JP2015112962A - 情報処理装置 - Google Patents

Abstract

【課題】機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の監視機能を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供すること。【解決手段】車両に搭載され、マイコンが正常に動作しているか否かを監視し、前記マイコンの動作が異常である場合、前記マイコンをリセットする第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、前記第１の監視装置は、イグニッションスイッチがオフ状態において、前記車両のドアが開扉した際に出力される所定の信号を受信したときに、前記マイコンをリセットするリセット信号を出力し、前記第２の監視装置は、前記リセット信号を検知することが可能であり、前記リセット信号が検知されたか否かによって、前記第１の監視装置による前記マイコンの監視機能の異常を検知する。【選択図】図５

Description

本発明は、複数の監視装置でマイコンを監視する情報処理装置に関する。

車載された電子制御装置（ＥＣＵ）のマイコンが動作可能であることを確認するため、例えば、イグニッションオン（ＩＧ−ＯＮ）を契機にしてマイコンの機能診断が行われている。このような機能診断をプライマリチェックという場合がある。

ここで、ＩＧ−ＯＮ後、マイコンが起動処理を完了させるまでの時間にはデッドラインが設けられる場合があるため、デッドライン内にプライマリチェックを終了させる技術が提案されている（例えば、特許文献１）。特許文献１には、デッドラインまでの間にプライマリチェックが終了するようにタスクをスケジューリングする電子制御装置が開示されている。

特開２０１２−１０３８０２号公報

ところで、プライマリチェックにおいて、マイコンが正常か異常かを監視する装置（監視装置）の監視機能が機能診断される場合がある。また、１つの監視装置の監視機能が正常でなくてもマイコンを監視できるようにするため、電子制御装置に複数の監視装置を配置する場合がある。

しかしながら、電子制御装置が、複数の監視装置の機能診断を時間的に連続して行おうとすると、特許文献１のようにスケジューリングしてもデッドラインを守れない場合がある。例えば、メインマイコンの監視をサブマイコンだけでなく他の監視装置でも行う場合、サブマイコンの監視機能及び他の監視装置の監視機能の機能診断に要する合計処理時間がそもそもデッドラインを超える場合がある。

また、特許文献１のようにスケジューリングすることで、複数の監視装置の機能診断をデッドラインまでに実施可能な場合であっても、タスクのスケジューリングにより毎回実施されないプライマリチェック項目が発生する場合がある。

また、これらを解決するため、デッドラインを延長すると、電子制御装置の通常処理への移行に更なる時間を要することになるため、車両性能が低下したり、他の電子制御装置（ＥＣＵ）との調整が必要になるという別の不都合が生じる場合がある。

そこで、上記課題に鑑み、機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の監視機能を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供することを目的とする。

上記目的を達成するため、一実施形態において、情報処理装置は、
車両に搭載され、マイコンが正常に動作しているか否かを監視し、前記マイコンの動作が異常である場合、前記マイコンをリセットする第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、
前記第１の監視装置は、
イグニッションスイッチがオフ状態において、前記車両のドアが開扉した際に出力される所定の信号を受信したときに、前記マイコンをリセットするリセット信号を出力し、
前記第２の監視装置は、
前記リセット信号を検知することが可能であり、前記リセット信号が検知されたか否かによって、前記第１の監視装置による前記マイコンの監視機能の異常を検知する。

本実施の形態によれば、機能診断の対象となる監視装置の数が増加した場合であっても、各監視装置の監視機能を含むチェックすべき全ての項目の機能診断を漏れなく実施しつつ、プライマリチェックにおける機能診断時間を所定のデッドラインまでに収めることが可能な情報処理装置を提供することができる。

電子制御装置の構成の一例を示す概略構成図である。 ＩＧ−ＯＮ時に、メインマイコンが自身をリセットする処理手順の一例を示すフローチャートである。 ＬＩＮ信号の受信時に、統合ＩＣがメインマイコンにリセット信号を出力する処理手順の一例を示すフローチャートである。 サブマイコンが、統合ＩＣによるメインマイコンの監視機能の診断を含むメインマイコンの監視機能全体を診断する処理手順の一例を示すフローチャートである。 電子制御装置におけるメインマイコンの監視機能の診断処理動作の一例を示すタイミングチャートである。

