(57)【特許請求の範囲】
【請求項１】
下位電子制御装置の電源供給手段を制御するハードウェアとして独立した上位電子制御装置と、
前記下位電子制御装置、及び前記上位電子制御装置が駆動するために必要な電力を供給する電力供給手段と、
前記上位電子制御装置に対し、外部から入力される起動用スイッチ信号により、前記起動用スイッチ信号がアクティブレベルの場合に前記上位電子制御装置に駆動電力を供給する、前記電力供給手段と前記上位電子制御装置の間に入れられた、前記上位電子制御装置への電力を供給、又は遮断する第１リレーと、
前記下位電子制御装置に対し、前記起動用スイッチ信号により起動した前記上位電子制御装置が駆動電力の供給の可否を判断し、電力の供給、又は遮断を制御するする前記第１リレーの下流に設置された第２リレーと、
前記下位電子制御装置と前記上位電子制御装置間において、診断を行う為のデータを送受信可能な通信ラインとを有し、
前記上位電子制御装置は、前記通信ラインからの情報を基に前記下位電子制御装置が故障と判断した場合、フェールセーフ処理として前記第２リレーをオフ制御し、前記下位電子制御装置への給電を遮断する構成の車両用相互監視モジュールにおいて、
前記下位電子制御装置の異常により前記上位電子制御装置はフェールセーフ処理として前記第２リレーをオフ制御後、外部から前記下位電子制御装置へのリプロ要求があった場合、前記上位制御装置は、前記下位電子制御装置へのリプロ要求を前記通信ラインにより検知し、前記第２リレーをオン制御することで、前記下位電子制御装置のリプロを可能にすること、
を特徴とする車両用相互監視モジュール。
【請求項２】
請求項１に記載の車両用相互監視モジュールにおいて、
前記上位電子制御装置は、
外部から入力される前記起動用スイッチ信号がローレベルからアクティブレベルへ変化した場合、前記上位電子制御装置内のマイコンの自己診断を実施し、診断結果が正常の場合にのみ、前記第２リレーをオンとし前記下位電子制御装置に電力を供給すること、
を特徴とする車両用相互監視モジュール。
【請求項３】
請求項２に記載の車両用相互監視モジュールにおいて、
前記上位電子制御装置は、
外部から前記下位電子制御装置へのリプロ要求があった場合にのみ、下位電子制御装置への診断処理を停止すること、
を特徴とする車両用相互監視モジュール。
【請求項４】
請求項３に記載の車両用相互監視モジュールにおいて、
前記上位電子制御装置は、
外部から前記下位電子制御装置へのリプロ要求があった場合、前記上位電子制御装置内のマイコンの自己診断を実施し、診断結果が正常の場合にのみ、前記第２リレーのオン制御を許可すること、
を特徴とする車両用相互監視モジュール。
【請求項５】
請求項１に記載の車両用相互監視モジュールにおいて、
前記上位電子制御装置は、
外部から入力される前記起動用スイッチ信号がローレベルからアクティブレベルへ変化した場合、前記上位電子制御装置内のマイコンの自己診断を実施し、診断結果が正常の場合にのみ、前記第２リレーをオンとし前記下位電子制御装置に電力を供給し、その後、
前記下位電子制御装置は、
前記下位電子制御装置内のマイコンの自己診断を実施し、診断結果が異常な場合には前記通信ラインでの通信を停止することで上位電子制御装置での異常検知を促すとともに、自身はリプロモードへ遷移することで、制御対象の誤操作を防止すること、
を特徴とする車両用相互監視モジュール。
【請求項６】
請求項１に記載の車両用相互監視モジュールにおいて、
前記上位電子制御装置は、
外部から前記下位電子制御装置へのリプロ要求があった場合、前記上位電子制御装置内のマイコンの自己診断を実施し、診断結果が正常の場合にのみ、前記第２リレーのオン制御を許可して前記下位電子制御装置を起動し、
その後、前記下位電子制御装置は、
前記下位電子制御装置内のマイコンの自己診断を再実施し、診断結果が異常であることによりリプロモードへ遷移することで、外部リプロツールとの通信を開始すること、
を特徴とする車両用相互監視モジュール。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は車両用電子制御装置における相互監視モジュールによる下位電子制御装置のリプロ手法に関し、ディーラーでのリプロ失敗が原因でプログラム領域が破壊され、再リプロを試みようとしても上位電子制御装置が下位電子制御装置を異常と判断し電源リレーを遮断してしまうことを防止することを目的とする。
