JP2009179206A - 車両の電子制御装置 - Google Patents

Abstract

【課題】複数の機能プログラムを実行する車両の電子制御装置において、各機能プログラムをそれぞれに適した条件下で実行させて、電子制御装置が誤動作するのを防止する。
【解決手段】ＥＣＵ１０には、車両制御用の各種機能を実現するためにマイコン２０にて実行する機能プログラムとして、２種類のアプリ１、２が設定されている。メモリ２２には、各アプリ１、２の実行条件として、バッテリ１２から車両各部への電源供給状態を表す動作電源条件が記憶されており、マイコン２０は、制御部としての処理動作によって、メモリ２２に記憶された動作電源条件に従い各アプリ１、２の実行／停止を切り換える。また、マイコン２０は、ネットワークに接続された他の車載装置からアプリ２を起動させる信号を受けると、メモリ２２からアプリ２の動作電源条件を読み出し、動作電源条件が成立しているか否かを判断して、アプリ２の起動／停止を切り換える。
【選択図】図１

Description

本発明は、機能単位で構成された複数の機能プログラムをコンピュータにて実行することにより複数の機能を実現する車両の電子制御装置に関する。

従来、車両に搭載される電子制御装置（以下単にＥＣＵとも記載する）は、エンジン制御やエアコン制御など、車両に関する制御を、機能毎に実行するように構成されており、各ＥＣＵでは、内蔵コンピュータにて、特定の機能を実現するための一つの機能プログラムを実行するのが一般的であった。

一方、近年では、車両の高機能化に伴い、車両に搭載されるＥＣＵの数が増加して、飽和状態になってきており、制御系全体の構成も複雑になっている。そこで、このように複雑化した車両の制御系を最適化するために、各ＥＣＵ間での機能の統廃合によって、機能をＥＣＵに柔軟に配置することも行われている（例えば、特許文献１等、参照）。

つまり、ＥＣＵやＥＣＵ間を接続するネットワークのハードウエア、および、各種機能を実現するための機能プログラム（換言すればアプリケーションソフト）のインターフェースを標準化することで、機能プログラムの可搬性を高め、その機能プログラムを任意のＥＣＵに組み込むことで、ＥＣＵを統廃合するのである。
特開２００７−３８９２１号公報

上記のようにＥＣＵを統廃合した場合、ＥＣＵとＥＣＵが実現する機能とは必ずしも１対１にはならず、一つのＥＣＵが複数の機能を実現することもある。
この場合、一つのＥＣＵで複数の機能プログラムが実行されることになるが、各機能プログラムの実行条件が同じであれば、ＥＣＵをその実行条件下で動作させればよく、特に問題は起きない。

しかし、一つのＥＣＵで実行される機能プログラムの実行条件が異なる場合には、ＥＣＵの動作条件を各機能プログラムの実行条件と一致させることができないことから、ＥＣＵが実行する複数の機能プログラムの一部で、動作が保障できなくなるという問題が生じる。

たとえば、イグニッションスイッチがＯＮ状態であるときに動作する水温センサから検出信号を読み込む処理を含む機能プログラムの場合、この機能プログラムは、イグニッションスイッチがＯＮ状態であるときに実行すればよい。しかし、上述したＥＣＵの統廃合によって、この機能プログラムが、車両に搭載されたバッテリから常時電源供給を受けて動作するＥＣＵに組み込まれると、この機能プログラムは、イグニッションスイッチがＯＦＦ状態であるときにも実行されることになる。そして、この場合、この機能プログラムでは、イグニッションスイッチがＯＦＦ状態であるときに、水温センサから検出信号を読み込むことができないので、この機能プログラムの実行によりＥＣＵが意図しない動作をすることが考えられる。

本発明は、こうした問題に鑑みなされたものであり、機能単位で構成された複数の機能プログラムを実行する車両の電子制御装置において、各機能プログラムの実行条件が異なる場合であっても、各機能プログラムをそれぞれに適した条件下で実行させて、電子制御装置が誤動作するのを防止することを目的とする。

