(57)【要約】【課題】マイクロコントローラ内においてリセットを止める判断をするソフトウェアの故障に対処しつつ、リセットを停止したとしても制御対象であるアクチュエータを安全な状態に保つことができる電子制御装置を提供する。【解決手段】電子制御装置はマイコン１０及び監視ＩＣ２０を備え、マイコン１０は、監視ＩＣ２０からの遮断信号の出力によってアクチュエータが安全状態に移行した場合に、監視ＩＣ２０へのリセット要求信号の出力を停止し通常制御に復帰させる。【選択図】図１
2016147585.tif 000002
【特許請求の範囲】
【請求項１】
車両に設けられるアクチュエータを制御する電子制御装置であって、
前記アクチュエータを制御するマイクロコントローラ（１０）と、
前記マイクロコントローラの外部に設けられ前記マイクロコントローラにおける異常発生を監視するマイクロコントローラ監視部（２０）と、を備え、
前記マイクロコントローラ監視部は、前記アクチュエータを安全状態に移行させるフェイルセーフ手段（２０２，２０４）を有しており、
前記マイクロコントローラは内部に異常が発生した場合に、自身にリセットをかけるためのリセット要求信号を前記マイクロコントローラ監視部に出力し、前記フェイルセーフ手段は前記リセット要求信号の出力に応じて前記アクチュエータを安全状態に移行させるものであって、
前記マイクロコントローラは、前記アクチュエータが安全状態に移行したと判断した場合に、前記リセット要求信号の出力を停止し通常制御に復帰させる、ことを特徴とする電子制御装置。
【請求項２】
前記マイクロコントローラは、内部における異常発生を監視するマイクロコントローラ監視自己診断ソフト（１３）を有し、
前記マイクロコントローラ監視自己診断ソフトは、前記アクチュエータが安全状態に移行したことを判断することを特徴とする、請求項１に記載の電子制御装置。
【請求項３】
前記マイクロコントローラ監視自己診断ソフトは、前記フェイルセーフ手段を監視することで、前記アクチュエータが安全状態に移行したと判断することを特徴とする、請求項２に記載の電子制御装置。
【請求項４】
前記マイクロコントローラ監視部は、前記リセット要求信号の出力に応じて前記マイクロコントローラをリセットした回数を保持するリセットカウント部（２０４）を有し、
前記マイクロコントローラ監視自己診断ソフトは、前記リセットカウント部が保持するリセット回数を読み出し、前記リセット回数が閾値を超えた場合に前記アクチュエータが安全状態に移行したと判断することを特徴とする、請求項３に記載の電子制御装置。
【請求項５】
前記マイクロコントローラ監視自己診断ソフトは、前記マイクロコントローラの自己診断結果を前記マイクロコントローラ監視部に出力し、前記フェイルセーフ手段（２０２）は前記自己診断結果の出力に応じて前記アクチュエータを安全状態に移行させることを特徴とする、請求項２に記載の電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に設けられるアクチュエータを制御する電子制御装置に関する。
【背景技術】
【０００２】
近年、車両に設けられるアクチュエータを制御する電子制御装置の安全機構について高機能化が進んでおり、電子制御装置を構成するマイクロコントローラは、内部に様々な自己診断機能を有している。例えば、ＥＣＣ（Ｅｒｒｏｒ  Ｃｏｒｒｅｃｔｉｎｇ  Ｃｏｄｅ）を利用したメモリ監視装置や、複数のコアによる演算結果の相互監視装置が知られている。
【０００３】
通常、これらの自己診断機能で何らかの故障を検出した場合、マイクロコントローラは初期状態にリセットされ、再起動する。マイクロコントローラが初期状態にリセットされることで、電子制御装置は安全状態になり、マイクロコントローラの故障に起因する電子制御装置の誤作動を防止することが可能となる。
【０００４】
例えばＲＡＭにビット化けが発生した状態を想定すると、上述のＥＣＣを利用したメモリ監視装置がＲＡＭのビット化けを検出した後、マイクロコントローラは初期状態から再起動する。もしビット化けの要因が電磁ノイズや宇宙線だった場合、初期化することでＲＡＭのデータは一度クリアされるので、電磁ノイズや宇宙線が一時的なものであれば、ＲＡＭを正常な状態に復帰させることが可能である。
【０００５】
