• 专利附录
  • 专利说明
  • 权利要求
  • 类似技术
  • 同族专利
  • 引用文献
  • 法律状态
  • 优先权
    • 专利摘要:
    Eine ECU (100, 200) beinhaltet einen Überwachungsschaltkreis (2) mit einem Zähler (3) zur Auswahl einer Zuweisungsnummer (21) eines Zuweisungssignals (20), eine serielle Kommunikationseinheit (4) zur Übertragung des Zuweisungssignals (20) der Zuweisungsnummer (21), ausgewählt durch den Zähler (3), und zum Empfang eines Antwortsignals von einem Mikrocomputer (1). Die ECU beinhaltet auch einen Vergleichs-/Beurteilungsschaltkreis (5) zum Vergleich einer Antwortnummer (11) mit einer korrekten Antwortnummer (30) und zum Inkrementieren der Zuweisungsnummer (21) des durch den Zähler ausgewählten Zuweisungssignals um 1, wenn die beiden Antworten übereinstimmen. Dieser Schaltkreis (5) behält die gleich Zuweisungsnummer (21) bei, wenn die Antworten nicht übereinstimmen. Der Mikrocomputer (1) führt einen Betrieb in Übereinstimmung mit der Zuweisungsnummer (21) des Zuweisungssignals (20) durch, welches empfangen worden ist und überträgt das Betriebsergebnis unter Verwendung eines Antwortsignals (10).
    公开号:DE102004009359A1
    申请号:DE200410009359
    申请日:2004-02-26
    公开日:2004-09-16
    发明作者:Hideki Kariya Kabune；Hiromi Kariya Maehata
    申请人:Denso Corp；Advics Co Ltd；
    IPC主号:B60R16-02
    专利说明:
    [0001] Die vorliegende Erfindung betriffteine elektronische Steuereinheit zur Steuerung eines Stellgliedesmittels eines Mikrocomputers.
    [0002] Das japanische Gebrauchsmuster 5-365544 ("Patentveröffentlichung1"; Seite 2, 1) beschreibt eine Mikrocomputer-Steuervorrichtungmit einem Mikrocomputer zur Ausgabe eines Steuersignales, mit welchemeine bestimmte Last gesteuert wird, einem Überwachungsschaltkreis ("watchdog circuit") zur Erkennung einesanormalen Betriebszustandes des Mikrocomputers und zum Ausgebeneines Reset-Signales an den Mikrocomputer für einen Reset-Vorgang; einem Ausfallsicherheitsschaltkreis zurAusgabe eines Ausfallsicherheitssignales in Antwort auf das Reset-Signaldes Überwachungsschaltkreises;und einem Signalschalt-Schaltkreis zum Schalten des Steuersignalesdes Mikrocomputers auf die Ausfallsicherheitsseite in Antwort aufdas Ausfallsicherheitssignal.
    [0003] Diese Mikrocomputersteuervorrichtung,wie sie in der Patentveröffentlichung1 beschrieben ist, ist jedoch fürSysteme wie ABS, VSC, etc. ungeeignet, da die bloße Überwachungeines Überwachungsimpulsesnicht ausreichend ist. Eine Überwachungauf einem höherenPegel (bei welchem ein Befehl genau durchgeführt wird, etc.) ist notwendig.
    [0004] Die Verwendung von zwei Mikrocomputern zurDurchführungeiner Funktionsüberprüfung, wobei einwechselseitiger Datenaustausch zwischen ihnen durchgeführt wird,und zum Vergleichen der Überprüfungsergebnisselöst dasProblem nicht wirksam, da die Kosten zu hoch werden, so daß die Wettbewerbsfähigkeitendes Endproduktes verschlechtert werden.
    [0005] Aufgabe der vorliegenden Erfindungist es demnach, eine elektronische Steuereinheit zu schaffen, welchepreiswert im Aufbau ist und sicher überwachen kann, ob ein Mikrocomputernormal arbeitet oder nicht.
    [0006] Zur Lösung dieser Aufgabe ist gemäß einem erstenAspekt der vorliegenden Erfindung ein Überwachungsschaltkreis miteiner Kommunikationseinheit und einer Vergleichs-/Beurteilungseinheitausgestattet. Die Kommunikationseinheit überträgt eine Zuweisungsnummer aneinen Mikrocomputer und empfängtvon dem Mikrocomputer eine Antwort. Die Vergleichs-/Beurteilungseinheitvergleicht dann die vom Mikrocomputer empfangene Antwort mit einer korrektenAntwort, um die Funktion des Mikrocomputers zu überprüfen.
    [0007] Der Mikrocomputer steuert ein Stellgliedund führtauch einen bestimmten selbstfunktionierenden Überprüfungsvorgang abhängig vonder empfangenen Zuweisungsnummer durch und überträgt das Betriebsergebnis alsAntwort an den Überwachungsschaltkreis.
    [0008] Die elektronische Steuereinheit istso ausgelegt, daß derMikrocomputer den selbstfunktionierenden Überprüfungsvorgang abhängig vonder empfangenen Zuweisungsnummer durchführt und der Überwachungsschaltkreis überprüft die Antwortals Betriebsergebnis hiervon. Somit kann mit Sicherheit überwachtwerden, ob der Mikrocomputer normal arbeitet. Weiterhin wird nurein Mikrocomputer benötigt, wasdie Kosten niedrig hält.
    [0009] Gemäß einem zweiten Aspekt istein Überwachungsschaltkreismit einer Zuweisungsnummer-Auswahleinheit, einer Kommunikationseinheit undeiner Vergleichs-/Beurteilungseinheitausgestattet. Die Zuweisungsnummer-Auswahleinheit des Überwachungsschaltkreises wählt eineZuweisungsnummer, welche einem Mikrocomputer zu übertragen ist. Die Kommunikationseinheitdes Überwachungsschaltkreises überträgt die vonder Zuweisungsnummer-Auswahleinheit ausgewählte Zuweisungsnummer an denMikrocomputer und empfängt eineAntwort vom Mikrocomputer.