かかる目的を達成するためになされた請求項１に記載の車両の電子制御装置においては、機能単位で構成された複数の機能プログラムを実行するコンピュータに加えて、コンピュータによる各機能プログラムの実行を許可する条件として、車載電源から車両各部への電源供給状態を設定してなる動作電源条件が予め記憶された記憶手段と、記憶手段に記憶された動作電源条件に従い各機能プログラムの実行／停止を制御する第１制御手段が設けられている。

そして、第１制御手段は、車載電源から車両各部への電源供給状態を監視し、電源供給状態が変化すると、その変化後の電源供給状態と記憶手段に記憶された動作電源条件とに基づき、各機能プログラム毎に、当該機能プログラムの実行を許可するか否かを判定して、コンピュータによる各機能プログラムの実行／停止を切り換える。

このため、本発明の電子制御装置によれば、コンピュータが複数の機能プログラムを実行することにより、複数の機能を実現できるだけでなく、各機能プログラムの実行条件（動作電源条件）が異なる場合であっても、コンピュータに対し、各機能プログラムを、各プログラムの実行に適した条件下で実行させることができる。

よって、本発明の電子制御装置によれば、コンピュータが特定の機能プログラムを実行することによって、電子制御装置が意図しない動作をするようなことはなく、各機能プログラム毎に所望の機能を実現することが可能となる。

ところで、車両の電子制御装置において所望の機能を実現するために実行される機能プログラムには、所定の動作電源条件下で繰り返し実行すべきプログラムの他に、例えば、車両に構築されたネットワーク（所謂車内ＬＡＮ）を介して、他の車載装置から要求があったときにだけ実行すればよい受動型の機能プログラムもある。

そして、この種の機能プログラムは、コンピュータにおいて、他の車載装置から起動用の信号が入力されたときに起動されることから、第１制御手段にて、車載電源から車両各部への電源供給状態に応じて各機能プログラムの実行／停止を切り換えるようにしただけでは、機能プログラムの実行を禁止すべき条件下でその実行を禁止できなくなることも考えられる。

そこで、請求項１に記載の電子制御装置において、複数の機能プログラムの少なくとも一つが、上述した受動型の機能プログラムであるような場合には、請求項２に記載のように、別途第２制御手段を設けるとよい。

すなわち、この第２制御手段は、他の車載装置から当該電子制御装置に、特定の機能プログラムを起動させる信号が入力されると、その入力信号に対応した機能プログラムの動作電源条件を記憶手段から読み出し、その読み出した動作電源条件と車載電源から車両各部への現在の電源供給状態とに基づき、当該機能プログラムの実行は許可されているか否かを判定し、当該機能プログラムの実行が許可されていれば、入力信号による当該機能プログラムの起動を許可し、当該機能プログラムの実行が許可されていなければ、入力信号による当該機能プログラムの起動を禁止する。

従って、請求項２に記載の電子制御装置によれば、各種機能を実現するためにコンピュータにて実行される複数の機能プログラムの中に、受動型の機能プログラムが含まれているような場合であっても、各機能プログラムをそれぞれの動作電源条件下でのみ実行させることができ、各機能プログラムの実行による電子制御装置の誤動作を防止し、電子制御装置の動作を補償することができる。

一方、車両の電子制御装置において、コンピュータにて実行される複数の機能プログラムに受動型の機能プログラムが含まれる場合、その複数の機能プログラムが全て受動型であったり、或いは、受動型の機能プログラム以外は、全て、電子制御装置の動作時に実行すべきプログラムであることも考えられる。

このような場合には、第１制御手段にて、車載電源から車両各部への電源供給状態の変化を監視する必要はなく、他の車載装置から当該電子制御装置に特定の機能プログラムを起動させる信号が入力された際に、その入力信号に対応した機能プログラムを起動させるか否かを判定するようにすればよい。

