JP3452027B2 - 制御装置における誤り検出および制御システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、２以上の制御装
置からなる制御システムの誤り検出の技術に関し、詳し
くはプログラムにより動作する算術論理演算ユニットを
備え、このプログラムに従って所定の処理を行なう２以
上の制御装置からなる制御システムにおいて、これらの
制御装置における処理の誤りを検出する技術に関する。

【０００２】

【従来の技術】近年では、コンピュータを用いた制御装
置の小型化、低廉化に伴い、多数の制御装置が様々な機
器に組み込まれ、一つの制御システムとして動作するこ
とが珍しくない。例えば、原動機を用いた移動体の一つ
である車両などを見ても、エンジンを制御するエンジン
制御装置、制動力を制御するブレーキ用制御装置など、
多数の制御装置が組み込まれており、通信回線を介し
て、互いに必要とする情報をやり取りし、全体として移
動体を制御する制御システムとして機能している。こう
した仕組みは、車両に限らず、航空機や船舶などの他の
移動体、あるいは工作機械やプラント制御装置、製造装
置など、様々な分野で採用されている。

【０００３】装置全体あるいはシステム全体を、単一の
コンピュータで制御するのではなく、多数の制御装置に
より制御するものとすれば、一つの制御装置における制
御範囲を限定することができ、一つの制御装置当たりの
処理プログラムの簡略化、検証の容易化など、大きな利
点がある。また、一つの制御装置が受け持つ入出力の数
も限定できるので、接続されたアクチュエータ等を処理
する速度も高速にすることができる。

【０００４】他方、こうした多数の制御装置による処理
の分散化は、他の制御装置が行なっている処理の妥当性
をどのように保証するかという新たな技術的課題を招致
する。係る課題に対しては、例えば特開平９−４６８０
３号公報に見られるように、各制御装置で用いる情報を
互いに送信して比較し、これが一致しない場合には、制
御を中止するといった構成が提案されている。また、処
理の妥当性を検証する専用の装置（ダイアグノーシスコ
ンピュータ）を設け、各制御装置の動作を、このダイア
グノーシスコンピュータで関する手法も、種々提案・実
施されている。更に、各制御装置において、処理を行な
うプログラムにバグがあり、順序だった処理ができなく
なると、これを検出して制御装置全体をリセットする、
いわゆるウォッチドッグタイマなどを設けることも広く
行なわれている。

【０００５】

【発明が解決しようとする課題】しかしながら、これら
の手法では、制御装置の数が増え、あるいは制御装置が
制御している対象の数や相互にやり取りしている情報量
が増大すると、処理の妥当性を判断すべき対象が等比級
数的に増加し、制御装置本来の処理に対して、過大な負
荷となってしまうという問題があった。こうした問題に
対しては、専用のダイアグノーシスコンピュータを設け
る構成の採用が考えられるが、このコンピュータが各制
御装置から受け取るべき信号線や情報の量が増大すれ
ば、リアルタイムでの検証が困難になるという問題があ
った。また、処理の妥当性を検証する専用の装置を設け
るとことは、システムの構成を更に複雑にするだけでな
く、コスト的な面で負担となってしまう。

【０００６】また、各制御装置が行なっている処理の内
容が複雑になると、何をどのように検証するかという点
が問題となる。通常こうした課題に対しては、各制御装
置が行なっている処理に軽重を付け、システム全体にと
って重要なデータを作り出している処理や、システム全
体の制御にとって重要な処理について厳しい検証を行な
うよう設計することが行なわれている。しかし、車両な
どの移動体では、どのデータも重要であると言えるか
ら、結局総ての処理について検証するシステムを構築せ
ざる得なくなっていた。従って、上記の問題に対する包
括的な解決は、未だ未提案の状態であった。

【０００７】本発明は、上述した従来の課題を解決する
ためになされたものであり、プログラムにより動作する
算術論理演算ユニットを備え、該プログラムに従って所
定の処理を行なう２以上の制御装置からなる制御システ
ムにおいて、制御装置における処理の誤りを検出する包
括的な技術を提供することを目的とする。

【０００８】

【課題を解決するための手段およびその作用・効果】上
記目的の少なくとも一部を達成するために、本発明の誤
り検出方法では、プログラムにより動作する算術論理演
算ユニットを備えた２以上の制御装置を原動機を用いた
移動体に搭載することによって構成され、各制御装置
が、互いに異なる前記プログラムに従って所定の処理を
行なうことにより、前記移動体における互いに異なった
制御対象を制御する制御システムにおいて、該制御装置
における前記処理の誤りを検出する方法であって、前記
２以上の制御装置による制御対象は、原動機、原動機と
共に前記移動体の動力を出力する電動機、電動機に電力
を供給するバッテリ、移動体の制動力を制御するブレー
キのうちのいずれかであり、 前記制御装置が行なう処理
を、処理の妥当性が処理を行なう制御装置によって検証
される第１の処理と、処理の妥当性が処理を行なう制御
装置とは異なる制御装置によって検証される第２の処理
とに分離し、前記第１の処理については、当該制御装置
が、処理の妥当性を検証し、前記第２の処理について
は、該処理の結果を他方の制御装置に出力し、該他方の
制御装置により妥当性を検証することを要旨とする。

【０００９】またかかる方法を実現する制御システムの
発明は、プログラムにより動作する算術論理演算ユニッ
トを備えた２以上の制御装置を原動機を用いた移動体に
搭載することによって構成され、各制御装置が、互いに
異なる前記プログラムに従って所定の処理を行なうこと
により、前記移動体における互いに異なった制御対象を
制御する制御システムであって、前記２以上の制御装置
は、原動機、原動機と共に前記移動体の動力を出力する
電動機、電動機に電力を供給するバッテリ、移動体の制
動力を制御するブレーキのうちのいずれかを前記制御対
象とし、前記各制御装置は、前記各制御装置における処
理のうち、該処理の結果に基づいて当該処理を行なう側
の制御装置が処理の妥当性を検証するものとして記憶し
た第１の処理について、該処理の結果を用いて、処理の
妥当性を検証する第１の検証手段と、前記各制御装置に
おける処理のうち、当該処理を行なう制御装置の処理の
妥当性を当該処理を行なう制御装置とは異なる制御装置
が検証するものとして記憶した第２の処理について、該
処理の結果を他方の制御装置から受け取り、処理の妥当
性を検証する第２の検証手段とを備えたことを要旨とす
る。

【００１０】かかる誤り検出方法および制御システムに
よれば、一つの制御装置における処理の結果に基づいて
当該処理を行なう側の制御装置が処理の妥当性を検証す
る第１の処理と、当該処理を行なう制御装置の処理の妥
当性を当該処理を行なう制御装置とは異なる制御装置が
検証する第２の処理とを分離しているので、システムの
構成が複雑化しても、誤り検出の仕組みを徒に複雑化す
ることがない。従って、誤り検出の高速化を図ることが
できる。更に、このように分けて検出を行なうことで、
処理内容に応じた誤り検出の内容を明確にでき、プログ
ラムを簡略にすることができる。

