JP2010244311A - 車載用電子制御装置 - Google Patents

Abstract

【課題】車載用電子制御装置の信頼性を向上することである。
【解決手段】制御用演算プログラムによりアクチュエータを制御するための制御信号を演算する第１マイクロコンピュータと、前記制御信号に係る情報を記憶し、かつ当該情報に基づいて、前記アクチュエータを駆動するための駆動信号を生成する制御レジスタと、前記第１マイクロコンピュータから出力される第１信号に基づいて、当該第１マイクロコンピュータの故障を検出する第２マイクロコンピュータと、前記第１マイクロコンピュータから出力され、かつ前記第１信号とは異なる第２信号に基づいて当該第１マイクロコンピュータの故障状態を判定し、当該判定結果に応じて当該第１マイクロコンピュータに初期化信号を出力するウォッチドッグ回路部と、を備え、前記第２マイクロコンピュータは、前記第１マイクロコンピュータの故障を検出したとき、前記制御レジスタに初期化信号を出力する。
【選択図】 図１

Description

本発明は、車載用電子制御装置に係り、特にフェイルセーフ制御方法に関する。

近年、車載用電子制御装置は、高性能化及び小型化，多種機能や安全性及び信頼性向上を求められている。そのため、部品点数・コスト削減，ダウンサイジングといった観点から、車載用電子制御装置内における電子部品、例えば、各種機能を制御するためのドライバ制御回路や、そのドライバの状態を診断する診断回路，各種センサーからの処理回路等をシリコンチップに集積化することが検討され、実用化され、車載電子制御装置内に用いられている。

車載電子制御装置では、多数装備されたセンサーやドライバ、他の電子制御装置などからの情報を処理するために、メインマイクロコンピュータを備え、不揮発生メモリに書き込まれたプログラムに従って、演算処理され、これらの結果に基づいて、各種機能制御を行う。

そのため、車載用電子装置の安全性及び信頼性のために、車載用電子装置に搭載されたマイクロコンピュータが、常に正常に動作をしていることを監視するシステムが必要とされ、マイクロコンピュータが異常動作に陥っていると判断した際、マイクロコンピュータによって制御された設定及び出力制御信号に対し、素早く、設定解除及び制御信号の制限や、誤った情報を他の電子制御装置に通信することを防ぎ、再起動させる必要がある。

前記に記載した、車載用電子制御装置に用いられるフェイルセーフシステムの従来例として、例えば特許文献１に示す記述が上げられる。

特許文献１に記載の従来技術では、外部センサーからの情報を演算処理及び制御するメインマイクロコンピュータと、メインマイクロコンピュータを監視するサブマイクロコンピュータを用い、両マイクロコンピュータ同士の通信によってマイクロコンピュータが正常動作か判断している。

マイクロコンピュータが異常であると判断した場合、アクチュエータ側で判断された異常を示す信号入力した場合、外部センサー側で判断された異常を示す信号入力した場合に、接続されているアクチュエータの作動を禁止させる手段を用いている。

上記に示す、従来例でのサブマイクロコンピュータによる監視機能では、メインマイクロコンピュータが異常と判断したにも関らず、メインマイクロコンピュータの異常状態や制御したデータを継続させ、回復及び初期化させることができない。更に、近年、多数のセンサーやドライバ、多数の機能制御及び演算処理を行う、メインマイクロコンピュータのプログラムは複雑化しており、両マイクロコンピュータ同士の通信機能は正常に処理するような特殊な処理ルーチンに陥ってしまった場合、フェイルセーフリレーを制御できず、初期化制御する手法を用いていないため、特殊なルーチンから回避することができないため、不明な制御状態を継続させてしまい、各種機能回路を異常状態に陥らせ、異常制御による機能破壊などを発生する可能性や他の電子制御装置に、異常情報を他の電子制御装置に通知を招き、異常処理を引き起こす原因となる。

そして、マイクロコンピュータを搭載する電子制御装置では、イグニッションスイッチオフ操作により、突然の電源回路停止を防ぐため、メインマイクロコンピュータが、イグニッションスイッチ情報を監視し、オフ操作された場合、ソフトを終了処理したのち、メインマイクロコンピュータからの制御によって、電源回路停止する手段を有している場合、停止処理を行うことができず、バッテリの消費を招いてしまう。

