WO2013001716A1 - 車載電子制御装置 - Google Patents

車載電子制御装置 Download PDF

Info

Publication number
WO2013001716A1
WO2013001716A1 PCT/JP2012/003546 JP2012003546W WO2013001716A1 WO 2013001716 A1 WO2013001716 A1 WO 2013001716A1 JP 2012003546 W JP2012003546 W JP 2012003546W WO 2013001716 A1 WO2013001716 A1 WO 2013001716A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring
abnormality
software
microcomputer
hardware
Prior art date
Application number
PCT/JP2012/003546
Other languages
English (en)
French (fr)
Inventor
友保 青木
遠藤　修司
謙一 岡本
Original Assignee
日本精工株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本精工株式会社 filed Critical 日本精工株式会社
Priority to EP12729331.4A priority Critical patent/EP2557502A4/en
Priority to CN201280000436.XA priority patent/CN102959520B/zh
Priority to US13/520,870 priority patent/US9087077B2/en
Publication of WO2013001716A1 publication Critical patent/WO2013001716A1/ja
Priority to US14/737,138 priority patent/US9348684B2/en
Priority to US14/737,107 priority patent/US9348683B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0721—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3024—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is a central processing unit [CPU]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3055—Monitoring arrangements for monitoring the status of the computing system or of the computing system component, e.g. monitoring if the computing system is on, off, available, not available
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring

Definitions

  • the present invention relates to an in-vehicle electronic control device having a function of monitoring a failure or abnormality of a microcomputer.
  • Patent Documents 1 and 2 As a vehicle-mounted electronic control apparatus having a conventional CPU monitoring function, for example, there are technologies described in Patent Documents 1 and 2.
  • This technique employs a lockstep method as the monitoring function, and includes a collation circuit that collates processing results in the two information processing units A and B having the same configuration. And when the collation result by a collation circuit is inconsistent, it determines with A system or B system having failed.
  • the above monitoring function there is one that has two CPUs, a control CPU and a monitoring CPU, and adopts a method in which the control CPU is monitored by the monitoring CPU (for example, see Patent Document 3).
  • the monitoring function employing the lock step method as described above if the control unit and the monitoring unit use the same core, there is a problem that causes a calculation error in the arithmetic unit of the core, It cannot be detected as an abnormality.
  • the monitoring function that employs the method using two CPUs as described above cannot make a detailed diagnosis of the calculation of the control CPU.
  • an object of the present invention is to provide an in-vehicle electronic control device that can appropriately diagnose details of abnormality of a microcomputer.
  • a first aspect of an in-vehicle electronic control device includes a hardware unit and a software unit, and is based on a detection signal from a sensor mounted on a vehicle.
  • a microcomputer that generates an actuator drive signal; a hardware element monitoring unit that is provided inside the microcomputer and that monitors an abnormality of each element of the hardware unit; and that is provided inside the microcomputer and includes the software
  • a software element monitoring unit that monitors an abnormality of each element of the unit, and an external monitoring unit that is provided outside the microcomputer and monitors the abnormality of the microcomputer.
  • the microcomputer is comprehensively monitored by hardware monitoring, software monitoring, and external monitoring, it is possible to diagnose the details of the abnormality of the microcomputer. Therefore, when an abnormality occurs in the microcomputer, it is possible to take appropriate measures according to the details of the abnormality.
  • the hardware element monitoring unit includes a monitoring hardware element having a structure different from that of the monitoring target hardware element and having the same input / output characteristics as the monitoring target hardware element.
  • An abnormality of the hardware element to be monitored is monitored by comparing output signals when the same signal is input to the hardware element to be monitored and the hardware element for monitoring.
  • the input / output of the hardware element to be monitored is monitored, a failure of the hardware element to be monitored can be appropriately detected. Furthermore, since the hardware element for monitoring is mounted with a structure different from that of the hardware element to be monitored, for example, the delay time until the process is completed can be made different for both. As a result, it is possible to appropriately detect a failure factor that is commonly affected by both as a failure.
  • the third aspect is characterized in that, when the hardware element monitoring unit detects the abnormality, it performs a stop treatment for stopping the actuator. Thus, appropriate measures can be taken according to the details of the abnormality of the microcomputer.
  • the hardware element monitoring unit when the hardware element monitoring unit detects the abnormality, the hardware element monitoring unit notifies the external monitoring unit of the abnormality, and the external monitoring unit receives the notification from the hardware element monitoring unit. Then, a stop treatment for stopping the actuator is performed.
  • the means for directly stopping the actuator and the means for stopping the actuator via the external monitoring unit are used in combination. Redundancy can be achieved. Thereby, when an abnormality occurs, the actuator can be stopped more reliably.
  • the software element monitoring unit includes a monitoring software element having a structure different from that of the monitoring target software element and performing an arithmetic process equivalent to the monitoring target software element. The same signal is input to the software element and the monitoring software element, and the abnormality of the monitored software element is monitored depending on whether or not the difference between the calculation results of both is within an allowable range. .
  • an abnormality of the monitored software element can be appropriately detected. Furthermore, since the monitoring software element is implemented with a structure different from that of the monitoring target software element, for example, the instructions used for the calculation can be made different from each other. As a result, it is possible to appropriately detect an abnormality factor that is commonly affected by both as an abnormality. In addition, since a predetermined allowable range is set when comparing the calculation results, abnormality diagnosis can be performed in consideration of calculation errors caused by realizing different implementations.
  • the calculation result of the monitoring target software element and the calculation result of the monitoring software element have the same sign, and the calculation result of the monitoring target software element is the allowable range.
  • the absolute value is set in a range smaller than the absolute value of the calculation result of the monitoring software element.
  • the seventh aspect is characterized in that, when the software element monitoring unit detects the abnormality, the software element monitoring unit includes a limiting unit that limits a calculation result of the monitoring target software element within the allowable range.
  • the eighth aspect is characterized in that the external monitoring unit monitors the microcomputer for abnormality by monitoring the clock of the microcomputer.
  • the external monitoring unit monitors the microcomputer for abnormality by monitoring the clock of the microcomputer.
  • the ninth aspect is characterized in that the external monitoring unit monitors an abnormality of the microcomputer by monitoring that the hardware element monitoring unit and the software element monitoring unit are operating. Yes.
  • the hardware element monitoring unit itself is not operating, or when the software element monitoring unit itself is not operating, this can be detected as an abnormality. Therefore, a highly reliable abnormality diagnosis can be performed.
  • the tenth aspect is characterized in that when the external monitoring unit detects the abnormality, it performs a stop treatment for stopping the actuator.
  • appropriate measures can be taken according to the details of the abnormality of the microcomputer.
  • the in-vehicle electronic control device it is possible to comprehensively monitor the internal monitoring of the hardware and software of the microcomputer and the external monitoring of the microcomputer, so that the details of the abnormality of the microcomputer can be appropriately diagnosed. Can do. As a result, an appropriate treatment according to the details of the abnormality is possible.
  • FIG. 1 is a diagram illustrating functions of the in-vehicle electronic control device according to the present embodiment.
  • reference numeral 1 denotes an on-vehicle electronic control device that controls a vehicle.
  • the on-vehicle electronic control device includes a microcomputer (MCU) 2.
  • the MCU 2 is configured to include a hardware unit 21 and a software unit 24.
  • the hardware unit 21 includes a plurality of MCU internal elements and a monitoring function 23 that monitors a failure of the main function 22 among these MCU internal elements.
  • the MCU internal elements are a central processing circuit (CPU), a bus, a ROM, a RAM, peripheral circuits (timer, serial communication, CAN communication, external output port) and the like.
  • the software unit 24 includes a software element and a monitoring function 26 that monitors an abnormality in arithmetic processing executed by the main function 25 of the software elements.
  • Detection signals detected by various sensors 11 mounted on the vehicle are input to the MCU 2 via the input I / F circuit 3. Then, the MCU 2 calculates a command signal for driving and controlling an actuator (brake actuator, active suspension, etc.) 12 mounted on the vehicle based on the input detection signal, and outputs this to the actuator drive circuit 4. .
  • an actuator brake actuator, active suspension, etc.
  • the actuator drive circuit 4 includes a bridge circuit (FET), an FET drive circuit, a relay, a relay drive circuit, and the like, and drives and controls the actuator 12 based on a command signal calculated by the MCU 2.
  • the on-vehicle electronic control device 1 includes a failure processing circuit 5 that monitors a failure of the MCU 2 outside the MCU 2.
  • the monitoring function 23 corresponds to the hardware element monitoring unit
  • the monitoring function 26 corresponds to the software element monitoring unit
  • the failure processing circuit 5 corresponds to the external monitoring unit.
  • FIG. 2 is a block diagram for explaining the monitoring function 23 of the hardware unit 21.
  • a failure processing element 32 is arranged as a monitoring function 23 in each of a plurality of MCU internal elements (main functions) 31.
  • the MCU internal element 31 and the failure processing element 32 are mounted with different structures.
  • the failure processing element 32 monitors the input / output of the MCU internal element 31 to be monitored and diagnoses whether or not the MCU internal element 31 has failed.
  • the failure processing element 32 includes an arithmetic processing circuit 32a and a comparison circuit 32b.
  • the arithmetic processing circuit 32a is mounted differently from the arithmetic processing circuit 31a constituting the MCU internal element 31 to be monitored, and has the same input / output characteristics as the arithmetic processing circuit 31a.
  • the arithmetic processing circuit 32a outputs the same signal as the arithmetic processing circuit 31a when the same signal as the arithmetic processing circuit 31a is input when its function is normal. Mount with different number of transistors.
  • the arithmetic processing for failure processing can be simplified as compared with the arithmetic processing of the main function because it is only necessary to obtain an arithmetic value for diagnosis. Therefore, here, the number of transistors is different, and the arithmetic processing circuit 32a is simplified with respect to the arithmetic processing circuit 31a.
  • the input signal of the arithmetic processing circuit 31a is input to the arithmetic processing circuit 32a, and the output signal is input to the comparison circuit 32b.
