DE69217084T2

DE69217084T2 - Elektrische Servolenkung

Info

Publication number: DE69217084T2
Application number: DE69217084T
Authority: DE
Inventors: Mitsuhiko C O Koyo S Nishimoto
Original assignee: Koyo Seiko Co Ltd
Current assignee: Koyo Seiko Co Ltd
Priority date: 1991-10-10
Filing date: 1992-09-23
Publication date: 1997-05-07
Anticipated expiration: 2012-09-24
Also published as: EP0536590A3; DE69202665D1; FR2682347B1; EP0536590B1; DE69217084D1; US5259473A; DE69202665T2; EP0638470B1; EP0638470A1; FR2682347A1; EP0536590A2

Description

Die vorliegende Erfindung betrifft eine elektrische Servolenkvorrichtung zum Unterstützen der zum Drehen des Lenkrades eines Fahrzeugs erforderlichen Kraft.
US-A-4 869 334 beschreibt eine elektrische Servolenkvorrichtung, die einen Fahrzeuggeschwindigkeitssensor zum Messen der Fahrgeschwindigkeit des Fahrzeugs und einen Drehmomentsensor zum Messen des auf das Lenkrad aufgebrachten Lenkdrehmoments. Bei der elektrischen Servolenkvorrichtung dieses Typs wird, wenn das gemessene Lenkdrehmoment eine vorbestimmte Totzone überschreitet, ein Servolenkmotor mit einem Treiberstrom getrieben, dessen Größe sich aus dem gemessenen Lenkdrehmoment und der gemessenen Fahrzeuggeschwindigkeit bestimmt, und die Drehkraft des Motors dient der Zufuhr von Leistung zum Unterstützen der zum Drehen des Lenkrades erforderlichen Kraft, wodurch dem Fahrer ein angenehmes Lenkgefühl vermittelt wird. Die Servolenkung wird durch eine Steuerung (im folgenden CPU genannt) gesteuert. Eine solche elektrische Servolenkvorrichtung verwendet eine Konfiguration mit zwei CPUs, um vor Störungen der CPU, wie beispielsweise Instabilität, sicher zu sein.
Die mit zwei CPUs versehene elektrische Servolenkvorrichtung weist eine Haupt-CPU zum Steuern der Servolenkkraft und eine Unter-CPU zum Erkennen von Störungen der Haupt-CPU durch Überwachen der Ein- und der Ausgänge in und aus der CPU auf, so daß beim Erkennen einer Störung der Haupt-CPU die Unter-CPU eine Failsafe-Steuerung durchführt, die das Anhalten des Motors und dergleichen umfaßt, um so die Systemsicherheit zu gewährleisten.
Bei dem zwei CPUs aufweisenden System ist es erforderlich, den grundlegenden Betrieb jeder einzelnen CPU zu überwachen. Um dies zu erreichen, sind die Haupt- und die Unter-CPU jeweils mit einer separaten Überwachungsschaltung verbunden, die die Frequenz von Watchdog- Überwachungsimpulsen, die von der mit ihr verbundenen CPU mit einer festen Wiederholungsrate erzeugt werden, mißt und die gemessene Frequenz mit einem Referenzwert vergleicht, um Fehler im Betrieb der CPU zu erkennen. Wenn die zugeordnete Überwachungsschaltung eine Störung im Betrieb der CPU erkennt, wird die Failsafesteuerung durchgeführt.
Eine andere elektrische Servolenkvorrichtung ist aus US-A-4621327 bekannt. Die Steuereinheit dieser Vorrichtung weist eine erste und eine zweite Steuerung auf, wobei die erste Steuerung den Motor mit Energie versorgt und die zweite Steuerung den Betrieb der ersten Steuerung überprüft.
Die genannten elektrischen Servolenkvorrichtungen mit getrennten Überwachungsschaltungen für die Haupt- und Unter-CPUs haben jedoch das Problem erhöhter Herstellungskosten aufgrund des Vorsehens der beiden Überwachungsschaltungen, die zusätzlich zu der Haupt- und der Unter-CPU als Hardware vorliegen.
Es ist die Aufgabe der Erfindung eine ausfallsichere elektrische Servolenkvorrichtung zu schaffen, deren Herstellungskosten gering sind. Diese Aufgabe wird erfindungsgemäß mit den Merkmalen des Patentanspruchs 1 gelöst.
Es ist ein Vorteil, daß die Vorrichtung, wenn eine gestörte CPU in den normalen Betriebszustand rückgeführt wurde, erst nach einem Anhalten des Fahrzeugs aus der Failsafe- Steuerung freigegeben wird, wodurch der mit dem Failsafe-Steuervorgang einhergehende Systembetriebszustand stabilisiert wird.
Es ist ein weiterer Vorteil der Erfindung, daß die elektrische Servolenkvorrichtung die Verwendung einer Unter-CPU mit einer gegenüber der Haupt-CPU geringeren Verarbeitungskapazität durch Vereinfachung der von der Unter-CPU durchgeführten Operationsverarbeitung ermöglicht, wodurch eine Verringerung der Herstellungskosten der Vorrichtung erreicht wird.
Im allgemeinen stellt sich bei einer elektrischen Servolenkvorrichtung die gefährliche Servolenksituation, die sich aus Fehlern der zum Steuern des Motors vorgesehenen CPU ergibt, auf dreierlei Art und Weise dar: im ersten Fall wird eine Servolenkkraft in einer Lenksituation aufgebracht, in der eine Servolenkkraft nicht erforderlich ist; im zweiten Fall wird Servolenkkraft in zur Lenkrichtung des Lenkrades entgegengesetzter Richtung aufgebracht; und im dritten Fall wird übermäßige Lenkkraft aufgebracht. Bei einem weiteren bevorzugten Ausführungsbeispiel der erfindungsgemäßen elektrischen Servolenkvorrichtung überwacht die Unter-CPU die Haupt-CPU hinsichtlich des Auftretens einer der drei Fälle, um Abnormalitäten im Betrieb der Haupt-CPU festzustellen. Daher muß die Unter-CPU lediglich einfache arithmetische Operationen durchführen, so daß die Konfiguration der Unter-CPU vereinfacht werden kann.
Bei der erfindungsgemäßen elektrischen Servolenkvorrichtung überwacht die Unter-CPU die Haupt-CPU auf das Auftreten eines der genannten drei Zustände zur Erkennung von Abnormalitäten im Betrieb der Haupt-CPU. Auf diese Weise muß die Unter-CPU lediglich einfache arithmetische Operationen durchführen und so kann die Konfiguration der Unter-CPU vereinfacht werden.
Wenn eine Abnormalität in der CPU erkannt wird, wird die abnormale CPU rückgesetzt, um sie von der Steuerung der Servolenkung zu isolieren, wodurch gefährliche Servolenkvorgänge vermieden werden, die aus einer Fehlfunktion der CPU resultieren können.
Bei einem bevorzugten Ausführungsbeispiel der erfindungsgemäßen elektrischen Servolenkvorrichtung kann die Servolenkung, nachdem sie deaktiviert wurde, nur wieder aktiviert werde, wenn die Fahrzeuggeschwindigkeit null ist, selbst wenn die abnormale CPU in den Normalbetriebszustand zurückversetzt wurde; das heißt, daß, sobald die Servolenkung aufgrund eines erkannten Fehlers in der überwachten CPU deaktiviert wurde, die Servolenkung nicht wieder aktiviert wird, solange sich das Fahrzeug bewegt. Dies verhindert instabile Fahrbedingungen, die durch wiederholtes Aktivieren und Deaktivieren der Servolenkung hervorgerufen würden.
Die genannten und weitere Aufgaben und Merkmale der Erfindung ergeben sich deutlicher aus der nachfolgende detaillierten Beschreibung in Zusammenhang mit den zugehörigen Zeichnungen, welche zeigen:
Fig. 1 - ein Blockschaltbild der Konfiguration einer elektrischen Servolenkvorrichtung nach einem ersten und einem zweiten Ausführungsbeispiel;
Fig. 2 - ein Flußdiagramm für eine Hauptroutine einer Störungsüberwachungssteuerung der Haupt-CPU durch die Unter-CPU gemäß einem ersten Ausführungsbeispiel;
Fig. 3 - ein Flußdiagramm für eine Hauptroutine einer Störungsüberwachungssteuerung der Unter-CPU durch die Haupt-CPU gemäß einem ersten Ausführungsbeispiel;
Fig. 4 - ein Flußdiagramm einer Subroutine eines in der Unter-CPU ablaufenden Eingangs-/Ausgangssignalüberwachungsverfahrens gemäß dem ersten und dem zweiten Ausführungsbeispiel;
Fig. 5 - ein Flußdiagramm einer Subroutine eines in der Haupt- und der Unter-CPU ablaufenden Watchdog-Überwachungsvorgangs gemäß dem ersten Ausführungsbeispiel;
Fig. 6 - ein Flußdiagramm für eine Hauptroutine einer Störungsüberwachungsteuerung der Haupt-CPU durch die Unter-CPU gemäß einem zweiten Ausführungsbeispiel;
Fig. 7 - ein Flußdiagramm für eine Hauptroutine einer Störungsüberwachungsteuerung der Unter-CPU durch die Haupt-CPU gemäß einem zweiten Ausführungsbeispiel;
Fig. 8 - ein Flußdiagramm einer Subroutine eines in der Haupt- und der Unter-CPU ablaufenden Watchdog-Überwachungsvorgangs gemäß dem zweiten Ausführungsbeispiel;
Fig. 9 - ein Flußdiagramm einer Subroutine eines in der Haupt- und der Unter-CPU ablaufenden Normal-Rückkehrvorgangs nach dem zweiten Ausführungsbeispiel;
Fig. 10 - ein Blockschaltbild der Konfiguration einer elektrischen Servolenkungsvorrichtung nach einem dritten Ausführungsbeispiel der Erfindung;
Fig. 11 - ein Flußdiagramm einer in der Haupt-CPU nach dem dritten Ausführungsbeispiel;
Fig. 12 - ein Flußdiagramm einer Subroutine für das Überwachen der Lenkraddrehung nach Fig. 11;
Fig. 13 - ein Flußdiagramm einer Subroutine für das Überwachen der Rückwärts- Servolenkung gemäß Fig. 11; und
Fig. 14 - ein Flußdiagramm einer Subroutine für das Überwachen der übermäßigen Servolenkung gemäß Fig. 11.
Im folgenden wird die Erfindung im einzelnen unter Bezugnahme auf die zugehörigen Zeichnungen beschrieben.

