JP5333303B2

JP5333303B2 - Control device

Info

Publication number: JP5333303B2
Application number: JP2010055842A
Authority: JP
Inventors: 昌亮村尾
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2010-03-12
Filing date: 2010-03-12
Publication date: 2013-11-06
Anticipated expiration: 2030-03-12
Also published as: JP2011191876A

Description

本発明は、入力値に基づいて制御対象への指令値を算出する制御装置に関し、特に、算出した指令値の妥当性を自ら判断する機能を備える制御装置に関する。 The present invention relates to a control device that calculates a command value to be controlled based on an input value, and more particularly to a control device that has a function of determining the validity of a calculated command value by itself.

従来、例えば車両制御の分野において、センサ等から入力された入力値に基づいて、エンジンや変速機、走行用モータ、ブレーキ装置、ステアリング装置等の制御対象への指令値を算出する制御装置が広く用いられている。 2. Description of the Related Art Conventionally, in the field of vehicle control, for example, a wide range of control devices that calculate command values for objects to be controlled, such as engines, transmissions, travel motors, brake devices, and steering devices, based on input values input from sensors or the like It is used.

こうした制御装置においては、指令値の妥当性について自らチェックすることが、安全面から望まれている。 In such a control device, it is desired from a safety aspect to check the validity of the command value by itself.

特許文献１には、第１ＣＰＵと第２ＣＰＵに、同じ操舵角、車速、後輪舵角等のデータを入力し、第１ＣＰＵの出力と第２ＣＰＵの出力の誤差が所定の許容レベルに入っているか否かを判定し、誤差が所定の許容レベル以上の場合には第１ＣＰＵが故障であると判定するコントローラのフェイルセーフ装置について記載されている。 In Patent Literature 1, data such as the same steering angle, vehicle speed, and rear wheel steering angle are input to the first CPU and the second CPU, and whether the error between the output of the first CPU and the output of the second CPU is within a predetermined allowable level. The controller describes a fail-safe device for a controller that determines whether or not the first CPU is faulty if the error is greater than or equal to a predetermined tolerance level.

また、特許文献２にも、同様に、１つの制御対象に対してメインとサブの２つのＣＰＵを用いて制御系を構成し、各々のＣＰＵで同じ演算を実行させ、両者の命令および処理データに不一致が生じた場合や出力に所定の閾値以上の差が生じた場合には、故障と判断して制御を停止する等のフェイルセーフ機能を備えた装置について記載されている。 Similarly, in Patent Document 2, a control system is configured by using two main and sub CPUs for one control object, and the same calculation is executed by each CPU, and both commands and processing data are processed. A device having a fail-safe function, such as determining that a failure has occurred and stopping control when there is a discrepancy or when a difference in output exceeds a predetermined threshold, is described.

特開Ｈ０６−２１９３１０号公報Japanese Patent Laid-Open No. H06-219310 特開昭６３−２７１５４０号公報JP 63-271540 A

しかしながら、上記従来の装置では、判定基準となる処理手段（第２ＣＰＵやサブＣＰＵ）に故障等の異常が生じた場合について考慮されていない。 However, in the above-described conventional apparatus, no consideration is given to a case where an abnormality such as a failure occurs in the processing means (second CPU or sub CPU) serving as a determination criterion.

この結果、指令値を算出する方の処理手段（第１ＣＰＵ、メインＣＰＵ）が正常であるにも拘わらず、制御を停止してしまう等の不都合が生じる場合がある。従って、制御の連続性が維持できない場合がある。 As a result, inconveniences such as stopping the control may occur even though the processing means (first CPU, main CPU) for calculating the command value is normal. Therefore, continuity of control may not be maintained.

本発明はこのような課題を解決するためのものであり、制御の安全性を確保しつつ、その連続性を向上させることが可能な制御装置を提供することを、主たる目的とする。 The present invention is intended to solve such problems, and a main object thereof is to provide a control device capable of improving the continuity while ensuring the safety of control.

上記目的を達成するための本発明の第１の態様は、
入力値に基づいて制御対象への指令値を算出する第１の処理手段と、
前記入力値に基づいて、前記第１の処理手段が正常に作動しているか否かを判定するための判定基準を出力する第２の処理手段と、
前記第１の処理手段により算出された指令値と前記第２の処理手段により出力された判定基準の一致程度に基づいて、前記第１の処理手段が正常に作動しているか否かを判定する第３の処理手段と、を備える制御装置であって、
前記第３の処理手段は、
過去に第１の処理手段が正常に作動していると判定した際における、前記第１の処理手段に入力された入力値と該入力値に基づいて前記第１の処理手段により算出された指令値とを対応づけて記憶しており、
前記指令値と前記判定基準が不一致であると判定したときには、前記過去に第１の処理手段が正常に作動していると判定した際における入力値を前記第１の処理手段に送信して指令値を再度算出させ、該入力値に応じて前記第１の処理手段が算出した指令値が前記過去に第１の処理手段が正常に作動していると判定した際における指令値と一致した場合には、前記第１の処理手段ではなく前記第２の処理手段が異常状態にあると判定することを特徴とする、
制御装置である。 In order to achieve the above object, the first aspect of the present invention provides:
First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
The input value input to the first processing means and the command calculated by the first processing means based on the input value when it has been determined that the first processing means is operating normally in the past. It stores the value in association with it,
When it is determined that the command value and the determination criterion do not match, the input value when it is determined that the first processing unit has been operating normally in the past is transmitted to the first processing unit and the command is transmitted. A value is calculated again, and the command value calculated by the first processing unit according to the input value matches the command value when it is determined that the first processing unit has been operating normally in the past Is characterized in that it is determined that the second processing means, not the first processing means, is in an abnormal state.
It is a control device.

ここで、第１ないし第３の処理手段は、例えば別体のプロセッサであってもよいし、マルチコア・プロセッサが備える複数のＣＰＵコアであってもよいし、マルチスレッド処理装置の複数のスレッドであってもよい。また、これらの組み合わせであってもよい（例えば、第１処理手段と第２処理手段がマルチコア・プロセッサの複数のＣＰＵコアであり、第３の処理手段が単体のプロセッサである等）。後述の本発明の第２又は第３の態様においても同様である。 Here, the first to third processing means may be separate processors, for example, may be a plurality of CPU cores included in the multi-core processor, or may be a plurality of threads of the multi-thread processing device. There may be. A combination of these may also be used (for example, the first processing means and the second processing means are a plurality of CPU cores of a multi-core processor, and the third processing means is a single processor). The same applies to the second or third aspect of the present invention described later.

