JP4948583B2 - 制御システム - Google Patents

Description

この発明は、送信時の通信状況に応じて送信可否が決定されるネットワークにそれぞれ接続され、互いに異なる対象を制御する複数の制御装置を備えた制御システムに関する。

従来から、信頼性の高い制御装置として、図１０に示すような制御装置が知られている。図１０において、この制御装置は、制御の信頼性を向上させるために、全く同一のマイクロコンピュータ（以下、「マイコン」と称する）を２個使用し、いわゆるマイコンの多重化により制御を実行している。この制御装置では、それぞれのマイコンに同一のデータを入力し、演算結果として出力されるデータどうしを比較して異常検出を行うことにより、制御の信頼性を向上させている。

しかしながら、マイコンを多重化した上記の制御装置では、異常検出のために同機能のマイコンが２個必要になるので、回路規模が大きくなってコストが高くなるという問題があった。

そこで、上記の問題を解決するために、図１１に示すような制御装置が提案されている。図１１において、この制御装置は、マイコンと監視機能に特化した監視回路とを備えている。マイコンには、異常検出のための演算処理機能が、マイコン本来の演算処理とは別に設けられ、監視回路には、マイコンの異常検出のための演算処理を実現するために必要な演算命令を実行する演算回路部が設けられている（例えば、特許文献１参照）。

この制御装置では、マイコンおよび監視回路に、同一の設定データに基づく同一の演算処理を実行させ、演算結果として出力されるデータどうしを比較し、両者の差に基づいて異常検出を行っている。
これにより、同機能のマイコンを２個使用することなく、小さな回路規模で、かつ低コストで異常検出を行うことができる。

特許第３７２９８９３号公報

しかしながら、従来技術には、以下のような課題がある。
特許文献１に記載の制御装置では、マイコンと同等の演算能力で異常検出のための演算処理を行う監視回路を、マイコン外部に設ける必要があるので、同機能のマイコンを２個使用する場合ほどではないが、コストが高くなるという問題がある。
さらに、マイコンが本来実施すべき演算処理とは別の異常検出のための演算処理によって異常検出を行うので、マイコン自体の異常検出はできるが、マイコンがマイコン本来の処理を実行しているときの異常検出を行うことができず、本来の処理への信頼性は確保されないという問題もある。

この発明は、上記のような課題を解決するためになされたものであり、マイコン本来の処理への信頼性を確保しながら、コストを低減することができる制御システムを得ることを目的とする。

この発明に係る制御システムは、送信時の通信状況に応じて送信可否が決定されるネットワークにそれぞれ接続され、互いに異なる対象を制御する複数の制御装置を備えた制御システムであって、第１の制御装置の制御対象に対する制御のうち、重要度の高い制御である重要制御に関する制御量を演算するための制御量演算手順を、第１の制御装置と第２以降の制御装置のうちの少なくとも１つとがそれぞれ記憶し、第１の制御装置は、自身が演算した重要制御に関する制御量と、第２以降の制御装置で演算された重要制御に関する制御量とを比較し、比較結果に応じて自身の制御対象を制御し、第１の制御装置と第２以降の制御装置との間で重要制御に関するデータを送受信するとき、重要制御に関するデータを送信する制御装置は、他の制御装置からのデータの送信を停止させた後に重要制御に関するデータを送信するものである。

この発明に係る制御システムによれば、送信時の通信状況に応じて送信可否が決定されるネットワークに接続された第１の制御装置と第２以降の制御装置のうちの少なくとも１つとは、第１の制御装置の制御対象に対する制御のうち、重要度の高い制御である重要制御に関する制御量を演算するための制御量演算手順をそれぞれ記憶し、第１の制御装置は、自身が演算した重要制御に関する制御量と、第２以降の制御装置で演算された重要制御に関する制御量とを比較し、比較結果に応じて自身の制御対象を制御し、第１の制御装置と第２以降の制御装置との間で重要制御に関するデータを送受信するとき、重要制御に関するデータを送信する制御装置は、他の制御装置からのデータの送信を停止させた後に重要制御に関するデータを送信する。
そのため、制御装置内に同機能のマイコンを２個設けたり、監視回路を設けたりすることなく、かつ送信時のネットワーク通信状況に左右されることなく、第１の制御装置で演算された重要制御に関する制御量と、第２以降の制御装置で演算された重要制御に関する制御量とを比較検証することにより、マイコン本来の処理への信頼性を確保しながら、コストを低減することができる制御システムを得ることができる。

この発明の実施の形態１に係る制御システムを示すブロック構成図である。 図１のエンジン制御装置の記憶手段を詳細に示す説明図である。 図１のメータ制御装置の記憶手段を詳細に示す説明図である。 この発明の実施の形態１に係る制御システムの動作を示すタイミングチャートである。 この発明の実施の形態１に係る制御システムの別の動作を示すタイミングチャートである。 この発明の実施の形態２に係る制御システムを示すブロック構成図である。 図６のエンジン制御装置の記憶手段を詳細に示す説明図である。 図６のＡＴ制御装置の記憶手段を詳細に示す説明図である。 この発明の実施の形態２に係る制御システムの動作を示すタイミングチャートである。 従来の制御装置を示すブロック構成図である。 従来の制御装置を示す別のブロック構成図である。

以下、この発明の制御システムの好適な実施の形態につき図面を用いて説明するが、各図において同一、または相当する部分については、同一符号を付して説明する。
なお、以下の実施の形態では、この制御システムが車両に搭載されている場合について説明する。

実施の形態１．
図１は、この発明の実施の形態１に係る制御システムを示すブロック構成図である。
図１において、この制御システムは、車載ネットワーク１０（以下、「ネットワーク１０」と称する）と、ネットワーク１０に接続されたエンジン制御装置２０（第１の制御装置）およびメータ制御装置３０（第２の制御装置）とを含んでいる。また、エンジン制御装置２０およびメータ制御装置３０は、それぞれ制御対象であるエンジンユニット２００およびメータユニット３００と接続されている。

ここで、ネットワーク１０として、ＣＳＭＡ／ＣＡ（Ｃａｒｒｉｅｒ Ｓｅｎｃｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｓｅｓｓ／Ｃｏｌｌｉｓｉｏｎ Ａｖｏｉｄａｎｃｅ）方式を、ネットワークへの接続方法に採用したプロトコルであるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）（国際規格ＩＳＯ１１８９８）に準拠した通信（以下、「ＣＡＮ通信」と称する）を行うＣＡＮネットワークを用いる。

このＣＡＮネットワークでは、接続されたノードが通信していない場合に、全てのノードが送信を開始することができ、同時に送信が行われたときには、送信データの優先度により調停が行われる。すなわち、ＣＡＮネットワークは、送信時の通信状況に応じて送信可否が決定されるネットワークである。また、ＣＡＮ通信は公知の技術なので、詳細な説明を省略する。
なお、ネットワークは、上記のものに限定されず、ネットワークへの接続方法にＣＳＭＡ／ＣＡ方式やこれに類似した方式を採用したプロトコルを使用するネットワークであれば、他のネットワークであってもよい。

続いて、エンジン制御装置２０の構成および機能について説明する。
エンジン制御装置２０は、データ送受信手段２１と、送信停止／停止解除指示手段２２（第１送信停止／停止解除指示手段）と、記憶手段２３（第１記憶手段）と、データ収集手段２４と、制御量演算手段２５（第１制御量演算手段）と、比較手段２６と、エンジン制御手段２７（制御手段）とを有している。また、制御量演算手段２５は、マイコンで構成されている。
また、エンジン制御装置２０は、上記の各手段以外にも必要な構成物を有しているが、この実施の形態１に直接関係しないので、その説明を省略する。

データ送受信手段２１は、ネットワーク１０を介して、ネットワーク１０に接続された他の制御装置（メータ制御装置３０を含む）とデータを送受信する。送信停止／停止解除指示手段２２は、ネットワーク１０に接続された他の全ての制御装置（メータ制御装置３０を含む）に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示をネットワーク１０経由で送信する。記憶手段２３は、後述する様々なデータを記憶する。

データ収集手段２４は、エンジン制御のために必要なデータ（第１制御用データ）を収集する。制御量演算手段２５は、後述する処理手順に基づいて、エンジン制御に必要な制御量を演算する。比較手段２６は、制御量演算手段２５で演算された制御量と、ネットワーク１０に接続された他の制御装置（メータ制御装置３０を含む）から受信した制御量とを比較する。エンジン制御手段２７は、演算された制御量に基づいて、エンジンユニット２００の制御を実行する。

次に、図２を参照しながら、エンジン制御装置２０の記憶手段２３について、詳細に説明する。
図２において、記憶手段２３は、あらかじめ記憶されたデータ以外のデータを記憶することができないＲＯＭエリア２３０と、データの記憶が可能なＲＡＭエリア２４０とに分類される。

ＲＯＭエリア２３０は、その他のＲＯＭデータ２３１と、第１のエンジン重要制御（第１の重要制御）の制御量演算手順２３２（第１制御量演算手順）と、エンジン通常制御の制御量演算手順２３３と、空き領域２３４とから構成されている。
ここで、その他のＲＯＭデータ２３１および空き領域２３４は、この実施の形態１に直接関係しないので、その説明を省略する。

第１のエンジン重要制御の制御量演算手順２３２は、第１のエンジン重要制御に関する制御量の演算手順を示すものであり、エンジン通常制御の制御量演算手順２３３は、エンジンの通常制御に関する制御量の演算手順を示すものである。
なお、第１のエンジン重要制御とは、演算結果によって車両、ドライバ、車両周囲等を危険にさらす恐れのある制御であり、高い信頼性が求められる制御を指している。

