JP7024582B2 - 車載制御装置 - Google Patents

Description

本開示は、車載制御装置に関する。

例えば、下記特許文献１には、車両の実加速度が要求加速度よりも大きいと判定した場合に、車両の挙動変化が運転者が意図するものではないと判断して、エンジンの出力を停止又は低減するように構成された車載制御装置が記載されている。

一方、制御装置における異常としては、メモリのソフトエラーがある。ソフトエラーとは、メモリにおけるデータのビットが宇宙線の影響等によって反転してしまう異常である。しかし、特許文献１には、ソフトエラーに対する処置は記載されていない。

また、メモリにおいては、ソフトエラーの対策機能として、ＥＣＣ機能がある。ＥＣＣは、「Error Check and Correct」の略であり、即ち、誤り検出訂正のことである。ＥＣＣ機能は、メモリにデータを書き込むときに、書き込み対象のデータである実データに基づいて算出された検査用データを、実データに付加して書き込み、メモリからデータを読み出すときに、付加されている検査用データを用いてエラー（即ち、データ誤り）を検出する、という機能である。ここで言う検査用データとは、誤り検出及び訂正のために付加される冗長データのことである。ＥＣＣ機能付きのメモリは、ＥＣＣメモリと呼ばれる。

特開２００９－６２９９８号公報

車載制御装置の動作を司る制御部として、ＥＣＣメモリを備えたマイクロコンピュータを用いれば、メモリのソフトエラーを検出することが可能となる。そして、ソフトエラーが検出された場合に、マイクロコンピュータがリセットされるように構成することが考えられる。

しかしながら、発明者の詳細な検討の結果、ソフトエラーの検出によって必ずマイクロコンピュータがリセットされるように構成された車載制御装置では、異常時でもできる限り制御対象の制御をし続ける、という要望に対応できない、という課題が見出された。車載制御装置の動作を司るマイクロコンピュータがリセットされることは、車載制御装置がリセットされることに相当するからである。

そこで、本開示の１つの局面は、制御の安全性と、メモリのエラー発生時でもできる限り制御対象の制御をし続けることとを、バランス良く両立させる技術を提供する。

本開示の１つの態様による車載制御装置は、車両における制御対象を制御する車載制御装置であり、誤り検出機能を有する第１メモリ（１３）及び第２メモリ（１４）と、第１メモリと第２メモリとのそれぞれにアクセスする演算部（１１）と、を備える。

第１メモリは、制御対象を制御するための制御処理を、演算部が行うために使用される。第２メモリは、制御対象の制御の安全性を確保するための監視機能の処理を、演算部が
行うために使用される。

そして、演算部は、第１メモリからの読み出し時にデータ誤りが検出された場合である第１エラー時と、第２メモリからの読み出し時にデータ誤りが検出された場合である第２エラー時とのうち、第２エラー時には、制御対象の制御の安全を図るための安全処理を実施する。また、演算部は、第１エラー時には、第１メモリから読み出したデータを、当該データが記憶されていた第１メモリの記憶領域に書き込む。

このような構成によれば、第２エラー時には、監視機能が正常に働かない可能性があるため、前記安全処理が実施される。このため、制御の安全性を高めることができる。
また、第１エラー時には、前記安全処理が実施されず、通常の制御処理が継続される。この場合、制御の安全性は、第２メモリが使用される監視機能によって確保される。このため、異常時でもできる限り制御動作が継続される。更に、第１エラー時には、第１メモリから読み出されたデータが、当該データが記憶されていた第１メモリの記憶領域に書き込まれる。このため、第１メモリにて再度エラーが検出されることを抑制することができる。つまり、第１メモリにてエラーが検出された記憶領域から、再びデータが読み出されたときに、エラーが検出される可能性を低くすることができる。

よって、制御の安全性と、メモリのエラー発生時でもできる限り制御対象の制御をし続けることとを、バランス良く両立させることができる。
尚、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。

