JP2014096042A - 電子制御装置 - Google Patents

Abstract

【課題】車両に搭載された制御対象に対する制御処理を監視する電子制御装置の処理負荷を極力低減する。
【解決手段】監視部３０の監視処理部３４は、制御部２２による制御処理の結果と実行処理部３２による制御処理の結果とに基づいて、制御部２２による制御処理が適正に機能しているか否かを監視する。監視部３０は、検査部４０による検査対象である監視処理を実行すると、監視処理の監視結果を検査部４０に出力する。検査部４０の検査処理部４２は、検査対象である監視処理を監視部３０が実行した監視結果、あるいは検査部４０からの実行要求に応じて監視部３０がテスト処理を実行したテスト結果に基づいて、監視部３０の監視処理が適切に機能しているか否かを検査する。検査部４０は、監視部３０が検査対象である監視処理を実行すると、この監視処理を検査対象とするテスト処理の実行を監視部３０に要求しない。
【選択図】図１

Description

本発明は、車両に搭載された制御対象に対する制御処理を監視する電子制御装置に関する。

従来、車両に搭載されたアクチュエータ等の制御対象に対する制御処理を監視する電子制御装置が知られている（例えば、特許文献１参照。）。特許文献１では、制御対象に対する制御部による制御処理が正常に機能しているかを監視部が監視し、さらに、制御処理に対する監視部による監視処理が正常に機能しているかを検査部が検査する技術が採用されている。

監視部は、制御部による制御処理を監視することに加え、監視部による監視処理が正常に機能しているか否かを検査するためのテスト処理を検査部からの要求に応じて実行する。

特表平１１−５０５５８７号公報

監視部が実行する複数の監視処理のそれぞれを検査対象とするすべてのテスト処理の実行を検査部が監視部に要求すると、監視部は、監視処理に加え、監視処理を検査対象とするすべてのテスト処理を実行することになるので、電子制御装置全体の処理負荷が高くなる。

本発明は上記問題を解決するためになされたものであり、車両に搭載された制御対象に対する制御処理を監視する電子制御装置の処理負荷を極力低減することを目的とする。

本発明の電子制御装置によると、車両に搭載された制御対象に対する制御手段による制御処理を監視手段が監視し、制御処理を監視する監視手段による複数の監視処理のうち、検査対象である監視処理が正常に機能しているか否かを検査するためのテスト処理の実行を検査手段が監視手段に要求する。

監視手段は、検査手段による検査対象である監視処理を行ったときの監視結果を検査手段に出力し、検査手段は、監視手段が監視結果を出力すると、出力された監視結果に対応する監視処理を検査対象とするテスト処理の実行を監視手段に要求しない。

この構成によれば、検査手段による検査対象である監視処理を監視手段が実行すると、実行された監視処理を検査対象とするテスト処理を監視手段は実行しない。その結果、監視処理と、この監視処理を検査対象とするテスト処理とを重複して実行することを極力防止し、電子制御装置の処理負荷を低減できる。

また、検査手段は、テスト処理毎にテスト処理の検査対象である監視処理を監視手段が実行した実行回数を記憶部に記憶し、実行回数の少ない監視処理を検査対象とするテスト処理から順番に監視手段に実行を要求することが望ましい。

実行回数の少ない監視処理を監視手段が実行する可能性は低いので、記憶された実行回数の少ない監視処理を検査対象とするテスト処理を優先的に実行しても、監視処理とテスト処理とが重複して実行されることを極力防止できる。

また、検査手段は、所定期間毎に各テスト処理について、テスト処理と、テスト処理が検査対象とする監視処理との少なくともいずれかを監視手段が実行したか否かを記憶部に記憶し、所定期間において、テスト処理およびテスト処理の検査対象である監視処理のいずれも実行していないと記憶されたテスト処理のうち、実行回数の少ない監視処理を検査対象とするテスト処理から順番に監視手段に実行を要求することが望ましい。

