JP2020135738A - 制御装置およびそのリセット方法 - Google Patents

制御装置およびそのリセット方法 Download PDF

Info

Publication number
JP2020135738A
JP2020135738A JP2019031814A JP2019031814A JP2020135738A JP 2020135738 A JP2020135738 A JP 2020135738A JP 2019031814 A JP2019031814 A JP 2019031814A JP 2019031814 A JP2019031814 A JP 2019031814A JP 2020135738 A JP2020135738 A JP 2020135738A
Authority
JP
Japan
Prior art keywords
reset
signal
unit
control
microcomputer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2019031814A
Other languages
English (en)
Other versions
JP7131431B2 (ja
Inventor
真 大石
Makoto Oishi
真 大石
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2019031814A priority Critical patent/JP7131431B2/ja
Priority to CN201911391827.9A priority patent/CN111611102B/zh
Priority to US16/748,102 priority patent/US11481226B2/en
Publication of JP2020135738A publication Critical patent/JP2020135738A/ja
Application granted granted Critical
Publication of JP7131431B2 publication Critical patent/JP7131431B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G06F9/4405—Initialisation of multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1438—Restarting or rejuvenating
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0721—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
    • G06F11/3082—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting the data filtering being achieved by aggregating or compressing the monitored data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3089—Monitoring arrangements determined by the means or processing involved in sensing the monitored data, e.g. interfaces, connectors, sensors, probes, agents
    • G06F11/3096—Monitoring arrangements determined by the means or processing involved in sensing the monitored data, e.g. interfaces, connectors, sensors, probes, agents wherein the means or processing minimize the use of computing system or of computing system component resources, e.g. non-intrusive monitoring which minimizes the probe effect: sniffing, intercepting, indirectly deriving the monitored data from other directly available data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G06F9/4406—Loading of operating system

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Software Systems (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Debugging And Monitoring (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

【課題】第１および第２制御部を含む制御装置において、第１および第２制御部の一方が正常に作動している間に他方に異常が発生した際に、正常な一方をリセットさせない制御装置を提供する。
【解決手段】車両１の第１および第２ＭＣＵ（制御部）５１、５２は、相互に相手側の状態を監視して相手側をリセットすべき場合に監視部５３にリセット要求信号を送信する。リセット処理部５９は、第１および第２ＭＣＵの一方をリセットすべき旨のリセット要求信号を第１および第２ＭＣＵの他方から受信し、かつ、第１および第２ＭＣＵの他方にリセット信号を送信していない場合、第１および第２ＭＣＵの一方にリセット信号を送信する。また、第１および第２ＭＣＵの一方をリセットすべき旨のリセット要求信号を第１および第２ＭＣＵの他方から受信し、かつ第１および第２ＭＣＵの他方にリセット信号を送信している場合、第１および第２ＭＣＵの一方のリセットを禁止する。
【選択図】図１

