times, the monitoring circuit outputs a fail-safe signal to limit the output of the engine.

In der vorstehend beschriebenen herkömmlichen elektronischen Steuervorrichtung überwacht der Mikrocomputer einen Betrieb der Überwachungsschaltung. Insbesondere überwacht der Mikrocomputer den Betrieb der Überwachungsschaltung durch vorsätzliches Übertragen einer falschen Testantwort, die klar in einer Bestimmung einer Abnormalität des Mikrocomputers resultiert, an die Überwachungsschaltung und Verifizieren, ob die Überwachungsschaltung die Abnormalität des Mikrocomputers bestimmt.In the conventional electronic control device described above, the microcomputer monitors an operation of the monitoring circuit. Specifically, the microcomputer monitors the operation of the monitoring circuit by intentionally transmitting a wrong test response, which clearly results in a determination of an abnormality of the microcomputer, to the monitoring circuit and verifying that the monitoring circuit determines the abnormality of the microcomputer.

Die Überwachungsschaltung hat einen Signalausgabeteil zum Ausgeben des Ausfallsicherungssignals und einen Ausgangsanschluss zum Übertragen des Ausfallsicherungssignals an eine externe Einrichtung. Wenn der Signalausgabeteil oder der Ausgangsanschluss eine Abnormalität wie beispielsweise ein Signalhängen (signal fixation) aufweist, durch das das Ausgangssignal des Ausgangsanschlusses hängt und sich nicht ändern kann, schlägt die richtige Ausgabe des Ausfallsicherungssignals durch die Überwachungsschaltung wahrscheinlich fehl. Um diese nachteilige Situation zu vermeiden, ist es erforderlich, zu verifizieren, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben wird. Es ist allgemeine Praxis, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben wird, nur bei einer Zeitgebung zu verifizieren, wenn ein Fahrer einen Zündungsschalter eines Fahrzeugs ausschaltet. Jedoch ist es wünschenswerter, diese Verifizierung für höhere Verlässlichkeit sogar während einer Fahrt oder Bewegung des Fahrzeugs auszuführen. Es wird als ein Verifizierungsverfahren vorgeschlagen, dass der Mikrocomputer verifiziert, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben wird, indem vorsätzlich die inkorrekten Antworten vom Mikrocomputer an die Überwachungsschaltung mit der vorbestimmten Häufigkeit übertragen werden. Wenn jedoch das Ausfallsicherungssignal von der Überwachungsschaltung während der Fahrt des Fahrzeugs ausgegeben wird, wird die Ausgangsleistung der Brennkraftmaschine, die ein Steuerobjekt ist, beschränkt und die beschränkte Ausgangsleistung verursacht Unsicherheit des Fahrers.The monitoring circuit has a signal output part for outputting the fail-safe signal and an output terminal for transmitting the fail-safe signal to an external device. When the signal output part or the output terminal has an abnormality such as a signal fixation by which the output terminal of the output terminal hangs and can not change, the correct output of the fail-safe signal by the monitoring circuit is likely to fail. In order to avoid this adverse situation, it is necessary to verify whether the fail-safe signal is output normally from the monitoring circuit. It is common practice if the failsafe signal is normally output from the monitoring circuit to verify only at a timing when a driver turns off a vehicle ignition switch. However, it is more desirable to carry out this verification for higher reliability even during travel or movement of the vehicle. It is proposed as a verification method that the microcomputer verifies that the fail-safe signal is normally output from the monitor circuit by intentionally transmitting the incorrect responses from the microcomputer to the monitor circuit at the predetermined frequency. However, when the fail-safe signal is output from the monitor circuit during the running of the vehicle, the output of the engine, which is a control object, is limited, and the limited output power causes driver's uncertainty.

Die vorliegende Erfindung spricht das vorstehend beschriebene Problem an, und ihre Aufgabe ist es, eine elektronische Steuervorrichtung bereitzustellen, die verifizieren kann, ob ein Ausfallsicherungssignal normal ausgegeben werden wird, ohne ein Steuerobjekt nachteilig zu beeinflussen.The present invention addresses the problem described above and its object is to provide an electronic control device that can verify whether a fail-safe signal will be output normally without adversely affecting a control object.

Gemäß einem Aspekt beinhaltet eine elektronische Steuervorrichtung eine Steuerschaltung, eine Überwachungsschaltung und eine Ausgabeverifizierungsteil. Die Steuerschaltung steuert Treiben eines Steuerobjekts. Die Überwachungsschaltung überwacht die Steuerschaltung gibt ein Ausfallsicherungssignal aus, wenn ein Zählwert eines Fehlerzählers, der eine Anzahl von Erfassungen einer Abnormalität der Steuerschaltung angibt, einen vorbestimmten ersten Grenzzählwert erreicht. Der Ausgabeverifizierungsteil ist in der Steuerschaltung oder der Überwachungsschaltung vorgesehen, um zu verifizieren, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben wird. Die Steuerschaltung veranlasst die Überwachungsschaltung vorsätzlich, die Abnormalität der Steuerschaltung zu erfassen. Die Überwachungsschaltung gibt ein Einzelpulssignal aus, wenn der Zählwert des Fehlerzählers einen vorbestimmten zweiten Grenzzählwert erreicht, der kleiner als der erste Grenzzählwert festgelegt ist. Der Ausgabeverifizierungsteil verifiziert, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben werden wird, das heißt, ob die Überwachungsschaltung normal ist, basierend auf dem Einzelpulssignal.In one aspect, an electronic control device includes a control circuit, a monitoring circuit, and an output verification part. The control circuit controls driving of a control object. The monitoring circuit monitors the control circuit outputs a fail-safe signal when a count value of an error counter indicative of a number of detections of an abnormality of the control circuit reaches a predetermined first limit count value. The output verification part is provided in the control circuit or the monitoring circuit to verify whether the fail-safe signal is output normally from the monitoring circuit. The control circuit intentionally causes the monitoring circuit to detect the abnormality of the control circuit. The monitoring circuit outputs a single-pulse signal when the count value of the error counter reaches a predetermined second limit count smaller than the first limit count value. The output verifying part verifies whether the fail-safe signal will be normally output from the monitor circuit, that is, whether the monitor circuit is normal based on the single-pulse signal.

Gemäß der vorliegenden Erfindung kann der Ausgabeverifizierungsteil verifizieren, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben wird, basierend auf dem Einzelpulssignal. Wird das Einzelpulssignal von der Überwachungsschaltung anstelle des Ausfallsicherungssignals ausgegeben, kann die Periode der Operation, die durch das Steuerobjekt ausgeführt wird, sehr kurz gemacht werden. Ferner kann unter Verwendung des Einzelpulssignals nicht nur eine Abnormalität einer Logikfunktion des Überwachungsteils, für die es weniger wahrscheinlich ist, dass sie abnormal wird, sondern ebenso eine Abnormalität der Anschlüsse der Überwachungsschaltung wie beispielsweise ein Hängen des Ausgangssignals, für das es wahrscheinlicher ist, dass es abnormal wird, erfasst werden. Somit ist es, während der Einfluss auf die Operation des Steuerobjekts reduziert wird, möglich, die Abnormalität der Überwachungsschaltung zu erfassen, die wahrscheinlich mit hoher Wahrscheinlichkeit auftritt.According to the present invention, the output verifying part can verify whether the fail-safe signal is normally output from the monitor circuit based on the single-pulse signal. When the single-pulse signal is output from the monitor circuit instead of the fail-safe signal, the period of the operation performed by the control object can be made very short. Further, by using the single-pulse signal, not only an abnormality of a logical function of the monitoring part, for which it is less likely to become abnormal, but also an abnormality of the terminals of the monitoring circuit such as a hanging of the output signal, which is more likely that it will become abnormal, are detected. Thus, while the influence on the operation of the control object is reduced, it is possible to detect the abnormality of the monitoring circuit that is likely to occur with high probability.

1 ist ein Blockschaltbild, das eine Konfiguration einer elektronischen Steuervorrichtung gemäß einer ersten Ausführungsform der vorliegenden Erfindung darstellt; 1 Fig. 10 is a block diagram illustrating a configuration of an electronic control device according to a first embodiment of the present invention;

2 ist ein Signalverlaufsdiagramm, das ein Ausfallsicherungssignal und ein Einzelpulssignal darstellt, die von einer Überwachungsschaltung der elektronischen Steuervorrichtung gemäß der ersten Ausführungsform ausgegeben werden; 2 FIG. 10 is a waveform diagram illustrating a fail-safe signal and a single-pulse signal output from a monitor circuit of the electronic control device according to the first embodiment; FIG.

3 ist ein Ablaufdiagramm, das eine Verarbeitung darstellt, die durch einen Mikrocomputer der elektronischen Steuervorrichtung gemäß der ersten Ausführungsform ausgeführt wird; 3 Fig. 10 is a flowchart illustrating a processing executed by a microcomputer of the electronic control device according to the first embodiment;

4 ist ein Zeitgebungsdiagramm, das (a) eine Testantwort von einem Mikrocomputer, (b) einen vorbestimmten Grenzzählwert Cth2 zur Überprüfung, (c) ein Überprüfungsergebnis durch die Überwachungsschaltung, (d) einen Fehlerzähler 404, (e) einen Zeitgeber T, (f) eine Ausgabe der Überwachungsschaltung und (g) einen Übergang gespeicherter Informationen in einem Überprüfungsergebnisspeicherteil in der elektronischen Steuervorrichtung gemäß der ersten Ausführungsform darstellt; 4 Fig. 11 is a timing chart showing (a) a test response from a microcomputer, (b) a predetermined limit count Cth2 for checking, (c) a check result by the monitor circuit, (d) an error counter 404 (e) a timer T, (f) represents an output of the monitoring circuit, and (g) a transition of stored information in a check result storage part in the electronic control device according to the first embodiment;

5 ist ein Blockschaltbild, das eine Konfiguration einer elektronischen Steuervorrichtung gemäß einer zweiten Ausführungsform der vorliegenden Erfindung darstellt; 5 Fig. 10 is a block diagram illustrating a configuration of an electronic control device according to a second embodiment of the present invention;

6 ist ein Blockschaltbild, das eine Konfiguration einer elektronischen Steuervorrichtung gemäß einer dritten Ausführungsform der vorliegenden Erfindung darstellt; 6 FIG. 10 is a block diagram illustrating a configuration of an electronic control device according to a third embodiment of the present invention; FIG.

7 ist ein Signalverlaufsdiagramm, das ein Einzelpulssignal darstellt, das eine Filterschaltung der elektronischen Steuervorrichtung gemäß der dritten Ausführungsform passiert hat; 7 FIG. 15 is a waveform diagram illustrating a single-pulse signal having passed through a filter circuit of the electronic control device according to the third embodiment; FIG.

8 ist ein Ablaufdiagramm, das eine Verarbeitung darstellt, die durch einen Mikrocomputer einer elektronischen Steuervorrichtung gemäß einer vierten Ausführungsform der vorliegenden Erfindung ausgeführt wird; 8th Fig. 10 is a flowchart illustrating processing executed by a microcomputer of an electronic control device according to a fourth embodiment of the present invention;

9 ist ein Ablaufdiagramm, das eine Verarbeitung darstellt, die durch einen Mikrocomputer einer elektronischen Steuervorrichtung gemäß einer fünften Ausführungsform der vorliegenden Erfindung ausgeführt wird; 9 Fig. 10 is a flowchart illustrating processing executed by a microcomputer of an electronic control device according to a fifth embodiment of the present invention;

10 ist ein Zeitgebungsdiagramm, das (a) eine Testantwort von einem Mikrocomputer, (b) einen vorbestimmten Grenzzählwert Cth2 zur Überprüfung, (c) ein Überprüfungsergebnis durch eine Überwachungsschaltung, (d) einen Fehlerzähler 404, (e) einen Zeitgeber T, (f) eine Ausgabe der Überwachungsschaltung und (g) einen Übergang gespeicherter Informationen in einem Überprüfungsergebnisspeicherteil in der elektronischen Steuervorrichtung gemäß der fünften Ausführungsform darstellt; und 10 Fig. 11 is a timing chart showing (a) a test response from a microcomputer, (b) a predetermined limit count Cth2 for checking, (c) a check result by a monitor circuit, (d) an error counter 404 (e) a timer T, (f) represents an output of the monitoring circuit, and (g) a transition of stored information in a check result storage part in the electronic control device according to the fifth embodiment; and

11 ist ein Blockschaltbild, das eine Konfiguration einer elektronischen Steuervorrichtung gemäß der weiteren Ausführungsform der vorliegenden Erfindung darstellt. 11 FIG. 10 is a block diagram illustrating a configuration of an electronic control device according to the other embodiment of the present invention. FIG.

Eine elektronische Steuervorrichtung gemäß der vorliegenden Erfindung wird nachfolgend mit Bezug auf ihre mehreren Ausführungsformen beschrieben.An electronic control device according to the present invention will be described below with reference to its several embodiments.

(Erste Ausführungsform)First Embodiment

Gemäß 1 ist eine elektronische Steuervorrichtung 1 an einem Fahrzeug angebracht. Die elektronische Steuervorrichtung 1 ist konfiguriert, um Treiben eines Aktuators A, der eine elektrische Last ist, in Antwort auf Ausgabesignale unterschiedlicher Sensoren S zu steuern. Beispielsweise ist in einem Fall, in dem die elektronische Steuervorrichtung 1 als eine Brennkraftmaschinensteuervorrichtung zum Steuern einer Quantität von Luft, die in eine Brennkraftmaschine eingesaugt wird, konfiguriert ist, der Sensor S ein Gaspedalpositionssensor und der Aktuator A ein Motor zum Treiben eines elektronischen Drosselventils. Die elektronische Steuervorrichtung 1 beinhaltet eine Treiberschaltung 2, einen Mikrocomputer 3 als eine Steuerschaltung und eine Überwachungsschaltung 4, die als eine integrierte Schaltung (IC) konfiguriert ist.According to 1 is an electronic control device 1 attached to a vehicle. The electronic control device 1 is configured to control driving of an actuator A, which is an electric load, in response to output signals of different sensors S. For example, in a case where the electronic control device 1 is configured as an engine control device for controlling a quantity of air sucked into an internal combustion engine, the sensor S is an accelerator pedal position sensor, and the actuator A is a motor for driving an electronic throttle valve. The electronic control device 1 includes a driver circuit 2 , a microcomputer 3 as a control circuit and a monitoring circuit 4 which is configured as an integrated circuit (IC).

Der Mikrocomputer 3 ist eine Mikroprozessoreinheit (micro-processing unit, MPU), die eine Steuerfunktion 30 beinhaltet. Die Steuerfunktion 30 beinhaltet eine Hardwarekonfiguration, die eine Kombination einer CPU, eines ROM und dergleichen ist, und eine Softwarekonfiguration wie beispielsweise Steuerprogramme, die in einem ROM gespeichert sind. Der Mikrocomputer 3 erzeugt ein Steuersignal zum Steuern der Treiberschaltung 2 in Antwort auf das Ausgangssignals des Sensors S beispielsweise mittels der Steuerfunktion. Der Mikrocomputer 3 überträgt das Steuersignal, das durch die Steuerfunktion 30 erzeugt wird, an die Treiberschaltung 2.The microcomputer 3 is a micro-processing unit (MPU) that provides a control function 30 includes. The control function 30 includes a hardware configuration that is a combination of a CPU, a ROM, and the like, and a software configuration such as control programs stored in a ROM. The microcomputer 3 generates a control signal for controlling the driver circuit 2 in response to the output signal of the sensor S, for example by means of the control function. The microcomputer 3 transmits the control signal generated by the control function 30 is generated to the driver circuit 2 ,

Die Treiberschaltung 2 treibt den Aktuator A durch Versorgen des Aktuators A mit elektrischer Energie durch Ausgangsanschlüsse T20, T21 und Energieversorgungsleitungen W1, W2, die mit den Ausgangsanschlüssen T20, T21 verbunden sind. Die Treiberschaltung 2 steuert eine Versorgungsspannung, die dem Aktuator A bereitgestellt wird, in Antwort auf das Steuersignal, das vom Mikrocomputer 3 übertragen wird. Das heißt, der Mikrocomputer 3 steuert Treiben des Aktuators A durch das Steuersignal durch die Treiberschaltung 2.The driver circuit 2 drives the actuator A by supplying the actuator A with electric power through output terminals T20, T21 and power supply lines W1, W2 connected to the output terminals T20, T21. The driver circuit 2 controls a supply voltage provided to the actuator A in response to the control signal supplied from the microcomputer 3 is transmitted. That is, the microcomputer 3 controls driving of the actuator A by the control signal by the driver circuit 2 ,

Die Überwachungsschaltung 4 ist konfiguriert, um zu überwachen, ob die Steuerfunktion 30 des Mikrocomputers 3 normal operiert, während das Fahrzeug fährt. Wenn die Überwachungsschaltung 4 eine Abnormalität der Steuerfunktion 30 des Mikrocomputers 3 erfasst, gibt die Überwachungsschaltung 4 ein Ausfallsicherungssignal Sfs an die Treiberschaltung 2 aus. Wie durch eine durchgezogene Linie in 2 dargestellt ist, wird das Ausfallsicherungssignal Sfs auf einen hohen Pegel und einen niedrigen Pegel als ein inaktives Potenzial bzw. ein aktives Potenzial festgelegt.The monitoring circuit 4 is configured to monitor if the control function 30 of the microcomputer 3 Normal operation while the vehicle is driving. When the monitoring circuit 4 an abnormality of the control function 30 of the microcomputer 3 captured, gives the monitoring circuit 4 a fail-safe signal Sfs to the driver circuit 2 out. As indicated by a solid line in 2 is shown, the fail-safe signal Sfs is set to a high level and a low level as an inactive potential and an active potential, respectively.

Die Treiberschaltung 2 ist konfiguriert, um Ausfallsicherungsverarbeitung auszuführen, wenn sie das Ausfallsicherungssignal Sfs, das von der Überwachungsschaltung 4 übertragen wird, durch eine Signalleitung W3 und einen Eingangsanschluss T22 empfängt, wie in 1 dargestellt ist. Die Ausfallsicherungsverarbeitung beinhaltet eine Verarbeitung zum Variieren der Versorgungsspannung, die dem Aktuator A bereitgestellt wird, um dadurch Treiben des Aktuators A zu beschränken. Die Ausfallsicherungsverarbeitung beinhaltet ferner eine Verarbeitung zum Unterbrechen der Versorgungsspannung, die dem Aktuator A normalerweise bereitgestellt wird, um dadurch einen Betrieb des Aktuators A ausgehend von einem Auftreten einer Abnormalität zu stoppen. Beispielsweise wird in einem Fall, in dem der Aktuator A das elektronische Drosselventil ist, beispielsweise die Ausfallsicherungsverarbeitung ausgeführt, um die Quantität von Luft, die in die Brennkraftmaschine eingesaugt wird, zu reduzieren.The driver circuit 2 is configured to perform fail-safe processing when it receives the fail-safe signal Sfs from the monitoring circuit 4 is transmitted through a signal line W3 and receives an input terminal T22, as in FIG 1 is shown. The fail-safe processing includes processing for varying the supply voltage provided to the actuator A, thereby restricting driving of the actuator A. The fail-safe processing further includes processing for interrupting the supply voltage normally provided to the actuator A, thereby stopping an operation of the actuator A from an occurrence of an abnormality. For example, in a case where the actuator A is the electronic throttle valve, for example, the fail-safe processing is performed to reduce the quantity of air sucked into the internal combustion engine.

Der Mikrocomputer 3 ist konfiguriert, um zu überwachen, ob die Überwachungsschaltung normal operiert, während das Fahrzeug fährt. Wenn der Mikrocomputer 3 eine Abnormalität der Überwachungsschaltung 4 erfasst, führt der Mikrocomputer 3 Ausfallsicherungsverarbeitung wie beispielsweise Unterrichten eines Fahrzeugfahrers über die Abnormalität der Überwachungsschaltung 4 durch Erleuchten eines Alarmlichts aus, das an einer Instrumententafel in dem Fahrzeug vorgesehen ist.The microcomputer 3 is configured to monitor whether the monitoring circuit is operating normally while the vehicle is running. If the microcomputer 3 an abnormality of the monitoring circuit 4 captured, the microcomputer performs 3 Fail-safe processing such as teaching a vehicle driver about the abnormality of the monitoring circuit 4 by illuminating an alarm light provided on an instrument panel in the vehicle.

Der Mikrocomputer 3 und die Überwachungsschaltung 4 sind konfiguriert, um gegenseitige Überwachung wie folgt auszuführen. Die Überwachungsschaltung 4 ist konfiguriert, um den Mikrocomputer 3 wie folgt zu überwachen.The microcomputer 3 and the monitoring circuit 4 are configured to perform mutual monitoring as follows. The monitoring circuit 4 is configured to the microcomputer 3 to monitor as follows.

Der Mikrocomputer 3 beinhaltet einen Testauswahlverifizierungsteil 31 und einen Testantwortverwaltungsteil 32. Der Testauswahlverifizierungsteil 31 wählt eine zu dieser Zeit auszuführende Testverarbeitung basierend auf einem Befehl von der Überwachungsschaltung 4 aus. Insbesondere wählt der Testauswahlverifizierungsteil 31 mindestens eine Test-ID von vorbestimmten mehreren Test-IDs aus. Jede Test-ID gibt Identifikationsinformationen an, die einzeln jedem der mehreren Testverarbeitungen zugeordnet werden. Der Mikrocomputer 3 führt die Testverarbeitung, die der durch den Testauswahlverifizierungsteil 31 ausgewählten Test-ID entspricht, für jedes mehrerer Testobjekte #1 bis #N (Ganzzahl) aus. Die Testobjekte #1 bis #N sind festgelegt, um den mehreren Steuerfunktionen 30 des Mikrocomputers 3 zu entsprechen. Die Testobjekte #1 bis #N beinhalten nicht nur die Hardwarekonfigurationen, sondern ebenso die Softwarekonfigurationen. Der Testergebnisverwaltungsteil 32 erzeugt eine Testantwort, die ein Ergebnis der Testverarbeitung angibt, die durch den Mikrocomputer 3 ausgeführt wird, und überträgt die Testantwort und deren Test-ID an die Überwachungsschaltung 4.The microcomputer 3 includes a test selection verification part 31 and a test response management part 32 , The test selection verification part 31 selects test processing to be performed at this time based on an instruction from the monitor circuit 4 out. In particular, the test selection verification part selects 31 at least one test ID of predetermined multiple test IDs. Each test ID indicates identification information that is individually assigned to each of the multiple test processes. The microcomputer 3 performs the test processing that is performed by the test selection verification part 31 for each of the multiple test objects # 1 to #N (integer). The test objects # 1 to #N are set to the multiple control functions 30 of the microcomputer 3 correspond to. The test objects # 1 to #N include not only the hardware configurations but also the software configurations. The test results management part 32 generates a test response indicating a result of the test processing performed by the microcomputer 3 is executed, and transmits the test response and its test ID to the monitoring circuit 4 ,

Die Überwachungsschaltung 4 beinhaltet einen Testantwortbestätigungsteil 40 und einen Ausfallsicherungs(F/S)-Ausgabeteil 41.The monitoring circuit 4 includes a test response confirmation part 40 and a fail-safe (F / S) output section 41 ,

Der Testantwortbestätigungsteil 40 ist eine Logikschaltung, die eine Überprüfungsschaltung 400 und einen Fehlerzähler 404 beinhaltet. Die Überprüfungsschaltung 400 überprüft, ob die vom Mikrocomputer 3 übertragene Testantwort korrekt (O) oder inkorrekt (X) ist. Der Fehlerzähler 404 inkrementiert seinen Zählwert Ce, der die Anzahl bzw. Häufigkeit inkorrekter Antworten angibt, wenn die Überprüfungsschaltung 400 bestimmt, dass die Testantwort des Mikrocomputers 3 inkorrekt ist. Der Zählwert Ce des Fehlerzählers 404 gibt somit die Anzahl bzw. Häufigkeit von Erfassungen von Abnormalitäten des Mikrocomputers 3 an. Der Zählwert Ce wird initial auf 0 festgelegt. Der Testantwortbestätigungsteil 40 überträgt an den Testauswahlverifizierungsteil 31 des Mikrocomputers 3 ein Testantwortbestätigungsergebnis, das ein Ergebnis der Überprüfung der Testantworten durch die Überprüfungsschaltung 400 angibt, Test-IDs entsprechend den Testantworten und den Zählwert Ce des Fehlerzählers 404.The test response confirmation part 40 is a logic circuit, which is a checking circuit 400 and an error counter 404 includes. The checking circuit 400 Check if that from the microcomputer 3 transmitted test response is correct (O) or incorrect (X). The error counter 404 It increments its count Ce, which indicates the number of incorrect responses when the checker circuit 400 determines that the test response of the microcomputer 3 incorrect. The count value Ce of the error counter 404 Thus, there is the number of occurrences of abnormalities of the microcomputer 3 at. The count value Ce is initially set to 0. The test response confirmation part 40 transmits to the test selection verification part 31 of the microcomputer 3 a test response confirmation result that is a result of the test responses being reviewed by the validation circuit 400 indicates test IDs according to the test responses and the count value Ce of the error counter 404 ,

Der Testauswahlverifizierungsteil 31 wählt die beim nächsten Mal zu testenden Test-IDs basierend auf dem Testantwortbestätigungsergebnis, den Test-IDs und dem Zählwert Ce des Fehlerzählers 404 aus, die von der Überwachungsschaltung 4 übertragen werden. Wie vorstehend beschrieben ist, wird die Verarbeitung des Mikrocomputers 3 und der Überwachungsschaltung 4 in einer Reihenfolge ausgehend vom Testauswahlverifizierungsteil 31 zum Testantwortbestätigungsteil 40 über den Testergebnisverwaltungsteil 32 ausgeführt, und diese Verarbeitung wird wiederholt.The test selection verification part 31 selects the test IDs to be tested next time based on the test response confirmation result, the test IDs, and the count value Ce of the error counter 404 out from the monitoring circuit 4 be transmitted. As described above, the processing of the microcomputer becomes 3 and the monitoring circuit 4 in order from the test selection verification part 31 to the test response confirmation section 40 via the test results administration section 32 and this processing is repeated.

Die Serie der Verarbeitung des Mikrocomputers 3 und der Überwachungsschaltung 4 wird mit einem vorbestimmten Intervall wiederholt, so dass der Testantwortbestätigungsteil 40 die Testantworten des Mikrocomputers 3 mit dem vorbestimmten Intervall überprüft. Der Testantwortbestätigungsteil 40 startet Zeitmessung durch einen Zeitgeber T ausgehend von einer Zeit, wenn der Zählwert Ce des Fehlerzählers 404 von 0 auf 1 inkrementiert wird. Wenn der Zählwert Ce des Fehlerzählers 404 einen vorbestimmten ersten Grenzzählwert (Antwortüberprüfungsgrenzwert) Cth1 nicht erreicht, bevor die gemessene Zeit des Zeitgebers T einen vorbestimmten ersten Grenzzeitwert Tth1 erreicht, löscht der Testantwortbestätigungsteil 40 den Zählwert Ce des Fehlerzählers 404 auf 0. Wenn der Zählwert Ce des Fehlerzählers 404 den ersten Grenzzählwert Cth1 im ersten Grenzzeitwert Tth1 erreicht, überträgt der Testantwortbestätigungsteil 40 das Ausfallsicherungssignal Sfs an die Treiberschaltung 2 durch den Ausfallsicherungsausgabeteil 41, den Ausgangsanschluss T40 der Überwachungsschaltung 4 und die Signalleitung W3.The series of processing of the microcomputer 3 and the monitoring circuit 4 is repeated at a predetermined interval so that the test response confirmation part 40 the test answers of the microcomputer 3 checked with the predetermined interval. The test response confirmation part 40 starts timing by a timer T from a time when the count value Ce of the error counter 404 is incremented from 0 to 1. When the count value Ce of the error counter 404 reaches a predetermined first limit count (response check limit) Cth1 before the measured time of the timer T reaches a predetermined first limit time value Tth1, the test answer confirmation part clears 40 the count value Ce of the error counter 404 to 0. If the count value Ce of the error counter 404 reaches the first limit count value Cth1 in the first limit time value Tth1, transmits the test response confirmation part 40 the fail-safe signal Sfs to the driver circuit 2 through the failover output part 41 , the output terminal T40 of the monitoring circuit 4 and the signal line W3.

Die Treiberschaltung 2 empfängt das Ausfallsicherungssignal Sfs, das von der Überwachungsschaltung 4 übertragen wird, durch den Eingangsanschluss T22. Wie in 2 dargestellt ist, bestimmt die Treiberschaltung 2, dass das Ausfallsicherungssignal Sfs empfangen wird, wenn das Potenzial am Eingangsanschluss T22 unter ein erfassbares unterstes Grenzpotenzial Vmin fällt, das ein minimal erkennbarer Pegel ist. Das unterste Grenzpotenzial Vmin wird zwischen dem aktiven Potenzial und dem inaktiven Potenzial des Ausfallsicherungssignals Sfs festgelegt. Das heißt, die Treiberschaltung 2 führt die Ausfallsicherungsverarbeitung ausgehend von der Bestimmung aus, dass das Ausfallsicherungssignal Sfs empfangen wird, wenn das Potenzial des Eingangsanschlusses T22 unter das erfassbare unterste Grenzpotenzial Vmin in Antwort auf einen Empfang des Ausfallsicherungssignals Sfs fällt.The driver circuit 2 receives the fail-safe signal Sfs from the monitoring circuit 4 is transmitted through the input terminal T22. As in 2 is shown, determines the driver circuit 2 in that the fail-safe signal Sfs is received when the potential at the input terminal T22 falls below a detectable lowest limit potential Vmin that is a minimum detectable level. The lowest limit potential Vmin is set between the active potential and the inactive potential of the fail-safe signal Sfs. That is, the driver circuit 2 The fail-safe processing executes on the determination that the fail-safe signal Sfs is received when the potential of the input terminal T22 falls below the detectable lowest limit potential Vmin in response to a receipt of the fail-safe signal Sfs.

Der Mikrocomputer 3 ist konfiguriert, um die Überwachungsschaltung 4 wie folgt zu überwachen. Die Überwachungsschaltung 4 beinhaltet einen Ausgabeverifizierungsteil 401 und einen Verifizierungsergebnisspeicherteil 402. Der Ausgabeverifizierungsteil 401 verifiziert, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben wird. Insbesondere hat der Ausgabeverifizierungsteil 401 einen vorbestimmten zweiten Grenzzählwert (Signalüberprüfungsgrenzwert) Cth2, der kleiner als der erste Grenzzählwert Cth1 festgelegt wird. Wenn der Zählwert Ce des Fehlerzählers 404 den zweiten Grenzzählwert Cth2 erreicht, gibt der Ausgabeverifizierungsteil 401 ein Einzelpulssignal Sp vom Ausgangsanschluss T40 durch den Ausfallsicherungsausgabeteil 41 aus.The microcomputer 3 is configured to the monitoring circuit 4 to monitor as follows. The monitoring circuit 4 includes an output verification part 401 and a verification result storage part 402 , The output verification part 401 verifies whether the fail-safe signal Sfs normal from the monitoring circuit 4 is issued. In particular, the output verification part has 401 a predetermined second limit count (signal check limit) Cth2 which is set smaller than the first limit count Cth1. When the count value Ce of the error counter 404 reaches the second limit count value Cth2, the output verifying part gives 401 a single-pulse signal Sp from the output terminal T40 through the fail-safe output part 41 out.

Wie in 2 dargestellt ist, hat das Einzelpulssignal Sp eine kurze Pulsbreite H mit dem aktiven Potenzial, wie durch eine strichpunktierte Linie angegeben ist. Die Pulsbreite H des Einzelpulssignals Sp wird festgelegt, um den Betrieb des Aktuators A nicht zu beeinträchtigen, oder wird festgelegt, um diesen nur geringfügig zu beeinträchtigen, sogar wenn er an der Treiberschaltung 2 anliegt.As in 2 is shown, the single pulse signal Sp has a short pulse width H with the active potential, as indicated by a dashed line. The pulse width H of the single-pulse signal Sp is set so as not to affect the operation of the actuator A, or is set to affect it only slightly, even if it is applied to the driver circuit 2 is applied.

Wie in 1 dargestellt ist, ist der Ausgabeverifizierungsteil 401 konfiguriert, um eine Änderung des Potenzials des Eingangsanschlusses T41, der elektrisch mit dem Ausgangsanschluss 40 durch eine Signalleitung W4 verbunden ist, zu überwachen, wenn das Einzelpulssignal Sp vom Ausgangsanschluss T40 ausgegeben wird. Wenn die Änderung des Potenzials des Eingangsanschlusses T41 dem Einzelpulssignal Sp entspricht, bestimmt der Testausgabeverifizierungsteil 401, dass das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben wird. Wenn die Änderung des Potenzials des Eingangsanschlusses T41 dem Einzelpulssignal Sp nicht entspricht, beispielsweise wenn das Potenzial des Eingangsanschlusses T41 das inaktive Potenzial bleibt und sich nicht ändert, bestimmt der Ausgabeverifizierungsteil 401, dass das Ausfallsicherungssignal Sfs nicht normal von der Überwachungsschaltung 4 ausgegeben wird. Insbesondere bestimmt der Ausgabeverifizierungsteil 401, dass mindestens einer des Ausfallsicherungsausgabeteils 41 und des Ausgangsanschlusses T40 abnormal ist.As in 1 is the output verification part 401 configured to change the potential of the input terminal T41, which is electrically connected to the output terminal 40 is connected by a signal line W4 to monitor when the single-pulse signal Sp is output from the output terminal T40. When the change of the potential of the input terminal T41 corresponds to the single-pulse signal Sp, the test output verifying part determines 401 in that the fail-safe signal Sfs is normal to the monitoring circuit 4 is issued. When the change in the potential of the input terminal T41 does not correspond to the single-pulse signal Sp, for example, when the potential of the input terminal T41 remains the inactive potential and does not change, the output verifying part determines 401 in that the fail-safe signal Sfs is not normal from the monitoring circuit 4 is issued. In particular, the output verifying part determines 401 in that at least one of the failsafe output part 41 and the output terminal T40 is abnormal.

Durch die vorstehend beschriebene Verifizierungsverarbeitung verifiziert der Ausgabeverifizierungsteil 401, ob das Ausfallsicherungssignal Sfs von der Überwachungsschaltung 4 ausgegeben wird, und speichert das Verifizierungsergebnis im Testantwortbestätigungsteil 402. Der Testantwortbestätigungsteil 402 ist ein Register.By the above-described verification processing, the output verifying part verifies 401 whether the fail-safe signal Sfs from the monitoring circuit 4 is issued, and stores the verification result in the test response confirmation part 402 , The test response confirmation part 402 is a register.

