车载电子控制装置的制作方法

1.本发明涉及车辆中搭载的车载电子控制装置。


背景技术：

2.车辆所搭载的电子控制装置(electronical control unit)通常具备对ecu内的微型计算机是否在正常动作进行监视的监视部。通常是对1个微型计算机配置1个监视部。监视部例如可以由wdt(watch dog timer)构成。若监视部给出的监视结果为异常，则尝试通过将微型计算机重置而使微型计算机从异常状态中恢复。
3.下述专利文献1以“提供一种能在不增加监视用cpu的情况下以低成本实现多核cpu的故障监视的车载用电子控制装置”为课题，记载了以下技术：“将控制ic 2内的cpu核心10作为主cpu核心，将其他cpu核心20、30、40作为副cpu核心，cpu核心20、30、40算出针对cpu核心10所发送的例题数据的回答数据并发送至cpu核心10，cpu核心10算出针对监视ic 3所发送的例题数据的回答数据，而且向cpu核心20、30、40发送例题数据，根据自身的回答数据和cpu核心20、30、40所回复的回答数据来生成最终回答数据并发送至监视ic 3，监视ic 3利用从cpu核心10接收到的最终回答数据与预先准备的回答数据期待值的对照结果来进行控制ic 2的故障诊断”(参考摘要)。
4.下述专利文献2以“提供一种即便2个以上的应用中的一者检测到异常也能继续执行另一应用的信息处理装置”为课题，记载了以下技术：“其特征在于，具有多个应用、对第一计数期间内的每一应用的动作中通知的次数进行计数的应用监视单元60、以及控制应用的动作的应用控制单元32，在应用监视单元根据应用的过去的动作中通知的次数检测到应用的异常征兆的情况下，所述应用控制单元停止优先度最低的应用的动作中通知的发送，未检测到异常征兆的应用在检测到异常征兆之前的时刻和检测到异常征兆的应用发送动作中通知的时刻或其前后的时刻发送动作中通知”(参考摘要)。现有技术文献专利文献
5.专利文献1：日本专利特开2015-103052号公报专利文献2：日本专利特开2013-143093号公报


技术实现要素：

发明要解决的问题
6.近年来的车载电子控制装置开始使用具备多个处理器核心的多核微型计算机。多核微型计算机可以让每一核心执行各不相同的功能。若对每一核心配置监视部，则成本高，所以认为由1个监视部来统一监视各核心比较理想。
7.在执行多个功能的多核微型计算机中，在某一功能被监视部判定为异常时，整个微型计算机都会被重置。如此一来，在正常动作的功能也被重置，所以动作继续性受到阻碍。
尤其是在车载电子控制装置中，有时需要动作继续性，所以这样的构成并不理想。
8.专利文献1中，cpu核心10～40对监视ic 3所发送的例题数据进行中继，由此，由1个监视ic 3来监视多个cpu核心10～40。认为该构成在抑制监视ic 3的成本上是有用的。但若是某一cpu核心异常时都将整个cpu重置，则可能会阻碍动作继续性。
9.专利文献2谋求的是在2个以上的应用中的某一者异常时停止优先度最低的应用的动作中通知并继续其他应用。但根据该文献，异常时会停止优先度低的应用的动作中通知，所以对该应用的监视能力降低。即，在该文献中，当发生异常时，微型计算机变为与正常时不一样的状态。在车载电子控制装置中，不仅是微型计算机，ecu所控制的控制对象设备(车辆所配备的执行器等)也须包括在内来考虑动作继续性。像专利文献2那样将微型计算机本身设定为与正常时不一样的状态从动作继续性的观点来看也可能未必是最合适的。因为需要使微型计算机恢复至正常状态的处理。
10.本发明是鉴于上述那样的问题而成，其目的在于在控制多个功能的电子控制装置中检测到异常的情况下继续动作而不对其他方面的功能产生影响、而且确保与检测到异常的功能相对应的控制对象设备的安全性。解决问题的技术手段
11.在本发明的车载电子控制装置中，第1运算部和第2运算部分别输出动作确认信号，驱动器控制部将与所述第1运算部和所述第2运算部当中所述动作确认信号表现出异常的一方相对应的驱动器设定为简并状态。发明的效果
12.根据本发明的车载电子控制装置，可以继续动作而不对未发生异常的功能产生影响、而且确保与检测到异常的功能相对应的控制对象设备的安全性。
附图说明
