JP5477654B2 - 電子制御装置、及び、これを用いた電動パワーステアリング装置 - Google Patents

Description

本発明は、周期的にタスクが実行される電子制御装置、及び、これを用いた電動パワーステアリング装置に関する。

従来、ソフトウェアの予期しない異常やマイクロコンピュータ（以下「マイコン」という）の故障を検出する監視方法として、プログラムが正常に動作する限り必ず実行されるルーチンに挿入されたプログラムによって出力ポートから出力されるパルス信号を用いる「ウォッチドッグ監視」が知られている（例えば特許文献１参照）。

一方、マイコン内部の演算機能が異常となることで、命令の実行はなされるものの演算結果が異常となる場合は、マイコンの動作異常を検出することができない。そのため、誤った演算値に基づいて制御を実行し、制御対象機器の誤動作を引き起こすおそれがある。
この問題を解決するために、複数のマイコンを用いて演算結果を相互比較する方式がある。また、特許文献２には、ネットワーク接続された電子制御装置のマイコンの演算機能が正常に動作していることを監視するために、一方のマイコン（駆動装置）が所定の演算命令を送信し、他方のマイコン（指令装置）が演算命令に応じた演算結果を返送する「演算監視」の方法が開示されている。

また、近年では、安全に対する厳しい要求から、上記のウォッチドッグ監視および演算監視で検出できる故障に加えて、マイコンの動作クロックが異常となる故障を検出しシステムを安全状態にするニーズが生じている。これを実現するために、例えば特許文献３には、マイコンから動作クロックに同期した信号を出力し、これを別クロックで動作するマイコンなどで監視する「クロック監視」の方法が開示されている。

特開昭５５−５７９５６号公報 特開２００５−２５５０３７号公報 特開２００９−２０２６１２号公報

以上３つの監視方法は、ウォッチドッグ監視はプログラムの周期的な実行に関するタイマなどの故障を監視し、演算監視はマイコンの演算機能を監視し、クロック監視はマイコンの動作クロックを監視するものであって、それぞれ検出可能な故障が異なる。したがって、これらの３つの監視方法によりマイコンの故障を全て検出するためには、それぞれの監視方法を実行するための３つの監視手段が必要となる。
しかし、これら３つの監視手段を全て回路に実装するためには、ウォッチドッグ監視用信号線、演算監視用信号線、クロック監視用信号線と、それぞれ独立の専用信号線を設ける必要がありコストがアップするという問題がある。

本発明は、このような点に鑑みて創作されたものであり、その目的は、周期的にタスクが実行される電子制御装置において、専用信号線を設けることなくマイコン等の異常を検出する電子制御装置を提供することにある。

請求項１に記載の電子制御装置は、主マイクロコンピュータ、主マイクロコンピュータのクロック異常を監視するクロック監視回路、主マイクロコンピュータの演算回路の異常を監視する演算監視回路、クロック監視回路に通信可能なクロック監視用信号線、及び、演算監視回路に通信可能な演算監視用信号線を有する。
電子制御装置は、周期的に実行される複数のタスクについて所定時間あたりの実行回数を所定の最大閾値および所定の最小閾値と比較して実行周期を監視する監視タスクを設定する。そして、当該監視タスクによって、複数のタスクのいずれかの実行回数が最大閾値より多いか、または最小閾値より少ないと判断された場合、クロック監視用信号線もしくは演算監視用信号線のいずれか一方または両方を経由して、クロック監視回路もしくは演算監視回路のいずれか一方または両方に異常情報を通信することで、主マイクロコンピュータまたはクロック監視用信号線または演算監視用信号線の異常を検出する。

ここでの「異常」には、（１）動作クロックの異常、（２）マイコンの演算機能の異常、（３）プログラムの周期的な実行に関するタイマなどの故障によってタスクが実行されない異常、の３種類の異常が含まれる。特に、複数のタスクのうち一部のタスクの実行周期が異常と判断された場合は、上記（３）の「タイマなどの故障」の可能性が考えられる。
この場合、従来技術によると、クロック監視用信号線および演算監視用信号線の他に、ウォッチドッグ監視用の専用信号線が必要であった。それに対し、本発明では、ウォッチドッグ監視用の信号線を設けず、クロック監視用信号線および演算監視用信号線の２つの信号線で異常を検出することができる。

