JP4155112B2

JP4155112B2 - 冗長型制御装置を備えた自動車

Info

Publication number: JP4155112B2
Application number: JP2003156764A
Authority: JP
Inventors: 壮弘谷中; 正喜星野; 宏忠大竹; 智清鈴木
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2003-06-02
Filing date: 2003-06-02
Publication date: 2008-09-24
Anticipated expiration: 2023-06-02
Also published as: DE102004026594B4; DE102004026594A1; JP2004358997A; US7822516B2; US20040243287A1

Description

【０００１】
【発明の属する技術分野】
本発明は冗長化された制御装置を含む自動車における信頼度の向上ないし故障率の低下に関するものである。
【０００２】
【従来の技術】
自動車は非常に多くの部品，サブアッセンブリ等の構成要素から構成されているため、自動車全体の信頼度を十分な高さにする（故障率を十分低くする）ためには、各構成要素の信頼度を著しく高める（故障率を著しく低くする）ことが必要である。しかし、各構成要素の信頼度を高めるにも限度があり、あるいは、技術的には信頼度を高めることが可能であっても、そのために製造コストが著しく高くなってしまって実用に適さないものになってしまう。そこで、自動車の重要な構成要素を２重以上に冗長化し、要素の一部が故障しても自動車全体は支障なく機能するようにすることが行われている。特に、電子制御式ブレーキ装置が既に市販の自動車に搭載され、電子制御式ステアリング装置の搭載も検討されているというように、自動車の重要な機能部が電子制御化されつつあり、その場合、電子部品は機械部品に比較して一般に繊細で、誤作動や故障の発生率が高くなり易いため、冗長化が行われている。
【０００３】
しかし、それでも自動車全体として目標以上の信頼度を達成することは容易ではなく、種々の対策が提案されている。例えば、特許文献１には、自動車の制御対象をそれぞれ制御する一対の電子制御ユニットにそれぞれメインＣＰＵとサブＣＰＵとを設け、各制御ユニットごとにメインＣＰＵとサブＣＰＵとが互いに動作状態を監視し合い、共に正常である場合にその旨を知らせる信号を他の制御ユニットに送るようにして、一対の制御ユニットに相手方の作動状態を監視させることが記載されている。また、特許文献２には、バッテリの電圧が異常の場合に、そのバッテリに並列に接続された複数の電動機器のうち、自動車の走行に支障のないものから先に電力供給が制限され、最後にパワーステアリング用電動機への電力供給が制限されるようにすることが記載されている。また、特許文献３には、電動式後輪操舵装置の故障により後輪舵角が一定に固定された場合に、スロットル開度を制限して安全性を確保することが記載されている。故障により固定された後輪舵角が大きくて、自動車の走行に対する影響が大きい場合には、スロットル開度に対する制限を厳しくし、固定された後輪舵角が小さくて、自動車の走行にそれほど影響がない場合には、スロットル開度の制限を緩くすることも記載されている。
【０００４】
【特許文献１】
特開平９−１５１７８０号公報
【特許文献２】
特公平６−１５３３３号公報
【特許文献３】
特開平５−１２５９７１号公報
【特許文献４】
特開２００２−１５５７７７号公報
【０００５】
【発明が解決しようとする課題，課題解決手段および効果】
本発明は、以上の事情を背景とし、個々の信頼度がそれほど高くない構成要素で自動車を構成しながら、自動車全体としての信頼度を高くすることを可能にすることを課題としてなされたものであり、本発明によって、下記各態様の自動車が得られる。各態様は請求項と同様に、項に区分し、各項に番号を付し、必要に応じて他の項の番号を引用する形式で記載する。これは、あくまでも本発明の理解を容易にするためであり、本明細書に記載の技術的特徴およびそれらの組合わせが以下の各項に記載のものに限定されると解釈されるべきではない。また、一つの項に複数の事項が記載されている場合、それら複数の事項を常に一緒に採用しなければならないわけではない。一部の事項のみを選択して採用することも可能なのである。
【０００６】
なお、以下の各項において、 (19)項が請求項１に相当し、(20)項が請求項２に、それら請求項１または２に (6) 項に記載の特徴を追加したものが請求項３に、その請求項３に (11) 項に記載の特徴を追加したものが請求項４に、上記請求項１ないし４のいずれかに (12) 項に記載の特徴を追加したものが請求項５に、それぞれ相当する。
【０００７】
（１）冗長化された制御装置を含む自動車において、冗長化部に予め設定された形態の故障である設定故障が発生してからの前記制御装置の作動時間が予め設定された設定作動時間に達するまでに、少なくともその設定故障が解消されない場合に、当該自動車の予め設定された設定機能を制限する設定機能制限部を設けたことを特徴とする冗長型制御装置を備えた自動車。
電子制御装置は前述のように、機械的な制御装置に比較して信頼度を高くすることが困難であることが多いため、本発明は冗長化された電子制御装置を備えた自動車に適用して特に有効なものであるが、冗長化された機械的な制御装置を備えた自動車に適用することも可能である。故障の「予め設定された形態」は、例えば、制御装置のＮ重の部分のうち何重の部分に故障が生じたか、どの部分に故障が生じたか、生じた故障の重大性等、あるいはそれらの組み合わせにより設定される。