第１実施態様の電子制御装置の構成を示すブロック図である。 監視ＩＣの動作を表すフローチャートである。 トルクモニタ処理を表すフローチャートである。 第１実施形態のエラー時処理を表すフローチャートである。 第２実施形態のエラー時処理を表すフローチャートである。 他の実施形態のエラー時処理を表すフローチャートである。

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．第１実施形態］
［１－１．構成］
図１に示す第１実施形形態の電子制御装置（以下、ＥＣＵ）１は、例えば、車両の動力源としてのエンジンを制御する車載制御装置である。ＥＣＵは、「Electronic Control Unit」の略である。

図１に示すように、ＥＣＵ１は、当該ＥＣＵ１の動作を司る制御部として、マイクロコンピュータ（以下、マイコン）３を備える。更に、ＥＣＵ１は、マイコン３の動作を監視する監視ＩＣ５を備える。

ＥＣＵ１には、電子スロットル７とメータ９が接続されている。電子スロットルは、エンジンの吸入空気量を調節するスロットル弁と、該スロットル弁の開度を調節するためのアクチュエータとを備える。メータ９には、異常の発生を示すランプ９ａが備えられている。図示は省略されているが、ＥＣＵ１には、エンジンを動作させるための装置として、電子スロットル７以外にも、エンジンに燃料を噴射するインジェクタと、エンジンの気筒に点火するためのイグナイタ等が、接続されている。

マイコン３は、ＣＰＵ１１と、ＲＯＭ１２と、第１ＲＡＭ１３と、第２ＲＡＭ１４と、異常通知機構１５と、を備える。ＲＯＭ１２、第１ＲＡＭ１３及び第２ＲＡＭ１４は、ＣＰＵ１１によってアクセス可能である。第１ＲＡＭ１３と第２ＲＡＭ１４は、１つのＲＡＭの異なる記憶領域であっても良いし、物理的に分かれた２つのＲＡＭであっても良い。

ＲＯＭ１２には、ＣＰＵ１１によって実行されるプログラムが記憶されている。マイコン３の各機能は、ＣＰＵ１１が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、ＲＯＭ１２が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。尚、ＥＣＵ１は、複数のマイコンを備えても良い。

ＣＰＵ１１は、ＲＯＭ１２に記憶されたエンジン制御用プログラムを実行することにより、エンジンを制御するための処理（以下、エンジン制御処理）を行う。
エンジン制御処理としては、例えば、運転者によるアクセルペダルの操作量に基づいて、運転者が要求しているエンジンの出力トルク（以下、要求トルク）を算出する処理がある。また、エンジン制御処理としては、エンジンの出力トルクが要求トルクとなるようにスロットル開度、燃料噴射量及び点火時期等を制御する処理とがある。ここで言うスロットル開度とは、電子スロットル７におけるスロットル弁の開度である。

そして、ＣＰＵ１１は、エンジン制御処理は、第１ＲＡＭ１３と第２ＲＡＭ１４とのうち、第１ＲＡＭ１３を用いて実施する。つまり、第１ＲＡＭ１３は、ＣＰＵ１１がエンジン制御処理を行うために使用される。

また、ＣＰＵ１１は、ＲＯＭ１２に記憶された監視機能用プログラムを実行することにより、エンジン制御の安全性を確保するための監視機能の処理として、後述のトルクモニタ処理を行う。

そして、ＣＰＵ１１は、トルクモニタ処理は、第１ＲＡＭ１３と第２ＲＡＭ１４とのうち、第２ＲＡＭ１４を用いて実施する。つまり、第２ＲＡＭ１４は、ＣＰＵ１１が監視機能の処理を行うために使用される。

第１ＲＡＭ１３及び第２ＲＡＭ１４は、ＥＣＣ機能付きのメモリ（即ち、ＥＣＣメモリ）である。第１ＲＡＭ１３及び第２ＲＡＭ１４において、１ビット反転しただけのエラーの場合には、その反転したビットが正しいにビットに修正される。一方、２ビット以上が反転したエラーの場合は、正しいビットに修正されないが、ビットの反転（即ち、エラー）の発生が検出される。

