JP2015182622A - 転舵制御装置 - Google Patents

Abstract

【課題】 二重化されたマイクロプロセッサの相互監視、外部監視機能の異常を監視する機能において、マイクロプロセッサの単独異常、及び外部監視部とマイクロプロセッサの重複異常を確実に、かつ少ない部品構成で検出する。【解決手段】 転舵用のモータの駆動量を出力する主マイクロプロセッサ１６と、その異常の監視のために前記駆動量を演算する副マイクロプロセッサ１８とで二重化し、かつ相互監視部２７，２８を有する転舵制御装置１５に適用する。主副のマイクロプロセッサ１６，１８の異常をそれぞれを監視する主外部監視部１７および副外部監視部１９を備える。これら主副の外部監視部１７，１９は、いずれも、異常を検出すると前記主副の両マイクロプロセッサ１６，１８に信号を送信する。【選択図】 図３

Description

この発明は、自動車の後輪転舵装置または主転舵装置を制御する転舵制御装置に関し、その制御に使用されるマイクロプロセッサと、このマイクロプロセッサを外部から監視する外部監視回路の故障診断の技術に関する。

従来から、車両の安定走行性能を図る目的で、前輪転舵に加え、後輪を転舵させる後輪転舵装置が知られている。後輪転舵装置の制御装置は、車両の状態を監視するための各種センサ群の出力から的確な転舵角の目標値を決定し、転舵アクチュエータを駆動している。このように車両に搭載されるアクチュエータの駆動源は、多くはモータが使用されている。この制御装置は、マイクロプロセッサを搭載し、制御プログラムを実行している。
特に車両の走行性能を左右するアクチュエータを制御する電子制御装置は、後輪転舵装置に限らず、万一機能失陥した際に、走行性能が維持できないことによる重大事故を起こしかねないため、アクチュエータの制御を実施する主マイクロプロセッサと、主マイクロプロセッサを常時監視する副マイクロプロセッサによる二重化回路を構成するのが一般的である。

この二重化されたマイクロプロセッサを用いた制御回路は、マイクロプロセッサの相互監視機能によるプログラムの異常動作のほか、各々のマイクロプロセッサ自体の故障を検出する監視機能が装備される。この監視機能としては、いわゆるウォッチドッグタイマが知られている。ウォッチドッグタイマは、マイクロプロセッサから定周期で送信されるパルスを読み取ることで、マイクロプロセッサを監視し、このパルスが所定の時間以上送信されなかった場合、マイクロプロセッサに対してリセット信号を送信する機能を有する。

ところで、このマイクロプロセッサを監視する監視機能が異常な状態においては、リセットがかけられないために、異常から復旧できないという問題が発生する。監視機能の異常な状態は潜在的な故障であり、マイクロプロセッサとの重複故障によって、重大な事故につながる可能性がある。従って、監視機能の異常な状態を監視することも重要である。

特許文献１では、電動パワーステアリング装置の制御装置において、操舵補助を担うCPU が正常である限り操舵補助の継続を可能とするために、メインCPU とサブCPU で構成され、サブCPUの状態を監視している電源監視IC（いわゆるウォッチドッグタイマ）からのリセット信号に応じて、アシストの延命や禁止処理を実行する装置が提案されている。

特許文献２では、マイクロプロセッサのウォッチドッグタイマを複数持ち、マイクロプロセッサの外部監視機能を停止することなく、マイクロセッサの動作中にウォッチドッグタイマの診断を行うことで、外部監視機能の喪失を防止している。

特開２００９―０６２００９号公報 特開２０１３―１８２４７７号公報

特許文献１の開示技術では、電源監視ICからのリセット信号によって、安全状態へ遷移することができるが、この電源監視ICが失陥した際の対策がなされていない。よって、万一ＣＰＵと電源監視ＩＣが共に故障した場合、安全状態への遷移が不可能になる。
特許文献２の開示技術では、ウォッチドッグタイマの潜在故障を常時監視することができ、この点で望ましい。しかし一方で、ウォッチドッグタイマを一つのＣＰＵに対し複数設置する必要がある点、さらに外部監視機能の切り替え手段が不可欠な点より、経済的に不利という点がある。また、万一外部監視切り換え手段に故障が発生した場合は、ウォッチドッグタイマの診断と、その切替え自体が実施できない、という問題がある。

