(57)【特許請求の範囲】
【請求項１】
アクチュエータを作動させる電子制御装置（ＥＣＵ）において、
前記アクチュエータを駆動制御するために電子制御装置内に構成された制御アクチュエータ駆動回路（２５）およびＣＰＵ（２４）の回路系と、
監視動作をするＩＣ内の回路であって該回路系の動作状態を監視する監視回路（１２，１３，１４，２１）と、
前記ＩＣ内の回路であって前記監視回路により前記回路系の異常が判断された場合に直接前記電子制御装置を安全側に切り替えるフェールセーフ回路（１８，２３）と、
前記回路系の電源として前記電子制御装置内部の前記制御アクチュエータ駆動回路ならびに前記ＣＰＵに電源を供給するＥＣＵ内部電源出力回路（１１）と、
前記フェールセーフ回路および前記監視回路用の電源としてのＩＣ内部電源（１７）とを設けたことを特徴とする故障診断機能付き電子制御装置。
【請求項２】
前記電子制御装置の内部に構成されるＣＰＵはその内に所定のパルスをウォッチドッグパルスとして発生するウォッチドッグパルス出力回路を備え、
前記監視回路は前記ウォッチドックパルス出力回路からの前記所定のウォッチドッグパルスが入力されるウォッチドッグパルス監視回路（２１）を備え、
該ウォッチドッグパルス監視回路は、前記入力された所定のウォッチドッグパルスを監視して異常を判定し、監視結果が異常であるとき、前記フェールセーフ回路を動作させるとともに、
前記ウォッチドッグパルス出力回路は、異常検出信号の出力レベルを多段階有することを特徴とする請求項１に記載の故障診断機能付き電子制御装置。
【請求項３】
前記電子制御装置の内部に構成されるＣＰＵは故障個所に応じて多段階にウォッチドッグパルスを出力するように構成され、
前記ウォッチドッグパルス監視回路は前記多段階のウォッチドッグパルス出力状態に応じてあらかじめ定められたフェールセーフ処理を実施することを特徴とする請求項２に記載の故障診断機能付き電子制御装置。
【請求項４】
前記監視回路（１２、１３、１４、２１）、前記フェールセーフ回路（１８、２３）、および前記ＥＣＵ内部電源出力回路（１１）を１つのＩＣに集積化することを特徴とする請求項１ないし請求項３のいずれかに記載の故障診断機能付き電子制御装置。
【請求項５】
前記フェールセーフ回路は、前記監視回路により前記回路系が異常と判断された場合には前記電子制御装置の内部に構成されるＣＰＵにリセット信号を出力すると同時に、直接前記電子制御装置を安全側に切り替えることを特徴とする請求項１ないし請求項４のいずれかに記載の故障診断機能付き電子制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は主に車両制御システムに用いられる電子制御装置に関し、特に複数の機能に対し、単体あるいは複数の集積回路によって構成されて、この電子制御装置の故障診断を実行可能な電子制御装置およびこの装置を備えるシステムに対するフェールセーフに関する。
【０００２】
【従来の技術】
従来、車両の制御システムに用いられる電子制御装置（以下単にＥＣＵという）には、例えばアンチロックブレーキシステム（ＡＢＳという）やトラクションコントロールシステム（ＴＲＣという）に用いられるＥＣＵがある。このようなシステムおよびこのシステムに用いられるＥＣＵでは、安全性すなわちフェールセーフが重要である。例えばＡＢＳのＥＣＵが異常を起こした際には、直ちに単なるフートブレーキによるブレーキ作用に戻す必要がある。よってＥＣＵ故障時にはシステムを安全側に速やかに切り替えなければいけないことから、ー般にシステムはフェールセーフリレー５４を備えている。なお、通常ＥＣＵ内には、図４に示すように、フェールセーフリレー５４を駆動するフェールセーフリレー駆動回路５２の他に、ＥＣＵ内部電源出力回路４２、中央処理装置（以下単にＣＰＵという）４９、アクチュエータ５３を駆動するアクチュエータ駆動回路５１等を備えている。なお、ＣＰＵは、例えばＡＢＳ等の駆動を行うための演算処理を実行するためのものである。そして、フェールセーフリレー５４は、ＥＣＵの異常をＣＰＵ４９の相互監視あるいはー般的に行われているウォッチドックパルス監視によって異常が検知された場合に駆動される。。なお、このウォッチドックパルス監視は、ウォッチドックパルス監視回路４７で実行され、ＣＰＵ相互監視は、図示しないＲＯＭ，ＲＡＭチェック、あるいはルーチンパスチェック、ＣＰＵの暴走等を図示しない各ＣＰＵ間通信によって監視している。
