JP7251469B2 - 電子制御装置 - Google Patents

Description

本開示は、車両の異常を監視する技術に関する。

例えば、下記特許文献１では、車両の制御を行うマイコンに異常が生じたか否かを、マイコンとは異なる監視ＩＣによって検出する、という技術が開示されている。

特開２００８－２２６０４３号公報

上述の技術では、マイコンは、制御モードを決定し、そして、決定した制御モードで制御を行うように構成されている。
発明者の詳細な検討の結果、上述の技術では、監視ＩＣは、マイコンに異常が生じた場合に、制御モードを把握できないおそれがあり、制御モードに応じたフェールセーフ制御を行うことが困難である、という課題が見出された。

本開示の１つの局面は、車両の制御を行うマイコンに異常が生じた場合に、制御モードを推定し、推定した制御モードに応じたフェールセーフ制御を行う技術を提供することにある。

本開示の１つの局面は、車両に搭載され、予め定められた制御対象の制御を行う電子制御装置（２０）であって、制御部（２２）と、監視部（２４）と、を備える。制御部は、制御対象の制御態様を示す複数の制御モードのうちから１つの制御モードを決定し、制御対象の制御を行うように構成される。監視部は、制御部を監視するように構成される。また、監視部は、判定部（５１）と、推定部（５２）と、決定部（５３）と、を備える。判定部は、制御部に異常が生じているか否かを判定する。推定部は、制御部によって決定された制御モードを推定する。決定部は、制御部に異常が生じていると判定されたときに、推定部によって推定された制御モードである推定モード毎に異なる態様のフェールセーフ制御を行う。

このような構成によれば、監視部は、推定部によって制御部による制御モードを推定することができる。この結果、監視部は、制御部に異常が生じた場合に、推定された制御モードに応じたフェールセーフ制御を行うことができる。

第１実施形態のＥＣＵの構成を示すブロック図である。 制御モードを説明する説明図である。 監視ＩＣによる作動を説明する説明図である。 第２実施形態のＥＣＵの構成を示すブロック図である。

以下、図面を参照しながら、本開示の例示的な実施形態を説明する。なお、本明細書において、「同様」とは、厳密な意味での同様に限るものではなく、同様の効果を奏するのであれば厳密に同様でなくてもよい。
［１．第１実施形態］
［１－１．構成］
＜全体構成＞
本開示が適用された実施形態の電子制御装置（以下、ＥＣＵ）は、車両に搭載され、予め定められた制御対象の制御を行う。なお、本実施形態のＥＣＵは、例えば、車両に搭載されたエンジンを制御対象として、エンジンの制御を行うためのものである。

第１実施形態のＥＣＵ１０は、例えば、各種センサ及び各種装置から入力される状態信号に基づき、エンジンを作動させるための複数のアクチュエータの制御量を決定する、といった制御機能を実現する。

状態信号とは、ＥＣＵ１０へ入力される信号であって、車両の状態を表す種々の信号である。車両の状態とは、車両の動作状態をいう。状態信号には、例えば、要求トルク信号、エンジン回転数信号、が含まれ得る。
要求トルク信号は、要求トルクを示す信号である。要求トルクとは、運転者からの要求に応じてエンジンによって出力させるトルクである。要求トルクは、例えば、運転者によるアクセルペダルの操作量を示すアクセル開度及びエンジン回転数の検出結果に基づいて、予め定められたマップ等を用いて特定され得る。

エンジン回転数信号はエンジン回転数を示す信号である。エンジン回転数は、例えば、図示しないクランク角センサ及びカム角センサの検出結果に基づくクランク角度から特定され得る。

ＥＣＵ１０以外の他の装置によって、これらの状態信号によって示される車両の状態が検出され、状態信号が生成され、生成された状態信号がＥＣＵ１０へ入力される。ＥＣＵ１０は、これらの他の装置と通信線によって接続されている。なお、状態信号によって示される車両の状態を検出するための各種センサとＥＣＵ１０とが通信線により接続され、これらの車両の状態がＥＣＵ１０によって検出され、ＥＣＵ１０によって状態信号が生成されてもよい。

エンジンは、複数のアクチュエータによって制御が行われる。ここでいう複数のアクチュエータは、第１のアクチュエータと、第１のアクチュエータとは異なる第２のアクチュエータとを備える。本実施形態では、電子スロットル３１が第１のアクチュエータに相当し、インジェクタ３２が第２のアクチュエータに相当する。

電子スロットル３１は、図示しないシリンダへの吸気通路に設けられ、電子スロットル３１への通電電流の大きさと極性とに応じてスロットル開度を調整し、シリンダ内に吸入される空気量を調節する。電子スロットル３１を駆動する通電電流は、後述する第１の駆動装置６１から出力される。なお、通電電流が０の場合は、電子スロットル３１はスロットル開度が予め定められた数度程度の僅かな開度（以下、初期開度）で維持され、シリンダ内には僅かな空気が吸入される。