この発明は、上記課題を解消するものであり、二重化されたマイクロプロセッサの相互監視、及びマイクロプロセッサの外部監視機能の異常を監視する機能において、マイクロプロセッサの異常診断と、マイクロプロセッサが異常な状態にある際における外部監視部の異常診断とを実施し、マイクロプロセッサの単独異常、及び外部監視部とマイクロプロセッサの重複異常を確実に、かつ少ない部品構成で検出することを目的とする。

この発明の転舵制御装置は、自動車の車輪の転舵角をモータ３１で変更する転舵装置１２を制御する転舵制御装置であって、与えられた目標転舵角に従って前記モータ３１を制御する駆動量の指令を演算し出力する主マイクロプロセッサ１６と、前記主マイクロプロセッサ１６の異常を監視するために前記目標転舵角に従って前記モータ３１を制御する駆動量を演算する副マイクロプロセッサ１８とを備え、前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８とに、相互の異常状態を監視する相互監視部２５，２６を有する転舵制御装置１５において、
前記主マイクロプロセッサ１６の異常な状態を監視する主外部監視部１７と、前記副マイクロプロセッサ１８の異常な状態を監視する副外部監視部１９を備え、これら主外部監視部１７および副外部監視部１９は、いずれも、異常を検出すると前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８との両方に信号を送信することを特徴とする。

この構成によると、前記主マイクロプロセッサ１６の異常な状態を監視する主外部監視部１７と、前記副マイクロプロセッサ１８の異常な状態を監視する副外部監視部１９を備え、これら主外部監視部１７および副外部監視部１９は、いずれも、異常を検出すると前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８との両方に信号を送信する。
そのため、二重化された主マイクロプロセッサ１６、及び副マイクロプロセッサ１８のいずれかの異常発生時に、異常発生したマイクロプロセッサ１６，１８の状態を監視する異常監視機能の潜在的な故障を検出することが可能である。また、少ない部品構成で、二重化されたマイクロプロセッサ１６，１８とその外部監視機能の異常を相互で診断することができる。
また、主マイクロプロセッサ１６の異常が発生した際、主マイクロプロセッサ１６から出力されるモータ３１の制御信号を無効化させ、副マイクロプロセッサ１８から出力される副制御信号に切替えて、安全な状態に至るまでの当面の制御を継続させることが可能となる。

この発明において、前記主マイクロプロセッサ１６は、前記副マイクロプロセッサ１８の前記副外部監視部１９の異常を検出するために、前記副外部監視部１９から出力されるリセット信号が接続され、同様に、前記副マイクロプロセッサ１８は、前記主外部監視部１９の異常を検出するために、前記主外部監視部１７から出力されるリセット信号が接続され、前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８のうち一方の異常検出と、前記主外部監視部１７と、前記副外部監視部１９のうち一方の異常検出を行う異常検出処理手段６１を有するようにしても良い。

この発明において、前記主外部監視部１７と、前記副外部監視部１９が、前記各リセット信号の出力によって前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８をリセットする機能をそれぞれ備え、
前記少なくとも主副の二つのマイクロプロセッサ１６，１８の相互の異常状態を監視するための前記相互監視部２５，２６の通信による監視周期を、前記主外部監視部１７、及び前記副外部監視部１９による監視周期より短く設定し、前記異常検出処理手段６１は、前記主外部監視部１７、及び前記副外部監視部１９が前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８の異常を検出しリセット動作を実施する前に、前記監視周期によって、前記各マイクロプロセッサ１６，１８の異常を検出するようにしても良い。
これにより、監視周期を適切に設定するという簡単な構成で、各マイクロプロセッサ１６，１８の異常を検出することができる。

