DE112016000153T5

DE112016000153T5 - Antriebssteuerungsvorrichtung

Info

Publication number: DE112016000153T5
Application number: DE112016000153.3T
Authority: DE
Inventors: Hirokazu Tajima; Hiroji Nishida
Original assignee: Fuji Electric Co Ltd
Current assignee: Fuji Electric Co Ltd
Priority date: 2015-04-24
Filing date: 2016-02-23
Publication date: 2017-08-10
Also published as: WO2016170840A1; CN107003915B; JP6816345B2; CN107003915A; US20170254325A1; JP2016207002A; US10006455B2

Abstract

Es ist eine Antriebssteuerungsvorrichtung bereitgestellt, die ein Antriebssteuerungssystem in einem sicheren Zustand halten kann, selbst in einem Fall, in dem eine Betriebsanomalie, die ein normales Zurücksetzen eines Steuerungsprozessors verhindert, oder eine Betriebsanomalie, die eine Lösung selbst nach dem Zurücksetzen des Steuerungsprozessors verhindert, in dem Steuerungsprozessor erfolgt. Der Steuerungsprozessor 11 weist eine Verarbeitungseinheit für Aktuatorsteuerung 113, die konfiguriert ist, um ein Steuersignal für eine Treiberschaltung 4 zu erzeugen, die eine Steuerungszielvorrichtung und einen Aktuator 5 ist, und eine Diagnoseverarbeitungseinheit 14 auf, die konfiguriert ist, um die Verarbeitungseinheit für Aktuatorsteuerung 113 zu diagnostizieren. Die Diagnoseverarbeitungseinheit 114 gibt zyklisch ein Rücksetzsignal an den WDT 12 in einem Fall ab, in dem der Betrieb des Steuerungsprozessors 11 normal ist. Der WDT 12 gibt kontinuierlich ein Abschaltsignal zum Abschalten einer Lieferung des Steuersignals von dem Steuerungsprozessor 11 an die Steuerungszielvorrichtung ab, wenn das zyklische Rücksetzsignal anhält.

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung bezieht sich auf eine Antriebssteuerungsvorrichtung, die einen Überwachungszeitgeber aufweist.
STAND DER TECHNIK
In einem Antriebssteuerungssystem, das eine Antriebssteuerung einer Steuerungszielvorrichtung durchführt, wie ein Aktuators, der eine zentrale Verarbeitungseinheit (im Folgenden CPU genannt) benutzt, ist eine Gegenmaßnahme gegen eine Anomalie oder einen Fehler unbedingt erforderlich. Daher werden unterschiedliche Techniken zur Überwachung der CPU entwickelt, um die Anomalie oder den Fehler zu erfassen. Zum Beispiel ist in der in Patentschrift 1 offenbarten Technik ein integrierter Überwachungsschaltkreis zusätzlich zu der zu überwachenden Überwachungsziel-CPU bereitgestellt. Dieser integrierte Überwachungsschaltkreis überwacht Betriebszustände einer Drehmomentüberwachungseinheit und einer Signalanomalie-Diagnoseeinheit der CPU und führt eine ausfallsichere Steuerung in Zusammenarbeit mit einer selbstüberwachenden Einheit eines Mikrocomputers durch, wenn der integrierte Überwachungsschaltkreis eine Betriebsanomalie erfasst.
In dieser in Patentschrift 1 offenbarten Technik ist die Betriebsanomalie, die für die CPU durch den integrierten Überwachungsschaltkreis erfasst wird, jedoch auf spezifische Anomalien begrenzt, wie eine Betriebsanomalie in einer Drehmomentüberwachungseinheit und eine Betriebsanomalie in einer Signalanomalie-Diagnoseeinheit. Ferner hat die in Patentschrift 1 offenbarte Technik ein Problem, dass ein breites Spektrum von Betriebsanomalien, die bei dem Betrieb der CPU verursacht werden können, wie eine Betriebsanomalie einer arithmetisch-logischen Einheit (ALU), eine Betriebsanomalie eines Datenpfads, eine Betriebsanomalie eines Verzeichnisses, eine Betriebsanomalie eines RAM, eine Betriebsanomalie einer Adressberechnung, eine Betriebsanomalie einer Unterbrechungsverarbeitung, eine Betriebsanomalie einer Steuerlogik und eine Betriebsanomalie einer Konfigurationsverzeichnis-Betriebsanomalie, nicht durch ein Erfassen dieses breiten Spektrums von Betriebsanomalien behandelt wird.
Eine Gegenmaßnahme gegen ein breites Spektrum von Betriebsanomalien, die bei dem Betrieb der CPU verursacht werden können, ist eine Maßnahme, die einen Überwachungszeitgeber benutzt. Zum Beispiel wird in der zum Beispiel Patentschrift 2 offenbarten Technik ein Impulssignal periodisch von der CPU an den Überwachungszeitgeber geliefert, um den Überwachungszeitgeber zurückzusetzen. Wenn die Betriebsanomalie erfolgt, um das Impulssignal davon abzuhalten, für eine vorbestimmte zeitliche Dauer geliefert zu werden, gibt der Überwachungszeitgeber ein Rücksetzsignal an die CPU ab, um die CPU dazu zu veranlassen, einen Rücksetzvorgang durchzuführen. Ferner ist in der in Patentschrift 3 offenbarten Technik der Überwachungszeitgeber in einer ähnlichen Art zu der der Patentschrift 2 bereitgestellt. Wenn die Lieferung eines periodischen klaren Signals des Überwachungszeitgebers angehalten wird, bestimmt der Überwachungszeitgeber jedoch, dass die CPU nicht normal funktioniert, und sendet eine Fehlermeldung an ein übergeordnetes System.
DOKUMENTE DES STANDES DER TECHNIK
PATENTSCHRIFTEN

Patentschrift 1: Japanische ungeprüfte Patentanmeldung Nr. 2010-43536
Patentschrift 2: Japanische ungeprüfte Patentanmeldung Nr. 2003-97345
Patentschrift 3: Japanische ungeprüfte Patentanmeldung Nr. 2014-32558