特開平９−３０５２２３号公報

本発明の解決しようとする課題は、車載用電子制御装置の信頼性を向上させることである。

本発明に係る車載用電子制御装置は、制御用演算プログラムを記憶するための不揮発性メモリを備え、かつ外部から入力される情報に基づいて、当該制御用演算プログラムによりアクチュエータを制御するための制御信号を演算する第１マイクロコンピュータと、前記制御信号に係る情報を記憶し、かつ当該情報に基づいて、前記アクチュエータを駆動するための駆動信号を生成する制御レジスタと、前記駆動信号に基づいて、前記アクチュエータを駆動する駆動回路部と、前記第１マイクロコンピュータから出力される第１信号に基づいて、当該第１マイクロコンピュータの故障を検出する第２マイクロコンピュータと、前記第１マイクロコンピュータから出力され、かつ前記第１信号とは異なる第２信号に基づいて当該第１マイクロコンピュータの故障状態を判定し、当該判定結果に応じて当該第１マイクロコンピュータに初期化信号を出力するウォッチドッグ回路部と、を備え、前記第２マイクロコンピュータは、前記第１マイクロコンピュータの故障を検出したとき、前記制御レジスタに初期化信号を出力する。

これにより、第１マイクロコンピュータとウォッチドッグ回路部及びその間に何らかの異常があり、初期化信号を出力できなくなっても、第２マイクロコンピュータによって初期化を実行することができるので、車載用電子制御装置の信頼性を向上させることができる。

本発明により、車載用電子制御装置の信頼性を向上させることができる。

車載用電子制御装置の実施方法を示した説明図である。(実施例１) 車載用電子制御装置の動作を示したタイミングチャートである。(実施例１) 車載用電子制御装置の実施方法を示した説明図である。(実施例２) 車載用電子制御装置の動作を示したタイミングチャートである。(実施例２) 車載用電子制御装置の実施方法を示した説明図である。(実施例３) 車載用電子制御装置の動作を示したタイミングチャートである。(実施例３)

本発明により、車載用電子制御装置のメインマイクロコンピュータの動作監視するための手段とし、サブマイクロコンピュータからの監視及び、半導体集積回路に用いられたウォッチドッグ機能による冗長監視を行う手段により監視を行う。前記監視手段でメインマイクロコンピュータが異常と判断した場合、半導体集積回路からやサブマイクロコンピュータからの制御によって、メインマイクロコンピュータによって制御した制御レジスタや制御信号の初期化を行い、更に再起動させる手段を用いて、より高いフェイルセーフ機能を備えている車載用電子制御装置を提供することが可能となる。

本発明を実施するための形態を、以下に解説する。

図１は、本発明における第１の実施例を示している。

車載に搭載される電子制御装置は、イグニッションスイッチ３がオン操作され、イグニッションスイッチ情報４より、駆動回路５はメインリレー７を駆動するために、駆動信号６をハイ出力し、メインリレー７を駆動し、リレー接点をオンさせ、バッテリ電圧２を電圧生成部８に供給し、各デバイスに電圧を供給する。

電圧供給され、半導体集積回路９では、電圧監視部１７でパワーオンを検出し、サブマイクロコンピュータ１１や半導体集積回路９にパワーオンリセット制御を行う。リセット生成部１５は、電圧監視部１７の情報を基に、メインマイクロコンピュータ１０にパワーオンリセット制御を行う。

起動したメインマイクロコンピュータ１０は、外部から入力された情報を不揮発性メモリに書き込まれているプログラムに従って内部演算処理部１９（ＣＰＵ）で演算処理をし、演算処理結果を基にシリアル通信信号線２６ａ，２６ｂを介して半導体集積回路９とシリアル通信する。

また、メインマイクロコンピュータ１０は、イグニッションスイッチ情報４によりイグニッションスイッチ３の状態を把握することができ、ソフトウェア処理中に、イグニッションスイッチ３の操作により、電圧生成停止により異常終了を防ぐために、メインマイクロコンピュータ１０からレギュレータ制御信号３１をハイ出力し、メインリレー７をコントロール制御することが可能になり、イグニッションスイッチ３の操作がオフされた場合、ソフトウェアは終了処理を行い、レギュレータ制御信号３１をロウ出力し、駆動回路５は、駆動信号６をロウ出力し、メインリレー７の駆動解除を行い、リレー接点をオフさせ、バッテリ電圧２の供給を停止し、電圧生成部８を停止させる。