    [0010] Die Vergleichs-/Beurteilungseinheitdes Überwachungsschaltkreisesvergleicht die so empfangene Antwort mit einer korrekten Antwort.Wenn die Antwort mit der korrekten Antwort übereinstimmt, erneuert dieVergleichs-/Beurteilungseinheitdie von der Zuweisungsnummer-Auswahleinheit auszuwählende Zuweisungsnummer, überträgt die erneuerte Zuweisungsnummerals nächsteZuweisungsnummer _ an den Mikrocomputer und vergleicht dann eineempfangene Antwort mit einer korrekten Antwort.
    [0011] Andererseits, wenn die Antwort nichtmit der korrekten Antwort übereinstimmt,erneuert die Vergleichs-/Beurteilungseinheit des Überwachungsschaltkreisesdie von der Zuweisungsnummer-Auswahleinheit auszuwählende Zuweisungsnummer nichtund wähltdie vorher übertrageneZuweisungsnummer erneut. Die Kommunikationseinheit überträgt die betreffendeZuweisungsnummer an den Mikrocomputer und dann vergleicht die Vergleichs-/Beurteilungseinheitdie empfangene Antwort mit einer korrekten Antwort.
    [0012] Der Mikrocomputer steuert ein Stellgliedund führtauch einen selbstfunktionierenden Überprüfungsvorgang durch und überträgt das Betriebsergebnisals Antwort an den Überwachungsschaltkreis.
    [0013] Eine elektronische Steuereinheitist so ausgelegt, daß derMikrocomputer den selbstfunktionierenden Überprüfungsvorgang abhängig vonder empfangenen Zuweisungsnummer durchführt und die Vergleichs-/Beurteilungseinheitdes Überwachungsschaltkreises überprüft die Antwortals Betriebsergebnis. Somit kann mit hoher Präzision überwacht werden, ob der Mikrocomputernormal arbeitet.
    [0014] Wenn die empfangene Antwort und diekorrekte Antwort nicht übereinstimmendsind, wird die gleiche Zuweisungsnummer: beibehalten, diese Zuweisungsnummerwird dem Mikrocomputer erneut übertragenund die empfangene Antwort und die korrekte Antwort werden miteinanderverglichen. Infolgedessen kann unter der gleichen Bedingung (der gleichenZuweisungsnummer) die Funktion des Mikrocomputers überprüft werden.Da weiterhin nur ein Mikrocomputer verwendet wird, sind die Kostengering.
    [0015] Wenn gemäß einem dritten Aspekt irgendetwasverursacht, daß derMikrocomputer in einen anormalen Zustand verfällt, wird er daran gehindert, eineAntwort zu übertragen,so daß einefalsche Antwort nicht übertragenwird.
    [0016] Wenn daher der Überwachungsschaltkreis keineAntwort innerhalb einer bestimmten Zeitdauer ausgehend von dem Zeitpunktaus empfangen kann, zu dem eine Zuweisungsnummer dem Mikrocomputer übertragenworden ist, oder wenn eine Nicht-Übereinstimmung zwischen derempfangenen Antwort und der korrekten Antwort eine bestimmte Anzahlmal empfangen wird, beurteilt der Überwachungsschaltkreis, daß sich derMikrocomputer in einem anormalen Zustand befindet.
    [0017] Infolgedessen kann ein Overflow odereine Betriebsunterbrechung des Mikrocomputers mit Sicherheit erkannt werden,wobei ein vorübergehender und/oderselten auftretender Betriebsfehler, beispielsweise ein weicher Fehleraufgrund von α-Strahlen(vorübergehendgestörteBits des RAM) oder dergleichen, der nur ein vorübergehender Fehler des Mikrocomputersist, nicht als Anormalitäterkannt wird, so daß Störungen desComputers mit Sicherheit entdeckt werden können.
    [0018] Gemäß einem vierten Aspekt überträgt der Mikrocomputerdie Antwort eines unabsichtlich falschen Betriebsergebnisses zujeder bestimmten Anzahl von Kommunikationen an den Überwachungsschaltkreis,um hierdurch die Funktion des Überwachungsschaltkreiseszu überprüfen. Somitkann von dem Mikrocomputer überprüft werden,ob der Überwachungsschaltkreisnormal arbeitet.
    [0019] Wenn gemäß einem fünften Aspekt beurteilt wird,daß derMikrocomputer in einem anormalen Zustand ist, unterbindet der Überwachungsschaltkreis denBetrieb des Stellglieds durch den Mikrocomputer und hält das Auftretender Anormalitätfest. Infolgedessen kann die elektronische Steuereinheit bei einemSystem angewendet werden, welches für Sicherheitsfragen zuständig ist,beispielsweise ABS, VSC oder dergleichen.
    [0020] Gemäß einem sechsten, zehnten undvierzehnten Aspekt hat der Überwachungsschaltkreis eineVorrichtung zur Überprüfung, obder Mikrocomputer in einen normalen Zustand zurückgekehrt ist, nachdem beurteiltworden ist, daß sichder Mikrocomputer in einem anormalen Zustand befindet.
    [0021] Wie in einem zehnten Aspekt beschrieben, wird,wenn die Versorgung eingeschaltet wird, der Mikrocomputer in einenanormalen Zustand versetzt, so daß die normale Steuerverarbeitungdurchgeführt wird,nachdem der Mikro computer mit Sicherheit als sich im normalen Zustandbefindlich beurteilt worden ist. Somit kann eine elektronische Steuereinheitmit höhererSicherheit geschaffen werden.
    [0022] Gemäß einem vierzehnten Aspekt überträgt nachdem Beginn des Reset der Computer eine Antwort, welche ein absichtlichfalsches Betriebsergebnis bezüglicheiner Zuweisungsnummer wenigstens einmal enthält, um zu überprüfen, ob der Überwachungsschaltkreiseine korrekte Beurteilung einer Anormalität des Mikrocomputers durchführen kann undeine sichere Verarbeitung bei einer Anormalität durchführen kann (Schalten des Steuersystemsauf die sichere Seite). Somit kann eine elektronische Steuereinheitmit höhererSicherheit geschaffen werden.
