(57)【特許請求の範囲】
【請求項１】
車両に搭載される電子制御装置であって、
制御信号により駆動部の制御を実行するマイコンと、
前記マイコンの動作を監視し、前記マイコンに異常があった場合に前記駆動部に遮断信号を送信する監視ＩＣと、
前記駆動部の目標制御量を示す目標値を出力する目標値出力部と、
前記電子制御装置の制御に必要な値を検出して出力する複数のセンサと、
を備え、
前記マイコンが、
前記目標値出力部の目標値と前記複数のセンサのうち１個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第１レベル制御処理部と、
前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出部と、前記複数のセンサのうち少なくとも２つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出部と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理部と、からなる第２レベル制御処理部と、
を含み、
前記推定値算出部で用いられる前記複数のセンサのうちの第１センサ値が故障で異常となった際に、前記推定値算出部で用いられる第２センサ値が前記故障と同じ要因で設定時間内に異常とならない前記第１センサ値と前記第２センサ値を得るようにする独立性保証部を備えた、電子制御装置。
【請求項２】
前記独立性保証部が、
前記故障が発生した場合に、前記第１センサ値に異常が発生した後、前記第１レベル制御処理部、または前記第２レベル制御処理部における制御周期の少なくとも１周期の間は前記故障と同じ要因により前記第２センサ値に異常を発生させないようにするものである、請求項１に記載の電子制御装置。
【請求項３】
前記独立性保証部が、
前記第１センサ値を、前記電子制御装置の内部で検出される値とし、
前記第２センサ値を、前記電子制御装置と通信可能な第１外部電子制御装置から送信される値とする、請求項１に記載の電子制御装置。
【請求項４】
前記電子制御装置は、前記第２センサ値を送信可能な第２外部電子制御装置とも通信可能に接続されており、
前記独立性保証部が、
前記推定値が前記許容値の範囲から外れる場合に、前記第１外部電子制御装置が故障していれば、前記第２外部電子制御装置に前記第２センサ値を要求する、請求項３に記載の電子制御装置。
【請求項５】
前記電子制御装置は、前記第２レベル制御処理部の制御周期を変更する制御周期変更部を備え、前記第２外部電子制御装置に前記第２センサ値を要求する前に、前記第２レベル制御処理部の制御周期を要求前よりも長い制御周期に変更する、請求項４に記載の電子制御装置。
【請求項６】
前記第２外部電子制御装置から前記第２センサ値が送信されると、前記制御周期変更部が、変更した前記第２レベル制御処理部の制御周期を変更前の制御周期に戻す、請求項５に記載の電子制御装置。
【請求項７】
前記独立性保証部が、前記第１センサ値を出力する第１センサと前記第２センサ値を出力する第２センサとの電源を異なる電源としたものである、請求項１に記載の電子制御装置。
【請求項８】
制御信号により駆動部の制御を実行するマイコンと、前記マイコンの動作を監視し、前記マイコンに異常があった場合に前記駆動部に遮断信号を送信する監視ＩＣと、前記駆動部の目標制御量を示す目標値を出力する目標値出力部と、制御に必要な値を検出して出力する複数のセンサと、を備えた、車両に搭載される電子制御装置のための制御方法であって、
前記目標値出力部の目標値と前記複数のセンサのうち１個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第１制御処理と、
前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出と、前記複数のセンサのうち少なくとも２つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理と、からなる第２制御処理と、
を含み、
前記推定値算出で用いられる前記複数のセンサのうちの第１センサ値が故障で異常となった際に、前記推定値算出で用いられる第２センサ値が前記故障と同じ要因で設定時間内に異常とならないように前記第１センサ値と前記第２センサ値を得る、電子制御装置のための制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、車両に搭載され、発生した故障に対して独立である複数のセンサを用いて、センサの故障および制御処理への異常処理を行う電子制御装置および電子制御装置のための制御方法に関する。
