JP2011189918A - 車両用の制御装置 - Google Patents

Abstract

【課題】ＣＡＮ通信を利用した車両用制御装置において、ＣＡＮデータの送信停止機能の診断を実施する。
【解決手段】通信バス１０によって他の制御ユニット１Ｂ〜１ＮとＣＡＮ通信が可能に接続された制御ユニット１Ａは、アクチュエータ１１を制御するとともにＣＡＮデータを生成して送信できるメインＣＰＵ２と、送信停止信号が入力されるとＣＡＮデータの通信バス１０への送信を停止するＣＡＮドライバ６と、メインＣＰＵ２の異常を検出したときに送信停止信号をＣＡＮドライバ６に出力する監視ＩＣ４を備える。メインＣＰＵ２は、要求信号を出力して監視ＩＣ４に送信停止信号を出力させるとともにＣＡＮデータを送信し、該送信したＣＡＮデータと通信バス１０上のデータとの比較結果に基づいてＣＡＮデータの送信停止機能の診断を行う。
【選択図】図１

Description

本発明は、車両用制御装置に関し、特に、通信バスによって他の制御装置とＣＡＮ（Controller Area Network）通信が可能に接続された車両用制御装置に関する。

ＣＡＮ通信を利用した車両用制御装置において、該車両用制御装置がメイン制御手段とサブ制御手段とを備え、サブ制御手段側でメイン制御手段の異常を検出した時に、メイン制御手段から他の制御装置へのＣＡＮ通信ラインによる制御情報の送信出力を停止することが知られている（例えば、特許文献１参照）。

特開２００４−１２２９４２号公報

しかし、上記従来の車両用制御装置においては、前記制御情報の送信出力を停止する送信停止機能が正常に作動していることを前提としており、送信停止機能に異常がある場合が考慮されていない。このため、送信停止機能に異常が発生した場合の対応が遅れることとなり、その結果、前記制御情報の送信出力を停止しようとしても、実際には前記制御情報が他の制御装置に送信されてしまうおそれがあった。

本発明は、このような課題に着目してなされたものであり、ＣＡＮ通信を利用した車両用制御装置において、ＣＡＮデータの送信停止機能の診断を実施することにより、送信停止機能に異常がある場合の速やかな対応を可能にする車両用制御装置を提供することを目的とする。

本発明の一側面による車両用制御装置は、通信バスによって他の制御ユニットとＣＡＮ通信が可能に接続され、ＣＡＮデータを生成して送信するＣＡＮデータ送信手段と、送信停止信号が入力されると、前記ＣＡＮデータ送信手段から送信されたＣＡＮデータの前記通信バスへの送信を停止する送信停止手段と、該制御ユニット内における異常の検出を行い、異常を検出したときに前記送信停止信号を前記送信停止手段に出力する異常検出手段と、前記異常検出手段に前記異常の検出とは無関係に前記送信停止信号を出力させるとともに前記ＣＡＮデータ送信手段にＣＡＮデータを送信させ、送信されたＣＡＮデータと前記通信バス上のデータとの比較結果に基づいてＣＡＮデータの前記通信バスへの送信停止機能の診断を行う診断手段と、を備える。

本発明の他の側面による車両用制御装置は、通信バスによって他の制御装置とＣＡＮ通信が可能に接続され、ＣＡＮプロトコルに従った通信制御を行うＣＡＮコントローラを内蔵し、該制御ユニットに接続されたアクチュエータの駆動を制御するとともにＣＡＮデータを生成して送信できるメインＣＰＵと、前記メインＣＰＵと前記通信バスとの間に設けられ、送信停止信号が入力されると前記メインＣＰＵから送信されたＣＡＮデータの前記通信バスへの送信を停止するＣＡＮドライバと、前記メインＣＰＵの作動状態を監視し、異常を検出したときに前記送信停止信号を前記ＣＡＮドライバに出力するサブＣＰＵと、を備え、前記メインＣＰＵは、要求信号を出力して前記サブＣＰＵに前記送信停止信号を出力させるとともにＣＡＮデータを送信し、該送信したＣＡＮデータと前記通信バス上のデータとの比較結果に基づいて前記ＣＡＮデータの送信停止機能の診断を行う。

前記車両用制御装置によれば、ＣＡＮデータの通信バスへの送信を停止する送信停止機能の診断を実施するので、該送信停止機能に異常がある場合に速やかに対応することが可能となる。これにより、例えばＣＡＮデータを送信すべきでないときに、ＣＡＮデータが他の制御装置に送信されてしまう事態を大幅に低減できる。

本発明の第１実施形態による車両用制御装置を含む車両の通信系全体の概略構成を示す図である。 制御装置の間で送受信されるＣＡＮデータを説明するため図である。 第１実施形態による車両用制御装置で実行されるＣＡＮデータの送信停止機能の診断制御のフローチャートである。 本発明の第２実施形態による車両用制御装置を含む車両の通信系全体の概略構成を示す図である。 第２実施形態よる車両用制御装置で実行されるＣＡＮデータの送信停止機能の診断制御のフローチャートである。

