WO2015194282A1 - モータ制御装置 - Google Patents

モータ制御装置 Download PDF

Info

Publication number
WO2015194282A1
WO2015194282A1 PCT/JP2015/063405 JP2015063405W WO2015194282A1 WO 2015194282 A1 WO2015194282 A1 WO 2015194282A1 JP 2015063405 W JP2015063405 W JP 2015063405W WO 2015194282 A1 WO2015194282 A1 WO 2015194282A1
Authority
WO
WIPO (PCT)
Prior art keywords
cpu
failure
microcomputer
function unit
communication function
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2015/063405
Other languages
English (en)
French (fr)
Inventor
龍也 畑山
浩明 五十嵐
坂本　英之
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Automotive Systems Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Automotive Systems Ltd filed Critical Hitachi Automotive Systems Ltd
Priority to CN201580031889.2A priority Critical patent/CN106462485B/zh
Priority to US15/320,003 priority patent/US10254733B2/en
Priority to JP2016529163A priority patent/JP6166473B2/ja
Priority to DE112015002210.4T priority patent/DE112015002210T5/de
Publication of WO2015194282A1 publication Critical patent/WO2015194282A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L1/00—Supplying electric power to auxiliary equipment of vehicles
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/0023—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train
    • B60L3/0084—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train relating to control modules
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/0092—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption with use of redundant elements for safety purposes
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0718—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in an object-oriented system
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/26—Functional testing
    • G06F11/27—Built-in tests
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02P—CONTROL OR REGULATION OF ELECTRIC MOTORS, ELECTRIC GENERATORS OR DYNAMO-ELECTRIC CONVERTERS; CONTROLLING TRANSFORMERS, REACTORS OR CHOKE COILS
    • H02P29/00—Arrangements for regulating or controlling electric motors, appropriate for both AC and DC motors
    • H02P29/02—Providing protection against overload without automatic interruption of supply
    • H02P29/032—Preventing damage to the motor, e.g. setting individual current limits for different drive conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L2220/00—Electrical machine types; Structures or applications thereof
    • B60L2220/40—Electrical machine applications
    • B60L2220/42—Electrical machine applications with use of more than one motor
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14006—Safety, monitoring in general
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02T—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO TRANSPORTATION
    • Y02T10/00—Road transport of goods or passengers
    • Y02T10/60—Other road transportation technologies with climate change mitigation effect
    • Y02T10/64—Electric machine technologies in electromobility
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02T—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO TRANSPORTATION
    • Y02T90/00—Enabling technologies or technologies with a potential or indirect contribution to GHG emissions mitigation
    • Y02T90/10—Technologies relating to charging of electric vehicles
    • Y02T90/16—Information or communication technologies improving the operation of electric vehicles