また、ＲＡＭエリア２４０は、その他のＲＡＭデータ２４１と、空き領域２４２と、演算に必要なデータ記憶領域２４３と、空き領域２４４とから構成されている。
ここで、その他のＲＡＭデータ２４１、空き領域２４２および空き領域２４４は、この実施の形態１に直接関係しないので、その説明を省略する。
演算に必要なデータ記憶領域２４３は、第１のエンジン重要制御に関する制御量の演算に必要なデータを記憶しておく領域である。

続いて、図１に戻って、メータ制御装置３０の構成および機能について説明する。
メータ制御装置３０は、データ送受信手段３１と、送信停止／停止解除指示手段３２（第２送信停止／停止解除指示手段）と、記憶手段３３（第２記憶手段）と、データ保存手段３４と、制御量演算手段３５（第２制御量演算手段）と、メータ制御手段３６とを有している。また、制御量演算手段３５は、マイコンで構成されている。
また、メータ制御装置３０は、上記の各手段以外にも必要な構成物を有しているが、この実施の形態１に直接関係しないので、その説明を省略する。

データ送受信手段３１は、ネットワーク１０を介して、ネットワーク１０に接続された他の制御装置（エンジン制御装置２０を含む）とデータを送受信する。送信停止／停止解除指示手段３２は、ネットワーク１０に接続された他の全ての制御装置（エンジン制御装置２０を含む）に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示をネットワーク１０経由で送信する。記憶手段３３は、後述する様々なデータを記憶する。

データ保存手段３４は、エンジン制御装置２０から受信した第１のエンジン重要制御に関する制御量の演算に必要なデータを記憶手段３３に記憶させる。制御量演算手段３５は、後述する処理手順に基づいて、メータ制御およびエンジン制御に必要な制御量を演算する。メータ制御手段３６は、演算された制御量に基づいて、メータユニット３００の制御を実行する。

次に、図３を参照しながら、メータ制御装置３０の記憶手段３３について、詳細に説明する。
図３において、記憶手段３３は、あらかじめ記憶されたデータ以外のデータを記憶することができないＲＯＭエリア３３０と、データの記憶が可能なＲＡＭエリア３４０とに分類される。

ＲＯＭエリア３３０は、その他のＲＯＭデータ３３１と、第１のエンジン重要制御の制御量演算手順２３２と、メータ制御の制御量演算手順３３３と、空き領域３３４とから構成されている。
ここで、その他のＲＯＭデータ３３１および空き領域３３４は、この実施の形態１に直接関係しないので、その説明を省略する。

第１のエンジン重要制御の制御量演算手順２３２は、第１のエンジン重要制御に関する制御量の演算手順を示すものであり、記憶手段２３と記憶手段３３とで互いに同じものを記憶している。メータ制御の制御量演算手順３３３は、メータの制御に関する制御量の演算手順を示すものである。

また、ＲＡＭエリア３４０は、その他のＲＡＭデータ３４１と、空き領域３４２と、演算に必要なデータ記憶領域３４３と、その他のＲＡＭデータ３４４と、空き領域３４５とから構成されている。
ここで、その他のＲＡＭデータ３４１、空き領域３４２、その他のＲＡＭデータ３４４および空き領域３４５は、この実施の形態１に直接関係しないので、その説明を省略する。
演算に必要なデータ記憶領域３４３は、第１のエンジン重要制御に関する制御量の演算に必要なデータを記憶しておく領域である。

なお、図１において、データ送受信手段２１とデータ送受信手段３１とは、互いに同じものを用いてもよい。また同様に、図１において、送信停止／停止解除指示手段２２と送信停止／停止解除指示手段３２とは、互いに同じものを用いてもよい。

以下、図４のタイミングチャートを参照しながら、この発明の実施の形態１に係る制御システムの動作について説明する。ここでは、第１のエンジン重要制御に関する処理について説明する。
図４において、横軸は、エンジン制御装置２０の時間の流れを示すエンジン制御装置時間、およびメータ制御装置３０の時間の流れを示すメータ制御装置時間を示している。

また、図４において、エンジン制御装置２０は、処理１１から処理２２までの処理を実行する。また、メータ制御装置３０は、処理３１から処理３９までの処理を実行する。
ここで、処理１１から処理２２まで、および処理３１から処理３９までの全ての処理は、第１の重要制御段階の処理である。
なお、第１の重要制御段階の処理は、第１のエンジン重要制御に関する処理の度に、繰り返し実行される。

続いて、エンジン制御装置２０による処理１１から処理２２までの処理について説明する。
処理１１では、データ収集手段２４が、第１のエンジン重要制御に関する制御量の演算に必要なデータを収集し、収集したデータを記憶手段２３の演算に必要なデータ記憶領域２４３に記憶させる。

処理１２では、送信停止／停止解除指示手段２２が、ネットワーク１０に接続された他の全ての制御装置に対して、データの送信を停止させる指示（以下、「送信停止指示」と称する）をネットワーク１０経由で送信する。
処理１３では、データ送受信手段２１が、送信停止／停止解除指示手段２２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理１４では、データ送受信手段２１が、第１のエンジン重要制御に関する制御量の演算に必要なデータをメータ制御装置３０に送信する。

処理１５では、データ送受信手段２１が、ネットワーク１０経由で送信停止／停止解除指示手段３２から受信したデータの送信停止を解除させる指示（以下、「停止解除指示」と称する）に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。
処理１６では、制御量演算手段２５が、記憶手段２３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。

処理１７では、データ送受信手段２１が、ネットワーク１０経由で送信停止／停止解除指示手段３２から受信した送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理１８では、データ送受信手段２１が、メータ制御装置３０から送信された第１のエンジン重要制御に関する制御量を受信する。

処理１９では、送信停止／停止解除指示手段２２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
処理２０では、データ送受信手段２１が、送信停止／停止解除指示手段２２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

処理２１では、比較手段２６が、処理１６で演算された第１のエンジン重要制御に関する制御量と、処理１８で受信した第１のエンジン重要制御に関する制御量とを比較し、両者が同じ値である場合には、この第１のエンジン重要制御に関する制御量をエンジン制御手段２７に出力し、両者が異なる場合には、制御量が互いに異なる旨をエンジン制御手段２７に出力する。

処理２２では、エンジン制御手段２７が、比較手段２６での比較結果に応じてエンジンユニット２００の制御を実行する。具体的には、エンジン制御手段２７は、比較手段２６から第１のエンジン重要制御に関する制御量が入力された場合には、この制御量に応じてエンジンユニット２００の制御を実行し、比較手段２６から制御量が互いに異なる旨が入力された場合には、エンジンユニット２００の制御を実行しない。

次に、メータ制御装置３０による処理３１から処理３９までの処理について説明する。
処理３１では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理３２では、データ送受信手段３１が、エンジン制御装置２０から送信された第１のエンジン重要制御に関する制御量の演算に必要なデータを受信し、データ保存手段３４が、受信したデータを記憶手段３３の演算に必要なデータ記憶領域３４３に記憶させる。

処理３３では、送信停止／停止解除指示手段３２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
処理３４では、データ送受信手段３１が、送信停止／停止解除指示手段３２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

処理３５では、制御量演算手段３５が、記憶手段３３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。
処理３６では、送信停止／停止解除指示手段３２が、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。

処理３７では、データ送受信手段３１が、送信停止／停止解除指示手段３２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理３８では、データ送受信手段３１が、処理３５で演算された第１のエンジン重要制御に関する制御量をエンジン制御装置２０に送信する。
処理３９では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

なお、エンジン制御装置２０による処理１６およびメータ制御装置３０による処理３５を開始する時間タイミングは、それぞれ処理１５および処理３４において停止解除指示を受信してから、あらかじめ決められた所定時間が経過した後とする。このように時間タイミングを同期させることにより、処理１６および処理３５を同じ時間タイミングで実行することができる。

図４に示したタイミングチャートにおいては、この実施の形態１の特徴部分を明確にするために、第１のエンジン重要制御に関する処理のみを示している。しかしながら、実際はこの限りではなく、エンジン制御装置２０では、エンジンの通常制御に関する処理が、メータ制御装置３０では、メータの制御に関する処理が、それぞれ存在する。これらの処理は、第１のエンジン重要制御に関する処理を実行しない時間において、それぞれ実行される。

続いて、制御量演算手段２５および制御量演算手段３５にともに異常がなく、第１のエンジン重要制御に関する制御量が正確に演算される場合の制御システムの動作を、図４のタイミングチャートにしたがって説明する。

まず、時刻ｔ１において、データ収集手段２４が処理１１を実行し、記憶手段２３の演算に必要なデータ記憶領域２４３に、第１のエンジン重要制御に関する制御量の演算に必要なデータを記憶させる。
続いて、時刻ｔ２において、送信停止／停止解除指示手段２２が処理１２を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。

次に、時刻ｔ３において、データ送受信手段２１およびデータ送受信手段３１がそれぞれ処理１３および処理３１を同時に実行し、送信停止／停止解除指示手段２２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
続いて、時刻ｔ４において、データ送受信手段２１が処理１４を実行し、第１のエンジン重要制御に関する制御量の演算に必要なデータを、ネットワーク１０経由でメータ制御装置３０に送信する。

次に、時刻ｔ５において、データ送受信手段３１およびデータ保存手段３４が処理３２を実行し、受信した第１のエンジン重要制御に関する制御量の演算に必要なデータを、記憶手段３３の演算に必要なデータ記憶領域３４３に記憶させる。
続いて、時刻ｔ６において、送信停止／停止解除指示手段３２が処理３３を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。