この本発明の第１の態様によれば、第３の処理手段が、過去に第１の処理手段が正常に作動していると判定した際における入力値と指令値を対応づけて記憶しており、指令値と判定基準が不一致であると判定したときには、過去に第１の処理手段が正常に作動していると判定した際における入力値を第１の処理手段に送信し、この入力値に応じて第１の処理手段が算出した指令値が過去に第１の処理手段が正常に作動していると判定した際における指令値と一致した場合には、第１の処理手段ではなく第２の処理手段が異常状態にあると判定するため、制御の安全性を確保しつつ、その連続性を向上させることができる。 According to the first aspect of the present invention, the third processing means stores the input value and the command value in association with each other when the first processing means has determined that the first processing means is operating normally in the past. When it is determined that the command value and the determination criterion do not match, the input value when the first processing means has been determined to be operating normally in the past is transmitted to the first processing means. If the command value calculated by the first processing unit in response to the command value when it was determined in the past that the first processing unit was operating normally, the first processing unit is not the first processing unit. Since it is determined that the second processing means is in an abnormal state, the continuity can be improved while ensuring the safety of the control.

本発明の第２の態様は、
入力値に基づいて制御対象への指令値を算出する第１の処理手段と、
前記入力値に基づいて、前記第１の処理手段が正常に作動しているか否かを判定するための判定基準を出力する第２の処理手段と、
前記第１の処理手段により算出された指令値と前記第２の処理手段により出力された判定基準の一致程度に基づいて、前記第１の処理手段が正常に作動しているか否かを判定する第３の処理手段と、を備える制御装置であって、
前記第３の処理手段は、
過去に第１の処理手段が正常に作動していると判定した際における、前記第１の処理手段に入力された入力値と該入力値に基づいて前記第２の処理手段により出力された判定基準とを対応づけて記憶しており、
前記指令値と前記判定基準が不一致であると判定したときには、前記過去に第１の処理手段が正常に作動していると判定した際における入力値を前記第２の処理手段に送信して判定基準を再度出力させ、該入力値に応じて前記第２の処理手段が出力した判定基準が前記過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、前記第１の処理手段ではなく前記第２の処理手段が異常状態にあると判定することを特徴とする、
制御装置である。 The second aspect of the present invention is:
First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
When it is determined in the past that the first processing unit is operating normally, the input value input to the first processing unit and the determination output from the second processing unit based on the input value It is memorized in association with the standard,
When it is determined that the command value and the determination criterion do not match, the input value when the first processing unit is determined to be operating normally in the past is transmitted to the second processing unit for determination. When the reference is output again, and the determination criterion output by the second processing unit in accordance with the input value does not match the determination criterion when it is determined that the first processing unit has operated normally in the past Is characterized in that it is determined that the second processing means, not the first processing means, is in an abnormal state.
It is a control device.

この本発明の第２の態様によれば、第３の処理手段が、過去に第１の処理手段が正常に作動していると判定した際における入力値と判定基準を対応づけて記憶しており、指令値と判定基準が不一致であると判定したときには、過去に第１の処理手段が正常に作動していると判定した際における入力値を第２の処理手段に送信し、入力値に応じて第２の処理手段が出力した判定基準が過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、第１の処理手段ではなく第２の処理手段が異常状態にあると判定するため、制御の安全性を確保しつつ、その連続性を向上させることができる。 According to the second aspect of the present invention, the third processing unit stores the input value and the determination criterion in association with each other when the first processing unit has determined that the first processing unit is operating normally in the past. When it is determined that the command value and the determination criterion do not match, the input value when the first processing means has been determined to be operating normally in the past is transmitted to the second processing means, Accordingly, if the determination criterion output by the second processing unit does not match the determination criterion when it was determined that the first processing unit has operated normally in the past, the second processing unit is not the first processing unit. Since it is determined that the processing means is in an abnormal state, the continuity can be improved while ensuring the safety of the control.

本発明の第３の態様は、
入力値に基づいて制御対象への指令値を算出する第１の処理手段と、
前記入力値に基づいて、前記第１の処理手段が正常に作動しているか否かを判定するための判定基準を出力する第２の処理手段と、
前記第１の処理手段により算出された指令値と前記第２の処理手段により出力された判定基準の一致程度に基づいて、前記第１の処理手段が正常に作動しているか否かを判定する第３の処理手段と、を備える制御装置であって、
前記第３の処理手段は、
過去に第１の処理手段が正常に作動していると判定した際における、前記第１の処理手段に入力された入力値と、該入力値に基づいて前記第１の処理手段により算出された指令値及び前記第２の処理手段により出力された判定基準とを対応づけて記憶しており、
前記指令値と前記判定基準が不一致であると判定したときには、前記過去に第１の処理手段が正常に作動していると判定した際における入力値を前記第１の処理手段及び前記第２の処理手段に送信して、指令値を再度算出させると共に及び判定基準値を再度出力させ、
該入力値に応じて前記第１の処理手段が算出した指令値が前記過去に第１の処理手段が正常に作動していると判定した際における指令値と一致した場合、及び該入力値に応じて前記第２の処理手段が出力した判定基準が前記過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、前記第１の処理手段ではなく前記第２の処理手段が異常状態にあると判定し、
該入力値に応じて前記第１の処理手段が算出した指令値が前記過去に第１の処理手段が正常に作動していると判定した際における指令値と一致せず、且つ該入力値に応じて前記第２の処理手段が出力した判定基準が前記過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、前記第１の処理手段と前記第２の処理手段の双方が異常状態にあると判定することを特徴とする、
制御装置である。 The third aspect of the present invention is:
First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
The input value input to the first processing means when it was determined that the first processing means was operating normally in the past, and calculated by the first processing means based on the input value The command value and the determination criterion output by the second processing means are stored in association with each other,
When it is determined that the command value and the determination criterion do not match, the input values when it is determined that the first processing unit has normally operated in the past are used as the first processing unit and the second processing unit. Sent to the processing means to calculate the command value again and output the determination reference value again,
When the command value calculated by the first processing unit in accordance with the input value matches the command value when it is determined that the first processing unit has been operating normally in the past, and the input value In response, if the determination criterion output by the second processing means does not match the determination criterion when it was determined that the first processing means has been operating normally in the past, the first processing means And determining that the second processing means is in an abnormal state,
The command value calculated by the first processing means in accordance with the input value does not match the command value when the first processing means has been determined to be operating normally in the past, and the input value Accordingly, if the determination criterion output by the second processing means does not coincide with the determination criterion when it is determined that the first processing means has operated normally in the past, the first processing means It is determined that both of the second processing means are in an abnormal state,
It is a control device.