KURZDARSTELLUNG DER ERFINDUNG
DURCH DIE ERFINDUNG ZU LÖSENDES PROBLEM
Die in Patentschrift 2 offenbarte Technik hat hier ein Problem, dass es keine Gegenmaßnahme gegen einen Fall gibt, in dem die Rücksetzfunktion der CPU, die ein Steuerungsprozessor ist, nicht normal funktioniert, selbst wenn ein Rücksetzsignal gegeben ist. Ferner hat die in Patentschrift 2 offenbarte Technik ein Problem, dass selbst wenn die Rücksetzfunktion der CPU, die der Steuerungsprozessor ist, normal funktioniert, ein normaler Betrieb der CPU nach einem Rücksetzen der CPU nicht sichergestellt ist. Die in Patentschrift 2 und 3 offenbarte Technik hat ein Problem, dass in einem Fall, in dem der Betrieb des Überwachungszeitgebers anormal wird, es schwierig ist, das Antriebssteuerungssystem in einem sicheren Zustand zu halten.
Die vorliegende Erfindung ist im Hinblick auf die oben beschriebene Situation bereitgestellt. Die erste Aufgabe der Erfindung ist es, eine Antriebssteuerungsvorrichtung bereitzustellen, die ein Antriebssteuerungssystem in einem sicheren Zustand halten kann, selbst in einem Fall, in dem eine Betriebsanomalie, die verhindert, dass ein Steuerungsprozessor normal funktioniert, oder eine Betriebsanomalie, die nach einem Zurücksetzen des Steuerungsprozessors ungelöst ist, in dem Steuerungsprozessor erfolgt. Die zweite Aufgabe der Erfindung ist es, die Antriebssteuerungsvorrichtung bereitzustellen, die das Antriebssteuerungssystem in einem sicheren Zustand selbst in einem Fall halten kann, in dem eine Betriebsanomalie in dem Überwachungszeitgeber selbst erfolgt.
MITTEL ZUR LÖSUNG DES PROBLEMS
Die vorliegende Erfindung stellt eine Antriebssteuerungsvorrichtung bereit, dadurch gekennzeichnet, dass sie einen Steuerungsprozessor, der konfiguriert ist, um ein Steuersignal zu erzeugen, und einen Überwachungszeitgeber aufweist, der konfiguriert ist, um einen Zeitgeberwert als Reaktion auf ein Rücksetzsignal zurückzusetzen, das von dem Steuerungsprozessor geliefert wird, und um eine Messung einer Zielzeitgeberzeit zu vervollständigen, nachdem der Zeitgeber derart zurückgesetzt wurde, dass er kontinuierlich ein Abschaltsignal zum Abschalten einer Lieferung des Steuersignals von dem Steuerungsprozessor an eine Steuerungszielvorrichtung abgibt.
Gemäß der Erfindung vervollständigt der Überwachungszeitgeber eine Messung der Zeit einer Zielzeitgeberzeit derart, dass er kontinuierlich eine Lieferung des Steuersignals abschaltet, wenn die Lieferung eines Rücksetzsignals von dem Steuerungsprozessor an den Überwachungszeitgeber anhält. Die Steuerungszielvorrichtung kann daher daran gehindert werden, unter einem schlechten Einfluss der Betriebsanomalie in dem Steuerungsprozessor zu leiden, und das Steuerungssystem in einem sicheren Zustand gehalten werden, wenn die Betriebsanomalie, die verhindert, dass der Steuerungsprozessor normal funktioniert, oder die Betriebsanomalie, die nach einem Zurücksetzen des Steuerungsprozessors ungelöst ist, in dem Steuerungsprozessor erfolgt.
In einem bevorzugten Modus weist der Steuerungsprozessor ein Diagnosemittel zum Diagnostizieren eines Betriebs des Steuerungsprozessors und ein Verarbeitungsmittel für sicheren Zustandsübergang auf, das den Steuerungsprozessor dazu veranlasst, in einen sicheren Zustand überzugehen, in dem der Betriebsbereich im Vergleich zu dem Betriebsbereich in einem normalen Zustand in einem Fall begrenzt ist, in dem die Anomalie in dem Betrieb des Steuerungsprozessors als existierend diagnostiziert wird.
Gemäß diesem Modus, wenn die Betriebsanomalie des Überwachungszeitgebers selbst erfolgt und der Überwachungszeitgeber eine Lieferung eines Steuersignals an die Steuerungszielvorrichtung zu einer Zeit, zu der die Betriebsanomalie in dem Steuerungsprozessor erfolgt, nicht abschalten kann, kann der Steuerungsprozessor in den sicheren Zustand übergehen, und das Antriebssteuerungssystem kann in dem sicheren Zustand gehalten werden.
In dem bevorzugten Modus, wiederholt das Diagnosemittel die Diagnose in einem Zyklus, der kürzer als die Zielzeitgeberzeit ist, und gibt das Rücksetzsignal in einem Fall ab, in dem es diagnostiziert wird, um zu bestimmen, dass der Steuerungsprozessor normal ist.
Gemäß diesem Modus veranlasst das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu, in einem Fall, in dem das Diagnosemittel diagnostiziert, um zu bestimmen, dass es die Anomalie in dem Betrieb des Steuerungsprozessors gibt, in den sicheren Zustand überzugehen, bevor der Zielzeitgeber das Abschaltsignal abgibt. Daher kann die Sicherheit der Steuerungszielvorrichtung sichergestellt werden.
In dem bevorzugten Modus veranlasst das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu, ein Steuersignal zum Einstellen der Steuerungszielvorrichtung in den sicheren Zustand abzugeben, wobei der Betriebsbereich im Vergleich zu dem normalen Zustand in dem Fall begrenzt ist, in dem das Diagnosemittel diagnostiziert, um zu bestimmen, dass die Anomalie in dem Betrieb des Steuerungsprozessors existiert.
In diesem Modus ist der Betriebsbereich der Steuerungszielvorrichtung in einem Fall begrenzt, in dem die Betriebsanomalie des Steuerungsprozessors als existierend diagnostiziert wird. Daher kann die Sicherheit der Steuerungszielvorrichtung sichergestellt werden.
In dem bevorzugten Modus hält das Verarbeitungsmittel für sicheren Zustandsübergang eine Abgabe des Steuersignals von dem Steuerungsprozessor an, wenn die Betriebsanomalie des Steuerungsprozessors als existierend diagnostiziert wird.
Gemäß diesem Modus ist es möglich, den Einfluss der Betriebsanomalie in dem Steuerungsprozessor davon abzuhalten, auf die Steuerungszielvorrichtung zu wirken, nachdem die Betriebsanomalie des Steuerungsprozessors als existierend diagnostiziert wurde.
In dem bevorzugten Modus veranlasst das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu, ein Steuersignal für die Steuerungszielvorrichtung zum Übergehen in einen vorbestimmten sicheren Zustand in Übereinstimmung mit einem Zeitablauf in dem Fall abzugeben, in dem das Diagnosemittel diagnostiziert, um zu bestimmen, dass die Anomalie in dem Betrieb des Steuerungsprozessors existiert.
Gemäß diesem Modus kann der Antriebszustand der Steuerungszielvorrichtung dazu veranlasst werden, schrittweise in den sicheren Zustand gemeinsam mit dem Zeitablauf in dem Fall überzugehen, in dem die Anomalie in dem Betrieb des Steuerungsprozessors als existierend diagnostiziert wird. Daher ist es möglich, den Betrieb der Steuerungszielvorrichtung davon abzuhalten, instabil zu sein.
In dem bevorzugten Modus weist der Steuerungsprozessor ein Kommunikationsmittel auf, das die Betriebsanomalie in dem Steuerungsprozessor in dem Fall meldet, in dem das Diagnosemittel diagnostiziert, um zu bestimmen, dass die Anomalie in dem Betrieb des Steuerungsprozessors existiert. Gemäß diesem Modus kann die übergeordnete Steuerung die Betriebsanomalie in dem Steuerungsprozessor erkennen.
In dem bevorzugten Modus stellt das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor in dem Fall in einen Haltezustand, in dem das Diagnosemittel diagnostiziert, um zu bestimmen, dass die Anomalie in dem Betrieb des Steuerungsprozessors existiert. Gemäß diesem Modus ist es möglich, die Betriebsanomalie in dem Steuerungsprozessor davon abzuhalten, aufzufallen, weil der Steuerungsprozessor in dem Haltezustand ist.
WIRKUNGEN DER ERFINDUNG
Wie oben beschrieben, kann die Steuerungszielvorrichtung gemäß der Erfindung davon abgehalten werden, unter dem schlechten Einfluss der Betriebsanomalie in dem Steuerungsprozessor zu leiden, und das Antriebssteuerungssystem kann in dem sicheren Zustand gehalten werden, wenn die Betriebsanomalie, die den Steuerungsprozessor davon abhält, normal zurückgesetzt zu werden, oder die Betriebsanomalie, die nach einem Zurücksetzen des Steuerungsprozessors ungelöst ist, in dem Steuerungsprozessor erfolgt.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 ist ein Blockdiagramm, das ein Antriebssteuerungssystem darstellt, das eine Antriebssteuerungsvorrichtung 1 einer Ausführungsform der vorliegenden Erfindung aufweist.
2 ist ein Flussdiagramm eines Steuerungsprozessors 11 der Antriebssteuerungsvorrichtung 1.
3 ist ein Flussdiagramm eines Sichere-Funktion-Diagnosevorgangs, der durch den Steuerungsprozessors 11 durchgeführt wird.
4 ist ein Zeitdiagramm, das ein erstes Betriebsbeispiel des Steuerungsprozessor 11 darstellt.
5 ist ein Zeitdiagramm, das ein zweites Betriebsbeispiel des Steuerungsprozessors 11 darstellt.
6 ist ein Zeitdiagramm, das ein drittes Betriebsbeispiel des Steuerungsprozessors 11 darstellt.
7 ist ein Zeitdiagramm, das ein Betriebsbeispiel des Steuerungsprozessors auf einer weiteren Ausführungsform der vorliegenden Erfindung darstellt.
MODUS ZUR AUSFÜHRUNG DER ERFINDUNG
Eine Beschreibung von Ausführungsformen der vorliegenden Erfindung ist unten gegeben, mit Verweis auf die 1 bis 7.
1 ist ein Blockdiagramm, das ein Antriebssteuerungssystem darstellt, das eine Antriebssteuerungsvorrichtung 1 einer Ausführungsform der vorliegenden Erfindung aufweist. Wie in 1 dargestellt, weist dieses Antriebssteuerungssystem eine Antriebssteuerungsvorrichtung 1, eine übergeordnete Steuerung 2, einen Schaltkreis 3, eine Treiberschaltung 4, die eine Steuerungszielvorrichtung der Antriebssteuerungsvorrichtung 1 ist, und einen Aktuator 5 auf.
Die übergeordnete Steuerung 2 weist ein Steuerungsgerät, wie eine steuerprogrammierbare Steuerung (SPS), und ein Sicherheitsgerät, wie ein Sicherheitsrelais, auf. Die übergeordnete Steuerung 2 liefert das Steuerbefehlssignal, das basierend auf einem Betrieb oder dem Willen durch den Benutzer an die Antriebssteuervorrichtung 1 erzeugt wird. Die übergeordnete Steuerung 2 erzeugt ferner das Sicherungssignal und liefert in einem Fall das Sicherungssignal an die Antriebssteuerungsvorrichtung 1, in dem ein Auftreten von Gefahren, wie ein Nähern eines Arbeiters dem Aktuator 5, oder in einem Fall, in dem ein Not-Aus-Knopf in einem Antriebssteuerungssystem gedrückt wird. Ferner empfängt die übergeordnete Steuerung 2 von der Antriebssteuerungsvorrichtung 1 ein Anomaliemeldesignal, das für eine Anomalie eines Steuerungsprozessors 11 (unten beschrieben) der Antriebssteuerungsvorrichtung 1 indikativ ist, und führt einen Vorgang entsprechend dem Anomaliemeldesignal durch, wie ein Erzeugen eines Alarms.
Der Schaltkreis 3 ist zwischen der Antriebssteuerungsvorrichtung 1 und der Treiberschaltung 4 bereitgestellt. Dieser Schaltkreis 3 liefert gewöhnlich eine Steuersignalabgabe durch die Antriebssteuerungsvorrichtung 1 an die Treiberschaltung 4. Wenn ein Abschaltsignal durch die Antriebssteuerungsvorrichtung 1 angewendet wird, wird jedoch der Schaltkreis 3 ausgeschaltet, um die Lieferung des Steuersignals von der Antriebssteuerungsvorrichtung 1 an die Treiberschaltung 4 abzuschalten.
Die Treiberschaltung 4 ist zum Beispiel ein Hauptkreis des Wechselrichters und durch mehrere Schaltelemente ausgebildet. Die Treiberschaltung 4 schaltet das Schaltelement basierend auf dem Steuersignal ein, das von der Antriebssteuerungsvorrichtung 1 geliefert wird, um eine Antriebsspannung an den Aktuator 5 durch das Schaltelement zu liefern. Der Aktuator 5 ist zum Beispiel ein Motor.
