JP7299344B2 - 車載電子制御装置 - Google Patents

Description

本発明は、車両に搭載する車載電子制御装置に関する。

車両が搭載する電子制御装置（Ｅｌｅｃｔｒｏｎｉｃａｌ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）は一般に、ＥＣＵ内のマイコンが正常に動作しているか否かを監視する監視部を備える。１つのマイコンに対して１つの監視部を配置するのが一般的である。監視部は例えばＷＤＴ（Ｗａｔｃｈ Ｄｏｇ Ｔｉｍｅｒ）によって構成することができる。監視部による監視結果が異常であれば、マイコンをリセットすることにより、マイコンを異常状態から回復させることを試みる。

下記特許文献１は、『マルチコアＣＰＵの故障監視を、監視用ＣＰＵを増やさずに低コストで可能とする車載用電子制御装置を提供する。』ことを課題として、『制御ＩＣ２内のＣＰＵコア１０をメインＣＰＵコアとし、他のＣＰＵコア２０，３０，４０をサブＣＰＵコアとし、ＣＰＵコア２０，３０，４０は、ＣＰＵコア１０が送信した例題データに対する回答データを算出してＣＰＵコア１０へ送信し、ＣＰＵコア１０は、監視ＩＣ３の送信した例題データに対する回答データを算出すると共に、ＣＰＵコア２０，３０，４０へ例題データを送信し、自身の回答データとＣＰＵコア２０，３０，４０が返信した回答データとに基づいて最終回答データを生成して監視ＩＣ３へ送信し、監視ＩＣ３は、ＣＰＵコア１０から受信した最終回答データと予め用意した回答データ期待値との照合結果で制御ＩＣ２の故障診断を行う。』という技術を記載している（要約参照）。

下記特許文献２は、『２つ以上のアプリケーションの一方に異常が検出されても、他方のアプリケーションを継続して実行可能な情報処理装置を提供すること。』を課題として、『複数のアプリケーションと、第一のカウント期間におけるアプリケーション毎の動作中通知の回数をカウントするアプリ監視手段６０と、アプリケーションの動作を制御するアプリ制御手段３２と、を有し、アプリ監視手段がアプリケーションの過去の動作中通知の回数に基づき、アプリケーションの異常兆候を検出した場合、前記アプリ制御手段は、最も優先度が低いアプリケーションの動作中通知の送信を停止し、異常兆候が検出されていないアプリケーションは、異常兆候が検出される前のタイミングと、異常兆候が検出されたアプリケーションが動作中通知を送信するタイミング又はその前後のタイミングで、動作中通知を送信する、ことを特徴とする。』という技術を記載している（要約参照）。

特開２０１５－１０３０５２号公報 特開２０１３－１４３０９３号公報

近年の車載電子制御装置は、複数のプロセッサコアを備えるマルチコアマイコンを用いるようになってきている。マルチコアマイコンは、コアごとにそれぞれ異なる機能を実行させることができる。コアごとに監視部を配置するとコスト高になるので、１つの監視部によって各コアをまとめて監視することが望ましいと考えられる。

複数機能を実行するマルチコアマイコンにおいて、いずれかの機能が監視部によって異常であると判定されたとき、マイコン全体がリセットされることになる。そうすると、正常動作している機能もリセットされることになるので、動作継続性が阻害されてしまう。
特に車載電子制御装置においては、動作継続することが求められる場合があるので、かかる構成は望ましくない。

特許文献１は、監視ＩＣ３が送信する例題データをＣＰＵコア１０～４０が中継することにより、複数のＣＰＵコア１０～４０を１つの監視ＩＣ３によって監視する。この構成は監視ＩＣ３のコストを抑制する点においては有用であると考えられる。しかしいずれかのＣＰＵコアが異常であるときＣＰＵ全体がリセットされると、動作継続性が阻害されてしまう可能性がある。