冗長化部に設定故障が発生した場合に、その事実を運転者に報知してその設定故障（あるいはその設定故障を含むすべての故障）の修理を促すことによっても、冗長化された制御装置全体が機能不能の状態に陥ることを相当程度回避することができる。しかし、報知に応じて運転者が必ず故障の修理を行う（自身で修理する場合とサービス工場に修理を依頼する場合とを含む）とは限らないため、確実を期し難い。それに対し、設定故障が発生してからの制御装置の作動時間が予め設定された設定作動時間が経過するまでに少なくともその設定故障が解消されない場合に、自動車の予め設定された設定機能が設定機能制限部により制限されるようにすれば、運転者に故障の修理を確実に実施させることができ、自動車の信頼性が向上する。そして、設定故障が設定作動時間以内に必ず修理されることを前提とすることができれば、後に詳述するように、そのことを前提とすることができない場合に比較して、同じ信頼度の構成要素を使用しながら、冗長化された制御装置全体の信頼度を高くすることができるのであり、結局自動車の信頼性を高くすることができる。運転者に故障の修理を確実に実施させる観点からすれば、設定機能は自動車の走行に関連したものであることが望ましく、設定機能制限部を自動車を走行不能にするものとすればより確実である。しかし、万一、設定作動時間以内に設定故障が修理されず、実際に設定機能が制限される場合には、小距離は自動車を走行させ得ることが望ましく、走行速度を低速に制限する等、走行困難にするものであることが望ましい。設定機能とその制限の程度とは、修理の確実を期する程度と、実際に機能制限が行われた場合の不都合とを比較考量して設定されるべきものである。
なお、設定故障が発生した後に発生した別の故障も一緒に修理されることが望ましいが不可欠ではない。例えば、上記別の故障が修理されない場合には、その別の故障の発生時に別の設定作動時間が設定されるとともに、その別の故障の発生時から別の時間計測が開始され、その計測時間が上記別の設定作動時間に達するまでに、少なくとも前記設定故障および上記別の設定故障が解消されない場合に、当該自動車の予め設定された設定機能が設定機能制限部により制限されるようにするのである。別の故障発生を運転者に知らせる故障報知を行う故障報知部と、別の故障の修理要求を行う修理要求部との少なくとも一方を設けることが望ましい。
（２）前記設定故障の発生を検知する設定故障発生検知部を含む (1)項に記載の自動車。
設定故障発生検知部は、制御装置が正常であるか否かを診断する診断部（制御装置自体の自己診断部でも、別途設けられた診断専用装置でもよい）と、その診断部の診断結果から設定形態の故障が発生したか否かを判定する判定部とを含むものとすることも、判定部のみを備え、他の装置に設けられた故障検出装置からの情報に基づいて設定形態の故障が発生したか否かを判定するものとすることもできる。
（３）前記設定故障発生検知部が前記設定故障の発生を検知してからの経過時間を計測する計時部を含む (2)項に記載の自動車。
（４）前記設定故障の解消を検知する設定故障解消検知部を含む (1)項ないし (3)項のいずれかに記載の自動車。
設定故障解消検知部は、設定故障が解消されたことを前記診断部等の情報に基づいて自動で検知するものとすることも、設定故障の修理後に人によりその旨の情報が入力される入力装置とすることも可能である。
（５）前記設定故障の発生を検知する設定故障発生検知部と、前記設定故障の解消を検知する設定故障解消検知部と、前記設定故障発生検知部が前記設定故障の発生を検知してからの経過時間を計測する計時部とを含み、前記設定故障解消検知部が前記設定故障の解消を検知する前に、前記計時部により計測された経過時間が前記設定作動時間に達した場合に、前記設定機能制限部が作動する (1)項に記載の自動車。
（６）前記冗長化部に前記設定故障が発生してから前記設定機能制限部が作動するまでの間に、当該自動車の運転者に対して、少なくとも前記設定故障を解消するための修理を促す修理勧告を行う修理勧告部を含む (1)項ないし (5)項のいずれかに記載の自動車。
設定故障の発生時から設定作動時間が経過するまでに、設定故障が解消されなければ設定機能が制限されることを、マニュアル等により運転者に知らせておけば、設定故障の発生を運転者に報知する故障報知部を設けることにより、運転者に故障個所の修理を促すことができる。その意味で、故障報知部は修理勧告部の一種であると考えることができる。しかし、設定作動時間以内に修理すべきことを積極的に要求する修理要求部を修理勧告部とする方が確実である。
（７）前記修理勧告部が、前記設定故障が発生してから前記設定機能制限部が作動するまでの間、前記修理勧告をし続ける継続勧告部を含む (6)項に記載の自動車。
継続勧告部を設ければ、修理勧告が行われていることを運転者に確実に気付かせ、あるいは忘れさせないようにすることができる。修理勧告がディスプレイに表示され、あるいは修理勧告用のランプが点灯されるようにすれば、運転の邪魔になることを可及的に回避しつつ、運転者に対して良好に修理勧告を行うことができる。
（８）前記継続勧告部が、前記修理勧告を表示し続けるディスプレイを含む (7)項に記載の自動車。
（９）前記修理勧告部が、前記設定故障が発生してからの経過時間に基づいて予め設定された１時点以上において、音と光との少なくとも一方により前記修理勧告を行うものである (6)項または (7)項に記載の自動車。