次に、時刻ｔ７において、データ送受信手段２１およびデータ送受信手段３１がそれぞれ処理１５および処理３４を同時に実行し、送信停止／停止解除指示手段３２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

続いて、時刻ｔ８において、制御量演算手段２５が処理１６を、制御量演算手段３５が処理３５を、上述した時間タイミングを同期させる方法により同時に実行する。制御量演算手段２５および制御量演算手段３５は、それぞれ記憶手段２３および記憶手段３３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。

次に、時刻ｔ９において、送信停止／停止解除指示手段３２が処理３６を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。
続いて、時刻ｔ１０において、データ送受信手段２１およびデータ送受信手段３１がそれぞれ処理１７および処理３７を同時に実行し、送信停止／停止解除指示手段３２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。

次に、時刻ｔ１１において、データ送受信手段３１が処理３８を実行し、処理３５で演算された第１のエンジン重要制御に関する制御量を、ネットワーク１０経由でエンジン制御装置２０に送信する。
続いて、時刻ｔ１２において、データ送受信手段２１が処理１８を実行し、メータ制御装置３０からネットワーク１０経由で送信された第１のエンジン重要制御に関する制御量を受信する。

次に、時刻ｔ１３において、送信停止／停止解除指示手段２２が処理１９を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
続いて、時刻ｔ１４において、データ送受信手段２１およびデータ送受信手段３１がそれぞれ処理２０および処理３９を同時に実行し、送信停止／停止解除指示手段２２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

次に、時刻ｔ１５において、比較手段２６が処理２１を実行し、処理１６で演算された第１のエンジン重要制御に関する制御量と、処理１８で受信した第１のエンジン重要制御に関する制御量とを比較する。ここでは、制御量演算手段２５および制御量演算手段３５の何れにも異常がないので、それぞれの第１のエンジン重要制御に関する制御量は、互いに同じ値になり、比較手段２６は、この第１のエンジン重要制御に関する制御量をエンジン制御手段２７に出力する。

続いて、時刻ｔ１６において、エンジン制御手段２７が処理２２を実行し、比較手段２６から第１のエンジン重要制御に関する制御量が入力されるので、この制御量に応じてエンジンユニット２００の制御を実行する。

次に、制御量演算手段２５および制御量演算手段３５の何れかに異常がある場合の制御システムの動作を、図４のタイミングチャートにしたがって説明する。
なお、第１の重要制御段階における時刻ｔ１から時刻ｔ７までの処理は、上述した制御量演算手段２５および制御量演算手段３５に異常がない場合の処理と同様なので、説明を省略する。

まず、時刻ｔ８において、制御量演算手段２５が処理１６を、制御量演算手段３５が処理３５を同時に実行する。制御量演算手段２５は、記憶手段２３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。ここで、例えば制御量演算手段２５に異常があるとすると、演算された第１のエンジン重要制御に関する制御量は、本来得られる制御量とは異なる値になる。

また、制御量演算手段３５は、記憶手段３３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。
なお、第１の重要制御段階における時刻ｔ９から時刻ｔ１４までの処理も、上述した制御量演算手段２５および制御量演算手段３５に異常がない場合の処理と同様なので、説明を省略する。

続いて、時刻ｔ１５において、比較手段２６が処理２１を実行し、処理１６で演算された第１のエンジン重要制御に関する制御量と、処理１８で受信した第１のエンジン重要制御に関する制御量とを比較する。ここでは、制御量演算手段２５に異常があるので、それぞれの第１のエンジン重要制御に関する制御量は、互いに異なる値になり、比較手段２６は、制御量が互いに異なる旨をエンジン制御手段２７に出力する。

次に、時刻ｔ１６において、エンジン制御手段２７が処理２２を実行する。しかしながら、比較手段２６から制御量が互いに異なる旨が入力されるので、エンジン制御手段２７は、エンジンユニット２００の制御を実行しない。

このように、制御量演算手段２５で演算された第１のエンジン重要制御に関する制御量と、制御量演算手段３５で演算された第１のエンジン重要制御に関する制御量とを比較検証することにより、制御量演算手段２５および制御量演算手段３５の何れかに異常があることを検出することができる。

すなわち、制御量演算手段２５で演算された第１のエンジン重要制御に関する制御量と、制御量演算手段３５で演算された第１のエンジン重要制御に関する制御量とを比較し、両者が同じ値になった場合に、この第１のエンジン重要制御に関する制御量に基づいてエンジンユニット２００の制御を実行することにより、エンジン制御装置２０内にマイコンを２個設けたり、監視回路を設けたりすることなく、かつ送信時のネットワーク通信状況に左右されることなく、制御の信頼性を確保しながら、制御システムのコストを低減することができる。

また、エンジン制御装置２０において、本来の演算である第１のエンジン重要制御に関する制御量を演算しているときに、メータ制御装置３０の制御量演算手段３５により同じ制御量を演算し、演算結果を比較して、両者が同じ値になった場合に、この第１のエンジン重要制御に関する制御量に基づいてエンジンユニット２００の制御を実行することにより、異常検出のための演算ではなく、本来の演算実施時に異常を判定することができ、制御の信頼性を確保することができる。

さらにまた、エンジン制御装置２０において、第１のエンジン重要制御に関する制御量を演算しているときに、メータ制御装置３０の制御量演算手段３５により同じ制御量を同時に演算することにより、演算結果をできる限り早く比較することができ、第１のエンジン重要制御に要する処理時間を短縮することもできる。

以上のように、実施の形態１によれば、送信時の通信状況に応じて送信可否が決定されるネットワークに接続された第１の制御装置および第２の制御装置において、第１の制御装置は、第１の重要制御に関する制御量を演算するための第１制御量演算手順、および自身の制御対象に対する第１の重要制御に関する制御量の演算に必要な第１制御用データに基づいて、第１の重要制御に関する制御量を演算する第１制御量演算手段と、第１制御量演算手段で演算された第１の重要制御に関する制御量と第２の制御装置で演算された第１の重要制御に関する制御量とを比較する比較手段と、比較手段での比較結果に応じて制御対象を制御する制御手段と、ネットワークに接続された他の全ての制御装置に対して、送信停止指示または停止解除指示を送信する第１送信停止／停止解除指示手段とを有している。また、第２の制御装置は、第１制御量演算手順および第１の制御装置からネットワークを介して受信した第１制御用データを記憶する第２記憶手段と、第１制御量演算手順および第１制御用データに基づいて、第１の重要制御に関する制御量を演算する第２制御量演算手段と、ネットワークに接続された他の全ての制御装置に対して、送信停止指示または停止解除指示を送信する第２送信停止／停止解除指示手段とを有している。
そのため、制御装置内に同機能のマイコンを２個設けたり、監視回路を設けたりすることなく、かつ送信時のネットワーク通信状況に左右されることなく、第１制御量演算手段で演算された第１の重要制御に関する制御量と第２の制御装置で演算された第１の重要制御に関する制御量とを比較検証することにより、制御の信頼性を確保しながら、コストを低減することができる制御システムを得ることができる。

また、制御手段は、比較手段で比較した第１の重要制御に関する制御量の全てが互いに同じ値であると判定された場合に、同じ値である第１の重要制御に関する制御量に基づいて、制御対象を制御し、比較手段で比較した第１の重要制御に関する制御量の全てが同じ値ではないと判定された場合に、制御対象の制御をしない。
そのため、制御の信頼性を向上させることができる。

なお、上記実施の形態１では、エンジン制御手段２７は、比較手段２６から制御量が互いに異なる旨が入力された場合には、エンジンユニット２００の制御を実行しないと説明した。しかしながら、これに限定されず、エンジン制御手段２７は、比較手段２６から制御量が互いに異なる旨が入力された場合に、第１のエンジン重要制御に関する制御量としてあらかじめ設定された所定の制御量に基づいて、エンジンユニット２００の制御を実行してもよい。また、エンジン制御手段２７は、あらかじめ設定された所定の制御量に代えて、前回の制御量を用いてもよい。
この場合には、制御量演算手段２５および制御量演算手段３５の何れかに異常が発生した場合にも、エンジンを停止することなく制御を続行することができる。

また、上記実施の形態１では、エンジン制御装置２０による処理１６およびメータ制御装置３０による処理３５を開始する時間タイミングが同期していると説明した。しかしながら、同期を取らずに処理開始の時間タイミングにずれが生じた場合であっても、この発明の目的である制御の信頼性を向上させることには、大きな影響はない。

また、上記実施の形態１において、制御量演算手段２５および制御量演算手段３５を、例えば同じメーカ製の同じ型番のマイコンを用いる等、互いに同一の構成としてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態１において、記憶手段２３および記憶手段３３を、例えば同じメーカ製の同じ型番のメモリを用いる等、互いに同一の構成とし、第１のエンジン重要制御の制御量演算手順２３２を、それぞれのメモリの同一の場所に記憶させてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態１において、記憶手段２３および記憶手段３３を、例えば同じメーカ製の同じ型番のメモリを用いる等、互いに同一の構成とし、第１のエンジン重要制御に関する制御量の演算に必要なデータが記憶される、演算に必要なデータ記憶領域２４３および演算に必要なデータ記憶領域３４３を、それぞれのメモリの同一の場所に記憶させてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態１では、制御量演算手段２５に異常が発生した場合について説明したが、この実施の形態１によれば、データ送受信手段２１が、第１のエンジン重要制御に関する制御量の演算に必要なデータをメータ制御装置３０に送信した後に、データの不本意な変更や破壊等が行われた場合であっても、演算された制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態１では、制御装置が２つの場合を例に挙げて説明したが、これに限定されず、第１のエンジン重要制御に関する制御量を３つ以上の制御装置で演算し、演算された制御量どうしを比較する場合であっても、同様の効果を得ることができる。