特許文献２は、２つ以上のアプリケーションのうちいずれかが異常であるとき、最も優先度が低いアプリケーションの動作中通知を停止し、その他のアプリケーションを継続することを図っている。しかし同文献によれば、異常時は優先度が低いアプリケーションの動作中通知が停止するので、そのアプリケーションに対する監視能力が低下することになる。すなわち同文献においては、異常が発生するとマイコンが正常時とは異なる状態になる。車載電子制御装置においては、マイコンのみならずＥＣＵが制御する制御対象機器（車両が備えるアクチュエータなど）も含めて動作継続性を考慮する必要がある。特許文献２のようにマイコンそのものを正常時とは異なる状態にセットすることは、動作継続性の観点から必ずしも最適ではない可能性もある。マイコンを正常状態に復帰させる処理が必要になるからである。

本発明は、上記のような課題に鑑みてなされたものであり、複数機能を制御する電子制御装置において異常が検出された場合、他方の機能に影響を与えることなく動作を継続するとともに、異常が検出された機能に対応する制御対象機器の安全性を確保することを目的とする。

本発明に係る車載電子制御装置において、第１演算部と第２演算部はそれぞれ動作確認信号を出力し、ドライバ制御部は、前記第１演算部と前記第２演算部のうち前記動作確認信号が異常を示しているほうに対応するドライバを縮退状態にセットする。

本発明に係る車載電子制御装置によれば、異常が発生していない機能に影響を与えることなく動作を継続するとともに、異常が検出された機能に対応する制御対象機器の安全性を確保することができる。

実施形態１に係る車載電子制御装置１００の構成図である。 判定部４が各ドライバを制御する手順を説明するタイムチャートである。 判定部４がマイコン６をリセットする手順を説明するタイムチャートである。 車載電子制御装置１００が制御する機器の例を示す図である。

＜実施の形態１＞
図１は、本発明の実施形態１に係る車載電子制御装置１００の構成図である。車載電子制御装置１００は、車両に搭載される電子制御装置である。車載電子制御装置１００は、車両が備える機器（例えばアクチュエータなど、具体例は後述）を制御する装置である。
車載電子制御装置１００は、監視部１、マイコン６（演算装置）、第１ドライバ１８、第２ドライバ１９を備える。

マイコン６は、車両が備える機器を制御するための制御演算を実装したプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備える。マイコン６は、複数のＣＰＵを備えるマルチプロセッサマイコンである。図１においてはＣＰＵ１１（第１演算部）とＣＰＵ１３（第２演算部）を備える例を示した。ＣＰＵ１１は第１機能７（第１処理）を実現するための制御演算を実行し、ＣＰＵ１３は第２機能８（第２処理）を実現するための制御演算を実行する。車載電子制御装置が準拠する規格上における機能安全要求レベルについて、第１機能７の機能安全要求レベルは、第２機能８の機能安全要求レベルよりも高いものとする。

ＣＰＵ１１は、制御演算結果にしたがって、Ｉ／Ｏ回路１７を経由して、第１ドライバ１８を制御するための第１駆動信号を出力する。第１ドライバ１８は、第１駆動信号にしたがって、第１機器を駆動する。ＣＰＵ１３は、制御演算結果にしたがって、Ｉ／Ｏ回路１７を経由して、第２ドライバ１９を制御するための第２駆動信号を出力する。第２ドライバ１９は、第２駆動信号にしたがって、第２機器を駆動する。

ＣＰＵ１１は、自身がプログラムを実行中であることを示す第１動作確認信号を、Ｉ／Ｏ回路１７経由で監視部１に対して出力する。ＣＰＵ１３は、自身がプログラムを実行中であることを示す第２動作確認信号を、Ｉ／Ｏ回路１７経由で監視部１に対して出力する。

ロックステップ９は、ＣＰＵ１１と同じ演算を実行する。ロックステップ１０は、ＣＰＵ１３と同じ演算を実行する。マイコン６が備えるＭＰＵ監視部１５（演算装置監視部）は、ＣＰＵとロックステップそれぞれの演算結果を比較し、両者が一致しなければマイコン６が異常である旨を示す信号（エラー出力）を、監視部１に対して出力する。