音による修理勧告としては、修理を促す言葉やブザーの鳴動を採用することができ、光による修理勧告としては、ランプの点灯ないし点滅等を採用することができる。ブザーの鳴動やランプの点灯，点滅等は、ディスプレイへの表示と組合わせて採用されることが望ましい。修理勧告は複数時点に行われることが望ましく、また、前記設定機能制限部の作動が近づくに従って勧告間隔が短くされることが望ましい。断続的に繰り返し為される修理勧告は、連続的に為される修理勧告より運転者の注意を引きやすい利点を有する。
（１０）前記修理勧告部が、前記設定機能制限部の作動までの前記制御装置の作動可能時間である残り時間の情報を運転者に報知する残り時間報知部を含む (6)項ないし (9)項のいずれかに記載の自動車。
残り時間が報知されれば、運転者が自動車の使用予定と考え合わせて適切な時点に修理を行うことが容易となる。残り時間は、ディスプレイへの表示や音声によって報知されることが望ましい。
（１１）前記修理勧告部の少なくとも一部が冗長化された (6)項ないし(10)項のいずれかに記載の自動車。
本発明の目的を確実に達成するためには、少なくとも設定故障が設定作動時間以内に確実に解消されるようにすることが必要である。しかるに、修理勧告が必要になった場合に修理勧告部自体が故障していては、本発明の目的を達することができない。したがって、制御装置のみならず修理勧告部も冗長化して確実に修理勧告が行われるようにすることが望ましい。
（１２）前記設定機能制限部が、当該自動車の走行機能を制限する走行機能制限部を含む (1)項ないし(11)項のいずれかに記載の自動車。
（１３）前記走行機能制限部が、当該自動車の駆動源の停止ないし始動禁止，シフトレバーのＰレンジからのシフト禁止等の駆動制限を行う駆動制限部と、駐車ブレーキの自動作動ないし解除禁止，動力ブレーキの自動作動等の制動部との少なくとも一方を含む(12)項に記載の自動車。
（１４）前記走行機能制限部が、前記設定機能制限部の作動までの前記制御装置の作動可能時間である残り時間が設定残り時間以内になった後に当該自動車が停止した場合に、走行の再開を禁止する走行再開禁止部を含む(12)項または(13)項に記載の自動車。
走行再開禁止部を設ければ、停車した自動車の走行再開が禁止されるのみであるため、走行中の自動車が強制的に停止させられる場合に比較して、運転者にとって不都合な事態となる可能性が少なくて済む。特に、次項に記載のように、走行再開の禁止が予告される場合には、運手者は禁止されても差し支えない場所に自動車を停止させることができて好都合である。
（１５）前記走行再開禁止部の作動前に、次に自動車が停止した後は走行再開が禁止されることを運転者に予告する走行再開禁止予告部を含む(14)項に記載の自動車。
（１６）前記走行機能制限部が、前記設定機能制限部の作動までの前記制御装置の作動可能時間である残り時間が設定残り時間以内になってから０になるまでの間に当該自動車が一度も停止しない場合に、当該自動車を強制的に停止させる強制停止部を含む(12)項ないし(15)項のいずれかに記載の自動車。
残り時間が０になるまで運転者が故障の修理もせず、自動車を停止もさせない場合には、強制的に停止させることも止むを得ない。ただし、次項に示すように、強制停止予告部を設けて、せめて他の自動車の邪魔にならない場所まで自動車を移動させる余裕を与えることが望ましい。
（１７）前記強制停止部の作動前に、その作動を運転者に予告する強制停止予告部を含む(16)項に記載の自動車。
（１８）前記走行機能制限部が、当該自動車の走行速度を予め設定された設定上限速度以下に制限する走行速度制限部を含む(12)項ないし(17)項のいずれかに記載の自動車。
設定上限速度を、自動車を他の自動車等の邪魔にならない場所まで移動させて停止させることはできるが、通常の速度では走行させ得ない速度に設定しておけば、事実上自動車を走行させ得なくしたのと同じであり、しかも完全に走行不能とする場合のような不都合は回避し得る。
（１９）冗長化された制御装置を含む自動車において、冗長化部に予め設定された第一形態の故障である第一設定故障が発生してからの前記制御装置の作動時間が、前記冗長化部のうちの正常である部分に予め設定された第二形態の故障である第二設定故障が発生する確率が狙いの確率以下になるように設定された設定作動時間に達するまでに、少なくとも前記第一設定故障が解消されない場合に、当該自動車の予め定められた設定機能を制限する設定機能制限部を設けたことを特徴とする冗長型制御装置を備えた自動車。
冗長化された制御装置の冗長度をＮとした場合に、第一設定故障は、例えば、Ｎ−Ｍ重（Ｎ＞Ｍ）の部分が故障した状態に設定することができ、第二設定故障は、Ｍ−Ｐ重（Ｍ＞Ｐ）の部分が故障した状態に設定することができる。第一設定故障を、Ｎ−１重の部分が故障した状態に設定することも可能であり、その場合には、第二設定故障は制御装置が作動不能になる状態となる。
設定作動時間を本発明に従って設定すれば、第二設定故障が発生する確率を狙いの確率まで低下させることができ、自動車の信頼性を狙い通りの高さにすることができる。
前記 (2)項ないし(18)項の各々に記載の特徴は本項の自動車にも適用可能である。
（２０）前記設定機能制限部の少なくとも一部が冗長化された (1)項ないし(19)項のいずれかに記載の自動車。
制御装置のみならず、設定機能制限部も冗長化すれば、必要が生じた場合に確実に設定機能を制限することができる。
【０００８】
【発明の実施の形態】
