WO2018116801A1 - 電子制御装置、制御システム、リセット判定方法 - Google Patents

電子制御装置、制御システム、リセット判定方法 Download PDF

Info

Publication number
WO2018116801A1
WO2018116801A1 PCT/JP2017/043490 JP2017043490W WO2018116801A1 WO 2018116801 A1 WO2018116801 A1 WO 2018116801A1 JP 2017043490 W JP2017043490 W JP 2017043490W WO 2018116801 A1 WO2018116801 A1 WO 2018116801A1
Authority
WO
WIPO (PCT)
Prior art keywords
electronic control
control device
reset
controller
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2017/043490
Other languages
English (en)
French (fr)
Inventor
将吾 中尾
伸樹 佐藤
佐々木　光雄
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Automotive Systems Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Automotive Systems Ltd filed Critical Hitachi Automotive Systems Ltd
Priority to US16/472,533 priority Critical patent/US11643095B2/en
Publication of WO2018116801A1 publication Critical patent/WO2018116801A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0225—Failure correction strategy
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D5/00—Power-assisted or power-driven steering
    • B62D5/04—Power-assisted or power-driven steering electrical, e.g. using an electric servo-motor connected to, or forming part of, the steering gear
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D6/00—Arrangements for automatically controlling steering depending on driving conditions sensed and responded to, e.g. control circuits
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B60W2050/0083—Setting, resetting, calibration
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/0215—Sensor drifts or sensor failures