  • the comparison circuit 32b compares the output signal of the arithmetic processing circuit 31a with the output of the arithmetic processing circuit 32a.
  • the failure processing element 32 includes the MCU internal element (external output function) 33 and the post-failure treatment element shown in FIG. A diagnosis result indicating that a failure has been detected is notified to 34.
  • the MCU internal element 33 receives the diagnosis result of the failure processing element 32 and outputs a failure post-treatment execution command to the actuator drive circuit 4.
  • the execution instruction for the post-failure treatment for example, there is a stop signal to the FET drive circuit of the bridge circuit constituting the actuator drive circuit 4. In this case, by outputting the stop signal, all the FETs are turned OFF, and the actuator 12 can be stopped.
  • another example of the execution instruction for the post-failure treatment is a stop signal to the relay drive circuit of the actuator drive circuit 4, for example. In this case, when the stop signal is output, the relay is turned OFF, and the power supply to the actuator 12 can be stopped.
  • the stop treatment of the actuator 12 is applied as post-failure treatment.
  • the failure post-treatment element 34 receives the diagnosis result of the failure processing element 32 and notifies the failure processing circuit 5 of the failure of the MCU internal element 31.
  • the failure processing circuit 5 receives the failure notification from the failure post-treatment element 34, the failure processing circuit 5 outputs a failure post-treatment execution command to the actuator drive circuit 4.
  • the actuator drive circuit 4 can be reliably instructed to execute the post-failure treatment. Can be output.
  • FIG. 4 is a block diagram illustrating an example of diagnosis of software elements.
  • the software element (main function) 41 is provided with abnormality processing software 42 as the monitoring function 26.
  • the software element 41 and the abnormality processing software 42 are implemented with different structures.
  • the abnormality processing software 42 monitors the calculation result of the monitored software element 41 and diagnoses whether or not an abnormality has occurred in the software element.
  • the abnormality processing software 42 includes a calculation process 42a, a comparison process 42b, and a restriction process 42c.
  • the calculation process 42a is implemented differently from the calculation process 41a of the software element 41 to be monitored and performs the same calculation as the calculation process 41a.
  • the arithmetic processing 42a performs an arithmetic operation that is mathematically the same as the arithmetic processing 41a with a different number of instructions from the arithmetic processing 41a.
  • the arithmetic processing for failure processing can be simplified as compared with the arithmetic processing of the main function because it is only necessary to obtain an arithmetic value for diagnosis. Therefore, here, it is assumed that the number of instructions is different and the calculation process 42a is simplified with respect to the calculation process 41a.
  • an input signal of the calculation process 41a is input to the calculation process 42a, and the calculation result is input to the comparison process 42b.
  • the comparison process 42b compares the calculation result of the calculation process 41a with the calculation result of the calculation process 42a. At this time, if the error between the two is not within the predetermined allowable range, it is determined that an abnormality has occurred in the software element 41.
  • an area in which the value on the main function side (the calculation result of the calculation process 41a) is within a predetermined range with respect to the value on the monitoring side (the calculation result of the calculation process 42a) is set as the allowable area.
  • An area indicated by diagonal lines other than is an abnormality diagnosis area.
  • the straight line shown with the broken line of FIG. 5 is an area
  • the abnormality diagnosis area can be set as shown in FIG. 6, for example.
  • the value on the main function side and the value on the monitoring side have the same sign, and the absolute value of the value on the main function side is smaller than the absolute value of the value on the monitoring side. It is. That is, when the point determined by the value on the main function side and the value on the monitoring side is within the abnormality diagnosis region indicated by the oblique lines in FIG. 6, it is determined that the error is not within the allowable range. As a result, it is possible to determine that an actual operation value is small and to allow it to be determined that there is a low possibility of causing a failure, so that it is possible to suppress an abnormal determination.
  • the comparison process 42b detects that an abnormality has occurred in the software element 41
  • the comparison process 42b outputs the diagnosis result to the restriction process (restriction unit) 42c in FIG.
  • the restriction process 42c receives the calculation result of the calculation process 41a.
  • the limit process 42c limits and outputs the calculation result of the calculation process 41a to an allowable limit value.
  • the limit value be determined by experimentally verifying a range allowable in the vehicle.
  • the restriction process 42c outputs the calculation result of the calculation process 41a as it is.
  • FIG. 7 is a block diagram showing functions of the failure processing circuit 5.
  • the failure processing circuit 5 monitors the failure of the MCU 2 from the outside of the MCU 2. As a method of monitoring the MCU 2, a method of monitoring the clock 27 of the MCU 2 and a method of monitoring that the monitoring functions 23 and 26 of the MCU 2 are operating are adopted.
  • the failure processing circuit 5 includes a clock 51 independent of the MCU 2 and a clock monitoring process 52 in order to monitor the clock 27 of the MCU 2.
  • the clock monitoring process 52 detects a failure of the clock 27 by comparing the clock pulse of the clock 27 with the clock pulse of the clock 51.
  • the clock 27 is a reference for a series of operations of the MCU 2, and includes, for example, an RC oscillation circuit, a ceramic resonator, a crystal resonator, an oscillator with a built-in crystal resonator, an oscillator with a built-in crystal resonator / frequency divider, and the like.
  • FIG. 7 shows a case where the clock monitoring process 52 is implemented by software inside the failure processing circuit 5, it can also be implemented by hardware or software inside the MCU 2.
  • the failure processing circuit 5 includes a pulse monitoring process 53 that monitors the output pulse of the watchdog timer of the failure processing element 32 in order to monitor the operation of the monitoring function 23 of the MCU 2.
  • the pulse monitoring process 53 detects an abnormality in the monitoring function 23 when the output pulse has stopped for a predetermined time.
  • FIG. 7 shows only the abnormality detection of the monitoring function 23, it is assumed that the monitoring function 26 (abnormality processing software 42) also detects an abnormality by the same method. That is, by outputting a pulse from the watchdog timer when the monitoring function 26 (abnormality processing software 42) is correctly executed, a state in which the monitoring function 26 is not executed (a state in which the monitoring function 26 is not monitored) The circuit 5 can make a diagnosis.
  • the failure processing circuit 5 When the failure processing circuit 5 detects a failure of the MCU 2 in at least one of the clock monitoring processing 52 and the pulse monitoring processing 53, the failure processing circuit 5 outputs an execution instruction for post-failure treatment to the actuator drive circuit 4 to stop the actuator 12. To do.
  • the MCU is comprehensively monitored by the hardware monitoring, the software monitoring, and the external monitoring, so that the abnormality of the MCU can be monitored in detail.
  • a failure processing element is arranged for each MCU internal element and an input / output signal of the MCU internal element is monitored, so that a failure of the MCU internal element can be diagnosed in detail.
  • the failure processing element is mounted with a structure different from the MCU internal element to be monitored, for example, the delay time until the process is completed can be made different between the two. As a result, it is possible to appropriately detect a failure factor that is commonly affected by both as a failure. Further, since the failure processing element is mounted with a simplified structure as compared to the MCU internal element to be monitored, for example, by reducing the number of transistors, the failure processing element can be provided relatively easily and inexpensively.
  • the abnormality processing software is arranged in the software element and the calculation result of the software element is monitored, so that the abnormality of the software element can be appropriately diagnosed. Furthermore, since the abnormality processing software is implemented with a structure different from the software element to be monitored, for example, the instructions used for the calculation can be made different from each other. As a result, it is possible to appropriately detect an abnormality factor that is commonly affected by both as an abnormality.
  • abnormality diagnosis can be performed in consideration of calculation errors caused by the simplified structure of the abnormality processing software.
  • the calculation result of the monitoring target software element and the calculation result of the abnormality processing software have the same sign, and the absolute value of the calculation result of the monitoring target software element is smaller than the absolute value of the calculation result of the abnormality processing software Is within the allowable range.
  • the calculation result of the monitored software element is a value that is difficult to lead to an operation in which the actual control operation of the actuator is small and causes a failure
  • the calculation result of the monitored software element and the error processing software Even if a relatively large error occurs in the calculation result, it can be tolerated. For this reason, it is possible to suppress abnormal diagnosis.
  • an MCU for electronic control mounted on a vehicle stops control when an abnormality occurs regardless of the details of the abnormality.
  • the MCU abnormality can be diagnosed in detail, so that appropriate measures can be taken such as stopping the control or continuing the control according to the details of the abnormality.
  • the on-vehicle electronic control device since it is possible to perform comprehensive monitoring of internal monitoring of the hardware and software units of the microcomputer and external monitoring of the microcomputer, the details of the abnormality of the microcomputer can be appropriately determined. It is useful because it can diagnose and take appropriate measures according to the details of the abnormality.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Computer Hardware Design (AREA)
  • Debugging And Monitoring (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

