JP7226291B2 - 電子制御装置 - Google Patents

Description

本開示は、電子制御装置に関する。

車両の動作を制御する電子制御装置がある。電子制御装置は、車両の動作の制御を行う制御部が正常に動作しているか否か、監視する監視部を有している（特許文献１）。電子制御装置は、監視部を２つのＣＰＵそれぞれに設けている。電子制御装置は、１つのＣＰＵが故障しても、もう１方のＣＰＵが制御部の監視を行う。したがって、制御装置は、１つのＣＰＵが故障した場合でも、故障していないＣＰＵが有する監視部で制御部が正常に動作しているか否かを監視できる。

特開２０１５－１１８６６２号公報

ところで、電子制御装置は、監視部による監視のリアルタイム性向上のためにＡＤ変換器を介して、制御部の監視を要求する監視要求をＣＰＵに送信する構成を採用することが考えられる。その場合、電子制御装置は、共通のＡＤ変換器を介して監視要求をＣＰＵに送信する構成を採用すると、共通のＡＤ変換器に異常が生じた際、ＣＰＵに監視要求を送信できなくなる虞がある。

本開示は、この事情に基づいて成されたものであり、その目的とするところは、各監視部で監視を実行できなくなることを抑制できる電子制御装置を提供することである。

その目的を達成するための本開示の第１の態様は、車両の動作を制御する制御部と、車両に設けられたセンサから得られた値を変換し、制御部に出力するＡＤ変換器と、制御部が正しく動作しているかを監視可能な第１監視部とＡＤ変換器が正しく動作しているかを監視可能な第２監視部と、をそれぞれが有している複数のＣＰＵと、ＣＰＵごとに、第１監視部に、制御部の監視の開始を要求する制御監視要求を送信し、第２監視部にＡＤ変換器の監視の開始を要求するＡＤ監視要求を送信する複数の要求部と、を備え、要求部のうちの少なくとも一つは、制御監視要求およびＡＤ監視要求を、ＡＤ変換器を介さずにＣＰＵに送信し、第１監視部は、制御監視要求を受信した場合、制御部が正しく動作しているかを確認し、第２監視部は、ＡＤ監視要求を受信した場合、ＡＤ変換器が正しく動作しているかを確認する電子制御装置である。

電子制御装置は、少なくとも１つの要求部が、ＣＰＵに制御監視要求およびＡＤ監視要求を、ＡＤ変換器を介さずに送信している。よって、電子制御装置は、ＡＤ変換器が故障しても、少なくとも１つの要求部がＣＰＵに制御監視要求およびＡＤ監視要求を行うことができる。したがって、電子制御装置は、ＡＤ変換器が故障した場合でも、各監視部で監視を実行できなくなることを抑制できる。

第１実施形態における、電子制御装置およびその機能を示した図である。 第１実施形態における、マイコンの構成を示したものである。 第１実施形態における、第１ＣＰＵの動作を示すフローチャートである。 第１実施形態における、第２ＣＰＵの動作を示すフローチャートである。 第１実施形態における、ＡＤ変換器と制御部のタイミングチャートを示した図である。 図６に対する比較例を示した図である。 第１実施形態における、ｎ回目の制御監視要求時のＡＴトランスミッションの状態を示した１例である。 第１実施形態における、ｎ＋１回目の制御監視要求時のＡＴトランスミッションの状態を示した１例である。

以下、本開示の複数の実施形態を図面に基づいて説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形例の構成を適用することができる。また、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。そして、複数の実施形態及び変形例に記述された構成同士の明示されていない組み合わせも、以下の説明によって開示されているものとする。

（第１実施形態）
図１に基づいて、電子制御装置２０が適用される電子制御システム１０について説明する。電子制御システム１０は、ＡＴトランスミッション１１、センサ１２、および電子制御装置２０を備えている。電子制御装置２０は、車両に備えられたセンサ１２から得られる値に基づいて、ＡＴトランスミッション１１の制御を行っている。図１にて、電子制御装置２０は、ＡＴトランスミッション１１を制御しているが上記に限定するわけではなく、車両のブレーキ、エンジン等の他の動作を制御してもよい。

図１および図２に示すように、電子制御装置２０は、第１ＣＰＵ２１、第２ＣＰＵ２２、ＲＯＭ２３、ＲＡＭ２４およびＡＤ変換器２７を有している。さらに、電子制御装置２０は、第１要求部２５、第２要求部２６、送信部２８の機能を有している。

第１要求部２５の機能は、例えば第１タイマ２５ａと第１割込みコントローラ２５ｂによって達成される。第１タイマ２５ａは、周期的に第１割込みコントローラ２５ｂに対して信号を出力する。信号を受信した第１割込みコントローラ２５ｂは、第１ＣＰＵ２１に各機能の実行の要求を送信する。第２要求部２６の機能は、例えば第２タイマ２６ａおよび第２割込みコントローラ２６ｂによって達成される。第１要求部２５と同様に第２要求部２６は、第２タイマ２６ａと第２割込みコントローラ２６ｂにより、第２ＣＰＵ２２に各機能の実行の要求を送信する。送信部２８の機能は、第３タイマ２８ａおよび第３割込みコントローラ２８ｂによって達成される。第１要求部２５と同様に送信部２８は、第３タイマ２８ａと第３割込みコントローラ２８ｂにより、第１ＣＰＵ２１に各機能の実行の要求を送信する。

