DE102016223670B4

DE102016223670B4 - Elektronische Steuereinheit

Info

Publication number: DE102016223670B4
Application number: DE102016223670.9A
Authority: DE
Inventors: Hiroki Okada; Keiichi Kato
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2015-11-30
Filing date: 2016-11-29
Publication date: 2021-04-29
Anticipated expiration: 2036-11-30
Also published as: JP6465003B2; DE102016223670A1; JP2017102545A

Abstract

Elektronische Steuereinheit (1, 31), die eine arithmetische Verarbeitungseinheit (2), die mehrere Prozessoren (19 bis 22) für mehrere Steuerobjekte (5 bis 10) beinhaltet, und eine Überwachungsschaltung (4) zum Überwachen der arithmetischen Verarbeitungseinheit basierend auf Daten, die von der arithmetischen Verarbeitungseinheit ausgegeben werden, aufweist, wobei die mehreren Prozessoren (19 bis 22) aufweisen:mehrere Steuerfunktionsteile (19a, 20a, 21a) zum Antreiben der mehreren Steuerobjekte (5 bis 7);mehrere Steuerüberwachungsfunktionsteile (19b, 20b, 21b) zum Überwachen der mehreren Steuerfunktionsteile, wobei jeder der mehreren Steuerüberwachungsfunktionsteile ein Antreiben des Steuerobjekts entsprechend dem Steuerfunktionsteil stoppt, für den bestimmt wird, dass er anomal ist;mehrere Überwachungstestfunktionsteile (19c, 20c, 21c) zum Überwachen der mehreren Steuerüberwachungsfunktionsteile, wobei jeder der mehreren Überwachungstestfunktionsteile extern ein Überwachungsergebnis ausgibt;mehrere Fehlerüberprüfungsfunktionsteile (22a, 22b, 22c) zum Überprüfen, ob die Überwachungstestfunktionsteile anomal sind, basierend auf den Überwachungsergebnissen der Überwachungstestfunktionsteile;einen Überprüfungstestfunktionsteil (22d) zum Überwachen der mehreren Fehlerüberprüfungsfunktionsteile und externen Ausgeben eines Überwachungsergebnisses; undeinen Ausfallsicherungszuteilungsteil (22e) zum Zuteilen von Antriebsstoppbefehlen, die von der arithmetischen Verarbeitungseinheit ausgegeben werden, dem Steuerobjekt; undwobei die mehreren Fehlerüberprüfungsfunktionsteile, der Überprüfungstestfunktionsteil und der Ausfallsicherungszuteilungsfunktionsteil in einem der mehreren Prozessoren vorgesehen sind und die mehreren Steuerfunktionsteile, die mehreren Steuerüberwachungsfunktionsteile und die mehreren Überwachungstestfunktionsteile in den anderen der mehreren Prozessoren vorgesehen sind.

Description

Die Erfindung betrifft eine elektronische Steuereinheit.
In einer elektronischen Steuereinheit sind mehrere Steuerfunktionsteile, die beispielsweise Drehmomentsteuerung, Leerlaufstoppsystemsteuerung und dergleichen ausführen, in separaten Prozessoren eines Mikrocomputers vorgesehen. Dieser Typ einer elektronischen Steuereinheit führt mehrere Steuerungen aus und überwacht die mehreren Steuerungen durch separate Prozessoren. In der elektronischen Steuereinheit werden Überwachungsergebnisse einschließlich Identifikationsinformationen der überwachten Steuerungen ausgegeben, so dass Ausfallsicherungsverarbeitung für jede Steuerung ausgeführt werden kann. Somit erreicht die elektronische Steuereinheit sowohl Sicherheit als auch Verfügbarkeit (vgl. beispielsweise JP 2014 - 85761 A ).
Gemäß der elektronischen Steuereinheit, die vorstehend beschrieben ist, ist es möglich, ferner Steuerfunktionsteile wie eine Übertragungssteuerung durch Bereitstellen eines Fehlerüberprüfungsfunktionsteils in einem Überwachungsteil hinzuzufügen. Jedoch ist der Fehlerüberprüfungsfunktionsteil durch eine Hardwareschaltung realisiert, die Anzahl von Anschlüssen muss für eine Fehlerüberprüfungsfunktion erhöht werden und eine Ausfallsicherungsoperation erhöht somit einen Aufwand des Überwachungsteils. Ferner ist es schwierig, eine derartige Modifikation flexibel zu erfüllen.
Ferner wird auf DE 10 2014 201 682 A1 und die DE 10 2007 045 398 A1 verwiesen, die als Stand der Technik ermittelt wurden.
Die DE 10 2007 045 398 A1 zeigt eine elektronische Steuereinheit, die eine arithmetische Verarbeitungseinheit, die mehrere Prozessoren für mehrere Steuerobjekte beinhaltet, und eine Überwachung der arithmetischen Verarbeitungseinheit basierend auf Daten, die von der arithmetischen Verarbeitungseinheit ausgegeben werden, aufweist. Die mehreren Prozessoren weisen mehrere Steuerfunktionsteile zum Antreiben der mehreren Steuerobjekte und mehrere Steuerüberwachungsfunktionsteile zum Überwachen der mehreren Steuerfunktionsteile auf.