異常通知機構１５は、第１ＲＡＭ１３と第２ＲＡＭ１４とのそれぞれにおいて、ＣＰＵ１１によるデータの読み出し時に、読み出し対象データのエラーが検出されると、ＣＰＵ１１に、エラーの発生を示すエラー通知を出力する。このエラー通知には、エラーが検出されたアドレスの情報が含まれる。

また、ＣＰＵ１１は、当該マイコン３から監視ＩＣ５へウォッチドッグタイマのクリア信号（以下、ＷＤＣ）を所定時間以内毎に出力する処理を行う。
監視ＩＣ５は、図２に示すように、Ｓ１１０にて、マイコン３からのＷＤＣの出力が停止したか否かを判定する。具体的には、監視ＩＣ５は、ＷＤＣの出力停止時間が、上記所定時間よりも長い規定時間以上になったか否かを、当該監視ＩＣ５に内蔵されたタイマ（即ち、ウォッチドッグタイマ）によって監視する。そして、監視ＩＣ５は、ＷＤＣの出力停止時間が規定時間以上になったと判定したならば、ＷＤＣの出力が停止したと判定する
。

監視ＩＣ５は、Ｓ１１０にて、ＷＤＣの出力が停止したと判定した場合には、Ｓ１２０にて、マイコン３にリセット信号を出力する。そして、監視ＩＣ５は、Ｓ１３０にて、リセット信号の出力開始時から所定のリセット時間が経過したか否かを判定し、リセット時間が経過したなら、次のＳ１４０にて、マイコン３へのリセット信号の出力を停止する。つまり、マイコン３のリセットを解除する。

［１－２．トルクモニタ処理］
次に、ＣＰＵ１１が行うトルクモニタ処理について、図３を用いて説明する。トルクモニタ処理は、例えば一定時間毎に実行される。

図３に示すように、ＣＰＵ１１は、トルクモニタ処理を開始すると、Ｓ２１０にて、運転者が意図しないトルク増大が発生したか否かを判定する。具体的には、ＣＰＵ１１は、要求トルクに基づいて車両トルクの上限値である上限トルクを決定すると共に、車両の実際のトルク（以下、実トルク）を検出する。そして、ＣＰＵ１１は、実トルクと上限トルクとを比較し、実トルクが上限トルクを超えていると、運転者が意図しないトルク増大が発生したと判定する。

ＣＰＵ１１は、Ｓ２１０にて、運転者が意図しないトルク増大が発生したと判定した場合には、次のＳ２２０にて、電子スロットル７への通電を遮断し、その後、当該トルクモニタ処理を終了する。尚、電子スロットル７への通電が遮断されると、スロットル開度は、エンジンのアイドル運転が可能な程度の開度となる。このため、エンジンの出力が最低限に制限されて、車両の加速が防止される。但し、車両の最低限の走行（即ち、退避走行）は可能となる。

また、ＣＰＵ１１は、Ｓ２１０にて、運転者が意図しないトルク増大が発生していないと判定した場合には、Ｓ２２０の処理を行うことなく、当該トルクモニタ処理を終了する。

［１－３．エラー時処理］
次に、ＣＰＵ１１が行うエラー時処理について、図４を用いて説明する。
ＣＰＵ１１は、異常通知機構１５から前述のエラー通知が出力されると、図４のエラー時処理を行う。

図４に示すように、ＣＰＵ１１は、エラー時処理を開始すると、Ｓ３１０にて、第２ＲＡＭ１４でエラーが検出されたか否かを判定する。第１ＲＡＭ１３と第２ＲＡＭ１４との何れでエラーが検出されたかは、異常通知機構１５からのエラー通知に含まれるアドレス情報に基づいて判別される。

