JP2022108108A - 車両用電子制御装置 - Google Patents

Abstract

【課題】車両用電子制御装置が備えるマイコンのプロセッサにおいて故障が発生した場合に、機能安全要求を満たすべく、故障情報を正常に記録するとともに、より確実に車両を安全状態へ移行させることを可能にする。【解決手段】複数のプロセッサ並びに電気的にデータを書き換え可能な不揮発性メモリを含んで構成されたマイクロコンピュータを備えた車両用電子制御装置において、前記複数のプロセッサが、車載機器に対する制御処理を行う第１プロセッサと、前記第１プロセッサの動作を監視する第２プロセッサと、を含む。そして、前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記第１プロセッサの故障内容を示す故障情報を前記不揮発性メモリに書き込むとともに、前記第１プロセッサに対して停止要求を送信する。【選択図】図１

Description

本発明は、車両に搭載される電子制御装置に関する。

自動車などの車両に搭載される電子制御装置（ＥＣＵ：Electric Control Unit）には、より高度な安全性が求められており、車両の機能安全に関して国際規格（ＩＳＯ２６２６２）も導入されている。このような機能安全要求を満たすことを目的とした技術の一例として、例えば、次のような技術が提案されている。当該技術では、複数のコアを有するマイクロコンピュータ（以下、マイコンという）を搭載した電子制御装置において、車両の原動機を通常走行モードで制御するための演算を行う第１コアと、当該第１コアと同一の演算を行う第２コアと、第１コア及び第２コアと異なる演算を行う第３コアとを有する。そして、第１コアによる演算結果と第２コアによる演算結果とが不一致である場合は、監視ＩＣからのリセット信号によってマイコンのリセット処理を実行した後、通常走行モードよりも原動機の出力を抑制する退避走行モードで原動機を制御するための演算を第３コアによって行い、対象機器への制御信号の出力制御を監視ＩＣによって行う。

特開２０１６－１４３３０４号公報

しかし、外部からのリセット信号によってマイコンをリセットした場合、リセットを解除した後に故障したプロセッサが自動的に処理を再開してしまうことが考え得る。この場合、故障したプロセッサによる処理に起因する不具合が生じる可能性がある。

そこで、本発明の１つの態様では、車両用電子制御装置が備えるマイコンのプロセッサにおいて故障が発生した場合に、機能安全要求を満たすべく、故障情報を正常に記録するとともに、より確実に車両を安全状態へ移行させることを可能にすることを目的とする。

本発明の１つの態様では、複数のプロセッサ並びに電気的にデータを書き換え可能な不揮発性メモリを含んで構成されたマイクロコンピュータを備えた車両用電子制御装置において、前記複数のプロセッサが、車載機器に対する制御処理を行う第１プロセッサと、前記第１プロセッサの動作を監視する第２プロセッサと、を含む。そして、前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記第１プロセッサの故障内容を示す故障情報を前記不揮発性メモリに書き込むとともに、前記第１プロセッサに対して停止要求を送信する。

本発明の１つの態様によれば、車両用電子制御装置が備えるマイコンのプロセッサにおいて故障が発生した場合に、故障情報が正常に記録されるともに、より確実に車両を安全状態へ移行させることが可能となる。

本発明の一実施形態における電子制御装置の一例を示すブロック図である。 本発明の一実施形態におけるＲＯＭの記憶領域の一例を示す説明図である。 本発明の一実施形態における第２プロセッサによる処理の一例を示すフローチャートである。 本発明の一実施形態における第１プロセッサによる処理の一例を示すフローチャートである。 本発明の一実施形態における第２プロセッサによる処理の一例を示すフローチャートである。

以下、添付された図面を参照し、本発明を実施するための実施形態の具体例について詳述する。なお、図面の一部においては、構成要素の符号のみを付し、名称の記載を省略している。

