WO2020262031A1 - 車載制御装置 - Google Patents

車載制御装置 Download PDF

Info

Publication number
WO2020262031A1
WO2020262031A1 PCT/JP2020/023148 JP2020023148W WO2020262031A1 WO 2020262031 A1 WO2020262031 A1 WO 2020262031A1 JP 2020023148 W JP2020023148 W JP 2020023148W WO 2020262031 A1 WO2020262031 A1 WO 2020262031A1
Authority
WO
WIPO (PCT)
Prior art keywords
control device
unit
communication
vehicle control
power supply
Prior art date
Application number
PCT/JP2020/023148
Other languages
English (en)
French (fr)
Inventor
十文字　賢太郎
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN202080038611.9A priority Critical patent/CN113966492A/zh
Priority to US17/619,736 priority patent/US11760203B2/en
Priority to JP2021528169A priority patent/JP7135211B2/ja
Publication of WO2020262031A1 publication Critical patent/WO2020262031A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L1/00—Supplying electric power to auxiliary equipment of vehicles
    • B60L1/003—Supplying electric power to auxiliary equipment of vehicles to auxiliary motors, e.g. for pumps, compressors
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/0023—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train
    • B60L3/0084—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train relating to control modules
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/04—Cutting off the power supply under fault conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data

Definitions

  • the present invention relates to an in-vehicle control device.
  • a linear solenoid control device that is a part of an in-vehicle electric load is known.
  • a general linear solenoid control device includes a microcomputer that controls the linear solenoid, an output drive circuit that outputs a drive signal for controlling the operation of the linear solenoid based on an instruction from the microcomputer, and other in-vehicle control devices. It has a communication circuit that communicates with, a monitoring element that monitors the operation of the microcomputer, and a circuit that cuts off the input / output of the output drive circuit and the communication circuit.
  • Patent Document 1 monitors a microcomputer with a monitoring element, and when an abnormality occurs in the microcomputer, a signal for deactivating these is output from the monitoring element to an output drive circuit and a communication circuit, and an unintended output drive circuit is used. It is a technology that blocks the operation of the device and data transmission / reception by the communication circuit, and performs appropriate processing.
  • the signal that deactivates the drive circuit and the signal that deactivates the communication circuit output from the monitoring element are common signals.
  • the failure diagnosis of the cutoff function of the output drive circuit needs to be performed under conditions limited to the time when the control accuracy of the load drive is not affected and the state where the load is not operating.
  • failure diagnosis of the disconnection function of the communication circuit it is necessary to perform the diagnosis under conditions limited to a state in which communication with another in-vehicle control device is not affected even if the communication is interrupted.
  • the present invention has been made in view of the above problems, and an object of the present invention is to provide an in-vehicle control device capable of improving the failure detection frequency of failure diagnosis of a blocking function.
  • the in-vehicle control device includes a control unit that performs a control operation of the external device, a monitoring unit that monitors the control unit, and an external device based on an instruction from the control unit. It is supplied to the output drive unit that sends out a control signal, the communication unit that switches the communication state between the other in-vehicle control device based on the instruction from the monitoring unit, and the output drive unit based on the instruction from the monitoring unit. It has an energization cutoff unit that energizes and shuts off the power supply voltage, and the monitoring unit independently instructs the communication unit to switch the communication state and the energization cutoff unit to energize and cut off the power supply voltage.
  • an in-vehicle control device capable of improving the failure detection frequency of the failure diagnosis of the blocking function.
  • FIG. 1 is a schematic configuration diagram of a transmission system for a vehicle to which the in-vehicle control device of the embodiment is applied.
  • the engine 1 drives the drive wheels 3 via the transmission 2.
  • the operation of the transmission 2 is controlled by a hydraulic circuit 5 to which flood control is supplied from the hydraulic pump 4.
  • the hydraulic circuit 5 is driven and controlled by a plurality of linear solenoids 6. These linear solenoids 6 are driven and controlled by a drive signal 7 supplied from the ECU (Electronic Control Unit: in-vehicle control device) 10.
  • ECU Electronic Control Unit: in-vehicle control device
  • FIG. 2 is a schematic configuration diagram showing the ECU (vehicle-mounted control device) 10 of the first embodiment.
  • the ECU vehicle-mounted control device
  • the control device 10 may be simply referred to as the control device 10.
  • the control device 10 includes a microcomputer (control unit) 40, a power supply IC 90, a monitoring element (monitoring unit) 80, an energization cutoff element (energization cutoff unit) 50, a voltage detection unit 52, and an output drive circuit. It has a (output drive unit) 60 and a communication circuit (communication unit) 70.
  • the power supply IC 90 is connected to the downstream side of the battery (not shown) arranged outside the control device 10, and is arranged inside the control device 10 based on the power supply voltage input via the input terminal 12 connected to the battery. Generates the internal power supply voltage supplied to the electronic circuit.
  • the internal power supply voltage is output from the internal power supply voltage output terminal 91 of the power supply IC 90.
  • the voltage output from the internal power supply voltage output terminal 91 is supplied to the microcomputer 40, the communication circuit 70, and the like.
  • the energization cutoff element 50 is connected to the downstream side of the battery arranged outside the control device 10.
  • the voltage detection unit 52 is connected to the upstream and downstream of the energization cutoff element 50, and monitors the upstream voltage and the downstream voltage of the energization cutoff element 50.
  • the monitoring results of the upstream voltage and the downstream voltage of the energization cutoff element 50 monitored by the voltage detection unit 52 are input to the microcomputer 40.
  • the signals input to the microcomputer 40 are an upstream voltage 53 and a downstream voltage 54.
  • a switch (not shown) is connected downstream of the battery and is turned on / off in order to start and stop the control device 10.
  • the energization cutoff element 50 is driven by a signal input to the energization cutoff input terminal 51, and based on the power supply voltage input via the input terminal 11 connected to the battery, the power supply voltage is sent to the downstream circuit of the energization cutoff element 50. Energize and shut off. When the energization cutoff element 50 is on (energized), the upstream voltage 53 and the downstream voltage 54 of the energization cutoff element 50 are equal to each other, and when the energization cutoff element 50 is off (cut off), the upstream voltage 53 of the energization cutoff element 50 The downstream voltage 54 deviates.
  • Such an energization cutoff element 50 is preferably an element such as an electronic relay that selectively switches between energization and cutoff of the power supply voltage based on an input signal to the energization cutoff input terminal 51.
  • Elements and circuits that energize and shut off the power supply voltage to the output drive circuit 60 without using the energization cutoff element 50 are well known, but in the case of the energization cutoff element 50, the upstream voltage 53 and the downstream voltage are supplied by the voltage detection unit 52. It is possible to manage and monitor the energized state of the power supply voltage to the output drive circuit 60 only by monitoring 54, and it is possible to reliably control the energized state of the power supply voltage to the output drive circuit 60 with a simple configuration. Can be done.
  • the output drive circuit 60 outputs a drive signal 7 for driving an external load (linear solenoid 6: external device) of the control device 10 from the output terminal 62.
  • the output drive circuit 60 is controlled by an output drive signal 61 from the microcomputer 40.
  • the output drive signal 61 is input to the input terminal of the output drive circuit 60.
  • a downstream voltage of the energization cutoff element 50 is applied to the power supply voltage input terminal 63 of the output drive circuit 60, and the output drive circuit 60 operates when the energization cutoff element 50 is in the energized state.
  • the communication circuit 70 transmits the transmission signal 73 transmitted from the microcomputer 40 to another control device as transmission data, and inputs the reception data from the other control device to the microcomputer 40 as a reception signal 74.
  • Examples of communication by the communication circuit 70 include communication by CAN (Controller Area Network).
  • the communication circuit 70 can switch the communication state by inputting the switching control signal 85 from the output terminal 84 of the monitoring element 80 to the communication state switching terminal 71.
  • the communication circuit 70 can switch its communication state to either a state in which both data transmission / reception can be performed and a state in which both data transmission / reception are blocked.
  • the energization cutoff signal 55 that switches the energization cutoff element 50 between the energization state and the cutoff state is input from the microcomputer 40 to the energization cutoff input terminal 51 of the energization cutoff element 50. Further, when the monitoring element 80 that monitors the operation of the microcomputer 40 determines that the operating state of the microcomputer 40 is abnormal, the output terminal 82 of the monitoring element 80 is input even if a signal for energizing the microcomputer 40 is input. A signal in which the energization cutoff signal 83 output from is prioritized is input.
  • the energization cutoff signal 55 sets the energization state switching signal to the energization cutoff element 50 as H (high) and the cutoff state switching signal as L (low).
  • a switching element for setting the energization cutoff signal 83 to the energization cutoff input terminal 51 to the GND (ground) state is provided between the monitoring element 80 and the energization cutoff element 50, and the input to the energization cutoff input terminal 51 is performed by the switching operation.
  • An example is given in which the signal is forcibly set to L.
  • the switching control signal 85 is output from the output terminal 84 of the monitoring element 80 in order to switch the communication permission / blocking state of the communication circuit 70. If the operation of the microcomputer 40 is normal, a communication permission signal is output to the communication circuit 70, and if the operation of the microcomputer 40 is abnormal, a communication cutoff signal is output to the communication circuit 70.