これにより、所定期間のそれぞれにおいて、テスト処理と、このテスト処理が検査対象とする監視処理との両方が実行されないことを極力防止できる。

本実施形態による電子制御装置を示す図。 テスト処理のＩＤ、実行回数、実行状況を示すテーブル。 監視処理およびテスト処理の実行を示すタイムチャート。 監視部による監視処理を示すフローチャート。 検査部によるテスト制御処理を示すフローチャート。 検査部によるテスト要求処理１を示すフローチャート。 監視部によるテスト処理を示すフローチャート。 検査部によるテスト要求処理２を示すフローチャート。

以下、本発明の実施形態を図に基づいて説明する。
図１に示す電子制御装置（Electronic Control Unit：ＥＣＵ）１０は、例えば、多気筒のガソリンエンジン（以下、単に「エンジン」ともいう。）を動力源とする車両に搭載された制御対象を制御するものである。制御対象は、例えば、スロットル装置、インジェクタ、点火プラグ等である。

ＥＣＵ１０は、メインＣＰＵ２０と、検査ＣＰＵ６０と、図示しない入出力インタフェース等から構成されている。メインＣＰＵ２０は、制御部２２、監視部３０、検査部４０および記憶部５０から主に構成されている。

制御部２２は、図示しないアクセル開度センサ、水温センサ、回転数（ＮＥ）センサ、車速センサ等から入力するセンサ信号、ならびに他のＥＣＵから入力する制御信号等の各種信号に基づいて、スロットル装置、インジェクタ、点火プラグ等の制御対象に対する制御処理を実行し、制御対象に対する制御信号を出力段７０に出力する。制御対象に対する制御処理には、制御対象が異常な場合の異常時処理も含む。

監視部３０は、実行処理部３２と監視処理部３４とから構成されている。実行処理部３２は、制御部２２と同じ各種信号を入力し、制御部２２と同じ制御処理を制御部２２と同じタイミングで実行する。

監視処理部３４は、制御部２２による制御処理の結果と、実行処理部３２による制御処理の結果とを比較し、制御部２２による制御処理の結果が、実行処理部３２による制御処理の結果に基づいて設定される適正な範囲内であるか否かを判定することにより、制御部２２による制御処理が適正に機能しているか否かを監視する。

ここで、監視部３０の実行処理部３２が各種信号を入力して制御対象に対する制御処理を実行し、監視部３０の監視処理部３４が制御部２２による制御処理の結果と実行処理部３２による制御処理の結果とを比較して、制御部２２による制御処理が正常に機能しているか否かを監視する処理が、監視部３０が実行する監視処理に相当する。

そして、制御部２２による制御処理の結果が適正な範囲内であり制御部２２による制御処理が正常であれば、監視処理部３４は監視結果を表わす信号であるイネーブル信号をオンにして出力段７０に出力し、制御部２２が生成した制御信号が出力段７０から出力されることを許可する。制御部２２による制御処理の結果が適正な範囲を外れており制御部２２による制御処理が異常であれば、監視処理部３４はイネーブル信号をオフにし、制御部２２が生成した制御信号が出力段７０から出力されることを禁止する。

監視部３０は、検査部４０による検査対象である監視処理を実行した場合、実行処理部３２が実行した制御処理の結果と、そのときに入力した各種信号の値と、制御処理を識別するためのＩＤとを、監視処理の監視結果として検査部４０に出力する。検査部４０による検査対象ではない監視処理を実行した場合、監視部３０は監視結果を検査部４０に出力しない。

監視部３０は、制御部２２と同じタイミングで制御部２２と同じ制御処理を監視処理の一部として実行するだけでなく、検査部４０からの実行要求を受信すると、検査対象である監視処理が正常に機能しているか否かを検査するためのテスト処理を実行する。

監視部３０の実行処理部３２は、検査部４０からのテスト処理の実行要求に応じて、テスト処理の検査対象である監視処理において実行する制御処理と同じ制御処理を実行する。実行処理部３２は、テスト処理の実行要求に応じて制御処理を実行する場合、例えば検査部４０から受信するテスト処理に対応する制御処理のＩＤに応じて各種信号の値をマップ等から取得して入力信号とする。