Description

本開示は、第１機器を制御する第１制御部と、第２機器を制御する第２制御部と、第１および第２制御部を監視する監視部と含む制御装置およびそのリセット方法に関する。
従来、トリガ信号を出力する機能をもったサブマイコンと、当該トリガ信号をトリガとして特定の演算処理を実施し、演算結果をサブマイコンに送信するメインマイコンと、上記トリガ信号が入力されるウォッチドッグタイマ（コンピュータ監視手段）とを含む制御装置が知られている（例えば、特許文献１参照）。この制御装置において、サブマイコンは、メインマイコンからの演算結果に基づいて当該メインマイコンの状態を監視し、演算結果が異常である場合、リセット信号を出力してメインマイコンをリセットさせる。また、ウォッチドッグタイマは、サブマイコンからのトリガ信号の周期が正常範囲内にない場合、サブマイコンおよびメインマイコンの双方をリセットさせる。更に、メインマイコンは、サブマイコンからのトリガ信号の周期が正常範囲内にない場合に自身の作動を停止させる。
また、従来、それぞれ同一のプログラムを格納してほぼ同じクロック速度の別個のクロックソースに従って共通の制御対象を制御する第１および第２マイコン（ＣＰＵ）と、第１ウォッチドッグパルス遮断回路と、第１ウォッチドッグタイマ回路と、第２ウォッチドッグパルス遮断回路と、第２ウォッチドッグタイマ回路とを含むダブルマイコンシステムが知られている（例えば、特許文献２参照）。このダブルマイコンシステムの第１ウォッチドッグタイマ回路は、第１マイコンからのウォッチドッグパルスを監視し、第２ウォッチドッグタイマ回路は、第２マイコンからのウォッチドッグパルスを監視する。また、第１ウォッチドッグパルス遮断回路は、第２マイコンからのウォッチドッグテスト信号に応動して第１マイコンから第１ウォッチドッグタイマ回路へのウォッチドッグパルスの供給を遮断する。また、第２ウォッチドッグパルス遮断回路は、第１マイコンからのウォッチドッグテスト信号に応動して第２マイコンから第２ウォッチドッグタイマ回路へのウォッチドッグパルスの供給を遮断する。そして、第１および第２ウォッチドッグタイマ回路は、第１または第２マイコンからのウォッチドッグパルスの供給が遮断されると第１または第２マイコンにリセット信号を出力する。
特許６０８１２３９号公報 特許２５９３９１５号公報
しかしながら、特許文献１に記載された制御装置では、サブマイコンに異常が発生した場合、当該サブマイコンの誤作動により、正常に作動しているメインマイコンをリセットさせてしまうおそれがある。また、特許文献２に記載されたダブルマイコンシステムでは、第１および第２マイコンの一方が正常に作動している間に他方に異常が発生した場合、第１および第２マイコンの他方からウォッチドッグテスト信号が誤って出力されてしまうと、正常な第１および第２マイコンの一方がリセットされてしまう。
そこで、本開示は、第１および第２制御部を含む制御装置において、第１および第２制御部の一方が正常に作動している間に他方に異常が発生した際に、正常な一方をリセットさせないようすることを主目的とする。
本開示の制御装置は、第１機器を制御する第１制御部と、前記第１機器と同一または異なる第２機器を制御する第２制御部と、前記第１および第２制御部を監視すると共に前記第１および第２制御部に対して個別にリセット信号を送信可能な監視部と含み、前記第１および第２制御部が相互に相手側の状態を監視して前記相手側をリセットすべき場合に前記監視部にリセット要求信号を送信する制御装置であって、前記監視部が、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号を前記第１および第２制御部の他方から受信し、かつ前記第１および第２制御部の前記他方にリセット信号を送信していない場合、前記第１および第２制御部の前記一方にリセット信号を送信し、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号を前記第１および第２制御部の他方から受信し、かつ前記第１および第２制御部の前記他方にリセット信号を送信している場合、前記第１および第２制御部の前記一方のリセットを禁止するものである。
本開示の制御装置の監視部は、第１および第２制御部の一方をリセットすべき旨のリセット要求信号を第１および第２制御部の他方から受信した際、第１および第２制御部の他方にリセット信号を送信していないことを条件として、第１および第２制御部の一方にリセット信号を送信する。すなわち、第１および第２制御部の一方をリセットすべき旨のリセット要求信号が第１および第２制御部の他方から監視部に送信されても、監視部から第１および第２制御部の他方にリセット信号が送信されている場合、第１および第２制御部の一方のリセットが禁止される。これにより、第１および第２制御部の一方が正常に作動している間に他方に異常が発生した際に、正常な一方をリセットさせないようすることが可能となる。
また、前記監視部は、前記第１制御部からの信号に基づいて前記第１制御部に異常が発生しているか否かを判定する第１異常判定部と、前記第２制御部からの信号に基づいて前記第２制御部に異常が発生しているか否かを判定する第２異常判定部と、前記第１異常判定部により前記第１制御部に異常が発生していると判定された場合、および前記第２制御部から前記第１制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信され、かつ前記第２制御部に前記リセット信号が送信されていない場合、前記第１制御部に前記リセット信号を送信する第１リセット処理部と、前記第２異常判定部により前記第２制御部に異常が発生していると判定された場合、および前記第１制御部から前記第２制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信され、かつ前記第１制御部に前記リセット信号が送信されていない場合、前記第２制御部に前記リセット信号を送信する第２リセット処理部とを含むものであってもよい。これにより、第１および第２異常判定部により第１および第２制御部を独立して監視することができるので、第１および第２制御部の何れか一方に異常が発生した際に第１および第２制御部の双方をリセットさせてしまうのを良好に抑制することが可能となる。
更に、前記監視部は、前記第１制御部から前記第２制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信されたか否かを判定する第１リセット要求判定部と、前記第２制御部から前記第１制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信されたか否かを判定する第２リセット要求判定部とを含むものであってもよい。
また、前記第１制御部から前記第１異常判定部に送信される前記信号、および前記第２制御部から前記第２異常判定部に送信される前記信号は、ウォッチドッグパルス信号であってもよい。
更に、前記第１異常判定部は、前記第１制御部から第１通信線を介して前記監視部に定期的に送信される信号に基づいて前記第１制御部に異常が発生しているか否かを判定するものであってもよく、前記第２異常判定部は、前記第２制御部から第２通信線を介して前記監視部に定期的に送信される信号に基づいて前記第２制御部に異常が発生しているか否かを判定するものであってもよく、前記第１制御部は、前記第２制御部をリセットすべき旨の前記リセット要求信号を前記第１通信線を介して前記監視部に送信するものであってもよく、前記第２制御部は、前記第１制御部をリセットすべき旨の前記リセット要求信号を前記第２通信線を介して前記監視部に送信するものであってもよい。これにより、第１制御部から監視部にリセット要求信号を送信するための通信線と、第２制御部から監視部にリセット要求信号を送信するための通信線とを省略することができるので、通信線の異常の発生リスクを低減して制御装置の信頼性をより向上させることが可能となる。
また、前記監視部は、ＡＳＩＣにより構成されてもよい。これにより、監視部を含む制御装置のコストを低減することができる。
更に、前記監視部は、単一のマイクロコンピュータであってもよい。すなわち、ソフトウェアを用いて監視部の機能の少なくとも一部を実行することで、監視部を含む制御装置の開発リードタイムすなわち開発コストを低減することが可能となる。
また、前記制御装置は、前記第１制御部のプロセッサ、前記第２制御部のプロセッサ、および前記監視部のプロセッサとして機能するマルチコアプロセッサを含むものであってもよい。
本開示の制御装置のリセット方法は、第１機器を制御する第１制御部と、前記第１機器と同一または異なる第２機器を制御する第２制御部とを含み、前記第１および第２制御部が相互に相手側の状態を監視して前記相手側をリセットすべき場合にリセット要求信号を出力する制御装置のリセット方法であって、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号が前記第１および第２制御部の他方から出力され、かつ前記第１および第２制御部の前記他方にリセット信号が送信されていない場合、前記第１および第２制御部の前記一方にリセット信号を送信し、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号が前記第１および第２制御部の他方から出力され、かつ前記第１および第２制御部の前記他方にリセット信号が送信されている場合、前記第１および第２制御部の前記一方のリセットを禁止するものである。