一方で、ビット化けの要因が物理的な損傷だった場合、初期化したとしてもビット化けの要因が残り続けることになり、ビット化けを起こした領域にアクセスした時に再びビット化けが検出されることになる。上記したような安全機能のみでは、マイクロコントローラのある故障モード（例えばＲＡＭのビット化け）に起因し、故障検出とマイクロコントローラのリセットによる再起動とを交互に繰り返す無限ループに陥る。
【０００６】
このような無限ループを解消することを目的として、下記特許文献１に記載されているような技術が提案されている。下記特許文献１では、アクチュエータをコントロールするマイクロコントローラは、自己診断機能により異常が検出された時に自身にリセットをかけ再起動させる一方、リセットされた回数が所定の回数になった時は再起動を無効化する再起動無効化機能を備えている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１４−１９４１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記従来の技術では確かにリセットの無限ループは解消されるけれども、リセットを止める判断をするソフトウェアが故障した場合にどのように対処するかは考慮されていない。また、リセット回数が所定回数に達してリセットを無効化したとしても、制御対象が安全な状態であるか否かについても考慮されていない。
【０００９】
本発明はこのような課題に鑑みてなされたものであり、その目的は、車両に設けられるアクチュエータを制御する電子制御装置であって、電子制御装置を構成するマイクロコントローラ内のリセットを止める判断をするソフトウェアの故障に対処しつつ、リセットを停止したとしても制御対象であるアクチュエータを安全な状態に保つことができる電子制御装置を提供することにある。
【課題を解決するための手段】
【００１０】
上記課題を解決するために、本発明に係る電子制御装置は、車両に設けられるアクチュエータを制御する電子制御装置であって、前記アクチュエータを制御するマイクロコントローラ（１０）と、前記マイクロコントローラの外部に設けられ前記マイクロコントローラにおける異常発生を監視するマイクロコントローラ監視部（２０）と、を備える。前記マイクロコントローラ監視部は、前記アクチュエータを安全状態に移行させるフェイルセーフ手段（２０２，２０４）を有している。前記マイクロコントローラは内部に異常が発生した場合に、自身にリセットをかけるためのリセット要求信号を前記マイクロコントローラ監視部に出力し、前記フェイルセーフ手段は前記リセット要求信号の出力に応じて前記アクチュエータを安全状態に移行させるものである。前記マイクロコントローラは、前記アクチュエータが安全状態に移行したと判断した場合に、前記リセット要求信号の出力を停止し通常制御に復帰させる。
【００１１】
本発明によれば、マイクロコントローラは内部に異常が発生した場合に、自身にリセットをかけるためのリセット要求信号をマイクロコントローラ監視部に出力し、フェイルセーフ手段はリセット要求信号の出力に応じてアクチュエータを安全状態に移行させる。このようにすることで、マイクロコントローラ内部の例えばリセットを止める判断をするソフトウェアの故障にも対応することができる。また、リセット要求信号の出力に応じてアクチュエータを安全状態に移行させ、アクチュエータが安全状態に移行した場合にリセット要求信号の出力を停止し通常制御に復帰させるので、リセットを停止したとしてもアクチュエータを安全な状態に保つことができる。
【発明の効果】
【００１２】
本発明によれば、車両に設けられるアクチュエータを制御する電子制御装置であって、電子制御装置を構成するマイクロコントローラ内のリセットを止める判断をするソフトウェアの故障に対処しつつ、リセットを停止したとしても制御対象であるアクチュエータを安全な状態に保つことができる電子制御装置を提供することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施形態に係る電子制御装置の機能的な構成を示すブロック図である。
【図２】図１におけるマイコンの動作を示すフローチャートである。
【図３】図１におけるマイコン監視自己診断ソフトの動作を示すフローチャートである。
【図４】図１におけるマイコン監視自己診断ソフトの動作を示すフローチャートである。
