(57)【要約】【課題】  故障が潜在する場合に適切に安全状態を確保可能な車両制御装置を提供すること。【解決手段】  本発明では、アクチュエータをコントロールするマイクロコントローラは、自己診断機能により異常が検出された時に自身にリセットをかけ再起動させる一方、リセットされた回数が所定の回数になった時は再起動を無効化する再起動無効化機能を備えた。【選択図】      図２
2014019416.tif 000002
【特許請求の範囲】
【請求項１】
アクチュエータをコントロールするマイクロコントローラを備えた車両制御装置であって、
前記マイクロコントローラは、自己診断機能と、前記自己診断機能により異常が検出された時に自身にリセットをかけ再起動させる第１のリセット機能と、前記第１のリセット機能によりリセットされた回数をカウントアップするカウンタと、前記カウントアップされたリセット回数が所定の回数になった時に前記再起動を無効化する再起動無効化機能を備えたことを特徴とする車両制御装置。
【請求項２】
請求項１に記載の車両制御装置において、
前記カウンタを前記マイクロコントローラ内に記憶されたソフトウェアで実施することを特徴とする車両制御装置。
【請求項３】
請求項１または２に記載の車両制御装置において、
前記マイクロコントローラを監視する外部監視装置を備え、
前記外部監視装置によって異常が検出された時に前記マイクロコントローラにリセットをかけ、再起動を中止する第２のリセット機能を実行することを特徴とする車両制御装置。
【請求項４】
請求項１ないし３いずれか１つに記載の車両制御装置において、
前記マイクロコントローラは、車両のイグニッションがオンされたときに実行する第１の初期診断及び該第１の初期診断に続いて実行される第２の初期診断の後に制御プログラムを実行する構成であり、
前記第１のリセット機能により再起動した場合は、前記第１の初期診断を実施せずに前記第２の初期診断を実施することを特徴とする車両制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両制御装置に供えられたマイクロコントローラのリセット機能に関する。
【背景技術】
【０００２】
近年、車両制御装置の安全機構の高機能化が進んでおり、車両制御装置の構成部品であるマイクロコントローラは、内部に様々な自己診断機能を有している。例えば、ECC（Error Correcting Code）を利用したメモリ監視装置や、複数のコアによる演算結果の相互監視装置が知られている。
通常、これらの自己診断機能で何らかの故障を検出した場合、マイクロコントローラは初期状態にリセットされ、再起動する。マイクロコントローラが初期状態にリセットされることで、車両制御装置は安全状態になり、マイクロコントローラの故障に起因する車両制御装置の誤作動を防止することが可能となる。例えば、特許文献１に記載の装置がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第４４０２７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ここで、RAMにビット化けが発生した状態を想定すると、上述のECCを利用したメモリ監視装置がRAMのビット化けを検出した後、マイクロコントローラは初期状態から再起動する。もしビット化けの要因が電磁ノイズや宇宙線だった場合、初期化することでRAMのデータは一度クリアされるので、電磁ノイズや宇宙線が一時的なものであれば、RAMを正常な状態に復帰させることが可能である。
【０００５】
一方で、ビット化けの要因が物理的な損傷だった場合、初期化したとしてもビット化けの要因が残り続けることになり、ビット化けを起こした領域にアクセスした時に再び検出されることになる。すなわち、従来の安全機能のみでは、マイクロコントローラのある故障モード（例えばRAMのビット化け）に起因し、故障検出とマイクロコントローラのリセットによる再起動を交互に繰り返す無限ループに陥る状態が存在した。これは、車両制御装置の遷移状態として望ましい状態ではなく、故障が潜在する場合は安全状態を維持することが望ましい。