この発明において、前記主外部監視部１７と、前記副外部監視部１９から出力される前記リセット信号を前記主副相互のマイクロプロセッサ１６，１８で監視し、前記異常検出処理手段６１は、前記少なくとも二つのマイクロプロセッサ１６，１８の相互の異常状態を監視するための前記相互監視部２５，２６間の通信による監視周期毎に、前記リセット信号が所定時間内に監視対象のマイクロプロセッサ１６，１８の挙動に応じた状態遷移を実施したか否かを他方のマイクロプロセッサ１６，１８で監視することで、前記各外部監視部１７、１９の異常を検出するようにしても良い。
これにより、リセット信号による状態遷移を監視するという簡単な構成で、各外部監視部１７、１９の異常を検出することができる。

この発明において、前記主マイクロプロセッサ１６には前記モータ３１を制御するための主制御出力部２９を備え、前記副マイクロプロセッサ１８には、前記主制御出力２９と同等の制御信号を出力する副制御出力部３０を備え、前記主マイクロプロセッサ１６と前記主外部監視部１７の少なくとも一方が失陥した場合に、副制御出力によって前記モータ３１の制御の続行を可能としても良い。
これにより、制御をつかさどる主マイクロプロセッサ１６、または外部監視機能が異常な状態にあるとき、当面の異常な挙動を回避するために、副マイクロプロセッサ１８によって制御を継続することができる。すなわち、フォールトトレランス機能が得られる。

前記のように副制御出力部３０を備える場合に、前記主マイクロプロセッサ１６と前記主外部監視部１７の少なくとも一方が失陥した場合に、前記副制御出力によって前記モータ３１の制御を続行するために制御出力を切替える出力選択手段６６を有するようにしても良い。

前記のように副制御出力部３０を備える場合に、前記主マイクロプロセッサ１６と前記主外部監視部１７の少なくとも一方が失陥した場合に、前記副マイクロプロセッサ１８が前記モータ３１を制御するための主制御出力を無効化させる出力無効化手段６７を有するようにしても良い。

この発明において、制御対象となる転舵装置１２は、ハンドル４の操作に従って前輪２，３の転舵を行わせる前輪転舵装置５と併用される後輪転舵装置であっても良い。また、制御対象となる転舵装置１２は、前記前輪転舵装置５であっても良い。制御対象が後輪転舵装置である場合に、この発明の各効果がより効果的に発揮される。

この発明の転舵制御装置は、自動車の車輪の転舵角をモータで変更する転舵装置を制御する転舵制御装置であって、与えられた目標転舵角に従って前記モータを制御する駆動量の指令を演算し出力する主マイクロプロセッサと、前記主マイクロプロセッサの異常を監視するために前記目標転舵角に従って前記モータを制御する駆動量を演算する副マイクロプロセッサとを備え、前記主マイクロプロセッサと前記副マイクロプロセッサとに、相互の異常状態を監視する相互監視部を有する転舵制御装置において、前記主マイクロプロセッサの異常な状態を監視する主外部監視部と、前記副マイクロプロセッサの異常な状態を監視する副外部監視部を備え、これら主外部監視部および副外部監視部は、いずれも、異常を検出すると前記主マイクロプロセッサと前記副マイクロプロセッサとの両方に信号を送信するため、二重化されたマイクロプロセッサの異常診断と、マイクロプロセッサが異常な状態にある際における外部監視部の異常診断とを実施し、マイクロプロセッサの単独異常、及び外部監視部とマイクロプロセッサの重複異常を確実に、かつ少ない部品構成で検出することができる。

この発明の第１の実施形態に係る転舵制御装置を適用する後輪転舵装置を搭載した自動車の概略説明図である。 この発明の第１の実施形態に係る転舵制御装置の概念構成を示すブロック図である。 同ブロック図の主要部の詳細を示すブロック図である。 同転舵制御装置の主マイクロプロセッサが異常で、かつ主外部監視機能によって正常にリセットされた場合の動作を示すタイムチャートである。 同転舵制御装置の主マイクロプロセッサ異常で、かつ第一外部監視部に異常が発生した場合の動作を示すタイムチャートである。 同転舵制御装置の主マイクロプロセッサ異常で、かつ第一外部監視部に異常が発生した場合の他の動作例示すタイムチャートである。 同転舵制御装置の主マイクロプロセッサ正常な状態で第一外部監視部に異常が発生した場合の動作を示すタイムチャートである。 この発明の他の実施形態に係る転舵制御装置の概念構成を示すブロック図である。

