DE102017213690A1

DE102017213690A1 - Electronic control unit

Info

Publication number: DE102017213690A1
Application number: DE102017213690.1A
Authority: DE
Inventors: Naoto Sakai
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2016-08-26
Filing date: 2017-08-07
Publication date: 2018-03-01
Also published as: JP2018032328A; JP6740812B2

Abstract

Eine elektronische Steuereinheit (10) weist zumindest einen ersten Mikrocomputer (20) und einen zweiten Mikrocomputer (30) auf. Der erste Mikrocomputer (20) führt Berechnungen für die Fahrzeugsteuerung durch. Der zweite Mikrocomputer (30) überwacht, ob der erste Mikrocomputer (20) auf der Grundlage eines Berechnungsergebnisses des ersten Mikrocomputers (20) normal oder anormal ist. Der zweite Mikrocomputer (30) führt dieselbe Steuerberechnung durch, wie diejenige, die durch den ersten Mikrocomputer (20) durchgeführt wird, vergleicht die Berechnungsergebnisse des ersten Mikrocomputers (20) und des zweiten Mikrocomputers (30), um zu überwachen, ob der erste Mikrocomputer (20) auf der Grundlage eines Vergleichsergebnisses normal oder anormal ist.An electronic control unit (10) has at least a first microcomputer (20) and a second microcomputer (30). The first microcomputer (20) performs calculations for the vehicle control. The second microcomputer (30) monitors whether the first microcomputer (20) is normal or abnormal based on a calculation result of the first microcomputer (20). The second microcomputer (30) performs the same control calculation as that performed by the first microcomputer (20) compares the calculation results of the first microcomputer (20) and the second microcomputer (30) to monitor whether the first microcomputer (20) is normal or abnormal on the basis of a comparison result.

Description

Die vorliegende Erfindung betrifft eine elektronische Steuereinheit zum Überwachen, ob ein Mikrocomputer, der eine Fahrzeugsteuerung durchführt, normal oder anormal ist. The present invention relates to an electronic control unit for monitoring whether a microcomputer performing a vehicle control is normal or abnormal.

Eine herkömmliche elektronische Steuereinheit überwacht, ob ein Mikrocomputer, der eine Fahrzeugsteuerung durchführt, normal oder anormal ist. Beispielsweise steuert ein Mikrocomputer in der WO 11-505587 (Patentdokument) ein Ausgabesignal einer Antriebseinheit für ein Fahrzeug durch Ausführen eines ersten Computerprogramms und überwacht die Ausgabesteuerung, die durch die Ausführung des ersten Mikrocomputerprogramms durch Ausführen eines zweiten Computerprogramms durchgeführt wird. A conventional electronic control unit monitors whether a microcomputer performing a vehicle control is normal or abnormal. For example, a microcomputer controls in the WO 11-505587 (Patent Document) an output signal of a drive unit for a vehicle by executing a first computer program and monitors the output control performed by the execution of the first microcomputer program by executing a second computer program.

Das zweite Mikrocomputerprogramm überwacht, ob ein Berechnungsergebnis, das durch das erste Mikrocomputerprogramm für die Ausgabesteuerung der Antriebseinheit bereitgestellt wird, normal oder anormal ist, indem die gleichen Daten eines Berechnungsobjekts wie das erste Mikrocomputerprogramm erfasst und berechnet werden. The second microcomputer program monitors whether a calculation result provided by the first microcomputer program for output control of the drive unit is normal or abnormal by detecting and calculating the same data of a calculation object as the first microcomputer program.

In dem Patentdokument führt ein Mikrocomputer sowohl das erste Mikrocomputerprogramm als auch das zweite Mikrocomputerprogramm aus, und daher werden die Daten des Berechnungsobjekts, auf das sich beide Computerprogramme beziehen, wahrscheinlich in demselben Speicher gespeichert. In the patent document, a microcomputer executes both the first microcomputer program and the second microcomputer program, and therefore the data of the computing object to which both computer programs relate is likely to be stored in the same memory.

Wenn in diesem Fall die Daten des in dem Speicher gespeicherten Berechnungsobjekts aufgrund einer Bit-Invertierung und dergleichen, die durch eine Anormalität des Speichers verursacht wird, anormal werden, werden sowohl die Berechnungsergebnisse des ersten Mikrocomputerprogramms als auch des zweiten Mikrocomputerprogramms, die solche anomalen Daten verwenden, anormal. In this case, if the data of the calculation object stored in the memory becomes abnormal due to a bit inversion and the like caused by an abnormality of the memory, both the calculation results of the first microcomputer program and the second microcomputer program using such abnormal data become , abnormal.

Wie zuvor beschrieben, wird es gemäß der Konfiguration, dass ein Mikrocomputer sowohl das erste Mikrocomputerprogramm als auch das zweite Mikrocomputerprogramm ausführt, für das zweite Mikrocomputerprogramm unmöglich, zu überwachen, ob das Berechnungsergebnis des ersten Mikrocomputerprogramms bei einem Auftreten einer Anormalität in einer Hardware-Ressource im Mikrocomputer normal oder anormal ist. As described above, according to the configuration that a microcomputer executes both the first microcomputer program and the second microcomputer program, it becomes impossible for the second microcomputer program to monitor whether the calculation result of the first microcomputer program is in an abnormality occurring in a hardware resource in FIG Microcomputer is normal or abnormal.

Es ist daher eine Aufgabe der vorliegenden Erfindung, eine elektronische Steuereinheit bereitzustellen, um zu überwachen, ob ein Mikrocomputer, der eine Fahrzeugsteuerung durchführt, normal oder anormal ist. It is therefore an object of the present invention to provide an electronic control unit for monitoring whether a microcomputer performing a vehicle control is normal or abnormal.

Gemäß der vorliegenden Erfindung weist eine elektronische Steuereinheit einen ersten Mikrocomputer auf, der konfiguriert ist, um eine Steuerberechnung zum Steuern eines Fahrzeugs durchzuführen, ein zweiten Mikrocomputer, der konfiguriert ist, um zu überwachen, ob der erste Mikrocomputer normal oder anormal ist, auf der Grundlage eines Berechnungsergebnisses des ersten Mikrocomputers, und ein Auswahlteil, das konfiguriert ist, um eine Erlaubnis oder ein Verbot eines von dem ersten Mikrocomputer zur Durchführung der Fahrzeugsteuerung ausgegebenen Steuersignals auszuwählen, um von der elektronischen Steuereinheit auf der Grundlage eines Ausgabesignals des zweiten Mikrocomputers auszugeben zu werden. Der zweite Mikrocomputer gibt das Ausgabesignal aus, welches dem Steuersignal des ersten Mikrocomputers von der elektronischen Steuereinheit erlaubt oder verbietet ausgegeben zu werden, falls der erste Mikrocomputer jeweils normal und anormal ist. According to the present invention, an electronic control unit includes a first microcomputer configured to perform a control calculation for controlling a vehicle, a second microcomputer configured to monitor whether the first microcomputer is normal or abnormal based a calculation result of the first microcomputer, and a selection part configured to select a permission or a prohibition of a control signal output from the first microcomputer for executing the vehicle control to be output from the electronic control unit based on an output signal of the second microcomputer. The second microcomputer outputs the output signal which allows or prohibits the control signal of the first microcomputer from the electronic control unit if the first microcomputer is normal and abnormal, respectively.