［第１実施形態］
図１は、自動車などの車両に搭載される電子制御装置１並びに当該電子制御装置１による制御対象である車載装置及びその関連装置の構成例を示す。

電子制御装置１は、ＴＣＵ（Transmission Control Unit）であり、車両に搭載された変速機構であるトランスミッション２及びクラッチ３を電子制御する機能を有する。電子制御装置１は、クラッチ３を接続することにより、動力源の一例であるエンジン４からエンジン出力軸５を介して伝達されたトルクをトランスミッション入力軸６を介してトランスミッション２に伝達させる。より具体的には、クラッチ３は例えば摩擦式クラッチであり、電子制御装置１は、ソレノイドバルブ等の制御によってエンジン４側に接続されたディスク及びトランスミッション２側に接続されたディスクを接触させてクラッチ３を接続し、エンジン４からトランスミッション２に動力を伝達させる一方、両ディスクを離間させてクラッチ３を解放し、動力の伝達を遮断させる。そして、電子制御装置１は、車速やトルクに応じた変速比となるようトランスミッション２を制御し、トランスミッション出力軸７を介して出力されたトルクが、車輪駆動軸８を介して駆動輪９に伝達される。

電子制御装置１は、マイコン１０、Ｐ－ＲＵＮ（プログラムラン）信号監視回路２０及びカットオフ回路３０を含んで構成され、トランスミッション２及びクラッチ３と接続されている。マイコン１０は、図１に示すように、第１ＣＰＵ１１、第２ＣＰＵ１２、ＲＡＭ１３、ＲＯＭ１４、リセット回路１５、ポート１０１～１０５及び内部バス１１１及び１１２を含む。

第１ＣＰＵ１１及び第２ＣＰＵ１２は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウェアであって、演算装置、命令や情報を格納するレジスタ、周辺回路などから構成されている。第１ＣＰＵ１１及び第２ＣＰＵ１２は、ＲＯＭ１４に格納されたプログラムをＲＡＭ１３にロードして実行する。本実施形態において、マイコン１０が正常に稼働しているときには、第１ＣＰＵ１１がトランスミッション２及びクラッチ３の電子制御処理を行い、第２ＣＰＵ１２は原則として、第１ＣＰＵ１１の監視及び第１ＣＰＵ１１に故障が発生した場合における故障対応処理を行う。

また、本実施形態における第１ＣＰＵ１１及び第２ＣＰＵ１２は、例えば、ロックステップ方式等による診断や、アセンブラ命令の網羅実行等によって異常を検出するプロセッサ診断モジュールの実行や、各モジュールからのエラー信号に基づいてプロセッサの故障を検出し外部に通知することが可能なＥＣＭ（Error Control Module）等によって、動作状態を自己診断して故障を検出することが可能である。なお、第１ＣＰＵ１１及び第２ＣＰＵ１２の故障は、後述するＰ－ＲＵＮ信号監視回路２０によっても検出可能である。

ＲＡＭ１３は、電源供給遮断によってデータが消失する揮発性メモリであり、第１ＣＰＵ１１及び第２ＣＰＵ１２が動作中に使用する一時的な記憶領域を提供する。

ＲＯＭ１４は、電気的にデータを書き換え可能な不揮発性メモリであり、例えば、フラッシュＲＯＭやＥＥＰＲＯＭを含む。ＲＯＭ１４には、電子制御装置１を起動する際に動作する起動プログラムや車載機器を制御する制御プログラム、及び当該プログラムの処理において用いるパラメータ等のデータが格納される。また、ＲＯＭ１４には、後述する第２ＣＰＵ１２による故障対応処理により、第１ＣＰＵ１１の故障内容を示す故障情報が記憶される。

リセット回路１５は、Ｐ－ＲＵＮ信号監視回路２０から受信するリセット信号に応じて、マイコン１０のリセット（ハードウェアリセット）を行う。

ポート１０１～１０５は、マイコン１０と周辺機器との間の情報の入出力に用いるインタフェースの端子である。電子制御装置１の通常の動作状態において、ポート１０１は、Ｐ－ＲＵＮ監視回路２０に対してＰ－ＲＵＮ信号を送信する出力ポートとして機能する。ポート１０２は、Ｐ－ＲＵＮ信号監視回路２０からリセット信号を受信する入力ポートとして機能する。ポート１０３は、トランスミッション２に対する制御信号を送信する出力ポートとして機能する。ポート１０４は、クラッチ３に対して接続又は解放を行う制御信号を送信する出力ポートとして機能する。ポート１０５は、マイコン１０からカットオフ回路３０への信号を送信する出力ポートとして機能する。