この発明の第１の実施形態を図１ないし図７と共に説明する。図１に、後輪転舵装置を搭載した自動車の概略構成図を示す。
自動車１の前輪２，３は、ステアリングホイール４の操舵角をラックアンドピニオンからなる主転舵装置である前輪転舵装置５に伝達することで左右に転舵される。ステアリングホイール４の操舵軸に設けた舵角センサ６、車速センサ７、ヨーレートセンサ８の出力は、自動車１の全体の協調制御，統括制御等の制御を行うメインの電子制御ユニット９に入力される。この電子制御ユニット９は、ＥＣＵまたはＶＣＵと称される制御手段である。

後輪１０、１１は、後輪転舵装置１２と連結されたタイロッド１３、１４を介して転舵される。後輪１０、１１の転舵角は、舵角センサ６、車速センサ７、ヨーレートセンサ８など、自動車１の走行情報が入力される電子制御ユニット９で決定された目標転舵角を、後輪転舵制御装置１５が受信して、制御される。この後輪転舵制御装置１５に、この実施形態の転舵制御装置が適用される。

後輪転舵装置１２は、前輪転舵角に対して後輪を同位相、逆位相に転舵する駆動手段を配置する。たとえばこの駆動手段は滑りねじまたはボールねじ等の送りねじ機構（図示せず）を有し、この送りねじ機構のねじ軸に螺合するナットを、減速機（図示せず）を介してモータ３１で回転させる。

図２に後輪転舵制御装置１５の構成図を示す。後輪転舵制御装置１５は、主マイクロプロセッサ１６、この主マイクロプロセッサ１６を監視する主外部監視部１７、副マイクロプロセッサ１８、この副マイクロプロセッサ１８を監視する副外部監視部１９、入力インターフェース部２０、出力インターフェース部２１、及びモータドライブ回路部２２で構成される。

電子制御ユニット９で決定された後輪転舵角の目標値は、入力インターフェース部２０を介して主マイクロプロセッサ１６と副マイクロプロセッサ１８に送信される。
主マイクロプロセッサ１６と副マイクロプロセッサ１８は、制御目標値である目標転舵角を受け、モータ３１の駆動量（この実施例の場合、目標転舵角だけ転舵させるモータ回転角度）を演算する駆動量演算部２３、２４と、演算された駆動量を基に互いのマイクロプロセッサ１６，１８の異常を診断するための相互監視部２５、２６を備えている。相互監視部２５、２６は、駆動量演算部２３、２４で演算された駆動量を比較するための比較部２７、２８を備えている。

主マイクロプロセッサ１６及び副マイクロプロセッサ１８は、この他に、主異常検出処理手段６２及び副異常検出処理手段６３を備え、これら主異常検出処理手段６２及び副異常検出処理手段６３により、請求項で言う異常検出処理手段６１が構成されている。主異常検出処理手段６２及び副異常検出処理手段６３は、それぞれ、主マイクロプロセッサ１６及び副マイクロプロセッサ１８において、相互監視部２５、２６以外の、主マイクロプロセッサ１６及び副マイクロプロセッサ１８で行う異常検出のための各処理、および異常検出の結果による対応処理を行う手段を纏めて示した手段である。以下の説明において、各マイクロプロセッサ１６、１８が行う異常検出の処理、及び異常検出の結果による対応処理のうち、どの手段が行うかを記載していない処理は、異常検出処理手段６１が行う。
異常検出処理手段６１は、前記主マイクロプロセッサ１６と前記副マイクロプロセッサ１８のうち一方の異常検出と、前記主外部監視部１７と、前記副外部監視部１９のうち一方の異常検出を行うが、詳しくは、タイムチャート等と共に後に説明する機能を備える。

主マイクロプロセッサ１６は、主制御出力部２９を備え、駆動量演算部２３で演算された駆動力を、モータ３１の制御を実行するための主制御出力として出力インターフェース部２１へ送信する。
副マイクロプロセッサ１８は、主に、主マイクロプロセッサ１６の異常を監視すると同時に、副制御出力部３０を備え、モータ３１の制御を実行するための主制御出力と同等の副制御出力を出力インターフェース部２１へ送信する。前記副制御出力は、前記駆動量演算部２４で演算された駆動量である。

