JP3617407B2

JP3617407B2 - Abnormality monitoring of CPU in control device of moving body using prime mover

Info

Publication number: JP3617407B2
Application number: JP2000101379A
Authority: JP
Inventors: 光博灘; 真一松本
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2000-04-03
Filing date: 2000-04-03
Publication date: 2005-02-02
Anticipated expiration: 2020-04-03
Also published as: JP2001282302A

Abstract

PROBLEM TO BE SOLVED: To prevent the reset of mutual CPU from being endlessly continued in a controller using plural CPU for monitoring each other. SOLUTION: Plural mutually connected CPU including first and second CPU 272 and 262 are used for controlling the operation of a motor. The first CPU 272 is provided with a first reset executing means for executing the first reset phenomenon causing reset in a prescribed range of circuit including the second CPU 262 when a reset signal is applied. The second CPU 262 is provided with a second reset executing means for supplying a reset signal to the first CPU 272 at the time of detecting the abnormality of the first CPU 272 without supplying any reset signal to the first CPU 272 when the second CPU 262 is reset in the first reset phenomenon.

Description

【０００１】
【発明の属する技術分野】
この発明は、原動機を用いた移動体に使用される制御技術に関し、特に、ＣＰＵの異常監視の技術に関する。
【０００２】
【従来の技術】
近年では、車両や飛行機等のような原動機を用いた移動体の制御は、ＣＰＵを用いたデジタル制御装置によって行われるのが普通である。デジタル制御装置においては、ＣＰＵを監視して、ＣＰＵに異常が発生したときにＣＰＵをリセットする監視回路が設けられることが多い。監視回路としては、監視対象のＣＰＵとは別の他のＣＰＵが用いられることもあり、また、いわゆるウォッチドッグ回路などが用いられることもある。
【０００３】
例えば、特開平５−１４３１９６号公報には、車両用エアバッグ装置において、主ＣＰＵを監視するための副ＣＰＵを用いる技術が開示されている。この技術では、副ＣＰＵは、主ＣＰＵの動作を監視し、主ＣＰＵに異常が発生したときにはインヒビタ回路を動作させて、主ＣＰＵからの信号が外部回路に出力されることを禁止する。
【０００４】
また、特開平１１−３１４５７３号公報には、電動式パワーステアリングの制御装置における監視回路が開示されている。この技術では、監視回路として、ウォッチドッグタイマや、過電流検出回路等が用いられている。
【０００５】
【発明が解決しようとする課題】
移動体を制御するために複数のＣＰＵが用いられている場合には、いくつかのＣＰＵを相互に監視するように構成することが可能である。例えば、２つの原動機をそれぞれ制御するための２つのＣＰＵが、互いに相手の動作を監視し、異常を発見した場合に相手のＣＰＵをリセットするような構成を取ることが可能である。
【０００６】
しかし、このように複数のＣＰＵが互いに監視するような構成を採用した場合には、１つのＣＰＵがリセットされると、リセットされたＣＰＵがその再起動時に他のＣＰＵをリセットするという事態が生じ得る。この理由は、ＣＰＵがリセットされたときには、その周辺回路をすべてリセットするのが普通だからである。このような事態が生じると、ＣＰＵ同士のリセットが際限なく続いてしまい、制御装置が正常に復帰できなくなるという問題がある。
【０００７】
本発明は、上述した従来の課題を解決するためになされたものであり、相互に監視する複数のＣＰＵを用いた制御装置において、ＣＰＵ同士のリセットが際限なく続くことを防止することが可能な技術を提供することを目的とする。
【０００８】
【課題を解決するための手段およびその作用・効果】
上記目的を達成するために、本発明では、前記原動機の動作を制御するために、第１と第２のＣＰＵを含む互いに接続された複数のＣＰＵを利用する。前記第１のＣＰＵは、リセット信号が与えられてリセットされたときに、前記第２のＣＰＵを含む所定の範囲の回路にリセットを引き起こす第１のリセット事象を実行する第１のリセット実行手段を有している。前記第２のＣＰＵは、前記第１のリセット事象において前記第２のＣＰＵがリセットされたときには前記第１のＣＰＵにリセット信号を供給せず、前記第１のＣＰＵの異常を検出したときに前記第１のＣＰＵにリセット信号を供給する第２のリセット実行手段を有している。
【０００９】
この構成では、第１のＣＰＵにリセット信号が与えられた場合には第２のＣＰＵを含む所定の範囲の回路がリセットされるが、第２のＣＰＵは第１のＣＰＵをリセットしないので、ＣＰＵ同士のリセットが際限なく続くことを防止することが可能である。また、第２のＣＰＵは、第１のＣＰＵの異常を検出したときに第１のＣＰＵをリセットするので、第１のＣＰＵの異常を監視することが可能である。
【００１０】
なお、前記第１のＣＰＵは、前記原動機の制御において、前記所定の範囲の回路の中の最上位の制御を行うＣＰＵであることが好ましい。
【００１１】
こうすれば、第１のＣＰＵがリセットされるときに第２のＣＰＵを含む所定の範囲の回路がリセットすることによって、より確実に原動機の制御を正常に復帰することが可能である。
【００１２】
また、前記第１と第２のＣＰＵは、互いに相手の異常を監視するとともに、相手のＣＰＵの異常を検出したときに相手のＣＰＵにリセット信号を供給する機能をそれぞれ有しているようにしてもよい。
【００１３】
このような場合には、第１と第２のＣＰＵ同士のリセットの循環を防止できるという効果が顕著である。
【００１４】
前記制御装置は、さらに、前記第１のＣＰＵの異常を監視するとともに、前記第１のＣＰＵの異常を検出したときに前記第１のＣＰＵにリセット信号を供給する監視回路を有するようにしてもよい。このとき、前記制御装置は、前記移動体の始動時に、前記第２のＣＰＵによる前記第１のＣＰＵのリセット動作と、前記監視回路による前記第１のＣＰＵのリセット動作とが正常に実行されるか否かを確認するためのリセットテストを実行するようにしてもよい。
【００１５】
この構成では、移動体の運行前に第１のＣＰＵのリセット動作を確認することができるので、制御装置の信頼性を向上させることが可能である。
【００１６】
前記制御装置は、さらに、前記複数のＣＰＵの中のいずれかのＣＰＵに接続され、前記リセットテストの結果を登録するリセット履歴登録部を有するようにしてもよい。
【００１７】
この構成では、リセットテスト後に、ＣＰＵによってリセットテストの結果を容易に確認することが可能である。
【００１８】
前記リセット履歴登録部は、前記リセットテスト中において前記複数のＣＰＵに供給される複数のリセット信号のうちの少なくとも一部のリセット信号の発生を検出して記憶する機能を有するようにしてもよい。
【００１９】
こうすれば、リセット履歴登録部を調べることによって、リセットテスト中において所定のリセット信号が発生しているか否かを知ることが可能である。
【００２０】
また、前記リセット履歴登録部は、さらに、前記リセットテスト後の前記移動体の運行中において前記複数のリセット信号のうちの少なくとも一部のリセット信号の発生を検出して記憶する機能を有するようにしてもよい。
【００２１】
こうすれば、リセット履歴登録部を調べることによって、移動体の運行中におけるＣＰＵの異常の発生を知ることが可能である。
【００２２】
なお、本発明は、種々の態様で実現することが可能であり、例えば、移動体の制御装置またはその制御方法、その制御装置を用いた移動体、その制御装置または制御方法の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、そのコンピュータプログラムを含み搬送波内に具現化されたデータ信号、等の態様で実現することができる。
【００２３】
【発明の実施の形態】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
Ａ．ハイブリッド車両の全体構成：
Ｂ．ハイブリッド車両の基本動作：
Ｃ．第１実施例の制御システムの構成：
Ｄ．ＣＰＵのリセット体系：
Ｅ．車両始動時のリセットテスト：
Ｆ．第２実施例のメインＥＣＵの構成：
Ｇ．変形例
【００２４】
Ａ．ハイブリッド車両の全体構成：
図１は、本発明の一実施例としてのハイブリッド車両の全体構成を示す説明図である。このハイブリッド車両は、エンジン１５０と、２つのモータ／ジェネレータＭＧ１，ＭＧ２と、の３つの原動機を備えている。ここで、「モータ／ジェネレータ」とは、モータとしても機能し、また、ジェネレータとしても機能する原動機を意味している。なお、以下では簡単のため、これらを単に「モータ」と呼ぶ。車両の制御は、制御システム２００によって行われる。
【００２５】
制御システム２００は、メインＥＣＵ２１０と、ブレーキＥＣＵ２２０と、バッテリＥＣＵ２３０と、エンジンＥＣＵ２４０とを有している。各ＥＣＵは、マイクロコンピュータや、入力インタフェース、出力インタフェースなどの複数の回路要素が１つの回路基板上に配置された１ユニットとして構成されたものである。メインＥＣＵ２１０は、モータ制御部２６０とマスタ制御部２７０とを有している。マスタ制御部２７０は、３つの原動機１５０，ＭＧ１，ＭＧ２の出力の配分などの制御量を決定する機能を有している。
【００２６】
エンジン１５０は、通常のガソリンエンジンであり、クランクシャフト１５６を回転させる。エンジン１５０の運転はエンジンＥＣＵ２４０により制御されている。エンジンＥＣＵ２４０は、マスタ制御部２７０からの指令に従って、エンジン１５０の燃料噴射量その他の制御を実行する。
【００２７】
モータＭＧ１，ＭＧ２は、同期電動機として構成されており、外周面に複数個の永久磁石を有するロータ１３２，１４２と、回転磁界を形成する三相コイル１３１，１４１が巻回されたステータ１３３，１４３とを備える。ステータ１３３，１４３はケース１１９に固定されている。モータＭＧ１，ＭＧ２のステータ１３３，１４３に巻回された三相コイル１３１，１４１は、それぞれ駆動回路１９１，１９２を介して２次バッテリ１９４に接続されている。駆動回路１９１，１９２は、各相ごとにスイッチング素子としてのトランジスタを１対ずつ備えたトランジスタインバータである。駆動回路１９１，１９２はモータ制御部２６０によって制御される。モータ制御部２６０からの制御信号によって駆動回路１９１，１９２のトランジスタがスイッチングされると、バッテリ１９４とモータＭＧ１，ＭＧ２との間に電流が流れる。モータＭＧ１，ＭＧ２はバッテリ１９４からの電力の供給を受けて回転駆動する電動機として動作することもできるし（以下、この動作状態を力行と呼ぶ）、ロータ１３２，１４２が外力により回転している場合には三相コイル１３１，１４１の両端に起電力を生じさせる発電機として機能してバッテリ１９４を充電することもできる（以下、この動作状態を回生と呼ぶ）。
【００２８】
エンジン１５０とモータＭＧ１，ＭＧ２の回転軸は、プラネタリギヤ１２０を介して機械的に結合されている。プラネタリギヤ１２０は、サンギヤ１２１と、リングギヤ１２２と、プラネタリピニオンギヤ１２３を有するプラネタリキャリア１２４と、から構成されている。本実施例のハイブリッド車両では、エンジン１５０のクランクシャフト１５６はダンパ１３０を介してプラネタリキャリア軸１２７に結合されている。ダンパ１３０はクランクシャフト１５６に生じる捻り振動を吸収するために設けられている。モータＭＧ１のロータ１３２は、サンギヤ軸１２５に結合されている。モータＭＧ２のロータ１４２は、リングギヤ軸１２６に結合されている。リングギヤ１２２の回転は、チェーンベルト１２９とデファレンシャルギア１１４とを介して車軸１１２および車輪１１６Ｒ，１１６Ｌに伝達される。
【００２９】
制御システム２００は、車両全体の制御を実現するために種々のセンサを用いており、例えば、運転者によるアクセルの踏み込み量を検出するためのアクセルセンサ１６５、シフトレバーの位置を検出するシフトポジションセンサ１６７、ブレーキの踏み込み圧力を検出するためのブレーキセンサ１６３、バッテリ１９４の充電状態を検出するためのバッテリセンサ１９６、およびモータＭＧ２の回転数を測定ための回転数センサ１４４などを利用している。リングギヤ軸１２６と車軸１１２はチェーンベルト１２９によって機械的に結合されているため、リングギヤ軸１２６と車軸１１２の回転数の比は一定である。従って、リングギヤ軸１２６に設けられた回転数センサ１４４によって、モータＭＧ２の回転数のみでなく、車軸１１２の回転数も検出することができる。
【００３０】
Ｂ．ハイブリッド車両の基本的動作：
ハイブリッド車両の基本的な動作を説明するために、以下ではまず、プラネタリギヤ１２０の動作について説明する。プラネタリギヤ１２０は、上述した３つの回転軸のうちの２つの回転軸の回転数が決定されると残りの回転軸の回転数が決まるという性質を有している。各回転軸の回転数の関係は次式（１）の通りである。
【００３１】
Ｎｃ＝Ｎｓ×ρ／（１＋ρ）＋Ｎｒ×１／（１＋ρ） …（１）
【００３２】
ここで、Ｎｃはプラネタリキャリア軸１２７の回転数、Ｎｓはサンギヤ軸１２５の回転数、Ｎｒはリングギヤ軸１２６の回転数である。また、ρは次式で表される通り、サンギヤ１２１とリングギヤ１２２のギヤ比である。
【００３３】
ρ＝［サンギヤ１２１の歯数］／［リングギヤ１２２の歯数］
【００３４】
また、３つの回転軸のトルクは、回転数に関わらず、次式（２），（３）で与えられる一定の関係を有する。
【００３５】
Ｔｓ＝Ｔｃ×ρ／（１＋ρ） …（２）
Ｔｒ＝Ｔｃ×１／（１＋ρ）＝Ｔｓ／ρ …（３）
【００３６】
ここで、Ｔｃはプラネタリキャリア軸１２７のトルク、Ｔｓはサンギヤ軸１２５のトルク、Ｔｒはリングギヤ軸１２６のトルクである。
【００３７】
本実施例のハイブリッド車両は、このようなプラネタリギヤ１２０の機能により、種々の状態で走行することができる。例えば、ハイブリッド車両が走行を始めた比較的低速な状態では、エンジン１５０を停止したまま、モータＭＧ２を力行することにより車軸１１２に動力を伝達して走行する。同様にエンジン１５０をアイドル運転したまま走行することもある。
【００３８】
走行開始後にハイブリッド車両が所定の速度に達すると、制御システム２００はモータＭＧ１を力行して出力されるトルクによってエンジン１５０をモータリングして始動する。このとき、モータＭＧ１の反力トルクがプラネタリギヤ１２０を介してリングギヤ１２２にも出力される。
【００３９】
エンジン１５０を運転してプラネタリキャリア軸１２７を回転させると、上式（１）〜（３）を満足する条件下で、サンギヤ軸１２５およびリングギヤ軸１２６が回転する。リングギヤ軸１２６の回転による動力はそのまま車輪１１６Ｒ，１１６Ｌに伝達される。サンギヤ軸１２５の回転による動力は第１のモータＭＧ１で電力として回生することができる。一方、第２のモータＭＧ２を力行すれば、リングギヤ軸１２６を介して車輪１１６Ｒ，１１６Ｌに動力を出力することができる。
【００４０】
定常運転時には、エンジン１５０の出力が、車軸１１２の要求動力（すなわち車軸１１２の回転数×トルク）とほぼ等しい値に設定される。このとき、エンジン１５０の出力の一部はリングギヤ軸１２６を介して直接車軸１１２に伝えられ、残りの出力は第１のモータＭＧ１によって電力として回生される。回生された電力は、第２のモータＭＧ２がリングギヤ軸１２６を回転させるトルクを発生するために使用される。この結果、車軸１１２を所望の回転数で所望のトルクで駆動することが可能である。
【００４１】
車軸１１２に伝達されるトルクが不足する場合には、第２のモータＭＧ２によってトルクをアシストする。このアシストのための電力には、第１のモータＭＧ１で回生した電力およびバッテリ１４９に蓄えられた電力が用いられる。このように、制御システム２００は、車軸１１２から出力すべき要求動力に応じて２つのモータＭＧ１，ＭＧ２の運転を制御する。
【００４２】
本実施例のハイブリッド車両は、エンジン１５０を運転したまま後進することも可能である。エンジン１５０を運転すると、プラネタリキャリア軸１２７は前進時と同方向に回転する。このとき、第１のモータＭＧ１を制御してプラネタリキャリア軸１２７の回転数よりも高い回転数でサンギヤ軸１２５を回転させると、上式（１）から明らかな通り、リングギヤ軸１２６は後進方向に反転する。制御システム２００は、第２のモータＭＧ２を後進方向に回転させつつ、その出力トルクを制御して、ハイブリッド車両を後進させることができる。
【００４３】
プラネタリギヤ１２０は、リングギヤ１２２が停止した状態で、プラネタリキャリア１２４およびサンギヤ１２１を回転させることが可能である。従って、車両が停止した状態でもエンジン１５０を運転することができる。例えば、バッテリ１９４の残容量が少なくなれば、エンジン１５０を運転し、第１のモータＭＧ１を回生運転することにより、バッテリ１９４を充電することができる。車両が停止しているときに第１のモータＭＧ１を力行すれば、そのトルクによってエンジン１５０をモータリングし、始動することができる。
【００４４】
Ｃ．第１実施例の制御システムの構成：
図２は、第１実施例における制御システム２００のより詳細な構成を示すブロック図である。マスタ制御部２７０は、マスタ制御ＣＰＵ２７２と、電源制御回路２７４とを含んでいる。また、モータ制御部２６０は、モータ主制御ＣＰＵ２６２と、２つのモータＭＧ１，ＭＧ２をそれぞれ制御するための２つのモータ制御ＣＰＵ２６４，２６６とを有している。各ＣＰＵは、それぞれ図示しないＣＰＵとＲＯＭとＲＡＭと入力ポートと出力ポートを備えており、これらとともに１チップマイクロコンピュータを構成している。
【００４５】
マスタ制御ＣＰＵ２７２は、３つの原動機１５０，ＭＧ１，ＭＧ２の回転数やトルクの配分等の制御量を決定し、他のＣＰＵやＥＣＵに各種の要求値を供給して、各原動機の駆動を制御する機能を有している。この制御のために、マスタ制御ＣＰＵ２７２には、アクセル開度を示すアクセルポジション信号ＡＰ１，ＡＰ２や、シフト位置を示すシフトポジション信号ＳＰ１，ＳＰ２等が供給されている。なお、アクセルセンサ１６５とシフトポジションセンサ１６７は、それぞれ２重化されており、２つのアクセルポジション信号ＡＰ１，ＡＰ２と、２つのシフトポジション信号ＳＰ１，ＳＰ２とをそれぞれマスタ制御ＣＰＵ２７２に供給している。
【００４６】
マスタ制御ＣＰＵ２７２には、さらに、マスタ制御ＣＰＵ２７２に異常が検出された時に警告灯１７２を点灯するための点灯回路１７０が接続されている。警告灯１７２は、例えばインストルメントパネルに設けられている。
【００４７】
電源制御回路２７４は、バッテリ１９４の高圧直流電圧をメインＥＣＵ２１０内の各回路用の低圧直流電圧に変換するための回路である。この電源制御回路２７４は、マスタ制御ＣＰＵ２７２の異常を監視する監視回路としての機能も有しているが、これについては後述する。
【００４８】
エンジンＥＣＵ２４０は、マスタ制御ＣＰＵ２７２から与えられたエンジン出力要求値ＰＥｒｅｑに応じてエンジン１５０を制御する。エンジンＥＣＵ２４０からは、エンジン１５０の回転数ＲＥＶｅｎがマスタ制御ＣＰＵ２７２にフィードバックされる。
【００４９】
モータ主制御ＣＰＵ２６２は、マスタ制御ＣＰＵ２７２から与えられたモータＭＧ１，ＭＧ２に関するトルク要求値Ｔ１ｒｅｑ，Ｔ２ｒｅｑに応じて、２つのモータ制御ＣＰＵ２６４，２６６にそれぞれ電流要求値Ｉ１ｒｅｑ，Ｉ２ｒｅｑを供給する。モータ制御ＣＰＵ２６４，２６６は、電流要求値Ｉ１ｒｅｑ，Ｉ２ｒｅｑに従って駆動回路１９１，１９２をそれぞれ制御して、モータＭＧ１，ＭＧ２を駆動する。モータＭＧ１，ＭＧ２の回転数センサからは、モータＭＧ１，ＭＧ２の回転数ＲＥＶ１，ＲＥＶ２がモータ主制御ＣＰＵ２６２にフィードバックされている。なお、モータ主制御ＣＰＵ２６２からマスタ制御ＣＰＵ２７２には、モータＭＧ１，ＭＧ２の回転数ＲＥＶ１，ＲＥＶ２や、バッテリ１９４から駆動回路１９１，１９２への電流値ＩＢなどがフィードバックされている。
【００５０】
バッテリＥＣＵ２３０は、バッテリ１９４の充電状態ＳＯＣを監視するとともに、必要に応じてバッテリ１９４の充電要求値ＣＨｒｅｑをマスタ制御ＣＰＵ２７２に供給する。マスタ制御ＣＰＵ２７２は、この要求値ＣＨｒｅｑを考慮して各原動機の出力を決定する。すなわち、充電が必要な場合には、走行に必要な出力よりも大きい動力をエンジン１５０に出力させて、その一部を第１のモータＭＧ１による充電動作に配分する。
【００５１】
ブレーキＥＣＵ２２０は、図示しない油圧ブレーキと、第２のモータＭＧ２による回生ブレーキとのバランスを取る制御を行う。この理由は、このハイブリッド車両では、ブレーキ時に第２のモータＭＧ２による回生動作が行われてバッテリ１９４が充電されるからである。具体的には、ブレーキＥＣＵ２２０は、ブレーキセンサ１６３からのブレーキ圧力ＢＰに基づいて、マスタ制御ＣＰＵ２７２に回生要求値ＲＥＧｒｅｑを入力する。マスタ制御ＣＰＵ２７２は、この要求値ＲＥＧｒｅｑに基づいてモータＭＧ１，ＭＧ２の動作を決定して、ブレーキＥＣＵ２２０に回生実行値ＲＥＧｐｒａｃをフィードバックする。ブレーキＥＣＵ２２０は、この回生実行値ＲＥＧｐｒａｃと回生要求値ＲＥＧｒｅｑの差分と、ブレーキ圧力ＢＰとに基づいて、油圧ブレーキによるブレーキ量を適切な値に制御する。
【００５２】
以上のように、マスタ制御ＣＰＵ２７２は、各原動機１５０，ＭＧ１，ＭＧ２の出力を決定して、それぞれの制御を担当するＥＣＵ２４０やＣＰＵ２６４，２６６に要求値を供給する。ＥＣＵ２４０やＣＰＵ２６４，２６６は、この要求値応じて各原動機を制御する。この結果、ハイブリッド車両は、走行状態に応じて適切な動力を車軸１１２から出力して走行することができる。また、ブレーキ時には、ブレーキＥＣＵ２２０とマスタ制御ＣＰＵ２７２とが協調して、各原動機や油圧ブレーキの動作を制御する。この結果、電力を回生しつつ、運転者に違和感をあまり感じさせないブレーキングを実現することができる。
【００５３】