以下、添付図面を参照して本発明の実施形態ついて説明する。
図１は、本発明の第１実施形態による車両用制御装置を含む車両の通信系全体の概略構成を示す図である。図１に示すように、本実施形態による車両用制御装置（制御ユニット）１Ａは、他の複数の制御装置（制御ユニット）１Ｂ〜１Ｎと通信バス（ＣＡＮバス）１０によって互いにＣＡＮ（Controller Area Network）通信が可能に接続されている。
各制御ユニット１Ａ〜１Ｎは、自身に接続されている機器や機構を作動制御するものであり、ブレーキアシスト装置の制御装置、電動パワーステアリング機構の制御装置、アンチロックブレーキ機構の制御装置、車両姿勢制御機構の制御装置、エンジンコントロールユニットなどの各種制御ユニットが該当する。なお、本実施形態において、制御ユニット１Ａはアクチュエータ１１を制御し、制御ユニット１Ｂは異常警告ランプ１２を、制御ユニット１Ｃはモータ１３を制御するものとする。また、制御ユニット１Ａ〜１Ｎは、実質的に同じ構成を有しているため、ここでは制御ユニット１Ａについて説明し、その他の制御ユニット１Ｂ〜１Ｎについての説明は省略する。

図１に示すように、制御ユニット１Ａは、メインＣＰＵ２と、第１電源ＩＣ３と、サブＣＰＵとしての監視ＩＣ４と、第２電源ＩＣ５と、ＣＡＮドライバ（又はＣＡＮトランシーバ）６と、を有する。

メインＣＰＵ２は、ＣＡＮコントローラ２１を内蔵しており、アクチュエータ１１を制御するとともにＣＡＮプロトコルに従った通信制御を実行する。
メインＣＰＵ２は、入力インターフェース１５ａ，１５ｂを介して入力ポート２２ａ，２２ｂに入力された信号に基づいてアクチュエータ１１の操作量を演算し、その演算結果をアクチュエータ１１に駆動信号として出力ポート２３から出力する。出力された駆動信号は出力インターフェース１６を介してアクチュエータ１１に供給される。メインＣＰＵ２は、アクチュエータ１１の操作量の演算以外にも各種の演算処理を実行し、前記駆動信号や要求信号を含む各種演算結果をパラレルポート２４から監視ＩＣ４に出力する。

メインＣＰＵ２（さらに言えばメインＣＰＵ２に内蔵されたＣＡＮコントローラ２１）は、送信ラインＴｘ、受信ラインＲｘによってＣＡＮドライバ６に接続されている。メインＣＰＵ２は、ＣＡＮデータ（データフレーム）を生成してＣＡＮドライバ６及び通信バス１０を介して他の制御ユニットへと送信し、ＣＡＮドライバ６を介して他の制御ユニットからのＣＡＮデータを受信してデータ等を抽出する。また、メインＣＰＵ２はＣＡＮデータの送受信に伴う各種エラーを検出する。

メインＣＰＵ２には、監視ＩＣ４から出力された信号がパラレルポート２４から入力され、監視ＩＣ４に供給される電源電圧が監視ＩＣ電源のモニタ入力端子２５から入力される。そして、メインＣＰＵ２は、監視ＩＣ４に供給される電源電圧が異常値になる等、監視ＩＣ４側での異常を検出した場合には、ＣＡＮドライバ６にＣＡＮデータの通信バス１０への送信を停止させる送信停止信号を信号出力端子（以下「第１信号出力端子」という）２６から出力する。
なお、メインＣＰＵ２は、さらに第１電源ＩＣ３及び監視ＩＣ４にＰ−ＲＵＮ信号を出力するＰ−ＲＵＮ出力端子２７と、第１電源ＩＣ３からＲＥＳＥＴ信号を入力するＲＥＳＥＴ入力端子２８と、を備えている。

第１電源ＩＣ３は、メインＣＰＵ２に電源電圧を供給するとともに、定電圧出力端子３１から制御ユニット１Ａ内の各部に定電圧を供給する。
また、第１電源ＩＣ３は、ウォッチドッグ機能を有しており、Ｐ−ＲＵＮ入力端子３２から入力されたＰ−ＲＵＮ信号を監視してメインＣＰＵ２が暴走等した場合には、ＲＥＳＥＴ出力端子３３からＲＥＳＥＴ信号を出力してメインＣＰＵ２をリセットする。また、第１電源ＩＣ３は、異常電圧検出機能を有しており、出力する電圧に異常が生じた場合には、信号出力端子（以下「第２信号出力端子」という）３４から電圧異常出力信号を出力する。