(Ausführungsbeispiel 1)

Fig. 1 ist ein Blockschaltbild der Konfiguration einer elektrischen Servolenkvorrichtung nach dem ersten Ausführungsbeispiel der Erfindung. Das Bezugszeichen 1 bezeichnet eine Haupt- CPU, die der Servolenkungssteuerung dient, und der Betriebszustand der Haupt-CPU 1 wird von einer Unter-CPU 2 überwacht. Die Haupt-CPU 1 sendet ein Watchdog-Überwachungsimpulssignal an die Unter-CPU 2, auf dessen Grundlage die Unter-CPU 2 den Grund-Betriebszustand der Haupt-CPU 1 überwacht. Andererseits sendet die Unter-CPU 2 ein Watchdog- Überwachungssignal an die Haupt-CPU 1, auf dessen Grundlage die Haupt-CPU 1 den Grund- Betriebszustand der Unter-CPU 2 überwacht.
Andere der Haupt-CPU 1 zugeführte Signale sind: ein Drehmomenterkennungssignal, das ein auf das Lenkrad aufgebrachtes Lenkdrehmoment wiedergibt, wobei das Lenkdrehmoment von einem Drehmomentsensor 3 erkannt und über einen Verstärker 11 verstärkt wird; ein Motordrehzahlerkennungssignal eines Motordrehzahlsensors 4, der die Motordrehzahl erkennt; und ein Fahrzeuggeschwindigkeitserkennungssignal eines Fahrzeuggeschwindigkeitssensors 5, der die Fahrgeschwindigkeit des Fahrzeugs erkennt.
Das von dem Verstärker 11 verstärkte Drehmomenterkennungssignal, das das Erkennungsergebnis des Drehmomentsensors 3 wiedergibt, und das Fahrzeuggeschwindigkeitserkennungssignal des Fahrzeuggeschwindigkeitssensors 5 werden ebenfalls der Unter-CPU 2 zugeführt.
Basierend auf dem zugeführten Drehmomenterkennungssignal und dem Fahrzeuggeschwindigkeitserkennungssignal führt die Haupt-CPU 1 vorgegebene Operationen durch, um einen Treiberstrom zum Treiben eines Motors 8 für die Servolenkung und die Drehrichtung des Motors 8 zu erzeugen. Die Haupt-CPU 1 sendet sodann ein dem Treiberstrom entsprechendes PWM-Treibersignal an die Motortreiberschaltung 7. Wenn die erhaltene Drehrichtung des Motors 8 im Uhrzeigersinn erfolgt, legt die Haupt-CPU 1 ein logisches High- Signal an ein erstes UND-Gatter 12 an, welches ein Signal zum Drehen im Uhrzeigersinn an die Motortreiberschaltung 7 liefert, um den Motor 8 im Uhrzeigersinn anzutreiben. Wenn andererseits die erhaltene Drehrichtung des Motors 8 im Gegenuhrzeigersinn verläuft, legt die Haupt-CPU 1 ein logisches High-Signal an ein zweites UND-Gatter 13 an, welches sodann ein Signal zum Drehen im Gegenuhrzeigersinn an die Motortreiberschaltung 7 liefert, um den Motor 8 im Gegenuhrzeigersinn anzutreiben. Neben dem zuvor beschriebenen Steuervorgang führt die Haupt-CPU 1 basierend auf dem Watchdog-Überwachungsimpulssignal der Unter-CPU 2 eine Steuerung zur Überwachung des Grund-Betriebs der Unter-CPU 2 zur Erkennung von Störungen durch, wie noch zu beschreiben sein wird.
Auf der Grundlage des gelieferten Drehmomenterkennungssignals und des Fahrzeuggeschwindigkeitssignals, führt die Unter-CPU 2 die gleichen Operationen aus wie die Haupt-CPU 1, um einen Treiberstrom zum Treiben des Motors 8 und die Drehrichtung des Motors 8 zu erhalten, und sie überwacht die Steuervorgänge der Haupt-CPU 1 zur Erkennung von Fehlern, wie im folgenden noch beschrieben werden wird. Zur gleichen Zeit führt die Unter- CPU 2 eine Steuerung zum Überwachen des Grund-Betriebs der Haupt-CPU 1 zum Erkennen von Fehlern durch, basierend auf dem Watchdog-Überwachungsimpulssignal der Haupt-CPU 1, und liefert logische Signale an das erste UND-Gatter 12 und das zweite UND-Gatter 13.
Wenn die von der Haupt-CPU 1 und der Unter-CPU 2 eingegebenen logischen Signale beide einen hohen Pegel aufweisen, gibt das erste UND-Gatter 12 ein High-Signal zum Drehen im Uhrzeigersinn aus, das der Motortreiberschaltung 7 zugeführt wird. Wenn die von der Haupt- CPU 1 und der Unter-CPU 2 eingegebenen logischen Signale beide einen hohen Pegel aufweisen, gibt das zweite UND-Gatter 13 ein High-Signal zum Drehen im Gegenuhrzeigersinn aus, das der Motortreiberschaltung 7 zugeführt wird.
Die Motortreiberschaltung 7 bestimmt die Drehrichtung des Motors 8 basierend auf den logischen Zuständen der Signale zum Drehen im Uhrzeigersinn bzw. zum Drehen im Gegenuhrzeigersinn und treibt den Motor 8 auf der Grundlage des von der Haupt-CPU 1 gelieferten PWM-Treibersignals. Wenn die vom ersten UND-Gatter 12 und vom zweiten UND- Gatter 13 gelieferten logischen Signale beide einen niedrigen Pegel aufweisen, deaktiviert die Motortreiberschaltung 7 den Antrieb des Motors 8. Der Strom zum Treiben des Motors 8 wird durch einen Stromerkennungswiderstand 10 erkannt und das Erkennungsergebnis wird sowohl der Haupt-CPU 1 als auch der Unter-CPU 2 über einen Verstärker 9 zugeführt.
Im folgenden werden die von der Haupt-CPU 1 und der Unter-CPU 2 in der elektrischen Servolenkungsvorrichtung mit der zuvor genannten Konfiguration durchgeführten Fehlerüberwachungssteuerungsvorgänge beschrieben. Fig. 2 ist ein Flußdiagramm, das eine Hauptroutine für die Fehlerüberwachungssteuerung zeigt, welche die Unter-CPU 2 an der Haupt-CPU 1 vornimmt. Die Unter-CPU 2 führt nacheinander eine Subroutine für einen Eingangs-/Ausgangssignalüberwachungsvorgang (Schritt S1) und eine Subroutine für einen Watchdog-Überwachungsvorgang durch (Schritt S2a). Fig. 3 zeigt ein Flußdiagramm einer Hauptroutine zur Fehlerüberwachungssteuerung, welche die Haupt-CPU 1 an der Unter-CPU 2 vornimmt. Die Haupt-CPU 1 führt eine Subroutine für einen Watchdog-Überwachungsvorgang (Schritt S2b) durch.
Zunächst wird die Subroutine des Eingangs-/Ausgangssignalüberwachungsvorgangs (Schritt S1) beschrieben, der in der Unter-CPU 2 abläuft. Bei dem Eingangs-/Ausgangssignalüberwachungsvorgang, bei dem die Unter-CPU 2 die Eingangs-/Ausgangssignale von und zu der Haupt-CPU 1 überwacht, führt die Unter-CPU 2 die gleichen Operationen durch, wie sie in der Haupt-CPU 1 zur Servolenkungssteuerung durchgeführt werden, und vergleicht die Ergebnisse mit den von der Haupt-CPU 1 für die Servolenkungssteuerung erzielten Ergebnissen, wobei das Vergleichsergebnis zum Erkennen von Abnormalitäten in der Haupt-CPU 1 dient. Für den Vergleich verwendete Parameter sind unter anderem der Stromwert zum Treiben des Motors 8, die Drehrichtung des Motors 8 und so weiter. Von diesen Parametern soll der Stromwert zum Treiben des Motors 8 als Beispiel verwendet werden, um den Eingangs-/Ausgangssignalüberwachungsvorgang zu erläutern.
