JP6895356B2 - 車輌用電子制御装置 - Google Patents

Description

本発明は、レイテントフォールト（潜在故障）を診断できる車輌用電子制御装置に関する。

特許文献１には、車輌の制御対象機器を制御するための演算を行う演算処理部（ＣＰＵ：Central Processing Unit）と、この制御対象機器を駆動する駆動処理部とを備え、演算処理部と駆動処理部とがＳＰＩ（Serial Peripheral Interface）通信でデータの授受を行う車輌用電子制御装置が記載されている。駆動処理部は、ＡＳＩＣ（Application Specific Integrated Circuit）で構成され、当該駆動処理部における処理をウォッチドッグタイマで監視して自己診断を行っている。

特開２０１４−８９６７２号公報

ところで、近年、自動車産業におけるＩＳＯ２６２６２（機能安全）対応において、レイテントフォールトによって車輌が危険状態へ陥る事を回避するために、安全機構が正しく動作することを診断しておくことが要求されている。例えば、上記特許文献１の車輌用電子制御装置では、ＳＰＩラインの故障や自己診断機能自体に異常が発生すると正常な診断ができなくなるため、より安全性を向上するにはレイテントフォールトの診断が必要になる。

本発明は上記のような事情に鑑みてなされたもので、その目的とするところは、レイテントフォールトを診断できる車輌用電子制御装置を提供することにある。

本発明の車輌用電子制御装置は、自己診断機能を有し、制御対象を駆動する駆動装置と、前記制御対象に対する制御信号を生成し、ＳＰＩ通信により前記駆動装置に供給する処理装置とを備え、前記処理装置からＳＰＩ通信の内容にエラー情報を設定し、前記自己診断機能による診断結果を用いて、前記処理装置によりレイテントフォールトを診断する車輌用電子制御装置であって、前記処理装置より送信されるマスターＳＰＩからの通信にショートフレームデータ、ロングフレームデータ、及びＣＲＣエラーデータを付けて順次駆動装置に送信し、前記処理装置は、前記駆動装置の自己診断回路による診断結果を用いてショートフレーム発生の有無、ロングフレーム発生の有無、及びＣＲＣエラー発生の有無をそれぞれ判定し、ショートフレーム発生、ロングフレーム発生、及びＣＲＣエラー発生の何れか１つが所定回数を超えた場合にフェールセーフモードに移行し、超えない場合には終了する、ことを特徴とする。

本発明によれば、駆動装置と処理装置間のＳＰＩ通信に意図的に異常を生じさせた際の動作を確認することで、自己診断機能のレイテントフォールトの有無を判定できる。また、ＳＰＩ通信機能を含んだ状態で診断ができるので、駆動装置の自己診断結果の信頼性を向上できる。従って、安全機構が正しく動作することを診断でき、車輌が危険な状態に陥るのを回避できる。

本発明の実施形態に係る車輌用電子制御装置の概略図である。 図１のＳＰＩ通信部におけるＳＤＩフレームとＳＤＯフレームの構成例を示す図である。 エラー設定の際のＳＤＩフレームの送信データと、ＳＤＯフレームの受信データを示す模式図である。 図１に示した車輌用電子制御装置における処理装置で実行される潜在故障診断処理の動作を示すフローチャートである。 ＳＰＩ通信が正常な場合のクロック信号、送信信号、受信信号及びチップセレクト信号のタイミングチャートである。 ショートフレームエラー状態のクロック信号、送信信号、受信信号及びチップセレクト信号のタイミングチャートである。 ロングフレームエラー状態のクロック信号、送信信号、受信信号及びチップセレクト信号のタイミングチャートである。

以下、本発明の実施形態について図面を参照して説明する。
図１は、本発明の実施形態に係る車輌用電子制御装置を示しており、制御対象としてトランスミッション４０の変速制御に用いられる油圧制御装置５０のソレノイドバルブを駆動するＴＣＵ（Transmission Control Unit）１０を例に取っている。トランスミッション４０には、エンジン２０からトルクコンバータ３０やクラッチなどを介して動力が伝達される。トランスミッション４０は、トルクコンバータ３０から伝えられた回転動力を変速して出力軸に出力する変速機構４０ａと、油圧駆動部品に作動油を供給するオイルポンプ４０ｂと、このオイルポンプ４０ｂから供給される油圧を用いて変速機構４０ａを制御する油圧制御装置５０とを備えている。

