JP7366284B2 - 車両用電子制御装置および車両用電子制御装置の診断方法 - Google Patents

Description

本発明は、電子制御装置の構成とその制御に係り、特に、高い信頼性が要求される車載電子制御装置に適用して有効な技術に関する。

近年、ステアリング操作や加減速のサポートを行う運転支援機能を備えた車両や、従来のエンジンに加えてモータも利用して動作するハイブリッド車両、あるいはモータのみで動作する電動車両が普及し始めている。これらの車両は従来と比べて、より複雑な電子制御となっており、電子部品の故障が発生した場合には、車両を安全に停止させるためにより高度な安全制御が求められる。

これらの車両用の電子制御装置では、故障発生を検知すると安全制御信号を介してモータやエンジンなどを安全に停止する制御を行っており、この安全制御信号が正常に機能するかどうかを診断することが重要である。

本技術分野の背景技術として、例えば、特許文献１のような技術がある。特許文献１には「電源供給のスタート信号を出力するコントロール回路と、前記スタート信号に呼応して電源電圧の供給を開始する電源供給部と、前記スタート信号に呼応して時間をカウントし、カウント値を出力するタイマと、第１の所定の電圧値と前記電源供給部から供給される電圧値とを比較して第１の比較信号として出力する第１の電圧コンパレータと、第２の所定の電圧値と前記電源供給部から供給される電圧値とを比較して第２の比較信号として出力する第２の電圧コンパレータと、前記カウント値と、前記第１の比較信号と、前記第２の比較信号とに基づいて、異常の有無を検知する異常判定部とを備える半導体装置」が開示されている。

特開２０１７－１４９２４４号公報

上述したように、自動車制御システムの複雑化や大規模化に伴い、システムの機能不全のリスクが高まっている。自動車制御システムの制御機能に不具合が生じると、ドライバや同乗者だけでなく歩行者を含む周辺全体に危険が及ぶため、システムを構成する個々の部品の信頼性向上とともに、安全制御信号などの安全制御機能の信頼性向上が重要な課題となっている。

上記特許文献１に記載されている発明は、電源自体の異常検知には有効であるが、電源出力以外の出力信号の異常検出には改善の余地がある。

そこで、本発明の目的は、マイコン及び電源ＩＣを搭載する電子制御装置において、マイコン起動前に電源ＩＣの安全制御信号の固着診断が可能な信頼性の高い電子制御装置及び電子制御装置の診断方法を提供することにある。

上記課題を解決するために、本発明は、マイコンと、前記マイコンと通信を行う電源ＩＣと、を備え、前記電源ＩＣは、前記マイコンを監視する監視回路と、前記監視回路が、制御対象であるシステムを安全な状態に制御するための安全制御信号の信号レベルに基づいてマイコン異常を判定した時に駆動回路を制御し当該駆動回路から別の安全制御信号を出力する安全処理回路と、前記安全制御信号のＬｏｗ／Ｈｉｇｈレベルの制御ができない固着故障の有無を診断する診断回路と、を有し、前記診断回路は、電源起動後からその後の前記安全制御信号が起動する前後までにおける当該安全制御信号の状態に基づいて固着故障の発生の有無を検出し、前記安全制御信号の固着を検出した場合、前記安全処理回路は、前記駆動回路を制御して前記別の安全制御信号を起動し、制御対象であるシステムを停止させることを特徴とする。

また、本発明は、マイコンと、前記マイコンと通信を行う電源ＩＣを備える車両用電子制御装置の診断方法であって、前記電源ＩＣは、前記マイコンが起動する前に、内部電源を１つずつ起動し、すべての内部電源が起動した後、制御対象であるシステムを安全な状態に制御するための安全制御信号を１つずつ起動させ、所定の内部電源の起動後からその後の当該内部電源に対応する安全制御信号が起動する前後までにおける当該安全制御信号の状態に基づいて前記安全制御信号のＬｏｗ／Ｈｉｇｈレベルの制御ができない固着故障の発生の有無を検出し、前記安全制御信号の固着を検出した場合、別の安全制御信号を起動させ、制御対象であるシステムを停止させることを特徴とする。

