(57)【要約】【課題】  ユニット内で発生する全ての故障を正確にハード信号として抽出し、その信号をもって故障ユニットの通信を他のユニット間の通信を阻害しないように完全に遮断する。【解決手段】  通信バス１００によって双方向に通信可能に接続されている複数の制御ユニット１０Ａ、１０Ｂ…からなる通信系制御装置であって、制御ユニットは、異常発生時に異常検出を行い、異常検出時には異常検出信号を生成し、生成された異常検出信号によって通信信号遮断手段３１を動作させて同制御ユニット（たとえば、制御ユニット１０Ａ）より送信する通信信号の送信を遮断し、異常検出以外の他の制御ユニット（たとえば、制御ユニット１０Ｂ）における通信信号の受信状態から、当該他の制御ユニットによって制御ユニットの異常発生を識別する。【選択図】  図１
2006036187.tif 000002
【特許請求の範囲】
【請求項１】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる通信系制御装置であって、
前記制御ユニットは、異常発生時に異常検出を行い、異常検出信号を生成する異常検出手段と、前記異常検出手段によって生成された異常検出信号によって動作し、同制御ユニットより送信する通信信号の送信を遮断する通信信号遮断手段と、を有することを特徴とする通信系制御装置。
【請求項２】
前記制御ユニットは、メインＣＰＵと、メインＣＰＵの動作を監視する監視ＩＣと、定電圧異常を検知する機能を備えた電源ＩＣとを有し、異常検出手段が前記監視ＩＣと前記電源ＩＣによって構成されていることを特徴とする請求項１に記載の通信系制御装置。
【請求項３】
前記通信系制御装置は、ＣＡＮ通信システムによるものであり、前記制御ユニットは、ＣＡＮコントローラＣＰＵと、通信インターフェースとしてＣＡＮドライバを有していることを特徴とする請求項１に記載の通信系制御装置。
【請求項４】
前記通信系制御装置は、異常検出以外の他の制御ユニットにおける通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別する手段を有していることを特徴とする請求項１〜３の何れか１項に記載の通信系制御装置。
【請求項５】
前記他の制御ユニットに接続された警告手段を有し、異常発生時に前記制御ユニットの異常発生を識別した前記他の制御ユニットの警告手段を動作させることを特徴とする請求項４に記載の通信系制御装置。
【請求項６】
異常発生時に前記制御ユニットの異常発生を識別した前記制御ユニットが制御しているアクチュエータの動作を停止させることを特徴とする請求項４または５に記載の通信系制御装置。
【請求項７】
前記通信信号遮断手段は、通信ラインを遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の通信系制御装置。
【請求項８】
前記通信信号遮断手段は、異常検出の前記制御ユニット内の通信部の送信ラインを遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の通信系制御装置。
【請求項９】
前記通信信号遮断手段は、異常検出の前記制御ユニットの通信インターフェースへの電源供給を遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の通信系制御装置。
【請求項１０】
前記通信信号遮断手段は、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることによって通信信号の送信を遮断し、異常検出の制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項記載の通信系制御装置。
【請求項１１】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる通信系制御装置の異常監視方法であって、
前記制御ユニット内で異常検出を行い、異常検出時には同制御ユニットより送信する通信信号の送信を遮断することを特徴とする異常監視方法。
【請求項１２】
異常検出の前記制御ユニットよりの通信信号の送信を遮断することにより、他の制御ユニットにおける通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別することを特徴とする請求項１１記載の通信系制御装置の異常監視方法。
【請求項１３】
異常発生時に前記制御ユニットの異常発生を識別した前記制御ユニットの警告手段を動作させることを特徴とする請求項１２記載の通信系制御装置の異常監視方法。
【請求項１４】
異常発生時に前記制御ユニットの異常発生を識別した前記制御ユニットが制御しているアクチュエータの動作を停止させることを特徴とする請求項１２または１３に記載の通信系制御装置の異常監視方法。
【請求項１５】
異常検出時には、通信ラインを遮断することにより、通信信号の送信を遮断することを特徴とする請求項１１から１４の何れか１項に記載の通信系制御装置の異常監視方法。
【請求項１６】
異常検出時には異常検出の前記制御ユニットの通信部の送信ラインを遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１０から１３の何れか１項に記載の通信系制御装置の異常監視方法。
【請求項１７】
異常検出時には異常検出の前記制御ユニットの通信部の通信インターフェースへの電源供給を遮断し、異常検出の制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１０から１３の何れか１項に記載の通信系制御装置の異常監視方法。
【請求項１８】
