(57)【要約】      （修正有）【課題】製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御する。【解決手段】制御装置１００は、主制御部１０が生成して出力するクロック信号に基づいて主制御部の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部の動作に異常が発生したことを示す異常検出信号ＡＤを出力する第１のウオッチドックタイマー部ＷＴ１と、第１のウオッチドックタイマー部から異常検出信号が出力されていない通常状態では、主制御部から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送し、一方、第１のウオッチドックタイマー部から異常検出信号が出力された異常状態では、主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断する伝送遮断部ＴＢと、異常検出信号に応じて、第１の負荷を冗長制御信号ＲＳにより制御する冗長処理部ＲＰと、を備える。【選択図】図１
2017228159.tif 000002
【特許請求の範囲】
【請求項１】
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、
前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、
前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、
前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、
前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備える
ことを特徴とする制御装置。
【請求項２】
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷の動作が停止するように前記冗長制御信号により制御する
ことを特徴とする請求項２に記載の制御装置。
【請求項４】
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態で前記第１の負荷に対して実行する制御内容よりも少ない制御内容で、前記冗長制御信号により制御する
ことを特徴とする請求項２に記載の制御装置。
【請求項５】
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断した場合には、前記主制御信号を遮断したことを示す遮断情報信号を、前記主制御部に出力する
ことを特徴とする請求項２に記載の制御装置。
【請求項６】
前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部に異常が発生したとして、前記主制御部の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部をさらに備える
ことを特徴とする請求項５に記載の制御装置。
【請求項７】
前記主制御部は、
前記リセット信号によりその動作がリセットされて前記異常状態から前記通常状態に復帰した場合には、前記伝送遮断部が前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送するように前記伝送遮断部の設定を戻すとともに、前記冗長処理部に前記冗長制御信号の出力を停止させる
ことを特徴とする請求項６に記載の制御装置。
【請求項８】
前記主制御部は、
前記遮断情報信号に応じて、前記主制御部自体の動作を停止することを特徴とする請求項１に記載の制御装置。
【請求項９】
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号が前記駆動回路に論理的に伝送しないように遮断する
ことを特徴とする請求項１に記載の制御装置。
【請求項１０】
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号の前記駆動回路への伝送路を回路的に遮断することを特徴とする請求項１に記載の制御装置。
【請求項１１】
前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する冗長電源と、
前記主制御部に、前記主制御部が駆動するための電力を供給する電源回路と、を備え、
前記電源回路が故障した場合には、前記冗長電源から前記主制御部に、前記主制御部が駆動するための電力を供給し、
一方、前記冗長電源が故障した場合には、前記電源回路から前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する
ことを特徴とする請求項１に記載の制御装置。
【請求項１２】
前記第１の負荷とは異なる第２の負荷の動作を制御するとともに、前記主制御部と通信するＥＣＵをさらに備え、
前記ＥＣＵは、
前記主制御部との通信により前記主制御部に異常が発生したことを検出した場合には、前記第１の負荷の動作に関連する前記第２の負荷の動作を停止させる
ことを特徴とする請求項１に記載の制御装置。
【請求項１３】
前記第１の負荷は、モーター、ソレノイド、ランプ、又は、リレーの少なくともの何れか１つ以上であることを特徴とする請求項１に記載の制御装置。
【請求項１４】
前記制御装置は、二輪車に積載され、前記第１の負荷は、前記二輪車に積載された車載機器である
ことを特徴とする請求項１２に記載の制御装置。
【請求項１５】
前記第１及び第２のウオッチドックタイマー部は、前記主制御部が出力する前記クロック信号を監視し、前記主制御部の動作状態に異常が発生した場合には、前記第１のウオッチドックタイマー部により前記主制御部の前記主制御信号の出力を制御する