メインマイクロコンピュータ１０とサブマイクロコンピュータ１１は、相互のフェイルセーフを監視するフェイルセーフ監視部２１，２４を備えており、両マイクロコンピュータ同士で通信することによってフェイルセーフを相互監視する。どちらかのマイクロコンピュータがもう一方のマイクロコンピュータに異常発生と判定している際、フェイルセーフリレー制御信号線２２，２５を介してフェイルセーフリレーを遮断することによって車載用電子制御装置から特定機能の出力動作をマスクする。

サブマイクロコンピュータ１１は、相互監視により、メインマイクロコンピュータ１０に異常と判断した場合、半導体集積回路９へ制御レジスタ初期化信号２９を出力する。

半導体集積回路９は、メインマイクロコンピュータ１０とシリアル通信することによってメインマイクロコンピュータ１０からの情報を制御レジスタ１３にラッチし、ラッチした情報を基に対応した駆動部１２ａ，１２ｂ，…を制御することによって車載用電子制御装置の出力を制御する。また、メインマイクロコンピュータ１０から出力制御されるウォッチドッグタイマクリアパルス２８が入力される時間間隔を計測するウォッチドッグタイマ１６を備えており、ウォッチドッグタイマ１６にウォッチドッグタイマクリアパルス２８が一定時間入力されずに設定された時間に達した場合、メインマイクロコンピュータ１０に対してメインマイクロコンピュータ初期化信号２７を出力制御することによってメインマイクロコンピュータ１０を初期化させ、再起動を行う。

更に、半導体集積回路９は、相互監視により、サブマイクロコンピュータ１１がメインマイクロコンピュータ１０に異常発生と判断し、メインマイクロコンピュータ１０から制御された制御レジスタ１３を初期化するために、サブマイクロコンピュータ１１から出力された制御レジスタ初期化信号２９によって、制御レジスタ１３へ初期化制御を行う。また、リセット生成部１５は、異常状態に陥ったメインマイクロコンピュータ１０を正常復帰させるために、メインマイクロコンピュータ１０に対しても初期化を行い、正常動作に復帰させる手法を用いることにより、特殊なルーチン状態や、不明な制御状態の継続，各種機能回路の異常状態，異常制御による機能破壊、更に、異常情報を他の電子制御装置に通知して異常処理を引き起こす原因から防ぐことが可能となり、より高いフェイルセーフ機能を有する車載用電子制御装置を提供することが可能となる。

図２は、第１の実施例におけるタイミングチャートを示している。

時間ｔ１で、メインマイクロコンピュータ１０に異常が発生し、ウォッチドッグタイマクリアパルス２８は正常に処理されているが、特殊なルーチンに陥り、メインマイクロコンピュータ１０とサブマイクロコンピュータ１１間の相互通信によって、サブマイクロコンピュータ１１がメインマイクロコンピュータ１０を異常と判定した時間ｔ４で、サブマイクロコンピュータ１１は制御レジスタ初期化信号２９を出力制御する。制御レジスタ初期化信号２９と同期してメインマイクロコンピュータ初期化信号２７も制御されるため、メインマイクロコンピュータ１０と制御レジスタ１３が同時に初期化されるため、メインマイクロコンピュータ１０が初期化処理状態にある間、制御レジスタ１３は異常情報を保持せずに済む。

時間ｔ３でメインマイクロコンピュータ１０が正常に復帰すると、時間ｔ５でサブマイクロコンピュータ１１は、メインマイクロコンピュータ１０が正常状態にあると判定し、フェイルセーフリレー制御信号線２５を解除することによってフェイルセーフリレーをオンし、以降、車載用電子制御装置は正常動作をすることになる。

図３は、本発明における第２の実施例を示す。図中、前記図１と同じ素子には同じ番号を記載して詳細説明しているため、ここでは差異点のみ説明する。

第２の実施例では、サブマイクロコンピュータ１１にメインマイクロコンピュータ初期化信号３２を出力制御するための専用ポートを設ける。

サブマイクロコンピュータ１１では、メインマイクロコンピュータ１０を異常と判定すると、サブマイクロコンピュータ１１はフェイルセーフリレー制御信号線２５を制御し、フェイルセーフリレーを遮断し、半導体集積回路９に制御レジスタ初期化信号２９を出力制御すると同時にメインマイクロコンピュータ初期化信号３２を出力制御する。これにより、制御レジスタ１３とメインマイクロコンピュータ１０を同時に初期化することが可能となり、且つ、サブマイクロコンピュータ１１がメインマイクロコンピュータ初期化信号３２を出力制御したにも関わらずメインマイクロコンピュータ１０が正常状態に復帰しない場合においても、制御レジスタ１３は制御レジスタ初期化信号２９によって、異常状態のメインマイクロコンピュータ１０との通信により異常な情報をラッチから防ぐことが可能となり、第１の実施例同様に、より高いフェイルセーフ機能を有する車載用電子制御装置を提供することが可能となる。