【背景技術】
【０００２】
近年、ＣＯ２排出量の削減規制による電動化要求に伴い、多くのＥＣＵ(Electronic Control Unit)と呼ばれる電子制御装置が搭載されるようになってきた。
【０００３】
車両を構成するハードウェア部品の複雑化およびソフトウェアの肥大化により、車両に搭載されるＥＣＵも、システムがますます複雑化している。これらに伴い、機能安全規格ＩＳＯ２６２６２が発行され、想定される様々な故障に対して安全確保のためのフェールセーフおよび安全確保のための対策が求められるようになっている。
【０００４】
電子制御装置に対する様々な故障対策を実現できる従来技術として、３レベルモニタリングコンセプトなどが提唱されている(例えば、特許文献１)。３レベルモニタリングコンセプトは、ＥＣＵの機能を動作させる通常制御と、ＥＣＵが危険な状態を招くような状況を防ぐようにするフェールセーフを以下に示す３レベルで構成する。
第１のレベル：通常の制御機能を実現するマイクロコンピュータ(以下マイコン等とする)のソフトウェアプログラム
第２のレベル：第１のレベルの処理が正しく実施されているか否かを診断し、異常が検出されると制御対象の出力を遮断するマイコンのソフトウェアプログラム
第３のレベル：第２のレベルの診断が順序どおり正しく処理が実施されているか診断し、異常が検出されると第２のレベルと同様に制御対象の出力を遮断するマイコンのソフトウェアプログラムとマイコン以外のＩＣなどによる監視機構
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−１０８９４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来技術を車両のフェールセーフのために適用すると、以下のような課題がある。
上記特許文献１における構成においては、制御量演算に用いるスロットル位置センサまたはアクセル位置センサが、ある要因で故障することに対して、スロットル位置やアクセル位置のセンサを冗長化し、該当するセンサと冗長化したセンサの双方でセンサの出力の信憑性診断をしている。これにより、センサが異常となった場合においても、遮断信号によりＥＣＵを安全な動作へ導くことが可能となる。ただし、この構成では、センサ全てに対して、冗長なセンサを設け、センサの信憑性診断を行う必要があるため、基板面積の増加やコストアップとなることが懸念される。
【０００７】
この発明は、上記のような課題を解決するためになされたものであり、冗長な構成を最小限に抑えつつ、３レベルモニタリングコンセプトによる制御の信頼性を向上させる電子制御装置および電子制御装置のために制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
この発明は、車両に搭載される電子制御装置であって、制御信号により駆動部の制御を実行するマイコンと、前記マイコンの動作を監視し、前記マイコンに異常があった場合に前記駆動部に遮断信号を送信する監視ＩＣと、前記駆動部の目標制御量を示す目標値を出力する目標値出力部と、前記電子制御装置の制御に必要な値を検出して出力する複数のセンサと、を備え、前記マイコンが、前記目標値出力部の目標値と前記複数のセンサのうち１個以上のセンサの出力を用いて通常制御のための前記制御信号を演算して出力する第１レベル制御処理部と、前記目標値出力部の目標値から前記駆動部の出力の許容値を演算する許容値算出部と、前記複数のセンサのうち少なくとも２つのセンサ値を用いて前記駆動部の出力の推定値を演算する推定値算出部と、前記許容値と前記推定値を比較し、前記推定値が前記許容値の範囲から外れる場合は、前記駆動部に遮断信号を出力する比較処理部と、からなる第２レベル制御処理部と、を含み、前記推定値算出部で用いられる前記複数のセンサのうちの第１センサ値が故障で異常となった際に、前記推定値算出部で用いられる第２センサ値が前記故障と同じ要因で設定時間内に異常とならない前記第１センサ値と前記第２センサ値を得るようにする独立性保証部を備えた、電子制御装置。等にある。
【発明の効果】
【０００９】
この発明では、冗長な構成を最小限に抑えつつ、３レベルモニタリングコンセプトによる制御の信頼性を向上させる電子制御装置および電子制御装置のための制御方法を提供できる。
【図面の簡単な説明】
【００１０】
【図１】この発明の実施の形態１にかかる電子制御装置の構成を示す機能ブロック図である。
【図２】この発明の実施の形態１にかかる電子制御装置における推定値と許容値を説明するための模式図である。
