JP2014080951A - 車両用制御装置 - Google Patents

Abstract

【課題】記憶装置のうちいずれの記憶領域で異常が発生したかに応じて、適切なフェールセーフ制御を実施可能にした、車両用制御装置を提供する。
【解決手段】車両用制御装置は、記憶装置に記憶された制御情報にしたがって車両の運転状態を制御（車両制御）する車両制御手段と、記憶装置に記憶された監視情報にしたがって車両制御が正常に実行されていることを監視するとともに、その監視結果に基づき車両制御の内容に制限をかける第１監視手段と、記憶装置の異常状態に応じて、車両制御の内容に制限をかける第２監視手段Ｓ２０と、を備える。第２監視手段は、記憶装置のうち制御情報が記憶された第１領域、および第１監視情報が記憶された第２領域のいずれで異常が生じているかを判別する判別手段Ｓ２３と、その判別結果に応じて第２制限の内容を異ならせるフェールセーフ制御手段Ｓ２５と、を有する。
【選択図】図３

Description

本発明は、車両の運転状態を制御する車両用制御装置に関する。

近年の車両では、燃料噴射弁や点火装置等の各種アクチュエータを電子制御して、車両の運転状態を制御することが一般的である。すなわち、制御情報にしたがってＣＰＵ（中央演算処理装置）が燃料噴射量や点火時期等を演算し、その演算結果に基づき各種アクチュエータの作動を制御する。

そして特許文献１には、監視プログラムにしたがって制御情報の異常有無を検査（内部検査）する旨と、これらの監視プログラムおよび制御情報が記憶されたマイクロコンピュータ（メインマイコン）に対して、バックアップマイコンにより異常有無を検査（外部検査）する旨とが記載されている。

特表平１１−５０５５８７号公報

上述した内部検査や外部検査により異常を検知した場合には、各種アクチュエータの制御内容に制限をかけるフェールセーフ制御が要求される。しかしながら、制限をかける機会を増やしたり制限量を大きくしたりすると、制御の信頼性は向上する反面、制御の可用性が著しく低下する。

本発明は、上記問題を鑑みてなされたもので、その目的は、記憶装置のうちいずれの記憶領域で異常が発生したかに応じて、適切なフェールセーフ制御を実施可能にした、車両用制御装置を提供することにある。

開示されたひとつの発明は上記目的を達成するために以下の技術的手段を採用する。なお、特許請求の範囲に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、開示された発明の技術的範囲を限定するものではない。

開示された発明のひとつは、記憶装置に記憶された制御情報にしたがって、車両の運転状態を制御する車両制御手段と、前記記憶装置に記憶された監視情報にしたがって、前記車両制御手段による制御が正常に実行されていることを監視するとともに、その監視結果に基づき前記車両制御手段が実行する制御の内容に制限をかける第１監視手段と、前記記憶装置の異常状態に応じて、前記車両制御手段が実行する制御の内容に制限をかける第２監視手段と、を備えることを前提とする。

そして、前記第２監視手段は、前記記憶装置のうち前記制御情報が記憶された第１領域、および前記第１監視情報が記憶された第２領域のいずれで異常が生じているかを判別する判別手段と、前記判別手段による判別結果に応じて前記第２制限の内容を異ならせるフェールセーフ制御手段と、を有することを特徴とする。

これによれば、制御情報が記憶された第１領域、および監視情報が記憶された第２領域のいずれで異常が生じているかに応じて、車両運転状態にかかる制御（車両制御）に対する第２制限の内容を異ならせる。そのため、例えば、第１領域での異常の場合には厳しい内容の第２制限をかけることで車両制御の信頼性を向上させ、その一方で、第２領域での異常の場合には緩い内容の第２制限をかけることで、車両制御の可用性が低下することを抑制できる。このように、本発明によれば、記憶装置のうちいずれの記憶領域で異常が発生したかに応じて、適切なフェールセーフ制御を実施できるようになる。