マイコン６はさらに、メモリ１２と１４、周辺回路１６、などを備える。メモリ１２と１４はそれぞれＣＰＵ１１と１３が使用するデータなどを保存する記憶デバイスである。
周辺回路１６は、例えばタイマ、ＡＤ変換器、通信インターフェースなど、マイコン６が一般的に備えるその他回路である。ＭＰＵ監視部１５は、各ＣＰＵに加えて、メモリ１２と１４、周辺回路１６、Ｉ／Ｏ回路１７が正常であるか否かを監視し、いずれかが異常であればエラー出力を監視部１に対して出力する。したがってＭＰＵ監視部１５は、マイコン６内部における不具合を監視する役割を有する。

監視部１は、リセット制御部２、応答監視部３、判定部４、ドライバ制御部５を備える。リセット制御部２は、判定部４からの指示にしたがって、マイコン６に対してリセット信号を出力する。応答監視部３は、ＣＰＵ１１の動作を監視する。応答監視部３は例えばＷＤＴによって構成することができる。判定部４は、後述する手順にしたがって、マイコン６が正常であるか否かを判定する。ドライバ制御部５は、判定部４からの指示にしたがって、第１ドライバ１８を制御する信号（機能１出力許可信号）と第２ドライバ１９を制御する信号（機能２出力許可信号）を出力する。

図２は、判定部４が各ドライバを制御する手順を説明するタイムチャートである。判定部４は、異常を示している動作確認信号に対応するドライバに対して、出力停止を指示する。図２においては、第２動作確認信号が異常を示しているので、判定部４は第２ドライバ１９に対して出力停止を指示する。第２ドライバ１９はそれ以後、第２機器に対して第２駆動信号を出力しない。複数の動作確認信号が異常を示している場合は、それぞれの動作確認信号に対応するドライバに対して、出力停止を指示してもよい。動作確認信号が正常を示している場合は、対応するドライバに対して、出力許可する旨を指示する。

図３は、判定部４がマイコン６をリセットする手順を説明するタイムチャートである。
判定部４は図２で説明したように、各動作確認信号が異常を示すごとに、対応するドライバに対して、出力停止を指示する。全ての動作確認信号（本実施形態１においては第１動作確認信号と第２動作確認信号）が異常を示しており、かつＭＰＵ監視部１５からエラー出力が発生した場合、各ＣＰＵは正常にプログラムを実行しておらず、かつマイコン６内部においても不具合が発生していることになる。この場合はこれ以上マイコン６の動作を継続できないと考えられる。そこで判定部４は、リセット信号を出力するようにリセット制御部２に対して指示する。図３においては、第２動作確認信号が異常を示した後、第１動作確認信号が異常を示し、さらにその後にエラー出力が発生した例を示した。

＜実施の形態１：まとめ＞
本実施形態１に係る車載電子制御装置１００は、車両に搭載する車載電子制御装置（１００）であって、前記車両が備える第１機器を駆動する第１駆動信号を出力する第１ドライバ（１８）、前記車両が備える第２機器を駆動する第２駆動信号を出力する第２ドライバ（１９）、前記第１ドライバ（１８）と前記第２ドライバ（１９）それぞれの動作状態を制御するドライバ制御部（５）、前記車両を制御するための制御処理を実行する演算ユニットを複数有する演算装置（６）、を備え、前記演算装置（６）は、前記演算ユニットとして、前記第１機器を制御するための第１処理を実行するとともにその結果にしたがって前記第１ドライバ（１８）を制御する第１演算部（１１）、前記第２機器を制御するための第２処理を実行するとともにその結果にしたがって前記第２ドライバ（１９）を制御する第２演算部（１３）、を備え、前記演算装置は、前記制御処理を正常に実行しているか否かを示す確認信号を出力し、前記第１演算部（１１）は、前記確認信号として、前記第１処理を正常に実行しているか否かを示す第１動作確認信号を出力し、前記第２演算部（１３）は、前記確認信号として、前記第２処理を正常に実行しているか否かを示す第２動作確認信号を出力し、前記ドライバ制御部（５）は、前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合は、前記第１ドライバ（１８）を通常動作させるとともに、前記第２ドライバ（１９）を通常動作よりも縮退した状態にセットし、前記ドライバ制御部（５）は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示している場合は、前記第１ドライバ（１８）を通常動作よりも縮退した状態にセットするとともに、前記第２ドライバ（１９）を通常動作させる。ドライバを縮退状態にすることにより、ＣＰＵを動作継続させたままで、車両の動作をフェールセーフモードに移行させることができる。またマイコン６（演算装置）をリセットする必要がないので、正常動作している機能に対して影響を与えないようにすることができる。