異常検出時には、異常検出の前記制御ユニットの通信部の通信インターフェースをスリープモードにすることによって異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１０〜１３の何れか１項記載の通信系制御装置の異常監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の制御ユニットで構成されている通信系制御装置および異常監視方法に関し、特に、通信系内の制御ユニットが故障した場合にその故障を検出してフェールセーフを施す異常監視を行う通信系制御装置および異常監視方法に関する。
【背景技術】
【０００２】
従来、複数の制御ユニットから構成される通信系制御装置において、各々の制御ユニットに異常が発生した場合には、各々の制御ユニット自身がワーニングランプをハード的に点灯してユーザに故障したことを知らせたり、アクチュエータへの制御信号の伝送やアクチュエータコントロールユニットへの電源供給をハード的に遮断することにより、システム的にフェールセーフが施されている。また、通信信号の異常は、特定の重要な制御信号をハード的な信号と併せて冗長系を構成し、通信信号と比較することによって信頼性を確保してきた。
【０００３】
制御ユニットのＣＰＵ間レベルでの監視方法については、特許文献１などに示されている方法、またバックアップ方法に関しては、特許文献２などに示されている方法、周辺ＩＣによってマイクロコンピュータ（ＣＰＵ）の異常を監視する方法に関しては、特許文献３に示されているものが公知となっている。
【０００４】
【特許文献１】特開平１１−１９０２５１号公報
【特許文献２】特開平８−１４７００１号公報
【特許文献３】特開２００１−３１２３２５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
通信系制御装置が産業のあらゆる分野において広域に普及するにつれ、分散制御として装置が使用される機会が非常に増えてきた。例えば、自動車を例に挙げると、従来、複数の制御ユニットから構成される通信制御系であっても、ある制御ユニットに異常が発生したことをドライバに伝達するためのメータ内に設けられたワーニングランプの点灯は、その異常を発生した各々の制御ユニットがハード的に行っている。
【０００６】
しかし、これが分散制御という考え方に変わると、メータユニットを通信系に組み込み、通信信号上に、異常ユニットから異常信号をメータユニットに送信し、メータユニットでは、その異常信号を検知してワーニングランプを点灯する。また、ＡＣＣ（ＡｄａｐｔｉｖｅＣｒｕｉｓｅ Ｃｏｎｔｒｏｌ）システムなどにおいては、ＡＣＣコントロールユニットが、直接、スロットルアクチュエータやブレーキアクチュエータをハード的に駆動して車両走行を制御するのではなく、それぞれエンジンコントロールユニットやブレーキコントロールユニットに、通信バスを介してトルク指令値、ブレーキ液圧指令値を送信し、それぞれのコントロールユニットが受信したデータをもとに、スロットルやブレーキの駆動を行うように構成されている。
【０００７】
ここで問題となってくるのは、これら通信系制御装置の構成ユニット間でやり取りされている通信データは、各々の制御ユニット内部のマイクロコンピュータを介して送受しているから、マイクロコンピュータ内部、周辺部の故障により、必ずしも正確に、その制御ユニット内部の異常を他の制御ユニットに送信できないモードが発生し、システムとして制御異常のまま動作してしまうケースがあり得るということである。
【０００８】
本発明は、以上のような問題に鑑みてなされたものであり、その目的とするところは、如何なる故障ケースにおいても確実にその故障を検出し、他の制御ユニットに故障ユニットの存在を検知させ、フェールセーフを正確に施すことができる通信系制御装置および通信系制御装置の異常監視方法を提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、本発明による通信系制御装置は、通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなり、該制御ユニットは、異常発生時に異常検出を行い、異常検出信号を生成する異常検出手段と、前記異常検出手段によって生成された異常検出信号によって動作し、同制御ユニットより送信する通信信号の送信を遮断する通信信号遮断手段とを有することを特徴としている。
【００１０】
この発明による通信系制御装置によれば、制御ユニット内の異常検出手段によつて異常検出が行われ、異常検出時には異常検出信号が生成され、この異常検出信号によって通信信号遮断手段が動作し、通信信号遮断手段によって同制御ユニットより送信する通信信号の送信を遮断する。
【００１１】
本発明による通信系制御装置における制御ユニットは、メインＣＰＵと、メインＣＰＵの動作を監視する監視ＩＣと、定電圧異常を検知する機能を備えた電源ＩＣとを有し、異常検出手段が前記監視ＩＣと前記電源ＩＣによって構成されていることを特徴とする。また、ＣＡＮ（ＣｏｎｔｒｏｌＡｒｅａ Ｎｅｔｗｏｒｋ）通信システムによる通信系制御装置では、前記制御ユニットは、ＣＡＮコントローラＣＰＵと、通信インターフェースとしてＣＡＮドライバを有している。
【００１２】
本発明による通信系制御装置は、異常発生時には、異常検出の制御ユニットが通信信号の送信を遮断するから、異常検出以外の他の制御ユニットにおける通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別することができ、異常発生を識別した他の制御ユニットは、異常発生をオペレータに知らせるために該制御ユニットに接続された警告手段を動作させたり、フェールセーフのために制御対象のアクチュエータの動作を停止させることができる。
【００１３】
