JP6946954B2

JP6946954B2 - 監視システム

Info

Publication number: JP6946954B2
Application number: JP2017216979A
Authority: JP
Inventors: あゆ天野
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2017-11-10
Filing date: 2017-11-10
Publication date: 2021-10-13
Anticipated expiration: 2037-11-10
Also published as: JP2019087177A

Description

本発明は、監視システムに関する。

従来より、ＥＣＵ内部のマイクロコンピュータに設けられた不揮発性メモリに、正常動作中を示す値ＡＡをセットしておき、正常終了後はその値をリセットして値００とする電源遮断検出装置が提案されている（例えば、特許文献１参照）。この装置では、動作中に瞬断が発生して異常終了すると、値がリセットされず値ＡＡのままであるため、動作中に強制終了が発生したことを判定することができる。

特開平８−１７８９７６号公報

ところで、相互に異常を監視可能な複数の制御装置を備えるシステムにおいて、一方の制御装置が他方の制御装置に異常が発生したと判定すると、当該他方の制御装置にリセット信号を出力して強制的に終了させるものがある。こうしたシステムに上述した特許文献１記載の技術を適用する場合、瞬断以外の強制終了が発生しても、瞬断と同じ値ＡＡがセットされたままであり、制御装置が強制終了した要因を特定することは困難である。

本発明の監視システムは、相互に異常を監視可能な複数の制御装置を備えるものにおいて、いずれかの制御装置が異常終了した際にその異常の要因を特定することが可能な監視システムを提供することを主目的とする。

本発明の監視システムは、上述の主目的を達成するために以下の手段を採った。

本発明の監視システムは、
相互に異常の監視とリセット信号の出力とが可能であると共に自己診断が可能な第１および第２制御装置と、前記第１制御装置のＣＰＵがアクセス可能な第１不揮発性メモリと、前記第２制御装置のＣＰＵがアクセス可能な第２不揮発性メモリと、を備える監視システムであって、
前記第１および第２制御装置の各ＣＰＵは、それぞれ前記第１および第２不揮発性メモリに書き込む値として、起動した場合と正常終了する場合と相手の異常を判定した場合と自己の異常を判定した場合とでそれぞれ異なる値を書き込む、
ことを要旨とする。

この本発明の監視システムは、第１および第２制御装置と、第１および第２不揮発性メモリとを備える。第１および第２制御装置の各ＣＰＵは、それぞれ第１および第２不揮発性メモリに書き込む値として、起動した場合と正常終了する場合と相手の異常を判定した場合と自己の異常を判定した場合とでそれぞれ異なる値を書き込む。これにより、不揮発性メモリに書き込まれた値を確認することで、複数の制御装置のいずれかが異常終了した際にその異常の要因を特定することが可能となる。

こうした本発明の監視システムにおいて、第１および第２制御装置は、互いに相手の制御装置に対して周期的なランパルス信号を送信すると共に前記相手の制御装置からのランパルス信号を受信するように構成され、起動した場合には対応する不揮発性メモリに第１の値を書き込み、正常終了する場合には前記対応する不揮発性メモリに第２の値を書き込み、前記相手の制御装置からのランパルス信号を正常に受信しなかった場合には前記対応する不揮発性メモリに第３の値を書き込むと共に前記相手の制御装置にリセット信号を送信し、前記自己診断により自己の制御装置の異常を判定した場合には前記対応する不揮発性メモリに第４の値を書き込むと共に前記相手の制御装置へのランパルス信号の送信を停止するものとしてもよい。この場合、前記不揮発性メモリに書き込む値の優先順位は、高い方から前記第４の値，前記第３の値，第２の値の順に定められるものとしてもよい。

本発明の一実施例としての監視システムを含む監視システム１０の構成の概略を示す構成図である。第１および第２マイコン１１，１２によりそれぞれ実行される主制御ルーチンの一例を示すフローチャートである。第１および第２マイコン１１，１２によりそれぞれ実行される監視処理ルーチンの一例を示すフローチャートである。第１および第２ＥＥＰＲＯＭ２１，２２の値と第１および第２マイコン１１，１２の状態との組み合わせの一例を示す説明図である。