また、トランスミッション４０内には入力回転数センサ、出力回転数センサ及び油温センサなどのセンサ４０ｃが設けられている。これらセンサ４０ｃの検出信号ＤＳがＴＣＵ１０に入力され、ＴＣＵ１０によりトランスミッション４０の動作状態が検出される。そして、伝達された動力は、トランスミッション４０によりトルクや回転数、回転方向が変えられ、変速機構４０ａの出力軸から図示しない駆動伝達経路を経由して駆動輪に伝えられる。

エンジン２０は、ＥＣＵ（Electronic Control Unit）６０によって制御され、運転者の操作状況、各種センサにより検出したエンジン２０の状態及び周囲環境などに応じて、例えば点火タイミング、燃料噴射量、スロットルバルブの開閉、及びバルブタイミングなどが制御されるようになっている。ＥＣＵ６０とＴＣＵ１０との間では、エンジン２０の制御とトランスミッション４０の制御とを互いに関連づけて最適化するために、ＣＡＮ（Controller Area Network）通信が行われる。

ＴＣＵ１０は、処理装置１と駆動装置２を備えている。処理装置１は、マイクロコンピュータ（マイコン）などから成り、例えばパルス幅変調されたパルス信号Ｐ１，Ｐ２，…，Ｐｎを、油圧制御装置５０の各ソレノイドバルブを駆動する制御信号として生成し、駆動装置２に出力する。この処理装置１は、ＳＰＩ通信を行うためのＳＰＩ通信部３と潜在故障診断処理機能（ここでは潜在故障診断部７と表現する）を有する。ＳＰＩ通信部３から出力されるクロック信号ＣＬＫ、送信信号Ｔｘ及びチップセレクト信号ＣＳはそれぞれ駆動装置２に入力され、この駆動装置２から出力される信号は受信信号ＲｘとしてＳＰＩ通信部３に入力される。

駆動装置２は、ＡＳＩＣで構成されており、制御対象である油圧制御装置５０のソレノイドバルブを駆動するドライバ５（例えばハイサイドドライバとローサイドドライバ）を備え、処理装置１から供給されたパルス信号Ｐ１，Ｐ２，…，Ｐｎに基づいてソレノイドバルブのコイル（ソレノイド）に選択的に電流を流して駆動する。また、この駆動装置２は、自己診断回路６を備えており、ショートフレームエラー、ロングフレームエラー、及びＣＲＣ（Cyclic Redundancy Check）エラーが発生したか検知することで、自身が正常に動作しているか否かを自己診断可能に構成されている。

潜在故障診断部７は、自己診断回路６のレイテントフォールトを診断するもので、ＳＤＯフレーム（マスターＳＰＩへ）のエラー情報を元にフェールセーフに移行するか否か判断する処理を実行する。この潜在故障診断部７からＳＰＩ通信部３に、通信内容にエラーとなる情報を送信するように指示する。そして、ＳＰＩ通信にエラー情報を設定した場合の、自己診断回路６の診断結果に基づいて、処理装置１の潜在故障診断部７で自己診断機能のレイテントフォールトの有無を判定する。このレイテントフォールトの有無は、例えばエラー情報のデータ形式に応じて判定する。このように、駆動装置２と処理装置１間のＳＰＩ通信に意図的に異常を生じさせた際の自己診断回路６の動作を確認することで、レイテントフォールトの有無を処理装置１で判定できる。この際、ＳＰＩ通信部３を介してエラー情報を送受信するので、通信機能（ＳＰＩ通信部３と通信線）が正常に動作しているか否かも診断できる。

