JP2018101332A

JP2018101332A - 電子制御装置、制御システム、リセット判定方法

Info

Publication number: JP2018101332A
Application number: JP2016247783A
Authority: JP
Inventors: 将吾中尾; Shogo Nakao; 伸樹佐藤; Nobuki Sato; 佐々木　光雄; Mitsuo Sasaki; 光雄佐々木
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2016-12-21
Filing date: 2016-12-21
Publication date: 2018-06-28
Anticipated expiration: 2036-12-21
Also published as: US20210129855A1; WO2018116801A1; US11643095B2; JP6838215B2

Abstract

【課題】電子制御装置間に通信異常が発生した場合に、その原因を直ちに判断する。
【解決手段】電子制御装置である第１コントローラ１０は、第１モータ３３を制御するための第１制御指令を生成して出力する第１制御指令生成部１２と、第２コントローラ２０と通信を行う第１通信部１１と、第１通信部１１による第２コントローラ２０との通信が異常であるか否かを判定する第１通信異常判定部１３と、第１通信異常判定部１３により第２コントローラ２０との通信が異常であると判定された場合に、第２モータ４３の状態に関するセンサ信号である第２トルクの変化に基づいて、第２コントローラ２０がリセットされたか否かを判定する第１リセット判定部１４と、を備える。
【選択図】図１

Description

本発明は、電子制御装置と、これを用いた制御システムおよびリセット判定方法に関する。

自動車分野では、車両に搭載された各種アクチュエータの制御を行う電子制御装置（ＥＣＵ）が利用されている。この電子制御装置には、故障が発生した際の車両事故などのリスクを低減するために所定の安全設計が要求されている。たとえば、自動運転車両におけるステアリングやブレーキの制御を行う制御システムでは、故障発生時にも制御を継続してドライバの安全性を確保できるようにするため、相互に通信を行う複数の電子制御装置を利用した冗長化構成が広く採用されている。

上記のような冗長化構成の制御システムにおいて、電子制御装置間に通信異常が発生した場合には、その後の制御モードを適切に決定するために、通信異常の原因が通信機能の故障であるか、それとも一方の電子制御装置がリセット状態になったことであるかを直ちに判断する必要がある。これに関して、特許文献１には、２つの電子制御装置にそれぞれ搭載されたマイコン間で通信途絶状態が発生した場合に、所定時間以内にその通信途絶状態が解消されたか否かを判定することで、マイコンの異常と通信線の異常とを区別して検出する技術が開示されている。

特開２０１６−５７８８８号公報

特許文献１に開示された技術では、マイコンがリセット状態から立ち上がって通信を再開するのに要する時間が経過するまでは、マイコンの異常と通信線の異常とを区別することができない。そのため、通信異常の原因を直ちに判断することができない。

本発明による電子制御装置は、第一の制御対象を制御するための制御指令を生成して出力する制御指令生成部と、第二の制御対象を制御する他の電子制御装置と通信を行う通信部と、前記通信部による前記他の電子制御装置との通信が異常であるか否かを判定する通信異常判定部と、前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記第二の制御対象の状態に関するセンサ信号の変化に基づいて、前記他の電子制御装置がリセットされたか否かを判定するリセット判定部と、を備える。
本発明による制御システムは、電子制御装置および他の電子制御装置を備え、前記他の電子制御装置は、前記電子制御装置との通信が異常である場合に、前記電子制御装置がリセットされたか否かを判定する第二のリセット判定部を有しており、前記他の電子制御装置がリセットされていないと前記リセット判定部が判定し、かつ前記電子制御装置がリセットされていないと前記第二のリセット判定部が判定した場合に、前記電子制御装置と前記他の電子制御装置のそれぞれに対して予め設定された優先度に基づいて、前記電子制御装置による前記第一の制御対象の制御または前記他の電子制御装置による前記第二の制御対象の制御のいずれか一方を停止させる。
本発明によるリセット判定方法は、相互に通信を行う第一の電子制御装置および第二の電子制御装置を有する制御システムにおいて、前記第一の電子制御装置により、前記第二の電子制御装置との通信が異常であるか否かを判定し、前記第二の電子制御装置との通信が異常であると判定された場合に、前記第一の電子制御装置により、前記第二の電子制御装置の制御対象の状態に関するセンサ信号の変化に基づいて、前記第二の電子制御装置がリセットされたか否かを判定する。

本発明によれば、電子制御装置間に通信異常が発生した場合に、その原因を直ちに判断することができる。

本発明の第１の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。本発明の第１の実施形態に係る電子制御装置のハードウェア構成を示す図である。本発明の第１の実施形態におけるフェイルセーフ処理のフローチャートである。本発明の第１の実施形態における通信異常判定のフローチャートである。本発明の第１の実施形態におけるリセット判定のフローチャートである。本発明の第１の実施形態におけるリセット判定の方法を説明する図である。本発明の第１の実施形態における制御状態決定のフローチャートである。本発明の第２の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。本発明の第２の実施形態におけるフェイルセーフ処理のフローチャートである。本発明の第２の実施形態におけるリセット判定のフローチャートである。本発明の第２の実施形態におけるリセット判定の方法を説明する図である。本発明の第３の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。本発明の第３の実施形態におけるフェイルセーフ処理のフローチャートである。本発明の第３の実施形態における制御状態決定のフローチャートである。

（第１の実施形態）
以下、図１〜図７を用いて、本発明の第１の実施形態に係る電子制御装置について説明する。本実施形態では、車両のステアリングをアシストまたは制御する電動パワーステアリングシステムに搭載された電子制御装置を例として、本発明の説明を行う。

図１は、本発明の第１の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図１に示す電動パワーステアリングシステム１０００は、同様の構成であり同様の動作を行う第１系統と第２系統に冗長化されている。第１系統は、第１コントローラ１０、第１インバータ３１、第１モータ３３、第１トルクセンサ３５、および第１モータ回転角センサ３７を備える。第２系統は、第２コントローラ２０、第２インバータ４１、第２モータ４３、第２トルクセンサ４５、および第２モータ回転角センサ４７を備える。第１コントローラ１０と第２コントローラ２０は、ネットワーク３０を介して互いに接続されており、制御システム１を構成している。ネットワーク３０は、第１コントローラ１０と第２コントローラ２０の間で定期的に送受信される通信信号の伝送媒体であり、たとえば、Serial Peripheral Interface（ＳＰＩ）のようなＰ２Ｐ通信や、Controller Area Network（ＣＡＮ）のようなバス通信により、通信信号の伝送を行う。

第１モータ３３および第２モータ４３は、第１インバータ３１、第２インバータ４１からそれぞれ入力される交流電流に応じて回転駆動し、車両のステアリングをアシストまたは制御するための駆動力を供給する回転トルクをそれぞれ発生する。なお、第１モータ３３と第２モータ４３とは、ロータ、ステータおよび巻線を個別にそれぞれ有する構造であってもよいし、ロータとステータを共有して巻線を共有しない構造、すなわち物理的には単一のモータを別々の巻線で制御するような構造であってもよい。

