DE102015226818B4 - Elektronische Steuervorrichtung - Google Patents

Elektronische Steuervorrichtung Download PDF

Info

Publication number
DE102015226818B4
DE102015226818B4 DE102015226818.7A DE102015226818A DE102015226818B4 DE 102015226818 B4 DE102015226818 B4 DE 102015226818B4 DE 102015226818 A DE102015226818 A DE 102015226818A DE 102015226818 B4 DE102015226818 B4 DE 102015226818B4
Authority
DE
Germany
Prior art keywords
signal
monitoring
fail
output
abnormality
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
DE102015226818.7A
Other languages
English (en)
Other versions
DE102015226818A1 (de
Inventor
Yoshiyasu Futamura
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from JP2015129179A external-priority patent/JP6406139B2/ja
Application filed by Denso Corp filed Critical Denso Corp
Publication of DE102015226818A1 publication Critical patent/DE102015226818A1/de
Application granted granted Critical
Publication of DE102015226818B4 publication Critical patent/DE102015226818B4/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D41/221—Safety or indicating devices for abnormal conditions relating to the failure of actuators or electrically driven elements
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D2041/227—Limping Home, i.e. taking specific engine control measures at abnormal conditions

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Safety Devices In Control Systems (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)

Abstract

Elektronische Steuervorrichtung umfassend:eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; undeine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,die Steuereinheit (20) aufweisend:ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert; undein Überwachungssignalerzeugungsmittel (31), welches basierend auf einem Detektionssignal von dem ersten Abnormalitätsdetektionsmittel (30) ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt,die Überwachungseinheit (21) aufweisend:ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt;ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt; undein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt, wobeidie zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand dazwischen hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird;die Steuereinheit (20) weiter ein Ermittlungsmittel (32) aufweist, welches ermittelt, ob das ausfallsichere Signal von dem ausfallsicheren Mittel (41) ausgegeben wird oder nicht, und,wenn das Ermittlungsmittel (32) ermittelt, dass das ausfallsichere Signal ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist ungeachtet des Betriebs der Steuereinheit (20).