ことを特徴とする請求項６に記載の制御装置。
【請求項１６】
前記伝送遮断部は、
スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチのいずれかである
ことを特徴とする請求項１に記載の制御装置。
【請求項１７】
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備えた制御装置の制御方法であって、
前記冗長処理部により、前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする制御装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置、および制御装置の制御方法に関する発明である。
【背景技術】
【０００２】
従来の制御装置には、負荷を制御するＣＰＵと、このＣＰＵが出力するクロック信号を監視するウオッチドックタイマー回路と、このウオッチドックタイマー部が出力するリセット信号を監視するワンショットタイマー回路と、を備えるものが知られている（例えば、特許文献１参照）。当該制御装置のＣＰＵが何等かの異常で暴走してウオッチドックタイマー回路がリセット信号を出力すると、ワンショットタイマー回路が該リセット信号に基づいて信号を出力する。そして、このワンショットタイマー回路が出力する信号に応じてＣＰＵの出力を禁止して、当該制御装置の誤動作を防ぐようになっている。  
このような従来技術として、例えば、制御装置１００Ａ（図２）では、電源回路Ｓが出力する電力でＣＰＵである主制御部１０が起動し、この主制御部１０のクロック信号をウオッチドックタイマー回路ＷＴが監視する。そして、ワンショットタイマー回路ＴＣは、ウオッチドックタイマー回路ＷＴのリセット信号を監視し、該リセット信号に応じて所定の信号を出力する。そして、出力禁止論理回路ＲＣは、ワンショットタイマー回路ＴＣが該リセット信号に応じて出力した信号に基づいて、主制御部１０の信号の出力を禁止する。この場合、この制御装置１００Ａでは、主制御部１０に異常が発生した異常状態では、駆動回路ＤＣを介した負荷Ｌの制御を完全に停止してしまうこととなる。
【０００３】
このため、制御装置１００Ａを適用するアプリケーションによっては、フォールトトレラントとならず、負荷Ｌに対する異常状態の対応として問題がある可能性がある。
【０００４】
また、制御装置１００Ａに別の主制御部（図示せず）を追加して２重の主制御部構成とすることで、異常状態ではない主制御部で継続して負荷Ｌの制御を引継ぐことができるが、制御装置１００Ａの製造コストが増加する問題がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】昭和６４−６１８３０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
そこで、本発明は、上記問題に鑑みてなされたものであり、追加の主制御部を設けないことで製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御することが可能な制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一態様に係る実施例に従った制御装置は、
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、
前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、
前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、
前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、
前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備える
ことを特徴とする。
【０００８】
前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする。
【０００９】
前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷の動作が停止するように前記冗長制御信号により制御する
ことを特徴とする。
【００１０】
前記制御装置において、
前記冗長処理部は、
前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態で前記第１の負荷に対して実行する制御内容よりも少ない制御内容で、前記冗長制御信号により制御する
ことを特徴とする。
【００１１】
前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断した場合には、前記主制御信号を遮断したことを示す遮断情報信号を、前記主制御部に出力する
ことを特徴とする。
【００１２】
前記制御装置において、
前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部に異常が発生したとして、前記主制御部の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部をさらに備える
ことを特徴とする。
【００１３】
前記制御装置において、
前記主制御部は、
前記リセット信号によりその動作がリセットされて前記異常状態から前記通常状態に復帰した場合には、前記伝送遮断部が前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送するように前記伝送遮断部の設定を戻すとともに、前記冗長処理部に前記冗長制御信号の出力を停止させる
ことを特徴とする。
【００１４】
前記制御装置において、
前記主制御部は、
前記遮断情報信号に応じて、前記主制御部自体の動作を停止することを特徴とする。
【００１５】
前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号が前記駆動回路に論理的に伝送しないように遮断する
ことを特徴とする。
【００１６】
前記制御装置において、
前記伝送遮断部は、
前記主制御部から出力される前記主制御信号の前記駆動回路への伝送路を回路的に遮断することを特徴とする。
【００１７】
前記制御装置において、
前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する冗長電源と、
前記主制御部に、前記主制御部が駆動するための電力を供給する電源回路と、を備え、
前記電源回路が故障した場合には、前記冗長電源から前記主制御部に、前記主制御部が駆動するための電力を供給し、
一方、前記冗長電源が故障した場合には、前記電源回路から前記冗長処理部および前記伝送遮断部に、前記冗長処理部および前記伝送遮断部が駆動するための電力を供給する
ことを特徴とする。
【００１８】
前記制御装置において、
前記第１の負荷とは異なる第２の負荷の動作を制御するとともに、前記主制御部と通信するＥＣＵをさらに備え、
前記ＥＣＵは、
前記主制御部との通信により前記主制御部に異常が発生したことを検出した場合には、前記第１の負荷の動作に関連する前記第２の負荷の動作を停止させる
ことを特徴とする。
【００１９】
前記制御装置において、
前記第１の負荷は、モーター、ソレノイド、ランプ、又は、リレーの少なくともの何れか１つ以上であることを特徴とする。
【００２０】
前記制御装置において、
前記制御装置は、二輪車に積載され、前記第１の負荷は、前記二輪車に積載された車載機器である
ことを特徴とする。
【００２１】
前記制御装置において、
前記第１及び第２のウオッチドックタイマー部は、前記主制御部が出力する前記クロック信号を監視し、前記主制御部の動作状態に異常が発生した場合には、前記第１のウオッチドックタイマー部により前記主制御部の前記主制御信号の出力を制御する
ことを特徴とする。
【００２２】
前記制御装置において、
前記伝送遮断部は、
スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチのいずれかである
ことを特徴とする。
【００２３】
本発明の一態様に係る実施例に従った制御装置の制御方法は、
第１の負荷への電源供給又は前記第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、前記主制御部が出力する前記主制御信号に基づいて、前記第１の負荷を駆動する駆動回路と、前記主制御部が生成して出力するクロック信号に基づいて前記主制御部の動作状態を監視し、前記クロック信号が予め設定された周期で出力されない場合には、前記主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、前記第１のウオッチドックタイマー部から前記異常検出信号が出力されていない通常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送し、一方、前記第１のウオッチドックタイマー部から前記異常検出信号が出力された異常状態では、前記主制御部から出力される前記主制御信号を前記駆動回路へ伝送しないように遮断する伝送遮断部と、前記異常検出信号に応じて、前記第１の負荷を冗長制御信号により制御する冗長処理部と、を備えた制御装置の制御方法であって、
前記冗長処理部により、前記異常検出信号に応じて、前記第１の負荷を、前記主制御部が前記通常状態において前記第１の負荷に対して実行する制御内容とは異なる冗長制御内容で、前記冗長制御信号により制御する
ことを特徴とする。
【発明の効果】
【００２４】
本発明の一態様に係る制御装置は、第１の負荷への電源供給又は第１の負荷の動作の少なくとも何れか一方を、主制御信号により制御する主制御部と、主制御部が出力する主制御信号に基づいて、第１の負荷を駆動する駆動回路と、主制御部が生成して出力するクロック信号に基づいて主制御部の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部の動作に異常が発生したことを示す異常検出信号を出力する第１のウオッチドックタイマー部と、第１のウオッチドックタイマー部から異常検出信号が出力されていない通常状態では、主制御部から出力される主制御信号を駆動回路へ伝送し、一方、第１のウオッチドックタイマー部から異常検出信号が出力された異常状態では、主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断する伝送遮断部と、異常検出信号に応じて、第１の負荷を冗長制御信号により制御する冗長処理部と、を備える。
【００２５】
このように、当該制御装置において、主制御部の動作に異常が発生した場合には、伝送遮断部は主制御部から出力される主制御信号を駆動回路へ伝送しないように遮断するとともに、冗長処理部は第１の負荷を冗長制御信号により制御する。
【００２６】
これにより、本発明に係る制御装置は、追加の主制御部を設けないことで製造コストの増加を抑制しつつ、主制御部の異常状態において、フォールトトレラントとなるように負荷を制御することができる。
【図面の簡単な説明】
【００２７】
【図１】図１は、第１の実施形態に係る制御装置１００の構成の一例を示す図である。
【図２】図２は、従来の制御装置１００Ａの構成の一例を示す図である。
【発明を実施するための最良の形態】
【００２８】
以下、本発明に係る実施形態について図面に基づいて説明する。
【第１の実施形態】
【００２９】
図１は、第１の実施形態に係る制御装置１００の構成の一例を示す図である。
【００３０】
第１の実施形態に係る制御装置１００（図１）は、例えば、第１の負荷Ｌ１を主制御信号により制御するための主制御部（ＣＰＵ）１０と、冗長電源供給ブロックＲＢを介して主制御部１０に接続され、主制御信号ＭＳに基づいて、第１の負荷Ｌ１を駆動する駆動回路ＤＣと、主制御部１０に接続され、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視する第１のウオッチドックタイマー部（ウオッチドックタイマー回路）ＷＴ１と、主制御部１０に接続され、主制御部１０の動作状態を監視し、主制御部１０の動作をリセットさせるリセット信号を出力する第２のウオッチドックタイマー部（ウオッチドックタイマー回路）ＷＴ２と、を備える。
【００３１】
さらに、この制御装置１００は、主制御部１０と駆動回路ＤＣとの間に接続され、第１のウオッチドックタイマー部ＷＴ１が出力する異常検出信号ＡＤに基づいて主制御部１０から出力される主制御信号ＭＳを遮断する伝送遮断部（伝送遮断回路）ＴＢと、駆動回路ＤＣに接続され、第１のウオッチドックタイマー部ＷＴ１が出力する異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより駆動回路ＤＣを介して制御する冗長処理部ＲＰと、を備える。
【００３２】
さらに、この制御装置１００は、主制御部１０及び第２のウオッチドックタイマー部ＴＷ２に電力する供給する電源回路Ｓ１と、冗長電源供給ブロックＲＢに電力を供給する冗長電源Ｓ２と、第２の負荷Ｌ２を制御するためのＥＣＵ２０と、を備える。
【００３３】
なお、第１のウオッチドックタイマー部ＷＴ１、伝送遮断部ＴＢ、及び、冗長処理部ＲＰは、冗長電源供給ブロックＲＢを構成する（図１）。
【００３４】
このような構成を有する制御装置１００は、例えば、二輪車等の車両に積載される。そして、制御装置１００は、例えば、当該二輪車に積載された第１の負荷Ｌ１および第２の負荷Ｌ２を制御（駆動）するようになっている。
【００３５】
ここで、上記第１の負荷Ｌ１は、モーター（例えば、燃料噴射用のポンプを含む）、ソレノイド、ランプ、又は、リレー等の少なくともの何れか１つ以上の負荷である。特に、第１の負荷Ｌ１は、当該二輪車に積載される場合、例えば、当該二輪車の、ＥＣＵ（Ｅｎｇｉｎｅ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）、メータのコントローラ、又は、燃料ポンプ等の車載機器である。
【００３６】
また、第１の負荷Ｌ１とは異なる第２の負荷Ｌ２は、例えば、当該二輪車に積載されたエンジンを制御するための回路や装置等である。なお、後述のように、この第２の負荷Ｌ２の動作には、例えば、第１の負荷Ｌ１の動作に関連するものが含まれる。
【００３７】
また、電源回路Ｓ１は、主制御部１０および第２のウオッチドックタイマー部ＷＴ２に、主制御部１０および第２のウオッチドックタイマー部ＷＴ２が駆動するための電力（電源電圧ＶＤＤ）を供給するようになっている。
【００３８】
また、冗長電源Ｓ２は、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢに、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢが駆動するための電力を供給するようになっている。
【００３９】
これらの電源回路Ｓ１と冗長電源Ｓ２とは、別々に設けられており、個別に所定の電力を供給するようになっている。
【００４０】
なお、電源回路Ｓ１が故障した場合には、冗長電源Ｓ２から主制御部１０および第２のウオッチドックタイマー部ＷＴ２に、主制御部１０および第２のウオッチドックタイマー部ＷＴ２が駆動するための電力を供給するようにしてもよい。
【００４１】
一方、冗長電源Ｓ２が故障した場合には、電源回路Ｓ１から第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢに、第１のウオッチドックタイマー部ＷＴ１、冗長処理部ＲＰおよび伝送遮断部ＴＢが駆動するための電力を供給するようにしてもよい。
【００４２】
また、主制御部１０は、例えば、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御するようになっている。なお、この主制御部（ＣＰＵ）１０は、既述の二輪車の構成の動作を制御するために必要な処理を実行するようにしてもよい。
【００４３】
ここで、この主制御部１０は、異常状態の検出のために、周期的に発振するクロック信号ＣＬＫを出力するようになっている。例えば、主制御部１０が正常に動作する通常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力される。一方、主制御部１０に異常が発生した異常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力されない。
【００４４】
また、ＥＣＵ２０は、第１の負荷Ｌ１とは異なる第２の負荷Ｌ２の動作を制御するとともに、主制御部１０と通信するようになっている。
【００４５】
このＥＣＵ２０は、主制御部１０との通信により主制御部１０に異常が発生したことを検出した場合には、例えば、第１の負荷Ｌ１の動作に関連する第２の負荷Ｌ２の動作を停止させるようになっている。
【００４６】
また、駆動回路ＤＣは、主制御部１０が出力する主制御信号ＭＳ、又は、冗長処理部ＲＰが出力する冗長制御信号ＲＳに応じて、第１の負荷Ｌ１を駆動（第１の負荷Ｌ１に対する電力供給を含む）するようになっている。換言すれば、主制御部１０は、主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を制御し、一方、冗長処理部ＲＰは、冗長制御信号ＲＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を制御するものである。
【００４７】
また、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視するようになっている。そして、この第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されない場合には、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力するようになっている。
【００４８】
なお、既述のように、この第１のウオッチドックタイマー部ＷＴ１は、冗長電源Ｓ２から供給される電力により駆動するようになっている。
【００４９】
また、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていない通常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するようになっている。
【００５０】
一方、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断するようになっている。
【００５１】
なお、この伝送遮断部ＴＢは、例えば、スリーステートバッファ機能を有したロジックＩＣ、又は、バイラテラルスイッチ（アナログスイッチ）のいずれかである。
【００５２】
そして、例えば、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳの駆動回路ＤＣへの伝送路を回路的に遮断するように（例えば、主制御部１０の出力を絶縁する等）してもよい。
【００５３】
すなわち、伝送遮断部ＴＢは、図示しないスイッチ素子等により、主制御部１０から出力される主制御信号ＭＳを回路的に遮断するようにしてもよい。
【００５４】
また、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳが駆動回路ＤＣに論理的に伝送しないように遮断するように（例えば、主制御部１０の出力を固定値にする等）してもよい。
【００５５】
すなわち、伝送遮断部ＴＢは、図示しないロジックＩＣ等により、主制御部１０から出力される主制御信号ＭＳを論理的に遮断するようにしてもよい。
【００５６】
ここで、この伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断した場合には、主制御信号ＭＳを遮断したことを示す遮断情報信号ＢＳを、主制御部１０に出力するようにしてもよい。
【００５７】
これにより、主制御部１０は、上記遮断情報信号ＢＳに基づいて、主制御信号ＭＳが遮断されている状態であるか否かを判断することができる。
【００５８】
この場合、主制御部１０は、上記遮断情報信号ＢＳに応じて、主制御部１０自体の動作を停止するようにしてもよい。
【００５９】
これにより、主制御部１０に異常が発生して主制御信号ＭＳが遮断されている場合に、この異常が発生した主制御部１０の動作を停止することができる。
【００６０】
なお、既述のように、この伝送遮断部ＴＢは、冗長電源Ｓ２から供給される電力により駆動するようになっている。
【００６１】
また、冗長処理部ＲＰは、第１のウオッチドックタイマー部ＷＴ１が出力した異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御するようになっている。すなわち、冗長処理部ＲＰは、主制御部１０の異常状態において、フォールトトレラントとなるように第１の負荷Ｌ１を制御する。
【００６２】
より詳しくは、この冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が既述の通常状態において第１の負荷Ｌ１に対して実行する制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御するようになっている。なお、冗長制御内容には、例えば、第１の負荷Ｌを継続して駆動させるための制御や、第１の負荷Ｌを安全に停止させるための制御等が含まれる。
【００６３】
これにより、主制御部１０の動作に異常が発生した場合に、既述の通常状態における制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより第１の負荷Ｌ１を制御することができる。
【００６４】
また、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が通常状態で第１の負荷Ｌ１に対して実行する制御内容よりも少ない制御内容で、冗長制御信号ＲＳにより制御するようにしてもよい。
【００６５】
これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１に対して最小限の処理を継続させるようにすることができる。
【００６６】
また、既述のように、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１の動作が停止するように冗長制御信号ＲＳにより制御するようにしてもよい。
【００６７】
これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１を停止させることができる。
【００６８】
なお、既述のように、この冗長処理部ＲＰは、冗長電源Ｓ２から供給される電力により駆動するようになっている。
【００６９】
また、第２のウオッチドックタイマー部ＷＴ２は、主制御部１０が生成して出力するクロック信号ＣＬＫに基づいて主制御部１０の動作状態を監視するようになっている。そして、この第２のウオッチドックタイマー部ＷＴ２は、クロック信号ＣＬＫが予め設定された周期で出力されない場合には、主制御部１０に異常が発生したとして、主制御部１０の動作をリセットさせるリセット信号ＲＥＳＥＴを出力するようになっている。
【００７０】
なお、既述のように、この第２のウオッチドックタイマー部ＷＴ２は、電源回路Ｓ１から供給される電力により駆動するようになっている。
【００７１】
ここで、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、伝送遮断部ＴＢが主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するように伝送遮断部ＴＢの設定を戻すようになっている。
【００７２】
さらに、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、冗長処理部ＲＰに冗長制御信号ＲＳの出力を停止させるようになっている。
【００７３】
これにより、主制御部１０が異常状態から通常状態に復帰した場合に、主制御部１０が、主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を再度制御するようにできる。
【００７４】
なお、第１及び第２のウオッチドックタイマー部ＷＴ１、ＷＴ２は、主制御部１０が出力するクロック信号ＣＬＫを監視し、主制御部１０の動作状態に異常が発生した場合（例えば、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されない場合）には、第１のウオッチドックタイマー部ＷＴ１により主制御部１０の主制御信号ＭＳの出力を制御するようにしてもよい。
【００７５】
以上のような構成を有する制御装置１００は、適用されるアプリケーションによりフォールトトレラントとなる制御が異なる点に対しても、冗長処理部ＲＰの構成を見直せば対応できる。
【００７６】
そして、冗長処理部ＲＰを構成するハードウエアによりある程度の制御を保持できるなど、主制御部１０を使用した複雑な制御を要しない場合は、動的な制御もシステム停止まで維持することができる。
【００７７】
また、主制御部１０の故障率に応じて、冗長電源を供給している冗長電源供給ブロックＲＢ（冗長処理部ＲＰ、伝送遮断部、第１のウオッチドックタイマー部ＷＴ１）を設計することにより、主制御部１０の異常状態において、確実にフォールトトレラントとなるように負荷を制御することができる。
【００７８】
ここで、以上のような構成を有する、第１の実施形態に係る制御装置１００の動作の一例について説明する。
【００７９】
既述のように、主制御部１０は、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御する。
【００８０】
例えば、主制御部１０が正常に動作する通常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力される。
【００８１】
そして、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されているので、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力しない。
【００８２】
そして、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていないので、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送する。
【００８３】
これにより、主制御部１０が出力した主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１が制御されることとなる。
【００８４】
一方、主制御部１０に異常が発生した異常状態では、このクロック信号ＣＬＫが予め設定された周期（所定期間）で主制御部１０から出力されない。
【００８５】
そして、第１のウオッチドックタイマー部ＷＴ１は、主制御部１０からクロック信号ＣＬＫが予め設定された周期（所定期間）で出力されないので、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力する。
【００８６】
そして、伝送遮断部ＴＢは、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態であるので、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断する。
【００８７】
さらに、冗長処理部ＲＰは、第１のウオッチドックタイマー部ＷＴ１が出力した異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御する。
【００８８】
これにより、冗長処理部ＲＰが出力した冗長制御信号ＲＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１が制御されることとなる。すなわち、冗長処理部ＲＰは、主制御部１０の異常状態において、フォールトトレラントとなるように第１の負荷Ｌ１を制御する。
【００８９】
より詳しくは、この冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が既述の通常状態において第１の負荷Ｌ１に対して実行する制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより（駆動回路ＤＣを介して）制御する。
【００９０】
これにより、主制御部１０の動作に異常が発生した場合に、既述の通常状態における制御内容とは異なる冗長制御内容で、冗長制御信号ＲＳにより第１の負荷Ｌ１を制御することができる。
【００９１】
また、既述のように、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１の動作が停止するように冗長制御信号ＲＳにより制御するようにしてもよい。
【００９２】
これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１を停止させることができる。
【００９３】
また、既述のように、冗長処理部ＲＰは、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を、主制御部１０が通常状態で第１の負荷Ｌ１に対して実行する制御内容よりも少ない制御内容で、冗長制御信号ＲＳにより制御するようにしてもよい。
【００９４】
これにより、主制御部１０の動作に異常が発生した場合に、第１の負荷Ｌ１に対して最小限の処理を継続させるようにすることができる。
【００９５】
ここで、伝送遮断部ＴＢは、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断した場合には、主制御信号ＭＳを遮断したことを示す遮断情報信号ＢＳを、主制御部１０に出力する。
【００９６】
そして、主制御部１０は、上記遮断情報信号ＢＳに応じて、主制御部１０自体の動作を停止するようにしてもよい。
【００９７】
これにより、主制御部１０に異常が発生して主制御信号ＭＳが遮断されている場合に、この異常が発生した主制御部１０の動作を停止することができる。
【００９８】
また、ＥＣＵ２０は、主制御部１０との通信により主制御部１０に異常が発生したことを検出すると、第１の負荷Ｌ１の動作に関連する第２の負荷Ｌ２の動作を停止させる。
【００９９】
なお、既述のように、第２のウオッチドックタイマー部ＷＴ２は、クロック信号ＣＬＫが予め設定された周期で出力されないことにより、主制御部１０に異常が発生したとして、主制御部１０の動作をリセットさせるリセット信号ＲＥＳＥＴを出力する。これにより、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされることとなる。
【０１００】
そして、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、伝送遮断部ＴＢが主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送するように伝送遮断部ＴＢの設定を戻す。
【０１０１】
さらに、主制御部１０は、リセット信号ＲＥＳＥＴによりその動作がリセットされて異常状態から通常状態に復帰した場合には、冗長処理部ＲＰに冗長制御信号ＲＳの出力を停止させる。
【０１０２】
これにより、主制御部１０が異常状態から通常状態に復帰した場合に、主制御部１０が、主制御信号ＭＳにより、駆動回路ＤＣを介して、第１の負荷Ｌ１を再度制御するようにできる。
【０１０３】
以上のように、本発明の一態様に係る制御装置は、第１の負荷Ｌ１への電源供給又は第１の負荷Ｌ１の動作の少なくとも何れか一方を、主制御信号ＭＳにより制御する主制御部１０と、主制御部１０が出力する主制御信号ＭＳに基づいて、第１の負荷Ｌ１を駆動する駆動回路ＤＣと、主制御部１０が生成して出力するクロック信号に基づいて主制御部１０の動作状態を監視し、クロック信号が予め設定された周期で出力されない場合には、主制御部１０の動作に異常が発生したことを示す異常検出信号ＡＤを出力する第１のウオッチドックタイマー部ＷＴ１と、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力されていない通常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送し、一方、第１のウオッチドックタイマー部ＷＴ１から異常検出信号ＡＤが出力された異常状態では、主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断する伝送遮断部ＴＢと、異常検出信号ＡＤに応じて、第１の負荷Ｌ１を冗長制御信号ＲＳにより制御する冗長処理部ＲＰと、を備える。
【０１０４】
このように、当該制御装置において、主制御部１０の動作に異常が発生した場合には、伝送遮断部ＴＢは主制御部１０から出力される主制御信号ＭＳを駆動回路ＤＣへ伝送しないように遮断するとともに、冗長処理部ＲＰは第１の負荷Ｌ１を冗長制御信号ＲＳにより制御する。
【０１０５】
これにより、本発明に係る制御装置は、追加の主制御部１０を設けないことで製造コストの増加を抑制しつつ、主制御部１０の異常状態において、フォールトトレラントとなるように負荷を制御することができる。
【０１０６】
特に、既述のように、制御装置１００は、適用されるアプリケーションによりフォールトトレラントとなる制御が異なる点に対しても、冗長処理部ＲＰの構成を見直せば対応できる。
【０１０７】
そして、冗長処理部ＲＰを構成するハードウエアによりある程度の制御を保持できるなど、主制御部１０を使用した複雑な制御を要しない場合は、動的な制御もシステム停止まで維持することができる。
【０１０８】
また、既述のように、主制御部１０の故障率に応じて、冗長電源を供給している冗長電源供給ブロックＲＢ（冗長処理部ＲＰ、伝送遮断部、第１のウオッチドックタイマー部ＷＴ１）を設計することにより、主制御部１０の異常状態において、確実にフォールトトレラントとなるように負荷を制御することができる。
【０１０９】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【０１１０】
１００  制御装置  
１０  主制御部  
ＤＣ  駆動回路  
ＷＴ１  第１のウオッチドックタイマー部
ＷＴ２  第２のウオッチドックタイマー部
ＴＢ  伝送遮断部
ＲＰ  冗長処理部
Ｓ１  電源回路
Ｓ２  冗長電源
２０  ＥＣＵ
ＲＢ  冗長電源供給ブロック
Ｌ１  第１の負荷
Ｌ２  第２の負荷
【図１】
2017228159.tif 000003
【図２】
2017228159.tif 000004