CN103827835B - 车辆用控制装置及方法 - Google Patents

Abstract

本发明提供车辆用控制装置及方法，该车辆用控制装置包括主处理部211和安全功能处理部212，其中，主处理部211执行用于使动力传递装置进行动作的各种处理，安全功能处理部212执行执行安全功能处理，该安全功能处理是对根据主处理部211的处理进行动作的动力传递装置20的危险状态进行检测，并且使该动力传递装置20处于安全状态的处理，安全功能处理部212在执行安全功能处理时监控该安全功能处理的执行顺序是否正确。

Description

车辆用控制装置及方法

技术领域

本发明涉及包含对安装在车辆上的车载装置进行控制的计算机的车辆用控制装置及利用了该计算机的车辆用控制方法。

背景技术

以往，作为能够检测程序失控的运算装置，已知有对执行程序的运算部的基准时钟进行计数且每隔规定值向运算部发出中断要求的装置（例如，参照专利文献1）。该运算装置在中断处理时判定程序的执行地址是否存在于规定范围内，在程序的执行地址不存在于规定范围内时判定为程序处于失控状态。另外，作为具有根据程序来执行处理的指令处理部并且对该指令处理部中的程序执行失控进行检测的半导体电路装置，已知有如下的装置，即，判定由指令处理部访问的程序空间的地址，并且对判定为指令处理部访问了非安装空间的地址的情况进行响应而执行复位处理，由此止住向非安装空间的失控（例如，参照专利文献2）。进而，作为对将程序分割为多个任务程序且使各任务程序以规定顺序被执行的多任务程序的失控进行检测的装置，已知有如下的装置，该装置具有：多个任务程序存储单元，其存储任务程序，切换单元，其将存储在这些任务程序存储单元中的任务程序切换为由指令单元指定的任务程序，判定单元，其判定基于正执行的任务程序得到的程序地址是否存在于所指定的任务程序的程序地址的范围内，在判定为不在范围内的情况下认为是失控（例如，参照专利文献3）。

现有技术文献

专利文献

专利文献1：日本特开2002-236600号公报

专利文献2：日本特开2006-079230号公报

专利文献3：日本特开平08-106406号公报

发明内容

上述以往的程序失控检测技术，基本上只是监控当前正在执行的处理是否包含在预先决定的地址（程序地址）中，并不能够监控是否执行原本应执行的处理。因此，从确保车辆的安全性的观点出发，将上述以往的程序失控检测技术装备到包含对车载装置进行控制的计算机的车辆用控制装置上，存在不足。另一方面，在车辆用控制装置中，还存在用于使车载装置进行动作的控制本身变得复杂的情况，若对所有的处理的执行状态进行监控，则导致运算负荷增加，反而对各种处理的顺利执行造成障碍。