サブＣＰＵとしての監視ＩＣ４は、メインＣＰＵ２の演算結果や第１電源ＩＣ３からメインＣＰＵ２に供給される電源電圧に基づいてメインＣＰＵ２の作動状態を監視する。
監視ＩＣ４には、メインＣＰＵ２の各種演算結果がパラレルポート４１から入力され、メインＣＰＵ２からのＰ−ＲＵＮ信号がＲ−ＲＵＮ入力端子４２から入力され、メインＣＰＵ２に供給される電源電圧がメインＣＰＵ電源入力端子４３から入力される。
監視ＩＣ４は、入力されたメインＣＰＵ２の演算結果、Ｐ−ＲＵＮ信号及びメインＣＰＵ２の電源電圧を監視し、メインＣＰＵ２側での異常を検出した場合にはシステムシャット信号を信号出力端子（以下「第３信号出力端子」という）４４から出力するとともに前記送信停止信号を信号出力端子（以下「第４信号出力端子」という）４５から出力する。
また、監視ＩＣ４は、前記送信停止信号の出力を要求する要求信号がメインＣＰＵ２から入力された場合には、メインＣＰＵ２側での異常の検出とは無関係に、前記送信停止信号を第４信号出力端子４５から出力する。

第２電源ＩＣ５は、監視ＩＣ４に電源電圧を供給する。
ＣＡＮドライバ６は、メインＣＰＵ２と通信バス１０と間に設けられており、メインＣＰＵ２から送信ラインＴｘに送信されたＣＡＮデータを通信バス１０へと送信し、通信バス１０を介して他の制御ユニットから送信されてきたＣＡＮデータを受信ラインＲｘに送信する。また、ＣＡＮドライバ６は、前記送信停止信号が入力されると、次に送信停止解除信号が入力されるまでの間、メインＣＰＵ２から送信されたＣＡＮデータの通信バス１０への送信を停止（遮断）する。なお、以下では、前記送信停止信号の入力によってＣＡＮドライバ６がＣＡＮデータの通信バス１０への送信を停止（遮断）した状態を「ＣＡＮデータの送信停止状態」という。

メインＣＰＵ２の出力ポート２３と出力インターフェース１６との間には、第１論理回路１７が設けられている。この第１論理回路１７の入力側はメインＣＰＵ２の出力ポート２３、第１電源ＩＣ３の第２信号出力端子３４及び監視ＩＣ４の第３信号出力端子４４に接続され、第１論理回路１７は、第１電源ＩＣ３からの電圧異常出力信号及び監視ＩＣ４からのシステムシャット信号の少なくとも一方が入力されると、アクチュエータ１１の駆動信号の伝送を遮断する。
これにより、少なくともメインＣＰＵ２側に異常がある場合には、アクチュエータ１１の駆動信号が出力インターフェース１６に送信されないことになり、アクチュエータ１１の駆動が停止される。

また、ＣＡＮドライバ６の入力側には第２論理回路１８が設けられている。この第２論理回路１８の入力側はメインＣＰＵ２の第１信号出力端子２６及び監視ＩＣ４の第４信号出力端子４５に接続され、第２論理回路１８はいずれかの信号出力端子から送信停止信号が入力されると、該送信停止信号をＣＡＮドライバ６に伝送する。
これにより、メインＣＰＵ２側及び監視ＩＣ４側の少なくとも一方に異常がある場合にはＣＡＮデータの通信バス１０（ひいては、他の制御ユニット）への送信が停止される。

以上のように、制御ユニット１Ａにおいて、メインＣＰＵ２と監視ＩＣ４とは互いに相手が正常に作動しているか又は正常に作動し得る状態であるかを監視しており、監視ＩＣ４がメインＣＰＵ２側（すなわち、メインＣＰＵ２及び第１電源ＩＣ３）の異常を検出すると、アクチュエータ１１の駆動が停止されるとともにＣＡＮドライバ６によってＣＡＮデータの通信バス１０への送信が停止される。また、メインＣＰＵ２が監視ＩＣ４側（すなわち、監視ＩＣ４及び第２電源ＩＣ５）の異常を検出すると、ＣＡＮドライバ６によってＣＡＮデータの通信バス１０への送信が停止される。

図２は、制御ユニット１Ａ〜１Ｎの間で送受信されるＣＡＮデータの一例を示す。
図２に示すように、各データにはＩＤが付与されるとともに、データ長、送信周期、送信ユニット、受信ユニットが設定されている。なお、ＣＡＮデータ（データフレーム）の構成は公知であるので省略する。
例えば、ＩＤ１２３のＣＡＮデータは、制御ユニット１Ａから１００（ｍｓ）の送信周期で制御ユニット１Ｂ及び制御ユニット１Ｃに送信され、ＩＤ７８９のＣＡＮデータは、制御ユニット１Ｃから８０（ｍｓ）の送信周期で制御ユニットＡに送信される。すなわち、各制御ユニットは他の制御ユニットに所定周期毎に所定のＣＡＤデータを送信する。