Die Antriebssteuerungsvorrichtung 1 erzeugt ein Steuersignal basierend auf dem Steuerbefehlssignal oder dem Sicherungssignal, liefert das Steuersignal durch den Schaltkreis 3 an die Treiberschaltung 4, um den Antrieb des Aktuators 5 zu steuern. Bezugnehmend auf 1, weist diese Antriebssteuerungsvorrichtung 1 einen Steuerungsprozessor 11 und einen Überwachungszeitgeber (nachfolgend WDT genannt) 12 auf. Der WDT 12 weist einen Zähler zum Zählen eines Taktes auf, der einen vorbestimmten Zyklus hat. Wenn ein Rücksetzsignal von dem Steuerungsprozessor 11 geliefert wird, stellt der WDT 12 einen Zählwert (anders gesagt, einen Zeitgeberwert) des Taktes auf Null ein. Ferner liefert der WDT 12 kontinuierlich das Abschaltsignal an den Schaltkreis 3, wenn der Zeitgeberwert eine vorbestimmte Zielzeitgeberzeit erreicht.
Der Steuerungsprozessor 11 ist ein Mittel zum Erzeugen eines Steuersignals zum Steuern des Aktuators 5 basierend auf dem Steuerbefehlssignal oder dem Sicherungssignal, wobei jedes der beiden von der übergeordneten Steuerung 2 geliefert wird. Dieser Steuerungsprozessor 11 ist eine CPU, in der ein CPU-Kern, ein ROM, der ein Programm speichert, das durch den CPU-Kern ausgeführt wird, und ein RAM, der als Arbeitsbereich durch den CPU-Kern benutzt wird. Bezugnehmend auf 1, werden der CPU-Kern, der ROM und der RAM in der Darstellung nicht aufgeführt. Die Funktionen, die durch den CPU-Kern (nachfolgend einfach Steuerungsprozessor 11 genannt) des Steuerungsprozessors 11 zum Ausführens des Programms innerhalb des ROM realisiert werden, können grob, wie in 1 dargestellt, in eine Kommunikationsverarbeitungseinheit 111, eine Verarbeitungseinheit für Befehlseingang 112, eine Verarbeitungseinheit für Aktuatorsteuerung 113, eine Diagnoseverarbeitungseinheit 114, eine Verarbeitungseinheit für Steuersignalausgang 115 und eine Verarbeitungseinheit für sicheren Zustandsübergang 116 eingeteilt werden.
Die Kommunikationsverarbeitungseinheit 111 ist ein Mittel zum Empfangen des Steuerbefehlssignals und des Sicherungssignals von der übergeordneten Steuerung 2. In einem Fall, in dem die Kommunikationsverarbeitungseinheit 111 das Anomaliemeldesignal von der Verarbeitungseinheit für sicheren Zustandsübergang 116 empfängt, sendet die Kommunikationsverarbeitungseinheit 111 das Anomaliemeldesignal an die übergeordnete Steuerung 2. Anschließend weist die Kommunikationsverarbeitungseinheit 111 den Empfang des Steuerbefehlssignals und des Sicherungssignals von der übergeordneten Steuerung 2 zurück. In einem Fall, in dem die übergeordnete Steuerung 2 den Inhalt des Anomaliemeldesignals bestimmt und ein Antwortbefehlssignal sendet, empfängt die Kommunikationsverarbeitungseinheit 111 jedoch dieses Antwortbefehlssignal und startet den Empfang des Steuerbefehlssignals und des Sicherungssignals von der übergeordneten Steuerung 2 neu. Die Verarbeitungseinheit für Befehlseingang 112 ist ein Mittel zum Übertragen des Steuerbefehlssignals und des Sicherungssignals von der übergeordneten Steuerung 2 durch die Kommunikationsverarbeitungseinheit 111. Die Verarbeitungseinheit für Aktuatorsteuerung 113 ist ein Mittel zum Ausführen eines Berechnungsvorgangs, bei dem ein Steuersignal erzeugt wird, das benutzt wird, um eine Antriebssteuerung des Aktuators 5 basierend auf dem Steuerbefehlssignal und dem Sicherungssignal durchzuführen.
Zum Beispiel in einem Fall, in dem der Aktuator 5 ein Motor ist und die Treiberschaltung 4 ein Hauptkreis des Wechselrichters ist, der den Motor antreibt, erzeugt die Verarbeitungseinheit für Aktuatorsteuerung 113 ein Signal einer Pulsweitenmodulation (PWM) zum AN/AUS-Steuern jedes Schaltelements der Treiberschaltung 4. Zu dieser Zeit steuert die Verarbeitungseinheit für Aktuatorsteuerung 113, um die Pulsweite des PWM-Signals, das das Steuersignal ist, als Reaktion auf das Steuerbefehlssignal und das Sicherungssignal zu erhöhen oder zu verringern.
Die Verarbeitungseinheit für Steuersignalausgang 115 ist ein Mittel zum Abgeben eines Steuersignals, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 von dem Steuerungsprozessor 11 erzeugt wird. In einem Fall, in dem die Verarbeitungseinheit für Steuersignalausgang 115 ein Haltesignal von der Verarbeitungseinheit für sicheren Zustandsübergang 116 empfängt, hält die Verarbeitungseinheit für Steuersignalausgang 115 die Abgabe des Steuersignals an.
Die Diagnoseverarbeitungseinheit 114 ist ein Mittel zum Diagnostizieren, um zu bestimmen, ob der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 normal oder anormal ist. Wie in 11 dargestellt, weist die Diagnoseverarbeitungseinheit 114 eine Verarbeitungseinheit für Programmsequenzdiagnose 1141 und eine Verarbeitungseinheit für sichere Funktionsdiagnose 1142 auf. Die Verarbeitungseinheit für Programmsequenzdiagnose 1141 ist hier ein Mittel zum Diagnostizieren, ob der Betrieb des Erzeugens des Steuersignals als Reaktion auf das Steuerbefehlssignal aus dem Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 normal oder anormal ist. Die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 ist hier ein Mittel zum Diagnostizieren, ob der Betrieb des Erzeugens des Steuersignals als Antwort auf das Sicherungssignal aus dem Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 normal oder anormal ist.
In der Diagnose oben erfassen die Verarbeitungseinheit für Programmsequenzdiagnose 1141 und die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 eine Anomalie der ALU des Steuerungsprozessors 11, der in der Verarbeitungseinheit für Aktuatorsteuerung 113 benutzt wird, eine Anomalie des Datenpfads, eine Anomalie des Verzeichnisses, eine Anomalie des internen RAM, eine Anomalie eines Adressberechnungsmittels, eine Anomalie eines Unterbrechungsverarbeitungsmittels, eine Anomalie einer Steuerlogik und/oder eine Anomalie eines Konfigurationsverzeichnisses.
Die Diagnoseverarbeitungseinheit 114 wiederholt einen Diagnosevorgang zyklisch unter Verwendung der Verarbeitungseinheit für Programmsequenzdiagnose 1141 und einen Diagnosevorgang unter Verwendung der Verarbeitungseinheit für sichere Funktionsdiagnose 1142. In einem Fall, in dem ein Diagnoseergebnis, das für einen normalen Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 indikativ ist, erhalten wird, liefert die Diagnoseverarbeitungseinheit 114 ein Rücksetzsignal an den WDT 12. Ferner führt die Verarbeitungseinheit für sicheren Zustandsübergang 116 einen Diagnosevorgang unter der Verwendung der Verarbeitungseinheit für Programmsequenzdiagnose 1141 oder einen Diagnosevorgang unter Verwendung der Verarbeitungseinheit für sichere Funktionsdiagnose 1142 durch. In einem Fall, in dem ein Diagnoseergebnis, das für einen anormalen Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 indikativ ist, bestimmt wird, wird ein Anomaliesignal an die Verarbeitungseinheit für sicheren Zustandsübergang 116 abgegeben. Dieses Anomaliesignal weist Informationen auf, die anzeigen, dass der Steuerungsprozessor 11 anormal ist, und Informationen, die für den Inhalt der Anomalie indikativ ist.
In einem Fall, in dem die Diagnoseverarbeitungseinheit 114 diagnostiziert, um zu bestimmen, dass eine Anomalie in dem Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 existiert, funktioniert die Verarbeitungseinheit für sicheren Zustandsübergang 116 wie ein Verarbeitungsmittel für sicheren Zustandsübergang, das den Steuerungsprozessor 11 dazu veranlasst, in einen sicheren Zustand überzugehen, in dem der Betriebsbereich weiter begrenzt ist als der Betriebsbereich in dem normalen Zustand. Insbesondere innerhalb der Ausführungsform ist der sichere Zustand ein Zustand, in dem der Steuerungsprozessor 11 gehalten wird (der interne Zustand wird nicht verändert), und das Steuersignal wird nicht erzeugt und abgegeben. In einem Fall, in dem die Verarbeitungseinheit für sicheren Zustandsübergang 116 das Anomaliesignal von einer Diagnoseverarbeitungseinheit 114 empfängt, gibt die Verarbeitungseinheit für sicheren Zustandsübergang 116 das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 ab, gibt das Anomaliesignal als ein Anomaliemeldesignal an die Kommunikationsverarbeitungseinheit 111 ab und stellt den Steuerungsprozessor 11 in den Haltezustand ein.
Die Struktur dieser Ausführungsform ist wie oben beschrieben.
Der Betrieb dieser Ausführungsform wird nachfolgend beschrieben. 2 ist ein Flussdiagramm, das die Inhaltsverarbeitung durch den Steuerungsprozessor 11 darstellt. Wenn ein Hochfahrbefehl durch die Lieferung von elektrischer Energie an die Antriebssteuerungsvorrichtung 1 erzeugt wird, wird Schritt S101 durch die Verarbeitungseinheit für Programmsequenzdiagnose 1141 durchgeführt, um einen Programmsequenz-Diagnosevorgang auszuführen. Dieser Programmsequenz-Diagnosevorgang ist für den Betrieb zum Erzeugen des Steuersignals als Reaktion auf das Steuerbefehlssignal aus dem Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 bereitgestellt.
Anschließend bestimmt die Verarbeitungseinheit für Programmsequenzdiagnose 1141 in Schritt S102, ob das Diagnoseergebnis normal oder anormal ist. In einem Fall, in dem das Diagnoseergebnis anzeigt, dass der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 anormal ist, geht der Vorgang zu Schritt S110 über. In einem Fall, in dem das Diagnoseergebnis anzeigt, dass der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 normal ist, geht der Vorgang zu Schritt S103 über.
Anschließend führt die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S103 einen Sichere-Funktion-Diagnosevorgang durch. Dieser Programmsequenz-Diagnosevorgang ist für den Betrieb zum Erzeugen des Steuersignals als Reaktion auf das Sicherungssignal aus dem Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 bereitgestellt.
Anschließend bestimmt die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S104, ob das Diagnoseergebnis des Sichere-Funktion-Diagnosevorgangs normal oder anormal ist. In einem Fall, in dem das Diagnoseergebnis anzeigt, dass der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 anormal ist, geht der Vorgang zu Schritt S110 über. In einem Fall, in dem das Diagnoseergebnis anzeigt, dass der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 normal ist, geht der Vorgang zu Schritt S105 über.
Anschließend gibt die Diagnoseverarbeitungseinheit 114 in Schritt S105 ein Rücksetzsignal an den WDT 12 ab, um den Zeitgeberwert des WDT 12 zurückzusetzen. Anschließend führt die Verarbeitungseinheit für Aktuatorsteuerung 113 in Schritt S106 einen Aktuatorsteuerungsvorgang als einen ursprünglichen Zweck durch. In diesem Aktuatorsteuerungsvorgang bekommt die Verarbeitungseinheit für Aktuatorsteuerung 113 das Steuerbefehlssignal oder das Sicherungssignal von der Verarbeitungseinheit für Befehlseingang 112, erzeugt das Steuersignal basierend auf dem Steuerbefehlssignal oder dem Sicherungssignal und liefert das erzeugte Steuersignal an die Verarbeitungseinheit für Steuersignalausgang 115.
Nach Abschluss dieses Schritts S106 geht der Vorgang zu Schritt S101 über. Danach, solange der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 in den Diagnoseergebnissen des Programmsequenz-Diagnosevorgangs (Schritt S101) und des Sichere-Funktion-Diagnosevorgangs (Schritt S103) normal ist, werden die Vorgänge von Schritt S101, S102, S103, S104, S105, S106 und S101 in dieser Reihenfolge widerholt.