前記車載電子制御装置（１００）はさらに、前記演算装置（６）の内部における不具合を監視する演算装置監視部（１５）を備え、前記車載電子制御装置（１００）はさらに、前記演算装置（６）をリセットするリセット信号を出力するリセット制御部（２）を備え、前記リセット制御部（２）は、前記演算装置（６）が備える全ての前記演算ユニットが異常であることを前記確認信号が示しており、かつ前記演算装置（６）の内部における不具合が発生したことを前記演算装置監視部（１５）が検出した場合は、前記リセット信号を前記演算装置（６）に対して出力することにより、前記演算装置をリセットする。これにより、マイコン６（演算装置）の異常レベルが高いと想定される場合は、リセットによって正常状態へ復帰させるように試みることができる。

前記演算装置（６）は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示している場合であっても、前記第１演算部（１１）による前記第１処理を継続し、前記演算装置（６）は、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合であっても、前記第２演算部（１３）による前記第２処理を継続する。これにより、マイコン６（演算装置）をリセットすることなく、車両の動作をフェールセーフモードに移行させることができる。

前記演算装置（６）は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示している場合であっても、前記第２演算部（１３）による前記第２処理を継続し、前記演算装置（６）は、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合であっても、前記第１演算部（１１）による前記第１処理を継続する。これにより、マイコン６（演算装置）をリセットすることなく、車両の動作をフェールセーフモードに移行させることができる。

＜実施の形態２＞
実施形態１においては、動作確認信号にしたがって、ドライバを縮退状態にセットすることを説明した。しかし例えばＩ／Ｏ回路１７や配線などの一時的な状態に起因して、本来は動作確認信号が異常を示すべきであるのに、誤って正常を示す場合がある。そこで本発明の実施形態２においては、動作確認信号／ＭＰＵ監視部１５／応答監視部３を併用して、マイコン６が正常であるか否かを判断する手順について説明する。車載電子制御装置１００の構成は実施形態１と同様である。

（手順その１）判定部４は、第１動作確認信号と第２動作確認信号がともに正常を示しているとき、さらに、ＭＰＵ監視部１５による監視結果と応答監視部３による監視結果を取得する。マイコン６内部において不具合が発生していることをＭＰＵ監視部１５が検出し、ＣＰＵ１１が正常動作していることを応答監視部３が検出した場合、ＣＰＵ１３またはこれに関連する何らかの部分において、異常が発生している可能性がある。マイコン６内部が異常であるのにＣＰＵ１１が正常動作しているからである。判定部４はこの場合、第２動作確認信号が正常であっても、第２ドライバ１９の出力を停止するように指示する。
第１ドライバ１８は通常動作を継続する。これにより、第２動作確認信号が何らかの原因によって誤って正常を示している場合であっても、第２ドライバ１９のフェールセーフを確保することができる。

