車載電子制御装置
【課題】マイクロコンピュータの異常の詳細を適切に診断することができる車載電子制御装置を提供する。
【解決手段】マイクロコンピュータ（ＭＣＵ２）の内部に、ハードウェア部２１の主機能２２の入出力を監視することで故障を検出する監視機能２３と、ソフトウェア部２４の主機能２５の演算結果を監視することで異常を検出する監視機能２６とを設ける。監視機能２３は、ハードウェア部２１の主機能２２とは演算処理の特性が等しく且つ異なる実装とし、監視機能２６は、ソフトウェア部２４の主機能２５とは演算処理の特性が等しく且つ異なる実装とする。
【解決手段】マイクロコンピュータ（ＭＣＵ２）の内部に、ハードウェア部２１の主機能２２の入出力を監視することで故障を検出する監視機能２３と、ソフトウェア部２４の主機能２５の演算結果を監視することで異常を検出する監視機能２６とを設ける。監視機能２３は、ハードウェア部２１の主機能２２とは演算処理の特性が等しく且つ異なる実装とし、監視機能２６は、ソフトウェア部２４の主機能２５とは演算処理の特性が等しく且つ異なる実装とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マイクロコンピュータの故障／異常を監視する機能を有する車載電子制御装置に関するものである。
【背景技術】
【０００２】
従来のＣＰＵ監視機能を有する車載電子制御装置としては、例えば特許文献１及び２に記載の技術がある。この技術は、上記監視機能としてロックステップ方式を採用したものであり、同一構成を有するＡ系とＢ系の２つの情報処理部における処理結果を照合する照合回路を備える。そして、照合回路による照合結果が不一致である場合に、Ａ系又はＢ系が故障していると判定する。
また、上記監視機能として、制御ＣＰＵを監視ＣＰＵで監視する、所謂２ＣＰＵ方式を採用したものもある（例えば、特許文献３参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２６２４３２号公報
【特許文献２】特開２０１０−１６０６４９号公報
【特許文献３】特開２００６−３４４０８６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記のようなロックステップ方式を採用した監視機能では、制御部と監視部とが同一コアを使用していると、コアの演算器に演算ミスが生じるような不具合があった場合に、異常として検出することができない。また、上記のような２ＣＰＵ方式を採用した監視機能では、制御ＣＰＵの演算をきめ細かく診断することができない。
このように、異常の詳細を診断することができないため、異常発生時には、異常の詳細によらず一律に制御を停止していた。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常の詳細によっては異常発生時にも制御を続行することが望まれる。
そこで、本発明は、マイクロコンピュータの異常の詳細を適切に診断することができる車載電子制御装置を提供することを課題としている。
【課題を解決するための手段】
【０００５】
上記課題を解決するために、本発明に係る車載電子制御装置の第一形態は、車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータを備える車載電子制御装置であって、前記マイクロコンピュータは、ハードウェア部とソフトウェア部とを含んで構成されており、前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素とは演算処理の特性が等しく、且つ前記ハードウェア部の各要素の演算処理回路とは異なる実装で、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視手段と、前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素とは演算処理の特性が等しく、且つ前記ソフトウェア部の各要素の演算処理部とは異なる実装で、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視手段と、を備えることを特徴としている。
【０００６】
このように、マイクロコンピュータをハードウェア監視とソフトウェア監視とで総合監視するので、マイクロコンピュータの異常の詳細を診断することができる。そのため、マイクロコンピュータの異常発生時には、異常の詳細に応じた適切な処置が可能となる。また、監視用ハードウェア要素を、監視対象のハードウェア要素とは演算処理の特性が等しく、且つ監視対象のハードウェア要素とは異なる実装とするので、監視対象のハードウェア要素の入出力を監視することで故障を検出することができる。さらに、例えば、両者で処理完了までの遅延時間を異ならせることができるので、両者が共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。監視用ソフトウェア要素についても同様である。
【０００７】
また、上記において、前記ハードウェア要素監視手段は、監視用演算処理回路と比較回路とを備え、前記監視用演算処理回路を、監視対象のハードウェア要素の演算処理回路と同一の信号を入力したとき、前記監視対象のハードウェア要素の演算処理回路と同一の信号を出力するものとし、前記監視対象のハードウェア要素の演算処理回路での演算処理よりも簡素化した演算処理を行うようにしてもよい。
【０００８】
これにより、監視対象のハードウェア要素の故障を適切に検出することができる。
さらに、上記において、前記監視用演算処理回路は、前記監視対象のハードウェア要素の演算処理回路とは異なるトランジスタ数で実装するようにしてもよい。
これにより、監視用演算処理回路を、監視対象のハードウェア要素の演算処理回路に対して簡素化した構造とすることができる。
【０００９】
また、上記において、前記ソフトウェア要素監視手段は、監視用演算処理部と比較処理部とを備え、前記監視用演算処理部を、監視対象のソフトウェア要素の演算処理部と数式上同一となる演算処理を行うものとし、前記監視対象のソフトウェア要素の演算処理部での演算処理よりも簡素化した演算処理を行うようにしてもよい。
これにより、監視対象のソフトウェア要素の故障を適切に検出することができる。
さらにまた、上記において、前記監視用演算処理部は、前記監視対象のソフトウェア要素の演算処理部とは異なるインストラクション数で演算処理するようにしてもよい。
【００１０】
これにより、監視用演算処理部の演算処理を、監視対象のソフトウェア要素の演算処理部の演算処理に対して簡素化したものとすることができる。
