JP4036585B2 - フェールセーフ機構 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、例えば、後輪操舵装置など、車両に搭載した装置を制御する電気的な制御システムに異常が発生した時、その制御システムを停止するとともに、予備の制御システムに制御を続けさせるフェールセーフ機構に関する。
【０００２】
【従来の技術】
後輪操舵装置のモータの駆動や、油圧系のコントロールバルブを、ＣＰＵによって制御する場合において、ＣＰＵに異常が発生したときには、ＣＰＵの制御を停止させるなどして、ＣＰＵが誤った制御を続けないようにしている。
上記ＣＰＵが正常かどうかどうかを判定するためには、複数のＣＰＵを設けて、それらの中で、他と異なった動作をするものが有れば、そのＣＰＵが異常であると判断し、そのＣＰＵの制御を停止させるようにしている。
【０００３】
【発明が解決しようとする課題】
上記のようにして、ＣＰＵの異常が検出された場合、ＣＰＵの制御が停止して、後輪操舵装置などが、停止してしまったのでは、困ることが多い。
また、複数のＣＰＵが互いに監視し合って、異常を検出するためには、３つ以上のＣＰＵが必要である。もしも、２つのＣＰＵしかなければ、両者の動作が一致しない場合に、どちらが異常なのか判断することができないからである。このように、異常を検出するためにだけ、３つのＣＰＵを備えなければならないのは、無駄である。
【０００４】
この発明の目的は、ＣＰＵを備えた制御システムの異常を、他のＣＰＵによって発見するのではなく、自身で検出するとともに、異常が発生した制御システムが停止したら、自動的に、予備の制御システムが装置の制御を継続するフェールセーフ機構を提供することである。
【０００５】
【課題を解決するための手段】
第１の発明は、車両の電気的な装置を駆動制御する第１，第２の制御システムとからなり、上記第１，第２制御システムは、それぞれ、上記電気的な装置に接続したドライバ回路と、このドライバ回路を制御するＣＰＵと、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したスイッチ回路と、このスイッチ回路と上記ＣＰＵとの間に接続し、ＣＰＵからの出力信号によりＣＰＵの異常を検出する異常検出機構とを備え、上記第１、第２制御システムは、正常動作中にはそれぞれのスイッチ回路のスイッチを接続状態とするとともに、上記第１，第２制御システムのうちいずれか一方の制御システムのＣＰＵによって上記ドライバ回路を制御し、その動作中に、上記一方の制御システム中のＣＰＵから異常信号が出力された場合には、上記一方の制御システム中の異常検出機構が同システム中のスイッチ回路に対しスイッチを切る指令を出力するとともに、同制御システムは、ドライバ回路への電源供給の停止信号を、他方の制御システムのＣＰＵに送信し、この停止信号を受信した他方の制御システムのＣＰＵは、駆動制御を開始する点に特徴を有する。
【０００６】
第２の発明は、上記第１の発明を前提とし、上記スイッチ回路は、コイルと、このコイルが励磁状態のときに閉じる接点と、これらコイルと接点との間に接続したトランジスタとからなり、上記コイルには、手動操作によって電源をオンしたときに一定時間だけコイルを励磁状態に保つスイッチ機構を接続し、このコイルが励磁状態であって、しかも上記トランジスタに所定のベース電流が供給されたときにのみ回路を閉じるとともに、上記異常検出機構は、異常を検出したときに、上記トランジスタのベース電流を遮断する構成にした点に特徴を有する。
第３の発明は、第１または第２の発明を前提とし、異常検出機構が、複数のウォッチドッグタイマーとＡＮＤ回路とを備え、それぞれのウォッチドッグタイマーに、ＣＰＵの異なる制御プログラムから出力される異常検出信号を入力し、上記ウォッチドッグタイマーの出力信号を、ＡＮＤ回路を介してスイッチ回路へ出力する点に特徴を有する。
【０００７】
【発明の実施の形態】
図１、図２に示す第１実施例は、この発明のフェールセーフ機構を備えた、車両の後輪操舵装置などの制御回路である。
上記制御回路は、２つの制御システムＡ，Ｂからなるが、この制御システムＡとＢは、全く同じ構成である。
制御システムＡは、ＣＰＵ１Ａをドライバ回路２Ａに接続し、このドライバ回路２Ａを介して図示しない後輪操舵装置のバルブユニットを駆動制御する。
また、上記ドライバ回路２Ａには、この発明のスイッチ回路５Ａを介して駆動用電源４を接続している。
【０００８】
上記スイッチ回路５Ａは、接点６Ａと、コイル７Ａ、これらの接点６Ａとコイル７Ａの間に接続したトランジスタ８Ａとからなる。上記接点６Ａは、コイル７Ａが励磁すると閉じる接点である。このようなスイッチ回路５Ａでは、コイル７Ａが励磁状態で、しかもトランジスタ８Ａに適当なベース電流が供給されたときに回路を閉じ、上記駆動用電源４とドライバ回路２Ａ間が接続され、上記ドライバ回路２Ａに電流が供給される。
なお、ここでは、最初に、コイル７Ａを励磁して、接点６Ａをオンにするためのスイッチ機構は図示していない。このスイッチ機構は、はじめに手動で電源をオンした時に、一定時間だけコイル７Ａを励磁状態に保つタイマーリレイのような機構である。
【０００９】
一方、ＣＰＵ１Ａには、異常検出機構３Ａを接続し、この異常検出機構３Ａを上記トランジスタ８Ａのベースに接続している。
そして、ＣＰＵ１Ａは、上記異常検出機構３Ａに対し、パルス信号を出力する。このパルス信号は、ＣＰＵ１Ａの制御プログラムが正常に動作している間に、連続的に出力される信号である。そして、上記異常検出機構３Ａは、上記パルス信号が入力されている間は、所定の電圧値のＨ信号を出力し、このＨ信号が、上記トランジスタ８Ａのベース電圧となり、トランジスタ８Ａに駆動用電源４からの電流が流れる。
【００１０】
これに対し、一定時間パルス信号が入力されなくなると、Ｈ信号より電圧値の低いＬ信号を出力する。このＬ信号は、トランジスタ８Ａのベース電圧としては不十分な電圧値である。
すなわち、上記パルス信号の停止が、この発明の異常信号にあたる。
そして、上記ＣＰＵ１Ａからパルスが入力されなければ、上記異常検出機構３ＡがＬ信号を出力するので、トランジスタ８Ａのコレクター、エミッタ間の電流が断たれる。したがって、スイッチ回路５Ａが切れて、ドライバ回路２Ａへ電流が供給されなくなる。
【００１１】
また、制御システムＢは、上記制御システムＡと全く同じ構成なので、同じ構成要素には、システムＡで用いた符号の「Ａ」の代わりに「Ｂ」を用いて示し、個々の説明は省略する。
さらに、上記システムＡにおいて、スイッチ回路５Ａとドライバ回路２Ａとの間から、もう一方の制御システムＢのＣＰＵ１Ｂへ、信号線を接続している。そして、ドライバ回路２Ａに駆動電源が供給されているかどうかの信号を送信するようにしている。この構成は、システムＢにおいても同じである。
【００１２】
以下に、図１の制御回路の動作を図２のフローチャートを用いて説明する。そして、この第１実施例では、最初に、制御システムＡが作動して、図示しない後輪操舵装置を駆動制御している状態から説明する。なお、このフローチャートは、上記制御回路全体の動きを説明するものであり、ＣＰＵ１Ａの制御プログラムのステップではない。
【００１３】
まず、ステップ１で駆動用電源４および図示しないＣＰＵ１Ａおよび１Ｂ用電源をオンにするとともに、図示しないスイッチ機構によって、スイッチ回路５Ａ，５Ｂを接続する。ＣＰＵ１Ａおよび１Ｂの制御プログラムが立ち上がり、正常に作動し、ドライバ回路２Ａ，２Ｂを介して後輪操舵装置を制御する。
このとき、ＣＰＵ１Ｂも正常に作動するが、制御システムＡからの信号により、上記後輪操舵装置が制御システムＡによって制御されることを検出する。そのため、制御システムＢにおいては、上記トランジスタ８Ｂはオンのままで、ドライバ回路２Ｂへの出力指令を停止している。