かかる方法によれば、第１および第２制御部の一方が正常に作動している間に他方に異常が発生した際に、正常な一方をリセットさせないようすることが可能となる。
本開示の制御装置を含む車両の概略構成図である。 本開示の制御装置により実行される第１リセット許否ルーチンの一例を示すフローチャートである。 本開示の制御装置により実行される第２リセット許否ルーチンの一例を示すフローチャートである。 本開示の他の制御装置を示すブロック構成図である。 本開示の制御装置に適用可能な他の監視部を示すブロック構成図である。 図５に示す監視部の第１リセット処理部を構成する論理回路の真理値表である。 図５に示す監視部の第２リセット処理部を構成する論理回路の真理値表である。
次に、図面を参照しながら本開示の発明を実施するための形態について説明する。
図１は、本開示の制御装置であるモータ電子制御装置（以下、「ＭＧＥＣＵ」という。）５０を含む車両１の概略構成図である。同図に示す車両１は、ＭＧＥＣＵ５０に加えて、エンジン２と、主に発電機として作動するモータジェネレータＭＧ１と、主に走行用の動力や回生制動力を出力するモータジェネレータＭＧ２と、シングルピニオン式のプラネタリギヤ３と、蓄電装置（バッテリ）４と、当該蓄電装置４に接続されると共にモータジェネレータＭＧ１およびＭＧ２を駆動する電力制御装置（ＰＣＵ）５と、車両全体を制御するハイブリッド電子制御ユニット（以下、「ＨＶＥＣＵ」という）１０とを含むハイブリッド車両である。
エンジン２は、炭化水素系の燃料と空気との混合気の爆発燃焼により動力を発生する内燃機関であり、エンジン電子制御装置（以下、「エンジンＥＣＵ」という）２０により制御される。モータジェネレータＭＧ１，ＭＧ２は、何れも同期発電電動機（三相交流電動機）である。プラネタリギヤ３は、モータジェネレータＭＧ１（ロータ）に連結されるサンギヤと、出力軸に接続されると共にモータジェネレータＭＧ２（ロータ）に連結されるリングギヤと、複数のピニオンギヤを回転自在に支持すると共にエンジン２のクランクシャフトに連結されるプラネタリキャリヤとを含む。出力軸は、デファレンシャルギヤＤＦやドライブシャフトＤＳを介して左右の駆動輪ＤＷに連結される。蓄電装置４は、例えばリチウムイオン二次電池あるいはニッケル水素二次電池等である。電力制御装置５は、モータジェネレータＭＧ１を駆動する第１インバータ５ａやモータジェネレータＭＧ２を駆動する第２インバータ５ｂ、図示しない昇圧コンバータ等を含み、ＭＧＥＣＵ５０により制御される。
ＨＶＥＣＵ１０、エンジンＥＣＵ２０、ＭＧＥＣＵ５０の各々は、図示するように、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである共用通信線（多重通信バス）ＢＭに接続されており、当該共用通信線ＢＭを介してＣＡＮ通信により相互に情報（通信フレーム）をやり取りする。また、ＭＧＥＣＵ５０（エンジンＥＣＵ２０も同様）は、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである専用通信線（ローカル通信バス）ＢＬを介してＨＶＥＣＵ１０に個別に接続されており、当該専用通信線ＢＬを介してＨＶＥＣＵ１０との間でＣＡＮ通信により情報（通信フレーム）をやり取りする。
ＭＧＥＣＵ５０は、ＨＶＥＣＵ１０やエンジンＥＣＵ２０と協働して電力制御装置５を制御するように構成されている。図１に示すように、ＭＧＥＣＵ５０は、モータジェネレータＭＧ１（第１機器）に対応した第１インバータ５ａを制御する第１制御部としての第１マイクロコンピュータ５１と、モータジェネレータＭＧ２（第２機器）に対応した第２インバータ５ｂや図示しない昇圧コンバータ等を制御する第２制御部としての第２マイクロコンピュータ５２（以下、「マイクロコンピュータ」を「マイコン」という。）と、第１および第２マイコン５１，５２を監視する監視ユニット（監視部）５３とを含む。
ＭＧＥＣＵ５０の第１マイコン５１は、何れも図示しない第１ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力インターフェース、各種駆動回路、各種ロジックＩＣ等を含む。また、第２マイコン５２は、何れも図示しない第２ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力インターフェース、各種駆動回路、各種ロジックＩＣ等を含む。第１マイコン５１（第１ＣＰＵ）と、第２マイコン５２（第２ＣＰＵ）とは、それぞれ上記共用通信線ＢＭおよび専用通信線ＢＬに接続されると共に、第１マイコン５１から第２マイコン５２に信号を送信するための第１信号線と、第２マイコン５２から第１マイコン５１に信号を送信するための第２信号線とを介して互いに接続されている。第１および第２マイコン５１，５２は、第１および第２信号線を介して互いに情報をやり取りする。更に、第１マイコン５１は、第１パルス信号線および第１リセット要求信号線を介して監視ユニット５３に接続されており、第２マイコン５２は、第２パルス信号線および第２リセット要求信号線を介して監視ユニット５３に接続されている。第１マイコン５１は、第１パルス信号線を介して監視ユニット５３にウォッチドッグパルス信号（ランパルス信号）を送信し、第２マイコン５２は、第２パルス信号線を介して監視ユニット５３にウォッチドッグパルス信号（ランパルス信号）を送信する。
また、第１マイコン５１は、第２信号線を介して第２マイコン５２から送信された情報の一部（例えば演算結果等）に基づいて当該第２マイコン５２に異常が発生しているか否かを判定する。第２マイコン５２に異常が発生していると判定した場合、第１マイコン５１は、第２マイコン５２をリセットすべき旨のリセット要求信号を第１リセット要求信号線を介して監視ユニット５３に送信する。更に、第２マイコン５２は、第１信号線を介して第１マイコン５１から送信された情報の一部（例えば演算結果等）に基づいて当該第１マイコン５１に異常が発生しているか否かを判定する。第１マイコン５１に異常が発生していると判定した場合、第２マイコン５２は、第１マイコン５１をリセットすべき旨のリセット要求信号を第２リセット要求信号線を介して監視ユニット５３に送信する。すなわち、第１および第２マイコン５１，５２は、相互に相手側の状態を監視して相手側をリセットすべき場合にリセット要求信号を監視ユニット５３に送信する。
監視ユニット５３は、本実施形態において、何れも図示しない第３ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力インターフェース、各種ロジックＩＣ等を含む単一のマイクロコンピュータ（第３マイコン）である。監視ユニット５３には、図１に示すように、第３ＣＰＵやＲＯＭ、ＲＡＭ、ロジックＩＣといったハードウエアと、ＲＯＭにインストールされた各種プログラムといったソフトウェアとの協働により、第１異常判定部５５と、第２異常判定部５６と、第１リセット要求判定部５７と、第２リセット要求判定部５８と、リセット処理部５９とが機能ブロック（モジュール）として構築される。
第１異常判定部５５は、上記第１パルス信号線を介して第１マイコン５１に接続されるウォッチドッグカウンタであり、第１マイコン５１からのウォッチドッグパルス信号に基づいて当該第１マイコン５１に異常が発生しているか否かを判定する。すなわち、第１異常判定部５５は、第１マイコン５１からのウォッチドッグパルス信号を監視し、当該ウォッチドッグパルス信号が所定時間以上途絶しておらず、第１マイコン５１に異常が発生していないと判定した場合、第１ウォッチドッグ監視フラグＦｗ１をＨｉ（ハイ）レベルに設定する。また、第１異常判定部５５は、第１マイコン５１からのウォッチドッグパルス信号が所定時間以上途絶しており、第１マイコン５１に異常が発生していると判定した場合、第１ウォッチドッグ監視フラグＦｗ１をＬｏ（ロー）レベルに設定する。
第２異常判定部５６は、上記第２パルス信号線を介して第２マイコン５２に接続されるウォッチドッグカウンタであり、第２マイコン５２からのウォッチドッグパルス信号に基づいて当該第２マイコン５２に異常が発生しているか否かを判定する。すなわち、第２異常判定部５６は、第２マイコン５２からのウォッチドッグパルス信号を監視し、当該ウォッチドッグパルス信号が上記所定時間以上途絶しておらず、第２マイコン５２に異常が発生していないと判定した場合、第２ウォッチドッグ監視フラグＦｗ２をＨｉレベルに設定する。また、第２異常判定部５６は、第２マイコン５２からのウォッチドッグパルス信号が所定時間以上途絶しており、第２マイコン５２に異常が発生していると判定した場合、第２ウォッチドッグ監視フラグＦｗ２をＬｏ（ロー）レベルに設定する。なお、第１および第２異常判定部５５，５６は、上述のようなタイムアウトタイプのウォッチドッグカウンタに限られるものではなく、ウィンドウタイプあるいは周期監視タイプのウォッチドッグカウンタであってもよい。