そして、このためには、請求項３に記載のように、請求項２に記載の電子制御装置から第１制御手段を除去し、記憶手段と第２制御手段とで、コンピュータによる機能プログラムの実行を制限するようにすればよい。

次に本発明の実施形態を図面と共に説明する。
図１は本発明が適用された実施形態の車両の電子制御装置（ＥＣＵ）１０の構成を表す概略構成図である。

図１に示す如く、本実施形態のＥＣＵ１０は、車両（詳しくは自動車）に構築されたネットワーク（車内ＬＡＮ）に接続され、このネットワーク上の他のＥＣＵとの間でデータをやりとりして制御量等を演算することにより、車両制御のための一部の機能を実現するものであり、制御演算用のマイクロコンピュータ（以下、マイコンという）２０を中心に構成されている。

また、ＥＣＵ１０には、車載電源であるバッテリ１２から直接電源供給を受けて内部回路駆動用の電源電圧（直流定電圧）を生成する電源回路２４、マイコン２０での制御演算のための各種データが記憶されたメモリ２２、ＥＣＵ１０をネットワーク（車内ＬＡＮ）や図示しない車載機器（センサやアクチュエータ等）に接続して各種信号を入出力するための各種インターフェイス（図示せず）等が設けられている。

また、マイコン２０は、図に示すようなアプリ１、アプリ２、制御部、…といったソフトウェア構成を有する。
ここで、アプリ１、アプリ２は、車両制御のために当該ＥＣＵ１０に割り当てられた２種類の機能を実現するための機能プログラム（換言すれば、アプリケーションソフト）を表している。また、制御部は、メモリ２２に記憶された動作電源条件表に従い、各アプリ１、２がネットワーク上の他の装置と交換する信号をフィルタリングしたり、アプリ１、２の実行／停止を切り換えるための制御プログラムを表している。

そして、マイコン２０は、この制御部としての制御プログラムを実行することにより、アプリ１、２としての各機能プログラムの実行／停止を制御し、更に、各アプリ１、２の機能プログラムを個々に実行することにより、車両制御のための２種類の機能を実現する。

なお、メモリ２２に記憶された動作電源条件表は、各アプリ１、２の機能プログラムを実行可能な電源供給状態（つまり、各アプリ１，２の動作電源条件）を記述したものであり、図１に示す動作電源条件表では、アプリ１の機能プログラムは、ＥＣＵ１０にバッテリ１２が接続されていれば常時実行を許可するように設定され、アプリ２の機能プログラムは、車両のイグニッションスイッチ（以下、ＩＧＳＷと記載する）１４がＯＮ状態であるときにだけ実行を許可するように設定されている。

このため、ＥＣＵ１０には、ＩＧＳＷ１４を介してバッテリ電圧が入力され、マイコン２０は、その入力電圧からＩＧＳＷ１４のＯＮ／ＯＦＦ状態を判定できるようになっている。

次に図２は、上記制御部としてマイコン２０にて実行される制御プログラムの内、バッテリ１２から車両各部への電源供給状態が変化したときに、各アプリ１、２の動作電源条件を確認して、マイコン２０による各アプリ１、２の実行／停止を切り換えるために実行される電源状態監視処理を表すフローチャートである。

図２に示すように、この電源状態監視処理では、Ｓ１１０（Ｓはステップを表す）にて、バッテリ１２から車両各部への電源供給状態が変化したか否か（本実施形態ではＩＧＳＷ１４のＯＮ／ＯＦＦ状態が変化したか否か）を判断することにより、電源供給状態が変化するのを待ち、電源供給状態が変化すると、Ｓ１２０に移行して、動作電源条件表の最初の行のアプリ（図１ではアプリ１）の動作電源条件を読み込む。

