JP2013109731A - 車両用制御装置 - Google Patents

Abstract

【課題】センサに関連する異常、および処理装置の異常を検出する。
【解決手段】車両用制御装置１は、二重化されたセンサ２と、第１の処理装置１１と、第２の処理装置１２とを備える。センサ２は、第１の出力信号Ｓ１を発生する第１のセンサ３と、第２の出力信号Ｓ２を発生する第２のセンサ４とを備える。第１の出力信号Ｓ１は、第１の処理装置１１に入力される。第２の出力信号Ｓ２は、第２の処理装置１２に入力される。処理装置１１、１２は、第１の出力信号Ｓ１と前記第２の出力信号Ｓ２とを入手するための信号通信部２３、３３を備える。処理装置１１、１２は、第１の出力信号Ｓ１と第２の出力信号Ｓ２とを照合し、センサまたは処理装置の異常を判定する信号照合部２５、３５を備える。処理装置１１、１２は、判定の結果Ｒ１、Ｒ２を入手する結果通信部２６、３６と、結果を照合する結果照合部２７、３７とを備えることができる。
【選択図】図１

Description

本発明は、車両に搭載される車両用制御装置に関する。本発明は、例えば、車両の挙動に影響を与える制御対象、例えば走行用の駆動装置、および制動装置、を制御するための車両用制御装置に適用することができる。

特許文献１は、ひとつのセンサからの信号を入力し、入力信号に同じ演算処理を加える２つの制御装置を備え、それら制御装置の演算結果を対比することにより異常を検出するシステムが記載されている。

特開平６−２７４３６１号公報

従来技術の構成では、センサからの入力信号が異常であっても、制御装置が正常であると、同じ演算結果が得られるから、センサおよびその入力系統の異常を検出できないという問題があった。

本発明は上記問題点に鑑みてなされたものであり、その目的は、センサに関連する異常を検出することができる車両用制御装置を提供することである。

本発明の他の目的は、同じ事象を検出するための二重化された二重化センサの異常、および処理装置の異常を検出することができる車両用制御装置を提供することである。

本発明は上記目的を達成するために以下の技術的手段を採用する。

請求項１に記載の発明は、ひとつの事象を検出して第１の出力信号（Ｓ１）を発生する第１のセンサ（３）と、同一の事象を検出して第２の出力信号（Ｓ２）を発生する第２のセンサ（４）と、第１のセンサが接続され、第１の出力信号（Ｓ１）が入力される第１の処理装置（１１）と、第２のセンサが接続され、第２の出力信号（Ｓ２）が入力される第２の処理装置（１２）と、第１の出力信号と第２の出力信号とを入手するための信号通信部（２３、３３、４３、１５３、３５３）と、第１の出力信号と第２の出力信号とを照合し、センサまたは処理装置の異常を判定する信号照合部（２５、３５、４５、１５４、３５４）とを備えることを特徴とする。

この構成によると、２つの出力信号の一方を第１の処理装置だけに入力し、他方を第２の処理装置だけに入力する構成が採用される。この場合であっても、センサに関連する異常を検出することができる。例えば、センサ、第１の処理装置、および第２の処理装置のいずれかにおける異常が検出される。

請求項２に記載の発明は、すべての処理装置は、出力信号に基づいて通常の制御処理を実行する通常制御部（２２、３２、４２、１５９、３５９）と、信号照合部によりセンサまたは処理装置の異常が判定されるとき、通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部（２８、３８、４８、１６１−１６３、２６３、２７２、３６１、３６３、３８３−３８５）とを備えることを特徴とする。この構成によると、異常が判定されたときにはフェールセーフ制御を提供することができる。

請求項３に記載の発明は、さらに、第１の出力信号または第２の出力信号が正常範囲内か否かを評価する信号評価部（２４、３４、４４、１５２、３５２）を備えることを特徴とする。この構成によると、信号照合部による異常検出に加えて、さらに、出力信号が正常範囲内か否かによってセンサだけの異常を検出することができる。

請求項４に記載の発明は、信号通信部と信号照合部とは、第１の処理装置および／または第２の処理装置に設けられていることを特徴とする。この構成によると、第１の処理装置および第２の処理装置の少なくとも一方において、センサに関連する異常を検出することができる。

請求項５に記載の発明は、信号通信部と信号照合部とは、第１のセンサとも、第２のセンサとも接続されていない第３の処理装置（３１３）に設けられていることを特徴とする。この構成によると、第３の処理装置において、または第３の処理装置においても、センサに関連する異常を検出することができる。

請求項６に記載の発明は、信号通信部と信号照合部とは、複数の処理装置に設けられており、さらに、複数の信号照合部における判定の結果（Ｒ１、Ｒ２）を入手する結果通信部（２６、３６、４６、１５５、１５６、３５５、３５６）と、複数の結果を照合し、結果が同一か否かを判定する結果照合部（２７、３７、４７、１５７、１５８、３５７、３５８）とを備えることを特徴とする。この構成によると、複数の判定の結果に基づいて、異常の原因の探索が可能である。例えば、信号照合の複数の結果が「等価」で同一である場合、信号照合の複数の結果が「不等価」で同一である場合、または信号照合の複数の結果が同一ではない場合に応じて異常の原因を探索できる。

請求項７に記載の発明は、信号通信部と信号照合部とは、３つの処理装置（１１、１２、３１３）に設けられており、さらに、複数の信号照合部における判定の結果（Ｒ１−Ｒ３）を入手する結果通信部（４６、３５５、３５６）と、複数の結果の多数決により異常な処理装置を特定する多数決処理部（４０、３８１、３８２）とを備えることを特徴とする。この構成によると、複数の判定の結果に基づいて、異常な処理装置を特定することができる。

なお、特許請求の範囲および上記手段の項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

本発明を適用した第１実施形態に係る車両用制御装置を示すブロック図である。 第１実施形態の作動を示すフローチャートである。 本発明を適用した第２実施形態に係る車両用制御装置を示すブロック図である。 第２実施形態の作動を示すフローチャートである。 本発明を適用した第３実施形態に係る車両用制御装置を示すブロック図である。 第３実施形態の作動を示すフローチャートである。