　マイクロコンピュータの異常の詳細を適切に診断することができる車載電子制御装置を提供する。マイクロコンピュータ（ＭＣＵ（２））の内部に、ハードウェア部（２１）の主機能（２２）の入出力を監視することで故障を検出する監視機能（２３）と、ソフトウェア部（２４）の主機能（２５）の演算結果を監視することで異常を検出する監視機能（２６）とを設ける。監視対象の主機能と故障や異常の監視機能とは、異なる構造で実装する。さらに、マイクロコンピュータ（ＭＣＵ（２））の外部に、マイクロコンピュータ（ＭＣＵ（２））の異常を監視する故障処理回路（５）を設ける。

Description

車載電子制御装置
　本発明は、マイクロコンピュータの故障や異常を監視する機能を有する車載電子制御装置に関するものである。
　従来のＣＰＵ監視機能を有する車載電子制御装置としては、例えば特許文献１及び２に記載の技術がある。この技術は、上記監視機能としてロックステップ方式を採用したものであり、同一構成を有するＡ系とＢ系の２つの情報処理部における処理結果を照合する照合回路を備える。そして、照合回路による照合結果が不一致である場合に、Ａ系又はＢ系が故障していると判定する。
　また、上記監視機能として、制御ＣＰＵと監視ＣＰＵの２つのＣＰＵを備え、制御ＣＰＵを監視ＣＰＵで監視する方式を採用したものもある（例えば、特許文献３参照）。
特開２０１０－２６２４３２号公報 特開２０１０－１６０６４９号公報 特開２００６－３４４０８６号公報
　しかしながら、上記のようなロックステップ方式を採用した監視機能では、制御部と監視部とが同一コアを使用していると、コアの演算器に演算ミスが生じるような不具合があった場合に、異常として検出することができない。また、上記のような２つのＣＰＵを用いる方式を採用した監視機能では、制御ＣＰＵの演算をきめ細かく診断することができない。
　このように、異常の詳細を診断することができないため、異常発生時には、異常の詳細によらず一律に制御を停止していた。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常の詳細によっては異常発生時にも制御を続行することが望まれる。
　そこで、本発明は、マイクロコンピュータの異常の詳細を適切に診断することができる車載電子制御装置を提供することを課題としている。
　上記課題を解決するために、本発明に係る車載電子制御装置の第１の態様は、ハードウェア部とソフトウェア部とを含んで構成され、車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータと、前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視部と、前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視部と、前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視部と、を備えることを特徴としている。
　このように、マイクロコンピュータをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視するので、マイクロコンピュータの異常の詳細を診断することができる。そのため、マイクロコンピュータの異常発生時には、異常の詳細に応じた適切な処置が可能となる。
　また、第２の態様は、前記ハードウェア要素監視部が、監視対象のハードウェア要素とは異なる構造で、且つ当該監視対象のハードウェア要素と入出力特性が等しい監視用ハードウェア要素を備え、前記監視対象のハードウェア要素と前記監視用ハードウェア要素とに同一信号を入力したときの出力信号を比較することで、前記監視対象のハードウェア要素の異常を監視することを特徴としている。
　このように、監視対象のハードウェア要素の入出力を監視するので、当該監視対象のハードウェア要素の故障を適切に検出することができる。さらに、監視用ハードウェア要素を監視対象のハードウェア要素とは異なる構造で実装するので、例えば、両者で処理完了までの遅延時間を異ならせることができる。その結果、両者が共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。
　また、第３の態様は、前記ハードウェア要素監視部が、上記異常を検出すると、前記アクチュエータを停止するための停止処置を行うことを特徴としている。
　このように、マイクロコンピュータの異常の詳細に応じて適切な処置を行うことができる。
　さらに、第４の態様は、前記ハードウェア要素監視部が、上記異常を検出すると、前記外部監視部にこれを通知し、前記外部監視部は、前記ハードウェア要素監視部からの前記通知を受けて、前記アクチュエータを停止するための停止処置を行うことを特徴としている。
　このように、異常を検出した際に、直接アクチュエータの停止処置を実施する手段と、外部監視部を介してアクチュエータの停止処置を実施する手段とを併用することで、当該停止処置の実施手段を冗長化することができる。これにより、異常発生時には、より確実にアクチュエータを停止することができる。
　また、第５の態様は、前記ソフトウェア要素監視部が、監視対象のソフトウェア要素とは異なる構造で、且つ当該監視対象のソフトウェア要素と同等の演算処理を行う監視用ソフトウェア要素を備え、前記監視対象のソフトウェア要素と前記監視用ソフトウェア要素とに同一信号を入力し、両者の演算結果の差が許容範囲内であるか否かにより、前記監視対象のソフトウェア要素の異常を監視することを特徴としている。
　このように、監視対象のソフトウェア要素の演算結果を監視するので、当該監視対象のソフトウェア要素の異常を適切に検出することができる。さらに、監視用ソフトウェア要素を監視対象のソフトウェア要素とは異なる構造で実装するので、例えば、両者で演算に使用されるインストラクションを異ならせることができる。その結果、両者に共通して影響を受ける異常要因に対しても、適切に異常として検出することができる。また、演算結果の比較に際し、所定の許容範囲を設定するので、異なる実装を実現したことにより生じる演算誤差を考慮した異常診断を行うことができる。
　さらにまた、第６の態様は、前記許容範囲を、前記監視対象のソフトウェア要素の演算結果と前記監視用ソフトウェア要素の演算結果とが同符号であり、且つ前記監視対象のソフトウェア要素の演算結果の絶対値が前記監視用ソフトウェア要素の演算結果の絶対値よりも小さい範囲に設定することを特徴としている。
　このように、監視対象のソフトウェア要素の演算結果の絶対値が小さいほど、アクチュエータの実際の制御動作は小さく、不具合を発生する動作に繋がりにくいことを考慮して、異常を非検出とする許容範囲を設定することができる。そのため、むやみに異常診断するのを抑制することができる。
　また、第７の態様は、前記ソフトウェア要素監視部が、上記異常を検出すると、前記監視対象のソフトウェア要素の演算結果を前記許容範囲内に制限する制限部を備えることを特徴としている。
　これにより、マイクロコンピュータに異常が発生している場合であっても、その異常がソフトウェア要素の異常である場合には、アクチュエータの駆動制御を続行させることができる。このように、マイクロコンピュータの異常の詳細に応じて適切な処置を行うことができる。
　さらに、第８の態様は、前記外部監視部が、前記マイクロコンピュータのクロックを監視することで、前記マイクロコンピュータの異常を監視することを特徴としている。
　これにより、マイクロコンピュータ内部の各機能が共通して影響を受けるクロック異常が発生し、マイクロコンピュータ内部で故障や異常の診断が行えない場合には、これを異常として検出することができる。そのため、信頼性の高い異常診断を行うことができる。
　また、第９の態様は、前記外部監視部が、前記ハードウェア要素監視部及び前記ソフトウェア要素監視部が動作していることを監視することで、前記マイクロコンピュータの異常を監視することを特徴としている。
　このように、ハードウェア要素監視部そのものが動作していない場合や、ソフトウェア要素監視部そのものが動作していない場合には、これを異常として検出することができる。そのため、信頼性の高い異常診断を行うことができる。
　さらにまた、第１０の態様は、前記外部監視部が、上記異常を検出すると、前記アクチュエータを停止するための停止処置を行うことを特徴としている。
　このように、マイクロコンピュータの異常の詳細に応じて適切な処置を行うことができる。
