JP2017228159A

JP2017228159A - 制御装置、および制御装置の制御方法

Info

Publication number: JP2017228159A
Application number: JP2016124882A
Authority: JP
Inventors: 崇及川; Takashi Oikawa; 辰則高木; Tatsunori Takagi; 敦之小林; Atsushi Kobayashi
Original assignee: Honda Motor Co Ltd; Shindengen Electric Manufacturing Co Ltd
Current assignee: Honda Motor Co Ltd; Shindengen Electric Manufacturing Co Ltd
Priority date: 2016-06-23
Filing date: 2016-06-23
Publication date: 2017-12-28
Anticipated expiration: 2036-06-23
Also published as: JP6942444B2

Abstract

【課題】製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御する。【解決手段】制御装置１００は、主制御部１０が生成して出力するクロック信号に基づいて主制御部の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部の動作に異常が発生したことを示す異常検出信号ＡＤを出力する第１のウオッチドックタイマー部ＷＴ１と、第１のウオッチドックタイマー部から異常検出信号が出力されていない通常状態では、主制御部から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送し、一方、第１のウオッチドックタイマー部から異常検出信号が出力された異常状態では、主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断する伝送遮断部ＴＢと、異常検出信号に応じて、第１の負荷を冗長制御信号ＲＳにより制御する冗長処理部ＲＰと、を備える。【選択図】図１

Description

本発明は、制御装置、および制御装置の制御方法に関する発明である。

従来の制御装置には、負荷を制御するＣＰＵと、このＣＰＵが出力するクロック信号を監視するウオッチドックタイマー回路と、このウオッチドックタイマー部が出力するリセット信号を監視するワンショットタイマー回路と、を備えるものが知られている（例えば、特許文献１参照）。当該制御装置のＣＰＵが何等かの異常で暴走してウオッチドックタイマー回路がリセット信号を出力すると、ワンショットタイマー回路が該リセット信号に基づいて信号を出力する。そして、このワンショットタイマー回路が出力する信号に応じてＣＰＵの出力を禁止して、当該制御装置の誤動作を防ぐようになっている。
このような従来技術として、例えば、制御装置１００Ａ（図２）では、電源回路Ｓが出力する電力でＣＰＵである主制御部１０が起動し、この主制御部１０のクロック信号をウオッチドックタイマー回路ＷＴが監視する。そして、ワンショットタイマー回路ＴＣは、ウオッチドックタイマー回路ＷＴのリセット信号を監視し、該リセット信号に応じて所定の信号を出力する。そして、出力禁止論理回路ＲＣは、ワンショットタイマー回路ＴＣが該リセット信号に応じて出力した信号に基づいて、主制御部１０の信号の出力を禁止する。この場合、この制御装置１００Ａでは、主制御部１０に異常が発生した異常状態では、駆動回路ＤＣを介した負荷Ｌの制御を完全に停止してしまうこととなる。

このため、制御装置１００Ａを適用するアプリケーションによっては、フォールトトレラントとならず、負荷Ｌに対する異常状態の対応として問題がある可能性がある。

また、制御装置１００Ａに別の主制御部（図示せず）を追加して２重の主制御部構成とすることで、異常状態ではない主制御部で継続して負荷Ｌの制御を引継ぐことができるが、制御装置１００Ａの製造コストが増加する問題がある。

昭和６４−６１８３０号公報

そこで、本発明は、上記問題に鑑みてなされたものであり、追加の主制御部を設けないことで製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御することが可能な制御装置を提供することを目的とする。

本発明の一態様に係る実施例に従った制御装置は、
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、
前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、
前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、
前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、
前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備える
ことを特徴とする。

前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする。

前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷の動作が停止するように前記冗長制御信号により制御する
ことを特徴とする。

前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態で前記第１の負荷に対して実行する制御内容よりも少ない制御内容で、前記冗長制御信号により制御する
ことを特徴とする。

前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断した場合には、前記主制御信号を遮断したことを示す遮断情報信号を、前記主制御部に出力する
ことを特徴とする。

前記制御装置において、
前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部に異常が発生したとして、前記主制御部の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部をさらに備える
ことを特徴とする。