図４は、第２の実施例におけるタイミングチャートを示している。

時間ｔ１で、ウォッチドッグタイマクリアパルス２８は正常に処理されているが、特殊なルーチンに陥り、メインマイクロコンピュータ１０とサブマイクロコンピュータ１１間の相互通信によって、サブマイクロコンピュータ１１がメインマイクロコンピュータ１０を異常と判定した時間ｔ４で、サブマイクロコンピュータ１１は半導体集積回路９へ制御レジスタ初期化信号２９を出力制御し、制御レジスタ１３を正常復帰する時間ｔ５までの間、ウォッチドッグタイマクリアパルス２８の出力の有無に関わらず、制御レジスタ初期化信号２９を制御し続けることにより、異常が発生しているメインマイクロコンピュータ１０が制御レジスタ１３にアクセスして異常情報をラッチさせないことが可能となる。

更に、サブマイクロコンピュータ１１は、メインマイクロコンピュータ初期化信号３２をメインマイクロコンピュータ１０に出力制御し、正常動作に復帰し、正常復帰したと決定する時間ｔ５までの間、初期化制御を繰り返す。

図５は、本発明における第３の実施例を示す。図中、前記図１と同じ素子には同じ番号を記載して詳細説明しているため、ここでは差異点のみ説明する。

第３の実施例では、メインマイクロコンピュータ１０から出力制御されるウォッチドッグタイマクリアパルス２８が半導体集積回路９のウォッチドッグタイマ１６に入力するための信号線をマスクするウォッチドッグタイマクリアパルス制限信号３３をサブマイクロコンピュータ１１が備えている。

サブマイクロコンピュータ１１では、メインマイクロコンピュータ１０を異常と判定した際、サブマイクロコンピュータ１１はフェイルセーフリレー制御信号線２５を制御し、フェイルセーフリレーを遮断し、半導体集積回路９に制御レジスタ初期化信号２９を出力制御すると同時にウォッチドッグタイマクリアパルス制限信号３３をマスク回路３４に出力制御し、マスク制御を行う。

半導体集積回路９内のウォッチドッグタイマ１６は設定された時間までカウントアップして、リセット生成部１５からメインマイクロコンピュータ初期化信号２７を出力制御する。これにより、メインマイクロコンピュータ１０が異常であるにも関わらずウォッチドッグタイマクリアパルス２８を正常に出力制御するような特殊なルーチンに陥ってしまった場合においても半導体集積回路９からメインマイクロコンピュータ初期化信号２７を出力制御してメインマイクロコンピュータ１０を初期化させることが可能となり、且つ、メインマイクロコンピュータ１０を初期化制御したにも関わらずメインマイクロコンピュータ１０が正常状態に復帰しなかった場合においても、制御レジスタ１３はメインマイクロコンピュータ初期化信号２７により、異常状態のメインマイクロコンピュータ１０との通信により異常な情報をラッチから防ぐことが可能となり、第１の実施例同様に、より高いフェイルセーフ機能を有する車載用電子制御装置を提供することが可能となる。

図６は、第３の実施例におけるタイミングチャートを示している。

時間ｔ１で、メインマイクロコンピュータ１０に異常処理状態に陥り、メインマイクロコンピュータ１０とサブマイクロコンピュータ１１間の相互通信によって、サブマイクロコンピュータ１１がメインマイクロコンピュータ１０を異常と判定した時間ｔ４で、サブマイクロコンピュータ１１は制御レジスタ初期化信号２９を出力制御すると同時にウォッチドッグタイマクリアパルス制限信号３３を出力制御する。

メインマイクロコンピュータ１０が異常状態にあると判定されている間、メインマイクロコンピュータ１０がウォッチドッグタイマクリアパルス２８を出力制御可能な状態にあるか否かに関わらず、ウォッチドッグタイマクリアパルス２８は半導体集積回路９に入力されないため、ウォッチドッグタイマ１６は設定された時間ｔＷＤまでカウントアップし、時間ｔ２でメインマイクロコンピュータ初期化信号２７を出力制御する。

更に、サブマイクロコンピュータ１１がメインマイクロコンピュータ１０を異常と判定している時間ｔ５まで、制御レジスタ初期化信号２９を制御し続けることにより、異常が発生しているメインマイクロコンピュータ１０が制御レジスタ１３にアクセスして情報をラッチさせないことが可能となる。

