JP2012060842A

JP2012060842A - 車両用電子制御装置

Info

Publication number: JP2012060842A
Application number: JP2010203971A
Authority: JP
Inventors: Masatoshi Taguchi; 正敏田口; Haruhito Ito; 陽人伊東
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2010-09-13
Filing date: 2010-09-13
Publication date: 2012-03-22
Anticipated expiration: 2030-09-13
Also published as: JP5246230B2; US20120065823A1

Abstract

【課題】制御用マイコン３０と、これを監視する監視用マイコン４０とを搭載する場合であっても、ＭＧＥＣＵ２０の信頼性が要求を満たさない懸念があること。
【解決手段】制御用マイコン３０は、ウォッチドッグ信号ＷＤ１を、監視用マイコン４０と制御用監視装置５２とに出力する。監視用マイコン４０と制御用監視装置５２とは、ウォッチドッグ信号ＷＤ１が規定時間に渡って入力されない場合、制御用マイコン３０に異常があると判断し、制御用マイコン３０をリセットする。一方、監視用マイコン４０は、監視用監視装置６２にウォッチドッグ信号ＷＤ２を出力し、監視用監視装置６２では、ウォッチドッグ信号ＷＤ２が規定時間に渡って入力されない場合、監視用監視装置６２に異常があると判断し、監視用マイコン４０をリセットする。
【選択図】図１

Description

本発明は、車載主機の制御量を制御する車両用電子制御装置に関する。

この種の電子制御装置としては、例えば下記特許文献１に見られるように、エンジン制御用のマイコンと、このマイコンを監視する監視用マイコンとを備えるものも提案されている。

特開２００３−２１４２３３号公報

ところで、エンジン等の車載主機の制御量を制御するための電子制御装置には、高い信頼性が要求されている。

本発明は、上記課題を解決する過程でなされたものであり、その目的は、車載主機の制御量を制御するための新たな車両用電子制御装置を提供することにある。

以下、上記課題を解決するための手段、およびその作用効果について記載する。

請求項１記載の発明は、車載主機の制御量を制御する車両用電子制御装置において、前記主機の制御量を制御するための演算処理を行う制御用演算処理装置と、該制御用演算処理装置を監視する監視用演算処理装置と、前記制御用演算処理装置の異常の有無を監視する制御用監視装置と、前記監視用演算処理装置の異常の有無を監視する監視用監視装置とを備えることを特徴とする。

上記発明では、制御用監視装置および監視用監視装置を備えることで、制御用演算処理装置については、制御用監視装置と監視用演算処理装置との２つの装置によって異常の有無が監視され、監視用演算処理装置については、監視用監視装置によって異常の有無が監視される。このため、制御用監視装置および監視用監視装置を備えない場合と比較して、車両用電子制御装置の信頼性を向上させることができる。

請求項２記載の発明は、請求項１記載の発明において、前記制御用演算処理装置用の電源である制御用電源装置と、前記監視用演算処理装置用の電源であって且つ前記制御用電源装置とは別の監視用電源装置とをさらに備え、前記監視用電源装置は、外部から電力が常時供給されるものであり、前記制御用電源装置は、前記監視用演算処理装置によって、外部からの電力の供給および停止の切り替え操作が可能とされていることを特徴とする。

上記発明では、制御用電源装置への電力の供給および停止を切り替えることが可能なため、消費電力を低減することができる。

請求項３記載の発明は、請求項２記載の発明において、前記制御用電源装置は、前記監視用演算処理装置の操作にかかわらず、前記制御用演算処理装置によって外部からの電力供給が可能な状態に維持する操作が可能であることを特徴とする。

上記発明では、制御用演算処理装置によって制御用電源装置への電力供給が可能な状態に維持することができるため、監視用演算処理装置に異常が生じた場合であっても、制御用演算処理装置を稼動状態に維持することができる。

請求項４記載の発明は、請求項３記載の発明において、前記制御用電源装置への電力供給は、パワーコントロール信号によって制御され、前記パワーコントロール信号は、前記監視用演算処理装置の出力信号および前記制御用電源装置の出力信号の論理合成信号であることを特徴とする。

請求項５記載の発明は、請求項３または４記載の発明において、前記制御用演算処理装置は、前記監視用演算処理装置がリセットされる場合であってリセットから復帰できない場合、フェールセーフ処理を行った後、前記制御用電源装置への電力供給を停止させることを特徴とする。

上記発明では、監視用演算処理装置による監視がなされない状況において制御用演算処理装置が通常通り稼動され続けることを回避することができる。

請求項６記載の発明は、請求項２〜５のいずれか１項に記載の発明において、前記監視用演算処理装置は、外部の電子制御装置からの指令信号が入力されることで外部から前記制御用電源装置への電力供給を開始させることを特徴とする。

請求項７記載の発明は、請求項２〜６のいずれか１項に記載の発明において、前記監視用演算処理装置は、前記監視用電源装置から電力が常時供給されることを特徴とする。

上記発明では、監視用演算処理装置を外部からの指令に常時対応できるようにすることができる。

請求項８記載の発明は、請求項７記載の発明において、前記制御用電源装置は、前記制御用演算処理装置に加えて、前記車載主機の制御システムに搭載されるセンサへも電力を供給することを特徴とする。