次に、本発明を実施するための形態を実施例を用いて説明する。

図１は、本発明の一実施例としての監視システム１０の構成の概略を示す構成図である。実施例の監視システム１０は、第１マイクロコンピュータ（以下、第１マイコンという）１１と、第２マイクロコンピュータ（以下、第２マイコンという）１２と、第１ＥＥＰＲＯＭ２１と、第２ＥＥＰＲＯＭ２２と、監視用ＩＣ３１と、を備える。実施例の監視システム１０は、例えば、第１および第２マイコン１１，１２によりそれぞれ駆動制御される２つのモータを備える電気自動車やハイブリッド自動車に搭載される。

第１および第２マイコン１１，１２は、図示しないＣＰＵを中心としたマイクロコンピュータであり、ＣＰＵの他に、ＲＯＭ，ＲＡＭ，入出力ポートおよび通信ポートを含む。本実施例では、第２マイコン１２は、上位のマイクロコンピュータ（以下、上位マイコンという）と通信が可能なメインマイコンとして構成される。また、第１マイコン１１は、第２マイコン１２と通信が可能に構成され、第２マイコン１２を介して上位マイコンからのコマンドを受信可能なサブマイコンとして構成される。

第１および第２マイコン１１，１２は、ウォッチドッグタイマにより相互に監視可能に構成される。第１マイコン１１は、ＨｉレベルとＬｏレベルの２つの信号状態が所定周期で切り替わるウォッチドッグパルス信号ＷＤ１（ランパルス信号）を第２マイコン１２へ送信すると共に第２マイコン１２から送信される同様のウォッチドッグパルス信号ＷＤ２を受信し、第２マイコン１２からウォッチドッグパルス信号ＷＤ２が正常に受信されなかった場合に第２マイコン１２をリセットするためのリセット信号ＲＳＴ１を当該第２マイコン１２に送信する。第２マイコン１２は、ウォッチドッグパルス信号ＷＤ２を第１マイコン１１へ送信すると共に第１マイコン１１から送信されるウォッチドッグパルスＷＤ１を受信し、第１マイコン１１からウォッチドッグパルス信号ＷＤ１が正常に受信されなかった場合に第１マイコン１１をリセットするためのリセット信号ＲＳＴ２を当該第１マイコン１１に送信する。

また、第１および第２マイコン１１，１２は、それぞれ自マイコンの故障を事前に検出するために、起動時に、例えばＲＯＭやＲＡＭをエラーをチェックするなどの自己診断処理を実行する。

第１ＥＥＰＲＯＭ２１は、電源を切ってもデータを保持する不揮発性メモリであり、第１マイコン１１により読み書きが可能に構成される。第２ＥＥＰＲＯＭ２２は、第１ＥＥＰＲＯＭ２１と同様に、電源を切ってもデータを保存する不揮発性メモリであり、第２マイコン１２により読み書きが可能に構成される。第１および第２ＥＥＰＲＯＭ２１，２２には、それぞれ第１および第２マイコン１１，１２の状態を記憶するための２ビットの状態記憶領域が設けられている。

監視用ＩＣ３１は、電源電圧を監視すると共に第２マイコン１２を介して第１および第２マイコン１１，１２をそれぞれリセットするためのＩＣである。監視用ＩＣ３１は、電源電圧の低下を検知すると、第２マイコン１２にリセット信号ＲＳＴ３を送信する。リセット信号ＲＳＴ３を受信した第２マイコン１２は、リセット信号ＲＳＴ２を第１マイコン１１に送信すると共に自身をリセットする。

次に、こうして構成された実施例の監視システム１０の動作について説明する。図２は、第１および第２マイコン１１，１２によりそれぞれ実行される主制御ルーチンの一例を示すフローチャートであり、図３は、第１および第２マイコン１１，１２によりそれぞれ実行される監視処理ルーチンの一例を示すフローチャートである。これらのルーチンは、システムが起動されたときに実行される。まず、主制御ルーチンについて説明し、その後、監視処理ルーチンについて説明する。第１および第２マイコン１１，１２は何れも同様の処理を実行するため、以下、第１マイコン１１の処理を例にとって両者の処理の内容について説明する。

