(57)【特許請求の範囲】
【請求項１】
アクチュエータを制御する制御信号を生成するメインチャネル及びバックアップチャネルと、前記メインチャネル及び前記バックアップチャネルの故障を検出するチャネル故障検出部と、前記メインチャネルが出力する第１制御信号と前記バックアップチャネルが出力する第２制御信号とを切替えてアクチュエータへの出力インタフェースに出力する切替機構と、を備えた制御コントローラにおいて、
前記切替機構は、前記メインチャネル及び前記バックアップチャネルと前記出力インタフェースとの接続状態を切替えるメインスイッチ及び１つ以上のバックアップスイッチと、前記メインスイッチ及び前記バックアップスイッチの接続状態を切替える切替制御部と、前記メインスイッチ及び前記バックアップスイッチの故障を検出するスイッチ故障検出部と、を有し、
前記バックアップスイッチは、前記第１制御信号が伝達される第１信号線に第３信号線を接続すると共に前記第２制御信号が伝達される第２信号線に第４信号線を接続する接続状態と、前記第１制御信号が伝達される第１信号線に前記第４信号線を接続すると共に前記第２制御信号が伝達される第２信号線に前記第３信号線を接続する接続状態と、を切替えるように構成され、
前記メインスイッチは、前記第３信号線を前記出力インタフェースに接続する接続状態と、前記第４信号線を前記出力インタフェースに接続する接続状態と、を切替えるように構成され、
前記切替機構は、前記切替制御部が前記チャネル故障検出部及び前記スイッチ故障検出部からの故障通知を受け取って前記メインスイッチ及び前記バックアップスイッチの接続状態の切替を行うことにより、前記出力インタフェースに前記第１制御信号又は前記第２制御信号のいずれか一方を出力することを特徴とする制御コントローラ。
【請求項２】
請求項１に記載の制御コントローラにおいて、
前記メインスイッチと前記バックアップスイッチとは直列に接続されていることを特徴とする制御コントローラ。
【請求項３】
請求項２に記載の制御コントローラにおいて、
前記メインスイッチは、３路スイッチ、ＳＰＤＴスイッチ又は２個のＳＰＳＴスイッチで構成され、前記バックアップスイッチは４路スイッチ又は２個のＤＰＤＴスイッチで構成されていることを特徴とする制御コントローラ。
【請求項４】
請求項３に記載の制御コントローラにおいて、
前記メインスイッチ及び前記バックアップスイッチは、１個のＡＳＩＣまたは１個のＦＰＡＧによって構成されることを特徴とする制御コントローラ。
【請求項５】
請求項３に記載の制御コントローラにおいて、
前記メインスイッチ及び前記バックアップスイッチは、機械スイッチ又は半導体スイッチのどちらか一方又は両方によって構成されることを特徴とする制御コントローラ。
【請求項６】
請求項２に記載の制御コントローラにおいて、
前記メインチャネル及び前記バックアップチャネルは、制御信号としてＰＷＭ信号を出力し、
前記スイッチ故障検出部は、前記メインスイッチ及び前記バックアップスイッチから出力されるＰＷＭ信号を監視することにより、前記メインチャネル及び前記バックアップチャネルの故障を検出することを特徴とする制御コントローラ。
【請求項７】
請求項２に記載の制御コントローラにおいて、
前記メインチャネル、前記バックアップチャネル及び前記チャネル故障検出部は、同じ内容を含むＰＷＭ信号を演算し、
前記チャネル故障検出部は、前記メインチャネルから出力されるＰＷＭ信号と、前記バックアップチャネルから出力されるＰＷＭ信号と、自身が演算したＰＷＭ信号とを比較することによって、前記メインチャネル、前記バックアップチャネル又は前記チャネル故障検出部の故障を検知することを特徴とする制御コントローラ。
【請求項８】
請求項２に記載の制御コントローラにおいて、
前記メインチャネル及び前記バックアップチャネルは、演算部がロックステップマイコンで構成され、前記ロックステップマイコン内部に設けられた複数のＣＰＵコアの演算結果を比較することによってＣＰＵコアの異常を検出する異常検出機能を有すると共に、
前記ロックステップマイコン内部のＲＯＭ、ＲＡＭ、アナログ入力、出力の故障を検知するハードウェアの故障診断機能を有し、
前記チャネル故障検出部は、前記メインチャネル及び前記バックアップチャネルが有する前記異常検出機能又は前記故障診断機能を通じて、前記メインチャネル及び前記バックアップチャネルの異常又は故障を検知することを特徴とする制御コントローラ。
【請求項９】
足部に連結された機械装置を駆動するアクチュエータと、前記アクチュエータを制御する制御コントローラとを備えたステアバイワイヤシステムにおいて、
前記制御コントローラとして請求項２に記載の制御コントローラを備えたことを特徴とするステアバイワイヤシステム。
【請求項１０】
移動体ボディと、移動体ボディの移動方向を変える足部と、前記足部に連結された機械装置と、前記機械装置を駆動するアクチュエータ及び前記アクチュエータを制御する制御コントローラを含むステアバイワイヤシステムとを備えた機械において、
前記ステアバイワイヤシステムとして請求項９に記載のステアバイワイヤシステムを備えたことを特徴とする機械。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、操舵装置とステアリングが機械的に連結していないステアバイワイヤシステムなどにおいて、制御系に冗長性を持たせるのに好適な制御コントローラに関する。
【背景技術】
【０００２】
自動車、走行する土工機械、自動走行するロボット或いは無人飛行機などの制御系システムにおいては、電気・電子制御化が進み機能安全対応が必須となっている。特に、故障して操舵不能になった場合の危険性が高いステアリングにおいても、ステアリングバイワイヤ（以下、ステアバイワイヤ）と呼ばれる電気・電子制御化が検討されている。その中で、特開２０１３−０１２３４５号公報（特許文献１）には、制御装置を多重化することで制御の冗長性が得られるようにしたステアバイワイヤ式操舵装置が記載されている。このステアバイワイヤ式操舵装置は、メインモータを切り離しサブモータの回転を伝えて転舵可能なフェールセーフモードとする切替機構と、反力アクチュエータ及びサブモータを制御する第１の制御装置と、メインモータを駆動する第２の制御装置とを有している。さらに、第１の制御装置は、異常時切替指令部を有し、相互故障診断部で第２の制御装置が故障であると診断したときに、切替機構をフェールセーフモードとする（要約参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−２８３１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献1では、切替機構が切替できないという故障をした後に、第１の制御装置が故障すると、第２の制御装置に切替えることができない。すなわち、特許文献１では、切替機構及び第１の制御装置が故障した場合に動作を継続することができない危険側故障になるという場合が想定されていない。そのため、特許文献１のステアバイワイヤ式操舵装置では、切替機構に接続される制御装置の故障に対して冗長化されているという効果に留まる。
【０００５】
制御系システムの機能安全対応を図るには、切替機構内部の切替スイッチを冗長構成とする必要がある。さらに、切替機構の制御を容易とするために、制御系システム内の制御装置を冗長化するのではなく、制御装置内で冗長化することが好ましい。
【０００６】
本発明の目的は、切替機構の内部で切替できないという故障によって、制御系システムが危険側故障になることを低減し、安全側故障割合を向上させることにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明の制御コントローラは、アクチュエータを制御する制御信号を生成するメインチャネル及びバックアップチャネルと、前記メインチャネル及び前記バックアップチャネルの故障を検出するチャネル故障検出部と、前記メインチャネルが出力する第１制御信号と前記バックアップチャネルが出力する第２制御信号とを切替えてアクチュエータへの出力インタフェースに出力する切替機構と、を備えた制御コントローラにおいて、