第１系統において、第１トルクセンサ３５および第１モータ回転角センサ３７は、第１モータ３３の状態に関するセンサ信号を第１コントローラ１０にそれぞれ出力する。具体的には、第１トルクセンサ３５は、第１モータ３３の回転トルクを検出し、その検出結果に応じたセンサ信号である第１トルクを出力する。第１モータ回転角センサ３７は、第１モータ３３のロータ回転角を検出し、その検出結果に応じたセンサ信号である第１モータ回転角を出力する。なお、第１トルクセンサ３５から出力された第１トルクは、後述するフェイルセーフ処理のために第２コントローラ２０にも入力される。

第１コントローラ１０は、電動パワーステアリングシステム１０００において第１系統の制御を実現するための各種の処理や演算を行う電子制御装置（ＥＣＵ）である。第１コントローラ１０は、その機能として、第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５を有する。

第１通信部１１は、ネットワーク３０を介して第２コントローラ２０との間で通信信号の送受信を行う。この通信信号には、第１コントローラ１０と第２コントローラ２０とが第１モータ３３と第２モータ４３をそれぞれ協調して制御するための情報が含まれる。たとえば、第１制御指令生成部１２で演算された第１モータ３３の制御量などの情報を含む通信信号が、第１コントローラ１０から第２コントローラ２０へと第１通信部１１により送信される。また、第２コントローラ２０から送信された第２モータ４３の制御量などの情報を含む通信信号が、第１通信部１１により受信される。

第１制御指令生成部１２は、第１トルクセンサ３５と第１モータ回転角センサ３７からそれぞれ入力された第１トルクおよび第１モータ回転角に基づいて、制御対象である第１モータ３３の制御量を演算し、その制御量に応じた第１制御指令を生成して第１インバータ３１に出力する。第１制御指令生成部１２は、たとえば、車両のステアリングホイールに取り付けられた不図示の舵角センサから出力される舵角信号と、第１トルクおよび第１モータ回転角とを用いて、周知の演算処理により、第１モータ３３の制御量に応じた目標トルクを求める。このとき、前述の通信信号により第２コントローラ２０から送信された第２モータ４３の制御量、すなわち第２モータ４３の目標トルクを考慮して、第１モータ３３の目標トルクを決定することで、第１コントローラ１０と第２コントローラ２０との間で協調制御が実現される。そして、求められた目標トルクに応じたパルス幅変調（ＰＷＭ）信号を生成し、第１制御指令として第１インバータ３１に出力する。なお、第１制御指令生成部１２による第１モータ３３の目標トルクの演算結果は、前述の通信信号により、第１通信部１１からネットワーク３０を介して第２コントローラ２０に送信される。

第１通信異常判定部１３は、第１通信部１１による第２コントローラ２０との通信が異常であるか否かを判定する通信異常判定を実施する。なお、第１通信異常判定部１３による通信異常判定の具体的な手順については、後で図４を参照して説明する。

第１リセット判定部１４は、第１通信異常判定部１３により第２コントローラ２０との通信が異常であると判定された場合に、その通信異常が第２コントローラ２０のリセットによるものか否かを判定するリセット判定を実施する。なお、第１リセット判定部１４によるリセット判定の具体的な手順については、後で図５および図６を参照して説明する。

第１制御部１５は、第１通信異常判定部１３および第１リセット判定部１４の判定結果に基づいて第１コントローラ１０の制御モードを決定する制御状態決定を実施する。なお、第１制御部１５による制御状態決定の具体的な手順については、後で図７を参照して説明する。

第１コントローラ１０は、上記の第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５の各機能を用いて、第２コントローラ２０との間で行われる通信の異常を原因ごとに区別して検出し、その検出結果に応じた制御モードに移行するフェイルセーフ処理を行う。なお、フェイルセーフ処理の具体的な手順については、後で図３を参照して説明する。

第１インバータ３１は、第１コントローラ１０から出力された第１制御指令に基づき、第１モータ３３の駆動制御を行う。たとえば、第１コントローラ１０から第１制御指令として出力されたパルス幅変調信号に基づき、不図示の複数のスイッチング素子のスイッチング状態をそれぞれ制御する。これにより、所定の振幅、周期、位相を有する交流電流を生成して、第１モータ３３に出力する。

電動パワーステアリングシステム１０００において、第１系統は、以上説明したような各構成要素の動作により、第１モータ３３を駆動させることができる。

第２系統における各構成要素も、第１系統の各構成要素とそれぞれ同様の動作を行うことで、第２モータ４３を駆動させる。すなわち、第２トルクセンサ４５および第２モータ回転角センサ４７は、第２モータ４３の回転トルクとロータ回転角をそれぞれ検出し、これらの検出結果に応じたセンサ信号である第２トルクと第２モータ回転角を第２コントローラ２０にそれぞれ出力する。なお、第２トルクセンサ４５から出力された第２トルクは、フェイルセーフ処理のために第１コントローラ１０にも入力される。電子制御装置（ＥＣＵ）である第２コントローラ２０は、その機能として、第２通信部２１、第２制御指令生成部２２、第２通信異常判定部２３、第２リセット判定部２４および第２制御部２５を有している。これらは、第１コントローラ１０の第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４、第１制御部１５とそれぞれ対応しており、同じ動作をそれぞれ行う。第２インバータ４１は、第２コントローラ２０から出力された第２制御指令に基づき、第２モータ４３の駆動制御を行う。これにより、第２系統において第２モータ４３が駆動される。

図２は、本発明の第１の実施形態に係る電子制御装置のハードウェア構成を示す図である。図２（ａ）は、第１コントローラ１０のハードウェア構成を示している。図２（ａ）に示すように、第１コントローラ１０は、ＣＰＵ１０１、ＲＯＭ１０３、ＲＡＭ１０５、通信部１０７、およびＰＷＭ生成回路１０９を備える。ＣＰＵ１０１は、ＲＡＭ１０５を作業領域に用いてＲＯＭ１０３に保存されたプログラムを実行することで、第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５の各機能を実現するための処理を行う。通信回路１０７は、ＣＰＵ１０１の制御に応じて動作し、第２コントローラ２０へ通信信号を送信する処理と、第２コントローラ２０から送信された通信信号を受信する処理を行う。通信回路１０７は、ＣＰＵ１０１と共に第１通信部１１を実現する。ＰＷＭ生成回路１０９は、ＣＰＵ１０１の制御に応じて動作し、第１インバータ３１に第１制御指令として出力するパルス幅変調（ＰＷＭ）信号を生成する処理を行う。ＰＷＭ生成回路１０９は、ＣＰＵ１０１と共に第１制御指令生成部１２を実現する。