また、上記において、前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視手段を備え、前記外部監視手段は、前記ハードウェア要素監視手段及び前記ソフトウェア要素監視手段が動作していないとき、これを前記マイクロコンピュータの異常として検出するようにしてもよい。
これにより、マイクロコンピュータをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視することができ、マイクロコンピュータの異常をより詳細に診断することができる。
【発明の効果】
【００１１】
本発明の車載電子制御装置では、マイクロコンピュータのハードウェア部及びソフトウェア部を、これらとは異なる実装の監視用ハードウェア要素及び監視用ソフトウェア要素によって内部監視することが可能であるため、マイクロコンピュータの異常の詳細を適切に診断することができる。その結果、異常の詳細に応じた適切な処置が可能となる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態における車載電子制御装置の機能を示す図である。
【図２】ハードウェア部の監視機能を示すブロック図である。
【図３】ＭＣＵ内部要素の診断例を示すブロック図である。
【図４】Ｓ／Ｗ要素の診断例を示すブロック図である。
【図５】異常診断領域の例を示す図である。
【図６】異常診断領域の例を示す図である。
【図７】故障処理回路の構成を示すブロック図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面に基づいて説明する。
図１は、本実施形態における車載電子制御装置の機能を示す図である。
図中、符号１は車両の制御を行う車載電子制御装置であり、この車載電子制御装置は、マイクロコンピュータ（ＭＣＵ）２を備える。ＭＣＵ２は、ハードウェア部２１とソフトウェア部２２とを含んで構成されている。
【００１４】
ハードウェア部２１は、複数のＭＣＵ内部要素と、これらＭＣＵ内部要素のうちの主機能２２の故障を監視する監視機能２３とを備える。ここで、ＭＣＵ内部要素とは、中央演算処理回路（ＣＰＵ）やバス、ＲＯＭ、ＲＡＭ、周辺回路（タイマ、シリアル通信、ＣＡＮ通信、外部出力ポート）などである。また、ソフトウェア部２４は、ソフトウェア要素（Ｓ／Ｗ要素）と、Ｓ／Ｗ要素のうちの主機能２５で実行する演算処理の異常を監視する監視機能２６とを備える。
【００１５】
すなわち、ＭＣＵ２内部において、ハードウェア要素の監視とソフトウェア要素の監視とを行うようになっている。
ＭＣＵ２には、車両に搭載されている各種センサ１１で検出した検出信号が、入力Ｉ／Ｆ回路３を介して入力される。そして、ＭＣＵ２は、入力された検出信号に基づいて、車両に搭載されたアクチュエータ（ブレーキアクチュエータ、アクティブサスペンション等）１２を駆動制御するための指令信号を演算し、これをアクチュエータ駆動回路４に出力する。
【００１６】
アクチュエータ駆動回路４は、ブリッジ回路（ＦＥＴ）、ＦＥＴ駆動回路、リレー、リレー駆動回路などを含んで構成されており、ＭＣＵ２で演算した指令信号をもとにアクチュエータ１２を駆動制御する。
また、車載電子制御装置１は、ＭＣＵ２の外部でＭＣＵ２の故障を監視する故障処理回路５を備える。
なお、図１において、監視機能２３がハードウェア要素監視手段に対応し、監視機能２６がソフトウェア要素監視手段に対応し、故障処理回路５が外部監視手段に対応している。
【００１７】
次に、ＭＣＵ２のハードウェア部２１の監視機能２３について詳細に説明する。
図２は、ハードウェア部２１の監視機能２３を説明するためのブロック図である。この図２に示すように、複数のＭＣＵ内部要素（主機能）３１に、それぞれ監視機能２３として故障処理要素３２が配置されている。ここで、ＭＣＵ内部要素３１と故障処理要素３２とは、異なる構造で実装する。
【００１８】
故障処理要素３２は、監視対象のＭＣＵ内部要素３１の入出力を監視し、当該ＭＣＵ内部要素３１が故障しているか否かを診断する。ここでは、図３に示すように、故障処理要素３２は、演算処理回路（監視用演算処理回路）３２ａと比較回路３２ｂとを備える。演算処理回路３２ａは、監視対象のＭＣＵ内部要素３１を構成する演算処理回路３１ａとは異なる実装で、且つ演算処理回路３１ａと入出力特性が等しい。
【００１９】
すなわち、演算処理回路３２ａは、その機能が正常である場合に演算処理回路３１ａと同一の信号を入力したとき、演算処理回路３１ａと同一の信号を出力するものであり、演算処理回路３１ａとは異なるトランジスタ数で実装する。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、トランジスタ数を異ならせて、演算処理回路３２ａを演算処理回路３１ａに対して簡素化した構造とする。
【００２０】
そして、この演算処理回路３２ａに演算処理回路３１ａの入力信号を入力し、その出力信号を比較回路３２ｂに入力する。すると、比較回路３２ｂは、演算処理回路３１ａの出力信号と演算処理回路３２ａの出力とを比較する。このとき、同一結果となっていない場合には、ＭＣＵ内部要素３１が故障していると判断し、故障処理要素３２は、図２に示すＭＣＵ内部要素（外部出力機能）３３及び故障後処置要素３４に故障を検出したことを示す診断結果を通知する。
ＭＣＵ内部要素３３は、故障処理要素３２の診断結果を受けて、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
【００２１】
故障後処置の実施指令の例としては、例えば、アクチュエータ駆動回路４を構成するブリッジ回路のＦＥＴ駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、全ＦＥＴがＯＦＦし、アクチュエータ１２を停止させることができる。また、故障後処置の実施指令の別の例としては、例えば、アクチュエータ駆動回路４のリレー駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、リレーがＯＦＦし、アクチュエータ１２への電力供給を停止することができる。このように、本実施形態では、故障後処置としてアクチュエータ１２の停止処置を適用する。
【００２２】
また、故障後処置要素３４は、故障処理要素３２の診断結果を受けて、故障処理回路５へＭＣＵ内部要素３１の故障を通知する。故障処理回路５は、故障後処置要素３４から当該故障通知を受け取ると、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
このように、通知手段を冗長化することにより、ＭＣＵ内部要素３３及び故障後処置要素３４の何れかの通知機能が失われた状態でも、確実にアクチュエータ駆動回路４へ故障後処置の実施指令を出力することができる。