前記切替機構は、前記メインチャネル及び前記バックアップチャネルと前記出力インタフェースとの接続状態を切替えるメインスイッチ及び１つ以上のバックアップスイッチと、前記メインスイッチ及び前記バックアップスイッチの接続状態を切替える切替制御部と、前記メインスイッチ及び前記バックアップスイッチの故障を検出するスイッチ故障検出部と、を有し、
前記バックアップスイッチは、前記第１制御信号が伝達される第１信号線に第３信号線を接続すると共に前記第２制御信号が伝達される第２信号線に第４信号線を接続する接続状態と、前記第１制御信号が伝達される第１信号線に前記第４信号線を接続すると共に前記第２制御信号が伝達される第２信号線に前記第３信号線を接続する接続状態と、を切替えるように構成され、
前記メインスイッチは、前記第３信号線を前記出力インタフェースに接続する接続状態と、前記第４信号線を前記出力インタフェースに接続する接続状態と、を切替えるように構成され、
前記切替機構は、前記切替制御部が前記チャネル故障検出部及び前記スイッチ故障検出部からの故障通知を受け取って前記メインスイッチ及び前記バックアップスイッチの接続状態の切替を行うことにより、前記出力インタフェースに前記第１制御信号又は前記第２制御信号のいずれか一方を出力する。
【発明の効果】
【０００８】
本発明によれば、切替機構内部の故障を検知し、メインスイッチが故障した場合は、バックアップスイッチによってメインチャネル又はバックアップチャネルへの接続を切替えるので、切替機構内部が故障をしても制御系システムは動作を継続することができる。このため、危険側故障になることを低減し、安全側故障割合を向上させることができる。
【０００９】
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。 
【図面の簡単な説明】
【００１０】
【図１】本発明を車体システム１００のステアバイワイヤシステム１０４に適用した場合の一実施例を示すブロック図である。
【図２】ステアバイワイヤシステム１０４内の制御コントローラ１１４の一実施例を示すブロック図である。
【図３Ａ】メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３の一実施例を示すブロック図である。
【図３Ｂ】ＭＣＵ（マイコン）３０１内に、２つのＣＰＵ（ＣＰＵ＿Ａ，ＣＰＵ＿Ｂ）３１１Ａ，３１１Ｂを設けたロックステップマイコンの一実施例を示すブロック図である。
【図４Ａ】メインスイッチ２１３の一実施例を示す回路図である。
【図４Ｂ】メインスイッチ２１３をＳＰＳＴスイッチで構成した一実施例を示す回路図である。
【図５Ａ】バックアップスイッチ２１４の一実施例を示す回路図である。
【図５Ｂ】バックアップスイッチ２１４をＤＰＤＴスイッチで構成した一実施例を示す回路図である。
【図６】メインスイッチ２１３とバックアップスイッチ２１４との接続の一実施例を示す図であり、両スイッチ２１３，２１４を直列接続した回路図である。
【図７】制御コントローラ１１４におけるメインチャネル２０１及びバックアップチャネル２０２のフローチャートである。
【図８】制御コントローラ１１４の切替制御部２１２のフローチャートである。
【図９】メインスイッチ２１３の別の実施例を示す回路図である。
【発明を実施するための形態】
【００１１】
以下、図面を用いて、本発明に係る実施例を説明する。
【実施例１】
【００１２】
図１は、本発明を車体システム１００のステアバイワイヤシステム１０４に適用した場合の一実施例を示すブロック図である。
【００１３】
ステアバイワイヤシステム１０４は、移動体システム１００の移動体ボディ１００Ａの移動方向を変えるために用いられる装置である。移動体システム１００は、乗用車などの車両や産業機械を含む。産業機械は、ダンプトラックや油圧ショベル等に代表される土工機械及び建設機械を含む。産業機械は、陸上を走行する車両に限らず、飛行機や船舶であってもよい。以下、陸上を走行する移動体システム（車体システム）１００を対象として、説明する。
【００１４】
車体システム１００はステアリングハンドル１０１、機械装置１０２、足部１０３及びステアバイワイヤシステム１０４を備える。ステアリングハンドル１０１、機械装置１０２、足部１０３及びステアバイワイヤシステム１０４は、移動体ボディ（車体）１００Ａ上に設けられている。機械装置１０２及びステアバイワイヤシステム１０４は操舵装置を構成する。
【００１５】
ステアリングハンドル１０１は、例えば、ステアリングホイール、ステアリングレバー、ステアリングバー又はジョイスティックなどのステアリング操作器具であって、センサに対して傾きや速度、加速度などを伝達する。ステアリングハンドル１０１は必ずしも人間が操作する必要はなく、遠隔で操作されたり、人工知能搭載のコントローラから直接操作されても良い。
【００１６】
機械装置１０２は、機械装置に対して動力を伝達するステアリングに関わる装置であって、例えば、ギアやシャフトなどである。
【００１７】
足部１０３は例えば、タイヤである。足部１０３は、タイヤの他に、クローラであってもよい。産業用機械が水上や空を走行する場合は、尾翼のようなものでもよい。すなわち、足部１０３は、走行路面、空気或いは水の抵抗を受けて車体ボディを含む移動体ボディ１００Ａの移動方向を変える装置である。車体システム１００においては、足部１０３は、走行するための走行部を兼ねる。
【００１８】
ステアバイワイヤシステム１０４は、センサ１１１、アクチュエータ１１２、表示器１１３及び制御コントローラ１１４から構成される。
【００１９】
センサ１１１は、ステアリングハンドル１０１から操舵角情報などを取得するものであって、操舵角情報などを制御コントローラ１１４にアナログ信号やＰＷＭ（Ｐｕｌｓｅ  Ｗｉｄｔｈ  Ｍｏｄｕｌａｔｉｏｎ）信号、ＣＡＮ通信などで伝達する。
【００２０】
アクチュエータ１１２は、制御コントローラ１１４からＰＷＭ信号などの電気信号やＣＡＮ通信などで伝達されたストリーム情報によって動作するものであって、例えば、電磁弁やモータである。
【００２１】
表示器１１３は、制御コントローラ１１４からの指示によって、運転手やオペレータなどの人や人工知能などへ情報を伝達する手段である。例えば、ＬＥＤや液晶などの表示パネルや、警報音などを発生する装置でもよい。
【００２２】
制御コントローラ１１４は、センサ１１１からのアナログ信号またはＰＷＭ信号またはＣＡＮ通信などで情報を取得する入力インタフェースをもつ。また、図示はしないが、入力インタフェースには、例えば、エンジンコントローラなどからのエンジン回転数情報など走行に関わる情報が入力されてもよい。
【００２３】
制御コントローラ１１４は、出力インタフェースとして、アクチュエータ１１２を制御する出力インタフェースを有し、例えば、ＰＷＭ信号などの電気信号やＣＡＮ通信を出力して、アクチュエータ１１２を制御する。また、制御コントローラ１１４は、表示器１１３への出力インタフェースを持つ。
【００２４】
図２は、ステアバイワイヤシステム１０４内の制御コントローラ１１４の一実施例を示すブロック図である。
【００２５】
制御コントローラ１１４は、メインチャネル２０１、バックアップチャネル２０２、チャネル故障検出部２０３及び切替機構２０４を備える。図２では、バックアップチャネル２０２は１つしか記載していないが、複数備えていてもよい。
【００２６】
