JP3804454B2 - 電子制御装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のマイクロコンピュータ（マイコン）を備える電子制御装置において、ある特定のマイコンが他のマイコンの動作を監視する電子制御装置に係り、特に車載エンジンの電子スロットル制御を実施するスロットル制御用マイコン等の制御動作を監視する装置に関するものである。
【０００２】
【従来の技術】
この種の電子制御装置では従来より、複数のマイコン間で各自の制御動作を監視し、異常の有無を判断する監視機能が付加されている。例えば、車載用電子制御装置において、燃料噴射や点火等のエンジン制御を実施するエンジン制御マイコンと、電子スロットル制御を実施するスロットル制御マイコンとを具備する構成では、エンジン制御マイコン内に監視プログラムが予め用意され、この監視プログラムによりスロットル制御マイコンの制御動作が監視される。例えば、特開平１１−２９４２５２号公報ではその技術の詳細が開示されている。こうして一方のマイコン（エンジン制御マイコン）が他方のマイコン（スロットル制御マイコン）を監視することにより、スロットル制御マイコンの異常発生時にはそのマイコンをリセットさせ、異常発生したマイコンの動作をエンジン制御マイコンにより補助するようにしていた。これにより、制御のリンプホーム機能が実現できるようになっていた。
【０００３】
また、スロットル制御マイコン等の信頼性や安全性を高めるには、前記監視プログラムの動作自体を監視することが要望されており、監視プログラム自体が正常であるかを監視する必要がある。具体的には、例えば上記公報の装置では、監視プログラムにおいて周期的にウオッチドッグパルスを出力し、そのウオッチドッグパルスをウオッチドッグタイマ（ハードウエアＩＣ）に取り込んで、監視プログラムを監視していた。これにより、システムの安全性を確保していた。
【０００４】
【発明が解決しようとする課題】
しかしながら、上記従来技術では、監視プログラムを監視するためのハードウエアＩＣが必要となるため、コストが高くなること、ＥＣＵのサイズが大きくなること等の問題があった。
【０００５】
本発明は、上記問題に着目してなされたものであって、その目的とするところは、構成の簡素化を図りつつ、適正なマイコン監視機能を実現することができる電子制御装置を提供することである。
【０００６】
【課題を解決するための手段】
請求項１に記載の発明では、第１のマイクロコンピュータにより所定の時間周期で監視プログラムが起動され、該プログラムにより第２のマイクロコンピュータの監視が行われる。また、タイマ設定手段によれば、第１のマイクロコンピュータに内蔵したタイマが用いられ、監視プログラムの実施に際して第２のマイクロコンピュータが正常動作しており且つ監視プログラムが正常であることに加え、前後する前記監視プログラムの時間間隔が、監視プログラムの実施周期の終了時点を含み終了時点の前後に渡り実施周期に比して小さい所定の時間幅にあることを条件に、毎回新たに所定時間が前記タイマにセットされる。
【０００７】
要するに、第２のマイクロコンピュータが正常動作しており且つ監視プログラムが正常であり、さらに前後する前記監視プログラムの時間間隔が、監視プログラムの実施周期の終了時点を含みこの終了時点の前後に渡り実施周期に比して小さい所定の時間幅にある場合には、監視プログラムが実施される度にタイマに所定時間がセットされる。つまり、タイマにセットした所定時間が経過する前に、再度タイマに所定時間がセットされる。この場合、タイマによりポート出力の論理レベルが切り替えられることはなく、正常な状態が継続されていると判断できる。また、第２のマイクロコンピュータに異常が生じた場合、或いは監視プログラムが正常に起動されない場合には、タイマに所定時間がセットされないため、タイマ値が単調増加又は減少して所定時刻に達する。この場合、タイマによりポート出力の論理レベルが切り替えられ、これにより異常発生であると判断できる。こうして、マイクロコンピュータの適正な監視機能が実現できる。また、本発明によれば、マイクロコンピュータが一般に有するタイマ機能を利用して監視動作を行うため、従来装置のように監視用のハードウエアＩＣを必要としない。それ故、構成の簡素化が図られる。