上記発明では、制御用電源装置が監視用電源装置よりも大電力を扱う電源装置となる。このため、監視用電源装置については常時オン状態とされる場合であっても、制御用電源装置についてはオフ状態に切替可能とすることのメリットが特に大きい。

請求項９記載の発明は、請求項２〜８のいずれか１項に記載の発明において、前記制御用監視装置は、前記制御用電源装置の電圧が低下する場合、前記制御用演算処理装置をリセットすることを特徴とする。

制御用電源装置の電圧が制御用演算処理装置の動作保証電圧未満となると、制御用演算処理装置の動作の信頼性が低下する。この点、上記発明では、こうした状況下、制御用演算処理装置をリセットすることで、こうした事態に適切に対処することができる。

請求項１０記載の発明は、請求項２〜９のいずれか１項に記載の発明において、前記監視用監視装置は、前記監視用電源装置の電圧が低下する場合、前記監視用演算処理装置をリセットすることを特徴とする。

監視用電源装置の電圧が監視用演算処理装置の動作保証電圧未満となると、監視用演算処理装置の動作の信頼性が低下する。この点、上記発明では、こうした状況下、監視用演算処理装置をリセットすることで、こうした事態に適切に対処することができる。

請求項１１記載の発明は、請求項１〜１０のいずれか１項に記載の発明において、前記監視用演算処理装置は、前記制御用演算処理装置から出力される信号に基づき前記制御用演算処理装置に異常があると判断される場合、前記制御用演算処理装置をリセットする制御側リセット手段を備えることを特徴とする。

演算処理装置に異常が生じる場合、これをリセットすることで正常状態に復帰することが多い。上記発明では、この点に鑑み、制御側リセット手段を備えた。

請求項１２記載の発明は、請求項１１記載の発明において、前記制御用演算処理装置は、前記監視用演算処理装置にウォッチドッグ信号を出力する機能を有し、前記監視用演算処理装置は、前記制御用演算処理装置から前記ウォッチドッグ信号が出力されないことに基づき前記制御用演算処理装置に異常があると判断することを特徴とする。

請求項１３記載の発明は、請求項１１または１２記載の発明において、前記制御用演算処理装置と前記監視用演算処理装置とは、定期的な通信を行うものであり、前記監視用演算処理装置は、前記定期的な通信に基づき前記制御用演算処理装置の異常の有無を判断することを特徴とする。

請求項１４記載の発明は、請求項１〜１３のいずれか１項に記載の発明において、前記制御用監視装置は、前記制御用演算処理装置から出力される信号に基づき前記制御用演算処理装置に異常があると判断される場合、前記制御用演算処理装置をリセットする手段を備えることを特徴とする。

演算処理装置に異常が生じる場合、これをリセットすることで正常状態に復帰することが多い。上記発明では、この点に鑑み、リセットする手段を備えた。

請求項１５記載の発明は、請求項１〜１４のいずれか１項に記載の発明において、前記監視用監視装置は、前記監視用演算処理装置から出力される信号に基づき前記監視用演算処理装置に異常があると判断される場合、前記監視用演算処理装置をリセットする手段を備えることを特徴とする。

請求項１６記載の発明は、請求項１〜１５のいずれか１項に記載の発明において、前記制御用演算処理装置および前記監視用演算処理装置は、それぞれ外部に異常を通知することが可能とされることを特徴とする。

上記発明では、制御用演算処理装置および監視用演算処理装置がそれぞれ外部に異常を通知することができるため、制御用演算処理装置および監視用演算処理装置の一方に異常が生じる場合であっても他方によってその旨を通知することができる。

請求項１７記載の発明は、請求項１〜１６のいずれか１項に記載の発明において、給電の有無にかかわらずデータを保持する記憶手段をさらに備え、前記監視用演算処理装置は、前記制御用演算処理装置の異常の履歴を前記記憶手段に記憶することを特徴とする。

上記発明では、記憶手段を備えるため、監視用演算処理装置がリセットされた場合等であっても、異常の履歴を保持することができる。

一実施形態にかかるシステム構成図。同実施形態にかかるリセット処理の態様を示すタイムチャート。同実施形態にかかるリセット処理の態様を示すタイムチャート。同実施形態にかかるリセット処理の態様を示すタイムチャート。

以下、本発明にかかる車両用電子制御装置をハイブリッド車の電子制御装置に適用した一実施形態について、図面を参照しつつ説明する。

図１に、本実施形態にかかるシステム構成を示す。

図示されるモータジェネレータ１０は、車載主機であり、駆動輪に機械的に連結されている。モータジェネレータ１０は、インバータ１２を介して高電圧バッテリ１４に接続されている。ここで、インバータ１２は、高電圧バッテリ１４の直流電圧を交流電圧に変換する直流交流変換回路である。

