JP2014211688A

JP2014211688A - 安全制御装置、安全制御方法、及び制御プログラム

Info

Publication number: JP2014211688A
Application number: JP2013086494A
Authority: JP
Inventors: 平　哲也; Tetsuya Taira; 哲也平; 浩司尾藤; Koji Bito
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2013-04-17
Filing date: 2013-04-17
Publication date: 2014-11-13
Anticipated expiration: 2033-04-17
Also published as: EP2793129A2; US20140313622A1; EP2793129A3; JP5772865B2

Abstract

【課題】制御部が異常となったときでも制御対象の安全性を確保すること。
【解決手段】安全制御装置は、制御対象を制御する制御手段と、制御手段を監視し、制御手段が異常であると判定したときに異常信号を出力する制御監視手段と、制御監視手段から出力された異常信号を所定時間遅延させた遅延信号を生成し出力する遅延手段と、遅延手段から出力される遅延信号に応じて、制御対象を停止させる停止手段と、を備えている。制御監視手段は、制御手段が異常であると判定したときに、パルス状の異常信号を遅延手段に出力し、遅延手段は、異常信号のパルスの間隔を広げた遅延信号を出力するのが好ましい。
【選択図】図１

Description

本発明は、制御部の異常を監視する安全制御装置、安全制御方法、及び制御プログラムに関するものである。

制御対象を制御するＣＰＵなどの制御部を監視し、制御部が異常であると判定したときに、制御部に対してリセット信号を出力する監視部と、を備える安全制御装置が知られている（例えば、特許文献１参照）。

特開２０００−５１４２２１号公報

ところで、例えば、制御部に異常が発生し制御部自体が制御不能状態となった場合、制御部が監視部からのリセット信号を受け付けない虞がある。この場合、制御部は制御対象に対して正常に制御信号を出力できないことになり、制御対象が制御不能に陥る虞がある。

本発明は、このような問題点を解決するためになされたものであり、制御部が異常となったときでも制御対象の安全性を確保できる安全制御装置、安全制御方法、及び制御プログラムを提供することを主たる目的とする。

上記目的を達成するための本発明の一態様は、制御対象を制御する制御手段と、前記制御手段を監視し、該制御手段が異常であると判定したときに異常信号を出力する制御監視手段と、を備える安全制御装置であって、前記制御監視手段から出力された異常信号を所定時間遅延させた遅延信号を生成し出力する遅延手段と、前記遅延手段から出力される遅延信号に応じて、前記制御対象を停止させる停止手段と、を備える、ことを特徴とする安全制御装置である。
この一態様において、前記制御監視手段は、前記制御手段が異常であると判定したときに、パルス状の前記異常信号を前記遅延手段に出力し、前記遅延手段は、前記異常信号のパルスの間隔を広げた前記遅延信号を出力してもよい。
この一態様において、前記遅延手段は、前記監視手段から出力される前記パルス状の異常信号のローレベルからハイレベルへの立上りエッジを遅らせ、前記ローレベルの時間を延長した前記遅延信号を出力してもよい。
この一態様において、前記制御手段を駆動する駆動手段を更に備え、前記停止手段は、前記遅延手段から出力される前記遅延信号のハイレベルでオフ状態となり、前記制御手段から前記駆動手段に対する制御信号の供給を遮断することで、前記制御対象を停止させてもよい。
この一態様において、前記遅延手段は、前記ローレベルの時間を略２倍に延長した前記遅延信号を出力してもよい。
この一態様において、前記遅延手段が正常に機能するか否かを診断する診断手段を更に備えていてもよい。
この一態様において、前記制御対象は、倒立状態を維持して走行する倒立二輪車の車輪を駆動するモータであってもよい。
上記目的を達成するための本発明の一態様は、制御対象を制御する制御手段を監視し、該制御手段が異常であると判定したときに異常信号を生成するステップと、前記生成された異常信号を所定時間遅延した遅延信号を生成するステップと、前記生成される遅延信号に応じて、前記制御対象を停止させるステップと、を含む、ことを特徴とする安全制御方法であってもよい。
上記目的を達成するための本発明の一態様は、制御対象を制御する制御手段を監視し、該制御手段が異常であると判定したときに異常信号を生成する処理と、前記生成された異常信号を所定時間遅延した遅延信号を生成する処理と、前記生成される遅延信号に応じて、前記制御対象を停止させる処理と、をコンピュータに実行させる、ことを特徴とする制御プログラムであってもよい。