第１リセット要求判定部５７は、上記第２リセット要求信号線を介して第２マイコン５２に接続され、第２マイコン５２から第１マイコン５１をリセットすべき旨のリセット要求信号が監視ユニット５３に送信されたか否かを判定する。第１リセット要求判定部５７は、第２マイコン５２から第２リセット要求信号線を介して送信される信号のフォーマットが予め定められたリセット要求フォーマットに一致しておらず、第２マイコン５２からリセット要求信号が送信されていないと判定した場合、第１リセット要求フラグＦｒｑ１をＬｏレベルに設定する。また、第１リセット要求判定部５７は、第２マイコン５２から送信される信号のフォーマットが当該リセット要求フォーマットに一致すると、第２マイコン５２からリセット要求信号が送信されたと判定し、フォーマットの一致が認められなくなるまで第１リセット要求フラグＦｒｑ１をＨｉレベルに設定する。
第２リセット要求判定部５８は、上記第１リセット要求信号線を介して第１マイコン５１に接続され、第１マイコン５１から第２マイコン５２をリセットすべき旨のリセット要求信号が監視ユニット５３に送信されたか否かを判定する。第２リセット要求判定部５８は、第１マイコン５１から第１リセット要求信号線を介して送信される信号のフォーマットが予め定められたリセット要求フォーマットに一致しておらず、第１マイコン５１からリセット要求信号が送信されていないと判定した場合、第２リセット要求フラグＦｒｑ２をＬｏレベルに設定する。また、第２リセット要求判定部５８は、第１マイコン５１から送信される信号のフォーマットが当該リセット要求フォーマットに一致すると、第１マイコン５１からリセット要求信号が送信されたと判定し、フォーマットの一致が認められなくなるまで第２リセット要求フラグＦｒｑ２をＨｉレベルに設定する。なお、リセット要求信号のフォーマットは、任意に定めることができる。
リセット処理部５９は、第１および第２マイコン５１，５２の状態に応じて当該第１および第２マイコン５１，５２に対して個別にリセット信号またはリセット禁止信号を送信可能なものである。図１に示すように、リセット処理部５９は、第１マイコン５１に対応した第１リセット禁止フラグＦｒｐ１を設定する第１リセット処理部５９ａと、第２マイコン５２に対応した第２リセット禁止フラグＦｒｐ２を設定する第２リセット処理部５９ｂとを含む。本実施形態において、リセット処理部５９、すなわち第１および第２リセット処理部５９ａ，５９ｂは、ＲＯＭに格納されたプログラムを実行する監視ユニット５３の第３ＣＰＵにより構成される。
第１リセット処理部５９ａは、第１異常判定部５５により設定される第１ウォッチドッグ監視フラグＦｗ１、第１リセット要求判定部５７により設定される第１リセット要求フラグＦｒｑ１および第２リセット処理部５９ｂにより設定される第２リセット禁止フラグＦｒｐ２を取得し、これらのフラグのレベルに応じて第１リセット禁止フラグＦｒｐ１をＨｉレベルまたはＬｏレベルに設定する。第１リセット禁止フラグＦｒｐ１がＨｉレベルに設定されている際、第１マイコン５１のリセットを禁止すべく、第１リセット処理部５９ａ（監視ユニット５３）から第１マイコン５１にＨｉレベルのリセット禁止信号が送信される。リセット禁止信号を受信した第１マイコン５１は、自らをリセットすることなく継続して作動する。これに対して、第１リセット禁止フラグＦｒｐ１がＬｏレベルに設定されると、第１リセット処理部５９ａ（監視ユニット５３）から第１マイコン５１にＬｏレベルのリセット信号が送信され、リセット信号を受信した第１マイコン５１は、自らをリセットして作動停止する。
第２リセット処理部５９ｂは、第２異常判定部５６により設定される第２ウォッチドッグ監視フラグＦｗ２、第２リセット要求判定部５８により設定される第２リセット要求フラグＦｒｑ２および第１リセット処理部５９ａにより設定される第１リセット禁止フラグＦｒｐ１を取得し、これらのフラグのレベルに応じて第２リセット禁止フラグＦｒｐ２をＨｉレベルまたはＬｏレベルに設定する。第２リセット禁止フラグＦｒｐ２がＨｉレベルに設定されている際、第２マイコン５２のリセットを禁止すべく、第２リセット処理部５９ｂ（監視ユニット５３）から第２マイコン５２にＨｉレベルのリセット禁止信号が送信さる。リセット禁止信号を受信した第２マイコン５２は、自らをリセットすることなく継続して作動する。これに対して、第２リセット禁止フラグＦｒｐ２がＬｏレベルに設定されると、第２リセット処理部５９ｂ（監視ユニット５３）から第２マイコン５２にＬｏレベルのリセット信号が送信され、リセット信号を受信した第２マイコン５２は、自らをリセットして作動停止する。
次に、図２および図３を参照しながら、ＭＧＥＣＵ５０の監視ユニット５３による第１および第２マイコン５１，５２のリセット手順について説明する。図２は、監視ユニット５３の第１リセット処理部５９ａにより実行される第１リセット許否ルーチンの一例を示すフローチャートであり、図３は、監視ユニット５３の第２リセット処理部５９ｂにより実行される第２リセット許否ルーチンの一例を示すフローチャートである。第１および第２リセット許否ルーチンは、車両１がシステム起動されている間、第１または第２リセット処理部５９ａ，５９ｂにより所定時間おきに繰り返し実行される。
図２に示す第１リセット許否ルーチンの開始に際して、第１リセット処理部５９ａは、第１ウォッチドッグ監視フラグＦｗ１、第２リセット禁止フラグＦｒｐ２、および第１リセット要求フラグＦｒｑ１を取得する（ステップＳ１００）。次いで、第１リセット処理部５９ａは、第１ウォッチドッグ監視フラグＦｗ１がＨｉレベルであるか否かを判定する（ステップＳ１１０）。ステップＳ１１０にて、第１ウォッチドッグ監視フラグＦｗ１がＨｉレベルである（第１マイコン５１に異常が発生していない）と判定した場合（ステップＳ１１０：ＹＥＳ）、第１リセット処理部５９ａは、第２リセット処理部５９ｂにより設定されている第２リセット禁止フラグＦｒｐ２がＨｉレベルであるか否かを判定する（ステップＳ１２０）。ステップＳ１２０にて、第２リセット禁止フラグＦｒｐ２がＨｉレベルであって第２マイコン５２がリセットされていないと判定した場合（ステップＳ１２０：ＹＥＳ）、第１リセット処理部５９ａは、第１リセット要求フラグＦｒｑ１がＨｉレベルであるか否かを判定する（ステップＳ１３０）。
ステップＳ１３０にて、第１リセット要求フラグＦｒｑ１がＨｉレベルであると判定した場合（ステップＳ１３０：ＹＥＳ）、第１リセット処理部５９ａは、第１リセット禁止フラグＦｒｐ１をＬｏレベルに設定すると共に、第１マイコン５１にＬｏレベルのリセット信号を送信し（ステップＳ１４０）、第１リセット許否ルーチンを一旦終了させる。第１リセット処理部５９ａ（監視ユニット５３）からリセット信号を受信した第１マイコン５１は、上述のように自らをリセットして作動停止する。すなわち、第１マイコン５１からのウォッチドッグパルス信号は正常であるが、リセットされておらず正常に作動している（とみなされる）第２マイコン５２により第１マイコン５１のリセット要求がなされた場合、第２マイコン５２からの要求に応じて第１マイコン５１がリセットされる。
一方、ステップＳ１１０にて、第１ウォッチドッグ監視フラグＦｗ１がＬｏレベルである（第１マイコン５１に異常が発生している）と判定した場合（ステップＳ１１０：ＮＯ）、第１リセット処理部５９ａは、第２リセット禁止フラグＦｒｐ２および第１リセット要求フラグＦｒｑ１のレベルに拘わらず、第１リセット禁止フラグＦｒｐ１をＬｏレベルに設定すると共に、第１マイコン５１にＬｏレベルのリセット信号を送信し（ステップＳ１４０）、第１リセット許否ルーチンを一旦終了させる。すなわち、第１マイコン５１からのウォッチドッグパルス信号に基づいて当該第１マイコン５１に異常が発生したと判定された場合、第２マイコン５２の状態に拘わらず、第１マイコン５１がリセットされる。
これに対して、ステップＳ１２０にて第２リセット禁止フラグＦｒｐ２がＬｏレベルであって第２マイコン５２に第２リセット処理部５９ｂからリセット信号が送信されていると判定した場合（ステップＳ１２０：ＮＯ）、第１リセット処理部５９ａは、第１マイコン５１のリセットを禁止すべく、第１リセット禁止フラグＦｒｐ１をＨｉレベルに設定すると共に、第１マイコン５１にＨｉレベルのリセット禁止信号を送信し（ステップＳ１５０）、第１リセット許否ルーチンを一旦終了させる。すなわち、第１マイコン５１からのウォッチドッグパルス信号は正常であるが、第２リセット処理部５９ｂからリセット信号が送信されている間に第２マイコン５２により第１マイコン５１のリセット要求がなされた場合には、当該第２マイコン５２からの要求に拘わらず、第１マイコン５１のリセットが禁止され、当該第１マイコン５１は継続して作動する。これにより、異常の発生からリセットが完了するまでの間に第２マイコン５２から第１マイコン５１をリセットすべき旨のリセット要求信号が監視ユニット５３に誤送信されても、正常な第１マイコン５１をリセットさせてしまうのを抑制することが可能となる。