モータ制御用電子制御装置（ＭＧＥＣＵ２０）は、モータジェネレータ１０の制御量を制御するための演算を行う演算処理装置（制御用マイコン３０）を備えている。制御用マイコン３０は、中央処理装置（ＣＰＵ３２）や、ＲＯＭ３４、ＲＡＭ３６等を備えており、ＲＯＭ３４に記憶されたプログラムをＣＰＵ３２によってソフトウェア処理するソフトウェア処理手段である。具体的には、上記制御量を制御すべく、インバータ１２の操作信号ＭＳを生成して出力する。

また、ＭＧＥＣＵ２０は、制御用マイコン３０を監視する演算処理装置（監視用マイコン４０）を備えている。監視用マイコン４０は、中央処理装置（ＣＰＵ４２）や、ＲＯＭ４４、ＲＡＭ４６等を備えており、ＲＯＭ４４に記憶されたプログラムをＣＰＵ４２によってソフトウェア処理するソフトウェア処理手段である。

ＭＧＥＣＵ２０は、さらに、制御用マイコン３０の制御用電源装置５０と、制御用電源装置５０を給電手段として制御用マイコン３０を監視する制御用監視装置５２とを備えている。ここで、制御用監視装置５２は、例えばハードウェア処理手段としてもよい。また、制御用電源装置５０は、モータジェネレータ１０の制御システム内のセンサ群１６（例えばレゾルバ、電流センサ等）に電力を供給する電源ともなっている。

ＭＧＥＣＵ２０は、また、監視用マイコン４０の監視用電源装置６０と、監視用電源装置６０を給電手段として監視用マイコン４０を監視する監視用監視装置６２とを備えている。ここで、監視用監視装置６２は、例えばハードウェア処理手段としてもよい。ちなみに、制御用電源装置５０と監視用電源装置６０とは、ともに外部のバッテリ７０を給電手段とするものである。

ＭＧＥＣＵ２０は、さらに、ＥＥＰＲＯＭ４８を備えている。このＥＥＰＲＯＭ４８は、監視用マイコン４０によって、データの書き込みおよび読み出しが可能な記憶装置である。

上記監視用マイコン４０は、外部のハイブリッド電子制御装置（ＨＶＥＣＵ８０）とＣＡＮ（Controller Area Network）通信にて定期的な通信を行っている。また、上記制御用マイコン３０は、ＨＶＥＣＵ８０に、フェール信号ＦＡＩＬを出力可能とされている。

ＨＶＥＣＵ８０は、車両の制御を行うためのものであり、ＭＧＥＣＵ８０にモータジェネレータ１０の制御量についての指令等を与える。これにより、ＭＧＥＣＵ８０では、この指令に応じてモータジェネレータ１０の制御量を制御するための各種処理を行う。

ここで、ＭＧＥＣＵ２０の信頼性を維持するためのＭＧＥＣＵ２０内の監視機能について説明する。本実施形態では、ウォッチドッグ信号ＷＤｃ，ＷＤｗと、制御用マイコン３０および監視用マイコン４０間の双方向通信データとに基づき、制御用マイコン３０と監視用マイコン４０との異常の有無が監視される。

詳しくは、制御用マイコン３０は、周期的なパルス信号であるウォッチドッグ信号ＷＤ１を、監視用マイコン４０と制御用監視装置５２とに出力する。これにより、監視用マイコン４０と、制御用監視装置５２とは、それぞれウォッチドッグ信号ＷＤ１が規定時間に渡って入力されないことに基づき、制御用マイコン３０に異常があると判断することができる。

また、監視用マイコン４０は、周期的なパルス信号であるウォッチドッグ信号ＷＤ２を、制御用マイコン３０と、監視用監視装置６２とに出力する。これにより、制御用マイコン３０や監視用監視装置６２は、ウォッチドッグ信号ＷＤ２が規定時間に渡って入力されないことに基づき、監視用マイコン４０に異常があると判断することができる。

さらに、制御用マイコン３０と監視用マイコン４０とは、互いにデータの授受を行う通信を行っており、この通信データに基づき互いの異常の有無を監視する。すなわち、例えば制御用マイコン３０がＲＯＭ３４やＲＡＭ３６内のデータ等を出力し、監視用マイコン４０では、これらデータに基づき制御用マイコン３０に異常があるか否かを判断する。ここで、ＲＯＭ３４内のデータは、予め定められたアドレスのデータであってもよく、また、監視用マイコン４０によって指定されるアドレスのデータであってもよい。一方、ＲＡＭ３６のデータとしては、例えば、ＨＶＥＣＵ８０からの制御量の指令値に応じた制御量の検出値であってもよい。また、ＲＡＭ３６のデータに基づく異常の有無の判断としては、たとえば、ＲＡＭ３６内の２箇所に同一のデータを書き込み、これらを照合することで行ってもよい。ここで照合する処理は、監視用マイコン４０によって行ってもよいが、制御用マイコン３０によって行なって、照合結果データを監視用マイコン４０に出力してもよい。

同様に、監視用マイコン４０がＲＯＭ４４やＲＡＭ４６内のデータ等を出力し、制御用マイコン３０では、これらデータに基づき監視用マイコン４０に異常があるか否かを判断する。

