JP2024047214A - 制御装置 - Google Patents

Abstract

【課題】制御部のリセット解除に伴う起動時において不定な通信出力がされてしまうことを抑制可能な制御装置を提供する。【解決手段】ＥＣＵ１において、マイコン３は、電源ＩＣ５によるリセットが解除された後、初期診断を実施し、正常と判断してから、正常動作を示す最初のウォッチドッグ信号ＷＤを電源ＩＣ５に出力するように構成される。そして、電源ＩＣ５は、マイコン３のリセットを開始してから、リセットの解除後に少なくともマイコン３から最初のウォッチドッグ信号ＷＤが出力されるまでは、エラー信号ＥＲＲをローにしてトランシーバ７の動作を禁止することにより、マイコン３の動作による他のＥＣＵ１５，１７への通信出力を禁止し、ウォッチドッグ信号ＷＤ信号が出力されたことを確認した上で通信出力を許可する。【選択図】図１

Description

本開示は、制御装置に関する。

下記特許文献１には、車両に搭載されるＥＣＵの構成として、メインマイコンがＣＡＮドライバを介して他のユニットと通信する構成が記載されている。なお、ＥＣＵは「Electronic Control Unit」の略である。ＣＡＮは「Controller Area Network」の略である。また、ＣＡＮは登録商標である。

そして、特許文献１に記載のＥＣＵでは、サブマイコンが、メインマイコンからのプログラムランパルスに基づいてメインマイコンの動作を監視し、メインマイコンが異常の場合には、ＣＡＮドライバに対する出力禁止信号を出力して、通信出力を禁止する。また、メインマイコンとサブマイコンは、ウオッチドッグタイマを有する電源ＩＣによって同時にリセットされる構成になっている。

特開２００４－１２２９４２号公報

上記特許文献１のＥＣＵでは、他のユニットと通信するための処理を行う制御部としてのメインマイコンがリセットされて、そのリセットが解除された後、正常化していないメインマイコンがＣＡＮドライバに不定な通信信号を出力してしまう可能性がある。そして、その不定な通信信号が他のユニットに送信されてしまう、すなわち、他のユニットへ不定な通信出力がされてしまう可能性がある。

本開示の１つの局面は、制御部のリセット解除に伴う起動時において不定な通信出力がされてしまうことを抑制可能な制御装置を提供する。

本開示の１つの態様による制御装置は、少なくとも他の装置と通信するための処理を行うように構成された制御部（３）と、制御部に関する所定のリセット条件が成立した場合に、制御部をリセットするように構成された監視部（５）と、を備える。

そして、制御部は、監視部によるリセットが解除された後、起動直後の自己診断である初期診断を実施し、この初期診断により正常と判断してから、正常動作を示す所定の信号（ＷＤ）を監視部に出力する。

監視部は、制御部のリセットを開始してから、当該リセットの解除後に少なくとも制御部から前記所定の信号が最初に出力されるまでは、制御部の動作による他の装置への通信出力を禁止し、前記所定の信号が出力されたことを確認した上で、前記通信出力を許可する。

このような構成によれば、制御部のリセット解除後に、制御部の初期診断によって制御部が正常動作可能なことが確認されてから、制御部の動作による他の装置への通信出力が許可される。よって、制御部のリセット解除に伴う起動時において、他の装置へ不定な通信出力がされてしまうことを抑制することができる。

実施形態のＥＣＵの構成を示すブロック図である。 マイコンが実行する処理を示すフローチャートである。 電源ＩＣの動作を示すフローチャートである。 実施形態の作用例を示すタイムチャートである。

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．構成及び各部の動作概要］
図１に示す実施形態のＥＣＵ１は、車両に搭載されるものであり、当該ＥＣＵ１の動作を司るマイクロコンピュータ（以下、マイコン）３と、マイコン３への電源供給及びマイコン３の動作監視を行う電源ＩＣ５と、トランシーバ７と、反転回路９と、を備える。マイコン３は、いわゆるＳｏＣであっても良い。「ＳｏＣ」は「System on a Chip」の略である。