Description

  • Die vorliegende Erfindung betrifft eine elektronische Steuervorrichtung, welche eine Steuereinheit, die die Ansteuerung zumindest einer Last steuert, und eine Überwachungseinheit, die überwacht, ob die Steuereinheit normal arbeitet oder nicht, aufweist.
  • Eine elektronische Steuervorrichtung, welche einen Mikrocomputer (Steuereinheit), der die Ansteuerung zumindest einer Last steuert, und einen Überwachungs-IC (Überwachungseinheit), der überwacht, ob der Mikrocomputer normal arbeitet oder nicht, aufweist, ist in JP 2011 - 127 546 A offenbart.
  • 14 zeigt eine schematische Anordnung eines Mikrocomputers 120 und eines Überwachungs-IC 121 der existierenden, in JP 2011 - 127 546 A beschriebenen elektronischen Steuervorrichtung. 15 ist ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt. Einem Element in 14 ähnlich zu oder in Beziehung stehend mit einem Element eines Ausführungsbeispiels ist ein Bezugszeichen zugewiesen, welches durch Addieren von 100 zu dem Bezugszeichen des Elements in dem Ausführungsbeispiel erhalten worden ist. Ferner ist die Beschreibung auf der Annahme gemacht, dass die existierende elektronische Steuervorrichtung bei einer elektronischen Antriebsmotorsteuereinheit (ECU) eines Fahrzeugs eingesetzt wird.
  • Der Mikrocomputer 120 steuert die Ansteuerung von Lasten (nicht dargestellt), welche einen Injektor, eine Zündkerze und einen Motor zum Öffnen und Schließen einer Drosselklappe umfassen. Der Mikrocomputer 120 beinhaltet Funktionen für die funktionelle Sicherheit. Insbesondere weist der Mikrocomputer 120 eine erste Abnormalitätsdetektoreinheit 130, welche ermittelt, ob der Betrieb des Mikrocomputers 120 selbst angemessen ist oder nicht, und eine Abnormalität in dem Mikrocomputer 120 selbst detektiert, und eine Überwachungssignalerzeugungseinheit 131 auf, welche ein Überwachungssignal erzeugt und das Überwachungssignal an den Überwachungs-IC 121 ausgibt.
  • Die erste Abnormalitätsdetektoreinheit 130 beinhaltet einen Sicherheitsmechanismus (zum Beispiel einen doppelten Lock-Step), welcher den Betrieb eines Prozessorkerns des Mikrocomputers 120 überwacht, einen Fehlerkorrekturcode(ECC)-Schaltkreis, welcher zu einem RAM oder ähnlichem hinzugefügt ist, einen eingebauten Selbsttest(BIST)-Schaltkreis, welcher eine Selbstdiagnose durchführt, und ähnliches. Die erste Abnormalitätsdetektoreinheit 130 ermittelt, ob der Betrieb des Mikrocomputers 120 angemessen ist oder nicht. Das heißt, die erste Abnormalitätsdetektoreinheit 130 detektiert eine Abnormalität in dem Mikrocomputer 120. Ferner gibt die erste Abnormalitätsdetektoreinheit 130 ein Detektionssignal, welches ein Detektionsergebnis (Ermittlungsergebnis) indiziert, an die Überwachungssignalerzeugungseinheit 131 aus.
  • Basierend auf dem Detektionssignal der ersten Abnormalitätsdetektoreinheit 130 erzeugt die Überwachungssignalerzeugungseinheit 131 ein Überwachungssignal zum Überwachen der Angemessenheit des Betriebs des Mikrocomputers 120. Ferner gibt die Überwachungssignalerzeugungseinheit 131 das erzeugte Überwachungssignal an den Überwachungs-IC 121 aus. Beispielsweise wird ein vorbestimmtes Authentizitätsmuster oder eine Watchdog-Löschsignal als das Überwachungssignal erzeugt. Wenn das Authentizitätsmuster verwendet wird, werden unterschiedliche Authentizitätsmuster in Abhängigkeit davon erzeugt, ob der Betrieb des Mikrocomputers 120 angemessen (normal) oder ob der Betrieb des Mikrocomputers 120 unangemessen (abnormal) ist. Wenn das Watchdog-Löschsignal verwendet wird, wird das Watchdog-Löschsignal in einem vorbestimmten Zyklus erzeugt, wenn der Betrieb des Mikrocomputers 120 normal ist, während eine Erzeugung des Watchdog-Löschsignals gestoppt wird und ein Signal auf beispielsweise einem L-Level ausgegeben wird, wenn der Betrieb des Mikrocomputers 120 abnormal ist. Auf diese Weise gibt die Überwachungssignalerzeugungseinheit 131 ein Überwachungssignal aus, welches indiziert, dass der Betrieb des Mikrocomputers 120 normal ist, wenn der Betrieb normal ist, und sie gibt ein Überwachungssignal aus, welches indiziert, dass der Betrieb des Mikrocomputers 120 abnormal ist, wenn der Betrieb abnormal ist.
  • Der Überwachungs-IC 121 beinhaltet eine zweite Abnormalitätsdetektoreinheit 140 und eine ausfallsichere Einheit 141. Basierend auf dem Überwachungssignal ermittelt die zweite Abnormalitätsdetektoreinheit 140, ob der Mikrocomputer 120 normal arbeitet oder nicht. Wenn in dem Mikrocomputer 120 eine Abnormalität detektiert wird, gibt die zweite Abnormalitätsdetektoreinheit 140 ein Abnormalitätssignal (zum Beispiel ein H-Levelsignal) an die ausfallsichere Einheit 141 aus.
  • Die ausfallsichere Einheit 141 beinhaltet zum Beispiel einen Zähler 141a. Hierin wird ein Abwärtszähler als der Zähler 141a verwendet. Mit dem Abnormalitätssignal als einen Trigger, zählt der Zähler 141a in Übereinstimmung mit einer internen Uhr von einem eine Abnormalität definierenden Grenzwert abwärts, wie in 15 gezeigt. Wenn der Zählwert Null erreicht, gibt der Zähler 141a, das heißt die ausfallsichere Einheit 141, ein ausfallsicheres Signal (zum Beispiel ein H-Level-Signal) an einen elektronischen Drosselsteuerungs(ETC)-Treiber (nicht gezeigt) aus, um den Motor der oben beschriebenen Lasten in einem voreingestellten Notlaufmodus zu halten. Die ausfallsichere Einheit 141 hält das ausfallsichere Signal, bis die Energieversorgung der elektronischen Steuervorrichtung ausgeschaltet wird.
  • Wenn die Ausgabe des ausfallsicheren Signals aufhört, das heißt, wenn das von dem Überwachungs-IC 121 eingegebene Signal sich auf einem L-Level befindet, gibt der ETC-Treiber ein Drosselansteuersignal gemäß einem Steuersignal des Mikrocomputers 120 aus, wodurch der Motor mit Energie versorgt wird. Indessen, wenn das ausfallsichere Signal eingegeben wird, gibt der ETC-Treiber ein Drosselstoppsignal an den Motor aus. Wegen diesem wird die Motorsteuerung gestoppt und die Drosselklappe geschlossen, wodurch ein Zustand erreicht wird, welcher der gleiche ist, als wenn das Gaspedal nicht betätigt wird. Ferner schaltet das Fahrzeug in einen N ied riggeschwind igkeits-Notlaufmod us.
  • Die vordem beschriebene, existierende elektronische Steuervorrichtung enthält jedoch kein Mittel, um zu versuchen, den Mikrocomputer 120 nach Normal zurückzubringen. Entsprechend, selbst wenn die Abnormalität des Mikrocomputers 120 temporär ist, wie beispielsweise wenn Daten durch kosmische Strahlen verstümmelt werden, kann der Mikrocomputer nicht nach Normal zurückgebracht werden. Aktionen bezüglich der Ausfallsicherheit sind empfindlich.
  • Währenddessen ist eine Anordnung bekannt, die eine Abnormalität in einem Mikrocomputer detektiert und veranlasst, dass der Mikrocomputer zurückgesetzt wird, wenn eine Abnormalität auftritt. 16 zeigt eine Anordnung, bei welcher eine Funktion, die verursacht, dass der Mikrocomputer zurückgesetzt wird, zu dem in 14 gezeigten Überwachungs-IC 121 hinzugefügt ist. 17 ist ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer in der in 16 gezeigten Anordnung auftritt.
  • Wie in 16 gezeigt, beinhaltet der Überwachungs-IC 121 eine Rücksetzeinheit 142 zusätzlich zu der zweiten Abnormalitätsdetektoreinheit 140 und der ausfallsicheren Einheit 141. Die Rücksetzeinheit 142 beinhaltet zum Beispiel einen Zähler 142a und ein NICHT-Gatter 142b. Hierbei wird ein Abwärtszähler als der Zähler 142a verwendet. Mit einem Abnormalitätssignal als einen Trigger zählt der Zähler 142a in Übereinstimmung mit einer internen Uhr von einem Rücksetzgrenzwert abwärts, wie in 17 gezeigt. Wenn der Zählwert Null erreicht, gibt der Zähler 142a für eine bestimmte Zeit ein H-Level-Signal aus. Das Signal wird von dem NICHT-Gatter 142b invertiert und als ein L-Level-Signal an den Mikrocomputer 120 ausgegeben. Das für eine bestimmte Zeit von der Rücksetzeinheit 142 ausgegebene L-Level-Signal ist ein Rücksetzsignal. Nach dem Verstreichen einer bestimmten Zeit wird der Rücksetzzustand des Mikrocomputers 120 beendet und der Zählwert des Zählers 142a gelöscht, zurückkehrend zu dem Rücksetzgrenzwert.
  • Gemäß dieser Anordnung kann der Mikrocomputer 120 mittels des Rücksetzvorgangs zu Normal zurückgebracht werden, wenn die Abnormalität des Mikrocomputers 120 temporär ist. Wenn jedoch die Abnormalität des Mikrocomputers 120 permanent ist, wird das Zurücksetzen wiederholt ausgeführt, wie in 17 gezeigt. Während der Mikrocomputer 120 zurückgesetzt wird, ist nicht nur die Steuerung des Motors, sondern auch des Injektors und der Zündkerze gestoppt.
  • Auf diese Weise ist die in den 16 und 17 gezeigte Anordnung dergestalt, dass zumindest eine der von dem Mikrocomputer 120 gesteuerten Lasten einen Unterschied in dem Ansteuerzustand dazwischen hat, wenn ein ausfallsicheres Signal ausgegeben wird und wenn ein Rücksetzsignal ausgegeben wird. In anderen Worten unterscheidet sich ein Ansteuerungsmuster, welches durch die Ansteuerzustände aller Lasten, das heißt dem Ansteuerzustand von sowohl dem Injektors, der Zündkerze als auch dem Motors gebildet wird, in Abhängigkeit davon, ob ein ausfallsicheres Signal ausgegeben wird oder ein Rücksetzsignal ausgegeben wird.
  • Entsprechend können, wenn ein Rücksetzen durchgeführt wird, während ein ausfallsicheres Signal ausgegeben wird, Injektion und Zündung nur außerhalb des Rücksetzzeitraums ausgeführt werden. Dies involviert Bedenken, dass kein Motorantriebsdrehmoment erzeugt werden wird und der Antriebsmotor einen abgewürgten Zustand einnehmen wird. Das heißt, der von den Ansteuerzuständen aller Lasten bestimmte Steuerzustand des Fahrzeugs ist unterschiedlich in Abhängigkeit davon, ob ein ausfallsicheres Signal ausgegeben wird oder ein Rücksetzsignal ausgegeben wird. Deswegen kann ein vorbestimmter ausfallsicherer Vorgang (zum Beispiel eine Notlaufmodussteuerung) nicht länger durchgeführt werden, wenn ein Rücksetzsignal während der Ausgabe einen ausfallsicheren Signals ausgegeben wird.
  • Selbst wenn der Mikrocomputer 120 nur eine Last steuert und der Ansteuerzustand der Last sich in Abhängigkeit davon unterscheidet, ob ein ausfallsicheres Signal ausgegeben wird oder ein Rücksetzsignal ausgegeben wird, tritt das gleiche Problem auf. Selbst wenn der Mikrocomputer 120 eine ausfallsichere Einheit beinhaltet, welche basierend auf einem Detektionssignal der ersten Abnormalitätsdetektoreinheit 130 ein ausfallsicheres Signal ausgibt, tritt das gleiche Problem auf.
  • Weiterer relevanter Stand der Technik ist bekannt aus der DE 103 21 468 B4 und der DE 10 2008 017 060 A1 .
  • Im Lichte des Vorhergehenden ist es eine Aufgabe der vorliegenden Erfindung, eine elektronische Steuervorrichtung bereitzustellen, die es einer Steuereinheit in dem Falle einer temporären Abnormalität in der Steuereinheit erlaubt, zu Normal zurückzukehren, und die es einem vorbestimmten ausfallsicheren Vorgang erlaubt, in dem Falle einer permanenten Abnormalität in der Steuereinheit durchgeführt zu werden.
  • Die Lösung der Aufgabe erfolgt durch die Merkmale der Ansprüche 1, 2, 3, 6 oder 9. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen beschrieben.
  • In Aspekten der vorliegenden Erfindung werden die unten beschriebenen elektronischen Steuervorrichtungen bereitgestellt, um die obige Aufgabe zu lösen. Es wird angemerkt, dass die Bezugszeichen, welche in dem Untenstehenden und den Ansprüchen angegeben sind, nur die Korrespondenzbeziehungen zu bestimmten technischen Elementen, welche in den Ausführungsbeispielen beschrieben sind, zeigen und nicht benutzt werden sollten, um den Schutzbereich der Erfindung einzuschränken.
  • In einem ersten Aspekt der vorliegenden Erfindung umfasst eine elektronische Steuervorrichtung:
    • eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und
    • eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,
    • die Steuereinheit (20) aufweisend:
      • ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert; und
      • ein Überwachungssignalerzeugungsmittel (31), welches basierend auf einem Detektionssignal von dem ersten Abnormalitätsdetektionsmittel (30) ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt,
    • die Überwachungseinheit (21) aufweisend:
      • ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt;
      • ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal ausgibt, um zu veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird; und
      • ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt,
    • wobei
    • die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand aufweist dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird;
    • die Steuereinheit (20) weiter
      • ein Ermittlungsmittel (32) aufweist, welches ermittelt, ob das ausfallsichere Signal von dem ausfallsicheren Mittel (41) ausgegeben wird oder nicht, und,
    • wenn das Ermittlungsmittel (32) ermittelt, dass das ausfallsichere Signal ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist ungeachtet des Betriebs der Steuereinheit (20).
  • Gemäß dieser elektronischen Steuervorrichtung kann die Steuereinheit durch das Rücksetzsignal, welches von dem Rücksetzmittel als Antwort auf eine temporäre Abnormalität in der Steuereinheit ausgegeben wird, auf Normal zurückgebracht werden.
  • Zusätzlich wird das Normalitätssignal als das Überwachungssignal von dem
  • Überwachungssignalerzeugungsmittel ausgegeben, während ein ausfallsicheres Signal ausgegeben wird. Deswegen wird die Ausgabe des Rücksetzsignals gestoppt. Folglich wird das Auftreten einer Situation, in welcher das Rücksetzsignal während der Ausgabe des ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Das heißt, ein ausfallsicherer Vorgang kann als Antwort auf eine permanente Abnormalität in der Steuereinheit ausgeführt werden.
  • Gemäß einem zweiten Aspekt der vorliegenden Erfindung umfasst eine elektronische Steuervorrichtung:
    • eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und
    • eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,
    • die Überwachungseinheit (21) aufweisend:
      • ein Abnormalitätsdetektionsmittel (40), welches eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt;
      • ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal ausgibt, um zu veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird;
      • ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt; und
      • ein Einstellmittel (43, 44), welches ein Aktivieren oder Deaktivieren einer Überwachungsfunktion der Überwachungseinheit (21) einstellt,
    • wobei
    • die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand aufweist dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird;
    • die Steuereinheit (20)
      • ein Ermittlungsmittel (32), welches ermittelt, ob das ausfallsichere Signal von dem ausfallsicheren Mittel (41) ausgegeben wird oder nicht, und
      • ein Einstellsignalerzeugungsmittel (33), welches ein Einstellsignal für das Einstellmittel (43, 44) zum Einstellen der Überwachungsfunktion erzeugt und ausgibt, aufweist;
    • das Einstellmittel (43, 44) basierend auf dem Einstellsignal ein Aktivieren oder Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) einstellt; und
    • wenn das Ermittlungsmittel (32) ermittelt, dass das ausfallsichere Signal ausgegeben wird, das Einstellsignalerzeugungsmittel (33) als das Einstellsignal ein Signal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) ausgibt.
  • Gemäß dieser elektronischen Steuervorrichtung kann die Steuereinheit durch das Rücksetzsignal, welches von dem Rücksetzmittel als Antwort auf eine temporäre Abnormalität in der Steuereinheit ausgegeben wird, zu Normal zurückgebracht werden.
  • Das Signal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit wird von dem Einstellsignalerzeugungsmittel als das Einstellsignal ausgegeben, während das ausfallsichere Signal ausgegeben wird. Wegen diesem wird die Ausgabe des Rücksetzsignals gestoppt. Folglich ist das Auftreten einer Situation, in welcher das Rücksetzsignal während der Ausgabe des ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht mehr länger ausgeführt werden kann, beschränkt. Das heißt, ein ausfallsicherer Vorgang kann als Antwort auf eine permanente Abnormalität in der Steuereinheit ausgeführt werden.
  • Gemäß einem dritten Aspekt der vorliegenden Erfindung umfasst eine elektronische Steuervorrichtung:
    • eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und
    • eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,
    • die Steuereinheit (20) aufweisend:
      • ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert; und
      • ein Überwachungssignalerzeugungsmittel (31), welches basierend auf einem Detektionssignal von dem ersten Abnormalitätsdetektionsmittel (30) ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt,
    • die Überwachungseinheit (21) aufweisend:
      • ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt,
      • ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Verursachen, dass die zumindest eine Last in einem Notlaufmodus gehalten wird, ausgibt, und
      • ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt,
    • wobei
    • die elektronische Steuervorrichtung ein Signal von einem externen Mittel (53, 55) erhält,
    • die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand aufweist dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird, und
    • wenn ein Rücksetzstoppsignal zum Stoppen einer Ausgabe des Rücksetzsignals von dem externen Mittel (53, 55) ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist, ungeachtet des Betriebs der Steuereinheit (20).
  • Gemäß dieser elektronischen Steuervorrichtung kann die Steuereinheit mittels des Rücksetzsignals, welches von dem Rücksetzmittel als Antwort auf eine temporäre Abnormalität in der Steuereinheit ausgegeben wird, zu Normal zurückgebracht werden.
  • Wenn das Rücksetzstoppsignal von dem externen Mittel ausgegeben wird, wird das Normalitätssignal als das Überwachungssignal von dem Überwachungssignalerzeugungsmittel ausgegeben. Wegen diesem wird die Ausgabe des Rücksetzsignals gestoppt. Auf diese Weise, auch bedingt durch das Rücksetzstoppsignal von dem externen Mittel, wird das Auftreten einer Situation, in welcher das Rücksetzsignal während der Ausgabe des ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Das heißt, ein ausfallsicherer Vorgang kann als Antwort auf eine permanente Abnormalität in der Steuereinheit ausgeführt werden.
  • Gemäß einem vierten Aspekt der vorliegenden Erfindung umfasst eine elektronische Steuervorrichtung:
    • eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und
    • eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,
    • die Überwachungseinheit (21) aufweisend:
      • ein Abnormalitätsdetektionsmittel (40), welches eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt;
      • ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem Notlaufmodus gehalten wird, ausgibt;
      • ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt; und
      • ein Einstellmittel (43), welches ein Aktivieren oder Deaktivieren einer Überwachungsfunktion der Überwachungseinheit (21) einstellt,
    • wobei
    • die elektronische Steuervorrichtung ein Signal von einem externen Mittel (53, 55) erhält,
    • die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand aufweist dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird,
    • die Steuereinheit (20) ein Einstellsignalerzeugungsmittel (33) aufweist, welches ein Einstellsignal für das Einstellmittel (43) zum Einstellen der Überwachungsfunktion erzeugt und ausgibt,
    • das Einstellmittel (43) das Aktivieren oder Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) basierend auf dem Einstellsignal einstellt, und
    • wenn ein Rücksetzstoppsignal zum Stoppen der Ausgabe des Rücksetzsignals von dem externen Mittel (53, 55) ausgegeben wird, das Einstellsignalerzeugungsmittel (43) als das Einstellsignal ein Deaktiviersignal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) ausgibt.
  • Gemäß dieser elektronischen Vorrichtung kann die Steuereinheit mittels des Rücksetzsignals, welches von dem Rücksetzmittel als Antwort auf eine temporäre Abnormalität in der Steuereinheit ausgegeben wird, zu Normal zurückgebracht werden.
