JP4516241B2

JP4516241B2 - エンジン制御装置

Info

Publication number: JP4516241B2
Application number: JP2001206487A
Authority: JP
Inventors: 克也小山
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2001-07-06
Filing date: 2001-07-06
Publication date: 2010-08-04
Anticipated expiration: 2021-07-06
Also published as: JP2003020985A

Description

【０００１】
【発明の属する技術分野】
本発明は、エンジン制御装置に係り、特に、電源、不揮発性メモリ、及び電圧検出部等をワンチップ化するとともに、演算装置を有するエンジン制御装置に関する。
【０００２】
【従来の技術】
近年の自動車用のエンジン制御装置は、燃料噴射等の各種システムに用いられる制御装置を内蔵しており、これらの各システムの制御装置は、異常時に対するフェールセーフによって信頼性の向上を図ることが行われ、例えば、スロットルバルブをモータにより駆動する電子制御スロットル制御装置を内蔵したエンジン制御装置において、複数のマイコンにより相互機能監視を行うエンジン制御装置等の技術が各種提案されている（例えば、特開平１１−２９４２５２号公報、特開平９−１２３８９４号公報、特開２０００−２９３２４６号公報等参照）。
また、前記エンジン制御装置は、異常時のデータをメモリに記録しており、このデータ処理に関しては、例えば、特開平９−１７０９３２号公報、特開２０００−３３９２３１号公報記載の技術等が各種提案されている。
【０００３】
【発明が解決しようとする課題】
ところで、前記近年のエンジン制御装置は、監視等を行うロジック部、及びレギュレータ等を同一の半導体基板上に形成させてワンチップ化することが一般的に行われ、その小型化及び軽量化が図られている。そして、このワンチップ化された集積回路（ＩＣ）と演算装置との間で種々のデータの授受が行われ、上述の異常時のデータもまた、制御プログラムの実行中においてはメモリに記録される。
【０００４】
しかし、前記従来の技術における異常時のデータを記録するメモリは、揮発性メモリであることから、電源が遮断された場合については考慮がなされていないものである。つまり、揮発性メモリは、前記データを電気的に保持していることから、バッテリーを外した際にはその内容もクリアされてしまい、例えマイコンの相互監視により異常を検出した場合であっても、電源の遮断によって前記異常時の結果は保持されないことになる。
【０００５】
一方、前記異常時のデータを上記の揮発性メモリではなく、不揮発性のメモリに記録することも考えられるが、この不揮発性メモリは、一般的に演算装置と対になるものである。つまり、一の演算装置にはこの一の演算装置からの命令に従う不揮発性メモリが存在し、この不揮発性メモリは他の演算装置からアクセスすることができないものである。
【０００６】
すなわち、本発明者は、前記異常時のデータを消去せず、しかも、上記の如くのワンチップ化による小型化及び軽量化を図るためには、演算装置毎の不揮発性メモリを用いずに、一つの不揮発性メモリに対して複数の演算装置等からのアクセスを可能とするための何等かの手段が必要であるという新たな知見を得たものであるが、前記の従来の技術は、この点については格別の配慮がなされていない。
【０００７】
本発明は、このような問題に鑑みてなされたもので、その目的とするところは、不揮発性メモリに対して複数の演算装置からのアクセスを可能にし、異常時のデータの記録及びその保持を行うことができるエンジン制御装置を提供することである。
【０００８】
【課題を解決するための手段】
前記目的を達成すべく、本発明に係るエンジン制御装置は、少なくともエンジンに供給される燃料噴射量を演算する演算装置と、バッテリーの電圧から前記演算装置に印加する電圧を生成するレギュレータと、該レギュレータの電圧のレベルを監視する電圧検出器と、前記演算装置の演算機能を監視するフェールセーフロジック部と、電気的に消去及び書き込みが可能な不揮発性メモリと、を有するエンジン制御装置であって、該エンジン制御装置は、前記演算装置及び前記フェールセーフロジック部の双方から前記不揮発性メモリにアクセスを可能とするメモリアクセス手段を有することを特徴としている。
【０００９】