図２は、図１のＳＰＩ通信部３におけるＳＰＩフレームの構成例であり、マスターＳＰＩからのＳＤＩフレームと、マスターＳＰＩへのＳＤＯフレームを示している。ＳＤＩフレームは、２バイトのレジスタＦＲ０とＦＲ１で構成され、３ビットのＣＲＣデータ、１３ビットのデータビット、７ビットのデータ、１ビットのリザーブビット（＝０）、７ビットのアドレス及び１ビットのライト／リードビットＷｒ／Ｒｄｎを有する。また、ＳＤＯフレームは、２バイトのレジスタＦＲ０とＦＲ１で構成され、３ビットのＣＲＣデータ、１３ビットのデータビット、７ビットのデータ、６ビットのチャネル例外、１ビットのＣＲＣエラー、１ビットのロングフレームエラー及び１ビットのショートフレームエラーを有する。

図３は、エラー設定の際のＳＤＩフレームの送信データと、ＳＤＯフレームの受信データを示す模式図である。処理装置１の潜在故障診断部７からＳＰＩ通信部３に、通信内容にエラーとなる情報を送信するように指示する。例えばＳＰＩ通信部３から、ショートフレームとなるようにクロック信号ＣＬＫを「ＣＬＫ＜３２」に設定したデータＳＦａ、ロングフレームとなるようにクロック信号ＣＬＫを「ＣＬＫ＞３２」に設定したデータＬＦａ、ＣＲＣの計算方法を変更してＣＲＣエラーになるように設定したデータＣＲＣａを送信する。そして、駆動装置２の自己診断回路６にエラーを検出させ、その診断結果をＳＤＯフレームで処理装置１に返す。この診断結果は、ショートフレームエラー検出の有無を表すデータＳＦｂ、ロングフレームエラー検出の有無を表すデータＬＦｂ、ＣＲＣエラー検出の有無を表すデータＣＲＣｂである。その診断結果を元に潜在故障診断部７で潜在故障診断処理を実施し、フェールセーフモードに移行する必要があるかを判断する。

上記手順で正常と判定できなかった場合は、ＳＰＩ通信部３、通信線あるいは自己診断回路６に問題があると判断し、制御対象である油圧制御装置５０のソレノイドバルブに対する制御を抑制する、あるいは車輌を緩やかに停止させるなどのフェールセーフモードに移行する。
上述したＳＰＩ通信部３から駆動装置２へのエラー情報の注入は、所定周期で実施する。このようなエラーとなるデータの送信とエラー回答の受信を複数回繰り返し、エラーが所定回数以上検出されなかった場合に異常と判定する。

これにより、処理装置１側で駆動装置２の自己診断回路６が正常に動作しているか否かをリアルタイムで確認でき、レイテントフォールトを防ぐことができる。また、処理装置１で判断しているため、ＳＰＩ通信部３と駆動装置２にも問題がないことを確認できる。
なお、図３では、実制御のマスターＳＰＩからの通信の終端にエラーを発生させるデータを付加して連続的に送信する例を示したが、エラーを発生させるデータは１サイクル中のどのタイミングで送信しても良く、ショートフレームエラー、ロングフレームエラー及びＣＲＣエラーを発生させるデータを分離して送信しても良いのは勿論である。

次に、上述したＳＰＩ通信部３と自己診断回路６のレイテントフォールトの診断について、図４により詳しく説明する。図４は、処理装置１で実行される潜在故障診断処理（潜在故障診断部７の動作）を示すフローチャートである。まず、処理装置１より送信されるマスターＳＰＩからの通信にショートフレームデータＳＦａを付けて駆動装置２に送信する（ステップＳ１）。次に、処理装置１は、駆動装置２の自己診断回路６による診断結果（データＳＦｂ）を用いてショートフレーム発生の有無を判定する（ステップＳ２）。ショートフレーム発生有りと判定されると、正常に動作しているので変数Ａを０に設定し（ステップＳ３）、ショートフレーム発生無しと判定されると、異常動作であるので変数Ａをプラス１（Ａ＝Ａ＋１）する（ステップＳ４）。