以下に、図面を参照しながら本発明を実施するための複数の形態を説明する。各形態において先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を適用することができる。また、後続の実施形態においては、先行する実施形態で説明した事項に対応する部分に百以上の位だけが異なる参照符号を付することにより対応関係を示し、重複する説明を省略する場合がある。各実施形態で具体的に組合せが可能であることを明示している部分同士の組合せばかりではなく、特に組合せに支障が生じなければ、明示してなくとも実施形態同士を部分的に組み合せることも可能である。

（第１実施形態）
図１は、本発明を適用した第１実施形態の構成を示す。車両用制御装置１は、車両に搭載されている。車両用制御装置１は、車両の挙動を制御するための車両挙動制御装置を提供する。車両用制御装置１は、車両の運転者を含む利用者からの要求に応じて、さらに、車両の実際の挙動に応じて、車両の走行挙動を望ましい状態に制御するように構成されている。車両用制御装置１は、走行のための駆動力と、走行のための制動力とを制御する。車両用制御装置１は、内燃機関と電動機との少なくともひとつによって選択的に車両を走行させることができるハイブリッド車両のための制御システムである。

車両用制御装置１は、は、車両の挙動を制御するために必要な情報を入力するためのセンサ（ＳＮＲ）２を備える。センサ２は、車両の利用者からの要求を入力する要求入力センサである。センサ２は、同一の事象を検出するために二重化された二重化センサを提供する。二重化されたセンサ２は、信頼性の向上に貢献する。センサ２は、同一の事象を検出する複数のセンサ（ＳＮＲ１、ＳＮＲ２）３、４を備える。センサ２は、例えば、車両の運転者によって操作されるアクセルペダルの操作量、すなわち踏込量を検出する。複数のセンサ３、４は、検出対象であるアクセルに連結され、アクセルペダルの操作量に応じた出力信号Ｓ１、Ｓ２を出力する。センサ２の機械的部分、および電気的部分が正常であるとき、センサ３の出力信号Ｓ１と、センサ４の出力信号Ｓ２とは、一致している。センサ３は第１のセンサ３とも呼ばれる。センサ４は、第２のセンサ４とも呼ばれる。

車両用制御装置１は、車両の挙動を変化させる走行機器（ＶＨＤＤ）５を備える。走行機器５は、車両の挙動に影響を与える複数の機器５ａ、５ｂを備える。走行機器５は、車両の車輪６の回転速度を加速または減速する機器５ａ、５ｂを含む。走行機器５は、車両の車輪に加えられる駆動力を調節する機器５ａ、５ｂを含む。機器５ａは、例えば、内燃機関（ＥＧ）によって提供される。また、機器５ｂは、例えば、電動発電機（ＭＧ）によって提供される。機器５ａ、５ｂは、車輪６の回転速度を減速することもできるから、車輪６の回転を制動する機器でもある。走行機器５は、内燃機関および電動発電機の少なくとも一方によって車輪６を駆動することができる、いわゆるハイブリッド駆動装置である。さらに、走行機器５は、車両の車輪６に加えられる制動力を調節する機器を含むことができる。そのような機器は、例えば、車輪６の回転を制動するブレーキ装置によって提供される。

車両用制御装置１は、走行機器５を制御する車両挙動制御装置として機能する電子制御システム７を備える。電子制御システム７は、ひとつまたは複数の電子制御装置（ＥＣＵ）８、９、１０によって構築することができる。電子制御装置は、マイクロプロセッシングユニット（ＭＰＵ）と呼ばれる処理装置を備える。処理装置は、コンピュータによって読み取り可能な記憶媒体を備えるマイクロコンピュータによって提供される。記憶媒体は、コンピュータによって読み取り可能なプログラムを非一時的に格納している。記憶媒体は、半導体メモリまたは磁気ディスクによって提供されうる。プログラムは、処理装置によって実行されることによって、処理装置をこの明細書に記載される装置として機能させ、この明細書に記載される制御方法を実行するように処理装置を機能させる。処理装置が提供する手段は、所定の機能を達成する機能的ブロック、またはモジュールとも呼ぶことができる。

電子制御システム７は、第１のセンサ３の出力信号Ｓ１を入力する第１の電子制御装置（ＨＶ−ＥＣＵ）８を備える。第１の電子制御装置８は、走行機器５を制御するためのＨＶ制御装置８とも呼ばれる。ＨＶ制御装置８は、内燃機関５ａと電動発電機５ｂとを総合的に制御するための演算処理を実行する。ＨＶ制御装置８は、第１の処理装置（ＭＰＵ１）１１を備える。

電子制御システム７は、第２のセンサ４の出力信号Ｓ２を入力する第２の電子制御装置（ＥＧ−ＥＣＵ）９を備える。第２の制御装置９は、内燃機関５ａを制御するためのＥＧ制御装置９とも呼ばれる。ＨＶ制御装置８とＥＧ制御装置９とは、通信可能に接続されている。ＥＧ制御装置９は、第２の処理装置（ＭＰＵ２）１２を備える。ＥＧ制御装置９は、ＨＶ制御装置８からの指令に応答して、内燃機関５ａを制御する。内燃機関５ａの制御に関して、ＨＶ制御装置８を上位とし、ＥＧ制御装置９を下位とする主従型の制御システムが構築されている。

ここでは、２つの処理装置１１、１２の一方だけに、２つのセンサ３、４の一方が接続され、２つの処理装置１１、１２の他方だけに、２つのセンサ３、４の他方が接続されている。すなわち、複数の処理装置１１、１２と、複数のセンサ３、４とは、一対一に対応付けられて信号伝達可能に電気的に接続されている。