ＥＣＵ１には、車両に搭載された１つ以上のセンサ１１，１３からの情報が入力される。センサ１１，１３は、車両に関連する情報を検出するためのセンサであって良く、例えば、車両周辺の情報を検出するためのカメラやミリ波レーダ等の周辺監視用センサデバイスであっても良い。また、ＥＣＵ１は、車両に搭載された他のＥＣＵ１５，１７と通信ライン１９を介して通信可能に接続されている。

マイコン３は、センサ１１，１３からの情報を入力し、その入力した情報を統合あるいは分配して他のＥＣＵ１５，１７へ送信する機能を少なくとも備える。よって、マイコン３は、少なくとも他のＥＣＵ１５，１７と通信するための処理を行う。また、マイコン３は、他のＥＣＵ１５、１７へ制御内容の更新データを送信する機能を有していても良い。

マイコン３は、トランシーバ７を介して通信ライン１９に接続されている。
トランシーバ７は、マイコン３から出力される送信信号（すなわち、送信データの信号）を、通信プロトコルに適合した伝送信号に変換して通信ライン１９に出力する。また、トランシーバ７は、通信ライン１９上の伝送信号を、通信プロトコルに基づいて、マイコン３が入力可能な受信信号（すなわち、受信データの信号）に変換して、マイコン３に出力する。このため、マイコン３は、トランシーバ７を介して、他のＥＣＵ１５，１７と通信することができる。尚、通信プロトコルは例えばＣＡＮであるが、ＣＡＮ以外であっても良い。

ＥＣＵ１５は、例えば、マイコン３から送信された情報に基づいて、運転者に対し車両周辺の情報や警報等を与えるための制御を行うように構成されていて良い。ＥＣＵ１７は、例えば、マイコン３から送信された情報に基づいて、車両の動力、制動及び操舵等を制御するように構成されていて良い。

また、トランシーバ７は、反転回路９から入力されるスタンバイ信号ＳＴＢがアクティブレベルのハイになると、動作を停止するように構成されている。よって、トランシーバ７は、スタンバイ信号ＳＴＢがハイになると、少なくとも通信ライン１９への信号の出力（すなわち、通信出力）を停止する。

反転回路９は、電源ＩＣ５から出力されるエラー信号ＥＲＲを論理反転させ、その論理反転させた信号を、トランシーバ７へスタンバイ信号ＳＴＢとして出力するように構成されている。

よって、電源ＩＣ５からのエラー信号ＥＲＲがローの場合には、マイコン３の動作にかかわらず、トランシーバ７からの通信出力、すなわち他のＥＣＵ１５，１７への通信出力が、強制的に禁止される。

電源ＩＣ５は、図示されない車載バッテリの電圧から、マイコン３が動作するための電源電圧を生成し、その電源電圧をマイコン３に供給する。
また、電源ＩＣ５は、マイコン３の動作を監視し、所定のリセット条件が成立すると、マイコン３をリセットする。具体的には、電源ＩＣ５は、図４の１段目に示すように、マイコン３へのリセット信号ＲＳＴを所定のホールド時間ＴＨだけアクティブレベルのローにすることにより、マイコン３のリセットを実施する。リセット条件は、電源ＩＣ５にてマイコン３が異常であると判断される条件である。

［２．ＳｏＣ３が実施する自己診断の説明］
マイコン３は、電源ＩＣ５によるリセットが解除された後、起動直後の自己診断である初期診断を実施する。

そして、マイコン３は、初期診断により正常と判断した場合に、通常の動作を開始して、センサ１１，１３からの情報入力の処理や、他のＥＣＵ１５，１７への情報送信の処理等を行う。一方、マイコン３は、初期診断により異常と判断した場合には、起動を停止する。

また、マイコン３は、通常の動作中において定期的に自己診断を実施する。マイコン３が動作中に定期的に実施する自己診断のことを、動作時診断と言う。ここで言う定期的とは、一定の時間間隔に限らず、都度異なる時間間隔であっても良い。

［２－１．動作時診断の説明］
マイコン３は、動作時診断として、例えば下記の電圧診断と演算診断とを実施する。
［２－１－１．電圧診断］
マイコン３は、電圧診断では、マイコン３内の電源電圧を監視し、電源電圧が正常範囲外である場合には、電圧異常と判断する。この電圧診断は、例えばマイコン３に備えられた電圧診断用の回路ブロックによって実施される。