本発明の第１実施形態にかかる車両用制御装置を示すブロック図。 図１のモニタプログラムによる、第１ＦＳ制御の手順を示すフローチャート。 図１のレベル３ソフトウェアにより実行される、第３ＦＳ制御の手順を示すフローチャート。 図１のレベル３ソフトウェアにより実行される、ＲＯＭチェック手順を示すフローチャート。 図１のレベル３ソフトウェアにより実行される、ＲＡＭチェック手順を示すフローチャート。 図１のレベル３ソフトウェアにより実行される、インストラクションチェック手順を示すフローチャート。 図１のレベル３ソフトウェアにより実行される、エラー送信処理手順を示すフローチャート。

以下、本発明にかかる車両用制御装置の一実施形態について、図面を参照しつつ説明する。

図１に示す電子制御装置（ＥＣＵ１０）は、車両の運転状態を制御する装置である。具体的には、スロットルバルブや燃料噴射弁、点火装置等の各種アクチュエータを電子制御することで、エンジンの燃焼室へ吸入される吸気量や、燃料噴射量、燃料噴射時期、点火時期等を制御し、ひいてはエンジン出力や排気エミッション等を制御する。例えば、図１に示すスロットルモータ２０は、スロットルバルブを回転駆動させるためのモータであり、ＥＣＵ１０は、車両運転者によるアクセルペダル操作量やエンジン回転速度等に基づきスロットルバルブの開度（スロットル開度）の要求値ＴＨｔｒｇを算出し、その要求値ＴＨｔｒｇにしたがってスロットルモータ２０の作動を制御する。

ＥＣＵ１０は、各種センサからの信号を入力処理する入力装置（図示せず）や、各種アクチュエータへの駆動信号を出力する出力装置（図示せず）、入力処理された信号に基づき演算処理するマイクロコンピュータ（マイコン１０ＭＣ）を備える。マイコン１０ＭＣは、ＣＰＵ１１、１２（中央演算処理装置）、不揮発性メモリであるＲＯＭ１３（記憶装置）および揮発性メモリであるＲＡＭ１４（記憶装置）を有しており、これらのＣＰＵ１１、１２、ＲＯＭ１３およびＲＡＭ１４は、１つの集積回路チップに統合されている。図１に示す例では、マイコン１０ＭＣは２つのＣＰＵ１１、１２を有している。

ＲＯＭ１３には、先述した要求値ＴＨｔｒｇ等の演算をＣＰＵ１１、１２に実行させるためのエンジン制御プログラム（制御情報）や、その演算に必要なエンジン制御定数（制御情報）が記憶されている。また、ＲＡＭ１４には、エンジン制御にかかるＣＰＵ１１、１２の演算に用いられるエンジン制御データ（制御情報）が記憶される。エンジン制御データの具体例としては、エンジン回転速度の検出値や、排気中の酸素濃度の検出値等が挙げられる。なお、このようにエンジン制御を実行している時のマイコン１０ＭＣは、「車両制御手段」に相当する。

さらにＲＯＭ１３には、エンジン制御プログラムにしたがったエンジン制御が正常に実行されていることを監視するためのエンジン制御モニタプログラム（第１監視情報）が記憶されている。このモニタプログラムは、前記監視のための演算をＣＰＵ１１、１２に実行させるためのプログラムである。また、ＲＡＭ１４には、モニタにかかるＣＰＵ１１、１２の演算に用いられるエンジン制御モニタデータ（第１監視情報）が記憶される。

図２のフェールセーフ処理（第１ＦＳ処理Ｓ１０）は、モニタプログラムにしたがって演算するＣＰＵ１１、１２により実行される。なお、この処理を実行している時のマイコン１０ＭＣは「第１監視手段」に相当する。

先ず、図２のステップＳ１１において、先述した各種アクチュエータの要求値（例えばスロットル開度の要求値ＴＨｔｒｇ）を算出する。続くステップＳ１２では、アクチュエータの作動状態を表した検出値を取得する。例えば、図示しない角度センサにより検出されたスロットル開度の値（検出値ＴＨａｃｔ）を取得する。

