(57)【要約】【課題】  異常側ＣＰＵの通知を行うことができ、または、異常側ＣＰＵだけをリセットする。【解決手段】  主ＣＰＵ（１１）の暴走を判定する第１判定手段（１９）、第１判定手段によって主ＣＰＵの暴走が判定された場合に主ＣＰＵをリセットする第１リセット手段（１９）、主ＣＰＵの内部に実装され副ＣＰＵの暴走を判定する第２判定手段（１１ａ）、第２判定手段によって副ＣＰＵの暴走が判定された場合に副ＣＰＵの暴走を外部に通知する第１異常通知手段（２１）、第２判定手段によって副ＣＰＵの暴走が判定された場合に副ＣＰＵをリセットする第２リセット手段（２０）、副ＣＰＵの内部に実装され主ＣＰＵの暴走を判定する第３判定手段（１２ａ）、及び、第３判定手段によって主ＣＰＵの暴走が判定された場合に主ＣＰＵの暴走を外部に通知する第２異常通知手段（２２）を備える。【選択図】  図１
2007328679.tif 000002
【特許請求の範囲】
【請求項１】
同一のプログラムを実行して共通の負荷の動作を制御する主ＣＰＵ及び副ＣＰＵの暴走を監視する多重化ＣＰＵ暴走監視装置において、
前記主ＣＰＵの暴走を判定する第１判定手段と、
前記第１判定手段によって前記主ＣＰＵの暴走が判定された場合に前記主ＣＰＵをリセットする第１リセット手段と、
前記主ＣＰＵの内部に実装され前記副ＣＰＵの暴走を判定する第２判定手段と、
前記第２判定手段によって前記副ＣＰＵの暴走が判定された場合に前記副ＣＰＵの暴走を外部に通知する第１異常通知手段と、
前記第２判定手段によって前記副ＣＰＵの暴走が判定された場合に前記副ＣＰＵをリセットする第２リセット手段と、
前記副ＣＰＵの内部に実装され前記主ＣＰＵの暴走を判定する第３判定手段と、
前記第３判定手段によって前記主ＣＰＵの暴走が判定された場合に前記主ＣＰＵの暴走を外部に通知する第２異常通知手段と
を備えたことを特徴とする多重化ＣＰＵ暴走監視装置。
【請求項２】
前記第１判定手段は、前記主ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該主ＣＰＵの暴走を判定することを特徴とする請求項１記載の多重化ＣＰＵ暴走監視装置。
【請求項３】
前記第２判定手段は、前記副ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該副ＣＰＵの暴走を判定することを特徴とする請求項１記載の多重化ＣＰＵ暴走監視装置。
【請求項４】
前記第３判定手段は、前記主ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該主ＣＰＵの暴走を判定することを特徴とする請求項１記載の多重化ＣＰＵ暴走監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、多重化ＣＰＵ暴走監視装置に関し、例えば、車両におけるブレーキ液圧電磁弁等の重要安全部品の動作を電子的に制御する多重化されたＣＰＵの異常動作の監視に用いて好適な装置に関する。
【背景技術】
【０００２】
今日、自動車等車両の電子制御化はめざましく、エンジン制御や自動変速機制御のみならず、ブレーキ制御や操向制御といった走行安全性に密接に関係する部分についても電子制御化される傾向にある。
【０００３】
なお、「電子制御」とは、一般的にトランジスタ等のハードロジックで構成された制御機能を意味する他、ＣＰＵ（コンピュータ）を主体にしてソフトウェア的に実現された制御機能を意味するが、本明細書における「電子制御」は後者のもの、すなわち、ＣＰＵ等のハードウェアリソースと、適宜に設計されたプログラム等のソフトウェアリソースとの有機的結合によって実現される制御機能のことを意味する。
【０００４】
さて、ＣＰＵを主体にしてソフトウェア的に実現された制御機能においては、信頼性向上のために、複数のＣＰＵで構成された多重化ＣＰＵを採用することがあり、特に、車両におけるブレーキ制御や操向制御といった走行安全性に密接に関係する部分については、その傾向が強い。
