JP5985030B1 - Electronic control device and control method for electronic control device - Google Patents
Electronic control device and control method for electronic control device Download PDFInfo
- Publication number
- JP5985030B1 JP5985030B1 JP2015207831A JP2015207831A JP5985030B1 JP 5985030 B1 JP5985030 B1 JP 5985030B1 JP 2015207831 A JP2015207831 A JP 2015207831A JP 2015207831 A JP2015207831 A JP 2015207831A JP 5985030 B1 JP5985030 B1 JP 5985030B1
- Authority
- JP
- Japan
- Prior art keywords
- value
- unit
- sensor
- control
- electronic control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims description 28
- 238000012545 processing Methods 0.000 claims abstract description 68
- 230000005856 abnormality Effects 0.000 claims abstract description 30
- 230000002159 abnormal effect Effects 0.000 claims abstract description 27
- 238000012544 monitoring process Methods 0.000 claims abstract description 22
- 230000008569 process Effects 0.000 claims description 20
- 230000008859 change Effects 0.000 claims description 5
- 238000003745 diagnosis Methods 0.000 description 29
- 238000004891 communication Methods 0.000 description 11
- 238000010586 diagram Methods 0.000 description 10
- 230000005540 biological transmission Effects 0.000 description 8
- 230000014509 gene expression Effects 0.000 description 5
- 238000001514 detection method Methods 0.000 description 4
- 238000007689 inspection Methods 0.000 description 4
- 230000006870 function Effects 0.000 description 3
- 238000000354 decomposition reaction Methods 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 230000000903 blocking effect Effects 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000004880 explosion Methods 0.000 description 1
- 230000007274 generation of a signal involved in cell-cell signaling Effects 0.000 description 1
- 230000010355 oscillation Effects 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Landscapes
- Safety Devices In Control Systems (AREA)
Abstract
【課題】冗長な構成を最小限に抑えつつ3レベルモニタリングコンセプト制御の信頼性を向上させる電子制御装置等を得る。【解決手段】制御信号で駆動部の制御を実行するマイコン、マイコンに異常があると駆動部に遮断信号を送信する監視IC、駆動部の制御の目標値を出力する目標値出力部、電子制御装置の制御に必要な値を得る複数のセンサを備え、マイコンが、目標値と1個以上のセンサ値から通常制御の制御信号を演算し出力する第1レベル制御処理部と、目標値から駆動部の出力許容値を演算し、少なくとも2つのセンサ値から駆動部の出力推定値を演算し、推定値が許容値の範囲外の時は駆動部に遮断信号を出力する第2レベル制御処理部と、演算に用いるセンサのうち第1センサ値が故障で異常状態の際に第2センサ値が同じ要因で設定時間内に異常とならない第1、第2センサ値を得る独立性保証部を含む。【選択図】図1An electronic control device and the like that improve the reliability of three-level monitoring concept control while minimizing redundant configuration. A microcomputer that performs control of a drive unit with a control signal, a monitoring IC that transmits a cutoff signal to the drive unit when there is an abnormality in the microcomputer, a target value output unit that outputs a target value for control of the drive unit, and electronic control A first level control processing unit that includes a plurality of sensors for obtaining values necessary for controlling the device, and the microcomputer calculates and outputs a control signal for normal control from the target value and one or more sensor values, and is driven from the target value A second level control processing unit that calculates an output allowable value of the drive unit, calculates an estimated output value of the drive unit from at least two sensor values, and outputs a cutoff signal to the drive unit when the estimated value is outside the range of the allowable value And an independence assurance unit that obtains first and second sensor values that do not become abnormal within the set time due to the same factor when the first sensor value is abnormal due to a failure of the first sensor value among the sensors used for the calculation. . [Selection] Figure 1
Description
この発明は、車両に搭載され、発生した故障に対して独立である複数のセンサを用いて、センサの故障および制御処理への異常処理を行う電子制御装置および電子制御装置のための制御方法に関する。 The present invention relates to an electronic control device that performs a failure process for a sensor failure and a control process, and a control method for the electronic control device, using a plurality of sensors that are mounted on a vehicle and are independent of a failure that has occurred. .
近年、CO2排出量の削減規制による電動化要求に伴い、多くのECU(Electronic Control Unit)と呼ばれる電子制御装置が搭載されるようになってきた。 In recent years, electronic control devices called ECUs (Electronic Control Units) have come to be mounted in response to demands for electrification due to CO2 emission reduction regulations.
車両を構成するハードウェア部品の複雑化およびソフトウェアの肥大化により、車両に搭載されるECUも、システムがますます複雑化している。これらに伴い、機能安全規格ISO26262が発行され、想定される様々な故障に対して安全確保のためのフェールセーフおよび安全確保のための対策が求められるようになっている。 Due to the complexity of the hardware components that make up the vehicle and the enlargement of the software, the system of the ECU mounted on the vehicle is also becoming increasingly complex. Along with these, functional safety standard ISO 26262 is issued, and fail-safety for ensuring safety and measures for ensuring safety are required for various possible failures.
電子制御装置に対する様々な故障対策を実現できる従来技術として、3レベルモニタリングコンセプトなどが提唱されている(例えば、特許文献1)。3レベルモニタリングコンセプトは、ECUの機能を動作させる通常制御と、ECUが危険な状態を招くような状況を防ぐようにするフェールセーフを以下に示す3レベルで構成する。
第1のレベル:通常の制御機能を実現するマイクロコンピュータ(以下マイコン等とする)のソフトウェアプログラム
第2のレベル:第1のレベルの処理が正しく実施されているか否かを診断し、異常が検出されると制御対象の出力を遮断するマイコンのソフトウェアプログラム
第3のレベル:第2のレベルの診断が順序どおり正しく処理が実施されているか診断し、異常が検出されると第2のレベルと同様に制御対象の出力を遮断するマイコンのソフトウェアプログラムとマイコン以外のICなどによる監視機構
A three-level monitoring concept has been proposed as a conventional technique that can implement various countermeasures against electronic control devices (for example, Patent Document 1). The three-level monitoring concept is composed of the following three levels: normal control for operating the ECU functions and fail-safe for preventing a situation in which the ECU may cause a dangerous state.
First level: Software program of a microcomputer (hereinafter referred to as a microcomputer or the like) that realizes a normal control function Second level: Diagnoses whether or not the first level processing is correctly performed, and detects an abnormality Microcomputer software program that shuts off the output of the control target when it is done Third level: Diagnoses whether the second level diagnosis is correctly performed in order, and if an abnormality is detected, it is the same as the second level A microcomputer software program that shuts off the output of the controlled object and a monitoring mechanism using an IC other than the microcomputer
しかしながら、従来技術を車両のフェールセーフのために適用すると、以下のような課題がある。
上記特許文献1における構成においては、制御量演算に用いるスロットル位置センサまたはアクセル位置センサが、ある要因で故障することに対して、スロットル位置やアクセル位置のセンサを冗長化し、該当するセンサと冗長化したセンサの双方でセンサの出力の信憑性診断をしている。これにより、センサが異常となった場合においても、遮断信号によりECUを安全な動作へ導くことが可能となる。ただし、この構成では、センサ全てに対して、冗長なセンサを設け、センサの信憑性診断を行う必要があるため、基板面積の増加やコストアップとなることが懸念される。
However, when the conventional technology is applied for vehicle fail-safety, there are the following problems.