ところで、このメインＥＣＵ２１０は、各ＣＰＵの異常を監視するために、以下のような構成を有している。マスタ制御ＣＰＵ２７２は、モータ主制御ＣＰＵ２６２の異常を監視する機能を有している。この異常監視のために、モータ主制御ＣＰＵ２６２は、一定周期を有するクロック信号であるウォッチドッグパルスＷＤＰ１を発生してマスタ制御ＣＰＵ２７２に供給している。マスタ制御ＣＰＵ２７２は、図示しないウォッチドッグタイマを有している。一般によく知られているように、ＣＰＵが正常であれば、ＣＰＵからウォッチドッグパルスが一定周期で出力されるので、ウォッチドッグタイマはＣＰＵが正常に動作していると見なして何もしない。一方、ＣＰＵに異常が発生し、ウォッチドッグパルスが所定の期間以上発生しないと、ウォッチドッグタイマからＣＰＵにリセット信号が出力される。この結果、そのＣＰＵがリセットされて再び正常な動作を開始する。マスタ制御ＣＰＵ２７２のウォッチドッグタイマは、この原理に従ってモータ主制御ＣＰＵ２６２の動作を監視し、モータ主制御ＣＰＵ２６２に異常が生じたときにモータ主制御ＣＰＵ２６２にリセット信号ＲＥＳ１を供給する。
【００５４】
モータ主制御ＣＰＵ２６２は、マスタ制御ＣＰＵ２７２と、２つのモータ制御ＣＰＵ２６４，２６６の異常を監視する機能を有している。すなわち、モータ主制御ＣＰＵ２６２には、これらのＣＰＵ２７２，２６４，２６６からウォッチドッグパルスがそれぞれ入力されており、いずれかのＣＰＵに異常が発生すると、そのＣＰＵにリセット信号を供給する。マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２とは、互いにその動作を監視していることになる。
【００５５】
なお、マスタ制御ＣＰＵ２７２から出力されるウォッチドッグパルスＷＤＰ２は、電源制御回路２７４によっても監視されている。モータ主制御ＣＰＵ２６２と電源制御回路２７４の２つをマスタ制御ＣＰＵ２７２の監視回路として使用することによって、監視動作をより確実にすることができる。例えば、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２の両方に異常が発生しても、電源制御回路２７４がマスタ制御ＣＰＵ２７２の異常を検出してこれをリセットすることができる。マスタ制御ＣＰＵ２７２は、ハイブリッド車両全体の制御を統括しているので、監視回路をこのように多重化することによって制御システムの信頼性を高めることができる。
【００５６】
異常履歴登録回路２８０の入力ポートには、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２との間で送受信されるリセット信号ＲＥＳ１，ＲＥＳ２が入力されている。異常履歴登録回路２８０は、これらのリセット信号ＲＥＳ１，ＲＥＳ２が発生すると、これを内部のＥＥＰＲＯＭ２８２に格納する。すなわち、異常履歴登録回路２８０は、マスタ制御ＣＰＵ２７２やモータ主制御ＣＰＵ２６２がリセットされるときに、どのリセット信号が発生したかを監視してその履歴を登録する機能を有している。
【００５７】
なお、モータ主制御ＣＰＵ２６２と異常履歴登録回路２８０とは、双方向通信配線２１４を介して互いに各種の要求や通知を行うことができる。また、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２の間にも双方向通信配線２１２が設けられている。
【００５８】
Ｄ．ＣＰＵのリセット体系：
図３は、ハイブリッド車両の運転時においてメインＥＣＵ２１０内のＣＰＵに異常が発生した場合に行われるリセット動作の流れを示す説明図である。各ＣＰＵ間の矢印はリセット信号を表しており、矢印の中の番号はリセット信号の発生順序を示している。
【００５９】
図３（Ａ）は、マスタ制御ＣＰＵ２７２に異常が発生した場合の動作を示している。モータ主制御ＣＰＵ２６２と電源制御回路２７４が正常に動作していれば、これらの両方からマスタ制御ＣＰＵ２７２にリセット信号が入力される。モータ主制御ＣＰＵ２６２と電源制御回路２７４の少なくとも一方からリセット信号が入力されるとマスタ制御ＣＰＵ２７２はリセットされ、リセット後の立ち上がり時にモータ主制御ＣＰＵ２６２をリセットする。モータ主制御ＣＰＵ２６２がリセットされて立ち上がると、モータ主制御ＣＰＵ２６２は２つのモータ制御ＣＰＵ２６４，２６６をリセットする。この結果、４つのＣＰＵはすべてリセットされて、正常な動作を再開する。
【００６０】
警告灯１７２の点灯回路１７０は、マスタ制御ＣＰＵ２７２に入力される２つのリセット信号のうちの少なくとも一方が発生すると、警告灯１７２を点灯する。なお、点灯回路１７０は、最上位のＣＰＵであるマスタ制御ＣＰＵ２７２に異常が発生した場合にのみ点灯するように構成されていればよい。但し、点灯回路１７０や警告灯１７２を省略することも可能である。
【００６１】
なお、リセット信号を出力するリセット実行部２７２ａ，２６２ａとしてのＣＰＵ２７２，２６２の機能は、これら各ＣＰＵの図示しないＲＯＭに予め格納されたプログラムを各ＣＰＵが実行することによって実現されている。
【００６２】
図３（Ａ）の場合において、マスタ制御ＣＰＵ２７２に異常が発生したときに、メインＥＣＵ２１０内の他のＣＰＵ２６２，２６４，２６６をすべてリセットするのは、これらのＣＰＵ２６２，２６４，２６６が、マスタ制御ＣＰＵ２７２からの要求値や指令に基づいて動作しているからである。すなわち、マスタ制御ＣＰＵ２７２に異常が発生している場合には、マスタ制御ＣＰＵ２７２が他のＣＰＵに間違った要求値や指令を供給し、他のＣＰＵがこれに従って間違った制御を行っている可能性がある。このとき、他のＣＰＵをすべてリセットするようにすれば、正常な制御動作を確実に再開することが可能である。この意味では、マスタ制御ＣＰＵ２７２に異常が発生したときに、マスタ制御ＣＰＵ２７２から要求値や指令が供給されている他のＥＣＵ内のＣＰＵ（すなわち、ブレーキＥＣＵ２２０やエンジンＥＣＵ２４０内のＣＰＵ）を同時にリセットするようにしてもよい。
【００６３】
図３（Ｂ）は、モータ主制御ＣＰＵ２６２に異常が発生した場合の動作を示している。このときには、マスタ制御ＣＰＵ２７２がモータ主制御ＣＰＵ２６２をリセットする。モータ主制御ＣＰＵ２６２がリセットされて立ち上がると、モータ主制御ＣＰＵ２６２は２つのモータ制御ＣＰＵ２６４，２６６をリセットする。この結果、３つのＣＰＵ２６２，２６４，２６６がリセットされて、正常な動作を再開する。なお、マスタ制御ＣＰＵ２７２には、モータ主制御ＣＰＵ２６２からの要求値や指令が供給されていないので、モータ主制御ＣＰＵ２６２がリセットされるときにマスタ制御ＣＰＵ２７２をリセットする必要は無い。このとき、マスタ制御ＣＰＵ２７２には異常が発生していないので、警告灯１７２は点灯されない。
【００６４】
図３（Ａ），（Ｂ）の説明から理解できるように、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２は互いに相手の異常を監視している。また、マスタ制御ＣＰＵ２７２に異常が発生したときには、モータ主制御ＣＰＵ２６２がマスタ制御ＣＰＵ２７２をリセットし、その後、マスタ制御ＣＰＵ２７２がモータ主制御ＣＰＵ２６２をリセットする。一方、モータ主制御ＣＰＵ２６２に異常が発生したときには、マスタ制御ＣＰＵ２７２がモータ主制御ＣＰＵ２６２をリセットするが、モータ主制御ＣＰＵ２６２はマスタ制御ＣＰＵ２７２をリセットしない。このような動作から、２つのＣＰＵ２７２，２６２のリセット動作には序列が設けられているものと考えることができる。すなわち、この序列の上位にあるＣＰＵ２７２がリセットされたときには下位にあるＣＰＵ２６２がリセットされるが、下位にあるＣＰＵ２６２がリセットされたときには上位にあるＣＰＵ２７２はリセットされない。ＣＰＵ同士のリセット動作にこのような序列を設けることよって、以下のような利点がある。
【００６５】
仮に、モータ主制御ＣＰＵ２６２がリセットされたときに、モータ主制御ＣＰＵ２６２がマスタ制御ＣＰＵ２７２をリセットするようにリセット実行部２６２ａを構成した場合を想定する。この場合には、モータ主制御ＣＰＵ２６２のリセットの後に、モータ主制御ＣＰＵ２６２によってマスタ制御ＣＰＵ２７２がリセットされ、さらに、マスタ制御ＣＰＵ２７２によってモータ主制御ＣＰＵ２６２がリセットされる、というようにリセット動作の循環が際限なく続く。従って、制御システムが正常に復帰できなくなるという問題がある。これに対して、図３（Ａ），（Ｂ）のリセット体系では、このようなリセット動作の循環の問題が生じず、制御システムを正常に復帰させることが可能である。
【００６６】
なお、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２とは、原動機の制御動作の一部をそれぞれ実行しており、また、相互に相手の異常を監視している、という２つの点に関しては、互いにほぼ対等の関係にある。このように、ほぼ対等な関係にある２つのＣＰＵ２７２，２６２の間において、リセット動作上の序列を設定することによって、リセット動作の循環の問題を防止しつつ、互いに相手の異常を監視することが可能である。
【００６７】
このようなリセット動作の序列は、２つのＣＰＵ２７２，２６２の原動機制御上の序列に一致させることが好ましい。すなわち、本実施例では、マスタ制御ＣＰＵ２７２からモータ主制御ＣＰＵ２６２には原動機制御上の要求値（モータトルク要求値ＴＯＲｒｅｑ）が供給されているが、モータ主制御ＣＰＵ２６２からマスタ制御ＣＰＵ２７２には原動機制御上の要求値は供給されていない。すなわち、このような原動機制御上の序列においては、マスタ制御ＣＰＵ２７２はモータ主制御ＣＰＵ２６２よりも上位にあり、すべてのＣＰＵの中の最上位にある。このように、原動機制御上の序列において上位にあるＣＰＵを、リセット動作上の序列においても上位に位置付けるようにすれば、リセット動作後の制御システムの制御動作をより確実に再開することが可能である。
【００６８】
Ｅ．車両始動時のリセットテスト：
図４は、ハイブリッド車両の始動時におけるマスタ制御ＣＰＵ２７２のリセットテストの手順を示すフローチャートである。運転者がキーをオン位置に回すと制御システム２００（図１）が起動される。このとき、マスタ制御ＣＰＵ２７２のリセット動作を確認するために、まず、ステップＳ１０において、モータ主制御ＣＰＵ２６２によるマスタ制御ＣＰＵ２７２のリセット動作が確認される（第１のリセットテスト）。そして、ステップＳ２０において、電源制御回路２７４によるマスタ制御ＣＰＵ２７２のリセット動作が確認される（第２のリセットテスト）。これらのリセットテストの詳細については後述する。リセットテストの結果は、異常履歴登録回路２８０内のＥＥＰＲＯＭ２８２に登録される。
【００６９】
図５は、ＥＥＰＲＯＭ２８２のリセット履歴領域の内容を示す説明図である。ＥＥＰＲＯＭ２８２内の所定の位置には、リセット履歴領域が予め確保されている。リセット履歴領域は、初期リセットテスト履歴領域Ｒ１と、走行中リセット履歴領域Ｒ２とを含んでいる。初期リセットテスト履歴領域Ｒ１には、第１と第２のリセットテストに対応する２つの事象番号＃１．＃２の事象を登録可能である。また、走行中リセット履歴領域Ｒ２には、事象番号＃３以降の複数の事象を登録可能である。なお、１つの事象番号には、リセット信号ＲＥＳ１，ＲＥＳ２の発生の有無を示す値をそれぞれ登録することができる。また、ＥＥＰＲＯＭ２８２には、最新のリセット事象を示すためのポインタＰＴも登録されている。図５（Ａ）に示すように、リセット履歴領域の登録内容は、車両の始動時に初期化される。
【００７０】
図６は、第１のリセットテスト（ステップＳ１０）の詳細手順を示すフローチャートである。図６のステップＳ１１では、マスタ制御ＣＰＵ２７２が、双方向通信配線２１２を介してモータ主制御ＣＰＵ２６２に第１のリセットテストを実行することを通知する。モータ主制御ＣＰＵ２６２は、この通知を受けると、マスタ制御ＣＰＵ２７２に対してリセット信号ＲＥＳ２を供給してリセットさせる（ステップＳ１２）。このとき、異常履歴登録回路２８０（図２）の入力ポートにもこのリセット信号ＲＥＳ２が入力され、ＥＥＰＲＯＭ２８２内にリセット信号ＲＥＳ２が発生したことを示す値「１」が登録される（図５（Ｂ））。
【００７１】
マスタ制御ＣＰＵ２７２は、リセットされた後の立ち上が時に、モータ主制御ＣＰＵ２６２に対してリセット信号ＲＥＳ１を供給してリセットさせる（ステップＳ１３）。このとき、ＥＥＰＲＯＭ２８２内にリセット信号ＲＥＳ１が発生したことを示す値「１」が登録される（図５（Ｂ）参照）。モータ主制御ＣＰＵ２６２は、リセットされた後の立ち上がり時に、２つのモータ制御ＣＰＵ２６４，２６６をリセットする（ステップＳ１４）。その後、モータ主制御ＣＰＵ２６２は、ＥＥＰＲＯＭ２８２に登録されているテスト結果を読み出して、マスタ制御ＣＰＵ２７２に通知する（ステップＳ１５）。
【００７２】
図５（Ｂ）は、第１のリセットテスト後のリセット履歴を示している。第１のリセットテストが終了した時点では、ポインタＰＴは第１のリセットテストの結果（事象番号＃１）を指している。第１のリセットテストにおいて、リセット信号ＲＥＳ１，ＲＥＳ２が発生していれば各信号の登録位置に値「１」が登録されているはずである。一方、いずれかのリセット信号が発生していなければ、その信号の登録位置に値「０」が登録される。
【００７３】
モータ主制御ＣＰＵ２６２は、最新のリセット事象が第１のリセットテスト（事象番号＃１）であることと、そのリセットテストの結果とをマスタ制御ＣＰＵ２７２に通知する。第１のリセットテストにおいて２つのリセット信号ＲＥＳ１，ＲＥＳ２がいずれも発生している場合には、マスタ制御ＣＰＵ２７２は第１のリセットテストが正常に終了したと判断してこのテストを終了する（ステップＳ１６）。一方、リセット信号ＲＥＳ１，ＲＥＳ２のうちの少なくとも一方が発生していない場合には、第１のリセットテストが正常に終了しなかったものと判断して、エラー処理を実行する（ステップＳ１７）。エラー処理では、例えば、制御システムが異常であることをインストルメントパネルに表示して運転者に通知するとともに、ハイブリッド車両の走行を禁止する。なお、制御システム２００の起動後に一定時間が経過したときに第１のリセットテストが完了していない場合にも、マスタ制御ＣＰＵ２７２はエラー処理を実行する。この第１のリセットテストの結果、モータ主制御ＣＰＵ２６２からマスタ制御ＣＰＵ２７２をリセットする第１のリセット経路が正常に動作することを確認することができる。
【００７４】
図７は、第２のリセットテスト（図４のステップＳ２０）の詳細手順を示すフローチャートである。ステップＳ２１では、マスタ制御ＣＰＵ２７２が、モータ主制御ＣＰＵ２６２に第２のリセットテストを実行することを通知する。モータ主制御ＣＰＵ２６２は、この通知を受けると、第２のリセットテストを開始することを異常履歴登録回路２８０内のＥＥＰＲＯＭ２８２に登録する。この結果、ＥＥＰＲＯＭ２８２のポインタＰＴは１つインクリメントされて、第２のリセットテスト（履歴番号＃２）を指す状態となる（図５（Ｃ））。モータ主制御ＣＰＵ２６２は、さらに、マスタ制御ＣＰＵ２７２監視用のウォッチドッグタイマの動作を禁止する。
【００７５】
ステップＳ２２では、マスタ制御ＣＰＵ２７２が、ウォッチドッグパルスＷＤＰ２の発生を停止する。このとき、モータ主制御ＣＰＵ２６２内のウォッチドッグタイマの動作は禁止されているので、電源制御回路２７４のみがリセット信号ＲＥＳ０をマスタ制御ＣＰＵ２７２に供給してリセットさせる（ステップＳ２３）。
【００７６】
マスタ制御ＣＰＵ２７２は、リセットされた後の立ち上がり時に、モータ主制御ＣＰＵ２６２に対してリセット信号ＲＥＳ１を供給してリセットさせる（ステップＳ２４）。このとき、ＥＥＰＲＯＭ２８２内にリセット信号ＲＥＳ１が発生したことが登録される。モータ主制御ＣＰＵ２６２は、リセットされた後の立ち上がり時に２つのモータ制御ＣＰＵ２６４，２６６をリセットする（ステップＳ２５）。その後、モータ主制御ＣＰＵ２６２は、ＥＥＰＲＯＭ２８２に登録されているテスト結果を読み出して、マスタ制御ＣＰＵ２７２に通知する（ステップＳ２６）。
【００７７】
図５（Ｃ）は、第２のリセットテスト後のリセット履歴を示している。第２のリセットテストが終了した時点では、ポインタＰＴは第２のリセットテストの結果（事象番号＃２）を指している。第２のリセットテストにおいては、モータ主制御ＣＰＵ２６２からマスタ制御ＣＰＵ２７２へのリセット信号ＲＥＳ２は発生しておらず、その逆方向のリセット信号ＲＥＳ１が発生しているはずである。
【００７８】
モータ主制御ＣＰＵ２６２は、最新のリセット事象が第２のリセットテスト（事象番号＃２）であることと、そのリセットテストの結果とをマスタ制御ＣＰＵ２７２に通知する。第２のリセットテストにおいてリセット信号ＲＥＳ１が発生しており、他のリセット信号ＲＥＳ２が発生していない場合には、マスタ制御ＣＰＵ２７２は第２のリセットテストが正常に終了したと判断してこのテストを終了する（ステップＳ２７）。一方、リセット信号ＲＥＳ１が発生していない場合には、第２のリセットテストが正常に終了しなかったものと判断して、エラー処理を実行する（ステップＳ２８）。このエラー処理は、図６のステップＳ２７のものと同じである。なお、制御システム２００の起動後に一定時間が経過したときに第２のリセットテストが完了していない場合にも、マスタ制御ＣＰＵ２７２はエラー処理を実行する。この第２のリセットテストの結果、電源制御回路２７４からマスタ制御ＣＰＵ２７２をリセットする第２のリセット経路が正常に動作することを確認することができる。
【００７９】
こうして、第１と第２のリセットテストによって、マスタ制御ＣＰＵ２７２の２つのリセット動作が正常に行われることが確認されると、マスタ制御ＣＰＵ２７２は、インストルメントパネルに走行可能ランプを点灯させる。この結果、運転者がハイブリッド車両を走行させることが可能となる。
【００８０】
走行中にリセット信号ＲＥＳ１またはＲＥＳ２が発生すると、ＥＥＰＲＯＭ２８２内の走行中リセット履歴領域Ｒ２（図５（Ｃ））にその履歴が登録される。従って、走行後にサービスコンピュータを制御システム２００に接続し、ＥＥＰＲＯＭ２８２からリセット履歴を読み出して調べることによって、走行中にどのリセット信号が発生したかを知ることが可能である。
【００８１】
なお、リセット履歴領域Ｒ１，Ｒ２内には、他のリセット信号の発生も登録できるようにすることが好ましい。特に、ＣＰＵをリセットするためのすべてのリセット信号の発生事象をリセット履歴領域内を登録できるようにすれば、より詳細なリセット履歴を知ることが可能である。また、リセット履歴領域Ｒ１，Ｒ２内に、各リセット事象の発生時刻を登録できるようにしてもよい。さらに、走行中リセット履歴領域Ｒ２は、車両の始動時に初期化せず、数回の走行中のリセット履歴を格納しておくようにしてもよい。
【００８２】
上述したように、本実施例では、車両の始動時に、マスタ制御ＣＰＵ２７２の２つのリセット経路（すなわちリセット信号ＲＥＳ０，ＲＥＳ２）が正常に作動するか否かを確認するようにしたので、車両の走行中においてマスタ制御ＣＰＵ２７２に異常が発生したとしても確実に回復させることができる。また、異常履歴登録回路２８０にリセットの履歴を登録するようにしたので、走行中におけるリセット履歴を走行後に調べることが可能である。
【００８３】
Ｆ．第２実施例のメインＥＣＵの構成：
図８は、第２実施例におけるメインＥＣＵの構成を示すブロック図である。このメインＥＣＵ２１０ａは、モータ主制御ＣＰＵ２６２の代わりに第１のモータ制御ＣＰＵ２６４がマスタ制御ＣＰＵ２７２を監視している点を除いて、図２に示した第１実施例と同じ構成を有している。
【００８４】
第１のモータ制御ＣＰＵ２６４にはマスタ制御ＣＰＵ２７２からのウォッチドッグパルスＷＤＰ２が供給されている。マスタ制御ＣＰＵ２７２に異常が発生してウォッチドッグパルスＷＤＰ２の発生が停止すると、第１のモータ制御ＣＰＵ２６４がマスタ制御ＣＰＵ２７２にリセット信号ＲＥＳ２を供給してリセットさせる。
【００８５】
この第２実施例では、マスタ制御ＣＰＵ２７２の異常は第１のモータ制御ＣＰＵ２６４で監視されており、また、第１のモータ制御ＣＰＵ２６４の異常はモータ主制御ＣＰＵ２６２によって、モータ主制御ＣＰＵ２６２の異常はマスタ制御ＣＰＵ２７２によって監視されている。換言すれば、これらの３つのＣＰＵ２７２，２６２，２６４は、循環的に異常を監視している。
【００８６】
図９（Ａ）は、第２実施例においてマスタ制御ＣＰＵ２７２に異常が発生した場合の動作を示している。このとき、第１のモータ制御ＣＰＵ２６４と電源制御回路２７４の少なくとも一方からリセット信号が入力されると、マスタ制御ＣＰＵ２７２がリセットされる。マスタ制御ＣＰＵ２７２は、リセット後の立ち上がり時にモータ主制御ＣＰＵ２６２をリセットする。モータ主制御ＣＰＵ２６２がリセットされて立ち上がると、２つのモータ制御ＣＰＵ２６４，２６６をリセットする。この結果、４つのＣＰＵはすべてリセットされて、正常な制御動作を再開する。但し、第１のモータ制御ＣＰＵ２６４は、リセットされた後に立ち上がるときにマスタ制御ＣＰＵ２７２をリセットしないように、そのリセット実行部としての機能が設定されている。なお、点灯回路１７０は、マスタ制御ＣＰＵ２７２に入力されるリセット信号の発生に応じて警告灯１７２を点灯する。
【００８７】
図９（Ｂ）は、モータ主制御ＣＰＵ２６２に異常が発生した場合の動作を示している。このときには、マスタ制御ＣＰＵ２７２からモータ主制御ＣＰＵ２６２にリセット信号が入力される。モータ主制御ＣＰＵ２６２がリセットされて立ち上がると、モータ主制御ＣＰＵ２６２は２つのモータ制御ＣＰＵ２６４，２６６をリセットする。この結果、３つのＣＰＵ２６２，２６４，２６６がリセットされて、正常な動作を再開する。このときにも、第１のモータ制御ＣＰＵ２６４はマスタ制御ＣＰＵ２７２をリセットしない。また、マスタ制御ＣＰＵ２７２には異常が発生していないので、点灯回路１７０は警告灯１７２を点灯しない。
【００８８】
図９（Ｃ）は、第１のモータ制御ＣＰＵ２６４に異常が発生した場合の動作を示している。このときには、モータ主制御ＣＰＵ２６２から第１のモータ制御ＣＰＵ２６４にリセット信号が入力されて、このＣＰＵ２６４のみがリセットされる。このときにも、第１のモータ制御ＣＰＵ２６４はマスタ制御ＣＰＵ２７２をリセットしない。この場合にも、マスタ制御ＣＰＵ２７２には異常が発生していないので、点灯回路１７０は警告灯１７２を点灯しない。
【００８９】
図９（Ａ）〜（Ｃ）の説明から理解できるように、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２と第１のモータ制御ＣＰＵ２６４は、循環的に異常を監視している。但し、マスタ制御ＣＰＵ２７２の異常を監視している第１のモータ制御ＣＰＵ２６４がリセットされたときには、第１のモータ制御ＣＰＵ２６４の立ち上がり時にマスタ制御ＣＰＵ２７２をリセットしないように、第１のモータ制御ＣＰＵ２６４のリセット実行部としての機能が予め設定されている。この結果、リセット動作の循環の発生が起こらないので、制御システムを正常に復帰させることが可能である。
【００９０】