【図５】図１におけるマイコン監視自己診断ソフトの動作を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、添付図面を参照しながら本発明の実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。
【００１５】
図１に示されるように、本発明の実施形態に係る電子制御装置は、マイコン１０（マイクロコントローラ）と、監視ＩＣ２０（マイクロコントローラ監視部）と、を備えている。マイコン１０には、ＴＰＳ１入力回路４１と、ＴＰＳ２入力回路４２と、ＡＰＳ１入力回路５１と、ＡＰＳ２入力回路５２と、のそれぞれから信号入力可能なように繋がれている。マイコン１０は、制御対象のアクチュエータであるスロットルモータ駆動回路３０に信号出力可能なように構成されている。マイコン１０と監視ＩＣ２０とは相互に信号授受を行うように構成されている。監視ＩＣ２０は、スロットルモータ駆動回路３０に遮断信号（フェイルセーフ手段）を出力することが可能なように構成されている。
【００１６】
マイコン１０は、制御量演算部１１と、トルクモニタ１２と、マイコン監視自己診断ソフト１３と、ＭＣＵ（Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ  Ｕｎｉｔ）ドライバ１４と、ＷＤＣ（Ｗａｃｔｈ  Ｄｏｇ  Ｃｏｕｎｔｅｒ）制御ソフト１５と、状態管理ソフト１６と、を備えている。
【００１７】
ＴＰＳ１入力回路４１及びＴＰＳ２入力回路４２からは、スロットル開度を示すスロットル開度信号が出力される。ＴＰＳ１入力回路４１及びＴＰＳ２入力回路４２は同じ構成の回路である。ＴＰＳ１入力回路４１から入力される信号が回路故障等で異常値となっているか否かを確認するため、ＴＰＳ２入力回路４２が設けられている。ＴＰＳ１入力回路４１から出力されるスロットル開度信号は、制御量演算部１１と、診断部１２１と、許容トルク算出部１２２と、のそれぞれに入力される。ＴＰＳ２入力回路４２から出力されるスロットル開度信号は、診断部１２１に入力される。
【００１８】
ＡＰＳ１入力回路５１及びＡＰＳ２入力回路５２からは、アクセル操作量を示すアクセル操作量信号が出力される。ＡＰＳ１入力回路５１及びＡＰＳ２入力回路５２は同じ構成の回路である。ＡＰＳ１入力回路５１から入力される信号が回路故障等で異常値となっているか否かを確認するため、ＡＰＳ２入力回路５２が設けられている。ＡＰＳ１入力回路５１から出力されるアクセル操作量信号は、制御量演算部１１と、診断部１２１と、推定トルク算出部１２３と、のそれぞれに入力される。ＡＰＳ２入力回路５２から出力されるアクセル操作量信号は、診断部１２１に入力される。
【００１９】
制御量演算部１１は、トルク制御を行う部分である。制御量演算部１１は、ＴＰＳ１入力回路４１から入力されるスロットル開度信号及びＡＰＳ１入力回路５１から入力されるアクセル操作量信号に基づいて、スロットルモータ駆動回路３０に制御信号を出力する。
【００２０】
診断部１２１は、ＴＰＳ１入力回路４１から入力されるスロットル開度信号と、ＴＰＳ２入力回路４２から入力されるスロットル開度信号と、を比較することで、ＴＰＳ１入力回路４１から入力されるスロットル開度信号に異常が発生していないか診断する。診断部１２１は、ＡＰＳ１入力回路５１から入力されるアクセル操作量信号と、ＡＰＳ２入力回路５２から入力されるアクセル操作量信号と、を比較することで、ＡＰＳ１入力回路５１から入力されるスロットル開度信号に異常が発生していないか診断する。診断部１２１は、診断結果を異常処置部１２５に出力する。
【００２１】
許容トルク算出部１２２は、ＴＰＳ１入力回路４１から入力されるスロットル開度信号に基づいて、スロットルの許容トルクを算出する。許容トルク算出部１２２は、算出した許容トルクを診断部１２４に出力する。
【００２２】
推定トルク算出部１２３は、ＡＰＳ１入力回路５１から入力されるアクセル操作量信号に基づいて、スロットルの推定トルクを算出する。推定トルク算出部１２３は、算出した推定トルクを診断部１２４に出力する。
【００２３】
診断部１２４は、許容トルク算出部１２２から出力される許容トルクと、推定トルク算出部１２３から出力される推定トルクと、に基づいて制御量演算部１１の演算量に異常が発生していないか否かを診断する。診断部１２４は、診断結果を異常処置部１２５に出力する。
【００２４】