Fig. 4 ist ein Flußdiagramm zur Darstellung der Ablaufsinhalte des in der Unter-CPU 2 ablaufenden Eingangs-/Ausgangssignalüberwachungsvorgangs (Schritt S1). Zunächst wird der gleiche Vorgang wie in der Haupt-CPU 1 durchgeführt, um den Stromwert zum Treiben des Motors 8 zu berechnen (Schritt S11), und anschließend wird die Differenz zwischen dem berechneten Stromwert und dem gelieferten Stromerkennungswert zum Treiben des Motors 8 ermittelt (Schritt S12).
Danach wird festgestellt, ob die Differenz nicht größer als ein vorbestimmter Wert ist (Schritt S13). Wenn festgestellt wird, daß die Differenz nicht größer ist als der vorbestimmte Wert, wird entschieden, daß die Haupt-CPU 1 normal arbeitet und die dem ersten UND-Gatter 12 und dem zweiten UND-Gatter 13 zuzuführenden logischen Signale werden sämtlich auf einen hohen Pegel gesetzt, um das Treiben des Motors 8 zu aktivieren (Schritt S14).
Wird andererseits festgestellt, daß die Differenz größer ist als der vorbestimmte Wert, wird entschieden, daß eine Abnormalität im Betrieb der Haupt-CPU 1 aufgetreten ist und die dem ersten UND-Gatter 12 und dem zweiten -UND-Gatter 13 zuzuführenden logischen Signale werden sämtlich auf einen niedrigen Pegel gesetzt, um zum Deaktivieren des Treibens des Motors 8 eine Failsafe-Operation einzuleiten (Schritt S15), es wird eine CPU-Fehlerflagge gesetzt, um anzuzeigen, daß in der überwachten CPU ein Fehler aufgetreten ist (Schritt S16) und der Vorgang kehrt anschließend zur Hauptroutine zurück.
Im folgenden werden der Watchdog-Überwachungsvorgang, den die Haupt-CPU 1 an der Unter- CPU 2 ausführt, sowie der äquivalent Vorgang beschrieben, den die Unter-CPU 2 an der Haupt- CPU 1 durchführt. Der Inhalt des Watchdog-Überwachungsvorgangs ist zwischen der Haupt- CPU 1 und der Unter-CPU 2 derselbe.
Fig. 5 ist ein Flußdiagramm der Ablaufsinhalte der Watchdog- Überwachungsverarbeitungssubroutine, die in der Haupt-CPU 1 (Schritt S2b) sowie in der Unter-CPU 2 (Schritt S2a) durchgeführt wird.
Zunächst wird festgestellt, ob eine Impulsflanke (Vorder- oder Rückflanke eines Impulses) im Watchdog-Impulssignal erkannt wird (Schritt S21); wenn festgestellt wird, daß in dem Watchdog-Impulssignal eine Impulsflanke erkannt wird, wird der Zählstand eines zweiten Zykluszählers gelöscht (Schritt S22) und es wird ein erster Zykluszähler aktiviert, um den Zyklus der in dem Watchdog-Impulssignal auftretenden Flanke zu zählen (Schritt S23).
Anschließend wird festgestellt, ob der Zählstand des ersten Zykluszählers nicht kleiner ist als ein vorbestimmter Wert (Schritt S24). Wenn der Zählstand im Schritt S24 nicht kleiner als der vorbestimmte Wert ist, bedeutet dies, daß die Frequenz des Watchdog-Impulssignals einen korrekten Wert aufweist, und es wird daher festgestellt, daß sich die CPU, welche das Watchdog-Impulssignal erzeugt, in einem normalen Betriebszustand befindet. Der Zählstand des ersten Zykluszählers wird sodann gelöscht (Schritt S25) und der Ablauf kehrt zur Hauptroutine zurück.
Wenn jedoch festgestellt wird, daß der Zählstand geringer ist als der vorbestimmte Wert, bedeutet dies, daß die Frequenz des Watchdog-Impulssignals größer ist als der vorbestimmte Wert und es wird daher entschieden, daß sich die CPU, die das Watchdog-Impulssignal erzeugt, in einem abnormalen Zustand befindet. Der Ablauf geht sodann zum Schritt S28 über, um einen noch zu beschreibenden Failsafe-Vorgang einzuleiten.
Wenn im Schritt S21 festgestellt wird, daß in dem Watchdog-Impulssignal keine Flanke erkannt wurde, wird der zweite Zykluszähler zum Zählen des flankenfreien Zyklus des Watchdog- Impulssignals aktiviert (SchrittS 26).
Anschließend wird festgestellt, ob der Zählstand des zweiten Zykluszählers nicht kleiner ist als ein vorbestimmter Wert (Schritt S27). Wenn im Schritt S27 festgestellt wird, daß der Zählstand geringer ist als der vorbestimmte Wert, bedeutet dies, daß die Frequenz des Watchdog- Impulssignals einen korrekten Wert aufweist, und es wird daher festgestellt, daß sich die CPU, welche das Watchdog-Impulssignal erzeugt, in einem normalen Betriebszustand befindet. Der Ablauf kehrt sodann zur Hauptroutine zurück.
Wenn jedoch festgestellt wird, daß der Zählstand nicht kleiner ist als der vorbestimmte Wert, bedeutet dies, daß die Frequenz des Watchdog-Impulssignals größer ist als der vorbestimmte Wert und es wird daher entschieden, daß sich die CPU, die das Watchdog-Impulssignal erzeugt, in einem abnormalen Zustand befindet. Der Ablauf geht sodann zum Schritt S28 über.
Im Schritt S28 wird eine Failsafe-Operation durchgeführt, bei der die dem ersten UND-Gatter 12 und dem zweiten UND-Gatter 13 zuzuführenden logischen Signale sämtlich auf einen niedrigen Pegel gesetzt sind, um das Treiben des Motors 8 zu deaktivieren. Anschließend kehrt der Ablauf zur Hauptroutine zurück.
Bei diesem Ausführungsbeispiel werden für die Failsafe-Operation sämtliche dem ersten UND- Gatter 12 und dem zweiten UND-Gatter 13 zuzuführenden logischen Signale auf einen niedrigen Pegel gesetzt, um das Treiben des Motors 8 zu deaktivieren, jedoch ist ersichtlich, daß die Failsafe-Operation auf andere Weise durchgeführt werden kann. Beispielsweise kann der abnormalen CPU ein Rücksetzsignal zum Rücksetzen der CPU zugeführt werden. Eine andere Art der Durchführung der Failsafe-Operation besteht im Anbringen einer elektromagnetischen Kupplung am Motor 8 und im Deaktivieren der elektromagnetischen Kupplung beim Erkennen einer Störung im Betrieb der CPU. Alternativ kann in der Energieversorgungsleitung der Motortreiberschaltung 7 ein Failsafe-Relais vorgesehen werden, das bei einer Störung der CPU deaktiviert wird.
Bei der elektrischen Servolenkvorrichtung mit den genannten Steuerungsfunktionen überwachen die Haupt-CPU 1 und die Unter-CPU 2 auf der Basis des Watchdog-Impulssignals, das eine CPU der anderen zuführt, gegenseitig den Grund-Betrieb der jeweils anderen im Hinblick auf Störungen. Dies eliminiert die Notwendigkeit einer separaten Watchdog-Überwachungsschaltung, die im Stand der Technik sowohl für die Haupt-CPU 1 als auch für die Unter- CPU 2 vorgesehen werden mußten. Der Wegfall von Hardware, wie der im Stand der Technik erforderlichen Watchdog-Überwachungsschaltung, trägt zu einer Verringerung der Herstellungskosten der zwei CPUs aufweisenden Vorrichtung bei.
Wenn eine Störung in einer oder beiden CPUs erkannt wird, wird entweder die Servolenkung deaktiviert oder die abnormale CPU wird rückgesetzt. Dies dient der Eliminierung der Möglichkeit gefährlicher Servolenkvorgänge, die sich aus einer Störung der CPU ergeben kann, und gewährleistet die Systemsicherheit.