続くステップＳ１３では、要求値ＴＨｔｒｇと検出値ＴＨａｃｔとの差分の絶対値が規定値以上であるか否かを判定する。規定値以上であれば（Ｓ１３：ＹＥＳ）、続くステップＳ１４において、エンジン制御が正常に為されていない異常状態であるとみなし、異常カウンタの値を１だけ増加させる。

異常状態の具体例としては、先述した各種アクチュエータの故障が原因で、車両の運転状態が指令した制御内容とは異なる内容でアクチュエータが作動し、その結果、エンジン出力や排気エミッション等、車両の運転状態を表す検出値と目標値とのずれが規定値以上になることが挙げられる。或いは、ＲＯＭ１３やＲＡＭ１４の故障が原因で、エンジン制御定数やエンジン制御データが文字化け等により異常値になり、その結果、エンジン出力や排気エミッション等、車両の運転状態を表す検出値と目標値とのずれが規定値以上になることも、具体例として挙げられる。

続くステップＳ１５において、異常カウンタの値が規定数以上であると判定されれば（Ｓ１５：ＹＥＳ）、次のステップＳ１６において、予め設定しておいた第１上限値を超えないように要求値ＴＨｔｒｇの値を制限（第１制限）する。具体的には、ステップＳ１１で算出した要求値が第１上限値を超えている場合には、要求値を第１上限値に補正する。

以上により、マイコン１０ＭＣは、エンジン制御プログラムにしたがってエンジン制御にかかる指令信号をアクチュエータ（スロットルモータ２０）へ出力する通常出力と、第１上限値に制限されたフェールセーフ信号をアクチュエータへ出力するフェールセーフ出力（第１ＦＳ出力）とを実行する。なお、エンジン制御プログラムにしたがって車両の運転状態を制御している時のマイコン１０ＭＣは、車両制御手段として機能する。また、エンジン制御モニタプログラムにしたがってエンジン制御が正常に実行されていることを監視している時のマイコン１０ＭＣは、第１監視手段として機能する。

ここで、アクチュエータの故障が原因で異常状態に陥っている場合には、モニタプログラムによるフェールセーフ制御（第１ＦＳ制御）が正常に機能する。しかし、マイコン１０ＭＣの故障が原因で異常状態に陥っている場合には、フェールセーフ制御が正常に機能しないことが懸念される。この懸念に対し、ＥＣＵ１０は、マイコン１０ＭＣとは別に設けられた監視回路１５（図１参照）を備えることで、第２のフェールセーフ制御（第２ＦＳ制御）の実行を図っている。

監視回路１５は、マイコン１０ＭＣに異常が生じているか否かを監視する。そして、異常を検知した場合に、スロットルモータ２０等の各種アクチュエータに対して、フェールセーフ信号を出力（第２ＦＳ出力）する。これにより、図２の処理が正常に実行されない場合であっても、監視回路１５がアクチュエータの作動に制限をかけるため、前記懸念は解消される。

監視回路１５の構成について、図１を用いて詳細に説明する。監視回路１５は、以下に説明する比較器１５ａ、ＲＯＭメモリチェック装置１５ｂ（異常領域検査装置）、ＲＡＭメモリチェック装置１５ｃ（異常領域検査装置）およびエラーマネジメント装置１５ｄを備える。比較器１５ａは、２つのＣＰＵ１１、１２の演算結果を比較して、両演算結果が一致しているか否かに応じた信号をエラーマネジメント装置１５ｄへ出力する。例えば、同一の処理を２つのＣＰＵ１１、１２に実行させ、互いに演算結果が異なっていれば、少なくとも一方のＣＰＵが故障していると診断できる。

このようにＣＰＵ１１、１２が故障していると診断された場合には、エラーマネジメント装置１５ｄは、その旨のエラー信号を監視ＩＣ１５ｅへ出力する。その場合、監視ＩＣ１５ｅは、スロットルモータ２０等の各種アクチュエータに対して、フェールセーフ信号を出力（第２ＦＳ出力）する。このフェールセーフ制御（第２ＦＳ制御）では、スロットルモータ２０への通電を遮断する等により、マイコン１０ＭＣによるアクチュエータの制御を禁止（シャットダウン）することが望ましい。