以下、図面を参照して発明を実施するための形態について説明する。

図１は、電子制御装置１００の構成の一例を示す概略構成図である。以下、電子制御装置１００の構成について説明をする。

電子制御装置１００は、メインマイコン１０、サブマイコン２０、及び、統合ＩＣ３０を含む。メインマイコン１０とサブマイコン２０は、一般的な情報処理装置のハードウェア構成であってよい。例えば、バスに接続されたＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ、ＤＭＡＣ等を有する。

メインマイコン１０は、イグニッションオン（ＩＧ−ＯＮ）状態において、電子制御装置１００の主たる機能を提供するマイコンである。メインマイコン１０の機能は、電子制御装置１００の種類によって様々であり、限定されない。例えば、電子制御装置１００がブレーキＥＣＵの場合、各輪のホイルシリンダ圧を制御する処理等を行う。なお、ＩＧ−ＯＮ／ＯＦＦは、電気モータを動力源とする車両やハイブリッド車におけるメインシステムのＯＮ／ＯＦＦ（Ｒｅａｄｙ−ＯＮ／ＯＦＦ）も含む概念として使用する。

また、メインマイコン１０は、サブマイコン２０及び統合ＩＣ３０により正常に動作しているか否かが監視される。具体的には、ＷＤパルス生成部１１を有し、ＷＤ（Ｗａｔｃｈｄｏｇ）パルス（周期的にＨｉとＬｏを繰り返す信号）をサブマイコン２０と統合ＩＣ３０に出力する。そして、該ＷＤパルスに基づいて、マイコン２０と統合ＩＣ３０によるメインマイコン１０の監視が行われる。また、メインマイコン１０は、サブマイコン２０又は統合ＩＣ３０からリセット信号が入力された場合、自身をリセットする。具体的には、サブマイコン２０又は統合ＩＣ３０によりメインマイコン１０の異常が検知された場合、サブマイコン２０又は統合ＩＣ３０からメインマイコン１０にリセット信号が出力され、メインマイコン１０は、当該リセット信号に応じて、自身をリセットする。

なお、メインマイコン１０は、サブマイコン２０から出力されるＷＤパルスが周期的にＨｉとＬｏとを出力しているか否かに基づき、サブマイコン２０が正常に動作しているか否かを監視することができる。但し、当該監視を行うか否かは任意である。

サブマイコン２０は、メインマイコン１０から受信したＷＤパルスに基づいて、メインマイコン１０が正常に動作しているか否かを監視する。該ＷＤパルスは周期的にＨｉとＬｏを繰り返す信号なので、サブマイコン２０は、メインマイコン１０から出力されるＷＤパルスとして周期的にＨｉとＬｏが出力されているか否かに基づきメインマイコン１０が正常に動作しているか否かを監視することができる。サブマイコン２０は、メインマイコン１０をリセットする機能を有し、メインマイコン１０から受信したＷＤパルスが（ＨｉからＬｏ又はＬｏからＨｉへ）反転しない等の異常を検知すると、メインマイコン１０にリセット信号を出力する。

また、サブマイコン２０は、プライマリチェックにおいて、サブマイコン２０自身によるメインマイコン１０の監視機能が正常であるか否かを診断（判定）する。具体的には、サブマイコン２０からメインマイコン１０へのリセット信号を伝達する信号線に接続されたモニタ線２２を通じて、該リセット信号を検知することにより、サブマイコン２０の上記リセット機能が正常であるか否かを診断する。なお、モニタ線２２は、サブマイコン２０からのリセット信号と統合ＩＣ３０からのリセット信号の両方をメインマイコン１０に伝達する信号線部分に接続され、統合ＩＣ３０からのリセット信号も検知することができる。プライマリチェックにおけるサブマイコン２０によるメインマイコン１０の監視機能診断の詳細については、後述する。