In the configuration described in Patent Document 1, the throttle position sensor or the accelerator position sensor used for the control amount calculation is failed due to a certain factor, and the throttle position or accelerator position sensor is made redundant, and the corresponding sensor is made redundant. The sensor output is diagnosed by both sensors. Thereby, even when the sensor becomes abnormal, it is possible to guide the ECU to a safe operation by the cutoff signal. However, in this configuration, it is necessary to provide redundant sensors for all the sensors and to perform sensor reliability diagnosis, so there is a concern that the board area increases and the cost increases.
この発明は、上記のような課題を解決するためになされたものであり、冗長な構成を最小限に抑えつつ、3レベルモニタリングコンセプトによる制御の信頼性を向上させる電子制御装置および電子制御装置のために制御方法を提供することを目的とする。 The present invention has been made to solve the above-described problems. An electronic control device and an electronic control device for improving the reliability of control based on a three-level monitoring concept while minimizing a redundant configuration. Therefore, an object is to provide a control method.
この発明は、車両に搭載される電子制御装置であって、制御信号により駆動部の制御を実行するマイコンと、前記マイコンの動作を監視し、前記マイコンに異常があった場合に前記駆動部に遮断信号を送信する監視ICと、前記駆動部の目標制御量を示す目標値を出力する目標値出力部と、前記電子制御装置の制御に必要な値を検出して出力する複数のセンサと、を備え、前記マイコンが、前記目標値出力部の目標値と前記複数のセンサのうち1個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第1レベル制御処理部と、前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出部と、前記複数のセンサのうち少なくとも2つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出部と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理部と、からなる第2レベル制御処理部と、を含み、前記推定値算出部で用いられる前記複数のセンサのうちの第1センサ値が故障で異常となった際に、前記推定値算出部で用いられる第2センサ値が前記故障と同じ要因で設定時間内に異常とならない前記第1センサ値と前記第2センサ値を得るようにする独立性保証部を備えた、電子制御装置。等にある。 The present invention is an electronic control device mounted on a vehicle, the microcomputer for controlling the drive unit by a control signal, the operation of the microcomputer is monitored, and when there is an abnormality in the microcomputer, the drive unit A monitoring IC that transmits a cutoff signal; a target value output unit that outputs a target value indicating a target control amount of the drive unit; and a plurality of sensors that detect and output values necessary for control of the electronic control unit; And the microcomputer calculates and outputs the control signal for normal control using the target value of the target value output unit and the output of one or more of the plurality of sensors. A processing unit, an allowable value calculation unit that calculates an allowable value of the output of the drive unit from a target value of the target value output unit, and an output of the drive unit using at least two sensor values of the plurality of sensors. The reason for calculating the estimated value A second level control comprising: a value calculation unit; and a comparison processing unit that compares the allowable value with the estimated value and outputs a cutoff signal to the driving unit when the estimated value is out of the range of the allowable value A second sensor value used by the estimated value calculating unit when the first sensor value of the plurality of sensors used by the estimated value calculating unit becomes abnormal due to a failure. An electronic control device comprising an independence assurance unit that obtains the first sensor value and the second sensor value that do not become abnormal within a set time due to the same factor as a failure. Etc.
この発明では、冗長な構成を最小限に抑えつつ、3レベルモニタリングコンセプトによる制御の信頼性を向上させる電子制御装置および電子制御装置のための制御方法を提供できる。 According to the present invention, it is possible to provide an electronic control device and a control method for the electronic control device that improve the reliability of control based on the three-level monitoring concept while minimizing a redundant configuration.
この発明では、車両に搭載されるマイコン10を内蔵した制御装置であって、マイコン10が実行するプログラムは、3つのレベルで構成されている。第1のレベルは制御対象を制御するためのプログラム、第2のレベルは、第1のレベルの制御処理や入力処理が正しく行われているかどうかを判断するプログラムである。
さらに、第2のレベルのプログラムでは、複数の入力信号を備える。複数の入力信号は1つの要因で複数故障することがないように、複数の入力信号がそれぞれ独立な要素に対応する仕組みを備えている。そして複数の入力信号を用いて、制御対象が出力する値の推定値を導出する推定値算出処理と、そのとき制御対象が出力する値の許容値を導出する許容値算出処理を備えている。推定値算出処理と許容値算出処理の結果を比較することで、センサ値の異常や、第1のレベルのプログラムに基づく処理により出力された値の異常を検出することが可能となる。このとき、1つの要因で同時に異常とならない複数の入力信号を備えているため、推定値算出処理に入力される信号は、必ず1つは正しい値を示す。そのため、許容値算出処理と推定値算出処理において、異常を検出することが可能である。また、第2のレベルのプログラムで、異常を検出した場合、駆動部に対して、第1のレベルが出力する制御信号に応じた出力を駆動部から出力しないように、遮断信号を送信する。
さらに、第3のレベルのプログラムでは、予め定められた設定時間間隔で第2のレベルのプログラムが正常に動作することを監視し、異常な動作となっていると判断した場合は、駆動部に向けて遮断信号を送信する。
In this invention, it is a control apparatus incorporating the
Further, the second level program includes a plurality of input signals. A plurality of input signals are provided with a mechanism in which each of the plurality of input signals corresponds to an independent element so that a plurality of input signals do not fail due to one factor. An estimated value calculating process for deriving an estimated value of a value output from the controlled object using a plurality of input signals and an allowable value calculating process for deriving an allowable value of the value output by the controlled object at that time are provided. By comparing the results of the estimated value calculation process and the allowable value calculation process, it is possible to detect an abnormality in the sensor value and an abnormality in the value output by the process based on the first level program. At this time, since a plurality of input signals that do not become abnormal simultaneously due to one factor are provided, one of the signals input to the estimated value calculation process always shows a correct value. Therefore, an abnormality can be detected in the allowable value calculation process and the estimated value calculation process. Further, when an abnormality is detected in the second level program, a cutoff signal is transmitted to the drive unit so that an output corresponding to the control signal output by the first level is not output from the drive unit.
Furthermore, the third level program monitors the normal operation of the second level program at a predetermined set time interval, and if it is determined that the operation is abnormal, Send a cut-off signal.
