駆動ユニットの制御装置及び制御方法
【課題】車両の駆動ユニットの制御を単一の制御部上で、互いに独立した２つのプログラムを併行して実行する場合のエラー検出の信頼性向上を図った制御装置等を提供する。
【解決手段】車両駆動ユニットの制御装置１は、車両の駆動ユニットのエラーを検出する第１のレベルモジュール２０と、第１のレベルモジュール２０とは独立且つ併行して駆動ユニットのエラーを検出する第２のレベルモジュール３０とを実行する制御部１０を備えた車両駆動ユニットの制御装置１において、第２のレベルモジュール３０は、第１のレベルモジュール２０のエラー検出をモニタリングする機能を有し、第１のレベルモジュール２０が駆動ユニットのエラーを所定時間以上継続して検出するとき、駆動ユニットを停止制御する。
【解決手段】車両駆動ユニットの制御装置１は、車両の駆動ユニットのエラーを検出する第１のレベルモジュール２０と、第１のレベルモジュール２０とは独立且つ併行して駆動ユニットのエラーを検出する第２のレベルモジュール３０とを実行する制御部１０を備えた車両駆動ユニットの制御装置１において、第２のレベルモジュール３０は、第１のレベルモジュール２０のエラー検出をモニタリングする機能を有し、第１のレベルモジュール２０が駆動ユニットのエラーを所定時間以上継続して検出するとき、駆動ユニットを停止制御する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両の駆動ユニットの制御装置及び制御方法に関する。
【背景技術】
【０００２】
車両の駆動ユニットの制御装置及び制御方法に関し、特に、駆動ユニットの故障時のエラー検出に関する先行技術として、例えば、出力制御のために、制御機能およびモニタリング機能を実行するためのただ１つの計算要素（マイクロコンピュータ）のみが設けられ、マイクロコンピュータ内に相互に独立の少なくとも２つのレベルが設けられ、ここで第１のレベルは制御機能を実行し、第２のレベルはモニタリング機能を実行する公報開示の技術がある（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表平１０−５０７８０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
信頼性向上のために、車両の駆動ユニットのエラー検出を単一の制御部上で、互いに独立した２つのプログラム（第１のプログラムと第２のプログラム）を併行して実行することがある。この場合、２つのプログラムで異なるパラメータを用いることもある。例えば、第１のプログラムが主となるプログラムとしてエラー検出を担当し、ＥＣＵ（エンジン・コントロール・ユニット）の故障などで第１のプログラムでエラー検出を確定できない場合に、従となる第２のプログラムがエラー検出する。このとき、主となる第１のプログラムの計算サイクルが短くなるように、閾値やエラー検出サイクルに関して第１のプログラムと第２のプログラムとで異なるパラメータが設定される。
【０００５】
第１のプログラムが主となり第２のプログラムが従となって独立して併行してエラー検出を行うと共に、第２のプログラムが第１のプログラムによるエラー検出をモニタリングする構成も考えられる。例えば、主となる第１のプログラムが短い計算サイクルでエラー検出を実行し、従となる第２のプログラムがより長い計算サイクルでエラー検出を実行するとともにモニタリングも実行する構成である。
【０００６】
しかし、かかる構成では、第１のプログラムと第２のプログラムとの間で判断に乖離が生じることがある。例えば、計算サイクルが短い第１のプログラムでは、最新の状態情報に基づいてエラーを検出しているが、計算サイクルが長い第２のプログラムでは、第１のプログラムで使用する状態情報よりも古い状態情報に基づいて処理を行うので、エラーを検出していないという状態が生じる。かかる場合に、第１のプログラムが正常であった前回の状態情報を保持する等のエラー回避動作を実行するが、第２のプログラムはエラーを検出しない状態のままであり、両者の間で判断に乖離が生じる。この結果、第１のプログラムによるエラー検出後の回避動作に対して、第２のプログラムのモニタリング機能が働いて、第１のプログラムによる回避動作が制限される事態、或いは、第１のプログラムによるエラー回避動作が正常ではないと判断される事態が生じる。
【０００７】
かかる事態を回避する方法として、例えば、第１のプログラムによる計算サイクルと第２のプログラムによるモニタリングサイクルとに差を設け、後者を前者より充分に長く設定する方法があり、これによりかかる事態を容易に回避できる。しかし、他の安全上の制限により、サイクルタイムの変更は、実施が困難である。更に、サイクルタイムの設定を車両ごとに設定するという回避方法も考えられるが、現実的でない。
【０００８】
他の回避方法として、例えば、第１のプログラムと第２のプログラムとの間で状態情報を強制的に一致させる方法も考えられる。しかし、例えば、検出時間カウンタが不良の場合等、不良の状態情報に基づいて第１のプログラムのエラー検出処理に不良が生じた場合、第１のプログラムと第２のプログラムとで状態情報を一致させるので、第２のプログラム側もエラーを確定できない。
【０００９】
本発明は、車両の駆動ユニットの制御を単一の制御部上で、互いに独立した２つのプログラムを併行して実行する場合のエラー検出の信頼性向上を図った制御装置等の提供を目的とする。
【００１０】
また、第２のプログラムのモニタリングによって第１のプログラムの故障等が検知されると、その故障の程度に応じてリアクション動作が決定される。例えばインジェクタへの通電停止が必要な重故障と診断されると、通電を停止する。その後にドライバがイグニションをオフするとき、故障した第１のプログラムを実行した制御部が停止手順を実行することで停止不能等の状態に陥ることが考えられる。これを回避するため、イグニション・オフの操作に応じてメインリレーの電源を遮断して制御部を完全に緊急停止させることがある。
【００１１】
しかし、かかる緊急停止の事態では制御部の停止前の状態情報をＥＥＰＲＯＭ等の一時退避手段に退避させることができないため、その後にドライバがイグニションをオンするとき、メインリレーの停止異常が検知される。
【００１２】
本発明はまた、第１のプログラムの重故障を検出した第２のプログラムによって実行された重故障における緊急停止動作が、その後の復帰動作において信頼性のある制御装置等の提供を目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために、本発明にかかる車両駆動ユニットの制御装置は、車両の駆動ユニットのエラーを検出する第１のモジュールと、第１のモジュールとは独立且つ併行して駆動ユニットのエラーを検出する第２のモジュールとを実行する制御手段を備えた車両駆動ユニットの制御装置において、第２のモジュールは、第１のモジュールのエラー検出をモニタリングする機能を有し、第１のモジュールが駆動ユニットのエラーを所定時間以上継続して検出するとき、駆動ユニットを停止制御する。
【００１４】
また、第１のモジュールは、駆動ユニットのエラーを検出したとき、エラーステータスと駆動ユニットの状態情報とを生成し、生成されたエラーステータスと状態情報とに基づいて、第２のモジュールは第１のモジュールによるエラー検出の継続時間を判断し、駆動ユニットを停止制御する。
【００１５】
更に、第２のモジュールは、生成されたエラーステータスの継続時間を計測して第１のモジュールによるエラー検出の継続時間を判断する。
【００１６】
更にまた、制御手段を監視する監視手段と、停止時の状態情報を記憶する不揮発メモリとを更に有し、駆動ユニットへの通電停止が必要な重故障が制御手段に生じたとき、監視手段は、駆動ユニットへ電力を供給するメインリレーを緊急停止する。