上記異常の有無の判断に基づき異常があると判断される場合、異常があると判断されるマイコンは、リセットされる。これは、正常への復帰を促すための処理である。

詳しくは、監視用マイコン４０が制御用マイコン３０に異常があると判断する場合、監視用マイコン４０は、信号線Ｌ２を介して論理合成回路７６にリセット信号ＩＮＩＴ３を出力する。本実施形態では、このリセット信号ＩＮＩＴ３を、論理「Ｌ」の信号とする。なお、リセット信号ＩＮＩＴ３が出力されると、制御用マイコン３０は、一定時間電力供給が遮断され動作が停止される（リセットされる）。また、信号線Ｌ２は、抵抗体７８を介してプルアップされている。これは、監視用マイコン４０がリセットされることで、信号線Ｌ２の電位が論理「Ｌ」に対応したものとなって制御用マイコン３０までもが連動してリセットされる事態を回避するためのものである。

また、制御用監視装置５２は、ウォッチドッグ信号ＷＤ１に基づき制御用マイコン３０に異常があると判断する場合や、制御用電源装置５０の電圧Ｖｃが規定電圧以下となると判断する場合、論理合成回路７６にリセット信号ＩＮＩＴ１を出力する。論理合成回路７６の出力は、リセット信号ＩＮＩＴ１とリセット信号ＩＮＩＴ３との論理積信号であるリセット信号ＩＮＩＴであり、このリセット信号ＩＮＩＴが、制御用マイコン３０に入力される。上記規定電圧は、制御用マイコン３０の動作の信頼性を保つことのできる電圧の下限値以下に設定されている。

一方、監視用監視装置６２は、ウォッチドッグ信号ＷＤ２に基づき監視用マイコン４０に異常があると判断する場合や、監視用電源装置６０の電圧Ｖｗが規定電圧以下であると判断する場合には、監視用マイコン４０にリセット信号ＩＮＩＴ２を出力する。ここで、規定電圧は、監視用マイコン４０の動作の信頼性を保つことのできる電圧の下限値以下に設定されている。

なお、制御用マイコン３０は、監視用マイコン４０に異常が生じる場合、ＨＶＥＣＵ８０にＦＡＩＬ信号を出力することで、その旨を通知する。また、監視用マイコン４０は、ＨＶＥＣＵ８０とＣＡＮ通信にて常時通信しており、制御用マイコン３０に異常が生じる場合、ＨＶＥＣＵ８０にその旨を通知する。

ところで、上記監視用電源装置６０は、バッテリ７０と電気的な接続状態が維持されるものの、制御用電源装置５０は、スイッチング素子７２を介して電気的な接続がなされるようになっている。これは、制御用電源装置５０は、制御用マイコン３０のみならずセンサ群１６の電源でもあるため、監視用電源装置６０と比較して大電力を扱い消費電力が大きいことなどの理由による。このため、例えば車両の起動許可スイッチがオフされる状況下等においては、監視用電源装置６０を給電状態としてＣＡＮ通信が可能として且つ制御用電源装置５０をオフすることで、消費電力の低減を図る。

上記スイッチング素子７２は、パワーコントロール信号ＰＣＴＬによってオン・オフ操作される。パワーコントロール信号ＰＣＴＬは、制御用マイコン３０から信号線Ｌ３に出力されるパワーコントロール信号ＲＣＴＬ１と、監視用マイコン４０から信号線Ｌ４に出力されるパワーコントロール信号ＰＣＴＬ２とが、論理合成部７４によって論理合成（論理和演算）されたものである。ここで、パワーコントロール信号ＰＣＴＬ１，ＰＣＴＬ２，ＰＣＴＬは、いずれも論理「Ｈ」によって、制御用電源装置５０のオン操作指令を表現する。このため、制御用マイコン３０がパワーコントロール信号ＰＣＴＬ１を出力するか、監視用マイコン４０がパワーコントロール信号ＰＣＴＬ２を出力するかする場合、スイッチング素子７２はオン操作され、制御用電源装置５０がオン状態となる。

ここで、監視用マイコン４０は、ＨＶＥＣＵ８０によって制御用電源装置５０をオン操作する指令がだされることに基づき、パワーコントロール信号ＰＣＴＬ２を出力する。これにより、制御用電源装置５０がオン状態とされる。なお、制御用電源装置５０がオン状態となり、制御用マイコン３０が起動されると、制御用マイコン３０がパワーコントロール信号ＰＣＴＬ１を出力するため、監視用マイコン４０がリセットされたとしても、制御用電源装置５０がオフされることはない。