また、ステップＳ１３０にて第１リセット要求フラグＦｒｑ１がＬｏレベルであると判定した場合も（ステップＳ１３０：ＮＯ）、第１リセット処理部５９ａは、第１マイコン５１のリセットを禁止すべく、第１リセット禁止フラグＦｒｐ１をＨｉレベルに設定すると共に、第１マイコン５１にＨｉレベルのリセット禁止信号を送信し（ステップＳ１５０）、第１リセット許否ルーチンを一旦終了させる。すなわち、第１マイコン５１からのウォッチドッグパルス信号は正常であり、かつ第２マイコン５２により第１マイコン５１のリセット要求がなされていない場合、第１マイコン５１のリセットが禁止され、当該第１マイコン５１は継続して作動する。
続いて、図３に示す第２リセット許否ルーチンについて説明する。第２リセット許否ルーチンの開始に際して、第２リセット処理部５９ｂは、第２ウォッチドッグ監視フラグＦｗ２、第１リセット禁止フラグＦｒｐ１、および第２リセット要求フラグＦｒｑ２を取得する（ステップＳ２００）。次いで、第２リセット処理部５９ｂは、第２ウォッチドッグ監視フラグＦｗ２がＨｉレベルであるか否かを判定する（ステップＳ２１０）。ステップＳ２１０にて、第２ウォッチドッグ監視フラグＦｗ２がＨｉレベルである（第２マイコン５２に異常が発生していない）と判定した場合（ステップＳ２１０：ＹＥＳ）、第２リセット処理部５９ｂは、第１リセット処理部５９ａにより設定されている第１リセット禁止フラグＦｒｐ１がＨｉレベルであるか否かを判定する（ステップＳ２２０）。ステップＳ２２０にて、第１リセット禁止フラグＦｒｐ１がＨｉレベルであって第１マイコン５１がリセットされていないと判定した場合（ステップＳ２２０：ＹＥＳ）、第２リセット処理部５９ｂは、第２リセット要求フラグＦｒｑ２がＨｉレベルであるか否かを判定する（ステップＳ２３０）。
ステップＳ２３０にて、第２リセット要求フラグＦｒｑ２がＨｉレベルであると判定した場合（ステップＳ２３０：ＹＥＳ）、第２リセット処理部５９ｂは、第２リセット禁止フラグＦｒｐ２をＬｏレベルに設定すると共に、第２マイコン５２にＬｏレベルのリセット信号を送信し（ステップＳ２４０）、第２リセット許否ルーチンを一旦終了させる。第２リセット処理部５９ｂ（監視ユニット５３）からリセット信号を受信した第２マイコン５２は、上述のように自らをリセットして作動停止する。すなわち、第２マイコン５２からのウォッチドッグパルス信号は正常であるが、リセットされておらず正常に作動している（とみなされる）第１マイコン５１により第２マイコン５２のリセット要求がなされた場合、第１マイコン５１からの要求に応じて第２マイコン５２がリセットされる。
一方、ステップＳ２１０にて、第２ウォッチドッグ監視フラグＦｗ２がＬｏレベルである（第２マイコン５２に異常が発生している）と判定した場合（ステップＳ２１０：ＮＯ）、第２リセット処理部５９ｂは、第１リセット禁止フラグＦｒｐ１および第２リセット要求フラグＦｒｑ２のレベルに拘わらず、第２リセット禁止フラグＦｒｐ２をＬｏレベルに設定すると共に、第２マイコン５２にＬｏレベルのリセット信号を送信し（ステップＳ２４０）、第２リセット許否ルーチンを一旦終了させる。すなわち、第２マイコン５２からのウォッチドッグパルス信号に基づいて当該第２マイコン５２に異常が発生したと判定された場合、第１マイコン５１の状態に拘わらず、第２マイコン５２がリセットされる。
これに対して、ステップＳ２２０にて第１リセット禁止フラグＦｒｐ１がＬｏレベルであって第１マイコン５１に第１リセット処理部５９ａからリセット信号が送信されていると判定した場合（ステップＳ２２０：ＮＯ）、第２リセット処理部５９ｂは、第２マイコン５２のリセットを禁止すべく、第２リセット禁止フラグＦｒｐ２をＨｉレベルに設定すると共に、第２マイコン５２にＨｉレベルのリセット禁止信号を送信し（ステップＳ２５０）、第２リセット許否ルーチンを一旦終了させる。すなわち、第２マイコン５２からのウォッチドッグパルス信号は正常であるが、第１リセット処理部５９ａからリセット信号が送信されている間に第１マイコン５１により第２マイコン５２のリセット要求がなされた場合には、当該第１マイコン５１からの要求に拘わらず、第２マイコン５２のリセットが禁止され、当該第２マイコン５２は継続して作動する。これにより、異常の発生からリセットが完了するまでの間に第１マイコン５１から第２マイコン５２をリセットすべき旨のリセット要求信号が監視ユニット５３に誤送信されても、正常な第２マイコン５２をリセットさせてしまうのを抑制することが可能となる。
また、ステップＳ２３０にて第２リセット要求フラグＦｒｑ２がＬｏレベルであると判定した場合も（ステップＳ２３０：ＮＯ）、第２リセット処理部５９ｂは、第２マイコン５２のリセットを禁止すべく、第２リセット禁止フラグＦｒｐ２をＨｉレベルに設定すると共に、第２マイコン５２にＨｉレベルのリセット禁止信号を送信し（ステップＳ２５０）、第２リセット許否ルーチンを一旦終了させる。すなわち、第２マイコン５２からのウォッチドッグパルス信号は正常であり、かつ第１マイコン５１により第２マイコン５２のリセット要求がなされていない場合、第２マイコン５２のリセットが禁止され、当該第２マイコン５２は継続して作動する。
以上説明したように、ＭＧＥＣＵ５０の監視ユニット５３は、第１および第２マイコン５１，５２の一方をリセットすべき旨のリセット要求信号を第１および第２マイコン５１，５２の他方から受信した際、当該第１および第２マイコン５１，５２の他方にリセット信号を送信していないことを条件として、第１および第２マイコン５１，５２の一方にリセット信号を送信する（図２のステップＳ１２０−Ｓ１４０、図３のステップＳ２２０−Ｓ２４０）。すなわち、第１および第２マイコン５１，５２の一方をリセットすべき旨のリセット要求信号が第１および第２マイコン５１，５２の他方から監視ユニット５３に送信されても、当該監視ユニット５３から第１および第２マイコン５１，５２の他方にリセット信号が送信されている場合、第１および第２マイコン５１，５２の一方のリセットが禁止される（図２のステップＳ１５０，図３のステップＳ２５０）。これにより、第１および第２マイコン５１，５２の一方が正常に作動している間に他方に異常が発生した際に、正常な一方をリセットさせないようすることが可能となる。
また、監視ユニット５３は、第１マイコン５１からのウォッチドッグパルス信号に基づいて第１マイコン５１に異常が発生しているか否かを判定する第１異常判定部５５と、第２マイコン５２からのウォッチドッグパルス信号に基づいて第２マイコン５２に異常が発生しているか否かを判定する第２異常判定部５６と、リセット処理部５９とを含み、リセット処理部５９は、第１マイコン５１に対応した第１リセット処理部５９ａと、第２マイコン５２に対応した第２リセット処理部５９ｂとを含む。更に、第１リセット処理部５９ａは、第１異常判定部５５により第１マイコン５１に異常が発生していると判定された場合、および第２マイコン５２から第１マイコン５１をリセットすべき旨のリセット要求信号が監視ユニット５３に送信され、かつ第２マイコン５２にリセット信号が送信されていない場合、第１マイコン５１にリセット信号を送信する。また、第２リセット処理部５９ｂは、第２異常判定部５６により第２マイコン５２に異常が発生していると判定された場合、および第１マイコン５１から第２マイコン５２をリセットすべき旨のリセット要求信号が監視ユニット５３に送信され、かつ第１マイコン５１にリセット信号が送信されていない場合、第２マイコン５２にリセット信号を送信する。これにより、第１および第２異常判定部５５，５６により第１および第２マイコン５１，５２を独立して監視することができるので、第１および第２マイコン５１，５２の何れか一方に異常が発生した際に第１および第２マイコン５１，５２の双方をリセットさせてしまうのを良好に抑制することが可能となる。
更に、上記実施形態において、監視ユニット５３は、単一のマイコンであり、当該監視ユニット５３の機能の少なくとも一部、すなわちリセット処理部５９の機能がソフトウェアを用いて実行される。これにより、監視ユニット５３を含むＭＧＥＣＵ５０の開発リードタイムすなわち開発コストを低減することが可能となる。ただし、上述のように３つのマイコンによりＭＧＥＣＵ５０を構成する代わりに、ＭＧＥＣＵ５０に単一のマルチコアプロセッサが設けられてもよい。すなわち、ＭＧＥＣＵ５０は、第１マイコン５１のプロセッサ、第２マイコン５２のプロセッサ、および監視ユニット５３のプロセッサとして機能するマルチコアプロセッサを含むものであってもよい。
図４は、本開示の他の制御装置であるＭＧＥＣＵ５０Ｂを示すブロック構成図である。なお、なお、ＭＧＥＣＵ５０Ｂの構成要素のうち、上述のＭＧＥＣＵ５０と同一の要素については同一の符号を付し、重複する説明を省略する。
図４に示すＭＧＥＣＵ５０Ｂでは、第１マイコン５１から監視ユニット５３Ｂにウォッチドッグパルス信号の代わりに所定の信号が第１通信線Ｌ１を介して定期的に送信され、第２マイコン５２から監視ユニット５３Ｂにウォッチドッグパルス信号の代わりに所定の信号が第２通信線Ｌ２を介して定期的に送信される。また、監視ユニット５３Ｂは、第１マイコン５１から第１通信線Ｌ１を介して監視ユニット５３Ｂに定期的に送信される信号に基づいて第１マイコン５１に異常が発生しているか否かを判定する第１異常判定部５５Ｂと、第２マイコン５２から第２通信線Ｌ２を介して監視ユニット５３Ｂに定期的に送信される信号に基づいて第２マイコン５２に異常が発生しているか否かを判定する第２異常判定部５６Ｂとを含む。
第１および第２異常判定部５５Ｂ，５６Ｂは、それぞれ第１または第２マイコン５１，５２から定期的に送信される信号の通信周期を監視し、当該通信周期が予め定められた基準周期に一致しており、第１または第２マイコン５１，５２に異常が発生していないと判定した場合、第１ウォッチドッグ監視フラグＦｗ１をＨｉ（ハイ）レベルに設定する。また、第１および第２異常判定部５５Ｂ，５６Ｂは、上記通信周期が上記基準周期に一致しておらず、第１または第２マイコン５１，５２に異常が発生していると判定した場合、第１ウォッチドッグ監視フラグＦｗ１をＬｏ（ロー）レベルに設定する。
更に、ＭＧＥＣＵ５０Ｂにおいて、第１マイコン５１は、第１通信線Ｌ１を介して第２マイコン５２をリセットすべき旨のリセット要求信号を監視ユニット５３Ｂに送信し、第２マイコン５２は、第２通信線Ｌ２を介して第１マイコン５１をリセットすべき旨のリセット要求信号を監視ユニット５３Ｂに送信する。また、監視ユニット５３Ｂの第１および第２リセット要求判定部５７Ｂ，５８Ｂは、第１または第２通信線Ｌ１，Ｌ２を介して監視ユニット５３Ｂに送信されたリセット要求信号を監視ユニット５３Ｂ内の通信線を介して受信し、上述の第１および第２リセット要求判定部５７，５８と同様の処理を実行する。かかるＭＧＥＣＵ５０Ｂでは、第１マイコン５１から監視ユニット５３Ｂにリセット要求信号を送信するための通信線と、第２マイコン５２から監視ユニット５３Ｂにリセット要求信号を送信するための通信線とを省略することができる。これにより、通信線の異常の発生リスクを低減してＭＧＥＣＵ５０Ｂの信頼性をより向上させることが可能となる。
図５は、本開示の制御装置に適用可能な他の監視ユニット５３Ｃを示すブロック構成図である。
図５に示す監視ユニット５３Ｃにおいて、第１および第２異常判定部５５Ｃ，５６Ｃは、第１または第２マイコン５１，５２からのウォッチドッグパルス信号が所定時間以上途絶しておらず、第１または第２マイコン５１，５２に異常が発生していないと判定した場合、Ｈｉレベルの信号を出力する。また、第１および第２異常判定部５５Ｃ，５６Ｃは、第１または第２マイコン５１，５２からのウォッチドッグパルス信号が所定時間以上途絶しており、第１または第２マイコン５１，５２に異常が発生していると判定した場合、Ｌｏレベルの信号を出力する。更に、監視ユニット５３Ｃにおいて、第１および第２リセット要求判定部５７Ｃ，５８Ｃは、第１または第２マイコン５１，５２から送信される信号のフォーマットが予め定められたリセット要求フォーマットに一致しておらず、第１または第２マイコン５１，５２からリセット要求信号が送信されていないと判定した場合、Ｌｏレベルの信号を出力する。また、第１および第２リセット要求判定部５７Ｃ，５８Ｃは、第１または第２マイコン５１，５２から送信される信号のフォーマットが当該リセット要求フォーマットに一致すると、第１または第２マイコン５１，５２からリセット要求信号が送信されたと判定し、フォーマットの一致が認められなくなるまでＨｉレベルの信号を出力する。
そして、監視ユニット５３Ｃでは、リセット処理部５９Ｃの第１リセット処理部５９ａがＮＡＮＤゲートＧ１およびＡＮＤゲートＧ２を含む論理回路により構成され、第２リセット処理部５９ｂがＮＡＮＤゲートＧ３およびＡＮＤゲートＧ４を含む論理回路により構成される。第１リセット処理部５９ａのＮＡＮＤゲートＧ１は、第１リセット要求判定部５７Ｃからの信号と、第２リセット処理部５９ｂ（ＡＮＤゲートＧ４）の出力信号、すなわちＨｉレベルのリセット禁止信号またはＬｏレベルのリセット信号とを入力する。ＮＡＮＤゲートＧ１は、第１リセット要求判定部５７Ｃからの信号および第２リセット処理部５９ｂ（ＡＮＤゲートＧ４）の出力信号のレベルが共にＨｉレベルである場合にのみ、Ｌｏレベルの信号を出力し、それ以外の場合、Ｈｉレベルの信号を出力する。第１リセット処理部５９ａのＡＮＤゲートＧ２は、第１異常判定部５５Ｃからの信号と、ＮＡＮＤゲートＧ１の出力信号とを入力する。ＡＮＤゲートＧ２は、第１異常判定部５５Ｃからの信号およびＮＡＮＤゲートＧ１の出力信号のレベルが共にＨｉレベルである場合にのみ、Ｈｉレベルのリセット禁止信号を出力し、それ以外の場合、Ｌｏレベルのリセット信号を出力する。
第２リセット処理部５９ｂのＮＡＮＤゲートＧ３は、第２リセット要求判定部５８Ｃからの信号と、第１リセット処理部５９ａ（ＡＮＤゲートＧ２）の出力信号、すなわちＨｉレベルのリセット禁止信号またはＬｏレベルのリセット信号とを入力する。ＮＡＮＤゲートＧ３は、第２リセット要求判定部５８Ｃからの信号および第１リセット処理部５９ａ（ＡＮＤゲートＧ２）の出力信号のレベルが共にＨｉレベルである場合にのみ、Ｌｏレベルの信号を出力し、それ以外の場合、Ｈｉレベルの信号を出力する。第２リセット処理部５９ｂのＡＮＤゲートＧ４は、第２異常判定部５６Ｃからの信号と、ＮＡＮＤゲートＧ３の出力信号とを入力する。ＡＮＤゲートＧ４は、第２異常判定部５６Ｃからの信号およびＮＡＮＤゲートＧ３の出力信号のレベルが共にＨｉレベルである場合にのみ、Ｈｉレベルのリセット禁止信号を出力し、それ以外の場合、Ｌｏレベルのリセット信号を出力する。
図６に、監視ユニット５３Ｃの第１リセット処理部５９ａを構成する論理回路の真理値表を示し、図７に、監視ユニット５３Ｃの第２リセット処理部５９ｂを構成する論理回路の真理値表を示す。これらの図面からわかるように、監視ユニット５３Ｃを含むＭＧＥＣＵ５０Ｃによっても、上述のＭＧＥＣＵ５０を採用した場合と同様の作用効果を得ることが可能となる。そして、何れも論理回路により構成される第１および第２リセット処理部５９ａ，５９ｂを含む監視ユニット５３Ｂは、ＡＳＩＣにより構成することができる。これにより、監視ユニット５３Ｃを含むＭＧＥＣＵ５０Ｃのコスト（価格）を低減することが可能となる。ただし、第１および第２リセット処理部５９ａ，５９ｂを構成する論理回路は、上述のものには限られない。また、監視ユニット５３Ｃは、ＭＧＥＣＵ５０Ｂに適用されてもよい。
なお、上記ＭＧＥＣＵ５０，５０Ｂの第１マイコン５１、第２マイコン５２および監視ユニット（第３マイコン）５３，５３Ｂは、同一ＥＣＵに含まれているが、これに限られるものではない、すなわち、第１マイコン５１、第２マイコン５２および監視ユニット（第３マイコン）５３，５３Ｂは、異なる３つのＥＣＵに分散して設けられてもよい。従って、本開示の発明は、第１機器を制御するＥＣＵと、第２機器を制御するＥＣＵと、監視ユニットを含むＥＣＵとに対して適用されてもよい。また、上記ＭＧＥＣＵ５０，５０Ｂ，５０Ｃは、モータジェネレータＭＧ１を制御する第１マイコン５１と、モータジェネレータＭＧ１とは異なる機器であるモータジェネレータＭＧ２を制御する第２マイコン５２とを含むものであるが、第１および第２マイコン５１，５２は、同一機器を制御するものであってもよい。更に、本開示の制御装置を含む車両は、１モータ式のハイブリッド車両であってもよく、シリーズ式のハイブリッド車両であってもよく、プラグイン式のハイブリッド車両であってもよく、電気自動車であってもよく、走行用動力の発生源としてエンジン（内燃機関）のみを含む車両であってもよい。
そして、本開示の発明は上記実施形態に何ら限定されるものではなく、本開示の外延の範囲内において様々な変更をなし得ることはいうまでもない。更に、上記発明を実施するための形態は、あくまで課題を解決するための手段の欄に記載された発明の具体的な一形態に過ぎず、課題を解決するための手段の欄に記載された発明の要素を限定するものではない。
本開示の発明は、制御装置の製造産業等において利用可能である。
１ 車両、２ エンジン、３ プラネタリギヤ、４ 蓄電装置、５ 電力制御装置（ＰＣＵ）、５ａ 第１インバータ、５ｂ 第２インバータ、１０ ハイブリッド電子制御装置（ＨＶＥＣＵ）、２０ エンジン電子制御装置（エンジンＥＣＵ）、５０，５０Ｂ，５０Ｃ モータ電子制御装置（ＭＧＥＣＵ）、５１ 第１マイコン、５２ 第２マイコン、５３，５３Ｂ，５３Ｃ 監視ユニット、５５，５５Ｂ，５５Ｃ 第１異常判定部、５６，５６Ｂ，５６Ｃ 第２異常判定部、５７，５７Ｂ，５７Ｃ 第１リセット要求判定部、５８，５８Ｂ，５８Ｃ 第２リセット要求判定部、５９，５９Ｃ リセット処理部、５９ａ 第１リセット処理部、５９ｂ 第２リセット処理部、ＢＬ 専用通信線、ＢＭ 共用通信線、ＤＦ デファレンシャルギヤ、ＤＳ ドライブシャフト、ＤＷ 駆動輪、Ｇ１，Ｇ３ ＮＡＮＤゲート、Ｇ２、Ｇ４ ＡＮＤゲート、Ｌ１ 第１通信線、Ｌ２ 第２通信線、ＭＧ１，ＭＧ２ モータジェネレータ。

Claims (9)

  1. 第１機器を制御する第１制御部と、前記第１機器と同一または異なる第２機器を制御する第２制御部と、前記第１および第２制御部を監視すると共に前記第１および第２制御部に対して個別にリセット信号を送信可能な監視部と含み、前記第１および第２制御部が相互に相手側の状態を監視して前記相手側をリセットすべき場合に前記監視部にリセット要求信号を送信する制御装置であって、
    前記監視部は、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号を前記第１および第２制御部の他方から受信し、かつ前記第１および第２制御部の前記他方に前記リセット信号を送信していない場合、前記第１および第２制御部の前記一方に前記リセット信号を送信し、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号を前記第１および第２制御部の他方から受信し、かつ前記第１および第２制御部の前記他方に前記リセット信号を送信している場合、前記第１および第２制御部の前記一方のリセットを禁止する制御装置。
  2. 請求項１に記載の制御装置において、
    前記監視部は、
    前記第１制御部からの信号に基づいて前記第１制御部に異常が発生しているか否かを判定する第１異常判定部と、
    前記第２制御部からの信号に基づいて前記第２制御部に異常が発生しているか否かを判定する第２異常判定部と、
    前記第１異常判定部により前記第１制御部に異常が発生していると判定された場合、および前記第２制御部から前記第１制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信され、かつ前記第２制御部に前記リセット信号が送信されていない場合、前記第１制御部に前記リセット信号を送信する第１リセット処理部と、
    前記第２異常判定部により前記第２制御部に異常が発生していると判定された場合、および前記第１制御部から前記第２制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信され、かつ前記第１制御部に前記リセット信号が送信されていない場合、前記第２制御部に前記リセット信号を送信する第２リセット処理部とを含む制御装置。
  3. 請求項２に記載の制御装置において、
    前記監視部は、
    前記第１制御部から前記第２制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信されたか否かを判定する第１リセット要求判定部と、
    前記第２制御部から前記第１制御部をリセットすべき旨の前記リセット要求信号が前記監視部に送信されたか否かを判定する第２リセット要求判定部とを含む制御装置。
  4. 請求項２または３に記載の制御装置において、
    前記第１制御部から前記第１異常判定部に送信される前記信号、および前記第２制御部から前記第２異常判定部に送信される前記信号は、ウォッチドッグパルス信号である制御装置。
  5. 請求項３に記載の制御装置において、
    前記第１異常判定部は、前記第１制御部から第１通信線を介して前記監視部に定期的に送信される信号に基づいて前記第１制御部に異常が発生しているか否かを判定し、
    前記第２異常判定部は、前記第２制御部から第２通信線を介して前記監視部に定期的に送信される信号に基づいて前記第２制御部に異常が発生しているか否かを判定し、
    前記第１制御部は、前記第２制御部をリセットすべき旨の前記リセット要求信号を前記第１通信線を介して前記監視部に送信し、
    前記第２制御部は、前記第１制御部をリセットすべき旨の前記リセット要求信号を前記第２通信線を介して前記監視部に送信する制御装置。
  6. 請求項２から５の何れか一項に記載の制御装置において、前記監視部は、ＡＳＩＣにより構成される制御装置。
  7. 請求項１から５の何れか一項に記載の制御装置において、前記監視部は、単一のマイクロコンピュータである制御装置。
  8. 請求項１から５の何れか一項に記載の制御装置において、
    前記第１制御部のプロセッサ、前記第２制御部のプロセッサ、および前記監視部のプロセッサとして機能するマルチコアプロセッサを含む制御装置。
  9. 第１機器を制御する第１制御部と、前記第１機器と同一または異なる第２機器を制御する第２制御部とを含み、前記第１および第２制御部が相互に相手側の状態を監視して前記相手側をリセットすべき場合にリセット要求信号を出力する制御装置のリセット方法であって、
    前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号が前記第１および第２制御部の他方から出力され、かつ前記第１および第２制御部の前記他方に前記リセット信号が送信されていない場合、前記第１および第２制御部の前記一方に前記リセット信号を送信し、前記第１および第２制御部の一方をリセットすべき旨の前記リセット要求信号が前記第１および第２制御部の他方から出力され、かつ前記第１および第２制御部の前記他方に前記リセット信号が送信されている場合、前記第１および第２制御部の前記一方のリセットを禁止する制御装置のリセット方法。
JP2019031814A 2019-02-25 2019-02-25 制御装置およびそのリセット方法 Active JP7131431B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019031814A JP7131431B2 (ja) 2019-02-25 2019-02-25 制御装置およびそのリセット方法
CN201911391827.9A CN111611102B (zh) 2019-02-25 2019-12-30 控制装置及其重置方法
US16/748,102 US11481226B2 (en) 2019-02-25 2020-01-21 Control apparatus and reset method of control apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019031814A JP7131431B2 (ja) 2019-02-25 2019-02-25 制御装置およびそのリセット方法

Publications (2)

Publication Number Publication Date
JP2020135738A true JP2020135738A (ja) 2020-08-31
JP7131431B2 JP7131431B2 (ja) 2022-09-06

Family

ID=72142415

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019031814A Active JP7131431B2 (ja) 2019-02-25 2019-02-25 制御装置およびそのリセット方法

Country Status (3)

Country Link
US (1) US11481226B2 (ja)
JP (1) JP7131431B2 (ja)
CN (1) CN111611102B (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114932805A (zh) * 2022-04-29 2022-08-23 华为数字能源技术有限公司 一种驱动装置和电动汽车

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0816490A (ja) * 1994-06-28 1996-01-19 Mitsubishi Denki Semiconductor Software Kk 計算機装置
US20010027537A1 (en) * 2000-04-03 2001-10-04 Toyota Jidosha Kabushiki Kaisha Technique of monitoring abnormality in plurality of cpus or controllers
JP2001282302A (ja) * 2000-04-03 2001-10-12 Toyota Motor Corp 原動機を用いた移動体の制御装置におけるｃｐｕの異常監視
JP2011227786A (ja) * 2010-04-22 2011-11-10 Panasonic Corp マイクロコンピュータ制御システム、並びにそれを用いた充電装置および太陽光電源システム
JP2012006535A (ja) * 2010-06-28 2012-01-12 Autonetworks Technologies Ltd 車載電子制御装置
JP2015112962A (ja) * 2013-12-10 2015-06-22 トヨタ自動車株式会社 情報処理装置
JP2018116473A (ja) * 2017-01-18 2018-07-26 トヨタ自動車株式会社 監視システム

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2593915B2 (ja) 1988-05-27 1997-03-26 住友電気工業株式会社 ダブルマイコンシステム暴走防止回路
JP3939961B2 (ja) * 2001-10-31 2007-07-04 株式会社デンソー 車両用電子制御装置
JP4254577B2 (ja) * 2004-03-04 2009-04-15 株式会社デンソー 制御装置
JP4337884B2 (ja) * 2007-01-31 2009-09-30 株式会社日立製作所 インバータ制御装置
JP4859803B2 (ja) * 2007-10-01 2012-01-25 日立オートモティブシステムズ株式会社 電動アクチュエータの制御装置
JP4525762B2 (ja) * 2008-02-04 2010-08-18 株式会社デンソー 車両用電子制御装置
KR101617486B1 (ko) * 2009-03-27 2016-05-02 르네사스 일렉트로닉스 가부시키가이샤 반도체 집적 회로 장치
US8228009B2 (en) * 2009-07-27 2012-07-24 Parker-Hannifin Corporation Twin motor actuator
JP5595335B2 (ja) * 2011-06-10 2014-09-24 日立建機株式会社 建設機械
US10040447B2 (en) * 2012-10-05 2018-08-07 Ford Global Technologies, Llc Control strategy for an electric machine in a vehicle
JP6081239B2 (ja) 2013-03-13 2017-02-15 日立オートモティブシステムズ株式会社 制御装置の異常監視装置および異常監視方法
CN105469738B (zh) * 2016-01-19 2017-12-12 京东方科技集团股份有限公司 一种移位寄存器、栅极驱动电路及显示装置
JP6161849B1 (ja) * 2016-06-01 2017-07-12 三菱電機株式会社 監視装置および監視方法
US11628865B2 (en) * 2020-08-21 2023-04-18 Toyota Research Institute, Inc. Method and system for behavioral cloning of autonomous driving policies for safe autonomous agents

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0816490A (ja) * 1994-06-28 1996-01-19 Mitsubishi Denki Semiconductor Software Kk 計算機装置
US20010027537A1 (en) * 2000-04-03 2001-10-04 Toyota Jidosha Kabushiki Kaisha Technique of monitoring abnormality in plurality of cpus or controllers
JP2001282302A (ja) * 2000-04-03 2001-10-12 Toyota Motor Corp 原動機を用いた移動体の制御装置におけるｃｐｕの異常監視
JP2011227786A (ja) * 2010-04-22 2011-11-10 Panasonic Corp マイクロコンピュータ制御システム、並びにそれを用いた充電装置および太陽光電源システム
JP2012006535A (ja) * 2010-06-28 2012-01-12 Autonetworks Technologies Ltd 車載電子制御装置
JP2015112962A (ja) * 2013-12-10 2015-06-22 トヨタ自動車株式会社 情報処理装置
JP2018116473A (ja) * 2017-01-18 2018-07-26 トヨタ自動車株式会社 監視システム
US20180224843A1 (en) * 2017-01-18 2018-08-09 Toyota Jidosha Kabushiki Kaisha Monitoring system

Also Published As

Publication number Publication date
US20200272481A1 (en) 2020-08-27
CN111611102B (zh) 2023-08-01
CN111611102A (zh) 2020-09-01
US11481226B2 (en) 2022-10-25
JP7131431B2 (ja) 2022-09-06

Similar Documents

Publication Publication Date Title
EP1143314B1 (en) Technique of monitoring abnormality in plurality of CPUs or controllers
CN100591561C (zh) 一种混合动力汽车扭矩监控系统
EP2413484A2 (en) Safety control system
CN103072576A (zh) 基于并行结构的驾驶员请求扭矩安全架构
JP2001282302A (ja) 原動機を用いた移動体の制御装置におけるｃｐｕの異常監視
JP5999024B2 (ja) ハイブリッド車制御システム
JP7131431B2 (ja) 制御装置およびそのリセット方法
EP3141445B1 (en) Control system for hybrid vehicle
CN108146250B (zh) 一种基于多核cpu的汽车扭矩安全控制方法
JP6107565B2 (ja) ハイブリッド車制御装置
JP2016031631A (ja) 車両の制御装置
DE112015000067B4 (de) Motordrehmomentkorrekturvorrichtung eines Hybridfahrzeugs
JP2001312314A (ja) 制御装置における誤り検出および制御システム
JP2019073204A (ja) ハイブリッド自動車
US12005911B2 (en) Robust techniques for managing primary and secondary controllers on CAN-FD networks
JP6702145B2 (ja) 処理装置
JP6413776B2 (ja) 車両の駆動制御装置
US20200262443A1 (en) Monitoring apparatus and driving force control system
JP7210995B2 (ja) ハイブリッド車
JP2023059691A (ja) ハイブリッド車両の電子制御装置
JP2019192957A (ja) 情報処理システム
JP2007099155A (ja) 動力出力装置およびこれを搭載する自動車並びに駆動装置、動力出力装置の制御方法
JP2021115968A (ja) ハイブリッド車両の制御装置
JP2006335180A (ja) ハイブリッド電気自動車の制御システム
JP2020059425A (ja) 車両

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210624

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20220608

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220726

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220808

R151 Written notification of patent or utility model registration

Ref document number: 7131431

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151