(57)【要約】【課題】同じデータが通信される複数のＣＡＮ通信バスに接続される複数の制御マイコンを備えた電子制御装置において、制御マイコンの故障を効率的に検出可能な電子制御装置を提供する。【解決手段】ＥＣＵ１０１のマイコン１１、２１は、同じデータが通信される複数のＣＡＮ通信バス６１、６２に接続され、同じデータを用いて制御演算を行うＣＰＵ１２、２２、送受信用ＣＡＮコントローラ１３、２３、及び受信専用ＣＡＮコントローラ１４、２４を含む。ＡＮＤゲート１５は、受信専用ＣＡＮコントローラ１４の送信用端子Ｔｘが送信する自送信信号と、他マイコン２１に対応するＣＡＮトランシーバ２６から送受信用ＣＡＮコントローラ２３に通信される他受信信号との論理積を演算し、受信専用ＣＡＮコントローラ１４の受信用端子Ｒｘに出力する。マイコン１１は、受信専用ＣＡＮコントローラ１４に入力されたデータに基づいて、マイコン２１の故障を検出する。【選択図】図１
2018020678.tif 000002
【特許請求の範囲】
【請求項１】
同じデータが通信される複数のＣＡＮ通信バス（６１、６２）に接続され、前記複数のＣＡＮ通信バスから受信した同じデータを用いて制御演算を行うＣＰＵ（１２、２２）、送受信用ＣＡＮコントローラ（１３、２３）、及び、１つ以上の受信専用ＣＡＮコントローラ（１４、１４５、２４、２４５）を含む複数の制御マイコン（１１、２１）と、
前記複数の制御マイコンの前記送受信用ＣＡＮコントローラと前記複数のＣＡＮ通信バスとの間の通信を中継する複数のＣＡＮトランシーバ（１６、２６）と、
を備え、
前記複数の制御マイコンのうち、注目する１つの制御マイコンを自マイコンとし、前記自マイコン以外の１つ以上の制御マイコンを他マイコンとすると、
前記自マイコンの前記受信専用ＣＡＮコントローラの送信用端子（Ｔｘ）が送信する自送信信号と、前記他マイコンに対応する前記ＣＡＮトランシーバから前記他マイコンの前記送受信用ＣＡＮコントローラに通信される他受信信号との論理積を演算し、前記自マイコンの前記受信専用ＣＡＮコントローラ（１４、２４）の受信用端子（Ｒｘ）に出力するＡＮＤゲート（１５、２５）が前記複数のマイコンの外部に設けられており、又は、前記受信専用ＣＡＮコントローラ（１４５、２４５）の内部に前記ＡＮＤゲートの機能を有しており、
前記複数のマイコンは、前記受信専用ＣＡＮコントローラに入力されたデータに基づいて、少なくとも他マイコンの故障を相互に検出可能である電子制御装置。
【請求項２】
前記複数のマイコンは、前記受信専用ＣＡＮコントローラに入力されたデータに基づいて、前記他マイコンに対応する前記ＣＡＮトランシーバ又は前記ＣＡＮ通信バスの故障をさらに検出可能である請求項１に記載の電子制御装置。
【請求項３】
前記ＡＮＤゲートは、前記複数の制御マイコンの外部に設けられている請求項１または２に記載の電子制御装置。
【請求項４】
前記他マイコンの故障を相互に検出可能な前記複数の制御マイコンに加え、前記受信専用ＣＡＮコントローラ（４４１、４４２）を含み前記他マイコンの故障を検出可能な１つ以上の監視マイコン（４１）をさらに備える請求項１〜３のいずれか一項に記載の電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＣＡＮ通信バスを介して制御データを送受信可能な電子制御装置に関する。
【背景技術】
【０００２】
従来、ＣＡＮ通信を行う電子制御装置において、ＣＰＵ及びＣＡＮコントローラを有するマイコンを複数備えるものが知られている。例えば、特許文献１に開示された電子制御装置は、送受信用ＣＡＮコントローラにより通常制御を行う主制御マイコンと、受信専用ＣＡＮコントローラにより監視処理を行う副制御マイコンとを備える。監視処理にて制御データを正常に受信できた場合に副制御マイコンが出力するＡＣＫスロットは、副制御マイコンのＣＡＮコントローラ自身に入力され、主制御マイコンに入力されることがない。これにより、マイコンがデータを正常に受信できたことの確認応答が複数のマイコン同士の間で通信されることを防止する。
【０００３】