また、この請求項１に記載したように、前後する前記監視プログラムの時間間隔が、監視プログラムの実施周期の終了時点を含みこの終了時点の前後に渡り実施周期に比して小さい所定の時間幅にあることを条件に、前記タイマに所定時間がセットされる構成を採用することにより、監視プログラムが異常に早く起動されたり遅く起動されたりした場合にも異常判定が可能となる。
【０００８】
より具体的には、請求項２に記載したように、単調減少するタイマを用い、そのタイマ値が０になるとポート出力の論理レベルを切り替える電子制御装置において、監視プログラムの起動周期よりも長い所定時間が前記タイマにセットされると良い。
【０００９】
請求項３に記載の発明では、監視プログラムの第１の判定処理において、第２のマイクロコンピュータの演算結果が正しいか否かが判定される。また、同第２の判定処理において、当該プログラムの開始・終了が正常か、或いはその処理順序が正常かが判定される。そして、監視プログラムが正常判定されることを条件に、タイマに所定時間がセットされる。本発明によれば、第１及び第２の判定処理により、監視プログラムが正常であるかどうかが適正に判断できる。
【００１１】
請求項４に記載の発明では、前記タイマが単調増加又は減少して所定時刻に達すると、前記スロットル制御用マイクロコンピュータによる電子スロットル制御が停止される。本発明によれば、電子スロットル制御が正常に実施されるかどうかが適正に監視でき、安全性の高いスロットル制御が実現できる。
【００１２】
【発明の実施の形態】
（第１の実施の形態）
以下、この発明を具体化した第１の実施の形態を図面に従って説明する。本実施の形態では、車両電子制御システムにおいて、電子制御装置（ＥＣＵ）は複数のマイクロコンピュータ（マイコン）を具備し、それらマイコンは、燃料噴射、点火等のエンジン制御や電子スロットル制御といった各種制御を各自に実施する。図１は、本実施の形態における車載ＥＣＵの構成を示す図面である。
【００１３】
図１に示すように、ＥＣＵ１０は、燃料噴射や点火等のエンジン制御を実施するためのエンジン制御マイコン１１と、電子スロットル制御を実施するためのスロットル制御マイコン１２を備えている。なお本実施の形態では、エンジン制御マイコン１１が「第１のマイクロコンピュータ」に相当し、スロットル制御マイコン１２が「第２のマイクロコンピュータ」に相当する。これら各マイコン１１，１２は、シリアル通信により相互に通信可能となっている。エンジン制御マイコン１１は、エンジン回転数等のエンジン状態信号をはじめ、アクセル開度信号、スロットルバルブのバルブ開度信号等を入力し、各種制御に必要な燃料噴射量や点火時期等の演算を実施する。そして、その演算結果に基づいて、インジェクタによる燃料噴射量やイグナイタによる点火時期を最適に制御する。
【００１４】
また、スロットル制御マイコン１２は、アクセル開度信号、バルブ開度信号を入力してスロットル制御に必要なスロットル開度指令値等の演算を行い、その演算結果に基づいてモータ駆動回路（Ｈブリッジ回路）１３に制御信号を出力する。モータ駆動回路１３は、スロットルアクチュエータ２１内のスロットルモータ２２に接続されており、このスロットルモータ２２により図示しないスロットルバルブが駆動され、エンジンへの吸入空気量が調節される。
【００１５】
一方、エンジン制御マイコン１１は、ＷＤＣパルスをＷＤＴ（ウオッチドックタイマ）１４に出力することにより、ＷＤＴ１４にてその異常が監視されている。この場合、ＷＤＣパルスの周期性が崩れるなどしてエンジン制御マイコン１１の異常がＷＤＴ１４により検出されると、エンジン制御マイコン１１に対してリセット信号が出力され、当該マイコン１１がリセットされる。
【００１６】
また、エンジン制御マイコン１１内には、所定の時間周期毎に実行される監視プログラムが設けられている。この監視プログラムによれば、例えば、エンジン制御マイコン１１とスロットル制御マイコン１２において同じデータを用いた演算結果が比較され、それらが一致するかどうかによりスロットル制御マイコン１２での異常の有無が判定される。