(Ausführungsbeispiel 2)

Bei dem zuvor beschriebenen ersten Ausführungsbeispiel überwachen die Haupt-CPU und die Unter-CPU sich gegenseitig auf Störungen hin, indem sie das von der einen CPU an die andere gesendete Watchdog-Impulssignal überwachen; wird bei diesem Steuerungsvorgang eine Störung in der Haupt- oder der Unter-CPU erkannt, führt die CPU, die die Störung der anderen CPU erkannt hat, eine Failsafe-Operation durch, und wenn die abnormale CPU in den Normalbetriebszustand zurückgeführt ist, wird die Vorrichtung aus der Failsafe-Operation freigegeben.
Wenn jedoch der Störungs-/Wiederherstellungszyklus der einen oder der anderen CPU wiederholt wird, wobei die Failsafe-Operation wiederholt aktiviert und deaktiviert wird, während das Fahrzeug in Bewegung ist, so wird der Betrieb des Systems instabil, wodurch eine Instabilität im Fahrverhalten des Fahrzeugs auftritt. Ein instabiler Betrieb des Systems ist bei hohen Fahrgeschwindigkeiten eines Fahrzeugs besonders gefährlich.
Bei dem im folgenden beschriebenen zweiten Ausführungsbeispiel wird, wenn eine gestörte CPU in den Normalbetriebszustand zurückgeführt ist, die einmal aktivierte Failsafe-Operation erst nach dem Anhalten des Fahrzeugs deaktiviert, wodurch der mit der Failsafe-Operation einhergehende Systembetriebszustand stabilisiert wird.
Die Konfiguration der elektrischen Servolenkvorrichtung nach dem zweiten Ausführungsbeispiel ist im Prinzip gleich derjenigen des vorhergehenden ersten Ausführungsbeispiels (Fig. 1), und daher wird auf die Beschreibung derselben an dieser Stelle verzichtet.
Die folgende Beschreibung betrifft die Störungsüberwachungssteuervorgänge, die von der Haupt-CPU 1 und der Unter-CPU 2 in der elektrischen Servolenkvorrichtung des zweiten Ausführungsbeispiels durchgeführt werden. Fig. 6 ist ein Flußdiagramm einer Hauptroutine zur Störungsüberwachungssteuerung der Haupt-CPU 1 durch die Unter-CPU 2. Die Unter-CPU 2 arbeitet nacheinander eine Subroutine für einen Eingangs- /Ausgangssignalüberwachungsvorgang (Schritt S1), eine Subroutine für einen Watchdog- Überwachungsvorgang (Schritt S2c) und eine Subroutine für einen Normal-Rückkehrvorgang (Schritt S3a) ab. Fig. 7 ist ein Flußdiagramm einer Hauptroutine zur Störungsüberwachungssteuerung der Unter-CPU 2 durch die Haupt-CPU 1. Die Haupt-CPU 1 arbeitet nacheinander eine Subroutine für einen Watchdog-Überwachungsvorgang (Schritt S2d) und eine Subroutine für einen Normal-Rückkehrvorgang (Schritt S3b) ab.
Die Subroutine für die Eingangs-/Ausgangssignalüberwachungssteuerung (Schritt S1) in der Unter-CPU 2 ist gleich der Subroutine für die Eingangs-/Ausgangssignalüberwachungssteuerung (Fig. 4) in der Unter-CPU 2 des vorhergehenden ersten Ausführungsbeispiels, weshalb eine Beschreibung an dieser Stelle entfällt.
Fig. 8 ist ein Flußdiagramm des Ablaufsinhalts der Watchdog- Überwachungsverarbeitungssubroutine, die in der Haupt-CPU 1 (Schritt S2d) sowie in der Unter-CPU (Schritt S2c) abläuft. Die Watchdog-Überwachungsverarbeitungssubroutine nach dem zweiten Ausführungsbeispiel ist im wesentlichen gleich der Watchdog- Überwachungsverarbeitungssubroutine (Schritte S2a, S2b) des ersten Ausführungsbeispiels. Daher sind entsprechende Schritte mit den gleichen Zahlen versehen wie in Fig. 5, und eine Beschreibung derselben entfällt an dieser Stelle. Bei dem zweiten Ausführungsbeispiel wird nach der Durchführung einer Failsafe-Operation im Schritt S28 eine CPU-Störungsflagge gesetzt, um anzuzeigen, daß in der überwachten CPU eine Störung aufgetreten ist (Schritt S29), und anschließend kehrt der Ablauf zur Hauptroutine zurück.
Im folgenden wird der Normal-Rückkehrvorgang beschrieben, den die Haupt-CPU 1 an der Unter-CPU 2 vornimmt, sowie der äquivalente Vorgang, den die Unter-CPU 2 an der Haupt- CPU 1 vornimmt. Die Ablaufsinhalte sind bei der Haupt-CPU 1 und der Unter-CPU 2 gleich.
Fig. 9 ist ein Flußdiagramm der Ablaufsinhalte der in der Haupt-CPU 1 (Schritt S3b) und der Unter-CPU 2 (Schritt S3a) ablaufenden Normal-Rückkehrverarbeitungssubroutine.
Zunächst wird festgestellt, ob die CPU-Störungsflagge gesetzt ist oder nicht (Schritt S31). Wenn im Schritt S31 festgestellt wird, daß die CPU-Störungsflagge nicht gesetzt ist, kehrt der Ablauf zur Hauptroutine zurück. Wenn im Schritt S31 jedoch festgestellt wird, daß die CPU-Störungsflagge gesetzt ist, wird anschließend festgestellt, ob die erkannte Fahrzeuggeschwindigkeit null ist oder nicht (Schritt S32).
Wenn im Schritt S32 festgestellt wird, daß die Fahrzeuggeschwindigkeit nicht null ist (wodurch angegeben ist, daß sich das Fahrzeug bewegt), kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S32 festgestellt wird, daß die Fahrzeuggeschwindigkeit null ist (wodurch angegeben ist, daß das Fahrzeug steht), wird die CPU-Störungsflagge rückgesetzt (Schritt S33) und die Failsafe-Operation wird beendet (Schritt S34), woraufhin der Ablauf zur Hauptroutine zurückkehrt.
Bei dem zweiten Ausführungsbeispiel, wie auch bei dem ersten Ausführungsbeispiel, kann die Failsafe-Operation entweder durch deaktivieren des Treibens des Motors 8, durch Rücksetzen der gestörten CPU oder durch Deaktivieren eines Failsafe-Relais zum Zeitpunkt des Erkennens einer CPU-Störung realisiert werden.
Bei der vorhergehenden Störungsüberwachungssteuerung wird, wenn eine Störung in der überwachten CPU aufgetreten ist, zunächst eine Failsafe-Operation zum Deaktivieren der Servolenkung durchgeführt, und wenn die überwachte CPU anschließend in den Normalbetrieb zurückgeführt ist, wird die Failsafe-Operation deaktiviert, um die Servolenkung aus dem deaktivierten Zustand freizugeben. Es sei jedoch darauf hingewiesen, daß die Failsafe-Operation nur nach dem Erkennen des Haltezustands des Fahrzeugs deaktiviert werden kann, um ein wiederholtes Aktivieren und Deaktivieren des Servolenkvorgangs während des Fahrens des Fahrzeugs zu verhindern und dadurch stabile Fahrbedingungen des Fahrzeugs zu gewährleisten.
Wie zuvor beschrieben, kann die einmal deaktivierte Servolenkung bei der elektrischen Servolenkvorrichtung des zweiten Ausführungsbeispiels selbst nach dem Rücksetzen der gestörten CPU in den Normalbetriebszustand nur dann wieder aus dem deaktivierten Zustand freigegeben werden, wenn die Fahrzeuggeschwindigkeit null ist, so daß die Servolenkoperation, die infolge einer Störung der überwachten CPU deaktiviert wurde, nicht während der Fahrt des Fahrzeugs erneut aktiviert wird. Dies verhindert instabile Fahrbedingungen aufgrund des wiederholten Aktivierens und Deaktivierens des Servolenkvorgangs, wobei die überwachte CPU ausfällt und in den Normalbetriebszustand zurückgesetzt wird, und der mit der Failsafe- Operation verbundene Systembetrieb wird dadurch stabilisiert.