インジェクタ３２は、図示しない吸気通路に、電子スロットル３１よりもシリンダに近い側に設けられ、インジェクタ３２への通電電流の大きさと通電時間に応じて、シリンダに吸入される燃料の噴射量を調節する。インジェクタ３２を駆動する通電電流は、後述する第２の駆動装置６２から出力される。なお、通電電流が０の場合、インジェクタ３２は、作動せず、シリンダ内には燃料が噴射されない。

＜ＥＣＵ１０の構成＞
図１に示すように、ＥＣＵ１０は、入力部２１と、マイコン２２と、出力部２３と、監視ＩＣ２４と、を備える。

入力部２１は、ＥＣＵ１０の外部から上述の状態信号が入力される回路である。
マイコン２２は、少なくとも、予め定められた制御対象（すなわち、エンジン）の制御態様を示す複数の制御モードのうちから１つの制御モードを決定し、決定した制御モードで制御対象（すなわち、エンジン）の制御を行う。マイコン２２は、制御モードに応じて制御対象（すなわち、エンジン）の制御を行うための複数の制御信号を生成する。複数の制御モードは、第１の制御モードと第２の制御モードとを備える。

複数の制御信号には、第１の制御信号Ｓ１と第２の制御信号Ｓ２とが含まれる。第１の制御信号Ｓ１は、第１のアクチュエータである電子スロットル３１を駆動させるための信号である。第２の制御信号Ｓ２は、第２のアクチュエータであるインジェクタ３２を駆動させるための信号である。第１の制御信号Ｓ１と第２の制御信号Ｓ２とは、それぞれ、出力部２３へ出力される。マイコン２２の詳細については後述する。

出力部２３は、複数の駆動装置を備える。複数の駆動装置は、第１の駆動装置６１と第２の駆動装置６２とを備える。第１の駆動装置６１は、第１の制御信号Ｓ１に基づいて、第１のアクチュエータである電子スロットル３１に、電子スロットル３１を駆動する駆動信号（以下、第１の駆動信号）Ｄ１を与える。具体的には、第１の駆動信号Ｄ１とは、上述の電子スロットル３１を駆動する通電電流をいう。

また、第１の駆動装置６１は、監視ＩＣ２４から出力される第１のフェールセーフ信号Ｃ１に従って、電子スロットル３１への第１の駆動信号Ｄ１の出力を停止する。例えば、第１の駆動装置６１は、ハイレベル及びローレベルの２値のうちハイレベルを示す第１のフェールセーフ信号Ｃ１に従って、電子スロットル３１への第１の駆動信号Ｄ１の出力を停止する。

第２の駆動装置６２は、第２の制御信号Ｓ２に基づいて、第２のアクチュエータであるインジェクタ３２に、インジェクタ３２を駆動する駆動信号（以下、第２の駆動信号）Ｄ２を与える。具体的には、第２の駆動信号Ｄ２とは、上述のインジェクタ３２を駆動する通電電流をいう。

また、第２の駆動装置６２は、監視ＩＣ２４から出力される第２のフェールセーフ信号Ｃ２に従って、インジェクタ３２への第２の駆動信号Ｄ２の出力を停止する。例えば、第２の駆動装置６２は、ハイレベル及びローレベルの２値のうちハイレベルを示す第２のフェールセーフ信号Ｃ２に従って、インジェクタ３２への第２の駆動信号Ｄ２の出力を停止する。

監視ＩＣ２４は、マイコン２２の作動を監視するＩＣである。監視ＩＣ２４の詳細については後述する。
＜マイコン２２の構成＞
マイコン２２は、ＣＰＵ１０１、ＲＯＭ、ＲＡＭ、及びフラッシュメモリ等の半導体メモリ（以下、メモリ）１０２を含む。ＥＣＵ１０は、ＣＰＵ１０１が非遷移有形記録媒体に格納されたプログラムを実行することにより、後述する各機能を実現する。メモリ１０２が、コンピュータプログラムを格納する非遷移有形記録媒体に該当する。また、このコンピュータプログラムの実行により、コンピュータプログラムに対応する方法が実行される。マイコン２２は、エンジンを制御するための各種機能を実現する。

具体的には、ＥＣＵ１０は、図１に示すように、対象制御部４１と、検査部４２と、管理部４３と、の機能を備える。
対象制御部４１は、複数の制御モードのうちから１つの制御モードを決定し、決定された制御モードで制御対象の制御を行う。制御モードは、制御対象の制御態様を示す。制御対象がエンジンである本実施形態では、複数の制御モードは、異なる空燃比を実現する制御モードである。具体的には、ストイキ制御と、リーンバーン制御とが、複数の制御モードに相当する。また、ストイキ制御が第１の制御モードに相当し、リーンバーン制御が第２の制御モードに相当する。

対象制御部４１は、複数の状態信号を取得し、取得した状態信号に基づいて、予め定められた処理によって、上述の複数の制御モードのうちから１つの制御モードを決定する。本実施形態では、要求トルク信号と、エンジン回転数信号とが、１つの制御モードを決定するための複数の状態信号に相当する。

例えば、上述のメモリ１０２には、要求トルク信号が示す要求トルクと、エンジン回転数信号が示すエンジン回転数と、制御モードと、を図２に示すように対応付けたマップが、予め記憶されていてもよい。対象制御部４１は、このようなマップを用いた処理によって、ストイキ制御及びリーンバーン制御のうちの一方を、１つの制御モードとして決定する。