（手順その２）判定部４は、第１動作確認信号と第２動作確認信号がともに正常を示しているとき、さらに、ＭＰＵ監視部１５による監視結果と応答監視部３による監視結果を取得する。マイコン６内部において不具合が発生していることをＭＰＵ監視部１５が検出し、ＣＰＵ１１が正常動作していないことを応答監視部３が検出した場合、ＣＰＵ１１またはこれに関連する何らかの部分において、異常が発生している可能性がある。判定部４はこの場合、第１動作確認信号が正常であっても、第１ドライバ１８の出力を一時的に停止するように指示する。第２ドライバ１９は通常動作を継続する。これにより、第１動作確認信号が何らかの原因によって誤って正常を示している場合であっても、第１ドライバ１８のフェールセーフを確保することができる。

（手順その３）手順その２において、マイコン６内部で不具合が発生していることをＭＰＵ監視部１５が検出し、ＣＰＵ１１が正常動作していないことを応答監視部３が検出した状態が継続する場合、ＣＰＵ１１を速やかに正常状態に復帰させることが望ましい。ＣＰＵ１１は機能安全要求レベルが高い処理を実行しているからである。そこで判定部４はこの場合、リセット制御部２を介してマイコン６をリセットする。これにより、第１動作確認信号が何らかの原因によって誤って正常を示している状態が継続している場合であっても、第１ドライバ１８を速やかに正常状態に復帰させることができる。

＜実施の形態２：まとめ＞
本実施形態２に係る車載電子制御装置（１００）において、前記第１処理に対して要求される機能安全レベルは、前記第２処理に対して要求される機能安全レベルよりも高く、前記車載電子制御装置（１００）はさらに、前記演算装置（６）の内部における不具合を監視する演算装置監視部（１５）を備え、前記車載電子制御装置（１００）はさらに、前記第１演算部（１１）が正常動作しているか否かを監視する応答監視部（３）を備え、前記ドライバ制御部（５）は、前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、かつ、前記前記演算装置（６）の内部における不具合が発生したことを前記演算装置監視部（１５）が検出し、かつ、前記第１演算部（１１）が正常動作していることを前記応答監視部（３）が検出した場合は、前記第１ドライバ（１８）を通常動作させるとともに、前記第２ドライバ（１９）を通常動作よりも縮退した状態にセットする。これにより、第２動作確認信号が何らかの原因によって誤って正常を示している場合であっても、第２ドライバ１９のフェールセーフを確保することができる。

本実施形態２に係る車載電子制御装置（１００）において、前記第１処理に対して要求される機能安全レベルは、前記第２処理に対して要求される機能安全レベルよりも高く、前記車載電子制御装置（１００）はさらに、前記演算装置（６）の内部における不具合を監視する演算装置監視部（１５）を備え、前記車載電子制御装置（１００）はさらに、前記第１演算部（１１）が正常動作しているか否かを監視する応答監視部（３）を備え、前記ドライバ制御部（５）は、前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、かつ、前記演算装置（６）の内部における不具合が発生したことを前記演算装置監視部（１５）が検出し、かつ、前記第１演算部（１１）が正常動作していないことを前記応答監視部（３）が検出した場合は、前記第１ドライバ（１８）を通常動作よりも縮退した状態に一時的にセットするとともに、前記第２ドライバ（１９）を通常動作させる。これにより、第１動作確認信号が何らかの原因によって誤って正常を示している場合であっても、第１ドライバ１８のフェールセーフを確保することができる。

本実施形態２に係る車載電子制御装置（１００）はさらに、前記演算装置（６）をリセットするリセット信号を出力するリセット制御部（２）を備え、前記リセット制御部（２）は、前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、かつ、前記演算装置（６）の内部における不具合が発生したことを前記演算装置監視部（１５）が検出し、かつ、前記第１演算部（１１）が正常動作していないことを前記応答監視部（１５）が検出した状態が所定時間以上連続して成立した場合は、前記リセット信号を前記演算装置（６）に対して出力することにより、前記演算装置（６）をリセットする。
これにより、第１動作確認信号が何らかの原因によって誤って正常を示している状態が継続している場合であっても、第１ドライバ１８を速やかに正常状態に復帰させることができる。