主制御ルーチンでは、第１マイコン１１のＣＰＵは、まず、第１ＥＥＰＲＯＭ２１の状態記憶領域から値を読み出し（Ｓ１００）、読み出し値が前回にシステムを正常に終了したことを示す値１１であるかを判定する（Ｓ１１０）。読み出し値が値１１であると判定すると、第１ＥＥＰＲＯＭ２１にシステムが正常起動して作動中であることを示す値００を書き込む（Ｓ１２０）。一方、読み出し値が値１１でないと判定すると、前回システムが正常に終了しなかったと判断し、例えば、一部の機能を制限するセーフモードを実行するなど、前回異常終了時の処理を実行する（Ｓ１３０）。なお、前回異常終了時の処理を実行しても、前回と同じ異常が発生した場合には、システムを直ちに停止し、以降、起動しないものとしてもよい。次に、ＲＯＭおよびＲＡＭのエラーチェック等の自己診断処理を実行し（Ｓ１４０）、自己診断の結果が正常であると判定すると（Ｓ１５０の「ＹＥＳ」）、上位マイコンから終了コマンド（例えば、イグニッションオフ信号）を受信したか否かを判定する（Ｓ１６０）。終了コマンドを受信していないと判定すると、Ｓ１６０に戻り、終了コマンドを受信したと判定すると、第１ＥＥＰＲＯＭ２１の状態記憶領域に上述した値１１を書き込むと共に（Ｓ１７０）、システムを終了するシステム終了処理を実行して（Ｓ１８０）、主制御ルーチンを終了する。一方、自己診断の結果が異常であると判定すると（Ｓ１５０の「ＮＯ」）、第２マイコン１２へのウォッチドッグパルス信号ＷＤ１の送信を停止すると共に（Ｓ１９０）、第１ＥＥＰＲＯＭ２１の状態記憶領域に値１０を書き込む（Ｓ２００）。そして、第２マイコン１２からのリセット信号ＲＳＴ２の受信を待ってリセットを行なって（Ｓ２１０）、主制御ルーチンを終了する。

監視処理ルーチンでは、第１マイコン１１のＣＰＵは、まず、相手マイコンである第２マイコン２１からウォッチドッグパルス信号ＷＤ２（ランパルス信号）を受信するウォッチドッグパルス受信処理を行ない（Ｓ３００）、ウォッチドッグパルス信号ＷＤ２を正常に受信したか否かを判定する（Ｓ３１０）。ウォッチドッグパルス信号ＷＤ２を正常に受信したと判定すると、上述した終了コマンドを受信したか否かを判定する（Ｓ３２０）。終了コマンドを受信していないと判定すると、Ｓ３００に戻り、終了コマンドを受信したと判定すると、監視処理ルーチンを終了する。一方、Ｓ３１０でウォッチドッグパルス信号ＷＤ２を正常に受信していないと判定すると、第１ＥＥＰＲＯＭ２１に値０１を書き込むと共に（Ｓ３３０）、相手マイコンである第２マイコン１２にリセット信号ＲＳＴ１を送信して（Ｓ３４０）、Ｓ３２０に進む。

ここで、例えば、主制御ルーチンのＳ１５０で自己診断による自マイコンの異常を判定する一方、監視処理ルーチンのＳ３１０で相手マイコンからのウォッチドッグパルス信号を正常に受信しなかったと判定した場合など、複数の事象が重なった場合、予め定められた優先順位に従って第１ＥＥＰＲＯＭ２１に書き込む値を決定する。本実施例では、優先順位が高い事象から順に、自マイコンの自己診断の結果が異常であった場合（値１０），相手マイコンからのウォッチドッグパルス信号を正常に受信しなかった場合（値０１），正常終了する場合（値１１）とした。

