JP2013242268A - フェイルセーフ制御装置 - Google Patents

Abstract

【課題】フェイルセーフ制御装置において、メモリの故障診断およびフェイルセーフ制御が実行できなくなる懸念を低減させる。
【解決手段】故障診断の対象となる診断対象メモリ（ＲＯＭ４１）と、診断対象メモリとは別体の別メモリ（ＲＡＭ４２）と、を備える。そして、以下の診断プログラム（ＲＯＭ診断プログラムＰ４）およびフェイルセーフプログラム（ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５）を、別メモリに記憶させておく。すなわち、診断プログラムは、診断対象メモリについての故障診断を実行するためのプログラムである。また、フェイルセーフプログラムは、前記故障診断により故障有りと診断された場合のフェイルセーフ制御を実行するためのプログラムである。
【選択図】図１

Description

本発明は、メモリの故障を診断する機能を有したフェイルセーフ制御装置に関する。

従来、メモリに記憶された診断プログラムを実行して、メモリの故障有無を自己診断する手法がある。しかし、この手法では、メモリの全領域のうち診断プログラムが記憶された領域に故障が生じた場合には、診断プログラムを正常に実行できなくなり、診断不可となる。

そこで特許文献１には、メモリを２つの領域ＡＢに分けて故障診断する手法が開示されている。すなわち、一方の領域Ａに記憶された診断プログラムにより他方の領域Ｂについて診断し、他方の領域Ｂに記憶された診断プログラムにより一方の領域Ａについて診断する。

特開２０００−６５６９２号公報

しかしながら、特許文献１記載の診断手法であっても、両方のメモリ領域ＡＢに跨って故障が生じた場合には、いずれの診断プログラムも実行できなくなる。また、メモリ故障時にはフェイルセーフ（以下、Ｆ／Ｓと記載）プログラムを実行させて、車両をＦ／Ｓ制御することが要求されるが、メモリの故障箇所がＦ／Ｓプログラムの記憶領域であると、メモリ故障を診断できたとしてもＦ／Ｓ制御が実行できない。

本発明は、上記問題を鑑みてなされたもので、その目的は、メモリの故障診断およびフェイルセーフ制御が実行できなくなるおそれを低減させた、フェイルセーフ制御装置を提供することにある。

上記目的を達成する発明は以下の点を特徴とする。すなわち、故障診断の対象となる診断対象メモリと、前記診断対象メモリとは別体の別メモリと、を備える。そして、前記別メモリには、前記故障診断を実行するための診断プログラムと、前記故障診断により故障有りと診断された場合に実行されるプログラムであって、故障なしと診断されている場合に比べて安全側に車両を制御するＦ／Ｓ制御を実行するためのＦ／Ｓプログラムと、が記憶されていることを特徴とする。

上記発明によれば、診断プログラムおよびＦ／Ｓプログラムを、診断対象メモリとは別体の別メモリに記憶させるので、診断対象メモリに生じた故障の箇所や範囲に拘わらず、診断プログラムによる故障診断およびＦ／ＳプログラムによるＦ／Ｓ制御の実行が可能となる。換言すれば、上記発明において診断対象メモリと別メモリが同時に故障する可能性は、特許文献１記載の２つのメモリ領域ＡＢが同時に故障する可能性よりも低いため、メモリの故障診断およびＦ／Ｓ制御が実行できなくなるおそれを低減できる。

本発明の第１実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。 第１実施形態において、図１のマイコンにより実施されるメイン処理のフローチャート。 図２に示すＥＣＵ制御処理（Ｉｎｉｔｉａｌ）のフローチャート。 図２に示すＲＯＭ診断処理のフローチャート。 本発明の第２実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。 第２実施形態によるＥＣＵ制御処理（Ｉｎｉｔｉａｌ）のフローチャート。 本発明の第３実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。 第３実施形態によるＥＣＵ制御処理（Ｉｎｉｔｉａｌ）のフローチャート。 本発明の第４実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。 第４実施形態によるＥＣＵ制御処理（Ｉｎｉｔｉａｌ）のフローチャート。 本発明の第５実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。 本発明の第６実施形態にかかるＦ／Ｓ制御装置の構成を示すブロック図。