ＳＰＩ通信が正常な場合のクロック信号ＣＬＫ、送信信号Ｔｘ、受信信号Ｒｘ及びチップセレクト信号ＣＳは、それぞれ図５のタイミングチャートのようになる。本例では１フレームのクロック信号ＣＬＫは３２ビットであり、クロック同期式のシリアル通信を行う。チップセレクト信号ＣＳが有意レベル（ロウレベル）になると、クロック信号ＣＬＫで設定された１フレーム期間に送信信号Ｔｘと受信信号Ｒｘの授受が行われる。

これに対し、ショートフレームエラーが発生すると、図６に示すように１フレームのクロック信号ＣＬＫは３２ビットより少なくなる。そして、チップセレクト信号ＣＳが有意レベルになると、クロック信号ＣＬＫで設定された３２ビットより短い１フレーム期間に送信信号Ｔｘと受信信号Ｒｘの授受が行われる。

次のステップＳ５では、処理装置１より送信されるマスターＳＰＩからの通信にロングフレームデータＬＦａを付けて駆動装置２に送信する。処理装置１は、駆動装置２の自己診断回路６による診断結果（データＬＦｂ）を用いてロングフレーム発生の有無を判定する（ステップＳ６）。ロングフレーム発生有りと判定されると、正常に動作しているので変数Ｂを０に設定し（ステップＳ７）、ロングフレーム発生無しと判定されると、異常動作であるので変数Ｂをプラス１（Ｂ＝Ｂ＋１）する（ステップＳ８）。

ロングフレームエラーが発生すると、図７に示すように１フレームのクロック信号ＣＬＫは３２ビットより多くなる。そして、チップセレクト信号ＣＳが有意レベルになると、クロック信号ＣＬＫで設定された３２ビットより長い１フレーム期間に送信信号Ｔｘと受信信号Ｒｘの授受が行われる。

次のステップＳ９では、処理装置１より送信されるマスターＳＰＩからの通信にＣＲＣエラーデータＣＲＣａを付けて駆動装置２に送信する。処理装置１は、駆動装置２の自己診断回路６による診断結果（データＣＲＣｂ）を用いてＣＲＣエラー発生の有無を判定する（ステップＳ１０）。ＣＲＣエラー発生有りと判定されると、正常に動作しているので変数Ｃを０に設定し（ステップＳ１１）、ＣＲＣエラー発生無しと判定されると、異常動作であるので変数Ｃをプラス１（Ｃ＝Ｃ＋１）する（ステップＳ１２）。

次のステップＳ１３では、変数Ａ，Ｂ，Ｃの何れか１つが所定値ｍを超えたか否か判定し、超えた場合にはフェールセーフモードに移行し（ステップＳ１４）、超えない場合には終了する。フェールセーフモードへの移行は、駆動装置２が備えている機能に依存するが、例えばソレノイドバルブの駆動による油圧制御装置５０の制御を停止する。あるいはソレノイドバルブの駆動により、油圧制御装置５０を使ってトランスミッション４０で変速する／しないを制御している場合には、車輌は動かしながら変速できないようにする。また、変速制御やモータ駆動などのアクチュエータを制御しても良い。車輌としてのコアな部分を動かす場合には、処理装置１を停止させることもできる。更に、ＣＡＮ通信を停止するようにしても良い。
これらのうち、少なくともいずれか１つを実施することで、駆動装置２の担う機能に応じたフェールセーフモードへの移行が行われる。フェールセーフモードは、正常に戻ったことを確認でき次第解除する。

上記のような構成によれば、駆動装置２と処理装置１間のＳＰＩ通信に意図的に異常を生じさせた際の動作を確認することで、自己診断機能のレイテントフォールトの有無を判定できる。また、ＳＰＩ通信機能の診断もでき、ＳＰＩ通信機能を含んだ状態で診断ができるので、駆動装置２の自己診断結果の信頼性を向上できる。従って、安全機構が正しく動作することを確認でき、レイテントフォールトによって車輌が危険な状態に陥るのを回避できる。

