JP2004362139A - 制御装置 - Google Patents
制御装置 Download PDFInfo
- Publication number
- JP2004362139A JP2004362139A JP2003158148A JP2003158148A JP2004362139A JP 2004362139 A JP2004362139 A JP 2004362139A JP 2003158148 A JP2003158148 A JP 2003158148A JP 2003158148 A JP2003158148 A JP 2003158148A JP 2004362139 A JP2004362139 A JP 2004362139A
- Authority
- JP
- Japan
- Prior art keywords
- control device
- reset signal
- load
- output
- cpu
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
- G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
- G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
- G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/14—Error detection or correction of the data by redundancy in operation
- G06F11/1402—Saving, restoring, recovering or retrying
- G06F11/1415—Saving, restoring, recovering or retrying at system level
- G06F11/1441—Resetting or repowering
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Safety Devices In Control Systems (AREA)
Abstract
【課題】高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能な制御装置を提供することになる。
【解決手段】ＣＰＵ１１０は、センサＳ１，Ｓ２からの入力信号に基づいて、負荷駆動素子１２０を介して負荷Ｌを駆動する駆動信号ＤＳを出力する。監視ＩＣ１５０は、装置の異常状態を検出し、ＣＰＵ１１０をリセットする第１のリセット信号ＲＥＳ１を出力するとともに、この第１のリセット信号ＲＥＳ１が所定回数出力された時に第２のリセット信号ＲＥＳ２を出力する。強制オフ回路１６０は、監視ＩＣ１５０から出力される第２のリセット信号ＲＥＳ２により、負荷Ｌへの出力を停止する。
【選択図】 図１
【解決手段】ＣＰＵ１１０は、センサＳ１，Ｓ２からの入力信号に基づいて、負荷駆動素子１２０を介して負荷Ｌを駆動する駆動信号ＤＳを出力する。監視ＩＣ１５０は、装置の異常状態を検出し、ＣＰＵ１１０をリセットする第１のリセット信号ＲＥＳ１を出力するとともに、この第１のリセット信号ＲＥＳ１が所定回数出力された時に第２のリセット信号ＲＥＳ２を出力する。強制オフ回路１６０は、監視ＩＣ１５０から出力される第２のリセット信号ＲＥＳ２により、負荷Ｌへの出力を停止する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、制御装置に係り、特に、高いフェールセーフを要求されるシステムに用いるに好適な制御装置に関する。
【０００２】
【従来の技術】
従来の制御装置においては、例えば、特開平１０−３４０９号公報に記載のように、マイコンが暴走し、ウオッチドック信号を出力しなくなったとき、監視ＩＣがマイコンの暴走と判断し、監視ＩＣからマスク信号を出力し、即座に被制御部材に対する制御出力を停止することによりフェールセーフ機能を動作させるものが知られている。
【０００３】
【特許文献１】
特開平１０−３４０９号公報
【０００４】
【発明が解決しようとする課題】
ところで、自動車用の制御装置としては、例えば、エンジンを制御するエンジン制御装置（エンジンコントロールユニット：ＥＣＵ），自動変速機を制御する自動変速機制御装置（ＡＴコントロールユニット：ＡＴＣＵ），ハイブリット自動車や電気自動車のモータを制御するモータ制御装置（モータコントロールユニット：ＭＣＵ）などが、実用化されている。これらの自動車用制御装置においては、マイコンの暴走などが発生した場合には、フェールセーフ機能を動作させ、自動車の安全性を向上させる必要がある。また、その後の修理や故障原因の追及のため、動作不具合の原因を示す故障フラグを記憶するようにしている。専用ツールを用いて、故障フラグを読み出すことにより、故障原因を調査することができる。
【０００５】
故障フラグを立てる要因としては、マイコンそのものが暴走した場合もあるが、例えば、制御装置の温度が所定温度よりも高くなった場合にも、異常として、制御出力を停止して、故障フラグを立てるようにしている。
【０００６】
ここで、問題となるとは、過渡的な要因により過渡的に異常となった場合である。例えば、最近、機電一体型システムと称されるＡＴコントロールユニットが開発されつつある。機電一体型システムでは、メカ部分である自動変速機のケースの中に、電気系であるＡＴコントロールユニットを内蔵させるものである。この場合、ＡＴコントロールユニットの温度は、機電分離型でＡＴコントロールユニットを車室内に配置する場合に比べて、５０度近く高温となる。そして、例えば、急な坂道を登坂した後、エンジンキーをアクセサリー（ＡＣＣ）位置などにした場合、自動変速のＡＴオイルが高温になるとともに、ＡＴオイルを冷却するためのポンプは停止するため、ＡＴコントロールユニットの温度が一時的に設定温度以上となり、故障フラグを立てることになる。しかしながら、その後、一旦エンジンキーをオフにして、しかも、ＡＴオイルの温度が低下すれば、エンジンの再始動は可能となるが、故障フラグは立ったままとなっている。
【０００７】
故障フラグが立った場合には、一般には、コントロールユニットを交換して、故障原因を追及することが行われるが、過渡的な温度上昇のような一時的な現象の場合には、同じ現象を再現できないため、故障原因不明となる。このようにして、過渡的な現象によるものについては、異常状態の誤検出ということになり、本来的な故障でないにも拘わらず、コントロールユニットの交換や故障原因の追及が必要となるという問題があった。特に、機電一体型システムのＡＴコントロールユニットでは、自動変速機そのものを交換する必要が生じてくる。
【０００８】
本発明の目的は、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能な制御装置を提供することになる。
【０００９】
【課題を解決するための手段】
（１）上記目的を達成するために、本発明は、センサからの入力信号に基づいて、負荷駆動素子を介して負荷を駆動する駆動信号を出力する制御手段を有する制御装置において、装置の異常状態を検出し、前記制御手段をリセットする第１のリセット信号を出力するとともに、この第１のリセット信号が所定回数出力された時に第２のリセット信号を出力する監視手段と、この監視手段から出力される第２のリセット信号により、前記負荷への出力を停止する強制オフ手段を備えるようにしたものである。
かかる構成により、高いフェールセーフ機能を有すると共に、異常状態の誤検出が回避し得るものとなる。
【００１０】
（２）上記（１）において、好ましくは、前記強制オフ手段は、前記負荷駆動素子に対して供給される前記駆動信号を遮断するようにしたものである。
【００１１】
（３）上記（１）において、好ましくは、前記強制オフ手段は、前記負荷に対する電力供給を停止するようにしたものである。
【００１２】
（４）上記（１）において、好ましくは、前記第２のリセット信号を出力する条件である前記所定回数を外部から設定可能としたものである。
【００１３】
（５）上記（１）において、好ましくは、前記監視手段は、前記第１のリセット信号が所定時間内に所定回数出力された時に第２のリセット信号を出力するようにしたものである。
【００１４】
（６）上記（１）において、好ましくは、前記監視手段は、前記第２のリセット信号が出力された際に、故障フラグをオンにするようにしたものである。
【００１５】
【発明の実施の形態】
以下、図１〜図３を用いて、本発明の第１の実施形態による制御装置の構成及び動作について説明する。ここでは、制御装置として、機電一体型のＡＴコントロールユニットを例にして説明する。
