JP2022156616A - 制御装置及びリセット機能の診断方法 - Google Patents

Abstract

【課題】リセット機能の診断時間の短縮と、部品点数の増大及び部品実装面積の増大の抑制が可能な制御装置及びリセット機能の診断方法を提供する。【解決手段】本発明において、マイコン２は、マイコン２の異常を検知した場合に第１出力部２１及び第２出力部２２に対して、前記ＡＳＩＣへの信号の出力を停止させるリセット信号を出力するリセット指令部２３と、リセット指令部２３が指令動作を実行したか否かを判定する動作判定部２４と、を備え、ＡＳＩＣ３は、第１出力部２１から信号を受信しない場合に信号出力を停止する外部出力部３１と、第２出力部２２から信号を受信しない場合に外部出力部３１の信号出力を停止させる通信部３２と、を備え、リセット指令部２３は、動作判定部２４が指令動作の実行の有無を診断する診断処理において、リセット信号を出力することなく指令動作を実行する。【選択図】図１

Description

本発明は、制御装置及びリセット機能の診断方法に関する。

例えば２つのＥＣＵ（電子制御ユニット）を備える冗長構成が組まれたシステムにおいて、一方のＥＣＵが故障した場合、他方のＥＣＵが一方のＥＣＵの機能を補うように動作する。他方のＥＣＵは、一方のＥＣＵの信号出力が停止したことにより、一方のＥＣＵの故障を認識する。したがって、ＥＣＵは、自身の異常を検知した場合、内部でリセット信号を出力し、外部への信号出力を停止する。このようなシステムでは、一方のＥＣＵの故障が他方のＥＣＵに確実に伝達されることが重要であるため、自身の異常を検知したＥＣＵが正常にリセットされて信号出力が停止されたか否かをチェックする必要がある。

例えば特開２０２０－１２９２４５号公報には、リセット信号が出力されたか否かを診断可能な制御装置が開示されている。この制御装置は、マイクロコントローラ（マイクロコンピュータ）の出力状態をモニタするモニタ部と、モニタ部のモニタ結果を保持するラッチ部と、を備えている。制御装置は、マイクロコントローラが再起動した後に、ラッチ部で保持されているモニタ結果に基づいて、信号の出力が停止したか否かを診断する。

特開２０２０－１２９２４５号公報

上記制御装置では、リセット信号が出力された否かを診断するためには、実際にマイクロコントローラをリセットして再起動させなければならない。つまり、リセット信号の出力有無の診断は、マイクロコントローラの再起動が完了するまで行うことができない。したがって、上記制御装置には、診断時間の短縮の面で改善の余地がある。また、上記制御装置では、マイクロコントローラとは別に、モニタ部とラッチ部とを基板に設置しなければならない。したがって、上記制御装置には、部品点数の増大及び基板への部品実装面積の増大が懸念される。

本発明の目的は、リセット機能の診断時間の短縮と、部品点数の増大及び部品実装面積の増大の抑制が可能な制御装置及びリセット機能の診断方法を提供することである。

本発明の制御装置は、マイクロコントローラとＡＳＩＣとが通信可能に搭載された基板を備える制御装置であって、前記マイクロコントローラは、前記ＡＳＩＣに信号を出力する第１出力部及び第２出力部と、前記マイクロコントローラの異常を検知した場合に前記第１出力部及び前記第２出力部に対して、前記ＡＳＩＣへの信号の出力を停止させるリセット信号を出力するリセット指令部と、前記リセット指令部が前記リセット信号を出力するための動作である指令動作を行ったか否かを判定する動作判定部と、を備え、前記ＡＳＩＣは、前記第１出力部に接続され、前記第１出力部の信号を受信することにより前記基板外の装置に信号を出力し、前記第１出力部から信号を受信しない場合に信号出力を停止する外部出力部と、前記第２出力部及び前記外部出力部に接続され、前記第２出力部から信号を受信しない場合に前記外部出力部の信号出力を停止させる通信部と、を備え、前記リセット指令部は、前記動作判定部が前記指令動作の実行の有無を診断する診断処理において、前記リセット信号を出力することなく前記指令動作を実行する。
本発明のリセット機能の診断方法は、上記制御装置において、リセット機能の診断にあたり、前記リセット指令部が前記リセット信号を出力することなく前記指令動作を実行する工程と、前記動作判定部が前記指令動作の実行の有無を診断する工程と、を含む。