  • the microcomputer 40 performs failure diagnosis processing and energization control of the output drive circuit 60 based on various input / output signals. In addition, it performs communication processing with other control devices, for example, transmitting and receiving processing at regular intervals. Further, the monitoring element 80 outputs a signal 81 based on the operating state of the microcomputer 40, that is, a signal for the monitoring element 80 to evaluate the operation of the microcomputer 40. Further, the microcomputer 40 is provided with a self-diagnosis function, and diagnoses that various built-in functions of the microcomputer 40 are in a normal state. The signal resulting from the self-diagnosis function is included in the signal 81 output to the monitoring element 80.
  • the above-mentioned self-diagnosis function may be, for example, a diagnostic function such as an analog-digital conversion function or an arithmetic function.
  • a diagnostic function such as an analog-digital conversion function or an arithmetic function.
  • the analog-digital conversion function is out of order
  • the arithmetic function is out of order
  • the transmitted data The content is different.
  • the monitoring element 80 monitors whether the operation of the microcomputer 40 is performed correctly.
  • the monitoring method uses a communication method that monitors each other.
  • the monitoring element 80 detects an operation abnormality of the microcomputer 40, that is, the response notified from the microcomputer 40 to the monitoring element 80 is evaluated, and the microcomputer 40 evaluates the response.
  • the monitoring element 80 outputs a control signal for performing a fail-safe operation, that is, an energization cutoff signal 83 and a switching control signal 85.
  • the self-diagnosis result of the microcomputer 40 is reflected in the data transmitted from the microcomputer 40 to the monitoring element 80.
  • the monitoring element 80 receives transmission data indicating that the analog-to-digital conversion function has failed
  • the monitoring element 80 outputs only the energization cutoff signal 83 that cuts off the energization cutoff element 50.
  • a signal for interrupting the energization cutoff element 50 and the communication circuit 70 that is, the energization cutoff signal 83 and the switching control signal 85 And output. That is, the monitoring element 80 executes different fail-safe controls depending on the failure state of the microcomputer 40.
  • the microcomputer 40 detects an operation abnormality of the monitoring element 80, that is, when the response notified from the monitoring element 80 to the microcomputer 40 is evaluated and it is determined that the monitoring element 80 is an operation abnormality
  • the output drive signal 61 is output to the output drive circuit 60 to switch the operation of the output drive circuit 60, or the transmission signal 73 is transmitted to the communication circuit 70 to perform other operations. Performs a process of notifying the control device of the above that it is in an abnormal state.
  • the communication content of mutual monitoring between the microcomputer 40 and the monitoring element 80 includes a cutoff permission signal and a cutoff in progress signal for the energization cutoff element 50 and the communication circuit 70, which will be described later.
  • control device 10 Next, the operation of the control device 10 will be described in detail with reference to FIG.
  • FIG. 3 is a time chart diagram illustrating the operation of the in-vehicle control device according to the first embodiment.
  • FIG. 3A shows the power supply voltage supplied to the control device 10, and the vertical axis represents the power supply voltage. In the figure, if the power supply voltage is ON, it indicates that the control device 10 is operating.
  • FIG. 3B shows the operating state of the microcomputer 40, and is distinguished by the operating states MA to ME.
  • the operating state MA indicates a state in which the output drive circuit 60 and the communication circuit 70 need to be continuously operated.
  • the operating state MB indicates a state in which the output drive circuit 60 may be stopped.
  • the operating state MC indicates a state in which the communication circuit 70 may be interrupted.
  • the operating state MD indicates a state in which both the output drive circuit 60 and the communication circuit 70 may be stopped.
  • the operating state ME indicates a state in which the microcomputer 40 is in an abnormal state and the output drive circuit 60 and the communication circuit 70 cannot be controlled correctly.
  • FIG. 3C shows the operating state of the monitoring element 80, and is distinguished by the operating SA to SE.
  • the operation state SA is a state in which the operation of the microcomputer 40 is monitored.
  • the operation state SB is a state in which the operation of the microcomputer 40 is monitored, and the failure diagnosis of the energization cutoff element 50 is performed.
  • the operating state SC is a state in which the operation of the microcomputer 40 is monitored, and the failure diagnosis of the interruption function of the communication circuit 70 is performed.
  • the operating state SD is a state in which the operation of the microcomputer 40 is monitored, and further, the failure diagnosis of the energization cutoff element 50 and the failure diagnosis of the cutoff function of the communication circuit 70 are performed.
  • the operating state SE is a state in which the monitoring element 80 is performing fail-safe control by detecting an operation abnormality of the microcomputer 40.
  • FIG. 3D shows the operation of the control signal of the energization cutoff element 50.
  • the control signal of the energization cutoff element 50 is switched between energization and non-energization.
  • FIG. 3 (e) shows the state of the downstream voltage of the energization cutoff element 50, that is, the state of the power supply voltage of the output drive circuit 60, and the state will be described together with FIG. 3 (d).
  • the control signal of the energization cutoff element 50 shown in FIG. 3D is energized
  • the power supply voltage of the output drive circuit 60 is a voltage equivalent to the battery voltage.
  • the control signal of the energization cutoff element 50 shown in FIG. 3D is in the non-energized state
  • the power supply voltage of the output drive circuit 60 is a voltage equivalent to 0V.
  • Times T2 to T5 are times when it is determined that there is no effect on the system controlled by the control device 10 even if the microcomputer 40 stops the output drive circuit 60, and it is considered that the vehicle is stopped, for example. That is, at times T3 to T5, the time when the microcomputer 40 notifies the monitoring element 80 of the interruption permission signal of the energization cutoff element 50 indicating that the energization cutoff element 50 is permitted to be cut off by the mutual monitoring communication signal 81. Is.
  • Times T3 to T4 are times when the monitoring element 80 outputs a non-energized signal to the energization cutoff element 50 according to the information notified from the microcomputer 40. Further, at times T3 to T4, the monitoring element 80 notifies the microcomputer 40 of a shutoff in progress signal indicating that the energization cutoff element 50 is shut off by the mutual monitoring communication signal 81.
  • the microcomputer 40 monitors and shuts off the power supply voltage of the output drive circuit 60 shown in FIG. 3 (e), that is, the downstream voltage 54 of the energization cutoff element 50, based on the shutoff in progress signal notified from the monitoring element 80. During the process, it is confirmed that the power supply voltage drops, and it is determined that the cutoff function of the output drive circuit 60 is normal. On the other hand, when the microcomputer 40 determines that the downstream voltage 54 of the energization cutoff element 50 has not decreased with respect to the signal during cutoff of the energization cutoff element 50 notified from the monitoring element 80, the output drive circuit 60 Judge that the blocking function is out of order.
  • the above description is the operating state of the control device at times T2 to T5, but the same operating state is also at times T14 to T17 shown in FIG.
  • FIG. 3 (f) shows the operation of the control signal for switching the operation of the communication circuit 70.
  • the switching control signal 85 is input to the communication circuit 70, so that communication and non-communication of the communication circuit 70 ( Communication is cut off) is switched.
  • FIG. 3 (g) shows the communication state in the communication circuit 70, and the state will be described together with FIG. 3 (f).
  • the operation switching signal of the communication circuit 70 shown in FIG. 3 (f) is communication, communication with another control device is normally performed, so that the communication state is error-free.
  • the operation switching signal of the communication circuit 70 is non-communication, communication with another control device is not performed normally, so that the communication state has an error.
  • Times T6 to T9 are times when it is determined that even if the microcomputer 40 stops communication, there is no effect on the system controlled by the control device 10. For example, in the case of transmission / reception communication with another control device at regular intervals, the time is between the current transmission / reception timing and the next transmission / reception timing. That is, at times T6 to T9, the microcomputer 40 notifies the monitoring element 80 of the communication interruption permission signal indicating that the communication circuit 70 is permitted to be interrupted by the mutual monitoring communication signal 81.
  • Times T7 to T8 are times when the monitoring element 80 outputs a non-communication signal (switching control signal 85) to the communication circuit 70 according to the information notified from the microcomputer 40. Further, at times T7 to T8, the monitoring element 80 notifies the microcomputer 40 of a blocking in progress signal indicating that the communication circuit 70 is blocked by the mutual monitoring communication signal 81.
  • the microcomputer 40 monitors the presence or absence of an error in the communication state shown in FIG. 3 (g) based on the interruption in progress signal notified from the monitoring element 80, confirms that an error occurs during the interruption, and confirms that an error occurs, and the communication circuit 70 Judge that the blocking function of is normal. On the other hand, if the microcomputer 40 cannot confirm the occurrence of a communication status error with respect to the signal during interruption of the communication circuit 70 notified from the monitoring element 80, it is determined that the interruption function of the communication circuit 70 has failed. To do.
  • the monitoring element 80 detects the abnormality of the microcomputer 40, and the monitoring element 80 is in a state of gradually shutting off the energization cutoff element 50 and the communication circuit 70.