最初に、図１を用いて、本実施形態による制御装置の全体構成について説明する。
図１は、本発明の第１の実施形態による制御装置の全体構成を示すブロック図である。
【００１６】
制御装置１００は、ＣＰＵ１１０と、負荷駆動素子１２０とを備えている。ＣＰＵ１１０には、外部の複数のセンサＳ１，Ｓ２から車両の状態を示す信号が入力する。ＡＴコントロールユニットでは、センサＳ１，Ｓ２としては、アクセルペダルの踏込量センサや，車速センサなどが用いられる。負荷駆動素子１２０は、パワートランジスタなどから構成される。負荷駆動素子１２０には、負荷Ｌが接続されている。負荷Ｌは通常複数個備えられる。負荷が複数個備えられる場合、負荷駆動素子１３０も、それぞれ、負荷に対応した個数だけ備えられる。ＡＴコントロールユニットでは、負荷Ｌとして、自動変速機内部の複数のクラッチをそれぞれ締結・開放するためのアクチュエータを駆動するソレノイドコイルが設けられる。
【００１７】
ＣＰＵ１１０は、センサＳ１，Ｓ２からの車両の状態を示す信号に基づいて、変速機の変速段を決定し、例えば、第１のクラッチの開放し、第２のクラッチを締結して変速制御すべく、負荷駆動素子１２０に駆動信号ＤＳを出力する。駆動信号ＤＳがハイレベルになると、負荷駆動素子１２０が導通し、電源Ｖｉｇｎから駆動電流が負荷Ｌに供給される。ＣＰＵ１１０には、バッテリＢの電圧が、レギュレータ回路１３０によって所定の電圧ＶＣＣ（例えば、５Ｖ）に変圧した上で供給されている。
【００１８】
さらに、制御装置１００は、温度センサ（ＳＴ）１４０と、監視ＩＣ（Ｗ−ＩＣ）１５０と、強制オフ回路１６０とを備えている。温度センサ１４０は、制御装置１００の温度を検出する。ＣＰＵ１１０は、温度センサ１４０の出力により、制御装置１００の温度を監視し、ＣＰＵ１１０が正常に動作可能かどうかを判定する。温度センサ１４０によって検出された温度が所定温度以下の場合には、ＣＰＵ１１０は、一定周期の信号（ここでは、一例として、Ｐ−ＲＵＮ信号と称する一定周期の信号とする）を監視ＩＣ１５０に出力する。
【００１９】
監視ＩＣ１５０は、ＣＰＵ１１０から出力する一定周期の信号が途絶えると、ＣＰＵ１１０のリセット端子ＲＥＳに対してリセット信号ＲＥＳ１を出力し、ＣＰＵ１１０をリセットする。監視ＩＣ１５０は、ＣＰＵ１１０に対して、複数回リセット信号を出力する。そして、リセット信号の出力回数が予め設定した回数に達すると、強制オフ回路１６０に対して、リセット信号ＲＥＳ２を出力する。強制オフ回路１６０は、負荷駆動素子１２０の制御入力端子とグランド電位の間に接続されており、リセット信号ＲＥＳ２が入力すると、負荷駆動素子１２０の制御入力端子をグランド電位に短絡する。したがって、ＣＰＵ１１０が駆動信号ＤＳを出力しても、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。それと同時に、監視ＩＣ１５０の内部には、リセット信号ＲＥＳ２を出力して負荷の駆動を停止した状態を示す故障フラグを記憶する。
【００２０】
次に、図２及び図３を用いて、本実施形態による制御装置の動作について説明する。
図２は、本発明の第１の実施形態による制御装置の動作を示すフローチャートである。図３は、本発明の第１の実施形態による制御装置の動作を示す波形図である。図３において、横軸は時間Ｔを示している。図３（Ａ）は、バッテリＢの電圧Ｖｉｇｎを示している。図３（Ｂ）は、レギュレータ回路１３０の出力電圧ＶＣＣを示している。図３（Ｃ）は、温度センサ１４０によって検出された温度ＴＢを示している。図３（Ｄ）は、ＣＰＵ１１０が監視ＩＣ１５０に出力する一定周期の信号Ｐ−ＲＵＮを示している。図３（Ｅ）は、監視ＩＣ１５０が出力するリセット信号ＲＥＳ１を示している。図３（Ｆ）は、監視ＩＣ１５０がリセット信号ＲＥＳ１をカウントするカウント値ＲＥＳ−ＣＮＴを示している。図３（Ｇ）は、監視ＩＣ１５０が出力するリセット信号ＲＥＳ２を示している。図３（Ｈ）は、ＣＰＵ１１０が出力する駆動信号ＤＳを示している。図３（Ｉ）は、負荷Ｌに流れる負荷電流ＩＬを示している。
【００２１】
図２のステップｓ１００において、自動車のエンジンキーがオンになると、監視ＩＣ１５０は、リセット信号ＲＥＳ１の出力回数をカウントするカウンタＲＥＳ２ＣＯＵＮＴを０クリアする。次に、ステップｓ１０５において、ＣＰＵ１１０は、過加熱状態にあることを判定し、フェールセーフを動作させるための加熱保護判定温度をＴＡにセットする。すなわち、時刻ｔ０において、自動車のエンジンキーがオンになると、図３（Ａ）に示すように、バッテリＢの電圧Ｖｉｇｎが制御装置１００に供給され、図３（Ｂ）に示すように、レギュレータ回路１３０によって変圧された電圧ＶＣＣがＣＰＵ１１０及び監視ＩＣ１５０に供給され、それぞれが、ステップｓ１００，ｓ１０５の処理を実行する。
【００２２】
次に、ステップｓ１１０において、ＣＰＵ１１０は、温度センサ１４０からの温度信号を取り込み、温度ＴＢを測定する。そして、ステップｓ１１５において、ＣＰＵ１１０は、測定された温度ＴＢが加熱保護判定温度ＴＡより小さいか否かを判定する。測定された温度ＴＢが加熱保護判定温度ＴＡより小さい場合には、ステップｓ１２０に進み、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になると、ステップｓ１４０に進む。
【００２３】
測定された温度ＴＢが加熱保護判定温度ＴＡより小さい場合には、ステップｓ１２０において、ＣＰＵ１１０は、図３（Ｄ）に示すように、時刻ｔ１から監視ＩＣ１５０に一定周期の信号Ｐ−ＲＵＮを出力する。また、ステップｓ１２５において、監視ＩＣ１５０は、図３（Ｅ）に示すように、時刻ｔ１からリセット信号ＲＥＳ１の出力を「Ｈ」レベルにする。さらに、ステップｓ１３０において、ＣＰＵ１１０は、図３（Ｈ）に示すように、時刻ｔ１から素子駆動信号ＤＳを出力する。
【００２４】
一方、図３（Ｃ）に示すように、時刻ｔ２において、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になると、ステップｓ１４０において、ＣＰＵ１１０は、図３（Ｄ）に示すように、監視ＩＣ１５０に出力していた一定周期の信号Ｐ−ＲＵＮを停止する。なお、図３において、時刻ｔ２〜ｔ３は、一時的に、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になった場合であり、時刻ｔ４〜ｔ５は、所定時間に亘って、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になった場合を示している。
【００２５】
次に、ステップｓ１４５において、監視ＩＣ１５０は、図３（Ｅ）に示すように、リセット信号ＲＥＳ１の出力を「Ｌ」レベルにする。ＣＰＵ１１０は、リセット入力端子ＲＥＳに入力する信号のレベルが「Ｌ」レベルになると、リセットが掛かる構成となっている。さらに、ステップｓ１５０において、ＣＰＵ１１０は、図３（Ｈ）に示すように、時刻ｔ１から素子駆動信号ＤＳの出力を停止する。
【００２６】
また、ステップｓ１５０の処理の次に、ステップｓ１５５において、監視ＩＣ１５０は、内部に備えられたリセット信号ＲＥＳ１をカウントするカウント値ＲＥＳ−ＣＮＴに、「１」を加算する。そして、ステップｓ１６０において、監視ＩＣ１５０は、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さいか否かを判定する。「７」より小さいときはステップｓ１６５に進み、「７」以上になるとステップｓ１７０に進む。
【００２７】
時刻ｔ２〜時刻ｔ３において、図３（Ｃ）に示すように、温度が一時的に上昇した場合には、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さいため、ステップｓ１６５において、監視ＩＣ１５０は、リセット信号ＲＥＳ２のレベルを「Ｈ」レベルとする。強制オフ回路１６０は、図１に示すように内部にインバータを備えており、リセット信号ＲＥＳ２のレベルを「Ｈ」レベルのときは、動作しないものである。
【００２８】
そして、ステップｓ１１０に戻り、上述の処理を繰り返す。そして、時刻ｔ３において、測定された温度ＴＢが加熱保護判定温度ＴＡより小さくなると、ステップｓ１２０に戻り、ステップｓ１２５，ｓ１３０の処理により、通常のように、素子駆動を再開する。
【００２９】
一方、