本発明による通信系制御装置における前記通信信号遮断手段は、通信ラインを遮断し、通信信号の送信を遮断、異常検出の制御ユニットの通信部の送信ラインを遮断、異常検出の制御ユニットの通信インターフェースへの電源供給を遮断、あるいは異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることにより、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【００１４】
また、上記目的を達成するために、本発明による通信系制御装置の異常監視方法は、通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる通信系制御装置の異常監視方法であって、制御ユニット内で異常検出を行い、異常検出時には同制御ユニットより送信する通信信号の送信を遮断し、更には、異常検出の制御ユニットよりの通信信号の送信を遮断することにより、他の制御ユニットにおける通信信号の受信状態から、当該他の制御ユニットによって制御ユニットの異常発生を識別することを特徴としている。
【００１５】
この発明による通信系制御装置の異常監視方法によれば、異常検出の制御ユニットよりの通信信号の送信を遮断し、このことを他の制御ユニットにおける通信信号の受信状態から認識し、このことによって他の制御ユニットにて制御ユニットの異常発生を識別する。
【００１６】
この発明による通信系制御装置の異常監視方法は、異常発生時には、制御ユニットの異常発生を識別した制御ユニットの警告手段を動作させてオペレータに知らせ、また、フェールセーフのために、異常発生を識別した制御ユニットが制御しているアクチュエータの動作を停止させる。
【００１７】
この発明による通信系制御装置の異常監視方法は、異常検出時には、通信ラインを遮断することにより、あるいは異常検出の制御ユニットの通信部の送信ラインを遮断することによって、あるいは異常検出時には異常検出の制御ユニットの通信部の通信インターフェースへの電源供給を遮断することによって、あるいは異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることによって、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【発明の効果】
【００１８】
本発明は、通信を媒体とした分散制御系のシステムにおいて、如何なる故障ケースにおいても確実にその故障を検出でき、他のユニットに故障ユニットの存在を検知させ、フェールセーフを正確に施すことができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の好適な実施の形態について図面を参照し説明する。
図１は、本発明の一つの実施形態に関する通信系制御装置の構成の一例を示している。通信系制御装置は、複数個の制御ユニット１０Ａ、１０Ｂ〜１０Ｎを有している。制御ユニット１０Ａ、１０Ｂ〜１０Ｎは、通信バス１００によって双方向に通信可能に接続され、相互にデータを送受し、各制御ユニット１０Ａ、１０Ｂ〜１０Ｎの出力に接続されたアクチュエータ４１、ワーニングランプ４２、モータ４３などを制御する。
なお、この実施形態では、説明上、制御ユニット（ユニットＡ）１０Ａを故障した制御ユニットと仮定する。各制御ユニット１０Ａ、１０Ｂ〜１０Ｎは、実質的に同一構成であるので、ここでは、制御ユニット１０Ａについて説明する。
【００２０】
制御ユニット１０Ａは、メインＣＰＵ１１、メインＣＰＵ１１の演算結果を監視する監視ＩＣ１２と、電源ＩＣ１３、スイッチ信号を検出する入力インターフェース部１４、アクチュエータ４１に信号を出力する出力インターフェース部１５、通信バス１００に対して通信信号を送受するための通信ドライバ１６を有している。
【００２１】
メインＣＰＵ１１は、入力インターフェース部１４の信号を入力する入力ポート１７、出力インターフェース部１５に信号を出力する出力ポート１８と、通信ドライバ１６に対して通信信号を送受する通信ポート１９と、監視ＩＣ１２とのパラレル接続用のパラレルポート２０と、Ｐ＿ＲＵＮ信号出力端子２１と、ＲＥＳＥＴ信号入力端子２２とを具備している。
【００２２】
メインＣＰＵ１１の出力ポート１８と出力インターフェース部１５との間には３入力論理積回路３０が設けられている。３入力論理積回路３０は出力ポート１８より出力インターフェース部１５へのアクチュエータ駆動信号の伝送を選択的に遮断する。
また、メインＣＰＵ１１の通信ポート１９と通信ドライバ１６との間には通信信号遮断手段３１が設けられている。通信信号遮断手段３１は、２入力論理積回路３２の出力が”Ｈ”レベルであると閉成し、”Ｌ”レベルであると開成する。
【００２３】
電源ＩＣ１３は、定電圧出力端子２６と、定電圧異常出力端子２７と、メインＣＰＵ１１のＰ＿ＲＵＮ信号出力端子２１よりのラン信号を入力するＰ＿ＲＵＮ信号入力端子２８と、メインＣＰＵ１１のＲＥＳＥＴ信号入力端子２２へリセット信号を出力するＲＥＳＥＴ信号出力端子２９とを具備し、メインＣＰＵ１１から出力されるラン信号を監視し、異常を確認すると、ＲＥＳＥＴ信号出力端子２９よりメインＣＰＵ１１へリセット信号を出力し、メインＣＰＵ１１にリセットをかける。
【００２４】
電源ＩＣ１３の定電圧異常出力端子２７の出力（定電圧異常出力信号）は、３入力論理積回路３０と２入力論理積回路３２に入力され、電源ＩＣ１３の出力定電圧が異常値になった場合には、メインＣＰＵ１１や監視ＩＣ１２の動作が不定になり、正常な判断動作を得られない可能性があるため、異常検出信号として、”Ｈ”レベルより”Ｌ”レベルに変化する。
【００２５】
これにより、電源ＩＣ１３の出力定電圧が異常値になった場合には、アクチュエータ４１を駆動するためにメインＣＰＵ１１より出力インターフェース部１５に入力される信号が３入力論理積回路３０によって、また通信ドライバ１６へ入力される通信ポート１９からの信号を信号遮断手段３１によって遮断し、フェールセーフとする。