ＲＯＭメモリチェック装置１５ｂは、ＲＯＭ１３の故障有無をチェックする。具体的には、ＲＯＭ１３の全ての記憶領域をチェック対象とし、記憶領域の個々のアドレスについて故障有無を順次チェックしていく。ＲＡＭメモリチェック装置１５ｃは、ＲＡＭ１４の故障有無をチェックする。具体的には、ＲＡＭ１４の全ての記憶領域をチェック対象とし、記憶領域の個々のアドレスについて故障有無を順次チェックしていく。これらの装置１５ｂ、１５ｃによれば、ＲＯＭ１３およびＲＡＭ１４の故障有無を診断できるとともに、故障しているアドレスを把握できる。メモリチェック装置１５ｂ、１５ｃは、故障有りと診断されたアドレスがいずれであるかの情報を、エラーマネジメント装置１５ｄへ出力する。

なお、ＲＯＭ１３の記憶領域のうち、制御情報が記憶された第１領域Ｍ１０、Ｍ１１は、連続したアドレスの集合となるように設定されている。また、ＲＯＭ１３の記憶領域のうち、第１監視情報が記憶された第２領域Ｍ１２は、連続したアドレスの集合となるように設定されている。

エラーマネジメント装置１５ｄは、ＲＯＭ１３およびＲＡＭ１４が故障しておらず、かつ、いずれのＣＰＵ１１、１２も異常な値を演算している場合には、マイコン１０ＭＣのバス等の断線異常であると診断する。この場合にも、エラーマネジメント装置１５ｄは、その旨のエラー信号を監視ＩＣ１５ｅへ出力して、マイコン１０ＭＣによるアクチュエータの制御を禁止させる。

メモリチェック装置１５ｂ、１５ｃによりＲＯＭ１３またはＲＡＭ１４に故障有りと診断されると、ＣＰＵ１１、１２が故障と診断されていないことを条件として、エラーマネジメント装置１５ｄは故障有りと診断されたアドレス番号を監視ソフトウェア１６へ出力する。監視ソフトウェア１６はマイコン１０ＭＣが作動することにより実現される機能である。すなわち、ＲＯＭ１３に記憶された故障部位判別プログラム（第２監視情報）にしたがってＣＰＵ１１、１２が図３のＦＳ処理Ｓ２０を実行することにより、第３のフェールセーフ制御（第３ＦＳ制御）が実行される。つまり、エラーマネジメント装置１５ｄは故障有りと診断されたアドレス番号を、マイコン１０ＭＣへ出力しているとも言える。

また、ハードウェアである監視回路１５と監視ソフトウェア１６が第２監視手段に相当する。また、以下の説明では、ＲＯＭ１３およびＲＡＭ１４の記憶領域のうち、制御情報に関する記憶領域Ｍ１０、Ｍ１１、Ｍ２０をレベル１と呼び、第１監視情報に関する記憶領域Ｍ１２、Ｍ２１およびＣＰＵ１１、１２をレベル２と呼び、第２監視情報に関する記憶領域Ｍ１３、Ｍ１４および監視回路１５をレベル３と呼ぶ。つまり、レベル１の異常をレベル２で診断し、レベル２の異常をレベル３で診断するといった、診断の二重化が為されている。

図３の処理は、監視回路１５にて異常が検知されたことをトリガとして実行され、先ず、ステップＳ２１において、監視回路１５（ハードウェア）による異常情報を収集する。すなわち、比較器１５ａによるＣＰＵ１１、１２の診断情報、メモリチェック装置１５ｂ、１５ｃによるＲＯＭ１３とＲＡＭ１４の診断情報、およびバス等の他の診断情報を取得する。