In der Zwischenzeit, wenn das Diagnoseergebnis anzeigt, dass der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 in der Bestimmung in Schritt S102 oder Schritt S104 anormal ist, geht der Vorgang zu Schritt S110 über. In diesem Schritt S110, gibt die Diagnoseverarbeitungseinheit 114 das Anomaliesignal an die Verarbeitungseinheit für sicheren Zustandsübergang 116 ab. Die Verarbeitungseinheit für sicheren Zustandsübergang 116 gibt ein Anomaliemeldesignal an die Kommunikationsverarbeitungseinheit 111 ab. Hiermit sendet die Kommunikationsverarbeitungseinheit 111 das Anomaliemeldesignal an die übergeordnete Steuerung 2. Danach weist die Kommunikationsverarbeitungseinheit 111 den Empfang des Steuerbefehlssignals und des Sicherungssignals jeweils von der übergeordneten Steuerung 2 zurück. In einem Fall, in dem die übergeordnete Steuerung 2 den Inhalt des Anomaliemeldesignals bestimmt und das Antwortbefehlssignal sendet, empfängt die Kommunikationsverarbeitungseinheit 111 jedoch dieses Antwortbefehlssignal und startet den Empfang des Steuerbefehlssignals und des Sicherungssignals jeweils von der übergeordneten Steuerung 2 neu. Anschließend führt die Verarbeitungseinheit für sicheren Zustandsübergang 116 in Schritt S111 einen Vorgang durch, um in den sicheren Zustand überzugehen. Insbesondere gibt die Verarbeitungseinheit für sicheren Zustandsübergang 116 ein Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 ab. Hiermit hält die Verarbeitungseinheit für Steuersignalausgang 115 die Abgabe des Steuersignals von der Verarbeitungseinheit für Aktuatorsteuerung 113 nach außen an. Ferner hält die Verarbeitungseinheit für sicheren Zustandsübergang 116 einen internen Takt an den Steuerungsprozessor 11 an, um den Steuerungsprozessor 11 in den Haltezustand zu bringen, und schließt dann den Vorgang, der in 2 dargestellt ist, ab.
3 ist ein Flussdiagramm, das für die Vorgangsinhalte des Sichere-Funktion-Diagnosevorgangs in Schritt S103 indikativ ist. Nachdem der Sichere-Funktion-Diagnosevorgang gestartet wurde, geht die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 zu Schritt S201 über, liest die Eingangsdaten für eine sichere Funktionsdiagnose von dem ROM und speichert die gelesenen Eingangsdaten in dem RAM. Anschließend liefert die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S202 die Eingangsdaten an die Verarbeitungseinheit für Aktuatorsteuerung 113 und veranlasst die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu, basierend auf den Eingangsdaten zu rechnen. Anschließend schreibt die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S203 das Rechenergebnis, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erhalten wurde, in den RAM. Anschließend liest die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S204 die Eingangsdaten für die sichere Funktionsdiagnose wieder von dem ROM und speichert die Eingangsdaten in dem RAM. Anschließend liefert die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S205 die Eingangsdaten an die Verarbeitungseinheit für Aktuatorsteuerung 113 und veranlasst die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu, basierend auf den Eingangsdaten wieder zu rechnen. Anschließend schreibt die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S206 das Rechenergebnis, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erhalten wurde, in den RAM. Anschließend vergleicht die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S207 das Rechenergebnis, das in den RAM in Schritt S203 geschrieben wurde, mit dem Rechenergebnis, das in den RAM in Schritt S206 geschrieben wurde, und diagnostiziert, um zu bestimmen, ob diese Rechenergebnisse gleich sind.
In einem Fall, in dem das Bestimmungsergebnis in Schritt S207 „NEIN” ist, geht der Vorgang zu Schritt S208 über. Anschließend diagnostiziert die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S208, um zu bestimmen, dass die Verarbeitungseinheit für Aktuatorsteuerung 113 anormal ist und schließt den Sichere-Funktion-Diagnosevorgang ab.
In einem Fall, in dem das Bestimmungsergebnis in Schritt S207 „JA” ist, geht der Vorgang zu Schritt S210 über. Anschließend liest die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S210 die Testdaten für die sichere Funktionsdiagnose von dem ROM und speichert die Testdaten in dem RAM. Anschließend veranlasst die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S211 die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu, basierend auf diesen Testdaten zu rechnen. Anschließend schreibt die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S212 das Rechenergebnis, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erhalten wurde, in den RAM. Anschließend liest die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S213 den Bestimmungswert als Erwartungswert basierend auf den Testdaten von dem ROM. Anschließend vergleicht die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S214 das Rechenergebnis, das in dem RAM in Schritt S212 geschrieben wurde, mit dem Bestimmungswert, der aus dem ROM in Schritt S213 gelesen wurde, und diagnostiziert, um zu bestimmen, ob das Rechenergebnis und der Bestimmungswert gleich sind. In einem Fall, in dem das Bestimmungsergebnis in Schritt S217 „NEIN” ist, geht der Vorgang zu dem Schritt S208 oben über. In einem Fall, in dem das Bestimmungsergebnis in Schritt S214 „JA” ist, geht der Vorgang zu Schritt S215 über. Anschließend diagnostiziert die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 in Schritt S215, um zu bestimmen, dass die Verarbeitungseinheit für Aktuatorsteuerung 113 normal ist, und schließt den Sichere-Funktion-Diagnosevorgang ab.
Der Inhalt des Sichere-Funktion-Diagnosevorgangs in Schritt S103, der in 3 dargestellt ist, ist oben beschrieben. Der Inhalt des Programmsequenz-Diagnosevorgangs in Schritt S101 ist dem Inhalt des Sichere-Funktion-Diagnosevorgangs ähnlich.
4 bis 6 sind Zeitdiagramme, die Betriebsbeispiele der Ausführungsformen darstellen. 4 stellt ein Betriebsbeispiel in einem Fall dar, in dem die Verarbeitungseinheit für Aktuatorsteuerung 113 sowohl in dem Programmsequenz-Diagnosevorgang (Schritt S101) als auch in dem Sichere-Funktion-Diagnosevorgang (Schritt S103) in 2 als normal bestimmt wird. In diesem Fall, wie in 4 dargestellt, wiederholt der Steuerungsprozessor 11 zyklisch den Programmsequenz-Diagnosevorgang, den Sichere-Funktion-Diagnosevorgang und den Aktuatorsteuerungsvorgang.
Hier ist eine Zielzeitgeberzeit, während der WDT 12 nach einem Zurücksetzen des WDT 12 abgelaufen ist, länger als eine erforderliche Gesamtzeit für den Programmsequenz-Diagnosevorgang, den Sichere-Funktion-Diagnosevorgang und den Aktuatorsteuerungsvorgang für einen Zyklus. Nachdem der WDT 12 zurückgesetzt wurde, bevor der Zeitgeberwert des WDT 12 die Zielzeitgeberzeit erreicht, wird die Verarbeitungseinheit für Aktuatorsteuerung 113 daher sowohl in dem Programmsequenz-Diagnosevorgang (Schritt S101) als auch dem Sichere-Funktion-Diagnosevorgang (S103) als normal bestimmt, wobei der WDT 12 zurückgesetzt wird. Der WDT 12 ist daher nicht abgelaufen, und der Schaltkreis ist daher nicht abgeschaltet.
Ferner, einem Fall, in dem die Verarbeitungseinheit für Aktuatorsteuerung 113 sowohl in dem Programmsequenz-Diagnosevorgang (Schritt S101) als auch in dem Sichere-Funktion-Diagnosevorgang (Schritt S103) als normal bestimmt wird, gibt die Diagnoseverarbeitungseinheit 114 das Anomaliesignal nicht ab, und die Verarbeitungseinheit für sicheren Zustandsübergang 116 gibt das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 nicht ab. Dementsprechend gibt die Verarbeitungseinheit für Steuersignalausgang 115 das Steuersignal, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erzeugt wird, ab, und der Schaltkreis 3 liefert dieses Steuersignal an die Treiberschaltung 4.
5 stellt ein Betriebsbeispiel dar, bei dem die Anomalie des Betriebs der Verarbeitungseinheit für Aktuatorsteuerung in dem Programmsequenz-Diagnosevorgang (Schritt S101) bestimmt wird, der in 2 dargestellt ist, und das Anomaliesignal wird von der Diagnoseverarbeitungseinheit 114 zu einer Zeit t1 abgegeben (Schritt S110 in 2). Die Verarbeitungseinheit für sicheren Zustandsübergang 116 gibt insbesondere das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 ab, wenn dieses Anomaliesignal abgegeben wird. Folglich, wie in 5 dargestellt, hält die Verarbeitungseinheit für Steuersignalausgang 115 die Abgabe des Steuersignals, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erzeugt wird, an.
Innerhalb der Ausführungsform ist die Zielzeitgeberzeit des WDT 12 länger als der Zyklus, in dem der Programmsequenz-Diagnosevorgang wiederholt wird. Wie in 5 beispielhaft dargestellt, erreicht daher der Zeitgeberwert des WDT 12 die Zielzeitgeberzeit zu einem Zeitpunkt t2 später als zu einem Zeitpunkt t1, und der WDT 12 gibt das Abschaltsignal an den Schaltkreis 3 ab. Folglich wird der Schaltkreis 3 ausgeschaltet.
Gemäß dieser Ausführungsform, in einem Fall, in dem die Verarbeitungseinheit für Programmsequenzdiagnose 1141 die Betriebsanomalie des Steuerungsprozessors 11 erfasst, hält die Verarbeitungseinheit für sicheren Zustandsübergang 116 die Abgabe des Steuersignals an, bevor der WDT 12 den Schaltkreis 3 abschaltet. Der Betrieb ist in einem Fall ähnlich, in dem die Verarbeitungseinheit für sichere Funktionsdiagnose 1142 die Betriebsanomalie des Steuerungsprozessors 11 erfasst. Daher kann ein fehlerhafter Betrieb des Steuerungsprozessors 11, selbst in einer Situation, in der der WDT 12 nicht normal arbeiten kann, davon abgehalten werde, die Steuerungszielvorrichtung, wie zum Beispiel die Treiberschaltung 4 oder den Aktuator 5, zu beeinflussen.
Ferner wird innerhalb der Ausführungsform das Anomaliemeldesignal an die übergeordnete Steuerung 2 von dem Steuerungsprozessor abgegeben. Daher kann die übergeordnete Steuerung 2 die Betriebsanomalie des Steuerungsprozessors erkennen, um angemessen die Betriebsanomalie zu behandeln. Innerhalb der Ausführungsform, geht der Zustand des Steuerungsprozessors 11 ferner in den Haltezustand durch den Steuerungsprozessor 11 selbst über, wenn die Anomalie als existierend diagnostiziert wird. Daher ist es möglich, den Steuerungsprozessor 11 davon abzuhalten, mit der Betriebsanomalie fortzufahren und den Steuerungsprozessor 11 davon abzuhalten, einen fatalen Fehler zu durchlaufen.
6 stellt ein Betriebsbeispiel dar, bei dem die Verarbeitungseinheit für Programmsequenzdiagnose 1141 die Ausführung des Programmsequenz-Diagnosevorgangs (Schritt S101), der in 2 dargestellt ist, startet, wonach die Betriebsanomalie in der Verarbeitungseinheit für Programmsequenzdiagnose 1141 erfolgt und der Zeitgeberwert des WDT 12 die Zielzeitgeberzeit zu einem Zeitpunkt t3 erreicht, ohne dass das Rücksetzsignal durch die Diagnoseverarbeitungseinheit 114 abgegeben wird. Innerhalb der Ausführungsform, in einem Fall, in dem die Betriebsanomalie in der Verarbeitungseinheit für Programmsequenzdiagnose 1141 erfolgt, erreicht der Zeitgeberwert die Zielzeitgeberzeit, der Schaltkreis 3 wird durch das Abschaltsignal ausgeschaltet und der fehlerhafte Betrieb des Steuerungsprozessors 11 wird daher davon abgehalten, die Steuerungszielvorrichtung, wie die Treiberschaltung 4 und den Aktuator 5, zu beeinflussen. Der Betrieb ist in einem Fall ähnlich, in dem die Betriebsanomalie in der Verarbeitungseinheit für sichere Funktionsdiagnose 1142 erfolgt.
[Weitere Ausführungsformen]
Die Ausführungsform der vorliegenden Erfindung wurde oben beschrieben. Es gibt jedoch weitere Ausführungsformen in der vorliegenden Erfindung. Zum Beispiel gibt es die folgenden Ausführungsformen.