【００２６】
監視ＩＣ１２は、メインＣＰＵ１１とのパラレル接続用のパラレルポート２３と、メインＣＰＵ１１のＰ＿ＲＵＮ信号出力端子２１よりのラン信号を入力するＰ＿ＲＵＮ信号入力端子２４と、異常検出信号としてシステムシャット信号を出力するシステムシャット信号出力端子２５とを具備している。
【００２７】
監視ＩＣ１２は、システムシャット信号出力端子２５のシステムシャット信号は３入力論理積回路３０と２入力論理積回路３２に入力され、メインＣＰＵ１１よりラン信号をＰ＿ＲＵＮ信号入力端子２４に入力し、パラレルポート２３を介してレジスタの演算結果を比較し、異常が認められた場合には、システムシャット信号（異常検出信号）を、”Ｈ”レベルより”Ｌ”レベルに落とす。
【００２８】
これにより、監視ＩＣ１２によって異常が認められると、アクチュエータ４１を駆動するためにメインＣＰＵ１１より出力インターフェース部１５に入力される信号が３入力論理積回路３０によって、また通信ドライバ１３へ入力される通信ポート１９からの信号が信号遮断手段３１によって遮断され、フェールセーフとする。
【００２９】
ここで、電源ＩＣ１３や監視ＩＣ１２から出力される定電圧異常信号やシステムシャット信号によって通信信号が遮断され、他の制御ユニット１０Ｂ、１０Ｃ等がこれを検出し、フェールセーフ動作を行う動作を、図２、図３を用いて説明する。
【００３０】
図２は図１に示されている通信制御系で送受されている通信データの一例を示している。各通信データにはユニークなＩＤ番号がそれぞれ設けられていて、通信データ毎に、データ長、送信周期、送受信ユニットを規定されている。
データＩＤ１２３の４ビットデータが、制御ユニット（ユニットＡ）１０Ａから、制御ユニット（ユニットＢ）１０Ｂ、制御ユニット（ユニットＣ）１０Ｃに送信されているとする。これを、制御ユニット１０Ｂ、１０Ｃの側から見ると、データＩＤ１２３のデータは、４ビットずつ、１００ｍｓ周期で更新されて制御ユニット１０Ｂ、１０Ｃでモニタされていることになる。
【００３１】
今、電源ＩＣ１３の異常により、定電圧出力が規定値を外れ、定電圧異常出力が”Ｌ”になった場合を想定する。すると、制御ユニット１０ＡのメインＣＰＵ１１から同ユニットＡの出力インターフェース部１５に入力されている制御信号が、出力ポート１８が制御中で、”Ｈ”であっても、出力インターフェース部１５の出力は３入力論理積回路３０によって電源ＩＣ１３よりの定電圧異常出力と積論理をとっているため、当該制御信号は遮断され、アクチュエータ４１の動作が停止する。
【００３２】
また同様に、通信信号遮断手段３１も、電源ＩＣ１３の定電圧異常出力信号が”Ｌ”になった時点で、２入力回路３２により論理積によって遮断されるため、通信信号を送受する通信ドライバ１６からは、通信信号が全く送信されなくなる。すると、制御ユニット１０Ｂ、１０Ｃ…１０Ｎでは、データＩＤ１２３のデータが全く認識することができなくなる。
【００３３】
制御ユニット１０Ｂは図３に示されているようなユニットＢ・フェールセーフ処理ルーチンを所定の時間周期をもって繰り返し実行している。このフェールセーフ処理ルーチンでは、ＩＤ１２３のデータが予め設定されている通信周期に従って更新されているか否か判断する（ステップＳ１１）。
【００３４】
データが更新されているか否かを判断する手段としては、受信周期毎にデータカウンタをインクリメントさせて、そのデータをモニタして判断するか、あるいは規定のデータを通信周期毎に演算（例えば加算）し、あるまとまった周期で規定の演算値（加算値）になっているかどうか判断する方法が、一般的である。
【００３５】
データ更新の判定において、データが正常に更新されていれば（ステップＳ１１肯定）、ワーニングランプ４２を引き続き点灯しない、あるいはワーニングランプ４２を消灯する処理を実行する（ステップＳ１２）。
これに対し、データ更新に異常があれば（ステップＳ１１否定）、ワーニングランプ４２を点灯し（ステップＳ１３）、ワーニングランプ４２の点灯によって異常をドライバ（オペレータ）に知らせる。
【００３６】
同様に、制御ユニット１０Ｃは図４に示されているようなユニットＣ・フェールセーフ処理ルーチンを所定の時間周期をもって繰り返し実行しており、ＩＤ１２３のデータが予め設定されている通信周期に従って更新されているか否か判断する（ステップＳ２１）。
【００３７】
データ更新の判定において、データが正常に更新されていれば（ステップＳ２１肯定）、モータ４３の駆動を許可し（ステップＳ２２）、データ更新に異常があれば（ステップＳ２１否定）、モータ４３の駆動を禁止し、モータ４３を強制的に停止させ（ステップＳ２３）、フェールセーフを施す。
【００３８】
以上のように、通信制御系において、異常発生時には、異常発生元となった制御信号発信側の制御ユニット（たとえば、制御ユニット１０Ａ）の送信データを通信信号遮断手段３１によって遮断し、受信側の制御ユニット（たとえば、制御ユニット１０Ｂ、１０Ｃ）でデータ更新が遮断されたことを検出する。これにより、確実にフェールセーフ動作を行うことができる。
通信を遮断されるにあたって重要なのは、遮断した側の遮断論理が、他のユニット間の通信を阻止しないようにレセッシブ側に固定させなければならない。
【００３９】
つぎに、このことを満足する通信信号遮断手段３１のいくつかの実施例について、図５〜図９を参照して説明する。なお、以降、異常が発した制御ユニットを異常ユニット５０、それ以外の制御ユニットを他ユニット９０と呼ぶことにする。
【００４０】
図５は、本実施形態の第１の実施例であり、通信プロトコルの中でも、特に自動車を初めとする産業界において広まりつつある、ＣＡＮ（ＣｏｎｔｒｏｌＡｒｅａ Ｎｅｔｗｏｒｋ）通信システムにおいて、ＣＡＮコントローラＣＰＵ５１と通信インターフェースであるＣＡＮドライバ５２との間のラインを遮断するタイプの実施形態を示している。ＣＡＮコントローラＣＰＵ５１とＣＡＮドライバ５２とは、シリアル通信ラインＣＡＮ-Ｒｘ、ＣＡＮ-Ｔｘによって接続されている。