この本発明の第３の態様によれば、第３の処理手段が、過去に第１の処理手段が正常に作動していると判定した際における入力値と、指令値及び判定基準とを対応づけて記憶しており、指令値と判定基準が不一致であると判定したときには、過去に第１の処理手段が正常に作動していると判定した際における入力値を第１の処理手段及び第２の処理手段に送信して指令値を再度算出させると共に及び判定基準値を再度出力させ、入力値に応じて第１の処理手段が算出した指令値が過去に第１の処理手段が正常に作動していると判定した際における指令値と一致した場合、及び入力値に応じて第２の処理手段が出力した判定基準が過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、第１の処理手段ではなく前記第２の処理手段が異常状態にあると判定し、入力値に応じて第１の処理手段が算出した指令値が過去に第１の処理手段が正常に作動していると判定した際における指令値と一致せず、且つ入力値に応じて第２の処理手段が出力した判定基準が過去に第１の処理手段が正常に作動していると判定した際における判定基準と一致しない場合には、第１の処理手段と前記第２の処理手段の双方が異常状態にあると判定するため、制御の安全性を更に確保しつつ、その連続性を向上させることができる。 According to this third aspect of the present invention, the third processing means associates the input value, the command value, and the judgment criterion when it has been determined that the first processing means has been operating normally in the past. And when it is determined that the command value and the determination criterion do not coincide with each other, the input value when it is determined in the past that the first processing unit is operating normally is the first processing unit and the first processing unit. The command value is calculated again and the determination reference value is output again, and the command value calculated by the first processing unit in accordance with the input value becomes normal in the past. When the command value coincides with the command value when it is determined to be operating, and the determination criterion output by the second processing means according to the input value is determined as the first processing means operating normally in the past. If it does not match the criteria at the time of Rather, it is determined that the second processing means is in an abnormal state, and the command value calculated by the first processing means in accordance with the input value is determined to have worked normally in the past. And the determination criterion output by the second processing unit according to the input value does not match the determination criterion when it has been determined that the first processing unit has been operating normally in the past. In this case, since both the first processing means and the second processing means are determined to be in an abnormal state, the continuity can be improved while further ensuring the safety of the control.

本発明によれば、制御の安全性を確保しつつ、その連続性を向上させることが可能な制御装置を提供することができる。 ADVANTAGE OF THE INVENTION According to this invention, the control apparatus which can improve the continuity can be provided, ensuring the safety | security of control.

本発明の第１実施例に係る制御装置１のシステム構成例である。It is an example of a system configuration | structure of the control apparatus 1 which concerns on 1st Example of this invention. 第２のマイクロコンピュータ２０の異常判定のために第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。3 is a flowchart showing a flow of processing executed by a third microcomputer for abnormality determination of the second microcomputer 20. 本発明の第２実施例に係る制御装置２のシステム構成例である。It is a system configuration example of the control apparatus 2 which concerns on 2nd Example of this invention. 第２のマイクロコンピュータ２０の異常判定のために第２実施例に係る第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。6 is a flowchart showing a flow of processing executed by a third microcomputer according to the second embodiment for determining an abnormality of the second microcomputer 20; 本発明の第３実施例に係る制御装置３のシステム構成例である。It is a system configuration example of the control apparatus 3 which concerns on 3rd Example of this invention. 第１のマイクロコンピュータ１０及び第２のマイクロコンピュータ２０の異常判定のために第３実施例に係る第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。6 is a flowchart showing a flow of processing executed by a third microcomputer according to the third embodiment for determining abnormality of the first microcomputer 10 and the second microcomputer 20. 本発明の他の実施例に係る制御装置のシステム構成例である。It is a system structural example of the control apparatus which concerns on the other Example of this invention.

以下、本発明を実施するための形態について、添付図面を参照しながら実施例を挙げて説明する。 DESCRIPTION OF EMBODIMENTS Hereinafter, embodiments for carrying out the present invention will be described with reference to the accompanying drawings.

＜第１実施例＞
以下、図面を参照し、本発明の第１実施例に係る制御装置１について説明する。本実施例の制御装置１は、例えば、車両に搭載され、種々の車載機器制御のための処理を実行する制御装置に、好適に適用される。後述する第２及び第３実施例についても同様である。 <First embodiment>
Hereinafter, a control apparatus 1 according to a first embodiment of the present invention will be described with reference to the drawings. The control device 1 according to the present embodiment is preferably applied to, for example, a control device that is mounted on a vehicle and executes various processes for controlling in-vehicle devices. The same applies to second and third embodiments described later.

車載機器制御の例としては、例えばエンジン制御、ブレーキ制御、パワーステアリング等を制御するステアリング制御、ドアロック等を制御するボデー制御、ＶＳＣ（Vehicle Stability Control）やＶＤＩＭ（Vehicle Dynamics Integrated Management）等の車両安定化制御、ＡＣＣ（Adaptive Cruise Control）等の運転支援制御、ナビゲーション制御等が挙げられる。 Examples of in-vehicle device control include engine control, brake control, steering control for controlling power steering, body control for controlling door locks, vehicles such as VSC (Vehicle Stability Control) and VDIM (Vehicle Dynamics Integrated Management). Stabilization control, driving support control such as ACC (Adaptive Cruise Control), navigation control, and the like can be given.

図１は、本発明の第１実施例に係る制御装置１のシステム構成例である。制御装置１は、主要な構成として、第１のマイクロコンピュータ１０と、第２のマイクロコンピュータ２０と、第３のマイクロコンピュータ３０と、を備える。 FIG. 1 is a system configuration example of a control device 1 according to a first embodiment of the present invention. The control device 1 includes a first microcomputer 10, a second microcomputer 20, and a third microcomputer 30 as main components.

これらのマイクロコンピュータは、例えば、ＣＰＵ（Central Processing Unit）を中心としてＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）等がバスを介して相互に接続されたマイクロコンピュータであり、その他、ＨＤＤ（Hard Disc Drive）やＤＶＤ−Ｒ（Digital Versatile Disk-Recordable）ドライブ、ＣＤ−Ｒ（Compact Disc-Recordable）ドライブ、ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）等の記憶装置やＩ／Ｏポート、タイマー、カウンター等を備える。なお、ＲＯＭやＲＡＭその他の記憶装置については、各マイクロコンピュータが共有しても構わない。 These microcomputers are, for example, microcomputers in which a ROM (Read Only Memory), a RAM (Random Access Memory), and the like are connected to each other via a bus with a central processing unit (CPU) as the center. Hard disk drives (DVDs), DVD-R (Digital Versatile Disk-Recordable) drives, CD-R (Compact Disc-Recordable) drives, EEPROM (Electronically Erasable and Programmable Read Only Memory) storage devices, I / O ports, timers, A counter is provided. Note that each microcomputer may share the ROM, RAM, and other storage devices.