電子制御システム７は、第３の電子制御装置（ＭＧ−ＥＣＵ）１０を備える。第３の電子制御装置１０は、電動発電機５ｂを制御するためのＭＧ制御装置１０とも呼ばれる。ＭＧ制御装置１０は、ＨＶ制御装置８およびＥＧ制御装置９と通信可能に接続されている。ＭＧ制御装置１０は、第３の処理装置（ＭＰＵ３）１３を備える。ＭＧ制御装置１０は、ＨＶ制御装置８からの指令に応答して、電動発電機５ｂを制御する。電動発電機５ｂの制御に関して、ＨＶ制御装置８を上位とし、ＭＧ制御装置１０を下位とする主従型の制御システムが構築されている。

ＨＶ制御装置８とＥＧ制御装置９との間、ＨＶ制御装置８とＭＧ制御装置１０との間、および、ＥＧ制御装置９とＭＧ制御装置１０との間の通信は、ＣＡＮ（Controller Area Network）などの通信回線および通信処理部によって提供することができる。

第１の処理装置１１と第２の処理装置１２とは、相互に作動状態を監視することによりいずれか一方に異常があることを検出する相互監視システムを構築している。相互監視システムを構築するために、第１の処理装置１１と第２の処理装置１２とは、複数の機能ブロック２１−２８、３１−３８を備える。第１の処理装置１１が備える機能ブロック２１−２８と第２の処理装置１２が備える機能ブロック３１−３８とは同一、または対応する機能を提供する。以下、第１の処理装置１１の機能ブロック２１−２８を主に参照して説明する。

信号処理部（ＳＧＰＭ）２１、３１は、センサ３からの出力信号Ｓ１を処理する。信号処理部２１は、出力信号Ｓ１を処理する。信号処理部３１は、出力信号Ｓ２を処理する。信号処理部２１および信号処理部３１による処理は、処理結果を対比することにより出力信号Ｓ１、Ｓ２が予め定められた関係にあることを確認できるように設定されている。信号処理部２１および信号処理部３１による処理は、同じ処理とすることができる。信号処理部２１、３１における処理は、例えば、出力信号Ｓ１、Ｓ２を変換する処理である。より具体的には、アナログ値の出力信号Ｓ１、Ｓ２を、デジタルデータに変換する。以下の説明では、出力信号Ｓ１、Ｓ２の処理結果を、単に出力信号Ｓ１、Ｓ２と呼ぶものとする。

通常制御部（ＣＮＴＭ）２２、３２は、予め定められた通常の制御処理を実行する。通常制御部２２は、内燃機関５ａと電動発電機５ｂとを総合的に制御するための制御処理を実行する。通常制御部２２は、例えば、出力信号Ｓ１に基づいてＥＧ制御装置９およびＭＧ制御装置１０へ指令するための制御量を演算する。通常制御部３２は、ＨＶ制御装置８からの指令に応じて内燃機関５ａを制御するための制御処理を実行する。すべての処理装置１１、１２、１３は、出力信号に基づいて通常の制御処理を実行する通常制御部を備える。

ハイブリッド車両は、走行用の動力源として内燃機関５ａと電動発電機５ｂとを有する。よって、車両を走行させるために必要なトルクを内燃機関５ａと電動発電機５ｂとに分配して発生させる必要がある。通常制御部２２は、この分配機能を担う。ＥＧ制御装置９とＭＧ制御装置１０とは、ＨＶ制御装置８からの指令に応じて内燃機関５ａと電動発電機５ｂとを制御する。通常制御部２２は、直接的に入力される出力信号Ｓ１と、ＥＧ制御装置９を経由して間接的に入力される出力信号Ｓ２との両方を利用可能に構成することができる。これにより、第１の処理装置１１においては、高い信頼性が得られる。また、通常制御部３２は、直接的に入力される出力信号Ｓ２と、ＨＶ制御装置８を経由して間接的に入力される出力信号Ｓ１との両方を利用可能に構成することができる。これにより、第２の処理装置１２においては、高い信頼性が得られる。

信号通信部（ＳＴＲＭ）２３、３３は、信号処理部２１、３１において処理された信号を相互に送受信して交換する。第１の処理装置１１は、出力信号Ｓ１を第２の処理装置１２に送信する。また、第１の処理装置１１は、出力信号Ｓ２を第２の処理装置１２から受信する。第２の処理装置１２は、出力信号Ｓ２を第１の処理装置１１に送信する。また、第２の処理装置１２は、出力信号Ｓ１を第１の処理装置１１から受信する。

信号評価部（ＳＧＶＭ）２４、３４は、センサ３、４からの出力信号Ｓ１、Ｓ２を予め設定された評価ルールに基づいて評価する。信号評価部２４、３４は、出力信号Ｓ１、Ｓ２が正常であるか否かを判定する判定部とも呼ばれる。信号評価部２４、３４は、第１の出力信号Ｓ１または第２の出力信号Ｓ２が正常範囲内か否かを評価する。信号評価部２４、３４は、センサ３、４から直接的に入力される出力信号が正常範囲内か否かを判定する。信号評価部２４は、出力信号Ｓ１が予め設定された正常範囲内にあるか否かを評価する。信号評価部２４は、出力信号Ｓ１が正常範囲外にある場合、出力信号Ｓ１の異常、すなわちセンサ３に関連する異常を判定する。信号評価部３４は、出力信号Ｓ２が予め設定された正常範囲内にあるか否かを評価する。信号評価部３４は、出力信号Ｓ２が正常範囲外にある場合、出力信号Ｓ２の異常、すなわちセンサ３に関連する異常を判定する。

信号照合部（ＣＭＰＭ）２５、３５は、センサ３、４からの出力信号Ｓ１、Ｓ２を照合する。信号照合部２５、３５は、出力信号Ｓ１、Ｓ２が予め定められた関係にあるか否かを判定する判定部とも呼ばれる。例えば、信号照合部２５、３５は、出力信号Ｓ１、Ｓ２が等価であるか否かを判定する。具体的には、信号照合部２５、３５は、出力信号Ｓ１、Ｓ２が、アクセルペダルの同じ操作量を示しているか否かを判定する。信号通信部２３、３３と信号照合部２５、３５とは、複数の処理装置１１、１２に設けられている。