モータ３１は、位置検出器３２、回転角検出器３３からのフィードバック信号を基に、回転制御、位置制御等によって、制御される。

図３に、主マイクロプロセッサ１６、主外部監視部１７、副マイクロプロセッサ１８、および副外部監視部１９に関する詳細図を示す。
主外部監視部１７，副外部監視部１９は、いわゆるウォッチドッグタイマあり、それぞれマイクロプロセッサ１６，１８から定周期で送信されるパルス信号(WDCLR1,WDCLR2) を読み取ることで、それらマイクロプロセッサ１６，１８を監視し、このパルスが所定の時間以上送信されなかった場合、マイクロプロセッサ１６，１８に対してリセット信号(RESET1,RESET2) を送信する。

主外部監視部１７のリセット信号（RESET1）は、主マイクロプロセッサ１６のリセット端子と、副マイクロプロセッサ１８の割り込み入力（INT2）に接続される。これと同様に、副外部監視部１９のリセット信号（RESET2）は、副マイクロプロセッサ１８のリセット端子と、主マイクロプロセッサ１６の割り込み入力（INT1）に接続される。

副マイクロプロセッサ１８は、副制御出力のほか、主マイクロプロセッサ１６の出力を確実に無効化するための出力無効化信号、及び主制御出力と副制御出力を選択する出力選択信号を出力し、出力切替部３４へ送信する。これら出力無効化信号及び出力選択信号は、副異常検出処理手段６３に設けられた出力無効化指令部６４及び出力選択指令部６５が出力する。出力切替部３４のうちの切替部３４ａと前記出力選択指令部６５とで、出力選択手段６６が構成される。主制御出力と副制御出力は、それぞれのマイクロプロセッサ１６，１８の異常により、出力がハイインピーダンスになった際には、プルダウン抵抗Ｒが接続されていることで、Ｌｏに保持される。

以上の構成において、主マイクロプロセッサ１６と、主外部監視部１７の異常を副マイクロプロセッサ１７が監視する事例の、具体的な動作をタイムチャートに示し説明する。 図４は、主マイクロプロセッサ異常で、かつ主外部監視機能によって正常にリセットされた場合を示すタイムチャートである。図３とともに説明する。

図４に示す動作は、主マイクロプロセッサ１６の異常時の正常復旧動作を示している。主マイクロプロセッサ１６のプログラムが正常に動作していない場合、WDCLR1信号が途絶え、主外部監視部１７は、予め設定されたタイムアウト時間Twd 後にRESET1を出力する。RESET1信号のパルス幅は、主マイクロプロセッサ１６のリセット動作を保証する時間Trstに設定され、Trst後に、主マイクロプロセッサ１６が初期化され、制御を続行することが可能となる。

主マイクロプロセッサ１６の異常検出は、相互監視機能によって副マイクロプロセッサ１８で確認することができる。相互監視機能は、マイクロプロセッサ間の相互監視部２５，２６による通信機能でそれぞれの比較部２７，２８の比較結果を比較することによって実行される。

ここで、相互監視の通信周期（相互監視周期）Ｔを、Ｔ＜Ｔwdと設定する。この設定によって、主マイクロプロセッサ１６の異常は、異常発生から、Twd 時間未満に確実に検出することが可能となる。従って、リセット動作を実行する前に異常を検出し、副マイクロプロセッサ１８が主マイクロプロセッサ１６の出力を無効化する。この無効化は、例えば主制御出力の経路に介在させたゲート回路６７に、前記出力無効化指令部６４により出力した効化指令を出力することで行う。これらゲート回路６７と出力無効化指令部６４とで出力無効化手段６８が構成される。相互監視周期T をTwd よりも十分小さく設定することで少しでも出力不確定期間を短くする効果を得る。

副マイクロプロセッサ１８は、相互監視機能によって、主マイクロプロセッサ１６の異常を検出した後、RESET1のリセット開始トリガ（この実施形態ではLoへの立下り）を待つ。RESET1のリセット開始トリガを検出することで、リセット動作の開始（この実施形態では、Ｌｏへの立下りでリセット状態）を確認する。リセット開始トリガは、副マイクロプロセッサ１８の割り込み入力として検出されるため、相互監視周期と非同期で検出することができる。