【００２３】
次に、ＭＣＵ２のソフトウェア部２４の監視機能２６について詳細に説明する。
図４は、Ｓ／Ｗ要素の診断例を示すブロック図である。この図４に示すように、Ｓ／Ｗ要素（主機能）４１には、監視機能２６として異常処理Ｓ／Ｗ４２が配置されている。ここで、Ｓ／Ｗ要素４１と異常処理Ｓ／Ｗ４２とは、異なる構造で実装する。
異常処理Ｓ／Ｗ４２は、監視対象のＳ／Ｗ要素４１の演算結果を監視し、当該Ｓ／Ｗ要素に異常が発生しているか否かを診断する。ここでは、異常処理Ｓ／Ｗ４２は、演算処理（監視用演算処理部）４２ａと、比較処理（比較処理部）４２ｂと、制限処理４２ｃとを備える。演算処理４２ａは、監視対象のＳ／Ｗ要素４１の演算処理４１ａとは異なる実装で、且つ演算処理４１ａと同等の演算を行う。
【００２４】
すなわち、演算処理４２ａは、演算処理４１ａとは異なるインストラクション数で、演算処理４１ａと数式上同一となる演算を行うものである。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、インストラクション数を異ならせて、演算処理４２ａを演算処理４１ａに対して簡素化したものとする。
【００２５】
そして、この演算処理４２ａに演算処理４１ａの入力信号を入力し、その演算結果を比較処理４２ｂに入力する。すると、比較処理４２ｂは、演算処理４１ａの演算結果と演算処理４２ａの演算結果とを比較する。このとき、両者の誤差が所定の許容範囲内にない場合には、Ｓ／Ｗ要素４１に異常が発生していると判断する。
すなわち、図５に示すように、主機能側の値（演算処理４１ａの演算結果）が監視側の値（演算処理４２ａの演算結果）に対して±所定範囲となる領域を許容領域とし、それ以外の斜線で示す領域を異常診断領域とする。そして、主機能側の値と監視側の値とによって決まる点が異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。なお、図５の破線で示す直線は、主機能側の値と監視側の値とが等しい領域である。
【００２６】
このように、所定の許容範囲を設定するため、演算処理４２ａを簡素化したことにより生じる演算誤差分を考慮した異常判定を行うことができる。
また、異常診断領域は、例えば図６に示すように設定することもできる。この例は、主機能側の値と監視側の値とが同符号で、且つ主機能側の値の絶対値が監視側の値の絶対値よりも小さい領域±所定範囲を許容範囲としたものである。すなわち、主機能側の値と監視側の値とによって決まる点が、図６の斜線に示す異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。これにより、実際の動作の値が小さいものは、不具合発生に繋がる可能性が低いと判断して許容することができるので、むやみに異常判定されるのを抑制することができる。
【００２７】
そして、比較処理４２ｂは、Ｓ／Ｗ要素４１に異常が発生していることを検出すると、その診断結果を図４の制限処理（制限手段）４２ｃに出力する。
制限処理４２ｃには、演算処理４１ａの演算結果が入力される。比較処理４２ｂから異常を検出したことを示す診断結果が入力された場合には、制限処理４２ｃは、演算処理４１ａの演算結果を許容できる制限値まで制限して出力する。ここで、上記制限値は、車両で許容できる範囲を実験的に検証して決定することが望ましい。一方、比較処理４２ｂから異常を検出したことを示す診断結果が入力されていない場合には、制限処理４２ｃは、演算処理４１ａの演算結果をそのまま出力する。
【００２８】
次に、故障処理回路５の構成について具体的に説明する。
図７は、故障処理回路５の機能を示すブロック図である。故障処理回路５は、ＭＣＵ２の故障をＭＣＵ２の外部から監視するものである。ＭＣＵ２の監視方法としては、ＭＣＵ２のクロック２７を監視する方法と、ＭＣＵ２の監視機能２３及び２６が動作していることを監視する方法とを採用する。
【００２９】
すなわち、故障処理回路５は、ＭＣＵ２のクロック２７を監視するために、ＭＣＵ２とは独立したクロック５１と、クロック監視処理５２とを備える。クロック監視処理５２は、クロック２７のクロックパルスとクロック５１のクロックパルスとを比較することで、クロック２７の故障を検出する。クロック２７は、ＭＣＵ２の一連の作業の基準となるものであり、例えばＲＣ発振回路やセラミック振動子、水晶振動子、水晶振動子内蔵オシレータ、水晶振動子・分周器内蔵オシレータなどからなる。
【００３０】
なお、図７では、クロック監視処理５２を故障処理回路５内部のＳ／Ｗで実装する場合について示しているが、ＭＣＵ２内部のＨ／ＷやＳ／Ｗで実装することもできる。
また、故障処理回路５は、ＭＣＵ２の監視機能２３の動作を監視するために、故障処理要素３２のウォッチドッグタイマの出力パルスを監視するパルス監視処理５３を備える。パルス監視処理５３は、上記出力パルスが所定時間停止したことをもって、監視機能２３の異常を検出する。
【００３１】
なお、図７では監視機能２３の異常検出についてのみ示しているが、監視機能２６（異常処理Ｓ／Ｗ４２）についても同様の方法で異常を検出するものとする。
すなわち、監視機能２６（異常処理Ｓ／Ｗ４２）が正しく実行されたときにウォッチドッグタイマからパルスを出力することによって、監視機能２６が実行されない状態（監視されていない状態）をＭＣＵ２の外部の故障処理回路５で診断することができる。
【００３２】
そして、故障処理回路５は、クロック監視処理５２及びパルス監視処理５３の少なくとも一方でＭＣＵ２の故障を検出すると、アクチュエータ１２を停止させるべく、アクチュエータ駆動回路４に対して故障後処置の実施指令を出力する。
このように、本実施形態では、ＭＣＵをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視するので、ＭＣＵの異常を詳細に監視することができる。
【００３３】
すなわち、ハードウェア監視においては、ＭＣＵ内部要素ごとに故障処理要素を配置してＭＣＵ内部要素の入出力信号を監視するので、ＭＣＵ内部要素の故障をきめ細かく診断することができる。
また、このとき、故障処理要素を監視対象のＭＣＵ内部要素とは異なる構造で実装するので、例えば、両者で処理完了までの遅延時間を異ならせることができる。その結果、両者に共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。さらに、トランジスタ数を少なくするなどにより、故障処理要素を監視対象のＭＣＵ内部要素よりも簡素化した構造で実装するので、比較的簡易且つ安価に故障処理要素を設けることができる。
【００３４】
さらに、上記ハードウェア監視の他に、ＭＣＵ内部でソフトウェア監視を行うので、ハードウェア監視の故障処理要素で検出しきれない演算不具合を検出することができる。
