JP2016203764A - 車両の電子制御装置 - Google Patents

Abstract

【課題】演算部の異常の誤検出を抑制することのできる車両の電子制御装置を提供する。
【解決手段】車両の電子制御装置１は、ウォッチドッグ信号Ｓｗｄを出力する演算部としてマイコン１０と、ウォッチドッグ信号Ｓｗｄに基づいてマイコン１０の状態を監視する監視部としての監視ＩＣ２０とを備える。監視ＩＣ２０は、マイコン１０からのウォッチドッグ信号Ｓｗｄの出力が停止することに基づいてマイコン１０をリセットするとともに、マイコン１０のリセットが行われた回数であるリセット回数を計測し、当該リセット回数が所定のリセット回数閾値以上になることに基づいてマイコン１０の異常を検出する。監視ＩＣ２０は、マイコン１０のリセット要求に基づいてマイコン１０をリセットする。監視ＩＣ２０は、マイコン１０のリセット要求に基づいてマイコン１０をリセットする際に、リセット回数の計測を停止する。
【選択図】図１

Description

本発明は、車両の電子制御装置に関する。

この種の車両の電子制御装置としては、特許文献１に記載の電子制御装置がある。特許文献１に記載の電子制御装置は、マイクロプロセッサと、ウォッチドッグタイマとを備えている。マイクロプロセッサはウォッチドッグ信号をウォッチドッグタイマに送信している。ウォッチドッグ信号は、論理ハイレベルと論理ローレベルとを周期的に繰り返すパルス信号である。ウォッチドッグタイマは、マイクロプロセッサからウォッチドッグ信号が送信されているか否かを監視している。マイクロプロセッサに何らかの異常が生じると、マイクロプロセッサがウォッチドッグ信号を出力できなくなる。ウォッチドッグタイマは、マイクロプロセッサからのウォッチドッグ信号の出力が停止したとき、マイクロプロセッサに異常が生じたと判定してリセット信号をマイクロプロセッサに出力する。リセット信号がマイクロプロセッサにより受信されることにより、マイクロプロセッサが初期化及び再起動される。

特開２００２−２３５５９８号公報

ところで、マイクロプロセッサ等の演算部は、車両のイグニッションスイッチがオフされた後にシャットダウンの前処理を行うことがある。シャットダウンの前処理は、イグニッションスイッチがオフ操作された時点から電子制御装置がシャットダウン（停止）されるまでに行われる処理であり、例えば演算部に搭載されたＲＡＭ（Random Access Memory）のリードライトチェック等である。

ＲＡＭのリードライトチェック中またはチェック終了後にイグニッションスイッチがオン操作されると、イグニッションスイッチのオン操作に伴い演算部が再起動した際に、ＲＡＭに異常データが記憶されている可能性がある。この場合、再起動した演算部がＲＡＭの記憶されたデータをそのまま用いると、異常データに基づく演算が行われる可能性がある。これを回避するために、例えばＲＡＭのリードライトチェック中にイグニッションスイッチがオン操作された場合には、演算部が意図的にウォッチドッグ信号の送信を停止すればよい。これにより、監視部としてのウォッチドッグタイマから演算部にリセット信号が送信されるため、演算部が初期化及び再起動される。すなわち、ＲＡＭの記憶データも初期化されるため、ＲＡＭに記憶された異常データを演算部が用いることを回避できる。

しかしながら、このような方法を用いると、演算部からのウォッチドッグ信号の出力が停止した場合、それが演算部の意図的なものであるか、演算部の異常に起因するものであるかを監視部は判定することができない。そのため、演算部が意図的にウォッチドッグ信号の送信を停止した状況であるにも関わらず、監視部が演算部の異常を誤検出するおそれがある。

本発明は、こうした実情に鑑みてなされたものであり、その目的は、演算部の異常の誤検出を抑制することのできる車両の電子制御装置を提供することにある。

上記課題を解決するために、車両の電子制御装置（１）は、ウォッチドッグ信号（Ｓｗｄ）を出力する演算部（１０）と、ウォッチドッグ信号に基づいて演算部の状態を監視する監視部（２０）とを備える。監視部は、演算部からのウォッチドッグ信号の出力が停止することに基づいて演算部をリセットするとともに、演算部のリセットが行われた回数であるリセット回数を計測し、当該リセット回数が所定のリセット回数閾値以上になることに基づいて演算部の異常を検出する。監視部は、演算部のリセット要求に基づいて演算部をリセットする。監視部は、演算部のリセット要求に基づいて演算部をリセットする際に、リセット回数の計測を停止する。