(Ausführungsbeispiel 3)

Generell führt bei einer elektrischen Servolenkvorrichtung mit einer Dual-CPU-Konfiguration die Haupt-CPU eine Operatiion zum Ermitteln des Werts eines Motorsteuerstroms aus dem erkannten Lenkdrehmoment und der Fahrzeuggeschwindigkeit durch, wodurch sie die Lenkunterstützungskraft des Motors steuert. Währenddessen führt die Unter-CPU die gleiche Operation durch wie die Haupt-CPU und vergleicht das Operationsergebnis mit demjenigen der Haupt-CPU zur Überwachung der Eingangs-/Ausgangssignale in die und aus der Haupt-CPU zur Erkennung von Abnormalitäten in der Haupt-CPU. Erkennt die Unter-CPU eine Abnormalität in dem Betrieb der Haupt-CPU, führt die Unter-CPU eine Failsafe-Steuerung durch, die das Anhalten des Motors und so weiter umfaßt, um so die Systemsicherheit zu wahren.
Eine solche mit einer Dual-CPU-Konfiguration versehene elektrosche Servolenkvorrichtung hat jedoch das Problem, daß sie zu einer Steigerung der Herstellungskosten der Vorrichtung führt, da die für die Überwachung verantwortliche Unter-CPU eine Verarbeitungskapazität aufweisen muß, die derjenigen der Haupt-CPU äquivalent ist. Das im folgenden beschriebene dritte Ausführungsbeispiel ermöglicht die Verwendung einer Überwachungs-Unter-CPU mit einer geringeren Verarbeitungskapazität als die Haupt-CPU, indem die von der Unter-CPU durchzuführende Operationsverarbeitung vereinfacht ist.
Im allgemeinen stellt sich bei einer elektrischen Servolenkvorrichtung die gefährliche Servolenksituation, die sich aus Fehlern der zum Steuern des Motors vorgesehenen CPU ergibt, in dreierlei Art und Weise dar: im ersten Fall wird eine Servolenkkraft in einer Lenksituation aufgebracht, in der eine Servolenkkraft nicht erforderlich ist; im zweiten Fall wird Servolenkkraft in zur Lenkrichtung des Lenkrades entgegengesetzter Richtung aufgebracht; und im dritten Fall wird übermäßige Lenkkraft aufgebracht. Daher ist es bei der Störungsüberwachung der für die Steuerung des Motors zuständigen Haupt-CPU lediglich erforderlich, die Eingangs- und die Ausgangssignale zu und von der Haupt-CPU auf das Auftreten eines der drei genannten Zustände hin zu überwachen. Wenn Steuerinformationen über den Treiberstromwert einen Wert angeben, der nicht unter einen vorbestimmten Wert fällt, während sich das erkannte Lenkdrehmoment innerhalb einer Totzone befindet, bewertet die Unter-CPU die Situation als eine Störung der Haupt-CPU und erkennt somit den genannten ersten Fall; wenn die Steuerinformationen über die Drehrichtung des Motors eine Richtung angeben, die zur Richtung des erkannten Lenkdrehmoments entgegengesetzt ist, während sich das erkannte Lenkdrehmoment außerhalb der Totzone befindet, bewertet die Unter-CPU die Situation als eine Störung der Haupt-CPU und erkennt somit den genannten zweiten Fall; und wenn der Treiberstrom größer ist als ein vorbestimmter Wert, bewertet die Unter-CPU die Situation als eine Störung der Haupt-CPU und erkennt somit den genannten dritten Fall. Diese Überwachungsoperationen der Unter-CPU werden durch Vergleichen der Informationen über die Eingangs- und die Ausgangssignale zu und von der Haupt-CPU durchgeführt und können daher durch einfache Operationsverarbeitungen erzielt werden.
Fig. 10 ist ein Blockschaltbild der Konfiguration einer elektrischen Servolenkvorrichtung nach dem dritten Ausführungsbeispiel der Erfindung. Das Bezugszeichen 21 bezeichnet eine Haupt- CPU, die der Servolenksteuerung dient, und der Betriebszustand der Haupt-CPU 21 ist durch eine Unter-CPU 22 überwacht.
Das auf das Lenkrad aufgebrachte Lenkdrehmoment wird von einem Drehmomentsensor 23 erkannt und von einem Verstärker 24 verstärkt. Das verstärkte Signal, ein Drehmomenterkennungssignal T, wird einem Phasenkompensationsbereich 31 und einem Differenzierbereich 32 der Haupt-CPU 21 sowie einem Differenzierbereich 41 und einem Failsafe-Überwachungsbereich 42 der Unter-CPU 22 zugeführt. Andererseits wird ein Fahrzeuggeschwindigkeitserkennungssignal V, das von einem die Fahrgeschwindigkeit des Fahrzeugs erkennenden Fahrzeuggeschwindigkeitssensor 25 ausgegeben wird, dem Differenzierbereich 32 und einem Funktionserzeugungsbereich 33 der Haupt-CPU 21 sowie dem Differenzierbereich 41 und dem Failsafe-Überwachungsbereich 42 der Unter-CPU 22 zugeführt.
Eine Stromerkennungsschaltung 28 erkennt den Treiberstrom zum Treiben des Servolenkungsmotors 27 und gibt ein Stromerkennungssignal Is aus, das einem Subtrahierer 35 in der Haupt-CPU 21 sowie dem Failsafe-Überwachungsbereich 42 der Unter-CPU 22 zugeführt wird. Ferner gibt eine Motortreiberschaltung 26 ein Motorantriebsrichtungssignal, das die Antriebsrichtung des Motors 27 wiedergibt, an den Failsafe-Überwachungsbereich 42 der Unter- CPU 22 aus. Das Drehmomenterkennungssignal T, das Fahrzeuggeschwindigkeitserkennungssignal V und das Stromerkennungssignal Is, die jeweils der Haupt- und der Unter-CPU 21 und 22 zugeführt werden, werden durch jeweils in der Haupt- und der Unter-CPU 21 und 22 vorgesehene (nicht dargestellte) A/D-Wandler von analog in digital gewandelt.
In der Haupt-CPU 21 verlegt der Phasenkompensationsbereich 31 die Phase des Drehmomenterkennungssignals T vor und liefert das ein Drehmoment repräsentierende Drehmomenterkennungssignal T an den Funktionserzeugungsbereich 33, der einen Soll- Stromwert I, einen vorläufigen Sollwert des Motorstroms, ausgibt.
In dem Funktionserzeugungsbereich 33 wird eine Funktion variabel entsprechend der Fahrzeuggeschwindigkeit V eingestellt (wobei V1 < V2 < V3 < V4 ...), wobei die Fahrzeuggeschwindigkeit in dem Fahrzeuggeschwindigkeitserkennungssignal V des Fahrzeuggeschwindigkeitssensors 25 wiedergegeben ist, und wobei die Funktion derart ist, daß, wie in der Figur dargestellt, der Soll-Stromwert I in den außerhalb einer vorbestimmten Totzone gelegenen Bereichen des Lenkdrehmoments T proportional zur Zunahme des Lenkdrehmoments T steigt, wobei der Soll-Stromwert I in Sättigung ist, wenn das Lenkdrehmoment T einen vorbestimmten Wert übersteigt. Die Funktion ist derart gewählt, daß mit zunehmender Fahrzeuggeschwindigkeit V1, V2, V3, V4 ... das Verhältnis des Soll-Stromwertes I zum Lenkdrehmoment T und ebenfalls der Sättigungswert des Soll-Stroms I abnimmt. Unter Verwendung dieser Funktion bestimmt der Funktionserzeugungsbereich 33 den Soll-Stromwert I auf der Basis des Lenkdrehmoments T und liefert den Soll-Stromwert I einem Addierer 34.