【００１７】
上記課題を解決するために、本発明にかかる車両駆動ユニットの制御方法は、車両の駆動ユニットのエラーを検出する第１のモジュールによる第１のエラー検出工程と、第１のエラー検出工程とは独立且つ併行して、駆動ユニットのエラーを検出する第２のモジュールによる第２のエラー検出工程と、第１のエラー検出工程で駆動ユニットのエラーが検出されるとき、第１のモジュールがエラーステータスと駆動ユニットの状態情報とを生成する工程と、生成されたエラーステータスに基づいて、第１のモジュールによるエラー検出の継続時間を第２のモジュールが計測する工程と、計測された継続時間が所定時間を超えるとき、第１のモジュールが駆動ユニットを停止制御する工程とを有する。
【００１８】
また、計測された継続時間が所定時間を超えないとき、駆動ユニットへの通電停止が必要な重故障を第２のモジュールが検出する工程と、重故障が検出されたとき、駆動ユニットへ電力を供給するメインリレーを第２のモジュールが緊急停止する工程とを有する。
【００１９】
更に、メインリレーを緊急停止する工程は、緊急停止の処理が正常に終了した旨を不揮発メモリに記録する工程を含む。
【発明の効果】
【００２０】
上記構成によれば、第１のモジュールが駆動ユニットのエラーを所定時間以上継続して検出するとき、第２のモジュールは駆動ユニットを停止制御するので、エラー検出の信頼性向上を図った制御装置等を提供できる。
【００２１】
また、駆動ユニットへの通電停止が必要な重故障が生じたとき、監視手段は駆動ユニットへ電力を供給するメインリレーを緊急停止し、不揮発メモリは停止時の状態情報を記憶するので、重故障における停止動作が、その後の復帰動作において信頼性のある制御装置等を提供できる。
【図面の簡単な説明】
【００２２】
【図１】本実施形態における制御装置全体のブロック図を示す。
【図２】図１に開示された制御装置で実行される制御方法のフローチャートである。
【図３】図２の重故障時の緊急停止制御工程の詳細を示すフローチャートである。
【発明を実施するための形態】
【００２３】
（制御装置の構成）
図１は、車両の駆動ユニット（電子制御のエンジン）の制御装置１全体のブロック図を示す。
制御装置１は、出力制御やエラー検出を実行する制御手段の一例としての制御部１０と、制御部１０を監視する監視手段の一例としての監視部７０とを有する。また、制御装置１は、ライン７２を介して監視部７０が接続する出力段回路８０を有する。出力段回路８０は、ライン８２を介して制御装置１の外部の絞り弁設定要素１２０などの外部ユニットに接続している。出力段回路８０は、切替モジュール４６からの出力を受けて、インジェクタ（図示省略）への通電信号を生成する。更に、制御装置１は、停止時の状態情報を記憶する、不揮発メモリの一例としてのＥＥＰＲＯＭ９０に接続している。
【００２４】
（制御部）
制御部１０は、アクセルペダル等のドライバによる操作（ペダル位置）を測定する測定装置（位置センサ）１０２を制御装置１に入力する入力ライン１１０に接続される。また、制御部１０は、エンジン温度やエンジン負荷、エンジンの回転速度１０４やタイヤの回転速度１０６等の測定値を制御装置１に入力するバス系統の入力ライン１１２に接続される。
【００２５】
更に、制御部１０は、測定装置１２４で測定される空気供給量（電気操作式絞り弁の位置）が入力される入力ライン１２６に接続されて構成される。入力ライン１１０，１１２，１２６はそれぞれ、互いに独立した２つの入力ポート２１ａ〜２１ｃ，３１ａ〜３１ｃから制御部１０に入力される。２つの入力ポート２１ａ〜２１ｃ，３１ａ〜３１ｃはそれぞれ、後述する第１のレベルモジュール２０及び第２のレベルモジュール３０への入力ポートとなっている。
【００２６】
制御部１０は、インジェクタ（不図示）の点火時期制御を行う出力ライン２２ａ，３２ａ、燃料供給制御を行う出力ライン２２ｂ，３２ｂ、空気供給制御を行う出力ライン２２ｃ，３２ｃに接続されて構成される。図１では、これら制御用の３つの出力ラインを１本にまとめてそれぞれ出力ライン２２，３２と表示する。
制御部１０は、ライン５６を介して監視部７０に接続している。
【００２７】
制御部１０は、例えばマイクロコンピュータ（ＣＰＵ）で構成される。
制御部１０は、出力制御モジュール２０ａとエラー検出モジュール２０ｂとを実行する第１のレベルモジュール２０と、第１のレベルモジュール２０に対して独立し且つ併行して出力制御モジュール３０ａとエラー検出モジュール３０ｂとを実行する第２のレベルモジュール３０とを有する。第２のレベルモジュール３０は、第１のレベルモジュール２０をモニタリングするモニタリングモジュール３０ｃも実行する。
【００２８】
制御部１０は、第１のレベルモジュール２０の出力及び第２のレベルモジュール３０の出力を受けて、いずれか一方の値を出力する選択モジュール４０を有する。本実施形態の要求トルク計算の場合、選択モジュール４０は、第１のレベルモジュール２０の出力（計算された要求トルク）及び第２のレベルモジュール３０の出力（計算された要求トルク）のうちいずれか低い方の値を出力する。
【００２９】
また、制御部１０は、外部からフィードバックされた測定値を第２のレベルモジュール３０の出力と比較する比較モジュール４２を有する。本実施形態の要求トルク計算の場合、比較モジュール４２は、例えばインジェクタ（不図示）への通電時間から実トルク計算モジュール４８（後述）において計算される実効トルクを、第２のレベルモジュール３０が出力する要求トルクの計算値と比較する。
【００３０】
更に、制御部１０は、選択モジュール４０の出力及び比較モジュール４２の出力のいずれか一方を出力する切替モジュール４６を有する。切替モジュール４６は、例えば異常発生時に出力段回路８０を介してインジェクタ（不図示）への通電を停止する。
更にまた、制御部１０は、出力段回路８０が生成する通電信号（通電時間）に基づいて実効トルクを計算する実トルク計算モジュール４８を有する。
【００３１】
（監視部）
監視部７０は、例えばマイクロコンピュータ（ＣＰＵ）で構成される。監視部７０は、ライン５６を介して入力される比較モジュール４２の出力に基づいて、制御部１０の制御プログラムの状態を監視する。
また、監視部７０は、ライン７２を介して出力段回路８０に接続している。監視部７０は、重故障（後述）発生時の最終的な停止手段として機能する。監視部７０は、必要に応じてライン７２を介して制御部１０をリセットし、出力段回路８０から外部への信号の出力を停止する。
【００３２】
以上の構成を有する制御装置１の機能を以下に説明する。
制御部１０内では、第１のレベルモジュール２０及び第２のレベルモジュール３０が、駆動ユニットの出力制御やエラー検出を実行する制御プログラムを併行して実行している。第１のレベルモジュール２０が主となって制御プログラムを実行する。具体的には、例えば１０ｍｓｅｃの計算サイクルで駆動ユニットを制御する制御プログラムを実行する。
【００３３】
これに対して、第２のレベルモジュール３０は、従となって制御プログラムを実行すると共に、第１のレベルモジュール２０のエラー検出のモニタリングを行う。制御部１０内の計算負荷軽減を目的として、第２のレベルモジュール３０の計算サイクルは、第１のレベルモジュール２０の計算サイクルよりも低く設定される。具体的には、例えば４０ｍｓｅｃである。
【００３４】
駆動ユニットの出力制御は、具体的には、点火時期制御、燃料供給制御、空気供給制御である。例えば、アクセルペダルの位置センサ１０２によって測定されたペダル位置が入力ライン１１０、入力ポート２１ａ、３１ａを介して入力される。測定装置１０４によって測定されたエンジン温度やエンジン負荷、エンジン回転速度等の測定値が入力ライン１１２、入力ポート２１ｂ、３１ｂを介して入力される。或いは、測定装置１２４によって測定された電子操作式絞り弁の位置（空気供給量）が入力ライン１２６、入力ポート２１ｃ、３１ｃを介して入力される。