　本発明の車載電子制御装置では、マイクロコンピュータのハードウェア部及びソフトウェア部の内部監視と、マイクロコンピュータの外部監視との総合監視が可能であるため、マイクロコンピュータの異常の詳細を適切に診断することができる。その結果、異常の詳細に応じた適切な処置が可能となる。
本実施形態における車載電子制御装置の機能を示す図である。 ハードウェア部の監視機能を示すブロック図である。 ＭＣＵ内部要素の診断例を示すブロック図である。 ソフトウェア要素の診断例を示すブロック図である。 異常診断領域の例を示す図である。 異常診断領域の例を示す図である。 故障処理回路の構成を示すブロック図である。
　以下、本発明の実施の形態を図面に基づいて説明する。
　図１は、本実施形態における車載電子制御装置の機能を示す図である。
　図中、符号１は車両を制御する車載電子制御装置であり、この車載電子制御装置は、マイクロコンピュータ（ＭＣＵ）２を備える。ＭＣＵ２は、ハードウェア部２１とソフトウェア部２４とを含んで構成されている。
　ハードウェア部２１は、複数のＭＣＵ内部要素と、これらＭＣＵ内部要素のうちの主機能２２の故障を監視する監視機能２３とを備える。ここで、ＭＣＵ内部要素とは、中央演算処理回路（ＣＰＵ）やバス、ＲＯＭ、ＲＡＭ、周辺回路（タイマ、シリアル通信、ＣＡＮ通信、外部出力ポート）などである。また、ソフトウェア部２４は、ソフトウェア要素と、ソフトウェア要素のうちの主機能２５で実行する演算処理の異常を監視する監視機能２６とを備える。
　すなわち、ＭＣＵ２内部において、ハードウェア要素の監視とソフトウェア要素とを監視するようになっている。
　ＭＣＵ２には、車両に搭載されている各種センサ１１で検出した検出信号が、入力Ｉ／Ｆ回路３を介して入力される。そして、ＭＣＵ２は、入力された検出信号に基づいて、車両に搭載されたアクチュエータ（ブレーキアクチュエータ、アクティブサスペンション等）１２を駆動制御するための指令信号を演算し、これをアクチュエータ駆動回路４に出力する。
　アクチュエータ駆動回路４は、ブリッジ回路（ＦＥＴ）、ＦＥＴ駆動回路、リレー、リレー駆動回路などを含んで構成されており、ＭＣＵ２で演算した指令信号をもとにアクチュエータ１２を駆動制御する。
　また、車載電子制御装置１は、ＭＣＵ２の外部でＭＣＵ２の故障を監視する故障処理回路５を備える。
　なお、図１において、監視機能２３がハードウェア要素監視部に対応し、監視機能２６がソフトウェア要素監視部に対応し、故障処理回路５が外部監視部に対応している。
　次に、ＭＣＵ２のハードウェア部２１の監視機能２３について詳細に説明する。
　図２は、ハードウェア部２１の監視機能２３を説明するためのブロック図である。この図２に示すように、複数のＭＣＵ内部要素（主機能）３１に、それぞれ監視機能２３として故障処理要素３２が配置されている。ここで、ＭＣＵ内部要素３１と故障処理要素３２とは、異なる構造で実装する。
　故障処理要素３２は、監視対象のＭＣＵ内部要素３１の入出力を監視し、当該ＭＣＵ内部要素３１が故障しているか否かを診断する。ここでは、図３に示すように、故障処理要素３２は、演算処理回路３２ａと比較回路３２ｂとを備える。演算処理回路３２ａは、監視対象のＭＣＵ内部要素３１を構成する演算処理回路３１ａとは異なる実装で、且つ演算処理回路３１ａと入出力特性が等しい。
　すなわち、演算処理回路３２ａは、その機能が正常である場合に演算処理回路３１ａと同一の信号を入力したとき、演算処理回路３１ａと同一の信号を出力するものであり、演算処理回路３１ａとは異なるトランジスタ数で実装する。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、トランジスタ数を異ならせて、演算処理回路３２ａを演算処理回路３１ａに対して簡素化した構造とする。
　そして、この演算処理回路３２ａに演算処理回路３１ａの入力信号を入力し、その出力信号を比較回路３２ｂに入力する。すると、比較回路３２ｂは、演算処理回路３１ａの出力信号と演算処理回路３２ａの出力とを比較する。このとき、同一結果となっていない場合には、ＭＣＵ内部要素３１が故障していると判断し、故障処理要素３２は、図２に示すＭＣＵ内部要素（外部出力機能）３３及び故障後処置要素３４に故障を検出したことを示す診断結果を通知する。
　ＭＣＵ内部要素３３は、故障処理要素３２の診断結果を受けて、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
　故障後処置の実施指令の例としては、例えば、アクチュエータ駆動回路４を構成するブリッジ回路のＦＥＴ駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、全ＦＥＴがＯＦＦし、アクチュエータ１２を停止させることができる。また、故障後処置の実施指令の別の例としては、例えば、アクチュエータ駆動回路４のリレー駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、リレーがＯＦＦし、アクチュエータ１２への電力供給を停止することができる。このように、本実施形態では、故障後処置としてアクチュエータ１２の停止処置を適用する。
　また、故障後処置要素３４は、故障処理要素３２の診断結果を受けて、故障処理回路５へＭＣＵ内部要素３１の故障を通知する。故障処理回路５は、故障後処置要素３４から当該故障通知を受け取ると、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
　このように、通知手段を冗長化することにより、ＭＣＵ内部要素３３及び故障後処置要素３４の何れかの通知機能が失われた状態でも、確実にアクチュエータ駆動回路４へ故障後処置の実施指令を出力することができる。
　次に、ＭＣＵ２のソフトウェア部２４の監視機能２６について詳細に説明する。
　図４は、ソフトウェア要素の診断例を示すブロック図である。この図４に示すように、ソフトウェア要素（主機能）４１には、監視機能２６として異常処理ソフトウェア４２が配置されている。ここで、ソフトウェア要素４１と異常処理ソフトウェア４２とは、異なる構造で実装する。
　異常処理ソフトウェア４２は、監視対象のソフトウェア要素４１の演算結果を監視し、当該ソフトウェア要素に異常が発生しているか否かを診断する。ここでは、異常処理ソフトウェア４２は、演算処理４２ａと、比較処理４２ｂと、制限処理４２ｃとを備える。演算処理４２ａは、監視対象のソフトウェア要素４１の演算処理４１ａとは異なる実装で、且つ演算処理４１ａと同等の演算を行う。
　すなわち、演算処理４２ａは、演算処理４１ａとは異なるインストラクション数で、演算処理４１ａと数式上同一となる演算を行うものである。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、インストラクション数を異ならせて、演算処理４２ａを演算処理４１ａに対して簡素化したものとする。
　そして、この演算処理４２ａに演算処理４１ａの入力信号を入力し、その演算結果を比較処理４２ｂに入力する。すると、比較処理４２ｂは、演算処理４１ａの演算結果と演算処理４２ａの演算結果とを比較する。このとき、両者の誤差が所定の許容範囲内にない場合には、ソフトウェア要素４１に異常が発生していると判断する。
　すなわち、図５に示すように、主機能側の値（演算処理４１ａの演算結果）が監視側の値（演算処理４２ａの演算結果）に対して±所定範囲となる領域を許容領域とし、それ以外の斜線で示す領域を異常診断領域とする。そして、主機能側の値と監視側の値とによって決まる点が異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。なお、図５の破線で示す直線は、主機能側の値と監視側の値とが等しい領域である。
　このように、所定の許容範囲を設定するため、演算処理４２ａを簡素化したことにより生じる演算誤差分を考慮した異常判定を行うことができる。
　また、異常診断領域は、例えば図６に示すように設定することもできる。この例は、主機能側の値と監視側の値とが同符号で、且つ主機能側の値の絶対値が監視側の値の絶対値よりも小さい領域±所定範囲を許容範囲としたものである。すなわち、主機能側の値と監視側の値とによって決まる点が、図６の斜線に示す異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。これにより、実際の動作の値が小さいものは、不具合発生に繋がる可能性が低いと判断して許容することができるので、むやみに異常判定されるのを抑制することができる。