第１割込みコントローラ２５ｂ、第２割込みコントローラ２６ｂおよび第３割込みコントローラ２８ｂは、それぞれ別々のものである。上記構成により、電子制御装置２０は、例えば第１割込みコントローラ２５ｂが故障したとしても、第２割込みコントローラ２６ｂが起動していれば、第２割込みコントローラ２６ｂが第２ＣＰＵ２２に各機能の実行の要求を送信できる。同様に、電子制御装置２０は、第３割込みコントローラ２８ｂが起動していれば、第３割込みコントローラ２８ｂから第１ＣＰＵ２１に各機能の実行要求を送信できる。よって、電子制御装置２０は、第１要求部２５、第２要求部２６および送信部２８全てがＣＰＵに各機能の実行の要求を送信できなくなることを抑制できる。

第１ＣＰＵ２１、第２ＣＰＵ２２、ＲＯＭ２３、ＲＡＭ２４およびＡＤ変換器２７は、同一のマイコンに搭載されている。さらに、第１タイマ２５ａ、第２タイマ２６ａ、第３タイマ２８ａ、第１割込みコントローラ２５ｂ、第２割込みコントローラ２６ｂおよび第３割込みコントローラ２８ｂは、同一の上記マイコンに搭載されている。しかし、上記構成に限定するものではなく、第１タイマ２５ａ、第２タイマ２６ａ、第３タイマ２８ａ、第１割込みコントローラ２５ｂ、第２割込みコントローラ２６ｂおよび第３割込みコントローラ２８ｂは、別のマイコン上に配置される構成であってもよい。

第１ＣＰＵ２１は、ＲＯＭ２３に保存されているプログラムを読み出して各機能を実行する。第１ＣＰＵ２１が実行する機能は、後ほど説明する制御部２１ａ、第１監視部２１ｂ、第２監視部２１ｃである。第２ＣＰＵ２２は、ＲＯＭ２３に保存されているプログラムを読み出して各機能を実行する。第２ＣＰＵ２２が実行する機能は、後ほど説明する第３監視部２２ａ、第４監視部２２ｂである。

ＲＡＭ２４は、第１ＣＰＵ２１および第２ＣＰＵ２２が各機能を実行することによって得られたデータが、一時的に保存される。ＡＤ変換器２７は、第１ＣＰＵ２１または第２ＣＰＵ２２からＡＤ変換要求を受信する。ＡＤ変換器２７は、ＡＤ変換要求を受信した場合、センサ１２から得られる値を変換しＡＤ変換値を生成する。ＡＤ変換器２７は、ＡＤ変換要求を送信したＣＰＵにＡＤ変換値を出力する。センサ１２で得られる値は、例えばエンジン冷却水の温度、検出用抵抗で検出される電流値および電圧値の情報である。センサ１２での検出については、後ほど詳細に説明する。

電子制御装置２０は、第１ＣＰＵ２１により、図１に示す制御部２１ａ、第１監視部２１ｂおよび第２監視部２１ｃの機能を実行可能である。本開示では、第１ＣＰＵ２１が制御部２１ａを監視する機能と、第２ＣＰＵ２２が制御部２１ａを監視する機能を区別するため、前者を第１監視部２１ｂ、後者を第３監視部２２ａと記載する。第３監視部２２ａは、請求項に記載している第１監視部に相当する。第１監視部２１ｂと第３監視部２２ａによる制御部２１ａの監視方法は、同一であっても、異なっていてもよい。

電子制御装置２０は、第２ＣＰＵ２２により第３監視部２２ａおよび第４監視部２２ｂの機能を実行可能である。本開示では、第１ＣＰＵ２１がＡＤ変換器２７を監視する機能と、第２ＣＰＵ２２がＡＤ変換器２７を監視する機能を区別するため、前者を第２監視部２１ｃ、後者を第４監視部２２ｂと記載する。第４監視部２２ｂは、請求項に記載している第２監視部に相当する。なお、図１に開示している、レベルおよびＡＳＩＬについては、後ほど詳細に説明する。

第１ＣＰＵ２１は、ＡＤ変換器２７から出力されたＡＤ変換値を用いて、ＡＴトランスミッション１１の制御を行う（制御部２１ａ）。第１ＣＰＵ２１は、第１割込みコントローラ２５ｂから実行の要求としての制御監視要求を受信した場合、ＡＤ変換値に基づいて、ＡＴトランスミッション１１への制御を正しく行えているか否かを監視する（第１監視部２１ｂ）。第１監視部２１ｂでの監視については、後ほど詳細に説明する。

第１ＣＰＵ２１は、第１割込みコントローラ２５ｂから実行の要求としてのＡＤ監視要求を受信した場合、テストデータとテストデータをＡＤ変換する要求をＡＤ変換器２７に送信する。ＲＡＭ２４には、テストデータをＡＤ変換した場合に出力されるはずの値の範囲を示した変換正常データが、予め保存されている。第１ＣＰＵ２１は、ＡＤ変換器２７からＡＤ変換されて出力されてきたテスト変換結果が、変換正常データの範囲内に該当するか否かを判断する（第２監視部２１ｃ）。

第１ＣＰＵ２１は、テスト変換結果が変換データの範囲内に該当する場合、ＡＤ変換器２７が正常に動作していると判断する。第１ＣＰＵ２１は、テスト変換結果が変換正常データの範囲内に該当しない場合、ＡＤ変換器２７が正常に動作していないと判断する。