また、上記実施の形態１では、送信停止／停止解除指示手段２２から送信停止指示が送信されると、送信停止／停止解除指示手段３２が停止解除指示を送信し、送信停止／停止解除指示手段３２から送信停止指示が送信されると、送信停止／停止解除指示手段２２が停止解除指示を送信すると説明した。すなわち、第１のエンジン重要制御に関するデータを受信した制御装置の送信停止／停止解除指示手段が、停止解除指示を送信している。

しかしながら、これに限定されず、例えば送信停止／停止解除指示手段２２が送信停止指示を送信し、所定時間が経過した後に、送信停止／停止解除指示手段２２が停止解除指示を送信してもよい。また、送信停止／停止解除指示手段３２が送信停止指示を送信し、所定時間が経過した後に、送信停止／停止解除指示手段３２が停止解除指示を送信してもよい。このとき、所定時間は、第１のエンジン重要制御に関するデータが、受信側に確実に受信されたと判断することができる長さとする。

以下、図５のタイミングチャートを参照しながら、送信停止指示を送信した送信停止／停止解除指示手段が、所定時間が経過した後に停止解除指示を送信する場合の制御システムの動作について説明する。
図５に示したタイミングチャートでは、図４に示したメータ制御装置３０による処理３３に代えてエンジン制御装置２０による処理２３を実行し、メータ制御装置３０による処理１９に代えてエンジン制御装置２０による処理４０を実行する。

処理２３では、送信停止／停止解除指示手段２２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
処理４０では、送信停止／停止解除指示手段３２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。

また、図５に示したタイミングチャートの第１の重要制御段階における時刻ｔ２１から時刻ｔ３６までの処理のうち、時刻ｔ２６および時刻ｔ３３以外の処理は、図４に示したタイミングチャートの時刻ｔ１から時刻ｔ１６までの処理とそれぞれ同様なので、説明を省略する。

時刻ｔ２６において、送信停止／停止解除指示手段２２が処理２３を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
また、時刻ｔ３３において、送信停止／停止解除指示手段３２が処理４０を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。

このように、第１のエンジン重要制御に関するデータを送信した制御装置の送信停止／停止解除指示手段が、停止解除指示を送信することにより、上記実施の形態１と同様の効果を得ることができる。また、仮に受信側の送信停止／停止解除指示手段が故障等によってデータの送信停止を解除させることができない状態に陥っていても、送信側の送信停止／停止解除指示手段が、所定時間が経過した後に停止解除指示を送信して送信停止を解除させることができるので、送信停止が継続することによるネットワーク全体への影響を低減することができる。

実施の形態２．
上記実施の形態１では、第１のエンジン重要制御に関する制御量を２つ以上の制御装置で演算し、演算された制御量どうしを比較している。しかしながら、これに限定されず、２つ以上の重要制御に関する制御量を、それぞれ２つ以上の制御装置で演算し、演算された制御量どうしを比較してもよい。
以下、２つの重要制御に関する制御量を、それぞれ２つの制御装置で演算し、演算された制御量どうしを比較する場合を例に挙げて説明する。

図６は、この発明の実施の形態２に係る制御システムを示すブロック構成図である。
図６において、この制御システムは、図１に示した制御システムに加えて、ネットワーク１０に接続された自動変速機（ＡＴ：Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置４０（第３の制御装置）を含んでいる。また、ＡＴ制御装置４０は、制御対象であるＡＴユニット４００と接続されている。

続いて、ＡＴ制御装置４０の構成および機能について説明する。
ＡＴ制御装置４０は、データ送受信手段４１と、送信停止／停止解除指示手段４２（第３送信停止／停止解除指示手段）と、記憶手段４３（第３記憶手段）と、データ保存手段４４と、制御量演算手段４５（第３制御量演算手段）と、ＡＴ制御手段４６とを有している。また、制御量演算手段４５は、マイコンで構成されている。
また、ＡＴ制御装置４０は、上記の各手段以外にも必要な構成物を有しているが、この実施の形態２に直接関係しないので、その説明を省略する。

データ送受信手段４１は、ネットワーク１０を介して、ネットワーク１０に接続された他の制御装置（エンジン制御装置２０およびメータ制御装置３０を含む）とデータを送受信する。送信停止／停止解除指示手段４２は、ネットワーク１０に接続された他の全ての制御装置（エンジン制御装置２０およびメータ制御装置３０を含む）に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示をネットワーク１０経由で送信する。記憶手段４３は、後述する様々なデータを記憶する。

データ保存手段４４は、エンジン制御装置２０から受信した第２のエンジン重要制御（第２の重要制御）に関する制御量の演算に必要なデータを記憶手段４３に保存する。制御量演算手段４５は、後述する処理手順に基づいて、ＡＴ制御およびエンジン制御に必要な制御量を演算する。ＡＴ制御手段４６は、演算された制御量に基づいて、ＡＴユニット４００の制御を実行する。

次に、図７を参照しながら、エンジン制御装置２０の記憶手段２３について、詳細に説明する。なお、実施の形態１における図２と同様の構成については、その説明を省略する。

図７において、記憶手段２３のＲＯＭエリア２３０は、その他のＲＯＭデータ２３１と、第１のエンジン重要制御の制御量演算手順２３２と、エンジン通常制御の制御量演算手順２３３と、第２のエンジン重要制御の制御量演算手順２３５（第２制御量演算手順）とから構成されている。

第２のエンジン重要制御の制御量演算手順２３５は、第２のエンジン重要制御に関する制御量の演算手順を示すものであり、第１のエンジン重要制御の制御量演算手順２３２とは、異なる処理手順を示すものである。
なお、第２のエンジン重要制御とは、演算結果によって車両、ドライバ、車両周囲等を危険にさらす恐れのある制御であり、高い信頼性が求められる制御を指している。

続いて、図８を参照しながら、ＡＴ制御装置４０の記憶手段４３について、詳細に説明する。
図８において、記憶手段４３は、あらかじめ記憶されたデータ以外のデータを記憶することができないＲＯＭエリア４３０と、データの記憶が可能なＲＡＭエリア４４０とに分類される。

ＲＯＭエリア４３０は、その他のＲＯＭデータ４３１と、ＡＴ制御の制御量演算手順４３３と、空き領域４３４と、第２のエンジン重要制御の制御量演算手順２３５とから構成されている。
ここで、その他のＲＯＭデータ４３１および空き領域４３４は、この実施の形態２に直接関係しないので、その説明を省略する。

ＡＴ制御の制御量演算手順４３３は、ＡＴの制御に関する制御量の演算手順を示すものである。
第２のエンジン重要制御の制御量演算手順２３５は、第２のエンジン重要制御に関する制御量の演算手順を示すものであり、記憶手段２３と記憶手段４３とで互いに同じものを記憶している。

また、ＲＡＭエリア４４０は、その他のＲＡＭデータ４４１と、空き領域４４２と、演算に必要なデータ記憶領域４４３と、その他のＲＡＭデータ４４４と、空き領域４４５とから構成されている。
ここで、その他のＲＡＭデータ４４１、空き領域４４２、その他のＲＡＭデータ４４４および空き領域４４５は、この実施の形態２に直接関係しないので、その説明を省略する。
演算に必要なデータ記憶領域４４３は、第２のエンジン重要制御に関する制御量の演算に必要なデータを記憶しておく領域である。

なお、図６において、データ送受信手段２１とデータ送受信手段３１とデータ送受信手段４１とは、互いに同じものを用いてもよい。また同様に、図６において、送信停止／停止解除指示手段２２と送信停止／停止解除指示手段３２と送信停止／停止解除指示手段４２とは、互いに同じものを用いてもよい。
また、その他の構成および機能については、実施の形態１と同様なので、その説明を省略する。

以下、図９のタイミングチャートを参照しながら、この発明の実施の形態２に係る制御システムの動作について説明する。ここでは、第１のエンジン重要制御および第２のエンジン重要制御に関する処理について説明する。
図９において、横軸は、エンジン制御装置２０の時間の流れを示すエンジン制御装置時間、メータ制御装置３０の時間の流れを示すメータ制御装置時間およびＡＴ制御装置４０の時間の流れを示すＡＴ制御装置時間を示している。

また、図９において、エンジン制御装置２０は、図４に示した処理１１から処理２２までの処理に加えて、処理５１から処理６２までの処理を実行する。また、メータ制御装置３０は、図４に示した処理３１から処理３９までの処理に加えて、処理７１から処理７４までの処理を実行する。また、ＡＴ制御装置４０は、処理４１から処理４４まで、および処理８１から処理８９までの処理を実行する。
なお、その他の処理については、実施の形態１と同様なので、その説明を省略する。

ここで、処理１１から処理２２まで、処理３１から処理３９まで、および処理４１から処理４４までの処理は、第１の重要制御段階の処理である。また、処理５１から処理６２まで、処理７１から処理７４まで、および処理８１から処理８９までの処理は、第２の重要制御段階の処理である。

なお、第１の重要制御段階の処理は、第１のエンジン重要制御に関する処理の度に、繰り返し実行され、第２の重要制御段階の処理は、第２のエンジン重要制御に関する処理の度に、繰り返し実行される。

続いて、ＡＴ制御装置４０による処理４１から処理４４までの処理について説明する。
処理４１では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理４２では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段３２から受信した停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