図２（ｂ）は、第２コントローラ２０のハードウェア構成を示している。図２（ｂ）に示すように、第２コントローラ２０は、ＣＰＵ２０１、ＲＯＭ２０３、ＲＡＭ２０５、通信部２０７、およびＰＷＭ生成回路２０９を備える。これらの動作は、第１コントローラ１０のＣＰＵ１０１、ＲＯＭ１０３、ＲＡＭ１０５、通信部１０７、およびＰＷＭ生成回路１０９とそれぞれ同様であるため、説明を省略する。

次に、第１コントローラ１０が行うフェイルセーフ処理について説明する。図３は、本発明の第１の実施形態における第１コントローラ１０によるフェイルセーフ処理のフローチャートである。第１コントローラ１０は、制御システム１の電源が投入されると、図３に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。

ステップＳ１０において、第１コントローラ１０は、第２トルクセンサ４５から出力された第２トルクを取得する。なお、他の処理で第１コントローラ１０が第２トルクの最新値を取得可能であれば、その値を用いることでステップＳ１０の処理を省略してもよい。また、前述のように第１モータ３３と第２モータ４３がロータとステータを共有している構造である場合には、第２トルクを取得する代わりに、第１トルクセンサ３５から出力された第１トルクを取得してもよい。この場合、第１制御指令生成部１２が第１モータ３３の目標トルクを演算する際に取得した第１トルクを用いることで、ステップＳ１０の処理を省略してもよい。

ステップＳ１１において、第１コントローラ１０は、第１通信異常判定部１３による通信異常判定を行う。このとき第１通信異常判定部１３は、図４のフローチャートに示す処理を行い、第１コントローラ１０と第２コントローラ２０の間の通信が正常であるか異常であるかを判定する。なお、図４のフローチャートの詳細については後で説明する。

ステップＳ１２において、第１コントローラ１０は、ステップＳ１１で行った通信異常判定により得られた判定結果が通信正常であるか否かを判定する。判定結果が通信正常である場合、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が正常であるとの判定結果が得られた場合は、図３に示すフェイルセーフ処理を終了する。一方、判定結果が通信異常である場合、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が異常であるとの判定結果が得られた場合は、処理をステップＳ１４に進める。

ステップＳ１４において、第１コントローラ１０は、第１リセット判定部１４によるリセット判定を行う。このとき第１リセット判定部１４は、図５のフローチャートに示す処理を行い、第１コントローラ１０と第２コントローラ２０の間の通信異常が第２コントローラ２０のリセットによるものか否かを判定する。なお、図５のフローチャートの詳細については後で説明する。

ステップＳ１５において、第１コントローラ１０は、第１制御部１５による制御状態決定を行う。このとき第１制御部１５は、図７のフローチャートに示す処理を行い、第１コントローラ１０の制御モードを決定する。なお、図７のフローチャートの詳細については後で説明する。ステップＳ１５で第１コントローラ１０の制御モードを決定したら、第１コントローラ１０は図３に示すフェイルセーフ処理を終了する。

次に、図３のステップＳ１１で実行される通信異常判定について説明する。図４は、本発明の第１の実施形態における第１通信異常判定部１３による通信異常判定のフローチャートである。

ステップＳ１１１において、第１通信異常判定部１３は、コントローラ２０との間で通信異常の可能性があるか否かを判定する。たとえば、コントローラ２０からネットワーク３０を介して受信した通信信号におけるデータが異常である場合は、通信異常の可能性があると判定して処理をステップＳ１１３に進める。なお、通信信号におけるデータの異常の有無は、前回受信した通信信号のデータと今回受信した通信信号のデータとの差分値を求め、この差分値が異常値を示すか否かによって判断することができる。たとえば、差分値が０である場合や通常の制御で取り得る値の範囲から外れている場合はデータが異常であると判断し、そうでない場合はデータが正常であると判断する。また、通信プロトコルに誤りがある場合や、コントローラ２０から通信信号を受信できない場合にも、通信異常の可能性があると判定して処理をステップ１１３に進める。一方、これらの条件に該当しない場合は、通信異常の可能性がないと判定して処理をステップＳ１１４に進める。

ステップＳ１１３において、第１通信異常判定部１３は、通信異常判定カウンタをインクリメントする。この通信異常判定カウンタは、通信異常の可能性ありと判定された期間を計測するためのカウンタであり、第１コントローラ１０の動作中にＲＡＭ１０５に記憶されている。

ステップＳ１１３の処理を実行した後、ステップＳ１１５において、第１通信異常判定部１３は、通信異常判定カウンタが所定の通信異常判定閾値よりも大きいか否かを判定する。その結果、通信異常判定カウンタが通信異常判定閾値よりも大きい場合は処理をステップＳ１１７に進め、そうでない場合、すなわち通信異常判定カウンタが通信異常判定閾値以下である場合は処理をステップＳ１１８に進める。なお、ステップＳ１１５の判定で用いられる通信異常判定閾値は、フェイルセーフ処理の実行周期を考慮して、コントローラ２０との通信が異常であると確定するのに十分な時間に応じた値が予め設定されている。たとえば通常動作時の通信周期の最大値や、システム上許容される通信間隔の最大値などに基づいて、通信異常判定閾値を設定することができる。

ステップＳ１１５で通信異常判定カウンタが通信異常判定閾値よりも大きいと判定した場合、ステップＳ１１７において、第１通信異常判定部１３は、通信異常、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が異常であると判定する。ステップＳ１１７を実行して通信異常との判定結果が得られたら、第１通信異常判定部１３は図４に示す通信異常判定を終了する。

一方、ステップＳ１１５で通信異常判定カウンタが通信異常判定閾値以下であると判定した場合、ステップＳ１１８において、第１通信異常判定部１３は、通信異常なし、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が正常であると判定する。ステップＳ１１８を実行して通信異常なしとの判定結果が得られたら、第１通信異常判定部１３は図４に示す通信異常判定を終了する。

また、ステップＳ１１１で通信異常の可能性がないと判定した場合、ステップＳ１１４において、第１通信異常判定部１３は、前述の通信異常判定カウンタを初期値（たとえば０）にクリアする。その後は、ステップＳ１１８で上記の処理を行った後、図４に示す通信異常判定を終了する。

第１通信異常判定部１３は、以上説明したような通信異常判定を行うことで、第１コントローラ１０と第２コントローラ２０の間の通信が正常であるか異常であるかを判定することができる。

次に、図３のステップＳ１４で実行されるリセット判定について説明する。図５は、本発明の第１の実施形態における第１リセット判定部１４によるリセット判定のフローチャートである。

ステップＳ１４１において、第１リセット判定部１４は、ステップＳ１０で取得した第２トルクが所定のリセット条件を満たすか否かを判定する。その結果、リセット条件を満たすと判定した場合は処理をステップＳ１４３に進め、満たさないと判定した場合は処理をステップＳ１４５に進める。なお、前述のように他の処理で第２トルクを取得可能であるためにステップＳ１０の処理を省略した場合は、その第２トルクを用いてステップＳ１４１の判定を行う。また、前述のように第２トルクを取得する代わりに第１トルクを取得した場合は、第１トルクがリセット条件を満たすか否かをステップＳ１４１において判定すればよい。

