JP2006293649A - 電子制御装置 - Google Patents

Abstract

【課題】ＲＡＭに保存されたデータに異常が生じた場合であっても、極力、そのデータを復旧させて、システムの制御を継続して行うこと。
【解決手段】
電子制御装置は、ＲＡＭに、制御用データに加えて、制御用データと一致もしくは整合関係を有する制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータを保存する。従って、制御用データが異常である可能性が生じた場合にも、それらのデータを利用して、制御用データを復旧させる機会を増やすことが可能となる。このため、制御用データが異常である可能性が発生した場合であっても、即座にシステム制御を停止させるのではなく、極力、そのシステム制御を継続させることができる。
【選択図】 図３

Description

本発明は、所定のシステムの制御に用いる制御用データを一時的に保存するＲＡＭを有する電子制御装置に関する。

従来の電子制御装置として、例えば特許文献１に記載されたものが知られている。この従来装置では、単に制御開始前にＲＡＭの故障診断を行うだけでは、ＲＡＭ故障の発生を十分に検出できないことに鑑みて、診断用期間毎に、ＲＡＭの故障診断を繰り返し行う。具体的には、ＲＡＭ領域をセルに分割し、分割されたセルに対して順次リードライトチェックを行い、書き込み結果と読み出し結果の一致性を確認する。

そして、このようなＲＡＭの故障診断の結果、ＲＡＭに故障が発生したと診断した場合、制御対象である電動パワーステアリング装置におけるアシスト力制御を停止させる。
特開２００４−１３３６３５号

ここで、ＲＡＭへの書き込み結果と読み出し結果とが不一致となる原因は、物理的にＲＡＭの記憶領域が損傷して、データの書き込みや読み出しを正確に行うことが不可能なＲＡＭ故障の他、ノイズ等の影響により、書き込み値が所定値とは異なってしまったＲＡＭ化けや、電源の瞬断等によるレジスタやバス上のデータ化けに起因するＲＡＭ値異常などが考えられる。

上述したＲＡＭ化けやＲＡＭ値異常の場合、ＲＡＭそのものに故障は発生していないにも係わらず、従来装置では、すべてＲＡＭ故障とみなして、制御対象に対する制御を停止させてしまう。

このため、その制御対象が、例えば、ガソリンエンジンと電気モータを動力源とするハイブリッドシステムである場合、制御が停止されると車両の走行に重大な影響を及ぼすことになる。さらに、制御の停止により、電流・電圧が急激に変化する場合、電気モータ及びその駆動部品に対して過剰な負荷を掛ける恐れも生じる。

本発明は、上述した点に鑑みてなされたものであり、ＲＡＭに保存されたデータに異常が生じた場合であっても、ＲＡＭの信頼性を確保した上で、極力、そのデータを復旧させて、システムの制御を継続して行うことが可能な電子制御装置を提供することを目的とする。

上記目的を達成するために、請求項１に記載の電子制御装置は、所定のシステムの制御に用いる制御用データを一時的に保存するＲＡＭを有し、当該ＲＡＭは、制御用データを保存する制御用データ保存領域、制御用データのミラーデータである制御用ミラーデータを保存する制御用ミラーデータ保存領域、制御用データと同一データであるバックアップ用データを保存するバックアップ用データ保存領域、及びバックアップ用データのミラーデータであるバックアップ用ミラーデータを保存するバックアップ用ミラーデータ保存領域を有し、
制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータをそれぞれ該当する保存領域に書き込む書込手段と、
ＲＡＭに保存されている制御用データの値が異常である可能性が有るか否かを判定する異常判定手段と、
制御用データの値が異常である可能性が有ると判定されたとき、ＲＡＭに保存された制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータの一致・整合関係に基づいて、ＲＡＭにおいて異常となったデータを復旧させるデータ復旧手段とを備えることを特徴とする。