前記の如く構成された本発明のエンジン制御装置は、不揮発性メモリにアクセスできるメモリアクセス手段を有し、不揮発性メモリへの電気的な消去及び書き込みが、該メモリアクセス手段を介して演算装置とフェールセーフロジック部の双方から可能となるので、異常の結果等を常に保持することができるとともに、従来に比して前記不揮発性メモリにアクセスするデバイスよりも少ないメモリで行うことができ、エンジン制御装置の信頼性の向上を図り、かつ、その構成を安価にすることができる。
【００１０】
また、本発明に係るエンジン制御装置の具体的態様は、前記メモリアクセス手段は、前記演算装置及び／又は前記フェールセーフロジック部からの信号に基づいて、前記不揮発性メモリに対する消去及び書き込みを許可すること、若しくは前記メモリアクセス手段は、前記電圧検出器が前記レギュレータの電圧の異常値を検出した場合には、前記不揮発性メモリに対する消去及び書き込みを禁止することを特徴としている。
【００１１】
さらに、本発明に係るエンジン制御装置の他の具体的態様は、前記メモリアクセス手段は、前記フェールセーフロジック部が前記演算装置の演算機能の異常を検出した場合には、該演算装置の異常判定結果を前記不揮発性メモリに書き込むことを許可すること、若しくは前記演算装置が自己診断によって演算機能の異常を検出した場合には、該演算装置の異常判定結果を前記不揮発性メモリに書き込むことを許可すること、若しくは前記演算装置が前記フェールセーフロジック部のロジックの異常を検出した場合には、該フェールセーフロジックの異常判定結果を前記不揮発性メモリに書き込むことを許可すること、又は前記フェールセーフロジック部が自己診断によってロジックの異常を検出した場合には、該フェールセーフロジック部の異常判定結果を前記不揮発性メモリに書き込むことを許可することを特徴としている。
また、前記エンジン制御装置は、前記レギュレータと、前記電圧検出器と、前記フェールセーフロジック部と、前記不揮発性メモリと、前記メモリアクセス手段と、を一つの基板に有することを特徴としている。
【００１２】
【発明の実施の形態】
以下、図面により本発明の実施形態について説明する。
【００１３】
図１は、本実施形態に係るエンジン制御装置の構成を示すものである。
該エンジン制御装置５０は、自動車車輌に設定されたバッテリー１を電源とし、演算装置４に最適な電圧をバッテリー１の電圧から生成するレギュレータ２と、レギュレータ２の電圧の電圧レベルを監視する電圧検出器３と、少なくともエンジンに供給される燃料噴射量を演算する演算装置４と、該演算装置４の演算機能を監視するフェールセーフロジック部５と、電気的に消去及び書き込みが可能な不揮発性メモリ７とを有するとともに、この不揮発性メモリ７に対して演算装置４及びフェールセーフロジック部５の双方からのアクセスを可能とするメモリアクセスコントローラ（メモリアクセス手段）６を有している。
そして、レギュレータ２、電圧検出器３、フェールセーフロジック部５、メモリアクセスコントローラ６、並びに不揮発性メモリ７は、一つの基板６０に設けられている。
【００１４】
レギュレータ２は、バッテリー電圧１ａが通常１２Ｖであるため、エンジン制御装置５０内のハードウェアに最適な電圧値（ＶＣＣ）に変換し、各部に供給している。
電圧検出部３は、前記レギュレータ２で生成されたＶＣＣ電圧２ａが、エンジン制御装置５０内のハードウェアの動作電圧の範囲内であるか否かを検出する。そして、例えば、電圧検出部３は、ＶＣＣ電圧２ａの異常電圧を検出すると、後述するように、演算装置４、フェールセーフロジック部５、及びメモリアクセスコントローラ６にリセット信号３ａを出力し、これら演算装置４、フェールセーフロジック部５、及びメモリアクセスコントローラ６の動作を停止させる。
【００１５】
演算装置４は、上述の如く、少なくともエンジンに燃料を噴射する燃料噴射装置を制御するための演算を行うものであるが、次記のようにフェールセーフロジック部５のロジックの機能監視を行うとともに、演算装置４の演算機能の監視を行っており、演算装置４は、前記ロジック及び／又は自己演算機能の異常を検知した場合には、メモリアクセスコントローラ６にメモリ７への書き込み要求信号４ａを出力している。
【００１６】
なお、演算装置４によるフェールセーフロジック部５のロジックの機能監視は、フェールセーフロジック部５に対し、故意に間違った演算結果を返信し、フェールセーフロジック部５が、演算機能に異常があることを演算装置４に信号線５ｃで出力されるか否かを確認している。
【００１７】
