异常判定装置、异常判定方法以及异常判定程序与流程

本发明涉及异常判定装置、异常判定方法以及异常判定程序。

背景技术：

在即使发生了故障等麻烦的情况下也要求继续处理的系统中，采用容错结构。在容错结构中，处理电路被冗余。并且，即使在任意处理电路发生了故障的情况下，也通过正常的处理电路继续动作来进行期望的处理。

在容错结构中，通过比较各处理电路的输出，能够对在任意处理电路中是否发生了故障进行检测。并且，在容错结构中，将被检测出发生故障的处理电路分离，由正常的处理电路来继续处理。

在处理电路被三重化的结构中，通过在各处理电路的输出之间采取多数决定，能够确定发生了故障的处理电路。

当在处理电路被双重化的结构中各处理电路的输出不一致的情况下，能够检测出在任意处理电路中发生了故障的情况。然而，在处理电路被双重化的结构中，难以确定在哪一个处理电路中发生了故障。

在汽车的车辆控制系统等、对于成本的条件严格的用途中，难以采用处理电路被三重化的结构。在这样的对于成本的条件严格的用途中，要求能够确定在处理电路被双重化的结构中发生了故障的处理电路。

现有技术文献

专利文献

专利文献1：日本特开2015-081013号公报

专利文献2：日本特开2010-076637号公报

专利文献3：日本特开2012-045990号公报

专利文献4：日本特开2015-223868号公报

技术实现要素：

发明要解决的课题

在专利文献1中公开了一种电动动力转向控制装置。专利文献1的电动动力转向控制装置具备两个微型计算机。在专利文献1中，比较各微型计算机的控制值，如果两个控制值之间的差在既定范围外，则判定为任意微型计算机发生了异常。并且，在专利文献1中，对于各微型计算机，比较上次的控制值和本次的控制值。然后，判定为上次的控制值与本次的控制值之差较大的微型计算机发生了异常。

如上所述，在专利文献1中，仅通过上次的控制值与本次的控制值之差来确定发生了异常的微型计算机。但是，例如，当在车辆运转时发生了急刹车或急转向的情况下，存在与上次的控制值大不相同的控制值被输出的可能性。在这样的情况下，输出了与上次的控制值大不相同的控制值的微型计算机是正常地动作的微型计算机。

在专利文献1中，在这样控制值大幅变化的状况下，存在将正常地动作的微型计算机错误地判定为发生了异常的微型计算机的课题。

本发明的主要目的在于解决这样的课题。更具体而言，本发明的主要目的在于获得即使在控制值大幅变化的情况下也能够正确地判定出发生了异常的处理电路的结构。

用于解决课题的手段

本发明的异常判定装置具有：

控制值取得部，其从作为被双重化的处理电路的第1处理电路以及第2处理电路分别取得用于控制控制对象物的控制值；以及异常判定部，其在从所述第1处理电路取得的第1控制值与从所述第2处理电路取得的第2控制值不一致的情况下，进行状态正常范围与所述第1控制值以及所述第2控制值中的至少任意一个的比较，判定所述第1处理电路以及所述第2处理电路中的哪个处理电路发生了异常，该状态正常范围是根据包含所述控制对象物的上位系统的当前的动作状态或所述控制对象物的当前的动作状态所估计的控制值的正常值的范围。

发明效果

根据本发明，通过使用状态正常范围，即使在控制值大幅变化的情况下，也能够正确地判定出发生了异常的处理电路。

附图说明

图1是示出实施方式1的车辆控制系统的结构例的图。

图2是示出实施方式1的第2控制值的时间推移的示例的图。

图3是示出实施方式1的故障诊断电路的动作例的图。

图4是示出实施方式2的车辆控制系统的结构例的图。

图5是示出实施方式2的故障诊断电路的动作例的图。

图6是示出实施方式1和2的故障诊断电路的硬件结构例的图。

图7是示出实施方式3的车辆控制系统的结构例的图。

图8是示出实施方式3的故障诊断电路的动作例的图。

图9是示出实施方式4的车辆控制系统的结构例的图。

图10是示出实施方式4的故障诊断电路的动作例的图。

图11是示出实施方式4的第1处理电路以及第2处理电路的动作例的图。

具体实施方式

以下，使用附图对本发明的实施方式进行说明。在以下的实施方式的说明以及附图中，标注了相同标号的部分表示相同的部分或相当的部分。

实施方式1.