メインチャネル２０１及びバックアップチャネル２０２は、制御コントローラ１１４の外部のセンサ１１１から、アナログ信号やＰＷＭ信号、或いはＣＡＮ通信で伝達される情報などを信号線Ｓ１，Ｓ２を通じて取得する入力インタフェースと、各々のチャネルの内部に備えられたアプリケーション部３２４（図３参照）で同一の計算処理（演算）をして、その計算処理結果をＰＷＭ出力やＣＡＮ通信などで信号線Ｓ４，Ｓ５に出力する出力インタフェースとを有する。メインチャネル２０１及びバックアップチャネル２０２は、アクチュエータ１１２を制御する制御信号を生成する。メインチャネル２０１及びバックアップチャネル２０２から出力されたＰＷＭ出力やＣＡＮ通信などの制御信号は、信号線Ｓ４，Ｓ５を通じて切替機構２０４のバックアップスイッチ２１４に入力される。
【００２７】
ここで、同一の計算処理とは、同一の要求仕様に基づくプログラムであって、まったく同じコードではなくてもよい。例えば、異なるプログラマーによってコーディングされたプログラムであっても良い。
【００２８】
また、アプリケーションプログアムの一部が同一処理であればよく、すべてを同一処理にする必要は無い。
【００２９】
チャネル故障検出部２０３は、メインチャネル２０１及びバックアップチャネル２０２の故障を検知する手段である。例えば、メインチャネル２０１及びバックアップチャネル２０２の各々に、故障を自己診断する機能を設ける。メインチャネル２０１及びバックアップチャネル２０２の各々が故障を自己診断した場合は、信号線Ｓ６，Ｓ７を通じて故障通知をチャネル故障検出部２０３に通知する。
【００３０】
信号線Ｓ６，Ｓ７を通じて行う故障通知は、例えばハートビートのような周期的なパルスを用いて行うと良い。正常時は、各チャネル２０１，２０２からチャネル故障検出部２０３に信号線Ｓ６，Ｓ７を通じて周期的なパルスを通知する。各チャネル２０１，２０２は、故障を自己診断した場合に、周期的なパルスの送信を止める。チャネル故障検出部２０３は、周期的なパルスの送信が停止されたことを検知すると、パルスの送信が停止したメインチャネル２０１又はバックアップチャネル２０２のいずれか、或いはその両方を故障と判定する。周期的なパルスにより各チャネル２０１，２０２が正常であることが通知されるため、故障を通知する信号がＨｉｇｈレベル又はＬｏｗレベルのいずれになった場合でも、チャネル故障検出部２０３は各チャネル２０１，２０２の故障を検知することができる。
【００３１】
チャネル故障検出部２０３は、故障の自己診断機能を有していてもよい。本実施例では、メインチャネル２０１及びバックアップチャネル２０２と同様に、チャネル故障検出部２０３にも故障の自己診断機能を設ける。
【００３２】
故障の自己診断機能を実現するために、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３をロックステップマイコンで構成すると良い。ロックステップマイコンについては、後述する。
【００３３】
チャネル故障検出部２０３は、信号線Ｓ１２を通じて、メインチャネル２０１及びバックアップチャネル２０２うち故障を検知したチャネルを切替制御部２１２に通知する。チャネル故障検出部２０３が故障した場合、切替制御部２１２への故障通知が実行不可能になる場合も考えられる。そこで、チャネル故障検出部２０３から切替制御部２１２へ信号線Ｓ２０，Ｓ２１を接続し、メインチャネル２０１及びバックアップチャネル２０２から信号線Ｓ６，Ｓ７を通じて送られてくる周期的なパルスを切替制御部２１２へ送信するようにしてもよい。信号線Ｓ２０はメインチャネル２０１からの周期的なパルス信号を切替制御部２１２に送信する。信号線Ｓ２１はバックアップチャネル２０２からの周期的なパルス信号を切替制御部２１２に送信する。切替制御部２１は周期的なパルスに基づいてメインチャネル２０１及びバックアップチャネル２０２の故障を検知することができる。
【００３４】
図２では、周期的なパルス信号（ハートビート信号）を送信する信号線Ｓ６，Ｓ７，Ｓ２０，Ｓ２１を破線で示している。切替制御部２１２に故障を通知する信号線Ｓ１２と信号線Ｓ２０，Ｓ２１とは、いずれか一方が設けられていれば良い。チャネル故障検出部２０３の故障に配慮した場合、信号線Ｓ１２と信号線Ｓ２０，Ｓ２１とを併設することが望ましい。単に、メインチャネル２０１及びバックアップチャネル２０２の故障を切替制御部２１２に通知するだけであれば、メインチャネル２０１及びバックアップチャネル２０２からの信号線Ｓ６，Ｓ７を直接切替制御部２１２に接続してもよい。
【００３５】
メインチャネル２０１及びバックアップチャネル２０２の故障を検知する手段は、以下のような手段であってもよい。例えば、メインチャネル２０１及びバックアップチャネル２０２と同様に、チャネル故障検出部２０３は、センサ１１１から、例えばアナログ信号やＰＷＭ信号、或いはＣＡＮ通信で伝達される情報などを、信号線Ｓ３を通じて取得し、内部に備えられたアプリケーション部３２４（図３参照）でメインチャネル２０１及びバックアップチャネル２０２と同一の計算処理（演算）をして、計算処理結果をＰＷＭ出力やＣＡＮ通信などで信号線Ｓ８に出力する。さらに、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３から出力されたＰＷＭ出力やＣＡＮ通信などを信号線Ｓ９，Ｓ１０，Ｓ１１通じてチャネル故障検出部２０３にフィードバックする。
【００３６】
メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３の各々が正常であれば、信号線Ｓ９，Ｓ１０，Ｓ１１を通じてチャネル故障検出部２０３にフィードバックされる各出力の値は同値になる。チャネル故障検出部２０３は、ＰＷＭ出力やＣＡＮ通信などをリアルタイムで比較して、多数決による比較を行う。チャネル故障検出部２０３は、他の２つと異なる値を出力するメインチャネル２０１、バックアップチャネル２０２又はチャネル故障検出部２０３のいずれかを故障であると判定する。すなわち、チャネル故障検出部２０３は、多数決アーキテクチャ（例えば、２  ｏｕｔ  ｏｆ  ３）を用いて、各チャネル２０１，２０２，２０３の故障を検出する。チャネル故障検出部２０３は、故障と判定したチャネル２０１，２０２又は２０３を、信号線Ｓ１２を通じて切替制御部２１２に通知する。
【００３７】
チャネル故障検出部２０３が故障した場合でも、メインチャネル２０１及びバックアップチャネル２０２で制御信号を生成することは可能である。従って、制御コントローラ１１４の動作は継続することができる。そこで、多数決アーキテクチャによりチャネル故障検出部２０３の故障が確認された場合は、フェールセーフモードに移行すると共に、フェールセーフモードへの移行を示すフラグを立てる。そして、表示器１１３に警告を出し、至急の修理を要求する。
【００３８】
切替機構２０４は、メインチャネル２０１が出力する制御信号とバックアップチャネル２０２が出力する制御信号とを切替えて、出力インタフェース２１５に出力するための機構である。出力インタフェース２１５に出力された制御信号は、アクチュエータ１１２へ送られる。
【００３９】
メインチャネル２０１及びバックアップチャネル２０２からチャネル故障検出部２０３への故障通知は、信号線Ｓ６，Ｓ７又は信号線Ｓ９，Ｓ１０のいずれか一方で行うことができる。従って、信号線Ｓ６，Ｓ７と信号線Ｓ９，Ｓ１０とを両方備えている必要はない。しかし、信号線Ｓ６，Ｓ７と信号線Ｓ９，Ｓ１０とを両方備えることにより、信頼性を高めるようにしてもよい。
【００４０】
図３Ａは、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３の一実施例を示すブロック図である。
【００４１】
メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３は、ＭＣＵ３０１、発振回路３０２、電源部３０３、監視部３０４及び外部メモリ３０５を備える。
【００４２】
ＭＣＵ３０１は、Ｍｉｃｒｏ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔであり、いわゆるマイコンである。例えば、ＣＰＵ３１１、ＰＷＭ３１２、ＳＰＩ３１３、Ｉ／Ｏ３１４、Ｔｉｍｅｒ３１５、Ｎｅｔｗｏｒｋ３１６、ＲＡＭ３１７、ＡＤＣ３１８、ＲＯＭ３１９を有する。