本発明によれば、マイコン及び電源ＩＣを搭載する電子制御装置において、マイコン起動前に電源ＩＣの安全制御信号の固着診断が可能な信頼性の高い電子制御装置及び電子制御装置の診断方法を実現することができる。

これにより、車両を動作させる前に電子制御装置の異常を検知でき、異常に応じた安全制御が可能となる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の実施例１に係る電子制御装置及び電源ＩＣの内部構成を示すブロック図である。 図１に示す電子制御装置の起動シーケンスのタイミングチャートである。 図１に示す電子制御装置における安全制御信号のタイミングチャートである。（正常時） 図１に示す電子制御装置における安全制御信号のタイミングチャートである。（Ｈｉｇｈ固着異常時） 図１に示す電子制御装置における安全制御信号のタイミングチャートである。（Ｌｏｗ固着異常時） 図１に示す電子制御装置における安全制御信号同士の固着診断の動作例のタイミングチャートである。 図１に示す電子制御装置における安全制御信号同士の固着診断の動作例を示タイミングチャートである。 本発明の実施例２に係るエンジン電子制御装置の内部構成を示すブロック図である。 本発明の実施例３に係るインバータ電子制御装置の内部構成を示すブロック図である。 本発明の実施例４に係る電子制御装置の診断方法のフローチャートである。

以下、図面を用いて本発明の実施例を説明する。なお、各図面において同一の構成については同一の符号を付し、重複する部分についてはその詳細な説明は省略する。

≪電子制御装置及び電源ＩＣの構成≫
図１から図７を参照して、本発明の実施例１に係る電子制御装置とその診断方法について説明する。図１は、本実施例の電子制御装置及び電源ＩＣの内部構成を示すブロック図である。

本実施例の電子制御装置１は、図１に示すように、マイコン（マイクロコントローラ）２、電源ＩＣ３、センサ類４及び周辺回路５で構成される。

マイコン２は、電子制御装置１の頭脳にあたり、各種制御信号および各種入力信号を利用して周辺回路５を制御する。また、インタフェース回路１１を介して電源ＩＣ３と通信を行うことでレジスタ１２に情報を書き込み、電源ＩＣ３の設定を変更したり、マイコン２自身の状態を電源ＩＣ３に伝えたり、レジスタ１２に格納された情報を読み込み、電源ＩＣ３の状態を確認することができる。

電源ＩＣ３は、バッテリ電圧（図示せず）から複数の電源電圧を生成し、マイコン２や他の周辺回路５や外部センサ（図示せず）の電源電圧を供給する。図１では、例えば電源回路１５で生成した電圧を、電源電圧出力１及び電源電圧出力２としてマイコン２へ供給する。また、電源電圧出力３を周辺回路５へ供給する。ここでは、電源電圧出力１～３を示しているが、電源電圧出力は供給先や数が異なっても構わない。

電源回路１５及び駆動回路１７は、シーケンサ１６によって制御され、決められた起動シーケンスによって、電源電圧出力１～３及び各種安全制御信号が起動される。

ここで、「安全制御信号」とは、電子制御装置１の内部、もしくは外部で異常が発生した場合に、システムを安全な状態に制御させるための制御信号である。図１では各種安全制御信号（安全制御信号１～３）として３本の信号を示しているが、電子制御装置１が適用されるシステムによって数が異なっても構わない。

電源電圧出力１～３及び各種安全制御信号（安全制御信号１～３）は、電源ＩＣ３の外部に出力されると同時に、診断回路１４にも入力され、異常の有無を診断している。また、異常の有無の診断は、シーケンサ１６によって指定される診断タイミングで実行される 診断回路１４は、入力された信号が所望の出力かどうかを診断し、もし異常があった場合には、レジスタ１２内部の診断情報レジスタ２０領域に診断結果を格納し、さらに／或いはマイコン２へ異常状態フラグ信号を出力し異常を報告する。また、診断情報レジスタ２０に格納された情報はインタフェース回路１１を通した通信によってマイコン２へ報告されることになる。電源ＩＣ３は、診断回路１４が安全制御信号の固着故障を検出した場合、マイコン２へ異常状態フラグ信号を出力するとともに、マイコン２に供給する電源電圧を停止することで、マイコン２を起動させないようにする。