    [0023] Gemäß einem siebten Aspekt wirdals eine Einrichtung zur Beurteilung, ob der Mikrocomputer in einennormalen Zustand zurückversetztworden ist, eine bestimmte Anzahl von aufeinanderfolgenden Übereinstimmungenzwischen der Antwort und der korrekten Antwort verwendet. von daherkann der Anormalitäts-Verarbeitungsmodusvon der Bestätigungbefreit werden, daß derMikrocomputer mit Sicherheit in den normalen Zustand zurückversetzt wordenist. Somit kann eine elektronische Steuereinheit mit höherer Sicherheitgeschaffen werden.
    [0024] Gemäß einem achten Aspekt wirdals eine Einrichtung zur Beurteilung der Zurückversetzung des Mikrocomputersin den normalen Zustand der Empfang eines normalen Rücksetzsignalesverwendet. Somit kann der Anormalitäts-Verarbeitungsmodus früher freigegebenwerden, so daß dieBetriebsüberprüfungszeitfür den Überwachungsschaltkreis verkürzt werdenkann.
    [0025] Wenn gemäß einem neunten Aspekt derMikrocomputer in einem derart instabilen Zustand ist, daß er abwechselndden anormalen Zustand und den normalen Zustand wiederholt, wirdabgeschätzt,daß eineAnormalitätim Mikrocomputer aufgetreten ist. Weiterhin wird die Häufigkeit,mit der der Überwachungsschaltkreisbeurteilen kann, daß derMikrocomputer in einen normalen Zustand zurückversetzt worden ist, aufeine bestimmte Anzahl beschränkt. Wenndaher der Mikrocomputer unter einer Anormalität leidet, kann diese Anormalität mit Sicherheitfestgestellt werden.
    [0026] Wenn gemäß einem elften Aspekt beurteilt wird,daß derMikrocomputer in den normalen Zustand zurückversetzt worden ist, erlaubtder Überwachungsschaltkreis,daß derMikrocomputer das Stellglied betreibt und beendet die _ Feststellung,daß eineanormale Funktion vorliegt. Wenn daher der Mikrocomputer in dennormalen Zustand zurückversetztworden ist, kann die normale elektronische Steuerung wieder aufgenommenwerden.
    [0027] Wenn gemäß einem zwölften Aspekt der Mikrocomputerals sich in einem anormalen Zustand befindlich beurteilt wird, setztder Überwachungsschaltkreisden Mikrocomputer zurückund startet dann den Mikrocomputer erneut, um diesen zu initialisieren.Somit kann der Mikrocomputer aus einer vorübergehenden Anormalität, beispielsweiseaufgrund eines Overflows wegen Rauschen oder dergleichen zurückgesetztwerden, so daß dieseErfindung bevorzugt bei einem System anwendbar ist, bei dem eineUnterbrechung der Steuerung nicht vorteilhaft ist.
    [0028] Im Fall einer derartigen permanentenAnormalitätderart, daß dieseAnormalitätauch dann wieder auftritt, wenn der Mikrocomputer zurückgesetzt undneu initialisiert wird, ist es notwendig, das System mit Sicherheit anzuhalten.Somit ist gemäß einemdreizehnten Aspekt die Häufigkeit,mit der der Mikrocomputer von dem Überwachungsschaltkreis zurückgesetztund neu gestartet wird, beschränkt undwenn die Reset-/Neustart-Frequenz die obengenannte Frequenz übersteigt,wird der Mikrocomputer bleibend zurückgesetzt und in dem Ausgangszustandgehalten.
    [0029] Hierbei unterbindet der Überwachungsschaltkreisauch, daß derMikrocomputer das Stellglied steuert, bringt das Stellglied aufdie sichere Seite und hältdie Anormalitätfest, so daß eineelektronische Steuereinheit mit hoher Sicherheit gewährleistetist.
    [0030] Weitere Einzelheiten, Aspekte undVorteile der vorliegenden Erfindung ergeben sich besser aus dernachfolgenden detaillierten Beschreibung in Zusammenschau mit derZeichnung.
    [0031] Es zeigt:
    [0032] 1 einBlockdiagramm einer elektronischen Steuereinheit für eine ABS-Steuerunggemäß einerersten bevorzugten Ausführungsform;
    [0033] 2 einAblaufdiagramm eines von einem Mikrocomputer durchgeführten Ablaufschemas,wobei jede elektronische Steuereinheit mit einem derartigen Mikrocomputerausgestattet ist;
    [0034] 3 einAblaufdiagramm eines Programmablaufs, welcher vom Mikrocomputerzur Initialisierung der elektronischen Steuereinheit durchgeführt wird;
    [0035] 4 einBlockdiagramm einer elektronischen Steuereinheit gemäß einerzweiten bevorzugten Ausführungsform;und
    [0036] 5 einFlußdiagrammeines Programmablaufs, welcher vom Mikrocomputer zur Initialisierungder elektronischen Steuereinheit durchgeführt wird.
    [0037] Bevorzugte Ausführungsformen der vorliegendenErfindung werden nachfolgend unter Bezug auf die beigefügte Zeichungbeschrieben.
    [0038] Eine elektronische Steuereinheit 100 für eine ABS-Steuerung gemäß einerAusführungsformder vorliegenden Erfindung wird unter Bezug auf die 1 bis 3 näher beschrieben.Die elektronische Steuereinheit 100 ist ausgestattet miteinem Mikrocomputer 1 zur Steuerung eines Hydraulikzylinders (nichtgezeigt) auf der Grundlage von Sensorausgängen von vier Fahrzeuggeschwindigkeitssensoren (nichtgezeigt) und einem Überwachungsschaltkreis 2 zur Überwachungder Funktion des Mikrocomputers 1. Der Mikrocomputer arbeitetauf der Grundlage des Flußdiagrammsvon 2 (Schritte 201 bis 212). Genauergesagt, der Mikrocomputer 1 führt einen bestimmten Zuweisungsvorgang(Schritt 203) durch, um die Funktion des Mikrocomputers 1 selbstabhängigvon einer empfangenen Zuweisungsnummer 2 zu überprüfen undführt eineAntwortkorrekturverarbeitung (Schritt 204) abhängig vondem Betriebsergebnis durch, um eine Antwortnummer 11 zuberechnen. Die empfangene Zuweisungsnummer 21 ist einem Eingangssignal 20 überlagert.Danach überträgt der Mikrocomputer 1 dieAntwortnummer 11, welche so berechnet worden ist, an den Überwachungsschaltkreis 2.Die Antwortnummer 11 ist einem Antwortsignal 10 überlagert.