因此，本发明的主要目的在于，提供一种能够抑制运算负荷的增加的同时更加恰当地控制车载装置以确保车辆的安全性的车辆用控制装置及方法。

本发明的车辆用控制装置及车辆用控制方法为了上述主要目的采用了以下的手段。

本发明的车辆用控制装置，包含对安装在车辆上的车载装置进行控制的计算机，该车辆用控制装置的特征在于，

该车辆用控制装置包括：

主处理部，其执行用于使所述车载装置进行动作的处理，

安全功能处理部，其执行安全功能处理，在该安全功能处理中，对根据所述主处理部的处理进行动作的所述车载装置的危险状态进行检测，并且使该车载装置处于安全状态；

所述安全功能处理部具有执行顺序监控单元，该执行顺序监控单元在执行所述安全功能处理时监控该安全功能处理的执行顺序是否正确。

该车辆控制装置具有主处理部和安全功能处理部，其中，主处理部执行用于使车载装置进行动作的处理，安全功能处理部执行安全功能处理，在该安全功能处理中，对根据该主处理部的处理进行动作的车载装置的危险状态进行检测，并且使车载装置处于安全状态。并且，安全功能处理部具有执行顺序监控单元，该执行顺序监控单元在安全功能处理被执行时监控该安全功能处理的执行顺序是否正确。这样，在安全功能处理部中设置有执行顺序监控单元，若对控制车载装置时执行的各种处理中的用于确保安全功能的安全功能处理的执行顺序是否正确进行监控，则能够抑制安全功能处理以与原本的执行顺序不同的顺序执行的情况，从而不需监控由主处理部执行的处理的执行状态，也能够良好地确保车辆的安全性。由此，能够抑制运算负荷的增加的同时更加恰当地控制车载装置以确保车辆的安全性。此外，成为执行顺序是否正确的监控对象的安全功能处理，其本身可以是一个任务，也可以是在执行某个任务时调出的处理（子程序、函数等）。

另外，所述执行顺序监控单元可以包括：定义单元，其定义应执行的安全功能处理；判定单元，其判定是否执行由所述定义单元定义的所述安全功能处理。由此，能够更加恰当地监控安全功能处理的执行顺序是否正确。

进而，所述执行顺序监控单元可以包括：分支后处理定义单元，其在所述安全功能处理包含分支处理的情况下，定义在分支后应执行的分支后处理；分支判定单元，其判定是否执行由所述分支后处理定义单元定义的分支后处理。由此，在执行包含分支处理的安全功能处理时，能够更加恰当地监控分支后处理的执行顺序是否正确。

另外，所述安全功能处理部可以还具有执行周期监控单元，在所述安全功能处理是以规定周期被反复执行的反复处理的情况下，该执行周期监控单元与该安全功能处理的执行独立地监控所述安全功能处理的执行周期是否包含在正常范围内。这样，通过监控作为反复处理的安全功能处理的执行周期，能够抑制该安全功能处理以与原本的执行周期不同的周期执行的情况，从而能够更良好地确保车辆的安全性。此外，这样的执行周期的监控可以通过一个任务内的与安全功能处理（反复处理）独立的函数等来执行，也可以通过与包含反复处理的任务不同的其他的任务来执行，还可以利用与构建有主处理部及安全功能处理部的计算机不同的其他的计算机来执行。

并且，所述车载装置可以是用于将来自原动机的动力向所述车辆的驱动轮传递的动力传递装置。

本发明的车辆用控制方法，使用了对安装在车辆上的车载装置进行控制的计算机，

在该车辆用控制方法中执行主处理和安全功能处理，并且仅在执行所述安全功能处理时，监控该安全功能处理的执行顺序是否正确，其中，所述主处理用于使所述车载装置进行动作，所述安全功能处理用于对根据所述主处理进行动作的所述车载装置的危险状态进行检测，并且使该车载装置处于安全状态。

根据该方法，能够抑制运算负荷的增加的同时更加恰当地控制车载装置以确保车辆的安全性。

附图说明

图1是作为包含本发明的车辆用控制装置的车辆的汽车10的概略结构图。

图2是本发明的车辆用控制装置的控制框图。

图3是示出了安全功能处理的执行周期的监控步骤的一个例子的流程图。

图4是示出了安全功能处理的执行步骤的一个例子的流程图。

图5是示出了安全功能处理的执行步骤的其他例子的流程图。

具体实施方式

接着，利用实施例，说明用于实施本发明的方式。

图1是作为包含本发明的车辆用控制装置的车辆的汽车10的概略结构图。图1所示的汽车10包括如下构件等：作为原动机的发动机12，其是通过汽油或轻油这样的烃类燃料和空气的混合气体的爆发燃烧来输出动力的内燃机；发动机用电子控制单元（下面，称为“发动机ECU”）14，其控制发动机12；制动用电子控制单元（下面，称为“制动ECU”）16，其控制未图示的电子控制式油压制动单元；作为车载装置的动力传递装置20，其与发动机12的曲轴相连接，用于将来自发动机12的动力传递至左右驱动轮DW；作为本发明的车辆用控制装置的变速用电子控制单元（下面，称为“变速ECU”）21，其控制动力传递装置20。

发动机ECU14构成为以未图示的CPU（中央处理单元）为中心的微型计算机，除了包括CPU之外，还包括用于存储各种程序的ROM（只读存储器）、用于暂时存储数据的RAM（随机存取存储器）、输入输出口及通信口（均未图示）等。如图1所示，向发动机ECU14输入来自用于检测油门踏板91的踩踏量（操作量）的油门踏板位置传感器92的油门开度Acc、来自车速传感器97的车速Ｖ、来自用于检测曲轴的旋转位置的未图示的曲轴位置传感器这样的各种传感器等的信号、来自制动ECU16及变速ECU21的信号等，发动机ECU14基于这些信号来控制均未图示的电子控制式节气门阀及燃料喷射阀、火花塞等。

制动ECU16也构成为以未图示的CPU为中心的微型计算机，除了包括CPU之外，还包括用于存储各种程序的ROM、用于暂时存储数据的RAM、输入输出口及通信口（均未图示）等。如图1所示，向制动ECU16输入在踩踏制动器踏板93时由主缸压传感器94检测出的主缸压、来自车速传感器97的车速Ｖ、来自未图示的各种传感器等的信号、来自发动机ECU14及变速ECU21的信号等，制动ECU16基于这些信号来控制未图示的制动促动器（油压促动器）等。

动力传递装置20包括容置在变速箱22内部的液力变矩器（流体传动装置）23、油泵24、例如作为有级式自动变速器的变速器25、齿轮机构26、差动机构（差速器齿轮）27、油压控制装置30等。液力变矩器23包括与发动机12的曲轴相连接的输入侧的泵轮、与变速器25的输入轴（输入构件）相连接的输出侧的涡轮、导轮、锁止离合器、减震机构等（均省略图示）。此外，也可以取代液力变矩器23而利用没有导轮的液力偶合器。油泵24构成为齿轮泵，具有由泵体和泵盖构成的泵组件和经由毂与液力变矩器23的泵轮a相连接的外齿齿轮，借助来自发动机12的动力来吸引在未图示的油盘中所存积的动作油（ATF）并压送至油压控制装置30。

变速器25能够一边将变速挡变更为多个挡一边将传递至输入轴的动力向输出轴传递，包括多个行星齿轮机构、用于变更从输入轴至输出轴的动力传递路径的多个离合器、制动器、单向离合器等。变速器25的输出轴经由齿轮机构26及差动机构27与驱动轮DW相连接。另外，多个离合器及制动器通过来自油压控制装置30的油压来接合或断开。此外，变速器25也可以构成为带式或其他形式的无级变速器。油压控制装置30具有配置在阀体内的多个电磁阀及继动阀等，用于生成液力变矩器23及变速器25所要求的油压并且向各种轴承等润滑部分供给动作油。

如图2所示，作为控制动力传递装置20的控制装置的变速ECU21包括主计算机210、监控计算机（辅助计算机）220、用于对来自车速传感器97、转速传感器98及油温传感器99这样的各种传感器的信号进行处理的处理电路230、用于驱动控制油压控制装置30的驱动电路240，主计算机210及监控计算机220分别构成为以均未图示的CPU为中心的微型计算机，除了包括CPU之外，还包括用于存储各种程序的ROM、用于暂时存储数据的RAM、输入输出口及通信口（均未图示）等。如图1所示，向变速ECU21输入来自油门踏板位置传感器92的油门开度Acc、来自车速传感器97的车速Ｖ、来自对用于从多个挡位中选择所希望的挡位的变速杆95的操作位置进行检测的挡位传感器96的挡位SR、来自用于检测变速器25的输入转速的转速传感器98及用于检测油压控制装置30中的油温的油温传感器99这样的各种传感器等的信号、来自发动机ECU14及制动ECU16的信号等，变速ECU21基于这些信号来控制液力变矩器23及变速器25即油压控制装置30。

并且，如图2所示，在构成变速ECU21的主计算机210中，通过由如CPU、ROM、RAM这样的硬件及如安装到ROM上的程序这样的软件协作，来构建作为功能块的主处理部211、安全功能处理部212及监控部215。主处理部211执行用于使液力变矩器23及变速器25进行动作的各种处理（主处理），即执行对油压控制装置30的整个控制。安全功能处理部212执行对包含液力变矩器23、变速器25及油压控制装置30等的动力传递装置20的危险状态进行检测，并且使动力传递装置20处于安全状态的各种任务（tasks）、子程序（subroutines）、宏命令（macros）、函数等即安全功能处理。监控部215与监控计算机220一同相互监控变速ECU21本身（硬件）有无异常。如图所示，在监控计算机220中，也通过由如CPU、ROM、RAM这样的硬件及如安装到ROM上的程序这样的软件协作，来构建用于执行与主计算机210的监控部215同样的处理的监控部225。

如图2所示，向主计算机210的主处理部211经由处理电路230输入来自如油门踏板位置传感器92、车速传感器97、转速传感器98、油温传感器99这样的各种传感器的信号。主处理部211基于经由处理电路230输入的来自各种传感器的信号和来自发动机ECU14及制动ECU16的信号，来生成指令信号，并将该指令信号发送至驱动电路240。并且，驱动电路240按照来自主处理部211的指令信号来控制油压控制装置30的驱动。另外，向变速ECU21的安全功能处理部212经由处理电路230输入来自如油门踏板位置传感器92、车速传感器97、转速传感器98、油温传感器99这样的各种传感器的信号，并且输入指令驱动电路240的信号等。并且，安全功能处理部212执行用于基于输入信号来对包含液力变矩器23、变速器25、油压控制装置30等的动力传递装置20的危险状态进行检测，并且使动力传递装置20处于安全状态的处理即安全功能处理，来生成指令信号，并将该指令信号发送至驱动电路240。进而，主计算机210的监控部215通过对主计算机210的CPU、RAM、ROM等进行检查来监控硬件有无异常。另外，监控计算机220的监控部225被输入主处理部211的输出信号及经由处理电路230从各种传感器传送来的信号，并基于所输入的信号来监控硬件有无异常。此外，在实施例中，向安全功能处理部212输入的来自各种传感器的信号是，例如通过预先基于国际标准构成硬件及软件来进一步提高可靠性以符合国际标准的信号。

在此，“危险状态”例如是指，在变速器25中形成与按照预先决定的变速线图设定的变速挡相比齿轮比更大的变速挡的状态、如从变速ECU21向发动机ECU14指示比预先决定的发动机12的转矩增加量更大的转矩增加量的状态这样的导致使汽车10发生驾驶人员意想不到的加速的状态、如除了针对变速器25的每个变速挡预先决定接合的离合器及制动器以外的离合器等被接合的状态这样的导致使汽车10发生驾驶人员意想不到的减速的状态。另外，“安全状态”例如是指，为了使变速器25不能传递动力而将变速器25设定为空挡的状态、切断向油压控制装置30的所有的电磁阀的电力供给来在变速器25中形成规定变速挡的状态（所谓的跛行回家（limp home）状态）。

接着，参照图3至图5，说明变速ECU21的安全功能处理部212的安全功能处理的执行步骤。

图3例示了在由安全功能处理部212执行作为反复处理的安全功能处理时，为了监控该安全功能处理的执行周期而由安全功能处理部212反复执行的一系列处理的流程图。图3所示的一系列处理例如是通过一个任务内的与安全功能处理（反复处理）独立的函数等来执行的，或是通过与包含成为对象的安全功能处理（反复处理）的任务不同的其他的任务来执行的。

图3的一系列处理是每隔规定周期（例如，100mSec）执行的处理，首先，从预先决定的变量获取成为对象的安全功能处理的调出时刻（系统时间）（步骤S100）。此外，每当通过执行程序来调出该安全功能处理时，将安全功能处理的调出时刻保存到上述变量中。接着，基于在步骤S100中获取的调出时刻来计算成为对象的安全功能处理的执行周期（步骤S110）。在步骤S110中，计算在步骤S100中输入的调出时刻和成为对象的安全功能处理的最初的调出时刻或前一次执行步骤S100时获取的调出时刻之间的差分，作为执行周期。当计算出执行周期，则判定计算出的执行周期是否是预先决定的正常范围外的执行周期（步骤S120）。然后，在步骤S110中计算出的执行周期包含在正常范围内的情况下，在该阶段暂时结束图3的一系列处理。相对于此，在步骤S110中计算出的执行周期是在正常范围外的执行周期的情况下，视为主计算机210发生异常而执行该主计算机210的复位处理（步骤S130），当复位处理结束，则在该阶段暂时结束图3的一系列处理。在此，在复位处理中，包含中止主计算机中的安全功能处理的处理、取消（无效）掉来自主计算机的输出信号的处理等。

这样，通过监控反复执行的安全功能处理的执行周期，来抑制以与原本的执行周期不同的周期执行安全功能处理的情况，从而能够更良好地确保汽车10的安全性。此外，也可以利用与构建有主处理部211及安全功能处理部212的主计算机210不同的计算机即监控计算机220，来执行图3中的一系列处理。

图4是示出了安全功能处理部212的安全功能处理的执行步骤的一个例子的流程图。在此，图4的一系列处理，其自身可以是作为一个任务的安全功能处理，也可以是在执行某一任务时调出的安全功能处理（子程序、宏命令、函数等）。

如图4所示，在执行安全功能处理时，首先，获取作为执行对象的安全功能处理在主计算机210的ROM中的地址并保存到预先决定的变量中（步骤S200），由此定义应执行的安全功能处理。在步骤S200的处理之后，调出作为执行对象的安全功能处理并保存到RAM中（步骤S210）。进而，对在步骤S210中调出的处理的地址和在上述变量中保存的地址进行比较（步骤S220）。此外，在步骤S210中调出的处理在ROM中的地址记述在该处理的程序代码中。然后，在步骤S210中调出的处理的地址与在上述变量中保存的地址一致的情况下（步骤S230：“是”），按照原样执行在步骤S210中调出的处理即在步骤S200中定义的安全功能处理（步骤S240），并在安全功能处理的执行结束的阶段结束图4的一系列处理。相对于此，在步骤S210中调出的处理的地址与在保存在上述变量中保存的地址不一致的情况下（步骤S230：“否”），执行主计算机210的复位处理（步骤S250），当复位处理结束，则在该阶段结束图4的一系列处理。

这样，在将作为执行对象的安全功能处理在主计算机210的ROM中的地址保存到变量中来定义应执行的安全功能处理后（步骤S200），通过对实际调出的处理的地址和在该变量中保存的地址进行比较来判定是否正在执行所定义的安全功能处理（步骤S220、S230），由此能够更加恰当地监控安全功能处理的执行顺序是否正确。因此，即使在例如因CPU的异常等而程序失控这样的情况下，也能够通过复位处理来止住该失控，从而能够更加恰当地控制动力传递装置20以确保汽车10的安全性。

图5是示出了安全功能处理部212的安全功能处理的执行步骤的其他例子的流程图。图5的一系列处理在作为执行对象的安全功能处理包含分支处理的情况下执行。

如图5所示，在执行包含分支处理的安全功能处理时，首先，将在执行基于所谓的“if”语句、“while”语句及“switch”语句等的分支处理之后应执行的分支后处理的虚拟地址保存到预先决定的变量中（步骤S300），由此定义应执行的分支后处理。在此，与调出如参照图4说明的安全功能处理（子程序、宏命令、函数等）本身的情况相比，获取分支后处理在ROM中的地址（实际地址）并不容易。因此，在实施例中，在与包含分支处理的安全功能处理相关的程序中，将在分支后执行的分支后处理的虚拟地址定义为常数，在步骤S300中，将与分支结果相对应的分支后处理的虚拟地址保存到上述变量中。接着，在步骤S300的处理之后，对在分支后实际执行的处理的地址和在上述变量中保存的虚拟地址进行比较（步骤S310）。然后，在分支后实际执行的处理的虚拟地址与在上述变量中保存的虚拟地址一致的情况下（步骤S320：“是”），按照原样执行该处理即在步骤S300中定义的分支后处理（步骤S330），在分支后处理的执行结束的阶段结束图5的一系列处理。相对于此，在分支后实际执行的处理的虚拟地址与在上述变量中保存的虚拟地址不一致的情况下（步骤S320：“否”），执行主计算机210的复位处理（步骤S340），当复位处理结束，则在该阶段结束图5的一系列处理。

这样，在作为执行对象的安全功能处理包含分支处理的情况下，在将虚拟地址保存到变量中来定义应在分支后执行的分支后处理后（步骤S300），通过对在分支后实际执行的处理的虚拟地址和在该变量中保存的地址进行比较来判定是否正在执行所定义的分支后处理（步骤S310、S320），由此能够更加恰当地监控分支后处理的执行顺序是否正确。

如上面的说明，在作为车辆控制装置的变速ECU21的主计算机210中构建有主处理部211和安全功能处理部212，其中，主处理部211执行用于使作为车载装置的动力传递装置20进行动作的多个处理，安全功能处理部212执行用于对动力传递装置20的危险状态进行检测并使该动力传递装置20处于安全状态的多个安全功能处理。并且，安全功能处理部212在执行安全功能处理时按照图3及图4所示的步骤来监控该安全功能处理的执行顺序是否正确。这样，若监控在控制动力传递装置20时执行的各种处理中的用于确保安全功能的安全功能处理的执行顺序是否正确，则能够抑制安全功能处理以与原本的执行顺序不同的顺序执行的情况，从而不需监控由主处理部211执行的处理的执行状态，也能够良好地确保汽车10的安全性。由此，能够抑制主处理部211的运算负荷的增加的同时更加恰当地控制动力传递装置20以确保汽车10的安全性。此外，上述实施例的变速ECU21包含主计算机210和监控计算机（辅助计算机）220，但也可以从变速ECU21中省略监控计算机220。

在此，说明实施例的主要构件与发明内容中记载的发明的主要构件的对应关系。即，在上述实施例中，包含对作为安装在汽车10上的车载装置的动力传递装置20进行控制的主计算机210的变速ECU21相当于“车辆用控制装置”，执行用于使动力传递装置20进行动作的各种处理的主处理部211相当于“主处理部”，执行用于对动力传递装置20的危险状态进行检测并使动力传递装置20处于安全状态的安全功能处理的安全功能处理部212相当于“安全功能处理部”，在执行安全功能处理时用于监控该安全功能处理的执行顺序是否正确的图4的步骤S200～S230及图5的步骤S300～S320相当于“执行顺序监控单元”。另外，图4的步骤S200相当于用于定义应执行的安全功能处理的“定义单元”，图4的步骤S220、S230相当于用于判定是否执行由定义单元定义的安全功能处理的“判定单元”，图5的步骤S300相当于用于定义在分支后应执行的分支后处理的“分支后处理定义单元”，图5的步骤S310、S320相当于用于判定是否执行所定义的分支后处理的“分支判定单元”，图3的步骤S100～S120相当于在安全功能处理是以规定周期反复执行的反复处理的情况下与安全功能处理的执行独立地对该安全功能处理的执行周期是否包含在正常范围内进行监控的“执行周期监控单元”。

但是，此外，实施例的主要的构件与发明内容中记载的发明的主要的构件的对应关系仅为用于具体说明通过实施例实施发明内容中记载的发明的一个例子，因此不限定发明内容中记载的发明的构件。即，应该基于发明内容中记载内容，解释其中记载的发明，实施例仅为发明内容中记载的发明的具体的一个例子。

以上，利用实施例说明了用于实施本发明的方式，但是本发明不被这样的实施例限定，在不脱离本发明的宗旨的范围内，能够以各种方式进行实施。

产业上的可利用性

本发明能够在车辆及车载装置的制造产业中应用。

Claims (8)

1.一种车辆用控制装置，包含对安装在车辆上的车载装置进行控制的计算机，该车辆用控制装置的特征在于，

该车辆用控制装置包括：

主处理部，其执行用于使所述车载装置进行动作的处理，

安全功能处理部，其执行安全功能处理，在该安全功能处理中，对根据所述主处理部的处理进行动作的所述车载装置的危险状态进行检测，并且使该车载装置处于安全状态；

所述安全功能处理部具有执行顺序监控单元，该执行顺序监控单元在执行所述安全功能处理时监控该安全功能处理的执行顺序是否正确，

所述执行顺序监控单元判定应执行的安全功能处理在所述计算机的ROM中的地址与实际调出的处理的地址是否一致，

在应执行的安全功能处理在计算机的ROM中的地址与实际调出的处理的地址一致的情况下，所述安全功能处理部执行应执行的安全功能处理，

在应执行的安全功能处理在计算机的ROM中的地址与实际调出的处理的地址不一致的情况下，执行所述计算机的复位处理。

2.如权利要求1所述的车辆用控制装置，其特征在于，

所述执行顺序监控单元包括：

定义单元，其将作为执行对象的安全功能处理在计算机的ROM中的地址保存到变量中来定义所述应执行的安全功能处理；

判定单元，其判定实际调出的处理的地址与在所述变量中保存的地址是否一致。

3.如权利要求1所述的车辆用控制装置，其特征在于，

所述执行顺序监控单元包括：

分支后处理定义单元，其在所述安全功能处理包含分支处理的情况下，定义在分支后应执行的分支后处理；

分支判定单元，其判定是否执行由所述分支后处理定义单元定义的分支后处理。

4.如权利要求2所述的车辆用控制装置，其特征在于，

所述执行顺序监控单元包括：

分支后处理定义单元，其在所述安全功能处理包含分支处理的情况下，定义在分支后应执行的分支后处理；

分支判定单元，其判定是否执行由所述分支后处理定义单元定义的分支后处理。

5.如权利要求1至4中任一项所述的车辆用控制装置，其特征在于，

所述安全功能处理部还具有执行周期监控单元，在所述安全功能处理是以规定周期反复执行的反复处理的情况下，该执行周期监控单元与该安全功能处理的执行独立地监控所述安全功能处理的执行周期是否包含在正常范围内。

6.如权利要求1至4中任一项所述的车辆用控制装置，其特征在于，

所述车载装置是用于将来自原动机的动力向所述车辆的驱动轮传递的动力传递装置。

7.如权利要求5所述的车辆用控制装置，其特征在于，

所述车载装置是用于将来自原动机的动力向所述车辆的驱动轮传递的动力传递装置。

8.一种车辆用控制方法，使用了对安装在车辆上的车载装置进行控制的计算机，该车辆用控制方法的特征在于，

执行主处理和安全功能处理，所述主处理用于使所述车载装置进行动作，所述安全功能处理用于对根据所述主处理进行动作的所述车载装置的危险状态进行检测并使该车载装置处于安全状态，

并且，仅在执行所述安全功能处理时，判定应执行的安全功能处理在所述计算机的ROM中的地址与实际调出的处理的地址是否一致，来监控该安全功能处理的执行顺序是否正确，

在应执行的安全功能处理在计算机的ROM中的地址与实际调出的处理的地址一致的情况下，执行应执行的安全功能处理，

在应执行的安全功能处理在计算机的ROM中的地址与实际调出的处理的地址不一致的情况下，执行所述计算机的复位处理。