【図３】この発明の実施の形態１にかかる電子制御装置におけるセンサとセンサに供給される電源の構成の別の例を示すブロック図である。
【図４】この発明の実施の形態１にかかる電子制御装置におけるセンサ異常と第２のレベルのプログラムに相当する第２レベル制御処理部の制御周期の関係の一つの形態を説明するための図である。
【図５】この発明の実施の形態１にかかる電子制御装置におけるセンサ異常と第２のレベルのプログラムに相当する第２レベル制御処理部の制御周期の関係の別の形態を説明するための図である。
【図６】この発明の実施の形態２にかかる電子制御装置およびその周辺の構成の１つの形態の機能ブロック図である。
【図７】この発明の実施の形態２にかかる電子制御装置およびその周辺の構成の別の形態の機能ブロック図である。
【図８】この発明の実施の形態２にかかる電子制御装置の独立性保証部と制御周期変更部の処理動作の一例を示す動作フローチャートである。
【図９】この発明による電子制御装置のマイコンの一般的な構成の一例を示す図である。
【発明を実施するための形態】
【００１１】
この発明では、車両に搭載されるマイコン１０を内蔵した制御装置であって、マイコン１０が実行するプログラムは、３つのレベルで構成されている。第１のレベルは制御対象を制御するためのプログラム、第２のレベルは、第１のレベルの制御処理や入力処理が正しく行われているかどうかを判断するプログラムである。
さらに、第２のレベルのプログラムでは、複数の入力信号を備える。複数の入力信号は１つの要因で複数故障することがないように、複数の入力信号がそれぞれ独立な要素に対応する仕組みを備えている。そして複数の入力信号を用いて、制御対象が出力する値の推定値を導出する推定値算出処理と、そのとき制御対象が出力する値の許容値を導出する許容値算出処理を備えている。推定値算出処理と許容値算出処理の結果を比較することで、センサ値の異常や、第１のレベルのプログラムに基づく処理により出力された値の異常を検出することが可能となる。このとき、１つの要因で同時に異常とならない複数の入力信号を備えているため、推定値算出処理に入力される信号は、必ず１つは正しい値を示す。そのため、許容値算出処理と推定値算出処理において、異常を検出することが可能である。また、第２のレベルのプログラムで、異常を検出した場合、駆動部に対して、第１のレベルが出力する制御信号に応じた出力を駆動部から出力しないように、遮断信号を送信する。
さらに、第３のレベルのプログラムでは、予め定められた設定時間間隔で第２のレベルのプログラムが正常に動作することを監視し、異常な動作となっていると判断した場合は、駆動部に向けて遮断信号を送信する。
【００１２】
このようなこの発明の電子制御装置により、冗長な構成を最小限に抑えつつ、３レベルモニタリングコンセプトによる制御の信頼性を向上させることができる。
なお、一般的に別々の要因で故障する２つのセンサがある場合、それら両方が２つとも故障する確率はかなり低いため、考慮しなくともよいとされる。
【００１３】
以下、この発明による電子制御装置および電子制御装置のための制御方法を各実施の形態に従って図面を用いて説明する。なお、各実施の形態において、同一もしくは相当部分は同一符号で示し、重複する説明は省略する。
なお、以下の各実施の形態では、車両に電子制御装置(以降、第１のＥＣＵ１０１)が搭載されている場合について説明する。
また、上述の第１、第２、第３のレベルのプログラムに従って制御処理を行う部分をそれぞれ第１、第２、第３レベル制御処理部とする。
【００１４】
実施の形態１．
図１はこの発明の実施の形態１にかかる電子制御装置の構成を示す機能ブロック図である。電子制御装置である第１のＥＣＵ１０１は、車両における駆動力を出力するための電子制御スロットル制御や、モータジェネレータ制御を行う。
【００１５】
第１のＥＣＵ１０１は、マイコン１０と、監視ＩＣ(Integrated Circuit)１１と、マイコン１０が出力した信号により駆動される、電子制御スロットル制御や、モータジェネレータ制御のための駆動部１２と、駆動部１２に所望の動作を行わせるための目標値を出力する目標値出力部２００と、第１のＥＣＵ１０１で演算を実施するために必要な車両および車両制御の状態に関する現在値を検出する複数の第１センサ２０１、第２センサ２０２および第３センサ２０３とを備える。センサの数は複数あればよい。
【００１６】
マイコン１０は公知のように、例えば概略、図９に示すような構成を有する。インターフェース(Ｉ／Ｆ)１０ａを介して外部との入出力を行い、ＣＰＵ１０ｂがメモリ１０ｃに格納された制御処理に必要なプログラムおよびデータ、さらに外部からのデータ、信号等に従って種々の制御のための演算処理を行い、処理結果を外部に出力すると共に、必要に応じてメモリ１０ｃに記録しておく。図１のマイコン１０では、上記プログラムに従って実行される各処理が機能ブロックとして示されている。
