JP4113934B2 - フェールセーフ機能付き情報処理装置 - Google Patents
フェールセーフ機能付き情報処理装置 Download PDFInfo
- Publication number
- JP4113934B2 JP4113934B2 JP10959599A JP10959599A JP4113934B2 JP 4113934 B2 JP4113934 B2 JP 4113934B2 JP 10959599 A JP10959599 A JP 10959599A JP 10959599 A JP10959599 A JP 10959599A JP 4113934 B2 JP4113934 B2 JP 4113934B2
- Authority
- JP
- Japan
- Prior art keywords
- circuit
- information processing
- fail
- failure
- function
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Hardware Redundancy (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、フェールセーフ機能付き情報処理装置に係り、特に、自動車等の民生品に好適なフェールセーフ機能付き情報処理装置に関する。
【０００２】
【従来の技術及び発明が解決しようとする課題】
特開平８−４４５８１号公報には、自己修復機能付き情報処理装置が開示されている。この自己修復機能付き情報処理装置では、障害検出手段が論理処理部での障害発生を検出すると、再構成手段により障害が発生した論理処理部についての論理回路構成データをデータ保持手段から読み出す。そして、読み出した論理回路構成データに基づいて、予備論理処理部を障害が発生した論理処理部と同一の論理回路構成になるように再構成することにより、障害を復旧させる。
【０００３】
この自己修復機能付き情報処理装置では、主として、人工衛星等において障害が発生した場合の修理維持の困難な環境下での使用を想定しているので、障害が発生した場合でも同一の機能が提供できる回路構成になるように再構成することが必要である。この同一の機能を提供するためには、故障した論理機能を代替できる同等に動作可能な情報処理装置が必要になる。
【０００４】
一方、自動車等の民生品の場合を考えると、故障が発生した場合には速やかに保守点検サービスが受けられると共に、低価格な装置が要望される。すなわち、自動車等の民生品では、最低限の安全確保のためのフェールセーフ機能、例えば、エンジン制御システムの場合であれば、エンジンが回転してサービスステーションまで自力走行できる機能があれば充分である。
【０００５】
しかしながら、自動車等の民生品について、上記の従来技術と同様に故障した機能と同一の機能を再構成する装置とすると、装置が不必要に複雑になると共にコスト高になる、という問題がある。
【０００６】
本発明は上記問題点を解消するためになされたもので、装置を小型化し、かつ低コストにしたフェールセーフ機能付き情報処理装置を提供することを目的とする。
【００１０】
上記目的を達成するために、請求項１の発明は、入力信号に対応する動作信号を出力する複数の情報処理回路と、前記複数の情報処理回路各々の機能の一部を構成するための再構成情報を前記複数の情報処理回路各々に対応して記憶した再構成情報保持部と、前記複数の情報処理回路各々の故障を検出する故障検出機能を備えると共に、前記故障検出機能により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、前記故障検出機能の一部を変更して故障した情報処理回路の機能の一部を持つように再構成し、前記入力信号に対する代替出力信号を出力する再構成可能回路と、前記複数の情報処理回路各々に対応して設けられると共に、対応する情報処理回路正常時には対応する情報処理回路から出力された動作信号を出力し、対応する情報処理回路故障時には前記再構成可能回路から出力された代替出力信号を出力する出力切替回路と、を含んで構成したものである。
【００１１】
請求項１の発明によれば、再構成可能回路の故障検出機能により故障が検出されたときに、故障が検出された情報処理回路に対応する再構成情報に基づいて故障検出機能の一部が変更され、故障した情報処理回路の機能の一部を持つように再構成される。故障した情報処理回路の機能の一部が再構成された再構成可能回路は、入力信号に対する代替出力信号を出力し、これによって故障時のフェールセーフが行なわれる。
【００１２】
故障検出機能は、１つの情報処理回路の故障を検出した時点で通常は必要性が低下するので、故障検出機能の全部を変更し、故障検出機能の全部が故障した情報処理回路の機能の一部を持つように再構成することができる。
【００１３】
短期間内に複数の情報処理回路が故障したことを検出する場合には、故障検出機能の一部のみを変更し、故障検出機能の一部のみを故障した情報処理回路の機能の一部を持つように再構成すればよい。これにより、機能が変更されなかった故障検出機能の部分が残存し、正常な情報処理回路の故障検出ができるようになる。また、故障した情報処理回路の機能の一部を再構成する際に、再構成前の故障検出機能より故障検出機能を簡易にした新たな故障検出機能を再構成し、再構成された情報処理回路の機能の一部の故障を検出するようにしてもよい。
【００１４】
上記のことから、請求項１の発明の再構成情報としては、情報処理回路各々の回路機能の一部を構成するための再構成データ、情報処理回路各々の処理機能の一部を構成するための再構成プログラム、または再構成データ及び再構成プログラムのいずれかに故障検出機能を簡易にした新たな故障検出機能を再構成するための情報を付加した再構成情報を使用することができる。再構成データを使用する場合には、再構成可能回路に故障した情報処理回路の回路機能の一部が構成されるので、回路構成自体が変更される。一方、再構成プログラムを使用する場合には、回路機能は変更されないが再構成プログラムによって処理機能の一部が変更される。
【００１５】
請求項１の発明の再構成可能回路は、故障した情報処理回路に入力されていた入力信号の内フェールセーフに必要な入力信号のみが入力されるように接続する等によって予め設定しておいて代替出力信号を出力するようにしてもよく、入力制限回路を設けて、故障した情報処理回路の機能の一部を構成する再構成可能回路への入力信号を代替出力信号の出力に必要な入力信号のみに制限して再構成可能回路へ入力するようにしてもよい。また、再構成可能回路自体が入力信号からフェールセーフに必要な入力信号のみを選択して使用するように構成してもよい。
【００１６】
なお、入力制限回路は、入力制限回路を構成するための情報を再構成情報として記憶しておいて、故障が検出されたときに再構成するようにしてもよい。
請求項１の発明の再構成可能回路は、故障検出機能を実行するための複数の情報処理回路各々の故障を検出する複数の故障検出装置を備え、故障検出装置により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、故障を検出した故障検出装置を変更して故障した情報処理回路の機能の一部を持つように再構成するようにしてもよい。
【００１７】
請求項１の発明の故障検出機能に異常が発生すると、正常であるにもかかわらず故障検出信号が出力されてシステムの動作を損なう確率が高くなるので、請求項１の発明には故障検出機能が正常か否かを自己診断する自己診断回路を設けることにより、情報処理装置全体の信頼性を向上させることができる。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
【００１９】
第１の実施の形態のフェールセーフ機能付き情報処理装置は、図１に示すように、入力信号に対応する動作信号を出力するＮ個の情報処理回路１０1 〜１０N を備えている。情報処理回路１０1 〜１０N の各々には、情報処理回路の故障を検出するＮ個の故障検出装置１２1 〜１２N が接続されている。
【００２０】
故障検出装置１２1 〜１２N の各々は、入力制限回路１４に接続されている。また、入力制限回路１４には、情報処理回路１０1 〜１０N の各々に入力される入力信号が入力されており、入力制限回路１４は、故障検出装置により故障が検出された情報処理回路へ入力されている入力信号を制限して特定の入力信号のみ出力する。入力信号を制限する場合には、フェールセーフに必要な入力信号のみが出力されるように制限する。
【００２１】
入力制限回路１４には、ＣＰＵ等で構成された再構成手段１６が接続されると共に、ＦＰＧＡ（Field Programmable Gate Array ）、またはＦＰＡＡ（Field Programmable Analog Array ）で構成された再構成可能回路１８が接続されている。また、再構成手段１６は、データ読み込み指令を再構成可能回路１８に入力するように接続されている。
【００２２】
ＦＰＧＡは、複数の論理セルで構成され、プログラミングによりこれらの論理セルを組み合わせることで各種回路機能を実現できるように構成されている集積回路であり、ＦＰＡＡは、再構成可能な回路要素としてアナログのオペアンプ、抵抗、及びコンデンサで構成され、指定するデータに応じてアナログ回路を再構成することができる集積回路である。
【００２３】
また、再構成可能回路１８には、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するための再構成データ１〜Ｎを情報処理回路１０1 〜１０N 各々に対応して記憶した再構成データ保持回路２０が接続されている。なお、再構成データ１〜Ｎは、情報処理回路１０1 〜１０N 各々のフェールセーフを実行するフェールセーフ回路の構成を表すデータであり、各々情報処理回路１０1 〜１０N に対応するように記憶されている。
【００２４】
そして、情報処理回路１０1 〜１０N の出力端には、情報処理回路からの出力と再構成可能回路１８からの出力とを切り換えて出力する出力切替回路２２1 〜２２N が接続されている。出力切替回路２２1 〜２２N の各々は、正常時には対応する情報処理回路から入力された動作信号を出力し、対応する情報処理回路の故障時にはフェールセーフ回路が再構成された再構成可能回路１８からの代替出力信号を出力する。
【００２５】
このフェールセーフ機能付き情報処理装置では、正常時には、情報処理回路１０1 〜１０N は入力された入力信号を処理し、入力信号に対応する動作信号を出力している。出力切替回路２２1 〜２２N の各々は、対応する情報処理回路１０1 〜１０N の各々から入力された信号をそのまま動作信号として出力する。
【００２６】
故障検出装置１２1 〜１２N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が入力制限回路１４を介して再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいてどの情報処理回路が故障したかを判断し、故障した情報処理回路に対応する再構成データを読み込む読込指令を再構成可能回路１８に出力する。読込指令が入力された再構成可能回路１８は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路を構成する。
【００２７】
また、再構成手段１６は、故障した情報処理回路のフェールセーフを行なうのに必要な入力信号を表すデータを入力制限回路１４に入力する。これにより、入力制限回路１４は、入力された入力信号を故障した情報処理回路のフェールセーフを行なうのに必要な入力信号のみに制限して出力する。
【００２８】
再構成可能回路１８は、故障した情報処理回路の一部を構成するフェールセーフ回路で再構成されているので、入力制限回路１４から入力された入力信号に対応する動作信号として代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００２９】
再構成可能回路１８から代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から再構成可能回路１８からの代替出力信号に切り替え、代替出力信号を出力する。
【００３０】
上記のように、本実施の形態では、情報処理回路の１つが故障したときには、再構成可能回路に故障した情報処理回路の機能の一部を実行するフェールセーフ回路が構成され、制限された入力信号に基づいた代替出力信号が出力される。