【０００５】
図２は、下記の特許文献１に記載された従来の多重化ＣＰＵの構成図である。この図において、二つのＣＰＵ（以下、主ＣＰＵ１と副ＣＰＵ２）は、それぞれ同一のプログラムを実行し、出力論理決定回路３及び駆動回路４を経て、所要の負荷５（例えば、車両におけるブレーキ液圧電磁弁）の動作を制御する。
【０００６】
主ＣＰＵ１及び副ＣＰＵ２は、各々監視回路１ａ、２ａを備えており、それらの監視回路１ａ、２ａの間で定期的又は所定のタイミングで信号の授受を行いながら、相手側のＣＰＵの異常（暴走）を監視する。つまり、相手側のＣＰＵから定期的又は所定のタイミングで信号が得られている間は正常と判定するが、信号が得られなくなったときに相手側のＣＰＵに異常が発生していると判定し、その旨をオアゲート６を介して暴走監視回路７に通知する。
【０００７】
暴走監視回路７は、オアゲート６を介していずれか一方のＣＰＵから異常通知がなされたとき、双方のＣＰＵ（主ＣＰＵ１と副ＣＰＵ２）にリセット信号を加え、それらのＣＰＵ（主ＣＰＵ１と副ＣＰＵ２）をリセットする。
【０００８】
したがって、このような構成によれば、主ＣＰＵ１と副ＣＰＵ２のいずれか一方が暴走した場合に双方のＣＰＵ（主ＣＰＵ１と副ＣＰＵ２）をリセットして暴走状態から復帰させることができる。
【０００９】
【特許文献１】特許第２９０６７８９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、図２の構成にあっては、オアゲート６を介して異常通知の伝達を行っているため、どちらのＣＰＵに異常が発生したかを知る術がなく、事後における故障修理の際に支障を来すという不都合がある。
また、主ＣＰＵ１と副ＣＰＵ２のいずれか一方が暴走した場合に双方のＣＰＵ（主ＣＰＵ１と副ＣＰＵ２）をリセットする仕組みとなっているため、他のＣＰＵが正常に動作しているにもかかわらず、この正常動作のＣＰＵもリセットしてしまうから、例えば、正常側のＣＰＵで故障履歴等を記録できなくなり、この点においても、事後における故障修理の際に支障を来すという不都合がある。
【００１１】
そこで本発明は、異常側ＣＰＵの通知を行うことができ、または、異常側ＣＰＵだけをリセットすることができる多重化ＣＰＵ暴走監視装置を提供することを目的としている。
【課題を解決するための手段】
【００１２】
本発明に係る多重化ＣＰＵ暴走監視装置は、同一のプログラムを実行して共通の負荷の動作を制御する主ＣＰＵ及び副ＣＰＵの暴走を監視する多重化ＣＰＵ暴走監視装置において、前記主ＣＰＵの暴走を判定する第１判定手段と、前記第１判定手段によって前記主ＣＰＵの暴走が判定された場合に前記主ＣＰＵをリセットする第１リセット手段と、前記主ＣＰＵの内部に実装され前記副ＣＰＵの暴走を判定する第２判定手段と、前記第２判定手段によって前記副ＣＰＵの暴走が判定された場合に前記副ＣＰＵの暴走を外部に通知する第１異常通知手段と、前記第２判定手段によって前記副ＣＰＵの暴走が判定された場合に前記副ＣＰＵをリセットする第２リセット手段と、前記副ＣＰＵの内部に実装され前記主ＣＰＵの暴走を判定する第３判定手段と、前記第３判定手段によって前記主ＣＰＵの暴走が判定された場合に前記主ＣＰＵの暴走を外部に通知する第２異常通知手段とを備えたことを特徴とする。
本発明の好ましい態様は、前記第１判定手段は、前記主ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該主ＣＰＵの暴走を判定することを特徴とする。
又は、前記第２判定手段は、前記副ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該副ＣＰＵの暴走を判定することを特徴とする。
又は、前記第３判定手段は、前記主ＣＰＵから定期的又は所定のタイミングで出力される信号に基づいて、該主ＣＰＵの暴走を判定することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、主ＣＰＵが暴走したときには、その暴走が第１判定手段によって判定され、第１リセット手段によって主ＣＰＵがリセットされると同時に、正常側の副ＣＰＵに実装された第３判定手段によって主ＣＰＵの暴走が判定され、第２異常通知手段により、主ＣＰＵの暴走が外部に通知される。