【００１１】こうした誤り検出方法および制御システム
においては、第２の処理として、当該処理を行なう算術
論理演算ユニットの演算の妥当性を検証する処理を考え
ることができる。この場合、他方の制御装置は、この第
２の処理については、該演算の結果を他方の制御装置に
おける算術論理演算ユニットによる演算を行なうこと
で、その妥当性を検証することができる。この演算とし
ては、他方の制御装置における演算と同一の演算を行な
っても良いし、他方の制御装置の演算の結果を用いて他
の演算を行ない、その結果を検証するものとしても良
い。算術論理演算ユニットが故障した場合、その制御装
置では、自らの演算の結果が正しいかどうかを検証する
ことはできなくなる。例えば、演算結果を予め定めた値
と比較して一致しているかどうかにより処理内容を変更
するプログラムを想定する。この場合、値の一致は、通
常、比較した結果が同一ならば特定のフラグの値が設定
されるという機構を利用している。比較した結果、フラ
グの値が変更される機構が故障して、常に「一致」を示
すフラグがセットされるとすれば、この算術論理演算ユ
ニットは正しい判断ができなくなってしまう。こうした
場合に備えて、一つの制御装置がその算術論理演算ユニ
ットを用いて行なった演算の結果を、他の制御装置に出
力し、他の制御装置における算術論理演算ユニットの演
算結果を用いてこれを検証すれば、特定のデータの妥当
性を検証するのではなく、算術論理演算そのものの妥当
性を検証することができ、好適である。

【００１２】かかる第１の処理の妥当性の検証は、当該
第１の処理により得られた結果の範囲を検定することに
より行なうことができる。第１の処理は、処理を行なう
制御装置の側で検証するため、予めその結果が取り得る
範囲を特定しておくことができる場合が多い。こうした
場合には、処理の結果がその範囲に入っているか否かに
より、処理の妥当性を検定することができる。

【００１３】他方、第２の処理の妥当性の検証は、予め
定めた値を基にして予め定めた四則演算を含む算術論理
演算を行なった結果を、他の制御装置により検定するこ
とにより行なうことができる。第２の検定として、処理
を行なう機構そのものの検定する場合には、その処理を
行なう機構を備えた自分自身では検定できないことか
ら、他の制御装置により検定することで初めて検定の信
頼性を確保することができる。

【００１４】こうした制御装置は、原動機を用いた移動
体に搭載されており、第１の処理は、この移動体の原動
機を含む装置の制御を行なう処理の少なくとも一部とす
ることができる。原動機を用いた移動体では、多数の制
御装置が共同しながら制御を行なっている構成を採用す
ることがあり、こうした構成において、移動体の制御を
行ないつつ、互いにその処理の妥当性を検定することが
できる。

【００１５】かかる移動体において、２以上の制御装置
は、原動機を制御する原動機制御装置、原動機と共に前
記移動体の動力を出力する電動機を制御する電動機制御
装置、電動機に電力を供給するバッテリを制御するバッ
テリ用制御装置、移動体の制動力を制御するブレーキ制
御装置のうちのいずれかとすることができる。移動体に
おける各制御装置の役割分担は、その移動体の機能に応
じて行なうことが、移動体全体の制御を実現する上で現
実的だからである。

【００１６】各制御装置は、シリアル通信により、前記
第２の処理の結果の授受を行なう構成とすることができ
る。シリアル通信によれば、わずかな本数の信号線によ
りデータの交換を行なうことができ、好適である。

【００１７】なお、この制御システムにおいては、各制
御装置は、ＣＰＵを備えた１チップマイクロコンピュー
タにより構成することができる。１チップマイクロコン
ピュータを用いれば、外付けの回路などを低減すること
ができ、制御システム全体の構成を簡略化することがで
きる。

【００１８】なお、本発明は、種々の態様で実現するこ
とが可能であり、例えば、移動体の制御装置またはその
制御方法、その制御装置を用いた移動体、その制御装置
または制御方法の機能を実現するためのコンピュータプ
ログラム、そのコンピュータプログラムを記録した記録
媒体、そのコンピュータプログラムを含み搬送波内に具
現化されたデータ信号、等の態様で実現することができ
る。

【００１９】

【発明の実施の形態】次に、本発明の実施の形態を実施
例に基づいて以下の順序で説明する。 Ａ．ハイブリッド車両の全体構成： Ｂ．ハイブリッド車両の基本動作： Ｃ．実施例の制御システムの構成： Ｄ．各制御部における処理の妥当性の検証−ハードウェ
アによるもの： Ｅ．ＣＰＵにおける処理の妥当性の検証−ソフトウェア
によるもの： Ｆ．他の制御部における処理の妥当性の検証： Ｇ．その他の検証：

【００２０】Ａ．ハイブリッド車両の全体構成：図１
は、本発明の一実施例としてのハイブリッド車両の全体
構成を示す説明図である。このハイブリッド車両は、エ
ンジン１５０と、２つのモータ／ジェネレータＭＧ１，
ＭＧ２と、の３つの原動機を備えている。ここで、「モ
ータ／ジェネレータ」とは、モータとしても機能し、ま
た、ジェネレータとしても機能する原動機を意味してい
る。なお、以下では簡単のため、これらを単に「モー
タ」と呼ぶ。車両の制御は、制御システム２００によっ
て行なわれる。

【００２１】制御システム２００は、メインＥＣＵ２１
０と、ブレーキＥＣＵ２２０と、バッテリＥＣＵ２３０
と、エンジンＥＣＵ２４０とを有している。各ＥＣＵ
は、マイクロコンピュータや、入力インタフェース、出
力インタフェースなどの複数の回路要素が１つの回路基
板上に配置された１ユニットとして構成されたものであ
る。メインＥＣＵ２１０は、モータ制御部２６０とマス
タ制御部２７０とを有している。マスタ制御部２７０
は、３つの原動機１５０，ＭＧ１，ＭＧ２の出力の配分
などの制御量を決定する機能を有している。

【００２２】エンジン１５０は、通常のガソリンエンジ
ンであり、クランクシャフト１５６を回転させる。エン
ジン１５０の運転はエンジンＥＣＵ２４０により制御さ
れている。エンジンＥＣＵ２４０は、マスタ制御部２７
０からの指令に従って、エンジン１５０の燃料噴射量そ
の他の制御を実行する。

【００２３】モータＭＧ１，ＭＧ２は、同期電動機とし
て構成されており、外周面に複数個の永久磁石を有する
ロータ１３２，１４２と、回転磁界を形成する三相コイ
ル１３１，１４１が巻回されたステータ１３３，１４３
とを備える。ステータ１３３，１４３はケース１１９に
固定されている。モータＭＧ１，ＭＧ２のステータ１３
３，１４３に巻回された三相コイル１３１，１４１は、
それぞれ駆動回路１９１，１９２を介して２次バッテリ
１９４に接続されている。駆動回路１９１，１９２は、
各相ごとにスイッチング素子としてのトランジスタを１
対ずつ備えたトランジスタインバータである。駆動回路
１９１，１９２はモータ制御部２６０によって制御され
る。モータ制御部２６０からの制御信号によって駆動回
路１９１，１９２のトランジスタがスイッチングされる
と、バッテリ１９４とモータＭＧ１，ＭＧ２との間に電
流が流れる。モータＭＧ１，ＭＧ２はバッテリ１９４か
らの電力の供給を受けて回転駆動する電動機として動作
することもできるし（以下、この動作状態を力行と呼
ぶ）、ロータ１３２，１４２が外力により回転している
場合には三相コイル１３１，１４１の両端に起電力を生
じさせる発電機として機能してバッテリ１９４を充電す
ることもできる（以下、この動作状態を回生と呼ぶ）。

【００２４】エンジン１５０とモータＭＧ１，ＭＧ２の
回転軸は、プラネタリギヤ１２０を介して機械的に結合
されている。プラネタリギヤ１２０は、サンギヤ１２１
と、リングギヤ１２２と、プラネタリピニオンギヤ１２
３を有するプラネタリキャリア１２４と、から構成され
ている。本実施例のハイブリッド車両では、エンジン１
５０のクランクシャフト１５６はダンパ１３０を介して
プラネタリキャリア軸１２７に結合されている。ダンパ
１３０はクランクシャフト１５６に生じる捻り振動を吸
収するために設けられている。モータＭＧ１のロータ１
３２は、サンギヤ軸１２５に結合されている。モータＭ
Ｇ２のロータ１４２は、リングギヤ軸１２６に結合され
ている。リングギヤ１２２の回転は、チェーンベルト１
２９とデファレンシャルギア１１４とを介して車軸１１
２および車輪１１６Ｒ，１１６Ｌに伝達される。

【００２５】制御システム２００は、車両全体の制御を
実現するために種々のセンサを用いており、例えば、運
転者によるアクセルの踏み込み量を検出するためのアク
セルセンサ１６５、シフトレバーの位置を検出するシフ
トポジションセンサ１６７、ブレーキの踏み込み圧力を
検出するためのブレーキセンサ１６３、バッテリ１９４
の充電状態を検出するためのバッテリセンサ１９６、お
よびモータＭＧ２の回転数を測定ための回転数センサ１
４４などを利用している。リングギヤ軸１２６と車軸１
１２はチェーンベルト１２９によって機械的に結合され
ているため、リングギヤ軸１２６と車軸１１２の回転数
の比は一定である。従って、リングギヤ軸１２６に設け
られた回転数センサ１４４によって、モータＭＧ２の回
転数のみでなく、車軸１１２の回転数も検出することが
できる。

【００２６】Ｂ．ハイブリッド車両の基本的動作：ハイ
ブリッド車両の基本的な動作を説明するために、以下で
はまず、プラネタリギヤ１２０の動作について説明す
る。プラネタリギヤ１２０は、上述した３つの回転軸の
うちの２つの回転軸の回転数が決定されると残りの回転
軸の回転数が決まるという性質を有している。各回転軸
の回転数の関係は次式（１）の通りである。

【００２７】 Ｎｃ＝Ｎｓ×ρ／（１＋ρ）＋Ｎｒ×１／（１＋ρ） …（１）

【００２８】ここで、Ｎｃはプラネタリキャリア軸１２
７の回転数、Ｎｓはサンギヤ軸１２５の回転数、Ｎｒは
リングギヤ軸１２６の回転数である。また、ρは次式で
表される通り、サンギヤ１２１とリングギヤ１２２のギ
ヤ比である。

【００２９】ρ＝［サンギヤ１２１の歯数］／［リング
ギヤ１２２の歯数］

【００３０】また、３つの回転軸のトルクは、回転数に
関わらず、次式（２），（３）で与えられる一定の関係
を有する。

【００３１】 Ｔｓ＝Ｔｃ×ρ／（１＋ρ） …（２） Ｔｒ＝Ｔｃ×１／（１＋ρ）＝Ｔｓ／ρ …（３）

【００３２】ここで、Ｔｃはプラネタリキャリア軸１２
７のトルク、Ｔｓはサンギヤ軸１２５のトルク、Ｔｒは
リングギヤ軸１２６のトルクである。

【００３３】本実施例のハイブリッド車両は、このよう
なプラネタリギヤ１２０の機能により、種々の状態で走
行することができる。例えば、ハイブリッド車両が走行
を始めた比較的低速な状態では、エンジン１５０を停止
したまま、モータＭＧ２を力行することにより車軸１１
２に動力を伝達して走行する。同様にエンジン１５０を
アイドル運転したまま走行することもある。

【００３４】走行開始後にハイブリッド車両が所定の速
度に達すると、制御システム２００はモータＭＧ１を力
行して出力されるトルクによってエンジン１５０をモー
タリングして始動する。このとき、モータＭＧ１の反力
トルクがプラネタリギヤ１２０を介してリングギヤ１２
２にも出力される。

【００３５】エンジン１５０を運転してプラネタリキャ
リア軸１２７を回転させると、上式（１）〜（３）を満
足する条件下で、サンギヤ軸１２５およびリングギヤ軸
１２６が回転する。リングギヤ軸１２６の回転による動
力はそのまま車輪１１６Ｒ，１１６Ｌに伝達される。サ
ンギヤ軸１２５の回転による動力は第１のモータＭＧ１
で電力として回生することができる。一方、第２のモー
タＭＧ２を力行すれば、リングギヤ軸１２６を介して車
輪１１６Ｒ，１１６Ｌに動力を出力することができる。

【００３６】定常運転時には、エンジン１５０の出力
が、車軸１１２の要求動力（すなわち車軸１１２の回転
数×トルク）とほぼ等しい値に設定される。このとき、
エンジン１５０の出力の一部はリングギヤ軸１２６を介
して直接車軸１１２に伝えられ、残りの出力は第１のモ
ータＭＧ１によって電力として回生される。回生された
電力は、第２のモータＭＧ２がリングギヤ軸１２６を回
転させるトルクを発生するために使用される。この結
果、車軸１１２を所望の回転数で所望のトルクで駆動す
ることが可能である。

【００３７】車軸１１２に伝達されるトルクが不足する
場合には、第２のモータＭＧ２によってトルクをアシス
トする。このアシストのための電力には、第１のモータ
ＭＧ１で回生した電力およびバッテリ１４９に蓄えられ
た電力が用いられる。このように、制御システム２００
は、車軸１１２から出力すべき要求動力に応じて２つの
モータＭＧ１，ＭＧ２の運転を制御する。

【００３８】本実施例のハイブリッド車両は、エンジン
１５０を運転したまま後進することも可能である。エン
ジン１５０を運転すると、プラネタリキャリア軸１２７
は前進時と同方向に回転する。このとき、第１のモータ
ＭＧ１を制御してプラネタリキャリア軸１２７の回転数
よりも高い回転数でサンギヤ軸１２５を回転させると、
上式（１）から明らかな通り、リングギヤ軸１２６は後
進方向に反転する。制御システム２００は、第２のモー
タＭＧ２を後進方向に回転させつつ、その出力トルクを
制御して、ハイブリッド車両を後進させることができ
る。

【００３９】プラネタリギヤ１２０は、リングギヤ１２
２が停止した状態で、プラネタリキャリア１２４および
サンギヤ１２１を回転させることが可能である。従っ
て、車両が停止した状態でもエンジン１５０を運転する
ことができる。例えば、バッテリ１９４の残容量が少な
くなれば、エンジン１５０を運転し、第１のモータＭＧ
１を回生運転することにより、バッテリ１９４を充電す
ることができる。車両が停止しているときに第１のモー
タＭＧ１を力行すれば、そのトルクによってエンジン１
５０をモータリングし、始動することができる。

【００４０】Ｃ．実施例の制御システムの構成：図２
は、第１実施例における制御システム２００のより詳細
な構成を示すブロック図である。マスタ制御部２７０
は、マスタ制御ＣＰＵ２７２と、電源制御回路２７４と
を含んでいる。また、モータ制御部２６０は、モータ主
制御ＣＰＵ２６２と、２つのモータＭＧ１，ＭＧ２をそ
れぞれ制御するための２つのモータ制御ＣＰＵ２６４，
２６６とを有している。各ＣＰＵは、それぞれ図示しな
いＣＰＵとＲＯＭとＲＡＭと入力ポートと出力ポートを
備えており、これらとともに１チップマイクロコンピュ
ータを構成している。

【００４１】マスタ制御ＣＰＵ２７２は、３つの原動機
１５０，ＭＧ１，ＭＧ２の回転数やトルクの配分等の制
御量を決定し、他のＣＰＵやＥＣＵに各種の要求値を供
給して、各原動機の駆動を制御する機能を有している。
この制御のために、マスタ制御ＣＰＵ２７２には、アク
セル開度を示すアクセルポジション信号ＡＰ１，ＡＰ２
や、シフト位置を示すシフトポジション信号ＳＰ１，Ｓ
Ｐ２等が供給されている。なお、アクセルセンサ１６５
とシフトポジションセンサ１６７は、それぞれ２重化さ
れており、２つのアクセルポジション信号ＡＰ１，ＡＰ
２と、２つのシフトポジション信号ＳＰ１，ＳＰ２とを
それぞれマスタ制御ＣＰＵ２７２に供給している。

【００４２】電源制御回路２７４は、バッテリ１９４の
高圧直流電圧をメインＥＣＵ２１０内の各回路用の低圧
直流電圧に変換するためのＤＣＤＣコンバータである。
この電源制御回路２７４は、マスタ制御ＣＰＵ２７２の
異常を監視する監視回路としての機能も有している。

【００４３】エンジンＥＣＵ２４０は、マスタ制御ＣＰ
Ｕ２７２から与えられたエンジン出力要求値ＰＥreq に
応じてエンジン１５０を制御する。エンジンＥＣＵ２４
０からは、エンジン１５０の回転数ＲＥＶenがマスタ制
御ＣＰＵ２７２にフィードバックされる。

【００４４】モータ主制御ＣＰＵ２６２は、マスタ制御
ＣＰＵ２７２から与えられたモータＭＧ１，ＭＧ２に関
するトルク要求値Ｔ１req，Ｔ２reqに応じて、２つのモ
ータ制御ＣＰＵ２６４，２６６にそれぞれ電流要求値Ｉ
１req，Ｉ２reqを供給する。モータ制御ＣＰＵ２６４，
２６６は、電流要求値Ｉ１req，Ｉ２reqに従って駆動回
路１９１，１９２をそれぞれ制御して、モータＭＧ１，
ＭＧ２を駆動する。モータＭＧ１，ＭＧ２の回転数セン
サからは、モータＭＧ１，ＭＧ２の回転数ＲＥＶ１，Ｒ
ＥＶ２がモータ主制御ＣＰＵ２６２にフィードバックさ
れている。なお、モータ主制御ＣＰＵ２６２からマスタ
制御ＣＰＵ２７２には、モータＭＧ１，ＭＧ２の回転数
ＲＥＶ１，ＲＥＶ２や、バッテリ１９４から駆動回路１
９１，１９２への電流値ＩＢなどがフィードバックされ
ている。

【００４５】バッテリＥＣＵ２３０は、バッテリ１９４
の充電状態ＳＯＣを監視するとともに、必要に応じてバ
ッテリ１９４の充電要求値ＣＨreq をマスタ制御ＣＰＵ
２７２に供給する。マスタ制御ＣＰＵ２７２は、この要
求値ＣＨreq を考慮して各原動機の出力を決定する。す
なわち、充電が必要な場合には、走行に必要な出力より
も大きい動力をエンジン１５０に出力させて、その一部
を第１のモータＭＧ１による充電動作に配分する。

【００４６】ブレーキＥＣＵ２２０は、図示しない油圧
ブレーキと、第２のモータＭＧ２による回生ブレーキと
のバランスを取る制御を行なう。この理由は、このハイ
ブリッド車両では、ブレーキ時に第２のモータＭＧ２に
よる回生動作が行なわれてバッテリ１９４が充電される
からである。具体的には、ブレーキＥＣＵ２２０は、ブ
レーキセンサ１６３からのブレーキ圧力ＢＰに基づい
て、マスタ制御ＣＰＵ２７２に回生要求値ＲＥＧreq を
入力する。マスタ制御ＣＰＵ２７２は、この要求値ＲＥ
Ｇreq に基づいてモータＭＧ１，ＭＧ２の動作を決定し
て、ブレーキＥＣＵ２２０に回生実行値ＲＥＧpracをフ
ィードバックする。ブレーキＥＣＵ２２０は、この回生
実行値ＲＥＧpracと回生要求値ＲＥＧreq の差分と、ブ
レーキ圧力ＢＰとに基づいて、油圧ブレーキによるブレ
ーキ量を適切な値に制御する。

【００４７】以上のように、マスタ制御ＣＰＵ２７２
は、各原動機１５０，ＭＧ１，ＭＧ２の出力を決定し
て、それぞれの制御を担当するＥＣＵ２４０やＣＰＵ２
６４，２６６に要求値を供給する。ＥＣＵ２４０やＣＰ
Ｕ２６４，２６６は、この要求値応じて各原動機を制御
する。この結果、ハイブリッド車両は、走行状態に応じ
て適切な動力を車軸１１２から出力して走行することが
できる。また、ブレーキ時には、ブレーキＥＣＵ２２０
とマスタ制御ＣＰＵ２７２とが協調して、各原動機や油
圧ブレーキの動作を制御する。この結果、電力を回生し
つつ、運転者に違和感をあまり感じさせないブレーキン
グを実現することができる。

【００４８】二つの制御ＣＰＵ２６２，ＣＰＵ２７２
は、双方向通信配線２１４，２１６を介して異常履歴登
録回路２８０と接続されており、データの読み書きを行
なうことができる。また、マスタ制御ＣＰＵ２７２とモ
ータ主制御ＣＰＵ２６２の間にも双方向通信配線２１２
が設けられており、後述する処理の妥当性の検証を含む
各種データのやり取りを、この双方向通信配線２１２を
介して行なっている。

【００４９】Ｄ．各制御部における処理の妥当性の検証
−ハードウェアによるもの：このメインＥＣＵ２１０に
おける各制御部は、各ＣＰＵの異常を監視するために、
以下のような構成を有している。マスタ制御ＣＰＵ２７
２は、モータ主制御ＣＰＵ２６２の異常を監視する機能
を有している。この異常監視のために、モータ主制御Ｃ
ＰＵ２６２は、一定周期を有するクロック信号であるウ
ォッチドッグパルスＷＤＰ１を発生してマスタ制御ＣＰ
Ｕ２７２に供給している。マスタ制御ＣＰＵ２７２は、
図示しないウォッチドッグタイマを有している。一般に
よく知られているように、ＣＰＵが正常であれば、ＣＰ
Ｕからウォッチドッグパルスが一定周期で出力されるの
で、ウォッチドッグタイマはＣＰＵが正常に動作してい
ると見なして何もしない。一方、ＣＰＵに異常が発生
し、ウォッチドッグパルスが所定の期間以上発生しない
と、ウォッチドッグタイマからＣＰＵにリセット信号が
出力される。この結果、そのＣＰＵがリセットされて再
び正常な動作を開始する。マスタ制御ＣＰＵ２７２のウ
ォッチドッグタイマは、この原理に従ってモータ主制御
ＣＰＵ２６２の動作を監視し、モータ主制御ＣＰＵ２６
２に異常が生じたときにモータ主制御ＣＰＵ２６２にリ
セット信号ＲＥＳ１を供給する。

【００５０】モータ主制御ＣＰＵ２６２は、マスタ制御
ＣＰＵ２７２と、２つのモータ制御ＣＰＵ２６４，２６
６の異常を監視する機能を有している。すなわち、モー
タ主制御ＣＰＵ２６２には、これらのＣＰＵ２７２，２
６４，２６６からウォッチドッグパルスがそれぞれ入力
されており、いずれかのＣＰＵに異常が発生してウォッ
チドッグパルスが入力されなくなると、所定時間後に、
そのＣＰＵにリセット信号を供給する。マスタ制御ＣＰ
Ｕ２７２とモータ主制御ＣＰＵ２６２とは、互いにその
動作を監視していることになる。なお、両ＣＰＵからの
ウォッチドッグパルスＷＤＰは、それぞれ他方の制御部
にハード的に設けられたウォッチドッグタイマ回路に入
力されているものとしても良いが、これらのパルスを、
他方のＣＰＵの割込制御回路に入力し、割込を受け付け
たＣＰＵが、割込処理を実行することで、ウォッチドッ
グタイマの機能を実現するものとしても良い。後者の場
合、監視役の制御部には、内蔵のタイマ割込を用いて所
定時間後に起動され、起動時にリセットパルスＲＥＳを
出力するプログラムを用意し、上記のマスク不能な割込
制御信号により、このタイマ割込をリセットするように
すればよい。これは、いわばソフトウェアによるウォッ
チドッグタイマである。

【００５１】なお、マスタ制御ＣＰＵ２７２から出力さ
れるウォッチドッグパルスＷＤＰ２は、電源制御回路２
７４によっても監視されている。モータ主制御ＣＰＵ２
６２と電源制御回路２７４の２つをマスタ制御ＣＰＵ２
７２の監視回路として使用することによって、監視動作
をより確実にすることができる。例えば、マスタ制御Ｃ
ＰＵ２７２とモータ主制御ＣＰＵ２６２の両方に異常が
発生しても、電源制御回路２７４がマスタ制御ＣＰＵ２
７２の異常を検出してこれをリセットすることができ
る。マスタ制御ＣＰＵ２７２は、ハイブリッド車両全体
の制御を統括しているので、監視回路をこのように多重
化することによって制御システムの信頼性を高めること
ができる。

【００５２】異常履歴登録回路２８０の入力ポートに
は、マスタ制御ＣＰＵ２７２とモータ主制御ＣＰＵ２６
２との間で送受信されるリセット信号ＲＥＳ１，ＲＥＳ
２が入力されている。異常履歴登録回路２８０は、これ
らのリセット信号ＲＥＳ１，ＲＥＳ２が発生すると、こ
れを内部のＥＥＰＲＯＭ２８２に格納する。すなわち、
異常履歴登録回路２８０は、マスタ制御ＣＰＵ２７２や
モータ主制御ＣＰＵ２６２がリセットされるときに、ど
のリセット信号が発生したかを監視してその履歴を登録
する機能を有している。

【００５３】Ｅ．ＣＰＵにおける処理の妥当性の検証−
ソフトウェアによるもの：以上、ウォッチドッグタイマ
を用いた各制御部の自身による処理の検証について説明
したが、各制御部は、ウォッチドッグタイマ以外にも、
各自の処理の妥当性を検証する仕組みを内蔵している。
この例を、モータ主制御ＣＰＵ２６２やエンジンＥＣＵ
２４０を例に取って説明する。

【００５４】図３は、モータ主制御ＣＰＵ２６２が、第
１，第２のモータＭＧ１，ＭＧ２の制御を行なっている
間、常時実施している処理であり、自身の処理の妥当性
を検証する処理の一例を示すフローチャートである。図
示するように、このモータ主制御ＣＰＵ２６２は、モー
タＭＧ１，ＭＧ２の回転数ＲＥＶ１，ＲＥＶ２を入力し
（ステップＳ３００）、この回転数が予め定めた範囲
（０〜ＲＶmax ）に入っているか否かを判断する（ステ
ップＳ３１０）。モータＭＧ１，ＭＧ２の回転は、第
１，第２モータ制御ＣＰＵ２６４，２６６により制御さ
れており、制御上の最大回転数ＲＶmax が存在する。従
って、この範囲を超えていれば、モータ主制御ＣＰＵ２
６２自身の処理もしくは第１，第２モータ制御ＣＰＵ２
６４，２６６の処理に問題があると判断し、双方向通信
配線２１４を介して、異常履歴登録回路２８０に異常の
発生を通報する（ステップＳ３２０）。

【００５５】入力した回転数ＲＥＶ１，ＲＥＶ２が、所
定の範囲に入っていれば、次に現在の車両の運転状態に
基づいて、第１，第２モータ制御ＣＰＵ２６４，２６６
に出力する電流要求値Ｉ１ｒｅｑ，Ｉ２ｒｅｑを演算す
る処理を行なう（ステップＳ３３０）。その上で、この
演算値が予め定めた範囲（０〜Ｉｒｑmax ）に入ってい
るか否か判断を行なう（ステップＳ３４０）。この電流
要求値Ｉ１ｒｅｑ，Ｉ２ｒｅｑを求める処理自体は、結
果が予め定めた範囲に内の値になるように作られている
から、演算処理に異常がなければ、必ずこの範囲に入っ
ていることになる。従って、この演算結果が、予め定め
た範囲に入っていなければ、演算処理に何らかの異常が
あるとして、双方向通信配線２１４を介して、異常履歴
登録回路２８０に異常の発生を通報する（ステップＳ３
５０）。

【００５６】他方、演算結果が、予め定めた範囲に入っ
ていれば、この演算結果である電流要求値を第１，第２
モータ制御ＣＰＵ２６４，２６６に出力し（ステップＳ
３６０）、上記の処理を終了する。かかる処理を行なう
ことで、モータ主制御ＣＰＵ２６２自身が、自己の処理
の妥当性を、入出力する値の範囲を判断することによ
り、検証することができる。

【００５７】Ｆ．他の制御部における処理の妥当性の検
証：以上、ウォッチドッグタイマを用いた異常監視およ
び各制御部におけるソフトウェアによる検証について簡
単に説明したが、こうした異常の発生の直接的な監視に
加えて、本実施例の制御システムでは、以下に説明する
処理の妥当性の検証を行なっている。以下、双方向通信
配線２１２によりデータのやり取りが可能なマスタ制御
ＣＰＵ２７２とモータ主制御ＣＰＵ２６２とを例に取
り、この検証の具体的な手法について説明する。図４
は、二つのＣＰＵ２６２，２７２が、双方向通信配線２
１２を介して接続されている様子を模式的に示す説明図
である。モータ主制御ＣＰＵ２６２とマスタ制御ＣＰＵ
２７２とは、双方向通信配線２１２により接続されてお
り、実際には、シリアル通信の所定のプロトコルを介し
てデータをやり取りしている。図４では、説明を簡略化
するために、モータ主制御ＣＰＵ２６２は、マスタ制御
ＣＰＵ２７２から双方向通信配線２１２ａを介して検証
の要求（Ｃｒｑ１）を受け付け、マスタ制御ＣＰＵ２７
２はモータ主制御ＣＰＵ２６２から双方向通信配線２１
２ｂを介して検証の要求（Ｃｒｑ２）を受け付けるもの
として記載した。

【００５８】モータ主制御ＣＰＵ２６２とマスタ制御Ｃ
ＰＵ２７２との間の相互監視について説明する。モータ
主制御ＣＰＵ２６２とマスタ制御ＣＰＵ２７２は、それ
ぞれ内部に、定数記憶用ＲＯＭ４０２，４１２を備え
る。モータ主制御ＣＰＵ２６２の定数記憶ＲＯＭ４０２
には１６進数「ＣＥ」が記憶されており、マスタ制御Ｃ
ＰＵ２７２の定数記憶用ＲＯＭ４１２には１６進数「３
１」が、それぞれ記憶されている。また、モータ主制御
ＣＰＵ２６２およびマスタ制御ＣＰＵ２７２には、算術
論理演算ブロック４０４，４１４が設けられている。こ
の演算ブロック４０４，４１４は、それぞれ、定数記憶
用ＲＯＭ４０２，４１２の出力が接続されており、定数
記憶用ＲＯＭ４０２，４１２が記憶している定数を受け
取って、予め定めた異なる演算を行なう。モータ主制御
ＣＰＵ２６２の演算ブロック４０４が行なう演算は、以
下の式（１）で示す算術論理演算ｆ１であり、マスタ制
御ＣＰＵ２７２の演算ブロック４１４が行なう演算は、
以下の式（２）で示す算術論理演算ｆ２である。

【００５９】 ｆ１（ｘ） ＝ｃｏｍ［｛９×ＨＩ（ｘ）＋７×ＬＯＷ（ｘ）｝∩ＦＦ_H ］∪００_H …（１）

【００６０】 ｆ２（ｘ）＝ ＝ｃｏｍ［｛１３×ＨＩ（ｘ）＋１０×ＬＯＷ（ｘ）｝∩ＦＦ_H ］∪００_H …（２） ここで、サフィックス_H は、その数が１６進数であるこ
とを示す。また、ｃｏｍ（ｙ）は、数値ｙの補数を取る
演算を、ＨＩ（ｘ）は、数値ｘの上位４ビットを取る演
算を、ＬＯＷ（ｘ）は、数値ｘの下位４ビットを取る演
算を、それぞれ意味している。「∩」は論理積を取る演
算子を、「∪」は論理和を取る演算子を、それぞれ示
す。

【００６１】式（１）において、ｘ＝ＣＥ_H として演算
を行なうと、その結果、３１_H となる。この演算結果
が、検証要求信号Ｃｒｑ２として、マスタ制御ＣＰＵ２
７２に出力される。この検証要求信号Ｃｒｑ２は、マス
タ制御ＣＰＵ２７２に内蔵された比較部４１０に入力さ
れている。比較部４１０は、定数記憶用ＲＯＭ４１２の
出力と検証要求信号Ｃｒｑ２との比較を行なう。マスタ
制御ＣＰＵ２７２の定数記憶用ＲＯＭ４１２には、値３
１Ｈ が記憶されているから、この結果、モータ主制御
ＣＰＵ２６２の算術論理演算ブロック４０４が正しく演
算を行なっていれば、両者は一致する。従って、比較部
４１０の出力を読み取ることで、マスタ制御ＣＰＵ２７
２は、モータ主制御ＣＰＵ２６２における算術論理演算
ブロック４０４は正しく動作しているか否かを判断する
ことができる。

【００６２】逆に、マスタ制御ＣＰＵ２７２の算術論理
演算ブロック４１４の演算動作の正しさは、その出力で
ある検証要求信号Ｃｒｑ１と、モータ主制御ＣＰＵ２６
２の定数記憶用ＲＯＭ４０２に記憶した定数とを比較部
４００で比較することにより、検証することができる。
この場合、算術論理演算ブロック４１４での演算は、上
記の式（２）に従うものであり、定数記憶用ＲＯＭ４１
２から出力される定数が３１_H であることから、算術論
理演算ブロック４１４が演算した結果（正しい演算結果
は値ＣＥ_H ）と、定数記憶用ＲＯＭ４０２が記憶してい
る定数ＣＥ_H とを比較することになる。

【００６３】以上の説明では、説明の簡明さを確保する
ために、上記式（１）（２）の演算は、算術論理演算ブ
ロック４０４，４１４で行なわれるものとして説明した
が、実際の演算は、モータ主制御ＣＰＵ２６２，マスタ
制御ＣＰＵ２７２に内蔵されたＣＰＵが、プログラムに
従って、上記の式（１）（２）に含まれる演算を一つず
つ順次行なっている。従って、上記式（１）（２）を実
行することにより、右シフト（上位４ビットを取る演算
ＨＩ（ｘ）を行なうとは、右シフトの処理を４回行なう
処理に相当）、左シフト、加算、乗算、アンド演算、オ
ア演算、補数演算など、算術論理演算回路が行なう大部
分の処理を実行することになる。これらの処理のうちひ
とつでも誤った答えを出せば、演算の結果は異なった値
となることから、比較部４００，４１０により、算術論
理演算回路の異常、もしくは双方向通信配線２１２の異
常を検出することができる。

【００６４】モータ主制御ＣＰＵ２６２，マスタ制御Ｃ
ＰＵ２７２は、これらの異常を検出した場合には、双方
向通信配線２１４，２１６を介して、異常履歴登録回路
２８０に異常の内容を書き込む処理を行なっている。

【００６５】以上説明した本実施例によれば、モータ制
御部２６０，マスタ制御部２７０の各ＣＰＵ２６２，２
７２は、それぞれの処理に関して、自分自身で処理の妥
当性を検証する処理と、相手に処理の妥当性の検証を委
ねる処理とに切り分けて、全体としての妥当性の検証を
行なっており、処理が正常に行なわれていることを、高
い信頼性で確認することができる。しかも、後者の検証
については、処理や制御の結果値を検証するのではな
く、処理を行なっている算術論理演算回路自体の正しさ
を検証している。従って、特定の条件下での正しさを確
認するだけでなく、処理自体の一般的な正しさを検証す
ることができる。かかる検証の上に立って、ＣＰＵ自身
が、入出力値の範囲の検証などを行なっており、検証し
ている自分自身の正しさが不明なまま、検証を行なうこ
とがない。なお、上記のように検証の役割を分担すれ
ば、他方のＣＰＵは、算術論理演算回路の機能を検証し
ていることから、検証対象のＣＰＵが入力しているデー
タをすべて受け取って検証する必要はなく、データ入出
力の構成が簡略なものになるというメリットも得られ
る。

【００６６】Ｇ．その他の検証：以上説明した実施例で
は、他の制御部による処理の妥当性を、算術論理演算回
路の演算について検証したが、他の制御部による妥当性
の検証としては、ウォッチドッグタイマのリセットパル
スの状態やそのデューティの検証など考えることができ
る。リセットパルスの状態の検証とは、ウォッチドッグ
タイマを用いている制御部が、ウォッチドッグパルスＷ
ＤＰを出力しなくなったときに、ウオッチドッグタイマ
により自身が正しくリセットされるかという確認であ
り、ウォッチドッグパルスのデューティの検証とは、制
御装置から出力されているウォッチドッグパルスの間隔
が正しいかという確認である。