＜実施の形態３＞
実施形態１～２においては、ドライバが駆動信号を出力停止することにより、通常動作よりも縮退した状態にセットすることを説明した。これは例えばドライバがスイッチング素子によって構成されている場合は、スイッチング素子の駆動端子（ゲート端子など）の信号レベルをＯＦＦ状態に固定することによって実施できる。ただしドライバの縮退状態はこれに限るものではなく、その他形態の縮退状態も考えられる。

例えばドライバがマイコン６からの指示に依拠することなく動作継続するようにセットすることにより、動作の柔軟性は損なわれるものの、動作継続性を確保することができると考えられる。例えば規定動作を実装した回路をドライバに接続するとともに、ドライバとマイコン６との間の接続を切り離すことにより、マイコン６に依拠することなくその規定動作を継続するようにドライバを構成することができる。これはドライバの動作継続性を確保する点において、ドライバをフェールセーフモードに移行させることと等価であるから、縮退状態の１形態であるといえる。第１ドライバ１８と第２ドライバ１９いずれにおいても同様である。

＜実施の形態３：まとめ＞
車載電子制御装置（１００）において、前記ドライバ制御部（５）は、前記第１駆動信号を出力しないように前記第１ドライバ（１８）を制御することにより、前記第１ドライバ（１８）を通常動作よりも縮退した状態にセットし、前記ドライバ制御部（５）は、前記第２駆動信号を出力しないように前記第２ドライバ（１９）を制御することにより、前記第２ドライバ（１９）を通常動作よりも縮退した状態にセットする。

これに代えて前記ドライバ制御部（５）は、前記第１駆動信号に依拠することなく動作を継続する状態に前記第１ドライバ（１８）をセットすることにより、前記第１ドライバ（１８）を通常動作よりも縮退した状態にセットし、前記ドライバ制御部（５）は、前記第２駆動信号に依拠することなく動作を継続する状態に前記第２ドライバ（１９）をセットすることにより、前記第２ドライバ（１９）を通常動作よりも縮退した状態にセットしてもよい。

＜本発明の変形例について＞
本発明は上記実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

図４は、本発明に係る車載電子制御装置１００が制御する機器の例を示す図である。車載電子制御装置１００は、実施形態１～３いずれかで説明したものである。車載電子制御装置１００は、第１機能７として、例えば以下のような危機を制御することができる。（ａ）車両が搭載するエンジンが備えるアクチュエータ、例えば燃料噴射ノズルやスロットルなど、（ｂ）車両が搭載するバッテリに対して充電電流を供給する充電回路、（ｃ）車両の熱を制御する熱処理システム、例えば水冷システムなどのように流体を用いて熱制御するシステムにおいて、流体を車内で循環させるシステム。これらのシステムは動作継続することが求められるので、第１ドライバ１８によって制御することが望ましい。図４においては１つの第１ドライバ１８が３つの機器を制御するように記載しているが、これは説明のための例示であり、第１ドライバ１８と等価なドライバを機器ごとに設けてもよい。

すなわち車載電子制御装置（１００）において、前記第１ドライバ（１８）と前記第２ドライバ（１９）のうち少なくともいずれかは、前記車両が備えるエンジンが有しているアクチュエータ、前記車両が備えるバッテリを充電するための充電電流を供給する回路、前記車両の熱を制御するための熱処理システム、のうち少なくともいずれかを駆動するための駆動信号を出力することができる。

以上の実施形態において、第１動作確認信号または第２動作確認信号が異常を示した後、マイコン６をリセットする前までの間において、各動作確認信号が正常状態に復帰した場合、判定部４は各ドライバを正常状態に復帰させてもよい。動作確認信号が正常状態に復帰する前にマイコン６をリセットする場合は、異常の実施形態と同様の処理を改めて実施すればよい。

すなわち車載電子制御装置（１００）において、前記ドライバ制御部（５）は、前記第１処理または前記第２処理のうちいずれかが正常ではないことを前記確認信号が示した後、前記演算装置（６）がリセットされる前において、前記第１処理と前記第２処理いずれも正常であることを前記確認信号が示すに至った場合は、前記第１ドライバ（１８）と前記第２ドライバ（１９）をともに通常動作させてもよい。