【００４１】
異常ユニット５０において、フェール判断手段５３によって、定電圧異常、システムシャット信号、他異常信号が検出されると、フェール判断手段５３は、”Ｈ”レベルのフェール検出信号（ＦＡＩＬ信号）を出力する。
すると、トランジスタスイッチング回路５４のスイッチング動作によって、ＣＡＮコントローラ５１から出力されＣＡＮドライバ５２に接続されているシリアル通信ラインＣＡＮ-Ｔｘが、”Ｌ”レベルに固定され、ＣＡＮドライバ５２は、常に無信号出力状態となる。この状態を通信バス（ＣＡＮバス）１００上に接続されている他ユニット９０で検出し、フェールセーフを実行する。
【００４２】
なお、他ユニット９０も、ＣＡＮコントローラＣＰＵ９１、ＣＡＮドライバ９２を含み、異常ユニット５０のＣＡＮドライバ５２と他ユニット９０のＣＡＮドライバ９２がＣＡＮ−Ｈ端子、ＣＡＮ−Ｌ端子同士で接続されている。
【００４３】
他ユニット９０は、異常ユニット５０のＣＡＮドライバ５２が常時無信号出力状態となると、自ユニットの出力インターフェース部９５に接続されているワーニングランプ９６を点灯する。
この実施例では、ハイサイドドライバ等の高価なデバイスを用いることなく、ユニット内部に通信遮断を行う回路を構成することができ、大きいコストアップにならない。
【００４４】
図６に示されている第２実施例は、異常ユニット５０のＣＡＮドライバ５２の電源回路中に設けられたハイサイドドライバ５５を有し、ハイサイドドライバ５５によってＣＡＮドライバ５２の電源（定電圧Ｖｃｃ）を遮断する。
この実施例でも、異常ユニット５０において、フェール判断手段５３によって、定電圧異常、システムシャット信号、他異常信号が検出されると、フェール判断手段５３は”Ｈ”レベルのフェール検出信号を出力する。
【００４５】
すると、トランジスタスイッチング回路５４のスイッチング動作によって、ＣＡＮドライバ５２へ電源供給を行っているハイサイドドライバ５５の状態が変わり、ＣＡＮドライバ５２に対する電源供給が停止され、ＣＡＮドライバ５２は常に無信号出力状態となる。この状態を通信バス１００上に接続されている他ユニット９０で検出し、図５の第１の実施例と同様に、フェールセーフを実行する。
【００４６】
この実施例では、ＣＡＮコントローラＣＰＵ５１とＣＡＮドライバ５２との間のライン遮断に代えてハイサイドドライバ５５によりＣＡＮドライバ５２の電断を行うから、コスト高になるが、ＣＡＮコントローラＣＰＵ５１とＣＡＮドライバ５２との間のシリアル通信ラインに抵抗器などを挿入する必要がなくなり、通信速度の遅れなどに対する設計的事項の変更を生じない。この実施の形態は、高速通信の高級仕様に対応する。
【００４７】
図７に示されている第３の実施例は、異常ユニット５０の外部で通信バス（ＣＡＮバス）１００を切断するタイプの実施形態である。この実施形態では、通信バス１００にリレースイッチ６１が設けられている。リレースイッチ６１は、異常ユニット５０のトランジスタスイッチング回路５４のオン・オフによって開閉する。
【００４８】
この実施例でも、異常ユニット５０において、フェール判断手段５３によって、定電圧異常、システムシャット信号、他異常信号が検出されると、フェール判断手段５３は”Ｈ”レベルのフェール検出信号を出力する。
すると、トランジスタスイッチング回路５４のスイッチング動作によって、ＣＡＮドライバ５２からユニット外部の他ユニット９０へ接続されている通信バス１００上のリレースイッチ６１が開成し、リレースイッチ６１によって通信バス１００が遮断される。
【００４９】
これにより、通信バス１００上に異常ユニット５０からの送信データが存在しなくなり、無信号出力状態となる。この状態を通信バス１００上に接続されている他ユニット９０で検出し、図５の実施形態と同様に、フェールセーフを実行する。
この実施例では、ユニット外部にリレースイッチ６１を付加するから、既存の制御ユニットを用い、ユニット自体の再設計を必要としない。
【００５０】
図８に示されている第４の実施例では、ＣＡＮコントローラＣＰＵ５１´のＣＡＮ−Ｔｘレジスタ５６の出力段のスイッチングトランジスタ５７のバイアスラインｂを独立にＣＰＵパッケージ外部に出し、スイッチング回路５４によってバイアスラインｂの電圧を制御する。
【００５１】
この実施例でも、異常ユニット５０において、フェール判断手段５３によって、定電圧異常、システムシャット信号、他異常信号が検出されると、フェール判断手段５３は”Ｈ”レベルのフェール検出信号を出力する。
すると、トランジスタスイッチング回路５４のスイッチング動作によってＣＡＮコントローラＣＰＵ５１´に内蔵されているＣＡＮ−Ｔｘレジスタ５６の出力段へのバイアス供給が遮断され、ＣＡＮドライバ５２は常に無信号出力状態となる。この状態を通信バス１００上に接続されている他ユニット９０で検出し、図５の実施例と同様に、フェールセーフを実行する。
この実施例では、ＣＡＮコントローラＣＰＵ５１´よりＣＡＮ−Ｔｘレジスタ５６の出力段のバイアスラインｂを外部に引き出すだけで、他のデバイス、部品を必要としないので、コスト高にならない。
【００５２】
図９に示されている第５の実施例は、スリープ／スタンバイ（Ｓｌｅｅｐ／Ｓｔａｎｄｂｙ）機能を内蔵したＣＡＮドライバ５２´を使用した実施形態である。スリープ／スタンバイ機能とは、周知の如く、本来、システムが停止状態で、かつ、ＲＡＭ上のデータ等、様々なデータを保持しておき、そのデータをもって再びシステムを起動させるような場面において、システムの消費電力を抑えるために設定された機能である。
【００５３】