【００１７】
エンジン制御マイコン１１では、監視プログラムが正常に完了する毎に、マイコン内蔵のタイマ１５に所定時間がセットされる。タイマ１５は、周知のアウトプットコンペア機能を実現するものであり、タイマ１５の値がセット値から単調に減少して０になると、予め割り付けられたポート（スロットルリレーポートＡ）の論理レベルが自動的にＨレベルからＬレベルに変更されるようになっている。
【００１８】
トランジスタ１６は、前記スロットルリレーポートＡの論理レベルに応じてオン／オフされる。つまり、スロットルリレーポートＡ＝Ｈレベルであれば、トランジスタ１６がオンし、それに伴いモータリレー２３がオンする。これにより、バッテリからモータ駆動回路１３へ電源供給が行われ、スロットルモータ２２の駆動が許可される。また、スロットルリレーポートＡ＝Ｌレベルであれば、トランジスタ１６がオフし、それに伴いモータリレー２３がオフする。これにより、バッテリからモータ駆動回路１３へ電源供給が遮断され、スロットルモータ２２の駆動が停止される。
【００１９】
次に、エンジン制御マイコン１１によるマイコン監視処理について図２及び図３のフローチャートを用いて説明する。
さて、エンジン制御マイコン１１への電源投入に伴い図２が起動されると、ステップ１０１では初期化処理を実施する。この初期化処理では、スロットルリレーポートＡの論理レベルを初期設定する。すなわち、タイマ１５が０以外の時はポートレベルがＨレベルに、タイマ１５が０の時はポートレベルがＬレベルになるよう設定を行う。またその後、ステップ１０２では、燃料噴射量の演算や点火時期の演算といった通常制御を実施する。
【００２０】
また、図３は、エンジン制御マイコン１１による監視プログラムを示し、この処理は、例えば１６ｍｓ毎の周期割り込みにより起動される。図３において、先ずステップ２０１では監視処理を実行する。この監視処理は、特開平１１−２９４２５２号公報の図３〜図６等にも詳細に記載されており、本実施の形態でもこれを適用する。簡単に説明すれば、監視処理として、
（１）監視プログラムが正しく開始され且つ正しく終了されたかどうかをチェックする（エントリ／エンドチェック）。
（２）監視プログラムの処理順序が正しいかどうかをチェックする。
（３）スロットル制御マイコン１２で演算したスロットル開度指令値を、エンジン制御マイコン１１で演算したスロットル開度指令値と比較し、それらが一致するかどうかをチェックする。
といった各処理を順次実施する。そして、これら（１）〜（３）の何れかのチェックで異常発生が判定されると、その旨を表すエラーフラグをセットする。なお本実施の形態では、上記（１），（２）が「第２の判定処理」に相当し、（３）が「第１の判定処理」に相当する。但し上記（１），（２）は何れか一方のみを実施しても良い。
【００２１】
その後、ステップ２０２では、上記ステップ２０１の監視処理で正常判定されたか否かを判別する。そして、ステップ２０２がＹＥＳであることを条件にステップ２０３に進み、タイマ１５の値が所定範囲（例えば、６０〜６８ｍｓ）にあるか否かを判別する。ステップ２０３がＹＥＳであれば、後続のステップ２０４に進み、タイマ１５に所定時間（本実施の形態では、８０ｍｓ）をセットする。なおこの処理が「タイマ設定手段」に相当する。
【００２２】
また、ステップ２０２，２０３の何れかがＮＯの場合、そのまま本処理を終了する。つまり、上記ステップ２０１の監視処理で異常判定された場合、或いは監視プログラムの実施周期が本来の実施周期（１６ｍｓ周期）で起動されない場合には、タイマ１５に８０ｍｓがセットされることはない。
【００２３】
図４は、マイコン監視機能の動作を示すタイムチャートである。図４において、ｔ１のタイミング以前は、スロットル制御マイコン１２が正常動作し且つ監視プログラムが正常であるため、監視プログラムの起動周期である１６ｍｓ周期でタイマ１５に所定時間（８０ｍｓ）がセットされる。つまり、１６ｍｓが経過する前に、再度タイマ１５に所定時間がセットされる。この場合、スロットルリレーポートＡはＨレベルで保持されるので、モータリレー２３がオンされ、スロットルモータ２２への電源供給が継続される。