本発明によれば、制御部が異常となったときでも制御対象の安全性を確保できる安全制御装置、安全制御方法、及び制御プログラムを提供することができる。

本発明の実施の形態１に係る安全制御装置の概略的なシステム構成を示すブロック図である。パワー素子の回路構成の一例を示す回路図である。ＣＰＵ正常時におけるＷＤ監視回路の動作を示す図である。ＣＰＵ異常時におけるＷＤ監視回路の動作を示す図である。遅延回路により生成される遅延信号を説明するための図である。本発明の実施の形態１に係る安全制御装置による制御方法のフローを示すフローチャートである。本発明の実施の形態２に係る安全制御装置の概略的なシステム構成を示すブロック図である。

実施の形態１．
以下、図面を参照して本発明の実施の形態について説明する。図１は、本発明の実施の形態１に係る安全制御装置の概略的なシステム構成を示すブロック図である。

本実施の形態１に係る安全制御装置１は、モータ２と、モータ２を駆動するパワー素子３と、モータ２を制御するＣＰＵ４と、ＣＰＵ４を監視するＷＤ監視回路５と、ＷＤ監視回路５からの信号を遅延させる遅延回路６と、ＣＰＵ４からパワー素子３に対する制御信号を遮断するパワー素子遮断回路７と、を備えている。

なお、安全制御装置１は、例えば、演算処理、制御処理等と行うＣＰＵ（Central Processing Unit）４、ＣＰＵ４によって実行される演算プログラム、制御プログラム等が記憶されたＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）、などからなるメモリ、などを含むマイクロコンピュータを中心にして、ハードウェア構成されている。ＣＰＵ４、及びメモリは、データバスなどを介して相互に接続されている。

モータ２は、制御対象の一具体例であり、例えば、倒立状態を維持して走行する倒立型移動体（倒立二輪車など）に設けられ、倒立型移動体の車輪などを駆動する、あるいは、ロボットの各関節部に設けられ、各関節部を回転駆動する。

パワー素子３は、駆動手段の一具体例であり、ＣＰＵ４から出力されるモータ制御信号に応じて、バッテリーなどの電源８から供給される電力を用いて、モータ３を駆動する駆動電流を生成する。パワー素子３は、生成した駆動電流をモータ２に出力する。モータ２は、パワー素子３から出力される駆動電流により回転駆動する。

図２は、パワー素子の回路構成の一例を示す回路図である。パワー素子３は、例えば、プリドライバ回路３１と、Ｈブリッジ回路３２と、を有している。プリドライバ回路３１は、ＣＰＵ４から出力される制御信号（例えば、モータ２を制御する高速なパルス状のＰＷＭ（Pulse Width Modulation）信号）に基づいて、Ｈブリッジ回路３２を駆動する駆動信号を生成し、Ｈブリッジ回路３２に出力する。Ｈブリッジ回路３２は、プリドライバ回路３１から出力される駆動信号に応じて、高電圧の駆動電流をモータ２に出力する。

ＣＰＵ４は、制御手段の一具体例であり、パワー素子遮断回路７及びパワー素子３を介してモータ２に接続されている。ＣＰＵ４は、モータ２を制御するためのモータ制御信号を生成し出力することで、モータ２を制御する。

ＣＰＵ４は、例えば、自己故障診断を実行するために、ＷＤ監視回路５に対してパルス状のＷＤ信号を、Ｉ／Ｏポート４１を介して周期的に出力する。

ＷＤ（Watch Dog）監視回路５は、制御監視手段の一具体例であり、ＣＰＵ４の異常を監視する。ＷＤ監視回路５は、ＣＰＵ４から出力されるパルス状のＷＤ信号を監視し、そのＷＤ信号の状態に基づいてＣＰＵ４が異常があるか否かを判定する。ＷＤ監視回路５は、ＣＰＵ４から出力されるパルス状のＷＤ信号の状態が適正でない場合（例えば、ＷＤ信号がハイレベルあるいはローレベルに固定される場合、ハイレベル及びローレベルの切替タイミングが不規則の場合など）、ＣＰＵ４が故障していると判断する。