ここで、制御ユニット１ＡにおいてＣＡＮデータの通信バス１０への送信が停止されると、ＩＤ１２３のデータが制御ユニット１Ｂ及び制御ユニット１Ｃに送信されなくなる。すると、制御ユニット１Ｂ及び制御ユニット１ＣにおいてＩＤ１２３のデータはその送信周期を経過しても更新されないことになる。これにより、制御ユニット１Ｂ及び制御ユニット１Ｃは、制御ユニット１Ａに異常が発生していると判断することができ、この判断に基づいてフェールセーフ制御などの所定の制御を実行することができる。例えば、制御ユニット１Ｂは、異常警告ランプ１２を点灯させてユーザに制御ユニット１Ａの異常を報知することができる。また、制御ユニット１Ｃは、モータ１３の駆動を停止（禁止）させてフェールセーフ制御を実行することができる。あるいは、アクチュエータ１１がモータである場合には、制御ユニット１Ｃが制御するモータ１３をアクチュエータ１１の代わりに用いることも可能である。
このように、制御ユニット１Ａは、ユニット内で異常の有無を診断し（異常の検出を行い）、異常を検出した場合にはＣＡＮデータの送信を停止することで自身の異常を他の制御ユニットに検知させるようにしている。これにより、他の制御ユニットはもちろんシステム全体として速やかにフェールセーフへと移行することが可能となる。

ところで、上述のように、制御ユニット１Ｂや制御ユニット１Ｃは、制御ユニット１ＡからＣＡＮデータが送信されない（制御ユニット１ＡからのＣＡＮデータを受信しない）ことによって制御ユニット１Ａの異常を検知できる。しかし、例えばＣＡＮドライバ６による送信停止機能に異常がある場合には、メインＣＰＵ２や監視ＩＣ４が送信停止信号を出力したとしても実際にはＣＡＮデータが制御ユニット１Ｂや制御ユニット１Ｃへと送信されてしまうおそれがある。この場合、制御ユニット１Ｂや制御ユニット１Ｃは、制御ユニット１Ａの異常を検知できないため、当該異常を報知するための異常警告ランプの点灯やフェールセーフ制御の実行が遅れることになる。

そこで、本実施形態における制御ユニット１Ａは、ＣＡＮデータの通信バス１０への送信を停止するＣＡＮデータの送信停止機能を診断することで、該送信停止機能に異常がある場合の速やかな対応を可能とし、他の制御ユニットやシステム全体におけるフェールセーフ制御等の遅れを低減している。

図３は、本実施形態においてメインＣＰＵ２によって実行されるＣＡＮデータの送信停止機能の診断処理を示すフローチャートである。この診断処理は、制御ユニット１Ａの起動時（例えば、イグニッションスイッチがＯＮされたとき）に実行される。但し、これに限るものではなく、任意のタイミングで（好ましくは、車両が動き出す直前に）診断処理を実行することも可能である。

図３において、ステップＳ１１では、監視ＩＣ４に送信停止制御を要求する。
すなわち、メインＣＰＵ２は、送信停止信号の出力を要求する要求信号を監視ＩＣ４に送信する。これにより、監視ＩＣ４は、メインＣＰＵ２側の異常の有無とは無関係に、ＣＡＮドライバ６に送信停止信号を出力する。
ステップＳ１２では、１ビットのドミナントレベルを出力する。すなわち、ＣＡＮデータの最初の部分であるＳＯＦ（Start Of Frame）を送信する。

ステップＳ１３では、ＳＯＦ領域でビットエラーが発生したか否かを判断する。上述のように、メインＣＰＵ２はＣＡＮコントローラ２１を内蔵しており、データフレームの全ての領域で自身が送信した信号レベルと通信バス１０上の信号レベルとを比較、監視する機能を有している（ビットモニタリング）。この機能によってメインＣＰＵ２は自身が送信したＳＯＦと通信バス１０上のデータとの比較を行い、両者に相違がある場合にはＳＯＦ領域でビットエラーが発生したと判断する。そして、ＳＯＦ領域でビットエラーが発生してればステップＳ１４に進み、ＳＯＦ領域でビットエラーが発生していなければステップＳ１６に進む。

ステップＳ１４では、送信停止機能が正常であることを確認する。
ステップＳ１１でＣＡＮドライバ６に送信停止信号が出力されているため、ＣＡＮデータの送信停止状態となっているはずである。この状態であればＳＯＦは通信バス１０に送信されないから、通信バス１０はリセッシブレベル（バスアイドル）のままであり、ＳＯＦ領域でビットエラーが発生する。このため、ＳＯＦ領域におけるビットエラーの発生によって、ＣＡＮデータの送信停止機能が正常に作動していることを確認できる。