  • Times T18 to T19 are states in which the analog-digital conversion function of the microcomputer 40 is out of order, and the monitoring element 80 shuts off the energization cutoff element 50. That is, the communication circuit 70 is not interrupted, and the microcomputer 40 can notify other control devices that the analog-digital conversion function of the microcomputer 40 has failed via the communication circuit 70. ..
  • the analog-digital conversion function and the calculation function of the microcomputer 40 are in a state of failure, and the monitoring element 80 is in a state of blocking the energization cutoff element 50 and the communication circuit 70.
  • the control device 10 includes a microcomputer 40 that controls the linear solenoid 6, a monitoring element 80 that monitors the microcomputer 40, and a linear solenoid based on an instruction from the microcomputer 40.
  • the communication circuit 70 that switches the communication state between the other in-vehicle control device based on the instruction from the monitoring element 80, and the instruction from the monitoring element 80. It has an energization cutoff element 50 that energizes and cuts off the power supply voltage supplied to the output drive circuit 60, and the monitoring element 80 switches the communication state by the communication circuit 70 and energizes the power supply voltage by the energization cutoff element 50. And instruct the shutoff independently.
  • the monitoring element 80 independently instructs the switching of the communication state by the communication circuit 70 and the energization and interruption of the power supply voltage by the energization cutoff element 50, even when the control device 10 is in operation, At a time when there is no problem in stopping the output drive circuit 60 and the communication circuit 70, the power supply voltage of the output drive circuit 60 is cut off, the communication circuit 70 is cut off, or both the output drive circuit 60 and the communication circuit 70 are cut off. It is possible to monitor the power supply voltage of the output drive circuit 60 and confirm that the output circuit has dropped to a voltage at which it does not operate, or confirm that an error has occurred in the communication circuit 70. .. As a result, the frequency of failure diagnosis of the break function for each circuit can be increased, and failure detection of the break function becomes possible at an early stage.
  • the monitoring element 80 can switch the circuit to be cut off depending on the failure diagnosis state of the microcomputer 40, and a step-by-step fail-safe can be configured.
  • the signal for deactivating the drive circuit and the signal for deactivating the communication circuit output from the monitoring element are common signals, and the microcomputer has a common signal.
  • a step-by-step fail-safe control for example, a control that deactivates the drive circuit and then deactivates the communication circuit after a certain period of time cannot be constructed.
  • the monitoring element 80 independently instructs the switching of the communication state by the communication circuit 70 and the energization and interruption of the power supply voltage by the energization cutoff element 50, so that the fail-safe is stepwise. Control can be realized.
  • FIG. 4 is a schematic configuration diagram showing the in-vehicle control device of the second embodiment.
  • the same components as those of the vehicle-mounted control device 10 of the first embodiment are designated by the same reference numerals, and the description thereof will be simplified.
  • the control device 10 of this embodiment has an internal power cutoff element (power supply) for cutting off the power supply of the communication circuit 70 between the internal power supply voltage output terminal 91 of the power supply IC 90 and the communication circuit power supply terminal 75 of the communication circuit 70.
  • the interruption unit) 100 is connected, and the internal power supply voltage 106 input to the communication circuit 70 is monitored by the voltage detection unit 52, which is different from the first embodiment, and the other points are the same as those of the first embodiment.
  • the internal power supply cutoff element 100 is driven by the internal power supply energization signal 105 output from the monitoring element 80 and input to the internal power supply energization cutoff input terminal 103, and the internal power supply energization signal 105 is input to the internal power supply input terminal 102. It includes an internal power supply output terminal 101 that outputs an internal power supply voltage 106.
  • the internal power supply cutoff element 100 When the internal power supply energization signal 105 is energized, the internal power supply cutoff element 100 outputs the internal power supply voltage 106, and the internal power supply voltage 106 is supplied to the communication circuit power supply terminal 75 of the communication circuit 70.
  • the internal power supply energization signal 105 When the internal power supply energization signal 105 is cut off, the internal power supply voltage 106 is not output to the internal power supply output terminal 101, and the internal power supply voltage 106 to the communication circuit power supply terminal 75 of the communication circuit 70 is cut off. That is, the communication circuit 70 can communicate only when the internal power supply energization signal 105 is energized, and the communication of the communication circuit 70 is cut off when the internal power supply energization signal 105 is cut off.
  • control device 10 Next, the operation of the control device 10 will be described in detail with reference to FIG.
  • FIG. 5 is a time chart diagram illustrating the operation of the in-vehicle control device according to the second embodiment.
  • 5 (a) to 5 (e) are the same as the time chart shown in FIG. 3 of the first embodiment. Further, the times T1 to T6 and the times T15 to T19 are the same as the time chart shown in FIG. 3 of the first embodiment.
  • Times T7 to T8 are times when the monitoring element 80 outputs a cutoff signal to the internal power cutoff element 100 according to the information notified from the microcomputer 40. Further, at times T7 to T8, the monitoring element 80 notifies the microcomputer 40 of a shutoff in progress signal indicating that the internal power cutoff element 100 is shut off by the mutual surveillance communication signal 81.
  • the microcomputer 40 monitors the internal power supply voltage 106 supplied to the communication circuit 70 shown in FIG. 5 (g) based on the interruption in progress signal notified from the monitoring element 80, and the internal power supply voltage 106 drops during the interruption. It is confirmed that the communication circuit 70 has a normal cutoff function. On the other hand, if the microcomputer 40 cannot confirm that the internal power supply voltage 106 has dropped with respect to the signal during shutoff of the internal power supply cutoff element 100 notified from the monitoring element 80, the cutoff function of the communication circuit 70 is activated. Judge that it is out of order.
  • the monitoring element 80 can switch the circuit to be interrupted depending on the failure diagnosis state of the microcomputer 40, and can configure a stepwise fail-safe as in the first embodiment. .. Further, as in the first embodiment, the frequency of failure diagnosis of the breaking function for each circuit can be increased, and there is an effect that the failure of the breaking function can be detected at an early stage.
  • the communication circuit 70 is connected by confirming the voltage drop of the internal power supply voltage 106 to which the communication circuit power supply terminals 75 of the plurality of communication circuits 70 are connected.
  • the failure diagnosis of the shutoff function can be performed, and the failure diagnosis can be simplified in a short time as compared with the first embodiment.
  • the present invention is not limited to the above-mentioned examples, and includes various modifications.
  • the above-described embodiment has been described in detail in order to explain the present invention in an easy-to-understand manner, and is not necessarily limited to those having all the described configurations.
  • it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment and it is also possible to add the configuration of another embodiment to the configuration of one embodiment.
  • control device 10 has described the single output drive circuit 60 and the communication circuit 70, respectively, but this also applies to the case where the output drive circuit 60 is a plurality of circuits or the communication circuit 70 is a plurality of circuits.
  • the invention is applicable. And even in this case, the same effect as in each embodiment can be obtained.
  • the monitoring element 80 may cut off the energization of the power supply voltage to at least one of the output drive circuits 60 based on a predetermined priority order, or all the output drives. The energization of the power supply voltage to the circuit 60 may be cut off.
  • the monitoring element 80 may switch the communication state of at least one of the communication circuits 70 based on a predetermined priority so that only data reception can be performed. The communication state of the communication circuit 70 may be switched so that only data reception can be performed, or at least one of the communication circuits 70 may be cut off from the power supply voltage.
  • the method based on the communication error as shown in the first embodiment and the internal power supply voltage 106 from the internal power supply cutoff element 100 as shown in the second embodiment are monitored. Although the method is shown, these may be combined and configured.
  • the communication circuit 70 can be switched to either a state in which either data transmission / reception can be performed or a state in which neither data transmission / reception can be performed (communication cutoff), but from the viewpoint of failure diagnosis of the communication circuit 70.
  • a state in which only data reception can be performed may be switchable instead of the communication cutoff state.
  • a state in which only data reception can be performed may be added.
  • the target driven by the plurality of linear solenoids 6 is a primary pulley, a secondary pulley, or the like.
  • the ECU 10 of the vehicle automatic transmission 2 is described in the embodiment, the present invention is not limited to the vehicle automatic transmission, and is for a vehicle including an output drive circuit 60 for driving a load and a communication circuit 70. Even when applied to a control device (for example, an engine control device), the same effect as that of the present invention can be obtained.
  • a control device for example, an engine control device
  • control lines and information lines indicate what is considered necessary for explanation, and not all control lines and information lines are necessarily shown on the product. In practice, it can be considered that almost all configurations are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Power Engineering (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Transportation (AREA)
  • Sustainable Energy (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Sustainable Development (AREA)
  • Automation & Control Theory (AREA)
  • Control Of Transmission Device (AREA)
  • Safety Devices In Control Systems (AREA)
  • Electronic Switches (AREA)

Abstract

遮断機能の故障診断の故障検知頻度を向上させることを可能にする。 外部装置の制御動作を行うマイコン４０と、マイコン４０を監視する監視素子８０と、マイコン４０からの指示に基づいて外部装置に制御信号を送出する出力駆動回路６０と、監視素子８０からの指示に基づいて他の車載制御装置との間での通信状態を切り替える通信回路７０と、監視素子８０からの指示に基づいて出力駆動回路６０へ供給される電源電圧の通電と遮断とを行う通電遮断素子５０とを有し、監視素子８０は、通信回路７０による通信状態の切替、及び通電遮断素子５０による電源電圧の通電及び遮断を独立して指示する。

Description

車載制御装置
　本発明は、車載制御装置に関する。
　車両に搭載される車載制御装置の一例として、車載電気負荷の一部であるリニアソレノイドの制御装置が知られている。
　一般的なリニアソレノイドの制御装置は、リニアソレノイドの制御を行うマイコンと、マイコンからの指示に基づいてリニアソレノイドの動作制御を行うための駆動信号を出力する出力駆動回路と、他の車載制御装置との通信を行う通信回路と、マイコンの動作を監視する監視素子と、出力駆動回路や通信回路の入出力を遮断する回路とを有する。
　ここで、マイコンの動作が異常であると、意図しない出力駆動回路の動作や通信回路によるデータ送受信が行われてしまう可能性がある。このため、監視素子によりマイコンの異常状態を検知し、マイコンの異常状態が検知されると出力駆動回路や通信回路の入出力を遮断する技術が公知である（例えば、特許文献１参照）。
　特許文献１に記載の技術は、マイコンを監視素子で監視し、マイコンの異常が発生すると、監視素子から出力駆動回路と通信回路へこれらを非能動化する信号を出力し、意図しない出力駆動回路の動作や通信回路によるデータ送受信を遮断し、適切な処理を行う技術である。
特表２００５－５３５０５４号公報
　上記特許文献１に記載された技術では、監視素子から出力される駆動回路を非能動化する信号と通信回路を非能動化する信号は共通信号となっている。
　ここで、監視素子による遮断機能の故障診断を実施する場合は、出力駆動回路と通信回路を遮断しても車両の動作が問題ないタイミングで実施する必要がある。つまり、出力駆動回路の遮断機能の故障診断であれば、負荷駆動の制御精度に影響が生じない時刻や負荷が作動していない状態などに限定された条件下で行う必要がある。また、通信回路の遮断機能の故障診断であれば、他の車載制御装置との通信が遮断されても影響がない状態などに限定された条件下で行う必要がある。
　しかし、上記特許文献１に記載された技術では、上述したように駆動回路を非能動化する信号と通信回路を非能動化する信号は共通信号となっているので、出力駆動回路の遮断機能の故障診断と通信回路の遮断機能の故障診断とを別個に行うことが困難であった。このため、遮断機能が正しく動作することを確認する故障診断の実施は限られたタイミングのみで実施され、タイムリーに遮断機能の故障を検知することが困難であった。
　本発明は上記の課題に鑑みてなされたもので、遮断機能の故障診断の故障検知頻度を向上させることが可能な車載制御装置を提供することにある。
　上記課題を解決すべく、本発明の一つの観点に従う車載制御装置は、外部装置の制御動作を行う制御部と、制御部を監視する監視部と、制御部からの指示に基づいて外部装置に制御信号を送出する出力駆動部と、監視部からの指示に基づいて他の車載制御装置との間での通信状態を切り替える通信部と、監視部からの指示に基づいて出力駆動部へ供給される電源電圧の通電と遮断とを行う通電遮断部とを有し、監視部が、通信部による通信状態の切替、及び通電遮断部による電源電圧の通電及び遮断を独立して指示する。
　本発明によれば、遮断機能の故障診断の故障検知頻度を向上させることが可能な車載制御装置を実現することができる。
実施例の車載制御装置が適用される車両用のトランスミッションシステムの概略構成図である。 実施例１の車載制御装置を示す概略構成図である。 実施例１の車載制御装置の動作を説明するタイムチャート図である。 実施例２の車載制御装置を示す概略構成図である。 実施例２の車載制御装置の動作を説明するタイムチャート図である。
　以下、本発明の実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。
　まず、後述する実施例である車載制御装置が適用される車両用のトランスミッションシステムについて説明する。
　図１は、実施例の車載制御装置が適用される車両用のトランスミッションシステムの概略構成図である。
　図１において、エンジン１は、変速機２を介して駆動輪３を駆動する。変速機２は、油圧ポンプ４から油圧が供給される油圧回路５によって動作制御される。
　油圧回路５は、複数のリニアソレノイド６により駆動制御される。これらのリニアソレノイド６は、ＥＣＵ（Electronic Control Unit：車載制御装置）１０から供給される駆動信号７により駆動制御される。
　図２は、実施例１のＥＣＵ（車載制御装置）１０を示す概略構成図である。なお、以下の説明において、ＥＣＵ（車載制御装置）を単に制御装置１０と呼ぶことがある。
　図２において、制御装置１０は、マイコン（制御部）４０と、電源ＩＣ９０と、監視素子（監視部）８０と、通電遮断素子（通電遮断部）５０と、電圧検出部５２と、出力駆動回路（出力駆動部）６０と、通信回路（通信部）７０とを有する。
　電源ＩＣ９０は、制御装置１０の外部に配置された図略のバッテリの下流に接続され、バッテリに接続された入力端子１２を介して入力された電源電圧に基づいて、制御装置１０の内部に配置される電子回路に供給される内部電源電圧を生成する。内部電源電圧は、電源ＩＣ９０の内部電源電圧出力端子９１から出力される。内部電源電圧出力端子９１から出力された電圧は、マイコン４０や通信回路７０などに供給される。
　通電遮断素子５０は、制御装置１０の外部に配置されたバッテリの下流に接続される。
電圧検出部５２は通電遮断素子５０の上流と下流に接続され、通電遮断素子５０の上流電圧と下流電圧を監視する。電圧検出部５２により監視される通電遮断素子５０の上流電圧と下流電圧の監視結果はマイコン４０に入力される。マイコン４０に入力される信号を上流電圧５３と下流電圧５４とする。また、バッテリの下流には図略のスイッチが接続され、制御装置１０の起動や停止を行うために、オン／オフされる。
　通電遮断素子５０は、通電遮断入力端子５１に入力される信号によって駆動され、バッテリに接続された入力端子１１を介して入力された電源電圧に基づいて、通電遮断素子５０の下流回路へ電源電圧の通電と遮断とを行う。通電遮断素子５０がオン（通電）の場合、通電遮断素子５０の上流電圧５３と下流電圧５４は同等になり、通電遮断素子５０がオフ（遮断）の場合、通電遮断素子５０の上流電圧５３と下流電圧５４は乖離する。