そして、続くＳ１３０では、現在の電源供給状態は、その読み込んだアプリの動作電源条件を満足しているか否かを判断し、現在の電源供給状態がアプリの動作電源条件を満足していれば、Ｓ１４０にて、そのアプリに対し実行許可を指示し、現在の電源供給状態がアプリの動作電源条件を満足していなければ、Ｓ１５０にて、そのアプリに対し実行禁止を指示する。

次に、Ｓ１４０又はＳ１５０にて、対象となるアプリに対する実行許可又は実行禁止を指示すると、続くＳ１６０にて、動作電源条件表には、次の行はあるか否か（つまり、実行許可／禁止を指示していないアプリがあるか否か）を判断し、次の行がなければ、当該電源状態監視処理を一旦終了して、再度Ｓ１１０に移行する。

一方、Ｓ１６０にて、次の行があると判断されると、Ｓ１７０に移行して、次の行のアプリの動作電源条件を読み込み、Ｓ１３０に移行する。そして、Ｓ１３０では、その読み込んだアプリの動作電源条件に基づき、上記と同様の処理を実行する。

次に、図３は、上記制御部としてマイコン２０にて実行される制御プログラムの内、ネットワーク上の他の車載装置から、アプリ１又はアプリ２を起動させるために自ＥＣＵ１０宛に送信されてきた信号を受信したときに、その信号を、対応するアプリの動作電源条件に従いフィルタリングする、受信信号監視処理を表すフローチャートである。

図３に示すように、この受信信号監視処理では、Ｓ２１０にて、ネットワークを介して他の装置から自ＥＣＵ１０宛の信号を受信したか否かを判断することにより、自ＥＣＵ１０宛の信号が送信されてくるのを待ち、自ＥＣＵ１０宛の信号を受信すると、Ｓ２２０にて、その信号の宛先となるアプリを特定し、Ｓ２３０に移行する。

Ｓ２３０では、Ｓ２２０で特定したアプリの動作電源条件をメモリ２２から読み出し、現在の電源供給状態は、その読み込んだアプリの動作電源条件を満足しているか否かを判断する。

そして、現在の電源供給状態がそのアプリの動作電源条件を満足していれば、Ｓ２４０にて、そのアプリに対する受信通知を発行することで、受信信号に基づくアプリの実行を指示した後、当該受信信号監視処理を一旦終了し、逆に、現在の電源供給状態がそのアプリの動作電源条件を満足していなければ、そのまま当該受信信号監視処理を一旦終了する。

なお、当該受信信号監視処理を一旦終了した後は、再度Ｓ２１０の処理を実行することにより、自ＥＣＵ１０宛の信号の監視を継続する。
以上説明したように、本実施形態のＥＣＵ１０においては、車両制御のための機能を実現するためにマイコン２０にて実行する機能プログラムとして、２種類のアプリ１、２が設定されている。

そして、これら各アプリ１、２は、単にマイコン２０の動作中に実行するのではなく、各アプリ１、２の実行条件として、バッテリ１２から車両各部への電源供給状態を表す動作電源条件をメモリ２２に記憶しておき、制御部の処理動作によって、その記憶された動作電源条件に従い各アプリ１、２の実行／停止を切り換えるようにされている。

このため、本実施形態によれば、ＥＣＵ１０がバッテリ１２から常時電源供給を受けることにより、マイコン２０が常時アプリ１、２を実行可能であっても、マイコン２０に対し、各アプリ１、２を、その動作電源条件に対応して必要なときにだけ実行させることができる。

よって、本実施形態のＥＣＵ１０によれば、マイコン２０が動作電源条件の異なる複数のアプリ１、２を実行することにより、ＥＣＵ１０が意図しない動作をするようなことはなく、各アプリ１、２に対応した２種類の機能を適正に実現できることになる。

また、本実施形態では、マイコン２０自身が、各アプリ１、２の実行／停止を制御する制御部として機能し、電源状態監視処理と受信信号監視処理との２種類の制御プログラムを実行するように構成されている。