ステップＳ１５では、監視ＩＣ４に送信停止制御の解除を要求する。
すなわち、メインＣＰＵ２は、送信停止解除信号の出力を要求する要求信号を監視ＩＣ４に送信する。これにより、監視ＩＣ４は、ＣＡＮドライバ６に送信停止解除信号を出力し、ＣＡＮドライバ６はＣＡＮデータの通信バス１０への送信を開始（再開）する。

ステップＳ１６では、送信停止機能に異常があることを確認する。
上述のように、本来はＳＯＦ領域でビットエラーが発生するはずであるから、ＳＯＦ領域でビットエラーが発生しない場合には、ＣＡＮデータの送信停止機能が正常に作動していないと考えられる。このため、ＳＯＦ領域でビットエラーが発生しないことによって、ＣＡＮデータの送信停止機能に異常があることが確認できる。なお、この場合であってもＣＡＮデータの送信は可能であると考えられる。

そして、ステップＳ１７で、ステップＳ１５と同様に、監視ＩＣ４に送信停止制御の解除を要求し、ステップＳ１８でワーニング要求を送信する。このワーニング要求は、制御ユニット１Ａの送信停止機能に異常があることをドライバ等に報知することを要求するものであり、例えば、制御ユニット１Ｂに異常警告ランプ１２の点灯を要求することが該当する。但し、これに限られるものではなく、他の方法によって送信停止機能に異常があることをユーザ等に報知するようにしてもよい。

以上の診断処理により、制御ユニットにおけるＣＡＮデータの送信停止機能が正常に作動する否かをチェックすることができ、また、ＣＡＮデータの送信停止機能に異常がある場合にはドライバ等に報知するので、該送信停止機能の異常への速やかな対応が可能になる。

ところで、上記の実施形態では、監視ＩＣ４に送信停止信号を出力させているが（ステップＳ１１）、これに代えて又は加えて、メインＣＰＵ２が送信停止信号を出力するようにしてもよい。この場合でもＣＡＮデータの送信停止機能を診断することができる。
但し、（１）ＣＡＮデータの通信バス１０への送信を停止するのは、監視ＩＣ４がメインＣＰＵ２側の異常を検出した場合がほとんどであると考えられること、（２）監視ＩＣ４による送信停止信号の出力も含めた状態で送信停止機能の診断が行えること、（３）監視ＩＣ４からの送信停止信号によって送信停止機能が正常に作動していればメインＣＰＵ２からの送信停止信号によっても送信停止機能が正常に作動すると考えられること、などを考慮すれば、上記実施形態のように、監視ＩＣ４に送信停止信号を出力させて診断処理を行うのが好ましい。

また、上記の実施形態では、メインＣＰＵ２がＣＡＮコントローラ２１を内蔵しているが、メインＣＰＵ２とＣＡＮコントローラ２１とを別体としてもよい。
なお、上記の実施形態において、メインＣＰＵ２（ＣＡＮコントローラ２１）が本発明の「ＣＡＮデータ送信手段」として機能し、ＣＡＮドライバ６が本発明の「送信停止手段」として機能し、監視ＩＣ４又はメインＣＰＵ２が本発明の「異常検出手段」として機能し、メインＣＰＵ２が本発明の「診断手段」と機能する。

図４は、本発明の第２実施形態による車両用制御装置を含む車両の通信系全体の概略構成を示す図である。
図４において、第１実施形態による車両用制御装置（図１参照）と同一の機能を有する構成要素については同一の番号を付してその説明は省略する。第１実施形態による車両用制御装置との基本的な相違は、本実施形態による制御ユニットにおいては、一つの電源ＩＣ７がメインＣＰＵ２及び監視ＩＣ４に電源電圧を供給している点、及び、電源ＩＣ７が供給する電源電圧を監視する電源電圧監視回路８が設けられている点である。

電源ＩＣ７は、メインＣＰＵ２及び監視ＩＣ４に電源電圧を供給する。電源ＩＣ７は、図１の第１電源ＩＣ３と同様に、Ｐ−ＲＵＮ入力端子３２及びＲＥＳＥＴ出力端子３３を備えており、メインＣＰＵ２が暴走等したと判断した場合には、ＲＥＳＥＴ信号を出力してメインＣＰＵ２をリセットする。なお、この電源ＩＣ７が本発明の「電源電圧供給回路」に相当する。

電源電圧監視回路８は、電源ＩＣ７の電源電圧供給ラインに接続されており、電源ＩＣ７からメインＣＰＵ２及び監視ＩＣ４に供給される電源電圧を監視する。電源電圧監視回路８は、監視ＩＣ４から供給される電源電圧の異常を検知した場合には信号出力端子（以下「第５信号出力端子」という）８１から電圧異常検出信号を出力する。ここで、電源電圧監視回路８から出力される電圧異常検出信号は、第１実施形態における第１電源ＩＣ３が出力する電圧異常出力信号としての機能を有するとともに、メインＣＰＵ２及び監視ＩＣ４が出力する送信停止信号と同様の機能をも有する。したがって、電源電圧監視回路８から出力される電圧異常出力信号を送信停止信号と表現することもできる。

