(57)【要約】【課題】車両の動作の安全を確保しつつも、車両の運動性能の低下を回避可能な変速機制御装置を提供することを目的とする。【解決手段】  変速機制御装置は、制御対象を制御する第一の演算処理装置（メインマイクロコントローラ１０３）と、前記第一の演算処理装置の主要な制御機能の一部を代用することが可能とされ、前記第一の演算処理装置と通信可能な第二の演算処理装置（サブマイクロコントローラ１０７）と、を備える。変速機制御装置は、さらに、前記第一の演算処理装置と前記第二の演算処理装置が正常に動作していることを監視し、異常状態に応じて前記第一の演算処理装置に実装される前記主要な制御機能の一部を切り替えて前記第二の演算処理装置に前記主要な制御機能（変速機能）の一部を代用させる、前記第一と第二の演算処理装置と通信可能な監視装置(監視モジュール１１１)と、を備える。【選択図】  図１
2018080710.tif 000002
【特許請求の範囲】
【請求項１】
制御対象を制御する第一の演算処理装置と、
前記第一の演算処理装置の主要な制御機能の一部を代用することが可能とされ、前記第一の演算処理装置と通信可能な第二の演算処理装置と、
前記第一の演算処理装置と前記第二の演算処理装置とが正常に動作していることを監視し、異常状態に応じて前記第一の演算処理装置に実装される前記主要な制御機能の一部を切り替えて前記第二の演算処理装置に前記主要な制御機能の一部を代用させる、前記第一および前記第二の演算処理装置と通信可能な監視装置と、を備える、
ことを特徴とする変速機制御装置。
【請求項２】
請求項１に記載の変速機制御装置において、
外部入力を取り込むための入力回路と、
ソレノイドを駆動するための駆動回路と、さらに備え、
前記第一の演算処理装置および前記第二の演算処理装置は、前記入力回路に接続され、前記駆動回路に選択的に接続される、
ことを特徴とする変速機制御装置。
【請求項３】
請求項１に記載の変速機制御装置において、
前記第一の演算処理装置は、
前記第二の演算処理装置の起動に応じて変化する情報を診断する相互診断処理と、
前記第一の演算処理装置が実行した制御処理の順番を生成し、前記監視装置に対しこれを送信する制御処理順番生成処理と、
車両を制御するために必要な前記主要な制御機能を実行するための主要制御処理と、を備え、
前記第二の演算処理装置は、
前記第一の演算処理装置の起動に応じて変化する情報を診断する相互診断処理と、
前記第二の演算処理装置が実行する制御処理の順番を生成し、前記監視装置に対し送信する制御処理順番生成処理と、
前記第一の演算処理装置の前記主要な制御機能の一部を代用する制御処理と、を備える、
ことを特徴とする変速機制御装置。
【請求項４】
請求項３に記載の変速機制御装置において、
前記監視装置は、
前記第一および第二の演算処理装置の起動に応じて変化する情報と、前記第一と第二の演算処理装置から受信した前記相互診断処理の結果から、前記第一および第二の演算処理装置の動作の妥当性を診断する第一の妥当性診断処理と、を備える、
ことを特徴とする変速機制御装置。
【請求項５】
請求項４に記載の変速機制御装置において、
前記監視装置は、
前記第一の妥当性診断処理の診断結果と、前記第一と第二の演算処理装置から受信した制御処理順番生成処理の結果から、前記第一と第二の演算処理装置の妥当性を診断する第二の妥当性診断処理と、を備える、
ことを特徴とする変速機制御装置。
【請求項６】
請求項５に記載の変速機制御装置において、
前記監視装置は、
前記第一と第二の妥当性診断処理から前記第一と前記第二の演算処理装置の異常状態に応じて、前記第一と第二の演算処理装置の動作の切り替えを行い、前記第一の演算処理装置に実装されている前記主要な制御機能の一部を前記第二の演算処理装置に代用させ、前記主要な制御機能の一部を継続させるための演算処理装置切り替え処理と、を備える、
ことを特徴とする変速機制御装置。
【請求項７】
請求項６に記載の変速機制御装置において、
ソレノイドを駆動するための駆動回路と、さらに備え、
前記監視装置は、前記第一および第二の演算処理装置の両方が異常または故障時、車両のフェールセーフ動作として、変速段の固定指示を行い、前記ソレノイドへの供給油圧を停止させる為、前記駆動回路に接続される、
ことを特徴とする変速機制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、変速機制御装置に関し、特に、車両の変速機を制御するための車載用電子制御装置に適用可能な技術に関する。
【背景技術】
【０００２】