図２に、本実施形態にかかるリセット処理を例示する。詳しくは、図２（ａ）に、制御用電源装置５０の電圧Ｖｃの推移を示し、図２（ｂ）に、監視用電源装置６０の電圧Ｖｗの推移を示し、図２（ｃ）に、ＣＡＮ通信データの推移を示す。また、図２（ｄ）に、リセット信号ＩＮＩＴ１の推移を示し、図２（ｅ）に、リセット信号ＩＮＩＴ２の推移を示し、図２（ｆ）に、リセット信号ＩＮＩＴ３の推移を示し、図２（ｇ）に、リセット信号ＩＮＩＴの推移を示す。さらに、図２（ｈ）に、制御用マイコン３０の起動の有無の推移を示し、図２（ｉ）に、監視用マイコン４０の起動の有無の推移を示し、図２（ｊ）に、ウォッチドッグ信号ＷＤ１の推移を示し、図２（ｋ）に、ウォッチドッグ信号ＷＤ２の推移を示す。

図示されるように、制御用電源装置５０の電圧Ｖｃが規定電圧Ｖｔｈ以下となる時刻ｔ１において、リセット信号ＩＮＩＴ１が出力され、これにより制御用マイコン３０がリセットされる。また、監視用電源装置６０の電圧Ｖｗが規定電圧Ｖｔｈ以下となる時刻ｔ２において、リセット信号ＩＮＩＴ２が出力され、これにより監視用マイコン４０がリセットされる。なお、この際、信号線Ｌ２の電位は、論理「Ｈ」側となるため、制御用マイコン３０が連動してリセットされることはない。また、制御用マイコン３０や監視用マイコン４０がリセットされると、ＣＡＮ通信データが異常となる。

さらに、制御用マイコン３０と監視用マイコン４０との通信データに基づき、監視用マイコン４０によって制御用マイコン３０に異常があると判断される時刻ｔ３においては、監視用マイコン４０によってリセット信号ＩＮＩＴ３が出力され、制御用マイコン３０がリセットされる。なお、制御用マイコン３０がリセットされると、ウォッチドッグ信号ＷＤ１が出力されなくなるため、制御用監視装置５２も制御用マイコン３０に異常があると判断し、リセット信号ＩＮＩＴ１を出力する。

図３に、本実施形態にかかる別のリセット処理を、パワーコントロール信号とともに例示する。詳しくは、図３（ａ）に、ウォッチドッグ信号ＷＤ１の推移を示し、図３（ｂ）に、ウォッチドッグ信号ＷＤ２の推移を示し、図３（ｃ）に、リセット信号ＩＮＩＴ１の推移を示し、図３（ｄ）に、リセット信号ＩＮＩＴ２の推移を示し、図３（ｅ）に、リセット信号ＩＮＩＴ３の推移を示し、図３（ｆ）に、リセット信号ＩＮＩＴの推移を示す。また、図３（ｇ）に、パワーコントロール信号ＰＣＴＬ１の推移を示し、図３（ｈ）に、パワーコントロール信号ＰＣＴＬ２の推移を示し、図３（ｉ）に、パワーコントロール信号ＰＣＴＬの推移を示し、図３（ｊ）に、ＣＡＮ通信データを示し、図３（ｋ）に、制御用電源装置５０の起動の有無の推移を示し、図３（ｌ）に、監視用電源装置６０の起動の有無の推移を示し、図３（ｍ）に、制御用マイコン３０の起動の有無の推移を示し、図３（ｎ）に、監視用マイコン４０の起動の有無の推移を示す。

図示されるように、時刻ｔ１において制御用マイコン３０からウォッチドッグ信号ＷＤ１が出力されなくなってから規定時間が経過した時刻ｔ２において、制御用監視装置５２がリセット信号ＩＮＩＴ１を、また、監視用マイコン４０がリセット信号ＩＮＩＴ３を、それぞれ出力する。これにより、制御用マイコン３０がリセットされる。その後、所定期間が経過する時刻ｔ３において制御用マイコン３０が復帰するものの、ウォッチドッグ信号ＷＤ１が出力されないため、時刻ｔ４において、制御用監視装置５２がリセット信号ＩＮＩＴ１を、また、監視用マイコン４０がリセット信号ＩＮＩＴ３を、それぞれ再度出力することで、制御用マイコン３０が再度リセットされる。

その後、所定期間が経過する時刻ｔ５において制御用マイコン３０が復帰するものの、ウォッチドッグ信号ＷＤ１が出力されないため、時刻ｔ６において、制御用監視装置５２がリセット信号ＩＮＩＴ１を、また、監視用マイコン４０がリセット信号ＩＮＩＴ３を、それぞれ再度出力することで、制御用マイコン３０が再度リセットされる。そして、これとともに、パワーコントロール信号ＰＣＴＬ２の出力が停止されることで、制御用電源装置５０がオフ状態とされる。これにより、制御用マイコン３０が停止状態とされる。なお、この処理とともに、ＣＡＮ通信によって、監視用マイコン４０からＨＶＥＣＵ８０に異常が通知される。これにより、ＨＶＥＣＵ８０では、例えば図示しない別の主機（エンジン等）を利用した退避走行を行う。

図４に、本実施形態にかかる別のリセット処理を、パワーコントロール信号とともに例示する。なお、図４（ａ）〜図４（ｉ）、図４（ｋ）〜図４（ｎ）は、先の図３（ａ）〜図３（ｉ）、図３（ｋ）〜図３（ｎ）に対応しており、図４（ｊ）は、フェール信号ＦＡＩＬの推移を示している。