監視回路１８は、電源ＩＣ３がマイコン２を監視するための回路である。マイコン２は、インタフェース回路１１を介して自身の状態をレジスタ１２へ格納する。監視回路１８は、レジスタ１２に格納されたマイコン２の情報を判断し、安全処理回路１３に向けてマイコン２における異常の有無を知らせるマイコン異常フラグ信号を出力する。

安全処理回路１３は、電源ＩＣ３が異常を検出した際に動作する回路であり、監視回路１８からマイコン異常フラグ信号、診断回路１４から診断結果、及びセンサ類４から温度等などの情報を入力として動作する。安全処理回路１３は、異常発生を示す信号が入力されると、駆動回路１７を直接制御し、異常が発生していない安全制御信号により、システムを安全な状態にまで遷移させる。

ここでは、安全処理回路１３の入力として３種類の信号を示したが、何れか１種類あるいは何れか２種類の組み合わせでも構わない。また、センサ類４からの信号として温度情報を示したが、温度情報以外の例えば、電流あるいは電圧情報などを利用してもよく、複数のセンサからの情報を利用してもよい。

≪電源ＩＣ３の起動シーケンス≫
図２は、図１に例示した電源ＩＣ３の起動シーケンスを示すタイミングチャートである。図２を用いて電源ＩＣ３の起動について説明する。

図２のタイミングチャートに示す電源ＩＣ３の内部状態は、シーケンサ１６によって決定され、電源１～３起動、安全制御信号１～３起動という順番で変化していく状態に従って、電源電圧出力１～３、安全制御信号１～３が図のように順番に起動することになる。

≪電源ＩＣ３による安全制御信号の異常診断≫
診断回路１４により安全制御信号の異常判定を行う方法について説明する。

[正常動作時]
図３は、電源ＩＣ３が出力する安全制御信号の正常時の動作例を示すタイミングチャートである。ここでは、電源電圧出力２の起動後のレベルをＶｃｃ、安全制御信号１のＨｉｇｈレベルをＶｃｃ、ＬｏｗレベルをＧＮＤとする。図３に示す安全制御信号１ｘは、負論理の信号であり、Ｌｏｗレベルで、ある機能が有効なことを示し、Ｈｉｇｈレベルで、ある機能が無効なことを示す。安全制御信号１ｘを使用し、安全制御信号が負論理である場合の説明も行う。

図３のシーケンサ（１６）が示す状態に従い、電源２起動の状態で電源電圧出力２が起動する。その後、安全制御信号１起動の状態で、安全制御信号１がＶｃｃレベルに、安全制御信号１ｘがＧＮＤレベルにそれぞれ起動する。ここで、安全制御信号１ｘは、電源電圧出力２が起動したタイミングで、負論理信号の初期状態であるＶｃｃレベルに遷移が行われる。

安全制御信号の診断は、安全制御信号の起動前後の信号レベルを確認することで行う。
図１では、電源３起動の状態中であるレベルチェックタイミング１に、起動前の信号レベルチェックを実施し、安全制御信号１起動の状態中であるレベルチェックタイミング２で起動後の信号レベルチェックを実施する。

シーケンサ（１６）に従って、正常に安全制御信号が起動していれば、安全制御信号１の起動前の信号レベルはＧＮＤ(Ｌｏｗレベル)、起動後の信号レベルはＶｃｃ（Ｈｉｇｈレベル）となり、安全制御信号１ｘの起動前の信号レベルはＶｃｃ（Ｈｉｇｈレベル）、起動後の信号レベルはＧＮＤ(Ｌｏｗレベル)となるはずである。即ち、安全制御信号が正常動作している場合は、起動前後の信号レベルが異なるという条件で、診断回路１４は判定結果を正常と判断する。

［Ｈｉｇｈ固着異常時］
図４は、電源ＩＣ３が出力する制御信号のＨｉｇｈ固着異常時の動作例を示すタイミングチャートである。ここでは、図３と同様に安全制御信号のレベルを定義し、信号のレベルチェックのタイミングも同様とする。

シーケンサ（１６）が示す状態に従い、電源２起動の状態で電源電圧出力２が起動する。その後、安全制御信号１起動の状態で、安全制御信号１及び安全制御信号１ｘが起動するが、電源電圧出力２と安全制御信号１あるいは安全制御信号１ｘが固着していた場合、安全制御信号１／安全制御信号１ｘは電源電圧出力２と同様の動作をすることになる。