13.图1为实施方式1的车载电子控制装置100的构成图。图2为说明判定部4控制各驱动器的次序的时间图。图3为说明判定部4重置微型计算机6的次序的时间图。图4为表示车载电子控制装置100所控制的设备的例子的图。
具体实施方式
14.＜实施方式1＞图1为本发明的实施方式1的车载电子控制装置100的构成图。车载电子控制装置100是搭载于车辆中的电子控制装置。车载电子控制装置100是对车辆所配备的设备(例如执行器等，具体例于后文叙述)进行控制的装置。车载电子控制装置100具备监视部1、微型计算机6(运算装置)、第1驱动器18、第2驱动器19。
15.微型计算机6具备执行程序的cpu(central processing unit)，所述程序部署有用于控制车辆所配备的设备的控制运算。微型计算机6是具备多个cpu的多处理器微型计算机。图1中展示了具备cpu 11(第1运算部)和cpu 13(第2运算部)的例子。cpu 11执行用于实现第1功能7(第1处理)的控制运算，cpu 13执行用于实现第2功能8(第2处理)的控制运算。
关于车载电子控制装置所遵循的规格上的功能安全要求等级，第1功能7的功能安全要求等级比第2功能8的功能安全要求等级高。
16.cpu 11按照控制运算结果而经由i/o电路17来输出用于控制第1驱动器18的第1驱动信号。第1驱动器18按照第1驱动信号来驱动第1设备。cpu 13按照控制运算结果而经由i/o电路17来输出用于控制第2驱动器19的第2驱动信号。第2驱动器19按照第2驱动信号来驱动第2设备。
17.cpu 11将表示自身正在执行程序的第1动作确认信号经由i/o电路17输出至监视部1。cpu 13将表示自身正在执行程序的第2动作确认信号经由i/o电路17输出至监视部1。
18.锁步9执行与cpu 11相同的运算。锁步10执行与cpu 13相同的运算。微型计算机6所配备的mpu监视部15(运算装置监视部)对cpu和锁步各自的运算结果进行比较，若两者不一致，则将表示微型计算机6为异常的信号(错误输出)输出至监视部1。
19.微型计算机6还具备存储器12和14、周边电路16等。存储器12和14分别为保存cpu 11和13所使用的数据等的存储器件。周边电路16例如为计时器、ad转换器、通信接口等微型计算机6通常所配备的其他电路。mpu监视部15除了监视各cpu以外还监视存储器12和14、周边电路16、i/o电路17是否正常，若某一个异常，则对监视部1输出错误输出。因而，mpu监视部15具有监视微型计算机6内部的不良情况的作用。
20.监视部1具备重置控制部2、响应监视部3、判定部4、驱动器控制部5。重置控制部2按照来自判定部4的指示对微型计算机6输出重置信号。响应监视部3监视cpu 11的动作。响应监视部3例如可以由wdt构成。判定部4按照后文叙述的次序来判定微型计算机6是否正常。驱动器控制部5按照来自判定部4的指示来输出控制第1驱动器18的信号(功能1输出许可信号)和控制第2驱动器19的信号(功能2输出许可信号)。
21.图2为说明判定部4控制各驱动器的次序的时间图。判定部4指示与表现出异常的动作确认信号相对应的驱动器停止输出。图2中，第2动作确认信号表现出异常，所以判定部4指示第2驱动器19停止输出。第2驱动器19自此不对第2设备输出第2驱动信号。在多个动作确认信号表现出异常的情况下，可指示与各动作确认信号相对应的驱动器停止输出。在动作确认信号表现出正常的情况下，指示对应的驱动器许可输出。
22.图3为说明判定部4重置微型计算机6的次序的时间图。像图2中说明过的那样，每当各动作确认信号表现出异常时，判定部4便指示对应的驱动器停止输出。在所有动作确认信号(本实施方式1中为第1动作确认信号和第2动作确认信号)都表现出异常而且从mpu监视部15产生了错误输出的情况下，各cpu没有正常执行程序而且微型计算机6内部也发生了不良情况。在该情况下，认为无法再继续微型计算机6的动作。因此，判定部4指示重置控制部2输出重置信号。图3中展示了在第2动作确认信号表现出异常后第1动作确认信号表现出异常、进而在其后产生了错误输出的例子。