ここから、第２ＣＰＵ２２の動作について説明するが、基本的な動作は、第１ＣＰＵ２１と同様であるため、詳細な説明は省略する。第２ＣＰＵ２２は、第２タイマ２６ａから制御監視要求を受信した場合、ＡＤ変換値に基づいて、第１ＣＰＵ２１がＡＴトランスミッション１１への制御を正しく行えているか否かを監視する（第３監視部２２ａ）。第２ＣＰＵ２２は、第２タイマ２６ａからＡＤ監視要求を受信した場合、テストデータとテストデータをＡＤ変換する要求をＡＤ変換器２７に送信する。第２ＣＰＵ２２は、テスト変換結果と変換正常データを比較し、テスト変換結果が変換正常データの範囲内に該当する場合は、ＡＤ変換器２７が正常に動作していると判断する（第４監視部２２ｂ）。第２ＣＰＵ２２は、テスト変換結果が変換正常データの範囲内に該当しない場合は、ＡＤ変換器２７が正常に動作していないと判断する。

第１ＣＰＵ２１および第２ＣＰＵ２２での判断は、上記に限定するわけではなく、テスト変換結果が変換正常データと一致するか否かで、ＡＤ変換器２７が正常に動作しているか否かを判断しても良い。その場合、変換正常データは、値の範囲を示すデータではなく、所定値を示すデータである。第１ＣＰＵ２１は、テスト結果が変換正常データと一致する場合、ＡＤ変換器２７が正常に動作していると判断する。第１ＣＰＵ２１は、テスト結果が変換正常データと一致しない場合、ＡＤ変換器２７が正常に動作していないと判断する。

図２に示すように、第１割込みコントローラ２５ｂは、ＡＤ変換器２７を介さずに第１ＣＰＵ２１に、制御監視要求およびＡＤ監視要求を送信している。第２割込みコントローラ２６ｂは、ＡＤ変換器２７を介さずに第２ＣＰＵ２２に、制御監視要求およびＡＤ監視要求を送信している。

第３割込みコントローラ２８ｂは、ＡＤ変換器２７を介して、ＡＴトランスミッション１１の制御の開始を要求する開始要求を第１ＣＰＵ２１に送信する（送信部２８）。つまり、第３割込みコントローラ２８ｂは、ＡＤ変換器２７にＡＤ変換要求を送信する。ＡＤ変換器２７は、第３割込みコントローラ２８ｂからＡＤ変換要求を受信した場合、センサ１２から得られる値をＡＤ変換する。ＡＤ変換器２７は、ＡＤ変換値と開始要求を第１ＣＰＵ２１に送信する。ＡＤ変換器２７がＡＤ変換値と開始要求を送信する順番は、どちらが先であってもよい。また、ＡＤ変換器２７がＡＤ変換値と開始要求を送信する順番は、同一であってもよい。上記構成では、ＡＤ変換器２７が、第１ＣＰＵ２１に開始要求を送信しているが、第３割込みコントローラ２８ｂが、ＡＤ変換器２７を介さずに、第１ＣＰＵ２１に開始要求を送信する構成であってもよい。

ここで図３から図８に基づいて、電子制御装置２０の動作について説明する。まず、図３に基づいて、第１ＣＰＵ２１の動作について説明する。第１ＣＰＵ２１は、第１割込みコントローラ２５ｂから、制御監視要求およびＡＤ監視要求を受信した場合に図３の動作を開始する。Ｓ１１からＳ１３が、第２監視部２１ｃの機能に該当する。Ｓ１４からＳ１６が、第１監視部２１ｂの機能に該当する。

Ｓ１１では、第１ＣＰＵ２１は、第２監視部２１ｃのＡＤ監視プログラムを起動する。つまり、第１ＣＰＵ２１は、ＲＯＭ２３に保存されているＡＤ監視プログラムを読み出す。本開示において、ＡＤ監視プログラムは、第１ＣＰＵ２１が、ＡＤ変換器２７が正常に動作しているか否かを監視する機能を実行するためのプログラムである。

Ｓ１２では、第１ＣＰＵ２１は、テスト変換要求を送信する。つまり、第１ＣＰＵ２１は、ＡＤ変換器２７に対して、テストデータと共にテストデータをＡＤ変換する要求であるテスト変換要求を送信する。

Ｓ１３では、第１ＣＰＵ２１は、テスト変換結果が変換正常データの範囲内であるか否かを判断する。つまり、第１ＣＰＵ２１は、ＡＤ変換器２７からテスト変換結果を受信する。第１ＣＰＵ２１は、テスト変換結果と変換正常データを比較して、テスト変換結果が変換正常データの範囲内に該当する場合、ＡＤ変換器２７が正常に動作していると判断しＳ１４へ移行する。第１ＣＰＵ２１は、テスト変換結果が正常変換データの範囲内に該当しない場合は、ＡＤ変換器２７が正常に動作していないと判断しＳ１９へ移行する。

Ｓ１４では、第１ＣＰＵ２１は、第１監視部２１ｂの制御監視プログラムを起動する。つまり、第１ＣＰＵ２１は、ＲＯＭ２３に保存されている制御監視プログラムを読み出す。本開示において、制御監視プログラムは、第１ＣＰＵ２１が、制御部２１ａが正しく動作しているか否かを監視する機能を実行するためのプログラムである。

Ｓ１５では、第１ＣＰＵ２１は、ＡＤ変換要求を送信する。つまり、第１ＣＰＵ２１は、ＡＤ変換器２７にＡＤ変換要求を送信する。ＡＤ変換器２７は、第１ＣＰＵ２１からＡＤ変換要求を受信する。ＡＤ変換器２７は、センサ１２から得られる値をＡＤ変換し、ＡＤ変換値を第１ＣＰＵ２１に出力する。