このため、安全制御信号１／安全制御信号１ｘは、本来の起動タイミングの前からＶｃｃのレベルにあることになる。即ち、安全制御信号にＨｉｇｈ固着異常が発生している場合には、起動前後の信号レベルがどちらもＶｃｃ（Ｈｉｇｈレベル）であるという条件で診断回路１４は判定結果をＨｉｇｈ固着異常と判断する。

［Ｌｏｗ固着異常時］
図５は、電源ＩＣ３が出力する制御信号のＬｏｗ固着異常時の動作例を示すタイミングチャートである。ここでは、図３と同様に安全制御信号のレベルを定義し、信号のレベルチェックのタイミングも同様とする。

電源ＩＣ３の内部状態に従い、電源２起動の状態で電源電圧出力２が起動する。その後、安全制御信号１起動の状態で、安全制御信号１及び安全制御信号１ｘが起動するが、ＧＮＤ（Ｌｏｗレベル）と安全制御信号１あるいは安全制御信号１ｘが固着していた場合、安全制御信号１／安全制御信号１ｘはＧＮＤと同様の動作をすることになる。

このため、安全制御信号１／安全制御信号１ｘは、起動タイミング後もＧＮＤのレベルにあることになる。即ち、安全制御信号にＬｏｗ固着異常が発生している場合には、起動前後の信号レベルがどちらもＧＮＤ（Ｌｏｗレベル）であるという条件で診断回路１４は判定結果をＬｏｗ固着異常と判断する。

≪安全制御信号間の固着異常判定の例１≫
図６は、電源ＩＣ３が出力する安全制御信号同士の固着診断の動作例を示すタイミングチャートである。ここでは、安全制御信号１及び安全制御信号２の固着診断を行う場合を説明する。

図中の（ａ）は正常時の動作例を示し、シーケンサ（１６）に従って、安全制御信号１起動の状態で、安全制御信号１が起動し、安全制御信号２起動の状態で、安全制御信号２が起動する。後から起動する安全制御信号２の起動前後の信号レベルをチェックすることで、安全制御信号１との固着を確認する。即ち、安全制御信号１起動の状態中であるレベルチェックタイミング１に、起動前の信号レベルチェックが実施され、安全制御信号２起動の状態中であるレベルチェックタイミング２で起動後の信号レベルチェックを実施する。

安全制御信号２の起動前の信号レベルはＧＮＤ(Ｌｏｗレベル)／起動後の信号レベルはＶｃｃ（Ｈｉｇｈレベル）であり、起動前後のレベルが異なるため診断回路１４は異常がないと判断する。

図中の（ｂ）は異常時の動作例を示し、安全制御信号１と安全制御信号２が固着していた場合の動作を示している。この場合、安全制御信号２は安全制御信号１と同様の動作をすることになり、安全制御信号１が起動するタイミングでＶｃｃ（Ｈｉｇｈレベル）に遷移する。（ａ）正常時と同様に、本来の安全制御信号２の起動タイミングの前後であるレベルチェックタイミング１／２で信号レベルをチェックすると、起動前後の信号レベルがどちらもＶｃｃ（Ｈｉｇｈレベル）であり、起動前後のレベルが同じため、診断回路１４は安全制御信号に固着異常が発生していると判断する。

≪安全制御信号間の固着異常判定の例２≫
図７は、電源ＩＣ３が出力する安全制御信号同士の固着診断の別の動作例を示すタイミングチャートである。ここでは、安全制御信号１及び安全制御信号２ｘの固着診断を行う場合を説明する。安全制御信号２ｘは負論理の信号とする。

図中の（ａ）は正常時の動作例を示し、シーケンサ（１６）に従って、安全制御信号１起動の状態で、安全制御信号１が起動し、安全制御信号２起動の状態で、安全制御信号２ｘが起動する。安全制御信号２ｘは電源電圧出力２が起動するタイミングで初期状態であるＶｃｃ（Ｈｉｇｈレベル）に遷移する。図６と同様に、後から起動する安全制御信号２ｘの起動前後のタイミングであるレベルチェックタイミング１に、起動前の信号レベルチェックが実施され、安全制御信号２起動の状態中であるレベルチェックタイミング２で起動後の信号レベルチェックを実施する。