【００１７】
マイコン１０は、第１から第３レベルのプログラムにより実行されるそれぞれ第１から第３レベル制御処理部２１，２２，２３に分けることができる。
第１レベルのプログラムで実行される第１レベル制御処理部２１は、第１から第３センサ２０１，２０２，２０３から得たセンサ値および目標値出力部２００から得た目標値を用いて駆動部１２を所望の状態に制御するための制御信号を出力する通常制御部２１ａを備える。
第２レベルのプログラムで実行される第２レベル制御処理部２２は、第１レベル制御処理部２１やセンサ２０１−２０３が正しく動作しているか否かを判断する。
第３レベルのプログラムで実行される第３レベル制御処理部２３は、監視ＩＣ１１と連携して、第２レベル制御処理部２２やマイコン１０が正しく動作している否かの確認を行う。
【００１８】
第２レベル制御処理部２２は、
第２センサ２０２および第３センサ２０３の２つのセンサ値を入力として、そのとき駆動部１２の出力の推定値、ひいては通常制御部２１ａの出力する制御信号の推定値を算出する推定値算出部２２ｂと、
１つ以上のセンサ値や目標値出力部２００の目標値を入力として、そのとき駆動部１２の出力の許容値、ひいては通常制御部２１ａの出力する制御信号の許容値を算出する許容値算出部２２ａと、
許容値算出の結果と推定値算出の結果を比較し、推定値が許容値の設定範囲外である場合に異常と判定し、駆動部１２へ遮断信号１を出力する比較処理部２２ｃを備える。
また、監視ＩＣ１１が診断を開始すると、第３レベル制御処理部２３から第２レベル制御処理部２２へ送信されるレベル２診断信号を受信するレベル２診断受信部と、レベル２診断信号を入力とした第２レベル制御処理部２２の実行結果をレベル２診断結果信号として、第３レベル制御処理部２３に送信するレベル２診断送信部と、を備え、これらを第１レベル２診断送受信部２２ｄとして示す。
【００１９】
第３レベル制御処理部２３は、
監視ＩＣ１１から送信されたマイコン診断信号を受信するマイコン診断受信部と、
マイコン診断信号に応じてレベル２診断信号を生成して送信し、第２レベル制御処理部２２に診断開始を伝えるレベル２診断信号生成部と、
第２レベル制御処理部２２の処理の一部を命令複製して検査を行う命令複製検査診断部と、
第２レベル制御処理部２２から送信されたレベル２診断結果信号を受けるレベル２診断受信部と、
診断実行結果と第２レベル制御処理部２２から送信されたレベル２診断結果信号に従って異常の有無を判定し、診断結果を生成する診断結果生成部と、
監視ＩＣ１１にマイコン１０の診断結果を送信するマイコン診断送信部を備える。
ここで、レベル２診断信号生成部とレベル２診断受信部を第２レベル２診断送受信部２３ａとして示し、マイコン診断受信部とマイコン診断送信部を第１マイコン診断送受信部２３ｄとして示し、命令複製検査診断部と診断結果生成部はそのまま命令複製検査診断部２３ｂおよび診断結果生成部２３ｃとして示す。
【００２０】
監視ＩＣ１１は、マイコン１０の第３レベル制御処理部２３に対して、マイコン１０が正しく動作しているかどうかの診断を開始するマイコン診断信号を送信するマイコン診断開始部と、
第３レベル制御処理部２３が送信するマイコン診断結果信号を受信するマイコン診断結果受信部と、
マイコン１０が異常状態であることが判定されると、駆動部１２に遮断信号２を送信するマイコン診断結果判定部を備える。
ここで、マイコン診断開始部とマイコン診断結果受信部を第２マイコン診断送受信部２３ａａ、マイコン診断結果判定部はそのままマイコン診断結果判定部２３ｂｂとして示す。
【００２１】
次に、第１のＥＣＵ１０１の各部の動作について説明する。
第１レベル制御処理部２１の通常制御部２１ａは、駆動部１２を動作させるために、周期的な制御を実施して、駆動部１２に制御信号を送信する。
第２レベル制御処理部２２の許容値算出部２２ａ、推定値算出部２２ｂ、比較処理部２２ｃの処理は、周期的に実行され、異常の有無を確認し、異常として判断した場合、比較処理部２２ｃは駆動部１２に遮断信号１を送信する。
第３レベル制御処理部２３は監視ＩＣ１１からのマイコン診断信号をトリガとした割込みによって実行を開始する。監視ＩＣ１１がマイコン１０にマイコン診断信号を送信する周期は、第１レベル制御処理部２１および第２レベル制御処理部２２の制御周期より長い周期で実行されるものである。診断結果としてマイコン１０が異常状態であると判断した場合、駆動部１２に遮断信号２を送信する。
【００２２】