信号照合部２５、３５における判定は、それらの処理に到達するまでの出力信号Ｓ１、Ｓ２の伝達経路が正常であるか、異常であるかの判定を提供する。信号照合部２５は、直接的に入力された出力信号Ｓ１と、第２の処理装置１２による処理を経由して入手された出力信号Ｓ２とを照合する。信号照合部３５は、直接的に入力された出力信号Ｓ２と、第１の処理装置１１による処理を経由して入手された出力信号Ｓ１とを照合する。照合の結果は、異常の有無を示す。例えば、出力信号Ｓ１、Ｓ２が等価ではない場合、出力信号Ｓ１、Ｓ２のいずれか一方に関連する信号伝達経路に何らかの異常があると考えられる。ここでは、センサ３の異常、センサ４の異常、信号線の異常、ＨＶ制御装置８の異常、ＥＧ制御装置９の異常などが考えられる。

結果通信部（ＲＴＲＭ）２６、３６は、信号照合部２５、３５における判定の結果を相互に送受信して交換する。第１の処理装置１１は、判定の結果Ｒ１を第２の処理装置１２に送信する。また、第１の処理装置１１は、判定の結果Ｒ２を第２の処理装置１２から受信する。第２の処理装置１２は、判定の結果Ｒ２を第１の処理装置１１に送信する。また、第２の処理装置１２は、判定の結果Ｒ１を第１の処理装置１１から受信する。結果通信部２６、３６は、複数の信号照合部２５、３５における判定の結果Ｒ１、Ｒ２を入手する。

結果照合部（ＲＣＰＭ）２７、３７は、結果Ｒ１、Ｒ２を照合する。結果照合部２７、３７は、結果Ｒ１、Ｒ２が一致するか否かを判定する判定部とも呼ばれる。結果照合部２７、３７は、複数の結果Ｒ１、Ｒ２を照合し、結果が同一か否かを判定する。この構成によると、結果Ｒ１、Ｒ２に基づいて、異常の原因の探索が可能である。例えば、結果Ｒ１、Ｒ２が「等価」で同一である場合、結果Ｒ１、Ｒ２が「不等価」で同一である場合、または結果Ｒ１、Ｒ２が同一ではない場合に応じて異常の原因を探索できる。

結果照合部２７、３７における判定は、センサ３、４および電子制御装置８、９が正常か否かの判定を提供する場合がある。例えば、信号照合部２５または信号照合部３５における結果が「等価」であるときに、結果照合部２７、３７において、第１の処理装置１１の結果Ｒ１と第２の処理装置１２の結果Ｒ２とが一致する場合、センサ３、４および電子制御装置８、９は正常であると判定できる。一方、信号照合部２５または信号照合部３５における結果が「等価」であるときに、結果照合部２７、３７において、第１の処理装置１１の結果Ｒ１と第２の処理装置１２の結果Ｒ２とが不一致である場合、センサ３、４を含まない電子制御装置８、９の異常であると判定できる。

また、結果照合部２７、３７における判定は、センサ３、４および電子制御装置８、９の少なくとも一部の異常であるか、またはセンサ３、４を含まない電子制御装置８、９の異常であるかの判定を提供する場合がある。例えば、信号照合部２５または信号照合部３５における結果が「不等価」であるときに、結果照合部２７、３７において、第１の処理装置１１の結果Ｒ１と第２の処理装置１２の結果Ｒ２とが一致する場合、センサ３、４および電子制御装置８、９の少なくとも一部が異常であると判定できる。一方、信号照合部２５または信号照合部３５における結果が「不等価」であるときに、結果照合部２７、３７において、第１の処理装置１１の結果Ｒ１と第２の処理装置１２の結果Ｒ２とが不一致である場合、センサ３、４を含まない電子制御装置８、９の異常であると判定できる。

フェールセーフ制御部（ＦＳＣＭ）２８、３８は、何らかの異常が判定された場合に、異常に応じたフェールセーフ制御を提供する。フェールセーフ制御として、制限的な車両の走行を許容するように内燃機関５ａを制御するリンプホーム制御、またはシステムシャットダウンなどによる停止制御を提供することができる。すべての処理装置１１、１２，１３は、信号照合部２５、３５によりセンサまたは処理装置の異常が判定されるとき、通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部を備える。

フェールセーフ制御部２８は、直接的に入力される出力信号Ｓ１だけを利用するフェールセーフ制御を実行可能である。また、フェールセーフ制御部３８は、直接的に入力される出力信号Ｓ２だけを利用するフェールセーフ制御を実行可能である。よって、センサ３または上位のＨＶ制御装置８に異常があっても、内燃機関５ａを望ましい状態に制御することが可能である。例えば、フェールセーフ制御部３８は、ＨＶ制御装置８から指令される制御量を利用できないときでも、出力信号Ｓ２に基づいて、利用者の要求に沿った走行を可能とするように内燃機関５ａを制御する。

図２は、ＨＶ制御装置８およびＥＧ制御装置９の両方において実行される制御処理１５０を示す。図中には、第１の処理装置１１における処理が主として図示されている。図中、および以下の説明では、第２の処理装置１２の場合の参照符号を（ ）内に示す。

ステップ１５１では、センサ３（４）から出力信号Ｓ１（Ｓ２）が入力される。ここでは、処理装置１１、１２の一方だけに、出力信号Ｓ１、Ｓ２の一方が入力され、処理装置１１、１２の他方だけに、出力信号Ｓ１、Ｓ２の他方が入力される。すなわち、複数の処理装置１１、１２と、複数の出力信号Ｓ１、Ｓ２とは、一対一に対応付けられている。