Beim Verifizieren, ob die Ausgabe des Ausfallsicherungssignals Sfs der Überwachungsschaltung 4 normal ist, wird der Grenzzeitwert, der im Zeitgeber T festgelegt ist, auf einen vorbestimmten zweiten Grenzzeitwert Tth2, der kürzer als der erste Grenzzeitwert Tth1 ist, in Korrespondenz zum zweiten Grenzzählwert Cth2 festgelegt, der kleiner als der erste Grenzzählwert Cth1 ist.In verifying whether the output of the fail-safe signal Sfs of the monitoring circuit 4 is normal, the limit time value set in the timer T is set to a predetermined second limit time value Tth2 which is shorter than the first limit time value Tth1 in correspondence with the second limit count value Cth2 which is smaller than the first limit count value Cth1.

Beim Übertragen der Testantworten an die Überwachungsschaltung 4 überträgt der Mikrocomputer 3 vorsätzlich Testantworten, die die Überwachungsschaltung 4 als inkorrekt bestimmt, an die Überwachungsschaltung 4, um dadurch den Betrieb der Überwachungsschaltung 4 zu überwachen. Der Mikrocomputer 3 ist konfiguriert, um die in 3 dargestellte Verarbeitung zum Überwachen des Betriebs der Überwachungsschaltung 4 auszuführen. When transmitting the test responses to the monitoring circuit 4 transmits the microcomputer 3 willfully test responses that the monitoring circuit 4 determined as incorrect, to the monitoring circuit 4 to thereby control the operation of the monitoring circuit 4 to monitor. The microcomputer 3 is configured to work in 3 illustrated processing for monitoring the operation of the monitoring circuit 4 perform.

Der Mikrocomputer 3 überprüft als Erstes, ob ein Inspektionsflag F auf EIN gesetzt ist (Schritt S10). Das Inspektionsflag F wird durch einen Zeitgeber, der in dem Mikrocomputer 3 vorgesehen ist, bei einem vorbestimmten Intervall auf EIN gesetzt, während das Fahrzeug fährt. Der Mikrocomputer 3 beendet die Verarbeitung, wenn das Inspektionsflag auf AUS ist (Schritt S10: NEIN).The microcomputer 3 first checks if an inspection flag F is ON (step S10). The inspection flag F is detected by a timer included in the microcomputer 3 is set to ON at a predetermined interval while the vehicle is running. The microcomputer 3 ends the processing when the inspection flag is OFF (step S10: NO).

Nach Bestimmen, dass das Inspektionsflag auf EIN ist (Schritt S10: JA), legt der Mikrocomputer 3 den zweiten Grenzzählwert Cth2 basierend auf dem ersten Grenzzählwert Cth1, der für den Fehlerzähler 404 festgelegt ist, fest (Schritt S11). Insbesondere da der zweite Grenzzählwert Cth2 zum Überprüfen, ob das Ausfallsicherungssignal Sfs normal ausgegeben wird, festgelegt wird, legt der Mikrocomputer 3 den zweiten Grenzzählwert Cth2 kleiner als den ersten Grenzzählwert Cth1 basierend auf der folgenden Gleichung F fest, wo „n” eine vorbestimmte Ganzzahl gleich oder größer 1 ist. Cth2 = Cth1 – n (F) After determining that the inspection flag is ON (step S10: YES), the microcomputer sets 3 the second limit count Cth2 based on the first limit count Cth1, that for the error counter 404 is fixed (step S11). Specifically, since the second limit count value Cth2 is set to check whether the fail-safe signal Sfs is output normally, the microcomputer sets 3 the second limit count value Cth2 smaller than the first limit count value Cth1 based on the following equation F, where "n" is a predetermined integer equal to or greater than one. Cth2 = Cth1 - n (F)

Der Mikrocomputer 3 überträgt den zweiten Grenzzählwert Cth2, der wie vorstehend beschrieben festgelegt wird, an die Überwachungsschaltung 4 (Schritt S12). Somit erlangt die Überwachungsschaltung 4 Informationen über den zweiten Grenzzählwert Cth2 vom Mikrocomputer 3.The microcomputer 3 transmits the second limit count Cth2 set as described above to the monitor circuit 4 (Step S12). Thus, the monitoring circuit acquires 4 Information about the second limit count Cth2 from the microcomputer 3 ,

Beim Übertragen der Testantworten an die Überwachungsschaltung 4 erzeugt der Teil des Mikrocomputers 3 vorsätzlich die Testantworten, die die Überwachungsschaltung 4 als inkorrekt bestimmt, und überträgt sie an die Überwachungsschaltung 4 (Schritt S13). Das heißt, der Mikrocomputer 3 veranlasst vorsätzlich die Überwachungsschaltung 4, die Abnormalität des Mikrocomputers 3 zu erfassen. Die Testantwort, die durch die Überwachungsschaltung 4 als inkorrekt bestimmt wird, wird als eine Inspektionstestantwort bezeichnet. Der Mikrocomputer 3 überprüft, ob die Anzahl bzw. Häufigkeit von Übertragungen Ctrm der Inspektionstestantworten an die Überwachungsschaltung 4 den zweiten Grenzzählwert Cth2 erreicht hat (Schritt S14). Wenn die Anzahl bzw. Häufigkeit von Übertragungen Ctrm der Inspektionstestantworten nicht den zweiten Grenzzählwert Cth2 erreicht (Schritt S14: NEIN), führt der Mikrocomputer 3 Schritt S13 erneut aus. Wenn die Anzahl bzw. Häufigkeit von Übertragungen Ctrm der Inspektionstestantworten den zweiten Grenzzählwert Cth2 erreicht (Schritt S14: JA), erlangt der Mikrocomputer 3 das Ausgabeverifizierungsergebnis von der Überwachungsschaltung 4 (Schritt S15). Das Ausgabeverifizierungsergebnis wird durch den Testauswahlverifizierungsteil 31 erlangt. Der Testauswahlverifizierungsteil 31 überprüft, ob das Ausfallsicherungssignal Sfs normal ausgegeben werden wird, indem er in dem Verifizierungsergebnis liest, das in dem Testantwortbestätigungsteil 402 der Überwachungsschaltung 4 gespeichert ist (Schritt S16). Wenn der Testauswahlverifizierungsteil 31 bestimmt, dass das Ausfallsicherungssignal Sfs nicht normal von der Überwachungsschaltung 4 ausgegeben werden wird, unterrichtet der Testauswahlverifizierungsteil 31 den Fahrer über die Abnormalität der Überwachungsschaltung 4 durch beispielsweise Aktivieren des Alarmlichts, das in einer Instrumententafel des Fahrzeugs vorgesehen ist. Der Mikrocomputer 3 beendet die Verarbeitungsserie nach Setzen des Inspektionsflags F auf AUS (Schritt S17), um dadurch das Überwachen der Überwachungsschaltung abzuschließen.When transmitting the test responses to the monitoring circuit 4 the part of the microcomputer generates 3 intentionally the test answers that the monitoring circuit 4 determined as incorrect and transmits it to the monitoring circuit 4 (Step S13). That is, the microcomputer 3 intentionally initiates the monitoring circuit 4 , the abnormality of the microcomputer 3 capture. The test response by the monitoring circuit 4 is determined to be incorrect is referred to as an inspection test response. The microcomputer 3 checks whether the number or frequency of transmissions Ctrm of the inspection test responses to the monitoring circuit 4 has reached the second limit count Cth2 (step S14). If the number of times of transmission Ctrm of the inspection test responses does not reach the second limit count value Cth2 (step S14: NO), the microcomputer performs 3 Step S13 again. When the number of times of transmission Ctrm of the inspection test responses reaches the second limit count value Cth2 (step S14: YES), the microcomputer obtains 3 the output verification result from the monitoring circuit 4 (Step S15). The output verification result is determined by the test selection verification part 31 obtained. The test selection verification part 31 checks if the fail-safe signal Sfs will be normally output by reading in the verification result included in the test response confirmation part 402 the monitoring circuit 4 is stored (step S16). When the test selection verification part 31 determines that the fail-safe signal Sfs is not normal from the monitoring circuit 4 will be output, the test selection verifying part informs 31 the driver about the abnormality of the monitoring circuit 4 for example, by activating the alarm light provided in an instrument panel of the vehicle. The microcomputer 3 ends the processing series after setting the inspection flag F to OFF (step S17), thereby completing the monitoring of the monitoring circuit.

Ein Betrieb der elektronischen Steuervorrichtung 1 gemäß der ersten Ausführungsform wird mit Bezug auf 4 erläutert. In 4 geben Pfeilmarkierungen Inspektionszeitgebungen des Mikrocomputers 3 und der Überwachungsschaltung 4 an.An operation of the electronic control device 1 according to the first embodiment, with reference to 4 explained. In 4 Arrow marks give inspection timings of the microcomputer 3 and the monitoring circuit 4 at.

Wie in 4(b) dargestellt ist, wenn der Mikrocomputer 3 zu einer Zeit t10 bestimmt, dass das Inspektionsflag F auf EIN ist, legt der Mikrocomputer 3 den zweiten Grenzzählwert Cth2 fest und überträgt ihn an die Überwachungsschaltung 4. Ferner, wie in 4(a) und 4(b) dargestellt ist, beginnt der Mikrocomputer 3, die Inspektionstestantworten (inkorrekte Antworten) vorsätzlich an die Überwachungsschaltung 4 nach der Zeit t10 zu übertragen. Demzufolge bestimmt die Überwachungsschaltung 4, wie in 4(c) dargestellt ist, wiederholt nach der Zeit t10, dass die vom Mikrocomputer 3 übertragenen Testantworten inkorrekt (X) sind. Wie in 4(d) dargestellt ist, nimmt der Zählwert Ce des Fehlerzählers 404 der Überwachungsschaltung 4 nach einer Zeit t11 graduell zu, bei der die Überwachungsschaltung 4 das erste Mal bestimmt, dass die Testantwort vom Mikrocomputer 3 inkorrekt ist. Der Zeitwert des Zeitgebers T der Überwachungsschaltung 4 nimmt ebenso nach der Zeit t11 graduell zu, wie in 4(e) dargestellt ist.As in 4 (b) is shown when the microcomputer 3 at a time t10 determines that the inspection flag F is ON, the microcomputer sets 3 determines the second limit count Cth2 and transmits it to the monitor circuit 4 , Further, as in 4 (a) and 4 (b) is shown, the microcomputer starts 3 , the inspection test answers (incorrect answers) intentionally to the monitoring circuit 4 after the time t10 to transmit. As a result, the monitoring circuit determines 4 , as in 4 (c) is shown repeated after time t10 that of the microcomputer 3 transmitted test responses are incorrect (X). As in 4 (d) is shown, the count value Ce of the error counter takes 404 the monitoring circuit 4 gradually after a time t11 at which the monitoring circuit 4 the first time determines that the test response from the microcomputer 3 incorrect. The time value of the timer T of the monitoring circuit 4 Also increases gradually after time t11, as in 4 (e) is shown.