このとき、ソフトウェア監視においては、Ｓ／Ｗ要素に異常処理Ｓ／Ｗを配置してＳ／Ｗ要素の演算結果を監視するので、Ｓ／Ｗ要素の異常を適切に診断することができる。さらに、異常処理Ｓ／Ｗを監視対象のＳ／Ｗ要素とは異なる構造で実装するので、例えば、両者で演算に使用されるインストラクションを異ならせることができる。その結果、両者に共通して影響を受ける異常要因に対しても、適切に異常として検出することができる。
【００３５】
また、演算結果の比較に際し、所定の許容範囲を設定するので、異常処理Ｓ／Ｗを簡素化した構造としたことにより生じる演算誤差を考慮した異常診断を行うことができる。例えば、監視対象のＳ／Ｗ要素の演算結果と異常処理Ｓ／Ｗの演算結果とが同符号であり、且つ監視対象のＳ／Ｗ要素の演算結果の絶対値が異常処理Ｓ／Ｗの演算結果の絶対値よりも小さい範囲を、上記許容範囲とする。これにより、監視対象のＳ／Ｗ要素の演算結果が、アクチュエータの実際の制御動作が小さく不具合を発生する動作に繋がりにくいような値の場合には、監視対象のＳ／Ｗ要素の演算結果と異常処理Ｓ／Ｗの演算結果とに比較的大きな誤差が生じている場合でも許容することができる。そのため、むやみに異常診断するのを抑制することができる。
【００３６】
そして、ハードウェア監視においてＭＣＵ内部要素の故障を検出した場合には、アクチュエータを停止する処置を行い、ソフトウェア監視においてＳ／Ｗ要素の異常を検出した場合には、Ｓ／Ｗ要素の演算結果を許容範囲内に制限する補正を行って、アクチュエータの駆動制御を続行する処置を行う。
車両に搭載される電子制御用ＭＣＵは、異常発生時には異常の詳細によらず制御を停止させるのが一般的であった。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常発生時にも異常の詳細によっては制御を続行させる必要がある。本実施形態では、ＭＣＵの異常をきめ細かく診断することができるので、異常の詳細に応じて制御を停止したり制御を続行したりすることができるなど、適切な処置を行うことができる。
【００３７】
さらに、ＭＣＵ外部でＭＣＵの故障を監視する外部監視を行うので、ＭＣＵ内部の監視機能であるハードウェア監視とソフトウェア監視とが共通して影響を受ける要因に対して診断を実施することができる。
例えば、ＭＣＵの外部にＭＣＵとは独立したクロックを配置し、ＭＣＵのクロックを監視することで、ＭＣＵ内部の各監視機能が共通して影響を受けるクロック異常が発生し、ＭＣＵ内部で故障／異常の診断が行えない場合には、これを異常として検出することができる。また、ＭＣＵ内部の各監視機能のウォッチドッグタイマの出力パルスを監視することで、ＭＣＵ内部の各監視機能が動作していない場合には、これを異常として検出することができる。このように、ＭＣＵの機能不全をＭＣＵの外部で検出し、処置することができる。
【００３８】
そして、この外部監視においては、自身の監視機能でＭＣＵの故障を検出した場合や、異常処理要素からＭＣＵ内部要素の故障を検出したことを示す情報を取得した場合に、アクチュエータを停止する処置を行う。すなわち、ハードウェア監視でＭＣＵ内部要素の故障を検出した場合には、ハードウェア監視によって直接アクチュエータを停止する処置を行う手段と、外部監視を介してアクチュエータを停止する処置を行う手段とを併用することができる。その結果、ＭＣＵ内部要素の故障が発生した場合には、確実にアクチュエータを停止することができる。
【符号の説明】
【００３９】
１…車載電子制御装置、２…マイクロコンピュータ（ＭＣＵ）、３…入力Ｉ／Ｆ回路、４…アクチュエータ駆動回路、５…故障処理回路、１１…センサ、１２…アクチュエータ、２１…ハードウェア部、２２…Ｈ／Ｗ主機能、２３…Ｈ／Ｗ監視機能、２４…ソフトウェア部、２５…Ｓ／Ｗ主機能、２６…Ｓ／Ｗ監視機能、２７…クロック、３１…ＭＣＵ内部要素（主機能）、３１ａ…演算処理回路、３２…故障処理要素、３２ａ…演算処理回路、３２ｂ…比較回路、３３…ＭＣＵ内部要素（外部出力機能）、３４…故障後処置要素、４１…Ｓ／Ｗ要素、４１ａ…演算処理、４２…異常処理Ｓ／Ｗ、４２ａ…演算処理、４２ｂ…比較処理、４２ｃ…制限処理、５１…クロック、５２…クロック監視処理、５３…パルス監視処理
【技術分野】
【０００１】
本発明は、マイクロコンピュータの故障／異常を監視する機能を有する車載電子制御装置に関するものである。
【背景技術】
【０００２】
従来のＣＰＵ監視機能を有する車載電子制御装置としては、例えば特許文献１及び２に記載の技術がある。この技術は、上記監視機能としてロックステップ方式を採用したものであり、同一構成を有するＡ系とＢ系の２つの情報処理部における処理結果を照合する照合回路を備える。そして、照合回路による照合結果が不一致である場合に、Ａ系又はＢ系が故障していると判定する。
また、上記監視機能として、制御ＣＰＵを監視ＣＰＵで監視する、所謂２ＣＰＵ方式を採用したものもある（例えば、特許文献３参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２６２４３２号公報
【特許文献２】特開２０１０−１６０６４９号公報
【特許文献３】特開２００６−３４４０８６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記のようなロックステップ方式を採用した監視機能では、制御部と監視部とが同一コアを使用していると、コアの演算器に演算ミスが生じるような不具合があった場合に、異常として検出することができない。また、上記のような２ＣＰＵ方式を採用した監視機能では、制御ＣＰＵの演算をきめ細かく診断することができない。
このように、異常の詳細を診断することができないため、異常発生時には、異常の詳細によらず一律に制御を停止していた。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常の詳細によっては異常発生時にも制御を続行することが望まれる。
そこで、本発明は、マイクロコンピュータの異常の詳細を適切に診断することができる車載電子制御装置を提供することを課題としている。
【課題を解決するための手段】
【０００５】