　このような通電遮断素子５０は、例えば電子リレーのように通電遮断入力端子５１への入力信号に基づいて電源電圧の通電と遮断とを択一的に切り替える素子であることが好ましい。通電遮断素子５０を用いずに出力駆動回路６０への電源電圧の通電及び通電遮断を行う素子、回路は周知であるが、通電遮断素子５０であれば電圧検出部５２により上流電圧５３と下流電圧５４とを監視するのみで出力駆動回路６０への電源電圧の通電状態を管理、監視することができ、簡易な構成でありながら確実に出力駆動回路６０への電源電圧の通電状態を制御することができる。
　出力駆動回路６０は、制御装置１０の外部負荷（リニアソレノイド６：外部装置）を駆動するための駆動信号７を出力端子６２から出力する。出力駆動回路６０は、マイコン４０からの出力駆動信号６１によって制御される。この出力駆動信号６１は出力駆動回路６０の入力端子に入力される。出力駆動回路６０の電源電圧入力端子６３には、通電遮断素子５０の下流電圧が印加され、通電遮断素子５０が通電状態のとき、出力駆動回路６０は動作する。
　通信回路７０は、マイコン４０から送信される送信信号７３を送信データとして他の制御装置に送信し、また、他の制御装置からの受信データを受信信号７４として、マイコン４０に入力する。通信回路７０による通信は、例えばＣＡＮ（Controller Area Network）による通信が挙げられる。
　また、通信回路７０は、監視素子８０の出力端子８４から通信状態切り替え端子７１に切替制御信号８５が入力されることで、その通信状態を切り替えることができる。通信回路７０は、一例として、データ送受信のいずれも行える状態、データ送受信のいずれも遮断した状態のいずれかにその通信状態を切り替えることができる。
　通電遮断素子５０の通電遮断入力端子５１には、この通電遮断素子５０を通電状態と遮断状態に切り替える通電遮断信号５５がマイコン４０から入力される。また、マイコン４０の動作を監視する監視素子８０がマイコン４０の動作状態が異常と判断した場合には、マイコン４０から通電状態とする信号が入力されていていても、監視素子８０の出力端子８２から出力される通電遮断信号８３が優先される信号が入力される。
　監視素子８０の出力端子８２から出力される通電遮断信号８３の一例として、通電遮断信号５５が通電遮断素子５０への通電状態切替信号をＨ（ハイ）、遮断状態切替信号をＬ（ロー）とした場合、通電遮断入力端子５１への通電遮断信号８３をＧＮＤ（グラウンド）状態にするスイッチング素子を監視素子８０と通電遮断素子５０との間に設け、スイッチング動作により通電遮断入力端子５１への入力信号を強制的にＬにするような例が挙げられる。
　切替制御信号８５は、通信回路７０の通信許可／遮断状態を切り替えるために、監視素子８０の出力端子８４から出力される。マイコン４０の動作が正常であれば、通信回路７０に対して、通信許可信号を出力し、マイコン４０の動作が異常であれば、通信回路７０に対して、通信遮断信号を出力する。
　マイコン４０は各種入出力信号に基づき、故障診断処理や出力駆動回路６０の通電制御を実施する。また、他の制御装置との通信処理を行い、例えば一定周期毎に送信や受信の処理を行う。また、監視素子８０に対して、マイコン４０の動作状態を踏まえた信号８１を、つまり、監視素子８０がマイコン４０の動作を評価するための信号を出力する。さらに、マイコン４０は自己診断機能が備えられており、マイコン４０の各種内蔵機能が正常状態であることを診断する。自己診断機能の結果である信号は、監視素子８０に対して出力される信号８１に含まれる。
　上述の自己診断機能は、例えば、アナログディジタル変換機能や、演算機能などの診断機能が考えられ、アナログディジタル変換機能が故障している場合と、演算機能が故障している場合では、送信データの内容は異なる。ここではマイコン４０の診断機能は上述の２つを記載しているが、マイコン４０に内蔵されている機能に対する診断機能を制約しているものではない。
　監視素子８０は、マイコン４０の動作が正しく行われているかを監視する。監視方法は互いに監視し合う通信方式を用いており、監視素子８０がマイコン４０の動作異常を検知した場合は、つまり、マイコン４０から監視素子８０へ通知される応答を評価して、マイコン４０が動作異常であると判断した場合は、監視素子８０からフェールセーフ動作を行うための制御信号を、つまり通電遮断信号８３と切替制御信号８５を出力する。
　上述したように、マイコン４０から監視素子８０に送信されるデータにはマイコン４０の自己診断結果が反映されている。例えば、アナログディジタル変換機能が故障している内容を示す送信データを監視素子８０が受信した場合は、監視素子８０は通電遮断素子５０を遮断する通電遮断信号８３のみを出力する。また、マイコン４０の演算機能が故障していることを示す送信データを監視素子８０が受信した場合は、通電遮断素子５０と通信回路７０を遮断する信号、つまり通電遮断信号８３と切替制御信号８５とを出力する。つまり、マイコン４０の故障状態によって、監視素子８０は異なるフェールセーフ制御を実行する。
　また、マイコン４０が監視素子８０の動作異常を検知した場合には、つまり、監視素子８０からマイコン４０へ通知される応答を評価して、監視素子８０が動作異常であると判断した場合は、マイコン４０がフェールセーフ動作を行うために、出力駆動回路６０に出力駆動信号６１を出力してこの出力駆動回路６０の動作切り替えを行い、または、通信回路７０に送信信号７３を送信して、他の制御装置に対して、異常状態であることを通知する処理を行う。
　また、マイコン４０と監視素子８０との相互監視の通信内容には、後述する通電遮断素子５０や通信回路７０に対する遮断許可信号や遮断実施中信号が含まれる。
　次に、図３を用いて、制御装置１０の動作を詳細に説明する。
　図３は、実施例１の車載制御装置の動作を説明するタイムチャート図である。
　図３（ａ）～（ｇ）は、各種制御装置の動作状態を横軸の時間Ｔの遷移とともに示している。図３（ａ）は、制御装置１０に供給される電源電圧を示しており、縦軸が電源電圧である。図中、電源電圧がＯＮであれば、制御装置１０が動作していることを示す。
　図３（ｂ）は、マイコン４０の動作状態を示し、動作状態ＭＡ～ＭＥで区別される。動作状態ＭＡは、出力駆動回路６０や通信回路７０を継続して動作させる必要がある状態を示す。動作状態ＭＢは、出力駆動回路６０を停止してもよい状態を示す。動作状態ＭＣは、通信回路７０を遮断してもよい状態を示す。動作状態ＭＤは、出力駆動回路６０と通信回路７０の両方を停止してもよい状態を示す。動作状態ＭＥは、マイコン４０が異常状態となり、出力駆動回路６０や通信回路７０の制御を正しく行えない状態を示す。
　図３（ｃ）は、監視素子８０の動作状態を示し、動作ＳＡ～ＳＥで区別される。動作状態ＳＡは、マイコン４０を動作監視する状態である。動作状態ＳＢはマイコン４０の動作監視を行い、さらに、通電遮断素子５０の故障診断を実施する状態である。動作状態ＳＣはマイコン４０の動作監視を行い、さらに、通信回路７０の遮断機能の故障診断を実施する状態である。動作状態ＳＤはマイコン４０の動作監視を行い、さらに、通電遮断素子５０の故障診断と通信回路７０の遮断機能の故障診断を実施する状態である。動作状態ＳＥは、マイコン４０の動作異常を検知し、監視素子８０がフェールセーフ制御を実施している状態である。
　図３（ｄ）は、通電遮断素子５０の制御信号の動作を示す。マイコン４０の動作状態がＭＢとＭＤ、かつ、監視素子８０の動作状態がＳＢとＳＤのときに、通電遮断素子５０の制御信号は、通電と非通電の切り替えが行われる。
　図３（ｅ）は、通電遮断素子５０の下流電圧、つまり、出力駆動回路６０の電源電圧の状態を示し、図３（ｄ）と合わせて、状態を説明する。図３（ｄ）で示す通電遮断素子５０の制御信号が通電状態のとき、出力駆動回路６０の電源電圧はバッテリ電圧相当の電圧となる。また、図３（ｄ）で示す通電遮断素子５０の制御信号が非通電状態のとき、出力駆動回路６０の電源電圧は０Ｖ相当の電圧となる。
　次に、図３（ｂ）、図３（ｃ）、図３（ｄ）及び図３（ｅ）の動作を合わせて説明する。時刻Ｔ２からＴ５は、マイコン４０が出力駆動回路６０を停止しても、制御装置１０が制御するシステムにおいて、影響がないと判断している時刻であり、例えば、車両停車中などが考えられる。つまり、時刻Ｔ３からＴ５において、マイコン４０から監視素子８０に対して相互監視通信信号８１で、通電遮断素子５０の遮断を許可していることを示す通電遮断素子５０の遮断許可信号を通知する時刻である。
　時刻Ｔ３からＴ４は、監視素子８０がマイコン４０から通知される情報によって、通電遮断素子５０に対して、非通電信号を出力する時刻である。また、時刻Ｔ３からＴ４においては、監視素子８０からマイコン４０に対して、相互監視通信信号８１で通電遮断素子５０を遮断していることを示す遮断実施中信号を通知する。
　マイコン４０は、監視素子８０から通知される遮断実施中信号を元に、図３（ｅ）で示す出力駆動回路６０の電源電圧を、つまり、通電遮断素子５０の下流電圧５４をモニタし、遮断中は電源電圧が低下することを確認し、出力駆動回路６０の遮断機能が正常であると判断する。一方で、マイコン４０が監視素子８０から通知される通電遮断素子５０の遮断実施中信号に対して、通電遮断素子５０の下流電圧５４が低下していないと判断した場合は、出力駆動回路６０の遮断機能が故障していると判断する。上述した説明は時刻Ｔ２からＴ５の制御装置の動作状態であるが、図３で示す時刻Ｔ１４からＴ１７も同じ動作状態である。
　図３（ｆ）は、通信回路７０の動作切り替えの制御信号の動作を示す。マイコン４０の動作状態がＭＣとＭＤ、かつ、監視素子８０の動作状態がＳＣとＳＤのときに、通信回路７０に切替制御信号８５が入力されることで、通信回路７０の通信と非通信（通信遮断）の切り替えが行われる。
　図３（ｇ）は、通信回路７０における通信状態を示し、図３（ｆ）と合わせて、状態を説明する。図３（ｆ）で示す通信回路７０の動作切り替え信号が通信のときは、他制御装置と通信が正常に行われるため、通信状態はエラーなしとなる。一方で、通信回路７０の動作切り替え信号が非通信のとき、他制御装置と通信が正常に行われないため、通信状態はエラーありとなる。
　次に、図３（ｂ）、図３（ｃ）、図３（ｆ）及び図３（ｇ）の動作を合わせて説明する。時刻Ｔ６からＴ９は、マイコン４０が通信を停止しても、制御装置１０が制御するシステムにおいて影響がないと判断している時刻である。例えば、他の制御装置と一定周期毎に送受信通信している場合、今回の送受信タイミングと次回の送受信タイミングの間の時刻などである。つまり、時刻Ｔ６からＴ９において、マイコン４０から監視素子８０に対して相互監視通信信号８１で、通信回路７０の遮断を許可していることを示す通信遮断許可信号を通知する時刻である。
　時刻Ｔ７からＴ８は、マイコン４０から通知される情報によって、監視素子８０が通信回路７０に対して非通信信号（切替制御信号８５）を出力する時刻である。また、時刻Ｔ７からＴ８においては、監視素子８０からマイコン４０に対して、相互監視通信信号８１で通信回路７０を遮断していることを示す遮断実施中信号を通知する。
　マイコン４０は、監視素子８０から通知される遮断実施中信号を元に、図３（ｇ）で示す通信状態のエラー有無をモニタし、遮断中はエラーが発生することを確認し、通信回路７０の遮断機能が正常であると判断する。一方で、マイコン４０が監視素子８０から通知される通信回路７０の遮断実施中信号に対して、通信状態のエラーが発生を確認できない場合は、通信回路７０の遮断機能が故障していると判断する。
　上述した説明では、出力駆動回路６０の出力遮断機能の診断と通信回路７０の通信遮断機能の診断を個別に説明したが、図３の時刻Ｔ１０～Ｔ１３で示すように、出力と通信の遮断機能の故障診断を同時に実施しても問題ない。
　次に、時刻Ｔ１８以降の制御装置１０の動作について説明する。
　時刻Ｔ１８以降は、マイコン４０が異常状態となり、監視素子８０がマイコン４０の異常を検知して、監視素子８０が通電遮断素子５０と通信回路７０を段階的に遮断している状態である。
　時刻Ｔ１８からＴ１９は、マイコン４０のアナログディジタル変換機能が故障している状態であり、監視素子８０は通電遮断素子５０を遮断している。つまり、通信回路７０は遮断されておらず、マイコン４０は通信回路７０を経由して、他の制御装置に対して、マイコン４０のアナログディジタル変換機能が故障していることを通知することができる。
　時刻Ｔ１９以降は、マイコン４０のアナログディジタル変換機能と演算機能が故障している状態であり、監視素子８０は通電遮断素子５０と通信回路７０を遮断している状態である。
　このように構成される本実施例によれば、制御装置１０は、リニアソレノイド６の制御動作を行うマイコン４０と、マイコン４０を監視する監視素子８０と、マイコン４０からの指示に基づいてリニアソレノイド６に制御信号を送出する出力駆動回路６０と、監視素子８０からの指示に基づいて他の車載制御装置との間での通信状態を切り替える通信回路７０と、監視素子８０からの指示に基づいて出力駆動回路６０へ供給される電源電圧の通電と遮断とを行う通電遮断素子５０とを有し、監視素子８０は、通信回路７０による通信状態の切替、及び通電遮断素子５０による電源電圧の通電及び遮断を独立して指示する。
　従って、本実施例によれば、遮断機能の故障診断の故障検知頻度を向上させることが可能となる。
　より詳細には、監視素子８０は、通信回路７０による通信状態の切替、及び通電遮断素子５０による電源電圧の通電及び遮断を独立して指示するので、制御装置１０が動作中であっても、出力駆動回路６０と通信回路７０を停止しても問題ない時刻に、出力駆動回路６０の電源電圧の遮断、または、通信回路７０の遮断、または、出力駆動回路６０と通信回路７０の両方の遮断を実施し、出力駆動回路６０の電源電圧を監視し、出力回路が動作しない電圧まで低下していることを確認し、または、通信回路７０でエラーが発生していることを確認することができる。これにより、各回路に対する遮断機能の故障診断の頻度を増やせて、早期に遮断機能の故障検知が可能となる。
　また、本実施例によれば、監視素子８０はマイコン４０の故障診断状態によって遮断する回路を切り替えることができ、段階的なフェールセーフを構成することができる。
　つまり、上記した特許文献１に記載された技術にあっては、監視素子から出力される駆動回路を非能動化する信号と通信回路を非能動化する信号は共通信号となっており、マイコンに故障が発生したときに、段階的なフェールセーフ制御が、例えば、駆動回路を非能動化した後、一定時間経過後に通信回路を非能動化するという制御が構築できなかった。
　本実施例の制御装置１０によれば、監視素子８０が、通信回路７０による通信状態の切替、及び通電遮断素子５０による電源電圧の通電及び遮断を独立して指示するので、段階的なフェールセーフ制御を実現することができる。
　図４は、実施例２の車載制御装置を示す概略構成図である。なお、以下の説明において、実施例１の車載制御装置１０と同一の構成要素については同一の符号を付し、その説明を簡略化する。
　本実施例の制御装置１０は、電源ＩＣ９０の内部電源電圧出力端子９１と通信回路７０の通信回路電源端子７５の間に、通信回路７０の電源供給を通電遮断するための内部電源遮断素子（電源遮断部）１００が接続され、さらに通信回路７０に入力される内部電源電圧１０６を電圧検出部５２で監視している点が実施例１と異なり、他の点は実施例１と同様である。
　内部電源遮断素子１００は、監視素子８０から出力されて内部電源通電遮断入力端子１０３に入力される内部電源通電信号１０５によって駆動され、内部電源通電信号１０５が入力される内部電源入力端子１０２と、内部電源電圧１０６を出力する内部電源出力端子１０１とを備える。
　内部電源遮断素子１００は、内部電源通電信号１０５が通電状態のときは、内部電源電圧１０６が出力されて、通信回路７０の通信回路電源端子７５に内部電源電圧１０６が供給される。内部電源通電信号１０５が遮断状態のときは、内部電源出力端子１０１には内部電源電圧１０６は出力されず、通信回路７０の通信回路電源端子７５への内部電源電圧１０６は遮断される。つまり、内部電源通電信号１０５が通電のときのみ通信回路７０が通信することができ、内部電源通電信号１０５が遮断のときは、通信回路７０の通信が遮断されることになる。
　次に、図５を用いて、制御装置１０の動作を詳細に説明する。
　図５は、実施例２の車載制御装置の動作を説明するタイムチャート図である。
　図５（ａ）から図５（ｅ）は、実施例１の図３に示すタイムチャートと同様である。また、時刻Ｔ１からＴ６と、時刻Ｔ１５からＴ１９までは、実施例１の図３に示すタイムチャートと同様である。
　時刻Ｔ７からＴ８は、監視素子８０がマイコン４０から通知される情報によって、内部電源遮断素子１００に対して、遮断信号を出力する時刻である。また、時刻Ｔ７からＴ８に　おいては、監視素子８０からマイコン４０に対して、相互監視通信信号８１で内部電源遮断素子１００を遮断していることを示す遮断実施中信号を通知する。
　マイコン４０は、監視素子８０から通知される遮断実施中信号を元に、図５（ｇ）で示す通信回路７０へ供給させる内部電源電圧１０６を監視し、遮断中は内部電源電圧１０６が低下していることを確認し、通信回路７０の遮断機能が正常であると判断する。一方で、マイコン４０が監視素子８０から通知される内部電源遮断素子１００の遮断実施中信号に対して、内部電源電圧１０６が低下していることを確認できない場合は、通信回路７０の遮断機能が故障していると判断する。
　以上のように、本実施例によれば、監視素子８０はマイコン４０の故障診断状態によって、遮断する回路を切り替えることができ、実施例１と同様に段階的なフェールセーフを構成することができる。また、実施例１と同様に各回路に対する遮断機能の故障診断の頻度を増やせて、早期に遮断機能の故障検知可能という効果を有する。
　ここで、内部電源遮断素子１００に複数の通信回路７０が接続する構成を考えてみる。
複数の通信回路７０を備える実施例１の構成の場合、通信回路７０の遮断確認は、複数の通信回路７０に対して、個別に遮断機能の故障診断を行う必要がある。一方で、複数の通信回路７０を備える実施例２の構成の場合、複数の通信回路７０の通信回路電源端子７５が接続された内部電源電圧１０６の電圧低下確認を行うことで、通信回路７０の遮断機能の故障診断を行うことができ、実施例１と比較して、故障診断を短時間、かつ、簡素化することが可能である。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。
例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　一例として、上述の実施例では、制御装置１０がそれぞれ単一の出力駆動回路６０及び通信回路７０について説明したが、出力駆動回路６０が複数、または、通信回路７０が複数回路の場合についても本発明は適用可能である。そして、この場合においても、各実施例と同様の効果が得られる。
　この際、監視素子８０は、マイコン４０の異常を検出したら、予め定めた優先順位に基づいて少なくともいずれかの出力駆動回路６０への電源電圧の通電を遮断してもよいし、全ての出力駆動回路６０への電源電圧の通電を遮断してもよい。同様に、監視素子８０は、マイコン４０の異常を検出したら、予め定めた優先順位に基づいて少なくともいずれかの通信回路７０の通信状態を切り替えてデータ受信のみ行える状態にしてもよいし、全ての通信回路７０の通信状態を切り替えてデータ受信のみ行える状態にしてもよいし、少なくともいずれかの通信回路７０への電源電圧の通電を遮断してもよい。
　また、通信回路７０の通信状態の切替確認は、実施例１に示したような通信エラーに基づく手法と、実施例２に示したような内部電源遮断素子１００からの内部電源電圧１０６を監視する手法とを示したが、これらを組み合わせて構成してもよい。
　さらに、実施例１において通信回路７０はデータ送受信のいずれも行える状態、またはデータ送受信のいずれも行えない（通信遮断）状態のいずれかに切替可能であったが、通信回路７０の故障診断という観点で考えれば、通信遮断状態に代えてデータ受信のみ行える状態に切替可能に構成してもよい。あるいは、データ送受信のいずれも行える／行えない状態に加えて、データ受信のみ行える状態を加えた構成にしてもよい。
　また、本発明が適用される車載制御装置１０の一例としては、ＣＶＴの制御装置がある。この場合、複数のリニアソレノイド６が駆動する対象は、プライマリプーリ、セカンダリプーリ等である。
　さらに、実施例では、車両用自動変速機２のＥＣＵ１０について記載しているが、本発明は車両用自動変速機に限定されず、負荷を駆動する出力駆動回路６０と通信回路７０を備える車両用制御装置（例えば、エンジン制御装置）に対して適用した場合であっても、本発明と同様の効果を得ることができる
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
　６…リニアソレノイド（外部装置）、１０…車載制御装置、４０…マイコン（制御部）、５０…通電遮断素子（通電遮断部）、５２…電圧検出部、５３…上流電圧、５４…下流電圧、６０…出力駆動回路（出力駆動部）、７０…通信回路（通信部）、８０…監視素子（監視部）、１００…内部電源遮断素子（電源遮断部）