上述した第１、第２実施例から理解できるように、本発明では、第１のＣＰＵ２７２にリセット信号が与えられたときに、この第１のＣＰＵ２７２が、第２のＣＰＵ２６２（または２６４）を含む所定の範囲の回路（２６２，２６４，２６６）にリセットを引き起こす第１のリセット事象を実行するように、第１のＣＰＵ２７２のリセット実行手段が構成されている。また、第２のＣＰＵ２６２（または２６４）は、第２のＣＰＵ２６２（または２６４）がリセットされたときには第１のＣＰＵ２７２にリセット信号を供給せず、一方、第１のＣＰＵ２７２の異常を検出したときには第１のＣＰＵ２７２にリセット信号を供給するように、第２のＣＰＵ２６２（または２６４）のリセット実行手段が構成されている。このようにリセット実行手段を構成すれば、リセット動作の循環の発生が起こらないので、制御システムを正常に復帰させることが可能である。
【００９１】
特に、第１のＣＰＵとして、第１のリセット事象でリセットされる回路の中で、原動機の制御において最上位の制御を行うＣＰＵ２７２を選択すれば、この第１のＣＰＵ２７２に異常が発生したときに、制御システム全体の動作をより確実に正常に復帰させることができるという利点がある。
【００９２】
Ｇ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【００９３】
Ｇ１．変形例１：
上記各実施例では、プラネタリアギアを用いて、エンジンの動力を車軸と第１のモータＭＧ１とに分配するいわゆる機械分配式のハイブリッド車両について説明したが、本発明は、プラネタリアギアを用いずにモータ／ジェネレータを用いて電気的にエンジンの動力を分配するいわゆる電気分配式のハイブリッド車両にも適用可能である。電気分配式のハイブリッド車両については、例えば本出願人により開示された特開平９−４６９６５号公報に開示されているので、ここではその説明は省略する。
【００９４】
また、本発明は、ハイブリッド車両以外の他の車両や、飛行機、船舶などの種主の移動体に適用可能である。すなわち、一般に、本発明は、少なくとも１つの原動機を用いた移動体に適用可能である。
【００９５】
Ｇ２．変形例２：
上記実施例では、各ＣＰＵの異常の監視は、ウォッチドッグパルスＷＤＰを用いて行われていたが、各ＣＰＵの演算内容を他のＣＰＵが確認することによって、ＣＰＵの異常監視を行ってもよい。例えば、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６２は、ウォッチドッグパルスＷＤＰの監視を行う代わりに、または、これと並行して、互いの演算が正確に実行されているか否かを監視するようにしてもよい。
【００９６】
Ｇ３．変形例３：
異常履歴登録回路２８０（図２）内のメモリとしては、ＥＥＰＲＯＭ２８２以外の任意のメモリを使用することが可能である。但し、ＥＥＰＲＯＭのように不揮発性のメモリを用いれば、電源が消失しても登録内容が失なわれることが無いという点で好ましい。また、異常履歴登録回路２８０は、ＥＣＵ２１０内のＣＰＵがリセットされても異常履歴登録回路２８０への電源が消失しないように、ＥＣＵ２１０内のＣＰＵからの独立性が高い電源回路から電源を供給されていることが好ましい。
【図面の簡単な説明】
【図１】本発明の第１実施例としてのハイブリッド車両の全体構成を示す説明図。
【図２】制御システム２００のより詳細な構成を示すブロック図。
【図３】ハイブリッド車両の運転時においてメインＥＣＵ２１０内のＣＰＵに異常が発生した場合に行われるリセット動作の流れを示す説明図。
【図４】ハイブリッド車両の始動時におけるマスタ制御ＣＰＵ２７２のリセットの確認動作を示すフローチャート。
【図５】ＥＥＰＲＯＭ２８２のリセット履歴領域の内容を示す説明図。
【図６】第１のリセットテスト（図４のステップＳ１０）の詳細手順を示すフローチャート。
【図７】第２のリセットテスト（図４のステップＳ２０）の詳細手順を示すフローチャート。
【図８】第２実施例におけるメインＥＣＵの構成を示すブロック図。
【図９】第２実施例におけるリセット動作の流れを示す説明図。
【符号の説明】
１１２…車軸
１１４…デファレンシャルギア
１１６Ｒ，１１６Ｌ…車輪
１１９…ケース
１２０…プラネタリギヤ
１２１…サンギヤ
１２２…リングギヤ
１２３…プラネタリピニオンギヤ
１２４…プラネタリキャリア
１２５…サンギヤ軸
１２６…リングギヤ軸
１２７…プラネタリキャリア軸
１２９…チェーンベルト
１３０…ダンパ
１３１…三相コイル
１３２…ロータ
１３３…ステータ
１４１…三相コイル
１４２…ロータ
１４３…ステータ
１４４…回転数センサ
１４９…バッテリ
１５０…エンジン
１５６…クランクシャフト
１６３…ブレーキセンサ
１６５…アクセルセンサ
１６７…シフトポジションセンサ
１９１，１９２…駆動回路
１９４…バッテリ
１９６…バッテリセンサ
２００…制御システム
２１０…メインＥＣＵ
２１２…双方向通信配線
２１４…双方向通信配線
２２０…ブレーキＥＣＵ
２３０…バッテリＥＣＵ
２４０…エンジンＥＣＵ
２６０…モータ制御部
２６２…モータ主制御ＣＰＵ
２６２ａ…リセット実行部
２６４…第１モータ制御ＣＰＵ
２６６…第２モータ制御ＣＰＵ
２７０…マスタ制御部
２７２…マスタ制御ＣＰＵ
２７２ａ…リセット実行部
２７４…電源制御回路
２８０…異常履歴登録回路
２８２…ＥＥＰＲＯＭ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a control technique used for a moving body using a prime mover, and more particularly to a technique for monitoring an abnormality of a CPU.
[0002]
[Prior art]
In recent years, control of a moving body using a prime mover such as a vehicle or an airplane is usually performed by a digital control device using a CPU. In many cases, a digital control device is provided with a monitoring circuit that monitors the CPU and resets the CPU when an abnormality occurs in the CPU. As the monitoring circuit, a CPU other than the CPU to be monitored may be used, or a so-called watchdog circuit may be used.
[0003]
For example, Japanese Patent Laid-Open No. 5-143196 discloses a technique using a sub CPU for monitoring a main CPU in a vehicle airbag device. In this technique, the sub CPU monitors the operation of the main CPU, and when an abnormality occurs in the main CPU, operates the inhibitor circuit to prohibit the signal from the main CPU from being output to the external circuit.
[0004]
Japanese Patent Laid-Open No. 11-314573 discloses a monitoring circuit in an electric power steering control device. In this technique, a watchdog timer, an overcurrent detection circuit, or the like is used as a monitoring circuit.
[0005]
[Problems to be solved by the invention]
In the case where a plurality of CPUs are used to control the mobile body, it is possible to configure the CPUs to monitor each other. For example, it is possible to adopt a configuration in which two CPUs for controlling the two prime movers respectively monitor the operations of the other party and reset the other party's CPU when an abnormality is found.
[0006]
However, when a configuration is adopted in which a plurality of CPUs monitor each other as described above, when one CPU is reset, the reset CPU resets the other CPUs when the CPU is restarted. obtain. This is because it is normal to reset all the peripheral circuits when the CPU is reset. When such a situation occurs, there is a problem that the resetting between the CPUs continues indefinitely and the control device cannot be restored normally.
[0007]
The present invention has been made to solve the above-described conventional problems, and in a control device using a plurality of CPUs that monitor each other, it is possible to prevent the CPUs from continuing to be reset indefinitely. The purpose is to provide technology.
[0008]
[Means for solving the problems and their functions and effects]
In order to achieve the above object, the present invention utilizes a plurality of mutually connected CPUs including first and second CPUs in order to control the operation of the prime mover. The first CPU is given a reset signal. Reset And a first reset executing means for executing a first reset event that causes a reset in a predetermined range of circuits including the second CPU. The second CPU does not supply a reset signal to the first CPU when the second CPU is reset in the first reset event, and the second CPU detects the abnormality of the first CPU. Second reset execution means for supplying a reset signal to the first CPU is provided.
[0009]
In this configuration, when a reset signal is given to the first CPU, a predetermined range of circuits including the second CPU are reset, but the second CPU does not reset the first CPU. It is possible to prevent the mutual reset from continuing indefinitely. Further, since the second CPU resets the first CPU when detecting an abnormality of the first CPU, it is possible to monitor the abnormality of the first CPU.
[0010]
The first CPU is preferably a CPU that performs the highest level control of the circuits in the predetermined range in the control of the prime mover.
[0011]
In this way, when the first CPU is reset, a predetermined range of circuits including the second CPU is reset, so that the control of the prime mover can be returned to normal more reliably.
[0012]
The first and second CPUs each have a function of monitoring each other's abnormality and supplying a reset signal to the other CPU when an abnormality of the other CPU is detected. Also good.
[0013]
In such a case, the effect of preventing the reset circulation between the first and second CPUs is remarkable.
[0014]
The control device may further include a monitoring circuit that monitors the abnormality of the first CPU and supplies a reset signal to the first CPU when the abnormality of the first CPU is detected. Good. At this time, the control device normally executes the reset operation of the first CPU by the second CPU and the reset operation of the first CPU by the monitoring circuit when the moving body is started. A reset test for confirming whether or not may be executed.
[0015]
In this configuration, since the reset operation of the first CPU can be confirmed before the moving object is operated, the reliability of the control device can be improved.
[0016]
The control device may further include a reset history registration unit that is connected to any one of the plurality of CPUs and registers the result of the reset test.
[0017]
In this configuration, the reset test result can be easily confirmed by the CPU after the reset test.
[0018]
The reset history registration unit may have a function of detecting and storing the generation of at least some of the reset signals among the plurality of reset signals supplied to the plurality of CPUs during the reset test.
[0019]
In this way, it is possible to know whether or not a predetermined reset signal is generated during the reset test by examining the reset history registration unit.
[0020]
Further, the reset history registration unit further has a function of detecting and storing the generation of at least some of the reset signals among the plurality of reset signals during operation of the mobile object after the reset test. May be.
[0021]
By doing so, it is possible to know the occurrence of an abnormality of the CPU during the operation of the moving body by examining the reset history registration unit.
[0022]
Note that the present invention can be realized in various modes. For example, the control device of the moving body or the control method thereof, the moving body using the control device, the function of the control device or the control method is realized. For example, a computer program for recording the computer program, a data signal including the computer program and embodied in a carrier wave, and the like.
[0023]
DETAILED DESCRIPTION OF THE INVENTION
Next, embodiments of the present invention will be described in the following order based on examples.
A. Overall configuration of hybrid vehicle:
B. Basic operation of hybrid vehicle:
C. Configuration of the control system of the first embodiment:
D. CPU reset system:
E. Reset test at vehicle start-up:
F. Configuration of the main ECU of the second embodiment:
G. Modified example
[0024]
A. Overall configuration of hybrid vehicle:
FIG. 1 is an explanatory diagram showing the overall configuration of a hybrid vehicle as one embodiment of the present invention. This hybrid vehicle includes three prime movers, that is, an engine 150 and two motor / generators MG1 and MG2. Here, “motor / generator” means a prime mover that functions as a motor and also functions as a generator. In the following, for simplicity, these are simply referred to as “motors”. Control of the vehicle is performed by the control system 200.
[0025]
The control system 200 includes a main ECU 210, a brake ECU 220, a battery ECU 230, and an engine ECU 240. Each ECU is configured as one unit in which a plurality of circuit elements such as a microcomputer, an input interface, and an output interface are arranged on one circuit board. The main ECU 210 has a motor control unit 260 and a master control unit 270. The master control unit 270 has a function of determining a control amount such as distribution of outputs of the three prime movers 150, MG1, and MG2.
[0026]
The engine 150 is a normal gasoline engine, and rotates the crankshaft 156. The operation of engine 150 is controlled by engine ECU 240. Engine ECU 240 executes control of the fuel injection amount of engine 150 and other controls in accordance with instructions from master control unit 270.