上記課題を解決するために、本発明に係る車載電子制御装置の第一形態は、車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータを備える車載電子制御装置であって、前記マイクロコンピュータは、ハードウェア部とソフトウェア部とを含んで構成されており、前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素とは演算処理の特性が等しく、且つ前記ハードウェア部の各要素の演算処理回路とは異なる実装で、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視手段と、前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素とは演算処理の特性が等しく、且つ前記ソフトウェア部の各要素の演算処理部とは異なる実装で、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視手段と、を備えることを特徴としている。
【０００６】
このように、マイクロコンピュータをハードウェア監視とソフトウェア監視とで総合監視するので、マイクロコンピュータの異常の詳細を診断することができる。そのため、マイクロコンピュータの異常発生時には、異常の詳細に応じた適切な処置が可能となる。また、監視用ハードウェア要素を、監視対象のハードウェア要素とは演算処理の特性が等しく、且つ監視対象のハードウェア要素とは異なる実装とするので、監視対象のハードウェア要素の入出力を監視することで故障を検出することができる。さらに、例えば、両者で処理完了までの遅延時間を異ならせることができるので、両者が共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。監視用ソフトウェア要素についても同様である。
【０００７】
また、上記において、前記ハードウェア要素監視手段は、監視用演算処理回路と比較回路とを備え、前記監視用演算処理回路を、監視対象のハードウェア要素の演算処理回路と同一の信号を入力したとき、前記監視対象のハードウェア要素の演算処理回路と同一の信号を出力するものとし、前記監視対象のハードウェア要素の演算処理回路での演算処理よりも簡素化した演算処理を行うようにしてもよい。
【０００８】
これにより、監視対象のハードウェア要素の故障を適切に検出することができる。
さらに、上記において、前記監視用演算処理回路は、前記監視対象のハードウェア要素の演算処理回路とは異なるトランジスタ数で実装するようにしてもよい。
これにより、監視用演算処理回路を、監視対象のハードウェア要素の演算処理回路に対して簡素化した構造とすることができる。
【０００９】
また、上記において、前記ソフトウェア要素監視手段は、監視用演算処理部と比較処理部とを備え、前記監視用演算処理部を、監視対象のソフトウェア要素の演算処理部と数式上同一となる演算処理を行うものとし、前記監視対象のソフトウェア要素の演算処理部での演算処理よりも簡素化した演算処理を行うようにしてもよい。
これにより、監視対象のソフトウェア要素の故障を適切に検出することができる。
さらにまた、上記において、前記監視用演算処理部は、前記監視対象のソフトウェア要素の演算処理部とは異なるインストラクション数で演算処理するようにしてもよい。
【００１０】
これにより、監視用演算処理部の演算処理を、監視対象のソフトウェア要素の演算処理部の演算処理に対して簡素化したものとすることができる。
また、上記において、前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視手段を備え、前記外部監視手段は、前記ハードウェア要素監視手段及び前記ソフトウェア要素監視手段が動作していないとき、これを前記マイクロコンピュータの異常として検出するようにしてもよい。
これにより、マイクロコンピュータをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視することができ、マイクロコンピュータの異常をより詳細に診断することができる。
【発明の効果】
【００１１】
本発明の車載電子制御装置では、マイクロコンピュータのハードウェア部及びソフトウェア部を、これらとは異なる実装の監視用ハードウェア要素及び監視用ソフトウェア要素によって内部監視することが可能であるため、マイクロコンピュータの異常の詳細を適切に診断することができる。その結果、異常の詳細に応じた適切な処置が可能となる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態における車載電子制御装置の機能を示す図である。
【図２】ハードウェア部の監視機能を示すブロック図である。
【図３】ＭＣＵ内部要素の診断例を示すブロック図である。
【図４】Ｓ／Ｗ要素の診断例を示すブロック図である。
【図５】異常診断領域の例を示す図である。
【図６】異常診断領域の例を示す図である。
【図７】故障処理回路の構成を示すブロック図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面に基づいて説明する。
図１は、本実施形態における車載電子制御装置の機能を示す図である。
図中、符号１は車両の制御を行う車載電子制御装置であり、この車載電子制御装置は、マイクロコンピュータ（ＭＣＵ）２を備える。ＭＣＵ２は、ハードウェア部２１とソフトウェア部２２とを含んで構成されている。
【００１４】
ハードウェア部２１は、複数のＭＣＵ内部要素と、これらＭＣＵ内部要素のうちの主機能２２の故障を監視する監視機能２３とを備える。ここで、ＭＣＵ内部要素とは、中央演算処理回路（ＣＰＵ）やバス、ＲＯＭ、ＲＡＭ、周辺回路（タイマ、シリアル通信、ＣＡＮ通信、外部出力ポート）などである。また、ソフトウェア部２４は、ソフトウェア要素（Ｓ／Ｗ要素）と、Ｓ／Ｗ要素のうちの主機能２５で実行する演算処理の異常を監視する監視機能２６とを備える。
【００１５】
すなわち、ＭＣＵ２内部において、ハードウェア要素の監視とソフトウェア要素の監視とを行うようになっている。
ＭＣＵ２には、車両に搭載されている各種センサ１１で検出した検出信号が、入力Ｉ／Ｆ回路３を介して入力される。そして、ＭＣＵ２は、入力された検出信号に基づいて、車両に搭載されたアクチュエータ（ブレーキアクチュエータ、アクティブサスペンション等）１２を駆動制御するための指令信号を演算し、これをアクチュエータ駆動回路４に出力する。
【００１６】
アクチュエータ駆動回路４は、ブリッジ回路（ＦＥＴ）、ＦＥＴ駆動回路、リレー、リレー駆動回路などを含んで構成されており、ＭＣＵ２で演算した指令信号をもとにアクチュエータ１２を駆動制御する。
また、車載電子制御装置１は、ＭＣＵ２の外部でＭＣＵ２の故障を監視する故障処理回路５を備える。
なお、図１において、監視機能２３がハードウェア要素監視手段に対応し、監視機能２６がソフトウェア要素監視手段に対応し、故障処理回路５が外部監視手段に対応している。
【００１７】
次に、ＭＣＵ２のハードウェア部２１の監視機能２３について詳細に説明する。