ステップＳ１４１の判定で用いられるリセット条件は、第１コントローラ１０において、第２コントローラ２０がリセットされて第２モータ４３の制御が停止した場合に第２トルクセンサ４５から出力されるべき第２トルクの値の変化に応じて予め設定されている。以下では、図６に示すリセット判定領域Ｄ１をリセット条件に用いた場合を具体例として、本発明の第１の実施形態におけるステップＳ１４１のリセット判定の方法について、図６を参照して説明する。図６において、波形６１は車両のドライバによるステアリングの入力トルクを表し、波形６２はこの入力トルクに対して第２モータ４３が出力する正常時の出力トルクを表している。リセット判定領域Ｄ１には、たとえば正常時の出力トルクの５０％付近の領域が設定される。

図６（ａ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０がリセットされていない場合の第２トルクの変化の様子を示す図である。この場合、第１コントローラ１０と第２コントローラ２０の間の通信が異常となることで、協調制御は不可能であるが、第２コントローラ２０による第２モータ４３の制御は継続して行われる。そのため破線で示すように、第２トルクは波形６２が示す正常時の出力トルク付近で変動するものの、そこから大きく減少することはない。したがって、第２トルクはリセット判定領域Ｄ１に到達せず、ステップＳ１４１においてリセット条件を満たさないと判定される。

図６（ｂ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０がリセットされていた場合の第２トルクの変化の様子を示す図である。この場合、第２コントローラ２０による第２モータ４３の制御が停止することで、電動パワーステアリングシステム１０００において第２系統が停止して第２トルクが急激に減少するが、冗長系である第１系統の第１モータ３３が駆動しているため、第２トルクは完全に０とはならず、正常時の出力トルクの約半分の値が第２トルクとして検出される。その結果、破線で示すように第２トルクが変化してリセット判定領域Ｄ１内となり、ステップＳ１４１においてリセット条件を満たすと判定される。

なお、上記のリセット判定領域Ｄ１には、正常時の出力トルクの５０％付近以外の領域を設定してもよい。たとえば、第１モータ３３と第２モータ４３が機械的に完全に分離しており、第１モータ３３の駆動が第２モータ４３に影響を及ぼさない場合には、第２コントローラ２０がリセットされて第２モータ４３が停止すると、第２トルクは０となる。したがってこのような場合には、正常時の出力トルクの０％付近の領域をリセット判定領域Ｄ１に設定してもよい。これ以外にも、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、リセット判定領域Ｄ１を設定することができる。

また、ステップＳ１４１の判定では、図６に示したリセット判定領域Ｄ１以外をリセット条件として用いてもよい。たとえば、第２モータ４３が停止したときの第２トルクの減少速度に着目し、所定の単位時間当たりの第２トルクの変化量（減少量）が所定の閾値を超えることをリセット条件として、このリセット条件を満たすか否かによりステップＳ１４１の判定を行うことができる。あるいは、第２モータ４３が停止したときに第２トルクが連続的に減少することに着目し、所定の判定時間内で第２トルクが単調減少することをリセット条件として、このリセット条件を満たすか否かによりステップＳ１４１の判定を行うこともできる。これ以外にも、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、リセット判定条件を設定することができる。

図５の説明に戻ると、ステップＳ１４３において、第１リセット判定部１４は、第２コントローラ２０がリセットされたと判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０と第２コントローラ２０の間の通信異常の原因は、第２コントローラ２０のリセットであるとの判定結果が得られる。ステップＳ１４３を実行したら、第１リセット判定部１４は図５に示すリセット判定を終了する。

一方、ステップＳ１４１で第２トルクがリセット条件を満たさないと判定した場合、ステップＳ１４５において、第１リセット判定部１４は、リセット判定カウンタをインクリメントする。このリセット判定カウンタは、第２トルクがリセット条件を満たさないと判定された期間を計測するためのカウンタであり、第１コントローラ１０の動作中にＲＡＭ１０５に記憶されている。すなわち、第２コントローラ２０がリセットされて第２モータ４３の制御が停止した場合であっても、図６（ｂ）に示したように、第２トルクがリセット判定領域Ｄ１に到達するまでにはある程度の時間がかかるため、ステップＳ１４１の時点で第２トルクがリセット条件を満たしているとは限らない。そのため、第２トルクがリセット条件を満たさない場合には、その時間をリセット判定カウンタにより計測する。

ステップＳ１４５の処理を実行した後、ステップＳ１４７において、第１リセット判定部１４は、リセット判定カウンタが所定のリセット判定閾値よりも大きいか否かを判定する。その結果、リセット判定カウンタがリセット判定閾値よりも大きい場合は処理をステップＳ１４９に進め、そうでない場合、すなわちリセット判定カウンタがリセット判定閾値以下である場合は図５に示すリセット判定を終了する。なお、ステップＳ１４７の判定で用いられるリセット判定閾値は、第２コントローラ２０のリセットが第２トルクに影響してリセット条件が満たされるまでの時間を考慮して、コントローラ２０がリセットされていないと確定するのに十分な時間に応じた値が予め設定されている。

ステップＳ１４７でリセット判定カウンタがリセット判定閾値よりも大きいと判定した場合、ステップＳ１４９において、第１リセット判定部１４は、ネットワーク３０が異常であるか、または、第１コントローラ１０の第１通信部１１と第２コントローラ２０の第２通信部２１の少なくとも一方が異常であると判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０と第２コントローラ２０の間の通信異常の原因は、第２コントローラ２０のリセットではなく、通信系の異常であるとの判定結果が得られる。ステップＳ１４９を実行したら、第１リセット判定部１４は図５に示すリセット判定を終了する。

第１リセット判定部１４は、第１コントローラ１０と第２コントローラ２０の間の通信が異常である場合には、以上説明したようなリセット判定を行うことで、第２モータ４３の状態に関するセンサ信号である第２トルクの変化に基づいて、第２コントローラ２０がリセットされたか否かを判定することができる。

次に、図３のステップＳ１５で実行される制御状態決定について説明する。図７は、本発明の第１の実施形態における第１制御部１５による制御状態決定のフローチャートである。

ステップＳ１５１において、第１制御部１５は、ステップＳ１４のリセット判定の結果に基づき、第２コントローラ２０がリセットされたか否かを判定する。リセット判定においてステップＳ１４３が実行されることで、第２コントローラ２０がリセットされたとの判定結果が得られた場合は、処理をステップＳ１５３に進める。一方、リセット判定においてステップＳ１４９が実行されることで、第２コントローラ２０がリセットされていないとの判定結果が得られた場合は、処理をステップＳ１５７に進める。なお、リセット判定においてステップＳ１４３とステップＳ１４９のいずれも実行されていない場合、すなわちステップＳ１４７でリセット判定カウンタがリセット判定閾値以下であると判定された場合は、ステップＳ１５１の処理を行わずに、図７に示す制御状態決定を終了することが好ましい。