Die zeigt ein integriertes Mikroprozessorsystem für sicherheitskritische Regelungen, das wenigstens zwei Mikroprozessorsystemmodule umfasst, welche jeweils zumindest einen Prozessorkern aufweisen. Das Mikroprozessorsystem weist ein als Hardwaremodul ausgebildetes Sicherheitsmodul auf, sowie ein Ein-/Ausgabemodul mit mehreren Kanälen, über welche die im System ausgeführten Hauptprogramme und Überwachungsprogramme externe Systeme ansteuern. Das Sicherheitsmodul umfasst eine Watchdog-Einheit und steuert das Ein-/Ausgabemodul an, wobei im Fall eines erkannten Fehlverhaltens ein oder mehrere Kanäle des Ein-/Ausgabemoduls durch das Sicherheitsmodul abgeschaltet werden.
Die vorliegende Erfindung adressiert die vorstehend beschriebene Situation, und ihre Aufgabe ist es, eine elektronische Steuereinheit bereitzustellen, die neue Steuerfunktionsteile flexibel ohne Erhöhen eines Aufwands eines Überwachungsteils hinzufügen kann.
Die vorstehende Aufgabe wird durch die Merkmale des unabhängigen Anspruchs 1 gelöst.

1 ist ein Blockschaltbild, das eine erste Ausführungsform der vorliegenden Erfindung zeigt;
2 ist ein Diagramm, das Wichtigkeit von Software zeigt;
3 ist ein Blockschaltbild, das Lesezugriffsautorität und Schreib/Lesezugriffsautorität darstellt;
4 ist ein Blockschaltbild, das eine zweite Ausführungsform der Erfindung darstellt; und
5 ist ein Blockschaltbild, das eine dritte Ausführungsform der vorliegenden Erfindung darstellt.

Die vorliegende Erfindung wird nachfolgend gemäß mehrerer Ausführungsformen beschrieben, die als eine elektronische Steuereinheit zum Ausführen einer Getriebesteuerung (T/M-Steuerung), einer Leerlaufstoppsystemsteuerung (ISS-Steuerung) und einer Drehmomentsteuerung für ein Fahrzeug implementiert sind.
(Erste Ausführungsform)
Eine erste Ausführungsform der vorliegenden Erfindung ist in 1 bis 3 dargestellt. Wie in 1 dargestellt ist, beinhaltet eine elektronische Steuereinheit (ECU) 1, einen Mikrocomputer 2 als eine arithmetische Verarbeitungseinheit, eine Eingangsschaltung 3, einen Überwachungs-IC 4, der eine integrierte Schaltung als ein Überwachungsteil ist, eine Getriebeantriebsschaltung 5 als ein Steuerobjekt, eine Anlasserrelaisantriebsschaltung 6 als ein Steuerobjekt, eine Drosselmotorantriebsschaltung 7 als ein Steuerobjekt und Oder-Schaltungen 8 bis 10. Die Getriebeantriebsschaltung 5, die Anlasserrelaisantriebsschaltung 6 und die Drosselmotorantriebsschaltung 7 operieren als Aktuatorantriebsschaltungen.
Der Mikrocomputer 2 hat eine Konfiguration, der einen internationalen Standard ISO26262 erfüllt, der für funktionale Sicherheit eines Fahrzeugs vorgesehen ist. In 1 sind Signalleitungen für Stoppsignale zu den Aktuatorantriebsschaltungen 5 bis 7 mit Pfeilen mit unterbrochenen Linien angegeben und Signalleitungen für unterschiedliche Signale außer den Stoppsignalen sind mit durchgezogenen Pfeilen angegeben. Ferner sind Beziehungen von Überwachungsobjekten in jedem funktionalen Teil durch strichzweipunktierte Linien angegeben.
Die Eingangsschaltung 3 gibt unterschiedliche Signale, die von externen Einrichtungen der ECU eingegeben werden, an den Mikrocomputer aus. Die Signale, die von den externen Einrichtungen der ECU eingegeben werden, sind Signale, die für die Getriebesteuerung, die Leerlaufstoppsystemsteuerung und die Drehmomentsteuerung verwendet werden. Die Signale sind beispielsweise ein Gangpositionssignal, das die Gangposition angibt, ein Bremssignal, das einen Operationszustand eines Bremspedals angibt, ein Gaspedal, das einen Operationszustand eines Gaspedals angibt, ein Fahrzeuggeschwindigkeitssignal, das eine Fahrzeuggeschwindigkeit angibt, ein Anlassoperationssignal, das Anwesenheit/Abwesenheit einer Anlassoperation eines Fahrers angibt, und ein Rotationsgeschwindigkeitssignal, das eine Rotationsgeschwindigkeit einer Bremskraftmaschine angibt.
Der Überwachungs-IC überwacht eine Operation des Mikrocomputers 2. Die Getriebeantriebsschaltung 5 steuert Antreiben eines Zahnrads 11 in Antwort auf ein Steuersignal, das in den Mikrocomputer 2 eingegeben wird. Die Anlasserrelaisantriebsschaltung 5 steuert ein/aus eines Anlasserrelais 12 und Antreiben eines Anlassers 13 in Antwort auf ein Steuersignal, das vom Mikrocomputer 2 eingegeben wird. Wird der Anlasser 13 angetrieben, wird eine Rotationskraft des Anlassers 13 auf eine Brennnkraftmaschine 14 durch das Zahnrad 11 übertragen. Die Drosselmotorantriebsschaltung 7 steuert Antreiben eines Drosselmotors 15 in Antwort auf ein Steuersignal, das vom Mikrocomputer 2 eingegeben wird. Wird der Drosselmotor 15 angetrieben, wird eine „OFFEN“-Position eines Drosselventils 16 geregelt und eine Quantität von Einlassluft in die Brennkraftmaschine 14 wird geregelt.