[0027]
Motors MG1 and MG2 are configured as synchronous motors, and stators 133 and 143 around which rotors 132 and 142 having a plurality of permanent magnets on the outer peripheral surface and three-phase coils 131 and 141 that form a rotating magnetic field are wound. With. The stators 133 and 143 are fixed to the case 119. Three-phase coils 131 and 141 wound around stators 133 and 143 of motors MG1 and MG2 are connected to secondary battery 194 via drive circuits 191 and 192, respectively. The drive circuits 191 and 192 are transistor inverters each provided with a pair of transistors as switching elements for each phase. The drive circuits 191 and 192 are controlled by the motor control unit 260. When the transistors of drive circuits 191 and 192 are switched by a control signal from motor control unit 260, a current flows between battery 194 and motors MG1 and MG2. The motors MG1 and MG2 can operate as electric motors that are rotated by receiving power supplied from the battery 194 (hereinafter, this operation state is referred to as power running), and the rotors 132 and 142 are rotated by external force. Can function as a generator that generates electromotive force at both ends of the three-phase coils 131 and 141 to charge the battery 194 (hereinafter, this operation state is referred to as regeneration).
[0028]
The rotation shafts of engine 150 and motors MG1 and MG2 are mechanically coupled via planetary gear 120. The planetary gear 120 includes a sun gear 121, a ring gear 122, and a planetary carrier 124 having a planetary pinion gear 123. In the hybrid vehicle of this embodiment, the crankshaft 156 of the engine 150 is coupled to the planetary carrier shaft 127 via the damper 130. The damper 130 is provided to absorb torsional vibration generated in the crankshaft 156. Rotor 132 of motor MG1 is coupled to sun gear shaft 125. The rotor 142 of the motor MG2 is coupled to the ring gear shaft 126. The rotation of the ring gear 122 is transmitted to the axle 112 and the wheels 116R and 116L via the chain belt 129 and the differential gear 114.
[0029]
The control system 200 uses various sensors to realize control of the entire vehicle. For example, an accelerator sensor 165 for detecting the amount of depression of the accelerator by the driver, a shift position sensor for detecting the position of the shift lever. 167, a brake sensor 163 for detecting the depression pressure of the brake, a battery sensor 196 for detecting the charging state of the battery 194, a rotation speed sensor 144 for measuring the rotation speed of the motor MG2, and the like are used. Since the ring gear shaft 126 and the axle 112 are mechanically coupled by the chain belt 129, the ratio of the rotational speeds of the ring gear shaft 126 and the axle 112 is constant. Therefore, the rotation speed sensor 144 provided on the ring gear shaft 126 can detect not only the rotation speed of the motor MG2 but also the rotation speed of the axle 112.
[0030]
B. Basic operation of a hybrid vehicle:
In order to describe the basic operation of the hybrid vehicle, first, the operation of the planetary gear 120 will be described first. Planetary gear 120 has the property that when the rotational speeds of two of the three rotational shafts described above are determined, the rotational speeds of the remaining rotational shafts are determined. The relationship between the rotational speeds of the respective rotary shafts is as shown in the following equation (1).
[0031]
Nc = Ns × ρ / (1 + ρ) + Nr × 1 / (1 + ρ) (1)
[0032]
Here, Nc is the rotational speed of the planetary carrier shaft 127, Ns is the rotational speed of the sun gear shaft 125, and Nr is the rotational speed of the ring gear shaft 126. Further, ρ is a gear ratio between the sun gear 121 and the ring gear 122 as represented by the following equation.
[0033]
ρ = [number of teeth of sun gear 121] / [number of teeth of ring gear 122]
[0034]
Further, the torques of the three rotary shafts have a certain relationship given by the following equations (2) and (3) regardless of the rotational speed.
[0035]
Ts = Tc × ρ / (1 + ρ) (2)
Tr = Tc × 1 / (1 + ρ) = Ts / ρ (3)
[0036]
Here, Tc is the torque of the planetary carrier shaft 127, Ts is the torque of the sun gear shaft 125, and Tr is the torque of the ring gear shaft 126.
[0037]
The hybrid vehicle of this embodiment can travel in various states by such a function of the planetary gear 120. For example, in a relatively low speed state where the hybrid vehicle has started to travel, the motor MG2 is powered while the engine 150 is stopped to travel by transmitting power to the axle 112. Similarly, the engine 150 may travel while idling.
[0038]
When the hybrid vehicle reaches a predetermined speed after the start of traveling, the control system 200 starts the motor 150 by motoring the motor MG1 with torque output. At this time, the reaction torque of the motor MG1 is also output to the ring gear 122 via the planetary gear 120.
[0039]
When the engine 150 is operated and the planetary carrier shaft 127 is rotated, the sun gear shaft 125 and the ring gear shaft 126 are rotated under the conditions satisfying the above expressions (1) to (3). The power generated by the rotation of the ring gear shaft 126 is directly transmitted to the wheels 116R and 116L. The power generated by the rotation of the sun gear shaft 125 can be regenerated as electric power by the first motor MG1. On the other hand, if the second motor MG2 is powered, power can be output to the wheels 116R and 116L via the ring gear shaft 126.
[0040]
During steady operation, the output of the engine 150 is set to a value approximately equal to the required power of the axle 112 (that is, the rotational speed of the axle 112 × torque). At this time, a part of the output of the engine 150 is directly transmitted to the axle 112 via the ring gear shaft 126, and the remaining output is regenerated as electric power by the first motor MG1. The regenerated electric power is used for generating torque that causes the second motor MG2 to rotate the ring gear shaft 126. As a result, it is possible to drive the axle 112 at a desired rotational speed and with a desired torque.
[0041]
When the torque transmitted to the axle 112 is insufficient, the torque is assisted by the second motor MG2. As the electric power for the assist, electric power regenerated by the first motor MG1 and electric power stored in the battery 149 are used. Thus, the control system 200 controls the operation of the two motors MG1 and MG2 according to the required power to be output from the axle 112.
[0042]
The hybrid vehicle of this embodiment can also move backward while the engine 150 is operated. When the engine 150 is operated, the planetary carrier shaft 127 rotates in the same direction as when moving forward. At this time, if the sun gear shaft 125 is rotated at a rotational speed higher than the rotational speed of the planetary carrier shaft 127 by controlling the first motor MG1, the ring gear shaft 126 moves in the reverse direction as apparent from the above equation (1). Invert. The control system 200 can reverse the hybrid vehicle by controlling the output torque while rotating the second motor MG2 in the reverse direction.
[0043]
The planetary gear 120 can rotate the planetary carrier 124 and the sun gear 121 while the ring gear 122 is stopped. Therefore, the engine 150 can be operated even when the vehicle is stopped. For example, if the remaining capacity of the battery 194 decreases, the battery 194 can be charged by operating the engine 150 and regenerating the first motor MG1. If the first motor MG1 is powered while the vehicle is stopped, the engine 150 can be motored by the torque and started.
[0044]
C. Configuration of the control system of the first embodiment:
FIG. 2 is a block diagram showing a more detailed configuration of the control system 200 in the first embodiment. The master control unit 270 includes a master control CPU 272 and a power supply control circuit 274. The motor control unit 260 includes a motor main control CPU 262 and two motor control CPUs 264 and 266 for controlling the two motors MG1 and MG2, respectively. Each CPU includes a CPU, a ROM, a RAM, an input port, and an output port (not shown), and constitutes a one-chip microcomputer together with these.
[0045]
The master control CPU 272 determines control amounts such as the number of rotations and torque distribution of the three prime movers 150, MG1, and MG2, supplies various required values to other CPUs and ECUs, and controls the drive of each prime mover. It has a function. For this control, the master control CPU 272 is supplied with accelerator position signals AP1 and AP2 indicating the accelerator opening, shift position signals SP1 and SP2 indicating the shift position, and the like. The accelerator sensor 165 and the shift position sensor 167 are respectively duplicated, and supply two accelerator position signals AP1 and AP2 and two shift position signals SP1 and SP2 to the master control CPU 272, respectively.
[0046]
Further connected to the master control CPU 272 is a lighting circuit 170 for lighting a warning lamp 172 when an abnormality is detected in the master control CPU 272. The warning lamp 172 is provided on, for example, an instrument panel.
[0047]
The power supply control circuit 274 is a circuit for converting the high voltage DC voltage of the battery 194 into a low voltage DC voltage for each circuit in the main ECU 210. The power supply control circuit 274 also has a function as a monitoring circuit for monitoring the abnormality of the master control CPU 272, which will be described later.
[0048]
Engine ECU 240 controls engine 150 in accordance with engine output request value PEreq given from master control CPU 272. The engine ECU 240 feeds back the rotational speed REVen of the engine 150 to the master control CPU 272.
[0049]