  • Wenn das Rücksetzstoppsignal von dem externen Mittel ausgegeben wird, wird das Signal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit als das Einstellsignal von dem Einstellsignalerzeugungsmittel ausgegeben. Wegen diesem wird die Ausgabe des Rücksetzsignals gestoppt. Deswegen, bedingt auch durch das Rücksetzstoppsignal des externen Mittels, wird das Auftreten einer Situation, in welcher das Rücksetzsignal während der Ausgabe des ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Das heißt, ein ausfallsicherer Vorgang kann als Antwort auf eine permanente Abnormalität in der Steuereinheit ausgeführt werden.
  • Gemäß einem fünften Aspekt der vorliegenden Erfindung umfasst eine elektronische Steuervorrichtung:
    • eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und
    • eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht,
    • die Steuereinheit (20) aufweisend:
      • ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert und ein Detektionssignal ausgibt;
      • ein Überwachungssignalerzeugungsmittel (31), welches basierend auf dem Detektionssignal ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt; und
      • ein ausfallsicheres Mittel (34), welches basierend auf einem Signal, welches als das Detektionssignal ausgegeben wird und eine Abnormalität in der Steuereinheit (20) indiziert, ein ausfallsicheres Signal zum Verursachen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt,
    • die Überwachungseinheit (21) aufweisend:
      • ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal die Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt; und
      • ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt,
    • wobei
    • die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied in einem Ansteuerzustand aufweist dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird, und
    • wenn das ausfallsichere Signal von dem ausfallsicheren Mittel (34) ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist, ungeachtet des Betriebs der Steuereinheit (20).
  • Gemäß dieser elektronischen Steuervorrichtung kann die Steuereinheit mittels des Rücksetzsignals, welches von dem Rücksetzmittel als Antwort auf eine temporäre Abnormalität in der Steuereinheit ausgegeben wird, zu Normal zurückgebracht werden.
  • Das Normalitätssignal wird als das Überwachungssignal von dem Überwachungssignalerzeugungsmittel ausgegeben, während das ausfallsichere Signal ausgegeben wird. Wegen diesem wird die Ausgabe des Rücksetzsignals gestoppt. Folglich ist das Auftreten einer Situation, in welcher das Rücksetzsignal während der Ausgabe des ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Das heißt, ein ausfallsicherer Vorgang kann als Antwort auf eine permanente Abnormalität in der Steuereinheit ausgeführt werden.
  • Die obigen und andere Ziele, Merkmale und Vorteile der vorliegenden Erfindung werden von der folgenden detaillierten Beschreibung, welche mit Bezug auf die begleitenden Zeichnungen gemacht wird, deutlicher werden. In den Zeichnungen ist
    • 1 eine Darstellung, welche eine schematische Anordnung einer elektronischen Steuervorrichtung gemäß einem ersten Ausführungsbeispiel zeigt;
    • 2 eine Darstellung, welche schematische Anordnungen eines Mikrocomputers und eines Überwachungs-IC der in 1 gezeigten elektronischen Steuervorrichtung zeigt;
    • 3 ein Flussdiagramm, welches einen Vorgang einer Überwachungssignalerzeugungseinheit zeigt;
    • 4 ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt;
    • 5 eine Darstellung, welche ein erstes Modifikationsbeispiel zeigt;
    • 6 eine Darstellung, welche schematische Anordnungen eines Mikrocomputers und eines Überwachungs-IC einer elektronischen Steuervorrichtung gemäß einem zweiten Ausführungsbeispiel zeigt;
    • 7 ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt;
    • 8 eine Darstellung, welche eine schematische Anordnung eines elektronischen Steuersystems, welches eine elektronische Steuervorrichtung gemäß einem dritten Ausführungsbeispiel aufweist, zeigt;
    • 9 ein Flussdiagramm, welches einen Vorgang einer Überwachungssignalerzeugungseinheit zeigt;
    • 10 eine Darstellung, welche eine schematische Anordnung eines elektronischen Steuersystems zeigt, welches eine elektronische Steuervorrichtung gemäß einem vierten Ausführungsbeispiel aufweist;
    • 11 eine Darstellung, welche eine schematische Anordnung eines elektronischen Steuersystems, welches eine elektronische Steuervorrichtung gemäß einem fünften Ausführungsbeispiel aufweist, zeigt;
    • 12 ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt;
    • 13 eine Darstellung, welche ein zweites Modifikationsbeispiel zeigt;
    • 14 eine Darstellung, welche schematische Anordnungen eines Mikrocomputers und eines Überwachungs-IC einer existierenden elektronischen Steuervorrichtung zeigt;
    • 15 ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt;
    • 16 eine Darstellung, welche eine Anordnung zeigt, in welcher eine Rücksetzfunktion zu dem Überwachungs-IC, welcher in 14 gezeigt ist, hinzugefügt ist; und
    • 17 ein Ablaufdiagramm, welches ein Beispiel eines Betriebs zeigt, wenn eine Abnormalität in dem Mikrocomputer auftritt.
  • Nachstehend werden basierend auf den Zeichnungen Ausführungsbeispiele beschrieben werden. In den Ausführungsbeispielen werden die gleichen Bezugszeichen verwendet, um auf die gleichen oder ähnliche Elemente Bezug zu nehmen.
  • (Erstes Ausführungsbeispiel)
  • Zuerst wird unter Verwendung von 1 eine schematische Anordnung einer elektronischen Steuervorrichtung gemäß diesem Ausführungsbeispiel beschrieben werden.
  • Eine elektronische Steuervorrichtung 10, wie sie in 1 gezeigt ist, ist als eine elektronische Antriebsmotorsteuereinheit (ECU - elektronische Steuereinheit) eines Fahrzeugs konfiguriert. Die elektronische Steuervorrichtung 10 weist einen Mikrocomputer 20 und einen Überwachungs-IC 21 auf. Der Mikrocomputer 20 fungiert als eine Steuereinheit, welche die Ansteuerung einer Last steuert. Der Überwachungs-IC 21 fungiert als eine Überwachungseinheit, welche überwacht, ob der Mikrocomputer 20 normal arbeitet oder nicht. Der Mikrocomputer 20 steuert die Ansteuerung eines Injektors 11, einer Zündkerze 12 und eines Motors 15 zum Öffnen und Schließen einer Drosselklappe 14 einer elektronischen Drossel 13. Das heißt, der Injektor 11, die Zündkerze 12 und der Motor 15 entsprechen Lasten. Weiter weist die elektronische Steuervorrichtung 10 einen elektronischen Drosselsteuerungs(ETC)-Treiber 22 zum Ansteuern des Motors 15 auf.
  • Der Injektor 11 weist ein elektromagnetisch angesteuertes Ventil auf, welches Treibstoff mittels Injektion zur Verfügung stellt, und ist in der Peripherie des Einlasskanals eines jeden Zylinders eines Ansaugkrümmers (nicht dargestellt) angeordnet. Die Energiespeisung einer Magnetspule ersetzt ein Nadelventil und spritzt Treibstoff ein. Die Zündkerze 12 ist in jedem Zylinder eines Motorzylinderkopfes (nicht gezeigt) angebracht. Eine hohe Spannung wird zu einem Zielzündzeitpunkt mittels einer Zündvorrichtung, welche eine Zündspule und ähnliches aufweist, an die Zündkerze 12 angelegt. Bedingt durch das Anlegen der hohen Spannung erfolgt eine Funkenentladung zwischen gegenüberliegenden Elektroden jeder Zündkerze 12, wodurch eine in eine Verbrennungskammer geleitete Mischung aus Luft und Treibstoff entzündet und verbrannt wird. Die Drosselklappe 14 dient dem Öffnen und Schließen des Einlasspfades eines Ansaugrohrs, um die Luftmenge zu regulieren, welche in jeden Zylinder des Antriebsmotors geleitet wird. Die Öffnung der Drosselklappe 14 wird von dem Motor 15 eingestellt.
  • Wenn die Energiespeisung des Motors 15 gestoppt wird, ist die Drosselklappe 14 in eine geschlossene Position gebracht. In der geschlossenen Position schließt die Drosselklappe 14 den Einlasspfad eher in einem solchen Ausmaß, dass ein leichter Luftstrom erlaubt ist, als den Einlasspfad komplett zu schließen. Diese geschlossene Position kann die gleiche sein wie bei Nichtbetätigung des Gaspedals bei einer existierenden mechanischen Drossel. Insbesondere, wenn das Gaspedal bei der existierenden mechanischen Drossel nicht betätigt wird, ist die Luftmenge, welche der Antriebsmotorverbrennung zur Verfügung gestellt werden kann, minimal.
  • Der Mikrocomputer 20 weist eine CPU, einen ROM, einen RAM, ein Register, einen Ein-/Ausgabe(E/A)-Kanal und ähnliches auf. Die CPU führt Signalverarbeitung gemäß einem in dem ROM vorgespeicherten Steuerprogramm, verschiedenen Arten von über einen Bus erhaltenen Daten und ähnlichem durch, während sie temporäre Speicherfunktion des RAMs oder des Registers nutzt. Die CPU gibt ein durch die Signalverarbeitung erhaltenes Signal an den Bus aus. Auf diese Weise führt der Mikrocomputer verschiedene Arten von Funktionen aus.
  • In diesem Ausführungsbeispiel steuert der Mikrocomputer 20 die Treibstoffmenge, die von dem Injektor 11 injiziert wird, die Terminierung der Zündung der Zündkerze 12, die Drosselöffnung der Drosselklappe 14 und ähnliches basierend auf dem Zündungssignal, der Antriebsmotordrehgeschwindigkeit, der Antriebsmotorkühlmitteltemperatur, des Ansaugdrucks, des Luft-Treibstoff-Verhältnisses, der Gaspedalstellung und ähnlichem. Das heißt, der Mikrocomputer 20 gibt jeweils an den Injektor 11, die Zündkerze 12 und den ETC-Treiber 22, welcher den Motor 15 ansteuert, ein Steuersignal aus.
  • Der Mikrocomputer 20 ist fähig, Daten mit dem Überwachungs-IC 21 auszutauschen, und überträgt ein vorbestimmtes Überwachungssignal zu einem voreingestellten Zeitpunkt an den Überwachungs-IC 21. Der Überwachungs-IC 21 empfängt das Überwachungssignal und überwacht, ob der Mikrocomputer 20 normal ist oder nicht, basierend auf dem empfangenen Überwachungssignal. Ferner, wenn der Überwachungs-IC 21 ermittelt, dass der Mikrocomputer 20 abnormal ist, gibt der Überwachungs-IC 21 ein ausfallsicheres Signal an den ETC-Treiber 22 aus. In diesem Ausführungsbeispiel gibt der Überwachungs-IC 21 auch ein ausfallsicheres Signal an Mikrocomputer 20. Weiterhin gibt der Überwachungs-IC 21 ein Rücksetzsignal an den Mikrocomputer 20 aus. Der Mikrocomputer 20 ist zurückgesetzt, während das Rücksetzsignal von dem Überwachungs-IC 21 ausgegeben wird.
  • Eine Abnormalität des Mikrocomputers 20 bezieht sich nicht nur auf einen Fall, in welchem der Mikrocomputer 20 selbst abnormal ist, sondern umfasst auch einen Fall eines Zustands, in welchem als ein Resultat einer Abnormalität in den verschiedenen Arten von erhaltenen Daten (das heißt, den verschiedenen Arten von Sensoren und ähnlichem) eine Last nicht normal gesteuert werden kann, selbst wenn der Mikrocomputer 20 normal ist.
  • Der ETC-Treiber 22 gibt gemäß einem Steuersignal von dem Mikrocomputer 20 ein Drosselansteuersignal an den Motor 15 aus und steuert den Motor 15 an, indem er eine Energiespeisung des Motors 15 durchführt. Auf diese Weise öffnet sich die Drosselklappe 14 bis zu einer vorbestimmten Öffnung.
  • Wenn ein ausfallsicheres Signal von dem Überwachungs-IC 21 eingegeben wird, gibt der ETC-Treiber 22 ein Drosselstoppsignal an den Motor 15 aus. Das heißt, Energiespeisung des Motors 15 wird gestoppt. Deswegen stoppt die Motorsteuerung und die Drosselklappe 14 nimmt die geschlossene Position ein. Indessen, wenn die Ausgabe des ausfallsicheren Signals von dem Überwachungs-IC 21 gestoppt wird, gibt der ETC-Treiber 22 ein Drosselansteuersignal gemäß einem Steuersignal des Mikrocomputers 20 aus und führt eine Energiespeisung des Motors 15 durch.
  • Als Nächstes werden der Mikrocomputer 20 und der Überwachungs-IC 21 basierend auf den 2 und 3 beschrieben werden.
  • Der Mikrocomputer 20 hat Funktionen für funktionelle Sicherheit. Wie in 2 gezeigt, hat der Mikrocomputer 20 eine erste Abnormalitätsdetektoreinheit 30, eine Überwachungssignalerzeugungseinheit 31 und eine Ermittlungseinheit 32. Die erste Abnormalitätsdetektoreinheit 30 detektiert, ob der Betrieb des Mikrocomputers 20 selbst angemessen ist oder nicht, das heißt, sie detektiert eine Abnormalität in dem Mikrocomputer 20 selbst. Die Überwachungssignalerzeugungseinheit 31 erzeugt ein Überwachungssignal und gibt das Überwachungssignal an den Überwachungs-IC 21 aus. Die Ermittlungseinheit 32 ermittelt, ob ein ausfallsicheres Signal ausgegeben wird oder nicht. Die erste Abnormalitätsdetektoreinheit 30 entspricht einem ersten Abnormalitätsdetektionsmittel, während die Überwachungssignalerzeugungseinheit 31 einem Überwachungssignalerzeugungsmittel entspricht. Die Ermittlungseinheit 32 entspricht einem Ermittlungsmittel.
  • Die erste Abnormalitätsdetektoreinheit 30 hat eine Sicherheitsfunktion (zum Beispiel einen doppelten Lock-Step), welche den Betrieb eines Prozessorkerns überwacht, eines Fehlerkorrektorcode(ECC)-Schaltkreises, welcher zu dem RAM oder ähnlichem hinzugefügt ist, eines eingebauten Selbsttest(BEST)-Schaltkreises, welcher Selbstdiagnose ausführt, und ähnlichem überwacht. Die erste Abnormalitätsdetektoreinheit 30 ermittelt, ob der Betrieb des Mikrocomputers 20 angemessen ist oder nicht. Das heißt, die erste Abnormalitätsdetektoreinheit 30 detektiert den Betriebszustand des Mikrocomputers 20. Die erste Abnormalitätsdetektoreinheit 30 detektiert, ob der Mikrocomputer 20 normal arbeitet oder nicht. Ferner gibt die erste Abnormalitätsdetektoreinheit 30 ein Detektionssignal, welches ein Detektionsergebnis (Ermittlungsergebnis) indiziert, an die Überwachungssignalerzeugungseinheit 31 aus.
  • Die Überwachungssignalerzeugungseinheit 31 erzeugt basierend auf dem Detektionssignal von der ersten Abnormalitätsdetektoreinheit 30 ein Überwachungssignal für den Überwachungs-IC 21, um die Angemessenheit des Betriebs des Mikrocomputers 20 zu überwachen. Zum Beispiel wird als das Überwachungssignal ein vorbestimmtes Authentizitätsmuster oder ein Watchdog-Löschsignal erzeugt. Ferner gibt die Überwachungssignalerzeugungseinheit 31 das erzeugte Überwachungssignal an den Überwachungs-IC 21 aus.
  • Wenn das Authentizitätsmuster verwendet wird, werden unterschiedliche Authentizitätsmuster in Abhängigkeit davon erzeugt, ob der Betrieb des Mikrocomputers 20 angemessen (normal) oder ob der Betrieb des Mikrocomputers 20 unangemessen (abnormal) ist. Wenn das Watchdog-Löschsignal verwendet wird, wird das Watchdog-Löschsignal in einem vorbestimmten Zyklus erzeugt, wenn der Betrieb des Mikrocomputers 20 normal ist, während die Erzeugung des Watchdog-Löschsignals gestoppt wird und ein Signal zum Beispiel auf einem L-Level ausgegeben wird, wenn der Betrieb des Mikrocomputers 20 abnormal ist. Auf diese Weise gibt die Überwachungssignalerzeugungseinheit 31 ein Überwachungssignal aus, welches indiziert, dass der Betrieb des Mikrocomputers 20 normal ist, wenn der Betrieb normal ist, und sie gibt ein Überwachungssignal aus, welches indiziert, dass der Betrieb des Mikrocomputers 20 abnormal ist, wenn der Betrieb abnormal ist.
  • Ein Ausgangssignal von einer ausfallsicheren Einheit 41 des Überwachungs-IC 21 wird in die Ermittlungseinheit 32 eingegeben. Die Ermittlungseinheit 32 ermittelt, ob das Ausgangssignal der ausfallsicheren Einheit 41 ein ausfallsicheres Signal ist oder nicht. Ferner gibt die Ermittlungseinheit 32 ein Ermittlungssignal an die Überwachungssignalerzeugungseinheit 31 aus, welches das Ergebnis der Ermittlung indiziert.
  • 3 ist ein Flussdiagramm, welches einen Vorgang der Überwachungssignalerzeugungseinheit 31 zum Erzeugen eines Überwachungssignals zeigt. Wenn die elektronische Steuervorrichtung 10 im eingeschalteten Zustand ist, wird der Vorgang zu voreingestellten Zeitpunkten wiederholt ausgeführt.
  • Zuerst ermittelt die Überwachungssignalerzeugungseinheit 31, ob das von der Ermittlungseinheit 32 eingegebene Ermittlungssignal ein Signal ist, welches indiziert, dass ein ausfallsicheres Signal ausgegeben wird oder nicht (Schritt S10). Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S10 ermittelt, dass das Signal dem ausfallsicheren Signal entspricht, schreitet die Überwachungssignalerzeugungseinheit 31 zu Schritt S11 fort. In Schritt S11 erzeugt die Überwachungssignalerzeugungseinheit 31 als ein Überwachungssignal ein Normalitätssignal, welches indiziert, dass der Mikrocomputer 20 normal ist, und gibt das Normalitätssignal an den Überwachungs-IC 21 aus und beendet die in 3 dargestellte Reihe von Vorgängen.
  • Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S10 ermittelt, dass das Signal ein Signal ist, welches indiziert, dass kein ausfallsicheres Signal ausgegeben wird, ermittelt die Überwachungssignalerzeugungseinheit 31 als Nächstes, ob ein von der ersten Abnormalitätsdetektoreinheit 30 eingegebenes Signal ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, oder nicht (Schritt S12). Ferner, wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S12 ermittelt, dass das Signal ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, führt die Überwachungssignalerzeugungseinheit 31 den Vorgang von Schritt S11 aus und beendet die Reihe der Vorgänge.
  • Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S12 ermittelt, dass das Signal nicht ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, erzeugt die Überwachungssignalerzeugungseinheit 31 als ein Überwachungssignal ein Abnormalitätssignal, welches indiziert, dass der Mikrocomputer 20 abnormal ist, und gibt das Abnormalitätssignal an den Überwachungs-IC 21 aus (Schritt S13) und beendet die Reihe der Vorgänge.
  • Der Überwachungs-IC 21 weist eine zweite Abnormalitätsdetektoreinheit 40 auf, die ausfallsichere Einheit 41 und eine Rücksetzeinheit 42 auf. Die zweite Abnormalitätsdetektoreinheit 40 entspricht einem zweiten Abnormalitätsdetektionsmittel, während die ausfallsichere Einheit 41 einem ausfallsicheren Mittel entspricht. Die Rücksetzeinheit 42 entspricht einem Rücksetzmittel.
  • Das Überwachungssignal wird von der Überwachungssignalerzeugungseinheit 31 in die zweite Abnormalitätsdetektoreinheit 40 eingegeben. Die zweite Abnormalitätsdetektoreinheit 40 ermittelt basierend auf dem Überwachungssignal, ob der Mikrocomputer normal ist oder nicht. Ferner, wenn die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass der Mikrocomputer 20 nicht normal ist, das heißt, wenn eine Abnormalität in dem Mikrocomputer 20 detektiert wird, gibt die zweite Abnormalitätsdetektoreinheit 40 ein Abnormalitätssignal aus. Wenn zum Beispiel die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass ein Authentizitätsmuster, welches als ein Überwachungssignal agiert, ein Muster ist, welches eine Abnormalität in dem Mikrocomputer 20 indiziert, gibt die zweite Abnormalitätsdetektoreinheit 40 ein H-Level-Signal als das Abnormalitätssignal aus. Indessen, wenn die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass das Authentizitätsmuster ein Muster ist, welches Normalität des Mikrocomputers 20 indiziert, gibt die zweite Abnormalitätsdetektoreinheit 40 ein L-Level-Signal statt eines Abnormalitätssignals aus.
  • Wenn ein Abnormalitätssignal eingegeben wird, erzeugt die ausfallsichere Einheit 41 ein ausfallsicheres Signal und gibt es aus, um zu veranlassen, dass zumindest eine der Lasten in einem voreingestellten Notlaufmodus gehalten wird. In diesem Ausführungsbeispiel wird das ausfallsichere Signal an den ETC-Treiber 22 ausgegeben, um zu veranlassen, dass von dem Injektor 11, der Zündkerze 12 und dem Motor 15 nur der Motor 15 in dem Notlaufmodus gehalten wird. Energiespeisung des Motors 15 wird durch das ausfallsichere Signal gestoppt und die Drosselklappe 14 nimmt die geschlossene Position ein. Ferner gibt die ausfallsichere Einheit 41 in diesem Ausführungsbeispiel das ausfallsichere Signal auch an die Ermittlungseinheit 32 des Mikrocomputers 20 aus.
  • Die ausfallsichere Einheit 41 beinhaltet einen Zähler 41a. Mit der Eingabe des Abnormalitätssignals als einen Trigger zählt der Zähler 41a in Einklang mit einer internen Uhr abwärts wie im Folgenden beschrieben. Ferner, wenn der Zählwert Null erreicht, gibt der Zähler 41a ein H-Level-Signal als das ausfallsichere Signal aus. Die ausfallsichere Einheit 41 gibt ein L-Level-Signal aus, bis der Zählwert des Zählers 41a Null erreicht. Der Zählwert des Zählers 41a, das heißt das Ausgangssignal der ausfallsicheren Einheit 41, wird gehalten, während die elektronische Steuervorrichtung 10 sich in einem eingeschalteten Zustand befindet. Wenn der Fahrzeugzündschlüssel in die Ausschaltstellung gedreht ist und die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet ist, wird der Zählwert des Zählers 41a gelöscht. Folglich wird, wenn das ausfallsichere Signal ausgegeben wird, der Ausgangszustand des ausfallsicheren Signals gehalten, bis die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet wird.