近年、自動車のさらなる電子化に伴い、市場からの運転性、燃費性、快適性等々の要求により制御が複雑化、高度化している。それに従って、自動車に内在する故障・不具合がリスクとして考慮されるようになっている。そのような状況を受けて、自動車の電気・電子製品に内在するリスクを合理的に低減し、設計の妥当性も客観的に説明するため、機能安全に関する国際標準として、ＩＥＣ６１５０８やＩＳＯ２６２６２等が制定されている。今後の自動車に関わる製造において、それら国際標準への準拠が必須条件となってきている。そのようなニーズに対応すべく、車両用変速機に搭載されているマイクロコントローラ（マイコン）では、安全状態を診断、監視する機能、自動車の運動性能においては、機能安全で車両の安全を確保しつつも、運動性能低下を回避することも重要になっている。
【０００３】
自動車産業における安全関連技術に関しては、カーメーカー毎に独自の思想に基づいて診断、監視、安全処置を設計・実装することが主流であった。具体的には、所望の制御を実現する主機能と、主機能を監視する監視機能を同一マイコン上に実装し、監視機能からの監視結果に応じて主機能を停止するという構成が一般的に従来から知られている。
【０００４】
例えば、特許文献１の演算装置は、プログラムの暴走を検出可能な演算装置で、プログラムを実行する演算部の基準クロックを計数し、所定値毎に演算部に割込要求を行い、割込処理時に、プログラムの実行アドレスが所定範囲に存在するか否かを判定し、プログラムの実行アドレスが所定範囲に存在しないときにプログラムが暴走状態であると判定する、ものである。
【０００５】
また、特許文献２の変速用電子制御ユニットは、メインコンピュータと監視コンピュータとを含む。メインコンピュータは、動力伝達装置を作動させるための様々な処理を実行する主処理部２１１と、主処理部２１１による処理に応じて作動する動力伝達装置２０の危険状態を検知すると共に当該動力伝達装置２０を安全状態にする処理である安全機能処理を実行する安全機能処理部２１２とが構築されており、安全機能処理部２１２は、安全機能処理が実行される際に当該安全機能処理の実行順序の正否を監視する。安全機能処理実行の際に、この実行されるべきプログラムのアドレスを取得し、これと実行後のプログラムアドレスとを比較することで安全機能処理のタスク実行順序を診断・監視し、妥当性を確保しながら、油圧制御装置の全ソレノイドバルブへの電力供給を遮断して変速機に所定の変速段を形成させる状態（いわゆるリンプホーム状態）に遷移させる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−２３６６００号公報
【特許文献２】特開２０１３−１４０４３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１の開示技術は、基本的に現在実行されている処理が予め定められたアドレス（プログラム番地）に含まれているかどうか監視するだけのものであり、本来実行されるべき処理が実行されているかを監視可能なものではない。従って、特許文献１のプログラムの暴走検出技術は、車載装置を制御するマイコントローラを含む車両用制御装置に対し、車両の安全性を確保する観点から装備するものとしては不十分であると考えられる。
【０００８】
また、特許文献２の開示技術は、主制御機能が異常時に、安全機能として実行すべき処理のアドレスをＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）へ展開し、これと処理実行後のアドレス比較を行うことで安全機能処理のタスクの実行順序を診断、妥当性を確保しつつ、リンプホーム状態遷移、メインコンピュータのリセットを実行するものである。しかしながら、この妥当性判断、安全機能処理については、メインコンピュータ自身で行うものである為、仮にメインコンピュータが演算負荷等、何らかの原因よりプログラム暴走等を引き起こし、タスク実行の抜け等が発生した場合、正常な妥当性判断や安全機能処理を実行できない恐れがあると考えられる。
【０００９】
このような従来の問題点に鑑み、本発明は、第一および第二の演算処理装置（メインおよびサブマイクロコントローラ）の安全状態を正確に監視・診断しつつ、何らかの原因によりハードウェア的な異常ないしプログラム暴走が発生した場合、車両の動作の安全を確保しつつも、車両の運動性能の低下を回避可能な変速機制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明に係る変速機制御装置は、制御対象を制御する第一の演算処理装置（メインマイクロコントローラ１０３）と、前記第一の演算処理装置の主要な制御機能の一部を代用することが可能とされ、前記第一の演算処理装置と通信可能な第二の演算処理装置（サブマイクロコントローラ１０７）と、を備える。この変速機制御装置は、さらに、前記第一の演算処理装置と前記第二の演算処理装置が正常に動作していることを監視し、異常状態に応じて前記第一の演算処理装置に実装される前記主要な制御機能の一部を切り替えて前記第二の演算処理装置に前記主要な制御機能の一部を代用させる、前記第一と第二の演算処理装置と通信可能な監視装置(監視モジュール１１１)と、を備える。