前記制御装置において、
前記主制御部は、
前記リセット信号によりその動作がリセットされて前記異常状態から前記通常状態に復帰した場合には、前記伝送遮断部が前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送するように前記伝送遮断部の設定を戻すとともに、前記冗長処理部に前記冗長制御信号の出力を停止させる
ことを特徴とする。

前記制御装置において、
前記主制御部は、
前記遮断情報信号に応じて、前記主制御部自体の動作を停止することを特徴とする。

前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号が前記駆動回路に論理的に伝送しないように遮断する
ことを特徴とする。

前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号の前記駆動回路への伝送路を回路的に遮断することを特徴とする。

前記制御装置において、
前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する冗長電源と、
前記主制御部に、前記主制御部が駆動するための電力を供給する電源回路と、を備え、
前記電源回路が故障した場合には、前記冗長電源から前記主制御部に、前記主制御部が駆動するための電力を供給し、
一方、前記冗長電源が故障した場合には、前記電源回路から前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する
ことを特徴とする。

前記制御装置において、
前記第１の負荷とは異なる第２の負荷の動作を制御するとともに、前記主制御部と通信するＥＣＵをさらに備え、
前記ＥＣＵは、
前記主制御部との通信により前記主制御部に異常が発生したことを検出した場合には、前記第１の負荷の動作に関連する前記第２の負荷の動作を停止させる
ことを特徴とする。

前記制御装置において、
前記第１の負荷は、モーター、ソレノイド、ランプ、又は、リレーの少なくともの何れか１つ以上であることを特徴とする。

前記制御装置において、
前記制御装置は、二輪車に積載され、前記第１の負荷は、前記二輪車に積載された車載機器である
ことを特徴とする。

前記制御装置において、
前記第１及び第２のウオッチドックタイマー部は、前記主制御部が出力する前記クロック信号を監視し、前記主制御部の動作状態に異常が発生した場合には、前記第１のウオッチドックタイマー部により前記主制御部の前記主制御信号の出力を制御する
ことを特徴とする。

前記制御装置において、
前記伝送遮断部は、
スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチのいずれかである
ことを特徴とする。

本発明の一態様に係る実施例に従った制御装置の制御方法は、
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備えた制御装置の制御方法であって、
前記冗長処理部により、前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする。

本発明の一態様に係る制御装置は、第１の負荷への電源供給又は第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、主制御部が出力する主制御信号に基づいて、第１の負荷を駆動する駆動回路と、主制御部が生成して出力するクロック信号に基づいて主制御部の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、第１のウオッチドックタイマー部から異常検出信号が出力されていない通常状態では、主制御部から出力される主制御信号を駆動回路へ伝送し、一方、第１のウオッチドックタイマー部から異常検出信号が出力された異常状態では、主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断する伝送遮断部と、異常検出信号に応じて、第１の負荷を冗長制御信号により制御する冗長処理部と、を備える。

このように、当該制御装置において、主制御部の動作に異常が発生した場合には、伝送遮断部は主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断するとともに、冗長処理部は第１の負荷を冗長制御信号により制御する。

これにより、本発明に係る制御装置は、追加の主制御部を設けないことで製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御することができる。

図１は、第１の実施形態に係る制御装置１００の構成の一例を示す図である。図２は、従来の制御装置１００Ａの構成の一例を示す図である。

以下、本発明に係る実施形態について図面に基づいて説明する。

第１の実施形態

図１は、第１の実施形態に係る制御装置１００の構成の一例を示す図である。

第１の実施形態に係る制御装置１００（図１）は、例えば、第１の負荷Ｌ１を主制御信号により制御するための主制御部（ＣＰＵ）１０と、冗長電源供給ブロックＲＢを介して主制御部１０に接続され、主制御信号ＭＳに基づいて、第１の負荷Ｌ１を駆動する駆動回路ＤＣと、主制御部１０に接続され、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視する第１のウオッチドックタイマー部（ウオッチドックタイマー回路）ＷＴ１と、主制御部１０に接続され、主制御部１０の動作状態を監視し、主制御部１０の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部（ウオッチドックタイマー回路）ＷＴ２と、を備える。

