JP5575086B2

JP5575086B2 - Electronic control unit

Info

Publication number: JP5575086B2
Application number: JP2011230421A
Authority: JP
Inventors: 正樹松下; 英司岩見
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2011-10-20
Filing date: 2011-10-20
Publication date: 2014-08-20
Anticipated expiration: 2031-10-20
Also published as: JP2013089104A

Description

この発明は、マイクロコンピュータを複数備え、そのうちの一つのマイクロコンピュータにより他方のマイクロコンピュータの異常を監視するようにした電子制御装置に関するものである。 The present invention relates to an electronic control device that includes a plurality of microcomputers, and one of them monitors an abnormality of the other microcomputer.

従来、いわゆるフェールセーフ強化のために、第１のマイクロコンピュータと、第２のマイクロコンピュータを備え（以下、マイクロコンピュータをマイコンと称する）、第１のマイコンが主に制御対象の制御を司り、第２のマイコンが主に第１のマイコン及び周辺回路の異常を監視するように構成され、或いは、第１のマイコンと第２のマイコンをほぼ同一機能・機種で構成し、相互に制御と異常の監視を行うように構成された電子制御装置がある（例えば、特許文献１参照）。この従来の電子制御装置に於いて、前述の監視は、両マイコンの通信機能を介して、チェックサム、若しくは所定の処理を行い、その答えをチェック、比較することにより行なわれている。 Conventionally, in order to enhance so-called fail-safe, a first microcomputer and a second microcomputer are provided (hereinafter, the microcomputer is referred to as a microcomputer), and the first microcomputer mainly controls the control target. The two microcomputers are mainly configured to monitor the abnormality of the first microcomputer and peripheral circuits, or the first microcomputer and the second microcomputer are configured with almost the same functions and models, and control and abnormality are mutually controlled. There is an electronic control device configured to perform monitoring (see, for example, Patent Document 1). In this conventional electronic control device, the above-described monitoring is performed by performing a checksum or predetermined processing via the communication functions of both microcomputers, and checking and comparing the answers.

特許第３８３５３１２号公報Japanese Patent No. 3835312

特許文献１に記載されている従来の装置は、第２のマイコンが第１のマイコンの動作（演算）を監視する構成であり、その監視の方法は、第１のマイコンの所定のＲＡＭ値とその反転値を第２のマイコンに送信し、チェックサムにより第１のマイコンの異常を監視し、又、第１のマイコンが所定の演算を行なったデータを第２のマイコンへ送信し、第２のマイコンがそのデータの正常、異常を判別するものである。しかし、特許文献１には、第１のマイコンから第２のマイコンへのデータ送信方法については全く言及されておらず、第１のマイコンの異常によって第１のマイコンから第２のマイコンに送信されるデータが正常と判別されるデータに固着されてしまうと、第２のマイコンによって第１のマイコンの異常を検出することが出来ないという問題があった。 The conventional apparatus described in Patent Document 1 is configured such that the second microcomputer monitors the operation (calculation) of the first microcomputer, and the monitoring method is based on the predetermined RAM value of the first microcomputer. The inverted value is transmitted to the second microcomputer, the abnormality of the first microcomputer is monitored by the checksum, and the data that the first microcomputer has performed a predetermined calculation is transmitted to the second microcomputer. The microcomputer determines whether the data is normal or abnormal. However, Patent Document 1 does not mention any data transmission method from the first microcomputer to the second microcomputer, and is transmitted from the first microcomputer to the second microcomputer due to the abnormality of the first microcomputer. If the detected data is fixed to the data determined to be normal, the second microcomputer cannot detect the abnormality of the first microcomputer.

この発明は、従来の装置に於ける前述のような課題を解決するためになされたもので、第１のマイコンに異常が生じた場合でも、第１のマイコンから第２のマイコンに送信されるデータが正常と判断されるデータに固着されてしまうことのないマイコン間通信を実現し、第２のマイコンが第１のマイコンの異常を的確に監視することができる電子制御装置を提供することを目的とする。 The present invention has been made to solve the above-described problems in the conventional apparatus, and is transmitted from the first microcomputer to the second microcomputer even when an abnormality occurs in the first microcomputer. To provide an electronic control device that realizes communication between microcomputers in which data is not fixed to data judged to be normal, and the second microcomputer can accurately monitor the abnormality of the first microcomputer. Objective.