収集した診断情報に基づきマイコン１０ＭＣに異常が有ると判定され（Ｓ２２：ＹＥＳ）、かつ、その異常箇所がＲＯＭ１３またはＲＡＭ１４であると判定された場合（Ｓ２３：ＹＥＳ）には、続くステップＳ２４において、異常発生しているアドレス番号が、第１監視情報に関する記憶領域（レベル２）であるか否かを判定する。レベル２と判定されれば（Ｓ２４：ＹＥＳ）、続くステップＳ２５（フェールセーフ制御手段）において、予め設定しておいた第２上限値を超えないように要求値ＴＨｔｒｇの値を制限する。具体的には、図２のステップＳ１１で算出した要求値が第２上限値を超えている場合には、要求値を第２上限値に補正する。

第２上限値は、第１上限値と同じ値に設定してもよいし、第１上限値よりも緩い制限値（例えばスロットル開度の場合大きい開度）に設定してもよい。ちなみに、アクチュエータへの通電をシャットダウンさせる監視ＩＣ１５ｅによる第２ＦＳ制御では、第１ＦＳ制御および第３ＦＳ制御よりも厳しく制限していると言える。

さらに、監視ソフトウェア１６（レベル３）は、図３のＦＳ処理が正常に実行されているか否かをチェックする機能を有する。この機能は、マイコン１０ＭＣが作動することにより実現される機能である。すなわち、ＲＯＭ１３に記憶されたＲＯＭ／ＲＡＭチェックプログラム（第２監視情報）およびインストラクションチェックプログラムにしたがって、ＣＰＵ１１、１２が図４〜図６のチェック処理Ｓ３０、Ｓ４０、Ｓ５０を実行することにより実行される。

先ず、図４を用いてＲＯＭチェックプログラムによる処理Ｓ３０の手順を説明する。この処理Ｓ３０は、故障部位判別プログラムが記憶されているＲＯＭ１３の記憶領域Ｍ１３の確からしさを検査するものである。はじめに、ステップＳ３１において、故障部位判別プログラムの記憶領域Ｍ１３を対象領域とし、その対象領域のチェックサム値を算出する。続くステップＳ３２では、算出したチェックサム値が規定値と一致するか否かを判定する。一致していないと判定されれば（Ｓ３２：ＮＯ）、監視ソフトウェア１６がエラー状態であるとみなし、続くステップＳ３３にてＲＯＭエラー状態の情報を出力する。具体的には、図７の送信処理Ｓ６０により、ＲＯＭ１３のサムチェック結果を監視ＩＣ１５ｅへ送信する。

次に、図５を用いてＲＡＭチェックプログラムによる処理Ｓ４０の手順を説明する。この処理Ｓ４０は、故障部位判別プログラムが使用するＲＡＭ１４の記憶領域Ｍ１３の確からしさを検査するものである。はじめに、ステップＳ４１において、チェック対象となるＲＡＭ１４の記憶領域Ｍ１３の全てのアドレスのデータを取得する。続くステップＳ４２では、記憶領域Ｍ１３のうちのチェック対象となるアドレスへ、特定のメモリパターンを書き込む。そして、次のステップＳ４３にて同じチェック対象アドレスから改めて値を読み出す。続くステップＳ４４では、書込値と読込値が一致しているか否かを判定する。

一致していないと判定されれば（Ｓ４４：ＮＯ）、監視ソフトウェア１６がエラー状態であるとみなし、続くステップＳ４５にてＲＡＭエラー状態の情報を出力する。具体的には、図７の送信処理Ｓ６０により、ＲＡＭ１４のチェック結果を監視ＩＣ１５ｅへ送信する。一致していると判定された場合（Ｓ４４：ＹＥＳ）、対象メモリの終端に到達したと判定（Ｓ４６：ＹＥＳ）されるまで、ステップＳ４７にてチェック対象アドレスを１つ進める。