本発明の目的は、故障が潜在する場合に適切に安全状態を確保可能な車両制御装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明では、アクチュエータをコントロールするマイクロコントローラは、自己診断機能により異常が検出された時に自身にリセットをかけ再起動させる一方、リセットされた回数が所定の回数になった時は再起動を無効化する再起動無効化機能を備えた。
【発明の効果】
【０００７】
よって、故障検出とマイクロコントローラのリセットによる再起動が交互に繰り返される無限ループを回避することができる。これにより、マイクロコントローラに故障が潜在する場合であっても、車両制御装置を安全な状態に維持することができる。
【図面の簡単な説明】
【０００８】
【図１】実施例１のブレーキ制御装置の構成を表すシステム図である。
【図２】実施例１の電子制御ユニット内の構成を表すブロック図である。
【図３】実施例１のブレーキ制御装置において実行されるソフトウェア処理を表すフローチャートである。
【図４】実施例１のイニシャル処理を表すフローチャートである。
【発明を実施するための形態】
【０００９】
〔実施例１〕
図１は実施例１のブレーキ制御装置の構成を表すシステム図である。ブレーキ制御装置は、車輪速センサやヨーレイトセンサ等のセンサ１から検出された信号に基づいて車輪ロック防止制御や横滑り防止制御を行う電子制御ユニット２と、電子制御ユニット２において演算された制御指令に基づいてモータ駆動により作動するポンプ、複数の電磁弁等を作動させるアクチュエータ３と、を有する。電子制御ユニット２内には、各種制御演算処理を行うマイクロコントローラ２１と、このマイクロコントローラ２１を監視するマイクロコントローラ監視IC２２とを備える。
運転者が操作するブレーキペダルBPには、制動液圧を発生させるマスタシリンダM/Cが接続され、マスタシリンダM/Cから出力された液圧は、アクチュエータ３内に導入される。アクチュエータ３には、４輪の各車輪に制動力を発生させるホイルシリンダW/Cが接続されている。アクチュエータ３は、各種制御指令に基づいてマスタシリンダM/Cから供給された液圧を制御、もしくはポンプアップによりアクチュエータ液圧を発生させてホイルシリンダW/Cに供給する液圧を制御する。
【００１０】
図２は実施例１の電子制御ユニット内の構成を表すブロック図である。マイクロコントローラ２１内には、自己診断機能部213と、リセット機能部212と、リセット回数カウント機能部211とを有する。また、マイクロコントローラ監視IC２２内には、外部監視機能部221を有する。実施例１では、これら各機能部により故障検出とマイクロコントローラのリセットによる再起動を交互に繰り返す無限ループに陥る状態を回避する再起動無効化機能を実現する。以下、各機能部における詳細について説明する。
【００１１】
（自己診断機能部について）
自己診断機能部213は、マイクロコントローラ２１の内部に設けられ、故障発生の有無を常時監視している。本機能は、例えばECC（Error Correcting Code）を利用したメモリ監視機能や、複数のコアによる演算結果の相互監視機能を有する。仮に、マイクロコントローラ２１を初期状態にリセットする必要がある故障が発生した場合、自己診断機能により故障検出した後、後述のリセット機能部212に対してリセット及び再起動を要求する（図２のSIG2参照：第１のリセット機能）。
【００１２】
（外部監視機能部について）
外部監視機能部221は、マイクロコントローラ２１の外部に設けられ、マイクロコントローラ２１から規則的、かつ、周期的に出力されるプログラム作動信号（図２のSIG1参照）を監視している。本機能は、例えばウォッチドッグタイマで達成され、プログラム作動信号（SIG1）の規則性や周期性が崩れた場合、後述のリセット機能部212に対してリセット及び再起動を要求する（図２のSIG3参照：第２のリセット機能）。
更に、プログラム作動信号（SIG1）が所定時間停止した場合は、後述のリセット機能部212に対してリセットのみ要求する。このリセット要求信号（SIG3）は、マイクロコントローラ２１が起動中はハイレベルに保たれており、マイクロコントローラ２１にリセットを要求する場合はローレベルに切り換える。続いて、ローレベルから再びハイレベルに切り換えることで、マイクロコントローラ２１に再起動を要求する。
すなわち、プログラム作動信号（SIG1）がある一定時間停止した場合は、リセット要求信号（SIG3）をローレベルに保持することで、以降の再起動を無効にできる。尚、リセット要求信号（SIG3）をローレベルに保持した状態は、イグニッションスイッチがオフされるまで解除されない。
【００１３】
（リセット機能部について）
リセット機能部212は、マイクロコントローラ２１の内部に設けられ、リセット要求信号（SIG2，SIG3）の状態に応じてマイクロコントローラ２１のリセット及び起動を制御する。
（リセット回数カウント機能部について）
リセット回数カウント機能部211は、マイクロコントローラ２１の内部に設けられ、マイクロコントローラ２１のリセット回数をカウントする。尚、本機能はソフトウェアで実現する方が望ましく、その理由については後述する。
【００１４】
〔ブレーキ制御装置における制御処理〕
図３は、実施例１のブレーキ制御装置において実行されるソフトウェア処理を表すフローチャートである。ブレーキ制御装置のソフトウェア処理は、主に二つの処理、すなわちイニシャル処理S1とブレーキ制御処理S2から構成されている。イニシャル処理S1は、マイクロコントローラ２１の起動直後（故障検出後に再起動した場合も含む）に実行される。
（イニシャル処理について）
図４は実施例１のイニシャル処理を表すフローチャートである。イニシャル処理S1が開始されると、ステップS11では、まず初期診断１（ステップS12）の実行要否を判断するため、イグニッションオン直後の初回起動なのか、もしくは再起動なのかを判定する。初回起動の場合はステップS12に進んで初期診断１を行い、それ以外の場合はステップS14に進む。
【００１５】
ステップS12で行われる初期診断１は、同じイグニッションオン中に少なくとも一回実行する必要がある診断、例えばロジックBISTやメモリBISTが該当する。従って、再起動の場合は初期診断１を必ずしも実行する必要はなく、実行しない方がイニシャル処理S1に要する時間を短縮できるため、望ましい。
ステップS13では、初期診断１の判定を行い、診断結果が正常であれば初期診断２（ステップS14）へ、異常であればステップS18に進んでフェイルセーフ処理を実行する。
ステップS14では、初期診断２を実行する。具体的には、リセット回数カウント処理が実装されているROM領域に対してSUMチェックを実行する。
ステップS15では、初期診断２の判定を行い、診断結果が正常であればステップS16に進んでリセット回数カウント処理を行い、異常であればステップS18に進んでフェイルセーフ処理を実行する。
【００１６】
ステップS16では、リセット回数カウント処理を実行する。具体的には、リセットが行われる度にカウンタをインクリメントする。
ステップS17では、リセット回数が所定値未満か否かを判断し、所定値未満の場合はイニシャル処理S1を終了し、リセット回数が所定値以上の場合はステップS18に進んでフェイルセーフ処理を実行する。
ステップS18では、フェイルセーフ処理を実行する。このフェイルセーフ処理では、ブレーキ制御装置を安全状態へ移行させるための設定を行う。例えば、後述のブレーキ制御機能（車輪ロック防止機能や横滑り防止機能）の一部を制限したり、故障部位に応じた所定のコードを書き換え可能な不揮発性メモリに記憶する。更に、もしリセット回数が所定値以上と判定された場合は、前述のブレーキ制御装置におけるプログラム作動信号（SIG1）の出力を禁止するための設定を行う。
【００１７】
（ブレーキ制御処理について）
図３のフローチャートに示すように、ステップS1においてイニシャル処理が終了すると、ステップS2においてブレーキ制御処理、すなわち、ブレーキ制御機能（車輪ロック防止機能や横滑り防止機能）が実行される。更に、本処理が開始した直後に、プログラム作動信号（SIG1）の出力を開始する。ただし、前述のステップS18におけるフェイルセーフ処理においてプログラム作動信号（SIG1）の出力が禁止されている場合は、プログラム作動信号（SIG1）を出力しない。
【００１８】
〔再起動無効化機能による作用〕