以下、本発明の一実施形態を図面に基づいて説明する。図１は、本発明を適用した自動車の電子制御ステアリングシステム８およびその周辺を概念的に示す図である。本電子制御ステアリングシステム８は、ステアリング部材（例えば、ステアリングホイール）１０の操作量（例えば、操舵角）が第一，第二操作量センサ１２，１４により検出され、その検出された操作量に基づいて第一，第二ステアリング電子制御ユニット（第一，第二ステアＥＣＵと略称する）１６，１８が第一，第二転舵アクチュエータ（第一，第二転舵ＡＣＴと略称する）２０，２２を制御することにより、操舵車輪２４，２６の転舵を行うものである。第一操作量センサ１２，第一ステアＥＣＵ１６および第一転舵ＡＣＴ２０が第一ステアリング系統（第一系統と略称する）２８を構成し、第二操作量センサ１４，第二ステアＥＣＵ１８および第二転舵ＡＣＴ２２が第二ステアリング系統（第二系統と略称する）３０を構成しており、電子制御ステアリングシステム８がが２重の冗長系とされている。
【０００９】
第一，第二ステアＥＣＵ１６，１８にはそれぞれブザー４０，ブザー４２およびウォーニングランプ４４，ウォーニングランプ４６が接続されている。ブザー４０は第一ステアＥＣＵ１６にも第二ステアＥＣＵ１８にも接続されており、いずれのステアＥＣＵによっても作動させることができる。他のブザー４２やウォーニングランプ４４，ウォーニングランプ４６についても同様である。第一，第二ステアＥＣＵ１６，１８は通信ＢＡＳ５０および通信ＢＡＳ５２に各々２重に接続されており、それら通信ＢＡＳの各々には、エンジン電子制御ユニット（エンジンＥＣＵと略称する）５８，ブレーキ電子制御ユニット（ブレーキＥＣＵと略称する）６０，ナビゲーション電子制御ユニット（ナビＥＣＵと略称する）６２，電動パーキングブレーキ電子制御ユニット（ＥＰＢＥＣＵと略称する）６４およびトランスミッションシフト電子制御ユニット（シフトＥＣＵと略称する）６６が、それぞれ２重に接続されている。
【００１０】
第一，第二ステアＥＣＵ１６，１８はそれぞれ、内部のＣＰＵ，メモリ，入出力回路等の冗長構成や制御プログラム構成などにより、自己診断による故障検出、故障時の転舵ＡＣＴ２０，２２の駆動停止、通信ＢＡＳ５０，５２との通信停止、ウォーニングランプ４４，４６やブザー４０，４２の作動，停止指示等を行い得るように構成されている。第一転舵ＡＣＴ２０は第一ステアＥＣＵ１６により、第二転舵ＡＣＴ２２は第二ステアＥＣＵ１８によりそれぞれ専一的に制御されるが、ウォーニングランプ４４，４６とブザー４０，４２とはいずれも、第一ステアＥＣＵ１６と第二ステアＥＣＵ１８との少なくとも一方から作動指令があれば作動するように構成されている。
【００１１】
第一，第二ステアＥＣＵ１６，１８は、第一系統２８と第二系統３０との故障を監視し、一方の系統が故障した後は、運転者にその故障を修理すべきことを繰り返し勧告し、それでも故障の修理が行われないで電子制御ステアリングシステム８の作動時間が設定作動時間に達した場合には、自動車を強制的に停止させるように構成されている。第一，第二ステアＥＣＵ１６，１８は、ナビＥＣＵ６２，ウォーニングランプ４４，４６およびブザー４０，４２を制御するとともに、転舵ＡＣＴ２０，２２の制御を変更することにより上記修理勧告を行い、また、エンジンＥＣＵ５８，ブレーキＥＣＵ６０，ＥＰＢＥＣＵ６４およびシフトＥＣＵ６６に指示を出すことにより、自動車を走行不能にする。また、上記設定作動時間は、後に詳述するように、一方の系統が故障した後、他方の系統も故障して電子制御ステアリングシステム８が機能しなくなる確率が、狙いの確率以下になるように設定されている。
本実施形態においては、２重に冗長化された系の一方が故障することが第一設定故障であり、他方も故障することが第二設定故障であり、自動車の走行機能が設定機能なのである。
【００１２】
上述のように、自動車を停止させるべき旨の指示を第一，第二ステアＥＣＵ１６，１８から受けた場合、エンジンＥＣＵ５８は、エンジンの制御モードをアイドリングモードに固定する。ブレーキＥＣＵ６０は、サービスブレーキとしての液圧ブレーキ装置を自動で制動状態にする。近年の液圧ブレーキ装置は、駆動車輪の加速スリップが過大になることを防止するトラクション制御，自動車の走行安定性を確保するビークルスタビリティ制御、坂路上において自動車を自動で停止状態に保つヒルホールド制御等のために、自動で制動状態とする機能を有していることが多く、その場合にはその機能を利用すればよい。また、ＥＰＢＥＣＵ６４は、電動モータを駆動源とする電動パーキングブレーキを作用状態にし、シフトＥＣＵ６６はトランスミッションのシフトをパーキングレンジにロックする。本実施形態においては、これら複数の走行抑制部と、第一，第二ステアＥＣＵ１６，１８のそれらに指令を出す部分とが共同して、設定機能制限部の一種である走行機能制限部としての走行禁止部を構成していることになる。
【００１３】
上記複数の走行抑制部のうちの少なくとも一つを設ければ、自動車を走行不能または走行困難にし得るが、複数を設けることが望ましい。複数を設け、それらを作動させれば、自動車の走行をより確実に阻止することができ、また、万一、一部のものが故障した場合にも、他の正常なもので自動車の走行を阻止することができる。その意味で、本実施形態の自動車においては、走行抑制部がエンジンＥＣＵ５８，ブレーキＥＣＵ６０，ＥＰＢＥＣＵ６４およびシフトＥＣＵ６６により４重の冗長度を有していると考えることができる。
【００１４】