請求項２に記載の電子制御装置は、監視タスクを２つ以上設定し、当該監視タスクが自タスクを除く他のタスクの実行周期を監視する。
監視タスクは、自タスクを監視することも可能であり、１つの監視タスクが自タスクを含めた全てのタスクの実行周期を監視することとしてもよい。しかしながら、その１つの監視タスクに異常が発生した場合、全てのタスクの監視ができなくなるリスクがある。そこで、監視タスクを２つ以上設定し、異なる監視タスク同士が相互に監視することで信頼性を向上することができる。

請求項３に記載の電子制御装置は、監視タスクによって複数のタスクの実行回数がいずれも最大閾値より多いと判断された場合、クロック監視用信号線から通信される正常時よりも短い周期の信号をクロック監視回路が検出することで、主マイクロコンピュータの異常を検出する。
請求項４に記載の電子制御装置は、監視タスクによって複数のタスクの実行回数がいずれも最小閾値より少ないと判断された場合、クロック監視用信号線から通信される正常時よりも長い周期の信号をクロック監視回路が検出することで、主マイクロコンピュータの異常を検出する。

このように、タスクの実行回数がいずれも正常範囲よりも多くなるか少なくなる、言い換えれば、実行周期がいずれも正常範囲よりも短くなるか長くなる場合は、上記（１）の「動作クロックの異常」の場合である。したがって、クロック監視用信号線から通信される異常周期の信号をクロック監視回路が検出することで、異常を検出することができる。

請求項５に記載の電子制御装置は、複数のタスクがいずれも停止した場合、演算監視用信号線を用いた通信ができないことを演算監視回路が検出することで、主マイクロコンピュータの異常を検出する。
上記（２）の「マイコンの演算機能の異常」等の共通の原因によって複数のタスクがいずれも動作しなくなった場合、監視タスク自体も停止するため、実行周期の監視による異常検出ができなくなる。しかし、演算監視用信号線による通信が途絶したことを演算監視回路が認識することで、異常を検出することができる。
なお、タスク停止に至らずとも、演算監視用信号線による通信を規定の周期で行なうことができない状態に至った場合、すなわち複数のタスクの実行回数がいずれも正常範囲よりも多くなるか少なくなった場合で、かつクロックが正常な場合には、演算監視によって故障認識可能である。

請求項６に記載の発明によると、クロック監視回路および演算監視回路は、監視用ＩＣによって構成される。また、請求項７に記載の発明によると、クロック監視回路および演算監視回路は、主マイクロコンピュータと異なる副マイクロコンピュータによって構成される。
これにより、クロック監視回路および演算監視回路の構成が具体的に示される。

さらに、請求項８に記載の電子制御装置は、主マイクロコンピュータを初期化可能なリセット回路を備え、異常が検出された主マイクロコンピュータをリセットする。
これにより、例えば、ハードウェアまたはソフトウェアの本質的故障でなく、ノイズ等によってレジスタ値が一時的に異常値に変化した場合など、主マイクロコンピュータをリセットすることで正常状態に復帰させることができる。

請求項９に記載の発明は、請求項１〜８に記載の電子制御装置と、電子制御装置によって駆動されるモータと、モータの回転をステアリングシャフトに伝達する動力伝達手段とを備え、操舵トルクをアシストする電動パワーステアリング装置に係る発明である。
電動パワーステアリング装置は、安全性の面から、確実に異常を検出することが要求される。したがって、簡易な構成でマイコン等の異常検出を実現するという本発明の電子制御装置の効果が有効に発揮される。

本発明の第１、第２実施形態による電子制御装置を適用した電動パワーステアリング装置の概略構成図。 本発明の第１、第２実施形態による電子制御装置のシステム図。 本発明の第１実施形態による周期タスクの動作フローチャート。 本発明の第２実施形態による周期タスクの動作フローチャート。 本発明のその他の実施形態による周期タスクが３つ以上の場合の概念図。