【背景技術】
【０００２】
車両制御装置の電子制御化の加速により、昨今の車両には１台当り多数の電子制御装置が搭載されている（特許文献１等参照）。これらの電子制御装置は、バッテリ等の電源から駆動電力が供給されている。また、電源と電子制御の間には、通常、駆動電力の供給／遮断手段として電源リレーが挿入されている。また、該電子制御装置が制御する対象装置についても電源リレー、又は電源を供給／遮断する回路が一般的に挿入されている。
【０００３】
各電子制御装置は、何らかの異常が発生した場合、制御対象機器を安全方向へ制御する必要がある。例えば、特許文献２では、メインマイコンやメインマイコンを監視する同一電子制御装置内のサブマイコンで異常を検知し、制御対象装置上流の電源リレー、又は電源供給回路を遮断することでフェールセーフ状態へ移行する技術が開示されている。
【０００４】
このような構成とすることで、メインマイコン異常により制御対象をフェールセーフ状態へ移行できる保証がなくとも、サブマイコンのような監視装置によりフェールセーフ状態へ移行できる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１９６４５３号公報
【特許文献２】特開２００８−８８８８５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１で提案された方式では、電子制御装置内にサブマイコンのような監視装置を実装していることが前提となり、新たに実装するとなると電子制御装置のコストアップに繋がってしまう。
【０００７】
また、電子制御装置内に監視装置が実装されていない場合、自己診断により機能故障を検出することが出来る可能性はあるが、マイコン内の故障部位（例えば、演算部や出力部）によってはフェールセーフ状態へ移行することができないため、安全性に問題がある。
【０００８】
また、電子制御装置の実装面積などハードウェアの制約により監視装置を実装できない場合があり、この場合も自己診断により機能故障を検出することが出来ても、故障部位によっては、確実にフェールセーフ状態に移行できる保証はない。
【０００９】
上記については、ＣＡＮ通信で繋がっていることを利用し、複数の電子制御装置間で相互監視することで異常を確実に検知する手法が既に知られている。
【００１０】
特許文献２については、故障検出対象であるリレーとは異なる、他のリレーを介して電源に接続されている車載電子機器との通信により検出する手法であるため、監視装置と対象リレーが繋がる電子制御装置の他に、比較する為の別の電源リレーに繋がる電子制御装置が必要となり、トータルのシステムコストは上昇する。
また、該文献には、異常検知の手法に主眼が置かれており、異常検知後のシステムとしての振る舞い（フェールセーフ処理）の記載が無い。
【００１１】
上記については、上位電子制御装置により異常を検知し、異常と判断された場合は、車両用自動変速機の電子制御装置に依存せずに安全にフェールセーフ状態へ移行する技術が知られている。
【００１２】
しかしながら上記構成では、ディーラーなどでのリプロ作業では、機器の接続などは人員の手で行われており、リプロ中に車両と機器を繋いでいるコネクタの脱落や振動などによりリプロが失敗するシーンが往々にして想像でき、仮に失敗した場合はプログラム領域が破壊されてしまうため、下位電子制御装置は起動後の初期診断で異常を検出するため、上位制御装置がフェールセーフ処理として電源リレーを遮断してしまい、リプロが不可能になってしまう問題がある。
【００１３】
本発明は、上記課題に鑑みてなされたものであり、その目的は、車両用相互監視モジュールにおけるリプロ手法の提供であり、諸要因により下位電子制御装置のリプロに失敗した場合、上位電子制御装置では異常を検知し、一旦フェールセーフ状態に移行させるが、再度リプロが必要な場合には、下位電子制御装置の状態に依存せず好適にリプロモードに移行させることにある。
【課題を解決するための手段】
【００１４】
上記目的を達成するため、本発明は以下の手段を有することを特徴とする。
【００１５】