異常処置部１２５は、診断部１２１及び診断部１２４それぞれから出力される診断結果に基づいて、スロットルモータ駆動回路３０に遮断出力信号を出力する部分である。遮断出力信号がスロットルモータ駆動回路３０に出力されると、スロットルモータ駆動回路３０は停止し、スロットルバルブはＭＬＴ（Ｍｅｃｈａｎｉｃａｌ  Ｌｉｍｐ  ｈｏｍｅ  Ｔｈｒｏｔｔｌｅ）開度となり安全状態になる。
【００２５】
マイコン監視自己診断ソフト１３は、監視対象である、マイコン１０のＲＯＭ、ＲＡＭや、マイコン１０に実装されているソフトウェアのＦｌｏｗ、Ｉｎｓｔｒｕｃｔｉｏｎを自己診断するソフトウェアである。マイコン監視自己診断ソフト１３は、自己診断結果をメモリに保持すると共に、監視ＩＣ２０に出力する。マイコン監視自己診断ソフト１３は、監視ＩＣ２０から出力される遮断信号をモニタしている。マイコン監視自己診断ソフト１３は、ＭＣＵドライバ１４からリセット要求が入力されると、ＷＤＣ制御ソフト１５にリセット要求を出力する。
【００２６】
状態管理ソフト１６は、マイコン１０各部の状態を管理するソフトウェアである。状態管理ソフト１６は、マイコン１０各部に異常が発生すると、リセット要求をＭＣＵドライバ１４に出力する。
【００２７】
ＭＣＵドライバ１４は、マイコン１０の初期化、リセット、シャットダウンを制御するドライバである。ＭＣＵドライバ１４は、状態管理ソフト１６からリセット要求が出力されると、マイコン監視自己診断ソフト１３にリセット要求を出力する。
【００２８】
ＷＤＣ制御ソフト１５は、監視ＩＣ２０に対してウォッチドッグ信号を出力するソフトウェアである。ＷＤＣ制御ソフト１５は、マイコン監視自己診断ソフト１３からリセット要求が出力されると、ウォッチドッグ信号の出力を停止する。
【００２９】
監視ＩＣ２０は、エラー検出回路２０１と、故障判定回路２０２（フェイルセーフ手段）と、ＷＤＣ監視部２０３と、リセットカウント装置２０４（フェイルセーフ手段、リセットカウント部）と、を備えている。
【００３０】
エラー検出回路２０１は、マイコン監視自己診断ソフト１３から出力される自己診断結果を受け取って、自己診断結果が故障を含むものか否かを検出する回路である。エラー検出回路２０１は、マイコン監視自己診断ソフト１３の自己診断が故障を含むものであると、その検出結果を故障判定回路２０２に出力する。
【００３１】
故障判定回路２０２は、エラー検出回路２０１の出力結果が、マイコン監視自己診断ソフト１３の自己診断が故障を含むものである場合に、スロットルモータ駆動回路３０に遮断信号を出力する。
【００３２】
ＷＤＣ監視部２０３は、ＷＤＣ制御ソフト１５から出力されるウォッチドッグ信号を監視する部分である。ＷＤＣ監視部２０３は、ＷＤＣ制御ソフト１５からのウォッチドッグ信号が停止すると、マイコン１０にＣＰＵリセット信号を出力する。マイコン１０は、このＣＰＵリセット信号の入力がなされると、リセット動作を実行する。ＷＤＣ監視部２０３は、ＣＰＵリセット信号を出力すると、その情報をリセットカウント装置２０４に出力する。
【００３３】
リセットカウント装置２０４は、マイコン１０のリセット回数が所定の閾値を超えると、スロットルモータ駆動回路３０に遮断信号を出力する。
【００３４】
続いて、マイコン１０及び監視ＩＣ２０の動作について、図２，３，４，５を参照しながら説明する。図２は、マイコン１０の基本動作を示すフローチャートである。ステップＳ０１では、マイコン１０が起動される。ステップＳ０１に続くステップＳ０２では、マイコン１０の初期化処理が実行される。
【００３５】
ステップＳ０２に続くステップＳ０３では、制御量演算部１１によるトルク制御が実行される。ステップＳ０３に続くステップＳ０４では、トルクモニタ１２による制御量演算部１１の演算結果のモニタリングが実行され、必要に応じてスロットルモータ駆動回路３０に遮断信号が出力される。
【００３６】
ステップＳ０４に続くステップＳ０５では、マイコン監視自己診断ソフト１３によるマイコン１０の監視処理が実行される。ステップＳ０５に続くステップＳ０６では、イグニッションスイッチがＯＮになっている状態か否かが判断される。イグニッションスイッチがＯＮになっていればステップＳ０３の処理に戻り、イグニッションスイッチがＯＮになっていなければステップＳ０７の処理に進む。ステップＳ０７では、マイコン１０の停止処理が実行される。
【００３７】
