JP3906000B2

JP3906000B2 - フェールセーフ機構

Info

Publication number: JP3906000B2
Application number: JP25073899A
Authority: JP
Inventors: 慎一萩平; 教正天野; 和弘佐々木
Original assignee: Hino Motors Ltd; KYB Corp
Current assignee: Hino Motors Ltd; KYB Corp
Priority date: 1999-09-03
Filing date: 1999-09-03
Publication date: 2007-04-18
Anticipated expiration: 2019-09-03
Also published as: JP2001075603A

Description

【０００１】
【発明の属する技術分野】
この発明は、例えば後輪操舵装置など、車両に搭載した電気的なシステムに故障が発生し、システムが停止した時、走行中に再びシステムが始動することを防止するフェールセーフ機構に関する。
【０００２】
【従来の技術】
後輪操舵装置のモータの駆動や、油圧系のコントロールバルブを制御する場合において、一般的には故障発生時システムを停止させるが、車両の安全を確保するため、走行中はシステムを復帰させたくない場合がある。そうした場合、ＣＰＵに自己診断回路を備えて、上記制御プログラムが正常に動作しているかをチェックしている。そして、上記自己診断回路が、制御プログラムの異常を検出した場合には、フェール信号を出力して、ドライバ回路と駆動用電源との間に設けたスイッチを切るようにしている。このスイッチは、上記ＣＰＵからフェール信号が入力されないときには、閉じていて、フェール信号が入力されたときには、切れる仕組みになっている。
【０００３】
【発明が解決しようとする課題】
上記のように、自己診断回路によってエラーを検出して、一旦、駆動用電源とドライバ回路との間のスイッチを切っても、何らかの要因でフェール信号が出力されなければ、スイッチが入ってドライブ回路に再び電源が供給される。制御プログラムが壊れてしまったのに、フェール信号がとぎれて、制御プログラムがまるで正常に動作しているような信号が出力されることもある。
そのようなことが繰り返された場合には、走行中に、制御が有効になったり、無効になったりして、走行中の車両が不安定な状態になることがある。また、駆動信号のオン・オフが繰り返されることによって、制御機構や、制御対象であるシステムが破損してしまうようなこともある。
【０００４】
この発明の目的は、システムの故障を検知したとき、ドライバ回路への電力供給を断って、システムを確実に停止させるとともに、駆動用電源が再投入されない限り、ドライバ回路の電源供給がされないフェールセーフ機構を提供することである。
【０００５】
【課題を解決するための手段】
第１の発明は、車両の電気的なシステムを駆動制御するドライバ回路と、このドライバ回路を制御プログラムに基づいて制御する制御部と、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したメインスイッチ回路と、駆動用電源とメインスイッチ回路との間に接続され、駆動用電源からメインスイッチ回路への電源供給をＯＮ，ＯＦＦ制御するとともに、通常はＯＦＦ状態を維持するサブスイッチ回路と、駆動用電源が投入されたとき、一定時間のみサブスイッチ回路をＯＮ状態とするタイマー回路と、メインスイッチ回路と制御部との間に接続されたフェール検出回路と、メインスイッチより下流側で上記ドライバ回路と並列に設けられ、ドライバ回路への供給電流によりサブスイッチ回路をＯＮ状態とするとともにドライバ回路への供給電流が断たれたときにはサブスイッチ回路をＯＦＦ状態とするサブスイッチ制御手段とを備え、上記フェール検出回路が制御部の異常を検出したときには、上記メインスイッチ回路をＯＦＦとし、駆動用電源からドライバ回路への電流供給を断つ構成にし、上記サブスイッチ回路は、互いに並列接続されている第１，第２スイッチからなり、上記第１スイッチがタイマー回路により制御され、上記第２スイッチがサブスイッチ制御手段により制御される点に特徴を有する。
【０００６】
第２の発明は、車両の電気的なシステムを駆動制御するドライバ回路と、このドライバ回路を制御プログラムに基づいて制御する制御部と、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したメインスイッチ回路と、駆動用電源とメインスイッチ回路との間に接続され、駆動用電源からメインスイッチ回路への電源供給をＯＮ，ＯＦＦ制御するとともに、通常はＯＦＦ状態を維持するサブスイッチ回路と、駆動用電源が投入されたとき、一定時間のみサブスイッチ回路をＯＮ状態とするタイマー回路と、メインスイッチ回路と制御部との間に接続されたフェール検出回路と、メインスイッチより下流側で上記ドライバ回路と並列に設けられ、ドライバ回路への供給電流によりサブスイッチ回路をＯＮ状態とするとともにドライバ回路への供給電流が断たれたときにはサブスイッチ回路をＯＦＦ状態とするサブスイッチ制御手段とを備え、上記フェール検出回路が制御部の異常を検出したときには、上記メインスイッチ回路をＯＦＦとし、駆動用電源からドライバ回路への電流供給を断つ構成とし、上記フェール検出回路が、複数のウォッチドッグタイマーとＡＮＤ回路とを備え、それぞれのウォッチドッグタイマーに、異なる制御プログラムから出力されるフェール検出信号を入力し、上記ウォッチドッグタイマーの出力信号を、ＡＮＤ回路を介してメインスイッチ回路へ出力する点に特徴を有する。
【０００７】
【発明の実施の形態】
図１に示す実施例は、この発明のフェールセーフ機構を備えた、車両の後輪操舵装置などのシステムを制御する回路である。
制御部であるＣＰＵ１のポート１ａをドライバ回路２に接続し、このドライバ回路２を介してアクチュエータ３を制御する。このアクチュエータ３は、図示しない後輪操舵装置のバルブユニットである。
また、上記ドライバ回路２には、この発明のメインスイッチ回路であるトランジスタ９を介して駆動用電源４を接続している。
【０００８】
上記トランジスタ９と駆動用電源４との間には、サブスイッチ回路５を接続している。このサブスイッチ回路５は、並列に接続した第１，第２スイッチ５ａ，５ｂとからなる。
上記第１スイッチ５ａは、上記駆動用電源４に接続したタイマー回路７で制御される。このタイマー回路７はコイル７ａとタイマースイッチ７ｂとからなる。そして、駆動用電源４をＯＮすると、タイマー７ｂによって一定時間だけコイル７ａに電流が供給され、コイル７ａが励磁すると、第１スイッチ５ａが閉じるようになっている。
【０００９】
また、第２スイッチ５ｂは、コイル８が励磁されると閉じるスイッチで、このコイル８と第２スイッチ５ｂとの間にトランジスタ９を接続している。つまり、コイル８がこの発明のサブスイッチ制御手段である。
上記のような回路では、第１スイッチ５ａまたは第２スイッチ５ｂが閉じ、同時にトランジスタ９に適当なベース電流が供給されたときに回路を閉じ、上記駆動用電源４とドライバ回路２間が接続される。
【００１０】
一方、ＣＰＵ１のポート１ｂ、１ｃには、フェール検出回路６を接続し、このフェール検出回路６を上記トランジスタ９に接続している。
そして、ＣＰＵ１は、上記ポート１ｂ，１ｃからフェール検出信号を出力する。すなわち、フェール検出回路６は、上記フェール検出信号に基づいてＣＰＵ１のエラーを検出し、フェール信号をメインスイッチ回路へ入力する回路である。なお、図中、符号１３は、ＣＰＵ１用の電源である。
【００１１】
また、フェール検出回路６は、上記ＣＰＵ１のポート１ｂ，１ｃに接続したウォッチドッグタイマー１０，１１と、両ウォッチドックタイマー１０，１１の出力をまとめるＡＮＤ回路１２を備えている。上記ウォッチドックタイマー１０，１１には、ＣＰＵ１からパルス信号が入力される。このパルス信号は、制御プログラムが正常に動作している間に、連続的に出力される信号である。そして、各ウォッチドッグタイマー１０、１１は、上記パルス信号が入力されると、所定の電流値のＨ信号を出力し、一定時間パルス信号が入力されなくなると、Ｈ信号より電流値の低いＬ信号を出力する。
なお、各ウォッチドッグタイマー１０，１１には、異なる制御プログラムから出力されるパルス信号を入力するようにしている。このパルス信号が、この発明のフェール検出信号である。
【００１２】
上記ウォッチドッグタイマー１０，１１に接続したＡＮＤ回路１２は、ウォッチドッグタイマー１０，１１からの出力がどちらもＨ信号の場合にだけ、信号を出力し、それ以外のときには信号を出力しない。つまり、両方のウォッチドッグタイマー１０，１１にパルス信号を入力する制御プログラムがどちらも正常に作動している場合には、ＡＮＤ回路１２からは電流が出力される。この電流が、上記トランジスタ９のベース電流となり、トランジスタ９に駆動用電源４からの電流が流れる。
【００１３】
しかし、制御プログラムのどちらか一方に異常が発生した場合には、異常を検出したウォッチドッグタイマーがＬ信号を出力するので、ＡＮＤ回路１２からは信号が出力されない。このように信号が出力されないことは、ゼロ信号を出力しているのと同じである。つまり、トランジスタ９のベース電流が断たれる。
【００１４】
以下に、図１の制御回路の動作を図２のフローチャートを用いて説明する。なお、このフローチャートは、上記制御回路全体の動きを説明するものであり、ＣＰＵ１の制御プログラムのステップではない。また、図２中、「Ｗ．Ｄ．Ｔ．」は、ウォッチドッグタイマーのことである。
まず、ステップ１で駆動用電源４および電源１３をオンにする。電源１３がオンされるとＣＰＵ１の制御プログラムが立ち上がり、正常に作動すると、ステップ２で、ＣＰＵ１がウォッチドックタイマー１０，１１へ、パルス信号を出力する。
一方、駆動用電源４がオンされると、ステップ３でタイマー回路７のコイル７ａが励磁され、第１スイッチ５ａが閉じる。これにより、駆動用電源４とトランジスタ９までがつながる。
【００１５】
その間に、両ウォッチドッグタイマー１０，１１にパルス信号が入力されるので、ステップ４で、両ウォッチドッグタイマー１０，１１からＡＮＤ回路１２へＨ信号が出力される。したがって、ステップ５で、上記ＡＮＤ回路１２がメインスイッチ回路のトランジスタ９に対し、ベース電流を供給する。これにより、ステップ６で、トランジスタ９に電流が流れる。トランジスタ９に電流が流れれば、コイル８にも電流が供給される。
ステップ７で、コイル８が励磁され、第２スイッチ５ｂが閉じる。これにより、ドライバ回路２に電流が供給される（ステップ８）。つまり、電流は、駆動用電源４→第１スイッチ５ａ→トランジスタ９→コイル８およびドライバ回路２→アクチュエータ３と流れ、システムが作動する。このとき、ドライバ回路２には、上記ＣＰＵ１から制御プログラムに基づいた制御信号が入力されている。
【００１６】
上記のように、駆動用電源４から第２スイッチ５ｂおよびトランジスタ９を介して、ドライバ回路２へ電源が供給されるので、所定時間経過したためにタイマー７ｂによって第１スイッチ５ａが切れても（ステップ９）、電源供給路は確保できる。したがって、上記アクチュエータ３に接続した図示しないシステムは作動し続ける。
ステップ１０で、上記システムのどこかに異常が発生する。この異常がＣＰＵ１の暴走によるものか、その他の原因によるものかによって、フェールセーフ機構の対応の仕方が異なる。
ステップ１１で、ＣＰＵ１の暴走が原因の場合には、ステップ１３へ進み、ＣＰＵ１以外に原因がある場合には、ステップ１２へ進む。
【００１７】
ＣＰＵ１が正常な場合には、ＣＰＵ１がシステム異常を検出することができる。そこで、異常を検出したら、ステップ１２でＣＰＵ１が自ら制御を停止し、ステップ１３で、ＣＰＵ１からウォッチドッグタイマー１０および１１へのパルス出力を停止する。ステップ１４では、ウォッチドッグタイマー１０，１１がＬ信号を出力し、ＡＮＤ回路１２は、信号の出力をやめる。すなわち、ステップ１５では、トランジスタ９のベース電流の供給を停止する。
【００１８】
ベース電流がなくなれば、ステップ１６で、トランジスタ９の導通が切れる。ステップ１７で、コイル８が非励磁となり、第２スイッチ５ｂが切れる。したがって、ステップ１８でドライバ回路２の電流供給がストップして、システムが停止する（ステップ１９）。
ステップ１１で、システムの異常がＣＰＵ１による場合には、ステップ１３へ進む。ＣＰＵ１は、異常を検出することができないが、制御プログラムが正常に動作していないため、パルス信号がウォッチドッグタイマー１０，１１へ出力されない（ステップ１３）。
【００１９】
以降、上記と同様に、ステップ１４〜ステップ１９でシステムが停止する。
上記のように、この実施例では、異常が発生した場合には、ドライバ回路２とこれを駆動する駆動用電源４との間を遮断することにより、ＣＰＵ１で制御されるシステムを停止させ、誤動作を確実に防止するようにしている。
【００２０】
しかも、フェール検出回路６から信号が出力され、トランジスタ９のベース電流が供給されなくなることによって、トランジスタ９が一旦切れれば、図２のステップ１に戻って、駆動用電源４を手動でオンしない限り、切れたメインスイッチ回路がつながることはない。仮に、ＣＰＵ１の制御プログラムが暴走しているのに、たまたまパルス信号を出力したような場合に、トランジスタ９にベース電流が供給されても、駆動用電源４とトランジスタ９との間が遮断されているので、ドライバ回路２に電源が供給されることはない。もちろん、ＣＰＵ１の制御プログラムが復帰しても、勝手にサブスイッチ５がつながることはない。
したがって、エラーが発生した場合には、直ちにシステムが停止し、勝手に復帰するようなことはない。
【００２１】
また、上記実施例では、フェール検出回路６に、２個のウォッチドッグタイマー１０，１１を設けて、それぞれ、別の制御プログラムからパルス信号を入力するようにしている。そして、これらウォッチドッグタイマー１０，１１からの出力信号をＡＮＤ回路１２に入力している。そのため、２つの制御プログラムのうちどちらか一方でも、異常な動作をした場合には、トランジスタ９のベース電流の供給を止めて、メインスイッチ回路を切ることができる。
ただし、この数は、２個に限らず、１個でも、３個以上でもかまわない。ウォッチドッグタイマーの数を増やして、それぞれに別のプログラムを監視させれば、それだけフェール検出の確度が高くなる。
【００２２】
また、フェール検出回路６やメインスイッチ回路、サブスイッチ回路およびサブスイッチ制御手段は、上記実施例の構成に限らない。
要するに、フェール検出回路６は、ＣＰＵ１から制御プログラムの異常を示す信号を入力されたら、フェール信号を出力し、それによってメインスイッチ回路を切ることができ、このメインスイッチ回路が切れることでサブスイッチ回路が切れて、復帰しなければよい。
【００２３】
【発明の効果】
この発明によれば、ＣＰＵで駆動制御されるシステムに、異常が発生した場合には、駆動用電源のドライバ回路への供給を断つようにすることによって、システムを停止させるとともに、再度駆動用電源が投入されない限り、ドライバ回路への電流供給がされないので、例えば、車両の走行中にシステムが復帰するといったことが確実に防止される。
特に、第２の発明によれば、複数の制御プログラムの異常を別々に検出し、そのなかで、ひとつでも異常を検出した場合には、システムを停止することができる。したがって、システムの誤動作をより確実に防止できる。
【図面の簡単な説明】
【図１】実施例の回路図である。
【図２】実施例のフローチャートである。
【符号の説明】
１ＣＰＵ
２ドライバ回路
４駆動用電源
５サブスイッチ回路
５ａ第１スイッチ
５ｂ第２スイッチ
６フェール検出回路
７タイマー回路
８コイル
９トランジスタ
１０ウォッチドッグタイマー
１１ウォッチドッグタイマー
１２ＡＮＤ回路