推定値算出部２２ｂが、係数αとβ、第２センサ２０２のセンサ値ｘと第３センサ２０３のセンサ値ｙを用いて「αｘ＋βｙ」の式で推定値算出を行い、許容値算出部２２ａでの結果が下限値ａと上限値ｂの間である必要があるとき、以下の式(１)が成立するか否か比較処理部２２ｃで確認を行う。
【００２３】
ａ＜αｘ＋βｙ＜ｂ      (１)
【００２４】
なお、αとβは重み係数であり、許容値となる下限値ａと上限値ｂは、目標値出力部２００、他の第１のＥＣＵ１０１からの通信データすなわち後述する外部ＥＣＵである第２、第３のＥＣＵからの通信データ、第１のＥＣＵ１０１内で検出される値などから算出する。特に、車両の急発進、車両の急減速、車両の発火や爆発等を生じさせないよう、セーフティゴールなどの車両の安全性を脅かさない程度の数値とすることは必須である。
【００２５】
上記推定値と許容値について、たとえば図２に示すように決定する。図２はモータのトルク曲線であり、横軸は回転数、縦軸はトルクを示す。ＥＣ１は検出が全て正しいときの推定トルク算出値、ＥＣ２、ＥＣ３は相電流検出が誤りのときの推定トルク算出値、ＰＥは許容トルクの範囲を示す。
モータに関連する関係式であれば、次のように行う。許容値(ＰＥ)となる下限値ａと上限値ｂは、モータのトルク曲線に基づいて、現在の回転数に応じて、許容値を設定する。この許容値算出に用いるデータは正しいことが望ましい。たとえば、許容値算出に用いるデータは図１に破線で示す外部ＥＣＵ１０１ａから送信される目標値を元にして、「目標値±マージン」の範囲でもよい。その際は、外部ＥＣＵから送信される値には、ＣＲＣ(Cyclic Redundancy Check)やチェックサムなどが重畳されることで、ハードウェアコストを追加することなく、許容値算出に用いる値の正しさを保証することができる。
【００２６】
また、推定値(ＥＣ１，ＥＣ２，ＥＣ３)は、電源電圧、相電流などを用いた関係式とする。このとき、相電流の検出が正しい場合(ＥＣ１)は許容値(ＰＥ)の間に収まるように、また相電流の検出が異常になった場合(ＥＣ２，ＥＣ３)は許容値(ＰＥ)の範囲を外れるように推定値の算出式を設定する。
許容値のためのモータのトルク曲線のデータまたはテーブル、マージン、推定値のための係数α、β等はメモリに予め格納しておく。
【００２７】
上記のような構成に加えて、第１のＥＣＵ１０１は、第１のＥＣＵ１０１が備える推定値算出に用いる第２センサ２０２および第３センサ２０３のセンサ値が、ある１つの要因で設定時間以内に両方とも異常な値とならないことを保つための独立性保証部を備えている。独立性保証部は以降で示す各独立性保証部５０１ａ−５０１ｄで実現される。
【００２８】
図１の独立性保証部５０１ａは、第２センサ２０２と第３センサ２０３は異なる電源で動作させることとする。たとえば、第２センサ２０２はマイコン１０を監視する監視ＩＣ１１に供給される電源と同じ電源ＰＳ１にし、第３センサ２０３はマイコン１０に供給される電源と同じ電源ＰＳ２にする。
【００２９】
なお、上述の設定時間以内とは、異常なセンサ値が検出されてからこの異常なセンサ値に従って生成された制御信号が駆動部１２を駆動するまでの間隔であり、たとえば第１のレベルで実行されるプログラムに相当する第１レベル制御処理部２１における制御周期よりも短い時間である。
【００３０】
このようにすることで、第１のＥＣＵ１０１の推定値算出部２２ｂに用いているどのセンサ値に異常を発生させる故障が起きたとしても、推定値算出部２２ｂで用いるセンサ値が両方異常となることを防ぎ、確実に１つは正常な値を推定値算出部２２ｂに入力することができるため、推定値算出および許容値算出の結果を比較することで、どちらかのセンサが故障したことを検出できる。
【００３１】
すなわち、センサなどの故障に対して、従来技術のようなセンサ全てに対して冗長なセンサを必要としない第１のＥＣＵ１０１を構築できる。
【００３２】
また、図１に示すように、機能安全規格ＩＳＯ２６２６２を考慮すると、ある設定条件のもと、第１のＥＣＵ１０１の基本構成要素となる目標値出力部２００、各種センサ２０１−２０３、通常制御部２１ａ、駆動部１２に「ＡＳＩＬ  Ｘ」が付与されている場合において、ＡＳＩＬデコンポジションを採用すると、通常制御部２１ａに加えて、推定値算出部２２ｂに用いられるセンサは全てＱＭ(Quality Management)のレベルで開発することができるため、各センサ２０１−２０３に課せられる開発プロセスの安全要件を緩和できる。また、「ＡＳＩＬ  Ｃ」以上で必須となる各センサ２０１−２０３に関するレイテントフォールトに対する対策も検討する必要がなくなる。
