JP2018097442A

JP2018097442A - Electronic controller

Info

Publication number: JP2018097442A
Application number: JP2016238965A
Authority: JP
Inventors: 良倉光; Makoto Kuramitsu
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2016-12-09
Filing date: 2016-12-09
Publication date: 2018-06-21
Anticipated expiration: 2036-12-09
Also published as: JP6668226B2

Abstract

PROBLEM TO BE SOLVED: To provide a controller that comprises a main CPU and a monitor IC and has means for identifying that the main CPU is in a boot mode when an error signal is generated from the main CPU.SOLUTION: An electronic controller 1 identifies that a main CPU is in a boot mode even when an error notice 11 from a main CPU 2 is generated, and a reset output 13 of a monitor IC 3 does not reset the main CPU 2.SELECTED DRAWING: Figure 2

Description

本発明は、ＩＳＯ２６２６２に代表される機能安全を有するプロセッサを持つ電子制御装置における、プログラム書き込み方法に関する。 The present invention relates to a program writing method in an electronic control device having a processor having functional safety represented by ISO 26262.

従来のプロセッサ（ＣＰＵ）を用いた車載用電子制御装置では、車両に搭載した制御対象（例えば、エンジンや自動変速機等）の制御を担うメインＣＰＵを、サブＣＰＵ等の監視部によって監視することで、電子制御装置の機能安全性を保証するようにしている。例えば、特許文献１にあるメインＣＰＵのプログラムの暴走などによる不正な動作を検出する機構である、ウォッチドッグタイマ（ＷＤＴ）などがある。 In a vehicle-mounted electronic control device using a conventional processor (CPU), a main CPU responsible for controlling a control target (for example, an engine or an automatic transmission) mounted on a vehicle is monitored by a monitoring unit such as a sub CPU. Therefore, the functional safety of the electronic control device is guaranteed. For example, there is a watch dog timer (WDT) which is a mechanism for detecting an illegal operation due to a program runaway of the main CPU disclosed in Patent Document 1.

また近年、車載電子機器等の機能安全規格として、国際標準化機構のＩＳＯ２６２６２が、注目を集めている。ＩＳＯ２６２６２では、車載電子機器の構成要素であるマイコン（例えばメインＣＰＵ）等に故障が発生したとしても、機能的な工夫を施すことによって最低限の許容可能な安全を確保する、フェールセーフ制御が求められている。例えば、故障が発生したとしても、故障が発生してから予め定められた期間内で故障を検出することなどが挙げられる。 In recent years, ISO 26262 of the International Organization for Standardization has attracted attention as a functional safety standard for in-vehicle electronic devices and the like. ISO 26262 requires fail-safe control that ensures minimum acceptable safety by applying functional measures even if a failure occurs in a microcomputer (for example, main CPU) that is a component of an in-vehicle electronic device. It has been. For example, even if a failure occurs, the failure may be detected within a predetermined period after the failure occurs.

機能的な工夫の一例として、メインＣＰＵに複数のプロセッサコアを用いたロックステップ方式がある。この技術に関連し、特許文献２には、ロックステップ方式を用いたプロセッサシステムに関する技術が記載されている。ロックステップ方式においては、複数のプロセッサコアにおいて同一の処理（タスク）が実行され、これらの実行結果を比較することによって故障（エラー）が検知される仕組みである。 As an example of a functional device, there is a lockstep method using a plurality of processor cores in the main CPU. In relation to this technique, Patent Document 2 describes a technique related to a processor system using a lockstep method. In the lockstep method, the same processing (task) is executed in a plurality of processor cores, and a failure (error) is detected by comparing these execution results.

上述したように、ロックステップ方式などの機能安全に対応したマイコンでは、タスクのエラー以外にも、様々なエラーを検知することができる。一方で、その故障が一時的か、恒久的かで、フェールセーフ制御に移行するかどうか判断する必要がある。この場合、例えば、特許文献２のようにエラーの検知回数をカウントすることで、そのエラーが一時的か恒久的か判断することができる。 As described above, the microcomputer corresponding to the functional safety such as the lock step method can detect various errors in addition to the task error. On the other hand, it is necessary to determine whether the failure is temporary or permanent, and whether or not to shift to fail-safe control. In this case, for example, by counting the number of error detections as in Patent Document 2, it is possible to determine whether the error is temporary or permanent.

上述したように、機能安全への対応により、様々な要因のエラーを検知し、フェールセーフ制御をすることが可能となった。それに伴い、様々なエラー信号を用いて、マイコンをフェールセーフ制御へ移行させる仕組み（セーフティメカニズム）ができた。 As described above, it is possible to detect errors due to various factors and to perform fail-safe control by responding to functional safety. Along with that, a mechanism (safety mechanism) was made to shift the microcomputer to fail-safe control using various error signals.