【００３５】
これらの測定値に基づいて、調節すべき点火時期及び供給すべき燃料供給量が決定され、出力ライン２２ａ，３２ａ及び２２ｂ，３２ｂを介して出力される。また、空気供給量の目標値（絞り弁の位置の目標値）が決定されて、出力ライン２２ｃ，３２ｃを介して出力され、駆動ユニットの空気供給制御が実行される。
【００３６】
駆動ユニットのエラー検出は、具体的には、装置の出力値を入力値と比較して偏差がある場合にエラーを検出する。例えば、アクセルペダルの位置センサ１０２によって測定されたペダル位置と、対応する空気供給量や燃料供給量、エンジン負荷との間に偏差がある場合、エラーが検出される。或いは、空気供給量の目標値（絞り弁の位置の目標値）と、測定装置１２４から入力ライン１２６を介して供給される絞り弁の実際の位置との間に偏差がある場合、エラーが検出される。更に、アクセルペダルの位置センサ１０２の出力に基づいてエラーが検出される。
【００３７】
（エラー検出のモニタリング）
第２のレベルモジュール３０は、第１のレベルモジュール２０によるエラー検出をモニタリングしている。具体的には、第１のレベルモジュール２０と第２のレベルモジュール３０とが互いに独立して併行してエラー検出を実行し、第１のレベルモジュール２０のエラー検出結果が正常であるかを第２のレベルモジュール３０のモニタリングモジュール３０ｃが監視している。
【００３８】
ＥＣＵの故障等で第１のレベルモジュール２０がエラー検出できない場合に第２のレベルモジュール３０がエラー検出できるよう、パラメータが設定される。具体的には、第１のレベルモジュール２０は、第２のレベルモジュール３０に比して、閾値や診断時間が小さい値に設定される。
【００３９】
第１のレベルモジュール２０がエラー検出すると、第１のレベルモジュール２０のエラー検出モジュール２０ｂは、エラーステータスと、状態情報の一例としてのアクセル開度とを生成し、第２のレベルモジュール３０のモニタリングモジュール３０ｃに送る。エラーステータスとアクセル開度とを受けて、第２のレベルモジュール３０は、アクセル開度が第１のレベルモジュール２０と同一になる。従って、通常は、エラー検出の結果に乖離が生じることがない。
【００４０】
かかる構成で、例えば検出時間カウンタの不良等の理由により第１のレベルモジュール２０でエラー検出を確定できない場合、同一のアクセル開度を有する第２のレベルモジュール３０でもエラーを検出できない事態が生じる。このような事態の発生を未然に回避するために、第１のレベルモジュール２０がエラー検出して第２のレベルモジュール３０に送るエラーステータスが、第２のレベルモジュール３０において所定時間以上継続して検出されるとき、第２のレベルモジュール３０はエラーを検出する構成としている。所定時間は、例えば５００ｍｓｅｃである。
【００４１】
以上の構成を有する駆動ユニットの制御装置１における制御方法を、アクセル診断を例にして以下に説明する。
図２は、図１に開示された制御装置１で実行される制御方法のフローチャートである。
【００４２】
定常状態において、アクセルペダルの位置センサ１０２が測定したペダル位置情報は、入力ライン１１０、入力ポート２１ａ，３１ａを介して第１のレベルモジュール２０及び第２のレベルモジュール３０に互いに独立に送られる。本実施形態におけるアクセル診断では、アクセルペダルには互いに独立した２つの位置センサ１０２（図１）が、互いに独立した２つのペダル位置情報ＡＰＰ１，ＡＰＰ２を出力し、ペダル位置情報ＡＰＰ１，ＡＰＰ２はそれぞれ第１のレベルモジュール２０及び第２のレベルモジュール３０に送られる。
【００４３】
入力ライン１１０，１１２等を介して入力される各種の測定値に基づいて、第１のレベルモジュール２０は、駆動ユニットの出力制御を実行し（ステップ１０１）、エラー検出を実行する（ステップ１０２）。アクセル診断では、入力ライン１１０、入力ポート２１ａを介して入力されたペダル位置情報ＡＰＰ１と、入力ライン１１２，１２６、入力ポート２１ｂ，２１ｃを介して入力された空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいて、駆動ユニットの出力制御を実行し、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間で相互診断して、エラー検出を実行する。具体的には、例えば、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２に乖離があった場合にエラーがあると判断する。
エラーを検出しないとき（ステップ１０３：Ｎ）、第１のレベルモジュール２０は出力制御工程（ステップ１０１）へ戻る。
【００４４】
これに対して、第１のレベルモジュール２０がエラーを検出するとき（ステップ１０３：Ｙ）、第１のレベルモジュール２０は、エラーステータスと、状態情報の一例としてのアクセル開度とを生成する（ステップ１０４）。生成されたエラーステータスとアクセル開度とは、第２のレベルモジュール３０に対して割り込み送信される。
【００４５】
続いて、第１のレベルモジュール２０は、エラーの検出結果を確定させる（ステップ１０５）。具体的には、第１のレベルモジュール２０は、エラーステータスの生成を停止する。そして、アクセル開度に基づいて、第１のレベルモジュール２０におけるアクセルペダルのペダル位置情報ＡＰＰ１，ＡＰＰ２の相互診断ロジックが故障しているとして扱い、通常の停止制御工程（ステップ１０６）へ移行する。
【００４６】
通常の停止制御工程（ステップ１０６）では、第１のレベルモジュール２０がメインリレーの診断やエラー情報の退避等を含む通常の停止工程を一括して行い、第１のレベルモジュール２０が選択モジュール４０に対して停止信号を出力し、切替モジュール４６と出力段回路８０とを介してインジェクタ（不図示）への通電を停止し、正常に終了した旨を示すフラグをＥＥＰＲＯＭ９０へ書き込み、停止する。
【００４７】
一方、第２のレベルモジュール３０においても同様に、第１のレベルモジュール２０による出力制御工程（ステップ１０１）及びエラー検出工程（ステップ１０２）の実行と併行して、ペダル位置情報ＡＰＰ１と、空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいた駆動ユニットの出力制御工程（ステップ２０１）、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間の相互診断によるエラー検出工程（ステップ２０２）を実行する。
【００４８】
第１のレベルモジュール２０によるエラーステータスとアクセル開度の生成（ステップ１０４）に基づく割込みがない限り（ステップ２０４：Ｎ）、第２のレベルモジュール３０は、出力制御工程（ステップ２０１）及びエラー検出工程（ステップ２０２）を繰り返し実行する。このとき、従となる第２のレベルモジュール３０の実行サイクルは、主となる第１のレベルモジュール２０の計算サイクルよりも、長く設定される。
【００４９】
これに対して、第１のレベルモジュール２０によるエラーステータスとアクセル開度の生成（ステップ１０４）に基づく割込みがある場合（ステップ２０４：Ｙ）、生成されたエラーステータスに基づいて、第２のレベルモジュール３０は、第１のレベルモジュール２０によるエラー検出の継続時間を計測する（ステップ２０５）。
【００５０】