さらに、この制御装置１００は、主制御部１０と駆動回路ＤＣとの間に接続され、第１のウオッチドックタイマー部ＷＴ１が出力する異常検出信号ＡＤに基づいて主制御部１０から出力される主制御信号ＭＳを遮断する伝送遮断部（伝送遮断回路）ＴＢと、駆動回路ＤＣに接続され、第１のウオッチドックタイマー部ＷＴ１が出力する異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより駆動回路ＤＣを介して制御する冗長処理部ＲＰと、を備える。

さらに、この制御装置１００は、主制御部１０及び第２のウオッチドックタイマー部ＴＷ２に電力する供給する電源回路Ｓ１と、冗長電源供給ブロックＲＢに電力を供給する冗長電源Ｓ２と、第２の負荷Ｌ２を制御するためのＥＣＵ２０と、を備える。

なお、第１のウオッチドックタイマー部ＷＴ１、伝送遮断部ＴＢ、及び、冗長処理部ＲＰは、冗長電源供給ブロックＲＢを構成する（図１）。

このような構成を有する制御装置１００は、例えば、二輪車等の車両に積載される。そして、制御装置１００は、例えば、当該二輪車に積載された第１の負荷Ｌ１および第２の負荷Ｌ２を制御（駆動）するようになっている。

ここで、上記第１の負荷Ｌ１は、モーター（例えば、燃料噴射用のポンプを含む）、ソレノイド、ランプ、又は、リレー等の少なくともの何れか１つ以上の負荷である。特に、第１の負荷Ｌ１は、当該二輪車に積載される場合、例えば、当該二輪車の、ＥＣＵ（ＥｎｇｉｎｅＣｏｎｔｒｏｌＵｎｉｔ）、メータのコントローラ、又は、燃料ポンプ等の車載機器である。

また、第１の負荷Ｌ１とは異なる第２の負荷Ｌ２は、例えば、当該二輪車に積載されたエンジンを制御するための回路や装置等である。なお、後述のように、この第２の負荷Ｌ２の動作には、例えば、第１の負荷Ｌ１の動作に関連するものが含まれる。

また、電源回路Ｓ１は、主制御部１０および第２のウオッチドックタイマー部ＷＴ２に、主制御部１０および第２のウオッチドックタイマー部ＷＴ２が駆動するための電力（電源電圧ＶＤＤ）を供給するようになっている。

また、冗長電源Ｓ２は、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢに、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢが駆動するための電力を供給するようになっている。

これらの電源回路Ｓ１と冗長電源Ｓ２とは、別々に設けられており、個別に所定の電力を供給するようになっている。

なお、電源回路Ｓ１が故障した場合には、冗長電源Ｓ２から主制御部１０および第２のウオッチドックタイマー部ＷＴ２に、主制御部１０および第２のウオッチドックタイマー部ＷＴ２が駆動するための電力を供給するようにしてもよい。

一方、冗長電源Ｓ２が故障した場合には、電源回路Ｓ１から第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢに、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢが駆動するための電力を供給するようにしてもよい。

また、主制御部１０は、例えば、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御するようになっている。なお、この主制御部（ＣＰＵ）１０は、既述の二輪車の構成の動作を制御するために必要な処理を実行するようにしてもよい。

ここで、この主制御部１０は、異常状態の検出のために、周期的に発振するクロック信号ＣＬＫを出力するようになっている。例えば、主制御部１０が正常に動作する通常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力される。一方、主制御部１０に異常が発生した異常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力されない。

また、ＥＣＵ２０は、第１の負荷Ｌ１とは異なる第２の負荷Ｌ２の動作を制御するとともに、主制御部１０と通信するようになっている。

このＥＣＵ２０は、主制御部１０との通信により主制御部１０に異常が発生したことを検出した場合には、例えば、第１の負荷Ｌ１の動作に関連する第２の負荷Ｌ２の動作を停止させるようになっている。

また、駆動回路ＤＣは、主制御部１０が出力する主制御信号ＭＳ、又は、冗長処理部ＲＰが出力する冗長制御信号ＲＳに応じて、第１の負荷Ｌ１を駆動（第１の負荷Ｌ１に対する電力供給を含む）するようになっている。換言すれば、主制御部１０は、主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を制御し、一方、冗長処理部ＲＰは、冗長制御信号ＲＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を制御するものである。