【０００３】
なお、バッテリ４１からの電源入力を受けてＥＣＵ内の各集積回路素子に安定化電源を供給するＥＣＵ内部電源出力回路４２、出力過電流リミッタ回路４３、ＩＣ過熱保護回路４４、ＩＣ過電圧保護回路４５、電源出力制御回路４６、およびウォッチドックパルス監視を実行するウォッチドックパルス監視回路４７、ウォッチドックパルス監視の結果に基づいてＣＰＵ４９をリセットするリセット出力回路４８は、通常同一のＩＣに集積化されている。また、ＣＰＵ４９、センサ等からの入力信号を受ける入力信号処理回路５０、アクチュエータ駆動回路５１、フェールセーフリレー駆動回路５２は、それぞれ独立のＩＣに配置されている。
【０００４】
【発明が解決しようとする課題】
しかしながら、近年ＥＣＵの性能向上に伴い内部回路の複雑化が進んでおり、ＥＣＵ内の内部回路数等が増大している。また、上述のＣＰＵ相互監視およびウォッチドックパルス監視によるＥＣＵの異常監視では、ウォッチドックパルスを出力する回路数等に応じたＣＰＵ故障のー部のみしか検出できない。よって、通常、部品数あるいはコスト面等の理由から、ＣＰＵ相互監視あるいはウォッチドックパルス監視の監視対象は、最も重要な内部回路に対して配設されるのみで、ＣＰＵ相互監視あるいはウォッチドックパルス監視の監視対象にされていない構成は、監視対象外の状況となっていた。例えばＥＣＵ内部に構成されている他の回路、例えばＣＰＵの出力を処理してＡＢＳ等の外部のアクチュエータに信号を送信するアクチュエータ駆動回路５１あるいはＣＰＵに所定の信号を取り込むための入力信号処理回路５０等に異常が発生した場合、正確な異常検出ができない可能性があった。
【０００５】
そこで本発明は、たとえばＥＣＵの内部に構成されたアクチュエータ駆動回路等の異常のように、従来では検出することが難しかった異常に対し、簡単な構成にて正確に異常検出できる装置を提供することを目的とする。
【０００６】
【課題を解決するための手段】
上記課題を解決するために、請求項１に記載の故障診断機能付き電子制御装置では、アクチュエータを作動させる電子制御装置（ＥＣＵ）において、
前記アクチュエータを駆動制御するために電子制御装置内に構成された制御アクチュエータ駆動回路（２５）およびＣＰＵ（２４）の回路系と、
監視動作をするＩＣ内の回路であって該回路系の動作状態を監視する監視回路（１２，１３，１４，２１）と、
前記ＩＣ内の回路であって前記監視回路により前記回路系の異常が判断された場合に直接前記電子制御装置を安全側に切り替えるフェールセーフ回路（１８，２３）と、
前記回路系の電源として前記電子制御装置内部の前記制御アクチュエータ駆動回路ならびに前記ＣＰＵに電源を供給するＥＣＵ内部電源出力回路（１１）と、
前記フェールセーフ回路および前記監視回路用の電源としてのＩＣ内部電源（１７）とを備えている。
【００２２】
【発明の実施の形態】
次に本発明による実施例を図面に基づき詳細に説明する。
図１は、本発明を用いた故障診断機能付きＥＣＵ１００のブロック構成の一例である。まず、この回路ブロックの概略動作、および構成について説明する。
車両用システムは、ＥＣＵ１００、バッテリＢ、フェールセーフリレー２３およびセンサ２８によって構成されており、アクチュエータ２６としてたとえばアンチスキッド制御等を実行するソレノイドバルブおよびポンプが構成される。
【００２３】
次に、ＥＣＵ１００の内部構成について説明する。
ＥＣＵ内部電源出力回路１１は、ＥＣＵ内部の各回路、例えばセンサ２８からの入力信号等を受ける入出力処理回路２７、ＣＰＵ２４および制御アクチュエータ駆動回路２５等に安定化電源を供給するものである。また、入出力処理回路２７、ＣＰＵ２４および制御アクチュエータ駆動回路２５等の回路系の動作状態の監視ため、電源出力電流監視回路１２、電源出力電圧監視回路１３、ＩＣ過熱監視回路１４、が構成されている。なお、電源電圧監視回路１５は、バッテリＢからＥＣＵ１００に供給される供給電流の電圧値を監視するものであり、バッテリＢの異常等を判断する。
【００２４】
ここで、電源出力電流監視回路１２は、ＥＣＵ内部電源出力回路１１の電源出力状態としてＥＣＵ内部回路全体の消費電流を監視しており、この電流が異常に変化する場合は、ＥＣＵ内部電源出力回路１１から電力供給を受けるＥＣＵ内部の回路の少なくとも１つの回路が誤作動、または破壊されている状態、あるいは配線短絡の状態等である。すなわち、電源出力電流監視回路１２は、ＥＣＵ内部電源出力回路１１から供給される供給電流量を監視、すなわち、電力供給を受ける各回路において消費される電力消費量の和を監視している。
【００２５】
電源出力電圧監視回路１３は、ＥＣＵ内部回路電源１１から各回路に対して電力供給が行われる安定化出力電圧を監視する回路で、この電圧が異常電圧になるのはＥＣＵ内部回路電源系の少なくとも１つの回路が既に破壊されている状態である上に、さらに破壊が進行し安全が損なわれる状態の時であることが検出できる。
【００２６】
ＩＣ過熱監視回路１４は、本ＩＣの温度を監視をする回路で、ＩＣ温度が異常高温になるのは通常ではあり得ない程アクチュエータ駆動をしている、またはＥＣＵ内部電源出力回路１１を備えるＩＣ、あるいはＥＣＵ内部電源出力回路１１から電力供給を受けているＥＣＵ１００内の他のＩＣの破壊により異常発熱している状態の時である。なお、ＥＣＵ内部電源出力回路１１、電源出力電流監視回路１２、フェールセーフリレー駆動回路１８、異常処理要求信号出力回路１９、ウォッチドックパルス監視回路２１、リセット出力回路２２等は、１つのＩＣに集積化されており、また、ＣＰＵ２４、入出力処理回路２７、制御アクチュエータ駆動回路２５は、それぞれ単独のＩＣにて形成されている。
【００２７】
電源電圧監視回路１５は、ＩＣの電源電圧、すなわち車両の基礎電源としてのバッテリＢからＥＣＵに供給される電源電圧を監視する回路で、当然この電圧が異常に高くなった場合は、この電圧が印加されているＥＣＵ内の回路が誤作動または破壊が予想され、異常に低くなった場合はＥＣＵ内の回路が誤作動する恐れがあるため、上述の電源出力電流監視回路１２等の他に付加的にＥＣＵのフェールセーフ用に配設するようにしてもよい。ただし、この電源電圧監視回路が監視する車両のバッテリ電圧は車両の電気負荷の負荷変動やオルタネータノイズ等が重畳し、監視が困難なため、従来の電源ＩＣは自己保護が目的のため余裕を十分みて、通常１２Ｖシステムで３０Ｖ程度の検出レベルに設定していた。しかしながら本発明のような、システムの安全性確保を目的とした場合は、システムの動作保証電圧範囲を外れる電圧を検出する必要があり、通常１２Ｖシステムで１７Ｖ程度で検出しなければならず、上記電圧ノイズによる誤検出が発生する恐れがある。そこで、ノイズ除去のためのフィルタ回路１６により、時間フィルタを設けこの誤検出のみを除去し、正確な検出が行えるようにしている。
【００２８】
以上のように、ＥＣＵが故障している、もしくは環境がＥＣＵの動作範囲を越えた状態でありＥＣＵの破壊または誤作動の恐れがある状態、すなわちシステムの安全が損なわれている状態の多くは、これらＥＣＵ内部電源出力回路からの電源出力の動作状態の監視機能によって間接的に異常検出できる。そして、これら監視回路からの異常検出信号、およびＣＰＵ２４内に構成されている図示しないウォッチドックパルス出力回路から出力されてウォッチドックパルス監視回路２１に入力される異常検出信号によって、図２に示す真理値表に従い、フェールセーフ駆動回路１８、異常処理要求信号出力回路１９、電源出力制御回路２０、リセット出力回路２２を動作させ、ＥＣＵ異常検出時、制御システムが常に安全な状態となるように、フェールセーフリレー２３の駆動、制御アクチュエータ駆動回路２５の遮断すなわち動作停止、ＣＰＵ２４の動作を停止、ＥＣＵ内部電源の遮断を選択して行っている。この際、異常処理要求信号出力回路１９は、たとえばＣＰＵ２４と他の回路との間の通信の禁止等も実行する。なお、アクチュエータ２６として、たとえば車輌のブレーキシステムにおけるＡＢＳ、ＴＲＣ等を適用すれば、フェールセーフリレー２３を遮断して、ＥＣＵ異常時にはＡＢＳ制御から単にノーマルブレーキに切り換えるようにしてもよい。