ステップＳ１５３において、第１制御部１５は、第１コントローラ１０の動作を継続させて第１モータ３３の制御を続けるように、第１コントローラ１０の制御状態を決定する。これにより、電動パワーステアリングシステム１０００において第２系統が停止した場合には、第１系統の動作を継続してシステム全体が停止するのを防止する。ステップＳ１５３を実行したら、第１制御部１５は図７に示す制御状態決定を終了する。

一方、ステップＳ１５１で第２コントローラ２０がリセットされていないと判定した場合、ステップＳ１５５において、第１制御部１５は、第１コントローラ１０の優先度と第２コントローラ２０の優先度を比較し、第１コントローラ１０の優先度の方が高いか否かを判定する。その結果、第１コントローラ１０の優先度の方が高いと判定した場合は処理をステップＳ１５３に進め、そうでない場合、すなわち第２コントローラ２０の優先度の方が高いと判定した場合は処理をステップＳ１５７に進める。なお、第１コントローラ１０および第２コントローラ２０には、その制御継続の優先度合いに応じた優先度がそれぞれ予め設定されており、両方の優先度がそれぞれ記憶されている。

ステップＳ１５５で第１コントローラ１０の優先度の方が高いと判定した場合は、ステップＳ１５１で第２コントローラ２０がリセットされたと判定した場合と同様に、第１制御部１５はステップＳ１５３を実行することで、第１コントローラ１０の動作を継続させて第１モータ３３の制御を続けるようにする。一方、ステップＳ１５５で第２コントローラ２０の優先度の方が高いと判定した場合は、ステップＳ１５７において、第１制御部１５は、第１コントローラ１０の動作を停止させて第１モータ３３の制御を行わないように、第１コントローラ１０の制御状態を決定する。その結果、第１コントローラ１０において第１制御指令生成部１２からの第１制御指令の出力が停止され、第１インバータ３１による第１モータ３３の駆動制御が行われなくなる。これにより、電動パワーステアリングシステム１０００において第２系統が動作しており、かつ第２系統の優先度が高い場合には、第１系統の動作を停止する。ステップＳ１５７を実行したら、第１制御部１５は図７に示す制御状態決定を終了する。

第１制御部１５は、以上説明したような制御状態決定を行うことで、第２コントローラ２０がリセットされた場合には、第１コントローラ１０の動作を継続させることができる。また、第２コントローラ２０がリセットされていない場合には、第１コントローラ１０と第２コントローラ２０の優先度に応じて、第１コントローラ１０を停止させるか否かを決定することができる。すなわち、第１コントローラ１０と第２コントローラ２０は同じフェイルセーフ処理をそれぞれ実行しているため、これらの間の通信異常の原因が一方のコントローラのリセット以外であった場合には、同じタイミングで通信異常を検出する場合がある。そのため、優先度を考慮せずに第１コントローラ１０と第２コントローラ２０が自身の動作をそれぞれ停止させると、制御システム１全体が停止してしまう。しかし、上記のように第１コントローラ１０と第２コントローラ２０がそれぞれの優先度を考慮して自身の動作を停止するか否かを決定することで、制御システム１において第１コントローラ１０と第２コントローラ２０のいずれか一方のみが停止される。すなわち、制御システム１は、第２コントローラ２０がリセットされていないと第１リセット判定部１４が判定し、かつ第１コントローラ１０がリセットされていないと第２コントローラ２０が判定した場合に、第１コントローラ１０と第２コントローラ２０のそれぞれに対して予め設定された優先度に基づいて、第１コントローラ１０による第１モータ３３の制御または第２コントローラ２０による第２モータ４３の制御のいずれか一方を停止させる。その結果、電動パワーステアリングシステム１０００において、システム全体が停止するのを避けることができる。

上述した第１コントローラ１０によれば、第２コントローラ２０との間に通信異常が生じたときに、その通信異常の原因を直ちに区別して判断することができる。すなわち、第２コントローラ２０に対する通信異常が、ネットワーク３０や互いの通信機能などの通信系の異常で生じたものか、それとも通信相手の第２コントローラ２０がリセットされたことによるものかを、第２コントローラ２０がリセット状態から復帰するまで待つことなく判断することができる。なお、第２コントローラ２０がリセット状態から復帰するまでの時間が経過すれば、復帰後の通信状態が正常か否かを第１コントローラ１０において確認することで、本実施形態で説明したフェイルセーフ処理を行わずに通信異常の原因を判断することも可能である。しかし、こうした手法では、第１コントローラ１０は、通信異常の原因を判定するために、少なくとも第２コントローラ２０がリセット状態から復帰するまでの時間を待つ必要がある。これに対して、本実施形態で説明したフェイルセーフ処理によれば、第２コントローラ２０がリセット状態から復帰するまで待つことなく、通信異常の原因を第１コントローラ１０において判定することができる。したがって、従来よりも素早い判断が可能となる。

さらに、本実施形態で説明したフェイルセーフ処理では、第１リセット判定部１４によるリセット判定の結果を受けて、第１コントローラ１０が即座に自身の制御モードを決定できる。また、第２コントローラ２０でも同様に、即座に自身の制御モードを決定できる。そのため、電動パワーステアリングシステム１０００の全システム、すなわち第１系統と第２系統の両方が同時に停止してしまう状態や、第１系統と第２系統の制御がそれぞれ非同期に実施されるような事態を避けることができる。

以上説明した本発明の第１の実施形態によれば、以下の作用効果を奏する。

（１）電子制御装置である第１コントローラ１０は、第一の制御対象である第１モータ３３を制御するための第１制御指令を生成して出力する第１制御指令生成部１２と、第二の制御対象である第２モータ４３を制御するための他の電子制御装置である第２コントローラ２０と通信を行う第１通信部１１と、第１通信部１１による第２コントローラ２０との通信が異常であるか否かを判定する第１通信異常判定部１３と、第１通信異常判定部１３により第２コントローラ２０との通信が異常であると判定された場合に、第２モータ４３の状態に関するセンサ信号である第２トルクの変化に基づいて、第２コントローラ２０がリセットされたか否かを判定する第１リセット判定部１４と、を備える。このようにしたので、第１コントローラ１０と第２コントローラ２０の間に通信異常が発生した場合に、その原因を直ちに判断することができる。

（２）第１リセット判定部１４は、ステップＳ１４１およびＳ１４３において、第２トルクが変化して所定のリセット判定領域Ｄ１内となったときに、第２コントローラ２０がリセットされたと判定する。また、所定の単位時間当たりの第２トルクの変化量が所定の閾値を超えたときに、第２コントローラ２０がリセットされたと判定することもできる。さらに、所定の判定時間内で第２トルクが単調減少したときに、第２コントローラ２０がリセットされたと判定することもできる。このようにしたので、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、第２コントローラ２０がリセットされたか否かを適切に判定することができる。