上述したように、請求項１に記載の電子制御装置においては、ＲＡＭに、制御用データに加えて、制御用データと一致・整合関係を有する制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータを保存する。従って、制御用データが異常である可能性が生じた場合にも、それらのデータを利用して、制御用データを復旧させる機会を増やすことが可能となる。このため、制御用データが異常である可能性が発生した場合であっても、即座にシステム制御を停止させるのではなく、極力、そのシステム制御を継続させることができる。

請求項２に記載したように、制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータは、物理的に離間して保存されるように、それぞれの保存領域に書き込まれることが好ましい。

上述したように、ＲＡＭに保存したデータが異常となる原因は、物理的に記憶領域が損傷するＲＡＭ故障、ノイズ等の影響により、書き込み値が所定値とは異なってしまうＲＡＭ化け、及び電源の瞬断等によるレジスタやバス上のデータ化けに起因するＲＡＭ値異常などである。この中で、特にＲＡＭ故障の場合、ＲＡＭの記憶領域全体が損傷することは稀であり、一部の記憶領域のみが損傷して、正常なデータの読み書きができなくなることがほとんどである。

ここで、データの冗長性を確保するために、ＲＡＭ内に、制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータを保存したとしても、それらが近接した記憶領域に保存されていると、複数のデータの記憶領域に跨るように記憶領域が損傷するＲＡＭ故障が起こりえる。このようなＲＡＭ故障が発生した場合、複数のデータの記憶領域が同時に故障してしまうので、制御用データの復旧の機会を減少させてしまう。

それに対して、請求項２に記載したように、各データを物理的に離間して保存することにより、同時に複数のデータが異常となる可能性を低減することができ、制御用データが異常となった場合にも、その復旧機会を増加させることができる。

請求項３に記載したように、異常判定手段は、制御用データ保存領域に所定値を示すデータを書き込み、その書き込んだデータを読み出した値が所定値に一致するか否かに基づいて、制御用データの値が異常である可能性が有るか否かを判定することができる。また、請求項４に記載したように、異常判定手段は、制御用データと制御用ミラーデータとの整合関係が確保されているか否かに基づいて、制御用データの値が異常である可能性が有るか否かを判定することができる。いずれの場合も、制御用データの書き込み及び読み出しが正しく行い得るかを確認することができるためである。

また、異常判定手段が、制御用データと制御用ミラーデータとの整合関係が確保されているか否かを判定する場合には、請求項５に記載したように、制御用ミラーデータ保存領域に所定値を示すデータを書き込み、その書き込んだデータを読み出した値が所定値に一致するか否かに基づいて、制御用データの値が異常である可能性が有るか否かを判定するようにしても良い。制御用ミラーデータ保存領域に対するリードライトチェックの結果、制御用ミラーデータが異常である可能性がある場合、その制御用ミラーデータとの整合関係のチェックによっては、制御用データの正常・異常を正確に判定できないためである。

請求項６に記載したように、データ復旧手段は、バックアップ用データとバックアップ用ミラーデータとの整合関係が確保されているか否かを判定し、整合関係が確保されている場合には、バックアップ用データとバックアップ用ミラーデータとを用いて、制御用データと制御用ミラーデータとを復旧させることが好ましい。バックアップ用データとバックアップ用ミラーデータとの整合関係が確保されている場合、バックアップ用データ及びバックアップ用ミラーデータは正常であると推測できるためである。

一方、請求項７に記載したように、データ復旧手段は、バックアップ用データとバックアップ用ミラーデータとの整合関係が確保されていない場合には、制御用データとバックアップ用データとの一致関係、制御用ミラーデータとバックアップ用ミラーデータとの一致関係、制御用データとバックアップ用ミラーデータとの整合関係、及びバックアップ用データと制御用ミラーデータとの整合関係との少なくとも１つが成立するか否かを判定し、いずれかの関係が成立した場合には、その関係に含まれるデータを用いて、残りのデータを復旧させることが好ましい。