なお、本実施形態ではポート１０１～１０５のみについて図示及び説明しているが、マイコン１０は、ポート１０１～１０５以外にも図示を省略した入出力（通信）インタフェースを備え、ＣＡＮ（Controller Area Network）等で構成された車載ネットワークに接続して、各種センサや他の電子制御装置等の車載機器との通信を行っている。

内部バス１１１及び１１２は、各デバイス間でデータを通信するための経路であって、アドレスを転送するためのアドレスバス、データを転送するためのデータバス、アドレスバスやデータバスで実際に入出力を行うタイミングや制御情報を伝送するコントロールバスを含んでいる。なお、内部バス１１２は、カットオフ回路３０に接続するポート１０５に接続されたバスであり、第２ＣＰＵ１２とは通信可能に接続される一方、第１ＣＰＵ１１とは接続されていない。

Ｐ－ＲＵＮ信号監視回路２０は、マイコン１０から受信するＰ－ＲＵＮ信号に基づいて、マイコン１０における動作異常を検出する。具体的には、Ｐ－ＲＵＮ信号監視回路２０は、内部にタイマを備え、第１ＣＰＵ１１及び第２ＣＰＵ１２からＰ－ＲＵＮ信号を受信するごとにタイマを初期化する。そして、Ｐ－ＲＵＮ信号が途絶えてタイマがオーバーフローすることにより、第１ＣＰＵ１１及び第２ＣＰＵ１２の故障を検出する。

カットオフ回路３０は、第１ＣＰＵ１１との通信経路を有さない電子回路であって、クラッチ３に対するマイコン１０からの制御信号を遮断する（カットオフを実行する）ことによってクラッチ３を解放するように構成された電子回路である。これにより、エンジン４からの動力が駆動輪９に伝達しない状態となる。当該カットオフ回路４０は、ハイレベルの入力信号を受信したときには、カットオフを実行することによりクラッチ３を解放させる一方、ローレベルの入力信号を受信したときには、カットオフを解除して、クラッチ３への制御信号の遮断を停止する。また、当該カットオフ回路４０は、例えばプルアップ抵抗を内蔵した回路構成を有しており、カットオフ回路３０への入力信号がないときには、プルアップによってハイレベルで駆動し、カットオフを実行する。なお、第１ＣＰＵ１１との通信経路を有さない構成とは、物理的に内部バスによる接続がなされていない構成のみならず、内部バス自体は接続されていても論理的に通信することができないように設定された構成も含む。

図２は、ＲＯＭ１４の記憶領域を示す図である。ＲＯＭ１４の記憶領域は、第１ＣＰＵ１１による制御処理に用いる記憶領域である制御処理領域１４１と、第２ＣＰＵ１２による故障対応処理に用いる記憶領域である故障対応処理領域１４２とに区分けされている。このように制御処理領域１４１と故障対応処理領域１４２とを分けることは必須ではないが、このような構成により、例えば、制御処理領域１４１において何らかの不具合が発生した場合においても、第２ＣＰＵ１２による故障対応処理を確実に行うことが可能である。なお、図示を省略するが、ＲＡＭ１３においても同様に、第１ＣＰＵ１１による制御処理に用いる記憶領域と第２ＣＰＵ１２による故障対応処理に用いる記憶領域とを区分けする構成としてもよい。

次に、第１ＣＰＵ１１及び第２ＣＰＵ１２において実行される処理について、第２ＣＰＵ１２、第１ＣＰＵ１１の順に説明する。

図３は、第２ＣＰＵ１２で実行される処理を示すフローチャートである。
ステップ１００１（図ではＳ１００１と表記している）で、第２ＣＰＵ１２は、リセット実行回数のカウンタが所定閾値よりも小さいか否かを判定し、小さい場合にはステップ１００２に進み（Ｙｅｓ）、そうでない場合にはステップ１００９に進む（Ｎｏ）。