計測した継続時間が所定時間を超えるとき（ステップ２０６：Ｙ）、インジェクタへの通電の緊急停止が必要なＥＣＵの重故障であるとして扱われ、重故障時の緊急停止制御工程（ステップ２０８）へ移行する。重故障時の緊急停止制御工程の詳細は、別途記載する。
【００５１】
これに対して、継続時間が所定時間を経過していないとき（ステップ２０６：Ｎ）、ステップ２０２にて第２のレベルモジュール３０が実行した２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間の相互診断によるエラー検出の結果を流用する。即ち、ペダル位置情報ＡＰＰ１と、空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいて実行されたエラー検出の結果、エラーが検出されないときは（ステップ２０７：Ｎ）、第１のレベルモジュール２０による未確定のエラー検出結果だけに基づいて、ＥＣＵの故障と扱うことはせず、ＥＣＵの故障はないものとして扱う。そして、エラー検出の継続時間計測工程（ステップ２０５）へ戻る。
【００５２】
一方、エラーが検出されるとき（ステップ２０７：Ｙ）、第２のレベルモジュール３０は、インジェクタ（不図示）への通電を止める等の重故障時の緊急停止制御工程（ステップ２０８）を実行する。その後、完全停止する（ステップ２０９）。
【００５３】
尚、上記したエラー検出の継続時間を計測する工程（ステップ２０５）は、第１のレベルモジュール２０によってエラーステータスが生成される時間を計測する方法、即ち、第１のレベルモジュール２０が最初にエラーステータスを生成した時間からの経過時間を計測する方法でも良いし、計算サイクル毎に第１のレベルモジュール２０が生成するエラーステータスの生成回数を計測する方法でも良い。
【００５４】
（重故障時の緊急停止制御工程）
次に、比較モジュール４２で実行されるＥＣＵの重故障時の緊急停止制御工程（ステップ２０８）を、図３を用いて説明する。
図３は、図２の重故障時の緊急停止制御工程の詳細を示すフローチャートである。
【００５５】
ステップ２０５で計測した継続時間が所定時間を越えるとき（ステップ２０６：Ｙ）、或いは、相互診断の結果エラーがあると判断されたとき（ステップ２０７：Ｙ）、イグニション（不図示）がオン状態であるか否かが判断される（ステップ３０１）。
イグニションがオン状態でないとき（ステップ３０１：Ｎ）、第２のレベルモジュール３０は比較モジュール４２に対して停止信号を出力し、比較モジュール４２は監視部７０に対して緊急停止信号を出力し、監視部７０はメインリレー１３０への給電を遮断する（ステップ３０２）。そして、後述する書き込み工程へ移行する（ステップ３０３）。
【００５６】
これに対して、イグニションがオン状態であるとき（ステップ３０１：Ｙ）、書き込み工程へ移行する（ステップ３０３）。
【００５７】
書き込み工程（ステップ３０３）では、重故障時の緊急停止制御工程がすべて終了したことを示すフラグを、第２のレベルモジュール３０がＥＥＰＲＯＭ９０に書き込む。そして、重故障時の緊急停止制御工程のサブルーチンを終了して、図２に示す本来のフローチャートに戻る。
【００５８】
図２及び３に示すフローチャートに従えば、第１のレベルモジュール２０においてエラーが確定すれば（ステップ１０５）、第２のレベルモジュール３０よりも計算サイクルが短い第１のレベルモジュール２０が通常の停止制御（ステップ１０６）を実行する。
しかし、なんらかの理由により、通常の停止制御が実行されず所定時間が経過したとき（ステップ２０６：Ｙ）や相互診断の結果エラーがあると判断されたとき（ステップ２０７：Ｙ）、第２のレベルモジュール３０が緊急停止制御を実行する（ステップ２０８）。
【００５９】
第１のレベルモジュール２０と第２のレベルモジュール３０とを実行する制御部１０を備えた制御装置１において、第２のレベルモジュール３０は第１のレベルモジュール２０のエラー検出をモニタリングし、第１のレベルモジュール２０が駆動ユニットのエラーを所定時間以上継続して検出するとき、第２のレベルモジュール３０は駆動ユニットを緊急停止制御するので、制御装置１におけるエラー検出の信頼性向上を図ることが可能となる。
【００６０】
また、第１のレベルモジュール２０によって生成されたエラーステータスと状態情報とに基づいて、第２のレベルモジュール３０は第１のレベルモジュール２０によるエラー検出の継続時間を判断し、生成されたエラーステータスの継続時間を計測し、計測された継続時間が所定時間を超えるとき駆動ユニットを緊急停止制御するので、より信頼性の高い停止制御が可能となる。
【００６１】
更にまた、制御部１０を監視する監視部７０と、停止時の状態情報を記憶するＥＥＰＲＯＭ９０とを更に有し、駆動ユニットへの通電停止が必要な重故障が制御部１０に生じたとき、監視部７０は、駆動ユニットへ電力を供給するメインリレー１３０を緊急停止し、ＥＥＰＲＯＭ９０は停止時の状態情報を記憶するので、重故障における緊急停止動作が、その後の復帰動作を信頼性のあるものとできる。
【符号の説明】
【００６２】
１…制御装置、１０…制御部、２０…第１のレベルモジュール、３０…第２のレベルモジュール、１３０…メインリレー
【技術分野】
【０００１】
本発明は、車両の駆動ユニットの制御装置及び制御方法に関する。
【背景技術】
【０００２】
車両の駆動ユニットの制御装置及び制御方法に関し、特に、駆動ユニットの故障時のエラー検出に関する先行技術として、例えば、出力制御のために、制御機能およびモニタリング機能を実行するためのただ１つの計算要素（マイクロコンピュータ）のみが設けられ、マイクロコンピュータ内に相互に独立の少なくとも２つのレベルが設けられ、ここで第１のレベルは制御機能を実行し、第２のレベルはモニタリング機能を実行する公報開示の技術がある（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表平１０−５０７８０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
信頼性向上のために、車両の駆動ユニットのエラー検出を単一の制御部上で、互いに独立した２つのプログラム（第１のプログラムと第２のプログラム）を併行して実行することがある。この場合、２つのプログラムで異なるパラメータを用いることもある。例えば、第１のプログラムが主となるプログラムとしてエラー検出を担当し、ＥＣＵ（エンジン・コントロール・ユニット）の故障などで第１のプログラムでエラー検出を確定できない場合に、従となる第２のプログラムがエラー検出する。このとき、主となる第１のプログラムの計算サイクルが短くなるように、閾値やエラー検出サイクルに関して第１のプログラムと第２のプログラムとで異なるパラメータが設定される。
【０００５】
第１のプログラムが主となり第２のプログラムが従となって独立して併行してエラー検出を行うと共に、第２のプログラムが第１のプログラムによるエラー検出をモニタリングする構成も考えられる。例えば、主となる第１のプログラムが短い計算サイクルでエラー検出を実行し、従となる第２のプログラムがより長い計算サイクルでエラー検出を実行するとともにモニタリングも実行する構成である。
【０００６】
しかし、かかる構成では、第１のプログラムと第２のプログラムとの間で判断に乖離が生じることがある。例えば、計算サイクルが短い第１のプログラムでは、最新の状態情報に基づいてエラーを検出しているが、計算サイクルが長い第２のプログラムでは、第１のプログラムで使用する状態情報よりも古い状態情報に基づいて処理を行うので、エラーを検出していないという状態が生じる。かかる場合に、第１のプログラムが正常であった前回の状態情報を保持する等のエラー回避動作を実行するが、第２のプログラムはエラーを検出しない状態のままであり、両者の間で判断に乖離が生じる。この結果、第１のプログラムによるエラー検出後の回避動作に対して、第２のプログラムのモニタリング機能が働いて、第１のプログラムによる回避動作が制限される事態、或いは、第１のプログラムによるエラー回避動作が正常ではないと判断される事態が生じる。