図示されるように、時刻ｔ１において監視用マイコン４０からウォッチドッグ信号ＷＤ２が出力されなくなってから規定時間が経過した時刻ｔ２において、監視用監視装置６２がリセット信号ＩＮＩＴ２を出力する。これにより、監視用マイコン４０がリセットされる。その後、所定期間が経過する時刻ｔ３において、監視用マイコン４０が復帰するものの、ウォッチドッグ信号ＷＤ２が出力されないため、時刻ｔ４において、監視用監視装置６２がリセット信号ＩＮＩＴ２を再度出力することで、監視用マイコン４０が再度リセットされる。

その後、所定期間が経過する時刻ｔ５において、監視用マイコン４０が復帰するものの、ウォッチドッグ信号ＷＤ２が出力されないため、時刻ｔ６において、監視用監視装置６２がリセット信号ＩＮＩＴ２を出力することで、監視用マイコン４０が再度リセットされる。そして、これとともに、フェール信号ＦＡＩＬが出力されるとともに、制御用マイコン３０によって、フェールセーフ処理がなされる。そしてフェールセーフ処理が終了すると、制御用マイコン３０はパワーコントロール信号ＰＣＴＬ１の出力を停止する。これにより、制御用電源装置５０がオフ状態とされ、制御用マイコン３０がオフ状態とされる。なお、ＨＶＥＣＵ８０では、フェール信号ＦＡＩＬが入力されることで、例えば図示しない別の主機（エンジン等）を利用した退避走行を行う。

以上詳述した本実施形態によれば、以下の効果が得られるようになる。

（１）制御用マイコン３０の異常の有無を監視する制御用監視装置５２と、監視用マイコン４０の異常の有無を監視する監視用監視装置６２とを備えた。これにより、ＭＧＥＣＵ２０の信頼性を向上させることができる。

（２）監視用電源装置６０は、外部から電力が常時供給されるものであり、制御用電源装置５０は、監視用マイコン４０によって、外部からの電力の供給および停止の切り替え操作を可能とした。これにより、消費電力を低減することができる。

（３）制御用電源装置５０を、監視用マイコン４０の操作にかかわらず、制御用マイコン３０によって外部からの電力供給が可能な状態に維持する操作が可能とした。これにより、監視用マイコン４０の状態にかかわらず、制御用マイコン３０を稼動状態に維持することができる。

（４）監視用マイコン４０がリセットされる場合であってリセットから復帰できない場合、フェールセーフ処理を行った後、制御用マイコン３０自身によって制御用電源装置５０への電力供給を停止させた。これにより、監視用マイコン４０による監視がなされない状況において制御用マイコン３０が通常通り稼動され続けることを回避することができる。

（５）監視用マイコン４０を、監視用電源装置６０から電力が常時供給され起動状態とした。これにより、監視用マイコン４０によって、外部からの指令に常時対応できる。

（６）制御用電源装置５０を、制御用マイコン３０に加えて、モータジェネレータ１０の制御システムに搭載されるセンサ群１６へも電力を供給するものとした。この場合、制御用電源装置５０が大電力を扱う電源装置となるため、制御用電源装置５０をオフ状態に切替可能とすることのメリットが特に大きい。

（７）制御用電源装置５０の電圧が低下する場合、制御用マイコン３０をリセットした。これにより、制御用マイコン３０の動作の信頼性が低下する状況下において制御用マイコン３０が動作することを好適に回避することができる。

（８）監視用監視装置６２の電圧が低下する場合、監視用マイコン４０をリセットした。これにより、監視用マイコン４０の動作の信頼性が低下する状況下、監視用マイコン４０が動作することを好適に回避することができる。

（９）監視用マイコン４０に、制御用マイコン３０が異常であると判断する場合、これをリセットする機能を搭載した。これにより、制御用マイコン３０が正常状態に復帰するように促すことができる。

（１０）監視用マイコン４０に、ウォッチドッグ信号ＷＤ１に基づき制御用マイコン３０に異常があると判断する機能を搭載した。これにより、異常の有無を適切に判断することができる。

（１１）監視用マイコン４０に、定期的な通信に基づき制御用マイコン３０の異常の有無を判断する機能を搭載した。これにより、異常の有無を適切に判断することができる。

（１２）制御用マイコン３０に、ウォッチドッグ信号ＷＤ２に基づき監視用マイコン４０に異常があると判断する機能を搭載した。これにより、異常の有無を適切に判断することができる。

（１３）制御用マイコン３０に、定期的な通信に基づき監視用マイコン４０の異常の有無を判断する機能を搭載した。これにより、異常の有無を適切に判断することができる。

（１４）制御用マイコン３０および監視用マイコン４０のそれぞれに、異常を通知する機能を搭載した。これにより、ＨＶＥＣＵ８０によって異常事態を把握することができる。

（１６）監視用マイコン４０に、制御用マイコン３０の異常の履歴をＥＥＰＲＯＭ４８に記憶させる機能を搭載した。これにより、監視用マイコン４０がリセットされた場合等であっても、異常の履歴を保持することができる。
＜その他の実施形態＞
なお、上記実施形態は、以下のように変更して実施してもよい。