特開2013-178736号公報JP 2013-178736 特開2016-110502号公報JP 2016-110502

上述したように、機能安全への対応により、様々なエラー要因を検知し、フェールセーフ制御をすることが可能となった。その制御の仕組みとして、様々なエラー信号を出力し、それにより例えば監視ＩＣなどが、マイコン動作をリセットさせるものが考えられる。 As described above, various error factors can be detected and fail-safe control can be performed by responding to functional safety. As the control mechanism, various error signals may be output, and for example, a monitoring IC may reset the microcomputer operation.

一方で、前記の構成では例えばメインＣＰＵにプログラムが書き込まれていない場合、エラー信号は初期値として、エラー状態になっていることが一般的である。メインＣＰＵにプログラムが書き込まれている場合は、電源の投入後にエラー信号は正常状態へ移行する。 On the other hand, in the above configuration, for example, when a program is not written in the main CPU, the error signal is generally in an error state as an initial value. When a program is written in the main CPU, the error signal shifts to a normal state after the power is turned on.

従来は、メインＣＰＵにプログラムを書き込む場合は、外部から信号を入力しＷＤＴを正常状態にすれば、書き込むことができた。 Conventionally, when a program is written to the main CPU, the program can be written by inputting a signal from the outside to bring the WDT into a normal state.

しかしながら、本課題ではロックステップ等のエラー出力信号が増加し、フェールセーフ制御を統合したため、ＷＤＴ以外のエラー信号が初期値（エラー状態）のままだと、ＷＤＴ出力とその他のエラー出力のロジックが監視ＩＣなどで接続されているため、フェールセーフ制御としてメインＣＰＵへリセットをかけ続けるので、書き込むことができないという問題が発生する可能性がある。 However, since the error output signals such as lockstep increase in this task and failsafe control is integrated, if error signals other than WDT remain at their initial values (error state), the logic of WDT output and other error outputs Since the main CPU is reset as fail-safe control because it is connected by a monitoring IC or the like, there is a possibility that writing cannot be performed.

メインＣＰＵと監視ＩＣを有する制御装置において、メインＣＰＵからエラー信号生成時にメインＣＰＵがブートモードであることを識別する手段を有する制御装置。 A control device having a main CPU and a monitoring IC, the control device having means for identifying that the main CPU is in a boot mode when an error signal is generated from the main CPU.

本発明によれば、ロックステップ方式などによるエラー出力を利用したフェールセーフ制御機能をもつ電子制御装置において、メインＣＰＵにプログラムを書き込むことが可能となる。 According to the present invention, a program can be written in the main CPU in an electronic control device having a fail-safe control function using error output by a lock step method or the like.

従来の電子制御装置のフェールセーフ制御の構成の一例、及びその書き込み手法である。It is an example of the structure of the fail safe control of the conventional electronic control apparatus, and its writing method. 本課題の電子制御装置のフェールセーフ制御の構成の一例、及びその書き込み手法である。It is an example of the structure of the fail safe control of the electronic controller of this subject, and its writing method. 実施例１における監視ＩＣのブートモード判定条件を満たすタイミングチャートである。6 is a timing chart that satisfies the boot mode determination condition of the monitoring IC according to the first embodiment. 実施例２におけるメインＣＰＵのプログラムの書き込み異常によって、ロックステップなどのエラーを含むエラー通知の出力を反転させる構成の一例である。10 is an example of a configuration in which an output of an error notification including an error such as a lock step is reversed due to a writing error of a program of a main CPU in the second embodiment. 実施例３における外部からの信号により、ロックステップなどのエラーを含むエラー通知の出力を変える方法の一例である。It is an example of the method of changing the output of the error notification containing errors, such as a lock step, by the signal from the outside in Example 3. FIG.

本実施の形態の概要について説明する。図１は、従来の電子制御装置１（ＥＣＵ）のフェールセーフ制御の構成の一例である。図１に示す通り、従来はメインＣＰＵ２が正常状態であれば、プログラム処理による監視パルス信号（ＰＲＵＮ出力５）を周期信号として出力する。監視ＩＣ３では、そのＰＲＵＮ信号をＷＤＴ６により監視しており、メインＣＰＵ２に対してリセット７をかけていた。 An outline of the present embodiment will be described. FIG. 1 is an example of a configuration of fail-safe control of a conventional electronic control unit 1 (ECU). As shown in FIG. 1, conventionally, when the main CPU 2 is in a normal state, a monitoring pulse signal (PRUN output 5) by program processing is output as a periodic signal. In the monitoring IC 3, the PRUN signal is monitored by the WDT 6 and a reset 7 is applied to the main CPU 2.

