(57)【要約】【課題】偶然に破壊されたデータによってエラーが有ると判定されることを排除しつつ、メモリに記憶されるデータについてエラーの有無の判定の信頼性を高めることができる。【解決手段】メモリ２は、メモリデータ、メモリデータの重み付けが閾値以上の桁を複製して得られる多数決用データ、メモリデータの重み付けが閾値以上の桁を複製して得られる多数決用データ、並びに、メモリデータ、多数決用データ及び多数決用データに基づいて生成される診断データを記憶する。診断部８は、診断データに基づいて、メモリデータ、多数決用データ及び多数決用データのいずれかに誤りがあることを示す第１エラーの有無を判定する。多数決回路７は、メモリデータの重み付けが閾値以上の桁、多数決用データ、及び多数決用データのそれぞれの桁を比較し、少なくとも１つの桁の値が異なることを示す第２エラーの有無を判定する。【選択図】図１
2017138831.tif 000002
【特許請求の範囲】
【請求項１】
第１データ、前記第１データの重み付けが閾値以上の桁を複製して得られる第２データ、前記第１データの重み付けが前記閾値以上の桁を複製して得られる第３データ、並びに、前記第１データ、前記第２データ及び前記第３データに基づいて生成される誤り検出符号を記憶するメモリと、
前記誤り検出符号に基づいて、前記第１データ、前記第２データ及び前記第３データのいずれかに誤りがあることを示す第１エラーの有無を判定する第１判定部と、
前記第１データの重み付けが前記閾値以上の桁、前記第２データ、及び前記第３データのそれぞれの桁を比較し、少なくとも１つの桁の値が異なることを示す第２エラーの有無を判定する第２判定部と、
を備えることを特徴とする制御装置。
【請求項２】
請求項１に記載の制御装置であって、
前記第２エラーが有ると判定された場合、前記第１データを出力せず、前記第１エラー及び前記第２エラーが無いと判定された場合、並びに、前記第１エラーが有り且つ前記第２エラーが無いと判定された場合に、前記第１データを出力するデータ出力部をさらに備える
ことを特徴とする制御装置。
【請求項３】
請求項２に記載の制御装置であって、
前記第１データの重み付けが前記閾値以上の桁、前記第２データ、及び前記第３データのうち一致する数が最も多いデータを示す多数決決定データを決定する多数決部をさらに備え、
前記データ出力部は、
前記多数決決定データ、及び前記メモリから読み出される前記第１データの重み付けが前記閾値未満の桁から復元される前記第１データを出力する
ことを特徴とする制御装置。
【請求項４】
請求項１に記載の制御装置であって、
前記第１データは、
車載機器の制御に用いられる２進数のスカラー値である
ことを特徴とする制御装置。
【請求項５】
請求項１に記載の制御装置であって、
前記第１エラーが有り且つ前記第２エラーが無いと判定された場合に、
前記第１データの重み付けが前記閾値未満の桁に誤りがあることを示すワーニングを出力するワーニング出力部をさらに備える
ことを特徴とする制御装置。
【請求項６】
請求項１に記載の制御装置であって、
前記重み付けは、
前記第１データの桁が上位になるほど大きい
ことを特徴とする制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置に関する。
【背景技術】
【０００２】
車載用途など高信頼性が要求されるシステムではメモリに格納されたデータの破壊、誤読出しによるシステムの誤動作を回避する為、メモリに格納されたデータのデータ診断機能を備えると共に、データ診断によりデータの破壊、誤読出しが検出された場合、システムを停止する機能を備えているものが一般的である。
【０００３】
一例として、メモリ異常が検出されたときにアシスト制御可能な異常であるかアシスト制御不可能な異常であるかを判定し、アシスト制御不可能な異常である場合にのみアシスト制御を停止し、アシスト制御可能な範囲でアシスト制御をできるだけ継続できるようにした電動パワーステアリング装置が知られている（例えば、特許文献１参照）。
【０００４】
特許文献１（段落〔００２８〕）では、メモリは、アシスト動作とは関係のないデータ等を記憶するメモリ領域と、アシスト制御の影響の少ない補償系のデータ等を記憶するメモリ領域と、アシスト制御の影響の大きいフラグや符号等を記憶するメモリ領域とに区画される。そして、異常が検出されたメモリ領域の異常ビット位置に応じて、制御を継続するか否かが判定される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2009-269501号公開