【００３１】
このように、本実施の形態では、制限された入力信号、すなわち正常時より少ない個数の入力信号に基づいて再構成可能回路に構成されたフェールセーフ回路で処理しているため、再構成可能回路内に小規模なフェールセーフ回路を再構成することで処理することができ、フェールセーフ機能を持つ情報処理装置を安価でかつ小型に構成することができる。
【００３２】
次に、第２の実施の形態について説明する。本実施の形態は、図２に示すように、第１の実施の形態の故障検出装置を再構成可能回路で構成された１つの故障検出装置２４で構成したものである。また、再構成データ保持回路２０には、再構成データとして、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するためのデータに、入力制限回路を構成するためのデータが付加された再構成データ１〜Ｎが、情報処理回路１０1 〜１０N 各々に対応して記憶されている。なお、図２において図１と対応する部分には同一符号を付して説明を省略する。
【００３３】
第２の実施の形態のフェールセーフ機能付き情報処理装置では、故障検出装置２４によって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が故障検出装置２４から再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいてどの情報処理回路が故障したかを判断し、故障した情報処理回路に対応する再構成データを読み込む読込指令を再構成可能回路で構成された故障検出装置２４に出力する。読込指令が入力された故障検出装置２４は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて、入力制限回路と、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路とを構成する。
【００３４】
図３に、情報処理回路１０1 が故障したときの再構成された回路を示す。図３に示すように、情報処理回路１０1 が故障すると、故障検出装置２４は読み込んだ再構成データに基づいて、入力制限回路２４Ａを構成すると共に、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路２４Ｂを構成する。
【００３５】
フェールセーフ回路は、故障した情報処理回路の機能の一部を実行するように再構成されるので、入力制限回路から入力された入力信号に対応する代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００３６】
代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から代替出力信号に切り替え、代替出力信号を出力する。
【００３７】
本実施の形態では、故障検出装置が故障を検出した後は、故障検出装置の全部の回路が変更されて入力制限回路及びフェールセーフ回路が再構成されるので、故障検出機能を持たなくなる。これは１つの情報処理回路が故障した後、続けて他の情報処理回路が故障する確率は極めて低く、故障検出装置が１つの情報処理回路の故障を検出した後は故障検出機能の必要性が低くなるためである。
【００３８】
上記のように、本実施の形態では、正常時に必要な故障検出装置を用い、情報処理回路の１つが故障したときには、故障検出後には必要性が低下する故障検出装置を入力制限回路と故障した情報処理回路のフェールセーフ回路とに変更しているので、回路を有効に利用することができ、これによりフェールセーフ機能付き情報処理装置をさらに安価に構成することができる。
【００３９】
なお、入力制限回路は、再構成することなく、第１の実施の形態のように予め配置しておいてもよい。
【００４０】
上記第１及び第２の実施の形態において再構成可能回路を１つとしたのは、複数の情報処理回路が同時に故障になる確率は極めて低いからである。次に、複数の情報処理回路が同時に故障した場合にも対応することができる第３の実施の形態について説明する。この第３の実施の形態は、上記第２の実施の形態の再構成可能回路で構成された故障検出装置を複数個用いたものである。
【００４１】
図４に示すように、第３の実施の形態のフェールセーフ機能付き情報処理装置は、情報処理回路１０1 〜１０N 各々の故障を検出する故障検出機能を備えた再構成可能回路２６を備えている。再構成可能回路２６には、故障検出機能を実行するための情報処理回路１０1 〜１０N 各々の故障を検出する故障検出装置２８1 〜２８N が構成されている。また、再構成データ保持回路２０には、第１の実施の形態で説明したように、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するための再構成データ１〜Ｎが情報処理回路１０1 〜１０N 各々に対応して記憶されている。
【００４２】
本実施の形態では、故障検出装置２８1 〜２８N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいて故障した情報処理回路を判断し、故障した情報処理回路に対応する再構成データを読み込むための読込指令を再構成可能回路２６に入力する。再構成可能回路２６は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて、故障を検出した故障検出装置の回路構成の全部を変更して、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路を再構成する。これによって、故障を検出した故障検出装置が、故障した情報処理回路のフェールセーフ回路に変更される。なお、本実施の形態では、入力制限回路は予め配置したり、再構成することができるが、図示を省略した。
【００４３】
フェールセーフ回路は、故障した情報処理回路の一部の機能を実行するように回路構成が再構成されているので、図示しない入力制限回路から入力された入力信号に対応する代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００４４】
フェールセーフ回路から代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から代替出力信号に切り替え、代替出力信号を出力する。
【００４５】
図５には、情報処理回路１０1 の故障が故障検出装置２８1 で検出され、故障検出装置２８1 が故障した情報処理回路１０1 のフェールセーフ回路２８Ｂ1 に再構成され、フェールセーフ回路２８Ｂ1 からの代替出力信号が出力切替回路２２1 から出力される状態が示されている。
【００４６】
本実施の形態では、故障を検出しなかった故障検出装置が残存しているため、１つのフェールセーフ回路が再構成されている状態で、他の情報処理回路の故障が検出されると、残存している故障検出装置によって故障が検出され、故障を検出した故障検出装置が、故障した情報処理回路のフェールセーフ回路に変更される。したがって、複数の情報処理回路が同時に故障した場合にも故障した各々の情報処理回路に対応するフェールセーフ回路を再構成することができ、これにより複数の情報処理回路が同時に故障した場合にもフェールセーフを行なうことができる小型、かつ安価なフェールセーフ機能付き情報処理装置を提供することができる。
【００４７】
上記第３の実施の形態では、故障が検出されたときに故障検出装置をフェールセーフ回路に再構成する例について説明したが、次に説明する第４の実施の形態のように、故障検出装置をフェールセーフ回路と新たな故障検出装置とに再構成するようにしてもよい。この新たな故障検出装置は、故障前の故障検出装置の故障検出機能より故障検出機能を簡易にした故障検出装置とするのが好ましい。
【００４８】
第４の実施の形態は、図４に示すように、情報処理回路１０1 〜１０N の各々の故障を検出する故障検出装置２８1 〜２８N を備えた再構成可能回路２６を備えている。第４の実施の形態では、再構成データ保持回路２０に、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するためのデータと再構成する故障検出装置の回路構成を示すデータとからなる再構成データ１〜Ｎが、情報処理回路１０1 〜１０N 各々に対応して記憶されている。
【００４９】
故障検出装置２８1 〜２８N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、図６に示すように、故障した情報処理回路のフェールセーフ回路３０Ａ、及び新たな故障検出装置３０Ｂが故障を検出した故障検出装置内に再構成される。
【００５０】
再構成する新たな故障検出装置は、情報処理回路の一部の機能を検証する回路（演算結果を検証する回路）、または情報処理回路の一部の故障を検出する回路（パリティチェックのみを行なう回路）とすることができる。これらの回路は回路構成が簡単であり、後者の回路は前者の回路より回路構成が更に簡単である。このような回路構成が簡単な故障検出装置を再構成することで、フェールセーフ回路を構成した再構成可能回路の残りの部分の大きさに応じた大きさの新たな故障検出装置を再構成することができ、フェールセーフモードに移行した後においてもフェールセーフ回路の故障検出を行なうことができる。
【００５１】
また、ＦＰＧＡ等で構成された故障検出装置は、比較的シンプルな構成であるため、通常は故障検出装置の信頼性確保の対策を取る必要性は低いが、故障検出装置に異常が発生すると正常であるにもかかわらす故障検出情報が出力されて、正常システムの動作を損なう確率が高くなる。このため、次に説明する第５の実施の形態では、図４に示した第４の実施の形態の情報処理回路１０1 〜１０N の各々の故障を検出する故障検出装置２８1 〜２８N を備えた再構成可能回路２６に、更に、各故障検出装置の自己診断を行う自己診断回路２６Ａを付加している。
【００５２】
この自己診断回路２６Ａは、時分割多重で回路構成を動的に切り換えて自己診断回路２６Ａ内に故障検出装置２８1 〜２８N を順に構成し、構成した故障検出装置出力と自己診断対象の故障検出装置出力とを比較することにより、故障検出装置の自己診断を行う。そして、故障検出装置に異常が発生したことが診断されると、異常を警報する。これにより、システム全体の信頼性を向上することができる。
【００５３】
なお、本実施の形態の自己診断回路は、上記の第１〜第３の実施の形態にも適用することができる。
【００５４】
次に、上記各実施の形態の故障検出に適用可能な相互監視型故障検出装置の構成例を図８に示す。この相互監視型故障検出装置は、図８に示す共有メモリと共有メモリの記憶領域の値の大きさを判断する図示しないＣＰＵとで構成されている。なお、各情報処理回路が記憶領域の値の大きさを判断できる場合は、ＣＰＵを省略することも可能である。
【００５５】
共有メモリ３２は、情報処理回路１０1 〜１０N の個数と同数の１〜Ｎ番地までの記憶領域３４1 〜３４N を備えている。この記憶領域３４1 〜３４N は、図示しないＣＰＵと共に故障検出装置の情報処理回路１０1 〜１０N 各々の故障を検出する部分に対応する。
【００５６】
共有メモリ３２の各記憶領域には、２つのポートが設けられており、１つの情報処理回路が異なった２つの記憶領域のポートの１つに接続されている。したがって、１つの記憶領域には異なった２つの情報処理回路が接続される。本実施の形態では、情報処理回路１０1 〜１０N の各々が隣り合う記憶領域のポートの各々に接続されている。なお、Ｎ番目の情報処理回路１０N は、Ｎ番地の記憶領域３４N と１番地の記憶領域３４1 とに接続されている。
【００５７】
記憶領域の各々には、接続された情報処理回路から各々＋１、−１のように相互に打ち消し合う信号が定期的に入力される。
【００５８】
この相互監視型故障検出装置では、全ての情報処理回路が正常であれば、共有メモリの記憶領域に入力される信号は相互に打ち消し合うので、共有メモリの各記憶領域の値は変化せず一定である。
【００５９】
一方、情報処理回路が故障すると、故障した情報処理回路に接続されている各々の記憶領域には故障した情報処理回路からは＋１、−１の信号が入力されず、正常な情報処理回路から＋１、−１の信号が入力されるので、故障した情報処理回路に接続されている一方の記憶領域の値が増加し、他方の記憶領域の値が減少する。従って、これらの値を図示しないＣＰＵによって読み込んで大きさを判断することによって情報処理回路が故障したか否かを判断することができる。
【００６０】