上記修理勧告や自動車の強制停止を行うために、第一ステアＥＣＵ１６のメモリには、図２ないし４に示すフローチャートで表される制御プログラムが格納されており、第二ステアＥＣＵ１６のメモリにも、第一系統２８と第二系統３０とが逆転させられている点以外は同じ制御プログラムが格納されている。以下、フローチャートを参照しつつ本電子制御ステアリングシステム８を備えた自動車の作動を説明する。
上記フローチャートの制御プログラムは、イグニッションスイッチ等のメインスイッチがＯＮの状態にある間、繰り返し実行される。まず、ステップ１（以下、Ｓ１と記載する。他のステップについても同様とする）において、第一操作量センサ１２からステアリング部材１０の操作量が読み込まれる。これは、後に第一転舵ＡＣＴ２０を制御するためである。続いて、Ｓ２において、通信ＢＡＳ５０および通信ＢＡＳ５２の両方からそれぞれ自動車状態量が読み込まれる。本実施形態では走行速度が読み込まれる。Ｓ３において、第二系統３０、すなわち第二ステアＥＣＵ１８から通信ＢＡＳ５０を経て送信された「第一系統正常確認」の確認情報が読み込まれ、Ｓ４において同じ情報が通信ＢＡＳ５２らか読み込まれる。同じ情報が２つの通信ＢＡＳ５０，５２を経由して送受信されるようになっているのであり、他の情報に関しても同様である。「第一系統正常確認」の確認情報については、後に「第二系統正常確認」の情報作成に関連して説明する。
【００１５】
Ｓ５およびＳ６において、２つの通信ＢＡＳ５０，５２から、第二系統３０の状態情報が受信される。この状態情報は、第二系統３０が正常な状態にあるか否かを表す情報であり、第二ステアＥＣＵ１８において作成され、送信される。状態情報の作成については、後に第一系統２０の状態情報の作成に関連して詳細に説明する。Ｓ７において、２つの通信ＢＡＳ５０，５２の少なくとも一方から「第一系統正常確認」の確認情報が受信されたか否かが判定される。この判定は、第一系統２８と第二系統３０との間の通信ＢＡＳ５２，５２を介しての通信が正常に行われているか否かを判定するために行われるものであり、判定の結果がＹＥＳであれば通信が正常に行われていることになる。
【００１６】
Ｓ８，Ｓ９において、第一操作量センサ１２および第一転舵ＡＣＴ２０がそれぞれ正常であるか否かが判定され、共に正常であれば、Ｓ１０において、第一ステアＥＣＵ１６自体が正常であるか否かの自己診断が行われる。以上Ｓ７ないしＳ１０の判定結果がすべてＹＥＳであれば、第一系統２８が正常であることになるので、Ｓ１１，Ｓ１２において、「第一系統正常」を表す状態情報が作成され、通信ＢＡＳ５０および通信ＢＡＳ５２の各々へ送信される。前記Ｓ５，Ｓ６のステップは、第二ステアＥＣＵ１８において作成されたこの状態情報に相当する情報を受信するステップなのである。
【００１７】
続いて、Ｓ１３において、前記Ｓ５，６で通信ＢＡＳ５０および通信ＢＡＳ５２から受信した第二系統３０の状態情報が共に第二系統３０が正常であることを表す情報であったか否かが判定され、判定の結果がＹＥＳであれば、Ｓ１４，Ｓ１５で「第二系統正常確認」の確認情報が通信ＢＡＳ５０および通信ＢＡＳ５２へ送信される。前記Ｓ３，Ｓ４のステップは、第二ステアＥＣＵ１８において作成されたこの確認情報に相当する確認情報を受信するステップなのである。その後、Ｓ１６において通常のステアリング制御が行われる。Ｓ１で読み込まれたステアリング部材１０の操作量に基づいて、第一転舵ＡＣＴ２６の目標転舵量が演算され、その演算結果に基づいて第一転舵ＡＣＴ２６の電動モータの通常駆動が行われるのである。また、Ｓ１７およびＳ１８において、それぞれウォーニングランプ４４およびウォーニングランプ４６の消灯指令と、ブザー４０およびブザー４２の停止指令とが出され、１回の制御フローの実施が終了する。以上が、第一、第二系統２８，３０が共に正常である場合の作動である。
【００１８】
それに対し、前記Ｓ７ないしＳ１０のいずれかの判定結果がＮＯであれば、第一系統２０に何らかの故障が発生していることとなるので、Ｓ２１において第一転舵ＡＣＴ２６の電動モータへの駆動電流が０にされ、Ｓ２２において通信ＢＡＳ５０，５２への送信が停止され、Ｓ２３，２４においてそれぞれウォーニングランプ４４およびウォーニングランプ４６の消灯指令と、ブザー４０およびブザー４２の停止指令とが出され、１回の制御フローの実施が終了する。第一系統２０に何らかの故障が発生したことが検出された場合には、第一系統２０の制御が停止されるのである。
【００１９】
また、Ｓ１３の判定結果がＮＯ、すなわち第二系統３０に何らかの故障が発生したことが検出された場合には、Ｓ３１においてタイマのカウント値が１増加させられる。このタイマは車両の組立完了時と、第二系統３０の修理完了時とに０にリセットされるものであり、カウント値は第二系統３０の故障が検出されてからの本制御プログラムの実行時間、つまり電子制御ステアリングシステム８の作動時間ｔ（以下、単に故障後作動時間ｔと称する）を表すことになる。カウント値に本制御プログラムの実行サイクルタイムを掛けた値が故障後作動時間ｔなのである。また、カウント値は自動車のメインスイッチがＯＦＦにされても消去されることなく保持されるため、故障後作動時間ｔは、第二系統３０の故障が検出されてからの電子制御ステアリングシステム８の累積作動時間であることになる。また、本制御プログラムは、前述のように、イグニッションスイッチ等のメインスイッチがＯＮの状態にある間、繰り返し実行されるため、第二系統３０の故障が検出されてからの自動車の累積使用時間でもあることになる。
【００２０】
Ｓ３１に続いて、Ｓ３２で補償制御が行われる。本実施形態の自動車においては、走行速度が小さく、操舵車輪２４，２６と路面との摩擦力が大きいために大きな転舵力が必要である時期には、第一，第二転舵ＡＣＴ２０，２２の共同で転舵が行われ、走行速度が大きく転舵力が小さくてよい時期には、第一，第二転舵ＡＣＴ２０，２２から選択されたものにより単独で転舵が行われる（第一，第二転舵ＡＣＴ２０，２２がそれぞれ１／２の力で作動させられるようにしてもよい）。したがって、第二系統３０が故障している状態で、走行速度が大きい時期には当然に第一転舵ＡＣＴ２０により転舵が行われるが、走行速度が小さい時期には第一転舵ＡＣＴ２に通常より大きな転舵力を発生させる制御が行われる。故障により失われた第二系統３０の転舵力を補う補償制御が行われるのである。
【００２１】
その後、Ｓ３３において、故障後作動時間ｔが第一設定作動時間Ｘ１未満であるか否かが判定されるが、当初は判定の結果がＹＥＳであるため、Ｓ３４において修理勧告が行われる。ウォーニングランプ４４，ウォーニングランプ４６が点灯されるとともに、ブザー４０，ブザー４２が作動させられ、さらに、ナビＥＣＵ６２に指示が発せられ、その指示に応じて、ナビゲーション装置のディスプレイに、第二系統３０において故障が検出されたので修理すべきことを表す表示と、自動車の走行制限が行われるまでの残り時間の表示とが行われる。この表示は故障が修理されるまで継続して行われる。
【００２２】
故障後作動時間ｔが第一設定作動時間Ｘ１以上となる前に、運転者が上記修理勧告に従って第二系統３０の修理を行えば、Ｓ１３の判定がＹＥＳとなるようになり、また、修理の完了時に前記タイマが０にリセットされるため、本制御プログラムの実行状態は当初の状態に復帰する。それに対し、故障の修理が行われなければ、やがて故障後作動時間ｔが第一設定作動時間Ｘ１以上になるため、Ｓ３３の判定がＮＯとなり、Ｓ３５において故障後作動時間ｔが第二設定作動時間Ｘ２未満であるか否かの判定が行われる。当初は判定がＹＥＳであるため、Ｓ３６においてウォーニングランプ４４，４６が点灯され、ブザー４０，４２が作動させられる。これらの点灯時間や作動時間はＳ３４における場合より長くされる。なお、時間が長くされるとともに、あるいは、それに代えて、ウォーニングランプ４４，４６の明るさが明るくされたり、ブザー４０，４２の音が大きくされたりしてもよい。修理勧告が強まったことを運転者に認識させることができればよいのである。また、ナビゲーション装置のディスプレイに表示される残り時間が短くされる。
【００２３】
故障が修理されないうちに故障後作動時間ｔが第二設定作動時間Ｘ２以上となれば、Ｓ３５の判定がＮＯとなり、修理勧告がさらに強められる。そして、Ｓ３８におけるｎ段階目の修理勧告が為された後、故障後作動時間ｔが第ｎ設定作動時間Ｘｎ以上となれば、Ｓ３９およびＳ４０において最終段階の修理勧告が行われる。この最終段階の勧告においては、ウォーニングランプ４４，４６が点灯したままに保たれるとともに、ブザー４０，４２が作動し続けさせられる。また、ナビゲーション装置のディスプレイに残り時間が表示されるとともに、その残り時間以内に第二系統３０の修理が行われなければ、自動車の強制停止が行われる旨の表示が行われる。
【００２４】
それでも修理が行われることなく自動車が走行させられ、故障後作動時間ｔが最終設定作動時間Ｘend以上となった場合には、Ｓ４１において走行速度（車速）ｖが設定速度Ｖstp以下になることが待たれる。この設定速度Ｖstpは非常に小さい値に設定されており、Ｓ４１の判定がＹＥＳとなれば、自動車が実質的に停止したとみなされて、Ｓ４２において、通信ＢＡＳ５０，５２へ強制停止指示が出される。この指示に応じて、エンジンＥＣＵ５８がエンジンを停止させるとともに再始動不能な状態にし、ブレーキＥＣＵ６０が液圧ブレーキ装置を作動させ、ＥＰＢＥＣＵ６４が電動パーキングブレーキを作用状態にし、シフトＥＣＵ６６がトランスミッションのシフトをパーキングレンジにロックする。したがって、停止した自動車は自力では走行できない状態となる。続いて、Ｓ４３において、ウォーニングランプ４４，４６の点灯およびブザー４０，４２の作動が停止させられる。また、ナビゲーション装置のディスプレイに、電子制御ステアリングシステム８の故障修理が所定時間内に行われなかったために自動車の走行再開が不能にされた旨の表示が行われる。
【００２５】
また、故障後作動時間ｔが最終設定作動時間Ｘend以上となった後、一定時間以内に自動車が運転者によって停止させられない場合には、強制的に停止させられる。Ｓ３９およびＳ４１の判定がＮＯの場合には、Ｓ４４においてカウンタのカウント値ｃが１増加させられるとともに、Ｓ４５で強制停止の準備が行われ、Ｓ４６においてカウント値ｃが設定カウント値Ｃに達するのが待たれる。Ｓ４５においては、ウォーニングランプ４４，４６が消灯され、ブザー４０，４２の作動が停止させられるとともに、ナビＥＣＵ６２に指示が出されて、ナビゲーション装置のディスプレイに比較的短い猶予時間（例えば、５分から漸減させられる）の後に自動車が強制的に停止させられることを知らせる表示が為される。そして、設定カウント値Ｃ達すれば、Ｓ４７において通信ＢＡＳ５０，５２に強制停止指示が出される。それに応じて、エンジンＥＣＵ５８，ブレーキＥＣＵ６０，ＥＰＢＥＣＵ６４およびシフトＥＣＵ６６がそれぞれＳ４３におけるのと同じ制御を行い、自動車が強制的に停止させられるとともに、自力では走行不能とされる。
【００２６】
以上は第一系統２８においての制御を説明したが、第二系統３０においても同様の制御が行われ、第一系統２８と第二系統３０とのいずれか先に故障した場合にも、同様に順次修理勧告が強められ、最終設定作動時間Ｘendの経過後は、比較的短い猶予時間内に自動車が運転者によって停止させられれば、以後は走行開始が不能とされ、猶予時間が過ぎても運転者が自動車を停止させない場合には、強制的に停止させられる。