本発明によれば、外部出力部から制御装置外の装置（通信網）への信号出力を停止させるリセット信号をリセット指令部が出力すると、第１出力部及び第２出力部の信号出力が停止される。外部出力部は、第１出力部からの信号を受信しないと外部への信号出力を停止する。また、通信部は、第２出力部からの信号を受信しないと外部出力部の信号出力を停止させる。つまり、第１出力部及び第２出力部の少なくとも一方の信号出力が停止すれば、制御装置から外部への信号出力は停止される。

この構成によれば、例えば何らかの原因で第１出力部にリセット信号が到達しなかった場合やリセット信号が到達したにもかかわらず第１出力部の信号出力が停止されなかった場合でも、第２出力部にリセット信号が到達して第２出力部の信号出力が停止されれば、通信部により外部出力部の信号出力は停止される。つまり、第１出力部及び第２出力部のいずれか一方が正常に機能すれば、リセット信号によって外部出力部の信号出力すなわち制御装置の信号出力は停止される。このように、本構成では、マイクロコントローラをリセットして制御装置からの信号出力を停止させるにあたり、冗長構成が組まれている。

本構成では、リセット機能に冗長構成が組まれているため、リセット信号を出力さえできれば、すなわちリセット指令部がリセット信号を出力するための動作（指令動作）を実行できれば、マイクロコントローラのリセットが正常に完了すると推定できる。したがって、診断処理において、リセット指令部は実際にリセット信号を出力せずに指令動作のみを実行し、動作判定部が指令動作の実行の有無を判定することで、制御装置はリセット機能が正常であるか否かを診断することができる。

本発明によれば、リセット機能の診断において、指令動作の実行の有無を判定するだけでよいため、実際にマイクロコントローラをリセットして再起動する必要がない。リセット指令部は診断処理においてリセット信号を出力せずに指令動作を実行するため、マイクロコントローラがリセットされず、診断時間の短縮が可能となる。また、マイクロコントローラとＡＳＩＣ以外に、別途ラッチ回路やモニタ回路を設ける必要がなく、部品点数の増大及び部品実装面積の増大を抑制することができる。

本実施形態の制御装置の構成図である。 本実施形態の診断処理の流れの一例を示すフローチャートである。

以下、本発明の実施形態について図に基づいて説明する。説明に用いる各図は概念図である。本実施形態の制御装置１は、車両に設けられた電子制御ユニット（ＥＣＵ）である。車両では、ＣＡＮ７０を介して制御装置９を含む複数の装置が互いに接続されている。一例として、図１に示すように、本実施形態の車両には、第１のＥＣＵである制御装置１と第２のＥＣＵである制御装置９が搭載されている。

制御装置９は、例えば、制御装置１に異常が生じた際、制御装置１に代わって制御対象を制御するように、又は異常時用の代替制御を実行するように構成されている。制御装置９は、制御装置１からＣＡＮ７０への出力が停止したことを条件として、制御装置１に代わって制御を開始する。制御装置１のＣＡＮ７０への出力は、制御装置１のマイクロコントローラ（以下「マイコン」という）２のリセットによって停止する。以下、制御装置１の構成について、具体的に説明する。

本実施形態の制御装置１は、マイコン２とＡＳＩＣ３とが通信可能に搭載された基板１０を備えるＥＣＵである。マイコン２は、図示略のプロセッサやメモリ等を備えている。マイコン２は、第１出力部２１と、第２出力部２２と、リセット指令部２３と、動作判定部２４と、を備えている。