【００４３】
また、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３は、外部インタフェースとして、ＡＤＣインタフェース３３１と、Ｎｅｔｗｏｒｋインタフェース３３２、監視部出力インタフェース３３３、ＰＷＭ出力インタフェース３３４を持つ。
【００４４】
なお、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３は必ずしもＭＣＵ３０１を使用して実現する必要はなく、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などで実現しても良い。
【００４５】
ＣＰＵ３１１は、例えば、計算能力を持つ中央演算子であって、ＲＯＭ３１９からプログラムをロードして、ＲＡＭ３１７に展開し、数値計算や情報処理、機器制御などを行う。ＣＰＵ３１１のコアは１つである必要はなく、複数（例えば２つ）のＣＰＵコアで構成されロックステップと呼ばれる機能を有するもの（ロックステップマイコン）であってもよい。
【００４６】
図３Ｂは、ＭＣＵ（マイコン）３０１内に、２つのＣＰＵ（ＣＰＵ＿Ａ，ＣＰＵ＿Ｂ）３１１Ａ，３１１Ｂを設けたロックステップマイコンの一実施例を示すブロック図である。ロックステップマイコンは、複数のＣＰＵコアを有していればよいが、本実施例では、２つのＣＰＵコアを有する場合について説明する。ロックステップは、第１のＣＰＵコア（ＣＰＵ＿Ａ）３１１Ａと第２のＣＰＵコア（ＣＰＵ＿Ｂ）３１１Ｂとに同じ処理（演算）を実行させ、２つのＣＰＵコア３１１Ａ，３１１Ｂの処理結果を比較器３２６で比較してＣＰＵコアの故障（異常）を検出する機能である。すなわち、ロックステップマイコンはＣＰＵコア３１１Ａ，３１１Ｂの異常を検出する異常検出機能を有する。この機能により、故障の自己診断を行うことができる。
【００４７】
ロックステップマイコンは、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３の全てに構成されてもよい。或いは、少なくともメインチャネル２０１及びバックアップチャネル２０２に設けることにより、メインチャネル２０１及びバックアップチャネル２０２の故障検出に利用してもよい。メインチャネル２０１又はバックアップチャネル２０２のいずれか一方にロックステップマイコンを設け、ロックステップマイコンを設けた方の故障検出に利用してもよい。ロックステップマイコンを設けない方の故障検出は、他の手段で行うようにすればよい。メインチャネル２０１及びバックアップチャネル２０２の両方において、故障検出をロックステップマイコン以外の手段で行ってもよい。
【００４８】
ＰＷＭ３１２は、例えば、Ｐｕｌｓｅ  Ｗｉｄｔｈ  Ｍｏｄｕｌａｔｉｏｎ（パルス幅変調）信号を出力する手段である。ＰＷＭ信号はアクチュエータ１１２を制御する信号である。
【００４９】
ＳＰＩ（Ｓｅｒｉａｌ  Ｐｅｒｉｐｈｅｒａｌ  Ｉｎｔｅｒｆａｃｅ）３１３は、例えば、同期式シリアル通信の手段である。外部メモリ３０５と通信できるのであれば、同期式シリアル通信に限らず、非同期シリアル通信でも、パラレル通信でも構わない。
【００５０】
Ｉ／Ｏ３１４は、例えば、汎用的な入出力であって、故障を通知したりする。
【００５１】
Ｔｉｍｅｒ３１５は、例えば、発振回路３０２からクロックを受け取って動作するタイマーであって、カウントやインプットキャプチャ、ＰＷＭの波形生成などを行う。
【００５２】
Ｎｅｔｗｏｒｋ３１６は、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）やＥｔｈｅｒｎｅｔ（登録商標）であって相互接続された機器間のデータ転送を行う。
【００５３】
ＲＡＭ３１７は、例えば、揮発性メモリであって、図示はしないが、ＥＤＣ（エラー検出訂正）などのメモリ故障対策を持っても良い。
【００５４】
ＡＤＣ３１８は、例えば、アナログ信号を１０ｂｉｔ、１２ｂｉｔ、１６ｂｉｔなどのデジタル信号に変換して、ＲＯＭ３１９のプログラムに渡すものである。
【００５５】
ＲＯＭ３１９は、例えば、不揮発性メモリであって、プログラムを格納するメモリである。ＣＲＣ（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｈｅｃｋｉｎｇ）などのメモリ故障対策を持ってもよい。
【００５６】
ＲＯＭ３１９に格納されるプログラムは、ディスパッチ部３２１、入力部３２２、出力部３２３、アプリケーション部３２４、診断部３２５などがある。
【００５７】
ディスパッチ部３２１は、例えば、プロセスまたはタスクと呼ばれるプログラム単位にＣＰＵ３１１の計算能力を割り当てるプログラムを管理するプログラムである。
【００５８】
入力部３２２は、例えば、ＳＰＩ３１３、Ｉ／Ｏ３１４、Ｎｅｔｗｏｒｋ３１６、ＡＤＣ３１８などのインタフェースから情報を取得するプログラムである。
【００５９】
出力部３２３は、ＰＷＭ３１２、ＳＰＩ３１３、Ｉ／Ｏ３１４、Ｎｅｔｗｏｒｋ３１６、などのインタフェースへ情報を渡すプログラムである。
【００６０】
アプリケーション部３２４は、例えば、制御コントローラ１１４の動作を司るプログラムである。メインチャネル２０１のアプリケーションプログラムであったり、バックアップチャネル２０２のアプリケーションプログラムであったり、チャネル故障検出部２０３のアプリケーションプログラムが格納される。
【００６１】
診断部３２５は、例えば、チャネル内のＲＡＭ３１７、ＲＯＭ３１９、Ｉ／Ｏ３１４、外部メモリ３０５、ＡＤＣ（アナログ入力）３１８及びＰＷＭ出力３１２などの故障を、マーチ、ギャルパットなどと呼ばれるメモリ診断機能やダブルＲＡＭ、防衛的プログラミングなどで検出するプログラムである。すなわち、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３は、ＭＣＵ３０１内部のＲＯＭ３１９、ＲＡＭ３１７、アナログ入力（ＡＤＣ３１８）、出力（ＰＷＭ出力３１２）の故障を検知するハードウェアの故障診断機能を有する。診断には、例えば、起動時診断と、ランタイム診断の２種類がある。
【００６２】
発振回路３０２は、例えば、水晶振動子、水晶発振器などのＴＣＸＯやＯＣＸＯ、セシウム発振器、ルビジウム発振器或いはＭＥＭＳ発振器などの発振回路である。発振回路３０２は必ずしも１系統である必要はない。水晶振動子、水晶発振器などのＴＣＸＯやＯＣＸＯ、セシウム発振器、ルビジウム発振器或いはＭＥＭＳ発振器などを適宜組み合わせて２系統以上の発振回路を構成してもよい。これにより、発振回路３０２の信頼性或いは冗長性が向上する。
【００６３】
また、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）などの衛星測位システムから精度の高い時刻を取得してＴｉｍｅｒ３１５の補正を行ったり、基準信号として使用しても良い。
【００６４】
電源部３０３は、図示はしていないが、例えば、外部電源から２４Ｖの直流入力電源を取得して、５Ｖまたは３．３Ｖなどに変換するＤＣＤＣコンバータである。ＬＤＯ（Ｌｏｗ Ｄｒｏｐ Ｏｕｔ）やレギュレータなどで実現しても良い。
【００６５】
電源部は必ずしも１系統である必要はない。上述した電源の他、図示はしていないが、エンジンに設けられた補機で発電された電力を変換した電源、鉛蓄電池、リチウムイオン電池或いは燃料電池を適宜組み合わせて２系統以上の電源を設けてもよい。例えば、メイン電源はリチウムイオン電池で構成し、バックアップ電源は鉛蓄電池というように、電源に多様性を持たせても良い。これにより、電源部３０３の信頼性或いは冗長性が向上する。
【００６６】
監視部３０４は、例えば、低電圧、過電圧、過電流などの電源の異常を監視したり、ＭＣＵ３０１の故障をタイムウィンドウなどで監視する手段である。監視部３０４は、故障を検出した場合、監視部出力インタフェース３３３を介して、チャネル故障検出部２０３に故障を通知する。この故障通知は、監視部出力インタフェース３３３を介して、信号線Ｓ６，Ｓ７（図２参照）に出力される。監視部３０４は、監視を行うために、ウォッチドックタイマを持っていても良い。故障を検出して、安全であると判断される場合はＭＣＵ３０１に対してリセットをかけても良い。