【００２９】
以上のように、電源出力電流監視回路等による監視機能およびウォッチドックパルス監視回路２１による監視機能の如く、制御システムを安全側に切り換える手段を２個以上にもつことによって、最悪この安全側に切り換える手段の回路の１つが破壊されたような場合においても制御システムを確実に安全側に切り換れるようになっている。
【００３０】
ここで、ＣＰＵ２４によるウォッチドックパルス監視の監視レベルを、ＣＰＵ２４の異常、ＣＰＵ以外の回路等の異常、および正常状態の多段階備えるようにしてもよい。すなわち、ＣＰＵ２４内に構成されたウォッチドックパルス出力回路が、ウォッチドックパルス監視に伴う異常検出の出力レベルを多段階（ここでは、ノーマルレベル、異常レベル１、異常レベル２の３段階）有するようにする。そして、ウォッチドックパルス監視回路２１に、図３に示すような２段階（正常状態レベルを含めば３段階）の検出レベルを持つようにする。具体的には以下のようにしてもよく、ＣＰＵ２４における処理演算のルーチンにおいて、所定のルーチンのー部を処理した際に、所定のパルスをウォッチドックパルスとしてＣＰＵ２４内に構成された図示しないウォッチドックパルス出力回路が発生するようにする。たとえば、メインルーチンの開始演算処理あるいは最終演算処理を通過した際に、パルス信号を発生する。この際、ルーチンが順調に進んでいれば、一定の間隔にてパルス信号が発生され、ウォッチドックパルス監視回路にて受信される。また、ルーチンパス等が発生した場合には、このパスされた分だけ次のパルス信号が発生され、受信されるまでの時間間隔が短くなる。また、暴走等が発生した場合には、ルーチンパスにおけるパルス信号の発生受信間隔よりもさらに短い間隔にてパルス信号が発生受信される。また、パルス信号の発生条件であるルーチン部分を演算処理が通過しない場合、たとえばＣＰＵ短絡停止等が発生した場合には、パルス信号の発生受信が行われない。そしてこれらのように発生されるパルス信号の時間間隔に対して、ウォッチドックパルス監視回路２１が多段階の判定を行う。たとえば、パルス信号の間隔に応じて、ＣＰＵ２４における異常か、ＥＣＵ外部システムあるいはＣＰＵ２４以外の回路構成の異常か、を判別する。そして、例えばアクチュエータとしてのＡＢＳ装置のソレノイド弁あるいはモータにおける動作異常等であると判定した時は、ウォッチドックパルス出力の判定として、正常出力状態から異常レベル１に切替えることによって、本ＩＣは図２の真理値表に従い、リセット出力しないようにしてもよい、すなわち、アクチュエータとしてのＡＢＳ装置は遮断してノーマルブレーキ状態に戻すが、ＣＰＵ２４等を含むＥＣＵの動作は停止しないようにすることができる。この際には、ＥＣＵを動作状態にしておくことが可能で、ＥＣＵによる異常部位の表示ができるような状態を保持することができ、故障時のメンテナンス性を保持することができる。また、フェールセーフリレー２３とアクチュエータ２６に対する異常処理においても、制御システムを安全側に切り替える手段を、電源出力電流監視回路１２等の監視機能およびウォッチドックパルス監視回路２１による監視機能によるＥＣＵ内からの監視手段と、ＣＰＵ２４からの直接信号による手段とのように２個以上持つことができ、安全冗長度の高い回路構成が実現できる。
【００３１】
また、ウォッチドックパルス監視回路の机上検出レベルを２レベル（正常状態を含めば３レベル）にし、一方の異常検出の場合はＣＰＵにリセットをかけないようにすることで、電源のスイッチをオンにしたときに、制御システムを安全側に切り替える回路の自己チェックができ、より安全性が高まるという利点もある。