続いて、図３を参照しながら、マイコン監視自己診断ソフト１３の処理について説明する。ステップＳ１０１では、マイコン１０のＲＯＭのチェックを実行する。ステップＳ１０１に続くステップＳ１０２では、マイコン１０のＲＡＭのチェックを実行する。
【００３８】
ステップＳ１０２に続くステップＳ１０３では、マイコン１０に実装されているソフトウェアを含む各部（トルクモニタ１２やＷＤＣ制御ソフト１５を含む）の動作のチェックであるＩｎｓｔｒｕｃｔｉｏｎチェックを実行する。
【００３９】
ステップＳ１０３に続くステップＳ１０４では、マイコン１０に実装されているソフトウェアを含む各部（トルクモニタ１２やＷＤＣ制御ソフト１５を含む）の動作流れのチェックであるＦｌｏｗチェックを実行する。
【００４０】
ステップＳ１０４に続くステップＳ１０５では、ステップＳ１０１からステップＳ１０４のチェック結果に基づいて、自己診断結果の判定を実行する。ステップＳ１０５に続くステップＳ１０６では、自己診断結果の出力処理を実行する。マイコン監視自己診断ソフト１３は、自己診断結果をメモリに保存すると共に、監視ＩＣ２０に出力する。
【００４１】
続いて、図４を参照しながら、リセット要求が入力された場合のマイコン監視自己診断ソフト１３の処理について説明する。ステップＳ２０１では、リセット要求が入力されたか否かを判断する。リセット要求が入力されていればステップＳ２０２の処理に進み、リセット要求が入力されていなければ処理を終了する。
【００４２】
ステップＳ２０２では、自己診断結果（図３のステップＳ１０５）が正常か否かを判断する。自己診断結果が正常であればステップＳ２０３の処理に進み、自己診断結果が正常でなければステップＳ２０４の処理に進む。
【００４３】
ステップＳ２０３では、監視ＩＣ２０が遮断信号を出力しているか否かを判断する。監視ＩＣ２０が遮断信号をスロットルモータ駆動回路３０に出力していれば安全状態であるので、リセット要求処理を実行せずに処理を終了する。監視ＩＣ２０が遮断信号を出力していなければ、ステップＳ２０４の処理に進む。
【００４４】
ステップＳ２０４では、リセット要求をＷＤＣ制御ソフト１５に出力する。リセット要求はウォッチドッグ信号の出力停止要求であるので、ＷＤＣ制御ソフト１５は監視ＩＣ２０に対するウォッチドッグ信号の出力を停止する。
【００４５】
続いて、図５を参照しながら、リセット要求が入力された場合のマイコン監視自己診断ソフト１３の処理の変形例について説明する。ステップＳ３０１では、リセット要求が入力されたか否かを判断する。リセット要求が入力されていればステップＳ３０２の処理に進み、リセット要求が入力されていなければ処理を終了する。
【００４６】
ステップＳ３０２では、自己診断結果（図３のステップＳ１０５）が正常か否かを判断する。自己診断結果が正常であればステップＳ３０３の処理に進み、自己診断結果が正常でなければステップＳ３０４の処理に進む。
【００４７】
ステップＳ３０３では、監視ＩＣ２０のリセットカウント装置２０４が保持するリセットカウント値が所定値以上であるか否かを判断する。リセットカウント値が所定の閾値以上であれば、リセットカウント装置が遮断信号をスロットルモータ駆動回路３０に出力しており安全状態であるので、リセット要求処理を実行せずに処理を終了する。リセットカウント値が所定の閾値以上でなければ、ステップＳ３０４の処理に進む。
【００４８】
ステップＳ３０４では、リセット要求をＷＤＣ制御ソフト１５に出力する。リセット要求はウォッチドッグ信号の出力停止要求であるので、ＷＤＣ制御ソフト１５は監視ＩＣ２０に対するウォッチドッグ信号の出力を停止する。
【００４９】
尚、本実施形態では、電子スロットル制御を例にとって説明したが、本発明の実施の形態はこれに限られるものではなく、パワートレイン制御やトランスミッション制御といった他の制御にも適用されるものである。
【符号の説明】
【００５０】
１０：マイコン（マイクロコントローラ）
１３：マイコン監視自己診断ソフト（マイクロコントローラ監視自己診断ソフト）
２０：監視ＩＣ（マイクロコントローラ監視部）
２０２：故障判定回路（フェイルセーフ手段）
２０２：リセットカウント装置（フェイルセーフ手段、リセットカウント部）
【図１】
2016147585.tif 000003
【図２】
2016147585.tif 000004
【図３】
2016147585.tif 000005
【図４】
2016147585.tif 000006
【図５】
2016147585.tif 000007