JP6740812B2 - Electronic control unit - Google Patents

Electronic control unit Download PDF

Info

Publication number
JP6740812B2
JP6740812B2 JP2016165959A JP2016165959A JP6740812B2 JP 6740812 B2 JP6740812 B2 JP 6740812B2 JP 2016165959 A JP2016165959 A JP 2016165959A JP 2016165959 A JP2016165959 A JP 2016165959A JP 6740812 B2 JP6740812 B2 JP 6740812B2
Authority
JP
Japan
Prior art keywords
output
microcomputer
unit
signal
electronic control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016165959A
Other languages
Japanese (ja)
Other versions
JP2018032328A (en
Inventor
酒井　直人
直人 酒井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Denso Corp filed Critical Denso Corp
Priority to JP2016165959A priority Critical patent/JP6740812B2/en
Priority to DE102017213690.1A priority patent/DE102017213690A1/en
Publication of JP2018032328A publication Critical patent/JP2018032328A/en
Application granted granted Critical
Publication of JP6740812B2 publication Critical patent/JP6740812B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1637—Error detection by comparing the output of redundant processing systems using additional compare functionality in one or some but not all of the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1654—Error detection by comparing the output of redundant processing systems where the output of only one of the redundant processing components can drive the attached hardware, e.g. memory or I/O
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3024—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is a central processing unit [CPU]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3055—Monitoring arrangements for monitoring the status of the computing system or of the computing system component, e.g. monitoring if the computing system is on, off, available, not available

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Safety Devices In Control Systems (AREA)
  • Debugging And Monitoring (AREA)

Description

本開示は、車両制御を実行するマイクロコンピュータが正常であるか異常であるかを監視する技術に関する。 The present disclosure relates to a technique of monitoring whether a microcomputer that executes vehicle control is normal or abnormal.

車両制御を実行するマイクロコンピュータが正常であるか異常であるかを監視する技術が知られている。例えば、特許文献１に記載の技術では、マイクロコンピュータが第１のプログラムを実行することにより車両の駆動ユニットの出力を制御し、マイクロコンピュータが第２のプログラムを実行することにより第１のプログラムによる出力制御をモニタして監視する。 A technique for monitoring whether a microcomputer that executes vehicle control is normal or abnormal is known. For example, in the technique described in Patent Document 1, the microcomputer executes the first program to control the output of the drive unit of the vehicle, and the microcomputer executes the second program to execute the first program. Monitor and monitor output control.

第２のプログラムは、第１のプログラムと同じ演算対象のデータを入力して演算することにより、第１のプログラムが駆動ユニットの出力制御のために演算する演算結果が正常であるか異常であるかを監視する。 The second program inputs the same data to be operated as the first program and performs an operation, so that the operation result calculated by the first program for the output control of the drive unit is normal or abnormal. To monitor.

特表平１１−５０５５８７号公報Japanese Patent Publication No. 11-505587

特許文献１に記載の技術では、一つのマイクロコンピュータが第１のプログラムと第２のプログラムとの両方を実行するので、両方のプログラムが参照する演算対象のデータが同じメモリに格納されている可能性がある。 In the technique described in Patent Document 1, since one microcomputer executes both the first program and the second program, it is possible that the data to be operated by both programs is stored in the same memory. There is a nature.

この場合、例えばメモリに格納されている演算対象のデータがメモリの異常のためにビットの反転等により異常値になり、第１のプログラムが異常なデータに基づいて演算する演算結果が異常値になると、第２のプログラムの演算結果も異常値になる。 In this case, for example, the operation target data stored in the memory becomes an abnormal value due to bit inversion or the like due to an abnormality in the memory, and the operation result calculated by the first program based on the abnormal data becomes an abnormal value. Then, the calculation result of the second program also becomes an abnormal value.

このように、一つのマイクロコンピュータが第１のプログラムと第２のプログラムとの両方を実行する構成では、マイクロコンピュータのハードウェア資源に異常が発生すると、第２のプログラムは第１のプログラムの演算結果が正常であるか異常であるかを適切に監視できない。 As described above, in the configuration in which one microcomputer executes both the first program and the second program, when an abnormality occurs in the hardware resources of the microcomputer, the second program operates the first program. It is not possible to properly monitor whether the result is normal or abnormal.

本開示の一側面は、車両制御を実行するマイクロコンピュータが正常であるか異常であるかを適切に監視する技術を提供することにある。 One aspect of the present disclosure is to provide a technique for appropriately monitoring whether the microcomputer that executes vehicle control is normal or abnormal.

本開示の一態様は、少なくとも一つの第１のマイクロコンピュータ（２０）と、一つの第２のマイクロコンピュータ（３０）と、を備えている。
第１のマイクロコンピュータは、車両制御を実行するための演算を行う。第２のマイクロコンピュータは、第１のマイクロコンピュータの演算結果に基づいて、第１のマイクロコンピュータが正常であるか異常であるかを監視する。 One aspect of the present disclosure includes at least one first microcomputer (20) and one second microcomputer (30).
The first microcomputer performs a calculation for executing vehicle control. The second microcomputer monitors whether the first microcomputer is normal or abnormal based on the calculation result of the first microcomputer.

この構成によれば、車両制御を実行する第１のマイクロコンピュータと、第１のマイクロコンピュータが正常であるか異常であるかを監視する第２のマイクロコンピュータとは異なるマイクロコンピュータである。 According to this configuration, the first microcomputer that executes vehicle control and the second microcomputer that monitors whether the first microcomputer is normal or abnormal are different microcomputers.

つまり、第１のマイクロコンピュータと、第２のマイクロコンピュータとは、演算を実行する演算部と、演算対象のデータを格納するメモリと、演算部がメモリのデータをアクセスするデータ線、などのハードウェア資源をマイクロコンピュータ毎に備えており、共有していない。 That is, the first microcomputer and the second microcomputer are composed of hardware such as an arithmetic unit that executes arithmetic operations, a memory that stores data to be arithmetically operated, and a data line that the arithmetic operation unit accesses data in the memory. Hardware resources are provided for each microcomputer and are not shared.

したがって、第１のマイクロコンピュータのハードウェア資源に異常が発生して第１のマイクロコンピュータの演算結果が異常になっても、第２のマイクロコンピュータのハードウェア資源が正常であれば、第１のマイクロコンピュータの演算結果に基づいて、第１のマイクロコンピュータが正常であるか異常であるかを適切に監視できる。 Therefore, even if an abnormality occurs in the hardware resources of the first microcomputer and the operation result of the first microcomputer becomes abnormal, if the hardware resources of the second microcomputer are normal, the first microcomputer It is possible to appropriately monitor whether the first microcomputer is normal or abnormal based on the calculation result of the microcomputer.

尚、この欄および特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。 In addition, the reference numerals in parentheses described in this column and the claims indicate the correspondence with the specific means described in the embodiments described later as one aspect, and the technical scope of the present invention. It is not limited.

本実施形態の電子制御装置を示すブロック図。The block diagram which shows the electronic controller of this embodiment. 電子制御装置が実行する車両制御処理を示すシーケンス図。The sequence diagram which shows the vehicle control process which an electronic control unit performs.