フェールセーフロジック部５は、主として演算装置４の機能を検査するためのものであり、フェールセーフロジック部５から演算装置４に対して通信線５ｂで出題を送信し、この出題に基づいた演算装置４からの回答が通信線５ｂでフェールセーフロジック部５に返信され、これをチェックすることにより、演算装置４の演算機能の監視を行っている。また、フェールセーフロジック部５は、そのロジックの監視をも行っており、前記演算機能及び／又は自己診断機能の異常を検知した場合には、メモリアクセスコントローラ６にメモリ７への書き込み要求信号５ａを出力している。
つまり、演算装置４とフェールセーフロジック部５は、自己の機能監視を行うとともに、後述のように、相互に機能監視を行っている。
【００１８】
メモリアクセスコントローラ６は、メモリアクセス手段の一態様であり、不揮発性メモリ７へのアクセス権をハンドリングする、すなわち、演算装置４とフェールセーフロジック部５とからの不揮発性メモリ７に対するアクセスが衝突しないように、メモリ７へのアクセス権を操作している。
そして、メモリアクセスコントローラ６は、後述のように、演算装置４及び／又はフェールセーフロジック部５からの信号に基づいて、不揮発性メモリ７に対する消去及び書き込みを禁止している。
【００１９】
また、メモリアクセスコントローラ６は、フェールセーフロジック部５が演算装置４の演算機能の異常を検出した場合、又は演算装置４が自己診断によって演算機能の異常を検出したときには、この演算装置４の異常判定結果を不揮発性メモリ７に書き込み、また、演算装置４がフェールセーフロジック診断により、フェールセーフロジック部５のロジックの異常を検出した場合、又はフェールセーフロジック部５が自己診断によってフェールセーフロジック部５のロジックの異常を検出したときには、このフェールセーフロジック部５の異常判定結果を不揮発性メモリ７に書き込んでいる。
【００２０】
電気的に消去、書き込み可能な不揮発性メモリ７は、電源遮断の有無にかかわらず前記診断結果等を格納しておくものであり、メモリアクセスコントローラ６を介して、演算装置４及びフェールセーフロジック部５の双方からアクセス可能にされている。メモリ７の消去、書き込みの最小単位はビット、及びブロックである。
【００２１】
図２は、電圧検出部３の内部構成図である。
電圧検出部３では、バッテリー電圧１ａ、又はＶＣＣ電圧２ａを電源として生成される基準電圧源１１と、ディバイダー１２と、コンパレータ１３とからなり、前記基準電圧１１と、ＶＣＣ電圧２ａをディバイダー１２で分圧した信号１２ａとをコンパレータ１３で比較し、ＶＣＣ電圧２ａの異常電圧を検出する。
【００２２】
そして、異常な電圧値を検出した場合には、演算装置４、フェールセーフロジック部５、メモリアクセスコントローラ６に対してリセット信号３ａを出力し、演算装置４、フェールセーフロジック部５、及びメモリアクセスコントローラ６の動作を停止させる。
すなわち、電圧検出部３がＶＣＣ電圧２ａの異常電圧を検出することによって、演算装置４、フェールセーフロジック部５、及びメモリアクセスコントローラ６の誤動作が防止され、特に、メモリ７のデータばけの防止が図られることになる。
【００２３】
図３は、メモリアクセスコントローラ６の内部ブロック図を示す。
メモリアクセスコントローラ６は、演算装置４及びフェールセーフロジック部５からのメモリ７へのアクセス要求が入力されるコントローラ５１と、コントローラ５１によるアクセス優先順位の高い処理に対して切換えられるセレクタ５２とからなり、この切換えによって演算装置４又はフェールセーフロジック部５のいずれかによるメモリ７に対するアクセスが許可される。
【００２４】
つまり、この場合には、いずれか一方のデバイスはアクセス権待ちになり、他方のデバイスによるメモリ７へのアクセスが終了した後にセレクタ５２が切換えられ、前記一方のデバイスによるメモリ７へのアクセスが可能となる。
また、電圧検出部３において異常電圧が検出された場合には、メモリ７への異常値書込みを防止するために、リセット信号３ａをコントローラ５１に出力し、コントローラ５１の動作が停止される。
【００２５】
図４は、演算装置４とフェールセーフロジック部５の相互監視機能を示すフローチャートである。
演算装置４では、ステップ２１にて、定時割り込みタスクにより監視機能ロジックを起動する。
【００２６】
そして、ステップ２２では、演算装置４とフェールセーフロジック部５とが通信線５ｂを介してデータ通信を行い、フェールセーフロジック部５からの出題データ２２ａを受信すると同時に、前回の演算結果を回答データ２２ｂとしてフェールセーフロジック部５に送信する。
【００２７】