  • Wenn das Abnormalitätssignal eingegeben wird, erzeugt die Rücksetzeinheit 42 ein Rücksetzsignal, um den Mikrocomputer 20 zurückzusetzen, und gibt das Rücksetzsignal an den Mikrocomputer 20 aus. In diesem Ausführungsbeispiel wird ein L-Level-Signal für eine bestimmte Zeit als das Rücksetzsignal ausgegeben. Der Mikrocomputer 20 wird durch das Rücksetzsignal zurückgesetzt und eine Steuerung der Last wird nicht durchgeführt, während das Rücksetzsignal ausgegeben wird. Das heißt, Treibstoffinjektion durch den Injektor 11 stoppt und Zündung durch die Zündkerze 12 stoppt. Energiespeisung des Motors 15 stoppt und die Drosselklappe 14 nimmt die geschlossene Position ein.
  • Die Rücksetzeinheit 42 weist einen Zähler 42a und ein NICHT-Gatter 42b auf. Mit dem Eingang des Abnormalitätssignals als einen Trigger zählt der Zähler 42a in Einklang mit einer internen Uhr abwärts. Ferner, wenn der Zählwert Null erreicht, gibt der Zähler 42a für eine bestimmte Zeit ein H-Level-Signal aus. Die Ausgabe des Zählers 42a wird durch das NICHT-Gatter 42b invertiert. Folglich, wenn das Ausgangssignal des Zählers 42a auf dem H-Level ist, gibt das NICHT-Gatter 42b ein L-Level-Signal aus. Auf diese Weise gibt die Rücksetzeinheit 42 ein L-Level-Signal als ein Rücksetzsignal aus. Die Rücksetzeinheit 42 gibt ein H-Level-Signal aus, bis der Zählwert des Zählers 42a Null erreicht.
  • Als Nächstes wird basierend auf der 4 eine Beschreibung eines Betriebs gegeben werden, wenn in dem Mikrocomputer 20 eine permanente Abnormalität auftritt. In 4 wird der Einfachheit halber eine Schraffur auf einen Zeitraum angewandt, in welchem die Ansteuerung des Motors 15 durch Zurücksetzen gestoppt ist.
  • Wie vorstehend beschrieben, ermittelt die zweite Abnormalitätsdetektoreinheit 40 des Überwachungs-IC 21, ob ein Überwachungssignal, welches von dem Mikrocomputer 20 eingeht, normal ist oder nicht. Wenn die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass der Mikrocomputer 20 normal ist, gibt die zweite Abnormalitätsdetektoreinheit 40 ein L-Level-Signal aus, welches indiziert, dass der Mikrocomputer 20 normal ist. Deswegen wird von der ausfallsicheren Einheit 41 ein L-Level-Signal ausgegeben, ohne dass der Zähler 41a der ausfallsicheren Einheit 41 eine Zählung startet. Das heißt, die Ausgabe des ausfallsicheren Signals wird gestoppt (ausgeschaltet).
  • Ferner wird ein L-Level-Signal von dem Zähler 42a der Rücksetzeinheit 42 ausgegeben, ohne dass der Zähler 42a eine Zählung beginnt. Das Signal wird von dem NICHT-Gatter 42b invertiert, wobei es ein H-Level-Signal wird. Das heißt, die Ausgabe des Rücksetzsignals wird gestoppt.
  • Auf diese Weise wird, wenn der Mikrocomputer 20 als normal ermittelt wird, ein L-Level-Signal in den ETC-Treiber 22 von der ausfallsicheren Einheit 41 eingegeben. Folglich gibt der ETC-Treiber 22 ein Drosselansteuersignal gemäß einem Steuersignal von dem Mikrocomputer 20 aus und speist den Motor 15 mit Energie. Der Injektor 11 und die Zündkerze 12 werden mittels eines Steuersignals von dem Mikrocomputer 20 gesteuert. Auf diese Weise wird das Fahrzeug normal gesteuert.
  • Ein L-Level-Signal wird von der ausfallsicheren Einheit 41 in die Ermittlungseinheit 32 des Mikrocomputers eingegeben. Das heißt, ein Signal, welches kein ausfallsicheres Signal ist, wird eingegeben. Deswegen erzeugt die Überwachungssignalerzeugungseinheit 31 als Überwachungssignal ein Signal, welches im Einklang mit dem Ergebnis der Detektion durch die erste Abnormalitätsdetektoreinheit 30 ist, und gibt es aus.
  • Indessen, wenn die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass das von dem Mikrocomputer 20 eingehende Überwachungssignal nicht normal ist, und ein Abnormalitätssignal (H-Level-Signal) ausgibt, startet der Zähler 41a der ausfallsicheren Einheit 41 eine Zählung, wobei er in Einklang mit der internen Uhr von einem eine Abnormalität definierenden Grenzwert abwärts zählt. Ferner, wenn der Zählwert Null erreicht, wird ein H-Level-Signal von der ausfallsicheren Einheit 41 ausgegeben. Das heißt, das ausfallsichere Signal wird ausgegeben (eingeschaltet).
  • Der Zähler 42a der Rücksetzeinheit 42 startet mit dem Abnormalitätssignal als einen Trigger eine Zählung, wobei er in Einklang mit der internen Uhr von einem Rücksetzgrenzwert abwärts zählt. Ferner, wenn der Zählwert Null erreicht, wird für eine bestimmte Zeit ein H-Level-Signal ausgegeben. Das Signal wird von dem NICHT-Gatter 42b invertiert und wird ein L-Level-Signal.
  • Hierbei ist der ausfallsichere Vorgang ein Vorgang, welcher auf eine permanente Abnormalität in dem Mikrocomputer 20 antwortet, während der Rücksetzvorgang ein Vorgang ist, welcher auf eine temporäre Abnormalität in dem Mikrocomputer 20 antwortet. Folglich ist, selbst mit dem gleichen Abnormalitätssignal als einem Trigger, die Zeit, welche benötigt wird, um ein Rücksetzsignal zu erzeugen, kürzer als die Zeit, welche benötigt wird, um ein ausfallsicheres Signal zu erzeugen. Das heißt, in diesem Ausführungsbeispiel wird ein größerer Wert für den eine Abnormalität definierenden Grenzwert eingestellt als der für den Rücksetzgrenzwert.
  • Nachdem ein Abnormalitätssignal ausgegeben wird, erreicht folglich der Wert des Zählers 42a Null, bevor der Wert des Zählers 41a Null erreicht. Deswegen wird der Mikrocomputer 20 zurückgesetzt. Da zu diesem Zeitpunkt kein Steuersignal von dem Mikrocomputer 20 an den ETC-Treiber 22 ausgegeben wird, ist das von dem ETC-Treiber 22 ausgegebene Drosselansteuersignal ein Ansteuerstoppsignal, welches die Energiespeisung des Motors 15 stoppt. Deswegen nimmt die Drosselklappe 14 eine geschlossene Position ein.
  • Der Zählwert des Zählers 42a wird nach dem Verstreichen einer bestimmten Zeit gelöscht und der Rücksetzgrenzwert wird eingestellt. Diesbezüglich wird, wie in 4 dargestellt, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt, ein Abnormalitätssignal kontinuierlich ausgegeben, weswegen der Zähler 42a wieder anfängt, abwärts zu zählen. In diesem Ausführungsbeispiel erreicht der Wert des Zählers 41a Null auf halbem Wege durch das zweite Rückwärtszählen des Zählers 42a.
  • Der ETC-Treiber 22 gibt ein Drosselansteuersignal gemäß einem Steuersignal von dem Mikrocomputer 20 aus und speist den Motor 15 mit Energie, bis ein ausfallsicheres Signal von der ausfallsicheren Einheit 41 ausgegeben wird. Die Überwachungssignalerzeugungseinheit 31 erzeugt als ein Überwachungssignal ein Signal, welches in Einklang mit dem Ergebnis der Detektion durch die erste Abnormalitätsdetektoreinheit 30 ist, und gibt es aus.
  • Wenn der Zählwert des Zählers 41a Null erreicht, wird ein H-Level-Signal als ein ausfallsicheres Signal von der ausfallsicheren Einheit 41 ausgegeben. Dann ermittelt die Ermittlungseinheit 32, dass das Ausgangssignal von der ausfallsicheren Einheit 41 ein ausfallsicheres Signal ist, und ein Normalitätssignal wird als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben. Deswegen ermittelt die zweite Abnormalitätsdetektoreinheit 40, dass der Mikrocomputer 20 normal ist und gibt ein L-Level-Signal aus. Folglich schaltet das Signal, welches in die Rücksetzeinheit 42 eingegeben wird, von einem Abnormalitätssignal auf ein L-Level-Signal, welches einen normalen Zustand indiziert, und die Zählung des Zählers 42a stoppt. Selbst wenn das Ausgangssignal der zweiten Abnormalitätsdetektoreinheit 40 von einem Abnormalitätssignal (H-Level) auf ein einen normalen Zustand indizierendes L-Level-Signal schaltet, wird das ausfallsichere Signal gehalten, bis die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet ist. Folglich wird die Ausgabe des Rücksetzsignals gestoppt, während das ausfallsichere Signal von der ausfallsicheren Einheit 41 ausgegeben wird.
  • Wenn das ausfallsichere Signal von der ausfallsicheren Einheit 41 ausgegeben wird, gibt der ETC-Treiber 22 ein Drosselstoppsignal an den Motor 15 aus. Das heißt, Energiespeisung des Motors 15 stoppt. Deswegen stoppt die Steuerung des Motors und die Drosselklappe 14 nimmt die geschlossene Position ein. Obwohl das ausfallsichere Signal ausgegeben wird, werden der Injektor 11 und die Zündkerze 12 durch ein Steuersignal von dem Mikrocomputer 20 gesteuert, weswegen das Fahrzeug in einen Niedriggeschwindigkeitsnotlaufmodus schaltet. Auf diese Weise wird das Fahrzeug in einem Notlaufmodus gesteuert.
  • Als Nächstes werden Vorteile der elektronischen Steuervorrichtung 10 gemäß dieses Ausführungsbeispiels beschrieben werden.
  • Gemäß diesem Ausführungsbeispiel weist der Überwachungs-IC 21 die Rücksetzeinheit 42 auf. Folglich kann der Mikrocomputer 20 als Antwort auf eine temporäre Abnormalität in dem Mikrocomputer 20 durch ein von der Rücksetzeinheit 42 ausgegebenes Rücksetzsignal zu Normal zurückgebracht werden.
  • Ferner weist der Mikrocomputer 20 die Ermittlungseinheit 32 auf, von welcher ein Ermittlungssignal in die Überwachungssignalerzeugungseinheit 31 eingegeben wird. Ferner wird ein Normalitätssignal als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben, während ein ausfallsicheres Signal ausgegeben wird. Deswegen wird die Ausgabe des Rücksetzsignals gestoppt. Folglich ist das Auftreten einer Situation, in welcher ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Deswegen kann der ausfallsichere Vorgang zuverlässig ausgeführt werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt.
  • Insbesondere wird in diesem Ausführungsbeispiel von dem Injektor 11, der Zündkerze 12 und dem Motor 15, welche von dem Mikrocomputer 20 gesteuert werden, nur der Motor 15 durch das ausfallsichere Signal veranlasst, in dem Notlaufmodus gehalten zu werden. Insbesondere wird eine Energiespeisung des Motors 15 gestoppt. Folglich werden, selbst wenn das ausfallsichere Signal ausgegeben wird, der Injektor 11 und die Zündkerze 12 von dem Mikrocomputer 20 gesteuert. Auf diese Weise wird von dem Injektor 11, der Zündkerze 12 und dem Motor 15, welche die Lasten sind, nur die Steuerung des Motors 15 gestoppt, wenn das ausfallsichere Signal ausgegeben wird, und das Fahrzeug schaltet in einen Zustand, in welchem es in einem Notlaufmodus gesteuert wird.
  • Indessen, wenn der Mikrocomputer 20 zurückgesetzt wird, wenn ein Rücksetzsignal ausgegeben wird, stoppt die Steuerung des Injektors 11, der Zündkerze 12 und des Motors 15. Wenn also ein Rücksetzsignal ausgegeben wird, stoppt die Steuerung von sowohl dem Injektor 11, der Zündkerze 12 als auch dem Motor 15, welche jeweils als die Last agieren, und das Fahrzeug schaltet in einen Zustand, in welchem Steuerung Fahrtstopp ist.
  • Auf diese Weise weist in diesem Ausführungsbeispiel zumindest eine von dem Mikrocomputer 20 gesteuerte Last einen Unterschied in dem Ansteuerzustand dazwischen auf, wenn ein ausfallsicheres Signal ausgegeben wird und wenn ein Rücksetzsignal ausgegeben wird. In anderen Worten unterscheidet sich ein Ansteuerungsmuster, welches von den Ansteuerzuständen aller Lasten, das heißt dem Ansteuerzustand sowohl des Injektors 11, der Zündkerze 12 als auch des Motors 15, gebildet wird, in Abhängigkeit davon, ob ein ausfallsicheres Signal ausgegeben wird oder ob ein Rücksetzsignal ausgegeben wird. Ferner unterscheidet sich der von den Ansteuerzuständen aller Lasten bestimmte Steuerzustand des Fahrzeugs in Abhängigkeit davon, ob ein ausfallsicheres Signal ausgegeben wird oder ob ein Rücksetzsignal ausgegeben wird. Jedoch, da kein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, kann das Fahrzeug einen Niedriggeschwindigkeitsnotlaufmodus ausführen. Das heißt, es kann verhindert werden, dass der Antriebsmotor einen abgewürgten Zustand einnimmt.
  • Ferner gibt in diesem Ausführungsbeispiel, um den vorbestimmten ausfallsicheren Vorgang als Antwort auf eine permanente Abnormalität in dem Mikrocomputer 20 auszuführen, die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal aus, wenn ein ausfallsicheres Signal ausgegeben wird. Folglich können die vorstehend beschriebenen Vorteile erreicht werden, ohne die Konfiguration des Überwachungs-IC 21 (Hardware) zu ändern.
  • In diesem Ausführungsbeispiel wird, wie vorstehend beschrieben, ein Ermittlungssignal von der Ermittlungseinheit 32 in die Überwachungssignalerzeugungseinheit 31 eingegeben. Ferner gibt, wenn ein Ermittlungssignal, welches indiziert, dass ein ausfallsicheres Signal ausgegeben wird, eingeht, die Überwachungssignalüberzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal aus. Diesbezüglich kann, wie in einem ersten in 5 gezeigten Modifikationsbeispiel, das Ermittlungssignal von der Ermittlungseinheit 32 in die erste Abnormalitätsdetektoreinheit 30 eingegeben werden. Wenn ein Ermittlungssignal, welches indiziert, dass ein ausfallsicheres Signal ausgegeben wird, eingegeben wird, kann die erste Abnormalitätsdetektoreinheit 30 ein Detektionssignal ausgeben, welches indiziert, dass der Betriebszustand des Mikrocomputers 20 normal ist. Auch in dieser Anordnung, gibt die Überwachungssignalerzeugungseinheit 31, wenn die Ermittlungseinheit 32 ermittelt, dass ein ausfallsicheres Signal ausgegeben wird, ein Normalitätssignal als ein Überwachungssignal aus ungeachtet des Betriebs des Mikrocomputers 20. Folglich können die gleichen Vorteile wie bei dem ersten Ausführungsbeispiel erreicht werden.
  • (Zweites Ausführungsbeispiel)
  • Für dieses Ausführungsbeispiel kann sich auf das vorhergehende Ausführungsbeispiel bezogen werden. Deswegen wird eine Beschreibung von Teilen, welche der in dem vorherigen Ausführungsbeispiel gezeigten elektronischen Steuervorrichtung 10 gemeinsam sind, weggelassen werden.
  • Eine elektronische Steuervorrichtung 10 gemäß diesem Ausführungsbeispiel wird basierend auf 6 beschrieben werden. 6 entspricht 2 und zeigt schematische Anordnungen eines Mikrocomputers 20 und eines Überwachungs-IC 21 der elektronischen Steuervorrichtung 10.
  • Wie in 6 dargestellt, weist der Mikrocomputer 20 weiter eine Einstellsignalerzeugungseinheit 33 zusätzlich zu der ersten Abnormalitätsdetektoreinheit 30, der Überwachungssignalerzeugungseinheit 31 und der Ermittlungseinheit 32 auf. Der Überwachungs-IC 21 weist ferner eine Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 und ein UND-Gatter 44 zusätzlich zu der zweiten Abnormalitätsdetektoreinheit 40, der ausfallsicheren Einheit 41 und der Rücksetzeinheit 42 auf. Die Einstellsignalerzeugungseinheit 33 entspricht einem Einstellsignalerzeugungsmittel, während die zweite Abnormalitätsdetektoreinheit 40 einem Abnormalitätsdetektionsmittel entspricht. Die Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 und das UND-Gatter 44 entsprechen einem Einstellmittel.
  • In der gleichen Weise wie bei dem ersten Ausführungsbeispiel wird ein Ausgangssignal von der ausfallsicheren Einheit 41 in die Ermittlungseinheit 32 des Mikrocomputers 20 eingegeben. Die Ermittlungseinheit 32 ermittelt, ob das Ausgangssignal von der ausfallsicheren Einheit 41 ein ausfallsicheres Signal ist oder nicht, und gibt ein Ermittlungssignal, welches das Ergebnis der Ermittlung indiziert, an die Einstellsignalerzeugungseinheit 33 anstatt an die Überwachungssignalerzeugungseinheit 31 aus.
  • Basierend auf dem Ermittlungssignal der Ermittlungseinheit 32 erzeugt die Einstellsignalerzeugungseinheit 33 ein Einstellsignal zum Einstellen der Aktivierung oder Deaktivierung der Überwachungsfunktion des Überwachungs-IC 21 und gibt das Einstellsignal an den Überwachungs-IC 21 aus. Die Einstellsignalerzeugungseinheit 33 gibt zum Beispiel ein H-Level-Signal als das Einstellsignal aus, wenn die Überwachungsfunktion aktiviert werden soll, und gibt ein L-Level-Signal als das Einstellsignal aus, wenn die Überwachungsfunktion deaktiviert werden soll. Nachstehend wird ein H-Level-Signal zum Aktivieren der Überwachungsfunktion ein Aktivierungssignal genannt werden, während ein L-Level-Signal zum Deaktivieren der Überwachungsfunktion ein Deaktivierungssignal genannt werden wird.
  • Die Einstellsignalerzeugungseinheit 33 gibt ein Aktivierungssignal als einen Anfangswert aus, wenn die Energieversorgung für die elektronische Steuervorrichtung 10 eingeschaltet wird. Ferner gibt die Einstellsignalerzeugungseinheit 33 das Aktivierungssignal aus, bis die Ermittlungseinheit 32 ermittelt, dass ein ausfallsicheres Signal ausgegeben wird. Weiter gibt die Einstellsignalerzeugungseinheit 33, wenn es ermittelt wird, dass ein ausfallsicheres Signal ausgegeben wird, ein Deaktivierungssignal aus. Das heißt, die Einstellsignalerzeugungseinheit 33 gibt ein Deaktivierungssignal als das Einstellsignal nur aus, während ein ausfallsicheres Signal von der ausfallsicheren Einheit 41 ausgegeben wird, und gibt ein Aktivierungssignal als das Einstellsignal zu anderen Zeiten aus.
  • Die Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 ist zum Beispiel ein Register und stellt basierend auf dem eingehenden Einstellsignal ein Aktivieren und Deaktivieren der Funktion des Überwachungs-IC 21 des Überwachens des Mikrocomputers 20 ein. Das Einstellsignal wird in die Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 geschrieben, wodurch ein Aktivieren und Deaktivieren der Überwachungsfunktion eingestellt wird. Die Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 gibt ein H-Level-Signal (das heißt, 1) aus, wenn sie die Überwachungsfunktion aktiviert, und gibt ein L-Level-Signal (das heißt, 0) aus, wenn es die Überwachungsfunktion deaktiviert.
  • An die ausfallsichere Einheit 41 und die Rücksetzeinheit 42 gibt das UND-Gatter 44 ein Signal gemäß einem von der zweiten Abnormalitätsdetektoreinheit 40 eingehenden Signal und einem von der Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 eingehenden Signal aus. Ein H-Level-Signal wird von der Überwachungsaktivierungs-/Deaktivierungseinstelleinheit für einen Zeitraum eingegeben, in welchem kein ausfallsicheres Signal ausgegeben wird. Folglich schaltet, wenn ein Abnormalitätssignal (H-Level) von der zweiten Abnormalitätsdetektoreinheit 40 eingegeben wird, das Ausgangssignal des UND-Gatters 44 auf den H-Level. Indessen, wenn ein L-Level-Signal von der Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 eingegeben wird, während ein ausfallsicheres Signal ausgegeben wird, schaltet das Ausgangssignal des UND-Gatters 44 auf den L-Level.
  • Als Nächstes wird basierend auf 7 eine Beschreibung eines Betriebs gegeben werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt. In 7 wird der Einfachheit halber eine Schraffur auf einen Zeitraum angewandt, für welchen die Ansteuerung des Motors 15 durch Zurücksetzen gestoppt ist.
  • Wie in 7 gezeigt, wird ein Aktivierungssignal (H-Level-Signal) als ein Einstellsignal ausgegeben, bis die Energieversorgung für die elektronische Steuervorrichtung 10 eingeschaltet ist und ein ausfallsicheres Signal ausgegeben wird. Deswegen überwacht der Überwachungs-IC 21 den Mikrocomputer 20. Wenn ein Abnormalitätssignal von der zweiten Abnormalitätsdetektoreinheit 40 ausgegeben wird, zählen die Zähler 41a und 42a abwärts. Die Überwachungssignalerzeugungseinheit 31 erzeugt ein Überwachungssignal basierend nur auf dem Ergebnis einer Detektion durch die erste Abnormalitätsdetektoreinheit 30 ungeachtet des Ergebnisses einer Ermittlung durch die Ermittlungseinheit 32 und gibt das Überwachungssignal an den Überwachungs-IC 21 aus. Folglich ist der Betrieb im Wesentlichen der gleiche wie bei dem ersten Ausführungsbeispiel, bis ein ausfallsicheres Signal ausgegeben wird.
  • Wenn der Zählwert des Zählers 41a Null erreicht, wird ein H-Level-Signal als ein ausfallsicheres Signal von der ausfallsicheren Einheit 41 ausgegeben. Dann ermittelt die Ermittlungseinheit 32, dass das Ausgangssignal von der ausfallsicheren Einheit 41 ein ausfallsicheres Signal ist, und ein Deaktivierungssignal (L-Level-Signal) wird als ein Einstellsignal von der Einstellsignalerzeugungseinheit 33 ausgegeben. Deswegen gibt die Überwachungsaktivierungs-/Deaktivierungseinstelleinheit 43 ein L-Level-Signal aus, um die Überwachungsfunktion des Überwachungs-IC 21 zu deaktivieren, und das Ausgangssignal des UND-Gatters 44 schaltet auf den L-Level. Folglich schaltet das in die Rücksetzeinheit 42 eingehende Signal von einem Abnormalitätssignal (H-Level-Signal) auf ein L-Level-Signal, welches einen normalen Zustand indiziert, und die Zählung des Zählers 42a stoppt. Folglich wird die Ausgabe eines Rücksetzsignals gestoppt, während ein ausfallsicheres Signal von der ausfallsicheren Einheit 41 ausgegeben wird. Das ausfallsichere Signal wird gehalten, bis die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet wird.