Wenn der Zählwert Ce des Fehlerzählers 404 den zweiten Grenzzählwert Cth2 zu einer Zeit t12 erreicht, wie in 4(d) dargestellt ist, gibt die Überwachungsschaltung 4 das Einzelpulssignal Sp aus, wie in 4(f) dargestellt ist. Die Überwachungsschaltung 4 bestimmt, dass die Überwachungsschaltung 4 das Ausfallsicherungssignal Sfs normal ausgeben kann, basierend auf dem Einzelpulssignal Sp und veranlasst dann den Testantwortbestätigungsteil 402, das Verifizierungsergebnis normaler Bestimmung zu speichern, wie in 4(g) dargestellt ist. Der Mikrocomputer 3 liest in dem Bestimmungsergebnis, das in dem Testantwortbestätigungsteil 402 zur Zeit t12 gespeichert wird, und bestimmt, dass die Ausgabe des Ausfallsicherungssignals Sfs normal von der Überwachungsschaltung ausgegeben werden wird. Ferner, wie in 4(d) und 4(e) dargestellt ist, wenn die Zeitzählung des Zeitgebers T den zweiten Grenzzeitwert Tth2 zu einer Zeit t13 erreicht, löscht die Überwachungsschaltung 4 die Zählwerte Ce des Fehlerzählers 404 und des Zeitgebers T.When the count value Ce of the error counter 404 reaches the second limit count Cth2 at a time t12, as in 4 (d) is shown, gives the monitoring circuit 4 the single pulse signal Sp off, as in 4 (f) is shown. The monitoring circuit 4 determines that the monitoring circuit 4 the fail-safe signal Sfs normal can output based on the single-pulse signal Sp and then causes the test-response confirmation part 402 to store the verification result of normal determination, as in 4 (g) is shown. The microcomputer 3 reads in the determination result included in the test response confirmation part 402 is stored at time t12, and determines that the output of the fail-safe signal Sfs will be normally output from the monitor circuit. Further, as in 4 (d) and 4 (e) is shown, when the time count of the timer T reaches the second limit time Tth2 at a time t13, clears the monitoring circuit 4 the counts Ce of the error counter 404 and the timer T.

Die elektronische Steuervorrichtung 1 gemäß der ersten Ausführungsform, die vorstehend beschrieben ist, stellt die folgenden Betriebe und Vorteile (1) und (2) bereit.

  • (1) Der Ausgabeverifizierungsteil 401 kann unter Verwendung des Einzelpulssignals Sp verifizieren, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird. Wenn das Einzelpulssignal Sp von der Überwachungsschaltung 4 ausgegeben wird, kann die Periode der Operation, die durch den Aktuator A ausgeführt wird, sehr kurz gemacht werden. Ferner kann unter Verwendung des Einzelpulssignals Sp nicht nur eine Abnormalität einer Logikfunktion der Überwachungsschaltung 4, für die es weniger wahrscheinlich ist, dass sie abnormal wird, sondern ebenso eine Abnormalität der Anschlüsse T40 und T41 der Überwachungsschaltung 4 wie beispielsweise ein Hängen des Ausgangssignals, für das es wahrscheinlicher ist, dass es abnormal wird, erfasst werden. Da der Einfluss auf den Betrieb des Aktuators A somit reduziert werden kann, ist es möglich, durch den Fahrer gefühltes Unbehagen zu lindern. Da der Einfluss auf das Verhalten des Fahrzeugs ebenso reduziert werden kann, ist es möglich, die Verifizierung bezüglich dessen, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird, das heißt, ob die Überwachungsschaltung 4 normal ist, mitten in der Fahrt des Fahrzeugs auszuführen.
  • (2) Die Überwachungsschaltung 4 ist mit dem Eingangsanschluss T41 versehen, der mit dem Ausgangsanschluss T40 verbunden ist, der das Ausfallsicherungssignal Sfs und das Einzelpulssignal Sp durch die Signalleitungen W3 und W4 ausgibt. Der Ausgabeverifizierungsteil 401 ist konfiguriert, um zu verifizieren, ob die Überwachungsschaltung 4 in der Lage sein wird, das Ausfallsicherungssignal Sfs normal auszugeben, basierend auf der Änderung des Potenzials des Eingangsanschlusses T41, wenn das Einzelpulssignal Sp von der Überwachungsschaltung 4 ausgegeben wird. Somit ist es möglich, einfach zu verifizieren, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird.
The electronic control device 1 According to the first embodiment described above, the following operations and advantages (1) and (2) are provided.
  • (1) The output verifying part 401 can verify, using the single-pulse signal Sp, whether the fail-safe signal Sfs is normal to the monitoring circuit 4 will be issued. When the single-pulse signal Sp from the monitoring circuit 4 is output, the period of the operation performed by the actuator A can be made very short. Further, using the single-pulse signal Sp, not only an abnormality of a logic function of the monitoring circuit can be made 4 for which it is less likely to become abnormal, but also an abnormality of the terminals T40 and T41 of the monitoring circuit 4 such as suspending the output signal that is more likely to become abnormal. Since the influence on the operation of the actuator A can thus be reduced, it is possible to alleviate the discomfort felt by the driver. Since the influence on the behavior of the vehicle can also be reduced, it is possible to make the verification as to whether the fail-safe signal Sfs is normal to the monitoring circuit 4 is output, that is, whether the monitoring circuit 4 is normal to perform in the middle of the ride of the vehicle.
  • (2) The monitoring circuit 4 is provided with the input terminal T41 connected to the output terminal T40 which outputs the fail-safe signal Sfs and the single-pulse signal Sp through the signal lines W3 and W4. The output verification part 401 is configured to verify that the monitoring circuit 4 will be able to normally output the fail-safe signal Sfs based on the change of the potential of the input terminal T41 when the single-pulse signal Sp from the monitor circuit 4 is issued. Thus, it is possible to easily verify whether the fail-safe signal Sfs is normal to the monitoring circuit 4 will be issued.

(Zweite Ausführungsform)Second Embodiment

Eine elektronische Steuervorrichtung 1 gemäß einer zweiten Ausführungsform wird nachfolgend hinsichtlich eines Unterschieds zur ersten Ausführungsform erläutert.An electronic control device 1 According to a second embodiment will be explained below with respect to a difference from the first embodiment.

Wie in 5 dargestellt ist, unterscheidet sich die elektronische Steuervorrichtung 1 gemäß der zweiten Ausführungsform von der ersten Ausführungsform dadurch, dass der Eingangsanschluss 41 der Überwachungsschaltung 4 mit der Versorgungsleitung W2 der Treiberschaltung 2 durch eine Leitung W5 verbunden ist. Die elektronische Steuervorrichtung 1 beinhaltet eine Spannungserfassungsschaltung 5 in der Leitung W5. Die Spannungserfassungsschaltung 5 erfasst die Ausgangsspannung des Ausgangsanschlusses T21 der Treiberschaltung 2 durch die Leitungen W5 und W2 und gibt ein Spannungssignal entsprechend der erfassten Spannung aus. Das Ausgangssignal der Spannungserfassungsschaltung 5 wird an den Eingangsanschluss T41 der Überwachungsschaltung 4 angelegt.As in 5 is shown, the electronic control device is different 1 according to the second embodiment of the first embodiment in that the input terminal 41 the monitoring circuit 4 with the supply line W2 of the driver circuit 2 is connected by a line W5. The electronic control device 1 includes a voltage detection circuit 5 in the W5 line. The voltage detection circuit 5 detects the output voltage of the output terminal T21 of the driver circuit 2 through lines W5 and W2 and outputs a voltage signal corresponding to the detected voltage. The output signal of the voltage detection circuit 5 is applied to the input terminal T41 of the monitoring circuit 4 created.

Ein Betrieb der elektronischen Steuervorrichtung 1 gemäß der zweiten Ausführungsform wird als Nächstes beschrieben. Wenn die Überwachungsschaltung 4 das Einzelpulssignal Sp vom Ausgangsanschluss T40 ausgibt und die Treiberschaltung 2 das Einzelpulssignal Sp empfängt, ändert die Treiberschaltung 2 temporär die Versorgungsspannung, die dem Aktuator A bereitgestellt wird, um dadurch den Betrieb des Aktuators A zu beschränken. Diese Spannungsänderung wird durch die Spannungserfassungsschaltung 5 erfasst. Der Ausgabeverifizierungsteil 401 der Überwachungsschaltung 4 erfasst die Änderung der Versorgungsspannung der Treiberschaltung 2 basierend auf dem Ausgangssignal der Spannungserfassungsschaltung 5, das durch den Eingangsanschluss T41 eingegeben wird. Wenn der Ausgabeverifizierungsteil 401 die Änderung der Versorgungsspannung der Treiberschaltung 2 basierend auf dem Ausgangssignal der Spannungserfassungsschaltung 5 zur Zeit des Ausgebens des Einzelpulssignals Sp vom Ausgangsanschluss T40 erfasst, bestimmt der Ausgabeverifizierungsteil 401, dass das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird. Wenn der Ausgabeverifizierungsteil 401 die Änderung der Versorgungsspannung der Treiberschaltung 2 basierend auf dem Ausgangssignal der Spannungserfassungsschaltung 5 nicht erfasst, bestimmt der Ausgabeverifizierungsteil 401, dass das Ausfallsicherungssignal Sfs nicht normal von der Überwachungsschaltung 4 ausgegeben werden wird. Wenn der Ausgabeverifizierungsteil 401 die Änderung der Versorgungsspannung der Treiberschaltung 2 basierend auf dem Ausgangssignal der Spannungserfassungsschaltung 5 erfasst, jedoch die Änderung nicht dem Einzelpulssignal Sp entspricht, bestimmt der Ausgabeverifizierungsteil 401, dass das Ausfallsicherungssignal Sfs abnormal von der Überwachungsschaltung 4 ausgegeben werden wird.An operation of the electronic control device 1 according to the second embodiment will be described next. When the monitoring circuit 4 the single-pulse signal Sp outputs from the output terminal T40 and the driver circuit 2 receives the single pulse signal Sp, changes the driver circuit 2 temporarily the supply voltage which is provided to the actuator A, thereby limiting the operation of the actuator A. This voltage change is made by the voltage detection circuit 5 detected. The output verification part 401 the monitoring circuit 4 detects the change in the supply voltage of the driver circuit 2 based on the output signal of the voltage detection circuit 5 input through the input terminal T41. If the Output verification part 401 the change of the supply voltage of the driver circuit 2 based on the output signal of the voltage detection circuit 5 at the time of outputting the single-pulse signal Sp from the output terminal T40, the output verifying part determines 401 in that the fail-safe signal Sfs is normal to the monitoring circuit 4 will be issued. When the output verification part 401 the change of the supply voltage of the driver circuit 2 based on the output signal of the voltage detection circuit 5 not detected, the output verifying part determines 401 in that the fail-safe signal Sfs is not normal from the monitoring circuit 4 will be issued. When the output verification part 401 the change of the supply voltage of the driver circuit 2 based on the output signal of the voltage detection circuit 5 but the change does not correspond to the single-pulse signal Sp, the output verifying part determines 401 in that the fail-safe signal Sfs is abnormal from the monitoring circuit 4 will be issued.

Die elektronische Steuervorrichtung 1 gemäß der zweiten Ausführungsform, die vorstehend beschrieben ist, stellt den folgenden Betrieb und Vorteil (3) zusätzlich zu den Betrieben und Vorteilen (1) und (2) der ersten Ausführungsform bereit.

  • (3) Da die Verlässlichkeit des Ausfallsicherungssignals Sfs einschließlich des Betriebs der Treiberschaltung 2 bezüglich des Ausfallsicherungssignals Sfs verifiziert werden kann, kann die Validität des Ausfallsicherungssignals Sfs mit höherer Genauigkeit verifiziert werden.
The electronic control device 1 According to the second embodiment described above, the following operation and advantage (3) is provided in addition to the operations and advantages (1) and (2) of the first embodiment.
  • (3) Since the reliability of the fail-safe signal Sfs including the operation of the driving circuit 2 with respect to the fail-safe signal Sfs, the validity of the fail-safe signal Sfs can be verified with higher accuracy.

(Dritte Ausführungsform)Third Embodiment

Eine elektronische Steuervorrichtung 1 gemäß einer dritten Ausführungsform wird nachfolgend hinsichtlich eines Unterschieds zur ersten Ausführungsform beschrieben.An electronic control device 1 According to a third embodiment will be described below with respect to a difference from the first embodiment.