マイコン３は、動作時診断のうちの電圧診断により電圧異常と判断した場合、すなわち電圧異常を検出した場合には、電源ＩＣ５への異常報知信号ＡＯＵＴをローにする。つまり、異常報知信号ＡＯＵＴのローは、マイコン３における電圧異常を電源ＩＣ５に通知するための信号である。
［２－１－２．演算診断］
マイコン３は、演算診断では、マイコン３で実施される所定の各演算処理に対して、ダミーの入力値を与え、演算結果として所定の期待値が出力されるか否かを確認する。そして、演算結果が期待値と異なる場合には、演算機能異常と判断する。この演算診断は、例えばソフトウェアによって実施される。

マイコン３は、動作時診断のうちの演算診断により演算機能異常と判断した場合、すなわち演算機能異常を検出した場合には、電源ＩＣ５への異常報知信号ＢＯＵＴをローにする。つまり、異常報知信号ＢＯＵＴのローは、マイコン３における演算機能異常を電源ＩＣ５に通知するための信号である。

［２－２．初期診断の説明］
初期診断は、マイコン３自身が正常に動作可能か否かを実質動作の開始前にチェックする診断であり、ソフトウェアによる初期診断と、マイコン３に内蔵されたメモリや通信モジュール等のハードウェアの初期診断とを含む。尚、通信モジュールは、マイコン３内のハードウェアのうち、トランシーバ７との間で送信信号及び受信信号の入出力を行うためのハードウェアである。

［２－２－１．ソフトウェアによる初期診断］
ソフトウェアによる初期診断では、少なくとも、動作時診断のうちの演算診断と同じ演算診断が行われて良く、更に多くの処理を対象とした演算診断が行われても良い。また、ソフトウェアによる初期診断として行われる演算診断のなかには、少なくとも、通信モジュールに送信対象の信号を与える処理についての演算診断が含まれて良い。

更に、ソフトウェアによる初期診断のなかには、演算診断が正しく機能するか否かの診断、すなわち演算診断の診断も含まれて良い。具体的には、演算診断を行うソフトウェアに、演算機能異常と判断されるはずの入力値と、正常と判断されるはずの入力値とを、それぞれ切り替えて入力し、それぞれの場合に期待通りの判断結果が出力されるか否かをチェックする。

［２－２－２．ハードウェアの初期診断］
ハードウェアの初期診断のうち、例えば通信モジュールの診断では、通信モジュールからトランシーバ７への出力経路を遮断した状態にして、通信モジュールに所定の入力を与え、通信モジュールの出力が所定の期待値になるか否かをチェックする。このため、初期診断により、少なくともマイコン３からトランシーバ７に不定な信号が出力されてしまう異常がないことが確認される。また、ハードウェアの初期診断には、動作時診断のうちの電圧診断と同じ電圧診断も含まれて良い。

更に、ハードウェアの初期診断には、電圧診断が正しく機能するか否かの診断、すなわち電圧診断の診断も含まれて良い。具体的には、電圧診断用の回路ブロックに、電圧異常と判断されるはずの入力電圧と、正常と判断されるはずの入力電圧とを、それぞれ切り替えて入力し、それぞれの場合に期待通りの判断結果が出力されるか否かをチェックする。

マイコン３は、初期診断で正常と判断した場合には、電源ＩＣ５への異常報知信号ＡＯＵＴ、ＢＯＵＴを、リセットによる初期設定値のローから正常を示す方のハイにし、その後、後述するウォッチドッグ信号ＷＤの出力を開始すると共に、通常の動作を開始する。

［３．マイコン３が電源ＩＣ５に出力するウォッチドッグ信号ＷＤの説明］
マイコン３は、正常に動作している場合には、電源ＩＣ５へ、正常動作を示すウォッチドッグ信号ＷＤを、例えば下記〈１〉及び〈２〉の規則で出力する。尚、マイコン３から電源ＩＣ５へのウォッチドッグ信号ＷＤは、シリアル通信（例えばＳＰＩ通信）によって伝達されるデータ信号である。ＳＰＩは「Serial Peripheral Interface」の略である。

〈１〉リセット解除後から規定時間以内に、最初のウォッチドッグ信号ＷＤを出力する。最初のウォッチドッグ信号ＷＤのデータ値は、所定値に定められている。また、上記規定時間は、マイコン３が初期診断を完了するのに要する時間よりも長い。