「制御用演算処理装置について」
制御用演算処理装置としては、制御用マイコン３０に限らない。例えば、制御用演算処理装置をＣＰＵ３２として、ＲＯＭ３４やＲＡＭ３６等については、制御用演算処理装置と監視用演算処理装置とで共有されるものとしてもよい。

また、ソフトウェア処理手段にも限らず、専用のハードウェア処理手段であってもよい。なお、その処理自体を監視しやすくする観点等からは、デジタル処理とすることが望ましい。

さらに、制御用マイコン３０に監視用マイコン４０をリセットする機能を搭載してもよい。

くわえて、制御用マイコン３０が外部のＥＣＵ（ＨＶＥＣＵ８０）と双方向通信を行うようにしてもよい。

「監視用演算処理装置について」
監視用演算処理装置としては、ソフトウェア処理手段にも限らず、専用のハードウェア処理手段であってもよい。なお、その処理自体を監視しやすくする観点等からは、デジタル処理とすることが望ましい。

また、監視用マイコン４０に制御用マイコン３０をリセットする機能を搭載しなくてもよい。この場合であっても、監視用監視装置６２を設けることで、制御用マイコン３０をリセットする機能をＥＣＵ２０に搭載することができる。

さらに、監視用演算処理装置としては、ウォッチドッグ信号ＷＤ１と通信データとの双方に基づき制御用マイコン３０の異常の有無を判断するものに限らず、これらの一方のみに基づき制御用マイコン３０の異常の有無を判断してもよい。

「制御用電源装置について」
制御用電源装置としては、制御システム内のセンサ群等に電力を供給するものに限らない。例えば、制御用マイコン３０と制御用監視装置５２との２つのみに電力を供給するものであってもよい。

制御用電源装置としては、監視用マイコン４０によって電力の供給および停止が操作されるものに限らない。例えば、常時電力が供給されるものであってもよい。この場合、電力消費量を低減する観点からは、制御システム内のセンサ群等への電力供給を制御用電源装置とは別部材とすることが特に望ましい。

制御用電源装置としては、制御用マイコン３０によって電力の供給が継続されるように操作可能なものに限らない。換言すれば、パワーコントロール信号ＰＣＴＬ１によって電力の供給や停止が操作されるものに限らない。ここで、例えばパワーコントロール信号ＰＣＴＬ２が出力される信号線にコンデンサを接続するなら、信号線Ｌ２の電位が、監視用マイコン４０のリセット時においてパワーコントロール信号ＰＣＴＬ２の電位となるようにすることができる。

「パワーコントロール信号ＰＣＴＬ１について」
上記実施形態では、監視用マイコン４０がリセットされた場合であって、正常状態に復帰できない場合、フェールセーフ処理を行った後、パワーコントロール信号ＰＣＴＬ１を電力供給を停止する指令に切り替えたがこれに限らない。制御用監視装置５２による制御用マイコン３０の監視の信頼性が要求を満たすのであれば、制御用マイコン３０を稼動状態とすべくパワーコントロール信号ＰＣＴＬ１を電力供給指令に維持してもよい。

「制御用監視装置について」
制御用監視装置としては、制御用電源装置５０の電圧の低下と、ウォッチドッグ信号ＷＤ１の異常との論理和に基づきリセット信号ＩＮＩＴ１を出力するものに限らない。例えば、制御用電源装置５０の電圧が低下する場合にのみリセット信号ＩＮＩＴ１を出力するものであってもよい。ただしこの場合、ウォッチドッグ信号ＷＤ１に基づき制御用マイコン３０に異常があると判断されることを条件に、制御用マイコン３０をリセットする機能を監視用マイコン４０に搭載することが特に望ましい。

また、ウォッチドッグ信号ＷＤ１に基づき制御用マイコン３０に異常があると判断される場合にのみリセット信号ＩＮＩＴ１を出力するものであってもよい。

「監視用監視装置について」
監視用監視装置としては、監視用電源装置６０の電圧の低下と、ウォッチドッグ信号ＷＤ２の異常との論理和に基づきリセット信号ＩＮＩＴ２を出力するものに限らない。例えば、監視用電源装置６０の電圧が低下する場合にのみリセット信号ＩＮＩＴ２を出力するものであってもよい。ただしこの場合、ウォッチドッグ信号ＷＤ２に基づき監視用マイコン４０に異常があると判断されることを条件に、監視用マイコン４０をリセットする機能を制御用マイコン３０に搭載することが望ましい。

また、ウォッチドッグ信号ＷＤ２に基づき監視用マイコン４０に異常があると判断される場合にのみリセット信号ＩＮＩＴ２を出力するものであってもよい。

「車載主機について」
本発明にかかる電子制御装置による制御対象としての車載主機としては、モータジェネレータ１０に限らず、例えば内燃機関であってもよい。

「そのほか」
・車両としては、ハイブリッド車に限らず、例えば車両内にエネルギを蓄積する手段が２次電池や燃料電池等の電気エネルギを蓄積する手段のみとなる電気自動車等であってもよい。