図２は、ハードウェア部２１の監視機能２３を説明するためのブロック図である。この図２に示すように、複数のＭＣＵ内部要素（主機能）３１に、それぞれ監視機能２３として故障処理要素３２が配置されている。ここで、ＭＣＵ内部要素３１と故障処理要素３２とは、異なる構造で実装する。
【００１８】
故障処理要素３２は、監視対象のＭＣＵ内部要素３１の入出力を監視し、当該ＭＣＵ内部要素３１が故障しているか否かを診断する。ここでは、図３に示すように、故障処理要素３２は、演算処理回路（監視用演算処理回路）３２ａと比較回路３２ｂとを備える。演算処理回路３２ａは、監視対象のＭＣＵ内部要素３１を構成する演算処理回路３１ａとは異なる実装で、且つ演算処理回路３１ａと入出力特性が等しい。
【００１９】
すなわち、演算処理回路３２ａは、その機能が正常である場合に演算処理回路３１ａと同一の信号を入力したとき、演算処理回路３１ａと同一の信号を出力するものであり、演算処理回路３１ａとは異なるトランジスタ数で実装する。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、トランジスタ数を異ならせて、演算処理回路３２ａを演算処理回路３１ａに対して簡素化した構造とする。
【００２０】
そして、この演算処理回路３２ａに演算処理回路３１ａの入力信号を入力し、その出力信号を比較回路３２ｂに入力する。すると、比較回路３２ｂは、演算処理回路３１ａの出力信号と演算処理回路３２ａの出力とを比較する。このとき、同一結果となっていない場合には、ＭＣＵ内部要素３１が故障していると判断し、故障処理要素３２は、図２に示すＭＣＵ内部要素（外部出力機能）３３及び故障後処置要素３４に故障を検出したことを示す診断結果を通知する。
ＭＣＵ内部要素３３は、故障処理要素３２の診断結果を受けて、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
【００２１】
故障後処置の実施指令の例としては、例えば、アクチュエータ駆動回路４を構成するブリッジ回路のＦＥＴ駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、全ＦＥＴがＯＦＦし、アクチュエータ１２を停止させることができる。また、故障後処置の実施指令の別の例としては、例えば、アクチュエータ駆動回路４のリレー駆動回路への停止信号がある。この場合、当該停止信号が出力されることで、リレーがＯＦＦし、アクチュエータ１２への電力供給を停止することができる。このように、本実施形態では、故障後処置としてアクチュエータ１２の停止処置を適用する。
【００２２】
また、故障後処置要素３４は、故障処理要素３２の診断結果を受けて、故障処理回路５へＭＣＵ内部要素３１の故障を通知する。故障処理回路５は、故障後処置要素３４から当該故障通知を受け取ると、アクチュエータ駆動回路４へ故障後処置の実施指令を出力する。
このように、通知手段を冗長化することにより、ＭＣＵ内部要素３３及び故障後処置要素３４の何れかの通知機能が失われた状態でも、確実にアクチュエータ駆動回路４へ故障後処置の実施指令を出力することができる。
【００２３】
次に、ＭＣＵ２のソフトウェア部２４の監視機能２６について詳細に説明する。
図４は、Ｓ／Ｗ要素の診断例を示すブロック図である。この図４に示すように、Ｓ／Ｗ要素（主機能）４１には、監視機能２６として異常処理Ｓ／Ｗ４２が配置されている。ここで、Ｓ／Ｗ要素４１と異常処理Ｓ／Ｗ４２とは、異なる構造で実装する。
異常処理Ｓ／Ｗ４２は、監視対象のＳ／Ｗ要素４１の演算結果を監視し、当該Ｓ／Ｗ要素に異常が発生しているか否かを診断する。ここでは、異常処理Ｓ／Ｗ４２は、演算処理（監視用演算処理部）４２ａと、比較処理（比較処理部）４２ｂと、制限処理４２ｃとを備える。演算処理４２ａは、監視対象のＳ／Ｗ要素４１の演算処理４１ａとは異なる実装で、且つ演算処理４１ａと同等の演算を行う。
【００２４】
すなわち、演算処理４２ａは、演算処理４１ａとは異なるインストラクション数で、演算処理４１ａと数式上同一となる演算を行うものである。故障処理用の演算処理は、診断のための演算値が求められればよいため、主機能の演算処理よりも簡素化できる。そのため、ここでは、インストラクション数を異ならせて、演算処理４２ａを演算処理４１ａに対して簡素化したものとする。
【００２５】
そして、この演算処理４２ａに演算処理４１ａの入力信号を入力し、その演算結果を比較処理４２ｂに入力する。すると、比較処理４２ｂは、演算処理４１ａの演算結果と演算処理４２ａの演算結果とを比較する。このとき、両者の誤差が所定の許容範囲内にない場合には、Ｓ／Ｗ要素４１に異常が発生していると判断する。
すなわち、図５に示すように、主機能側の値（演算処理４１ａの演算結果）が監視側の値（演算処理４２ａの演算結果）に対して±所定範囲となる領域を許容領域とし、それ以外の斜線で示す領域を異常診断領域とする。そして、主機能側の値と監視側の値とによって決まる点が異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。なお、図５の破線で示す直線は、主機能側の値と監視側の値とが等しい領域である。
【００２６】
このように、所定の許容範囲を設定するため、演算処理４２ａを簡素化したことにより生じる演算誤差分を考慮した異常判定を行うことができる。
また、異常診断領域は、例えば図６に示すように設定することもできる。この例は、主機能側の値と監視側の値とが同符号で、且つ主機能側の値の絶対値が監視側の値の絶対値よりも小さい領域±所定範囲を許容範囲としたものである。すなわち、主機能側の値と監視側の値とによって決まる点が、図６の斜線に示す異常診断領域内にあるとき、上記誤差が許容範囲内にないと判断する。これにより、実際の動作の値が小さいものは、不具合発生に繋がる可能性が低いと判断して許容することができるので、むやみに異常判定されるのを抑制することができる。
【００２７】
そして、比較処理４２ｂは、Ｓ／Ｗ要素４１に異常が発生していることを検出すると、その診断結果を図４の制限処理（制限手段）４２ｃに出力する。
制限処理４２ｃには、演算処理４１ａの演算結果が入力される。比較処理４２ｂから異常を検出したことを示す診断結果が入力された場合には、制限処理４２ｃは、演算処理４１ａの演算結果を許容できる制限値まで制限して出力する。ここで、上記制限値は、車両で許容できる範囲を実験的に検証して決定することが望ましい。一方、比較処理４２ｂから異常を検出したことを示す診断結果が入力されていない場合には、制限処理４２ｃは、演算処理４１ａの演算結果をそのまま出力する。
【００２８】
次に、故障処理回路５の構成について具体的に説明する。
図７は、故障処理回路５の機能を示すブロック図である。故障処理回路５は、ＭＣＵ２の故障をＭＣＵ２の外部から監視するものである。ＭＣＵ２の監視方法としては、ＭＣＵ２のクロック２７を監視する方法と、ＭＣＵ２の監視機能２３及び２６が動作していることを監視する方法とを採用する。
【００２９】
すなわち、故障処理回路５は、ＭＣＵ２のクロック２７を監視するために、ＭＣＵ２とは独立したクロック５１と、クロック監視処理５２とを備える。クロック監視処理５２は、クロック２７のクロックパルスとクロック５１のクロックパルスとを比較することで、クロック２７の故障を検出する。クロック２７は、ＭＣＵ２の一連の作業の基準となるものであり、例えばＲＣ発振回路やセラミック振動子、水晶振動子、水晶振動子内蔵オシレータ、水晶振動子・分周器内蔵オシレータなどからなる。
【００３０】
なお、図７では、クロック監視処理５２を故障処理回路５内部のＳ／Ｗで実装する場合について示しているが、ＭＣＵ２内部のＨ／ＷやＳ／Ｗで実装することもできる。
また、故障処理回路５は、ＭＣＵ２の監視機能２３の動作を監視するために、故障処理要素３２のウォッチドッグタイマの出力パルスを監視するパルス監視処理５３を備える。パルス監視処理５３は、上記出力パルスが所定時間停止したことをもって、監視機能２３の異常を検出する。
【００３１】
なお、図７では監視機能２３の異常検出についてのみ示しているが、監視機能２６（異常処理Ｓ／Ｗ４２）についても同様の方法で異常を検出するものとする。
すなわち、監視機能２６（異常処理Ｓ／Ｗ４２）が正しく実行されたときにウォッチドッグタイマからパルスを出力することによって、監視機能２６が実行されない状態（監視されていない状態）をＭＣＵ２の外部の故障処理回路５で診断することができる。
【００３２】
そして、故障処理回路５は、クロック監視処理５２及びパルス監視処理５３の少なくとも一方でＭＣＵ２の故障を検出すると、アクチュエータ１２を停止させるべく、アクチュエータ駆動回路４に対して故障後処置の実施指令を出力する。
このように、本実施形態では、ＭＣＵをハードウェア監視、ソフトウェア監視、外部監視の３つで総合監視するので、ＭＣＵの異常を詳細に監視することができる。
【００３３】
すなわち、ハードウェア監視においては、ＭＣＵ内部要素ごとに故障処理要素を配置してＭＣＵ内部要素の入出力信号を監視するので、ＭＣＵ内部要素の故障をきめ細かく診断することができる。
また、このとき、故障処理要素を監視対象のＭＣＵ内部要素とは異なる構造で実装するので、例えば、両者で処理完了までの遅延時間を異ならせることができる。その結果、両者に共通して影響を受ける故障要因に対しても、適切に故障として検出することができる。さらに、トランジスタ数を少なくするなどにより、故障処理要素を監視対象のＭＣＵ内部要素よりも簡素化した構造で実装するので、比較的簡易且つ安価に故障処理要素を設けることができる。
【００３４】
さらに、上記ハードウェア監視の他に、ＭＣＵ内部でソフトウェア監視を行うので、ハードウェア監視の故障処理要素で検出しきれない演算不具合を検出することができる。
このとき、ソフトウェア監視においては、Ｓ／Ｗ要素に異常処理Ｓ／Ｗを配置してＳ／Ｗ要素の演算結果を監視するので、Ｓ／Ｗ要素の異常を適切に診断することができる。さらに、異常処理Ｓ／Ｗを監視対象のＳ／Ｗ要素とは異なる構造で実装するので、例えば、両者で演算に使用されるインストラクションを異ならせることができる。その結果、両者に共通して影響を受ける異常要因に対しても、適切に異常として検出することができる。
【００３５】
また、演算結果の比較に際し、所定の許容範囲を設定するので、異常処理Ｓ／Ｗを簡素化した構造としたことにより生じる演算誤差を考慮した異常診断を行うことができる。例えば、監視対象のＳ／Ｗ要素の演算結果と異常処理Ｓ／Ｗの演算結果とが同符号であり、且つ監視対象のＳ／Ｗ要素の演算結果の絶対値が異常処理Ｓ／Ｗの演算結果の絶対値よりも小さい範囲を、上記許容範囲とする。これにより、監視対象のＳ／Ｗ要素の演算結果が、アクチュエータの実際の制御動作が小さく不具合を発生する動作に繋がりにくいような値の場合には、監視対象のＳ／Ｗ要素の演算結果と異常処理Ｓ／Ｗの演算結果とに比較的大きな誤差が生じている場合でも許容することができる。そのため、むやみに異常診断するのを抑制することができる。
【００３６】
そして、ハードウェア監視においてＭＣＵ内部要素の故障を検出した場合には、アクチュエータを停止する処置を行い、ソフトウェア監視においてＳ／Ｗ要素の異常を検出した場合には、Ｓ／Ｗ要素の演算結果を許容範囲内に制限する補正を行って、アクチュエータの駆動制御を続行する処置を行う。
車両に搭載される電子制御用ＭＣＵは、異常発生時には異常の詳細によらず制御を停止させるのが一般的であった。ところが、車両の大型化による制御停止時のドライバ負担や車両安全制御の規格化などの観点から、異常発生時にも異常の詳細によっては制御を続行させる必要がある。本実施形態では、ＭＣＵの異常をきめ細かく診断することができるので、異常の詳細に応じて制御を停止したり制御を続行したりすることができるなど、適切な処置を行うことができる。
【００３７】
さらに、ＭＣＵ外部でＭＣＵの故障を監視する外部監視を行うので、ＭＣＵ内部の監視機能であるハードウェア監視とソフトウェア監視とが共通して影響を受ける要因に対して診断を実施することができる。
例えば、ＭＣＵの外部にＭＣＵとは独立したクロックを配置し、ＭＣＵのクロックを監視することで、ＭＣＵ内部の各監視機能が共通して影響を受けるクロック異常が発生し、ＭＣＵ内部で故障／異常の診断が行えない場合には、これを異常として検出することができる。また、ＭＣＵ内部の各監視機能のウォッチドッグタイマの出力パルスを監視することで、ＭＣＵ内部の各監視機能が動作していない場合には、これを異常として検出することができる。このように、ＭＣＵの機能不全をＭＣＵの外部で検出し、処置することができる。
【００３８】
そして、この外部監視においては、自身の監視機能でＭＣＵの故障を検出した場合や、異常処理要素からＭＣＵ内部要素の故障を検出したことを示す情報を取得した場合に、アクチュエータを停止する処置を行う。すなわち、ハードウェア監視でＭＣＵ内部要素の故障を検出した場合には、ハードウェア監視によって直接アクチュエータを停止する処置を行う手段と、外部監視を介してアクチュエータを停止する処置を行う手段とを併用することができる。その結果、ＭＣＵ内部要素の故障が発生した場合には、確実にアクチュエータを停止することができる。
【符号の説明】
【００３９】
１…車載電子制御装置、２…マイクロコンピュータ（ＭＣＵ）、３…入力Ｉ／Ｆ回路、４…アクチュエータ駆動回路、５…故障処理回路、１１…センサ、１２…アクチュエータ、２１…ハードウェア部、２２…Ｈ／Ｗ主機能、２３…Ｈ／Ｗ監視機能、２４…ソフトウェア部、２５…Ｓ／Ｗ主機能、２６…Ｓ／Ｗ監視機能、２７…クロック、３１…ＭＣＵ内部要素（主機能）、３１ａ…演算処理回路、３２…故障処理要素、３２ａ…演算処理回路、３２ｂ…比較回路、３３…ＭＣＵ内部要素（外部出力機能）、３４…故障後処置要素、４１…Ｓ／Ｗ要素、４１ａ…演算処理、４２…異常処理Ｓ／Ｗ、４２ａ…演算処理、４２ｂ…比較処理、４２ｃ…制限処理、５１…クロック、５２…クロック監視処理、５３…パルス監視処理
【特許請求の範囲】
【請求項１】
車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータを備える車載電子制御装置であって、
前記マイクロコンピュータは、ハードウェア部とソフトウェア部とを含んで構成されており、
前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素とは演算処理の特性が等しく、且つ前記ハードウェア部の各要素の演算処理回路とは異なる実装で、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視手段と、
前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素とは演算処理の特性が等しく、且つ前記ソフトウェア部の各要素の演算処理部とは異なる実装で、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視手段と、を備えることを特徴とする車載電子制御装置。
【請求項２】
前記ハードウェア要素監視手段は、監視用演算処理回路と比較回路とを備え、
前記監視用演算処理回路は、監視対象のハードウェア要素の演算処理回路と同一の信号を入力したとき、前記監視対象のハードウェア要素の演算処理回路と同一の信号を出力するものであり、前記監視対象のハードウェア要素の演算処理回路での演算処理よりも簡素化した演算処理を行うことを特徴とする請求項１に記載の車載電子制御装置。
【請求項３】
前記監視用演算処理回路は、前記監視対象のハードウェア要素の演算処理回路とは異なるトランジスタ数で実装することを特徴とする請求項２に記載の車載電子制御装置。
【請求項４】
前記ソフトウェア要素監視手段は、監視用演算処理部と比較処理部とを備え、
前記監視用演算処理部は、監視対象のソフトウェア要素の演算処理部と数式上同一となる演算処理を行うものであり、前記監視対象のソフトウェア要素の演算処理部での演算処理よりも簡素化した演算処理を行うことを特徴とする請求項１〜３の何れか１項に記載の車載電子制御装置。
【請求項５】
前記監視用演算処理部は、前記監視対象のソフトウェア要素の演算処理部とは異なるインストラクション数で演算処理することを特徴とする請求項４に記載の車載電子制御装置。
【請求項６】
前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視手段を備え、
前記外部監視手段は、前記ハードウェア要素監視手段及び前記ソフトウェア要素監視手段が動作していないとき、これを前記マイクロコンピュータの異常として検出することを特徴とする請求項１〜５の何れか１項に記載の車載電子制御装置。
【請求項１】
車両に搭載されたセンサからの検出信号に基づいて、アクチュエータの駆動信号を生成するマイクロコンピュータを備える車載電子制御装置であって、
前記マイクロコンピュータは、ハードウェア部とソフトウェア部とを含んで構成されており、
前記マイクロコンピュータの内部に設けられ、前記ハードウェア部の各要素とは演算処理の特性が等しく、且つ前記ハードウェア部の各要素の演算処理回路とは異なる実装で、前記ハードウェア部の各要素の異常を監視するハードウェア要素監視手段と、
前記マイクロコンピュータの内部に設けられ、前記ソフトウェア部の各要素とは演算処理の特性が等しく、且つ前記ソフトウェア部の各要素の演算処理部とは異なる実装で、前記ソフトウェア部の各要素の異常を監視するソフトウェア要素監視手段と、を備えることを特徴とする車載電子制御装置。
【請求項２】
前記ハードウェア要素監視手段は、監視用演算処理回路と比較回路とを備え、
前記監視用演算処理回路は、監視対象のハードウェア要素の演算処理回路と同一の信号を入力したとき、前記監視対象のハードウェア要素の演算処理回路と同一の信号を出力するものであり、前記監視対象のハードウェア要素の演算処理回路での演算処理よりも簡素化した演算処理を行うことを特徴とする請求項１に記載の車載電子制御装置。
【請求項３】
前記監視用演算処理回路は、前記監視対象のハードウェア要素の演算処理回路とは異なるトランジスタ数で実装することを特徴とする請求項２に記載の車載電子制御装置。
【請求項４】
前記ソフトウェア要素監視手段は、監視用演算処理部と比較処理部とを備え、
前記監視用演算処理部は、監視対象のソフトウェア要素の演算処理部と数式上同一となる演算処理を行うものであり、前記監視対象のソフトウェア要素の演算処理部での演算処理よりも簡素化した演算処理を行うことを特徴とする請求項１〜３の何れか１項に記載の車載電子制御装置。
【請求項５】
前記監視用演算処理部は、前記監視対象のソフトウェア要素の演算処理部とは異なるインストラクション数で演算処理することを特徴とする請求項４に記載の車載電子制御装置。
【請求項６】
前記マイクロコンピュータの外部に設けられ、前記マイクロコンピュータの異常を監視する外部監視手段を備え、
前記外部監視手段は、前記ハードウェア要素監視手段及び前記ソフトウェア要素監視手段が動作していないとき、これを前記マイクロコンピュータの異常として検出することを特徴とする請求項１〜５の何れか１項に記載の車載電子制御装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１３−１２２２０（Ｐ２０１３−１２２２０Ａ）
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願番号】特願２０１２−１８６５４７（Ｐ２０１２−１８６５４７）
【出願日】平成２４年８月２７日（２０１２．８．２７）
【分割の表示】特願２０１１−１４４６９０（Ｐ２０１１−１４４６９０）の分割
【原出願日】平成２３年６月２９日（２０１１．６．２９）
【出願人】（０００００４２０４）日本精工株式会社 (8,378)
【Ｆターム（参考）】
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願日】平成２４年８月２７日（２０１２．８．２７）
【分割の表示】特願２０１１−１４４６９０（Ｐ２０１１−１４４６９０）の分割
【原出願日】平成２３年６月２９日（２０１１．６．２９）
【出願人】（０００００４２０４）日本精工株式会社 (8,378)
【Ｆターム（参考）】
[ Back to top ]