23.＜实施方式1：总结＞本实施方式1的车载电子控制装置100是搭载于车辆中的一种车载电子控制装置(100)，具备：第1驱动器(18)，其输出对所述车辆所配备的第1设备进行驱动的第1驱动信号；第2驱动器(19)，其输出对所述车辆所配备的第2设备进行驱动的第2驱动信号；驱动器控制部(5)，其控制所述第1驱动器(18)和所述第2驱动器(19)各自的动作状态；以及运算装
置(6)，其具有多个执行用于控制所述车辆的控制处理的运算单元，所述运算装置(6)具备第1运算部(11)和第2运算部(13)作为所述运算单元，所述第1运算部(11)执行用于控制所述第1设备的第1处理而且按照其结果来控制所述第1驱动器(18)，所述第2运算部(13)执行用于控制所述第2设备的第2处理而且按照其结果来控制所述第2驱动器(19)，所述运算装置输出表示是否在正常地执行所述控制处理的确认信号，所述第1运算部(11)输出表示是否在正常地执行所述第1处理的第1动作确认信号作为所述确认信号，所述第2运算部(13)输出表示是否在正常地执行所述第2处理的第2动作确认信号作为所述确认信号，在所述第1动作确认信号表示在正常地执行所述第1处理而且所述第2动作确认信号表示没有正常地执行所述第2处理的情况下，所述驱动器控制部(5)使所述第1驱动器(18)进行平常动作，而且将所述第2驱动器(19)设定为相较于平常动作而言简并后的状态，在所述第1动作确认信号表示没有正常地执行所述第1处理而且所述第2动作确认信号表示在正常地执行所述第2处理的情况下，所述驱动器控制部(5)将所述第1驱动器(18)设定为相较于平常动作而言简并后的状态，而且使所述第2驱动器(19)进行平常动作。通过将驱动器设为简并状态，可以在使cpu继续动作的状态下使车辆的动作转变至故障安全模式。此外，无须重置微型计算机6(运算装置)，所以能避免对在正常动作的功能产生影响。
24.所述车载电子控制装置(100)还具备对所述运算装置(6)内部的不良情况进行监视的运算装置监视部(15)，所述车载电子控制装置(100)还具备输出将所述运算装置(6)重置的重置信号的重置控制部(2)，在所述确认信号表示所述运算装置(6)所配备的所有所述运算单元异常、并且所述运算装置监视部(15)检测到发生了所述运算装置(6)内部的不良情况的情况下，所述重置控制部(2)将所述重置信号输出至所述运算装置(6)，由此将所述运算装置重置。由此，在估计微型计算机6(运算装置)的异常等级高的情况下，可以尝试通过重置来恢复至正常状态。
25.所述运算装置(6)即使在所述第1动作确认信号表示没有正常地执行所述第1处理的情况下也继续所述第1运算部(11)所进行的所述第1处理，所述运算装置(6)即使在所述第2动作确认信号表示没有正常地执行所述第2处理的情况下也继续所述第2运算部(13)所进行的所述第2处理。由此，可以在不重置微型计算机6(运算装置)的情况下使车辆的动作转变至故障安全模式。
26.所述运算装置(6)即使在所述第1动作确认信号表示没有正常地执行所述第1处理的情况下也继续所述第2运算部(13)所进行的所述第2处理，所述运算装置(6)即使在所述第2动作确认信号表示没有正常地执行所述第2处理的情况下也继续所述第1运算部(11)所进行的所述第1处理。由此，可以在不重置微型计算机6(运算装置)的情况下使车辆的动作转变至故障安全模式。
27.＜实施方式2＞在实施方式1中，对按照动作确认信号将驱动器设定为简并状态的情况进行了说明。但存在以下情况：例如因i/o电路17或线路等的暂时的状态而导致动作确认信号原本应表示异常却错误地表示正常。因此，在本发明的实施方式2中，对同时使用动作确认信号/mpu监视部15/响应监视部3来判断微型计算机6是否正常的次序进行说明。车载电子控制装置100的构成与实施方式1相同。
28.(次序之一)在第1动作确认信号和第2动作确认信号均表示正常时，判定部4进一
步获取mpu监视部15的监视结果和响应监视部3的监视结果。在mpu监视部15检测到微型计算机6内部发生了不良情况、响应监视部3检测到cpu 11在正常动作的情况下，cpu 13或者与其相关的某些部分可能发生了异常。其原因在于，微型计算机6内部异常而cpu 11却在正常动作。在该情况下，即便第2动作确认信号正常，判定部4也指示停止第2驱动器19的输出。第1驱动器18继续平常动作。由此，即便在第2动作确认信号由于某些原因而错误地表示正常的情况下，也能确保第2驱动器19的故障安全。