Andererseits differenziert der Differenzierbereich 32 das Drehmomentsignal T, multipliziert das Ergebnis mit einer Differentialkonstante, die entsprechend dem Fahrzeuggeschwindigkeitserkennungssignal V bestimmt wird, und liefert einen Differential-Stromwert Id1, das sich ergebende Produkt, an den Addierer 34. Der Addierer 34 addiert den vom Funktionserzeugungsbereich 33 gelieferten Soll-Stromwert I zu dem vom Differenzierbereich 32 gelieferten Differential-Stromwert Id1 und liefert die sich ergebende Summe an den Subtrahierer 35.
Der Subtrahierer 35 subtrahiert den Stromerkennungswert Is, der durch das von der Stromerkennungsschaltung 28 erkannte Stromerkennungssignal Is reprasentiert ist, von der vom Addierer 34 erzeugten Summe und liefert die sich ergebende Differenz einem Soll- Spannungsberechnungsbereich 36. Der Soll-Spannungsberechnungsbereich 36 führt eine PID- Operation an der derart gelieferten Differenz durch und liefert ein dem Ergebnis der Operation entsprechendes PWM-Signal der Motortreiberschaltung 26 zum Treiben des Motors 27 zu. Die Motortreiberschaltung 26 treibt den Motor 27 auf der Basis des PWM-Signals.
In der Unter-CPU 22 differenziert der Differenzierbereich 41 das Drehmomenterkennungssignal T, multipliziert das Ergebnis mit einer Differentialkonstanten, die entsprechend dem Fahrzeuggeschwindigkeitserkennungssignal V bestimmt wird, und liefert das sich ergebende Produkt, einen Differential-Stromwert Id2, an den Failsafe-Überwachungsbereich 42. Basierend auf dem Lenkdrehmoment T, der Fahrzeuggeschwindigkeit V, dem Differential-Stromwert Id2, dem Stromerkennungswert Is und dem Motorantriebsrichtungssignal führt der Failsafe-Überwachungsbereich 42 Verarbeitungen zur Überwachung der Steuervorgänge in der Haupt-CPU 21 durch, wie im folgenden beschrieben. Beim Erkennen einer Störung im Betrieb der Haupt-CPU 21 durch den genannten Prozeß, wird an die Motortreiberschaltung 26 ein Motorantriebsdeaktivierungssignal zum Deaktivieren des Treibens des Motors 27 ausgegeben.
Im folgenden wird der Betrieb der Unter-CPU 22 beschrieben. Fig. 11 ist ein Flußdiagramm der Ablaufsinhalte der in der Unter-CPU 22 ablaufenden Hauptroutine.
Wenn das Programm gestartet wird, werden zunächst der Speicher, das Register, der Zeitgeber etc. in der Unter-CPU 22 initialisiert (Schritt S10). Anschließend wird, nachdem der Zeitgeber den Operationszyklus zum Zählen eines eingestellten Wertes (z. B. 1 msek) eingestellt hat (Schritt S20), das Eingangssignal (Drehmomenterkennungssignal T) von analog in digital gewandelt (Schritt S30) und das Drehmomenterkennungssignal T wird von dem Differenzierbereich 41 differenziert (Schritt S40).
Anschließend führt der Failsafe-Überwachungsbereich 42 nacheinander eine Subroutine zum Überwachen der Lenkraddrehung (Schritt S50), eine Subroutine zum Überwachen der Rückwärts-Servolenkung (Schritt S60 und eine Subroutine zum Überwachen übermäßiger Servolenkung (Schritt S70) durch.
Im folgenden wird der Inhalt jeder der Subroutinen im einzelnen beschrieben. Fig. 12 ist ein Flußdiagramm der Ablaufsinhalte der Subroutine zur Überwachung der Lenkraddrehung (Schritt S50).
Zunächst wird festgestellt, ob die (nicht dargestellte) Kupplung zum Übertragen der Drehkraft des Motors 27 an den Lenkmechanismus eingekuppelt ist oder nicht (Schritt S51). Wird im Schritt S51 festgestellt, daß die Kupplung nicht eingerückt ist, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S51 festgestellt wird, daß die Kupplung eingerückt ist, wird anschließend festgestellt, ob sich das Lenkdrehmoment T innerhalb der vom Funktionserzeugungsbereich 33 eingestellten Totzone befindet (Schritt S52).
Wenn im Schritt S52 festgestellt wird, daß das Lenkdrehmoment T sich nicht innerhalb der Totzone befindet, wird der Zählstand des NG-Zählers, der die Zeit für die Ausführung der Failsafe-Operation (zum Deaktivieren des Treibens des Motors 27) zählt, gelöscht (Schritt S54) und anschließend kehrt der Ablauf zur Hauptroutine zurück. Wenn jedoch im Schritt S52 festgestellt wird, daß sich das Lenkdrehmoment T innerhalb der Totzone befindet, wird danach festgestellt, ob der Stromerkennungswert Is größer ist als der Differential-Stromwert Id2 (Schritt S53).
Wenn im Schritt S53 festgestellt wurde, daß der Stromerkennungswert Is nicht größer ist als der Differential-Stromwert Id2, wird der Zählstand des NG-Zeitgebers gelöscht (Schritt S54) und der Ablauf kehrt zur Hauptroutine zurück.
Wenn andererseits im Schritt S53 festgestellt wird, daß der Stromerkennungswert Is größer ist als der Differential-Stromwert Id2, erfolgt eine Zählung durch den NG-Zeitgeber (Schritt S55). Danach wird festgestellt, ob der Zählstand des NG-Zeitgebers einen vorbestimmten eingestellten Wert (z. B. 20 msek) erreicht hat (Schritt S56).
Wenn im Schritt S56 festgestellt wird, daß der Zählstand des NG-Zeitgebers geringer ist als der eingestellte Wert, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S56 festgestellt wird, daß der Zählstand des NG-Zeitgebers den eingestellten Wert erreicht hat, wird ein Motorantriebsdeaktivierungssignal an die Motortreiberschaltung 26 ausgegeben, um das Treiben des Motors 27 zu deaktivieren (Schritt S57) und der Ablauf kehrt zur Hauptroutine zurück.
Bei der derart aufgebauten Subroutine zum Überwachen der Lenkraddrehung wird, bei in der Totzone befindlichem Lenkdrehmoment T, eine Situation als Störung der Haupt-CPU 21 bewertet, wenn ein Treiberstrom, der größer ist als der Differential-Stromwert Id1 (Stromerkennungswert Is > Differential-Stromwert Id2), für einen Zeitraum, der gleich oder länger als ein vorbestimmter Zeitraum ist, weiter in den Motor 27 fließt, und es wird eine Steuerung zum Deaktivieren des Treibens des Motors 27 durchgeführt.
Fig. 13 ist ein Flußdiagramm der Ablaufsinhalte der Subroutine zum Überwachen der Rückwärts-Servolenkung (Schritt S60).
Zunächst wird festgestellt, ob die (nicht dargestellte) Kupplung zum Übertragen der Drehkraft des Motors 27 an den Lenkmechanismus eingekuppelt ist oder nicht (Schritt S61). Wird im Schritt S61 festgestellt, daß die Kupplung nicht eingerückt ist, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S61 festgestellt wird, daß die Kupplung eingerückt ist, wird anschließend festgestellt, ob sich das Lenkdrehmoment T innerhalb der vom Funktionserzeugungsbereich 33 eingestellten Totzone befindet (Schritt S62).
Wenn im Schritt S62 festgestellt wird, daß sich das Lenkdrehmoment T innerhalb der Totzone befindet, wird der Zählstand des NG-Zählers, der die Zeit für die Ausführung der Failsafe- Operation (zum Deaktivieren des Treibens des Motors 27) zählt, gelöscht (Schritt S67) und anschließend kehrt der Ablauf zur Hauptroutine zurück. Wenn jedoch im Schritt S62 festgestellt wird, daß sich das Lenkdrehmoment T nicht innerhalb der Totzone befindet, wird danach festgestellt, ob die Richtung des Lenkdrehmoments T rechts ist (Schritt S63).