第１出力部２１及び第２出力部２２は、ＡＳＩＣ３に信号を出力するように構成されている。第１出力部２１は、マイコン２内に組み込まれており、通信網に対応する信号を生成する部分である。第１出力部２１は、例えば、情報に所定のヘッダー等を付加し、信号を生成する。本実施形態の第１出力部２１は、マイコン２において、ＡＳＩＣ３を介してＣＡＮ７０との通信を実行する部分であって、後述するＡＳＩＣ３の外部出力部３１と通信線４１で接続されている。第１出力部２１は、マイコン２側のＣＡＮ通信部ともいえる。第１出力部２１は、マイコン２の動作中、信号を一定の周期で外部出力部３１に出力する。

第２出力部２２は、後述するＡＳＩＣ３の通信部３２と通信線４２で接続されている。第２出力部２２は、例えばシリアル通信回路を構成するシリアル通信部、又はマイコン２の状態をＡＳＩＣ３に伝える監視通信部であって、信号を一定の周期で通信部３２に出力するように構成されている。第２出力部２２は、マイコン２とＡＳＩＣ３との接続状態を監視（確認）するための部分であってもよい。

リセット指令部２３は、マイコン２の異常を検知した場合に第１出力部２１及び第２出力部２２に対して、ＡＳＩＣ３への信号の出力を停止させるリセット信号を出力するように構成されている。つまり、リセット指令部２３は、マイコン２を内部リセットする機能を有している。リセット指令部２３は、リセット信号を出力するにあたり、リセット信号を出力するための動作（指令）である指令動作を行う。リセット指令部２３は、異常検知時に、指令動作の実行に続いてリセット信号を出力する。

リセット指令部２３は、マイコン２の異常が検出されると、指令動作を実行し、リセット信号を第１出力部２１及び第２出力部２２に出力する。リセット指令部２３は、内部リセットの実行にあたり、指令動作（信号出力前動作）とリセット信号出力動作とを実行可能に構成されている。また、リセット指令部２３は、動作判定部２４が指令動作の実行の有無を診断する診断処理において、リセット信号を出力することなく指令動作を実行する。つまり、リセット指令部２３は、診断処理（例えばイニシャルチェックの一部）として指令動作を実行する場合には、リセット信号を出力しないように構成されている。リセット指令部２３は、診断処理中であることを認識すると、指令動作だけを実行し、リセット信号の出力（リセット信号出力動作）は実行しない。

動作判定部２４は、リセット指令部２３がリセット信号を出力するための動作である指令動作を実行したか否かを判定するように構成されている。動作判定部２４は、例えばリセット指令部２３が指令動作を実行した際にオンされるフラグを確認し、指令動作が実行されたか否かを判定する。この場合、動作判定部２４は、フラグがオンであれば指令動作が実行されたと判定し、フラグがオフであれば指令動作が実行されていないと判定する。オンされたフラグは、所定時間後にオフになるように設定されてもよい。また、マイコン２は、フラグの状態を記憶する記憶部を備えていてもよい。

ＡＳＩＣ３は、特定用途向け集積回路(Application Specific Integrated Circuit)であり、基板１０に搭載されている。ＡＳＩＣ３は、ＣＡＮ７０と通信可能に接続されている。ＡＳＩＣ３は、外部出力部３１と、通信部３２と、を備えている。

外部出力部３１は、第１出力部２１に接続され、第１出力部２１の信号を受信することにより基板１０外の装置に信号を出力し、第１出力部２１から信号を受信しない場合に信号出力を停止するように構成されている。外部出力部３１は、ＡＳＩＣ３に組み込まれており、例えば受信した信号をＣＡＮ通信可能な信号に変換してＣＡＮ７０に出力する。外部出力部３１は、ＡＳＩＣ３側のＣＡＮ通信部といえる。このように制御装置１からＣＡＮ７０（及びＣＡＮ７０を介した制御装置９）への信号出力は、外部出力部３１により行われる。

通信部３２は、第２出力部２２及び外部出力部３１に接続され、第２出力部２２から信号を受信しない場合に外部出力部３１の信号出力を停止させるように構成されている。通信部３２は、ＡＳＩＣ３に組み込まれており、第２出力部２２及び外部出力部３１との通信機能を有している。