時刻ｔ４〜時刻ｔ５において、図３（Ｃ）に示すように、温度が一定時間以上の亘って設定値ＴＡ以上になると、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さい場合には、ステップｓ１６５から、ステップｓ１１５，ｓ１４０〜ｓ１５５の処理を繰り返す。したがって、図３（Ｅ）に示すように、複数回のリセット信号ＲＥＳ１が繰り返される。また、その間、図３（Ｆ）に示すように、カウント値ＲＥＳ−ＣＮＴの値は、順次カウントアップされる。
【００３０】
そして、カウント値ＲＥＳ−ＣＮＴの値が「７」以上になると、ステップｓ１７０において、監視ＩＣ１５０は、監視ＩＣ１５０は、図３（Ｇ）に示すように、リセット信号ＲＥＳ２のレベルを「Ｌ」レベルとする。それによって、強制オフ回路１６０が動作して、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。
【００３１】
次に、ステップｓ１７５において、監視ＩＣ１５０は、内部の故障フラグをオンにする。そして、ステップｓ１８０において、素子駆動信号出力停止を継続する。したがって、例えば、時刻ｔ５において、測定された温度ＴＢが加熱保護判定温度ＴＡより小さくなって、仮に、図３（Ｄ）に示すように、ＣＰＵ１１０が一定周期の信号Ｐ−ＲＵＮを出力し、図３（Ｈ）に示すように、駆動信号ＤＳを出力したとしても、図３（Ｉ）に示すように、負荷Ｌには負荷電流ＩＬは流れず、負荷の駆動停止が継続するものとなる。
【００３２】
なお、以上の説明は、制御装置１００の温度が高温になった場合についてであり、ＣＰＵ１１０は正常に動作しているものである。それに対して、ＣＰＵ１１０が何らかの理由で故障した場合には、次のように動作する。
【００３３】
制御装置１００のＣＰＵ１１０が何らかの理由で政障した場合、ＣＰＵ１１０は正常に機能できなくなるので、負荷Ｌを危険な状態、例えば，長時間オン継続させ、負荷Ｌが異常発熱、および発煙，発火等の陥る恐れがある。このとき、ＣＰＵ１１０は、Ｐ−ＲＵＮ信号も正常に出力できなくなるので、監視ＩＣ１５０はＣＰＵ１１０の異常を検知し、リセット信号ＲＥＳ１を出力する。リセット信号ＲＥＳ１がＣＰＵ１１０に印加されると、ＣＰＵ１１０は再起動し、もし、ここで、ＣＰＵ１１０が正常状態に復帰できれば、再び正常制御を継続する。しかし、ＣＰＵ１１０が正常状態に復帰できなかった場合、再度、リセット信号ＲＥＳ１がＣＰＵ１１０に印加され、再び、ＣＰＵ１１０を正常復帰させようとする。ここでもＣＰＵ１１０が正常状態に復帰できない場合、再び同じルーチンでリセット信号ＲＥＳ１がＣＰＵ１１０に印加される。このようなルーチンを所定回数繰り返すと、前述の通り、リセット信号ＲＥＳ２が動作し、強制オフ回路１６０を動作させ、ＣＰＵ１１０がいかなる状態にあっても、素子駆動信号ＤＳを強制的にオフさせるため、負荷Ｌの駆動を停止する。
【００３４】
以上のように、本実施形態によれば、制御装置のフェールセーフの感度を不必要に高くすることなく、かつ、確実にフェールセーフに移行しなければならないシステムに最適なフェールセーフ機能を提供できる。つまり、従来技術のように、一度でも異常条件を検出すると、制御を停止するといった感度の高いフェールセーフ機能を適用しにくいシステム（例えば、制御装置の交換が容易ではないため、フェールセーフの誤検出をできるだけ低減する必要があるシステムなど）において、特に有効なものである。機電一体型ＡＴコントロールユニットは、コントロールユニットが自動変速機のシャーシ内に組み込まれているため、コントロールユニットを交換するには、変速機を取り外した上で、内部から取り外す必要があり、交換が容易でなく、このようなシステムにおいて、有効である。
【００３５】
また、故障フラグは、素子駆動信号出力の停止を継続するような事態になったときだけ、オンとするようにしているので、一時的な温度上昇等においては、故障フラグは立たないため、不必要な制御装置の交換等の事態を回避することができる。
【００３６】
なお、以上の説明において、「リセット信号ＲＥＳ１の動作回数＝７回」でリセット信号ＲＥＳ２を出力するものとしたが、この回数は適用するシステムに応じて任意に設定できるものである。
【００３７】
以上説明したように、本実施形態によれば、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。
【００３８】
次に、図４を用いて、本発明の第２の実施形態による制御装置の構成について説明する。
図４は、本発明の第２の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。
【００３９】
本実施形態における基本的な構成は、図１と同様である。本実施形態においては、制御装置１００Ａは、強制オフ回路１６０Ａを備えている。強制オフ回路１６０Ａは、電源Ｖｉｇｎと負荷駆動素子１２０との間に接続されている。強制オフ回路１６０Ａの構成は、図１の強制オフ回路１６０と同様である。
【００４０】
監視ＩＣ１５０が、例えば、７回リセット信号ＲＥＳ１をＣＰＵ１１０に出力すると、同時にリセット信号ＲＥＳ２を強制オフ回路１６０Ａに出力し、電源Ｖｉｇｎと負荷駆動素子１２０との間の接続を遮断する。それによって、負荷駆動素子１２０に対する電力供給が停止し、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。
【００４１】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。
【００４２】
なお、図１に示した例では、強制オフ回路１６０が動作することにより、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。一方、図４に示した例では、強制オフ回路１６０Ａが動作することにより、電源Ｖｉｇｎと負荷駆動素子１２０との間の接続を遮断し、負荷駆動素子１２０に対する電力供給が停止し、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。いずれにしても、強制オフ回路は、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止するものであり、かかる機能を有するものであれば、図１や図４に示した構成に限定されないものである。
【００４３】
次に、図５を用いて、本発明の第３の実施形態による制御装置の構成について説明する。
図５は、本発明の第３の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。
【００４４】
本実施形態における基本的な構成は、図１と同様である。本実施形態においては、制御装置１００Ｂは、カウンタ回路１７０を備えている。カウンタ回路１７０は、監視ＩＣ１５０に接続されると共に、ＣＰＵ１１０Ａから出力されるｂｉｔ０〜ｂｉｔ２の３ｂｉｔの信号が入力される構成である。
【００４５】
図１に示した例では、リセット信号ＲＥＳ２はリセット信号ＲＥＳ１が所定回数（例えば、７回）動作した後、動作するものである。ここで、図１の例では、所定回数は予め固定されている回数である。それに対して、本実施形態では、リセット信号ＲＥＳ２が動作する条件であるリセット信号ＲＥＳ１の動作回数をＣＰＵ１１０Ａから出力される３ｂｉｔの信号ｂｉｔ０，ｂｉｔ１，ｂｉｔ２の組合せで設定できる。すなわち、制御装置１００Ｂを適用するシステムにおいて最適なリセット信号ＲＥＳ２の発生条件を、ＣＰＵ１１０Ａから出力している３本の信号線の組合せで、０回から８回までの９通りに任意に設定可能である。その結果、制御装置１００Ｂを適用するシステムに最適なリセット信号ＲＥＳ２の発生条件を容易に設定可能であることがわかる。なお、本例では、リセット信号ＲＥＳ２の発生条件である、リセット信号ＲＥＳ１の発生回数をｂｉｔ０からｂｉｔ２の３本の信号線で設定したが、この信号線を他の本数にして適用することもできる。
【００４６】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。また、リセット信号ＲＥＳ２の発生条件を容易に設定可能となる。
【００４７】
次に、図６及び図７を用いて、本発明の第４の実施形態による制御装置の構成について説明する。
図６は、本発明の第４の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。図７は、本発明の第４の実施形態による制御装置の動作を示す波形図である。図７（Ａ）〜図７（Ｉ）は、図３（Ａ）〜図３（Ｉ）と同様である。図７（Ｊ）は、タイマ回路の動作を示している。
【００４８】
図６に示すように、制御装置１００Ｃの基本的な構成は、図１に示したものと同様である。制御装置１００Ｃは、図１の制御装置１００に加えて、タイマ回路１８０を備えている。タイマ回路１８０は、監視ＩＣ１５０と接続され、所定のウインドウ幅ΔＴ（ｍＳ）を有する。
【００４９】