The motor main control CPU 262 supplies current request values I1req and I2req to the two motor control CPUs 264 and 266 in accordance with torque request values T1req and T2req related to the motors MG1 and MG2 given from the master control CPU 272, respectively. Motor control CPUs 264 and 266 control drive circuits 191 and 192 in accordance with current request values I1req and I2req, respectively, to drive motors MG1 and MG2. The rotation speeds REV1, REV2 of the motors MG1, MG2 are fed back to the motor main control CPU 262 from the rotation speed sensors of the motors MG1, MG2. It should be noted that the motor main control CPU 262 and the master control CPU 272 are fed back to the motors MG1 and MG2 with the rotational speeds REV1 and REV2, the current value IB from the battery 194 to the drive circuits 191 and 192, and the like.
[0050]
The battery ECU 230 monitors the state of charge SOC of the battery 194 and supplies the charge request value CHreq of the battery 194 to the master control CPU 272 as necessary. The master control CPU 272 determines the output of each prime mover in consideration of this required value CHreq. That is, when charging is necessary, the engine 150 outputs a power larger than the output necessary for traveling, and a part of the power is distributed to the charging operation by the first motor MG1.
[0051]
The brake ECU 220 performs control to balance a hydraulic brake (not shown) and a regenerative brake by the second motor MG2. This is because in this hybrid vehicle, the regenerative operation by the second motor MG2 is performed during braking and the battery 194 is charged. Specifically, the brake ECU 220 inputs the regeneration request value REGreq to the master control CPU 272 based on the brake pressure BP from the brake sensor 163. The master control CPU 272 determines the operation of the motors MG1 and MG2 based on the request value REGreq, and feeds back the regeneration execution value REGprac to the brake ECU 220. The brake ECU 220 controls the brake amount by the hydraulic brake to an appropriate value based on the difference between the regeneration execution value REGprac and the regeneration request value REGreq and the brake pressure BP.
[0052]
As described above, the master control CPU 272 determines the outputs of the prime movers 150, MG1, and MG2, and supplies the requested values to the ECU 240 and the CPUs 264 and 266 that are responsible for the respective controls. The ECU 240 and the CPUs 264 and 266 control each prime mover according to the required value. As a result, the hybrid vehicle can travel by outputting appropriate power from the axle 112 in accordance with the traveling state. During braking, the brake ECU 220 and the master control CPU 272 cooperate to control the operation of each prime mover and hydraulic brake. As a result, it is possible to achieve braking that regenerates electric power and does not cause the driver to feel much discomfort.
[0053]
By the way, the main ECU 210 has the following configuration in order to monitor abnormality of each CPU. The master control CPU 272 has a function of monitoring abnormality of the motor main control CPU 262. In order to monitor this abnormality, the motor main control CPU 262 generates a watch dog pulse WDP1 which is a clock signal having a fixed period and supplies it to the master control CPU 272. The master control CPU 272 has a watchdog timer (not shown). As is generally well known, if the CPU is normal, watchdog pulses are output from the CPU at a constant period, so the watchdog timer assumes that the CPU is operating normally and does nothing. On the other hand, when an abnormality occurs in the CPU and a watchdog pulse does not occur for a predetermined period or longer, a reset signal is output from the watchdog timer to the CPU. As a result, the CPU is reset and starts normal operation again. The watchdog timer of the master control CPU 272 monitors the operation of the motor main control CPU 262 according to this principle, and supplies a reset signal RES1 to the motor main control CPU 262 when an abnormality occurs in the motor main control CPU 262.
[0054]
The motor main control CPU 262 has a function of monitoring abnormality of the master control CPU 272 and the two motor control CPUs 264 and 266. That is, the motor main control CPU 262 receives watchdog pulses from the CPUs 272, 264 and 266, respectively, and supplies a reset signal to any one of the CPUs when an abnormality occurs. The master control CPU 272 and the motor main control CPU 262 monitor the operation of each other.
[0055]
Note that the watchdog pulse WDP2 output from the master control CPU 272 is also monitored by the power supply control circuit 274. By using the motor main control CPU 262 and the power supply control circuit 274 as monitoring circuits for the master control CPU 272, the monitoring operation can be made more reliable. For example, even if an abnormality occurs in both the master control CPU 272 and the motor main control CPU 262, the power supply control circuit 274 can detect an abnormality in the master control CPU 272 and reset it. Since the master control CPU 272 controls the entire hybrid vehicle, the reliability of the control system can be improved by multiplexing the monitoring circuits in this way.
[0056]
Reset signals RES 1 and RES 2 transmitted and received between the master control CPU 272 and the motor main control CPU 262 are input to the input port of the abnormality history registration circuit 280. When these reset signals RES 1 and RES 2 are generated, the abnormality history registration circuit 280 stores them in the internal EEPROM 282. That is, the abnormality history registration circuit 280 has a function of monitoring which reset signal is generated and registering the history when the master control CPU 272 and the motor main control CPU 262 are reset.
[0057]
The motor main control CPU 262 and the abnormality history registration circuit 280 can make various requests and notifications with each other via the bidirectional communication wiring 214. A bidirectional communication wiring 212 is also provided between the master control CPU 272 and the motor main control CPU 262.
[0058]
D. CPU reset system:
FIG. 3 is an explanatory diagram showing a flow of a reset operation that is performed when an abnormality occurs in the CPU in the main ECU 210 during operation of the hybrid vehicle. The arrows between the CPUs indicate reset signals, and the numbers in the arrows indicate the generation order of the reset signals.
[0059]
FIG. 3A shows an operation when an abnormality occurs in the master control CPU 272. If the motor main control CPU 262 and the power supply control circuit 274 are operating normally, a reset signal is input to the master control CPU 272 from both of them. When a reset signal is input from at least one of the motor main control CPU 262 and the power supply control circuit 274, the master control CPU 272 is reset, and the motor main control CPU 262 is reset at the rising edge after the reset. When the motor main control CPU 262 is reset and started up, the motor main control CPU 262 resets the two motor control CPUs 264 and 266. As a result, all four CPUs are reset and resume normal operation.
[0060]
The lighting circuit 170 of the warning lamp 172 lights up the warning lamp 172 when at least one of the two reset signals input to the master control CPU 272 is generated. The lighting circuit 170 may be configured to light up only when an abnormality occurs in the master control CPU 272 that is the highest-level CPU. However, the lighting circuit 170 and the warning light 172 can be omitted.
[0061]
Note that the functions of the CPUs 272 and 262 as the reset execution units 272a and 262a that output a reset signal are realized by each CPU executing a program stored in advance in a ROM (not shown) of each CPU.
[0062]
In the case of FIG. 3A, when an abnormality occurs in the master control CPU 272, all the other CPUs 262, 264, 266 in the main ECU 210 are reset because these CPUs 262, 264, 266 are the master control CPU 272. This is because the operation is based on the request value and the command from. That is, when an abnormality has occurred in the master control CPU 272, there is a possibility that the master control CPU 272 supplies an incorrect request value or command to another CPU, and the other CPU performs an incorrect control accordingly. is there. At this time, if all the other CPUs are reset, it is possible to reliably resume normal control operation. In this sense, when an abnormality occurs in the master control CPU 272, the CPUs in the other ECUs (that is, the CPUs in the brake ECU 220 and the engine ECU 240) to which request values and commands are supplied from the master control CPU 272 are simultaneously reset. You may do it.
[0063]
FIG. 3B shows an operation when an abnormality occurs in the motor main control CPU 262. At this time, the master control CPU 272 resets the motor main control CPU 262. When the motor main control CPU 262 is reset and started up, the motor main control CPU 262 resets the two motor control CPUs 264 and 266. As a result, the three CPUs 262, 264, 266 are reset, and normal operation is resumed. Since the master control CPU 272 is not supplied with the request value or command from the motor main control CPU 262, it is not necessary to reset the master control CPU 272 when the motor main control CPU 262 is reset. At this time, since no abnormality has occurred in the master control CPU 272, the warning lamp 172 is not turned on.
[0064]
As can be understood from the description of FIGS. 3A and 3B, the master control CPU 272 and the motor main control CPU 262 monitor each other for abnormality. When an abnormality occurs in the master control CPU 272, the motor main control CPU 262 resets the master control CPU 272, and then the master control CPU 272 resets the motor main control CPU 262. On the other hand, when an abnormality occurs in the motor main control CPU 262, the master control CPU 272 resets the motor main control CPU 262, but the motor main control CPU 262 does not reset the master control CPU 272. From such an operation, it can be considered that the reset operation of the two CPUs 272 and 262 has an order. That is, when the CPU 272 that is higher in this order is reset, the CPU 262 that is lower is reset, but when the CPU 262 that is lower is reset, the CPU 272 that is higher is not reset. Providing such an order in the reset operation between CPUs has the following advantages.
[0065]