  • Auch gemäß der elektronischen Steuervorrichtung 10 dieses Ausführungsbeispiels können die gleichen Vorteile wie mit dem ersten Ausführungsbeispiel erreicht werden.
  • Das heißt, da der Überwachungs-IC 21 die Rücksetzeinheit 42 aufweist, kann der Mikrocomputer 20 durch ein von der Rücksetzeinheit 42 als Antwort auf eine temporäre Abnormalität in dem Mikrocomputer 20 ausgegebenes Rücksetzsignal auf Normal zurückgebracht werden.
  • Außerdem wird, weil ein Deaktivierungssignal als ein Einstellsignal von der Einstellsignalerzeugungseinheit 33 ausgegeben wird, während ein ausfallsicheres Signal ausgegeben wird, die Ausgabe eines Rücksetzsignals gestoppt. Folglich wird das Auftreten einer Situation, in welcher ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Deswegen kann der ausfallsichere Vorgang zuverlässig ausgeführt werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt.
  • Außerdem kann, da kein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, das Fahrzeug einen Niedriggeschwindigkeitsnotlaufmodus ausführen. Das heißt, es kann verhindert werden, dass der Antriebsmotor einen abgewürgten Zustand einnimmt.
  • Außerdem gibt in diesem Ausführungsbeispiel die Einstellsignalerzeugungseinheit 33, um den vorbestimmten ausfallsicheren Vorgang als Antwort auf eine permanente Abnormalität in dem Mikrocomputer 20 auszuführen, ein Deaktivierungssignal als ein Einstellsignal aus, wenn ein ausfallsicheres Signal ausgegeben wird. Folglich können die vorstehend beschriebenen Vorteile erreicht werden, ohne die Konfiguration des Überwachungs-IC 21 (Hardware) zu ändern.
  • (Drittes Ausführungsbeispiel)
  • Für dieses Ausführungsbeispiel kann auf die vorstehenden Ausführungsbeispiele Bezug genommen werden. Deswegen wird eine Beschreibung von Teilen, welchen der in den vorherigen Ausführungsbeispielen gezeigten elektronischen Steuervorrichtung 10 gemeinsam sind, weggelassen werden.
  • Eine elektronische Steuervorrichtung 10 gemäß diesem Ausführungsbeispiel wird basierend auf 8 beschrieben werden. Ein elektronisches Steuersystem, welches die elektronische Steuervorrichtung 10 aufweist, ist in 8 dargestellt. Der Einfachheit halber sind von einem Mikrocomputer 20 gesteuerte Lasten, das heißt, ein Injektor 11, eine Zündkerze 12 und ein Motor 15 aus der 8 weggelassen. Ferner ist ein ETC-Treiber 22 von der Zeichnung weggelassen.
  • In der gleichen Weise wie bei dem ersten Ausführungsbeispiel weist die elektronische Steuervorrichtung 10 den Mikrocomputer 20, einen Überwachungs-IC 21 und den ETC-Treiber 22 (nicht gezeigt) auf. Wie in 8 gezeigt, weist die elektronische Steuervorrichtung 10 ferner einen Controller-Area-Network(CAN)-Treiber 23 und ein ODER-Gatter 24 auf. CAN ist eine registrierte Marke.
  • Die Ausgestaltungen des Mikrocomputers 20 und des Überwachungs-IC 21 sind im Wesentlichen die gleichen wie in dem ersten Ausführungsbeispiel (siehe 2). Unterschiede sind, dass in diesem Ausführungsbeispiel der Mikrocomputer 20 keine Ermittlungseinheit 32 hat, und dass eine ausfallsichere Einheit 41 ein ausfallsicheres Signal nicht an den Mikrocomputer 20 ausgibt. Obwohl weggelassen von der Zeichnung, weist der Überwachungs-IC 21 eine zweite Abnormalitätsdetektoreinheit 40, die ausfallsichere Einheit 41 und eine Rücksetzeinheit 42 auf.
  • Die elektronische Steuervorrichtung 10 und eine andere elektronische Steuervorrichtung 50 führen miteinander eine Kommunikation gemäß CAN-Protokoll über einen CAN-Bus aus. Die andere elektronische Steuervorrichtung 50 weist einen Mikrocomputer 51, einen CAN-Treiber 52 und ähnliches auf. Während eine Antriebsmotor-ECU als die elektronische Steuervorrichtung 10 agiert, kann eine Bremsen-ECU oder ähnliches als die andere elektronische Steuervorrichtung 50 eingesetzt werden. Nachstehend wird auf die andere elektronische Steuervorrichtung 50 einfach als die elektronische Steuervorrichtung 50 Bezug genommen.
  • Wie wohl bekannt ist, haben die CAN-Treiber 23 und 52 jeweils eine CAN-Steuerung und einen CAN-Sendeempfänger. Der Mikrocomputer 20 instruiert den CAN-Treiber 23, Kommunikationsdaten auf den CAN-Bus auszugeben, und erhält von einem anderen Knoten, wie beispielsweise der elektronischen Steuervorrichtung 50, auf den CAN-Bus ausgegebene Kommunikationsdaten über den CAN-Treiber 23. In der gleichen Weise instruiert der Mikrocomputer 51 den CAN-Treiber 52, Kommunikationsdaten auf den CAN-Bus auszugeben und erhält von einem anderen Knoten, wie beispielsweise der elektronischen Steuervorrichtung 10, auf den CAN-Bus ausgegebene Kommunikationsdaten über den CAN-Treiber 52.
  • Die elektronischen Steuervorrichtungen 10 und 15 überwachen gegenseitig Abnormalitäten. In diesem Ausführungsbeispiel wird ein bekanntes Verfahren zum Zählen von Kommunikationsunterbrechungen als ein Verfahren zur Abnormalitätsdetektion eingesetzt. Kommunikationsdaten werden von der elektronischen Steuervorrichtung 10 an die elektronische Steuervorrichtung 50 übertragen. Folglich kann die elektronische Steuervorrichtung 50 die Existenz der elektronischen Steuervorrichtung 10 detektieren und erzeugt einen Kommunikationsunterbrechungszähler, der sich auf die elektronische Steuervorrichtung 10 bezieht. Die Zählung des Kommunikationsunterbrechungszählers nimmt beispielsweise mit dem Verstreichen der Zeit zu und wird jedes Mal, wenn Kommunikationsdaten empfangen werden, initialisiert.
  • Wenn die elektronische Steuervorrichtung 10 Kommunikationsdaten an dem notwendigen Zeitpunkt vor dem Auftreten einer Abnormalität in dem Mikrocomputer 20 der elektronischen Steuervorrichtung 10 überträgt, überschreitet der Zählwert des Kommunikationsunterbrechungszählers der elektronischen Steuervorrichtung 50 einen vorbestimmten Grenzwert nicht. Das heißt, die elektronische Steuervorrichtung 50 detektiert keine Abnormalität in dem Mikrocomputer 20 (elektronische Steuervorrichtung 10). Indessen, wenn eine Abnormalität in dem Mikrocomputer 20 auftritt und die elektronische Steuervorrichtung 10 nicht länger Kommunikationsdaten übertragen kann, nimmt die Zählung des Kommunikationsunterbrechungszählers der elektronischen Steuervorrichtung 50 gleichmäßig zu, und an dem Zeitpunkt, an welchem die Zählung den Grenzwert überschreitet, detektiert die elektronische Steuervorrichtung 50 die Abnormalität in dem Mikrocomputer 20.
  • Wenn eine Abnormalität in dem Mikrocomputer 20 detektiert wird, erzeugt der Mikrocomputer 51 der elektronischen Steuervorrichtung 50 ein Rücksetzstoppsignal. Das Rücksetzstoppsignal wird von der elektronischen Steuervorrichtung 50 ausgegeben und in das ODER-Gatter 24 der elektronischen Steuervorrichtung 10 eingegeben.
  • Das Ausgangssignal eines Schalters 53 wird in das ODER-Gatter 24 eingegeben. Der Schalter 53 gibt, wenn er von einem Insassen (Benutzer) des Fahrzeugs betätigt wird, ein Rücksetzstoppsignal aus. Wenn ein Rücksetzstoppsignal in das ODER-Gatter 24 von zumindest der elektronischen Steuervorrichtung 50 oder dem Schalter 53 eingegeben wird, gibt das ODER-Gatter 24 ein H-Level-Signal als ein Rücksetzstoppsignal an die Überwachungssignalerzeugungseinheit 31 des Mikrocomputers 20 aus. Indessen, wenn kein Rücksetzstoppsignal von entweder der elektronischen Steuervorrichtung 50 oder dem Schalter 53 eingeht, gibt das ODER-Gatter 24 ein L-Level-Signal an die Überwachungssignalerzeugungseinheit 31 aus. Das heißt, die Ausgabe des Rücksetzstoppsignals wird gestoppt. Wie vorstehend beschrieben, weist das elektronische Steuersystem die elektronische Steuervorrichtungen 10 und 50 und den Schalter 53 auf.
  • 9 ist ein Flussdiagramm, welches einen Vorgang des Mikrocomputers 20 zur Erzeugung eines Überwachungssignals zeigt. Wenn sich die elektronische Steuervorrichtung 10 in dem eingeschalteten Zustand befindet, wird der Vorgang wiederholt zu voreingestellten Zeitpunkten ausgeführt.
  • Zuerst ermittelt die Überwachungssignalerzeugungseinheit 31, ob ein von dem ODER-Gatter 24 eingehendes Signal ein Signal ist, welches indiziert, dass ein Rücksetzstoppsignal ausgegeben wird, oder nicht (Schritt S20). Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S20 ermittelt, dass das Signal ein Signal ist, welches indiziert, dass ein Rücksetzstoppsignal ausgegeben wird, erzeugt die Überwachungssignalerzeugungseinheit 31 als Nächstes als ein Überwachungssignal ein Normalitätssignal, welches indiziert, dass der Mikrocomputer 20 normal ist, und gibt das Normalitätssignal an den Überwachungs-IC 21 aus (Schritt S21), und dann endet die Reihe von Vorgängen.
  • Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S20 ermittelt, dass das Signal ein Signal ist, welches indiziert, dass kein Rücksetzstoppsignal ausgegeben wird, ermittelt die Überwachungssignalerzeugungseinheit 31 als Nächstes, ob ein von der ersten Abnormalitätsdetektoreinheit 30 eingehendes Signal ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, oder nicht (Schritt S22). Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S22 ermittelt, dass das Signal ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, führt die Überwachungssignalerzeugungseinheit 31 den Vorgang von Schritt S21 aus und beendet die Reihe von Vorgängen.
  • Wenn die Überwachungssignalerzeugungseinheit 31 in Schritt S22 ermittelt, dass das Signal nicht ein Signal ist, welches einen normalen Betrieb des Mikrocomputers 20 indiziert, erzeugt die Überwachungssignalerzeugungseinheit 31 als ein Überwachungssignal ein Abnormalitätssignal, welches indiziert, dass der Mikrocomputer 20 abnormal ist, und gibt das Abnormalitätssignal an den Überwachungs-IC 21 (Schritt S23) aus und beendet die Reihe von Vorgängen.
  • Da ein Betrieb, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt, im Wesentlichen der gleiche ist wie beim ersten Ausführungsbeispiel (siehe 4), ist der Betrieb von den Zeichnungen weggelassen. Ein Unterschied ist, dass, wenn ein Rücksetzstoppsignal von dem ODER-Gatter 24 ausgegeben wird, ein Normalitätssignal als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben wird und die Ausgabe eines Rücksetzsignals entsprechend gestoppt wird.
  • Gemäß der elektronischen Steuervorrichtung 10 dieses Ausführungsbeispiels können die gleichen Vorteile wie bei dem ersten Ausführungsbeispiel erreicht werden.
  • Das heißt, da der Überwachungs-IC 21 die Rücksetzeinheit 42 aufweist, kann der Mikrocomputer 20 durch ein als Antwort auf eine temporäre Abnormalität in dem Mikrocomputer von der Rücksetzeinheit 42 ausgegebenes Rücksetzsignal zu Normal zurückgebracht werden.
  • Außerdem wird ein Normalitätssignal als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben, während ein Rücksetzstoppsignal von zumindest entweder der elektronischen Steuervorrichtung 50 oder dem Schalter 53 ausgegeben wird. In diesem Ausführungsbeispiel gibt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal aus, wenn ein Rücksetzstoppsignal von dem ODER-Gatter 24 eingeht. Ferner wird die Ausgabe eines Rücksetzsignals von der Rücksetzeinheit 24 gestoppt. Folglich wird das Auftreten einer Situation, in welcher ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Deswegen kann der ausfallsichere Vorgang zuverlässig ausgeführt werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt.
  • Außerdem, da kein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, kann das Fahrzeug einen Niedriggeschwindigkeitsnotlaufmodus ausführen. Das heißt, es kann verhindert werden, dass der Antriebsmotor einen abgewürgten Zustand einnimmt.
  • Ferner gibt in diesem Ausführungsbeispiel die Überwachungssignalerzeugungseinheit 31, um den vorbestimmten ausfallsicheren Vorgang als Antwort auf eine permanente Abnormalität in dem Mikrocomputer 20 auszuführen, ein Normalitätssignal als ein Überwachungssignal aus, wenn ein Rücksetzstoppsignal ausgegeben wird. Folglich können die vorstehend beschriebenen Vorteile ohne Änderung der Konfiguration des Überwachungs-IC 21 (Hardware) erzielt werden.
  • Sowohl die elektronische Steuervorrichtung 50 als auch der Schalter 53 sind als beispielhaftes externes Mittel, welches ein Rücksetzstoppsignal ausgibt, angegeben worden. Es kann jedoch eine Anordnung, welche nur die elektronische Steuervorrichtung 50 oder nur den Schalter 53 aufweist, angenommen werden. In diesem Fall ist das ODER-Gatter 24 unnötig. Wenn die elektronische Steuervorrichtung 50 als ein externes Mittel eingesetzt wird, kann ein Rücksetzstoppsignal ohne eine Betätigung durch den Insassen ausgegeben werden. Wenn der Schalter 53 als ein externes Mittel eingesetzt wird, kann ein Rücksetzstoppsignal ausgegeben werden, nachdem der Insasse ermittelt hat, dass sich der Motor in einem abgewürgten Zustand befindet.
  • In diesem Ausführungsbeispiel geht ein Rücksetzstoppsignal in die Überwachungssignalerzeugungseinheit 31 ein, und die Überwachungssignalerzeugungseinheit 31 gibt ein Normalitätssignal als ein Überwachungssignal aus. Alternativ kann ein Rücksetzstoppsignal in die erste Abnormalitätsdetektoreinheit 30 eingegeben werden, und die erste Abnormalitätsdetektoreinheit 30 kann ein Detektionssignal, welches indiziert, dass der Betriebszustand des Mikrocomputers 20 normal ist, ausgeben wie in dem ersten Modifikationsbeispiel (siehe 5).
  • Wenn ein Rücksetzstoppsignal ausgegeben wird, gibt die erste Abnormalitätsdetektoreinheit 30 ein Detektionssignal aus, welches indiziert, dass der Mikrocomputer 20 normal arbeitet, ungeachtet des Betriebszustandes des Mikrocomputers 20. Deswegen gibt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal ungeachtet des Betriebs des Mikrocomputers 20 aus. Folglich können die gleichen Vorteile wie mit den vorstehend beschriebenen Ausführungsbeispielen erzielt werden. Wenn das ODER-Gatter 24 vorhanden ist, wird ein Rücksetzstoppsignal von dem ODER-Gatter 24 in die Überwachungssignalerzeugungseinheit 31 eingegeben. Wenn das ODER-Gatter 24 nicht vorhanden ist, das heißt in dem Falle einer Anordnung, welche entweder nur die elektronische Steuervorrichtung 50 oder nur den Schalter 53 als ein externes Mittel aufweist, wird ein Rücksetzstoppsignal von dem externen Mittel in die Überwachungssignalerzeugungseinheit 31 eingegeben.
  • (Viertes Ausführungsbeispiel)
  • Für dieses Ausführungsbeispiel kann auf die vorherigen Ausführungsbeispiele Bezug genommen werden. Deswegen wird eine Beschreibung von Teilen, welche der in den vorherigen Ausführungsbeispielen gezeigten elektronischen Steuervorrichtung 10 gemeinsam sind, weggelassen werden.
  • Eine elektronische Steuervorrichtung 10 gemäß diesem Ausführungsbeispiel wird basierend auf 10 beschrieben werden. Ein elektronisches Steuersystem, welches die elektronische Steuervorrichtung 10 aufweist, ist in 10 in der gleichen Weise dargestellt wie in dem dritten Ausführungsbeispiel (siehe 8). Der Einfachheit halber sind Lasten, welche von einem Mikrocomputer 20 gesteuert werden, das heißt, ein Injektor 11, eine Zündkerze 12 und ein Motor 15, von 10 weggelassen. Ferner ist auch ein ETC-Treiber 22 von der Zeichnung weggelassen.
  • In der gleichen Weise wie in dem dritten Ausführungsbeispiel weist die elektronische Steuervorrichtung 10 den Mikrocomputer 20, einen Überwachungs-IC 21, einen ETC-Treiber 22 (nicht gezeigt), einen CAN-Treiber 23 und ein ODER-Gatter 24 auf. Die Konfigurationen des Mikrocomputers 20 und des Überwachungs-IC 21 sind im Wesentlichen die gleichen wie in dem zweiten Ausführungsbeispiel (siehe 6). Unterschiede sind, dass in diesem Ausführungsbeispiel der Mikrocomputer 20 keine Ermittlungseinheit 32 hat und eine ausfallsichere Einheit 41 ein ausfallsicheres Signal nicht auf die Seite des Mikrocomputers 20 ausgibt. Obwohl von der Zeichnung weggelassen, weist der Mikrocomputer 20 eine erste Abnormalitätsdetektoreinheit 30 und eine Überwachungssignalerzeugungseinheit 31 auf. Zusätzlich, obwohl von der Zeichnung weggelassen, weist der Überwachungs-IC 21 eine zweite Abnormalitätsdetektoreinheit 40, die ausfallsichere Einheit 41, eine Rücksetzeinheit 42 und ein UND-Gatter 44 auf.
  • Die elektronische Steuervorrichtung 10 und eine elektronische Steuervorrichtung 50 überwachen gegenseitig ihre Abnormalitäten. Auch in diesem Ausführungsbeispiel, in der gleichen Weise wie in dem dritten Ausführungsbeispiel, wird ein bekanntes Verfahren zum Zählen von Kommunikationsunterbrechungen als ein Verfahren zur Abnormalitätsdetektion eingesetzt. Wenn eine Abnormalität in dem Mikrocomputer 20 auftritt und die elektronische Steuervorrichtung 10 nicht länger Kommunikationsdaten übertragen kann, nimmt die Zählung eines Kommunikationsunterbrechungszählers der elektronischen Steuervorrichtung 50 gleichförmig zu und an dem Punkt, an welchem die Zählung einen Grenzwert überschreitet, detektiert die elektronische Steuervorrichtung 50 die Abnormalität in dem Mikrocomputer 20. Wenn eine Abnormalität in dem Mikrocomputer 20 detektiert wird, erzeugt ein Mikrocomputer 51 der elektronischen Steuervorrichtung 50 ein Rücksetzstoppsignal. Das Rücksetzstoppsignal wird von der elektronischen Steuereinheit 50 ausgegeben und in das ODER-Gatter 24 der elektronischen Steuervorrichtung 10 eingegeben.
  • Das Ausgangssignal eines Schalters 53 geht in das ODER-Gatter 24 in der gleichen Weise ein wie bei dem dritten Ausführungsbeispiel. Wenn ein Rücksetzstoppsignal in das ODER-Gatter 24 von zumindest entweder der elektronischen Steuervorrichtung 50 oder dem Schalter 53 eingeht, gibt das ODER-Gatter 24 ein H-Level-Signal als ein Rücksetzstoppsignal an die Einstellsignalerzeugungseinheit 33 des Mikrocomputers 20 aus. Indessen, wenn kein Rücksetzstoppsignal von entweder der elektronischen Steuervorrichtung 50 oder dem Schalter 53 eingeht, gibt das ODER-Gatter ein L-Level-Signal an die Einstellsignalerzeugungseinheit 33 aus. Das heißt, die Ausgabe des Rücksetzstoppsignals wird gestoppt.
  • Da ein Betrieb, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt, im Wesentlichen der gleiche ist wie bei dem zweiten Ausführungsbeispiel (siehe 6), ist der Betrieb von den Zeichnungen weggelassen. Ein Unterschied ist, dass, wenn ein Rücksetzstoppsignal von dem ODER-Gatter 24 ausgegeben wird, ein Deaktivierungssignal als ein Einstellsignal von der Einstellsignalerzeugungseinheit 33 ausgegeben wird, wodurch die Ausgabe eines Rücksetzsignals gestoppt wird.
  • Auch gemäß der elektronischen Steuervorrichtung 10 dieses Ausführungsbeispiels können die gleichen Vorteile wie mit dem zweiten Ausführungsbeispiel erzielt werden.
  • Das heißt, da der Überwachungs-IC 21 die Rücksetzeinheit 42 aufweist, kann der Mikrocomputer durch ein als Antwort auf eine temporäre Abnormalität in dem Mikrocomputer 20 von der Rücksetzeinheit 42 ausgegebenes Rücksetzsignal auf Normal zurückgebracht werden.
  • Ein Deaktivierungssignal wird als ein Einstellsignal von der Einstellsignalerzeugungseinheit 33 ausgegeben, während ein Rücksetzstoppsignal ausgegeben wird. Deswegen wird die Ausgabe eines Rücksetzsignals gestoppt. Folglich wird das Auftreten einer Situation, in welcher ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Deswegen kann der ausfallsichere Vorgang zuverlässig ausgeführt werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt.
  • Da kein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, kann das Fahrzeug einen Niedriggeschwindigkeitsnotlaufmodus ausführen. Das heißt, es kann verhindert werden, dass der Antriebsmotor einen abgewürgten Zustand einnimmt.
  • In diesem Ausführungsbeispiel gibt die Einstellsignalerzeugungseinheit 33, um den vorbestimmten ausfallsicheren Vorgang als Antwort auf eine permanente Abnormalität in dem Mikrocomputer 20 auszuführen, ein Deaktivierungssignal als ein Einstellsignal aus, wenn ein Rücksetzstoppsignal ausgegeben wird. Folglich können die vorstehend beschriebenen Vorteile ohne Änderung der Konfiguration des Überwachungs-IC 21 (Hardware) erzielt werden.
  • Als ein externes Mittel, welches ein Rücksetzstoppsignal ausgibt, sind die elektronische Steuervorrichtung 50 und der Schalter 53 in diesem Ausführungsbeispiel dargestellt, aber eine Anordnung, welche entweder nur die elektronische Steuervorrichtung 50 oder nur den Schalter 53 aufweist, kann angenommen werden. In diesem Fall ist das ODER-Gatter 24 unnötig und ein Rücksetzstoppsignal wird von dem externen Mittel in die Einstellsignalerzeugungseinheit 33 eingegeben.
  • (Fünftes Ausführungsbeispiel)