(1) Innerhalb der Ausführungsform oben rechnet die Verarbeitungseinheit für Aktuatorsteuerung 113, in Schritt S201 bis S2016, in 3 dargestellt, basierend auf den Eingangsdaten doppelt, und die Verarbeitungseinheit für Programmsequenzdiagnose 1141 vergleicht die Rechenergebnisse in Schritt S207. Die Anzahl der Berechnungen ist jedoch nicht auf zwei begrenzt. Die Verarbeitungseinheit für Aktuatorsteuerung 113 kann drei oder mehr Male rechnen, und die Verarbeitungseinheit für Programmsequenzdiagnose 1141 kann die Rechenergebnisse vergleichen. Steigt die Anzahl der Berechnungen, wird es einfacher, die Betriebsanomalie zu erfassen. Eine Last auf dem Steuerungsprozessor 11 steigt jedoch an. Daher kann die Anzahl der Berechnungen als Reaktion auf die Leistung des Steuerungsprozessors 11 angemessen bestimmt werden.
(2) Innerhalb der Ausführungsform oben wird der Sichere-Funktion-Diagnosevorgang nach Ausführung des Programmsequenz-Diagnosevorgangs durchgeführt. Diese Reihenfolge kann jedoch umgekehrt werden. Ferner kann der Vorgang von Schritt S201 bis S207 nach dem Vorgang von Schritt S210 bis S214 ausgeführt werden.
(3) Innerhalb der Ausführungsform oben wird das Rechenergebnis, das durch die Verarbeitungseinheit für Aktuatorsteuerung 113 erhalten wird, mit dem Bestimmungswert verglichen. Die Betriebsanomalie des Steuerungsprozessors 11 kann jedoch durch ein Vergleichen der erforderlichen Zeit für die Berechnung in der Verarbeitungseinheit für Aktuatorsteuerung 113 mit einer vorbestimmten Referenzzeit erfasst werden. Ferner werden in dem Sichere-Funktion-Diagnosevorgang, der in 3 dargestellt ist, die erforderliche Zeit für die Berechnung in Schritt S202 und die erforderliche Zeit für die Berechnung in Schritt S205 verglichen. Wenn der Unterschied zwischen diesen erforderlichen Zeiten einen vorbestimmten Schwellenwert überschreitet, kann der Betrieb der Verarbeitungseinheit für Aktuatorsteuerung 113 zum Beispiel als anormal diagnostiziert werden. Ferner, in einem Fall, in dem der Steuerungsprozessor 11 mit mehreren Vorgängen parallel zum Beispiel durch eine Mehrbenutzersteuerung fortführt. Die Reihenfolge der Durchführung der mehreren Vorgänge kann überwacht werden. In einem Fall, in dem die Reihenfolge der Vorgänge nicht einer vorbestimmten Reihenfolge entspricht, kann der Betrieb des Steuerungsprozessors 11 als anormal diagnostiziert werden. Alternativ können die erforderlichen Zeiten der Vorgänge mit einer vorbestimmten Referenzzeit verglichen werden, und ein Unterschied zwischen einer der erforderlichen Zeiten und der vorbestimmten Referenzzeit eine vorbestimmte Zeitüberschreiten, wobei der Betrieb des Steuerungsprozessors 11 als anormal diagnostiziert werden kann. Alternativ kann die Bestimmung basierend auf der Reihenfolge der Vorgänge und die Bestimmung basierend auf der erforderlichen Zeit gleichzeitig benutzt werden, um zu diagnostizieren, um zu bestimmen, ob der Betrieb des Steuerungsprozessors 11 anormal ist.
(4) Innerhalb der Ausführungsform oben liefert die Verarbeitungseinheit für sicheren Zustandsübergang 116 das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 und die Verarbeitungseinheit für Steuersignalausgang 115 hält die Lieferung des Steuersignals an, wenn die Diagnoseverarbeitungseinheit 114 das Anomaliesignal an die Verarbeitungseinheit für sicheren Zustandsübergang 116 liefert. In diesem Fall kann die Verarbeitungseinheit für sicheren Zustandsübergang 116 jedoch die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu veranlassen, das Steuersignal entsprechend dem sicheren Zustand zu erzeugen, anstatt das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 zu liefern. Hier ist der sichere Zustand ein Antriebszustand des Aktuators 5, dessen Betriebsbereich weiter begrenzt ist als der Betriebsbereich in einem normalen Zustand. Der sichere Zustand weist einen Antriebszustand des Aktuators 5 auf, dessen Geschwindigkeit begrenzt ist, das Anhalten des Aktuators 5. Ferner kann die Verarbeitungseinheit für sicheren Zustandsübergang 116 die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu veranlassen, das Steuersignal entsprechend dem sicheren Zustand in Übereinstimmung mit den Inhalten des Anomaliesignals zu erzeugen. Daher können der Inhalt des Anomaliesignals und der sichere Zustand oder ein Verfahren zum Bestimmen des sicheren Zustands zuvor durch den ROM oder den RAM des Steuerungsprozessors 11 gespeichert werden. In einem Fall, in dem der Steuerungsprozessor 11 diagnostiziert wird, die Betriebsanomalie zu haben, veranlasst die Verarbeitungseinheit für sicheren Zustandsübergang 116 die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu, das Steuersignal zu erzeugen, um den Aktuator 5 in diesen sicheren Zustand zu übersetzen.