また、サブマイコン２０は、統合ＩＣ３０によるメインマイコン１０の監視機能が正常であるか否かを診断する。具体的には、モニタ線２２を通じて、統合ＩＣ３０からメインマイコン１０へのリセット信号が検知されたか否かにより、統合ＩＣ３０によるリセット機能が正常であるか否かを診断する。統合ＩＣ３０によるメインマイコン１０の監視機能診断の詳細については、後述する。

また、サブマイコン２０は、統合ＩＣ３０により正常に動作しているか否かが監視される。具体的には、ＷＤパルス生成部２１を有し、ＷＤパルスを（メインマイコン１０と）統合ＩＣ３０に出力する。そして、該ＷＤパルスに基づいて、統合ＩＣ３０によるサブマイコン２０の監視が行われる。また、サブマイコン２０は、統合ＩＣ３０からリセット信号が入力された場合、自身をリセットする。具体的には、統合ＩＣ３０によりサブマイコン２０の異常が検知された場合、統合ＩＣ３０からサブマイコン２０にリセット信号が出力され、サブマイコン２０は、当該リセット信号に応じて、自身をリセットする。

統合ＩＣ３０は、監視部３１等を含む。

監視部３１は、メインマイコン１０、サブマイコン２０から受信したＷＤパルスに応じて、メインマイコン１０、サブマイコン２０の動作の監視を行う。監視部３１は、メインマイコン１０から受信したＷＤパルスに基づいて、メインマイコン１０の異常を検知すると、メインマイコン１０にリセット信号を出力することにより、メインマイコン１０をリセットする。また、監視部３１は、サブマイコン２０から受信したＷＤパルスに基づいて、サブマイコン２０の異常を検知すると、サブマイコン２０にリセット信号を出力することにより、サブマイコン２０をリセットする。

また、統合ＩＣ３０は、車両のドアが開扉された際に、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）通信により出力される信号（以下、ＬＩＮ信号と呼ぶ）を受信可能に構成される。そして、ＩＧ−ＯＦＦ状態で、該ＬＩＮ信号を受信した場合、一定時間、メインマイコン１０へのリセット信号を所定時間間隔で出力する。これにより、サブマイコン２０は、該リセット信号が検知されたか否かにより統合ＩＣ３０のリセット機能が正常であるか否かを診断することができる。

なお、ＬＩＮ信号は、ドアに設けられるドアオープンセンサから出力された信号であってよい。また、ＬＩＮ信号は、車両にユーザが乗り込む際に開始される通信信号の一例であり、ユーザが運転を開始することを検出することが可能であれば、任意の信号の受信を契機にして、統合ＩＣ３０は上記リセット信号を出力してよい。

次いで、メインマイコン１０、サブマイコン２０、及び統合ＩＣ３０の動作、特に、ＩＧ−ＯＮ前後におけるメインマイコン１０の監視機能診断に関する動作について説明をする。

まず、メインマイコン１０による自身のリセット処理について説明をする。

図２は、メインマイコン１０が自身をリセット（ＷＤパルスの生成を停止）する処理手順の一例を示すフローチャートである。当該処理は、ＩＧ−ＯＮ直後に起動されて、実行されてよい。

図２を参照するに、メインマイコン１０は、ＩＧ−ＯＮにより起動し、ＷＤパルスの生成を開始する（ステップＳ１０１）。

メインマイコン１０は、ＣＰＵ間通信を介して、サブマイコン２０のプライマリチェック状態を確認する。（ステップＳ１０２）。そして、サブマイコン２０にリセットが発生しているか否かを判定する（ステップＳ１０３）。

サブマイコン２０にリセットが発生していない場合（ステップＳ１０３のＮ）、メインマイコン１０は、自身をリセットして、ＷＤパルスの生成を停止し（ステップＳ１０４）、処理を終了する。これにより、サブマイコン２０は、後述するように、メインマイコン１０からのＷＤパルスに反転がないことを検知し、メインマイコン１０にリセット信号を出力する。

また、サブマイコン２０にリセットが発生している場合（ステップＳ１０３のＹ）、確認したサブマイコン２０のプライマリチェック状態をクリアにし（ステップＳ１０５）、イニシャル処理（通常処理）を開始し（ステップＳ１０６）、本フローチャートによる処理を終了する。