【０００７】
かかる事態を回避する方法として、例えば、第１のプログラムによる計算サイクルと第２のプログラムによるモニタリングサイクルとに差を設け、後者を前者より充分に長く設定する方法があり、これによりかかる事態を容易に回避できる。しかし、他の安全上の制限により、サイクルタイムの変更は、実施が困難である。更に、サイクルタイムの設定を車両ごとに設定するという回避方法も考えられるが、現実的でない。
【０００８】
他の回避方法として、例えば、第１のプログラムと第２のプログラムとの間で状態情報を強制的に一致させる方法も考えられる。しかし、例えば、検出時間カウンタが不良の場合等、不良の状態情報に基づいて第１のプログラムのエラー検出処理に不良が生じた場合、第１のプログラムと第２のプログラムとで状態情報を一致させるので、第２のプログラム側もエラーを確定できない。
【０００９】
本発明は、車両の駆動ユニットの制御を単一の制御部上で、互いに独立した２つのプログラムを併行して実行する場合のエラー検出の信頼性向上を図った制御装置等の提供を目的とする。
【００１０】
また、第２のプログラムのモニタリングによって第１のプログラムの故障等が検知されると、その故障の程度に応じてリアクション動作が決定される。例えばインジェクタへの通電停止が必要な重故障と診断されると、通電を停止する。その後にドライバがイグニションをオフするとき、故障した第１のプログラムを実行した制御部が停止手順を実行することで停止不能等の状態に陥ることが考えられる。これを回避するため、イグニション・オフの操作に応じてメインリレーの電源を遮断して制御部を完全に緊急停止させることがある。
【００１１】
しかし、かかる緊急停止の事態では制御部の停止前の状態情報をＥＥＰＲＯＭ等の一時退避手段に退避させることができないため、その後にドライバがイグニションをオンするとき、メインリレーの停止異常が検知される。
【００１２】
本発明はまた、第１のプログラムの重故障を検出した第２のプログラムによって実行された重故障における緊急停止動作が、その後の復帰動作において信頼性のある制御装置等の提供を目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために、本発明にかかる車両駆動ユニットの制御装置は、車両の駆動ユニットのエラーを検出する第１のモジュールと、第１のモジュールとは独立且つ併行して駆動ユニットのエラーを検出する第２のモジュールとを実行する制御手段を備えた車両駆動ユニットの制御装置において、第２のモジュールは、第１のモジュールのエラー検出をモニタリングする機能を有し、第１のモジュールが駆動ユニットのエラーを所定時間以上継続して検出するとき、駆動ユニットを停止制御する。
【００１４】
また、第１のモジュールは、駆動ユニットのエラーを検出したとき、エラーステータスと駆動ユニットの状態情報とを生成し、生成されたエラーステータスと状態情報とに基づいて、第２のモジュールは第１のモジュールによるエラー検出の継続時間を判断し、駆動ユニットを停止制御する。
【００１５】
更に、第２のモジュールは、生成されたエラーステータスの継続時間を計測して第１のモジュールによるエラー検出の継続時間を判断する。
【００１６】
更にまた、制御手段を監視する監視手段と、停止時の状態情報を記憶する不揮発メモリとを更に有し、駆動ユニットへの通電停止が必要な重故障が制御手段に生じたとき、監視手段は、駆動ユニットへ電力を供給するメインリレーを緊急停止する。
【００１７】
上記課題を解決するために、本発明にかかる車両駆動ユニットの制御方法は、車両の駆動ユニットのエラーを検出する第１のモジュールによる第１のエラー検出工程と、第１のエラー検出工程とは独立且つ併行して、駆動ユニットのエラーを検出する第２のモジュールによる第２のエラー検出工程と、第１のエラー検出工程で駆動ユニットのエラーが検出されるとき、第１のモジュールがエラーステータスと駆動ユニットの状態情報とを生成する工程と、生成されたエラーステータスに基づいて、第１のモジュールによるエラー検出の継続時間を第２のモジュールが計測する工程と、計測された継続時間が所定時間を超えるとき、第１のモジュールが駆動ユニットを停止制御する工程とを有する。
【００１８】
また、計測された継続時間が所定時間を超えないとき、駆動ユニットへの通電停止が必要な重故障を第２のモジュールが検出する工程と、重故障が検出されたとき、駆動ユニットへ電力を供給するメインリレーを第２のモジュールが緊急停止する工程とを有する。
【００１９】
更に、メインリレーを緊急停止する工程は、緊急停止の処理が正常に終了した旨を不揮発メモリに記録する工程を含む。
【発明の効果】
【００２０】
上記構成によれば、第１のモジュールが駆動ユニットのエラーを所定時間以上継続して検出するとき、第２のモジュールは駆動ユニットを停止制御するので、エラー検出の信頼性向上を図った制御装置等を提供できる。
【００２１】
また、駆動ユニットへの通電停止が必要な重故障が生じたとき、監視手段は駆動ユニットへ電力を供給するメインリレーを緊急停止し、不揮発メモリは停止時の状態情報を記憶するので、重故障における停止動作が、その後の復帰動作において信頼性のある制御装置等を提供できる。
【図面の簡単な説明】
【００２２】
【図１】本実施形態における制御装置全体のブロック図を示す。
【図２】図１に開示された制御装置で実行される制御方法のフローチャートである。
【図３】図２の重故障時の緊急停止制御工程の詳細を示すフローチャートである。
【発明を実施するための形態】
【００２３】
（制御装置の構成）
図１は、車両の駆動ユニット（電子制御のエンジン）の制御装置１全体のブロック図を示す。
制御装置１は、出力制御やエラー検出を実行する制御手段の一例としての制御部１０と、制御部１０を監視する監視手段の一例としての監視部７０とを有する。また、制御装置１は、ライン７２を介して監視部７０が接続する出力段回路８０を有する。出力段回路８０は、ライン８２を介して制御装置１の外部の絞り弁設定要素１２０などの外部ユニットに接続している。出力段回路８０は、切替モジュール４６からの出力を受けて、インジェクタ（図示省略）への通電信号を生成する。更に、制御装置１は、停止時の状態情報を記憶する、不揮発メモリの一例としてのＥＥＰＲＯＭ９０に接続している。
【００２４】
（制御部）
制御部１０は、アクセルペダル等のドライバによる操作（ペダル位置）を測定する測定装置（位置センサ）１０２を制御装置１に入力する入力ライン１１０に接続される。また、制御部１０は、エンジン温度やエンジン負荷、エンジンの回転速度１０４やタイヤの回転速度１０６等の測定値を制御装置１に入力するバス系統の入力ライン１１２に接続される。
【００２５】
更に、制御部１０は、測定装置１２４で測定される空気供給量（電気操作式絞り弁の位置）が入力される入力ライン１２６に接続されて構成される。入力ライン１１０，１１２，１２６はそれぞれ、互いに独立した２つの入力ポート２１ａ〜２１ｃ，３１ａ〜３１ｃから制御部１０に入力される。２つの入力ポート２１ａ〜２１ｃ，３１ａ〜３１ｃはそれぞれ、後述する第１のレベルモジュール２０及び第２のレベルモジュール３０への入力ポートとなっている。
【００２６】
制御部１０は、インジェクタ（不図示）の点火時期制御を行う出力ライン２２ａ，３２ａ、燃料供給制御を行う出力ライン２２ｂ，３２ｂ、空気供給制御を行う出力ライン２２ｃ，３２ｃに接続されて構成される。図１では、これら制御用の３つの出力ラインを１本にまとめてそれぞれ出力ライン２２，３２と表示する。