処理４３では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段３２から受信した送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
処理４４では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

次に、エンジン制御装置２０による処理５１から処理６２までの処理について説明する。
処理５１では、データ収集手段２４が、第２のエンジン重要制御に関する制御量の演算に必要なデータ（第２制御用データ）を収集し、収集したデータを記憶手段２３の演算に必要なデータ記憶領域２４３に記憶させる。

処理５２では、送信停止／停止解除指示手段２２が、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。
処理５３では、データ送受信手段２１が、送信停止／停止解除指示手段２２からの送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理５４では、データ送受信手段２１が、第２のエンジン重要制御に関する制御量の演算に必要なデータをＡＴ制御装置４０に送信する。

処理５５では、データ送受信手段２１が、ネットワーク１０経由で送信停止／停止解除指示手段４２から受信した停止解除指示従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。
処理５６では、制御量演算手段２５が、記憶手段２３に記憶された第２のエンジン重要制御に関する制御量の演算に必要なデータと、第２のエンジン重要制御の制御量演算手順２３５とに基づいて、第２のエンジン重要制御に関する制御量を演算する。

処理５７では、データ送受信手段２１が、ネットワーク１０経由で送信停止／停止解除指示手段４２から受信した送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理５８では、データ送受信手段２１が、ＡＴ制御装置４０から送信された第２のエンジン重要制御に関する制御量を受信する。

処理５９では、送信停止／停止解除指示手段２２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
処理６０では、データ送受信手段２１が、送信停止／停止解除指示手段２２からの停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

処理６１では、比較手段２６が、処理５６で演算された第２のエンジン重要制御に関する制御量と、処理５８で受信した第２のエンジン重要制御に関する制御量とを比較し、両者が同じ値である場合には、この第２のエンジン重要制御に関する制御量をエンジン制御手段２７に出力し、両者が異なる場合には、制御量が互いに異なる旨をエンジン制御手段２７に出力する。

処理６２では、エンジン制御手段２７が、比較手段２６での比較結果に応じてエンジンユニット２００の制御を実行する。具体的には、エンジン制御手段２７は、比較手段２６から第２のエンジン重要制御に関する制御量が入力された場合には、この制御量に応じてエンジンユニット２００の制御を実行し、比較手段２６から制御量が互いに異なる旨が入力された場合には、エンジンユニット２００の制御を実行しない。

続いて、メータ制御装置３０による処理７１から処理７４までの処理について説明する。
処理７１では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理７２では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段４２から受信した停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

処理７３では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段４２から受信した送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理７４では、データ送受信手段３１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

次に、ＡＴ制御装置４０による処理８１から処理８９までの処理について説明する。
処理８１では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理８２では、データ送受信手段４１が、エンジン制御装置２０から送信された第２のエンジン重要制御に関する制御量の演算に必要なデータを受信し、データ保存手段４４が、受信したデータを記憶手段４３の演算に必要なデータ記憶領域４４３に記憶させる。

処理８３では、送信停止／停止解除指示手段４２が、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
処理８４では、データ送受信手段４１が、送信停止／停止解除指示手段４２からの停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

処理８５では、制御量演算手段４５が、記憶手段４３に記憶された第２のエンジン重要制御に関する制御量の演算に必要なデータと、第２のエンジン重要制御の制御量演算手順２３５とに基づいて、第２のエンジン重要制御に関する制御量を演算する。
処理８６では、送信停止／停止解除指示手段４２が、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。

処理８７では、データ送受信手段４１が、送信停止／停止解除指示手段４２からの送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
処理８８では、データ送受信手段４１が、処理８５で演算された第２のエンジン重要制御に関する制御量をエンジン制御装置２０に送信する。
処理８９では、データ送受信手段４１が、ネットワーク１０経由で送信停止／停止解除指示手段２２から受信した停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

なお、エンジン制御装置２０による処理１６およびメータ制御装置３０による処理３５を開始する時間タイミングは、それぞれ処理１５および処理３４において停止解除指示を受信してから、あらかじめ決められた所定時間が経過した後とする。このように時間タイミングを同期させることにより、処理１６および処理３５を同じ時間タイミングで実行することができる。

また、エンジン制御装置２０による処理５６およびＡＴ制御装置４０による処理８５を開始する時間タイミングは、それぞれ処理５５および処理８４において停止解除指示を受信してから、あらかじめ決められた所定時間が経過した後とする。このように時間タイミングを同期させることにより、処理５６および処理８５を同じ時間タイミングで実行することができる。

図９に示したタイミングチャートにおいては、この実施の形態２の特徴部分を明確にするために、第１のエンジン重要制御および第２のエンジン重要制御のみを示している。しかしながら、実際はこの限りではなく、エンジン制御装置２０では、エンジンの通常制御に関する処理が、メータ制御装置３０では、メータの制御に関する処理が、ＡＴ制御装置４０では、ＡＴの制御に関する処理が、それぞれ存在する。これらの処理は、第１のエンジン重要制御に関する処理（図９の第１の重要制御段階および第２の重要制御段階での処理）を実行しない空き時間において、それぞれ実行される。

続いて、制御量演算手段２５、制御量演算手段３５および制御量演算手段４５に異常がなく、第１のエンジン重要制御に関する制御量および第２のエンジン重要制御に関する制御量が正確に演算される場合の制御システムの動作を、図９のタイミングチャートにしたがって説明する。

はじめに、第１の重要制御段階の処理について説明する。
まず、時刻ｔ４１において、データ収集手段２４が処理１１を実行し、記憶手段２３の演算に必要なデータ記憶領域２４３に、第１のエンジン重要制御に関する制御量の演算に必要なデータを記憶させる。
次に、時刻ｔ４２において、送信停止／停止解除指示手段２２が処理１２を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。

続いて、時刻ｔ４３において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理１３、処理３１および処理４１を同時に実行し、送信停止／停止解除指示手段２２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。
次に、時刻ｔ４４において、データ送受信手段２１が処理１４を実行し、第１のエンジン重要制御に関する制御量の演算に必要なデータを、ネットワーク１０経由でメータ制御装置３０に送信する。

続いて、時刻ｔ４５において、データ送受信手段３１およびデータ保存手段３４が処理３２を実行し、受信した第１のエンジン重要制御に関する制御量の演算に必要なデータを、記憶手段３３の演算に必要なデータ記憶領域３４３に記憶させる。
次に、時刻ｔ４６において、送信停止／停止解除指示手段３２が処理３３を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。

続いて、時刻ｔ４７において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理１５、処理３４および処理４２を同時に実行し、送信停止／停止解除指示手段３２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

次に、時刻ｔ４８において、制御量演算手段２５が処理１６を、制御量演算手段３５が処理３５を、上述した時間タイミングを同期させる方法により同時に実行する。制御量演算手段２５および制御量演算手段３５は、それぞれ記憶手段２３および記憶手段３３に記憶された第１のエンジン重要制御に関する制御量の演算に必要なデータと、第１のエンジン重要制御の制御量演算手順２３２とに基づいて、第１のエンジン重要制御に関する制御量を演算する。

続いて、時刻ｔ４９において、送信停止／停止解除指示手段３２が処理３６を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。
次に、時刻ｔ５０において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理１７、処理３７および処理４３を同時に実行し、送信停止／停止解除指示手段３２からの送信停止指示に従い、第１のエンジン重要制御に関係しないデータの送信を停止させる。

続いて、時刻ｔ５１において、データ送受信手段３１が処理３８を実行し、処理３５で演算された第１のエンジン重要制御に関する制御量を、ネットワーク１０経由でエンジン制御装置２０に送信する。
次に、時刻ｔ５２において、データ送受信手段２１が処理１８を実行し、メータ制御装置３０からネットワーク１０経由で送信された第１のエンジン重要制御に関する制御量を受信する。

続いて、時刻ｔ５３において、送信停止／停止解除指示手段２２が処理１９を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
次に、時刻ｔ５４において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理２０、処理３９および処理４４を同時に実行し、送信停止／停止解除指示手段２２からの停止解除指示に従い、第１のエンジン重要制御に関係しないデータの送信を再開させる。

続いて、時刻ｔ５５において、比較手段２６が処理２１を実行し、処理１６で演算された第１のエンジン重要制御に関する制御量と、処理１８で受信した第１のエンジン重要制御に関する制御量とを比較する。ここでは、制御量演算手段２５および制御量演算手段３５の何れにも異常がないので、それぞれの第１のエンジン重要制御に関する制御量は、互いに同じ値になり、比較手段２６は、この第１のエンジン重要制御に関する制御量をエンジン制御手段２７に出力する。

次に、時刻ｔ５６において、エンジン制御手段２７が処理２２を実行し、比較手段２６から第１のエンジン重要制御に関する制御量が入力されるので、この制御量に応じてエンジンユニット２００の制御を実行する。

続いて、第２の重要制御段階の処理について説明する。
まず、時刻ｔ５７において、データ収集手段２４が処理５１を実行し、記憶手段２３の演算に必要なデータ記憶領域２４３に、第２のエンジン重要制御に関する制御量の演算に必要なデータを記憶させる。
次に、時刻ｔ５８において、送信停止／停止解除指示手段２２が処理５２を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。

続いて、時刻ｔ５９において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理５３、処理７１および処理８１を同時に実行し、送信停止／停止解除指示手段２２からの送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。
次に、時刻ｔ６０において、データ送受信手段２１が処理５４を実行し、第２のエンジン重要制御に関する制御量の演算に必要なデータを、ネットワーク１０経由でＡＴ制御装置４０に送信する。