また、マイコンの制御によりモータ等の負荷を駆動するシステムにおいて、同等の制御機能を有する複数のマイコンを冗長的に設け、一部のマイコンが故障した場合に他の正常なマイコンにより駆動を継続する技術が知られている。特に車両に搭載されるモータ駆動システム等では、このような冗長構成により、マイコン故障に対する信頼性を向上させることが求められる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１１−１３１７１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１の技術は、機能が異なる複数のマイコンを１つの電子制御装置に組み込んだ構成を想定したものであって、同じ機能を有する複数のマイコンを冗長的に備える構成を想定していない。したがって、マイコンの故障を検出する構成や、一部のマイコンが故障したとき、他の正常なマイコンにより制御演算を継続する構成について、何ら言及されていない。
本発明は、このような点に鑑みて創作されたものであり、その目的は、同じデータが通信される複数のＣＡＮ通信バスに接続される複数の制御マイコンを備えた電子制御装置において、制御マイコンの故障を効率的に検出可能な電子制御装置を提供することにある。
【課題を解決するための手段】
【０００６】
本発明の電子制御装置は、同じデータが通信される複数のＣＡＮ通信バス（６１、６２）に接続される複数の制御マイコン（１１、２１）と、複数のＣＡＮトランシーバ（１６、２６）とを備える。
複数の制御マイコンは、複数のＣＡＮ通信バスから受信した同じデータを用いて制御演算を行うＣＰＵ（１２、２２）、送受信用ＣＡＮコントローラ（１３、２３）、及び、１つ以上の受信専用ＣＡＮコントローラ（１４、１４５、２４、２４５）を含む。
複数のＣＡＮトランシーバは、複数の制御マイコンの送受信用ＣＡＮコントローラと複数のＣＡＮ通信バスとの間の通信を中継する。
【０００７】
ここで、複数の制御マイコンのうち、注目する１つの制御マイコンを「自マイコン」とし、自マイコン以外の１つ以上の制御マイコンを「他マイコン」とする。
ＡＮＤゲート（１５、２５）は、自マイコンの受信専用ＣＡＮコントローラの送信用端子（Ｔｘ）が送信する「自送信信号」と、他マイコンに対応するＣＡＮトランシーバから他マイコンの送受信用ＣＡＮコントローラに通信される「他受信信号」との論理積を演算する。
【０００８】
ここで、自マイコンの受信専用ＣＡＮコントローラ（１４、２４）の受信用端子（Ｒｘ）に演算値を出力するＡＮＤゲートが複数のマイコンの外部に設けられてもよい。又は、受信専用ＣＡＮコントローラ（１４５、２４５）の内部にＡＮＤゲートの機能を有している。
そして、複数のマイコンは、受信専用ＣＡＮコントローラに入力されたデータに基づいて、少なくとも他マイコンの故障を相互に検出可能である。詳しくは、自マイコンは、他マイコンが出力するはずのデータが正常に通信されているか否かを判定する。
【０００９】
従来、複数の制御マイコンのうち一部の制御マイコンが故障したことを検出する構成として、マイコン間の通信により各制御マイコンが相互に他マイコンを監視する技術が知られている。この構成では、相互監視用の通信線や監視回路を設ける必要がある。
それに対し本発明では、複数の制御マイコンがそれぞれＣＡＮ通信バスから同じデータを受信することに注目し、他マイコンがＣＡＮ通信バスに出力する通信データが正常であるか否かを監視することで、他マイコンの故障を効率的に検出することができる。
【図面の簡単な説明】
【００１０】
【図１】第１実施形態によるＥＣＵ（電子制御装置）の構成図。
【図２】各実施形態のＥＣＵが適用される電動パワーステアリング装置の構成図。
【図３】ＡＮＤゲートによる通信異常時の作用を示す表。
【図４】異常検出処理のメインフローチャート。
【図５】通信チェックのサブフローチャート。
【図６】第２実施形態によるＥＣＵ（電子制御装置）の構成図。
【図７】第３実施形態によるＥＣＵ（電子制御装置）の構成図。
【図８】第４実施形態によるＥＣＵ（電子制御装置）の構成図。
【発明を実施するための形態】
【００１１】
以下、電子制御装置の複数の実施形態を図面に基づいて説明する。各実施形態において「電子制御装置」としてのＥＣＵは、例えば車両の電動パワーステアリング装置に適用され、操舵アシストトルクを出力するモータの駆動を制御する。複数の実施形態で実質的に同一の構成には同一の符号を付して説明を省略する。また、以下の第１〜第４実施形態を包括して「本実施形態」という。
【００１２】
［電動パワーステアリング装置の構成］
図２に、電動パワーステアリング装置９０を含むステアリングシステム１００の全体構成を示す。なお、図２に示す電動パワーステアリング装置９０はコラムアシスト式であるが、ラックアシスト式の電動パワーステアリング装置にも同様に適用可能である。