〈２〉最初のウォッチドッグ信号ＷＤの出力後は、第１時間（例えば１０ms）以内ではウォッチドッグ信号ＷＤを変化させず、続く第２時間（例えば５ms）以内ではウォッチドッグ信号ＷＤのデータ値を所定のルールで更新する、ということを繰り返す。

［４．電源ＩＣ５によるマイコン３の監視動作の説明］
電源ＩＣ５は、下記《ａ》～《ｃ》の条件の何れかが成立すると、リセット条件が成立したとして、マイコン３のリセットを実施する。

《ａ》マイコン３からの異常報知信号ＡＯＵＴ、ＢＯＵＴの少なくとも一方が、ハイからローになる。
《ｂ》マイコン３のリセットを解除してから、上記〈１〉の規定時間が経過するまでに、マイコン３から最初のウォッチドッグ信号ＷＤ、すなわち所定値のウォッチドッグ信号ＷＤが、出力されない。

《ｃ》マイコン３から最初のウォッチドッグ信号ＷＤが出力されても、その後のウォッチドッグ信号ＷＤが上記〈２〉の規則で変化しない。
［５．マイコン３が起動直後に行う処理］
図２に示すように、マイコン３は、電源ＩＣ５によってリセットが解除されると、Ｓ１１０にて、前述したハードウェアの初期診断を実施する。そして、Ｓ１２０にて、ハードウェアの初期診断により異常が検出されたか否かを判断し、異常が検出されていなければ、Ｓ１３０に進む。

マイコン３は、Ｓ１３０では、前述したソフトウェアによる初期診断を実施する。そして、Ｓ１４０にて、ソフトウェアによる初期診断により異常が検出されたか否かを判断し、異常が検出されていなければ、Ｓ１６０に進む。

マイコン３は、Ｓ１６０では、電源ＩＣ５への２つの異常報知信号ＡＯＵＴ、ＢＯＵＴを、リセットによる初期設定値のローから正常を示す方のハイにする。尚、マイコン３のリセットにより、異常報知信号ＡＯＵＴ、ＢＯＵＴの出力値はローに初期設定されており、このＳ１６０で異常報知信号ＡＯＵＴ、ＢＯＵＴの出力値がハイに設定される。

そして、マイコン３は、次のＳ１７０にて、電源ＩＣ５へ最初のウォッチドッグ信号ＷＤを出力し、その後、Ｓ１８０に進んで、通常の動作を行う。尚、ここで言う通常の動作には、前述した動作時診断の動作も含まれる。

一方、マイコン３は、Ｓ１２０とＳ１４０との何れかにて、異常が検出されたと判断した場合、すなわち初期診断で異常を検出した場合には、Ｓ１５０に進んで、起動を停止する。つまり、故意には何もしない状態となる。よって、マイコン３は、初期診断で異常を検出した場合には、少なくともウォッチドッグ信号ＷＤを出力しない状態となる。

尚、図２では、ハードウェアの初期診断が、ソフトウェアによる初期診断よりも先に実施されるように示されているが、その順番は逆でも良いし、両方の初期診断が並行して実施されても良い。

［６．電源ＩＣ５の動作］
ここでは、電源ＩＣ５の動作を図３のフローチャートに基づき説明するが、電源ＩＣ５の動作は、実際には電源ＩＣ５内部のハードウェアによって実現されている。

図３に示すように、電源ＩＣ５は、Ｓ２１０にて、リセット条件が成立したか否かを判断する。尚、この時点においてマイコン３はリセットされていない。また、Ｓ２１０では、上記《ａ》～《ｃ》のうち、《ａ》又は《ｃ》の条件が成立したか否かが判断される。

そして、電源ＩＣ５は、上記《ａ》又は《ｃ》の条件が成立した場合には、リセット条件が成立したと判断し、Ｓ２２０にて、マイコン３のリセットを実施する。つまり、マイコン３へのリセット信号ＲＳＴをローにする。更に、Ｓ２２０では、電源ＩＣ５は、反転回路９へのエラー信号ＥＲＲをローにして、トランシーバ７からの通信出力を禁止する。

電源ＩＣ５は、マイコン３へのリセット信号ＲＳＴをローにしてから所定のホールド時間ＴＨが経過すると、Ｓ２３０にて、リセット信号ＲＳＴをハイに戻す。すなわち、マイコン３のリセットを解除する。