そして、対象制御部４１は、電子スロットル３１及びインジェクタ３２の制御量が決定した制御モードに応じた制御量となるように、第１の制御信号Ｓ１と第２の制御信号Ｓ２とを生成する。

対象制御部４１は、第１の駆動装置６１に対して第１の制御信号Ｓ１を出力する。これにより、第１の制御信号Ｓ１に基づく第１の駆動信号Ｄ１が電子スロットル３１に出力され、電子スロットル３１は制御モードに応じて作動する。対象制御部４１は、第２の駆動装置６２に対して第２の制御信号Ｓ２を出力する。これにより、第２の制御信号Ｓ２に基づく第２の駆動信号Ｄ２がインジェクタ３２に出力され、インジェクタ３２は制御モードに応じて作動する。
このように、対象制御部４１は、駆動信号であって複数の制御モードのうちから決定された１つの制御モードに応じて複数のアクチュエータ（すなわち、電子スロットル３１、インジェクタ３２）それぞれを駆動させる駆動信号、を出力するための制御を行っている。

また、対象制御部４１は、後述する検査部４２から送信されたテスト信号を受信すると、そのテスト信号に含まれる質問に応じたテストを実施して、その実施結果を回答として、回答を含む回答信号を検査部４２へ送信する。

検査部４２は、予め定められた周期で、対象制御部４１に対して上述のテスト信号を送信し、上述のテスト信号に含まれる質問に対する回答信号を受信する。質問は、対象制御部４１に、対象制御部４１の機能を検証するための質問に応じたテストを実施させるために予め設定されたものである。

管理部４３は、回答信号に含まれる回答を示すテスト結果信号生成し、生成したテスト結果信号を監視ＩＣ２４へ送信する。このように、検査部４２及び管理部４３は、監視ＩＣ２４に、対象制御部４１に異常が生じているか否かを判定させるための信号（すなわち、テスト結果信号）を送信する。

ところで、仮に、対象制御部４１に異常が生じた場合には、車両は安全状態（すなわち、フェールセーフ状態）に導かれる。フェールセーフ状態とは、仮に車両に異常が生じた場合であっても車両の安全が維持されている状態をいう。本実施形態では、仮に、対象制御部４１（すなわち、マイコン２２）に異常が生じた場合には、後述する監視ＩＣ２４によって、制御モードに応じて異なるフェールセーフ状態が実現され得る。以下、それぞれの制御モードにおいて実現され得るフェールセーフ状態について説明する。

ここで、ストイキ制御では、対象制御部４１は、マイコン２２の正常時には、空燃比値が例えば１４－１５Ａ／Ｆとなるように電子スロットル３１及びインジェクタ３２を駆動させるために、第１の制御信号Ｓ１及び第２の制御信号Ｓ２を生成する。ストイキ制御では、相対的に多量の燃料がインジェクタ３２によって噴射され、噴射される燃料量に応じた相対的に多量の空気が電子スロットル３１によって吸入されるように制御が行われる。

例えば、ストイキ制御では、吸入される空気量を減少させることで、インジェクタ３２によって噴射される燃料量に応じたエンジン内での爆発及び燃焼を維持することが困難になる。これにより、駆動出力が制限され、例えば車両の急な加速といった運転者が意図しないような車両の動作が抑制されるという安全状態を維持した上で、車両を少なくとも走行させることができる。このように、駆動出力が制限され、且つ車両を可能な限り走行させることができる状態、を退避走行という。

つまり、ストイキ制御では、マイコン２２に異常が生じた場合に、吸入される空気量を減少させることで、フェールセーフ状態（すなわち、退避走行）が実現される。具体的には、後述するように、第１の駆動信号Ｄ１の出力を停止させることで、退避走行が実現される。

一方、リーンバーン制御では、対象制御部４１は、マイコン２２の正常時には、空燃比値が例えば１８－３０Ａ／Ｆとなるように電子スロットル３１及びインジェクタ３２を駆動させるために、第１の制御信号Ｓ１及び第２の制御信号Ｓ２を生成する。リーンバーン制御では、相対的に少量の燃料がインジェクタ３２によって噴射され、噴射される燃料量に応じた相対的に少量の空気が電子スロットル３１によって吸入されるように制御が行われる。つまり、相対的に少量の空気によって、エンジン内での爆発及び燃焼が得られるよう制御が行われる。

例えば、リーンバーン制御では、吸入される空気量を更に減少させても、エンジン内での爆発及び燃焼が維持され、少ない噴射量の燃料で駆動出力が増加するおそれがある。リーンバーン制御では、吸入される空気量を減少させると共に更に燃料の供給を停止させてエンストを生じさせることで、エンジンを停止させる。これにより、駆動出力が停止する。

つまり、リーンバーン制御では、マイコン２２に異常が生じた場合に、吸入される空気量を減少させると共に燃料の供給を停止させることで、フェールセーフ状態（すなわち、エンスト）が実現される。具体的には、後述するように、第１の駆動信号Ｄ１及び第２の駆動信号Ｄ２の両方の出力を停止させることで、エンストが実現される。