その後、RESET1が復帰（この実施形態ではＨｉへの立ち上がりで復帰）することを、
主異常検出処理手段６２で確認する。RESET1の復帰は、主外部監視部１７が正常に機能していれば、相互監視による異常検出後、Twd ＋Trst時間以降で復帰することが保証されるため、Twd ＋Trst時間経過後のRESET1の復帰有無を監視すれば、RESET1の正常動作を確認することができる。

RESET1の正常復帰確認の後、その直後の相互監視周期の監視タイミングで、主マイクロプロセッサ１６の状態を監視する。
主マイクロプロセッサ１６の状態が正常であれば、主異常検出処理手段６２により機能を続行させ、リセット動作後も引き続き異常な状態と判断した場合は、副マイクロプロセッサ１８から出力される副制御信号へ切り替え、機能を続行する。この副制御信号へ切り替え、および機能の続行は、副異常検出処理手段６３により行う。

なお、主マイクロプロセッサ１６の異常発生から復帰まで、または副制御信号への切り替え実施までの間、主制御出力の値は保証されないが、例えば、Twd 時間を数ms、Trst時間を数百μs に設定すれば、相互監視周期T （＜Twd ）、及び主マイクロプロセッサ１６の初期化に関わる時間などを考慮しても車両制御の挙動に大きな影響を与えることはない。

図５は、主マイクロプロセッサ１６の異常時に主外部監視機能１７に異常が発生した場合（１）のタイムチャート２を示す。
この場合、図４で説明したフローにおいて、Twd＋Trst時間経過後にRESET1が復帰（この実施形態ではHiへの立ち上がりで復帰）できない状態を示している。
副マイクロプロセッサ１８では、RESET1の復帰不能、つまり、主マイクロプロセッサ１６と、主外部監視部１７の異常と判定し、副制御信号へ切り替え、機能を続行する。

図６に、主マイクロプロセッサ１６の異常時に主外部監視機能に異常が発生した場合（２）のタイムチャート３を示す。
この場合、主マイクロプロセッサ１６の異常発生後、RESET1が実行されない状態を示している。
RESET1からのリセット開始トリガは、主外部監視部１７が正常に機能していれば、相互監視による異常検出後、少なくともTwd時間以降でリセット検出トリガの検出が保証されるため、異常検出よりTwd時間経過後にRESET1のリセット開始トリガが検出されなければ、RESET1が異常な状態と認識することができる。
副マイクロプロセッサ１８では、RESET1の失陥、つまり、主マイクロプロセッサ１６と、主外部監視部１７の異常と判定し、副制御信号へ切り替え、機能を続行する。

図７に、主マイクロプロセッサ１６が正常で主外部監視機能１７に異常が発生した場合のタイムチャート（２）を示す。
この場合、相互監視による異常検出が無きまま、RESET1からのリセット開始トリガを検出する。
副マイクロプロセッサ１８では、主マイクロプロセッサ１６の異常検出が無い状態でリセットが開始されたと認識し、即座に主外部監視部１７の異常と判定する。

以上の説明の通り、主マイクロプロセッサ１６、及び主外部監視部１７の少なくとも一方が異常となった場合、副マイクロプロセッサ１８がその異常を確実に検知し、副マイクロプロセッサ１８の副制御出力へ切り替えることが可能となる。
これと同様に、副マイクロプロセッサ１８、及び副外部監視部１９の異常検知についても、主マイクロプロセッサ１６で実施することで、システムの安全性を高めることが可能となる。その実施形態は主マイクロプロセッサ１６、及び主外部監視部１７の異常検知と同様の実施形態となるため説明は省略する。