  • Für dieses Ausführungsbeispiel kann auf die vorherigen Ausführungsbeispiele Bezug genommen werden. Deswegen wird eine Beschreibung von Teilen, welche der in den vorherigen Ausführungsbeispielen gezeigten elektronischen Steuervorrichtung 10 gemeinsam sind, weggelassen werden.
  • Eine elektronische Steuervorrichtung 10 gemäß diesem Ausführungsbeispiel wird basierend auf 11 beschrieben werden. 11, welche 2 entspricht, zeigt schematische Anordnungen eines Mikrocomputers 20 und eines Überwachungs-IC 21 der elektronischen Steuervorrichtung 10.
  • Wie in 11 gezeigt, weist der Mikrocomputer 20 ferner eine ausfallsichere Einheit 34 zusätzlich zu einer ersten Abnormalitätsdetektoreinheit 30 und einer Überwachungssignalerzeugungseinheit 31 auf. Der Überwachungs-IC 21 weist eine zweite Abnormalitätsdetektoreinheit 40 und eine Rücksetzeinheit 42 auf. Die ausfallsichere Einheit 34 entspricht einem ausfallsicheren Mittel.
  • Ein Detektionssignal von der ersten Abnormalitätsdetektoreinheit 30 wird in die ausfallsichere Einheit 34 eingegeben. Basierend auf einem Detektionssignal, welches eine Abnormalität in dem Mikrocomputer 20 indiziert, erzeugt die ausfallsichere Einheit 34 ein ausfallsicheres Signal und gibt es aus, um zu veranlassen, dass zumindest eine der Lasten in einem voreingestellten Notlaufmodus gehalten wird. Auch in diesem Ausführungsbeispiel wird das ausfallsichere Signal an den ETC-Treiber 22 ausgegeben, um zu veranlassen, dass nur der Motor 15 in dem Notlaufmodus gehalten wird. Energiespeisung des Motors 15 wird durch das ausfallsichere Signal gestoppt, und eine Drosselklappe 15 nimmt eine geschlossene Position ein. Ferner gibt die ausfallsichere Einheit 34 das ausfallsichere Signal an die Überwachungssignalerzeugungseinheit 31 aus.
  • Die ausfallsichere Einheit 34 weist einen Zähler 34a auf. Mit dem Eingang eines Abnormalitätssignals als einen Trigger zählt der Zähler 34a in Einklang mit einer internen Uhr abwärts. Wenn der Zählwert Null erreicht, gibt der Zähler 34a ein H-Level-Signal als ein ausfallsicheres Signal aus. Die ausfallsichere Einheit 34 gibt ein L-Level-Signal aus, bis der Zählwert des Zählers 34a Null erreicht. Der Zählwert des Zählers 34a, das heißt das Ausgangssignal der ausfallsicheren Einheit 34, wird gehalten, während die elektronische Steuervorrichtung 10 sich in einem eingeschalteten Zustand befindet. Wenn der Fahrzeugzündschlüssel in die Abschaltposition gedreht wird und die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet wird, wird der Zählwert des Zählers 34a gelöscht. Folglich wird, wenn das ausfallsichere Signal ausgegeben wird, der Ausgangszustand des ausfallsicheren Signals gehalten, bis die Energieversorgung der elektronischen Steuervorrichtung 10 ausgestaltet wird.
  • In der gleichen Weise wie bei dem ersten Ausführungsbeispiel erzeugt die Überwachungssignalerzeugungseinheit 31 basierend auf einem Detektionssignal von der ersten Abnormalitätsdetektoreinheit 30 ein Überwachungssignal für den Überwachungs-IC 21, um die Angemessenheit des Betriebs des Mikrocomputers 20 zu überwachen. Die Überwachungssignalüberwachungseinheit 31 gibt ein Normalitätssignal als ein Überwachungssignal aus, wenn der Betrieb des Mikrocomputers 20 normal ist, und gibt ein Abnormalitätssignal als ein Überwachungssignal aus, wenn der Betrieb abnormal ist. Ein Ausgangssignal der ausfallsicheren Einheit 34 geht in die Überwachungssignalerzeugungseinheit 31 ein. Wenn das Ausgangssignal der ausfallsicheren Einheit 34 ein ausfallsicheres Signal ist, erzeugt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal ungeachtet des von der ersten Abnormalitätsdetektoreinheit 30 ausgegebenen Detektionssignals und gibt das Normalitätssignal an den Überwachungs-IC 21 aus.
  • Wenn kein ausfallsicheres Signal von der ausfallsicheren Einheit 34 ausgegeben wird, erzeugt die Überwachungssignalerzeugungseinheit 31 basierend auf dem von der ersten Abnormalitätsdetektoreinheit 30 ausgegebenen Detektionssignal ein Überwachungssignal und gibt das Überwachungssignal an den Überwachungs-IC 21 aus. Wenn zum Beispiel das Detektionssignal ein Signal ist, welches indiziert, dass der Betrieb des Mikrocomputers 20 normal ist, erzeugt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als Überwachungssignal und gibt es aus. Wenn das Detektionssignal ein Signal ist, welches indiziert, dass der Betrieb des Mikrocomputers 20 abnormal ist, erzeugt die Überwachungssignalerzeugungseinheit 31 ein Abnormalitätssignal als das Überwachungssignal und gibt es aus.
  • Auf die gleiche Weise wie bei dem ersten Ausführungsbeispiel wird das Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 in die zweite Abnormalitätsdetektoreinheit 40 eingegeben. Basierend auf dem Überwachungssignal ermittelt die zweite Abnormalitätsdetektoreinheit 40, ob der Mikrocomputer 20 normal ist oder nicht. Wenn die zweite Abnormalitätsdetektoreinheit 40 ermittelt, dass der Mikrocomputer 20 nicht normal ist, das heißt, wenn eine Abnormalität in dem Mikrocomputer 20 detektiert wird, gibt die zweite Abnormalitätsdetektoreinheit 40 ferner ein Abnormalitätssignal aus.
  • Auf die gleiche Weise wie bei dem ersten Ausführungsbeispiel, erzeugt die Rücksetzeinheit 42 ein Rücksetzsignal zum Zurücksetzen des Mikrocomputers 20, wenn ein Abnormalitätssignal eingeht, und gibt das Rücksetzsignal an den Mikrocomputer 20 aus.
  • Als Nächstes wird basierend auf 12 eine Beschreibung eines Betriebs gegeben werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt. In 12 wird der Einfachheit halber eine Schraffur auf einen Zeitraum angewandt, in welchem die Ansteuerung des Motors 15 durch Zurücksetzen gestoppt ist. Der in 12 gezeigte Betrieb ist im Wesentlichen der gleiche, wie der für das erste Ausführungsbeispiel gezeigte Betrieb (siehe 4). Ein Unterschied ist, dass zusätzlich zu der Anwesenheit der ausfallsicheren Einheit 41 in dem Überwachungs-IC 21, die ausfallsichere Einheit 34 in dem Mikrocomputer 20 vorhanden ist.
  • Wenn die erste Abnormalitätsdetektoreinheit 30 ein Signal ausgibt, welches eine Abnormalität in dem Mikrocomputer 20 indiziert, startet der Zähler 34a der ausfallsicheren Einheit 34 eine Zählung, wobei er in Einklang mit einer internen Uhr von einem eine Abnormalität definierenden Grenzwert abwärts zählt. Ferner wird, wenn der Zählwert Null erreicht, ein ausfallsicheres Signal (H-Level-Signal) von der ausfallsicheren Einheit 34 ausgegeben.
  • Mit dem als ein Überwachungssignal agierenden Abnormalitätssignal als einem Trigger beginnt ein Zähler 42a der Rücksetzeinheit 42 eine Zählung, wobei er in Einklang mit einer internen Uhr von einem Rücksetzgrenzwert abwärts zählt. Wenn der Zählwert Null erreicht, gibt der Zähler 42a ein H-Level-Signal für eine bestimmte Zeit aus. Das Signal wird von einem NICHT-Gatter 42b invertiert, wobei es ein L-Level-Signal wird. Auch in diesem Ausführungsbeispiel wird für den eine Abnormalität definierenden Grenzwert ein Wert größer als der des Rücksetzgrenzwerts eingestellt. Folglich erreicht der Wert des Zählers 42a Null vor dem Wert des Zählers 34a, nachdem ein Abnormalitätssignal ausgegeben worden ist. Deswegen wird der Mikrocomputer 20 zurückgesetzt.
  • Der Zählwert des Zählers 42a wird nach dem Verstreichen einer bestimmten Zeit gelöscht und der Rücksetzgrenzwert wird eingestellt. Diesbezüglich wird jedoch, wie in 12 gezeigt, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt, ein Abnormalitätssignal kontinuierlich ausgegeben, und daher beginnt der Zähler 42a wieder abwärts zu zählen. In diesem Ausführungsbeispiel erreicht der Wert des Zählers 34a Null auf halbem Wege durch das zweite Abwärtszählen des Zählers 42a.
  • Wenn der Zählwert des Zählers 34a Null erreicht, wird ein ausfallsicheres Signal (H-Level-Signal) von der ausfallsicheren Einheit 34 ausgegeben. Dann wird ein Normalitätssignal als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben. Wegen diesem ermittelt die zweite Abnormalitätsdetektoreinheit 40, dass der Mikrocomputer 20 normal ist, und gibt ein L-Level-Signal aus. Folglich schaltet das in die Rücksetzeinheit 42 eingehende Signal von einem Abnormalitätssignal auf ein L-Level-Signal, welches einen normalen Zustand indiziert, und die Zählung des Zählers 42a stoppt. Selbst wenn das Ausgangssignal der zweiten Abnormalitätsdetektoreinheit 40 von einem Abnormalitätssignal (H-Level) auf ein einen normalen Zustand indizierendes L-Level-Signal schaltet, wird das ausfallsichere Signal gehalten, bis die Energieversorgung der elektronischen Steuervorrichtung 10 ausgeschaltet wird. Folglich wird die Ausgabe des Rücksetzsignals gestoppt, während das ausfallsichere Signal von der ausfallsicheren Einheit 34 ausgegeben wird.
  • Gemäß der elektronischen Steuervorrichtung 10 dieses Ausführungsbeispiels können ebenso die gleichen Vorteile wie mit dem ersten Ausführungsbeispiel erzielt werden.
  • Das heißt, da der Überwachungs-IC 21 die Rücksetzeinheit 42 aufweist, kann der Mikrocomputer 20 durch ein als Antwort auf eine temporäre Abnormalität in dem Mikrocomputer 20 von der Rücksetzeinheit 42 ausgegebenes Rücksetzsignal zu Normal zurückgebracht werden.
  • Ein Normalitätssignal wird als ein Überwachungssignal von der Überwachungssignalerzeugungseinheit 31 ausgegeben, während ein ausfallsicheres Signal von der ausfallsicheren Einheit 34 ausgegeben wird. Deswegen wird die Ausgabe eines Rücksetzsignals gestoppt. Folglich ist das Auftreten einer Situation, in welcher ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird und ein vorbestimmter ausfallsicherer Vorgang nicht länger ausgeführt werden kann, beschränkt. Deswegen kann der ausfallsichere Vorgang zuverlässig ausgeführt werden, wenn eine permanente Abnormalität in dem Mikrocomputer 20 auftritt.
  • Da kein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird, kann das Fahrzeug einen Niedriggeschwindigkeitsnotlaufmodus ausführen. Das heißt, es kann verhindert werden, dass der Antriebsmotor einen abgewürgten Zustand einnimmt.
  • In diesem Ausführungsbeispiel gibt die Überwachungssignalerzeugungseinheit 31, um den vorbestimmten ausfallsicheren Vorgang als Antwort auf eine permanente Abnormalität in dem Mikrocomputer 20 auszuführen, ein Normalitätssignal als ein Überwachungssignal aus, wenn ein ausfallsicheres Signal ausgegeben wird. Folglich können die vorstehend beschriebenen Vorteile erreicht werden, ohne die Konfiguration des Überwachungs-IC 21 (Hardware) zu ändern.
  • In diesem Ausführungsbeispiel, wie vorstehend beschrieben, gibt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal als ein Überwachungssignal aus, wenn das Ausgangssignal der ausfallsicheren Einheit 34 in die Überwachungssignalerzeugungseinheit 31 eingegeben wird und ein ausfallsicheres Signal ausgegeben wird. Alternativ kann die erste Abnormalitätsdetektoreinheit 30, wenn ein Ausgangssignal der ausfallsicheren Einheit 34 in die erste Abnormalitätsdetektoreinheit 30 eingegeben wird und ein ausfallsicheres Signal ausgegeben wird, ein Detektionssignal ausgeben, welches indiziert, dass der Betriebszustand des Mikrocomputers 20 normal ist, wie es in dem ersten Modifikationsbeispiel gezeigt ist (siehe 5).
  • Vorstehend sind Ausführungsbeispiele dargestellt worden, aber Ausführungsbeispiele sind nicht auf die jeweiligen obigen Ausführungsbeispiele beschränkt. Verschiedene Änderungen und/oder Ausweitungen können gemacht werden, ohne von dem Geist und Schutzbereich der vorliegenden Erfindung abzuweichen.
  • Eine in der elektronischen Steuervorrichtung 10 enthaltene Überwachungseinheit ist nicht auf den Überwachungs-IC 21 beschränkt. Zum Beispiel kann ein separat zu dem Mikrocomputer 20 vorgesehener Überwachungs-Mikrocomputer eingesetzt werden.
  • Die elektronische Steuervorrichtung 10 ist nicht auf eine Antriebsmotor-ECU beschränkt. Eine andere fahrzeugmontierte ECU als eine Antriebsmotor-ECU kann verwendet werden. Zusätzlich ist die elektronische Steuervorrichtung 10 nicht auf eine fahrzeugmontierte ECU begrenzt.
  • In dem obigen Beispiel werden der Injektor 11, die Zündkerze 12 und der Motor 15 der elektronischen Drossel 13 von dem Mikrocomputer 20 gesteuert, und nur die Ansteuerung des Motors 15 wird gestoppt, wenn ein ausfallsicherer Vorgang durchgeführt wird, und die Ansteuerungen des Injektors 11, der Zündkerze 12 und des Motors 15 werden beim Zurücksetzen gestoppt.
  • Die technischen Ideen der vorliegenden Erfindung sind jedoch anwendbar, vorausgesetzt, dass es für zumindest eine der von dem Mikrocomputer 20 gesteuerten Lasten einen Unterschied in dem Ansteuerzustand gibt dazwischen, wenn ein ausfallsicheres Signal ausgegeben wird und wenn ein Rücksetzsignal ausgegeben wird. In anderen Worten sind die technischen Ideen der vorliegenden Erfindung anwendbar, vorausgesetzt, dass sich ein von den Ansteuerzuständen von allen Lasten gebildetes Ansteuerungsmuster in Abhängigkeit davon unterscheidet, ob ein ausfallsicheres Signal ausgegeben wird oder ob ein Rücksetzsignal ausgegeben wird. Um dies noch einmal umzuformulieren, die technischen Ideen der vorliegenden Erfindung sind anwendbar, vorausgesetzt, dass ein von den Ansteuerzuständen aller Lasten bestimmter Steuerzustand des Fahrzeugs sich in Abhängigkeit davon unterscheidet, ob ein ausfallsicheres Signal ausgegeben wird oder ob ein Rücksetzsignal ausgegeben wird.
  • Folglich ist die totale Anzahl von von dem Mikrocomputer 20 gesteuerten Lasten (Steuerziel) nicht besonders eingeschränkt. Zusätzlich sind die Lasten nicht auf den Injektor 11, die Zündkerze 12 und den Motor 15 beschränkt. Selbst wenn zum Beispiel nur eine Last von dem Mikrocomputer 20 gesteuert wird, können die technischen Ideen der vorliegenden Erfindung angewendet werden, vorausgesetzt, dass der Ansteuerzustand der Last sich unterscheidet, wenn ein ausfallsicherer Vorgang ausgeführt wird und wenn zurückgesetzt wird.
  • In dem Beispiel gibt die ausfallsichere Einheit 41 basierend auf einem Abnormalitätssignal ein ausfallsicheres Signal aus, um zu veranlassen, dass eine der mehreren Lasten in einem voreingestellten Notlaufmodus gehalten wird. Alternativ sind die technischen Ideen der vorliegenden Erfindung anwendbar auf eine Ausgestaltung, in welcher ein ausfallsicheres Signal ausgegeben wird, um zu veranlassen, dass alle Lasten in einem voreingestellten Notlaufmodus gehalten werden. Auch können die technischen Ideen der vorliegenden Erfindung auf eine Ausgestaltung angewandt werden, in welcher ein ausfallsicheres Signal ausgegeben wird, um zu veranlassen, dass mehrere der Lasten, welche ein Teil aller Lasten sind, in einem voreingestellten Notlaufmodus gehalten werden. Wie vorstehend beschrieben ist es ausreichend, dass es für zumindest eine der von dem Mikrocomputer 20 gesteuerten Lasten einen Unterschied in dem Ansteuerzustand gibt dazwischen, wenn ein ausfallsicheres Signal ausgegeben wird und wenn ein Rücksetzsignal ausgegeben wird.
  • In dem Beispiel werden Abwärtszähler als die Zähler 41a und 42a verwendet. Alternativ können Aufwärtszähler verwendet werden.
  • In dem dritten Ausführungsbeispiel und dem vierten Ausführungsbeispiel wird nur eine elektronische Steuervorrichtung 50 als ein externes Mittel dargestellt. Alternativ können mehrere der elektronischen Steuervorrichtungen als externe Mittel vorgesehen sein.
  • In dem dritten Ausführungsbeispiel und dem vierten Ausführungsbeispiel wird CAN als das Netzwerkkommunikationsprotokoll verwendet. Dieses Beispiel ist jedoch nicht einschränkend. Zum Beispiel kann FlexRay (registrierte Marke) als Kommunikationsprotokoll verwendet werden. Es ist ausreichend, dass die elektronische Steuervorrichtung 50 eine solche Konfiguration hat, dass eine Abnormalität in der elektronischen Steuervorrichtung 10 (Mikrocomputer 20) über einem Bus überwacht werden kann und ein Rücksetzstoppsignal erzeugt werden kann, wenn ermittelt wird, dass eine Abnormalität auftritt.
  • Die elektronische Steuervorrichtung 10 kann so ausgestaltet sein, dass sie fähig ist einzustellen, ob ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird oder nicht wie bei einem zweiten Modifikationsbeispiel, welches in 13 gezeigt ist. In 13 weist der Mikrocomputer 20 ferner eine Konfigurationseinheit 35, ein UND-Gatter 36 und ein ODER-Gatter 37 auf zusätzlich zu der ersten Abnormalitätsdetektoreinheit 30, der Überwachungssignalerzeugungseinheit 31 und der ausfallsicheren Einheit 34. Das heißt, die Konfigurationseinheit 35, das UND-Gatter 36 und das ODER-Gatter 37 können zu dem fünften Ausführungsbeispiel hinzugefügt werden (siehe 11).
  • Die Konfigurationseinheit 35 ist als eine funktionelle Einheit des Mikrocomputers 20 ausgestaltet. Entweder wird ein Stoppen der Ausgabe eines Rücksetzsignals während der Ausgabe eines ausfallsicheren Signals oder eine Erlaubnis für die Ausgabe eines Rücksetzsignals während der Ausgabe eines ausfallsicheren Signals in der Konfigurationseinheit 35 eingestellt. Zum Beispiel wird ein H-Level-Signal (das heißt, 1) für das Stoppen der Ausgabe eingestellt, während ein L-Level-Signal (das heißt, 0) für das Erlauben der Ausgabe eingestellt wird. Entweder ist das Stoppen der Ausgabe oder die Erlaubnis der Ausgabe in der Konfigurationseinheit 35 voreingestellt.
  • Das in der Konfigurationseinheit 35 eingestellte Signal und das Ausgangssignal der ausfallsicheren Einheit 34 werden in das UND-Gatter 36 eingegeben. Weiter gibt das UND-Gatter 36 ein H-Level-Signal aus, wenn die beiden Eingangssignale H-Level-Signale sind. Folglich ist das Ausgangssignal des UND-Gatters 36 auf dem L-Level, wenn die Erlaubnis der Ausgabe in der Konfigurationseinheit 35 eingestellt ist, ungeachtet des Ausgangssignals der ausfallsicheren Einheit 34.
  • Das Ausgangssignal des UND-Gatters 36 und ein von der ersten Abnormalitätsdetektoreinheit 30 ausgegebenes Detektionssignal werden in das ODER-Gatter 37 eingegeben. Wenn zumindest eines der Eingangssignale ein H-Level-Signal ist, gibt das ODER-Gatter 37 ein H-Level-Signal an die Überwachungssignalerzeugungseinheit 31 aus. Wenn ein ausfallsicheres Signal ausgegeben wird und das Stoppen der Ausgabe in der Konfigurationseinheit 35 eingestellt ist, schaltet das Ausgangssignal des ODER-Gatters 37 auf den H-Level.
  • Wenn ein H-Level-Signal von dem ODER-Gatter 37 eingeht, gibt die Überwachungssignalerzeugungseinheit 31 als ein Überwachungssignal ein Normalitätssignal aus, welches indiziert, dass der Betrieb des Mikrocomputers 20 normal ist. Wenn ein ausfallsicheres Signal ausgegeben wird und das Stoppen der Ausgabe in der Konfigurationseinheit 35 eingestellt ist, gibt die Überwachungssignalerzeugungseinheit 31 ein Normalitätssignal aus. Folglich kann es vermieden werden, dass ein Rücksetzsignal während der Ausgabe eines ausfallsicheren Signals ausgegeben wird.
  • Eine Ausgestaltung, in welcher die ausfallsichere Einheit 41 zu 13 hinzugefügt ist, kann verwendet werden. In diesem Fall wird ein ausfallsicherer Vorgang durch ein von einer der zwei ausfallsicheren Einheiten 34 und 41, je nachdem, welche früher ist, ausgegebenes ausfallsicheres Signal ausgeführt. Da die Ausgestaltung die zwei ausfallsicheren Einheiten 34 und 41 umfasst, kann der ausfallsichere Vorgang zuverlässiger ausgeführt werden.
  • In 13 werden das in der Konfigurationseinheit 35 eingestellte Signal und das Ausgangssignal von der ausfallsicheren Einheit 34 in das UND-Gatter 36 eingegeben. Alternativ kann das Ausgangssignal von der ausfallsicheren Einheit 41 anstelle des Ausgangssignals von der ausfallsicheren Einheit 34 in das UND-Gatter 36 eingegeben werden.
  • Das Ausgangssignal des ODER-Gatters 37 kann in die erste Abnormalitätsdetektoreinheit 30 anstelle der Überwachungssignalerzeugungseinheit 31 eingegeben werden. Wenn das Ausgangssignal des ODER-Gatters 37 auf dem H-Level ist, gibt die erste Abnormalitätsdetektoreinheit 30 als ein Detektionssignal ein Signal aus, welches indiziert, dass der Betrieb des Mikrocomputers 20 normal ist, ungeachtet des Betriebszustandes des Mikrocomputers 20. Deswegen gibt die Überwachungssignalerzeugungseinheit 31 als ein Überwachungssignal ein Normalitätssignal aus indizierend, dass der Betrieb des Mikrocomputers 20 normal ist, wodurch das Zurücksetzen gestoppt wird.
  • Ferner kann die in 13 gezeigte Ausgestaltung, das heißt, die Ausgestaltung, welche weiter die Konfigurationseinheit 35, das UND-Gatter 36 und das ODER-Gatter 37 aufweist, mit der in dem dritten Ausführungsbeispiel gezeigten Ausgestaltung (siehe 8) kombiniert werden.