Definitions

  • the present invention relates to an electronic control device, a control system using the same, and a reset determination method.
  • an electronic control unit that controls various actuators mounted on a vehicle.
  • This electronic control device is required to have a predetermined safety design in order to reduce the risk of a vehicle accident or the like when a failure occurs.
  • a control system that controls steering and brakes in an autonomous vehicle
  • multiple electronic control units that communicate with each other are used in order to ensure the safety of the driver by continuing control even when a failure occurs.
  • Such a redundant configuration is widely adopted.
  • Patent Document 1 when a communication interruption occurs between the microcomputers mounted on the two electronic control devices, it is determined whether or not the communication interruption is resolved within a predetermined time. A technology for distinguishing between a microcomputer abnormality and a communication line abnormality is disclosed.
  • Patent Document 1 it is impossible to distinguish between an abnormality of the microcomputer and an abnormality of the communication line until the time required for the microcomputer to start up from the reset state and resume communication is elapsed. Therefore, the cause of the communication abnormality cannot be determined immediately.
  • An electronic control device includes a control command generation unit that generates and outputs a control command for controlling a first control target, and another electronic control device that controls a second control target.
  • a communication unit that communicates with the communication unit, a communication abnormality determination unit that determines whether or not communication with the other electronic control device by the communication unit is abnormal, and the communication abnormality determination unit that communicates with the other electronic control unit
  • a reset determination unit that determines whether or not the other electronic control device is reset based on a change in a sensor signal related to the state of the second control target when it is determined that the communication is abnormal. Is provided.
  • a control system includes an electronic control device and another electronic control device, and the other electronic control device is configured to transmit the electronic control device when communication with the electronic control device is abnormal.
  • a second reset determining unit that determines whether or not the other electronic control device has been reset, the reset determination unit determines that the other electronic control device has not been reset, and the electronic control device has been reset If the second reset determination unit determines that there is not, the first control unit by the electronic control unit based on the priority set in advance for each of the electronic control unit and the other electronic control unit Either the control of the control target or the control of the second control target by the other electronic control device is stopped.
  • a reset determination method in a control system having a first electronic control device and a second electronic control device that communicate with each other. It is determined whether or not communication with the electronic control device is abnormal, and when it is determined that communication with the second electronic control device is abnormal, the first electronic control device causes the second electronic control device to It is determined whether or not the second electronic control unit has been reset based on a change in the sensor signal relating to the state of the control target of the electronic control unit.
  • the cause when a communication abnormality occurs between the electronic control units, the cause can be immediately determined.
  • FIG. 1 is a block diagram showing a configuration of an electric power steering system equipped with an electronic control device according to a first embodiment of the present invention. It is a figure which shows the hardware constitutions of the electronic control apparatus which concerns on the 1st Embodiment of this invention. It is a flowchart of the fail safe process in the 1st Embodiment of this invention. It is a flowchart of the communication abnormality determination in the 1st Embodiment of this invention. It is a flowchart of the reset determination in the 1st Embodiment of this invention. It is a figure explaining the method of the reset determination in the 1st Embodiment of this invention. It is a flowchart of the control state determination in the 1st Embodiment of this invention.
  • FIG. 1 is a block diagram showing a configuration of an electric power steering system equipped with an electronic control device according to a first embodiment of the present invention.
  • the electric power steering system 1000 shown in FIG. 1 has the same configuration and is made redundant in a first system and a second system that perform the same operation.
  • the first system includes a first controller 10, a first inverter 31, a first motor 33, a first torque sensor 35, and a first motor rotation angle sensor 37.
  • the second system includes a second controller 20, a second inverter 41, a second motor 43, a second torque sensor 45, and a second motor rotation angle sensor 47.
  • the first controller 10 and the second controller 20 are connected to each other via a network 30 and constitute the control system 1.
  • the network 30 is a transmission medium for communication signals periodically transmitted and received between the first controller 10 and the second controller 20.
  • P2P communication such as SerialSPeripheral Interface (SPI), Controller Area Network (CAN).
  • the communication signal is transmitted by bus communication such as
  • SPI SerialSPe
  • the first motor 33 and the second motor 43 are driven to rotate in accordance with the alternating currents input from the first inverter 31 and the second inverter 41, respectively, and supply a driving force for assisting or controlling the steering of the vehicle. Each generates torque.
  • the first motor 33 and the second motor 43 may have a structure in which the rotor, the stator, and the winding are individually provided, or a structure in which the rotor and the stator are shared and the winding is not shared, that is, physical.
  • the structure may be such that a single motor is controlled by separate windings.
  • the first torque sensor 35 and the first motor rotation angle sensor 37 each output a sensor signal related to the state of the first motor 33 to the first controller 10. Specifically, the first torque sensor 35 detects the rotational torque of the first motor 33 and outputs a first torque which is a sensor signal corresponding to the detection result. The first motor rotation angle sensor 37 detects the rotor rotation angle of the first motor 33 and outputs a first motor rotation angle that is a sensor signal corresponding to the detection result. The first torque output from the first torque sensor 35 is also input to the second controller 20 for fail-safe processing described later.
  • the first controller 10 is an electronic control unit (ECU) that performs various processes and calculations for realizing control of the first system in the electric power steering system 1000.
  • the first controller 10 includes a first communication unit 11, a first control command generation unit 12, a first communication abnormality determination unit 13, a first reset determination unit 14, and a first control unit 15 as functions thereof.
  • the first communication unit 11 transmits and receives communication signals to and from the second controller 20 via the network 30.
  • This communication signal includes information for the first controller 10 and the second controller 20 to control the first motor 33 and the second motor 43 in cooperation with each other.
  • the first communication unit 11 transmits a communication signal including information such as the control amount of the first motor 33 calculated by the first control command generation unit 12 from the first controller 10 to the second controller 20.
  • a communication signal including information such as a control amount of the second motor 43 transmitted from the second controller 20 is received by the first communication unit 11.
  • the first control command generator 12 controls the first motor 33 that is a control target based on the first torque and the first motor rotation angle respectively input from the first torque sensor 35 and the first motor rotation angle sensor 37. The amount is calculated, and a first control command corresponding to the control amount is generated and output to the first inverter 31.
  • the first control command generation unit 12 is known using, for example, a steering angle signal output from a steering angle sensor (not shown) attached to a steering wheel of a vehicle, a first torque, and a first motor rotation angle.
  • a target torque corresponding to the control amount of the first motor 33 is obtained by arithmetic processing.
  • the first communication abnormality determination unit 13 performs communication abnormality determination that determines whether or not the communication with the second controller 20 by the first communication unit 11 is abnormal. A specific procedure for determining the communication abnormality by the first communication abnormality determination unit 13 will be described later with reference to FIG.
  • the first reset determination unit 14 determines whether or not the communication abnormality is caused by the reset of the second controller 20 when the first communication abnormality determination unit 13 determines that the communication with the second controller 20 is abnormal. Perform a reset determination to determine. A specific procedure for the reset determination by the first reset determination unit 14 will be described later with reference to FIGS. 5 and 6.
  • the first control unit 15 performs control state determination for determining the control mode of the first controller 10 based on the determination results of the first communication abnormality determination unit 13 and the first reset determination unit 14. A specific procedure for determining the control state by the first control unit 15 will be described later with reference to FIG.
  • the first controller 10 causes an abnormality in communication performed with the second controller 20 by using the functions of the first communication abnormality determination unit 13, the first reset determination unit 14, and the first control unit 15.
  • a fail-safe process is performed in which the detection is performed separately and the control mode is shifted according to the detection result. The specific procedure of the fail safe process will be described later with reference to FIG.
  • the first inverter 31 performs drive control of the first motor 33 based on the first control command output from the first controller 10. For example, the switching states of a plurality of switching elements (not shown) are controlled based on the pulse width modulation signal output as the first control command from the first controller 10. Thereby, an alternating current having a predetermined amplitude, period, and phase is generated and output to the first motor 33.
  • the first system can drive the first motor 33 by the operation of each component as described above.
  • Each component in the second system also drives the second motor 43 by performing the same operation as each component of the first system. That is, the second torque sensor 45 and the second motor rotation angle sensor 47 detect the rotation torque and the rotor rotation angle of the second motor 43, respectively, and the second torque and the second that are sensor signals corresponding to the detection results.
  • the motor rotation angle is output to the second controller 20.
  • the second torque output from the second torque sensor 45 is also input to the first controller 10 for fail-safe processing.
  • the second controller 20, which is an electronic control unit (ECU), functions as a second communication unit 21, a second control command generation unit 22, a second communication abnormality determination unit 23, a second reset determination unit 24, and a second control. Part 25.
  • ECU electronice control unit
  • the second inverter 41 performs drive control of the second motor 43 based on the second control command output from the second controller 20. As a result, the second motor 43 is driven in the second system.
  • FIG. 2 is a diagram showing a hardware configuration of the electronic control device according to the first embodiment of the present invention.
  • FIG. 2A shows the hardware configuration of the first controller 10.
  • the first controller 10 includes a CPU 101, a ROM 103, a RAM 105, a communication circuit 107, and a PWM generation circuit 109.
  • the CPU 101 uses the RAM 105 as a work area and executes a program stored in the ROM 103, whereby the first communication unit 11, the first control command generation unit 12, the first communication abnormality determination unit 13, and the first reset determination unit 14. And the process for implement
  • the communication circuit 107 operates according to the control of the CPU 101, and performs processing for transmitting a communication signal to the second controller 20 and processing for receiving a communication signal transmitted from the second controller 20.
  • the communication circuit 107 implements the first communication unit 11 together with the CPU 101.
  • the PWM generation circuit 109 operates in accordance with the control of the CPU 101 and performs a process of generating a pulse width modulation (PWM) signal that is output to the first inverter 31 as the first control command.
  • PWM generation circuit 109 implements the first control command generation unit 12 together with the CPU 101.
  • FIG. 2B shows the hardware configuration of the second controller 20.
  • the second controller 20 includes a CPU 201, a ROM 203, a RAM 205, a communication circuit 207, and a PWM generation circuit 209. Since these operations are the same as those of the CPU 101, the ROM 103, the RAM 105, the communication circuit 107, and the PWM generation circuit 109 of the first controller 10, description thereof is omitted.
  • FIG. 3 is a flowchart of fail-safe processing by the first controller 10 in the first embodiment of the present invention.
  • the first controller 10 When the power of the control system 1 is turned on, the first controller 10 repeatedly executes the fail safe process shown in FIG. 3 every predetermined processing cycle.
  • step S10 the first controller 10 acquires the second torque output from the second torque sensor 45. If the first controller 10 can acquire the latest value of the second torque by other processing, the processing of step S10 may be omitted by using that value. If the first motor 33 and the second motor 43 share the rotor and the stator as described above, the first torque sensor 35 outputs the second torque instead of acquiring the second torque. One torque may be acquired. In this case, the process of step S ⁇ b> 10 may be omitted by using the first torque acquired when the first control command generation unit 12 calculates the target torque of the first motor 33.
  • step S ⁇ b> 11 the first controller 10 performs communication abnormality determination by the first communication abnormality determination unit 13.
  • the first communication abnormality determination unit 13 performs the process shown in the flowchart of FIG. 4 to determine whether the communication between the first controller 10 and the second controller 20 is normal or abnormal. Details of the flowchart of FIG. 4 will be described later.
  • step S12 the first controller 10 determines whether or not the determination result obtained by the communication abnormality determination performed in step S11 is normal communication.
  • the determination result is normal communication, that is, when the determination result that the communication between the first controller 10 and the second controller 20 is normal is obtained, the fail safe process shown in FIG. 3 is terminated.
  • the determination result is a communication abnormality, that is, if a determination result is obtained that the communication between the first controller 10 and the second controller 20 is abnormal, the process proceeds to step S14.
  • step S14 the first controller 10 performs a reset determination by the first reset determination unit 14.
  • the first reset determination unit 14 performs the process shown in the flowchart of FIG. 5 and determines whether or not the communication abnormality between the first controller 10 and the second controller 20 is due to the reset of the second controller 20. Details of the flowchart of FIG. 5 will be described later.
  • step S15 the first controller 10 performs control state determination by the first control unit 15. At this time, the first control unit 15 performs the processing shown in the flowchart of FIG. 7 and determines the control mode of the first controller 10. Details of the flowchart of FIG. 7 will be described later. If the control mode of the 1st controller 10 is determined by step S15, the 1st controller 10 will complete
  • FIG. 4 is a flowchart of communication abnormality determination by the first communication abnormality determination unit 13 in the first embodiment of the present invention.
  • the first communication abnormality determination unit 13 determines whether there is a possibility of communication abnormality with the controller 20. For example, if the data in the communication signal received from the controller 20 via the network 30 is abnormal, it is determined that there is a possibility of communication abnormality, and the process proceeds to step S113.
  • the presence or absence of data abnormality in the communication signal can be determined by determining the difference value between the communication signal data received last time and the communication signal data received this time, and whether or not this difference value indicates an abnormal value. it can. For example, when the difference value is 0 or out of the range of values that can be taken by normal control, it is determined that the data is abnormal, and otherwise, it is determined that the data is normal.
  • step 113 when there is an error in the communication protocol or when a communication signal cannot be received from the controller 20, it is determined that there is a possibility of communication abnormality, and the process proceeds to step 113. On the other hand, if these conditions are not met, it is determined that there is no possibility of communication abnormality, and the process proceeds to step S114.
  • the first communication abnormality determination unit 13 increments the communication abnormality determination counter.
  • the communication abnormality determination counter is a counter for measuring a period in which it is determined that there is a possibility of communication abnormality, and is stored in the RAM 105 during the operation of the first controller 10.
  • step S115 the first communication abnormality determination unit 13 determines whether or not the communication abnormality determination counter is greater than a predetermined communication abnormality determination threshold. As a result, if the communication abnormality determination counter is larger than the communication abnormality determination threshold, the process proceeds to step S117. If not, that is, if the communication abnormality determination counter is equal to or smaller than the communication abnormality determination threshold, the process proceeds to step S118.
  • the communication abnormality determination threshold value used in the determination of step S115 is set in advance to a value corresponding to a time sufficient to determine that communication with the controller 20 is abnormal in consideration of the execution cycle of the failsafe process. Has been.
  • the communication abnormality determination threshold can be set based on the maximum value of the communication cycle during normal operation, the maximum value of the communication interval allowed in the system, or the like.
  • step S117 the first communication abnormality determination unit 13 performs communication abnormality, that is, communication between the first controller 10 and the second controller 20. Is determined to be abnormal. If step S117 is performed and the determination result with communication abnormality is obtained, the 1st communication abnormality determination part 13 will complete
  • step S118 the first communication abnormality determination unit 13 determines that there is no communication abnormality, that is, the first controller 10 and the second controller 20 Is determined to be normal.
  • step S118 is executed and the determination result that there is no communication abnormality is obtained, the first communication abnormality determination unit 13 ends the communication abnormality determination shown in FIG.
  • step S114 the first communication abnormality determination unit 13 clears the above-described communication abnormality determination counter to an initial value (for example, 0). Thereafter, after performing the above-described processing in step S118, the communication abnormality determination shown in FIG.
  • the first communication abnormality determination unit 13 can determine whether the communication between the first controller 10 and the second controller 20 is normal or abnormal by performing the communication abnormality determination as described above. .
  • FIG. 5 is a flowchart of the reset determination by the first reset determination unit 14 in the first embodiment of the present invention.
  • step S141 the first reset determination unit 14 determines whether or not the second torque acquired in step S10 satisfies a predetermined reset condition. As a result, if it is determined that the reset condition is satisfied, the process proceeds to step S143. If it is determined that the reset condition is not satisfied, the process proceeds to step S145.
  • determination of step S141 is performed using the 2nd torque. Moreover, what is necessary is just to determine in step S141 whether the 1st torque satisfy
  • the reset condition used in the determination in step S141 is that the second controller 20 outputs the second torque to be output from the second torque sensor 45 when the second controller 20 is reset and the control of the second motor 43 is stopped. It is preset according to the change in value.
  • the reset determination method in step S141 in the first embodiment of the present invention will be described with reference to FIG. 6, taking as an example the case where the reset determination region D1 shown in FIG. 6 is used as a reset condition.
  • a waveform 61 represents the steering input torque by the vehicle driver
  • a waveform 62 represents the normal output torque output by the second motor 43 with respect to this input torque. For example, a region near 50% of the normal output torque is set in the reset determination region D1.
  • FIG. 6A is a diagram illustrating a state of change in the second torque when the second controller 20 is not reset when a communication abnormality is detected by the first communication abnormality determination unit 13.
  • the communication between the first controller 10 and the second controller 20 becomes abnormal, cooperative control is impossible, but the control of the second motor 43 by the second controller 20 is continuously performed. Therefore, as shown by the broken line, the second torque fluctuates in the vicinity of the normal output torque indicated by the waveform 62, but does not decrease greatly from there. Therefore, it is determined that the second torque does not reach the reset determination region D1 and does not satisfy the reset condition in step S141.
  • FIG. 6B is a diagram illustrating a change in the second torque when the second controller 20 is reset when a communication abnormality is detected by the first communication abnormality determination unit 13.
  • the second system in the electric power steering system 1000 is stopped and the second torque is rapidly reduced.
  • the first system is a redundant system. Since the first motor 33 is driven, the second torque is not completely zero, and about half of the normal output torque is detected as the second torque. As a result, as indicated by a broken line, the second torque changes to be within the reset determination region D1, and it is determined in step S141 that the reset condition is satisfied.
  • an area other than around 50% of the normal output torque may be set.
  • the second controller 20 is reset.
  • the second torque becomes zero. Therefore, in such a case, an area near 0% of the normal output torque may be set as the reset determination area D1.
  • the reset determination area D1 can be set.
  • a region other than the reset determination region D1 shown in FIG. 6 may be used as the reset condition.
  • the reset condition is that the amount of change (decrease amount) of the second torque per predetermined unit time exceeds a predetermined threshold.
  • the determination in step S141 can be made based on whether the reset condition is satisfied. Alternatively, paying attention to the fact that the second torque continuously decreases when the second motor 43 is stopped, whether or not the reset condition satisfies the reset condition that the second torque monotonously decreases within a predetermined determination time.
  • the determination in step S141 can also be made depending on whether or not. In addition to this, in consideration of a change in the second torque when the cooperative control is not performed due to communication abnormality and a change in the second torque when the second motor 43 is stopped while the first motor 33 is being driven, Reset judgment conditions can be set.
  • step S143 the first reset determination unit 14 determines that the second controller 20 has been reset. Thereby, it is determined that the cause of the communication abnormality between the first controller 10 and the second controller 20 detected by the first communication abnormality determination unit 13 in the communication abnormality determination of step S11 is the reset of the second controller 20. Results are obtained. If step S143 is performed, the 1st reset determination part 14 will complete
  • step S145 the first reset determination unit 14 increments the reset determination counter.
  • the reset determination counter is a counter for measuring a period during which it is determined that the second torque does not satisfy the reset condition, and is stored in the RAM 105 during the operation of the first controller 10. That is, even when the second controller 20 is reset and the control of the second motor 43 is stopped, as shown in FIG. 6B, until the second torque reaches the reset determination region D1. Since it takes a certain amount of time, the second torque does not always satisfy the reset condition at the time of step S141. Therefore, when the second torque does not satisfy the reset condition, the time is measured by the reset determination counter.
