CN100394396C

CN100394396C - 具有微型计算机监视禁止功能的电子控制系统和方法

Info

Publication number: CN100394396C
Application number: CNB2005100529942A
Authority: CN
Inventors: 西村寿郎; 山本敏久; 山崎雅志
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2004-03-04
Filing date: 2005-03-04
Publication date: 2008-06-11
Anticipated expiration: 2025-03-04
Also published as: JP2005250854A; KR20060043374A; JP4254577B2; DE102005009813A1; US7457988B2; CN1664788A; US20050210326A1; KR100711850B1; DE102005009813B4

Abstract

电子控制系统具有微型计算机监视部分(1)和输出控制部分(24)。当有重负载程序处理请求时，通过输出控制部分(24)中的控制禁止部分(25)，禁止微型计算机(20)控制车辆的控制对象(40)，以及监视暂停部分(20)暂停由监视部分(1)执行的异常监视程序。因此，微型计算机(20)执行具有降低处理负载的重负载程序处理。当终止处理重负载程序时，由监视部分(1)开始异常监视。此外，在检验微型计算机的正常操作后，控制系统允许微型计算机(20)开始控制控制对象(40)。

Description

具有微型计算机监视禁止功能的电子控制系统和方法

技术领域

本发明涉及具有微型计算机异常监视禁止功能的电子控制系统和方法。

背景技术

用于车辆的电子控制系统具有监视形成控制系统的微型计算机的功能来检验它是否正常操作，以便防止控制系统的错误操作。该监视确保车辆的安全性。为监视微型计算机，例如监视计时器系统、指定和应答系统等等是公知的。

在监视计时器系统中，通过计数来自微型计算机的输入时钟，测量时间流逝，以及当所测量的时间达到异常监视时间时，生成复位信号。该复位信号复位并重启微型计算机。在指定和应答系统中，将预定监视信号(指定)施加到微型计算机，用于微型计算机的操作计算。在此之后，确定其操作结果(应答)是否与当微型计算机正常操作时，应当获得的操作结果相同。当两个结果彼此不同时，确定微型计算机处于异常状态，以及生成复位信号来重启该微型计算机。

特别地，基于指定和应答系统的监视系统具有用于发送输出到微型计算机、用于监视的数据(指定数据)的指定发送单元和用于接收操作结果数据(应答数据)的应答确定单元，微型计算机在信号上执行算术处理以及确定操作结果是否正确。

在这种情况下，指定发送单元发送存储在监视系统中提供的存储单元，诸如RAM和ROM中的指定数据。接收指定数据输入的微型计算机使用其自己的运算电路，在指定数据上执行算术处理。操作结果输入到在监视系统中提供的应答确定单元中，以及将应答数据与正确的应答数据进行比较。

当两个数据彼此相符时，确定微型计算机正常。当数据不相符时，确定微型计算机异常。同时，计算从发送指定数据，到接收应答数据前流逝的时间。在即使预定时间已逝，还没有接收到应答数据的情况下，确定微型计算机异常。

当如此用于监视微型计算机的正常/异常的监视处理是在例如用于车辆的电子控制系统中提供的微型计算机的监视处理时，紧接在开启点火后，开始传送指定数据，因此，开始微型计算机的正常/异常确定处理。

在用于车辆的最近电子控制系统中，变得越来越可能紧接在开启点火(IG开关)后，监视系统错误地确定微型计算机异常，尽管实际上是正常的。该错误确定由当从监视系统将指定信号输入到微型计算机中时，在预定时间内，微型计算机不能输出应答信号引起。这是因为当紧接在开启点火后，起动用于车辆的电子控制系统时，用于检验车辆的各种控制对象的初始条件的程序运行，以及同时，读取和写入控制对象的程序。因此，使控制系统的微型计算机处于极其沉重的操作负载下。