ここで、リセット機能の診断の流れの一例について図２を参照して説明する。制御装置１が起動し、各機能のチェック（イニシャルチェック）が開始され（Ｓ１０１）、そのイニシャルチェック中に（Ｓ１０２）、並行してリセット機能の診断処理が実行される（Ｓ１０３）。つまり、イニシャルチェックと診断処理とが並列処理される。診断処理では、リセット指令部２３が指令動作のみを実行し（Ｓ１０４）、動作判定部２４が指令動作の実行の有無を判定する（Ｓ１０５）。動作判定部２４が「指令動作有り」と判定した場合（Ｓ１０５：Ｙｅｓ）、マイコン２はリセット機能が正常であると判定する（Ｓ１０６）。一方、動作判定部２４が「指令動作無し」と判定した場合（Ｓ１０５：Ｎｏ）、マイコン２はリセット機能が異常であると判定する（Ｓ１０７）。この場合、制御装置１は、例えば音や表示により、乗員に異常があることを通知する。
このように、本実施形態のリセット機能の診断方法は、リセット機能の診断にあたり、リセット指令部２３がリセット信号を出力することなく指令動作を実行する工程と、動作判定部２４が指令動作の実行の有無を診断する工程と、を含んでいる。

（本実施形態の作用効果）
本実施形態によれば、外部出力部３１からＣＡＮ７０への信号出力を停止させるリセット信号をリセット指令部２３が出力すると、第１出力部２１及び第２出力部２２の信号出力が停止される。外部出力部３１は、第１出力部２１からの信号を受信しないとＣＡＮ７０への信号出力を停止する。また、通信部３２は、第２出力部２２からの信号を受信しないと外部出力部３１の信号出力を停止させる。つまり、第１出力部２１及び第２出力部２２の少なくとも一方の信号出力が停止すれば、制御装置１からＣＡＮ７０及び制御装置９への信号出力は停止される。

この構成によれば、例えば何らかの原因で第１出力部２１にリセット信号が到達しなかった場合やリセット信号が到達したにもかかわらず第１出力部２１の信号出力が停止されなかった場合でも、第２出力部２２にリセット信号が到達して第２出力部２２の信号出力が停止されれば、通信部３２により外部出力部３１の信号出力は停止される。つまり、第１出力部２１及び第２出力部２２のいずれか一方が正常に機能すれば、リセット信号によって外部出力部３１の信号出力すなわち制御装置１の信号出力は停止される。このように、本構成では、マイコン２をリセットして制御装置１からの信号出力を停止させるにあたり、冗長構成が組まれている。

本構成では、リセット機能に冗長構成が組まれているため、リセット信号を出力さえできれば、すなわちリセット指令部２３がリセット信号を出力するための動作（指令動作）を実行できれば、マイコン２のリセットが正常に完了すると推定できる。したがって、診断処理において、リセット指令部２３は実際にリセット信号を出力せずに指令動作のみを実行し、動作判定部２４が指令動作の実行の有無を判定することで、制御装置１はリセット機能が正常であるか否かを診断することができる。

本実施形態によれば、リセット機能の診断において、指令動作の実行の有無を判定するだけでよいため、実際にマイコン２をリセットして再起動する必要がない。リセット指令部２３は診断処理においてリセット信号を出力せずに指令動作を実行するため、マイコン２がリセットされず、診断時間の短縮が可能となる。また、マイコン２とＡＳＩＣ３以外に、別途ラッチ回路やモニタ回路を設ける必要がなく、部品点数の増大及び部品実装面積の増大を抑制することができる。基板１０には、一般的にマイコン２とＡＳＩＣ３とが搭載されており、本実施形態によれば既存の実装面積を維持することができる。

また、診断処理ではマイコン２が実際にリセットされないので、他の機能のチェック中（例えばイニシャルチェック中）に並行してリセット機能のチェックができる。これにより、効率的な自己診断が可能となる。