請求項１に係る車両用電子制御装置（例えば、ＡＴＣＵ）の監視システムは、ＡＴＣＵの異常を検出するハードウェアとして独立した上位電子制御装置（以下、監視装置）と、ＡＴＣＵ及び監視装置に駆動電力を供給する電力供給手段と、監視装置に対し、外部から入力される起動用スイッチ信号（以下、ＩＧＮＳＷ）により、ＩＧＮＳＷがアクティブレベルの場合に、監視装置に駆動電力を供給する電力供給手段と、電源供給手段と監視装置との間に入れられた、監視装置への電力を供給／遮断する第１リレー（以下、ＩＧＮリレー）と、ＡＴＣＵに対し監視装置が駆動電力の供給の可否を判断し、電力の供給／遮断を制御するするＩＧＮリレーの下流に設置された第２リレー（以下、ＡＴＣＵリレー）と、ＡＴＣＵと監視装置において、診断を行う為の通信ラインを備えており、
監視装置は、通信ラインからの情報を基にＡＴＣＵが故障と判断した場合、フェールセーフ処理としてＡＴＣＵリレーをオフ制御し、ＡＴＣＵへの給電を遮断する構成の相互監視モジュールにおいて、
ＡＴＣＵの異常により監視装置はフェールセーフ処理としてＡＴＣＵリレーをオフ制御後、外部、即ちリプロ装置からＡＴＣＵへのリプロ要求があった場合、監視装置はＡＴＣＵへのリプロ要求を通信ラインにより検知し、ＡＴＣＵリレーをオン制御することで、ＡＴＣＵのリプロを可能にすることを特徴としている。
【００１６】
請求項２に係る監視装置は、ＩＧＮＳＷがローレベルからアクティブレベルへ変化した場合に、該マイコンの自己診断を実施し、診断結果が正常の場合にのみ、ＡＴＣＵリレーをＯＮとしＡＴＣＵに電力を供給すること、を特徴としている。
【００１７】
請求項３に係る監視装置は、外部、即ちリプロ装置からＡＴＣＵへのリプロ要求があった場合にのみ、ＡＴＣＵへの診断処理を停止することを特徴としている。Ｉ
請求項４に係る監視装置は、外部、即ちリプロ装置からＡＴＣＵへのリプロ要求があった場合に、該マイコンの自己診断を実施し、診断結果が正常の場合にのみ、ＡＴＣＵリレーをＯＮとしＡＴＣＵに電力を供給すること、を特徴としている。
【００１８】
請求項５に係るＡＴＣＵは、請求項２により起動後、該マイコンの自己診断を実施し、診断結果が異常な場合には通信ラインでの通信を停止することで監視装置での異常検知を促すとともに、自身はリプロモードへ遷移することで、制御対象の誤操作を防止することを特徴としている。
【００１９】
請求項６に係るＡＴＣＵは、請求項４により起動後、該マイコンの自己診断を再実施し、診断結果が異常であることによりリプロモードへ遷移することで、外部リプロツールとの通信を開始することを特徴としている。
【発明の効果】
【００２０】
本発明によれば、車両用自動変速機の電子制御装置（ＡＴＣＵ）に限らず、昨今の殆どの電子制御装置に実装されているＣＡＮなどのネットワーク通信路を利用することにより、他電子制御装置をＡＴＣＵの監視装置と見立てることができ、尚且つ、監視側である他電子制御装置がＡＴＣＵの電源リレーを制御する。
【００２１】
また、ディーラーなどでのリプロ作業では、リプロ装置の接続などは人員の手で行われており、リプロ中に車両と機器を繋いでいるコネクタの脱落や振動などによりリプロが失敗するシーンがあり、失敗した場合はプログラム領域が破壊されてしまい、ＡＴＣＵは起動後の初期診断で異常を検出するため、監視装置がフェールセーフ処理として電源リレーを遮断してしまうため、通常ではリプロが不可能になってしまう問題があるが、本発明では、監視装置がＡＴＣＵの異常を検知し、一旦フェールセーフ状態、即ちＡＴＣＵリレーをオフ制御するが、再度リプロが必要な場合には、監視装置がリプロ装置からのリプロ要求を受信し、ＡＴＣＵリレーをオン制御できるため、ＡＴＣＵの状態に依存せずリプロモードに移行させることができる。
【００２２】
上記構成とすることで、リプロ時のみＡＴＣＵリレーをオンさせることが可能となり、ＡＴＣＵ故障による意図しない暴走を防止することができるため、信頼性を向上の利点がある。
【図面の簡単な説明】
【００２３】
【図１】本発明の実施形態を示す監視システムの一例を示す図である。
【図２】初回起動時のＥＬＯＰ−ＡＴＣＵ間の監視手順を示すフローチャートである。
【図３】通常動作時のＥＬＯＰ−ＡＴＣＵ間の監視手順を示すフローチャートである。
