JP2008055980A - 自動車の電子制御装置 - Google Patents

Abstract

【課題】マイコンが制御プログラム実行中に書換え設定信号がブートモード設定状態となってしまった場合でもＷＤＴ機能を継続動作させ、かつその状態における意図しないリセット発生があってもマイコンを通常動作モードで再起動することが可能となる制御装置を提供する。
【解決手段】機能上設定の切り換え可能なマイコンの動作モード設定とＷＤＴへのオートリセットキャンセルの信号を、ＥＣＵ内システム電源投入直後の状態でシステム電源が発生している間ラッチさせておく回路を有することで、マイコンが制御プログラム実行中に書換え設定信号がブートモード設定状態となってしまった場合でもＷＤＴ機能を継続動作させ、かつその状態における意図しないリセット発生があってもマイコンを通常動作モードで再起動するという目的を実現した。
【選択図】図１

Description

本発明は自動車の電子制御装置、特に外部からのデータ転送による制御プログラムの書き換えが可能な電子制御装置における異常監視機能に関する。

自動車の電子制御装置（以下、「ＥＣＵ」と称する）は、その主要部であるマイクロコンピュータ（以下、「マイコン」という）を動作させる制御プログラムをＥＣＵ外部からのデータ転送によって変更することを可能とする機能を有しているものが増えてきている。この制御プログラムを変更するためには、通常動作モードにて実行されるプログラム領域とは異なる別領域に、予めプログラム書き換え用のプログラム（以下、「ブートプログラム」と称する）を常駐させておく。マイコンはシステム電源が投入された直後、マイコン自身のモードセレクト端子の論理状態からどのプログラム領域を実行するかを判別して、選択したプログラムを実行する。例えば、通常制御モードとプログラム書き換え用のモード（以下、「ブートモード」と称する）のいずれかを選択し、それぞれ制御プログラム又はブートプログラムを実行する。

このマイコン動作モードを切り換えるためにはＥＣＵ外部からの信号を利用することが必要とされ、ＥＣＵ内部にその信号の状態からマイコン動作モードを切り換えるモードセレクト回路が設けられている。

一方、自動車用ＥＣＵにはマイコンのプログラム実行の暴走を監視するウォッチドッグタイマ（以下、「ＷＤＴ」と称する）がある。マイコンは所定周期のパルスをＷＤＴに対して出力しており、ＷＤＴはその周期を監視している。ＷＤＴが所定の周期でパルスを受信している場合は、マイコンが制御プログラムを設計意図通りに実行していると判断できる。逆にマイコンからの出力パルスが所定周期より外れた場合は、マイコンが制御プログラムを設計意図通りに実行していないと判断されるので、ＷＤＴはその状態を検出しシステムリセット信号を発生させて、マイコンの動作を強制的に停止させる。

上述のように、制御プログラムを変更するには、ＥＣＵ外部から書換え設定信号を入力した状態でＥＣＵの電源を投入し、マイコンをブートモードで起動させる必要があるが、ブートモードでの起動によって実行される書換え用のブートプログラムは一般的にＷＤＴへ出力するパルスを生成する機能を有していないため、マイコンからのパルスによって
ＷＤＴのリセット発生を抑止することはできない。そこでＥＣＵ外部からの信号によってＷＤＴのオートリセット機能を抑止する機能を設け、ブートプログラム実行中にシステムリセットが発生し、マイコンが動作停止に至ることを防いでいる（特開２００１−14001号公報）。

特開２００１−１４００１号公報

上記従来技術では、マイコンが制御プログラムを実行中に、何らかの原因によってECU外部からの書換え設定信号がブートモード設定の状態になった場合、既に動作中であるマイコンは起動中に動作モードを切り換えることはできない。このためマイコンはブートモードには移行せず、引き続き制御プログラムを実行し続ける。一方、上記のようにＥＣＵ外部からの書換え設定信号がブートモード設定の状態になるとＷＤＴのオートリセット機能が抑止されてしまう。

このため、上記従来技術ではマイコンが制御プログラムを実行している間に、何らかの原因でＥＣＵ外部からの書換え設定信号がブートモード設定の状態になると、マイコンが制御プログラムを設計意図通りに実行していない場合におけるシステムリセット発生が不能となるという課題がある。

また、上記の状態において、外来ノイズなどの影響によりリセット信号が発生した場合、マイコンはブートモードで起動してしまうため、制御プログラムによる動作が不能になるという課題がある。

本発明の目的は、自動車の電子制御装置において、マイコンが制御プログラムを実行中に、何らかの原因により書換え設定信号がブートモード設定状態となってしまった場合であってもＷＤＴ機能の動作を継続させることである。また、本発明の他の目的は、上記の状態における意図しないリセット発生があっても、マイコンを通常動作モードで再起動することを可能にすることである。

上記課題を解決するため、演算処理手段と、当該演算処理手段が実行する制御プログラムを格納する記憶手段と、前記演算処理手段による前記制御プログラムの実行を監視し、異常と判断した場合には前記演算処理手段を再起動させる監視手段と、前記演算処理手段及び前記監視手段に電力を供給する電力供給手段と、外部からの入力信号に基づいて、前記演算処理手段が、前記制御プログラムを実行するか、前記記憶手段に記憶された制御プログラムの書き換えを行うかを選択する動作モード選択手段とを備えた自動車の電子制御装置において、前記動作モード選択手段が、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内における選択結果を保持する構成とする。

さらには、上記の構成に加えて、外部からの入力信号に基づいて、前記監視手段による前記演算処理手段の再起動を停止するか否かを判定する判定手段を備え、前記判定手段が、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内における判定結果を保持する構成とする。

より具体的には、マイコンが制御プログラムを実行するモードと当該制御プログラムの書き換えを行うモードとを備える自動車の電子制御装置において、マイコン及びＷＤＴに電力を供給するシステム電源が動作している間は、マイコンの動作モード設定とＷＤＴへのオートリセットキャンセルの信号とを、上記システム電源の起動直後の状態でラッチさせる構成とする。

本発明によれば、マイコンが制御プログラムを実行しているときに、ＥＣＵへの書換え設定信号がブートモード設定状態になっても、オートリセット機能をキャンセルすることなく、ＷＤＴがマイコンの制御プログラム実行を監視し続けることが可能となる。

他の発明によれば、マイコンが制御プログラムを実行しているときに、ＥＣＵへの書換え設定信号がブートモード設定状態になり、かつＷＤＴによるシステムリセットが発生した場合であっても、マイコンをブートモードではなく、制御プログラムを実行するモードで起動させることができる。

以下、図面を参照して本発明の実施形態について説明する。

図１に本発明の第一の実施例におけるＥＣＵの装置構成を示す。ＥＣＵ１は自動車用バッテリー２から電力供給を受けており、イグニッションスイッチ等の起動スイッチ３が
ＯＮされることにより起動される。ＥＣＵ１は、自動車の機器（エンジン等）を制御するための制御プログラムを実行するマイコン１ｂ，マイコン１ｂ等に電力を供給するシステム電源１ａ，書換え可能な不揮発性メモリ１ｃ，マイコン１ｂの発生するパルスを計測するＷＤＴ１ｄ，マイコン１ｂが制御プログラムを設計意図通りに実行しているか否かを判定するオートリセットキャンセル判定回路１ｅ，外部からの入力に基づいて実行するプログラムを選択するモードセレクト回路１ｆを備える。

制御プログラムを実行している間、マイコン１ｂは所定間隔でＰ−ＲＵＮパルス１ｇをＷＤＴ１ｄに供給する。ＷＤＴ１ｄはＰ−ＲＵＮパルス１ｇを予め定めた間隔で受信しているときはマイコンが正常に制御プログラムを実行していると判定する。なおＷＤＴ１ｄは、Ｐ−ＲＵＮパルス１ｇを所定の間隔で受信していない場合には、マイコン１ｂが制御プログラムを正常に実行していないと判定し、リセット信号１ｈをマイコン１ｂに出力してマイコン１ｂを再起動する。

モードセレクト回路１ｆは、ＥＣＵ１の外部から２系統（Ａ，Ｂ）の書換え設定信号４、５の入力を受ける構成であり、当該信号に基づいてブートモードと通常動作モードのいずれかを選択する。

図２は図１の構成図における各機能ブロックの動作を説明するものである。まずステップ５１において、ＥＣＵ１の起動スイッチ３がオンするとシステム電源１ａが立ち上がる。次にステップ５２において、メモリ１ｃに記憶されている制御プログラムを書換えるかどうかを判定する。この判定にはＥＣＵ１の外部から入力される設定信号４，５が用いられる。システム電源１ａが起動直後（起動後の経過時間が所定以内）であって、入力信号４と入力信号５が各々制御プログラム書換えを実行する特定の設定状態（ブートモード設定）であれば、これらのＡＮＤ条件により、ステップ５３ｂに進む。ステップ５３ｂでは、まずオートリセットキャンセル判定回路１ｅがＷＤＴ１ｄに対しオートリセットキャンセルを命令する。これにより、ＷＤＴ１ｄのオートリセット機能が停止される。この状態では、Ｐ−ＲＵＮパルス１ｇがマイコン１ｂから出力されない場合であっても、ＷＤＴ1dはマイコン１ｂに対してリセット信号１ｈを出力しない。従ってマイコン１ｂの動作が
ＷＤＴ１ｄによりリセットされない状態となる（状態５５ｂ）。

さらにステップ５３ｂでは、モードセレクト回路１ｆはマイコン１ｂに対してブートモード起動の命令をする。これにより、マイコン１ｂはブートプログラムの実行を開始し、メモリ１ｃに記憶された制御プログラムの書き換えを行う（状態５５ｂ）。

逆にステップ５２にて入力信号４と入力信号５が特定の設定状態でなければ、ステップ５３ａに進む。ステップ５３ａでは、オートリセットキャンセル回路１ｅはのＷＤＴ１ｄに対してオートリセット非キャンセルを命令する。これにより、ＷＤＴ１のオートリセット機能が維持される。この状態では、ＷＤＴ１ｄは先述のようにＰ−ＲＵＮパルス１ｇを監視し、マイコン１ｂからＰ−ＲＵＮパルス１ｇを所定の間隔で受信していない場合には、マイコン１ｂが制御プログラムを正常に実行していないと判定し、リセット信号１ｈをマイコン１ｂに出力してマイコン１ｂを再起動する（状態５５ａ）。

またステップ５３では、モードセレクト回路１ｆはＣＰＵ１ｂに対して通常動作モードでの起動を命令する。これにより、マイコン１ｂは制御プログラムを実行する(状態55ａ)。

本実施例では（図１には図示していないが）、オートリセットキャンセル判定回路１ｅ及びモードセレクト回路は、システム電源１ａから当該システム電源が起動していることを示す信号の入力を受ける構成となっている。そして、オートリセットキャンセル判定回路１ｅ及びモードセレクト回路は、上述のシステム電源１ａからの信号に基づいてシステム電源起動直後のモード状態をラッチ（保持）する（ステップ５４ａ，５４ｂ）。この機能により、ＷＤＴ１ｄに対するオートリセットキャンセル判定回路１ｅからの信号と、マイコン１ｂに対するモードセレクト回路１ｆからの信号とを、それぞれ起動スイッチ３がオンしている限り、システム電源が起動した直後に選択された動作モードに保ち続けることが可能となる。

このようにすれば、マイコン１ｂが通常動作モードで動作しているときに、何らかの原因でＥＣＵ外部からの書換え設定信号がブートモード設定になったとしても、オートリセットキャンセル判定回路１ｅからＷＤＴ１ｄに対する入力は「オートリセット機能動作」に保持される。従って、通常動作モードにおいてＷＤＴ１ｄのオートリセット機能がキャンセルされる状況を回避できる。

また、上記の状態においても、モードセレクト回路１ｆからマイコン１ｂに対する入力は「通常動作モード」に保持される。従って、ＷＤＴ１ｄからマイコン１ｂにリセット信号が送信された場合、マイコン１ｂは通常動作モードで起動するので、マイコン１ｂがブートモードで再起動して、システムが停止することを回避できる。

図３に本発明の第２の実施形態を示す。実施例１との相違点は、実施例１においては、先述のラッチ機能（ステップ５４ａ，５４ｂ）をオートリセットキャンセル判定回路１ｅ及びモードセレクト回路１ｆで実現しているのに対し、本実施例では、ＷＤＴ１ｄ及びマイコン１ｂで実現している点である。この相違点は、実施例１においては、オートリセットキャンセル回路１ｅからＷＤＴ１ｄに送信される信号及び、モードセレクト回路１ｆからマイコン１ｂに送信される信号をラッチするのに対し、実施例２では、送信される信号はラッチせず、ＷＤＴ１ｄ及びマイコン１ｂの側で受信信号をラッチする点であると言うこともできる。

当該構成では、オートリセットキャンセル判定回路１ｅ及びモードセレクト回路１ｆには判定機能のみを設け、ラッチ機能は設けない。代わりとして元々システム電源を取り入れるマイコン１ｂ内において、モードセレクト回路１ｆからの命令をシステム電源投入直後の状態でラッチし、システム電源が起動している間はこれを保持する。同様にＷＤＴ1d内でもオートリセットキャンセル判定回路１ｅからの命令をシステム電源投入直後の状態でラッチし、システム電源が起動している間はこれを保持する機能を持たせる。

以上により、マイコンが制御プログラムを実行しているときに外部からの書き換え設定信号４，５が各々制御プログラム書換えを実行する特定の設定状態になっても、ＷＤＴ1dのオートリセット機能はキャンセルされず、マイコン１ｂの制御プログラム実行を監視しつづけることが可能となる。

また本実施例では、マイコン１ｂにモード選択信号をラッチする機能を持たせているので、システム電源起動直後のモード選択状態が通常モードであった場合、システム電源３がオンされている限り、マイコン１ｂ内のモード選択信号は通常モードに保持される。これにより、上記のような状況において、何らかの原因により、ＷＤＴ１ｄからマイコン
１ｂにリセット信号１ｈが出力された場合にも、マイコン１ｂはブートモードにて再起動することなく、リセット発生前と同様の通常動作モードにて再起動することになる。従って、ＥＣＵ１の外部からの書き換え設定信号の偶発的な異常と、ＷＤＴ１ｄからの偶発的なリセット信号の出力とが同時に発生した場合でも、システムの意図しない停止を防止することが可能である。

なお、特に説明しない構成及び作用，効果については実施例１と同様である。なお、図２に示した各機能ブロックの動作についても、ラッチ機能（ステップ５４ａ，５４ｂ）がマイコン１ｂ及びＷＤＴ１ｄにより実現されることを除き、同様である。

本発明の一実施例にかかる自動車の電子制御装置を示す機能ブロック図。 本発明の一実施例にかかる機能ブロック毎の動作を示す図。 本発明の一実施例にかかる自動車の電子制御装置を示す機能ブロック図。

符号の説明

１…自動車の電子制御装置（ＥＣＵ）、１ａ…システム電源、１ｂ…マイコン、１ｃ…書換え可能な不揮発性メモリ、１ｄ…ＷＤＴ、１ｅ…オートリセットキャンセル判定回路、１ｆ…モードセレクト回路、１ｇ…Ｐ−ＲＵＮパルス信号ライン、１ｈ…リセット信号ライン、２…バッテリー、３…起動スイッチ、４，５…書換え設定信号、５１…システム電源起動動作、５２…制御プログラム書換え判定、５３ａ…通常動作モード選択動作、
５３ｂ…ブートモード選択動作、５４ａ…通常動作モード選択結果ラッチ、５４ｂ…ブートモード選択結果ラッチ、５５ａ…通常モード起動状態、５５ｂ…ブートモード起動状態。

Claims (4)

1. 演算処理手段と、
   当該演算処理手段が実行する制御プログラムを格納する記憶手段と、
   前記演算処理手段による前記制御プログラムの実行を監視し、異常と判断した場合には前記演算処理手段を再起動させる監視手段と、
   前記演算処理手段及び前記監視手段に電力を供給する電力供給手段と、
   外部からの入力信号に基づいて、前記演算処理手段が、前記制御プログラムを実行するか、前記記憶手段に記憶された制御プログラムの書き換えを行うかを選択する動作モード選択手段とを備え、
   前記動作モード選択手段は、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内における選択結果を保持する自動車の電子制御装置。
2. 請求項１において、
   外部からの入力信号に基づいて、前記監視手段による前記演算処理手段の再起動を停止するか否かを判定する判定手段を備え、
   前記判定手段は、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内における判定結果を保持する自動車の電子制御装置。
3. 演算処理手段と、
   当該演算処理手段が実行する制御プログラムを格納する記憶手段と、
   前記演算処理手段による前記制御プログラムの実行を監視し、異常と判断した場合には前記演算処理手段を再起動させる監視手段と、
   前記演算処理手段及び前記監視手段に電力を供給する電力供給手段と、
   外部からの入力信号に基づいて、前記演算処理手段が、前記制御プログラムを実行するか、前記記憶手段に記憶された制御プログラムの書き換えを行うかを選択する動作モード選択手段とを備え、
   前記演算処理手段は、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内において前記動作モード選択手段から受信した選択結果を保持する自動車の電子制御装置。
4. 請求項３において、
   外部からの入力信号に基づいて、前記監視手段による前記演算処理手段の再起動を停止するか否かを判定する判定手段とを備え、
   前記監視手段は、前記電力供給手段が動作している間、前記電力供給手段が起動してから所定時間内において前記判定手段から受信した判定結果を保持する自動車の電子制御装置。
   

Images