【発明の効果】
【００１１】
本発明によれば、第一および第二の演算処理装置（メインおよびサブマイクロコントローラ）の動作の異常状態が監視可能となる。また、何れかの演算処理装置で異常が検出された場合には、前記第二の演算処理装置に前記主要な制御機能の一部を代用させる事で、前記主要な制御機能の一部（変速動作）の継続が可能となり、車両の運動性能の低下を抑止する事ができる。
【図面の簡単な説明】
【００１２】
【図１】本発明に係る変速機制御装置を含む車両の概略的なブロック図である。
【図２】本発明に係る出力反転信号相互診断についてのフローチャートである。
【図３】本発明に係るタスク実行順序診断カウンタ更新処理についてのフローチャートである。
【図４】本発明に係る出力反転信号最終診断についてのフローチャートである。
【図５】本発明に係るタスク実行順序診断についてのフローチャートである。
【図６】本発明に係るＣＰＵ異常診断についてのフローチャートである。
【図７】本発明に係るタスク実行順序診断カウンタ処理の診断カウンタ生成のパターンを示す。
【図８】本発明に係る出力反転信号最終診断の総合判定結果のパターンを示す。
【図９】本発明に係るＣＰＵ異常診断の診断結果のパターンを示す。
【発明を実施するための形態】
【００１３】
以下、本発明の一実施形態について、図面を用いて説明する。
【００１４】
図１は、本発明に係る変速機制御装置を含む車両１の概略的なブロック図である。図１に示される変速機制御装置１０は、例えば、制御対象とされる車両の自動変速機を制御するための車載用電子制御装置（ＥＣＵ）であり、自動変速機コントローラとして車両１に搭載される。変速機制御装置１０は、それに利用されるマイクロコントローラの故障ないしマイクロコントローラ内でのプログラムの暴走を検出するための構成を有するものである。
【００１５】
変速機制御装置１０は、車両制御において必要となる、車速やエンジン回転数、レンジスイッチ等などの外部からの入力を受け取るセンサ１０１と接続される。変速機制御装置１０は、センサ１０１から受領したデータをパルス信号やデータ等の電気信号へ変換する入力回路１０２を含む。変速機制御装置１０は、さらに、第一の演算処理装置とされるメインマイクロコントローラ（以下、メインマイコンとも称す）１０３と、第二の演算処理装置とされるサブマイクロコントローラ(以下、サブマイコンとも称す)１０７と、監視装置とされるから監視モジュール１１１を含む。
【００１６】
メインマイコン１０３およびサブマイコン１０７は、ＣＡＮ（Controller  Area  Network）通信等の通信手段によって互いに通信可能とされている。監視モジュール１１１も、同様に、ＣＡＮ通信等の通信手段によってメインマイコン１０３およびサブマイコン１０７と互いに通信可能されている。
【００１７】
なお、図１において、メインマイコン１０３はＭａｉｎ−ＣＰＵと記載され、サブマイコン１０７はＳｕｂ−ＣＰＵと記載される。２０は、例えば、1チップのような半導体集積回路装置とされてもよく、メインマイコン１０３およびサブマイコン１０７はこの半導体集積回路装置２０により構成されてもよい。この場合、特に制限されないが、半導体集積回路装置２０は複数の中央処理装置（ＣＰＵ）を含み、１つのＣＰＵによりメインマイコン１０３を構成し、他の１つのＣＰＵによりサブマイコン１０７を構成することが出来る。なお、監視モジュール１１１も、半導体集積回路装置２０のその他の１つのＣＰＵにより構成することもできる。
【００１８】
メインマイコン１０３は制御部１０４〜１０６を備え、サブマイコン１０７は制御部１０８〜１１０を備え、監視モジュール１１１は制御部１１２〜１１４を備える。
【００１９】
変速機制御装置１０は、さらに、アクチュエータとされる１つまたは複数のリニアソレノイド１１６を駆動するための駆動回路１１５を含む。メインマイコン１０３、サブマイコン１０７、監視モジュール１１１は、自動変速機の変速動作時に必要なクラッチ油圧を供給する為、駆動回路１１５に接続可能にされており、メインマイコン１０３、サブマイコン１０７または監視モジュール１１１からの駆動指示または変速指示用要求により、リニアソレノイド１１６の動作を制御している。リニアソレノイド１１６は、変速指示要求による変速動作時に必要となる供給油圧を調整するものである。