なお、「ＡＳＩＬ  Ｘ」とはAutomotive Safety Integrity Levelであり、ＸはＡ、Ｂ，Ｃ，Ｄのいずれかを示す。
【００３３】
このとき、独立性保証部はＡＳＩＬの安全要件となるため、独立性保証部は「ＡＳＩＬ  Ｘ」で開発する。第２のレベルのプログラムに相当する第２レベル制御処理部２２は、当初から通常制御部２１ａとのデコンポジションにより、「ＱＭ(Ｘ)」と「ＡＳＩＬ  Ｘ(Ｘ)」に分割できるため、追加のＡＳＩＬコンポーネントは１つでよい。
【００３４】
この実施の形態１においては、推定値算出部２２ｂに第２センサ２０２と第３センサ２０３の２つを用いているが、３個以上のセンサを有する場合でもそのうち少なくとも１つのセンサとそれ以外のセンサで故障する条件が独立してさえいればよい。
【００３５】
また、この実施の形態においては、推定値算出部２２ｂと許容値算出部２２ａとの関係式は、センサに異常が発生した場合に、検出できるように構築できれば、上記の例に限らない。
【００３６】
また、この実施の形態における目標値出力部２００は、第１のＥＣＵ１０１の外部から送信される値を受信して出力するトランシーバであったり、第１のＥＣＵ１０１の内部で検出される値から目標値を算出して出力するマイコン１０や別のマイコンまたはＩＣであったりなど、駆動部１２が出力し得る値に相当するものを設定する機能を有するものであればよい。
【００３７】
また、この実施の形態における通常制御部２１ａへの入力は、目標値出力部２００と第１センサ２０１と第２センサ２０２と第３センサ２０３の入力としているが、通常制御部２１ａにおいて駆動部１２の通常制御が可能であれば、通常制御部２１ａへの入力情報は上記の例に限定されるものではない。
【００３８】
図３は、この実施の形態における第２センサ２０２と第３センサ２０３と電源の構成の別の例を示すブロック図である。第２センサ２０２と第３センサ２０３が動作するのに同じセンサ電源ＳＰＳを用いており、第２センサ２０２は第３センサ２０３よりも電源電圧の耐電圧を低くしておく。例えば第３センサ２０３の耐電圧はＶｍａｘ３ｒｄ、第２センサ２０２の耐電圧はＶｍａｘ２ｎｄとするとＶｍａｘ３ｒｄ＞Ｖｍａｘ２ｎｄとなる。
なお図３の構成は以下の説明に基づき独立性保証部５０１ｂを構成する。
【００３９】
図４，５は、この実施の形態の電子制御装置におけるセンサ異常と第２レベル制御処理部２２に相当する第２のレベルのプログラムの制御周期の関係の２つの形態を説明するための図である。図４，５におて、(ａ)はＤＣ／ＤＣ回路２１０の出力電圧、(ｂ)は第２レベル制御処理部に対応する第２のレベルのプログラムの制御周期を示す。
【００４０】
図４に示す形態のように、例えば鉛バッテリからなるセンサ電源ＳＰＳをＤＣ／ＤＣ変換するＤＣ／ＤＣ回路２１０の出力電圧がなんらかの異常で(ａ)のように上昇する場合に、Ｖｍａｘ２ｎｄからＶｍａｘ３ｒｄになるまでの時間Ａが、第２レベル制御処理部２２に相当する第２のレベルのプログラムの(ｂ)に示す制御周期である実行周期Ｂの少なくとも１周期よりも長くなるようにする。
他の形態においては、図５に示すように、ＤＣ／ＤＣ回路２１０の制御に異常があり、出力電圧が(ａ)のように振動した場合においても、ＤＣ／ＤＣ回路２１０が異常時に出し得る最大電圧をＶｍａｘ２ｎｄより大きく、Ｖｍａｘ３ｒｄよりも小さくしておく。この場合においては、第３センサ２０３は故障しないため、第２センサ２０２の故障から第３センサ２０３が故障するまでの時間は、(ｂ)に示す実行期間Ｂよりも長くなる。
【００４１】
また、ＤＣ／ＤＣ回路２１０の制御が異常状態となり、出力電圧が発振してしまった場合、発振電圧が、Ｖｍａｘ３ｒｄ以下かつＶｍａｘ２ｎｄ以下である場合、第２センサ２０２のみが破壊され、センサ値が不定であったりゼロであったりする。この場合においても、第３センサ２０３は故障しないため、第２センサ２０２の故障から第３センサ２０３が故障するまでの時間は、(ｂ)に示す実行期間Ｂの少なくとも１周期よりも長くなるようにする。
【００４２】
このようにすることで、センサに関する電源が異常となった場合において、推定値算出部２２ｂに入力されるセンサ値のうち１つはかならず正しい値とすることができ、確実にセンサ値の異常を検出することができる。この方式であれば、異常に対して、全てのセンサを異常に対して耐性を持たせる必要がないため、冗長な構造にするものを最小限にすることが可能。
【００４３】
また、このとき推定値算出部２２ｂが、係数αとβ、第２センサ２０２のセンサ値ｘと第３センサ２０３のセンサ値ｙを用いて上述の「αｘ＋βｙ」の式で表され、許容値算出部２２ａの結果が下限値ａと上限値ｂの間である必要があるとき、以下の式(１)が成立するか否か比較処理部２２ｃで確認を行う。