以下、本発明にかかるＦ／Ｓ制御装置の各実施形態について、図面を参照しつつ説明する。なお、以下の各実施形態相互において、互いに同一もしくは均等である部分には、図中、同一符号を付しており、同一符号の部分についてはその説明を援用する。

（第１実施形態）
図１に示す電子制御装置（ＥＣＵ１０）は、車両に搭載されたエンジンを制御するものであり、例えば、内燃機関に備えられた燃料噴射弁や、点火装置、スロットルバルブ等のアクチュエータを、各種センサの検出値に基づき制御する。

ＥＣＵ１０に備えられたマイクロコンピュータ（マイコン２０）は、中央演算処理装置（ＣＰＵ３０）およびメモリ装置４０を有して構成されており、メモリ装置４０に記憶されているエンジン制御プログラムにしたがってＣＰＵ３０が演算処理することにより、前記アクチュエータに対する制御指令値が演算される。そして、演算した制御指令値にしたがってアクチュエータを作動させることにより、エンジン出力および排気エミッションが所望の状態となるよう、エンジンの作動が制御される。

メモリ装置４０には、不揮発性メモリであるＲＯＭ４１およびデータフラッシュメモリ（ＤＦメモリ４３）と、揮発性メモリであるＲＡＭ４２が備えられている。ちなみに、ＲＯＭ４１は書き換え不可のメモリであるのに対し、ＤＦメモリ４３およびＲＡＭ４２は書き換え可能である。

ＲＯＭ４１には、以下に説明するＥＣＵ制御プログラムＰ１、フェイルセーフ（Ｆ／Ｓ）プログラムＰ２、およびＤＦ・ＲＡＭ診断プログラムＰ３が記憶されている。また、ＤＦメモリ４３には、以下に説明するＲＯＭ診断プログラムＰ４、およびＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５が記憶されている。なお、ＥＣＵ１０へ供給される電力の電圧が所定値未満に低下すると、ＲＯＭ４１およびＤＦメモリ４３の記憶内容は揮発することなく保持されるのに対し、ＲＡＭ４２の記憶内容は揮発して消去される。

ＥＣＵ制御プログラムＰ１は、先述したエンジン制御用プログラムを含む、車載アクチュエータを制御するためのプログラムであり、ＣＰＵ３０により所定周期で繰り返し実行される。これにより、先述したエンジン出力等が制御される。

Ｆ／ＳプログラムＰ２は、車載アクチュエータの異常が検出された場合や、各種ハーネスの断線、短絡が検出された場合等、メモリ装置４０以外の部位で故障が検出された場合に実行するＦ／Ｓ制御のためのプログラムである。このＦ／ＳプログラムＰ２がＣＰＵ３０により実行されると、先述したエンジン出力に制限をかける等、故障が検出されていない場合に比べて安全側に車両をＦ／Ｓ制御する。

ＤＦ・ＲＡＭ診断プログラムＰ３は、ＤＦメモリ４３について故障有無を診断するＤＦ診断、およびＲＡＭ４２について故障有無を診断するＲＡＭ診断を実行するためのプログラムである。ＲＯＭ診断プログラムＰ４は、ＲＯＭ４１について故障有無を診断するＲＯＭ診断を実行するためのプログラムである。

後述するように、ＤＦメモリ４３に記憶されているＲＯＭ診断プログラムＰ４はＲＡＭ４２に転送されるが、その転送に先立ち、ＤＦ・ＲＡＭ診断プログラムＰ３はＣＰＵ３０により実行される。ＤＦ診断およびＲＡＭ診断により故障が検出されなければ、前記転送を実施し、ＲＡＭ４２に記憶されたＲＯＭ診断プログラムＰ４にしたがってＣＰＵ３０は所定周期でＲＯＭ診断を実行する。

ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５は、ＲＯＭ診断によりＲＯＭ４１が故障していると診断された場合に実行するＲＯＭ異常時Ｆ／Ｓ制御のためのプログラムである。このＲＯＭ異常時Ｆ／ＳプログラムＰ５がＣＰＵ３０により実行されると、先述したエンジン出力に制限をかける等、故障が検出されていない場合に比べて安全側に車両をＦ／Ｓ制御する。

Ｆ／Ｓ制御プログラムＰ２は、異常個所や異常内容に応じて異なる内容のＦ／Ｓ制御を実施させるものであるのに対し、ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５は、異常個所がＲＯＭ４１に特定されているので、例えば車両を停止させる等、特定の内容のＦ／Ｓ制御を実施させる。したがって、ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５はＲＯＭ異常時に特化したプログラムであるため、Ｆ／Ｓ制御プログラムＰ２に比べて簡素なプログラムであり、必要となるメモリ容量も小さい。なお、上述したＤＦ診断、ＲＡＭ診断およびＲＯＭ診断では、周知のサムチェック、パリティチェック、巡回冗長検査等を実施する。

図２に示すメイン処理は、イグニッションスイッチがオン操作される等によりＥＣＵ１０に電力供給されたことをトリガとして、マイコン２０により実行される。先ず、ステップＳ１０において、ＥＣＵ制御プログラムＰ１によるイニシャル処理が実行される。その後、ステップＳ２０において、ＥＣＵ制御プログラムＰ１によるベース処理が実行され、先述したエンジン制御等、各種アクチュエータの作動が制御される。

続くステップＳ３０では、ＲＯＭ診断プログラムＰ４によるＲＯＭ診断が実行される。なお、ステップＳ１０のイニシャル処理はメイン処理の起動時に１回実施され、その後、ステップＳ２０のベース処理およびステップＳ３０のＲＯＭ診断が所定周期で繰り返し実行される。

以下、ステップＳ１０のイニシャル処理およびステップＳ３０のＲＯＭ診断処理の詳細について、図３および図４を用いて説明する。

ステップＳ１０のイニシャル処理が実行されると、図３のステップＳ１１において、ＤＦ・ＲＡＭ診断プログラムＰ３によるＤＦ診断およびＲＡＭ診断が実行される。これらの診断により異常発生が検出されなかった場合（Ｓ１２：ＮＯ）には、ＤＦメモリ４３に記憶されているプログラムＰ４、Ｐ５は正常な状態であり、かつ、これらのプログラムＰ４、Ｐ５をＲＡＭ４２へ正常に転送できるとみなす。そして、ステップＳ１３（転送手段）にてＲＯＭ診断プログラムＰ４をＲＡＭ４２へ転送するとともに、ステップＳ１４（転送手段）にてＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５をＲＡＭ４２へ転送する。当該転送が完了すると、続くステップＳ１５にてＲＡＭ転送フラグをオンに設定する。

一方、ＤＦ診断およびＲＡＭ診断の少なくとも一方で異常発生が検出された場合（Ｓ１２：ＹＥＳ）には、ステップＳ１６において、ＲＯＭ４１に記憶されているＦ／Ｓ制御プログラムにしたがってＦ／Ｓ制御を実行する。そして、続くステップＳ１７にてＲＡＭ転送フラグをオフに設定する。

ステップＳ３０のイニシャル処理が実行されると、図３のステップＳ３１にてＲＡＭ転送フラグがオンに設定されていると判定（Ｓ３１：ＹＥＳ）されたことを条件として、ステップＳ３２に進み、ＲＡＭ４２に転送されたＲＯＭ診断プログラムＰ４を実行させてＲＯＭ診断を実施する。このＲＯＭ診断により異常発生が検出された場合（Ｓ３３：ＹＥＳ）には、ステップＳ３４において、ＲＡＭ４２に転送されたＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５を実行させてＲＯＭ診断を実施する。