  • step S147 the first reset determination unit 14 determines whether or not the reset determination counter is greater than a predetermined reset determination threshold value. As a result, if the reset determination counter is larger than the reset determination threshold, the process proceeds to step S149. If not, that is, if the reset determination counter is equal to or smaller than the reset determination threshold, the reset determination shown in FIG. Note that the reset determination threshold used in the determination of step S147 is determined that the controller 20 is not reset in consideration of the time until the reset condition is satisfied due to the reset of the second controller 20 affecting the second torque. A value corresponding to a sufficient time to do is set in advance.
  • step S149 the first reset determination unit 14 determines whether the network 30 is abnormal or the first communication unit 11 of the first controller 10 And at least one of the second communication units 21 of the second controller 20 is determined to be abnormal. Thereby, the cause of the communication abnormality between the first controller 10 and the second controller 20 detected by the first communication abnormality determination unit 13 in the communication abnormality determination of step S11 is not the reset of the second controller 20, but the communication system. It is possible to obtain a determination result that the abnormality is If step S149 is performed, the 1st reset determination part 14 will complete
  • the first reset determination unit 14 When the communication between the first controller 10 and the second controller 20 is abnormal, the first reset determination unit 14 performs a reset determination as described above, thereby providing a sensor signal related to the state of the second motor 43. Whether or not the second controller 20 has been reset can be determined based on the change in the second torque.
  • FIG. 7 is a flowchart of control state determination by the first control unit 15 in the first embodiment of the present invention.
  • step S151 the first controller 15 determines whether or not the second controller 20 has been reset based on the reset determination result in step S14. If it is determined that the second controller 20 has been reset by executing step S143 in the reset determination, the process proceeds to step S153. On the other hand, if step S149 is executed in the reset determination and a determination result that the second controller 20 is not reset is obtained, the process proceeds to step S157. If neither step S143 nor step S149 is executed in the reset determination, that is, if it is determined in step S147 that the reset determination counter is equal to or smaller than the reset determination threshold, the process of step S151 is not performed. It is preferable to end the control state determination shown in FIG.
  • step S153 the first controller 15 determines the control state of the first controller 10 so that the operation of the first controller 10 is continued and the control of the first motor 33 is continued. Thus, when the second system stops in the electric power steering system 1000, the operation of the first system is continued to prevent the entire system from stopping. If step S153 is performed, the 1st control part 15 will complete
  • step S155 the first controller 15 compares the priority of the first controller 10 with the priority of the second controller 20, It is determined whether or not the priority of one controller 10 is higher. As a result, if it is determined that the priority of the first controller 10 is higher, the process proceeds to step S153. If not, that is, if it is determined that the priority of the second controller 20 is higher, the process proceeds to step S153. Proceed to S157.
  • the first controller 10 and the second controller 20 each have a preset priority according to the priority of control continuation, and both priorities are stored.
  • step S155 If it is determined in step S155 that the priority of the first controller 10 is higher, the first controller 15 executes step S153, as in the case where it is determined in step S151 that the second controller 20 has been reset. Thus, the operation of the first controller 10 is continued and the control of the first motor 33 is continued.
  • step S157 the first controller 15 stops the operation of the first controller 10 and controls the first motor 33. The control state of the first controller 10 is determined so as not to be performed. As a result, the output of the first control command from the first control command generator 12 is stopped in the first controller 10, and the drive control of the first motor 33 by the first inverter 31 is not performed. Thereby, in the electric power steering system 1000, when the second system is operating and the priority of the second system is high, the operation of the first system is stopped. If step S157 is performed, the 1st control part 15 will complete
  • the first control unit 15 can continue the operation of the first controller 10 when the second controller 20 is reset by performing the control state determination as described above. Moreover, when the 2nd controller 20 is not reset, it can be determined according to the priority of the 1st controller 10 and the 2nd controller 20 whether the 1st controller 10 is stopped. That is, since the first controller 10 and the second controller 20 execute the same fail-safe process, if the cause of the communication abnormality between them is other than the reset of one controller, the communication is performed at the same timing. An abnormality may be detected. Therefore, if the first controller 10 and the second controller 20 stop their operations without considering the priority, the entire control system 1 stops.
  • the first controller 10 and the second controller 20 determine whether or not to stop their operations in consideration of the respective priorities, whereby the first controller 10 and the second controller 10 in the control system 1 are determined. Only one of the controllers 20 is stopped. That is, the control system 1 determines that the first reset determination unit 14 determines that the second controller 20 is not reset, and the first controller 20 determines that the first controller 10 is not reset. Based on the priority set in advance for each of the controller 10 and the second controller 20, either the control of the first motor 33 by the first controller 10 or the control of the second motor 43 by the second controller 20 is performed. Stop. As a result, in the electric power steering system 1000, it is possible to avoid the entire system from stopping.
  • the first controller 10 when a communication abnormality occurs with the second controller 20, it is possible to immediately distinguish and determine the cause of the communication abnormality. That is, whether the communication abnormality with respect to the second controller 20 has occurred due to an abnormality in the communication system such as the network 30 or the mutual communication function, or whether the second controller 20 of the communication partner has been reset. The determination can be made without waiting until the controller 20 returns from the reset state. If the time until the second controller 20 returns from the reset state elapses, the first controller 10 checks whether or not the communication state after the return is normal, thereby fail-safe processing described in the present embodiment. It is also possible to determine the cause of the communication abnormality without performing the process.
  • the first controller 10 needs to wait at least a time until the second controller 20 returns from the reset state in order to determine the cause of the communication abnormality.
  • the cause of the communication abnormality can be determined in the first controller 10 without waiting until the second controller 20 returns from the reset state. Therefore, it is possible to make a determination faster than in the past.
  • the first controller 10 can immediately determine its own control mode in response to the result of the reset determination by the first reset determination unit 14.
  • the second controller 20 can immediately determine its own control mode. For this reason, the entire system of the electric power steering system 1000, that is, the state where both the first system and the second system are stopped simultaneously, and the situation where the control of the first system and the second system are performed asynchronously, respectively. Can be avoided.
  • the first controller 10 that is an electronic control device generates a first control command for controlling the first motor 33 that is the first control target, and outputs the first control command 12.
  • the first communication unit 11 that communicates with the second controller 20 that is another electronic control device for controlling the second motor 43 that is the second control target, and the first communication unit 11 communicates with the second controller 20.
  • a first reset determination unit that determines whether or not the second controller 20 has been reset based on a change in the second torque that is a sensor signal relating to the state. Since it did in this way, when a communication abnormality generate
  • the first reset determination unit 14 determines that the second controller 20 has been reset when the second torque changes and falls within the predetermined reset determination region D1 in steps S141 and S143. It can also be determined that the second controller 20 has been reset when the amount of change in the second torque per predetermined unit time exceeds a predetermined threshold. Furthermore, it can also be determined that the second controller 20 has been reset when the second torque monotonously decreases within a predetermined determination time. Since it did in this way, the change of the 2nd torque when the cooperation control is not performed due to communication abnormality and the change of the 2nd torque when the 2nd motor 43 stops during the drive of the 1st motor 33 is considered. It is possible to appropriately determine whether or not the second controller 20 has been reset.
  • the first control command generation unit 12 continues to output the first control command when the first reset determination unit 14 determines that the second controller 20 has been reset in steps S151 and S153. Since it did in this way, when the 2nd controller 20 is reset, control of the 1st motor 33 by the 1st controller 10 can be continued, and it can prevent that the electric power steering system 1000 stops.
  • FIG. 8 is a block diagram showing a configuration of an electric power steering system equipped with an electronic control device according to the second embodiment of the present invention.
  • the electric power steering system 1001 illustrated in FIG. 8 includes the first controller 10 and the second controller 20 in the control system 1 illustrated in FIG. Is different from the first controller 10A and the second controller 20A.
  • the first controller 10A functionally includes a first control command generation unit 12A and a first reset determination unit 14A instead of the first control command generation unit 12 and the first reset determination unit 14 in FIG.
  • the second controller 20A functionally includes a second control command generation unit 22A and a second reset determination unit 24A instead of the second control command generation unit 22 and the second reset determination unit 24 of FIG. ing. Since points other than this are the same as those in the first embodiment, description thereof will be omitted below.
  • the first controller 10A and the second controller 20A each perform fail-safe processing according to a procedure different from that described in the first embodiment.
  • the first control command generator 12A and the second control command generator 22A are controlled when it is determined that the communication between the first controller 10A and the second controller 20A is abnormal.
  • the control amounts of the first motor 33 and the second motor 43 are limited.
  • the first reset determination unit 14A and the second reset determination unit 24A each perform reset determination by a procedure different from that described in the first embodiment. Since the operations of the first controller 10A and the second controller 20A are the same, only the operation of the first controller 10A will be described below, and the description of the operation of the second controller 20A will be omitted.
  • FIG. 9 is a flowchart of fail-safe processing by the first controller 10A in the second embodiment of the present invention.
  • the first controller 10A When the power of the control system 1A is turned on, the first controller 10A repeatedly executes the fail safe process shown in FIG. 9 every predetermined processing cycle.
  • steps S10 to S12 and S15 have the same processing contents as in FIG.
  • steps S13 and S14A different from FIG. 3 will be described.
  • the first controller 10A limits the control amount of the first motor 33 in step S13.
  • the control amount of the first motor 33 is limited by limiting the first control command output from the first control command generator 12A to the first inverter 31 to a value lower than normal.
  • the output torque of the first motor 33 is X% (for example, 25%) of the target torque of the first motor 33 determined based on the steering angle signal, the first torque, and the first motor rotation angle.
  • the first control command generator 12 generates a first control command and outputs the first control command to the first inverter 31.
  • control amount of the first motor 33 may be limited by another method, for example, a predetermined control amount is output as the first control command regardless of the target torque. If step S13 is performed, the 1st controller 10A will advance a process to step S14A.
  • step S14A the first controller 10A performs a reset determination by the first reset determination unit 14A.
  • the first reset determination unit 14A performs the process shown in the flowchart of FIG. 10, and determines whether or not the communication abnormality between the first controller 10A and the second controller 20A is caused by the reset of the second controller 20A.
  • FIG. 10 is a flowchart of the reset determination by the first reset determination unit 14A in the second embodiment of the present invention.
  • the first reset determination unit 14A determines whether the second torque acquired in step S10 is normal or reset. As a result, if it is determined that the second torque matches at the time of reset, the process proceeds to step S143. If it is determined that the second torque matches at the normal time, the process proceeds to step S149.
  • the second torque is used. The determination in step S141A is performed. If the first torque is acquired instead of acquiring the second torque as described above, it may be determined in step S141A whether the first torque matches the normal time or the reset time.
  • the determination in step S141A takes into account the control amount of the first motor 33 restricted in step S13 of FIG. 9 and the control amount of the second motor 43 restricted in the same manner, and the second torque becomes after the restriction. This is performed by determining whether or not the motor control amount is met.
  • FIG. 11 for the reset determination method in step S141A in the second embodiment of the present invention, taking as an example the case where the output torque of the first motor 33 is limited to X% of the target torque as described above.
  • the waveform 61 represents the steering input torque by the driver of the vehicle
  • the waveform 62 is output by the second motor 43 in response to this input torque. It represents the output torque at normal time.
  • FIG. 11A is a diagram illustrating a state of change in the second torque when the second controller 20A is not reset when a communication abnormality is detected by the first communication abnormality determination unit 13.
  • the output torque of the first motor 33 is limited to X% of the target torque in the first controller 10A, and the control of the second motor 43 by the second controller 20A is continuously performed.
  • the output torque of the second motor 43 is limited to X% of the target torque. Therefore, as indicated by a broken line, a value of 2X% of the target torque is detected as the second torque.
  • a value in the vicinity of 2X% of the target torque is set in the normal determination region D2, it is determined in step S141A that the second torque is in a normal state because the second torque is within the normal determination region D2. Is done.
  • FIG. 11B is a diagram illustrating a state of change in the second torque when the second controller 20 ⁇ / b> A is reset when a communication abnormality is detected by the first communication abnormality determination unit 13.
  • the second system is stopped in the electric power steering system 1001, and the second torque is rapidly reduced.
  • the first motor 33 of the first system which is a redundant system, is driven, and its output torque is limited to X% of the target torque. Therefore, the second torque is not completely zero as indicated by the broken line, and the value of X% of the normal output torque is detected as the second torque.
  • a value in the vicinity of X% of the target torque is set in the reset determination region D3, it is determined in step S141A that the second torque is matched at the time of reset because the second torque falls within the reset determination region D3. Is done.
  • the normal determination area D2 and the reset determination area D3 may be set to areas other than those illustrated in FIG. 11 as in the reset determination area D1 in the first embodiment. Changes in the second torque due to the control amount of the first motor 33 and the second motor 43 being limited in the first controller 10A and the second controller 20A, and the second motor 43 stopped during the driving of the first motor 33
  • the normal determination area D2 and the reset determination area D3 can be set in consideration of the change in the second torque in the case.
  • step S143 the first reset determination unit 14A determines that the second controller 20 has been reset. Thereby, it is determined that the cause of the communication abnormality between the first controller 10A and the second controller 20A detected by the first communication abnormality determination unit 13 in the communication abnormality determination in step S11 is the reset of the second controller 20A. Results are obtained. If step S143 is performed, 14 A of 1st reset determination parts will complete
  • step S149 the first reset determination unit 14A determines whether the network 30 is abnormal or the first communication unit 11 of the first controller 10A. It is determined that at least one of the second communication units 21 of the second controller 20A is abnormal. Thereby, the cause of the communication abnormality between the first controller 10A and the second controller 20A detected by the first communication abnormality determination unit 13 in the communication abnormality determination in step S11 is not the reset of the second controller 20A but the communication system. It is possible to obtain a determination result that the abnormality is. If step S149 is performed, the 1st reset determination part 14A will complete
  • the first control command generation unit 12A when the first communication abnormality determination unit 13 determines that the communication with the second controller 20A is abnormal, In step S13, the control amount of the first motor 33 in the first control command is limited. Further, the first reset determination unit 14A determines that the second controller 20A has not been reset when the amount of change in the second torque matches the control amount after the limitation in steps S141A and S149. Since it did in this way, it can prevent that the driver
  • FIG. 12 is a block diagram showing a configuration of an electric power steering system equipped with an electronic control device according to the third embodiment of the present invention.
  • the electric power steering system 1002 illustrated in FIG. 12 includes the first controller 10 and the second controller 20 in the control system 1 illustrated in FIG. Are different from the first controller 10B and the second controller 20B in that the first torque is not output from the first torque sensor 35 to the second controller 20B.
  • the first controller 10B functionally includes a first control unit 15B instead of the first control unit 15 in FIG.
  • the second controller 20B functionally includes only the second communication unit 21 and the second control command generation unit 22, and the second communication abnormality determination unit 23, the second reset determination unit 24, and the second control unit 22 of FIG.
  • the control unit 25 is not provided. That is, the second controller 20B of the present embodiment has a communication function with the first controller 10B and a control function of the second motor 43, but does not have a fail-safe function based on the first torque. Since points other than this are the same as those in the first embodiment, description thereof will be omitted below.
  • the first controller 10B performs fail-safe processing according to a procedure different from that described in the first embodiment.
  • the first control unit 15B performs control state determination determination according to a procedure different from that described in the first embodiment.
  • FIG. 13 is a flowchart of fail-safe processing by the first controller 10B in the third embodiment of the present invention.
  • the first controller 10B When the power of the control system 1B is turned on, the first controller 10B repeatedly executes the fail safe process shown in FIG. 13 every predetermined processing cycle.
  • steps S10 to S14 have the same processing contents as in FIG.
  • step S15B different from FIG. 3 will be described.
  • the first controller 10B When the reset determination by the first reset determination unit 14 is performed in step S14, the first controller 10B performs control state determination by the first control unit 15B in step S15B. At this time, the first controller 15B performs the process shown in the flowchart of FIG. 14 to determine the control mode of the first controller 10B.
  • FIG. 14 is a flowchart of control state determination by the first controller 15B in the third embodiment of the present invention.
  • the first control unit 15B determines whether or not the second controller 20B has been reset based on the reset determination result in step S14. If the determination result that the second controller 20B is reset is obtained by executing step S143 in the reset determination, the operation of the first controller 10B is continued in step S153 as in the first embodiment. Thus, the control state of the first controller 10B is determined so as to continue the control of the first motor 33. Thereafter, the first control unit 15B ends the control state determination shown in FIG.
  • step S149 is executed in the reset determination and a determination result that the second controller 20B is not reset is obtained, the process proceeds to step S157. That is, in this case, unlike the first embodiment, the operation of the first controller 10B is stopped and the first motor 33 is not controlled in step 157 without executing the determination in step S155 of FIG. As described above, the control state of the first controller 10B is determined. Thereafter, the first control unit 15B ends the control state determination shown in FIG.
  • the first control unit 15B performs the control state determination as described above, so that when the second controller 20B is reset, the operation of the first controller 10B is continued as in the first embodiment. be able to.
  • the second controller 20B is not reset, unlike the first embodiment, the first controller 10B is stopped and the output of the first control command from the first control command generator 12 is stopped. be able to. That is, in the present embodiment, the second controller 20B does not execute the fail-safe process, so even when a communication abnormality occurs between these controllers by resetting the first controller 10B, the operation of the second controller 20B Will never be stopped. Therefore, in such a case, by stopping the operation of the first controller 10B, in the electric power steering system 1002, control that is not intended by the driver of the vehicle at the time of communication abnormality is performed while preventing the entire system from stopping. Can be prevented.
  • the first control command generator 12 determines that the second controller 20B has not been reset by the first reset determiner 14 in steps S151 and S157. In this case, the output of the first control command is stopped. On the other hand, in Steps S151 and S153, when the first reset determination unit 14 determines that the second controller 20B has been reset, the output of the first control command is continued. Since it did in this way, when the communication abnormality is detected between the 1st controller 10B and the 2nd controller 20B, according to the cause of the communication abnormality, control of the 1st motor 33 by the 1st controller 10B is continued. It is possible to appropriately determine whether or not.
  • the number of controllers connected to the network 30 and communicating with each other is not limited to two, and may be three or more.
  • the reset determination region D1 in the first embodiment is set to a region near 1 / N of the normal motor output torque according to the number of controllers. Is preferred.
  • the motor output torque after the limitation in the second embodiment is also preferably set according to the number of controllers.
  • the first controller 15 of the first controller 10, 10A and the second controller 25 of the second controller 20, 20A determine the control state of FIG. In the above example, when these controllers are not reset, one controller is stopped according to each priority.
  • a control circuit different from the first controller 10, 10A and the second controller 20, 20A may be provided in the control system 1, 1A, and it may be determined which controller is to be stopped in this control circuit. .
  • the controller In each of the embodiments described above, an example in which the first motor 33 and the second motor 43 that generate driving force for assisting or controlling the steering of the vehicle in the electric power steering system are controlled by the controller has been described.
  • other objects may be controlled by the controller.
  • various objects can be controlled as long as they are used in a redundant system of a plurality of systems such as a vehicle travel motor, a brake actuator, and various actuators mounted on a system other than the vehicle.
  • the reset condition in step S141 described in the first embodiment and the determination condition in step S141A described in the second embodiment are set according to this control target.
  • the amount of change of the sensor signal that is, the increase amount exceeds a predetermined threshold, or the sensor signal is detected within a predetermined determination time.
  • the determination in step S141 is performed depending on whether these reset conditions are satisfied. As a result, when these reset conditions are satisfied, it can be determined in one controller that the other controller has been reset.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • Steering Control In Accordance With Driving Conditions (AREA)
  • Power Steering Mechanism (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