また、電源電圧監視回路８は、診断信号を入力する信号入力端子８２を備えている。この診断信号は、電源電圧監視回路８の監視する電源電圧に異常を生じさせるものであり、メインＣＰＵ２の診断信号出力端子２９から出力される。メインＣＰＵ２が上記診断信号を出力することにより、電源ＩＣ７から供給される電源電圧に擬似的な異常を発生させることができ、電源電圧監視回路８は前記電圧異常検出信号を出力することになる。なお、かかる診断信号が本発明の「第２要求信号」に相当する。
したがって、本実施形態においては、例えばメインＣＰＵ２が診断信号を出力したときの電源電圧監視回路８の電圧異常検出信号を確認することにより、電源電圧監視回路８の電源電圧監視機能を診断することができる。

本実施形態において、第１論理回路１７の入力側はメインＣＰＵ２の出力ポート２３、監視ＩＣ４の第３信号出力端子４４及び電源電圧監視回路８の第５信号出力端子８１に接続され、第１論理回路１７は、監視ＩＣ４からのシステムシャット信号及び電源電圧監視回路８からの電圧異常出力信号の少なくとも一方が入力されると、アクチュエータ１１の駆動信号の伝送を遮断する。
これにより、第１実施形態と同様に、少なくともメインＣＰＵ２の作動状態に異常がある場合には、アクチュエータ１１の駆動が停止される。

また、本実施形態において、ＣＡＮドライバ６の入力側には、第２論理回路１８に代えて第３論理回路１９が設けられている。第３論理回路１９の入力側はメインＣＰＵ２の第１信号出力端子２６、監視ＩＣ４の第４信号出力端子４５及び電源電圧監視回路８の第５信号出力端子８１に接続され、第３論理回路１９はいずれかの信号出力端子から送信停止信号（電源電圧監視回路８からの電圧異常出力信号を含む）が入力されると、該送信停止信号をＣＡＮドライバ６に伝送する。
これにより、第１実施形態と同様に、メインＣＰＵ２側及び監視ＩＣ４側の少なくとも一方に異常がある場合にはＣＡＮデータの通信バス１０（ひいては、他の制御ユニット）への送信が停止される。

このような構成により、本実施形態においても、制御ユニット１Ａはユニット内で異常の検出を行い、異常を検出した場合にはＣＡＮデータの送信を停止することで自身の異常を他の制御ユニットに検知させるようにしており、これにより、他の制御ユニットはもちろんシステム全体として速やかにフェールセーフへと移行することが可能となる。

図５は、本実施形態においてメインＣＰＵ２は実行するＣＡＮデータの送信停止機能の診断処理を示すフローチャートである。この診断処理は、第１実施形態における診断処理（図３）と同様に、例えば制御ユニット１Ａの起動時（例えば、イグニッションスイッチがＯＮされたとき）に実行される。

図５において、ステップ２１では、電源電圧監視回路８に診断信号を出力する。これにより、電源ＩＣ７から供給される電源電圧には擬似的な異常が発生したことになり、電源電圧監視回路８から電圧異常検出信号が出力される。
ステップＳ２２では、１ビットのドミナントレベルを出力する。すなわち、ＣＡＮデータの最初の部分であるＳＯＦ（Start Of Frame）を送信する。この処理は第１実施形態における診断処理（図３）のステップＳ１２の処理と同じである。

ステップＳ２３では、ＳＯＦでビットエラーが発生したか否かを判断する。そして、ＳＯＦでビットエラーが発生してればステップＳ１４に進む。この処理は第１実施形態における診断処理（図３）のステップＳ１３の処理と同じである。

ステップＳ２４では、送信停止機能が正常であることを確認する。
ステップＳ２１で出力された電圧異常検出信号により、ＣＡＮデータの送信停止状態となっているはずである。よって、第１実施形態における診断処理（図３）のステップＳ１４と同様に、ＳＯＦにおけるビットエラーの発生により、ＣＡＮデータの送信停止機能が正常に作動していることが確認できる。
ステップＳ２５では、前記診断信号の出力を停止する。これにより、電源ＩＣ７から供給される電源電圧に異常がある状態が解消される。

ステップＳ２６では、監視ＩＣ４に送信停止制御を要求する。この処理は第１実施形態における診断処理（図３）のステップＳ１１の処理と同じである。
ステップＳ２７では、ステップＳ２３と同様、ビットのドミナントレベルを出力する。
ステップＳ２８では、ステップＳ２３と同様、ＳＯＦ領域でビットエラーが発生したか否かを判断する。そして、ＳＯＦ領域でビットエラーが発生してればステップＳ２９に進む。

ステップＳ２９では、送信停止機能が正常であることを確認する、この処理は第１実施形態における診断処理（図３）のステップＳ１４の処理と同じである。
ステップＳ３０では、監視ＩＣ４に送信停止制御の解除を要求する。この処理は第１実施形態における診断処理（図３）のステップＳ１５の処理と同じである。

一方、ステップＳ２３においてＳＯＦ領域でビットエラーが発生していない場合にはステップ３１に進み、送信停止機能が異常であることを確認する。そして、ステップＳ３２で前記診断信号の出力を停止し、ステップＳ３３でワーニング要求を送信する。なお、ステップＳ３２の処理はステップＳ２５の処理と同じであり、ステップＳ３３の処理は第１実施形態における診断処理（図３）のステップＳ１８の処理と同じである。

また、ステップＳ２８においてＳＯＦ領域でビットエラーが発生していない場合にはステップ３４に進み、送信停止機能が異常であることを確認する。そして、ステップＳ３５で監視ＩＣ４に送信停止制御の解除を要求し、ステップＳ３６でワーニング要求を送信する。なお、ステップＳ３５、Ｓ３６の処理は第１実施形態における診断処理（図３）のステップＳ１７、Ｓ１８の処理と同じである。

本実施形態においても、第１実施形態と同様に、ＣＡＮデータの送信停止機能が正常に作動する否かを確実にチェックすることができ、また、ＣＡＮデータの送信停止機能に異常がある場合にはユーザ等に報知するので、該送信停止機能の異常への速やかな対応が可能になる。
特に本実施形態においては、電源電圧監視回路８から出力される電圧異常出力信号によってもＣＡＮデータの通信バス１０への送信を停止するようにした上で、電源電圧監視回路８から出力される電圧異常出力信号によるＣＡＮデータの送信停止機能の診断も行っており、ＣＡＮデータの送信停止機能のより確実な診断を行うことができる。

ところで、上記の実施形態では、まず電源電圧監視回路８からの電圧異常出力信号（送信停止信号）によるＣＡＮデータの送信停止機能の診断を行い（ステップＳ２１〜Ｓ２５、Ｓ３１〜Ｓ３３）、次に監視ＩＣ４からの送信停止信号によるＣＡＮデータの送信停止機能の診断を行っている（ステップＳ２６〜Ｓ３０、Ｓ３４〜Ｓ３６）。
しかし、これに限られるものではなく、まず監視ＩＣ４からの送信停止信号によるＣＡＮデータの送信停止機能の診断を行うようにしてもよいし、電源電圧監視回路８からの電圧異常出力信号（送信停止信号）によるＣＡＮデータの送信停止機能の診断と、監視ＩＣ４からの送信停止信号によるＣＡＮデータの送信停止機能の診断と、を別々に行うようにしてもよい。

なお、本実施形態においても、第１実施形態と同様に、監視ＩＣ４に送信停止信号を出力させること（ステップＳ２６）に代えて又は加えて、メインＣＰＵ２が送信停止信号を出力するようにしてもよいことはもちろんである。

以上説明した各実施形態においては、ＣＡＮデータの送信停止機能に異常がある場合にはワーニング要求を送信しており、特別なフェールセーフ制御等を実施していない。これは、ＣＡＮデータの送信停止機能に異常がある場合であってもＣＡＮデータを送信することは可能であり、ＣＡＮデータに基づく各種制御に影響を及ぼすことはほとんどないからからである。換言すれば、ＣＡＮデータの送信停止機能に異常がある場合であってもワーニング要求を送信すれば十分であり、その他に特別な制御を追加したり通常制御を変更したりする必要はないのである。もちろん、そのような制御の追加や変更を妨げるものではない。
以上、本発明の各実施形態について説明したが、本発明は上記各実施形態に限定されるものではなく、本発明の技術的思想に基づいて各種の変形及び変更が可能である。

ここで、上記各実施形態およびその変形例から把握し得る請求項以外の技術思想について、以下にその効果と共に記載する。
（イ）請求項１〜３のいずれか１つに記載の車両用制御装置において、
前記送信停止機能の診断はＳＯＦ（Start Of Frame）領域におけるビットエラーの発生の有無により行い、
前記ＳＯＦ領域でビットエラーが発生した場合に前記ＣＡＮデータの送信停止機能が正常であると判定し、前記ＳＯＦ領域でビットエラーが発生しなかった場合に前記ＣＡＮデータの送信停止機能が異常であると判定する。
上記（イ）によれば、ＣＡＮデータの最初の部分であるＳＯＦにおけるビットエラーの発生の有無に基づいて送信停止機能の診断を行うので、短時間で送信停止機能の診断を行うことができる。