ＣＡＮドライバ５２´は、スリープ／スタンバイ端子がＬレベルとなると、スリープ／スタンバイモードになり、ＣＡＮバス（通信バス１００）上には一切データを出力しなくなり、ＣＡＮコントローラＣＰＵ５１に対しては、リード（ＣＡＮバス上のデータの読み込み）のみを行う。
ＣＡＮドライバ５２´のスリープ／スタンバイ端子のハイ・ローは、トランジスタスイッチング回路５４によって行われる。
【００５４】
異常ユニット５０において、フェール判断手段５３によって、定電圧異常、システムシャット信号、他異常信号が検出され、フェール判断手段５３が”Ｈ”レベルのフェール検出信号を出力すると、トランジスタスイッチング回路５４のスイッチング動作によって、ＣＡＮドライバ５２´のスリープ／スタンバイ端子がＬレベルとなる。これにより、ＣＡＮドライバ５２´がスリープ／スタンバイモードに遷移し、ＣＡＮコントローラＣＰＵ５１から出力されるＣＡＮ-Ｒｘの信号を通信バス１００上へ載せることを停止する。よって通信バス１００上に異常ユニット５０からの送信データは存在しなくなり、無信号出力状態となる。この状態を通信バス１００上に接続されている他ユニット９０で検出し、図５の実施形態と同様に、フェールセーフを実行する。
この実施例では、スリープ／スタンバイ機能を内蔵した既存のＣＡＮドライバ５２´を流用でき、他のデバイス、部品を必要としないので、コスト高にならない。
【００５５】
以上、本発明の一実施形態（５実施例）について詳述したが、本発明は、前記実施形態に限定されるものではなく、特許請求の範囲に記載した本発明の精神を逸脱しない範囲で、設計において種々の変更ができるものである。
【図面の簡単な説明】
【００５６】
【図１】本発明による通信系制御装置の一実施形態を示す概要ブロック図。
【図２】本発明の一実施形態に関する通信系制御装置の説明のためのデータ表。
【図３】本発明の一実施形態に関する通信系制御装置のフェールセーフ処理のフローチャート。
【図４】本発明の一実施形態に関する通信系制御装置のフェールセーフ処理のフローチャート。
【図５】本発明による通信系制御装置の一実施形態の第１の実施例を示す概要ブロック図。
【図６】本発明による通信系制御装置の一実施形態（第２の実施例）を示す概要ブロック図。
【図７】本発明による通信系制御装置の一実施形態（第３の実施例）を示す概要ブロック図。
【図８】本発明による通信系制御装置の一実施形態（第４の実施例）を示す概要ブロック図。
【図９】本発明による通信系制御装置の一実施形態（第５の実施例）を示す概要ブロック図。
【符号の説明】
【００５７】
１０Ａ、１０Ｂ、１０Ｎ…制御ユニット、１１…メインＣＰＵ、１２…監視ＩＣ、１３…電源ＩＣ、１６…通信ドライバ、３１…通信信号遮断手段、４１…１アクチュエータ、４２…ワーニングランプ、４３…モータ、５０…異常ユニット、５１、５１´…ＣＡＮコントローラＣＰＵ、５２、５２´…ＣＡＮドライバ、５３…フェール判断手段、５４…トランジスタスイッチング回路、５５…ハイサイドドライバ、６１…リレースイッチ、９０…他ユニット、９１…ＣＡＮコントローラＣＰＵ、９２…ＣＡＮドライバ、９６…ワーニングランプ
【図１】
2006036187.tif 000003
【図２】
2006036187.tif 000004
【図３】
2006036187.tif 000005
【図４】
2006036187.tif 000006
【図５】
2006036187.tif 000007
【図６】
2006036187.tif 000008
【図７】
2006036187.tif 000009
【図８】
2006036187.tif 000010
【図９】
2006036187.tif 000011
【手続補正書】
【提出日】平成17年8月17日(2005.8.17)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置であって、
前記各制御ユニットは、所定の時間周期をもってモニタリング信号を送信するモニタリング信号送信手段と、
前記各制御ユニット内で異常検出を行い、異常検出信号を生成する異常検出手段と、
前記異常検出信号によって、前記モニタリング信号の送信を遮断するモニタリング信号遮断手段と、
他の制御ユニットのモニタリング信号の受信状態から、当該他の制御ユニットの異常発生を識別する手段と、
該異常発生識別手段の異常検出に基づいて、当該他の制御ユニットに接続された機器を作動制御する制御手段と、を備えることを特徴とする自動車用制御装置。
【請求項２】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置であって、
前記制御ユニットは、異常発生時に異常検出を行い、異常検出信号を生成する異常検出手段と、前記異常検出手段によって生成された異常検出信号によって動作し、同制御ユニットより規定された送信周期で送信される規定されたデータ長からなるモニタリングデータを含む通信信号の送信を遮断する通信信号遮断手段と、を有し、
前記自動車用制御装置は、異常検出以外の他の制御ユニットにおける前記通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別する手段を有しており、
前記通信信号遮断手段は、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることによって、異常検出の制御ユニットよりの通信信号の送信を遮断することを特徴とする自動車用制御装置。
【請求項３】
前記制御ユニットは、メインＣＰＵと、メインＣＰＵの動作を監視する監視ＩＣと、定電圧異常を検知する機能を備えた電源ＩＣとを有し、異常検出手段が前記監視ＩＣと前記電源ＩＣによって構成されていることを特徴とする請求項１または２に記載の自動車用制御装置。
【請求項４】
前記自動車用制御装置は、ＣＡＮ通信システムによるものであり、前記制御ユニットは、ＣＡＮコントローラＣＰＵと、通信インターフェースとしてＣＡＮドライバを有していることを特徴とする請求項１から３の何れか１項に記載の自動車用制御装置。
【請求項５】
前記他の制御ユニットに接続された警告手段を有し、異常発生時に前記制御ユニットの異常発生を識別した前記他の制御ユニットの警告手段を動作させることを特徴とする請求項１から４の何れか１項に記載の自動車用制御装置。
【請求項６】
異常発生時に前記制御ユニットの異常発生を識別した前記他の制御ユニットが制御しているアクチュエータの動作を停止させることを特徴とする請求項１から５の何れか１項に記載の自動車用制御装置。
【請求項７】
前記通信信号遮断手段は、通信ラインを遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の自動車用制御装置。
【請求項８】
前記通信信号遮断手段は、異常検出の前記制御ユニット内の通信部の送信ラインを遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の自動車用制御装置。
【請求項９】
前記通信信号遮断手段は、異常検出の前記制御ユニットの通信インターフェースへの電源供給を遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１から６の何れか１項に記載の自動車用制御装置。
【請求項１０】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置の異常監視方法であって、
前記各制御ユニットは、所定の時間周期をもってモニタリング信号を送信し、
前記各制御ユニット内で異常検出を行い、異常検出時には異常検出信号を生成し、
該異常検出信号によって、前記モニタリング信号の送信を遮断し、
他の制御ユニットのモニタリング信号の受信状態から、当該他の制御ユニットの異常発生を識別し、
該異常発生識別手段の異常検出に基づいて、当該他の制御ユニットに接続された機器を作動制御することを特徴とする自動車用制御装置の異常監視方法。
【請求項１１】
通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置の異常監視方法であって、
前記制御ユニットは、該ユニット内で異常検出を行い、規定された送信周期で送信される規定されたデータ長からなるモニタリングデータを含む通信信号を送信し、
異常検出以外の他の制御ユニットにおける前記通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別し、
異常検出時には異常検出の前記制御ユニットの通信部の通信インターフェースをスリープモードにすることによって異常検出の前記制御ユニットより送信する通信信号の送信を遮断することを特徴とする自動車用制御装置の異常監視方法。
【請求項１２】
異常発生時に前記制御ユニットの異常発生を識別した前記他の制御ユニットの警告手段を動作させることを特徴とする請求項１０または１１記載の自動車用制御装置の異常監視方法。
【請求項１３】
異常発生時に前記制御ユニットの異常発生を識別した前記他の制御ユニットが制御しているアクチュエータの動作を停止させることを特徴とする請求項１０から１２の何れか１項に記載の自動車用制御装置の異常監視方法。
【請求項１４】
異常検出時には、通信ラインを遮断することにより、通信信号の送信を遮断することを特徴とする請求項１０から１３の何れか１項に記載の自動車用制御装置の異常監視方法。
【請求項１５】
異常検出時には異常検出の前記制御ユニットの通信部の送信ラインを遮断することによって通信信号の送信を遮断し、異常検出の前記制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１０から１３の何れか１項に記載の自動車用制御装置の異常監視方法。
【請求項１６】
異常検出時には異常検出の前記制御ユニットの通信部の通信インターフェースへの電源供給を遮断し、異常検出の制御ユニットよりの通信信号の送信を遮断することを特徴とする請求項１０から１３の何れか１項に記載の自動車用制御装置の異常監視方法。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、複数の制御ユニットで構成されている自動車用制御装置および異常監視方法に関し、特に、通信系内の制御ユニットが故障した場合にその故障を検出してフェールセーフを施す異常監視を行う自動車用制御装置および異常監視方法に関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００２
【補正方法】変更
【補正の内容】
【０００２】
従来、複数の制御ユニットから構成される自動車用の通信系制御装置において、各々の制御ユニットに異常が発生した場合には、各々の制御ユニット自身がワーニングランプをハード的に点灯してユーザに故障したことを知らせたり、アクチュエータへの制御信号の伝送やアクチュエータコントロールユニットへの電源供給をハード的に遮断することにより、システム的にフェールセーフが施されている。また、通信信号の異常は、特定の重要な制御信号をハード的な信号と併せて冗長系を構成し、通信信号と比較することによって信頼性を確保してきた。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
本発明は、以上のような問題に鑑みてなされたものであり、その目的とするところは、如何なる故障ケースにおいても確実にその故障を検出し、他の制御ユニットに故障ユニットの存在を検知させ、フェールセーフを正確に施すことができる自動車用制御装置および自動車用制御装置の異常監視方法を提供することにある。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
上記目的を達成するために、本発明による自動車用制御装置は、通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置であって、該制御ユニットは、異常発生時に異常検出を行い、異常検出信号を生成する異常検出手段と、前記異常検出手段によって生成された異常検出信号によって動作し、同制御ユニットより規定された送信周期で送信される規定されたデータ長からなるモニタリングデータを含む通信信号の送信を遮断する通信信号遮断手段とを有し、前記自動車用制御装置は、異常検出以外の他の制御ユニットにおける前記通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別する手段を有しており、前記通信信号遮断手段は、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることによって、異常検出の制御ユニットよりの通信信号の送信を遮断することを特徴としている。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
この発明による自動車用制御装置によれば、制御ユニット内の異常検出手段によって異常発生時に異常検出が行われ、異常検出時には異常検出信号が生成され、この異常検出信号によって通信信号遮断手段が動作し、通信信号遮断手段によって同制御ユニットより規定された送信周期で送信される規定されたデータ長からなるモニタリングデータを含む通信信号の送信を遮断する。これによって、自動車用制御装置は、異常検出以外の他の制御ユニットにおける前記通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別する。そして、通信信号遮断手段は、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることにより、異常検出の制御ユニットよりの通信信号の送信を遮断する。スリープモードに遷移すると、制御ユニットから出力される信号を通信バス上へ載せることを停止する。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
本発明による自動車用制御装置における前記通信信号遮断手段は、通信ラインを遮断し、通信信号の送信を遮断、異常検出の制御ユニットの通信部の送信ラインを遮断、異常検出の制御ユニットの通信インターフェースへの電源供給を遮断することにより、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【００１４】
また、上記目的を達成するために、本発明による自動車用制御装置の異常監視方法は、通信バスによって双方向に通信可能に接続されている複数の制御ユニットからなる分散制御系の自動車用制御装置の異常監視方法であって、制御ユニット内は、該ユニット内で異常検出を行い、規定された送信周期で送信される規定されたデータ長からなるモニタリングデータを含む通信信号を送信し、異常検出以外の他の制御ユニットにおける前記通信信号の受信状態から、当該他の制御ユニットによって前記制御ユニットの異常発生を識別し、異常検出時には異常検出の前記制御ユニットの通信部の通信インターフェースをスリープモードにすることによって異常検出の前記制御ユニットより送信する通信信号の送信を遮断することを特徴としている。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
この発明による自動車用制御装置の異常監視方法によれば、異常検出の制御ユニットよりの通信信号の送信を遮断し、このことを他の制御ユニットにおける通信信号の受信状態から認識し、このことによって他の制御ユニットにて制御ユニットの異常発生を識別し、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることによって、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
この発明による自動車用制御装置の異常監視方法は、異常検出時には、通信ラインを遮断することにより、あるいは異常検出の制御ユニットの通信部の送信ラインを遮断することによって、あるいは異常検出時には異常検出の制御ユニットの通信部の通信インターフェースへの電源供給を遮断することによって、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
本発明は、通信を媒体とした分散制御系のシステムにおいて、如何なる故障ケースにおいても確実にその故障を検出でき、他のユニットに故障ユニットの存在を検知させ、フェールセーフを正確に施すことができる。そして、異常検出の制御ユニットの通信部の通信インターフェースをスリープモードにすることにより、異常検出の制御ユニットよりの通信信号の送信を遮断する。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
以下、本発明の好適な実施の形態について図面を参照し説明する。
図１は、本発明の一つの実施形態に関する自動車用の通信系制御装置の構成の一例を示している。通信系制御装置は、複数個の制御ユニット１０Ａ、１０Ｂ〜１０Ｎを有している。制御ユニット１０Ａ、１０Ｂ〜１０Ｎは、通信バス１００によって双方向に通信可能に接続され、相互にデータを送受し、各制御ユニット１０Ａ、１０Ｂ〜１０Ｎの出力に接続されたアクチュエータ４１、ワーニングランプ４２、モータ４３などを制御する。
なお、この実施形態では、説明上、制御ユニット（ユニットＡ）１０Ａを故障した制御ユニットと仮定する。各制御ユニット１０Ａ、１０Ｂ〜１０Ｎは、実質的に同一構成であるので、ここでは、制御ユニット１０Ａについて説明する。