図４は、第１および第２ＥＥＰＲＯＭ２１，２２の値と第１および第２マイコン１１，１２の状態との組み合わせの一例を示す説明図である。図示するように、第１および第２マイコン１１，１２は、通常起動（正常起動）した際には、それぞれ第１および第２ＥＥＰＲＯＭ２１，２２に値００を書き込み、通常終了（正常終了）する際には、それぞれ第１および第２ＥＥＰＲＯＭ２１，２２に値１１を書き込む。ここで、第１および第２マイコン１１，１２への電源供給が遮断される瞬断が発生すると、第１および第２マイコン１１，１２は、それぞれ第１および第２ＥＥＰＲＯＭ２１，２２に値１１を書き込むことなく強制終了する。このため、次に第１および第２マイコン１１，１２が起動したときに第１および第２ＥＥＰＲＯＭ２１，２２の読み出し値が値００であれば、瞬断が発生したと判断することができる。また、第１および第２マイコン１１，１２のうち一方のマイコンが暴走等し、一方のマイコンから他方のマイコンへ送信されるウォッチドッグパルス信号が停止すると、他方のマイコンは、対応するＥＥＰＲＯＭに値０１を書き込むと共に一方のマイコンへリセット信号を出力して当該一方のマイコンを強制的にリセットさせる。一方のマイコンは通常終了しなかったため、一方のマイコンの再起動時における対応するＥＥＰＲＯＭの読み出し値が値００であり、他方のマイコンの対応するＥＥＰＲＯＭの書き込み値は値０１であるから、これらの値を確認することで、一方のマイコンのウォッチドッグパルス信号に異常が発生したと判断することができる。更に、第１および第２マイコン１１，１２は、起動時に自己診断処理を実行し、一方のマイコンに自己診断エラーが発生すると、一方のマイコンは、他方のマイコンへのウォッチドッグパルス信号の送信を停止すると共に対応するＥＥＰＲＯＭに値１０を書き込む。他方のマイコンは、ウォッチドッグパルス信号が正常に受信できなかったと判定し、対応するＥＥＰＲＯＭに値０１を書き込むと共に一方のマイコンに対してリセット信号を送信して当該一方のマイコンを強制的にリセットさせる。一方のマイコンは通常終了しなかったため、一方のマイコンの再起動時における対応するＥＥＰＲＯＭの読み出し値が値１０であり、他方のマイコンに対応するＥＥＰＲＯＭの書き込み値は値０１であるから、これらの値を確認することで、一方のマイコンに自己診断エラーが発生したと判断することができる。このように、第１および第２ＥＥＰＲＯＭ２１，２２に書き込まれた値を確認することで、第１および第２マイコン１１，１２の異常の要因を特定することが可能となる。

以上説明した本実施例の監視システム１０では、第１および第２マイコン１１，１２の各ＣＰＵは、それぞれ第１および第２ＥＥＰＲＯＭ２１，２２に書き込む値として、起動した場合には値００を書き込み、正常終了する場合には値１１を書き込み、相手マイコンの異常を判定した場合には値０１を書き込み、自己診断により自マイコンの異常を判定した場合には値１０を書き込む。すなわち、第１および第２マイコン１１，１２の状態に応じて各ＥＥＰＲＯＭ２１，２２にそれぞれ異なる値を書き込む。これにより、各ＥＥＰＲＯＭ２１，２２に書き込まれた値を確認することで、第１および第２マイコン１１，１２のいずれかが異常終了した際にその異常の要因を特定することが可能となる。

実施例の主要な要素と課題を解決するための手段の欄に記載した発明の主要な要素との対応関係について説明する。実施例では、第１マイコン１１が「第１制御装置」に相当し、第２マイコン１２が「第２制御装置」に相当し、第１ＥＥＰＲＯＭ２１が「第１不揮発性メモリ」に相当し、第２ＥＥＰＲＯＭ２１が「第２不揮発性メモリ」に相当する。

なお、実施例の主要な要素と課題を解決するための手段の欄に記載した発明の主要な要素との対応関係は、実施例が課題を解決するための手段の欄に記載した発明を実施するための形態を具体的に説明するための一例であることから、課題を解決するための手段の欄に記載した発明の要素を限定するものではない。即ち、課題を解決するための手段の欄に記載した発明についての解釈はその欄の記載に基づいて行なわれるべきものであり、実施例は課題を解決するための手段の欄に記載した発明の具体的な一例に過ぎないものである。

以上、本発明を実施するための形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において、種々なる形態で実施し得ることは勿論である。

本発明は、監視システムの製造産業に利用可能である。

１０監視システム、１１第１マイクロコンピュータ（第１マイコン）、１２第２マイクロコンピュータ（第２マイコン）、２１第１ＥＥＰＲＯＭ、２２第２ＥＥＰＲＯＭ、３１監視用ＩＣ。

Claims

相互に異常の監視とリセット信号の出力とが可能であると共に自己診断が可能な第１および第２制御装置と、前記第１制御装置のＣＰＵがアクセス可能な第１不揮発性メモリと、前記第２制御装置のＣＰＵがアクセス可能な第２不揮発性メモリと、を備える監視システムであって、
前記第１および第２制御装置の各ＣＰＵは、起動した場合と正常終了する場合と相手の異常を判定した場合と自己の異常を判定した場合にそれぞれ異なる値を前記第１および第２不揮発性メモリの所定の状態記憶領域に書き込むと共に、複数の事象が重なった場合には、優先順位が高い事象に対応する値を優先して書き込むものであり、
前記優先順位は、前記自己の異常を判定した場合の方が、前記相手の異常を判定した場合よりも高い、
監視システム。