この発明による電子制御装置は、
制御対象に対する制御量の演算を主体とする第１のマイクロコンピュータと、前記第１のマイクロコンピュータに対する動作の監視を主体とする第２のマイクロコンピュータとを備え、前記演算に基づいて前記制御対象を制御するようにした電子制御装置であって、
前記第１のマイクロコンピュータは、前記第２のマイクロコンピュータをマスターとし前記第１のマイクロコンピュータをスレーブとして動作する通信手段と、自身が前記制御量の演算に用いるデータの少なくとも一部を記憶するメモリを有し、
前記通信手段は、前記第２のマイクロコンピュータからの指示に基づいて、前記第1のマイクロコンピュータの演算リソースを用いずに、前記メモリに記憶された前記データの少なくとも一部を読み出して前記第２のマイクロコンピュータに送信するように構成され、
前記第２のマイクロコンピュータは、前記送信されたデータに基づいて前記第１のマイクロコンピュータの異常の有無を判断するように構成されている、
ことを特徴とするものである。 An electronic control device according to the present invention includes:
A first microcomputer mainly for calculating a control amount for a control target; and a second microcomputer mainly for monitoring an operation for the first microcomputer, and the control target is determined based on the calculation. An electronic control device for controlling,
The first microcomputer includes a communication unit that operates using the second microcomputer as a master and the first microcomputer as a slave, and a memory that stores at least a part of data used for calculation of the control amount. Have
Said communication means, based on an instruction from said second microcomputer, without using the computational resources of the first microcomputer, the prior SL reads at least a portion of said data stored in said memory Configured to transmit to two microcomputers,
The second microcomputer is configured to determine whether there is an abnormality in the first microcomputer based on the transmitted data.
It is characterized by this.

この発明による電子制御装置によれば、第１のマイクロコンピュータは、自身が制御量の演算に用いるデータの少なくとも一部を自身の演算リソースを用いずに第２のマイクロコンピュータに送信するように構成され、第２のマイクロコンピュータは、送信されたデータに基づいて第１のマイクロコンピュータの異常の有無を判断するように構成されているので、第１のマイクロコンピュータに異常が発生した場合でも、第２のマイクロコンピュータにより第１のマイクロコンピュータの異常を確実に検出することが可能となる。 According to the electronic control device of the present invention, the first microcomputer is configured to transmit at least a part of data used for calculating the control amount to the second microcomputer without using its own calculation resource. The second microcomputer is configured to determine whether there is an abnormality in the first microcomputer based on the transmitted data. Therefore, even if an abnormality occurs in the first microcomputer, the second microcomputer The abnormality of the first microcomputer can be reliably detected by the two microcomputers.

この発明の実施の形態１による電子制御装置の全体構成を示すブロック図である。1 is a block diagram showing an overall configuration of an electronic control device according to Embodiment 1 of the present invention. FIG. この発明の実施の形態１による電子制御装置の動作を説明するフローチャートである。It is a flowchart explaining operation | movement of the electronic control apparatus by Embodiment 1 of this invention.

実施の形態１．
以下、この発明の実施の形態１による電子制御装置を図に基づいて説明する。この発明の実施の形態１による電子制御装置の全体構成を示すブロック図である。図１に於いて、この発明の実施の形態１による電子制御装置は、例えば車両の電子制御スロットルの制御装置として提供されたものであり、コントロールユニット（以下、ＥＣＵと称する）１と、アクチュエータ２と、センサ１０とにより構成されている。 Embodiment 1 FIG.
Hereinafter, an electronic control unit according to Embodiment 1 of the present invention will be described with reference to the drawings. 1 is a block diagram showing an overall configuration of an electronic control device according to Embodiment 1 of the present invention. FIG. In FIG. 1, an electronic control apparatus according to Embodiment 1 of the present invention is provided as a control apparatus for an electronic control throttle of a vehicle, for example, and includes a control unit (hereinafter referred to as ECU) 1 and an actuator 2. And the sensor 10.

アクチュエータ２は、例えば制御対象としてのスロットルを駆動してその開度を制御するように構成されている。ＥＣＵ１は、電子制御装置による制御の中心をなすものであり、センサ１０からの検出データ等の情報に基づき制御対象の制御量を算出し、その算出した制御量に基づいてアクチュエータ２を駆動する。 The actuator 2 is configured to control the opening degree by driving a throttle as a control target, for example. The ECU 1 is the center of control by the electronic control device, calculates a control amount of a control target based on information such as detection data from the sensor 10, and drives the actuator 2 based on the calculated control amount.

センサ１０は、例えばスロットルの開度を検出するセンサであり、スロットルの開度に応じたデータを制御対象の情報として出力する。ＥＣＵ１は、主として、電源５と、センサ１０からの情報を入力する入力インターフェース（以下、Ｉ／Ｆと称する）６と、第１のマイコン３と、第２のマイコン４と、制御対象であるアクチュエータ２を駆動するドライバ７とにより構成されている。 The sensor 10 is a sensor that detects, for example, a throttle opening, and outputs data corresponding to the throttle opening as information to be controlled. The ECU 1 mainly includes a power source 5, an input interface (hereinafter referred to as I / F) 6 for inputting information from the sensor 10, a first microcomputer 3, a second microcomputer 4, and an actuator to be controlled. 2 and a driver 7 for driving 2.

前述のように構成されたＥＣＵ１に於いて、第１のマイコン３と第２のマイコン４とを更に機能的に分解すると、夫々、以下のように複数の機能ブロックにより構成されている。即ち、第１のマイコン３は、演算の中心をなす第１の演算手段（以下、第１のＣＰＵと称する）３１と、第１の入力ポート３２と、第１の出力ポート３３と、不揮発性メモリとしての第１のＲＯＭ３４と、書き込み及び読み出し可能なメモリとしての第１のＲＡＭ３５と、第１の通信ポート３７と、通信コントローラ３６とから構成されている。尚、第１のマイコン３を構成する前述の各機能ブロックは、アドレスバス若しくはデータバスとしての第１の接続バス３８により相互に接続されている。 In the ECU 1 configured as described above, when the first microcomputer 3 and the second microcomputer 4 are further functionally disassembled, each of them is configured by a plurality of functional blocks as follows. That is, the first microcomputer 3 includes a first computing means (hereinafter referred to as a first CPU) 31, a first input port 32, a first output port 33, and a non-volatile memory that form the center of computation. A first ROM 34 as a memory, a first RAM 35 as a writable and readable memory, a first communication port 37, and a communication controller 36 are included. The above-described functional blocks constituting the first microcomputer 3 are connected to each other by a first connection bus 38 as an address bus or a data bus.

一方、第２のマイコン４は、第１のマイコン３の構成に類似しており、第２の演算手段（以下、第２のＣＰＵと称する）４１と、第２の入力ポート４２と、第２の出力ポート４３と、不揮発性メモリとしての第２のＲＯＭ４４と、書き込み及び読み出し可能なメモリとしての第２のＲＡＭ４５と、第２の通信ポート４７と、これ等の機能ブロックを相互に接続するアドレスバス若しくはデータバスとしての第２の接続バス４８とから構成されている。又、第１のマイコン３の異常を検出した場合に異常信号を出力する出力ライン９が設けられている。出力ライン９は、ドライバ７、及び第１のマイコン３に接続されている。 On the other hand, the second microcomputer 4 has a configuration similar to that of the first microcomputer 3, and includes a second calculation means (hereinafter referred to as a second CPU) 41, a second input port 42, Output port 43, a second ROM 44 as a nonvolatile memory, a second RAM 45 as a writable and readable memory, a second communication port 47, and an address for interconnecting these functional blocks It comprises a second connection bus 48 as a bus or a data bus. An output line 9 is provided for outputting an abnormality signal when an abnormality of the first microcomputer 3 is detected. The output line 9 is connected to the driver 7 and the first microcomputer 3.

次に第１のマイコン３の動作について説明する。センサ１０からの情報を入力すると、第１のＲＯＭ３４に内蔵されたソフトウエアに従ってアクチュエータ２を駆動する制御量を第１のＣＰＵ３１が演算する。その際、第１のＲＡＭ３５からアクチュエータ２を駆動する制御量の演算に用いる所定のデータを読み出すと共に、演算の入力値と中間値と出力値とを第１のＲＡＭ３５に記憶させる。制御量が決定されると第１の出力ポート３３からその制御量が出力され、ドライバ７を制御し、アクチュエータ２を駆動する。第２のマイコン４との間で自己の監視のためではない通信をする必要がある場合、例えば、第２のマイコン４へ制御のための情報提供他を行う場合、第１の通信ポート３７を使用するが、図示していない通信ポートを利用して、別途、データの授受を行うことがある。 Next, the operation of the first microcomputer 3 will be described. When information from the sensor 10 is input, the first CPU 31 calculates a control amount for driving the actuator 2 in accordance with software built in the first ROM 34. At this time, predetermined data used for calculation of the control amount for driving the actuator 2 is read from the first RAM 35, and the input value, intermediate value, and output value of the calculation are stored in the first RAM 35. When the control amount is determined, the control amount is output from the first output port 33, the driver 7 is controlled, and the actuator 2 is driven. When it is necessary to communicate with the second microcomputer 4 not for self-monitoring, for example, when providing information for control to the second microcomputer 4, etc., the first communication port 37 is set. Although used, data may be exchanged separately using a communication port (not shown).

次に、第２のマイコン４の動作について説明する。センサ１０からの情報を入力すると、第２のＲＯＭ４４に内蔵されたソフトウエアに従ってアクチュエータ２を駆動する制御量を第２のＣＰＵ４１が演算する。その際、第２のＲＡＭ４５から所定のデータの読み出すと共に、演算の入力値と中間値と出力値とを第２のＲＡＭ４５に記憶させる。第２のＣＰＵ４１の演算結果は、出力ライン９を介して第１のマイコン３１に送信すると共に、ドライバ７に駆動の継続、停止の信号を出力する。この動作は、後述する第１のマイコン３の監視とは別に行われる。 Next, the operation of the second microcomputer 4 will be described. When the information from the sensor 10 is input, the second CPU 41 calculates a control amount for driving the actuator 2 in accordance with software built in the second ROM 44. At this time, predetermined data is read from the second RAM 45, and the input value, intermediate value, and output value of the calculation are stored in the second RAM 45. The calculation result of the second CPU 41 is transmitted to the first microcomputer 31 via the output line 9, and outputs a drive continuation / stop signal to the driver 7. This operation is performed separately from the monitoring of the first microcomputer 3 described later.

第２のマイコン４による第１のマイコン３の異常の監視に関しては、先ず、第２のマイコン４がマスターとなり、第１のマイコン３がスレーブとなって、第１のマイコン３の監視を行なうためのデータ通信を行う。第２のマイコン４の独自タイミングで、通信指示を第２の通信ポート４７を介して第１のマイコン３へ送信する。この送信は第１のマイコン３の制御周期とは無関係に第２のマイコン４の独自の任意のタイミングで実行され、その通信指示は、第１のマイコン３の第１のＲＡＭ３５に格納されている所定のアドレスのデータを引き出すためのものである。 Regarding the monitoring of the abnormality of the first microcomputer 3 by the second microcomputer 4, first, the second microcomputer 4 serves as a master and the first microcomputer 3 serves as a slave to monitor the first microcomputer 3. Data communication. A communication instruction is transmitted to the first microcomputer 3 via the second communication port 47 at the unique timing of the second microcomputer 4. This transmission is executed at an arbitrary timing unique to the second microcomputer 4 regardless of the control cycle of the first microcomputer 3, and the communication instruction is stored in the first RAM 35 of the first microcomputer 3. This is for extracting data at a predetermined address.

第２のマイコン４からの通信指示が第１のマイコン３の第１の通信ポート３７に入力されると、通信コントローラ３６が起動する。この通信コントローラ３６は、第１のＣＰＵ３１とは独立に処理できるコントローラであって、第２のマイコン４をマスターとし第１のマイコン３をスレーブとして動作する。例えば、通信コントローラ３６は、ＤＭＡＣ（Direct Memory Access controller）のように、第１のＣＰＵ３１とは独立して、データ
の読み出し、伝達ができる手段である。通信コントローラ３６は、第２のマイコン４の通信指示を受けて起動され、第１のＲＡＭ３５の所定のアドレスからデータを読み出し、そのデータを第１の通信ポート３７から第２のマイコン４の第２の通信ポート４７へ送信する。この通信は通信ライン８を介して行われる。通信ポート削減のためシリアル通信、例えばＳＰＩ（Serial Peripheral Interface）、ＳＣＩ（Serial Communication Interface）を利用する。 When a communication instruction from the second microcomputer 4 is input to the first communication port 37 of the first microcomputer 3, the communication controller 36 is activated. The communication controller 36 is a controller that can perform processing independently of the first CPU 31 and operates with the second microcomputer 4 as a master and the first microcomputer 3 as a slave. For example, the communication controller 36 is a unit that can read and transmit data independently of the first CPU 31, such as a DMAC (Direct Memory Access controller). The communication controller 36 is activated upon receiving a communication instruction from the second microcomputer 4, reads data from a predetermined address in the first RAM 35, and reads the data from the first communication port 37 to the second of the second microcomputer 4. To the communication port 47. This communication is performed via the communication line 8. For communication port reduction, serial communication such as SPI (Serial Peripheral Interface) or SCI (Serial Communication Interface) is used.

ここで、第１のマイコン３は、通信コントローラ３６がデータを読み出す第１のＲＡＭ３５の領域を、制御に用いる値を格納するＲＡＭとして使用する。即ち、少なくとも、
第１のマイコン３の監視を行なうために第２のマイコン４に送信する値を格納するＲＡＭとして第１のＲＡＭ３５を使用する。例えば、ＤＭＡＣを用いて通信を行なう場合、ＤＭＡＣは第１のＲＡＭ３５の予め定めたアドレス範囲のデータを第１のＣＰＵ３１とは独立に送信する。このため、第１のマイコンは、例えば第１のマイコン３１で行なう演算の入力値と中間値と出力値とを、ＤＭＡＣが読み出す第１のＲＡＭ３５の予め定めたアドレス範囲に直接格納し、そのＲＡＭ値を読み出して制御に用いるように構成されている。 Here, the first microcomputer 3 uses the area of the first RAM 35 from which the communication controller 36 reads data as a RAM for storing values used for control. That is, at least
In order to monitor the first microcomputer 3, the first RAM 35 is used as a RAM for storing a value to be transmitted to the second microcomputer 4. For example, when communication is performed using the DMAC, the DMAC transmits data in a predetermined address range of the first RAM 35 independently of the first CPU 31. For this reason, the first microcomputer directly stores, for example, the input value, the intermediate value, and the output value of the operation performed by the first microcomputer 31 in a predetermined address range of the first RAM 35 read by the DMAC. A value is read and used for control.

このように構成することで、第１のマイコン３は、自身のＣＰＵリソースを用いずに、制御に用いている値そのものを第１のマイコン３の監視を行なうためのデータとして第２
のマイコン４に送信することができる。このため、第１のマイコン３の演算に異常、即ち、ＣＰＵリソースの故障が生じた場合でも、第２のマイコン４は制御に用いている値に基づいて確実に第１のマイコン３の故障監視を行なうことができる。 By configuring in this way, the first microcomputer 3 does not use its own CPU resource, but instead uses the value itself used for control as data for monitoring the first microcomputer 3.
Can be sent to the microcomputer 4. For this reason, even when the calculation of the first microcomputer 3 is abnormal, that is, when a failure of the CPU resource occurs, the second microcomputer 4 reliably monitors the failure of the first microcomputer 3 based on the value used for control. Can be performed.

第２のマイコン４は、第１のマイコン３から送信されたデータを自己の保有しているデータと比較して、所定範囲内に入っているかを検証し、又は、第２のマイコン４が第２のＣＰＵ４１で演算した結果と比較検証することで、第１のマイコン３の正常、異常を判断する。第２のマイコン４は、第２のＣＰＵ４１とは独立して動作する通信コントローラを備えていなくてもよく、第２のＣＰＵ４１から直接指示して通信してもよい。勿論、第２のマイコン４にも通信コントローラが内蔵していてもよく、この場合はその通信コントローラを利用してもよい。 The second microcomputer 4 compares the data transmitted from the first microcomputer 3 with the data held by the second microcomputer 4 to verify whether it is within a predetermined range, or the second microcomputer 4 Whether the first microcomputer 3 is normal or abnormal is determined by comparing and verifying the result calculated by the CPU 41 of No. 2. The second microcomputer 4 may not include a communication controller that operates independently of the second CPU 41, and may directly communicate with the second CPU 41. Of course, the second microcomputer 4 may also include a communication controller. In this case, the communication controller may be used.

第２のマイコン４による前述の比較検証により第１のマイコン３が異常であると判断した場合、第２のマイコン４は、異常信号を出力する。この異常信号は出力ライン９を介して、ドライバ７を停止したり、第１のマイコン３に送信したり、又は警報を行う。第１のマイコン３の異常の状況によっては、一過性のものであったり、故障の箇所が一部であったり、軽症であった等により、更には後の点検に使用できるため、異常判断を第２のマイコン４のみならず第１のマイコン３も第２のマイコン４からの異常信号を記憶しておくとよい。 If the first microcomputer 3 determines that the first microcomputer 3 is abnormal by the above-described comparison and verification by the second microcomputer 4, the second microcomputer 4 outputs an abnormal signal. This abnormal signal stops the driver 7 via the output line 9, transmits it to the first microcomputer 3, or gives an alarm. Depending on the abnormal condition of the first microcomputer 3, it can be used for later inspections because it is transient, part of the failure or minor, etc. The first microcomputer 3 as well as the second microcomputer 4 may store the abnormal signal from the second microcomputer 4.

次に、第１のＣＰＵ３１、第２のＣＰＵ４１のソフトウエアによる動作の一例を図２のフローチャートに沿って説明する。図２は、この発明の実施の形態１による電子制御装置の動作を説明するフローチャートであり、（Ａ）は第１のマイコン３に於ける第１のＣＰＵ３１のフローチャートであり、（Ｂ）は第２のマイコン４に於ける第２のＣＰＵ４１のフローチャートである。 Next, an example of the operation of the first CPU 31 and the second CPU 41 by software will be described with reference to the flowchart of FIG. FIG. 2 is a flowchart for explaining the operation of the electronic control apparatus according to Embodiment 1 of the present invention. FIG. 2A is a flowchart of the first CPU 31 in the first microcomputer 3, and FIG. 6 is a flowchart of the second CPU 41 in the second microcomputer 4.

先ず、第１のＣＰＵ３１の動作について説明する。図２の（Ａ）に於いて、第１のＣＰＵ３１に電源が投入されると、ステップＳ１０に於いて第１の入力ポート３２、第１の出力ポート３３、及び第１のＲＡＭ３５等を初期化する。このとき、通信コントローラ３６（例えばＤＭＡＣ）を、第２のＣＰＵ４１からの通信指示で第１のＲＡＭ３５の所定のアドレス範囲のデータを第２のＣＰＵ４１に送信するように設定する。 First, the operation of the first CPU 31 will be described. In FIG. 2A, when the first CPU 31 is powered on, the first input port 32, the first output port 33, the first RAM 35, etc. are initialized in step S10. To do. At this time, the communication controller 36 (for example, DMAC) is set to transmit data in a predetermined address range of the first RAM 35 to the second CPU 41 in response to a communication instruction from the second CPU 41.

次にステップＳ１１に進み、センサ１０からの情報を入力Ｉ／Ｆ６、第１の入力ポート３２を介して入力する。ステップＳ１２では、その入力した情報に基づき制御対象に対する制御量を演算する。次に、ステップＳ１３では、いわゆるフェールセーフを実行し、特に第１のＣＰＵ３１以外の異常の有無をチェックする。次に、ステップＳ１４に於いてフェールセーフの結果の反映、及び制御量を第１の出力ポート３３を介してドライバ７へ出力する。 In step S 11, information from the sensor 10 is input via the input I / F 6 and the first input port 32. In step S12, a control amount for the controlled object is calculated based on the input information. Next, in step S13, so-called fail-safe is executed, and in particular, the presence or absence of an abnormality other than the first CPU 31 is checked. Next, in step S14, the reflection of the fail-safe result and the control amount are output to the driver 7 via the first output port 33.

次に、ステップＳ１５では、例えばＤＭＡＣにより構成されている通信コントローラ３６が読み出す第１のＲＡＭ３５の所定のアドレス範囲のＲＡＭに第２のマイコン４に送信するデータを格納する。このデータとしては、例えば第１のマイコン３が制御対象に対する制御量の演算に用いているデータの少なくとも一部である。ここで、第１のＣＰＵ３１は、第１のＲＡＭ３５の前述の所定のアドレス範囲のＲＡＭに格納した値を用いて制御量の演算を行なう。尚、前述のデータを格納するステップＳ１５での処理は、図２の（Ａ）のフローチャートに示すステップＳ１５の位置でなくても、例えば制御量演算過程のものであれば、ステップＳ１２の中で格納してもよいし、或いは、次のステップＳ１７の処理に時間的に余裕のあるときに格納してもよい。 Next, in step S15, data to be transmitted to the second microcomputer 4 is stored in a RAM in a predetermined address range of the first RAM 35 read by the communication controller 36 configured by, for example, DMAC. This data is, for example, at least a part of data used by the first microcomputer 3 to calculate the control amount for the controlled object. Here, the first CPU 31 calculates the control amount using the value stored in the RAM in the predetermined address range of the first RAM 35. Note that the processing in step S15 for storing the above-described data is not in the position of step S15 shown in the flowchart of FIG. It may be stored, or it may be stored when there is time in the process of the next step S17.

ステップＳ１５で第１のＲＡＭ３５に格納したデータは、第１のＣＰＵ３１の一連の処
理とは別に第２のマイコン４からの通信指示に基づいて通信コントローラ３６を介して第２のマイコン４に送信される。この送信をステップＳ１６の破線で示している。最後にステップＳ１７に於いて、第１のＣＰＵ３１が所定の制御周期になるようにＴ１時間待機する。待機時間Ｔ１が経過すればステップＳ１１へ戻り、前述と同様の処理を繰り返す。 The data stored in the first RAM 35 in step S15 is transmitted to the second microcomputer 4 via the communication controller 36 based on a communication instruction from the second microcomputer 4 separately from the series of processes of the first CPU 31. The This transmission is indicated by a broken line in step S16. Finally, in step S17, the first CPU 31 waits for a time T1 so that a predetermined control cycle is reached. If the standby time T1 has elapsed, the process returns to step S11, and the same processing as described above is repeated.

次に第２のＣＰＵ４１の動作について説明する。図２の（Ｂ）に於いて、第２のＣＰＵ４１に電源が投入されると、ステップＳ２０に於いて第２の入力ポート４２、第２の出力ポート４３、及び第２のＲＡＭ４５等を初期化する。ステップＳ２１では、センサ１０からの情報を入力Ｉ／Ｆ６、第２の入力ポート４２を介して入力する。次に、ステップＳ２２に進み、第２のマイコン４として受け持っている出力、処理等のために演算処理を行なう。ステップＳ２３では、その演算結果に基づき出力する。ここまでは通常の処理フローであるが、次の動作からは監視フローとなる。 Next, the operation of the second CPU 41 will be described. In FIG. 2B, when the second CPU 41 is powered on, the second input port 42, the second output port 43, the second RAM 45, etc. are initialized in step S20. To do. In step S <b> 21, information from the sensor 10 is input via the input I / F 6 and the second input port 42. Next, the process proceeds to step S22, and arithmetic processing is performed for the output, processing, etc. that are handled as the second microcomputer 4. In step S23, the output is based on the calculation result. The processing flow so far is a normal processing flow, but the monitoring flow starts from the next operation.

ステップＳ２４に於いて、第２の通信ポート４７から第２のＣＰＵ４１のクロック（図示せず）に従って第１のマイコン３へ通信指示を出力する。この通信指示の出力が破線で示すステップＳ２５である。第１のマイコン３は、第２のマイコン４からの通信指示に基づいて、前述のステップＳ１６によりデータを第２のマイコン４へ返信する。 In step S24, a communication instruction is output from the second communication port 47 to the first microcomputer 3 in accordance with the clock (not shown) of the second CPU 41. The output of this communication instruction is step S25 indicated by a broken line. Based on the communication instruction from the second microcomputer 4, the first microcomputer 3 returns data to the second microcomputer 4 in the above-described step S <b> 16.

次に、ステップＳ２６に於いて、第２のマイコン４は、第１のマイコン３から返信されたデータを自己の保有しているデータと比較して、その返信されたデータが所定範囲内に入っているか否かを検証し、又は、第２のマイコン４が第２のＣＰＵ４１にて演算した結果と前述の返信されたデータとを比較検証することで、返信されたデータが異常であるか否かを判断し、これにより第１のマイコン３が正常であるか異常であるかを判断する。 Next, in step S26, the second microcomputer 4 compares the data returned from the first microcomputer 3 with the data held by itself, and the returned data falls within a predetermined range. Whether or not the returned data is abnormal by comparing and verifying the result calculated by the second CPU 41 and the above-described returned data. Thus, it is determined whether the first microcomputer 3 is normal or abnormal.

ステップＳ２６に於いてデータ異常と判断された場合（Ｙ）、ステップＳ２７に進んで異常処理を行う。この異常処理は、例えば、図１に示す出力ライン９に異常信号を出力すると共に、第２のＣＰＵ４１が異常を記憶する。 If it is determined in step S26 that the data is abnormal (Y), the process proceeds to step S27 to perform abnormality processing. In this abnormality processing, for example, an abnormality signal is output to the output line 9 shown in FIG. 1, and the second CPU 41 stores the abnormality.

以上のように、第２のマイコン４がマスター、第１のマイコン３がスレーブとなって通信を行ない、かつ、通信コントローラ３６によって第１のマイコン３自身のＣＰＵリソ
ースを用いずに、第１のマイコン３が制御に用いているＲＡＭのデータを第２のマイコン４に送信する。このため、第１のマイコン３の異常（ＣＰＵリソースの異常）が生じた場合でも、第２のマイコン４によって第１のマイコン３の故障を確実に検出することが出来る。 As described above, communication is performed with the second microcomputer 4 serving as the master and the first microcomputer 3 serving as the slave, and without using the CPU resources of the first microcomputer 3 itself by the communication controller 36, The RAM 3 used for control by the microcomputer 3 is transmitted to the second microcomputer 4. For this reason, even when the abnormality of the first microcomputer 3 (abnormality of the CPU resource) occurs, the failure of the first microcomputer 3 can be reliably detected by the second microcomputer 4.

以上、２個のマイコンが存在する構成について説明したが、第１のマイコンは複数あってもよい。この場合、第２のマイコンが複数の第１のマイコンに夫々、又は、同一の通信指示を行うことで同様な機能を有することができる。更に、第１のマイコン、第２のマイコンともに複数存在することも可能で、各第２のマイコンが各第１のマイコンを夫々担当して前述と同様の処理を行なうことで第１のマイコンの異常の有無を判断することができる。 Although the configuration in which two microcomputers exist has been described above, there may be a plurality of first microcomputers. In this case, the second microcomputer can have a similar function by giving the same communication instruction to each of the plurality of first microcomputers. Furthermore, there can be a plurality of both the first microcomputer and the second microcomputer, and each second microcomputer takes charge of each first microcomputer and performs the same processing as described above, so that The presence or absence of abnormality can be determined.

実施の形態２．
次に、この発明の実施の形態２による電子制御装置について説明する。実施の形態１では第１のマイコンの動作を第２のマイコンが監視する構成について説明したが、第１のマイコンと第２のマイコンが相互に相手の動作を監視することも可能である。電子制御装置の制御対象物に応じては、２つのマイコンを用い、各マイコンに制御機能を有するもの、或いは、冗長系を構成し、一方のマイコンが故障の場合、他方のマイコンで駆動を継続するようなシステムも多い。このようなシステムでは、２つのマイコンで相互に相手の動作を監視する構成が好適である。 Embodiment 2. FIG.
Next, an electronic control unit according to Embodiment 2 of the present invention will be described. In the first embodiment, the configuration in which the second microcomputer monitors the operation of the first microcomputer has been described. However, the first microcomputer and the second microcomputer can also monitor each other's operations. Depending on the control target of the electronic control unit, two microcomputers are used, each microcomputer has a control function, or a redundant system is configured. If one microcomputer fails, drive continues with the other microcomputer. Many systems do this. In such a system, a configuration in which two microcomputers monitor each other's operations is preferable.

このような構成では、例えば第１のマイコンがマスター、第２のマイコンがスレーブとして動作する第１の通信手段を備え、第２のマイコンが実施の形態１と同様に自身のＣＰＵリソースを用いずに第１のマイコンと通信を行い、また、第２のマイコンがマスター、第１のマイコンがスレーブとして動作する第２の通信手段を備え、第１のマイコンが実施の形態１と同様に自身のＣＰＵリソースを用いずに第２のマイコンと通信を行うことで実現可能である。但し、この場合は、通信コントローラを第１のマイコンと第２のマイコンのそれぞれに保有している必要がある。 In such a configuration, for example, the first microcomputer includes a first communication unit that operates as a master and the second microcomputer operates as a slave, and the second microcomputer does not use its own CPU resource as in the first embodiment. The second microcomputer has a second communication means that operates as a master and the first microcomputer as a slave, and the first microcomputer is the same as in the first embodiment. This can be realized by communicating with the second microcomputer without using CPU resources. However, in this case, it is necessary to have a communication controller in each of the first microcomputer and the second microcomputer.

尚、この発明は、その発明の範囲内に於いて、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。 It should be noted that within the scope of the present invention, the embodiments can be freely combined, or the embodiments can be appropriately modified or omitted.

１コントロールユニット（以下、ＥＣＵと称する）
２アクチュエータ３第１のマイクロコンピュータ
４第２のマイクロコンピュータ５電源
６入力インターフェース（Ｉ／Ｆ）７ドライバ
９出力ライン１０センサ
３１第１の演算手段（ＣＰＵ）３２第１の入力ポート
３３第１の出力ポート３４第１のＲＯＭ
３５第１のＲＡＭ３６通信コントローラ
３７第１の通信ポート３８第１の接続バス
４１第２の演算手段（ＣＰＵ）４３第２の出力ポート
４４第２のＲＯＭ４５第２のＲＡＭ４７
４７第２の通信ポート４８第２の接続バス
1 Control unit (hereinafter referred to as ECU)
2 actuator 3 first microcomputer 4 second microcomputer 5 Power 6 input interface (I / F) 7 Driver 9 output line 10 sensor 31 first calculating means (CPU) 32 a first input port 33 first Output port 34 1st ROM
35 First RAM 36 Communication Controller 37 First Communication Port 38 First Connection Bus 41 Second Computing Unit (CPU) 43 Second Output Port 44 Second ROM 45 Second RAM 47
47 Second communication port 48 Second connection bus

Claims

A first microcomputer mainly for calculating a control amount for a control target; and a second microcomputer mainly for monitoring an operation for the first microcomputer, and the control target is determined based on the calculation. An electronic control device for controlling,
The first microcomputer includes a communication unit that operates using the second microcomputer as a master and the first microcomputer as a slave, and a memory that stores at least a part of data used for calculation of the control amount. Have
Said communication means, based on an instruction from said second microcomputer, without using the computational resources of the first microcomputer, the prior SL reads at least a portion of said data stored in said memory Configured to transmit to two microcomputers,
The second microcomputer is configured to determine whether there is an abnormality in the first microcomputer based on the transmitted data.
An electronic control device characterized by that.

The communication means is constituted by a direct memory access controller.
The electronic control device according to claim 1.

The second microcomputer outputs an abnormal signal when it is determined that the first microcomputer is abnormal.
The electronic control device according to claim 1, wherein the electronic control device is an electronic control device.

When the second microcomputer determines that the first microcomputer is abnormal, the second microcomputer stops driving the control target and transmits an abnormal signal to the first microcomputer. The electronic control device according to any one of claims 1 to 3.

The second microcomputer is configured by a lower functional model than the first microcomputer.
The electronic control device according to any one of claims 1 to 4, wherein

The first microcomputer is configured to monitor the operation of the second microcomputer;
The electronic control device according to claim 1, wherein the electronic control device is an electronic control device.