【００６７】
外部メモリ３０５は、例えば、読み書きできるＥＥＰＲＯＭなどの不揮発性のメモリや揮発性メモリＤＲＡＭ、ＳＤＲＡＭである。ＭＣＵ内部のＲＯＭやＲＡＭが足りない場合は外部メモリを使用してよい。外部メモリ３０５には、センサ１１１の校正パラメータや初期値が格納される。
【００６８】
各チャネル２０１，２０２及びチャネル故障検出部２０３は、自己診断で内部の故障を検知して、ＭＣＵ３０１に対して故障を通知する機能を有していても良い。
【００６９】
ＡＤＣインタフェース３３１は、例えば、センサ１１１からの情報を取得し、ＭＣＵ３０１のＡＤＣ３１８へアナログ信号を渡すインタフェースである。
【００７０】
Ｎｅｔｗｏｒｋインタフェース３３２は、例えば、ＣＡＮやＥｔｈｅｒｎｅｔ（登録商標）のインタフェースであって、センサ１１１からの情報を取得したり、アクチュエータ１１２を制御する信号を出力する。
【００７１】
図示はしないが、エンジンコントローラなどからのエンジン回転数情報など走行に関わる情報がＭＣＵ３０１に入力されてもよい。またＭＣＵ３０１は、故障通知を出力しても良い。
【００７２】
なお、Ｎｅｔｗｏｒｋインタフェース３３２は、入出力できるのであれば、例えばＲＳ−２３２Ｃ、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ  Ａｓｙｎｃｈｒｏｎｏｕｓ  Ｒｅｃｅｉｖｅｒ  Ｔｒａｎｓｍｉｔｔｅｒ）、オープンコレクタ（Ｏｐｅｎ  Ｃｏｌｌｅｃｔｏｒ）、ＴＴＬ（Ｔｒａｎｓｉｓｔｏｒ−Ｔｒａｎｓｉｓｔｏｒ  Ｌｏｇｉｃ）、パラレルＩ／Ｆ、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）等でもよい。
【００７３】
監視部出力インタフェース３３３は、例えば、チャネル内の故障検出を外部に通知する手段である。メインチャネル２０１及びバックアップチャネル２０２の場合は、監視部出力インタフェース３３３を介して出力される故障通知は、信号線Ｓ６，Ｓ７（図２参照）に出力され、チャネル故障検出部２０３に対して通知される。
【００７４】
ＰＷＭ出力インタフェース３３４は、Ｐｕｌｓｅ  Ｗｉｄｔｈ  Ｍｏｄｕｌａｔｉｏｎ（パルス幅変調）でアクチュエータ１１２を制御する信号を出力するインタフェースである。メインチャネル２０１及びバックアップチャネル２０２のＰＷＭ出力インタフェース３３４から出力される信号は、信号線Ｓ４，Ｓ５を通じて切替機構２０４のバックアップスイッチ２１４に伝達される。また、メインチャネル２０１及びバックアップチャネル２０２のＰＷＭ出力インタフェース３３４から出力される信号は、信号線Ｓ９，Ｓ１０を通じて、チャネル故障検出部２０３に伝達され、チャネル故障検出部２０３における各チャネル２０１，２０２の故障診断に使用されても良い。
【００７５】
次に、図２を参照して、切替機構２０４について説明する。
【００７６】
切替機構２０４は、メインチャネル２０１が故障した場合は、制御コントローラ１１４からアクチュエータ１１２に信号を出力する出力インタフェース２１５とメインチャネル２０１の出力インタフェース３３４（図３参照）との接続を切断する。さらに、切替機構２０４は、バックアップチャネル２０２の出力インタフェース３３４を制御コントローラ１１４の出力インタフェース２１５に接続する。このように、切替機構２０４は、制御コントローラ１１４の出力インタフェース２１５に対するメインチャネル２０１の出力インタフェース３３４とバックアップチャネル２０２の出力インタフェース３３４との接続を切替えるものである。
【００７７】
切替機構２０４は、スイッチ故障検出部２１１、切替制御部２１２、メインスイッチ２１３及びバックアップスイッチ２１４を備える。
【００７８】
メインスイッチ２１３及びバックアップスイッチ２１４は信号線Ｓ１３,Ｓ１４により直列に接続されている。図２では、メインスイッチ２１３に対してバックアップスイッチ２１４を１つ接続しているが、複数のバックアップスイッチ２１４を接続してもよい。ただし、メインスイッチ２１３に対して複数のバックアップスイッチ２１４を接続する場合も、複数のバックアップスイッチ２１４はメインスイッチ２１３に対して直列に接続される。
【００７９】
スイッチ故障検出部２１１は切替機構２０４の内部のメインスイッチ２１３及びバックアップスイッチ２１４の故障を検知する手段である。このために、バックアップスイッチ２１４の出力（例えば、ＰＷＭ信号）が信号線Ｓ１５,Ｓ１６により、スイッチ故障検出部２１１に入力される。また、メインスイッチ２１３の出力（例えば、ＰＷＭ信号）が信号線Ｓ１７により、スイッチ故障検出部２１１に入力される。スイッチ故障検出部２１１は、メインスイッチ２１３及びバックアップスイッチ２１４から出力される信号を監視し、故障と判断した場合は、信号線Ｓ１８を通じて切替制御部２１２に対して故障を通知する。故障検出には、起動時診断とランタイム診断がある。
【００８０】
切替制御部２１２は、チャネル故障検出部２０３及びスイッチ故障検出部２１１からの故障通知を受け取って、メインスイッチ２１３及びバックアップスイッチ２１４の接続状態の切替を行う。このために、切替制御部２１２からメインスイッチ２１３に信号線Ｓ１９が配線されており、切替制御部２１２からバックアップスイッチ２１４に信号線Ｓ２０が配線されている。メインスイッチ２１３及びバックアップスイッチ２１４は、信号線Ｓ１９，Ｓ２０を通じて切替制御部２１２から制御信号を受け、スイッチの切替えを行う。
【００８１】
切替制御部２１２は、２つ以上のロジック部でＩＣやＡＳＩＣで実現しても良い。また、切替制御部２１２の電源が１系統であるとその電源喪失でメインスイッチ２１３及びバックアップスイッチ２１４の両方が故障してしまう可能性があるので、切替制御部２１２は２系統以上にしておくと良い。切替制御部２１２において電源を２系統以上設けるために、エンジンに設けられた補機で発電される電力を利用する電源、鉛蓄電池、リチウムイオン電池又は燃料電池を利用することができる。例えば、メイン電源はリチウムイオン電池で構成し、バックアップ電源は鉛蓄電池というように、電源に多様性を持たせても良い。
【００８２】
図４Ａは、メインスイッチ２１３の一実施例を示す回路図である。
【００８３】
メインスイッチ２１３は、３路スイッチまたはＳＰＤＴ（Ｓｉｎｇｌｅ  Ｐｏｌｅ、 Ｄｏｕｂｌｅ  Ｔｈｒｏｗ）スイッチで構成される。
【００８４】
メインスイッチ２１３は、３路スイッチまたはＳＰＤＴと同様の接点構成を持つｃ接点リレーで構成してもよい。ｃ接点リレーはa接点とb接点を同時に両方持った構造である。ｃ接点リレー内部のa接点部は通常は開いていて電気が流れず、電気信号により接点がつながり電気が流れる。一方、ｃ接点リレー内部のb接点部は通常は閉じていて電気が流れ、電気信号により接点が離れ電気が流れなくなる。
【００８５】
メインスイッチ２１３は、切替制御部２１２からの制御信号によってスイッチの状態を変化させる。スイッチのメカニズムは機械であっても、半導体であってもよい。半導体の場合はＦＥＴやダイオードであってもよい。また、ＭＥＭＳであってもよい。或いは、メインスイッチ２１３を機械や半導体の様々な特性を組み合わせたハイブリットスイッチで構成してもよい。
【００８６】
ただし、メインスイッチ２１３は、ＰＷＭ信号やＣＡＮ通信などを出力するので、スイッチを通過してもパルス波が大きく変形しないスイッチがよい。
【００８７】
また、一般に機械スイッチは半導体スイッチに比べて故障率が高い。そのため、スイッチを通過してもパルス波が大きく変化しない透過性の良い半導体スイッチであることが好ましい場合がある。また、半導体スイッチは一般に振動に強いので、振動の影響が大きいと考えられる自動車や土工機械、建設機械などでの分野で特に好ましい場合がある。