１０…モータジェネレータ、１２…インバータ、２０…ＭＧＥＣＵ（車載電子制御装置の一実施形態）、３０…制御用マイコン、４０…監視用マイコン、５０…制御用電源装置、５２…制御用監視装置、６０…監視用電源装置、６２…監視用監視装置、８０…ＨＶＥＣＵ（他の電子制御装置の一実施形態）。

Claims

車載主機の制御量を制御する車両用電子制御装置において、
前記主機の制御量を制御するための演算処理を行う制御用演算処理装置と、
該制御用演算処理装置を監視する監視用演算処理装置と、
前記制御用演算処理装置の異常の有無を監視する制御用監視装置と、
前記監視用演算処理装置の異常の有無を監視する監視用監視装置とを備えることを特徴とする車両用電子制御装置。
前記制御用演算処理装置用の電源である制御用電源装置と、
前記監視用演算処理装置用の電源であって且つ前記制御用電源装置とは別の監視用電源装置とをさらに備え、
前記監視用電源装置は、外部から電力が常時供給されるものであり、
前記制御用電源装置は、前記監視用演算処理装置によって、外部からの電力の供給および停止の切り替え操作が可能とされていることを特徴とする請求項１記載の車両用電子制御装置。
前記制御用電源装置は、前記監視用演算処理装置の操作にかかわらず、前記制御用演算処理装置によって外部からの電力供給が可能な状態に維持する操作が可能であることを特徴とする請求項２記載の車両用電子制御装置。
前記制御用電源装置への電力供給は、パワーコントロール信号によって制御され、
前記パワーコントロール信号は、前記監視用演算処理装置の出力信号および前記制御用電源装置の出力信号の論理合成信号であることを特徴とする請求項３記載の車両用電子制御装置。
前記制御用演算処理装置は、前記監視用演算処理装置がリセットされる場合であってリセットから復帰できない場合、フェールセーフ処理を行った後、前記制御用電源装置への電力供給を停止させることを特徴とする請求項３または４記載の車両用電子制御装置。
前記監視用演算処理装置は、外部の電子制御装置からの指令信号が入力されることで外部から前記制御用電源装置への電力供給を開始させることを特徴とする請求項２〜５のいずれか１項に記載の車両用電子制御装置。
前記監視用演算処理装置は、前記監視用電源装置から電力が常時供給されることを特徴とする請求項２〜６のいずれか１項に記載の車両用電子制御装置。
前記制御用電源装置は、前記制御用演算処理装置に加えて、前記車載主機の制御システムに搭載されるセンサへも電力を供給することを特徴とする請求項７記載の車両用電子制御装置。
前記制御用監視装置は、前記制御用電源装置の電圧が低下する場合、前記制御用演算処理装置をリセットすることを特徴とする請求項２〜８のいずれか１項に記載の車両用電子制御装置。
前記監視用監視装置は、前記監視用電源装置の電圧が低下する場合、前記監視用演算処理装置をリセットすることを特徴とする請求項２〜９のいずれか１項に記載の車両用電子制御装置。
前記監視用演算処理装置は、前記制御用演算処理装置から出力される信号に基づき前記制御用演算処理装置に異常があると判断される場合、前記制御用演算処理装置をリセットする制御側リセット手段を備えることを特徴とする請求項１〜１０のいずれか１項に記載の車両用電子制御装置。
前記制御用演算処理装置は、前記監視用演算処理装置にウォッチドッグ信号を出力する機能を有し、
前記監視用演算処理装置は、前記制御用演算処理装置から前記ウォッチドッグ信号が出力されないことに基づき前記制御用演算処理装置に異常があると判断することを特徴とする請求項１１記載の車両用電子制御装置。
前記制御用演算処理装置と前記監視用演算処理装置とは、定期的な通信を行うものであり、
前記監視用演算処理装置は、前記定期的な通信に基づき前記制御用演算処理装置の異常の有無を判断することを特徴とする請求項１１または１２記載の車両用電子制御装置。
前記制御用監視装置は、前記制御用演算処理装置から出力される信号に基づき前記制御用演算処理装置に異常があると判断される場合、前記制御用演算処理装置をリセットする手段を備えることを特徴とする請求項１〜１３のいずれか１項に記載の車両用電子制御装置。
前記監視用監視装置は、前記監視用演算処理装置から出力される信号に基づき前記監視用演算処理装置に異常があると判断される場合、前記監視用演算処理装置をリセットする手段を備えることを特徴とする請求項１〜１４のいずれか１項に記載の車両用電子制御装置。
前記制御用演算処理装置および前記監視用演算処理装置は、それぞれ外部に異常を通知することが可能とされることを特徴とする請求項１〜１５のいずれか１項に記載の車両用電子制御装置。
給電の有無にかかわらずデータを保持する記憶手段をさらに備え、
前記監視用演算処理装置は、前記制御用演算処理装置の異常の履歴を前記記憶手段に記憶することを特徴とする請求項１〜１６のいずれか１項に記載の車両用電子制御装置。