第１のマイクロコンピュータ１０は、入力された入力値Ｉｎｐに基づいて、制御対象４０に出力すべき指令値Ｃｏｍを算出し、この指令値Ｃｏｍを入力値Ｉｎｐと共に第３のマイクロコンピュータ３０に出力する。 The first microcomputer 10 calculates a command value Com to be output to the controlled object 40 based on the input value Inp that has been input, and outputs the command value Com to the third microcomputer 30 together with the input value Inp. .

入力値Ｉｎｐは、例えばＡ／Ｄ変換器を介して入力されるセンサ出力値であり、制御対象４０は、例えば、エンジンや変速機、走行用モータ、ブレーキ装置、ステアリング装置等である。以下の説明では、車速センサから入力される車速、及びＡＣＣが行う定速走行制御における目標車速のセットが入力値Ｉｎｐであり、制御対象４０に出力する指令値Ｃｏｍは目標トルクＴｒ＊であるものとする。目標トルクＴｒ＊は、例えば、車速と目標車速の差分に対してＰＩＤ演算を行うことによって算出される。 The input value Inp is, for example, a sensor output value input via an A / D converter, and the control target 40 is, for example, an engine, a transmission, a travel motor, a brake device, a steering device, or the like. In the following description, the set of the vehicle speed input from the vehicle speed sensor and the target vehicle speed in the constant speed running control performed by the ACC is the input value Inp, and the command value Com output to the control target 40 is the target torque Tr *. And The target torque Tr * is calculated, for example, by performing PID calculation on the difference between the vehicle speed and the target vehicle speed.

目標トルクＴｒ＊は、本発明の制御装置１が搭載される車両の種類に応じて、エンジンの目標トルク、走行用モータの目標トルク、これらの合計トルク等として制御対象４０に与えられる。目標トルクを実現するためのエンジン制御やモータ制御については、本発明の中心的事項ではないため、説明を省略する。 The target torque Tr * is given to the controlled object 40 as the target torque of the engine, the target torque of the traveling motor, the total torque of these, etc., depending on the type of vehicle on which the control device 1 of the present invention is mounted. The engine control and motor control for realizing the target torque are not central items of the present invention, and thus the description thereof is omitted.

第２のマイクロコンピュータ２０は、上記入力値Ｉｎｐに基づいて、第１のマイクロコンピュータ１０が正常に作動しているか否かを判定するための判定基準を生成し、生成した判定基準Ｒｅｆを第３のマイクロコンピュータ３０に出力する。 The second microcomputer 20 generates a determination criterion for determining whether or not the first microcomputer 10 is operating normally based on the input value Inp, and the generated determination criterion Ref is a third value. Output to the microcomputer 30.

ここで、判定基準Ｒｅｆは、第１のマイクロコンピュータ１０と全く同じ演算を行った結果であってもよいし、より簡易な演算を行った結果であってもよい。また、特定の数値ではなく、ある程度の幅を持った数値範囲であってもよい。以下では、全く同じ演算を行った結果の数値を判定基準Ｒｅｆとして出力するものとする。 Here, the determination criterion Ref may be a result of the same calculation as that of the first microcomputer 10 or may be a result of a simpler calculation. Further, a numerical value range having a certain range may be used instead of a specific numerical value. In the following, it is assumed that a numerical value obtained as a result of performing exactly the same calculation is output as the determination criterion Ref.

第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの一致程度に基づいて、第１のマイクロコンピュータ１０が正常に作動しているか否かを判定する。具体的には、例えば、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であれば第１のマイクロコンピュータ１０が正常に作動しており、閾値以上であれば第１のマイクロコンピュータ１０が正常に作動していない（異常状態にある）と判定する。 The third microcomputer 30 determines whether or not the first microcomputer 10 is operating normally based on the degree of coincidence between the command value Com and the determination criterion Ref. Specifically, for example, if the difference between the command value Com and the criterion Ref is less than a threshold value, the first microcomputer 10 is operating normally, and if the difference is greater than or equal to the threshold value, the first microcomputer 10 is operating normally. It is determined that it is not operating (in an abnormal state).

但し、第３のマイクロコンピュータ３０は、第２のマイクロコンピュータ２０に異常がないかどうかを判定するために、記憶装置３２に過去の入力値Ｉｎｐ（１）〜Ｉｎｐ（ｎ）、及び指令値Ｃｏｍ（１）〜Ｃｏｍ（ｎ）を対応づけて記憶させている。括弧内の数字は、何度目に記憶されたかを示す。なお、記憶装置３２に記憶させるのは、第１のマイクロコンピュータ１０が正常に作動していると判定した際のデータセットのみとする。ここで、記憶装置３２は、第３のマイクロコンピュータ３０専用のものであってもよいが、各マイクロコンピュータ間で共有する記憶装置であっても構わない。 However, the third microcomputer 30 stores the past input values Inp (1) to Inp (n) and the command value Com in the storage device 32 in order to determine whether or not the second microcomputer 20 is normal. (1) to Com (n) are stored in association with each other. The numbers in parentheses indicate the number of times they are memorized. Note that only the data set when it is determined that the first microcomputer 10 is operating normally is stored in the storage device 32. Here, the storage device 32 may be dedicated to the third microcomputer 30 or may be a storage device shared between the microcomputers.

図２は、第２のマイクロコンピュータ２０の異常判定のために第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。本フローは、指令値Ｃｏｍ及び入力値Ｉｎｐが第１のマイクロコンピュータ１０から入力される度に繰り返し実行される。 FIG. 2 is a flowchart showing a flow of processing executed by the third microcomputer for determining an abnormality of the second microcomputer 20. This flow is repeatedly executed every time the command value Com and the input value Inp are input from the first microcomputer 10.

まず、第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であるか否かを判定する（Ｓ１００）。指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満である場合は、指令値Ｃｏｍを制御対象４０に出力し（Ｓ１０２）、入力値Ｉｎｐと指令値Ｃｏｍのセットを記憶装置３２に記憶させ（Ｓ１０４）、本フローの１ルーチンを終了する。 First, the third microcomputer 30 determines whether or not the difference between the command value Com and the determination criterion Ref is less than a threshold value (S100). When the difference between the command value Com and the determination criterion Ref is less than the threshold value, the command value Com is output to the control target 40 (S102), and the set of the input value Inp and the command value Com is stored in the storage device 32 (S104). Then, one routine of this flow is finished.

指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値以上である場合には、制御装置１の制御を一時的に停止させると共に（Ｓ１０６）、第１のマイクロコンピュータ１０に対して、過去に記憶手段３２に記憶された入力値Ｉｎｐ（１）〜（ｎ）のいずれか（例えば直近値Ｉｎｐ（ｎ））を、再計算要求信号と共に出力する（Ｓ１０８）。 When the difference between the command value Com and the determination criterion Ref is equal to or larger than the threshold value, the control of the control device 1 is temporarily stopped (S106), and the first microcomputer 10 is stored in the storage means 32 in the past. Any one of the stored input values Inp (1) to (n) (for example, the latest value Inp (n)) is output together with the recalculation request signal (S108).

第１のマイクロコンピュータ１０は、再計算要求信号を受信すると、入力値Ｉｎｐ（ｎ）に基づいて指令値Ｃｏｍを再計算し、第３のマイクロコンピュータ３０に出力する。 When receiving the recalculation request signal, the first microcomputer 10 recalculates the command value Com based on the input value Inp (n), and outputs it to the third microcomputer 30.

第３のマイクロコンピュータ３０は、第１のマイクロコンピュータ１０から入力された指令値の再計算値ＣｏｍＲが、記憶装置３２に記憶されたデータのうち入力値Ｉｎｐ（ｎ）に対応する値Ｃｏｍ（ｎ）と一致するか否かを判定する（Ｓ１１０）。 In the third microcomputer 30, the recalculated value ComR of the command value input from the first microcomputer 10 is a value Com (n) corresponding to the input value Inp (n) among the data stored in the storage device 32. ) Is determined (S110).

指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致しない場合は、第１のマイクロコンピュータ１０が異常状態にあると判定する（Ｓ１１２）。この場合、第３のマイクロコンピュータ３０が第１のマイクロコンピュータ１０の機能を代行したり、制御装置１の機能停止処理を行ったりする。 If the recalculated value ComR of the command value does not match the value Com (n), it is determined that the first microcomputer 10 is in an abnormal state (S112). In this case, the third microcomputer 30 performs the function of the first microcomputer 10 or performs the function stop process of the control device 1.

これによって、異常値が指令値Ｃｏｍとして制御対象４０に出力されることを防止することができる。この結果、制御の安全性を確保することができる。 Thereby, it is possible to prevent an abnormal value from being output to the control object 40 as the command value Com. As a result, control safety can be ensured.

一方、指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致する場合は、第１のマイクロコンピュータ１０ではなく第２のマイクロコンピュータ２０が異常状態にあると判定する（Ｓ１１４）。この場合、第３のマイクロコンピュータ３０が第２のマイクロコンピュータ２０の機能を代行したり、第１のマイクロコンピュータ１０の異常判定を行わずに制御を継続したりする。 On the other hand, when the recalculated value ComR of the command value matches the value Com (n), it is determined that not the first microcomputer 10 but the second microcomputer 20 is in an abnormal state (S114). In this case, the third microcomputer 30 substitutes for the function of the second microcomputer 20 or continues the control without determining the abnormality of the first microcomputer 10.

これによって、正常に作動している第１のマイクロコンピュータ１０によって制御対象４０の制御を継続することができる。この結果、制御の連続性を向上させることができる。 Thereby, the control of the control object 40 can be continued by the first microcomputer 10 operating normally. As a result, control continuity can be improved.

以上説明した本実施例の制御装置１によれば、第３のマイクロコンピュータ３０が、上記のような処理によって第２のマイクロコンピュータ２０に異常がないかどうかを判定するため、制御の安全性を確保しつつ、その連続性を向上させることができる。 According to the control device 1 of the present embodiment described above, the third microcomputer 30 determines whether there is no abnormality in the second microcomputer 20 by the processing as described above. The continuity can be improved while ensuring.

＜第２実施例＞
以下、図面を参照し、本発明の第２実施例に係る制御装置２について説明する。 <Second embodiment>
Hereinafter, a control device 2 according to a second embodiment of the present invention will be described with reference to the drawings.

図３は、本発明の第２実施例に係る制御装置２のシステム構成例である。制御装置２は、主要な構成として、第１のマイクロコンピュータ１０と、第２のマイクロコンピュータ２０と、第３のマイクロコンピュータ３０と、を備える。制御装置２は、各構成要素の基本的機能に関しては第１実施例に係る制御装置１と共通するため、同一の符号を付して適宜説明を省略する。 FIG. 3 is a system configuration example of the control device 2 according to the second embodiment of the present invention. The control device 2 includes a first microcomputer 10, a second microcomputer 20, and a third microcomputer 30 as main components. Since the basic function of each component is common to the control device 1 according to the first embodiment, the control device 2 is denoted by the same reference numeral and description thereof is omitted as appropriate.

第２実施例に係る第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの一致程度に基づいて、第１のマイクロコンピュータ１０が正常に作動しているか否かを判定する。具体的には、例えば、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であれば第１のマイクロコンピュータ１０が正常に作動しており、閾値以上であれば第１のマイクロコンピュータ１０が正常に作動していない（異常状態にある）と判定する。 The third microcomputer 30 according to the second embodiment determines whether or not the first microcomputer 10 is operating normally based on the degree of coincidence between the command value Com and the determination criterion Ref. Specifically, for example, if the difference between the command value Com and the criterion Ref is less than a threshold value, the first microcomputer 10 is operating normally, and if the difference is greater than or equal to the threshold value, the first microcomputer 10 is operating normally. It is determined that it is not operating (in an abnormal state).

但し、第３のマイクロコンピュータ３０は、第２のマイクロコンピュータ２０に異常がないかどうかを判定するために、記憶装置３２に過去の入力値Ｉｎｐ（１）〜Ｉｎｐ（ｎ）、及び判定基準Ｒｅｆ（１）〜Ｒｅｆ（ｎ）を対応づけて記憶させている。括弧内の数字は、何度目に記憶されたかを示す。なお、記憶装置３２に記憶させるのは、第１のマイクロコンピュータ１０が正常に作動していると判定した際のデータセットのみとする。ここで、記憶装置３２は、第３のマイクロコンピュータ３０専用のものであってもよいが、各マイクロコンピュータ間で共有する記憶装置であっても構わない。 However, the third microcomputer 30 stores the past input values Inp (1) to Inp (n) and the determination criterion Ref in the storage device 32 in order to determine whether the second microcomputer 20 has any abnormality. (1) to Ref (n) are stored in association with each other. The numbers in parentheses indicate the number of times they are memorized. Note that only the data set when it is determined that the first microcomputer 10 is operating normally is stored in the storage device 32. Here, the storage device 32 may be dedicated to the third microcomputer 30 or may be a storage device shared between the microcomputers.