ＷＤ監視回路５は、ＣＰＵ４から周期的に出力されるＷＤ信号に基づいて、ＣＰＵ４が正常であると判定している間、例えば、ハイレベルに固定した信号をＣＰＵ４及び遅延回路６に対して出力する（図３）。

一方、ＷＤ監視回路５は、ＣＰＵ４から周期的に出力されるＷＤ信号に基づいて、ＣＰＵ４が異常であると判定すると、所定周期でハイレベルとローレベルとを繰り返すパルス状のリセット信号（異常信号の一具体例）をＣＰＵ４及び遅延回路６に対して出力する（図４）。なお、ＷＤ監視回路５は、一定周期（ｔ）でパルス状のリセット信号を生成しＣＰＵ４及び遅延回路６に対して出力する。ＣＰＵ４は、このパルス状のリセット信号を受信すると、強制的にリセット状態になる。通常、ＣＰＵ４はリセット状態になると、パワー素子３に対してモータ制御信号の出力を停止する。これにより、モータは停止する。

ところで、例えば、ＣＰＵに異常が発生しその制御不能状態（暴走状態）となった場合、ＣＰＵがＷＤ監視部からのリセット信号を受け付けない虞がある。この場合、ＣＰＵはモータに対して正常にモータ制御信号を出力できないことになり、モータが制御不能に陥る虞がある。

一方、本実施の形態１に係る安全制御装置１において、ＷＤ監視回路５は、上述の如く、リセット信号をＣＰＵ４だけでなく、遅延回路６に対しても出力している。これにより、ＣＰＵ４とは別に、遅延回路６及びパワー素子遮断回路７は、ＷＤ監視回路５からのリセット信号に応じて、ＣＰＵ４からパワー素子３へのモータ制御信号を遮断しモータ２を確実に停止させる。したがって、ＣＰＵ４が異常となったときでもモータ２の安全性を確保できる。

遅延回路６は、遅延手段の一具体例であり、ＷＤ監視回路５から出力されるリセット信号のパルスの間隔を広げた遅延信号を生成する。例えば、遅延回路６は、ＷＤ監視回路５から出力されるリセット信号のローレベルからハイレベルに切り替わる立上りエッジＴ１をＴ２に遅らせパルスの間隔を広げた遅延信号を生成し出力する（図５）。換言すると、遅延回路６は、ＷＤ監視回路５から入力されるリセット信号のローレベルからハイレベルへの立上りエッジを遅らせ、そのローレベルの時間を延長した遅延信号を生成し出力する。遅延回路６は、リセット信号のローレベルの時間を例えば、通常の略２倍程度長くした遅延信号を生成する。

なお、遅延回路６は、上記ローレベルの時間を延長している間に、次のパルス入力（ハイレベルからローレベルへの立下りエッジ）を受信すると、そのローレベルの時間をさらに延長する。遅延回路６は、生成した遅延信号をパワー素子遮断回路７に対して出力する。

パワー素子遮断回路７は、停止手段の一具体例であり、ＣＰＵ４とパワー素子３との間に設けられている。パワー素子遮断回路７は、ＣＰＵ４の異常時に、ＣＰＵ４からパワー素子３に出力されるモータ制御信号を遮断する機能を有している。パワー素子遮断回路７は、例えば、複数のスイッチからなるリレー回路により構成されている。

パワー素子遮断回路７は、遅延回路６から出力される遅延信号のハイレベルでオフ状態となる。パワー素子遮断回路７は、オフ状態になるとＣＰＵ４からパワー素子３に対するモータ制御信号の供給を遮断する。これにより、パワー素子３はモータ２への駆動電流の供給を停止するため、モータ２は、その回転駆動を確実に停止する。

一方、パワー素子遮断回路７は、遅延回路６から出力される遅延信号のローレベルでオン状態となる。この場合、ＣＰＵ４からパワー素子３にモータ制御信号が供給される。したがって、パワー素子３は、モータ２に対して駆動電流の出力し、モータ２は回転駆動する。なお、パワー素子遮断回路７は、ＣＰＵ４からパワー素子３へのモータ制御信号を遮断することで、モータ２を駆動停止させているが、これに限らず、例えば、電源８からパワー素子３に対する電力供給を遮断することで、モータ２を駆動停止させてもよい。さらには、パワー素子遮断回路７は、ＣＰＵ４からパワー素子３に対するモータ制御信号を遮断し、同時に、電源８からパワー素子３に対する電力供給を遮断してもよい。