安全制御信号２の起動前の信号レベルはＶｃｃ（Ｈｉｇｈレベル）／起動後の信号レベルはＧＮＤ（Ｌｏｗレベル）であり、起動前後のレベルが異なるため診断回路１４は安全制御信号の出力が正常であると診断する。

図中の（ｂ）は異常時の動作例を示し、安全制御信号１と安全制御信号２ｘが固着していた場合の動作を示している。この場合、安全制御信号１と安全制御信号２ｘは同様の動作をすることになる。（ａ）正常時と同様に、本来の安全制御信号２の起動タイミングの前後であるレベルチェックタイミング１／２で信号レベルをチェックすると、起動前後の信号レベルがどちらもＶｃｃ（Ｈｉｇｈレベル）であり、起動前後のレベルが同じため、診断回路１４は安全制御信号に固着異常が発生していると判断する。

なお、各種安全制御信号の固着故障の有無の診断を安全制御信号の立ち上げ前に実施することで、電源ＩＣ３の内部電源と安全制御信号のショート（短絡）の有無を診断することができる。また、各種安全制御信号の固着故障の有無の診断を安全制御信号の立ち上げ後に実施することで、図３に示すような安全制御信号１と安全制御信号１ｘのショート（短絡）の有無を診断することができる。

以上説明したように、本実施例の電子制御装置１は、マイコン２と、マイコン２と通信を行う電源ＩＣ３を備えており、電源ＩＣ３は、マイコン２を監視する監視回路１８と、監視回路１８がマイコン異常を判定した時に各種安全制御信号を出力する安全処理回路１３と、各種安全制御信号の固着故障の有無を診断する診断回路１４を有しており、診断回路１４は、電源起動後から安全制御信号が起動する前後における当該安全制御信号の状態に基づいて固着故障の発生の有無を検出する。

また、診断回路１４は、電源起動後から安全制御信号が起動する前の期間に安全制御信号の状態を検出し、安全制御信号が起動した後の期間に安全制御信号の状態を検出し、安全制御信号の起動前後の状態を比較することで、安全制御信号の固着故障の有無を診断する。

また、診断回路１４は、マイコン２が起動する前に診断回路１４による安全制御信号の診断を完了する。

そして、電源ＩＣ３は、固着故障が検出されなかった安全制御信号を制御し、電子制御装置１の制御対象であるシステムを安全な状態へ遷移させる。

本実施例により、マイコン２の起動前に電源ＩＣ３の安全制御信号の固着診断が可能となり、電子制御装置１及びその制御対象であるシステムを安全に制御することができる。

≪エンジン向けの電子制御装置の例≫
図８を参照して、本発明の実施例２に係る電子制御装置とその制御について説明する。
本実施例は、実施例１の電子制御装置をエンジン制御に適用したエンジン電子制御装置の例である。図８は、本実施例のエンジン電子制御装置の内部構成を示すブロック図である。

本実施例の電子制御装置１Ａは、図８に示すように、実施例１（図１）の電子制御装置１の構成に加えて、電子制御スロットル２１及びインジェクタ２４をそれぞれ駆動するためのドライバ６Ａ及びドライバ６Ｂを備えている。ドライバ６Ａ及びドライバ６Ｂは、マイコン２からのドライバ制御信号によって制御される。

駆動回路１７は、安全制御信号として、リセット信号、電子制御スロットルイネーブル信号及びインジェクタイネーブル信号を出力する。リセット信号は、マイコン２のリセットに使用される。電子制御スロットルイネーブル信号は、ドライバ６Ａに入力され、マイコン２による電子制御スロットル２１の制御の有効化／無効化を切り替える。また、インジェクタイネーブル信号は、ドライバ６Ｂに入力され、マイコン２によるインジェクタ２４の制御の有効化／無効化を切り替える。

電子制御スロットル２１は、エンジンへの吸気の流入量を電子的に制御し、エンジンの出力を調整する弁である。電子制御スロットル２１は、外部から取り入れた空気の量を調整し、エンジンへ向かって送り出す。

