JP2015215743A - 電子制御装置 - Google Patents

Abstract

【課題】ＢＩＳＴ機能を有するマイコンが搭載された電子制御装置において、マイコンの異常検出遅れを短くする。【解決手段】ＢＩＳＴ機能を有するマイコン３と、マイコン３から定期的に出力されるモニタ信号を監視して、モニタ信号が出力されない時間である信号停止時間が、異常判定時間Ｔａ以上になったか否かを判定する監視回路７と、監視回路７により「信号停止時間≧Ｔａ」と判定されると、マイコン３をリセットするリセット回路９と、を備える電子制御装置１において、マイコン３は、ＢＩＳＴの実施対象部分として、モニタ信号を出力するための処理部１１と、それ以外の部分である他の処理部１２とを備える。そして、マイコン３では、当該マイコン３が起動すると、処理部１１のＢＩＳＴと他の処理部１２のＢＩＳＴとが、その順に分けて実施され、しかも、処理部１１のＢＩＳＴが終了すると、その時点から処理部１１がモニタ信号の出力を行う。【選択図】図１

Description

本発明は、ＢＩＳＴ（Built in Self Test）機能を有するマイコンを搭載した電子制御装置に関する。

一般に、マイコンを搭載した電子制御装置では、マイコンから定期的に出力される監視対象信号を、外部ＩＣ（マイコン外部のＩＣ）によって監視するようになっている。外部ＩＣは、マイコンから監視対象信号が出力されない時間（以下、信号停止時間という）を計測し、信号停止時間が異常判定時間以上になると、マイコンが異常状態であると判断して、マイコンにリセット信号を出力することにより、マイコンを再起動させる（例えば、特許文献１参照）。

上記異常判定時間は、マイコンが起動してから（具体的にはリセット解除時から）監視対象信号の出力を開始するまでの時間よりも長い時間に設定しておく必要がある。そのように設定しないと、マイコンが起動してから監視対象信号を最初に出力する前に、必ずマイコンをリセットしてしまうこととなり、マイコンを正常に動作させることができなくなるからである。

また近年、マイコンとしては、ＢＩＳＴ機能を有するマイコンがある。この種のマイコンでは、起動すると、ＢＩＳＴが実施され、そのＢＩＳＴが終了してから、ユーザプログラムを実行する通常動作状態になる。このため、ＢＩＳＴ機能を有するマイコンでは、起動してから少なくともＢＩＳＴが終了するまでは、監視対象信号を出力しない。よって、ＢＩＳＴ機能を有するマイコンを電子制御装置に搭載する場合、マイコンをリセットするための異常判定時間は、マイコンが起動してからＢＩＳＴが終了するまでのＢＩＳＴ実施時間（ＢＩＳＴ完了時間）よりも長い時間に設定する必要があった（例えば、特許文献１参照）。

特開２０１３−１９６０８４号公報

ＢＩＳＴ実施時間は比較的長いため、そのＢＩＳＴ実施時間よりも異常判定時間を長くしなければならないことは、マイコンの異常検出遅れ（マイコンが異常になってから、マイコンをリセットするまでの時間）が、制御システムでの許容範囲より長くなってしまうことを招く。

そこで、本発明は、ＢＩＳＴ機能を有するマイコンが搭載された電子制御装置において、マイコンの異常検出遅れを短くすることを目的としている。

第１発明の電子制御装置は、ＢＩＳＴ機能を有するマイコンと、前記マイコンから定期的に出力される監視対象信号を監視して、前記監視対象信号が出力されない時間である信号停止時間が、異常判定時間以上になったか否かを判定する監視手段と、前記監視手段により前記信号停止時間が前記異常判定時間以上になったと判定されると、前記マイコンをリセットするリセット手段と、を備える。