本実施形態においても、リセット信号ＲＥＳ２は、図７（Ｇ）に示すように、リセット信号ＲＥＳ１が所定回数出力した後、出力するものである。さらに、本実施形態においては、監視ＩＣ１５０に接続されたタイマ１８０は、図７（Ｊ）に示すように、リセット信号ＲＥＳ１が動作するのと同時に動作し、所定期間ΔＴ（ｍｓ）をウインドウ幅としてしている。
【００５０】
ＣＰＵ１１０の異常状態が継続し、リセット信号ＲＥＳ１が繰り返し動作すると、図７（Ｆ）に示すように、監視ＩＣ５０の内部にあるカウンタ（ＲＥＳ１−ＣＮＴ）がリセット信号ＲＥＳ１の立下り毎にカウントアップされる。しかし、リセット信号ＲＥＳ１立下り後、タイマ回路１８０で設定されているウインドウ幅の期間ΔＴ（ｍｓ）以内に所定回数リセット信号ＲＥＳ１が立ち下がらないと、監視ＩＣ１５０のカウンタはリセットされる。例えば、図７（Ｆ）に示すように、時刻ｔ１１においてカウントアップされた後、時刻ｔ１２に期間ΔＴが経過したとすると、時刻ｔ１２において、カウント値がリセットされる。
【００５１】
一方、例えば、図７（Ｆ）に示すように、時刻ｔ１２においてカウントアップされた後、時刻ｔ１５に期間ΔＴが経過するとし、その前の時刻ｔ１４において、カウント値が所定回数（この例では、３回）カウントされると、図７（Ｇ）に示すように、リセット信号ＲＥＳ２が出力する。すなわち、リセット信号ＲＥＳ１が所定期間Ｔ（ｍｓ）以内に所定回数発生した場合にのみ、リセット信号ＲＥＳ２が出力される。
【００５２】
監視ＩＣ１５０の内部のカウント値は、自動車のイグニッションキーがオンになっている限りリセットされないものである。従って、例えば、図１に示した構成では、一時的な温度上昇等が複数回発生し、リセット信号ＲＥＳ２を出力するためのリセット信号ＲＥＳ１をカウントアップする所定回数に達すると、一時的な現象にも拘わらず、負荷の出力を停止することになる。一方、本実施形態のように、タイマ回路を用いてウインドウを形成することにより、一時的な温度上昇等によってはウインドウによってカウント値がリセットされるため、一時的な現象で負荷の出力を停止する事態を回避することができる。
【００５３】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。また、一時的な現象で負荷の出力を停止する事態を回避することができる。
【００５４】
【発明の効果】
本発明によれば、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能となる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態による制御装置の全体構成を示すブロック図である。
【図２】本発明の第１の実施形態による制御装置の動作を示すフローチャートである。
【図３】本発明の第１の実施形態による制御装置の動作を示す波形図である。
【図４】本発明の第２の実施形態による制御装置の構成を示すブロック図である。
【図５】本発明の第３の実施形態による制御装置の構成を示すブロック図である。
【図６】本発明の第４の実施形態による制御装置の構成を示すブロック図である。
【図７】本発明の第４の実施形態による制御装置の動作を示す波形図である。
【符号の説明】
１００，１００Ａ，１００Ｂ，１１０Ｃ…制御装置
１１０…ＣＰＵ
１２０…負荷駆動素子
１３０…レギュレータ回路
１４０…温度センサ
１５０…監視ＩＣ
１６０，１６０Ａ…強制オフ回路
１７０…カウンタ
１８０…タイマ回路
【発明の属する技術分野】
本発明は、制御装置に係り、特に、高いフェールセーフを要求されるシステムに用いるに好適な制御装置に関する。
【０００２】
【従来の技術】
従来の制御装置においては、例えば、特開平１０−３４０９号公報に記載のように、マイコンが暴走し、ウオッチドック信号を出力しなくなったとき、監視ＩＣがマイコンの暴走と判断し、監視ＩＣからマスク信号を出力し、即座に被制御部材に対する制御出力を停止することによりフェールセーフ機能を動作させるものが知られている。
【０００３】
【特許文献１】
特開平１０−３４０９号公報
【０００４】
【発明が解決しようとする課題】
ところで、自動車用の制御装置としては、例えば、エンジンを制御するエンジン制御装置（エンジンコントロールユニット：ＥＣＵ），自動変速機を制御する自動変速機制御装置（ＡＴコントロールユニット：ＡＴＣＵ），ハイブリット自動車や電気自動車のモータを制御するモータ制御装置（モータコントロールユニット：ＭＣＵ）などが、実用化されている。これらの自動車用制御装置においては、マイコンの暴走などが発生した場合には、フェールセーフ機能を動作させ、自動車の安全性を向上させる必要がある。また、その後の修理や故障原因の追及のため、動作不具合の原因を示す故障フラグを記憶するようにしている。専用ツールを用いて、故障フラグを読み出すことにより、故障原因を調査することができる。
【０００５】
故障フラグを立てる要因としては、マイコンそのものが暴走した場合もあるが、例えば、制御装置の温度が所定温度よりも高くなった場合にも、異常として、制御出力を停止して、故障フラグを立てるようにしている。
【０００６】
ここで、問題となるとは、過渡的な要因により過渡的に異常となった場合である。例えば、最近、機電一体型システムと称されるＡＴコントロールユニットが開発されつつある。機電一体型システムでは、メカ部分である自動変速機のケースの中に、電気系であるＡＴコントロールユニットを内蔵させるものである。この場合、ＡＴコントロールユニットの温度は、機電分離型でＡＴコントロールユニットを車室内に配置する場合に比べて、５０度近く高温となる。そして、例えば、急な坂道を登坂した後、エンジンキーをアクセサリー（ＡＣＣ）位置などにした場合、自動変速のＡＴオイルが高温になるとともに、ＡＴオイルを冷却するためのポンプは停止するため、ＡＴコントロールユニットの温度が一時的に設定温度以上となり、故障フラグを立てることになる。しかしながら、その後、一旦エンジンキーをオフにして、しかも、ＡＴオイルの温度が低下すれば、エンジンの再始動は可能となるが、故障フラグは立ったままとなっている。
【０００７】
故障フラグが立った場合には、一般には、コントロールユニットを交換して、故障原因を追及することが行われるが、過渡的な温度上昇のような一時的な現象の場合には、同じ現象を再現できないため、故障原因不明となる。このようにして、過渡的な現象によるものについては、異常状態の誤検出ということになり、本来的な故障でないにも拘わらず、コントロールユニットの交換や故障原因の追及が必要となるという問題があった。特に、機電一体型システムのＡＴコントロールユニットでは、自動変速機そのものを交換する必要が生じてくる。
【０００８】
本発明の目的は、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能な制御装置を提供することになる。
【０００９】
【課題を解決するための手段】
（１）上記目的を達成するために、本発明は、センサからの入力信号に基づいて、負荷駆動素子を介して負荷を駆動する駆動信号を出力する制御手段を有する制御装置において、装置の異常状態を検出し、前記制御手段をリセットする第１のリセット信号を出力するとともに、この第１のリセット信号が所定回数出力された時に第２のリセット信号を出力する監視手段と、この監視手段から出力される第２のリセット信号により、前記負荷への出力を停止する強制オフ手段を備えるようにしたものである。
かかる構成により、高いフェールセーフ機能を有すると共に、異常状態の誤検出が回避し得るものとなる。
【００１０】
（２）上記（１）において、好ましくは、前記強制オフ手段は、前記負荷駆動素子に対して供給される前記駆動信号を遮断するようにしたものである。
【００１１】
（３）上記（１）において、好ましくは、前記強制オフ手段は、前記負荷に対する電力供給を停止するようにしたものである。
【００１２】
（４）上記（１）において、好ましくは、前記第２のリセット信号を出力する条件である前記所定回数を外部から設定可能としたものである。
【００１３】
（５）上記（１）において、好ましくは、前記監視手段は、前記第１のリセット信号が所定時間内に所定回数出力された時に第２のリセット信号を出力するようにしたものである。
【００１４】
（６）上記（１）において、好ましくは、前記監視手段は、前記第２のリセット信号が出力された際に、故障フラグをオンにするようにしたものである。
【００１５】
【発明の実施の形態】
以下、図１〜図３を用いて、本発明の第１の実施形態による制御装置の構成及び動作について説明する。ここでは、制御装置として、機電一体型のＡＴコントロールユニットを例にして説明する。
最初に、図１を用いて、本実施形態による制御装置の全体構成について説明する。