Ｓ１６では、第１ＣＰＵ２１は、ＡＤ変換値が正常であるか否かを判断する。つまり、第１ＣＰＵ２１は、ＡＤ変換値を、ＡＤ変換器２７から受信する。第１ＣＰＵ２１は、ＡＤ変換値が正常であるか否かを判断する。第１ＣＰＵ２１は、ＡＤ変換値が正常である場合、制御部２１ａが正常に動作していると判断し、Ｓ１７に移行する。第１ＣＰＵ２１は、ＡＤ変換値が正常でない場合、制御部２１ａが正常に動作していないと判断し、Ｓ１８に移行する。

ここで、Ｓ１６の具体例について説明する。例えば、ＡＤ変換値は、ＡＴトランスミッション１１における、各変速を制御するソレノイドに接続されている抵抗に流れる電流値である。センサ１２は、ソレノイドに電気的に接続されている抵抗に流れる電流値を第１ＣＰＵ２１に送信する。ＲＡＭ２４は、ソレノイドがｏｎになっている際の電流値の範囲を示す電流データが、保存されている。よって、第１ＣＰＵ２１は、センサ１２から得られた電流値と電流データを比較して、電流値が電流データの範囲内に該当する場合、ソレノイドがｏｎであると判断する。第１ＣＰＵ２１は、電流値が電流データの範囲内に該当しない場合、ソレノイドがｏｆｆであると判断する。

図７は、第１タイマ２５ａがｎ回目の周期において信号を送信した際、第１ＣＰＵ２１が得た、ＡＴトランスミッション１１の各変速ギアに対応するソレノイドのｏｎまたはｏｆｆのデータの１例を示している。詳細に説明すると、第１タイマ２５ａは、上記のように周期的に信号を第１割込みコントローラ２５ｂに送信している。ある周期（ｎ回目）に第１タイマ２５ａが送信した信号に基づいて、第１割込みコントローラ２５ｂから制御監視要求が送信される。さらに、ｎ回目の制御監視要求に基づいて、第１ＣＰＵ２１は、ＡＤ変換要求を送信する。そして、ＡＤ変換要求を受信したＡＤ変換器２７は、ＡＤ変換値を出力する。図７は、上記のＡＤ変換値に基づいて、第１ＣＰＵ２１が、ソレノイドのｏｎまたはｏｆｆのデータをまとめた１例を示している。

図８は、第１割込みコントローラ２５ｂからｎ＋１回目の周期に送信された制御監視要求により、ＡＤ変換器２７から送信されたＡＤ変換値に基づいて、第１ＣＰＵ２１がソレノイドのｏｎまたはｏｆｆのデータをまとめた１例を示している。

第１ＣＰＵ２１は、ｎ＋１回目の各変速のソレノイドのｏｎまたはｏｆｆ（図８）が、ｎ回目のｏｎまたはｏｆｆを示すデータ（図７）と比較して急激に変化している場合、制御部２１ａによるＡＴトランスミッション１１の制御が正常ではないと判断する。図７、図８の場合第１ＣＰＵ２１は、ｎ回目で１速から５速までソレノイドがｏｎだった状況から、ｎ＋１回目で１速のみソレノイドがｏｎの状況に変化していることから、急激な変化が生じていると判断する。つまり、制御部２１ａがＡＴトランスミッション１１に対して行っている制御により、ソレノイドのｏｎまたはｏｆｆが、急激に変化したことを意味する。よって、第１ＣＰＵ２１は、ＡＤ変換値が正常でない、つまり制御部２１ａが正常に動作していないと判断し、Ｓ１８に移行する。

上記の例に限定するわけではなく、第１ＣＰＵ２１は、電流値が電流データと一致するか否かで、ソレノイドがｏｎまたはｏｆｆであるかを判断してもよい。その場合、電流データは、値の範囲を示すデータではなく、所定の値を示すデータである。第１ＣＰＵ２１は、電流値が電流データと一致する場合、ソレノイドがｏｎであると判断する。第１ＣＰＵ２１は、電流値が電流データと一致しない場合、ソレノイドがｏｆｆであると判断する。

Ｓ１７では、第１ＣＰＵ２１は、正常フラグをセットする。つまり、第１ＣＰＵ２１は、ＡＤ変換器２７および制御部２１ａが正常に動作していることを意味する正常フラグをセットする。そして、第１ＣＰＵ２１は、図３に示す動作を終了する。第１ＣＰＵ２１は、開始要求を受信した場合、正常フラグがセットされているか否かを確認する。第１ＣＰＵ２１は、正常フラグがセットされていることを確認した場合、ＡＴトランスミッション１１の制御を開始する。

Ｓ１７での第１ＣＰＵ２１の動作は、上記に限定されるものではなく、ＡＤ変換器２７および制御部２１ａが正常に動作していることを意味するものであれば、フラグ以外の別のものをセットしてもよい。

Ｓ１８では、電子制御装置２０は、制御部２１ａのフェールセーフ処理を実行する。つまり、第１ＣＰＵ２１は、ＡＴトランスミッション１１に対して行っている制御をフェールセーフ処理に変更する。例えば、Ｓ１６で、第１ＣＰＵ２１は、上記のように図７、図８に基づいてＡＤ変換値が正常でないと判断した場合のフェールセーフ処理を説明する。その場合、第１ＣＰＵ２１は、ＡＴトランスミッション１１に対し、車両の速度の急激な変化を防止するため、１速からＮ（ニュートラル）にソレノイドのｏｎ、ｏｆｆを変更する。これにより、電子制御装置２０は、５速から１速に変更したまま、走行する場合と比較し、５速からＮに変更することで、車両速度の急激な変化を抑制できる。