本発明の車載用電子制御装置は、通信することにより半導体集積回路内の制御レジスタをラッチするマイクロコンピュータが異常となった際に、前記マイクロコンピュータを介することなく制御レジスタを初期化することが可能であるものであり、高いフェイルセーフ機能を要求される車載用電子制御装置に対して利用される。

１ バッテリ
２ バッテリ電圧
３ イグニッションスイッチ
４ イグニッションスイッチ情報
５ 駆動回路
６ 駆動信号
７ メインリレー
８ 電圧生成部
９ 半導体集積回路
１０ メインマイクロコンピュータ
１１ サブマイクロコンピュータ
１２ａ，１２ｂ 駆動部
１３ 制御レジスタ
１４ シリアル通信部（半導体集積回路）
１５ リセット生成部
１６ ウォッチドッグタイマ
１７ 電圧監視部（パワーオンリセット）
１８ 外部情報入力部
１９ 演算処理部（メインマイクロコンピュータ）
２０ シリアル通信部（メインマイクロコンピュータ）
２１ フェイルセーフ監視部（メインマイクロコンピュータ）
２２ フェイルセーフリレー制御信号線（メインマイクロコンピュータ）
２３ 演算処理部（サブマイクロコンピュータ）
２４ フェイルセーフ監視部（サブマイクロコンピュータ）
２５ フェイルセーフリレー制御信号線（サブマイクロコンピュータ）
２６ａ シリアル通信信号線（半導体集積回路からメインマイクロコンピュータ）
２６ｂ シリアル通信信号線（メインマイクロコンピュータから半導体集積回路）
２７ メインマイクロコンピュータ初期化信号（半導体集積回路）
２８ ウォッチドッグタイマクリアパルス
２９ 制御レジスタ初期化信号
３０ サブマイクロコンピュータ初期化信号
３１ レギュレータ制御信号
３２ メインマイクロコンピュータ初期化信号（サブマイクロコンピュータ）
３３ ウォッチドッグタイマクリアパルス制限信号
３４ マスク回路
３５ フェイルセーフリレー論理回路
ｔ１ メインマイクロコンピュータが異常となるタイミング
ｔ２ メインマイクロコンピュータ初期化信号が出力制御され始めるタイミング
ｔ３ メインマイクロコンピュータが正常となるタイミング
ｔ４ サブマイクロコンピュータがメインマイクロコンピュータを異常と決定するタイミング
ｔ５ サブマイクロコンピュータがメインマイクロコンピュータを正常復帰したと決定するタイミング
ｔＷＤ ウォッチドッグタイマ設定時間

Claims (3)

1. 制御用演算プログラムを記憶するための不揮発性メモリを備え、かつ外部から入力される情報に基づいて、当該制御用演算プログラムによりアクチュエータを制御するための制御信号を演算する第１マイクロコンピュータと、
   前記制御信号に係る情報を記憶し、かつ当該情報に基づいて、前記アクチュエータを駆動するための駆動信号を生成する制御レジスタと、
   前記駆動信号に基づいて、前記アクチュエータを駆動する駆動回路部と、
   前記第１マイクロコンピュータから出力される第１信号に基づいて、当該第１マイクロコンピュータの故障を検出する第２マイクロコンピュータと、
   前記第１マイクロコンピュータから出力され、かつ前記第１信号とは異なる第２信号に基づいて当該第１マイクロコンピュータの故障状態を判定し、当該判定結果に応じて当該第１マイクロコンピュータに初期化信号を出力するウォッチドッグ回路部と、を備え、
   前記第２マイクロコンピュータは、前記第１マイクロコンピュータの故障を検出したとき、前記制御レジスタに初期化信号を出力する車載用電子制御装置。
2. 請求項１に記載の車載用電子制御装置において、
   前記第２マイクロコンピュータは、前記第１マイクロコンピュータの故障を検出したときは、前記制御レジスタに初期化信号を出力し続ける車載用電子制御装置。
3. 請求項１または２に記載のいずれかの車載用電子制御装置において、
   前記第２マイクロコンピュータからの前記第１マイクロコンピュータの故障検出信号に基づいて、前記ウォッチドッグ回路部に前記第２信号が入力されないようにするための遮断回路を備え、
   前記ウォッチドッグ回路部は、前記第２信号が所定期間入力されない場合に、当該第１マイクロコンピュータを故障判定する車載用電子制御装置。

Images