続いて、時刻ｔ６１において、データ送受信手段４１およびデータ保存手段４４が処理８２を実行し、受信した第２のエンジン重要制御に関する制御量の演算に必要なデータを、記憶手段４３の演算に必要なデータ記憶領域４４３に記憶させる。
次に、時刻ｔ６２において、送信停止／停止解除指示手段４２が処理８３を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。

続いて、時刻ｔ６３において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理５５、処理７２および処理８４を同時に実行し、送信停止／停止解除指示手段４２からの停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

次に、時刻ｔ６４において、制御量演算手段２５が処理５６を、制御量演算手段４５が処理８５を、上述した時間タイミングを同期させる方法により同時に実行する。制御量演算手段２５および制御量演算手段４５は、それぞれ記憶手段２３および記憶手段４３に記憶された第２のエンジン重要制御に関する制御量の演算に必要なデータと、第２のエンジン重要制御の制御量演算手順２３５とに基づいて、第２のエンジン重要制御に関する制御量を演算する。

続いて、時刻ｔ６５において、送信停止／停止解除指示手段４２が処理８６を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、送信停止指示をネットワーク１０経由で送信する。
次に、時刻ｔ６６において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理５７、処理７３および処理８７を同時に実行し、送信停止／停止解除指示手段４２からの送信停止指示に従い、第２のエンジン重要制御に関係しないデータの送信を停止させる。

続いて、時刻ｔ６７において、データ送受信手段４１が処理８８を実行し、処理８５で演算された第２のエンジン重要制御に関する制御量を、ネットワーク１０経由でエンジン制御装置２０に送信する。
次に、時刻ｔ６８において、データ送受信手段２１が処理５８を実行し、ＡＴ制御装置４０からネットワーク１０経由で送信された第２のエンジン重要制御に関する制御量を受信する。

続いて、時刻ｔ６９において、送信停止／停止解除指示手段２２が処理５９を実行し、ネットワーク１０に接続された他の全ての制御装置に対して、停止解除指示をネットワーク１０経由で送信する。
次に、時刻ｔ７０において、データ送受信手段２１、データ送受信手段３１およびデータ送受信手段４１がそれぞれ処理６０、処理７４および処理８９を同時に実行し、送信停止／停止解除指示手段２２からの停止解除指示に従い、第２のエンジン重要制御に関係しないデータの送信を再開させる。

続いて、時刻ｔ７１において、比較手段２６が処理６１を実行し、処理５６で演算された第２のエンジン重要制御に関する制御量と、処理５８で受信した第２のエンジン重要制御に関する制御量とを比較する。ここでは、制御量演算手段２５および制御量演算手段４５の何れにも異常がないので、それぞれの第２のエンジン重要制御に関する制御量は、互いに同じ値になり、比較手段２６は、この第２のエンジン重要制御に関する制御量をエンジン制御手段２７に出力する。

次に、時刻ｔ７２において、エンジン制御手段２７が処理６２を実行し、比較手段２６から第２のエンジン重要制御に関する制御量が入力されるので、この制御量に応じてエンジンユニット２００の制御を実行する。

続いて、制御量演算手段２５、制御量演算手段３５および制御量演算手段４５の何れかに異常がある場合の制御システムの動作を、図９のタイミングチャートにしたがって説明する。ここでは、制御量演算手段２５に異常があり、第１のエンジン重要制御に関する制御量は正確に演算できるものの、第２のエンジン重要制御に関する制御量のみを正確に演算することができない場合を例に挙げて説明する。

なお、第１の重要制御段階の処理および第２の重要制御段階における時刻ｔ５７から時刻ｔ６３までの処理は、上述した制御量演算手段２５、制御量演算手段３５および制御量演算手段４５に異常がない場合の処理と同様なので、説明を省略する。

まず、時刻ｔ６４において、制御量演算手段２５が処理５６を、制御量演算手段４５が処理８５を同時に実行する。制御量演算手段２５は、記憶手段２３に記憶された第２のエンジン重要制御に関する制御量の演算に必要なデータと、第２のエンジン重要制御の制御量演算手順２３５とに基づいて、第２のエンジン重要制御に関する制御量を演算する。ここで、制御量演算手段２５に異常があり、第２のエンジン重要制御に関する制御量のみを正確に演算することができないので、演算された第２のエンジン重要制御に関する制御量は、本来得られる制御量とは異なる値になる。

また、制御量演算手段４５は、記憶手段４３に記憶された第２のエンジン重要制御に関する制御量の演算に必要なデータと、第２のエンジン重要制御の制御量演算手順２３５とに基づいて、第２のエンジン重要制御に関する制御量を演算する。
なお、第２の重要制御段階における時刻ｔ６５から時刻ｔ７０までの処理も、上述した制御量演算手段２５、制御量演算手段３５および制御量演算手段４５に異常がない場合の処理と同様なので、説明を省略する。

続いて、時刻ｔ７１において、比較手段２６が処理６１を実行し、処理５６で演算された第２のエンジン重要制御に関する制御量と、処理５８で受信した第２のエンジン重要制御に関する制御量とを比較する。ここでは、制御量演算手段２５に異常があるので、それぞれの第２のエンジン重要制御に関する制御量は、互いに異なる値になり、比較手段２６は、制御量が互いに異なる旨をエンジン制御手段２７に出力する。

次に、時刻ｔ７２において、エンジン制御手段２７が処理６２を実行する。しかしながら、比較手段２６から制御量が互いに異なる旨が入力されるので、エンジン制御手段２７は、エンジンユニット２００の制御を実行しない。

このように、制御量演算手段２５で演算された第１のエンジン重要制御に関する制御量と、制御量演算手段３５で演算された第１のエンジン重要制御に関する制御量とを比較し、制御量演算手段２５で演算された第２のエンジン重要制御に関する制御量と、制御量演算手段４５で演算された第２のエンジン重要制御に関する制御量とを比較検証することにより、制御量演算手段２５、制御量演算手段３５および制御量演算手段４５の何れかに異常があることを検出することができる。

すなわち、制御量演算手段２５で演算された第１のエンジン重要制御に関する制御量と、制御量演算手段３５で演算された第１のエンジン重要制御に関する制御量とを比較し、また、制御量演算手段２５で演算された第２のエンジン重要制御に関する制御量と、制御量演算手段４５で演算された第２のエンジン重要制御に関する制御量とを比較し、それぞれの制御量が互いに同じ値である場合にはそれぞれの制御量に基づいて、エンジンユニット２００の制御を実行し、それぞれの制御量の少なくとも一方が互いに異なる値である場合には、両方の重要制御において、エンジンユニット２００の制御を実行しないことにより、エンジン制御装置２０内にマイコンを２個設けたり、監視回路を設けたりすることなく、かつ送信時のネットワーク通信状況に左右されることなく、制御の信頼性を確保しながら、制御システムのコストを低減することができる。

また、エンジン制御装置２０において、本来の演算である第１のエンジン重要制御に関する制御量、または第２のエンジン重要制御に関する制御量を演算しているときに、メータ制御装置３０の制御量演算手段３５およびＡＴ制御装置４０の制御量演算手段４５により同じ制御量を同時に演算し、演算結果を比較して、それぞれの制御量の少なくとも一方が同じ値になった場合に、同じ値の第１のエンジン重要制御に関する制御、または第２のエンジン重要制御に関する制御においてのみエンジンユニット２００の制御を実行することにより、異常検出のための演算ではなく、本来の演算実施時に異常を判定することができ、制御の信頼性を確保することができる。

さらにまた、エンジン制御装置２０において、第１のエンジン重要制御に関する制御量を演算しているときに、メータ制御装置３０の制御量演算手段３５により同じ制御量を同時に演算することにより、演算結果をできる限り早く比較することができ、第１のエンジン重要制御に要する処理時間を短縮することもできる。

また、エンジン制御装置２０において、第２のエンジン重要制御に関する制御量を演算しているときに、ＡＴ制御装置４０の制御量演算手段４５により同じ制御量を同時に演算することにより、演算結果を出来る限り早く比較することができ、第２のエンジン重要制御に要する処理時間を短くすることもできる。

以上のように、実施の形態２によれば、送信時の通信状況に応じて送信可否が決定されるネットワークに接続された第１の制御装置、第２の制御装置および第３の制御装置において、第１の制御装置は、第１の重要制御に関する制御量を演算するための第１制御量演算手順、第２の重要制御に関する制御量を演算するための第２制御量演算手順、自身の制御対象に対する第１の重要制御に関する制御量の演算に必要な第１制御用データおよび自身の制御対象に対する第２の重要制御に関する制御量の演算に必要な第２制御用データに基づいて、第１の重要制御に関する制御量および第２の重要制御に関する制御量を演算する第１制御量演算手段と、第１制御量演算手段で演算された第１の重要制御に関する制御量と第２の制御装置で演算された第１の重要制御に関する制御量とを比較するとともに、第１制御量演算手段で演算された第２の重要制御に関する制御量と第３の制御装置で演算された第２の重要制御に関する制御量とを比較する比較手段と、比較手段での比較結果に応じて制御対象を制御する制御手段と、ネットワークに接続された他の全ての制御装置に対して、送信停止指示または停止解除指示を送信する第１送信停止／停止解除指示手段とを有している。また、第２の制御装置は、第１制御量演算手順および第１の制御装置からネットワークを介して受信した第１制御用データを記憶する第２記憶手段と、第１制御量演算手順および第１制御用データに基づいて、第１の重要制御に関する制御量を演算する第２制御量演算手段と、ネットワークに接続された他の全ての制御装置に対して、送信停止指示または停止解除指示を送信する第２送信停止／停止解除指示手段とを有している。また、第３の制御装置は、第２制御量演算手順および第１の制御装置からネットワークを介して受信した第２制御用データを記憶する第３記憶手段と、第２制御量演算手順および第２制御用データに基づいて、第２の重要制御に関する制御量を演算する第３制御量演算手段と、ネットワークに接続された他の全ての制御装置に対して、送信停止指示または停止解除指示を送信する第３送信停止／停止解除指示手段とを有している。
そのため、制御装置内に同機能のマイコンを２個設けたり、監視回路を設けたりすることなく、かつ送信時のネットワーク通信状況に左右されることなく、第１制御量演算手段で演算された第１の重要制御に関する制御量と第２の制御装置で演算された第１の重要制御に関する制御量とを比較し、第１制御量演算手段で演算された第２の重要制御に関する制御量と第３の制御装置で演算された第２の重要制御に関する制御量とを比較検証することにより、制御の信頼性を確保しながら、コストを低減することができる制御システムを得ることができる。

また、制御手段は、比較手段で比較した第１の重要制御に関する制御量、および第２の重要制御に関する制御量がそれぞれ互いに同じ値であると判定された場合に、同じ値である第１の重要制御に関する制御量および同じ値である第２の重要制御に関する制御量に基づいて、制御対象を制御し、比較手段で比較した第１の重要制御に関する制御量どうし、および比較した第２の重要制御に関する制御量どうしの少なくとも一方が互いに異なる値であると判定された場合に、制御対象の制御をしない。また、制御手段は、比較手段で比較した第１の重要制御に関する制御量どうし、および比較した第２の重要制御に関する制御量どうしの少なくとも一方が互いに異なる値であると判定された場合に、同じ値である第１の重要制御または同じ値である第２の重要制御においてのみ、制御対象を制御する。
そのため、制御の信頼性を向上させることができる。

なお、上記実施の形態２では、エンジン制御手段２７は、比較手段２６から制御量が互いに異なる旨が入力された場合には、エンジンユニット２００の制御を実行しないと説明した。しかしながら、これに限定されず、エンジン制御手段２７は、比較手段２６から制御量が互いに異なる旨が入力された場合に、異なる重要制御のみ、もしくは両方の重要制御に対して、第１のエンジン重要制御に関する制御量および第２のエンジン重要制御に関する制御量としてそれぞれあらかじめ設定された所定の制御量に基づいて、エンジンユニット２００の制御を実行してもよい。また、エンジン制御手段２７は、あらかじめ設定された所定の制御量に代えて、前回の制御量を用いてもよい。
この場合には、制御量演算手段２５、制御量演算手段３５および制御量演算手段４５の何れかに異常が発生した場合にも、エンジンを停止することなく制御を続行することができる。

また、上記実施の形態２では、エンジン制御装置２０による処理１６およびメータ制御装置３０による処理３５を開始する時間タイミングが同期していると説明した。しかしながら、同期を取らずに処理開始の時間タイミングにずれが生じた場合であっても、この発明の目的である制御の信頼性を向上させることには、大きな影響はない。

また、上記実施の形態２では、エンジン制御装置２０による処理５６およびＡＴ制御装置４０による処理８５を開始する時間タイミングが同期していると説明した。しかしながら、同期を取らずに処理開始の時間タイミングにずれが生じた場合であっても、この発明の目的である制御の信頼性を向上させることには、大きな影響はない。

また、上記実施の形態２において、制御量演算手段２５、制御量演算手段３５および制御量演算手段４５を、例えば同じメーカ製の同じ型番のマイコンを用いる等、互いに同一の構成としてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態２において、記憶手段２３、記憶手段３３および記憶手段４３を、例えば同じメーカ製の同じ型番のメモリを用いる等、互いに同一の構成とし、第１のエンジン重要制御の制御量演算手順２３２を、記憶手段２３および記憶手段３３の同一の場所に、第２のエンジン重要制御の制御量演算手順２３５を、記憶手段２３および記憶手段４３の同一の場所に記憶させてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態２において、記憶手段２３、記憶手段３３および記憶手段４３を、例えば同じメーカ製の同じ型番のメモリを用いる等、互いに同一の構成とし、第１のエンジン重要制御に関する制御量の演算に必要なデータが記憶される、演算に必要なデータ記憶領域２４３および演算に必要なデータ記憶領域３４３を、記憶手段２３および記憶手段３３の同一の場所に、第２のエンジン重要制御に関する制御量の演算に必要なデータが記憶される、演算に必要なデータ記憶領域２４３および演算に必要なデータ記憶領域４４３を、記憶手段２３および記憶手段４３の同一の場所に記憶させてもよい。
この場合には、より正確な制御量を演算することができ、また、その制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態２では、制御量演算手段２５に異常が発生した場合について説明したが、この実施の形態２によれば、データ送受信手段２１が、第１のエンジン重要制御に関する制御量の演算に必要なデータをメータ制御装置３０に送信した後、または、第２のエンジン重要制御に関する制御量の演算に必要なデータをＡＴ制御装置４０に送信した後に、データの不本意な変更や破壊等が行われた場合であっても、演算された制御量を比較した結果に基づいてエンジンユニット２００の制御を実行することにより、制御の信頼性を向上させることができる。

また、上記実施の形態２では、制御装置が３つの場合を例に挙げて説明したが、これに限定されず、４つ以上の制御装置を用いた場合であっても、同様の効果を得ることができる。

また、上記実施の形態２では、送信停止／停止解除指示手段２２から送信停止指示が送信されると、送信停止／停止解除指示手段３２または送信停止／停止解除指示手段４２が停止解除指示を送信し、送信停止／停止解除指示手段３２または送信停止／停止解除指示手段４２から送信停止指示が送信されると、送信停止／停止解除指示手段２２が停止解除指示を送信すると説明した。しかしながら、これに限定されず、例えば送信停止／停止解除指示手段２２が送信停止指示を送信し、所定時間が経過した後に、送信停止／停止解除指示手段２２が停止解除指示を送信してもよい。また、送信停止／停止解除指示手段３２または送信停止／停止解除指示手段４２が送信停止指示を送信し、所定時間が経過した後に、送信停止／停止解除指示手段３２または送信停止／停止解除指示手段４２が停止解除指示を送信してもよい。このとき、所定時間は、第１のエンジン重要制御または第２のエンジン重要制御に関するデータが、受信側に確実に受信されたと判断することができる長さとする。

このように、第１のエンジン重要制御または第２のエンジン重要制御に関するデータを送信した制御装置の送信停止／停止解除指示手段が、停止解除指示を送信することにより、上記実施の形態２と同様の効果を得ることができる。また、仮に受信側の送信停止／停止解除指示手段が故障等によってデータの送信停止を解除させることができない状態に陥っていても、送信側の送信停止／停止解除指示手段が、所定時間が経過した後に停止解除指示を送信して送信停止を解除させることができるので、送信停止が継続することによるネットワーク全体への影響を低減することができる。

また、上記実施の形態１、２では、記憶手段と制御演算手段とを別々の構成として記載しているが、これに限定されず、制御量演算手段の内部に記憶領域を設けた場合であっても、同様の効果を得ることができる。

また、上記実施の形態１、２では、送信停止／停止解除指示手段２２、送信停止／停止解除指示手段３２および送信停止／停止解除指示手段４２が、それぞれ送信停止指示を送信する時間タイミングについては詳細に説明していない。しかしながら、送信停止指示を含む送信データの優先度を他の送信データの優先度よりも高くすること、およびすでにネットワーク１０上にデータが送信されている場合を考慮した余裕時間を持って送信停止指示を送信することにより、エンジン重要制御に関するデータの送信開始までに他の制御装置からのデータの送信を確実に停止させることができる。

１０ ネットワーク、２０ エンジン制御装置（第１の制御装置）、２２ 送信停止／停止解除指示手段（第１送信停止／停止解除指示手段）、２３ 記憶手段（第１記憶手段）、２４ データ収集手段、２５ 制御量演算手段（第１制御量演算手段）、２６ 比較手段、２７ エンジン制御手段（制御手段）、３０ メータ制御装置（第２の制御装置）、３２ 送信停止／停止解除指示手段（第２送信停止／停止解除指示手段）、３３ 記憶手段（第２記憶手段）、３５ 制御量演算手段（第２制御量演算手段）、４０ ＡＴ制御装置（第３の制御装置）、４２ 送信停止／停止解除指示手段（第３送信停止／停止解除指示手段）、４３ 記憶手段（第３記憶手段）、４５ 制御量演算手段（第３制御量演算手段）、２００ エンジンユニット（制御対象）、２３２ 第１のエンジン重要制御の制御量演算手順（第１制御量演算手順）、２３５ 第２のエンジン重要制御の制御量演算手順（第２制御量演算手順）。

Claims (18)