次に、図６を用いてインストラクションチェックプログラムによる処理Ｓ５０の手順を説明する。この処理Ｓ５０は、故障部位判別プログラムの挙動について確認するものである。はじめに、ステップＳ５１において、予め用意されたテスト信号の中から使用するテスト信号を選択して出力する。該テスト信号とは、ＣＰＵ１１、１２にテスト演算させるための信号であり、演算の正解値を予め記憶させておく。続くステップＳ５２では、ＣＰＵ１１、１２によるテスト演算結果を読み込む。テスト演算結果が正解値でなければ（Ｓ５３：ＮＯ）、監視ソフトウェア１６がエラー状態であるとみなし、続くステップＳ５４にてエラー状態の情報を出力する。具体的には、図７の送信処理Ｓ６０により、インストラクションチェック結果を監視ＩＣ１５ｅへ送信する。

図７は、監視ソフトウェア１６（つまりマイコン１０ＭＣ）により実行される送信処理Ｓ６０であり、ステップＳ６１、Ｓ６２、Ｓ６３の各々において、チェック処理Ｓ３０、Ｓ４０、Ｓ５０により検知されたエラー状態のデータ（チェック結果）をバッファにコピーし、続くステップＳ６４において、バッファ内のデータを監視ＩＣ１５ｅへ送信する。監視ＩＣ１５ｅは、これらのエラー状態のうち１つでも受信すると、第２ＦＳ出力による第２ＦＳ制御を実施する。なお、図３〜図７の処理Ｓ３０〜Ｓ６０を実行している時のマイコン１０ＭＣは「第２監視手段」に相当する。また、図３〜図６の処理Ｓ３０〜Ｓ５０を実行している時のマイコン１０ＭＣは「モニタ手段」に相当する。

以上により、本実施形態によれば、メモリチェック装置１５ｂ、１５ｃによりＲＯＭ１３およびＲＡＭ１４の異常が検知された場合に、第１監視情報が記憶された第２領域で異常が生じているか否かを判別する（Ｓ２３）。そして、第２領域で異常が生じている場合（Ｓ２４：ＹＥＳ）には、スロットルモータ２０等のアクチュエータに対する要求値が第２上限値を超えないように制限（第３ＦＳ制御）する。その一方で、制御情報が記憶された第１領域で異常が生じている場合には、その異常はモニタプログラムにより検知され（Ｓ１５：ＹＥＳ）、スロットルモータ２０等のアクチュエータに対する要求値が第１上限値を超えないように制限（第１ＦＳ制御）されることとなる。

そのため、制御情報が記憶された第１領域、および監視情報が記憶された第２領域のいずれで異常が生じているかに応じて、車両運転状態にかかる制御（車両制御）に対する第２制限の内容を異ならせる。すなわち、第１領域Ｍ１０、Ｍ１１、Ｍ２０が異常であれば監視ＩＣ１５ｅにより第２ＦＳ制御（シャットダウン）が実行され、第２領域Ｍ１２、Ｍ２１が異常であれば監視ソフトウェア１６（つまりマイコン１０ＭＣ）により第３ＦＳ制御（第２上限値に制限）が実行される。そのため、第１領域Ｍ１０、Ｍ１１、Ｍ２０での異常の場合にはシャットダウンにより車両制御の信頼性を向上させ、その一方で、第２領域Ｍ１２、Ｍ２１での異常の場合には第２上限値に制限することで、車両制御の可用性が低下することを抑制できる。このように、本実施形態によれば、ＲＯＭ１３およびＲＡＭ１４で生じた異常箇所に応じて、適切なフェールセーフ制御を実施できるようになる。

要するに、、レベル１の異常をレベル２で診断し、レベル２の異常をレベル３で診断するといった、診断の二重化を実現するにあたり、レベル３において、レベル２にかかるメモリ異常を検知した場合には、レベル１にかかるメモリ異常を検知した場合に比べて、フェールセーフ制御による制限を緩くする（第３ＦＳ制御）。これにより、車両制御の可用性向上を図る。その一方で、レベル１にかかるメモリ異常を検知した場合には、第３ＦＳ制御に比べて厳しい制限による第２ＦＳ制御を実施することにより、車両制御の信頼性向上を図る。