【図４】ＡＴＣＵリプロ失敗時におけるリプロ手順を示すフローチャートである。
【図５】リプロツールからリプロ要求が送信されてからのリプロ手順を示すフローチャートである。
【図６】従来のＥＬＯＰ−ＡＴＣＵの関係を示すシステム構成図である。
【発明を実施するための形態】
【００２４】
以下、本発明の実施例を、図面を用いて説明する。
【実施例１】
【００２５】
図１から３を用いて本発明の第一の実施例について説明する。  
図１に車両の自動変速機を制御する変速機制御装置（以下、ＡＴＣＵと称す）１を監視対象とした、本発明の一実施形態を示す。監視対象としては、エンジン、シートベルト、モータ等車両に搭載される他の電装品を制御する電子制御装置であってもよい。
【００２６】
図１は電動オイルポンプ制御装置（以下、ＥＬＯＰと称す）２を監視装置としたＡＴＣＵ１の監視システムの概略図である。監視対象となるＡＴＣＵ１、ＡＴＣＵ１とはハードウェアとして独立しており監視側となるＥＬＯＰ２、ＥＬＯＰ２への駆動電力を供給／遮断するＩＧＮリレー３、ＥＬＯＰ２によりＯＮ／ＯＦＦ制御されＡＴＣＵへ駆動電力を供給／遮断するＡＴＣＵリレー４、各電子制御装置へ駆動電力を供給する電源（バッテリ、または図示しない発電機であってもよい）５、運転者からの操作によりＯＮ／ＯＦＦ操作されＥＬＯＰ２や各電子制御装置へ駆動電力を供給するか否かを制御するＩＧＮＳＷ６、ＡＴＣＵ１からの指令で自動変速機のクラッチを締結／開放するソレノイドバルブ７を備えている。ＡＴＣＵリレー４は、電流の供給／遮断が可能なスイッチ機能を有すれば良く、接点移動によりＯＮ／ＯＦＦする機械式リレーであってもよいし、半導体スイッチング素子による半導体リレーであってもよい。
【００２７】
ＡＴＣＵ１は、複数のソレノイドバルブ７への駆動量の算出、及び出力の切り替えを行う制御回路であるマイコン８と、電源５からの供給電圧を、マイコン８の駆動電圧へ変換し供給する電源供給回路９と、ＥＬＯＰ２と通信を行うための通信Ｉ／Ｆ回路１０と、マイコン８で算出されたソレノイドバルブ７への駆動量を電圧に変換するドライバ回路１１を備えている。
【００２８】
ＥＬＯＰ２は、自動変速機の作動油を加圧するオイルポンプへの駆動量の算出、及び出力を行う制御回路であるマイコン１２と、電源５からの供給電圧を、マイコン１２の駆動電圧へ変換し供給する電源供給回路１４と、ＡＴＣＵ１と通信を行うための通信Ｉ／Ｆ回路１３と、ＡＴＣＵリレー４をＯＮ／ＯＦＦ制御し、外部の電子制御装置であるＡＴＣＵへの供給される電力を制御するＡＴＣＵリレー制御回路１５を備えている。ＡＴＣＵリレー制御回路１５として、図１ではトランジスタを図示している。ＡＴＣＵリレー４の駆動に必要な電圧がマイコン１２の出力電圧で足りる場合や、トランジスタをＥＬＯＰ２外部に備える場合には、ＥＬＯＰ２内にトランジスタは必ずしも必要ではない。その場合、ＡＴＣＵリレー制御回路１５としては、マイコン１２がＡＴＣＵリレー４を駆動するための出力信号線が該当する。
【００２９】
ＡＴＣＵ１に実装されている通信Ｉ／Ｆ回路１０とドライバ回路１１は、ＡＴＣＵリレー４の電源が直接接続されている。また、マイコン８も電源供給回路９を介して、ＡＴＣＵリレー４の下流に設けられている。
【００３０】
電源供給回路９には、ＩＧＮリレー３やＡＴＣＵリレー４を経由せずに電源５からの電力が供給される経路と、ＩＧＮリレー３やＡＴＣＵリレー４を経由して電源５からの電力が供給される経路と、がそれぞれ接続されている。各種リレーを経由した経路からは、運転者によりＩＧＮＳＷ６がＯＮされてＩＧＮリレー３がＯＮした後、ＥＬＯＰ２によりＡＴＣＵリレー４がＯＮされることで電力が供給される。その後、電源供給回路９はマイコン８等の電子部品に所定の駆動電圧を供給する。マイコン８は、電源供給回路９からの駆動電圧を受けて、所定のリセット処理の後ソレノイドバルブ７の制御を開始する。
【００３１】
運転者によりＩＧＮＳＷ６がＯＦＦされるとＩＧＮリレー３がＯＦＦされ、各種リレーを経由した経路から電源供給回路９への電力供給が遮断される。ここで電源供給回路９は所定のセルフシャットオフディレイ期間を経てセルフシャットオフ期間に移行し、各種リレーを経由せずに電源５から供給される電圧により、マイコン８からの指示があるまでマイコン８へ駆動電圧を供給する。マイコン８は、セルフシャットオフ期間中に各種学習値の記憶等の処理を行い、電源供給回路９へ駆動電圧供給の停止を指示し、セルフシャットオフ期間を終了する。
ここで、セルフシャットディレイ期間中はシステム待機状態であり、ＡＴＣＵとしては何も機能していない状態となる。
【００３２】
なお、電源供給回路１４も同様に二種類の電源供給経路に接続されている。  
上記、図１の監視システムは、システム起動時、及び定常時にＡＴＣＵ１の異常を検知し、異常時には、フェールセーフ処理として、監視装置がＡＴＣＵリレー４をＯＦＦにする。
【００３３】
図６に従来のシステム概略図を説明する。図１と異なり、従来システムでは、ＡＴＣＵリレー４、ＡＴＣＵリレー制御回路１５、およびその周辺回路が存在しない。  
図２は、システム起動時のＡＴＣＵ１とＥＬＯＰ２の処理の流れを示す図である。まず始めにＩＧＮＳＷ６がＯＮ状態になると、ＩＧＮリレー３がＯＮになり、ＥＬＯＰ２の電源供給回路１４に電力が供給され、マイコン１２が起動する。
【００３４】
次に、起動されたマイコン１２は内部機能に故障があるか否か自己診断を行う（Ｓ２１）。ここでの診断は、具体的にはＲＯＭ／ＲＡＭ診断、及びレジスタ診断などがある。診断ＮＧの場合は、フェールセーフ状態へ移行する（Ｓ２２）。診断ＯＫの場合は、マイコン１２でＩＧＮＳＷ６の電圧状態を取得する（Ｓ２３）。  
次に、ＩＧＮＳＷ６の取得電圧が０Ｖ（ＯＦＦ状態）で、ＥＬＯＰ６が起動している場合は、本来であれば電源が供給されていないはずであるので、ＩＧＮリレー３のＯＮ故障であると判断し（Ｓ２４）、フェールセーフ処理へ移行する（Ｓ２５）。
診断ＯＫの場合は、ＡＴＣＵリレー４をＯＮに操作し、ＡＴＣＵ１を起動する（Ｓ２６）。
【００３５】
ＡＴＣＵ１の起動後、ＡＴＣＵ１は、マイコン８の内部機能に故障があるか否か自己診断を行う（Ｓ２７）。ここでの診断は、具体的にはＲＯＭ／ＲＡＭ診断、及びレジスタ診断などがある。診断ＮＧの場合は、フェールセーフ状態へ移行する（Ｓ２８）。診断ＯＫの場合は、ＡＴＣＵ監視システムが正常と判断し、通常制御へ移行する（Ｓ２９）。なお、本フローチャートにおけるフェールセーフ制御とは、マイコン１２自身でスタンバイ状態やリプログラミング待ち状態へ移行し、ＩＧＮＳＷ６がＯＦＦされるまで何も動作しないように制御することである。
【００３６】
図３は、システム起動後の通常制御時のＡＴＣＵ１とＥＬＯＰ２の処理の流れを示す図である。ＥＬＯＰ２は、通信手段（ここでは例として、通信Ｉ／Ｆ回路１０，１３を用いたＣＡＮ通信とする）を用いて、ＡＴＣＵ１からＡＴＣＵ１の自己診断結果を受信する（Ｓ３１）。ここでの自己診断とは、ＲＯＭ／ＲＡＭ診断、及びレジスタ診断など、マイコン内部の機能診断だけでなく、ＡＴＣＵ１本体の機能故障も含まれ、ＡＴＣＵ１自身で行う診断である。
【００３７】
ＥＬＯＰ２はＡＴＣＵ１からの自己診断結果からＯＫ／ＮＧ判断を行い（Ｓ３２）、診断ＮＧの場合、ＥＬＯＰ２はフェールセーフ制御へ移行し、ＡＴＣＵリレー４をＯＦＦに操作し、ＡＴＣＵ１への通電を遮断する（Ｓ３３）。このような場合、ＡＴＣＵ１は自身の異常状態を判定出来ているので、ＥＬＯＰ２ではなくＡＴＣＵ１自身でＡＴＣＵリレー４をＯＦＦに操作可能なように結線してもよい。Ｓ３２の診断がＯＫの場合、ＥＬＯＰ２はＡＴＣＵ１のマイコン機能故障、詳しくはマイコンの演算器の故障を検出するための問題データをＣＡＮ通信によりＡＴＣＵ１へ送信する（Ｓ３４）。
【００３８】
ＡＴＣＵ１は、ＥＬＯＰ２から受信した問題データを基に、マイコン８の演算器を用いて回答データを生成し（Ｓ３５）、ＥＬＯＰ２へ返信する（Ｓ３６）。ＥＬＯＰ２は、ＡＴＣＵ１から受信した回答データよりＯＫ／ＮＧ判断を行い（Ｓ３７）、診断ＮＧの場合、ＥＬＯＰ２はフェールセーフ制御へ移行し、ＡＴＣＵリレー４をＯＦＦに操作し、ＡＴＣＵ１への通電を遮断する（Ｓ３８）。
【００３９】
診断ＯＫの場合、ＡＴＣＵ１は正常と判断し、通常制御を継続する（Ｓ３９）。以上の診断により、ＥＬＯＰ２はＡＴＣＵ１自身で判断出来ない異常状態を診断することができる。本フローチャートでは問題データと回答データのやり取りでＥＬＯＰ２がＡＴＣＵ１の監視を行う例を説明したが、他の監視方法として、ＡＴＣＵ１から定期的にＣＡＮ通信を介して送信される信号をＥＬＯＰ２が監視するような、ウォッチドッグタイマ方式を採用してもよい。
【００４０】
なお、本フローチャートにおけるフェールセーフ制御とは、ＥＬＯＰ２のマイコン１２がＡＴＣＵリレー制御回路１５を操作し、ＡＴＣＵリレー４をＯＦＦに制御することである。
【００４１】
以上の診断を実施することにより、ＡＴＣＵ１に監視装置を実装していない場合でも、ネットワークで繋がっている電子制御装置を監視装置とすることで、ＡＴＣＵ１のマイコン等の故障／機能故障を検知することが出来る。すなわち、現在の電子制御装置内の構成を変えることなく、且つ、最小のシステム変更で電子制御装置の故障を正確に検知し、且つ、確実にフェールセーフ状態に移行可能な監視システムが提供できる。
【００４２】
また、本発明のシステム構成であれば、ＡＴＣＵ１のマイコンが暴走により、ＡＴＣＵリレー４をＯＦＦにしてもシステム電源が停止できない場合にも、監視装置であるＥＬＯＰ２側でＡＴＣＵリレー４をＯＦＦすることでＡＴＣＵ１の機能、つまり、ソレノイドバルブ７の動作／ネットワーク通信を停止することが可能であり、結果、自動変速機は直結ギアでの走行となるため、ＡＴＣＵ１の暴走により電源リレーをＯＦＦすることができずインターロックなど、甚大な被害をもたらすことを防止することができる。
【００４３】
また、車両に実装されている他電子制御装置を監視装置とすることで、ＡＴＣＵ１自身へ監視装置を実装する必要がなく、システムコストを低減できる利点がある。さらに、ＡＴＣＵ１が自動変速機と一体的に実装されているような場合、ＡＴＣＵのサイズや実装面積には厳しい制約があり、本発明によればその制約も満たすことができる。
【００４４】
以上、本発明の一実施例構成について説明したが、本発明はこうしたＡＴＣＵの監視システムとして限定されるものではなく、電子制御装置の動作を停止することにより、車両として安全方向に働くような機能を持った電子制御装置にも応用することが可能である。
【実施例２】
【００４５】
以降、図４、５を用いて第二の実施例について説明する。本実施例では、リプロが失敗したＡＴＣＵの相互間システムにおけるリプロ手法について説明する。実施例１と同様、図１で説明したシステム構成で動作可能であるため、システム構成の説明は省略する。
まず始めにＩＧＮＳＷ６がＯＮ状態になると、ＩＧＮリレー３がＯＮになり、ＥＬＯＰ２の電源供給回路１４に電力が供給され、マイコン１２が起動する。次に、起動されたマイコン１２は内部機能に故障があるか否か自己診断を行う（Ｓ２０１）。ここでの診断は、具体的にはＲＯＭ／ＲＡＭ診断、及びレジスタ診断などがある。診断ＮＧの場合は、フェールセーフ状態へ移行する（Ｓ２０２）。診断ＯＫの場合は、マイコン１２でＩＧＮＳＷ６の電圧状態を取得する（Ｓ２０３）。
【００４６】
ここで、ＩＧＮＳＷ６の取得電圧が０Ｖ（ＯＦＦ状態）で、ＥＬＯＰ６が起動している場合は、本来であれば電源が供給されていないはずであるので、ＩＧＮリレー３のＯＮ故障であると判断し（Ｓ２０４）、フェールセーフ処理へ移行する（Ｓ２０５）。なお、ここでのフェールセーフ制御とは、マイコン１２自身でスタンバイ状態やリプログラミング待ち状態へ移行し、ＩＧＮＳＷ６がＯＦＦされるまで何も動作しないように制御することである。診断ＯＫの場合は、ＡＴＣＵリレー１をＯＮに操作し、ＡＴＣＵ１を起動する（Ｓ２０６）。
【００４７】
起動後、ＡＴＣＵ１は、マイコン８の内部機能に故障があるか否か自己診断を行う（Ｓ２０７）。ここでの診断は、具体的にはＲＯＭ／ＲＡＭ診断、及びレジスタ診断などがある。今回、リプロが失敗したＡＴＣＵを想定しているため、診断結果は当然ＮＧとなり、フェールセーフ状態へ移行する（Ｓ２０８）。
【００４８】
ＡＴＣＵ１はフェールセーフ状態であるためＣＡＮ送信も禁止されており、ＥＬＯＰ２は、ＡＴＣＵ１からのＣＡＮ途絶により、ＡＴＣＵ１の異常を検知しフェールセーフ処理に移行し、ＡＴＣＵリレー４をＯＦＦに操作する（Ｓ２０９）。
【００４９】