Definitions

  • the present invention relates to a motor control device mounted on a vehicle.
  • a failure of a microcomputer that controls a device can be detected by comparing two arithmetic units, and when a failure occurs, an error is notified or the function is stopped.
  • the motor control device includes an integrated control unit that receives information about a failure from the first microcomputer and the second microcomputer and controls the motor.
  • the first microcomputer includes a first CPU and a first self-diagnosis function unit. And a first internal communication function unit that detects a failure of the first CPU by communicating from the second CPU to the first CPU, and the second microcomputer communicates from the third CPU to the first microcomputer. And a second external communication function unit that detects a failure of the first microcomputer, and the integrated control unit is configured to detect the first CPU even if the second CPU is determined to be a failure by the first self-diagnosis function unit. The failure of the first CPU is monitored based on the failure detection result of the first internal communication function unit and the second external communication function unit, and the processing of the first CPU is continued based on the monitoring result.
  • the control of the motor mounted on the vehicle can be safely continued by allowing the control of the first CPU to be continued even if the second CPU is diagnosed as malfunctioning.
  • FIG. 1 is a circuit diagram showing an overall configuration of a motor control device 1 according to the first embodiment.
  • the motor control device 1 includes a first microcomputer 100, a second microcomputer 200, an integrated control unit 300, a first motor 400, and a second motor 500.
  • the first microcomputer 100 includes a first CPU 120, a second CPU 110, a first internal communication function unit 130, a first failure determination notification unit 140, and a first PWM signal generation unit 150, and generates a PWM signal for motor control. Or failure diagnosis of the first CPU 120 or the second CPU 110 is performed.
  • the first microcomputer 100 is a multi-core microcomputer having a second CPU 110 and a first CPU 120.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120, and detects a failure of the first CPU 120 by performing communication via a shared memory or the like.
  • the first failure determination notification unit 140 receives a failure notification from the first internal communication function unit 130 or the like, and notifies the integrated control unit 300 of a result of the retry determined as a true failure.
  • the first PWM signal generation unit 150 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the first PWM signal generation unit 150 is operated by the second CPU 110.
  • the second CPU 110 includes a first core 111 and a first self-diagnosis function unit 115.
  • the first self-diagnosis function unit 115 includes a second core 112 and a failure diagnosis unit 113.
  • the first core 111 has a calculation function. For example, it has a function of outputting general CPU instruction fetch, decoding, arithmetic processing, and arithmetic results to a memory or the like. Further, the first core 111 detects a failure of a bus, an IO controller, an internal memory, and the like that are core peripheral modules of the second CPU 110. Then, the first core 111 transmits the calculation processing result to the failure diagnosis unit 113.
  • the second core 112 has a calculation function. For example, it has a function of outputting general CPU instruction fetch, decoding, arithmetic processing, and arithmetic results to a memory or the like. Then, the same calculation as that of the first core 111 is performed, and the calculation processing result is transmitted to the failure diagnosis unit 113.
  • the failure diagnosis unit 113 compares the arithmetic processing result of the first core 111 with the arithmetic processing result of the second core 112 and determines that it is abnormal if they do not match. If it is not possible to recover from the abnormality, it is determined that the second CPU 110 has failed, and the first failure determination notification unit 140 is informed of the failure.
  • the first self-diagnosis function unit 115 includes the second core described above, and a failure diagnosis unit 113 that compares the operation processing result of the first core 111 and the operation processing result of the second core 112 to diagnose a failure.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120, and the first core 111 communicates with the first CPU 120 via a shared memory or the like, and communicates via the shared memory or the like. Thus, the failure of the first CPU 120 is detected. When a failure is detected, the failure is transmitted to the first failure determination notification unit 140.
  • the first failure determination notification unit 140 receives a failure notification from the first self-diagnosis function unit 115 and the first internal communication function unit 130, and is true when the result of the retry, i.e., the notification of a predetermined number of failures, is received. Is notified to the integrated control unit 300. Specifically, when the failure from the first self-diagnostic function unit 115 is received and it is determined that the failure is true, the second CPU 110 notifies the integrated control unit 300 that the failure has occurred. In addition, when the failure is received from the first internal communication function unit 130 and is determined to be a true failure, the integrated control unit 300 is notified of the failure of the first CPU 120.
  • the second microcomputer 200 includes a third CPU 210, a second external communication function unit 260, a second failure determination notification unit 240, and a second PWM signal generation unit 250, and generates a PWM signal for motor control, 1 Diagnosis of failure of the microcomputer 100 is performed.
  • the second external communication function unit 260 detects a failure of the first microcomputer 100 by communicating with the first CPU 120 of the first microcomputer 100 and the second microcomputer 200. Specifically, the first CPU 120 processes the example calculation from the third CPU 210 and confirms the coincidence of the result. If they do not match, it is determined that the first CPU 120 has failed, and the second failure determination notification unit 240 is notified of the failure.
  • the second failure determination notification unit 240 receives a failure notification from the second external communication function unit 260, and notifies the integrated control unit 300 of a result of the retry determined as a true failure. Specifically, when the failure is received from the second external communication function unit 260 and it is determined that the failure is truly a failure, the integrated control unit 300 is notified that the first CPU 120 is a failure.
  • the second PWM signal generation unit 250 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the integrated control unit 300 performs failure determination based on notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240, and if normal, the PWM signal transmitted from the first PWM signal generation unit 150 is output.
  • the PWM signal is supplied to the first motor 400 and the PWM signal sent from the second PWM signal generator 250 is supplied to the second motor 500.
  • the integrated control unit 300 performs the failure determination based on the notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240. For example, when the second CPU 110 is determined to have failed, the first PWM signal generation unit Control is performed so that the PWM signal sent from 150 is not supplied to the first motor 400.
  • the first motor 400 is a drive motor used for driving the vehicle
  • the second motor 500 is a regenerative motor.
  • FIG. 2 is a flowchart for explaining the failure determination operation of the integrated control unit 300.
  • the first microcomputer 100 and the second microcomputer 200 always perform failure diagnosis, and the diagnosis result is obtained from the first failure determination notification unit 140 of the first microcomputer 100 and the second failure determination notification unit 240 of the second microcomputer 200.
  • the notification is sent to the integrated control unit 300.
  • FIG. 2 shows an operation executed by a control unit (not shown) of the integrated control unit 300.
  • a logic circuit that operates in the same manner as the operation shown in this flowchart may be provided as hardware in the integrated control unit 300.
  • the integrated control unit 300 starts a failure determination of the second CPU 110 and the first CPU 120 of the first microcomputer 100. Note that the failure indicates that an operation other than the assumption is continuously performed, and indicates a hardware failure and a software failure.
  • Step S1 is to monitor the failure of the second CPU 110 of the first microcomputer 100, and makes a determination based on the result of the first self-diagnosis function unit 115 of the first microcomputer 100 (determination mode 1). If normal, the process proceeds to step S11, and the second CPU 110 determines normal. If there is a failure, the process proceeds to step S12, and the second CPU 110 determines that there is a failure. After the determination in step S11, the process proceeds to step S2, and after the determination in step S12, the process proceeds to step S32.
  • Step S2 is for monitoring a failure between the first CPU 120 and the second CPU 110 of the first microcomputer 100, and determining based on the result of the first internal communication function unit 130 (determination mode 2). If normal, the process proceeds to step S21, and the first CPU 120 determines that it is normal. If there is a failure, the process proceeds to step S32. After the determination in step S21, the process proceeds to step S31.
  • Step S31 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination mode 3). If it is normal, the first CPU 120 determines that it is normal, as already determined in step S21. In the case of failure, the process proceeds to step S33, and the second CPU 110 and the first CPU 120 determine that there is a failure. This determination is a diagnosis that takes into account when the first self-diagnostic function unit 115 has failed, and is inconsistent with the determinations in step S11 and step S21.
  • step S32 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination) Mode 3). If normal, the process proceeds to step S34, and it is determined that the first CPU 120 is normal and the second CPU 110 is faulty. Since this determination is inconsistent with the determination in step S2, according to step S32, it is determined that the second CPU 110 is faulty, and further, it is determined that the first CPU 120 is normal. Therefore, in this case, the processing of the first CPU 120 can be continued.
  • step S32 if there is a failure, the process proceeds to step S35, and the first CPU 120 determines that there is a failure.
  • the integrated control unit 300 performs control to block the PWM signal transmitted from the first PWM signal generation unit 150 without supplying the PWM signal to the first motor 400.
  • FIG. 3 is a circuit diagram showing the overall configuration of the motor control device 1 according to the second embodiment.
  • the configurations of the first internal communication function unit 130 and the first CPU 120 are different from those of the first embodiment.
  • the motor control device 1 includes a first microcomputer 100, a second microcomputer 200, an integrated control unit 300, a first motor 400, and a second motor 500.
  • the first microcomputer 100 includes a first CPU 120, a second CPU 110, a first internal communication function unit 130, a first failure determination notification unit 140, and a first PWM signal generation unit 150, and generates a PWM signal for motor control. Or failure diagnosis of the first CPU 120 or the second CPU 110 is performed.
  • the first microcomputer 100 is a multi-core microcomputer having a second CPU 110 and a first CPU 120.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120, and detects a failure of the first CPU 120 by performing communication via a shared memory or the like.
  • the first failure determination notification unit 140 receives a failure notification from the first internal communication function unit 130 or the like, and notifies the integrated control unit 300 of a result of the retry determined as a true failure.
  • the first PWM signal generation unit 150 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the first PWM signal generation unit 150 is operated by the second CPU 110.
  • the second CPU 110 includes a first core 111 and a first self-diagnosis function unit 115. Since the second CPU 110 has the same configuration as that shown in the first embodiment, its details are omitted.
  • the first self-diagnosis function unit 115 compares the calculation processing result of the first core 111 with the calculation processing result of the second core (not shown) in the first self-diagnosis function unit 115 to diagnose a failure of the second CPU 110, The failure is notified to the first failure determination notification unit 140.
  • the first CPU 120 includes a third core 121, and the third core 121 has an arithmetic function. For example, it has a function of outputting general CPU instruction fetch, decoding, arithmetic processing, and arithmetic results to a memory or the like.
  • the first internal communication function unit 130 is provided between the first core 111 of the second CPU 110 and the third core 121 of the first CPU 120, and the second CPU 110 communicates with the first CPU 120 via a shared memory or the like, and the shared memory
  • the failure of the first CPU 120 is detected by performing communication via the communication. Further, the first CPU 120 communicates with the second CPU 110 via a shared memory or the like, and performs communication via the shared memory or the like, thereby detecting a failure of the second CPU 110. When a failure is detected, the failure is notified to the first failure determination notification unit 140.
  • the first failure determination notification unit 140 receives a failure notification from the first self-diagnostic function unit 115 and the first internal communication function unit 130, and notifies the integrated control unit 300 of a result of the retry determined as a true failure. . Specifically, when the failure from the first self-diagnostic function unit 115 is received and it is determined that the failure is true, the second CPU 110 notifies the integrated control unit 300 that the failure has occurred. Further, when it is determined that the failure is true from the failure of the first internal communication function unit 130, it is determined that the first CPU 120 is defective, and further, the failure from the first internal communication function unit 130 is received, When it is determined that the failure is true, the integrated control unit 300 is notified that the second CPU 110 is in failure.
  • the second microcomputer 200 includes a third CPU 210, a second external communication function unit 260, a second failure determination notification unit 240, and a second PWM signal generation unit 250, and generates a PWM signal for motor control, 1 Diagnosis of failure of the microcomputer 100 is performed.
  • the second external communication function unit 260 detects a failure of the first microcomputer 100 by communicating with the third core 121 of the first CPU 120 of the first microcomputer 100 and the second microcomputer 200. Specifically, the example calculation from the third CPU 210 is processed by the third core 121 of the first CPU 120, and the coincidence of the result is confirmed. If they do not match, it is determined that the first CPU 120 has failed, and the second failure determination notification unit 240 is notified of the failure.
  • the second failure determination notification unit 240 receives a failure notification from the second external communication function unit 260, and notifies the integrated control unit 300 of a result of the retry determined as a true failure. Specifically, when the failure is received from the second external communication function unit 260 and it is determined that the failure is truly a failure, the integrated control unit 300 is notified that the first CPU 120 is a failure.
  • the second PWM signal generation unit 250 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the integrated control unit 300 performs failure determination based on notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240, and if normal, the PWM signal transmitted from the first PWM signal generation unit 150 is output.
  • the PWM signal is supplied to the first motor 400 and the PWM signal sent from the second PWM signal generator 250 is supplied to the second motor 500.
  • the integrated control unit 300 performs the failure determination based on the notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240. For example, when the second CPU 110 is determined to have failed, the first PWM signal generation unit Control is performed so that the PWM signal sent from 150 is not supplied to the first motor 400.
  • the first motor 400 is a drive motor used for driving the vehicle
  • the second motor 500 is a regenerative motor.
  • FIG. 4 is a flowchart for explaining the failure determination operation of the integrated control unit 300.
  • the first microcomputer 100 and the second microcomputer 200 always perform failure diagnosis, and the diagnosis result is obtained from the first failure determination notification unit 140 of the first microcomputer 100 and the second failure determination notification unit 240 of the second microcomputer 200.
  • the notification is sent to the integrated control unit 300.