ステップ１００２で、第２ＣＰＵ１２は、カットオフ回路３０に接続するポート１０５のコントロールレジスタに、当該ポート１０５を出力ポートにするように値を設定し、ポート１０５を出力ポートにする。そして、第２ＣＰＵ１２は、ローレベルの信号をカットオフ回路３０に対して送信する。その結果、カットオフ回路３０において当該ローレベルの信号が入力され、カットオフ回路３０はカットオフを解除する。これにより、クラッチ３への制御信号が遮断されている場合には、制御信号の遮断が停止される。

ステップ１００３で、第２ＣＰＵ１２は、第１ＣＰＵ１１の動作状態を監視し、前述した診断方法により、第１ＣＰＵ１１の動作状態の診断結果を取得する。
ステップ１００４で、第２ＣＰＵ１２は、ステップ１００３で取得した第１ＣＰＵ１１の動作状態の診断結果に基づき、第１ＣＰＵ１１において故障が発生しているか否かを判定する。故障が発生している場合にはステップ１００５に進み（Ｙｅｓ）、そうでない場合にはステップ１００３に戻る（Ｎｏ）。なお、ステップ１００２の処理は、当該ステップ１００４の判定において、第１ＣＰＵ１１において故障が発生していない場合にのみ行うようにしてもよい。

ステップ１００５で、第２ＣＰＵ１２は、第１ＣＰＵ１１の故障情報をＲＯＭ１４の故障対応処理領域１４２に書き込む。なお、このとき、車両に搭載された警告灯を点灯させたり当該故障情報を車載モニタ等に表示したりすることにより、第１ＣＰＵ１１において故障が発生していることを外部に通知するようにしてもよい。
ステップ１００６で、第２ＣＰＵ１２は、リセット実行回数のカウンタをインクリメントする。

ステップ１００７で、第２ＣＰＵ１２は、マイコン１０のソフトウェアリセットを実行する。ソフトウェアリセットによって、マイコン１０において、ＲＡＭ１３のスタックや変数、各ポートのコントロールレジスタ等が初期化される。

ステップ１００８で、第２ＣＰＵ１２は、カットオフ回路３０においてカットオフを実行させる。具体的には、ステップ１００７においてソフトウェアリセットを行ったことにより、カットオフ回路３０に接続するポート１０５のコントロールレジスタが初期化され、ポート１０５が入力ポートとなる。その結果、カットオフ回路３０への信号が出力されなくなり、カットオフ回路３０はプルアップによってハイレベルで駆動し、カットオフを実行する。これにより、クラッチ３が解放され、エンジン４からの動力の伝達が遮断される。

ステップ１００９で、第２ＣＰＵ１２は、第１ＣＰＵ１１に対して停止要求を送信する。
ステップ１０１０で、第２ＣＰＵ１２は、ＧＳＴ（General Scan Tool）等の外部の診断装置からの動作情報の出力要求に対して応答処理を実行する。より具体的には、第２ＣＰＵ１２は、例えば、ＲＯＭ１４に書き込んだ第１ＣＰＵ１１の故障情報を読み出して、ＧＳＴに対して出力する。なお、第２ＣＰＵ１２は、Ｐ－ＲＵＮ信号監視回路２０に対するＰ－ＲＵＮ信号の送信も継続して行う。

図４は、第１ＣＰＵ１１で実行される処理を示すフローチャートである。
ステップ１１０１で、第１ＣＰＵ１１は、電子制御装置１が正常時に実現する機能である変速機構の制御処理を実行する。第１ＣＰＵ１１は、当該制御処理を実行するとともに、前述した方法により故障の自己診断等も行う。第１ＣＰＵ１１は、当該制御処理の実行中にＧＳＴからの動作情報の出力要求を受信したときには、当該要求に応答し、動作情報を出力する。また、第１ＣＰＵ１１は、Ｐ－ＲＵＮ信号監視回路２０に対するＰ－ＲＵＮ信号の送信も継続して行う。

ステップ１１０２で、第１ＣＰＵ１１は、第２ＣＰＵ１２から停止要求を受信したか否かを判定する。当該停止要求は、前述した第２ＣＰＵ１２による処理のステップ１００９において送信されるものである。停止要求を受信した場合には、ステップ１１０３に進み（Ｙｅｓ）、そうでない場合には、ステップ１１０１に戻る（Ｎｏ）。