電子制御装置は、第一の制御対象を制御するための制御指令を生成して出力する制御指令生成部と、第二の制御対象を制御する他の電子制御装置と通信を行う通信部と、前記通信部による前記他の電子制御装置との通信が異常であるか否かを判定する通信異常判定部と、前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記第二の制御対象の状態に関するセンサ信号の変化に基づいて、前記他の電子制御装置がリセットされたか否かを判定するリセット判定部と、を備える。

Description

電子制御装置、制御システム、リセット判定方法
　本発明は、電子制御装置と、これを用いた制御システムおよびリセット判定方法に関する。
　自動車分野では、車両に搭載された各種アクチュエータの制御を行う電子制御装置（ＥＣＵ）が利用されている。この電子制御装置には、故障が発生した際の車両事故などのリスクを低減するために所定の安全設計が要求されている。たとえば、自動運転車両におけるステアリングやブレーキの制御を行う制御システムでは、故障発生時にも制御を継続してドライバの安全性を確保できるようにするため、相互に通信を行う複数の電子制御装置を利用した冗長化構成が広く採用されている。
　上記のような冗長化構成の制御システムにおいて、電子制御装置間に通信異常が発生した場合には、その後の制御モードを適切に決定するために、通信異常の原因が通信機能の故障であるか、それとも一方の電子制御装置がリセット状態になったことであるかを直ちに判断する必要がある。これに関して、特許文献１には、２つの電子制御装置にそれぞれ搭載されたマイコン間で通信途絶状態が発生した場合に、所定時間以内にその通信途絶状態が解消されたか否かを判定することで、マイコンの異常と通信線の異常とを区別して検出する技術が開示されている。
日本国特開２０１６－５７８８８号公報
　特許文献１に開示された技術では、マイコンがリセット状態から立ち上がって通信を再開するのに要する時間が経過するまでは、マイコンの異常と通信線の異常とを区別することができない。そのため、通信異常の原因を直ちに判断することができない。
　本発明の第１の態様による電子制御装置は、第一の制御対象を制御するための制御指令を生成して出力する制御指令生成部と、第二の制御対象を制御する他の電子制御装置と通信を行う通信部と、前記通信部による前記他の電子制御装置との通信が異常であるか否かを判定する通信異常判定部と、前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記第二の制御対象の状態に関するセンサ信号の変化に基づいて、前記他の電子制御装置がリセットされたか否かを判定するリセット判定部と、を備える。
　本発明の第２の態様による制御システムは、電子制御装置および他の電子制御装置を備え、前記他の電子制御装置は、前記電子制御装置との通信が異常である場合に、前記電子制御装置がリセットされたか否かを判定する第二のリセット判定部を有しており、前記他の電子制御装置がリセットされていないと前記リセット判定部が判定し、かつ前記電子制御装置がリセットされていないと前記第二のリセット判定部が判定した場合に、前記電子制御装置と前記他の電子制御装置のそれぞれに対して予め設定された優先度に基づいて、前記電子制御装置による前記第一の制御対象の制御または前記他の電子制御装置による前記第二の制御対象の制御のいずれか一方を停止させる。
　本発明の第３の態様によるリセット判定方法は、相互に通信を行う第一の電子制御装置および第二の電子制御装置を有する制御システムにおいて、前記第一の電子制御装置により、前記第二の電子制御装置との通信が異常であるか否かを判定し、前記第二の電子制御装置との通信が異常であると判定された場合に、前記第一の電子制御装置により、前記第二の電子制御装置の制御対象の状態に関するセンサ信号の変化に基づいて、前記第二の電子制御装置がリセットされたか否かを判定する。
　本発明によれば、電子制御装置間に通信異常が発生した場合に、その原因を直ちに判断することができる。
本発明の第１の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。 本発明の第１の実施形態に係る電子制御装置のハードウェア構成を示す図である。 本発明の第１の実施形態におけるフェイルセーフ処理のフローチャートである。 本発明の第１の実施形態における通信異常判定のフローチャートである。 本発明の第１の実施形態におけるリセット判定のフローチャートである。 本発明の第１の実施形態におけるリセット判定の方法を説明する図である。 本発明の第１の実施形態における制御状態決定のフローチャートである。 本発明の第２の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。 本発明の第２の実施形態におけるフェイルセーフ処理のフローチャートである。 本発明の第２の実施形態におけるリセット判定のフローチャートである。 本発明の第２の実施形態におけるリセット判定の方法を説明する図である。 本発明の第３の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。 本発明の第３の実施形態におけるフェイルセーフ処理のフローチャートである。 本発明の第３の実施形態における制御状態決定のフローチャートである。
（第１の実施形態）
　以下、図１～図７を用いて、本発明の第１の実施形態に係る電子制御装置について説明する。本実施形態では、車両のステアリングをアシストまたは制御する電動パワーステアリングシステムに搭載された電子制御装置を例として、本発明の説明を行う。
　図１は、本発明の第１の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図１に示す電動パワーステアリングシステム１０００は、同様の構成であり同様の動作を行う第１系統と第２系統に冗長化されている。第１系統は、第１コントローラ１０、第１インバータ３１、第１モータ３３、第１トルクセンサ３５、および第１モータ回転角センサ３７を備える。第２系統は、第２コントローラ２０、第２インバータ４１、第２モータ４３、第２トルクセンサ４５、および第２モータ回転角センサ４７を備える。第１コントローラ１０と第２コントローラ２０は、ネットワーク３０を介して互いに接続されており、制御システム１を構成している。ネットワーク３０は、第１コントローラ１０と第２コントローラ２０の間で定期的に送受信される通信信号の伝送媒体であり、たとえば、Serial Peripheral Interface（ＳＰＩ）のようなＰ２Ｐ通信や、Controller Area Network（ＣＡＮ）のようなバス通信により、通信信号の伝送を行う。
　第１モータ３３および第２モータ４３は、第１インバータ３１、第２インバータ４１からそれぞれ入力される交流電流に応じて回転駆動し、車両のステアリングをアシストまたは制御するための駆動力を供給する回転トルクをそれぞれ発生する。なお、第１モータ３３と第２モータ４３とは、ロータ、ステータおよび巻線を個別にそれぞれ有する構造であってもよいし、ロータとステータを共有して巻線を共有しない構造、すなわち物理的には単一のモータを別々の巻線で制御するような構造であってもよい。
　第１系統において、第１トルクセンサ３５および第１モータ回転角センサ３７は、第１モータ３３の状態に関するセンサ信号を第１コントローラ１０にそれぞれ出力する。具体的には、第１トルクセンサ３５は、第１モータ３３の回転トルクを検出し、その検出結果に応じたセンサ信号である第１トルクを出力する。第１モータ回転角センサ３７は、第１モータ３３のロータ回転角を検出し、その検出結果に応じたセンサ信号である第１モータ回転角を出力する。なお、第１トルクセンサ３５から出力された第１トルクは、後述するフェイルセーフ処理のために第２コントローラ２０にも入力される。
　第１コントローラ１０は、電動パワーステアリングシステム１０００において第１系統の制御を実現するための各種の処理や演算を行う電子制御装置（ＥＣＵ）である。第１コントローラ１０は、その機能として、第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５を有する。
　第１通信部１１は、ネットワーク３０を介して第２コントローラ２０との間で通信信号の送受信を行う。この通信信号には、第１コントローラ１０と第２コントローラ２０とが第１モータ３３と第２モータ４３をそれぞれ協調して制御するための情報が含まれる。たとえば、第１制御指令生成部１２で演算された第１モータ３３の制御量などの情報を含む通信信号が、第１コントローラ１０から第２コントローラ２０へと第１通信部１１により送信される。また、第２コントローラ２０から送信された第２モータ４３の制御量などの情報を含む通信信号が、第１通信部１１により受信される。
　第１制御指令生成部１２は、第１トルクセンサ３５と第１モータ回転角センサ３７からそれぞれ入力された第１トルクおよび第１モータ回転角に基づいて、制御対象である第１モータ３３の制御量を演算し、その制御量に応じた第１制御指令を生成して第１インバータ３１に出力する。第１制御指令生成部１２は、たとえば、車両のステアリングホイールに取り付けられた不図示の舵角センサから出力される舵角信号と、第１トルクおよび第１モータ回転角とを用いて、周知の演算処理により、第１モータ３３の制御量に応じた目標トルクを求める。このとき、前述の通信信号により第２コントローラ２０から送信された第２モータ４３の制御量、すなわち第２モータ４３の目標トルクを考慮して、第１モータ３３の目標トルクを決定することで、第１コントローラ１０と第２コントローラ２０との間で協調制御が実現される。そして、求められた目標トルクに応じたパルス幅変調（ＰＷＭ）信号を生成し、第１制御指令として第１インバータ３１に出力する。なお、第１制御指令生成部１２による第１モータ３３の目標トルクの演算結果は、前述の通信信号により、第１通信部１１からネットワーク３０を介して第２コントローラ２０に送信される。
　第１通信異常判定部１３は、第１通信部１１による第２コントローラ２０との通信が異常であるか否かを判定する通信異常判定を実施する。なお、第１通信異常判定部１３による通信異常判定の具体的な手順については、後で図４を参照して説明する。
　第１リセット判定部１４は、第１通信異常判定部１３により第２コントローラ２０との通信が異常であると判定された場合に、その通信異常が第２コントローラ２０のリセットによるものか否かを判定するリセット判定を実施する。なお、第１リセット判定部１４によるリセット判定の具体的な手順については、後で図５および図６を参照して説明する。
　第１制御部１５は、第１通信異常判定部１３および第１リセット判定部１４の判定結果に基づいて第１コントローラ１０の制御モードを決定する制御状態決定を実施する。なお、第１制御部１５による制御状態決定の具体的な手順については、後で図７を参照して説明する。
　第１コントローラ１０は、上記の第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５の各機能を用いて、第２コントローラ２０との間で行われる通信の異常を原因ごとに区別して検出し、その検出結果に応じた制御モードに移行するフェイルセーフ処理を行う。なお、フェイルセーフ処理の具体的な手順については、後で図３を参照して説明する。
　第１インバータ３１は、第１コントローラ１０から出力された第１制御指令に基づき、第１モータ３３の駆動制御を行う。たとえば、第１コントローラ１０から第１制御指令として出力されたパルス幅変調信号に基づき、不図示の複数のスイッチング素子のスイッチング状態をそれぞれ制御する。これにより、所定の振幅、周期、位相を有する交流電流を生成して、第１モータ３３に出力する。
　電動パワーステアリングシステム１０００において、第１系統は、以上説明したような各構成要素の動作により、第１モータ３３を駆動させることができる。
　第２系統における各構成要素も、第１系統の各構成要素とそれぞれ同様の動作を行うことで、第２モータ４３を駆動させる。すなわち、第２トルクセンサ４５および第２モータ回転角センサ４７は、第２モータ４３の回転トルクとロータ回転角をそれぞれ検出し、これらの検出結果に応じたセンサ信号である第２トルクと第２モータ回転角を第２コントローラ２０にそれぞれ出力する。なお、第２トルクセンサ４５から出力された第２トルクは、フェイルセーフ処理のために第１コントローラ１０にも入力される。電子制御装置（ＥＣＵ）である第２コントローラ２０は、その機能として、第２通信部２１、第２制御指令生成部２２、第２通信異常判定部２３、第２リセット判定部２４および第２制御部２５を有している。これらは、第１コントローラ１０の第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４、第１制御部１５とそれぞれ対応しており、同じ動作をそれぞれ行う。第２インバータ４１は、第２コントローラ２０から出力された第２制御指令に基づき、第２モータ４３の駆動制御を行う。これにより、第２系統において第２モータ４３が駆動される。
　図２は、本発明の第１の実施形態に係る電子制御装置のハードウェア構成を示す図である。図２（ａ）は、第１コントローラ１０のハードウェア構成を示している。図２（ａ）に示すように、第１コントローラ１０は、ＣＰＵ１０１、ＲＯＭ１０３、ＲＡＭ１０５、通信回路１０７、およびＰＷＭ生成回路１０９を備える。ＣＰＵ１０１は、ＲＡＭ１０５を作業領域に用いてＲＯＭ１０３に保存されたプログラムを実行することで、第１通信部１１、第１制御指令生成部１２、第１通信異常判定部１３、第１リセット判定部１４および第１制御部１５の各機能を実現するための処理を行う。通信回路１０７は、ＣＰＵ１０１の制御に応じて動作し、第２コントローラ２０へ通信信号を送信する処理と、第２コントローラ２０から送信された通信信号を受信する処理を行う。通信回路１０７は、ＣＰＵ１０１と共に第１通信部１１を実現する。ＰＷＭ生成回路１０９は、ＣＰＵ１０１の制御に応じて動作し、第１インバータ３１に第１制御指令として出力するパルス幅変調（ＰＷＭ）信号を生成する処理を行う。ＰＷＭ生成回路１０９は、ＣＰＵ１０１と共に第１制御指令生成部１２を実現する。