つまり、４つのデータは、相互に一致もしくは整合関係を有しているので、制御用データと制御用ミラーデータという関係や、バックアップ用データとバックアップ用ミラーデータという関係を超えて、相互にデータを対比させることにより、その対比データの正常・異常を判定することができる。例えば、制御用データとバックアップ用データとは同一であるはずであり、これらのデータを対比させたときに、一致関係が成立すれば、これらのデータは正しいと推測することができる。そして、正しいデータが特定できれば、その正しいデータを用いて、残りのデータを復旧することができる。

請求項８に記載したように、データ復旧手段は、バックアップ用データとバックアップ用ミラーデータとの整合関係の判定のみでなく、バックアップ用データ保存領域及びバックアップ用ミラーデータ保存領域にそれぞれ所定値を示すデータを書き込み、その書き込んだデータを読み出した値が所定値に一致するか否かを判定し、読み出した値が所定値に一致した場合に、バックアップ用データとバックアップ用ミラーデータとを用いて、制御用データと制御用ミラーデータとを復旧させても良い。これにより、バックアップ用データ及びバックアップ用ミラーデータの正常・異常の判定の精度を向上することができ、より確実に正常と推測できるバックアップ用データ及びバックアップ用ミラーデータを用いて、制御用データ及び制御ミラーデータを復旧させることができる。

請求項９に記載したように、異常判定手段が、制御用データ保存領域及び制御用ミラーデータ保存領域に所定値を示すデータの書き込みを行い、データ復旧手段が、バックアップ用データ保存領域及びバックアップ用ミラーデータ保存領域に所定値を示すデータの書き込みを行った場合に、読み出した値が所定値に一致しないとの判定が、制御用データ保存領域、制御用ミラーデータ保存領域、バックアップ用データ保存領域、及びバックアップ用ミラーデータ保存領域の３個以上の領域に対してなされた場合に、データ復旧手段は、データの復旧処理を中止することが好ましい。この場合、制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータの３個以上のデータに異常がある可能性があるので、各データの一致・整合関係から、データを正しく復旧させることができない可能性が高いためである。

請求項１０に記載したように、データ復旧手段によりデータの復旧が不可能である場合に、電子制御装置は、所定のシステムの制御を停止させることが好ましい。制御用データが異常となり、その復旧が不可能である場合には、システム制御を正しく実行することができない可能性が生じるためである。

以下、本発明の実施形態による電子制御装置に関して、図面を用いて詳細に説明する。なお、本実施形態による電子制御装置が制御対象とするシステムは、特に限定されるものではないが、例えば、車両におけるハイブリッドシステムに用いて好適である。

本実施形態による電子制御装置は、後に詳細に説明するが、制御用データを保存するＲＡＭに異常が発生した場合であっても、制御対象とするシステムの制御を極力継続させることができる。従って、システムの制御の停止が、重大な影響を及ぼすハイブリッドシステムのようなシステムを制御対象とした場合に、特に有益な結果をもたらす。

図１は、本実施形態における電子制御装置（ＥＣＵ）１の概略構成を示している。図１に示すように、ＥＣＵ１は、ＣＰＵ２、ＲＡＭ３、ＲＯＭ４、レジスタ５、入出力回路（Ｉ／Ｏ）６、及びこれらを相互に接続するバス７などを備えている。このＥＣＵ１は、図示しない電源回路から動作電源を供給されることにより制御対象システム１０の制御のための処理等を開始する。

ＲＯＭ４は、制御対象システム１０を制御するための制御プログラムや、後述するＲＡＭ３の故障診断のための診断プログラム等を記憶している。ＣＰＵ２は、ＲＯＭ４に記憶された制御プログラムや診断プログラムに従って、各種の演算処理を実行する。

ＲＡＭ３は、ＣＰＵ２が各種の演算処理を実行する際に、その演算処理結果である制御用データなどを一時的に保存するものである。すなわち、ＣＰＵ２は、システムの制御に必要な制御用データをＲＡＭ３に書き込んで一時的に保存させたり、必要時に読み出したりする。例えばハイブリッドシステムが制御対象システムである場合、車両の運転者によって操作されるアクセルペダルの開度を示すアクセル開度データ、トランスミッションにおけるシフト位置を示すシフト位置データなどが、制御用データとしてＲＡＭ３に一時的に保存される。