さらに、以下に列挙する特徴を備えた本実施形態によれば、各々の特徴により以下に説明する作用効果が発揮される。

＜特徴１＞
判別手段が正常に判別を実行しているか否かを監視するモニタ手段Ｓ３０、Ｓ４０、Ｓ５０を備えることを特徴とする。詳細には、判別手段は、故障部位判別プログラム（第２監視情報）にしたがってＣＰＵ１１、１２が実行することで、第１領域Ｍ１０、Ｍ１１、Ｍ２０および第２領域Ｍ１２、Ｍ２１のいずれが異常であるかを判別する監視ソフトウェア１６により実現されており、ＲＯＭ１３、ＲＡＭ１４およびＣＰＵ１１、１２についての異常を監視するモニタ手段Ｓ３０、Ｓ４０、Ｓ５０を備えることを特徴とする。

この特徴によれば、判別手段を監視するモニタ手段を備えるので、判別手段が異常であることに起因して第２制限の設定が不適切になることを回避できる。換言すれば、第２ＦＳ制御および第３ＦＳ制御のいずれを実行するかの選択が不適切になることを回避できる。よって、異常に対する信頼性を多重化でき、フェールセーフ制御の信頼性をより一層向上できる。

＜特徴２＞
第２監視手段は、制御情報または第１監視情報にしたがって演算処理する装置（マイコン１０ＭＣ）とは別に設けられた装置であって、ＲＯＭ１３、ＲＡＭ１４の異常発生領域を検査するメモリチェック装置１５ｂ、１５ｃ（異常領域検査装置）を有し、判別手段は、メモリチェック装置１５ｂ、１５ｃの検査結果に応じて、異常領域がいずれであるかを判別することを特徴とする。

ここで、上記特徴に反して、エンジン制御および第１ＦＳ制御を実行するマイコン１０ＭＣを、ＲＯＭ１３、ＲＡＭ１４の異常発生領域を検査する異常領域検査装置として用いると、該装置に異常が発生した場合、車両制御または第１ＦＳ制御が正常に作動できないことに加え、異常発生領域の検査も正常に実施できない蓋然性が高くなる。すると、第２監視手段にて第２制限を適切に設定することの確実性が低下する。換言すれば、第２ＦＳ制御および第３ＦＳ制御のいずれを実行するかの選択が不適切になる。

これに対し、上記特徴によれば、ＲＯＭ１３、ＲＡＭ１４の異常を第２監視手段が検知してフェールセーフ制御を実施するにあたり、マイコン１０ＭＣとは別に設けられたメモリチェック装置１５ｂ、１５ｃを用いて異常発生領域を検査する。そのため、ＲＯＭ１３、ＲＡＭ１４の異常に対する信頼性を多重化でき、フェールセーフ制御の信頼性をより一層向上できる。

＜特徴３＞
ＲＯＭ１３の記憶領域は、第１領域Ｍ１０、Ｍ１１および第２領域Ｍ１２が連続したアドレスの集合となるように設定されていることを特徴とする。

ここで、上記特徴に反して、第１領域のアドレスと第２領域のアドレスとが混在するように記憶領域を設定すると、第１領域および第２領域のいずれで異常が生じているかを第２監視手段が判別するにあたり、その判別の処理が煩雑になる。これに対し、上記特徴によれば、第１領域および第２領域が連続したアドレスの集合となるように記憶領域が設定されているので、判別手段による判別処理を簡素にでき、判別精度を向上できる。

（第２実施形態）
上述した実施形態では、第２監視情報は、第１監視手段に用いられるＲＯＭ１３、ＲＡＭ１４と同じ記憶装置に記憶されている。これに対し、第２監視情報を、ＲＯＭ１３、ＲＡＭ１４とは別に設けられた記憶装置に記憶させることを特徴としてもよい。

ここで、上記特徴に反して、ＲＯＭ１３、ＲＡＭ１４に第２監視情報も記憶させると、ＲＯＭ１３、ＲＡＭ１４に異常が発生した場合、車両制御手段または第１監視手段が正常に作動できないことに加え、判別手段（第２監視手段）も正常に作動できない蓋然性が高くなる。すると、第２監視手段にて第２制限を適切に設定することの確実性が低下する。