Der Mikrocomputer 2 beinhaltet einen ersten Eingabe-Ausgabe-Port 17, einen zweiten Eingabe-Ausgabe-Port 18, einen ersten bis vierten Prozessor 19 bis 22, ein ROM (Nur-Lese-Speicher) 23, ein RAM (Speichern mit wahlfreiem Zugriff) 24, eine Speicherschutzeinheit 25 und eine Kommunikationsschaltung 26. Der erste Eingabe-Ausgabe-Port 17, der zweite Eingabe-Ausgabe-Port 18, der erste bis vierte Prozessor 19 bis 22, das ROM 23, das RAM 24, die Speicherschutzeinheit 25 und die Kommunikationsschaltung 26 sind gegenseitig durch einen internen Bus 27 verbunden.
Der erste Eingabe-Ausgabe-Port 17 operiert als eine Schnittstelle einer Eingangsseite des Mikrocomputers 2 zum Eingeben der unterschiedlichen Signale von der Eingangsschaltung 3. Der zweite Eingabe-Ausgabe-Port 18 operiert als eine Schnittstelle einer Ausgangsseite des Mikrocomputers 2 und gibt unterschiedliche Signale an die Aktuatorantriebsschaltungen 5 bis 7 und Stoppsignale an die Oder-Schaltungen 8 bis 10 aus. Das ROM 23 speichert unterschiedliche Programme, die durch mehrere Funktionsteile ausgeführt werden, die in dem ersten bis vierten Prozessor 19 bis 22 wie später beschrieben vorgesehen sind. Jeder der Funktionsteile, der in dem ersten bis vierten Prozessor 19 bis 22 vorgesehen ist, ist durch Software, das heißt, durch Programme, die in dem ROM 23 gespeichert sind, realisiert.
Der erste Prozessor 19 beinhaltet ein Getriebesteuerfunktionsteil 19a, einen Drehmomentsteuerüberwachungsfunktionsteil 19b und einen Überwachungstestfunktionsteil 19c für die Drehmomentsteuerüberwachung. Der zweite Prozessor 20 beinhaltet einen Leerlaufstoppsystemsteuerfunktionsteil 20a, einen Getriebesteuerüberwachungsfunktionsteil 20b und einen Überwachungstestfunktionsteil 20c für die Getriebesteuerüberwachung. Der dritte Prozessor 21 beinhaltet einen Drehmomentsteuerfunktionsteil 21a, einen Leerlaufstoppsystemsteuerüberwachungsfunktionsteil 21b und einen Überwachungstestfunktionsteil 21c für die Leerlaufstoppsytemsteuerüberwachung.
Der Getriebesteuerfunktionsteil 19a steuert das Getriebe durch Ausführen eines in dem ROM 23 gespeicherten Getriebesteuerprogramms. Der Getriebesteuerüberwachungsfunktionsteil 20b überwacht den Getriebesteuerfunktionsteil 19a des ersten Prozessors 19 durch Ausführen eines in dem ROM 23 gespeicherten Getriebesteuerüberwachungsprogramms. Der Getriebesteuerüberwachungsfunktionsteil 20b führt Ausfallsicherungsverarbeitung der Getriebesteuerung ausgehend von seiner Bestimmung, dass der Übertragungssteuerfunktionsteil 19a abnormal ist, als ein Ergebnis des Überwachungsergebnisses bezüglich des Getriebesteuerfunktionsteils 19a. Der Überwachungstestfunktionsteil 20c für die Getriebesteuerüberwachung überwacht den Getriebesteuerüberwachungsfunktionsteil 20b und erzeugt Überwachungsergebnisinformationen, die das Überwachungsergebnis angeben, durch Ausführen eines in dem ROM 23 gespeicherten Getriebesteuerüberwachungsprogramms. Die Überwachungsergebnisinformationen, die durch den Überwachungstestfunktionsteil 20c erzeugt werden, beinhalten Identifikationsinformationen, die angeben, dass die Testergebnisinformationen sich auf die Getriebesteuerüberwachung beziehen, und werden von dem zweiten Prozessor 20 an den vierten Prozessor 22 durch den internen Bus ausgegeben.
Der Leerlaufstoppsystemsteuerfunktionsteil 20a steuert eine automatische Leerlaufstopp- und -startoperation durch Ausführen eines Leerlaufstoppsystemsteuerprogramms, das in dem ROM 23 gespeichert ist. Der Leerlaufstoppsystemsteuerüberwachungsfunktionsteil 21b überwacht den Leerlaufstoppsystemsteuerfunktionsteil 20a des Prozessors 20 durch Ausführen eines Leerlaufstoppsteuerüberwachungsprogramms, das in dem ROM 23 gespeichert ist. Der Leerlaufstoppsystemsteuerüberwachungsfunktionsteil 21b führt Ausfallsicherungsverarbeitung der Leerlaufstoppsystemsteuerung ausgehend von seiner Bestimmung aus, dass der Leerlaufstoppsystemsteuerfunktionsteil 20a optimal ist. Der Überwachungstestfunktionsteil 21c für die Leerlaufstoppsystemsteuerüberwachung überwacht den Leerlaufstoppsystemsteuerüberwachungsfunktionsteil 21b und erzeugt Überwachungsergebnisinformationen, die das Überwachungsergebnis angeben, durch Ausführen eines Leerlaufstoppsystemsteuerüberwachungstestprogramms, das in dem ROM 23 gespeichert ist. Die Überwachungsergebnisinformationen, die durch den Überwachungstestfunktionsteil 21c erzeugt werden, beinhalten Identifikationsinformationen, die angeben, dass die Testergebnisinformationen sich auf die Leerlaufstoppsystemsteuerüberwachung beziehen, und werden von dem dritten Prozessor 21 an den vierten Prozessor 22 durch den internen Bus ausgegeben.