ステップ１５２では、出力信号Ｓ１（Ｓ２）が正常範囲内にあるか否かを判定する。ここでは、出力信号Ｓ１（Ｓ２）がとりうる下限値ＬＬと、出力信号Ｓ１（Ｓ２）がとりうる上限値ＵＬとを使用する。ここでは、出力信号Ｓ１（Ｓ２）が下限値ＬＬを上回り、かつ上限値ＵＬを下回るとき（ＬＬ＜Ｓ１（Ｓ２）＜ＵＬ）、出力信号Ｓ１（Ｓ２）が正常範囲内にあると判定される。出力信号Ｓ１（Ｓ２）が下限値ＬＬ以下であるとき（Ｓ１（Ｓ２）≦ＬＬ）、または、出力信号Ｓ１（Ｓ２）が上限値ＵＬ以上であるとき（Ｓ１（Ｓ２）≧ＵＬ）には、正常範囲外であると判定される。出力信号Ｓ１（Ｓ２）が正常範囲内にある場合、ステップ１５３へ進む。出力信号Ｓ１（Ｓ２）が正常範囲外にある場合、ステップ１６１へ進む。

ステップ１５３では、第１の処理装置１１と第２の処理装置１２との間で、出力信号Ｓ１および出力信号Ｓ２を共有するための送受信処理を実行する。ステップ１５３では、ステップ１５１で入力した出力信号Ｓ１（Ｓ２）を送信する。さらに、ステップ１５３では、他の処理装置１２（１１）から送信された出力信号Ｓ２（Ｓ１）を受信する。

ステップ１５４では、出力信号Ｓ１と出力信号Ｓ２とが等価であるか否かを評価する。出力信号Ｓ１と出力信号Ｓ２とが等価である場合、ステップ１５５へ進む。出力信号Ｓ１と出力信号Ｓ２とが不等価である場合、ステップ１５６へ進む。ＨＶ制御装置８のステップ１５４での判定により結果Ｒ１が得られる。ＥＧ制御装置９のステップ１５４での判定により結果Ｒ２が得られる。

ステップ１５５では、第１の処理装置１１と第２の処理装置１２との間で、ステップ１５４における判定の結果を共有するための送受信処理を実行する。ステップ１５６でも、第１の処理装置１１と第２の処理装置１２との間で、ステップ１５４における判定の結果を共有するための送受信処理を実行する。ステップ１５５、１５６では、ステップ１５４での結果Ｒ１（Ｒ２）を送信する。さらに、ステップ１５５、１５６では、他の処理装置１２（１１）から送信された結果Ｒ２（Ｒ１）を受信する。

ステップ１５７では、結果Ｒ１と結果Ｒ２とが同じか否かを判定する。ステップ１５７において結果Ｒ１と結果Ｒ２とが同じである場合、結果Ｒ１（Ｒ２）は「等価」を示すから、両方の結果Ｒ１、Ｒ２が「等価」である。この場合、ステップ１５９へ進む。この場合は、ステップ１５２においてセンサ３、４の異常が検出されず、しかも、ステップ１５４における判定の結果Ｒ１、Ｒ２が「等価」で一致した場合である。よって、センサ３、４および電子制御装置８、９は正常であると判定できる。

ステップ１５７において結果Ｒ１と結果Ｒ２とが不一致である場合、結果Ｒ１（Ｒ２）は「等価」を示し、結果Ｒ２（Ｒ１）は「不等価」を示す。この場合、ステップ１６２へ進む。この場合は、ステップ１５２においてセンサ３、４の異常が検出されず、しかも、ステップ１５４における判定の結果Ｒ１、Ｒ２が不一致の場合である。よって、センサ３、４を含まない電子制御装置８、９の異常であると判定できる。ここでは、電子制御装置８、９のいずれが異常であるのかは特定することができない。

ステップ１５８では、結果Ｒ１と結果Ｒ２とが同じか否かを判定する。ステップ１５８において結果Ｒ１と結果Ｒ２とが不一致である場合、結果Ｒ１（Ｒ２）は「不等価」を示し、結果Ｒ２（Ｒ１）は「等価」を示す。この場合、ステップ１６２へ進む。この場合は、ステップ１５２においてセンサ３、４の異常が検出されず、しかも、ステップ１５４における判定の結果Ｒ１、Ｒ２が不一致の場合である。よって、センサ３、４を含まない電子制御装置８、９の異常であると判定できる。ここでは、電子制御装置８、９のどれが異常であるのかは特定することができない。

ステップ１５８において結果Ｒ１と結果Ｒ２とが同じである場合、結果Ｒ１（Ｒ２）は「不等価」を示すから、両方の結果Ｒ１、Ｒ２が「不等価」である。この場合、ステップ１６３へ進む。この場合は、ステップ１５２においてセンサ３、４の異常が検出されず、しかも、ステップ１５４における判定の結果Ｒ１、Ｒ２が「不等価」で一致した場合である。ただし、ステップ１５４において「不等価」と判定されているから、出力信号のオフセット、検出特性の異常のような、ステップ１５４における比較処理によって検出可能な異常がセンサ３またはセンサ４に発生している場合が想定される。よって、センサ３、４および電子制御装置８、９の少なくとも一部が異常であると判定できる。ここでは、センサ３、４および電子制御装置８、９のどれが異常であるのかは特定することができない。

ステップ１６１−１６３では、フェールセーフ制御のための異常処理が実行される。ステップ１６１では、第１の異常処理が実行される。ステップ１６１はセンサ３（４）の異常が検出された場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサ３（４）の異常が、他の処理装置１２（１１）に通知される。このステップでは、処理装置１１（１２）の機能を制限する。例えば、処理装置１１（１２）の機能は、車両が限定された走行をできる程度に制限される。より具体的には、このステップでは、車両がリンプホーム走行と呼ばれる制限された退避走行ができるように制御が実行される。このとき、ＨＶ制御装置８およびＥＧ制御装置９の一方が正常な機能を維持している場合、その正常な制御装置は、自らに入力される出力信号に基づいて制限された制御を提供する。例えば、ＨＶ制御装置８が異常となり、ＥＧ制御装置９が正常である場合、ＥＧ制御装置９は、出力信号Ｓ２に基づいて制御を継続できる。このとき、異常となったＨＶ制御装置８からの悪影響が抑制される。例えば、ＥＧ制御装置９が異常となり、ＨＶ制御装置８が正常である場合、ＨＶ制御装置８は、出力信号Ｓ１に基づいて制御を継続できる。このとき、少なくともＭＧ制御装置１０を正常に機能させることができる。