図４は、第２のマイクロコンピュータ２０の異常判定のために第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。本フローは、指令値Ｃｏｍ及び入力値Ｉｎｐが第１のマイクロコンピュータ１０から入力される度に繰り返し実行される。 FIG. 4 is a flowchart showing a flow of processing executed by the third microcomputer for determining the abnormality of the second microcomputer 20. This flow is repeatedly executed every time the command value Com and the input value Inp are input from the first microcomputer 10.

まず、第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であるか否かを判定する（Ｓ２００）。指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満である場合は、指令値Ｃｏｍを制御対象４０に出力し（Ｓ２０２）、入力値Ｉｎｐと、同時に第２のマイクロコンピュータ２０から入力された判定基準Ｒｅｆのセットを記憶装置３２に記憶させ（Ｓ２０４）、本フローの１ルーチンを終了する。 First, the third microcomputer 30 determines whether or not the difference between the command value Com and the determination criterion Ref is less than a threshold value (S200). When the difference between the command value Com and the determination criterion Ref is less than the threshold value, the command value Com is output to the control target 40 (S202), and the determination criterion Ref input from the second microcomputer 20 simultaneously with the input value Inp. Are stored in the storage device 32 (S204), and one routine of this flow is completed.

指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値以上である場合には、制御装置１の制御を一時的に停止させると共に（Ｓ２０６）、第２のマイクロコンピュータ２０に対して、過去に記憶手段３２に記憶された入力値Ｉｎｐ（１）〜（ｎ）のいずれか（例えば直近値Ｉｎｐ（ｎ））を、再計算要求信号と共に出力する（Ｓ２０８）。 When the difference between the command value Com and the determination criterion Ref is equal to or larger than the threshold value, the control of the control device 1 is temporarily stopped (S206), and the second microcomputer 20 is stored in the storage means 32 in the past. Any one of the stored input values Inp (1) to (n) (for example, the latest value Inp (n)) is output together with the recalculation request signal (S208).

第２のマイクロコンピュータ２０は、再計算要求信号を受信すると、入力値Ｉｎｐ（ｎ）に基づいて判定基準Ｒｅｆを再計算し、第３のマイクロコンピュータ３０に出力する。 When the second microcomputer 20 receives the recalculation request signal, the second microcomputer 20 recalculates the determination reference Ref based on the input value Inp (n) and outputs it to the third microcomputer 30.

第３のマイクロコンピュータ３０は、第２のマイクロコンピュータ２０から入力された判定基準の再計算値ＲｅｆＲが、記憶装置３２に記憶されたデータのうち入力値Ｉｎｐ（ｎ）に対応する値Ｒｅｆ（ｎ）と一致するか否かを判定する（Ｓ２１０）。 In the third microcomputer 30, the recalculation value RefR of the determination criterion input from the second microcomputer 20 is a value Ref (n) corresponding to the input value Inp (n) among the data stored in the storage device 32. ) Is determined (S210).

判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致する場合は、第１のマイクロコンピュータ１０が異常状態にあると判定する（Ｓ２１２）。この場合、第３のマイクロコンピュータ３０が第１のマイクロコンピュータ１０の機能を代行したり、制御装置１の機能停止処理を行ったりする。 When the recalculation value RefR of the determination criterion matches the value Ref (n), it is determined that the first microcomputer 10 is in an abnormal state (S212). In this case, the third microcomputer 30 performs the function of the first microcomputer 10 or performs the function stop process of the control device 1.

一方、判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致しない場合は、第１のマイクロコンピュータ１０ではなく第２のマイクロコンピュータ２０が異常状態にあると判定する（Ｓ２１４）。この場合、第３のマイクロコンピュータ３０が第２のマイクロコンピュータ２０の機能を代行したり、第１のマイクロコンピュータ１０の異常判定を行わずに制御を継続したりする。 On the other hand, when the recalculation value RefR of the determination criterion does not coincide with the value Ref (n), it is determined that the second microcomputer 20 instead of the first microcomputer 10 is in an abnormal state (S214). In this case, the third microcomputer 30 substitutes for the function of the second microcomputer 20 or continues the control without determining the abnormality of the first microcomputer 10.

以上説明した本実施例の制御装置２によれば、第３のマイクロコンピュータ３０が、上記のような処理によって第２のマイクロコンピュータ２０に異常がないかどうかを判定するため、制御の安全性を確保しつつ、その連続性を向上させることができる。 According to the control device 2 of the present embodiment described above, the third microcomputer 30 determines whether or not the second microcomputer 20 has any abnormality by the processing as described above. The continuity can be improved while ensuring.

＜第３実施例＞
以下、図面を参照し、本発明の第３実施例に係る制御装置３について説明する。 <Third embodiment>
Hereinafter, a control device 3 according to a third embodiment of the present invention will be described with reference to the drawings.

図５は、本発明の第３実施例に係る制御装置３のシステム構成例である。制御装置３は、主要な構成として、第１のマイクロコンピュータ１０と、第２のマイクロコンピュータ２０と、第３のマイクロコンピュータ３０と、を備える。制御装置３は、各構成要素の基本的機能に関しては第１実施例に係る制御装置１と共通するため、同一の符号を付して適宜説明を省略する。 FIG. 5 is a system configuration example of the control device 3 according to the third embodiment of the present invention. The control device 3 includes a first microcomputer 10, a second microcomputer 20, and a third microcomputer 30 as main components. Since the basic function of each component is common to the control device 1 according to the first embodiment, the control device 3 is denoted by the same reference numeral and description thereof is omitted as appropriate.

第３実施例に係る第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの一致程度に基づいて、第１のマイクロコンピュータ１０が正常に作動しているか否かを判定する。具体的には、例えば、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であれば第１のマイクロコンピュータ１０が正常に作動しており、閾値以上であれば第１のマイクロコンピュータ１０が正常に作動していない（異常状態にある）と判定する。 The third microcomputer 30 according to the third embodiment determines whether or not the first microcomputer 10 is operating normally based on the degree of coincidence between the command value Com and the determination criterion Ref. Specifically, for example, if the difference between the command value Com and the criterion Ref is less than a threshold value, the first microcomputer 10 is operating normally, and if the difference is greater than or equal to the threshold value, the first microcomputer 10 is operating normally. It is determined that it is not operating (in an abnormal state).

但し、第３のマイクロコンピュータ３０は、第１のマイクロコンピュータ１０及び第２のマイクロコンピュータ２０に異常がないかどうかを判定するために、記憶装置３２に過去の入力値Ｉｎｐ（１）〜Ｉｎｐ（ｎ）、指令値Ｃｏｍ（１）〜Ｃｏｍ（ｎ）、及び判定基準Ｒｅｆ（１）〜Ｒｅｆ（ｎ）を対応づけて記憶させている。括弧内の数字は、何度目に記憶されたかを示す。なお、記憶装置３２に記憶させるのは、第１のマイクロコンピュータ１０が正常に作動していると判定した際のデータセットのみとする。ここで、記憶装置３２は、第３のマイクロコンピュータ３０専用のものであってもよいが、各マイクロコンピュータ間で共有する記憶装置であっても構わない。 However, the third microcomputer 30 stores the past input values Inp (1) to Inp (1) in the storage device 32 in order to determine whether or not the first microcomputer 10 and the second microcomputer 20 are normal. n), command values Com (1) to Com (n), and determination criteria Ref (1) to Ref (n) are stored in association with each other. The numbers in parentheses indicate the number of times they are memorized. Note that only the data set when it is determined that the first microcomputer 10 is operating normally is stored in the storage device 32. Here, the storage device 32 may be dedicated to the third microcomputer 30 or may be a storage device shared between the microcomputers.

図６は、第１のマイクロコンピュータ１０及び第２のマイクロコンピュータ２０の異常判定のために第３のマイクロコンピュータが実行する処理の流れを示すフローチャートである。本フローは、指令値Ｃｏｍ及び入力値Ｉｎｐが第１のマイクロコンピュータ１０から入力される度に繰り返し実行される。 FIG. 6 is a flowchart showing a flow of processing executed by the third microcomputer for determining an abnormality in the first microcomputer 10 and the second microcomputer 20. This flow is repeatedly executed every time the command value Com and the input value Inp are input from the first microcomputer 10.

まず、第３のマイクロコンピュータ３０は、指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満であるか否かを判定する（Ｓ３００）。指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値未満である場合は、指令値Ｃｏｍを制御対象４０に出力し（Ｓ３０２）、入力値Ｉｎｐと、同時に第２のマイクロコンピュータ２０から入力された判定基準Ｒｅｆのセットを記憶装置３２に記憶させ（Ｓ３０４）、本フローの１ルーチンを終了する。 First, the third microcomputer 30 determines whether or not the difference between the command value Com and the determination criterion Ref is less than a threshold value (S300). If the difference between the command value Com and the determination criterion Ref is less than the threshold value, the command value Com is output to the control target 40 (S302), and the determination criterion Ref input from the second microcomputer 20 at the same time as the input value Inp. Are stored in the storage device 32 (S304), and one routine of this flow is terminated.

指令値Ｃｏｍと判定基準Ｒｅｆの差分が閾値以上である場合には、制御装置１の制御を一時的に停止させると共に（Ｓ３０６）、第１のマイクロコンピュータ１０及び第２のマイクロコンピュータ２０に対して、過去に記憶手段３２に記憶された入力値Ｉｎｐ（１）〜（ｎ）のいずれか（例えば直近値Ｉｎｐ（ｎ））を、再計算要求信号と共に出力する（Ｓ３０８）。 When the difference between the command value Com and the determination criterion Ref is equal to or larger than the threshold value, the control of the control device 1 is temporarily stopped (S306), and the first microcomputer 10 and the second microcomputer 20 are controlled. Any one of the input values Inp (1) to (n) (for example, the latest value Inp (n)) stored in the storage means 32 in the past is output together with the recalculation request signal (S308).

第１のマイクロコンピュータ１０は、再計算要求信号を受信すると、入力値Ｉｎｐ（ｎ）に基づいて指令値Ｃｏｍを再計算し、第３のマイクロコンピュータ３０に出力する。また、第２のマイクロコンピュータ２０は、再計算要求信号を受信すると、入力値Ｉｎｐ（ｎ）に基づいて判定基準Ｒｅｆを再計算し、第３のマイクロコンピュータ３０に出力する。 When receiving the recalculation request signal, the first microcomputer 10 recalculates the command value Com based on the input value Inp (n), and outputs it to the third microcomputer 30. In addition, when the second microcomputer 20 receives the recalculation request signal, the second microcomputer 20 recalculates the determination reference Ref based on the input value Inp (n) and outputs it to the third microcomputer 30.

第３のマイクロコンピュータ３０は、第１のマイクロコンピュータ１０から入力された指令値の再計算値ＣｏｍＲが、記憶装置３２に記憶されたデータのうち入力値Ｉｎｐ（ｎ）に対応する値Ｃｏｍ（ｎ）と一致するか否かを判定する（Ｓ３１０）。 In the third microcomputer 30, the recalculated value ComR of the command value input from the first microcomputer 10 is a value Com (n) corresponding to the input value Inp (n) among the data stored in the storage device 32. ) Is determined (S310).

また、第３のマイクロコンピュータ３０は、第２のマイクロコンピュータ２０から入力された判定基準の再計算値ＲｅｆＲが、記憶装置３２に記憶されたデータのうち入力値Ｉｎｐ（ｎ）に対応する値Ｒｅｆ（ｎ）と一致するか否かを判定する（Ｓ３１２、Ｓ３１４）。 Further, the third microcomputer 30 determines that the recalculation value RefR of the determination criterion input from the second microcomputer 20 is a value Ref corresponding to the input value Inp (n) among the data stored in the storage device 32. It is determined whether or not it matches (n) (S312 and S314).

（Ａ）指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致せず、且つ判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致する場合は、第１のマイクロコンピュータ１０が異常状態にあると判定する（Ｓ３１６）。この場合、第３のマイクロコンピュータ３０が第１のマイクロコンピュータ１０の機能を代行したり、制御装置１の機能停止処理を行ったりする。 (A) When the recalculated value ComR of the command value does not match the value Com (n) and the recalculated value RefR of the determination criterion matches the value Ref (n), the first microcomputer 10 is in an abnormal state. (S316). In this case, the third microcomputer 30 performs the function of the first microcomputer 10 or performs the function stop process of the control device 1.

（Ｂ）指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致し、且つ判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致しない場合は、第２のマイクロコンピュータ２０が異常状態にあると判定する（Ｓ３２０）。この場合、第３のマイクロコンピュータ３０が第２のマイクロコンピュータ２０の機能を代行したり、第１のマイクロコンピュータ１０の異常判定を行わずに制御を継続したりする。 (B) When the recalculated value ComR of the command value matches the value Com (n) and the recalculated value RefR of the determination criterion does not match the value Ref (n), the second microcomputer 20 is in an abnormal state. It is determined that there is (S320). In this case, the third microcomputer 30 substitutes for the function of the second microcomputer 20 or continues the control without determining the abnormality of the first microcomputer 10.

（Ｃ）指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致せず、且つ判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致しない場合は、第１のマイクロコンピュータ１０と第２のマイクロコンピュータ２０の双方が異常状態にあると判定する（Ｓ３１８）。 (C) When the recalculated value ComR of the command value does not match the value Com (n) and the recalculated value RefR of the determination criterion does not match the value Ref (n), the second microcomputer 10 and the second microcomputer 10 It is determined that both of the microcomputers 20 are in an abnormal state (S318).

（Ｄ）指令値の再計算値ＣｏｍＲが値Ｃｏｍ（ｎ）と一致し、且つ判定基準の再計算値ＲｅｆＲが値Ｒｅｆ（ｎ）と一致する場合は、いずれのコンピュータが異常状態にあるか不明であるため、システムをシャットダウンする（Ｓ３２２）。 (D) When the recalculated value ComR of the command value matches the value Com (n) and the recalculated value RefR of the determination criterion matches the value Ref (n), it is unknown which computer is in an abnormal state Therefore, the system is shut down (S322).

以上説明した本実施例の制御装置３によれば、第３のマイクロコンピュータ３０が、上記のような処理によって第１のマイクロコンピュータ１０及び第２のマイクロコンピュータ２０に異常がないかどうかを判定するため、制御の安全性を更に確保しつつ、その連続性を向上させることができる。 According to the control device 3 of the present embodiment described above, the third microcomputer 30 determines whether or not the first microcomputer 10 and the second microcomputer 20 are normal by the above processing. Therefore, the continuity can be improved while further ensuring the safety of the control.

＜変形例＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。 <Modification>
The best mode for carrying out the present invention has been described above with reference to the embodiments. However, the present invention is not limited to these embodiments, and various modifications can be made without departing from the scope of the present invention. And substitutions can be added.

例えば、第１ないし第３実施例において、第１ないし第３の処理手段の具体例として別体のマイクロコンピュータを例示したが、マルチコア・プロセッサが備える複数のＣＰＵコアであってもよいし、マルチスレッド処理装置の複数のスレッドであってもよい。また、これらの組み合わせであってもよい（例えば、第１処理手段と第２処理手段がマルチコア・プロセッサの複数のＣＰＵコアであり、第３の処理手段が単体のプロセッサである等）。 For example, in the first to third embodiments, a separate microcomputer is illustrated as a specific example of the first to third processing means. However, a plurality of CPU cores provided in a multicore processor may be used. It may be a plurality of threads of the thread processing device. A combination of these may also be used (for example, the first processing means and the second processing means are a plurality of CPU cores of a multi-core processor, and the third processing means is a single processor).

また、図７に示すように、複数セットの本発明に係る制御装置において、第３のマイクロコンピュータ３０のみを共用するような構成を採用してもよい。図７は、本発明の他の実施例に係る制御装置のシステム構成例である。 Further, as shown in FIG. 7, in a plurality of sets of control devices according to the present invention, a configuration in which only the third microcomputer 30 is shared may be employed. FIG. 7 is a system configuration example of a control device according to another embodiment of the present invention.

また、第１ないし第３実施例において、入力値Ｉｎｐは、各マイクロコンピュータが参照可能な多重通信線に出力されるものとしてもよい。この場合、第１のマイクロコンピュータ１０から第３のマイクロコンピュータ３０に入力値Ｉｎｐを出力する必要はない。更にこの場合、指令値Ｃｏｍが第１のマイクロコンピュータにより多重通信線に出力され、第３のマイクロコンピュータ３０は、指令値Ｃｏｍの承認済信号を多重通信線に出力するものとしてもよい。制御対象４０は、指令値Ｃｏｍの承認済信号を確認した上で、指令値Ｃｏｍに従った動作を行う。 In the first to third embodiments, the input value Inp may be output to a multiplex communication line that can be referred to by each microcomputer. In this case, it is not necessary to output the input value Inp from the first microcomputer 10 to the third microcomputer 30. Further, in this case, the command value Com may be output to the multiple communication line by the first microcomputer, and the third microcomputer 30 may output an approved signal of the command value Com to the multiple communication line. The control object 40 performs an operation according to the command value Com after confirming the approved signal of the command value Com.

１、２、３制御装置
１０第１のマイクロコンピュータ
２０第２のマイクロコンピュータ
３０第３のマイクロコンピュータ
３２記憶装置
４０制御対象 1, 2, 3 Control device 10 1st microcomputer 20 2nd microcomputer 30 3rd microcomputer 32 Storage device 40 Control object

Claims

First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
The input value input to the first processing means and the command calculated by the first processing means based on the input value when it has been determined that the first processing means is operating normally in the past. It stores the value in association with it,
When it is determined that the command value and the determination criterion do not match, the input value when it is determined that the first processing unit has been operating normally in the past is transmitted to the first processing unit and the command is transmitted. A value is calculated again, and the command value calculated by the first processing unit according to the input value matches the command value when it is determined that the first processing unit has been operating normally in the past Is characterized in that it is determined that the second processing means, not the first processing means, is in an abnormal state.
Control device.

First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
When it is determined in the past that the first processing unit is operating normally, the input value input to the first processing unit and the determination output from the second processing unit based on the input value It is memorized in association with the standard,
When it is determined that the command value and the determination criterion do not match, the input value when the first processing unit is determined to be operating normally in the past is transmitted to the second processing unit for determination. When the reference is output again, and the determination criterion output by the second processing unit in accordance with the input value does not match the determination criterion when it is determined that the first processing unit has operated normally in the past Is characterized in that it is determined that the second processing means, not the first processing means, is in an abnormal state.
Control device.

First processing means for calculating a command value to be controlled based on an input value;
Second processing means for outputting a determination criterion for determining whether or not the first processing means is operating normally based on the input value;
Based on the degree of coincidence between the command value calculated by the first processing means and the determination criterion output by the second processing means, it is determined whether or not the first processing means is operating normally. A control device comprising: a third processing means;
The third processing means includes
The input value input to the first processing means when it was determined that the first processing means was operating normally in the past, and calculated by the first processing means based on the input value The command value and the determination criterion output by the second processing means are stored in association with each other,
When it is determined that the command value and the determination criterion do not match, the input values when it is determined that the first processing unit has normally operated in the past are used as the first processing unit and the second processing unit. Sent to the processing means to calculate the command value again and output the determination reference value again,
When the command value calculated by the first processing unit in accordance with the input value matches the command value when it is determined that the first processing unit has been operating normally in the past, and the input value In response, if the determination criterion output by the second processing means does not match the determination criterion when it was determined that the first processing means has been operating normally in the past, the first processing means And determining that the second processing means is in an abnormal state,
The command value calculated by the first processing means in accordance with the input value does not match the command value when the first processing means has been determined to be operating normally in the past, and the input value Accordingly, if the determination criterion output by the second processing means does not coincide with the determination criterion when it is determined that the first processing means has operated normally in the past, the first processing means It is determined that both of the second processing means are in an abnormal state,
Control device.