Der Drehmomentsteuerfunktionsteil 21a führt die Drehmomentsteuerung durch Ausführen eines Momentsteuerprogramms aus, das in dem ROM 23 gespeichert ist. Der Drehmomentsteuerüberwachungsteil 19b überwacht den Drehmomentsteuerfunktionsteil 21a des Prozessors 21 durch Ausführen eines im dem ROM 23 gespeicherten Drehmomentsteuerüberwachungsprogramms. Der Drehmomentsteuerüberwachungsteil 19b führt die Ausfallsicherungsverarbeitung der Drehmomentsteuerung ausgehend von einer Bestimmung, dass der Drehmomentsteuerfunktionsteil 21a anomal ist, aus. Der Überwachungstestfunktionsteil 19c für die Drehmomentsteuerüberwachung überwacht den Drehmomentsteuerüberwachungsteil 19b und erzeugt Überwachungsergebnisinformationen, die das Überwachungsergebnis angeben, durch Ausführen des zugehörigen Programms, das in dem ROM 23 gespeichert ist. Die Überwachungsergebnisinformationen, die durch den Überwachungstestfunktionsteil 19c für den Drehmomentsteuerüberwachung erzeugt werden, beinhalten Identifikationsinformationen, die angeben, dass die Testergebnisinformationen sich auf den Drehmomentsteuerüberwachung beziehen, und werden von dem ersten Prozessor 19 an den vierten Prozessor 22 durch den internen Bus 27 ausgegeben.seite5
Der Mikrocomputer 2 erreicht somit sowohl Sicherheit als auch Verfügbarkeit durch Ausführen bezüglich jeder der Getriebesteuerung, der Leerlaufstoppsystemsteuerung und der Drehmomentsteuerung, jeder Steuerung und jeder Überwachung der entsprechenden Steuerung durch unterschiedliche Prozessoren des ersten bis dritten Prozessors.
Der vierte Prozessor 22 beinhaltet einen Fehlerüberprüfungsfunktionsteil 22a für die Testfunktion der Getriebesteuerung, einen Fehlerüberprüfungsfunktionsteil 22b für die Testfunktion der Leerlaufstoppsystemsteuerung und einen Fehlerüberprüfungsfunktionsteil 22c für die Testfunktion der Drehmomentsteuerung. Der vierte Prozessor 22 beinhaltet ferner einen Überprüfungstestfunktionsteil 22d für die Fehlerüberprüfungsfunktion und einen Ausfallsicherungszuteilungsteil 22e. Der Fehlerüberprüfungsfunktionsteil 22a für den Getriebesteuerungstest überprüft die Testfunktion der Getriebesteuerüberwachung basierend auf den Überwachungsergebnisinformationen bezüglich der Getriebesteuerüberwachung, die von dem zweiten Prozessor 20 durch den internen Bus 27 eingegeben werden, durch Ausführen eines Getriebesteuerüberwachungstestfehlerüberprüfungsprogramms, das in dem ROM 23 gespeichert ist. Der Fehlerüberprüfungsfunktionsteil 22b für den Leerlaufstoppsystemsteuerüberwachungtest überprüft die Testfunktion der Leerlaufstoppsystemsteuerüberwachung basierend den Überwachungsergebnisinformationen bezüglich der Leerlaufstoppsystemsteuerüberwachung, die von dem dritten Prozessor 21 durch den internen Bus 27 eingegeben werden, durch Ausführen eines Leerlaufstopsystemsteuerüberwachungstestfehlerüberprüfungsprogramms, das in dem ROM 23 gespeichert ist. Der Fehlerüberprüfungsfunktionsteil 22c für die Drehmomentsteuertestfunktion überprüft die Testfunktion der Drehmomentsteuerüberwachung basierend auf den Überwachungsergebnisinformationen bezüglich des Drehmomentsteuerüberwachung, die von dem ersten Prozessor 19 durch den internen Bus 27 eingegeben werden, durch Ausführen eines Drehmomentsteuerüberwachungstestfehlerüberprüfungsprogramms, das in dem ROM 23 gespeichert ist.
Der Überprüfungstestfunktionsteil 22d für die Fehlertestfunktion überwacht den Fehlerüberprüfungsfunktionsteil 22a für die Getriebesteuertestfunktion, der Fehlerüberprüfungsfunktionsteil 22d für die Leerlaufstopfsystemsteuertestfunktion und der Fehlerüberprüfungsteil 22c für die Drehmomentsteuertestfunktion und erzeugt Überwachungsergebnisinformationen, die überwachte Ergebnisse bzw. Überwachungsergebnisse angeben. Der Ausfallsicherungszuteilungsteil 22e teilt das Ausgeben von Stoppsignalen (Antriebsstoppbefehle) von dem Mikrocomputer 2 den Aktuatorantriebsschaltungen 5 bis 7 zu. Das heißt, ausgehend von der Bestimmung, dass eine der Übertragungssteuerungen, der Leerlaufstoppsystemsteuerungen und r der Drehmomentsteuerungen die Ausfallsicherungsverarbeitung benötigt, führt der Ausfallsicherungszuteilungsteil 22e die Ausfallsicherungsverarbeitung für die entsprechende Steuerung durch Ausgeben des Stoppsignals von dem zweiten Eingabe-Ausgabe-Port 18 an die entsprechenden Oder-Schaltungen 8 bis 10 aus.