Wie in 6 dargestellt ist, unterscheidet sich die elektronische Steuervorrichtung 1 gemäß der dritten Ausführungsform von der ersten Ausführungsform dadurch, dass eine Filterschaltung 6 in der Signalleitung W3 vorgesehen ist. Die Filterschaltung 6 ist mehr auf der Seite der Treiberschaltung 2 als ein Knoten P zwischen der Signalleitung W3 und der Signalleitung W4 vorgesehen. Die Filterschaltung 6 hat eine Funktion zum Glätten des Signalverlaufs des Einzelpulssignals Sp, das von der Überwachungsschaltung 4 an die Treiberschaltung 2 übertragen wird. Insbesondere, wie in 7 dargestellt ist, glättet die Filterschaltung 6 das Einzelpulssignal Sp so, dass ein minimales Potenzial im Signalverlauf des gefilterten Einzelpulssignals Sp oberhalb des erfassbaren kleinsten Grenzpotenzials Vmin des Eingangsanschlusses T22 der Treiberschaltung 2 aufrechterhalten wird.As in 6 is shown, the electronic control device is different 1 according to the third embodiment of the first embodiment in that a filter circuit 6 is provided in the signal line W3. The filter circuit 6 is more on the driver circuit side 2 is provided as a node P between the signal line W3 and the signal line W4. The filter circuit 6 has a function of smoothing the waveform of the single-pulse signal Sp supplied from the monitor circuit 4 to the driver circuit 2 is transmitted. In particular, as in 7 is shown smoothes the filter circuit 6 the single pulse signal Sp so that a minimum potential in the waveform of the filtered single pulse signal Sp above the detectable smallest limit potential Vmin of the input terminal T22 of the driver circuit 2 is maintained.

Die elektronische Steuervorrichtung 1 gemäß der dritten Ausführungsform, die vorstehend beschrieben ist, stellt den folgenden Betrieb und Vorteil (4) bereit.

  • (4) Wird das Einzelpulssignal Sp von der Überwachungsschaltung 4 an die Treiberschaltung 2 übertragen, ist es weniger wahrscheinlich, dass das Potenzial des Eingangsanschlusses T22 der Treiberschaltung 2 unter das erfassbare unterste Grenzpotenzial Vmin fällt. Es ist weniger wahrscheinlich, dass die Treiberschaltung 2 davor geschützt wird, gestoppt zu werden, aufgrund des Einzelpulssignals Sp. Demzufolge ist es, sogar wenn das Einzelpulssignal Sp von der Überwachungsschaltung 4 an die Treiberschaltung 2 übertragen wird, während das Fahrzeug fährt, möglich, den Einfluss auf das Verhalten des Fahrzeugs zu minimieren und Unbehagen des Fahrers zu eliminieren.
The electronic control device 1 According to the third embodiment described above, the following operation and advantage (4) is provided.
  • (4) When the single-pulse signal Sp is output from the monitoring circuit 4 to the driver circuit 2 For example, it is less likely that the potential of the input terminal T22 of the driver circuit 2 falls below the detectable lowest limit potential Vmin. It is less likely that the driver circuit 2 Therefore, it is prevented from being stopped due to the single pulse signal Sp. Accordingly, even if the single-pulse signal Sp is from the monitoring circuit 4 to the driver circuit 2 is transferred while the vehicle is traveling, possible to minimize the influence on the behavior of the vehicle and to eliminate discomfort of the driver.

(Vierte Ausführungsform)Fourth Embodiment

Eine elektronische Steuervorrichtung 1 gemäß einer vierten Ausführungsform wird nachfolgend hinsichtlich eines Unterschieds zur ersten Ausführungsform erläutert.An electronic control device 1 According to a fourth embodiment will be explained below with respect to a difference from the first embodiment.

In der vierten Ausführungsform ist der Mikrocomputer 3 konfiguriert, um eine in 8 dargestellte Verarbeitung statt der in 3 dargestellten Verarbeitung auszuführen. In 8 sind gleiche Schritte wie die in 3 dargestellten mit den gleichen Schrittnummern gekennzeichnet, um dadurch die Beschreibung zu vereinfachen.In the fourth embodiment, the microcomputer is 3 configured to a in 8th represented processing instead of in 3 perform processing shown. In 8th are the same steps as those in 3 indicated with the same step numbers, thereby simplifying the description.

Wie in 8 dargestellt ist, wenn die Anzahl bzw. Häufigkeit von Übertragungen der Inspektionstestantworten Ctrm den zweiten Grenzzählwert Cth2 erreicht hat (Schritt S14: JA), erlangt der Mikrocomputer 3 das Ausgabeverifizierungsergebnis und den Zählwert Ce des Fehlerzählers 404 von der Überwachungsschaltung 4 (Schritt S20). Der Mikrocomputer 3 überprüft dann, ob der Zählwert Ce des Fehlerzählers 404 gleich dem zweiten Grenzzählwert Cth2 ist (Schritt S21). Wenn der Zählwert Ce des Fehlerzählers 404 gleich dem zweiten Grenzzählwert Cth2 ist (Schritt S21: JA), überprüft der Mikrocomputer 3, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird, basierend auf dem Ausgabeverifizierungsergebnis, das von der Überwachungsschaltung 4 erlangt wird (Schritt S16).As in 8th That is, when the number of times of transmission of the inspection test responses Ctrm has reached the second limit count value Cth2 (step S14: YES), the microcomputer obtains 3 the output verification result and the count value Ce of the error counter 404 from the monitoring circuit 4 (Step S20). The microcomputer 3 then checks if the count value Ce of the error counter 404 is equal to the second limit count Cth2 (step S21). When the count value Ce of the error counter 404 is equal to the second limit count value Cth2 (step S21: YES), the microcomputer checks 3 whether the fail-safe signal Sfs is normal from the monitoring circuit 4 will be output based on the output verification result from the monitoring circuit 4 is obtained (step S16).

Wenn der Zählwert Ce des Fehlerzählers 404 nicht gleich dem zweiten Grenzzählwert Cth2 ist (Schritt S21: NEIN), bestimmt der Mikrocomputer 3, dass mindestens einer des Mikrocomputers 3 und des Testantwodbestätigungsteils 40 abnormal ist.When the count value Ce of the error counter 404 is not equal to the second limit count Cth2 (step S21: NO), the microcomputer determines 3 in that at least one of the microcomputer 3 and the test response confirmation part 40 is abnormal.

Die elektronische Steuervorrichtung 1 gemäß der vierten Ausführungsform, die vorstehend beschrieben ist, stellt den folgenden Betrieb und Vorteil (5) bereit.

  • (5) Wenn der Mikrocomputer abnormal ist, ist es für den Mikrocomputer 3 wahrscheinlich, dass er fehlerhaft bestimmt, dass die Anzahl bzw. Häufigkeit von Übertragungen der Inspektionstestantworten den zweiten Grenzzählwert Cth2 erreicht hat, obwohl der Zählwert Ce des Fehlerzählers 404 der Überwachungsschaltung 4 den zweiten Grenzzählwert Cth2 noch nicht erreicht hat. Ist der Testantwortbestätigungsteil 402 der Überwachungsschaltung 4 abnormal, ist es wahrscheinlich, dass der Zählwert Ce de Fehlerzählers 404 abnormal wird. In jeglichen Situationen, wenn der Mikrocomputer bestimmt, dass die Anzahl bzw. Häufigkeit von Übertragungen der Inspektionstestantworten den zweiten Grenzzählwert Cth2 erreicht hat, ist es wahrscheinlich, dass der Zählwert Ce des Fehlerzählers 404 den zweiten Grenzzählwert Cth2 nicht tatsächlich erreicht. In dieser Situation wird ein normales Ausgabeverifizierungsergebnis bzw. Normalausgabeverifizierungsergebnis nicht in dem Testantwortbestätigungsteil 402 der Überwachungsschaltung 4 gespeichert. Aus diesem Grund ist es wahrscheinlich, dass der Mikrocomputer 3 eine fehlerhafte Bestimmung tätigt, wenn der Mikrocomputer 3 überprüft, ob das Ausfallsicherungssignal Sfs normal ausgegeben werden wird, basierend auf dem Ausgabeverifizierungsergebnis, das in dem Testantwortbestätigungsteil 402 gespeichert ist.
The electronic control device 1 According to the fourth embodiment described above, the following operation and advantage (5) is provided.
  • (5) If the microcomputer is abnormal, it is for the microcomputer 3 it is likely that it erroneously determines that the number of times of transmission of the inspection test responses has reached the second limit count Cth2 although the count value Ce of the error counter is 404 the monitoring circuit 4 has not yet reached the second limit count Cth2. Is the test answer confirmation part 402 the monitoring circuit 4 it is abnormal probably, that the count is Ce of the error counter 404 becomes abnormal. In any situation, when the microcomputer determines that the number of times of transmission of the inspection test responses has reached the second limit count Cth2, it is likely that the count value Ce of the error counter 404 does not actually reach the second limit count Cth2. In this situation, a normal output verification result does not become in the test response confirmation part 402 the monitoring circuit 4 saved. Because of this, it is likely that the microcomputer 3 makes a faulty determination when the microcomputer 3 checks whether the fail-safe signal Sfs will be normally output based on the output verification result included in the test response confirmation part 402 is stored.

Jedoch kann der Mikrocomputer gemäß der vierten Ausführungsform bestimmen, dass mindestens einer des Mikrocomputers 3 oder des Testergebnisverwaltungsteils 32 abnormal ist. Da es somit möglich ist, die fehlerhafte Bestimmung des Mikrocomputers 3 zu vermeiden, ist es möglich, genauer zu überprüfen, ob das Ausfallsicherungssignal Sfs normal von der Überwachungsschaltung 4 ausgegeben werden wird.However, the microcomputer according to the fourth embodiment may determine that at least one of the microcomputer 3 or the test result management part 32 is abnormal. Since it is thus possible, the erroneous determination of the microcomputer 3 To avoid, it is possible to more accurately check whether the fail-safe signal Sfs is normal from the monitoring circuit 4 will be issued.

(Fünfte Ausführungsform)Fifth Embodiment

Eine elektronische Steuervorrichtung 1 gemäß einer fünften Ausführungsform wird nachfolgend hinsichtlich eines Unterschieds zur ersten Ausführungsform beschrieben.An electronic control device 1 According to a fifth embodiment will be described below with respect to a difference from the first embodiment.

In der fünften Ausführungsform führt der Mikrocomputer 3 eine in 9 dargestellte Verarbeitung anstelle der in 8 dargestellten Verarbeitung aus. In 9 sind gleiche Schritte wie die in 8 dargestellten mit den gleichen Schrittnummern gekennzeichnet, um dadurch die Beschreibung zu vereinfachen.In the fifth embodiment, the microcomputer performs 3 one in 9 represented processing instead of in 8th illustrated processing. In 9 are the same steps as those in 8th indicated with the same step numbers, thereby simplifying the description.

Wie in 9 dargestellt ist, wenn der Mikrocomputer 3 bestimmt, dass das Inspektionsflag F auf EIN ist (Schritt S10: JA), erlangt der Mikrocomputer 3 den Zählwert Ce des Fehlerzählers 404 von der Überwachungsschaltung 4 und überprüft, ob der Zählwert Ce des Fehlerzählers 404 einen vorbestimmten dritten Grenzzählwert Cth3 erreicht hat (Schritt S30). Der dritte Grenzzählwert Cth3 wird kleiner als der erste Grenzzählwert Cth1 festgelegt.As in 9 is shown when the microcomputer 3 determines that the inspection flag F is ON (step S10: YES), acquires the microcomputer 3 the count value Ce of the error counter 404 from the monitoring circuit 4 and checks if the count value Ce of the error counter 404 has reached a predetermined third limit count Cth3 (step S30). The third limit count value Cth3 is set smaller than the first limit count value Cth1.