【００８８】
メインスイッチ２１３は、故障時及び切替時を除くと、２つの状態を持つ。この２つの状態は、例えば、図４Ａに示す（ａ１）の状態と（ａ２）の状態である。すなわち、メインスイッチ２１３は、スイッチの切替操作により、接続状態が第１の接続状態２１３ａ１と第２の接続状態２１３ａ２との間で切替わるスイッチである。第１の接続状態２１３ａ１は接点０と接点１とを接続した状態である。第２の接続状態２１３ａ２は接点０と接点２とを接続した状態である。状態２１３ａ１では、メインスイッチ２１３の端子Ｔ１とＴ０とが接続され、端子Ｔ１に入力された信号が端子Ｔ０に出力される。状態２１３ａ２では、メインスイッチ２１３の端子Ｔ２とＴ０とが接続され、端子Ｔ２に入力された信号が端子Ｔ０に出力される。
【００８９】
図４Ｂは、メインスイッチ２１３をＳＰＳＴスイッチで構成した一実施例を示す回路図である。
【００９０】
半導体スイッチなどで物理的に（ａ１）や（ａ２）の構成を実現することが難しい場合は、図４Ｂに示すように、ＳＰＳＴ（Ｓｉｎｇｌｅ  Ｐｏｌｅ、Ｓｉｎｇｌｅ  Ｔｈｒｏｗ）スイッチを２個使って、メインスイッチ２１３における第１の接続状態２１３ａ１及び第２の接続状態２１３ａ２を（ｂ１）の第１の接続状態２１３ｂ１や（ｂ２）の第２の接続状態２１３ｂ２のように実現しても良い。
【００９１】
第１の接続状態２１３ｂ１は、接点１と接点２とが閉じた状態にあり、接点３と接点４とが開いた状態にある。第１の接続状態２１３ｂ１では、メインスイッチ２１３の端子Ｔ１とＴ０とが接続され、端子Ｔ１に入力された信号が端子Ｔ０に出力される。第２の接続状態２１３ｂ２は、接点１と接点２とが開いた状態にあり、接点３と接点４とが閉じた状態にある。第２の接続状態２１３ｂ２では、メインスイッチ２１３の端子Ｔ２とＴ０とが接続され、端子Ｔ２に入力された信号が端子Ｔ０に出力される。
【００９２】
図５Ａは、バックアップスイッチ２１４の一実施例を示す回路図である。
【００９３】
バックアップスイッチ２１４は、４路スイッチで構成される。バックアップスイッチ２１４は、４路スイッチと同様の接点構成を持つリレーで構成してもよい。バックアップスイッチ２１４は、切替制御部２１２からの制御信号によってスイッチの状態を変化させる。
【００９４】
メインスイッチ２１３と同様にスイッチのメカニズムは機械であっても、半導体であってもよい。半導体の場合にはＦＥＴやダイオードであってもよいし、ＭＥＭＳであってもよい。バックアップスイッチ２１４を、機械や半導体の様々な特性を組み合わせたハイブリットスイッチで構成してもよい。ただし、ＰＷＭ信号やＣＡＮ通信などを出力するので、スイッチを通過してもパルス波が大きく変形しないスイッチがよい。
【００９５】
バックアップスイッチは故障時および切替時を除くと２つの状態を持つ。この２つの状態は、例えば、図５Ａに示す（ａ１）の状態と（ａ２）の状態である。すなわち、バックアップスイッチ２１４は、スイッチの切替操作により、接続状態が第１の接続状態２１４ａ１と第２の接続状態２１４ａ２との間で切替わるスイッチである。第１の接続状態２１４ａ１は、接点５と接点６とが接続され、接点７と接点８とが接続された状態である。第２の接続状態２１４ａ２は、接点５と接点８とが接続され、接点７と接点６とが接続された状態である。
【００９６】
第１の接続状態２１４ａ１では、メインスイッチ２１４の端子Ｔ３とＴ４とが接続され、端子Ｔ３に入力された信号が端子Ｔ４に出力される。また、第１の接続状態２１４ａ１では、端子Ｔ５とＴ６とが接続され、端子Ｔ５に入力された信号が端子Ｔ６に出力される。第２の接続状態２１４ａ２では、メインスイッチ２１４の端子Ｔ３とＴ６とが接続され、端子Ｔ３に入力された信号が端子Ｔ６に出力される。また、第２の接続状態２１４ａ２では、端子Ｔ５とＴ４とが接続され、端子Ｔ５に入力された信号が端子Ｔ４に出力される。
【００９７】
図５Ｂは、バックアップスイッチ２１４をＤＰＤＴスイッチで構成した一実施例を示す回路図である。
【００９８】
半導体スイッチなどで物理的に（ａ１）や（ａ２）の構成を実現することが難しい場合は、図５Ｂに示すように、ＤＰＤＴ（Ｄｏｕｂｌｅ  Ｐｏｌｅ、Ｄｏｕｂｌｅ  Ｔｈｒｏｗ）スイッチを使って、バックアップスイッチ２１４における第１の接続状態２１４ａ１及び第２の接続状態２１４ａ２を（ｂ１）の第１の接続状態２１４ｂ１や（ｂ２）の第２の接続状態２１４ｂ２のように実現しても良い。
【００９９】
第１の接続状態２１４ｂ１は、接点１１と接点１０及び接点１４と接点１３が閉じた状態にあり、接点１１と接点９及び接点１４と接点１２が開いた状態にある。第１の接続状態２１４ｂ１では、バックアップスイッチ２１４の端子Ｔ３とＴ４とが接続され、端子Ｔ３に入力された信号が端子Ｔ４に出力される。また、第１の接続状態２１４ｂ１では、バックアップスイッチ２１４の端子Ｔ５とＴ６とが接続され、端子Ｔ５に入力された信号が端子Ｔ６に出力される。
第２の接続状態２１４ｂ２は、接点１１と接点９及び接点１４と接点１２が閉じた状態にあり、接点１１と接点１０及び接点１４と接点１３が開いた状態にある。第２の接続状態２１４ｂ２では、バックアップスイッチ２１４の端子Ｔ３とＴ６とが接続され、端子Ｔ３に入力された信号が端子Ｔ６に出力される。また、第２の接続状態２１４ｂ２では、バックアップスイッチ２１４の端子Ｔ５とＴ４とが接続され、端子Ｔ５に入力された信号が端子Ｔ４に出力される。
【０１００】
本実施例ではバックアップスイッチ２１４を１つとしているが、バックアップスイッチ２１４が複数個直列に並んでいてもよい。
【０１０１】
図６は、メインスイッチ２１３とバックアップスイッチ２１４との接続の一実施例を示す図であり、両スイッチ２１３，２１４を直列接続した回路図である。
【０１０２】
本実施例では、メインスイッチ２１３にＳＰＤＴスイッチを使用し、バックアップスイッチ２１４にＤＰＤＴスイッチを使用し、ＳＰＤＴスイッチとＤＰＤＴスイッチとを直列に接続している。ＳＰＤＴスイッチとＤＰＤＴスイッチとを直列に接続している構造と同等の構造であるならば、メインスイッチ２１３と、バックアップスイッチ２１４は、１つの半導体で実現していてもよい。また、１つのＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などで実現しても良い。
【０１０３】
図６（ａ）は、メインチャネル２０１及びバックアップチャネル２０２からのＰＷＭ信号をバックアップスイッチ２１４が受け取ってメインスイッチ２１３に渡し、メインスイッチ２１３からメインチャネル２０１のＰＷＭ信号を出力している状態を示している。バックアップチャネル２０２からのＰＷＭ信号はメインスイッチ２１３の後段には出力されない。このために、バックアップスイッチ２１４は、図５Ｂに示す接続状態２１４ｂ１の状態にある。また、メインスイッチ２１３は、図４Ａに示す接続状態２１３ａ１の状態にある。
【０１０４】
図６（ｂ）は、メインチャネル２０１及びバックアップチャネル２０２からのＰＷＭ信号をバックアップスイッチ２１４が受け取ってメインスイッチ２１３に渡し、メインスイッチ２１３からバックアップチャネル２０２のＰＷＭ信号を出力している状態を示している。メインチャネル２０１からのＰＷＭ信号はメインスイッチ２１３の後段には出力されない。このために、バックアップスイッチ２１４は、図５Ｂに示す接続状態２１４ｂ１の状態にある。また、メインスイッチ２１３は、図４Ａに示す接続状態２１３ａ２の状態にある。
【０１０５】
図６（ｃ）は、メインチャネル２０１及びバックアップチャネル２０２からのＰＷＭ信号をバックアップスイッチ２１４が受け取ってメインスイッチ２１３に渡し、メインスイッチ２１３からバックアップチャネル２０２のＰＷＭ信号を出力している状態を示している。メインチャネル２０１からのＰＷＭ信号はメインスイッチ２１３の後段には出力されない。このために、バックアップスイッチ２１４は、図５Ｂに示す接続状態２１４ｂ２の状態にある。また、メインスイッチ２１３は、図４Ａに示す接続状態２１３ａ１の状態にある。なお、図６（ｃ）の状態で、メインスイッチ２１３を接続状態２１３ａ２の状態に切替えることにより、メインチャネル２０１のＰＷＭ信号をメインスイッチ２１３から出力することができる。