なお、ＲＡＭ転送フラグがオフに設定されていた場合（Ｓ３１：ＮＯ）には、ステップＳ３２によるＲＯＭ診断を実施することなく図４の処理を終了する。また、ＲＯＭ診断により異常発生が検出されなかった場合（Ｓ３３：ＮＯ）には、ステップＳ３４によるＲＯＭ異常時Ｆ／Ｓ制御を実施することなく図４の処理を終了する。

以上により、本実施形態によれば、診断プログラム（ＲＯＭ診断プログラムＰ４）を、診断対象メモリ（ＲＯＭ４１）とは別体の別メモリ（ＲＡＭ４２）に転送して記憶させる。そのため、ＲＯＭ４１に生じた故障の箇所や範囲に拘わらず、ＲＯＭ診断プログラムＰ４による故障診断を実行できる。また、Ｆ／Ｓプログラム（ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５）をＲＡＭ４２に転送して記憶させるので、ＲＯＭ４１に生じた故障の箇所や範囲に拘わらず、ＲＯＭ診断によりＲＯＭ故障が検出された場合にはＲＯＭ異常時Ｆ／Ｓ制御を実行できる。

さらに本実施形態によれば、以下に列挙する効果も発揮される。

・診断対象メモリ（ＲＯＭ４１）を有するマイコン２０の内部に設けられたＲＡＭ４２に、上記プログラムＰ４、Ｐ５を転送して記憶させるので、マイコン２０がこれらのプログラムＰ４、Ｐ５を読み込んで実行するにあたり、マイコン２０の内部処理にて実行できる。よって、プログラムＰ４、Ｐ５の読み込みに要する時間を短くできるとともに、マイコン２０の処理負荷軽減をも図ることができる。

・ここで、ＣＰＵ３０は不揮発性メモリ（ＤＦメモリ４３）にアクセスするよりも揮発性メモリ（ＲＡＭ４２）にアクセスした方が、ＣＰＵ３０の処理速度が速く、処理負荷も小さい。この点を鑑み、本実施形態では、別メモリに揮発性メモリ（ＲＡＭ４２）を採用し、不揮発性の転送元メモリ（ＤＦメモリ４３）に記憶されている上記プログラムＰ４、Ｐ５をＲＡＭ４２に転送する。そして、ＣＰＵ３０はＲＡＭ４２にアクセスして上記プログラムＰ４、Ｐ５を実行するので、ＣＰＵ３０の処理負荷を軽減できる。

・ここで、転送元メモリ（ＤＦメモリ４３）や転送先の別メモリ（ＲＡＭ４２）が故障していると、上記プログラムＰ４、Ｐ５をＲＡＭ４２に転送するにあたり、正常に転送できる蓋然性が低くなる。この点を鑑み、本実施形態では、転送手段（Ｓ１３、Ｓ１４）による転送を実施するに先立ち、ＤＦメモリ４３およびＲＡＭ４２を故障診断する転送前診断手段（Ｓ１１）を備える。そのため、プログラムＰ４、Ｐ５を正常に転送できる蓋然性を高めることができ、ＲＯＭ診断およびＲＯＭ異常時Ｆ／Ｓ制御が正常に実施されなくなるおそれを低減できる。

・診断対象メモリ（ＲＯＭ４１）を有するマイコン２０の内部に設けられたメモリ（ＤＦメモリ４３）を、転送元メモリとして利用する。そのため、転送元メモリから別メモリ（ＲＡＭ４２）へ上記プログラムＰ４、Ｐ５を転送する処理をＣＰＵ３０が実行するにあたり、その転送処理負荷を軽減できる。