（ロ）請求項１に記載の車両用制御装置において、前記ＣＡＮデータ送信手段は他の制御装置に送信するためのＣＡＮデータを所定周期で送信する。
（ハ）請求項２又は３に記載の車両用制御装置において、前記メインＣＰＵは他の制御装置に送信するためのＣＡＮデータを所定周期で送信する。
上記（ロ）、（ハ）によれば、異常検出時にＣＡＮデータの通信バスへの送信が停止されることにより、当該車両用制御装置の異常を他の制御装置が容易に検知できる。

（ニ）請求項２に記載の車両用制御装置において、
前記メインＣＰＵは、前記サブＣＰＵ側の異常を検出したときに前記送信停止信号を前記ＣＡＮドライバに出力するものであり、
前記メインＣＰＵは、前記サブＣＰＵ側の異常の検出とは無関係に前記送信停止信号を出力するとともにＣＡＮデータを送信し、該送信したＣＡＮデータと前記通信バス上のデータとの比較結果に基づいて前記ＣＡＮデータの送信停止機能の診断を行う。
上記（ニ）によれば、メインＣＰＵからの送信停止信号によってもＣＡＮデータの通信バスへの送信を停止する構成において、該メインＣＰＵからの送信停止信号に基づくＣＡＮデータの送信停止機能の診断を実施できる。

（ホ）請求項３に記載の車両用制御措置において、
前記電源電圧監視回路に出力する要求信号は、該電源電圧監視回路の監視する電源電圧に異常を生じさせるものである。
上記（ホ）によれば、例えば前記要求信号を出力したときに電源電圧監視回路からの出力信号を確認することにより、該電源電圧監視回路による電源電圧監視機能についても併せて診断することができる。

１Ａ…制御ユニット（車両用制御装置）、１Ｂ〜１Ｎ…制御ユニット（他の制御装置）、２…メインＣＰＵ、３…第１電源ＩＣ，４…監視ＩＣ（サブＣＰＵ）、５…第２電源ＩＣ、６…ＣＡＮドライバ、７…電源ＩＣ（電源電圧供給回路）、８…電源電圧監視回路、１０…通信バス、１１…アクチュエータ、１２…異常警告ランプ１２、１３…モータ

Claims (3)

1. 通信バスによって他の制御装置とＣＡＮ（Controller Area Network）通信が可能に接続された車両用制御装置であって、
   ＣＡＮデータを生成して送信できるＣＡＮデータ送信手段と、
   送信停止信号が入力されると、前記ＣＡＮデータ送信手段から送信されたＣＡＮデータの前記通信バスへの送信を停止する送信停止手段と、
   該制御ユニット内で異常の検出を行い、異常を検出したときに前記送信停止信号を前記送信停止手段に出力する異常検出手段と、
   前記異常検出手段に前記異常の検出とは無関係に前記送信停止信号を出力させるとともに前記ＣＡＮデータ送信手段にＣＡＮデータを送信させ、送信されたＣＡＮデータと前記通信バス上のデータとの比較結果に基づいてＣＡＮデータの前記通信バスへの送信停止機能の診断を行う診断手段と、
   を備える車両用制御装置。
2. 通信バスによって他の制御装置とＣＡＮ（Controller Area Network）通信が可能に接続された車両用制御装置であって、
   ＣＡＮプロトコルに従った通信制御を行うＣＡＮコントローラを内蔵し、該制御ユニットに接続されたアクチュエータの駆動を制御するとともにＣＡＮデータを生成して送信できるメインＣＰＵと、
   前記メインＣＰＵと前記通信バスとの間に設けられ、送信停止信号が入力されると前記メインＣＰＵから送信されたＣＡＮデータの前記通信バスへの送信を停止するＣＡＮドライバと、
   前記メインＣＰＵの作動状態を監視し、異常を検出したときに前記送信停止信号を前記ＣＡＮドライバに出力するサブＣＰＵと、
   を備え、
   前記メインＣＰＵは、要求信号を出力して前記サブＣＰＵに前記送信停止信号を出力させるとともにＣＡＮデータを送信し、該送信したＣＡＮデータと前記通信バス上のデータとの比較結果に基づいて前記ＣＡＮデータの送信停止機能の診断を行う車両用制御装置。
3. 前記メインＣＰＵ及び前記サブＣＰＵに電源電圧を供給する電源電圧供給回路と、
   前記電源回路から供給される電源電圧を監視し、異常を検出したときに前記送信停止信号を前記ＣＡＮドライバに出力する電源電圧回路監視回路と、
   をさらに備え、
   前記メインＣＰＵは、前記要求信号とは異なる第２要求信号を出力して前記サブＣＰＵに前記送信停止信号を出力させるとともにＣＡＮデータを送信し、該送信したＣＡＮデータと前記通信バス上のデータとの比較結果に基づいて前記ＣＡＮデータの送信停止機能の診断を行う、請求項２に記載の車両用制御装置。

Images