  • FIG. 4 shows an operation performed by a control unit (not shown) of the integrated control unit 300.
  • a logic circuit that operates in the same manner as the operation shown in this flowchart may be provided as hardware in the integrated control unit 300.
  • the integrated control unit 300 starts a failure determination of the second CPU 110 and the first CPU 120 of the first microcomputer 100. Note that the failure indicates that an operation other than the assumption is continuously performed, and indicates a hardware failure and a software failure.
  • Step S1 is to monitor the failure of the second CPU 110 of the first microcomputer 100, and makes a determination based on the result of the first self-diagnosis function unit 115 of the first microcomputer 100 (determination mode 1). If normal, the process proceeds to step S11, and the second CPU 110 determines normal. If there is a failure, the process proceeds to step S12, and the second CPU 110 determines that there is a failure. After the determination in step S11, the process proceeds to step S2-1. After the determination in step S12, the process proceeds to step S32.
  • Step S2-1 is for monitoring the failure of the first CPU 120 to the second CPU 110 of the first microcomputer 100, and making a determination based on the result of the first internal communication function unit 130 (determination mode 21). If normal, the process proceeds to step S2-2. If there is a failure, the process proceeds to step S32.
  • Step S2-2 monitors the failure of the first CPU 120 from the second CPU 110 of the first microcomputer 100, and makes a determination based on the result of the first internal communication function unit 130 (determination mode 22). If normal, the process proceeds to step S21, and the first CPU 120 determines that it is normal. If there is a failure, the process proceeds to step S2-3.
  • Step S2-3 determines that the second CPU 110 of the first microcomputer 100 is in failure.
  • the first self-diagnostic function unit 115 of the second CPU 110 indicates a failure.
  • the process proceeds to step S32.
  • Step S31 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination mode 3). If it is normal, the first CPU 120 determines that it is normal, as already determined in step S21. In the case of failure, the process proceeds to step S33, and the second CPU 110 and the first CPU 120 determine that there is a failure. This determination is a diagnosis that takes into account when the first self-diagnostic function unit 115 has failed, and is inconsistent with the determinations in step S11 and step S21.
  • step S32 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination) Mode 3). If normal, the process proceeds to step S34, and it is determined that the first CPU 120 is normal and the second CPU 110 is faulty. Since this determination is inconsistent with the determination in step S2, according to step S32, it is determined that the second CPU 110 is faulty, and further, it is determined that the first CPU 120 is normal. Therefore, in this case, the processing of the first CPU 120 can be continued.
  • step S32 if there is a failure, the process proceeds to step S35, and the first CPU 120 determines that there is a failure.
  • the integrated control unit 300 performs control to block the PWM signal transmitted from the first PWM signal generation unit 150 without supplying the PWM signal to the first motor 400.
  • the failure of the first CPU 120 and the second CPU 110 can be detected, but in the second embodiment, the failure of the first CPU 120, the second CPU 110, and the first self-diagnostic function unit 115 can be detected.
  • FIG. 5 is a circuit diagram showing the overall configuration of the motor control device 1 according to the third embodiment.
  • a first external communication function unit 160, a fourth CPU 220, and a second internal communication function unit 230 are added to the first embodiment.
  • the motor control device 1 includes a first microcomputer 100, a second microcomputer 200, an integrated control unit 300, a first motor 400, and a second motor 500.
  • the first microcomputer 100 includes a first CPU 120, a second CPU 110, a first internal communication function unit 130, a first failure determination notification unit 140, and a first PWM signal generation unit 150, and generates a PWM signal for motor control. Or failure diagnosis of the first CPU 120 or the second CPU 110 is performed.
  • the first microcomputer 100 is a multi-core microcomputer having a second CPU 110 and a first CPU 120.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120, and detects a failure of the first CPU 120 by performing communication via a shared memory or the like.
  • the first failure determination notification unit 140 receives a failure notification from the first self-diagnostic function unit 115, the first internal communication function unit 130, and a first external communication function unit 160 described later, and as a result of the retry, a true failure is detected. To the integrated control unit 300. Specifically, when the failure from the first self-diagnostic function unit 115 is received and it is determined that the failure is true, the second CPU 110 notifies the integrated control unit 300 that the failure has occurred. In addition, when the failure is received from the first internal communication function unit 130 and is determined to be a true failure, the integrated control unit 300 is notified of the failure of the first CPU 120.
  • the first PWM signal generation unit 150 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the first PWM signal generation unit 150 is operated by the second CPU 110.
  • the second CPU 110 includes a first self-diagnosis function unit 115. Since the second CPU 110 has the same configuration as that shown in the first embodiment, its details are omitted.
  • the first self-diagnosis function unit 115 compares the arithmetic processing result of the first core 111 (not shown) and the arithmetic processing result of the second core 112 to diagnose the failure of the second CPU 110 and notifies the first failure determination notification unit 140 of the failure. Tell.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120.
  • the second CPU 110 communicates with the first CPU 120 via a shared memory or the like, and performs communication via the shared memory or the like.
  • a failure of the first CPU 120 is detected.
  • the failure is notified to the first failure determination notification unit 140.
  • the first external communication function unit 160 detects a failure of the second microcomputer 200 by communicating with the third CPU 210 of the second microcomputer 200 and the first microcomputer 100. Specifically, the example calculation from the first CPU 120 is processed by the third CPU 210 via the second external communication function unit 260, and the result is confirmed to confirm the match. If they do not match, it is determined that the third CPU 210 has failed, and the first failure determination notification unit 140 is notified of the failure.
  • the second microcomputer 200 includes a third CPU 210, a fourth CPU 220, a second internal communication function unit 230, a second external communication function unit 260, a second failure determination notification unit 240, and a second PWM signal generation unit 250.
  • the PWM signal for motor control is generated, the self-diagnosis of the second microcomputer 200, the failure diagnosis of the first microcomputer 100, and the like are performed.
  • the second microcomputer 200 is a multi-core microcomputer having a fourth CPU 220 and a third CPU 210.
  • the fourth CPU 220 includes a second self-diagnosis function unit 225.
  • the second self-diagnosis function unit 225 has the same configuration as the first self-diagnosis function unit 115 of the second CPU 110, diagnoses a failure of the fourth CPU 220, and notifies the second failure determination notification unit 240 of the failure.
  • the second internal communication function unit 230 is provided between the fourth CPU 220 and the third CPU 210.
  • the fourth CPU 220 communicates with the third CPU 210 via a shared memory or the like, and performs communication via the shared memory or the like.
  • a failure of the third CPU 210 is detected.
  • the failure is notified to the second failure determination notification unit 240.
  • the second external communication function unit 260 detects a failure of the first microcomputer 100 by communicating with the first CPU 120 of the first microcomputer 100 and the second microcomputer 200. Specifically, the example operation from the third CPU 210 is processed by the first CPU 120 via the first external communication function unit 160, and the match is confirmed by receiving the result. If they do not match, it is determined that the first CPU 120 has failed, and the second failure determination notification unit 240 is notified of the failure.
  • the second failure determination notification unit 240 receives a failure notification from the second self-diagnostic function unit 225, the second internal communication function unit 230, and the second external communication function unit 260, and as a result of the retry, determines that it is truly a failure. Is notified to the integrated control unit 300. Specifically, if the failure is received from the second self-diagnostic function unit 225 and is determined to be a true failure, the fourth CPU 220 notifies the integrated control unit 300 that the failure has occurred. In addition, when it is determined that a failure has actually occurred due to a failure from the second internal communication function unit 230, the third CPU 210 notifies the integrated control unit 300 that the failure has occurred. In addition, when the failure from the second external communication function unit 260 is received and it is determined that the failure is true, the first CPU 120 notifies the integrated control unit 300 that the failure has occurred.
  • the second PWM signal generation unit 250 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the integrated control unit 300 performs failure determination based on notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240, and if normal, the PWM signal transmitted from the first PWM signal generation unit 150 is output.
  • the PWM signal is supplied to the first motor 400 and the PWM signal sent from the second PWM signal generator 250 is supplied to the second motor 500.
  • the integrated control unit 300 performs the failure determination based on the notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240. For example, when the second CPU 110 is determined to have failed, the first PWM signal generation unit Control is performed so that the PWM signal sent from 150 is not supplied to the first motor 400.
  • the first motor 400 is a drive motor used for driving the vehicle
  • the second motor 500 is a regenerative motor.
  • FIG. 6 is a flowchart for explaining the failure determination operation of the integrated control unit 300.
  • the first microcomputer 100 and the second microcomputer 200 always perform failure diagnosis, and the diagnosis result is obtained from the first failure determination notification unit 140 of the first microcomputer 100 and the second failure determination notification unit 240 of the second microcomputer 200.
  • the notification is sent to the integrated control unit 300.
  • the flowchart of FIG. 6 described below shows an operation performed by a control unit (not shown) of the integrated control unit 300.
  • a logic circuit that operates in the same manner as the operation shown in this flowchart may be provided as hardware in the integrated control unit 300.
  • the integrated control unit 300 starts the failure determination of the first microcomputer 100 and the second microcomputer 200. Note that the failure indicates that an operation other than the assumption is continuously performed, and indicates a hardware failure and a software failure.
  • Step S1 is to monitor the failure of the second CPU 110 of the first microcomputer 100, and makes a determination based on the result of the first self-diagnosis function unit 115 of the first microcomputer 100 (determination mode 1). If normal, the process proceeds to step S11, and the second CPU 110 determines normal. If there is a failure, the process proceeds to step S12, and the second CPU 110 determines that there is a failure. After the determination in step S11, the process proceeds to step S2, and after the determination in step S12, the process proceeds to step S4.
  • Step S2 is for monitoring a failure between the first CPU 120 and the second CPU 110 of the first microcomputer 100, and determining based on the result of the first internal communication function unit 130 (determination mode 2). If normal, the process proceeds to step S21, and the first CPU 120 determines that it is normal. If there is a failure, the process proceeds to step S4. After the determination in step S21, the process proceeds to step S4.
  • Step S4 monitors the failure of the fourth CPU 220 of the second microcomputer 200, and makes a determination based on the result of the second self-diagnostic function unit 225 of the second microcomputer 200 (determination mode 1). If normal, the process proceeds to step S41, and the fourth CPU 220 determines normal. In the case of failure, the process proceeds to step S42, and the fourth CPU 220 determines that there is a failure. After the determination in step S41, the process proceeds to step S5, and after the determination in step S42, the process proceeds to step S62.
  • Step S5 is for monitoring a failure between the third CPU 210 and the fourth CPU 220 of the second microcomputer 200 and making a determination based on the result of the second internal communication function unit 230 (determination mode 2). If normal, the process proceeds to step S51, and the third CPU 210 determines normal. If there is a failure, the process proceeds to step S62. After the determination in step S51, the process proceeds to step S61.
  • Step S61 determines whether or not the first CPU 120 is normal. If normal, the process proceeds to step S71, and if not normal, the process proceeds to step S32. This step determination is performed by determining the determination result of step S1.
  • Step S32 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination mode 3). If normal, the process proceeds to step S34, and it is determined that the first CPU 120 is normal and the second CPU 110 is faulty. Since this determination is inconsistent with the determinations in steps S2 and S61, it is determined that the second CPU 110 is faulty and the first CPU 120 is determined to be normal according to step S32. Therefore, in this case, the processing of the first CPU 120 can be continued.
  • step S32 if there is a failure, the process proceeds to step S35, and the first CPU 120 determines that there is a failure.
  • Step S71 monitors the failure of the second microcomputer 200 and the failure of the third CPU 210 of the second microcomputer 200, and makes a determination based on the result of the first external communication function unit 160 (determination mode 3). If normal, the process proceeds to step S31.
  • Step S31 monitors the failure of the first microcomputer 100 and the failure of the first CPU 120 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination mode 1). If it is normal, the first CPU 120 determines that it is normal, as already determined in step S21. In the case of failure, the process proceeds to step S33, and the second CPU 110 and the first CPU 120 determine that there is a failure. This determination is a diagnosis that takes into account when the first self-diagnostic function unit 115 has failed, and is inconsistent with the determinations in step S11 and step S21.
  • Step S73 is a diagnosis that takes into account the failure of the second self-diagnosis function unit 225. Since there is a contradiction with the determinations of steps S41 and S51, it is determined that the third CPU 210 and the fourth CPU 220 are defective. After the determination in step S73, the process proceeds to step S31.
  • step S62 as in step S61, it is determined whether or not the first CPU 120 is normal. If normal, the process proceeds to step S72, and if not normal, the process proceeds to step S76.
  • Step S72 monitors the failure of the second microcomputer 200 and the failure of the third CPU 210 of the second microcomputer 200, and makes a determination based on the result of the first external communication function unit 160 (determination mode 3). If normal, the process proceeds to step S74.
  • Step S74 determines that the third CPU 210 is normal and the fourth CPU 220 is faulty. Since this determination is inconsistent with the determination in step S5, it is determined in accordance with step S72 that the fourth CPU 220 is faulty and further that the third CPU 210 is normal. Therefore, in this case, the processing of the third CPU 210 can be continued.
  • step S72 if there is a failure, the process proceeds to step S75, and the third CPU 210 determines that there is a failure.
  • step S76 it is determined that the first microcomputer 100 and the second microcomputer 200 have failed at the same time, but it is not assumed that the microcomputers which are different modules will simultaneously fail for the same cause, and the determination is ignored.
  • the integrated control unit 300 performs control to block the PWM signal transmitted from the first PWM signal generation unit 150 without supplying the PWM signal to the first motor 400. Further, for example, when it is determined that the third CPU 210 or the fourth CPU 220 is out of order, control is performed to block the PWM signal sent from the second PWM signal generation unit 250 without supplying it to the second motor 500.
  • FIG. 7 is a circuit diagram showing the overall configuration of the motor control device 1 according to the fourth embodiment.
  • the motor control device 1 includes a first microcomputer 100, a second microcomputer 200, an integrated control unit 300, a first motor 400, and a second motor 500.
  • the first microcomputer 100 includes a first CPU 120, a second CPU 110, a first internal communication function unit 130, a first failure determination notification unit 140, and a first PWM signal generation unit 150, and generates a PWM signal for motor control. Or failure diagnosis of the first CPU 120 or the second CPU 110 is performed.
  • the first microcomputer 100 is a multi-core microcomputer having a second CPU 110 and a first CPU 120.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120, and detects a failure of the first CPU 120 by performing communication via a shared memory or the like.
  • the first failure determination notification unit 140 receives a failure notification from the first internal communication function unit 130 or the like, and notifies the integrated control unit 300 of a result of the retry determined as a true failure. Specifically, when the failure from the first self-diagnostic function unit 115 is received and it is determined that the failure is true, the second CPU 110 notifies the integrated control unit 300 that the failure has occurred. In addition, when the failure is received from the first internal communication function unit 130 and is determined to be a true failure, the integrated control unit 300 is notified of the failure of the first CPU 120. In addition, when the failure is received from the first external communication function unit 160 and is determined to be truly a failure, the fourth CPU 220 notifies the integrated control unit 300 that the failure has occurred.
  • the first PWM signal generation unit 150 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the first PWM signal generation unit 150 is operated by the second CPU 110.
  • the second CPU 110 includes a first self-diagnosis function unit 115. Since the second CPU 110 has the same configuration as that shown in the first embodiment, its details are omitted.
  • the first self-diagnosis function unit 115 compares the arithmetic processing result of the first core 111 (not shown) and the arithmetic processing result of the second core 112 to diagnose the failure of the second CPU 110 and notifies the first failure determination notification unit 140 of the failure. Tell.
  • the first internal communication function unit 130 is provided between the second CPU 110 and the first CPU 120.
  • the second CPU 110 communicates with the first CPU 120 via a shared memory or the like, and performs communication via the shared memory or the like.
  • a failure of the first CPU 120 is detected.
  • the failure is notified to the first failure determination notification unit 140.
  • the first external communication function unit 160 detects a failure of the second microcomputer 200 by communicating with the fourth CPU 220 of the second microcomputer 200 and the first microcomputer 100. Specifically, the fourth CPU 220 processes the example calculation from the first CPU 120 and confirms that the results match. If they do not match, it is determined that the fourth CPU 220 has failed, and the first failure determination notification unit 140 is notified of the failure.
  • the second microcomputer 200 includes a third CPU 210, a fourth CPU 220, a second internal communication function unit 230, a second external communication function unit 260, a second failure determination notification unit 240, and a second PWM signal generation unit 250.
  • the PWM signal for motor control is generated, the self-diagnosis of the second microcomputer 200, the failure diagnosis of the first microcomputer 100, and the like are performed.
  • the second microcomputer 200 is a multi-core microcomputer having a fourth CPU 220 and a third CPU 210.
  • the fourth CPU 220 includes a second self-diagnosis function unit 225.
  • the second self-diagnosis function unit 225 has the same configuration as the first self-diagnosis function unit 115 of the second CPU 110, diagnoses a failure of the fourth CPU 220, and notifies the second failure determination notification unit 240 of the failure.
  • the second internal communication function unit 230 is provided between the fourth CPU 220 and the third CPU 210.
  • the fourth CPU 220 communicates with the third CPU 210 via a shared memory or the like, and performs communication via the shared memory or the like.
  • a failure of the third CPU 210 is detected.
  • the failure is notified to the second failure determination notification unit 240.
  • the second external communication function unit 260 detects a failure of the first microcomputer 100 by communicating with the second CPU 110 of the first microcomputer 100 and the second microcomputer 200. Specifically, the second CPU 110 processes the example calculation from the third CPU 210 and confirms the coincidence of the result. If they do not match, it is determined that the second CPU 110 has failed, and the second failure determination notification unit 240 is notified of the failure.
  • the second failure determination notification unit 240 receives a failure notification from the second self-diagnostic function unit 225, the second internal communication function unit 230, and the second external communication function unit 260, and as a result of the retry, determines that it is truly a failure. Is notified to the integrated control unit 300. Specifically, if the failure is received from the second self-diagnostic function unit 225 and is determined to be a true failure, the fourth CPU 220 notifies the integrated control unit 300 that the failure has occurred. In addition, when it is determined that a failure has actually occurred due to a failure from the second internal communication function unit 230, the third CPU 210 notifies the integrated control unit 300 that the failure has occurred. In addition, when it is determined that the failure is actually caused by the failure from the second external communication function unit 260, the integrated control unit 300 is notified that the second CPU 110 is in failure.
  • the second PWM signal generation unit 250 generates a PWM signal for motor control, and outputs the PWM signal to the integrated control unit 300.
  • the integrated control unit 300 performs failure determination based on notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240, and if normal, the PWM signal transmitted from the first PWM signal generation unit 150 is output.
  • the PWM signal is supplied to the first motor 400 and the PWM signal sent from the second PWM signal generator 250 is supplied to the second motor 500.
  • the integrated control unit 300 performs the failure determination based on the notifications from the first failure determination notification unit 140 and the second failure determination notification unit 240. For example, when the second CPU 110 is determined to have failed, the first PWM signal generation unit Control is performed so that the PWM signal sent from 150 is not supplied to the first motor 400.
  • the first motor 400 is a drive motor used for driving the vehicle
  • the second motor 500 is a regenerative motor.
  • FIG. 8 is a flowchart illustrating the failure determination operation of the integrated control unit 300.
  • the first microcomputer 100 and the second microcomputer 200 always perform failure diagnosis, and the diagnosis result is obtained from the first failure determination notification unit 140 of the first microcomputer 100 and the second failure determination notification unit 240 of the second microcomputer 200.
  • the notification is sent to the integrated control unit 300.
  • FIG. 8 shows an operation executed by a control unit (not shown) of the integrated control unit 300.
  • a logic circuit that operates in the same manner as the operation shown in this flowchart may be provided as hardware in the integrated control unit 300.
  • the integrated control unit 300 starts the failure determination of the first microcomputer 100 and the second microcomputer 200. Note that the failure indicates that an operation other than the assumption is continuously performed, and indicates a hardware failure and a software failure.
  • Step S1 is to monitor the failure of the second CPU 110 of the first microcomputer 100, and makes a determination based on the result of the first self-diagnosis function unit 115 of the first microcomputer 100 (determination mode 1). If normal, the process proceeds to step S11, and the second CPU 110 determines normal. If there is a failure, the process proceeds to step S12, and the second CPU 110 determines that there is a failure. After the determination in step S11, the process proceeds to step S2, and after the determination in step S12, the process proceeds to step S4.
  • Step S2 is for monitoring a failure between the first CPU 120 and the second CPU 110 of the first microcomputer 100, and determining based on the result of the first internal communication function unit 130 (determination mode 2). If normal, the process proceeds to step S21, and the first CPU 120 determines that it is normal. If there is a failure, the process proceeds to step S4. After the determination in step S21, the process proceeds to step S4.
  • Step S4 monitors the failure of the fourth CPU 220 of the second microcomputer 200, and makes a determination based on the result of the second self-diagnostic function unit 225 of the second microcomputer 200 (determination mode 1). If normal, the process proceeds to step S41, and the fourth CPU 220 determines normal. In the case of failure, the process proceeds to step S42, and the fourth CPU 220 determines that there is a failure. After the determination in step S41, the process proceeds to step S5, and after the determination in step S42, the process proceeds to step S62 '.
  • Step S5 is for monitoring a failure between the third CPU 210 and the fourth CPU 220 of the second microcomputer 200 and making a determination based on the result of the second internal communication function unit 230 (determination mode 2). If normal, the process proceeds to step S51, and the third CPU 210 determines normal. If there is a failure, the process proceeds to step S62 '. After the determination in step S51, the process proceeds to step S61 '.
  • Step S61 determines whether or not the second CPU 110 is normal. If normal, the process proceeds to step S71. If not normal, the process proceeds to step S32.
  • Step S32 monitors the failure of the first microcomputer 100 and the failure of the second CPU 110 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260 (determination mode 3). If normal, the process proceeds to step S34 ', and it is determined that the first CPU 120 is out of order and the second CPU 110 is normal. Since this determination is inconsistent with the determinations in steps S1 and S61 ', in accordance with step S32, it is determined that the second CPU 110 is normal, and it is further determined that the first CPU 120 is faulty. Therefore, in this case, the processing of the second CPU 110 can be continued.
  • step S32 if there is a failure, the process proceeds to step S35 ', and the second CPU 110 determines that there is a failure.
  • step S61 ' if the second CPU 110 is normal, the process proceeds to step S71.
  • Step S71 monitors the failure of the second microcomputer 200 and the fourth CPU 220 of the second microcomputer 200, and makes a determination based on the result of the first external communication function unit 160 (determination mode 3). If normal, the process proceeds to step S31.
  • Step S31 monitors the failure of the first microcomputer 100 and the failure of the second CPU 110 of the first microcomputer, and makes a determination based on the result of the second external communication function unit 260. If it is normal, the first CPU 120 determines that it is normal, as already determined in steps S21 and S61 '. In the case of failure, the process proceeds to step S33, and the second CPU 110 and the first CPU 120 determine that there is a failure. This determination is a diagnosis that takes into account when the first self-diagnostic function unit 115 has failed, and is inconsistent with the determinations in step S11 and step S21.
  • Step S73 is a diagnosis that takes into account the failure of the second self-diagnosis function unit 225. Since there is a contradiction with the determinations of steps S41 and S51, it is determined that the third CPU 210 and the fourth CPU 220 are defective. After the determination in step S73, the process proceeds to step S31.
  • step S62 ' as in step S61', it is determined whether or not the second CPU 110 is normal. If normal, the process proceeds to step S72, and if not normal, the process proceeds to step S76.
  • Step S72 monitors failure of the second microcomputer 200 and the fourth CPU 220 of the second microcomputer 200, and makes a determination based on the result of the first external communication function unit 160 (determination mode 3). If normal, the process proceeds to step S74 '. If not normal, the process proceeds to step S75.
  • step S74 ' it is determined that the third CPU 210 is faulty and the fourth CPU 220 is normal. Since this determination is inconsistent with the determination in step S4, it is determined in step S72 that the fourth CPU 220 is normal and the third CPU 210 is in failure. Therefore, in this case, the process of the fourth CPU 220 can be continued.
  • step S72 if there is a failure, the process proceeds to step S75, and the third CPU 210 determines that there is a failure.
  • step S76 it is determined that the first microcomputer 100 and the second microcomputer 200 have failed at the same time, but it is not assumed that the microcomputers which are different modules will simultaneously fail for the same cause, and the determination is ignored.
  • the integrated control unit 300 performs control to block the PWM signal transmitted from the first PWM signal generation unit 150 without supplying the PWM signal to the first motor 400. Further, for example, when it is determined that the third CPU 210 or the fourth CPU 220 is out of order, control is performed to block the PWM signal sent from the second PWM signal generation unit 250 without supplying it to the second motor 500.
  • the third CPU 210 of the second microcomputer 200 if the third CPU 210 of the second microcomputer 200 is faulty, it is erroneously determined that the first CPU 120 and the second CPU 110 are faulty. However, the fourth embodiment Then, since the failure of the third CPU 210 of the second microcomputer 200 is also determined, no erroneous determination is made.
  • the first self-diagnosis function unit 115, the first internal communication function unit 130, the first failure determination notification unit 140, and the first PWM signal generation unit 150 are shown as circuit configuration diagrams in the first microcomputer 100. A similar function may be realized by software processing in the microcomputer 100.
  • the second self-diagnosis function unit 225, the second internal communication function unit 230, the second failure determination notification unit 240, and the second PWM signal generation unit 250 are shown as circuit configuration diagrams in the second microcomputer 200. The same function may be realized by software processing in the 200.
  • the motor control device includes an integrated control unit 300 that receives information about a failure from the first microcomputer 100 and the second microcomputer 200 and controls the motors 400 and 500.
  • the first microcomputer 100 includes a first CPU 120, a second CPU 110 having a first self-diagnosis function unit 115, and a first internal communication function unit 130 that detects a failure of the first CPU 120 by communicating from the second CPU 110 to the first CPU 120.
  • the second microcomputer 200 includes a third CPU 210 and a second external communication function unit 260 that communicates from the third CPU 210 to the first microcomputer 100 to detect a failure of the first microcomputer 100.
  • the integrated control unit 300 detects the failure detection result of the first internal communication function unit 130 and the second external communication function unit 260 even when the second CPU 110 is determined to have a failure by the first self-diagnosis function unit 115. Based on the above, the failure of the first CPU 120 is monitored, and the processing of the first CPU 120 is continued based on the monitoring result. Therefore, even if the second CPU is diagnosed as having a failure, the control of the motor mounted on the vehicle can be safely continued because the control of the first CPU can be continued.
  • the present invention is not limited to the above-described embodiment, and other forms conceivable within the scope of the technical idea of the present invention are also included in the scope of the present invention as long as the characteristics of the present invention are not impaired. It is. Moreover, it is good also as a structure which combined the above-mentioned embodiment and a some modification.
  • Second external communication function unit 100 1st microcomputer 200 2nd microcomputer 300 Integrated control part 400 1st motor 500 2nd motor 120 1st CPU 110 Second CPU 115 First self-diagnosis function unit 130 First internal communication function unit 140 First failure determination notification unit 150 First PWM signal generation unit 160 First external communication function unit 210 Third CPU 220 4th CPU 225 Second self-diagnosis function unit 230 Second internal communication function unit 240 Second failure determination notification unit 250 Second PWM signal generation unit 260 Second external communication function unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Quality & Reliability (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Sustainable Development (AREA)
  • Sustainable Energy (AREA)
  • Automation & Control Theory (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Control Of Electric Motors In General (AREA)
  • Power Steering Mechanism (AREA)
  • Debugging And Monitoring (AREA)

Abstract

　本発明の課題は、１つの演算部が故障と診断された場合には、他の演算部による制御を継続することができず、車両に搭載されたモータの制御が安全に継続できなかったことである。本発明に係るモータ制御装置は、ステップＳ３２では、ステップＳ３１と同様に、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する。正常の場合は、ステップＳ３４に進み、第１ＣＰＵ１２０は正常、第２ＣＰＵ１１０は故障と判定する。この判定は、ステップＳ２の判定と矛盾があるため、ステップＳ３２に従い、第２ＣＰＵ１１０が故障であると判定し、更に第１ＣＰＵ１２０が正常であると判定する。したがって、この場合は第１ＣＰＵ１２０の処理を継続することが可能である。

Description

モータ制御装置
　本発明は、車両に搭載されるモータ制御装置に関する。
　特許文献１に記載される安全保護システムでは、機器を制御するマイコンの故障を２つの演算部を比較することにより検出可能であり、故障時は、エラーの通知もしくは、機能の停止を行う。
　しかし、車両に搭載されるモータ制御装置に適用する安全保護システムでは、高速走行中や機器に高い残留電荷があるときに、故障が発生した場合、エラー通知もしくは、機能の停止では不十分である。たとえば、電動車両の場合、高速走行中でのモータの急停止による事故発生時やインバータキャパシタに高い残留電荷がある時の故障発生時において、感電事故を防止する必要がある。
特開２０１３－１４９０４１号公報
　特許文献１に示すような従来の制御装置では、１つの演算部が故障と診断された場合には、他の演算部による制御を継続することができず、車両に搭載されたモータ制御の継続性が担保されていない。
　請求項１に記載のモータ制御装置は、第１マイコン及び第２マイコンより故障に関する情報を受け取り、モータを制御する統合制御部を備え、第１マイコンは、第１ＣＰＵと、第１自己診断機能部を有する第２ＣＰＵと、第２ＣＰＵから第１ＣＰＵへ通信をして第１ＣＰＵの故障を検出する第１内部通信機能部と有し、第２マイコンは、第３ＣＰＵと、第３ＣＰＵから第１マイコンへ通信して第１マイコンの故障を検出する第２外部通信機能部とを有し、統合制御部は、第１マイコンにおいて、第２ＣＰＵが第１自己診断機能部により故障と判定された場合でも、第１内部通信機能部と第２外部通信機能部の故障検出結果に基づき、第１ＣＰＵの故障を監視し、当該監視結果に基づき第１ＣＰＵの処理を継続する。
　本発明は、第２ＣＰＵが故障と診断されても、第１ＣＰＵの制御を継続できることにより、車両に搭載されるモータの制御が安全に継続可能である。
第１の実施の形態におけるモータ制御装置の回路図である。 第１の実施の形態における動作を説明するフローチャートである。 第２の実施の形態におけるモータ制御装置の回路図である。 第２の実施の形態における動作を説明するフローチャートである。 第３の実施の形態におけるモータ制御装置の回路図である。 第３の実施の形態における動作を説明するフローチャートである。 第４の実施の形態におけるモータ制御装置の回路図である。 第４の実施の形態における動作を説明するフローチャートである。
（第１の実施の形態）
　図１は、第１の実施の形態に係わるモータ制御装置１の全体構成を示す回路図である。
　モータ制御装置１は、第１マイコン１００と、第２マイコン２００と、統合制御部３００と、第１モータ４００と、第２モータ５００とを備えている。
　第１マイコン１００は、第１ＣＰＵ１２０と、第２ＣＰＵ１１０と、第１内部通信機能部１３０と、第１故障判定通知部１４０と、第１ＰＷＭ信号生成部１５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１ＣＰＵ１２０や第２ＣＰＵ１１０の故障診断などを行う。第１マイコン１００は、第２ＣＰＵ１１０と、第１ＣＰＵ１２０とを有するマルチコアマイコンである。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。
　第１故障判定通知部１４０は、第１内部通信機能部１３０などから故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。
　第１ＰＷＭ信号生成部１５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。第１ＰＷＭ信号生成部１５０は、第２ＣＰＵ１１０により動作される。
　第２ＣＰＵ１１０は、第１コア１１１と、第１自己診断機能部１１５とを備える。第１自己診断機能部１１５は、第２コア１１２と、故障診断部１１３とを備える。
　第１コア１１１は、演算機能を有する。たとえば、一般的なＣＰＵの命令フェッチ、デコード、演算処理、演算結果をメモリ等へ出力する機能を有する。また、第２ＣＰＵ１１０のコア周辺モジュールであるバス、ＩＯコントローラ、内部メモリ等の故障は第１コア１１１で検出する。そして、第１コア１１１は、演算処理結果を故障診断部１１３へ伝える。
　第２コア１１２は、演算機能を有する。たとえば、一般的なＣＰＵの命令フェッチ、デコード、演算処理、演算結果をメモリ等へ出力する機能を有する。そして、第１コア１１１と同一演算を行い、演算処理結果を故障診断部１１３へ伝える。
　故障診断部１１３は、第１コア１１１の演算処理結果と第２コア１１２の演算処理結果を比較して一致しなければ、異常と判定する。異常から復帰できない場合は第２ＣＰＵ１１０の故障と判断し、第１故障判定通知部１４０へ故障を伝える。
　第１自己診断機能部１１５は、上述した第２コアと、第１コア１１１の演算処理結果と第２コア１１２の演算処理結果を比較し故障を診断する故障診断部１１３とを有する。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、第１コア１１１が、第１ＣＰＵ１２０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。故障が検知された場合は、第１故障判定通知部１４０へ故障が伝えられる。
　第１故障判定通知部１４０は、第１自己診断機能部１１５、第１内部通信機能部１３０から故障の通知を受け、リトライの結果、即ち、所定回数の故障の通知を受けた場合に、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第１自己診断機能部１１５からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。また、第１内部通信機能部１３０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。
　第２マイコン２００は、第３ＣＰＵ２１０と、第２外部通信機能部２６０と、第２故障判定通知部２４０と、第２ＰＷＭ信号生成部２５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１マイコン１００の故障診断などを行う。
　第２外部通信機能部２６０は、第１マイコン１００の第１ＣＰＵ１２０と第２マイコン２００と通信をすることで、第１マイコン１００の故障を検出する。具体的には、第３ＣＰＵ２１０からの例題演算を第１ＣＰＵ１２０で処理して、その結果の一致を確認する。不一致であれば第１ＣＰＵ１２０が故障していると判断し、第２故障判定通知部２４０へ故障を通知する。
　第２故障判定通知部２４０は、第２外部通信機能部２６０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第２外部通信機能部２６０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。
　第２ＰＷＭ信号生成部２５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。
　統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、正常であれば、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給し、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給する。統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、例えば、第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しない制御を行う。ここで、第１モータ４００は、車両の駆動に用いられる駆動モータであり、第２モータ５００は、回生モータである。
　図２は、統合制御部３００の故障判定動作を説明するフローチャートを示す。
　第１マイコン１００及び第２マイコン２００は常時故障診断を行っており、その診断結果は、第１マイコン１００の第１故障判定通知部１４０及び第２マイコン２００の第２故障判定通知部２４０より、統合制御部３００へ通知されている。
　以下に説明する図２のフローチャートは、統合制御部３００の図示省略する制御部が実行する動作を示す。なお、このフローチャートで示す動作と同様に動作する論理回路を統合制御部３００内にハードウェアとして設けてもよい。　
　統合制御部３００は、第１マイコン１００の第２ＣＰＵ１１０及び第１ＣＰＵ１２０の故障判定を開始する。なお、故障とは、想定以外の動作を定常的に実行し続けることを示し、ハードウェア故障及び、ソフトウェア故障を示す。
　ステップＳ１は、第１マイコン１００の第２ＣＰＵ１１０の故障を監視するもので、第１マイコン１００の第１自己診断機能部１１５の結果をもとに判定する（判定モード１）。正常な場合は、ステップＳ１１に進み、第２ＣＰＵ１１０は正常と判定する。故障の場合は、ステップＳ１２に進み、第２ＣＰＵ１１０は故障と判定する。ステップＳ１１の判定後、ステップＳ２へ進み、ステップＳ１２の判定後、ステップＳ３２へ進む。
　ステップＳ２は、第１マイコン１００の第１ＣＰＵ１２０と第２ＣＰＵ１１０との間で故障を監視するものであり、第１内部通信機能部１３０の結果をもとに判定する（判定モード２）。正常な場合は、ステップＳ２１に進み、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ３２へ進む。ステップＳ２１の判定後、ステップＳ３１へ進む。
　ステップＳ３１は、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、上記ステップＳ２１で既に判定されているように、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ３３に進み、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障と判定する。この判定は、第１自己診断機能部１１５が故障したときを考慮した診断であり、ステップＳ１１及びステップＳ２１の判定と矛盾があるため、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障であると判定する。
　ステップＳ３２は、ステップＳ３１と同様に、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、ステップＳ３４に進み、第１ＣＰＵ１２０は正常、第２ＣＰＵ１１０は故障と判定する。この判定は、ステップＳ２の判定と矛盾があるため、ステップＳ３２に従い、第２ＣＰＵ１１０が故障であると判定し、更に第１ＣＰＵ１２０が正常であると判定する。したがって、この場合は第１ＣＰＵ１２０の処理を継続することが可能である。
　ステップＳ３２で、故障の場合は、ステップＳ３５に進み、第１ＣＰＵ１２０は故障であると判定する。
　以上の故障判定において、第２マイコン２００は故障していないことを前提とする。統合制御部３００は、例えば、第１ＣＰＵ１２０もしくは第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しないで遮断する制御を行う。
（第２の実施の形態）
　図３は、第２の実施の形態に係わるモータ制御装置１の全体構成を示す回路図である。第１内部通信機能部１３０と第１ＣＰＵ１２０の構成が第１の実施の形態と相違する。
　モータ制御装置１は、第１マイコン１００と、第２マイコン２００と、統合制御部３００と、第１モータ４００と、第２モータ５００とを備えている。
　第１マイコン１００は、第１ＣＰＵ１２０と、第２ＣＰＵ１１０と、第１内部通信機能部１３０と、第１故障判定通知部１４０と、第１ＰＷＭ信号生成部１５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１ＣＰＵ１２０や第２ＣＰＵ１１０の故障診断などを行う。第１マイコン１００は、第２ＣＰＵ１１０と、第１ＣＰＵ１２０とを有するマルチコアマイコンである。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。
　第１故障判定通知部１４０は、第１内部通信機能部１３０などから故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。
　第１ＰＷＭ信号生成部１５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。第１ＰＷＭ信号生成部１５０は、第２ＣＰＵ１１０により動作される。
　第２ＣＰＵ１１０は、第１コア１１１と第１自己診断機能部１１５を備える。第２ＣＰＵ１１０は、第１の実施の形態で示した構成と同様の構成を備えているのでその詳細は省略する。
　第１自己診断機能部１１５は、第１コア１１１の演算処理結果と第１自己診断機能部１１５内部の第２コア（図示省略）の演算処理結果を比較して第２ＣＰＵ１１０の故障を診断し、第１故障判定通知部１４０へ故障を伝える。
　第１ＣＰＵ１２０は、第３コア１２１を備え、第３コア１２１は、演算機能を有する。たとえば、一般的なＣＰＵの命令フェッチ、デコード、演算処理、演算結果をメモリ等へ出力する機能を有する。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０の第１コア１１１と第１ＣＰＵ１２０の第３コア１２１との間に設けられ、第２ＣＰＵ１１０が、第１ＣＰＵ１２０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。更に、第１ＣＰＵ１２０が、第２ＣＰＵ１１０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第２ＣＰＵ１１０の故障を検知する。故障が検知された場合は、第１故障判定通知部１４０へ故障を伝える。
　第１故障判定通知部１４０は、第１自己診断機能部１１５、第１内部通信機能部１３０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第１自己診断機能部１１５からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。また、第１内部通信機能部１３０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを、更に、第１内部通信機能部１３０からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。
　第２マイコン２００は、第３ＣＰＵ２１０と、第２外部通信機能部２６０と、第２故障判定通知部２４０と、第２ＰＷＭ信号生成部２５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１マイコン１００の故障診断などを行う。
　第２外部通信機能部２６０は、第１マイコン１００の第１ＣＰＵ１２０の第３コア１２１と第２マイコン２００と通信をすることで、第１マイコン１００の故障を検出する。具体的には、第３ＣＰＵ２１０からの例題演算を第１ＣＰＵ１２０の第３コア１２１で処理して、その結果の一致を確認する。不一致であれば第１ＣＰＵ１２０が故障していると判断し、第２故障判定通知部２４０へ故障を通知する。
　第２故障判定通知部２４０は、第２外部通信機能部２６０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第２外部通信機能部２６０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。
　第２ＰＷＭ信号生成部２５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。
　統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、正常であれば、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給し、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給する。統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、例えば、第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しない制御を行う。ここで、第１モータ４００は、車両の駆動に用いられる駆動モータであり、第２モータ５００は、回生モータである。
　図４は、統合制御部３００の故障判定動作を説明するフローチャートを示す。
　第１マイコン１００及び第２マイコン２００は常時故障診断を行っており、その診断結果は、第１マイコン１００の第１故障判定通知部１４０及び第２マイコン２００の第２故障判定通知部２４０より、統合制御部３００へ通知されている。
　以下に説明する図４のフローチャートは、統合制御部３００の図示省略する制御部が実行する動作を示す。なお、このフローチャートで示す動作と同様に動作する論理回路を統合制御部３００内にハードウェアとして設けてもよい。　
　統合制御部３００は、第１マイコン１００の第２ＣＰＵ１１０及び第１ＣＰＵ１２０の故障判定を開始する。なお、故障とは、想定以外の動作を定常的に実行し続けることを示し、ハードウェア故障及び、ソフトウェア故障を示す。
　ステップＳ１は、第１マイコン１００の第２ＣＰＵ１１０の故障を監視するもので、第１マイコン１００の第１自己診断機能部１１５の結果をもとに判定する（判定モード１）。正常な場合は、ステップＳ１１に進み、第２ＣＰＵ１１０は正常と判定する。故障の場合は、ステップＳ１２に進み、第２ＣＰＵ１１０は故障と判定する。ステップＳ１１の判定後、ステップＳ２－１へ進み、ステップＳ１２の判定後、ステップＳ３２へ進む。
　ステップＳ２－１は、第１マイコン１００の第１ＣＰＵ１２０から第２ＣＰＵ１１０の故障を監視するものであり、第１内部通信機能部１３０の結果をもとに判定する（判定モード２１）。正常な場合は、ステップＳ２－２に進む。故障の場合は、ステップＳ３２へ進む。
　ステップＳ２－２は、第１マイコン１００の第２ＣＰＵ１１０から第１ＣＰＵ１２０の故障を監視するものであり、第１内部通信機能部１３０の結果をもとに判定する（判定モード２２）。正常な場合は、ステップＳ２１に進み、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ２－３へ進む。
　ステップＳ２－３は、第１マイコン１００の第２ＣＰＵ１１０は故障であると判定する。この場合は、第２ＣＰＵ１１０の第１自己診断機能部１１５が故障であることを示している。ステップＳ２－３の判定後、ステップＳ３２へ進む。
　ステップＳ２１の判定後、ステップＳ３１へ進む。ステップＳ３１は、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、上記ステップＳ２１で既に判定されているように、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ３３に進み、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障と判定する。この判定は、第１自己診断機能部１１５が故障したときを考慮した診断であり、ステップＳ１１及びステップＳ２１の判定と矛盾があるため、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障であると判定する。
　ステップＳ３２は、ステップＳ３１と同様に、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、ステップＳ３４に進み、第１ＣＰＵ１２０は正常、第２ＣＰＵ１１０は故障と判定する。この判定は、ステップＳ２の判定と矛盾があるため、ステップＳ３２に従い、第２ＣＰＵ１１０が故障であると判定し、更に第１ＣＰＵ１２０が正常であると判定する。したがって、この場合は第１ＣＰＵ１２０の処理を継続することが可能である。
　ステップＳ３２で、故障の場合は、ステップＳ３５に進み、第１ＣＰＵ１２０は故障であると判定する。
　以上の故障判定において、第２マイコン２００は故障していないことを前提とする。統合制御部３００は、例えば、第１ＣＰＵ１２０もしくは第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しないで遮断する制御を行う。
　第１の実施の形態では、第１ＣＰＵ１２０及び第２ＣＰＵ１１０の故障を検知できるが、第２の実施の形態では、第１ＣＰＵ１２０、第２ＣＰＵ１１０、および第１自己診断機能部１１５の故障を検知できる。
（第３の実施の形態）
　図５は、第３の実施の形態に係わるモータ制御装置１の全体構成を示す回路図である。第１の実施の形態に、第１外部通信機能部１６０と第４ＣＰＵ２２０と第２内部通信機能部２３０とを付加した構成である。
　モータ制御装置１は、第１マイコン１００と、第２マイコン２００と、統合制御部３００と、第１モータ４００と、第２モータ５００とを備えている。
　第１マイコン１００は、第１ＣＰＵ１２０と、第２ＣＰＵ１１０と、第１内部通信機能部１３０と、第１故障判定通知部１４０と、第１ＰＷＭ信号生成部１５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１ＣＰＵ１２０や第２ＣＰＵ１１０の故障診断などを行う。第１マイコン１００は、第２ＣＰＵ１１０と、第１ＣＰＵ１２０とを有するマルチコアマイコンである。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。
　第１故障判定通知部１４０は、第１自己診断機能部１１５と、第１内部通信機能部１３０と、後述の第１外部通信機能部１６０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第１自己診断機能部１１５からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。また、第１内部通信機能部１３０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。
　第１ＰＷＭ信号生成部１５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。第１ＰＷＭ信号生成部１５０は、第２ＣＰＵ１１０により動作される。
　第２ＣＰＵ１１０は、第１自己診断機能部１１５を備える。第２ＣＰＵ１１０は、第１の実施の形態で示した構成と同様の構成を備えているのでその詳細は省略する。
　第１自己診断機能部１１５は、図示省略した第１コア１１１の演算処理結果と第２コア１１２の演算処理結果を比較して第２ＣＰＵ１１０の故障を診断し、第１故障判定通知部１４０へ故障を伝える。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、第２ＣＰＵ１１０が、第１ＣＰＵ１２０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。故障が検知された場合は、第１故障判定通知部１４０へ故障を伝える。
　第１外部通信機能部１６０は、第２マイコン２００の第３ＣＰＵ２１０と第１マイコン１００と通信をすることで、第２マイコン２００の故障を検出する。具体的には、第１ＣＰＵ１２０からの例題演算を第２外部通信機能部２６０を介して第３ＣＰＵ２１０で処理して、その結果を受けてその一致を確認する。不一致であれば第３ＣＰＵ２１０が故障していると判断し、第１故障判定通知部１４０へ故障を通知する。
　第２マイコン２００は、第３ＣＰＵ２１０と、第４ＣＰＵ２２０と、第２内部通信機能部２３０と、第２外部通信機能部２６０と、第２故障判定通知部２４０と、第２ＰＷＭ信号生成部２５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第２マイコン２００の自己診断や第１マイコン１００の故障診断などを行う。第２マイコン２００は、第４ＣＰＵ２２０と、第３ＣＰＵ２１０とを有するマルチコアマイコンである。
　第４ＣＰＵ２２０は、第２自己診断機能部２２５を備える。第２自己診断機能部２２５は、第２ＣＰＵ１１０の第１自己診断機能部１１５と同様の構成であり、第４ＣＰＵ２２０の故障を診断し、第２故障判定通知部２４０へ故障を伝える。
　第２内部通信機能部２３０は、第４ＣＰＵ２２０と第３ＣＰＵ２１０との間に設けられ、第４ＣＰＵ２２０が、第３ＣＰＵ２１０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第３ＣＰＵ２１０の故障を検知する。故障が検知された場合は、第２故障判定通知部２４０へ故障を伝える。
　第２外部通信機能部２６０は、第１マイコン１００の第１ＣＰＵ１２０と第２マイコン２００と通信をすることで、第１マイコン１００の故障を検出する。具体的には、第３ＣＰＵ２１０からの例題演算を第１外部通信機能部１６０を介して第１ＣＰＵ１２０で処理して、その結果を受けてその一致を確認する。不一致であれば第１ＣＰＵ１２０が故障していると判断し、第２故障判定通知部２４０へ故障を通知する。
　第２故障判定通知部２４０は、第２自己診断機能部２２５、第２内部通信機能部２３０、第２外部通信機能部２６０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第２自己診断機能部２２５からの故障を受けて、真に故障と判定した場合は、第４ＣＰＵ２２０が故障であることを統合制御部３００へ通知する。また、第２内部通信機能部２３０からの故障を受けて、真に故障と判定した場合は、第３ＣＰＵ２１０が故障であることを統合制御部３００へ通知する。また、第２外部通信機能部２６０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。
　第２ＰＷＭ信号生成部２５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。
　統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、正常であれば、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給し、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給する。統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、例えば、第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しない制御を行う。ここで、第１モータ４００は、車両の駆動に用いられる駆動モータであり、第２モータ５００は、回生モータである。
　図６は、統合制御部３００の故障判定動作を説明するフローチャートを示す。
　第１マイコン１００及び第２マイコン２００は常時故障診断を行っており、その診断結果は、第１マイコン１００の第１故障判定通知部１４０及び第２マイコン２００の第２故障判定通知部２４０より、統合制御部３００へ通知されている。
　以下に説明する図６のフローチャートは、統合制御部３００の図示省略する制御部が実行する動作を示す。なお、このフローチャートで示す動作と同様に動作する論理回路を統合制御部３００内にハードウェアとして設けてもよい。
　統合制御部３００は、第１マイコン１００及び第２マイコン２００の故障判定を開始する。なお、故障とは、想定以外の動作を定常的に実行し続けることを示し、ハードウェア故障及び、ソフトウェア故障を示す。
　ステップＳ１は、第１マイコン１００の第２ＣＰＵ１１０の故障を監視するもので、第１マイコン１００の第１自己診断機能部１１５の結果をもとに判定する（判定モード１）。正常な場合は、ステップＳ１１に進み、第２ＣＰＵ１１０は正常と判定する。故障の場合は、ステップＳ１２に進み、第２ＣＰＵ１１０は故障と判定する。ステップＳ１１の判定後、ステップＳ２へ進み、ステップＳ１２の判定後、ステップＳ４へ進む。
　ステップＳ２は、第１マイコン１００の第１ＣＰＵ１２０と第２ＣＰＵ１１０との間で故障を監視するものであり、第１内部通信機能部１３０の結果をもとに判定する（判定モード２）。正常な場合は、ステップＳ２１に進み、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ４へ進む。ステップＳ２１の判定後、ステップＳ４へ進む。
　ステップＳ４は、第２マイコン２００の第４ＣＰＵ２２０の故障を監視するもので、第２マイコン２００の第２自己診断機能部２２５の結果を基に判定する（判定モード１）。正常な場合は、ステップＳ４１に進み、第４ＣＰＵ２２０は正常と判定する。故障の場合は、ステップＳ４２に進み、第４ＣＰＵ２２０は故障と判定する。ステップＳ４１の判定後、ステップＳ５へ進み、ステップＳ４２の判定後、ステップＳ６２へ進む。
　ステップＳ５は、第２マイコン２００の第３ＣＰＵ２１０と第４ＣＰＵ２２０との間で故障を監視するものであり、第２内部通信機能部２３０の結果をもとに判定する（判定モード２）。正常な場合は、ステップＳ５１に進み、第３ＣＰＵ２１０は正常と判定する。故障の場合は、ステップＳ６２へ進む。ステップＳ５１の判定後、ステップＳ６１へ進む。
　ステップＳ６１は、第１ＣＰＵ１２０が正常であるか否かを判別し、正常であればステップＳ７１へ進み、正常でなければステップＳ３２へ進む。このステップの判別は、ステップＳ１の判定結果を判別したものである。
　ステップＳ３２は、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、ステップＳ３４に進み、第１ＣＰＵ１２０は正常、第２ＣＰＵ１１０は故障と判定する。この判定は、ステップＳ２、Ｓ６１の判定と矛盾があるため、ステップＳ３２に従い、第２ＣＰＵ１１０が故障であると判定し、更に第１ＣＰＵ１２０が正常であると判定する。したがって、この場合は第１ＣＰＵ１２０の処理を継続することが可能である。
　ステップＳ３２で、故障の場合は、ステップＳ３５に進み、第１ＣＰＵ１２０は故障であると判定する。
　ステップＳ６１で、第１ＣＰＵ１２０が正常であればステップＳ７１へ進む。ステップＳ７１は、第２マイコン２００の故障及び第２マイコン２００の第３ＣＰＵ２１０の故障を監視するもので、第１外部通信機能部１６０の結果を基に判定する（判定モード３）。
正常の場合は、ステップＳ３１に進む。
　ステップＳ３１は、第１マイコン１００の故障及び、第１マイコンの第１ＣＰＵ１２０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード１）。正常の場合は、上記ステップＳ２１で既に判定されているように、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ３３に進み、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障と判定する。この判定は、第１自己診断機能部１１５が故障したときを考慮した診断であり、ステップＳ１１及びステップＳ２１の判定と矛盾があるため、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障であると判定する。
　ステップＳ７１で、正常でなければステップＳ７３へ進む。ステップＳ７３は、第２自己診断機能部２２５が故障したときを考慮した診断であり、ステップＳ４１及びステップＳ５１の判定と矛盾があるため、第３ＣＰＵ２１０及び第４ＣＰＵ２２０は故障であると判定する。ステップＳ７３で判定した後は上記ステップＳ３１に進む。
　ステップＳ６２は、ステップＳ６１と同様に、第１ＣＰＵ１２０が正常であるか否かを判別し、正常であればステップＳ７２へ進み、正常でなければステップＳ７６へ進む。
　ステップＳ７２は、第２マイコン２００の故障及び第２マイコン２００の第３ＣＰＵ２１０の故障を監視するもので、第１外部通信機能部１６０の結果を基に判定する（判定モード３）。正常の場合は、ステップＳ７４に進む。
　ステップＳ７４は、第３ＣＰＵ２１０は正常、第４ＣＰＵ２２０は故障と判定する。この判定は、ステップＳ５の判定と矛盾があるため、ステップＳ７２に従い、第４ＣＰＵ２２０が故障であると判定し、更に第３ＣＰＵ２１０が正常であると判定する。したがって、この場合は第３ＣＰＵ２１０の処理を継続することが可能である。
　ステップＳ７２で、故障の場合は、ステップＳ７５に進み、第３ＣＰＵ２１０は故障であると判定する。
　ステップＳ７６は、第１マイコン１００及び第２マイコン２００が同時に故障したと判定するが、別モジュールであるそれぞれのマイコンが同時に同一の原因で故障することは想定しておらず、判定を無視する。
　統合制御部３００は、例えば、第１ＣＰＵ１２０もしくは第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しないで遮断する制御を行う。また、例えば、第３ＣＰＵ２１０もしくは第４ＣＰＵ２２０が故障と判定された場合は、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給しないで遮断する制御を行う。
　第１、２の実施の形態では、第２マイコン２００の第３ＣＰＵ２１０が故障している場合には、第１ＣＰＵ１２０及び第２ＣＰＵ１１０が故障していると誤判定してしまうが、第３の実施の形態では、第２マイコン２００の第３ＣＰＵ２１０の故障判定もしているので誤判定することはない。
（第４の実施の形態）
　図７は、第４の実施の形態に係わるモータ制御装置１の全体構成を示す回路図である。第３の実施の形態における、第１外部通信機能部１６０と第２外部通信機能部２６０の接続関係が異なる構成である。
　モータ制御装置１は、第１マイコン１００と、第２マイコン２００と、統合制御部３００と、第１モータ４００と、第２モータ５００とを備えている。
　第１マイコン１００は、第１ＣＰＵ１２０と、第２ＣＰＵ１１０と、第１内部通信機能部１３０と、第１故障判定通知部１４０と、第１ＰＷＭ信号生成部１５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第１ＣＰＵ１２０や第２ＣＰＵ１１０の故障診断などを行う。第１マイコン１００は、第２ＣＰＵ１１０と、第１ＣＰＵ１２０とを有するマルチコアマイコンである。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。
　第１故障判定通知部１４０は、第１内部通信機能部１３０などから故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第１自己診断機能部１１５からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。また、第１内部通信機能部１３０からの故障を受けて、真に故障と判定した場合は、第１ＣＰＵ１２０が故障であることを統合制御部３００へ通知する。また、第１外部通信機能部１６０からの故障を受けて、真に故障と判定した場合は、第４ＣＰＵ２２０が故障であることを統合制御部３００へ通知する。
　第１ＰＷＭ信号生成部１５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。第１ＰＷＭ信号生成部１５０は、第２ＣＰＵ１１０により動作される。
　第２ＣＰＵ１１０は、第１自己診断機能部１１５を備える。第２ＣＰＵ１１０は、第１の実施の形態で示した構成と同様の構成を備えているのでその詳細は省略する。
　第１自己診断機能部１１５は、図示省略した第１コア１１１の演算処理結果と第２コア１１２の演算処理結果を比較して第２ＣＰＵ１１０の故障を診断し、第１故障判定通知部１４０へ故障を伝える。
　第１内部通信機能部１３０は、第２ＣＰＵ１１０と第１ＣＰＵ１２０との間に設けられ、第２ＣＰＵ１１０が、第１ＣＰＵ１２０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第１ＣＰＵ１２０の故障を検知する。故障が検知された場合は、第１故障判定通知部１４０へ故障を伝える。
　第１外部通信機能部１６０は、第２マイコン２００の第４ＣＰＵ２２０と第１マイコン１００と通信をすることで、第２マイコン２００の故障を検出する。具体的には、第１ＣＰＵ１２０からの例題演算を第４ＣＰＵ２２０で処理して、その結果の一致を確認する。不一致であれば第４ＣＰＵ２２０が故障していると判断し、第１故障判定通知部１４０へ故障を通知する。
　第２マイコン２００は、第３ＣＰＵ２１０と、第４ＣＰＵ２２０と、第２内部通信機能部２３０と、第２外部通信機能部２６０と、第２故障判定通知部２４０と、第２ＰＷＭ信号生成部２５０とを備え、モータ制御用のＰＷＭ信号を生成したり、第２マイコン２００の自己診断や第１マイコン１００の故障診断などを行う。第２マイコン２００は、第４ＣＰＵ２２０と、第３ＣＰＵ２１０とを有するマルチコアマイコンである。
　第４ＣＰＵ２２０は、第２自己診断機能部２２５を備える。第２自己診断機能部２２５は、第２ＣＰＵ１１０の第１自己診断機能部１１５と同様の構成であり、第４ＣＰＵ２２０の故障を診断し、第２故障判定通知部２４０へ故障を伝える。
　第２内部通信機能部２３０は、第４ＣＰＵ２２０と第３ＣＰＵ２１０との間に設けられ、第４ＣＰＵ２２０が、第３ＣＰＵ２１０と共有メモリ等を介して通信を行い、共有メモリ等を介した通信を行うことで、第３ＣＰＵ２１０の故障を検知する。故障が検知された場合は、第２故障判定通知部２４０へ故障を伝える。
　第２外部通信機能部２６０は、第１マイコン１００の第２ＣＰＵ１１０と第２マイコン２００と通信をすることで、第１マイコン１００の故障を検出する。具体的には、第３ＣＰＵ２１０からの例題演算を第２ＣＰＵ１１０で処理して、その結果の一致を確認する。不一致であれば第２ＣＰＵ１１０が故障していると判断し、第２故障判定通知部２４０へ故障を通知する。
　第２故障判定通知部２４０は、第２自己診断機能部２２５、第２内部通信機能部２３０、第２外部通信機能部２６０から故障の通知を受け、リトライの結果、真に故障と判定したものを統合制御部３００へ通知する。具体的には、第２自己診断機能部２２５からの故障を受けて、真に故障と判定した場合は、第４ＣＰＵ２２０が故障であることを統合制御部３００へ通知する。また、第２内部通信機能部２３０からの故障を受けて、真に故障と判定した場合は、第３ＣＰＵ２１０が故障であることを統合制御部３００へ通知する。また、第２外部通信機能部２６０からの故障を受けて、真に故障と判定した場合は、第２ＣＰＵ１１０が故障であることを統合制御部３００へ通知する。
　第２ＰＷＭ信号生成部２５０は、モータ制御用のＰＷＭ信号を生成して、ＰＷＭ信号を統合制御部３００へ出力する。
　統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、正常であれば、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給し、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給する。統合制御部３００は、第１故障判定通知部１４０及び第２故障判定通知部２４０からの通知に基づいて故障判定を行い、例えば、第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しない制御を行う。ここで、第１モータ４００は、車両の駆動に用いられる駆動モータであり、第２モータ５００は、回生モータである。
　図８は、統合制御部３００の故障判定動作を説明するフローチャートを示す。
　第１マイコン１００及び第２マイコン２００は常時故障診断を行っており、その診断結果は、第１マイコン１００の第１故障判定通知部１４０及び第２マイコン２００の第２故障判定通知部２４０より、統合制御部３００へ通知されている。
　以下に説明する図８のフローチャートは、統合制御部３００の図示省略する制御部が実行する動作を示す。なお、このフローチャートで示す動作と同様に動作する論理回路を統合制御部３００内にハードウェアとして設けてもよい。
　統合制御部３００は、第１マイコン１００及び第２マイコン２００の故障判定を開始する。なお、故障とは、想定以外の動作を定常的に実行し続けることを示し、ハードウェア故障及び、ソフトウェア故障を示す。
　ステップＳ１は、第１マイコン１００の第２ＣＰＵ１１０の故障を監視するもので、第１マイコン１００の第１自己診断機能部１１５の結果をもとに判定する（判定モード１）。正常な場合は、ステップＳ１１に進み、第２ＣＰＵ１１０は正常と判定する。故障の場合は、ステップＳ１２に進み、第２ＣＰＵ１１０は故障と判定する。ステップＳ１１の判定後、ステップＳ２へ進み、ステップＳ１２の判定後、ステップＳ４へ進む。
　ステップＳ２は、第１マイコン１００の第１ＣＰＵ１２０と第２ＣＰＵ１１０との間で故障を監視するものであり、第１内部通信機能部１３０の結果をもとに判定する（判定モード２）。正常な場合は、ステップＳ２１に進み、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ４へ進む。ステップＳ２１の判定後、ステップＳ４へ進む。
　ステップＳ４は、第２マイコン２００の第４ＣＰＵ２２０の故障を監視するもので、第２マイコン２００の第２自己診断機能部２２５の結果を基に判定する（判定モード１）。正常な場合は、ステップＳ４１に進み、第４ＣＰＵ２２０は正常と判定する。故障の場合は、ステップＳ４２に進み、第４ＣＰＵ２２０は故障と判定する。ステップＳ４１の判定後、ステップＳ５へ進み、ステップＳ４２の判定後、ステップＳ６２’へ進む。
　ステップＳ５は、第２マイコン２００の第３ＣＰＵ２１０と第４ＣＰＵ２２０との間で故障を監視するものであり、第２内部通信機能部２３０の結果をもとに判定する（判定モード２）。正常な場合は、ステップＳ５１に進み、第３ＣＰＵ２１０は正常と判定する。故障の場合は、ステップＳ６２’へ進む。ステップＳ５１の判定後、ステップＳ６１’へ進む。
　ステップＳ６１’は、第２ＣＰＵ１１０が正常であるか否かを判別し、正常であればステップＳ７１へ進み、正常でなければステップＳ３２へ進む。
　ステップＳ３２は、第１マイコン１００の故障及び第１マイコンの第２ＣＰＵ１１０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する（判定モード３）。正常の場合は、ステップＳ３４’に進み、第１ＣＰＵ１２０は故障、第２ＣＰＵ１１０は正常と判定する。この判定は、ステップＳ１、Ｓ６１’の判定と矛盾があるため、ステップＳ３２に従い、第２ＣＰＵ１１０が正常であると判定し、更に第１ＣＰＵ１２０が故障であると判定する。したがって、この場合は第２ＣＰＵ１１０の処理を継続することが可能である。
　ステップＳ３２で、故障の場合は、ステップＳ３５’に進み、第２ＣＰＵ１１０は故障であると判定する。
　ステップＳ６１’で、第２ＣＰＵ１１０が正常であればステップＳ７１へ進む。ステップＳ７１は、第２マイコン２００及び第２マイコン２００の第４ＣＰＵ２２０の故障を監視するもので、第１外部通信機能部１６０の結果を基に判定する（判定モード３）。正常の場合は、ステップＳ３１に進む。
　ステップＳ３１は、第１マイコン１００の故障及び、第１マイコンの第２ＣＰＵ１１０の故障を監視するものであり、第２外部通信機能部２６０の結果をもとに判定する。正常の場合は、上記ステップＳ２１、Ｓ６１’で既に判定されているように、第１ＣＰＵ１２０は正常と判定する。故障の場合は、ステップＳ３３に進み、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障と判定する。この判定は、第１自己診断機能部１１５が故障したときを考慮した診断であり、ステップＳ１１及びステップＳ２１の判定と矛盾があるため、第２ＣＰＵ１１０及び第１ＣＰＵ１２０は故障であると判定する。
　ステップＳ７１で、正常でなければステップＳ７３へ進む。ステップＳ７３は、第２自己診断機能部２２５が故障したときを考慮した診断であり、ステップＳ４１及びステップＳ５１の判定と矛盾があるため、第３ＣＰＵ２１０及び第４ＣＰＵ２２０は故障であると判定する。ステップＳ７３で判定した後は上記ステップＳ３１に進む。
　ステップＳ６２’は、ステップＳ６１’と同様に、第２ＣＰＵ１１０が正常であるか否かを判別し、正常であればステップＳ７２へ進み、正常でなければステップＳ７６へ進む。
　ステップＳ７２は、第２マイコン２００及び第２マイコン２００の第４ＣＰＵ２２０の故障を監視するもので、第１外部通信機能部１６０の結果を基に判定する（判定モード３）。正常の場合は、ステップＳ７４’に進む。正常でない場合は、ステップＳ７５に進む。
　ステップＳ７４’は、第３ＣＰＵ２１０は故障、第４ＣＰＵ２２０は正常と判定する。この判定は、ステップＳ４の判定と矛盾があるため、ステップＳ７２に従い、第４ＣＰＵ２２０が正常であると判定し、更に第３ＣＰＵ２１０が故障であると判定する。したがって、この場合は第４ＣＰＵ２２０の処理を継続することが可能である。
　ステップＳ７２で、故障の場合は、ステップＳ７５に進み、第３ＣＰＵ２１０は故障であると判定する。
　ステップＳ７６は、第１マイコン１００及び第２マイコン２００が同時に故障したと判定するが、別モジュールであるそれぞれのマイコンが同時に同一の原因で故障することは想定しておらず、判定を無視する。
　統合制御部３００は、例えば、第１ＣＰＵ１２０もしくは第２ＣＰＵ１１０が故障と判定された場合は、第１ＰＷＭ信号生成部１５０から送出されたＰＷＭ信号を第１モータ４００へ供給しないで遮断する制御を行う。また、例えば、第３ＣＰＵ２１０もしくは第４ＣＰＵ２２０が故障と判定された場合は、第２ＰＷＭ信号生成部２５０から送出されたＰＷＭ信号を第２モータ５００へ供給しないで遮断する制御を行う。
　第１、２の実施の形態では、第２マイコン２００の第３ＣＰＵ２１０が故障している場合には、第１ＣＰＵ１２０及び第２ＣＰＵ１１０が故障していると誤判定してしまうが、第４の実施の形態では、第２マイコン２００の第３ＣＰＵ２１０の故障判定もしているので誤判定することはない。
（変形例）
　本発明は、以上説明した第１～第４の実施の形態を次のように変形して実施することができる。
（１）第１自己診断機能部１１５、第１内部通信機能部１３０、第１故障判定通知部１４０、第１ＰＷＭ信号生成部１５０は第１マイコン１００内の回路構成図として示したが、第１マイコン１００内においてソフトウェアの処理で同様の機能を実現するものであってもよい。また、第２自己診断機能部２２５、第２内部通信機能部２３０、第２故障判定通知部２４０、第２ＰＷＭ信号生成部２５０は第２マイコン２００内の回路構成図として示したが、第２マイコン２００内においてソフトウェアの処理で同様の機能を実現するものであってもよい。
　以上説明した実施の形態によれば、次の作用効果が得られる。
（１）モータ制御装置は、第１マイコン１００及び第２マイコン２００より故障に関する情報を受け取り、モータ４００、５００を制御する統合制御部３００を備える。第１マイコン１００は、第１ＣＰＵ１２０と、第１自己診断機能部１１５を有する第２ＣＰＵ１１０と、第２ＣＰＵ１１０から第１ＣＰＵ１２０へ通信をして第１ＣＰＵ１２０の故障を検出する第１内部通信機能部１３０と有する。第２マイコン２００は、第３ＣＰＵ２１０と、第３ＣＰＵ２１０から第１マイコン１００へ通信して第１マイコン１００の故障を検出する第２外部通信機能部２６０とを有する。統合制御部３００は、第１マイコン１００において、第２ＣＰＵ１１０が第１自己診断機能部１１５により故障と判定された場合でも、第１内部通信機能部１３０と第２外部通信機能部２６０の故障検出結果に基づき、第１ＣＰＵ１２０の故障を監視し、当該監視結果に基づき第１ＣＰＵ１２０の処理を継続する。したがって、第２ＣＰＵが故障と診断されても、第１ＣＰＵの制御を継続できることにより、車両に搭載されるモータの制御が安全に継続可能である。
　本発明は、上記の実施の形態に限定されるものではなく、本発明の特徴を損なわない限り、本発明の技術思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。また、上述の実施の形態と複数の変形例を組み合わせた構成としてもよい。
１００　第1マイコン
２００　第２マイコン
３００　統合制御部
４００　第１モータ
５００　第２モータ
１２０　第１ＣＰＵ
１１０　第２ＣＰＵ
１１５　第１自己診断機能部
１３０　第１内部通信機能部
１４０　第１故障判定通知部
１５０　第１ＰＷＭ信号生成部
１６０　第１外部通信機能部
２１０　第３ＣＰＵ
２２０　第４ＣＰＵ
２２５　第２自己診断機能部
２３０　第２内部通信機能部
２４０　第２故障判定通知部
２５０　第２ＰＷＭ信号生成部
２６０　第２外部通信機能部

Claims (6)

  1. 　第１マイコン及び第２マイコンより故障に関する情報を受け取り、モータを制御する統合制御部を備え、
    　前記第１マイコンは、第１ＣＰＵと、第１自己診断機能部を有する第２ＣＰＵと、前記第２ＣＰＵから前記第１ＣＰＵへ通信をして前記第１ＣＰＵの故障を検出する第１内部通信機能部と有し、
    　前記第２マイコンは、第３ＣＰＵと、前記第３ＣＰＵから前記第１マイコンへ通信して前記第１マイコンの故障を検出する第２外部通信機能部とを有し、
    　前記統合制御部は、
    　前記第１マイコンにおいて、前記第２ＣＰＵが前記第１自己診断機能部により故障と判定された場合でも、前記第１内部通信機能部と前記第２外部通信機能部の故障検出結果に基づき、前記第１ＣＰＵの故障を監視し、当該監視結果に基づき前記第１ＣＰＵの処理を継続するモータ制御装置。
  2. 　請求項１に記載のモータ制御装置において、
    　前記第１マイコンは、前記第２ＣＰＵと、前記第１ＣＰＵとを有するマルチコアマイコンであり、
    　前記第２ＣＰＵは、演算処理を実行する第１コアと演算処理を実行する第２コアを有し、
    　前記第１自己診断機能部は、前記第１コアの演算処理結果と前記第２コアの演算処理結果を比較して第２ＣＰＵの故障を検出し、
    　前記第１内部通信機能部は、前記第１コアと前記第１ＣＰＵと通信を行い、前記第１ＣＰＵの故障を検出するモータ制御装置。
  3. 　請求項１または２のいずれか一項に記載のモータ制御装置において、
    　前記第１ＣＰＵ及び前記第２ＣＰＵは、車両用のモータである第１モータの制御にかかわる処理を行い、
    　前記統合制御部は、
    　前記第１マイコンにおいて、前記第２ＣＰＵが前記第１自己診断機能部により故障と判定された場合でも、前記第１内部通信機能部と前記第２外部通信機能部の故障検出結果に基づき、前記第１ＣＰＵの故障を監視し、当該監視結果に基づき前記第１ＣＰＵの処理に基づき前記第１モータの制御を継続するモータ制御装置。
  4. 　請求項２に記載のモータ制御装置において、
    　前記第１ＣＰＵは、演算処理を実行する第３コアを有し、
    　前記第１内部通信機能部は、前記第１コアから前記第３コアへの通信を行い、前記第１ＣＰＵの故障を検出し、且つ、前記第３コアから前記第１コアへの通信を行い、前記第２ＣＰＵの故障を検出するモータ制御装置。
  5. 　請求項１～４に記載のモータ制御装置において、
    　前記第２マイコンは、前記第３ＣＰＵと、第４ＣＰＵとを有するマルチコアマイコンであり、
    　前記第２マイコンは、第３ＣＰＵと、第２自己診断機能部を有する第４ＣＰＵと、前記第４ＣＰＵから前記第３ＣＰＵへ通信して前記第３ＣＰＵの故障を検出する第２内部通信機能部と有し、
    　前記第１マイコンは、前記第１ＣＰＵから前記第２マイコンへ通信して前記第２マイコンの前記第３ＣＰＵの故障を検出する第１外部通信機能部とを有し、
    　前記統合制御部は、
    　前記第２マイコンにおいて、前記第４ＣＰＵが前記第２自己診断機能部により故障と判定された場合でも、前記第２内部通信機能部と前記第１外部通信機能部の故障検出結果に基づき、前記第３ＣＰＵの故障を監視し、当該監視結果に基づき前記第３ＣＰＵの処理を継続するモータ制御装置。
  6. 　請求項１～４に記載のモータ制御装置において、
    　前記第２マイコンは、前記第３ＣＰＵと、第４ＣＰＵとを有するマルチコアマイコンであり、
    　前記第２マイコンは、第３ＣＰＵと、第２自己診断機能部を有する第４ＣＰＵと、前記第３ＣＰＵと前記第４ＣＰＵとの間で通信をして故障を検出する第２内部通信機能部と有し、
    　前記第２外部通信機能部は、前記第１ＣＰＵと前記第４ＣＰＵとの間で通信をして前記第４ＣＰＵの故障を検出し、
    　前記第１マイコンは、前記第１ＣＰＵから前記第２マイコンへ通信して前記第２マイコンの前記第４ＣＰＵの故障を検出する第１外部通信機能部とを有し、
    　前記統合制御部は、
    　前記第２マイコンにおいて、前記第４ＣＰＵが前記第２自己診断機能部により故障と判定された場合でも、前記第２内部通信機能部と前記第１外部通信機能部の故障検出結果に基づき、前記第４ＣＰＵの故障を監視し、当該監視結果に基づき前記第４ＣＰＵの処理を継続するモータ制御装置。　
PCT/JP2015/063405 2014-06-20 2015-05-11 モータ制御装置 Ceased WO2015194282A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201580031889.2A CN106462485B (zh) 2014-06-20 2015-05-11 马达控制装置
US15/320,003 US10254733B2 (en) 2014-06-20 2015-05-11 Motor control device
JP2016529163A JP6166473B2 (ja) 2014-06-20 2015-05-11 モータ制御装置
DE112015002210.4T DE112015002210T5 (de) 2014-06-20 2015-05-11 Motorsteuervorrichtung

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014-126920 2014-06-20
JP2014126920 2014-06-20

Publications (1)

Publication Number Publication Date
WO2015194282A1 true WO2015194282A1 (ja) 2015-12-23

Family

ID=54935276

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/063405 Ceased WO2015194282A1 (ja) 2014-06-20 2015-05-11 モータ制御装置

Country Status (5)

Country Link
US (1) US10254733B2 (ja)
JP (1) JP6166473B2 (ja)
CN (1) CN106462485B (ja)
DE (1) DE112015002210T5 (ja)
WO (1) WO2015194282A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2026520328A (ja) * 2023-05-10 2026-06-23 メルセデス・ベンツ グループ アクチェンゲゼルシャフト 車両コンピューティングシステムのための複数システムオンチップ配置

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2546789A (en) * 2016-01-29 2017-08-02 Bombardier Primove Gmbh Arrangement with battery system for providing electric energy to a vehicle
WO2018078870A1 (ja) * 2016-10-31 2018-05-03 新電元工業株式会社 制御装置、および、制御装置の制御方法
CN108089494A (zh) * 2017-12-08 2018-05-29 中山市天隆燃具电器有限公司 一种可采集多种新能源汽车运行数据的系统
JP2019142095A (ja) * 2018-02-20 2019-08-29 京セラドキュメントソリューションズ株式会社 画像形成装置
CN109358591B (zh) 2018-08-30 2020-03-13 百度在线网络技术（北京）有限公司 车辆故障处理方法、装置、设备及存储介质
IT201900018362A1 (it) * 2019-10-10 2021-04-10 Texa Spa Metodo e sistema di controllo di almeno due motori elettrici di trazione di un veicolo
CN113067528B (zh) * 2019-12-31 2023-01-06 比亚迪股份有限公司 电机控制系统和具有其的车辆
GB202000939D0 (en) * 2020-01-22 2020-03-04 Mclaren Automotive Ltd Motor control unit
DE102020210990A1 (de) * 2020-09-01 2022-03-03 Robert Bosch Gesellschaft mit beschränkter Haftung Antriebssystem und Verfahren zum Betreiben eines Antriebssystems
CN113335298B (zh) * 2021-05-28 2024-07-09 广汽丰田汽车有限公司 Cpu故障处理方法、车辆及可读存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0743257A (ja) * 1993-07-30 1995-02-14 Mazda Motor Corp システム制御装置
JP2009274569A (ja) * 2008-05-14 2009-11-26 Denso Corp 車両制御装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4518150B2 (ja) * 2008-01-11 2010-08-04 株式会社デンソー 車両用電子制御装置
JP5561515B2 (ja) * 2009-07-06 2014-07-30 株式会社ジェイテクト モータ制御装置
JP5942337B2 (ja) * 2011-04-28 2016-06-29 株式会社ジェイテクト 車両用操舵装置
JP5126393B2 (ja) * 2011-06-29 2013-01-23 日本精工株式会社 車載電子制御装置
JP2013149041A (ja) 2012-01-18 2013-08-01 Toshiba Corp 制御装置、方法及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0743257A (ja) * 1993-07-30 1995-02-14 Mazda Motor Corp システム制御装置
JP2009274569A (ja) * 2008-05-14 2009-11-26 Denso Corp 車両制御装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2026520328A (ja) * 2023-05-10 2026-06-23 メルセデス・ベンツ グループ アクチェンゲゼルシャフト 車両コンピューティングシステムのための複数システムオンチップ配置

Also Published As

Publication number Publication date
CN106462485B (zh) 2019-02-22
JPWO2015194282A1 (ja) 2017-04-20
US20170131698A1 (en) 2017-05-11
JP6166473B2 (ja) 2017-07-19
DE112015002210T5 (de) 2017-01-26
CN106462485A (zh) 2017-02-22
US10254733B2 (en) 2019-04-09

Similar Documents

Publication Publication Date Title
JP6166473B2 (ja) モータ制御装置
JP5856234B2 (ja) インバータ制御装置及びその制御方法
JP6222362B2 (ja) 電力変換装置
JP2013012069A (ja) 車載電子制御装置
CN102782655A (zh) 微机相互监视系统及微机相互监视方法
JP2020078107A (ja) モータ制御装置
JP6563047B2 (ja) 警報処理回路および警報処理方法
JPH02501960A (ja) 計算機により制御される操作素子の監視方法及び回路装置
JP6344302B2 (ja) 組電池制御装置
WO2018211889A1 (ja) モータ駆動装置
JP6081239B2 (ja) 制御装置の異常監視装置および異常監視方法
JP4693362B2 (ja) 電力変換装置
JP2016126692A (ja) 電子制御装置
JP2020133520A (ja) 監視装置及び駆動力制御システム
JP6302852B2 (ja) 車両用電子制御装置
JP2011216037A (ja) 信号処理システムおよびこれに用いる信号源ユニットならびに信号処理ユニット
CN114488991A (zh) 机器人安全监控系统及其诊断异常的方法
JP7329579B2 (ja) 制御装置
JP4613019B2 (ja) コンピュータシステム
JP4990847B2 (ja) 鉄道保安装置の接続異常検出回路
JP6702175B2 (ja) 負荷駆動装置
JP2011248625A (ja) 制御装置の故障診断回路および故障診断方法
JP6457149B2 (ja) 電子制御装置
KR102063110B1 (ko) 인터페이스 제어 장치 및 그에 의한 구동 전압 모니터링 방법
JP6470067B2 (ja) インバータ装置、及びインバータ装置用プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15809830

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016529163

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 112015002210

Country of ref document: DE

WWE Wipo information: entry into national phase

Ref document number: 15320003

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 15809830

Country of ref document: EP

Kind code of ref document: A1