（３）第１制御指令生成部１２は、ステップＳ１５１およびＳ１５３において、第１リセット判定部１４により第２コントローラ２０がリセットされたと判定された場合に、第１制御指令の出力を継続する。このようにしたので、第２コントローラ２０がリセットされたときには、第１コントローラ１０による第１モータ３３の制御を続けて、電動パワーステアリングシステム１０００が停止するのを防ぐことができる。

（第２の実施形態）
次に本発明の第２の実施形態について説明する。本実施形態では、通信異常を検出した際に制御対象とするモータの制御量を制限する例を説明する。

図８は、本発明の第２の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図８に示す電動パワーステアリングシステム１００１は、第１の実施形態で説明した電動パワーステアリングシステム１０００と比較して、図１の制御システム１における第１コントローラ１０および第２コントローラ２０が、制御システム１Ａにおける第１コントローラ１０Ａおよび第２コントローラ２０Ａに置き換わっている点が異なっている。第１コントローラ１０Ａは、図１の第１制御指令生成部１２および第１リセット判定部１４に代えて、第１制御指令生成部１２Ａおよび第１リセット判定部１４Ａを機能的に有している。同様に、第２コントローラ２０Ａは、図１の第２制御指令生成部２２および第２リセット判定部２４に代えて、第２制御指令生成部２２Ａおよび第２リセット判定部２４Ａを機能的に有している。なお、これ以外の点は第１の実施形態と同じであるため、以下では説明を省略する。

第１コントローラ１０Ａおよび第２コントローラ２０Ａは、第１の実施形態で説明したのとは異なる手順により、フェイルセーフ処理をそれぞれ実行する。このフェイルセーフ処理において、第１制御指令生成部１２Ａおよび第２制御指令生成部２２Ａは、第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信が異常であると判断されると、制御対象である第１モータ３３および第２モータ４３の制御量をそれぞれ制限する。また、第１リセット判定部１４Ａおよび第２リセット判定部２４Ａは、第１の実施形態で説明したのとは異なる手順でリセット判定をそれぞれ行う。なお、第１コントローラ１０Ａと第２コントローラ２０Ａの動作は同様であるため、以下では第１コントローラ１０Ａの動作についてのみ説明し、第２コントローラ２０Ａの動作については説明を省略する。

図９は、本発明の第２の実施形態における第１コントローラ１０Ａによるフェイルセーフ処理のフローチャートである。第１コントローラ１０Ａは、制御システム１Ａの電源が投入されると、図９に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。なお、図９のフローチャートにおいて、ステップＳ１０〜Ｓ１２、Ｓ１５はそれぞれ図３と同様の処理内容である。以下では、図３と異なるステップＳ１３およびＳ１４Ａについて説明する。

ステップＳ１１の通信異常判定の結果が通信異常であるとステップＳ１２において判定されると、ステップＳ１３において、第１コントローラ１０Ａは、第１モータ３３の制御量を制限する。ここでは、第１制御指令生成部１２Ａから第１インバータ３１に出力する第１制御指令を通常時よりも低い値に制限することで、第１モータ３３の制御量を制限する。たとえば、前述の舵角信号や第１トルクおよび第１モータ回転角に基づいて決定された第１モータ３３の目標トルクに対して、第１モータ３３の出力トルクがそのＸ％（たとえば２５％）に制限されるように、第１制御指令生成部１２が第１制御指令を生成して第１インバータ３１に出力する。これ以外にも、たとえば目標トルクに関わらず所定の制御量を第１制御指令として出力するなど、他の方法で第１モータ３３の制御量を制限することとしてもよい。ステップＳ１３を実行したら、第１コントローラ１０Ａは処理をステップＳ１４Ａに進める。

ステップＳ１４Ａにおいて、第１コントローラ１０Ａは、第１リセット判定部１４Ａによるリセット判定を行う。このとき第１リセット判定部１４Ａは、図１０のフローチャートに示す処理を行い、第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常が第２コントローラ２０Ａのリセットによるものか否かを判定する。

図１０は、本発明の第２の実施形態における第１リセット判定部１４Ａによるリセット判定のフローチャートである。ステップＳ１４１Ａにおいて、第１リセット判定部１４Ａは、ステップＳ１０で取得した第２トルクが正常時またはリセット時のどちらに合致するかを判定する。その結果、第２トルクがリセット時に合致すると判定した場合は処理をステップＳ１４３に進め、正常時に合致すると判定した場合は処理をステップＳ１４９に進める。なお、本実施形態でも第１の実施形態で説明したのと同様に、他の処理で第２トルクを取得可能であるためにステップＳ１０の処理を省略した場合は、その第２トルクを用いてステップＳ１４１Ａの判定を行う。また、前述のように第２トルクを取得する代わりに第１トルクを取得した場合は、第１トルクが正常時またはリセット時のどちらに合致するかをステップＳ１４１Ａにおいて判定すればよい。

ステップＳ１４１Ａの判定は、図９のステップＳ１３で制限された第１モータ３３の制御量や、同様にして制限された第２モータ４３の制御量を考慮して、第２トルクがこれらの制限後のモータ制御量に合致するか否かを判断することで行われる。以下では、前述のように第１モータ３３の出力トルクを目標トルクのＸ％に制限した場合を例として、本発明の第２の実施形態におけるステップＳ１４１Ａのリセット判定の方法について、図１１を参照して説明する。なお、図１１においても第１の実施形態で説明した図６と同様に、波形６１は車両のドライバによるステアリングの入力トルクを表し、波形６２はこの入力トルクに対して第２モータ４３が出力する正常時の出力トルクを表している。

図１１（ａ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０Ａがリセットされていない場合の第２トルクの変化の様子を示す図である。この場合、第１コントローラ１０Ａにおいて第１モータ３３の出力トルクが目標トルクのＸ％に制限されると共に、第２コントローラ２０Ａによる第２モータ４３の制御が継続して行われているため、第２コントローラ２０Ａでも同様に、第２モータ４３の出力トルクが目標トルクのＸ％に制限される。そのため破線で示すように、目標トルクの２Ｘ％の値が第２トルクとして検出される。ここで、目標トルクの２Ｘ％付近の値を正常判定領域Ｄ２に設定しておくと、第２トルクがこの正常判定領域Ｄ２に収まることで、ステップＳ１４１Ａにおいて第２トルクが正常時に合致したと判定される。

図１１（ｂ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０Ａがリセットされていた場合の第２トルクの変化の様子を示す図である。この場合、第２コントローラ２０Ａによる第２モータ４３の制御が停止することで、電動パワーステアリングシステム１００１において第２系統が停止して第２トルクが急激に減少する。一方、冗長系である第１系統の第１モータ３３は駆動しており、その出力トルクが目標トルクのＸ％に制限されている。そのため、第２トルクは破線で示すように完全に０とはならず、正常時の出力トルクのＸ％の値が第２トルクとして検出される。ここで、目標トルクのＸ％付近の値をリセット判定領域Ｄ３に設定しておくと、第２トルクがこのリセット判定領域Ｄ３に収まることで、ステップＳ１４１Ａにおいて第２トルクがリセット時に合致したと判定される。