この制御用データに異常が生じた場合、ＥＣＵ１は適切な制御を実行できなくなってしまう。そのため、ＲＡＭ３には、図２に示すように、制御用データの異常発生の可能性を判定するため、及び異常発生の可能性がある場合に制御用データを復旧するために、制御用データの他に、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータが保存される。具体的には、ＲＡＭ３に、制御用データ保存領域ＲＡＭａ、制御用ミラーデータ保存領域ＲＡＭｂ、バックアップ用データ保存領域ＲＡＭｃ、及びバックアップ用ミラーデータ保存領域ＲＡＭｄが設定され、上述した各データがＣＰＵ２によって該当する保存領域ＲＡＭａ，ＲＡＭｂ，ＲＡＭｃ，ＲＡＭｄに書き込まれる。

制御用ミラーデータは、制御用データの各ビットデータを反転させたものであり、制御用データと制御用ミラーデータとは反転という整合関係を有する。バックアップ用データは、制御用データと同一のデータであり、制御用データとバックアップ用データとは各ビットデータが一致する一致関係を有する。また、バックアップ用ミラーデータは、バックアップ用データの各ビットデータを反転させたものである。従って、バックアップ用ミラーデータは、制御用データ及びバックアップ用データとは整合関係を有し、制御用ミラーデータとは一致関係を有する。

ＲＡＭ３においては、一致・整合関係を有する制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータが、物理的に離間した記憶領域に保存されるように、ＣＰＵ２によって各保存領域ＲＡＭａ，ＲＡＭｂ，ＲＡＭｃ，ＲＡＭｄに書き込まれる。例えば制御用データが制御用データ保存領域ＲＡＭａの先頭の記憶領域に保存された場合には、それに対応する制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータも、それぞれのデータ保存領域ＲＡＭｂ，ＲＡＭｃ，ＲＡＭｄの先頭の記憶領域に保存される。

ここで、ＲＡＭ故障が発生する場合、ＲＡＭの記憶領域全体が損傷することは稀であり、図２に示すように一部の記憶領域のみが損傷して、正常なデータの読み書きができなくなることがほとんどである。従って、ＲＡＭ故障が一部の記憶領域に発生して、データの読み書きが正常に行い得ない場合でも、制御用データ、制御用ミラーデータ、バックアップ用データ及びバックアップ用ミラーデータを離間して保存することにより、その各データの内、複数のデータが同時に異常となる可能性を低減することができる。その結果、制御用データが異常である可能性が生じた場合に、残りのデータを利用して、制御用データ等を復旧させる機会を増加させることができる。

レジスタ５は、ＣＰＵ２における各種の演算処理を行う際に用いるデータや、その演算処理の途中段階での演算データを一時的に格納するものである。また、本実施形態においては、ＲＡＭ３の各保存領域ＲＡＭａ，ＲＡＭｂ，ＲＡＭｃ，ＲＡＭｄに所定値を書き込んで、その書き込み値の読み出し結果が所定値に一致するか否かのリードライトチェックを行う際に、各保存領域ＲＡＭａ，ＲＡＭｂ，ＲＡＭｃ，ＲＡＭｄに保存されているデータがレジスタ５に退避される。

Ｉ／Ｏ６は、制御対象システム１０の動作状態を検出する各種センサからの信号を取り込んだり、制御対象システム１０に対する制御信号を出力したりする回路である。また、ＥＣＵ１内のＣＰＵ２やＲＡＭ３等の各構成は、互いにバス７を介して接続されている。

次に、本実施形態の特徴部分に関する、ＲＡＭ３の故障診断処理について、図３及び図４のフローチャートに基づいて説明する。なお、図３のフローチャートは、故障診断処理の全体の処理の流れを示すものであり、図４のフローチャートは、ＲＡＭ３に異常が生じた場合に、異常データを復旧するためのデータ復旧処理を示すものである。