Claims

車両の電気的なシステムを駆動制御するドライバ回路と、このドライバ回路を制御プログラムに基づいて制御する制御部と、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したメインスイッチ回路と、駆動用電源とメインスイッチ回路との間に接続され、駆動用電源からメインスイッチ回路への電源供給をＯＮ，ＯＦＦ制御するとともに、通常はＯＦＦ状態を維持するサブスイッチ回路と、駆動用電源が投入されたとき、一定時間のみサブスイッチ回路をＯＮ状態とするタイマー回路と、メインスイッチ回路と制御部との間に接続されたフェール検出回路と、メインスイッチより下流側で上記ドライバ回路と並列に設けられ、ドライバ回路への供給電流によりサブスイッチ回路をＯＮ状態とするとともにドライバ回路への供給電流が断たれたときにはサブスイッチ回路をＯＦＦ状態とするサブスイッチ制御手段とを備え、上記フェール検出回路が制御部の異常を検出したときには、上記メインスイッチ回路をＯＦＦとし、駆動用電源からドライバ回路への電流供給を断つ構成にし、上記サブスイッチ回路は、互いに並列接続されている第１，第２スイッチからなり、上記第１スイッチがタイマー回路により制御され、上記第２スイッチがサブスイッチ制御手段により制御されることを特徴とするフェールセーフ機構。
車両の電気的なシステムを駆動制御するドライバ回路と、このドライバ回路を制御プログラムに基づいて制御する制御部と、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したメインスイッチ回路と、駆動用電源とメインスイッチ回路との間に接続され、駆動用電源からメインスイッチ回路への電源供給をＯＮ，ＯＦＦ制御するとともに、通常はＯＦＦ状態を維持するサブスイッチ回路と、駆動用電源が投入されたとき、一定時間のみサブスイッチ回路をＯＮ状態とするタイマー回路と、メインスイッチ回路と制御部との間に接続されたフェール検出回路と、メインスイッチより下流側で上記ドライバ回路と並列に設けられ、ドライバ回路への供給電流によりサブスイッチ回路をＯＮ状態とするとともにドライバ回路への供給電流が断たれたときにはサブスイッチ回路をＯＦＦ状態とするサブスイッチ制御手段とを備え、上記フェール検出回路が制御部の異常を検出したときには、上記メインスイッチ回路をＯＦＦとし、駆動用電源からドライバ回路への電流供給を断つ構成とし、上記フェール検出回路が、複数のウォッチドッグタイマーとＡＮＤ回路とを備え、それぞれのウォッチドッグタイマーに、異なる制御プログラムから出力されるフェール検出信号を入力し、上記ウォッチドッグタイマーの出力信号を、ＡＮＤ回路を介してメインスイッチ回路へ出力することを特徴とするフェールセーフ機構。