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１に開示されるような技術では、メモリに記憶されるデータが偶然に破壊された場合にもエラーがあると判定され、偶然に破壊されたデータによるエラーを排除できない。また、メモリに記憶されるデータについてエラーの有無の判定の信頼性を高めたいという要請もあった。
【０００７】
本発明の目的は、偶然に破壊されたデータによってエラーが有ると判定されることを排除しつつ、メモリに記憶されるデータについてエラーの有無の判定の信頼性を高めることができる制御装置を提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明は、第１データ、前記第１データの重み付けが閾値以上の桁を複製して得られる第２データ、前記第１データの重み付けが前記閾値以上の桁を複製して得られる第３データ、並びに、前記第１データ、前記第２データ及び前記第３データに基づいて生成される誤り検出符号を記憶するメモリと、前記誤り検出符号に基づいて、前記第１データ、前記第２データ及び前記第３データのいずれかに誤りがあることを示す第１エラーの有無を判定する第１判定部と、前記第１データの重み付けが前記閾値以上の桁、前記第２データ、及び前記第３データのそれぞれの桁を比較し、少なくとも１つの桁の値が異なることを示す第２エラーの有無を判定する第２判定部と、を備える。
【発明の効果】
【０００９】
本発明によれば、偶然に破壊されたデータによってエラーが有ると判定されることを排除しつつ、メモリに記憶されるデータについてエラーの有無の判定の信頼性を高めることができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施形態を示した構成図である。
【図２】本発明の実施形態における多数決診断、データ診断によるエラー判定結果とデータ出力制御を示す図である。
【図３】比較例の基本構成図である。
【図４】比較例におけるデータ診断によるエラー判定結果とデータ出力制御を示す図である。
【図５】MSB（Most Significant Bit）がデータ重みの大きい場合のデータ重み例を示した構成図である。
【図６】本発明の実施形態におけるメモリデータ部、多数決用データ部のデータ配列例を示した構成図である。
【発明を実施するための形態】
【００１１】
以下、図面を用いて、本発明の実施形態によるメモリデータ診断装置１（制御装置）の構成及び動作について説明する。なお、各図において、同一符号は同一部分を示す。
【００１２】
（比較例）
初めに、図３〜図４を用いて、メモリデータ診断機能を備えた制御装置としてメモリデータ診断装置１の一例（比較例）を示す。図３に示すメモリデータ診断装置１はメモリデータを格納するメモリ２、メモリデータ診断を行う診断部８、データ出力部１１、エラー判定部１２を具備する。
【００１３】
メモリ２はメモリデータを格納するメモリデータ部３と診断データを格納する診断データ部６を具備する。
【００１４】
ここで診断データ部６のデータは、メモリデータ部３に格納するデータ診断を行う目的で予め決めた任意の方法で計算した診断用データを格納し、診断部８は、読出したメモリデータ部３のデータを予め決めた任意の方法で計算した結果と、診断データ部６のデータを照合しデータ診断を行う。
【００１５】
エラー判定部１２は、診断部８の診断結果でエラーが検出された場合、データ出力部１１にエラー信号を送出する。データ出力部１１は、エラー判定部１２からエラー信号を受けなかった場合は、メモリデータ部３から読み出したデータを出力する。エラー判定部１２からエラー信号を受けた場合は、メモリデータ部３から読み出したデータを出力せず、データとして問題の無い例えば初期値を出力し、データ診断の結果であるエラー信号を出力する。
【００１６】
図４は、データ診断結果による、出力データの制御例である。
【００１７】
読出しデータ診断結果にエラーがない場合、エラー信号は出力されず、読出したデータを出力する。読出しデータ診断結果にエラーがある場合は、エラー信号が出力され、読出したデータを出力せず、データとして例えば初期値を出力する。
【００１８】
（本発明の実施形態）
次に、図１〜図２を用いて、本発明の実施形態によるメモリデータ診断装置１（制御装置）の構成及び動作を説明する。
【００１９】