【００４４】
ａ＜αｘ＋βｙ＜ｂ      (１)
【００４５】
なお、αとβは重み係数であって、センサ値が本来の値から外れたときに車両の安全性を脅かす度合いが高いセンサの方に重みをもたせる。αを大きな値にすることで、ｘの異常を顕著にさせることで、異常を早期に発見することも可能となる。
なお、ａとｂは、目標値出力部２００、他の第１のＥＣＵ１０１からの通信データすなわち後述する外部ＥＣＵである第２、第３のＥＣＵからの通信データ、第１のＥＣＵ１０１内で検出される値などから車両の安全性を脅かさない程度の数値に設定する。
【００４６】
また、この実施の形態においては、第２センサ２０２と第３センサ２０３の構成は、第２センサ２０２のセンサ値に異常を発生させる故障が発生した後、第２のレベルのプログラムに相当する第２レベル制御処理部２２が診断する周期よりも長い時間経過した後に、第３センサ２０３のセンサ値に異常を発生させるようにすれば、上述の限りではない。
たとえば、異常によりセンサ温度が上昇するとき、第３センサ２０３の温度が上昇する時定数よりも第２センサ２０２の時定数を短くして、熱によって故障する時間差を作り出すことでもよい。すなわち、第３センサ２０３の耐電圧性や耐熱性や耐振動性などを他方のセンサよりも耐久性を良好なものにするようにしてもよい。より広義には、複数のセンサ内で耐電圧性や耐熱性や耐振動性の少なくとも１つを変えるようにする。
【００４７】
実施の形態２．
図６はこの発明の実施の形態２にかかる電子制御装置およびその周辺の構成の１つの形態の機能ブロック図である。図６では、実施の形態２にかかる第１のＥＣＵ１０１において、独立性保証部５０１ｃは、第２センサ２０２のセンサ値を第１のＥＣＵ１０１とは異なる第１外部電子制御装置である第２のＥＣＵ１０２から通信線ＣＬを介して取得する値とし、第３センサ２０３のセンサ値を第１のＥＣＵ１０１内部で検出できる信号とした。
【００４８】
このように構成することで、第１のＥＣＵ１０１内部の故障によって、第３センサ２０３のセンサ値を出力するセンサが異常となった場合においても、第２のＥＣＵ１０２が正しく動いてさえいれば、推定値算出部２２ｂに入力されるセンサ値を少なくとも１つ正しい値とすることが可能であるため、異常判定を正しく実施できる。
なお、第１のＥＣＵ１０１は第２のＥＣＵ１０２と通信可能であればよく、無線通信により接続されていてもよい。
【００４９】
機能安全ＩＳＯ２６２６２規格では、同じアイテム間での二重故障の確率は極めて低いとされているため、第２のＥＣＵ１０２が正常に動作せず、第２のＥＣＵ１０２から送信されるセンサ値が異常になった場合には、第３センサ２０３のセンサ値は正しく検出できるとしてよい。
【００５０】
また図７はこの発明の実施の形態２にかかる電子制御装置およびその周辺の構成の別の形態の機能ブロック図である。図７では、第２のＥＣＵ１０２が送信する第２センサ２０２のセンサ値を、第１のＥＣＵ１０１に通信線ＣＬを介して接続された第２外部電子制御装置である第３のＥＣＵ１０３からも受信できる構成とした。このとき、第１のＥＣＵ１０１は、第２のレベルのプログラムに相当する第２レベル制御処理部２２において、推定値算出部２２ｂの推定値が許容値算出部２２ａの許容値による設定範囲内かどうか判断しており、設定範囲外となった場合に、第３のＥＣＵ１０３に第２センサ２０２のセンサ値を要求する。
【００５１】
このようにすることで、第２のＥＣＵ１０２が異常となった場合においても、第１のＥＣＵ１０１が動作を継続することができる。
独立性保証部５０１ｄは、第２のＥＣＵ１０２、第３のＥＣＵ１０３、第３のセンサ２０３からなる。独立性保証部５０１ｄに対して、マイコン１０内の第２レベル制御処理部２２に設けられた制御処理変更部２２ｅは、協調して動作する。
なお、第１のＥＣＵ１０１は第３のＥＣＵ１０３についても通信可能であればよく、無線通信により接続されていてもよい。
【００５２】
図８は、第１のＥＣＵ１０１と第２のＥＣＵ１０２と第３のＥＣＵ１０３が通信線で接続されている場合に、それらと制御処理変更部２２ｅとの協調動作を示す動作フローチャートである。次に各動作について説明をする。
【００５３】
ステップＦ８０１では、比較処理部２２ｃの推定値算出部２２ｂにおける推定値と許容値算出部２２ａの許容値の差が警告逸脱量以下か否かを判定する。警告逸脱量以下の場合、異常による動作への影響が少ないとして、動作を継続する。同時に、第２のＥＣＵ１０２に異常が発生している可能性があるため、第３のＥＣＵ１０３からセンサ値を送信してもらうようにする。なお、推定値と許容値の差が警告逸脱量を超えている場合は、ステップＦ８０７へ遷移する。