    [0039] In diesem Fall überträgt der Mikrocomputer 1 absichtlichein Antwortsignal 10 mit einer falschen Antwortnummer 11 anden Überwachungsschaltkreis 2 alleacht Male (im Schritt 202 sind die unteren drei Bits vonM "000"). Der Mikrocomputer 1 führt eineBeurteilung hinsichtlich einer falschen Antwort durch, um zu überprüfen, obein Zuweisungssignal 20 mit der gleichen Zuweisungsnummer 21,welche soeben vorher übertragenworden ist, übertragenwird (im Schritt 211 ist die momentane Zuweisungsnummer identischzu der vorhergehenden Zuweisungsnummer), wodurch der Betrieb des Überwachungsschaltkreises überprüft wird.
    [0040] Wenn eine Energieversorgungsquellezum Betrieb der elektronischen Steuereinheit 100 eingeschaltetwird (Initialisierungszeitpunkt), überträgt der Mikrocomputer 1 absichtlichdas Antwortsignal 10 mit der falschen Antwortnummer 11 (Schritt 309)an den Überwachungsschaltkreisdreimal aufeinanderfolgend, um die Steuerung des Hydraulikzylindersin einen Sperrzustand zu versetzen (Antriebsverhinderungszustand),wodurch der Betrieb des Überwachungsschaltkreises 2 überprüft wird(JA in Schritt 314). Danach wird ein Antriebsverhinderungs-Freigabeschlüsselsignalan den Überwachungsschaltkreis 2 übertragen.
    [0041] Wenn ein Antriebsverhinderungs-Freigabeschlüsselsignal-Überprüfungsschaltkreis 71 dasAntriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibtder Antriebsverhinderungs-Freigabeschaltkreis 7 den Antriebsverhinderungszustanddes Hydraulikzylinders frei (das Freigeben wird bis zu drei Maldurchgeführt).
    [0042] Bezugnehmend auf 1, so weist der Überwachungsschaltkreis 2 einenZähler 3 (Zuweisungsnummer-Auswahl einheit),eine serielle Kommunikationseinheit 4 (Kommunikationseinheit),einen Vergleichs-/Beurteilungsschaltkreis 5 (Vergleichs-/Beurteilungseinheit),eine Antriebsverhinderungseinheit 6 und einen Freigabeschaltkreis 7 für die Antriebsverhinderungauf.
    [0043] Der Zähler 3 dient dazu,ein Zuweisungssignal zu erzeugen, welches eine bestimmte Zuweisungsnummer 21 vonvorzugsweise 8 Bits enthält. DasZuweisungssignal (oder die Zuweisungsnummer) 21, welchesvon dem Zähler 3 ausgegeben wird,wird in einen Decoder 31 eingegeben, um eine korrekte Antwortnummer 30 auszugeben(korrekte Antwortnummer, welche in 1 durchC.A.N. dargestellt ist) und weiterhin wird das Zuweisungssignal derseriellen Kommunikationseinheit 4 eingegeben.
    [0044] Zu jeder bestimmten Zeit überträgt die serielleKommunikationseinheit 4, welche eine serielle Kommunikationmit dem Mikrocomputer macht, das Zuweisungssignal 20 (SIN),empfängtein Antwortsignal 10 (SOUT) vom Mikrocomputer 1 undgibt eine Antwortnummer 11 mit 8 Bits (die in einem AntwortsignalA.N. in 1 enthalteneAntwort) in einen Vergleichs-/Beurteilungsabschnitt 51 desVergleichs-/Beurteilungsschaltkreises 5 ein.
    [0045] Der Vergleichs-/Beurteilungsschaltkreis 5 weistden Vergleichs-/Beurteilungsabschnitt 51 und einen Inverterschaltkreis 52 auf.Der Vergleichs-/Beurteilungsabschnitt 51 vergleicht dieAntwortnummer 11 mit der korrekten Antwortnummer 30,welche vom Decoder 31 ausgegeben wird. Wenn die Antwortnummer 11 unddie korrekte Antwortnummer 30 miteinander übereinstimmendsind (Antwortnummer 11 = korrekte Antwortnummer 30),gibt der Vergleichs-/Beurteilungsabschnitt 51 über denInverterschaltkreis 52 ein Zuweisungserneuerungssignal(in 1 mit A.R. dar gestellt)an den Zähler 3 aus,um die Zuweisungsnummer 21 des vom Zähler 3 zu übertragendenZuweisungssignales um 1 zu inkrementieren.
    [0046] Wenn die Antwortnummer 11 unddie korrekte Antwortnummer 30 nicht übereinstimmend sind (NG: Antwortnummer 11 ≠ korrekteAntwortnummer 30) wird überdem Inverterschaltkreis 52 kein Zusweisungserneuerungssignalan den Zähler 3 ausgegebenund somit wird das Zuweisungssignal 21 mit der gleichenZuweisungsnummer wie die vorhergehende Zuweisungsnummer, welchesgerade vorher übertragenworden ist, vom Zähler 3 ausgegeben.
    [0047] Die Antriebsverhinderungseinheit 6 weisteinen dreifach-NG-Beurteilungsabschnitt 61, einen Nichterneuerungs-Beurteilungsabschnitt 62,einen ODER-Schaltkreis 63 und einen Flip-Flop-Schaltkreis 64 auf.
    [0048] Der dreifach-NG-Beurteilungsabschnitt 61 beurteilt,ob die Häufigkeit,mit der NG, welches sequenziell von dem Vergleichs-/Beurteilungsabschnitt 51 beurteiltworden ist, 3 oder mehr erreicht. Wenn die fortlaufende NG-Beurteilungshäufigkeit 3 erreicht,gibt der dreifach-NG-Beurteilungsabschnitt 61 einen Ausgangmit logisch hohem Pegel aus.