ステアリングシステム１００は、ハンドル９１、ステアリングシャフト９２、ピニオンギア９６、ラック軸９７、車輪９８、及び、電動パワーステアリング装置９０等を含む。
【００１３】
ハンドル９１にはステアリングシャフト９２が接続されている。ステアリングシャフト９２の先端に設けられたピニオンギア９６は、ラック軸９７に噛み合っている。ラック軸９７の両端には、タイロッド等を介して一対の車輪９８が設けられる。運転者がハンドル９１を回転させると、ハンドル９１に接続されたステアリングシャフト９２が回転する。ステアリングシャフト９２の回転運動は、ピニオンギア９６によりラック軸９７の直線運動に変換され、ラック軸９７の変位量に応じた角度に一対の車輪９８が操舵される。
【００１４】
電動パワーステアリング装置９０は、操舵トルクを検出するトルクセンサ９３、ＥＣＵ１０１、モータ８０、及び、モータ８０が出力したアシストトルクをステアリングシャフト９２に伝達する減速ギア９４等を含む。各実施形態に共通するＥＣＵの説明では、代表として第１実施形態のＥＣＵの符号「１０１」を記す。
ＥＣＵ１０１は、操舵トルク、及び、モータ８０の回転角、フィードバック電流の他、車両に搭載された他のＥＣＵ等からＣＡＮ通信バスを経由して車速やエンジン回転数等の情報を取得し、これらの情報に基づいてモータ８０の駆動を制御する。
ここで、本実施形態のＥＣＵが適用される車両では、車速やエンジン回転数等のデータについて、同じデータが複数のＣＡＮ通信バスを介して冗長的に通信される。
【００１５】
［ＥＣＵの構成］
以下、特に通信に関する構成及び作用効果について、ＥＣＵの実施形態毎に説明する。ＥＣＵの説明では、例えば電動パワーステアリング装置のモータ等の駆動対象について、一般的に「アクチュエータ」と記す。
各実施形態のＥＣＵは、ＣＡＮ通信バスから受信したデータに基づき冗長的に制御演算を行い、対応する駆動回路に指令信号を出力する複数のマイコンを備える。例えば、直流電力を交流電力に変換するインバータ等が駆動回路に該当する。複数のマイコンから指令信号を受けた複数の駆動回路は、協働してアクチュエータを駆動する。また、一部のマイコンが故障した場合、正常なマイコンのみでアクチュエータを駆動可能である。
【００１６】
ところで、従来、複数のマイコンのうち一部のマイコンが故障したことを検出する構成として、マイコン間の通信により各マイコンが相互に他マイコンを監視する技術が知られている。この構成では、相互監視用の通信線や監視回路を設ける必要がある。
それに対し本実施形態では、複数のマイコンがそれぞれＣＡＮ通信バスから同じデータを受信することに注目し、相互監視のためのマイコン間通信を設けず、ＣＡＮ通信バスからマイコンへの通信データを用いて効率的にマイコンの故障検出を図る。
なお、故障検出とは別の理由、例えば駆動指令信号の同期のため等のマイコン間通信に関しては本明細書では言及しない。
【００１７】
（第１実施形態）
第１実施形態について、図１、及び、図３〜図５を参照して説明する。
図１に示すように、第１実施形態のＥＣＵ１０１は、それぞれ対応する２つのマイコン１１、２１、ＡＮＤゲート１５、２５、ＣＡＮトランシーバ１６、２６、及び、駆動回路１８、２８を備える。第１実施形態は、ＡＮＤゲート１５、２５がマイコン１１、２１の外部に独立して設けられる点で後述の第２実施形態と異なる。
【００１８】
ここで、対応する一群の構成要素の単位を「系統」と表す。ＥＣＵ１０１は、２系統の冗長構成である。第１系統の構成要素の符号は１桁目を「１」とし、第２系統の構成要素の符号は１桁目を「２」とする。
図１中、第１系統のマイコン１１、ＣＡＮトランシーバ１６、駆動回路１８には語頭に「第１」を付し、第２系統のマイコン２１、ＣＡＮトランシーバ２６、駆動回路２８には語頭に「第２」を付して示す。明細書中では、「第１、第２」を適宜省略する。
【００１９】
ＥＣＵ１０１に接続されるＣＡＮ通信用のバスとして、同じデータが通信される２つのＣＡＮ通信バス６１、６２が設けられている。ＥＣＵ１０１は、ＣＡＮ通信バス６１、６２を経由して他の車載ＥＣＵ等とＣＡＮプロトコルによるデータ通信を行い、データを交換する。なお、ＣＡＮ通信バス６１、６２は、ＣＡＮプロトコルで使用されるＣＡＮ−Ｈライン及びＣＡＮ−Ｌラインからなる２線式通信ラインにて構成されている。
【００２０】
第１マイコン１１は、第１ＣＡＮトランシーバ１６を介して第１ＣＡＮ通信バス６１に接続されており、第２マイコン２１は、第２ＣＡＮトランシーバ２６を介して第２ＣＡＮ通信バス６２に接続されている。
