DE112014005130T5

DE112014005130T5 - Fahrzeugsteuervorrichtung und Ausfallsicherheitsverfahren

Info

Publication number: DE112014005130T5
Application number: DE112014005130.6T
Authority: DE
Inventors: Hirotaka AMOH; Toshiyuki Yamazaki
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2013-11-08
Filing date: 2014-09-29
Publication date: 2016-08-11
Also published as: CN105050859B; JP2015093498A; JP6220232B2; CN105050859A; US20150344039A1; US9701318B2; WO2015068491A1

Abstract

Die vorliegende Erfindung bezieht sich auf eine Fahrzeugsteuervorrichtung und ein Ausfallsicherheitsverfahren. Die Steuervorrichtung umfasst: einen Schaltkreis, der einen Betrieb eines Prozessors 11a in einer Hauptsteuereinheit 11 überwacht; und einen Schaltkreis, der eine Versorgungsspannung Vcc des Prozessors 11a überwacht. Wenn sich der Prozessor 11a in einem normalen Betriebszustand befindet, die Versorgungsspannung Vcc jedoch anormal zunimmt, wird ein Teil von Steuerfunktionen, die tätige Teilsteuereinheiten 12, 13, 14, 15, ..., ausführen, in Übereinstimmung mit einem Steuerbefehl aus der Hauptsteuereinheit 11 abgeschaltet. Dadurch wird es möglich, die Steuerfunktion in dem möglichen Umfang beizubehalten, selbst wenn die Versorgungsspannung Vcc des Prozessors 11a anormal zunimmt, während der Prozessor 11a normal arbeitet.

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung bezieht sich auf eine Fahrzeugsteuervorrichtung und auf ein Ausfallsicherheitsverfahren und insbesondere auf eine Steuertechnik für einen Fall, dass die Versorgungsspannung eines Prozessors aus einem ordnungsgemäßen Bereich fällt.
STAND DER TECHNIK
Das Patentdokument 1 offenbart eine elektronische Fahrzeugsteuervorrichtung, die die Versorgungsspannung eines Mikrocomputers überwacht. Wird ein Abfall der Ausgangsspannung erfasst, hält diese elektronische Fahrzeugsteuerung den Mikrocomputer in einem Rücksetzzustand und verhindert gleichzeitig, das Verbraucher an Bord angetrieben werden.
LITERATURVERZEICHNIS
PATENTDOKUMENT

Patentdokument 1: Offengelegte japanische Patentanmeldung No. 2013-018343

ÜBERSICHT ÜBER DIE ERFINDUNG
PROBLEME, DIE MIT DER ERFINDUNG ZU LÖSEN SIND
Um deren Sicherheit zu verbessern, sind einige Fahrzeuge mit einem Fahrerassistenzsystem (ADAS) ausgestattet, das eine Spurabweichungswarnfunktion, eine automatische Bremsfunktion und andere sicherheitsbezogene Funktionen hat.
Ein beispielhaftes ADAS umfasst eine Hauptsteuereinheit und eine Vielzahl von Teilsteuereinheiten; die Hauptsteuereinheit gibt Steuerbefehles aus, und die Teilsteuereinheiten sorgen individuell für eine Spurabweichungswarnung, automatisches Bremsen und dergleichen, gemäß den Steuerbefehlen von der Hauptsteuereinheit.
Hinsichtlich der Funktionssicherheit erfasst ein derartiges ADAS wünschenswerterweise sowohl einen abnormen Abfall als auch Anstieg der Versorgungsspannung eines Prozessors und führt anschließend einen Ausfallsicherheitsvorgang aus. Wenn das ADAS beispielsweise einen Vorgang des Anhaltens des Betriebs des Prozessors immer dann ausführt, wenn eine Abnormität in der Versorgungsspannung auftritt, können jedoch sämtliche Funktionen des ADAS abgeschaltet werden.
Für den Fall, bei dem ein Fahrer, der an die Steuerfunktionen des ADAS gewöhnt ist, mit dem Fahren fortfährt, ohne sich der Abschaltung der ADAS-Funktionen bewusst zu sein, oder keine ausreichende Kenntnis über den Einfluss der Abschaltung der ADAS-Funktionen zu haben, gibt es Fälle, bei denen eine Änderung der Steuerbarkeit den Fahrer spüren lässt, dass etwas nicht in Ordnung ist.
Die vorliegende Erfindung, die angesichts dieser Probleme gemacht wurde, zielt darauf ab, eine Fahrzeugsteuervorrichtung und ein Ausfallsicherheitsverfahren anzugeben, die in der Lage sind, eine Steuerfunktion in dem möglichen Umfang beizubehalten, wenn eine Abnormität bei der Versorgungsspannung eines Prozessors auftritt.
MITTEL FÜR DIE LÖSUNG DER PROBLEME
Um das oben genannte Ziel zu erreichen, umfasst eine Fahrzeugsteuervorrichtung gemäß der Erfindung dieser Anmeldung eine Hauptsteuereinheit und eine Vielzahl von Teilsteuereinheiten; die Hauptsteuereinheit gibt Steuerbefehle aus, und die Teilsteuereinheiten steuern gesteuerte Objekte gemäß den Steuerbefehlen. Die Fahrzeugsteuervorrichtung umfasst: einen ersten Überwachungsschaltkreis, der einen Betrieb eines Prozessors in der Hauptsteuereinheit überwacht; und einen zweiten Überwachungsschaltkreis, der eine Versorgungsspannung des Prozessors in der Hauptsteuereinheit überwacht. Wenn der erste Überwachungsschaltkreis erfasst, dass der Prozessor normal arbeitet, der zweite Überwachungsschaltkreis jedoch erfasst, dass die Versorgungsspannung aus einem ordnungsgemäßen Bereich fällt, wird ein Teil der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, abgeschaltet.
Ein Ausfallsicherheitsverfahren gemäß der Erfindung dieser Anmeldung ist ein Ausfallsicherheitsverfahren für eine Fahrzeugsteuervorrichtung, die eine Hauptsteuereinheit und eine Vielzahl von Teilsteuereinheiten umfasst; die Hauptsteuereinheit gibt Steuerbefehle aus, und die Teilsteuereinheiten steuern gesteuerte Objekte in Übereinstimmung mit den Steuerbefehlen. Das Ausfallsicherheitsverfahren umfasst folgende Schritte: Überwachen des Betriebs eines Prozessors in der Hauptsteuereinheit; Überwachen einer Versorgungsspannung des Prozessors in der Hauptsteuereinheit; und Abschalten eines Teils der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, wenn der Prozessor normal arbeitet, die Versorgungsspannung jedoch aus einem ordnungsgemäßen Bereich fällt.
EFFEKTE DER ERFINDUNG
Gemäß der vorliegenden Erfindung, die oben beschrieben wurde, ist es möglich, die Sicherheit eines Fahrzeuges sicherzustellen und gleichzeitig eine Veränderung der Steuerbarkeit des Fahrzeuges zu verringern, wenn die Versorgungsspannung eines Prozessors schwankt.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 ist ein Blockschaltbild, das ein Fahrzeugsteuersystem gemäß einer Ausführungsform der vorliegenden Erfindung zeigt.
2 ist eine Ansicht, die beispielhafte Auswahlmuster bei der Ausführungsform der vorliegenden Erfindung zeigt, die verwendet werden, um abzuschaltende Steuerfunktionen zu wählen, wenn die Versorgungsspannung in einen abnormen Zustand eintritt.
3 ist eine Ansicht, die beispielhafte Auswahlmuster bei der Ausführungsform der vorliegenden Erfindung zeigt, die verwendet werden, um abzuschaltende Steuerfunktionen zu wählen, wenn die Versorgungsspannung in einen abnormen Zustand eintritt.
AUSFÜHRUNGSARTEN DER ERFINDUNG
Eine Ausführungsform der vorliegenden Erfindung wird im folgenden beschrieben.
1 ist eine Ansicht, die eine beispielhafte Konfiguration eines Steuersystems zeigt, das in einem Fahrzeug installiert ist.
Bei dem Steuersystem von 1 sind mehrere elektronische Steuereinheiten (ECUs) 11, 12, 13, 14, 15, ..., durch ein Controller Area Network (CAN) derart miteinander verbunden, das sie miteinander kommunizieren können.
Von den Steuereinheiten 11, 12, 13, 14, 15, ..., ist die erste Steuereinheit 11 eine Steuereinheit in einem Fahrerassistenzsystem (ADAS).
Die zweite elektronische Steuereinheit 12, die dritte elektronische Steuereinheit 13, die vierte elektronische Steuereinheit 14, die fünfte elektronische Steuereinheit 15 und dergleichen sind Steuereinheiten, die das Bremsen, eine Maschine zum Erzeugen von Antriebsleistung des Fahrzeugs, eine Anzeigevorrichtung, die in dem Fahrersitz des Fahrzeuges installiert ist, ein Getriebe und dergleichen steuern.
Die erste elektronische Steuereinheit 11 in dem ADAS umfasst eine CPU (Prozessor oder Mikrocomputer) 11a, einen Batteriespannungs-Überwachungsschaltkreis 11b, einen Stromversorgungsschaltkreis 11c, einen Versorgungsspannungs-Überwachungsschaltkreis (zweiter Überwachungsschaltkreis) 11d, einen CPU-Überwachungsschaltkreis (erster Überwachungsschaltkreis) 11e, einen CAN-Kommunikationsschaltkreis 11f und dergleichen.
Der Batteriespannungs-Überwachungsschaltkreis 11b gibt ein Ergebnis der Überwachung der Batteriespannung VB an die CPU 11a aus.
Der Stromversorgungsschaltkreis 11c verringert die Batteriespannung VB auf die Versorgungsnennspannung der CPU 11a und gibt diese anschließend als eine Versorgungsspannung Vcc der CPU 11a aus.
Eine beispielhafte Batteriespannung VB beträgt etwa 12 V; eine beispielhafte Versorgungsnennspannung der CPU 11a beträgt etwa 5 V.
Der Versorgungsspannungs-Überwachungsschaltkreis 11d überwacht die Versorgungsspannung Vcc, die von dem Stromversorgungsschaltkreis 11c ausgegeben wird, und prüft, ob eine Abnormität in der Versorgungsspannung Vcc auftritt oder nicht. Der Versorgungsspannungs-Überwachungsschaltkreis 11d prüft, ob eine Abnormität auftritt, bei der die Versorgungsspannung Vcc geringer wird als die Nennspannung, oder nicht, oder eine Abnormität auftritt, bei der die Versorgungsspannung Vcc höher wird als die Nennspannung, oder nicht. Anschließend gibt der Versorgungsspannungs-Überwachungsschaltkreis 11d das Überwachungsergebnis sowohl an die CPU 11a, die in derselben ersten elektronischen Steuereinheit 11 enthalten ist, als auch die zweite elektronische Steuereinheit 12 aus, die eine externe elektronische Steuereinheit ist.
Kurz gesagt erfasst der Versorgungsspannungs-Überwachungsschaltkreis 11d, ob die Versorgungsspannung Vcc aus einem ordnungsgemäßen Bereich fällt, oder nicht und gibt anschließend das Erfassungsergebnis sowohl an die CPU 11a in der ersten elektronischen Steuereinheit 11 als auch die zweite elektronische Steuereinheit 12 aus. Der ordnungsgemäße Bereich der Versorgungsspannung Vcc bezieht sich auf einen voreingestellten Spannungsbereich, in den die Nennspannung fällt.
Wenn der Versorgungsspannungs-Überwachungsschaltkreis 11d erfasst, dass die Versorgungsspannung Vcc anormal niedrig wird, kann er einen Vorgang des Rücksetzens der CPU 11a ausführen oder gibt ein Rücksetzsignal an die CPU 11a aus.
Der CPU-Überwachungsschaltkreis 11e ist ein Schaltkreis, der den Betriebszustand der CPU 11a beispielsweise auf der Basis eines Programmablaufssignals überwacht, das aus der CPU 11a ausgegeben wird. Wenn eine Abnormität in dem Betrieb der CPU 11a auftritt, führt der CPU-Überwachungsschaltkreis 11e einen Vorgang des Rücksetzens der CPU 11a aus oder gibt ein Rücksetzsignal an die CPU 11a aus.
Der CAN-Kommunikationsschaltkreis 11f ist ein Schaltkreis, der mit anderen elektronischen Steuereinheiten über das CAN kommuniziert.
Die zweite elektronische Steuereinheit 12 umfasst eine CPU 12a, einen Batteriespannungs-Überwachungsschaltkreis 12b, einen CAN-Kommunikationsschaltkreis 12c und dergleichen. Die CPU 12a in der zweiten elektronischen Steuereinheit 12 empfängt ein Abnormitätsprüfsignal der Versorgungsspannung Vcc von dem Versorgungsspannungs-Überwachungsschaltkreis 11d in der erste elektronischen Steuereinheit 11.
Wenn jede der zweiten elektronischen Steuereinheit 12, der dritten elektronischen Steuereinheit 13, der vierten elektronischen Steuereinheit 14, der fünften elektronischen Steuereinheit 15, etc. einen Steuerbefehl für das ADAS von der ersten elektronischen Steuereinheit 11 empfängt, gibt sie ein Betriebssignal zu einem entsprechenden gesteuerten Objekt aus.
Die erste elektronische Steuereinheit 11 dient als eine Hauptsteuereinheit, die einen Steuerbefehl ausgibt; jede der zweiten elektronischen Steuereinheit 12, dritten elektronischen Steuereinheit 13, vierten elektronischen Steuereinheit 14, fünften elektronischen Steuereinheit 15, etc. dient als eine Teilsteuereinheit, die ein entsprechendes gesteuertes Objekt in Übereinstimmung mit einem Steuerbefehl aus der ersten elektronischen Steuereinheit 11 steuert.
Beispielhafte Funktionsarten des ADAS können fahrtbezogen, warnungsbezogen, sicherheitsbezogen und funktionssicherheitsbezogen sein.
Eine beispielhafte fahrtbezogene Funktion der ADAS umfasst bei diesem Beispiel: eine Steuerung konstanter Fahrtgeschwindigkeit/konstanten Fahrzeugzwischenabstandes (Abstandsregeltempomat) ACC, die automatisch die Fahrzeuggeschwindigkeit und den Abstand zu einem vorausfahrenden Fahrzeug kontrolliert; und eine Fahrzeugdynamiksteuerung VDC, die ein seitliches Rutschen des Fahrzeugs durch Steuern der Brems- und der Antriebskraft reduziert.
Ein beispielhafte warnungsbezogene Funktion des ADAS umfasst bei diesem Beispiel: eine Vorwärtskollisionswarnung FCW, die den Fahrer mit Hilfe einer Anzeige oder eines Tons warnt, wenn das Risiko besteht, dass das Fahrzeug mit einem vorausfahrenden Fahrzeug kollidiert; und eine Spurabweichwarnung LDW, die den Fahrer mit Hilfe einer Anzeige oder eines Tons warnt, wenn das Fahrzeug von der Spur abweicht.
Eine beispielhafte sicherheitsbezogene Funktion des ADAS umfasst bei diesem Beispiel: eine Seitenkollisionsvermeidung (SCP), die eine Warnung mit Hilfe einer Anzeige oder eines Tons ausgibt und ein Giermoment derart erzeugt, dass sich das Fahrzeug nicht auf das Fahrzeug auf der benachbarten Spur zubewegt, wenn der Fahrer einen Spurwechsel auf ein benachbartes Fahrzeug zu ausführt; und eine Rückraumkollisionsvermeidung (BCP), die eine Bremse betätigt, wenn sie ein weiteres Fahrzeug in dem Rückraum bei einer Rückwärtsbewegung erfasst.
Eine beispielhafte funktionssicherheitsbezogene Funktion des ADAS umfasst in diesem Beispiel eine Kollisionsvermeidungsbremsung (Frontalkollisions-Vermeidungsassistent) FCA, die die Bremse automatisch betätigt, wenn das Risiko besteht, dass das Fahrzeug mit einem weiteren Fahrzeug oder dergleichen in der Front kollidiert.
Um die oben beschriebenen Funktionen des ADAS zu erfüllen, gibt die erste elektronische Steuereinheit 11 Steuerbefehle, die das Bremsen, die Antriebsleistung und dergleichen betreffen, an die zweite elektronische Steuereinheit 12, die dritte elektronische Steuereinheit 13, die vierte elektronische Steuereinheit 14, die fünfte elektronische Steuereinheit, etc. aus.
Die Funktionen des ADAS sind nicht auf jene beschränkt, die oben beschrieben sind; alternativ können unterschiedliche Fahrassistenzfunktionen je nach Bedarf verwendet werden. Darüber hinaus muss die Konfiguration des ADAS nicht notwendigerweise mit sämtlichen der fahrtbezogenen, warnungsbezogenen, sicherheitsbezogenen und funktionssicherheitsbezogenen Funktionen ausgestattet sein.
Bei dem Fahrzeugsteuersystem, das in der obigen Art konfiguriert ist, führt, wenn die Versorgungsspannung Vcc der CPU 11a in der ersten Steuereinheit 11 anormal ansteigt, die CPU 11a in der ersten elektronischen Steuereinheit 11 jedoch normal arbeitet, die erste elektronische Steuereinheit 11 einen Ausfallsicherheitsvorgang aus, indem sie wenigstens einen Teil der Funktionen des ADAS beibehält und die andere(n) Funktion oder Funktionen abschaltet.
Wenn die Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 anormal ansteigt, ist es auf diese Weise möglich zu verhindern, dass die erste elektronische Steuereinheit 11 das Fahrzeug fehlerhaft steuert, und die ADAS-Funktionen in möglichem Umfang aufrecht zu erhalten, wodurch eine Änderung der Steuerbarkeit des Fahrzeugs verringert wird.
Ein Signal, das anzeigt, ob die Versorgungsspannung Vcc anormal ansteigt oder nicht, wird von dem Versorgungsspannungs-Überwachungsschaltkreis 11d sowohl an die CPU 11a in der ersten elektronischen Steuereinheit 11 als auch die CPU 12a in der zweiten elektronischen Steuereinheit 12 ausgegeben. In Erwiderung darauf gibt die zweite elektronische Steuereinheit 12 ein Signal, das kennzeichnet, ob ein abnormer Anstieg der Versorgungsspannung Vcc zu erfassen ist, an die erste elektronische Steuereinheit 11 über den CAN aus.
Wenn die CPU 11a normal arbeitet, jedoch die CPU 11a in der ersten elektronischen Steuereinheit 11 und/oder die CPU 12a in der zweiten elektronischen Steuereinheit 12 einen abnormen Anstieg der Versorgungsspannung erfasst/erfassen, führt die erste elektronische Steuereinheit 11 den Ausfallsicherheitsvorgang aus, durch den ein Teil der ADAS-Funktionen abgeschaltet wird.
Die zahlreichen elektronischen Steuereinheiten 11, 12, 13, 14, 15, ..., die über den CAN miteinander verbunden sind, haben jeweils die Funktion zum Prüfen, ob eine Abnormität in den anderen elektronischen Steuereinheiten auftritt, auf der Basis von Signalen, die von den anderen elektronischen Steuereinheiten über den CAN gesendet werden. Zudem hat jede der elektronischen Steuereinheiten 11, 12, 13, 14, 15, ..., folgende Funktionen: Umschalten ihres Steuerbetriebs in eine Ausfallsicherheitsbetriebsart auf der Basis des empfangenen Prüfergebnisses; Senden des Prüfergebnisses zu einer weiteren elektronischen Steuereinheit; oder Umschalten ihres Steuerbetriebs in eine Ausfallsicherheitsbetriebsart auf der Basis des Prüfergebnisses von einer weiteren elektronischen Steuereinheit.
Ein Überwachungsschaltkreis, der eine Abnormität der Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 prüft, kann in einer anderen elektronischen Steuereinheit als der ersten elektronischen Steuereinheit 11 installiert sein oder unabhängig von den elektronischen Steuereinheiten als einzelne Einheit installiert sein.
2 listet beispielhafte Auswahlmuster auf, die verwendet werden, um zwischen ADAS-Funktionen zu wählen, die abzuschalten und beizubehalten sind, wenn die CPU 11a in der ersten Steuereinheit normal arbeitet, jedoch festgestellt wird, dass die Versorgungsspannung Vcc der CPU 11a abnorm ist (insbesondere die Versorgungsspannung Vcc anormal ansteigt).
Ein Muster 1 entspricht einem Fall, bei dem weder die erste elektronische Steuereinheit 11 noch die zweite elektronische Steuereinheit 12 einen Zustand erfasst, in dem die Versorgungsspannung Vcc der CPU 11a anormal hoch ist.
In diesem Fall arbeitet die CPU 11a normal und ist die Versorgungsspannung Vcc ebenfalls normal. Das bedeutet, dass die erste elektronische Steuereinheit 11 ordnungsgemäß einen Steuerbefehl zum Ausführen der ADAS-Funktionen ausgeben kann. Somit ist ein Vorgang des Abschaltens jeder ADAS-Funktion nicht erforderlich.
Für den Fall von Muster 1 gibt die erste elektronische Steuereinheit 11 einen Steuerbefehl zum Ausführen der ADAS-Funktionen wie gewöhnlich aus.
Ein Muster 2 entspricht einem Fall, bei dem die zweite elektronische Steuereinheit 12 einen Zustand erfasst, in dem die Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 anormal hoch ist, aber die erste elektronische Steuereinheit 11 keinen Zustand erfasst, in dem die Versorgungsspannung Vcc der CPU 11a in dieser anormal hoch ist.
In diesem Fall besteht die Möglichkeit, dass sich die Versorgungsspannung Vcc tatsächlich in einem Zustand befindet, in dem sie anormal hoch ist, die CPU 11a in der ersten elektronischen Steuereinheit 11 diese Abnormität jedoch nicht erkennt. Selbst wenn das Ergebnis der Eigendiagnose der CPU 11a Normalität angibt, kann demzufolge die erste elektronische Steuereinheit 11 einen falschen Steuerbefehl ausgeben.
In dem Fall von Muster 2 schaltet die erste elektronische Steuereinheit 11 die fahrtbezogenen, sicherheitsbezogenen und funktionssicherheitsbezogenen Funktionen ab, die ADAS-Funktionen sind, um das Fahrverhalten des Fahrzeuges durch automatisches Steuern der Bremsleistung und des Antriebsdrehmomentes des Fahrzeuges zu ändern. Die erste elektronische Steuereinheit 11 behält jedoch die warnungsbezogene Funktion bei, um den Fahrer zu warnen, ändert jedoch nicht direkt das Fahrverhalten des Fahrzeuges.
Das Abschalten der ADAS-Funktionen umfasst: Stoppen der ersten elektronischen Steuereinheit 11, einen Steuerbefehl auszugeben; und Stoppen der elektronischen Steuereinheiten 12, 13, 14, 15, ..., Betriebsgrößen auszugeben, auf der Basis eines Steuerbefehls aus der ersten elektronischen Steuereinheit 11. Kurz gesagt ist ein Vorgang des Abschaltens der ADAS-Funktion ein Vorgang, der das Anhalten des Betriebs eines Stellelementes umfasst, der auf den ADAS-Funktionen basiert.
Wenn die erste elektronische Steuereinheit 11 einen falschen Steuerbefehl setzt, ist es demzufolge möglich zu verhindern, dass das Fahrzeug unter falscher automatischer Steuerung fährt. Darüber hinaus werden nicht sämtliche ADAS-Funktionen abgeschaltet. Mit anderen Worten wird die warnungsbezogene Funktion beibehalten. Dadurch kann eine Änderung der Steuerbarkeit im Vergleich zu einem Fall verringert werden, bei dem sämtliche ADAS-Funktionen abgeschaltet werden.
Sofern die Versorgungsspannung Vcc in einen anormal niedrigen Zustand eintritt, wird die CPU 11a rückgesetzt, wodurch sämtliche ADAS-Funktionen abgeschaltet werden. Wenn eine Konfiguration verwendet wird, bei der die CPU 11a rückgesetzt wird, wenn die Versorgungsspannung Vcc in einen anormal hohen Zustand eintritt, können ebenfalls sämtliche ADAS-Funktionen abgeschaltet werden.
Die CPU 11a arbeitet jedoch instabil, wenn die Versorgungsspannung Vcc niedriger ist als die Nennspannung, wohingegen sie einen normalen Betrieb bis zu einem gewissen Grad beibehält, wenn die Versorgungsspannung Vcc höher ist als die Nennspannung.
Wenn darüber hinaus ein Fahrer, der an die Steuerfunktionen des ADAS gewöhnt ist, mit dem Fahren fortfährt, ohne sich der Abschaltung der ADAS-Funktionen bewusst zu sein, oder keine ausreichende Kenntnis über den Einfluss der Abschaltung der ADAS-Funktionen zu haben, gibt es Fälle, bei denen eine Änderung der Steuerbarkeit des Fahrzeugs den Fahrer spüren lässt, das etwas nicht in Ordnung ist.
Wenn angesichts des oben Genannten die Versorgungsspannung Vcc anormal zunimmt, die erste elektronische Steuereinheit 11 (CPU 11a) jedoch weiterhin normal arbeitet, werden einige ADAS-Funktionen, die keinen großen Einfluss auf die Steuerbarkeit haben, in dem instabilen Betriebszustand beibehalten. Demzufolge ist es möglich, eine Änderung der Steuerbarkeit zu verringern.
Wenn die fahrtbezogenen, sicherheitsbezogenen und funktionssicherheitsbezogenen Funktionen für den Fall von Muster 2 abgeschaltet werden, kann die erste elektronische Steuereinheit 11 den Fahrer mit Hilfe eines Tons und einer Anzeige warnen, dass ein Teil der ADAS-Funktionen, d. h. fahrtbezogene, sicherheitsbezogene und funktionssicherheitsbezogene Funktionen, abgeschaltet sind.
Ein Muster 3 entspricht einem Fall, bei dem die erste elektronische Steuereinheit 11 einen Zustand erfasst, in dem sich die Versorgungsspannung Vcc in einem abnorm hohen Zustand befindet, die zweite elektronische Steuereinheit 12 jedoch einen Zustand, in dem sich die Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 in einem abnormen hohen Zustand befindet, nicht erfasst.
Selbst wenn der CPU-Überwachungsschaltkreis 11a feststellt, dass die CPU 11a normal arbeitet, kann in diesem Fall die anormal hohe Versorgungsspannung Vcc bewirken, dass die erste elektronische Steuereinheit 11 einen falschen Steuerbefehl ausgibt.
Vorausgesetzt, dass sich die Versorgungsspannung Vcc tatsächlich in dem abnormen hohen Zustand befindet, kann jedoch die erste elektronische Steuereinheit 11 die Abnormität korrekt erkennen. Somit arbeitet die erste elektronische Steuereinheit 11 zuverlässiger als jene in dem Fall von Muster 2, bei der sie die abnorme Spannung nicht erkennt.
Für den Fall von Muster 3 schaltet die elektronische Steuereinheit 11 demzufolge die fahrtbezogenen und die funktionssicherheitsbezogenen Funktionen ab, behält jedoch die warnungsbezogenen und sicherheitsbezogenen Funktionen bei.
Wenn die fahrtbezogenen und die funktionssicherheitsbezogenen Funktionen in Übereinstimmung mit einem falschen Steuerbefehl ausgeführt werden, kann beispielsweise ein Abstand zu einem vorausfahrenden Fahrzeug möglicherweise falsch geändert werden. Wenn im Gegensatz dazu die warnungsbezogene Funktion in Übereinstimmung mit einem falschen Steuerbefehl ausgeführt wird, wird das fahrende Fahrzeug nicht direkt beeinträchtigt; sofern die sicherheitsbezogene Funktion in Übereinstimmung mit einem falschen Steuerbefehl ausgeführt wird, wird das fahrende Fahrzeug zu der sicheren Seite geführt.
Wie es oben beschrieben ist, gibt die CPU 11a in der ersten Steuereinheit 11 mit einer größeren Wahrscheinlichkeit einen ordnungsgemäßen Befehl für den Fall von Muster 3 als für den Fall von Muster 2 aus. Somit werden für den Fall von Muster 3 eine größere Zahl von ADAS-Funktionen beibehalten, wodurch eine Änderung der Steuerbarkeit bei einem abnormen Anstieg der Versorgungsspannung Vcc verringert wird. Darüber hinaus kann die Einstellung der warnungsbezogenen und der sicherheitsbezogenen Funktionen, so dass diese beibehalten werden, verhindern, dass ein instabiler Betrieb der ersten elektronischen Steuereinheit 11 die Sicherheit des Fahrzeugs beeinträchtigt.
Für den Fall von Muster 3 besteht die Möglichkeit, dass die Versorgungsspannung Vcc tatsächlich anormal zunimmt, die zweite elektronische Steuereinheit 12 die Spannungsabnormität jedoch nicht korrekt erkennt. In diesem Fall kann die zweite elektronische Steuereinheit 12 eine Fehlfunktion haben.
Für den Fall von Muster 3 gibt die erste elektronische Steuereinheit 11 dementsprechend ein Signal an die dritte elektronische Steuereinheit 13, die vierte elektronische Steuereinheit 14, die fünfte elektronische Steuereinheit 15, etc. aus, das kennzeichnet, dass eine Abnormität in der zweiten elektronischen Steuereinheit 12 auftritt. Dieses Signal hält die Tätigkeiten der dritten elektronischen Steuereinheit 13, der vierten elektronischen Steuereinheit 14, der fünften elektronischen Steuereinheit 15, etc. an, die auf ein Signal von der zweiten Steuereinheit 12 reagieren.
Für den Fall von Muster 3 kann zusätzlich zu dem Vorgang des Ausgebens des Signals zu den anderen elektronischen Steuereinheiten, das kennzeichnet, dass eine Abnormität in der zweiten elektronischen Steuereinheit 12 auftritt, oder anstelle des Vorgangs des Ausgebens des Signals, das das Auftreten der Abnormität kennzeichnet, beispielsweise die erste elektronische Steuereinheit 11 einen Vorgang des Abschaltens eines Stromversorgungsrelais' in einem Stellelement ausführen, das von der zweiten elektronischen Steuereinheit 12 gesteuert wird.
Ein Muster 4 entspricht einem Fall, bei dem sowohl die erste elektronische Steuereinheit 11 als auch die zweite elektronische Steuereinheit 12 einen Zustand erfassen, bei dem die Versorgungsspannung Vcc der CPU 11a anormal hoch ist.
Selbst wenn das Prüfergebnis der CPU 11a, das von dem CPU-Überwachungsschaltkreis 11e bereitgestellt wird, Normalität kennzeichnet, kann in diesem Fall, ähnlich dem Muster 3, die erste elektronische Steuereinheit 11 einen falschen Steuerbefehl infolge der abnormen Spannung ausgeben. Somit werden die fahrtbezogenen und die funktionssicherheitsbezogenen Funktionen abgeschaltet, die warnungsbezogenen und die sicherheitsbezogenen Funktionen jedoch beibehalten.
Da jedoch die zweite elektronische Steuereinheit 12 ebenfalls den abnormen Anstieg der Versorgungsspannung Vcc erfasst, würde die zweite elektronische Steuereinheit 12 normal arbeiten. Im Gegensatz zu Muster 3 führt somit die erste elektronische Steuereinheit 11 nicht den Vorgang des Ausgebens eines Signals aus, das kennzeichnet, dass eine Abnormität in der zweiten elektronischen Steuereinheit 12 auftritt.
Auswahlmuster, die verwendet werden, um zwischen den ADAS-Funktionen zu wählen, die abzuschalten oder beizubehalten sind, wenn die Versorgungsspannung Vcc anormal zunimmt, sind nicht auf die beispielhaften Muster in 2 beschränkt; sie können in geeigneter Weise unter Berücksichtigung der Sicherheit, der Steuerbarkeit und anderer Faktoren eines Fahrzeuges eingestellt werden.
3 zeigt andere beispielhafte Auswahlmuster, bei denen, wenn eine Spannungsabnormität auftritt, eine kleine oder begrenzte Anzahl von ADAS-Funktionen im Vergleich zu den Auswahlmustern beibehalten wird, die in 2 aufgeführt sind.
Für den Fall von Muster 1, dass eines der Auswahlmuster ist, die in 3 gelistet sind, und bei dem weder die erste elektronische Steuereinheit 11 noch die zweite elektronische Steuereinheit 12 eine Spannungsabnormität erfasst, führt die erste elektronische Steuereinheit 11 sämtliche ADAS-Funktionen wie gewöhnlich, ähnlich den Auswahlmustern aus 2 aus.
Für den Fall eines Musters 2, bei dem die zweite elektronische Steuereinheit 12 einen abnormen Anstieg der Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 erfasst, die erste elektronische Steuereinheit 11 jedoch keinen abnormen Anstieg der Versorgungsspannung Vcc der CPU 11a erfasst, werden sämtliche ADAS-Funktionen einschließlich der warnungsbezogenen Funktion wie bei dem Beispiel von 3 abgeschaltet, wenngleich die warnungsbezogene Funktion in dem Beispiel von 3 beibehalten wird. Dies verhindert, dass die ADAS-Funktionen, die einen Warnvorgang umfassen, falsch ausgeführt werden.
Für den Fall der Muster 3 und 4, bei denen die erste elektronische Steuereinheit 11 eine Abnormität der Versorgungsspannung Vcc der CPU 11a erfasst, wird lediglich die warnungsbezogene Funktion beibehalten und werden die fahrtbezogenen, sicherheitsbezogenen und funktionssicherheitsbezogenen Funktionen wie in dem Beispiel von 3 abgeschaltet, wenngleich die Konfiguration, bei der die warnungsbezogenen und die sicherheitsbezogenen Funktionen beibehalten werden, in dem Beispiel von 2 verwendet wird.
Wenn, wie oben beschrieben, die Versorgungsspannung Vcc anormal zunimmt, aber die CPU 11a in der ersten elektronischen Steuereinheit 11 normal arbeitet, wird die warnungsbezogene Funktion beibehalten. Das Erfüllen der warnungsbezogenen Funktion trägt zu der Sicherheit des Fahrzeugs bei.
Die speziellen Inhalte der vorliegenden Erfindung wurden unter Bezugnahme auf die bevorzugte Ausführungsform beschrieben; der Fachmann wird jedoch verstehen, dass unterschiedliche Abänderungen auf der Basis eines primär technischen Gedankens und der Lehre der vorliegenden Erfindung vorgenommen werden können.
Die erste elektronische Steuereinheit 11 ist beispielsweise nicht auf eine Steuereinheit für das ADAS beschränkt; alternativ kann die erste elektronische Steuereinheit 11, die eine Vielzahl von Steuerfunktionen hat, derart eingerichtet sein, dass sie eine oder mehrere unterschiedlicher Arten von Steuerfunktionen ausführt und die verbleibenden Funktionen abschaltet, sofern die Versorgungsspannung Vcc der CPU 11a anormal zunimmt.
In diesem Fall sind die Funktionen, die beizubehalten sind, Funktionen die keinen großen Einfluss auf die Sicherheit des Fahrzeuges selbst dann ausüben, wenn die CPU instabil arbeitet, wohingegen die Funktionen, die abzuschalten sind, einen relativ großen Einfluss auf die Sicherheit des Fahrzeuges infolge des instabilen Betriebs der CPU ausüben können.
Die Konfiguration, bei der sowohl die erste elektronischen Steuereinheit 11 als auch die zweite elektronische Steuereinheit 12 die Versorgungsspannung Vcc der CPU 11a in der ersten elektronischen Steuereinheit 11 überwachen, ist nicht einschränkend. Alternativ kann eine Konfiguration verwendet werden, bei der eine der ersten elektronischen Steuereinheit 11 und einer weiteren elektronischen Steuereinheit die Versorgungsspannung Vcc überwacht.
Die Konfiguration, bei der die ADAS-Funktionen, die beizubehalten oder abzuschalten sind, aus vier Funktionen, d. h. der fahrtbezogenen, der sicherheitsbezogenen, der funktionssicherheitsbezogenen und der warnungsbezogenen gewählt werden, ist nicht auf diese begrenzt. Alternativ können die beizubehaltenden oder abzuschaltenden Funktionen aus einer Vielzahl von Funktionen gewählt werden, die in den warnungsbezogenen und den sicherheitsbezogenen Funktionen enthalten sind.
Bezugszeichenliste

11: erste elektronische Steuereinheit (Hauptsteuereinheit)
11a: CPU (Prozessor)
11b: Batteriespannungs-Überwachungsschaltkreis
11c: Stromversorgungsschaltkreis
11d: Versorgungsspannungs-Überwachungsschaltkreis (zweiter Überwachungsschaltkreis)
11e: CPU-Überwachungsschaltkreis (erster Überwachungsschaltkreis)
11f: CAN-Kommunikationsschaltkreis
12: zweite elektronische Steuereinheit (Teilsteuereinheit)

Claims

Fahrzeugsteuervorrichtung, umfassend eine Hauptsteuereinheit und eine Vielzahl von Teilsteuereinheiten, wobei die Hauptsteuereinheit Steuerbefehle ausgibt, die Teilsteuereinheiten gesteuerte Objekte in Übereinstimmung mit den Steuerbefehlen steuern und die Fahrzeugsteuervorrichtung umfasst: einen ersten Überwachungsschaltkreis, der einen Betrieb eines Prozessors in der Hauptsteuereinheit überwacht; und einen zweiten Überwachungsschaltkreis, der eine Versorgungsspannung des Prozessors in der Hauptsteuereinheit überwacht, wobei, wenn der erste Überwachungsschaltkreis erfasst, dass der Prozessor normal arbeitet, aber der zweite Überwachungsschaltkreis erfasst, dass die Versorgungsspannung aus einem ordnungsgemäßen Bereich fällt, ein Teil der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, abgeschaltet werden.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der die Hauptsteuereinheit den Teil der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, mit Hilfe der Steuerbefehle abschaltet, die an die Vielzahl von Teilsteuereinheiten ausgegeben werden.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der die Abschaltung des Teils der Steuerfunktionen eine Abschaltung von Steuerfunktionen ist, die eine oder mehrere Teilsteuereinheiten aus der Vielzahl von Teilsteuereinheiten ausführen.
Fahrzeugsteuervorrichtung nach Anspruch 3, bei der die Hauptsteuereinheit zwischen Teilsteuereinheiten, deren Steuerfunktionen abgeschaltet werden, und Teilsteuereinheiten, deren Steuerfunktionen beibehalten werden, auf der Basis von Arten der Steuerfunktionen wählt, die die Vielzahl von Teilsteuereinheiten ausführt.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der, wenn der erste Überwachungsschaltkreis erfasst, dass der Prozessor normal arbeitet, der zweite Überwachungsschaltkreis jedoch erfasst, dass die Versorgungsspannung aus dem ordnungsgemäßen Bereich zu einer Seite höherer Spannung fällt, der Teil der Steuerfunktionen abgeschaltet wird, den die Vielzahl von Teilsteuereinheiten ausführt.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der die zweiten Überwachungsschaltkreise einzeln in der Hauptsteuereinheit und wenigstens einer der Vielzahl von Teilsteuereinheiten installiert sind.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der der abgeschaltete Teil der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, auf der Basis einer Kombination eines Überwachungsergebnisses, das von dem zweiten Überwachungsschaltkreis bereitgestellt wird, der in der Hauptsteuereinheit installiert ist, und eines Überwachungsergebnisses geändert wird, das von dem zweiten Überwachungsschaltkreis bereitgestellt wird, der in der Teilsteuereinheit installiert ist.