以上の実施形態においては、マイコン６がマルチプロセッサマイコンであることを説明したが、マルチコアマイコンである場合であっても、本発明を適用することができる。この場合はコアごとに異なる機能を実行することになる。

以上の実施形態においては、マイコン６が２つのＣＰＵを備えることを説明したが、３つ以上のＣＰＵ（またはプロセッサコア）を備えている場合においても、本発明を適用することができる。この場合は各プロセッサがそれぞれ異なる機能を実行する。全てのプロセッサが異常であることを動作確認信号が示しておりかつＭＰＵ監視部１５が内部異常を示している場合の動作については、実施形態１で説明したものと同様である。

１：監視部
２：リセット制御部
３：応答監視部
４：判定部
５：ドライバ制御部
６：マイコン
１１：ＣＰＵ
１３：ＣＰＵ
１５：ＭＰＵ監視部
１８：第１ドライバ
１９：第２ドライバ
１００：車載電子制御装置

Claims (11)

1. 車両に搭載する車載電子制御装置であって、
   前記車両が備える第１機器を駆動する第１駆動信号を出力する第１ドライバ、
   前記車両が備える第２機器を駆動する第２駆動信号を出力する第２ドライバ、
   前記第１ドライバと前記第２ドライバそれぞれの動作状態を制御するドライバ制御部、
   前記車両を制御するための制御処理を実行する演算ユニットを複数有する演算装置、
   を備え、
   前記演算装置は、前記演算ユニットとして、
   前記第１機器を制御するための第１処理を実行するとともにその結果にしたがって前記第１ドライバを制御する第１演算部、
   前記第２機器を制御するための第２処理を実行するとともにその結果にしたがって前記第２ドライバを制御する第２演算部、
   を備え、
   前記演算装置は、前記制御処理を正常に実行しているか否かを示す確認信号を出力し、
   前記第１演算部は、前記確認信号として、前記第１処理を正常に実行しているか否かを示す第１動作確認信号を出力し、
   前記第２演算部は、前記確認信号として、前記第２処理を正常に実行しているか否かを示す第２動作確認信号を出力し、
   前記ドライバ制御部は、前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合は、前記第１ドライバを通常動作させるとともに、前記第２ドライバを通常動作よりも縮退した状態にセットし、
   前記ドライバ制御部は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示している場合は、前記第１ドライバを通常動作よりも縮退した状態にセットするとともに、前記第２ドライバを通常動作させる
   ことを特徴とする車載電子制御装置。
2. 前記車載電子制御装置はさらに、前記演算装置の内部における不具合を監視する演算装置監視部を備え、
   前記車載電子制御装置はさらに、前記演算装置をリセットするリセット信号を出力するリセット制御部を備え、
   前記リセット制御部は、前記演算装置が備える全ての前記演算ユニットが異常であることを前記確認信号が示しており、かつ前記演算装置の内部における不具合が発生したことを前記演算装置監視部が検出した場合は、前記リセット信号を前記演算装置に対して出力することにより、前記演算装置をリセットする
   ことを特徴とする請求項１記載の車載電子制御装置。
3. 前記演算装置は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示している場合であっても、前記第１演算部による前記第１処理を継続し、
   前記演算装置は、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合であっても、前記第２演算部による前記第２処理を継続する
   ことを特徴とする請求項１記載の車載電子制御装置。
4. 前記演算装置は、前記第１処理を正常に実行していないことを前記第１動作確認信号が示している場合であっても、前記第２演算部による前記第２処理を継続し、
   前記演算装置は、前記第２処理を正常に実行していないことを前記第２動作確認信号が示している場合であっても、前記第１演算部による前記第１処理を継続する
   ことを特徴とする請求項１記載の車載電子制御装置。
5. 前記第１処理に対して要求される機能安全レベルは、前記第２処理に対して要求される機能安全レベルよりも高く、