図９は、１番地の記憶領域と２番地の記憶領域とに接続された情報処理回路１０1 が故障した状態を示している。１番地の記憶領域３４1 には正常な情報処理回路１０N からの−１の信号が入力されるだけであるので、値が減少していく。一方、２番地の記憶領域３４2 には正常な情報処理回路１０2 から＋１の信号が入力されるだけであるので、値が増加していく。従って、値が増加した記憶領域、および値が減少した記憶領域を判断すれば、どの情報処理回路が故障したかを判断することができる。
【００６１】
次に本発明を自動車のエンジン制御、トラクションコントロール（ＴＲＣ）、アンチロックブレーキシステム（ＡＢＳ）用の制御装置に本発明を適用した第６の実施の形態について説明する。
【００６２】
図１０に示すように、この制御装置は、エンジン制御センサ４０が接続されたエンジン制御コンピュータ４２、ＡＢＳ用センサ４４が接続されたＡＢＳ制御コンピュータ４６、及びＴＲＣ用センサ４８が接続されたＴＲＣ用コンピュータ５０を備えている。エンジン制御コンピュータ４２は、出力切替回路５２を介して燃料噴射弁の電磁弁やイグナイタ等のエンジン制御アクチュエータ５４に接続されている。ＡＢＳ制御コンピュータ４６は、出力切替回路５６を介してブレーキアクチュエータへ電源を供給するソレノイドリレー等のＡＢＳ用アクチュエータ５８に接続されている。ＴＲＣ用コンピュータ５０は、出力切替回路６０を介してＴＲＣ用アクチュエータ６２に接続されている。
【００６３】
エンジン制御センサ４０としては、エンジン回転速度センサ、エアフロメータ、エンジン水温センサ、酸素センサ、スロットル開度センサ、吸気温センサ等が使用される。ＡＢＳ用センサ４４及びＴＲＣ用センサ４８としては、各車輪に設けられた車輪速センサ、車体減速度センサ等が使用される。
【００６４】
エンジン制御コンピュータ４２、ＡＢＳ制御コンピュータ４６、及びＴＲＣ用コンピュータ５０は各コンピュータの故障を検出する故障検出回路６６に接続されている。なお、故障検出回路６６としては上記で説明した相互監視型故障検出装置を使用することができる。
【００６５】
また、再構成可能回路としてフェールセーフ用ＦＰＧＡ６４が設けられており、このフェールセーフ用ＦＰＧＡ６４には、エンジン制御センサ４０、ＡＢＳ用センサ４４、ＴＲＣ用センサ４８、及び故障検出回路６６が接続されている。フェールセーフ用ＦＰＧＡ６４は、出力切替回路５２、５６、６０に接続されると共に、フェールセーフ機能表示装置６８に接続されている。
【００６６】
このフェールセーフ用ＦＰＧＡ６４には、エンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（エンジン制御用データ）、ＡＢＳ制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（ＡＢＳ用データ）、及びＴＲＣ制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（ＴＲＣ用データ）を記憶したデータ保持回路７０が接続されている。
【００６７】
そして、故障検出回路６６は、フェールセーフ用ＦＰＧＡ６４に接続されている。
【００６８】
各コンピュータが正常の場合は、図１０に示すように、出力切替回路５２、５６、６０から動作信号として制御信号が出力され、各アクチュエータが正常に制御され、フェールセーフ機能表示装置６８に正常動作中であることが表示される。
【００６９】
上記の状態で図１１に示すようにエンジン制御コンピュータ４２に故障が発生すると、故障検出回路６６により、エンジン制御コンピュータ４２に故障が発生したことが検出される。故障検出回路６６によって故障が検出されると、故障検出回路６６からフェールセーフ用ＦＰＧＡ６４にデータ保持回路７０からエンジン制御用データを読み込む指令が入力される。フェールセーフ用ＦＰＧＡ６４は、この指令に応じてエンジン制御データを読み込み、回路構成をエンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成に変更する。さらに、フェールセーフ用ＦＰＧＡ６４は、エンジン制御コンピュータ４２に接続されている出力切替回路５２を切り替え、回路構成が変更されたフェールセーフ用ＦＰＧＡ６４から出力された代替出力信号がエンジン制御アクチュエータ５４に入力されるようにする。
【００７０】
フェールセーフ機能を実現するための回路構成は、エンジン回転速度センサ出力、及びエアフロメータ出力から基本燃料噴射量及び基本点火進角を演算して燃料噴射量及び点火時期を制御できる回路とすることができる。
【００７１】
この場合、フェールセーフ用ＦＰＧＡ６４への入力を制限する上記で説明した予め配置または再構成される入力制限回路を設けてフェールセーフ機能に必要な信号のみに制限して、例えば、エンジン回転速度センサ出力、及びエアフロメータ出力のみに制限して、フェールセーフ用ＦＰＧＡ６４へ入力するようにしてもよく、入力を制限することなくフェールセーフ用ＦＰＧＡ６４でフェールセーフ機能に必要な信号のみ選択して使用するようにしてもよい。また、フェールセーフ用ＦＰＧＡ６４に、フェールセーフに必要な信号を出力するセンサのみ、例えば、エンジン回転速度センサ、及びエアフロメータのみを予め接続するようにしてもよい。
【００７２】
そして、フェールセーフ用ＦＰＧＡ６４は、「エンジン制御バックアップ中」等と表示することにより、制御装置が現在フェールセーフモードで運転中であることをフェールセーフ機能表示装置６８に表示する。
【００７３】
ＡＢＳ制御コンピュータ４６またはＴＲＣ用コンピュータ５０が故障した場合も上記と同様であり、このときのフェールセーフとしてはＡＢＳ用アクチュエータ及びＴＲＣ用アクチュエータとして使用されるブレーキアクチュエータへ電源を供給するソレノイドリレーをオフすることによりＡＢＳやＴＲＣが作動しないようにし、通常のブレーキ機能が確保できるようにする等がある。
【００７４】
次に本発明を自動車のエンジン制御、ＴＲＣ、ＡＢＳ用の制御装置に適用した第７の実施の形態について説明する。本実施の形態は回路構成を変更することなくプログラムを変更することによって処理機能を再構成するようにしたものである。
【００７５】
本実施の形態は、図１２に示すように、第６の実施の形態のフェールセーフ用ＦＰＧＡ及び再構成データ保持回路に代えて、フェールセーフ用コンピュータ７２、及びフェールセーフ用プログラム保持装置７４を用いたものである。従って、図１０と同一部分には同一符号を付して説明を省略する。
【００７６】
フェールセーフ用プログラム保持装置７４には、エンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（エンジン制御用プログラム）、ＡＢＳ制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（ＡＢＳ用プログラム）、及びＴＲＣ制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（ＴＲＣ用プログラム）が記憶されている。
【００７７】
各コンピュータが正常の場合は、図１２に示すように、出力切替回路５２、５６、６０から制御信号が出力され、各アクチュエータが正常に制御され、フェールセーフ機能表示装置６８に正常動作中であることが表示される。
【００７８】
上記の状態で図１３に示すようにエンジン制御コンピュータ４２に故障が発生すると、故障検出回路６６により、エンジン制御コンピュータ４２に故障が発生したことが検出される。故障検出回路６６によって故障が検出されると、故障検出回路６６からフェールセーフ用コンピュータ７２にエンジン制御用プログラムを読み込むための指令が入力される。
【００７９】
フェールセーフ用コンピュータ７２は、この指令に応じてエンジン制御プログラムを読み込み、読み込んだプログラムを実行する。さらに、フェールセーフ用コンピュータ７２は、エンジン制御コンピュータ４２に接続されている出力切替回路５２を切り替え、フェールセーフ用コンピュータ７２で演算されて出力された代替出力信号がエンジン制御アクチュエータに入力されるようにする。
【００８０】
フェールセーフ機能を実現するためのエンジン制御用プログラムは、エンジン回転速度センサ出力、及びエアフロメータ出力から基本燃料噴射量及び基本点火進角を演算して燃料噴射量及び点火時期を制御できるプログラムとすることができる。
【００８１】
この場合、フェールセーフ用コンピュータ７２への入力を制限する上記で説明した予め配置または再構成される入力制限回路を設けてフェールセーフ機能に必要な信号のみに制限して、例えば、エンジン回転速度センサ出力、及びエアフロメータ出力のみに制限して、フェールセーフ用コンピュータ７２へ入力するようにしてもよい。また、入力を制限することなくフェールセーフ用コンピュータ７２でフェールセーフ機能に必要な信号のみ選択して使用するようにしてもよい。また、フェールセーフ用コンピュータ７２に、フェールセーフに必要な信号を出力するセンサのみ、例えば、エンジン回転速度センサ、及びエアフロメータのみを予め接続するようにしてもよい。
【００８２】
そして、フェールセーフ用コンピュータ７２は、制御装置が現在フェールセーフモードで運転中であることをフェールセーフ機能表示装置６８に表示する。
【００８３】
ＡＢＳ制御コンピュータ４６またはＴＲＣ用コンピュータ５０が故障した場合も上記と同様であり、このときのフェールセーフとしてはＡＢＳ用アクチュエータ及びＴＲＣ用アクチュエータとして使用されるブレーキアクチュエータへ電源を供給するソレノイドリレーをオフすることによりＡＢＳやＴＲＣが作動しないようにし、通常のブレーキ機能が確保できるようにする等がある。
【００８４】
次に本発明の第８の実施の形態について説明する。本実施の形態は、第６の実施の形態のエンジン制御センサとエンジン制御コンピュータとの間に設けられている回路故障時のフェールセーフに本発明を適用したものである。
【００８５】
第８の実施の形態は、図１４に示すように、エンジン制御センサとして排ガス中の酸素濃度を検出する酸素センサ８０及びエンジン冷却水温を検出する水温センサ８２を備えている。酸素センサ８０は、酸素センサ出力と理論空燃比に対応した基準値とを比較する比較器８４、及びＦＰＡＡを備えたフェールセーフ用回路１００に接続されている。比較器８４は、出力切替回路８６を介してエンジン制御コンピュータ８８に接続されている。
【００８６】
また、水温センサ８２は、水温センサ出力をディジタル信号に変換するＡ／Ｄコンバータ９０、及び出力切替回路９２を介してエンジン制御コンピュータ８８に接続されている。エンジン制御コンピュータ８８は、燃料噴射弁等のエンジン制御アクチュエータ９４に接続されている。この酸素センサ８０出力及び水温センサ８２出力は、エンジン制御コンピュータ８８において空燃比を理論空燃比に制御する場合に使用される。
【００８７】
比較器８４及びＡ／Ｄコンバータ９０は、故障検出回路９６に接続されている。フェールセーフ用回路１００は、ＦＰＡＡ１００Ａと、比較器の故障時に対応したフェールセーフ機能を実現するための回路を構成するためのデータ（比較器用データ）、及びＡ／Ｄコンバータ故障時に対応したフェールセーフ機能を実現するための回路を構成するためのデータ（Ａ／Ｄコンバータ用データ）を記憶したフェールセーフ用データ保持装置１００Ｂとから構成されている。フェールセーフ用回路１００には、フェールセーフ機能表示装置９８が接続されている。
【００８８】
比較器及びＡ／Ｄコンバータが正常の場合には、図１４に示すように、出力切替回路８６、９２を介してエンジン制御コンピュータ８８に信号が入力され、エンジン制御コンピュータからの動作信号としての制御信号に応じてエンジン制御アクチュエータが正常に制御され、フェールセーフ機能表示装置９８に正常動作中であることが表示される。
【００８９】
上記の状態で図１５に示すようにＡ／Ｄコンバータ９０に故障が発生すると、故障検出回路９６により、Ａ／Ｄコンバータ９０に故障が発生したことが検出される。故障検出回路９６によって故障が検出されると、故障検出回路９６からフェールセーフ用回路１００にフェールセーフ用データ保持装置１００ＢからＡ／Ｄコンバータ用データを読み込む指令が入力される。フェールセーフ用回路１００は、この指令に応じてＡ／Ｄコンバータ用データを読み込み、回路構成をＡ／Ｄコンバータの故障時に対応したフェールセーフ機能を実現するための回路構成に変更する。さらに、フェールセーフ用回路１００は、エンジン制御コンピュータ８８に接続されている出力切替回路８６を切り替え、回路構成が変更されたフェールセーフ用回路１００から出力された水温センサ信号がエンジン制御コンピュータに入力されるようにする。
【００９０】
フェールセーフ用回路１００は、水温センサ８２からの入力信号から、水温が正常範囲にあるか、エンジン暖気前に水温であるか、エンジン暖気後の水温であるかを示す信号をＡ／Ｄコンバータに代わって出力する。
【００９１】
これによってＡ／Ｄコンバータが故障した場合でも、フェールセーフ機能が実行され、例えば、エンジンが始動しないといった状態を回避することができる。また、ユーザには、フェールセーフ機能表示装置９８によってＡ／Ｄコンバータがフェールセーフモードであることが知らされ、通常より機能が低下しており、修理や点検が必要であることが報知される。
【００９２】
酸素センサに接続された比較器が故障した場合も上記と同様であり、この場合には例えば、酸素センサ出力が理論空燃比よりリーンになっているかリッチになっているかの信号がフェールセーフ用回路から出力される。
【００９３】
次に、第９の実施の態様について説明する。第９の実施の態様は、図１６に示すように、図７に示した第５の実施の態様において、情報処理回路１０1 〜１０N としてセンサＳ出力に基づいてアクチュエ−タＡを制御するＥＣＵ１１1 〜１１N を用い、故障検出装置２８1 〜２８N としてウォッチドッグタイマ（ＷＤＴ）２９1 〜２９N を用い、自己診断回路２６ＡとしてＷＤＴ診断回路２７Ａを用いたものである。このＷＤＴ２９1 〜２９N 及びＷＤＴ診断回路２７Ａは、再構成可能回路２６に設けられており、ＷＤＴ診断回路２７Ａは、ＦＰＧＡを書き換えて内部にＷＤＴを構成可能に構成されている。また、ＷＤＴ診断回路２７Ａには、以下で説明する自己診断処理ルーチンのプログラムが記憶されている。なお、他の構成は、第５の実施の態様と同様であるので、図７と対応する部分に同一符号を付して説明を省略する。
【００９４】
次に、ＷＤＴ診断回路による周期Ｔで実行される自己診断処理ルーチンについて図１７を参照して説明する。この自己診断処理ルーチンが起動されると、診断対象のＷＤＴの番号を示すカウント値Ｉが０にイニシャライズされ、ステップ１００でカウント値Ｉが１だけインクリメントされる。ステップ１０２では、カウント値ＩがＷＤＴの個数であるＮになったか否かを判断し、Ｎになった場合にはＮ個のＷＤＴの診断が終了した場合であるので、このルーチンを再起動しカウント値Ｉをイニシャライズする。
【００９５】
カウント値ＩがＮになっていない場合には、ステップ１０４においてＦＰＧＡを書き換えてＷＤＴ診断回路内部にＩ番目のＷＤＴ（ＷＤＴ（Ｉ）と記す）と同じ回路（ＷＤＴ（Ｉ）’）を構成し、ＷＤＴ（Ｉ）の値をＷＤＴ（Ｉ）’にコピーする。これによって、ＷＤＴ（Ｉ）’は、同じ時刻にＷＤＴ（Ｉ）と全く同じ動作を行う。
【００９６】
ステップ１０６では、ＷＤＴ（Ｉ）’の出力とＷＤＴ（Ｉ）の出力とを比較し、２つの回路ＷＤＴ（Ｉ）’とＷＤＴ（Ｉ）とが同じ出力か否かを一定時間Ｔ（Ｉ）（＝Ｔ／Ｎ）の間診断する。
【００９７】
ステップ１０８では、２つの回路ＷＤＴ（Ｉ）’とＷＤＴ（Ｉ）との出力が常に等しいが否かを判断する。異常があって２つの回路の出力が異なる場合には、ステップ１１０でＷＤＴ（Ｉ）が異常であることをシステムに出力し、警告を行う。ＷＤＴ（Ｉ）が正常であれば、ステップ１００に戻ってＩ＋１番目のＷＤＴ（Ｉ＋１）に異常があるか否かを上記と同様にして診断する。そして、Ｎ番目のＷＤＴ（Ｎ）まで順番に診断を行い、Ｎ個のＷＤＴ全て異常が無ければ、１番目のＷＤＴ（１）の診断に戻る。
【００９８】
以上の処理を行うことにより、ＦＰＧＡ上の故障検出装置であるＷＤＴの自己診断を行うことができる。なお、全てのＷＤＴの構成が同じであれば、ステップ１０４においてＷＤＴを再構成する必要がなく、値のみコピーすればよい。
【００９９】
このように時分割で回路を切り換えることで、ＷＤＴの故障に対処するため、全てのＷＤＴを２重化する場合と比較してより小さい回路でＦＰＧＡ上のＷＤＴの動作を診断することができる。このため、ＷＤＴ異常によるシステム全体に対する影響を効率よく防止することができ、ひいてはシステム全体の信頼性を向上させることができる。
【０１０１】
以上説明したように、請求項１の発明によれば、正常時に必要でかつ故障検出時以降に必要性が低下する故障検出機能の一部を故障した情報処理回路の機能の一部を構成するように再構成して代替出力信号を出力するようにしたので、更に小型でかつ低コストのフェールセーフ機能付き情報処理装置を提供することができる、という効果が得られる。
【０１０２】
そして、請求項２の発明によれば、請求項１の発明において入力信号をフェールセーフに必要な入力信号のみに制限しているため、フェールセーフ機能を有効に作動させることができる、という効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態のフェールセーフ機能付き情報処理装置のブロック図である。
【図２】本発明の第２の実施の形態のフェールセーフ機能付き情報処理装置の正常時の動作を示すブロック図である。
【図３】本発明の第２の実施の形態のフェールセーフ機能付き情報処理装置の情報処理回路故障時の動作を示すブロック図である。
【図４】本発明の第３の実施の形態のフェールセーフ機能付き情報処理装置の正常時の動作を示すブロック図である。
【図５】本発明の第３の実施の形態のフェールセーフ機能付き情報処理装置の故障時の動作を示すブロック図である。
【図６】本発明の第４の実施の形態のフェールセーフ機能付き情報処理装置の故障時の動作を示すブロック図である。
【図７】本発明の第５の実施の形態のフェールセーフ機能付き情報処理装置のブロック図である。
【図８】本発明の各実施の形態に使用可能な相互監視型故障検出装置の正常時の動作を示すブロック図である。
【図９】図８の相互監視型故障検出装置の情報処理回路故障時の動作を示すブロック図である。
【図１０】本発明を自動車の制御装置に適用した第６の実施の形態の正常時の動作を示すブロック図である。
【図１１】上記第６の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１２】本発明を自動車の制御装置に適用した第７の実施の形態の正常時の動作を示すブロック図である。
【図１３】上記第７の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１４】本発明を自動車の制御装置に適用した第８の実施の形態の正常時の動作を示すブロック図である。
【図１５】上記第８の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１６】上記第９の実施の形態のブロック図である。
【図１７】上記第９の実施の形態の自己診断処理ルーチンを示す流れ図である。
【符号の説明】
１０1 〜１０N 情報処理回路
１２1 〜１２N 故障検出装置
１４ 入力制限回路
１６ 再構成手段
２０ 再構成データ保持回路
２２1 〜２２N 出力切替回路
【発明の属する技術分野】
本発明は、フェールセーフ機能付き情報処理装置に係り、特に、自動車等の民生品に好適なフェールセーフ機能付き情報処理装置に関する。
【０００２】
【従来の技術及び発明が解決しようとする課題】
特開平８−４４５８１号公報には、自己修復機能付き情報処理装置が開示されている。この自己修復機能付き情報処理装置では、障害検出手段が論理処理部での障害発生を検出すると、再構成手段により障害が発生した論理処理部についての論理回路構成データをデータ保持手段から読み出す。そして、読み出した論理回路構成データに基づいて、予備論理処理部を障害が発生した論理処理部と同一の論理回路構成になるように再構成することにより、障害を復旧させる。
【０００３】
この自己修復機能付き情報処理装置では、主として、人工衛星等において障害が発生した場合の修理維持の困難な環境下での使用を想定しているので、障害が発生した場合でも同一の機能が提供できる回路構成になるように再構成することが必要である。この同一の機能を提供するためには、故障した論理機能を代替できる同等に動作可能な情報処理装置が必要になる。
【０００４】
一方、自動車等の民生品の場合を考えると、故障が発生した場合には速やかに保守点検サービスが受けられると共に、低価格な装置が要望される。すなわち、自動車等の民生品では、最低限の安全確保のためのフェールセーフ機能、例えば、エンジン制御システムの場合であれば、エンジンが回転してサービスステーションまで自力走行できる機能があれば充分である。
【０００５】
しかしながら、自動車等の民生品について、上記の従来技術と同様に故障した機能と同一の機能を再構成する装置とすると、装置が不必要に複雑になると共にコスト高になる、という問題がある。
【０００６】
本発明は上記問題点を解消するためになされたもので、装置を小型化し、かつ低コストにしたフェールセーフ機能付き情報処理装置を提供することを目的とする。
【００１０】
上記目的を達成するために、請求項１の発明は、入力信号に対応する動作信号を出力する複数の情報処理回路と、前記複数の情報処理回路各々の機能の一部を構成するための再構成情報を前記複数の情報処理回路各々に対応して記憶した再構成情報保持部と、前記複数の情報処理回路各々の故障を検出する故障検出機能を備えると共に、前記故障検出機能により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、前記故障検出機能の一部を変更して故障した情報処理回路の機能の一部を持つように再構成し、前記入力信号に対する代替出力信号を出力する再構成可能回路と、前記複数の情報処理回路各々に対応して設けられると共に、対応する情報処理回路正常時には対応する情報処理回路から出力された動作信号を出力し、対応する情報処理回路故障時には前記再構成可能回路から出力された代替出力信号を出力する出力切替回路と、を含んで構成したものである。
【００１１】
請求項１の発明によれば、再構成可能回路の故障検出機能により故障が検出されたときに、故障が検出された情報処理回路に対応する再構成情報に基づいて故障検出機能の一部が変更され、故障した情報処理回路の機能の一部を持つように再構成される。故障した情報処理回路の機能の一部が再構成された再構成可能回路は、入力信号に対する代替出力信号を出力し、これによって故障時のフェールセーフが行なわれる。
【００１２】
故障検出機能は、１つの情報処理回路の故障を検出した時点で通常は必要性が低下するので、故障検出機能の全部を変更し、故障検出機能の全部が故障した情報処理回路の機能の一部を持つように再構成することができる。
【００１３】
短期間内に複数の情報処理回路が故障したことを検出する場合には、故障検出機能の一部のみを変更し、故障検出機能の一部のみを故障した情報処理回路の機能の一部を持つように再構成すればよい。これにより、機能が変更されなかった故障検出機能の部分が残存し、正常な情報処理回路の故障検出ができるようになる。また、故障した情報処理回路の機能の一部を再構成する際に、再構成前の故障検出機能より故障検出機能を簡易にした新たな故障検出機能を再構成し、再構成された情報処理回路の機能の一部の故障を検出するようにしてもよい。
【００１４】
上記のことから、請求項１の発明の再構成情報としては、情報処理回路各々の回路機能の一部を構成するための再構成データ、情報処理回路各々の処理機能の一部を構成するための再構成プログラム、または再構成データ及び再構成プログラムのいずれかに故障検出機能を簡易にした新たな故障検出機能を再構成するための情報を付加した再構成情報を使用することができる。再構成データを使用する場合には、再構成可能回路に故障した情報処理回路の回路機能の一部が構成されるので、回路構成自体が変更される。一方、再構成プログラムを使用する場合には、回路機能は変更されないが再構成プログラムによって処理機能の一部が変更される。
【００１５】
請求項１の発明の再構成可能回路は、故障した情報処理回路に入力されていた入力信号の内フェールセーフに必要な入力信号のみが入力されるように接続する等によって予め設定しておいて代替出力信号を出力するようにしてもよく、入力制限回路を設けて、故障した情報処理回路の機能の一部を構成する再構成可能回路への入力信号を代替出力信号の出力に必要な入力信号のみに制限して再構成可能回路へ入力するようにしてもよい。また、再構成可能回路自体が入力信号からフェールセーフに必要な入力信号のみを選択して使用するように構成してもよい。
【００１６】
なお、入力制限回路は、入力制限回路を構成するための情報を再構成情報として記憶しておいて、故障が検出されたときに再構成するようにしてもよい。
請求項１の発明の再構成可能回路は、故障検出機能を実行するための複数の情報処理回路各々の故障を検出する複数の故障検出装置を備え、故障検出装置により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、故障を検出した故障検出装置を変更して故障した情報処理回路の機能の一部を持つように再構成するようにしてもよい。
【００１７】
請求項１の発明の故障検出機能に異常が発生すると、正常であるにもかかわらず故障検出信号が出力されてシステムの動作を損なう確率が高くなるので、請求項１の発明には故障検出機能が正常か否かを自己診断する自己診断回路を設けることにより、情報処理装置全体の信頼性を向上させることができる。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
【００１９】
第１の実施の形態のフェールセーフ機能付き情報処理装置は、図１に示すように、入力信号に対応する動作信号を出力するＮ個の情報処理回路１０1 〜１０N を備えている。情報処理回路１０1 〜１０N の各々には、情報処理回路の故障を検出するＮ個の故障検出装置１２1 〜１２N が接続されている。
【００２０】
故障検出装置１２1 〜１２N の各々は、入力制限回路１４に接続されている。また、入力制限回路１４には、情報処理回路１０1 〜１０N の各々に入力される入力信号が入力されており、入力制限回路１４は、故障検出装置により故障が検出された情報処理回路へ入力されている入力信号を制限して特定の入力信号のみ出力する。入力信号を制限する場合には、フェールセーフに必要な入力信号のみが出力されるように制限する。
【００２１】
入力制限回路１４には、ＣＰＵ等で構成された再構成手段１６が接続されると共に、ＦＰＧＡ（Field Programmable Gate Array ）、またはＦＰＡＡ（Field Programmable Analog Array ）で構成された再構成可能回路１８が接続されている。また、再構成手段１６は、データ読み込み指令を再構成可能回路１８に入力するように接続されている。
【００２２】
ＦＰＧＡは、複数の論理セルで構成され、プログラミングによりこれらの論理セルを組み合わせることで各種回路機能を実現できるように構成されている集積回路であり、ＦＰＡＡは、再構成可能な回路要素としてアナログのオペアンプ、抵抗、及びコンデンサで構成され、指定するデータに応じてアナログ回路を再構成することができる集積回路である。
【００２３】
また、再構成可能回路１８には、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するための再構成データ１〜Ｎを情報処理回路１０1 〜１０N 各々に対応して記憶した再構成データ保持回路２０が接続されている。なお、再構成データ１〜Ｎは、情報処理回路１０1 〜１０N 各々のフェールセーフを実行するフェールセーフ回路の構成を表すデータであり、各々情報処理回路１０1 〜１０N に対応するように記憶されている。
【００２４】
そして、情報処理回路１０1 〜１０N の出力端には、情報処理回路からの出力と再構成可能回路１８からの出力とを切り換えて出力する出力切替回路２２1 〜２２N が接続されている。出力切替回路２２1 〜２２N の各々は、正常時には対応する情報処理回路から入力された動作信号を出力し、対応する情報処理回路の故障時にはフェールセーフ回路が再構成された再構成可能回路１８からの代替出力信号を出力する。
【００２５】
このフェールセーフ機能付き情報処理装置では、正常時には、情報処理回路１０1 〜１０N は入力された入力信号を処理し、入力信号に対応する動作信号を出力している。出力切替回路２２1 〜２２N の各々は、対応する情報処理回路１０1 〜１０N の各々から入力された信号をそのまま動作信号として出力する。
【００２６】
故障検出装置１２1 〜１２N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が入力制限回路１４を介して再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいてどの情報処理回路が故障したかを判断し、故障した情報処理回路に対応する再構成データを読み込む読込指令を再構成可能回路１８に出力する。読込指令が入力された再構成可能回路１８は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路を構成する。
【００２７】
また、再構成手段１６は、故障した情報処理回路のフェールセーフを行なうのに必要な入力信号を表すデータを入力制限回路１４に入力する。これにより、入力制限回路１４は、入力された入力信号を故障した情報処理回路のフェールセーフを行なうのに必要な入力信号のみに制限して出力する。
【００２８】
再構成可能回路１８は、故障した情報処理回路の一部を構成するフェールセーフ回路で再構成されているので、入力制限回路１４から入力された入力信号に対応する動作信号として代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００２９】
再構成可能回路１８から代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から再構成可能回路１８からの代替出力信号に切り替え、代替出力信号を出力する。
【００３０】
上記のように、本実施の形態では、情報処理回路の１つが故障したときには、再構成可能回路に故障した情報処理回路の機能の一部を実行するフェールセーフ回路が構成され、制限された入力信号に基づいた代替出力信号が出力される。
【００３１】
このように、本実施の形態では、制限された入力信号、すなわち正常時より少ない個数の入力信号に基づいて再構成可能回路に構成されたフェールセーフ回路で処理しているため、再構成可能回路内に小規模なフェールセーフ回路を再構成することで処理することができ、フェールセーフ機能を持つ情報処理装置を安価でかつ小型に構成することができる。
【００３２】
次に、第２の実施の形態について説明する。本実施の形態は、図２に示すように、第１の実施の形態の故障検出装置を再構成可能回路で構成された１つの故障検出装置２４で構成したものである。また、再構成データ保持回路２０には、再構成データとして、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するためのデータに、入力制限回路を構成するためのデータが付加された再構成データ１〜Ｎが、情報処理回路１０1 〜１０N 各々に対応して記憶されている。なお、図２において図１と対応する部分には同一符号を付して説明を省略する。
【００３３】
第２の実施の形態のフェールセーフ機能付き情報処理装置では、故障検出装置２４によって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が故障検出装置２４から再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいてどの情報処理回路が故障したかを判断し、故障した情報処理回路に対応する再構成データを読み込む読込指令を再構成可能回路で構成された故障検出装置２４に出力する。読込指令が入力された故障検出装置２４は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて、入力制限回路と、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路とを構成する。
【００３４】
図３に、情報処理回路１０1 が故障したときの再構成された回路を示す。図３に示すように、情報処理回路１０1 が故障すると、故障検出装置２４は読み込んだ再構成データに基づいて、入力制限回路２４Ａを構成すると共に、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路２４Ｂを構成する。
【００３５】
フェールセーフ回路は、故障した情報処理回路の機能の一部を実行するように再構成されるので、入力制限回路から入力された入力信号に対応する代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００３６】
代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から代替出力信号に切り替え、代替出力信号を出力する。
【００３７】
本実施の形態では、故障検出装置が故障を検出した後は、故障検出装置の全部の回路が変更されて入力制限回路及びフェールセーフ回路が再構成されるので、故障検出機能を持たなくなる。これは１つの情報処理回路が故障した後、続けて他の情報処理回路が故障する確率は極めて低く、故障検出装置が１つの情報処理回路の故障を検出した後は故障検出機能の必要性が低くなるためである。
【００３８】
上記のように、本実施の形態では、正常時に必要な故障検出装置を用い、情報処理回路の１つが故障したときには、故障検出後には必要性が低下する故障検出装置を入力制限回路と故障した情報処理回路のフェールセーフ回路とに変更しているので、回路を有効に利用することができ、これによりフェールセーフ機能付き情報処理装置をさらに安価に構成することができる。
【００３９】
なお、入力制限回路は、再構成することなく、第１の実施の形態のように予め配置しておいてもよい。
【００４０】
上記第１及び第２の実施の形態において再構成可能回路を１つとしたのは、複数の情報処理回路が同時に故障になる確率は極めて低いからである。次に、複数の情報処理回路が同時に故障した場合にも対応することができる第３の実施の形態について説明する。この第３の実施の形態は、上記第２の実施の形態の再構成可能回路で構成された故障検出装置を複数個用いたものである。
【００４１】
図４に示すように、第３の実施の形態のフェールセーフ機能付き情報処理装置は、情報処理回路１０1 〜１０N 各々の故障を検出する故障検出機能を備えた再構成可能回路２６を備えている。再構成可能回路２６には、故障検出機能を実行するための情報処理回路１０1 〜１０N 各々の故障を検出する故障検出装置２８1 〜２８N が構成されている。また、再構成データ保持回路２０には、第１の実施の形態で説明したように、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するための再構成データ１〜Ｎが情報処理回路１０1 〜１０N 各々に対応して記憶されている。
【００４２】
本実施の形態では、故障検出装置２８1 〜２８N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、故障検出信号が再構成手段１６に入力される。再構成手段１６は、入力された故障検出信号に基づいて故障した情報処理回路を判断し、故障した情報処理回路に対応する再構成データを読み込むための読込指令を再構成可能回路２６に入力する。再構成可能回路２６は、再構成データ保持回路２０に記憶されている再構成データから故障した情報処理回路に対応する再構成データを読み込み、読み込んだ再構成データに基づいて、故障を検出した故障検出装置の回路構成の全部を変更して、故障した情報処理回路の機能の一部を実行する回路、すなわち故障した情報処理回路のフェールセーフ回路を再構成する。これによって、故障を検出した故障検出装置が、故障した情報処理回路のフェールセーフ回路に変更される。なお、本実施の形態では、入力制限回路は予め配置したり、再構成することができるが、図示を省略した。
【００４３】
フェールセーフ回路は、故障した情報処理回路の一部の機能を実行するように回路構成が再構成されているので、図示しない入力制限回路から入力された入力信号に対応する代替出力信号を出力し、故障した情報処理回路に接続されている出力切替回路に入力する。
【００４４】
フェールセーフ回路から代替出力信号が入力された出力切替回路は、出力信号を情報処理回路からの動作信号から代替出力信号に切り替え、代替出力信号を出力する。
【００４５】
図５には、情報処理回路１０1 の故障が故障検出装置２８1 で検出され、故障検出装置２８1 が故障した情報処理回路１０1 のフェールセーフ回路２８Ｂ1 に再構成され、フェールセーフ回路２８Ｂ1 からの代替出力信号が出力切替回路２２1 から出力される状態が示されている。
【００４６】
本実施の形態では、故障を検出しなかった故障検出装置が残存しているため、１つのフェールセーフ回路が再構成されている状態で、他の情報処理回路の故障が検出されると、残存している故障検出装置によって故障が検出され、故障を検出した故障検出装置が、故障した情報処理回路のフェールセーフ回路に変更される。したがって、複数の情報処理回路が同時に故障した場合にも故障した各々の情報処理回路に対応するフェールセーフ回路を再構成することができ、これにより複数の情報処理回路が同時に故障した場合にもフェールセーフを行なうことができる小型、かつ安価なフェールセーフ機能付き情報処理装置を提供することができる。
【００４７】
上記第３の実施の形態では、故障が検出されたときに故障検出装置をフェールセーフ回路に再構成する例について説明したが、次に説明する第４の実施の形態のように、故障検出装置をフェールセーフ回路と新たな故障検出装置とに再構成するようにしてもよい。この新たな故障検出装置は、故障前の故障検出装置の故障検出機能より故障検出機能を簡易にした故障検出装置とするのが好ましい。
【００４８】
第４の実施の形態は、図４に示すように、情報処理回路１０1 〜１０N の各々の故障を検出する故障検出装置２８1 〜２８N を備えた再構成可能回路２６を備えている。第４の実施の形態では、再構成データ保持回路２０に、情報処理回路１０1 〜１０N 各々の回路機能の一部を構成するためのデータと再構成する故障検出装置の回路構成を示すデータとからなる再構成データ１〜Ｎが、情報処理回路１０1 〜１０N 各々に対応して記憶されている。
【００４９】
故障検出装置２８1 〜２８N のいずれかによって、情報処理回路１０1 〜１０N のいずれかの故障が検出されると、図６に示すように、故障した情報処理回路のフェールセーフ回路３０Ａ、及び新たな故障検出装置３０Ｂが故障を検出した故障検出装置内に再構成される。
【００５０】
再構成する新たな故障検出装置は、情報処理回路の一部の機能を検証する回路（演算結果を検証する回路）、または情報処理回路の一部の故障を検出する回路（パリティチェックのみを行なう回路）とすることができる。これらの回路は回路構成が簡単であり、後者の回路は前者の回路より回路構成が更に簡単である。このような回路構成が簡単な故障検出装置を再構成することで、フェールセーフ回路を構成した再構成可能回路の残りの部分の大きさに応じた大きさの新たな故障検出装置を再構成することができ、フェールセーフモードに移行した後においてもフェールセーフ回路の故障検出を行なうことができる。
【００５１】
また、ＦＰＧＡ等で構成された故障検出装置は、比較的シンプルな構成であるため、通常は故障検出装置の信頼性確保の対策を取る必要性は低いが、故障検出装置に異常が発生すると正常であるにもかかわらす故障検出情報が出力されて、正常システムの動作を損なう確率が高くなる。このため、次に説明する第５の実施の形態では、図４に示した第４の実施の形態の情報処理回路１０1 〜１０N の各々の故障を検出する故障検出装置２８1 〜２８N を備えた再構成可能回路２６に、更に、各故障検出装置の自己診断を行う自己診断回路２６Ａを付加している。
【００５２】
この自己診断回路２６Ａは、時分割多重で回路構成を動的に切り換えて自己診断回路２６Ａ内に故障検出装置２８1 〜２８N を順に構成し、構成した故障検出装置出力と自己診断対象の故障検出装置出力とを比較することにより、故障検出装置の自己診断を行う。そして、故障検出装置に異常が発生したことが診断されると、異常を警報する。これにより、システム全体の信頼性を向上することができる。
【００５３】
なお、本実施の形態の自己診断回路は、上記の第１〜第３の実施の形態にも適用することができる。
【００５４】
次に、上記各実施の形態の故障検出に適用可能な相互監視型故障検出装置の構成例を図８に示す。この相互監視型故障検出装置は、図８に示す共有メモリと共有メモリの記憶領域の値の大きさを判断する図示しないＣＰＵとで構成されている。なお、各情報処理回路が記憶領域の値の大きさを判断できる場合は、ＣＰＵを省略することも可能である。
【００５５】
共有メモリ３２は、情報処理回路１０1 〜１０N の個数と同数の１〜Ｎ番地までの記憶領域３４1 〜３４N を備えている。この記憶領域３４1 〜３４N は、図示しないＣＰＵと共に故障検出装置の情報処理回路１０1 〜１０N 各々の故障を検出する部分に対応する。
【００５６】
共有メモリ３２の各記憶領域には、２つのポートが設けられており、１つの情報処理回路が異なった２つの記憶領域のポートの１つに接続されている。したがって、１つの記憶領域には異なった２つの情報処理回路が接続される。本実施の形態では、情報処理回路１０1 〜１０N の各々が隣り合う記憶領域のポートの各々に接続されている。なお、Ｎ番目の情報処理回路１０N は、Ｎ番地の記憶領域３４N と１番地の記憶領域３４1 とに接続されている。
【００５７】
記憶領域の各々には、接続された情報処理回路から各々＋１、−１のように相互に打ち消し合う信号が定期的に入力される。
【００５８】
この相互監視型故障検出装置では、全ての情報処理回路が正常であれば、共有メモリの記憶領域に入力される信号は相互に打ち消し合うので、共有メモリの各記憶領域の値は変化せず一定である。
【００５９】
一方、情報処理回路が故障すると、故障した情報処理回路に接続されている各々の記憶領域には故障した情報処理回路からは＋１、−１の信号が入力されず、正常な情報処理回路から＋１、−１の信号が入力されるので、故障した情報処理回路に接続されている一方の記憶領域の値が増加し、他方の記憶領域の値が減少する。従って、これらの値を図示しないＣＰＵによって読み込んで大きさを判断することによって情報処理回路が故障したか否かを判断することができる。
【００６０】
図９は、１番地の記憶領域と２番地の記憶領域とに接続された情報処理回路１０1 が故障した状態を示している。１番地の記憶領域３４1 には正常な情報処理回路１０N からの−１の信号が入力されるだけであるので、値が減少していく。一方、２番地の記憶領域３４2 には正常な情報処理回路１０2 から＋１の信号が入力されるだけであるので、値が増加していく。従って、値が増加した記憶領域、および値が減少した記憶領域を判断すれば、どの情報処理回路が故障したかを判断することができる。
【００６１】
次に本発明を自動車のエンジン制御、トラクションコントロール（ＴＲＣ）、アンチロックブレーキシステム（ＡＢＳ）用の制御装置に本発明を適用した第６の実施の形態について説明する。
【００６２】
図１０に示すように、この制御装置は、エンジン制御センサ４０が接続されたエンジン制御コンピュータ４２、ＡＢＳ用センサ４４が接続されたＡＢＳ制御コンピュータ４６、及びＴＲＣ用センサ４８が接続されたＴＲＣ用コンピュータ５０を備えている。エンジン制御コンピュータ４２は、出力切替回路５２を介して燃料噴射弁の電磁弁やイグナイタ等のエンジン制御アクチュエータ５４に接続されている。ＡＢＳ制御コンピュータ４６は、出力切替回路５６を介してブレーキアクチュエータへ電源を供給するソレノイドリレー等のＡＢＳ用アクチュエータ５８に接続されている。ＴＲＣ用コンピュータ５０は、出力切替回路６０を介してＴＲＣ用アクチュエータ６２に接続されている。
【００６３】
エンジン制御センサ４０としては、エンジン回転速度センサ、エアフロメータ、エンジン水温センサ、酸素センサ、スロットル開度センサ、吸気温センサ等が使用される。ＡＢＳ用センサ４４及びＴＲＣ用センサ４８としては、各車輪に設けられた車輪速センサ、車体減速度センサ等が使用される。
【００６４】
エンジン制御コンピュータ４２、ＡＢＳ制御コンピュータ４６、及びＴＲＣ用コンピュータ５０は各コンピュータの故障を検出する故障検出回路６６に接続されている。なお、故障検出回路６６としては上記で説明した相互監視型故障検出装置を使用することができる。
【００６５】
また、再構成可能回路としてフェールセーフ用ＦＰＧＡ６４が設けられており、このフェールセーフ用ＦＰＧＡ６４には、エンジン制御センサ４０、ＡＢＳ用センサ４４、ＴＲＣ用センサ４８、及び故障検出回路６６が接続されている。フェールセーフ用ＦＰＧＡ６４は、出力切替回路５２、５６、６０に接続されると共に、フェールセーフ機能表示装置６８に接続されている。
【００６６】
このフェールセーフ用ＦＰＧＡ６４には、エンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（エンジン制御用データ）、ＡＢＳ制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（ＡＢＳ用データ）、及びＴＲＣ制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成データ（ＴＲＣ用データ）を記憶したデータ保持回路７０が接続されている。
【００６７】
そして、故障検出回路６６は、フェールセーフ用ＦＰＧＡ６４に接続されている。
【００６８】
各コンピュータが正常の場合は、図１０に示すように、出力切替回路５２、５６、６０から動作信号として制御信号が出力され、各アクチュエータが正常に制御され、フェールセーフ機能表示装置６８に正常動作中であることが表示される。
【００６９】
上記の状態で図１１に示すようにエンジン制御コンピュータ４２に故障が発生すると、故障検出回路６６により、エンジン制御コンピュータ４２に故障が発生したことが検出される。故障検出回路６６によって故障が検出されると、故障検出回路６６からフェールセーフ用ＦＰＧＡ６４にデータ保持回路７０からエンジン制御用データを読み込む指令が入力される。フェールセーフ用ＦＰＧＡ６４は、この指令に応じてエンジン制御データを読み込み、回路構成をエンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するための回路構成に変更する。さらに、フェールセーフ用ＦＰＧＡ６４は、エンジン制御コンピュータ４２に接続されている出力切替回路５２を切り替え、回路構成が変更されたフェールセーフ用ＦＰＧＡ６４から出力された代替出力信号がエンジン制御アクチュエータ５４に入力されるようにする。
【００７０】
フェールセーフ機能を実現するための回路構成は、エンジン回転速度センサ出力、及びエアフロメータ出力から基本燃料噴射量及び基本点火進角を演算して燃料噴射量及び点火時期を制御できる回路とすることができる。
【００７１】
この場合、フェールセーフ用ＦＰＧＡ６４への入力を制限する上記で説明した予め配置または再構成される入力制限回路を設けてフェールセーフ機能に必要な信号のみに制限して、例えば、エンジン回転速度センサ出力、及びエアフロメータ出力のみに制限して、フェールセーフ用ＦＰＧＡ６４へ入力するようにしてもよく、入力を制限することなくフェールセーフ用ＦＰＧＡ６４でフェールセーフ機能に必要な信号のみ選択して使用するようにしてもよい。また、フェールセーフ用ＦＰＧＡ６４に、フェールセーフに必要な信号を出力するセンサのみ、例えば、エンジン回転速度センサ、及びエアフロメータのみを予め接続するようにしてもよい。
【００７２】
そして、フェールセーフ用ＦＰＧＡ６４は、「エンジン制御バックアップ中」等と表示することにより、制御装置が現在フェールセーフモードで運転中であることをフェールセーフ機能表示装置６８に表示する。
【００７３】
ＡＢＳ制御コンピュータ４６またはＴＲＣ用コンピュータ５０が故障した場合も上記と同様であり、このときのフェールセーフとしてはＡＢＳ用アクチュエータ及びＴＲＣ用アクチュエータとして使用されるブレーキアクチュエータへ電源を供給するソレノイドリレーをオフすることによりＡＢＳやＴＲＣが作動しないようにし、通常のブレーキ機能が確保できるようにする等がある。
【００７４】
次に本発明を自動車のエンジン制御、ＴＲＣ、ＡＢＳ用の制御装置に適用した第７の実施の形態について説明する。本実施の形態は回路構成を変更することなくプログラムを変更することによって処理機能を再構成するようにしたものである。
【００７５】
本実施の形態は、図１２に示すように、第６の実施の形態のフェールセーフ用ＦＰＧＡ及び再構成データ保持回路に代えて、フェールセーフ用コンピュータ７２、及びフェールセーフ用プログラム保持装置７４を用いたものである。従って、図１０と同一部分には同一符号を付して説明を省略する。
【００７６】