なお、上記の正常判定領域Ｄ２やリセット判定領域Ｄ３についても、第１の実施形態におけるリセット判定領域Ｄ１と同様に、図１１に例示した以外の領域を設定してもよい。第１コントローラ１０Ａや第２コントローラ２０Ａにおいて第１モータ３３や第２モータ４３の制御量が制限されることによる第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、正常判定領域Ｄ２やリセット判定領域Ｄ３を設定することができる。

図１０の説明に戻ると、ステップＳ１４３において、第１リセット判定部１４Ａは、第２コントローラ２０がリセットされたと判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常の原因は、第２コントローラ２０Ａのリセットであるとの判定結果が得られる。ステップＳ１４３を実行したら、第１リセット判定部１４Ａは図１０に示すリセット判定を終了する。

一方、ステップＳ１４１Ａで第２トルクが正常時に合致すると判定した場合、ステップＳ１４９において、第１リセット判定部１４Ａは、ネットワーク３０が異常であるか、または、第１コントローラ１０Ａの第１通信部１１と第２コントローラ２０Ａの第２通信部２１の少なくとも一方が異常であると判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常の原因は、第２コントローラ２０Ａのリセットではなく、通信系の異常であるとの判定結果が得られる。ステップＳ１４９を実行したら、第１リセット判定部１４Ａは図１０に示すリセット判定を終了する。

以上説明した本発明の第２の実施形態によれば、第１制御指令生成部１２Ａは、第１通信異常判定部１３により第２コントローラ２０Ａとの通信が異常であると判定された場合に、ステップＳ１３において、第１制御指令における第１モータ３３の制御量を制限する。また、第１リセット判定部１４Ａは、ステップＳ１４１ＡおよびＳ１４９において、第２トルクの変化量が制限後の制御量に合致するときに、第２コントローラ２０Ａがリセットされていないと判定する。このようにしたので、通信異常時に車両のドライバが意図しない制御が行われるのを防止できると共に、第２コントローラ２０Ａがリセットされていない場合にはこれを素早く判断することができる。

（第３の実施形態）
次に本発明の第３の実施形態について説明する。前述の第１の実施形態では、第１コントローラ１０と第２コントローラ２０のそれぞれに対して優先度を予め設定し、この優先度に基づいて、第１コントローラ１０または第２コントローラ２０がリセットされた場合に、第１コントローラ１０による第１モータ３３の制御または第２コントローラ２０による第２モータ４３の制御のいずれか一方を停止させる例を説明した。これに対して、本実施形態では、優先度を設定せずに第１コントローラ１０のみを停止させる例を説明する。

図１２は、本発明の第３の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図１２に示す電動パワーステアリングシステム１００２は、第１の実施形態で説明した電動パワーステアリングシステム１０００と比較して、図１の制御システム１における第１コントローラ１０および第２コントローラ２０が、制御システム１Ｂにおける第１コントローラ１０Ｂおよび第２コントローラ２０Ｂに置き換わっている点と、第１トルクセンサ３５から第２コントローラ２０Ｂに第１トルクが出力されない点が異なっている。第１コントローラ１０Ｂは、図１の第１制御部１５に代えて、第１制御部１５Ｂを機能的に有している。一方、第２コントローラ２０Ｂは、第２通信部２１および第２制御指令生成部２２のみを機能的に有しており、図１の第２通信異常判定部２３、第２リセット判定部２４および第２制御部２５は有していない。すなわち、本実施形態の第２コントローラ２０Ｂは、第１コントローラ１０Ｂとの通信機能および第２モータ４３の制御機能は有しているが、第１トルクに基づくフェイルセーフ機能は有していない。なお、これ以外の点は第１の実施形態と同じであるため、以下では説明を省略する。

第１コントローラ１０Ｂは、第１の実施形態で説明したのとは異なる手順により、フェイルセーフ処理を実行する。このフェイルセーフ処理において、第１制御部１５Ｂは、第１の実施形態で説明したのとは異なる手順で制御状態決定判定を行う。

図１３は、本発明の第３の実施形態における第１コントローラ１０Ｂによるフェイルセーフ処理のフローチャートである。第１コントローラ１０Ｂは、制御システム１Ｂの電源が投入されると、図１３に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。なお、図１３のフローチャートにおいて、ステップＳ１０〜Ｓ１４はそれぞれ図３と同様の処理内容である。以下では、図３と異なるステップＳ１５Ｂについて説明する。

ステップＳ１４において第１リセット判定部１４によるリセット判定が行われると、ステップＳ１５Ｂにおいて、第１コントローラ１０Ｂは、第１制御部１５Ｂによる制御状態決定を行う。このとき第１制御部１５Ｂは、図１４のフローチャートに示す処理を行い、第１コントローラ１０Ｂの制御モードを決定する。

図１４は、本発明の第３の実施形態における第１制御部１５Ｂによる制御状態決定のフローチャートである。ステップＳ１５１において、第１制御部１５Ｂは、ステップＳ１４のリセット判定の結果に基づき、第２コントローラ２０Ｂがリセットされたか否かを判定する。リセット判定においてステップＳ１４３が実行されることで、第２コントローラ２０Ｂがリセットされたとの判定結果が得られた場合は、第１の実施形態と同様にステップＳ１５３において、第１コントローラ１０Ｂの動作を継続させて第１モータ３３の制御を続けるように、第１コントローラ１０Ｂの制御状態を決定する。その後、第１制御部１５Ｂは図１４に示す制御状態決定を終了する。

一方、リセット判定においてステップＳ１４９が実行されることで、第２コントローラ２０Ｂがリセットされていないとの判定結果が得られた場合は、処理をステップＳ１５７に進める。すなわちこの場合は、第１の実施形態とは異なり、図７のステップＳ１５５の判定を実行することなく、ステップ１５７において、第１コントローラ１０Ｂの動作を停止させて第１モータ３３の制御を行わないように、第１コントローラ１０Ｂの制御状態を決定する。その後、第１制御部１５Ｂは図１４に示す制御状態決定を終了する。

第１制御部１５Ｂは、以上説明したような制御状態決定を行うことで、第２コントローラ２０Ｂがリセットされた場合には、第１の実施形態と同様に、第１コントローラ１０Ｂの動作を継続させることができる。一方、第２コントローラ２０Ｂがリセットされていない場合には、第１の実施形態とは異なり、第１コントローラ１０Ｂを停止させて第１制御指令生成部１２からの第１制御指令の出力を停止することができる。すなわち、本実施形態では第２コントローラ２０Ｂはフェイルセーフ処理を実行していないため、第１コントローラ１０Ｂがリセットされることでこれらのコントローラ間に通信異常が発生した時でも、第２コントローラ２０Ｂの動作が停止されることはない。したがって、このような場合には第１コントローラ１０Ｂの動作を停止させることで、電動パワーステアリングシステム１００２において、システム全体が停止するのを避けつつ、通信異常時に車両のドライバが意図しない制御が行われるのを防止できる。

以上説明した本発明の第３の実施形態によれば、第１制御指令生成部１２は、ステップＳ１５１およびＳ１５７において、第１リセット判定部１４により第２コントローラ２０Ｂがリセットされていないと判定された場合に、第１制御指令の出力を停止する。一方、ステップＳ１５１およびＳ１５３において、第１リセット判定部１４により第２コントローラ２０Ｂがリセットされたと判定された場合に、第１制御指令の出力を継続する。このようにしたので、第１コントローラ１０Ｂと第２コントローラ２０Ｂの間で通信異常が検出されたときに、その通信異常の原因に応じて、第１コントローラ１０Ｂによる第１モータ３３の制御を継続するか否かを適切に決定することができる。

（変形例）
なお、以上説明した各実施形態において、ネットワーク３０に接続されて相互に通信を行うコントローラの数は２つに限らず、３つ以上であってもよい。その場合、たとえばコントローラの数をＮ個とすると、第１の実施形態におけるリセット判定領域Ｄ１には、コントローラの数に応じて、正常時のモータ出力トルクの１／Ｎ付近の領域を設定することが好ましい。また、第２の実施形態における制限後のモータ出力トルクも、コントローラの数に応じて設定することが好ましい。

また、以上説明した第１および第２の実施形態では、第１コントローラ１０、１０Ａの第１制御部１５と第２コントローラ２０、２０Ａの第２制御部２５とが、それぞれ図７の制御状態決定を行うことで、これらのコントローラがリセットされていない場合はそれぞれの優先度に応じて一方のコントローラを停止させる例を説明した。しかし、制御システム１、１Ａ内に第１コントローラ１０、１０Ａや第２コントローラ２０、２０Ａとは別の制御回路を設け、この制御回路においてどちらのコントローラを停止させるかを決定するようにしてもよい。

また、以上説明した各実施形態では、電動パワーステアリングシステムにおいて車両のステアリングをアシストまたは制御するための駆動力を発生する第１モータ３３および第２モータ４３をコントローラの制御対象とした例を説明したが、他のものをコントローラの制御対象としてもよい。たとえば車両の走行モータやブレーキアクチュエータ、車両以外のシステムに搭載される各種アクチュエータなど、複数の系統で冗長化されたシステムにおいて用いられるものであれば、様々なものを制御対象とすることができる。その場合、第１の実施形態で説明したステップＳ１４１のリセット条件や、第２の実施形態で説明したステップＳ１４１Ａの判定条件は、この制御対象に応じて設定されることが好ましい。たとえば、一方の系統が停止したときに検出されるセンサ信号が増加方向に変化する場合は、当該センサ信号の変化量すなわち増加量が所定の閾値を超えることや、所定の判定時間内で当該センサ信号が単調増加することをリセット条件として、これらのリセット条件を満たすか否かによりステップＳ１４１の判定を行う。その結果、これらのリセット条件を満たしたときに、一方のコントローラにおいて他方のコントローラがリセットされたと判定することができる。

なお、以上説明した各実施形態および変形例はあくまで一例であり、発明の特徴が損なわれない限り、本発明はこれらの内容に限定されるものではない。また、上記では種々の実施形態を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

１，１Ａ，１Ｂ：制御システム
１０，１０Ａ，１０Ｂ：第１コントローラ
１１：第１通信部
１２，１２Ａ：第１制御指令生成部
１３：第１通信異常判定部
１４，１４Ａ：第１リセット判定部
１５，１５Ｂ：第１制御部
２０，２０Ａ，２０Ｂ：第２コントローラ
２１：第２通信部
２２，２２Ａ：第２制御指令生成部
２３：第２通信異常判定部
２４，２４Ａ：第２リセット判定部
２５：第２制御部
３０：ネットワーク
３１：第１インバータ
３３：第１モータ
３５：第１トルクセンサ
３７：第１モータ回転角センサ
４１：第２インバータ
４３：第２モータ
４５：第２トルクセンサ
４７：第２モータ回転角センサ
１０００，１００１，１００２：電動パワーステアリングシステム

Claims

第一の制御対象を制御するための制御指令を生成して出力する制御指令生成部と、
第二の制御対象を制御する他の電子制御装置と通信を行う通信部と、
前記通信部による前記他の電子制御装置との通信が異常であるか否かを判定する通信異常判定部と、
前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記第二の制御対象の状態に関するセンサ信号の変化に基づいて、前記他の電子制御装置がリセットされたか否かを判定するリセット判定部と、を備える電子制御装置。
請求項１に記載の電子制御装置において、
前記リセット判定部は、前記センサ信号が変化して所定のリセット判定領域内となったときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
請求項１に記載の電子制御装置において、
前記リセット判定部は、所定の単位時間当たりの前記センサ信号の変化量が所定の閾値を超えたときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
請求項１に記載の電子制御装置において、
前記リセット判定部は、所定の判定時間内で前記センサ信号が単調増加または単調減少したときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
請求項１に記載の電子制御装置において、
前記制御指令生成部は、前記リセット判定部により前記他の電子制御装置がリセットされていないと判定された場合に、前記制御指令の出力を停止する電子制御装置。
請求項１に記載の電子制御装置において、
前記制御指令生成部は、前記リセット判定部により前記他の電子制御装置がリセットされたと判定された場合に、前記制御指令の出力を継続する電子制御装置。
請求項１に記載の電子制御装置において、
前記制御指令生成部は、前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記制御指令における前記第一の制御対象の制御量を制限する電子制御装置。
請求項７に記載の電子制御装置において、
前記リセット判定部は、前記センサ信号の変化量が制限後の前記制御量に合致するときに、前記他の電子制御装置がリセットされていないと判定する電子制御装置。
請求項１から請求項８までのいずれか一項に記載の電子制御装置および他の電子制御装置を備え、
前記他の電子制御装置は、前記電子制御装置との通信が異常である場合に、前記電子制御装置がリセットされたか否かを判定する第二のリセット判定部を有しており、
前記他の電子制御装置がリセットされていないと前記リセット判定部が判定し、かつ前記電子制御装置がリセットされていないと前記第二のリセット判定部が判定した場合に、前記電子制御装置と前記他の電子制御装置のそれぞれに対して予め設定された優先度に基づいて、前記電子制御装置による前記第一の制御対象の制御または前記他の電子制御装置による前記第二の制御対象の制御のいずれか一方を停止させる制御システム。
相互に通信を行う第一の電子制御装置および第二の電子制御装置を有する制御システムにおけるリセット判定方法であって、
前記第一の電子制御装置により、前記第二の電子制御装置との通信が異常であるか否かを判定し、
前記第二の電子制御装置との通信が異常であると判定された場合に、前記第一の電子制御装置により、前記第二の電子制御装置の制御対象の状態に関するセンサ信号の変化に基づいて、前記第二の電子制御装置がリセットされたか否かを判定するリセット判定方法。