   前記車載電子制御装置はさらに、前記演算装置の内部における不具合を監視する演算装置監視部を備え、
   前記車載電子制御装置はさらに、前記第１演算部が正常動作しているか否かを監視する応答監視部を備え、
   前記ドライバ制御部は、
   前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、
   かつ、
   前記演算装置の内部における不具合が発生したことを前記演算装置監視部が検出し、
   かつ、
   前記第１演算部が正常動作していることを前記応答監視部が検出した
   場合は、前記第１ドライバを通常動作させるとともに、前記第２ドライバを通常動作よりも縮退した状態にセットする
   ことを特徴とする請求項１記載の車載電子制御装置。
6. 前記第１処理に対して要求される機能安全レベルは、前記第２処理に対して要求される機能安全レベルよりも高く、
   前記車載電子制御装置はさらに、前記演算装置の内部における不具合を監視する演算装置監視部を備え、
   前記車載電子制御装置はさらに、前記第１演算部が正常動作しているか否かを監視する応答監視部を備え、
   前記ドライバ制御部は、
   前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、
   かつ、
   前記演算装置の内部における不具合が発生したことを前記演算装置監視部が検出し、
   かつ、
   前記第１演算部が正常動作していないことを前記応答監視部が検出した
   場合は、前記第１ドライバを通常動作よりも縮退した状態に一時的にセットするとともに、前記第２ドライバを通常動作させる
   ことを特徴とする請求項１記載の車載電子制御装置。
7. 前記車載電子制御装置はさらに、前記演算装置をリセットするリセット信号を出力するリセット制御部を備え、
   前記リセット制御部は、
   前記第１処理を正常に実行していることを前記第１動作確認信号が示しているとともに、前記第２処理を正常に実行していることを前記第２動作確認信号が示しており、
   かつ、
   前記演算装置の内部における不具合が発生したことを前記演算装置監視部が検出し、
   かつ、
   前記第１演算部が正常動作していないことを前記応答監視部が検出した
   状態が所定時間以上連続して成立した場合は、前記リセット信号を前記演算装置に対して出力することにより、前記演算装置をリセットする
   ことを特徴とする請求項６記載の車載電子制御装置。
8. 前記ドライバ制御部は、前記第１駆動信号を出力しないように前記第１ドライバを制御することにより、前記第１ドライバを通常動作よりも縮退した状態にセットし、
   前記ドライバ制御部は、前記第２駆動信号を出力しないように前記第２ドライバを制御することにより、前記第２ドライバを通常動作よりも縮退した状態にセットする
   ことを特徴とする請求項１記載の車載電子制御装置。
9. 前記ドライバ制御部は、前記第１駆動信号に依拠することなく動作を継続する状態に前記第１ドライバをセットすることにより、前記第１ドライバを通常動作よりも縮退した状態にセットし、
   前記ドライバ制御部は、前記第２駆動信号に依拠することなく動作を継続する状態に前記第２ドライバをセットすることにより、前記第２ドライバを通常動作よりも縮退した状態にセットする
   ことを特徴とする請求項１記載の車載電子制御装置。
10. 前記ドライバ制御部は、前記第１処理または前記第２処理のうちいずれかが正常ではないことを前記確認信号が示した後、前記演算装置がリセットされる前において、前記第１処理と前記第２処理いずれも正常であることを前記確認信号が示すに至った場合は、前記第１ドライバと前記第２ドライバをともに通常動作させる
    ことを特徴とする請求項２記載の車載電子制御装置。
11. 前記第１ドライバと前記第２ドライバのうち少なくともいずれかは、
    前記車両が備えるエンジンが有しているアクチュエータ、
    前記車両が備えるバッテリを充電するための充電電流を供給する回路、
    前記車両の熱を制御するための熱処理システム、
    のうち少なくともいずれかを駆動するための駆動信号を出力する
    ことを特徴とする請求項１記載の車載電子制御装置。

Images