【００１４】
ステップ２で異常が発生したら、ステップ３へ進む。この異常の原因がＣＰＵ１Ａの異常でなければ、ステップ４で、ＣＰＵ１Ａが異常を検出できる。
ステップ５で、ＣＰＵ１Ａが、異常検出機構３Ａへ、異常信号を出力し、ステップ７へ進む。
ステップ７では、異常信号を入力された異常検出機構３Ａが、Ｌ信号を出力して、トランジスタ８Ａのベース電流を遮断する。したがって、トランジスタ８Ａが切れる。
【００１５】
一方、ステップ３で、ＣＰＵ１Ａの制御プログラムに異常が発生した場合には、上記パルス信号が出力されなくなるので、ステップ６で、異常検出機構３Ａが異常を検出する。
ステップ７で、トランジスタ８Ａが切れ、ステップ８では、コイル７Ａが非励磁となり、接点６Ａが切れ、すなわち、スイッチ回路５Ａが切れる。
ステップ９では、ドライバ回路２Ａへの電源供給がなくなる。
ステップ１０で、システムＡが停止した旨の信号が、もう一方の制御システムＢのＣＰＵ１Ｂに対して出力される。
ステップ１１で、ＣＰＵ１Ｂがドライバ回路２Ｂを介して後輪操舵装置の制御を開始する。
そして、以降は、上記ステップ１〜９同様にして、制御システムＢで異常が検出されるまで、駆動制御が継続される。
ただし、システムＢが異常を検出した場合には、制御システムＡは復帰しないで、全システムが停止することになる。
【００１６】
また、制御システムＢから駆動制御を始めた場合には、図２のフローチャート中の「Ａ」と「Ｂ」とを置き換えたステップで、制御が行われる。そして、制御システムＢが停止した場合には、制御システムＡが制御を続ける。
以上のように、各制御システムは、他方の制御システムとは関係なく、システム内部で、異常を検出することができる。そして、異常を検出した場合には、もう一方の制御システムに指令を出して、別の制御システムによって、装置の制御を継続することができる。
また、上記のように、上記第１実施例では、異常が発生した場合には、ドライバ回路２Ａとこれを駆動する駆動用電源４との間を遮断することにより、ＣＰＵ１Ａで制御されるシステムＡを停止させ、誤動作を確実に防止するようにしている。エラーが発生して停止したシステムＡが勝手に復帰するようなことはない。
【００１７】
図３に示す第２実施例は、異常検出機構３Ａとして、２個のウォッチドッグタイマー９Ａ，１０Ａと、ＡＮＤ回路１１Ａを用いたもので、その他は、第１実施例と同じである。
上記ウォッチドッグタイマー９Ａ，１０Ａには、ＣＰＵ１Ａの制御プログラムが正常に動作している間には、パルス信号が連続的に入力される。そして、各ウォッチドッグタイマー９Ａ、１０Ａは、上記パルス信号が入力されると、所定の電圧値のＨ信号を出力し、一定時間パルス信号が入力されなくなると、Ｈ信号より電圧値の低いＬ信号を出力する。
なお、各ウォッチドッグタイマー９Ａ，１０Ａには、異なる制御プログラムから出力されるパルス信号を別々のポートから入力するようにしている。
【００１８】
上記ウォッチドッグタイマー９Ａ，１０Ａに接続したＡＮＤ回路１１Ａは、ウォッチドッグタイマー９Ａ，１０Ａからの出力がどちらもＨ信号の場合にだけ、信号を出力し、それ以外のときには信号を出力しない。つまり、両方のウォッチドッグタイマー９Ａ，１０Ａにパルス信号を入力する制御プログラムがどちらも正常に作動している場合には、ＡＮＤ回路１１ＡからはＨ信号が出力される。この信号が、上記トランジスタ８Ａのベース電圧となり、トランジスタ８Ａに駆動用電源４からの電流が流れる。
【００１９】
しかし、制御プログラムのどちらか一方に異常が発生した場合には、異常を検出したウォッチドッグタイマーがＬ信号を出力するので、ＡＮＤ回路１１Ａからは信号が出力されない。つまり、トランジスタ８Ａのベース電圧が断たれる。
上記第２実施例では、ウォッチドッグタイマーを２個用いたが、もっと多くして、それぞれに、別の制御プログラムを監視させれば、それだけ確度高く、異常を検出することができる。
【００２０】
また、異常検出機構３Ａや、スイッチ回路５Ａは、上記実施例の構成に限らない。
要するに、異常検出機構３Ａは、ＣＰＵ１Ａから制御プログラムの異常を示す信号を入力されたら、スイッチ回路５Ａを切るとともに、システムＢに信号を送信できれば良い。そして、システムＡは勝手に復帰しないで、システムＢがその後の制御を継続するのである。
【００２１】
【発明の効果】
第１〜第３の発明によれば、２つの制御システムを設け、一方のシステムが停止したときに、他方のシステムが動作して、制御を続行できるようになった。しかも、１つの制御システム内での異常を、他のＣＰＵを用いないで検出することができる。
そして、異常が発生した場合には、駆動用電源のドライバ回路への供給を断つようにすることによって、制御システムを停止させるとともに、再度駆動用電源が投入されない限り、ドライバ回路への電流供給がされないようにしたので、例えば、車両の走行中に異常な制御システムが復帰するといったことが防止される。
また、従来のように３つ以上のＣＰＵを用いて、多数決をするといったロジックが不要となるので、システム構成が容易かつ安価となる。
【００２２】
特に、第３の発明によれば、複数の制御プログラムの異常を別々に検出し、そのなかで、ひとつでも異常を検出した場合には、システムを停止することができる。したがって、システムの誤動作をより確実に防止できる。
【図面の簡単な説明】
【図１】第１実施例の制御回路である。
【図２】第１実施例の異常検出時のフローチャートである。
【図３】第２実施例の異助検出機構の回路図である。
【符号の説明】
１Ａ，１Ｂ ＣＰＵ
２Ａ，２Ｂ ドライバ回路
３Ａ，３Ｂ 異常検出機構
４ 駆動用電源
５Ａ，５Ｂ スイッチ回路
９Ａ，１０Ａ ウォッチドッグタイマー
１１Ａ ＡＮＤ回路

Claims (3)

1. 車両の電気的な装置を駆動制御する第１，第２の制御システムとからなり、上記第１，第２制御システムは、それぞれ、上記電気的な装置に接続したドライバ回路と、このドライバ回路を制御するＣＰＵと、上記ドライバ回路に電流を供給する駆動用電源と、この駆動用電源とドライバ回路との間に接続したスイッチ回路と、このスイッチ回路と上記ＣＰＵとの間に接続し、ＣＰＵからの出力信号によりＣＰＵの異常を検出する異常検出機構とを備え、上記第１、第２制御システムは、正常動作中にはそれぞれのスイッチ回路のスイッチを接続状態とするとともに、上記第１，第２制御システムのうちいずれか一方の制御システムのＣＰＵによって上記ドライバ回路を制御し、その動作中に、上記一方の制御システム中のＣＰＵから異常信号が出力された場合には、上記一方の制御システム中の異常検出機構が同システム中のスイッチ回路に対しスイッチを切る指令を出力するとともに、同制御システムは、ドライバ回路への電源供給の停止信号を、他方の制御システムのＣＰＵに送信し、この停止信号を受信した他方の制御システムのＣＰＵは、駆動制御を開始することを特徴とするフェールセーフ機構。
2. 上記スイッチ回路は、コイルと、このコイルが励磁状態のときに閉じる接点と、これらコイルと接点との間に接続したトランジスタとからなり、上記コイルには、手動操作によって電源をオンしたときに一定時間だけコイルを励磁状態に保つスイッチ機構を接続し、このコイルが励磁状態であって、しかも上記トランジスタに所定のベース電流が供給されたときにのみ回路を閉じるとともに、上記異常検出機構は、異常を検出したときに、上記トランジスタのベース電流を遮断する構成にした請求項１に記載のフェールセーフ機構。
3. 上記異常検出機構が、複数のウォッチドッグタイマーとＡＮＤ回路とを備え、それぞれのウォッチドッグタイマーに、ＣＰＵの異なる制御プログラムから出力される異常検出信号を入力し、上記ウォッチドッグタイマーの出力信号を、ＡＮＤ回路を介してスイッチ回路へ出力することを特徴とする請求項１または２に記載のフェールセーフ機構。

Images