In einem Fall, in dem der Steuerungsprozessor 11 diagnostiziert wird, die Betriebsanomalie zu haben, veranlasst die Verarbeitungseinheit für sicheren Zustandsübergang 116 die Verarbeitungseinheit für Aktuatorsteuerung 113 dazu, das Steuersignal zu erzeugen, um den Aktuator 5 schrittweise gemeinsam mit einem Zeitablauf in den sicheren Zustand (zum Beispiel in einen Haltezustand) zu überführen.
Die Verarbeitungseinheit für sicheren Zustandsübergang 116 gibt vorzugsweise das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 nach einem Ablauf einer vorbestimmten Zeit ab, nachdem eine Anweisung, das Steuersignal entsprechend dem sicheren Zustand zu erzeugen, an die Verarbeitungseinheit für Aktuatorsteuerung 113 gesendet wurde. Die Diagnoseverarbeitungseinheit 114 liefert vorzugsweise weiter das Rücksetzsignal, bis die Verarbeitungseinheit für sicheren Zustandsübergang 116 das Haltesignal an die Verarbeitungseinheit für Steuersignalausgang 115 abgibt. Hiermit wird das Steuersignal durch die Verarbeitungseinheit für Aktuatorsteuerung 113 derart erzeugt, dass es dem sicheren Zustand entspricht, und an die Treiberschaltung 4 geliefert, um den Aktuator 5 während einer vorbestimmten Zeit zu steuern. Diese vorbestimmte Zeit kann eine voreingestellte konstante Zeit sein oder als Reaktion auf die Betriebsgeschwindigkeit des Aktuators 5 zu einer Zeit bestimmt sein, in der die Anomalie in dem Steuerungsprozessor 11 erfasst wird. Gemäß diesem Modus kann ein Unfall, der durch ein plötzliches Anhalten des Aktuators 5 veranlasst wird, vermieden werden.