Der RAM 24 speichert Ergebnisse arithmetischer Operationen des ersten bis vierten Prozessors 19 bis 22. Die Kommunikationsschaltung 26 kommuniziert Daten mit dem Überwachungs-IC 4 durch eine serielle Kommunikationsleitung. Das heißt, ausgehend vom Empfang der Überwachungsergebnisinformationen von dem vierten Prozessor 22 gibt die Kommunikationsschaltung 26 empfangene Überwachungsergebnisinformationen an den Überwachungs-IC 4 durch die serielle Kommunikationsleitung aus. Der Überwachungs-IC 4 beinhaltet eine Kommunikationsschaltung 28 und einen Mikrocomputerüberwachungsfunktionsteil 29. Die Kommunikationsschaltung 28 kommuniziert Daten mit dem Mikrocomputer 2 durch die serielle Kommunikationsleitung. Der Mikrocomputerüberwachungsfunktionsteil 29 steuert das Ausgeben der Stoppsignale von dem Überwachungs-IC 4 an die Aktuatorantriebsschaltungen 5 bis 7. Ausgehend von der Bestimmung, dass die Mikrocomputerfunktion anormal ist, bestimmt der Mikrocomputerüberwachungsfunktionsteil 29, dass die Ausfallsicherungsverarbeitung für jede der Übertragungssteuerungen, der Leerlaufstoppsystemsteuerungen und der Drehmomentsteuerung ausgeführt werden muss. Der Mikrocomputerüberwachungsfunktionsteil 29 führt die Ausfallsicherungsverarbeitung für jede der Getriebesteuerungen, der Leerlaufstoppsystemsteuerungen und der Drehmomentsteuerungen durch Ausgeben der Stoppsignale an alle Oder-Schaltungen 8 bis 10 von dem zweiten Eingabe-Ausgabe-Port 18 aus.
Der Ausfallsicherungszuteilungsteil 22e des vierten Prozessors 27 wird als Nächstes beschrieben. In dem Mikrocomputer 2, der die Anforderungen der ISO26262 erfüllt, ist die Wichtigkeit von Software in fünf Ebenen klassifiziert, die QM (Qualitätsverwaltung) und vier ASILs (Automotive Safety Integrity Levels) A bis D sind. Die D-Ebene ist auf höchste Wichtigkeit festgelegt.
Strengere Verarbeitung und mehr Evaluierungselemente werden Software mit höherer Wichtigkeit auferlegt. In einem Fall, in dem ein Mikrocomputer programmiert ist, um unterschiedliche Software unterschiedlicher Wichtigkeit auszuführen, ist es erforderlich, dass eine Software nicht mit der anderen interferiert. In einem Fall, in dem eine derartige Anforderung nicht erfüllt ist, ist es erforderlich, Software niedriger Wichtigkeit in Übereinstimmung mit Software der höchsten Wichtigkeit zu entwickeln. Aus diesem Grund, wie in 2 dargestellt ist, vermeidet die Speicherschutzeinheit 25 Interferenz zwischen Software durch Separieren von Speichern und Registerbereichen, auf die zugegriffen werden darf, in Korrespondenz mit der Wichtigkeit von Software und blockiert eine Bewegung eines Fehlers von Software niedrigerer Wichtigkeit zu Software höherer Wichtigkeit.
Insbesondere, wie in 3 dargestellt ist, sind der Getriebesteuerfunktionsteil 19a, der Leerlaufstoppsystemsteuerfunktionsteil 20a und der Drehmomentsteuerfunktionsteil 21a klassifiziert, um in der ersten Ausführungsform QM zu sein. Der Überwachungstestfunktionsteil 21c für die Leerlaufstoppsystemsteuerüberwachung, der Fehlerüberprüfungsfunktionsteil 22d für die Testfunktion der Leerlaufstoppsystemsteuerung, der Überwachungstestfunktionsteil 19c für die Drehmomentsteuerüberwachung und der Fehlerüberprüfungsfunktionsteil 22c für die Testfunktion der Drehmomentsteuerung sind klassifiziert, um ASIL-A zu sein. Der Leerlaufstoppsystemsteuerüberwachungsfunktionsteil 21b, der Überwachungstestfunktionsteil 20c für die Getriebesteuerüberwachung und der Fehlerüberprüfungsfunktionsteil 22a für die Testfunktion der Getriebesteuerung sind klassifiziert, um ein ASIL-B zu sein. Der Drehmomentsteuerüberwachungsteil 19 b ist klassifiziert, um ASIL-C zu sein. Der Getriebesteuerüberwachungsfunktionsteil 20b ist klassifiziert, um ASIL-D zu sein. Der Ausfallsicherungszuteilungsteil 22e ist klassifiziert, um ASIL-D zu sein.