ここで、システムとしてはＡＴＣＵ１の電源が遮断されているため、ＡＴＣＵ１のマイコンが暴走により、ＡＴＣＵリレー４をＯＦＦにしてもシステム電源が停止できない場合にも、監視装置であるＥＬＯＰ２側でＡＴＣＵリレー４をＯＦＦすることでＡＴＣＵ１の機能、つまり、ソレノイドバルブ７の動作／ネットワーク通信を停止することが可能であり、結果、自動変速機は直結ギアでの走行となるため、ＡＴＣＵ１の暴走により電源リレーをＯＦＦすることができずインターロックなど、甚大な被害をもたらすことを防止することができる。
【００５０】
次に、上記の状態で車両にリプロ装置が接続された場合、リプロツールはシステムコールを行うが、通常であればＡＴＣＵ１の電源が遮断されているためシステムエラーになるが、本発明ではＥＬＯＰ２がリプロツールからのシステムコールを代わりに受信し（Ｓ２１１）、この信号を基にリプロ要求があったと判断しＡＴＣＵリレー４をＯＮに操作する（Ｓ２１２）。
【００５１】
ここでＥＬＯＰ２は、ＡＴＣＵ１がリプロモードに移行したと判断し、ＡＴＣＵ１への診断を停止する（Ｓ２１３）。再起動されたＡＴＣＵ１は、再びマイコン８の内部機能に故障があるか否か自己診断を行う（Ｓ２１４）。ここでＡＴＣＵ１は、前回リプロを失敗しているためＲＯＭ診断で異常が確定し、フェールセーフ処理、即ちリプロモードへ移行する（Ｓ２１５）。
【００５２】
リプロモードに移行したＡＴＣＵ１は、リプロ用プログラムが格納された消去不可能なプログラム領域で動作し、リプロモード専用ＣＡＮＩＤによりリプロ装置と通信を成立させ、システムコールを受信する（Ｓ２１６）。その後、ＡＴＣＵ１はシステムコールに対しレスポンスを返すことでリプロ処理へと移行することができる（Ｓ２１７）。
【００５３】
ここで、仮にＡＴＣＵ１の故障がＲＯＭ領域だけでなく、多枝に渡って故障している場合はリプロ処理が終了しないため、ＥＬＯＰ２側でタイムアウト判定処理を行い（Ｓ２１８）、一定時間経過してもリプロ完了の知らせが無い場合は、リプロ失敗と判断しＡＴＣＵリレーをＯＦＦに操作する（Ｓ２１９）。
【００５４】
以上の実施例で説明したように本発明の電子制御装置の監視システムは、監視対象の電子制御装置の異常を検出するハードウェアとして独立した監視装置と、電子制御装置及び監視装置に駆動電力を供給する電力供給手段と、監視装置に対し、外部から入力される起動用スイッチ信号により、起動用スイッチ信号がアクティブレベルの場合に、監視装置に駆動電力を供給する電力供給手段と、電源供給手段と監視装置との間に入れられた、監視装置への電力を供給／遮断する第１リレーと、電子制御装置に対し監視装置が駆動電力の供給の可否を判断し、電力の供給／遮断を制御するする第１リレーの下流に設置された第２リレーと、電子制御装置と監視装置との通信による診断を行う為の通信ラインを備える。
【００５５】
更に、監視対象となる電子制御装置は、監視装置からの起動要求により第２リレーがオン状態になった場合、マイコンを動作させる電圧を出力する電源回路と、電源回路から出力される電圧によって動作するマイコンと、監視装置からの起動要求信号により起動する通信回路と、監視装置からの起動要求信号により起動するソレノイドバルブの駆動回路を備えてよい。
【００５６】
更に、監視装置は、起動用スイッチ信号がアクティブレベルの場合に、監視装置のマイコンを動作させる電圧を出力する電源回路と、電源回路から出力される電圧によって動作するマイコンと、電源回路から供給される電力により起動する通信回路を少なくとも備えてよい。
【００５７】
更に、監視装置は、起動用スイッチ信号がアクティブレベルの場合に、監視装置のマイコンを動作させ、起動時、及び定常時においてマイコンの自己診断を行い、マイコンが正常に動作していることを確認してから第２リレーをオンにしてよい。更に、監視装置は、起動用スイッチ信号がアクティブレベルの場合に、監視回路のマイコンを動作させ、始動時、及び定常時においてマイコンの自己診断を行い、前記マイコンが異常と判断した場合は、通信回路により監視対象の制御装置へ異常情報を送信し第２リレーをオフしてよい。
【００５８】
更に、監視対象となる電子制御装置は、監視装置からの起動要求により第２リレーがＯＮした場合、マイコンを動作させ、始動時においてマイコンの自己診断を行い、自身で異常と判断した場合は、スタンバイ状態へ移行し、車両用自動変速機等の制御（ソレノイドバルブの油圧制御等）を行わないようにしてよい。
【００５９】