【００２０】
なお、メインマイコン１０３、サブマイコン１０７に実装されている各制御はタスク管理されており、規定順序、規定周期で処理実行されるものとする。
【００２１】
制御部１０４、制御部１０８は、出力反転信号相互診断を行うため、それぞれメインマイコン１０３、サブマイコン１０７に実装される制御であり、自身の動作状況を外部へ伝える為に、監視モジュール１１１に対し反転信号を送信する役目を担っている。ここで、この反転信号は、メインマイコン１０３やサブマイコン１０７の起動に応じて変化する情報と見做され、タスクにて管理されるものであり、規定周期で生成されるソフトウェア反転信号とされる。この反転信号は、各マイコン１０３、１０７に内蔵されている発振回路等から生成されるようなハードウェア反転信号とされてもよい。
【００２２】
制御部１０５、制御部１０９は、タスク実行順序診断カウンタ更新処理を行うため、それぞれメインマイコン１０３、サブマイコン１０７に実装される制御である。制御部１０５、制御部１０９は、メインマイコン１０３、サブマイコン１０７の各マイコン１０３、１０７の演算負荷増加等の影響によって引き起こされる暴走動作を検出する為に、監視モジュール１１１に対し、自身で管理している全てのタスクが実行された際に更新する診断用カウンタを送信する役目を担っている。すなわち、制御部１０５、制御部１０９は、メインマイコン１０３、サブマイコン１０７の実行したタスクの順番（制御処理の順番）を生成し、監視モジュール１１１に対し送付する処理を実行すると見做される。
【００２３】
制御部１０６、制御部１１０は、変速制御処理（主要制御処理の一部）を行うため、それぞれメインマイコン１０３、サブマイコン１０７に実装される制御であり、入力回路１０２で変換された電気信号を元に、駆動回路１１５に対して変速動作に必要な作動油圧生成を指示している。なお、この制御部１０６、制御部１１０は、メインマイコン１０３、サブマイコン１０７の両マイコン１０３、１０７の異常状態に応じて切り替えられるものであり、互いの制御が同一タイミングで実行されないものとする。
【００２４】
制御部１１２は、出力反転信号最終診断を行うため、監視モジュール１１１に実装される制御であり、メインマイコン１０３、サブマイコン１０７に実装される制御部１０４、制御部１０５、制御部１０８、制御部１０９にて送信される反転信号と、診断用カウンタを元に、メインマイコン１０３、サブマイコン１０７の動作状況の正常性を診断する役目を担っている。
【００２５】
制御部１１３は、タスク実行順序診断を行うため、メインマイコン１０３、サブマイコン１０７に実装されている制御部１０５、制御部１０９の処理結果を受信して監視モジュール１１１に予め登録されている期待値と比較することで、メインマイコン１０３、サブマイコン１０７の動作状況の正常性を診断する役目を担っている。
【００２６】
制御部１１４は、ＣＰＵ異常診断を行うため、制御部１１２と制御部１１３の診断結果に応じて、メインマイコン１０３、サブマイコン１０７に実装されている制御部１０６、制御部１１０の動作を切り替えて、自動変速機の変速動作を実現するものである。なお、メインマイコン１０３、サブマイコン１０７の両マイコンの動作が異常と判断された場合には、安全機能として両マイコン１０３、１０７を強制的に停止させ、駆動回路１１５に対し変速段を固定する指示も行っている。
【００２７】
ここで、図２〜図７に、本発明に係る各制御部１０４、制御部１０５、制御部１０８、制御部１０９、制御部１１２、制御部１１３、制御部１１４のフローチャートを示す。図２については、制御部１０４、制御部１０８を、図３、図６については制御部１０５、制御部１０９を、図４、図８については制御部１１２を、図５、図７については制御部１１３を、図６、図９については制御部１１４を示し、以下に各図のフローチャートの詳細について説明する。
【００２８】
図２は、メインマイコン１０３、サブマイコン１０７に実装される、出力反転信号相互診断についてのフローチャートである。
【００２９】
ここで、両マイコン１０３、１０７は互いに通信可能な構成の為、ステップ２０１で、互いに規定周期毎に、０または、１の値で反転する反転信号を所定のタイミングで相手側マイコン（図では、相手側ＣＰＵと記載される）から受信する。ステップ２０２では、それぞれ受信した相手側の反転信号が規定周期で正常に反転しているかを確認して、ステップ２０３、ステップ２０４で相手側マイコンの正常性を判定する。正常に反転している場合（反転ＯＫ）、ステップ２０３へ遷移し、正常に反転していない場合（反転ＮＧ）ステップ２０４へ遷移する。