    [0049] Der nichterneuerungs-Beurteilungsabschnitt 62 beurteiltauf der Grundlage des Antwortnummer-Erneuerungssignals von der seriellenKommunikationseinheit 4, ob die Antwortnummer innerhalbeiner bestimmten Zeit (30ms) erneuert worden ist. Wenn die Antwortnummernicht erneuert worden ist, gibt der nichterneuerungs-Beurteilungsabschnitt 62 einSignal mit logisch hohem Pegel aus.
    [0050] Wenn der ODER-Schaltkreis 63 einenAusgang mit hohem logischen Pegel von dem dreifach-NG-Beurteilungsabschnitt 61,dem Nichterneuerungs-Beurteilungsabschnitt 62 oder einCPU-Resetsignal empfängt,beurteilt der ODER-Schaltkreis 63, daß der Mikrocomputer 1 ineinen anormalen Betriebszustand verfallen ist und gibt einen Ausgangmit hohem logischen Pegel an den Flip-Flop-Schaltkreis 64.Auf diese Weise verhindert der Flip-Flop-Schaltkreis 64 dieSteuerung des Hydraulikzylinders durch den Mikrocomputer 1 (d.h. es liegt ein Betriebsverhinderungszustand vor).
    [0051] Wenn der Mikrocomputer 1 inden anormalen Betriebszustand verfällt, gibt ein Resetsignal-Übertragungsschaltkreis(nicht gezeigt) des Überwachungsschaltkreises 2 einResetsignal an den Mikrocomputer 1 aus. Wenn der Mikrocomputer 1 aufder Grundlage dieses Resetsignales in den normalen Zustand zurückvesetztwird, überträgt der Mikrocomputer 1 absichtlichin Antwort auf das Zuweisungssignal 20 das Antwortsignal 10,welches das falsche Betriebsergebnis enthält, an den Überwachungsschaltkreis 2,um die Funktion des Überwachungsschaltkreises 2 zu überprüfen. Mitanderen Worten, der Mikrocomputer 1 überprüft hier, ob der Überwachungsschaltkreis 2 korrektarbeitet.
    [0052] Der Antriebsverhinderungs-Freigabeschaltkreis 7 weisteinen Antriebsverhinderungs-Freigabeschlüsselsignalschaltkreis 71,einen Zählerschaltkreis 72,einen Flip-Flop-Schaltkreis 73,einen ODER-Schaltkreis 74, einen Inverterschaltkreis 75 undeinen UND-Schaltkreis 76 auf.
    [0053] Wenn von dem Mikrocomputer 1 über dieserielle Kommunikationseinheit 4 ein Freigabeschlüsselsignal übertragenwird, beurteilt der Schlüsselsignalschaltkreis 71,ob der Freigabeschlüsselmit dem Antriebsverhinderungs-Freigabeschlüssel übereinstimmend ist oder nicht.
    [0054] Fürden Fall, daß derFlip-Flop-Schaltkreis 64 das Stellglied (Hydraulikzylinder)in den Antriebsverhinderungszustand versetzt, wenn der Schlüsselsignalüberprüfungsschaltkreis 71 dasAntriebsverhinderungs-Freigabeschlüsselsignal bestätigt, gibt derFreigabeschaltkreis 7 den Antriebsverhinderungszustanddes Hydraulikzylinders bis zu drei mal frei.
    [0055] Nachfolgend wird die Arbeitsweiseeiner elektronischen Steuereinheit 200 für eine ABS-Steuerung(entsprechend den ersten bis fünftenund zwölftenbis vierzehnten Aspekten der Erfindung) gemäß einer zweiten bevorzugtenAusführungsformunter Bezugnahme auf 4 beschrieben.
    [0056] Wie die elektronische Steuereinheit 100 weistdie elektronische Steuereinheit 200 einen Mikrocomputer 1 zurSteuerung eines (nicht gezeigten) Hydraulikzylinders auf der Grundlagevon Sensorausgängenvon vier Fahrzeuggeschwindigkeitssensoren (nicht gezeigt) und einen Überwachungsschaltkreis 2 zur Überwachungder Funktion des Mikrocomputers 1 auf.
    [0057] Die elektronische Steuereinheit 200 istmit einem Resetschaltkreis 8 anstelle des Antriebsverhinderungs-Freigabeschaltkreises 7 derersten Ausführungsformausgestattet. Der Resetschaltkreis 8 weist einen Resetschaltkreis 81 für VersorgungEIN, einen Resetpulserzeugungsschaltkreis 82, einen Zähler 83,einen ODER-Schaltkreis 84 und einen Inverterschaltkreis 85 auf.Wenn beurteilt wird, daß derMikrocomputer 1 in einem anormalen Zustand ist, gibt derResetschaltkreis 8 ein Resetsignal an eine Signalleitungaus, welche mit einem Resetanschluß verbunden ist, um den Mikrocomputer 1 zurückzusetzen.
    [0058] Der Mikrocomputer arbeitet normalerweise gemäß dem Flußdiagramm(Schritt 201 bis 211) von 2. Dieser Ablauf ist der gleiche wiebei der elektronischen Steuereinheit 100.
    [0059] Wenn eine Energieversorgungsquellezum Betrieb der elektronischen Steuereinheit 200 eingeschaltetwird (Initialisierung), überträgt der Mikrocomputer 1 absichtlichein Antwortsignal 10 mit einer falschen Antwortnummer anden Überwachungsschaltkreis,und zwar dreimal aufeinanderfolgend, wie in dem Flußdiagrammvon 5 gezeigt (Schritte 501 bis 518),so daß derMikrokomputer 1 sich selbst zurücksetzt und somit der Betriebdes Überwachungsschaltkreises überprüft wird(EIN in Schritt 503).
    [0060] Einige der vielen Vorteile, welchedurch die elektronischen Steuereinheiten 100 und 200 geschaffenwerden, werden nachfolgend beschrieben.
    [0061] (A) Die elektronischen Steuereinheiten 100 und 200 sindso ausgelegt, daß derVergleichs-/Beurteilungsschaltkreis 5 des Überwachungsschalktreises 2 dieAntwortnummer 11 mit der korrekten Antwortnummer 30 vergleicht,um die Funktion des Mikrocomputers 1 zu überprüfen. Somitkann mit hoher Präzision überwachtwerden, ob der Mikrocomputer 1 normal arbeitet oder nicht.Weiterhin wird nur ein Mikrocomputer verwendet, so daß die Kostenverringert sind.
    [0062] Wenn die Antwortnummer 11 unddie korrekte Antwortnummer 30 nicht übereinstimmend sind, hält der Überwachungsschaltkreisdie Zuweisungsnummer 21 ungeändert, überträgt das Zuweisungssignal 20 entsprechendder Zuweisungsnummer 21 erneut an den Mikrocomputer 1 undvergleicht die Antwortnummer 11 mit der korrekten Antwort nummer 30 erneut.Das heißt,wenn die Antwort falsch ist, wird eine Neuüberprüfung unter den gleichen Bedingungen(unter Verwendung der gleichen Zuweisungsnummer) durchgeführt, sodaß somitsicher identifiziert werden kann, ob die falsche Antwort durch Störrauschenoder dergleichen oder durch eine Fehlerfunktion des Mikrocomputers 1 verursachtwurde.
    [0063] (B) Wenn der Mikrocomputer 1 durchirgendeinen Grund in einen anormalen Zustand verfällt, wirdes unmöglichdie Antwortnummer 11 zu übertragen, oder die Antwortnummer 11 unddie korrekte Antwortnummer 30 sind nicht mehr in Übereinstimmung.
    [0064] Bei den elektronischen Steuereinheiten 100 und 200 wird,wenn die Antwortnummer nicht innerhalb von 30 ms von der Zeit anerneuert wird, zu der das Zulassungssignal 20 dem Mikrocomputer 1 übertragenworden ist, oder wenn eine Nichtübereinstimmungzwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimalhintereinander beurteilt wird, wird darauf geschlossen, daß der Mikrocomputer 1 sichin einem anormalen Zustand befindet und somit wird eine Steuerungdes Hydraulikzylinders durch den Mikrocomputer 1 unterbunden.
    [0065] Weiterhin, wenn die Energiequellenversorgungeingeschaltet wird, wird der Zustand des Überwachungsschaltkreises 2 ineinen Beurteilungszustand durch das Resetsignal versetzt, welcheseiner Anormalitätdes Mikrocomputers entspricht und die Steuerung des Hydraulikzylindersdurch den Mikrocomputer 1 wird vom Überwachungsschaltkreis 2 verhindert.Das heißt,der Mikrocomputer wird in den Antriebsverhinderungszustand versetzt.Wenn danach der Mikrocomputer 1 seinen Betrieb durch Aufhebendes Resetsignales beginnt und ein normales Rücksetzsignal dem Überwachungsschaltkreis 2 durchden Initialisierungsvor gang des Mikrocomputers 1 übertragenwird, ermöglichtder Überwachungsschaltkreis,daß derMikrocomputer 1 den Hydraulikzylinder steuert. Das heißt, derMikrocomputer 1 wird in einen Stellgliedantriebszustandzurückversetzt.
    [0066] Wenn bei den elektronischen Steuereinheiten 100 und 200 dieAntwortnummer 11 nicht innerhalb von 30 ms ausgehend vondem Zeitpunkt erneuert wird, zu dem das Zuweisungssignal 20 demMikrocomputer 1 übertragenworden ist oder wenn eine Nichtübereinstimmungzwischen der Antwortnummer 11 und der korrekten Antwortnummer 30 dreimalhintereinander beurteilt worden ist, verhindert der Überwachungsschaltkreis 2,daß derMikrocomputer 1 den Hydraulikzylinder steuert. Gleichzeitiggibt der Überwachungsschaltkreis 2 einResetsignal an den Mikrocomputer 1 aus und nachdem dasResetsignal freigegeben worden ist, erlaubt der Überwachungsschaltkreis 2,daß derMikrocomputer 1 den Hydraulikzylinder wieder steuert undsetzt den Mikrocomputer, der sich in einem anormalen Zustand befunden hat,wieder in einen normalen Zustand zurück.
    [0067] Somit können die elektronischen Steuereinheiten 100 und 200 denHydraulikzylinder fürABS mit hoher Sicherheit steuern.
    [0068] Falls der Mikrocomputer mehrfachin anormalen Zustand verfällt,wird dieser Anormalitätszustanddes Mikrocomputers mit Wahrscheinlichkeit durch einen bestimmtenGrund verursacht. von daher wird die Häufigkeit, mit der der Steuerungsverhinderungszustanddes Hydraulikzylinders durch den Mikrocomputer in den Steuererlaubniszustanddurch den Überwachungsschaltkreis 2 geändert wird,in der elektronischen Steuereinheit 100 auf dreimal begrenzt.
    [0069] Weiterhin ist in der elektronischenSteuereinheit 200 die Häufigkeitdes Zurücksetzensdes Mikrocomputers durch den Überwachungsschaltkreis 2 durchden Zähler 83 aufviermal begrenzt.
    [0070] (C) Die elektronischen Steuereinheiten 100 und 200 sindso ausgelegt, daß derMikrocomputer 1 absichtlich das Antwortsignal 10 derfalschen Antwortnummer 11 an den Überwachungsschaltkreis 2 alleacht Male einer Kommunikation zwischen dem Mikrocomputer 1 unddem Überwachungsschaltkreis 2 überträgt. Somitkann durch den Mikrocomputer 1 korrekt überprüft werden, ob der Überwachungsschaltkreis 2 normalarbeitet.
    [0071] (D) Wenn in den elektronischen Steuereinheiten 100 und 200 derMikrocomputer 1 durch das Resetsignal in den normalen Zustandzurückversetzt wird, überträgt der Mikrocomputer 1 absichtlichdas Antwortsignal 10, welches das falsche Betriebsergebnisenthältin Antwort auf das Zuweisungssignal 20, um die Funktiondes Überwachungsschaltkreises 2 zu überprüfen.
    [0072] Infolgedessen wird, wenn der Mikrocomputer zurückgesetztwird, die Funktion des Überwachungsschaltkreises 2 überprüfbar, sodaß dieSicherheit verbessert wird, In einer elektronischen Steuereinheit zur Überwachungeines Mikrocomputers beinhaltet demnach erfindungsgemäß eine ECUeinen Überwachungsschaltkreismit einem Zählerzur Auswahl einer Zuweisungsnummer eines Zuweisungssignales, eineserielle Kommunikationseinheit zur Übertragung des Zuweisungssignalsder Zuweisungsnummer, ausgewähltdurch den Zählerund zum Empfang eines Antwortsignals von einem Mikrocomputer. Die ECUbeinhaltet auch einen Vergleichs-/Beurteilungsschaltkreis zum Vergleicheiner Antwortnummer mit einer korrekten Antwortnummer und zum Inkrementierender Zuweisungsnummer des durch den Zähler ausgewählten Zuweisungssignales um1, wenn die beiden Antworten übereinstimmen.Dieser Schaltkreis behältdie gleiche Zuweisungsnummer bei, wenn die Antworten nicht übereinstimmen.Der Mikrocomputer führteinen Betrieb in Übereinstimmung mitder Zuweisungsnummer des Zuweisungssignals durch, welches empfangenworden ist und überträgt das Betriebsergebnisunter Verwendung eines Antwortsignals.
    [0073] Die Beschreibung der Erfindung istrein exemplarisch, so daß Abwandlungenhiervon nicht vom Umfang der Erfindung abweichen, sondern im Rahmender Erfindung liegen, wie durch die beiliegenden Ansprüche undderen Äquivalentedefiniert ist.
    权利要求:
    Claims (14)
    [1] Eine elektronische Steuereinheit (100, 200) zurSteuerung eines Stellgliedes mittels eine Mikrokomputers (1),mit. einem Überwachungsschaltkreis(2) mit einer Kommunikationseinheit (4) zur Übertragungeiner Zuweisungsnummer (21) an den Mikrocomputer und zum Empfangeiner Antwort (11) von dem Mikrocomputer; und einer Vergleichs-/Beurteilungseinheit(5) zum Vergleich der Antwort (11) mit einer korrektenAntwort (30) zur Überprüfung desMikrocomputers (1), wobei der Mikrocomputer (1)einen vorbestimmten Selbstfunktions-Überprüfungsvorgang abhängig vonder Zuweisungsnummer (21) durchführt und ein Betriebsergebnishiervon als Antwort überträgt.
    [2] Eine elektronische Steuereinheit (100, 200) zurSteuerung eines Stellgliedes mittels eines Mikrocomputers (1),mit. einem Überwachungsschaltkreis(2) mit einer Zuweisungsnummerauswahleinheit (3)zum Auswähleneiner Zuweisungsnummer (21), einer Kommunikationseinheit(4) zur Übertragungder Zuweisungsnummer (21), die von der Zuweisungsnummerauswahleinheit(3) ausgewähltwurde an den Mikrocomputer (1) und zum Empfang einer Antwort(11) vom Mikrocomputer, und einer Vergleichs-/Beurteilungseinheit (5)zum Vergleichen der Antwort (11) mit einer korrekten Antwort(30), um die Funktion des Mikrocomputers (1) zu überprüfen, wobei dieZuweisungsnummerauswahleinheit (3) die Zuweisungsnummerin eine nächsteZuweisungsnummer erneuert, wenn die Antwort (11) und diekorrekte Antwort (30) in der Vergleichs-/Beurteilungseinheit (5)als miteinander übereinstimmendbeurteilt werden und die gleiche Zuwei sungsnummer als nächste Zuweisungsnummerauswählt,wenn die Antwort (11) und die korrekte Anwort (30)in der Vergleichs-/Beurteilungseinheit (5) als nicht miteinander übereinstimmendbeurteilt werden, und wobei der Mikrocomputer (1)einen bestimmten Selbstfunktions-Überprüfungsvorgang abhängig von derempfangenen Zuweisungsnummer (21) durchführt undein Betriebsergebnis als Antwort (11) überträgt.
    [3] Elektronische Steuereinheit (100, 200)nach Anspruch 1 oder 2, wobei der Überwachungsschaltkreis (2)beurteilt, daß derMikrocomputer (1) in einem anormalen Zustand ist, wennder Überwachungsschaltkreis(2) keine Antwort innerhalb eines bestimmten Zeit nach Übertragungder Zuweisungsnummer (21) an den Mikrocomputer (1)empfängt oderwenn eine Nichtübereinstimmungzwischen der Antwort (11) und der korrekten Antwort (30)aufeinanderfolgend eine bestimmte Anzahl mal beurteilt wird.
    [4] Elektrische Steuereinheit (100, 200)nach einem der Ansprüche1 bis 3, wobei der Mikrocomputer (1) absichtlich an den Überwachungsschaltkreis(2) eine Antwort (11) mit einem falschen Betriebsergebnismit. einer bestimmten Häufigkeit überträgt, um hierdurchdie Funktion des Überwachungsschaltkreises(2) zu überprüfen.
    [5] Elektronische Steuereinheit (100, 200)nach einem der Ansprüche1 bis 4, wobei, wenn der Überwachungsschaltkreis 2 beurteilt,dass der Mikrocomputer (1) in einem anomalen Zustand ist,der Überwachungsschaltkreis(2) den Mikrocomputer (1) in einen Antriebsverhinderungszustandversetzt.
    [6] Elektronische Steuereinheit (100, 200)nach einem der Ansprüche1 bis 5, wobei der Überwachungsschaltkreis(2) einen Schaltkreis (7, 8) enthält zur Beurteilung,ob der Mikrocomputer (1) in einen normalen Zustand zurückversetztworden ist, nachdem einmal beurteilt wurde, dass der Mikrocomputer (1)in einem anomalen Zustand ist.
    [7] Elektronische Steuereinheit (100) nach Anspruch6, wobei der Schaltkreis (7, 8) beurteilt, obes eine Übereinstimmungzwischen der Antwort (11) und der korrekten Antwort (30)aufeinanderfolgend füreine bestimmte Anzahl von Zeiten gibt.
    [8] Elektronische Steuereinheit (100, 200)nach Anspruch 6, wobei, wenn ein normales Rückstellsignal empfangen wird,die Vorrichtungen (7, 8) zur Beurteilung, ob derMikrocomputer (1) in einen normalen Zustand zurückversetztworden ist, beurteilt, dass der Mikrocomputer (1) in dennormalen Zustand zurückversetztworden ist.
    [9] Elektronische Steuereinheit (100, 200)nach einem der Ansprüche6 bis 8, wobei der Überwachungsschaltkreis(2) die Häufigkeitauf eine bestimmte Häufigkeitbeschränkt,mit der der Mikrocomputer (1) als in den normalen Zustandzurückversetzt beurteiltwerden kann.
    [10] Elektronische Steuereinheit (200) nacheinem der Ansprüche6 bis 9, wobei der Überwachungsschaltkreis(2) den Mikrocomputer (1) in einen anormalen Zustandversetzt, wenn eine Energieversorgungsquelle eingeschaltet wird.
    [11] Elektronische Steuereinheit (200) nacheinem der Ansprüche6 bis 10, wobei der Überwachungsschaltkreis(2) es dem Mikrocomputer (1) erlaubt, in einemStellgliedantriebszustand zu sein und eine Funktions-Anormalität nichtlängerfeststellt, wenn der Überwachungsschaltkreis(2) beurteilt, dass der Mikrocomputer (1) in dennormalen Zustand zurückversetztworden ist.
    [12] Elektronische Steuereinheit (200) nacheinem der Ansprüche1 bis 4, wobei, wenn der Überwachungsschaltkreis(2) den Mikrocomputer (1) als in einem normalenZustand befindlich beurteilt, dann der Überwachungsschaltkreis (2)den Mikrocomputer (1) zurücksetzt, um den Mikrocomputer(1) neu zu starten.
    [13] Elektronische Steuereinheit (200) nachAnspruch 12, wobei der Überwachungsschaltkreis(2) die Häufigkeitauf eine bestimmte Anzahl von Malen beschränkt, mit der der Mikrocomputer(1) zurückgesetztwird, um neu gestartet zu werden und den Mikrocomputer (1)fest zurücksetzt,wenn die Reset/Neustart-Häufigkeitdes Mikrocomupters die bestimmte Anzahl von Malen übersteigt.
    [14] Elektronische Steuereinheit (100, 200)nach einem der Ansprüche5 bis 12, wobei, nachdem der Mikrocomputer (1) zurückgesetztund neu gestartet worden ist, der Mikrocomputer (1) absichtlicheine Antwort (11) eines falschen Betriebsergebnisses in Antwortauf die Zuweisungsnummer (21) wenigstens einmal überträgt, um zu überprüfen, obder Überwachungsschaltkreis(2) eine genaue Beurteilung hinsichtlich einer Anormalität des Mikrocomputers(1) durchführtund eine sichere Anormalitätsverarbeitung durchführt.
    类似技术:
    公开号 | 公开日 | 专利标题
    DE4114999C2|2001-04-26|System zur Steuerung eines Kraftfahrzeuges
    US9836341B2|2017-12-05|System and method for bit error rate monitoring
    US8712635B2|2014-04-29|In-vehicle electronic control apparatus having monitoring control circuit
    JP4480313B2|2010-06-16|プロセス制御装置
    JP4050196B2|2008-02-20|Electronic control device having supervisory control circuit
    EP0725743B1|2001-01-10|Fahrzeugsicherungsanordnung
    EP1323039B1|2006-03-15|Verfahren zum betrieb eines von einem prozessor gesteuerten systems
    DE10312699B4|2005-07-28|Nichtinvasives Testen von Netzwerkschnittstellen-Fehlercodes für ein Sicherheitsnetzwerk
    JP4518150B2|2010-08-04|車両用電子制御装置
    US7555353B2|2009-06-30|Input device of safety unit
    US9625894B2|2017-04-18|Multi-channel control switchover logic
    US7539903B2|2009-05-26|Method for monitoring the execution of a program by comparing a request with a response and introducing a falsification in a response
    US4835671A|1989-05-30|Communication control unit providing isolation of failure condition of electronic control unit
    US7590848B2|2009-09-15|System and method for authentication and fail-safe transmission of safety messages
    US8799738B2|2014-08-05|Method of detecting data transmission errors in a CAN controller, and a CAN controller for carrying out the method
    EP1845665A2|2007-10-17|Elektronische Steuereinheit mit mehreren Regelkreisen
    JP4525762B2|2010-08-18|車両用電子制御装置
    US7251551B2|2007-07-31|On-vehicle electronic control device
    JP5705258B2|2015-04-22|マイクロコンピュータ及びその動作方法
    US6678586B2|2004-01-13|Vehicle built-in electronic control apparatus
    US7366597B2|2008-04-29|Validating control system software variables
    JP2004017676A|2004-01-22|車両用通信システム、初期化装置及び車両用制御装置
    DE102013201596B4|2016-10-20|Verfahren zur fehlerdetektion und -abschwächung eines unabsichtlich aktiven zustands eines netzes einer fahrzeuginternen kommunikation
    DE102011120872B4|2020-06-18|Verfahren zur Nachrichtenübertragungs-Deaktivierungsprüfung eines Controllerbereichsnetzes
    US20140351460A1|2014-11-27|Relay device
    同族专利:
    公开号 | 公开日
    US20040172580A1|2004-09-02|
    DE102004009359B4|2006-02-02|
    US7305587B2|2007-12-04|
    JP2004259137A|2004-09-16|
    引用文献:
    公开号 | 申请日 | 公开日 | 申请人 | 专利标题
    法律状态:
    2004-09-16| OP8| Request for examination as to paragraph 44 patent law|
    2006-07-27| 8364| No opposition during term of opposition|
    2014-10-08| R084| Declaration of willingness to licence|
    优先权:
    申请号 | 申请日 | 专利标题
    [返回顶部]