インジェクタ２４は、燃料をエンジンのシリンダーに霧状にして送り込むために使用される。燃料タンク２３から供給される燃料は、高圧ポンプ２２で圧力をかけられ、インジェクタ２４を通ることで霧状に噴射される。

電子制御装置１Ａで異常が発生した場合には、電子制御スロットルイネーブル信号を使用して、電子制御スロットル２１を停止させ、エンジンに供給される空気を遮断したり、インジェクタイネーブル信号を使用して、インジェクタ２４を停止させ、エンジンへ供給される燃料を遮断することが可能である。また、リセット信号を使用して、マイコン２をリセットすることで、電子制御スロットル２１及びインジェクタ２４を制御し、安全に停止させることが可能となる。

なお、実施例１（図３）で説明したように、電子制御スロットルイネーブル信号及びインジェクタイネーブル信号は、電源ＩＣ３のすべての内部電源が起動した後、イネーブル信号（安全制御信号）を１つずつ立ち上げてアクティブにしていく。

また、駆動回路１７から出力されるリセット信号を、他の安全制御信号に対して最後に起動させるようにしておけば、システムが起動する前に全ての安全制御信号の異常診断を実施することができる。

≪電動車向けの電子制御装置の例≫
図９を参照して、本発明の実施例３に係る電子制御装置とその制御について説明する。
本実施例は、実施例１の電子制御装置を電動車両のモータ制御に適用したインバータ電子制御装置の例である。図９は、本実施例のインバータ電子制御装置の内部構成を示すブロック図である。

本実施例の電子制御装置１Ｂは、図９に示すように、実施例１（図１）の電子制御装置１の構成に加えて、モータ２６を駆動するためのパワーモジュール８及びパワーモジュール８を制御するためのゲートドライバ７、ＨＶ（高電圧）バッテリ２５からの電荷が蓄電されるコンデンサ１０及びコンデンサ１０に蓄電された電荷を放電するための放電回路９を備えている。

駆動回路１７は、安全制御信号として、リセット信号、ゲートドライバ制御信号及びアクティブディスチャージ信号を出力する。リセット信号は、マイコン２のリセットに使用される。

なお、図９では電子制御装置１Ｂの主要な構成を分かり易くするために省略しているが、一般的に電動車で使用されるモータは三相交流モータであり、３種類の駆動信号が必要となるため、実際にはパワーモジュール８は３個必要となる。また、１個のパワーモジュールにはトランジスタが２個搭載されており、３個のパワーモジュールを制御するためには、６個のゲートドライバを使用し、６本の制御信号によって制御することになる。

電子制御装置１Ｂで異常が発生した場合には、駆動回路１７から出力されるゲートドライバ制御信号によってゲートドライバ７を制御し、パワーモジュール８を制御することでモータ２６を安全に停止させ、アクティブディスチャージ信号を制御することで、放電回路９を制御し、ＨＶバッテリ２５からコンデンサ１０に蓄電された電荷を安全に放電する。また、リセット信号を使用し、マイコン２をリセットすることで、電子制御装置１Ｂが適用されたシステムを安全に停止させることが可能となる。

また、駆動回路１７から出力されるリセット信号を、他の安全制御信号に対して最後に起動させるようにしておけば、システムが起動する前に全ての安全制御信号の異常診断を実施することができる。

≪システム起動時の処理フロー≫
図１０を参照して、本発明の代表的な電子制御装置の制御方法（診断方法）について説明する。図１０は、実施例１（図１）の電子制御装置１を適用したシステムにおける起動までの処理動作例を示すフローチャートである。

電子制御装置１に電源が供給されると（ステップＳ１００）、電源ＩＣ３が起動を開始する（ステップＳ１０１）。電源ＩＣ３は起動を開始すると、生成する各内部電源を順番に起動開始する（ステップＳ１０２）。１つの内部電源を起動し終えたら（ステップＳ１０３）、残りの内部電源も順番に起動させていく。すべての内部電源の起動を終了したら（ステップＳ１０４）、安全制御信号の起動を行うことになる。なお、ステップＳ１０４ですべての内部電源の起動が終了していない場合は、ステップＳ１０２に戻り、各内部電源を順番に起動する。