これに対し、上記特徴によれば、ＲＯＭ１３、ＲＡＭ１４とは別に設けられた記憶装置に第２監視情報を記憶させるので、ＲＯＭ１３、ＲＡＭ１４の異常に対する信頼性を多重化でき、フェールセーフ制御の信頼性をより一層向上できる。

（他の実施形態）
本発明は上記実施形態の記載内容に限定されず、以下のように変更して実施してもよい。また、各実施形態の特徴的構成をそれぞれ任意に組み合わせるようにしてもよい。

・上記ＣＰＵ１１、１２、ＲＯＭ１３およびＲＡＭ１４は、１つの集積回路チップに統合されており、１チップマイコン１０ＭＣに設けられている。これに対し、ＣＰＵ１１、１２、ＲＯＭ１３およびＲＡＭ１４の各々を別々の集積回路チップで構成してもよい。

１０ＭＣ…マイコン（車両制御手段）、１１、１２…ＣＰＵ（中央演算処理装置）、１３…ＲＯＭ（記憶装置）、１４…ＲＡＭ（記憶装置）、１５ｂ…ＲＯＭメモリチェック装置（異常領域検査装置）、１５ｃ…ＲＡＭメモリチェック装置（異常領域検査装置）、Ｍ１０、Ｍ１１、Ｍ２０…第１領域、Ｍ１２、Ｍ２１…第２領域、Ｓ１０…第１監視手段、Ｓ２０…第２監視手段、Ｓ２３…判別手段、Ｓ２５…フェールセーフ制御手段、Ｓ３０、Ｓ４０、Ｓ５０…モニタ手段。

Claims (5)

1. 記憶装置（１３、１４）に記憶された制御情報にしたがって、車両の運転状態を制御する車両制御手段（１０ＭＣ）と、
   前記記憶装置に記憶された第１監視情報にしたがって、前記車両制御手段による制御が正常に実行されていることを監視し、その監視により異常が検知された場合には前記車両制御手段が実行する制御の内容に第１制限をかける第１監視手段（Ｓ１０）と、
   前記記憶装置の異常状態に応じて、前記車両制御手段が実行する制御の内容に第２制限をかける第２監視手段（Ｓ２０、Ｓ３０、Ｓ４０、Ｓ５０、Ｓ６０）と、
   を備え、
   前記第２監視手段は、
   前記記憶装置のうち前記制御情報が記憶された第１領域（Ｍ１０、Ｍ１１、Ｍ２０）、および前記第１監視情報が記憶された第２領域（Ｍ１２、Ｍ２１）のいずれで異常が生じているかを判別する判別手段（Ｓ２３）と、
   前記判別手段による判別結果に応じて前記第２制限の内容を異ならせるフェールセーフ制御手段（Ｓ２５）と、
   を有することを特徴とする車両用制御装置。
2. 前記判別手段が正常に判別を実行しているか否かを監視するモニタ手段（Ｓ３０、Ｓ４０、Ｓ５０）を備えることを特徴とする請求項１に記載の車両用制御装置。
3. 前記第２監視手段は、前記制御情報または前記第１監視情報にしたがって演算処理する装置とは別に設けられた装置であって、前記記憶装置の異常発生領域を検査する異常領域検査装置（１５ｂ、１５ｃ）を有し、
   前記判別手段は、前記異常領域検査装置の検査結果に応じて前記判別を実行することを特徴とする請求項１または２に記載の車両用制御装置。
4. 前記記憶装置の記憶領域は、前記第１領域および前記第２領域が連続したアドレスの集合となるように設定されていることを特徴とする請求項１〜３のいずれか１つに記載の車両用制御装置。
5. 前記判別手段は、第２監視情報にしたがって中央演算処理装置（１１、１２）が前記判別の演算を実行するものであり、
   前記第２監視情報は、前記記憶装置とは別に設けられた記憶装置に記憶されていることを特徴とする請求項１〜４のいずれか１つに記載の車両用制御装置。

Images