　図２（ｂ）は、第２コントローラ２０のハードウェア構成を示している。図２（ｂ）に示すように、第２コントローラ２０は、ＣＰＵ２０１、ＲＯＭ２０３、ＲＡＭ２０５、通信回路２０７、およびＰＷＭ生成回路２０９を備える。これらの動作は、第１コントローラ１０のＣＰＵ１０１、ＲＯＭ１０３、ＲＡＭ１０５、通信回路１０７、およびＰＷＭ生成回路１０９とそれぞれ同様であるため、説明を省略する。
　次に、第１コントローラ１０が行うフェイルセーフ処理について説明する。図３は、本発明の第１の実施形態における第１コントローラ１０によるフェイルセーフ処理のフローチャートである。第１コントローラ１０は、制御システム１の電源が投入されると、図３に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。
　ステップＳ１０において、第１コントローラ１０は、第２トルクセンサ４５から出力された第２トルクを取得する。なお、他の処理で第１コントローラ１０が第２トルクの最新値を取得可能であれば、その値を用いることでステップＳ１０の処理を省略してもよい。また、前述のように第１モータ３３と第２モータ４３がロータとステータを共有している構造である場合には、第２トルクを取得する代わりに、第１トルクセンサ３５から出力された第１トルクを取得してもよい。この場合、第１制御指令生成部１２が第１モータ３３の目標トルクを演算する際に取得した第１トルクを用いることで、ステップＳ１０の処理を省略してもよい。
　ステップＳ１１において、第１コントローラ１０は、第１通信異常判定部１３による通信異常判定を行う。このとき第１通信異常判定部１３は、図４のフローチャートに示す処理を行い、第１コントローラ１０と第２コントローラ２０の間の通信が正常であるか異常であるかを判定する。なお、図４のフローチャートの詳細については後で説明する。
　ステップＳ１２において、第１コントローラ１０は、ステップＳ１１で行った通信異常判定により得られた判定結果が通信正常であるか否かを判定する。判定結果が通信正常である場合、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が正常であるとの判定結果が得られた場合は、図３に示すフェイルセーフ処理を終了する。一方、判定結果が通信異常である場合、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が異常であるとの判定結果が得られた場合は、処理をステップＳ１４に進める。
　ステップＳ１４において、第１コントローラ１０は、第１リセット判定部１４によるリセット判定を行う。このとき第１リセット判定部１４は、図５のフローチャートに示す処理を行い、第１コントローラ１０と第２コントローラ２０の間の通信異常が第２コントローラ２０のリセットによるものか否かを判定する。なお、図５のフローチャートの詳細については後で説明する。
　ステップＳ１５において、第１コントローラ１０は、第１制御部１５による制御状態決定を行う。このとき第１制御部１５は、図７のフローチャートに示す処理を行い、第１コントローラ１０の制御モードを決定する。なお、図７のフローチャートの詳細については後で説明する。ステップＳ１５で第１コントローラ１０の制御モードを決定したら、第１コントローラ１０は図３に示すフェイルセーフ処理を終了する。
　次に、図３のステップＳ１１で実行される通信異常判定について説明する。図４は、本発明の第１の実施形態における第１通信異常判定部１３による通信異常判定のフローチャートである。
　ステップＳ１１１において、第１通信異常判定部１３は、コントローラ２０との間で通信異常の可能性があるか否かを判定する。たとえば、コントローラ２０からネットワーク３０を介して受信した通信信号におけるデータが異常である場合は、通信異常の可能性があると判定して処理をステップＳ１１３に進める。なお、通信信号におけるデータの異常の有無は、前回受信した通信信号のデータと今回受信した通信信号のデータとの差分値を求め、この差分値が異常値を示すか否かによって判断することができる。たとえば、差分値が０である場合や通常の制御で取り得る値の範囲から外れている場合はデータが異常であると判断し、そうでない場合はデータが正常であると判断する。また、通信プロトコルに誤りがある場合や、コントローラ２０から通信信号を受信できない場合にも、通信異常の可能性があると判定して処理をステップ１１３に進める。一方、これらの条件に該当しない場合は、通信異常の可能性がないと判定して処理をステップＳ１１４に進める。
　ステップＳ１１３において、第１通信異常判定部１３は、通信異常判定カウンタをインクリメントする。この通信異常判定カウンタは、通信異常の可能性ありと判定された期間を計測するためのカウンタであり、第１コントローラ１０の動作中にＲＡＭ１０５に記憶されている。
　ステップＳ１１３の処理を実行した後、ステップＳ１１５において、第１通信異常判定部１３は、通信異常判定カウンタが所定の通信異常判定閾値よりも大きいか否かを判定する。その結果、通信異常判定カウンタが通信異常判定閾値よりも大きい場合は処理をステップＳ１１７に進め、そうでない場合、すなわち通信異常判定カウンタが通信異常判定閾値以下である場合は処理をステップＳ１１８に進める。なお、ステップＳ１１５の判定で用いられる通信異常判定閾値は、フェイルセーフ処理の実行周期を考慮して、コントローラ２０との通信が異常であると確定するのに十分な時間に応じた値が予め設定されている。たとえば通常動作時の通信周期の最大値や、システム上許容される通信間隔の最大値などに基づいて、通信異常判定閾値を設定することができる。
　ステップＳ１１５で通信異常判定カウンタが通信異常判定閾値よりも大きいと判定した場合、ステップＳ１１７において、第１通信異常判定部１３は、通信異常、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が異常であると判定する。ステップＳ１１７を実行して通信異常との判定結果が得られたら、第１通信異常判定部１３は図４に示す通信異常判定を終了する。
　一方、ステップＳ１１５で通信異常判定カウンタが通信異常判定閾値以下であると判定した場合、ステップＳ１１８において、第１通信異常判定部１３は、通信異常なし、すなわち第１コントローラ１０と第２コントローラ２０の間の通信が正常であると判定する。ステップＳ１１８を実行して通信異常なしとの判定結果が得られたら、第１通信異常判定部１３は図４に示す通信異常判定を終了する。
　また、ステップＳ１１１で通信異常の可能性がないと判定した場合、ステップＳ１１４において、第１通信異常判定部１３は、前述の通信異常判定カウンタを初期値（たとえば０）にクリアする。その後は、ステップＳ１１８で上記の処理を行った後、図４に示す通信異常判定を終了する。
　第１通信異常判定部１３は、以上説明したような通信異常判定を行うことで、第１コントローラ１０と第２コントローラ２０の間の通信が正常であるか異常であるかを判定することができる。
　次に、図３のステップＳ１４で実行されるリセット判定について説明する。図５は、本発明の第１の実施形態における第１リセット判定部１４によるリセット判定のフローチャートである。
　ステップＳ１４１において、第１リセット判定部１４は、ステップＳ１０で取得した第２トルクが所定のリセット条件を満たすか否かを判定する。その結果、リセット条件を満たすと判定した場合は処理をステップＳ１４３に進め、満たさないと判定した場合は処理をステップＳ１４５に進める。なお、前述のように他の処理で第２トルクを取得可能であるためにステップＳ１０の処理を省略した場合は、その第２トルクを用いてステップＳ１４１の判定を行う。また、前述のように第２トルクを取得する代わりに第１トルクを取得した場合は、第１トルクがリセット条件を満たすか否かをステップＳ１４１において判定すればよい。
　ステップＳ１４１の判定で用いられるリセット条件は、第１コントローラ１０において、第２コントローラ２０がリセットされて第２モータ４３の制御が停止した場合に第２トルクセンサ４５から出力されるべき第２トルクの値の変化に応じて予め設定されている。以下では、図６に示すリセット判定領域Ｄ１をリセット条件に用いた場合を具体例として、本発明の第１の実施形態におけるステップＳ１４１のリセット判定の方法について、図６を参照して説明する。図６において、波形６１は車両のドライバによるステアリングの入力トルクを表し、波形６２はこの入力トルクに対して第２モータ４３が出力する正常時の出力トルクを表している。リセット判定領域Ｄ１には、たとえば正常時の出力トルクの５０％付近の領域が設定される。
　図６（ａ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０がリセットされていない場合の第２トルクの変化の様子を示す図である。この場合、第１コントローラ１０と第２コントローラ２０の間の通信が異常となることで、協調制御は不可能であるが、第２コントローラ２０による第２モータ４３の制御は継続して行われる。そのため破線で示すように、第２トルクは波形６２が示す正常時の出力トルク付近で変動するものの、そこから大きく減少することはない。したがって、第２トルクはリセット判定領域Ｄ１に到達せず、ステップＳ１４１においてリセット条件を満たさないと判定される。
　図６（ｂ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０がリセットされていた場合の第２トルクの変化の様子を示す図である。この場合、第２コントローラ２０による第２モータ４３の制御が停止することで、電動パワーステアリングシステム１０００において第２系統が停止して第２トルクが急激に減少するが、冗長系である第１系統の第１モータ３３が駆動しているため、第２トルクは完全に０とはならず、正常時の出力トルクの約半分の値が第２トルクとして検出される。その結果、破線で示すように第２トルクが変化してリセット判定領域Ｄ１内となり、ステップＳ１４１においてリセット条件を満たすと判定される。
　なお、上記のリセット判定領域Ｄ１には、正常時の出力トルクの５０％付近以外の領域を設定してもよい。たとえば、第１モータ３３と第２モータ４３が機械的に完全に分離しており、第１モータ３３の駆動が第２モータ４３に影響を及ぼさない場合には、第２コントローラ２０がリセットされて第２モータ４３が停止すると、第２トルクは０となる。したがってこのような場合には、正常時の出力トルクの０％付近の領域をリセット判定領域Ｄ１に設定してもよい。これ以外にも、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、リセット判定領域Ｄ１を設定することができる。
　また、ステップＳ１４１の判定では、図６に示したリセット判定領域Ｄ１以外をリセット条件として用いてもよい。たとえば、第２モータ４３が停止したときの第２トルクの減少速度に着目し、所定の単位時間当たりの第２トルクの変化量（減少量）が所定の閾値を超えることをリセット条件として、このリセット条件を満たすか否かによりステップＳ１４１の判定を行うことができる。あるいは、第２モータ４３が停止したときに第２トルクが連続的に減少することに着目し、所定の判定時間内で第２トルクが単調減少することをリセット条件として、このリセット条件を満たすか否かによりステップＳ１４１の判定を行うこともできる。これ以外にも、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、リセット判定条件を設定することができる。
　図５の説明に戻ると、ステップＳ１４３において、第１リセット判定部１４は、第２コントローラ２０がリセットされたと判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０と第２コントローラ２０の間の通信異常の原因は、第２コントローラ２０のリセットであるとの判定結果が得られる。ステップＳ１４３を実行したら、第１リセット判定部１４は図５に示すリセット判定を終了する。
　一方、ステップＳ１４１で第２トルクがリセット条件を満たさないと判定した場合、ステップＳ１４５において、第１リセット判定部１４は、リセット判定カウンタをインクリメントする。このリセット判定カウンタは、第２トルクがリセット条件を満たさないと判定された期間を計測するためのカウンタであり、第１コントローラ１０の動作中にＲＡＭ１０５に記憶されている。すなわち、第２コントローラ２０がリセットされて第２モータ４３の制御が停止した場合であっても、図６（ｂ）に示したように、第２トルクがリセット判定領域Ｄ１に到達するまでにはある程度の時間がかかるため、ステップＳ１４１の時点で第２トルクがリセット条件を満たしているとは限らない。そのため、第２トルクがリセット条件を満たさない場合には、その時間をリセット判定カウンタにより計測する。
　ステップＳ１４５の処理を実行した後、ステップＳ１４７において、第１リセット判定部１４は、リセット判定カウンタが所定のリセット判定閾値よりも大きいか否かを判定する。その結果、リセット判定カウンタがリセット判定閾値よりも大きい場合は処理をステップＳ１４９に進め、そうでない場合、すなわちリセット判定カウンタがリセット判定閾値以下である場合は図５に示すリセット判定を終了する。なお、ステップＳ１４７の判定で用いられるリセット判定閾値は、第２コントローラ２０のリセットが第２トルクに影響してリセット条件が満たされるまでの時間を考慮して、コントローラ２０がリセットされていないと確定するのに十分な時間に応じた値が予め設定されている。
　ステップＳ１４７でリセット判定カウンタがリセット判定閾値よりも大きいと判定した場合、ステップＳ１４９において、第１リセット判定部１４は、ネットワーク３０が異常であるか、または、第１コントローラ１０の第１通信部１１と第２コントローラ２０の第２通信部２１の少なくとも一方が異常であると判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０と第２コントローラ２０の間の通信異常の原因は、第２コントローラ２０のリセットではなく、通信系の異常であるとの判定結果が得られる。ステップＳ１４９を実行したら、第１リセット判定部１４は図５に示すリセット判定を終了する。