この電子制御装置において、マイコンは、ＢＩＳＴの実施対象部分として、前記監視対象信号を前記監視手段に出力するための第１処理部と、前記第１処理部以外の部分である第２処理部とを備える。そして、マイコンでは、当該マイコンが起動すると、前記第１処理部のＢＩＳＴと前記第２処理部のＢＩＳＴとが、その順に分けて実施され、しかも、前記第１処理部のＢＩＳＴが終了すると、前記第１処理部が、前記監視対象信号を前記異常判定時間よりも短い周期で出力する。マイコンは、第１処理部のＢＩＳＴが終了すると、第２処理部のＢＩＳＴと並行して、監視対象信号を出力することとなる。

このような電子制御装置によれば、異常判定時間は、マイコンが起動してから第１処理部と第２処理部との両方のＢＩＳＴが終了するまでの時間（即ち、ＢＩＳＴの総実施時間）よりも長い時間に設定する必要がなく、マイコンが起動してから第１処理部のＢＩＳＴが終了するまでの時間よりも長ければ良い。よって、異常判定時間を短く設定することができ、延いては、マイコンの異常検出遅れを短くすることができる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

第１実施形態の電子制御装置（ＥＣＵ）を表す構成図である。 第１実施形態のマイコンの動作を表すフローチャートである。 第１実施形態の作用を説明するタイムチャートである。 第２実施形態の電子制御装置（ＥＣＵ）を表す構成図である。 第２実施形態のマイコンの動作を表すフローチャートである。 第２実施形態の作用を説明するタイムチャートである。

以下に、本発明が適用された実施形態の電子制御装置（以下、ＥＣＵという）について説明する。尚、本実施形態のＥＣＵは、例えば車両に搭載されて、車両のエンジンを制御するものであるが、制御対象はエンジン以外でも良い。

［第１実施形態］
図１に示すように、第１実施形態のＥＣＵ１は、当該ＥＣＵ１の動作を司るマイコン３と、ＡＳＩＣ（Application Specific Integrated Circuit）５とを備える。

ＡＳＩＣ５は、マイコン３の異常を検出するための監視回路７と、監視回路７による異常検出時にマイコン３をリセットするリセット回路９とを備える。
監視回路７は、マイコン３から定期的に出力されるモニタ信号を監視し、モニタ信号が出力されない時間（本実施形態では、モニタ信号にローからハイへの立ち上がりエッジが生じない時間）である信号停止時間が、異常判定時間Ｔａ以上になったか否かを判定する。そして、監視回路７は、信号停止時間が異常判定時間Ｔａ以上になったと判定すると、リセット回路９にリセット要求信号を出力する。

リセット回路９は、監視回路７からのリセット要求信号を受けると、マイコン３へ所定時間幅のリセット信号を出力して、マイコン３を再起動させる。
本実施形態において、マイコン３へのリセット信号は、ローアクティブの信号である（図３の２段目参照）。このため、「リセット信号を出力する」とは、リセット信号の出力レベルをローにすることである。

また、本実施形態において、モニタ信号は、ハイとローとに反転する信号であって、周期が異常判定時間Ｔａよりも短い信号である（図３の４段目参照）。そして、モニタ信号の立ち上がりエッジの間隔が、監視回路７によって監視される。本実施形態では、モニタ信号が監視対象信号に相当しているが、より詳しくは、モニタ信号の立ち上がりエッジが監視対象信号に相当している。

具体的には、監視回路７は、モニタ信号の周期（立ち上がりエッジの周期でもある）よりも十分に短い一定時間Ｔｃｔ毎にカウントアップする異常検出カウンタ８を備えている。異常検出カウンタ８の値は、リセット回路９からマイコン３にリセット信号が出力される（リセット信号がローになる）か、あるいは、モニタ信号に立ち上がりエッジが生じると、０にクリアされる（図３の２，４，５段目参照）。そして、監視回路７は、異常検出カウンタ８の値が、異常判定時間Ｔａに相当する異常判定値ＮＴａ（＝Ｔａ／Ｔｃｔ）以上になると、信号停止時間が異常判定時間Ｔａ以上になったと判定して、リセット回路９にリセット要求信号を出力する（図３の時刻ｔ３参照）。