ＣＰＵ１１は、Ｓ３１０にて、第２ＲＡＭ１４でエラーが検出されたと判定した場合には、Ｓ３２０に進み、監視ＩＣ５へのＷＤＣの出力を停止する。そして、ＣＰＵ１１は、次のＳ３３０にて、監視ＩＣ５により当該マイコン３がリセット（即ち、初期化）されるまで待つ。ＥＣＵ１において、マイコン３がリセットされることは、当該ＥＣＵ１がリセットされることに相当する。Ｓ３２０の処理は、ＥＣＵ１をリセットするためのリセット処理に相当する。

また、ＣＰＵ１１は、上記Ｓ３１０にて、第２ＲＡＭ１４でエラーが検出されていないと判定した場合、即ち、第１ＲＡＭ１３からの読み出し時に第１ＲＡＭ１３でエラーが検出された場合には、Ｓ３４０に進む。

ＣＰＵ１１は、Ｓ３４０では、第１ＲＡＭ１３から読み出したデータでメモリを更新する。つまり、第１ＲＡＭ１３から読み出したデータを、当該データが記憶されていた第１ＲＡＭ１３のアドレス（即ち、記憶領域）に上書きする。

そして、ＣＰＵ１１は、次のＳ３５０にて、メータ９のランプ９ａを点灯させることにより、車両の使用者に対して異常の発生を通知し、その後、当該エラー時処理を終了する。尚、第１ＲＡＭ１３でエラーが検出された場合、エンジン制御処理の実施は継続される。

［１－４．効果］
以上詳述した第１実施形態のＥＣＵ１によれば、以下の効果を奏する。
（１ａ）ＣＰＵ１１は、第２ＲＡＭ１４からの読み出し時にエラーが検出された場合（以下、第２エラー時）には、監視機能が正常に働かない可能性、即ち、トルクモニタ処理が正常に機能しない可能性があるため、エンジン制御の安全を図るための安全処理として、上記Ｓ３２０の処理を実施する。Ｓ３２０の処理により、マイコン３がリセットされると、第２ＲＡＭ１４の記憶データが初期化されるため、第２ＲＡＭ１４を用いた監視機能が正常に働くようになる可能性が高くなる。よって、エンジン制御の安全を図ることができる。

また、ＣＰＵ１１は、第１ＲＡＭ１３からの読み出し時にエラーが検出された場合（以下、第１エラー時）には、マイコン３のリセットを行わずに、エンジン制御処理の実施を継続する。この場合、エンジン制御の安全性は、第２ＲＡＭ１４を用いた監視機能によって確保される。このため、異常時でもできる限りエンジン制御が継続される。

よって、ＥＣＵ１によれば、エンジン制御の安全性と、異常時でもできる限りエンジン制御をし続けることとを、バランス良く両立させることができる。
また、一般に、エンジン制御処理と監視機能の処理とでは、エンジン制御処理の方が、使用するメモリ量が多い。よって、リセットの実施要因を、第１ＲＡＭ１３と第２ＲＡＭ１４とのうち、第２ＲＡＭ１４におけるソフトエラーに限定することより、リセットの発生確率を下げることができる。

（１ｂ）ＣＰＵ１１は、第２エラー時の安全処理として、マイコン３をリセットするための処理（即ち、Ｓ３２０）を行う。このため、前述したように、監視機能が正常に働くようになる可能性が高くなり、エンジン制御の安全を図ることができる。前述したように、マイコン３のリセットは、ＥＣＵ１のリセットに相当する。

（１ｃ）ＣＰＵ１１は、第１エラー時には、第１ＲＡＭ１３から読み出したデータを、当該データが記憶されていた第１ＲＡＭ１３の記憶領域に書き込む。
このため、第１ＲＡＭ１３にて再度エラーが検出されることを抑制することができる。つまり、第１ＲＡＭ１３にてエラーが検出された記憶領域から、再びデータが読み出されたときに、エラーが検出される可能性を低くすることができる。

また、ＣＰＵ１１が、エラーが検出された場合にエラー検出直前の読み出し命令を再度実行するように構成されている場合に、そのＣＰＵ１１による処理が停滞してしまうことを防止することができる。