＜監視ＩＣ２４の構成＞
監視ＩＣ２４は、マイコン２２の動作を監視し、マイコン２２に異常が生じていると判定されたときに、マイコン２２の制御モードを推定し、マイコン２２の制御モードに応じたフェールセーフ制御を行うＩＣである。フェールセーフ制御とは、車両（例えば、マイコン２２）に異常が生じた場合にフェールセーフ状態を実現するための制御である。具体的には、監視ＩＣ２４は、図１に示すように、判定部５１と、推定部５２と、決定部５３と、の機能を備える。

判定部５１は、マイコン２２からテスト結果信号を受信し、テスト結果信号と期待値とを比較し、マイコン２２が正常であるか異常であるかを判定し、判定結果を示す判定信号を決定部５３へ出力する。

判定部５１は、例えば、テスト結果信号と期待値とが一致する場合に、マイコン２２が正常であると判定してもよい。期待値は、監視ＩＣ２４が備える図示しないメモリに予め記憶されている。又は、判定部５１は、テスト結果信号と期待値とが一致しない場合に、マイコン２２が正常であると判定してもよい。

判定信号は、判定結果毎に異なる信号であればよい。判定部５１は、本実施形態では、マイコン２２が正常であると判定されると、ローレベルを示す信号を判定信号として出力し、異常であると判定されると、ハイレベルを示す信号を判定信号として出力する。

推定部５２は、少なくとも１つの状態信号を取得し、取得した状態信号に基づいて予め定められた処理によって、マイコン２２（すなわち、対象制御部４１）によって決定された、マイコン２２が実行している上述の１つの制御モードを推定する。本実施形態では、推定部５２は、マイコン２２（すなわち、対象制御部４１）と同様の状態信号を取得し、取得した該状態信号基づいてマイコン２２（すなわち、対象制御部４１）と同様の処理によって、マイコン２２によって決定された制御モードを推定する。

具体的には、本実施形態では、推定部５２は、要求トルク信号とエンジン回転数信号を取得する。推定部５２は、これらの状態信号に基づいて、上述の図２に示すマップを用いた処理によって、ストイキ制御及びリーンバーン制御のうちから１つを、対象制御部４１によって決定された１つの制御モードとして推定する。マップは、監視ＩＣ２４が備える図示しないメモリに予め記憶されている。

以下では、推定部５２によって推定された制御モードであって、対象制御部４１（すなわち、マイコン２２）が決定したと推定される制御モードを、推定モードという。推定部５２は、推定モードを示す推定モード信号を決定部５３へ出力する。推定モード信号は、推定モード毎に異なる信号であればよい。推定部５２は、本実施形態では、推定モードがストイキ制御であるときにハイレベルを示す信号を推定モード信号として出力し、推定モードがリーンバーン制御であるときにローレベルを示す信号を推定モード信号として出力する。

決定部５３は、マイコン２２に異常が生じていると判定された場合に、推定部５２によって推定された推定モード毎に異なる態様のフェールセーフ制御を行う。
決定部５３は、マイコン２２に異常が生じていると判定されたとき、推定モードが第１の制御モード（すなわち、ストイキ制御）である場合に、電子スロットル３１に対する制御を、フェールセーフ制御として行う。また、決定部５３は、判定モードが第２の制御モード（すなわち、リーンバーン制御）である場合に、電子スロットル３１及びインジェクタ３２の両方に対する制御を、フェールセーフ制御として行う。

具体的には、図３に示すように、決定部５３は、マイコン２２に異常が生じていると判定されたとき、推定モードがストイキ制御である場合に、フェールセーフ制御としてハイレベルを示す第１のフェールセーフ信号Ｃ１を第１の駆動装置６１へ出力する。且つ、ローレベルを示す第２のフェールセーフ信号Ｃ２を第２の駆動装置６２へ出力する。これにより、電子スロットル３１への第１の駆動信号Ｄ１の出力が停止され、且つ、インジェクタ３２への第２の駆動信号Ｄ２の出力は停止されない（すなわち、出力される）。

また、決定部５３は、マイコン２２に異常が生じていると判定されたとき、推定モードがリーンバーン制御である場合に、フェールセーフ制御としてハイレベルを示す第１のフェールセーフ信号Ｃ１を第１の駆動装置６１へ出力する。且つ、ハイレベルを示す第２のフェールセーフ信号Ｃ２を第２の駆動装置６２へ出力する。これにより、電子スロットル３１への第１の駆動信号Ｄ１の出力が停止され、且つ、インジェクタ３２への第２の駆動信号Ｄ２の出力が停止される。

［１－２．作動］
このように構成された監視ＩＣ２４の監視に基づく車両の状態を、図３に基づいて説明する。

（作動１）判定部５１によってマイコン２２が正常であると判定されたときは、推定部５２による推定モードの種類に拘わらず、決定部５３は、ローレベルを示す第１のフェールセーフ信号Ｃ１を第１の駆動装置６１に出力する。且つ、決定部５３は、ローレベルを示す第２のフェールセーフ信号Ｃ２を第２の駆動装置６２に出力する。つまり、第１の駆動装置６１の出力停止が非アクティブにされ、且つ、第２の駆動装置６２の出力停止が非アクティブにされる。

これにより、電子スロットル３１及びインジェクタ３２は、制御モードに応じた第１の駆動信号Ｄ１及びに第２の駆動信号Ｄ２に従って、正常な動作（以下、正常動作）を行う。この結果、車両では、制御モードに応じた正常な走行（以下、正常走行）が行われる。

（作動２）判定部５１によってマイコン２２が異常であると判定されたとき、推定部５２による推定モードがストイキ制御である場合は、決定部５３は、ハイレベルを示す第１のフェールセーフ信号Ｃ１を第１の駆動装置６１に出力する。且つ、決定部５３は、ローレベルを示す第２のフェールセーフ信号Ｃ２を第２の駆動装置６２に出力する。つまり、第１の駆動装置６１の出力停止がアクティブにされ、且つ、第２の駆動装置６２の出力停止が非アクティブにされる。

これにより、電子スロットル３１は初期開度で維持され、インジェクタ３２は制御モードに応じた第２の駆動信号Ｄ２に従って正常動作を行う。つまり、ストイキ制御において吸入空気量が制限されるので、車両では、退避走行がフェールセーフ状態として実現される。

（作動３）判定部５１によってマイコン２２が異常であると判定されたとき、推定部５２による推定モードがリーンバーン制御である場合は、決定部５３は、ハイレベルを示す第１のフェールセーフ信号Ｃ１を第１の駆動装置６１に出力する。且つ、決定部５３は、ハイレベルを示す第２のフェールセーフ信号Ｃ２を第２の駆動装置６２に出力する。つまり、第１の駆動装置６１の出力停止がアクティブにされ、且つ、第２の駆動装置６２の出力停止がアクティブにされる。

これにより、電子スロットル３１は初期開度で維持され、インジェクタ３２は燃料の供給を停止する。つまり、リーンバーン制御において吸入空気量が制限され且つ燃料の供給が停止されるので、車両では、エンストがフェールセーフ状態として実現される。

［１－３．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）従来装置では、車両の制御モードは、例えば車両の制御を行う制御装置にて決定されており、制御装置に異常が生じた場合には、該制御装置以外の装置において制御モードを特定することが困難であった。つまり、制御モードに応じたフェールセーフ制御を実行することが困難であった。

本実施形態では、監視ＩＣ２４にて、推定部５２によって、マイコン２２に異常が生じた場合にもマイコン２２で実行されていた制御モードが推定される。これにより、マイコン２２に異常が生じた場合に、制御モードに応じて異なる態様のフェールセーフ制御を行うことができる。つまり、制御モード毎に、より細分化されたフェール制御を実行することができる。

（１ｂ）監視ＩＣ２４にて、推定部５２によって、マイコン２２と同じ状態信号を用いて、マイコン２２と同じ処理に基づいて、マイコン２２によって決定された制御モードが推定される。そして、決定部５３によって、このように推定された推定モード毎に異なる態様のフェールセーフ制御が行われる。

これにより、マイコン２２と異なる状態信号に基づいて推定モードを推定する場合及びマイコン２２と異なる処理に基づいて推定モードを推定する場合よりも、推定モードの推定精度が向上する。そして、向上した推定モードに基づくフェールセーフ制御を実行されるので、より車両の安全を維持可能なフェールセーフ制御を実行することができる。

（１ｃ）監視ＩＣ２４にて、決定部５３は、第１の制御モードであるストイキ制御のときに電子スロットル３１及びインジェクタ３２のうちの一方である電子スロットル３１に対する制御（すなわち、停止制御）をフェールセーフ制御として行ってもよい。また、決定部５３は、第２の制御モードであるリーンバーン制御のときに、電子スロットル３１及びインジェクタ３２の両方に対する制御（すなわち、停止制御）をフェールセーフ制御として行ってもよい。これにより、制御モードに応じて、異なるフェールセーフ制御を行うことができる。

（１ｄ）決定部５３は、マイコン２２に異常が生じていると判定されたとき、推定モードがストイキ制御である場合に、電子スロットル３１への第１の駆動信号Ｄ１の出力を停止させる制御をフェールセーフ制御として行ってもよい。これにより、推定モードに応じて、駆動出力を制限し、退避走行を実現するフェールセーフ制御を行うことができる。つまり、推定モードに応じて、車両の安全性を維持すると共に、可能な限り車両を走行可能とするという車両の商品性を向上させるフェールセーフ制御を行うことができる。

（１ｅ）決定部５３は、マイコン２２に異常が生じていると判定されたとき、推定モードがリーンバーン制御である場合に、電子スロットル３１への第１の駆動信号Ｄ１の出力を停止させ、且つ、インジェクタ３２への第２の駆動信号Ｄ２の出力を停止させてもよい。これにより、推定モードに応じて、車両を停止させるフェールセーフ制御を行うことができる。つまり、推定モードに応じて、車両の安全状態への移行を最優先とするフェールセーフ制御を行うことができる。

［２．第２実施形態］
［２－１．構成］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

上述した第１実施形態では、監視ＩＣ２４は、判定部５１と推定部５２と決定部５３とを備えていた。これに対し、第２実施形態では、図４に示すように、監視ＩＣ２４は、特別停止部５４を更に備える点で、第１実施形態と相違する。