また、図示は省略しているが、ＥＣＵ１へは、例えば、車両のイグニッションスイッチがオンされると、車両のバッテリ電圧が動作用電源として供給される。そして、ＡＳＩＣ５には、動作用電源としてのバッテリ電圧から一定の電源電圧（例えば５Ｖ）を生成する電源回路も備えられており、その一定の電源電圧がマイコン３に電源として供給される。更に、リセット回路９は、マイコン３への電源電圧が上昇し始めてから、その電源電圧が正常範囲（例えば５Ｖ±１０％）になるまでの間、マイコン３へのリセット信号をローにする、いわゆるパワーオンリセット機能も備えている。

マイコン３は、ＢＩＳＴ機能を有するマイコンである。
マイコン３は、ＢＩＳＴの実施対象部分として、モニタ信号をＡＳＩＣ５（詳しくは監視回路７）に出力するためのモニタ信号出力処理部１１と、モニタ信号出力処理部１１以外の部分である他の処理部１２とを備える。そして、マイコン３は、モニタ信号出力処理部１１のＢＩＳＴを実施するハードウェアである第１のテスト実施部２１と、他の処理部１２のＢＩＳＴを実施するハードウェアである第２のテスト実施部２２と、を備える。

尚、図１において、点線枠で示すように、マイコン３は、プログラムを実行するＣＰＵ２４、ＣＰＵ２４により実行されるユーザプログラム（本実施形態では、例えばエンジンを制御するためのプログラム）２５を記憶したプログラムメモリとしてのＲＯＭ２６、及びＣＰＵ２４の演算結果等を記憶するＲＡＭ２７や、各種レジスタ及び入出力ポート等（図示省略）を備える。そして、それらの一部又は全部が、モニタ信号出力処理部１１と他の処理部１２との何れかに含まれる。

例えば、モニタ信号出力処理部１１は、マイコン３の入出力ポートのうち、モニタ信号を出力するための出力ポート（以下、モニタ信号用ポートという）や、そのモニタ信号用ポートからのハイ又はローの出力レベルを示す値（ハイに相当する“１”又はローに相当する“０”）がセットされる出力値レジスタ（以下、モニタ出力値レジスタという）等を含む。更に、本実施形態において、モニタ信号出力処理部１１には、ユーザプログラム２５が実行されなくてもモニタ信号用ポートからモニタ信号を出力する（即ち、モニタ信号をレベル反転させる）ためのハードウェアとして、信号出力用回路１１ａが含まれている。また、他の処理部１２は、ＣＰＵ２４がユーザプログラム２５の実行時にアクセスするＲＡＭ２７の記憶領域の一部又は全部や、ＲＯＭ２６の記憶領域の一部又は全部等を含む。また、他の処理部１２としては、ＣＰＵ２４を構成するハードウェアやＡ／Ｄ変換器等が含まれても良い。

次に、マイコン３の起動時からの動作について、図２を用い説明する。
図２に示すように、マイコン３は、リセットが解除されて起動すると、まず内部の初期設定を行う（Ｓ１１０）。この初期設定は、初期設定用のハードウェアによって実施される。

そして、マイコン３は、第１のテスト実施部２１によりモニタ信号出力処理部１１のＢＩＳＴを実施する（Ｓ１２０）。モニタ信号出力処理部１１のＢＩＳＴとしては、例えば、モニタ信号用ポートとモニタ出力値レジスタとを切り離した状態にして、モニタ出力値レジスタへの“１”と“０”との書き込みが可能であることを確認するテストや、モニタ信号出力処理部１１における特定の信号経路が正常であることを確認するテスト等が実施される。

マイコン３は、モニタ信号出力処理部１１のＢＩＳＴが正常終了すると（Ｓ１２５：ＹＥＳ）、モニタ信号出力処理部１１によるモニタ信号の出力を開始する（Ｓ１３０）。すると、モニタ信号出力処理部１１において、信号出力用回路１１ａが、上記モニタ出力値レジスタの値を、初期値の“０”から“１”に書き換え、その後は、一定時間毎にモニタ出力値レジスタの値を反転させる。よって、その一定時間毎に、モニタ信号用ポートから出力されるモニタ信号がレベル反転することとなる。

その後、マイコン３は、第２のテスト実施部２２により他の処理部１２のＢＩＳＴを実施する（Ｓ１４０）。他の処理部１２のＢＩＳＴとしては、例えば、ＲＯＭ２６が正常であることを確認するテストや、ＲＡＭ２７が正常であることを確認するテスト等が実施される。

マイコン３は、他の処理部１２のＢＩＳＴが正常終了すると（Ｓ１４５：ＹＥＳ）、ＲＯＭ２６内のユーザプログラム２５のＣＰＵ２４による実行を開始する（Ｓ１５０）。この時点から、マイコン３への電源供給（電源電圧の供給）が停止されるまで、ＣＰＵ２４はユーザプログラム２５を実行することとなる。

また、ユーザプログラム２５には、モニタ信号を出力するための信号出力用プログラムも含まれる。その信号出力用プログラムは、例えば、実行される毎に、モニタ出力値レジスタの値を“１”と“０”とに反転させるプログラムである。

マイコン３では、Ｓ１３０からＳ１５０までの間（換言すれば、モニタ信号出力処理部１１のＢＩＳＴが終了してから、他の処理部１２のＢＩＳＴが終了するまでの間）は、モニタ信号出力処理部１１の信号出力用回路１１ａによってモニタ信号の出力が実施される。そして、マイコン３では、Ｓ１５０でユーザプログラム２５の実行を開始してからは（換言すれば、他の処理部１２のＢＩＳＴが終了してからは）、ＣＰＵ２４が、ユーザプログラム２５中の信号出力用プログラムを一定時間毎に実行することにより、モニタ信号出力処理部１１にモニタ信号を出力させる。図１における点線矢印は、ユーザプログラム２５の実行（詳しくはユーザプログラム２５中の信号出力用プログラムの実行）によってモニタ信号の出力が行われることを表している。

信号出力用回路１１ａによりモニタ信号が出力される場合と、ユーザプログラム２５の実行によりモニタ信号が出力される場合との、何れにおいても、モニタ信号の周期は、異常判定時間Ｔａよりも短い。また、マイコン３が起動してから、モニタ信号出力処理部１１のＢＩＳＴが終了して、信号出力用回路１１ａによりモニタ信号が最初に立ち上がる（ローからハイに変化する）までの時間も、異常判定時間Ｔａより短い。

一方、マイコン３は、モニタ信号出力処理部１１のＢＩＳＴが正常終了しなかった場合（Ｓ１２５：ＮＯ）、あるいは、他の処理部１２のＢＩＳＴが正常終了しなかった場合（
Ｓ１４５：ＮＯ）には、異常時の処理を行う。異常時の処理は、例えば、マイコン３を内部的にリセットする処理や、モニタ信号の出力レベルをローに固定する処理等である。後者の処理が行われた場合、マイコン３は、ＡＳＩＣ５からのリセット信号によってリセットされることとなる。

次に、ＥＣＵ１の作用について、図３を用い説明する。尚、図３の１段目において、「オフ」とは、マイコン３に電源電圧が供給されていないことを意味し、「オン」とは、マイコン３に電源電圧が供給されていることを意味する。また、このことは、後述する図６についても同様である。

図３に示すように、マイコン３への電源電圧の供給が開始されて、リセット回路９のパワーオンリセット機能によるマイコン３のリセットが解除されると（つまり、リセット信号がローからハイになると）、マイコン３が起動する。また、リセット信号がローからハイになると、ＡＳＩＣ５では、異常検出カウンタ８の一定時間Ｔｃｔ毎のカウントアップが開始する。つまり、監視回路７がモニタ信号の監視を開始する。

起動したマイコン３では、モニタ信号出力処理部１１のＢＩＳＴと、他の処理部１２のＢＩＳＴとが、その順に分けて実施される。更に、マイコン３では、モニタ信号出力処理部１１のＢＩＳＴが終了すると、モニタ信号出力処理部１１が、信号出力用回路１１ａによって、モニタ信号を異常判定時間Ｔａよりも短い周期で出力する。