【００３０】
ここで反転動作が異常とする場合は、受信した信号が全く反転動作していない場合や、反転動作中のあるタイミングで反転動作が停止してしまって、値が０または、１に固定されてしまった場合を想定している。そして、ステップ２０５にて、異常な状態が一定期間継続したかを確認し、異常が一定期間未満であれば（ＮＯ）、ステップ２０６で異常継続用カウンタを更新する。異常が一定期間異常継続した場合（ＹＥＳ）には、ステップ２０７で相手側マイコン（相手側ＣＰＵ）が異常であると確定情報（相手側ＣＰＵ  ＮＧ確定）を生成する。
【００３１】
その後、ステップ２０８で、それぞれ相手側マイコンの判定結果（確定情報）を自身と通信可能な監視モジュール１１１へ送信することで、メインマイコン１０３、サブマイコン１０７の動作状態を監視モジュール１１１へ伝えている。その後、終了（ＥＮＤ）へ遷移する。
【００３２】
図３は、メインマイコン１０３、サブマイコン１０７に実装される、タスク実行順序診断カウンタの更新処理についてのフローチャートである。
【００３３】
この処理は、メインマイコン１０３、サブマイコン１０７が自身に登録されている各ジョブ（ＪＯＢ０−１９）毎に割り当てられたタスク（ＴＫ１−ＴＫ１６）の順序をタスク実行時に更新されるカウンタで、図７のようなマトリクス情報として表し、この結果を規定周期毎に監視モジュールへ送信するものである。本処理は、登録されているタスク（ＴＫ１−ＴＫ１６）処理毎に実行されるものとする。なお、メインマイコン１０３、サブマイコン１０７に実装されている制御ソフトは、図７のようなジョブＪＯＢ０〜１９を繰り返し実行する構成とする。
【００３４】
ステップ３０１では、自身が現在実行されている処理タイミングが、どのジョブ、タスクで実行されたものかを判断する為に、ジョブ番号（ＪＯＢ０−１９）、タスク番号（ＴＫ１−ＴＫ１６）を取得しておき、ステップ３０２でタスク実行順序カウンタを更新する。ステップ３０３では、ステップ３０１で取得したジョブ番号と、タスク番号とを入力として、図７のような２次元のマトリクス情報を診断用カウンタマップとして作成しておく。ステップ３０４では、現在の実行タスクが監視モジュール１１１へ診断用カウンタマップを送信する規定タイミングか否かを判定し、規定タイミングの場合、ステップ３０５で診断用カウンタマップを監視モジュール１１１へ送信する。
【００３５】
すなわち、ステップ３０４では、現在の実行タスクが最終ジョブ（ＪＯＢ１９）以外のジョブ（ＪＯＢ９）に割り当てられたタスク（ＴＫ４）か否かが判定される。現在の実行タスクがジョブ（ＪＯＢ９）に割り当てられたタスク（ＴＫ４）の場合（ＹＥＳ）、規定タイミングとされ、ステップ３０５へ遷移する。一方、現在の実行タスクがジョブ（ＪＯＢ９）に割り当てられたタスク（ＴＫ４）ではないと判定された場合（ＮＯ）、ステップ３０６へ遷移する。
【００３６】
ステップ３０５では、診断用カウンタマップを監視モジュール１１１へ送信し、送信完了後、終了（ＥＮＤ）へ遷移する。
【００３７】
ステップ３０６では、現在の実行タスクが最終ジョブ（ＪＯＢ１９）に割り当てられたタスク（ＴＫ４）か否かを判定する。現在の実行タスクが最終ジョブ（ＪＯＢ１９）に割り当てられたタスク（ＴＫ４）と判定された場合（ＹＥＳ）、ステップ３０７へ遷移する。ステップ３０７では、ステップ３０５同様、診断用カウンタマップを送信する。そして、ステップ３０８では、メインマイコン１０３、サブマイコン１０７のジョブ構成に合わせて、最終ジョブ（ＪＯＢ１９）のタスク実行時に実行順序カウンタをクリア（リセット）し、その後、終了（ＥＮＤ）へ遷移する。一方、ステップ３０６で、現在の実行タスクが最終ジョブ（ＪＯＢ１９）に割り当てられたタスク（ＴＫ４）ではないと判定された場合（ＮＯ）、終了（ＥＮＤ）へ遷移する。
【００３８】
図４は、監視モジュール１１１に実装される出力反転信号最終診断１１２についてのフローチャートである。
【００３９】
この処理は、監視モジュール１１１が両マイコン１０３、１０７から出力されているソフトウェア反転信号（出力反転信号）を診断した結果と、監視モジュール１１１が受信した両マイコン１０３、１０７の制御部１０４、制御部１０８の相互診断結果とを用いて、両マイコン１０３、１０７の動作の妥当性を診断するものである。この妥当性の判断は、第一妥当性診断処理と見做される。
【００４０】