また、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視するようになっている。そして、この第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されない場合には、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力するようになっている。

なお、既述のように、この第１のウオッチドックタイマー部ＷＴ１は、冗長電源Ｓ２から供給される電力により駆動するようになっている。

また、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていない通常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するようになっている。

一方、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断するようになっている。

なお、この伝送遮断部ＴＢは、例えば、スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチ（アナログスイッチ）のいずれかである。

そして、例えば、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳの駆動回路ＤＣへの伝送路を回路的に遮断するように（例えば、主制御部１０の出力を絶縁する等）してもよい。

すなわち、伝送遮断部ＴＢは、図示しないスイッチ素子等により、主制御部１０から出力される主制御信号ＭＳを回路的に遮断するようにしてもよい。

また、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳが駆動回路ＤＣに論理的に伝送しないように遮断するように（例えば、主制御部１０の出力を固定値にする等）してもよい。

すなわち、伝送遮断部ＴＢは、図示しないロジックＩＣ等により、主制御部１０から出力される主制御信号ＭＳを論理的に遮断するようにしてもよい。

ここで、この伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断した場合には、主制御信号ＭＳを遮断したことを示す遮断情報信号ＢＳを、主制御部１０に出力するようにしてもよい。

これにより、主制御部１０は、上記遮断情報信号ＢＳに基づいて、主制御信号ＭＳが遮断されている状態であるか否かを判断することができる。

この場合、主制御部１０は、上記遮断情報信号ＢＳに応じて、主制御部１０自体の動作を停止するようにしてもよい。

これにより、主制御部１０に異常が発生して主制御信号ＭＳが遮断されている場合に、この異常が発生した主制御部１０の動作を停止することができる。

なお、既述のように、この伝送遮断部ＴＢは、冗長電源Ｓ２から供給される電力により駆動するようになっている。

また、冗長処理部ＲＰは、第１のウオッチドックタイマー部ＷＴ１が出力した異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御するようになっている。すなわち、冗長処理部ＲＰは、主制御部１０の異常状態において、フォールトトレラントとなるように第１の負荷Ｌ１を制御する。

より詳しくは、この冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が既述の通常状態において第１の負荷Ｌ１に対して実行する制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御するようになっている。なお、冗長制御内容には、例えば、第１の負荷Ｌを継続して駆動させるための制御や、第１の負荷Ｌを安全に停止させるための制御等が含まれる。

これにより、主制御部１０の動作に異常が発生した場合に、既述の通常状態における制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより第１の負荷Ｌ１を制御することができる。

また、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が通常状態で第１の負荷Ｌ１に対して実行する制御内容よりも少ない制御内容で、冗長制御信号ＲＳにより制御するようにしてもよい。

これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１に対して最小限の処理を継続させるようにすることができる。

また、既述のように、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１の動作が停止するように冗長制御信号ＲＳにより制御するようにしてもよい。

これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１を停止させることができる。

なお、既述のように、この冗長処理部ＲＰは、冗長電源Ｓ２から供給される電力により駆動するようになっている。

また、第２のウオッチドックタイマー部ＷＴ２は、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視するようになっている。そして、この第２のウオッチドックタイマー部ＷＴ２は、クロック信号ＣＬＫが予め設定された周期で出力されない場合には、主制御部１０に異常が発生したとして、主制御部１０の動作をリセットさせるリセット信号ＲＥＳＥＴを出力するようになっている。

なお、既述のように、この第２のウオッチドックタイマー部ＷＴ２は、電源回路Ｓ１から供給される電力により駆動するようになっている。

ここで、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、伝送遮断部ＴＢが主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するように伝送遮断部ＴＢの設定を戻すようになっている。

さらに、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、冗長処理部ＲＰに冗長制御信号ＲＳの出力を停止させるようになっている。

これにより、主制御部１０が異常状態から通常状態に復帰した場合に、主制御部１０が、主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を再度制御するようにできる。