また、ＡＳＩＣ５では、モニタ信号に立ち上がりエッジが生じる毎に、異常検出カウンタ８の値が０にクリアされる。マイコン３から正常にモニタ信号が出力されている場合には、異常検出カウンタ８の値が、異常判定時間Ｔａに相当する異常判定値ＮＴａに到達する前に０にクリアされるため、ＡＳＩＣ５からマイコン３にリセット信号が出力されることはない。

マイコン３は、図３における時刻ｔ１にて他の処理部１２のＢＩＳＴが終了したとすると、その時点から、ＣＰＵ２４によってユーザプログラム２５を実行する通常動作状態となる。更に、マイコン３は、他の処理部１２のＢＩＳＴが終了してからは、ＣＰＵ２４がユーザプログラム２５（詳しくは前述の信号出力用プログラム）を実行することにより、モニタ信号を異常判定時間Ｔａよりも短い周期で出力する。尚、図３の例では、信号出力用回路１１ａによって出力されるモニタ信号の周期と、ユーザプログラム２５の実行によって出力されるモニタ信号の周期とが、同じである例を示している。

ここで、図３における時刻ｔ２にて、通常動作状態のマイコン３に異常が生じて、モニタ信号のレベル反転が停止したとする。
すると、ＡＳＩＣ５において、異常検出カウンタ８の値が０にクリアされることなく増加していく。そして、図３における時刻ｔ３に示すように、異常検出カウンタ８の値が異常判定値ＮＴａに達すると、監視回路７は、信号停止時間（この例ではモニタ信号に立ち上がりエッジが生じない時間）が異常判定時間Ｔａ以上になったと判定して、リセット回路９にリセット要求信号を出力する。すると、リセット回路９は、マイコン３へ所定時間幅のリセット信号を出力して（換言すれば、リセット信号を所定時間だけローにして）、マイコン３を再起動させる。

以上のように、マイコン３では、モニタ信号出力処理部１１のＢＩＳＴと、他の処理部１２のＢＩＳＴとが、その順に分けて実施される。しかも、モニタ信号出力処理部１１のＢＩＳＴが終了すると、モニタ信号出力処理部１１が信号出力用回路１１ａによってモニタ信号を異常判定時間Ｔａよりも短い周期で出力する。よって、図３の４段目において「ＢＩＳＴ中に出力」と記載しているように、マイコン３は、モニタ信号出力処理部１１の
ＢＩＳＴが終了すると、他の処理部１２のＢＩＳＴと並行して、モニタ信号を出力することとなる。

このようなＥＣＵ１によれば、異常判定時間Ｔａは、マイコン３が起動してからモニタ信号出力処理部１１と他の処理部１２との両方のＢＩＳＴが終了するまでの時間Ｔｓｔ（即ち、ＢＩＳＴの総実施時間であり、図３における３段目と４段目の間の矢印参照）よりも短くて良い。つまり、異常判定時間Ｔａは、マイコン３が起動してからモニタ信号出力処理部１１のＢＩＳＴが終了するまでの時間（＜Ｔｓｔ）よりも長ければ良い。よって、異常判定時間Ｔａを短く設定することができ、延いては、マイコン３の異常検出遅れを短くすることができる。

比較例として、全てのＢＩＳＴが終了するまでマイコン３からモニタ信号が出力されないとする。その場合、異常検出カウンタ８の値は、図３の５段目における一点鎖線で示すように、マイコン３が起動してから全てのＢＩＳＴが終了するまで（図３における時刻ｔ１まで）は、増加し続けることとなる。よって、マイコン３がＢＩＳＴの実施中にＡＳＩＣ５によってリセットされないようにするためには、異常判定時間ＴａをＢＩＳＴの総実施時間Ｔｓｔよりも長い時間に設定しなければならない。しかし、そのように設定すると、マイコン３が異常になってから、マイコン３をリセットするまでの異常検出遅れ時間が、長くなってしまう。これに対して、本実施形態のＥＣＵ１によれば、異常検出遅れ時間の長大化を防ぐことができる。

また、本実施形態のＥＣＵ１において、モニタ信号出力処理部１１は、当該処理部１１のＢＩＳＴが終了してから他の処理部１２のＢＩＳＴが終了するまでの間は、当該処理部１１が有する信号出力用回路１１ａによってモニタ信号を出力する。このため、ユーザプログラム２５の実行が開始される前であっても、モニタ信号を出力することができる。

また、マイコン３では、他の処理部１２のＢＩＳＴが終了してからは、ＣＰＵ２４が、ＲＯＭ２６内のユーザプログラム２５を実行することにより、モニタ信号出力処理部１１にモニタ信号を異常判定時間Ｔａよりも短い周期で出力させる。

このため、マイコン３は、ＢＩＳＴが終了してからは、ユーザプログラム２５が正常に実行されているか否かが、ＡＳＩＣ５（特に監視回路７）によって監視されることとなる。よって、プログラム実行の信頼性を確保することができる。

［第２実施形態］
次に、第２実施形態のＥＣＵについて説明する。尚、第１実施形態と同様の構成要素や処理等については、第１実施形態と同じ符号を用いるため、説明を省略し、第１実施形態と相違する部分について説明する。

図４に示す第２実施形態のＥＣＵ３１は、第１実施形態のＥＣＵ１と比較すると、下記の〈１〉〜〈４〉の点が異なる。
〈１〉マイコン３において、モニタ信号出力処理部１１の信号出力用回路１１ａは、書き換え可能な不揮発性メモリ３３に記憶されている周期で、モニタ信号を出力する。不揮発性メモリ３３は、例えばＥＥＰＲＯＭやフラッシュメモリである。

このため、図５に示すように、マイコン３では、モニタ信号出力処理部１１のＢＩＳＴが正常終了すると（Ｓ１２５：ＹＥＳ）、モニタ信号出力処理部１１は、不揮発性メモリ３３の記憶値と同じ周期のモニタ信号の出力を開始することとなる（Ｓ１３５）。具体的には、モニタ信号出力処理部１１のＢＩＳＴが正常終了すると、モニタ信号出力処理部１１において、信号出力用回路１１ａが、モニタ出力値レジスタの値を“０”から“１”に
書き換え、その後は、不揮発性メモリ３３に記憶されている周期の半分の時間毎に、モニタ出力値レジスタの値を反転させる。

〈２〉マイコン３において、信号出力用回路１１ａによって出力されるモニタ信号の周期（以下、第１周期という）Ｔ１と、ユーザプログラム２５の実行によって出力されるモニタ信号の周期（以下、第２周期という）Ｔ２とが、異なっている。つまり、マイコン３から出力されるモニタ信号の周期は、他の処理部１２のＢＩＳＴが終了する前と後とで、異なる。

図６における３段目及び４段目に示すように、第１周期Ｔ１は、他の処理部１２のＢＩＳＴが実施されている期間中に出力されるモニタ信号の周期であり、本実施形態では、不揮発性メモリ３３に記憶されている周期である。また、第２周期Ｔ２は、ＢＩＳＴが終了して通常動作状態になったマイコン３が出力するモニタ信号の周期である。本実施形態では、第１周期Ｔ１よりも第２周期Ｔ２の方が短い。

このため、図５に示すように、マイコン３では、他の処理部１２のＢＩＳＴが正常終了して（Ｓ１４５：ＹＥＳ）、ユーザプログラム２５の実行が開始されると、モニタ信号の周期が、それまでの第１周期Ｔ１よりも短い第２周期Ｔ２に変更される（Ｓ１５５）。具体的には、ＣＰＵ２４は、ユーザプログラム２５中の信号出力用プログラムを、不揮発性メモリ３３に記憶されている周期（第１周期Ｔ１）の半分よりも短い時間毎に実行する。尚、第１周期Ｔ１よりも第２周期Ｔ２の方が長くなるように構成しても良い。

〈３〉図４に示すように、ＡＳＩＣ５には、駆動信号出力回路３５と、出力制御回路３７とが備えられている。
駆動信号出力回路３５は、マイコン３から出力される制御信号に応じて、電動装置３９を動作させるための駆動信号を出力する。電動装置３９は、例えばエンジンに燃料を噴射するインジェクタや、エンジンのスロットル弁を動かすモータ等である。

出力制御回路３７は、監視回路７から入力される出力禁止信号が、禁止を示す方のレベル（本実施形態では例えばロー）である場合に、駆動信号出力回路３５からの駆動信号が電動装置３９に出力されることを禁止する。また、出力制御回路３７は、出力禁止信号が、許可を示す方のレベル（本実施形態では例えばハイ）である場合には、駆動信号出力回路３５からの駆動信号を電動装置３９に出力する。

〈４〉図４に示すように、ＡＳＩＣ５において、監視回路７には、状態判別部４０が備えられている。
状態判別部４０は、マイコン３から出力されるモニタ信号の周期に基づいて、マイコン３の状態が、他の処理部１２のＢＩＳＴが終了する前のＢＩＳＴ実施状態と、ＢＩＳＴが終了した後の通常動作状態との、何れであるかを判別する。

具体的には、図６における４段目及び５段目に示すように、第１周期Ｔ１よりも短く、且つ、第２周期Ｔ２よりは長い時間が、ＢＩＳＴ実施状態と通常動作状態とを判別するための状態判定時間Ｔｂとなっている。そして、状態判別部４０は、異常検出カウンタ８を監視しており、モニタ信号の立ち上がりによって０になる直前の異常検出カウンタ８の値が、状態判定時間Ｔｂに相当する状態判定値ＮＴｂ（＝Ｔｂ／Ｔｃｔ）以上で且つ前述の異常判定値ＮＴａ未満であれば、マイコン３がＢＩＳＴ実施状態であると判別する。また、状態判別部４０は、モニタ信号の立ち上がりによって０になる直前の異常検出カウンタ８の値が、状態判定値ＮＴｂ未満であれば、マイコン３が通常動作状態であると判別する。

つまり、状態判別部４０は、モニタ信号の周期が状態判定時間Ｔｂ以上で且つ異常判定時間Ｔａ未満であれば、マイコン３がＢＩＳＴ実施状態であると判別し、モニタ信号の周期が状態判定時間Ｔｂ未満であれば、マイコン３が通常動作状態であると判別する。

このように、ＥＣＵ３１では、上記〈２〉の特徴があるため、マイコン３とは別の回路又は装置（この例ではＡＳＩＣ５）は、モニタ信号の周期に基づいて、マイコン３がＢＩＳＴ実施状態と通常動作状態との何れであるかを判別することができる。このため、マイコン３とは別の回路又は装置は、マイコン３の状態に応じた動作を行うことができる。

そこで例えば、ＥＣＵ３１において、状態判別部４０は、図６に示すように、マイコン３へのリセット信号がハイになってから（つまり、マイコン３が起動してから）、マイコン３が通常動作状態であると判別するまでは、出力制御回路３７へ出力する出力禁止信号をローにし、マイコン３が通常動作状態であると判別すると、出力禁止信号をハイにする。尚、状態判別部４０は、第２周期Ｔ２のモニタ信号の１周期目が終了したタイミングで、マイコン３が通常動作状態になったと判別することとなる。

このため、マイコン３が起動してから、状態判別部４０によってマイコン３が通常動作状態であると判別されるまでは、出力禁止信号がローになり、出力制御回路３７が、電動装置３９への駆動信号の出力を禁止することとなる。

よって、ＢＩＳＴを実施しているマイコン３が、仮に、駆動信号出力回路３５へ不定な制御信号を出力したとしても、電動装置３９が駆動されてしまうことを防止することができ、制御システムの信頼性を確保することができる。

また、ＥＣＵ３１では、上記〈１〉の特徴があるため、不揮発性メモリ３３に書き込む値により、マイコン３がＢＩＳＴの実施中に出力するモニタ信号の周期を変更することができる。よって、異常判定時間Ｔａに合わせて、モニタ信号の周期を任意に設定することができる。尚、上記〈１〉の特徴は、第１実施形態のＥＣＵ１に対しても適用することができる。

以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されることなく、種々の形態を採り得る。また、前述の数値も一例であり他の値でも良い。
例えば、マイコン３が出力する監視対象信号は、データ信号（デジタル信号）であっても良い。また、第２実施形態のＥＣＵ３１において、出力制御回路３７は、出力禁止信号がロー（禁止側のレベル）の場合には、マイコン３からの制御信号が駆動信号出力回路３５に入力されることを禁止することにより、電動装置３９に駆動信号が出力されることを禁止しても良い。

また、上記実施形態における１つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を１つの構成要素に統合させたりしてもよい。また、上記実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、上記実施形態の構成の一部を、課題を解決できる限りにおいて省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。なお、特許請求の範囲に記載した文言によって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。また、上述したＥＣＵの他、当該ＥＣＵを構成要素とするシステムや、ＥＣＵにおけるマイコンの異常監視方法など、種々の形態で本発明を実現することもできる。

３…マイコン、７…監視回路、９…リセット回路、１１…モニタ信号出力処理部（第１
処理部）、１２…他の処理部（第２処理部）

Claims (6)

1. ＢＩＳＴ機能を有するマイコン（３）と、
   前記マイコンから定期的に出力される監視対象信号を監視して、前記監視対象信号が出力されない時間である信号停止時間が、異常判定時間以上になったか否かを判定する監視手段（７）と、
   前記監視手段により前記信号停止時間が前記異常判定時間以上になったと判定されると、前記マイコンをリセットするリセット手段（９）と、
   を備えた電子制御装置において、
   前記マイコンは、ＢＩＳＴの実施対象部分として、前記監視対象信号を前記監視手段に出力するための第１処理部（１１）と、前記第１処理部以外の部分である第２処理部（１２）とを備え、
   前記マイコンでは、当該マイコンが起動すると、前記第１処理部のＢＩＳＴと前記第２処理部のＢＩＳＴとが、その順に分けて実施され、しかも、前記第１処理部のＢＩＳＴが終了すると、前記第１処理部が、前記監視対象信号を前記異常判定時間よりも短い周期で出力すること、
   を特徴とする電子制御装置。
2. 請求項１に記載の電子制御装置において、
   前記第１処理部は、当該第１処理部のＢＩＳＴが終了してから、前記第２処理部のＢＩＳＴが終了するまでの間は、当該第１処理部が有するハードウェア（１１ａ）によって前記監視対象信号を出力すること、
   を特徴とする電子制御装置。
3. 請求項２に記載の電子制御装置において、
   前記ハードウェアは、書き換え可能な不揮発性メモリ（３３）に記憶されている周期で前記監視対象信号を出力すること、
   を特徴とする電子制御装置。
4. 請求項１ないし請求項３の何れか１項に記載の電子制御装置において、
   前記マイコンは、ＣＰＵ（２４）と、前記ＣＰＵにより実行されるプログラム（２５）を記憶したプログラムメモリ（２６）とを備え、
   前記マイコンでは、前記第２処理部のＢＩＳＴが終了してからは、前記ＣＰＵが、前記プログラムメモリ内のプログラムを実行することにより、前記第１処理部に、前記監視対象信号を前記異常判定時間よりも短い周期で出力させること、
   を特徴とする電子制御装置。
5. 請求項４に記載の電子制御装置において、
   前記マイコンから出力される前記監視対象信号の周期は、前記第２処理部のＢＩＳＴが終了する前と後とで異なること、
   を特徴とする電子制御装置。
6. 請求項５に記載の電子制御装置において、
   前記マイコンから出力される制御信号に応じて、電動装置を動作させるための駆動信号を出力する駆動信号出力回路（３５）と、
   前記マイコンから出力される前記監視対象信号の周期に基づいて、前記マイコンの状態が、前記第２処理部のＢＩＳＴが終了する前のＢＩＳＴ実施状態と、前記第２処理部のＢＩＳＴが終了した後の通常動作状態との、何れであるかを判別する判別手段（４０）と、
   前記マイコンが起動してから、前記判別手段により前記マイコンの状態が前記通常動作状態であると判別されるまでは、前記電動装置へ前記駆動信号が出力されることを禁止す
   る出力制御手段（３７）と、
   を備えることを特徴とする電子制御装置。

Images