　そして、比較処理４２ｂは、ソフトウェア要素４１に異常が発生していることを検出すると、その診断結果を図４の制限処理（制限部）４２ｃに出力する。
　制限処理４２ｃには、演算処理４１ａの演算結果が入力される。比較処理４２ｂから異常を検出したことを示す診断結果が入力された場合には、制限処理４２ｃは、演算処理４１ａの演算結果を許容できる制限値まで制限して出力する。ここで、上記制限値は、車両で許容できる範囲を実験的に検証して決定することが望ましい。一方、比較処理４２ｂから異常を検出したことを示す診断結果が入力されていない場合には、制限処理４２ｃは、演算処理４１ａの演算結果をそのまま出力する。
　次に、故障処理回路５の構成について具体的に説明する。
　図７は、故障処理回路５の機能を示すブロック図である。故障処理回路５は、ＭＣＵ２の故障をＭＣＵ２の外部から監視するものである。ＭＣＵ２の監視方法としては、ＭＣＵ２のクロック２７を監視する方法と、ＭＣＵ２の監視機能２３及び２６が動作していることを監視する方法とを採用する。
　すなわち、故障処理回路５は、ＭＣＵ２のクロック２７を監視するために、ＭＣＵ２とは独立したクロック５１と、クロック監視処理５２とを備える。クロック監視処理５２は、クロック２７のクロックパルスとクロック５１のクロックパルスとを比較することで、クロック２７の故障を検出する。クロック２７は、ＭＣＵ２の一連の作業の基準となるものであり、例えばＲＣ発振回路やセラミック振動子、水晶振動子、水晶振動子内蔵オシレータ、水晶振動子・分周器内蔵オシレータなどからなる。
　なお、図７では、クロック監視処理５２を故障処理回路５内部のソフトウェアで実装する場合について示しているが、ＭＣＵ２内部のハードウェアやソフトウェアで実装することもできる。
　また、故障処理回路５は、ＭＣＵ２の監視機能２３の動作を監視するために、故障処理要素３２のウォッチドッグタイマの出力パルスを監視するパルス監視処理５３を備える。パルス監視処理５３は、上記出力パルスが所定時間停止したことをもって、監視機能２３の異常を検出する。
　なお、図７では監視機能２３の異常検出についてのみ示しているが、監視機能２６（異常処理ソフトウェア４２）についても同様の方法で異常を検出するものとする。
　すなわち、監視機能２６（異常処理ソフトウェア４２）が正しく実行されたときにウォッチドッグタイマからパルスを出力することによって、監視機能２６が実行されない状態（監視されていない状態）をＭＣＵ２の外部の故障処理回路５で診断することができる。
　そして、故障処理回路５は、クロック監視処理５２及びパルス監視処理５３の少なくとも一方でＭＣＵ２の故障を検出すると、アクチュエータ１２を停止させるべく、アクチュエータ駆動回路４に対して故障後処置の実施指令を出力する。
　このように、本実施形態では、ＭＣＵをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視するので、ＭＣＵの異常を詳細に監視することができる。
　すなわち、ハードウェア監視においては、ＭＣＵ内部要素ごとに故障処理要素を配置してＭＣＵ内部要素の入出力信号を監視するので、ＭＣＵ内部要素の故障をきめ細かく診断することができる。
　また、このとき、故障処理要素を監視対象のＭＣＵ内部要素とは異なる構造で実装するので、例えば、両者で処理完了までの遅延時間を異ならせることができる。その結果、両者に共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。さらに、トランジスタ数を少なくするなどにより、故障処理要素を監視対象のＭＣＵ内部要素よりも簡素化した構造で実装するので、比較的簡易且つ安価に故障処理要素を設けることができる。
　さらに、上記ハードウェア監視の他に、ＭＣＵ内部でソフトウェア監視を行うので、ハードウェア監視の故障処理要素で検出しきれない演算不具合を検出することができる。
　このとき、ソフトウェア監視においては、ソフトウェア要素に異常処理ソフトウェアを配置してソフトウェア要素の演算結果を監視するので、ソフトウェア要素の異常を適切に診断することができる。さらに、異常処理ソフトウェアを監視対象のソフトウェア要素とは異なる構造で実装するので、例えば、両者で演算に使用されるインストラクションを異ならせることができる。その結果、両者に共通して影響を受ける異常要因に対しても、適切に異常として検出することができる。
　また、演算結果の比較に際し、所定の許容範囲を設定するので、異常処理ソフトウェアを簡素化した構造としたことにより生じる演算誤差を考慮した異常診断を行うことができる。例えば、監視対象のソフトウェア要素の演算結果と異常処理ソフトウェアの演算結果とが同符号であり、且つ監視対象のソフトウェア要素の演算結果の絶対値が異常処理ソフトウェアの演算結果の絶対値よりも小さい範囲を、上記許容範囲とする。これにより、監視対象のソフトウェア要素の演算結果が、アクチュエータの実際の制御動作が小さく不具合を発生する動作に繋がりにくいような値の場合には、監視対象のソフトウェア要素の演算結果と異常処理ソフトウェアの演算結果とに比較的大きな誤差が生じている場合でも許容することができる。そのため、むやみに異常診断するのを抑制することができる。
　そして、ハードウェア監視においてＭＣＵ内部要素の故障を検出した場合には、アクチュエータを停止する処置を行い、ソフトウェア監視においてソフトウェア要素の異常を検出した場合には、ソフトウェア要素の演算結果を許容範囲内に制限する補正を行って、アクチュエータの駆動制御を続行する処置を行う。
　車両に搭載される電子制御用ＭＣＵは、異常発生時には異常の詳細によらず制御を停止させるのが一般的であった。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常発生時にも異常の詳細によっては制御を続行させる必要がある。本実施形態では、ＭＣＵの異常をきめ細かく診断することができるので、異常の詳細に応じて制御を停止したり制御を続行したりすることができるなど、適切な処置を行うことができる。
　さらに、ＭＣＵ外部でＭＣＵの故障を監視する外部監視を行うので、ＭＣＵ内部の監視機能であるハードウェア監視とソフトウェア監視とが共通して影響を受ける要因に対して診断を実施することができる。
　例えば、ＭＣＵの外部にＭＣＵとは独立したクロックを配置し、ＭＣＵのクロックを監視することで、ＭＣＵ内部の各監視機能が共通して影響を受けるクロック異常が発生し、ＭＣＵ内部で故障や異常の診断が行えない場合には、これを異常として検出することができる。また、ＭＣＵ内部の各監視機能のウォッチドッグタイマの出力パルスを監視することで、ＭＣＵ内部の各監視機能が動作していない場合には、これを異常として検出することができる。このように、ＭＣＵの機能不全をＭＣＵの外部で検出し、処置することができる。
　そして、この外部監視においては、自身の監視機能でＭＣＵの故障を検出した場合や、異常処理要素からＭＣＵ内部要素の故障を検出したことを示す情報を取得した場合に、アクチュエータを停止する処置を行う。すなわち、ハードウェア監視でＭＣＵ内部要素の故障を検出した場合には、ハードウェア監視によって直接アクチュエータを停止する処置を行う手段と、外部監視を介してアクチュエータを停止する処置を行う手段とを併用することができる。その結果、ＭＣＵ内部要素の故障が発生した場合には、確実にアクチュエータを停止することができる。
産業上の利用の可能性
　本発明に係る車載電子制御装置によれば、マイクロコンピュータのハードウェア部及びソフトウェア部の内部監視と、マイクロコンピュータの外部監視との総合監視が可能であるため、マイクロコンピュータの異常の詳細を適切に診断し、異常の詳細に応じた適切な処置を行うことができ、有用である。
　１…車載電子制御装置、２…マイクロコンピュータ（ＭＣＵ）、３…入力Ｉ／Ｆ回路、４…アクチュエータ駆動回路、５…故障処理回路、１１…センサ、１２…アクチュエータ、２１…ハードウェア部、２２…ハードウェア主機能、２３…ハードウェア監視機能、２４…ソフトウェア部、２５…ソフトウェア主機能、２６…ソフトウェア監視機能、２７…クロック、３１…ＭＣＵ内部要素（主機能）、３１ａ…演算処理回路、３２…故障処理要素、３２ａ…演算処理回路、３２ｂ…比較回路、３３…ＭＣＵ内部要素（外部出力機能）、３４…故障後処置要素、４１…ソフトウェア要素、４１ａ…演算処理、４２…異常処理ソフトウェア、４２ａ…演算処理、４２ｂ…比較処理、４２ｃ…制限処理、５１…クロック、５２…クロック監視処理、５３…パルス監視処理