本実施形態の適用の一例として、ブレーキシステムにおいて、制御装置１は第１ブレーキＥＣＵとして配置され、制御装置１と同様の構成（リセット指令部２３等）を有する制御装置９は第２ブレーキＥＣＵとして配置される。第１ブレーキＥＣＵと第２ブレーキＥＣＵとはＣＡＮ７０を介して通信可能に接続されている。通常時、第１ブレーキＥＣＵは上流ユニット及び下流ユニットの一方を制御し、第２ブレーキＥＣＵは上流ユニット及び下流ユニットの他方を制御する。第１ブレーキＥＣＵが故障し、マイコン２がリセットされて第１ブレーキＥＣＵからＣＡＮ７０への信号出力が停止すると、第２ブレーキＥＣＵが第１ブレーキＥＣＵの故障を検知し、第２ブレーキＥＣＵによる異常時用の制御が実行される。第２ブレーキＥＣＵが故障した場合も同様に、第２ブレーキＥＣＵの信号出力が停止し、第１ブレーキＥＣＵが第２ブレーキＥＣＵの故障を検知して異常時用の制御を実行する。このように、制御装置１、９が自身の異常を検知した場合に自身の信号出力を確実に停止できることで、正常な制御装置による代替制御が可能となる。

（その他）
本発明は、上記実施形態に限られない。例えば、図１では通信線４１、４２を図の便宜上２本で表しているが本数はこれに限られない。例えば、第２出力部２２と通信部３２とがシリアル通信としての機能を発揮する場合、通信線４２は４本となる。また、例えば、第２出力部２２と通信部３２とが監視機能を発揮する場合、通信線４２は１本で足りる。シリアル通信機能及び監視機能では、マイコン２から一定の周期で信号が送信され、この周期が乱れると（例えば第２出力部２２からの信号が停止されると）通信部３２により外部出力部３１からの信号出力が停止される。また、リセット機能の診断処理は、他の機能チェックと並行して（同時に）実行されることに限らず、順番に実行されてもよい。また、診断処理は、イニシャルチェック時に限らず、任意のタイミングで実行できる。また、制御装置１は、例えばエンジンＥＣＵやブレーキＥＣＵなどの車両用制御装置に限らず、他のシステムに適用されてもよい。制御装置１は、複数の制御装置による冗長構成が必要なシステムにおいても同様に有効である。制御装置において現時点ではマイコンと特定用途向け集積回路（ＡＳＩＣ）の組み合わせが最適と考えられるが、将来的にはこの限りではない。例えば、マイコン２とＡＳＩＣ３との組み合わせに相当する（同機能の）新たな組み合わせが登場した場合、本発明の範囲に含まれるものとして本発明の概念を適用することができる。

１…制御装置、１０…基板、２…マイコン（マイクロコントローラ）、２１…第１出力部、２２…第２出力部、２３…リセット指令部、２４…動作判定部、３…ＡＳＩＣ、３１…外部出力部、３２…通信部。

Claims (2)

1. マイクロコントローラとＡＳＩＣとが通信可能に搭載された基板を備える制御装置であって、
   前記マイクロコントローラは、
   前記ＡＳＩＣに信号を出力する第１出力部及び第２出力部と、
   前記マイクロコントローラの異常を検知した場合に前記第１出力部及び前記第２出力部に対して、前記ＡＳＩＣへの信号の出力を停止させるリセット信号を出力するリセット指令部と、
   前記リセット指令部が前記リセット信号を出力するための動作である指令動作を実行したか否かを判定する動作判定部と、
   を備え、
   前記ＡＳＩＣは、
   前記第１出力部に接続され、前記第１出力部の信号を受信することにより前記基板外の装置に信号を出力し、前記第１出力部から信号を受信しない場合に信号出力を停止する外部出力部と、
   前記第２出力部及び前記外部出力部に接続され、前記第２出力部から信号を受信しない場合に前記外部出力部の信号出力を停止させる通信部と、
   を備え、
   前記リセット指令部は、前記動作判定部が前記指令動作の実行の有無を診断する診断処理において、前記リセット信号を出力することなく前記指令動作を実行する、制御装置。
2. 請求項１に記載の制御装置を用いたリセット機能の診断方法であって、
   リセット機能の診断にあたり、前記リセット指令部が前記リセット信号を出力することなく前記指令動作を実行する工程と、
   前記動作判定部が前記指令動作の実行の有無を診断する工程と、
   を含む、リセット機能の診断方法。

Images