自動車等のハンドル操作をアシストするための電動パワーステアリング装置に本発明の電子制御装置（以下「ＥＣＵ」という）を適用した実施形態を図面に基づいて説明する。
（一実施形態）
図１は、電動パワーステアリング装置を備えたステアリングシステムの全体構成を示す。ステアリングシステム９０に備えられる電動パワーステアリング装置１は、ハンドル９１に接続されたステアリングシャフト９２に操舵トルクを検出するためのトルクセンサ９４を設置している。
ステアリングシャフト９２の先端にはピニオンギア９６が設けられており、ピニオンギア９６はラック軸９７に噛み合っている。ラック軸９７の両端には、タイロッド等を介して一対の車輪９８が回転可能に連結されている。

これにより、運転者がハンドル９１を回転させると、ハンドル９１に接続されたステアリングシャフト９２が回転し、ステアリングシャフト９２の回転運動は、ピニオンギア９６によってラック軸９７の直線運動に変換され、ラック軸９７の直線運動変位に応じた角度について一対の車輪９８が操舵される。

電動パワーステアリング装置１は、操舵アシストトルクを発生するモータ８０、モータ８０の回転を減速してステアリングシャフト９２に伝える「動力伝達手段」としての減速ギア８９、及び、モータ駆動装置２を備える。モータ８０は３相ブラシレスモータであり、減速ギア８９を正逆回転させる。モータ駆動装置２は、ＥＣＵ１０を備える。モータ駆動装置２は、また、モータ８０の回転角を検出する回転角センサ８５、上述のトルクセンサ９４、車速を検出する車速センサ９５を含む。
この構成により、電動パワーステアリング装置１は、ハンドル９１の操舵を補助するための操舵アシストトルクを発生し、ステアリングシャフト９２に伝達する。

図２にＥＣＵのシステム概略図を示す。ＥＣＵ１０は、メインマイコン１１、監視回路２１、駆動回路２６等を備えている。メインマイコン１１は、上述の回転角センサ８５、トルクセンサ９４および車速センサ９５等から入力した信号に基づいてプログラムを実行し、モータ８０を駆動するための駆動回路２６を制御する。メインマイコン１１は、特許請求の範囲に記載の「主マイクロコンピュータ」に相当する。

メインマイコン１１は、プログラムを実行するＣＰＵ（中央演算処理装置）１２、ＣＰＵ１２によって実行されるプログラムを記憶するＲＯＭ１４、ＣＰＵ１２による演算結果等を記憶するためのＲＡＭ１３の他、タイマＡ１５、タイマＢ１６、リセット回路１９を備えている。

タイマＡ１５は、クロック監視用信号線２４に対して矩形波またはｓｉｎ波等のパルス信号をクロック監視回路２２に出力する。クロック監視回路２２は、出力された矩形波の間隔を検出したりｓｉｎ波の周期を計測するなどして動作クロックを監視する。
タイマＢ１６は、演算監視用の通信処理等を行う周期タスクｂを生成する。

メインマイコン１１は、周期処理を行う周期タスクａおよび周期タスクｂを実行する。周期タスクａは、タイマＡ１５を用いてタイマＢ１６の実行周期を監視し、かつ、それ以外の周期処理を行う。周期タスクｂは、タイマＢ１６を用いてタイマＡ１５の実行周期を監視し、かつ、演算監視用の通信処理を含む周期処理等を行う。

監視回路２１は、例えば、監視用ＩＣまたはメインマイコン１１と異なるサブマイコンによって構成される。サブマイコンは、特許請求の範囲に記載の「副マイクロコンピュータ」に相当する。
監視回路２１は、クロック監視回路２２および演算監視回路２３を含む。クロック監視回路２２は、クロック監視用信号線２４を経由してメインマイコン１１と接続されており、演算監視回路２３は、演算監視用信号線２５を経由してメインマイコン１１と接続されている。監視回路２１は、クロック監視用信号線２４および演算監視用信号線２５から通信される情報を監視することで、メインマイコン１１またはクロック監視用信号線２４または演算監視用信号線２５の異常を検出する。

ここで、メインマイコン１１の異常とは、（１）動作クロックの異常、（２）演算機能の異常、（３）プログラムの周期的な実行に関するタイマＡ１５、タイマＢ１６などの故障やプログラムのエラーによって周期タスクが実行されない異常、をいう。
メインマイコン１１の異常が検出されたときの処置としては、例えば、リセット回路１９の端子に監視回路２１からリセット信号を出力することで、メインマイコン１１を再起動させる。あるいは、メインマイコン１１ではなく、駆動回路２６に対し、例えばプリドライバの駆動許可信号をオフとすることで、プリドライバ駆動を停止する。

次に、図３のフローチャートを参照して周期タスクａおよび周期タスクｂの動作フローを説明する。周期タスクａおよび周期タスクｂは、それぞれ、所定時間あたりのタスク実行回数を計数するカウンタを有している。以下、「所定時間あたりのタスク実行回数」を単に「実行回数」という。なお、フローチャートの説明で記号Ｓは「ステップ」を示す。

周期タスクａでは、Ｓ３１にて、タスクｂの実行回数が所定の最大閾値Ｍａｘ（ｂ）より多いか否かを判断する。ＮＯの場合、Ｓ３２に移行し、タスクｂの実行回数が所定の最小閾値Ｍｉｎ（ｂ）より少ないか否かを判断する。このように、周期タスクａは、実行回数を所定の最大閾値および所定の最小閾値と比較することでタスクｂの実行周期を監視する。以下、監視機能を有する周期タスクを「監視タスク」という。監視タスクは、周期タスクの実行回数が「所定の最大閾値より多いか、所定の最小閾値より少ない」場合を異常と判断する。言い換えれば、周期タスクの実行回数が「所定の最小閾値以上、所定の最大閾値以下」の範囲が正常範囲である。
タスクｂの実行回数が異常の場合、すなわちＳ３１またはＳ３２でＹＥＳの場合、Ｓ３３にてタスクｂの「異常時処置」を行う。続くＳ３４では、監視以外のタスクａ周期処理を実行する。最後にＳ３５でタスクａの実行回数をカウントアップする。なお、Ｓ３１〜Ｓ３３と、Ｓ３４、Ｓ３５の実行順番は入れ替わっても良い。

一方、周期タスクｂでは、同様に、Ｓ４１、Ｓ４２でタスクａの実行回数を取得し、タスクａの実行回数が所定の最大閾値Ｍａｘ（ａ）より多いか、または、所定の最小閾値Ｍｉｎ（ａ）より少ない場合には、Ｓ４３でタスクａの異常時処置を行う。続くＳ４４では、監視以外のタスクｂ周期処理を実行し、最後にＳ４５でタスクｂの実行回数をカウントアップする。

次に、ＥＣＵ１０が検出可能な異常の具体例について、表１を参照して説明する。

（ケース１）
タイマＢ１６が故障した場合、または、周期タスクｂを実行中にプログラムのエラー等により周期タスクｂの実行周期が異常となった場合を想定する。例えば、発振の場合は周期が短く（速く）なり、実行回数が正常時の実行回数よりも多くなる。また、周期が長く（遅く）なると、実行回数が正常時の実効回数よりも少なくなる。さらに、周期タスクｂが停止した場合には、実行回数はゼロとなる。

そこで、監視タスクａが周期タスクｂの実行回数を確認し、最大閾値Ｍａｘ（ｂ）より多いか、または最小閾値Ｍｉｎ（ｂ）より少ない場合、タスクｂ異常時処置を行う。異常時処置は、クロック監視用信号線２４を経由してクロック監視回路２２に異常情報を通信するか、または演算監視用信号線２５を経由して演算監視回路２３に異常情報を通信する。

具体的には、クロック監視用の通信を行う場合、タイマＡ１５からクロック監視用信号線２４に出力されるクロック監視用のパルス信号の周期を意図的に変更する。あるいは、パルス信号の出力を停止する。なお、停止するとは、周期無限大のパルス信号を出力することに相当する。
また、演算監視用の通信を行う場合は、演算監視用信号線２５を経由して意図的に異常となる通信を行うか、または、演算監視用の通信を停止する。
あるいは、上記のクロック監視用の通信と演算監視用の通信の両方を行ってもよい。

従来、このようなプログラムの周期的な実行に関する故障に対しては、専用信号線を用いてウォッチドッグ監視を行ってきた。それに対し、本実施形態では、専用信号線を設けることなく、クロック監視用信号線２４または演算監視用信号線２５を用いて異常情報を通信し、監視回路２１により異常を検出することができる。

（ケース２）
ケース１とは逆に、タイマＡ１５が故障した場合、あるいは、周期タスクａを実行中にプログラムのエラー等により周期タスクａの実行周期が異常となった場合を想定する。
この場合、監視タスクｂが周期タスクａの実行回数を確認し、最大閾値Ｍａｘ（ａ）より多いか、または最小閾値Ｍｉｎ（ａ）より少ない場合、ケース１と同様にタスクａ異常時処置を行う。これにより、ケース１と同様、ウォッチドッグ監視用の専用信号線を設けることなく、クロック監視用信号線２４または演算監視用信号線２５を用いて異常を検出することができる。

（ケース３）
周期タスクａおよび周期タスクｂの実行回数が共に最大閾値より多くなるか、共に最小閾値より少なくなる場合、すなわち周期が共に正常範囲よりも短くなるか長くなる場合は、動作クロック自体の異常の場合である。したがって、タイマＡ１５が生成しクロック監視用信号線２４を経由して通信されるパルス信号の周期が異常となるため、この異常周期の信号をクロック監視回路２２が検出することで、異常を検出することができる。

（ケース４）
マイコンの演算機能の異常やプログラムのエラー等の共通の原因によって周期タスクａおよび周期タスクｂが共に動作しなくなった場合、周期タスクａと周期タスクｂとの相互監視による異常検出ができなくなる。しかし、タスクｂが行うはずの演算監視用の通信が途絶したことを演算監視回路２３が認識することで、異常を検出することができる。

（第２実施形態）
第２実施形態は、１つの監視タスクが自タスクを含めた全ての周期タスクの実行周期を監視する実施形態である。第２実施形態は、図４のフローチャートのＳ５１、Ｓ５２で、監視タスクａが自タスクの実行回数を確認する点を除いて、第１実施形態と同様である。

第２実施形態でも、専用信号線を設けることなく、クロック監視用信号線２４または演算監視用信号線２５を用いて異常情報を通信し、監視回路２１により異常を検出することができる。なお、第２実施形態では、監視タスクａに異常が発生すると、全てのタスクの監視ができなくなるおそれがある。しかし、監視タスクａが異常のとき、その他のタスクを実行することがありえないような場合には、本実施形態を採用しても問題ない。

（その他の実施形態）
（ア）上記の実施形態によるタスク動作のフローチャート（図３、４参照）では、タスクの先頭で周期監視を行い、タスクの最後にカウントアップを行っているが、その逆に、先にカウントアップを行い、後で周期監視を行ってもよい。
（イ）実行回数が最大閾値より多いか否かの判断（Ｓ３１等）と、最小閾値より少ないか否かの判断（Ｓ３２等）とは、いずれが先でもかまわない。

（ウ）メインマイコン上で実行される周期タスクは３つ以上であってもよい。例えば、周期タスクが５つの場合の概念図を図５に示す。
図５（ａ）に示す例は、５つの周期タスクａ、ｂ、ｃ、ｄ、ｅがいずれも監視タスクの場合である。監視タスクａは、自タスクを除く全てのタスクｂ、ｃ、ｄ、ｅを周期監視する。監視タスクｂ、ｃ、ｄ、ｅは、それぞれ監視タスクａを周期監視する。

図５（ｂ）に示す例は、周期タスクａおよび周期タスクｂが監視タスクであり、周期タスクｃ、ｄ、ｅは監視機能を有さないタスクの場合である。監視タスクａは、自タスクを除く全ての周期タスクｂ、ｃ、ｄ、ｅを周期監視し、監視タスクｂは、監視タスクａのみを周期監視する。すなわち、監視タスクａと監視タスクｂとは相互監視の関係にある。

図５（ｃ）に示す例は、周期タスクａおよび周期タスクｂが監視タスクであり、周期タスクｃ、ｄ、ｅは監視機能を有さないタスクの場合である。監視タスクａは、監視タスクｂおよび他の周期タスクｃ、ｄを周期監視し、監視タスクｂは、監視タスクａおよび他の周期タスクｅを周期監視する。すなわち、監視タスクａと監視タスクｂとは相互監視の関係にあり、また、他の周期タスクの周期監視を監視タスクａと監視タスクｂとが分担している。

（エ）本発明の電子制御装置は、電動パワーステアリング装置の他、例えば、ＶＧＲＳ（ギア比可変ステアリング）、ＡＲＳ（アクティブリアステアリング）等、様々な用途に適用することができる。
以上、本発明はこのような実施形態に限定されるものではなく、発明の趣旨を逸脱しない範囲において、種々の形態で実施することができる。

１ ・・・電動パワーステアリング装置、
２ ・・・モータ駆動装置、
１０ ・・・ＥＣＵ（電子制御装置）、
１１ ・・・メインマイコン（主マイクロコンピュータ）、
１５ ・・・タイマＡ、
１６ ・・・タイマＢ、
１９ ・・・リセット回路、
２１ ・・・監視回路、
２２ ・・・クロック監視回路、
２３ ・・・演算監視回路、
２４ ・・・クロック監視用信号線、
２５ ・・・演算監視用信号線。

Claims (9)

1. 主マイクロコンピュータと、
   前記主マイクロコンピュータのクロック異常を監視するクロック監視回路と、
   前記主マイクロコンピュータの演算回路の異常を監視する演算監視回路と、
   前記クロック監視回路に通信可能なクロック監視用信号線と、
   前記演算監視回路に通信可能な演算監視用信号線と、を有し、
   周期的に実行される複数のタスクについて所定時間あたりの実行回数を所定の最大閾値および所定の最小閾値と比較して実行周期を監視する監視タスクを設定し、
   当該監視タスクによって、前記複数のタスクのいずれかの実行回数が前記最大閾値より多いか、または前記最小閾値より少ないと判断された場合、
   前記クロック監視用信号線もしくは前記演算監視用信号線のいずれか一方または両方を経由して、前記クロック監視回路もしくは前記演算監視回路のいずれか一方または両方に異常情報を通信することで、前記主マイクロコンピュータまたは前記クロック監視用信号線または前記演算監視用信号線の異常を検出することを特徴とする電子制御装置。
2. 請求項１に記載の電子制御装置において、
   前記監視タスクを２つ以上設定し、当該監視タスクが自タスクを除く他のタスクの実行周期を監視することを特徴とする電子制御装置。
3. 請求項１または２に記載の電子制御装置において、
   前記監視タスクによって前記複数のタスクの実行回数がいずれも前記最大閾値より多いと判断された場合、前記クロック監視用信号線から通信される正常時より短い周期の信号を前記クロック監視回路が検出することで、前記主マイクロコンピュータの異常を検出することを特徴とする電子制御装置。
4. 請求項１〜３のいずれか一項に記載の電子制御装置において、
   前記監視タスクによって前記複数のタスクの実行回数がいずれも前記最小閾値より少ないと判断された場合、前記クロック監視用信号線から通信される正常時より長い周期の信号を前記クロック監視回路が検出することで、前記主マイクロコンピュータの異常を検出することを特徴とする電子制御装置。
5. 請求項１〜４のいずれか一項に記載の電子制御装置において、
   前記複数のタスクがいずれも停止した場合、前記演算監視用信号線を用いた通信ができないことを前記演算監視回路が検出することで、前記主マイクロコンピュータの異常を検出することを特徴とする電子制御装置。
6. 請求項１〜５のいずれか一項に記載の電子制御装置において、
   前記クロック監視回路および前記演算監視回路は、監視用ＩＣによって構成されることを特徴とする電子制御装置。
7. 請求項１〜５のいずれか一項に記載の電子制御装置において、
   前記クロック監視回路および前記演算監視回路は、前記主マイクロコンピュータと異なる副マイクロコンピュータによって構成されることを特徴とする電子制御装置。
8. 請求項１〜７のいずれか一項に記載の電子制御装置において、
   前記主マイクロコンピュータを再起動可能なリセット回路を備え、
   異常が検出されたとき、前記主マイクロコンピュータをリセットすることを特徴とする電子制御装置。
9. 請求項１〜８のいずれか一項に記載の電子制御装置と、
   前記電子制御装置によって駆動されるモータと、
   前記モータの回転をステアリングシャフトに伝達する動力伝達手段と、を備え、
   操舵トルクをアシストすることを特徴とする電動パワーステアリング装置。

Images