Bei einem Aspekt weist die elektronische Steuereinheit zusätzlich ein Ausgabeteil und ein Ausgabesteuerteil und ein zweites Auswahlteil auf. Das Ausgabeteil ist konfiguriert, um ein Ausgabesignal des Auswahlteils als ein erstes Ausgabesignal eines ersten Auswahlteils von der elektronischen Steuereinheit auszugeben. Das Ausgabesteuerteil ist konfiguriert, um die Leistungsversorgung zu dem Ausgabeteil ein- und auszuschalten. Das zweite Auswahlteil ist konfiguriert, um das Ausgabesteuerteil zu steuern, um selektiv die Leistungsversorgung zu dem Ausgebeteil auf der Grundlage eines zweiten Ausgabesignals, das von dem zweiten Mikrocomputer ausgegeben wird, ein- und auszuschalten. Der zweite Mikrocomputer erfasst eine Ausgabe des Ausgabeteils und gibt das zweite Ausgabesignal an das zweite Auswahlteil aus, um die Leistungsversorgung zu dem Ausgabeteil auszuschalten, falls der erste Mikrocomputer anormal ist und das Ausgabeteil das Steuersignal ausgibt. In one aspect, the electronic control unit additionally comprises an output part and an output control part and a second selection part. The output part is configured to output an output signal of the selection part as a first output signal of a first selection part from the electronic control unit. The output control part is configured to turn on and off the power supply to the output part. The second selection part is configured to control the output control part to selectively turn on and off the power supply to the output part based on a second output signal output from the second microcomputer. The second microcomputer detects an output of the output part and outputs the second output signal to the second selection part to turn off the power supply to the output part if the first microcomputer is abnormal and the output part outputs the control signal.

Bei dem anderen Aspekt weist die elektronische Steuereinheit zusätzlich ein Ausgabeteil und ein Ausgabesteuerteil auf. Das Ausgabeteil ist konfiguriert, das Steuersignal von der elektronischen Steuereinheit auszugeben. Das Ausgabesteuerteil ist konfiguriert, um die Leistungsversorgung zu dem Ausgabeteil ein- und auszuschalten. Das Auswahlteil steuert das Ausgabesteuerteil, um selektiv die Leistungsversorgung zu dem Ausgabeteil (60) auf der Grundlage des Ausgabesignals, das von dem zweiten Mikrocomputer (30) ausgegeben wird, ein- und auszuschalten. Der zweite Mikrocomputer gibt das Ausgabesignal, das die Leistungsversorgung zu dem Ausgabeteil ausschaltet, an das Auswahlteil aus, falls der erste Mikrocomputer anormal ist. In the other aspect, the electronic control unit additionally includes an output part and an output control part. The output part is configured to output the control signal from the electronic control unit. The output control part is configured to turn on and off the power supply to the output part. The selecting part controls the output control part to selectively supply the power to the output part (FIG. 60 ) based on the output signal supplied by the second microcomputer ( 30 ) is turned on and off. The second microcomputer outputs the output signal which turns off the power supply to the output part to the selection part if the first microcomputer is abnormal.

1 ist ein Schaltplan, der eine elektronische Steuereinheit gemäß eines beispielhaften Ausführungsbeispiels der vorliegenden Erfindung zeigt; und 1 is a circuit diagram illustrating an electronic control unit according to an exemplary Embodiment of the present invention shows; and

2 ist ein Ablaufdiagramm, das eine Fahrzeugsteuerverarbeitung zeigt, die durch ein beispielhaftes Ausführungsbeispiel der elektronischen Steuereinheit ausgeführt wird. 2 FIG. 10 is a flowchart showing vehicle control processing performed by an exemplary embodiment of the electronic control unit. FIG.

Die vorliegende Erfindung wird in Bezug auf ein beispielhaftes Ausführungsbeispiel beschrieben, das in der beigefügten Zeichnung gezeigt ist. The present invention will be described with reference to an exemplary embodiment shown in the accompanying drawings.

In Bezug auf 1 ist eine elektronische Steuereinheit 10 an einem Fahrzeug angebracht, das einen Motor als Antriebsleistungsquelle aufweist. Die elektronische Steuereinheit 10 ist derart konfiguriert, dass sie EIN-AUS-Zustände eines ersten Relais 212 und eines zweiten Relais 214 steuert, die eine Hochspannungsversorgung von einer Hochspannungsbatterie 210 zu fahrzeugseitigen Vorrichtungen, wie beispielsweise einen Wechselrichter für den Motor, eine Klimaanlage und dergleichen, ein- und ausschalten. In relation to 1 is an electronic control unit 10 attached to a vehicle having a motor as a drive power source. The electronic control unit 10 is configured to have ON-OFF states of a first relay 212 and a second relay 214 controls a high voltage supply from a high voltage battery 210 to on-vehicle devices, such as an inverter for the engine, an air conditioner and the like, on and off.

Die elektronische Steuereinheit 10 weist einen Hauptmikrocomputer 20 auf, der als ein erster Mikrocomputer vorgesehen ist, einen untergeordneten Mikrocomputer 30, der als ein zweiter Mikrocomputer vorgesehenen ist, eine anwendungsspezifische integrierte Schaltung (ASIC) 40, die als Überwachungsteil vorgesehen ist, ein erstes Auswahlteil 50, zweite Auswahlteile 52, 54, ein Ausgabeteil 60 und ein Ausgabesteuerteil 62. The electronic control unit 10 has a main microcomputer 20 provided as a first microcomputer, a subordinate microcomputer 30 provided as a second microcomputer, an application specific integrated circuit (ASIC) 40 , which is provided as a monitoring part, a first selection part 50 , second selections 52 . 54 , an output part 60 and an output control part 62 ,

Der Hauptmikrocomputer 20 weist eine CPU 22 und einen Halbleiterspeicher 24, wie beispielsweise einen RAM, einen ROM und einen Flash-Speicher auf. Der untergeordnete Mikrocomputer 30 weist auch eine CPU 32 und einen Halbleiterspeicher 34 wie beispielsweise einen RAM, einen ROM und einen Flash-Speicher auf. The main microcomputer 20 has a CPU 22 and a semiconductor memory 24 , such as a RAM, a ROM and a flash memory. The subordinate microcomputer 30 also has a CPU 32 and a semiconductor memory 34 such as a RAM, a ROM and a flash memory.

Jede Funktion des Hauptmikrocomputers 20 und des untergeordneten Mikrocomputers 30 wird durch die Ausführung eines entsprechenden Computerprogramms erreicht, das in einem Nichtübergangs-Speichermedium durch die CPUs 22 und 32 gespeichert ist. Bei diesem Ausführungsbeispiel sind die Speicher 24 und 34 als Nichtübergangs-Speichermedien vorgesehen, welche die entsprechenden Computerprogramme speichern. Methoden, die den Programmen entsprechen, werden durch die Ausführung der Computerprogramme erreicht. Every function of the main microcomputer 20 and the subordinate microcomputer 30 is achieved by the execution of a corresponding computer program stored in a non-transient storage medium by the CPUs 22 and 32 is stored. In this embodiment, the memories 24 and 34 provided as non-transitory storage media storing the respective computer programs. Methods that correspond to the programs are achieved by running the computer programs.

Der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 erfassen Daten wie z.B. eine Beschleunigerposition, eine Schaltposition und eine Batterieladungstiefe von jeweils ersten und zweiten Eingangsleitungen 100 und 102. Der Hauptmikrocomputer 20 berechnet einen ersten Steuerwert auf der Grundlage von Daten, wie beispielsweise der Beschleunigerposition, der Schaltposition und der Batterieladungstiefe, die von der Eingangsleitung 100 empfangen werden, und gibt ein Steuersignal entsprechend dem ersten Steuerwert aus, um einen EIN-AUS-Zustand des Relais 212 zu steuern, das auf einer positiven Potentialseite der Hochspannungsbatterie 210 vorgesehen ist. Der Hauptmikrocomputer 20 ist derart konfiguriert, dass er üblicherweise seine Ausgabeleitung 120 in einem EIN-Zustand einstellt. The main microcomputer 20 and the subordinate microcomputer 30 capture data such as an accelerator position, a shift position, and a battery charge depth from each of first and second input lines 100 and 102 , The main microcomputer 20 calculates a first control value based on data such as the accelerator position, the shift position, and the battery charge depth received from the input line 100 are received, and outputs a control signal corresponding to the first control value to an ON-OFF state of the relay 212 to control that on a positive potential side of the high voltage battery 210 is provided. The main microcomputer 20 is configured to typically have its output line 120 in an ON state.

In 1 ist angemerkt, dass nur eine Schaltung zum Steuern des EIN-AUS-Zustands des Relais 212 der positiven Potentialseite der Hochspannungsbatterie 210 gezeigt ist. Der Hauptmikrocomputer 20 steuert zusätzlich einen EIN-AUS-Zustand des Relais 214, der an der negativen Potentialseite der Hochspannungsbatterie 210 durch eine Steuerleitung (nicht gezeigt) vorgesehen ist, die sich von einer Steuerleitung 104 unterscheidet. Das Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 zum Steuern des Relais 212 ausgegeben wird, ist das gleiche wie das Steuersignal, das an eine Steuerleitung (nicht gezeigt) ausgegeben wird, die für das Relais 214 vorgesehen ist. In 1 It is noted that only one circuit for controlling the ON-OFF state of the relay 212 the positive potential side of the high voltage battery 210 is shown. The main microcomputer 20 additionally controls an ON-OFF state of the relay 214 at the negative potential side of the high voltage battery 210 is provided by a control line (not shown) extending from a control line 104 different. The control signal from the main microcomputer 20 to the control line 104 to control the relay 212 is output, is the same as the control signal, which is output to a control line (not shown), for the relay 214 is provided.

Eine Schaltung ähnlich dem Auswahlteil 50, dem Ausgabeteil 60 und einer Ausgabeleitung 106 des untergeordneten Mikrocomputers 30 ist ebenfalls für das Relais 214 vorgesehen. Zusätzlich steuert das Ausgabesteuerteil 62 auch die Leistungsversorgung zu einem Ausgabeteil für das Relais 214 in ähnlicher Weise wie die zu dem Ausgabeteil für das Relais 214 durchgeführte Leistungsversorgungssteuerung. A circuit similar to the selection part 50 , the output part 60 and an output line 106 the subordinate microcomputer 30 is also for the relay 214 intended. In addition, the output control part controls 62 also the power supply to an output part for the relay 214 similarly to the output part for the relay 214 performed power supply control.

Die Relais 212 und 214 werden im Wesentlichen auf die gleiche Weise EIN-AUS gesteuert. Aus diesem Grund wird die EIN-AUS-Steuerung für das Relais 212 beschrieben, wodurch die EIN-AUS-Steuerung für das Relais 214 vereinfacht wird. The relays 212 and 214 are controlled ON-OFF in substantially the same way. For this reason, the ON-OFF control for the relay becomes 212 described whereby the ON-OFF control for the relay 214 is simplified.

Der Hauptmikrocomputer 20 führt nicht nur die EIN-AUS-Steuerung für das Relais 212 durch, sondern befiehlt auch die Einstellungen eines Ausgangsdrehmoments des Motors, der eine Antriebsleistungsquelle für das Fahrzeug ist, und eine Ladungsmenge der Hochspannungsbatterie 210 zu einer anderen Elektronische Steuereinheit über eine Controller Area Network (CAN: Warenzeichen) Kommunikation. The main microcomputer 20 not only does the ON-OFF control for the relay 212 but also commands the settings of an output torque of the engine, which is a drive power source for the vehicle, and a charge amount of the high-voltage battery 210 to another electronic control unit via a Controller Area Network (CAN: trademark) communication.

Der untergeordnete Mikrocomputer 30 berechnet auch einen zweiten Steuerwert für ein gleiches Berechnungsobjekt wie das des Hauptmikrocomputers 20 auf der Grundlage von Daten, wie beispielsweise der Beschleunigerposition, der Schaltposition und der Batterieladungstiefe, die von der Eingangsleitung 102 empfangen werden, unter Verwendung desselben Berechnungsprogramms wie der Hauptmikrocomputer 20. The subordinate microcomputer 30 Also calculates a second control value for a same calculation object as that of the main microcomputer 20 based on data such as the accelerator position, the shift position, and the battery charge depth received from the input line 102 to be received, under Using the same calculation program as the main microcomputer 20 ,

Der untergeordnete Mikrocomputer 30 empfängt das Berechnungsergebnis des Hauptmikrocomputers 20 durch eine interne Computerkommunikation mittels einer Kommunikationsleitung 140. Der untergeordnete Mikrocomputer 30 vergleicht dann das von dem Hauptmikrocomputer 20 empfangene Berechnungsergebnis mit einem Berechnungsergebnis des untergeordneten Mikrocomputers 30. Der untergeordnete Mikrocomputer 30 gibt ein Ausgabesignal als sein erstes Ausgabesignal aus, das bestimmt, ob das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegebene Steuersignal von der elektronischen Steuereinheit 10 auf der Grundlage eines Vergleichsergebnisses für eine Ausgabe an die Ausgabeleitung 106 erlaubt ist. The subordinate microcomputer 30 receives the calculation result of the main microcomputer 20 by an internal computer communication by means of a communication line 140 , The subordinate microcomputer 30 then compare that from the main microcomputer 20 received calculation result with a calculation result of the subordinate microcomputer 30 , The subordinate microcomputer 30 outputs an output signal as its first output signal, which determines whether that from the main microcomputer 20 to the control line 104 output control signal from the electronic control unit 10 based on a comparison result for output to the output line 106 allowed is.

Falls das Berechnungsergebnis des Hauptmikrocomputers 20 und das Berechnungsergebnis des untergeordneten Mikrocomputers 30 übereinstimmen, bestimmt der untergeordnete Mikrocomputer 30, dass der Hauptmikrocomputer 20 normal ist und gibt ein EIN-Signal aus, das eine Erlaubnis als das Ausgabesignal an die Ausgabeleitung 106 anzeigt. Falls das Berechnungsergebnis des Hauptmikrocomputers 20 und das Berechnungsergebnis des untergeordneten Mikrocomputers 30 nicht übereinstimmen, bestimmt der untergeordnete Mikrocomputer 30, dass der Hauptmikrocomputer 20 anormal ist und gibt ein AUS-Signal (Niedrigpegel-Signal) aus, das ein Verbot als das Ausgabesignal an die Ausgabeleitung 106 anzeigt. If the calculation result of the main microcomputer 20 and the calculation result of the sub-microcomputer 30 match, determines the subordinate microcomputer 30 that the main microcomputer 20 is normal and outputs an ON signal, which is a permission as the output signal to the output line 106 displays. If the calculation result of the main microcomputer 20 and the calculation result of the sub-microcomputer 30 do not match, determines the subordinate microcomputer 30 that the main microcomputer 20 is abnormal and outputs an OFF signal (low level signal) that prohibits as the output signal to the output line 106 displays.

Der untergeordnete Mikrocomputer 30 stellt normalerweise die Ausgabeleitung 106 in den EIN-Zustand ein. Der untergeordnete Mikrocomputer 30 gibt das AUS-Signal an die Ausgabeleitung 106 aus, wenn die Berechnungsergebnisse des Hauptmikrocomputers 20 und des untergeordneten Mikrocomputers 30 nicht übereinstimmen. The subordinate microcomputer 30 usually sets the output line 106 in the ON state. The subordinate microcomputer 30 gives the OFF signal to the output line 106 off when the calculation results of the main microcomputer 20 and the subordinate microcomputer 30 do not match.

Der untergeordnete Mikrocomputer 30 weist einen Watchdog-Zähler (nicht gezeigt) auf und empfängt einen Impuls zum Löschen des Watchdog-Zählers von dem Haupt-Mikrocomputer 20 mittels einer Kommunikationsleitung 142. Falls der untergeordnete Mikrocomputer 30 den Impuls zum Löschen des Watchdog-Zählers von dem Hauptmikrocomputer 20 innerhalb einer vorbestimmten Zeitspanne nicht empfängt, bestimmt der untergeordnete Mikrocomputer 30, dass der Hauptmikrocomputer 20 anormal ist. The subordinate microcomputer 30 has a watchdog counter (not shown) and receives a pulse for clearing the watchdog counter from the main microcomputer 20 by means of a communication line 142 , If the subordinate microcomputer 30 the pulse to clear the watchdog counter from the main microcomputer 20 within a predetermined period of time, the slave microcomputer determines 30 that the main microcomputer 20 is abnormal.

In diesem Fall gibt der untergeordnete Mikrocomputer 30 das AUS-Signal an die Ausgabeleitung 106 aus. Das AUS-Signal verbietet dem Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird, von der elektronischen Steuereinheit 10 ausgegeben zu werden. Falls das Ausgabesignal, das von dem untergeordneten Mikrocomputer 30 an die Ausgabeleitung 106 ausgegeben wird, im EIN-Zustand ist, was die Erlaubnis anzeigt, gibt das Auswahlteil 50 das Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird, an eine Ausgabeleitung 108 des Auswahlteils 50 aus. Falls das Ausgabesignal, das von dem untergeordneten Mikrocomputer 30 an die Ausgabeleitung 106 ausgegeben wird, das AUS-Signal ist, welches das Verbot anzeigt, schaltet das Auswahlteil 50 das Steuersignal ab, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird. In diesem Fall gibt das Auswahlteil 50 das Steuersignal zum Ausschalten des Relais 212 an die Ausgabeleitung 108 aus. In this case, the subordinate microcomputer gives 30 the OFF signal to the output line 106 out. The OFF signal prohibits the control signal from the main microcomputer 20 to the control line 104 is output from the electronic control unit 10 to be issued. If the output signal from the subordinate microcomputer 30 to the output line 106 is in the ON state, which indicates the permission gives the selection part 50 the control signal from the main microcomputer 20 to the control line 104 is output to an output line 108 of the selection part 50 out. If the output signal from the subordinate microcomputer 30 to the output line 106 is output which is the OFF signal indicating the prohibition, the selection part switches 50 the control signal coming from the main microcomputer 20 to the control line 104 is issued. In this case, the selection part gives 50 the control signal to turn off the relay 212 to the output line 108 out.

Das Ausgabeteil 60 gibt das Signal der Ausgabeleitung 108 aus, um von der elektronischen Steuereinheit 10 an das Relais 212 mittels einer Ausgabeleitung 110 ausgegeben zu werden. Falls das Relais 202 in einem EIN-Zustand ist, wird dem Ausgabeteil 60 von einer Niederspannungs-Leistungsversorgung 200 von 12 V, beispielsweise mittels einer Stromleitung 150, Leistung zugeführt. Das Relais 202 wird entsprechend dem Steuersignal, das von dem Ausgabesteuerteil 62 an eine Ausgabeleitung 130 ausgegeben wird, ein- und ausgeschaltet. The output part 60 gives the signal to the output line 108 from to the electronic control unit 10 to the relay 212 by means of an output line 110 to be issued. If the relay 202 is in an ON state, becomes the output part 60 from a low voltage power supply 200 of 12 V, for example by means of a power line 150 , Power supplied. The relay 202 is in accordance with the control signal from the output control part 62 to an output line 130 is output, switched on and off.

Der untergeordnete Mikrocomputer 30 überwacht die Ausgabe des Ausgabeteils 60 durch eine Überwachungsleitung 160. Bei der Erfassung von dem Signal der Überwachungsleitung 160, dass die Ausgabe des Ausgabeteils 60 trotz des AUS-Signals, welches das Verbot (AUS-Zustand) an der Ausgabeleitung 106 anzeigt, im EIN-Zustand ist, gibt der untergeordnete Mikrocomputer 30 das AUS-Signal zu einer Ausgabeleitung 122 aus, zu welcher der untergeordnete Mikrocomputer 30 normalerweise ein EIN-Signal ausgibt. Somit gibt der untergeordnete Mikrocomputer 30 sein zweites Ausgabesignal an die Ausgabeleitung 122 zusätzlich zu dem an die Ausgabeleitung 106 ausgegebenen ersten Ausgabesignal aus. The subordinate microcomputer 30 monitors the output of the output part 60 through a monitoring line 160 , In the detection of the signal of the monitoring line 160 that the output of the output part 60 despite the OFF signal indicating the prohibition (OFF state) on the output line 106 indicates, is in the ON state, gives the subordinate microcomputer 30 the OFF signal to an output line 122 out to which the subordinate microcomputer 30 normally outputs an ON signal. Thus, the subordinate microcomputer gives 30 its second output signal to the output line 122 in addition to that to the output line 106 outputted first output signal.

Die Ausgabe des Ausgabesteuerteils 62 befindet sich im EIN-Zustand, wenn sich die Ausgabeleitungen 120, 122 und 124 alle in EIN-Zuständen befinden und infolgedessen sich die Ausgabeleitung 126 des Auswahlteils 52 und die Ausgabeleitung 128 des Auswahlteils 54 in den EIN-Zuständen befinden. Die Ausgabe des Ausgabesteuerteils 62 ist das AUS-Signal und das Relais 202 wird in den AUS-Zustand geschaltet, wenn zumindest eine der Ausgabeleitungen 120, 122 und 124 das AUS-Signal ist. Infolgedessen wird die Leistungsversorgung von der Niederspannungs-Leistungsversorgung 200 zu dem Ausgabeteil 60 abgeschaltet. The output of the output control part 62 is in the ON state when the output lines 120 . 122 and 124 all are in ON states and, as a result, the output line 126 of the selection part 52 and the output line 128 of the selection part 54 are in the ON states. The output of the output control part 62 is the OFF signal and the relay 202 is switched to the OFF state when at least one of the output lines 120 . 122 and 124 the OFF signal is. As a result, the power supply from the low-voltage power supply 200 to the output part 60 off.

Wenn die Leistungsversorgung von der Niederspannungs-Leistungsversorgung 200 zum Ausgabeteil 60 abgeschaltet wird, wird das von dem Ausgabeteil 60 an die Ausgabeleitung 110 ausgegebene Steuersignal in den AUS-Zustand gewechselt und das Relais 212 wird in den AUS-Zustand geschaltet. Infolgedessen wird die Leistungsversorgung von der Hochspannungsbatterie 210 zu den fahrzeugseitigen Vorrichtungen abgeschaltet. When the power supply from the low voltage power supply 200 to the output part 60 is turned off, that of the output part 60 to the output line 110 output control signal is changed to the OFF state and the relay 212 is switched to the OFF state. As a result, the power supply from the high voltage battery 210 switched off to the vehicle-mounted devices.

Der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 empfangen zusätzlich die Ausgabe des Relais 202 mittels Stromleitungen 152 und 154 zum Durchführen von Überwachungstätigkeiten. Der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 erfassen ein Spannungserfassungssignal, das von einer Überwachungsvorrichtung 216 ausgegeben wird, wie beispielsweise ein Hochspannungssensor, jeweils mittels der Überwachungsleitungen 162 bzw. 164, und überwachen, ob die Hochspannung von der Hochspannungsbatterie 210 zu den fahrzeugseitigen Vorrichtungen zugeführt wird. The main microcomputer 20 and the subordinate microcomputer 30 additionally receive the output of the relay 202 by means of power lines 152 and 154 to carry out surveillance activities. The main microcomputer 20 and the subordinate microcomputer 30 detect a voltage detection signal from a monitoring device 216 is output, such as a high voltage sensor, respectively by means of the monitoring lines 162 respectively. 164 , and monitor whether the high voltage from the high voltage battery 210 is supplied to the vehicle-mounted devices.

Falls der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 Ausgabesignale erfassen, die nicht mit den selbst ausgegebenen Signalen von jeweils den Stromleitungen 152 und 154 oder jeweils den Überwachungsleitungen 162 und 164 übereinstimmen, führt der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 eine vorbestimmte ausfallsichere Verarbeitung durch, wie beispielsweise das Reduzieren des Ausgangsdrehmoments des Motors, der als Antriebsleistungsquelle vorgesehen ist. If the main microcomputer 20 and the subordinate microcomputer 30 Capture output signals that do not match the self-output signals from each of the power lines 152 and 154 or each of the monitoring lines 162 and 164 match, the main microcomputer leads 20 and the subordinate microcomputer 30 a predetermined fail-safe processing, such as reducing the output torque of the motor, which is provided as a drive power source.

Der ASIC 40 führt periodisch Berechnungen auf der Grundlage des gleichen Algorithmus wie der untergeordnete Mikrocomputer 30 durch und empfängt ein Ergebnis der Berechnung, die der untergeordnete Mikrocomputer 30 periodisch auf der Grundlage des gleichen Algorithmus mittels einer Kommunikationsleitung 144 durchführt. Das Berechnungsergebnis kann ein einfaches Ergebnis wie "0" oder "1" oder "wahr" oder "falsch" sein. Falls das von dem untergeordneten Mikrocomputer 30 mittels der Kommunikationsleitung 144 empfangene Berechnungsergebnis und das Berechnungsergebnis des ASIC 40 nicht übereinstimmen, gibt das ASIC 40 ein AUS-Signal an eine Ausgabeleitung 124 aus. The ASIC 40 periodically performs calculations based on the same algorithm as the subordinate microcomputer 30 and receives a result of the calculation that the subordinate microcomputer 30 periodically based on the same algorithm by means of a communication line 144 performs. The calculation result may be a simple result such as "0" or "1" or "true" or "false". If that from the subordinate microcomputer 30 by means of the communication line 144 received calculation result and the calculation result of the ASIC 40 do not match, gives the ASIC 40 an OFF signal to an output line 124 out.

Der ASIC 40 weist einen Watchdog-Zähler (nicht gezeigt) auf und empfängt einen Impuls zum Löschen des Watchdog-Zählers von dem untergeordneten Mikrocomputer 30 mittels einer Kommunikationsleitung 146. Falls der ASIC 40 nicht den Impuls zum Löschen des Watchdog-Zählers von dem untergeordneten Mikrocomputer 30 innerhalb einer vorbestimmten Zeitspanne empfängt, gibt der ASIC 40 ein Rücksetzsignal an den Hauptmikrocomputer 20 und den untergeordneten Mikrocomputer 30 gleichzeitig mittels den Steuerleitungen 170 und 172 aus. The ASIC 40 has a watchdog counter (not shown) and receives a pulse to clear the watchdog counter from the slave microcomputer 30 by means of a communication line 146 , If the ASIC 40 not the pulse to clear the watchdog counter from the subordinate microcomputer 30 within a predetermined period of time, the ASIC issues 40 a reset signal to the main microcomputer 20 and the subordinate microcomputer 30 simultaneously by means of the control lines 170 and 172 out.

Die elektronische Steuereinheit 10 führt eine Fahrzeugsteuerverarbeitung durch, wie in einem in 2 gezeigten Ablaufdiagramm beispielhaft dargestellt ist. In 2 bilden zehn als Verarbeitung (1) bis zu der Verarbeitung (10) identifizierte Verarbeitung eine Verarbeitungssequenz. Eine Verarbeitungssequenz wird beispielsweise alle 10 Millisekunden wiederholt.

(1) Der Hauptmikrocomputer 20 erfasst solche Daten wie beispielsweise die Beschleunigerposition, die Schaltposition und die Batterieladungstiefe von der Eingangsleitung 100. Falls der Ausgabezustand des Ausgabeteils 60 eingeschaltet ist, obwohl das AUS-Signal an die Ausgabeleitung 106 in der Verarbeitungssequenz der vorherigen Verarbeitungszeit ausgegeben wird, führt der untergeordnete Mikrocomputer 30 die ausfallsichere Verarbeitung durch, um das AUS-Signal an die Ausgabeleitung 122 auszugeben.
(2) Der Hauptmikrocomputer 20 führt die Steuerberechnung zum Steuern des Relais 212 in den EIN-Zustand oder den AUS-Zustand auf der Grundlage der in der Verarbeitung (1) erfassten Daten aus. Der untergeordnete Mikrocomputer 30 erfasst auch dieselben Daten wie die Beschleunigerposition, die Schaltposition und die Batterieladungstiefe von der Eingangsleitung 102 in ähnlicher Weise, wie sie durch den Hauptmikrocomputer 20 durchgeführt wird.
(3) Im Anschluss an die Verarbeitung (2) führt der untergeordnete Mikrocomputer 30 die Steuerberechnung aus, um zu bestimmen, ob das Relais 212 in den EIN-Zustand oder den AUS-Zustand geschaltet werden soll. Der untergeordnete Mikrocomputer 30 führt die Steuerberechnung zum Steuern des Relais 212 in den EIN-Zustand oder den AUS-Zustand auf der Grundlage der in der Verarbeitung (2) erfassten Daten aus, wie sie durch den Hauptmikrocomputer 20 ausgeführt wird.
(4) Der Hauptmikrocomputer 20 überträgt Signale als Berechnungsergebnisse der Verarbeitung (2) und der Verarbeitung (3), die anzeigen, ob das Relais 212 durch die Kommunikationsleitung 14 in den EIN-Zustand oder den AUS-Zustand an den untergeordneten Mikrocomputer 30 mittels der internen Computerkommunikation geschaltet werden soll. Im Anschluss an die Verarbeitung (3) führt der untergeordnete Mikrocomputer 30 die Steuerverarbeitung aus, um zu bestimmen, ob das Relais 212 in den EIN-Zustand oder den AUS-Zustand geschaltet werden soll.
(5) Der Hauptmikrocomputer 20 führt zusätzlich eine Steuerberechnung aus, wie beispielsweise die Einstellung des Ausgangsdrehmoments des Motors als Antriebsleistungsquelle des Fahrzeugs und die Einstellung der Ladungsmenge der Hochspannungsbatterie 210, die sich von der Bestimmung des Mikrocomputers 30 unterscheidet, ob sein Berechnungsergebnis mit dem Berechnungsergebnis des Hauptmikrocomputers 20 übereinstimmt, d.h. ob das Relais 212 ein- oder ausgeschaltet werden soll. Der untergeordnete Mikrocomputer 30 empfängt das Berechnungsergebnis darüber, ob das Relais 212 von dem Hauptmikrocomputer 20 durch die interne Computerkommunikation mittels der Kommunikationsleitung 140 ein- oder ausgeschaltet werden soll.
(6) Im Anschluss an die Verarbeitung (5) führt der Hauptmikrocomputer 20 eine Steuerberechnung aus, die nicht die Bestimmung ist, ob das Relais 212 ein- oder ausgeschaltet werden soll. Der untergeordnete Mikrocomputer 30 prüft, ob das von dem Hauptmikrocomputer 20 empfangene Berechnungsergebnis und das Berechnungsergebnis des untergeordneten Mikrocomputers 30 übereinstimmen, um dabei zu bestimmen, ob das Relais 212 in den EIN-Zustand oder den AUS-Zustand geschaltet werden soll.
(7) Der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 führen dieselbe Verarbeitung wie die Verarbeitung (6) durch.
(8) Im Anschluss an die Verarbeitung (7) führt der Hauptmikrocomputer 20 eine Steuerberechnung aus, die nicht die Bestimmung ist, ob das Relais 212 ein- oder ausgeschaltet werden soll. Auf der Grundlage des Bestimmungsergebnisses in der Verarbeitung (6) und (7) prüft der untergeordnete Mikrocomputer 30, ob die Ausgabe des Auswahlteils 50 in den AUS-Zustand geschaltet ist, indem das AUS-Signal an die Ausgabeleitung 106 ausgegeben wird, so dass die Hochspannungsversorgung von der Hochspannungsbatterie 210 durch Ausschalten des Relais 212 verboten wird.
(9) Der Hauptmikrocomputer 20 gibt die Berechnungsergebnisse der in der Verarbeitung (2) und der Verarbeitung (3) ausgeführten Steuerberechnungen an die Steuerleitung 104 aus. Der Hauptmikrocomputer 20 gibt die Berechnungsergebnisse der in der Verarbeitung (5) bis Verarbeitung (8) ausgeführten Steuerberechnungen an andere elektronische Steuereinheiten durch die CAN-Kommunikation aus.

The electronic control unit 10 performs vehicle control processing as in an in 2 shown flowchart is exemplified. In 2 Ten processing identified as processing (1) until the processing (10) constitute a processing sequence. For example, a processing sequence is repeated every 10 milliseconds.

(1) The main microcomputer 20 detects such data as the accelerator position, the shift position and the battery charge depth from the input line 100 , If the output state of the output part 60 is turned on, although the OFF signal is to the output line 106 in the processing sequence of the previous processing time, the subordinate microcomputer performs 30 the fail-safe processing by to the OFF signal to the output line 122 issue.
(2) The main microcomputer 20 The tax calculation leads to the control of the relay 212 in the ON state or the OFF state based on the processing ( 1 ). The subordinate microcomputer 30 Also collects the same data as the accelerator position, the shift position and the battery charge depth from the input line 102 in a similar way as through the main microcomputer 20 is carried out.
(3) Following processing (2), the subordinate microcomputer performs 30 the tax calculation to determine if the relay 212 to be switched to the ON state or the OFF state. The subordinate microcomputer 30 The tax calculation leads to the control of the relay 212 in the ON state or the OFF state on the basis of the data acquired in the processing (2), as determined by the main microcomputer 20 is performed.
(4) The main microcomputer 20 transmits signals as calculation results of processing (2) and processing (3), which indicate whether the relay 212 through the communication line 14 in the ON state or the OFF state to the subordinate microcomputer 30 to be switched by means of internal computer communication. Following the processing (3), the subordinate microcomputer performs 30 the control processing off to determine if the relay 212 to be switched to the ON state or the OFF state.
(5) The main microcomputer 20 In addition, performs a control calculation such as the adjustment of the output torque of the engine as the drive power source of the vehicle and the adjustment of the charge amount the high voltage battery 210 that differ from the determination of the microcomputer 30 distinguishes whether its calculation result with the calculation result of the main microcomputer 20 matches, ie whether the relay 212 should be switched on or off. The subordinate microcomputer 30 receives the calculation result about whether the relay 212 from the main microcomputer 20 through the internal computer communication via the communication line 140 should be switched on or off.
(6) Following the processing (5), the main microcomputer performs 20 a tax calculation that is not the determination of whether the relay 212 should be switched on or off. The subordinate microcomputer 30 Check if that from the main microcomputer 20 received calculation result and the calculation result of the subordinate microcomputer 30 to determine if the relay 212 to be switched to the ON state or the OFF state.
(7) The main microcomputer 20 and the subordinate microcomputer 30 perform the same processing as the processing (6).
(8) Following processing (7), the main microcomputer runs 20 a tax calculation that is not the determination of whether the relay 212 should be switched on or off. On the basis of the determination result in the processing (6) and (7), the sub-microcomputer checks 30 whether the output of the selection part 50 is switched to the OFF state by the OFF signal to the output line 106 is output, so that the high voltage power supply from the high voltage battery 210 by switching off the relay 212 is prohibited.
(9) The main microcomputer 20 gives the calculation results of the control calculations executed in the processing (2) and the processing (3) to the control line 104 out. The main microcomputer 20 outputs the calculation results of the control calculations executed in the processing (5) to processing (8) to other electronic control units through the CAN communication.

Auf der Grundlage des Prüfergebnisses bei der Verarbeitung (8) gibt der untergeordnete Mikrocomputer 30 das AUS-Signal an die Ausgabeleitung 106 aus, so dass es dem Steuersignal des Hauptmikrocomputers 20 verboten wird, von dem Auswahlteil 50 ausgegeben zu werden, wenn die Berechnungsergebnisse des Hauptmikrocomputer 20 und des untergeordneten Mikrocomputers 30 nicht übereinstimmen. Infolgedessen wird das AUS-Signal zum Ausschalten des Relais 212 von dem Ausgabeteil 60 ausgegeben.

(10) Der Hauptmikrocomputer 20 wartet ohne Ausführung der Verarbeitung. Der untergeordnete Mikrocomputer 30 überwacht den Ausgabezustand des Ausgabeteils 60 durch die Überwachungsleitung 160 und prüft auf eine rückkoppelnde Weise, ob die Ausgabe des Ausgabeteils 60 trotz des an die Ausgabeleitung 106 ausgegebenen AUS-Signals im EIN-Zustand ist.

On the basis of the test result in the processing (8), the subordinate microcomputer outputs 30 the OFF signal to the output line 106 out, giving it the control signal of the main microcomputer 20 is prohibited from the selection section 50 to be issued when the calculation results of the main microcomputer 20 and the subordinate microcomputer 30 do not match. As a result, the OFF signal turns off the relay 212 from the output part 60 output.

(10) The main microcomputer 20 waits without executing the processing. The subordinate microcomputer 30 monitors the output state of the output part 60 through the monitoring line 160 and checks in a feedback manner whether the output of the output part 60 despite the fact to the output line 106 output signal is ON.

Falls die Ausgabe des Ausgabeteils 60 trotz des an die Ausgabeleitung 106 ausgegebenen AUS-Signals im EIN-Zustand ist, führt der untergeordnete Mikrocomputer 30 die ausfallsichere Verarbeitung durch, die das AUS-Signal an die Ausgabeleitung 122 in der nächsten Sequenz der Verarbeitung (1) ausgibt. If the output of the output part 60 despite the fact to the output line 106 output signal is ON, the subordinate microcomputer performs 30 the fail-safe processing by which the OFF signal to the output line 122 in the next sequence of processing outputs (1).

Infolgedessen wird die Ausgabe des Ausgabesteuerteils 62 in den AUS-Zustand geändert und das Relais 202 wird ausgeschaltet. Die Leistungsversorgung von der Niederspannungsbatterie 200 zum Ausgabeteil 60 wird abgeschaltet. Da somit das Relais 212 ausgeschaltet ist, wird die Hochspannungsversorgung von der Hochspannungsbatterie 210 zu den fahrzeugseitigen Vorrichtungen abgeschaltet. As a result, the output of the output control part becomes 62 changed to the OFF state and the relay 202 is switched off. The power supply from the low-voltage battery 200 to the output part 60 will be switched off. As a result, the relay 212 is turned off, the high voltage power supply from the high voltage battery 210 switched off to the vehicle-mounted devices.

Die elektronische Steuereinheit 10 gemäß dem zuvor beispielhaft beschriebenen Ausführungsbeispiel bietet die folgenden Vorteile.

(I) Die elektronische Steuereinheit 10 weist den Hauptmikrocomputer 20 auf, der die Hochspannungs-Leistungsversorgung von der Hochspannungsbatterie 210 zu den fahrzeugseitigen Vorrichtungen steuert, und den untergeordneten Mikrocomputer 30, der überwacht, ob der Hauptmikrocomputer 20 normal oder anormal ist.

The electronic control unit 10 According to the embodiment described above by way of example offers the following advantages.

(I) The electronic control unit 10 has the main microcomputer 20 on top of the high voltage power supply from the high voltage battery 210 controls to the on-vehicle devices, and the subordinate microcomputer 30 Monitoring whether the main microcomputer 20 normal or abnormal.

Der Hauptmikrocomputer 20 und der untergeordnete Mikrocomputer 30 teilen sich keine Hardwareressourcen und weisen individuell die CPUs 22 und 32 auf, welche die Berechnungen ausführen, die Speicher 24 und 34, welche die in den Berechnungen verwendeten Daten speichern, und die Datenleitungen, mittels denen die CPUs 22 und 32 auf die Speicher 24 und 34 zugreifen. The main microcomputer 20 and the subordinate microcomputer 30 do not share any hardware resources and individually assign the CPUs 22 and 32 on which perform the calculations, the memory 24 and 34 which store the data used in the calculations, and the data lines by which the CPUs 22 and 32 on the memory 24 and 34 access.

Gemäß dieser Konfiguration kann der untergeordnete Mikrocomputer 30 auch in dem Fall, in dem das Berechnungsergebnis des Hauptmikrocomputers 20 aufgrund einer Anormalität in der Hardwareressource anormal wird, in geeigneter Weise überwachen, ob der Hauptmikrocomputer 20 normal oder anormal ist, auf der Grundlage der Berechnungsergebnisse des Hauptmikrocomputers 20, soweit die Hardwareressourcen des untergeordneten Mikrocomputers 30 normal sind.

(II) Da der untergeordnete Mikrocomputer 30 das Ausgabesignal des Ausgabeteils 60 erfasst und überwacht, kann er die Leistungsversorgung des Ausgabeteils 60 abschalten, indem das AUS-Signal an die Ausgabeleitung 122 ausgegeben wird, wenn sich die Ausgabe des Ausgabeteils 60 im EIN-Zustand befindet, im Gegensatz zum Aus-Signal, das an die Ausgabeleitung 106 ausgegeben wird.

According to this configuration, the subordinate microcomputer 30 even in the case where the calculation result of the main microcomputer 20 due to an abnormality in the hardware resource becomes abnormal, suitably monitor whether the main microcomputer 20 normal or abnormal, based on the calculation results of the main microcomputer 20 , as far as the hardware resources of the subordinate microcomputer 30 are normal.

(II) Since the subordinate microcomputer 30 the output signal of the output part 60 detected and monitored, it can supply the power of the output part 60 switch off by pressing the Signal to the output line 122 is output when the output of the output part 60 In the ON state, unlike the OFF signal, it is connected to the output line 106 is issued.

Infolgedessen kann das Relais 212 selbst in einem Fall, in dem die Ausgabe des Ausgabeteils 60 fest in dem EIN-Zustand unter dem Zustand bleibt, in dem der Hauptmikrocomputer 20 anormal ist, durch Abschalten der Leistungsversorgung zu dem Ausgabeteil 60 ausgeschaltet werden. As a result, the relay can 212 even in a case where the output of the output part 60 firmly remains in the ON state under the state in which the main microcomputer 20 is abnormal, by switching off the power supply to the output part 60 turned off.

Da zusätzlich der untergeordnete Mikrocomputer 30 das Ausgabesignal des Ausgabeteils 60 erfasst und überwacht, kann das Relais 212 durch Abschalten der Leistungsversorgung zum Ausgabeteil 60 und die Hochspannungsversorgung zu den fahrzeugseitigen Vorrichtungen sofort abgeschaltet werden, auch im Fall, in dem die Ausgabe des Ausgabeteils 60 fest im EIN-Zustand verbleibt.

(III) Da der ASIC 40 überwacht, ob der untergeordnete Mikrocomputer 30 normal oder anormal ist, kann der ASIC 40 die Leistungsversorgung zu dem Ausgabeteil 60 abschalten, indem er das AUS-Signal an die Ausgabeleitung 124 ausgibt, auch im Fall, in dem der untergeordnete Mikrocomputer 30, der den Hauptmikrocomputer 20 überwacht, anormal ist.

In addition, the subordinate microcomputer 30 the output signal of the output part 60 detected and monitored, the relay can 212 by switching off the power supply to the output part 60 and the high voltage power supply to the on-vehicle devices are immediately shut off, even in the case where the output of the output part 60 remains firmly in the ON state.

(III) Since the ASIC 40 monitors whether the subordinate microcomputer 30 is normal or abnormal, the ASIC 40 the power supply to the output part 60 turn off by sending the OFF signal to the output line 124 outputs, even in the case where the subordinate microcomputer 30 , the main microcomputer 20 monitored, abnormal.

[Abwandlung] [Modification]

(i) In the embodiment described above, the main microcomputer switches 20 which is provided as the first microcomputer, the relay 212 as a vehicle control on and off and the subordinate microcomputer 30 , which is provided as the second microcomputer, monitors whether the main microcomputer 20 normal or abnormal.

Die Fahrzeugsteuerung, die durch den ersten Mikrocomputer durchgeführt wird, ist nicht darauf beschränkt, das Relais 212 ein- und auszuschalten, sondern kann auch andere Fahrzeugsteuerungen beinhalten. In diesem Fall verbietet der zweite Mikrocomputer dem Steuersignal, das von dem ersten Mikrocomputer für die Fahrzeugsteuerung ausgegeben wird, von der elektronischen Steuereinheit ausgegeben zu werden, falls der erste Mikrocomputer anormal ist.

(ii) In dem zuvor beschriebenen Ausführungsbeispiel ist der ASIC 40 als das Überwachungsteil vorgesehen, um zu überwachen, ob der untergeordnete Mikrocomputer 30 normal oder anormal ist. Das Überwachungsteil zum Überwachen, ob der untergeordnete Mikrocomputer 30 normal oder anormal ist, kann alternativ von einem Mikrocomputer ausgebildet sein.
(iii) Bei dem zuvor beschriebenen Ausführungsbeispiel kann die Schaltungskonfiguration, in welcher der untergeordnete Mikrocomputer 30 und der ASIC 40 die Ausgabe des Ausgabesteuerteils 62 durch die Ausgabeleitungen 122 und 124 ausschalten, ausgenommen werden. In diesem Fall kann dem Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird, verboten werden, von der elektronischen Steuereinheit 10 durch das AUS-Signal ausgegeben zu werden, das von dem untergeordneten Mikrocomputer 30 an die Ausgabeleitung 106 ausgegeben wird.
(iv) Bei dem zuvor beschriebenen Ausführungsbeispiel kann das Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird, von dem Ausgabeteil 60 an das Relais 212 ausgegeben werden, ohne mittels des Auswahlteils 50. In diesem Fall wird, falls der Hauptmikrocomputer 20 anormal ist, dem Steuersignal, das von dem Hauptmikrocomputer 20 an die Steuerleitung 104 ausgegeben wird, verboten, von der elektronischen Steuereinheit 10 ausgegeben zu werden, indem das AUS-Signal von dem untergeordneten Mikrocomputer 30 an die Ausgangsleitung 122 ausgegeben wird und die Leistungsversorgung zum Ausgabeteil 60 abgeschaltet wird.
(v) Bei dem zuvor beschriebenen Ausführungsbeispiel überwacht ein untergeordneter Mikrocomputer 30, ob ein Hauptmikrocomputer 20 normal oder anormal ist. Alternativ kann ein untergeordneter Mikrocomputer 30 überwachen, ob zwei oder mehr Hauptmikrocomputer 20 normal oder anormal sind. In diesem Fall kann der untergeordnete Mikrocomputer 30 überwachen, ob die Hauptmikrocomputer 20 auf der Grundlage der Berechnungsergebnisse der Hauptmikrocomputer 20 normal oder anormal sind.
(vi) Falls der untergeordnete Mikrocomputer 30 anormal ist, kann der ASIC 40 das Ausgabesignal ausgeben, welches das von dem Hauptmikrocomputer 20 ausgegebene Steuersignal zum Auswahlteil 50 abschaltet.

The vehicle control performed by the first microcomputer is not limited to the relay 212 on and off, but may also include other vehicle controls. In this case, the second microcomputer prohibits the control signal output from the first microcomputer for vehicle control from being output from the electronic control unit if the first microcomputer is abnormal.

(ii) In the above-described embodiment, the ASIC 40 as the monitoring part provided to monitor whether the subordinate microcomputer 30 normal or abnormal. The monitoring part for monitoring whether the subordinate microcomputer 30 is normal or abnormal, may alternatively be formed by a microcomputer.
(iii) In the above-described embodiment, the circuit configuration in which the subordinate microcomputer 30 and the ASIC 40 the output of the output control part 62 through the output lines 122 and 124 switch off, except. In this case, the control signal generated by the main microcomputer 20 to the control line 104 is issued, forbidden, from the electronic block of management 10 to be output by the OFF signal from the subordinate microcomputer 30 to the output line 106 is issued.
(iv) In the above-described embodiment, the control signal generated by the main microcomputer 20 to the control line 104 is output from the output part 60 to the relay 212 be issued without using the selection part 50 , In this case, if the main microcomputer 20 is abnormal, the control signal from the main microcomputer 20 to the control line 104 is issued, forbidden, from the electronic block of management 10 to be issued by the OFF signal from the subordinate microcomputer 30 to the output line 122 is output and the power supply to the output part 60 is switched off.
(v) In the embodiment described above, a subordinate microcomputer monitors 30 whether a main microcomputer 20 normal or abnormal. Alternatively, a subordinate microcomputer 30 monitor whether two or more main microcomputer 20 normal or abnormal. In this case, the subordinate microcomputer 30 monitor if the main microcomputer 20 based on the calculation results of the main microcomputer 20 normal or abnormal.
(vi) If the subordinate microcomputer 30 is abnormal, the ASIC 40 output the output signal from that of the main microcomputer 20 output control signal to the selection part 50 off.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

WO 11-505587 [0002]

Claims

Electronic control unit comprising: a first microcomputer ( 20 ) configured to perform a control calculation for controlling a vehicle; a second microcomputer ( 30 ) configured to monitor whether the first microcomputer is normal or abnormal based on a calculation result of the first microcomputer ( 20 ); and a selection part ( 50 to 54 ) configured to grant permission or prohibition to one of the first microcomputer ( 20 ) to execute the vehicle control output control signal to the electronic control unit ( 10 ) based on an output signal of the second microcomputer ( 30 ), the second microcomputer ( 30 ) outputs the output signal which corresponds to the control signal of the first microcomputer ( 20 ) is allowed or prohibited by the electronic control unit ( 10 ), if the first microcomputer ( 20 ) is normal and abnormal, and the selection part ( 50 ) both the control signal of the first microcomputer ( 20 ) as well as the output signal of the second microcomputer ( 30 ), characterized by additionally comprising: an output part ( 60 ) configured to receive an output signal of the selection part ( 50 ) as a first output signal of a first selection part from the electronic control unit ( 10 ) issue; an output control part ( 62 ) configured to supply the power to the output part (12) 60 ) switch on and off; and a second selection part ( 52 . 54 ), which is configured to control the output control part ( 62 ) to selectively control the power supply based on a second output signal supplied by the second microcomputer ( 30 ) is switched on and off, the second microcomputer ( 30 ) an output of the output part ( 60 ) and the second output signal to the second selection part ( 52 . 54 ) to supply the power to the output part ( 60 ), if the first microcomputer ( 20 ) is abnormal and the output part ( 60 ) outputs the control signal.

Electronic control unit comprising: a first microcomputer ( 20 ) configured to perform a control calculation for controlling a vehicle; a second microcomputer ( 30 ) configured to monitor whether the first microcomputer is normal or abnormal based on a calculation result of the first microcomputer ( 20 ); and a selection part ( 50 to 54 ) configured to grant permission or prohibition to one of the first microcomputer ( 20 ) to execute the vehicle control output control signal to the electronic control unit ( 10 ) based on an output signal of the second microcomputer ( 30 ), the second microcomputer ( 30 ) outputs the output signal which corresponds to the control signal of the first microcomputer ( 20 ) is allowed or prohibited by the electronic control unit ( 10 ), if the first microcomputer ( 20 ) is normal and abnormal, characterized by additionally comprising an output part ( 60 ) configured to receive the control signal from the electronic control unit ( 10 ) issue; and an output control part ( 62 ) configured to supply the power to the output part (12) 60 ) on and off, the selection part ( 52 . 54 ) the output control part ( 62 ) to selectively supply the power to the output part ( 60 ) based on the output signal supplied by the second microcomputer ( 30 ) is switched on and off, and the second microcomputer ( 30 ) the output signal that supplies the power to the output part ( 60 ), to the selection part ( 52 . 54 ) if the first microcomputer ( 20 ) is abnormal.

The electronic control unit of claim 1, wherein: the second microcomputer ( 30 ) is configured to perform the same control calculation as that performed by the first microcomputer ( 20 ) and the calculation results of the first microcomputer ( 20 ) and the second microcomputer ( 30 ) to monitor whether the first microcomputer ( 20 ) is normal or abnormal on the basis of a comparison result.

Electronic control unit according to one of claims 1 to 3, additionally comprising: a monitoring part ( 40 ) configured to monitor whether the second microcomputer ( 30 ) is normal or abnormal.

The electronic control unit of claim 4, wherein: the monitoring part ( 40 ) both the first microcomputer ( 20 ) as well as the second microcomputer ( 30 ) at the same time if the second microcomputer ( 30 ) is abnormal.

An electronic control unit as claimed in any of claims 4 to 5, wherein: the selection part ( 50 ) selectively the control signal of the first microcomputer ( 20 ) outputs or does not output on the basis of the output signal as a first output signal, and the second signal from the monitoring part (FIG. 40 ) is output; and the monitoring part ( 40 ) outputs the second output signal which allows or prohibits the control signal from the selection part ( 50 ), if the second microcomputer ( 30 ) is normal and abnormal.

An electronic control unit as claimed in any of claims 4 to 5, wherein: the selection part ( 52 . 54 ) the output control part ( 62 ) to selectively supply the power to the output part ( 60 ) on the basis of the output signal as the first output signal and the second output signal supplied by the monitoring part ( 40 ) is turned on and off; and the monitoring part ( 40 ) the second output signal that supplies the power to the output part ( 60 ), to the selection part ( 52 . 54 ), if the second microcomputer ( 30 ) is abnormal.

An electronic control unit according to any one of claims 1 to 7, wherein: the control signal is output to a relay ( 212 . 214 ) which turns on or off a high voltage power supply to the high voltage vehicle-mounted devices.

The electronic control unit of claim 8, wherein: the second microcomputer ( 30 ) detects a voltage detection signal indicating whether the high voltage is supplied to the on-vehicle devices.