この実施形態によると、上記のように二重化された、モータ３１を制御する転舵制御装置１５の主副のマイクロプロセッサ１６，１８の相互監視、及び各マイクロプロセッサ１６，１８の外部監視機能の異常を監視する機能において、下記の効果が得られる。
・最低限の部品構成で、二重化されたマイクロプロセッサ１６，１８とその外部監視部１７，１９の異常を相互で診断することができる。
・これにより、二重化された主マイクロプロセッサ１６、及び副マイクロプロセッサ１８のいずれかの異常発生時に、異常発生したマイクロプロセッサ１６，１８の状態を監視する異常監視機能の潜在的な故障を検出することが可能。
・主マイクロプロセッサ１６の異常が発生した際、または外部監視機能が異常な状態にあるとき、当面の異常な挙動を回避するために、主マイクロプロセッサ１６から出力されるモータ３１の制御信号を無効化させ、副マイクロプロセッサ１８から出力される副制御信号に切替えて、安全な状態に至るまでの当面の制御を継続させることが可能（フォールトトレランス機能）。

図８に、第２の実施形態として、３つのマイクロプロセッサによる実施形態を示す。
第２の実施形態は、制御出力を２系統備え、３つのマイクロプロセッサによって構成する例である。前記2系統の制御出力は、制御対象となる後輪転舵装置等の転舵装置12〈図１〉が、転舵角の調整用のモータ３１に加え、トー角調整用のモータ（図示せず）を有していて、転舵角とトー角の両方を調整可能な構成である場合に、転舵用のモータ３１、およびトー角調整用のモータにそれぞれ与えられる。
マイクロプロセッサ３５、３７は、いずれも請求項で言う主マイクロプロセッサであり、マイクロプロセッサ３９は請求項で言う副マイクロプロセッサである。

各マイクロプロセッサ３５、３７、３９は、第１の実施形態と同様に、内部に駆動量演算部４１、４２、４３、相互監視部４８，４９、５０、及び比較部５１、５２、５３を、外部に第一〜第三外部監視部３６，３８，４０を備える。マイクロプロセッサ３５は制御出力部１（４４）、マイクロプロセッサ３７は制御出力部２（４５）、そしてマイクロプロセッサ３９は制御出力部１（４４）、制御出力部２（４５）の副制御出力となる副制御出力部１（４６）、副制御出力部２（４７）を備える。

各マイクロプロセッサ３５、３７、３９は、それぞれ第一ないし第三の異常検出処理手段７２、７３、７４を備える。第一および第二の異常検出処理手段７２、７３は主異常検出処理手段であり、第三の異常検出処理手段７４は副異常検出処理手段である。これら第一ないし第三の異常検出処理手段７２、７３、７４により、請求項で言う異常検出処理手段７１が構成される。第一ないし第三の異常検出処理手段７２、７３、７４は、それぞれ、マイクロプロセッサ３５，３７，３９において、相互監視部４８，４９、５０以外の、各マイクロプロセッサ３５，３７，３９で行う異常検出のための各処理、および異常検出の結果による対応を行う手段である。

マイクロプロセッサ３５は、マイクロプロセッサ３７、３９に監視され、マイクロプロセッサ３７は、マイクロプロセッサ３５、３９に監視されることで、いずれかのマイクロプロセッサまたは、外部監視部の異常が発生した場合、出力が無効化され、マイクロプロセッサ３９から出力される副制御出力が選択される。

出力無効化信号と出力選択信号はゲート５５ａ、５５ｂ、５６ａ、５６ｂで生成されるが、これらはマイクロプロセッサ内のソフトウエアの演算によって生成しても構わない。

以上、実施形態に基づいて本発明を実施するための形態を説明したが、今回開示された実施の形態はすべての点で例示であって制限的なものではない。実施例として車両の後輪転舵装置を引用して説明したが、例えば第１の実施形態では、電動パワーステアリングへの応用も可能である。また、第2の実施形態のように複数の出力を有することで、車両のステアバイワイヤ操舵システムなどへの適用も可能である。

１：自動車
９：電子制御ユニット
１０、１１：後輪
１２：後輪転舵装置
１５：転舵制御装置
１６：主マイクロプロセッサ
１７：主外部監視部
１８：副マイクロプロセッサ
１９：副外部監視部
２３、２４：駆動量演算部
２５、２６：相互監視部
２７、２８：比較部
２９：主制御出力部
３０：副制御出力部
３１：モータ
６１：異常検出処理手段
６２：主異常検出処理手段
６３：副異常検出処理手段
６６：出力選択手段
６８：出力無効化手段