ステップ２３では、フェールセーフロジック部５のロジックの機能を監視するプログラムの実行可否を判断して、誤回答演算を実施するタイミングか否かを決定する。
つまり、誤回答演算を実施するタイミングである場合、すなわち、ＯＫのときには、演算装置４内の制御シーケンスにおいて、通常制御の妨げにならない条件、例えば、エンジンを停止した後の電源オフシーケンス内で、機能監視プログラム（ステップ２５〜ステップ２８）を実行する判定を行う。
【００２８】
すなわち、ステップ２５では、フェールセーフロジック部５からの出題データ２２ａを基に、誤回答を演算し、ステップ２６では、フェールセーフロジック部５からの通信データによらないＦａｉｌ信号５ｃを確認してステップ２７に進む。そして、ステップ２７では、誤回答をフェールセーフロジック部５に送信した回数をカウントしており、カウンタが指定回数以上、例えば、誤回答を２回送信したときに、フェールセーフロジック部５からＦａｉｌ信号５ｃが出力されていることを確認する。
ここで、Ｆａｉｌ信号５ｃがフェールセーフロジック部５から出力されている場合、すなわち、ＯＫのときには、フェールセーフロジック部５の正常判定をしてステップ２９にて監視機能ロジックの１ＪＯＢシーケンスを終了する。
【００２９】
しかし、Ｆａｉｌ信号５ｃが出力されないときには、ステップ２８に進み、フェールセーフロジック部５の異常判定をして、その異常結果をメモリ７に書き込み、ステップ２９にて監視機能ロジックの１ＪＯＢシーケンスを終了する。
また、ステップ２３において、誤回答演算を実施するタイミングではない場合、つまり、通常制御時にはステップ２４に進み、フェールセーフロジック部５からの出題データ２２ａに基づき、回答を演算してステップ２９にて監視機能ロジックの１ＪＯＢシーケンスを終了する。
【００３０】
なお、前記回答２２ｂをフェールセーフロジック部５に送信するタイミングは、前記ステップ２２のタイミングである。
また、図示していないが、回答演算２４を異なるＲＡＭエリアで冗長演算することにより、演算装置４の自己診断を行っている。この冗長演算結果が異なる場合は、演算装置４の異常判定により、メモリアクセスコントローラ６を介してメモリ７に異常結果を書き込んでいる。
【００３１】
次に、フェールセーフロジック部５では、ステップ３１にて、演算装置４に出題２２ａを送信すると同時に、回答２２ｂを受信する。
そして、ステップ３２では、受信した回答２２ｂが前回の出題２２ａに対して正常回答であるか否かを判定し、回答２２ｂが正常であると判定された場合、すなわち、ＯＫのときには、ステップ３３に進んで回答２２ｂの異常回数を数えているカウンタを０クリアしてステップ３４に進む。
ステップ３４では、次の通信で送信する出題２２ａ、及びその出題に対する正解回答の演算を行い、次回のステップ３１での通信に備え、ステップ４０にて、フェールセーフロジック部５での１ＪＯＢシーケンスを終了する。
【００３２】
一方、ステップ３２にて、回答２２ｂが正常ではないと判定された場合には、ステップ３５に進み、異常が判定されたことからＮＧカウンタをインクリメントする。
そして、ＮＧカウンタが定められた値以上、例えば、２回以上になった場合には、ステップ３６にて演算装置４の異常判定を行う。なお、異常判定をしないときにはステップ３４に進み、次の通信で送信する出題２２ａ、及びその出題に対する正解回答の演算を行い、次回のステップ３１での通信に備え、ステップ４０にて、フェールセーフロジック部５での１ＪＯＢシーケンスを終了する。
【００３３】
次に、ステップ３６にて演算装置４の異常判定をした場合において、ステップ３７では、演算装置４がフェールセーフロジック部５の機能監視プログラムの実行条件に入っているか否かを判断し、前記条件に入っている場合、すなわち、ＹＥＳのときには、ステップ３９に進んでＦａｉｌ信号５ｃを出力し、ステップ４０にてフェールセーフロジック部５の１ＪＯＢシーケンスを終了する。
【００３４】
逆に、ステップ３７において、前記条件に入っていない場合には、演算装置４が異常であることを示しており、ステップ３８にて演算装置ＮＧ結果をメモリ７に書き込み、ステップ３９でＦａｉｌ信号５ｃを出力し、ステップ４０にてフェールセーフロジック部５の１ＪＯＢシーケンスを終了する。
【００３５】
なお、図示していないが、回答演算３４を異なるロジックで冗長演算することによりフェールセーフロジック部５の自己診断を行っている。この冗長演算結果が異なる場合は、フェールセーフロジック部５の異常判定により、メモリアクセスコントローラ６を介してメモリ７に異常結果を書き込んでいる。
以上のように、本発明の前記各実施形態は、上記の構成としたことによって次の機能を奏するものである。
【００３６】
すなわち、前記実施形態のエンジン制御装置５０は、レギュレータ２、電圧検出器３、フェールセーフロジック部５、メモリアクセスコントローラ６、並びに不揮発性メモリ７をＩＣ化し、不揮発性メモリ７にアクセスできるメモリアクセスコントローラ６が、演算装置４とフェールセーフロジック部５の双方から不揮発性メモリ７に対するアクセスを可能しているので、電源の遮断等にもかかわらず、演算装置４又はフェールセーフロジック部５の異常の結果等を常に保持することができ、しかも、従来の如く演算装置に対となる構成に比して、少ない不揮発性メモリで達成することができるので、エンジン制御装置５０の信頼性を向上させることができるとともに、その構成を安価にすることができる。
【００３７】
以上、本発明の一実施形態について詳説したが、本発明は前記実施形態に限定されるものではなく、特許請求の範囲に記載された発明の精神を逸脱しない範囲で、設計において種々の変更ができるものである。
【００３８】
【発明の効果】
以上の説明から理解できるように、本発明のエンジン制御装置は、電源を遮断した場合、特に、バッテリーを外した際においても演算装置、及びフェールセーフロジック部の自己診断結果並びに相互監視結果を保持することができる。
また、不揮発性メモリに対し、演算装置とフェールセーフロジック部の双方からアクセスできるので、安価で信頼性の高いエンジン制御装置を提供することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態を示すエンジン制御装置の構成図。
【図２】図１のエンジン制御装置の電圧検出部の内部構成図。
【図３】図１のエンジン制御装置のメモリアクセスコントローラの内部ブロック図。
【図４】図１のエンジン制御装置の演算装置とフェールセーフロジック部の相互監視機能等を示すフローチャート。
【符号の説明】
１バッテリー
２レギュレータ
３電圧検出器
４演算装置
５フェールセーフロジック部
６メモリアクセス手段（メモリアクセスコントローラ）
７不揮発性メモリ
５０エンジン制御装置
６０基板

Claims

少なくともエンジンに供給される燃料噴射量を演算する演算装置と、バッテリーの電圧から前記演算装置に印加する電圧を生成するレギュレータと、該レギュレータの電圧のレベルを監視する電圧検出器と、前記演算装置の演算機能を監視するフェールセーフロジック部と、電気的に消去及び書き込みが可能な不揮発性メモリと、を有するエンジン制御装置において、
該エンジン制御装置は、前記演算装置及び前記フェールセーフロジック部の双方から前記不揮発性メモリにアクセスを可能とするメモリアクセス手段を有することを特徴とするエンジン制御装置。
前記メモリアクセス手段は、前記演算装置及び／又は前記フェールセーフロジック部からの信号に基づいて、前記不揮発性メモリに対する消去及び書き込みを許可することを特徴とする請求項１記載のエンジン制御装置。
前記メモリアクセス手段は、前記電圧検出器が前記レギュレータの電圧の異常値を検出した場合には、前記不揮発性メモリに対する消去及び書き込みを禁止することを特徴とする請求項２記載のエンジン制御装置。
前記メモリアクセス手段は、前記フェールセーフロジック部が前記演算装置の演算機能の異常を検出した場合には、該演算装置の異常判定結果を前記不揮発性メモリに書き込むことを許可することを特徴とする請求項１乃至３のいずれか一項に記載のエンジン制御装置。
前記メモリアクセス手段は、前記演算装置が自己診断によって演算機能の異常を検出した場合には、該演算装置の異常判定結果を前記不揮発性メモリに書き込むことを許可することを特徴とする請求項１乃至４のいずれか一項に記載のエンジン制御装置。
前記メモリアクセス手段は、前記演算装置が前記フェールセーフロジック部のロジックの異常を検出した場合には、該フェールセーフロジック部の異常判定結果を前記不揮発性メモリに書き込むことを許可することを特徴とする請求項１乃至５のいずれか一項に記載のエンジン制御装置。
前記メモリアクセス手段は、前記フェールセーフロジック部が自己診断によってロジックの異常を検出した場合には、該フェールセーフロジック部の異常判定結果を前記不揮発性メモリに書き込むことを許可することを特徴とする請求項１乃至６のいずれか一項に記載のエンジン制御装置。
前記エンジン制御装置は、前記レギュレータと、前記電圧検出器と、前記フェールセーフロジック部と、前記不揮発性メモリと、前記メモリアクセス手段と、を同一の基板に有することを特徴とする請求項１乃至７のいずれか一項に記載のエンジン制御装置。