Claims (10)

  1. 　ハードウェア部とソフトウェア部とを含んで構成され、車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータと、
    　前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視部と、
    　前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視部と、
    　前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視部と、を備えることを特徴とする車載電子制御装置。
  2. 　前記ハードウェア要素監視部は、監視対象のハードウェア要素とは異なる構造で、且つ当該監視対象のハードウェア要素と入出力特性が等しい監視用ハードウェア要素を備え、前記監視対象のハードウェア要素と前記監視用ハードウェア要素とに同一信号を入力したときの出力信号を比較することで、前記監視対象のハードウェア要素の異常を監視することを特徴とする請求項１に記載の車載電子制御装置。
  3. 　前記ハードウェア要素監視部は、上記異常を検出すると、前記アクチュエータを停止するための停止処置を行うことを特徴とする請求項１に記載の車載電子制御装置。
  4. 　前記ハードウェア要素監視部は、上記異常を検出すると、前記外部監視部にこれを通知し、
    　前記外部監視部は、前記ハードウェア要素監視部からの前記通知を受けて、前記アクチュエータを停止するための停止処置を行うことを特徴とする請求項１に記載の車載電子制御装置。
  5. 　前記ソフトウェア要素監視部は、監視対象のソフトウェア要素とは異なる構造で、且つ当該監視対象のソフトウェア要素と同等の演算処理を行う監視用ソフトウェア要素を備え、前記監視対象のソフトウェア要素と前記監視用ソフトウェア要素とに同一信号を入力し、両者の演算結果の差が許容範囲内であるか否かにより、前記監視対象のソフトウェア要素の異常を監視することを特徴とする請求項１に記載の車載電子制御装置。
  6. 　前記許容範囲は、前記監視対象のソフトウェア要素の演算結果と前記監視用ソフトウェア要素の演算結果とが同符号であり、且つ前記監視対象のソフトウェア要素の演算結果の絶対値が前記監視用ソフトウェア要素の演算結果の絶対値よりも小さい範囲に設定することを特徴とする請求項５に記載の車載電子制御装置。
  7. 　前記ソフトウェア要素監視部は、上記異常を検出すると、前記監視対象のソフトウェア要素の演算結果を前記許容範囲内に制限する制限部を備えることを特徴とする請求項５に記載の車載電子制御装置。
  8. 　前記外部監視部は、前記マイクロコンピュータのクロックを監視することで、前記マイクロコンピュータの異常を監視することを特徴とする請求項１に記載の車載電子制御装置。
  9. 　前記外部監視部は、前記ハードウェア要素監視部及び前記ソフトウェア要素監視部が動作していることを監視することで、前記マイクロコンピュータの異常を監視することを特徴とする請求項１に記載の車載電子制御装置。
  10. 　前記外部監視部は、上記異常を検出すると、前記アクチュエータを停止するための停止処置を行うことを特徴とする請求項１に記載の車載電子制御装置。
PCT/JP2012/003546 2011-06-29 2012-05-30 車載電子制御装置 WO2013001716A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP12729331.4A EP2557502A4 (en) 2011-06-29 2012-05-30 ON-BOARD ELECTRONIC CONTROL DEVICE
CN201280000436.XA CN102959520B (zh) 2011-06-29 2012-05-30 车载电子控制装置
US13/520,870 US9087077B2 (en) 2011-06-29 2012-05-30 In-vehicle electronic control device
US14/737,138 US9348684B2 (en) 2011-06-29 2015-06-11 In-vehicle electronic control device
US14/737,107 US9348683B2 (en) 2011-06-29 2015-06-11 In-vehicle electronic control device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011144690A JP5126393B2 (ja) 2011-06-29 2011-06-29 車載電子制御装置
JP2011-144690 2011-06-29

Related Child Applications (3)

Application Number Title Priority Date Filing Date
US13/520,870 A-371-Of-International US9087077B2 (en) 2011-06-29 2012-05-30 In-vehicle electronic control device
US14/737,107 Continuation US9348683B2 (en) 2011-06-29 2015-06-11 In-vehicle electronic control device
US14/737,138 Continuation US9348684B2 (en) 2011-06-29 2015-06-11 In-vehicle electronic control device

Publications (1)

Publication Number Publication Date
WO2013001716A1 true WO2013001716A1 (ja) 2013-01-03

Family

ID=47423648

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/003546 WO2013001716A1 (ja) 2011-06-29 2012-05-30 車載電子制御装置

Country Status (5)

Country Link
US (3) US9087077B2 (ja)
EP (1) EP2557502A4 (ja)
JP (1) JP5126393B2 (ja)
CN (1) CN102959520B (ja)
WO (1) WO2013001716A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019093839A (ja) * 2017-11-21 2019-06-20 株式会社デンソー 電子制御装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5892012B2 (ja) 2012-09-11 2016-03-23 日本精工株式会社 車載電子制御装置
KR102080453B1 (ko) * 2013-10-02 2020-02-24 현대모비스 주식회사 와치독 장치 및 와치독 제어방법
US9747184B2 (en) * 2013-12-16 2017-08-29 Artesyn Embedded Computing, Inc. Operation of I/O in a safe system
DE112015002210T5 (de) * 2014-06-20 2017-01-26 Hitachi Automotive Systems, Ltd. Motorsteuervorrichtung
CN106794809B (zh) * 2014-09-25 2018-02-13 日本精工株式会社 车载用电子设备的控制装置以及控制方法
US9866542B2 (en) * 2015-01-28 2018-01-09 Gm Global Technology Operations Responding to electronic in-vehicle intrusions
US10089164B2 (en) * 2015-02-27 2018-10-02 Microchip Technology Incorporated Watchdog timer
JP6265158B2 (ja) * 2015-03-27 2018-01-24 横河電機株式会社 電子機器
WO2017056688A1 (ja) * 2015-09-29 2017-04-06 日立オートモティブシステムズ株式会社 監視システム及び車両用制御装置
JP6812737B2 (ja) 2016-10-07 2021-01-13 オムロン株式会社 演算装置および制御装置
US10279816B2 (en) * 2017-03-07 2019-05-07 GM Global Technology Operations LLC Method and apparatus for monitoring an on-vehicle controller
KR102355424B1 (ko) * 2017-09-13 2022-01-26 현대자동차주식회사 차량용 중앙 처리 장치를 제어하는 워치독 회로의 신뢰성을 향상시키는 장치 및 방법
CN108681318A (zh) * 2018-03-23 2018-10-19 浙江吉利汽车研究院有限公司 一种电机控制器的功能安全监控系统及其方法
CN111061243B (zh) * 2018-10-17 2023-05-26 联合汽车电子有限公司 电子控制器程序流监控系统及方法
DE102018220788A1 (de) * 2018-12-03 2020-06-04 Zf Friedrichshafen Ag Vorrichtung und Verfahren zum Steuern einer Signalverbindung eines Fahrzeugs
CN114865114A (zh) * 2022-04-20 2022-08-05 广东汇天航空航天科技有限公司 一种电池管理系统及其控制方法