本実施形態における故障診断処理は、ＥＣＵ１が制御対象システム１０に対する制御を実施している実施期間中に、例えば所定時間毎に繰り返し実施される。

図３において、まずステップＳ１０１では、各データ保存領域ＲＡＭａ〜ＲＡＭｄに対して、リードライトチェックを行う。なお、このステップＳ１０１では、制御用データ保存領域ＲＡＭａと制御用ミラーデータ保存領域ＲＡＭｂに対してのみリードライトチェックを行うようにしても良い。

ステップＳ１０２では、リードライトチェックの結果に基づいて、制御用データ保存領域ＲＡＭａと制御用ミラーデータ保存領域ＲＡＭｂに異常が無いか否かを判定する。この判定処理において、異常なしと判定された場合には、ステップＳ１０３に進み、異常ありと判定された場合には、ステップＳ２０１に進む。

ステップＳ１０３では、制御用データ保存領域ＲＡＭａに保存された制御用データと制御用ミラーデータ保存領域ＲＡＭｂに保存された制御用ミラーデータとが、各データビットが反転している整合関係を有するか否かのミラーチェックを実施する。そして、ステップＳ１０４では、制御用データと制御用ミラーデータとが整合関係を有して、ミラーチェックの結果が正常であるか否かを判定する。この判定処理において、正常と判定された場合には、ステップＳ１０５に進み、正常ではないと判定された場合には、ステップＳ２０１に進む。

ステップＳ１０５では、制御対象システム１０に対する制御を継続して実施してもよいことを示す制御継続許可判定を行って、図３に示す故障診断処理を終了する。

一方、制御用データ保存領域ＲＡＭａ及び制御用ミラーデータ保存領域ＲＡＭｂに対するリードライトチェックや、制御用データと制御用ミラーデータとのミラーチャックの結果、異常ありとの判定がなされた場合、制御用データが異常である可能性がある。

すなわち、制御用データ保存領域ＲＡＭａに対するリードライトチェックの結果が異常である場合には、制御用データ保存領域ＲＡＭａにＲＡＭ故障が発生している可能性がある。また、制御用ミラーデータ保存領域ＲＡＭｂに対するリードライトチェックの結果が異常である場合には、制御用ミラーデータの信頼性が保証されず、制御用データのミラーチェックを行うことができない。従って、制御用データが正しいとの確認ができず、制御用データが異常である可能性を否定できない。さらに、ミラーチェックの結果が異常である場合には、制御用データと制御用ミラーデータとの少なくとも一方に異常が生じていることは明らかである。

このように、制御用データ保存領域ＲＡＭａ及び制御用ミラーデータ保存領域ＲＡＭｂに対するリードライトチェック、及び制御用データと制御用ミラーデータとを用いたミラーチェックは、いずれも、制御用データの書き込み及び読み出しが正しく行い得るかを確認することができる診断手法である。

制御用データが異常である可能性がある場合に実行されるステップＳ２０１では、バックアップ用データ保存領域ＲＡＭｃ及びバックアップ用ミラーデータ保存領域ＲＡＭｄに対するリードライトチェックの結果に基づいて、バックアップ用データ保存領域ＲＡＭｃとバックアップ用ミラーデータ保存領域ＲＡＭｄに異常が無いか否かを判定する。この判定処理において、異常なしと判定された場合には、ステップＳ２０２に進み、異常ありと判定された場合には、ステップＳ３０１に進む。

ステップＳ２０２では、バックアップ用データ保存領域ＲＡＭｃに保存されたバックアップ用データとバックアップ用ミラーデータ保存領域ＲＡＭｄに保存されたバックアップ用ミラーデータとが、各データビットが反転している整合関係を有するか否かのミラーチェックを実施する。そして、ステップＳ２０３では、バックアップ用データとバックアップ用ミラーデータとが整合関係を有して、ミラーチェックの結果が正常であるか否かを判定する。この判定処理において、正常と判定された場合には、ステップＳ２０４に進み、正常ではないと判定された場合には、ステップＳ３０２に進む。

ステップＳ２０４では、バックアップ用データとバックアップ用ミラーデータとを用いて、制御用データと制御用ミラーデータとを復旧する。すなわち、バックアップ用データ保存領域ＲＡＭｃ及びバックアップ用ミラーデータ保存領域ＲＡＭｄに対するリードライトチェック、及びバックアップ用データとバックアップ用ミラーデータとのミラーチェックがいずれも正常である場合、バックアップ用データとバックアップ用データとはいずれも正確であるとみなすことができる。このため、バックアップ用データとバックアップ用ミラーデータとを用いて、制御用データと制御用ミラーデータとを復旧させることができる。

なお、バックアップ用データとバックアップ用ミラーデータとのミラーチェックのみによって、バックアップ用データとバックアップ用ミラーデータとの正常・異常を判定することも可能である。しかし、併せて、バックアップ用データ保存領域ＲＡＭｃ及びバックアップ用ミラーデータ保存領域ＲＡＭｄに対するリードライトチェックを実施することにより、バックアップ用データ及びバックアップ用ミラーデータの正常・異常の判定の精度を向上することができる。その結果、より確実に正常と推測できるバックアップ用データ及びバックアップ用ミラーデータを用いて、制御用データ及び制御ミラーデータの復旧を試みることができる。

ステップＳ２０４にて、制御用データと制御用ミラーデータとの復旧を試みた後は、制御用データもしくはバックアップ用データにより制御が継続可能となるため、ステップＳ１０５にて、制御継続許可判定を行って、制御対象システム１０に対する制御を継続することを許可する。

一方、バックアップ用データ保存領域ＲＡＭｃ及びバックアップ用ミラーデータ保存領域ＲＡＭｄに対するリードライトチェックの結果が、異常と判定されたときに実行されるステップＳ３０１では、リードライトチェック結果が異常との判定が、制御用データ保存領域ＲＡＭａ，制御用ミラーデータ保存領域ＲＡＭｂ，バックアップ用データ保存領域ＲＡＭｃ，及びバックアップ用ミラーデータ保存領域ＲＡＭｄの３個以上の領域に対してなされたか否かを判定する。この判定処理において、３個以上の領域に対してリードライトチェック異常との判定がなされたと判定された場合、ステップＳ３０４に進んで、制御対象システム１０に対する制御を停止させるとともに、その起動を禁止する制御禁止・起動禁止判定を行う。この場合、制御用データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータの３個以上のデータに異常がある可能性があるので、各データの一致・整合関係が確認できず、データの信頼性を確保することができない可能性が高いためである。

ステップＳ３０１の判定処理において、３個以上の領域に対してリードライトチェック異常との判定がなされてはいないと判定された場合、ステップＳ３０２に進んで、異常データの復旧処理を実施する。この復旧処理は、後に詳細に説明する。続くステップＳ３０３では、ステップＳ３０２の復旧処理によって異常データの復旧に成功したか否かを判定する。そして、復旧に成功したと判定されると、上述したステップＳ１０５の処理に進み、復旧に失敗したと判定されると、上述したステップＳ３０４の処理に進む。

次に、図４のフローチャートを用いて、異常データの復旧処理について説明する。まずステップＳ４０１では、制御用データとバックアップ用データとが一致関係を有するか否かを判定する。この判定処理において、一致関係を有すると判定された場合、制御用データとバックアップ用データとが正常であると推測できるので、ステップＳ４０６に進んで、制御用データ及びバックアップ用データから、そのミラーデータを生成し、生成したミラーデータを用いて、制御用ミラーデータ及びバックアップ用ミラーデータを復旧させる。

ステップＳ４０１において、制御用データとバックアップ用データとが一致関係を有さないと判定された場合には、ステップＳ４０２に進む。ステップＳ４０２では、制御用データとバックアップ用ミラーデータとが各データビットが反転した整合関係を有するか否かを判定する。この判定処理において、整合関係を有すると判定された場合、制御用データとバックアップ用ミラーデータとが正常であると推測できるので、ステップＳ４０７に進んで、制御用データでバックアップ用データを復旧させるとともに、バックアップ用ミラーデータで制御用ミラーデータを復旧させる。

ステップＳ４０２において、制御用データとバックアップ用ミラーデータとが整合関係を有さないと判定された場合には、ステップＳ４０３に進む。ステップＳ４０３では、制御用ミラーデータとバックアップ用データとが各データビットが反転した整合関係を有するか否かを判定する。この判定処理において、整合関係を有すると判定された場合、制御用ミラーデータとバックアップ用データとが正常であると推測できるので、ステップＳ４０８に進んで、バックアップ用データで制御用データを復旧させるとともに、制御用ミラーデータでバックアップ用ミラーデータを復旧させる。

ステップＳ４０３において、制御用ミラーデータとバックアップ用データとが整合関係を有さないと判定された場合には、ステップＳ４０４に進む。ステップＳ４０４では、制御用ミラーデータとバックアップ用ミラーデータとが一致関係を有するか否かを判定する。この判定処理において、一致関係を有すると判定された場合、制御用ミラーデータとバックアップ用ミラーデータとが正常であると推測できる。従って、ステップＳ４０９に進んで、制御用ミラーデータ及びバックアップ用ミラーデータから、そのミラーデータ、すなわち制御用データ及びバックアップ用データに等しいデータを生成し、生成したデータを用いて、制御用データ及びバックアップ用データを復旧させる。

ステップＳ４０４において、制御用ミラーデータとバックアップ用ミラーデータとが一致関係を有さないと判定された場合には、ステップＳ４０５に進んで、異常データの復旧処理が失敗した旨の判定を行う。一方、ステップＳ４０６〜Ｓ４０９のいずれかのステップによって異常データの復旧処理が行われた場合には、ステップＳ４１０に進んで、異常データの復旧処理に成功した旨の判定を行う。

すなわち、本実施形態では、制御データ、制御用ミラーデータ、バックアップ用データ、及びバックアップ用ミラーデータは、相互に一致もしくは整合関係を有しているので、制御用データと制御用ミラーデータという関係や、バックアップ用データとバックアップ用ミラーデータという関係を超えて、相互にデータを対比させることにより、その対比データの正常・異常を判定することができる。例えば、制御用データとバックアップ用データとは同一であるはずであり、これらのデータを対比させたときに、一致関係が成立すれば、これらのデータは正しいと推測することができる。そして、正しいデータが特定できれば、その正しいデータを用いて、残りのデータを復旧することができる。このため、制御用データを含むいずれかのデータに異常が生じた場合であっても、それを正常値に復旧させる機会を増加することができ、極力、システム制御を継続して実行させることができる。

実施形態における電子制御装置の概略構成を示す構成図である。 ＲＡＭにおける、各データの保存領域を説明するための説明図である。 故障診断処理の全体の処理の流れを示すフローチャートである。 ＲＡＭに異常が生じた場合に、異常データを復旧するためのデータ復旧処理を示すフローチャートである。

符号の説明

１ 電子制御装置
２ ＣＰＵ
３ ＲＡＭ
４ ＲＯＭ
５ レジスタ
６ Ｉ／Ｏ
７ バス
１０ 制御対象システム

Claims (10)