ステップ１６２では、第２の異常処理が実行される。ステップ１６２は、ＨＶ制御装置８またはＥＧ制御装置９に異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、いずれか一方の制御装置が異常であるとの判定結果が、他の処理装置１２（１１）に通知される。このステップでは、処理装置１１（１２）の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置１１（１２）の機能を完全に停止させてもよい。例えば、処理装置１１（１２）をシャットダウンすることができる。

ステップ１６３では、第３の異常処理が実行される。ステップ１６３は、センサ３、センサ４、ＨＶ制御装置８、およびＥＧ制御装置９のいずれかひとつに異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサおよび制御装置のどれかが異常であるとの判定結果が、他の処理装置１２（１１）に通知される。このステップでは、処理装置１１（１２）の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置１１（１２）の機能を完全に停止させてもよい。

以上に述べたように、この実施形態によると、二重化されたセンサ２の出力信号Ｓ１、Ｓ２を、異なる処理装置１１、１２に入力し、それら出力信号Ｓ１、Ｓ２を通信により獲得して照合するから、出力信号の伝達経路に関連する異常を検出することができる。ここで検出される異常には、センサに属する異常と、制御装置に属する異常とが含まれる。しかも、複数の処理装置１１、１２の両方において出力信号を照合するから、いずれかの処理装置１１、１２において異常を検出することができる。

また、二重化されたセンサ２の出力信号Ｓ１、Ｓ２を、異なる処理装置１１、１２に入力するから、一方の処理装置１１（１２）が異常となっても、他方の処理装置１２（１１）は、自らに入力される出力信号Ｓ２（Ｓ１）を利用することができる。この結果、他の処理装置１１（１２）からの悪影響を抑制して、制御を提供することができる。

（第２実施形態）
この実施形態では、上記実施形態に加えて、さらに、自己が正常であるか異常であるかを診断する自己診断機能を備える。図３において、第１の処理装置１１および第２の処理装置１２は、自己診断部（ＤＩＧＭ）２２９、２３９を備える。自己診断部２２９、２３９は、処理装置１１、１２の機能が正常であるか否かを診断する。自己診断部２２９、２３９を備えることにより、処理装置１１（１２）は、自らの機能が正常であるか否かを自ら判定することができる。この実施形態では、処理装置１１、１２は、結果通信部および結果照合部を備えない。この実施形態では、自己診断部２２９、２３９によって処理装置１１（１２）の異常を自ら検出できるため、信号照合部２５、３５によって「不等価」と判定されるときは、他の処理装置１２（１１）が異常であると判定できるからである。

図４において、ＨＶ制御装置８およびＥＧ制御装置９の両方において実行される制御処理２５０を説明する。ステップ２７０では、自己診断部２２９、２３９における自己診断結果が「異常」であるか否かを判定する。ステップ２７１において処理装置１１（１２）の「異常」が検出される場合、ステップ２７２へ進む。

ステップ１５１−１５４、１５９、１６１の処理は先行する実施形態と同じである。

ステップ２６３では、第５の異常処理が実行される。ステップ２６３は、センサ３、またはセンサ４の一方に異常がある場合に実行される。ステップ２６３に到達する場合、ステップ２７１において既に処理装置１１（１２）自身は正常であると判定されているから、出力信号Ｓ１、Ｓ２の「不等価」は、センサ３、４に関連する異常に起因すると考えることができる。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサのどれかが異常であるとの判定結果が、他の処理装置１２（１１）に通知される。このステップでは、処理装置１１（１２）の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。代替的に、ＨＶ制御装置８から指令される制御量と、ＥＧ制御装置９において独自に演算された制御量とから、車両として望ましいほうを選択し、選択された制御量に基づいて走行機器５を制御してもよい。例えば、車両の運動量が小さくなる制御量、または車両の運動量の変化が小さくなる制御量を選択することができる。さらに、機能制限の後、または機能制限に代えて、処理装置１１（１２）の機能を完全に停止させてもよい。

ステップ２７２では、第５の異常処理が実行される。ステップ２７２は、処理装置１１（１２）自身に異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、処理装置１１（１２）の異常が、他の処理装置１２（１１）に通知される。このステップでは、処理装置１１（１２）の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置１１（１２）の機能を完全に停止させてもよい。

この実施形態では処理装置１１、１２に自己診断機能を設けたから、異常な処理装置を特定することができる。

（第３実施形態）
上記実施形態では、第１の処理装置１１と第２の処理装置１２とが相互に監視する構成を採用した。これに代えて、または加えて、第３の処理装置３１３において、出力信号Ｓ１、Ｓ２の評価および／または照合を実行してもよい。さらに、上記実施形態に加えて、第３の処理装置３１３において、３つ以上の処理装置における判定の結果に基づいて、異常の原因、または場所を特定してもよい。例えば、３つ以上の判定の結果に多数決を適用して異常な処理装置を特定してもよい。

図５において、ＭＧ制御装置１０は、第３の処理装置（ＭＰＵ３）３１３を備える。処理装置３１３は、複数の機能ブロック４２−４８、４０を備える。第３の処理装置３１３が備える機能ブロック４２−４８は、第１の処理装置１１が備える機能ブロック２２−２８と同一、または対応する機能を提供する。信号通信部２３、３３、４３と信号照合部２５、３５、４５とは、３つの処理装置１１、１２、３１３に設けられている。