制御処理と監視処理とテスト処理とには、共通のＩＤが付されている。つまり、制御部２２の制御処理が正常に機能しているか否かを監視する監視部３０による監視処理と監視対象である制御処理とは同じＩＤであり、監視部３０が実行する監視処理と、監視処理が正常に機能しているか否かを検査するテスト処理とは同じＩＤである。

実行処理部３２がテスト処理の実行要求に応じた制御処理を実行した場合、監視処理部３４は、実行処理部３２が実行した制御処理の結果と、マップ等から取得した入力信号と、実行した制御処理のＩＤとを検査部４０に出力する。

検査部４０は、検査処理部４２とテスト制御処理部４４とから構成されている。検査処理部４２は、検査対象である監視処理または検査部４０からの実行要求に応じて実行したテスト処理において、実行処理部３２が実行した制御処理の結果と、そのときに実行処理部３２が入力信号とした各種信号の値と、制御処理のＩＤとを監視部３０から入力し、実行処理部３２が実行した制御処理の結果が、そのときに実行処理部３２が入力した各種信号から求められる適正な範囲内であるか否かを判定する。

監視部３０の実行処理部３２による制御処理の結果が適正な範囲内ではない場合、検査処理部４２は、監視部３０が制御部２２の制御処理を適正に監視できない異常状態であると判断し、自ＣＰＵであるメインＣＰＵ２０を強制的にリセットする処理を行うとともに、検査ＣＰＵ６０に監視部３０が異常状態であることを通知する。

監視部３０が実行する複数の監視処理のうちテスト処理の検査対象となる監視処理において、実行処理部３２が実行した制御処理の結果が適正な範囲内である場合、テスト制御処理部４４は、監視処理の実行回数をテスト処理毎にカウントし、図２に示すテーブル２００の形式で記憶部５０に記憶する。記憶部５０は、例えばＲＡＭにより構成される。

テスト処理として、例えば、噴射制御処理、吸気制御処理、点火制御処理等のトルク制御処理、ＲＯＭおよびＲＡＭ等に対するメモリチェック処理、ＡＤ変換処理、および各処理の異常を検出したときの異常時処理などが設定されている。本実施形態では、監視部３０が実行する複数の監視処理の一部をテスト処理の検査対象としているが、複数の監視処理のすべてをテスト処理の検査対象としてもよい。

図２のテーブル２００には、テスト処理毎に、各テスト処理に固有のＩＤと、ＩＤに対応するテスト処理の内容と、テスト処理の検査対象である監視処理が今まで監視部３０で実行された回数と、所定期間においてテスト処理およびテスト処理の検査対象である監視処理の少なくとも一方を監視部３０が実行したか否かを示す実行状況フラグとが記憶されている。

実行状況フラグは、所定期間においてテスト処理およびテスト処理の検査対象である監視処理の少なくとも一方が監視部３０により１回でも実行されると「済」に設定され、テスト処理およびテスト処理の検査対象である監視処理がいずれも１回も実行されていない場合は初期値の「未」のままである。

図３に示すように、本実施形態では所定期間の長さを５００ｍｓに設定している。テスト処理およびテスト処理の検査対象である監視処理の少なくともいずれか一方は、所定期間で少なくとも１回実行するように規定されている。また、実行状況フラグは、所定期間である５００ｍｓ毎に「未」に設定されて初期化される。尚、所定期間は５００ｍｓに限るものではなく、要求仕様に応じて適宜設定されるものである。

検査対象である監視処理の実行回数は、所定期間毎に初期化されずにカウントが継続される。本実施形態では、所定期間（５００ｍｓ）は、３２ｍｓの処理期間で監視部３０および検査部４０の処理が繰り返される通常処理期間と、所定期間５００ｍｓが終了するまでの最終処理期間（５０ｍｓ）とに分けられている。処理期間の３２ｍｓおよび最終処理期間の５０ｍｓも、要求仕様に応じて適宜設定されるものである。

検査部４０は、５００ｍｓの所定期間において、今までテスト処理およびテスト処理の検査対象である監視処理のいずれも実行されておらず、実行状況フラグが「未」であるテスト処理の実行を、テーブル２００における実行回数が少ないものから順に、３２ｍｓの各処理期間で１回、３２ｍｓ毎に監視部３０に要求する。本実施形態では、検査部４０が３２ｍｓ毎に監視部３０に要求するテスト処理の処理数は、最大ですべてのテスト処理数の１％に設定されている。

そして、最終処理期間（５０ｍｓ）の開始時に、検査部４０は、実行状況フラグが「未」のテスト処理の実行をすべて監視部３０に要求する。最終処理期間が開始する直前の処理期間は、２ｍｓだけ長くして３４ｍｓにしてもよいし、２ｍｓだけ実行して最終処理期間の処理に移行してもよい。

検査ＣＰＵ６０の検査部６２は、検査部４０の検査処理部４２から監視部３０の監視処理が異常であると通知されているにも関わらず、検査処理部４２によりメインＣＰＵ２０がリセットされない場合、メインＣＰＵ２０を強制的にリセットする信号を出力する。

次に、監視部３０および検査部４０が実行する各処理について説明する。
（監視処理）
監視部３０は図４の監視処理を、制御部２２が制御処理を実行するタイミングに同期して実行する。監視部３０の実行処理部３２は、入力した各種信号等に基づいて制御部２２と同じ制御処理を実行し（Ｓ４００）、監視処理部３４は実行処理部３２が実行した制御処理のＩＤを確認する（Ｓ４０２）。

尚、本実施形態では、監視処理のすべてがテスト処理の検査対象ではないので、制御処理および監視処理に付されたＩＤの中には、テスト処理に付されたＩＤと異なるものがある。

制御処理のＩＤがテスト処理のＩＤと同じ場合（Ｓ４０４：Ｙｅｓ）、監視処理部３４は、入力した各種信号の値と実行処理部３２が実行した制御処理の結果と制御処理のＩＤとを、監視結果として検査部４０に出力する（Ｓ４０６）。

制御処理のＩＤがテスト処理のＩＤと異なり、監視部３０が実行した監視処理が検査部４０が監視部３０に要求するテスト処理の対象ではない場合（Ｓ４０４：Ｎｏ）、監視処理部３４は、監視処理による監視結果を検査部４０に出力しない。

尚、図４のフローチャートには示されていないが、前述したように、監視処理部３４は、制御部２２による制御処理の結果と実行処理部３２による制御処理の結果とを比較し、制御部２２による制御処理の結果が各種信号から生成される適正な範囲内であるか否かを判定する監視処理も行う。この監視処理による判定に基づいて、監視処理部３４は、出力段７０に対するイネーブル信号のオン、オフを決定する。

（テスト制御処理）
図５のテスト制御処理は、図３に示すように、検査部４０が処理結果として、各処理期間（３２ｍｓ）で監視結果またはテスト結果を監視部３０から受信するか、あるいは最終処理期間（５０ｍｓ）で監視部３０からテスト結果を受信すると起動する。

監視部３０が受信した処理結果がテスト結果の場合（Ｓ４１０：Ｎｏ）、監視部３０はＳ４１４に処理を移行する。
監視部３０が受信した処理結果が監視結果の場合（Ｓ４１０：Ｙｅｓ）、テスト制御処理部４４は、テーブル２００において、受信したＩＤに対応する監視処理の実行回数を＋１し（Ｓ４１２）、Ｓ４１４に処理を移行する。

Ｓ４１４においてテスト制御処理部４４は、受信したＩＤに対応する実行状況フラグを「済」に設定し（Ｓ４１４）、実行回数の少ない順にテーブル２００をソートする（Ｓ４１６）。

例えば、監視部３０から受信した処理結果のＩＤが「１」であれば、テスト制御処理部４４は、図２に示す状態から、ＩＤ＝１に対応するテスト処理である点火異常時処理の実行回数を「０」から「１」にし、実行状況フラグを「未」から「済」にする。点火異常時処理の実行回数が「０」から「１」になっても、実行回数の順番に変更はない。