ステップ１１０３で、第１ＣＰＵ１１は、制御処理の実行を停止する。第１ＣＰＵ１１は、例えば停止（ＨＡＬＴ）命令を実行することによって、停止状態（ＨＡＬＴ状態）に移行することが可能である。

このような第１実施形態によれば、電子制御装置１のマイコン１０において制御処理を実行している第１ＣＰＵ１１において故障が検出されたときに、正常に動作している第２ＣＰＵ１２が第１ＣＰＵ１１の故障情報をＲＯＭ１４に記録する。これにより、故障が発生している第１ＣＰＵ１１自体によって故障情報を記録する場合と比較して、第１ＣＰＵ１１の故障情報を確実に記録することができる。その結果、ＧＳＴの端末等による正確な故障情報の読み出しが可能となる。また、異常が発生していない第２ＣＰＵ１２から第１ＣＰＵ１１に対して停止要求を送信することで、第１ＣＰＵ１１において停止命令が実行され、第１ＣＰＵ１１の動作を停止させることができる。

また、本実施形態によれば、第２ＣＰＵ１２からカットオフ回路３０においてカットオフが実行させる方法の一例として、ソフトウェアリセットをかけることで、カットオフ回路３０がハイレベルで駆動してカットオフが実行され、クラッチ３が解放されて、エンジン４からの動力の伝達が遮断される。これにより、急加速や急減速のリスクを低減し、車両を安全状態へ移行させることが可能となる。

なお、本実施形態では、万が一第１ＣＰＵ１１の故障状況により第１ＣＰＵ１１において停止命令を実行しても正常に停止状態にならなかったとしても、第１ＣＰＵ１１からカットオフ回路３０へ信号を送信することが不可能な構成であるため、カットオフ回路３０に対してカットオフを解除させるなどの誤作動により安全状態への移行を阻害することはない。すなわち、本実施形態によれば、故障が発生した第１ＣＰＵ１１の停止に失敗したとしても、車両を安全状態に移行させることが可能である。

また、第１ＣＰＵ１１が停止しなかった場合には、ＧＳＴに対する応答処理が、第１ＣＰＵ１１及び第２ＣＰＵ１２で重複してしまう場合がある。この場合、第１ＣＰＵ１１用の応答ＣＡＮＩＤ及び第２ＣＰＵ１２用の応答ＣＡＮＩＤを別々に割り振ることで、同一のＣＡＮＩＤで情報が重複して送信されることを防ぐ。このとき、ＧＳＴ側においては、第１ＣＰＵ１１及び第２ＣＰＵ１２の双方のＣＡＮＩＤを受信した場合、第２ＣＰＵ１２側のＣＡＮＩＤを優先して参照するように制御すればよい。

さらに、本実施形態によれば、第２ＣＰＵ１２によるソフトウェアリセットを繰り返し実行し、リセット回数が所定の閾値以上になった場合にのみ、第１ＣＰＵ１１に停止要求を送信する。すなわち、本実施形態によれば、第１ＣＰＵ１１の動作異常が一時的でありリセットにより復旧可能である場合には、クラッチ３を再度接続して通常の制御を継続して行うことができる。その一方で、リセットを所定回数行っても故障状態から復旧できない場合には、クラッチ３の解放を維持して安全状態へ移行し、第１ＣＰＵ１１を停止させる。このとき、リセット回数の閾値を、機能安全要求における時間制限を考慮して設定しておくことで、当該時間制限内に車両の走行を安全状態に移行させることが可能となる。

なお、第２ＣＰＵ１２によるソフトウェアリセットの代わりに、Ｐ－ＲＵＮ監視回路２０によって第１ＣＰＵ１１の異常を検出し、Ｐ－ＲＵＮ監視回路２０からリセット回路１５に対してリセット命令を送信して、リセット回路１５によってマイコン１０のハードウェアリセットを行ってもよい。このようにハードウェアリセットを行った場合においても、カットオフ回路３０に接続するポート１０５のコントロールレジスタが初期化され、ポート１０５が入力ポートとなる。その結果、カットオフ回路３０への信号が出力されなくなり、カットオフ回路４０はプルアップによってハイレベルで駆動し、カットオフを実行する。これにより、ソフトウェアリセットを行った場合と同様に、クラッチ３が解放され、エンジン４からの動力の伝達が遮断される。