＊＊＊结构的说明＊＊＊

图1示出本实施方式的车辆控制系统10的结构例。

车辆控制系统10控制致动器20。致动器20是制动器、引擎、马达、转向装置等致动器。

车辆控制系统10由第1处理电路11、第2处理电路12、数据选择电路13以及故障诊断装置14构成。

第1处理电路11以及第2处理电路12由微型计算机、或微型计算机以及存储器构成。

数据选择电路13以及故障诊断装置14通过处理电路来实现。具体而言，处理电路是lsi(large-scaleintegratedcircuit：大规模集成电路)。lsi例如是fpga(field-programmablegatearray：现场可编程门阵列)。此外，lsi也可以是cpld(complexprogrammablelogicdevice：复杂可编程逻辑设备)或asic(applicationspecificintegratedcircuit：专用集成电路)。

数据选择电路13以及故障诊断装置14可以分别通过不同的lsi来实现，也可以通过一个lsi来实现。

第1处理电路11以及第2处理电路12是被双重化的处理电路。

第1处理电路11以及第2处理电路12分别生成用于控制致动器20的控制值。致动器20相当于控制对象物。

由第1处理电路11生成的控制值被称为第1控制值。此外，由第2处理电路12生成的控制值被称为第2控制值。

数字选择电路13选择第1控制值以及第2控制值中的、来自正常动作的处理电路的控制值，并将所选择的控制值输出至致动器20。数据选择电路13能够根据来自后述的故障诊断部144的正常通知信号来判别正常动作的处理电路。

另外，数据选择电路13相当于输出部。

故障诊断装置14判定正常动作的处理电路和发生了异常的处理电路。

故障诊断装置14由状态判定部141、控制值保存部142、历史记录正常范围估计部143以及故障诊断部144构成。

状态判定部141取得示出包含致动器20的上位系统的当前的动作状态的状态值。然后，状态判定部141根据所取得的状态值来估计状态正常范围，将状态正常范围输出至故障诊断部144。状态正常范围是根据上位系统的当前的动作状态估计出的控制值的正常值的范围。在本实施方式中，上位系统是指包含车辆控制系统10以及致动器20的车辆。

即，状态判定部141根据状态值，将作为上位系统的车辆的符合当前状态的正常值的范围估计为状态正常范围。

状态判定部141从位于车辆控制系统10外部的传感器等取得示出车辆的动作状态的状态值。状态值示出例如车辆在停车场行驶以及车辆在坡道上爬坡等车辆的状态。此外，状态值也可以示出车辆在高速公路上行驶的状态以及车辆在一般道路上行驶的状态等。此外，状态值也可以示出防撞功能正在工作的状态等。

此外，状态判定部141也可以取得示出致动器20的当前动作状态的状态值，将根据致动器20的当前动作状态所估计的控制值的正常值的范围估计为状态正常范围。

控制值保存部142在每次从第1处理电路11输出第1控制值时，保存所输出的第1控制值。此外，控制值保存部142在每次从第2处理电路12输出第2控制值时，保存所输出的第2控制值。因此，在控制值保存部142中保存有过去的多个第1控制值，并保存有过去的多个第2控制值。

历史记录正常范围估计部143根据控制值保存部142中保存的过去的多个第1控制值来估计控制值的正常值的范围。由控制值保存部142估计出的控制值的正常值的范围被称为历史记录正常范围。

历史记录正常范围估计部143也可以根据控制值保存部142中保存的过去的多个第2控制值来估计历史记录正常范围。

故障诊断部144从第1处理电路11取得第1控制值，从第2处理电路12取得第2控制值。

此外，故障诊断部144比较第1控制值与第2控制值。在第1控制值与第2控制值不一致的情况下，故障诊断部144从状态判定部141取得状态正常范围，从历史记录正常范围估计部143取得历史记录正常范围。然后，故障诊断部144进行状态正常范围与第1控制值以及第2控制值中的至少任意一个的比较，判定第1处理电路11以及第2处理电路12中的哪一个发生了异常。

更具体而言，故障诊断部144进行状态正常范围与第1控制值的比较，在第1控制值偏离状态正常范围的情况下，判定为第1处理电路发生了异常。另一方面，当第1控制值在状态正常范围内的情况下，故障诊断部144进行状态正常范围与第2控制值的比较。然后，当第2控制值偏离状态正常范围的情况下，故障诊断部144判定为第2处理电路发生了异常。另一方面，当第2控制值在状态正常范围内的情况下，故障诊断部144进行历史记录正常范围与第1控制值的比较。其结果，当第1控制值偏离历史记录正常范围的情况下，故障诊断部144判定为第1处理电路11发生了异常。此外，当第1控制值在历史记录正常范围内的情况下，故障诊断部144判定为第2处理电路12发生了异常。

故障诊断部144将通知判定为正常的处理电路的正常通知信号输出至数据选择电路13。

故障诊断部144相当于控制值取得部以及异常判定部。此外，由故障诊断部144进行的处理相当于控制值取得处理以及异常判定处理。

如图1所示，数据选择电路13以及故障诊断装置14相当于异常判定装置。此外，由数据选择电路13以及故障诊断装置14进行的动作相当于异常判定方法。

＊＊＊动作的说明＊＊＊

接下来，对本实施方式的车辆控制系统10的动作的概要进行说明。

这里，假定在初始状态下第1处理电路11以及第2处理电路12正常、但是之后第1处理电路11发生了异常的示例。

在初始状态下，第1处理电路11以及第2处理电路12正常。因此，故障诊断装置14例如将通知第1处理电路11正常的情况的正常通知信号输出至数据选择电路13。数据选择电路13选择来自第1处理电路11的第1控制值，并将所选择的第1控制值输出至致动器20。

当第1处理电路11发生异常时，第1控制值成为异常值。因此，故障诊断装置14判定为，第2处理电路12正常，但是第1处理电路11异常。然后，故障诊断装置14将通知第2处理电路12正常的情况的正常通知信号输出至数据选择电路13。数据选择电路13根据正常通信信号，丢弃来自第1处理电路11的第1控制值，将来自第2处理电路12的第2控制值输出至致动器20。

图2示出正常的控制值的时间推移的示例。另外，在图2中，示出1秒输出一次第2控制值的示例。

首先，假设在6秒时发生了第1控制值和第2控制值的不一致。即，从0秒时到5秒时的第1控制值和第2控制值一致，第1控制值以及第2控制值如图2所示。这里，着眼于前一个值(5秒时)、两个之前的值(4秒时)以及三个之前的值(3秒时)。3秒时的值为56，4秒时的值为61，5秒时的值为63。从3秒时到4秒时的值的变化为+5，从4秒时到5秒时的值的变化为+2。这样，在从3秒时到5秒时的期间，值较小地变化，因此可以推测，6秒时的值收敛在相对于5秒时的值±5的范围内。

根据这样的推测，历史记录正常范围估计部143将5秒时的值±5的范围估计为6秒时的值的历史记录正常范围。

故障诊断部144在6秒时的控制值偏离了5秒时的控制值±5的范围的情况下，判定为6秒时的控制值异常。

接下来，假设在9秒时发生了第1控制值与第2控制值的不一致。即，从0秒时到8秒时的第1控制值和第2控制值一致，第1控制值以及第2控制值如图2所示。这里，着眼于前一个值(8秒时)、两个之前的值(7秒时)以及三个之前的值(6秒时)。6秒时的值为60，7秒时的值为50，8秒时的值为30。从6秒时到7秒时的值的变化为-10，从7秒时到8秒时的值的变化为-20。这样，在6秒时到8秒时，与从3秒时到6秒时的值的变化相比，值大幅变化。因此可以推测，9秒时的值收敛在相对于8秒时的值±30的范围内。

根据这样的推测，历史记录正常范围估计部143将8秒时的值±30的范围估计为9秒时的值的历史记录正常范围。

故障诊断部144在9秒时的控制值偏离了8秒时的控制值±30的范围的情况下，判定为9秒时的控制值异常。

这样，历史记录正常范围估计部143可以根据过去几次的控制值将正常值的范围估计为历史记录正常范围。然后，故障诊断部144能够根据历史记录正常范围来判定发生了异常的处理电路。然而，在仅使用历史记录正常范围的判定中，在发生了大大偏离过去的控制值的推移的控制值的骤变的情况下，故障诊断部144将正常值误识别为异常值，从而将正常动作的处理电路判定为异常。

考虑在图2的12秒时发生了第1控制值和第2控制值的不一致的情况。即，从0秒时到11秒时的第1控制值和第2控制值一致，第1控制值以及第2控制值如图2所示。这里，前一个值(11秒时)为0，两个之前的值(10秒时)为3，三个之前的值(9秒时)为10。从9秒时到10秒时的值的变化为-7，从10秒时到11秒时的值的变化为-3。因此可以推测，12秒时的值收敛在相对于11秒时的值±10的范围内。

根据这样的推测，历史记录正常范围估计部143将11秒时的值±10的范围估计为12秒时的值的历史记录正常范围。

但是，由于12秒时的值为56，因此未收敛在11秒时的值±10的范围内。因此，尽管作为12秒时的值的56是正常值，但也偏离历史记录正常范围，因此故障诊断部144将该56错误地判定为是异常值。

为了防止这样的误判定，在本实施方式中，状态判定部141估计状态正常范围，故障诊断部144使用状态正常范围来判定第1控制值以及第2控制值是否正常。

例如，车辆在停车场行驶过程中具有发生急加速的可能性较小的特性。因此，状态判定部141估计符合该特性的状态正常范围。此外，例如，车辆在坡道爬坡过程中具有发生急加速的可能性较大的特性。因此，状态判定部141估计符合该特性的状态正常范围。此外，例如，车辆在高速公路上行驶过程中具有发生急转向的可能性较小的特性。因此，状态判定部141估计符合该特性的状态正常范围。这样，状态判定部141估计适合车辆的状态的状态正常范围。

状态判定部141通过针对车辆的每个状态保持控制值的典型值，能够针对车辆的每个状态正确地估计状态正常范围。

这样，本实施方式的故障诊断装置14将历史记录正常范围和状态正常范围进行组合，来确定发生了异常的处理电路。

接下来，对本实施方式的故障诊断装置14的动作的详细情况进行说明。

图3是示出故障诊断装置14的动作例的流程图。

故障诊断部144从第1处理电路11取得第1控制值，从第2处理电路12取得第2控制值。然后，故障诊断部144比较第1控制值和第2控制值(步骤s101)。

在第1控制值和第2控制值不一致的情况下(在步骤s101中为“否”)，故障诊断部144指示历史记录正常范围估计部143估计历史记录正常范围，历史记录正常范围估计部143估计历史记录正常范围(步骤s102)。然后，历史记录正常范围估计部143将历史记录正常范围通知给故障诊断部144。

接下来，故障诊断部144指示状态判定部141估计状态正常范围，状态判定部141估计状态正常范围(步骤s103)。然后，状态判定部141将状态正常范围通知给故障诊断部144。

另外，步骤s102和步骤s103的顺序也可以相反。

接下来，故障诊断部144比较第1控制值和状态正常范围(步骤s104)。

在第1控制值偏离状态正常范围的情况下(步骤s104中为“否”)，故障诊断部144判定为第1处理电路11发生了异常(步骤s105)。然后，故障诊断部144将通知第2处理电路12正常动作的正常通知信号输出至数据选择电路13。

另一方面，如果第1控制值在状态正常范围内(步骤s104中为“是”)，则故障诊断部144接下来比较第2控制值和状态正常范围(步骤s106)。

在第2控制值偏离状态正常范围的情况下(步骤s106中为“否”)，故障诊断部144判定为第2处理电路12发生了异常(步骤s107)。然后，故障诊断部144将通知第1处理电路11正常动作的正常通知信号输出至数据选择电路13。

如果第2控制值在状态正常范围内(步骤s106中为“是”)，则故障诊断部144接下来比较第1控制值和历史记录正常范围(步骤s108)。

在第1控制值偏离状态正常范围的情况下(步骤s108中为“否”)，故障诊断部144判定为第1处理电路11发生了异常(步骤s109)。然后，故障诊断部144将通知第2处理电路12正常动作的正常通知信号输出至数据选择电路13。

另一方面，如果第1控制值在历史记录正常范围内(步骤s108中为“是”)，则故障诊断部144判定为第2处理电路12发生了异常(步骤s110)。然后，故障诊断部144将通知第1处理电路11正常动作的正常通知信号输出至数据选择电路13。

＊＊＊实施方式的效果的说明＊＊＊

在本实施方式中，根据车辆的状态(停车场行驶过程中、坡道爬坡过程中、高速公路行驶过程中等)来估计状态正常范围，使用状态正常范围来判定发生了异常的处理电路。因此，根据本实施方式，即使在控制值随车辆的状态而大幅变化的情况下，也能够正确地判定发生了异常的处理电路。

实施方式2.

图4示出本实施方式的车辆控制系统10的结构例。图4的车辆控制系统10与图1所示的车辆控制系统10不同，数据选择电路13由正常控制值选择部131、平均值生成部132以及输出选择部133构成。

正常控制值选择部131依照来自故障诊断部144的正常通知信号，选择第1控制值和第2控制值中正常的控制值。然后，正常控制值选择部131将所选择的控制值输出至输出选择部133。

平均值生成部132生成第1控制值和第2控制值的平均值，并将生成的平均值输出至输出选择部133。

输出选择部133选择从正常控制值选择部131输出的控制值和从平均值生成部132输出的平均值中的向致动器20输出的控制值。更具体而言，输出选择部133在从故障诊断部144输出了平均输出信号的情况下，将来自平均值生成部132的平均值输出至致动器20。

另外，在本实施方式中，故障诊断部144在即使进行使用了状态正常范围以及历史记录正常范围的评价、也判定为第1处理电路11以及第2处理电路12均未发生异常的情况下，向输出选择部133输出平均输出信号。

例如，在图2的6秒时的第1控制值与第2控制值不一致的情况下，如果车辆的状态为停车场行驶过程中，则可以估计为6秒时的值收敛在相对于5秒时的值±5的范围内。该情况下，当第1控制值以及第2控制值均收敛在±5的范围内的情况下，故障诊断部144判定为第1处理电路11以及第2处理电路12均未发生异常。然后，故障诊断部144向输出选择部133输出平均输出信号。

另外，在本实施方式中，输出选择部133相当于输出部。

此外，在图4中，虽然省略了图示，但是与实施方式1同样，数据选择电路13以及故障诊断装置14相当于异常判定装置。此外，故障诊断部144相当于控制值取得部以及异常判定部。

图5示出本实施方式的故障诊断装置14的动作例。

在图5中，由于步骤s101至步骤s109与图3所示的步骤相同，因此省略说明。

在步骤s108中，如果第1控制值在历史记录正常范围内(步骤s108中为“是”)，则故障诊断部144比较第2控制值与历史记录正常范围(步骤s110)。

在第2控制值偏离历史记录正常范围的情况下(步骤s110中为“否”)，故障诊断部144判定为第2处理电路12发生了异常(步骤s111)。然后，故障诊断部144将通知第1处理电路11正常动作的正常通知信号输出至数据选择电路13。

另一方面，如果第2控制值在历史记录正常范围内(步骤s110中为“是”)，则故障诊断部144故障诊断部144判定为第1处理电路11以及第2处理电路12均未发生异常。然后，故障诊断部144向输出选择部133输出平均输出信号(步骤s112)。

在判定为第1处理电路11和第2处理电路12均未发生异常的情况下，不清楚第1控制值和第2控制值中的哪一个是准确的值。

在本实施方式中，通过输出第1控制值和第2控制值的平均值，由此降低以错误的值来控制致动器20的风险。

实施方式3.

＊＊＊结构的说明＊＊＊

图7示出本实施方式的车辆控制系统10的结构例。在图7的车辆控制系统10中，故障诊断部144取得从第1处理电路11输出的第1自我诊断信息和从第2处理电路12输出的第2自我诊断信息。然后，故障诊断部144将第1自我诊断信息和第2自我诊断信息用于异常诊断。

因此，在本实施方式中，故障诊断部144相当于控制值取得部、异常判定部以及自我诊断信息取得部。

此外，在本实施方式中，第1处理电路11以及第2处理电路12是搭载有与功能安全(iec61508、iso26262等)对应的自我诊断功能的微型计算机或cpu(centralprocessingunit：中央处理器)。

在本实施方式中，作为自我诊断功能，第1处理电路11以及第2处理电路12能够实施例如比特反转检查功能、bist(backgroundintelligenttransferservice：后台智能传输服务)功能、时钟周期检查功能、电压检查功能、温度检查功能以及双核锁步(dual-corelockstep)功能。

在比特反转检查功能中，检查存储器的比特反转的有无。

在bist功能中，对处理电路(微型计算机或cpu)内的各功能输入测试值，判定输入后的各功能的动作是否与期待值一致，检查处理电路的正常/异常。

在时钟周期检查功能中，对输入到处理电路(微型计算机或cpu)中的时钟频率不足额定值的情况进行检测。

在电压检查功能中，对输入到处理电路(微型计算机或cpu)中的电压不足处理电路的额定值的情况进行检测。

在温度检查功能中，对当前的温度不足处理电路(微型计算机或cpu)的额定温度的情况进行检测。

在双核锁步功能中，检查处理电路(微型计算机或cpu)内的被双重化的运算电路是否每1个时钟进行相同的动作。

图7的其它要素与图1所示的要素相同，因此省略说明。

在本实施方式中，主要对与实施方式1的差异进行说明。

另外，在以下内容中未说明的事项与实施方式1相同。

＊＊＊动作的说明＊＊＊

图8示出本实施方式的故障诊断装置14的动作例。

故障诊断部144取得从第1处理电路11输出的第1自我诊断信息和从第2处理电路12输出的第2自我诊断信息。

在第1自我诊断信息中示出使用第1处理电路11的自我诊断功能进行的自我诊断的结果。在第2自我诊断信息中示出使用第2处理电路12的自我诊断功能进行的自我诊断的结果。第1处理电路11持续输出第1自我诊断信息。此外，第2处理电路12持续输出第2自我诊断信息。

故障诊断部144解析第1自我诊断信息，判定第1自我诊断信息中是否包含异常发生通知(步骤s201)。第1自我诊断信息的异常发生通知是通知第1处理电路11中的异常的发生的信息。

当在第1自我诊断信息中包含异常发生通知的情况下(步骤s201中为“是”)，故障诊断部144判定为第1处理电路11发生了异常(步骤s202)。

当在第1自我诊断信息中不包含异常发生通知的情况下(步骤s201中为“否”)，故障诊断部144解析第2自我诊断信息，判定第2自我诊断信息中是否包含异常发生通知(步骤s203)。第2自我诊断信息的异常发生通知是通知第2处理电路12中的异常的发生的信息。

当在第2自我诊断信息中包含异常发生通知的情况下(步骤s203中为“是”)，故障诊断部144判定为第2处理电路12发生了异常(步骤s204)。

当在第2自我诊断信息中不包含异常发生通知的情况下(步骤s203中为“否”)，故障诊断部144从第1处理电路11取得第1控制值，从第2处理电路12取得第2控制值，比较第1控制值与第2控制值(步骤s101)。

在第1控制值与第2控制值不一致的情况下(步骤s101中为“否”)，故障诊断部144进行图3所示的步骤s102至步骤s110的处理。

另一方面，在第1控制值和第2控制值一致的情况下(步骤s101中为“是”)，故障诊断部144进行步骤s201以后的处理。

＊＊＊实施方式的效果的说明＊＊＊

在本实施方式中，如果自我诊断信息中包含异常发生通知，则能够判定为作为自我诊断信息的输出源的处理装置发生了异常。即，如果自我诊断信息中包含异常发生通知，则能够省略实施方式1以及实施方式2所示的处理。这样，根据本实施方式，与实施方式1以及实施方式2相比，能够更高效地进行处理电路的异常判定。

实施方式4.

＊＊＊结构的说明＊＊＊

图9示出本实施方式的车辆控制系统10的结构例。在图9的车辆控制系统10中，故障诊断部144在第1处理电路11或第2处理电路12发生了异常时，向发生了异常的处理电路输出初始化通知。初始化通知是使发生了异常的处理电路进行初始化处理的信息。故障诊断部144向第1处理电路11输出的初始化通知称为第1初始化通知。此外，故障诊断部144向第2处理电路12输出的初始化通知称为第2初始化通知。

此外，故障诊断部144从作为初始化通知的输出目的地的处理电路取得恢复完成通知。恢复完成通知是如下信息：在作为初始化通知的输出目的地的处理电路进行初始化处理后，变为使用从另一方的处理电路取得的计算信息能够进行与该另一方的处理电路相同的计算时，通知作为初始化通知的输出目的地的处理电路已恢复至正常的状态。第1处理电路11输出的恢复完成通知称为第1恢复完成通知。此外，第2处理电路12输出的恢复完成通知称为第2恢复完成通知。

在本实施方式中，故障诊断部144相当于控制值取得部、异常判定部以及处理电路恢复部。

此外，在本实施方式中，第1处理电路11在初始化处理后，从第2处理电路12取得第2处理电路计算信息。在第2处理电路计算信息中，通知第2处理电路12中的当前的计算状态。第1处理电路11使用第2处理电路计算信息开始与第2处理电路12相同的计算。第1处理电路11在变为能够进行与第2处理电路12相同的计算时，向故障诊断部144输出第1恢复完成通知。

第2处理电路12在初始化处理后，从第1处理电路11取得第1处理电路计算信息。在第1处理电路计算信息中，通知第1处理电路11中的当前的计算状态。第2处理电路12使用第1处理电路计算信息开始与第2处理电路11相同的计算。第2处理电路12在变为能够进行与第1处理电路11相同的计算时，向故障诊断部144输出第2恢复完成通知。

图9的其它要素与图1所示的要素相同，因此省略说明。

在本实施方式中，主要对与实施方式1的差异进行说明。

另外，在以下内容中未说明的事项与实施方式1相同。

＊＊＊动作的说明＊＊＊

图10表示本实施方式所涉及的故障诊断装置14的动作例。

更具体而言，图10示出检测出第1处理电路11或第2处理电路12的异常之后的故障诊断部144的动作例。

通过实施方式1、实施方式2以及实施方式3中的任意一种方法，在故障诊断部144检测出第1处理电路11发生了异常的情况下(步骤s301中为“是”)，故障诊断部144向第1处理电路11输出第1初始化通知(步骤s302)。

然后，故障诊断部144等待来自第1处理电路11的第1恢复完成通知，在从第1处理电路11接收到第1恢复完成通知的情况下(步骤s303中为“是”)，故障诊断部144结束处理。

此外，通过实施方式1、实施方式2以及实施方式3中的任意一种方法，在故障诊断部144检测出第2处理电路12发生了异常的情况下(步骤s304中为“是”)，故障诊断部144向第2处理电路12输出第2初始化通知(步骤s305)。

然后，故障诊断部144等待来自第2处理电路12的第2恢复完成通知，在从第2处理电路12接收到第2恢复完成通知的情况下(步骤s306中为“是”)，故障诊断部144结束处理。

另外，故障诊断部144在输出第1初始化通知(或第2初始化通知)之后，在直到接收到第1恢复完成通知(或第2恢复完成通知)为止的期间中，与实施方式1-3同样，对数据选择电路13输出通知正常动作的处理电路的正常通知信号。数据选择电路13依照正常通知信号，将正常动作的处理电路的控制值输出至致动器20。

此外，故障诊断部144在接收到第1恢复完成通知(或第2恢复完成通知)之后，对数据选择电路13输出通知第1处理电路11和第2处理电路12双方正常动作的正常通知信号。

图11示出本实施方式的第1处理电路11以及第2处理电路12的动作例。更具体而言，图11示出发生了异常的处理电路的动作例。

另外，在以下内容中，作为第1处理电路11的动作进行说明，但是第2处理电路12的动作也如下所示。

第1处理电路11在从故障诊断部144接收到第1初始化通知的情况下(步骤s401中为“是”)，通过重置等进行第1处理电路11的初始化处理(步骤s402)。

另外，第1处理电路11也可以通过自身的控制来开始初始化处理，第1初始化通知也可以成为使初始化处理开始的信号。

接下来，第1处理电路11在初始化处理完成时(步骤s403中为“是”)，从第2处理电路12读出第2处理电路12的计算信息(第2处理电路计算信息)(步骤s404)。第2处理电路计算信息示出第2处理电路12的当前的计算状态、即第2处理电路12当前进行的计算的详细情况。

在第2处理电路计算信息的读出完成的情况下(步骤s405中为“是”)，第1处理电路11使用第2处理电路计算信息来开始与第2处理电路12相同的计算(步骤s406)。

然后，第1处理电路11向故障诊断部144输出第1恢复完成通知(步骤s407)。

＊＊＊实施方式的效果的说明＊＊＊

在实施方式1-3的结构中，在第1处理电路和第2处理电路中的任意处理电路发生了异常的情况下，为了使第1处理电路和第2处理电路双方返回正常动作的状态，需要暂时停止车辆控制系统，进行维护。

但是，在暂时性异常的情况下，存在仅通过复位等使处理电路初始化就使得处理电路返回正常状态的可能性。

在本实施方式中，能够进行在动作过程中发生了异常的处理电路的初始化。因此，根据本实施方式，即使不停止车辆控制系统，也能够使第1处理电路和第2处理电路双方返回正常的状态。

以上，对通过fpga、cpld、asic等lsi实现故障诊断装置14的示例进行了说明。也可以取而代之，如图6所示，使用处理器901、存储器902以及辅助存储装置903通过程序来实现故障诊断装置14。

即，也可以通过处理器901执行实现状态判定部141、历史记录正常范围估计部143以及故障诊断部144的功能的程序，由处理器901来进行上述的状态判定部141、历史记录正常范围估计部143以及故障诊断部144的动作。

实现状态判定部141、历史记录正常范围估计部143以及故障诊断部144的功能的程序存储在辅助存储装置903中，并被加载到存储器902中。然后，处理器901从存储器902读取程序，并执行程序。

此外，控制值保存部142例如通过存储器902或辅助存储装置903来实现。

实现状态判定部141、历史记录正常范围估计部143以及故障诊断部144的功能的程序相当于异常判定程序。

实现状态判定部141、历史记录正常范围估计部143以及故障诊断部144的功能的程序的功能的程序也可以存储在磁盘、软盘、光盘、紧凑型光盘、蓝光(注册商标)盘、dvd等可移动存储介质中。

此外，也可以将状态判定部141、历史记录正常范围估计部143以及故障诊断部144的“部”改写为“工序”或“步骤”或“处理”。

处理器901例如是cpu、dsp(digitalsignalprocessor：数字信号处理器)。

存储器902例如是ram(randomaccessmemory：随机存取存储器)。

辅助存储装置903例如是rom(readonlymemory：只读存储器)、闪存、hdd(harddiskdrive：硬盘驱动器)。

另外，在本说明书中，处理器901、以及处理器901、存储器902和辅助存储装置903的组合、以及lsi等处理电路的上位概念被称为“处理线路(processingcircuitry)”。

即，处理器901、以及处理器901、存储器902和辅助存储装置903的组合、以及处理电路分别是“处理线路”的具体示例。

以上，对本发明的实施方式进行了说明，但是也可以将这两个实施方式进行组合来实施。

或者，也可以部分地实施这两个实施方式中的一个。

或者，也可以将这两个实施方式部分地进行组合来实施。

另外，本发明不限于这些实施方式，可以根据需要进行各种变更。

标号说明

10：车辆控制系统；11：第1处理电路；12：第2处理电路；13：数据选择电路；14：故障诊断装置；20：致动器；131：正常控制值选择部；132：平均值生成部；133：输出选择部；141：状态判定部；142：控制值保存部；143：历史记录正常范围估计部；144：故障诊断部。