【００２７】
以上の説明から明らかなように、最終設定作動時間Ｘendが、「設定作動時間」の一例であり、この最終設定作動時間Ｘendは、前述のように、２重に冗長化された電子制御ステアリングシステムを備えた自動車において、第一設定故障としての第一，第二系統２８，３０の一方の故障が発生した後、第二設定故障としての第一，第二系統２８，３０の他方の故障が発生する確率（２重の冗長系の機能が失われる故障が発生する確率）が狙いの確率以下になるように設定されている。以下、この最終設定作動時間Ｘendの設定について説明する。
【００２８】
まず、２重の冗長系の故障率の計算について説明する。なお、使用する各符号および用語はそれぞれ以下のものを示す。
λ_A: Aが故障する故障率（時間に依存しない偶発故障であって一定値とする。）
λ_B: Ｂが故障する故障率（時間に依存しない偶発故障であって一定値とする。）
信頼度ｒ(t)：ある時刻ｔに全体の中のどれだけの割合が満足に働いているかを示す確率
不信頼度ｆ(t)：ある時刻ｔに全体の中のどれだけの割合が故障しているかを示す確率
ｒ_A(t)：Ａの信頼度
ｒ_B(t)：Ｂの信頼度
Λ_(t)：系として二重故障をおこす故障率
Ｒ_(T)：系の信頼度
さて、信頼度と不信頼度との関係は次式で表される。
ｆ(t)＝１−ｒ(t)
また、ひとつの機器が、次の単位時間に故障を起こす確率である故障率λ(t)は次式で表される。
λ_(t)＝（−ｄｒ_(t)／ｄｔ）／ｒ_(t)
ここにおいて、−ｄｒ_(t)／ｄｔは単位時間に故障する確率である。
【００２９】
ある時刻ｔまでの間にＢが故障していて、次の単位時間にＡが故障する確率Ｐ_BAは次式で表される。
Ｐ_BA＝（１−ｒ_B(t)）・λ_A・ｒ_A(t) ・・・・・(1)
また、ある時刻ｔまでの間にＡが故障していて、次の単位時間にＢが故障する確率Ｐ_ABは次式で表される。
Ｐ_AB＝（１−ｒ_A(t)）・λ_B・ｒ_B(t) ・・・・・(2)
そして、ある時刻ｔに系として生き残っている確率（信頼度）は次式で表される。
Ｒ_(t)＝１−（１−ｒ_B(t)）・（１−ｒ_A(t)）・・・・・(3)
したがって、系としての故障率Λ_(t)は、故障率の定義から次式で表される。
Λ_(t)＝（Ｐ_BA＋Ｐ_AB）／Ｒ_(t)＝[（１−ｒ_B(t)）・λ_A・ｒ_A(t)＋（１−ｒ_A(t)）・λ_B・ｒ_B(t)]／[１−（１−ｒ_B(t)）・（１−ｒ_A(t)）] ・・・・・（４）
ところで、λ_(t)＝（−ｄｒ_(t)／ｄｔ）／ｒ_(t)＝λ（一定）のときのｒ_(t)を求めると、
ｒ_(t)＝ｅ^-λ^t
となる。
ここにおいてλ＜＜１であるから、
ｒ_(t)＝ｅ^-λ^t≒１−λ・ｔ
よって、
Λ_(t)≒［λ_A・λ_B・ｔ・[（１−λ_Aｔ）＋（１−λ_Bｔ）]］／（１−λ_A・λ_B・ｔ²）
そして、λ_A・ｔ＜＜１、λ_B・ｔ＜＜１であるから、
Λ_(t)≒２・λ_A・λ_B・ｔ
【００３０】
上式から明らかなように、電気部品のように偶発的な時間故障率が一定であるものを並列に設けて冗長化すると、その冗長化部が機能を喪失する確率（Λ）は、時間の経過に従って上昇してしまう。
それに対して、本実施形態におけるように、２重の系が互いに同一である場合（それら系の時間故障率は共にλであることになる）に、その２重の冗長系において一方の系が故障した場合に、その故障からＸ時間以内には必ずその故障の修理が行われるものとすれば、ある時刻ｔに２重故障を起こすのは、Ｘ時間前から現在までの間に２重故障を起こす場合である。ある時刻ｔよりＸ時間以上前に故障したものは確実に修理されて存在しないはずであるからである。
そして、−ｄＲ_(t)／ｄｔはある時刻ｔにおける冗長系の信頼度の低下率（あるいは低下勾配）である。よって、時刻ｔよりＸ時間前における冗長系の信頼度Ｒ_(t-X)に、両系統共が故障していなかった２重系が２重故障を起こす確率[２・（１−ｒ_(X)）・λ・ｒ_(X)]をかければ−ｄＲ_(t)／ｄｔが得られる。すなわち、
ｄＲ_(t)／ｄｔ＝−Ｒ_(t-X)・[２・（１−ｒ_(X)）・λ・ｒ_(X)]＝−Ｒ_(t-X)・２・λ・ｅ^-λ^X・（１−ｅ^-λ^X）
ここにおいて、[２・（１−ｒ_(X)）・λ・ｒ_(X)]は、前記(4)式においてλ_A＝λ_B＝λ、ｔ＝Ｘと置いた場合の故障率Λ_(t)の値である。
いま、Ａ＝２・λ・ｅ^-λ^X・（１−ｅ^-λ^X）と置くと、
ｄＲ_(t)／ｄｔ＝−Ａ・Ｒ_(t-X)
よって、
Λ(t)＝−（ｄＲ_(t)／ｄｔ）／Ｒ_(t)＝Ａ・Ｒ_(t-X)／Ｒ_(t)
ここでλＸ＜＜１であればＲ_(t-X)／Ｒ_(t)≒１であり、
Λ（ｔ）≒Ａ＝２・λ・ｅ^-λ^X・（１−ｅ^-λ^X）
ここにおいてλ＜＜１であるので、ｅ^-λ^X≒１−λ・Ｘであり、
Λ≒２・λ・（１−λＸ）・λＸ
＝２・λ²・Ｘ・（１−λ・Ｘ）
≒２・λ²・Ｘ
【００３１】
したがって、本実施形態において、２重の冗長系を構成する各系の故障率がλであり、２重の冗長系の機能が失われる故障が発生する狙いの確率がΛである場合には、最終設定作動時間Ｘendは次式で決定すればよいことになる。
Ｘend＝Λ／（２・λ²）
このことの意味をグラフでに示せば図５のようになる、図５の（ａ）は、２重系を構成する２つの系の各々の故障率を低下させることによって２重系全体としての故障率を低下させる場合を示し、図５の（ｂ）は一方の系が故障した場合に最終設定作動時間Ｘend以内には必ずその系の故障が修理されることを保証することによって故障率を低下させる場合を示す。最終設定作動時間Ｘendが短く設定されるほど効果が大きいことが明らかである。
【００３２】
上記効果の具体的な一例を示せば、次の通りである。
２重系の一方の１時間当たりの故障率λを１．０×１０^-6（１／ｈ）、自動車の年間使用時間を１０００（ｈ／ｙ）、耐用年数を１５（ｙ）とすれば、寿命時間Ｙは１５０００（ｈ）である。この場合の２重の冗長系の機能が失われる故障の発生する率である故障率Λは、
Λ≒２・λ²・Ｙ＝２×１０^-6×² ×１．５×１０⁴ ＝３×１０^-8
となる。
それに対して、２重系の一方が故障した場合に１００時間以内に必ず修理されるものとすれば、２重の冗長系の故障率Λは、
Λ≒２×１０^-6×²×１０²＝２×１０^-10
となる。両故障率を比較すれば、本発明の実施形態における故障率が著しく低いことが明らかである。
【００３３】
以上は２重の冗長系について説明したが、Ｎ重の冗長系の時刻ｔにおける故障率、すなわちＮ重の系がすべて故障して機能が失われる確率Ｆ_N(t)は、同様にして求められ、次式で表される。
Λ_N(t)＝Ｎ・λ₁・λ₂・λ₃・・・・λ_N・ｔ^(N-1)
また、Ｎ重の冗長系の設定数の系が故障してからＸ時間以内にそのＮ重の冗長系のすべての故障（上記設定数の系の故障とそれら設定数の系の故障後にさらに故障した系の故障との全て）が修理される場合に、系のすべての機能が失われる故障率は、次式で表される。
Λ_N(t)＝Ｎ・λ₁・λ₂・λ₃・・・・λ_N・Ｘ^(N-1)
この故障率は時刻ｔによらず、自動車の寿命時点でも同じ値となる。
自動車の寿命をＹ時間としたとき、自動車が寿命を迎える時の不信頼度Ｆ_N(Y)はＦ_N(Y)≒Ｎ・λ₁・λ₂・λ₃・・・・λ_N・Ｘ^(N-1)・Y
であり、時間Ｘを時間Ｙに対して十分小さくすれば、冗長度は同じであっても信頼度を高めることができる。
【００３４】
冗長系は単純なＮ重系に限られるものではなく、例えば、図６に例示するように、Ｐ重系，Ｑ重系，Ｒ重系等任意の冗長度の装置が直列に接続された冗長系等、種々の構成とすることができ、それらの構成に応じて第一設定故障，第二設定故障および設定作動時間等を適宜設定することができる。なお、図６において、上流側の各構成要素、例えばＡ₁，Ａ₂，・・・Ａ_Pは下流側の構成要素、例えばＢ₁，Ｂ₂，・・・Ｂ_Qのすべてにそれぞれ独立に接続されており、上流側の構成要素の各々の出力はいずれも下流側の構成要素の各々に並列に入力されるものとする。
【００３５】
以上、本発明の一実施形態を詳細に説明したが、これは例示に過ぎず、本発明は、前記〔発明が解決しようとする課題，課題解決手段および効果〕の項に記載された態様を始めとして、当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態である自動車の電子制御ステアリングシステムおよびその周辺を概念的に示す図である。
【図２】上記電子制御ステアリングシステムの制御ユニットの構成要素であるコンピュータのＲＯＭに格納されている制御プログラムの一部を表すフローチャートである。
【図３】上記制御プログラムの別の一部を示すフローチャートである。
【図４】上記制御プログラムのさらに別の一部を示すフローチャートである。
【図５】本発明の効果を説明するためのグラフである。
【図６】本発明の別の実施形態である冗長系を示すブロック図である。
【符号の説明】
８：電子制御ステアリングシステム１０：ステアリング部材１２：第一操作量センサ１４：第二操作量センサ１６：第一ステアリング電子制御ユニット（第一ステアＥＣＵ）１８：第二ステアリング電子制御ユニット（第二ステアＥＣＵ）２０：第一転舵アクチュエータ（第一転舵ＡＣＴ）２２：第二転舵アクチュエータ（第二転舵ＡＣＴ）２４，２６：操舵車輪２８：第一ステアリング系統（第一系統）３０：第二ステアリング系統（第二系統）４０：ブザーＡ４２：ブザーＢ４４：ウォーニングランプＡ４６：ウォーニングランプＢ５０：通信ＢＡＳ−Ａ５２：通信ＢＡＳ−Ｂ５８：エンジン電子制御ユニット（エンジンＥＣＵ）６０：ブレーキ電子制御ユニット（ブレーキＥＣＵ）６２：ナビゲーション電子制御ユニット（ナビＥＣＵ）６４：電動パーキングブレーキ電子制御ユニット（ＥＰＢＥＣＵ）６６：トランスミッションシフト電子制御ユニット（シフトＥＣＵ）

Claims

冗長化された制御装置を含む自動車において、冗長化部に予め設定された第一形態の故障である第一設定故障が発生してからの前記制御装置の作動時間が、前記冗長化部のうちの正常である部分に予め設定された第二形態の故障である第二設定故障が発生する確率が狙いの確率以下になるように設定された設定作動時間に達するまでに、少なくとも前記第一設定故障が解消されない場合に、当該自動車の予め定められた設定機能を制限する設定機能制限部を設けたことを特徴とする冗長型制御装置を備えた自動車。
前記設定機能制限部の少なくとも一部が冗長化された請求項１に記載の自動車。
前記冗長化部に前記第一設定故障が発生してから前記設定機能制限部が作動するまでの間に、当該自動車の運転者に対して、少なくとも前記第一設定故障を解消するための修理を促す修理勧告を行う修理勧告部を含む請求項１または２に記載の自動車。
前記修理勧告部の少なくとも一部が冗長化された請求項３に記載の自動車。
前記設定機能制限部が、当該自動車の走行機能を制限する走行機能制限部を含む請求項１ないし４のいずれかに記載の自動車。