なお、第１及び第２のウオッチドックタイマー部ＷＴ１、ＷＴ２は、主制御部１０が出力するクロック信号ＣＬＫを監視し、主制御部１０の動作状態に異常が発生した場合（例えば、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されない場合）には、第１のウオッチドックタイマー部ＷＴ１により主制御部１０の主制御信号ＭＳの出力を制御するようにしてもよい。

以上のような構成を有する制御装置１００は、適用されるアプリケーションによりフォールトトレラントとなる制御が異なる点に対しても、冗長処理部ＲＰの構成を見直せば対応できる。

そして、冗長処理部ＲＰを構成するハードウエアによりある程度の制御を保持できるなど、主制御部１０を使用した複雑な制御を要しない場合は、動的な制御もシステム停止まで維持することができる。

また、主制御部１０の故障率に応じて、冗長電源を供給している冗長電源供給ブロックＲＢ（冗長処理部ＲＰ、伝送遮断部、第１のウオッチドックタイマー部ＷＴ１）を設計することにより、主制御部１０の異常状態において、確実にフォールトトレラントとなるように負荷を制御することができる。

ここで、以上のような構成を有する、第１の実施形態に係る制御装置１００の動作の一例について説明する。

既述のように、主制御部１０は、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御する。

例えば、主制御部１０が正常に動作する通常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力される。

そして、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されているので、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力しない。

そして、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていないので、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送する。

これにより、主制御部１０が出力した主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１が制御されることとなる。

一方、主制御部１０に異常が発生した異常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力されない。

そして、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されないので、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力する。

そして、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態であるので、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断する。

さらに、冗長処理部ＲＰは、第１のウオッチドックタイマー部ＷＴ１が出力した異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御する。

これにより、冗長処理部ＲＰが出力した冗長制御信号ＲＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１が制御されることとなる。すなわち、冗長処理部ＲＰは、主制御部１０の異常状態において、フォールトトレラントとなるように第１の負荷Ｌ１を制御する。

より詳しくは、この冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が既述の通常状態において第１の負荷Ｌ１に対して実行する制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御する。

また、既述のように、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が通常状態で第１の負荷Ｌ１に対して実行する制御内容よりも少ない制御内容で、冗長制御信号ＲＳにより制御するようにしてもよい。

ここで、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断した場合には、主制御信号ＭＳを遮断したことを示す遮断情報信号ＢＳを、主制御部１０に出力する。

そして、主制御部１０は、上記遮断情報信号ＢＳに応じて、主制御部１０自体の動作を停止するようにしてもよい。

また、ＥＣＵ２０は、主制御部１０との通信により主制御部１０に異常が発生したことを検出すると、第１の負荷Ｌ１の動作に関連する第２の負荷Ｌ２の動作を停止させる。

なお、既述のように、第２のウオッチドックタイマー部ＷＴ２は、クロック信号ＣＬＫが予め設定された周期で出力されないことにより、主制御部１０に異常が発生したとして、主制御部１０の動作をリセットさせるリセット信号ＲＥＳＥＴを出力する。これにより、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされることとなる。

そして、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、伝送遮断部ＴＢが主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するように伝送遮断部ＴＢの設定を戻す。

さらに、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、冗長処理部ＲＰに冗長制御信号ＲＳの出力を停止させる。

以上のように、本発明の一態様に係る制御装置は、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御する主制御部１０と、主制御部１０が出力する主制御信号ＭＳに基づいて、第１の負荷Ｌ１を駆動する駆動回路ＤＣと、主制御部１０が生成して出力するクロック信号に基づいて主制御部１０の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力する第１のウオッチドックタイマー部ＷＴ１と、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていない通常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送し、一方、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断する伝送遮断部ＴＢと、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより制御する冗長処理部ＲＰと、を備える。

このように、当該制御装置において、主制御部１０の動作に異常が発生した場合には、伝送遮断部ＴＢは主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断するとともに、冗長処理部ＲＰは第１の負荷Ｌ１を冗長制御信号ＲＳにより制御する。

これにより、本発明に係る制御装置は、追加の主制御部１０を設けないことで製造コストの増加を抑制しつつ、主制御部１０の異常状態において、フォールトトレラントとなるように負荷を制御することができる。