Wenn der Zählwert Ce des Fehlerzählers 404 gleich oder größer als der Zählwert Cth3 ist (Schritt S30: JA), beendet der Mikrocomputer die Verarbeitung von 9. Ist der Zählwert Ce des Fehlerzählers 404 kleiner als der dritte Grenzzählwert Cth3 (Schritt S30: NEIN), führt der Mikrocomputer 3 Schritte aus, die auf Schritt S11 folgen.When the count value Ce of the error counter 404 is equal to or greater than the count value Cth3 (step S30: YES), the microcomputer stops the processing of 9 , Is the count value Ce of the error counter 404 smaller than the third limit count value Cth3 (step S30: NO), the microcomputer performs 3 Steps following step S11.

Als Nächstes wird ein Betrieb der elektronischen Steuervorrichtung 1 gemäß der fünften Ausführungsform beschrieben. Wie in 10 dargestellt ist, wenn der Zählwert Ce des Fehlerzählers 404 gleich oder größer als der dritte Grenzzählwert Cth3 zu der Zeit ist, bei der das Inspektionsflag F zur Zeit t20 auf EIN gesetzt wird, hat die Überwachungsschaltung 4 die Abnormalität des Mikrocomputers 3 vorher erfasst. In dieser Situation, wenn der Zählwert Ce des Fehlerzählers 404 gleich oder größer als der Wert Cth3 zur Zeit des Startens der Verifizierungsverarbeitung ist, die verifiziert, ob das Ausfallsicherungssignal Sfs zur Zeit t20 normal von der Überwachungsschaltung 4 ausgegeben wird, beendet der Mikrocomputer 3 die Verifizierungsverarbeitung.Next, an operation of the electronic control device 1 described according to the fifth embodiment. As in 10 is shown when the count value Ce of the error counter 404 is equal to or greater than the third limit count Cth3 at the time when the inspection flag F is turned ON at time t20, the monitoring circuit has 4 the abnormality of the microcomputer 3 previously recorded. In this situation, when the count value Ce of the error counter 404 is equal to or greater than the value Cth3 at the time of starting the verification processing, which verifies whether the fail-safe signal Sfs is normal to the monitoring circuit at time t20 4 is output, the microcomputer stops 3 the verification processing.

Die elektronische Steuervorrichtung 1 gemäß der fünften Ausführungsform, die vorstehend beschrieben ist, stellt den folgenden Betrieb und Vorteil (6) bereit.

  • (6) Wenn angenommen wird, dass der Mikrocomputer 3 die Inspektionstestantwort an die Überwachungsschaltung 4 ausgehend von der Zeit t20 in einer in 10 dargestellten Situation überträgt, inkrementiert die Überwachungsschaltung 4 fehlerhaft den Zählwert des Fehlerzählers 404 in Antwort auf die Inspektionstestantwort. In diesem Fall erreicht der Zählwert Ce des Fehlerzählers 404 den ersten Grenzzählwert Cth1 aufgrund der Übertragung der Inspektionstestantworten. die Überwachungsschaltung 4 überträgt daraufhin fälschlicherweise das Ausfallsicherungssignal Sfs an die Treiberschaltung 2.
The electronic control device 1 According to the fifth embodiment described above, the following operation and advantage (6) is provided.
  • (6) If it is assumed that the microcomputer 3 the inspection test response to the monitoring circuit 4 starting from the time t20 in an in 10 transferred situation, the monitoring circuit increments 4 erroneously the count value of the error counter 404 in response to the inspection test response. In this case, the count value Ce of the error counter reaches 404 the first limit count Cth1 due to the transmission of the inspection test responses. the monitoring circuit 4 then erroneously transmits the fail-safe signal Sfs to the driver circuit 2 ,

In der elektronischen Steuervorrichtung 1 gemäß der fünften Ausführungsform, wenn der Zählwert Ce des Fehlerzählers 404 gleich oder größer als der Wert Cth3 zu der Zeit ist, zu der das Inspektionsflag F auf EIN gesetzt wird, führt der Mikrocomputer 3 Übertragung der Inspektionstestantworten an die Überwachungsschaltung 4 nicht aus. Es ist somit möglich, zu vermeiden, dass die Überwachungsschaltung 4 fälschlicherweise das Ausfallsicherungssignal Sfs in Antwort auf die Übertragung des Inspektionstestergebnisses überträgt.In the electronic control device 1 according to the fifth embodiment, when the count value Ce of the error counter 404 is equal to or greater than the value Cth3 at the time when the inspection flag F is turned ON, the microcomputer performs 3 Transmission of the inspection test responses to the monitoring circuit 4 not from. It is thus possible to avoid the monitoring circuit 4 erroneously transmits the fail-safe signal Sfs in response to the transmission of the inspection test result.

(Weitere Ausführungsformen)(Further embodiments)

Wie in 11 dargestellt ist, kann die Überwachungsschaltung 4 nur den Testantwortbestätigungsteil 403 beinhalten, der das Einzelpulssignal Sp in Antwort auf den Zählwert Ce des Fehlerzählers 404 erzeugt. In dieser Ausführungsform ist der Mikrocomputer 3 mit einem Eingangsanschluss T30, der mit der Signalleitung W3 der Überwachungsschaltung 4 durch eine Signalleitung W6 verbunden ist, dem Ausgabeverifizierungsteil 33 und einem Verifizierungsergebnisspeicherteil 34 versehen. Der Verifizierungsergebnisspeicherteil 34 hat ähnliche Funktionen wie der Ausgabeverifizierungsteil 401 der ersten Ausführungsform außer der Funktion zum Ausgeben des Einzelpulssignals Sp. Der Verifizierungsergebnisspeicherteil 34 hat eine ähnliche Funktion wie die des Testantwortbestätigungsteils 402 der ersten Ausführungsform. Diese Konfiguration stellt ebenso eine ähnliche Funktion wie die der elektronischen Steuervorrichtung 1 gemäß der ersten Ausführungsform bereit. Diese Konfiguration kann ebenso in der zweiten bis fünften Ausführungsform implementiert sein.As in 11 is shown, the monitoring circuit 4 only the test reply confirmation part 403 include the single-pulse signal Sp in response to the count value Ce of the error counter 404 generated. In this embodiment, the microcomputer is 3 with an input terminal T30 connected to the signal line W3 of the monitoring circuit 4 is connected through a signal line W6, the output verifying part 33 and one Verification result storing part 34 Mistake. The verification result storage part 34 has similar functions as the output verification part 401 of the first embodiment except for the function for outputting the single pulse signal Sp. The verification result memory part 34 has a similar function to that of the test response confirmation part 402 the first embodiment. This configuration also performs a function similar to that of the electronic control device 1 according to the first embodiment. This configuration may also be implemented in the second to fifth embodiments.

In jeder der vorstehend beschriebenen Ausführungsformen inspizieren die Überwachungsschaltung 4 und der Mikrocomputer 3 den Mikrocomputer 3 bzw. die Überwachungsschaltung 4 während einer Fahrt des Fahrzeugs. Jedoch kann die gegenseitige Inspektion zu jeder beliebigen Zeit ausgeführt werden, ohne auf die Periode der Fahrzeugfahrt beschränkt zu sein. Die gegenseitige Inspektion kann beispielsweise ausgeführt werden, wenn der Zündungsschalter ein- oder ausgeschaltet wird.In each of the embodiments described above, the monitoring circuit inspects 4 and the microcomputer 3 the microcomputer 3 or the monitoring circuit 4 during a drive of the vehicle. However, the mutual inspection may be performed at any time without being limited to the period of the vehicle travel. The mutual inspection may be performed, for example, when the ignition switch is turned on or off.

In jeder der vorstehend beschriebenen Ausführungsformen löscht der Testantwortbestätigungsteil 40 den Zählwert Ce des Fehlerzählers 404 unter der Bedingung, dass der Zählwert Ce des Fehlerzählers 404 den ersten Grenzzählwert Cth1 nicht erreicht, bevor der Zeitgeber T den ersten Grenzzeitwert Tth1 erreicht. Alternativ kann der Testantwortbestätigungsteil 40 den Zählwert Ce des Fehlerzählers 404 löschen oder dekrementieren, wenn der Überprüfungsteil 40 bestimmt, dass die Testantwort des Mikrocomputers 3 korrekt ist. Da diese Konfiguration den Zeitgeber T nicht benötigt, ist die Konfiguration der Überwachungsschaltung 4 vereinfacht.In each of the above-described embodiments, the test response confirmation part clears 40 the count value Ce of the error counter 404 under the condition that the count value Ce of the error counter 404 does not reach the first limit count value Cth1 before the timer T reaches the first limit time value Tth1. Alternatively, the test response confirmation part 40 the count value Ce of the error counter 404 delete or decrement if the review part 40 determines that the test response of the microcomputer 3 correct is. Since this configuration does not require the timer T, the configuration is the monitoring circuit 4 simplified.

Die elektrischen Steuervorrichtungen 1 gemäß den vorstehend beschriebenen Ausführungsformen sind nicht auf die Verwendung in dem Fahrzeug beschränkt, sondern können in anderen Systemen verwendet werden.The electrical control devices 1 according to the embodiments described above are not limited to the use in the vehicle, but may be used in other systems.

Ferner ist die elektronische Steuervorrichtung 1 gemäß den vorstehend beschriebenen Ausführungsformen nicht auf die Verwendung zum Treiben des Aktuators A beschränkt, sondern kann zum Steuern anderer Treiberschaltungen verwendet werden.Further, the electronic control device 1 According to the above-described embodiments, it is not limited to use for driving the actuator A, but may be used for controlling other drive circuits.

Die Erfindung lässt sich folgendermaßen zusammenfassen. Eine elektronische Steuervorrichtung beinhaltet einen Mikrocomputer, eine Überwachungsschaltung und einen Ausgabeverifizierungsteil. Der Mikrocomputer steuert Treiben eines Aktuators. Die Überwachungsschaltung überwacht den Mikrocomputer und gibt ein Ausfallsicherungssignal aus, wenn ein Zählwert eines Fehlerzählers, der die Anzahl von Erfassungen einer Abnormalität des Mikrocomputers angibt, einen vorbestimmten ersten Grenzzählwert erreicht. Der Mikrocomputer veranlasst die Überwachungsschaltung vorsätzlich, die Abnormalität des Mikrocomputers zu erfassen. Die Überwachungsschaltung gibt ein Einzelpulssignal aus, wenn der Zählwert des Fehlerzählers einen vorbestimmten zweiten Grenzzählwert erreicht, der kleiner als der erste Grenzzählwert ist. Der Ausgabeverifizierungsteil verifiziert, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung ausgegeben werden wird, basierend auf dem Einzelpulssignal.The invention can be summarized as follows. An electronic control device includes a microcomputer, a monitor circuit, and an output verification part. The microcomputer controls driving of an actuator. The monitoring circuit monitors the microcomputer and outputs a fail-safe signal when a count value of an error counter indicative of the number of detections of an abnormality of the microcomputer reaches a predetermined first limit count value. The microcomputer intentionally causes the monitoring circuit to detect the abnormality of the microcomputer. The monitoring circuit outputs a single-pulse signal when the count value of the error counter reaches a predetermined second limit count smaller than the first limit count value. The output verifying part verifies whether the fail-safe signal will be normally output from the monitor circuit based on the single-pulse signal.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

  • JP 2008-226043 A [0002] JP 2008-226043 A [0002]

Claims (7)