1. 送信時の通信状況に応じて送信可否が決定されるネットワークにそれぞれ接続され、互いに異なる対象を制御する複数の制御装置を備えた制御システムであって、
   第１の制御装置の制御対象に対する制御のうち、重要度の高い制御である重要制御に関する制御量を演算するための制御量演算手順を、前記第１の制御装置と第２以降の制御装置のうちの少なくとも１つとがそれぞれ記憶し、
   前記第１の制御装置は、自身が演算した前記重要制御に関する制御量と、前記第２以降の制御装置で演算された前記重要制御に関する制御量とを比較し、比較結果に応じて自身の制御対象を制御し、
   前記第１の制御装置と前記第２以降の制御装置との間で前記重要制御に関するデータを送受信するとき、前記重要制御に関するデータを送信する制御装置は、他の制御装置からのデータの送信を停止させた後に前記重要制御に関するデータを送信する
   ことを特徴とする制御システム。
2. 前記第１の制御装置と前記第２以降の制御装置との間で前記重要制御に関するデータを送受信するとき、前記重要制御に関するデータを受信する制御装置は、前記重要制御に関するデータを受信した後に、前記他の制御装置からのデータの送信停止を解除させる
   ことを特徴とする請求項１に記載の制御システム。
3. 前記第１の制御装置と前記第２以降の制御装置との間で前記重要制御に関するデータを送受信するとき、前記重要制御に関するデータを送信する制御装置は、前記重要制御に関するデータを送信してから所定時間が経過した後に、前記他の制御装置からのデータの送信停止を解除させる
   ことを特徴とする請求項１に記載の制御システム。
4. 前記ネットワークに接続された前記第１の制御装置および第２の制御装置を含み、
   前記第１の制御装置は、
   前記ネットワークに接続された前記他の制御装置に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示を送信する第１送信停止／停止解除指示手段と、
   自身の制御対象に対する第１の重要制御に関する制御量の演算に必要な第１制御用データを収集し、第１記憶手段に記憶するデータ収集手段と、
   前記第１の重要制御に関する制御量を演算するための第１制御量演算手順、および前記第１制御用データを記憶する第１記憶手段と、
   前記第１記憶手段に記憶された前記第１制御量演算手順および前記第１制御用データに基づいて、前記第１の重要制御に関する制御量を演算する第１制御量演算手段と、
   前記第１制御量演算手段で演算された前記第１の重要制御に関する制御量と、前記第２の制御装置で演算された前記第１の重要制御に関する制御量とを比較する比較手段と、
   前記比較手段での比較結果に応じて前記制御対象を制御する制御手段と、を有し、
   前記第２の制御装置は、
   前記ネットワークに接続された前記他の制御装置に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示を送信する第２送信停止／停止解除指示手段と、
   前記第１の制御装置から前記ネットワークを介して受信した前記第１制御用データを第２記憶手段に記憶する第２保存手段と、
   前記第１制御量演算手順、および前記第１制御用データを記憶する第２記憶手段と、
   前記第２記憶手段に記憶された前記第１制御量演算手順および前記第１制御用データに基づいて、前記第１の重要制御に関する制御量を演算する第２制御量演算手段と、を有する
   ことを特徴とする請求項２または請求項３に記載の制御システム。
5. 前記ネットワークに接続された前記第１の制御装置、第２の制御装置および第３の制御装置を含み、
   前記第１の制御装置は、
   前記ネットワークに接続された前記他の制御装置に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示を送信する第１送信停止／停止解除指示手段と、
   自身の制御対象に対する第１の重要制御に関する制御量の演算に必要な第１制御用データ、および自身の制御対象に対する第２の重要制御に関する制御量の演算に必要な第２制御用データを収集し、第１記憶手段に記憶するデータ収集手段と、
   前記第１の重要制御に関する制御量を演算するための第１制御量演算手順、前記第２の重要制御に関する制御量を演算するための第２制御量演算手順、前記第１制御用データおよび前記第２制御用データを記憶する第１記憶手段と、
   前記第１記憶手段に記憶された前記第１制御量演算手順および前記第１制御用データに基づいて、前記第１の重要制御に関する制御量を演算するとともに、前記第２制御量演算手順および前記第２制御用データに基づいて、前記第２の重要制御に関する制御量を演算する第１制御量演算手段と、
   前記第１制御量演算手段で演算された前記第１の重要制御に関する制御量と、前記第２の制御装置で演算された前記第１の重要制御に関する制御量とを比較するとともに、前記第１制御量演算手段で演算された前記第２の重要制御に関する制御量と、前記第３の制御装置で演算された前記第２の重要制御に関する制御量とを比較する比較手段と、
   前記比較手段での比較結果に応じて前記制御対象を制御する制御手段と、を有し、
   前記第２の制御装置は、
   前記ネットワークに接続された前記他の制御装置に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示を送信する第２送信停止／停止解除指示手段と、
   前記第１の制御装置から前記ネットワークを介して受信した前記第１制御用データを第２記憶手段に記憶する第２保存手段と、
   前記第１制御量演算手順、および前記第１制御用データを記憶する第２記憶手段と、
   前記第２記憶手段に記憶された前記第１制御量演算手順および前記第１制御用データに基づいて、前記第１の重要制御に関する制御量を演算する第２制御量演算手段と、を有し、
   前記第３の制御装置は、
   前記ネットワークに接続された前記他の制御装置に対して、データの送信を停止させる指示、またはデータの送信停止を解除させる指示を送信する第３送信停止／停止解除指示手段と、
   前記第１の制御装置から前記ネットワークを介して受信した前記第２制御用データを第３記憶手段に記憶する第３保存手段と、
   前記第２制御量演算手順、および前記第２制御用データを記憶する第３記憶手段と、
   前記第３記憶手段に記憶された前記第２制御量演算手順および前記第２制御用データに基づいて、前記第２の重要制御に関する制御量を演算する第３制御量演算手段と、を有する
   ことを特徴とする請求項２または請求項３に記載の制御システム。
6. 前記第２の制御装置が前記第１の制御装置から前記ネットワークを介して前記第１制御用データを受信した後、前記第１制御量演算手段と前記第２制御量演算手段とは、前記第１送信停止／停止解除指示手段または前記第２送信停止／停止解除指示手段からのデータの送信停止を解除させる指示に応じて、同期して前記第１の重要制御に関する制御量を演算する
   ことを特徴とする請求項４または請求項５に記載の制御システム。
7. 前記第３の制御装置が前記第１の制御装置から前記ネットワークを介して前記第２制御用データを受信した後、前記第１制御量演算手段と前記第３制御量演算手段とは、前記第１送信停止／停止解除指示手段または前記第３送信停止／停止解除指示手段からのデータの送信停止を解除させる指示に応じて、同期して前記第２の重要制御に関する制御量を演算する
   ことを特徴とする請求項５に記載の制御システム。
8. 前記比較手段が、比較した前記第１の重要制御に関する制御量の全てが互いに同じ値であると判定した場合に、
   前記制御手段は、同じ値である前記第１の重要制御に関する制御量に基づいて、前記制御対象を制御する
   ことを特徴とする請求項４に記載の制御システム。
9. 前記比較手段が、比較した前記第１の重要制御に関する制御量の全てが同じ値ではないと判定した場合に、
   前記制御手段は、前記制御対象の制御をしない
   ことを特徴とする請求項４に記載の制御システム。
10. 前記比較手段が、比較した前記第１の重要制御に関する制御量の全てが同じ値ではないと判定した場合に、
    前記制御手段は、前記第１の重要制御に関する制御量としてあらかじめ設定された所定の制御量に基づいて、前記制御対象を制御する
    ことを特徴とする請求項４に記載の制御システム。
11. 前記比較手段が、比較した前記第１の重要制御に関する制御量が互いに同じ値であって、かつ比較した前記第２の重要制御に関する制御量が互いに同じ値あると判定した場合に、
    前記制御手段は、同じ値である前記第１の重要制御に関する制御量または同じ値である前記第２の重要制御に関する制御量に基づいて、前記制御対象を制御する
    ことを特徴とする請求項５に記載の制御システム。
12. 前記比較手段が、比較した前記第１の重要制御に関する制御量どうし、および比較した前記第２の重要制御に関する制御量どうしの少なくとも一方が互いに異なる値であると判定した場合に、
    前記制御手段は、前記制御対象に対して、前記第１の重要制御および前記第２の重要制御の何れも実行しない
    ことを特徴とする請求項５に記載の制御システム。
13. 前記比較手段が、比較した前記第１の重要制御に関する制御量どうし、および比較した前記第２の重要制御に関する制御量どうしの少なくとも一方が互いに異なる値であると判定した場合に、
    前記制御手段は、異なる値である重要制御だけを、あらかじめ設定された所定の制御量に基づいて、前記制御対象を制御する
    ことを特徴とする請求項５に記載の制御システム。
14. 前記比較手段が、比較した前記第１の重要制御に関する制御量どうし、および比較した前記第２の重要制御に関する制御量どうしの少なくとも一方が互いに異なる値であると判定した場合に、
    前記制御手段は、前記第１の重要制御に関する制御量および前記第２の重要制御に関する制御量としてそれぞれあらかじめ設定された所定の制御量に基づいて、前記制御対象を制御する
    ことを特徴とする請求項５に記載の制御システム。
15. 前記第１制御量演算手段および前記第２制御量演算手段は、互いに同一の構成を有するマイクロコンピュータであることを特徴とする請求項４に記載の制御システム。
16. 前記第１制御量演算手段、第２制御量演算手段および前記第３制御量演算手段は、互いに同一の構成を有するマイクロコンピュータであることを特徴とする請求項５に記載の制御システム。
17. 前記第１記憶手段および前記第２記憶手段は、互いに同一の構成を有するメモリであり、
    前記第１制御量演算手順および前記第１制御用データは、それぞれの記憶手段の同一の場所に記憶される
    ことを特徴とする請求項４に記載の制御システム。
18. 前記第１記憶手段、前記第２記憶手段および前記第３記憶手段は、互いに同一の構成を有するメモリであり、
    前記第１制御量演算手順および前記第１制御用データは、前記第１記憶手段および前記第２記憶手段の同一の場所に記憶され、
    前記第２制御量演算手順および前記第２制御用データは、前記第１記憶手段および前記第３記憶手段の同一の場所に記憶される
    ことを特徴とする請求項５に記載の制御システム。

Images