1. 所定のシステムの制御に用いる制御用データを一時的に保存するＲＡＭを有する電子制御装置であって、
   前記ＲＡＭは、制御用データを保存する制御用データ保存領域、前記制御用データのミラーデータである制御用ミラーデータを保存する制御用ミラーデータ保存領域、前記制御用データと同一データであるバックアップ用データを保存するバックアップ用データ保存領域、及び前記バックアップ用データのミラーデータであるバックアップ用ミラーデータを保存するバックアップ用ミラーデータ保存領域を有し、
   前記制御用データ、前記制御用ミラーデータ、前記バックアップ用データ、及び前記バックアップ用ミラーデータをそれぞれ該当する保存領域に書き込む書込手段と、
   前記ＲＡＭに保存されている制御用データの値が異常である可能性が有るか否かを判定する異常判定手段と、
   前記制御用データの値が異常である可能性が有ると判定されたとき、前記ＲＡＭに保存された前記制御用データ、前記制御用ミラーデータ、前記バックアップ用データ、及び前記バックアップ用ミラーデータの一致・整合関係に基づいて、前記ＲＡＭにおいて異常となったデータを復旧させるデータ復旧手段とを備えることを特徴とする電子制御装置。
2. 前記制御用データ、前記制御用ミラーデータ、前記バックアップ用データ、及び前記バックアップ用ミラーデータは、物理的に離間して保存されるように、それぞれの保存領域に書き込まれることを特徴とする請求項１に記載の電子制御装置。
3. 前記異常判定手段は、前記制御用データ保存領域に所定値を示すデータを書き込み、その書き込んだデータを読み出した値が前記所定値に一致するか否かに基づいて、前記制御用データの値が異常である可能性が有るか否かを判定することを特徴とする請求項１又は請求項２に記載の電子制御装置。.
4. 前記異常判定手段は、前記制御用データと前記制御用ミラーデータとの整合関係が確保されているか否かに基づいて、前記制御用データの値が異常である可能性が有るか否かを判定することを特徴とする請求項１乃至請求項３のいずれかに記載の電子制御装置。
5. 前記異常判定手段は、前記制御用ミラーデータ保存領域に所定値を示すデータを書き込み、その書き込んだデータを読み出した値が前記所定値に一致するか否かに基づいて、前記制御用データの値が異常である可能性が有るか否かを判定することを特徴とする請求項４に記載の電子制御装置。
6. 前記データ復旧手段は、前記バックアップ用データと前記バックアップ用ミラーデータとの整合関係が確保されているか否かを判定し、前記整合関係が確保されている場合には、前記バックアップ用データと前記バックアップ用ミラーデータとを用いて、前記制御用データと前記制御用ミラーデータとを復旧させることを特徴とする請求項１乃至請求項５のいずれかに記載の電子制御装置。
7. 前記データ復旧手段は、前記バックアップ用データと前記バックアップ用ミラーデータとの整合関係が確保されていない場合に、前記制御用データと前記バックアップ用データとの一致関係、前記制御用ミラーデータと前記バックアップ用ミラーデータとの一致関係、前記制御用データと前記バックアップ用ミラーデータとの整合関係、及び前記バックアップ用データと前記制御用ミラーデータとの整合関係との少なくとも１つが成立するか否かを判定し、いずれかの関係が成立した場合には、その関係に含まれるデータを用いて、残りのデータを復旧させることを特徴とする請求項６に記載の電子制御装置。
8. 前記データ復旧手段は、前記バックアップ用データ保存領域及び前記バックアップ用ミラーデータ保存領域にそれぞれ所定値を示すデータを書き込み、その書き込んだデータを読み出した値が前記所定値に一致するか否かを判定するとともに、前記読み出した値が前記所定値に一致した場合に、前記バックアップ用データと前記バックアップ用ミラーデータとを用いて、前記制御用データと前記制御用ミラーデータとを復旧させることを特徴とする請求項６に記載の電子制御装置。
9. 前記異常判定手段が、前記制御用データ保存領域及び前記制御用ミラーデータ保存領域に所定値を示すデータの書き込みを行い、前記データ復旧手段が、前記バックアップ用データ保存領域及び前記バックアップ用ミラーデータ保存領域に所定値を示すデータの書き込みを行った場合に、読み出した値が前記所定値に一致しないとの判定が、前記制御用データ保存領域、前記制御用ミラーデータ保存領域、前記バックアップ用データ保存領域、及び前記バックアップ用ミラーデータ保存領域の３個以上の領域に対してなされた場合に、前記データ復旧手段は、データの復旧処理を中止することを特徴とする請求項７又は請求項８に記載の電子制御装置。
10. 前記データ復旧手段によりデータの復旧が不可能である場合に、前記所定のシステムの制御を停止させることを特徴とする請求項１乃至請求項９のいずれかに記載の電子制御装置。

Images