第１マイコン１１及び第２マイコン２１は、ＣＡＮ通信バス６１、６２から受信した同じデータを用いて同種の制御演算を行い、駆動回路１８、２８への指令信号を生成する。第１マイコン１１から指令を受けた第１駆動回路１８、及び、第２マイコン２１から指令を受けた第２駆動回路２８は、協働してアクチュエータ８０を駆動する。
【００２１】
第１マイコン１１及び第２マイコン２１は、いずれもアクチュエータ８０の駆動制御を主な機能とするものであり、特許請求の範囲に記載の「制御マイコン」に相当する。
第１マイコン１１は、ＣＰＵ１２、及び２つのＣＡＮコントローラ１３、１４を含む。第２マイコン２１は、ＣＰＵ２２、及び２つのＣＡＮコントローラ２３、２４を含む。
ＡＮＤゲート１５、２５は、各マイコン１１、２１に対応して系統毎に設けられる。
【００２２】
２系統のマイコン１１、２１及びＡＮＤゲート１５、２５の構成は実質的に同一であるため、一方の系統についての説明を、適宜、他方の系統についての説明に援用する。以下の明細書中、注目する１つのマイコンを「自マイコン」とし、自マイコン以外の１つ以上のマイコンを「他マイコン」とする。２系統の構成では、１つの「他マイコン」を「相手マイコン」と言い換えてもよい。
第１マイコン１１のＣＰＵ１２は、２つのＣＡＮコントローラ１３、１４と相互に情報交換可能である。また、ＣＰＵ１２は、ＣＡＮ通信バス６１から受信したデータを用いて制御演算を行う。ＣＡＮコントローラ１３、１４は、それぞれ送信用端子Ｔｘ及び受信用端子Ｒｘを有している。第２マイコン２１についても同様である。
【００２３】
第１マイコン１１のＣＡＮコントローラ１３は、送信用端子Ｔｘ及び受信用端子Ｒｘがそれぞれ主送信ライン１３６及び主受信ライン１３７を介してＣＡＮトランシーバ１６に接続され、第１ＣＡＮトランシーバ１６を介して第１ＣＡＮ通信バス６１と送受信する。
第２マイコン２１のＣＡＮコントローラ２３は、送信用端子Ｔｘ及び受信用端子Ｒｘがそれぞれ主送信ライン２３６及び主受信ライン２３７を介してＣＡＮトランシーバ２６に接続され、第２ＣＡＮトランシーバ２６を介して第２ＣＡＮ通信バス６２と送受信する。
言い換えれば、ＣＡＮトランシーバ１６、２６は、送受信用ＣＡＮコントローラ１３、２３とＣＡＮ通信バス６１、６２との間の通信を中継する。
この構成により、ＣＡＮコントローラ１３、２３は「送受信用ＣＡＮコントローラ」として機能する。
【００２４】
第１マイコン１１のＣＡＮコントローラ１４は、送信用端子ＴｘがＡＮＤゲート１５の一方の入力端子に接続され、受信用端子ＲｘがＡＮＤゲート１５の出力端子に接続されている。ＡＮＤゲート１５の他方の入力端子は、第２系統の主受信ライン２３７に接続されている。
第２マイコン２１のＣＡＮコントローラ２４は、送信用端子ＴｘがＡＮＤゲート２５の一方の入力端子に接続され、受信用端子ＲｘがＡＮＤゲート２５の出力端子に接続されている。ＡＮＤゲート２５の他方の入力端子は、第１系統の主受信ライン１３７に接続されている。
この構成により、ＣＡＮコントローラ１４、２４は、「受信専用ＣＡＮコントローラ」として機能する。
【００２５】
第１マイコン１１及び第２マイコン２１は、ＡＮＤゲート１５、２５から自マイコンの受信専用ＣＡＮコントローラ１４、２４への入力に基づき、他マイコンの通信途絶異常を判定し、故障を検出可能である。
説明の便宜上、他マイコンの故障を検出可能な正常なマイコンを「検出側マイコン」といい、検出側マイコンによる故障検出対象のマイコンを「被検出側マイコン」というように区別する。
実際には、第１マイコン１１及び第２マイコン２１は、いずれも「検出側マイコン」かつ「被検出側マイコン」として機能するが、以下、第１マイコン１１を検出側マイコンとし、第２マイコン２１を被検出側マイコンとして説明する。
【００２６】
検出側の第１マイコン１１では、ＡＮＤゲート１５の一方の入力端子に受信専用ＣＡＮコントローラ１４の送信用端子Ｔｘからの信号が入力される。本明細書では、この信号を「自送信信号」という。また、ＡＮＤゲート１５の他方の入力端子には、被検出側の第２ＣＡＮトランシーバ２６から第２マイコン２１の送受信用ＣＡＮコントローラ２３への伝送信号が入力される。本明細書では、この信号を「他受信信号」という。
ＡＮＤゲート１５は、自送信信号と他受信信号との論理積を演算し、演算結果を受信専用ＣＡＮコントローラ１４の受信用端子Ｒｘに出力する。この演算結果に基づき、検出側第１マイコン１１のＣＰＵ１２は、被検出側第２マイコン２１の通信異常を判定する。
【００２７】
