JP6075262B2 - 制御装置 - Google Patents

Description

本発明は、マイコン（マイクロコンピュータ）を備えた制御装置に関する。

例えば、車載アクチュエータの駆動制御を行う制御装置では、制御のための処理を行うマイコンの動作を監視して、マイコンが異常であると判断するとフェールセーフ動作を行う監視回路を設けることが知られている（例えば、特許文献１参照）。

特開２００７−２７５９号公報

ところで、監視回路の動作内容を、マイコンからの設定要求信号によって可変設定できるようにすれば、監視回路の汎用性が向上すると考えられる。
その反面、マイコンに異常が生じて、マイコンから監視回路へ不適切な設定要求信号が出力された場合には、監視回路の可変の動作内容が予期せぬ内容となってしまう。よって、制御装置の信頼性が低下する。

そこで、本発明は、マイコンを監視する監視手段の汎用性と制御装置の信頼性とを両立させることを目的としている。

第１発明の制御装置は、制御対象を制御する処理を行うマイコンと、監視手段とを備える。監視手段は、マイコンの動作を監視し、マイコンが異常であると判断すると、所定のフェールセーフ動作を行う。

そして、監視手段は、設定手段を備える。その設定手段は、監視手段の動作内容のうち可変になっている動作内容を示す設定要求信号が、マイコンから監視手段に入力されると、監視手段の可変の動作内容を、設定要求信号が示す動作内容に設定する設定動作を行う。

このため、監視手段の動作内容を、マイコンから監視手段への設定要求信号によって可変設定することができる。よって、監視手段の汎用性が向上する。
更に、マイコンは、当該マイコンが正常か否かを診断する自己診断手段と、その自己診断手段による診断結果が異常の場合に、当該マイコンに異常が生じたことを示す異常通知信号を、監視手段に出力する診断結果出力手段と、を備える。そして、監視手段は、マイコンからの異常通知信号が当該監視手段に入力された場合に、設定手段が前記設定動作を行うことを禁止する禁止手段を備える。

このため、マイコンに異常が生じた場合には、設定手段によって監視手段の動作内容が更新されることが禁止される。よって、マイコンに異常が生じて、マイコンから監視手段へ不適切な設定要求信号が出力されても、監視手段の動作内容が予期せぬ内容になってしまうことが防止され、その結果、制御装置の信頼性が維持される。

第１実施形態の制御装置を表す構成図である。 第１実施形態のマイコン監視部の動作を説明する説明図である。 第１実施形態の禁止部の動作を表すフローチャートである。 第２実施形態の時間設定部を説明する説明図である。

以下に、本発明が適用された実施形態の制御装置について説明する。尚、本実施形態の制御装置は、例えば、車両に搭載されたエンジンのスロットルバルブ（いわゆる電子スロットル）を制御する。

［第１実施形態］
図１に示すように、第１実施形態の制御装置１は、制御対象としてのスロットルバルブ３を制御する処理を行うマイコン５と、スロットルバルブ３の開度を調節するアクチュエータとしてのモータ４を、マイコン５から出力される駆動指令に従って駆動するドライバ（駆動回路）６と、マイコン５の動作を監視し、マイコン５が異常であると判断すると、所定のフェールセーフ動作を行う監視ＩＣ７と、を備える。

マイコン５は、プログラムや固定のデータが記憶されたＲＯＭ１１と、ＲＯＭ１１内のプログラムを実行するコア１３と、コア１３による演算結果等が記憶されるＲＡＭ１５と、コア１３で演算されたデューティ比のＰＭＷ（パルス幅変調）信号を、駆動指令としてドライバ６に出力するＰＷＭ回路１７と、監視ＩＣ７と通信ライン１８を介してシリアル通信するための通信回路であるＳＰＩ（シリアル／パラレル変換インターフェース）１９と、を備える。以下に説明するマイコン５の動作は、コア１３がＲＯＭ１１内のプログラムを実行することで実現される。

コア１３は、２つのＣＰＵ（中央処理装置）２１ａ，２１ｂと、浮動小数点演算を行う２つのＦＰＵ（浮動小数点装置）２３ａ，２３ｂとを備える。そして、コア１３は、ロックステップモードで動作する場合には、２つのＣＰＵ２１ａ，２１ａが同じ処理を行うと共に、２つのＦＰＵ２３ａ，ＦＰＵ２３ｂも同じ処理を行う。また、コア１３は、フリーステップモードで動作する場合には、２つのＣＰＵ２１ａ，２１ｂが別々の処理を行うと共に、２つのＦＰＵ２３ａ，ＦＰＵ２３ｂも別々の処理を行う。

更に、マイコン５は、当該マイコン５の自己診断機能を実現するための手段として、自己診断手段３１〜３４を備える。
自己診断手段３１は、コア１３を対象とした自己診断機能を実現する手段である。

自己診断手段３１は、コア１３をロックステップモードで動作させて、２つのＣＰＵ２１ａ，２１ｂによる演算結果を比較し、両方の演算結果が一致しなければ、診断結果を「異常」とする。同様に、コア１３をロックステップモードで動作させて、２つのＦＰＵ２３ａ，２３ｂによる演算結果を比較し、両方の演算結果が一致しなければ、診断結果を「異常」とする。

自己診断手段３２は、ＲＡＭ１５を対象とした自己診断機能を実現する手段である。
自己診断手段３２は、誤り訂正符号の技術により、ＲＡＭ１５に誤った値が記録されていること（データ誤り）を検出して、正しい値に訂正するエラー訂正回路であり、データ誤りを検出した場合に、診断結果を「異常」とする。他の例として、自己診断手段３２は、データ誤りのうち、訂正不能なデータ誤りを検出した場合にだけ、診断結果を「異常」とするようになっていても良い。

自己診断手段３３は、ＲＯＭ１１を対象とした自己診断機能を実現する手段である。
自己診断手段３３は、誤り検出符号の技術により、ＲＯＭ１１に誤った値が記録されていること（データ誤り）を検出する。そして、自己診断手段３３は、データ誤りを検出した場合に、診断結果を「異常」とする。尚、ＲＯＭ１１が、書き換え可能な不揮発性メモリであれば、自己診断手段３３は、自己診断手段３２と同様に、検出したデータ誤りを訂正するようになっていても良く、また、その場合、訂正ができないデータ誤りを検出した場合にだけ、診断結果を「異常」とするようになっていても良い。

自己診断手段３４は、ＳＰＩ１９を対象とした自己診断機能を実現する手段である。
自己診断手段３４は、例えば、ＳＰＩ１９の信号出力部を通信ライン１８から切り離し、ＳＰＩ１９に送信データとして診断用データを与えた場合に、ＳＰＩ１９の信号出力部から、その診断用データに応じた電圧レベルの期待値信号が出力されるかをチェックする。そして、自己診断手段３４は、ＳＰＩ１９の信号出力部から期待値信号が出力されなければ、診断結果を「異常」とする。

そして更に、マイコン５は、信号発生部２５を備える。信号発生部２５には、自己診断手段３１〜３４による診断結果が入力される。そして、信号発生部２５は、自己診断手段３１〜３４による診断結果が１つでも「異常」であれば、マイコン５に異常が生じたことを示す異常通知信号を、監視ＩＣ７に信号線２７を介して出力する。尚、この例において、異常通知信号は、アクティブレベルがハイの信号であるが、ローの方がアクティブレベルであっても良い。

マイコン５は、監視ＩＣ７へ、通信ライン１８を介して、少なくともテスト結果データと設定要求データとを送信する。
テスト結果データは、マイコン５の動作を監視ＩＣ７において監視するためのデータである。

マイコン５は、例えば一定時間毎に、複数通りのテスト演算を行うと共に、各テスト演算について、実際の演算結果と、演算結果の期待値とを比較する。尚、テスト演算のプログラムと期待値は、ＲＯＭ１１に予め記憶されている。そして、各テスト演算について、演算結果と期待値とが一致していると判定すれば、判定値として“正”を示すビット“１”を設定し、演算結果と期待値とが一致していないと判定すれば、判定値として“誤”を示すビット“０”を設定する。そして更に、マイコン５は、各テスト演算についての判定値を所定の順番に並べたデータを、テスト結果データとして、一定時間毎に監視ＩＣ７へ送信する。

また、何れかのテスト演算の期待値は、故意に誤った値に設定されている。このため、マイコン５が正常であれば、マイコン５から送信されるテスト結果データのビットは、全て“１”にならず、例えば「１１０１０・・・」といったように、“１”と“０”とが予め定められた並びで混在することとなる。よって、マイコン５から送信されるテスト結果データにおけるビットの並びが、予め定められた正常時の並びではない場合、あるいは、テスト結果データが送信されない時間が所定時間を超えた場合には、マイコン５が異常であると判定することができる。

設定要求データは、監視ＩＣ７における後述のレジスタ４４に記憶すべき異常判定時間を示す設定要求信号としてデータである。
マイコン５は、例えば起動した直後に実行される初期化処理により、監視ＩＣ７へ設定要求データを送信する。尚、設定要求データは、マイコン５の起動後も、一定時間毎に送信されるようになっていても良い。

一方、監視ＩＣ７は、マイコン５と通信ライン１８を介してシリアル通信するための通信回路であるＳＰＩ（シリアル／パラレル変換インターフェース）４１と、マイコン５から受信する前述のテスト結果データに基づいて、マイコン５の動作を監視するマイコン監視部４３と、マイコン監視部４３が使用する異常判定時間を記憶するためのレジスタ４４を有した時間設定部４５と、マイコン監視部４３によってマイコン５が異常であると判断されると所定のフェールセーフ動作を行うフェールセーフ部４７と、マイコン５から受信したデータをマイコン監視部４３と時間設定部４５とに振り分ける振り分け部４９と、当該監視ＩＣ７における上記各部が動作するためのクロックを発生するクロック発生部５１と、を備える。

振り分け部４９は、ＳＰＩ４１によって受信されたマイコン５からのデータのうち、テスト結果データを、マイコン監視部４３に入力させ、設定要求データを、時間設定部４５に入力させる。

マイコン監視部４３は、マイコン５からのテスト結果データが所定の制限時間以内毎に受信されており、且つ、受信したテスト結果データにおけるビットの並びが、正常時の並びである場合には、マイコン５が正常であると判定する。

また、マイコン監視部４３は、マイコン５から受信したテスト結果データにおけるビットの並びが、正常時の並びではない場合、あるいは、テスト結果データが受信されない時間が上記制限時間を超えた場合に、マイコン５が異常であると判定する。

そして、マイコン監視部４３は、図２に示すように、マイコン５が異常であると判定している継続時間を、異常カウンタによって計測しており、その継続時間が、時間設定部４５のレジスタ４４に記憶されている異常判定時間に達すると、マイコン５が真に異常であると判断して、フェールセーフ部４７に動作指令を出力する。

フェールセーフ部４７は、マイコン監視部４３からの動作指令を受けると、安全性確保のためのフェールセーフ動作として、例えば、マイコン５からドライバ６に出力される駆動指令を無効化する動作や、モータ４への電力供給を遮断する動作などを行う。尚、スロットルバルブ３は、上記のフェールセーフ動作によってモータ４による開度調節が強制停止されても、メカニカルな機構により、車両運転者のアクセルペダル操作に応じた開度調節が可能になっている。また、フェールセーフ動作としては、例えばマイコン５をリセットする動作でも良い。

時間設定部４５には、マイコン５からの設定要求データが振り分け部４９を介して入力される。また、時間設定部４５には、マイコン５から監視ＩＣ７へ出力される前述の異常通知信号も入力される。

そして、時間設定部４５は、マイコン５からの設定要求データが入力されると、その設定要求データが示す異常判定時間をレジスタ４４に書き込む。レジスタ４４に異常判定時間を書き込む時間設定部４５の書き込み動作は、レジスタ４４内の異常判定時間を、設定要求データが示す異常判定時間に設定する動作である。また、その書き込み動作は、監視ＩＣ７の動作内容（この例では、マイコン５が異常であると仮の判定をしている状態が、どれだけの時間継続したら、真に異常と判断するのか、という動作内容）を設定する設定動作に相当する。

更に、時間設定部４５は、禁止部４６を備える。
禁止部４６は、図３に示すように、マイコン５からの異常通知信号が時間設定部４５に入力（換言すれば、監視ＩＣ７に入力）されている場合（Ｓ１１０：ＹＥＳ）であって、具体的には、異常通知信号がハイである場合には、レジスタ４４への書き込みを禁止する。つまり、時間設定部４５において、マイコン５からの異常通知信号は、レジスタ４４内の異常判定時間を書き換えることについての禁止信号（ディスエーブル信号）となっている。このため、マイコン５から監視ＩＣ７へ異常通知信号が出力された場合には、レジスタ４４内の異常判定時間の更新が禁止される。

以上のような制御装置１によれば、監視ＩＣ７の動作内容として、異常判定時間を、マイコン５から監視ＩＣ７への設定要求データによって可変設定することができる。よって、監視ＩＣ７の汎用性が向上する。

例えば、異常判定時間は、エンジン出力等の車両の特性によって変えることが望ましい。異常判定時間は、短くすると、フェールセーフ動作を誤って行ってしまう可能性が高まるが、エンジン出力が大きい車両や軽量の車両など、加速性能の高い車両では、フェールセーフ動作を早めに開始する方が安全面で好ましい。このため、異常判定時間は、車両の特性に応じて、安全性を逸脱しない範囲で、できるだけ長い時間に設定することが好ましい。このことに関して、制御装置１によれば、当該制御装置１が搭載される車両の特性に応じて、監視ＩＣ７における異常判定時間を可変設定することができる。

更に、制御装置１において、マイコン５は、自己診断手段３１〜３４と、その自己診断手段３１〜３４の何れかによる診断結果が異常の場合に、異常通知信号を監視ＩＣ７に出力する信号発生部２５とを備える。

そして、監視ＩＣ７では、マイコンからの異常通知信号が入力された場合には、禁止部４６が、レジスタ４４への異常判定時間の書き込み（換言すれば、異常判定時間の更新）を禁止する。このため、マイコン５に異常（この例では、コア１３、ＲＡＭ１５、ＲＯＭ１１、ＳＰＩ１９のうちの何れかの異常）が生じた場合には、時間設定部４５によってレジスタ４４内の異常判定時間が更新されることが禁止される。

よって、マイコン５に異常が生じて、マイコン５から監視ＩＣ７へ不適切な設定要求データが出力されても、監視ＩＣ７側の異常判定時間が予期せぬ内容（例えば、本来の時間よりも長い時間）になってしまうことが防止され、その結果、制御装置１の信頼性が維持される。

［第２実施形態］
次に、第２実施形態の制御装置について説明するが、制御装置の符号としては、第１実施形態と同じ“１”を用いる。また、第１実施形態と同様の構成要素や処理についても、第１実施形態と同じ符号を用いる。そして、このことは、後述する他の実施形態についても同様である。

第２実施形態の制御装置１では、第１実施形態の制御装置１と比較すると、監視ＩＣ７における時間設定部４５の動作が異なる。
第２実施形態の時間設定部４５は、図４における４段目〜６段目示すように、マイコン５からの設定要求データが時間設定部４５に入力（換言すれば、監視ＩＣ７に入力）されてから所定の遅延時間Ｔｂが経過した後に、設定要求データが示す異常判定時間をレジスタ４４に書き込む書き込み動作を行う。具体的には、時間設定部４５は、設定要求データが入力されてから、前述のクロックが所定回数発生するまで待ってから、書き込み動作を開始する。尚、図４は、レジスタ４４内の異常判定時間がＴ１からＴ２に書き換えられる場合を例示している。

ここで、図４における１段目〜３段目に示すように、マイコン５において、自己診断手段３１〜３４が診断対象とする部分（コア１３、ＲＡＭ１５、ＲＯＭ１１、ＳＰＩ１９の何れか）に異常が生じてから、マイコン５からの異常通知信号が監視ＩＣ７に入力されるまでには、少なからず遅れ時間Ｔａがある。その遅れ時間Ｔａは、例えば、信号発生部２５の動作遅れや信号線２７での信号遅延等によって生じる。そして、遅延時間Ｔａの最大値を「Ｔａｍ」とすると、上記遅延時間Ｔｂは、「Ｔａｍ」よりも長い時間に設定されている。

このような第２実施形態の制御装置１によれば、異常になったマイコン５が即座に誤った設定要求データを監視ＩＣ７へ送信したとしても、監視ＩＣ７においては、時間設定部４５がレジスタ４４への書き込み動作を開始するよりも前に、禁止部４６がレジスタ４４への書き込みを禁止することとなる。よって、マイコン５の異常に伴うレジスタ４４内の異常判定時間の誤設定を、より確実に防止することができる。

以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されることなく、種々の形態を採り得る。
例えば、マイコン５からの設定要求データによって設定される監視ＩＣ７の可変の動作内容としては、実施するフェールセーフ動作の内容や、実施するフェールセーフ動作の種類数などでも良い。

また、マイコン５においては、ＰＷＭ回路１７の診断を行う自己診断手段を設けても良い。
また、マイコン５から監視ＩＣ７への設定要求データ（設定要求信号）は、通信ライン１８とは別の、１つ又は複数の信号線を介して伝送されるようになっていても良い。

また、監視ＩＣ７によるマイコン５の監視は、一般的なウォッチドッグタイマによる監視でも良いし、例えば、マイコン５から監視ＩＣ７へテスト演算の演算結果が送信され、監視ＩＣ７にて、その演算結果が期待値と一致しているか否かを判定し、一致していない場合にマイコン５が異常であると判定しても良い。

また例えば、上記実施形態における１つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を１つの構成要素に統合させたりしてもよい。また、上記実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、上記実施形態の構成の一部を、課題を解決できる限りにおいて省略してもよい。尚、特許請求の範囲に記載した文言によって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。また、上述した制御装置の他、当該制御装置を構成要素とするシステム、当該制御装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した媒体、マイコンの監視方法など、種々の形態で本発明を実現することもできる。

５…マイコン、７…監視ＩＣ、２５…信号発生部、３１〜３４…自己診断手段、４５…時間設定部、４６…禁止部

Claims (4)

1. 制御対象を制御する処理を行うマイコン（５）と、
   前記マイコンの動作を監視し、前記マイコンが異常であると判断すると、所定のフェールセーフ動作を行う監視手段（７）と、
   を備える制御装置において、
   前記監視手段は、
   当該監視手段の動作内容のうち可変になっている動作内容を示す設定要求信号が、前記マイコンから当該監視手段に入力されると、当該監視手段の可変の動作内容を、前記設定要求信号が示す動作内容に設定する設定動作を行う設定手段（４５）を備え、
   前記マイコンは、
   当該マイコンが正常か否かを診断する自己診断手段（３１〜３４）と、
   前記自己診断手段による診断結果が異常の場合に、当該マイコンに異常が生じたことを示す異常通知信号を、前記監視手段に出力する診断結果出力手段（２５）と、を備え、
   更に、前記監視手段は、
   前記異常通知信号が当該監視手段に入力された場合に、前記設定手段が前記設定動作を行うことを禁止する禁止手段（４６）、を備えること、
   を特徴とする制御装置。
2. 請求項１に記載の制御装置において、
   前記監視手段は、
   記憶部（４４）を有すると共に、前記マイコンが異常であると判定した継続時間が、前記記憶部に記憶されている異常判定時間に達すると、前記マイコンが真に異常であると判断して、前記フェールセーフ動作を行い、
   前記マイコンから前記監視手段に出力される前記設定要求信号は、前記異常判定時間を示す信号であり、
   前記設定手段は、
   前記設定要求信号が前記監視手段に入力されると、前記設定動作として、前記記憶部内の前記異常判定時間を、前記設定要求信号が示す異常判定時間に設定する動作を行い、
   前記禁止手段は、
   前記異常通知信号が前記監視手段に入力された場合に、前記設定手段が前記設定動作を行うことを禁止することにより、前記記憶部内の前記異常判定時間が更新されることを禁止すること、
   を特徴とする制御装置。
3. 請求項１又は請求項２に記載の制御装置において、
   前記設定手段は、
   前記設定要求信号が前記監視手段に入力されてから所定の遅延時間が経過した後に、前記設定動作を行うこと、
   を特徴とする制御装置。
4. 請求項３に記載の制御装置において、
   前記遅延時間は、
   前記マイコンの前記自己診断手段が診断対象とする前記マイコンの部分（１３，１５，１１，１９）に異常が生じてから、前記異常通知信号が前記監視手段に入力されるまでの遅れ時間の最大値よりも、長い時間に設定されていること、
   を特徴とする制御装置。

Images