図１の場合は、メインＣＰＵ２にプログラムが書き込まれていない場合でも、プログラム書き込み装置４からＰＲＵＮ信号１０を入力することで、ＷＤＴ６によるリセット信号９を解除することができる。 In the case of FIG. 1, the reset signal 9 by the WDT 6 can be canceled by inputting the PRUN signal 10 from the program writing device 4 even when no program is written in the main CPU 2.

図２は、本課題の電子制御装置１のフェールセーフ制御の構成である。図１の構成に加えて、ロックステップなどのエラーを含むエラー通知１１が追加され、その出力８とＷＤＴの出力９が、リセット出力１３においてロジックが接続されている。 FIG. 2 is a configuration of fail-safe control of the electronic control device 1 of the present subject. In addition to the configuration of FIG. 1, an error notification 11 including an error such as a lock step is added, and the output 8 and the output 9 of the WDT are connected to the logic at the reset output 13.

そのため、メインＣＰＵ２にプログラムが書き込まれていない場合は、プログラム書き込み装置４からＰＲＵＮ信号１０を入力し、ＷＤＴ６が正常状態になったとしても、ロックステップなどのエラーを含むエラー通知１１がエラー状態のままであり、リセット出力
１３のロジック接続により、メインＣＰＵ２に対してリセット７をかけ続けてしまう状態である。 For this reason, when a program is not written in the main CPU 2, even if the PRUN signal 10 is input from the program writing device 4 and the WDT 6 is in a normal state, the error notification 11 including an error such as a lock step is in an error state. This is a state where the reset 7 is continuously applied to the main CPU 2 due to the logic connection of the reset output 13.

上述した、図２の状態において、メインＣＰＵのプログラム書き込み時においては、リセットを解除するという、プログラムの判定条件を設定する。判定条件は３つあり、１つはエラー出力信号１２がロー（エラー）状態であること。１つは、ＷＤＴ６に外部から入力されるＰＲＵＮ信号１０が正常に入力されていること。もう１つが、電子制御装置１の電源投入からパワーリセット解除タイミングより前（図３で説明する）にＰＲＵＮを入力すること。以上の条件を満たす場合、監視ＩＣ３はメインＣＰＵ２のプログラム書き込み状態（ブートモード）だと判断し、リセット出力１３を解除する。以上の条件を、監視ＩＣ３のプログラムに追加する。 In the state of FIG. 2 described above, a program determination condition for releasing the reset is set when the main CPU writes the program. There are three judgment conditions. One is that the error output signal 12 is in a low (error) state. One is that the PRUN signal 10 input from the outside to the WDT 6 is normally input. The other is to input PRUN before power reset release timing (described with reference to FIG. 3) after the electronic controller 1 is turned on. When the above conditions are satisfied, the monitoring IC 3 determines that the main CPU 2 is in a program writing state (boot mode) and cancels the reset output 13. The above conditions are added to the program of the monitoring IC 3.

図３は、前記のプログラムブートモード条件を示すタイミングチャートである。イグニッションスイッチ（ＩＧＮＳＷ）信号１５は、前記の電子制御装置１の電源投入信号にあたる。リセット信号１６は、初期値はロー状態であり、正常状態であればパワーオンリセット解除タイミング１９にハイ状態へ移行する。パワーオンリセットは、マイコンが起動してから安定するまでリセットをかけることである。 FIG. 3 is a timing chart showing the program boot mode conditions. An ignition switch (IGNSW) signal 15 corresponds to a power-on signal of the electronic control device 1. The initial value of the reset signal 16 is a low state. If the reset signal 16 is normal, the reset signal 16 shifts to a high state at a power-on reset release timing 19. The power-on reset is to reset until the microcomputer becomes stable after starting up.

前記において、パワーオンリセット期間に、ロックステップなどのエラーを含むエラー通知の出力１７がロー状態かつ、プログラム書き込み装置による外部からのＰＲＵＮ信号１８が入力されていることを示している。 In the above description, during the power-on reset period, the error notification output 17 including an error such as a lock step is in the low state, and the external PRUN signal 18 from the program writing device is input.

上述した、図２の状態において、メインＣＰＵ２のプログラム書き込み異常（例えば、プログラム未書き込み状態）によって、ロックステップなどのエラーを含むエラー通知１１の出力を反転させる方法がある。 In the state of FIG. 2 described above, there is a method of inverting the output of the error notification 11 including an error such as a lock step due to a program writing abnormality (for example, a program not written state) of the main CPU 2.