このように、ステップＳ１０４におけるＷＤパルスの生成停止により、メインマイコン１０がリセット信号を要求することによりサブマイコン２０にリセット信号を出力させることができる。そのため、後述するように、該リセット信号が検知されるか否かによりサブマイコン２０によるメインマイコン１０のリセット機能（監視機能）を診断することができる。

次に、統合ＩＣ３０の動作、即ち、ＬＩＮ信号受信時におけるメインマイコン１０へのリセット信号の出力動作について説明をする。

図３は、ＬＩＮ信号の受信時に、統合ＩＣ３０がメインマイコン１０にリセット信号を出力する処理手順の一例を示すフローチャートである。なお、当該処理は、車両のＩＧ−ＯＦＦ状態において、実行される。

図３を参照するに、統合ＩＣ３０は、車両のＩＧ−ＯＦＦ状態において、車両のドアが開扉されたことを示すＬＩＮ信号を受信するまで待機する（ステップＳ２０１）。そして、ＬＩＮ信号を受信すると、内部タイマのカウントアップを開始する（ステップＳ２０２）。

統合ＩＣ３０は、タイマのカウントアップ開始から（２回目以降は、前回のリセット信号の出力から）の経過時間が所定時間ΔＴ以上であるか否かを判定する（ステップＳ２０３）。そこで、経過時間が所定時間ΔＴ以上であれば（ステップＳ２０３のＹ）、メインマイコン１０へリセット信号を出力する。

そして、統合ＩＣ３０は、タイマのカウントアップ開始からの合計経過時間が所定時間Ｔ以上であるか否かを判定し（ステップＳ２０５）、当該条件を満たすまで、ステップＳ２０３〜Ｓ２０５を繰り返す。即ち、統合ＩＣ３０は、タイマのカウントアップ開始から所定時間Ｔの間、所定時間ΔＴ毎にメインマイコン１０へのリセット信号を出力する。

タイマのカウントアップ開始からの合計経過時間が所定時間Ｔ以上になった場合（ステップＳ２０５のＹ）、内部タイマをカウントクリアにし（ステップＳ２０６）、処理を終了する。

このように、メインマイコン１０へのリセット信号を一定時間、繰り返し出力することで、後述するように、該リセット信号が検知されたか否かにより、統合ＩＣ３０によるメインマイコン１０のリセット機能（監視機能）を診断することができる。

次に、サブマイコン２０の動作、即ち、統合ＩＣ３０によるメインマイコン１０の監視機能の診断を含むメインマイコン１０の監視機能全体を診断する動作について説明をする。

図４は、サブマイコン２０が、統合ＩＣ３０によるメインマイコン１０の監視機能の診断を含むメインマイコン１０の監視機能全体を診断する処理手順の一例を示すフローチャートである。なお、サブマイコン２０は、ＬＩＮ信号の受信により起動し、当該処理は、サブマイコン２０の起動直後、実行される。

図４を参照するに、サブマイコン２０は、メインマイコン１０からのＷＤパルスが停止している（即ち、メインマイコン１０が停止している）ことを確認する（ステップＳ３０１）。そして、モニタ線２２を通じて、統合ＩＣ３０からメインマイコン１０へのリセット信号が検知されたか否かを判定する（ステップＳ３０２）。上述したとおり、統合ＩＣ３０は、ＬＩＮ信号を受信すると、一定時間、所定時間毎にリセット信号を出力するので、ステップＳ３０２では、該リセット信号が検知されたか否かを判定する。

統合ＩＣ３０からメインマイコン１０へのリセット信号が検知された場合（ステップＳ３０２のＹ）、サブマイコン２０は、統合ＩＣ３０によるメインマイコン１０のリセット機能が正常であると判定して、リセット機能確認フラグＡをＯＮにする（ステップＳ３０３）。また、統合ＩＣ３０からメインマイコン１０へのリセット信号が検知されなかった場合（ステップＳ３０２のＮ）、サブマイコン２０は、統合ＩＣ３０によるメインマイコン１０のリセット機能が異常であると判定して、リセット機能確認フラグＡをＯＦＦにする（ステップＳ３０４）。

続いて、サブマイコン２０は、メインマイコン１０（ＷＤパルス生成部１１）が起動するまで待機する（ステップＳ３０５）。メインマイコン１０（ＷＤパルス生成部１１）が起動すると（ステップＳ３０５のＹ）、メインマイコン１０からのリセット要求を受信するまで、即ち、メインマイコン１０によるＷＤパルスの生成が停止されるまで待機する（ステップＳ３０６）。メインマイコン１０によるＷＤパルスの生成が停止された場合（ステップＳ３０６のＹ）、モニタ線２２を通じて、サブマイコン２０自身からメインマイコン１０へのリセット信号が検知されたか否かを判定する（ステップＳ３０７）。上述したとおり、メインマイコン１０は、ＩＧ−ＯＮにより起動し、起動後、リセット処理によりＷＤパルスの生成を停止する（図２のステップＳ１０４）ので、サブマイコン２０は、ＷＤパルスが反転しないことを検知し、メインマイコン１０にリセット信号を出力する。そのため、ステップＳ３０７では、該リセット信号が検知されるか否かを判定する。

サブマイコン２０からメインマイコン１０へのリセット信号が検知された場合（ステップＳ３０７のＹ）、サブマイコン２０によるメインマイコン１０のリセット機能は正常であると判定し、リセット機能確認フラグＢをＯＮにする（ステップＳ３０８）。また、サブマイコン２０からメインマイコン１０へのリセット信号が検知されなかった場合（ステップＳ３０７のＮ）、サブマイコン２０によるメインマイコン１０のリセット機能は異常であると判定し、リセット機能確認フラグＢをＯＦＦにする（ステップＳ３０９）。

続いて、サブマイコン２０は、メインマイコン１０の監視機能全体の診断を行う。具体的には、リセット機能確認フラグＡがＯＮ、かつ、リセット機能確認フラグＢがＯＮであるか否かを判定する（ステップＳ３１０）。即ち、統合ＩＣ３０によるメインマイコン１０のリセット機能（監視機能）とサブマイコン２０によるメインマイコン１０のリセット機能（監視機能）が共に正常であるか否かを判定する。当該条件を満足する場合（ステップＳ３１０のＹ）、サブマイコン２０と統合ＩＣ３０によるメインマイコン１０の２重監視が保障されていることを示す監視機能保障フラグをＯＮにし、メインマイコン１０の監視を保障するレベル（保障レベル）を最も高いレベル３に設定する（ステップＳ３１３）。

また、当該条件を満足しない場合（ステップＳ３１０のＮ）、リセット機能確認フラグＢがＯＮであるか否かを判定する（ステップＳ３１１）。即ち、サブマイコン２０によるメインマイコン１０のリセット機能（監視機能）が正常であるか否かを判定する。当該条件を満足する場合（ステップＳ３１１のＹ）、保障レベルをレベル２に設定する（ステップＳ３１４）。

また、当該条件を満足しない場合（ステップＳ３１１のＮ）、リセット機能確認フラグＡがＯＮであるか否かを判定する（ステップＳ３１２）。即ち、統合ＩＣ３０によるメインマイコン１０のリセット機能（監視機能）が正常であるか否かを判定する。当該条件を満足する場合（ステップＳ３１２のＹ）、保障レベルをレベル１に設定する（ステップＳ３１５）。

また、当該条件を満足しない場合（ステップＳ３１２のＮ）、保障レベルを、メインマイコン１０の動作が正常であるか否かの監視がされていない（未監視）状態であることを示すレベル０に設定する（ステップＳ３１６）。

このように、メインマイコン１０の監視機能全体の診断手法の一例として、メインマイコン１０の監視機能の状態が良好なほど高いレベルが割り当てられる。具体的には、統合ＩＣ３０によるメインマイコン１０の監視機能とサブマイコン２０によるメインマイコン１０の監視機能の両方が正常である場合に、最も高いレベル３が割り当てられる。また、両方が異常である場合に最も低いレベル０が割り当てられる。また、サブマイコン２０による監視機能のみが正常な場合、レベル２が割り当てられ、統合ＩＣ３０による監視機能のみが正常な場合、レベル１が割り当てられる。

サブマイコン２０は、メインマイコン１０が２重監視下にあるか否かを示す監視機能保障フラグ（及び設定された保障レベル）をＣＰＵ間通信によりメインマイコン１０に送信して（ステップＳ３１７）、処理を終了する。

次に、統合ＩＣ３０及びサブマイコン２０によるメインマイコン１０の監視機能診断処理全体の動作について、図５のタイミングチャートを用いて、具体的に説明をする。

図５は、統合ＩＣ３０及びサブマイコン２０によるメインマイコン１０の監視機能が正常な場合のタイミングチャートである。図５において、図示した信号は上から順番に、ａ）ＬＩＮ信号、ｂ）ＩＧ信号、ｃ）ＷＤパルス（メインマイコン１０）、ｄ）ＷＤパルス（サブマイコン２０）、ｅ）リセット信号（統合ＩＣ３０→メインマイコン１０）、ｆ）リセット信号（サブマイコン２０→メインマイコン１０）、ｇ）リセット機能確認フラグＡ（統合ＩＣ３０）、ｈ）リセット機能確認フラグＢ（サブマイコン２０）、ｉ）監視機能保障フラグ（２重監視保障フラグ）である。

以下、時刻ｔ０から時刻ｔ５にかけての時間経過に沿って、図５のタイミングチャートの説明を行う。

時刻ｔ０：運転者等による車両のドア開扉に対応して、ＬＩＮ信号が出力される（図中Ａ）。サブマイコン２０は、当該ＬＩＮ信号を受信すると、起動し、ＷＤパルスの生成を開始する（図中Ｂ）。また、統合ＩＣ３０は、当該ＬＩＮ信号を受信すると、一定時間の間、具体的には、時刻ｔ０から時刻ｔ２の間で、所定時間毎にリセット信号を出力する。本例で、統合ＩＣ３０は、メインマイコン１０へのリセット信号を３回出力する。

時刻ｔ１：統合ＩＣ３０がメインマイコン１０へのリセット信号（１回目）を出力すると、サブマイコン２０が該リセット信号を検知し、統合ＩＣ３０によるメインマイコン１０の監視機能は正常であると判定し、リセット機能確認フラグＡをＯＮにする（図中Ｄ）。なお、統合ＩＣ３０からメインマイコン１０へのリセット線の断線等により、リセット信号が検知されない場合、統合ＩＣ３０によるメインマイコン１０の監視機能は異常であると判定し、リセット機能確認フラグＡをＯＦＦの状態に維持（確定）する。

時刻ｔ２：統合ＩＣ３０は、メインマイコン１０へのリセット信号（３回目）を出力し、ＬＩＮ信号の受信に対応したメインマイコン１０へのリセット信号出力処理を終了する。

時刻ｔ３：運転者によるイグニッションスイッチのオン操作によりＩＧ信号がＯＮ（ＩＧ−ＯＮ）になる。これにより、メインマイコン１０が起動し、ＷＤパルスの生成を開始する（図中Ｅ）。

時刻ｔ４：メインマイコン１０は、サブマイコン２０のプライマリチェック状態を確認し、サブマイコン２０がリセットしていないので、自身をリセットし、ＷＤパルスの生成を一時的に停止する（図中Ｆ）。これにより、メインマイコン１０のＷＤパルスが反転しないため、サブマイコン２０は、メインマイコン１０にリセット信号を出力する（図中Ｇ）。

時刻ｔ５：サブマイコン２０は、モニタ線２２を通じて、サブマイコン２０自身からメインマイコン１０へのリセット信号を検知することにより、サブマイコン２０によるメインマイコン１０の監視機能は正常であると判定し、リセット機能確認フラグＢをＯＮにする（図中Ｈ）。また、リセット機能確認フラグＡ、及びリセット機能確認フラグＢ共に、ＯＮであるため、監視機能保障フラグ（２重監視保障フラグ）をＯＮにする。なお、サブマイコン２０からメインマイコン１０へのリセット線の断線等により、リセット信号が検知されない場合、サブマイコン２０によるメインマイコン１０の監視機能は異常であると判定し、リセット機能確認フラグＢをＯＦＦの状態に維持（確定）する。また、リセット機能確認フラグＡ又はリセット機能確認フラグＢの少なくとも一方がＯＦＦの場合、監視機能保障フラグはＯＦＦ状態に維持（確定）する。

上述したように、監視機能保障フラグは、ＣＰＵ間通信を通じて、サブマイコン２０からメインマイコン１０に通知される。メインマイコン１０は、監視機能保障フラグがＯＮであることを確認することにより、メインマイコン１０自身が２重監視状態にあることを認知することができ、通常の制御処理に移行してよい。

以上、本実施形態における電子制御装置１００では、ＩＧ−ＯＮ以前、即ち、ＬＩＮ信号の受信時に、サブマイコン２０と統合ＩＣ３０が起動する。そして、メインマイコン１０の停止状態において、統合ＩＣ３０がメインマイコン１０へのリセット信号を出力し、該リセット信号をサブマイコン２０が検知したか否かにより統合ＩＣ３０によるメインマイコン１０の監視機能を診断することができる。また、ＩＧ−ＯＮ時には、サブマイコン２０が、プライマリチェックにおいて、サブマイコン２０によるメインマイコン１０の監視機能を診断する。

このように、ＩＧ−ＯＦＦ状態（ＬＩＮ信号受信時）において、統合ＩＣ３０によるメインマイコン１０の監視機能が正常か否かを判定することにより、プライマリチェック時のデッドラインを超えることなく、複数の監視装置（サブマイコン２０及び統合ＩＣ３０）それぞれによるメインマイコン１０に対する監視機能を診断することができる。また、ＬＩＮ信号受信時に、追加されたメインマイコン１０の監視装置（統合ＩＣ３０）の機能診断を実施することにより、プライマリチェックにおけるチェック項目に影響を与えることがなく、例えば、タスク調整等によりチェックされない項目が生じることもない。

また、メインマイコン１０に対する監視機能の診断が二重化されるので、サブマイコン２０と統合ＩＣ３０のうち一方の監視機能が異常になったとしても、車両は走行することができる。そのため、例えば、メインマイコン１０の監視機能の一方が異常になった場合、ワーニングランプ等により運転者に異常であることを通知することで、運転者はディーラー等に自走して車両を持ち込み、該車両を修理することができる。

また、プライマリチェックのデッドラインを延長する必要もないので、運転者によるイグニッションスイッチのオン操作からエンジン始動やメインシステムの起動までの時間が延長することによる運転者への違和感を抑制することができる。また、同様に、電子制御装置１００にＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信のゲートウェイ機能が統合されている場合において、デッドラインが延長されることによるＣＡＮ通信開始の遅延を防止することができる。

以上、本発明を実施するための形態について詳述したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

例えば、統合ＩＣ３０は、３つ目のマイコンにより置き換えてもよい。また、３つ以上の監視装置を有していてもよい。この場合、メインマイコン１０の監視機能を三重以上にすることができる。

また、上述した実施形態では、１つの電子制御装置１００内にメインマイコン１０の監視装置であるサブマイコン２０と統合ＩＣ３０が配置されていたが、サブマイコン２０と統合ＩＣ３０の少なくとも一方が電子制御装置１００の外部に配置されていてもよい。

１０ メインマイコン（マイコン）
２０ サブマイコン（第２の監視装置）
３０ 統合ＩＣ（第１の監視装置）
１００ 電子制御装置（情報処理装置）

Claims (1)

1. 車両に搭載され、マイコンが正常に動作しているか否かを監視し、前記マイコンの動作が異常である場合、前記マイコンをリセットする第１の監視装置、及び第２の監視装置を備えた情報処理装置であって、
   前記第１の監視装置は、
   イグニッションスイッチがオフ状態において、前記車両のドアが開扉した際に出力される所定の信号を受信したときに、前記マイコンをリセットするリセット信号を出力し、
   前記第２の監視装置は、
   前記リセット信号を検知することが可能であり、前記リセット信号が検知されたか否かによって、前記第１の監視装置による前記マイコンの監視機能の異常を検知する、
   情報処理装置。

Images