ここで、従来のように、ＷＤ監視回路から出力されるパルス状のリセット信号を用いて、パワー素子遮断回路を駆動した場合、そのパルス間隔が短いために、次のような問題が生じ得る。例えば、リセット信号のローレベルの間隔が短いために、直ぐにパワー素子遮断回路がオフ状態となり、突然にモータが駆動停止するという問題が生じ得る。この場合、例えば、倒立移動体のモータが突然停止した場合に転倒に繋がる虞がある。さらに、従来、リセット信号のローレベルから直ぐにハイレベルに切り替わるため、ＣＰＵが制御不能状態になっているにもかかわらず、パワー遮断回路がオン状態となり、モータが動作してしまうという問題が生じ得る。

これに対し、本実施の形態１に係る安全制御装置１において、上述の如く、遅延回路６は、ＷＤ監視回路５から出力されるリセット信号のローレベルからハイレベルに切り替わる立上りエッジを遅らせパルスの間隔を広げた遅延信号を生成する。これにより、リセット信号のローレベルの間隔を長くでき、パワー素子遮断回路７がオフ状態になる時間を適度に遅らせることができる。したがって、ＣＰＵ４の異常時にモータ２を突然に停止させることなく、適度に遅れてより自然なフィーリングで停止させることができる。さらに、本実施の形態１に係る安全制御装置１において、リセット信号のローレベルからハイレベルに十分な間隔を置いて切り替わる。このため、ＣＰＵ４が制御不能状態にもかかわらず、パワー遮断回路がオン状態となりモータ２が動作開始することを防止できる。

図６は、本実施の形態１に係る安全制御装置による制御方法のフローを示すフローチャートである。

ＷＤ監視回路５は、ＣＰＵ４から周期的に出力されるＷＤ信号に基づいて、ＣＰＵ４が異常であると判定すると（ステップＳ１０１のＹＥＳ）、所定周期でハイレベルとローレベルとを繰り返すパルス状のリセット信号をＣＰＵ４及び遅延回路６に対して出力する（ステップＳ１０２）。

遅延回路６は、ＷＤ監視回路５から入力されるリセット信号のローレベルからハイレベルに切り替わる立上りエッジを遅らせパルスの間隔を広げた遅延信号を生成し（ステップＳ１０３）、パワー素子遮断回路７に出力する。

パワー素子遮断回路７は、遅延回路６から出力される遅延信号のハイレベルでオフ状態となり、ＣＰＵ４からパワー素子３に対するモータ制御信号の供給を遮断する（ステップＳ１０４）。パワー素子３はモータ２への駆動電流の供給を停止し（ステップＳ１０５）、モータ２は回転駆動を停止する（ステップＳ１０６）。

以上、本実施の形態１に係る安全制御装置１において、ＷＤ監視回路５はＣＰＵ４が異常であると判断したとき、リセット信号をＣＰＵ４及び遅延回路６に対して出力している。これにより、遅延回路６及びパワー素子遮断回路７は、ＷＤ監視回路５からのリセット信号に応じて、ＣＰＵ４からパワー素子３へのモータ制御信号を遮断しモータ２を確実に停止させる。したがって、ＣＰＵ４が異常となったときでもモータ２の安全性を確保できる。

また、ＣＰＵ４の異常時に、遅延回路６は、ＷＤ監視回路５から入力されるリセット信号のローレベルからハイレベルへの立上りエッジを遅らせ、そのローレベルの時間を延長した遅延信号を生成する。これにより、リセット信号のローレベルの間隔が長くでき、パワー素子遮断回路７がオフ状態になる時間を適度に遅らせることができる。したがって、ＣＰＵ４の異常時にモータ２を突然に停止させることなく、適度に遅れてより自然なフィーリングで停止させることができる。
なお、倒立型移動体など不安定な制御対象を制御する場合に、ＣＰＵ４が制御不能となるとその動作が予測できず、特にその安全性が懸念される。したがって、本実施の形態１のように、ＣＰＵ４が異常となったときにモータ２を確実に停止させ、安全性を確保することがより重要となる。

実施の形態２．
本発明の実施の形態２に係る安全制御装置１０は、上記実施の形態１に係る安全制御装置１の構成に加えて、遅延回路６を診断するモニタ回路１１を更に備える点を特徴とする。図７は、本実施の形態２に係る安全制御装置の概略的なシステム構成を示すブロック図である。