Claims (8)

1. 自動車の車輪の転舵角をモータで変更する転舵装置を制御する転舵制御装置であって、与えられた目標転舵角に従って前記モータを制御する駆動量の指令を演算し出力する主マイクロプロセッサと、前記主マイクロプロセッサの異常を監視するために前記目標転舵角に従って前記モータを制御する駆動量を演算する副マイクロプロセッサとを備え、前記主マイクロプロセッサと前記副マイクロプロセッサとに、相互の異常状態を監視する相互監視部を有する転舵制御装置において、
   前記主マイクロプロセッサの異常な状態を監視する主外部監視部と、前記副マイクロプロセッサの異常な状態を監視する副外部監視部を備え、これら主外部監視部および副外部監視部は、いずれも、異常を検出すると前記主マイクロプロセッサと前記副マイクロプロセッサとの両方に信号を送信することを特徴とする転舵制御装置。
2. 請求項１に記載の転舵制御装置において、前記主マイクロプロセッサは、前記副マイクロプロセッサの前記副外部監視部の異常を検出するために、前記副外部監視部から出力されるリセット信号が接続され、同様に、前記副マイクロプロセッサは、前記主外部監視部の異常を検出するために、前記主外部監視部から出力されるリセット信号が接続され、前記主マイクロプロセッサと前記副マイクロプロセッサのうち一方の異常検出と、前記主外部監視部と、前記副外部監視部のうち一方の異常検出を行う異常検出処理手段を有する転舵制御装置。
3. 請求項２に記載の転舵制御装置において、
   前記主外部監視部と、前記副外部監視部が、前記各リセット信号の出力によって前記主マイクロプロセッサと前記副マイクロプロセッサをリセットする機能をそれぞれ備え、
   前記少なくとも主副の二つのマイクロプロセッサの相互の異常状態を監視するための前記相互監視部の通信による監視周期を、前記主外部監視部、及び前記副外部監視部による監視周期より短く設定し、前記異常検出処理手段は、前記主外部監視部、及び前記副外部監視部が前記主マイクロプロセッサと前記副マイクロプロセッサの異常を検出しリセット動作を実施する前に、前記監視周期によって、前記各マイクロプロセッサの異常を検出する転舵制御装置。
4. 請求項２または請求項３に記載の転舵制御装置において、
   前記主外部監視部と、前記副外部監視部から出力される前記リセット信号を前記主副相互のマイクロプロセッサで監視し、前記異常検出処理手段は、前記少なくとも二つのマイクロプロセッサの相互の異常状態を監視するための前記相互監視部間の通信による監視周期毎に、前記リセット信号が所定時間内に監視対象のマイクロプロセッサの挙動に応じた状態遷移を実施したか否かを他方のマイクロプロセッサで監視することで、前記外部監視部の異常を検出する転舵制御装置。
5. 請求項１ないし請求項４のいずれか１項に記載の転舵制御装置において、
   前記主マイクロプロセッサには前記モータを制御するための主制御出力部を備え、前記副マイクロプロセッサには、前記主制御出力と同等の制御信号を出力する副制御出力部を備え、前記主マイクロプロセッサと前記主外部監視部の少なくとも一方が失陥した場合に、副制御出力によって前記モータの制御の続行を可能とする転舵制御装置。
6. 請求項５に記載の転舵制御装置において、
   前記主マイクロプロセッサと前記主外部監視部の少なくとも一方が失陥した場合に、前記副制御出力によって前記モータの制御を続行するために制御出力を切替える出力選択手段を有する転舵制御装置。
7. 請求項５または請求項６に記載の転舵制御装置において、
   前記主マイクロプロセッサと前記主外部監視部の少なくとも一方が失陥した場合に、前記副マイクロプロセッサが前記モータを制御するための主制御出力を無効化させる出力無効化手段を有する転舵制御装置。
8. 請求項１ないし請求項７のいずれか１項に記載の転舵制御装置において、前記転舵装置が後輪を転舵させる後輪転舵装置である転舵制御装置。

Images