尚、図５のフローチャートには示されていないが、検査部４０が監視部３０から監視結果またはテスト結果を受信すると、前述したように、検査処理部４２は、監視部３０の実行処理部３２が実行した制御処理の結果が適正な範囲内であるか否かを判定する検査処理を行う。

実行処理部３２による制御処理の結果が適正な範囲内ではない場合、検査処理部４２は、自ＣＰＵであるメインＣＰＵ２０を強制的にリセットする処理を行うとともに、検査ＣＰＵ６０に監視部３０が異常状態であることを通知する。

（テスト要求処理１）
図６のテスト要求処理１は、図３に示すように、最終処理期間（５０ｍｓ）を除く３２ｍｓ毎に実行される。テスト制御処理部４４は、記憶部５０に記憶されているテーブル２００から、実行状況フラグが「未」であるテスト処理のうち実行回数が少ないものを検索し（Ｓ４２０）、最大でテスト処理の総数の１％に相当する数のテスト処理の実行を監視部３０に要求する（Ｓ４２２）。

テスト制御処理部４４は、実行を要求するテスト処理のＩＤを送信することにより、テスト処理の実行を要求する。また、テスト制御処理部４４は、該当するテスト処理を実行する関数の呼び出しを監視部３０に要求してもよい。

（テスト処理）
図７のテスト処理は、検査部４０からテスト処理の実行要求を監視部３０が受信すると起動する。監視部３０は、受信したＩＤに対応するテスト処理と制御部２２の制御処理を監視する監視処理との実行要求の優先度を、実行要求のあったテスト処理のＩＤと監視処理のＩＤとを比較して判定する（Ｓ４３０）。

実行要求のあったテスト処理の優先度が監視処理よりも高い場合（Ｓ４３０：Ｙｅｓ）、監視部３０の実行処理部３２は、ＩＤに対応するテスト処理を実行し（Ｓ４３２）、監視処理部３４はテスト処理を実行したテスト結果を検査部４０に送信する（Ｓ４３４）。

実行要求のあったテスト処理の優先度が監視処理の優先度以下の場合（Ｓ４３０：Ｎｏ）、実行処理部３２は、監視処理の優先度がテスト処理の優先度より低くなるまで待ち合わせる。

（テスト要求処理２）
図８のテスト要求処理２は、図３に示すように、最終処理期間（５０ｍｓ）が開始すると起動する。検査部４０は、記憶部５０に記憶されているテーブル２００から、実行状況フラグが「未」であるテスト処理を検索し（Ｓ４４０）、該当するすべてのテスト処理の実行を、実行回数の少ないものから順番にテスト処理のＩＤを送信することにより監視部３０に要求する（Ｓ４４２）。最終処理期間（５０ｍｓ）で、実行状況フラグが「未」であるテスト処理がすべて実行できるように、３２ｍｓの処理期間で実行するテスト処理の処理量と最終処理期間の長さとが設定されている。

この場合、監視部３０は、検査部４０から実行を要求されたテスト処理と監視部３０における監視処理の実行要求の優先度に関わらず、要求されたすべてのテスト処理を実行する。

以上説明した上記実施形態によれば、監視部３０は、検査部４０による検査対象である監視処理を実行すると、監視処理の監視結果を検査部４０に出力する。検査部４０は、監視部３０が出力した監視結果を検査対象とするテスト処理について、テーブル２００の実行状況フラグを「済」に設定することにより、５００ｍｓの所定期間において、「済」になっているテスト処理の実行を監視部３０に要求しない。

これにより、各所定期間において、テスト処理と、このテスト処理が検査対象とする監視処理とを重複して実行することを防止できるので、ＥＣＵ１０の処理負荷を低減できる。

また、検査部４０は、テスト処理毎にテスト処理の検査対象である監視処理を監視部３０が実行した実行回数をカウントしてテーブル２００に記憶し、実行状況フラグが「未」のテスト処理の中で、記憶された実行回数の少ない監視処理を検査対象とするテスト処理から順番に監視部３０に実行を要求する。

実行回数の少ない監視処理を監視部３０が実行する可能性は低いので、記憶された実行回数の少ない監視処理を検査対象とするテスト処理を優先的に実行しても、各所定期間において、監視処理とテスト処理とが重複して実行されることを極力防止できる。

また、５００ｍｓの所定期間が終了するまでの最終処理期間において、テスト処理と、このテスト処理が検査対象とする監視処理とのいずれも実行されていない、つまり実行状況フラグが「未」であるすべてのテスト処理の実行を監視部３０に要求する。

これにより、各所定期間において、テスト処理と、このテスト処理が検査対象とする監視処理との少なくともいずれか一方を監視部３０は実行することができる。
また、最終処理期間を除く通常処理期間においては、実行状況フラグが「未」のテスト処理について、３２ｍｓの各処理期間でテスト処理数全体の１％までに実行数を制限するので、最終処理期間を除く通常処理期間において、テスト処理と、このテスト処理が検査対象とする監視処理とが重複して実行されることを極力防止できる。

［他の実施形態］
上記実施形態では、ＥＣＵ１０を本発明の電子制御装置として説明したが、本発明の電子制御装置は少なくとも上記実施形態の監視部３０および検査部４０から構成されていればよい。

また、本発明の電子制御装置は、上記実施形態に例示したガソリンエンジン車に限らず、ディーゼルエンジン車、電気自動車、またはハイブリッド車のいずれに適用してもよい。

このように、本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。

１０：ＥＣＵ（電子制御装置、制御手段、監視手段、検査手段）、２２：制御部（制御手段）、３０：監視部（監視手段）、４０：検査部（検査手段）、５０：記憶部、６０：検査ＣＰＵ

Claims (4)

1. 車両に搭載された制御対象に対する制御手段（２２）による制御処理を監視する監視手段（３０、Ｓ４００〜Ｓ４０６、Ｓ４３０〜Ｓ４３４）と、
   前記制御処理を監視する前記監視手段による複数の監視処理のうち、検査対象である前記監視処理が正常に機能しているか否かを検査するためのテスト処理の実行を前記監視手段に要求する検査手段（４０、Ｓ４１０〜Ｓ４１６、Ｓ４２０、Ｓ４２２、Ｓ４４０、Ｓ４４２、Ｓ４５０）と、
   を備え、
   前記監視手段（Ｓ４０６）は、前記検査手段による検査対象である前記監視処理を行ったときの監視結果を前記検査手段に出力し、
   前記検査手段（Ｓ４２０、Ｓ４２２、Ｓ４４０、Ｓ４４２）は、前記監視手段が前記監視結果を出力すると、出力された前記監視結果に対応する前記監視処理を検査対象とする前記テスト処理の実行を前記監視手段に要求しない、
   ことを特徴とする電子制御装置（１０）。
2. 前記検査手段（Ｓ４１２）は、前記テスト処理毎に前記テスト処理の検査対象である前記監視処理を前記監視手段が実行した実行回数を記憶部（５０）に記憶し、前記実行回数の少ない前記監視処理を検査対象とする前記テスト処理から順番に前記監視手段に実行を要求することを特徴とする請求項１に記載の電子制御装置。
3. 前記検査手段（Ｓ４１４）は、所定期間毎に各テスト処理について、前記テスト処理と、前記テスト処理が検査対象とする前記監視処理との少なくともいずれかを前記監視手段が実行したか否かを前記記憶部に記憶し、前記所定期間において、実行していないと記憶された前記テスト処理のうち、前記実行回数の少ない前記監視処理を検査対象とする前記テスト処理から順番に前記監視手段に実行を要求することを特徴とする請求項２に記載の電子制御装置。
4. 前記検査手段（Ｓ４４０、Ｓ４４２）は、前記所定期間が終了するまでの所定の最終処理期間において、実行していない前記テスト処理のすべての実行を前記監視手段に要求することを特徴とする請求項３に記載の電子制御装置。

Images