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0244436A (ja) * 1988-08-05 1990-02-14 Nec Corp 情報処理監視システム
JPH06274361A (ja) * 1993-03-23 1994-09-30 Fujitsu Ten Ltd 車両制御用コンピュータシステム
JPH08171507A (ja) * 1994-12-16 1996-07-02 Mitsubishi Electric Corp 異常監視方法
JP2001063492A (ja) * 1999-08-27 2001-03-13 Nec Corp 車両安全制御装置の電子制御装置
JP2005092621A (ja) * 2003-09-18 2005-04-07 Aisin Seiki Co Ltd 電子制御装置
JP2005227873A (ja) * 2004-02-10 2005-08-25 Fanuc Ltd プログラマブル・シーケンス制御装置
JP2006344086A (ja) 2005-06-10 2006-12-21 Hitachi Ltd データ照合装置，データ照合方法，データ制御装置及びデータ制御方法
JP2008299767A (ja) * 2007-06-04 2008-12-11 Hitachi Ltd 診断装置および診断方法
JP2009252104A (ja) * 2008-04-09 2009-10-29 Denso Corp 監視装置、電子制御装置
JP2010160649A (ja) 2009-01-07 2010-07-22 Hitachi Ltd 制御装置および制御方法
JP2010262432A (ja) 2009-05-01 2010-11-18 Mitsubishi Electric Corp 安全制御装置

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0274361A (ja) * 1988-09-09 1990-03-14 Seiko Epson Corp 画像形成装置
JPH04326410A (ja) 1991-04-26 1992-11-16 Mitsubishi Electric Corp クロック監視装置
DE4136338A1 (de) * 1991-11-05 1993-05-06 Robert Bosch Gmbh, 7000 Stuttgart, De Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeraeten
JPH05233344A (ja) 1992-02-20 1993-09-10 Hitachi Ltd 情報処理装置
JPH05324409A (ja) 1992-05-27 1993-12-07 Meidensha Corp ソフトウェアの暴走監視方式
JPH06161798A (ja) 1992-11-24 1994-06-10 Hitachi Ltd 情報処理装置
DE10056408C1 (de) 2000-11-14 2002-03-07 Bosch Gmbh Robert Vorrichtung zur Überwachung eines Prozessors
FR2857111B1 (fr) * 2003-07-02 2005-10-07 St Microelectronics Sa Microcontroleur a protection logique contre les decharges electrostatiques
JP2005084896A (ja) * 2003-09-08 2005-03-31 Mitsubishi Electric Corp 車載電子制御装置
US7310751B2 (en) * 2004-02-20 2007-12-18 Hewlett-Packard Development Company, L.P. Timeout event trigger generation
US7496796B2 (en) * 2006-01-23 2009-02-24 International Business Machines Corporation Apparatus, system, and method for predicting storage device failure
WO2007099606A1 (ja) * 2006-02-28 2007-09-07 Fujitsu Limited プロセサ制御方法
US7721181B2 (en) * 2007-07-11 2010-05-18 Macronix International Co., Ltd. Memory and 1-bit error checking method thereof
US8041996B2 (en) * 2008-01-11 2011-10-18 Alcatel Lucent Method and apparatus for time-based event correlation
DE102008004205A1 (de) * 2008-01-14 2009-07-16 Robert Bosch Gmbh Schaltungsanordnung und Verfahren zur Fehlerbehandlung in Echtzeitsystemen
GB2468291B (en) * 2009-03-03 2011-04-27 1E Ltd Monitoring a computer
US20120016879A1 (en) * 2010-07-16 2012-01-19 Research In Motion Limited Systems and methods of user interface for image display
JP5617615B2 (ja) * 2010-12-27 2014-11-05 株式会社デンソー 車載制御装置
JP5609637B2 (ja) * 2010-12-28 2014-10-22 富士通株式会社 プログラム、情報処理装置、及び情報処理方法
US8689049B2 (en) * 2011-11-03 2014-04-01 Hewlett-Packard Development Company, L.P. Corrective actions based on probabilities

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0244436A (ja) * 1988-08-05 1990-02-14 Nec Corp 情報処理監視システム
JPH06274361A (ja) * 1993-03-23 1994-09-30 Fujitsu Ten Ltd 車両制御用コンピュータシステム
JPH08171507A (ja) * 1994-12-16 1996-07-02 Mitsubishi Electric Corp 異常監視方法
JP2001063492A (ja) * 1999-08-27 2001-03-13 Nec Corp 車両安全制御装置の電子制御装置
JP2005092621A (ja) * 2003-09-18 2005-04-07 Aisin Seiki Co Ltd 電子制御装置
JP2005227873A (ja) * 2004-02-10 2005-08-25 Fanuc Ltd プログラマブル・シーケンス制御装置
JP2006344086A (ja) 2005-06-10 2006-12-21 Hitachi Ltd データ照合装置，データ照合方法，データ制御装置及びデータ制御方法
JP2008299767A (ja) * 2007-06-04 2008-12-11 Hitachi Ltd 診断装置および診断方法
JP2009252104A (ja) * 2008-04-09 2009-10-29 Denso Corp 監視装置、電子制御装置
JP2010160649A (ja) 2009-01-07 2010-07-22 Hitachi Ltd 制御装置および制御方法
JP2010262432A (ja) 2009-05-01 2010-11-18 Mitsubishi Electric Corp 安全制御装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2557502A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019093839A (ja) * 2017-11-21 2019-06-20 株式会社デンソー 電子制御装置
JP7024345B2 (ja) 2017-11-21 2022-02-24 株式会社デンソー 電子制御装置

Also Published As

Publication number Publication date
EP2557502A1 (en) 2013-02-13
EP2557502A4 (en) 2016-05-11
US20150278067A1 (en) 2015-10-01
CN102959520B (zh) 2015-03-25
US9348683B2 (en) 2016-05-24
JP5126393B2 (ja) 2013-01-23
JP2013012069A (ja) 2013-01-17
CN102959520A (zh) 2013-03-06
US9348684B2 (en) 2016-05-24
US20140164826A1 (en) 2014-06-12
US20150278002A1 (en) 2015-10-01
US9087077B2 (en) 2015-07-21

Similar Documents

Publication Publication Date Title
JP5126393B2 (ja) 車載電子制御装置
JP5752266B2 (ja) 電源電圧監視機能を有する電子制御装置及びそれを備えた車両ステアリング制御装置
EP3330857B1 (en) Vehicle control device
US10254733B2 (en) Motor control device
JP2001063492A (ja) 車両安全制御装置の電子制御装置
US9221492B2 (en) Method for operating an electrical power steering mechanism
US20100174448A1 (en) Method and device for operating a control unit
US11281547B2 (en) Redundant processor architecture
JP5459370B2 (ja) 車載電子制御装置
US10633018B2 (en) External watchdog with integrated backward regeneration support
JP2014534922A (ja) 電動パワーステアリングシステムを作動させるための方法
JP5561329B2 (ja) 車載電子制御装置
JP6081239B2 (ja) 制御装置の異常監視装置および異常監視方法
JP6681304B2 (ja) 自動車用制御装置及び自動車用内燃機関制御装置
JP6302852B2 (ja) 車両用電子制御装置
JP6702175B2 (ja) 負荷駆動装置
WO2021111896A1 (ja) 車載電子制御装置
JP2022156616A (ja) 制御装置及びリセット機能の診断方法
JP5472199B2 (ja) 電動パワーステアリング装置
JP2005352545A (ja) マイクロコンピュータ及びコンピュータシステム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201280000436.X

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 2012729331

Country of ref document: EP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12729331

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13520870

Country of ref document: US