このようなこの発明の電子制御装置により、冗長な構成を最小限に抑えつつ、3レベルモニタリングコンセプトによる制御の信頼性を向上させることができる。
なお、一般的に別々の要因で故障する2つのセンサがある場合、それら両方が2つとも故障する確率はかなり低いため、考慮しなくともよいとされる。
With such an electronic control device of the present invention, the reliability of control based on the three-level monitoring concept can be improved while minimizing redundant configuration.
In general, when there are two sensors that fail due to different factors, the probability of both of them failing is quite low, so it is not necessary to consider them.
以下、この発明による電子制御装置および電子制御装置のための制御方法を各実施の形態に従って図面を用いて説明する。なお、各実施の形態において、同一もしくは相当部分は同一符号で示し、重複する説明は省略する。
なお、以下の各実施の形態では、車両に電子制御装置(以降、第1のECU101)が搭載されている場合について説明する。
また、上述の第1、第2、第3のレベルのプログラムに従って制御処理を行う部分をそれぞれ第1、第2、第3レベル制御処理部とする。
Hereinafter, an electronic control device and a control method for the electronic control device according to the present invention will be described with reference to the drawings according to each embodiment. In each embodiment, the same or corresponding parts are denoted by the same reference numerals, and redundant description is omitted.
In each of the following embodiments, a case where an electronic control device (hereinafter referred to as first ECU 101) is mounted on a vehicle will be described.
In addition, the portions that perform the control processing according to the above-described first, second, and third level programs are referred to as first, second, and third level control processing units, respectively.
実施の形態1.
図1はこの発明の実施の形態1にかかる電子制御装置の構成を示す機能ブロック図である。電子制御装置である第1のECU101は、車両における駆動力を出力するための電子制御スロットル制御や、モータジェネレータ制御を行う。
Embodiment 1 FIG.
FIG. 1 is a functional block diagram showing the configuration of the electronic control apparatus according to Embodiment 1 of the present invention. The first ECU 101, which is an electronic control device, performs electronic control throttle control for outputting driving force in the vehicle and motor generator control.
第1のECU101は、マイコン10と、監視IC(Integrated Circuit)11と、マイコン10が出力した信号により駆動される、電子制御スロットル制御や、モータジェネレータ制御のための駆動部12と、駆動部12に所望の動作を行わせるための目標値を出力する目標値出力部200と、第1のECU101で演算を実施するために必要な車両および車両制御の状態に関する現在値を検出する複数の第1センサ201、第2センサ202および第3センサ203とを備える。センサの数は複数あればよい。
The first ECU 101 includes a
マイコン10は公知のように、例えば概略、図9に示すような構成を有する。インターフェース(I/F)10aを介して外部との入出力を行い、CPU10bがメモリ10cに格納された制御処理に必要なプログラムおよびデータ、さらに外部からのデータ、信号等に従って種々の制御のための演算処理を行い、処理結果を外部に出力すると共に、必要に応じてメモリ10cに記録しておく。図1のマイコン10では、上記プログラムに従って実行される各処理が機能ブロックとして示されている。
As is well known, the
マイコン10は、第1から第3レベルのプログラムにより実行されるそれぞれ第1から第3レベル制御処理部21,22,23に分けることができる。
第1レベルのプログラムで実行される第1レベル制御処理部21は、第1から第3センサ201,202,203から得たセンサ値および目標値出力部200から得た目標値を用いて駆動部12を所望の状態に制御するための制御信号を出力する通常制御部21aを備える。
第2レベルのプログラムで実行される第2レベル制御処理部22は、第1レベル制御処理部21やセンサ201−203が正しく動作しているか否かを判断する。
第3レベルのプログラムで実行される第3レベル制御処理部23は、監視IC11と連携して、第2レベル制御処理部22やマイコン10が正しく動作している否かの確認を行う。
The
The first level
The second level
The third level
第2レベル制御処理部22は、
第2センサ202および第3センサ203の2つのセンサ値を入力として、そのとき駆動部12の出力の推定値、ひいては通常制御部21aの出力する制御信号の推定値を算出する推定値算出部22bと、
1つ以上のセンサ値や目標値出力部200の目標値を入力として、そのとき駆動部12の出力の許容値、ひいては通常制御部21aの出力する制御信号の許容値を算出する許容値算出部22aと、
許容値算出の結果と推定値算出の結果を比較し、推定値が許容値の設定範囲外である場合に異常と判定し、駆動部12へ遮断信号1を出力する比較処理部22cを備える。
また、監視IC11が診断を開始すると、第3レベル制御処理部23から第2レベル制御処理部22へ送信されるレベル2診断信号を受信するレベル2診断受信部と、レベル2診断信号を入力とした第2レベル制御処理部22の実行結果をレベル2診断結果信号として、第3レベル制御処理部23に送信するレベル2診断送信部と、を備え、これらを第1レベル2診断送受信部22dとして示す。
The second level
Two sensor values of the
One or more sensor values or a target value of the target
A comparison processing unit 22c that compares the result of the allowable value calculation with the result of the estimated value calculation, determines that the estimated value is out of the allowable value setting range, and outputs a cutoff signal 1 to the drive unit 12 is provided.
When the monitoring IC 11 starts diagnosis, a level 2 diagnosis receiving unit that receives a level 2 diagnosis signal transmitted from the third level
第3レベル制御処理部23は、
監視IC11から送信されたマイコン診断信号を受信するマイコン診断受信部と、
マイコン診断信号に応じてレベル2診断信号を生成して送信し、第2レベル制御処理部22に診断開始を伝えるレベル2診断信号生成部と、
第2レベル制御処理部22の処理の一部を命令複製して検査を行う命令複製検査診断部と、
第2レベル制御処理部22から送信されたレベル2診断結果信号を受けるレベル2診断受信部と、
診断実行結果と第2レベル制御処理部22から送信されたレベル2診断結果信号に従って異常の有無を判定し、診断結果を生成する診断結果生成部と、
監視IC11にマイコン10の診断結果を送信するマイコン診断送信部を備える。
ここで、レベル2診断信号生成部とレベル2診断受信部を第2レベル2診断送受信部23aとして示し、マイコン診断受信部とマイコン診断送信部を第1マイコン診断送受信部23dとして示し、命令複製検査診断部と診断結果生成部はそのまま命令複製検査診断部23bおよび診断結果生成部23cとして示す。
The third level
A microcomputer diagnostic receiver for receiving a microcomputer diagnostic signal transmitted from the monitoring IC 11;
A level 2 diagnostic signal generation unit that generates and transmits a level 2 diagnostic signal in response to the microcomputer diagnostic signal and transmits a diagnosis start to the second level
A command duplication inspection diagnostic unit for performing a test by duplicating a part of the processing of the second level
A level 2 diagnostic receiver for receiving a level 2 diagnostic result signal transmitted from the second
A diagnosis result generation unit that determines whether or not there is an abnormality according to the diagnosis execution result and the level 2 diagnosis result signal transmitted from the second level
A microcomputer diagnosis transmission unit that transmits the diagnosis result of the
Here, the level 2 diagnostic signal generator and the level 2 diagnostic receiver are shown as the second level 2 diagnostic transmitter / receiver 23a, the microcomputer diagnostic receiver and the microcomputer diagnostic transmitter are shown as the first microcomputer diagnostic transmitter / receiver 23d, and the instruction duplication inspection The diagnosis unit and the diagnosis result generation unit are shown as the instruction duplication inspection diagnosis unit 23b and the diagnosis result generation unit 23c as they are.
監視IC11は、マイコン10の第3レベル制御処理部23に対して、マイコン10が正しく動作しているかどうかの診断を開始するマイコン診断信号を送信するマイコン診断開始部と、
第3レベル制御処理部23が送信するマイコン診断結果信号を受信するマイコン診断結果受信部と、
マイコン10が異常状態であることが判定されると、駆動部12に遮断信号2を送信するマイコン診断結果判定部を備える。
ここで、マイコン診断開始部とマイコン診断結果受信部を第2マイコン診断送受信部23aa、マイコン診断結果判定部はそのままマイコン診断結果判定部23bbとして示す。
The monitoring IC 11 includes a microcomputer diagnosis start unit that transmits a microcomputer diagnosis signal for starting diagnosis of whether the
A microcomputer diagnosis result receiver for receiving a microcomputer diagnosis result signal transmitted by the third
When it is determined that the
Here, the microcomputer diagnosis start part and the microcomputer diagnosis result receiving part are shown as the second microcomputer diagnosis transmission / reception part 23aa, and the microcomputer diagnosis result judging part is shown as the microcomputer diagnosis result judging part 23bb as it is.
次に、第1のECU101の各部の動作について説明する。
第1レベル制御処理部21の通常制御部21aは、駆動部12を動作させるために、周期的な制御を実施して、駆動部12に制御信号を送信する。
第2レベル制御処理部22の許容値算出部22a、推定値算出部22b、比較処理部22cの処理は、周期的に実行され、異常の有無を確認し、異常として判断した場合、比較処理部22cは駆動部12に遮断信号1を送信する。
第3レベル制御処理部23は監視IC11からのマイコン診断信号をトリガとした割込みによって実行を開始する。監視IC11がマイコン10にマイコン診断信号を送信する周期は、第1レベル制御処理部21および第2レベル制御処理部22の制御周期より長い周期で実行されるものである。診断結果としてマイコン10が異常状態であると判断した場合、駆動部12に遮断信号2を送信する。
Next, the operation of each part of the
In order to operate the drive unit 12, the normal control unit 21 a of the first level
The processing of the allowable value calculation unit 22a, the estimated value calculation unit 22b, and the comparison processing unit 22c of the second level
The third level
推定値算出部22bが、係数αとβ、第2センサ202のセンサ値xと第3センサ203のセンサ値yを用いて「αx+βy」の式で推定値算出を行い、許容値算出部22aでの結果が下限値aと上限値bの間である必要があるとき、以下の式(1)が成立するか否か比較処理部22cで確認を行う。
The estimated value calculation unit 22b calculates the estimated value using the formula of “αx + βy” using the coefficients α and β, the sensor value x of the
a<αx+βy<b (1) a <αx + βy <b (1)
なお、αとβは重み係数であり、許容値となる下限値aと上限値bは、目標値出力部200、他の第1のECU101からの通信データすなわち後述する外部ECUである第2、第3のECUからの通信データ、第1のECU101内で検出される値などから算出する。特に、車両の急発進、車両の急減速、車両の発火や爆発等を生じさせないよう、セーフティゴールなどの車両の安全性を脅かさない程度の数値とすることは必須である。
Α and β are weighting factors, and the lower limit value a and the upper limit value b, which are allowable values, are communication data from the target
上記推定値と許容値について、たとえば図2に示すように決定する。図2はモータのトルク曲線であり、横軸は回転数、縦軸はトルクを示す。EC1は検出が全て正しいときの推定トルク算出値、EC2、EC3は相電流検出が誤りのときの推定トルク算出値、PEは許容トルクの範囲を示す。
モータに関連する関係式であれば、次のように行う。許容値(PE)となる下限値aと上限値bは、モータのトルク曲線に基づいて、現在の回転数に応じて、許容値を設定する。この許容値算出に用いるデータは正しいことが望ましい。たとえば、許容値算出に用いるデータは図1に破線で示す外部ECU101aから送信される目標値を元にして、「目標値±マージン」の範囲でもよい。その際は、外部ECUから送信される値には、CRC(Cyclic Redundancy Check)やチェックサムなどが重畳されることで、ハードウェアコストを追加することなく、許容値算出に用いる値の正しさを保証することができる。
The estimated value and allowable value are determined as shown in FIG. FIG. 2 is a torque curve of the motor, where the horizontal axis indicates the rotational speed and the vertical axis indicates the torque. EC1 is an estimated torque calculation value when detection is all correct, EC2 and EC3 are estimation torque calculation values when phase current detection is incorrect, and PE is an allowable torque range.
If it is a relational expression related to the motor, it is performed as follows. The lower limit value a and the upper limit value b, which are allowable values (PE), are set according to the current rotational speed based on the torque curve of the motor. It is desirable that the data used for calculating the allowable value is correct. For example, the data used for the allowable value calculation may be in the range of “target value ± margin” based on the target value transmitted from the external ECU 101a indicated by the broken line in FIG. In that case, CRC (Cyclic Redundancy Check), checksum, etc. are superimposed on the value sent from the external ECU, so that the correctness of the value used for calculating the allowable value is added without adding hardware cost. Can be guaranteed.
また、推定値(EC1,EC2,EC3)は、電源電圧、相電流などを用いた関係式とする。このとき、相電流の検出が正しい場合(EC1)は許容値(PE)の間に収まるように、また相電流の検出が異常になった場合(EC2,EC3)は許容値(PE)の範囲を外れるように推定値の算出式を設定する。
許容値のためのモータのトルク曲線のデータまたはテーブル、マージン、推定値のための係数α、β等はメモリに予め格納しておく。
The estimated values (EC1, EC2, EC3) are relational expressions using power supply voltage, phase current, and the like. At this time, when the phase current detection is correct (EC1), it falls within the allowable value (PE), and when the phase current detection becomes abnormal (EC2, EC3), the allowable value (PE) range. A formula for calculating the estimated value is set so as to deviate from.
Data or tables of motor torque curves for allowable values, margins, coefficients α, β, etc. for estimated values are stored in advance in a memory.
上記のような構成に加えて、第1のECU101は、第1のECU101が備える推定値算出に用いる第2センサ202および第3センサ203のセンサ値が、ある1つの要因で設定時間以内に両方とも異常な値とならないことを保つための独立性保証部を備えている。独立性保証部は以降で示す各独立性保証部501a−501dで実現される。
In addition to the configuration as described above, the
図1の独立性保証部501aは、第2センサ202と第3センサ203は異なる電源で動作させることとする。たとえば、第2センサ202はマイコン10を監視する監視IC11に供給される電源と同じ電源PS1にし、第3センサ203はマイコン10に供給される電源と同じ電源PS2にする。
The independence assurance unit 501a in FIG. 1 operates the
なお、上述の設定時間以内とは、異常なセンサ値が検出されてからこの異常なセンサ値に従って生成された制御信号が駆動部12を駆動するまでの間隔であり、たとえば第1のレベルで実行されるプログラムに相当する第1レベル制御処理部21における制御周期よりも短い時間である。
The term “within the set time” refers to an interval from when an abnormal sensor value is detected to when the control signal generated according to the abnormal sensor value drives the drive unit 12, for example, executed at the first level. This time is shorter than the control cycle in the first level
このようにすることで、第1のECU101の推定値算出部22bに用いているどのセンサ値に異常を発生させる故障が起きたとしても、推定値算出部22bで用いるセンサ値が両方異常となることを防ぎ、確実に1つは正常な値を推定値算出部22bに入力することができるため、推定値算出および許容値算出の結果を比較することで、どちらかのセンサが故障したことを検出できる。
By doing in this way, even if a failure that causes an abnormality in any sensor value used in the estimated value calculation unit 22b of the
すなわち、センサなどの故障に対して、従来技術のようなセンサ全てに対して冗長なセンサを必要としない第1のECU101を構築できる。
That is, it is possible to construct the
また、図1に示すように、機能安全規格ISO26262を考慮すると、ある設定条件のもと、第1のECU101の基本構成要素となる目標値出力部200、各種センサ201−203、通常制御部21a、駆動部12に「ASIL X」が付与されている場合において、ASILデコンポジションを採用すると、通常制御部21aに加えて、推定値算出部22bに用いられるセンサは全てQM(Quality Management)のレベルで開発することができるため、各センサ201−203に課せられる開発プロセスの安全要件を緩和できる。また、「ASIL C」以上で必須となる各センサ201−203に関するレイテントフォールトに対する対策も検討する必要がなくなる。
なお、「ASIL X」とはAutomotive Safety Integrity Levelであり、XはA、B,C,Dのいずれかを示す。
In addition, as shown in FIG. 1, in consideration of the functional safety standard ISO 26262, a target
“ASIL X” is an Automotive Safety Integrity Level, and X indicates any one of A, B, C, and D.
このとき、独立性保証部はASILの安全要件となるため、独立性保証部は「ASIL X」で開発する。第2のレベルのプログラムに相当する第2レベル制御処理部22は、当初から通常制御部21aとのデコンポジションにより、「QM(X)」と「ASIL X(X)」に分割できるため、追加のASILコンポーネントは1つでよい。
At this time, since the independence assurance unit is a safety requirement of ASIL, the independence assurance unit is developed by “ASIL X”. Since the second level
この実施の形態1においては、推定値算出部22bに第2センサ202と第3センサ203の2つを用いているが、3個以上のセンサを有する場合でもそのうち少なくとも1つのセンサとそれ以外のセンサで故障する条件が独立してさえいればよい。
In the first embodiment, two of the
また、この実施の形態においては、推定値算出部22bと許容値算出部22aとの関係式は、センサに異常が発生した場合に、検出できるように構築できれば、上記の例に限らない。 In this embodiment, the relational expression between the estimated value calculation unit 22b and the allowable value calculation unit 22a is not limited to the above example as long as it can be constructed so that it can be detected when an abnormality occurs in the sensor.
また、この実施の形態における目標値出力部200は、第1のECU101の外部から送信される値を受信して出力するトランシーバであったり、第1のECU101の内部で検出される値から目標値を算出して出力するマイコン10や別のマイコンまたはICであったりなど、駆動部12が出力し得る値に相当するものを設定する機能を有するものであればよい。
The target
また、この実施の形態における通常制御部21aへの入力は、目標値出力部200と第1センサ201と第2センサ202と第3センサ203の入力としているが、通常制御部21aにおいて駆動部12の通常制御が可能であれば、通常制御部21aへの入力情報は上記の例に限定されるものではない。
In this embodiment, the input to the normal control unit 21a is the input of the target
図3は、この実施の形態における第2センサ202と第3センサ203と電源の構成の別の例を示すブロック図である。第2センサ202と第3センサ203が動作するのに同じセンサ電源SPSを用いており、第2センサ202は第3センサ203よりも電源電圧の耐電圧を低くしておく。例えば第3センサ203の耐電圧はVmax3rd、第2センサ202の耐電圧はVmax2ndとするとVmax3rd>Vmax2ndとなる。
なお図3の構成は以下の説明に基づき独立性保証部501bを構成する。
FIG. 3 is a block diagram showing another example of the configuration of the
3 constitutes an independence assurance unit 501b based on the following description.
図4,5は、この実施の形態の電子制御装置におけるセンサ異常と第2レベル制御処理部22に相当する第2のレベルのプログラムの制御周期の関係の2つの形態を説明するための図である。図4,5におて、(a)はDC/DC回路210の出力電圧、(b)は第2レベル制御処理部に対応する第2のレベルのプログラムの制御周期を示す。
4 and 5 are diagrams for explaining two forms of the relationship between the sensor abnormality and the control cycle of the second level program corresponding to the second level
図4に示す形態のように、例えば鉛バッテリからなるセンサ電源SPSをDC/DC変換するDC/DC回路210の出力電圧がなんらかの異常で(a)のように上昇する場合に、Vmax2ndからVmax3rdになるまでの時間Aが、第2レベル制御処理部22に相当する第2のレベルのプログラムの(b)に示す制御周期である実行周期Bの少なくとも1周期よりも長くなるようにする。
他の形態においては、図5に示すように、DC/DC回路210の制御に異常があり、出力電圧が(a)のように振動した場合においても、DC/DC回路210が異常時に出し得る最大電圧をVmax2ndより大きく、Vmax3rdよりも小さくしておく。この場合においては、第3センサ203は故障しないため、第2センサ202の故障から第3センサ203が故障するまでの時間は、(b)に示す実行期間Bよりも長くなる。
As shown in FIG. 4, when the output voltage of the DC /
In another embodiment, as shown in FIG. 5, even when the control of the DC /
また、DC/DC回路210の制御が異常状態となり、出力電圧が発振してしまった場合、発振電圧が、Vmax3rd以下かつVmax2nd以下である場合、第2センサ202のみが破壊され、センサ値が不定であったりゼロであったりする。この場合においても、第3センサ203は故障しないため、第2センサ202の故障から第3センサ203が故障するまでの時間は、(b)に示す実行期間Bの少なくとも1周期よりも長くなるようにする。
Further, when the control of the DC /
このようにすることで、センサに関する電源が異常となった場合において、推定値算出部22bに入力されるセンサ値のうち1つはかならず正しい値とすることができ、確実にセンサ値の異常を検出することができる。この方式であれば、異常に対して、全てのセンサを異常に対して耐性を持たせる必要がないため、冗長な構造にするものを最小限にすることが可能。 In this way, when the power supply related to the sensor becomes abnormal, one of the sensor values input to the estimated value calculation unit 22b can always be set to a correct value, and the abnormal sensor value can be surely detected. Can be detected. With this method, it is not necessary to make all sensors resistant to abnormalities, so it is possible to minimize the redundant structure.
また、このとき推定値算出部22bが、係数αとβ、第2センサ202のセンサ値xと第3センサ203のセンサ値yを用いて上述の「αx+βy」の式で表され、許容値算出部22aの結果が下限値aと上限値bの間である必要があるとき、以下の式(1)が成立するか否か比較処理部22cで確認を行う。
Further, at this time, the estimated value calculation unit 22b is expressed by the above-described formula of “αx + βy” using the coefficients α and β, the sensor value x of the
a<αx+βy<b (1) a <αx + βy <b (1)
なお、αとβは重み係数であって、センサ値が本来の値から外れたときに車両の安全性を脅かす度合いが高いセンサの方に重みをもたせる。αを大きな値にすることで、xの異常を顕著にさせることで、異常を早期に発見することも可能となる。
なお、aとbは、目標値出力部200、他の第1のECU101からの通信データすなわち後述する外部ECUである第2、第3のECUからの通信データ、第1のECU101内で検出される値などから車両の安全性を脅かさない程度の数値に設定する。
Α and β are weighting factors, and weight is given to a sensor having a high degree of threatening the safety of the vehicle when the sensor value deviates from the original value. By making α a large value, it becomes possible to detect the abnormality at an early stage by making the abnormality of x noticeable.
Note that a and b are detected in the
また、この実施の形態においては、第2センサ202と第3センサ203の構成は、第2センサ202のセンサ値に異常を発生させる故障が発生した後、第2のレベルのプログラムに相当する第2レベル制御処理部22が診断する周期よりも長い時間経過した後に、第3センサ203のセンサ値に異常を発生させるようにすれば、上述の限りではない。
たとえば、異常によりセンサ温度が上昇するとき、第3センサ203の温度が上昇する時定数よりも第2センサ202の時定数を短くして、熱によって故障する時間差を作り出すことでもよい。すなわち、第3センサ203の耐電圧性や耐熱性や耐振動性などを他方のセンサよりも耐久性を良好なものにするようにしてもよい。より広義には、複数のセンサ内で耐電圧性や耐熱性や耐振動性の少なくとも1つを変えるようにする。
Further, in this embodiment, the configuration of the
For example, when the sensor temperature rises due to an abnormality, the time constant of the
実施の形態2.
図6はこの発明の実施の形態2にかかる電子制御装置およびその周辺の構成の1つの形態の機能ブロック図である。図6では、実施の形態2にかかる第1のECU101において、独立性保証部501cは、第2センサ202のセンサ値を第1のECU101とは異なる第1外部電子制御装置である第2のECU102から通信線CLを介して取得する値とし、第3センサ203のセンサ値を第1のECU101内部で検出できる信号とした。
Embodiment 2. FIG.
FIG. 6 is a functional block diagram of one form of the electronic control device and its peripheral configuration according to the second embodiment of the present invention. In FIG. 6, in the
このように構成することで、第1のECU101内部の故障によって、第3センサ203のセンサ値を出力するセンサが異常となった場合においても、第2のECU102が正しく動いてさえいれば、推定値算出部22bに入力されるセンサ値を少なくとも1つ正しい値とすることが可能であるため、異常判定を正しく実施できる。
なお、第1のECU101は第2のECU102と通信可能であればよく、無線通信により接続されていてもよい。
With this configuration, even if the sensor that outputs the sensor value of the
The
機能安全ISO26262規格では、同じアイテム間での二重故障の確率は極めて低いとされているため、第2のECU102が正常に動作せず、第2のECU102から送信されるセンサ値が異常になった場合には、第3センサ203のセンサ値は正しく検出できるとしてよい。
In the functional safety ISO 26262 standard, the probability of a double failure between the same items is extremely low, so the second ECU 102 does not operate normally, and the sensor value transmitted from the second ECU 102 becomes abnormal. In this case, the sensor value of the
また図7はこの発明の実施の形態2にかかる電子制御装置およびその周辺の構成の別の形態の機能ブロック図である。図7では、第2のECU102が送信する第2センサ202のセンサ値を、第1のECU101に通信線CLを介して接続された第2外部電子制御装置である第3のECU103からも受信できる構成とした。このとき、第1のECU101は、第2のレベルのプログラムに相当する第2レベル制御処理部22において、推定値算出部22bの推定値が許容値算出部22aの許容値による設定範囲内かどうか判断しており、設定範囲外となった場合に、第3のECU103に第2センサ202のセンサ値を要求する。
FIG. 7 is a functional block diagram of another embodiment of the electronic control apparatus according to the second embodiment of the present invention and its peripheral configuration. In FIG. 7, the sensor value of the
このようにすることで、第2のECU102が異常となった場合においても、第1のECU101が動作を継続することができる。
独立性保証部501dは、第2のECU102、第3のECU103、第3のセンサ203からなる。独立性保証部501dに対して、マイコン10内の第2レベル制御処理部22に設けられた制御処理変更部22eは、協調して動作する。
なお、第1のECU101は第3のECU103についても通信可能であればよく、無線通信により接続されていてもよい。
In this way, even when the second ECU 102 becomes abnormal, the
The independence assurance unit 501d includes a second ECU 102, a third ECU 103, and a
The
図8は、第1のECU101と第2のECU102と第3のECU103が通信線で接続されている場合に、それらと制御処理変更部22eとの協調動作を示す動作フローチャートである。次に各動作について説明をする。
FIG. 8 is an operation flowchart showing a cooperative operation between the
ステップF801では、比較処理部22cの推定値算出部22bにおける推定値と許容値算出部22aの許容値の差が警告逸脱量以下か否かを判定する。警告逸脱量以下の場合、異常による動作への影響が少ないとして、動作を継続する。同時に、第2のECU102に異常が発生している可能性があるため、第3のECU103からセンサ値を送信してもらうようにする。なお、推定値と許容値の差が警告逸脱量を超えている場合は、ステップF807へ遷移する。
警告逸脱量は、センサ値がドリフトして、センサ値が本来の値よりもずれた場合など、車両の動作を急激に変化させるような影響を及ぼさないような量を設定する。
In step F801, it is determined whether or not the difference between the estimated value in the estimated value calculation unit 22b of the comparison processing unit 22c and the allowable value in the allowable value calculation unit 22a is equal to or less than the warning deviation amount. If the amount of deviation is less than or equal to the warning deviation, the operation is continued assuming that the influence on the operation due to the abnormality is small. At the same time, since there is a possibility that an abnormality has occurred in the second ECU 102, the sensor value is transmitted from the third ECU 103. When the difference between the estimated value and the allowable value exceeds the warning deviation amount, the process proceeds to step F807.
The warning deviation amount is set to an amount that does not affect the operation of the vehicle abruptly, such as when the sensor value drifts and the sensor value deviates from the original value.
ステップF802では、制御周期変更部22eに第2のレベルのプログラムに相当する第2レベル制御処理部22の実行制御周期の変更を行わせる。
ステップF803では、制御周期変更部22eが、第2レベル制御処理部22の実行制御周期を長くし、その完了を通知する。
ステップF804では、第3のECU103に第2センサ202のセンサ値を要求し、第3のECU103が第2センサ202のセンサ値を第1のECU101に送信し、センサ値を受ける。
ステップF805では、第3のECU103からの第2センサ202のセンサ値を受信後、制御周期変更部22eに第2レベル制御処理部22の制御周期である実行周期を変更前に戻させる。
ステップF806では、ステップF801と同様の処理を実施し、推定値と許容値の差が警告逸脱量を超えている場合には比較処理部22cに遮断信号1を送信するよう司令する。
In step F802, the control cycle changing unit 22e is caused to change the execution control cycle of the second level
In step F803, the control cycle changing unit 22e extends the execution control cycle of the second level
In step F804, the sensor value of the
In step F805, after receiving the sensor value of the
In step F806, the same processing as in step F801 is performed, and when the difference between the estimated value and the allowable value exceeds the warning deviation amount, the control processor 22c is instructed to transmit the cutoff signal 1.
このようにすることで、第2のECU102の軽微な異常が、第1のECU101の異常処理を開始させず、第2センサ202のセンサ値を連続的に正しく受信することができるため、第1のECU101のマイコン10の第2のレベルのプログラムに相当する第2レベル制御処理部22の動作を継続できる。
By doing so, a minor abnormality of the second ECU 102 can correctly receive the sensor value of the
また、この発明における独立性保証部501a−501dは、
第2センサ202と第3センサ203に供給される電源を別電源としたり、
第2センサ202と第3センサ203の耐電圧性や耐熱性や耐振動性の少なくとも1つを変えたり、
外部ECUから送信される値と内部ECUで取得する値を用いたり、
といった手法を講じているが、2つのセンサが1つの要因によってマイコンでの1制御周期期間内に故障とならないような構成であれば、いかなる構成も適用可能である。
The independence assurance units 501a to 501d in the present invention
The power supplied to the
Changing at least one of voltage resistance, heat resistance and vibration resistance of the
Use the value transmitted from the external ECU and the value acquired by the internal ECU,
However, any configuration can be applied as long as the two sensors do not break down within one control cycle period of the microcomputer due to one factor.
10 マイコン、 10a インターフェース(I/F)、 10b CPU、
10c メモリ、 11 監視IC、 12 駆動部、
21 第1レベル制御処理部、 21a 通常制御部、
22 第2レベル制御処理部、 22a 許容値算出部、 22b 推定値算出部、
22c 比較処理部、 22d 第1レベル診断送受信部、
22e 制御周期変更部、 23 第3レベル制御処理部、
23a 第2レベル2診断送受信部、 23b 命令複製検査診断部、
23c 診断結果生成部、 23d 第1マイコン診断送受信部、
23aa 第2マイコン診断送受信部、 23bb マイコン診断結果判定部、
101 第1のECU、 101a 外部ECU、 102 第2のECU、
103 第3のECU、 200 目標値出力部、 201 第1センサ、
202 第2センサ、 203 第3センサ、 210 DC/DC回路、
501a−501d 独立性保証部、 CL 通信線、 SPS センサ電源、
PS1,PS2 電源。
10 microcomputer, 10a interface (I / F), 10b CPU,
10c memory, 11 monitoring IC, 12 driving unit,
21 first level control processing unit, 21a normal control unit,
22 second level control processing unit, 22a allowable value calculation unit, 22b estimated value calculation unit,
22c comparison processing unit, 22d first level diagnostic transmission / reception unit,
22e control cycle changing unit, 23 third level control processing unit,
23a second level 2 diagnostic transmission / reception unit, 23b instruction duplication inspection diagnostic unit,
23c diagnostic result generation unit, 23d first microcomputer diagnostic transmission / reception unit,
23aa second microcomputer diagnosis transmission / reception unit, 23bb microcomputer diagnosis result determination unit,
101 first ECU, 101a external ECU, 102 second ECU,
103 third ECU, 200 target value output unit, 201 first sensor,
202 2nd sensor, 203 3rd sensor, 210 DC / DC circuit,
501a-501d Independence assurance unit, CL communication line, SPS sensor power supply,
PS1, PS2 power supply.
Claims (8)
制御信号により駆動部の制御を実行するマイコンと、
前記マイコンの動作を監視し、前記マイコンに異常があった場合に前記駆動部に遮断信号を送信する監視ICと、
前記駆動部の目標制御量を示す目標値を出力する目標値出力部と、
前記電子制御装置の制御に必要な値を検出して出力する複数のセンサと、
を備え、
前記マイコンが、
前記目標値出力部の目標値と前記複数のセンサのうち1個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第1レベル制御処理部と、
前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出部と、前記複数のセンサのうち少なくとも2つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出部と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理部と、からなる第2レベル制御処理部と、
を含み、
前記推定値算出部で用いられる前記複数のセンサのうちの第1センサ値が故障で異常となった際に、前記推定値算出部で用いられる第2センサ値が前記故障と同じ要因で設定時間内に異常とならない前記第1センサ値と前記第2センサ値を得るようにする独立性保証部を備えた、電子制御装置。 An electronic control device mounted on a vehicle,
A microcomputer that performs control of the drive unit by a control signal;
A monitoring IC that monitors the operation of the microcomputer and transmits a cut-off signal to the drive unit when there is an abnormality in the microcomputer;
A target value output unit that outputs a target value indicating a target control amount of the drive unit;
A plurality of sensors for detecting and outputting values necessary for control of the electronic control unit;
With
The microcomputer
A first level control processing unit that calculates and outputs the control signal for normal control using the target value of the target value output unit and the output of one or more of the plurality of sensors;
An allowable value calculation unit that calculates an allowable value of the output of the drive unit from a target value of the target value output unit, and an estimated value of the output of the drive unit using at least two sensor values of the plurality of sensors And a comparison processing unit that compares the estimated value with the estimated value and outputs a cutoff signal to the drive unit when the estimated value is out of the range of the permitted value. A level control processing unit;
Including
When the first sensor value of the plurality of sensors used in the estimated value calculation unit becomes abnormal due to a failure, the second sensor value used in the estimated value calculation unit is set for the same factor as the failure. An electronic control device comprising an independence assurance unit that obtains the first sensor value and the second sensor value that do not become abnormal.
前記故障が発生した場合に、前記第1センサ値に異常が発生した後、前記第1レベル制御処理部、または前記第2レベル制御処理部における制御周期の少なくとも1周期の間は前記故障と同じ要因により前記第2センサ値に異常を発生させないようにするものである、請求項1に記載の電子制御装置。 The independence assurance unit
When the failure occurs, after the abnormality occurs in the first sensor value, the same as the failure for at least one control cycle of the first level control processing unit or the second level control processing unit The electronic control device according to claim 1, wherein an abnormality is not caused in the second sensor value due to a factor.
前記第1センサ値を、前記電子制御装置の内部で検出される値とし、
前記第2センサ値を、前記電子制御装置と通信可能な第1外部電子制御装置から送信される値とする、請求項1に記載の電子制御装置。 The independence assurance unit
The first sensor value is a value detected inside the electronic control device,
The electronic control device according to claim 1, wherein the second sensor value is a value transmitted from a first external electronic control device capable of communicating with the electronic control device.
前記独立性保証部が、
前記推定値が前記許容値の範囲から外れる場合に、前記第1外部電子制御装置が故障していれば、前記第2外部電子制御装置に前記第2センサ値を要求する、請求項3に記載の電子制御装置。 The electronic control device is communicably connected to a second external electronic control device capable of transmitting the second sensor value,
The independence assurance unit
The said 2nd external electronic control apparatus is requested | required for the said 2nd sensor value, if the said 1st external electronic control apparatus is out of order when the said estimated value remove | deviates from the range of the said allowable value. Electronic control unit.
前記目標値出力部の目標値と前記複数のセンサのうち1個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第1制御処理と、
前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出と、前記複数のセンサのうち少なくとも2つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理と、からなる第2制御処理と、
を含み、
前記推定値算出で用いられる前記複数のセンサのうちの第1センサ値が故障で異常となった際に、前記推定値算出で用いられる第2センサ値が前記故障と同じ要因で設定時間内に異常とならないように前記第1センサ値と前記第2センサ値を得る、電子制御装置のための制御方法。 A microcomputer for controlling the drive unit by a control signal, a monitoring IC for monitoring the operation of the microcomputer and transmitting a cutoff signal to the drive unit when there is an abnormality in the microcomputer, and a target control amount of the drive unit A control method for an electronic control device mounted on a vehicle, comprising: a target value output unit that outputs a target value indicating a plurality of sensors that detect and output a value necessary for control;
A first control process for calculating and outputting the control signal for normal control using the target value of the target value output unit and the output of one or more of the plurality of sensors;
An allowable value calculation that calculates an allowable value of the output of the drive unit from a target value of the target value output unit, and an estimated value of the output of the drive unit is calculated using at least two sensor values of the plurality of sensors. A second control process comprising: an estimated value calculation; and a comparison process that compares the allowable value with the estimated value and outputs a cutoff signal to the drive unit when the estimated value is out of the allowable value range; ,
Including
When the first sensor value of the plurality of sensors used in the estimation value calculation becomes abnormal due to a failure, the second sensor value used in the estimation value calculation is within the set time due to the same factor as the failure. A control method for an electronic control device, wherein the first sensor value and the second sensor value are obtained so as not to become abnormal.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015207831A JP5985030B1 (en) | 2015-10-22 | 2015-10-22 | Electronic control device and control method for electronic control device |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015207831A JP5985030B1 (en) | 2015-10-22 | 2015-10-22 | Electronic control device and control method for electronic control device |
Publications (2)
Publication Number | Publication Date |
---|---|
JP5985030B1 true JP5985030B1 (en) | 2016-09-06 |
JP2017079029A JP2017079029A (en) | 2017-04-27 |
Family
ID=56843273
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2015207831A Active JP5985030B1 (en) | 2015-10-22 | 2015-10-22 | Electronic control device and control method for electronic control device |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5985030B1 (en) |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH09301212A (en) * | 1996-05-20 | 1997-11-25 | Honda Motor Co Ltd | Method for diagnosing failure of vehicle maneuverability control device |
-
2015
- 2015-10-22 JP JP2015207831A patent/JP5985030B1/en active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH09301212A (en) * | 1996-05-20 | 1997-11-25 | Honda Motor Co Ltd | Method for diagnosing failure of vehicle maneuverability control device |
Also Published As
Publication number | Publication date |
---|---|
JP2017079029A (en) | 2017-04-27 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US7251551B2 (en) | On-vehicle electronic control device | |
CN110116752B (en) | Apparatus and method for controlling vehicle based on redundant structure | |
US9348683B2 (en) | In-vehicle electronic control device | |
US9031740B2 (en) | Vehicle control device capable of controller area network communication and diagnostic method therefor | |
JP5967059B2 (en) | Electronic control device for vehicle | |
US20120035750A1 (en) | Control System for Safely Operating at Least One Functional Component | |
US20140351658A1 (en) | Redundant computing architecture | |
US9783138B2 (en) | Vehicle control device | |
US20210146939A1 (en) | Device and method for controlling a vehicle module | |
JPWO2019176603A1 (en) | Abnormality diagnosis system and abnormality diagnosis method | |
JP6207987B2 (en) | In-vehicle electronic control unit | |
JP2009062998A (en) | Vehicle control system | |
JP5985030B1 (en) | Electronic control device and control method for electronic control device | |
JP2016147585A (en) | Electronic control device | |
JP6380141B2 (en) | Electronic control unit | |
JP2013109731A (en) | Vehicle controller | |
JP5226653B2 (en) | In-vehicle control device | |
JP6681304B2 (en) | Vehicle control device and vehicle internal combustion engine control device | |
JP2002089336A (en) | Failure detection device for electronic control system of vehicle | |
JP2019168835A (en) | Electronic control device | |
Großmann et al. | Efficient application of multi-core processors as substitute of the E-Gas (Etc) monitoring concept | |
JP6341069B2 (en) | Electronic control unit | |
JP6075262B2 (en) | Control device | |
JP2016203764A (en) | Vehicular electronic control device | |
US10514970B2 (en) | Method of ensuring operation of calculator |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160705 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160802 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5985030 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |