JP6540227B2 - 車両用制御装置 - Google Patents

Description

本発明は、車両用制御装置に関する。

車両の操舵機構にモータの動力を付与することにより、運転者のステアリング操作を補助する電動パワーステアリング装置（ＥＰＳ）が知られている。このようなモータはマイクロコンピュータ（以下、マイコンと略記する）により制御される。マイコンは、モータに実際に付与される電流値を電流指令値に追従させるべく、電流フィードバック制御を行うことにより、モータの駆動を制御する。

ところで、ＥＰＳには、安全性や信頼性を高めるべく、マイコンに含まれる中央処理装置（以下、ＣＰＵと略記する）が二重化されたものがある。たとえば、特許文献１に記載のＥＰＳは、モータの駆動制御を主として行うメインＣＰＵと、メインＣＰＵの動作を監視するサブＣＰＵとを有している。

また、ＣＰＵに限らず、マイコンが二重化されたものもある。サブマイコンは、メインマイコンに異常が生じた場合、メインマイコンをリセットする処理を実行する。このリセット処理を確実に実行するために、サブマイコンは、イグニッションオン時（以下、ＩＧオン時と略記する）のイニシャルチェック時間に監視対象信号であるメインマイコンの信号に擬似的な異常を発生させる。擬似的な異常に伴ってリセット処理が行われた結果、メインマイコンの信号が正常に戻ったとき、リセット処理を行う経路が正常に機能していることが確認される。

特開２０１３−１５９１２０号公報

しかし、車両のＩＧオン時のイニシャルチェック時間の制約上、メインマイコンの全ての監視対象に対してリセット処理が行われるかを確認することはできない。このため、リセット処理の確認が行われない経路に関しては、正常に機能しているかを確認できない。この場合、メインマイコンに異常が発生しても、メインマイコンへのリセット処理を確実には行うことができないため、メインマイコンの異常が継続してしまうおそれがある。

なお、このような課題は、ＥＰＳのマイコンやＣＰＵに限らず、車両に搭載される制御装置に共通する課題である。
本発明の目的は、より確実に機能する車両用制御装置を提供することである。

上記目的を達成しうる車両用制御装置は、車両の動作を制御し、複数の信号を生成する制御部と、前記複数の信号を監視することにより前記制御部の動作を監視する監視部と、前記複数の信号の１つを選択し、当該選択される信号に擬似的な異常を発生させる異常発生部と、前記選択された信号が異常である旨判定されるとき、前記制御部をリセットするリセット判定部と、を備えている。前記異常発生部は、車両の電源がオンされる毎に擬似的な異常状態を発生させる信号を前記選択された信号から他の信号に切り替える。

この構成によれば、車両の電源がオンされる毎に擬似的な異常状態を発生させる信号を選択された信号から他の信号に切り替えることにより、それぞれの信号の異常を検出して制御部がリセットされるかを確認することができる。なお、車両の電源をオンしたときのイニシャル時間は限られているので、複数の信号の異常を検出して制御部がリセットされるか確認するのは困難であるが、擬似的に異常状態を発生させる信号を切り替えることで、複数の信号の異常を検出できる。このため、制御部に異常が発生した場合でもリセットされることが確認できるため、車両用制御装置をより確実に機能させることができる。

上記の車両用制御装置において、前記リセット判定部は前記監視部に設けられていてもよい。
この構成によれば、監視部で制御部をリセットするか否かを判定し、リセットすることができる。制御部に異常が発生したことにより自らリセットを判定できないような場合であっても、監視部がリセットすると判定すれば、制御部のリセットが実行される。

上記の車両用制御装置において、前記監視部は前記制御部と同様の信号を生成し、前記制御部により生成される信号と、前記監視部により生成される信号とを比較することで前記制御部により生成される信号の異常を判定する異常判定部が設けられていることが好ましい。

この構成によれば、制御部と監視部がそれぞれ同様の信号を生成して、これらを比較することにより容易に制御部の異常を判定することができる。
上記の車両用制御装置において、前記制御部は、前記制御部における前記複数の信号をそれぞれ生成する複数の信号生成部を有し、前記リセット判定部は、前記選択された信号が異常である旨判定されるとき、前記複数の信号生成部のうち、前記選択された信号を生成する１つの信号生成部をリセットすることが好ましい。

この構成によれば、制御部における選択された信号と対応する部分のみリセットすることで、制御部全体をリセットする場合に比べて、制御部のリセットに要する時間は低減される。

上記の車両用制御装置において、前記制御部は、クロック信号を生成するクロック生成部と車両の制御量を演算する演算部とを有し、前記演算部は、自身の動作を監視するための内部ウォッチドッグ信号を生成する内部ウォッチドッグ部と、前記監視部からの要求に応じて自身の演算機能を監視するための外部監視部とを有し、前記監視部が監視する信号は、前記クロック生成部により生成されるクロック信号と、前記内部ウォッチドッグ部により生成される内部ウォッチドッグ信号と、前記外部監視部により生成される外部監視信号であることが好ましい。

本発明の車両用制御装置によれば、より確実に機能する。

本実施形態の車両用制御装置を適用した電動パワーステアリング装置の概略構成を示す構成図。 本実施形態のＥＣＵの概略構成を示すブロック図。 （ａ）〜（ｃ）本実施形態のリセット経路の概略経路を示すブロック図。 本実施形態のメインマイコンおよびサブマイコンの動作を示すシーケンスチャート。

以下、車両用制御装置を電動パワーステアリング装置に適用した一実施形態について説明する。
図１に示すように、ＥＰＳ１０は運転者のステアリングホイール２１の操作に基づいて転舵輪２６を転舵させる操舵機構２０、運転者のステアリング操作を補助するアシスト機構３０、およびアシスト機構３０を制御する車両用制御装置としてのＥＣＵ（電子制御装置）４０を備えている。

操舵機構２０は、ステアリングホイール２１およびステアリングホイール２１と一体回転するステアリングシャフト２２を備えている。ステアリングシャフト２２は、ステアリングホイール２１と連結されたコラムシャフト２２ａと、コラムシャフト２２ａの下端部に連結されたインターミディエイトシャフト２２ｂ、およびインターミディエイトシャフト２２ｂの下端部に連結されたピニオンシャフト２２ｃを有している。ピニオンシャフト２２ｃの下端部はラックシャフト２３（正確にはそのラック歯）に連結されている。したがって、操舵機構２０では、ステアリングシャフト２２の回転運動は、ピニオンシャフト２２ｃの先端に設けられたピニオン歯とラックシャフト２３に形成されたラック歯からなるラックアンドピニオン機構２４を介して、ラックシャフト２３の軸方向（図１の左右方向）の往復直線運動に変換される。当該往復直線運動がラックシャフト２３の両端にそれぞれ連結されたタイロッド２５を介して左右の転舵輪２６にそれぞれ伝達されることにより、転舵輪２６の転舵角が変更される。

アシスト機構３０は、アシスト力の発生源であるモータ３１を備えている。モータ３１の回転軸３１ａは、減速機構３２を介してコラムシャフト２２ａに連結されている。減速機構３２はモータ３１の回転を減速し、当該減速した回転力をコラムシャフト２２ａに伝達する。すなわち、ステアリングシャフト２２にモータ３１の回転力（トルク）がアシスト力として付与されることにより、運転者のステアリング操作が補助される。

ＥＣＵ４０は、車両に設けられる各種のセンサの検出結果に基づいてモータ３１を制御する。ＥＣＵ４０は各種のセンサの出力に基づいて、目標のアシスト力を設定し、実際のアシスト力が目標のアシスト力となるように、モータ３１に供給される電流を制御する。ＥＣＵ４０によるモータ３１の駆動制御は、車両のＩＧオン後に行われるイニシャルチェックの完了後に開始される。

図２に示すように、ＥＣＵ４０は、モータ３１の駆動制御を行うメインマイコン５０と、メインマイコン５０の動作を監視するサブマイコン６０と、モータ３１へ電流を供給する駆動回路７０とを備えている。

メインマイコン５０は、予め定められた周波数に基づきクロック信号Ａを発生させるメインクロック５１と、モータ３１を駆動するための演算を行う演算部５２と、メインマイコン５０の各部をリセットするリセット制御部５３とを備えている。

メインクロック５１で生成されるクロック信号Ａは、予め設定された周期でＨｉｇｈとＬｏｗとを繰り返す信号である。メインマイコン５０は、クロック信号Ａに基づいて、演算処理を実行する。また、メインクロック５１は、クロック信号Ａを予め設定された周期でサブマイコン６０に出力する。

演算部５２は、図示しない各種のセンサから得られる状態量（操舵トルクなど）を取り込んで、操舵トルクに応じたアシスト力をモータ３１に発生させるための電流指令値を演算する。電流指令値は、モータ３１の駆動電流の目標値であり、モータ３１の出力トルクの目標値に対応する。演算部５２は、電流センサ８０から得られる実電流値Ｉと電流指令値との偏差に応じて電流フィードバック制御を行うことにより、モータ制御信号を生成する。

また、演算部５２は、内部ウォッチドッグ部５２ａおよび内部演算部５２ｂを有している。内部ウォッチドッグ部５２ａは、演算部５２が自ら正常か否かを自己判定するために設けられている。内部ウォッチドッグ部５２ａは、内部ウォッチドッグ信号Ｂを生成する。内部ウォッチドッグ信号Ｂは、正常な場合、一定の周期でＨｉｇｈとＬｏｗとの間で変化するパルス信号であるが、演算部５２に異常が生じた場合には、その周期性に乱れが生じる。内部ウォッチドッグ部５２ａは、内部ウォッチドッグ信号Ｂをサブマイコン６０へ出力する。また、内部演算部５２ｂは、サブマイコン６０から入力される質問信号Ｃｑに基づいて回答信号Ｃａを演算し、サブマイコン６０へ出力する。

サブマイコン６０は、クロック判定部６１と、内部ウォッチドッグ信号判定部６２と、Ｑ＆Ａウォッチドッグ部６３と、リセット信号Ｒを生成するリセット信号判定部６４と、監視対象の信号を擬似的に異常な状態にする擬似異常制御部６５とを備えている。クロック判定部６１は、クロック信号Ａに基づいてメインマイコン５０が正常か否かを判定する。内部ウォッチドッグ信号判定部６２は、内部ウォッチドッグ信号Ｂに基づいてメインマイコン５０が正常か否かを判定する。Ｑ＆Ａウォッチドッグ部６３は、内部演算部５２ｂから出力される回答信号Ｃａに基づいてメインマイコン５０が正常か否かを判定する。リセット信号判定部６４は、クロック判定部６１、内部ウォッチドッグ信号判定部６２、およびＱ＆Ａウォッチドッグ部６３からの判定結果に基づいて、メインマイコン５０における異常が発生した箇所（メインクロック５１、演算部５２）をリセットさせる信号を生成する。なお、監視対象となる信号は、クロック信号Ａ、内部ウォッチドッグ信号Ｂ、および回答信号Ｃａである。

クロック判定部６１は、サブクロック６１ａを有している。サブクロック６１ａは、予め定められた周期でＨｉｇｈとＬｏｗを繰り返すクロック信号Ａ’を生成する。クロック信号Ａ’はクロック信号Ａに応じた周波数を有しており、たとえばクロック信号Ａ’の周波数はクロック信号Ａの周波数と等しく設定されている。そして、クロック判定部６１は、メインクロック５１から出力されるクロック信号Ａおよびサブクロック６１ａで生成されるクロック信号Ａ’に基づいて、メインクロック５１が正常であるか否かを判定する。すなわち、クロック信号Ａおよびクロック信号Ａ’を比較して、両者の値が等しい場合には、メインクロック５１は正常であると判定される。また、クロック信号Ａおよびクロック信号Ａ’を比較して、両者の値が異なる場合には、メインクロック５１に異常が発生していると判定される。メインクロック５１が正常であるか否かの判定結果に基づいて、クロック判定部６１は判定信号Ｓ１を生成し、この判定信号Ｓ１をリセット信号判定部６４へ出力する。なお、この判定結果Ｓ１の中にはメインクロック５１が正常か否かという情報のみならず、クロック信号Ａの通信経路が正常であることや、クロック信号Ａ’も正常と推測されることなどの情報も含んでいる。

内部ウォッチドッグ信号判定部６２は、演算部５２の内部ウォッチドッグ部５２ａから出力される内部ウォッチドッグ信号Ｂを取り込む。この内部ウォッチドッグ信号Ｂに基づいて、内部ウォッチドッグ信号判定部６２は演算部５２が正常か否かを判定する。具体的には、内部ウォッチドッグ信号Ｂが異なる周期で出力される場合や内部ウォッチドッグ信号Ｂが出力されない場合に演算部５２に異常が発生していると判定する。反対に、内部ウォッチドッグ信号Ｂが一定の周期で届く場合、演算部５２は正常であると判定する。内部ウォッチドッグ信号判定部６２は、取り込んだ内部ウォッチドッグ信号Ｂに基づいて判定信号Ｓ２を生成し、この判定信号Ｓ２をリセット信号判定部６４へ出力する。

Ｑ＆Ａウォッチドッグ部６３は、演算部５２の内部演算部５２ｂと双方向通信を行う。具体的には、Ｑ＆Ａウォッチドッグ部６３は、予め定められた周期で質問信号Ｃｑを内部演算部５２ｂに出力する。たとえば、質問信号Ｃｑは、内部演算部５２ｂが電流指令値Ｉ＊を演算した結果などを質問する信号である。内部演算部５２ｂは質問信号Ｃｑに応じて演算を行い、質問信号Ｃｑに対応した回答信号Ｃａを生成する。Ｑ＆Ａウォッチドッグ部６３は、質問信号Ｃｑに対して回答信号Ｃａが妥当かどうかを調べることにより、演算部５２（正確には内部演算部５２ｂ）が正常か否かを判定することができる。回答信号Ｃａが妥当な場合には、内部演算部５２ｂが正常である旨判定する。そして、Ｑ＆Ａウォッチドッグ部６３は、質問信号Ｃｑおよび回答信号Ｃａに基づいて判定信号Ｓ３を生成し、この判定信号Ｓ３をリセット信号判定部６４へ出力する。

擬似異常制御部６５は、ＩＧオン時に、監視対象であるクロック信号Ａ、内部ウォッチドッグ信号Ｂ、および回答信号Ｃａのいずれか一つを擬似的に異常状態にするための制御を行う。なお、擬似的な異常状態は、モータ３１の駆動制御などに影響を及ぼすような真の異常ではなく、モータ３１の駆動制御などに影響を及ぼさない程度の異常である。

具体的には、擬似異常制御部６５は擬似的に異常なクロック信号Ａを生成させる場合、擬似異常制御部６５はメインクロック５１に異常生成信号Ｅ１を出力する。メインクロック５１は、異常生成信号Ｅ１を取り込むと、擬似的に異常なクロック信号Ａを生成し、この異常なクロック信号Ａをクロック判定部６１に出力する。なお、メインクロック５１はクロック信号Ａを出力しないことにより、クロック信号Ａを擬似的な異常状態にしてもよい。また、擬似的に異常な内部ウォッチドッグ信号Ｂを生成させる場合、擬似異常制御部６５は演算部５２（正確には内部ウォッチドッグ部５２ａ）に異常生成信号Ｅ２を出力する。内部ウォッチドッグ部５２ａは異常生成信号Ｅ２を取り込むと、擬似的に異常な内部ウォッチドッグ信号Ｂを生成し、この異常な内部ウォッチドッグ信号Ｂを内部ウォッチドッグ信号判定部６２に出力する。なお、内部ウォッチドッグ信号Ｂを出力しないことにより、内部ウォッチドッグ信号Ｂを擬似的な異常状態にしてもよい。また、擬似的に異常な回答信号Ｃａを生成させる場合、擬似異常制御部６５は演算部５２（正確には内部演算部５２ｂ）に異常生成信号Ｅ３を出力する。演算部５２は異常生成信号Ｅ３を取り込むと、擬似的に異常な回答信号Ｃａを生成し、この異常な回答信号ＣａをＱ＆Ａウォッチドッグ部６３に出力する。たとえば、演算部５２は異常生成信号Ｅ３を取り込むと、質問信号Ｃｑに対する回答を間違えた回答信号Ｃａを生成することにより、回答信号Ｃａを擬似的な異常状態にする。なお、回答信号Ｃａを出力しないことにより回答信号Ｃａを擬似的に異常な回答信号Ｃａを出力してもよいし、回答信号Ｃａを異なる周期で出力することにより擬似的に異常な回答信号Ｃａを出力してもよい。また、擬似的に異常な信号を生成させる場合、擬似異常制御部６５はリセット信号判定部６４に異常生成信号Ｅ１〜Ｅ３を出力する。

擬似異常制御部６５は、ＩＧオン毎に擬似異常状態にする監視対象の信号を切り替える機能も有している。すなわち、擬似異常制御部６５は、前回のＩＧオン時のイニシャルチェックにおいて、クロック信号Ａ、内部ウォッチドッグ信号Ｂ、および回答信号Ｃａのうちどの信号を擬似的に異常状態としたかに基づいて、今回の擬似的に異常な状態にする監視対象の信号を決定する。具体的には、前回の監視対象の信号がクロック信号Ａの場合、今回の監視対象の信号を内部ウォッチドッグ信号Ｂとする。そして、今回の監視対象の信号が内部ウォッチドッグ信号Ｂの場合、次回の監視対象の信号を回答信号Ｃａとし、次々回の監視対象の信号を再びクロック信号Ａとする。すなわち、ＩＧオン毎に監視対象の信号が、クロック信号Ａ、内部ウォッチドッグ信号Ｂ、回答信号Ｃａの順にローテーションして切り替えられる。

リセット信号判定部６４は、判定信号Ｓ１〜Ｓ３を取り込む。リセット信号判定部６４は、これら判定信号Ｓ１〜Ｓ３の判定結果に応じてリセット信号Ｒを生成する。このリセット信号Ｒはメインマイコン５０全体をリセットするための信号である。そして、リセット信号判定部６４は、リセット信号Ｒをメインマイコン５０のリセット制御部５３に出力する。なお、リセット信号Ｒが生成されるのは、たとえば、車両走行時に監視対象の信号の異常が検出されたときである。

リセット信号判定部６４は、リセット信号Ｒだけでなく、メインマイコン５０における判定信号Ｓ１〜Ｓ３に応じた部分をリセットする信号も生成できる。詳しくは、判定信号Ｓ１が異常である旨を示すものであるとき、メインクロック５１をリセットするためのリセット信号Ｒ１を生成する。また、判定信号Ｓ２が異常である旨を示すものである時、演算部５２（正確には内部ウォッチドッグ部５２ａ）をリセットするためのリセット信号Ｒ２を生成する。また、判定信号Ｓ３が異常である旨を示すものであるとき、演算部５２（正確には内部演算部５２ｂ）をリセットするためのリセット信号Ｒ３を生成する。なお、リセット信号Ｒ１〜Ｒ３が生成されるのは、たとえばＩＧオン時のイニシャルチェックにおいて、監視対象の信号の異常が検出されたときである。

リセット制御部５３は、リセット信号判定部６４から出力されるリセット信号Ｒまたはリセット信号Ｒ１〜Ｒ３を取り込む。リセット制御部５３はリセット信号Ｒを取り込んだ場合、リセット信号Ｒに基づきメインマイコン５０全体をリセットする。すなわち、リセット制御部５３はメインマイコン５０の各部（メインクロック５１、演算部５２）にリセット信号Ｒ１〜Ｒ３を出力することに加え、監視対象の信号と直接の関係がない部分（図示略）にもリセット信号が出力される。

また、リセット制御部５３にリセット信号Ｒ１が入力された場合には、リセット制御部５３はメインクロック５１へリセット信号Ｒ１を出力し、メインクロック５１をリセットする。また、リセット制御部５３にリセット信号Ｒ２が入力された場合には、リセット制御部５３は内部ウォッチドッグ部５２ａへリセット信号Ｒ２を出力し、内部ウォッチドッグ部５２ａをリセットする。また、リセット制御部５３にリセット信号Ｒ３が入力された場合には、リセット制御部５３は内部演算部５２ｂへリセット信号Ｒ３を出力し、内部演算部５２ｂをリセットする。

つぎに、メインマイコン５０における監視対象の信号を生成する部分をリセットするためのリセット経路について詳しく説明する。
図３（ａ）に示すように、メインクロック５１（クロック信号Ａ）のリセット経路Ｃ１は、メインクロック５１と、クロック判定部６１と、リセット信号判定部６４と、リセット制御部５３と、これらの間の通信経路とを含んでいる。メインクロック５１において擬似的に異常なクロック信号Ａが生成される場合、リセット制御部５３からメインクロック５１にリセット信号Ｒ１が出力されてメインクロック５１がリセットされるとき、このリセット経路Ｃ１は健全に機能していると判定できる。これに対し、リセット制御部５３からメインクロック５１にリセット信号Ｒ１が出力されても、メインクロック５１がリセットされないときには、リセット経路Ｃ１は健全に機能していないと判定できる。

図３（ｂ）に示すように、内部ウォッチドッグ部５２ａ（内部ウォッチドッグ信号Ｂ）のリセット経路Ｃ２は、演算部５２の内部ウォッチドッグ部５２ａと、内部ウォッチドッグ信号判定部６２と、リセット信号判定部６４と、リセット制御部５３と、これらの間の通信経路とを含んでいる。内部ウォッチドッグ部５２ａにおいて、擬似的に異常な内部ウォッチドッグ信号Ｂが生成される場合、リセット制御部５３から内部ウォッチドッグ部５２ａにリセット信号Ｒ２が出力されて、内部ウォッチドッグ部５２ａがリセットされるとき、このリセット経路Ｃ２は健全に機能していると判定できる。これに対し、リセット制御部５３から内部ウォッチドッグ部５２ａにリセット信号Ｒ２が出力されても、内部ウォッチドッグ部５２ａがリセットされないときには、リセット経路Ｃ２は健全に機能していないと判定できる。

図３（ｃ）に示すように、内部演算部５２ｂ（質問信号Ｃｑおよび回答信号Ｃａ）のリセット経路Ｃ３は、演算部５２の内部演算部５２ｂと、Ｑ＆Ａウォッチドッグ部６３と、リセット信号判定部６４と、リセット信号判定部６４と、リセット制御部５３と、これらの間の通信経路とを含んでいる。内部演算部５２ｂにおいて擬似的に異常な回答信号Ｃａが生成される場合、リセット制御部５３から内部演算部５２ｂへリセット信号Ｒ３が出力されて、内部演算部５２ｂがリセットされるとき、このリセット経路Ｃ３は健全に機能していると判定できる。これに対し、リセット制御部５３から内部演算部５２ｂへリセット信号Ｒ３が出力されても、内部演算部５２ｂがリセットされないときには、リセット経路Ｃ３は健全に機能していないと判定できる。

つぎに、本実施形態の作用を説明する。
まず、本実施形態の特徴部分である、ＩＧオン時に行われるリセット経路Ｃ１〜Ｃ３のイニシャルチェックについて説明する。以下、図４のシーケンスチャートに従って説明を行う。

ＩＧオフのときには、メインマイコン５０およびサブマイコン６０には電源が供給されていないため、メインマイコン５０およびサブマイコン６０は停止している。
ＩＧオンされたとき、メインマイコン５０およびサブマイコン６０は駆動を開始し、イニシャルチェックを開始する（ステップＳ１，Ｓ２）。

サブマイコン６０は今回の監視対象の信号を決定する（ステップＳ３）。なお、前回のイニシャルチェックで擬似的に異常状態にした信号がある場合は、前回の監視対象と異なる監視対象の信号に切り替えて、今回の監視対象にする。サブマイコン６０（擬似異常制御部６５）は、メインマイコン５０における今回の監視対象に対して異常生成信号Ｅ１〜Ｅ３を出力する。

具体的には、クロック信号Ａを擬似的に異常状態にする場合、擬似異常制御部６５はメインクロック５１に異常生成信号Ｅ１を出力する。また、内部ウォッチドッグ信号Ｂを擬似的に異常状態にする場合、擬似異常制御部６５は内部ウォッチドッグ部５２ａに異常生成信号Ｅ２を出力する。また、回答信号Ｃａを擬似的に異常状態にする場合、擬似異常制御部６５は内部演算部５２ｂに異常生成信号Ｅ３を出力する。また、擬似異常制御部６５はリセット信号判定部６４にも異常生成信号Ｅ１〜Ｅ３を出力する。

メインマイコン５０は異常生成信号Ｅ１〜Ｅ３に基づき監視対象の信号（クロック信号Ａ、内部ウォッチドッグ信号Ｂ、または回答信号Ｃａ）を擬似的に異常状態にする（ステップＳ４）。

サブマイコン６０は、今回の監視対象により生成された信号（クロック信号Ａ、内部ウォッチドッグ信号Ｂ、または回答信号Ｃａ）に対応する判定信号Ｓ１〜Ｓ３が異常を示すものであるか否かを判定する（ステップＳ５）。言い換えると、サブマイコン６０は、異常生成信号Ｅ１〜Ｅ３に対応した判定信号Ｓ１〜Ｓ３が異常を示すものであるかを判定する。

具体的には、クロック信号Ａを擬似的に異常状態にする場合、リセット信号判定部６４は、擬似異常制御部６５から出力される異常生成信号Ｅ１およびクロック判定部６１から出力される判定信号Ｓ１を取り込む。そして、異常生成信号Ｅ１に対応した判定信号Ｓ１が異常である旨示すものであるか判定する。言い換えると、リセット信号判定部６４は、今回の監視対象から出力されるクロック信号Ａに対応する判定信号Ｓ１が異常であるか否かを判定する。

サブマイコン６０は、今回の監視対象により生成された信号に対応する判定信号Ｓ１〜Ｓ３が異常を示すものである場合（ステップＳ５のＹＥＳ）、メインマイコン５０（リセット制御部５３）へ今回の監視対象に対するリセット信号Ｒ１〜Ｒ３を出力する（ステップＳ６）。具体的には、サブマイコン６０のリセット信号判定部６４は、判定信号Ｓ１を生成する要因となったメインクロック５１の異常をリセットするため、リセット制御部５３へリセット信号Ｒ１を出力する。

メインマイコン５０は、サブマイコン６０からのリセット信号Ｒ１〜Ｒ３を取り込み、メインマイコン５０におけるリセット信号Ｒ１〜Ｒ３に応じた部位のリセットを実行し（ステップＳ７）、処理を終了する。たとえば、メインマイコン５０はリセット信号Ｒ１が取り込まれるとき、メインクロック５１がリセットされる。

サブマイコン６０は、メインマイコン５０におけるリセット信号Ｒ１〜Ｒ３に応じた部位がリセットされたかどうかを判定する（ステップＳ８）。リセットされたかどうかは、たとえば判定信号Ｓ１〜Ｓ３が異常である旨示すものから正常である旨示すものへと変化したことから判定できる。

リセット信号Ｒ１〜Ｒ３に応じた部位がリセットされた場合（ステップＳ８でＹＥＳ）には、リセット経路Ｃ１〜Ｃ３は正常に機能しているとして処理を終了する（ステップＳ９）。これに対し、リセット信号Ｒ１〜Ｒ３に応じた部位がリセットされない場合（ステップＳ８でＮＯ）には、リセット経路Ｃ１〜Ｃ３は正常に機能していないとして（ステップＳ１０）、処理を終了する。

なお、先のステップＳ５の判断において、サブマイコン６０から異常生成信号Ｅ１〜Ｅ３が出力されたにもかかわらず、今回の監視対象により生成された信号に対応する判定信号Ｓ１〜Ｓ３が異常を示すものでない場合（ステップＳ５のＮＯ）、監視対象に対応したリセット経路Ｃ１〜Ｃ３に異常が発生していると判断する（ステップＳ１１）。たとえば、クロック信号Ａを擬似的に異常状態にしたにもかかわらず、判定信号Ｓ１が異常を示すものでない場合には、たとえばクロック判定部６１に異常が発生していることや、リセット信号Ｒ１の通信経路上で断線が起きていることが考えられる。

以上でイニシャルチェックにおけるリセット経路Ｃ１〜Ｃ３の健全性の確認は終了する。そして、つぎのＩＧオン時には、今回の監視対象の信号とは異なる信号を監視対象として、リセット経路Ｃ１〜Ｃ３の健全性を確認する。これにより、全てのリセット経路Ｃ１〜Ｃ３について、順次その健全性が確認される。

なお、リセット経路Ｃ１〜Ｃ３が異常である場合、ＥＣＵ４０自身の動作を停止するなどの予め定められた処理を実行する。擬似的に異常状態にした信号に対応したリセット経路Ｃ１〜Ｃ３に異常が発生しているため、リセットできないからである。

本実施形態の効果を説明する。
（１）ＩＧオン時のイニシャルチェックの際に監視対象の信号を擬似的に異常状態とすることで、リセット経路Ｃ１〜Ｃ３の全ての経路が健全であるか否かを確認できる。なお、イニシャルチェックの際は、十分な時間を取ることができないため、リセット経路Ｃ１〜Ｃ３が全て健全であることを確認することが時間的に困難であったが、ＩＧオン毎に健全であることを確認するリセット経路を切り替えることで全てのリセット経路Ｃ１〜Ｃ３が健全であることを確認できる。このため、より多くのリセット経路Ｃ１〜Ｃ３の健全性を確認することができ、メインマイコン５０に異常が生じた場合にも、より確実にメインマイコン５０をリセットすることができる。このため、メインマイコン５０をより確実に機能させることができる。

（２）ＩＧオン時のイニシャルチェックの際は、健全性を確認する経路ごとにリセットが行われるため、よりリセット経路の健全性の確認に要する時間が短縮される。すなわち、メインマイコン５０の全てをリセットする場合と比べて、メインマイコン５０における擬似的な異常が発生した部分のみリセットを行うほうが、メインマイコン５０がリセットされて通常の駆動に戻るまでの時間をより短縮できる。

なお、本実施形態は次のように変更してもよい。
・本実施形態では、メインマイコン５０から出力される信号を擬似的な異常状態にしたが、これに限らない。たとえば、サブマイコン６０から出力される信号を擬似的な異常状態にしてもよいし、サブマイコン６０がメインマイコン５０から出力される信号を取り込まないことにより、擬似的な異常を発生させてもよい。

・本実施形態では、リセット信号判定部６４はサブマイコン６０に設けられたが、これに限らない。たとえば、リセット信号判定部６４は、メインマイコン５０に設けられてもよいし、メインマイコン５０およびサブマイコン６０の外部に設けられてもよい。

・本実施形態では、メインマイコン５０およびサブマイコン６０が用いられたが、これに限らない。たとえば、ＣＰＵであってもよいし、ＩＣ（集積回路）であってもよい。すなわち、電子部品であればどのようなものであってもよい。

・本実施形態では、メインマイコン５０の駆動をサブマイコン６０が監視したが、これに限らない。すなわち、サブマイコン６０の駆動をメインマイコン５０が監視してもよいし、メインマイコン５０およびサブマイコン６０がそれぞれ監視しあってもよい。

・本実施形態では、健全性を確認するリセット経路をＩＧオン毎にローテーションして切り替えることで、全てのリセット経路Ｃ１〜Ｃ３の健全性を確認したが、これに限らない。すなわち、ランダムに切り替えられてもよいし、連続して同じリセット経路の健全性を確認してもよい。

・本実施形態では、クロック信号Ａ’の周波数はクロック信号Ａの周波数と等しく設定されたが、これに限らない。たとえば、クロック信号Ａ’の周波数とクロック信号Ａの周波数とは約数の関係に設定されてもよい。

・本実施形態では、クロック判定部６１にサブクロック６１ａが設けられたが、サブクロック６１ａは設けられなくてもよい。この場合、たとえば、クロック判定部６１に記憶されているメインクロック５１の周波数と、クロック信号Ａの周波数が一致するかどうかで異常か否かを判定できる。

・本実施形態では、サブマイコン６０の擬似異常制御部６５によって擬似的に異常状態にする信号を決定したが、これに限らない。たとえば、メインマイコン５０に擬似異常制御部６５を設けてもよい。

・イニシャルチェックの時間の制約が緩い場合には、ＩＧオン時のイニシャルチェックで１度目のリセット処理が行われたのち、再度別の監視対象の信号を擬似的な異常状態にすることで、２度目のリセット処理を行ってもよい。すなわち、イニシャルチェックの時間の制約内で、リセット処理を複数回行ってもよい。

・本実施形態では、監視対象の信号として、クロック信号Ａ、内部ウォッチドッグ信号Ｂ、および回答信号Ｃａを用いたがこれに限らない。たとえば、４つ以上の信号を監視してもよいし、２つの信号を監視してもよい。

・本実施形態では、ＩＧオン時のイニシャルチェックでリセットが行われる場合、リセット信号Ｒ１〜Ｒ３により、メインマイコン５０における擬似的な異常が発生した部分のリセットが行われたが、これに限らない。すなわち、イニシャルチェックでリセットされる場合でも、リセット信号Ｒを出力することにより、メインマイコン５０の全体をリセットするようにしてもよい。

・本実施形態では、ＩＧオン時のイニシャルチェックの際に、監視対象の信号に擬似的な異常を発生させることにより、リセット経路Ｃ１〜Ｃ３の健全性を確認したが、これに限らない。たとえば、ＩＧオフしてからＥＣＵ４０の電源が切れるまでの間に、リセット経路Ｃ１〜Ｃ３の健全性を確認してもよい。

・本実施形態では、車両用制御装置をＥＰＳ１０のＥＣＵ４０に具体化したが、ＥＰＳ１０以外の用途に用いてもよい。たとえば、ステアバイワイヤなどの他の車載システムのＥＣＵに適用してもよい。

１０…ＥＰＳ、２０…操舵機構、２１…ステアリングホイール、２２…ステアリングシャフト、２２ａ…コラムシャフト、２２ｂ…インターミディエイトシャフト、２２ｃ…ピニオンシャフト、２３…ラックシャフト、２４…ラックアンドピニオン機構、２５…タイロッド、２６…転舵輪、３０…アシスト機構、３１…モータ、３１ａ…回転軸、３２…減速機構、３０…トルクセンサ、４０…ＥＣＵ、５０…メインマイコン（制御部）、５１…メインクロック（信号生成部）、５２…演算部、５２ａ…内部ウォッチドッグ部（信号生成部）、５２ｂ…内部演算部（信号生成部）、５３…リセット制御部、６０…サブマイコン（監視部）、６１…クロック判定部（異常判定部）、６２…内部ウォッチドッグ信号判定部（異常判定部）、６３…Ｑ＆Ａウォッチドッグ部（異常判定部、外部監視部）、６４…リセット信号判定部（リセット判定部）、６５…擬似異常制御部（異常発生部）、７０…駆動回路、８０…電流センサ、Ａ…クロック信号、Ｂ…内部ウォッチドッグ信号、Ｃｑ…質問信号、Ｃａ…回答信号、Ｒ，Ｒ１，Ｒ２，Ｒ３…リセット信号、Ｅ１，Ｅ２，Ｅ３…異常生成信号。

Claims (5)

1. 車両の動作を制御し、複数の信号を生成する制御部と、
   前記複数の信号を監視することにより前記制御部の動作を監視する監視部と、
   前記複数の信号の１つを選択し、当該選択される信号に擬似的な異常を発生させる異常発生部と、
   前記選択された信号が異常である旨判定されるとき、前記制御部をリセットするリセット判定部と、を備え、
   前記異常発生部は、車両の電源がオンされる毎に擬似的な異常状態を発生させる信号を前記選択された信号から他の信号に切り替え、
   前記制御部は、前記制御部における前記複数の信号をそれぞれ生成する複数の信号生成部を有し、
   前記リセット判定部は、前記選択された信号が異常である旨判定されるとき、前記複数の信号生成部のうち、前記選択された信号を生成する１つの信号生成部をリセットする車両用制御装置。
2. 車両の動作を制御し、複数の信号を生成する制御部と、
   前記複数の信号を監視することにより前記制御部の動作を監視する監視部と、
   前記複数の信号の１つを選択し、当該選択される信号に擬似的な異常を発生させる異常発生部と、
   前記選択された信号が異常である旨判定されるとき、前記制御部をリセットするリセット判定部と、を備え、
   前記異常発生部は、車両の電源がオンされる毎に擬似的な異常状態を発生させる信号を前記選択された信号から他の信号に切り替え、
   前記制御部は、クロック信号を生成するクロック生成部と車両の制御量を演算する演算部とを有し、
   前記演算部は、自身の動作を監視するための内部ウォッチドッグ信号を生成する内部ウォッチドッグ部と、前記監視部からの要求に応じて自身の演算機能を監視するための外部監視部とを有し、
   前記監視部が監視する信号は、前記クロック生成部により生成されるクロック信号と、前記内部ウォッチドッグ部により生成される内部ウォッチドッグ信号と、前記外部監視部により生成される外部監視信号である車両用制御装置。
3. 請求項２に記載の車両用制御装置において、
   前記制御部は、前記制御部における前記複数の信号をそれぞれ生成する複数の信号生成部を有し、
   前記リセット判定部は、前記選択された信号が異常である旨判定されるとき、前記複数の信号生成部のうち、前記選択された信号を生成する１つの信号生成部をリセットする車両用制御装置。
4. 請求項１〜３のいずれか一項に記載の車両用制御装置において、
   前記リセット判定部は前記監視部に設けられている車両用制御装置。
5. 請求項１〜４のいずれか一項に記載の車両用制御装置において、
   前記監視部は前記制御部と同様の信号を生成し、
   前記制御部により生成される信号と、前記監視部により生成される信号とを比較することで前記制御部により生成される信号の異常を判定する異常判定部が設けられている車両用制御装置。