Fahrzeugsteuervorrichtung nach Anspruch 7, bei der wenn der zweite Überwachungsschaltkreis, der in der Hauptsteuereinheit installiert ist, erfasst, dass die Versorgungsspannung in den ordnungsgemäßen Bereich fällt, der zweite Überwachungsschaltkreis, der in der wenigstens einen aus der Vielzahl von Teilsteuereinheiten installiert ist, jedoch erfasst, dass die Versorgungsspannung aus dem ordnungsgemäßen Bereich fällt, eine größere Zahl von Steuerfunktionen aus den Steuerfunktionen der Vielzahl von Teilsteuereinheiten abgeschaltet wird, als wenn der zweite Überwachungsschaltkreis, der in der Hauptsteuereinheit installiert ist, erfasst, dass die Versorgungsspannung aus dem ordnungsgemäßen Bereich fällt, jedoch der zweite Überwachungsschaltkreis, der in der wenigstens einen aus der Vielzahl von Teilsteuereinheiten installiert ist, erfasst, dass die Versorgungsspannung in den ordnungsgemäßen Bereich fällt.
Fahrzeugsteuervorrichtung nach Anspruch 6, bei der, wenn der zweite Überwachungsschaltkreis, der in der Hauptsteuereinheit installiert ist, erfasst, das die Versorgungsspannung aus dem ordnungsgemäßen Bereich fällt, der zweite Überwachungsschaltkreis, der in der wenigstens einen aus der Vielzahl von Teilsteuereinheiten installiert ist, jedoch erfasst, dass die Versorgungsspannung in den ordnungsgemäßen Bereich fällt, die Hauptsteuereinheit ein Signal an die Teilsteuereinheiten ausgibt, die nicht mit dem zweiten Überwachungsschaltkreis versehen sind, wobei das Signal kennzeichnet, dass eine Abnormität in der Teilsteuereinheit auftritt, die mit dem zweiten Überwachungsschaltkreis ausgestattet ist.
Fahrzeugsteuervorrichtung nach Anspruch 1, bei der die Hauptsteuereinheit und die Vielzahl der Teilsteuereinheiten ein Fahrzeug-Fahrerassistenzsystem bilden und wenigstens eine der Teilsteuereinheiten eine Funktion des Ausgebens eines Alarms an einen Fahrer hat und, wenn der erste Überwachungsschaltkreis erfasst, dass der Prozessor normal arbeitet, der zweite Überwachungsschaltkreis jedoch erfasst, dass die Versorgungsspannung aus dem ordnungsgemäßen Bereich auf eine Seite höherer Spannung fällt, eine Warnfunktion aus den Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, beibehalten wird, jedoch die anderen Steuerfunktionen abgeschaltet werden.
Fahrzeugsteuervorrichtung nach Anspruch 6, bei der, wenn die Versorgungsspannung aus dem ordnungsgemäßen Bereich auf eine Seite geringer Spannung fällt, der zweite Überwachungsschaltkreis, der in der Hauptsteuereinheit installiert ist, den Prozessor zurücksetzt.
Ausfallsicherheitsverfahren für eine Fahrzeugsteuervorrichtung, wobei die Fahrzeugsteuervorrichtung eine Hauptsteuereinheit und eine Vielzahl von Teilsteuereinheiten umfasst, die Hauptsteuereinheit Steuerbefehle ausgibt, die Teilsteuereinheiten gesteuerte Objekte in Übereinstimmung mit den Steuerbefehlen steuern und das Ausfallsicherheitsverfahren folgende Schritte umfasst: Überwachen eines Betriebs eines Prozessors in der Hauptsteuereinheit; Überwachen einer Versorgungsspannung des Prozessors in der Hauptsteuereinheit; und Abschalten eines Teils der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, wenn der Prozessor normal arbeitet, die Versorgungsspannung jedoch aus einem ordnungsgemäßen Bereich fällt.
Ausfallsicherheitsverfahren für eine Fahrzeugsteuervorrichtung nach Anspruch 12, bei der der Schritt des Abschaltens des Teils der Steuerfunktionen das Abschalten des Teils der Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, umfasst, wenn der Prozessor normal arbeitet, die Versorgungsspannung jedoch aus dem ordnungsgemäßen Bereich auf eine Seite höherer Spannung fällt.
Ausfallsicherheitsverfahren für eine Fahrzeugsteuervorrichtung nach Anspruch 12, bei der der Schritt des Überwachens der Versorgungsspannung die Schritte des Überwachens der Versorgungsspannung mit Hilfe der Hauptsteuereinheit und des Überwachens der Versorgungsspannung mit Hilfe wenigstens einer aus der Vielzahl von Teilsteuereinheiten umfasst und der Schritt des Abschaltens des Teils der Steuerfunktionen den Schritt des Änderns des abgeschalteten Teils der Steuerfunktionen aus den Steuerfunktionen, die die Vielzahl von Teilsteuereinheiten ausführt, auf der Basis einer Kombination eines Überwachungsergebnisses der Versorgungsspannung, das von der Hauptsteuereinheit bereitgestellt wird, und eines Überwachungsergebnisses der Versorgungsspannung umfasst, das von der Teilsteuereinheit bereitgestellt wird.
Ausfallsicherheitsverfahren für eine Fahrzeugsteuervorrichtung nach Anspruch 14, bei der der Schritt des Änderns des abgeschalteten Teils der Steuerfunktionen das Abschalten einer größeren Zahl von Steuerfunktionen, wenn die Hauptsteuereinheit erfasst, dass die Versorgungsspannung in den ordnungsgemäßen Bereich fällt, die Teilsteuereinheit jedoch erfasst, dass die Versorgungsspannung aus dem Ordnungsgemäßen bereich fällt, umfasst, als wenn die Hauptsteuereinheit erfasst, dass die Versorgungsspannung aus dem Ordnungsgemäßen Bereich fällt, die Teilsteuereinheit jedoch erfasst, dass die Versorgungsspannung in den ordnungsgemäßen Bereich fällt.