(57)【要約】【課題】  本発明は、メイン系とサブ系を用いた２重系の制御装置において、メイン系マイコンに異常が検知された場合にも、可能な限りメイン系での通常制御が可能な制御装置を提供する。【解決手段】  本発明は、メイン系マイコンとサブ系マイコンとを用いて２重化された制御装置において、前記メイン系マイコン及び前記サブ系マイコンは、機能が共通する複数のモジュールを備え、前記メイン系マイコンは、前記メイン系マイコンが備える前記複数のモジュールに対して診断を行い、前記メイン系マイコンが備える前記複数のモジュールの一部に異常が検知された場合には、異常が検知された前記一部のモジュールに代えて、サブ系マイコンの対応するモジュールを動作させることを特徴とする。【選択図】図１
2016076049.tif 000002
【特許請求の範囲】
【請求項１】
メイン系マイコンとサブ系マイコンとを用いて２重化された制御装置において、
前記メイン系マイコン及び前記サブ系マイコンは、機能が共通する複数のモジュールを備え、
前記メイン系マイコンは、前記メイン系マイコンが備える前記複数のモジュールに対して診断を行い、
前記メイン系マイコンが備える前記複数のモジュールの一部に異常が検知された場合には、異常が検知された前記一部のモジュールに代えて、サブ系マイコンの対応するモジュールを動作させることを特徴とした制御装置。
【請求項２】
請求項１に記載の制御装置において、
前記メイン系マイコンの異常を複数の段階に区別して診断することを特徴とした制御装置。
【請求項３】
請求項２に記載の制御装置において、
前記メイン系マイコンで診断された異常が軽度である場合には、前記メイン系マイコンの異常が検知された前記一部のモジュールに代えて、サブ系マイコンの対応するモジュールを動作させ、
前記メイン系マイコンで診断された異常が重度である場合には、前記メイン系マイコンの全モジュールを停止させて、サブ系マイコンを動作させることを特徴とした制御装置。
【請求項４】
請求項３に記載の制御装置において、
前記メイン系マイコンは、前記サブ系マイコンに比べて多くのモジュール及び／又は機能を備え、
前記メイン系マイコンで診断された異常が重度である場合には、前記メイン系マイコンを停止させて、サブ系マイコンによる簡易制御を行うことを特徴とした制御装置。
【請求項５】
請求項３に記載の制御装置において、
前記メイン系マイコンは、ソフトウェアの書き換え機能を有し、
前記サブ系マイコンは、ソフトウェアの書き換え機能を有しないことを特徴とした制御装置。
【請求項６】
請求項１に記載の制御装置において、
前記メイン系マイコンが異常と診断された場合には、前記サブ系マイコンが前記メイン系マイコンの異常に関する処理信号を出力することを特徴とした制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置の耐故障性に関し、２重系制御装置に置けるメイン系マイコン機能診断時での診断異常を検知した場合でも可能限りメイン系制御装置での通常制御が実施可能な演算装置およびその演算装置を備えた制御装置の技術分野に関する。
【背景技術】
【０００２】
車載用制御の２重系制御装置の分野では、制御装置への電源投入直後に記憶デバイス（ＲＯＭ・ＲＡＭ）や周辺モジュール（ＡＤ変換器モジュール・ＣＡＮモジュール・Ｉ／Ｏモジュール等）および各種レジスタ等の診断を実施し、診断異常検知の場合サブ系側からのメイン系強制停止やメイン系自体を動作不可とするか、または、メイン系アプリ動作実施後に故障制御モードへ遷移し、通常制御が動作できない課題がある。
【０００３】
例えば、軽度のメイン系マイコン故障（１箇所のレジスタ診断異常発生）でも、スタータ始動が不可に陥り、極悪環境下に置かれた車両ではエンジンが掛からず車内冷暖房ができないことや携帯電話等への充電も不可になり、最悪人命に係わる危険性も懸念される。
【０００４】
また、昨今の自動運転車両の場合では、通常制御不可時には、フェールセーフモード処理にて緊急車両停止等は可能であるが、制御自体が動かないため危険回避運転動作取れないことも懸念される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平０９−１０５３４９号公報
【０００６】
メイン系とサブ系を用いた２重系の制御装置は公知であるが、例えば特開平０９−１０５３４９号公報等に記載のように、メイン系とサブ系間での相互監視が主で有り、マイコン内のどの機能が異常でどの機能が正常で有るかの判別をしてなく、単に１箇所の異常でも系自体を異常にしているため、異常検知後即フェールセーフモードに移行することを目的にしている。例えば、駆動系制御装置でのフェールセーフモードでは、変速固定になり有段変速機搭載車両の場合では、３速固定や４速固定になり、急こう配道路での登坂走行が困難になる懸念がある。また、無段変速機搭載車の場合では、その時点の変速比が固定になり、最悪最ロー変速比や最ハイ変速比になり、通常走行が困難になる懸念がある。また、相互監視前段階のソフト処理では、一般的に制御装置への電源投入直後でのメイン系マイコン診断異常時には、診断異常箇所により、記憶デバイス（ＲＯＭ・ＲＡＭ）診断異常や各種レジスタ診断異常の場合は、メイン系自己停止やサブ系からのメイン系強制停止が実施され、また、周辺モジュール（ＡＤ変換器モジュール・ＣＡＮモジュール・Ｉ／Ｏモジュール等）故障の場合は、故障状態をＲＡＭ上に記憶させ、アプリ実施後に前記ＲＡＭ上に記憶させた故障状態を基に各フェールセーフ制御を実施するのが主であり、メイン系マイコン診断にて、軽微な診断異常が検知された場合でも、通常制御が実施できない。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、メイン系とサブ系を用いた２重系の制御装置において、メイン系マイコンに異常が検知された場合にも、可能な限りメイン系での通常制御が可能な制御装置を提供する。
【課題を解決するための手段】
【０００８】
本発明は、メイン系マイコンとサブ系マイコンとを用いて２重化された制御装置において、前記メイン系マイコン及び前記サブ系マイコンは、機能が共通する複数のモジュールを備え、前記メイン系マイコンは、前記メイン系マイコンが備える前記複数のモジュールに対して診断を行い、前記メイン系マイコンが備える前記複数のモジュールの一部に異常が検知された場合には、異常が検知された前記一部のモジュールに代えて、サブ系マイコンの対応するモジュールを動作させることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、メイン系とサブ系を用いた２重系の制御装置において、メイン系マイコンに異常が生じた場合でも、可能な限りメイン系での通常制御が可能となる。
【図面の簡単な説明】
【００１０】
【図１】本実施形態に係る演算装置を搭載した、２重系ＡＴＣＵ用制御装置での正常時のブロック図である。
【図２】本実施形態に係る演算装置を搭載した、２重系ＡＴＣＵ用制御装置での軽故障モード時のブロック図である。
【図３】本実施形態に係る演算装置を搭載した、２重系ＡＴＣＵ用制御装置での中故障モード時のブロック図である。
【図４】本実施形態に係る演算装置を搭載した、２重系ＡＴＣＵ用制御装置での重故障モード時のブロック図である。
【図５】本実施形態に係るメイン系マイコンでの電源投入直後での処理概要を表した図で有る。
【図６】本実施形態に係るサブ系マイコンでの電源投入直後での処理概要を表した図で有る。
【図７】メイン系マイコン内でのソフト処理概要を表した図で有る。（一般的なメイン系ＡＴＣＵのソフト概略処理フロー図）
【図８】本実施形態に係るサブ系マイコン内でのソフト処理概要を表した図で有る。
【発明を実施するための形態】
【００１１】
以下に本発明の実施例を図に基づいて説明する。
【００１２】
図１は、本実施形態に係る２重系のＡＴＣＵ制御装置での正常時での動作（制御データの流れ）を示しており、メインＣＰＵの動作概要を以下に説明する。
【００１３】
メインＣＰＵへ電源が供給後、入力Ｉ／Ｆ部Ｓ０１０・ＲＡＭＳ０１１・演算器Ｓ０１２・ＲＯＭＳ０１３・出力Ｉ／Ｆ部Ｓ０１４の診断処理を実行し、全て診断正常と判断後、メインＣＰＵ正常状態をＤＰＲＡＭＳ０２０へ書き込み、その後、演算器Ｓ０１２は、ＲＯＭＳ０１３内に内蔵されたソフウェア実行後制御アプリを実行し、レンジ情報Ｓ００１・油温センサＳ００２・プライマリー側油圧センサＳ００３・セカンダリー側油圧センサＳ００４の入力データを入力Ｉ／Ｆ部Ｓ０１０介して、ＲＡＭＳ０１１にて各種制御データ等を蓄えて制御を実施し、出力Ｉ／Ｆ部Ｓ０１４を介してロックアップ油圧制御Ｓ０４０・プライマリー側油圧制御Ｓ０４１・セカンダリー側油圧制御Ｓ０４２の各出力デバイスへ出力される。ソフトウェアの制御自体は、図７記載のメインマイコン処理内容になる。
【００１４】
図２は、本実施形態に係る２重系のＡＴＣＵ制御装置での軽故障モード時での動作（制御データの流れ）を示しており、最初にメインＣＰＵの動作概要を以下に説明する。
【００１５】
ここで、軽度の故障とは、メインマイコン側周辺モジュール（ＣＡＮモジュール・Ｉ／Ｏレジスタ・ＡＤ変換モジュール・Ｉ／Ｏモジュール等）の入力部の故障を指す。また、後述する中度の故障とは、メインマイコン側周辺モジュール（ＣＡＮモジュール・Ｉ／Ｏレジスタ）全体の故障  または、周辺モジュールの出力部の故障を指し、重度の故障とは、メイン側マイコンでの記憶デバイス（ＲＯＭ・ＲＡＭ）自体の故障を指す。
【００１６】
メインＣＰＵへ電源が供給後、入力Ｉ／Ｆ部Ｓ０１０・ＲＡＭＳ０１１・演算器Ｓ０１２・ＲＯＭＳ０１３・出力Ｉ／Ｆ部Ｓ０１４の診断処理を実行し、入力Ｉ／Ｆ部Ｓ０１０が診断異常と判断後メインＣＰＵ軽故障状態をＤＰＲＡＭＳ０２０へ書き込み、その後、演算器Ｓ０１２は、ＲＯＭＳ０１３内に内蔵されたソフウェア実行後制御アプリを実行し、サブＣＰＵが格納したレンジ情報Ｓ００１・油温センサＳ００２・プライマリー側油圧センサＳ００３・セカンダリー側油圧センサＳ００４等の入力データをＤＰＲＡＭＳ０２０介して、ＲＡＭＳ０１１にて各種制御データ等を蓄えて制御を実施し、出力Ｉ／Ｆ部Ｓ０１４を介してロックアップ油圧制御Ｓ０４０・プライマリー側油圧制御Ｓ０４１・セカンダリー側油圧制御Ｓ０４２の各種出力デバイスへ出力を行い、更に、軽故障と判断された旨をリレーを介して警告灯制御Ｓ０４３へも出力する。ソフトウェアの制御自体は、図７記載のメインマイコン処理内容になる。
【００１７】
このように、分類された故障モードにより、サブ系よりリレーを介して警告灯を点灯させ、その旨を運転者へ報知することにより、車両運転時の安全性も確保可能となる。例えば、軽故障・中故障の場合は、通常制御が実施されるので、その旨を運転者へ報知すれば、速やかにデーラー等への整備入庫が可能になる。また、重故障の場合には、簡易制御が実施される旨を事前に運転者判断できるため、安全性が高まることに繋がる。
【００１８】
次にサブＣＰＵの動作概要を以下に説明する。
【００１９】
サブＣＰＵへ電源が供給後、演算器Ｓ０３２は、ＲＯＭＳ０３３内に内蔵されたソフウェア実行後制御アプリを実行し、レンジ情報Ｓ００１・油温センサＳ００２・プライマリー側油圧センサＳ００３・セカンダリー側油圧センサＳ００４等の入力データを入力Ｉ／Ｆ部Ｓ０３０介して、ＲＡＭＳ０３１にて入力データ等を蓄えた後、ＤＰＲＡＭＳ０２０へデータを格納する。
【００２０】
図３は、本実施形態に係る２重系のＡＴＣＵ制御装置での中故障モード時での動作（制御データの流れ）を示しており、最初にメインＣＰＵの動作概要を以下に説明する。
【００２１】
メインＣＰＵへ電源が供給後、入力Ｉ／Ｆ部Ｓ０１０・ＲＡＭＳ０１１・演算器Ｓ０１２・ＲＯＭＳ０１３・出力Ｉ／Ｆ部Ｓ０１４の診断処理を実行し、出力Ｉ／Ｆ部Ｓ０１４が診断異常と判断後、メインＣＰＵ中故障状態をＤＰＲＡＭＳ０２０へ書き込み、その後、演算器Ｓ０１２は、ＲＯＭＳ０１３内に内蔵されたソフウェア実行後制御アプリを実行し、レンジ情報Ｓ００１・油温センサＳ００２・プライマリー側油圧センサＳ００３・セカンダリー側油圧センサＳ００４等の入力データを入力Ｉ／Ｆ部Ｓ０１０介して、ＲＡＭＳ０１１にて各種制御データ等を蓄えて制御を実施し、出力データをＤＰＲＡＭＳ０２０へデータを格納し、出力制御のみサブＣＰＵ側で委ねる。ソフトウェアの制御自体は、図７記載のメインマイコン処理内容になる。
【００２２】
次にサブＣＰＵの動作概要を以下に説明する。
【００２３】
サブＣＰＵへ電源が供給後、演算器Ｓ０３２は、ＲＯＭＳ０３３内に内蔵されたソフウェア実行後制御アプリを実行し、メインＣＰＵで格納した、出力データをＤＰＲＡＭＳ０２０介して、ＲＡＭＳ０１１にて蓄え後、出力Ｉ／Ｆ部Ｓ０１４を介してロックアップ油圧制御Ｓ０４０・プライマリー側油圧制御Ｓ０４１・セカンダリー側油圧制御Ｓ０４２の各種出力デバイスへ出力を行い、更に、中故障と判断された旨を警告灯制御Ｓ０４３へも出力する。
【００２４】
図４は、本実施形態に係る２重系のＡＴＣＵ制御装置での重故障モード時での動作（制御データの流れ）を示しており、最初にメインＣＰＵの動作概要を以下に説明する。
【００２５】
メインＣＰＵへ電源が供給後、入力Ｉ／Ｆ部Ｓ０１０・ＲＡＭＳ０１１・演算器Ｓ０１２・ＲＯＭＳ０１３・出力Ｉ／Ｆ部Ｓ０１４の診断処理を実行し、ＲＡＭＳ０１１が診断異常と判断後、その後、演算器Ｓ０１２は、ＲＡＭＳ０１１の診断処理を繰り返す処理を継続する。この状態では、メインマイコンの診断状態をＤＰＲＡＭＳ０２０へ書き込み不可のため、ＤＰＲＡＭ上のメインＣＰＵ故郷モード状態は、初期状態を保持し（例えば、Ａｌｌ  ０ｘ００００値とか、Ａｌｌ  ０ｘｆｆｆｆ値意味する）、その保持した値が、メインＣＰＵ重故障モードとして表す。
【００２６】
次にサブＣＰＵの動作概要を以下に説明する。
【００２７】
サブＣＰＵへ電源が供給後、演算器Ｓ０３２は、ＲＯＭＳ０３３内に内蔵されたソフウェア実行後制御アプリを実行し、レンジ情報Ｓ００１・油温センサＳ００２・プライマリー側油圧センサＳ００３・セカンダリー側油圧センサＳ００４等の入力データを入力Ｉ／Ｆ部Ｓ０３０介して、ＲＡＭＳ０３１にて各種制御データ等を蓄えて制御を実施し、出力Ｉ／Ｆ部Ｓ０３４を介してプライマリー側油圧制御Ｓ０４１・セカンダリー側油圧制御Ｓ０４２の各出力デバイスへ出力される。更に、重故障と判断された旨を警告灯制御Ｓ０４３へも出力する。
【００２８】
ソフトウェアの制御自体は、図８記載のサブマイコン処理内容になる。
【００２９】
図５は、本実施形態に係るメイン系マイコン側での電源投入直後での概略を表した図を示しており、電源投入直後からメイン系マイコン診断処理が実行された後の制御フロー図になる。
【００３０】
最初にメインマイコンデバイス故障判定部Ｓ５００を実行し、デバイス故障と判定されたら、重故障モード処理部Ｓ５５５を実行し、メインマイコン演算停止になる。（一般的には、ＲＡＭ故障では無現ループ、ＲＯＭ故障では、リプロ処理モードへ遷移になる）
Ｓ５００にて、デバイス故障なしと判定されたら、メインマイコン出力系故障判定部Ｓ５１０を実行し、出力系故障と判定されたら、中故障モード処理部Ｓ５１５を実行し、メインマイコンの出力制御停止を実行し、故障したメイン系の出力制御部をサブ系の出力制御部へ出力処理を委ね、通常制御を実施する。
【００３１】
Ｓ５１０にて、出力系故障なしと判定されたら、メインマイコン入力系故障判定部Ｓ５２０を実行し、入力系故障と判定されたら、軽故障モード処理部Ｓ５１５を実行し、故障個所のメイン系マイコンの入力制御を停止後、メイン系とサブ系間にあるＤＰＲＡＭ部より、メイン系で故障と判定された入力系データをサブ系入力系データに置き換えて使用し、メイン系での通常制御を実施する。
【００３２】
Ｓ５２０にて、入力系故障なしと判定されたら、正常モード処理を実行し、通常制御を実行する。
【００３３】
図６は、本実施形態に係るサブ系マイコン側での電源投入直後での概略を表した図を示しており、電源投入直後からサブ系マイコン診断処理が実行された後の制御フロー図になる。
【００３４】
最初にメインマイコン故障モード受信処理部Ｓ６００を実行し、メイン系とサブ系間にあるＤＰＲＭ部より、メイン系での診断結果を取り出す。その後、メインマイコン重故障判定部Ｓ６０５にて、メインマイコン重故障と判定されたら、重故障モード部にて、サブ系での簡易制御を実行し、図８記載の最低限の変速制御を実施する。
【００３５】
Ｓ６０５にて、重故障なしと判定されたら、メインマイコン中故障判定部Ｓ６１５を実行し、中故障と判定されたら、中故障モード部Ｓ６２０にて、メイン系で中故障された出力系制御をサブ系で実行し、メイン系での通教制御を実施する。
【００３６】
Ｓ６１５にて、中故障なしと判定されたら、メインマイコン軽故障判定部Ｓ６２５を実行し、軽故障と判定されたら、軽故障モード部Ｓ６３０を実行し、サブ系入力系データをメイン系とサブ系間にあるＤＰＲＡＭ部へ格納する。
【００３７】
Ｓ６２５にて、軽故障なしと判定されたら、正常モードＳ６３５を実行する。ここでのサブ系の正常モード処理は、図８記載の入力処理部Ｓ８００のみ実行させ、他の処理部は実行させない。
【００３８】
図７は、一般的なメイン系ＡＴＣＵのソフト概略処理フロー図を示しており、制御アプリの実行順で、メイン系入力データ処理部Ｓ７００を実施後、メイン系変速処理部Ｓ７０５、メイン系ロックアップ処理部Ｓ７１０、メイン系油圧処理部Ｓ７１５、メイン系特殊処理部Ｓ７２０、メイン系フェール処理部Ｓ７２５を実施し、最後に、メイン系出力処理部Ｓ７３０を実施している。
【００３９】
図８は、本実施形態に係る簡易制御構造のサブ系ＡＴＣＵのソフト概略処理フロー図を示しており、制御アプリの実行順で、サブ系入力データ処理部Ｓ８００を実施後、サブ系変速処理部Ｓ８０５、サブ系油圧処理部Ｓ８１０、サブ系フェール処理部Ｓ８１５、最後に、サブ系出力処理部Ｓ８２０を実施する。前記図７記載のメイン系とのソフト構造の違いは、変速処理部では、通常変速制御のみになり、ロックアップ処理部はなしとし、油圧処理部では、プライマリー油圧とセカンダリー油圧制御のみになり、特殊処理部はなしとし、極めて単純なソフトウェア構成とし、ロックアップ制御無しの単純な変速制御とする。
【００４０】
即ち、図７、図８に示すような駆動系制御装置の場合では、サブ系のマイコンは、ロックアップ制御・ニュートラル制御・アイドルストップ制御・マニュアルモード制御・ナビ制御等を不要とし、通常変速制御のみ実施可能なソフトウェアの構造を有する。このように、サブ系のマイコンのソフトウェア構造を単純で必要最小限なものとすることにより、サブ系マイコンスペックが極力小さくて済み、サブマイコンとして省電力の廉価型マイコンを採用することができる。廉価型マイコンとは、例えば、ＲＯＭ容量・ＲＡＭ容量やＣＰＵ動作クロックが必要最小限とし、マスクＲＯＭを採用したマイコンである。
【００４１】
以上のとおり、本実施例に係る２重系の制御装置は、制御装置への電源投入直後でのメイン系マイコン診断を記憶デバイス（ＲＯＭ／ＲＡＭ）・周辺モジュール（ＡＤ変換器モジュール・ＣＡＮモジュール）等の機能毎に実施し、メイン系マイコン診断異常時に異常検知機能により、重故障モード、中故障モード、軽故障モード等の故障モードに分類し、その後、メイン系マイコンで使用可能な正常機能の選別を行い、それに伴いメイン系マイコンで使用不可能な異常機能をサブ系マイコン側での正常機能で補填する。
【００４２】
従って、メイン系とサブ系を用いた２重系の制御装置での電源投入直後でのメイン系マイコン診断異常検知時において、軽度または中度の診断異常検知時には、メイン系マイコンで使用可能な正常機能とメイン系マイコンで使用不可能な機能をサブ系マイコン側での正常機能データで補填し通常制御を実施可能とし、また、重度の診断異常検知時には、メイン系を強制停止させサブ系への制御遷移およびサブ系での簡易制御が可能になり、機能的に安全な制御が実施できる。このような制御装置は、機能的に安全であるため、自動運転制御にも適用可能である。
【００４３】
以上説明した実施形態では、メインＣＰＵとサブＣＰＵ間に、ＤＰＲＡＭを使用しているが、廉価なシリアル通信系を持たせる形態を適用し、サブＣＰＵの入力Ｉ／Ｆ部データを常時メインＣＰＵへシリアル通信を用いる手法や既存の通信系であるＣＡＮ通信を用いても本発明の技術的思想が適用可能なことは言うまでもない。
【符号の説明】
【００４４】
Ｓ００１：レンジ情報（入力データ）
Ｓ００２：油温センサ（入力データ）
Ｓ００３：プライマリー側油圧センサ（入力データ）
Ｓ００４：セカンダリー側油圧センサ（入力データ）
Ｓ０１０：入力  Ｉ／Ｆ部（メインＣＰＵ側）
Ｓ０１１：ＲＡＭ（メインＣＰＵ側）
Ｓ０１２：演算器（ＭＰＵ）（メインＣＰＵ側）
Ｓ０１３：ＲＯＭ（メインＣＰＵ側）
Ｓ０１４：出力  Ｉ／Ｆ部（メインＣＰＵ側）
Ｓ０２０：ＤＰＲＡＭ（Ｄｕａｌ  ｐｏｒｔ  ＲＡＭ）
Ｓ０３０：入力  Ｉ／Ｆ部（サブＣＰＵ側）
Ｓ０３１：ＲＡＭ（サブＣＰＵ側）
Ｓ０３２：演算器（ＭＰＵ）（サブＣＰＵ側）
Ｓ０３３：ＲＯＭ（サブＣＰＵ側）
Ｓ０３４：出力  Ｉ／Ｆ部（サブＣＰＵ側）
Ｓ０４０：ロックアップ油圧制御（出力デバイスデータ）
Ｓ０４１：プライマリー側油圧制御（出力デバイスデータ）
Ｓ０４２：セカンダリー側油圧制御（出力デバイスデータ）
Ｓ０４３：警告灯制御（出力デバイスデータ）
【図１】
2016076049.tif 000003
【図２】
2016076049.tif 000004
【図３】
2016076049.tif 000005
【図４】
2016076049.tif 000006
【図５】
2016076049.tif 000007
【図６】
2016076049.tif 000008
【図７】
2016076049.tif 000009
【図８】
2016076049.tif 000010