Claims (12)

  1. 　外部装置の制御動作を行う制御部と、
    　前記制御部を監視する監視部と、
    　前記制御部からの指示に基づいて前記外部装置に制御信号を送出する出力駆動部と、
    　前記監視部からの指示に基づいて他の車載制御装置との間での通信状態を切り替える通信部と、
    　前記監視部からの指示に基づいて前記出力駆動部へ供給される電源電圧の通電と遮断とを行う通電遮断部とを有し、
    　前記監視部は、前記通信部による通信状態の切替、及び前記通電遮断部による前記電源電圧の通電及び遮断を独立して指示することを特徴とする車載制御装置。
  2. 　請求項１に記載の車載制御装置において、
    　前記監視部は、前記制御部の異常を検出したら前記通信部の通信状態及び前記通電遮断部の通電状態を切り替えることを特徴とする車載制御装置。
  3. 　請求項２に記載の車載制御装置において、
    　前記通電遮断部の上流電圧及び下流電圧を監視する電圧検出部を有し、
    　前記制御部は、前記通電遮断部が前記電源電圧を遮断している際の前記上流電圧及び前記下流電圧に基づいて前記通電遮断部の故障診断を行うことを特徴とする車載制御装置。
  4. 　請求項３に記載の車載制御装置において、
    　前記通信部は、前記他の車載制御装置との間において信号の送受信を行う状態と前記他の車載制御装置から前記信号の受信のみ行える状態とを切り替えることを特徴とする車載制御装置。
  5. 　請求項４に記載の車載制御装置において、
    　前記監視部は、前記制御部の異常を検出したら前記通電遮断部による前記電源電圧の通電を遮断し、前記通信部を前記信号の受信のみ行える状態に切り替えることを特徴とする車載制御装置。
  6. 　請求項３に記載の車載制御装置において、
    　前記監視部からの指示に基づいて前記通信部へ供給される電源電圧の通電と遮断とを行う電源遮断部を有することを特徴とする車載制御装置。
  7. 　請求項６に記載の車載制御装置において、
    　前記監視部は、前記制御部の異常を検出したら前記電源遮断部による前記電源電圧の通電を遮断し、前記通信部による前記信号の送受信を行わせないことを特徴とする車載制御装置。
  8. 　請求項１に記載の車載制御装置において、
    　複数の前記通信部を有し、
    　前記監視部は、前記制御部の異常を検出したら、予め定めた優先順位に基づいて少なくとも一つの前記通信部を前記信号の受信のみ行える状態に切り替えることを特徴とする車載制御装置。
  9. 　請求項１に記載の車載制御装置において、
    　複数の前記通信部を有し、
    　前記監視部は、前記制御部の異常を検出したら、全ての前記通信部を前記信号の受信のみ行える状態に切り替えることを特徴とする車載制御装置。
  10. 　請求項１に記載の車載制御装置において、
    　複数の前記通信部を有し、
    　前記監視部は、前記制御部の異常を検出したら、予め定めた優先順位に基づいて少なくとも一つの前記通信部による前記信号の送受信を行わせないことを特徴とする車載制御装置。
  11. 　請求項１に記載の車載制御装置において、
    　複数の前記出力駆動部を有し、
    　前記監視部は、前記制御部の異常を検出したら、予め定めた優先順位に基づいて少なくとも一つの前記出力駆動部への前記電源電圧の通電を遮断させることを特徴とする車載制御装置。
  12. 　請求項１に記載の車載制御装置において、
    　複数の前記出力駆動部を有し、
    　前記監視部は、前記制御部の異常を検出したら、全ての前記出力駆動部への前記電源電圧の通電を遮断させることを特徴とする車載制御装置。
PCT/JP2020/023148 2019-06-24 2020-06-12 車載制御装置 WO2020262031A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202080038611.9A CN113966492A (zh) 2019-06-24 2020-06-12 车载控制装置
US17/619,736 US11760203B2 (en) 2019-06-24 2020-06-12 On-vehicle control device
JP2021528169A JP7135211B2 (ja) 2019-06-24 2020-06-12 車載制御装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-116254 2019-06-24
JP2019116254 2019-06-24

Publications (1)

Publication Number Publication Date
WO2020262031A1 true WO2020262031A1 (ja) 2020-12-30

Family

ID=74061851

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/023148 WO2020262031A1 (ja) 2019-06-24 2020-06-12 車載制御装置

Country Status (4)

Country Link
US (1) US11760203B2 (ja)
JP (1) JP7135211B2 (ja)
CN (1) CN113966492A (ja)
WO (1) WO2020262031A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016128308A (ja) * 2015-01-09 2016-07-14 トヨタ自動車株式会社 電源装置
JP2016159672A (ja) * 2015-02-27 2016-09-05 日立オートモティブシステムズ株式会社 車両用相互監視モジュール
WO2017013934A1 (ja) * 2015-07-23 2017-01-26 日立オートモティブシステムズ株式会社 車載制御装置、車載制御システム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH04193640A (ja) * 1990-11-28 1992-07-13 Hino Motors Ltd 車両用制御装置
JP2003058285A (ja) * 2001-08-10 2003-02-28 Fujitsu Ten Ltd 制御システム
DE10236080A1 (de) 2002-08-07 2004-02-19 Robert Bosch Gmbh Verfahren und Vorrichtung zur Steuerung von Betriebsabläufen, insbesondere in einem Fahrzeug
JP2004350137A (ja) * 2003-05-23 2004-12-09 Denso Corp 車両用通信システム
JP4415142B2 (ja) * 2003-05-30 2010-02-17 豊丸産業株式会社 監視手段を備えた装置
JPWO2006027843A1 (ja) * 2004-09-03 2008-05-08 株式会社日立製作所 車両の通信制御装置
JP2009293583A (ja) * 2008-06-09 2009-12-17 Mitsubishi Electric Corp 電子制御ユニット
JP5204250B2 (ja) * 2011-01-31 2013-06-05 本田技研工業株式会社 車両用ブレーキ装置
TWI628908B (zh) * 2012-12-10 2018-07-01 澳大利亞商艾克西弗洛克斯控股私營有限公司 具有整合式差速器之電動馬達／發電機
JP2014147040A (ja) * 2013-01-30 2014-08-14 Furuno Electric Co Ltd アクセスポイント及び無線通信制御方法
WO2014186787A2 (en) * 2013-05-17 2014-11-20 fybr Distributed remote sensing system sensing device
DE102014204128A1 (de) * 2014-03-06 2015-09-10 Robert Bosch Gmbh Elektronische Einheit für eine Fahrzeugkommunikationsschnittstelle
WO2015194407A1 (ja) * 2014-06-18 2015-12-23 日立オートモティブシステムズ株式会社 車載制御装置または車載制御システム
CN107305372B (zh) * 2016-04-25 2020-06-19 岳秀兰 云计算网络架构的远程监控的电动汽车能源监控和补给网
JP6496342B2 (ja) * 2017-03-28 2019-04-03 株式会社Ｓｕｂａｒｕ 車両用制御装置
CN108189672B (zh) * 2018-01-12 2020-01-07 成都雅骏新能源汽车科技股份有限公司 一种基于功能安全的电动汽车集成控制器

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016128308A (ja) * 2015-01-09 2016-07-14 トヨタ自動車株式会社 電源装置
JP2016159672A (ja) * 2015-02-27 2016-09-05 日立オートモティブシステムズ株式会社 車両用相互監視モジュール
WO2017013934A1 (ja) * 2015-07-23 2017-01-26 日立オートモティブシステムズ株式会社 車載制御装置、車載制御システム

Also Published As

Publication number Publication date
CN113966492A (zh) 2022-01-21
US20220355668A1 (en) 2022-11-10
JPWO2020262031A1 (ja) 2020-12-30
JP7135211B2 (ja) 2022-09-12
US11760203B2 (en) 2023-09-19

Similar Documents

Publication Publication Date Title
JP4835842B2 (ja) ビルディングブロック型のセーフティ・コントローラにおけるｉｏユニット
JPWO2017056688A1 (ja) 監視システム及び車両用制御装置
WO2013084277A1 (ja) 電源電圧監視機能を有する電子制御装置及びそれを備えた車両ステアリング制御装置
CN112660158B (zh) 辅助驾驶控制系统
CN112889212B (zh) 电磁制动器控制装置和控制装置
WO2018155423A1 (ja) モータ制御装置およびモータ制御システム
JP5367458B2 (ja) モジュール間信号伝達方式
EP1363174B1 (en) Communication control system and method for supervising a failure
JP6334436B2 (ja) 車両用相互監視モジュール
WO2020262031A1 (ja) 車載制御装置
JP6825412B2 (ja) モータ制御装置
US11242065B2 (en) Device and method for controlling a signal connection of a vehicle
KR20150099153A (ko) 철도차량 도어 제어시스템
JP2006323551A (ja) プラント制御システム
JP2009538767A (ja) 多数の電気開閉器を有する装置
KR101731818B1 (ko) 교통 신호 제어기의 신호 컨트롤 이중화 시스템
WO2023157365A1 (ja) 機能安全装置
JP2006344023A (ja) 制御装置
KR101160549B1 (ko) 자동차의 전원 제어 시스템 및 방법
JP2017228159A (ja) 制御装置、および制御装置の制御方法
JP6625964B2 (ja) 昇降機制御装置および昇降機制御方法
JP2017220842A (ja) 二重化切替システム
CN115195638A (zh) 车辆电源控制装置
JP6379070B2 (ja) リレー回路故障診断装置
JP2022116376A (ja) 制御装置及び制御方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20831674

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021528169

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20831674

Country of ref document: EP

Kind code of ref document: A1