Wenn im Schritt S63 festgestellt wird, daß die Richtung des Lenkdrehmoments T rechts ist, wird anschließend festgestellt, ob die von dem Motorantriebsrichtungssignal angegebene Richtung links ist (Schritt S64). Wenn andererseits im Schritt S63 festgestellt wird, daß die Richtung des Lenkdrehmoments T nicht rechts (sondern links) ist, wird danach festgestellt, ob die durch das Motorantriebsrichtungssignal angegebene Motorantriebsrichtung rechts ist (Schritt S65).
Wenn im Schritt S64 festgestellt wird, daß die Motorantriebsrichtung links ist (die Servolenkrichtung ist zur Lenkrichtung entgegengesetzt), erfolgt das Zählen durch den NG- Zeitgeber (Schritt S66). Wenn andererseits im Schritt S64 festgestellt wird, daß die Motorantriebsrichtung nicht links (sondern rechts, was bedeutet, daß die Servolenkrichtung zur Lenkrichtung paßt) ist, wird der Zählstand des NG-Zeitgebers gelöscht (Schritt S67) und der Ablauf kehrt zur Hauptroutine zurück.
Wenn im Schritt S65 festgestellt wird, daß die Motorantriebsrichtung rechts ist (wobei die Servolenkrichtung zur Lenkrichtung entgegengesetzt ist), erfolgt das Zählen durch den NG- Zeitgeber (Schritt S66). Wenn andererseits im Schritt S65 festgestellt wird, daß die Motorantriebsrichtung nicht rechts (sondern links, was bedeutet, daß die Servolenkrichtung zur Lenkrichtung paßt) ist, wird der Zählstand des NG-Zeitgebers gelöscht (Schritt S67) und der Ablauf kehrt zur Hauptroutine zurück.
Wenn das Zählen durch den NG-Zeitgeber im Schritt S66 erfolgt ist, wird festgestellt, ob der Zählstand des NG-Zeitgebers einen vorgegebenen eingestellten Wert erreicht hat (z. B. 20 msek) (Schritt S68).
Wenn im Schritt S68 festgestellt wird, daß der Zählstand des NG-Zeitgebers geringer ist als der eingestellte Wert, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S68 festgestellt wird, daß der Zählstand des NG-Zeitgebers den eingestellten Wert erreicht hat, wird ein Motorantriebsdeaktivierungssignal an die Motortreiberschaltung 26 ausgegeben, um das Treiben des Motors 27 zu deaktivieren (Schritt S69) und der Ablauf kehrt zur Hauptroutine zurück.
Bei der derart aufgebauten Subroutine zum Überwachen der Rückwärts-Servolenkung wird, bei außerhalb der Totzone befindlichem Lenkdrehmoment T, eine Situation als Störung des Betriebs der Haupt-CPU 21 bewertet, wenn eine Servolenkkraft, die der Richtung zur Lenkrichtung entgegengesetzt ist, für einen Zeitraum, der gleich oder länger als ein vorbestimmter Zeitraum ist, aufgebracht wird, und es wird eine Steuerung zum Deaktivieren des Treibens des Motors 27 durchgeführt.
Fig. 14 ist ein Flußdiagramm des Ablaufsinhalts der Subroutine zur Überwachung im Hinblick auf übermäßige Servolenkwirkung (Schritt S70).
Zunächst wird festgestellt, ob die (nicht dargestellte) Kupplung zum Übertragen der Drehkraft des Motors 27 an den Lenkmechanismus eingekuppelt ist oder nicht (Schritt S71). Wird im Schritt S71 festgestellt, daß die Kupplung nicht eingerückt ist, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S71 festgestellt wird, daß die Kupplung eingerückt ist, wird anschließend festgestellt, ob die Fahrzeuggeschwindigkeit V größer als ein eingestellter Wert ist (z. B. 40 km/h) (Schritt S72).
Wenn im Schritt S72 festgestellt wurde, daß die Fahrzeuggeschwindigkeit V geringer als der eingestellte Wert ist, wird der Zählstand des NG-Zählers, der die Zeit für die Ausführung der Failsafe-Operation (zum Deaktivieren des Treibens des Motors 27) zählt, gelöscht (Schritt S75) und anschließend kehrt der Ablauf zur Hauptroutine zurück. Wenn jedoch im Schritt S72 festgestellt wird, daß die Fahrzeuggeschwindigkeit V nicht geringer als der eingestellte Wert ist, wird festgestellt, ob der Stromerkennungswert Is größer ist als die Summe aus dem Differential-Stromwert Id2 und dem Höchstwert des Soll-Stromwerts I, der im Funktionserzeugungsbereich 33 gemäß der Fahrzeuggeschwindigkeit V bestimmt wird (im folgenden als der Fahrzeuggeschwindigkeit entsprechender maximaler Stromwert bezeichnet) (Schritt S 73).
Wenn im Schritt S73 festgestellt wird, daß der Stromerkennungswert Is nicht größer als die Summe aus dem Differential-Stromwert Id2 und dem der Fahrzeuggeschwindigkeit entsprechenden maximalen Stromwert ist, wird der Zählstand des NG-Zählers gelöscht (Schritt S75) und anschließend kehrt der Ablauf zur Hauptroutine zurück.
Wenn im Schritt S73 festgestellt wird, daß der Stromerkennungswert Is größer als die Summe aus dem Differential-Stromwert Id2 und dem der Fahrzeuggeschwindigkeit entsprechenden maximalen Stromwert ist, erfolgt das Zählen durch den NG-Zähler (Schritt S74). Anschließend wird festgestellt, ob der Zählstand des NG-Zeitgebers einen vorgegebenen eingestellten Wert erreicht hat (z. B. 20 msek) (Schritt S76).
Wenn im Schritt S76 festgestellt wird, daß der Zählstand des NG-Zeitgebers geringer ist als der eingestellte Wert, kehrt der Ablauf zur Hauptroutine zurück. Wenn andererseits im Schritt S76 festgestellt wird, daß der Zählstand des NG-Zeitgebers den eingestellten Wert erreicht hat, wird ein Motorantriebsdeaktivierungssignal an die Motortreiberschaltung 26 ausgegeben, um das Treiben des Motors 27 zu deaktivieren (Schritt S77) und der Ablauf kehrt zur Hauptroutine zurück.
Bei der derart aufgebauten Subroutine zum Überwachen der übermäßigen Servolenkwirkung wird, bei hoher Fahrzeuggeschwindigkeit, eine Situation als Störung der Haupt-CPU 21 bewertet, wenn ein Treiberstrom, der um mehr als einen vorbestimmten Betrag größer ist als der im Funktionserzeugungsbereich 33 bestimmte, der Fahrzeuggeschwindigkeit entsprechende maximale Stromwert (Stromerkennungswert Is > Differential-Stromwert Id2 + der Fahrzeuggeschwindigkeit entsprechender maximaler Stromwert), für einen Zeitraum, der gleich oder länger als ein vorbestimmter Zeitraum ist, weiter in den Motor 27 fließt, und es wird eine Steuerung zum Deaktivieren des Treibens des Motors 27 durchgeführt.
Da der Failsafe-Überwachungsbereich 42 in der Lage ist, eine Störung der Haupt-CPU 21 durch einfaches Ausführen der drei Arten der Störungsüberwachung, die durch einfache, Vergleiche beinhaltende arithmetische Operationen durchgeführt werden, zu realisieren, bedarf die Unter- CPU 22 keiner Verarbeitungskapazität, die derjenigen der Haupt-CPU 21 gleichkommt. Dies trägt zur Verringerung der Produktionskosten der elektrischen Servolenkvorrichtung bei.