このため、本実施形態によれば、マイコン２０が電源状態監視処理を実行することにより、バッテリ１２から車両各部への電源供給状態（本実施形態ではＩＧＳＷ１４のＯＮ／ＯＦＦ状態）が変化したときに、その変化に合わせてアプリ１、２（詳しくはアプリ２）の実行／停止を切り換えることができるだけでなく、マイコン２０が受信信号監視処理を実行することにより、実行を停止しているアプリを起動させる信号が他の車載装置から送信されてきたときに、その信号により、動作電源条件の成立していないアプリが起動してしまうのを防止できる。

なお、本実施形態においては、メモリ２２が本発明の記憶手段に相当し、マイコン２０にて実行される電源状態監視処理が、本発明の第１制御手段に相当し、マイコン２０にて実行される受信信号監視処理が、本発明の第２制御手段に相当する。

以上、本発明の一実施形態について説明したが、本発明は、上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内にて種々の態様をとることができる。
例えば、上記実施形態では、ＥＣＵ１０のマイコン２０にて車両制御のために実行される機能プログラムは、アプリ１とアプリ２の２種類であるとして説明したが、マイコン２０にて実行される機能プログラム（アプリ）の数が３個以上であっても、各アプリ毎に動作電源条件を設定してメモリ２２に記憶しておき、マイコン２０にて電源状態監視処理及び受信信号監視処理を実行するようにすれば、上記実施形態と同様に、バッテリ１２から車両各部への電源供給状態に応じて、各アプリの実行／停止を切り換えることができる。

また、上記実施形態では、アプリ１の動作電源条件は、ＥＣＵ１０がバッテリ１２から電源供給を受けて動作しているときと同じバッテリ接続時に設定されており、アプリ２の動作電源条件は、ＩＧＳＷ１４がＯＮ状態であるとき（つまり、車両に搭載された機器の一部がＩＧＳＷ１４を介してバッテリ１２から電源供給を受けているとき）に設定されているものとして説明したが、車両に搭載される電源スイッチとしては、ＩＧＳＷ１４以外に、アクセサリスイッチが存在することから、ＥＣＵ１０のマイコン２０にて実行される機能プログラム（アプリ）の動作電源条件として、アクセサリスイッチがＯＮ状態になっていることを設定することもできる。

一方、例えば、図４に示すように、ネットワーク上に制御系全体の診断装置３０が設けられており、ネットワークに接続されたＥＣＵ１０では、マイコン２０が、車両制御用の機能プログラム（アプリ１）と、診断装置３０からの診断要求に従いＥＣＵ１０の各種動作を診断して診断結果を診断装置３０に送信（診断応答）する診断用の機能プログラム（アプリ２）と、からなる複数の機能プログラムを実行するように構成されている場合には、制御部として、図５に示す診断要求監視処理を実行するようにすればよい。

つまり、この診断要求監視処理は、図３に示した受信信号監視処理と同様、本発明の第２制御手段に相当する処理であり、まず、Ｓ３１０にて、ネットワークを介して診断装置３０から自ＥＣＵ１０宛の診断要求を受信したか否かを判断することにより、自ＥＣＵ１０宛の診断要求が送信されてくるのを待ち、自ＥＣＵ１０宛の診断要求を受信すると、Ｓ３２０にて、その診断要求の宛先となる診断用アプリ（図４に示すアプリ２）を特定し、Ｓ３３０に移行する。

次に、Ｓ３３０では、その診断用アプリの動作電源条件をメモリ２２から読み出し、現在の電源供給状態は、診断用アプリの動作電源条件を満足しているか否かを判断する。
そして、現在の電源供給状態が診断用アプリの動作電源条件を満足していれば、Ｓ３４０にて、診断用アプリに対し診断要求の受信通知を発行することで、診断用アプリの実行を指示した後、当該受信信号監視処理を一旦終了し、逆に、現在の電源供給状態が診断用アプリの動作電源条件を満足していなければ、そのまま当該受信信号監視処理を一旦終了する。