（１ｄ）ＣＰＵ１１は、第１エラー時には、ランプ９ａを点灯させる。このため、車両の使用者に対して、異常の発生を通知することができる。尚、車両の使用者に異常の発生を通知するための処理としては、ランプ９ａを点灯させる処理に限らず、例えば、表示装
置に異常の発生を示すメッセージを表示する処理等でも良い。

尚、上記第１実施形態では、第１ＲＡＭ１３が、第１メモリに相当し、第２ＲＡＭ１４が、第２メモリに相当し、ＣＰＵ１１が、演算部に相当する。
［２．第２実施形態］
［２－１．第１実施形態との相違点］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。尚、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

第２実施形態のＥＣＵ１では、第１実施形態と比較すると、ＣＰＵ１１が、図４のエラー時処理に代えて、図５のエラー時処理を行う。
そして、図５のエラー時処理は、図４のエラー時処理と比較すると、Ｓ３２０，Ｓ３３０に代えて、Ｓ３３５の処理が行われる点が異なる。

図５に示すように、ＣＰＵ１１は、Ｓ３１０にて、第２ＲＡＭ１４でエラーが検出されたと判定した場合には、Ｓ３３５に進む。そして、ＣＰＵ１１は、Ｓ３３５では、安全処理として、電子スロットル７への通電を遮断する処理を行い、その後、当該エラー時処理を終了する。

［２－２．効果］
第２実施形態のＥＣＵ１では、第２エラー時の安全処理として、電子スロットル７への通電を遮断する処理が行われる。このため、第２エラー時には、エンジンの動作が制限される。具体的には、エンジンの出力が最低限に制限される。よって、第２エラー時において、エンジン制御の安全を、車両の退避走行を可能にしつつ図ることができる。そして、第２実施形態のＥＣＵ１によっても、第１実施形態のＥＣＵ１による効果と同様の効果が得られる。

［３．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

例えば、図４のエラー時処理では、Ｓ３２０の処理によるリセットの実施回数がカウントされ、リセットの実施回数が１以上の所定回数に達したら、以後は、図５のエラー時処理と同様に、Ｓ３２０，Ｓ３３０に代えて、上記Ｓ３３５の処理が行われても良い。

具体的には、図４のエラー時処理に代えて、図６のエラー時処理が実施されても良い。図６のエラー時処理では、図４と比較すると、Ｓ３１５，Ｓ３１７，Ｓ３３５が追加されている。Ｓ３３５は、第２実施形態と同じ処理である。

図６に示すように、ＣＰＵ１１は、Ｓ３１０にて、第２ＲＡＭ１４でエラーが検出されたと判定した場合に、Ｓ３１５にて、カウント値が１以上の所定値Ｎ以上であるか否かを判定する。カウント値は、前述したＳ３２０の処理（即ち、リセット処理）が実施された回数を示す。このカウント値は、マイコン３がリセットされても記憶内容が保存されるメモリ（例えば、書き換え可能な不揮発性メモリ）に記憶される。また、カウント値の初期値は０である。

ＣＰＵ１１は、上記Ｓ３１５にて、カウント値が所定値Ｎ以上でないと判定した場合には、Ｓ３１７にて、カウント値のインクリメントを行い、その後、Ｓ３２０に進む。尚、Ｓ３１７とＳ３２０の実施順は逆でも良い。

また、ＣＰＵ１１は、上記Ｓ３１５にて、カウント値が所定値Ｎ以上であると判定した場合、即ち、第２エラー時において、過去の第２エラー時でのリセット処理が１以上の所定回数実施されていた場合には、Ｓ３３５に進む。そして、ＣＰＵ１１は、Ｓ３３５では、第２実施形態と同様に、安全処理として、電子スロットル７への通電を遮断する処理を行い、その後、当該エラー時処理を終了する。

このような実施形態によれば、第２ＲＡＭ１４でのエラーがリセットによって回復しない場合に、電子スロットル７への通電が遮断されてエンジンの出力が制限されるため、エンジン制御の安全性を高めることができる。