Assume that the reset execution unit 262a is configured so that the motor main control CPU 262 resets the master control CPU 272 when the motor main control CPU 262 is reset. In this case, after the motor main control CPU 262 is reset, the master control CPU 262 is reset by the motor main control CPU 262, and further, the motor main control CPU 262 is reset by the master control CPU 272. Continue without. Therefore, there is a problem that the control system cannot be restored normally. On the other hand, in the reset system of FIGS. 3A and 3B, such a circulation problem of the reset operation does not occur, and the control system can be returned to normal.
[0066]
The master control CPU 272 and the motor main control CPU 262 execute part of the control operation of the prime mover and monitor the other party's abnormality with each other. Are in a relationship. In this way, by setting an order in the reset operation between the two CPUs 272 and 262 that are in an almost equal relationship, it is possible to monitor the other party's abnormality while preventing the problem of the reset operation circulation. Is possible.
[0067]
It is preferable that the order of such reset operations coincides with the order of prime mover control of the two CPUs 272 and 262. That is, in the present embodiment, the master control CPU 272 is supplied with a motor control request value (motor torque request value TORreq) from the motor main control CPU 262, but the motor main control CPU 262 sends a master control CPU 272 to the motor control. The required value is not supplied. In other words, in this order of prime mover control, the master control CPU 272 is higher than the motor main control CPU 262 and is the highest among all the CPUs. As described above, if the CPU that is higher in the order in the prime mover control is positioned higher in the order in the reset operation, the control operation of the control system after the reset operation can be more reliably restarted. is there.
[0068]
E. Reset test at vehicle start-up:
FIG. 4 is a flowchart showing a reset test procedure of the master control CPU 272 when the hybrid vehicle is started. When the driver turns the key to the ON position, the control system 200 (FIG. 1) is activated. At this time, in order to confirm the reset operation of the master control CPU 272, first, in step S10, the reset operation of the master control CPU 272 by the motor main control CPU 262 is confirmed (first reset test). In step S20, the reset operation of the master control CPU 272 by the power supply control circuit 274 is confirmed (second reset test). Details of these reset tests will be described later. The result of the reset test is registered in the EEPROM 282 in the abnormality history registration circuit 280.
[0069]
FIG. 5 is an explanatory diagram showing the contents of the reset history area of the EEPROM 282. At a predetermined position in the EEPROM 282, a reset history area is secured in advance. The reset history area includes an initial reset test history area R1 and a traveling reset history area R2. The initial reset test history area R1 includes two event numbers # 1... Corresponding to the first and second reset tests. Event # 2 can be registered. A plurality of events after event number # 3 can be registered in the traveling reset history area R2. A value indicating whether or not the reset signals RES1 and RES2 are generated can be registered in one event number. In the EEPROM 282, a pointer PT for indicating the latest reset event is also registered. As shown in FIG. 5A, the registered content of the reset history area is initialized when the vehicle is started.
[0070]
FIG. 6 is a flowchart showing a detailed procedure of the first reset test (step S10). In step S <b> 11 of FIG. 6, the master control CPU 272 notifies the motor main control CPU 262 that the first reset test is executed via the bidirectional communication wiring 212. Upon receiving this notification, the motor main control CPU 262 supplies the reset signal RES2 to the master control CPU 272 to be reset (step S12). At this time, the reset signal RES2 is also input to the input port of the abnormality history registration circuit 280 (FIG. 2), and a value “1” indicating that the reset signal RES2 has occurred is registered in the EEPROM 282 (FIG. 5B )).
[0071]
The master control CPU 272 supplies the reset signal RES1 to the motor main control CPU 262 at the time of start-up after being reset (step S13). At this time, a value “1” indicating that the reset signal RES1 has been generated is registered in the EEPROM 282 (see FIG. 5B). The motor main control CPU 262 resets the two motor control CPUs 264 and 266 at the time of startup after being reset (step S14). Thereafter, the motor main control CPU 262 reads out the test result registered in the EEPROM 282 and notifies the master control CPU 272 (step S15).
[0072]
FIG. 5B shows a reset history after the first reset test. At the time when the first reset test is completed, the pointer PT points to the result of the first reset test (event number # 1). If the reset signals RES1 and RES2 are generated in the first reset test, the value “1” should be registered at the registration position of each signal. On the other hand, if any reset signal is not generated, the value “0” is registered at the registration position of the signal.
[0073]
The motor main control CPU 262 notifies the master control CPU 272 that the latest reset event is the first reset test (event number # 1) and the result of the reset test. When the two reset signals RES1 and RES2 are both generated in the first reset test, the master control CPU 272 determines that the first reset test has been completed normally and ends this test (step S16). ). On the other hand, if at least one of the reset signals RES1 and RES2 has not occurred, it is determined that the first reset test has not ended normally, and error processing is executed (step S17). In the error processing, for example, the fact that the control system is abnormal is displayed on the instrument panel to notify the driver, and the hybrid vehicle is prohibited from traveling. Note that the master control CPU 272 also executes error processing when the first reset test is not completed when a certain time has elapsed after the activation of the control system 200. As a result of the first reset test, it can be confirmed that the first reset path for resetting the master control CPU 272 from the motor main control CPU 262 operates normally.
[0074]
FIG. 7 is a flowchart showing a detailed procedure of the second reset test (step S20 in FIG. 4). In step S21, the master control CPU 272 notifies the motor main control CPU 262 that the second reset test is to be executed. Upon receiving this notification, the motor main control CPU 262 registers in the EEPROM 282 in the abnormality history registration circuit 280 to start the second reset test. As a result, the pointer PT of the EEPROM 282 is incremented by one, and the state indicates the second reset test (history number # 2) (FIG. 5C). The motor main control CPU 262 further prohibits the operation of the watchdog timer for monitoring the master control CPU 272.
[0075]
In step S22, master control CPU 272 stops generating watchdog pulse WDP2. At this time, since the operation of the watchdog timer in the motor main control CPU 262 is prohibited, only the power control circuit 274 supplies the reset signal RES0 to the master control CPU 272 to be reset (step S23).
[0076]
The master control CPU 272 supplies the reset signal RES1 to the motor main control CPU 262 at the time of rising after being reset (step S24). At this time, the occurrence of the reset signal RES1 is registered in the EEPROM 282. The motor main control CPU 262 resets the two motor control CPUs 264 and 266 at the time of startup after being reset (step S25). Thereafter, the motor main control CPU 262 reads out the test result registered in the EEPROM 282 and notifies the master control CPU 272 (step S26).
[0077]
FIG. 5C shows a reset history after the second reset test. At the time when the second reset test is completed, the pointer PT points to the result of the second reset test (event number # 2). In the second reset test, the reset signal RES2 from the motor main control CPU 262 to the master control CPU 272 is not generated, and the reset signal RES1 in the opposite direction should be generated.
[0078]
The motor main control CPU 262 notifies the master control CPU 272 that the latest reset event is the second reset test (event number # 2) and the result of the reset test. When the reset signal RES1 has been generated in the second reset test and no other reset signal RES2 has been generated, the master control CPU 272 determines that the second reset test has been completed normally and performs this test. The process ends (step S27). On the other hand, if the reset signal RES1 is not generated, it is determined that the second reset test has not ended normally, and error processing is executed (step S28). This error processing is the same as that in step S27 of FIG. Note that the master control CPU 272 also executes error processing when the second reset test is not completed when a certain time has elapsed after the control system 200 is activated. As a result of the second reset test, it can be confirmed that the second reset path for resetting the master control CPU 272 from the power supply control circuit 274 operates normally.
[0079]
Thus, when it is confirmed that the two reset operations of the master control CPU 272 are normally performed by the first and second reset tests, the master control CPU 272 lights the runnable lamp on the instrument panel. As a result, the driver can drive the hybrid vehicle.
[0080]
When the reset signal RES1 or RES2 is generated during traveling, the history is registered in the traveling reset history area R2 (FIG. 5C) in the EEPROM 282. Therefore, by connecting a service computer to the control system 200 after traveling and reading and examining the reset history from the EEPROM 282, it is possible to know which reset signal has been generated during traveling.
[0081]
It is preferable that other reset signal generations can be registered in the reset history areas R1 and R2. In particular, it is possible to know a more detailed reset history by enabling the occurrence of all reset signals to reset the CPU to be registered in the reset history area. Further, the occurrence time of each reset event may be registered in the reset history areas R1 and R2. Furthermore, the reset history area R2 during traveling may not be initialized when the vehicle is started, and may be stored with a reset history during several times of traveling.
[0082]
As described above, in this embodiment, when the vehicle is started, whether or not the two reset paths (that is, the reset signals RES0 and RES2) of the master control CPU 272 operate normally is checked. Even if an abnormality occurs in the master control CPU 272, it can be reliably recovered. Further, since the reset history is registered in the abnormality history registration circuit 280, the reset history during traveling can be checked after traveling.
[0083]
F. Configuration of the main ECU of the second embodiment:
FIG. 8 is a block diagram showing the configuration of the main ECU in the second embodiment. The main ECU 210a has the same configuration as that of the first embodiment shown in FIG. 2 except that the first motor control CPU 264 monitors the master control CPU 272 instead of the motor main control CPU 262.
[0084]
The watchdog pulse WDP2 from the master control CPU 272 is supplied to the first motor control CPU 264. When an abnormality occurs in the master control CPU 272 and the generation of the watchdog pulse WDP2 is stopped, the first motor control CPU 264 supplies the master control CPU 272 with a reset signal RES2 to reset it.
[0085]
In the second embodiment, the abnormality of the master control CPU 272 is monitored by the first motor control CPU 264, the abnormality of the first motor control CPU 264 is controlled by the motor main control CPU 262, and the abnormality of the motor main control CPU 262 is master. It is monitored by the control CPU 272. In other words, these three CPUs 272, 262, and 264 periodically monitor the abnormality.
[0086]
FIG. 9A shows the operation when an abnormality occurs in the master control CPU 272 in the second embodiment. At this time, when a reset signal is input from at least one of the first motor control CPU 264 and the power supply control circuit 274, the master control CPU 272 is reset. The master control CPU 272 resets the motor main control CPU 262 at the time of rising after the reset. When the motor main control CPU 262 is reset and started up, the two motor control CPUs 264 and 266 are reset. As a result, all four CPUs are reset and normal control operations are resumed. However, the function of the first motor control CPU 264 as a reset execution unit is set so as not to reset the master control CPU 272 when the first motor control CPU 264 starts up after being reset. The lighting circuit 170 lights the warning lamp 172 in response to the generation of a reset signal input to the master control CPU 272.
[0087]
FIG. 9B shows an operation when an abnormality occurs in the motor main control CPU 262. At this time, a reset signal is input from the master control CPU 272 to the motor main control CPU 262. When the motor main control CPU 262 is reset and started up, the motor main control CPU 262 resets the two motor control CPUs 264 and 266. As a result, the three CPUs 262, 264, 266 are reset, and normal operation is resumed. Also at this time, the first motor control CPU 264 does not reset the master control CPU 272. Further, since no abnormality has occurred in the master control CPU 272, the lighting circuit 170 does not light the warning lamp 172.
[0088]
FIG. 9C shows an operation when an abnormality occurs in the first motor control CPU 264. At this time, a reset signal is input from the motor main control CPU 262 to the first motor control CPU 264, and only the CPU 264 is reset. Also at this time, the first motor control CPU 264 does not reset the master control CPU 272. Also in this case, since there is no abnormality in the master control CPU 272, the lighting circuit 170 does not light the warning lamp 172.
[0089]
As can be understood from the description of FIGS. 9A to 9C, the master control CPU 272, the motor main control CPU 262, and the first motor control CPU 264 periodically monitor abnormalities. However, when the first motor control CPU 264 that monitors the abnormality of the master control CPU 272 is reset, the first motor control CPU 264 is reset so that the master control CPU 272 is not reset when the first motor control CPU 264 rises. A function as an execution unit is set in advance. As a result, since the occurrence of the reset operation does not occur, the control system can be returned to normal.
[0090]
As can be understood from the first and second embodiments described above, in the present invention, when a reset signal is given to the first CPU 272, the first CPU 272 includes the second CPU 262 (or 264). The reset execution means of the first CPU 272 is configured to execute a first reset event that causes a reset in a predetermined range of circuits (262, 264, 266). Also, the second CPU 262 (or 264) does not supply a reset signal to the first CPU 272 when the second CPU 262 (or 264) is reset, while the second CPU 262 (or 264) detects the abnormality of the first CPU 272. The reset execution unit of the second CPU 262 (or 264) is configured to supply a reset signal to one CPU 272. If the reset execution means is configured in this way, the occurrence of circulation of the reset operation does not occur, so that the control system can be returned to normal.
[0091]
In particular, when the CPU 272 that performs the highest control in the control of the prime mover is selected as the first CPU among the circuits that are reset by the first reset event, when an abnormality occurs in the first CPU 272 There is an advantage that the operation of the entire control system can be returned to normal more reliably.
[0092]
G. Variation:
The present invention is not limited to the above-described examples and embodiments, and can be implemented in various modes without departing from the gist thereof. For example, the following modifications are possible.
[0093]
G1. Modification 1:
In each of the above embodiments, a so-called mechanical distribution type hybrid vehicle that uses a planetary gear to distribute engine power to the axle and the first motor MG1 has been described. The present invention is also applicable to a so-called electric distribution type hybrid vehicle that electrically distributes engine power using a generator. Since the electric distribution type hybrid vehicle is disclosed in, for example, Japanese Patent Application Laid-Open No. 9-46965 disclosed by the present applicant, the description thereof is omitted here.
[0094]
In addition, the present invention can be applied to other types of vehicles other than hybrid vehicles, and seed-type moving bodies such as airplanes and ships. That is, in general, the present invention is applicable to a moving body using at least one prime mover.
[0095]
G2. Modification 2:
In the above-described embodiment, the abnormality of each CPU is monitored using the watch dog pulse WDP. However, the abnormality of the CPU may be monitored by the other CPU confirming the calculation contents of each CPU. . For example, the master control CPU 272 and the motor main control CPU 262 may monitor whether or not each other's calculation is performed accurately instead of or in parallel with monitoring the watch dog pulse WDP. Good.
[0096]
G3. Modification 3:
Any memory other than the EEPROM 282 can be used as the memory in the abnormality history registration circuit 280 (FIG. 2). However, it is preferable to use a non-volatile memory such as an EEPROM in that the registered contents are not lost even if the power is lost. Further, the abnormality history registration circuit 280 is supplied with power from a power supply circuit having high independence from the CPU in the ECU 210 so that power to the abnormality history registration circuit 280 is not lost even if the CPU in the ECU 210 is reset. Preferably it is.
[Brief description of the drawings]
FIG. 1 is an explanatory diagram showing an overall configuration of a hybrid vehicle as a first embodiment of the present invention.
FIG. 2 is a block diagram showing a more detailed configuration of the control system 200. FIG.
FIG. 3 is an explanatory diagram showing a flow of a reset operation that is performed when an abnormality occurs in the CPU in the main ECU 210 during operation of the hybrid vehicle.
FIG. 4 is a flowchart showing reset confirmation operation of a master control CPU 272 at the start of the hybrid vehicle.
FIG. 5 is an explanatory diagram showing the contents of a reset history area in an EEPROM 282;
6 is a flowchart showing a detailed procedure of a first reset test (step S10 in FIG. 4).
FIG. 7 is a flowchart showing a detailed procedure of a second reset test (step S20 in FIG. 4).
FIG. 8 is a block diagram showing a configuration of a main ECU in a second embodiment.
FIG. 9 is an explanatory diagram showing a flow of reset operation in the second embodiment.
[Explanation of symbols]
112 ... Axle
114 ... Differential gear
116R, 116L ... wheels
119 ... Case
120 ... Planetary Gear
121 ... Sungear
122 ... Ring gear
123 ... Planetary pinion gear
124 ... Planetary Carrier
125 ... Sun gear shaft
126 ... Ring gear shaft
127 ... Planetary carrier shaft
129 ... Chain belt
130 ... Damper
131 ... Three-phase coil
132 ... Rotor
133 ... Stator
141. Three-phase coil
142 ... Rotor
143 ... Stator
144: Rotational speed sensor
149 ... Battery
150 ... Engine
156 ... Crankshaft
163 ... Brake sensor
165 ... Accelerator sensor
167 ... Shift position sensor
191 192 Drive circuit
194 ... Battery
196 ... Battery sensor
200 ... Control system
210 ... Main ECU
212 ... Bidirectional communication wiring
214 ... Bidirectional communication wiring
220 ... Brake ECU
230 ... Battery ECU
240 ... Engine ECU
260: Motor control unit
262 ... Motor main control CPU
262a ... Reset execution unit
264: First motor control CPU
266 ... Second motor control CPU
270 ... Master control unit
272 ... Master control CPU
272a ... Reset execution unit
274 ... Power supply control circuit
280 ... Abnormal history registration circuit
282… EEPROM