近年来，控制系统的控制对象数量趋向于增加，以及这些控制程序的能力正变大。因此，预期施加在微型计算机上的负载将变得更重，与以前相比，出现上述问题的可能性增大。

通过提供具有高处理性能的微型计算机的电子控制系统，能规避由微型计算机处理能力不足引起的上述问题。然而，这会导致增大控制系统以及缺少排列空间。此外，还会导致携载该系统的车辆的价格增高。此外，要求微型计算机仅在有限状态下，诸如开启IG开关时而非正常控制时具有高处理能力。因此，使用具有符合正常控制的处理性能的微型计算机更可取。

发明内容

因此，本发明的目的是提供降低当紧接在起动控制系统后，微型计算机处于重负载状态中时，微型计算机异常的错误确定的电子控制系统和方法。

基于本发明，将监控信号输入到微型计算机，以及基于其操作结果和算术处理时间，监视微型计算机的异常。当输入重负载程序处理请求信号时，控制系统通过微型计算机禁止该控制，然后暂停监视它。重负载程序可以是当控制系统处于除正常控制外的状态中时，请求处理的程序。

在处理重负载程序期间，即使当微型计算机正在正确操作时，算术处理花费时间，因此，可能会确定微型计算机异常。通常，当确定微型计算机异常时，微型计算机将复位以及对被执行直到那一时刻的算术处理进行初始化。在这些情况下，根据每种情形的内容，重启算术处理。然而，由于微型计算机仍然处于与重启前相同的重负载状态中，很可能再次重启微型计算机并且不能结束算术处理。

与传统情形不同，在重负载程序的处理期间，不执行异常监视处理。因此，不会由于错误确定而复位微型计算机。因此，即使在重负载状态中，微型计算机能连续地执行正在进行的程序处理直到结束程序处理为止。当控制系统不执行微型计算机的异常监视处理时，禁止微型计算机控制控制对象。因此，即使当微型计算机在该异常监视暂停期间变成异常，也能确保车辆的安全性。

其中，除预先确定的正常控制外的微型计算机状态是指当在控制系统的开发阶段中，特别是紧接在微型计算机接收起动请求后，重写微型计算机的存储单元中的程序时的状态。例如，当控制系统是用于车辆的控制系统时，该状态包括当启动车辆的点火时、当由车辆制造商重写存储在车内微型计算机的存储单元中的程序时的状态。

紧接在开启车辆的点火后，并行执行后续处理：读取用于控制控制对象的控制程序、检验控制对象的初始设定的系统检验、控制对象的初始设定等等。另外，当重写存储在微型计算机的存储单元中的用于控制车辆的程序时，通过通信，从外部输入大量程序数据，并写入存储单元中。在这些情况下，施加在微型计算机上的负载非常重，因此，其处理速度变低，这会导致错误确定。

根据本发明，预先指定将在这些情况下应处理的程序。当出现请求处理那个程序的请求时，能暂停异常监视处理，由此能防止错误确定。该重负载程序包括在预先可预测的微型计算机的重负载状态中，诸如紧接在启动微型计算机后以及在重写程序时必须处理的任何程序。

因此，电子控制系统可以是其状态除正常控制外，紧接在车辆的点火起动后，微型计算机执行控制的初始控制状态的控制系统。此外，控制系统可以是特征在于重负载程序处于在车辆停止时，重写存储在微型计算机的存储单元中的程序的控制状态的控制系统。

此外，将用于监视的信号(监控信号)输入到微型计算机中，以及控制系统基于其操作结果和算术处理时间，执行微型计算机的异常监视。其中，微型计算机的操作结果是通过微型计算机在监控信号上执行算术处理获得的操作结果数据。该算术处理时间是反映从监视装置将监控信号输入到微型计算机中，直到监视装置获得其操作结果数据流逝的时间的时间。

此时，可以通过延长该监视处理时间来防止错误确定。然而，考虑到车辆的安全控制，最好基于正常控制状态中的算术处理时间，设置算术处理时间。异常监视暂停状态定义为区别于正常控制状态的例外状态，能在正常操作状态下，不放宽异常监视条件的情况下，设置异常监视暂停状态。

当微型计算机处于除正常控制外的状态中，以及有重负载程序处理请求时，控制系统暂停微型计算机的异常监视以及禁止微型计算机控制这些控制对象。当微型计算机处于如上所述的处理重负载程序的状态中时，控制系统不执行异常监视。

通过该过程，能防止由重处理负载引起的错误确定。在不执行这种异常监视的情况下，不可能确定微型计算机是否正常操作。不能保证微型计算机正正确地操作。因此，当未正在执行异常监视时，能通过禁止微型计算机控制各种控制对象，使错误信号不输入到控制对象中。

响应重负载程序处理请求信号的输入，暂停操作结果确定处理。响应重负载程序处理请求信号的输入，暂停监控信号的输出。可以同时执行两种处理。因此，监视被暂停时的信号处理是不必要的。因此，暂停监视信号的输出和暂停操作结果确定处理很有效，因为它们不会施加另外的负担给微型计算机。

响应从微型计算机外部输出的、用于请求处理重负载程序的处理请求信号，输出重负载程序处理请求信号。由于仅需要将重负载程序处理请求信号输出到微型计算机和控制禁止部分，可以在微型计算机的内部或外部输出请求信号。

例如，在通过开启用于车辆的控制系统中的IG，暂停监视的情况下，可以将控制系统配置成直接将来自IG开关的ON信号分别输入到监视部分和控制禁止部分。此时，监视部分和控制禁止部分推断已经开始处理微型计算机的预定重负载程序，以及能禁止微型计算机控制这些控制对象以及暂停异常监视处理。

控制禁止部分可以是在电连接到微型计算机和控制对象的输出控制系统中提供的用于禁止微型计算机控制这些控制对象的电路。

附图说明

从下述结合附图的详细描述，本发明的上述和其他目的、特征和优点将变得更显而易见。在图中：

图1是表示根据本发明的实施例的电子控制系统的框图；

图2是表示在图1所示的控制系统中执行的微型计算机监视暂停处理的第一例子的流程图；

图3是表示在图1所示的控制系统中执行的微型计算机监视暂停处理的第二例子的流程图；以及

图4是表示在图1所示的控制系统中执行的微型计算机监视暂停处理的第三例子的流程图。

具体实施方式

参考图1，电子控制系统由用于输出用于各种车内设备(控制对象)40的控制信号的微型计算机20、用于监视微型计算机20的操作的监视单元1，以及用于从微型计算机20接收控制信号以及实际控制各种车内设备40的输出控制单元(输出驱动器)24。

微型计算机20包括CPU21、ROM22、RAM23、IO端口等等，以及基于存储在ROM22、RAM23等等的存储单元中的各种程序，将用于车内设备40的控制信号输出到输出驱动器24。由微型计算机20内的CPU21生成控制车内设备40的控制信号。CPU21是微型计算机20中的运算电路。

通过接通点火开关(IG开关)30，启动或起动微型计算机20，以及接收IG开关的ON(接通)信号的重负载程序处理请求单元31与该启动同时，将重负载程序处理请求信号输出到微型计算机20。因此，从存储单元读取启动程序并执行其。微型计算机20特别地读取用于控制车内设备40等等的各种程序，并开始控制车内设备40。当执行该启动程序时，执行用于检验初始状态的系统检验、用于控制各种控制对象的初始设定等等的处理。在完成这些处理后，终止启动程序以及起动正常运行状态中的控制。

在该微型计算机20的起动处理时，微型计算机20(还执行监视暂停)将指定应答禁止信号输出到监视单元1。响应来自重负载程序处理请求单元31的信号，输出该禁止信号，用于暂停由监视单元1执行的监视处理。

在这种情况下，监视单元1配置成从微型计算机20接收指定应答禁止信号的输入。另外，可以绕过微型计算机20，直接从其他设备，诸如点火开关30等等接收指定应答禁止信号的输入。

监视单元1通过能串行通信的串行通信单元2连接到微型计算机20。监视单元1将预定多位的指定数据(ASGN)作为监控或监视信号发送给微型计算机以便使微型计算机20的运算电路执行算术处理。

监视单元1接收该操作结果作为应答数据(ANSR)以便确定应答数据是否正确。监视单元1由此监视微型计算机20以便确定其是否处于异常状态。应注意到与该指定和应答系统的微型计算机监视并行，可以同时执行传统的监视计时器系统的微型计算机监视。

指定数据选择单元3使用计数器电路来创建指定数据，以及将其传送到微型计算机20。此时，与微型计算机20的系统时钟同步读取指定数据，以及通过串行通信，经串行通信单元2将所读取的指定数据顺序地传送到微型计算机20。

微型计算机20在该指定数据上执行算术处理，以及通过串行通信，将操作或计算结果传送到比较确定单元4，作为应答数据。该运算电路假定当微型计算机20异常时，这种复杂的处理不能被处理，以便通过使用计数器电路的简单电路实现指定数据。

比较确定单元4执行将与微型计算机20的预定时钟周期同步接收的应答数据与用于该应答数据的模型或参考数据(正确应答数据)的比较操作。当两个数据彼此相符时，将该应答数据确定为正确的应答。当不相符时，将该应答确定为不正确应答。

当确定应答数据不正确(NG)时，比较确定单元4将逻辑高电平信号(H信号)输出到NG确定单元5。当确定应答数据正确时(OK)，比较确定单元4将逻辑低电平信号(L信号)输出到NG确定单元5。指定数据、应答数据和正确应答数据的每一个是预定位数的数字数据。

当比较确定单元4将H信号输出到NG确定单元5时，指定数据选择单元3还通过反相器10接收L信号的输入。由计数器电路组成的指定数据选择单元3计数输入信号的H信号(指定更新信号)的数量。

指定数据选择单元3根据计数器中的计数增加，更改将传送到微型计算机20的指定数据，以及传送不同于迄今传送的指定数据的指定数据(通过将在前指定数据加1产生的数据)。应注意到可不更新指定数据直到进行NG确定达预定次数(例如三次)为止。另外，每次进行NG确定时，可以更新指定数据。

当在比较确定单元4中，确定结果为NG时，NG确定单元5接收H信号的输入。重复执行比较确定处理。然而，在比较确定处理的结果表示预定多个连续NGs的情况下(例如生成三个连续NGs的情况)，NG确定单元5确定微型计算机20处于NG状态(异常状态)以及保持向OR电路11输出H信号直到NG确定单元5接收到复位信号的输入为止。当确定为OK时，NG确定单元5输出L信号。

将应答更新检验单元6配置成包括计数器定时器，以及测量从当比较确定单元4接收应答数据时到当其接收包括微型计算机20的算术处理时间的下一应答数据时流逝的时间。当该更新时间超出预定时间(例如30ms)时，应答更新检验单元6确定微型计算机20处于NG状态(异常状态)，以及保持输出H信号直到NG确定单元5接收复位信号的输入为止。当确定为OK时，应答更新检验单元6输出L信号。

来自NG确定单元5和来自应答更新检验单元6的输出信号输入到OR(或)电路11。当任一单元将NG信号，即H信号输入到OR电路11时，OR电路11将H信号输出到复位脉冲生成电路7。复位脉冲生成电路7将所输入的H信号转换成预定宽度的脉冲信号，以及将该信号输出到OR电路12和反相器13。在NG确定单元5和应答更新检验单元6均输出L信号，即两个单元产生OK确定的情况下，复位脉冲生成电路7不生成脉冲信号。

当复位脉冲生成电路7生成复位脉冲信号时，将脉冲信号输入到OR电路12。此时，当微型计算机20正执行正常控制时，OR电路12经由禁止端8从微型计算机20接收L信号的输入。因此，从OR电路12，将脉冲信号分别输出到指定数据选择单元3、NG确定单元5和应答更新检验单元6。因此，响应H电平的脉冲信号的输入，复位和初始化这三个单元的每一个。

此外，当复位脉冲生成电路7生成复位脉冲信号时，将同样的脉冲信号输入到反相器13中。反相器13使该脉冲信号反相以及将所反相的脉冲信号，即R，经由R端9输出到微型计算机20。因此，响应为反相的脉冲信号的L电平的信号，复位和初始化微型计算机20。因此，复位和初始化发生异常的监视单元1和微型计算机20。

然而，不保证通过复位，微型计算机20必定从异常状态返回到和恢复其正常状态。因此，在该控制系统中，控制禁止电路禁止微型计算机20控制这些控制对象直到异常监视单元能检验微型计算机20的正常操作为止。在图1的微型计算机20的情况下，由于微型计算机20控制车辆，将暂停车内设备40的控制。

例如，当图1中的微型计算机20正将电功率转向设备的功率辅助马达作为控制对象进行控制，将暂停马达的控制。因此，在该暂停后，驾驶员将执行处理操作而没有马达的功率辅助。另外，当微型计算机20正将ABS设备的制动液压控制作为控制对象进行控制时，将暂停制动液压控制以及用户将执行正常的制动操作。

即使当暂停这些车辆控制时，在行驶车辆中不会产生问题。通常，在类似此的车辆控制系统的任何异常的情况下，配置成安全地工作。输出驱动器单元24还在故障-安全(fail-safe)模式中控制。

当用于车辆的电子控制系统处于除正常控制外的状态中时，即，微型计算机20处于正常状态中，但在重负载状态中，将降低微型计算机20的处理能力。另外，在监视处理中，从接收指定数据到传送应答数据的时间将变得更长。因此，微型计算机20将通过应答更新检验单元6接收NG确定。在这种情况下，尽管微型计算机20正在正常操作，但微型计算机20停止工作(rest)以及在此之后，控制系统将不控制车内设备40。

因此，在该实施例中，关于紧接在开启IG开关30之后，将控制系统配置成暂停由监视单元1执行的异常监视处理以及允许控制禁止电路阻塞从微型计算机20到车内设备40的输出以便在监视功能不起作用的情况下，将不控制车内设备40。用于禁止微型计算机20控制类似此的这些控制对象的控制禁止电路25可以安装在输出控制系统中，如图1所示。另外，可以将电路配置成输出控制系统外的独立电路。

监视单元1如下执行监视暂停处理，用于暂停监视微型计算机20。在用于车辆的电子控制系统中，当接通IG开关30时，重负载程序处理请求单元31将用于请求启动程序的处理的信号输出到微型计算机20。因此，微型计算机20将指定应答禁止信号(监视禁止信号)经由禁止端8传送到监视单元1。

该指定应答禁止信号，即“禁止”8，作为一H信号通过该串行通信单元2被发送给该OR电路12。当作为指定应答禁止信号的H信号被输入给该OR电路12时，该OR电路12将该H信号输出给该指定数据选择单元3、NG确定单元5、和应答更新检验单元6，一直保持这三个单元处于它们的复位状态。这样，通过监视单元1进行的微型计算机20的监视被暂停。

在这种情况下，不需要暂停全部该三个单元。例如，该电路可被配置成使NG确定单元5和应答更新检验单元6总是被保持在复位状态，且即使指定数据选择单元3将制定数据发送给微型计算机20，也不对其应答数据执行NG确定。

在这种情况下，由于从NG确定单元5和应答更新检验单元6输出的信号总是L信号，因此，复位脉冲生成电路7不产生复位脉冲信号，以及由于R端9处于低电平，微型计算机20将不被复位。在这种情况下，仅需要电路a和b，而电路c是不必要的。

此后，关于用于车辆的电子控制系统的异常监视暂停处理，将描述用于执行该处理的流程。图2是响应IG开关30的接通事件，微型计算机暂停处理的流程图。

在步骤101中，确定是否发出微型计算机20的起动(启动)请求。当重负载程序处理请求单元31(重负载程序处理请求部)检测到IG开关30的ON信号时，处理进入步骤102以便将起动请求信号输出到微型计算机20。相反，当IG开关持续为关(无起动请求)时，流程再次返回到步骤101。

在步骤102，控制禁止电路25禁止微型计算机20控制各种车内设备40。使用例如开关电路，能阻塞控制信号到车内设备40。在步骤103，暂停通过监视单元1的微型计算机异常监视处理。因为此，在步骤103中，通过监视暂停处理，不监视微型计算机20的异常性，车内设备40根本不受微型计算机20控制。

通过微型计算机20传送到监视单元1的OR电路12的指定应答禁止信号的输入进行触发，完成步骤103中暂停微型计算机监视处理。不一定需要从微型计算机20输出指定应答禁止信号。在这种情况下，可以配置控制系统以便监视单元1能绕过微型计算机20，直接从IG开关30接收H信号的输入。

在步骤104中，响应在步骤103中暂停微型计算机监视的事件，开始启动处理。在步骤105，确定结束启动处理。当终止时，处理进入步骤106。通过终止起动处理，微型计算机20处于约略等于当车辆正常行驶时的负载的负载下，而不承受与当启动时一样重的负载。

在步骤106中，响应微型计算机20已经变成在正常运行的控制状态中的事件，控制系统开始监视处理。在步骤107，响应微型计算机20处于通过监视单元1的监视状态中的事件，控制系统去除通过控制禁止电路25，加于微型计算机20上的控制禁止状态，允许微型计算机20开始控制各种车内设备40，并终止其处理。

注意仅在紧接在开启车辆的IG开关后，微型计算机20处于重负载下时，不施加图2中的微型计算机监视暂停处理。例如，当在车辆制造商中，正重写存储在微型计算机20的ROM22和RAM23中的程序时，微型计算机20处于重负载下，如在开启IG开关30时一样，并降低其处理速度。

在这种情况下，如图3所示的流程图中所示，能执行微型计算机监视暂停处理。

在图3的步骤201中，确定微型计算机20是否接收到程序写入请求(一种重负载程序处理请求)。写入请求能通过例如从外部发送促使重负载程序处理请求单元31转移到程序重写模式的信号并使所述请求单元31将程序重写处理请求信号(一种请求重负载程序处理的信号)输入到微型计算机20，请求程序重写程序的处理。

当在步骤201中有写入请求时，处理从步骤202到步骤203。当没有写入请求时，处理结束。在步骤202和步骤203中，与在图2中的步骤102和步骤103相同，禁止微型计算机20控制各种车内设备40，然后暂停微型计算机监视。在检验这些暂停后，在步骤204，开始将程序写入微型计算机20的存储单元的处理。

当终止写入处理时，处理从步骤205进到步骤206和207，其中与在步骤106和107中一样，开始微型计算机监视，微型计算机20开始控制各种车内设备40，并终止该程序。另外，能从已经开始微型计算机监视的状态执行该处理。在检验微型计算机20是否处于仅当车辆不处于正常行驶时允许的程序重写模式后执行此操作。

该处理可以是确定紧接在开启图2中的IG开关后，是否有到图3的微型计算机20的程序重写请求的一种处理。图4表示在这种情况下的流程图。

在图4的步骤301中，如在步骤101中，确定伴随开启IG开关30，是否有到微型计算机20的起动请求。当请求启动时，执行从步骤302到步骤305的处理。当没有起动请求时，处理进入步骤306。从步骤302到步骤305的处理与图2中的步骤102-105相同。在步骤305终止起动处理后，处理进入步骤306。

在步骤306，确定是否有到微型计算机20的程序写入请求。当有请求时，执行从步骤307到步骤310的处理。当没有这种请求时，处理进入步骤311。从步骤307到步骤310的处理与图3中的步骤202-205相同。当在步骤310中终止将程序写入微型计算机20的处理时，在步骤311中开始微型计算机监视，以及在步骤312，微型计算机20开始控制各种车内设备。

本发明不限于这些实施例。在不背离基于附加权利要求的描述的技术范围的情况下，能对本发明做出各种改进和改变。

Claims

1.一种电子控制系统，包括：

微型计算机(20)，基于存储在存储装置(22，23)中的控制程序，生成用于控制控制对象(40)的控制信号；以及

监视装置(1)，执行用于监视所述微型计算机(20)的异常监视处理以便检验所述微型计算机(20)是否正常，并且当所述微型计算机(20)被确定为异常时重新启动所述微型计算机(20)；

其特征在于，

重负载程序处理请求装置(31)，用于当所述微型计算机(20)处于不同于预定正常控制的状态中时，输出请求所述微型计算机(20)处理存储在所述存储装置(22，23)中的预定重负载程序的重负载程序处理请求信号；

监视暂停装置(8)，用于响应所述重负载程序处理请求信号的输入，使所述监视装置(1)暂停所述异常监视处理；以及

控制禁止装置(24，25)，用于当通过所述监视暂停装置(8)暂停所述异常监视处理时，响应所述重负载程序处理请求信号的输入，通过阻止所述微型计算机(20)的控制信号以使该控制信号不传送到所述控制对象(40)，安全地暂停所述控制对象(40)。

2.如权利要求1所述的电子控制系统，其特征在于，当所述重负载程序处理请求装置(31)向所述微型计算机(20)发出重负载程序处理请求时，所述控制禁止装置(24，25)禁止所述微型计算机(20)控制所述控制对象(40)以及所述监视暂停装置(8)暂停由所述监视装置(1)执行的异常监视处理，随后，所述微型计算机(20)执行所述重负载程序。

3.如权利要求1所述的电子控制系统，其特征在于，当所述重负载程序终止时，在所述监视装置(1)响应于所述微型计算机(20)已经变成正常运行而重新开始所述微型计算机(20)的异常监视处理之后，所述控制禁止装置(24，25)取消施加于所述微型计算机(20)对所述控制对象(40)的控制上的控制禁止。

4.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，所述监视装置(1)通过将预定的监视信号输出到所述微型计算机(20)，使所述微型计算机(20)执行算术处理，以及基于操作结果和算术处理时间，确定所述微型计算机(20)是否正常操作，来执行异常监视处理。

5.如权利要求4的所述的电子控制系统，其特征在于，所述监视装置(1)响应所述重负载程序处理请求信号，暂停操作结果确定处理。

6.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，所述监视装置(1)响应所述重负载程序处理请求信号的输入，暂停监视信号的输出。

7.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，所述重负载程序处理请求装置(31)响应用于请求处理从所述微型计算机(20)的外部输入到所述微型计算机(20)的重负载程序的处理请求信号，发出所述重负载程序处理请求信号。

8.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，所述控制禁止装置(24，25)是电连接到所述微型计算机(20)和所述控制对象(40)用于禁止所述微型计算机(20)控制所述控制对象(40)的电路。

9.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，在车内提供所述控制对象(40)，以及除正常控制外的状态是紧接在车辆的点火起动后，由所述微型计算机(20)执行控制的初始控制状态。

10.如权利要求1至3的任何一个所述的电子控制系统，其特征在于，为车辆提供所述控制系统，以及所述重负载程序处于在车辆停止时，存储在所述微型计算机(20)的存储装置(22，23)中的程序被重写的状态中。

11.一种电子控制方法，包括：

操作基于存储在存储装置(22，23)中的控制程序，生成用于控制控制对象(40)的控制信号的微型计算机(20)；以及

监视微型计算机操作以便通过向所述微型计算机(20)输出预定监视信号，使所述微型计算机(20)响应所述预定监视信号执行算术处理，来检验所述微型计算机(20)是否正常，以及当确定所述微型计算机异常时停止所述微型计算机操作；

其特征在于，检验所述微型计算机(20)是否处于与除预定正常控制状态外的重负载程序处理状态相对应的预定状态中；

当确定所述微型计算机(20)处于所述预定状态中时，暂停监视步骤。

12.如权利要求11所述的电子控制方法，其特征在于，所述预定状态包括通过接通车辆的点火开关，来起动所述微型计算机(20)的操作。

13.如权利要求11所述的电子控制方法，其特征在于，所述预定状态包括所述微型计算机(20)的程序写入操作。