ステップ４０１では、両マイコン１０３、１０７（図では、メイン＋サブＣＰＵと記載される。）のそれぞれからソフトウェア反転信号（出力反転信号）を受信ないし取得し、ステップ４０２では、規定周期でそれぞれの信号が正常に反転出力しているかを確認する。反転出力している場合（反転ＯＫ）、ステップ４０３へ遷移し、反転出力していない場合（反転ＮＧ）、ステップ４０４へ遷移する。ステップ４０３、ステップ４０４で監視モジュール１１１から見たソフトウェア反転信号の正常性を判断し、ステップ４０５にて異常な状態（ＮＧ）が一定期間継続ないし超過したかを確認する。ステップ４０５にて、異常が一定期間未満であれば（ＮＯ）、ステップ４０６で異常（ＮＧ）継続用カウンタを更新し、異常が一定期間異常継続した場合（ＹＥＳ）には、ステップ４０７で該当するマイコン（１０３または１０７）が異常であるとＮＧ確定情報を生成する。
【００４１】
そして、ステップ４０８では、両マイコン１０３、１０７（図では、メイン＋サブＣＰＵと記載される。）に実装されている制御部１０４、制御部１０８の出力反転信号の相互監視結果を取得し、ステップ４０９にて、この結果と、一時的に発行した出力診断結果の組み合わせを用いて、両マイコン１０３、１０７の総合判定結果を確認する。
【００４２】
図８は、本発明に係る出力反転信号最終診断の総合判定結果のパターンを示す。この総合判定結果の組み合わせは、図８に示すように考えられ、基本的には、監視モジュール１１１がステップ４０３、ステップ４０７にて一時的に発行した出力診断結果と、制御部１０４、制御部１０８の相互監視結果（ステップ４０８）が同一であった場合には、信憑性があるデータとして、その結果を総合判定結果とする。一方で、ステップ４０３、ステップ４０７にて一時的に発行した出力診断結果と、制御部１０４、制御部１０８の相互監視結果（ステップ４０８）に差異が発生している場合には、監視モジュール１１１、メインマイコン１０３、サブマイコン１０７の何れかの故障が疑われ、正確な診断が不可能となる為、総合判定結果を不定とする。
【００４３】
図８において、監視モジュール１１１がステップ４０３、ステップ４０７にて一時的に発行した出力診断結果は横軸に記載され、４つのパターンを含む。この横軸の４つのパターンは、１）メインマイコン１０３、サブマイコン１０７ともＯＫ（ＭＡＩＮ−ＳＵＢ  ＯＫ）、２）メインマイコン１０３はＮＧ、サブマイコン１０７はＯＫ（ＭＡＩＮ  ＮＧ＋ＳＵＢ  ＯＫ）、３）メインマイコン１０３はＯＫ、サブマイコン１０７はＮＧ（ＭＡＩＮ  ＯＫ＋ＳＵＢ  ＮＧ）、４）メインマイコン１０３、サブマイコン１０７ともＮＧ（ＭＡＩＮ−ＳＵＢ  ＮＧ）とされる。一方、制御部１０４、制御部１０８の相互監視結果は、縦軸に記載され、上記同様に、４つのパターンを含む。すなわち、この縦軸の４つのパターンは、１）メインマイコン１０３、サブマイコン１０７ともＯＫ（ＭＡＩＮ−ＳＵＢ  ＯＫ）、２）メインマイコン１０３はＮＧ、サブマイコン１０７はＯＫ（ＭＡＩＮ  ＮＧ＋ＳＵＢ  ＯＫ）、３）メインマイコン１０３はＯＫ、サブマイコン１０７はＮＧ（ＭＡＩＮ  ＯＫ＋ＳＵＢ  ＮＧ）、４）メインマイコン１０３、サブマイコン１０７ともＮＧ（ＭＡＩＮ−ＳＵＢ  ＮＧ）とされる。
【００４４】
横軸の４つのパターンと縦軸の４つのパターンとの組み合わせにより、以下のパターンＡ−Ｄとして、ステップ４０９により、判断される。
【００４５】
パターンＡは、メインマイコン１０３、サブマイコン１０７ともＯＫ（ＭＡＩＮ−ＳＵＢ  ＯＫ）と判断されるパターンである。
【００４６】
パターンＢは、メインマイコン１０３は不定またはＮＧ、サブマイコン１０７はＯＫ（ＭＡＩＮ  不定＋ＳＵＢ  ＯＫ、および、ＭＡＩＮ  ＮＧ＋ＳＵＢ  ＯＫ）と判断されるパターンである。
【００４７】
パターンＣは、メインマイコン１０３はＯＫ、サブマイコン１０７は不定またはＮＧ（ＭＡＩＮ  ＯＫ＋ＳＵＢ  不定、および、ＭＡＩＮ  ＯＫ＋ＳＵＢ  ＮＧ）と判断されるパターンである。
【００４８】
パターンＤは、メインマイコン１０３、サブマイコン１０７ともＮＧまたは不定（ＭＡＩＮ−ＳＵＢ  ＮＧ、および、ＭＡＩＮ―ＳＵＢ  不定）と判断されるパターンである。
【００４９】
図４のステップ４０９の総合判断の結果、メインマイコン１０３、サブマイコン１０７のいずれかが正常と判断されれば、ステップ４１０でパターンＡ／Ｂ／Ｃの診断結果を生成する。一方、ステップ４０９の総合判断の結果、メインマイコン１０３、サブマイコン１０７ともＮＧまたは不定と判断されれば、スッテプ４１１でパターンＤの診断結果を生成する。
【００５０】
図５は、監視モジュール１１１に実装されるタスク実行順序診断についてのフローチャートである。この処理は、両マイコン１０３、１０７の制御部１０５、制御部１０９のタスク実行順序診断カウンタ更新処理にて生成された二次元の診断カウンタマップを監視モジュール１１１に予め登録された期待値と比較し診断するものである。