電源ＩＣ３が出力する安全制御信号も、１つずつ順番に起動を開始する（ステップＳ１０５）。安全制御信号は、先ず起動前にレベルチェックを実施し（ステップＳ１０６）、安全制御信号を起動し終えたら（ステップＳ１０７）、起動後の安全制御信号のレベルチェックを実施する（ステップＳ１０８）。その後、起動前後で実施したレベルチェックの結果を使用して、安全制御信号の固着診断が実施され（ステップＳ１０９）、その診断結果に関わらず診断を実施した安全制御信号の状態がレジスタ１２に格納される（ステップＳ１１０）。各安全制御信号に対してここまでの処理を実施し、安全制御信号の起動が終了し（ステップＳ１１１）、電源ＩＣ３の起動が終了する（ステップＳ１１２）。なお、ステップＳ１１１ですべての安全制御信号の起動が終了していない場合は、ステップＳ１０５に戻り、各安全制御信号を順番に起動する。

ここで、電源ＩＣ３は安全制御信号に固着異常がなかったかを確認し（ステップＳ１１３）、固着異常がない場合（ＹＥＳ）は、システムの起動に移行する（ステップＳ１１４）。一方、固着異常があった場合（ＮＯ）は、マイコン２へ固着異常診断フラグ信号を出力し（ステップＳ１１５）、マイコン２へ異常を知らせる。マイコン２はステップＳ１１０で保存したレジスタ情報や固着異常診断フラグ信号により、安全制御信号の異常を検出し（ステップＳ１１６）、異常時の対応処理を実行し（ステップＳ１１７）、システムを安全な状態で停止させるよう制御する（ステップＳ１１９）。

また、電源ＩＣ３は、固着異常診断フラグ信号を出力した後、レジスタ１２等で予め設定（指定）された動作を行い（ステップＳ１１８）、システムを安全な状態で停止させるよう制御することが可能である（ステップＳ１１９）。予め設定された動作とは、例えば、何もしない、外部に出力している電圧出力を停止する、或いは、システムを安全に停止させるよう安全制御信号を出力するなどの複数の可能性が考えられる。

なお、本実施例における安全制御信号は、上記の実施例１から実施例３で説明したマイコン２へのリセット信号、インジェクタ２４へのイネーブル信号、電子制御スロットル２１へのイネーブル信号、ゲートドライバ（ＩＣ）７の制御信号、アクティブディスチャージに関わる信号のうち、少なくとも１つを含む。

また、上述した各実施例において、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。

また、上述した各実施例において、機能ブロックの構成は一例にすぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また、各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。

また、上述した各実施例は、それぞれ組み合わせてもよい。上記では、種々の実施例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

１，１Ａ，１Ｂ…電子制御装置、２…マイコン（マイクロコントローラ）、３…電源ＩＣ、４…センサ類、５…周辺回路、６Ａ，６Ｂ…ドライバ、７…ゲートドライバ（ＩＣ）、８…パワーモジュール、９…放電回路、１０…コンデンサ、１１…インタフェース回路、１２…レジスタ、１３…安全処理回路、１４…診断回路、１５…電源回路、１６…シーケンサ、１７…駆動回路、１８…監視回路、２０…診断情報レジスタ、２１…電子制御スロットル、２２…高圧ポンプ、２３…燃料タンク、２４…インジェクタ、２５…ＨＶ（高電圧）バッテリ、２６…モータ

Claims (15)