Claims

1. Elektrische Servolenkvorrichtung mit einer Steuereinrichtung zum Durchführen einer Steuerung der Lenkunterstützung, mit:

einer Einrichtung (23) zum Erkennen eines Lenkdrehmoments, das die Richtung und den Betrag des auf ein Lenkrad aufgebrachten Drehmoments repräsentiert;

einer Einrichtung (25) zum Erkennen der Fahrzeuggeschwindigkeit;

einem Motor (27) zum Liefern einer Lenkunterstützungskraft;

einer ersten Steuereinrichtung (21) zum Steuern der Antriebsrichtung des Motors derart, daß die Lenkunterstützungskraft in der Richtung des erkannten Lenkdrehmoments aufgebracht wird, und zum Steuern eines Antriebsstromwerts für den Motor derart, daß ein Antriebsstrom, der dem Betrag des erkannten Lenkdrehmoments und der erkannten Fahrzeuggeschwindigkeit entspricht, dem Motor zugeführt wird, wenn das erkannte Lenkdrehmoment außerhalb einer vorbestimmten Totzone liegt; und

einer zweiten Steuereinrichtung (22) zum Erkennen von Abnormalitäten in der ersten Steuereinrichtung (21) durch Überwachen der Ein- und Ausgänge in die und aus der ersten Steuereinrichtung (21) und zum Deaktivieren des Antriebs des Motors (27), wenn festgestellt wird, daß sich die erste Steuereinrichtung (21) in einem abnormalen Betriebszustand befindet,

dadurch gekennzeichnet, daß die zweite Steuereinrichtung (22) aufweist:

eine Einrichtung zum Feststellen des Auftretens von Abnormalitäten in der ersten Steuereinrichtung (21), wenn Steuerinformationen über den Antriebsstromwert einen Wert angeben, der nicht unter einen vorbestimmten Wert fällt, wenn das erkannte Lenkdrehmoment innerhalb der Totzone liegt;

eine Einrichtung zum Feststellen des Auftretens von Abnormalitäten in der ersten Steuereinrichtung (21), wenn Steuerinformationen über die Motorantriebsrichtung eine Lenkunterstützungsrichtung angeben, die der Richtung des erkannten Lenkdrehmoments entgegengesetzt ist, wenn das erkannte Lenkdrehmoment außerhalb der Totzone liegt; und

eine Einrichtung zum Feststellen des Auftretens von Abnormalitäten in der ersten Steuereinrichtung (21), wenn der Antriebsstromwert größer als ein vorbestimmter Wert ist.

2. Elektrische Servolenkvorrichtung nach Anspruch 1, ferner mit einer Einrichtung zum Deaktivieren der Lenkunterstützung, wenn eine Abnormalität erkannt wird.

3. Elektrische Servolenkvorrichtung nach Anspruch 1, ferner mit einer Einrichtung zum Rücksetzen der ersten Steuereinrichtung (21) oder der zweiten Steuereinrichtung (22), wenn eine Abnormalität erkannt wird.

4. Elektrische Servolenkvorrichtung nach Anspruch 2, ferner mit:

einer Einrichtung zum Ermitteln, ob die Fahrzeuggeschwindigkeitserkennung null angibt oder nicht; und

einer Einrichtung, die die Lenkunterstützung, nachdem die gestörte Steuereinrichtung in den Normalbetriebszustand rückversetzt ist, nur dann aus dem deaktivierten Zustand freigibt, wenn ermittelt wurde, daß die Fahrzeuggeschwindigkeitserkennung null angibt.