また、副ＣＰＵが暴走したときには、その暴走が第２判定手段によって判定され、第２リセット手段によって副ＣＰＵがリセットされると同時に、第１異常通知手段により、副ＣＰＵの暴走が外部に通知される。
したがって、異常側ＣＰＵの個別的な通知を行うことができると共に、異常側ＣＰＵだけをリセットすることもできる多重化ＣＰＵ暴走監視装置を提供することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態を図面に基づいて説明する。なお、以下の説明における様々な細部の特定ないし実例および数値や文字列その他の記号の例示は、本発明の思想を明瞭にするための、あくまでも参考であって、それらのすべてまたは一部によって本発明の思想が限定されないことは明らかである。また、周知の手法、周知の手順、周知のアーキテクチャおよび周知の回路構成等（以下「周知事項」）についてはその細部にわたる説明を避けるが、これも説明を簡潔にするためであって、これら周知事項のすべてまたは一部を意図的に排除するものではない。かかる周知事項は本発明の出願時点で当業者の知り得るところであるので、以下の説明に当然含まれている。
【００１５】
図１は、本実施形態に係る多重化ＣＰＵ暴走監視装置の構成図である。この図において、多重化ＣＰＵ暴走監視装置１０（以下、単に「暴走監視装置」という）は、主ＣＰＵ１１、副ＣＰＵ１２、主出力部１３、副出力部１４、出力合成部１５、総合出力監視部１６、副出力監視部１７、主出力監視部１８、主ＣＰＵ暴走監視部１９、副ＣＰＵリセット部２０、副ＣＰＵ故障通知部２１、主ＣＰＵ故障通知部２２を含む。なお、主ＣＰＵ１１と副ＣＰＵ１２の“主”及び“副”は、それ自体に何らの意味はなく識別のための単なる接頭語に過ぎない。
【００１６】
主ＣＰＵ１１は、所定のプログラム（例えば、車両におけるブレーキ液圧電磁弁の制御プログラム）を実行して、その実行結果に対応する制御信号を端子Ｏ１を介して主出力部１３に出力し、主出力部１３は、主ＣＰＵ１１からの制御信号に応じた駆動信号を生成して合成出力部１５に出力すると共に、その駆動信号を主出力監視部１８にも出力する。
【００１７】
主出力監視部１８は、主出力部１３からの駆動信号をデジタルの主出力信号に変換し、副ＣＰＵ１２の端子Ｉ１に入力する。
【００１８】
副ＣＰＵ１２は、主ＣＰＵ１１と同一のプログラムを実行して、その実行結果に対応する制御信号を端子Ｏ１を介して副出力部１４に出力し、副出力部１４は、副ＣＰＵ１２からの制御信号に応じたアナログの駆動信号を生成して合成出力部１５に出力すると共に、その駆動信号を副出力監視部１７にも出力する。
【００１９】
副出力監視部１７は、副出力部１４からの駆動信号をデジタルの副出力信号に変換し、主ＣＰＵ１１の端子Ｉ１に入力する。
【００２０】
合成出力部１５は、例えば、ダイオード等の単一方向素子１５ａ、１５ｂを組み合わせて構成されており、主出力部１３と副出力部１４からの駆動信号を合成して、その駆動信号で負荷２３（この場合、ブレーキ液圧電磁弁）を駆動すると共に、その駆動信号を合成出力監視部１６にも出力する。
【００２１】
合成出力監視部１６は、合成出力部１５からの合成駆動信号をデジタルの合成出力信号に変換し、主ＣＰＵ１１の端子Ｉ２に入力する。
【００２２】
主ＣＰＵ１１と副ＣＰＵ１２は、各々監視回路１１ａ、１２ａを備えており、それらの監視回路１１ａ、１２ａで、相手側のＣＰＵから定期的又は所定のタイミングで出力される信号をモニタして相手側のＣＰＵの異常（暴走）を監視する。つまり、相手側のＣＰＵから定期的又は所定のタイミングで信号が得られている間は正常と判定し、信号が得られなくなったときには相手側のＣＰＵに異常が発生していると判定する。なお、相手側のＣＰＵから信号が得られた場合であっても、その信号の内容が正しくないとき、又は、その正しくない状態が所定時間継続するときには、相手側のＣＰＵに異常が発生していると判定してもよい。
【００２３】
ここで、主ＣＰＵ１１の監視回路１１ａで、副ＣＰＵ１２の暴走が判定されたとき、主ＣＰＵ１１の端子Ｏ３から副ＣＰＵリセット部２０に対して、副ＣＰＵ１２のリセットを促す信号が出力される。副ＣＰＵリセット部２０は、この信号に応答して、副ＣＰＵ１２のＲＥＳＥＴ端子をイネーブル状態にして、副ＣＰＵ１２をリセットする。と同時に、主ＣＰＵ１１の端子Ｏ５から副ＣＰＵ故障通知部２１に対して副ＣＰＵ１２の異常通知信号が出力され、副ＣＰＵ故障通知部２１は、運転席等に設けられた副ＣＰＵ故障表示器２４を点灯させて、副ＣＰＵ１２に故障が生じた旨を運転者等に告知する。
【００２４】
一方、主ＣＰＵ１１の端子Ｏ４から主ＣＰＵ暴走監視部１９に対して、定期的又は所定のタイミングで信号が出力されるようになっている。主ＣＰＵ暴走監視部１９は、主ＣＰＵ１１からの信号が入力されている間、主ＣＰＵ１１が正常に動作しているものと判定するが、主ＣＰＵ１１からの信号が入力されなくなったときには、主ＣＰＵ１１に異常（暴走）が発生したものと判定し、主ＣＰＵ１１のＲＥＳＥＴ端子をイネーブル状態にして、主ＣＰＵ１１をリセットする。
【００２５】
このとき、副ＣＰＵ１２の監視回路１２ａにおいても、主ＣＰＵ１１の暴走が判定されるので、副ＣＰＵ１２の端子Ｏ５から主ＣＰＵ故障通知部２２に対して主ＣＰＵ１１の異常通知信号が出力され、主ＣＰＵ故障通知部２２は、運転席等に設けられた主ＣＰＵ故障表示器２５を点灯させて、主ＣＰＵ１１に故障が生じた旨を運転者等に告知する。
【００２６】
次に、作用を説明する。
まず、本実施形態における暴走監視装置１０の監視機能は、「合成出力監視機能」、「副出力監視機能」、「主出力監視機能」、「相互監視機能」及び「主ＣＰＵ暴走監視機能」の５つに分けることができる。以下、各々の監視機能について説明する。
【００２７】
（１）合成出力監視機能：
合成出力監視機能は、合成出力監視部１６と主ＣＰＵ１１とによって実現される機能であり、主ＣＰＵ１１の制御結果と合成出力部１５の合成出力とを照合して、不一致の場合に合成出力の異常を判定する機能である。
【００２８】
この合成出力監視機能の判定結果と、後述の「副出力監視機能」又は「相互監視機能」の判定結果とに基づいて、主ＣＰＵ１１と副ＣＰＵ１２のいずれに異常が発生しているかを判定する。そして、主ＣＰＵ１１に異常が発生している場合には、主ＣＰＵ暴走監視部１９への信号を停止して主ＣＰＵ１１のリセットを促し、又は、副ＣＰＵ１２に異常が発生している場合には、副ＣＰＵリセット部２０に信号を出力して副ＣＰＵ１２のリセットを促す。
【００２９】
あるいは、主ＣＰＵ１１と副ＣＰＵ１２の双方に異常が発生している場合には、主ＣＰＵ暴走監視部１９への信号を停止して主ＣＰＵ１１のリセットを促すと共に、副ＣＰＵリセット部２０に信号を出力して副ＣＰＵ１２のリセットを促す。
【００３０】
（２）副出力監視機能：
副出力監視機能は、副出力監視部１７と主ＣＰＵ１１とによって実現される機能であり、主ＣＰＵ１１の制御結果と副出力部１４の出力とを照合して、不一致の場合に副ＣＰＵ１２異常（誤出力状態）を判定する機能である。
【００３１】
ここで、誤出力状態とは、（ア）信号を出力すべき状態の時に信号が出力されていない状態、又は、（イ）信号を出力すべきでない状態の時に信号が出力されている状態のいずれかを指す。具体的には、（ア）「主出力＝ＯＮ、且つ、副出力＝ＯＦＦ」、又は、（イ）「主出力＝ＯＦＦ、且つ、副出力＝ＯＮ」のいずれかの状態で、各ＣＰＵの自身の出力と相手のＣＰＵの出力の論理が異なっていることをもって異常と判定する。
【００３２】
この副出力監視機能で副ＣＰＵ１２の異常が判定された場合、主ＣＰＵ１１の端子Ｏ３から副ＣＰＵリセット部２０に信号を出力し、副ＣＰＵ１２をリセットすると共に、主ＣＰＵ１１の端子Ｏ３から副ＣＰＵ故障通知部２１に対して、副ＣＰＵ１２の異常を通知する信号を出力する。
【００３３】
（３）主出力監視機能：
主出力監視機能は、主出力監視部１８と副ＣＰＵ１２とによって実現される機能であり、副ＣＰＵ１２の制御結果と主出力部１３の出力とを照合して、不一致の場合に主ＣＰＵ１１異常（誤出力状態）を判定する機能である。
【００３４】
ここで、誤出力状態とは、上記の副出力監視機能の定義と同一である。すなわち、（ア）信号を出力すべき状態の時に信号が出力されていない状態、又は、（イ）信号を出力すべきでない状態の時に信号が出力されている状態のいずれかを指す。具体的には、（ア）「主出力＝ＯＮ、且つ、副出力＝ＯＦＦ」、又は、（イ）「主出力＝ＯＦＦ、且つ、副出力＝ＯＮ」のいずれかの状態で、各ＣＰＵの自身の出力と相手のＣＰＵの出力の論理が異なっていることをもって異常と判定する。
【００３５】
この主出力監視機能で主ＣＰＵ１１の異常が判定された場合、副ＣＰＵ１２の端子Ｏ３から主ＣＰＵ故障通知部２２に対して、主ＣＰＵ１１の異常を通知する信号を出力する。と同時に、主ＣＰＵ１１の異常に伴い、主ＣＰＵ１１の端子Ｏ４から主ＣＰＵ暴走監視部１９に対して信号が入力されなくなるので、主ＣＰＵ暴走監視部１９は、主ＣＰＵ１１のＲＥＳＥＴ端子をイネーブル状態にして、主ＣＰＵ１１をリセットする。
【００３６】
（４）相互監視機能：
この相互監視機能は、主ＣＰＵ１１と副ＣＰＵ１２に各々実装された監視回路１１ａ、１２ａによって実現される。すなわち、主ＣＰＵ１１の監視回路１１ａは、副ＣＰＵ１２からの信号が入力されなくなったときに副ＣＰＵ１２の暴走を判定し、副ＣＰＵ１２の監視回路１２ａは、主ＣＰＵ１１からの信号が入力されなくなったときに主ＣＰＵ１１の暴走を判定する。このように、相手側のＣＰＵの異常を相互に判定することができるので、例えば、主ＣＰＵ１１で副ＣＰＵ１２の暴走を判定した場合には、副ＣＰＵ故障通知部２１を介して運転者等に対して副ＣＰＵ１２の異常を告知することができ、又は、副ＣＰＵ１２で主ＣＰＵ１１の暴走を判定した場合には、主ＣＰＵ故障通知部２２を介して運転者等に対して主ＣＰＵ１１の異常を告知することができる。
【００３７】
（５）主ＣＰＵ暴走監視機能：
この機能は、主ＣＰＵ暴走監視部１９によって実現される機能である。すなわち、主ＣＰＵ暴走監視部１９は、主ＣＰＵ１１の端子Ｏ４から定期的又は所定のタイミングで出力される信号をモニタしており、この信号が入力されなくなったときに、主ＣＰＵ１１に異常が発生したと判定し、主ＣＰＵ１１のＲＥＳＥＴ端子をイネーブル状態にして、主ＣＰＵ１１をリセットする。
【００３８】
以上のとおりであるから、本実施形態においては、主ＣＰＵ１１と副ＣＰＵ１２の異常（暴走）を個別に判定することができ、さらに、その異常側ＣＰＵの通知を行うことができる。このため、どちらのＣＰＵに異常が発生したかを運転者等に対して告知することができるようになり、加えて、正常動作側のＣＰＵをそのままにして異常側のＣＰＵだけをリセットすることができる。したがって、例えば、正常動作側のＣＰＵで、異常側ＣＰＵの告知を運転者に対して行うことができると共に、故障履歴等を残すことも可能となり、事後における故障修理の際の効率化を図ることができるという格別の効果が得られる。
【図面の簡単な説明】
【００３９】
【図１】本実施形態に係る多重化ＣＰＵ暴走監視装置の構成図である。
【図２】従来の多重化ＣＰＵの構成図である。
【符号の説明】
【００４０】
１０  多重化ＣＰＵ暴走監視装置
１１  主ＣＰＵ
１１ａ  監視回路（第２判定手段）
１２  副ＣＰＵ
１２ａ  監視回路（第３判定手段）
１９  主ＣＰＵ暴走監視部（第１判定手段、第１リセット手段）
２０  副ＣＰＵリセット部（第２リセット手段）
２１  副ＣＰＵ故障通知部（第１異常通知手段）
２２  主ＣＰＵ故障通知部（第２異常通知手段）
２３  負荷
【図１】
2007328679.tif 000003
【図２】
2007328679.tif 000004