また、ＥＣＵ１０に入力される状態信号に、Ａ／Ｆ信号が更に含まれる点で、第１実施形態と相違する。Ａ／Ｆ信号は、エンジンの排気側に設けられたＡ／Ｆセンサを用いて検出される実際の空燃比、を示す信号である。

なお、第１の駆動装置６１及び第２の駆動装置６２は、少なくともローレベルのフェールセーフ信号が入力されると、その出力を停止する。つまり、第１の駆動装置６１及び第２の駆動装置６２は、仮に複数のフェールセーフ信号が入力されたとしても、そのうちの少なくとも１つがローレベルである場合は、その出力を停止する。

第２実施形態のマイコン２２は、第１実施形態のマイコン２２と同様に構成されている。つまり、対象制御部４１は、上述のように、制御モードを決定し、決定した制御モードに応じて電子スロットル３１及びインジェクタ３２を制御するための第１の制御信号Ｓ１及び第２の制御信号Ｓ２を出力する。検査部４２及び管理部４３は、上述のように、テスト結果信号を生成し、監視用信号としてのテスト結果信号を監視ＩＣ２４へ出力する。監視用信号とは、マイコン２２が正常であるか否かを判定するために用いられる信号である。

第２実施形態の監視ＩＣ２４において、判定部５１は、上述のように、テスト結果信号に基づいて、マイコン２２に異常が生じているか否かを判定し、判定結果を決定部５３へ出力する。推定部５２は、上述のように、推定モードを特定する。但し、推定部５２は、本実施形態では、推定モードに応じた推定モード信号を決定部５３及び特別停止部５４へ出力する。決定部５３は、上述のように、第１のフェールセーフ信号Ｃ１及び第２のフェールセーフ信号Ｃ２を出力する。

特別停止部５４は、推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとが一致しない場合に、判定部５１による判定結果が正しくないものとして、エンジンを停止させる制御を行う。ここでいう、判定部５１による判定結果が正しくない状態には、マイコン２２が異常である場合及び判定部５１が異常である場合の少なくとも一方が含まれる。マイコン２２及び判定部５１が正常である場合は、推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとは、ほぼ一致するためである。

具体的には、特別停止部５４は、予め定められたマップや対応情報や計算式等に基づいて、Ａ／Ｆ信号が示す空燃比が、マイコン２２が実行する複数の制御モードのうちのいずれの制御モードによって実現されるかを特定する。例えば、Ａ／Ｆ信号の値と、ストイキ制御及びリーンバーン制御のうちの一方とを対応付ける対応情報が監視ＩＣ２４に記憶されていてもよい。

特別停止部５４は、例えば、対応情報を用いて、Ａ／Ｆ信号が示す空燃比が、ストイキ制御及びリーンバーン制御のうちのいずれの制御モードによって実現されるかを特定する。特別停止部５４は、本実施形態では、Ａ／Ｆ信号が示す空燃比によって特定される制御モードがストイキ制御である場合にハイレベルの信号を実モード信号として出力し、リーンバーン制御である場合にローレベルの信号を実モード信号として出力する。

ここで、特別停止部５４は、推定モード信号と実モード信号とが一致する場合に、第１の駆動装置６１にローレベルの第３のフェールセーフ信号Ｃ３を出力し、第２の駆動装置６２にローレベルの第４のフェールセーフ信号Ｃ４を出力する。一方、特別停止部５４は、推定モード信号と実モード信号とが一致しない場合に、第１の駆動装置６１にハイレベル第３のフェールセーフ信号Ｃ３を出力し、第２の駆動装置６２にハイレベル第４のフェールセーフ信号Ｃ４を出力する。

［２－２．作動］
このように構成された監視ＩＣ２４の監視に基づく車両の状態を、以下に説明する。
（作動４）推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとが一致する場合、特別停止部５４は第１の駆動装置６１へローレベルの第３のフェールセーフ信号Ｃ３を出力する。且つ、第２の駆動装置６２へローレベルのフェールセーフ信号Ｃ４を出力する。この結果、車両では、マイコン２２が正常である場合は、制御モードに応じた正常走行が行われる。又、マイコン２２が異常である場合は、決定部５３によるフェールセーフ制御が行われる。

（作動５）推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとが一致しない場合、特別停止部５４は、判定部５１による判定結果が正しくないものとして、第１の駆動装置６１へハイレベルの第３のフェールセーフ信号Ｃ３を出力する。且つ、第２の駆動装置６２へハイレベルのフェールセーフ信号Ｃ４を出力する。この結果、車両では、エンストが生じ、車両が停止するフェールセーフ状態が実現される。

［２－３．効果］
以上詳述した第２実施形態によれば、上述した第１実施形態の効果（１ａ）－（１ｅ）を奏し、さらに、以下の効果を奏する。

（２ａ）マイコン２２では、検査部４２、管理部４３は、マイコン２２が正常であるか否かを判定するために用いられる監視用信号（すなわち、テスト結果信号）を生成して監視ＩＣ２４へ出力する。特別停止部５４は、Ａ／Ｆ信号に基づいて、判定部５１による判定結果が正しいか否かを判定する。これにより、判定結果が正しくないと判定された場合には、マイコン２２及び推定部５２のうちの少なくとも一方に異常が生じているおそれがあるものとして、適宜フェールセーフ制御を行うことが可能となる。