Für RAM-Werte, die Stoppbefehlanforderungen an die Aktuatorantriebsschaltungen 5 bis 7, die von den Steuerüberwachungsfunktionen und den Testfunktionen angefordert werden, speichern, hat der Ausfallsicherungszuteilungsteil 22e eine Lesezugriffsautorität für eine Software mit niedrigerer Wichtigkeit als die eigene Wichtigkeit und eine Schreib-LeseZugriffsautorität für eine Software mit gleicher Wichtigkeit wie die eigene Wichtigkeit. Somit teilt der Ausfallsicherungszuteilungsteil 22e ein Ausgeben des Stoppsignals von dem Mikrocomputer 2 an die Aktuatorantriebsschaltungen 5 bis 7 zu. In 3 ist die Lesezugriffsautorität mit einer unidirektionalen Pfeilmarkierung angegeben und die Lese-Schreibe-Zugriffsautorität ist mit einer bidirektionalen Pfeilmarkierung angegeben.
Somit teilt der Ausfallsicherungszuteilungsteil 22e das Ausgeben der Stoppsignale an die Aktuatorantriebsschaltungen 5 bis 7, die durch die Steuerüberwachungsfunktionsteile 19b, 20b und 21b angefordert werden, und das Ausgeben der Stoppsignale an die Aktuatorantriebsschaltungen 5 bis 7 zu, die durch die Testfunktionsteile 19c, 20c und 21c angefordert werden. Durch Festlegen der Zugriffsautorität für den Registerwert des zweiten Eingabe-Ausgabe-Ports 18 nur auf die Software, die den Ausfallsicherungszuteilungsteil 22e realisiert, ist es nicht notwendig, die Zugriffsautorität für den Registerwert des zweiten Eingabe-Ausgabe-Ports 18 individuell für jede Funktion festzulegen. Es ist demzufolge somit möglich, Ressourcen eines Speicherschutzes zu reduzieren, der die Anzahl von Portanschlüssen des zweiten Eingabe-Ausgabe-Ports 18 und Zugriffsautorität festlegt, und Verwendung von Hardwareressourcen zu reduzieren. Das heißt, durch Klassifizieren des Ausfallsicherungszuteilungsteils 22e als ASIL-D, was der höchsten Wichtigkeit entspricht, ist es möglich, Registerwerte des zweiten Eingabe-Ausgabe-Ports 18 kollektiv zu steuern und Ressourcenverwendung von Hardware zu sichern, wobei das Steuern der Registerwerte des zweiten Eingabe-Ausgabe-Ports 18 das Ausgeben der Stoppsignale an die Aktuatorantriebsschaltungen 5 bis 7 steuert.
Wie vorstehend beschrieben ist, stellt die erste Ausführungsform die folgenden Vorteile bereit. Die elektronische Steuereinheit 1 beinhaltet den ersten bis dritten Prozessor 19 bis 21, in dem mehrere Steuerfunktionsteile 19a, 20a, 21a, mehrere Steuerüberwachungsfunktionsteile 19b, 20b, 21b und mehrere Testfunktionsteile 19c, 20c, 21c für die mehreren Steuerüberwachungen vorgesehen sind. Die elektronische Steuereinheit 1 beinhaltet ferner den vierten Prozessor 22, in dem mehrere Fehlerüberprüfungsfunktionsteile 22a, 22b, 22c für die mehreren Testfunktionen, der Überprüfungstestfunktionsteil 22d für die Fehlerüberprüfungsfunktionen und der Ausfallsicherungszuteilungsteil 22e vorgesehen sind. Somit ist es möglich, durch Software die mehreren Fehlerüberprüfungsfunktionsteile 22a, 22b, 22c für die Testfunktionen, den Überprüfungstestfunktionsteil 22d für die Fehlerüberprüfungsfunktion und den Ausfallsicherungszuteilungsteil 22e zu realisieren. Das heißt, durch Realisieren der Teile durch Software ist es, wie vorstehend beschrieben, möglich, einem Hinzufügen von Steuerfunktionsteilen flexibel zu begegnen, ohne die Anzahl von Anschlüssen für Fehlerüberprüfungsfunktionen und Ausfallsicherungsoperation zu erhöhen und ohne den Aufwand des Überwachungs-ICs 4 zu erhöhen, verglichen zu einem herkömmlichen Fall der Realisierung eines derartigen Hinzufügens von Steuerfunktionen durch Hardware.
Ferner teilt der Ausfallsicherungszuteilungsteil 22e das Ausgeben der Stoppsignale an die Schaltungen 5 bis 7, die von Anforderungen von den Steuerfunktionsteilen 19b, 20b, 21b angefordert werden, und Ausgeben der Stoppsignale an die Schaltungen 5 bis 7 zu, die von den Testfunktionsteilen 19c, 20c, 21c angefordert werden. Es ist somit möglich, Verwendung von Ressourcen und der Hardware zu sichern bzw. zu schützen. Bestimmt der Überwachungs-IC 4, dass der Mikrocomputer 2 abnormal ist, basierend auf den Überwachungsergebnisinformationen, die von dem Überprüfungstestfunktionsteil 22d der Fehlerüberprüfungsfunktion ausgegeben werden, wird das Stoppsignal an alle der Aktuatorantriebsschaltungen 5 ausgegeben. Es ist somit möglich, die Ausfallsicherungsverarbeitung für jede der Übertragungssteuerungen, der Leerlaufstoppsystemsteuerung und der Drehmomentsteuerung auszuführen.
(Zweite Ausführungsform)
Eine zweite Ausführungsform der vorliegenden Erfindung wird mit Bezug auf 4 beschrieben. Zur Vereinfachung der Beschreibung werden nur Teile der zweiten Ausführungsform, die zur ersten Ausführungsform unterschiedlich sind, beschrieben.