【００２４】
これに対し、例えばｔ１のタイミングでスロットル制御マイコン１２の異常又は監視プログラムの異常が確認されると、それ以降、タイマ１５に所定時間（８０ｍｓ）がセットされることはない。そしてその後、ｔ２のタイミングでタイマ値＝０になると、スロットルリレーポートＡがＬレベルに切り替えられる。スロットルリレーポートＡがＬレベルになると、モータリレー２３がオフされ、スロットルモータ２２への電源供給が遮断される。これにより、スロットルアクチュエータ２１による吸入空気量の制御が禁止される。
【００２５】
以上詳述した本実施の形態によれば、適正なマイコン監視機能が実現できる。また、マイコンが一般に有するタイマ機能を利用して監視動作を行うため、従来装置のように監視用のハードウエアＩＣを必要としない。それ故、構成の簡素化が図られる。
【００２６】
また、異常発生時には、タイマ１５によりスロットルリレーポートＡがＨレベルからＬレベルに切り替えられ、電子スロットル制御が停止される。本実施の形態によれば、電子スロットル制御が正常に実施されるかどうかが適正に監視でき、安全性の高いスロットル制御が実現できる。
【００２７】
また、前後する監視プログラムの時間間隔がタイマ値によりモニタされ、その時間間隔が所定の許容範囲（６０〜６８ｍｓ）にあることを条件に、タイマ１５に所定時間（８０ｍｓ）がセットされる。これにより、監視プログラムが異常に早く起動されたり遅く起動されたりした場合に異常判定が可能となる。
【００２８】
因みに、従来装置（例えば特開平１１−２９４２５２号公報の装置）ではＷＤＣパルスが所定時間反転しないとハードウエアＩＣ（ＷＤＴ）が監視プログラムの異常判定を行うが、このＷＤＣパルスをモニタする所定時間と、本実施の形態においてタイマ１５に毎回セットする所定時間とを同じ時間とすれば、同等の監視機能が実現できる。勿論、タイマ１５にセットする所定時間はその時々の設計仕様に合わせて任意に設定できる。
【００２９】
（第２の実施の形態）
次に、本発明における第２の実施の形態について、上述した第１の実施の形態との相違点を中心に説明する。本実施の形態ではその概要として、ＥＣＵ内の一方のマイコン（メインマイコン）にエンジン制御機能とスロットル制御機能とを集約し、他方のマイコン（サブマイコン）にマイコン監視機能のみを持たせる構成とする。要するに、サブマイコンが監視機能のみを持つ構成とすれば、当該サブマイコンのパフォーマンスを落とすことができ、コストダウンが可能となる。例えば、メインマイコンとして３２ビットマイコンを用い、サブマイコンとして１６ビット又は８ビットマイコンを用いる。
【００３０】
図５は、本実施の形態における車載ＥＣＵの構成を示す図面であり、以下には前記図１との相違点を中心に説明する。なお図５では、ＥＣＵと外部装置との間の信号入出力については図示を省略する。
【００３１】
図５において、ＥＣＵ３０は、メインマイコン３１とサブマイコン３２とを具備する。メインマイコン３１は、各種エンジン状態信号などに基づいて燃料噴射や点火等のエンジン制御を実施すること（前記図１のエンジン制御マイコン１１と同様）に加え、所望のスロットル開度指令値を算出する。メインマイコン３１は、ＷＤＣパルスをＷＤＴ３３に出力することにより、ＷＤＴ３３にてその異常が監視されている。
【００３２】
一方、サブマイコン３２は、メインマイコン３１によるスロットル制御動作を監視するものであり、同マイコン３２内には、所定の時間周期毎に実行される監視プログラムが設けられている。この監視プログラムによれば、メインマイコン３１の演算結果が正しいか否かが判定されると共に、当該プログラムの開始・終了が正常か、或いはその処理順序が正常かが判定される（第１，第２の判定処理）。
【００３３】
サブマイコン３２では、監視プログラムが正常に完了する毎に、マイコン内蔵のタイマ３４に所定時間がセットされる。タイマ３４は、周知のアウトプットコンペア機能を実現するものであり、タイマ３４の値が単調減少して０になると、ポート出力の論理レベルが切り替えられる。そして、そのポート出力の論理レベルに応じてモータ駆動回路３５によるスロットルモータの駆動が許可又は禁止される。この場合、タイマ３４の値が０以外であれば、モータ駆動回路３５によるスロットルモータの駆動が許可される。これに対して、タイマ３４の値が０になると、モータ駆動回路３５によるスロットルモータの駆動が禁止される。