特に、既述のように、制御装置１００は、適用されるアプリケーションによりフォールトトレラントとなる制御が異なる点に対しても、冗長処理部ＲＰの構成を見直せば対応できる。

また、既述のように、主制御部１０の故障率に応じて、冗長電源を供給している冗長電源供給ブロックＲＢ（冗長処理部ＲＰ、伝送遮断部、第１のウオッチドックタイマー部ＷＴ１）を設計することにより、主制御部１０の異常状態において、確実にフォールトトレラントとなるように負荷を制御することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１００制御装置
１０主制御部
ＤＣ駆動回路
ＷＴ１第１のウオッチドックタイマー部
ＷＴ２第２のウオッチドックタイマー部
ＴＢ伝送遮断部
ＲＰ冗長処理部
Ｓ１電源回路
Ｓ２冗長電源
２０ＥＣＵ
ＲＢ冗長電源供給ブロック
Ｌ１第１の負荷
Ｌ２第２の負荷

Claims

第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、
前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、
前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、
前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、
前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備える
ことを特徴とする制御装置。
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする請求項１に記載の制御装置。
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷の動作が停止するように前記冗長制御信号により制御する
ことを特徴とする請求項２に記載の制御装置。
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態で前記第１の負荷に対して実行する制御内容よりも少ない制御内容で、前記冗長制御信号により制御する
ことを特徴とする請求項２に記載の制御装置。
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断した場合には、前記主制御信号を遮断したことを示す遮断情報信号を、前記主制御部に出力する
ことを特徴とする請求項２に記載の制御装置。
前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部に異常が発生したとして、前記主制御部の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部をさらに備える
ことを特徴とする請求項５に記載の制御装置。
前記主制御部は、
前記リセット信号によりその動作がリセットされて前記異常状態から前記通常状態に復帰した場合には、前記伝送遮断部が前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送するように前記伝送遮断部の設定を戻すとともに、前記冗長処理部に前記冗長制御信号の出力を停止させる
ことを特徴とする請求項６に記載の制御装置。
前記主制御部は、
前記遮断情報信号に応じて、前記主制御部自体の動作を停止することを特徴とする請求項１に記載の制御装置。
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号が前記駆動回路に論理的に伝送しないように遮断する
ことを特徴とする請求項１に記載の制御装置。
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号の前記駆動回路への伝送路を回路的に遮断することを特徴とする請求項１に記載の制御装置。
前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する冗長電源と、
前記主制御部に、前記主制御部が駆動するための電力を供給する電源回路と、を備え、
前記電源回路が故障した場合には、前記冗長電源から前記主制御部に、前記主制御部が駆動するための電力を供給し、
一方、前記冗長電源が故障した場合には、前記電源回路から前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する
ことを特徴とする請求項１に記載の制御装置。
前記第１の負荷とは異なる第２の負荷の動作を制御するとともに、前記主制御部と通信するＥＣＵをさらに備え、
前記ＥＣＵは、
前記主制御部との通信により前記主制御部に異常が発生したことを検出した場合には、前記第１の負荷の動作に関連する前記第２の負荷の動作を停止させる
ことを特徴とする請求項１に記載の制御装置。
前記第１の負荷は、モーター、ソレノイド、ランプ、又は、リレーの少なくともの何れか１つ以上であることを特徴とする請求項１に記載の制御装置。
前記制御装置は、二輪車に積載され、前記第１の負荷は、前記二輪車に積載された車載機器である
ことを特徴とする請求項１２に記載の制御装置。
前記第１及び第２のウオッチドックタイマー部は、前記主制御部が出力する前記クロック信号を監視し、前記主制御部の動作状態に異常が発生した場合には、前記第１のウオッチドックタイマー部により前記主制御部の前記主制御信号の出力を制御する
ことを特徴とする請求項６に記載の制御装置。
前記伝送遮断部は、
スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチのいずれかである
ことを特徴とする請求項１に記載の制御装置。
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備えた制御装置の制御方法であって、
前記冗長処理部により、前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする制御装置の制御方法。