＜変形例１＞
なお、上記実施形態では、ＴＣＵの変速制御を行う油圧制御装置のソレノイドバルブの駆動を例に取って説明したが、制御対象はソレノイドバルブに限定されるものではなく、例えばインジェクタードライバの制御にも適用可能である。インジェクタードライバを制御する場合、処理装置１で異常を検知したときのフェールセーフモードとしては、運転者に異常を通知するとともに、燃料の噴射量やＯ_２の変化は意図しない加速や減速の危険があるため、車輌を緩やかに停止させる。もちろん、車輌や周囲の状況、異常の状態になど応じて何れか一方を実施しても良い。このフェールセーフモードは、正常に戻ったことを確認でき次第解除する。

＜変形例２＞
また、同様にして外付けＥＥＰＲＯＭの制御にも適用することができる。この場合、処理装置１で異常を検知したときのフェールセーフモードとしては、次の（ａ）〜（ｃ）のうち少なくともいずれか１つを実行すると良い。（ａ）運転者に異常を通知する。（ｂ）ＥＥＰＲＯＭへの書き込みを禁止する。（ｃ）デフォルト値で制御し、ＥＥＰＲＯＭに格納されたパラメータに頼らずにアクチュエータを制御するようにする。このフェールセーフモードは、正常に戻ったことを確認でき次第解除する。

＜変形例３＞
ＳＰＩ通信部３からのエラー情報の注入を、クロック信号ＣＬＫの変更やチップセレクト信号ＣＳの長さを変更することで行っても良い。

＜変形例４＞
ＳＰＩ通信部３から駆動装置２にショートフレームエラー、ロングフレームエラー及びＣＲＣエラーを注入する例について説明したが、チェックサムやハッシュを用いたエラー情報を注入することもでき、エラーを発生させるデータであればこれらに限られるものではない。

＜変形例５＞
処理装置１中に潜在故障診断部７を設けてＳＰＩ通信部３から駆動装置２にエラー情報を注入する例について説明したが、処理装置１中にメモリを設けて、予めエラー情報を発生するためのプログラムを記憶しておき、ソフトウェアによってＳＰＩ通信部３にエラー情報を注入することもできる。

＜変形例６＞
更に、処理装置（マイコン）１にＳＰＩ通信部３が内蔵されている例について説明したが、処理装置１の外部に設けられていても良いのは勿論である。

１…処理装置（マイクロコンピュータ）、２…駆動装置（ＡＳＩＣ）、３…ＳＰＩ通信部、５…ドライバ、６…自己診断回路、７…潜在故障診断部、１０…ＴＣＵ、２０…エンジン、３０…トルクコンバータ、４０…トランスミッション、４０ａ…変速機構、４０ｂ…オイルポンプ、４０ｃ…センサ、５０…油圧制御装置（制御対象）、６０…ＥＣＵ、Ｐ１，Ｐ２，…，Ｐｎ…パルス信号（制御信号）

Claims (3)

1. 自己診断機能を有し、制御対象を駆動する駆動装置と、前記制御対象に対する制御信号を生成し、ＳＰＩ（Serial Peripheral Interface）通信により前記駆動装置に供給する処理装置とを備え、
   前記処理装置からＳＰＩ通信の内容にエラー情報を設定し、前記自己診断機能による診断結果を用いて、前記処理装置によりレイテントフォールトを診断する車輌用電子制御装置であって、
   前記処理装置より送信されるマスターＳＰＩからの通信にショートフレームデータ、ロングフレームデータ、及びＣＲＣエラーデータを付けて順次駆動装置に送信し、
   前記処理装置は、前記駆動装置の自己診断回路による診断結果を用いてショートフレーム発生の有無、ロングフレーム発生の有無、及びＣＲＣエラー発生の有無をそれぞれ判定し、
   ショートフレーム発生、ロングフレーム発生、及びＣＲＣエラー発生の何れか１つが所定回数を超えた場合にフェールセーフモードに移行し、超えない場合には終了する、ことを特徴とする車輌用電子制御装置。
2. 前記処理装置が、前記ＳＰＩ通信機能及び前記自己診断機能の少なくとも一方のレイテントフォールトの有無を判定する、ことを特徴とする請求項１に記載の車輌用電子制御装置。
3. 前記レイテントフォールトの有無は、前記エラー情報のデータ形式に応じて判定する、ことを特徴とする請求項２に記載の車輌用電子制御装置。

Images