Ｓ１９では、電子制御装置２０は、ＡＤ変換器フェールセーフ処理を実行する。つまり、第１ＣＰＵ２１は、Ｓ１３でＡＤ変換器２７の動作が正常でないと判断した場合、ＡＤ変換器２７からの出力に基づいて制御を行っている個所に対し、フェールセーフ処理を実行する。例えば、電子制御装置２０は、制御部２１ａによるＡＴトランスミッション１１の制御を停止する。そして、電子制御装置２０は、第１ＣＰＵ２１によりＡＴトランスミッション１１の各ソレノイドのｏｎまたはｏｆｆをＮに変更する。

上記に反し、正常でないＡＤ変換器２７から出力されるＡＤ変換値に基づいて、第１ＣＰＵ２１がＡＴトランスミッション１１の制御を続けた場合、各ソレノイドのｏｎまたはｏｆｆを誤った制御をする虞がある。その場合、例えば、第１ＣＰＵ２１は、正常でないＡＤ変換器２７から送信されたＡＤ変換値に基づいて、変速を５速から１速に変更する制御を行った結果、車両速度が急激に変化する虞がある。一方で、本実施形態の第１ＣＰＵ２１は、フェールセーフ処理として変速をＮに変更しているため、車両の誤作動を抑制できる。

ここで図４に基づいて、第２ＣＰＵ２２の動作について説明する。第２ＣＰＵ２２は、制御監視要求およびＡＤ監視要求を受信した場合に図４の動作を開始する。図４に示す、第２ＣＰＵ２２の動作は、図３に示す第１ＣＰＵ２１の動作と同様な動作である。Ｓ２１は、Ｓ１１に相当しており、他のステップについても同様にＳ２ＸとＳ１Ｘが相当している（Ｘは１から９の数字）。各ステップにおいて、図３の第１監視部２１ｂは、図４における第３監視部２２ａに相当する。図３の第２監視部２１ｃは、図４における第４監視部２２ｂに相当する。

次に図５に基づいて、第３割込みコントローラ２８ｂが、ＡＤ変換器２７に、ＡＤ変換要求を送信した際のＡＤ変換器２７および第１ＣＰＵ２１の動作について説明する。ｔ１にて、第３割込みコントローラ２８ｂは、ＡＤ変換器２７にＡＤ変換要求を送信する。ＡＤ変換器２７は、ＡＤ変換要求を受信した場合、ＡＤ変換値を生成する（ＡＤ変換実施）。ＡＤ変換器２７は、ＡＤ変換実施が完了したタイミングｔ２で、ＡＤ変換値および開始要求を第１ＣＰＵ２１に出力する。第１ＣＰＵ２１は、開始要求を受信したタイミングで制御プログラムを起動し、ＡＤ変換値に基づいて、ＡＴトランスミッション１１の制御を行う（制御実施）。

つまり、第１ＣＰＵ２１は、ＲＯＭ２３に保存されている制御プログラムを読み出す。そして、第１ＣＰＵ２１は、ｔ２で出力されたＡＤ変換値に基づいてＡＴトランスミッション１１の制御を行う。本開示にて、制御プログラムは、第１ＣＰＵ２１がＡＴトランスミッション１１を制御する機能を実行するためのプログラムである。ｔ３は、第３タイマ２８ａが再びＡＤ変換器２７にＡＤ変換要求を送信するタイミングを示している。ＡＤ変換器２７および第１ＣＰＵ２１は、ｔ３から、ｔ１－ｔ３間で行われていた動作を再び行う。

電子制御装置２０は、車両を電子制御する際の安全性確保を目的としている、車両向け機能安全性規格であるＩＳＯ２６２６２の規定が適用される車両に対して、搭載することができる。

ＩＳＯ２６２６２は、電子制御されるシステムの機能が故障したときの危険な事象（ハザード）から、各システムを、危険レベル、発生頻度、制御可能性（回避の難易度）の３つのパラメータによる指標を用いてランク付けする。そのランクは、ＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ）と呼ばれる。ＡＳＩＬは、危険度の低いほうから順に、ＱＭ（Ｑｕａｌｉｔｙ Ｍａｎｅｇｅｍｅｎｔ）、Ａ、Ｂ、Ｃ、Ｄの５つのランクを定めている。システムの設計者は、システムがどのランクに相当するかを決定し、その決定したランクに応じた安全対策を施す必要がある。

例えば、あるシステムは、ＡＳＩＬが「Ｃ」にランク付けされた場合、そのシステムを電子制御する電子制御装置を３つのレベルに分け、上位のレベルの動作を下位のレベルで監視する構成を採用することが考えられる。その場合、第１のレベルは、システムの制御を行う。第２のレベルは、第１のレベルが正常通り動作しているか確認する。第３のレベルは、第２のレベルが正常通り動作しているかを確認する。

さらに、ＩＳＯ２６２６２におけるデコンポジションの概念について説明する。デコンポジションの概念は、高次の安全水準基準を、複数の低次の安全水準に分解する。例えば、ＡＳＩＬ－Ｄは、ＡＳＩＬ－ＣとＡＳＩＬ－Ａに分解することができる。ただし、デコンポジションは、分解後のエレメントの独立性を確保することが求められる。上記の例の場合、ＡＳＩＬ－ＣとＡＳＩＬ－Ａは、互いに独立している必要がある。

電子制御システム１０は、ＡＳＩＬ－Ｄの安全水準が適用される場合、ＡＳＩＬ－ＣとＡＳＩＬ－Ａに分解して安全要求を満たす。第１監視部２１ｂは、分解後のＡＳＩＬ－Ｃとして、制御部２１ａが正常に動作しているか否かを監視する。第３監視部２２ａは、分解後のＡＳＩＬ－Ａとして、制御部２１ａが正常に動作しているか否かを監視する。

さらに、電子制御装置２０は、上位のレベルの動作を下位のレベルで監視する構成を採用している。第１のレベルとして、制御部２１ａは、ＡＴトランスミッション１１を制御している。第２のレベルとして、第１監視部２１ｂおよび第３監視部２２ａは、制御部２１ａが正常に動作しているか否かを監視する。第３のレベルとして、第２監視部２１ｃおよび第４監視部２２ｂは、第１監視部２１ｂが正常に動作しているか否かを監視する。

ここから、電子制御装置２０の効果について説明する。第１要求部２５は、ＡＤ変換器２７を介さずに第１監視部２１ｂに制御監視要求を送信している。よって、電子制御装置２０は、ＡＤ変換器２７が故障した場合でも、第１要求部２５が正常に動作していれば、第１要求部２５から第１監視部２１ｂに制御監視要求を送信することができる。したがって、ＡＤ変換器２７が故障した場合でも、第１監視部２１ｂは、制御部２１ａが正常に動作しているか否かを確認できなくなることを抑制できる。

また、第１要求部２５は、ＡＤ変換器２７を介さずに第２監視部２１ｃにＡＤ監視要求を送信している。よって、電子制御装置２０は、ＡＤ変換器２７が故障した場合でも、第１要求部２５が正常に動作していれば、第１要求部２５から第２監視部２１ｃにＡＤ監視要求を送信することができる。したがって、ＡＤ変換器２７が故障した場合でも、第２監視部２１ｃは、ＡＤ変換器２７が正常に動作しているか否かを確認できなくなることを抑制できる。

第２要求部２６は、ＡＤ変換器２７を介さずに第３監視部２２ａに制御監視要求を送信している。よって、電子制御装置２０は、ＡＤ変換器２７が故障した場合でも、第２要求部２６が正常に動作していれば、第２要求部２６から第３監視部２２ａに制御監視要求を送信することができる。したがって、ＡＤ変換器２７が故障した場合でも、第３監視部２２ａは、制御部２１ａが正常に動作しているか否かを確認できなくなることを抑制できる。

また、第２要求部２６は、ＡＤ変換器２７を介さずに第４監視部２２ｂにＡＤ監視要求を送信している。よって、電子制御装置２０は、ＡＤ変換器２７が故障した場合でも、第２要求部２６が正常に動作していれば、第２要求部２６から第４監視部２２ｂにＡＤ監視要求を送信することができる。したがって、ＡＤ変換器２７が故障した場合でも、第４監視部２２ｂは、ＡＤ変換器２７が正常に動作しているか否かを確認できなくなることを抑制できる。

電子制御装置２０は、第１要求部２５および第２要求部２６とは別体で、送信部２８を有している。電子制御装置２０は、第１要求部２５または第２要求部２６が故障した場合でも、送信部２８が制御部２１ａに開始要求を送信することができる。

第１要求部２５は、第１タイマ２５ａおよび第１割込みコントローラ２５ｂによって構成される。一方で、本実施形態の構成に反して、第１要求部２５が、第１ＣＰＵ２１とは別のＣＰＵが採用される場合が考えられる。その場合、電子制御装置２０が、大型化する虞がある。電子制御装置２０は、第１要求部２５が第１タイマ２５ａおよび第１割込みコントローラ２５ｂによって構成される簡易な構成であるため、第１ＣＰＵ２１に搭載可能である。したがって、上記構成は、電子制御装置２０が大型化することを抑制できる。

電子制御装置２０は、Ｓ１３の完了後に制御部２１ａでＡＴトランスミッション１１の制御を行っている。電子制御装置２０は、ＡＤ変換器２７が正常に動作しているか確認した後に、制御部２１ａによるＡＴトランスミッション１１の制御を行っている。電子制御装置２０は、Ｓ１３でＡＤ変換器２７が正常に動作していないと判断した場合、Ｓ１９へ移行しフェールセーフ処理を行う。よって、電子制御装置２０は、Ｓ１３で正常に動作していると確認できたＡＤ変換器２７から送信されるＡＤ変換値に基づいて、制御部２１ａがＡＴトランスミッション１１の制御を行う。したがって、電子制御装置２０は、ＡＤ変換器２７が故障し、誤ったＡＤ変換値を制御部２１ａが受信し、ＡＴトランスミッション１１を制御することを抑制できる。

ここで、本実施形態に対する比較例について説明する。比較例の構成は、基本的に本実施形態と同一の構成であるため、本実施形態と同一の符号を付与して説明する。図６に示す比較例では、第３割込みコントローラ２８ｂは、ｔ１にて、第１ＣＰＵ２１に開始要求を送信する。第１ＣＰＵ２１は、開始要求を受信した場合、制御プログラムを起動する（ＰＲＧ起動）。第１ＣＰＵ２１は、制御プログラムの起動が完了したタイミングｔ２で、ＡＤ変換要求をＡＤ変換器２７に送信する。ＡＤ変換器２７は、ＡＤ変換要求を受信した場合に、ＡＤ変換値を生成する。第１ＣＰＵ２１は、ｔ２でＡＤ変換要求送信した後、一定時間内にＡＤ変換器２７からＡＤ変換値が返ってこない場合、前の周期でＡＤ変換器２７が出力したＡＤ変換値に基づいてＡＴトランスミッション１１の制御を行う。第１ＣＰＵ２１は、一定時間内にＡＤ変換値が返ってきた場合、返ってきたＡＤ変換値に基づいて、ＡＴトランスミッション１１の制御を行う。図６は、ｔ２から一定時間内にＡＤ変換値が返ってこなかった場合の、第１ＣＰＵ２１の動作を示している。図６のＡＤ変換器２７および第１ＣＰＵ２１は、ｔ３から、ｔ１－ｔ３間で行われていた動作を再び行う。

電子制御装置２０は、ＡＤ変換器２７から、ＡＤ変換値および開始要求を制御部２１ａに出力する。よって、電子制御装置２０は、制御部２１ａが開始要求を受信した際に、ＡＤ変換器２７でｔ２つまり直前に変換されたＡＤ変換値に基づいて、ＡＴトランスミッション１１の制御を行うことができる。したがって、電子制御装置２０は、ＡＴトランスミッション１１の制御のリアルタイム性を向上させることができる。

一方で比較例の制御部２１ａは、ＡＴトランスミッション１１の制御を行う際、ｔ２でＡＤ変換器に送信したＡＤ変換要求の結果が返ってきていない場合、前の周期でＡＤ変換器２７が出力したＡＤ変換値に基づいてＡＴトランスミッション１１を制御する。その場合、比較例の電子制御装置２０は、ｔｄ以上の時差のあるＡＤ変換値に基づいて、ＡＴトランスミッション１１の制御を行うことになる。したがって、比較例の電子制御装置２０は、本実施形態の電子制御装置２０よりもＡＴトランスミッション１１の制御のリアルタイム性が損なわれる虞がある。

上記電子制御装置２０は、デコンポジションによる分解後のＡＳＩＬ－ＣとＡＳＩＬ－Ａが、それぞれ第１ＣＰＵ２１、第２ＣＰＵ２２によって構成される。したがって、電子制御装置２０は、デコンポジションによる分解後のエレメント同士の独立性を確保することができる。

この明細書における制御装置は、電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）とも呼ばれる場合がある。制御装置、または制御システムは、（ａ）ｉｆ－ｔｈｅｎ－ｅｌｓｅ形式と呼ばれる複数の論理としてのアルゴリズム、または（ｂ）機械学習によってチューニングされた学習済みモデル、例えばニューラルネットワークとしてのアルゴリズムによって提供される。

制御装置は、少なくともひとつのコンピュータを含む制御システムによって提供される。制御システムは、データ通信装置によってリンクされた複数のコンピュータを含む場合がある。コンピュータは、ハードウェアである少なくともひとつのプロセッサ（ハードウェアプロセッサ）を含む。ハードウェアプロセッサは、下記（ｉ）、（ｉｉ）、または（ｉｉｉ）により提供することができる。

（ｉ）ハードウェアプロセッサは、少なくともひとつのメモリに格納されたプログラムを実行する少なくともひとつのプロセッサコアである場合がある。この場合、コンピュータは、少なくともひとつのメモリと、少なくともひとつのプロセッサコアとによって提供される。プロセッサコアは、ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、ＧＰＵ：Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、ＲＩＳＣ－ＣＰＵなどと呼ばれる。メモリは、記憶媒体とも呼ばれる。メモリは、プロセッサによって読み取り可能な「プログラムおよび／またはデータ」を非一時的に格納する非遷移的かつ実体的な記憶媒体である。記憶媒体は、半導体メモリ、磁気ディスク、または光学ディスクなどによって提供される。プログラムは、それ単体で、またはプログラムが格納された記憶媒体として流通する場合がある。

（ｉｉ）ハードウェアプロセッサは、ハードウェア論理回路である場合がある。この場合、コンピュータは、プログラムされた多数の論理ユニット（ゲート回路）を含むデジタル回路によって提供される。デジタル回路は、ロジック回路アレイ、例えば、ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ、ＦＰＧＡ：Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ、ＳｏＣ：Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ、ＰＧＡ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ、ＣＰＬＤ：Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅなどとも呼ばれる。デジタル回路は、プログラムおよび／またはデータを格納したメモリを備える場合がある。コンピュータは、アナログ回路によって提供される場合がある。コンピュータは、デジタル回路とアナログ回路との組み合わせによって提供される場合がある。

（ｉｉｉ）ハードウェアプロセッサは、上記（ｉ）と上記（ｉｉ）との組み合わせである場合がある。（ｉ）と（ｉｉ）とは、異なるチップの上、または共通のチップの上に配置される。これらの場合、（ｉｉ）の部分は、アクセラレータとも呼ばれる。

制御装置と信号源と制御対象物とは、多様な要素を提供する。それらの要素の少なくとも一部は、ブロック、モジュール、またはセクションと呼ぶことができる。さらに、制御システムに含まれる要素は、意図的な場合にのみ、機能的な手段と呼ばれる。

この開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリーを構成することによって提供された専用コンピュータにより、実現されてもよい。代替的に、この開示に記載の制御部及びその手法は、一つ以上の専用ハードウエア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。代替的に、この開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリーと一つ以上のハードウエア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。

（他の実施形態）
以上、本開示の実施形態を説明したが、本開示は上述の実施形態に限定されるものではなく、次の実施形態も本開示の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。