（第２実施形態）
図５に示す本実施形態では、診断対象メモリ（ＲＯＭ４１）を有するマイコン２０の外部に設けられたメモリ（ＥＥＰＲＯＭ５０）を、転送元メモリとして利用する。ＥＥＰＲＯＭ５０は不揮発性かつ書き換え可能のメモリであり、本実施形態では、マイコン２０の外部かつＥＣＵ１０の内部にＥＥＰＲＯＭ５０を設けている。なお、「ＥＥＰＲＯＭ」は登録商標である。ＥＥＰＲＯＭ５０にはＲＯＭ診断プログラムＰ４およびＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５が予め記憶されており、マイコン２０は、ＥＥＰＲＯＭ５０とシリアル通信することで、これらのプログラムＰ４、Ｐ５をＥＥＰＲＯＭ５０からＲＡＭ４２へ転送する。

なお、上記第１実施形態にてＲＯＭ４１に記憶されていたＤＦ・ＲＡＭ診断プログラムは、本実施形態ではＥＥＰＲＯＭ・ＲＡＭ診断プログラムＰ３ａに変更されている。つまり、ＤＦ診断に替えて、ＥＥＰＲＯＭ５０について故障有無を診断するＥＥＰＲＯＭ診断を実行する。

また、本実施形態では、上記第１実施形態にかかる図３の処理に替えて、図６の処理を実施している。すなわち、先ず図６のステップＳ１１ａにおいて、ＥＥＰＲＯＭ・ＲＡＭ診断プログラムＰ３ａによるＥＥＰＲＯＭ診断およびＲＡＭ診断が実行される。

これらの診断により異常発生が検出されなかった場合（Ｓ１２ａ：ＮＯ）には、ＥＥＰＲＯＭ５０に記憶されているプログラムＰ４、Ｐ５は正常な状態であり、かつ、これらのプログラムＰ４、Ｐ５をＲＡＭ４２へ正常に転送できるとみなす。そして、ステップＳ１３、Ｓ１４において、ＥＥＰＲＯＭ５０に記憶されているＲＯＭ診断プログラムＰ４およびＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５を、ＲＡＭ４２へ転送する。当該転送が完了すると、続くステップＳ１５にてＲＡＭ転送フラグをオンに設定する。

一方、ＥＥＰＲＯＭ診断およびＲＡＭ診断の少なくとも一方で異常発生が検出された場合（Ｓ１２ａ：ＹＥＳ）には、ステップＳ１６において、ＲＯＭ４１に記憶されているＦ／Ｓ制御プログラムにしたがってＦ／Ｓ制御を実行する。そして、続くステップＳ１７にてＲＡＭ転送フラグをオフに設定する。

ここで、マイコン２０の内部に設けられたメモリ（例えばＤＦメモリ４３）がＲＯＭ４１と同時に故障する可能性に比べて、マイコン２０の外部に設けられたメモリ（例えばＥＥＰＲＯＭ５０）がＲＯＭ４１と同時に故障する可能性は低い。この点を鑑みた本実施形態では、マイコン２０の外部に設けられたメモリ（ＥＥＰＲＯＭ５０）を、転送元メモリとして利用するので、ＥＥＰＲＯＭ５０がＲＯＭ４１と同時に故障することによりＲＯＭ診断、ＥＥＰＲＯＭ診断およびＲＡＭ診断が実施できなくなるおそれを低減できる。

（第３実施形態）
図７に示す本実施形態では、診断対象メモリ（ＲＯＭ４１）を転送元メモリとして利用する。また、マイコン２０にはメイン電源回路１１から電力供給されるのに対し、ＲＡＭ４２にはバックアップ電源回路１２（バックアップ手段）からもバックアップ電力が供給可能である。そのため、イグニッションスイッチをオフ操作してマイコン２０への電力供給をオフさせた場合であっても、ＲＡＭ４２にはバックアップ電力が供給され、ＲＡＭ４２に記憶されているプログラムＰ４、Ｐ５は記憶保持される。