更に、監視対象となる電子制御装置は、第２リレーがオン状態の場合、マイコンを動作させ、定常時においては車両用自動変速機等の制御（ソレノイドバルブの油圧制御等）を行うが、定常時においてもマイコンの自己診断を行い、自身が異常と判断した場合は、監視装置へ通信回路により異常情報を送信し、その後、通信回路の出力を停止し、その後、マイコンはスタンバイ状態へ移行し、車両用自動変速機等の制御を行わないようにしてよい。
【００６０】
本発明によれば、車両用自動変速機の電子制御装置（ＡＴＣＵ）に限らず、昨今の殆どの電子制御装置に実装されているＣＡＮなどのネットワーク通信路を利用することにより、他電子制御装置をＡＴＣＵの監視装置と見立てることができる。
【００６１】
更に、監視側の電子制御装置から監視対象となる電子制御装置へメインマイコンの機能を診断する問題を送信し、監視対象となる電子制御装置はその問題に対する回答を算出し、監視側の電子制御装置へ返信することにより、監視対象となる電子制御装置側のマイコン故障を検知することが出来る。
【００６２】
また、監視側の電子制御装置が監視対象となる電子制御装置の異常を検知した場合、監視側で監視対象となる電子制御装置の電源リレーをＯＦＦすることで監視対象となる電子制御装置の動作、自動変速機制御の場合はソレノイドバルブの動作を停止することが可能である。結果、自動変速機は直結ギアでの走行となるため、監視対象となる電子制御装置暴走により電源リレーをＯＦＦすることができずインターロックなど、甚大な被害をもたらすことを防止することができる。
【００６３】
また、監視対象となる電子制御装置の電源リレーがＯＮ固着の場合には、監視装置が監視対象となる電子制御装置へ故障情報を送信することで、監視対象となる電子制御装置自身でスタンバイ状態へ移行する等、フェールセーフ処理を行うことが出来る。
【００６４】
また、車両に実装されている他電子制御装置を監視装置とすることで、監視対象となる電子制御装置自身へ監視装置を実装する必要がなく、システムコストを低減できる利点がある。
【００６５】
また、ディーラーなどでのリプロ作業では、リプロ装置の接続などは人員の手で行われており、リプロ中に車両と機器を繋いでいるコネクタの脱落や振動などによりリプロが失敗するシーンがあり、失敗した場合はプログラム領域が破壊されてしまい、ＡＴＣＵは起動後の初期診断で異常を検出するため、監視装置がフェールセーフ処理として電源リレーを遮断してしまうため、通常ではリプロが不可能になってしまう問題があるが、本発明では、監視装置がＡＴＣＵの異常を検知し、一旦フェールセーフ状態、即ちＡＴＣＵリレーをオフ制御するが、再度リプロが必要な場合には、監視装置がリプロ要求を受信し、ＡＴＣＵリレーをオン制御できるため、ＡＴＣＵの状態に依存せずリプロモードに移行させることができる。
【００６６】
上記構成とすることで、リプロ時のみＡＴＣＵリレーをオンさせることが可能となり、ＡＴＣＵ故障による意図しない暴走を防止することができるため、信頼性を向上の利点がある。
【産業上の利用可能性】
【００６７】
本発明によれば、電子制御装置の実装面積などハードウェアの制約により監視装置を実装できない場合でも、何らかの通信手段を持っていれば、上位の電子制御装置に電源リレーの制御を実施させることで、相互監視装置が構築できる。また、上記相互監視システムでは、上位電子制御装置が本来、下位電子制御装置が通信するべきである外部装置との内容をモニタリングし、好適に電源リレーを制御することで、ＲＯＭ異常による再リプロ要求にも柔軟に対応でき、安全性だけでなく、サービス面も含め拡張性が高いシステムを提供することができる。
【符号の説明】
【００６８】
１…ＡＴＣＵ、２…電動オイルポンプ制御装置（ＥＬＯＰ）、３…ＩＧＮリレー、４…ＡＴＣＵリレー、５…電源（バッテリ、または図示しない発電機）、６…ＩＧＮＳＷ、７…ソレノイドバルブ、８…マイコン、９…電源供給回路、１０…通信Ｉ／Ｆ回路、１１…ドライバ回路。
【図１】
0006334436.tif 000002
【図２】
0006334436.tif 000003
【図３】
0006334436.tif 000004
【図４】
0006334436.tif 000005
【図５】
0006334436.tif 000006
【図６】
0006334436.tif 000007