警告逸脱量は、センサ値がドリフトして、センサ値が本来の値よりもずれた場合など、車両の動作を急激に変化させるような影響を及ぼさないような量を設定する。
【００５４】
ステップＦ８０２では、制御周期変更部２２ｅに第２のレベルのプログラムに相当する第２レベル制御処理部２２の実行制御周期の変更を行わせる。
ステップＦ８０３では、制御周期変更部２２ｅが、第２レベル制御処理部２２の実行制御周期を長くし、その完了を通知する。
ステップＦ８０４では、第３のＥＣＵ１０３に第２センサ２０２のセンサ値を要求し、第３のＥＣＵ１０３が第２センサ２０２のセンサ値を第１のＥＣＵ１０１に送信し、センサ値を受ける。
ステップＦ８０５では、第３のＥＣＵ１０３からの第２センサ２０２のセンサ値を受信後、制御周期変更部２２ｅに第２レベル制御処理部２２の制御周期である実行周期を変更前に戻させる。
ステップＦ８０６では、ステップＦ８０１と同様の処理を実施し、推定値と許容値の差が警告逸脱量を超えている場合には比較処理部２２ｃに遮断信号１を送信するよう司令する。
【００５５】
このようにすることで、第２のＥＣＵ１０２の軽微な異常が、第１のＥＣＵ１０１の異常処理を開始させず、第２センサ２０２のセンサ値を連続的に正しく受信することができるため、第１のＥＣＵ１０１のマイコン１０の第２のレベルのプログラムに相当する第２レベル制御処理部２２の動作を継続できる。
【００５６】
また、この発明における独立性保証部５０１ａ−５０１ｄは、
第２センサ２０２と第３センサ２０３に供給される電源を別電源としたり、
第２センサ２０２と第３センサ２０３の耐電圧性や耐熱性や耐振動性の少なくとも１つを変えたり、
外部ＥＣＵから送信される値と内部ＥＣＵで取得する値を用いたり、
といった手法を講じているが、２つのセンサが１つの要因によってマイコンでの１制御周期期間内に故障とならないような構成であれば、いかなる構成も適用可能である。
【符号の説明】
【００５７】
１０  マイコン、  １０ａ  インターフェース(Ｉ／Ｆ)、  １０ｂ  ＣＰＵ、
１０ｃ  メモリ、  １１  監視ＩＣ、  １２  駆動部、
２１  第１レベル制御処理部、  ２１ａ  通常制御部、
２２  第２レベル制御処理部、  ２２ａ  許容値算出部、  ２２ｂ  推定値算出部、
２２ｃ  比較処理部、  ２２ｄ  第１レベル診断送受信部、
２２ｅ  制御周期変更部、  ２３  第３レベル制御処理部、
２３ａ  第２レベル２診断送受信部、  ２３ｂ  命令複製検査診断部、
２３ｃ  診断結果生成部、  ２３ｄ  第１マイコン診断送受信部、
２３ａａ  第２マイコン診断送受信部、  ２３ｂｂ  マイコン診断結果判定部、
１０１  第１のＥＣＵ、  １０１ａ  外部ＥＣＵ、  １０２  第２のＥＣＵ、
１０３  第３のＥＣＵ、  ２００  目標値出力部、  ２０１  第１センサ、
２０２  第２センサ、  ２０３  第３センサ、  ２１０  ＤＣ／ＤＣ回路、
５０１ａ−５０１ｄ  独立性保証部、  ＣＬ  通信線、  ＳＰＳ  センサ電源、
ＰＳ１，ＰＳ２  電源。
【要約】
【課題】冗長な構成を最小限に抑えつつ３レベルモニタリングコンセプト制御の信頼性を向上させる電子制御装置等を得る。
【解決手段】制御信号で駆動部の制御を実行するマイコン、マイコンに異常があると駆動部に遮断信号を送信する監視ＩＣ、駆動部の制御の目標値を出力する目標値出力部、電子制御装置の制御に必要な値を得る複数のセンサを備え、マイコンが、目標値と１個以上のセンサ値から通常制御の制御信号を演算し出力する第１レベル制御処理部と、目標値から駆動部の出力許容値を演算し、少なくとも２つのセンサ値から駆動部の出力推定値を演算し、推定値が許容値の範囲外の時は駆動部に遮断信号を出力する第２レベル制御処理部と、演算に用いるセンサのうち第１センサ値が故障で異常状態の際に第２センサ値が同じ要因で設定時間内に異常とならない第１、第２センサ値を得る独立性保証部を含む。
【選択図】図１【図１】
0005985030.tif 000002
【図２】
0005985030.tif 000003
【図３】
0005985030.tif 000004
【図４】
0005985030.tif 000005
【図５】
0005985030.tif 000006
【図６】
0005985030.tif 000007
【図７】
0005985030.tif 000008
【図８】
0005985030.tif 000009
【図９】
0005985030.tif 000010