(5) Innerhalb der Ausführungsform oben werden der Programmsequenz-Diagnosevorgang, der Sichere-Funktion-Diagnosevorgang und der Aktuatorsteuerungsvorgang parallel unter Verwendung der Mehrbenutzersteuerung des Programmsequenz-Diagnosevorgangs, des Sichere-Funktion-Diagnosevorgangs und des Aktuatorsteuerungsvorgangs in einer Einheit von Aufgaben fortgeführt, um den Steuerungsprozessor 11 parallel mit der Erzeugung des Steuersignals durch den Steuerungsprozessor 11 zu diagnostizieren. Der Programmsequenz-Diagnosevorgang, der Sichere-Funktion-Diagnosevorgang und der Aktuatorsteuerungsvorgang können jedoch parallel durch die Mehrbenutzersteuerung in einer Zeiteinheit vorgeschoben werden, die kürzer als die Einheit der Aufgabe ist.

7 ist ein Zeitdiagramm, das für einen Modus der Mehrbenutzersteuerung für den Programmsequenz-Diagnosevorgang, den Sichere-Funktion-Diagnosevorgang und den Aktuatorsteuerungsvorgang indikativ ist. In diesem Beispiel ist die Zeitachse in mehrere Zeitschlitze geteilt, die jeweils eine bestimmte Zeitdauer haben. In einem in 7 dargestellten Beispiel ist ein Zeitschlitz a oder b zwischen jedem benachbarten Paar von Zeitschlitzen c aus mehreren Zeitschlitzen c zwischengeordnet. Der Steuerungsprozessor 11 benutzt die mehreren Zeitschlitze c, die diskret sind, um den Aktuatorsteuerungsvorgang auszuführen. Nachdem der Steuerungsprozessor 11 den Programmsequenz-Diagnosevorgang unter Verwendung der Zeitschlitze gleich einer vorbestimmten Anzahl ausgeführt hat, führt der Steuerungsprozessor 11 den Sichere-Funktion-Diagnosevorgang unter Verwendung der Zeitschlitze b gleich einer vorbestimmten Anzahl aus. In einem Fall, in dem der Betrieb des Steuerungsprozessors während des Programmsequenz-Diagnosevorgangs und des Sichere-Funktion-Diagnosevorgangs normal ist, wird der Betrieb des Abgebens des Rücksetzsignals an den WDT 12 zyklisch wiederholt. Gemäß diesem Modus können die Zeitintervalle zwischen den mehreren Aktuatorsteuerungsvorgängen verkürzt werden. Das kurze Intervall ist in einem Fall wirksam, indem die erforderliche Zeit für den Programmsequenz-Diagnosevorgang und/oder den Sichere-Funktion-Diagnosevorgang für einen Zyklus lang ist/sind.