以下、本開示を実施するための形態を図に基づいて説明する。
［１．構成］
図１に示す電子制御装置１０は、少なくともモータを駆動源とする車両に搭載されており、高圧電池２１０からモータ用インバータ、エアコン等の車載装置に供給する高電圧をスイッチングするリレー２１２、２１４のオン、オフを制御する。 Hereinafter, modes for carrying out the present disclosure will be described based on the drawings.
[1. Constitution]
The electronic control unit 10 shown in FIG. 1 is mounted on at least a vehicle that uses a motor as a drive source, and includes relays 212 and 214 that switch a high voltage supplied from a high-voltage battery 210 to a vehicle inverter such as a motor inverter or an air conditioner. Controls on and off.

電子制御装置１０は、メインマイクロコンピュータ２０と、サブマイクロコンピュータ３０と、ＡＳＩＣ４０と、選択部５０、５２、５４と、出力部６０、６２と、を備えている。以下、マイクロコンピュータをマイコンとも言う。ＡＳＩＣは、Application Specific Integrated Circuitの略である。 The electronic control unit 10 includes a main microcomputer 20, a sub-microcomputer 30, an ASIC 40, selection units 50, 52 and 54, and output units 60 and 62. Hereinafter, the microcomputer is also referred to as a microcomputer. ASIC is an abbreviation for Application Specific Integrated Circuit.

メインマイコン２０は、ＣＰＵ２２と、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ２４とを備えている。サブマイコン３０も、ＣＰＵ３２と、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ３４とを備えている。以下、半導体メモリを単にメモリとも言う。 The main microcomputer 20 includes a CPU 22 and a semiconductor memory 24 such as RAM, ROM, flash memory or the like. The sub-microcomputer 30 also includes a CPU 32 and a semiconductor memory 34 such as a RAM, a ROM, and a flash memory. Hereinafter, the semiconductor memory is also simply referred to as a memory.

メインマイコン２０とサブマイコン３０との各機能は、ＣＰＵ２２、３２が非遷移的実体的記録媒体に記憶されているプログラムを実行することにより実現される。この例では、メモリ２４、３４が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。 The functions of the main microcomputer 20 and the sub-microcomputer 30 are realized by the CPUs 22 and 32 executing the programs stored in the non-transitional physical recording medium. In this example, the memories 24 and 34 correspond to the non-transitional tangible recording medium storing the program. By executing this program, the method corresponding to the program is executed.

メインマイコン２０とサブマイコン３０とは、それぞれ入力線１００、１０２からアクセル開度、シフトポジション、電池充電深度等のデータを入力する。
メインマイコン２０は、入力線１００から入力したアクセル開度、シフトポジション、電池充電深度等のデータを演算し、高圧電池２１０のプラス側のリレー２１２をオンにするかオフにするかを制御する制御信号を制御線１０４に出力する。また、メインマイコン２０は、通常、出力線１２０にオン信号を出力する。 The main microcomputer 20 and the sub-microcomputer 30 input data such as an accelerator opening degree, a shift position, and a battery charge depth from input lines 100 and 102, respectively.
The main microcomputer 20 calculates data such as the accelerator opening, the shift position, and the battery charge depth input from the input line 100, and controls whether the positive side relay 212 of the high voltage battery 210 is turned on or off. The signal is output to the control line 104. In addition, the main microcomputer 20 normally outputs an ON signal to the output line 120.

尚、図１では、高圧電池２１０のプラス側のリレー２１２をオンにするかオフにするかを制御する回路だけを図示しているが、メインマイコン２０は、制御線１０４とは異なる制御線により、高圧電池２１０のマイナス側のリレー２１４オンにするかオフにするかを制御する。メインマイコン２０がリレー２１２用の制御線１０４に出力する制御信号と、リレー２１４用の図示しない制御線に出力する制御信号とは同じである。 Although FIG. 1 illustrates only a circuit for controlling whether the positive side relay 212 of the high-voltage battery 210 is turned on or off, the main microcomputer 20 uses a control line different from the control line 104. , Controls whether the negative side relay 214 of the high voltage battery 210 is turned on or off. The control signal output from the main microcomputer 20 to the control line 104 for the relay 212 and the control signal output to the control line (not shown) for the relay 214 are the same.

そして、後述する選択部５０と出力部６０とサブマイコン３０の出力線１０６と同様の回路がリレー２１４にも設置されている。さらに、後述する出力部６２によるリレー２１２用の出力部６０への電力供給の制御が、リレー２１４用の出力部に対しても行われる。 A circuit similar to the selecting unit 50, the output unit 60, and the output line 106 of the sub-microcomputer 30 described later is also installed in the relay 214. Further, control of power supply to the output unit 60 for the relay 212 by the output unit 62 described below is also performed for the output unit for the relay 214.

リレー２１２、２１４に対するオン、オフ制御は実質的に同じであるから、この後、リレー２１４に対するオン、オフ制御の説明は省略し、リレー２１２に対するオン、オフ制御について説明する。 Since the on/off control for the relays 212 and 214 is substantially the same, the description of the on/off control for the relay 214 will be omitted, and the on/off control for the relay 212 will be described.

メインマイコン２０は、リレー２１２のオン、オフ制御以外にも、例えばＣＡＮ通信により他の電子制御装置に、車両の駆動源であるモータの出力トルクの設定、高圧電池２１０の充電量の設定等を指令する。ＣＡＮはController Area Networkの略であり、登録商標である。 In addition to the ON/OFF control of the relay 212, the main microcomputer 20 sets the output torque of the motor, which is the drive source of the vehicle, and the charge amount of the high-voltage battery 210 to another electronic control unit by CAN communication, for example. Order. CAN is an abbreviation for Controller Area Network and is a registered trademark.

サブマイコン３０は、入力線１０２から入力したアクセル開度、シフトポジション、電池充電深度等のメインマイコン２０と同じ演算対象のデータを、メインマイコン２０と同じ演算プログラムで演算する。 The sub-microcomputer 30 calculates the data of the same operation target as the main microcomputer 20, such as the accelerator opening, the shift position, and the battery charge depth, which are input from the input line 102, by the same calculation program as the main microcomputer 20.

サブマイコン３０は、通信線１４０を介したマイコン間通信によりメインマイコン２０の演算結果を受信する。そして、メインマイコン２０から受信した演算結果と、サブマイコン３０の演算結果とを比較し、一致しているか否かによって、メインマイコン２０が制御線１０４に出力する制御信号を電子制御装置１０から出力することを許可するか禁止するかを決定する出力信号を出力線１０６に出力する。 The sub-microcomputer 30 receives the calculation result of the main microcomputer 20 through inter-microcomputer communication via the communication line 140. Then, the calculation result received from the main microcomputer 20 is compared with the calculation result of the sub-microcomputer 30, and depending on whether they match, the control signal output from the main microcomputer 20 to the control line 104 is output from the electronic control unit 10. An output signal for deciding whether to permit or prohibit is output to the output line 106.

サブマイコン３０は、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致する場合、メインマイコン２０は正常であると判断し、出力信号として許可を表すオン信号を出力線１０６に出力する。サブマイコン３０は、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致しない場合、メインマイコン２０は異常であると判断し、出力信号として禁止を表すオフ信号を出力線１０６に出力する。 When the calculation result of the main microcomputer 20 and the calculation result of the sub microcomputer 30 match, the sub-microcomputer 30 determines that the main microcomputer 20 is normal, and outputs an ON signal indicating permission as an output signal to the output line 106. .. When the calculation result of the main microcomputer 20 and the calculation result of the sub microcomputer 30 do not match, the sub-microcomputer 30 determines that the main microcomputer 20 is abnormal, and outputs an OFF signal indicating inhibition as an output signal to the output line 106. ..

サブマイコン３０は、通常、オン信号を出力線１０６に出力しており、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致しない場合、出力線１０６にオフ信号を出力する。 The sub-microcomputer 30 normally outputs an ON signal to the output line 106, and outputs an OFF signal to the output line 106 when the calculation result of the main microcomputer 20 does not match the calculation result of the sub-microcomputer 30.

また、サブマイコン３０は、サブマイコン３０が搭載する図示しないウォッチドッグカウンタをクリアするパルスを通信線１４２を介してメインマイコン２０から受信する。所定時間内にメインマイコン２０からウォッチドッグカウンタをクリアするパルスを受信しない場合、サブマイコン３０は、メインマイコン２０は異常であると判断する。 The sub-microcomputer 30 also receives a pulse for clearing a watchdog counter (not shown) mounted on the sub-microcomputer 30 from the main microcomputer 20 via the communication line 142. When the pulse for clearing the watchdog counter is not received from the main microcomputer 20 within the predetermined time, the sub-microcomputer 30 determines that the main microcomputer 20 is abnormal.

この場合、サブマイコン３０は、メインマイコン２０が制御線１０４に出力する制御信号を電子制御装置１０から出力することを禁止するオフ信号を出力線１０６に出力する。
選択部５０は、サブマイコン３０が出力線１０６に出力する出力信号が許可を表すオン信号の場合、メインマイコン２０が制御線１０４に出力する制御信号をそのまま出力線１０８に出力する。選択部５０は、サブマイコン３０が出力線１０６に出力する出力信号が禁止を表すオフ信号の場合、メインマイコン２０が制御線１０４に出力する制御信号を遮断する。この場合、出力線１０８にはリレー２１２をオフにする制御信号が出力される。 In this case, the sub-microcomputer 30 outputs an OFF signal, which prohibits the main microcomputer 20 from outputting the control signal output to the control line 104 from the electronic control unit 10, to the output line 106.
When the output signal output from the sub-microcomputer 30 to the output line 106 is an ON signal indicating permission, the selection unit 50 outputs the control signal output from the main microcomputer 20 to the control line 104 to the output line 108 as it is. When the output signal output from the sub-microcomputer 30 to the output line 106 is an OFF signal indicating prohibition, the selection unit 50 shuts off the control signal output from the main microcomputer 20 to the control line 104. In this case, a control signal for turning off the relay 212 is output to the output line 108.

出力部６０は、出力線１０８の信号を出力線１１０により電子制御装置１０からリレー２１２に出力する。出力部６０には、リレー２０２がオンの場合、１２Ｖ等の低圧電源２００から電力線１５０を介して電力が供給される。リレー２０２は、出力部６２が出力線１３０に出力する制御信号によりオン、オフされる。 The output unit 60 outputs the signal on the output line 108 from the electronic control unit 10 to the relay 212 via the output line 110. When the relay 202 is turned on, the output unit 60 is supplied with electric power from the low voltage power source 200 such as 12 V through the power line 150. The relay 202 is turned on/off by a control signal output from the output unit 62 to the output line 130.

サブマイコン３０は、出力部６０の出力をモニタ線１６０でモニタしている。出力線１０６に禁止を表すオフ信号を出力しているにも関わらず、出力部６０の出力がオンであることをモニタ線１６０の信号から検出すると、サブマイコン３０は通常はオン信号を出力している出力線１２２にオフ信号を出力する。 The sub-microcomputer 30 monitors the output of the output unit 60 with the monitor line 160. When the output of the output unit 60 is detected to be ON from the signal of the monitor line 160, the sub-microcomputer 30 normally outputs an ON signal, even though the OFF signal indicating prohibition is output to the output line 106. The OFF signal is output to the output line 122 that is connected.

出力部６２の出力は、出力線１２０、１２２、１２４がすべてオンであり、その結果として選択部５２の出力線１２６と選択部５４の出力線１２８とがオンの場合にオンになる。出力線１２０、１２２、１２４の少なくとも一つがオフであれば、出力部６２の出力はオフになり、リレー２０２はオフになる。その結果、低圧電源２００から出力部６０への電力供給は遮断される。 The output of the output unit 62 is turned on when the output lines 120, 122, and 124 are all on, and as a result, the output line 126 of the selection unit 52 and the output line 128 of the selection unit 54 are on. When at least one of the output lines 120, 122, and 124 is off, the output of the output unit 62 is off and the relay 202 is off. As a result, the power supply from the low voltage power supply 200 to the output unit 60 is cut off.

低圧電源２００から出力部６０への電力供給が遮断されると、出力部６０から出力線１１０に出力される制御信号はオフになるので、リレー２１２はオフになる。これにより、高圧電池２１０から車載装置への高電圧の供給は遮断される。 When the power supply from the low-voltage power supply 200 to the output unit 60 is cut off, the control signal output from the output unit 60 to the output line 110 is turned off, so the relay 212 is turned off. As a result, the supply of high voltage from the high voltage battery 210 to the in-vehicle device is cut off.

上記以外にも、メインマイコン２０、サブマイコン３０は、リレー２０２の出力を電力線１５２、１５４を介して入力し、モニタしている。さらに、メインマイコン２０、サブマイコン３０は、高圧電池２１０から車載装置に高電圧が供給されているか否かを、高電圧センサ等のモニタ装置２１６が出力する電圧検出信号によりモニタ線１６２、１６４を介して入力し、モニタしている。 In addition to the above, the main microcomputer 20 and the sub-microcomputer 30 input the output of the relay 202 through the power lines 152 and 154 and monitor it. Further, the main microcomputer 20 and the sub-microcomputer 30 determine whether the high voltage is supplied from the high voltage battery 210 to the vehicle-mounted device by monitoring the monitor lines 162, 164 by the voltage detection signal output from the monitor device 216 such as a high voltage sensor. Input through and monitor.

メインマイコン２０とサブマイコン３０とは、自マイコンが出力する信号に対応しない出力を電力線１５２、１５４またはモニタ線１６２、１６４から検出すると、駆動源であるモータの出力トルクを低下させる等のフェール処理を実行する。 When the main microcomputer 20 and the sub-microcomputer 30 detect an output that does not correspond to the signal output from the own microcomputer from the power lines 152, 154 or the monitor lines 162, 164, the fail processing such as reducing the output torque of the motor that is the drive source To execute.

ＡＳＩＣ４０は、サブマイコン３０と同じアルゴリズムで定期的に演算し、サブマイコン３０が同じアルゴリズムで定期的に演算する演算結果を通信線１４４を介して受信する。演算結果は０または１、あるいはＴＲＵＥまたはＦＡＬＳＥ等の単純な結果でよい。ＡＳＩＣ４０は、通信線１４４を介してサブマイコン３０から受信する演算結果がＡＳＩＣ４０の演算結果と一致しない場合、出力線１２４にオフ信号を出力する。 The ASIC 40 periodically calculates with the same algorithm as the sub-microcomputer 30, and receives the calculation result periodically calculated with the same algorithm by the sub-microcomputer 30 via the communication line 144. The calculation result may be 0 or 1, or a simple result such as TRUE or FALSE. When the calculation result received from the sub-microcomputer 30 via the communication line 144 does not match the calculation result of the ASIC 40, the ASIC 40 outputs an off signal to the output line 124.

また、ＡＳＩＣ４０は、ＡＳＩＣ４０が搭載する図示しないウォッチドッグカウンタをクリアするパルスを通信線１４６を介してサブマイコン３０から受信する。ＡＳＩＣ４０は、所定時間内にサブマイコン３０からウォッチドッグカウンタをクリアするパルスを受信しない場合、制御線１７０、１７２を介してメインマイコン２０とサブマイコン３０とにリセット信号を同時に出力する。 Further, the ASIC 40 receives a pulse for clearing a watchdog counter (not shown) mounted on the ASIC 40 from the sub-microcomputer 30 via the communication line 146. When the ASIC 40 does not receive a pulse for clearing the watchdog counter from the sub-microcomputer 30 within a predetermined time, it outputs reset signals to the main microcomputer 20 and the sub-microcomputer 30 simultaneously via the control lines 170 and 172.

［２．処理］
電子制御装置１０が実行する車両制御処理を図２のシーケンス図に基づいて説明する。図２において（処理１）〜（処理１０）の１０個の処理が一つの処理シーケンスを表している。一つの処理シーケンスは例えば１０ｍｓｅｃの周期で繰り返し実行される。 [2. processing]
The vehicle control process executed by the electronic control unit 10 will be described based on the sequence diagram of FIG. In FIG. 2, 10 processes (process 1) to (process 10) represent one process sequence. One processing sequence is repeatedly executed at a cycle of 10 msec, for example.

（処理１）メインマイコン２０は、入力線１００からアクセル開度、シフトポジション、電池充電深度等のデータを入力する。サブマイコン３０は、前回の処理シーケンスにおいて、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、出力線１２２にオフ信号を出力するフェール処理を実行する。 (Process 1) The main microcomputer 20 inputs data such as an accelerator opening degree, a shift position, and a battery charging depth from the input line 100. In the previous processing sequence, the sub-microcomputer 30 outputs a OFF signal to the output line 122 when the output of the output unit 60 is ON even though the OFF signal is output to the output line 106. To execute.

（処理２）メインマイコン２０は、（処理１）で入力したデータに基づいて、リレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。サブマイコン３０は、入力線１０２から、メインマイコン２０と同じアクセル開度、シフトポジション、電池充電深度等のデータを入力する。 (Process 2) The main microcomputer 20 executes a control calculation for controlling whether the relay 212 is turned on or off based on the data input in (Process 1). From the input line 102, the sub-microcomputer 30 inputs the same data as the accelerator opening degree, the shift position, the battery charging depth, etc., as in the main microcomputer 20.

（処理３）メインマイコンは、（処理２）に続いてリレー２１２をオンにするかオフにするかを決定するための制御演算を実行する。サブマイコン３０は、（処理２）で入力したデータに基づいて、メインマイコン２０と同様に、リレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。 (Processing 3) Following (Processing 2), the main microcomputer executes a control calculation for determining whether to turn on or turn off the relay 212. Similar to the main microcomputer 20, the sub-microcomputer 30 executes a control calculation for controlling whether to turn on or off the relay 212 based on the data input in (Processing 2).

（処理４）メインマイコン２０は、通信線１４０を介したマイコン間通信により、サブマイコン３０に（処理２）、（処理３）の演算結果として、リレー２１２をオンにするかオフにするかを送信する。サブマイコン３０は、（処理３）に続いてリレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。 (Processing 4) The main microcomputer 20 determines whether the relay 212 should be turned on or off as the calculation result of (Processing 2) and (Processing 3) in the sub-microcomputer 30 through the communication between the microcomputers via the communication line 140. Send. Sub-microcomputer 30 executes a control operation for controlling whether relay 212 is turned on or off following (Processing 3).

（処理５）メインマイコン２０は、車両の駆動源であるモータの出力トルクの設定、高圧電池２１０の充電量の設定等、サブマイコン３０がメインマイコン２０との演算結果が一致するか否かの判定対象とするリレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、通信線１４０を介したマイコン間通信により、リレー２１２をオンにするかオフにするかの演算結果をメインマイコン２０から受信する。 (Process 5) The main microcomputer 20 determines whether or not the calculation results of the sub-microcomputer 30 and the main microcomputer 20 match, such as the setting of the output torque of the motor that is the drive source of the vehicle and the setting of the charge amount of the high-voltage battery 210. A control calculation other than turning on or off the relay 212 to be determined is executed. The sub-microcomputer 30 receives from the main microcomputer 20 a calculation result indicating whether the relay 212 should be turned on or off by inter-microcomputer communication via the communication line 140.

（処理６）メインマイコン２０は、（処理５）に続いて、リレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、リレー２１２をオンにするかオフにするかについて、メインマイコン２０から受信した演算結果と、サブマイコン３０の演算結果とが一致するか否かを判定する。 (Process 6) After (Process 5), the main microcomputer 20 executes a control calculation other than turning on or off the relay 212. The sub-microcomputer 30 determines whether the calculation result received from the main microcomputer 20 and the calculation result of the sub-microcomputer 30 match whether the relay 212 is turned on or off.

（処理７）メインマイコン２０とサブマイコン３０とは、（処理６）と同じ処理を実行する。
（処理８）メインマイコン２０は、（処理７）に続いて、リレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、（処理６）、（処理７）の判定結果に基づいて、リレー２１２をオフにして高圧電池２１０からの高電圧の供給を禁止するために、出力線１０６にオフ信号を出力して選択部５０の出力をオフにするかを判定する。 (Process 7) The main microcomputer 20 and the sub-microcomputer 30 execute the same process as (Process 6).
(Process 8) Following (Process 7), the main microcomputer 20 executes a control calculation other than turning on or off the relay 212. The sub-microcomputer 30 outputs an OFF signal to the output line 106 in order to turn off the relay 212 and prohibit the supply of high voltage from the high-voltage battery 210 based on the determination results of (Process 6) and (Process 7). Then, it is determined whether to turn off the output of the selection unit 50.

（処理９）メインマイコン２０は、（処理２）、（処理３）の制御演算については演算結果を制御線１０４に出力し、（処理５）〜（処理８）の制御演算についてはＣＡＮ通信により演算結果を他の電子制御装置に出力する。 (Processing 9) The main microcomputer 20 outputs the calculation result to the control line 104 for the control processing of (Processing 2) and (Processing 3), and the CAN communication for the control processing of (Processing 5) to (Processing 8). The calculation result is output to another electronic control device.

サブマイコン３０は、（処理８）の判定結果に基づいて、メインマイコン２０とサブマイコン３０との演算結果が一致しない場合、選択部５０からメインマイコン２０の制御信号が出力されることを禁止するために、出力線１０６にオフ信号を出力する。これにより、リレー２１２をオフにするオフ信号が出力部６０から出力される。 If the calculation results of the main microcomputer 20 and the sub-microcomputer 30 do not match based on the determination result of (Process 8), the sub-microcomputer 30 prohibits the selection unit 50 from outputting the control signal of the main microcomputer 20. Therefore, an off signal is output to the output line 106. As a result, an OFF signal that turns off the relay 212 is output from the output unit 60.

（処理１０）メインマイコン２０は、処理を実行せず待機する。サブマイコン３０は、モニタ線１６０により出力部６０の出力をモニタし、出力線１０６にオフ信号を出力しているにも関わらず、出力部６０の出力がオンになっているか否かを判定する出力フィードバック判定を行う。 (Process 10) The main microcomputer 20 waits without executing the process. The sub-microcomputer 30 monitors the output of the output unit 60 through the monitor line 160, and determines whether the output of the output unit 60 is ON, although the OFF signal is output to the output line 106. Output feedback judgment is performed.

サブマイコン３０は、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、次の処理シーケンスの（処理１）で出力線１２２にオフ信号を出力するフェール処理を実行する。 When the output of the output unit 60 is turned on despite outputting the off signal to the output line 106, the sub-microcomputer 30 outputs the off signal to the output line 122 in (Process 1) of the next processing sequence. Execute the fail process to output.

これにより、出力部６２の出力がオフになるのでリレー２０２がオフになり、低圧電源２００から出力部６０への電力供給が遮断される。すると、リレー２１２がオフになるので、高圧電池２１０から車載装置に高電圧が供給されることを遮断する。 As a result, the output of the output unit 62 is turned off, the relay 202 is turned off, and the power supply from the low voltage power source 200 to the output unit 60 is cut off. Then, the relay 212 is turned off, so that the high voltage is not supplied from the high-voltage battery 210 to the vehicle-mounted device.

［３．効果］
以上説明した上記実施形態によれば、以下の効果を得ることができる。
（１）高圧電池２１０から車載装置への高電圧の供給をオン、オフするリレー２１２を制御するメインマイコン２０と、メインマイコン２０が正常であるか異常であるかを監視するサブマイコン３０とを異なるマイコンで構成した。 [3. effect]
According to the above-described embodiment, the following effects can be obtained.
(1) The main microcomputer 20 that controls the relay 212 that turns on and off the supply of high voltage from the high-voltage battery 210 to the vehicle-mounted device, and the sub-microcomputer 30 that monitors whether the main microcomputer 20 is normal or abnormal. It is composed of different microcomputers.

したがって、メインマイコン２０とサブマイコン３０とは、演算を実行するＣＰＵ２２、３２と、演算をするためのデータを格納するメモリ２４、３４とＣＰＵ２２、３２がメモリ２４、３４をアクセスするデータ線、などのハードウェア資源を共有せず、マイコン毎に備えている。 Therefore, the main microcomputer 20 and the sub-microcomputer 30 include CPUs 22 and 32 for executing calculations, memories 24 and 34 for storing data for the calculations, and data lines for the CPUs 22 and 32 to access the memories 24 and 34. It does not share the hardware resources of and is provided for each microcomputer.

この構成により、ハードウェア資源に異常が発生してメインマイコン２０の演算結果が異常になっても、サブマイコン３０のハードウェア資源が正常であれば、メインマイコン２０の演算結果に基づいて、メインマイコン２０が正常であるか異常であるかを適切に監視できる。 With this configuration, even if an abnormality occurs in the hardware resource and the operation result of the main microcomputer 20 becomes abnormal, if the hardware resource of the sub-microcomputer 30 is normal, the main microcomputer 20 is operated based on the operation result. It is possible to appropriately monitor whether the microcomputer 20 is normal or abnormal.

（２）サブマイコン３０は、出力部６０の出力を入力してモニタしているので、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、出力線１２２にオフ信号を出力して出力部６０への電力供給を遮断できる。 (2) Since the sub-microcomputer 30 inputs and monitors the output of the output unit 60, if the output of the output unit 60 is on even though the off signal is output to the output line 106. The OFF signal can be output to the output line 122 to shut off the power supply to the output unit 60.

これにより、メインマイコン２０が異常になっている状態で出力部６０の出力がオンに固着していても、出力部６０への電力供給を遮断することにより、リレー２１２をオフにすることができる。 As a result, even if the output of the output unit 60 is stuck on in the abnormal state of the main microcomputer 20, the relay 212 can be turned off by cutting off the power supply to the output unit 60. ..

さらに、サブマイコン３０は、出力部６０の出力を入力してモニタしているので、出力部６０の出力がオンに固着していても、出力部６０への電力供給を遮断することにより、リレー２１２をオフにし、速やかに車載装置への高電圧の供給を遮断できる。 Further, since the sub-microcomputer 30 inputs and monitors the output of the output unit 60, even if the output of the output unit 60 is fixed to be on, the power supply to the output unit 60 is cut off to cause the relay By turning off 212, it is possible to quickly shut off the supply of the high voltage to the vehicle-mounted device.

（３）ＡＳＩＣ４０がサブマイコン３０が正常であるか否かを監視しているので、メインマイコン２０を監視するサブマイコン３０が異常になっても、ＡＳＩＣ４０が出力線１２４にオフ信号を出力して出力部６０への電力供給を遮断できる。 (3) Since the ASIC 40 monitors whether or not the sub-microcomputer 30 is normal, even if the sub-microcomputer 30 that monitors the main microcomputer 20 becomes abnormal, the ASIC 40 outputs an off signal to the output line 124. The power supply to the output unit 60 can be cut off.

上記実施形態では、メインマイコン２０が第１のマイクロコンピュータに対応し、サブマイコン３０が第２のマイクロコンピュータに対応し、ＡＳＩＣ４０が監視部に対応し、選択部５０が第１の選択部に対応し、選択部５２、５４が第２の選択部に対応し、出力部６０が出力部に対応し、出力部６２が出力制御部に対応し、リレー２１２がリレーに対応する。 In the above embodiment, the main microcomputer 20 corresponds to the first microcomputer, the sub-microcomputer 30 corresponds to the second microcomputer, the ASIC 40 corresponds to the monitoring unit, and the selection unit 50 corresponds to the first selection unit. The selection units 52 and 54 correspond to the second selection unit, the output unit 60 corresponds to the output unit, the output unit 62 corresponds to the output control unit, and the relay 212 corresponds to the relay.

また、メインマイコン２０が制御線１０４に出力する制御信号が制御信号に対応し、サブマイコン３０が出力線１０６に出力する出力信号が出力信号または第１の出力信号に対応し、サブマイコン３０が出力線１２２に出力する出力信号が出力信号または第２の出力信号に対応し、サブマイコン３０がモニタ線１６４から入力する信号が電圧検出信号に対応し、ＡＳＩＣ４０が出力線１２４に出力する出力信号が第２の出力信号に対応する。 The control signal output from the main microcomputer 20 to the control line 104 corresponds to the control signal, the output signal output from the sub-microcomputer 30 to the output line 106 corresponds to the output signal or the first output signal, and the sub-microcomputer 30 outputs the control signal. The output signal output to the output line 122 corresponds to the output signal or the second output signal, the signal input from the monitor line 164 by the sub-microcomputer 30 corresponds to the voltage detection signal, and the output signal output from the ASIC 40 to the output line 124. Corresponds to the second output signal.

［４．他の実施形態］
（１）上記実施形態では、第１のマイコンに対応するメインマイコン２０が車両制御としてリレー２１２をオンまたはオフし、第２のマイコンに対応するサブマイコン３０は、メインマイコン２０が正常であるか異常であるかを監視した。 [4. Other Embodiments]
(1) In the above embodiment, whether the main microcomputer 20 corresponding to the first microcomputer turns on or off the relay 212 for vehicle control, and the sub microcomputer 30 corresponding to the second microcomputer is the main microcomputer 20 normal? It was monitored for abnormalities.

これに対し、第１のマイコンが実行する車両制御はリレー２１２をオンまたはオフすることに限らず、どのような車両制御であってもよい。そして、第２のマイコンは、第１のマイコンが異常の場合、第１のマイコンが車両制御のために出力する制御信号が電子制御装置から出力されることを禁止する。 On the other hand, the vehicle control executed by the first microcomputer is not limited to turning on or off the relay 212, and may be any vehicle control. Then, when the first microcomputer is abnormal, the second microcomputer prohibits the control signal output by the first microcomputer for vehicle control from being output from the electronic control unit.

（２）上記実施形態では、サブマイコン３０が正常であるか異常であるかを監視する監視部をＡＳＩＣ４０で構成した。これに対し、サブマイコン３０が正常であるか異常であるかを監視する監視部をマイコンで構成してもよい。 (2) In the above-described embodiment, the ASIC 40 constitutes the monitoring unit that monitors whether the sub-microcomputer 30 is normal or abnormal. On the other hand, a monitoring unit that monitors whether the sub-microcomputer 30 is normal or abnormal may be configured by a microcomputer.

（３）上記実施形態において、サブマイコン３０とＡＳＩＣ４０とが出力線１２２、１２４により出力部６２の出力をオフにする回路構成を除いてもよい。この場合、メインマイコン２０が異常であれば、メインマイコン２０が制御線１０４に出力する制御信号は、サブマイコン３０が出力線１０６に出力するオフ信号により電子制御装置１０からの出力を禁止される。 (3) In the above embodiment, the circuit configuration in which the sub-microcomputer 30 and the ASIC 40 turn off the output of the output unit 62 by the output lines 122 and 124 may be omitted. In this case, if the main microcomputer 20 is abnormal, the control signal output from the main microcomputer 20 to the control line 104 is prohibited from being output from the electronic control unit 10 by the off signal output from the sub-microcomputer 30 to the output line 106. ..

（４）上記実施形態において、メインマイコン２０が制御線１０４に出力する制御信号を選択部５０を介さず直接、出力部６０からリレー２１２に出力してもよい。
この場合、メインマイコン２０が異常であれば、メインマイコン２０が制御線１０４に出力する制御信号は、サブマイコン３０が出力線１２２にオフ信号を出力して出力部６０への電力供給を遮断することにより、電子制御装置１０からの出力を禁止される。 (4) In the above embodiment, the control signal output from the main microcomputer 20 to the control line 104 may be directly output from the output unit 60 to the relay 212 without the selection unit 50.
In this case, if the main microcomputer 20 is abnormal, the control signal output from the main microcomputer 20 to the control line 104 is such that the sub-microcomputer 30 outputs an OFF signal to the output line 122 to cut off the power supply to the output unit 60. As a result, the output from the electronic control unit 10 is prohibited.

（５）上記実施形態では、一つのメインマイコン２０が正常であるか異常であるかを一つのサブマイコン３０が監視した。これに対し、二つ以上のメインマイコン２０が正常であるか異常であるかを一つのサブマイコン３０が監視してもよい。この場合、一つのサブマイコン３０は、二つ以上のそれぞれのメインマイコン２０の演算結果に基づいて、それぞれのメインマイコン２０が正常であるか異常であるかを監視する。 (5) In the above embodiment, one sub-microcomputer 30 monitors whether one main microcomputer 20 is normal or abnormal. On the other hand, one sub-microcomputer 30 may monitor whether two or more main microcomputers 20 are normal or abnormal. In this case, one sub-microcomputer 30 monitors whether each main microcomputer 20 is normal or abnormal based on the calculation results of two or more main microcomputers 20.

（６）サブマイコン３０が異常の場合、ＡＳＩＣ４０はメインマイコン２０が出力する制御信号を遮断する出力信号を選択部５０に出力してもよい。
（７）上記実施形態における一つの構成要素が有する複数の機能を複数の構成要素によって実現したり、一つの構成要素が有する一つの機能を複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を一つの構成要素によって実現したり、複数の構成要素が有する一つの機能を一つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加または置換してもよい。尚、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本開示の実施形態である。 (6) When the sub-microcomputer 30 is abnormal, the ASIC 40 may output an output signal that cuts off the control signal output from the main microcomputer 20 to the selection unit 50.
(7) A plurality of functions of one constituent element in the above-described embodiment may be realized by a plurality of constituent elements, or one function of one constituent element may be realized by a plurality of constituent elements. Further, a plurality of functions of a plurality of constituent elements may be realized by one constituent element, or one function of a plurality of constituent elements may be realized by one constituent element. Moreover, you may omit a part of structure of the said embodiment. Further, at least a part of the configuration of the above-described embodiment may be added or replaced with respect to the configuration of the other above-described embodiment. Note that all aspects included in the technical idea specified only by the wording recited in the claims are embodiments of the present disclosure.

（８）上述した電子制御装置の他、当該電子制御装置を構成要素とする車両制御システム、当該電子制御装置としてコンピュータを機能させるための車両制御プログラム、この車両制御プログラムを記録した記録媒体、車両制御方法など、種々の形態で本開示を実現することもできる。 (8) In addition to the electronic control device described above, a vehicle control system having the electronic control device as a component, a vehicle control program for causing a computer to function as the electronic control device, a recording medium recording the vehicle control program, and a vehicle. The present disclosure can be implemented in various forms such as a control method.

１０：電子制御装置、２０：メインマイコン（第１のマイコン）、３０：サブマイコン（第２のマイコン）、４０：ＡＳＩＣ（監視部）、５０：選択部（第１の選択部）、５２、５４：選択部（第２の選択部）、６０：出力部、６２：出力部（出力制御部）、２１２、２１４：リレー 10: electronic control device, 20: main microcomputer (first microcomputer), 30: sub-microcomputer (second microcomputer), 40: ASIC (monitoring unit), 50: selection unit (first selection unit), 52, 54: selection unit (second selection unit), 60: output unit, 62: output unit (output control unit), 212, 214: relay

Claims (8)

車両制御を実行するための演算を行うように構成された少なくとも一つの第１のマイクロコンピュータ（２０）と、
前記第１のマイクロコンピュータの演算結果に基づいて、前記第１のマイクロコンピュータが正常であるか異常であるかを監視するように構成された一つの第２のマイクロコンピュータ（３０）と、
前記第２のマイクロコンピュータの演算結果に基づいて、前記第２のマイクロコンピュータが正常であるか異常であるかを監視するように構成された監視部（４０）と、
を備え、
前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが演算対象のデータを演算した前記演算結果と、前記第２のマイクロコンピュータが同じ前記演算対象のデータを演算した演算結果とを比較して前記第１のマイクロコンピュータが正常であるか異常であるかを監視するように構成されており、
前記監視部は、ＡＳＩＣで構成されており、前記第２のマイクロコンピュータと同じアルゴリズムで演算した演算結果と、前記第２のマイクロコンピュータが前記アルゴリズムで演算した演算結果とを比較して前記第２のマイクロコンピュータが正常であるか異常であるかを監視し、前記第２のマイクロコンピュータが異常の場合、前記第１のマイクロコンピュータと前記第２のマイクロコンピュータとを同時にリセットするように構成されている、
電子制御装置（１０）。 At least one first microcomputer (20) configured to perform an operation for performing vehicle control;
One second microcomputer (30) configured to monitor whether the first microcomputer is normal or abnormal based on the calculation result of the first microcomputer;
A monitoring unit (40) configured to monitor whether the second microcomputer is normal or abnormal based on the calculation result of the second microcomputer;
Equipped with
The second microcomputer compares the calculation result obtained by calculating the calculation target data by the first microcomputer with the calculation result obtained by calculating the same calculation target data by the second microcomputer. Is configured to monitor whether the first microcomputer is normal or abnormal,
The monitoring unit is composed of an ASIC and compares the calculation result calculated by the second microcomputer with the same algorithm as the second microcomputer by comparing the calculation result calculated by the second microcomputer with the algorithm. Is configured to monitor whether the first microcomputer and the second microcomputer are normal or abnormal, and when the second microcomputer is abnormal, the first microcomputer and the second microcomputer are simultaneously reset. Is
Electronic control unit (10). 請求項１に記載の電子制御装置において、
前記第１のマイクロコンピュータが前記車両制御を実行するために出力する制御信号と前記第２のマイクロコンピュータが出力する第１の出力信号とを入力とし、前記制御信号が前記電子制御装置から出力されることを許可するか禁止するかを前記第１の出力信号により選択するように構成された第１の選択部（５０）と、
前記第１の選択部の出力を前記電子制御装置から出力するように構成された出力部（６０）と、
前記出力部への電力供給をオンまたはオフにするように構成された出力制御部（６２）と、
前記出力制御部が前記出力部への電力供給をオンまたはオフのいずれにするかを、前記第２のマイクロコンピュータが出力する第２の出力信号により選択するように構成された第２の選択部（５２、５４）と、
をさらに備え、
前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが正常の場合、前記制御信号が前記電子制御装置から出力されることを許可する前記第１の出力信号を前記第１の選択部に出力し、前記第１のマイクロコンピュータが異常の場合、前記制御信号が前記電子制御装置から出力されることを禁止する前記第１の出力信号を前記第１の選択部に出力するように構成されており、
さらに、前記第２のマイクロコンピュータは、前記出力部の出力を入力し、前記第１のマイクロコンピュータが異常の場合に前記出力部から前記制御信号が出力されていると、前記出力部への前記電力供給をオフにする前記第２の出力信号を前記第２の選択部に出力するように構成されている、
電子制御装置。 The electronic control unit according to claim 1,
The control signal output by the first microcomputer for executing the vehicle control and the first output signal output by the second microcomputer are input, and the control signal is output from the electronic control unit. A first selection unit (50) configured to select whether to permit or prohibit the operation according to the first output signal,
An output unit (60) configured to output the output of the first selection unit from the electronic control device;
An output control unit (62) configured to turn on or off power supply to the output unit;
A second selection unit configured to select whether the output control unit turns on or off the power supply to the output unit according to a second output signal output from the second microcomputer. (52, 54),
Further equipped with,
The second microcomputer outputs, when the first microcomputer is normal, the first output signal to the first selection unit, which permits the control signal to be output from the electronic control device. If the first microcomputer is abnormal, the first output signal for prohibiting the control signal from being output from the electronic control device is output to the first selection unit. Cage,
Further, the second microcomputer inputs the output of the output unit, and when the control signal is output from the output unit when the first microcomputer is abnormal, the second microcomputer outputs the control signal to the output unit. It is configured to output the second output signal for turning off the power supply to the second selection unit,
Electronic control unit. 請求項２に記載の電子制御装置において、
前記第２のマイクロコンピュータは、前記出力部への電力供給をオフにする前記第２の出力信号を前記第の２選択部に出力しても、前記出力部への電力供給がオフにならない場合、前記第１のマイクロコンピュータが実行する前記車両制御に対してフェール処理を実行するように構成されている、
電子制御装置。 The electronic control unit according to claim 2,
The second microcomputer outputs the second output signal, which turns off the power supply to the output unit, to the second selection unit, but does not turn off the power supply to the output unit. And configured to execute a fail process for the vehicle control executed by the first microcomputer,
Electronic control unit. 請求項２または３に記載の電子制御装置において、
前記第１の選択部は、前記第１の出力信号と前記監視部が出力する第３の出力信号とにより、前記制御信号を出力するか否かを選択するように構成されており、
前記監視部は、前記第２のマイクロコンピュータが正常の場合、前記制御信号が前記第１の選択部から出力されることを許可する前記第３の出力信号を出力し、前記第２のマイクロコンピュータが異常の場合、前記制御信号が前記第１の選択部から出力されることを禁止する前記第３の出力信号を出力するように構成されている、
電子制御装置。 The electronic control unit according to claim 2 or 3,
The first selection unit is configured to select whether to output the control signal based on the first output signal and a third output signal output by the monitoring unit,
When the second microcomputer is normal, the monitoring unit outputs the third output signal that permits the control signal to be output from the first selection unit, and the second microcomputer Is abnormal, it is configured to output the third output signal that prohibits the control signal from being output from the first selector.
Electronic control unit. 請求項２から４のいずれか一項に記載の電子制御装置において、
前記第２の選択部は、前記出力制御部が前記出力部への電力供給をオンまたはオフのいずれにするかを、前記第２の出力信号と前記監視部が出力する第４の出力信号とにより選択するように構成されており、
前記監視部は、前記第２のマイクロコンピュータが異常の場合、前記出力制御部が前記出力部への電力供給をオフにする前記第４の出力信号を前記第２の選択部に出力するように構成されている、
電子制御装置。 The electronic control device according to any one of claims 2 to 4,
The second selection unit determines whether the output control unit turns on or off the power supply to the output unit based on the second output signal and the fourth output signal output by the monitoring unit. Configured to select by
When the second microcomputer is abnormal, the monitoring unit outputs the fourth output signal, which causes the output control unit to turn off the power supply to the output unit, to the second selection unit. It is configured,
Electronic control unit. 請求項１から５のいずれか一項に記載の電子制御装置において、
前記制御信号は、高電圧により駆動される車載装置への高電圧の供給をオンまたはオフ
にするリレー（２１２、２１４）に対する制御信号である、
電子制御装置。 The electronic control device according to any one of claims 1 to 5 ,
The control signal is a control signal for a relay (212, 214) that turns on or off the supply of the high voltage to the in-vehicle device driven by the high voltage,
Electronic control unit. 請求項６に記載の電子制御装置において、
前記第２のマイクロコンピュータは、前記高電圧が前記車載装置に供給されているか否かを検出する電圧検出信号を入力するように構成されている、
電子制御装置。 The electronic control device according to claim 6 ,
The second microcomputer is configured to input a voltage detection signal for detecting whether or not the high voltage is supplied to the vehicle-mounted device.
Electronic control unit. 車両制御を実行するための演算を行うように構成された少なくとも一つの第１のマイクロコンピュータ（２０）と、
前記第１のマイクロコンピュータの演算結果に基づいて、前記第１のマイクロコンピュータが正常であるか異常であるかを監視するように構成された一つの第２のマイクロコンピュータ（３０）と、
前記第２のマイクロコンピュータの演算結果に基づいて、前記第２のマイクロコンピュータが正常であるか異常であるかを監視するように構成された監視部（４０）と、
前記第１のマイクロコンピュータが高電圧により駆動される車載装置への高電圧の供給をオンまたはオフにするために出力する制御信号と前記第２のマイクロコンピュータが出力する第１の出力信号とを入力とし、前記制御信号が前記電子制御装置から出力されることを許可するか禁止するかを前記第１の出力信号により選択するように構成された第１の選択部（５０）と、
前記第１の選択部の出力を前記電子制御装置から出力するように構成された出力部（６０）と、
前記出力部への電力供給をオンまたはオフにするように構成された出力制御部（６２）と、
前記出力制御部が前記出力部への電力供給をオンまたはオフのいずれにするかを、前記第２のマイクロコンピュータが出力する第２の出力信号により選択するように構成された第２の選択部（５２、５４）と、
を備え、
前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが演算対象のデータを演算した前記演算結果と、前記第２のマイクロコンピュータが同じ前記演算対象のデータを演算した演算結果とを比較して前記第１のマイクロコンピュータが正常であるか異常であるかを監視するように構成されており、
前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが正常の場合、前記制御信号が前記電子制御装置から出力されることを許可する前記第１の出力信号を前記第１の選択部に出力し、前記第１のマイクロコンピュータが異常の場合、前記制御信号が前記電子制御装置から出力されることを禁止する前記第１の出力信号を前記第１の選択部に出力するように構成されており、
さらに、前記第２のマイクロコンピュータは、前記出力部の出力を入力し、前記第１のマイクロコンピュータが異常の場合に前記出力部から前記制御信号が出力されていると、前記出力部への前記電力供給をオフにする前記第２の出力信号を前記第２の選択部に出力するように構成されており、
前記監視部は、ＡＳＩＣで構成されており、前記第２のマイクロコンピュータと同じアルゴリズムで演算した演算結果と、前記第２のマイクロコンピュータが前記アルゴリズムで演算した演算結果とを比較して前記第２のマイクロコンピュータが正常であるか異常であるかを監視し、前記第２のマイクロコンピュータが異常の場合、前記第１のマイクロコンピュータと前記第２のマイクロコンピュータとを同時にリセットするように構成されている、
電子制御装置と、
前記出力部の出力により前記車載装置への高電圧の供給をオンまたはオフにする第１のリレー（２１２、２１４）と、
前記出力制御部の出力により前記出力部への電力供給をオンまたはオフにする第２のリレー（２０２）と、
を備える車両制御システム。 At least one first microcomputer (20) configured to perform an operation for performing vehicle control;
One second microcomputer (30) configured to monitor whether the first microcomputer is normal or abnormal based on the calculation result of the first microcomputer;
A monitoring unit (40) configured to monitor whether the second microcomputer is normal or abnormal based on the calculation result of the second microcomputer;
A control signal output by the first microcomputer to turn on or off the supply of a high voltage to a vehicle-mounted device driven by a high voltage and a first output signal output from the second microcomputer. A first selection unit (50) configured to select whether to permit or prohibit the control signal from being output from the electronic control device by the first output signal as an input;
An output unit (60) configured to output the output of the first selection unit from the electronic control device;
An output control unit (62) configured to turn on or off power supply to the output unit;
A second selection unit configured to select whether the output control unit turns on or off the power supply to the output unit according to a second output signal output from the second microcomputer. (52, 54),
Equipped with
The second microcomputer compares the calculation result obtained by calculating the calculation target data by the first microcomputer with the calculation result obtained by calculating the same calculation target data by the second microcomputer. Is configured to monitor whether the first microcomputer is normal or abnormal,
The second microcomputer outputs, when the first microcomputer is normal, the first output signal to the first selection unit, which permits the control signal to be output from the electronic control device. If the first microcomputer is abnormal, the first output signal for prohibiting the control signal from being output from the electronic control device is output to the first selection unit. Cage,
Further, the second microcomputer inputs the output of the output unit, and when the control signal is output from the output unit when the first microcomputer is abnormal, the second microcomputer outputs the control signal to the output unit. It is configured to output the second output signal to turn off the power supply to the second selection unit ,
The monitoring unit is formed of an ASIC, and compares the calculation result calculated by the same algorithm as the second microcomputer with the calculation result calculated by the second microcomputer by the second microcomputer. Is configured to monitor whether the first microcomputer and the second microcomputer are normal or abnormal, and when the second microcomputer is abnormal, the first microcomputer and the second microcomputer are simultaneously reset. Is
An electronic control unit,
A first relay (212, 214) for turning on or off the supply of the high voltage to the vehicle-mounted device by the output of the output unit;
A second relay (202) for turning on or off the power supply to the output section according to the output of the output control section;
A vehicle control system comprising:
JP2016165959A 2016-08-26 2016-08-26 Electronic control unit Active JP6740812B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2016165959A JP6740812B2 (en) 2016-08-26 2016-08-26 Electronic control unit
DE102017213690.1A DE102017213690A1 (en) 2016-08-26 2017-08-07 Electronic control unit

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016165959A JP6740812B2 (en) 2016-08-26 2016-08-26 Electronic control unit

Publications (2)

Publication Number Publication Date
JP2018032328A JP2018032328A (en) 2018-03-01
JP6740812B2 true JP6740812B2 (en) 2020-08-19

Family

ID=61166812

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016165959A Active JP6740812B2 (en) 2016-08-26 2016-08-26 Electronic control unit

Country Status (2)

Country Link
JP (1) JP6740812B2 (en)
DE (1) DE102017213690A1 (en)

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19609242A1 (en) 1996-03-09 1997-09-11 Bosch Gmbh Robert Method and device for controlling a drive unit of a vehicle
JP3380115B2 (en) * 1996-06-28 2003-02-24 株式会社日立製作所 Electric vehicle motor control device
JPH11294252A (en) * 1998-04-13 1999-10-26 Denso Corp Electronic control device
JP2001063492A (en) * 1999-08-27 2001-03-13 Nec Corp Electronic control device for vehicle safety control device
JP4525762B2 (en) * 2008-02-04 2010-08-18 株式会社デンソー Electronic control device for vehicle
JP6205202B2 (en) * 2013-08-07 2017-09-27 日立オートモティブシステムズ株式会社 Electronic control device for vehicle
JP6380141B2 (en) * 2015-02-04 2018-08-29 株式会社デンソー Electronic control unit

Also Published As

Publication number Publication date
JP2018032328A (en) 2018-03-01
DE102017213690A1 (en) 2018-03-01

Similar Documents

Publication Publication Date Title
US20190243363A1 (en) Apparatus and method for controlling vehicle based on redundant architecture
JP4296186B2 (en) Electric power steering device
JP5772712B2 (en) Vehicle equipment
US20190179310A1 (en) Vehicle control apparatus
JP6723955B2 (en) Information processing apparatus and abnormality coping method
JP5526965B2 (en) Power supply control device and failure detection method
US20170254325A1 (en) Drive control apparatus
JP2010285001A (en) Electronic control system and functional agency method
JP2012095420A (en) Electric power steering device
US20140214277A1 (en) Method for operating an electrical power steering mechanism
JP5652622B2 (en) Vehicle abnormality diagnosis device
JP6740812B2 (en) Electronic control unit
JP2014534922A (en) Method for operating an electric power steering system
WO2011034052A1 (en) Vehicle electronic control device
JP2012218467A (en) Electronic control device
JP6950628B2 (en) In-vehicle power supply control device, in-vehicle power supply device, and vehicle control method
JP4947493B2 (en) Vehicle air conditioner control device with sensor identification function
JP2020100184A (en) Electronic control device, electronic control program and electronic control system
JP4820679B2 (en) Electronic control device for vehicle
KR102045227B1 (en) Motor-inverter driving system and its operating method
JP6920238B2 (en) Power supply controller
JP6673229B2 (en) Drive
JP5713432B2 (en) Drive unit control apparatus and control method
JP2003343342A (en) Vehicle electronic control unit
JP2015112962A (en) Information processing apparatus

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20181026

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20190827

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20190828

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191028

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200114

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200316

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200623

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200706

R151 Written notification of patent or utility model registration

Ref document number: 6740812

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250