図１は、本発明の第１の実施形態による制御装置の全体構成を示すブロック図である。
【００１６】
制御装置１００は、ＣＰＵ１１０と、負荷駆動素子１２０とを備えている。ＣＰＵ１１０には、外部の複数のセンサＳ１，Ｓ２から車両の状態を示す信号が入力する。ＡＴコントロールユニットでは、センサＳ１，Ｓ２としては、アクセルペダルの踏込量センサや，車速センサなどが用いられる。負荷駆動素子１２０は、パワートランジスタなどから構成される。負荷駆動素子１２０には、負荷Ｌが接続されている。負荷Ｌは通常複数個備えられる。負荷が複数個備えられる場合、負荷駆動素子１３０も、それぞれ、負荷に対応した個数だけ備えられる。ＡＴコントロールユニットでは、負荷Ｌとして、自動変速機内部の複数のクラッチをそれぞれ締結・開放するためのアクチュエータを駆動するソレノイドコイルが設けられる。
【００１７】
ＣＰＵ１１０は、センサＳ１，Ｓ２からの車両の状態を示す信号に基づいて、変速機の変速段を決定し、例えば、第１のクラッチの開放し、第２のクラッチを締結して変速制御すべく、負荷駆動素子１２０に駆動信号ＤＳを出力する。駆動信号ＤＳがハイレベルになると、負荷駆動素子１２０が導通し、電源Ｖｉｇｎから駆動電流が負荷Ｌに供給される。ＣＰＵ１１０には、バッテリＢの電圧が、レギュレータ回路１３０によって所定の電圧ＶＣＣ（例えば、５Ｖ）に変圧した上で供給されている。
【００１８】
さらに、制御装置１００は、温度センサ（ＳＴ）１４０と、監視ＩＣ（Ｗ−ＩＣ）１５０と、強制オフ回路１６０とを備えている。温度センサ１４０は、制御装置１００の温度を検出する。ＣＰＵ１１０は、温度センサ１４０の出力により、制御装置１００の温度を監視し、ＣＰＵ１１０が正常に動作可能かどうかを判定する。温度センサ１４０によって検出された温度が所定温度以下の場合には、ＣＰＵ１１０は、一定周期の信号（ここでは、一例として、Ｐ−ＲＵＮ信号と称する一定周期の信号とする）を監視ＩＣ１５０に出力する。
【００１９】
監視ＩＣ１５０は、ＣＰＵ１１０から出力する一定周期の信号が途絶えると、ＣＰＵ１１０のリセット端子ＲＥＳに対してリセット信号ＲＥＳ１を出力し、ＣＰＵ１１０をリセットする。監視ＩＣ１５０は、ＣＰＵ１１０に対して、複数回リセット信号を出力する。そして、リセット信号の出力回数が予め設定した回数に達すると、強制オフ回路１６０に対して、リセット信号ＲＥＳ２を出力する。強制オフ回路１６０は、負荷駆動素子１２０の制御入力端子とグランド電位の間に接続されており、リセット信号ＲＥＳ２が入力すると、負荷駆動素子１２０の制御入力端子をグランド電位に短絡する。したがって、ＣＰＵ１１０が駆動信号ＤＳを出力しても、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。それと同時に、監視ＩＣ１５０の内部には、リセット信号ＲＥＳ２を出力して負荷の駆動を停止した状態を示す故障フラグを記憶する。
【００２０】
次に、図２及び図３を用いて、本実施形態による制御装置の動作について説明する。
図２は、本発明の第１の実施形態による制御装置の動作を示すフローチャートである。図３は、本発明の第１の実施形態による制御装置の動作を示す波形図である。図３において、横軸は時間Ｔを示している。図３（Ａ）は、バッテリＢの電圧Ｖｉｇｎを示している。図３（Ｂ）は、レギュレータ回路１３０の出力電圧ＶＣＣを示している。図３（Ｃ）は、温度センサ１４０によって検出された温度ＴＢを示している。図３（Ｄ）は、ＣＰＵ１１０が監視ＩＣ１５０に出力する一定周期の信号Ｐ−ＲＵＮを示している。図３（Ｅ）は、監視ＩＣ１５０が出力するリセット信号ＲＥＳ１を示している。図３（Ｆ）は、監視ＩＣ１５０がリセット信号ＲＥＳ１をカウントするカウント値ＲＥＳ−ＣＮＴを示している。図３（Ｇ）は、監視ＩＣ１５０が出力するリセット信号ＲＥＳ２を示している。図３（Ｈ）は、ＣＰＵ１１０が出力する駆動信号ＤＳを示している。図３（Ｉ）は、負荷Ｌに流れる負荷電流ＩＬを示している。
【００２１】
図２のステップｓ１００において、自動車のエンジンキーがオンになると、監視ＩＣ１５０は、リセット信号ＲＥＳ１の出力回数をカウントするカウンタＲＥＳ２ＣＯＵＮＴを０クリアする。次に、ステップｓ１０５において、ＣＰＵ１１０は、過加熱状態にあることを判定し、フェールセーフを動作させるための加熱保護判定温度をＴＡにセットする。すなわち、時刻ｔ０において、自動車のエンジンキーがオンになると、図３（Ａ）に示すように、バッテリＢの電圧Ｖｉｇｎが制御装置１００に供給され、図３（Ｂ）に示すように、レギュレータ回路１３０によって変圧された電圧ＶＣＣがＣＰＵ１１０及び監視ＩＣ１５０に供給され、それぞれが、ステップｓ１００，ｓ１０５の処理を実行する。
【００２２】
次に、ステップｓ１１０において、ＣＰＵ１１０は、温度センサ１４０からの温度信号を取り込み、温度ＴＢを測定する。そして、ステップｓ１１５において、ＣＰＵ１１０は、測定された温度ＴＢが加熱保護判定温度ＴＡより小さいか否かを判定する。測定された温度ＴＢが加熱保護判定温度ＴＡより小さい場合には、ステップｓ１２０に進み、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になると、ステップｓ１４０に進む。
【００２３】
測定された温度ＴＢが加熱保護判定温度ＴＡより小さい場合には、ステップｓ１２０において、ＣＰＵ１１０は、図３（Ｄ）に示すように、時刻ｔ１から監視ＩＣ１５０に一定周期の信号Ｐ−ＲＵＮを出力する。また、ステップｓ１２５において、監視ＩＣ１５０は、図３（Ｅ）に示すように、時刻ｔ１からリセット信号ＲＥＳ１の出力を「Ｈ」レベルにする。さらに、ステップｓ１３０において、ＣＰＵ１１０は、図３（Ｈ）に示すように、時刻ｔ１から素子駆動信号ＤＳを出力する。
【００２４】
一方、図３（Ｃ）に示すように、時刻ｔ２において、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になると、ステップｓ１４０において、ＣＰＵ１１０は、図３（Ｄ）に示すように、監視ＩＣ１５０に出力していた一定周期の信号Ｐ−ＲＵＮを停止する。なお、図３において、時刻ｔ２〜ｔ３は、一時的に、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になった場合であり、時刻ｔ４〜ｔ５は、所定時間に亘って、測定された温度ＴＢが加熱保護判定温度ＴＡ以上になった場合を示している。
【００２５】
次に、ステップｓ１４５において、監視ＩＣ１５０は、図３（Ｅ）に示すように、リセット信号ＲＥＳ１の出力を「Ｌ」レベルにする。ＣＰＵ１１０は、リセット入力端子ＲＥＳに入力する信号のレベルが「Ｌ」レベルになると、リセットが掛かる構成となっている。さらに、ステップｓ１５０において、ＣＰＵ１１０は、図３（Ｈ）に示すように、時刻ｔ１から素子駆動信号ＤＳの出力を停止する。
【００２６】
また、ステップｓ１５０の処理の次に、ステップｓ１５５において、監視ＩＣ１５０は、内部に備えられたリセット信号ＲＥＳ１をカウントするカウント値ＲＥＳ−ＣＮＴに、「１」を加算する。そして、ステップｓ１６０において、監視ＩＣ１５０は、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さいか否かを判定する。「７」より小さいときはステップｓ１６５に進み、「７」以上になるとステップｓ１７０に進む。
【００２７】
時刻ｔ２〜時刻ｔ３において、図３（Ｃ）に示すように、温度が一時的に上昇した場合には、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さいため、ステップｓ１６５において、監視ＩＣ１５０は、リセット信号ＲＥＳ２のレベルを「Ｈ」レベルとする。強制オフ回路１６０は、図１に示すように内部にインバータを備えており、リセット信号ＲＥＳ２のレベルを「Ｈ」レベルのときは、動作しないものである。
【００２８】
そして、ステップｓ１１０に戻り、上述の処理を繰り返す。そして、時刻ｔ３において、測定された温度ＴＢが加熱保護判定温度ＴＡより小さくなると、ステップｓ１２０に戻り、ステップｓ１２５，ｓ１３０の処理により、通常のように、素子駆動を再開する。
【００２９】
一方、
時刻ｔ４〜時刻ｔ５において、図３（Ｃ）に示すように、温度が一定時間以上の亘って設定値ＴＡ以上になると、カウント値ＲＥＳ−ＣＮＴの値が「７」より小さい場合には、ステップｓ１６５から、ステップｓ１１５，ｓ１４０〜ｓ１５５の処理を繰り返す。したがって、図３（Ｅ）に示すように、複数回のリセット信号ＲＥＳ１が繰り返される。また、その間、図３（Ｆ）に示すように、カウント値ＲＥＳ−ＣＮＴの値は、順次カウントアップされる。
【００３０】
そして、カウント値ＲＥＳ−ＣＮＴの値が「７」以上になると、ステップｓ１７０において、監視ＩＣ１５０は、監視ＩＣ１５０は、図３（Ｇ）に示すように、リセット信号ＲＥＳ２のレベルを「Ｌ」レベルとする。それによって、強制オフ回路１６０が動作して、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。
【００３１】
次に、ステップｓ１７５において、監視ＩＣ１５０は、内部の故障フラグをオンにする。そして、ステップｓ１８０において、素子駆動信号出力停止を継続する。したがって、例えば、時刻ｔ５において、測定された温度ＴＢが加熱保護判定温度ＴＡより小さくなって、仮に、図３（Ｄ）に示すように、ＣＰＵ１１０が一定周期の信号Ｐ−ＲＵＮを出力し、図３（Ｈ）に示すように、駆動信号ＤＳを出力したとしても、図３（Ｉ）に示すように、負荷Ｌには負荷電流ＩＬは流れず、負荷の駆動停止が継続するものとなる。
【００３２】
なお、以上の説明は、制御装置１００の温度が高温になった場合についてであり、ＣＰＵ１１０は正常に動作しているものである。それに対して、ＣＰＵ１１０が何らかの理由で故障した場合には、次のように動作する。
【００３３】
制御装置１００のＣＰＵ１１０が何らかの理由で政障した場合、ＣＰＵ１１０は正常に機能できなくなるので、負荷Ｌを危険な状態、例えば，長時間オン継続させ、負荷Ｌが異常発熱、および発煙，発火等の陥る恐れがある。このとき、ＣＰＵ１１０は、Ｐ−ＲＵＮ信号も正常に出力できなくなるので、監視ＩＣ１５０はＣＰＵ１１０の異常を検知し、リセット信号ＲＥＳ１を出力する。リセット信号ＲＥＳ１がＣＰＵ１１０に印加されると、ＣＰＵ１１０は再起動し、もし、ここで、ＣＰＵ１１０が正常状態に復帰できれば、再び正常制御を継続する。しかし、ＣＰＵ１１０が正常状態に復帰できなかった場合、再度、リセット信号ＲＥＳ１がＣＰＵ１１０に印加され、再び、ＣＰＵ１１０を正常復帰させようとする。ここでもＣＰＵ１１０が正常状態に復帰できない場合、再び同じルーチンでリセット信号ＲＥＳ１がＣＰＵ１１０に印加される。このようなルーチンを所定回数繰り返すと、前述の通り、リセット信号ＲＥＳ２が動作し、強制オフ回路１６０を動作させ、ＣＰＵ１１０がいかなる状態にあっても、素子駆動信号ＤＳを強制的にオフさせるため、負荷Ｌの駆動を停止する。
【００３４】
以上のように、本実施形態によれば、制御装置のフェールセーフの感度を不必要に高くすることなく、かつ、確実にフェールセーフに移行しなければならないシステムに最適なフェールセーフ機能を提供できる。つまり、従来技術のように、一度でも異常条件を検出すると、制御を停止するといった感度の高いフェールセーフ機能を適用しにくいシステム（例えば、制御装置の交換が容易ではないため、フェールセーフの誤検出をできるだけ低減する必要があるシステムなど）において、特に有効なものである。機電一体型ＡＴコントロールユニットは、コントロールユニットが自動変速機のシャーシ内に組み込まれているため、コントロールユニットを交換するには、変速機を取り外した上で、内部から取り外す必要があり、交換が容易でなく、このようなシステムにおいて、有効である。
【００３５】
また、故障フラグは、素子駆動信号出力の停止を継続するような事態になったときだけ、オンとするようにしているので、一時的な温度上昇等においては、故障フラグは立たないため、不必要な制御装置の交換等の事態を回避することができる。
【００３６】
なお、以上の説明において、「リセット信号ＲＥＳ１の動作回数＝７回」でリセット信号ＲＥＳ２を出力するものとしたが、この回数は適用するシステムに応じて任意に設定できるものである。
【００３７】
以上説明したように、本実施形態によれば、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。
【００３８】
次に、図４を用いて、本発明の第２の実施形態による制御装置の構成について説明する。
図４は、本発明の第２の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。
【００３９】
本実施形態における基本的な構成は、図１と同様である。本実施形態においては、制御装置１００Ａは、強制オフ回路１６０Ａを備えている。強制オフ回路１６０Ａは、電源Ｖｉｇｎと負荷駆動素子１２０との間に接続されている。強制オフ回路１６０Ａの構成は、図１の強制オフ回路１６０と同様である。
【００４０】
監視ＩＣ１５０が、例えば、７回リセット信号ＲＥＳ１をＣＰＵ１１０に出力すると、同時にリセット信号ＲＥＳ２を強制オフ回路１６０Ａに出力し、電源Ｖｉｇｎと負荷駆動素子１２０との間の接続を遮断する。それによって、負荷駆動素子１２０に対する電力供給が停止し、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。
【００４１】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。
【００４２】
なお、図１に示した例では、強制オフ回路１６０が動作することにより、負荷駆動素子１２０は強制的にオフとなり、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。一方、図４に示した例では、強制オフ回路１６０Ａが動作することにより、電源Ｖｉｇｎと負荷駆動素子１２０との間の接続を遮断し、負荷駆動素子１２０に対する電力供給が停止し、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止する。いずれにしても、強制オフ回路は、負荷Ｌに対する電力供給が停止し、負荷の駆動を停止するものであり、かかる機能を有するものであれば、図１や図４に示した構成に限定されないものである。
【００４３】
次に、図５を用いて、本発明の第３の実施形態による制御装置の構成について説明する。
図５は、本発明の第３の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。
【００４４】
本実施形態における基本的な構成は、図１と同様である。本実施形態においては、制御装置１００Ｂは、カウンタ回路１７０を備えている。カウンタ回路１７０は、監視ＩＣ１５０に接続されると共に、ＣＰＵ１１０Ａから出力されるｂｉｔ０〜ｂｉｔ２の３ｂｉｔの信号が入力される構成である。
【００４５】
図１に示した例では、リセット信号ＲＥＳ２はリセット信号ＲＥＳ１が所定回数（例えば、７回）動作した後、動作するものである。ここで、図１の例では、所定回数は予め固定されている回数である。それに対して、本実施形態では、リセット信号ＲＥＳ２が動作する条件であるリセット信号ＲＥＳ１の動作回数をＣＰＵ１１０Ａから出力される３ｂｉｔの信号ｂｉｔ０，ｂｉｔ１，ｂｉｔ２の組合せで設定できる。すなわち、制御装置１００Ｂを適用するシステムにおいて最適なリセット信号ＲＥＳ２の発生条件を、ＣＰＵ１１０Ａから出力している３本の信号線の組合せで、０回から８回までの９通りに任意に設定可能である。その結果、制御装置１００Ｂを適用するシステムに最適なリセット信号ＲＥＳ２の発生条件を容易に設定可能であることがわかる。なお、本例では、リセット信号ＲＥＳ２の発生条件である、リセット信号ＲＥＳ１の発生回数をｂｉｔ０からｂｉｔ２の３本の信号線で設定したが、この信号線を他の本数にして適用することもできる。
【００４６】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。また、リセット信号ＲＥＳ２の発生条件を容易に設定可能となる。
【００４７】
次に、図６及び図７を用いて、本発明の第４の実施形態による制御装置の構成について説明する。
図６は、本発明の第４の実施形態による制御装置の構成を示すブロック図である。なお、図１と同一符号は、同一部分を示している。図７は、本発明の第４の実施形態による制御装置の動作を示す波形図である。図７（Ａ）〜図７（Ｉ）は、図３（Ａ）〜図３（Ｉ）と同様である。図７（Ｊ）は、タイマ回路の動作を示している。
【００４８】
図６に示すように、制御装置１００Ｃの基本的な構成は、図１に示したものと同様である。制御装置１００Ｃは、図１の制御装置１００に加えて、タイマ回路１８０を備えている。タイマ回路１８０は、監視ＩＣ１５０と接続され、所定のウインドウ幅ΔＴ（ｍＳ）を有する。
【００４９】
本実施形態においても、リセット信号ＲＥＳ２は、図７（Ｇ）に示すように、リセット信号ＲＥＳ１が所定回数出力した後、出力するものである。さらに、本実施形態においては、監視ＩＣ１５０に接続されたタイマ１８０は、図７（Ｊ）に示すように、リセット信号ＲＥＳ１が動作するのと同時に動作し、所定期間ΔＴ（ｍｓ）をウインドウ幅としてしている。
【００５０】
ＣＰＵ１１０の異常状態が継続し、リセット信号ＲＥＳ１が繰り返し動作すると、図７（Ｆ）に示すように、監視ＩＣ５０の内部にあるカウンタ（ＲＥＳ１−ＣＮＴ）がリセット信号ＲＥＳ１の立下り毎にカウントアップされる。しかし、リセット信号ＲＥＳ１立下り後、タイマ回路１８０で設定されているウインドウ幅の期間ΔＴ（ｍｓ）以内に所定回数リセット信号ＲＥＳ１が立ち下がらないと、監視ＩＣ１５０のカウンタはリセットされる。例えば、図７（Ｆ）に示すように、時刻ｔ１１においてカウントアップされた後、時刻ｔ１２に期間ΔＴが経過したとすると、時刻ｔ１２において、カウント値がリセットされる。
【００５１】
一方、例えば、図７（Ｆ）に示すように、時刻ｔ１２においてカウントアップされた後、時刻ｔ１５に期間ΔＴが経過するとし、その前の時刻ｔ１４において、カウント値が所定回数（この例では、３回）カウントされると、図７（Ｇ）に示すように、リセット信号ＲＥＳ２が出力する。すなわち、リセット信号ＲＥＳ１が所定期間Ｔ（ｍｓ）以内に所定回数発生した場合にのみ、リセット信号ＲＥＳ２が出力される。
【００５２】
監視ＩＣ１５０の内部のカウント値は、自動車のイグニッションキーがオンになっている限りリセットされないものである。従って、例えば、図１に示した構成では、一時的な温度上昇等が複数回発生し、リセット信号ＲＥＳ２を出力するためのリセット信号ＲＥＳ１をカウントアップする所定回数に達すると、一時的な現象にも拘わらず、負荷の出力を停止することになる。一方、本実施形態のように、タイマ回路を用いてウインドウを形成することにより、一時的な温度上昇等によってはウインドウによってカウント値がリセットされるため、一時的な現象で負荷の出力を停止する事態を回避することができる。
【００５３】
以上説明したように、本実施形態によっても、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能とすることができる。また、一時的な現象で負荷の出力を停止する事態を回避することができる。
【００５４】
【発明の効果】
本発明によれば、高いフェールセーフ機能を有すると共に、異常状態の誤検出を回避可能となる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態による制御装置の全体構成を示すブロック図である。
【図２】本発明の第１の実施形態による制御装置の動作を示すフローチャートである。
【図３】本発明の第１の実施形態による制御装置の動作を示す波形図である。
【図４】本発明の第２の実施形態による制御装置の構成を示すブロック図である。
【図５】本発明の第３の実施形態による制御装置の構成を示すブロック図である。
【図６】本発明の第４の実施形態による制御装置の構成を示すブロック図である。
【図７】本発明の第４の実施形態による制御装置の動作を示す波形図である。
【符号の説明】
１００，１００Ａ，１００Ｂ，１１０Ｃ…制御装置
１１０…ＣＰＵ
１２０…負荷駆動素子
１３０…レギュレータ回路
１４０…温度センサ
１５０…監視ＩＣ
１６０，１６０Ａ…強制オフ回路
１７０…カウンタ
１８０…タイマ回路
Claims (6)
- センサからの入力信号に基づいて、負荷駆動素子を介して負荷を駆動する駆動信号を出力する制御手段を有する制御装置において、
装置の異常状態を検出し、前記制御手段をリセットする第１のリセット信号を出力するとともに、この第１のリセット信号が所定回数出力された時に第２のリセット信号を出力する監視手段と、
この監視手段から出力される第２のリセット信号により、前記負荷への出力を停止する強制オフ手段を備えたことを特徴とする制御装置。 - 請求項１記載の制御装置において、
前記強制オフ手段は、前記負荷駆動素子に対して供給される前記駆動信号を遮断することを特徴とする制御装置。 - 請求項１記載の制御装置において、
前記強制オフ手段は、前記負荷に対する電力供給を停止することを特徴とする制御装置。 - 請求項１記載の制御装置において、
前記第２のリセット信号を出力する条件である前記所定回数を外部から設定可能としたことを特徴とする制御装置。 - 請求項１記載の制御装置において、
前記監視手段は、前記第１のリセット信号が所定時間内に所定回数出力された時に第２のリセット信号を出力することを特徴とする制御装置。 - 請求項１記載の制御装置において、
前記監視手段は、前記第２のリセット信号が出力された際に、故障フラグをオンにすることを特徴とする制御装置。
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003158148A JP3992648B2 (ja) | 2003-06-03 | 2003-06-03 | Ａｔコントロールユニット |
| US10/857,906 US7269492B2 (en) | 2003-06-03 | 2004-06-02 | Control system |
| EP04013121A EP1489509B1 (en) | 2003-06-03 | 2004-06-03 | Control system |
| DE602004022486T DE602004022486D1 (de) | 2003-06-03 | 2004-06-03 | Überwachungssystem |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003158148A JP3992648B2 (ja) | 2003-06-03 | 2003-06-03 | Ａｔコントロールユニット |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004362139A true JP2004362139A (ja) | 2004-12-24 |
| JP3992648B2 JP3992648B2 (ja) | 2007-10-17 |
Family
ID=33410869
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003158148A Expired - Lifetime JP3992648B2 (ja) | 2003-06-03 | 2003-06-03 | Ａｔコントロールユニット |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US7269492B2 (ja) |
| EP (1) | EP1489509B1 (ja) |
| JP (1) | JP3992648B2 (ja) |
| DE (1) | DE602004022486D1 (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010146135A (ja) * | 2008-12-17 | 2010-07-01 | Hitachi Automotive Systems Ltd | 制御装置 |
| JP2016094846A (ja) * | 2014-11-12 | 2016-05-26 | 株式会社デンソー | 電子制御装置 |
| JP2016203764A (ja) * | 2015-04-21 | 2016-12-08 | 株式会社デンソー | 車両の電子制御装置 |
| WO2018131302A1 (ja) * | 2017-01-12 | 2018-07-19 | 日立オートモティブシステムズ株式会社 | 電子制御装置 |
| DE102019200734A1 (de) | 2018-01-25 | 2019-07-25 | Denso Corporation | Elektronische steuereinheit |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6197442B2 (ja) * | 2013-07-26 | 2017-09-20 | 三菱電機株式会社 | 半導体素子の駆動回路 |
| JP6441505B2 (ja) * | 2016-10-31 | 2018-12-19 | 新電元工業株式会社 | 制御装置、および、制御装置の制御方法 |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4234920A (en) | 1978-11-24 | 1980-11-18 | Engineered Systems, Inc. | Power failure detection and restart system |