　第１リセット判定部１４は、第１コントローラ１０と第２コントローラ２０の間の通信が異常である場合には、以上説明したようなリセット判定を行うことで、第２モータ４３の状態に関するセンサ信号である第２トルクの変化に基づいて、第２コントローラ２０がリセットされたか否かを判定することができる。
　次に、図３のステップＳ１５で実行される制御状態決定について説明する。図７は、本発明の第１の実施形態における第１制御部１５による制御状態決定のフローチャートである。
　ステップＳ１５１において、第１制御部１５は、ステップＳ１４のリセット判定の結果に基づき、第２コントローラ２０がリセットされたか否かを判定する。リセット判定においてステップＳ１４３が実行されることで、第２コントローラ２０がリセットされたとの判定結果が得られた場合は、処理をステップＳ１５３に進める。一方、リセット判定においてステップＳ１４９が実行されることで、第２コントローラ２０がリセットされていないとの判定結果が得られた場合は、処理をステップＳ１５７に進める。なお、リセット判定においてステップＳ１４３とステップＳ１４９のいずれも実行されていない場合、すなわちステップＳ１４７でリセット判定カウンタがリセット判定閾値以下であると判定された場合は、ステップＳ１５１の処理を行わずに、図７に示す制御状態決定を終了することが好ましい。
　ステップＳ１５３において、第１制御部１５は、第１コントローラ１０の動作を継続させて第１モータ３３の制御を続けるように、第１コントローラ１０の制御状態を決定する。これにより、電動パワーステアリングシステム１０００において第２系統が停止した場合には、第１系統の動作を継続してシステム全体が停止するのを防止する。ステップＳ１５３を実行したら、第１制御部１５は図７に示す制御状態決定を終了する。
　一方、ステップＳ１５１で第２コントローラ２０がリセットされていないと判定した場合、ステップＳ１５５において、第１制御部１５は、第１コントローラ１０の優先度と第２コントローラ２０の優先度を比較し、第１コントローラ１０の優先度の方が高いか否かを判定する。その結果、第１コントローラ１０の優先度の方が高いと判定した場合は処理をステップＳ１５３に進め、そうでない場合、すなわち第２コントローラ２０の優先度の方が高いと判定した場合は処理をステップＳ１５７に進める。なお、第１コントローラ１０および第２コントローラ２０には、その制御継続の優先度合いに応じた優先度がそれぞれ予め設定されており、両方の優先度がそれぞれ記憶されている。
　ステップＳ１５５で第１コントローラ１０の優先度の方が高いと判定した場合は、ステップＳ１５１で第２コントローラ２０がリセットされたと判定した場合と同様に、第１制御部１５はステップＳ１５３を実行することで、第１コントローラ１０の動作を継続させて第１モータ３３の制御を続けるようにする。一方、ステップＳ１５５で第２コントローラ２０の優先度の方が高いと判定した場合は、ステップＳ１５７において、第１制御部１５は、第１コントローラ１０の動作を停止させて第１モータ３３の制御を行わないように、第１コントローラ１０の制御状態を決定する。その結果、第１コントローラ１０において第１制御指令生成部１２からの第１制御指令の出力が停止され、第１インバータ３１による第１モータ３３の駆動制御が行われなくなる。これにより、電動パワーステアリングシステム１０００において第２系統が動作しており、かつ第２系統の優先度が高い場合には、第１系統の動作を停止する。ステップＳ１５７を実行したら、第１制御部１５は図７に示す制御状態決定を終了する。
　第１制御部１５は、以上説明したような制御状態決定を行うことで、第２コントローラ２０がリセットされた場合には、第１コントローラ１０の動作を継続させることができる。また、第２コントローラ２０がリセットされていない場合には、第１コントローラ１０と第２コントローラ２０の優先度に応じて、第１コントローラ１０を停止させるか否かを決定することができる。すなわち、第１コントローラ１０と第２コントローラ２０は同じフェイルセーフ処理をそれぞれ実行しているため、これらの間の通信異常の原因が一方のコントローラのリセット以外であった場合には、同じタイミングで通信異常を検出する場合がある。そのため、優先度を考慮せずに第１コントローラ１０と第２コントローラ２０が自身の動作をそれぞれ停止させると、制御システム１全体が停止してしまう。しかし、上記のように第１コントローラ１０と第２コントローラ２０がそれぞれの優先度を考慮して自身の動作を停止するか否かを決定することで、制御システム１において第１コントローラ１０と第２コントローラ２０のいずれか一方のみが停止される。すなわち、制御システム１は、第２コントローラ２０がリセットされていないと第１リセット判定部１４が判定し、かつ第１コントローラ１０がリセットされていないと第２コントローラ２０が判定した場合に、第１コントローラ１０と第２コントローラ２０のそれぞれに対して予め設定された優先度に基づいて、第１コントローラ１０による第１モータ３３の制御または第２コントローラ２０による第２モータ４３の制御のいずれか一方を停止させる。その結果、電動パワーステアリングシステム１０００において、システム全体が停止するのを避けることができる。
　上述した第１コントローラ１０によれば、第２コントローラ２０との間に通信異常が生じたときに、その通信異常の原因を直ちに区別して判断することができる。すなわち、第２コントローラ２０に対する通信異常が、ネットワーク３０や互いの通信機能などの通信系の異常で生じたものか、それとも通信相手の第２コントローラ２０がリセットされたことによるものかを、第２コントローラ２０がリセット状態から復帰するまで待つことなく判断することができる。なお、第２コントローラ２０がリセット状態から復帰するまでの時間が経過すれば、復帰後の通信状態が正常か否かを第１コントローラ１０において確認することで、本実施形態で説明したフェイルセーフ処理を行わずに通信異常の原因を判断することも可能である。しかし、こうした手法では、第１コントローラ１０は、通信異常の原因を判定するために、少なくとも第２コントローラ２０がリセット状態から復帰するまでの時間を待つ必要がある。これに対して、本実施形態で説明したフェイルセーフ処理によれば、第２コントローラ２０がリセット状態から復帰するまで待つことなく、通信異常の原因を第１コントローラ１０において判定することができる。したがって、従来よりも素早い判断が可能となる。
　さらに、本実施形態で説明したフェイルセーフ処理では、第１リセット判定部１４によるリセット判定の結果を受けて、第１コントローラ１０が即座に自身の制御モードを決定できる。また、第２コントローラ２０でも同様に、即座に自身の制御モードを決定できる。そのため、電動パワーステアリングシステム１０００の全システム、すなわち第１系統と第２系統の両方が同時に停止してしまう状態や、第１系統と第２系統の制御がそれぞれ非同期に実施されるような事態を避けることができる。
　以上説明した本発明の第１の実施形態によれば、以下の作用効果を奏する。
（１）電子制御装置である第１コントローラ１０は、第一の制御対象である第１モータ３３を制御するための第１制御指令を生成して出力する第１制御指令生成部１２と、第二の制御対象である第２モータ４３を制御するための他の電子制御装置である第２コントローラ２０と通信を行う第１通信部１１と、第１通信部１１による第２コントローラ２０との通信が異常であるか否かを判定する第１通信異常判定部１３と、第１通信異常判定部１３により第２コントローラ２０との通信が異常であると判定された場合に、第２モータ４３の状態に関するセンサ信号である第２トルクの変化に基づいて、第２コントローラ２０がリセットされたか否かを判定する第１リセット判定部１４と、を備える。このようにしたので、第１コントローラ１０と第２コントローラ２０の間に通信異常が発生した場合に、その原因を直ちに判断することができる。
（２）第１リセット判定部１４は、ステップＳ１４１およびＳ１４３において、第２トルクが変化して所定のリセット判定領域Ｄ１内となったときに、第２コントローラ２０がリセットされたと判定する。また、所定の単位時間当たりの第２トルクの変化量が所定の閾値を超えたときに、第２コントローラ２０がリセットされたと判定することもできる。さらに、所定の判定時間内で第２トルクが単調減少したときに、第２コントローラ２０がリセットされたと判定することもできる。このようにしたので、通信異常により協調制御が行われない場合の第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、第２コントローラ２０がリセットされたか否かを適切に判定することができる。
（３）第１制御指令生成部１２は、ステップＳ１５１およびＳ１５３において、第１リセット判定部１４により第２コントローラ２０がリセットされたと判定された場合に、第１制御指令の出力を継続する。このようにしたので、第２コントローラ２０がリセットされたときには、第１コントローラ１０による第１モータ３３の制御を続けて、電動パワーステアリングシステム１０００が停止するのを防ぐことができる。
（第２の実施形態）
　次に本発明の第２の実施形態について説明する。本実施形態では、通信異常を検出した際に制御対象とするモータの制御量を制限する例を説明する。
　図８は、本発明の第２の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図８に示す電動パワーステアリングシステム１００１は、第１の実施形態で説明した電動パワーステアリングシステム１０００と比較して、図１の制御システム１における第１コントローラ１０および第２コントローラ２０が、制御システム１Ａにおける第１コントローラ１０Ａおよび第２コントローラ２０Ａに置き換わっている点が異なっている。第１コントローラ１０Ａは、図１の第１制御指令生成部１２および第１リセット判定部１４に代えて、第１制御指令生成部１２Ａおよび第１リセット判定部１４Ａを機能的に有している。同様に、第２コントローラ２０Ａは、図１の第２制御指令生成部２２および第２リセット判定部２４に代えて、第２制御指令生成部２２Ａおよび第２リセット判定部２４Ａを機能的に有している。なお、これ以外の点は第１の実施形態と同じであるため、以下では説明を省略する。
　第１コントローラ１０Ａおよび第２コントローラ２０Ａは、第１の実施形態で説明したのとは異なる手順により、フェイルセーフ処理をそれぞれ実行する。このフェイルセーフ処理において、第１制御指令生成部１２Ａおよび第２制御指令生成部２２Ａは、第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信が異常であると判断されると、制御対象である第１モータ３３および第２モータ４３の制御量をそれぞれ制限する。また、第１リセット判定部１４Ａおよび第２リセット判定部２４Ａは、第１の実施形態で説明したのとは異なる手順でリセット判定をそれぞれ行う。なお、第１コントローラ１０Ａと第２コントローラ２０Ａの動作は同様であるため、以下では第１コントローラ１０Ａの動作についてのみ説明し、第２コントローラ２０Ａの動作については説明を省略する。
　図９は、本発明の第２の実施形態における第１コントローラ１０Ａによるフェイルセーフ処理のフローチャートである。第１コントローラ１０Ａは、制御システム１Ａの電源が投入されると、図９に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。なお、図９のフローチャートにおいて、ステップＳ１０～Ｓ１２、Ｓ１５はそれぞれ図３と同様の処理内容である。以下では、図３と異なるステップＳ１３およびＳ１４Ａについて説明する。
　ステップＳ１１の通信異常判定の結果が通信異常であるとステップＳ１２において判定されると、ステップＳ１３において、第１コントローラ１０Ａは、第１モータ３３の制御量を制限する。ここでは、第１制御指令生成部１２Ａから第１インバータ３１に出力する第１制御指令を通常時よりも低い値に制限することで、第１モータ３３の制御量を制限する。たとえば、前述の舵角信号や第１トルクおよび第１モータ回転角に基づいて決定された第１モータ３３の目標トルクに対して、第１モータ３３の出力トルクがそのＸ％（たとえば２５％）に制限されるように、第１制御指令生成部１２が第１制御指令を生成して第１インバータ３１に出力する。これ以外にも、たとえば目標トルクに関わらず所定の制御量を第１制御指令として出力するなど、他の方法で第１モータ３３の制御量を制限することとしてもよい。ステップＳ１３を実行したら、第１コントローラ１０Ａは処理をステップＳ１４Ａに進める。
　ステップＳ１４Ａにおいて、第１コントローラ１０Ａは、第１リセット判定部１４Ａによるリセット判定を行う。このとき第１リセット判定部１４Ａは、図１０のフローチャートに示す処理を行い、第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常が第２コントローラ２０Ａのリセットによるものか否かを判定する。
　図１０は、本発明の第２の実施形態における第１リセット判定部１４Ａによるリセット判定のフローチャートである。ステップＳ１４１Ａにおいて、第１リセット判定部１４Ａは、ステップＳ１０で取得した第２トルクが正常時またはリセット時のどちらに合致するかを判定する。その結果、第２トルクがリセット時に合致すると判定した場合は処理をステップＳ１４３に進め、正常時に合致すると判定した場合は処理をステップＳ１４９に進める。なお、本実施形態でも第１の実施形態で説明したのと同様に、他の処理で第２トルクを取得可能であるためにステップＳ１０の処理を省略した場合は、その第２トルクを用いてステップＳ１４１Ａの判定を行う。また、前述のように第２トルクを取得する代わりに第１トルクを取得した場合は、第１トルクが正常時またはリセット時のどちらに合致するかをステップＳ１４１Ａにおいて判定すればよい。
　ステップＳ１４１Ａの判定は、図９のステップＳ１３で制限された第１モータ３３の制御量や、同様にして制限された第２モータ４３の制御量を考慮して、第２トルクがこれらの制限後のモータ制御量に合致するか否かを判断することで行われる。以下では、前述のように第１モータ３３の出力トルクを目標トルクのＸ％に制限した場合を例として、本発明の第２の実施形態におけるステップＳ１４１Ａのリセット判定の方法について、図１１を参照して説明する。なお、図１１においても第１の実施形態で説明した図６と同様に、波形６１は車両のドライバによるステアリングの入力トルクを表し、波形６２はこの入力トルクに対して第２モータ４３が出力する正常時の出力トルクを表している。
　図１１（ａ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０Ａがリセットされていない場合の第２トルクの変化の様子を示す図である。この場合、第１コントローラ１０Ａにおいて第１モータ３３の出力トルクが目標トルクのＸ％に制限されると共に、第２コントローラ２０Ａによる第２モータ４３の制御が継続して行われているため、第２コントローラ２０Ａでも同様に、第２モータ４３の出力トルクが目標トルクのＸ％に制限される。そのため破線で示すように、目標トルクの２Ｘ％の値が第２トルクとして検出される。ここで、目標トルクの２Ｘ％付近の値を正常判定領域Ｄ２に設定しておくと、第２トルクがこの正常判定領域Ｄ２に収まることで、ステップＳ１４１Ａにおいて第２トルクが正常時に合致したと判定される。
　図１１（ｂ）は、第１通信異常判定部１３により通信異常が検知されたときに、第２コントローラ２０Ａがリセットされていた場合の第２トルクの変化の様子を示す図である。この場合、第２コントローラ２０Ａによる第２モータ４３の制御が停止することで、電動パワーステアリングシステム１００１において第２系統が停止して第２トルクが急激に減少する。一方、冗長系である第１系統の第１モータ３３は駆動しており、その出力トルクが目標トルクのＸ％に制限されている。そのため、第２トルクは破線で示すように完全に０とはならず、正常時の出力トルクのＸ％の値が第２トルクとして検出される。ここで、目標トルクのＸ％付近の値をリセット判定領域Ｄ３に設定しておくと、第２トルクがこのリセット判定領域Ｄ３に収まることで、ステップＳ１４１Ａにおいて第２トルクがリセット時に合致したと判定される。
　なお、上記の正常判定領域Ｄ２やリセット判定領域Ｄ３についても、第１の実施形態におけるリセット判定領域Ｄ１と同様に、図１１に例示した以外の領域を設定してもよい。第１コントローラ１０Ａや第２コントローラ２０Ａにおいて第１モータ３３や第２モータ４３の制御量が制限されることによる第２トルクの変化や、第１モータ３３の駆動中に第２モータ４３が停止した場合の第２トルクの変化を考慮して、正常判定領域Ｄ２やリセット判定領域Ｄ３を設定することができる。
　図１０の説明に戻ると、ステップＳ１４３において、第１リセット判定部１４Ａは、第２コントローラ２０がリセットされたと判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常の原因は、第２コントローラ２０Ａのリセットであるとの判定結果が得られる。ステップＳ１４３を実行したら、第１リセット判定部１４Ａは図１０に示すリセット判定を終了する。
　一方、ステップＳ１４１Ａで第２トルクが正常時に合致すると判定した場合、ステップＳ１４９において、第１リセット判定部１４Ａは、ネットワーク３０が異常であるか、または、第１コントローラ１０Ａの第１通信部１１と第２コントローラ２０Ａの第２通信部２１の少なくとも一方が異常であると判定する。これにより、ステップＳ１１の通信異常判定において第１通信異常判定部１３により検出された第１コントローラ１０Ａと第２コントローラ２０Ａの間の通信異常の原因は、第２コントローラ２０Ａのリセットではなく、通信系の異常であるとの判定結果が得られる。ステップＳ１４９を実行したら、第１リセット判定部１４Ａは図１０に示すリセット判定を終了する。
　以上説明した本発明の第２の実施形態によれば、第１制御指令生成部１２Ａは、第１通信異常判定部１３により第２コントローラ２０Ａとの通信が異常であると判定された場合に、ステップＳ１３において、第１制御指令における第１モータ３３の制御量を制限する。また、第１リセット判定部１４Ａは、ステップＳ１４１ＡおよびＳ１４９において、第２トルクの変化量が制限後の制御量に合致するときに、第２コントローラ２０Ａがリセットされていないと判定する。このようにしたので、通信異常時に車両のドライバが意図しない制御が行われるのを防止できると共に、第２コントローラ２０Ａがリセットされていない場合にはこれを素早く判断することができる。
（第３の実施形態）
　次に本発明の第３の実施形態について説明する。前述の第１の実施形態では、第１コントローラ１０と第２コントローラ２０のそれぞれに対して優先度を予め設定し、この優先度に基づいて、第１コントローラ１０または第２コントローラ２０がリセットされた場合に、第１コントローラ１０による第１モータ３３の制御または第２コントローラ２０による第２モータ４３の制御のいずれか一方を停止させる例を説明した。これに対して、本実施形態では、優先度を設定せずに第１コントローラ１０のみを停止させる例を説明する。
　図１２は、本発明の第３の実施形態に係る電子制御装置を搭載した電動パワーステアリングシステムの構成を示すブロック図である。図１２に示す電動パワーステアリングシステム１００２は、第１の実施形態で説明した電動パワーステアリングシステム１０００と比較して、図１の制御システム１における第１コントローラ１０および第２コントローラ２０が、制御システム１Ｂにおける第１コントローラ１０Ｂおよび第２コントローラ２０Ｂに置き換わっている点と、第１トルクセンサ３５から第２コントローラ２０Ｂに第１トルクが出力されない点が異なっている。第１コントローラ１０Ｂは、図１の第１制御部１５に代えて、第１制御部１５Ｂを機能的に有している。一方、第２コントローラ２０Ｂは、第２通信部２１および第２制御指令生成部２２のみを機能的に有しており、図１の第２通信異常判定部２３、第２リセット判定部２４および第２制御部２５は有していない。すなわち、本実施形態の第２コントローラ２０Ｂは、第１コントローラ１０Ｂとの通信機能および第２モータ４３の制御機能は有しているが、第１トルクに基づくフェイルセーフ機能は有していない。なお、これ以外の点は第１の実施形態と同じであるため、以下では説明を省略する。
　第１コントローラ１０Ｂは、第１の実施形態で説明したのとは異なる手順により、フェイルセーフ処理を実行する。このフェイルセーフ処理において、第１制御部１５Ｂは、第１の実施形態で説明したのとは異なる手順で制御状態決定判定を行う。
　図１３は、本発明の第３の実施形態における第１コントローラ１０Ｂによるフェイルセーフ処理のフローチャートである。第１コントローラ１０Ｂは、制御システム１Ｂの電源が投入されると、図１３に示すフェイルセーフ処理を所定の処理周期ごとに繰り返し実行する。なお、図１３のフローチャートにおいて、ステップＳ１０～Ｓ１４はそれぞれ図３と同様の処理内容である。以下では、図３と異なるステップＳ１５Ｂについて説明する。
　ステップＳ１４において第１リセット判定部１４によるリセット判定が行われると、ステップＳ１５Ｂにおいて、第１コントローラ１０Ｂは、第１制御部１５Ｂによる制御状態決定を行う。このとき第１制御部１５Ｂは、図１４のフローチャートに示す処理を行い、第１コントローラ１０Ｂの制御モードを決定する。
　図１４は、本発明の第３の実施形態における第１制御部１５Ｂによる制御状態決定のフローチャートである。ステップＳ１５１において、第１制御部１５Ｂは、ステップＳ１４のリセット判定の結果に基づき、第２コントローラ２０Ｂがリセットされたか否かを判定する。リセット判定においてステップＳ１４３が実行されることで、第２コントローラ２０Ｂがリセットされたとの判定結果が得られた場合は、第１の実施形態と同様にステップＳ１５３において、第１コントローラ１０Ｂの動作を継続させて第１モータ３３の制御を続けるように、第１コントローラ１０Ｂの制御状態を決定する。その後、第１制御部１５Ｂは図１４に示す制御状態決定を終了する。
　一方、リセット判定においてステップＳ１４９が実行されることで、第２コントローラ２０Ｂがリセットされていないとの判定結果が得られた場合は、処理をステップＳ１５７に進める。すなわちこの場合は、第１の実施形態とは異なり、図７のステップＳ１５５の判定を実行することなく、ステップ１５７において、第１コントローラ１０Ｂの動作を停止させて第１モータ３３の制御を行わないように、第１コントローラ１０Ｂの制御状態を決定する。その後、第１制御部１５Ｂは図１４に示す制御状態決定を終了する。
　第１制御部１５Ｂは、以上説明したような制御状態決定を行うことで、第２コントローラ２０Ｂがリセットされた場合には、第１の実施形態と同様に、第１コントローラ１０Ｂの動作を継続させることができる。一方、第２コントローラ２０Ｂがリセットされていない場合には、第１の実施形態とは異なり、第１コントローラ１０Ｂを停止させて第１制御指令生成部１２からの第１制御指令の出力を停止することができる。すなわち、本実施形態では第２コントローラ２０Ｂはフェイルセーフ処理を実行していないため、第１コントローラ１０Ｂがリセットされることでこれらのコントローラ間に通信異常が発生した時でも、第２コントローラ２０Ｂの動作が停止されることはない。したがって、このような場合には第１コントローラ１０Ｂの動作を停止させることで、電動パワーステアリングシステム１００２において、システム全体が停止するのを避けつつ、通信異常時に車両のドライバが意図しない制御が行われるのを防止できる。
　以上説明した本発明の第３の実施形態によれば、第１制御指令生成部１２は、ステップＳ１５１およびＳ１５７において、第１リセット判定部１４により第２コントローラ２０Ｂがリセットされていないと判定された場合に、第１制御指令の出力を停止する。一方、ステップＳ１５１およびＳ１５３において、第１リセット判定部１４により第２コントローラ２０Ｂがリセットされたと判定された場合に、第１制御指令の出力を継続する。このようにしたので、第１コントローラ１０Ｂと第２コントローラ２０Ｂの間で通信異常が検出されたときに、その通信異常の原因に応じて、第１コントローラ１０Ｂによる第１モータ３３の制御を継続するか否かを適切に決定することができる。
（変形例）
　なお、以上説明した各実施形態において、ネットワーク３０に接続されて相互に通信を行うコントローラの数は２つに限らず、３つ以上であってもよい。その場合、たとえばコントローラの数をＮ個とすると、第１の実施形態におけるリセット判定領域Ｄ１には、コントローラの数に応じて、正常時のモータ出力トルクの１／Ｎ付近の領域を設定することが好ましい。また、第２の実施形態における制限後のモータ出力トルクも、コントローラの数に応じて設定することが好ましい。
　また、以上説明した第１および第２の実施形態では、第１コントローラ１０、１０Ａの第１制御部１５と第２コントローラ２０、２０Ａの第２制御部２５とが、それぞれ図７の制御状態決定を行うことで、これらのコントローラがリセットされていない場合はそれぞれの優先度に応じて一方のコントローラを停止させる例を説明した。しかし、制御システム１、１Ａ内に第１コントローラ１０、１０Ａや第２コントローラ２０、２０Ａとは別の制御回路を設け、この制御回路においてどちらのコントローラを停止させるかを決定するようにしてもよい。
　また、以上説明した各実施形態では、電動パワーステアリングシステムにおいて車両のステアリングをアシストまたは制御するための駆動力を発生する第１モータ３３および第２モータ４３をコントローラの制御対象とした例を説明したが、他のものをコントローラの制御対象としてもよい。たとえば車両の走行モータやブレーキアクチュエータ、車両以外のシステムに搭載される各種アクチュエータなど、複数の系統で冗長化されたシステムにおいて用いられるものであれば、様々なものを制御対象とすることができる。その場合、第１の実施形態で説明したステップＳ１４１のリセット条件や、第２の実施形態で説明したステップＳ１４１Ａの判定条件は、この制御対象に応じて設定されることが好ましい。たとえば、一方の系統が停止したときに検出されるセンサ信号が増加方向に変化する場合は、当該センサ信号の変化量すなわち増加量が所定の閾値を超えることや、所定の判定時間内で当該センサ信号が単調増加することをリセット条件として、これらのリセット条件を満たすか否かによりステップＳ１４１の判定を行う。その結果、これらのリセット条件を満たしたときに、一方のコントローラにおいて他方のコントローラがリセットされたと判定することができる。
　なお、以上説明した各実施形態および変形例はあくまで一例であり、発明の特徴が損なわれない限り、本発明はこれらの内容に限定されるものではない。また、上記では種々の実施形態を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。
　次の優先権基礎出願の開示内容は引用文としてここに組み込まれる。
　日本国特許出願２０１６年第２４７７８３号（２０１６年１２月２１日出願）
　１，１Ａ，１Ｂ：制御システム
　１０，１０Ａ，１０Ｂ：第１コントローラ
　１１：第１通信部
　１２，１２Ａ：第１制御指令生成部
　１３：第１通信異常判定部
　１４，１４Ａ：第１リセット判定部
　１５，１５Ｂ：第１制御部
　２０，２０Ａ，２０Ｂ：第２コントローラ
　２１：第２通信部
　２２，２２Ａ：第２制御指令生成部
　２３：第２通信異常判定部
　２４，２４Ａ：第２リセット判定部
　２５：第２制御部
　３０：ネットワーク
　３１：第１インバータ
　３３：第１モータ
　３５：第１トルクセンサ
　３７：第１モータ回転角センサ
　４１：第２インバータ
　４３：第２モータ
　４５：第２トルクセンサ
　４７：第２モータ回転角センサ
　１０００，１００１，１００２：電動パワーステアリングシステム 
 

Claims (10)

  1. 　第一の制御対象を制御するための制御指令を生成して出力する制御指令生成部と、
    　第二の制御対象を制御する他の電子制御装置と通信を行う通信部と、
    　前記通信部による前記他の電子制御装置との通信が異常であるか否かを判定する通信異常判定部と、
    　前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記第二の制御対象の状態に関するセンサ信号の変化に基づいて、前記他の電子制御装置がリセットされたか否かを判定するリセット判定部と、を備える電子制御装置。
  2. 　請求項１に記載の電子制御装置において、
    　前記リセット判定部は、前記センサ信号が変化して所定のリセット判定領域内となったときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
  3. 　請求項１に記載の電子制御装置において、
    　前記リセット判定部は、所定の単位時間当たりの前記センサ信号の変化量が所定の閾値を超えたときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
  4. 　請求項１に記載の電子制御装置において、
    　前記リセット判定部は、所定の判定時間内で前記センサ信号が単調増加または単調減少したときに、前記他の電子制御装置がリセットされたと判定する電子制御装置。
  5. 　請求項１に記載の電子制御装置において、
    　前記制御指令生成部は、前記リセット判定部により前記他の電子制御装置がリセットされていないと判定された場合に、前記制御指令の出力を停止する電子制御装置。
  6. 　請求項１に記載の電子制御装置において、
    　前記制御指令生成部は、前記リセット判定部により前記他の電子制御装置がリセットされたと判定された場合に、前記制御指令の出力を継続する電子制御装置。
  7. 　請求項１に記載の電子制御装置において、
    　前記制御指令生成部は、前記通信異常判定部により前記他の電子制御装置との通信が異常であると判定された場合に、前記制御指令における前記第一の制御対象の制御量を制限する電子制御装置。
  8. 　請求項７に記載の電子制御装置において、
    　前記リセット判定部は、前記センサ信号の変化量が制限後の前記制御量に合致するときに、前記他の電子制御装置がリセットされていないと判定する電子制御装置。
  9. 　請求項１から請求項８までのいずれか一項に記載の電子制御装置および他の電子制御装置を備え、
    　前記他の電子制御装置は、前記電子制御装置との通信が異常である場合に、前記電子制御装置がリセットされたか否かを判定する第二のリセット判定部を有しており、
    　前記他の電子制御装置がリセットされていないと前記リセット判定部が判定し、かつ前記電子制御装置がリセットされていないと前記第二のリセット判定部が判定した場合に、前記電子制御装置と前記他の電子制御装置のそれぞれに対して予め設定された優先度に基づいて、前記電子制御装置による前記第一の制御対象の制御または前記他の電子制御装置による前記第二の制御対象の制御のいずれか一方を停止させる制御システム。
  10. 　相互に通信を行う第一の電子制御装置および第二の電子制御装置を有する制御システムにおけるリセット判定方法であって、
    　前記第一の電子制御装置により、前記第二の電子制御装置との通信が異常であるか否かを判定し、
    　前記第二の電子制御装置との通信が異常であると判定された場合に、前記第一の電子制御装置により、前記第二の電子制御装置の制御対象の状態に関するセンサ信号の変化に基づいて、前記第二の電子制御装置がリセットされたか否かを判定するリセット判定方法。
PCT/JP2017/043490 2016-12-21 2017-12-04 電子制御装置、制御システム、リセット判定方法 Ceased WO2018116801A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/472,533 US11643095B2 (en) 2016-12-21 2017-12-04 Electronic control device, control system, and reset determination method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016247783A JP6838215B2 (ja) 2016-12-21 2016-12-21 電子制御装置、制御システム、リセット判定方法
JP2016-247783 2016-12-21

Publications (1)

Publication Number Publication Date
WO2018116801A1 true WO2018116801A1 (ja) 2018-06-28

Family

ID=62626362

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/043490 Ceased WO2018116801A1 (ja) 2016-12-21 2017-12-04 電子制御装置、制御システム、リセット判定方法

Country Status (3)

Country Link
US (1) US11643095B2 (ja)
JP (1) JP6838215B2 (ja)
WO (1) WO2018116801A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109254526A (zh) * 2018-09-06 2019-01-22 南京航空航天大学 一种悬挂自行输送小车的多级安全冗余控制系统
CN109407648A (zh) * 2018-08-30 2019-03-01 深圳市易成自动驾驶技术有限公司 上电过程中故障排除方法、系统及计算机可读存储介质

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102690634B1 (ko) * 2018-12-17 2024-08-02 현대자동차주식회사 차량 및 그 제어방법
JP7180370B2 (ja) * 2018-12-26 2022-11-30 株式会社デンソー モータ制御装置およびこれを備えるモータ制御システム
JP7093298B2 (ja) 2018-12-27 2022-06-29 日立Astemo株式会社 車両搭載機器の制御装置
WO2020149035A1 (ja) * 2019-01-18 2020-07-23 日立オートモティブシステムズ株式会社 車両搭載機器の制御装置
KR102637909B1 (ko) * 2019-01-23 2024-02-19 에이치엘만도 주식회사 전동식 파워 스티어링 시스템의 리던던시 회로
DE102019106568A1 (de) * 2019-03-14 2020-09-17 Zf Automotive Germany Gmbh Verfahren und Vorrichtung zum Bestimmen eines Sensoroffsets
JP7284690B2 (ja) * 2019-11-11 2023-05-31 株式会社デンソー モータ駆動システム
US11904960B2 (en) * 2020-04-14 2024-02-20 Hl Mando Corporation Steering system and method for controlling the same
CN113641548B (zh) * 2020-04-27 2024-05-31 北京小马智行科技有限公司 自动驾驶车辆的控制方法及装置、自动驾驶车辆
JP7394220B2 (ja) * 2020-06-01 2023-12-07 日立Astemo株式会社 半導体装置
FR3121111B1 (fr) * 2021-03-26 2023-10-27 Transdev Group Innovation Dispositif de contrôle d’un angle de braquage d’un véhicule automobile autonome ou du freinage du véhicule automobile autonome, et véhicule comprenant ce dispositif
KR20220153708A (ko) * 2021-05-11 2022-11-21 현대모비스 주식회사 제어기를 제어하는 방법 및 이를 위한 차량용 통합제어기
DE102024202150A1 (de) * 2023-04-26 2024-10-31 Hl Mando Corporation Lenksteuersystem und -verfahren für sicheres fahren
CN121084222A (zh) * 2024-05-31 2025-12-09 北京合康新能变频技术有限公司 充电设备的控制方法、控制装置、充电设备和存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004104253A (ja) * 2002-09-05 2004-04-02 Honda Motor Co Ltd 車両の制御システム
JP2016057888A (ja) * 2014-09-10 2016-04-21 株式会社デンソー 電子制御装置及び通信システム
JP2016092547A (ja) * 2014-10-31 2016-05-23 株式会社デンソー 制御システム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7014008B2 (en) * 2002-06-27 2006-03-21 Honda Giken Kogyo Kabushiki Kaisha Steering system for vehicle
US7571035B2 (en) * 2006-03-31 2009-08-04 Spx Corporation Simultaneous vehicle protocol communication apparatus and method
US9558052B2 (en) * 2014-03-18 2017-01-31 Stmicroelectronics International N.V. Safe scheduler for finite state deterministic application
US10204461B2 (en) * 2016-07-19 2019-02-12 GM Global Technology Operations LLC Detection and reconstruction of sensor faults

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004104253A (ja) * 2002-09-05 2004-04-02 Honda Motor Co Ltd 車両の制御システム
JP2016057888A (ja) * 2014-09-10 2016-04-21 株式会社デンソー 電子制御装置及び通信システム
JP2016092547A (ja) * 2014-10-31 2016-05-23 株式会社デンソー 制御システム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109407648A (zh) * 2018-08-30 2019-03-01 深圳市易成自动驾驶技术有限公司 上电过程中故障排除方法、系统及计算机可读存储介质
CN109254526A (zh) * 2018-09-06 2019-01-22 南京航空航天大学 一种悬挂自行输送小车的多级安全冗余控制系统

Also Published As

Publication number Publication date
JP2018101332A (ja) 2018-06-28
US11643095B2 (en) 2023-05-09
US20210129855A1 (en) 2021-05-06
JP6838215B2 (ja) 2021-03-03

Similar Documents

Publication Publication Date Title
JP6838215B2 (ja) 電子制御装置、制御システム、リセット判定方法
US11545925B2 (en) Rotary electric machine control device and electric power steering device using same
US9988072B2 (en) Steering apparatus
JP5406377B2 (ja) 制御システム、及び電動パワーステアリング制御装置
JP3660105B2 (ja) 車両用制御装置
JP2018130007A5 (ja)
KR101951247B1 (ko) 전동식 파워 스티어링 시스템 및 전자 제어 장치의 페일 세이프 처리 방법
JP4379793B2 (ja) 車両用電子制御装置
CN109533007B (zh) 线控转向系统诊断
JP5805255B1 (ja) 車両用操舵装置
JP5666010B2 (ja) 電動パワーステアリング装置
JP7005792B2 (ja) 車両搭載機器の制御装置
WO2021085228A1 (ja) モータ駆動システム
WO2019049731A1 (ja) パワーステアリング装置の制御装置
CN111162697A (zh) 马达控制装置
CN108238094A (zh) 转向操纵控制装置
CN110194212A (zh) 转向操纵控制装置
KR102358586B1 (ko) 조향각 센서 및 토크 센서의 고장 여부에 따라 조향각을 송출하는 전동식 조향 장치 및 그 방법
JP5999289B2 (ja) 電動パワーステアリング装置の電源電圧診断装置
US12565258B2 (en) Rudder system
JP6898807B2 (ja) 車両の制御装置
JP2018020678A (ja) 電子制御装置
JP6455082B2 (ja) 車載機器制御システム
KR20130051224A (ko) 전동식 조향 장치의 고장 허용 제어기 및 제어 방법
CN117360613A (zh) 转向控制系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17884805

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17884805

Country of ref document: EP

Kind code of ref document: A1