In der zweiten Ausführungsform beinhaltet eine elektronische Steuereinheit 31 ferner eine Warnlichtantriebsschaltung 32, die der elektronischen Einheit 1 hinzugefügt ist, die als die erste Ausführungsform beschrieben ist. In der zweiten Ausführungsform führen die Testfunktionsteile 19c, 20c, 21c für die Steuerüberwachungen, die in dem ersten bis dritten Prozessor 10 bis 21 bereitgestellt sind, Funktionstests für irgendeinen der Fehlerüberprüfungsfunktionsteile 22a, 22b, 22c des Überprüfungstestfunktionsteils 22d der Fehlerüberprüfungsfunktion und des Ausfallsicherungsteils 22e aus, die in dem vierten Prozessor vorgesehen sind. Die Testfunktionsteile 19c, 20c, 21c für die Steuerüberwachung geben ein Steuersignal von dem zweiten Eingabe-Ausgabe-Port 18 an eine Warnlichtantriebsschaltung 32 aus, wenn mindestens einer der Fehlerüberprüfungsfunktionsteile 22a, 22b, 22c, des Testfunktionsteils 22d für die Fehlerüberprüfungsfunktion und des Ausfallsicherungszuteilungsteils 22e als anomal bestimmt wird. Die Warnlichtantriebsschaltung 32 gibt ein Antriebssignal an ein Warnlicht 33 in Antwort auf das Steuersignal, das von dem zweiten Eingabe-Ausgabe-Port 18 empfangen wird, zum Einschalten des Warnlichts 33 aus. Somit wird der Benutzer wie beispielsweise ein Fahrer über die Anomalität unterrichtet.
Das heißt, sogar, wenn der vierte Prozessor 22 eine Anomalität von Software in dem vierten Prozessor 22 bestimmt, wird kein kritisches Sicherheitsproblem im Gegensatz zur Anomalität von Software in dem ersten bis dritten Prozessor 19 bis 21 verursacht. Aus diesem Grund, wenn die Anomalität von Software in dem vierten Prozessor 22 bestimmt wird, geben die Testfunktionsteile 19c, 20c, 21c für die Steuerüberwachung die Stoppsignale nicht an die Aktuatorantriebsschaltungen 5 bis 7 aus und ändern einen Notlaufbetrieb nicht. Anstatt dessen geben die Testfunktionsteile 19c, 20c, 21c das Steuersignal an die Warnlichtantriebsschaltung 32 aus, um dabei einen Benutzer wie beispielsweise einen Fahrer über die Anomalität von Software in dem vierten Prozessor 22 zu unterrichten.
Gemäß der zweiten vorstehend beschriebenen Ausführungsform wird der gleiche Vorteil wie der der ersten Ausführungsform bereitgestellt. Ferner ist es möglich, einen Benutzer wie beispielsweise einen Fahrer über die Softwareanomalität in dem vierten Prozessor 22 zu unterrichten.
(Dritte Ausführungsform)
Eine dritte Ausführungsform der vorliegenden Erfindung wird mit Bezug auf 5 beschrieben. Der Einfachheit halber werden nur Teile der dritten Ausführungsform, die sich von der zweiten Ausführungsform unterscheiden.
In der dritten Ausführungsform beinhaltet bezüglich der zweiten Ausführungsform die elektronische Steuereinheit 31 ferner eine Konfiguration, in der die Testfunktionsteile 19c, 20c, 21c für die Steuerüberwachungen, die in dem ersten bis dritten Prozessor 10 bis 21 vorgesehen sind, an den Überwachungs-IC 4 Testergebnisse ausgeben, die für irgendeinen der Fehlerüberprüfungsfunktionsteile 22a, 22b, 22c für die Testfunktion, den Überprüfungstestfunktionsteil 22d der Fehlerüberprüfungsfunktion und den Ausfallsicherungszuteilungsteil 22e, die in dem vierten Prozessor vorgesehen sind, ausgeführt werden.
Die Testfunktionsteile 19c, 20c, 21c für die Steuerüberwachung geben die Testergebnisse an den Überwachungs-IC 4 individuell, das heißt Prozessor um Prozessor aus. Der Überwachungs-IC analysiert das vom Mikrocomputer 2 empfangene Testergebnis und spezifiziert eine spezielle Steuerung aus der Getriebesteuerung, der Leerlaufstoppsystemsteuerung und der Drehmomentsteuerung, für die die Ausfallsicherungsverarbeitung ausgeführt werden muss. Der Überwachungs-IC 4 gibt dann das Stoppsignal an die entsprechenden Aktuatorantriebsschaltungen 5 bis 7 aus und gibt das Steuersignal an die Warnlichtantriebsschaltung 32 aus, so dass die Anomalität einem Benutzer wie beispielsweise einem Fahrer durch Einschalten des Warnlichts 33 berichtet bzw. dieser dadurch unterrichtet wird.
Gemäß der vorstehend beschriebenen dritten Ausführungsform wird der gleiche Vorteil wie der der ersten Ausführungsform bereitgestellt. Ferner ist es möglich, übermäßiges Ausführen der Ausfallsicherungsverarbeitung für die Getriebesteuerung, die Leerlaufstoppsystemsteuerung und die Drehmomentsteuerung zu beschränken.
(Weitere Ausführungsform)
Die vorliegende Erfindung ist nicht auf die vorstehend beschriebenen Ausführungsformen beschränkt und kann auf unterschiedliche Weise modifiziert werden.