【０１０６】
このように、本実施例では、メインチャネル２０１の出力インタフェース及びバックアップチャネル２０２の出力インタフェースの２系統から、バックアップスイッチ２１４へ入力が行われる。バックアップスイッチ２１４では２系統Ｓ１３，Ｓ１４の出力が行われる。メインスイッチ２１３ではバックアップスイッチ２１４の２系統の出力のうち１系統が選択されて出力される。
【０１０７】
次に、本実施例の動作及び処理の一例について説明する。図７は、制御コントローラ１１４におけるメインチャネル２０１及びバックアップチャネル２０２のフローチャートである。
【０１０８】
図７のフローチャートに基づく、メインチャネル２０１、バックアップチャネル２０２及びチャネル故障検出部２０３の動作は、以下の通りである。 
【０１０９】
ステップ７０１：制御コントローラ１１４がＰｏｗｅｒＯＮで起動してスタートする。
【０１１０】
ステップ７０２：起動時診断処理を行う。この起動時診断処理では、監視部３０４が、例えば、低電圧、過電圧、過電流などの電源の異常状態を監視したり、ＭＣＵ３０１の故障をタイムウィンドウなどで監視する。監視部３０４は、故障を検出した場合、監視部出力インタフェース３３３を介して、チャネル故障検出部２０３に故障を通知する。監視部３０４は、ウォッチドックタイマを備えて、故障を検出するようにしてもよい。
【０１１１】
また、診断部３２５が、例えば、チャネル内のＲＡＭ３１７、ＲＯＭ３１９、Ｉ／Ｏ３１４及び外部メモリ３０５などの故障を、マーチ、ギャルパットなどと呼ばれるメモリ診断機能やダブルＲＡＭ、或いは防衛的プログラミングなどで検出する。
【０１１２】
ステップ７０３：メインチャネル２０１、バックアップチャネル２０２又はチャネル故障検出部２０３の故障の有無を判定する。ステップ７０３で故障が検出された場合は、ステップ７１１へ進む。ステップ７０３で故障が検出されない場合は、ステップ７０４へ進む。
【０１１３】
ステップ７０４：初期化処理を行う。この初期化処理では、メインチャネル２０１及びバックアップチャネル２０２は、例えば、外部メモリ３０５から校正パラメータなどを取得して、通常状態に遷移し、故障無し情報をチャネル故障検出部２０３に通知する。また、チャネル故障検出部２０３は、通常状態に遷移し、故障無し情報を切替制御部２１２に通知する。
【０１１４】
ステップ７０５：ディスパッチ部３２１に基づいて、例えば、アプリケーションタスクにＣＰＵ３１１の計算能力を割り当てる。
【０１１５】
ステップ７０６：入力部３２２に基づいて、センサ１１１などの入力インタフェースから情報を取得する。
【０１１６】
ステップ７０７：アプリケーション部３２４に基づいて処理を行う。例えば、センサ１１１の電圧情報を、不揮発性メモリから取得する。
【０１１７】
ステップ７０８：診断部３２５に基づいて処理を行う。例えば、チャネル内のＲＡＭ３１７、ＲＯＭ３１９、Ｉ／Ｏ３１４及び外部メモリ３０５などの故障を、マーチ、ギャルパットなどと呼ばれるメモリ診断機能やダブルＲＡＭ、或いは防衛的プログラミングなどで検出する。
【０１１８】
ステップ７０９：チャネル故障を検出した場合は、ステップ７１２に進む。
【０１１９】
ステップ７１０：出力部３２３に基づいて処理を行う。
【０１２０】
ステップ７１１：ステップ７０３でチャネル故障が検出された場合に、フェールセーフモード又はPower OFFにする。
【０１２１】
ステップ７１２：ステップ７０９でチャネル故障が検出された場合に、フェールセーフモードにする。
【０１２２】
次に、切替機構２０４の動作について説明する。図８は、制御コントローラ１１４の切替制御部２１２のフローチャートである。
【０１２３】
ステップ８０１：制御コントローラ１１４がＰｏｗｅｒＯＮで起動してスイッチ故障検出部２１１による診断をスタートする。
【０１２４】
ステップ８０２：起動時診断では、例えば、メインチャネル２０１およびバックアップチャネル２０２よりテスト信号としてパルス波を出力し、メインスイッチ２１３の出力信号をスイッチ故障検出部２１１に取り込み、メインスイッチ２１３の故障診断を行う。
【０１２５】
ステップ８０３：メインスイッチ２１３に故障がなければ、ステップ８０６に進む。メインスイッチ２１３が例えば、切替できない故障であった場合はステップ８０４に進む。メインスイッチが例えば、導通しない故障であった場合はステップ８０５に進む。
【０１２６】
ステップ８０４：フェールセーフモード処理を行なう。フェールセーフ（０）のフラグを立てて、表示器１１３に対して警告通知を行う。
【０１２７】
ステップ８０５：危険モード処理を行う。例えば、ステアバイワイヤシステムは起動せずに、表示器１１３に対して警告通知を行い、ＥＮＤとする。
【０１２８】
ステップ８０６：バックアップスイッチ２１４に故障がなければ、ステップ８０９に進む。バックアップスイッチ２１４が、例えば切替できない故障であった場合は、ステップ８０７に進む。バックアップスイッチ２１４が、例えば切替できない故障で、かつ、フェールセーフ（０）のフラグが経っている場合は、ステップ８０８に進む。
【０１２９】
ステップ８０７：フェールセーフモード処理を行なう。メインチャネル２０１の故障を検知した場合は、フェールセーフ（１）のフラグを立てて、表示器１１３に対して警告通知を行う。
【０１３０】
ステップ８０８：危険モード処理を行う。例えば、ステアバイワイヤシステムは起動せずに、表示器１１３に対して警告通知を行い、ＥＮＤとする。
【０１３１】
ステップ８０９：メインチャネル２０１及びバックアップチャネル２０２の両方の故障検知を検知した場合は、ステップ８１０に進む。
【０１３２】
ステップ８１０：チャネル故障検出部２０３から表示器１１３に対して警告通知を行って、メインチャネル２０１及びバックアップチャネル２０２は、例えば、Power OFFにする。
【０１３３】
ステップ８１１：ラインタイム時診断処理を行う。
【０１３４】
メインチャネル２０１およびバックアップチャネル２０２が故障していない状態で、且つ、フェールセーフのフラグが立っていない場合、メインスイッチ２１３及びバックアップスイッチ２１４を図６（ａ）の状態にする。
【０１３５】
バックアップチャネル２０２が故障をしているが、メインチャネル２０１が故障していない状態で、且つ、フェールセーフのフラグが立っていない場合、メインスイッチ２１３及びバックアップスイッチ２１４を図６（ａ）の状態にする。
【０１３６】
メインチャネル２０１が故障しているが、バックアップチャネル２０２が故障していない状態で、且つ、フェールセーフのフラグが立っていない場合、メインスイッチ２１３及びバックアップスイッチ２１４を図６（ｂ）の状態にする。
【０１３７】
メインチャネル２０１が故障をしているが、バックアップチャネル２０２が故障していない状態で、且つ、フェールセーフ（０）のフラグが立っている場合は、切替制御部２１２を経由して、バックアップスイッチ２１４を切替えて、図６（ｃ）の状態にする。
【０１３８】
メインチャネル２０１およびバックアップチャネル２０２が故障をしていない状態で、且つ、フェールセーフ（０）のフラグが立っている場合は、メインスイッチ２１３及びバックアップスイッチ２１４を図６（ｃ）の状態にする。
【０１３９】
次に、本実施例の作用または効果について説明する。
【０１４０】
切替機構２０４の内部に故障検出手段がなく冗長化されていない場合は、ｃ接点が１つであるので、ｃ接点部分の故障モードが、例えば、閉じない場合と、開かない場合と仮定すると、ｃ接点部分のどちらの故障モードによっても、メインチャネル又はバックアップチャネルへの接続の切替が成功しないので安全側故障割合は０％であると考えられる。
【０１４１】
本実施例では、切替機構２０４の内部の故障を検出し、かつスイッチはメインスイッチ２１３とバックアップスイッチ２１４とが直列に接続されて、切替機構２０４の部品点数が増えており、故障率は高まる可能性がある。例えば、図６の例において、メインスイッチ２１３はｃ接点が１つ、バックアップスイッチ２１４はｃ接点が２つと見なせるので、ｃ接点部分は３つとなりｃ接点部分の故障率は約３倍となる。
【０１４２】
しかし、本実施例では、危険側故障率が下がるため安全性は向上する。ｃ接点の故障モードの割合が、例えば、閉じない場合５０％と、開かない場合５０％と仮定すると、メインスイッチ２１３のｃ接点部分の開かない場合５０％の故障モードはバックアップスイッチ２１４の切替えによって、メインチャネル又はバックアップチャネルへの接続を維持することができるので、安全側故障と見なすことができる。
【０１４３】
図６の例において、バックアップスイッチ２１４の２つのｃ接点のうちの１つの故障モードは、閉じない場合と開かない場合のどちらの故障をしても、バックアップスイッチ２１４のもう１つのｃ接点とメインスイッチ２１３のｃ接点が故障していなければ、メインチャネル又はバックアップチャネルへの接続を維持することができるので安全側故障がほぼ１００％と見なすことができる。
【０１４４】
よって、スイッチのｃ接点部分の故障率は約３倍となってしまっても、安全側故障割合を約８３％に向上させることが可能であり、切替機構２０４の安全側故障割合が向上する。従って、機能安全の観点では高いＳＩＬ（安全度水準）の達成が容易になる。
【０１４５】
半導体スイッチで、ｃ接点の故障モードの割合を、閉じない場合５０％と、開かない場合５０％と仮定できない場合も、一般に、ショートの原因は過電圧による絶縁破壊であり、オープンの原因は過電流による導通の破断である。開かないという故障は絶縁破壊とすれば、メインスイッチ２１３の絶縁破壊の故障はバックアップスイッチ２１４を切替えることにより対応できるので、安全側故障割合は従来に比べて向上すると考えられる。
【０１４６】
また、本実施例では、バックアップスイッチ２１４を４路スイッチ又はＤＰＤＴスイッチで構成し、その後段に３路スイッチ又はＳＰＤＴスイッチで構成されるメインスイッチ２１３を直列に接続している。このような構成おいては、メインスイッチ２１３とバックアップスイッチ２１４との故障により、メインチャネル２０１の出力とバックアップチャネル２０２の出力とが同時に制御コントローラ１１４の出力インタフェース２１５に接続される状態となる確率を低減することができる。これにより、本実施例では、メインスイッチ２１３及びバックアップスイッチ２１４を通じて、アクチュエータ１１２に正確な制御信号（情報）を伝達することができる。この作用効果は、実施例２についても同様である。
【実施例２】
【０１４７】
本実施例は、実施例１におけるメインスイッチ２１３の故障において、切替られない故障の故障率を低減するためのものである。
【０１４８】
本実施例では、図１〜図３、図５Ａ、図５Ｂ、図７及び図８で説明した構成及び動作が適用される。変更があるメインスイッチ２１３について、図９を参照して説明する。
【０１４９】
図９は、メインスイッチ２１３の別の実施例を示す回路図である。図９における端子Ｔ０〜Ｔ２は、図４Ａ及び図４Ｂに示した端子Ｔ０〜Ｔ２と同じ構成である。
【０１５０】
本実施例のメインスイッチ２１３は、第１のメインスイッチ部２１３ｃ１と第２のメインスイッチ部２１３ｃ２とで構成されている。第１のメインスイッチ部２１３ｃ１及び第２のメインスイッチ部２１３ｃ２は、それぞれ２つのＳＰＳＴ（Ｓｉｎｇｌｅ  Ｐｏｌｅ、Ｓｉｎｇｌｅ  Ｔｈｒｏｗ）スイッチを組合せて構成されている。
【０１５１】
第１のメインスイッチ部２１３ｃ１は、接点１５と接点１６を有する第１のＳＰＳＴスイッチ５１と、接点１７と接点１８を有する第２のＳＰＳＴスイッチ５２とで構成されている。第１のＳＰＳＴスイッチ５１の接点１５と第２のＳＰＳＴスイッチ５２の接点１７とは、共に端子Ｔ１に接続されている。第１のＳＰＳＴスイッチ５１の接点１６と第２のＳＰＳＴスイッチ５２の接点１８とは、共に端子Ｔ０に接続されている。
【０１５２】
第２のメインスイッチ部２１３ｃ２は、接点１９と接点２０を有する第３のＳＰＳＴスイッチ５３と、接点２１と接点２２を有する第４のＳＰＳＴスイッチ５４とで構成されている。第３のＳＰＳＴスイッチ５３の接点１９と第４のＳＰＳＴスイッチ５４の接点２１とは、共に端子Ｔ２に接続されている。第３のＳＰＳＴスイッチ５３の接点２０と第４のＳＰＳＴスイッチ５４の接点２２とは、共に端子Ｔ０に接続されている。
【０１５３】
本実施例のメインスイッチ２１３は、故障時および切替時を除くと、（ｃ１）と（ｃ２）の２つの状態である。（ｃ１）では、第１のメインスイッチ部２１３ｃ１の第１のＳＰＳＴスイッチ５１及び第２のＳＰＳＴスイッチ５２は共に導通状態２１３ｃ１１である。また、第２のメインスイッチ部２１３ｃ２の第３のＳＰＳＴスイッチ５３及び第４のＳＰＳＴスイッチ５４は共に切断状態２１３ｃ２２である。第１のメインスイッチ部２１３ｃ１及び第２のメインスイッチ部２１３ｃ２の内部は２重化され、冗長化されている。
【０１５４】
（ｃ２）では、第１のメインスイッチ部２１３ｃ１の第１のＳＰＳＴスイッチ５１及び第２のＳＰＳＴスイッチ５２は共に切断状態２１３ｃ１２である。また、第２のメインスイッチ部２１３ｃ２の第３のＳＰＳＴスイッチ５３及び第４のＳＰＳＴスイッチ５４は共に導通状態２１３ｃ２１である。
【０１５５】
例えば、図９（ｃ２）において、第２のメインスイッチ部２１３ｃ２の２つのスイッチ５３，５４のうち１つが閉じないという故障が生じた場合でも、もう一方のスイッチが閉じれば、危険側故障率を低減することができる。
【０１５６】
以上の説明では、ステアバイワイヤシステムについて説明したが、危険側故障率を低減する必要のある情報通信システムも応用することができる。
【０１５７】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【０１５８】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【０１５９】
また、図面における制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１６０】
１００…移動体システム（車体システム）、１００Ａ…移動体ボディ（車体ボディ）、１０１…操舵装置、１０２…機械装置、足部１０３、ステアバイワイヤシステム１０４、１１１…センサ、１１２…アクチュエータ、１１３…表示器、１１４…制御コントローラ、２０１…メインチャネル、２０２…バックアップチャネル、２０３…チャネル故障検出部、２０４…切替機構、２１１…スイッチ故障検出部、２１２…切替制御部、２１３…メインスイッチ、２１４…バックアップスイッチ、３０１…ＭＣＵ、３０２…発振回路、３０３…電源部、３０４…監視部、３０５…外部メモリ、３１１…ＣＰＵ、３１２…ＰＷＭ、３１３…ＳＰＩ、３１４…Ｉ／Ｏ、３１５…Ｔｉｍｅｒ、３１６…Ｎｅｔｗｏｒｋ、３１７…ＲＡＭ、３１８…ＡＤＣ、３１９…ＲＯＭ。
【図１】
0006378119.tif 000002
【図２】
0006378119.tif 000003
【図３Ａ】
0006378119.tif 000004
【図３Ｂ】
0006378119.tif 000005
【図４Ａ】
0006378119.tif 000006
【図４Ｂ】
0006378119.tif 000007
【図５Ａ】
0006378119.tif 000008
【図５Ｂ】
0006378119.tif 000009
【図６】
0006378119.tif 000010
【図７】
0006378119.tif 000011
【図８】
0006378119.tif 000012
【図９】
0006378119.tif 000013