【００５１】
ステップ５０１では、両マイコン１０３、１０７で生成されたタスク実行順序診断用カウンタマップを取得する。ステップ５０２では、ステップ５０１で取得した２つの診断用カウンタマップと、監視モジュールに２次元のＲＯＭマップとして予め組み込まれている図７のようなタスク起動順序期待値とを比較し、一致しない場合（ＮＧ）には、ステップ５０３で実行順序一次判定として該当のマイコンを異常な状態（ＮＧ）とみなす。一方、一致する場合（ＯＫ）には、該当のマイコンは正常な状態と見做され、この処理は、終了（ＥＮＤ）する。
【００５２】
ステップ５０４では、マイコン１０３，１０７毎に用意している実行順序ＮＧ継続カウンタを更新し、ステップ５０５にてＲＯＭ情報として組み込まれているＮＧ継続カウンタ閾値と比較する。比較の結果、ＮＧ継続が一定期間継続した場合（閾値経過）、ステップ５０６で異常なマイコンとして診断結果を生成する。一方、ＮＧ継続が一定期間継続していない場合（閾値未経過）、該当のマイコンは正常な状態と見做され、この処理は、終了（ＥＮＤ）する。
【００５３】
図６は、監視モジュール１１１に実装されるＣＰＵ異常診断１１３についてのフローチャートである。
【００５４】
この処理は、図４にて生成された出力反転信号最終診断結果と、図５にて生成されたタスク実行順序診断結果との組み合わせにより、両マイコン１０３、１０７の動作正常性、動作妥当性を診断し、異常状態に応じた変速制御の切り替えと、異常なマイコンの停止処理を行うものである。この両マイコン１０３、１０７の動作正常性、動作妥当性を診断処理は、第二の妥当性診断処理と見做される。
【００５５】
ステップ６０１では、両マイコン１０３、１０７から規定周期で出力されるソフトウェア反転信号を診断するものであり、詳細内容については図４のフローチャートに示す。ステップ６０２ではステップ６０１で生成された診断結果パターン(図８参照)を確認し、パターンＤであれば、両マイコン１０３、１０７の状態が不定または、異常な状態と判断し、ステップ６０８の処理に遷移する。パターンＤ以外のパターンＡ、Ｂ、Ｃについてはステップ６０３に遷移し、タスク実行順序診断を行う。これは両マイコン１０３、１０７に図７のような構成で登録されているジョブ毎のタスク動作の実行順序を診断するものであり、詳細内容については図５のフローチャートに示す。
【００５６】
そして、ステップ６０４では、ステップ６０１でのソフトウェア反転信号診断結果(図８のパターンＡ、Ｂ、Ｃ)と、ステップ６０３でのタスク実行順序診断結果とから考慮される図９のような組み合わせを確認する。
【００５７】
図９は、ＣＰＵ異常診断の診断結果のパターンを示す。図９の縦軸は、図８で説明されたパターンＡ、Ｂ、Ｃに対応するものである。一方、図９の横軸は、タスク実行順序チェックの診断結果であり、４つのパターンを含む。この４つのパターンは、１）メインマイコン１０３、サブマイコン１０７ともＯＫ（ＭＡＩＮ−ＳＵＢ  ＯＫ）、２）メインマイコン１０３はＮＧ、サブマイコン１０７はＯＫ（ＭＡＩＮ  ＮＧ＋ＳＵＢ  ＯＫ）、３）メインマイコン１０３はＯＫ、サブマイコン１０７はＮＧ（ＭＡＩＮ  ＯＫ＋ＳＵＢ  ＮＧ）、４）メインマイコン１０３、サブマイコン１０７ともＮＧ（ＭＡＩＮ−ＳＵＢ  ＮＧ）とされる。
【００５８】
そして、図９の縦軸の３つのパターンＡ、Ｂ、Ｃと横軸の４つパターンとの組み合わせから、再度、パターンＡＡ、ＢＢ、ＣＣ、ＤＤの判定が行われる。ここで、パターンＡＡは、メインマイコン１０３に通常制御（主要な制御機能）を継続させるパターンである。パターンＢＢは、サブマイコン１０７に変速制御（主要な制御機能の一部）を代用させるパターンである。パターンＣＣは、メインマイコン１０３に通常制御を継続させるパターンである。パターンＤＤは、メインマイコン１０３およびサブマイコン１０７ともに、強制停止させるパターンである。
【００５９】
再びステップの説明に戻る。ステップ６０３での図９のような組み合わせを確認の結果、メインマイコン１０３が正常（パターンＡＡ、ＣＣ）と判断されれば、すなわち、ステップ６０５またはステップ６０７にて、現在メインマイコン１０３で実行している車両変速制御をはじめとした、通常の各制御処理をそのまま継続させる。
【００６０】
一方、メインマイコン１０３が異常状態でかつ、サブマイコン１０７が正常な状態(パターンＢＢ)と判断されれば、ステップ６０６でメインマイコン１０３を停止させ、サブマイコン１０７へ変速制御切り替え要求を発行し、車両制御機能（主要制御機能）としての変速制御動作(主要制御機能の一部)の代用をサブマイコン１０７にて行う。