そして、電源ＩＣ５は、次のＳ２４０にて、マイコン３から最初のウォッチドッグ信号ＷＤが出力されたか否かを判断し、最初のウォッチドッグ信号ＷＤが出力されていなければ、Ｓ２５０に進む。

尚、電源ＩＣ５は、マイコン３との間のウォッチドッグ信号ＷＤ用のシリアル通信線にデータが出力されたことを検知したタイミングで、最初のウォッチドッグ信号ＷＤが出力されたと判断するように構成されて良い。また、電源ＩＣ５は、上記シリアル通信線で送られてきたデータの値を判別することで、最初のウォッチドッグ信号ＷＤが出力されたと判断するように構成されても良い。

電源ＩＣ５は、Ｓ２５０では、マイコン３のリセットを解除してから上記〈１〉の規定時間が経過したか否かを判断し、規定時間が経過していなければＳ２４０に戻って、マイコン３からの最初のウォッチドッグ信号ＷＤを待つ。また、Ｓ２５０にて、規定時間が経過したと判断した場合には、上記《ｂ》の条件が成立するため、Ｓ２２０に進み、マイコン３のリセットを実施する共に通信出力の禁止を実施する。

また、電源ＩＣ５は、Ｓ２４０にて、マイコン３から最初のウォッチドッグ信号ＷＤが出力されたと判断した場合、すなわち、マイコン３のリセット解除から規定時間が経過するまでに最初のウォッチドッグ信号ＷＤが出力された場合には、Ｓ２６０進む。そして、このＳ２６０では、反転回路９へのエラー信号ＥＲＲをローからハイに戻すことにより、トランシーバ７からの通信出力を許可し、その後、Ｓ２１０に戻る。

尚、電源ＩＣ５は、Ｓ２２０で通信出力を禁止してから、Ｓ２６０で通信出力を許可するまでの間は、Ｓ２１０の判断をしないため、マイコン３からの異常報知信号ＡＯＵＴ、ＢＯＵＴを監視しない。

［７．作用例］
マイコン３と電源ＩＣ５が前述の動作を行うことによる作用例について、図４のタイムチャートを用いて説明する。

マイコン３が、動作中において、動作時診断のうちの例えば電圧診断により電圧異常を検出し、図４の時刻ｔ１に示すように、電源ＩＣ５への異常報知信号ＡＯＵＴをハイからローに変化させたとする。

すると、上記《ａ》の条件が成立する。よって、電源ＩＣ５は、リセット条件が成立したと判断して、マイコン３へのリセット信号ＲＳＴを所定のホールド時間ＴＨだけローにしてマイコン３のリセットを実施する共に、反転回路９へのエラー信号ＥＲＲをハイからローにする。この動作は、図３のＳ２２０によるものである。

電源ＩＣ５からのエラー信号ＥＲＲがローになると、マイコン３がトランシーバ７にどのような信号を出力したとしてもトランシーバ７からの通信出力は禁止されるため、結局は、マイコン３の動作によるＥＣＵ１から他のＥＣＵ１５，１７への通信出力が禁止される。また、電源ＩＣ５は、エラー信号ＥＲＲをローにしている間は、マイコン３からの異常報知信号ＡＯＵＴ、ＢＯＵＴを監視しない状態となる。

尚、マイコン３が、動作中において、動作時診断のうちの演算診断により演算機能異常を検出し、図４の時刻ｔ１にて、電源ＩＣ５への異常報知信号ＢＯＵＴをハイからローに変化させたとしても、図４において時刻ｔ１以降に示す動作は同じである。また、電源ＩＣ５によるエラー信号ＥＲＲのローへの切り替えは、リセット信号ＲＳＴのローへの切り替えと実質同時に実施されるが、これに限らず、リセット信号ＲＳＴがローになっている間に実施されれば良い。

電源ＩＣ５は、リセット信号ＲＳＴをローに切り替えてからホールド時間ＴＨが経過すると、図４の時刻ｔ２に示すように、リセット信号ＲＳＴをハイに戻す。つまり、マイコン３のリセットを解除する。この動作は、図３のＳ２３０によるものである。

マイコン３は、リセットが解除されると、図２に示す処理を開始して、初期診断を実施する。そして、マイコン３は、初期診断により異常を検出しなかった場合、すなわち正常と判断した場合には、図４の時刻ｔ３に示すように、電源ＩＣ５への２つの異常報知信号ＡＯＵＴ、ＢＯＵＴを、リセットによる初期設定値のローからハイにする。この動作は、図２のＳ１６０によるものである。

更に、マイコン３は、図４の時刻ｔ４に示すように、電源ＩＣ５へ最初のウォッチドッグ信号ＷＤを出力する。この動作は、図２のＳ１７０によるものである。
すると、電源ＩＣ５は、最初のウォッチドッグ信号ＷＤが出力されたことを検知して、エラー信号ＥＲＲをローからハイに戻す。この動作は、図３のＳ２６０によるものである。

電源ＩＣ５からのエラー信号ＥＲＲがハイになることでＥＣＵ１からの通信出力が許可される。また、電源ＩＣ５は、マイコン３からの異常報知信号ＡＯＵＴ、ＢＯＵＴを監視する状態に戻る。

［８．用語の対応］
本実施形態において、マイコン３は、本開示における制御部に相当し、電源ＩＣ５は、本開示における監視部に相当し、ウォッチドッグ信号ＷＤは、本開示における「正常動作を示す所定の信号」に相当する。また、異常報知信号ＡＯＵＴ、ＢＯＵＴの何れかがローで出力されることが、本開示における異常報知信号が出力されることに相当する。

［９．効果］
以上詳述した実施形態によれば、以下の効果を奏する。
（ａ）ＥＣＵ１において、マイコン３は、電源ＩＣ５によるリセットが解除された後、起動直後の自己診断である初期診断を実施し、この初期診断により正常と判断してから、正常動作を示す最初のウォッチドッグ信号ＷＤを電源ＩＣ５に出力する。電源ＩＣ５は、マイコン３のリセットを開始してから、当該リセットの解除後に少なくともマイコン３から最初のウォッチドッグ信号ＷＤが出力されるまでは、マイコン３の動作による他のＥＣＵ１５，１７への通信出力を禁止する。そして、電源ＩＣ５は、マイコン３から最初のウォッチドッグ信号ＷＤが出力されたことを確認した上で、通信出力を許可する。

よって、マイコン３のリセット解除後に、マイコン３の初期診断によってマイコン３が正常動作可能なことが確認されてから、マイコン３の動作による他のＥＣＵ１５，１７への通信出力が許可されることになる。

従って、マイコン３のリセット解除に伴う起動時において、他のＥＣＵ１５，１７へ不定な通信出力がされてしまうことを抑制することができる。
比較例として、例えば、電源ＩＣ５が、マイコン３のリセット解除と同時に、あるいはリセット解除後すぐに、エラー信号ＥＲＲをハイにして、通信出力を許可するように構成されていると仮定する。つまり、図４において、時刻ｔ２で、あるいは時刻ｔ２の直後に、電源ＩＣ５からのエラー信号ＥＲＲがハイにされると仮定する。

この仮定の構成の場合、エラー信号ＥＲＲがハイにされた時点において、マイコン３は、未だ初期診断が終了しておらず、異常である可能性がある。もし、マイコン３の初期診断で異常が検出されたのなら、マイコン３が異常であるのに通信出力が許可されることになる。よって、マイコン３が出力する不定な送信信号がトランシーバ７から他のＥＣＵ１５，１７へ送信されてしまい、車両における制御に支障をきたす可能性がある。

これに対して、上記実施形態のＥＣＵ１によれば、マイコン３が正常動作可能なことが確認されてから、他のＥＣＵ１５，１７への通信出力が許可されるため、不定な信号が送信されてしまうことを抑制することができる。

（ｂ）マイコン３は、初期診断により正常と判断してからの動作中において、定期的に実施する動作時診断（すなわち、電圧診断又は演算診断）により異常を検出した場合に、異常報知信号ＡＯＵＴ、ＢＯＵＴの何れかをローで出力する。そして、電源ＩＣ５は、通信出力を許可した後に、マイコン３からの異常報知信号ＡＯＵＴ、ＢＯＵＴの監視を行い、異常報知信号ＡＯＵＴ、ＢＯＵＴの何れかがローで出力された場合には、リセット条件が成立したと判断して、マイコン３のリセットを実施する。

よって、マイコン３に関する信頼性の高い監視も実現することができる。初期診断によって正常動作可能なことが確認された後のマイコン３が行う動作時診断は信憑性が高いと考えられ、その動作時診断によって異常が検出された場合に、マイコン３をリセットすることができるからである。

（ｃ）マイコン３は、初期診断により異常を検出した場合には、起動を停止し、ウォッチドッグ信号ＷＤを出力しない状態となる。そして、電源ＩＣ５は、マイコン３のリセットを解除してから規定時間が経過するまでに、マイコン３からウォッチドッグ信号ＷＤ信号が出力されない場合には、マイコン３のリセットを再度実施する。

よって、マイコン３に異常が生じた場合に、不定な通信出力がされてしまうことを抑制できると共に、マイコン３の正常復帰を試みることができる。
［１０．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

例えば、マイコン３から出力されるウォッチドッグ信号ＷＤは、データ値を有さないパルス信号であっても良い。この場合、電源ＩＣ５は、リセット条件として、上記《ｃ》の条件の代わりに、ウォッチドッグ信号ＷＤが制限時間内にレベル反転しない、という条件が成立したか否かを判断するように構成して良い。

マイコン３は、動作時診断として、電圧診断と演算診断とのうち、一方だけを実施するように構成されても良い。この場合、異常報知信号ＡＯＵＴ、ＢＯＵＴのうちの一方は無くて良い。また、電源ＩＣ５は、図３のＳ２４０にて、最初のウォッチドッグ信号ＷＤが出力されたと判断した場合に、更に別の所定条件が成立することで、図３のＳ２６０に進むように構成されても良い。

電源ＩＣ５と同様の役割を果たすものを、マイコン３とは別のマイコンによって実現しても良い。
本開示に記載のＥＣＵ１及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されても良い。あるいは、本開示に記載のＥＣＵ１及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されても良い。もしくは、本開示に記載のＥＣＵ１及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されても良い。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されても良い。ＥＣＵ１に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されても良い。

上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしても良い。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしても良い。また、上記実施形態の構成の一部を省略しても良い。

上述したＥＣＵ１の他、当該ＥＣＵ１を構成要素とするシステム、当該ＥＣＵ１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、制御装置における通信出力の禁止方法など、種々の形態で本開示を実現することもできる。

１…ＥＣＵ、３…マイコン、５…電源ＩＣ、７…トランシーバ、１５，１７…他のＥＣＵ。

Claims (3)

1. 少なくとも他の装置と通信するための処理を行うように構成された制御部（３）と、
   前記制御部に関する所定のリセット条件が成立した場合に、前記制御部をリセットするように構成された監視部（５）と、
   を備えた制御装置であって、
   前記制御部は、前記監視部によるリセットが解除された後、起動直後の自己診断である初期診断を実施し、前記初期診断により正常と判断してから、正常動作を示す所定の信号（ＷＤ）を前記監視部に出力するように構成され、
   前記監視部は、前記制御部のリセットを開始してから、当該リセットの解除後に少なくとも前記制御部から前記所定の信号が最初に出力されるまでは、前記制御部の動作による前記他の装置への通信出力を禁止し、前記所定の信号が出力されたことを確認した上で、前記通信出力を許可するように構成されている、
   制御装置。
2. 請求項１に記載の制御装置であって、
   前記制御部は、前記初期診断により正常と判断してからの動作中において、定期的に実施する自己診断である動作時診断により異常を検出した場合に、異常報知信号を前記監視部に出力するように構成され、
   前記監視部は、前記通信出力を許可した後に、前記制御部から前記異常報知信号が出力されたか否かの監視を行い、前記異常報知信号が出力された場合には、前記リセット条件が成立したと判断して、前記制御部のリセットを実施するように構成されている、
   制御装置。
3. 請求項１又は請求項２に記載の制御装置であって、
   前記制御部は、前記初期診断により異常を検出した場合には、前記所定の信号を出力しない状態となるように構成され、
   前記監視部は、前記制御部のリセットを解除してから規定時間が経過するまでに、前記制御部から前記所定の信号が出力されない場合には、前記制御部のリセットを再度実施するように構成されている、
   制御装置。

Images