尚、図６のエラー時処理において、所定値Ｎを１にするのであれば、Ｓ３１７では、リセット処理が行われたことを示す履歴としてのフラグをセットし、Ｓ３１５では、そのフラグがセットされているか否かを判定するように構成されても良い。

また、上記Ｓ３３５では、安全処理として、エンジンへの燃料噴射量を低減する処理が行われても良い。このように構成されても、第２エラー時には、エンジンの動作が制限される。また、上記Ｓ３３５では、安全処理として、エンジンへの燃料噴射を停止する処理が行われても良い。このように構成された場合、第２エラー時には、エンジンの動作が停止される。

また、図４又は図５のエラー時処理は、Ｓ３４０とＳ３５０との両方又は一方の処理が実施されないようになっていても良い。
また、第１ＲＡＭ１３及び第２ＲＡＭ１４は、誤り検出機能を備えるが、誤り訂正機能は備えないメモリであっても良い。この場合、第１ＲＡＭ１３及び第２ＲＡＭ１４において、１ビット反転しただけのエラーが発生しても、そのエラーは訂正されず、異常通知機構１５からＣＰＵ１１に前述のエラー通知が出力される。また、第１メモリと第２メモリは、ＲＡＭに限らず、例えば、書き換え可能な不揮発性メモリであっても良い。

また、制御対象は、エンジンに限らず、例えば、車両の動力源としての電動機等であっても良い。
また、上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしても良い。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしても良い。また、上記実施形態の構成の一部を省略しても良い。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換しても良い。尚、特許請求の範囲に記載した文言から特定される技術思想に含まれるあらゆる態様が本開示の実施形態である。

また、上述したＥＣＵ１の他、当該ＥＣＵ１を構成要素とするシステム、当該ＥＣＵ１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、メモリエラー時の処置方法など、種々の形態で本開示を実現することもできる。

１…ＥＣＵ、１１…ＣＰＵ、１３…第１ＲＡＭ、１４…第２ＲＡＭ

Claims (5)

1. 車両における制御対象を制御する車載制御装置であって、
   誤り検出機能を有する第１メモリ（１３）及び第２メモリ（１４）と、
   前記第１メモリと前記第２メモリとのそれぞれにアクセスする演算部（１１）と、を備え、
   前記第１メモリは、前記制御対象を制御するための制御処理を、前記演算部が行うために使用され、
   前記第２メモリは、前記制御対象の制御の安全性を確保するための監視機能の処理を、前記演算部が行うために使用され、
   前記演算部は、
   前記第１メモリからの読み出し時にデータ誤りが検出された場合である第１エラー時には、前記第１メモリから読み出したデータを、当該データが記憶されていた前記第１メモリの記憶領域に書き込み、前記第２メモリからの読み出し時にデータ誤りが検出された場合である第２エラー時には、前記制御対象の制御の安全を図るための安全処理を実施するように構成されている、
   車載制御装置。
2. 請求項１に記載の車載制御装置であって、
   前記演算部は、前記第２エラー時には、前記安全処理として、当該車載制御装置をリセットするリセット処理を行うように構成されている、
   車載制御装置。
3. 請求項１に記載の車載制御装置であって、
   前記演算部は、前記第２エラー時には、前記安全処理として、前記制御対象の動作を制限又は停止するための処理を行うように構成されている、
   車載制御装置。
4. 請求項２に記載の車載制御装置であって、
   前記演算部は、前記第２エラー時において、過去の前記第２エラー時での前記リセット処理が１以上の所定回数実施されているならば、前記安全処理として、前記制御対象の動作を制限又は停止するための処理を行うように構成されている、
   車載制御装置。
5. 請求項１ないし請求項４の何れか１項に記載の車載制御装置であって、
   前記演算部は、前記第１エラー時には、前記車両の使用者に対して、異常の発生を通知する処理を行うように構成されている。
   車載制御装置。

Images