図１は本発明におけるメモリデータ診断装置１の基本構成例である。メモリデータ診断装置１は、データ重みを持つデータを格納するメモリ２、データ重みを持つメモリデータのデータ重みの大きい一部データを多数決判定する多数決回路７、メモリデータの診断を行う診断部８、データ出力部１１、エラー判定部１２を具備する。なお、診断部８、データ出力部１１、エラー判定部１２は、一例として、メモリデータ診断装置１のプロセッサが所定のプログラムを実行することにより実現される。
【００２０】
メモリ２は、データ重みをもつメモリデータを格納するメモリデータ部３とメモリデータ部３に格納されたデータの中でデータ重みの大きいデータを格納する多数決用データ部４および５、メモリデータ部３と多数決用データ部４および５のデータを予め決めた方法で計算したメモリデータ診断用データを格納する診断データ部６を具備する。
【００２１】
換言すれば、メモリ２は、メモリデータ３〔ｉ〕（第１データ）、メモリデータ３〔ｉ〕の重み付けが所定の閾値以上の桁（ビット）を複製して得られる多数決用データ４〔ｉ〕（第２データ）、メモリデータ３〔ｉ〕の重み付けが所定の閾値以上の桁を複製して得られる多数決用データ５〔ｉ〕（第３データ）、並びに、メモリデータ３〔ｉ〕、多数決用データ４〔ｉ〕及び多数決用データ５〔ｉ〕に基づいて生成される診断データ６〔ｉ〕（誤り検出符号）を記憶する。なお、ｉは、配列のインデックスであり、一例として、０、１、２、…である。
【００２２】
メモリデータ３〔ｉ〕（第１データ）は、例えば、車載機器の制御に用いられる２進数のスカラー値である。これにより、車載機器の状態を精密に制御できる。
【００２３】
以下の説明では、一例として、メモリデータ部３は、（ｎ＋ｘ）ビットからなるメモリデータ３〔ｉ〕を記憶し、上位ｎビットは、重み付けが大きく、下位ｘビットは、重み付けが小さいものとする。なお、メモリデータ部３の具体例については、図５〜図６を用いて後述する。
【００２４】
多数決用データ部４および５に格納されるデータは、同じデータで、メモリデータ部３に格納されるデータのデータ重みの大きな一部データと同じデータである。すなわち、多数決用データ部４および５には、メモリデータ部３のデータ重みの大きいnビットと同じデータが格納される。
【００２５】
多数決回路７は、メモリデータ部３のデータ重みの大きいnビットと多数決用データ部４および５に格納されたデータと多数決判定を行いデータ出力部１１に多数決で決定したnビットのデータである多数決決定データ7Aを出力し、メモリデータ部３のnビットと多数決用データ部４および５の多数決判定で少なくとも１ビットの相違を検出した場合、エラー判定部１２にエラー信号９を送出する。
【００２６】
換言すれば、多数決回路７は、メモリデータ３〔ｉ〕（第１データ）の重み付けが所定の閾値以上の桁、多数決用データ４〔ｉ〕（第２データ）、及び多数決用データ５〔ｉ〕（第３データ）のうち一致する数が最も多いデータを示す多数決決定データ７Ａを決定する多数決部として機能する。
【００２７】
また、多数決回路７は、メモリデータ３〔ｉ〕（第１データ）の重み付けが所定の閾値以上の桁、多数決用データ４〔ｉ〕（第２データ）、及び多数決用データ５〔ｉ〕（第３データ）のそれぞれの桁を比較し、少なくとも１つの桁の値が異なることを示す第２エラーの有無を判定する第２判定部として機能する。
【００２８】
これにより、偶然に破壊されたデータ（第１データ、第２データ、又は第３データ）によってエラーが有ると判定されることを排除することができる。
【００２９】
メモリデータ部３のデータ重みの小さいデータxビットはデータ出力部１１に出力される。
【００３０】
診断部８は、読出したメモリデータ部３、多数決用データ部４および５のデータを予め決めた方法で計算した結果と、診断データ部６のデータを照合しデータ診断を行い、エラーを検出した場合、エラー判定部１２にエラー信号１０を送出する。
【００３１】
換言すれば、メモリデータ診断装置１のプロセッサは、診断データ６〔ｉ〕（誤り検出符号）に基づいて、メモリデータ３〔ｉ〕（第１データ）、多数決用データ４〔ｉ〕（第２データ）及び多数決用データ５〔ｉ〕（第３データ）のいずれかに誤りがあることを示す第１エラーの有無を判定する診断部８（第１判定部）として機能する。
【００３２】
診断部８（第１判定部）と多数決回路７（第２判定部）を組み合わせることにより、メモリ２に記憶されるデータについてエラーの有無の判定の信頼性を高めることができる。
【００３３】
エラー判定部１２は、多数決回路７および診断部８の両方からエラー信号を受けなかった場合は、データ異常無しと判定し、エラー信号１４、ワーニング信号１５とも出力せずデータ出力部１１にデータ異常信号１６を出力しない。
【００３４】
エラー判定部１２は、多数決回路７からエラー信号９を受けた場合は、診断部８からのエラー信号１０によらず、データ異常有りと判定し、エラー信号１４を出力し、データ出力部１１にデータ異常信号１６を出力する。
【００３５】
エラー判定部１２は、多数決回路７からエラー信号９を受けず、診断部８からエラー信号１０を受けた場合は、データ異常有るが、データ重みの大きいデータは異常無しと判定し、ワーニング信号１５を出力し、データ出力部１１にデータ異常信号１６を出力しない。
【００３６】
換言すれば、メモリデータ診断装置１のプロセッサは、エラー信号１０に対応する第１エラーが有り且つエラー信号９に対応する第２エラーが無いと判定された場合に、メモリデータ３〔ｉ〕（第１データ）の重み付けが所定の閾値未満の桁に誤りがあることを示すワーニングを出力するワーニング出力部として機能する。
【００３７】
これにより、メモリデータ３〔ｉ〕の重み付けが小さい桁に誤りがあることを報知することができる。
【００３８】
データ出力部１１は、エラー判定部１２からデータ異常信号１６を受けなかった場合は、メモリデータ部３から読み出されたデータ重みの小さいxビットのデータおよび多数決回路７から受けたｎビットのデータを出力する。つまり、データ出力部１１は、（ｎ＋ｘ）ビットのデータを出力する。
【００３９】
換言すれば、メモリデータ診断装置１のプロセッサは、多数決決定データ７Ａ、及びメモリ２から読み出されるメモリデータ３〔ｉ〕（第１データ）の重み付けが所定の閾値未満の桁から復元されるメモリデータ３〔ｉ〕を出力するデータ出力部１１として機能する。
【００４０】
これにより、メモリデータ３〔ｉ〕、多数決用データ４〔ｉ〕、多数決用データ５〔ｉ〕がメモリ２に記憶された後に、これらのうちのいずれかが破壊されたとしてもメモリデータ３〔ｉ〕を復元することができる。
【００４１】
データ出力部１１は、エラー判定部１２からデータ異常信号１６を受けた場合は、メモリデータ部３から読み出されたxビットのデータおよび多数決回路７から受けたnビットのデータを出力せず、動作影響の小さい例えば初期値を出力する。
【００４２】
図２はエラー判定部１２が、データの多数決回路７および診断部８から受けたエラー信号の組合せに対応したメモリデータ出力制御例である。
【００４３】
エラー判定部１２は、多数決回路７および診断部８からエラー信号９又は１０を受けなかった場合、読出しデータに問題無いと判定し、エラー信号１４、ワーニング信号１５とも出力せず、データ出力部１１は、メモリデータを出力する。
【００４４】
エラー判定部１２は、多数決回路７からエラー信号９を受けず、診断部８からエラー信号１０を受けた場合、データに異常あるが、読出しデータのデータ重みの大きなデータには異常無しと判定し、ワーニング信号１５を出力し、データ出力部１１は、メモリデータを出力する。
【００４５】
エラー判定部１２は、多数決回路７からエラー信号９を受けた場合は、診断部８からのエラー信号１０によらず、読出しデータのデータ重みの大きなデータに異常有りと判定し、データ出力部１１は、エラーフラグを出力し、読出しデータを出力せず、データとして問題の無い、例えば初期値を出力する。
【００４６】
換言すれば、メモリデータ診断装置１のプロセッサは、エラー信号９に対応する第２エラーが有ると判定された場合、メモリデータ３〔ｉ〕（第１データ）を出力せず、エラー信号１０に対応する第１エラー及びエラー信号９に対応する第２エラーが無いと判定された場合、並びに、第１エラーが有り且つ第２エラーが無いと判定された場合に、メモリデータ３〔ｉ〕を出力するデータ出力部１１として機能する。
【００４７】
これにより、メモリデータ３〔ｉ〕を用いて、できるだけ車載機器の制御を継続することができる。
【００４８】
次に、図５〜図６を用いて、本発明の実施形態によるメモリデータ診断装置１が診断するメモリデータ部３の一例を具体的に説明する。
【００４９】
図５はデータ重みを持つ１０ビットデータの構成例である。データ重み（重み付け）は、メモリデータ部３に記憶されるメモリデータ３〔ｉ〕（第１データ）の桁が上位になるほど大きい。これにより、メモリデータ３〔ｉ〕の誤差を考慮することができる。
【００５０】
例えばデータ重みを持つデータの精度が±５％の誤差を許容できる場合には、データ重みの重い上位５ビットのデータに異常が無ければ許容可能となり、多数決用データ部４はデータ重みの重い上位５ビットが必要となる。
【００５１】
またデータ重みを持つデータの精度が±１％の誤差を許容できる場合には、データ重みの重い上位７ビットのデータに異状が無ければ許容可能となり、多数決用データ部４はデータ重みの重い上位７ビットが必要となる。
【００５２】
図６はデータ重みの重い上位５ビットを多数決用データ部４とした場合のメモリデータ構成例である。メモリデータ部３および多数決用データ部４、５、診断データ部６を個別格納した構成で本発明は実現可能であるが、同じメモリ内の同じアドレスに格納し一度に読み出す事で格納メモリおよび読出し回路の削減を実現する事が可能である。
【００５３】
以上説明したように、本実施形態によれば、偶然に破壊されたデータ（第１データ、第２データ、又は第３データ）によってエラーが有ると判定されることを排除しつつ、メモリ２に記憶されるデータについてエラーの有無の判定の信頼性を高めることができる。
【００５４】
またデータ重みの重いビットを多数決診断の対象とするため、診断の為に冗長に持たせるデータビット数の抑制が可能となる。
【００５５】
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【００５６】
メモリ２は、ＲＡＭ（Random Access Memory）等の揮発性メモリであってもよいし、ＲＯＭ（Read Only Memory）等の不揮発性メモリであってもよい。
【００５７】
また、制御線や信号線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や信号線を示しているとは限らない。
【００５８】
また、上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、ICカード、SDカード、DVD等の記録媒体に置くことができる。
【００５９】
なお、本発明の実施形態は、以下の態様であってもよい。
【００６０】
（１）二進数情報を格納するメモリと、前記メモリに格納された二進数情報を冗長化し、冗長化された二進数情報を比較して、前記二進数情報のエラーを検出する多数決手段と、前記二進数情報のエラー検出を行う誤り検出手段と、前記多数決手段、前記誤り検出手段によるデータ重みによる判定手段を備えることを特徴とする制御装置。
【００６１】
（２）（１）に記載の制御装置において、前記制御装置は、車載機器を制御する制御装置であり、前記メモリは不揮発性メモリであり、前記二進数情報は、車載機器の制御に用いる、大小を表す二進数データであり、前記多数決手段、または前記誤り検出手段によって前記大小を表す二進数のデータ重みの大きいビットが正常、かつ前記大小を表す二進数のデータ重みの小さいビットがエラーと判定されたときと、前記大小を表す二進数のデータ重みの大きいビットと前記大小を表す二進数のデータ重みの小さいビットがともにエラーと判定されたときとで、フェールセーフ処理を切り替えることを特徴とする制御装置。
【００６２】
（３）（１）に記載の制御装置において、前記二進数情報は大小を表す二進数データであり、前記エラー検出は、前記大小を表す二進数のデータ重みの大きいビットのみ前記多数決手段と前記誤り検出手段双方によるエラー検出を行い、前記大小を表す二進数のデータ重みの小さいビットは前記誤り検出手段のみによるエラー検出を行うことを特徴とする制御装置。
【符号の説明】
【００６３】
１  …メモリデータ診断装置
２  …メモリ
３  …メモリデータ部
３Ａ…メモリデータ部の重み付けが閾値以上の上位ビットの読み出しデータ
３Ｂ…メモリデータ部の重み付けが閾値未満の下位ビットの読み出しデータ
４  …多数決用データ部
４Ａ…多数決用データ部の読み出しデータ
５  …多数決用データ部
５Ａ…多数決用データ部の読み出しデータ
６  …診断データ部
６Ａ…診断用データ
７  …多数決回路
７Ａ…多数決決定データ
８  …診断部
９  …エラー信号（多数決診断エラー信号）
１０…エラー信号（診断エラー信号）
１１…データ出力部
１２…エラー判定部
１３…出力データ
１４…エラー信号（メモリデータ診断エラー信号）
１５…ワーニング信号（メモリデータ診断ワーニング信号）
１６…データ異常信号
【図１】
2017138831.tif 000003
【図２】
2017138831.tif 000004
【図３】
2017138831.tif 000005
【図４】
2017138831.tif 000006
【図５】
2017138831.tif 000007
【図６】
2017138831.tif 000008