【００６７】ウォッチドッグタイマの検証は、図５に示
した手法で行なう。マスタ制御ＣＰＵ２７２にとっての
ウォッチドッグタイマを、他の制御部が検証する場合
は、まず、今から電源制御回路２７４に内蔵されたウォ
ッチドッグタイマを用いてリセット制御のテストを行な
うことを示す値１を、双方向通信配線２１６を介して異
常履歴登録回路２８０のＥＥＰＲＯＭ２８２に書き込む
（ステップＳ５００）。このデータは、ＥＥＰＲＯＭ２
８２ではフラグＦＷとして記憶される。その上で、同様
のデータを、双方向通信配線２１２を介してモータ主制
御ＣＰＵ２６２に送信する（ステップＳ５０５）。その
後、マスタ制御ＣＰＵ２７２は、ウォッチドッグパルス
ＷＤＰ２の出力を停止する（ステップＳ５１０）。

【００６８】モータ主制御ＣＰＵ２６２は、マスタ制御
ＣＰＵ２７２からの上記データを受け取ると（ステップ
Ｓ５５０）、マスタ制御ＣＰＵ２７２からのウォッチド
ッグパルスＷＤＰ２がとぎれてもリセット信号ＲＥＳ２
が出力されないよう、ウォッチドッグタイマの動作を停
止し（ステップＳ５５５）、その後監視プログラム（ス
テップＳ５６０以下）を実行する。

【００６９】監視プログラムでは、タイマをスタートさ
せ（ステップＳ５６５）、ウォッチドッグパルスＷＤＰ
２がマスタ制御ＣＰＵ２７２から送られてくるのを待つ
（ステップＳ５７０）。ウオッチドッグパルスＷＤＰ２
が失われたことで、電源制御回路２７４からリセットパ
ルスＲＥＳ０が出力されると、マスタ制御ＣＰＵ２７２
はリセットされ、初期状態から処理を開始（リスター
ト）することになる。マスタ制御ＣＰＵ２７２は、リス
タートすると、最初に、異常履歴登録回路２８０のＥＥ
ＰＲＯＭ２８２からデータを読み出し（ステップＳ６０
０）、フラグＦＷの値を参照して、自分がウォッチドッ
グタイマによる再起動を行なおうとしていたか否かを判
断する（ステップＳ６０５）。自ら再起動を行なおうと
していたと判断した場合（フラグＦＷ＝１）の場合に
は、直ちにウォッチドッグパルスＷＤＰ２を所定のイン
ターバルで出力するモードに切り換え（ステップＳ６１
０）、その後、双方向通信配線２１２を介して、モータ
主制御ＣＰＵ２６２に正常再起動を示すデータＤｎｒを
出力する（ステップＳ６１５）。その後、マスタ制御Ｃ
ＰＵ２７２は、履歴登録回路２８０のＥＥＰＲＯＭ２８
２のフラグＦＷを値０にリセットし、通常の処理に復す
る（ステップＳ６２０以下）。

【００７０】モータ主制御ＣＰＵ２６２は、マスタ制御
ＣＰＵ２７２からリスタート後の最初のウォッチドッグ
パルスＷＤＰ２が送られてくると（ステップＳ５７
０）、続いてマスタ制御ＣＰＵ２７２から双方向通信配
線２１２を介して送られてくる次のデータを待ち受ける
（ステップＳ５７５）。マスタ制御ＣＰＵ２７２から正
常再起動を示すデータＤｎｒが送られてくると、それま
でに要した時間をタイマの値を読み取ることで判断し
（ステップＳ５８０）、この時間が正常な範囲に入って
いれば、ウォッチドッグタイマの機能を動作させ（ステ
ップＳ５８５）、そのまま通常の処理に復する。他方、
所定時間以内にデータＤｎｒが送られて来ないか、ある
いは送られてきたデータＤｎｒが所定のデータではない
場合には、ウォッチドッグタイマを用いたリセット回路
に何らかの異常があるとして、これを異常履歴登録回路
２８０のＥＥＰＲＯＭ２８２に書き込み（ステップＳ５
９５）、上記監視プログラムを終了する。なお、タイマ
をスタートした後（ステップＳ５６５）、ウォッチドッ
グパルスＷＤＰ２が送られて来ないまま、一定以上の時
間が経過すると、タイムアウトと判断し（ステップＳ５
９０）、異常と判断して、上記のステップＳ５９５の処
理を実行する。

【００７１】以上説明した処理によれば、マスタ制御Ｃ
ＰＵ２７２の動作の異常を検出するウォッチドッグタイ
マによる再起動動作を、他の制御部のモータ主制御ＣＰ
Ｕ２６２により検証することができる。もとより、マス
タ制御ＣＰＵ２７２自身は、再起動されたとき、異常履
歴登録回路２８０のＥＥＰＲＯＭ２８２のフラグの値を
読むことで、再起動動作が行なわれたこと自体は知るこ
とができるが、再起動動作が妥当に行なわれたか（再起
動までの時間など）は、検証できない。従って、他のＣ
ＰＵ（ここではモータ主制御ＣＰＵ２６２）により、か
かる動作の検証を行なえることは極めて有用である。

【００７２】また、ウォッチドッグパルスのデューティ
についても、マスタ制御ＣＰＵ２７２が出力するウォッ
チドッグパルスＷＤＰ２の繰り返し時間をモータ主制御
ＣＰＵ２６２により検出し、適正範囲に入っているか否
かを検証することができる。もとより、その逆も行なっ
ている。

【００７３】他方、各制御部が自分自身で検証する項目
としては、図３に示した入力データの範囲や演算結果の
範囲のみならず、次の項目などを考えることができる。 入力信号の変化の様子が正常か否か：例えば、アクセ
ルペダル踏込量の変化率などが予め定めた範囲内に入っ
ているか否かを判断するものである。 複数の入力信号の挙動が正常か否か：例えば、アクセ
ルペダルの踏込量が増加しているにも拘わらず、吸入空
気量が低減しているといった場合には、異常が存在する
と判断する。複数の信号の挙動が、予定される物理的な
挙動に反する場合、これを検出するのである。 メモリチェック：メモリの内容をパリティやチェック
サム等の誤り検出符号により検出する。 シリアル通信の異常検出：予め定めたデータを、双方
向通信配線２１２などを介して他方のＣＰＵに出力し、
正常に通信されているか否かを判断する。

【００７４】以上説明した処理の妥当性の検証に関する
二つの類型、即ち、処理を行なうＣＰＵ自身が、処理の
妥当性を検証するとものと、他のＣＰＵ等により処理の
妥当性を検証するもとのは、どのように組み合わせても
差し支えない。もとより、前者については、実際のデー
タや数値を用いて検証し、後者については処理のアルゴ
リズムや使用する回路などの妥当性を汎用のデータを用
いて検証するように、しておくことが望ましい。処理を
実行しているＣＰＵは、処理に必要なデータの範囲など
を知っているからである。他方、他のＣＰＵからする
と、処理に必要なデータ自身の検証は行なわないものと
すれば、受け取るべきデータの数を徒に増加することが
ない。

【００７５】上記実施例では、モータ主制御ＣＰＵ２６
２とマスタ制御ＣＰＵ２７２と二より、処理の妥当性の
検証を分担したが、モータ主制御ＣＰＵ２６２と第１，
第２モータ制御ＣＰＵ２６４，２６６との間で分担して
も良いし、マスタ制御ＣＰＵ２７２と電源制御回路２７
４との間、あるいはマスタ制御ＣＰＵ２７２とエンジン
ＥＣＵ２４０との間、更にはマスタ制御ＣＰＵ２７２と
バッテリＥＣＵ２３０との間で、検証を分担して行なう
ものとすることもできる。

【００７６】以上本発明の実施例について説明したが、
本発明はこうした実施例に何等限定されるものではな
く、本発明の要旨を逸脱しない範囲において、種々なる
態様で実施し得ることは勿論である。例えば、車両以外
の装置の監視や誤り検出に適用ことができる。

【図面の簡単な説明】

【図１】本発明の第１実施例としてのハイブリッド車両
の全体構成を示す説明図である。

【図２】制御システム２００のより詳細な構成を示すブ
ロック図である。

【図３】誤り検出を伴うモータ制御ルーチンを示すフロ
ーチャートである。

【図４】モータ主制御ＣＰＵ２６２およびマスタ制御Ｃ
ＰＵ２７２において、他方の処理の妥当性を検証する機
構を示す説明図である。

【図５】他の実施例としてのウォッチドッグタイマの検
証処理を示すフローチャートである。

【符号の説明】

１１２…車軸 １１４…デファレンシャルギア １１６Ｒ，１１６Ｌ…車輪 １１９…ケース １２０…プラネタリギヤ １２１…サンギヤ １２２…リングギヤ １２３…プラネタリピニオンギヤ １２４…プラネタリキャリア １２５…サンギヤ軸 １２６…リングギヤ軸 １２７…プラネタリキャリア軸 １２９…チェーンベルト １３０…ダンパ １３１…三相コイル １３２…ロータ １３３…ステータ １４１…三相コイル １４２…ロータ １４３…ステータ １４４…回転数センサ １４９…バッテリ １５０…エンジン １５６…クランクシャフト １６３…ブレーキセンサ １６５…アクセルセンサ １６７…シフトポジションセンサ １９１，１９２…駆動回路 １９４…バッテリ １９６…バッテリセンサ ２００…制御システム ２１０…メインＥＣＵ ２１２…双方向通信配線 ２１４…双方向通信配線 ２２０…ブレーキＥＣＵ ２３０…バッテリＥＣＵ ２４０…エンジンＥＣＵ ２６０…モータ制御部 ２６２…モータ主制御ＣＰＵ ２６２ａ…リセット実行部 ２６４…第１モータ制御ＣＰＵ ２６６…第２モータ制御ＣＰＵ ２７０…マスタ制御部 ２７２…マスタ制御ＣＰＵ ２７２ａ…リセット実行部 ２７４…電源制御回路 ２８０…異常履歴登録回路 ２８２…ＥＥＰＲＯＭ ４００，４１０…比較部 ４０２，４１２…定数記憶用ＲＯＭ ４０４，４１４…算術論理演算ブロック

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G05B 23/02 B60K 6/02 B60L 3/00 F02D 45/00

Claims (11)

(57)【特許請求の範囲】
1. 【請求項１】 プログラムにより動作する算術論理演算
   ユニットを備えた２以上の制御装置を原動機を用いた移
   動体に搭載することによって構成され、各制御装置が、
   互いに異なる前記プログラムに従って所定の処理を行な
   うことにより、前記移動体における互いに異なった制御
   対象を制御する制御システムにおいて、該制御装置にお
   ける前記処理の誤りを検出する方法であって、前記２以上の制御装置による制御対象は、原動機、原動
   機と共に前記移動体の動力を出力する電動機、電動機に
   電力を供給するバッテリ、移動体の制動力を制御するブ
   レーキのうちのいずれかであり、 前記制御装置が行なう処理を、処理の妥当性が 処理を行
   なう制御装置によって検証される第１の処理と、処理の
   妥当性が処理を行なう制御装置とは異なる制御装置によ
   って検証される第２の処理とに分離し、 前記第１の処理については、当該制御装置が、処理の妥
   当性を検証し、 前記第２の処理については、該処理の結果を他方の制御
   装置に出力し、該他方の制御装置により妥当性を検証す
   る誤り検出方法。
2. 【請求項２】 請求項１記載の誤り検出方法であって、 前記第２の処理は、当該処理を行なう算術論理演算ユニ
   ットの演算の妥当性を検証する処理であり、 他方の制御装置は、前記第２の処理については、該演算
   の結果を他方の制御装置における算術論理演算ユニット
   による演算を行なうことで、その妥当性を検証する誤り
   検出方法。
3. 【請求項３】 前記第１の処理の妥当性の検証は、当該
   第１の処理により得られた結果の範囲を検定することに
   より行なう請求項１記載の誤り検出方法。
4. 【請求項４】 前記第２の処理の妥当性の検証は、予め
   定めた値を基にして予め定めた四則演算を含む算術論理
   演算を行なった結果を、他の制御装置により検定するこ
   とにより行なう請求項１記載の誤り検出方法。
5. 【請求項５】 前記各制御装置は、シリアル通信によ
   り、前記第２の処理 の結果の授受を行なう請求項１記載
   の誤り検出方法。
6. 【請求項６】 プログラムにより動作する算術論理演算
   ユニットを備えた２以上の制御装置を原動機を用いた移
   動体に搭載することによって構成され、各制御装置が、
   互いに異なる前記プログラムに従って所定の処理を行な
   うことにより、前記移動体における互いに異なった制御
   対象を制御する制御システムであって、 前記２以上の制御装置は、原動機、原動機と共に前記移
   動体の動力を出力する電動機、電動機に電力を供給する
   バッテリ、移動体の制動力を制御するブレーキのうちの
   いずれかを前記制御対象とし、 前記各制御装置は、 前記各制御装置における処理のうち、該処理の結果に基
   づいて当該処理を行なう側の制御装置が処理の妥当性を
   検証するものとして記憶した第１の処理について、該処
   理の結果を用いて、処理の妥当性を検証する第１の検証
   手段と、 前記各制御装置における処理のうち、当該処理を行なう
   制御装置の処理の妥当性を当該処理を行なう制御装置と
   は異なる制御装置が検証するものとして記憶した第２の
   処理について、該処理の結果を他方の制御装置から受け
   取り、処理の妥当性を検証する第２の検証手段とを備え
   た制御システム。
7. 【請求項７】 請求項６記載の制御システムであって、 前記第２の検証手段は、 当該処理を行なう算術論理演算ユニットの演算の妥当性
   を検証する手段であり、 前記他の制御装置における該演算の結果を受け取る演算
   結果受信手段と、 該制御装置における算術論理演算ユニットによる演算を
   行なうことで、前記受け取った演算の結果の妥当性を検
   証する手段とを備えた制御システム。
8. 【請求項８】 前記第１の検証手段は、当該第１の処理
   により得られた結果の範囲を検定することにより検証を
   行なう手段である請求項６記載の制御システム。
9. 【請求項９】 前記第２の検証手段は、予め定めた値を
   基にして予め定めた四則演算を含む算術論理演算を行な
   った結果を受け取り、該結果を用いて検証を行なう手段
   である請求項６記載の制御システム。
10. 【請求項１０】 請求項６記載の制御システムであっ
    て、 前記各制御装置は、シリアル通信によりデータの授受を
    行なう通信手段を備え、 前記第２の検証手段が検証する演算の結果を、前記通信
    手段を介して受け取る制御システム。
11. 【請求項１１】 前記各制御装置は、ＣＰＵを備えた１
    チップマイクロコンピュータである請求項６記載の制御
    システム。