JP2011096087A - 処理装置及び制御方法 - Google Patents

Abstract

【課題】処理部の動作状態の変化に対応して適切に異常を検出して安全性を高めることができる処理装置、該処理装置における制御方法を提供する。
【解決手段】ＣＰＵ１０は、自身がスリープ状態へ遷移する場合、通信制御部１０４によりスリープ状態に応じたＷＤパルスの監視間隔を指示する情報をＡＳＩＣ１０１の監視回路１４へ送信し、監視回路１４は、通信制御部１７で指示の情報を受信すると、当該指示に基づきＷＤパルス監視時間設定部１４３により、ＷＤパルスがＣＰＵ１０から出力される間隔が変更されることを認識して間隔を設定する。以後、ＷＤパルス監視部１４２は、設定された間隔に基づき、ＣＰＵ１０のＷＤパルス出力部１０２からＷＤパルスが周期的に出力されるか否かを判断し、出力されないと判断した場合にリセット出力部１４１からＣＰＵ１０へリセット信号を入力する。
【選択図】図２

Description

本発明は、ＣＰＵ（Central Processing Unit）を用いる処理装置に関し、特に、ＣＰＵの動作状態に応じて異常であるか否かを正確に判断することができる処理装置及び該処理装置における制御方法に関する。

内蔵する記憶部に記憶されたプログラムを実行させて多様な動作を実現させることができるマイクロコンピュータ（以下、マイコンという）を用いて、機器を制御する処理を行なう制御装置が多用されている。

特に車両の分野では、マイコンを用いるＥＣＵ（Electronic Control Unit）が複数接続される制御システムを利用し、相互に連携してアクチュエータを電気的に制御する構成へ移行しつつある。

また、各分野にて省電力化が奨励されている。車両の分野で用いられるマイコンにもスリープ（休止、省電力）状態へ移行する機能を有するものが普及している。

マイコンを用いた処理では、予期していない状況となった場合、又は異常な信号が入力された場合などに、マイコンが正常な動作を維持することができなくなるときがある。車両の分野では、異常な動作が継続することは安全のためにもできるだけ回避できなければならない。このため、マイコンから周期的にウォッチドッグパルス（以下、ＷＤ（Watch Dog）パルス）が出力されるようにしてあり、マイコンの動作を監視する装置にて当該ウォッチドッグパルスを入力し、マイコンの動作が異常であると判断される場合にマイコンをリセットするようにした構成が一般的となりつつある。

ただし、ＣＰＵからの周期的な信号つまりＷＤパルスは、正常時であってもプログラム書き換え又は制御用のデータの更新時などには、一時的に停止する場合がある。この場合に、監視装置にて動作が異常であると判断されてリセット信号がＣＰＵに入力されると、ＣＰＵが書き換えられたプログラムに基づく再起動ができないなどの誤作動がされ得る。

そこで特許文献１には、ＣＰＵからの周期的な正常信号を監視する車両用の電子制御装置に関し、本来のＣＰＵの異常に基づき正常信号を送ることができない状況と、ＣＰＵが書き換えなどの理由により正常信号を送ることができない状況とを区別させる条件を通信手段により監視装置へ送信し、監視装置はＣＰＵからの情報に基づき異常を検出するようにした発明が開示されている。

特開２００７−１８５９９８号公報

しかしながら、特許文献１に開示されている発明では、ＣＰＵからの指示は送ったままで確認がされないので、ＣＰＵ側から正常信号が送信される周期などの条件が変わるにも拘わらず、監視装置側ではそれ以前の条件に基づき異常か否かの判断がされる場合がある。また、特許文献１に開示されている発明では、複数回に亘ってＣＰＵへリセットを指示する場合にリセット回数を計数しておき、不要にリセット信号の入力を繰り返させないように構成してある。しかしながら、ＣＰＵの仕様によっては、繰り返しリセットの指示を受け付けないなど、当該構成では更に誤作動を起こす可能性が否定できない。

本発明は斯かる事情に鑑みてなされたものであり、処理装置の動作状態の変化に対応して適切に異常を検出して安全性を高めることができる処理装置、該処理装置における制御方法を提供することを目的とする。

第１発明に係る処理装置は、信号処理を実行する処理部と、該処理部から周期的に出力される信号及び該信号に対して予め設定される検出条件に基づき前記処理部の動作の異常を検出する異常検出部とを備え、該異常検出部は、異常を検出した場合に前記処理部を再起動させるようにしてある処理装置において、前記処理部と前記異常検出部とは夫々通信手段を備えて相互に送受信を行なうようにしてあり、前記処理部は自身の動作状態が変化する場合に、前記検出条件の変更指示を前記異常検出部へ送信するようにしてあり、前記異常検出部は、前記変更指示を受信した場合に応答を前記処理部へ送信し、受信した変更指示に基づき検出条件を設定する手段を備え、前記処理部は、前記異常検出部から前記応答を受信した場合に、動作状態が変化するようにしてあることを特徴とする。

第２発明に係る処理装置は、前記異常検出部は、前記検出条件として予め複数の候補を記憶しておき、前記処理部は、前記変更指示として前記複数の候補の内のいずれかを示す情報を送信するようにしてあり、前記異常検出部は、前記変更指示に基づき検出条件を設定するようにしてあることを特徴とする。

第３発明に係る処理装置は、前記処理部は、前記異常検出部にて設定されている検出条件の送信要求を前記異常検出部へ送信し、前記送信要求に応じて前記異常検出部から送信される検出条件と自身の動作状態との対応の正誤を判断する手段を備え、誤と判断した場合、前記変更指示を異常検出部へ再送するようにしてあることを特徴とする。

第４発明に係る処理装置は、前記異常検出部は、外部から特定の２値信号の入力を受け付けるようにしてあり、前記２値信号が示す値が変化した場合に、検出条件を予め設定されてある検出条件とするようにしてあることを特徴とする。

第５発明に係る処理装置は、前記処理部は、前記異常検出部への検出条件の変更指示に付して、通信の成否を判断するための判断情報を送信するようにしてあり、前記異常検出部は、前記判断情報に基づき、前記変更指示の受信の成否を判断する手段を備え、該手段が否と判断した場合に、前記処理部への応答に付して否の情報を送信するようにしてあり、前記処理部は更に、前記異常検出部からの応答に前記否の情報が付されている場合、前記変更指示を再送するようにしてあることを特徴とする。

第６発明に係る処理装置は、前記検出条件は、前記処理部から周期的に出力される信号の周期よりも長い時間長であり、前記異常検出部は、前記処理部から前記時間長以上前記信号を受信しない場合に異常であると検出するようにしてあることを特徴とする。

第７発明に係る処理装置は、前記処理部は、自身の動作状態が省電力状態へ変化する場合に、前記時間長を延長させる変更指示を送信するようにしてあることを特徴とする。

第８発明に係る処理装置は、前記処理部は、前記異常検出部にて予め設定されてある前記検出条件である時間長に対する倍率を示す情報を、検出条件の変更指示として送信するようにしてあることを特徴とする。

第９発明に係る処理装置は、前記処理部は、周期的に出力する信号に基づく異常検出を停止させる指示を、前記変更指示として前記異常検出部へ送信するようにしてあることを特徴とする。

第１０発明に係る制御方法は、信号処理を実行する処理部と、該処理部から周期的に出力される信号及び該信号に対して予め設定される検出条件に基づき前記処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記異常検出部が、異常を検出した場合に前記処理部を再起動させる処理装置の制御方法において、前記処理部と前記異常検出部とは夫々通信手段を備えて相互に情報を送受信し、前記処理部は自身の動作状態が変化する場合に、前記検出条件の変更指示を前記異常検出部へ送信し、前記異常検出部は、前記変更指示を受信した場合に応答を前記処理部へ送信し、受信した変更指示に基づき検出条件を設定し、前記処理部は、異常検出部から応答を受信した場合に、動作状態を変化させることを特徴とする。

第１発明及び第１０発明では、処理部と異常検出部とは、処理部から周期に出力される信号の入出力とは別に、通信手段により双方向に通信が可能であり、処理部は自身の動作状態が変化して信号の出力方法（例えば周期など）が変わる場合に、異常検出部へ異常検出条件の変更指示を送信し、更に、変更指示に応じて異常検出部から応答を受信した場合に実際に動作状態を変化させる。異常検出部では変更指示を受信できた場合に、応答を処理部へ送信する。
これにより、処理部では、異常検出部にて変更通知が問題なく受信されたことを確認してから動作状態を変化させる。異常検出部への検出条件を変更させる通知の送信を成功できた場合のみに、異常検出方法の変化をともなう動作状態の変化をさせる。つまり、異常検出部にて変更ができないにも拘わらず処理部側で勝手に動作状態が変化し、正常動作であるにも拘らず異常検出部にて異常と判断されてリセットがかかる事態が回避される。

第２発明では、予め処理部と異常検出部との夫々で、対応する検出条件を複数記憶しておき、処理部からの指示はいずれの検出条件であるかを示す変更指示が送信される。これにより、指示として送信される情報も少なくして通信負荷を軽減することも可能であり、動作を単純化させることも可能である。

第３発明では、処理部は異常検出部にて設定されている検出条件の送信要求を異常検出部へ送信でき、異常検出部は送信要求に応じて設定されている検出条件を処理部へ戻す。処理部は、異常検出部にて設定されている検出条件を得られる。処理部は、得られた検出条件と自身の動作状態との対応の正誤を判断し、誤の場合には設定が失敗している可能性があるから再度、検出条件の変更指示を送信する。

第４発明では、異常検出部では特定の２値信号の入力が受け付けられており、当該信号の状態が変化した場合に、検出条件が予め設定されていた条件に設定される。処理部の異常の検出条件を初期化することにより、処理部と異常検出部との両者が異常状態となった場合に、両者を初期化及び再起動させることが可能となる。異常状態となった場合であっても自動的に復帰できる可能性が上がる。

第５発明では、異常検出部にて変更指示を受信できたか否かを、処理部から送信される判断情報に基づき判断できる。判断情報とは例えば、情報を示す符号を反転させたもの、誤り符号などが考えられる。通信が失敗し、異常検出部にて変更指示を受信できなかった場合には、異常検出部から応答に失敗（否）を示す情報が付されて送信されるので、処理部は、異常検出部にて変更指示を受信できていないことを認識し、再送することが可能である。

第６発明では、異常検出部における処理部の異常を判断する検出条件は、処理部から周期的に出力される信号の出力周期よりも長い時間長である。異常検出部は、前記時間長以上経過しても周期的に出力されるべき信号を受信できない場合に、処理部を異常と判断する。そして、当該時間長を処理部から指示できるから、処理部にて動作状態が変化して出力周期が変化する場合であっても、異常検出部は当該動作状態の変更後の周期に対応して異常か否かを判断することが可能である。

第７発明では、処理部は、自身の動作状態が省電力状態へ変化する場合には、異常検出部にて処理部から出力される信号を監視する間隔を延長させる変更指示を送信する。処理部は、省電力状態へ変化する場合には、出力する周期をも長くすることで起動時間が短くなって有効に消費電力を削減可能である。これに応じて、異常検出部でも、処理部からの信号が出力されない期間が変更通知前よりも長くとも異常と検出しないようにすることが可能である。

第８発明では、処理部から異常検出部へ、処理部からの信号の周期に対応する時間長である検出条件を変更させる際に、実際の時間長ではなく予め設定してある元の時間長に対する倍率（例えば半分、２倍、４倍など）を変更指示とすることによって、送信する情報を少なくして通信負荷を軽減させ、動作を単純化させることも可能である。

第９発明では、異常検出部における処理部の異常の判断を停止させることも可能である。動作が正常か否かを判断させるための信号を出力できない処理部を使用する場合でも、異常検出部が無用に異常であると検出することを回避できる。なおこのとき、第４発明のように、特定の２値信号の状態を変化させることにより、異常の判断を復帰させることも可能である。

本発明による場合、動作状態の変化に対応して、周期的に出力される信号の周期が変更される処理部を含む場合であっても、異常検出部が検出条件の変更指示に対する応答を返して処理部でも確認してから動作状態を変化させることができ、処理部における異常を適切に検出することが可能である。したがって、正常であるにも拘わらず異常であると不要に検出することを回避して安全性を高めることができる。

本実施の形態におけるＥＣＵの構成を示す構成図である。 本実施の形態のＥＣＵのマイコン及びＡＳＩＣによって実現される機能を示す機能ブロック図である。 本実施の形態におけるＥＣＵのＣＰＵが自身の動作状態の遷移に関して実行する処理手順の一例を示すフローチャートである。 本実施の形態におけるＥＣＵのＡＳＩＣが実行する処理手順の一例を示すフローチャートである。 本実施の形態におけるＥＣＵのＣＰＵから、ＡＳＩＣ側へ通信によって送信されるデータの内容例を示す説明図である。

以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。以下に示す実施の形態では、本発明に係る処理装置を車両に搭載されるＥＣＵに適用する場合を例に説明する。

図１は、本実施の形態におけるＥＣＵの構成を示す構成図である。ＥＣＵ１は、例えば車両に搭載されるライト、ミラーなどの動作を制御するボディＥＣＵであって、自身に接続されるセンサ、又は各種スイッチなどの機器から取得される測定値、又は計算値、制御値などの各種物理量に基づき、ランプ、ワイパーなどの制御対象を制御する処理を実行する制御装置である。

ＥＣＵ１は、マイコン１００と、ＡＳＩＣ（Application Specific Integrated Circuit：特定用途集積回路）１０１とを含んで構成され、マイコン１００及びＡＳＩＣ１０１のいずれも、ＥＣＵ１外部のイグニッションスイッチ（ＩＧ）に接続されている。また、ＡＳＩＣ１０１はバッテリ（＋Ｂ電源）と接続されている。

ＥＣＵ１のマイコン１００は、ＥＣＵ１全体の制御処理を行なうＣＰＵ（コア）１０と、他の構成部とのシリアル通信を行なう通信部１１と、ボディＥＣＵとしての動作を実現するためのプログラムが記憶されるＲＯＭ１２とを備える。

ＣＰＵ１０は、ＲＯＭ１２に記憶されているプログラムを読み出して実行することにより、ボディＥＣＵとしての動作を実現する。ＣＰＵ１０は、ＡＳＩＣ１０１の電源回路１３により、所定の電圧に制御されたバッテリ（＋Ｂ）からの電力の供給を受ける端子を有する（Ｖｃｃ）。ＣＰＵ１０はまた、図示しない入力インタフェースを介しイグニッション（ＩＧ）スイッチ又はアクセサリ（ＡＣＣ）スイッチなどからの信号を入力する。ＣＰＵ１０は、リセット（ＲＥＳＥＴ）信号を入力する端子を備え、リセット信号が入力された場合には自身を再起動させる。また、ＣＰＵ１０は、プログラムにより自身の動作が正常であることを示すためのＷＤパルスを周期的に出力するようにしてある。

ＲＯＭ１２は、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read Only Memory）、フラッシュメモリ、マスクＲＯＭなどを用いる。ＲＯＭ１２には、上述のプログラムが記憶されると共に、制御用の情報が記憶されてある。

通信部１１は、ＡＳＩＣ１０１とのシリアル通信を実現する。通信部１１は、ＥＣＵ１に備えられるクロック（図示せず）からのクロック信号に同期してＡＳＩＣ１０１と情報を送受信する。

また、マイコン１００（ＣＰＵ１０）は、自身の動作状態をスリープ状態（又は省電力状態）と、アクティブ状態（通常の稼働状態）との間で遷移させることが可能である。

ＡＳＩＣ１０１は、マイコン１００の制御対象への出力、又はマイコン１００の制御に用いる入力信号に対する規定された処理を行なうべく設計された回路である。ＡＳＩＣ１０１は、マイコン１００の制御に用いる入力信号を入力し、信号が示す各情報を通信部１５によってマイコン１００へ送信する。また、ＡＳＩＣ１０１は、マイコン１００から制御対象への出力の情報を通信部１５により受信し、各制御対象へ出力する。これにより、マイコン１００が入出力端子を多数備えない構成であっても、シリアル通信により、多くの情報の入出力が可能である。

ＡＳＩＣ１０１は、バッテリと接続してＥＣＵ１の内部構成部へ電力の供給を制御する電源回路１３、マイコン１００の動作を監視する監視回路１４、及び、マイコン１００とのシリアル通信を行なう通信部１５とを含む。

ＡＳＩＣ１０１の電源回路１３は、バッテリと接続されてＥＣＵ１の各構成部に、夫々適切な電圧を供給する。通信部１５は、ＣＰＵ１０の通信部１１と対応し、マイコン１００との間で情報を送受信する。

監視回路１４は、ＣＰＵ１０から周期的に出力されるＷＤパルスを監視する。具体的には、監視回路１４は、ＣＰＵ１０からのＷＤパルスの信号を受け付ける端子を有する回路を含み、当該回路にてＷＤパルスのエッジの立ち上がりを検出した場合に、ＷＤパルスとして検出する。

このように構成されるＥＣＵ１において実現される機能の詳細について機能ブロック図を参照して説明する。図２は、本実施の形態のＥＣＵのマイコン１００及びＡＳＩＣ１０１によって実現される機能を示す機能ブロック図である。

ＥＣＵ１のマイコン１００のＣＰＵ１０はプログラムを読み出して実行することにより、ＷＤパルス出力部１０２、状態判定部１０３及び通信制御部１０４の機能を有する。

ＣＰＵ１０は、ＷＤパルス出力部１０２の機能により、周期的にＷＤパルスを生成してＡＳＩＣ１０１のＷＤパルス監視部１４２へ入力する。

ＣＰＵ１０は、状態判定部１０３の機能により、ＥＣＵ１のマイコン１００（ＣＰＵ１０）がアクティブ状態であるか、スリープ状態であるのか、更にはアクティブ状態からスリープ状態へ遷移するのか、又はスリープ状態からアクティブ状態へ遷移するのかを判定する。例えば、状態判定部１０３は、ＡＳＩＣ１０１を介して通信部１１で受信した入力信号の情報に基づき、自身がスリープ状態へ遷移できるか否かを判断し、遷移できると判断した場合、通信制御部１０４によって通信部１１からＡＳＩＣ１０１へ状態遷移を示す情報を送信する。

通信制御部１０４は、通信部１１によるＡＳＩＣ１０１の通信部１５との通信開始、停止などを制御する機能を有する。

一方ＡＳＩＣ１０１は、入力判定部１６、リセット出力部１４１、ＷＤパルス監視部１４２及びＷＤパルス監視時間設定部１４３の機能、並びに通信制御部１７の機能を有する。なお、監視回路１４は、リセット出力部１４１、ＷＤパルス監視部１４２及びＷＤパルス監視時間設定部１４３に、入力判定部１６の機能を合わせて構成される。入力判定部１６は、入力される各信号を用いて特定の処理を行なう他の処理回路の一部としても機能を発揮する。

リセット出力部１４１は、後述するようにＷＤパルス監視部１４２から指示があった場合に、ＣＰＵ１０へリセット信号を出力する。

ＷＤパルス監視部１４２は、ＣＰＵ１０のＷＤパルス出力部１０２から周期的に出力されるべきＷＤパルスを監視しており、ＷＤパルスを直近で検出してからの経過時間を測定し、所定の周期でＷＤパルスを受信している場合には、ＣＰＵ１０は正常と判断し、前記所定の周期よりも長い経過時間となった場合には、ＣＰＵ１０は異常と判断する。詳細には、ＷＤパルス監視部１４２は、ＷＤパルスを直近で検出してから、設定されているＷＤ監視時間を経過してもＷＤパルスが出力されない場合に、ＣＰＵ１０にて異常が発生していると判断してリセット出力部１４１へリセット信号を出力させるべく指示する。このときＷＤパルス監視部１４２は、異常と判断する根拠の現象（例えばＷＤ監視時間が経過してもＷＤパルスを検出できないなど）を所定の複数回検出した場合に初めてＣＰＵ１０の動作を異常であると判断してもよい。

ＷＤパルス監視時間設定部１４３は、通信制御部１７からＷＤパルス出力周期の情報を受け付け、ＷＤパルス監視部１４２のＷＤ監視時間を設定する機能を発揮する。また、ＷＤパルス監視時間設定部１４３は、入力判定部１６の機能によりイグニッションスイッチがオフの状態からオンになったことを検知する。ＷＤパルス監視時間設定部１４３は、イグニッションスイッチがオフの状態からオンになったことを検知した場合、ＷＤパルス監視部１４２のＷＤ監視時間を初期化するようにしてある。

通信制御部１７は、通信部１５によるＣＰＵ１０の通信部１１からの通信開始、停止などの指示を受け付け、適宜情報をシリアル通信にて送信するようにする。

このように構成されるＥＣＵ１にて、マイコン１００とＡＳＩＣ１０１とで行なわれる動作について、フローチャートを参照して説明する。

図３は、本実施の形態におけるＥＣＵ１のＣＰＵ１０が自身の動作状態の遷移に関して実行する処理手順の一例を示すフローチャートである。ＣＰＵ１０は、自身の動作状態に対応するＷＤパルス出力周期毎に、以下に示す手順を繰り返し行なう。

ＣＰＵ１０は、ＷＤパルス出力周期が到来するまで待機し（ステップＳ１０１）、ＷＤパルス出力周期が到来した時点で、ＷＤパルスをＷＤパルス出力部１０２により出力する（ステップＳ１０２）。

ＣＰＵ１０は、状態判定部１０３により、自身の動作状態がアクティブ状態からスリープ状態へ、又は逆に、スリープ状態からアクティブ状態へ遷移するか否かを判定し（ステップＳ１０３）、状態遷移しないと判定した場合（Ｓ１０３：ＮＯ）、処理を終了する。この場合ＣＰＵ１０は、処理をステップＳ１０１から繰り返す。

ＣＰＵ１０は、自身が状態遷移すると判定した場合（Ｓ１０３：ＹＥＳ）、スリープ状態への遷移か否かを判断する（ステップＳ１０４）。ＣＰＵ１０は、アクティブ状態からスリープ状態への遷移であると判断した場合（Ｓ１０４：ＹＥＳ）、状態遷移に応じてＷＤパルス出力周期を変化させる。したがってＣＰＵ１０から、これに応じてＡＳＩＣ１０１の監視回路１４に含まれるＷＤパルス監視部１４２での異常と判断するための条件（異常検出条件）を変更させるための処理を行なう。このためＣＰＵ１０は、ＷＤパルス出力周期をＴｓに設定し（ステップＳ１０５）、処理を次のステップＳ１０７へ進める。ＣＰＵ１０は、ステップＳ１０４にてスリープ状態からアクティブ状態への遷移であると判断した場合（Ｓ１０４：ＮＯ）、ＷＤパルス出力周期をＴａに設定し（ステップＳ１０６）、処理を次のステップＳ１０７へ進める。

次にＣＰＵ１０は、状態遷移に応じて、ＡＳＩＣ１０１の監視回路１４で異常と判定するための条件を変更させるために変更通知として、ステップＳ１０５又はステップＳ１０６にて設定されたＷＤパルス出力周期のデータを通信制御部１０４によりＡＳＩＣ１０１へ送信する（ステップＳ１０７）。ＣＰＵ１０は、ＷＤパルス出力周期を示すデータを送信するに際し、通信制御部１０４はＷＤ出力周期を示すデータを符号で表し、符号及び該符号を反転させたものを連続させてシリアル通信により送信させる（反転２連送）。その他、誤り符号を付して送信する構成としてもよい。反転２連送の例は、後述の図５にて詳細を説明する。

そしてＣＰＵ１０は、ＷＤパルス出力周期の送信に対する応答を受信したか否かを判断する（ステップＳ１０８）。ＣＰＵ１０は、応答を受信していないと判断した場合（Ｓ１０８：ＮＯ）、処理を終了する。この場合もＣＰＵ１０は、処理をステップＳ１０１から繰り返し、ステップＳ１０３及びＳ１０４にて、遷移すると判断して再度ＷＤパルス出力周期を送信することとなる。

ＣＰＵ１０は、ステップＳ１０８で応答を受信したと判断した場合（Ｓ１０８：ＹＥＳ）、受信内容は送信内容と同一であるか否かを判断する（ステップＳ１０９）。具体的には、受信したデータがステップＳ１０７で送信したＷＤパルス出力周期のデータと一致するか否かを判断する。ＣＰＵ１０は、受信内容は送信内容と同一であると判断した場合（Ｓ１０９：ＹＥＳ）、アクティブ状態からスリープ状態への状態遷移、又はスリープ状態からアクティブ状態へ状態遷移を実施し（ステップＳ１１０）、処理を終了する。この場合もＣＰＵ１０は、処理をステップＳ１０１から繰り返す。なお、外部からリセット信号が入力されるなどするまでは状態は遷移されないのでステップＳ１０３にてＮＯと判断されてステップＳ１０１からステップＳ１０３までの処理が繰り返される。

ＣＰＵ１０は、ステップＳ１０９で受信内容が送信内容と異なると判断した場合（Ｓ１０９：ＮＯ）、ステップＳ１０５又はＳ１０６で設定したＷＤパルス出力周期のデータを再送し（ステップＳ１１１）、処理を終了する。

次に、ＡＳＩＣ１０１での処理を説明する。図４は、本実施の形態におけるＥＣＵ１のＡＳＩＣ１０１が実行する処理手順の一例を示すフローチャートである。

ＡＳＩＣ１０１では、通信制御部１７により、ＣＰＵ１０からＷＤパルス出力周期のデータを受信したか否かを判断する（ステップＳ２０１）。ＣＰＵ１０からＷＤパルス出力周期のデータを受信していないと判断した場合（Ｓ２０１：ＮＯ）、ＷＤパルス監視時間設定部１４３により、入力判定部１６にて受け付けられるイグニッションスイッチの状態が、オフの状態からオンとなったか否かを判断する（ステップＳ２０２）。ステップＳ２０２にて、イグニッションスイッチの状態は変化していないと判断した場合（Ｓ２０２：ＮＯ）、ＷＤパルス監視部１４２により、ＷＤパルス出力部１０２からのＷＤパルス出力周期は、正常か否かを判断する（ステップＳ２０３）。正常／異常の判断は、設定されるＷＤ監視時間に基づき判断する。ＷＤ監視時間はＷＤパルス出力周期以上の長さであって、ＷＤパルス監視部１４２は、ＷＤ監視時間が経過してもＣＰＵ１０からＷＤパルスが出力されない場合、ＣＰＵ１０が異常であると判断する。

ＷＤパルス監視部１４２により、正常であると判断された場合（Ｓ２０３：ＹＥＳ）、ＡＳＩＣ１０１は処理を終了する。この場合、ＡＳＩＣ１０１は、処理をステップＳ２１から繰り返す。

ＷＤパルス監視部１４２により、異常であると判断された場合（Ｓ２０３：ＮＯ）、ＷＤパルス監視部１４２は、リセット出力部１４１へ指示をしてリセット信号を出力させ（ステップＳ２０４）、処理を終了する。この場合もＡＳＩＣ１０１は、処理をステップＳ２０１から繰り返す。

ステップＳ２０１にて、ＡＳＩＣ１０１は、通信制御部１７によりＣＰＵ１０からＷＤパルス出力周期のデータの受信を完了したと判断した場合（Ｓ２０１：ＹＥＳ）、データの受信は成功した否かを判断する（ステップＳ２０５）。具体的には、図３のフローチャートに示した処理手順の内のステップＳ１０７においてＷＤパルス出力周期のデータを送信する際に付されたＷＤパルス出力周期を示す符号の反転させたもの、又は誤り符号など基づき成功したか否かを判断する。

ＡＳＩＣ１０１は、ＣＰＵ１０からのＷＤパルス出力周期のデータの受信に成功したと判断した場合（Ｓ２０５：ＹＥＳ）、応答として受信データを設定し（ステップＳ２０６）、ＷＤパルス監視時間設定部１４３の処理により、受信したＷＤパルス出力周期のデータに基づき、ＷＤ監視時間を変更する（ステップＳ２０７）。

ＡＳＩＣ１０１は、ＣＰＵ１０からのＷＤパルス出力周期のデータの受信に失敗したと判断した場合（Ｓ２０５：ＮＯ）、応答としてエラーコードを設定し（ステップＳ２０８）、処理を次へ進める。

ＡＳＩＣ１０１は、ステップＳ２０６又はステップＳ２０８で設定された応答をＣＰＵ１０へ送信し（ステップＳ２０９）、処理をステップＳ２０２へ進める。

更に、ＡＳＩＣ１０１では、ＷＤパルス監視時間設定部１４３がステップＳ２０２にてイグニッションスイッチがオフからオンとなったと判断した場合（Ｓ２０２：ＹＥＳ）、ＷＤ監視時間を初期化し（ステップＳ２１０）、処理をステップＳ２０３へ進め、処理を終了する。

次に、図３及び図４のフローチャートのステップＳ１０７のＷＤパルス出力周期を送信する際に付され、ＡＳＩＣ１０１側で送信が成功したか否かを判断するための判断情報について具体例を示す。図５は、本実施の形態におけるＥＣＵ１のＣＰＵ１０から、ＡＳＩＣ１０１側へ通信によって送信されるデータの内容例を示す説明図である。

図５の上段に、送信されるデータが示されている。図５の例では、ＷＤパルス出力周期は、４ビットで表されている。そして、ＷＤパルス出力周期を示す４ビットを反転させた４ビットが付加されて全部で８ビットのデータが、ＷＤパルス出力周期のデータとしてＣＰＵ１０から送信される。

図５の下部は、ＷＤパルス出力周期を示す４ビットの具体例が示されている。図５の例では、ＷＤパルス出力周期は、初期的に設定されている基準時間に対する倍率で長さが規定されている。（ｄ３，ｄ２，ｄ１，ｄ０）が（１，０，０，０）である場合には基準時間の４倍、（０，１，０，０）である場合には基準時間の２倍であることを示す。ＣＰＵ１０がスリープ状態へ遷移する場合には、ＷＤパルス出力周期が長くなるので、４倍、又は２倍などの倍率によって、ＷＤ監視時間を長くさせるようなデータを送信する。

また、（０，０，１，０）である場合には基準時間、（０，０，０，１）である場合には基準時間の０．５倍（半分）であることを示す。なお、（０，０，０，０）は、ＷＤパルス監視部１４２によるＷＤパルスが出力されているか否かの監視を停止させる指示を意味している。

そして、図５に示すように、上述の５つの例以外のビットパターンを用いて、他の時間を指定することも可能である。当該５つの例以外のビットパターンのデータを受信した場合にエラーと判断することも可能である。

ＷＤパルス出力周期を示すためには、図５に示した例以外でも、具体的な長さに対応する符号列を用いる構成としてもよい。このようにして、実際の出力周期の数値を送信せずともよく、データの長さが短く済むので、通信負荷を軽減することも可能であり、動作を単純化させることも可能である。なお、任意の長さの符号列を用いて実際のＷＤパルス出力周期の長さを表してもよい。更に、ＣＰＵ１０側でＷＤ監視時間を符号列で表して指定し、ＷＤパルス監視時間設定部１４３は、受信したデータが示す時間をＷＤ監視時間として設定する構成としてもよい。

なお、開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ ＥＣＵ（処理装置）
１０ ＣＰＵ（処理部）
１０２ ＷＤパルス出力部
１１，１５ 通信部
１４ 監視回路（異常検出部）
１４１ リセット出力部
１４２ ＷＤパルス監視部
１４３ ＷＤパルス監視時間設定部
１６ 入力判定部

Claims (10)

1. 信号処理を実行する処理部と、該処理部から周期的に出力される信号及び該信号に対して予め設定される検出条件に基づき前記処理部の動作の異常を検出する異常検出部とを備え、該異常検出部は、異常を検出した場合に前記処理部を再起動させるようにしてある処理装置において、
   前記処理部と前記異常検出部とは夫々通信手段を備えて相互に送受信を行なうようにしてあり、
   前記処理部は自身の動作状態が変化する場合に、前記検出条件の変更指示を前記異常検出部へ送信するようにしてあり、
   前記異常検出部は、前記変更指示を受信した場合に応答を前記処理部へ送信し、受信した変更指示に基づき検出条件を設定する手段を備え、
   前記処理部は、前記異常検出部から前記応答を受信した場合に、動作状態が変化するようにしてあること
   を特徴とする処理装置。
2. 前記異常検出部は、前記検出条件として予め複数の候補を記憶しておき、
   前記処理部は、前記変更指示として前記複数の候補の内のいずれかを示す情報を送信するようにしてあり、
   前記異常検出部は、前記変更指示に基づき検出条件を設定するようにしてあること
   を特徴とする請求項１に記載の処理装置。
3. 前記処理部は、
   前記異常検出部にて設定されている検出条件の送信要求を前記異常検出部へ送信し、前記送信要求に応じて前記異常検出部から送信される検出条件と自身の動作状態との対応の正誤を判断する手段を備え、
   誤と判断した場合、前記変更指示を異常検出部へ再送するようにしてあること
   を特徴とする請求項１又は２に記載の処理装置。
4. 前記異常検出部は、
   外部から特定の２値信号の入力を受け付けるようにしてあり、
   前記２値信号が示す値が変化した場合に、検出条件を予め設定されてある検出条件とするようにしてあること
   を特徴とする請求項１乃至３のいずれかに記載の処理装置。
5. 前記処理部は、前記異常検出部への検出条件の変更指示に付して、通信の成否を判断するための判断情報を送信するようにしてあり、
   前記異常検出部は、
   前記判断情報に基づき、前記変更指示の受信の成否を判断する手段を備え、
   該手段が否と判断した場合に、前記処理部への応答に付して否の情報を送信するようにしてあり、
   前記処理部は更に、前記異常検出部からの応答に前記否の情報が付されている場合、前記変更指示を再送するようにしてあること
   を特徴とする請求項１乃至４のいずれかに記載の処理装置。
6. 前記検出条件は、前記処理部から周期的に出力される信号の周期よりも長い時間長であり、
   前記異常検出部は、前記処理部から前記時間長以上前記信号を受信しない場合に異常であると検出するようにしてあること
   を特徴とする請求項１乃至５のいずれかに記載の処理装置。
7. 前記処理部は、自身の動作状態が省電力状態へ変化する場合に、前記時間長を延長させる変更指示を送信するようにしてあること
   を特徴とする請求項６に記載の処理装置。
8. 前記処理部は、前記異常検出部にて予め設定されてある前記検出条件である時間長に対する倍率を示す情報を、検出条件の変更指示として送信するようにしてあること
   を特徴とする請求項６又は７に記載の処理装置。
9. 前記処理部は、周期的に出力する信号に基づく異常検出を停止させる指示を、前記変更指示として前記異常検出部へ送信するようにしてあること
   を特徴とする請求項１乃至８のいずれかに記載の処理装置。
10. 信号処理を実行する処理部と、該処理部から周期的に出力される信号及び該信号に対して予め設定される検出条件に基づき前記処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記異常検出部が、異常を検出した場合に前記処理部を再起動させる処理装置の制御方法において、
    前記処理部と前記異常検出部とは夫々通信手段を備えて相互に情報を送受信し、
    前記処理部は自身の動作状態が変化する場合に、前記検出条件の変更指示を前記異常検出部へ送信し、
    前記異常検出部は、
    前記変更指示を受信した場合に応答を前記処理部へ送信し、
    受信した変更指示に基づき検出条件を設定し、
    前記処理部は、異常検出部から応答を受信した場合に、動作状態を変化させる
    ことを特徴とする制御方法。

Images