Claims

A control device used for a moving body using a prime mover,
In order to control the operation of the prime mover, it comprises a plurality of CPUs connected to each other including a first and a second CPU,
The first CPU includes first reset execution means for executing a first reset event that causes a reset in a predetermined range of circuits including the second CPU when a reset signal is given and the first CPU is reset. Have
The second CPU does not supply a reset signal to the first CPU when the second CPU is reset in the first reset event, and the second CPU detects the abnormality of the first CPU. A control device comprising second reset execution means for supplying a reset signal to the first CPU.

The control device according to claim 1,
The first CPU is a control device that is a CPU that performs highest-level control in the circuit in the predetermined range in the control of the prime mover.

The control device according to claim 1 or 2,
The first and second CPUs each have a function of monitoring each other's abnormality and supplying a reset signal to the other CPU when an abnormality of the other CPU is detected.

The control device according to any one of claims 1 to 3, further comprising:
A monitoring circuit for monitoring an abnormality of the first CPU and supplying a reset signal to the first CPU when the abnormality of the first CPU is detected;
Whether the control device normally executes the reset operation of the first CPU by the second CPU and the reset operation of the first CPU by the monitoring circuit when the moving body is started A control device that executes a reset test to confirm.

The control device according to any one of claims 1 to 4, further comprising:
A control device that includes a reset history registration unit that is connected to any one of the plurality of CPUs and registers the result of the reset test.

The control device according to claim 5,
The control device, wherein the reset history registration unit has a function of detecting and storing the generation of at least some reset signals among a plurality of reset signals supplied to the plurality of CPUs during the reset test.

The control device according to claim 6,
The reset history registration unit further has a function of detecting and storing the generation of at least some of the reset signals among the plurality of reset signals during operation of the moving body after the reset test.

The control device according to any one of claims 1 to 7,
The control device, wherein the first and second CPUs are CPUs in charge of different control functions for controlling the prime mover.

A method of controlling a moving body using a prime mover using a plurality of CPUs connected to each other including a first CPU and a second CPU,
(A) executing a first reset event that causes a reset in a predetermined range of circuits including the second CPU when a reset signal is given to the first CPU and reset;
(B) supplying a reset signal to the first CPU when the second CPU detects an abnormality of the first CPU;
With
A control method characterized by not supplying a reset signal from the second CPU to the first CPU when the second CPU is reset in the step (a).

A moving body using a prime mover,
In order to control the operation of the prime mover, a control device having a plurality of CPUs connected to each other including a first CPU and a second CPU is provided.
The first CPU, when the reset signal is given resetting, the first reset execution means for executing a first reset event causing the reset circuit in a predetermined range including the second CPU Have
The second CPU does not supply a reset signal to the first CPU when the second CPU is reset in the first reset event, and the second CPU detects the abnormality of the first CPU. A moving body comprising second reset execution means for supplying a reset signal to the first CPU.