制御部１０は、ライン５６を介して監視部７０に接続している。
【００２７】
制御部１０は、例えばマイクロコンピュータ（ＣＰＵ）で構成される。
制御部１０は、出力制御モジュール２０ａとエラー検出モジュール２０ｂとを実行する第１のレベルモジュール２０と、第１のレベルモジュール２０に対して独立し且つ併行して出力制御モジュール３０ａとエラー検出モジュール３０ｂとを実行する第２のレベルモジュール３０とを有する。第２のレベルモジュール３０は、第１のレベルモジュール２０をモニタリングするモニタリングモジュール３０ｃも実行する。
【００２８】
制御部１０は、第１のレベルモジュール２０の出力及び第２のレベルモジュール３０の出力を受けて、いずれか一方の値を出力する選択モジュール４０を有する。本実施形態の要求トルク計算の場合、選択モジュール４０は、第１のレベルモジュール２０の出力（計算された要求トルク）及び第２のレベルモジュール３０の出力（計算された要求トルク）のうちいずれか低い方の値を出力する。
【００２９】
また、制御部１０は、外部からフィードバックされた測定値を第２のレベルモジュール３０の出力と比較する比較モジュール４２を有する。本実施形態の要求トルク計算の場合、比較モジュール４２は、例えばインジェクタ（不図示）への通電時間から実トルク計算モジュール４８（後述）において計算される実効トルクを、第２のレベルモジュール３０が出力する要求トルクの計算値と比較する。
【００３０】
更に、制御部１０は、選択モジュール４０の出力及び比較モジュール４２の出力のいずれか一方を出力する切替モジュール４６を有する。切替モジュール４６は、例えば異常発生時に出力段回路８０を介してインジェクタ（不図示）への通電を停止する。
更にまた、制御部１０は、出力段回路８０が生成する通電信号（通電時間）に基づいて実効トルクを計算する実トルク計算モジュール４８を有する。
【００３１】
（監視部）
監視部７０は、例えばマイクロコンピュータ（ＣＰＵ）で構成される。監視部７０は、ライン５６を介して入力される比較モジュール４２の出力に基づいて、制御部１０の制御プログラムの状態を監視する。
また、監視部７０は、ライン７２を介して出力段回路８０に接続している。監視部７０は、重故障（後述）発生時の最終的な停止手段として機能する。監視部７０は、必要に応じてライン７２を介して制御部１０をリセットし、出力段回路８０から外部への信号の出力を停止する。
【００３２】
以上の構成を有する制御装置１の機能を以下に説明する。
制御部１０内では、第１のレベルモジュール２０及び第２のレベルモジュール３０が、駆動ユニットの出力制御やエラー検出を実行する制御プログラムを併行して実行している。第１のレベルモジュール２０が主となって制御プログラムを実行する。具体的には、例えば１０ｍｓｅｃの計算サイクルで駆動ユニットを制御する制御プログラムを実行する。
【００３３】
これに対して、第２のレベルモジュール３０は、従となって制御プログラムを実行すると共に、第１のレベルモジュール２０のエラー検出のモニタリングを行う。制御部１０内の計算負荷軽減を目的として、第２のレベルモジュール３０の計算サイクルは、第１のレベルモジュール２０の計算サイクルよりも低く設定される。具体的には、例えば４０ｍｓｅｃである。
【００３４】
駆動ユニットの出力制御は、具体的には、点火時期制御、燃料供給制御、空気供給制御である。例えば、アクセルペダルの位置センサ１０２によって測定されたペダル位置が入力ライン１１０、入力ポート２１ａ、３１ａを介して入力される。測定装置１０４によって測定されたエンジン温度やエンジン負荷、エンジン回転速度等の測定値が入力ライン１１２、入力ポート２１ｂ、３１ｂを介して入力される。或いは、測定装置１２４によって測定された電子操作式絞り弁の位置（空気供給量）が入力ライン１２６、入力ポート２１ｃ、３１ｃを介して入力される。
【００３５】
これらの測定値に基づいて、調節すべき点火時期及び供給すべき燃料供給量が決定され、出力ライン２２ａ，３２ａ及び２２ｂ，３２ｂを介して出力される。また、空気供給量の目標値（絞り弁の位置の目標値）が決定されて、出力ライン２２ｃ，３２ｃを介して出力され、駆動ユニットの空気供給制御が実行される。
【００３６】
駆動ユニットのエラー検出は、具体的には、装置の出力値を入力値と比較して偏差がある場合にエラーを検出する。例えば、アクセルペダルの位置センサ１０２によって測定されたペダル位置と、対応する空気供給量や燃料供給量、エンジン負荷との間に偏差がある場合、エラーが検出される。或いは、空気供給量の目標値（絞り弁の位置の目標値）と、測定装置１２４から入力ライン１２６を介して供給される絞り弁の実際の位置との間に偏差がある場合、エラーが検出される。更に、アクセルペダルの位置センサ１０２の出力に基づいてエラーが検出される。
【００３７】
（エラー検出のモニタリング）
第２のレベルモジュール３０は、第１のレベルモジュール２０によるエラー検出をモニタリングしている。具体的には、第１のレベルモジュール２０と第２のレベルモジュール３０とが互いに独立して併行してエラー検出を実行し、第１のレベルモジュール２０のエラー検出結果が正常であるかを第２のレベルモジュール３０のモニタリングモジュール３０ｃが監視している。
【００３８】
ＥＣＵの故障等で第１のレベルモジュール２０がエラー検出できない場合に第２のレベルモジュール３０がエラー検出できるよう、パラメータが設定される。具体的には、第１のレベルモジュール２０は、第２のレベルモジュール３０に比して、閾値や診断時間が小さい値に設定される。
【００３９】
第１のレベルモジュール２０がエラー検出すると、第１のレベルモジュール２０のエラー検出モジュール２０ｂは、エラーステータスと、状態情報の一例としてのアクセル開度とを生成し、第２のレベルモジュール３０のモニタリングモジュール３０ｃに送る。エラーステータスとアクセル開度とを受けて、第２のレベルモジュール３０は、アクセル開度が第１のレベルモジュール２０と同一になる。従って、通常は、エラー検出の結果に乖離が生じることがない。
【００４０】
かかる構成で、例えば検出時間カウンタの不良等の理由により第１のレベルモジュール２０でエラー検出を確定できない場合、同一のアクセル開度を有する第２のレベルモジュール３０でもエラーを検出できない事態が生じる。このような事態の発生を未然に回避するために、第１のレベルモジュール２０がエラー検出して第２のレベルモジュール３０に送るエラーステータスが、第２のレベルモジュール３０において所定時間以上継続して検出されるとき、第２のレベルモジュール３０はエラーを検出する構成としている。所定時間は、例えば５００ｍｓｅｃである。
【００４１】
以上の構成を有する駆動ユニットの制御装置１における制御方法を、アクセル診断を例にして以下に説明する。
図２は、図１に開示された制御装置１で実行される制御方法のフローチャートである。
【００４２】
定常状態において、アクセルペダルの位置センサ１０２が測定したペダル位置情報は、入力ライン１１０、入力ポート２１ａ，３１ａを介して第１のレベルモジュール２０及び第２のレベルモジュール３０に互いに独立に送られる。本実施形態におけるアクセル診断では、アクセルペダルには互いに独立した２つの位置センサ１０２（図１）が、互いに独立した２つのペダル位置情報ＡＰＰ１，ＡＰＰ２を出力し、ペダル位置情報ＡＰＰ１，ＡＰＰ２はそれぞれ第１のレベルモジュール２０及び第２のレベルモジュール３０に送られる。
【００４３】
入力ライン１１０，１１２等を介して入力される各種の測定値に基づいて、第１のレベルモジュール２０は、駆動ユニットの出力制御を実行し（ステップ１０１）、エラー検出を実行する（ステップ１０２）。アクセル診断では、入力ライン１１０、入力ポート２１ａを介して入力されたペダル位置情報ＡＰＰ１と、入力ライン１１２，１２６、入力ポート２１ｂ，２１ｃを介して入力された空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいて、駆動ユニットの出力制御を実行し、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間で相互診断して、エラー検出を実行する。具体的には、例えば、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２に乖離があった場合にエラーがあると判断する。
エラーを検出しないとき（ステップ１０３：Ｎ）、第１のレベルモジュール２０は出力制御工程（ステップ１０１）へ戻る。
【００４４】
これに対して、第１のレベルモジュール２０がエラーを検出するとき（ステップ１０３：Ｙ）、第１のレベルモジュール２０は、エラーステータスと、状態情報の一例としてのアクセル開度とを生成する（ステップ１０４）。生成されたエラーステータスとアクセル開度とは、第２のレベルモジュール３０に対して割り込み送信される。
【００４５】
続いて、第１のレベルモジュール２０は、エラーの検出結果を確定させる（ステップ１０５）。具体的には、第１のレベルモジュール２０は、エラーステータスの生成を停止する。そして、アクセル開度に基づいて、第１のレベルモジュール２０におけるアクセルペダルのペダル位置情報ＡＰＰ１，ＡＰＰ２の相互診断ロジックが故障しているとして扱い、通常の停止制御工程（ステップ１０６）へ移行する。
【００４６】
通常の停止制御工程（ステップ１０６）では、第１のレベルモジュール２０がメインリレーの診断やエラー情報の退避等を含む通常の停止工程を一括して行い、第１のレベルモジュール２０が選択モジュール４０に対して停止信号を出力し、切替モジュール４６と出力段回路８０とを介してインジェクタ（不図示）への通電を停止し、正常に終了した旨を示すフラグをＥＥＰＲＯＭ９０へ書き込み、停止する。
【００４７】
一方、第２のレベルモジュール３０においても同様に、第１のレベルモジュール２０による出力制御工程（ステップ１０１）及びエラー検出工程（ステップ１０２）の実行と併行して、ペダル位置情報ＡＰＰ１と、空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいた駆動ユニットの出力制御工程（ステップ２０１）、２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間の相互診断によるエラー検出工程（ステップ２０２）を実行する。
【００４８】
第１のレベルモジュール２０によるエラーステータスとアクセル開度の生成（ステップ１０４）に基づく割込みがない限り（ステップ２０４：Ｎ）、第２のレベルモジュール３０は、出力制御工程（ステップ２０１）及びエラー検出工程（ステップ２０２）を繰り返し実行する。このとき、従となる第２のレベルモジュール３０の実行サイクルは、主となる第１のレベルモジュール２０の計算サイクルよりも、長く設定される。
【００４９】
これに対して、第１のレベルモジュール２０によるエラーステータスとアクセル開度の生成（ステップ１０４）に基づく割込みがある場合（ステップ２０４：Ｙ）、生成されたエラーステータスに基づいて、第２のレベルモジュール３０は、第１のレベルモジュール２０によるエラー検出の継続時間を計測する（ステップ２０５）。
【００５０】
計測した継続時間が所定時間を超えるとき（ステップ２０６：Ｙ）、インジェクタへの通電の緊急停止が必要なＥＣＵの重故障であるとして扱われ、重故障時の緊急停止制御工程（ステップ２０８）へ移行する。重故障時の緊急停止制御工程の詳細は、別途記載する。
【００５１】
これに対して、継続時間が所定時間を経過していないとき（ステップ２０６：Ｎ）、ステップ２０２にて第２のレベルモジュール３０が実行した２つのペダル位置情報ＡＰＰ１，ＡＰＰ２間の相互診断によるエラー検出の結果を流用する。即ち、ペダル位置情報ＡＰＰ１と、空気供給量や燃料供給量、エンジン負荷との間の偏差に基づいて実行されたエラー検出の結果、エラーが検出されないときは（ステップ２０７：Ｎ）、第１のレベルモジュール２０による未確定のエラー検出結果だけに基づいて、ＥＣＵの故障と扱うことはせず、ＥＣＵの故障はないものとして扱う。そして、エラー検出の継続時間計測工程（ステップ２０５）へ戻る。
【００５２】
一方、エラーが検出されるとき（ステップ２０７：Ｙ）、第２のレベルモジュール３０は、インジェクタ（不図示）への通電を止める等の重故障時の緊急停止制御工程（ステップ２０８）を実行する。その後、完全停止する（ステップ２０９）。
【００５３】
尚、上記したエラー検出の継続時間を計測する工程（ステップ２０５）は、第１のレベルモジュール２０によってエラーステータスが生成される時間を計測する方法、即ち、第１のレベルモジュール２０が最初にエラーステータスを生成した時間からの経過時間を計測する方法でも良いし、計算サイクル毎に第１のレベルモジュール２０が生成するエラーステータスの生成回数を計測する方法でも良い。
【００５４】
（重故障時の緊急停止制御工程）
次に、比較モジュール４２で実行されるＥＣＵの重故障時の緊急停止制御工程（ステップ２０８）を、図３を用いて説明する。
図３は、図２の重故障時の緊急停止制御工程の詳細を示すフローチャートである。
【００５５】
ステップ２０５で計測した継続時間が所定時間を越えるとき（ステップ２０６：Ｙ）、或いは、相互診断の結果エラーがあると判断されたとき（ステップ２０７：Ｙ）、イグニション（不図示）がオン状態であるか否かが判断される（ステップ３０１）。
イグニションがオン状態でないとき（ステップ３０１：Ｎ）、第２のレベルモジュール３０は比較モジュール４２に対して停止信号を出力し、比較モジュール４２は監視部７０に対して緊急停止信号を出力し、監視部７０はメインリレー１３０への給電を遮断する（ステップ３０２）。そして、後述する書き込み工程へ移行する（ステップ３０３）。
【００５６】
これに対して、イグニションがオン状態であるとき（ステップ３０１：Ｙ）、書き込み工程へ移行する（ステップ３０３）。
【００５７】
書き込み工程（ステップ３０３）では、重故障時の緊急停止制御工程がすべて終了したことを示すフラグを、第２のレベルモジュール３０がＥＥＰＲＯＭ９０に書き込む。そして、重故障時の緊急停止制御工程のサブルーチンを終了して、図２に示す本来のフローチャートに戻る。
【００５８】
図２及び３に示すフローチャートに従えば、第１のレベルモジュール２０においてエラーが確定すれば（ステップ１０５）、第２のレベルモジュール３０よりも計算サイクルが短い第１のレベルモジュール２０が通常の停止制御（ステップ１０６）を実行する。
しかし、なんらかの理由により、通常の停止制御が実行されず所定時間が経過したとき（ステップ２０６：Ｙ）や相互診断の結果エラーがあると判断されたとき（ステップ２０７：Ｙ）、第２のレベルモジュール３０が緊急停止制御を実行する（ステップ２０８）。
【００５９】
第１のレベルモジュール２０と第２のレベルモジュール３０とを実行する制御部１０を備えた制御装置１において、第２のレベルモジュール３０は第１のレベルモジュール２０のエラー検出をモニタリングし、第１のレベルモジュール２０が駆動ユニットのエラーを所定時間以上継続して検出するとき、第２のレベルモジュール３０は駆動ユニットを緊急停止制御するので、制御装置１におけるエラー検出の信頼性向上を図ることが可能となる。
【００６０】
また、第１のレベルモジュール２０によって生成されたエラーステータスと状態情報とに基づいて、第２のレベルモジュール３０は第１のレベルモジュール２０によるエラー検出の継続時間を判断し、生成されたエラーステータスの継続時間を計測し、計測された継続時間が所定時間を超えるとき駆動ユニットを緊急停止制御するので、より信頼性の高い停止制御が可能となる。
【００６１】
更にまた、制御部１０を監視する監視部７０と、停止時の状態情報を記憶するＥＥＰＲＯＭ９０とを更に有し、駆動ユニットへの通電停止が必要な重故障が制御部１０に生じたとき、監視部７０は、駆動ユニットへ電力を供給するメインリレー１３０を緊急停止し、ＥＥＰＲＯＭ９０は停止時の状態情報を記憶するので、重故障における緊急停止動作が、その後の復帰動作を信頼性のあるものとできる。
【符号の説明】
【００６２】
１…制御装置、１０…制御部、２０…第１のレベルモジュール、３０…第２のレベルモジュール、１３０…メインリレー
【特許請求の範囲】
【請求項１】
車両の駆動ユニットのエラーを検出する第１のモジュールと、当該第１のモジュールとは独立且つ併行して当該駆動ユニットのエラーを検出する第２のモジュールとを実行する制御手段を備えた車両駆動ユニットの制御装置において、
前記第２のモジュールは、前記第１のモジュールのエラー検出をモニタリングする機能を有し、
前記第１のモジュールが前記駆動ユニットのエラーを所定時間以上継続して検出するとき、当該駆動ユニットを停止制御する、車両駆動ユニットの制御装置。
【請求項２】
請求項１に記載の車両駆動ユニットの制御装置において、
前記第１のモジュールは、前記駆動ユニットのエラーを検出したとき、エラーステータスと当該駆動ユニットの状態情報とを生成し、
生成されたエラーステータスと状態情報とに基づいて、前記第２のモジュールは前記第１のモジュールによるエラー検出の継続時間を判断し、前記駆動ユニットを停止制御する、車両駆動ユニットの制御装置。
【請求項３】
請求項２に記載の車両駆動ユニットの制御装置において、
前記第２のモジュールは、生成されたエラーステータスの継続時間を計測して前記第１のモジュールによるエラー検出の継続時間を判断する、車両駆動ユニットの制御装置。
【請求項４】
請求項１に記載の車両駆動ユニットの制御装置において、
前記制御手段を監視する監視手段と、
停止時の状態情報を記憶する不揮発メモリと
を更に有し、
前記駆動ユニットへの通電停止が必要な重故障が前記制御手段に生じたとき、前記監視手段は、当該駆動ユニットへ電力を供給するメインリレーを緊急停止する、車両駆動ユニットの制御装置。
【請求項５】
車両の駆動ユニットのエラーを検出する第１のモジュールによる第１のエラー検出工程と、
前記第１のエラー検出工程とは独立且つ併行して、前記駆動ユニットのエラーを検出する第２のモジュールによる第２のエラー検出工程と、
前記第１のエラー検出工程で前記駆動ユニットのエラーが検出されるとき、前記第１のモジュールがエラーステータスと当該駆動ユニットの状態情報とを生成する工程と、
生成された前記エラーステータスに基づいて、前記第１のモジュールによるエラー検出の継続時間を前記第２のモジュールが計測する工程と、
計測された前記継続時間が所定時間を超えるとき、前記第１のモジュールが前記駆動ユニットを停止制御する工程と
を有する、車両駆動ユニットの制御方法。
【請求項６】
請求項５に記載の車両駆動ユニットの制御方法において、
計測された前記継続時間が所定時間を超えないとき、
前記駆動ユニットへの通電停止が必要な重故障を前記第２のモジュールが検出する工程と、
重故障が検出されたとき、前記駆動ユニットへ電力を供給するメインリレーを前記第２のモジュールが緊急停止する工程と
を有する、車両駆動ユニットの制御方法。
【請求項７】
請求項６に記載の車両駆動ユニットの制御方法において、
前記メインリレーを緊急停止する前記工程は、緊急停止の処理が正常に終了した旨を不揮発メモリに記録する工程を含む、車両駆動ユニットの制御方法。
【請求項１】
車両の駆動ユニットのエラーを検出する第１のモジュールと、当該第１のモジュールとは独立且つ併行して当該駆動ユニットのエラーを検出する第２のモジュールとを実行する制御手段を備えた車両駆動ユニットの制御装置において、
前記第２のモジュールは、前記第１のモジュールのエラー検出をモニタリングする機能を有し、
前記第１のモジュールが前記駆動ユニットのエラーを所定時間以上継続して検出するとき、当該駆動ユニットを停止制御する、車両駆動ユニットの制御装置。
【請求項２】
請求項１に記載の車両駆動ユニットの制御装置において、
前記第１のモジュールは、前記駆動ユニットのエラーを検出したとき、エラーステータスと当該駆動ユニットの状態情報とを生成し、
生成されたエラーステータスと状態情報とに基づいて、前記第２のモジュールは前記第１のモジュールによるエラー検出の継続時間を判断し、前記駆動ユニットを停止制御する、車両駆動ユニットの制御装置。
【請求項３】
請求項２に記載の車両駆動ユニットの制御装置において、
前記第２のモジュールは、生成されたエラーステータスの継続時間を計測して前記第１のモジュールによるエラー検出の継続時間を判断する、車両駆動ユニットの制御装置。
【請求項４】
請求項１に記載の車両駆動ユニットの制御装置において、
前記制御手段を監視する監視手段と、
停止時の状態情報を記憶する不揮発メモリと
を更に有し、
前記駆動ユニットへの通電停止が必要な重故障が前記制御手段に生じたとき、前記監視手段は、当該駆動ユニットへ電力を供給するメインリレーを緊急停止する、車両駆動ユニットの制御装置。
【請求項５】
車両の駆動ユニットのエラーを検出する第１のモジュールによる第１のエラー検出工程と、
前記第１のエラー検出工程とは独立且つ併行して、前記駆動ユニットのエラーを検出する第２のモジュールによる第２のエラー検出工程と、
前記第１のエラー検出工程で前記駆動ユニットのエラーが検出されるとき、前記第１のモジュールがエラーステータスと当該駆動ユニットの状態情報とを生成する工程と、
生成された前記エラーステータスに基づいて、前記第１のモジュールによるエラー検出の継続時間を前記第２のモジュールが計測する工程と、
計測された前記継続時間が所定時間を超えるとき、前記第１のモジュールが前記駆動ユニットを停止制御する工程と
を有する、車両駆動ユニットの制御方法。
【請求項６】
請求項５に記載の車両駆動ユニットの制御方法において、
計測された前記継続時間が所定時間を超えないとき、
前記駆動ユニットへの通電停止が必要な重故障を前記第２のモジュールが検出する工程と、
重故障が検出されたとき、前記駆動ユニットへ電力を供給するメインリレーを前記第２のモジュールが緊急停止する工程と
を有する、車両駆動ユニットの制御方法。
【請求項７】
請求項６に記載の車両駆動ユニットの制御方法において、
前記メインリレーを緊急停止する前記工程は、緊急停止の処理が正常に終了した旨を不揮発メモリに記録する工程を含む、車両駆動ユニットの制御方法。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１２−１３７０３４（Ｐ２０１２−１３７０３４Ａ）
【公開日】平成２４年７月１９日（２０１２．７．１９）
【国際特許分類】
【出願番号】特願２０１０−２９０１９０（Ｐ２０１０−２９０１９０）
【出願日】平成２２年１２月２７日（２０１０．１２．２７）
【出願人】（０００００３３３３）ボッシュ株式会社 (510)
【Ｆターム（参考）】
【公開日】平成２４年７月１９日（２０１２．７．１９）
【国際特許分類】
【出願日】平成２２年１２月２７日（２０１０．１２．２７）
【出願人】（０００００３３３３）ボッシュ株式会社 (510)
【Ｆターム（参考）】
[ Back to top ]