このように、ＥＣＵ１０において、マイコン２０が、機能プログラムの一つとして、診断装置３０からの診断要求に従い診断用の機能プログラムを実行するように構成されている場合には、診断装置３０からの診断要求を受信した際に、マイコン２０自身が、上記診断要求監視処理によって、診断用の機能プログラムを起動するか否かを判断するようにすれば、例えば、診断用の機能プログラムがＩＧＳＷ１４のＯＦＦ時に実行されて、診断結果が異常になるのを防止できる。

なお、この場合、診断要求受信待ちの状態では、診断用の機能プログラムが実行されることはないので、図２に示した電源状態監視処理は必ずしも実行する必要はない。

実施形態の車両のＥＣＵの構成を表す概略構成図である。 マイコンにて実行される電源状態監視処理を表すフローチャートである。 マイコンにて実行される受信信号監視処理を表すフローチャートである。 診断用のアプリを実行可能なマイコンを備えたＥＣＵの構成を表す概略構成図である。 マイコンにて実行される診断要求監視処理を表すフローチャートである。

符号の説明

１０…電子制御装置（ＥＣＵ）、１２…バッテリ、１４…イグニッションスイッチ（ＩＧＳＷ）、２０…マイクロコンピュータ（マイコン）、２２…メモリ、２４…電源回路、３０…診断装置。

Claims (3)

1. 車両に搭載され、機能単位で構成された複数の機能プログラムを実行するコンピュータを備えた電子制御装置であって、
   前記各機能プログラムの実行を許可する条件として、車載電源から車両各部への電源供給状態を設定してなる動作電源条件が予め記憶された記憶手段と、
   車載電源から車両各部への電源供給状態を監視し、該電源供給状態が変化すると、該変化後の電源供給状態と前記記憶手段に記憶された動作電源条件とに基づき、前記各機能プログラム毎に、当該機能プログラムの実行を許可するか否かを判定して、前記コンピュータによる前記各機能プログラムの実行／停止を切り換える第１制御手段と、
   を備えたことを特徴とする車両の電子制御装置。
2. 他の車載装置から当該電子制御装置に、特定の機能プログラムを起動させる信号が入力されると、該入力信号に対応した機能プログラムの動作電源条件を前記記憶手段から読み出し、該読み出した動作電源条件と車載電源から車両各部への現在の電源供給状態とに基づき、当該機能プログラムの実行は許可されているか否かを判定し、当該機能プログラムの実行が許可されていれば、前記入力信号による当該機能プログラムの起動を許可し、当該機能プログラムの実行が許可されていなければ、前記入力信号による当該機能プログラムの起動を禁止する第２制御手段を備えたことを特徴とする請求項１に記載の車両の電子制御装置。
3. 車両に搭載され、機能単位で構成された複数の機能プログラムを実行するコンピュータを備えた電子制御装置であって、
   前記各機能プログラムの実行を許可する条件として、車載電源から車両各部への電源供給状態を設定してなる動作電源条件が予め記憶された記憶手段と、
   他の車載装置から当該電子制御装置に、特定の機能プログラムを起動させる信号が入力されると、該入力信号に対応した機能プログラムの動作電源条件を前記記憶手段から読み出し、該読み出した動作電源条件と車載電源から車両各部への現在の電源供給状態とに基づき、当該機能プログラムの実行は許可されているか否かを判定し、当該機能プログラムの実行が許可されていれば、前記入力信号による当該機能プログラムの起動を許可し、当該機能プログラムの実行が許可されていなければ、前記入力信号による当該機能プログラムの起動を禁止する第２制御手段と、
   を備えたことを特徴とする車両の電子制御装置。

Images