【００３４】
なお、本実施の形態では、メインマイコン３１が「第２のマイクロコンピュータ」に相当し、サブマイコン３２が「第１のマイクロコンピュータ」に相当する。
【００３５】
以上第２の実施の形態においても既述の第１の実施の形態と同様に、適正なマイコン監視機能が実現できると共に、マイコンが一般に有するタイマ機能を利用して監視動作を行うことで構成の簡素化が図られる。また、安全性の高いスロットル制御が実現できる。
【００３６】
なお本発明は、上記以外に次の形態にて具体化できる。
上記実施の形態では、単調減少するタイマを用い、そのタイマ値が０になるとポート出力の論理レベルを切り替える構成としたが、これを変更する。例えば、単調増加するタイマを用い、所定時刻に達するとポート出力の論理レベルを切り替える構成とする。本構成において、正常状態では監視プログラムの実施に際し、タイマが毎回（１６ｍｓ毎に）０にリセットされる。この場合、ポート出力が切り替えられることはない。これに対して、異常が発生しタイマがリセットできない場合には、タイマ値が所定時刻（例えば８０ｍｓ）に達し、それに伴いポート出力が切り替えられる。上述したポート切り替えにより、マイコンの監視機能が実現できる。
【００３７】
監視対象のマイコン（第２のマイクロコンピュータ）をＡＢＳ用マイコンやエアバッグ用マイコンとすることも可能である。この場合、安全性の高いＡＢＳ制御やエアバッグ制御が実現できる。
【図面の簡単な説明】
【図１】発明の実施の形態における車載ＥＣＵの構成を示す図。
【図２】エンジン制御マイコンの処理を示すフローチャート。
【図３】監視プログラムを示すフローチャート。
【図４】マイコン監視動作の概要を示すタイムチャート。
【図５】第２の実施の形態における車載ＥＣＵの構成を示す図。
【符号の説明】
１０…ＥＣＵ、１１…エンジン制御マイコン、１２…スロットル制御マイコン、１５…タイマ、３０…ＥＣＵ、３１…メインマイコン、３２…サブマイコン、３４…タイマ。

Claims (4)

1. 第１のマイクロコンピュータと第２のマイクロコンピュータとを具備し、前記第１のマイクロコンピュータは、所定の実施周期で監視プログラムを起動して前記第２のマイクロコンピュータの監視を行う電子制御装置であって、
   前記第１のマイクロコンピュータは、単調に増加又は減少して所定時刻に達するとポート出力の論理レベルを切り替える内蔵のタイマと、前記監視プログラムの実施に際して前記第２のマイクロコンピュータが正常動作しており且つ監視プログラムが正常であることに加え、前後する前記監視プログラムの時間間隔が、該監視プログラムの前記実施周期の終了時点を含み当該終了時点の前後に渡り前記実施周期に比して小さい所定の時間幅にあることを条件に、毎回新たに所定時間を前記タイマにセットするタイマ設定手段と、を備えることを特徴とする電子制御装置。
2. 前記タイマは単調減少し、その値が０になるとポート出力の論理レベルを切り替えるものであり、前記タイマ設定手段は、監視プログラムの起動周期よりも長い所定時間を前記タイマにセットする請求項１に記載の電子制御装置。
3. 前記監視プログラムは、前記第２のマイクロコンピュータの演算結果が正しいか否かを判定するための第１の判定処理と、当該プログラムの開始・終了が正常か、或いはその処理順序が正常かを判定するための第２の判定処理とを実施するものであり、前記タイマ設定手段は、前記監視プログラムが正常判定されることを条件に、前記タイマに所定時間をセットする請求項１又は２に記載の電子制御装置。
4. 前記第２のマイクロコンピュータが電子スロットル制御を実施するためのスロットル制御用マイクロコンピュータである車両用電子制御システムに適用され、前記タイマが単調増加又は減少して所定時刻に達すると、前記スロットル制御用マイクロコンピュータによる電子スロットル制御が停止される請求項１〜３の何れかに記載の電子制御装置。

Images