ここで、例えば、ＣＰＵの動作を監視する機能を、監視用のサブマイコンによって行う構成も考え得る。しかし、本実施形態では、前述したような構成を有することにより、サブマイコンを設けなくても、監視やリセットを行うことが可能であり、電子制御装置の構成をより簡略化することができる。なお、サブマイコンを設ける構成では、サブマイコンにおいてＣＰＵのクロックを診断するためのパルス信号を供給する構成が一般的に用いられるが、本実施形態のようにサブマイコンを含まない構成でも、マイコン１０においてパルス発信子やＡＳＩＣ（Application Specific Integrated Circuit）等を設けることによって当該機能を実現することができる。

ここで、機能安全要求の観点から、本実施形態の電子制御装置１の構成において、第１ＣＰＵ１１以外の箇所において故障が生じた場合の安全性について説明する。
まず、内部バス１１１においてアドレスバスやデータバスにおいて断線等が発生した場合、結果として第１ＣＰＵ１１及び第２ＣＰＵ１２の両方が正常に動作することが困難となり得る。しかし、この場合、第１ＣＰＵ１１及び第２ＣＰＵ１２のいずれからもＰ－ＲＵＮ信号が正常に送信されなくなり、Ｐ－ＲＵＮ信号監視回路２０においてＣＰＵ異常を検出することが可能である。その結果、前述したように、リセット回路１５によってマイコン１０のリセットが行われ、カットオフ回路３０によってカットオフが実行されてクラッチ３が解放されることとなり、車両を安全状態に移行させることができる。このため、ＳＰＦＭ値（Single Point Fault Metric）は基準を満たすものと考えられる。なお、内部バス１１２において断線等が発生しても、第１ＣＰＵ１１による通常の制御処理に支障は生じない。

また、電子制御装置１の電源供給が遮断された場合においても、そもそも電子制御装置１の動作自体が停止されてクラッチ３が解放されるため、安全状態への移行に問題はない。

さらに、ＲＡＭ１３やＲＯＭ１４において異常が発生した場合においても、前述の図２で示したように、第１ＣＰＵ１１によって通常の制御処理に用いる制御処理領域１４１と、第２ＣＰＵ１２によって故障対応処理に用いる故障対応処理領域１４２とを分けることにより、ＳＰＦＭ値の低下を抑制することが可能である。具体的には、制御処理領域１４１において異常が発生したとしても、第２ＣＰＵ１２による故障対応処理に影響はないため、故障対応処理を実行することが可能である。また、故障対応処理領域１４２において異常が発生した場合にも、少なくとも第１ＣＰＵ１１が正常に動作していれば、安全性に影響はない。この場合、故障対応処理領域１４２の異常については、当該異常が発生したことを外部に通知したり、ＲＯＭ１４の正常な領域や外部の記憶装置に記憶したりするようにすればよい。

なお、第２ＣＰＵ１２において故障が発生した場合にも、少なくとも第１ＣＰＵ１１が正常に動作していれば、安全性に影響はない。このため、クラッチ３の解放を行う必要はなく、車両に搭載された警告灯を点灯させたり故障情報を車載モニタ等に表示したりすることにより、第２ＣＰＵ１２において故障が発生していることを外部に通知したり、故障情報をＲＯＭ１４の正常な領域や外部の記憶装置に記憶したりするようにすればよい。

このように、本実施形態の電子制御装置１の構成によれば、第１ＣＰＵ１１以外の箇所において故障が生じた場合においても、ＳＰＦＭ値の基準を満たすことは可能であり、機能安全要求は担保されている。

なお、本実施形態におけるマイコン１０では２つのＣＰＵを備えた構成としているが、ＣＰＵの数はこれに限定されるものではない。例えば、マイコン１０において３つ以上のＣＰＵを備えた場合において、１つのＣＰＵの故障が発生した場合には、他のＣＰＵのうちの１つが故障対応処理を行うようにすればよい。