ＲＯＭ４１にはＲＯＭ診断プログラムＰ４およびＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５が予め記憶されており、マイコン２０は、これらのプログラムＰ４、Ｐ５をＲＯＭ４１からＲＡＭ４２へ転送する。

なお、上記第１実施形態にてＲＯＭ４１に記憶されていたＤＦ・ＲＡＭ診断プログラムを、本実施形態ではＲＡＭ診断プログラムＰ３ｂに変更している。また、本実施形態では、上記第１実施形態にかかる図３の処理に替えて、図８の処理を実施している。すなわち、先ず図８のステップＳ１１ｂにおいて、ＲＡＭ診断プログラムＰ３ｂによるＲＡＭ診断が実行される。この診断により異常発生が検出されなかった場合（Ｓ１２ｂ：ＮＯ）には、続くステップＳ１２ｂ（揮発判定手段）において、ＲＡＭ４２が揮発して上記プログラムＰ４、Ｐ５が記憶されていない揮発状態であるか否かを判定する。そして、揮発状態であると判定（Ｓ１２ｃ：ＹＥＳ）されたことを条件として、ステップＳ１３、Ｓ１４による転送処理を実施する。

以上により、本実施形態によれば、診断対象メモリ（ＲＯＭ４１）を転送元メモリとして用いるので、図５に示すＥＥＰＲＯＭ５０や図１に示すＤＦメモリ４３等の転送元メモリを、ＲＯＭ４１とは別に新規に設けることを不要にできる。

また、本実施形態によれば、バックアップ電力をＲＡＭ４２に供給しているので、転送処理を一度実施すれば、バックアップ電力が停止して揮発状態になるまでは転送処理を不要にできる。よって、転送処理の回数を減らすことができ、ＣＰＵ３０の転送処理負荷を軽減できる。

（第４実施形態）
図９に示す本実施形態は、上記第３実施形態の変形例であり、図７に示すバックアップ電源回路１２を廃止した構成である。また、本実施形態では、上記第３実施形態にかかる図８の処理に替えて、図１０の処理を実施している。すなわち、先ず図１０８のステップＳ１１ｂにおいて、ＲＯＭ診断プログラムＰ４によるＲＯＭ診断、およびＲＡＭ診断プログラムＰ３ｂによるＲＡＭ診断が実行される。この診断により異常発生が検出されなかった場合（Ｓ１２ｂ：ＮＯ）には、ステップＳ１３、Ｓ１４による転送処理を実施し、異常発生が検出された場合（Ｓ１２ｂ：ＹＥＳ）には、ステップＳ１６によるＦ／Ｓ制御を実行する。

（第５実施形態）
上記各実施形態では、マイコン２０を備えたＥＣＵ１０内部に設けられたメモリを転送元メモリとして用いているのに対し、図１１に示す本実施形態では、外部のＥＣＵ１０Ａ、１０Ｂに設けられたメモリを転送元メモリとして用いている。また、図１１の例では、通信バス６０を介して接続された第１ＥＣＵ１０Ａおよび第２ＥＣＵ１０Ｂの相互で、ＲＯＭ診断プログラムおよびＲＯＭ異常時Ｆ／Ｓ制御プログラムを転送しあっている。

具体的に説明すると、第１ＥＣＵ１０Ａが有するマイコン２０Ａは、第１ＣＰＵ３０Ａ、第１ＲＯＭ４１Ａおよび第１ＲＡＭ４２Ａを備え、第２ＥＣＵ１０Ｂが有するマイコン２０Ｂは、第２ＣＰＵ３０Ｂ、第２ＲＯＭ４１Ｂおよび第２ＲＡＭ４２Ｂを備える。なお、第１ＲＯＭ４１Ａおよび第２ＲＯＭ４１Ｂは診断対象メモリに相当し、第１ＲＡＭ４２Ａおよび第２ＲＡＭ４２Ｂは別メモリに相当する。

第１ＲＯＭには、第２ＲＡＭの故障を診断する第２ＲＡＭ診断プログラムＰ３Ａ、第２ＲＯＭの故障を診断する第２ＲＯＭ診断プログラムＰ４Ａ、および第２ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５Ａが記憶されている。そして、第１ＣＰＵ３０Ａは、第２ＲＡＭ診断プログラムＰ３Ａによる診断を実施し、当該診断で故障が検出されなかったことを条件として、第２ＲＯＭ診断プログラムＰ４Ａおよび第２ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５Ａを、第１ＲＯＭ４１Ａから第２ＲＡＭ４２Ｂへ転送する。

同様にして、第２ＣＰＵ３０Ｂは、第１ＲＡＭ診断プログラムＰ３Ｂによる診断を実施し、当該診断で故障が検出されなかったことを条件として、第１ＲＯＭ診断プログラムＰ４Ｂおよび第１ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５Ｂを、第２ＲＯＭ４１Ｂから第１ＲＡＭ４２Ａへ転送する。

ここで、図５に示すＥＣＵ１０において、ＥＣＵ１０の内部に設けられたメモリ（例えばＥＥＰＲＯＭ５０）がＲＯＭ４１と同時に故障する可能性に比べて、図１１に示す第１ＥＣＵ１０Ａと第２ＥＣＵ１０Ｂが同時に故障する可能性は低い。この点を鑑みた本実施形態では、外部のＥＣＵに設けられたメモリ（第１ＲＯＭ４１Ａまたは第２ＲＯＭ４１Ｂ）を、転送元メモリとして利用するので、第２ＲＯＭ診断プログラムＰ４Ａ、Ｐ４Ｂおよび第２ＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５Ａ、Ｐ５Ｂが転送できなくなるおそれを低減できる。

（第６実施形態）
図１２に示す本実施形態では、同一のＥＣＵ１０内に設けられた異なるマイコン２０Ａ、２０Ｂに設けられたメモリを転送元メモリとして用いている。また、図１２の例では、第１マイコン２０Ａおよび第２マイコン２０Ｂの相互で、ＲＯＭ診断プログラムおよびＲＯＭ異常時Ｆ／Ｓ制御プログラムを転送しあっている。

なお、第１ＲＯＭ４１Ａおよび第２ＲＯＭ４１Ｂは診断対象メモリに相当し、第１ＲＡＭ４２Ａおよび第２ＲＡＭ４２Ｂは別メモリに相当する。そして、上記第５実施形態と同様にして、ＲＯＭ診断プログラムＰ４Ａ、Ｐ４Ｂ、およびＲＯＭ異常時Ｆ／Ｓ制御プログラムＰ５Ａ、Ｐ５Ｂを相互に転送しあっている。

（他の実施形態）
本発明は上記実施形態の記載内容に限定されず、以下のように変更して実施してもよい。また、各実施形態の特徴的構成をそれぞれ任意に組み合わせるようにしてもよい。

・上記各実施形態において「別メモリが診断対象メモリと別体」とは、別メモリと診断対象メモリとはパッケージが別のＩＣメモリという意味であり、１つのＩＣメモリ内の異なる記憶領域を別メモリと診断対象メモリとして設定する構成を除外する意味である。但し、このような上記各実施形態の診断手法を、先行技術文献１の診断手法と組み合わせても良い。すなわち、診断対象メモリを２つの記憶領域に分けて相互に故障診断する手法を採用しつつ、上記各実施形態に記載の如く別メモリに記憶されたＲＯＭ診断プログラムＰ４を実行してもよい。

・上記各実施形態では、転送元メモリおよび別メモリの両方について転送前診断を実施しているが、一方のメモリについて転送前診断を実施するようにしてもよいし、転送前診断を廃止して省略するようにしてもよい。

・上記各実施形態では、不揮発性の転送元メモリ（４３、５０、４１、４１Ａ、４１Ｂ）に記憶されているＦ／Ｓプログラムおよび診断プログラムを、揮発性の別メモリ（４２、４２Ａ、４２Ｂ）に転送しているが、別メモリに不揮発性のメモリを採用し、前記転送を廃止するようにしてもよい。例えば、図１の構成においてＤＦメモリ４３を別メモリとして採用し、ＤＦメモリ４３からＲＡＭ４２への転送を廃止し、ＤＦメモリ４３に記憶されているＦ／Ｓプログラムおよび診断プログラムをそのまま実行させてもよい。

４１、４１Ａ、４１Ｂ…ＲＯＭ（診断対象メモリ）、４２、４２Ａ、４２Ｂ…ＲＡＭ（別メモリ）、Ｐ４、Ｐ４Ａ、Ｐ４Ｂ…ＲＯＭ診断プログラム（診断プログラム）、Ｐ５、Ｐ５Ａ、Ｐ５Ｂ…ＲＯＭ異常時Ｆ／Ｓ制御プログラム（フェイルセーフプログラム）。

Claims (8)

1. 故障診断の対象となる診断対象メモリ（４１、４１Ａ、４１Ｂ）と、
   前記診断対象メモリとは別体の別メモリ（４２、４２Ａ、４２Ｂ）と、
   を備え、
   前記別メモリには、
   前記故障診断を実行するための診断プログラム（Ｐ４、Ｐ４Ａ、Ｐ４Ｂ）と、
   前記故障診断により故障有りと診断された場合に実行されるプログラムであって、故障なしと診断されている場合に比べて安全側に車両を制御するフェイルセーフ制御を実行するためのフェイルセーフプログラム（Ｐ５、Ｐ５Ａ、Ｐ５Ｂ）と、
   が記憶されていることを特徴とするフェイルセーフ制御装置。
2. 前記別メモリは、前記診断対象メモリを有するマイクロコンピュータ（２０、２０Ａ、２０Ｂ）の内部に設けられたメモリであることを特徴とする請求項１に記載のフェイルセーフ制御装置。
3. 前記別メモリは揮発性メモリであり、
   不揮発性の転送元メモリ（４３、５０、４１、４１Ａ、４１Ｂ）に記憶されている前記フェイルセーフプログラムおよび前記診断プログラムを、前記別メモリに転送する転送手段（Ｓ１３、Ｓ１４）を備えることを特徴とする請求項２に記載のフェイルセーフ制御装置。
4. 前記転送手段による転送を実施するに先立ち、前記転送元メモリおよび前記別メモリの少なくとも一方を故障診断する転送前診断手段（Ｓ１１、Ｓ１１ａ、Ｓ１１ｂ）を備えることを特徴とする請求項３に記載のフェイルセーフ制御装置。
5. 前記マイクロコンピュータへの電力供給を停止させている時に、前記別メモリへバックアップ電力を供給するバックアップ手段（１２）と、
   前記フェイルセーフプログラムおよび前記診断プログラムが前記別メモリに記憶されていない揮発状態であるか否かを判定する揮発判定手段（Ｓ１２ｃ）と、
   を備え、
   前記揮発状態であると判定されている場合に、前記転送手段による転送を実施することを特徴とする請求項３または４に記載のフェイルセーフ制御装置。
6. 前記転送元メモリ（４３、４１）は、前記マイクロコンピュータの内部に設けられたメモリであることを特徴とする請求項３〜５のいずれか１つに記載のフェイルセーフ制御装置。
7. 前記診断対象メモリ（４１）が前記転送元メモリとして用いられていることを特徴とする請求項６に記載のフェイルセーフ制御装置。
8. 前記転送元メモリ（５０、４１Ａ、４１Ｂ）は、前記マイクロコンピュータの外部に設けられたメモリであることを特徴とする請求項３〜５のいずれか１つに記載のフェイルセーフ制御装置。

Images