上記実施形態において電子制御装置２０は、第１ＣＰＵ２１と第２ＣＰＵ２２の２つのＣＰＵを有しているが、３つ以上のＣＰＵを有していてもよい。その場合、電子制御装置２０は、各ＣＰＵに対応する要求部を有している。

上記実施形態では、送信部２８は、ＡＤ変換器２７を介して制御部２１ａに開始要求を送信しているが、送信部２８は、ＡＤ変換器２７を介さずに制御部２１ａ開始要求を送信する構成であってもよい。

上記実施形態においてＡＤ変換器２７を介さずにという記載は、ＡＤ変換器２７を介していなければ、他の機器例えば、割込みコントローラ等を介していてもよい。

上記実施形態において、電子制御装置２０は、Ｓ１３完了後にＳ１４以降の動作を行っているが、電子制御装置２０は、Ｓ１４以降の動作をＳ１３以前に行う構成であってもよい。

上記実施形態において、電子制御装置２０は、図３の動作を第１ＣＰＵ２１が制御監視要求およびＡＤ監視要求を受信した場合に行っているが、電子制御装置２０は、第１ＣＰＵ２１が、制御監視要求のみを受信したタイミングでＳ１１に移行してもよい。また、電子制御装置２０は、第１ＣＰＵ２１がＡＤ監視要求を受信したタイミングでＳ１１からＳ１３の実施の有無にかかわらず、Ｓ１４を実行してもよい。

上記実施形態では、第１要求部２５、第２要求部２６、送信部２８は、タイマおよび割込みコントローラによって構成されているが、制御監視要求およびＡＤ監視要求を送信できる構成であれば、ＣＰＵ等の別構成であってもよい。

上記実施形態では、第１要求部２５、第２要求部２６および送信部２８は、別々のタイマおよび割込みコントローラを有しているが、タイマもしくは割込みコントローラを共用する構成であってもよい。

１０・・・電子制御システム、１１・・・ＡＴトランスミッション、１２・・・センサ、２０・・・電子制御装置、２１・・・第１ＣＰＵ、２１ａ・・・制御部、２１ｂ・・・第１監視部、２１ｃ・・・第２監視部、２２・・・第２ＣＰＵ、２２ａ・・・第３監視部、２２ｂ・・・第４監視部、２３・・・ＲＯＭ、２４・・・ＲＡＭ、２５・・・第１要求部、２５ａ・・・第１タイマ、２５ｂ・・・第１割込みコントローラ、２６・・・第２要求部、２６ａ・・・第２タイマ、２６ｂ・・・第２割込みコントローラ、２７・・・ＡＤ変換器、２８・・・送信部、２８ａ・・・第３タイマ、２８ｂ・・・第３割込みコントローラ

Claims (6)

1. 車両の動作を制御する制御部（２１ａ）と、
   前記車両に設けられたセンサから得られた値を変換し、前記制御部に出力するＡＤ変換器（２７）と、
   前記制御部が正しく動作しているかを監視可能な第１監視部（２１ｂ、２２ａ）と前記ＡＤ変換器が正しく動作しているかを監視可能な第２監視部（２１ｃ、２２ｂ）と、をそれぞれが有している複数のＣＰＵ（２１、２２）と、
   各ＣＰＵに対応する複数の要求部（２５、２６）と、を備え、
   前記要求部は、前記第１監視部に、前記制御部の監視の開始を要求する制御監視要求を送信し、前記第２監視部に前記ＡＤ変換器の監視の開始を要求するＡＤ監視要求を送信し、
   前記要求部のうちの少なくとも一つは、前記制御監視要求および前記ＡＤ監視要求を、前記ＡＤ変換器を介さずに前記ＣＰＵに送信し、
   前記第１監視部は、前記制御監視要求を受信した場合、前記制御部が正しく動作しているかを確認し、
   前記第２監視部は、前記ＡＤ監視要求を受信した場合、前記ＡＤ変換器が正しく動作しているかを確認する電子制御装置。
2. 前記要求部の全てが、前記制御監視要求および前記ＡＤ監視要求を前記ＣＰＵに対し、前記ＡＤ変換器を介さずに送信する請求項１に記載の電子制御装置。
3. 前記要求部とは別に、車両の動作制御を行うことを要求する開始要求を前記制御部に送信する送信部（２８）を有する請求項１または２に記載の電子制御装置。
4. 前記要求部および前記送信部は、タイマ（２５ａ、２６ａ、２８ａ）および割込みコントローラ（２５ｂ、２６ｂ、２８ｂ）によって構成される請求項３に記載の電子制御装置。
5. 前記制御部は、前記第２監視部にて前記ＡＤ変換器が正常に動作していると確認できた場合、前記ＡＤ変換器にＡＤ変換要求を送信し、
   前記ＡＤ変換器は、前記ＡＤ変換要求を受信した場合、前記センサによって得られる値を変換したＡＤ変換値を前記制御部に送信し、
   前記制御部は、前記ＡＤ変換値に基づいて前記車両の動作を制御する請求項１から請求項４のいずれか１項に記載の電子制御装置。
6. 前記送信部は、前記ＡＤ変換器に対し、ＡＤ変換要求を送信し、
   前記ＡＤ変換器は、前記ＡＤ変換要求を受信した場合、前記センサによって得られる値を変換したＡＤ変換値を生成し、前記ＡＤ変換値および前記開始要求を前記制御部に送信する請求項３に記載の電子制御装置。

Images