図４は、前記の方法の一例である。メインＣＰＵ２はプログラム書き込み異常通知２０（例えば、プログラム未書き込み状態）を出力する。メインＣＰＵ２と監視ＩＣ３の間には、ロックステップなどのエラーを含むエラー通知１１とプログラム書き込み異常通知２０を入力し、プログラム書き込み異常の場合にエラー通知１１の出力を反転させるロジック回路２２を設ける方法である。 FIG. 4 is an example of the method described above. The main CPU 2 outputs a program writing abnormality notification 20 (for example, a program unwritten state). A method of providing a logic circuit 22 between the main CPU 2 and the monitoring IC 3 for inputting an error notification 11 including an error such as a lock step and a program writing abnormality notification 20 and inverting the output of the error notification 11 in the case of a program writing abnormality. It is.

図４は一例であり、ロジック回路２２の場所は、メインＣＰＵ２と監視ＩＣ３の間である必要はない。例えば、監視ＩＣの中にあっても構わない。 FIG. 4 is an example, and the location of the logic circuit 22 does not have to be between the main CPU 2 and the monitoring IC 3. For example, it may be in a monitoring IC.

上述した、図２の状態において、ロックステップなどのエラーを含むエラー通知１１の出力信号線１２に対して、外部（例えば、プログラム書き込み装置４）から直接信号を入力し、正常状態と認識させることで、リセットを解除させる方法である。 In the state of FIG. 2 described above, a signal is directly input from the outside (for example, the program writing device 4) to the output signal line 12 of the error notification 11 including an error such as a lock step, and the normal state is recognized. This is a method for releasing the reset.

図５は、前記の方法の一例である。図２の状態において、ロックステップなどのエラーを含むエラー通知１１の出力信号線１２に対して、例えば外部のプログラム書き込み装置４からの信号２４を入力して、エラー状態を解除させることで、リセット出力１３を解除する方法である。 FIG. 5 is an example of the method described above. In the state of FIG. 2, for example, a signal 24 from an external program writing device 4 is input to the output signal line 12 of the error notification 11 including an error such as a lock step to reset the error state, thereby resetting. This is a method of canceling the output 13.

図５は一例であり、ロックステップなどのエラーを含むエラー通知１１を解除させる外部からの信号は、プログラム書き込み装置から出力される必要はない。 FIG. 5 is an example, and an external signal for canceling the error notification 11 including an error such as a lock step need not be output from the program writing device.

１：電子制御装置（ＥＣＵ）
２：メインＣＰＵ（メインマイコン）
３：監視ＩＣ（サブマイコン）
４：プログラム書き込み装置
５：ＰＲＵＮ出力
６：ウォッチドックタイマ（ＷＤＴ）
７：リセット回路
８：ＰＲＵＮ信号線
９：ＷＤＴ出力信号線
１０：プログラム書き込み装置からのＰＲＵＮ信号
１１：エラー通知（ロックステップエラー含む）
１２：エラー出力信号線
１３：リセット出力
１４：リセット出力信号線
１５：イグニッションスイッチ信号（ＩＧＮＳＷ）
１６：リセット信号
１７：エラー信号
１８：ＰＲＵＮ信号
１９：パワーオンリセット解除タイミング
２０：プログラム異常通知（プログラム未書き込み含む）
２１：プログラム異常出力信号線
２２：ロジック回路
２３：ロジック出力信号線
２４：プログラム書き込み装置からのエラー出力信号線 1: Electronic control unit (ECU)
2: Main CPU (main microcomputer)
3: Monitoring IC (sub microcomputer)
4: Program writing device 5: PRUN output 6: Watchdog timer (WDT)
7: Reset circuit 8: PRUN signal line 9: WDT output signal line 10: PRUN signal 11 from program writing device 11: Error notification (including lock step error)
12: Error output signal line 13: Reset output 14: Reset output signal line 15: Ignition switch signal (IGNSW)
16: Reset signal 17: Error signal 18: PRUN signal 19: Power-on reset release timing 20: Program abnormality notification (including program not written)
21: Program abnormal output signal line 22: Logic circuit 23: Logic output signal line 24: Error output signal line from the program writing device

Claims

A control device having a main CPU and a monitoring IC, the control device having means for identifying that the main CPU is in a boot mode when an error signal is generated from the main CPU.

The control device according to claim 1, wherein the reset is released in the boot mode.

2. The control device according to claim 1, wherein a PRUN signal is input before canceling a power-on reset of the main CPU.

The control device according to claim 1, further comprising means for detecting whether a program is written in the main CPU.