29.(次序之二)在第1动作确认信号和第2动作确认信号均表示正常时，判定部4进一步地获取mpu监视部15的监视结果和响应监视部3的监视结果。在mpu监视部15检测到微型计算机6内部发生了不良情况、响应监视部3检测到cpu 11没有正常动作的情况下，cpu 11或者与其相关的某些部分可能发生了异常。在该情况下，即便第1动作确认信号正常，判定部4也指示暂时停止第1驱动器18的输出。第2驱动器19继续平常动作。由此，即便在第1动作确认信号由于某些原因而错误地表示正常的情况下，也能确保第1驱动器18的故障安全。
30.(次序之三)在次序之二中，在mpu监视部15检测到微型计算机6内部发生了不良情况、响应监视部3检测到cpu 11没有正常动作的状态持续的情况下，较理想为使cpu 11迅速恢复至正常状态。其原因在于，cpu 11执行的是功能安全要求等级高的处理。因此，在该情况下，判定部4经由重置控制部2将微型计算机6重置。由此，即便在第1动作确认信号由于某些原因而错误地表示正常的状态持续的情况下，也能使第1驱动器18迅速恢复至正常状态。
31.＜实施方式2：总结＞在本实施方式2的车载电子控制装置(100)中，对所述第1处理要求的功能安全等级比对所述第2处理要求的功能安全等级高，所述车载电子控制装置(100)还具备对所述运算装置(6)内部的不良情况进行监视的运算装置监视部(15)，所述车载电子控制装置(100)还具备对所述第1运算部(11)是否在正常动作进行监视的响应监视部(3)，在所述第1动作确认信号表示在正常地执行所述第1处理而且所述第2动作确认信号表示在正常地执行所述第2处理、并且所述运算装置监视部(15)检测到发生了所述运算装置(6)内部的不良情况、并且所述响应监视部(3)检测到所述第1运算部(11)在正常动作的情况下，所述驱动器控制部(5)使所述第1驱动器(18)进行平常动作，而且将所述第2驱动器(19)设定为相较于平常动作而言简并后的状态。由此，即便在第2动作确认信号由于某些原因而错误地表示正常的情况下，也能确保第2驱动器19的故障安全。
32.在本实施方式2的车载电子控制装置(100)中，对所述第1处理要求的功能安全等级比对所述第2处理要求的功能安全等级高，所述车载电子控制装置(100)还具备对所述运算装置(6)内部的不良情况进行监视的运算装置监视部(15)，所述车载电子控制装置(100)还具备对所述第1运算部(11)是否在正常动作进行监视的响应监视部(3)，在所述第1动作确认信号表示在正常地执行所述第1处理而且所述第2动作确认信号表示在正常地执行所述第2处理、并且所述运算装置监视部(15)检测到发生了所述运算装置(6)内部的不良情况、并且所述响应监视部(3)检测到所述第1运算部(11)没有正常动作的情况下，所述驱动器控制部(5)将所述第1驱动器(18)暂时设定为相较于平常动作而言简并后的状态，而且使所述第2驱动器(19)进行平常动作。由此，即便在第1动作确认信号由于某些原因而错误地表示正常的情况下，也能确保第1驱动器18的故障安全。
33.本实施方式2的车载电子控制装置(100)还具备输出将所述运算装置(6)重置的重
置信号的重置控制部(2)，在所述第1动作确认信号表示在正常地执行所述第1处理而且所述第2动作确认信号表示在正常地执行所述第2处理、并且所述运算装置监视部(15)检测到发生了所述运算装置(6)内部的不良情况、并且所述响应监视部(15)检测到所述第1运算部(11)没有正常动作的状态连续规定时间以上成立的情况下，所述重置控制部(2)将所述重置信号输出至所述运算装置(6)，由此将所述运算装置(6)重置。由此，即便在第1动作确认信号由于某些原因而错误地表示正常的状态持续的情况下，也能使第1驱动器18迅速恢复至正常状态。
34.＜实施方式3＞在实施方式1～2中，对通过由驱动器停止输出驱动信号来设定为相较于平常动作而言简并后的状态的情况进行了说明。这在例如由开关元件构成驱动器的情况下，可以通过将开关元件的驱动端子(栅极端子等)的信号电平固定在断开状态来加以实施。但驱动器的简并状态并不限于此，也考虑其他形态的简并状态。