1. マイコンと、
   前記マイコンと通信を行う電源ＩＣと、を備え、
   前記電源ＩＣは、前記マイコンを監視する監視回路と、
   前記監視回路が、制御対象であるシステムを安全な状態に制御するための安全制御信号の信号レベルに基づいてマイコン異常を判定した時に駆動回路を制御し当該駆動回路から別の安全制御信号を出力する安全処理回路と、
   前記安全制御信号のＬｏｗ／Ｈｉｇｈレベルの制御ができない固着故障の有無を診断する診断回路と、を有し、
   前記診断回路は、電源起動後からその後の前記安全制御信号が起動する前後までにおける当該安全制御信号の状態に基づいて固着故障の発生の有無を検出し、
   前記安全制御信号の固着を検出した場合、前記安全処理回路は、前記駆動回路を制御して前記別の安全制御信号を起動し、制御対象であるシステムを停止させる車両用電子制御装置。
2. 請求項１に記載の車両用電子制御装置であって、
   前記安全制御信号は、インジェクタへのイネーブル信号、電子制御スロットルへのイネーブル信号のうち、少なくとも１つを含む車両用電子制御装置。
3. 請求項１に記載の車両用電子制御装置であって、
   前記診断回路は、電源起動後からその後の前記安全制御信号が起動する前までの期間に前記安全制御信号の状態を検出し、
   前記安全制御信号が起動した後の期間に前記安全制御信号の状態を検出し、
   前記安全制御信号の起動前後の状態を比較することで、前記安全制御信号の固着故障の有無を診断する車両用電子制御装置。
4. 請求項１に記載の車両用電子制御装置であって、
   前記電源ＩＣは、前記診断回路の診断結果を格納するレジスタを有する車両用電子制御装置。
5. 請求項１に記載の車両用電子制御装置であって、
   前記電源ＩＣは、前記診断回路が安全制御信号の固着故障を検出した場合、前記マイコンへ異常状態フラグ信号を出力し、当該マイコンを起動させない車両用電子制御装置。
6. 請求項５に記載の車両用電子制御装置であって、
   前記電源ＩＣは、前記マイコンに供給する電源電圧を停止することで前記マイコンを起動させない車両用電子制御装置。
7. 請求項１に記載の車両用電子制御装置であって、
   前記診断回路は、前記マイコンが起動する前までに前記診断回路による安全制御信号の診断を完了する車両用電子制御装置。
8. 請求項１に記載の車両用電子制御装置であって、
   前記電源ＩＣは、Ｌｏｗ／Ｈｉｇｈレベルの制御ができない固着故障が検出されなかった安全制御信号を制御し、前記車両用電子制御装置の制御対象であるシステムを安全な状態へ遷移させる車両用電子制御装置。
9. マイコンと、前記マイコンと通信を行う電源ＩＣを備える車両用電子制御装置の診断方法であって、
   前記電源ＩＣは、前記マイコンが起動する前に、内部電源を１つずつ起動し、
   すべての内部電源が起動した後、制御対象であるシステムを安全な状態に制御するための安全制御信号を１つずつ起動させ、
   所定の内部電源の起動後からその後の当該内部電源に対応する安全制御信号が起動する前後までにおける当該安全制御信号の状態に基づいて前記安全制御信号のＬｏｗ／Ｈｉｇｈレベルの制御ができない固着故障の発生の有無を検出し、
   前記安全制御信号の固着を検出した場合、別の安全制御信号を起動させ、制御対象であるシステムを停止させる車両用電子制御装置の診断方法。
10. 請求項９に記載の車両用電子制御装置の診断方法であって、
    前記安全制御信号は、インジェクタへのイネーブル信号、電子制御スロットルへのイネーブル信号のうち、少なくとも１つを含む車両用電子制御装置の診断方法。
11. 請求項９に記載の車両用電子制御装置の診断方法であって、
    内部電源の起動後からその後の当該内部電源に対応する安全制御信号が起動する前までの期間に前記安全制御信号の状態を検出し、
    前記安全制御信号が起動した後の期間に前記安全制御信号の状態を検出し、
    前記安全制御信号の起動前後の状態を比較することで、前記安全制御信号の固着故障の有無を診断する車両用電子制御装置の診断方法。
12. 請求項９に記載の車両用電子制御装置の診断方法であって、
    前記安全制御信号の診断結果を前記電源ＩＣのレジスタに格納する車両用電子制御装置の診断方法。
13. 請求項９に記載の車両用電子制御装置の診断方法であって、
    安全制御信号の固着故障を検出した場合、前記マイコンへ異常状態フラグ信号を出力し、当該マイコンを起動させない車両用電子制御装置の診断方法。
14. 請求項１３に記載の車両用電子制御装置の診断方法であって、
    前記マイコンに供給する電源電圧を停止することで前記マイコンを起動させない車両用電子制御装置の診断方法。
15. 請求項９に記載の車両用電子制御装置の診断方法であって、
    前記マイコンが起動する前に前記安全制御信号の診断を完了する車両用電子制御装置の診断方法。

Images