また、本実施形態における第１ＣＰＵ１１及び第２ＣＰＵ１２は、プロセッサの一態様に過ぎない。本実施形態では、第１ＣＰＵ１１において故障が発生した場合に第２ＣＰＵ１２が故障対応処理を行っているが、例えば、１つのＣＰＵ内において複数のＣＰＵコアを備えた構成において、１つのＣＰＵコアの故障が検出された際には、他のＣＰＵコアが故障対応処理を実行するようにしてもよい。

また、本実施形態の電子制御措置１の制御対象とする車載機器は変速機構であるが、これに限定されるものではない。少なくとも、制御処理を行うＣＰＵにおいて故障が検出されたときに、正常に動作している他の監視側のＣＰＵが、制御処理を行うＣＰＵの故障情報をＲＯＭに書き込んだり、監視側のＣＰＵから制御処理を行うＣＰＵに対して停止命令を送信する構成については、他の制御対象装置（例えば、エンジンの燃料噴射弁や点火プラグ等や、ブレーキ機構など）を制御する電子制御装置においても適用可能である。

［第２実施形態］
次に、第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の内容については原則として説明を省略する。
まず、第２実施形態における電子制御装置１の物理的構成については図１で示した第１実施形態の構成と同様であるため、図示及び説明を省略する。

次に、第１ＣＰＵ１１及び第２ＣＰＵ１２において実行される処理について説明する。
図４は、第２実施形態において第２ＣＰＵ１２で実行される処理を示すフローチャートである。

ステップ１２０１で、第２ＣＰＵ１２は、カットオフ回路３０に接続するポート１０５のコントロールレジスタに、当該ポート１０５を出力ポートにするように値を設定し、ポート１０５を出力ポートにする。そして、第２ＣＰＵ１２は、ローレベルの信号をカットオフ回路４０に対して送信する。その結果、カットオフ回路３０において当該ローレベルの信号が入力され、カットオフ回路３０はカットオフを解除する。これにより、クラッチ３への制御信号が遮断されている場合には、制御信号の遮断が停止される。

ステップ１２０２で、第２ＣＰＵ１２は、第１ＣＰＵ１１の動作状態を監視し、前述した診断方法により、第１ＣＰＵ１１の動作状態の診断結果を取得する。
ステップ１２０３で、第２ＣＰＵ１２は、ステップ１２０２で取得した第１ＣＰＵ１１の動作状態の診断結果に基づき、第１ＣＰＵ１１において故障が発生しているか否かを判定する。故障が発生している場合にはステップ１２０４に進み（Ｙｅｓ）、そうでない場合にはステップ１２０２に戻る（Ｎｏ）。

ステップ１２０４で、第２ＣＰＵ１２は、第１ＣＰＵ１１の故障情報をＲＯＭ１４の故障対応処理領域１４２に書き込む。
ステップ１２０５で、第２ＣＰＵ１２は、ハイレベルの信号をカットオフ回路３０に対して送信する。その結果、カットオフ回路３０において当該ハイレベルの信号が入力され、カットオフ回路３０はカットオフを実行する。これにより、クラッチ３が解放され、エンジン４からの動力の伝達が遮断される。

ステップ１２０６で、第２ＣＰＵ１２は、第１ＣＰＵ１１に対して停止要求を送信する。
ステップ１２０７で、第２ＣＰＵ１２は、ＧＳＴ等の外部の診断装置からの動作情報の出力要求に対して応答処理を実行する。より具体的には、第２ＣＰＵ１２は、例えば、ＲＯＭ１４に書き込んだ第１ＣＰＵ１１の故障情報を読み出して、ＧＳＴに対して出力する。なお、第２ＣＰＵ１２は、Ｐ－ＲＵＮ信号監視回路２０に対するＰ－ＲＵＮ信号の送信も継続して行う。

第２実施形態において第１ＣＰＵ１１で実行される処理については、第１実施形態と同様であるため、図示及び説明を省略する。なお、第２実施形態では、第１ＣＰＵ１１は、ステップ１１０２の判定において、前述の第２ＣＰＵ１２による処理のステップ１２０６において送信された停止要求を受信したか否かについて判定を行う。

このような第２実施形態では、第１実施形態と異なり、第１ＣＰＵ１１において故障が検出されたときに、マイコン１０に対してソフトウェアリセットをかけるのではなく、第２ＣＰＵ１２がハイレベルの信号をカットオフ回路３０に対して送信することで、カットオフ回路３０においてカットオフが実行されてクラッチ３が解放され、エンジン４からの動力の伝達が遮断される。これにより、第１実施形態と同様に、急加速や急減速のリスクを低減し、車両を安全状態へ移行させることが可能となる。

その他の第２実施形態における効果や変形例については、第１実施形態と同様であるため、説明を省略する。

［その他］
以上説明した本発明の実施形態は、本発明の技術的範囲で考え得る実施態様の一部に過ぎず、本発明の例示として開示されるものであって、本発明の技術的範囲を制限するものではない。また、各実施形態における機能的構成及び物理的構成は、前述の態様に限定されるものではなく、例えば、各機能や物理的資源を統合して実装したり、逆に、さらに分散して実装したり、さらには、構成の一部について他の構成の追加、削除、置換等をすることも可能である。

１…電子制御装置、２…トランスミッション、３…クラッチ、１０…マイコン、１１…第１ＣＰＵ、１２…第２ＣＰＵ、１３…ＲＡＭ、１４…ＲＯＭ、１５…リセット回路、１０１～１０５…ポート、２０…Ｐ－ＲＵＮ監視回路、３０…カットオフ回路

Claims (7)

1. 複数のプロセッサ並びに電気的にデータを書き換え可能な不揮発性メモリを含んで構成されたマイクロコンピュータを備えた車両用電子制御装置であって、
   前記複数のプロセッサは、
   車載機器に対する制御処理を行う第１プロセッサと、
   前記第１プロセッサの動作を監視する第２プロセッサと、を含み、
   前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記第１プロセッサの故障内容を示す故障情報を前記不揮発性メモリに書き込むとともに、前記第１プロセッサに対して停止要求を送信する、
   車両用電子制御装置。
2. 前記車載機器が変速機構であり、
   前記第１プロセッサとの通信経路を有さない電子回路であって、前記変速機構のクラッチに対する前記マイクロコンピュータからの制御信号を遮断することによって前記クラッチを解放するように構成されたカットオフ回路をさらに備え、
   前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記カットオフ回路を駆動させて前記クラッチを解放させる、請求項１記載の車両用電子制御装置。
3. 前記カットオフ回路は、入力信号がないときにプルアップによってハイレベルで駆動して前記クラッチを解放するように構成され、
   前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記マイクロコンピュータのソフトウェアリセットを実行し、前記マイクロコンピュータから前記電子回路へ接続するポートを入力ポートにして前記カットオフ回路に対する入力信号を遮断することで、前記カットオフ回路をハイレベルで駆動させて前記クラッチを解放させる、請求項２記載の車両用電子制御装置。
4. 前記第２プロセッサは、ソフトウェアリセットを所定回数実行しても前記第１プロセッサが正常に動作しないときにのみ、前記第１プロセッサに対して停止要求を送信する、請求項３記載の車両用電子制御装置。
5. 前記カットオフ回路は、ハイレベルの入力信号があるときに前記クラッチを解放するように構成され、
   前記第２プロセッサは、前記第１プロセッサにおける故障を検出したときに、前記カットオフ回路に対してハイレベルの信号を送信することで、前記カットオフ回路を駆動させて前記クラッチを解放させる、請求項２～４のいずれか１項に記載の車両用電子制御装置。
6. 前記不揮発性メモリの記憶領域が、前記第１プロセッサによる処理に用いる領域と、前記第２プロセッサによる処理に用いる領域とに区分けされている、請求項１～５のいずれか１項に記載の車両用電子制御装置。
7. 前記第２プロセッサは、外部の診断装置からの要求に応じ、前記不揮発性メモリから前記故障情報を読み出して出力する、請求項１～６のいずれか１項に記載の車両用電子制御装置。

Images