（２ｂ）特別停止部５４は、推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとが一致しない場合に、制御対象であるエンジンを停止させる制御を行ってもよい。これにより、仮に判定部５１によってマイコン２２が正常であると判定された場合であっても、推定モードと、Ａ／Ｆ信号が示す空燃比によって特定される制御モードとが一致しない場合には、車両を停止させ、より確実に車両の安全を維持することができる。

なお、上述の実施形態において、ＥＣＵ１０が電子制御装置に相当し、マイコン２２、対象制御部４１が制御部に相当し、監視ＩＣ２４が監視部に相当する。また、アクチュエータが駆動機構に相当し、第１のアクチュエータ、電子スロットル３１が第１の駆動機構に相当し、第２のアクチュエータ、インジェクタ３２が第２の駆動機構に相当する。検査部４２、管理部４３が監視用信号部に相当する。ストイキ制御が第１の制御モードに相当し、リーンバーン制御が第２の制御モードに相当する。Ａ／Ｆ信号が空燃比信号に相当し、テスト結果信号が監視用信号に相当する。

［３．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

（３ａ）上述の実施形態では、対象制御部４１は、要求トルク信号とエンジン回転数信号とに基づいて、制御モードを決定していた。但し、本開示はこれに限定されるものではない。対象制御部４１は、要求トルク信号に代えて、要求トルク信号と同様の信号を用いて、該要求トルク信号と同様の信号とエンジン回転数信号とに基づいて、制御モードを決定するように構成されてもよい。要求トルク信号と同様の信号には、エンジン吸入空気量を示す信号、エンジン吸気管圧力を示す信号、燃料噴射量を示す信号、点火時期を示す信号等、が含まれ得る。これらのエンジン吸入空気量、エンジン吸気管圧力、燃料噴射量、点火時期等は、いずれも、各種センサにより検出可能である。

（３ｂ）上述の実施形態では、判定部５１は、対象制御部４１と同様に、要求トルク信号とエンジン回転数信号とに基づいて、対象制御部４１と同様にマップを用いて、制御モードを推定していた。但し、本開示はこれに限定されるものではない。判定部５１は、対象制御部４１と異なる状態信号を用いて、対象制御部４１とは異なる処理によって、制御モードを推定するように構成されていてもよい。

（３ｃ）上述の実施形態において、テスト結果信号が監視用信号として用いられていたが、本開示において、監視用信号はテスト結果信号に限定されるものではない。例えば、所謂ウォッチドッグ（以下、ＷＤＧ）信号が監視用信号として用いられてもよい。この場合、検査部４２はＷＤＧ信号を生成するＷＤＧ回路であっても良く、管理部４３はＷＤＧ信号を監視ＩＣ２４へ出力する回路であってもよい。監視ＩＣ２４では、判定部５１が、ＷＤＧ信号の受信周期と、期待値としての予め定められた周期とを比較し、これらが一致する場合にマイコン２２が正常であると判定するように構成されてもよい。これによっても、上述の効果を同様に得ることができる。また、マイコン２２の異常を判定するための構成である検査部４２、管理部４３及び判定部５１を簡素に構成することができる。

（３ｄ）上述の実施形態では、制御対象がエンジンであり、制御部であるマイコン２２が複数の制御モードであるストイキ制御及びリーンバーン制御のうちから１つの制御モードを決定し、制御対象の制御を行う例を説明した。但し、本開示はこれに限定されるものではない。

例えば、制御対象は、車両の制御を行うための各種装置であり得る。例えば、対象制御部４１は、上述のエンジンなどの駆動系の各種装置や、ステアリングの操作量に従って操舵系の動作を行う各種装置や、ブレーキなどの制動系の各種装置等を制御する制御装置であり得る。

また、制御対象の複数の制御モードには、これらの制御対象についての種々の制御モードが含まれ得る。
（３ｅ）上述の実施形態では、制御対象であるエンジンが、第１の駆動機構である電子スロットル３１及び第２の駆動機構であるインジェクタ３２によって、駆動される例を説明したが、本開示はこれに限定されるものではない。第１の駆動機構及び第２の駆動機構といった、制御対象を駆動する複数の駆動機構には、制御対象に応じた種々のアクチュエータ、電子制御装置等が含まれ得る。

（３ｆ）上述の実施形態では、制御部であるマイコン２２が制御対象であるエンジンについて複数の制御モードで制御を行い、複数の制御モードが第１の制御モードであるストイキ制御と第２の制御モードであるリーンバーン制御である例を説明した。但し、本開示はこれに限定されるものではない。例えば、制御部であるマイコン２２が実行する制御対象の制御モードには、第１の制御モード及び第２の制御モードの他に、更に１又は複数の制御モードが含まれてもよい。監視ＩＣ２４は、これらの複数の制御モード（すなわち、３つ以上の制御モード）毎に異なるフェールセーフ制御が行われるように構成されてもよい。