Obwohl die vorstehend beschriebenen Ausführungsformen beispielhaft dargestellt sind, um die Getriebesteuerung, die Leerlaufstoppsystemsteuerung und Drehmomentsteuerung auszuführen, können andere Steuerungen ausgeführt werden. Das heißt, die Anzahl von Prozessoren mit den Steuerfunktionsteilen und den Steuerüberwachungsteilen ist nicht auf drei beschränkt, sondern kann 2, 4 und mehr sein.
Die Erfindung kann folgendermaßen zusammengefasst werden: Eine elektronische Steuereinheit beinhaltet den ersten bis dritten Prozessor, in denen mehrere Steuerfunktionsteile, mehrere Steuerüberwachungsfunktionsteile und mehrere Überwachungstestfunktionsteile vorgesehen sind. Die elektronische Steuereinheit beinhaltet ferner einen vierten Prozessor, in dem mehrere Fehlerüberprüfungsfunktionsteile für die Überwachungstestfunktionen, ein Überprüfungstestfunktionsteil für die Fehlerüberprüfungsfunktionen und ein Ausfallsicherungszuteilungsteil vorgesehen sind. Die mehreren Fehlerüberprüfungsfunktionsteile, der Überprüfungstestfunktionsteil und der Ausfallsicherungszuteilungsteil sind in dem vierten Prozessor, der sich von dem ersten bis dritten Prozessor unterscheidet, durch Software realisiert.

Claims

Elektronische Steuereinheit (1, 31), die eine arithmetische Verarbeitungseinheit (2), die mehrere Prozessoren (19 bis 22) für mehrere Steuerobjekte (5 bis 10) beinhaltet, und eine Überwachungsschaltung (4) zum Überwachen der arithmetischen Verarbeitungseinheit basierend auf Daten, die von der arithmetischen Verarbeitungseinheit ausgegeben werden, aufweist, wobei die mehreren Prozessoren (19 bis 22) aufweisen: mehrere Steuerfunktionsteile (19a, 20a, 21a) zum Antreiben der mehreren Steuerobjekte (5 bis 7); mehrere Steuerüberwachungsfunktionsteile (19b, 20b, 21b) zum Überwachen der mehreren Steuerfunktionsteile, wobei jeder der mehreren Steuerüberwachungsfunktionsteile ein Antreiben des Steuerobjekts entsprechend dem Steuerfunktionsteil stoppt, für den bestimmt wird, dass er anomal ist; mehrere Überwachungstestfunktionsteile (19c, 20c, 21c) zum Überwachen der mehreren Steuerüberwachungsfunktionsteile, wobei jeder der mehreren Überwachungstestfunktionsteile extern ein Überwachungsergebnis ausgibt; mehrere Fehlerüberprüfungsfunktionsteile (22a, 22b, 22c) zum Überprüfen, ob die Überwachungstestfunktionsteile anomal sind, basierend auf den Überwachungsergebnissen der Überwachungstestfunktionsteile; einen Überprüfungstestfunktionsteil (22d) zum Überwachen der mehreren Fehlerüberprüfungsfunktionsteile und externen Ausgeben eines Überwachungsergebnisses; und einen Ausfallsicherungszuteilungsteil (22e) zum Zuteilen von Antriebsstoppbefehlen, die von der arithmetischen Verarbeitungseinheit ausgegeben werden, dem Steuerobjekt; und wobei die mehreren Fehlerüberprüfungsfunktionsteile, der Überprüfungstestfunktionsteil und der Ausfallsicherungszuteilungsfunktionsteil in einem der mehreren Prozessoren vorgesehen sind und die mehreren Steuerfunktionsteile, die mehreren Steuerüberwachungsfunktionsteile und die mehreren Überwachungstestfunktionsteile in den anderen der mehreren Prozessoren vorgesehen sind.
Elektronische Steuereinheit gemäß Anspruch 1, wobei: der Ausfallsicherungszuteilungsteil (22e) einen Antriebsstoppbefehl, den jeder der Steuerüberwachungsfunktionsteile anfordert, dem entsprechenden Steuerobjekt und einen Antriebsstoppbefehl, den jeder der Überwachungstestfunktionsteile anfordert, dem entsprechenden Steuerobjekt zuteilt und das Antreiben des entsprechenden Steuerobjekts stoppt.
Elektronische Steuereinheit gemäß Anspruch 1 oder 2, wobei: die Überwachungsschaltung (4) ein Antreiben aller Steuerobjekte ausgehend von der Bestimmung, dass die arithmetische Verarbeitungseinheit anomal ist, basierend auf Überwachungsergebnisinformationen, die vom Überprüfungstestfunktionsteil ausgegeben werden, stoppt.
Elektronische Steuereinheit gemäß einem der Ansprüche 1 bis 3, wobei: die mehreren Überwachungstestfunktionsteile (19c bis 21c) Funktionstests für mindestens irgendeinen der Fehlerüberprüfungsfunktionsteile, des Überprüfungstestfunktionsteils und des Ausfallsicherungszuteilungsteils ausführen und über eine Anomalität ausgehend von der Bestimmung unterrichten, dass irgendeiner der Fehlerüberprüfungsfunktionsteile, des Überprüfungstestfunktionsteils und des Ausfallsicherungszuteilungsteils anomal ist.
Elektronische Steuereinheit gemäß Anspruch 4, wobei: die mehreren Überwachungstestfunktionsteile (19c bis 21c) an die Überwachungsschaltung Testergebnisse von Funktionstests ausgeben, die für mindestens irgendeinen der mehreren Fehlerüberprüfungsfunktionsteile, des Überprüfungstestfunktionsteil und des Ausfallsicherungszuteilungsteil ausgeführt werden.