Claims (11)

  1. Elektronische Steuervorrichtung umfassend: eine Steuereinheit (20), welche eine Ansteuerung zumindest einer Last steuert; und eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht, die Steuereinheit (20) aufweisend: ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert; und ein Überwachungssignalerzeugungsmittel (31), welches basierend auf einem Detektionssignal von dem ersten Abnormalitätsdetektionsmittel (30) ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt, die Überwachungseinheit (21) aufweisend: ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt; ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt; und ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt, wobei die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand dazwischen hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird; die Steuereinheit (20) weiter ein Ermittlungsmittel (32) aufweist, welches ermittelt, ob das ausfallsichere Signal von dem ausfallsicheren Mittel (41) ausgegeben wird oder nicht, und, wenn das Ermittlungsmittel (32) ermittelt, dass das ausfallsichere Signal ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist ungeachtet des Betriebs der Steuereinheit (20).
  2. Elektronische Steuervorrichtung umfassend: eine Steuereinheit (20), welche eine Ansteuerung von zumindest einer Last steuert; und eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht, die Überwachungseinheit (21) aufweisend: ein Abnormalitätsdetektionsmittel (40), welches eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt; ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt; ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt; und ein Einstellmittel (43, 44), welches ein Aktivieren oder Deaktivieren einer Überwachungsfunktion der Überwachungseinheit (21) einstellt, wobei die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand dazwischen hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird; die Steuereinheit (20) aufweist: ein Ermittlungsmittel (32), welches ermittelt, ob das ausfallsichere Signal von dem ausfallsicheren Mittel (41) ausgegeben wird oder nicht, und ein Einstellsignalerzeugungsmittel (33), welches ein Einstellsignal für das Einstellmittel (43, 44) zum Einstellen der Überwachungsfunktion erzeugt und ausgibt; das Einstellmittel (43, 44) basierend auf dem Einstellsignal ein Aktivieren oder Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) einstellt; und, wenn das Ermittlungsmittel (32) ermittelt, dass das ausfallsichere Signal ausgegeben wird, das Einstellsignalerzeugungsmittel (33) als das Einstellsignal ein Signal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) ausgibt.
  3. Elektronische Steuervorrichtung umfassend: eine Steuereinheit (20), welche eine Ansteuerung von zumindest einer Last steuert; und eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht, die Steuereinheit (20) aufweisend: ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert; und ein Überwachungssignalerzeugungsmittel (31), welches basierend auf einem Detektionssignal von dem ersten Abnormalitätsdetektionsmittel (30) ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt, die Überwachungseinheit (21) aufweisend: ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt, ein ausfallsicheres Mittel, welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt, und ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt,wobei die elektronische Steuervorrichtung ein Signal von einem externen Mittel (53, 55) erhält, die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand dazwischen hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird, und, wenn ein Rücksetzstoppsignal zum Stoppen einer Ausgabe des Rücksetzsignals von dem externen Mittel (53, 55) ausgegeben wird, das Überwachungssignaterzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist ungeachtet des Betriebs der Steuereinheit (20).
  4. Elektronische Steuervorrichtung gemäß Anspruch 3, wobei das externe Mittel (53, 55) eine andere elektronische Steuervorrichtung (53) aufweist, die elektronische Steuervorrichtung und die andere elektronische Steuervorrichtung (53) gegenseitig Abnormalitäten überwachen, und, wenn das Rücksetzstoppsignal von der anderen elektronischen Steuervorrichtung (53) ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) das Normalitätssignal als das Überwachungssignal ausgibt.
  5. Elektronische Steuervorrichtung gemäß Anspruch 3, wobei das externe Mittel (53, 55) einen Schalter (53) umfasst, die elektronische Steuervorrichtung ein Signal von dem von einem Benutzer betätigten Schalter (53) erhält, und, wenn das Rücksetzstoppsignal von dem Schalter (53) ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) das Normalitätssignal als das Überwachungssignal ausgibt.
  6. Elektronische Steuervorrichtung umfassend: eine Steuereinheit (20), welche eine Ansteuerung von zumindest einer Last steuert; und eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht, die Überwachungseinheit (21) aufweisend: ein Abnormalitätsdetektionsmittel (40), welches eine Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt; ein ausfallsicheres Mittel (41), welches basierend auf dem Abnormalitätssignal ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt; ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt; und ein Einstellmittel (43), welches ein Aktivieren oder Deaktivieren einer Überwachungsfunktion der Überwachungseinheit (21) einstellt, wobei die elektronische Steuervorrichtung ein Signal von einem externen Mittel (53, 55) erhält, die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied im Ansteuerzustand hat dazwischen, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird, die Steuereinheit (20) ein Einstellsignalerzeugungsmittel (33) aufweist, welches ein Einstellsignal für das Einstellmittel (43) zum Einstellen der Überwachungsfunktion erzeugt und ausgibt, und das Einstellmittel (43) basierend auf dem Einstellsignal das Aktivieren oder Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) einstellt, und, wenn ein Rücksetzstoppsignal zum Stoppen der Ausgabe des Rücksetzsignals von dem externen Mittel (53, 55) ausgegeben wird, das Einstellsignalerzeugungsmittel (43) als das Einstellsignal ein Deaktivierungssignal zum Deaktivieren der Überwachungsfunktion der Überwachungseinheit (21) ausgibt.
  7. Elektronische Steuervorrichtung gemäß Anspruch 6, wobei das externe Mittel (53, 55) eine andere elektronische Steuervorrichtung (53) umfasst, die elektronische Steuervorrichtung und die andere elektronische Steuervorrichtung (53) gegenseitig Abnormalitäten überwachen, und, wenn das Rücksetzstoppsignal von der anderen elektronischen Steuervorrichtung (53) ausgegeben wird, das Einstellsignalerzeugungsmittel (43) das Deaktivierungssignal als das Einstellsignal ausgibt.
  8. Elektronische Steuervorrichtung gemäß Anspruch 6, wobei das externe Mittel (53, 55) einen Schalter (53) umfasst, die elektronische Steuervorrichtung ein Signal von dem von einem Benutzer betätigten Schalter erhält, und, wenn das Rücksetzstoppsignal von dem Schalter (53) ausgegeben wird, das Einstellsignalerzeugungsmittel (43) das Deaktivierungssignal als das Einstellsignal ausgibt.
  9. Elektronische Steuervorrichtung umfassend: eine Steuereinheit (20), welche eine Ansteuerung von zumindest einer Last steuert; und eine Überwachungseinheit (21), welche überwacht, ob die Steuereinheit (20) normal arbeitet oder nicht, die Steuereinheit (20) aufweisend: ein erstes Abnormalitätsdetektionsmittel (30), welches einen Betriebszustand der Steuereinheit (20) detektiert und ein Detektionssignal ausgibt; ein Überwachungssignalerzeugungsmittel (31), welches basierend auf dem Detektionssignal ein Überwachungssignal zum Überwachen einer Angemessenheit des Betriebs der Steuereinheit (20) erzeugt und das Überwachungssignal an die Überwachungseinheit (21) ausgibt; und ein ausfallsicheres Mittel (34), welches basierend auf einem Signal, welches als das Detektionssignal ausgegeben wird und eine Abnormalität in der Steuereinheit (20) indiziert, ein ausfallsicheres Signal zum Veranlassen, dass die zumindest eine Last in einem voreingestellten Notlaufmodus gehalten wird, ausgibt, die Überwachungseinheit (21) aufweisend: ein zweites Abnormalitätsdetektionsmittel (40), welches basierend auf dem Überwachungssignal die Abnormalität in der Steuereinheit (20) detektiert und ein Abnormalitätssignal ausgibt; und ein Rücksetzmittel (42), welches basierend auf dem Abnormalitätssignal ein Rücksetzsignal zum Zurücksetzen der Steuereinheit (20) ausgibt, wobei die zumindest eine von der Steuereinheit (20) gesteuerte Last einen Unterschied in einem Ansteuerzustand dazwischen hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird, und, wenn das ausfallsichere Signal von dem ausfallsicheren Mittel (34) ausgegeben wird, das Überwachungssignalerzeugungsmittel (31) als das Überwachungssignal ein Normalitätssignal ausgibt, welches indiziert, dass die Steuereinheit (20) normal ist ungeachtet des Betriebs der Steuereinheit (20).
  10. Elektronische Steuervorrichtung gemäß einem der Ansprüche 1 bis 9, wobei die Steuereinheit (20) eine Mehrzahl von den Lasten steuert, nur ein Teil der Lasten durch das ausfallsichere Signal in dem voreingestellten Notfallmodus gehalten wird, und zumindest eine der von der Steuereinheit (20) gesteuerten Lasten einen Unterschied im Ansteuerzustand hat, wenn das ausfallsichere Signal ausgegeben wird und wenn das Rücksetzsignal ausgegeben wird.
  11. Elektronische Steuervorrichtung gemäß Anspruch 10, wobei die elektronische Steuervorrichtung in einem Fahrzeug angebracht ist, die Mehrzahl von von der Steuereinheit (20) gesteuerten Lasten einen Motor zum Öffnen und Schließen einer Drosselklappe, einen Injektor und eine Zündkerze umfasst, und von dem Motor, dem Injektor und der Zündkerze, die Ansteuerung des Motor durch das ausfallsichere Signal gestoppt wird.
DE102015226818.7A 2015-01-08 2015-12-29 Elektronische Steuervorrichtung Active DE102015226818B4 (de)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2015002445 2015-01-08
JP2015-2445 2015-01-08
JP2015129179A JP6406139B2 (ja) 2015-01-08 2015-06-26 電子制御装置
JP2015-129179 2015-06-26