次に、上記制御処理により達成される再起動無効化機能の動作について説明する。まず、故障検出とマイクロコントローラのリセットによる再起動を交互に繰り返す無限ループに陥る事態として、RAMの物理的損傷によるビット化けが発生した状況を想定して説明する。
(i)RAMのビット化けが発生すると、自己診断機能部213がその故障を検出し、リセット機能部212に対してリセット要求信号（SIG2）を出力する。
(ii)次に、リセット要求信号（SIG2）を受信したリセット機能部212がマイクロコントローラ２１を初期状態にリセットし、再起動させる。
(iii)再起動後、リセット回数カウント機能部211によりリセット回数カウンタをインクリメントする。
(iv)上記(i)〜(iii)を繰り返し、リセット回数カウンタが所定値に達した時点で、プログラム作動信号（SIG1）を停止する。
(v)プログラム作動信号（SIG1）が停止したことを外部監視機能221が検出し、リセット要求信号（SIG3）をローレベルに保持する。これにより、イグニッションスイッチがオフされるまでの間、マイクロコントローラ２１はリセット状態のまま保持される。
【００１９】
以上説明したように、実施例にあっては下記に列挙する作用効果が得られる。
（１）アクチュエータ３をコントロールするマイクロコントローラ２１を備えた車両制御装置であって、マイクロコントローラ２１は、自己診断機能部213と、自己診断機能部213により異常が検出された時に自身にリセットをかけ再起動させる第１のリセット機能と、第１のリセット機能によりリセットされた回数をカウントアップするカウンタ（ステップS16）と、カウントアップされたリセット回数が所定の回数になった時に再起動を無効化する再起動無効化機能（ステップS18）を備えた。
よって、故障検出とマイクロコントローラ２１のリセットによる再起動が交互に繰り返される無限ループを回避することができる。これにより、マイクロコントローラ２１に故障が潜在する場合は、車両制御装置を安全な状態に維持することができる。
【００２０】
（２）カウンタをマイクロコントローラ２１内に記憶されたソフトウェアで実施する。
よって、新たにハードウェアを追加することなく、車両制御装置を安全な状態に維持することができる。
【００２１】
（３）マイクロコントローラ２１を監視する外部監視機能部221（外部監視装置）を備え、外部監視機能部221によって異常が検出された時にマイクロコントローラ２１にリセットをかけ、再起動を中止する第２のリセット機能を実行する。
よって、マイクロコントローラ２１のプログラム作動信号に異常が生じた場合には、外部からリセットを要求しつつ再起動を無効化することができ、車両制御装置を安全な状態に維持することができる。
【００２２】
（４）マイクロコントローラ２１は、車両のイグニッションがオンされたときに実行する第１の初期診断及び該第１の初期診断に続いて実行される第２の初期診断の後にブレーキ制御処理（制御プログラム）を実行する構成であり、第１のリセット機能により再起動した場合は、第１の初期診断を実施せずに前記第２の初期診断を実施する。
すなわち、第１の初期診断はイグニッションオン中に少なくとも一回実行すればよく、再起動時に必ずしも実行する必要が無いことから、第１の初期診断を実施を回避することでイニシャル処理に要する時間を短縮することができる。
【００２３】
以上、各実施例について説明したがこれに限定されるものではなく、発明の範囲であれば他の構成であっても構わない。例えば、実施例ではブレーキ制御装置に適用した例を示したが、他の制御装置、例えばエアバッグシステムや、可変舵角制御システム、減衰力可変制御システム等に適用してもよい。
【符号の説明】
【００２４】
１    センサ
２    電子制御ユニット
３    アクチュエータ
２１    マイクロコントローラ
211    リセット回数カウント機能部
212    リセット機能部
213    自己診断機能部
221    外部監視機能部
２２    マイクロコントローラ監視IC
【図１】
2014019416.tif 000003
【図２】
2014019416.tif 000004
【図３】
2014019416.tif 000005
【図４】
2014019416.tif 000006