モニタ回路１１は、診断手段の一具体例であり、ＣＰＵ４と遅延回路６との間に設けられている。モニタ回路１１は、安全制御装置１０を起動させたときに、遅延回路６から出力される信号に基づいて、遅延回路６が正常に機能しているか否かを診断する。例えば、安全制御装置１０が起動すると、ＷＤ監視回路５は遅延回路６にリセット信号を出力する。遅延回路６は、ＷＤ監視回路５から出力されるリセット信号のローレベルからハイレベルに切り替わる立上りエッジを遅らせパルスの間隔を広げた遅延信号を生成し、モニタ回路１１に出力する。
モニタ回路１１は、遅延回路６から出力された遅延信号のパルスが適正に遅延されているか否かを診断する。モニタ回路１１は、例えば、上記診断の結果、遅延回路６が異常であると判断すると、その異常診断結果を、表示装置１２などを用いてユーザに報知してもよい。

なお、本実施の形態２において、他の構成は上記実施の形態１と同一であるため、同一部分に同一符号を付して詳細な説明は省略する。

以上、本実施の形態２に係る安全制御装置１０によれば、遅延回路６が正常に機能するか否かを診断し、遅延回路１１の異常などを未然に防止することができる。したがって、ＣＰＵ４が異常となったときでもモータ２の安全性をより確実に維持できる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

また、本発明は、例えば、図６に示す処理を、ＣＰＵにコンピュータプログラムを実行させることにより実現することも可能である。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。

また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

１、１０安全制御装置
２モータ
３パワー素子
４ＣＰＵ
５ＷＤ監視回路
６遅延回路
７パワー素子遮断回路

Claims

制御対象を制御する制御手段と、
前記制御手段を監視し、該制御手段が異常であると判定したときに異常信号を出力する制御監視手段と、を備える安全制御装置であって、
前記制御監視手段から出力された異常信号を所定時間遅延させた遅延信号を生成し出力する遅延手段と、
前記遅延手段から出力される遅延信号に応じて、前記制御対象を停止させる停止手段と、を備える、ことを特徴とする安全制御装置。
請求項１記載の安全制御装置であって、
前記制御監視手段は、前記制御手段が異常であると判定したときに、パルス状の前記異常信号を前記遅延手段に出力し、
前記遅延手段は、前記異常信号のパルスの間隔を広げた前記遅延信号を出力する、ことを特徴とする安全制御装置。
請求項２記載の安全制御装置であって、
前記遅延手段は、前記監視手段から出力される前記パルス状の異常信号のローレベルからハイレベルへの立上りエッジを遅らせ、前記ローレベルの時間を延長した前記遅延信号を出力する、ことを特徴とする安全制御装置。
請求項３記載の安全制御装置であって、
前記制御手段を駆動する駆動手段を更に備え、
前記停止手段は、前記遅延手段から出力される前記遅延信号のハイレベルでオフ状態となり、前記制御手段から前記駆動手段に対する制御信号の供給を遮断することで、前記制御対象を停止させる、ことを特徴とする安全制御装置。
請求項３又は４記載の安全制御装置であって、
前記遅延手段は、前記ローレベルの時間を略２倍に延長した前記遅延信号を出力する、ことを特徴とする安全制御装置。
請求項１乃至５のうちいずれか１項記載の安全制御装置であって、
前記遅延手段が正常に機能するか否かを診断する診断手段を更に備える、ことを特徴とする安全制御装置。
請求項１乃至６のうちいずれか１項記載の安全制御装置であって、
前記制御対象は、倒立状態を維持して走行する倒立二輪車の車輪を駆動するモータである、ことを特徴とする安全制御装置。
制御対象を制御する制御手段を監視し、該制御手段が異常であると判定したときに異常信号を生成するステップと、
前記生成された異常信号を所定時間遅延した遅延信号を生成するステップと、
前記生成される遅延信号に応じて、前記制御対象を停止させるステップと、
を含む、ことを特徴とする安全制御方法。
制御対象を制御する制御手段を監視し、該制御手段が異常であると判定したときに異常信号を生成する処理と、
前記生成された異常信号を所定時間遅延した遅延信号を生成する処理と、
前記生成される遅延信号に応じて、前記制御対象を停止させる処理と、
をコンピュータに実行させる、ことを特徴とする制御プログラム。