Publications (2)

Publication Number Publication Date
DE102015226818A1 DE102015226818A1 (de) 2016-07-14
DE102015226818B4 true DE102015226818B4 (de) 2019-12-05

Family

ID=56233380

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102015226818.7A Active DE102015226818B4 (de) 2015-01-08 2015-12-29 Elektronische Steuervorrichtung

Country Status (1)

Country Link
DE (1) DE102015226818B4 (de)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102008017060A1 (de) 2007-07-27 2009-02-05 Mitsubishi Electric Corp. An einem Fahrzeug angebrachte Motor-Steuervorrichtung
DE10321468B4 (de) 2002-05-14 2011-03-10 Toyota Jidosha Kabushiki Kaisha (Toyota Motor Corporation) Fahrzeug-Steuereinrichtung
JP2011127546A (ja) 2009-12-18 2011-06-30 Denso Corp 電子制御装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10321468B4 (de) 2002-05-14 2011-03-10 Toyota Jidosha Kabushiki Kaisha (Toyota Motor Corporation) Fahrzeug-Steuereinrichtung
DE102008017060A1 (de) 2007-07-27 2009-02-05 Mitsubishi Electric Corp. An einem Fahrzeug angebrachte Motor-Steuervorrichtung
JP2011127546A (ja) 2009-12-18 2011-06-30 Denso Corp 電子制御装置

Also Published As

Publication number Publication date
DE102015226818A1 (de) 2016-07-14

Similar Documents

Publication Publication Date Title
DE10207314B4 (de) Ansaugluftmengenregelsystem für Verbrennungsmotor
DE10049441B4 (de) Verfahren zum Betrieb eines von einem Prozessor gesteuerten Systems
EP1337921A1 (de) Vorrichtung zur überwachung eines prozessors
DE102010009280B4 (de) Systeme und Verfahren für eine elektronische Drosselsteuerung
EP0512240A1 (de) System zur Steuerung eines Kraftfahrzeuges
DE102004014977B4 (de) Einlassluftmengensteuergerät und -verfahren für eine Brennkraftmaschine
DE10143454A1 (de) Fahrzeugsteuereinrichtung
DE112016005096B4 (de) Elektronische Steuervorrichtung und elektronisches Steuerverfahren
EP0326694B1 (de) Sicherheitssystem für Brennkraftmaschinen
DE102015221532B4 (de) Elektronische Steuervorrichtung
DE102004020539B3 (de) Elektronische Steuereinrichtung und Verfahren zur Steuerung des Betriebs von Kraftfahrzeugkomponenten
DE3342754C2 (de)
DE102015226818B4 (de) Elektronische Steuervorrichtung
EP1305509B1 (de) Elektronische schaltungsanordnung und zugehöriges verfahren zur ansteuerung eines stellglieds , zum beispiel für ventile oder injektoren
DE102013217031A1 (de) Steuerungsvorrichtung für eine Verbrennungskraftmaschine
DE102015218774B4 (de) Elektronische Steuervorrichtung
EP0596297B1 (de) Verfahren und Vorrichtung zur Überprüfung einer Überwachungseinheit von Motorsteuersystem
EP2387660B1 (de) Verfahren zum durchführen einer anzahl einspritzungen
EP2190697A1 (de) Steuergerät und verfahren zur ansteuerung von personenschutzmitteln
EP1751630B1 (de) Mikrocontrollersystem und betriebsverfahren dafür
EP1502019B1 (de) Verfahren und vorrichtung zur steuerung der antriebseinheit eines fahrzeugs
DE3335633A1 (de) Anordnung zur diagnose eines verbrennungsmotors
EP0508081B1 (de) Schaltungsanordnung und Verfahren zum Überwachen eines brennstoffbeheizten Gerätes
DE102010007169B4 (de) System und Verfahren zur Antriebsstrang- und Zündungsdiagnose
DE102004020538B4 (de) Elektronische Steuereinrichtung und Verfahren zur Steuerung des Betriebs von Kraftfahrzeugkomponenten

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication
R018 Grant decision by examination section/examining division
R020 Patent grant now final
R084 Declaration of willingness to licence