35.认为例如设定为驱动器在不依据来自微型计算机6的指示的情况下继续动作会有损动作的灵活性，但能够确保动作继续性。例如将部署有规定动作的电路连接至驱动器，而且切断驱动器与微型计算机6之间的连接，由此，能以在不依据微型计算机6的情况下继续其规定动作的方式构成驱动器。这在确保驱动器的动作继续性这一点上与使驱动器转变至故障安全模式是等价的，因此可以说是简并状态的1种形态。在第1驱动器18和第2驱动器19中都是一样的。
36.＜实施方式3：总结＞在车载电子控制装置(100)中，所述驱动器控制部(5)以不输出所述第1驱动信号的方式控制所述第1驱动器(18)，由此将所述第1驱动器(18)设定为相较于平常动作而言简并后的状态，所述驱动器控制部(5)以不输出所述第2驱动信号的方式控制所述第2驱动器(19)，由此将所述第2驱动器(19)设定为相较于平常动作而言简并后的状态。
37.也能以如下内容代替，即，所述驱动器控制部(5)将所述第1驱动器(18)设定为在不依据所述第1驱动信号的情况下继续动作的状态，由此将所述第1驱动器(18)设定为相较于平常动作而言简并后的状态，所述驱动器控制部(5)将所述第2驱动器(19)设定为在不依据所述第2驱动信号的情况下继续动作的状态，由此将所述第2驱动器(19)设定为相较于平常动作而言简并后的状态。
38.＜关于本发明的变形例＞本发明包含各种变形例，并不限定于上述实施方式。例如，上述实施方式是为了以易于理解的方式说明本发明所作的详细说明，并非一定限定于具备说明过的所有构成。此外，可以将某一实施方式的构成的一部分替换为其他实施方式的构成，此外，也可以对某一实施方式的构成加入其他实施方式的构成。此外，可以对各实施方式的构成的一部分进行其他构成的追加、删除、替换。
39.图4为表示本发明的车载电子控制装置100所控制的设备的例子的图。车载电子控制装置100为实施方式1～3中任一项中说明过的车载电子控制装置。作为第1功能7，车载电子控制装置100例如可以控制如下设备。(a)车辆所搭载的发动机所配备的执行器例如燃料喷射喷嘴和节气门等，(b)对车辆所搭载的电池供给充电电流的充电电路，(c)控制车辆的热的热处理系统例如像水冷系统等那样使用流体来进行热控制的系统中使流体在车内循
环的系统。这些系统需要动作继续性，所以较理想为由第1驱动器18控制。图4中记载的是1个第1驱动器18控制3个设备，但这是说明用的示例，也可对每一设备设置与第1驱动器18等效的驱动器。
40.即，在车载电子控制装置(100)中，所述第1驱动器(18)和所述第2驱动器(19)中的至少某一方可以输出用于对以下三着中的至少某一方进行驱动的驱动信号：所述车辆所配备的发动机所具有的执行器、供给用于对所述车辆所配备的电池进行充电的充电电流的电路、用于控制所述车辆的热的热处理系统。
41.在以上的实施方式中，在第1动作确认信号或第2动作确认信号表示异常后，在重置微型计算机6之前的期间内各动作确认信号恢复到了正常状态的情况下，判定部4可使各驱动器恢复至正常状态。在动作确认信号恢复至正常状态之前将微型计算机6重置的情况下，重新实施与异常的实施方式同样的处理即可。
42.即，在车载电子控制装置(100)中，在所述确认信号表示所述第1处理或所述第2处理中的某一方不正常之后，在所述运算装置(6)被重置之前所述确认信号变成表示所述第1处理和所述第2处理均正常的情况下，所述驱动器控制部(5)可使所述第1驱动器(18)和所述第2驱动器(19)均进行平常动作。
43.在以上的实施方式中，对微型计算机6为多处理器微型计算机的情况进行了说明，而在为多核微型计算机的情况下也能运用本发明。在该情况下，按每一核心来执行不同功能。
44.在以上的实施方式中，对微型计算机6具备2个cpu的情况进行了说明，而在具备3个以上的cpu(或处理器核心)的情况下也能运用本发明。在该情况下，各处理器分别执行不同功能。动作确认信号表示所有处理器异常而且mpu监视部15表示内部异常的情况下的动作与实施方式1中说明过的相同。符号说明
[0045]1…
监视部2
…
重置控制部3
…
响应监视部4
…
判定部5
…
驱动器控制部6
…
微型计算机11
…
cpu13
…
cpu15
…
mpu监视部18
…
第1驱动器19
…
第2驱动器100
…
车载电子控制装置。