特許文献１（特開２０１１−１３１７１３号公報）に開示されているように、ＣＡＮ通信では、同じＥＣＵ内部の１つのマイコンが送信したデータを他のマイコンが受信した場合、確認応答としてＡＣＫが返信される。
仮にＣＡＮコントローラ１４にＡＮＤゲート１５を設けない場合、他マイコンに対応するＣＡＮトランシーバ２６やＣＡＮ通信バス６２の断線等の故障時にも、送受信用ＣＡＮコントローラ２３の送信メッセージに対してＣＡＮコントローラ１４がＡＣＫを返信してしまう。その結果、ＥＣＵ１０１内の自己ループによって、ＣＡＮトランシーバ２６やＣＡＮ通信バス６２の故障を検出することができなくなる。
【００２８】
ＣＡＮコントローラ１４をＡＮＤゲート１５無しで接続した場合の作用について、図３の表を参照して詳しく説明する。図３の表において、ドミナント出力がＬ（すなわち論理値０）に相当し、レセッシブ出力がＨ（すなわち論理値１）に相当する。
第１マイコン１１が検出側マイコンであり、第２マイコン２１が被検出側マイコンである場合、第２マイコン２１の送受信用ＣＡＮコントローラ２３がメッセージを送信し、第１マイコン１１のＣＡＮコントローラ１４は受信専用として機能する。
【００２９】
ＣＡＮメッセージは、基本的には被検出側からドミナントとレセッシブとの組み合わせで送信される。また、ＡＣＫタイミングには、検出側の受信専用ＣＡＮコントローラ１４がドミナントを出力する。図３には、この３通りのパターンでの下記６項目を示す。
「被検出側送受信用ＣＡＮコントローラ２３の送信用端子Ｔｘ出力」
「検出側受信専用ＣＡＮコントローラ１４の送信用端子Ｔｘ出力」
「被検出側ＣＡＮトランシーバ２６の出力レベル」
「被検出側ＣＡＮ通信バス６２」
「被検出側送受信用ＣＡＮコントローラ２３の受信用端子Ｒｘ認識値」
「受信専用ＣＡＮコントローラ１４の受信用端子Ｒｘ認識値」
【００３０】
図３（ａ）に正常時の作用を示す。正常時には、ＥＣＵ１０１がＣＡＮ通信バス６１、６２に接続し、且つ、ＣＡＮ通信バス６１、６２に他のＥＣＵが接続している。ＡＣＫタイミングにおける被検出側ＣＡＮ通信バス６２の「ドミナント（※１）」は、ＣＡＮ通信バス６２に接続している他のＥＣＵがＣＡＮプロトコルに従ってドミナントレベルを出力することを示している。
通信正常時、送受信用ＣＡＮコントローラ２３は、ＡＣＫタイミングで「Ｌ」を認識する。また、受信専用ＣＡＮコントローラ１４は、ＡＣＫタイミングで「Ｌ」を認識する。
【００３１】
図３（ｂ）に、被検出側のＣＡＮトランシーバ２６又はＣＡＮ通信バス６２の断線を想定した異常時の作用を示す。被検出側ＣＡＮ通信バス６２の「レセッシブ（※２）」は、ＣＡＮ通信バス６２に接続している他のＥＣＵが送信をしていない状態を示している。
通信異常時、送受信用ＣＡＮコントローラ２３は、ＡＣＫタイミングで「Ｈ」を認識し、通信不成立を検出する。一方、受信専用ＣＡＮコントローラ１４は、ＡＣＫタイミングで、正常時と同じ「Ｌ」を認識するため、通信不成立を検出することができない。
【００３２】
このように、ＣＡＮコントローラ１４、２４をＡＮＤゲート１５、２５無しで接続すると、ＡＣＫタイミングで故障検出ができないという問題がある。そこで本実施形態では、ＡＮＤゲート１５、２５を設けることにより、ＣＡＮコントローラ１４、２４を受信専用とする。
つまり、本実施形態における「受信専用ＣＡＮコントローラ」の「受信専用」の本質的な意味は、送信用端子Ｔｘからの送信をしないこと自体ではなく、同一ＥＣＵ内での送信及び受信の自己ループに起因するＡＣＫの返信を防止することである。
【００３３】
次に、検出側マイコンが実行する異常判定処理について、図４、図５のフローチャートを参照して説明する。図４は、異常判定処理全体のメインフローチャートであり、図５は、図４における通信チェックのＳ２０を詳しく記述したサブフローチャートである。以下のフローチャートの説明で、記号Ｓは「ステップ」を示す。
この説明でも、第１マイコン１１を検出側マイコン、第２マイコン２１を被検出側マイコンとする場合を想定する。
【００３４】
図４に示すメインルーチンは、周期的に繰り返し実行される。
Ｓ１では、第１マイコン１１の受信専用ＣＡＮコントローラ１４は、第２マイコン２１への通信データを受信する。
Ｓ２では、第１マイコン１１のＣＰＵ１２は、受信専用ＣＡＮコントローラ１４の受信データに基づく通信チェックを行う。
【００３５】
通信チェックのＳ２１では、「第２マイコン２１のメッセージがメールＢＯＸに格納」されているか否か判断される。つまり、検出側マイコンは、被検出側マイコンが出力するはずのデータの有無を確認し、出力するはずのデータが正常に通信されているか否かを判定する。
Ｓ２１でＹＥＳの場合、ＣＰＵ１２は、Ｓ２２で、「通信ＯＫ」と判定する。
【００３６】
Ｓ２１でＮＯの場合、「別のメッセージがメールＢＯＸに格納」されているか否か判断される。Ｓ２３でＹＥＳの場合、ＣＰＵ１２は、Ｓ２４で、「第２マイコン２１の通信途絶」と判定する。
Ｓ２３でＮＯの場合、ＣＰＵ１２は、Ｓ２５で、「ＣＡＮトランシーバ２６又はＣＡＮ通信バス６２の異常」と判定する。
【００３７】
メインフローチャートに戻り、Ｓ３では、通信チェックの結果、「第２マイコン２１の通信途絶」と判定されたか否か判断される。Ｓ３でＹＥＳ、すなわち、通信チェックでＳ２４に該当した場合、Ｓ４に移行する。
Ｓ４では、異常カウンタのカウント値が規定値に達したか判断する。Ｓ４でＹＥＳの場合、ＣＰＵ１２は、Ｓ５で第２マイコン２１の異常を確定する。
【００３８】
ＥＣＵ１０１は、第２マイコン２１の異常が確定すると、例えば出力停止要求により、第２駆動回路２８の出力を停止し、第１駆動回路１８のみでアクチュエータ８０を駆動するように切り替える。このとき、正常な第１マイコン１１で全てのＣＡＮ通信バス６１、６２のデータを用いた制御を継続することができる。
さらに、正常な第１マイコン１１がマイコン故障情報をＣＡＮ通信バス６１に送信することで、故障部位を外部に通知し、トラブルシューティングに活用することができる。
【００３９】
Ｓ４でＮＯの場合、ＣＰＵ１２は、Ｓ６で異常カウンタのカウント値をインクリメントする。なお、図４中の「＋＋」は、インクリメントを意味する。
一方、Ｓ３でＮＯの場合、Ｓ７に移行する。ＣＰＵ１２は、Ｓ７で異常カウンタのカウント値を０にリセットし、Ｓ８で第２マイコン２１の正常を確定する。
【００４０】
第１実施形態のＥＣＵ１０１による効果について説明する。
（１）第１実施形態のＥＣＵ１０１は、複数のマイコン１１、２１がそれぞれＣＡＮ通信バス６１、６２から同じデータを受信することに注目する。そして、他マイコンがＣＡＮ通信バスに出力する通信データが正常であるか否かを監視することで、他マイコンの故障を検出可能である。したがって、マイコン１１、２１間の通信により相互監視する構成に比べて、他マイコンの故障を効率的に検出することができる。
また、マイコン１１、２１は、他マイコンに対応するＣＡＮトランシーバ１６、２６又はＣＡＮ通信バス６１、６２の故障を検出可能である。
【００４１】
さらにＥＣＵ１０１は、故障したマイコンを特定し、正常マイコンのみでの制御に切り替えることにより、正常に制御を継続することができる。アクチュエータ８０の駆動制御装置の場合、アクチュエータ８０の駆動を適切に継続することができる。また、正常なマイコンが故障情報を外部に通知することで、外部装置と協調した処置が可能となる。
例えば電動パワーステアリング装置９０のように、操舵アシスト機能の維持に関する信頼性の要求の高い装置では、特に有効である。
【００４２】
（２）第１実施形態では、ＡＮＤゲート１５、２５がマイコン１１、２１の外部に設けられる。これにより、実用上、既存のＥＣＵにＡＮＤゲートを追加することで、マイコン自体を変更することなく第１実施形態の構成に改変することが可能である。
【００４３】
（第２実施形態）
第２実施形態について、図６を参照して説明する。
第２実施形態のＥＣＵ１０２は、第１実施形態に対し、ＡＮＤゲート１５、２５の機能をマイコン１１、２１の内部に有する点が異なる。つまり、マイコン１１、２１は、ＡＮＤゲート機能を有する受信専用ＣＡＮコントローラ１４５、２４５を含む。
なお、第１実施形態及び第２実施形態のマイコンは、厳密には構成が異なるものであるが、煩雑になることを避けるため、同一の符号「１１、２１」を付す。
【００４４】
各受信専用ＣＡＮコントローラ１４５、２４５の送信用端子Ｔｘは、他マイコンの主送信ライン２３６、１３６に接続される。各受信専用ＣＡＮコントローラ１４５、２４５の受信用端子Ｒｘは、他マイコンの主受信ライン２３７、１３７に接続される。各マイコン１１、２１は、他マイコンがＣＡＮトランシーバ２６、１６からデータを正常に受信しているか否かを判定する。
なお、この段落以下の各文において２つ並べて記載される符号は、それぞれ１番目同士、２番目同士の符号が対応する。
【００４５】
この構成では、ＣＡＮコントローラ１４５、２４５内部のソフトウェアによってＡＮＤゲート機能が構築され、図示上にＡＮＤゲートの記号は現れない。そこで、図中のＣＡＮコントローラ１４５、２４５に「（受信専用）」と記載する。
なお、ＣＡＮコントローラ１４５、２４５は、見かけ上、送信用端子Ｔｘから他系統の主送信ライン２３６、１３６への送信が可能である。ただし、第１実施形態において上述した通り、「受信専用」の本質的な意味はＡＣＫ返信を防止することであって、送信可能な第２実施形態の構成を排除するものではない。
第２実施形態は、第１実施形態と同等の作用効果を奏する。
【００４６】
（第３実施形態）
第３実施形態について、図７を参照して説明する。
第３実施形態のＥＣＵ１０３は、同じデータが通信される３つのＣＡＮ通信バス６１、６２、６３に接続され、同じデータを用いて冗長的に制御演算を行う３つの制御マイコン１１、２１、３１を備える。つまり、ＥＣＵ１０３は、第１実施形態のＥＣＵ１０１に対し、第３ＣＡＮ通信バス６３に接続され、ＣＰＵ３２を含む第３マイコン３１、及び、第３マイコン３１から指令信号が出力される第３駆動回路３８をさらに含む。
第３実施形態では、１つの自マイコンに対し、２つの他マイコンが存在する。
なお、第１実施形態及び第３実施形態の第１及び第２マイコンは、厳密には構成が異なるものであるが、煩雑になることを避けるため、同一の符号「１１、２１」を付す。
【００４７】
各マイコン１１、２１、３１は、それぞれ、１つの送受信用ＣＡＮコントローラ１３、２３、３３、及び、２つの受信専用ＣＡＮコントローラ１４１、１４２、２４１、２４２、３４１、３４２を有する。また、各マイコン１１、２１、３１の外部には、各受信専用ＣＡＮコントローラ１４１、１４２、２４１、２４２、３４１、３４２に対応する各２つのＡＮＤゲート１５１、１５２、２５１、２５２、３５１、３５２が設けられている。受信専用ＣＡＮコントローラとＡＮＤゲートとの接続構成は、第１実施形態と同様である。
【００４８】
なお、図７では、各受信専用ＣＡＮコントローラ１４１、１４２、２４１、２４２、３４１、３４２の受信用端子Ｒｘに接続される通信線と、それ以外の通信線との交差箇所における跨ぎ線による図示を省略する。その代わり、第１ＣＡＮトランシーバ１６からの主受信ライン１３７、第２ＣＡＮトランシーバ２６からの主受信ライン２３７、及び、第３ＣＡＮトランシーバ３６からの主受信ライン３３７に接続される通信線を、それぞれ一点鎖線、二点鎖線及び細破線で示す。
また、特許請求の範囲における参照符号、及び、［符号の説明］の欄には、煩雑になることを避けるため、第３実施形態に特有の符号の記載を省略する。
【００４９】
例えば第１マイコン１１の一方の受信専用ＣＡＮコントローラ１４１に対応するＡＮＤゲート１５１の一方の端子には、第２ＣＡＮトランシーバ２６から主受信ライン２３７を経由して第２マイコン２１へ出力される他受信信号が入力される。
また、第１マイコン１１の他方の受信専用ＣＡＮコントローラ１４２に対応するＡＮＤゲート１５２の一方の端子には、第３ＣＡＮトランシーバ３６から主受信ライン３３７を経由して第３マイコン３１へ出力される他受信信号が入力される。
これにより、第１マイコン１１は、２つの他マイコンである第２マイコン２１及び第３マイコン３１について、第１実施形態と同様の方式で故障を検出可能である。
【００５０】
同様に、第２マイコン２１は、第１マイコン１１及び第３マイコン３１について故障を検出可能であり、第３マイコン３１は、第２マイコン２１及び第３マイコン３１について故障を検出可能である。このように、３つの制御マイコン１１、２１、３１は、それぞれ正常時に同じデータを用いて制御演算を行い、各駆動回路１８、２８、３８に駆動信号を指令することでアクチュエータ８０を駆動する。また、３つの制御マイコン１１、２１、３１は、他マイコンの故障を互いに検出する。正常な制御マイコンは、故障したマイコンを特定し、対応するＣＡＮ通信バス６１、６２、６３を経由して外部に通知する。
【００５１】
このように第３実施形態は、第１実施形態での２系統冗長ＥＣＵにおける特徴的な技術的思想を、３系統冗長ＥＣＵに展開するものである。同様の技術的思想は、４系統以上の多系統冗長ＥＣＵに対しても同様に拡張可能である。また、第２実施形態によるマイコン内部にＡＮＤゲート機能を有する構成を、３系統以上のＥＣＵに同様に適用してもよい。
【００５２】
（第４実施形態）
第４実施形態について、図８を参照して説明する。
第４実施形態のＥＣＵ１０４は、同じデータが通信される２つのＣＡＮ通信バス６１、６２に接続され、同じデータを用いて冗長的に制御演算を行う２つの制御マイコン１１、２１に加え、さらに「監視マイコン」として第３マイコン４１を備える。すなわち、ＥＣＵ１０４は、第１実施形態のＥＣＵ１０１の構成に加え、さらに第３マイコン４１を備える。
破線で示すように、駆動回路１８、２８と協働してアクチュエータ８０を駆動する駆動回路４８は、設けられてもよいし、設けられなくてもよい。駆動回路４８を設ける場合、第３マイコン４１は、制御演算により生成した駆動信号を駆動回路４８に指令する。
【００５３】
第３マイコン４１は、ＣＰＵ４２の他に、２つの受信専用ＣＡＮコントローラ４４１、４４２を有しており、且つ、送受信用ＣＡＮコントローラを備えていない。
第３マイコン４１の外部には、各受信専用ＣＡＮコントローラ４４１、４４２に対応するＡＮＤゲート４５１、４５２が設けられている。受信専用ＣＡＮコントローラ４４１、４４２とＡＮＤゲート４５１、４５２との接続構成は、第１、第２マイコン１１、２１における受信専用ＣＡＮコントローラ１４、２４とＡＮＤゲート１５、２５との接続構成と同様である。
【００５４】
受信専用ＣＡＮコントローラ４４１に対応するＡＮＤゲート４５１の一方の端子には、第１ＣＡＮトランシーバ１６から第１マイコン１１への出力が主受信ライン１３７を経由して入力される。したがって、第１マイコン１１の故障は、第２マイコン２１及び第３マイコン４１により二重に検出可能である。
受信専用ＣＡＮコントローラ４４２に対応するＡＮＤゲート４５２の一方の端子には、第２ＣＡＮトランシーバ２６から第２マイコン２１への出力が主受信ライン２３７を経由して入力される。したがって、第２マイコン２１の故障は、第１マイコン１１及び第３マイコン４１により二重に検出可能である。
【００５５】
したがって、第１マイコン１１又は第２マイコン２１による他マイコン故障検出機能が失われる異常が発生した場合でも、第３マイコン４１により、第１マイコン１１及び第２マイコン２１の故障を検出することができる。ただし、第３マイコン４１は、自身の演算結果をＣＡＮ通信バス６１、６２に出力しない。
このように、第４実施形態の第３マイコン４１は、「制御マイコン」としての第１、第２マイコン１１、２１とは異なり、他の２つの制御マイコン１１、２１の故障を監視することを主目的とするものであり、「監視マイコン」という。監視マイコンである第３マイコン４１は、駆動回路４８へ駆動信号を指令する機能を有さず、他マイコンの監視のみを実行してもよい。
【００５６】
第４実施形態の例では、２つのＣＡＮ通信バス６１、６２に対し、ＥＣＵ１０４が備える３つのマイコンのうち２つの制御マイコン１１、２１がＣＡＮ通信バス６１、６２と送受信し、それ以外の第３マイコン４１が受信専用の「監視マイコン」として機能する。
第４実施形態に準ずる他の例では、ＥＣＵは、対応するＣＡＮ通信バスの数よりも多いマイコンを備える。例えば、２つのＣＡＮ通信バスに対し、ＥＣＵは、２つの制御マイコン及び２つの監視マイコンの計４つのマイコンを備えてもよい。或いは、３つのＣＡＮ通信バスに対し、ＥＣＵは、３つの制御マイコン及び１つの監視マイコンの計４つのマイコンを備えてもよい。
【００５７】
（その他の実施形態）
本発明は、電動パワーステアリング装置用のＥＣＵに限らず、同じデータが通信される複数のＣＡＮ通信バスに接続される複数の制御マイコンが冗長的に設けられた、いかなる電子制御装置に適用されてもよい。特に、高い信頼性が要求される車両搭載用の電子制御装置等に有効である。
以上、本発明はこのような実施形態に限定されるものではなく、発明の趣旨を逸脱しない範囲において、種々の形態で実施することができる。
【符号の説明】
【００５８】
１０１、１０２、１０３、１０４・・・ＥＣＵ（電子制御装置）、
１１、２１・・・マイコン（制御マイコン）、
１２、２２・・・ＣＰＵ、
１３、２３・・・（送受信用）ＣＡＮコントローラ、
１４、１４５、２４、２４５・・・（受信専用）ＣＡＮコントローラ、
１５、２５・・・ＡＮＤゲート
１６、２６・・・ＣＡＮトランシーバ
４１      ・・・マイコン（監視マイコン）、
６１、６２・・・ＣＡＮ通信バス。
【図１】
2018020678.tif 000003
【図２】
2018020678.tif 000004
【図３】
2018020678.tif 000005
【図４】
2018020678.tif 000006
【図５】
2018020678.tif 000007
【図６】
2018020678.tif 000008
【図７】
2018020678.tif 000009
【図８】
2018020678.tif 000010