通常制御部４２は、ＨＶ制御装置８からの指令に応じて電動発電機５ｂを制御するための制御処理を実行する。ＭＧ制御装置１０の通常制御部４２は、ＨＶ制御装置８を経由して間接的に入力される出力信号Ｓ１とＥＧ制御装置９を経由して間接的に入力される出力信号Ｓ２との両方を利用可能に構成されている。よって、ＭＧ制御装置１０においては、高い信頼性が得られる。信号通信部４３は、信号処理部２１、３１において処理された信号を受信する。信号評価部４４は、出力信号Ｓ１および出力信号Ｓ２の両方が予め設定された正常範囲内にあるか否かを評価する。信号照合部４５は、出力信号Ｓ１、Ｓ２が等価であるか否かを判定する。よって、この実施形態では、信号通信部４３と信号照合部４５とは、第１のセンサ３とも、第２のセンサ４とも接続されていない第３の処理装置３１３に設けられている。結果通信部４６は、信号照合部２５、３５における判定の結果を受信する。結果通信部４６は、複数の信号照合部２５、３５、４５における判定の結果Ｒ１−Ｒ３を入手することとなる。結果照合部４７は、結果Ｒ１、Ｒ２が一致するか否かを判定する。フェールセーフ制御部４８は、異常に応じたフェールセーフ制御を提供する。

多数決処理部４０は、結果Ｒ１、Ｒ２および、信号照合部４５２において得られた判定の結果Ｒ３に基づいて、多数決処理を実行することにより、異常な処理装置を特定する。ここでは、多数派の結果を出力した２つの処理装置を正常であるとして扱い、少数派の結果を出力した１つの処理装置を異常であるとして扱う。この実施形態では、フェールセーフ制御部４８は、多数決処理部４０における判定結果に応じたフェールセーフ制御を実行する。

図６において、ＭＧ制御装置１０において実行される制御処理３５０を説明する。ステップ３５３では、ＨＶ制御装置８とＥＧ制御装置９とを経由して、出力信号Ｓ１、Ｓ２が受信される。

ステップ３５２では、出力信号Ｓ１、Ｓ２の両方が正常範囲内にあるか否かを判定する。出力信号Ｓ１、Ｓ２の両方が正常範囲内にある場合、ステップ３５４へ進む。出力信号Ｓ１または出力信号Ｓ２が正常範囲外にある場合、ステップ３６１へ進む。

ステップ３５４では、出力信号Ｓ１と出力信号Ｓ２とが等価であるか否かを評価する。出力信号Ｓ１と出力信号Ｓ２とが等価である場合、ステップ３５５へ進む。出力信号Ｓ１と出力信号Ｓ２とが不等価である場合、ステップ３５６へ進む。ステップ３５４での判定により結果Ｒ３が得られる。ステップ３５５、３６６では、ＨＶ制御装置８から結果Ｒ１を受信し、ＥＧ制御装置９から結果Ｒ２を受信する。

ステップ３５７では、３つの結果Ｒ１、Ｒ２、Ｒ３が同じか否かを判定する。ステップ３５７において結果Ｒ１、Ｒ２、Ｒ３が同じである場合、結果Ｒ１、Ｒ２、Ｒ３は「等価」である。この場合、ステップ３５９へ進む。ステップ３５７において結果Ｒ１、Ｒ２、Ｒ３が不一致である場合、ステップ３８０へ進む。

ステップ３５８では、３つの結果Ｒ１、Ｒ２、Ｒ３が同じか否かを判定する。ステップ３５８において結果Ｒ１、Ｒ２、Ｒ３が不一致である場合、ステップ３８１へ進む。ステップ３５８において結果Ｒ１、Ｒ２、Ｒ３が同じである場合、結果Ｒ１、Ｒ２、Ｒ３は「不等価」である。この場合、ステップ３６３へ進む。

ステップ３８１では、多数決処理が実行される。ステップ３８１では、少数派の結果を出力した処理装置を特定する。ステップ３８２では、少数派の結果に応じて分岐する。結果Ｒ１が少数派である場合、ステップ３８３へ進む。結果Ｒ２が少数派である場合、ステップ３８４へ進む。結果Ｒ３が少数派である場合、ステップ３８５へ進む。

ステップ３６１、３６３、３８３−３８５では、フェールセーフ制御のための異常処理が実行される。ステップ３６１では、ステップ１６１と同様の第１の異常処理が実行される。ステップ３６３では、ステップ１６３と同様の第３の異常処理が実行される。

ステップ３８３では、結果Ｒ１を出力する第１の処理装置１１が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第１の処理装置１１の異常が、他の処理装置１２に通知される。ＥＧ制御装置９では、ＭＧ制御装置１０からの通知に応答して、ＨＶ制御装置８の異常を前提としたフェールセーフ制御が実行される。このステップでは、ＭＧ制御装置１０は、ＨＶ制御装置８の異常を前提として、自己の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第３の処理装置３１３の機能を完全に停止させてもよい。さらに、異常になった第１の処理装置１１の機能を完全に停止させてもよい。

ステップ３８４では、結果Ｒ２を出力する第２の処理装置１２が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第２の処理装置１２の異常が、他の処理装置１１に通知される。ＨＶ制御装置８では、ＭＧ制御装置１０からの通知に応答して、ＥＧ制御装置９の異常を前提としたフェールセーフ制御が実行される。このステップでは、ＭＧ制御装置１０は、ＥＧ制御装置９の異常を前提として、自己の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第３の処理装置３１３の機能を完全に停止させてもよい。さらに、異常になった第２の処理装置１２の機能を完全に停止させてもよい。

ステップ３８５では、結果Ｒ３を出力する第３の処理装置３１３が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第３の処理装置３１３の異常が、他の処理装置１１、１２に通知される。ＨＶ制御装置８とＥＧ制御装置９とでは、ＭＧ制御装置１０からの通知に応答して、ＭＧ制御装置１０の異常を前提としたフェールセーフ制御が実行される。このステップでは、ＭＧ制御装置１０は、自己の機能を制限する。ここで提供される機能制限は、ステップ１６１で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第３の処理装置３１３の機能を完全に停止させてもよい。

この実施形態では、３つ以上の処理装置によって出力信号Ｓ１、Ｓ２を照合し、それらの照合の結果を多数決によって評価することにより、異常となった制御装置を特定することができる。

（他の実施形態）
以上、本発明の好ましい実施形態について説明したが、本発明は上述した実施形態に何ら制限されることなく、本発明の主旨を逸脱しない範囲において種々変形して実施することが可能である。上記実施形態の構造は、あくまで例示であって、本発明の範囲はこれらの記載の範囲に限定されるものではない。本発明の範囲は、特許請求の範囲の記載によって示され、さらに特許請求の範囲の記載と均等の意味及び範囲内での全ての変更を含むものである。

例えば、制御装置が提供する手段と機能は、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組合せによって提供することができる。例えば、制御装置をアナログ回路によって構成してもよい。

また、上記実施形態では、信号通信部２３、３３と信号照合部２５、３５とは、第１の処理装置１１および第２の処理装置１２に設けた。これに代えて、信号通信部２３、３３と信号照合部２５、３５とは、第１の処理装置１１および／または第２の処理装置１２に設けることができる。

また、上記実施形態では、第１の処理装置１１および第２の処理装置１２の両方に、信号評価部２４、３４、信号照合部２５、３５、および結果照合部２７、３７を設けた。これに代えて、第１の処理装置１１または第２の処理装置１２にだけ、信号評価部２４、３４、および信号照合部２５、３５を設けてもよい。また、第３の処理装置３１３にだけ、信号評価部２４、３４、および信号照合部２５、３５を設けてもよい。

また、上記実施形態では、３つの制御装置８、９、１０を設けて、それぞれに処理装置１１、１２、１３、３１３を設けた。これに代えて、複数の処理装置をひとつの制御装置に設けてもよい。例えば、第１の制御装置に第１の処理装置１１と第２の処理装置１２とを設けてもよい。また、単一の制御装置内に３つの処理装置１１、１２、１３を設けてもよい。

上記実施形態では、通信回線によって複数の処理装置の間の通信が提供された。これに代えて、専用の信号線を設けてもよい。例えば、出力信号Ｓ１を第１の処理装置１１から第２の処理装置１２へ伝達する信号線などを設けることができる。

上記実施形態では、センサ２は、アクセルペダルの操作量を検出した。これに代えて、センサ２は、車両の利用者によって操作されるブレーキペダルの操作量を検出してもよい。また、センサ２は、車両の利用者によって操作されるシフトレバーの操作位置を検出してもよい。

また、上記第３実施形態においても、上記第２実施形態に例示された自己診断部をすべての処理装置に設けてもよい。

１ 車両用制御装置、 ２ センサ、 ３ 第１のセンサ、 ４ 第２のセンサ、 ５ 走行機器、 ６ 駆動輪、 ７ 電子制御システム、 ８ 第１の制御装置、 ９ 第２の制御装置、 １０ 第３の制御装置、 １１ 第１の処理装置、 １２ 第２の処理装置、 １３ 第３の処理装置、 ２１ 信号処理部、 ２２ 通常制御部、 ２３ 信号通信部、 ２４ 信号評価部、 ２５ 信号照合部、 ２６ 結果通信部、 ２７ 結果照合部、 ２８ フェールセーフ制御部。

Claims (7)

1. ひとつの事象を検出して第１の出力信号（Ｓ１）を発生する第１のセンサ（３）と、
   同一の前記事象を検出して第２の出力信号（Ｓ２）を発生する第２のセンサ（４）と、
   前記第１のセンサが接続され、前記第１の出力信号（Ｓ１）が入力される第１の処理装置（１１）と、
   前記第２のセンサが接続され、前記第２の出力信号（Ｓ２）が入力される第２の処理装置（１２）と、
   前記第１の出力信号と前記第２の出力信号とを入手するための信号通信部（２３、３３、４３、１５３、３５３）と、
   前記第１の出力信号と前記第２の出力信号とを照合し、前記センサまたは前記処理装置の異常を判定する信号照合部（２５、３５、４５、１５４、３５４）と
   を備えることを特徴とする車両用制御装置。
2. すべての前記処理装置は、
   前記出力信号に基づいて通常の制御処理を実行する通常制御部（２２、３２、４２、１５９、３５９）と、
   前記信号照合部により前記センサまたは前記処理装置の異常が判定されるとき、前記通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部（２８、３８、４８、１６１−１６３、２６３、２７２、３６１、３６３、３８３−３８５）とを備えることを特徴とする請求項１に記載の車両用制御装置。
3. さらに、前記第１の出力信号または前記第２の出力信号が正常範囲内か否かを評価する信号評価部（２４、３４、４４、１５２、３５２）を備えることを特徴とする請求項１または請求項２に記載の車両用制御装置。
4. 前記信号通信部と前記信号照合部とは、前記第１の処理装置および／または前記第２の処理装置に設けられていることを特徴とする請求項１から請求項３のいずれかに記載の車両用制御装置。
5. 前記信号通信部と前記信号照合部とは、前記第１のセンサとも、前記第２のセンサとも接続されていない第３の処理装置（３１３）に設けられていることを特徴とする請求項１から請求項４のいずれかに記載の車両用制御装置。
6. 前記信号通信部と前記信号照合部とは、複数の前記処理装置に設けられており、
   さらに、
   複数の前記信号照合部における判定の結果（Ｒ１、Ｒ２）を入手する結果通信部（２６、３６、４６、１５５、１５６、３５５、３５６）と、
   複数の前記結果を照合し、前記結果が同一か否かを判定する結果照合部（２７、３７、４７、１５７、１５８、３５７、３５８）とを備えることを特徴とする請求項１から請求項５のいずれかに記載の車両用制御装置。
7. 前記信号通信部と前記信号照合部とは、３つの前記処理装置（１１、１２、３１３）に設けられており、
   さらに、
   複数の前記信号照合部における判定の結果（Ｒ１−Ｒ３）を入手する結果通信部（４６、３５５、３５６）と、
   複数の前記結果の多数決により異常な前記処理装置を特定する多数決処理部（４０、３８１、３８２）とを備えることを特徴とする請求項５に記載の車両用制御装置。

Images