【００６１】
また、両マイコン１０３、１０７が異常な状態(パターンＤないしパターンＤＤ)と判断されれば、ステップ６０８にて両マイコン１０３、１０７を強制的に停止させ、車両を安全動作へ遷移させる為、フェールセーフ動作を行う。フェールセーフ動作として、監視モジュール１１１が駆動回路１１５へ接続され、監視モジュール１１１の指示により、駆動回路１１５へ変速段を固定する指示を行なう。それにより、ソレノイドへの供給油圧を停止させるなどの制御が行われ、異常なマイコンからの指示に基づいた変速動作を防止する。
【００６２】
ここで、ステップ６０５〜ステップ６０８の処理については、自動変速機制御装置と通信が可能な他制御装置に対し、メインマイコン１０３、サブマイコン１０７の異常状態を伝えられるよう、ステップ６０５〜ステップ６０８の各異常状態に応じてメインマイコン用の異常状態を表す通信信号、サブマイコン用の異常状態を表す通信信号を生成・他マイコンへの送信を行ってもよい。
（まとめ）
本発明に係る変速機制御装置は、以下の構成とされる。
【００６３】
この変速機制御装置は、メインマイクロコントローラ１０３とされる第一の演算処理装置、サブマイクロコントローラ１０７とされる第二の演算処理装置、および、監視モジュール１１１とされる監視装置とを、含む。
【００６４】
この第一の演算処理装置１０３は、変速機制御装置の主要制御機能および第二の演算処理装置１０７の監視機能を含む。
【００６５】
この第二の演算処理装置１０７は、第一の演算処理装置１０３の異常時に、変速機制御装置の主要制御機能の一部を代用処理する機能および第一の演算処理装置１０３の監視機能を含む。
【００６６】
監視装置１１１は、第一および第二演算処理装置１０３，１０７の監視機能結果を監視する機能を有し、第一および第二演算処理装置１０３，１０７の異常状態に応じて、動作させる演算処理装置を切り替え、または、両演算処理装置を停止させ、車両安全動作に遷移させる。
【００６７】
第一および第二演算処理装置１０３，１０７の監視は、監視装置１１１にて、第一および第二演算処理装置１０３，１０７の処理順序診断カウンタ結果と、予め固定値として登録されている処理順序カウンタ期待値とを比較することで得られるタスク実行順序診断結果と、第一および第二演算処理装置１０３，１０７のソフトウェア反転信号結果（または、発振回路出力結果）とを組み合わせて実施する。ここで、処理順序診断カウンタとは、第一および第二演算処理装置１０３，１０７の両演算処理装置のジョブ毎にスケジューリングされたタスクが実行されたタイミングで更新されるカウンタの事を示し、これは規定周期毎に監視モジュールへ送信される。また、動作させる演算処理装置の切り替えは、上記第一および第二演算処理装置１０３，１０７の監視結果から、第二の演算処理装置１０７が異常時には、第一の演算処理装置１０３にて変速制御動作を継続し、第一の演算処理装置１０３の異常時には、第二の演算処理装置１０７にて第一の演算処理装置１０３の変速制御の代用（主要制御機能の一部）を行う。また、両演算処理装置１０３，１０７の異常時には、監視装置１１１にて両演算処理装置１０３，１０７をリセットまたは強制的に停止させてリニアソレノイドの制御を停止し、フェールセーフ動作として変速機の変速段を固定するものである。
【符号の説明】
【００６８】
１０１・・・センサ
１０２・・・入力回路
１０３・・・メインマイコン
１０４・・・制御部（出力反転信号相互診断処理）
１０５・・・制御部（タスク実行順序診断カウンタ更新処理）
１０６・・・制御部（主要変速制御処理）
１０７・・・サブマイコン
１０８・・・制御部（出力反転信号相互診断処理）
１０９・・・制御部（タスク実行順序診断カウンタ更新処理）
１１０・・・制御部（変速制御処理）
１１１・・・監視モジュール
１１２・・・制御部（出力反転信号最終診断処理）
１１３・・・制御部（タスク実行順序診断処理）
１１４・・・制御部（ＣＰＵ異常診断処理）
１１５・・・駆動回路
１１６・・・リニアソレノイド
【図１】
2018080710.tif 000003
【図２】
2018080710.tif 000004
【図３】
2018080710.tif 000005
【図４】
2018080710.tif 000006
【図５】
2018080710.tif 000007
【図６】
2018080710.tif 000008
【図７】
2018080710.tif 000009
【図８】
2018080710.tif 000010
【図９】
2018080710.tif 000011