| US4635258A (en) | 1984-10-22 | 1987-01-06 | Westinghouse Electric Corp. | System for detecting a program execution fault |
| JPH01184502A (ja) | 1988-01-20 | 1989-07-24 | Jidosha Kiki Co Ltd | フエールセーフ回路 |
| EP0410030A1 (en) * | 1989-07-25 | 1991-01-30 | Unisia Jecs Corporation | Method and apparatus for preventing failure of a CPU |
| JP3135772B2 (ja) * | 1993-12-27 | 2001-02-19 | アスコ株式会社 | 車両用安全装置 |
| JPH103409A (ja) | 1996-06-14 | 1998-01-06 | Hitachi Ltd | マイクロコンピュータ監視システム及びこれに用いられる半導体集積回路装置 |
| US6924901B1 (en) * | 1999-05-10 | 2005-08-02 | Canon Kabushiki Kaisha | Communication system, image forming apparatus, initialization method, trouble compensation method and storage medium |
| JP3805648B2 (ja) * | 2001-06-14 | 2006-08-02 | 三菱電機株式会社 | エンジン用吸気量制御装置 |
| JP3616367B2 (ja) * | 2001-10-24 | 2005-02-02 | 三菱電機株式会社 | 電子制御装置 |
-
2003
- 2003-06-03 JP JP2003158148A patent/JP3992648B2/ja not_active Expired - Lifetime
-
2004
- 2004-06-02 US US10/857,906 patent/US7269492B2/en active Active
- 2004-06-03 DE DE602004022486T patent/DE602004022486D1/de not_active Expired - Lifetime
- 2004-06-03 EP EP04013121A patent/EP1489509B1/en not_active Expired - Lifetime
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010146135A (ja) * | 2008-12-17 | 2010-07-01 | Hitachi Automotive Systems Ltd | 制御装置 |
| JP2016094846A (ja) * | 2014-11-12 | 2016-05-26 | 株式会社デンソー | 電子制御装置 |
| JP2016203764A (ja) * | 2015-04-21 | 2016-12-08 | 株式会社デンソー | 車両の電子制御装置 |
| WO2018131302A1 (ja) * | 2017-01-12 | 2018-07-19 | 日立オートモティブシステムズ株式会社 | 電子制御装置 |
| JPWO2018131302A1 (ja) * | 2017-01-12 | 2019-11-07 | 日立オートモティブシステムズ株式会社 | 電子制御装置 |
| DE102019200734A1 (de) | 2018-01-25 | 2019-07-25 | Denso Corporation | Elektronische steuereinheit |
| JP2019128817A (ja) * | 2018-01-25 | 2019-08-01 | 株式会社デンソー | 電子制御装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1489509B1 (en) | 2009-08-12 |
| EP1489509A2 (en) | 2004-12-22 |
| JP3992648B2 (ja) | 2007-10-17 |
| US7269492B2 (en) | 2007-09-11 |
| US20040249478A1 (en) | 2004-12-09 |
| DE602004022486D1 (de) | 2009-09-24 |
| EP1489509A3 (en) | 2006-05-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5482055B2 (ja) | 電力供給制御装置 | |
| CA2590792C (en) | Load drive controller and control system | |
| JPH09258821A (ja) | マイコン故障監視装置 | |
| JP7227844B2 (ja) | バッテリ監視装置及び電動車両の制御装置 | |
| JPH0811942B2 (ja) | エンジン制御装置 | |
| JP4477607B2 (ja) | 内燃機関用点火装置 | |
| JPH0979037A (ja) | ラジエータの冷却ファンシステムの異常検出装置 | |
| JP5902975B2 (ja) | 監視装置および車載型電子制御装置 | |
| JP2004362139A (ja) | 制御装置 | |
| JP2012102640A (ja) | スタータの制御装置 | |
| JP6153815B2 (ja) | 自動車用の電子制御装置 | |
| JP6232133B2 (ja) | 電子制御装置 | |
| JP3142437B2 (ja) | 内燃機関用点火装置 | |
| JP5769403B2 (ja) | 監視装置及び電子装置 | |
| JP6443202B2 (ja) | 車両の電子制御装置 | |
| JP4538852B2 (ja) | 車両用制御装置 | |
| JP5950442B2 (ja) | 電子制御装置 | |
| KR102203288B1 (ko) | Isg 제어방법 | |
| JP6620688B2 (ja) | 電子制御装置 | |
| JP2007255254A (ja) | エンジン始動システム | |
| JP6404073B2 (ja) | 駆動力制御装置 | |
| JP2004340660A (ja) | 異常検出回路 | |
| JP6713897B2 (ja) | 機器監視装置及び機器監視方法 | |
| KR100717950B1 (ko) | 자동차의 램프 구동 장치 및 방법 | |
| KR100765715B1 (ko) | 차량의 엑셀러레이터 페달 센서의 고장 진단방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070515 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070628 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070724 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070724 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3992648 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100803 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100803 Year of fee payment: 3 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100803 Year of fee payment: 3 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110803 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120803 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130803 Year of fee payment: 6 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |