JP2015108969A - 情報処理装置 - Google Patents

Abstract

【課題】機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の機能診断を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供すること。
【解決手段】車両に搭載され、マイコンが正常に動作しているか否かを監視する第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、前記マイコンは、イグニッションスイッチがオフにされた場合に、所定の信号の出力を停止し、前記第１の監視装置は、前記所定の信号の出力が停止されている継続時間が閾値を超えた場合に、前記マイコンをリセットし、前記第２の監視装置は、イグニッションスイッチがオフにされた場合に、前記マイコンがリセットされたか否かを判定することにより、前記第１の監視装置による前記マイコンの監視機能の異常を検知することを特徴とする。
【選択図】図７

Description

本発明は、複数の監視装置でマイコンを監視する情報処理装置に関する。

車載された電子制御装置（ＥＣＵ）のマイコンが動作可能であることを確認するため、例えば、イグニッションオン（ＩＧ−ＯＮ）を契機にしてマイコンの機能診断が行われている。このような機能診断をプライマリチェックという場合がある。

ここで、ＩＧ−ＯＮ後、マイコンが起動処理を完了させるまでの時間にはデッドラインが設けられる場合があるため、デッドライン内にプライマリチェックを終了させる技術が提案されている（例えば、特許文献１）。特許文献１には、デッドラインまでの間にプライマリチェックが終了するようにタスクをスケジューリングする電子制御装置が開示されている。

特開２０１２−１０３８０２号公報

ところで、プライマリチェックにおいて、マイコンが正常か異常かを監視する装置（監視装置）の監視機能が機能診断される場合がある。また、１つの監視装置の監視機能が正常でなくてもマイコンを監視できるようにするため、電子制御装置に複数の監視装置を配置する場合がある。

しかしながら、電子制御装置が、複数の監視装置の機能診断を時間的に連続して行おうとすると、特許文献１のようにスケジューリングしてもデッドラインを守れない場合がある。例えば、メインマイコンの監視をサブマイコンだけでなく他の監視装置でも行う場合、サブマイコンの監視機能及び他の監視装置の監視機能の機能診断に要する合計処理時間がそもそもデッドラインを超える場合がある。

また、特許文献１のようにスケジューリングすることで、複数の監視装置の機能診断をデッドラインまでに実施可能な場合であっても、タスクのスケジューリングにより毎回実施されないプライマリチェック項目が発生する場合がある。

また、これらを解決するため、デッドラインを延長すると、電子制御装置の通常処理への移行に更なる時間を要することになるため、車両性能が低下したり、他の電子制御装置（ＥＣＵ）との調整が必要になるという別の不都合が生じる場合がある。

そこで、上記課題に鑑み、機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の機能診断を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供することを目的とする。

上記目的を達成するため、一実施形態において、情報処理装置は、
車両に搭載され、マイコンが正常に動作しているか否かを監視する第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、
前記マイコンは、
イグニッションスイッチがオフにされた場合に、所定の信号の出力を停止し、
前記第１の監視装置は、
前記所定の信号の出力が停止されている継続時間が閾値を超えた場合に、前記マイコンをリセットし、
前記第２の監視装置は、
イグニッションスイッチがオフにされた場合に、前記マイコンがリセットされたか否かを判定することにより、前記第１の監視装置による前記マイコンの監視機能の異常を検知することを特徴とする。

本実施の形態によれば、機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の機能診断を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供することができる。

電子制御装置の構成の一例を示す概略構成図である。 メインマイコンが電源をＯＦＦする（スリープ状態になる）処理手順の一例を示すフローチャートである。 監視ＩＣがメインマイコンを監視する処理手順の一例を示すフローチャートである。 サブマイコンが、監視ＩＣによるメインマイコンの監視機能を診断する処理手順の一例を示すフローチャートである。 監視ＩＣが、サブマイコンによるメインマイコンの監視機能を診断する処理手順の一例を示すフローチャートである。 メインマイコンの監視機能の状態判定手法の一例を説明する図である。 メインマイコンの監視機能が正常な場合における電子制御装置の処理動作の一例を示すタイミングチャートである。 メインマイコンの監視機能が異常な場合における電子制御装置の処理動作の一例を示すタイミングチャートの一例である。

以下、図面を参照して発明を実施するための形態について説明する。

図１は、電子制御装置１００の構成の一例を示す概略構成図である。以下、電子制御装置１００の構成について説明をする。

電子制御装置１００は、メインマイコン１０、サブマイコン２０、及び、監視ＩＣ３０を含む。メインマイコン１０とサブマイコン２０は、一般的な情報処理装置のハードウェア構成であってよい。例えば、バスに接続されたＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ、等を有する。

メインマイコン１０は、イグニッションオン（ＩＧ−ＯＮ）状態において、電子制御装置１００の主たる機能を提供するマイコンである。メインマイコン１０の機能は、電子制御装置１００の種類によって様々であり、限定されない。例えば、電子制御装置１００がブレーキＥＣＵの場合、各輪のホイルシリンダ圧を制御する処理等を行う。なお、ＩＧ−ＯＮ／ＯＦＦは、電気モータを動力源とする車両やハイブリッド車におけるメインシステムのＯＮ／ＯＦＦ（Ｒｅａｄｙ−ＯＮ／ＯＦＦ）も含む概念として使用する。

メインマイコン１０は、監視ＩＣ３０に対して、電源供給を要求する電源保持信号を出力し、該電源保持信号がＯＮの場合、監視ＩＣ３０を経由して出力される所定電圧（例えば、５Ｖ）の電力がメインマイコン１０に入力（供給）される。また、メインマイコン１０は、スリープ状態に移行する際、サブマイコン２０に対しスリープ状態移行信号を出力する。

また、メインマイコン１０は、サブマイコン２０及び監視ＩＣ３０により正常に動作しているか否かが監視される。具体的には、ＷＤパルス生成部１１を有し、ＷＤ（Ｗａｔｃｈｄｏｇ）パルス（周期的にＨｉとＬｏを繰り返す信号）をサブマイコン２０と監視ＩＣ３０に出力する。そして、該ＷＤパルスに基づいて、マイコン２０と監視ＩＣ３０によるメインマイコン１０の監視が行われる。また、メインマイコン１０は、自身をリセットするリセット処理部１２を有し、サブマイコン２０又は監視ＩＣ３０からリセット信号が入力された場合、自身をリセットする。具体的には、サブマイコン２０又は監視ＩＣ３０によりメインマイコン１０の異常が検知された場合、サブマイコン２０又は監視ＩＣ３０からメインマイコン１０にリセット信号が出力され、メインマイコン１０は、当該リセット信号に応じて、自身をリセットする。

なお、メインマイコン１０は、サブマイコン２０から出力されるＷＤパルスが周期的にＨｉとＬｏとが出力されているか否かに基づき、サブマイコン２０が正常に動作しているか否かを監視することができる。但し、当該監視を行うか否かは任意である。

サブマイコン２０は、メインマイコン１０から受信したＷＤパルスに基づいて、メインマイコン１０が正常に動作しているか否かを監視する。該ＷＤパルスは周期的にＨｉとＬｏを繰り返す信号なので、サブマイコン２０は、メインマイコン１０から出力されるＷＤパルスとして周期的にＨｉとＬｏが出力されているか否かに基づきメインマイコン１０が正常に動作しているか否かを監視することができる。サブマイコン２０は、メインマイコン１０をリセットする機能を有し、メインマイコン１０から受信したＷＤパルスが（ＨｉからＬｏ又はＬｏからＨｉへ）反転しない等の異常を検知すると、メインマイコン１０にリセット信号を出力する。なお、プライマリチェックにおいて、サブマイコン２０が、サブマイコン２０自身によるメインマイコン１０の監視機能を機能診断する際には、当該リセット機能が正常か否かの診断が含まれる。

また、サブマイコン２０は、監視ＩＣ３０により正常に動作しているか否かが監視される。具体的には、ＷＤパルス生成部２１を有し、ＷＤパルスを（メインマイコン１０と）監視ＩＣ３０に出力する。そして、該ＷＤパルスに基づいて、監視ＩＣ３０によるサブマイコン２０の監視が行われる。また、サブマイコン２０は自身をリセットするリセット処理部２２を有し、監視ＩＣ３０からリセット信号が入力された場合、自身をリセットする。具体的には、監視ＩＣ３０によりサブマイコン２０の異常が検知された場合、監視ＩＣ３０からサブマイコン２０にリセット信号が出力され、サブマイコン２０は、当該リセット信号に応じて、自身をリセットする。

なお、サブマイコン２０からメインマイコン１０に出力されるリセット機能確認信号は、プライマリチェックにおいて、メインマイコン１０のリセット機能が正常に動作しているか否かを診断するための信号である。

監視ＩＣ３０は、メインマイコン監視部３１、サブマイコン監視部３２、電源回路３３等を含む。

メインマイコン監視部３１は、メインマイコン１０から受信したＷＤパルスに応じて、メインマイコン１０の動作の監視を行う。具体的には、メインマイコン１０から受信したＷＤパルスに基づき、メインマイコン１０の異常を検知すると、メインマイコン１０にリセット信号を出力することにより、メインマイコン１０をリセットする。なお、後述するように、ＩＧ−ＯＦＦ時にサブマイコン２０により機能診断されるのは、メインマイコン監視部３１である。

サブマイコン監視部３２は、サブマイコン２０から受信したＷＤパルスに応じて、サブマイコン２０の動作の監視を行う。具体的には、サブマイコン２０から受信したＷＤパルスに基づき、サブマイコン２０の異常を検知すると、サブマイコン２０にリセット信号を出力することにより、サブマイコン２０をリセットする。

電源回路３３はイグニッション（ＩＧ）信号又は電源保持信号の少なくとも一方がＯＮの場合、メインマイコン１０に電源を出力する。

次いで、メインマイコン１０、サブマイコン２０、及び監視ＩＣ３０の動作について説明をする。

まず、メインマイコン１０による自身の電源ＯＦＦ処理について説明をする。

図２は、メインマイコン１０が電源ＯＦＦする（スリープ状態になる）処理手順の一例を示すフローチャートである。なお、当該処理は、例えば、ＩＧ−ＯＦＦ時に実行されてよい。

図２を参照するに、メインマイコン１０は、スリープ状態移行信号をサブマイコン２０へ出力する（ステップＳ１０）。例えば、メインマイコン１０は、ＩＧ−ＯＦＦ状態になり、終了処理が終了するとスリープ状態に移行するため、スリープ状態移行信号によりサブマイコン２０にスリープ状態に移行することを通知する。なお、終了処理には、アクチュエータを安全に停止させる処理、電子制御装置１００のハードウェアへのアクセスを適切に終了させる処理、電子制御装置１００の設定を記憶する処理等が含まれてよい。

続いて、メインマイコン１０は、ＷＤパルスの生成を停止する（ステップＳ２０）。以降、監視ＩＣ３０及びサブマイコン２０に入力されるＷＤパルスは、Ｌｏ状態（またはＨｉ状態）が継続する信号になる。

続いて、メインマイコン１０は、監視ＩＣ３０からリセット信号を受信するまで待機する（ステップＳ３０）。後述するように、サブマイコン２０と監視ＩＣ３０において、メインマイコン１０から受信したＷＤパルスの未反転時間（Ｈｉ状態又はＬｏ状態のままの時間）に基づき、メインマイコン１０が正常であるか否かを判断される。その際、サブマイコン２０と監視ＩＣ３０で、当該判断のための閾値が異なっており、メインマイコン１０はサブマイコン２０からのリセット信号を先に受信する。なお、サブマイコン２０に異常が生じている場合や後述するサブマイコン２０が、監視ＩＣ３０によるメインマイコン１０の監視機能の診断を行う場合は、監視ＩＣ３０からのリセット信号を受信する。

メインマイコン１０は、リセット信号を受信した場合（ステップＳ３０のＹ）、リセットされ、再起動する。そのため、メインマイコン１０が出力していた電源保持信号はＯＦＦになる（ステップＳ４０）。

すると、ＩＧ−ＯＦＦ状態、かつ、電源保持信号ＯＦＦとなるため、電源回路３３からの電力供給が停止（電源ＯＦＦ）され、メインマイコン１０が停止する（ステップＳ５０）。なお、メインマイコン１０とサブマイコン２０は定期的な通信を行っているが、該電源ＯＦＦによりこのデータ通信も停止される。

次に、監視ＩＣ３０によるメインマイコン１０の監視処理について説明をする。

図３は、監視ＩＣ３０がメインマイコン１０を監視する処理手順の一例を示すフローチャートである。なお、ＩＧ−ＯＮ以降、当該処理によるメインマイコン１０の常時監視が行われてよい。

監視ＩＣ３０のメインマイコン監視部３１は、メインマイコン１０から受信したＷＤパルスの未反転時間を計測する（ステップＳ１１０）。メインマイコン１０に異常が発生した場合、ＨｉとＬｏとを繰り返すＷＤパルスが正常に出力されないため、未反転時間を計測することで、メインマイコン１０の異常を検知することができる。具体的には、未反転時間が閾値Ｔ１より大きいか否かを繰り返し判定する（ステップＳ１２０）ことで、メインマイコン１０における異常の発生を監視する。そして、未反転時間が閾値Ｔ１より大きい場合（ステップＳ１２０のＹ）、メインマイコン１０に異常が発生したと判断して、メインマイコン監視部３１はメインマイコン１０にリセット信号を出力する（ステップＳ１３０）。

なお、サブマイコン２０も図３と同様の処理手順で、メインマイコン１０の監視処理を行ってよい。その際、サブマイコン２０は、メインマイコン１０から受信したＷＤパルスの未反転時間に対する閾値Ｔ２（＜Ｔ１）に基づき、リセット信号を出力する。

次に、サブマイコン２０の動作、即ち、監視ＩＣ３０によるメインマイコン１０の監視機能を診断する処理について説明をする。具体的には、サブマイコン２０は、上述した図３のステップＳ１３０に対応する監視ＩＣ３０によるリセットが正常に行われているか否かに基づき、監視ＩＣ３０によるメインマイコン１０の監視機能が正常であるか否かの機能診断を行うことができる。

図４は、サブマイコン２０が、監視ＩＣ３０によるメインマイコン１０の監視機能を診断する処理手順の一例を示すフローチャートである。

当該処理手順は、ＩＧ−ＯＦＦ後、スタートする（ステップＳ２１０）。

サブマイコン２０は、メインマイコン１０からスリープ状態への移行を通知するスリープ状態移行信号を受信すると（ステップＳ２２０）、メインマイコン１０から受信したＷＤパルスの未反転時間と比較するための閾値Ｔ２を閾値Ｔ３に変更する（ステップＳ２３０）。以下、変更後の閾値Ｔ３を監視機能診断用閾値と呼ぶことする。ここで、監視機能診断用閾値Ｔ３は、閾値Ｔ１よりも大きい値に設定される（Ｔ２＜Ｔ１＜Ｔ３）。これは、閾値Ｔ２が監視ＩＣ３０の閾値Ｔ１よりも短く設定されているので、図３の処理手順に沿って、監視ＩＣ３０がメインマイコン１０をリセットする前にサブマイコン２０がメインマイコン１０をリセットすることを防ぐためである。

そして、サブマイコン２０は、監視機能診断用閾値Ｔ３よりもメインマイコン１０から受信したＷＤパルスの未反転時間の方が長いか否かを判定する（ステップＳ２４０）。ＩＧ−ＯＦＦ時において、メインマイコン１０がスリープ状態移行信号をサブマイコン２０に出力した場合、メインマイコン１０によるＷＤパルスの生成が停止されているので、該ＷＤパルスの未反転時間は徐々に長くなる。その過程で、未反転時間が閾値Ｔ１を超えることにより、監視ＩＣ３０がメインマイコン１０をリセットするので、通常、未反転時間が監視機能診断用閾値Ｔ３を超えるまでにメインマイコン１０からサブマイコン２０へのデータ通信が途絶する。

そこで、未反転時間が監視機能診断用閾値Ｔ３以下の場合（ステップＳ２４０のＮ）、サブマイコン２０はさらにメインマイコン１０からの通信データを確認する（ステップＳ２５０）。

メインマイコン１０からの通信データがある場合（ステップＳ２６０のＮ）、未反転時間が監視機能診断用閾値Ｔ３を超えるまで該通信データの確認を繰り返す。

メインマイコン１０からの通信データがない場合（ステップＳ２６０のＹ）、メインマイコン１０は規定時間内に停止したと判断できるので、サブマイコン２０は監視ＩＣ３０によるメインマイコン１０の監視機能が正常であると判定（診断）する（ステップＳ２７０）。

一方、未反転時間が監視機能診断用閾値Ｔ３を超えた場合（ステップＳ２４０のＹ）、メインマイコン１０はリセットされていないので、サブマイコン２０は監視ＩＣ３０によるメインマイコン１０の監視機能が異常であると判定（診断）する（ステップＳ２８０）。

そして、サブマイコン２０はメインマイコン１０にリセット信号を出力する（Ｓ２９０）。これにより、監視ＩＣ３０によるリセット処理が実行されていないメインマイコン１０をリセットすることができる。

なお、サブマイコン２０は、異常の有無を問わず、監視ＩＣ３０によるメインマイコン１０の監視機能診断結果をサブマイコン２０内の不揮発メモリに記憶する。

次に、電子制御装置１００におけるサブマイコン２０によるメインマイコン１０の監視機能の診断を含むサブマイコン２０及び監視ＩＣ３０によるメインマイコン１０の監視機能全体を診断する処理を説明する。

図５は、サブマイコン２０及び監視ＩＣ３０によるメインマイコン１０の監視機能全体を診断する処理手順の一例を示すフローチャートである。

まず、車両は、例えば、運転者のイグニッションスイッチの操作によりＩＧ−ＯＮ状態になる（ステップＳ３１０）。

すると、サブマイコン２０は、プライマリチェックにおいて、サブマイコン２０自身によるメインマイコン１０の監視機能を診断する（ステップＳ３２０）。具体的には、プライマリチェックにより、サブマイコン２０によるメインマイコン１０をリセットする機能が正常か否か、サブマイコン２０とメインマイコン１０との通信が正常か否かを等に基づき、サブマイコン２０による監視機能が正常であるか否かが判断（診断）される。当該監視機能診断結果は、サブマイコン２０内の不揮発メモリに記憶する。

続いて、メインマイコン１０は、ＣＰＵ間通信等を介して、ステップＳ３２０にてサブマイコン２０の不揮発性メモリに記憶された、サブマイコン２０によるメインマイコン１０の監視機能診断結果を取得する（ステップＳ３３０）。また、メインマイコン１０は、図４にて説明した監視ＩＣ３０によるメインマイコン１０の監視機能診断結果をサブマイコン２０内の不揮発メモリから同様に取得する（ステップＳ３４０）。そして、メインマイコン１０は、メインマイコン１０の監視機能の状態判定を行う（ステップＳ３５０）。即ち、サブマイコン２０によるメインマイコン１０の監視機能診断結果（正常／異常）、監視ＩＣ３０によるメインマイコンの監視機能診断結果（正常／異常）の組み合わせから、メインマイコン１０の監視機能の状態判定を行う。

ここで、メインマイコン１０の監視機能の状態判定手法の一例として、メインマイコン１０の監視機能の状態判定表を図６に示す。図６を参照するに、メインマイコン１０の監視機能の状態が良好なほど高い数値が割り当てられている。具体的には、監視ＩＣ３０によるメインマイコン１０の監視機能とサブマイコン２０によるメインマイコン１０の監視機能の両方が正常である場合に、最も高い数値「４」が割り当てられる。また、両方が異常である場合に最も低い数値「０」が割り当てられる。また、監視ＩＣ３０による監視機能のみが正常な場合、「２」が割り当てられ、サブマイコン２０による監視機能のみが正常な場合、「１」が割り当てられる。

次いで、電子制御装置１００における、監視ＩＣ３０及びサブマイコン２０によるメインマイコン１０の監視機能診断処理の全体動作について、図７、図８のタイミングチャートを用いて、具体的に説明をする。

図７は、監視ＩＣ３０によるメインマイコン１０の監視機能が正常な場合における電子制御装置１００の処理動作の一例を示すタイミングチャートであり、図８は監視ＩＣ３０によるメインマイコン１０の監視機能が異常な場合における電子制御装置１００の処理動作の一例を示すタイミングチャートである。図７、図８において、図示した信号は上から順番に、ａ）ＩＧ信号、ｂ）スリープ状態移行信号、ｃ）ＷＤパルス（メインマイコン１０）、ｄ）リセット信号（監視ＩＣ３０）、ｅ）リセット信号（サブマイコン２０）、ｆ）通信データ有無（メインマイコン１０→サブマイコン２０）、ｇ）閾値（サブマイコン２０）、ｈ）未反転時間（メインマイコン１０）、ｉ）監視機能診断結果（監視ＩＣ３０）、ｊ）監視機能診断結果（サブマイコン２０）、ｋ）メインマイコン１０の監視機能状態、である。

まず、図７（監視ＩＣ３０によるメインマイコン１０の監視機能が正常な場合）について、時刻ｔ０から時刻ｔ５にかけての時間経過に沿って、タイミングチャートの説明を行う。

時刻ｔ０：運転者によるイグニッションスイッチのオフ操作によりＩＧ信号がＯＦＦ（ＩＧ−ＯＦＦ）になる。

時刻ｔ１：メインマイコン１０から出力されたスリープ状態移行信号により、サブマイコン２０が閾値Ｔ２を監視機能診断用閾値Ｔ３に変更する（図中Ａ）。なお、上述のとおり、Ｔ２＜Ｔ１＜Ｔ３である。

時刻ｔ２：メインマイコン１０のＷＤパルスの未反転時間が閾値Ｔ１を超えるので、監視ＩＣ３０によるメインマイコン１０の監視機能によりメインマイコン１０にリセット信号が出力される（図中Ｂ）。また、メインマイコン１０がリセットされることにより、メインマイコン１０からサブマイコン２０への通信データが途絶する（図中Ｃ）。また、ＷＤパルスの未反転時間が監視機能診断用閾値Ｔ３以下なので、サブマイコン２０は、メインマイコン１０が監視機能診断用閾値Ｔ３以内にリセットされたと判断し、監視ＩＣ３０によるメインマイコン１０の監視機能は「正常」であると判定する。即ち、監視ＩＣ３０による監視機能診断結果は、正常であることを示すＨｉ信号を示す（図中Ｄ）。

時刻ｔ３：運転者によるイグニッションスイッチのオン操作によりＩＧ信号がＯＮ（ＩＧ−ＯＮ）になる。これにより、サブマイコン２０は、プライマリチェックを開始する。具体的には、メインマイコン１０からのリセット要求に応じて、サブマイコン２０がメインマイコン１０にリセット信号を出力するか否かにより、サブマイコン２０によるメインマイコン１０の監視機能が正常に動作しているか否かを判断する。

時刻ｔ４：サブマイコン２０は、メインマイコン１０からのリセット要求に応じて、リセット信号を出力する。これにより、メインマイコン１０は一時的にＷＤパルスの生成を停止する。

時刻ｔ５：サブマイコン２０は、プライマリチェックにおいて、サブマイコン２０による監視機能は「正常」であると判定する（図中Ｅ）。監視ＩＣ３０による監視機能診断結果とサブマイコン２０による監視機能診断結果が共に正常なので、両診断結果を取得したメインマイコン１０は、メインマイコン１０の監視機能の状態は「４（２重監視状態）」であると判定する（図中Ｆ）。

次に、図８（監視ＩＣ３０によるメインマイコン１０の監視機能が異常な場合）について、時刻ｔ０から時刻ｔ６にかけての時間経過に沿って、タイミングチャートの説明を行う。

時刻ｔ０：運転者によるイグニッションスイッチのオフ操作によりＩＧ信号がＯＦＦ（ＩＧ−ＯＦＦ）になる。

時刻ｔ１：図７における時刻ｔ１と同様である。

時刻ｔ２：メインマイコン１０のＷＤパルスの未反転時間が閾値Ｔ１を超えるので、監視ＩＣ３０によるメインマイコン１０の監視機能によりメインマイコン１０にリセット信号が出力される（図中Ａ）。しかし、リセット線の断線等により、メインマイコン１０にリセット信号が入力されない。なお、監視ＩＣ３０の異常として、ＷＤパルスの信号線の断線、未反転時間の計測タイマの異常等によりそもそもリセット信号が出力されない場合もある。

時刻ｔ３：メインマイコン１０のＷＤパルスの未反転時間が増加し、監視機能診断用閾値Ｔ３に到達する（図中Ｂ）。しかし、メインマイコン１０はリセットされていないので、通信データは途絶しておらず、メインマイコン１０は監視機能診断用閾値Ｔ３以内にリセットされていないと判断することができる。そのため、サブマイコン２０は、監視ＩＣ３０によるメインマイコン１０の監視機能は「異常」であると判定し、内部のＲＡＭ等に記憶する。即ち、監視ＩＣ３０による監視機能診断結果は、異常であることを示すＬｏ信号のままである（図中Ｃ）。また、サブマイコン２０は、メインマイコン１０にリセット信号を出力する（図中Ｄ）
時刻ｔ４：図７における時刻ｔ３と同様である。

時刻ｔ５：図７における時刻ｔ４と同様である。

時刻ｔ６：サブマイコン２０は、プライマリチェックでサブマイコン２０自身による監視機能は「正常」であると判定する（図中Ｅ）。また、サブマイコン２０による監視機能診断結果のみ正常なので、監視ＩＣ３０は、メインマイコン１０の監視機能の状態は「１」であると判定する（図中Ｆ）。

以上、本実施形態における電子制御装置１００では、ＩＧ−ＯＦＦ時、メインマイコン１０が出力するＷＤパルスの未反転時間が閾値Ｔ１を超えた場合に、監視ＩＣ３０がメインマイコン１０にリセット信号を出力する。これに対して、サブマイコン２０はメインマイコン１０がリセットされているか否かを確認することで、監視ＩＣ３０によるメインマイコン１０に対する監視機能を診断することができる。また、ＩＧ−ＯＮ時には、サブマイコン２０が通常のプライマリチェックを行い、サブマイコン２０によるメインマイコン１０に対する監視機能が診断される。

このように、ＩＧ−ＯＦＦ時に、サブマイコン２０が、監視ＩＣ３０によるメインマイコン１０の監視機能が正常か否かを判定することにより、プライマリチェック時のデッドラインを超えることなく、複数の監視装置（サブマイコン２０及び監視ＩＣ３０）それぞれによるメインマイコン１０に対する監視機能を診断することができる。また、ＩＧ−ＯＦＦ時において、追加されたメインマイコン１０の監視装置（監視ＩＣ３０）の機能診断を実施することにより、プライマリチェックにおけるチェック項目に影響を与えることがなく、例えば、タスク調整等によりチェックされない項目が生じることもない。

また、メインマイコン１０に対する監視機能が二重化されるので、サブマイコン２０と監視ＩＣ３０のうち一方の監視機能が異常になったとしても、車両は走行することができる。そのため、例えば、メインマイコン１０の監視機能の一方が異常になった場合、ワーニングランプ等により運転者に異常であることを通知することで、運転者はディーラー等に自走して車両を持ち込み、該車両を修理することができる。

また、プライマリチェックのデッドラインを延長する必要もないので、運転者によるイグニッションスイッチのオン操作からエンジン始動やメインシステムの起動までの時間が延長することによる運転者への違和感を抑制することができる。また、同様に、電子制御装置１００にＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信のゲートウェイ機能が統合されている場合において、デッドラインが延長されることによるＣＡＮ通信開始の遅延を防止することができる。

また、ＩＧ−ＯＦＦを契機に診断するので、ＩＧ−ＯＮ前には処理ができない電子制御装置であっても、監視ＩＣ３０によるメインマイコン１０の監視機能を診断することができる。

以上、本発明を実施するための形態について詳述したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

例えば、監視ＩＣ３０は、３つ目のマイコンにより置き換えてもよい。また、３つ以上の監視装置（例えば、サブマイコンと２つの監視ＩＣ）を有していてもよい。この場合、メインマイコン１０の監視機能を三重以上にすることができる。

また、上述した実施形態では、１つの電子制御装置１００内にメインマイコン１０の監視装置であるサブマイコン２０と監視ＩＣ３０が配置されていたが、サブマイコン２０と監視ＩＣ３０の少なくとも一方が電子制御装置１００の外部に配置されていてもよい。

１０ メインマイコン（マイコン）
２０ サブマイコン（第２の監視装置）
３０ 監視ＩＣ（第１の監視装置）
１００ 電子制御装置（情報処理装置）

Claims (1)

1. 車両に搭載され、マイコンが正常に動作しているか否かを監視する第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、
   前記マイコンは、
   イグニッションスイッチがオフにされた場合に、所定の信号の出力を停止し、
   前記第１の監視装置は、
   前記所定の信号の出力が停止されている継続時間が閾値を超えた場合に、前記マイコンをリセットし、
   前記第２の監視装置は、
   イグニッションスイッチがオフにされた場合に、前記マイコンがリセットされたか否かを判定することにより、前記第１の監視装置による前記マイコンの監視機能の異常を検知することを特徴とする、
   情報処理装置。

Images