（３ｇ）本開示に記載のＥＣＵ１０及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のＥＣＵ１０及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載のＥＣＵ１０及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。ＥＣＵ１０に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

（３ｈ）上述の実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上述の実施形態の構成の一部を省略してもよい。また、上述の実施形態の構成の少なくとも一部を、他の上述の実施形態の構成に対して付加又は置換してもよい。

（３ｉ）上述したＥＣＵ１０の他、監視ＩＣ２４、監視ＩＣ２４及びＥＣＵ１０を構成要素とするシステム、監視ＩＣ２４の機能を備えるコンピュータ、ＥＣＵ１０を機能させるためのプログラム、監視ＩＣ２４の機能を実現するプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、監視方法など、種々の形態で本開示を実現することもできる。

１０ ＥＣＵ、２２ マイコン、２３ 出力部、２４ 監視ＩＣ、５１ 判定部、５２ 推定部、５３ 決定部、１４１ 対象制御部。

Claims (8)

1. 車両に搭載され、予め定められた制御対象の制御を行う電子制御装置（２０）であって、
   前記制御対象の制御態様を示す複数の制御モードのうちから１つの前記制御モードを決定し、前記制御対象の制御を行うように構成された制御部（２２）と、
   前記制御部を監視するように構成された監視部（２４）と、
   を備え、
   前記監視部は、
   前記制御部に異常が生じているか否かを判定する判定部（５１）と、
   前記制御部によって決定された前記制御モードを推定する推定部（５２）と、
   前記制御部に異常が生じていると判定されたときに、前記推定部によって推定された前記制御モードである推定モード毎に異なる態様のフェールセーフ制御を行う決定部（５３）と、
   を備える電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   前記制御部は、前記車両の状態を表す少なくとも１つの状態信号を取得し、取得した前記状態信号に基づいて予め定められた処理によって前記１つの制御モードを決定し、
   前記監視部では、
   前記推定部は、少なくとも１つの前記状態信号を取得し、取得した前記状態信号に基づいて、前記決定された前記制御モードを推定する
   電子制御装置。
3. 請求項２に記載の電子制御装置であって、
   前記推定部は、前記制御部と同様の前記状態信号を取得し、取得した前記状態信号に基づいて、前記制御部と同様の前記処理によって、前記決定された前記制御モードを推定する
   電子制御装置。
4. 請求項１から請求項３のいずれか一項に記載の電子制御装置であって、
   前記制御対象は、駆動信号に従って駆動される複数の駆動機構によって制御が行われており
   前記制御部は、前記駆動信号であって前記複数の制御モードのうちから決定された１つの前記制御モードに応じて複数の前記駆動機構それぞれを駆動させる前記駆動信号、を出力するための制御を行い、
   前記複数の制御モードは第１の制御モードと第２の制御モードとを備え、
   前記複数の駆動機構は、第１の駆動機構と第２の駆動機構とを備え、
   前記監視部では、
   前記推定部は、前記第１の制御モード及び前記第２の制御モードのうちの１つを前記決定された１つの制御モードとして推定し、
   前記決定部は、前記制御部に異常が生じていると判定されたとき、前記推定モードが前記第１の制御モードである場合に、前記第１の駆動機構に対する制御を前記フェールセーフ制御として行い、前記推定モードが前記第２の制御モードである場合に、前記第１の駆動機構及び前記第２の駆動機構の両方に対する制御を前記フェールセーフ制御として行う
   電子制御装置。
5. 請求項４に記載の電子制御装置であって、
   前記決定部は、前記制御部に異常が生じていると判定されたとき、前記推定モードが前記第１の制御モードである場合に、前記第１の駆動機構への前記駆動信号を停止させる制御を前記フェールセーフ制御として行う
   電子制御装置。
6. 請求項４又は請求項５に記載の電子制御装置であって、
   前記決定部は、前記制御部に異常が生じていると判定されたとき、前記推定モードが前記第２の制御モードである場合に、前記第１の駆動機構への前記駆動信号を停止させ、且つ、前記第２の駆動機構への前記駆動信号を停止させる制御を前記フェールセーフ制御として行う
   電子制御装置。
7. 請求項１から請求項５のいずれか一項に記載の電子制御装置であって、
   前記制御対象はエンジンであり、
   前記複数の制御モードは異なる空燃比を実現する前記制御モードであり、
   前記制御部は、前記制御部が正常であるか否かを判定するために用いられる監視用信号を生成して前記監視部へ出力するように構成された監視用信号部（４２、４３）を更に備え、
   前記監視部では、
   前記判定部は、前記制御部から出力された監視用信号に基づいて、前記制御部に異常が生じているか否かを判定し、
   空燃比を示す空燃比信号に基づいて、前記判定部による判定結果が正しいか否かを判定する特別停止部（５４）を更に備える
   電子制御装置。
8. 請求項７に記載の電子制御装置であって、
   前記特別停止部は、
   前記推定モードと、空燃比信号が示す空燃比によって特定される前記制御モードとが一致しない場合に、前記制御対象を停止させる制御を行う
   電子制御装置。

Images