【００３２】
なお、図３（ａ）に示すように、ウォッチドックパルスの信号波形は、パルス立ち上がりのｔONから立ち下がりのＴの間隔と、Ｔから次期パルス立ち上がりまでのｔOFF までの間隔とによって表されるようにし、これらの各間隔の比を図３（ｂ）に示す監視レベルマップに対応させて、異常判定するようにしてもよい。また、第２電源回路としてのＩＣ内部電源１７は上記監視動作をするＩＣ内の全ての回路の電源に供給する電源回路で、電源出力電流監視回路１２、電源出力電圧監視回路１３、ＩＣ過熱監視回路１４および電源電圧監視回路１５に電力を供給している。すなわち、これらの回路は、ＥＣＵ内部電源からの電力供給ではなく、電力供給源を別系統でもつことによって、ＥＣＵ内部電源出力を遮断しなければならないような、異常が発生した時でも安全の冗長度は保たれる様に構成している。
【００３３】
以上、述べたような回路構成をとることによって、ＥＣＵ故障検出度が高く、さらに制御システムを安全側に切り換える手段を常に２個以上有するＩＣを提供できる。その上、図４に示すような、ウォッチドックパルス監視回路、リセット出力回路、および自己保護機能のＩＣ過電圧保護回路、出力過電流リミッタ回路、ＩＣ過熱保護回路を有する従来のＩＣ回路と比較して、図１の構成例で示した回路はほとんど特別な部品を追加する必要もない上に、図１の構成の場合は、フェールセーフリレー駆動回路１８がＥＣＵ内部電源出力回路１１と同一ＩＣに集積化されているため、特別な回路配線も必要ない。よって特別な出費は必要とせず、ＥＣＵの異常検出から制御システムを安全側に切り換えるまでの動作を本ＩＣを用いるのみで実現でき、他のＩＣ、たとえばＣＰＵ２４、制御アクチュエータ駆動回路２５、入出力処理回路２７において、それぞれに特別に監視回路を設ける必要がない。
【００３４】
本発明は、上述までの実施例に限定されることなく、種種変形可能である。
たとえば、上述の実施例では、電源出力電流監視回路１２、電源出力電圧監視回路１３、ＩＣ過熱監視回路１４を併設していたが、少なくともどれか１つを備えるようにすればよい。
また、電源出力電流監視回路１２等による監視機能と、ウォッチドッグパルス監視回路２１とを併用していたが、このウォッチドックパルス監視回路２１すなわちウォッチドックパルス監視に関する回路は、廃することも可能である。すなわち、電源出力電流監視回路１２等による監視機能によってＥＣＵ内部の全体における異常を検出し、異常時には、単にフェールセーフリレー２３を安全側に駆動するようにしてもよい。
【００３６】
また、本発明は、車両のブレーキシステム以外にも幅広く適用でき、たとえばエアバッグシステムに対して適用するようにしてもよい。すなわちエアバッグシステムに構成されるＥＣＵを上述までの実施例にて詳述したＥＣＵ構成としても同様の効果を得ることができる。また、車両用システム以外のものに本発明を適用するようにしてもよい。
【図面の簡単な説明】
【図１】本発明のＥＣＵの構成を合わすブロック図である。
【図２】本発明のＥＣＵの構成に対する動作真理値表である。
【図３】ウォッチドックパルス監視の検出波形および検出マップである。
【図４】従来の電源ＩＣのブロック図である。
【符号の説明】
１１  ＥＣＵ内部電源出力回路
１２  電源出力電流監視回路
１３  電源出力電圧監視回路
１４  ＩＣ過熱監視回路
１７  ＩＣ内部電源
１８  フェールセーフリレー駆動回路
１９  異常処理要求信号出力回路
２１  ウォッチドックパルス監視回路
２２  リセット出力回路
２３  フェールセーフリレー
２４  ＣＰＵ
２５  制御アクチュエータ駆動回路
２６  アクチュエータ
２７  入出力処理回路
１００  ＥＣＵ
Ｂ  バッテリ
【図１】
0003752022.tif 000002
【図２】
0003752022.tif 000003
【図３】
0003752022.tif 000004
【図４】
0003752022.tif 000005