(6) Die vorliegende Erfindung ist natürlich auf eine Antriebssteuerungsvorrichtung anwendbar, die eine Mehrkern-CPU, die mehrere CPU-Kerne aufweist, benutzt. In diesem Fall führen die mehreren CPU-Kerne den Aktuatorsteuerungsvorgang aus, und die Rechenergebnisse, die durch die mehreren CPU-Kerne erhalten werden, werden verglichen, um zu diagnostizieren, ob jeder CPU-Kern zum Beispiel die Betriebsanomalie hat. In diesem Fall wird zyklisch geprüft, ob die Anomalie des Betriebs jedes Kerns erfasst wird. In einem Fall, in dem die Anomalie nicht erfasst wird, wird das Rücksetzsignal an den WDT 12 abgegeben. In einem Fall, in dem die Anomalie erfasst wird, kann der Steuerungsprozessor 11 in den sicheren Zustand überführt werden.
(7) Innerhalb der Ausführungsform oben wird die Diagnoseverarbeitungseinheit 114 zum Diagnostizieren des Betriebs des Steuerungsprozessors 11 durch eine Software umgesetzt. Die Diagnoseverarbeitungseinheit 114 kann jedoch durch eine Hardware umgesetzt werden.

Bezugszeichenliste

1: Antriebssteuerungsvorrichtung
2: übergeordnete Steuerung
3: Schaltkreis
4: Treiberschaltung
5: Aktuator
11: Steuerungsprozessor
12: WDT
111: Kommunikationsverarbeitungseinheit
112: Verarbeitungseinheit für Befehlseingang
113: Verarbeitungseinheit für Aktuatorsteuerung
114: Diagnoseverarbeitungseinheit
115: Verarbeitungseinheit für Steuersignalausgang
116: Verarbeitungseinheit für sicheren Zustandsübergang
1141: Verarbeitungseinheit für Programmsequenzdiagnose
1142: Verarbeitungseinheit für sichere
Funktionsdiagnose

Claims

Antriebssteuerungsvorrichtung, die Folgendes umfasst: einen Steuerungsprozessor, der konfiguriert ist, um ein Steuersignal zu erzeugen; und einen Überwachungszeitgeber, der konfiguriert ist, um einen Zeitgeberwert als Reaktion auf ein Rücksetzsignal, das von dem Steuerungsprozessor geliefert wird, zurückzusetzen und eine Messung einer Zielzeitgeberzeit nach dem Zurücksetzen des Zeitgerberwerts derart zu vervollständigen, dass kontinuierlich ein Abschaltsignal zum Abschalten einer Lieferung des Steuersignals von dem Steuerungsprozessor an eine Steuerungszielvorrichtung abgegeben wird.
Antriebssteuerungsvorrichtung nach Anspruch 1, wobei der Steuerungsprozessor ein Diagnosemittel, das konfiguriert ist, um einen Betrieb des Steuerungsprozessors zu diagnostizieren, und ein Verarbeitungsmittel für sicheren Zustandsübergang aufweist, das konfiguriert ist, um den Steuerungsprozessor dazu zu veranlassen, in einen sicheren Zustand überzugehen, in dem ein Betriebsbereich weiter als in einem normalen Zustand in einem Fall begrenzt ist, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors eine Anomalie hat.
Antriebssteuerungsvorrichtung nach Anspruch 2, wobei das Diagnosemittel wiederholt in einem Zyklus diagnostiziert, der kürzer als die Zielzeitgeberzeit ist, und das Rücksetzsignal in einem Fall abgibt, in dem das Diagnosemittel bestimmt, dass der Steuerungsprozessor normal ist.
Antriebssteuerungsvorrichtung nach Anspruch 2, wobei das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu veranlasst, das Steuersignal für den sicheren Zustand abzugeben, in dem der Betriebsbereich weiter als in dem normalen Zustand in dem Fall begrenzt ist, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors die Anomalie hat.
Antriebssteuerungsvorrichtung nach Anspruch 4, wobei das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu veranlasst, die Abgabe des Steuersignals in dem Fall anzuhalten, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors die Anomalie hat.
Antriebssteuerungsvorrichtung nach Anspruch 4, wobei das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu veranlasst, das Steuersignal zur Überführung eines Betriebszustands der Steuerungszielvorrichtung in den sicheren Zustand als Reaktion auf einen Zeitablauf in dem Fall abzugeben, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors die Anomalie hat.
Antriebssteuerungsvorrichtung nach Anspruch 2, wobei der Steuerungsprozessor ein Kommunikationsmittel aufweist, das konfiguriert ist, um die Anomalie des Betriebs des Steuerungsprozessors an eine übergeordnete Steuerung in dem Fall zu melden, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors die Anomalie hat.
Antriebssteuerungsvorrichtung nach Anspruch 2, wobei das Verarbeitungsmittel für sicheren Zustandsübergang den Steuerungsprozessor dazu veranlasst, in einem Haltezustand in dem Fall zu sein, in dem das Diagnosemittel bestimmt, dass der Betrieb des Steuerungsprozessors die Anomalie hat.