フェールセーフ用プログラム保持装置７４には、エンジン制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（エンジン制御用プログラム）、ＡＢＳ制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（ＡＢＳ用プログラム）、及びＴＲＣ制御コンピュータの故障時に対応したフェールセーフ機能を実現するためのプログラム（ＴＲＣ用プログラム）が記憶されている。
【００７７】
各コンピュータが正常の場合は、図１２に示すように、出力切替回路５２、５６、６０から制御信号が出力され、各アクチュエータが正常に制御され、フェールセーフ機能表示装置６８に正常動作中であることが表示される。
【００７８】
上記の状態で図１３に示すようにエンジン制御コンピュータ４２に故障が発生すると、故障検出回路６６により、エンジン制御コンピュータ４２に故障が発生したことが検出される。故障検出回路６６によって故障が検出されると、故障検出回路６６からフェールセーフ用コンピュータ７２にエンジン制御用プログラムを読み込むための指令が入力される。
【００７９】
フェールセーフ用コンピュータ７２は、この指令に応じてエンジン制御プログラムを読み込み、読み込んだプログラムを実行する。さらに、フェールセーフ用コンピュータ７２は、エンジン制御コンピュータ４２に接続されている出力切替回路５２を切り替え、フェールセーフ用コンピュータ７２で演算されて出力された代替出力信号がエンジン制御アクチュエータに入力されるようにする。
【００８０】
フェールセーフ機能を実現するためのエンジン制御用プログラムは、エンジン回転速度センサ出力、及びエアフロメータ出力から基本燃料噴射量及び基本点火進角を演算して燃料噴射量及び点火時期を制御できるプログラムとすることができる。
【００８１】
この場合、フェールセーフ用コンピュータ７２への入力を制限する上記で説明した予め配置または再構成される入力制限回路を設けてフェールセーフ機能に必要な信号のみに制限して、例えば、エンジン回転速度センサ出力、及びエアフロメータ出力のみに制限して、フェールセーフ用コンピュータ７２へ入力するようにしてもよい。また、入力を制限することなくフェールセーフ用コンピュータ７２でフェールセーフ機能に必要な信号のみ選択して使用するようにしてもよい。また、フェールセーフ用コンピュータ７２に、フェールセーフに必要な信号を出力するセンサのみ、例えば、エンジン回転速度センサ、及びエアフロメータのみを予め接続するようにしてもよい。
【００８２】
そして、フェールセーフ用コンピュータ７２は、制御装置が現在フェールセーフモードで運転中であることをフェールセーフ機能表示装置６８に表示する。
【００８３】
ＡＢＳ制御コンピュータ４６またはＴＲＣ用コンピュータ５０が故障した場合も上記と同様であり、このときのフェールセーフとしてはＡＢＳ用アクチュエータ及びＴＲＣ用アクチュエータとして使用されるブレーキアクチュエータへ電源を供給するソレノイドリレーをオフすることによりＡＢＳやＴＲＣが作動しないようにし、通常のブレーキ機能が確保できるようにする等がある。
【００８４】
次に本発明の第８の実施の形態について説明する。本実施の形態は、第６の実施の形態のエンジン制御センサとエンジン制御コンピュータとの間に設けられている回路故障時のフェールセーフに本発明を適用したものである。
【００８５】
第８の実施の形態は、図１４に示すように、エンジン制御センサとして排ガス中の酸素濃度を検出する酸素センサ８０及びエンジン冷却水温を検出する水温センサ８２を備えている。酸素センサ８０は、酸素センサ出力と理論空燃比に対応した基準値とを比較する比較器８４、及びＦＰＡＡを備えたフェールセーフ用回路１００に接続されている。比較器８４は、出力切替回路８６を介してエンジン制御コンピュータ８８に接続されている。
【００８６】
また、水温センサ８２は、水温センサ出力をディジタル信号に変換するＡ／Ｄコンバータ９０、及び出力切替回路９２を介してエンジン制御コンピュータ８８に接続されている。エンジン制御コンピュータ８８は、燃料噴射弁等のエンジン制御アクチュエータ９４に接続されている。この酸素センサ８０出力及び水温センサ８２出力は、エンジン制御コンピュータ８８において空燃比を理論空燃比に制御する場合に使用される。
【００８７】
比較器８４及びＡ／Ｄコンバータ９０は、故障検出回路９６に接続されている。フェールセーフ用回路１００は、ＦＰＡＡ１００Ａと、比較器の故障時に対応したフェールセーフ機能を実現するための回路を構成するためのデータ（比較器用データ）、及びＡ／Ｄコンバータ故障時に対応したフェールセーフ機能を実現するための回路を構成するためのデータ（Ａ／Ｄコンバータ用データ）を記憶したフェールセーフ用データ保持装置１００Ｂとから構成されている。フェールセーフ用回路１００には、フェールセーフ機能表示装置９８が接続されている。
【００８８】
比較器及びＡ／Ｄコンバータが正常の場合には、図１４に示すように、出力切替回路８６、９２を介してエンジン制御コンピュータ８８に信号が入力され、エンジン制御コンピュータからの動作信号としての制御信号に応じてエンジン制御アクチュエータが正常に制御され、フェールセーフ機能表示装置９８に正常動作中であることが表示される。
【００８９】
上記の状態で図１５に示すようにＡ／Ｄコンバータ９０に故障が発生すると、故障検出回路９６により、Ａ／Ｄコンバータ９０に故障が発生したことが検出される。故障検出回路９６によって故障が検出されると、故障検出回路９６からフェールセーフ用回路１００にフェールセーフ用データ保持装置１００ＢからＡ／Ｄコンバータ用データを読み込む指令が入力される。フェールセーフ用回路１００は、この指令に応じてＡ／Ｄコンバータ用データを読み込み、回路構成をＡ／Ｄコンバータの故障時に対応したフェールセーフ機能を実現するための回路構成に変更する。さらに、フェールセーフ用回路１００は、エンジン制御コンピュータ８８に接続されている出力切替回路８６を切り替え、回路構成が変更されたフェールセーフ用回路１００から出力された水温センサ信号がエンジン制御コンピュータに入力されるようにする。
【００９０】
フェールセーフ用回路１００は、水温センサ８２からの入力信号から、水温が正常範囲にあるか、エンジン暖気前に水温であるか、エンジン暖気後の水温であるかを示す信号をＡ／Ｄコンバータに代わって出力する。
【００９１】
これによってＡ／Ｄコンバータが故障した場合でも、フェールセーフ機能が実行され、例えば、エンジンが始動しないといった状態を回避することができる。また、ユーザには、フェールセーフ機能表示装置９８によってＡ／Ｄコンバータがフェールセーフモードであることが知らされ、通常より機能が低下しており、修理や点検が必要であることが報知される。
【００９２】
酸素センサに接続された比較器が故障した場合も上記と同様であり、この場合には例えば、酸素センサ出力が理論空燃比よりリーンになっているかリッチになっているかの信号がフェールセーフ用回路から出力される。
【００９３】
次に、第９の実施の態様について説明する。第９の実施の態様は、図１６に示すように、図７に示した第５の実施の態様において、情報処理回路１０1 〜１０N としてセンサＳ出力に基づいてアクチュエ−タＡを制御するＥＣＵ１１1 〜１１N を用い、故障検出装置２８1 〜２８N としてウォッチドッグタイマ（ＷＤＴ）２９1 〜２９N を用い、自己診断回路２６ＡとしてＷＤＴ診断回路２７Ａを用いたものである。このＷＤＴ２９1 〜２９N 及びＷＤＴ診断回路２７Ａは、再構成可能回路２６に設けられており、ＷＤＴ診断回路２７Ａは、ＦＰＧＡを書き換えて内部にＷＤＴを構成可能に構成されている。また、ＷＤＴ診断回路２７Ａには、以下で説明する自己診断処理ルーチンのプログラムが記憶されている。なお、他の構成は、第５の実施の態様と同様であるので、図７と対応する部分に同一符号を付して説明を省略する。
【００９４】
次に、ＷＤＴ診断回路による周期Ｔで実行される自己診断処理ルーチンについて図１７を参照して説明する。この自己診断処理ルーチンが起動されると、診断対象のＷＤＴの番号を示すカウント値Ｉが０にイニシャライズされ、ステップ１００でカウント値Ｉが１だけインクリメントされる。ステップ１０２では、カウント値ＩがＷＤＴの個数であるＮになったか否かを判断し、Ｎになった場合にはＮ個のＷＤＴの診断が終了した場合であるので、このルーチンを再起動しカウント値Ｉをイニシャライズする。
【００９５】
カウント値ＩがＮになっていない場合には、ステップ１０４においてＦＰＧＡを書き換えてＷＤＴ診断回路内部にＩ番目のＷＤＴ（ＷＤＴ（Ｉ）と記す）と同じ回路（ＷＤＴ（Ｉ）’）を構成し、ＷＤＴ（Ｉ）の値をＷＤＴ（Ｉ）’にコピーする。これによって、ＷＤＴ（Ｉ）’は、同じ時刻にＷＤＴ（Ｉ）と全く同じ動作を行う。
【００９６】
ステップ１０６では、ＷＤＴ（Ｉ）’の出力とＷＤＴ（Ｉ）の出力とを比較し、２つの回路ＷＤＴ（Ｉ）’とＷＤＴ（Ｉ）とが同じ出力か否かを一定時間Ｔ（Ｉ）（＝Ｔ／Ｎ）の間診断する。
【００９７】
ステップ１０８では、２つの回路ＷＤＴ（Ｉ）’とＷＤＴ（Ｉ）との出力が常に等しいが否かを判断する。異常があって２つの回路の出力が異なる場合には、ステップ１１０でＷＤＴ（Ｉ）が異常であることをシステムに出力し、警告を行う。ＷＤＴ（Ｉ）が正常であれば、ステップ１００に戻ってＩ＋１番目のＷＤＴ（Ｉ＋１）に異常があるか否かを上記と同様にして診断する。そして、Ｎ番目のＷＤＴ（Ｎ）まで順番に診断を行い、Ｎ個のＷＤＴ全て異常が無ければ、１番目のＷＤＴ（１）の診断に戻る。
【００９８】
以上の処理を行うことにより、ＦＰＧＡ上の故障検出装置であるＷＤＴの自己診断を行うことができる。なお、全てのＷＤＴの構成が同じであれば、ステップ１０４においてＷＤＴを再構成する必要がなく、値のみコピーすればよい。
【００９９】
このように時分割で回路を切り換えることで、ＷＤＴの故障に対処するため、全てのＷＤＴを２重化する場合と比較してより小さい回路でＦＰＧＡ上のＷＤＴの動作を診断することができる。このため、ＷＤＴ異常によるシステム全体に対する影響を効率よく防止することができ、ひいてはシステム全体の信頼性を向上させることができる。
【０１０１】
以上説明したように、請求項１の発明によれば、正常時に必要でかつ故障検出時以降に必要性が低下する故障検出機能の一部を故障した情報処理回路の機能の一部を構成するように再構成して代替出力信号を出力するようにしたので、更に小型でかつ低コストのフェールセーフ機能付き情報処理装置を提供することができる、という効果が得られる。
【０１０２】
そして、請求項２の発明によれば、請求項１の発明において入力信号をフェールセーフに必要な入力信号のみに制限しているため、フェールセーフ機能を有効に作動させることができる、という効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態のフェールセーフ機能付き情報処理装置のブロック図である。
【図２】本発明の第２の実施の形態のフェールセーフ機能付き情報処理装置の正常時の動作を示すブロック図である。
【図３】本発明の第２の実施の形態のフェールセーフ機能付き情報処理装置の情報処理回路故障時の動作を示すブロック図である。
【図４】本発明の第３の実施の形態のフェールセーフ機能付き情報処理装置の正常時の動作を示すブロック図である。
【図５】本発明の第３の実施の形態のフェールセーフ機能付き情報処理装置の故障時の動作を示すブロック図である。
【図６】本発明の第４の実施の形態のフェールセーフ機能付き情報処理装置の故障時の動作を示すブロック図である。
【図７】本発明の第５の実施の形態のフェールセーフ機能付き情報処理装置のブロック図である。
【図８】本発明の各実施の形態に使用可能な相互監視型故障検出装置の正常時の動作を示すブロック図である。
【図９】図８の相互監視型故障検出装置の情報処理回路故障時の動作を示すブロック図である。
【図１０】本発明を自動車の制御装置に適用した第６の実施の形態の正常時の動作を示すブロック図である。
【図１１】上記第６の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１２】本発明を自動車の制御装置に適用した第７の実施の形態の正常時の動作を示すブロック図である。
【図１３】上記第７の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１４】本発明を自動車の制御装置に適用した第８の実施の形態の正常時の動作を示すブロック図である。
【図１５】上記第８の実施の形態のエンジン制御コンピュータ故障時の動作を示すブロック図である。
【図１６】上記第９の実施の形態のブロック図である。
【図１７】上記第９の実施の形態の自己診断処理ルーチンを示す流れ図である。
【符号の説明】
１０1 〜１０N 情報処理回路
１２1 〜１２N 故障検出装置
１４ 入力制限回路
１６ 再構成手段
２０ 再構成データ保持回路
２２1 〜２２N 出力切替回路
Claims (4)
- 入力信号に対応する動作信号を出力する複数の情報処理回路と、
前記複数の情報処理回路各々の機能の一部を構成するための再構成情報を前記複数の情報処理回路各々に対応して記憶した再構成情報保持部と、
前記複数の情報処理回路各々の故障を検出する故障検出機能を備えると共に、前記故障検出機能により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、前記故障検出機能の一部を変更して故障した情報処理回路の機能の一部を持つように再構成し、前記入力信号に対する代替出力信号を出力する再構成可能回路と、
前記複数の情報処理回路各々に対応して設けられると共に、対応する情報処理回路正常時には対応する情報処理回路から出力された動作信号を出力し、対応する情報処理回路故障時には前記再構成可能回路から出力された代替出力信号を出力する出力切替回路と、
を含むフェールセーフ機能付き情報処理装置。 - 故障した情報処理回路の機能の一部を構成する再構成可能回路への入力信号を代替出力信号の出力に必要な入力信号に制限して前記再構成可能回路へ入力する入力制限回路を更に含む請求項１のフェールセーフ機能付き情報処理装置。
- 前記再構成可能回路は、前記故障検出機能を実行するための前記複数の情報処理回路各々の故障を検出する複数の故障検出装置を備え、前記故障検出装置により故障が検出されたときに故障が検出された情報処理回路に対応する再構成情報に基づいて、前記故障を検出した故障検出装置を変更して故障した情報処理回路の機能の一部を持つように再構成する請求項１または２記載のフェールセーフ機能付き情報処理装置。
- 前記故障検出機能が正常か否かを自己診断する自己診断回路を更に含む請求項１〜請求項３の何れか１項記載のフェールセーフ機能付き情報処理装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10959599A JP4113934B2 (ja) | 1998-07-09 | 1999-04-16 | フェールセーフ機能付き情報処理装置 |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10-194579 | 1998-07-09 | ||
| JP19457998 | 1998-07-09 | ||
| JP10959599A JP4113934B2 (ja) | 1998-07-09 | 1999-04-16 | フェールセーフ機能付き情報処理装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000081991A JP2000081991A (ja) | 2000-03-21 |
| JP4113934B2 true JP4113934B2 (ja) | 2008-07-09 |
Family
ID=26449327
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP10959599A Expired - Fee Related JP4113934B2 (ja) | 1998-07-09 | 1999-04-16 | フェールセーフ機能付き情報処理装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4113934B2 (ja) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006053873A (ja) * | 2004-08-16 | 2006-02-23 | Fujitsu Ltd | 機能装置、機能維持方法及び機能維持プログラム |
| JP2006085555A (ja) | 2004-09-17 | 2006-03-30 | Denso Corp | 信号処理システム |
| JP4456552B2 (ja) | 2005-03-31 | 2010-04-28 | 富士通株式会社 | 動的代替機能を持つ論理集積回路、これを用いた情報処理装置及び論理集積回路の動的代替方法 |
| JP4795025B2 (ja) * | 2006-01-13 | 2011-10-19 | キヤノン株式会社 | ダイナミックリコンフィギャラブルデバイス、制御方法、及びプログラム |
| JP4458119B2 (ja) | 2007-06-11 | 2010-04-28 | トヨタ自動車株式会社 | マルチプロセッサシステム及びその制御方法 |
| JPWO2011087020A1 (ja) * | 2010-01-15 | 2013-05-20 | 株式会社日立製作所 | 組み込み装置及び組み込みシステム |
| JP5476238B2 (ja) * | 2010-07-12 | 2014-04-23 | ルネサスエレクトロニクス株式会社 | 半導体装置 |
| US11314606B2 (en) | 2017-01-10 | 2022-04-26 | Mitsubishi Electric Corporation | Substitution device, information processing system, and substitution method |
| JP6924621B2 (ja) * | 2017-06-12 | 2021-08-25 | 日立Astemo株式会社 | 電子制御装置、車載システム、および電源装置 |
| JP7048439B2 (ja) * | 2018-07-03 | 2022-04-05 | 本田技研工業株式会社 | 制御装置、制御ユニット、制御方法、およびプログラム |
| JP2020052479A (ja) * | 2018-09-25 | 2020-04-02 | 三菱電機株式会社 | 車両用制御装置および車両制御方法 |
| CN114283956B (zh) * | 2021-11-17 | 2024-07-16 | 中国核电工程有限公司 | 一种传感器智能数据重构方法及系统 |
-
1999
- 1999-04-16 JP JP10959599A patent/JP4113934B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000081991A (ja) | 2000-03-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5032434B2 (ja) | システムに対する制御装置および制御装置の駆動方法 | |
| JP4113934B2 (ja) | フェールセーフ機能付き情報処理装置 | |
| JP4124514B2 (ja) | エラー診断装置およびエラー診断方法 | |
| JP4491967B2 (ja) | 自己診断機能を備えた車両用制御装置及び記録媒体 | |
| JP3255693B2 (ja) | 自動車のマルチコンピュータシステム | |
| US6076172A (en) | Monitoting system for electronic control unit | |
| CA2336045C (en) | Controller or engine controller, engine and method for adjusting a control or drive system or an engine | |
| WO2017078093A1 (ja) | 電子制御装置及び電子制御方法 | |
| JP3578638B2 (ja) | マイコン用メモリの診断装置 | |
| US6856940B2 (en) | Method and device for monitoring the functioning of a system | |
| US20090164838A1 (en) | Microprocessor Memory Management | |
| US7539564B2 (en) | Device and method for central on-board diagnosis for motor vehicles | |
| JP6663371B2 (ja) | 電子制御装置 | |
| JP2006017468A (ja) | データ記録装置 | |
| JP7029366B2 (ja) | 自動車用電子制御装置 | |
| JP2659367B2 (ja) | 排気ガス再循環装置の故障診断装置 | |
| JP2007138726A (ja) | 車両用電子制御装置及び表示装置 | |
| JPH0717337A (ja) | 電子制御ユニットの故障判定方法及び故障判定装置 | |
| JP6716440B2 (ja) | 自動車用電子制御装置及び自動車用電子制御装置のリセット方法 | |
| JP7332204B1 (ja) | 情報処理システム、情報処理システムが実行する処理方法、およびプログラム | |
| JPH0359703A (ja) | シーケンスコントローラの故障診断装置 | |
| JP3777482B2 (ja) | 自動車電装品の故障箇所診断方法及び故障箇所診断機能付きメータセット | |
| JPS6022202A (ja) | 制御システム | |
| JP3324148B2 (ja) | バックアップメモリの検査装置 | |
| JP4711303B2 (ja) | 接点入力装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20050526 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050526 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20050526 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20050526 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050526 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070802 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070807 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071009 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080219 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20080318 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080319 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20080318 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110425 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110425 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110425 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120425 Year of fee payment: 4 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313532 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130425 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130425 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140425 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |