JP2729184B2 - 複数のデータ処理装置を用いた制御装置における出力同期方法 - Google Patents

Description

【発明の詳細な説明】 ［産業上の利用分野］ この発明は、たとえば自動車におけるエンジン等の１
つの被処理装置を複数のたとえばマイクロコンピュータ
であるデータ処理装置を有する制御装置を用いて制御す
るシステムにおける、各データ処理装置の制御データ出
力タイミングの同期をとるための方法に関する。

［先行技術の説明］ 近年、マイクロコンピュータなどのデータ処理装置を
用いて自動車のエンジン等の被制御装置の動作を制御す
ることが一般的に行なわれるようになってきている。こ
の場合、１個のマイクロコンピュータで被制御装置を制
御する構成においては、制御装置であるマイクロコンピ
ュータに異常が発生した場合、被制御装置に対し所望の
制御を行なうことができなくなる。このため、従来か
ら、制御システム、特に自動車の運転走行システムの安
全性などを高めるために、第３図に示すように同一の制
御プログラムに従って動作する複数のたとえば１チップ
のマイクロコンピュータであるデータ処理装置（以下の
説明ではデータ処理装置をCPUと称す）を用いて１個の
被制御装置の動作制御を行なうことが行なわれている。

第３図を参照して、従来の制御システムは、予め定め
られた制御プログラムに従って、被制御装置１の状態の
監視を行ないかつその監視情報を送出する図示しない手
段からの信号に従って被制御装置１の動作（または状
態）を制御するための制御データ（制御信号）を出力す
るたとえば１チップのマイクロコンピュータであるCPU
2,3と、CPU2,3からの制御データのANDまたはOR処理を行
なって被制御装置１へ制御信号として与えるAND/OR処理
回路４とから構成される。

CPU2,3は同一の制御プログラムに従ってデータ処理動
作を行ない、割込要求IRQが与えられるとそのときに決
定されている制御データを出力する。

CPU2,3はまた、AND/OR処理回路４出力を監視し、自己
が出力したものと同一の制御信号が被制御装置１へ与え
られているか否かを判定する機能をも併せ持つ。

AND/OR処理回路４は与えられた制御データのAND処理
またはOR処理を行なう。したがって、CPU2,3から同一の
制御データが与えられている場合には、与えられた制御
データと同一のレベルの制御信号を被制御装置１へ与え
る。一方、CPU2,3からの制御データが異なっている場
合、AND/OR処理回路４から出力される制御信号のレベル
は少なくとも一方のCPUから与えられる制御データと異
なっている。したがって、AND/OR処理回路４が出力する
制御信号を各CPU2,3がそれぞれ自己が出力した制御デー
タと比較することにより、この制御システムに異常が発
生しているか否かを判定することが可能となる。次にこ
の制御装置の動作フロー図である第４図を参照して、従
来の複数のCPUを用いた制御装置の動作について説明す
る。

被制御装置１は、その形態としては種々のものが考え
られるが、以下の説明においては、自身の状態を変化さ
せるための制御機構と、この制御機構によりその状態が
変化する部分とを備えており、AND/OR処理回路４からの
制御信号は制御機構に与えられるものとする。また、CP
U2,3の各々には予め同一の制御プログラム（制御アルゴ
リズム）が与えられている。CPU2,3には被制御装置１の
状態を示す信号が図示しないセンサ等を介して与えられ
ている。CPU2,3はそれぞれ、制御アルゴリズムを示す制
御プログラムに従って与えられた状態信号に対し予め定
められた演算処理を施し、その状態信号に対応する制御
データΘ_Ｂを決定し保持する（ステップS1およびS2）。
次にCPU2,3はそれぞれこの決定された出力Θ_Ｂの出力を
要求する割込要求IRQが与えられているか否かを判定す
る（ステップS3）。割込要求IRQが与えられていない場
合には再びステップS1へ戻り、そのときに与えられてい
る状態信号に従った新たな出力Θ_Ｂの決定を行なう。一
方、ステップS3において割込要求IRQが与えられている
場合には、この決定された出力Θ_Ｂを制御データとして
出力しAND/OR処理回路４へ与える。AND/OR処理回路４は
CPU2,3からの制御データに対しANDまたはOR処理を施し
て制御データとして被制御装置１へ与える。被制御装置
１はAND/OR処理回路４からの制御信号に従った制御動作
を行なう。一方、AND/OR処理回路４からの制御信号は再
びCPU2,3へそれぞれ与えられ、CPU2,3においてそれぞれ
が出力した制御データと一致しているか否かが判定され
る。このとき各CPU2,3において出力した制御データと与
えられた制御信号（出力モニタ信号）とが一致している
場合にはこの制御装置は正常に動作していることを示し
ており、一方不一致の場合には少なくとも一方のCPUが
異常状態にあり、誤った制御データを出力していると判
定される。これにより、一方のCPUが異常状態となった
場合にはその異常状態が速やかに検出され、この制御装
置による被制御装置１への制御動作は停止され、適当な
処置が施される。

なお上の説明では被制御装置１が自身の状態を変化さ
せるための機構と、この制御機構によりその状態が変化
する部分とを備えているとして説明したが、この被制御
装置１の形態としては、たとえば自動車における加速ペ
ダル（アクセル）の押圧状態を示す信号を状態指示信号
とし、この状態指示信号に従ってエンジンの回転数を制
御するエンジン回転制御機構を被制御装置とするような
構成においても同様である。

すなわち、従来の複数のCPUを用いた制御装置におい
ては、複数のCPUの各々において、与えられた状態指示
データまたは制御指示データに対し同一の制御アルゴリ
ズムに従った演算処理を施し、次にAND/OR処理を施した
後に制御信号として被制御装置へ与える構成がとられて
いる。これにより、被制御装置が異常状態にある制御装
置により制御されることが防止されている。

［発明が解決しようとする課題］ 上述のように、従来の制御装置においては、複数のCP
Uを同一の制御プログラムにより動作させかつ複数のCPU
の出力をAND処理またはOR処理で制御データを出力する
構成がとられ、これにより制御装置の異常に対する対策
がとられている。しかしながら、制御データの出力を要
求する割込要求IRQが与えられるタイミングのずれまた
は各CPUにおける動作タイミングを与えるシステムクロ
ックにおける位相のずれ等に起因して各CPUが正常に動
作しているににもかかわらず各CPUの出力制御データが
異なる場合が生じる。

今第５図（ａ）に示すようにCPU2,3の制御プログラム
のメインループが番地Ｌから番地Ｎまでのステップによ
り与えられており、かつ割込要求IRQが与えられたとき
の割込ループが第５図（ｂ）に示すように番地INTから
始まっているものとする。そのときにCPU2,3におけるシ
ステムクロックのずれやまた信号線における遅延により
割込要求IRQが与えられるタイミングがずれており、タ
イミングＡでCPU2に割込要求IRQが与えられ、一方タイ
ミングＢで割込要求IRQがCPU3に与えられたとする。こ
のとき、割込要求IRQが与えられるとその時点で第５図
（ｂ）に示す割込ループへ移行するが、タイミングＡで
割込要求IRQが与えられたCPU2においては、まだ新たな
状態信号に基づいた出力θ_Ｂが決定されていないため、
その前の状態変化指示信号に応答して決定された出力θ
_Ｂが出力される。一方、タイミングＢで割込要求IRQが
与えられたCPU3においては、既に新たな出力θ_Ｂが決定
されているため、この新たな出力θ_Ｂが出力される。し
たがって、割込要求IRQが周期的に或る一定の間隔をお
いて与えられる場合、CPU2とCPU3が出力する制御データ
として、割込要求IRQが与えられる周期の１周期分だけ
異なった制御データが出力されることになる。したがっ
て、CPU2,3がともに正常に機能しているにもかかわら
ず、CPU2,3からは互いに異なった制御データが出力され
る場合が生じる。このため、制御装置に異常が発生して
いないにもかかわらず、CPU2,CPU3の出力とAND/OR処理
回路４出力との不一致が生じ、制御装置に異常が発生し
ていると判定される場合が生じる。また、AND/OR処理回
路４においては、CPU2,3からの制御データをAND処理ま
たはOR処理を施して出力しているため、本来与えられる
べき制御信号とは異なる制御信号が被制御装置１へ与え
られ、正常な制御動作が行なわれなくなるという問題が
発生する。特に、自動車等における運転走行制御システ
ムにおいては、制御異常が発生すると人命にかかわる問
題となり、制御システムの安全性を高める必要がある。

それゆえ、この発明の目的は上述の従来の制御装置の
有する欠点を除去し、優れた異常検出機能を損なうこと
なく常に同期のとれた制御データを出力することができ
る制御装置を提供することである。

［課題を解決するための手段］ この発明に係る複数のデータ処理装置を用いた制御装
置における出力同期方法は、同一の制御プログラムに従
って動作する複数のデータ処理装置の各々においてこの
制御プログラムに従って被制御装置へ与えられるべき制
御データを算出するステップと、これら複数のデータ処
理装置の各々において、制御データが算出されかつ決定
されたことを示すフラグを導出し、それぞれ他のデータ
処理装置へ転送するステップと、複数のデータ処理装置
の各々が制御データの出力を要求する割込要求に応答し
て、自身のフラグおよび他のデータ処理装置から転送さ
れたフラグに従って複数のデータ処理装置においてフラ
グが導出されているか否かを判別するステップと、複数
のデータ処理装置各々において、複数のデータ処理装置
がすべてフラグを導出していることの検出に応答して、
決定された制御データを出力するステップと、複数のデ
ータ処理装置から出力された制御データを論理的に合成
して被制御装置へ制御データとして出力するステップと
複数のデータ処理装置それぞれにおいて、被制御装置へ
与えられる論理的に合成された制御データを自身が出力
する決定された制御データと比較し、不一致のときには
異常と判定するステップを備える。

好ましくは、すべてのデータ処理装置のフラグが導出
されていないときには、現在の演算サイクルより１つ前
の演算サイクルにおいて決定された制御データを各デー
タ処理装置が出力するステップを含む。

［作用］ 上述の構成に従えば、テータが確定していることを示
すフラグが各データ処理において導出されている場合に
のみ新たな制御データが出力される。したがって、常に
同一の状態信号に対し演算された制御データがデータ処
理装置から出力されることになり、割込要求のタイミン
グのずれおよびシステムのクロックずれ等に起因して制
御プログラムの異なるステップに割込要求IRQが各デー
タ処理装置に与えられた場合においても、その影響を排
除して異常検出機能を損なうことなく正確な制御動作を
行なうことができる。また、単にフラグの観察により、
決定された制御データの出力を行なっているため、高速
で制御データの出力を行なうことができ、被制御装置を
高速で制御することができ、制御応答特性が改善され
る。

［発明の実施例］ 第１図はこの発明の一実施例である複数のデータ処理
装置を用いた制御装置の概略構成を示す図である。

第１図を参照して、本発明の一実施例である制御装置
においては、第３図に示される従来の制御装置と異な
り、たとえば１チップのマイクロコンピュータであるCP
U2,3の間にデータ伝送をたとえばシリアルに行なうため
の通信線5a,5bが設けられる。

CPU2,3にはともに、同一のアルゴリズムの同一の制御
プログラムを実行し、与えられた状態（または制御）信
号に所定の演算処理を施して、出力されるべき制御デー
タを確定（または決定）した後、制御データ確定（決
定）を示すフラグを立てて相手方のCPUへ通信線5a,5bを
介して送出する機能が設けられる。

またさらに、CPU2,3にはともに、割込要求IRQが与え
られると、自己および相手方フラグを検索し、自己およ
び相手方CPUのフラグがともに立てられており、出力制
御データが確定しているか否かを判定し、この判定結果
に従ってデータを出力する機能が設けられる。これらの
機能は、たとえば通信機能およびフラグ用レジスタを設
けることを除いてソフトウェア的に実現される。

次に第１図に示されるこの発明の一実施例である制御
装置の動作をその動作フロー図である第2A図および第2B
図を参照して説明する。

CPU2,3はともに予め与えられた制御アルゴリズムに従
って、与えられた状態信号に所定の演算を施し（ステッ
プS10）、出力制御データθ_Ｂを決定する（S11）。CPU
2,3はともに、出力制御データθ_Ｂが決定されたなら
ば、この出力が決定されたことを示すフラグをセット
し、通信線5a,5bを介して相手方CPUへ送出する。CPU2,3
はともに相手方のCPUから送出されたフラグをラッチす
るとともに決定された出力制御データθ_Ｂをラッチする
（ステップS12）。CPU2,3はともに割込要求IRQが与えら
れない場合にはこの第2A図に示されるメインループS10
〜S12を繰返し実行する。ここで出力決定を示すフラグ
は、新たに制御アルゴリズムの計算を行なうステップS1
0に入った場合に適当な時間にリセットされる。割込要
求IRQがCPU2,3へそれぞれ与えられ、制御データの出力
を要求された場合、第2B図に示す割込ループが実行され
る。割込要求IRQが与えられると、割込ループへ移行
し、各CPU2,3は自己のフラグがセットされているか否か
を判別する（ステップS20）。自己のフラグがセットさ
れている場合には、相手方CPUから送信されてきたフラ
グを調べ、そのフラグがセットされているか否かを判定
する（ステップS21）。これにより、両方のCPU2,3にお
いて新たな出力制御データθ_Ｂが決定されているか否か
が判定される。両方のCPU2,3においてフラグの検索によ
り出力制御データθ_Ｂが決定されていると判定される
と、各CPU2,3は、それぞれ自己の出力制御データθ_Ｂを
送出すべき出力制御データθとし（ステップS22）、次
に自己のセットされているフラグをクリアする（ステッ
プS23）。この自己のフラグのクリア（リセット）の
後、CPU2,3は出力制御データθを出力しAND/OR処理回路
４へ与える。AND/OR処理回路４は与えられた２つの出力
制御データθに対し論理的に合成するためのAND処理ま
たはOR処理を施して制御信号を導出した後、被制御装置
１へ与えるとともに、出力モニタ信号としてCPU2,3へ与
える。各CPU2,3で出力制御データθが出力された後は、
割込ループは完了し、元のメインループの割込まれた位
置へ復帰する。なお割込ループにおいて、ステップS20,
S21の各々において自己のフラグまたは相手方CPUのフラ
グがセットされていない場合、すなわち新たな出力制御
データθ_Ｂが確定していない場合には、割込要求IRQが
与えられる前のメインループにおいて導出された出力制
御データが出力される（ステップS30）。したがって、
被制御装置１へは、割込IRQのタイミングが各CPU2,3の
制御プログラムの異なるステップに与えられたとして
も、それに応じて、現在のメインループで決定された出
力またはその前のメインループで決定された出力が出力
制御データとして出力されることになり、常に同一の状
態信号に対応した出力制御データがAND/OR処理回路４へ
与えられる。したがって、CPU2,3が正常に機能している
場合には、AND/OR処理回路４からはCPU2,3の出力制御デ
ータに応じた制御信号が被制御装置１へ与えられ、かつ
AND/OR処理回路４の出力データをCPU2,3がそれぞれ導出
した出力データと比較し、正常であることが判定され
る。

CPU2,3のいずれか一方が異常状態になる場合には、AN
D/OR処理回路４出力はCPU2,3の一方の出力と異なってい
るため、容易に異常が発生していることが検出される。
なぜならば、常にCPU2,3からは同一の状態信号に用いて
所定の同一の演算処理を施して出力制御データを導出し
ているからである。したがって割込要求IRQが周期的に
所定の間隔をもってCPU2,3へ与えられる場合において
も、常に同一サイクルのメインループ内で決定された出
力制御データが出力されるため、出力データが異なるサ
イクルで形成されたものとなることはなく、出力データ
の同期をとることが可能となり、確実に被制御装置１を
制御することができる。

なお、上記実施例においては、CPU2,3との間のフラグ
交換を通信線5a,5bを介して行なうように説明したが、
これに代えて、第１図に破線のブロックで示すように双
方向メモリ６を用い、この双方向メモリ６の所定アドレ
スに各CPU2,3の出力決定フラグを書込む構成としてもよ
い。このとき、双方向メモリ６に書込まれたフラグは自
己および相手方のCPUにより読出され、自己および相手
方CPUのフラグのセット／リセットが判定される。この
ような双方向メモリ６としては、通常のRAM（ランダム
アクセスメモリ）を用い、このRAMをCPU2,3で共用し、
かつこのRAMのアドレスをそれぞれCPU2,3に対応して割
当てれば容易に実現することができる。また、これに代
えて双方向メモリ６として、データ書込経路とデータ読
出経路とが異なり、一方のCPUがデータを書込むととも
に、他方のCPUがデータを読出す構成のたとえばデュア
ルポートRAMを用いて構成することもできる。

またこれに代えて単純な構成のデータ交換レジスタ等
をフラグラッチおよび交換用のレジスタとして設けるこ
ともできる。

さらに、上記実施例においては、制御装置に含まれる
データ処理装置として２個のCPUが含まれる場合を一例
として説明したが、制御装置に含まれるCPUの数は３個
以上であっても上記実施例と同様の効果を得ることがで
きる。

さらに、CPUとしては１チップのマイクロコンピュー
タに限定されず、他の型式のデータ処理装置であっても
よい。

［発明の効果］ 以上のようにこの発明によれば、同一の制御プログラ
ムに従って動作する複数のデータ処理装置からなる制御
装置において、制御データが確定したか否かを示すフラ
グを設けるとともに、他のデータ処理装置とそのフラグ
を交換可能なようにし、割込要求IRQが与えられたとき
に自己および相手方のフラグのセット／リセットを調
べ、このフラグ状態に従って出力制御データを出力する
ように構成しているので、常に同一の状態信号を用いて
形成された制御データを出力することができ、各CPUに
おける割込タイミングのずれやシステムクロックのずれ
などの影響を除去することができ、データ処理装置多重
化の目的である制御装置異常検出機能を損なうことな
く、常に正常な制御動作を行なうことのできる制御装置
を実現することができる。特に、制御システムが自動車
等の運転走行制御システムの場合、制御異常に伴う人命
の危険を防止することができ、極めて安全性の高い制御
システムを実現することができる。

【図面の簡単な説明】

第１図は本発明の一実施例である複数のデータ処理装置
を用いた制御装置の概略構成を示す図である。第2A図お
よび第2B図はこの発明による制御装置の動作を示すフロ
ー図であり、第2A図はメインループの動作のフローを示
し、第2B図に割込要求発生時における動作フローを示す
図である。第３図は従来の複数のデータ処理装置を用い
た制御装置の概略構成を示す図である。第４図は従来の
制御装置の動作を示すフロー図である。第５図は従来の
制御装置の問題点を示すための図である。 図において、１は被制御装置、2,3はデータ処理装置で
あるCPU、４はAND/OR処理回路、5a,5bはフラグ交換用通
信線、６はフラグ交換用双方向メモリである。 なお、図中、同一符号は同一または相当部分を示す。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 昭57−69403（ＪＰ，Ａ) 特開 昭61−18001（ＪＰ，Ａ) 特開 昭60−45801（ＪＰ，Ａ) 特開 昭61−290836（ＪＰ，Ａ) 特開 昭58−137002（ＪＰ，Ａ) 特開 昭64−57302（ＪＰ，Ａ)

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】複数のデータ処理装置を用いて１つの被制
   御装置の動作を制御する装置における出力同期をとるた
   めの方法であって、前記複数のデータ処理装置は同一の
   制御プログラムに従って動作しており、 前記複数のデータ処理装置の各々において、前記制御プ
   ログラムに従って前記被制御装置へ与えられるべき制御
   データを算出するステップと、 前記複数のデータ処理装置の各々において、前記制御デ
   ータが算出され決定されたことを示すフラグを導出し、
   それぞれ他のデータ処理装置へ転送するステップと、 前記複数のデータ処理装置の各々が、前記制御データの
   出力を要求する割込要求に応答して、自身のフラグおよ
   び他のデータ処理装置から転送されたフラグに従って前
   記複数のデータ処理装置において前記フラグが導出され
   ているか否かを判別するステップと、 前記複数のデータ処理装置の各々において、前記複数の
   データ処理装置がすべて前記フラグを導出していること
   の検出に応答して、該決定された制御データを出力する
   ステップと、 前記複数のデータ処理装置から出力された制御データを
   論理的に合成して前記被制御装置へ制御データとして出
   力するステップと 前記複数のデータ処理装置各々において、該決定された
   制御データと合成制御データとを比較し、不一致のとき
   には異常と判定するステップとを備える、複数のデータ
   処理装置を用いた制御装置における出力同期方法。