この構成によれば、演算部の意図的なリセット要求に基づいて演算部のリセットが行われた場合には、監視部はリセット回数の計測を行わない。これにより、演算部の意図的なリセット要求に基づいて監視部が演算部の異常を検出することを回避できるため、演算部の異常の誤検出を抑制することができる。

なお、上記手段、及び特許請求の範囲に記載の括弧内の符号は、後述する実施形態に記載の具体的手段との対応関係を示す一例である。

本発明によれば、演算部の異常の誤検出を抑制することができる。

電子制御装置の一実施形態についてその概略構成を示すブロック図である。 実施形態の電子制御装置により実行される処理の一部を示すフローチャートである。 実施形態の電子制御装置により実行される処理の一部を示すフローチャートである。 （Ａ）〜（Ｅ）は、イグニッションスイッチの状態、ウォッチドッグ信号、リセット信号、リセット回数、及びマイコンの状態のそれぞれの推移を示すタイミングチャートである。

以下、車両の電子制御装置の一実施形態について説明する。図１に示される車両の電子制御装置１は、車両のスロットルモータ２の駆動を制御する。スロットルモータ２はスロットルバルブ３を開閉するための動力源である。スロットルバルブ３は車載エンジンの吸気通路に設けられている。スロットルバルブ３は、その開閉動作により、車載エンジンに取り込まれる吸入空気量を調整する。

電子制御装置１は、演算部としてのマイクロコントローラ１０と、監視部としての監視ＩＣ２０と、駆動部３０と、メインリレー４０とを備えている。以下では、便宜上、マイクロコントローラ１０を「マイコン１０」と略記する。

駆動部３０は、マイコン１０から出力される駆動信号Ｓｄに基づいてスロットルモータ２を駆動させる。また、駆動部３０は、マイコン１０又は監視ＩＣ２０から出力される遮断要求信号Ｓｃを受信すると、停止する。すなわち、スロットルモータ２が停止する。スロットルモータ２が停止することにより、スロットルバルブ３の開度がＭＬＴ（Mechanical Limp home Throttle）開度に設定される。

マイコン１０には、スロットル開度センサ６の出力信号及びアクセル開度センサ７の出力信号がそれぞれ取り込まれている。スロットル開度センサ６は、スロットルバルブ３の開度を検出し、その検出値に応じた信号を出力する。アクセル開度センサ７は、車両のアクセルペダルの踏み込み量を検出し、その検出値に応じた信号を出力する。マイコン１０は、スロットル開度センサ６の出力信号及びアクセル開度センサ７の出力信号に基づいてスロットルバルブ３の開度及びアクセルペダルの踏み込み量のそれぞれの情報を取得する。マイコン１０は、スロットルバルブ３の開度及びアクセルペダルの踏み込み量に基づいて駆動部３０を駆動させることにより、スロットルモータ２の出力トルクを制御し、スロットルバルブ３の開度を調整する。

マイコン１０は、イグニッションスイッチ４のオン操作に基づいて起動するとともに、イグニッションスイッチ４のオフ操作に基づいて停止する。具体的には、イグニッションスイッチ４のオン操作に基づいて起動した際、初期化処理を行う。初期化処理は、例えばマイコン１０のＲＡＭ１８の初期化や割り込み設定等を行う処理である。また、マイコン１０は、イグニッションスイッチ４がオフ操作された際、シャットダウンの前処理を行う。シャットダウンの前処理は、イグニッションスイッチ４がオフ操作された時点から電子制御装置１がシャットダウン（停止）されるまでに行われる処理であり、例えばＲＡＭ１８のリードライトチェック等を行う処理である。マイコン１０は、シャットダウンの前処理が終了した後にシャットダウン（停止）する。

マイコン１０は、監視ＩＣ２０にウォッチドッグ信号Ｓｗｄを出力している。ウォッチドッグ信号Ｓｗｄは、論理ハイレベルと論理ローレベルとを周期的に繰り返すパルス信号である。監視ＩＣ２０は、マイコン１０から出力されるウォッチドッグ信号Ｓｗｄに基づいてマイコン１０の状態を監視している。監視ＩＣ２０は、マイコン１０からのウォッチドッグ信号Ｓｗｄの出力が停止された場合、マイコン１０に異常が生じたと判定する。この場合、監視ＩＣ２０は、駆動部３０に遮断要求信号Ｓｃを出力することにより、駆動部３０を停止させる。また、監視ＩＣ２０は、マイコン１０に遮断要求信号Ｓｃを出力することにより、マイコン１０により実行されている制御を通常制御からフェイルセーフ制御に切り替える。

次に、マイコン１０及び監視ＩＣ２０の構成について詳しく説明する。
マイコン１０は、電源制御部１１と、制御信号生成部１２と、モニタ部１３と、マイコン監視部１４と、状態管理部１５と、ＭＣＵ（Microcontroller Unit）ドライバ１６と、ＷＤ（ Watch Dog）出力部１７とを備えている。また、マイコン１０は、ＲＡＭ１８やＲＯＭ１９等の記憶装置を備えている。

電源制御部１１には、車両のバッテリ５からイグニッションスイッチ４を介してバッテリ電圧ＶＢが印加されている。すなわち、イグニッションスイッチ４がオンされることにより電源制御部１１にバッテリ電圧ＶＢが印加される。電源制御部１１は、バッテリ電圧ＶＢが印加されると、メインリレー４０をオンさせる。これにより、バッテリ電圧ＶＢが動作電圧としてメインリレー４０を介してマイコン１０の各種電子部品に印加され、マイコン１０が起動する。

イグニッションスイッチ４がオフされると、電源制御部１１へのバッテリ電圧ＶＢの印加が遮断される。電源制御部１１は、バッテリ電圧ＶＢの印加が遮断されると、マイコン１０のシャットダウンの前処理が終了したか否かを判断する。電源制御部１１は、マイコン１０のシャットダウンの前処理が終了した場合には、メインリレー４０をオフさせる。これにより、バッテリ５からマイコン１０への電力供給が遮断され、マイコン１０が停止する。

制御信号生成部１２には、電子制御装置１の入力部５１，６１を介してスロットル開度センサ６の出力信号及びアクセル開度センサ７の出力信号がそれぞれ取り込まれている。制御信号生成部１２は、スロットル開度センサ６の出力信号及びアクセル開度センサ７の出力信号に基づいてスロットルバルブ３の開度及びアクセルペダルの踏み込み量のそれぞれの情報を取得する。制御信号生成部１２は、スロットルバルブ３の開度及びアクセルペダルの踏み込み量に基づいてスロットルモータ２の出力トルクの目標値を設定するとともに、当該出力トルクの目標値に応じた駆動信号Ｓｄを生成し、当該駆動信号Ｓｄを駆動部３０に出力する。駆動部３０は、制御信号生成部１２から出力される駆動信号Ｓｄに基づいてスロットルモータ２を駆動させる。これにより、スロットルモータ２の出力トルクが目標値に制御され、スロットルバルブ３が開閉動作する。このように、制御信号生成部１２はスロットルモータ２のトルク制御を行う部分である。

モニタ部１３は入力部５１，６１及び制御信号生成部１２の状態を監視している。モニタ部１３は、入力部５１，６１及び制御信号生成部１２のいずれかに異常が生じた場合には、遮断要求信号Ｓｃを駆動部３０に出力することによりスロットルモータ２を停止させる。

具体的には、電子制御装置１は、スロットル開度センサ６の出力信号を取り込む部分として、入力部５１とは別に入力部５２を備えている。また、電子制御装置１は、アクセル開度センサ７の出力信号を取り込む部分として、入力部６１とは別に入力部６２を備えている。モニタ部１３には、入力部５１，５２を介してスロットル開度センサ６の出力信号が取り込まれている。また、モニタ部１３には、入力部６１，６２を介してアクセル開度センサ７の出力信号が取り込まれている。

モニタ部１３は、入力部５１を介して入力されるスロットル開度センサ６の出力信号と、入力部５２を介して入力されるスロットル開度センサ６の出力信号とを比較する。モニタ部１３は、前者と後者とが互いに異なる場合には、入力部５１に異常が生じたと判断する。モニタ部１３は、入力部５１の異常を検出した場合には、駆動部３０に遮断要求信号Ｓｃを出力することにより、スロットルモータ２を停止させる。

モニタ部１３は、入力部６１を介して入力されるアクセル開度センサ７の出力信号と、入力部６２を介して入力されるアクセル開度センサ７の出力信号とを比較する。モニタ部１３は、前者と後者とが互いに異なる場合には、入力部６１に異常が生じたと判断する。モニタ部１３は、入力部５２の異常を検出した場合には、駆動部３０に遮断要求信号Ｓｃを出力することにより、スロットルモータ２を停止させる。

モニタ部１３は、入力部５１を介して入力されるスロットル開度センサ６の出力信号に基づいてスロットルモータ２の許容出力トルクを演算する。また、モニタ部１３は、入力部５２を介して入力されるアクセル開度センサ７の出力信号に基づいてスロットルモータ２の推定出力トルクを演算する。モニタ部１３は、許容出力トルクと推定出力トルクとに基づいて、制御信号生成部１２の演算値に異常が生じているか否かを判断する。モニタ部１３は、制御信号生成部１２の演算値に異常が生じていると判断した場合には、駆動部３０に遮断要求信号Ｓｃを出力することにより、スロットルモータ２を停止させる。

以下では、便宜上、モニタ部１３により実行される処理を「モニタ処理」と称する。
状態管理部１５は、マイコン１０の各種電子部品の状態を管理している。状態管理部１５は、各種電子部品のいずれかの部位に異常が発生すると、リセット要求信号をＭＣＵドライバ１６に出力する。

ＭＣＵドライバ１６は、マイコン１０の初期化、リセット、及びシャットダウンを制御する。ＭＣＵドライバ１６は、状態管理部１５から出力されるリセット要求信号を受信すると、マイコン監視部１４に対してリセット要求信号を出力する。

マイコン監視部１４は、ＲＡＭ１８やＲＯＭ１９に加え、マイコン１０に実装されているソフトウェアのフローやインストラクションを自己診断する。マイコン監視部１４は自己診断結果を監視ＩＣ２０にＳＰＩ（ Serial Peripheral Interface）通信により出力する。

マイコン監視部１４は、ＭＣＵドライバ１６から出力されるリセット要求信号を受信すると、ＷＤ出力部１７にリセット要求信号を出力する。

マイコン監視部１４は、監視ＩＣ２０から遮断要求信号Ｓｃが出力されたか否かを監視している。マイコン監視部１４は、監視ＩＣ２０から遮断要求信号Ｓｃが出力されたことを検出した場合、マイコン１０により実行される制御を通常制御からフェイルセーフ制御に切り替える処理等を行う。

マイコン監視部１４は、マイコン１０がシャットダウンの前処理でＲＡＭ１８のリードライトチェックを行っている期間にイグニッションスイッチ４がオン操作された場合には、リセット要求信号を監視ＩＣ２０に出力する。以下、当該リセット要求信号と、マイコン１０の異常に起因してマイコン監視部１４から出力されるリセット要求信号とを区別するために、前者のリセット要求信号を「意図的なリセット要求信号」と称する。

ＷＤ出力部１７は、監視ＩＣ２０にウォッチドッグ信号Ｓｗｄを出力している。ＷＤ出力部１７は、マイコン監視部１４から出力されるリセット要求信号を受信した場合、ウォッチドッグ信号Ｓｗｄの出力を停止する。

監視ＩＣ２０は、異常検出部２１と、ＷＤ監視部２２と、リセット回数計測部２３とを有している。

異常検出部２１は、マイコン監視部１４から出力される自己診断結果に基づいてマイコン１０に異常が生じているか否かを判定する。異常検出部２１は、自己診断結果に基づいてマイコン１０に異常が生じていると判定した場合には、遮断要求信号Ｓｃをマイコン１０及び駆動部３０に出力する。

ＷＤ監視部２２は、マイコン１０からウォッチドッグ信号Ｓｗｄが出力されているか否かを監視する。ＷＤ監視部２２は、マイコン１０からのウォッチドッグ信号Ｓｗｄの出力が停止すると、マイコン１０にリセット信号Ｓｒを出力する。リセット信号Ｓｒは、例えば論理ハイレベルから論理ローレベルに切り替わる信号である。このリセット信号Ｓｒがマイコン１０に入力されると、マイコン１０がリセットされる。ＷＤ監視部２２は、リセット信号Ｓｒを出力する都度、その旨をリセット回数計測部２３に通知する。

リセット回数計測部２３は、ＷＤ監視部２２からの通知に基づいてリセット回数Ｃｒを計測している。リセット回数Ｃｒは、マイコン１０のリセットが行われた回数を示している。リセット回数計測部２３は、リセット回数Ｃｒに対応したカウンタを有しており、ＷＤ監視部２２からの通知に基づいてカウンタの値をインクリメントすることによりリセット回数Ｃｒを計測している。リセット回数計測部２３は、リセット回数Ｃｒが所定のリセット回数閾値Ｃｒｔｈ以上になることに基づいてマイコン１０の異常を検出し、遮断要求信号Ｓｃをマイコン１０及び駆動部３０に出力する。

次に、マイコン１０に異常が生じた際の動作について説明する。
例えばマイコン監視部１４の自己診断によりマイコン１０の異常が検出された場合、マイコン監視部１４の自己診断結果に基づいて監視ＩＣ２０がマイコン１０の異常を検出する。この場合、監視ＩＣ２０から駆動部３０に遮断要求信号Ｓｃが出力されることにより、スロットルモータ２が停止する。また、監視ＩＣ２０からマイコン１０に遮断要求信号Ｓｃが出力されることにより、マイコン１０により実行されている制御が通常制御からフェイルセーフ制御に切り替わる。

状態管理部１５によりマイコン１０の異常が検出された場合には、状態管理部１５からリセット要求信号が出力されることにより、マイコン１０から監視ＩＣ２０へのウォッチドッグ信号Ｓｗｄの出力が停止される。同様に、暴走等によりマイコン１０の動作に異常が生じると、マイコン１０から監視ＩＣ２０へのウォッチドッグ信号Ｓｗｄの出力が停止される。この場合、監視ＩＣ２０からマイコン１０にリセット信号Ｓｒが出力されるため、マイコン１０のリセットが行われる。

例えば運転者がイグニッションスイッチ４をオフ操作した直後にオン操作した場合には、マイコン１０がシャットダウンの前処理中にＲＡＭ１８のリードライトチェックを行っている期間にイグニッションスイッチ４がオン操作されることになる。この場合、マイコン監視部１４が意図的なリセット要求信号を出力することにより、マイコン１０から監視ＩＣ２０へのウォッチドッグ信号Ｓｗｄの出力が停止される。この場合、監視ＩＣ２０からマイコン１０にリセット信号Ｓｒが出力されるため、マイコン１０のリセットが行われる。

また、マイコン１０のリセットが所定のリセット回数閾値Ｃｒｔｈ以上行われると、駆動部３０に遮断要求信号Ｓｃが出力されることにより、スロットルモータ２が停止する。さらに、監視ＩＣ２０からマイコン１０に遮断要求信号Ｓｃが出力されることにより、マイコン１０がフェイルセーフ制御を実行する。

ところで、このような電子制御装置１では、イグニッションスイッチ４のオン及びオフが短時間に繰り返されると、マイコン監視部１４から意図的なリセット要求信号が連続して出力される。これにより、リセット回数計測部２３により計測されるリセット回数Ｃｒがリセット回数閾値Ｃｒｔｈ以上になると、監視ＩＣ２０がマイコン１０に異常が生じたと判定するおそれがある。この場合、マイコン１０に異常が生じていないにも関わらず、監視ＩＣ２０から遮断要求信号Ｓｃが出力されるため、マイコン１０がフェイルセーフ制御を実行したり、駆動部３０の動作が停止する等の不都合が生じるおそれがある。

そこで、本実施形態の電子制御装置１では、マイコン監視部１４が意図的なリセット要求信号を送信している場合には、リセット回数計測部２３がリセット回数Ｃｒの計測を停止する。以下、その内容について詳しく説明する。

マイコン１０は、図２及び図３に示される処理を所定の周期で繰り返し実行する。図２に示されるように、マイコン１０は、起動した後（ステップＳ１）、初期化処理を実行する（ステップＳ２）。ステップＳ２の処理に続いて、マイコン１０は、監視ＩＣ２０のリセット回数閾値Ｃｒｔｈを設定するとともに（ステップＳ３）、リセット回数Ｃｒの計測を開始させる（ステップＳ４）。具体的には、マイコン監視部１４がリセット回数閾値Ｃｒｔｈを設定するとともに、当該リセット回数閾値ＣｒｔｈをＳＰＩ通信により監視ＩＣ２０のリセット回数計測部２３に送信する。その後、マイコン監視部１４は、リセット回数の計測の開始をリセット回数計測部２３に対して指示する。

ステップＳ４の処理に続いて、マイコン１０は、制御信号生成部１２によりスロットルモータ２のトルク制御を実行するとともに（ステップＳ５）、モニタ部１３によりモニタ処理を実行する（ステップＳ６）。また、マイコン１０は、マイコン監視部１４によりマイコン１０の監視処理を実行する（ステップＳ７）。

ステップＳ７の処理に続いて、図３に示されるように、マイコン１０は、イグニッションスイッチ４の今回の検出状態がオン状態であるか否かを判断する（ステップＳ８）。なお、マイコン１０は、イグニッションスイッチ４の状態を所定の周期で検出している。マイコン１０は、イグニッションスイッチ４の今回の検出状態がオン状態である場合には（ステップＳ８：ＹＥＳ）、イグニッションスイッチ４の前回の検出状態がオン状態であるか否かを判断する（ステップＳ１２）。マイコン１０は、イグニッションスイッチ４の前回の検出状態がオン状態である場合には（ステップＳ１２：ＹＥＳ）、図２のステップＳ５の処理に戻る。

図３に示されるように、マイコン１０は、ステップＳ１２の処理においてイグニッションスイッチ４の前回の検出状態がオフ状態であると判断した場合には（ステップＳ１２：ＮＯ）、監視ＩＣ２０によるリセット回数Ｃｒの計測を停止する処理を実行するとともに（ステップＳ１３）、監視ＩＣ２０へのウォッチドッグ信号Ｓｗｄの出力を停止する（ステップＳ１４）。なお、ステップＳ１４の処理は無限ループ処理である。

マイコン１０は、ステップＳ８の処理においてイグニッションスイッチ４の今回の検出状態がオン状態でない判断した場合には（ステップＳ８：ＮＯ）、すなわちイグニッションスイッチ４がオフ状態である場合には、シャットダウンの前処理としてＲＡＭ１８のリードライトチェックを行う（ステップＳ９）。その後、マイコン１０は、シャットダウンの前処理を終了した後（ステップＳ１０）、停止する（ステップＳ１１）。

なお、マイコン１０は、ステップＳ９の処理及びステップＳ１０の処理の実行期間中に、各々周期的にイグニッションスイッチ４の状態を検出している。マイコン１０は、ステップＳ９の処理及びステップＳ１０の処理の実行期間中にイグニッションスイッチ４がオンされたことを検出した場合には、監視ＩＣ２０によるリセット回数Ｃｒの計測を停止する処理、並びに監視ＩＣ２０へのウォッチドッグ信号Ｓｗｄの出力を停止する処理を実行する。

次に、本実施形態の電子制御装置１の作用及び効果について説明する。
図４（Ａ）に示されるようにイグニッションスイッチ４がオン状態であるときに、図４（Ｂ）に示されるようにマイコン１０から監視ＩＣ２０にウォッチドッグ信号Ｓｗｄが正常に出力されているとする。このような状況で、図４（Ａ）に示されるように、時刻ｔ１でイグニッションスイッチ４がオフ操作されると、マイコン１０がシャットダウンの前処理を開始する。すなわち、マイコン１０は、時刻ｔ１以降、ＲＡＭ１８のリードライトチェックを行う。

マイコン１０がＲＡＭ１８のリードライトチェックを行っている期間中の時刻ｔ２でイグニッションスイッチ４がオン操作されると、マイコン監視部１４から意図的なリセット要求信号が出力される。よって、図４（Ｂ）に示されるように、マイコン１０は時刻ｔ２でウォッチドッグ信号Ｓｗｄの出力を停止する。この際、マイコン１０は、監視ＩＣ２０によるリセット回数Ｃｒの計測を停止させる。

その後、監視ＩＣ２０が、時刻ｔ３で、マイコン１０からのウォッチドッグ信号Ｓｗｄの出力が停止したと判断すると、リセット信号Ｓｒをマイコン１０に出力する。よって、図４（Ｅ）に示されるように、時刻ｔ３でマイコン１０がリセットされる。この際、監視ＩＣ２０によるリセット回数Ｃｒの計測が停止されているため、図４（Ｄ）に示されるように、時刻ｔ３のマイコン１０のリセットが監視ＩＣ２０により計測されることはない。すなわち、監視ＩＣ２０は、マイコン１０の意図的なリセット要求に基づいてマイコン１０のリセットが行われた場合には、リセット回数Ｃｒの計測を行わない。これにより、マイコン１０の意図的なリセット要求に基づいて監視ＩＣ２０がマイコン１０の異常を検出することを回避できるため、監視ＩＣ２０によるマイコン１０の異常の誤検出を抑制することができる。結果的に、監視ＩＣ２０によりマイコン１０の異常をより精度良く検出することができるため、マイコン１０の異常時における駆動部３０の停止処理や、マイコン１０のフェイルセーフ制御をより適切に実行することができる。

その後、時刻ｔ４でマイコン１０が起動すると、図４（Ｂ）に示されるように、マイコン１０はウォッチドッグ信号Ｓｗｄの出力を再開する。この際、マイコン１０は、監視ＩＣ２０のリセット回数閾値Ｃｒｔｈを設定するとともに、リセット回数Ｃｒの計測を開始させる。これにより、監視ＩＣ２０によるリセット回数Ｃｒの監視機能が適切に復帰する。

なお、上記実施形態は、以下の形態にて実施することもできる。
・電子制御装置１の構成は、スロットルモータ２の駆動を制御するものに限らず、例えばパワートレイン制御を行う電子制御装置や、トランスミッション制御などを行う電子制御装置等に適用することも可能である。

・本発明は上記の具体例に限定されるものではない。すなわち、上記の具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素及びその配置や条件等は、例示したものに限定されるわけではなく適宜変更することができる。また、前述した実施形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。

Ｓｗｄ：ウォッチドッグ信号
１：電子制御装置
１０：マイコン（演算部）
２０：監視ＩＣ（監視部）

Claims (3)

1. 車両の電子制御装置（１）であって、
   ウォッチドッグ信号（Ｓｗｄ）を出力する演算部（１０）と、
   前記ウォッチドッグ信号に基づいて前記演算部の状態を監視する監視部（２０）と、を備え、
   前記監視部は、
   前記演算部からの前記ウォッチドッグ信号の出力が停止することに基づいて前記演算部をリセットするとともに、前記演算部のリセットが行われた回数であるリセット回数を計測し、当該リセット回数が所定のリセット回数閾値以上になることに基づいて前記演算部の異常を検出するとともに、
   前記演算部のリセット要求に基づいて前記演算部をリセットするものであり、
   前記演算部のリセット要求に基づいて前記演算部をリセットする際に、前記リセット回数の計測を停止することを特徴とする車両の電子制御装置。
2. 請求項１に記載の車両の電子制御装置において、
   前記演算部は、起動した際に初期化処理を行うものであり、
   前記監視部は、前記演算部の初期化処理の際に、前記リセット回数閾値を設定するとともに、前記リセット回数の計測を開始することを特徴とする車両の電子制御装置。
3. 請求項１又は２に記載の車両の電子制御装置において、
   前記演算部は、
   車両のイグニッションスイッチがオフ操作された後に電子制御装置がシャットダウンされるまでにシャットダウンの前処理を行うとともに、
   前記シャットダウンの前処理中に前記イグニッションスイッチがオン操作された際に前記監視部に対してリセット要求を行うことを特徴とする車両の電子制御装置。

Images