Elektronische Steuervorrichtung, aufweisend: eine Steuerschaltung (3) zum Steuern eines Treibens eines Steuerobjekts (A); eine Überwachungsschaltung (4) zum Überwachen der Steuerschaltung (3) und Ausgeben eines Ausfallsicherungssignals, wenn ein Zählwert eines Fehlerzählers (404), der eine Anzahl von Erfassungen einer Abnormalität der Steuerschaltung (3) angibt, einen vorbestimmten ersten Grenzzählwert erreicht; einen Ausgabeverifizierungsteil (33, 401), der in der Steuerschaltung (3) oder der Überwachungsschaltung (4) vorgesehen ist, um zu verifizieren, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung (4) ausgegeben wird, dadurch gekennzeichnet, dass die Steuerschaltung (3) die Überwachungsschaltung (4) vorsätzlich veranlasst, die Abnormalität der Steuerschaltung (3) zu erfassen; die Überwachungsschaltung (4) ein Einzelpulssignal ausgibt, wenn der Zählwert des Fehlerzählers (404) einen vorbestimmten zweiten Grenzzählwert erreicht, der kleiner als der erste Grenzzählwert festgelegt ist; und der Ausgabeverifizierungsteil (401) verifiziert, ob die Überwachungsschaltung (4) normal ist, basierend auf dem Einzelpulssignal.An electronic control device, comprising: a control circuit ( 3 ) for controlling a driving of a control object (A); a monitoring circuit ( 4 ) for monitoring the control circuit ( 3 ) and outputting a fail-safe signal when a count of an error counter ( 404 ) comprising a number of detections of an abnormality of the control circuit ( 3 ) indicates a predetermined first limit count; an output verifying part ( 33 . 401 ) in the control circuit ( 3 ) or the monitoring circuit ( 4 ) is provided to verify that the fail-safe signal is received normally by the monitoring circuit ( 4 ), characterized in that the control circuit ( 3 ) the monitoring circuit ( 4 ) deliberately causes the abnormality of the control circuit ( 3 ) capture; the monitoring circuit ( 4 ) outputs a single-pulse signal when the count value of the error counter ( 404 ) reaches a predetermined second limit count smaller than the first limit count; and the output verifying part ( 401 ) verifies that the monitoring circuit ( 4 ) is normal based on the single pulse signal. Elektronische Steuervorrichtung gemäß Anspruch 1, dadurch gekennzeichnet, dass der Ausgabeverifizierungsteil (33, 401) einen Eingangsanschluss (T30, T41) aufweist, der mit einem Ausgangsanschluss (T40) der Überwachungsschaltung (4) verbunden ist, von dem das Ausfallsicherungssignal und das Einzelpulssignal durch Signalleitungen (W4, W6) ausgegeben werden; und der Ausgabeverifizierungsteil (33, 401) verifiziert, ob die Überwachungsschaltung (4) normal ist, basierend auf einer Potenzialänderung des Eingangsanschlusses (T30, T41), wenn das Einzelpulssignal von der Überwachungsschaltung (4) ausgegeben wird.An electronic control device according to claim 1, characterized in that the output verifying part (16) 33 . 401 ) has an input terminal (T30, T41) connected to an output terminal (T40) of the monitoring circuit (T40). 4 ) from which the fail-safe signal and the single-pulse signal are output through signal lines (W4, W6); and the output verifying part ( 33 . 401 ) verifies that the monitoring circuit ( 4 ) is normal, based on a potential change of the input terminal (T30, T41) when the single-pulse signal from the monitoring circuit ( 4 ) is output. Elektronische Steuervorrichtung gemäß Anspruch 1, dadurch gekennzeichnet, dass die Steuerschaltung (3) das Treiben der elektrischen Last (A) durch eine Treiberschaltung (2) steuert; die Überwachungsschaltung (4) das Ausfallsicherungssignal an die Treiberschaltung (2) ausgibt; die Treiberschaltung (2) eine Versorgungsspannung, die der elektrischen Last (A) bereitgestellt wird, ändert, um das Treiben der elektrischen Last (A) ausgehend vom Empfang des Ausfallsicherungssignals zu beschränken; und der Ausgabeverifizierungsteil (33, 401) verifiziert, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung (4) ausgegeben wird, basierend auf einer Änderung einer Versorgungsspannung, die der elektrischen Last (A) von der Treiberschaltung (2) bereitgestellt wird, wenn das Einzelpulssignal von der Überwachungsschaltung (4) ausgegeben wird.Electronic control device according to claim 1, characterized in that the control circuit ( 3 ) the driving of the electrical load (A) by a driver circuit ( 2 ) controls; the monitoring circuit ( 4 ) the fail-safe signal to the driver circuit ( 2 ) outputs; the driver circuit ( 2 ) changes a supply voltage provided to the electrical load (A) to restrict the driving of the electrical load (A) from receiving the fail-safe signal; and the output verifying part ( 33 . 401 ) verifies that the fail-safe signal is normal from the monitoring circuit ( 4 ) is output based on a change in a supply voltage of the electrical load (A) from the driver circuit ( 2 ) is provided when the single pulse signal from the monitoring circuit ( 4 ) is output. Elektronische Steuervorrichtung gemäß einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die Steuerschaltung (3) überprüft, ob der Zählwert des Fehlerzählers (404) den vorbestimmten zweiten Grenzzählwert erreicht hat, und bestimmt, dass mindestens eine der Steuerschaltung (3) und der Überwachungsschaltung (4) abnormal ist, wenn der Zählwert des Fehlerzählers (404) den vorbestimmten zweiten Grenzzählwert nicht erreicht.Electronic control device according to one of claims 1 to 3, characterized in that the control circuit ( 3 ) checks whether the count value of the error counter ( 404 ) has reached the predetermined second limit count, and determines that at least one of the control circuits ( 3 ) and the monitoring circuit ( 4 ) is abnormal when the count of the error counter ( 404 ) does not reach the predetermined second limit count. Elektronische Steuervorrichtung gemäß einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Steuerschaltung (3) keine Verifizierungsverarbeitung ausführt, wenn der Zählwert des Fehlerzählers (404) gleich oder größer als ein vorbestimmter Zählwert zur Zeit eines Startens der Verifizierungsverarbeitung zum Verifizieren, ob das Ausfallsicherungssignal normal von der Überwachungsschaltung (4) ausgegeben wird, ist.Electronic control device according to one of claims 1 to 4, characterized in that the control circuit ( 3 ) performs no verification processing when the count value of the error counter ( 404 ) is equal to or greater than a predetermined count value at the time of starting the verification processing for verifying that the fail-safe signal is received normally from the monitoring circuit (15). 4 ) is output. Elektronische Steuervorrichtung gemäß einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die Steuerschaltung (3) das Treiben der elektrischen Last (A) durch eine Treiberschaltung (2) steuert; die Überwachungsschaltung (4) das Ausfallsicherungssignal an die Treiberschaltung (2) ausgibt; und eine Pulsbreite des Einzelpulssignals festgelegt wird, um einen Betrieb der elektrischen Last (A) nicht zu beeinflussen.Electronic control device according to one of claims 1 to 5, characterized in that the control circuit ( 3 ) the driving of the electrical load (A) by a driver circuit ( 2 ) controls; the monitoring circuit ( 4 ) the fail-safe signal to the driver circuit ( 2 ) outputs; and a pulse width of the single pulse signal is set so as not to affect an operation of the electric load (A). Elektronische Steuervorrichtung gemäß einem der Ansprüche 1 bis 6, ferner gekennzeichnet durch eine Filterschaltung (6) zum Glätten eines Signalverlaufs des Ausfallsicherungssignals.Electronic control device according to one of claims 1 to 6, further characterized by a filter circuit ( 6 ) for smoothing a waveform of the fail-safe signal.
DE102015221980.1A 2014-11-21 2015-11-09 Electronic control device Pending DE102015221980A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014236064A JP6341069B2 (en) 2014-11-21 2014-11-21 Electronic control unit
JP2014-236064 2014-11-21

Publications (1)

Publication Number Publication Date
DE102015221980A1 true DE102015221980A1 (en) 2016-05-25

Family

ID=55914451

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102015221980.1A Pending DE102015221980A1 (en) 2014-11-21 2015-11-09 Electronic control device

Country Status (2)

Country Link
JP (1) JP6341069B2 (en)
DE (1) DE102015221980A1 (en)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6839212B2 (en) * 2017-01-12 2021-03-03 日立Astemo株式会社 Electronic control device
KR102195845B1 (en) * 2019-08-06 2020-12-29 (주)모토닉 Fuel supply pump controller having self diagnostic function

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008226043A (en) 2007-03-14 2008-09-25 Denso Corp Electronic control unit

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3716948B2 (en) * 1996-04-19 2005-11-16 本田技研工業株式会社 Automotive electronic control unit
JP3508614B2 (en) * 1999-04-19 2004-03-22 三菱電機株式会社 Automotive electronic control unit with self-monitoring function
JP3775194B2 (en) * 2000-09-21 2006-05-17 日産自動車株式会社 Fault detection device for vehicle electronic control system
JP4396588B2 (en) * 2005-06-23 2010-01-13 株式会社デンソー Electronic control unit
JP5846078B2 (en) * 2012-08-24 2016-01-20 株式会社デンソー Electronic control unit
JP6018536B2 (en) * 2013-04-23 2016-11-02 日立オートモティブシステムズ株式会社 Electronic control device for vehicle

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008226043A (en) 2007-03-14 2008-09-25 Denso Corp Electronic control unit

Also Published As

Publication number Publication date
JP2016099798A (en) 2016-05-30
JP6341069B2 (en) 2018-06-13

Similar Documents

Publication Publication Date Title
DE102009028345B4 (en) Control device for a vehicle
DE4320173C2 (en) Diagnostic methods for motor vehicles for checking electronically controlled systems
DE102018217116B3 (en) High-voltage system and method for monitoring insulation faults in a high-voltage system
DE102005037717B3 (en) Method of treating or identifying faults in an exterior temperature sensor of a vehicle based on temperature gradient
DE102014222860A1 (en) Electronic vehicle control unit
DE112019003419T5 (en) FAILSAFE CYCLE MONITORING WITH ERROR INFEED
DE112018001449T5 (en) Electronic control unit
DE102020110102A1 (en) RELAY TESTING DEVICE AND BATTERY MANAGEMENT SYSTEM
WO2015185417A1 (en) Device for actuating and/or monitoring a brushless direct current motor
DE102004029301B4 (en) Diagnostic devices for use in a control unit for motor vehicles and methods for diagnosing a fault
DE102015221980A1 (en) Electronic control device
EP1533505A2 (en) Method and apparatus for diagnosing failures in a control device for a vehicle combustion engine
DE102013221098B4 (en) VEHICLE CONTROL UNIT
DE102012104322B4 (en) Method for testing two processing units in battery management system of motor car, involves communicating a comparison result to battery control unit for carrying out decision-making process on continued operation of motor car device
DE10331702A1 (en) Method and device for selecting sensor output signals
DE102016216434A1 (en) Electronic control unit and computer program
DE19850175C1 (en) Checking analogue sensors in IC engine
DE102011115218A1 (en) System and method for measuring a sensor offset
DE4237198A1 (en) Method and device for checking a monitoring unit
DE102017200280B4 (en) Method and apparatus for qualifying a fault of a sensor by means of status information
DE102009058331A1 (en) Controller e.g. valve controller, for controlling e.g. physical parameter of motor vehicle, has evaluating unit adapting maximum operating duration to detected operating loads or testing and verifying acceptance of operating duration
AT520679B1 (en) Procedure for checking and, if necessary, improving a vehicle diagnostic system
DE10319331B3 (en) Statistical evaluation method for IC engine fault diagnosis using incrementation of different counters when signal representing irregular engine running exceeds threshold value
DE102007004729A1 (en) Electronic controller's hardware configuration verifying method for e.g. hydraulic processing machine, involves comparing detected signal with target signal, and executing control program at microcontroller depending on comparison result
DE102017210538A1 (en) Electronic control unit

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication