JP3097580B2 - 電子制御装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、マイクロコンピュ
ータを複数備えた電子制御装置に関し、特に、その各マ
イクロコンピュータに制御プログラムや制御データをオ
ンボード書き込み可能な電子制御装置に関する。

【０００２】

【従来の技術】従来より、例えば特開平２−９９７４６
号公報に開示されているように、自動車用の電子制御装
置として、電気的にデータの書き換えが可能なＥＥＰＲ
ＯＭやフラッシュＥＥＰＲＯＭ（以下、フラッシュメモ
リという）などの不揮発性メモリを有するマイクロコン
ピュータを備え、その不揮発性メモリに格納された制御
プログラムや制御データを、市場への供給後でも書き換
えることができるようにしたものが提案されている。

【０００３】即ち、この種の電子制御装置において、マ
イクロコンピュータは、通常時には、不揮発性メモリに
格納されたデータにより構成される制御プログラムを実
行することでエンジン等の制御対象を制御する。これに
対して、不揮発性メモリ内のデータ（制御プログラムや
その実行時に参照される制御データ）を書き換える場合
には、電子制御装置に、別途用意されたメモリ書込装置
が接続され、これにより、上記メモリ書込装置とマイク
ロコンピュータとが、通信ラインを介して接続されるよ
うになっている。そして、マイクロコンピュータは、予
め定められた書き換え条件が成立すると、メモリ書込装
置から送信されて来る書込データ（つまり、新たな制御
プログラムや制御データを構成するデータ）を受信し
て、その書込データを不揮発性メモリに更新して書き込
む、といった書込処理を行う。

【０００４】よって、このような電子制御装置によれ
ば、マイクロコンピュータを当該装置に実装した状態
で、その不揮発性メモリに制御プログラムや制御データ
を更新して書き込む、所謂オンボード書き込みが可能と
なるため、市場への供給後に、何等かの原因で動作内容
（制御内容）を変更しなければならない事態が起こった
としても、容易に対応することができる。

【０００５】また、このようなオンボード書き込みが可
能な電子制御装置によれば、その製造工程において、マ
イクロコンピュータを装置に実装してから、その不揮発
性メモリに制御プログラムや制御データを新規に書き込
むことができる。

【０００６】

【発明が解決しようとする課題】ところで、近年、この
種の電子制御装置では、制御内容の複雑化に伴って、複
数のマイクロコンピュータを搭載したものが主流となっ
ており、このような電子制御装置においては、複数のマ
イクロコンピュータの各々について、オンボード書き込
みが可能となるように構成することが考えられる。

【０００７】また、一般的に、マイクロコンピュータを
搭載する電子制御装置においては、制御の安全性を確保
するために、マイクロコンピュータにて制御プログラム
が正常に実行されているか否かを監視して、異常の発生
時には、マイクロコンピュータをリセット（初期化）し
てやる必要がある。

【０００８】そして、複数のマイクロコンピュータを搭
載した電子制御装置の場合には、特定のマイクロコンピ
ュータが、他のマイクロコンピュータの動作（即ち、そ
のマイクロコンピュータにて制御プログラムが正常に実
行されているか否か）を監視して、異常検出時に上記他
のマイクロコンピュータをリセットするための動作を行
う、といった構成を採る場合がある。つまり、このよう
な構成を採れば、各マイクロコンピュータ毎に、その動
作を監視するための所謂ウォッチドックタイマ回路とい
ったハードウェア回路を設ける必要がなく、簡単な装置
構成で制御の安全性を確保できるからである。

【０００９】しかしながら、電子制御装置において、前
述したように複数のマイクロコンピュータの各々につい
てオンボード書き込みが可能で、且つ、特定のマイクロ
コンピュータが他のマイクロコンピュータの動作を監視
する、という構成を採った場合には、以下のような問題
が生じる。

【００１０】即ち、電子制御装置の製造工程において、
各マイクロコンピュータを実装してから、まず、他のマ
イクロコンピュータを監視する側のマイクロコンピュー
タ（以下、監視マイコンともいう）に制御プログラムな
どを新規に書き込み、その後、監視される側のマイクロ
コンピュータ（以下、被監視マイコンともいう）に制御
プログラムなどを新規に書き込もうとした時には、監視
マイコンが既に書き込まれた制御プログラムを実行して
通常動作を行うのに対し、被監視マイコンは通常の制御
プログラムを実行せずに書込処理を行うため、監視マイ
コンにより被監視マイコンが異常であると判断されてし
まう。この結果、書込処理を行っている（換言すれば、
制御プログラムなどの書き込み中である）被監視マイコ
ンが、監視マイコンの動作によってリセットされてしま
い、制御プログラムなどの書き込みを確実に行うことが
できなくなってしまうのである。

【００１１】本発明は、このような問題に着目したもの
であり、１つのマイクロコンピュータが他のマイクロコ
ンピュータの動作を監視するように構成された電子制御
装置において、監視される側のマイクロコンピュータよ
りも先に、監視する側のマイクロコンピュータに制御プ
ログラムを書き込むようにしても、監視される側のマイ
クロコンピュータに制御プログラムを確実に書き込むこ
とができるようにすることで、１つのマイクロコンピュ
ータが他のマイクロコンピュータを監視することと、各
マイクロコンピュータの各々について制御プログラムの
オンボード書き込みを可能にすることとを、確実に両立
させることを目的としている。

【００１２】

【課題を解決するための手段、及び発明の効果】上記目
的を達成するためになされた請求項１に記載の本発明の
電子制御装置は、電気的にデータの書き換えが可能な不
揮発性メモリを有する第１及び第２の２つのマイクロコ
ンピュータを備えている。

【００１３】そして、通常時において、第１のマイクロ
コンピュータは、自己の不揮発性メモリに格納されたデ
ータにより構成される第１の制御プログラムを実行する
ことで制御対象を制御し、第２のマイクロコンピュータ
は、自己の不揮発性メモリに格納されたデータにより構
成される第２の制御プログラムを実行することで制御対
象を制御する。そして更に、第１のマイクロコンピュー
タは、前記第１の制御プログラムの実行に伴い、第２の
マイクロコンピュータにて前記第２の制御プログラムが
正常に実行されているか否かを監視して、該第２の制御
プログラムの実行に異常が発生したと判断すると第２の
マイクロコンピュータをリセットするための動作を行
う。このため、第２のマイクロコンピュータの動作を監
視するための専用のハードウェア回路を設けることな
く、第２のマイクロコンピュータにおけるプログラム暴
走を回避して、制御の安全性を確保することができる。

【００１４】一方、両マイクロコンピュータの各々は、
予め定められた書き換え条件が成立すると、外部から送
信されて来る書込データを各自の不揮発性メモリに更新
して書き込むための書込処理を行うが、特に請求項１に
記載の電子制御装置は、監視動作阻止手段を備えてい
る。そして、この監視動作阻止手段が、第２のマイクロ
コンピュータが前記書込処理を行っている間は、第１の
マイクロコンピュータの動作によって第２のマイクロコ
ンピュータがリセットされるのを阻止する。

【００１５】具体的には、データの書き換えが可能な不
揮発性メモリが、例えばＥＥＰＲＯＭやフラッシュメモ
リである場合には、データの新規書き込み時或いは書き
換え時に、マイクロコンピュータへ通常の動作電圧より
も高い所定の書込電圧を供給してやる必要がある。この
ため、請求項１に記載の電子制御装置において、前記第
２のマイクロコンピュータは、少なくとも所定の書込電
圧が供給されることを条件として前記書込処理を行うよ
うに構成されている。そして、前記監視動作阻止手段
は、第２のマイクロコンピュータに前記書込電圧が供給
されているか否かを検出して、その書込電圧が供給され
ている時に、第１のマイクロコンピュータの動作によっ
て第２のマイクロコンピュータがリセットされるのを阻
止するようにしている。この電子制御装置によれば、当
該電子制御装置の製造工程において、各マイクロコンピ
ュータを実装してから、最初に、第１のマイクロコンピ
ュータ（詳しくは、その不揮発性メモリ）に第１の制御
プログラムの構成データを新規に書き込み、その後に、
監視される側の第２のマイクロコンピュータ（詳しく
は、その不揮発性メモリ）に第２の制御プログラムの構
成データを新規に書き込む、といった書き込み順序を採
った場合にも、書込処理を行っている最中の第２のマイ
クロコンピュータが、監視する側の第１のマイクロコン
ピュータの動作によってリセットされてしまうことが防
止される。

【００１６】従って、本発明の電子制御装置によれば、
請求項３に記載のように、監視される側の第２のマイク
ロコンピュータよりも先に、監視する側の第１のマイク
ロコンピュータに制御プログラム（第１の制御プログラ
ム）を書き込むようにしても、監視される側の第２のマ
イクロコンピュータに制御プログラム（第２の制御プロ
グラム）を確実に書き込むことができ、延いては、両マ
イクロコンピュータの各々について、如何なる順序で制
御プログラムを書き込むようにしても、その書き込みを
確実に行うことができるようになる。この結果、１つの
マイクロコンピュータが他のマイクロコンピュータを監
視することと、各マイクロコンピュータの各々について
制御プログラムのオンボード書き込みを可能にすること
とを、確実に両立させることができる。

【００１７】

【００１８】

【００１９】そして更に、この電子制御装置によれば、
第２のマイクロコンピュータが書込処理を行っているか
否かを、特別な処理や回路を設けることなく簡単に検出
することができる。また、請求項２に記載のように、第
１のマイクロコンピュータが、前記第２の制御プログラ
ムの実行に異常が発生したと判断すると第２のマイクロ
コンピュータへリセット信号を出力するのであれば、前
記監視動作阻止手段は、第１のマイクロコンピュータか
ら出力されたリセット信号が第２のマイクロコンピュー
タに入力されるのを阻止することで、第２のマイクロコ
ンピュータがリセットされるのを阻止するように構成す
ることができる。

【００２０】そして、このようにすれば、第２のマイク
ロコンピュータが、前記書込処理を行っている時に第１
のマイクロコンピュータの動作によってリセットされて
しまうことを確実に防止できる。尚、この場合の監視動
作阻止手段としては、第１のマイクロコンピュータから
第２のマイクロコンピュータへ至るリセット信号の信号
ラインを連通及び遮断する、スイッチング素子や論理回
路素子を用いることができ、簡単な構成で確実な効果を
得ることができる。

【００２１】一方、前述した目的を達成するための一層
好適な電子制御装置としては、請求項４に記載の電子制
御装置を挙げることができる。即ち、請求項４に記載の
電子制御装置は、請求項１に記載の電子制御装置と同様
の第１及び第２のマイクロコンピュータに加えて、シス
テム監視手段と阻止手段とを備えており、第１のマイク
ロコンピュータは、自己の不揮発性メモリに格納された
第１の制御プログラムの実行に伴い、所定時間以内毎に
自己が正常であることを示すモニタ信号を出力すると共
に、第２のマイクロコンピューにてその不揮発性メモリ
内の第２の制御プログラムが正常に実行されているか否
かを監視して、該第２の制御プログラムの実行に異常が
発生したと判断すると前記モニタ信号の出力を停止す
る。

【００２２】そして、システム監視手段が、第１のマイ
クロコンピュータから出力される前記モニタ信号を監視
して、そのモニタ信号が前記所定時間よりも長く設定さ
れた時間以内に出力されない場合に、第１及び第２の両
マイクロコンピュータへリセット信号を出力する。

【００２３】また更に、阻止手段が、前記両マイクロコ
ンピュータの少なくとも何れか一方が前記書込処理を行
っている間は、前記システム監視手段により前記両マイ
クロコンピュータがリセットされるのを阻止する。具体
的には、請求項４に記載の電子制御装置において、両マ
イクロコンピュータは、少なくとも所定の書込電圧が供
給されることを条件として前記書込処理を行うように構
成されており、阻止手段は、両マイクロコンピュータの
少なくとも何れか一方に前記書込電圧が供給されている
か否かを検出して、該書込電圧が供給されている時に、
前記システム監視手段により両マイクロコンピュータが
リセットされるのを阻止するようにしている。このよう
な請求項４に記載の電子制御装置によれば、両マイクロ
コンピュータが書込処理を行っていない通常時におい
て、第１のマイクロコンピュータ自身に異常が生じた場
合はもとより、第２のマイクロコンピュータに異常が生
じて、その異常を第１のマイクロコンピュータが検出し
た場合にも、第１のマイクロコンピュータによる上記モ
ニタ信号の出力が停止し、これに伴い、システム監視手
段から両マイクロコンピュータへリセット信号が出力さ
れる。よって、両マイクロコンピュータの通常時におけ
る異常を、１つのシステム監視手段だけで検出及び回避
することができる。

【００２４】しかも、両マイクロコンピュータの少なく
とも何れか一方が書込処理を行っている時には、上記阻
止手段の作用により、両マイクロコンピュータがシステ
ム監視手段によりリセットされることが防止される。従
って、この請求項４に記載の電子制御装置によれば、両
マイクロコンピュータの各々について、如何なる順序で
制御プログラムを書き込むようにしても、その書き込み
を確実に行うことができるようになり、しかも、極めて
簡単な構成で、両マイクロコンピュータを監視すること
と、両マイクロコンピュータの各々について制御プログ
ラムのオンボード書き込みを可能にすることとを、両立
させることができる。

【００２５】そして更に、阻止手段は、両マイクロコン
ピュータの少なくとも何れか一方に前記書込電圧が供給
されているか否かを検出して、該書込電圧が供給されて
いる時に、前記システム監視手段により両マイクロコン
ピュータがリセットされるのを阻止するように構成され
ている。

【００２６】このため、請求項１に記載の電子制御装置
と同様の効果、即ち、両マイクロコンピュータの何れか
が書込処理を行っているか否かを特別な処理や回路を設
けることなく簡単に検出できる、という効果を得ること
ができる。また、請求項４に記載の電子制御装置におい
て、阻止手段を、請求項５に記載の如く、システム監視
手段から出力されたリセット信号が両マイクロコンピュ
ータに入力されるのを阻止することで、両マイクロコン
ピュータがリセットされるのを阻止するように構成すれ
ば、前述した請求項２に記載の電子制御装置と同様に、
両マイクロコンピュータの何れかが書込処理を行ってい
る時にリセットされてしまうことを確実に防止できる。

【００２７】一方、請求項４に記載の電子制御装置にお
いて、請求項６に記載のように、システム監視手段が、
一定周期毎にカウント動作を行うと共に第１のマイクロ
コンピュータから出力される前記モニタ信号によりカウ
ント値が初期化されるカウンタと、このカウンタのカウ
ント値が所定値に達すると、前記両マイクロコンピュー
タへリセット信号を出力するリセット信号出力手段とか
らなり、更に、第１のマイクロコンピュータが、自己の
不揮発性メモリ内の第１の制御プログラムの実行に伴
い、前記カウンタへ、該カウンタのカウント値が初期化
されてから前記所定値に達するまでの時間よりも短い周
期で前記モニタ信号を出力する、という構成であれば、
前記阻止手段は、前記カウンタのカウント動作を強制的
に停止させることで、両マイクロコンピュータがリセッ
トされるのを阻止するように構成することができる。

【００２８】つまり、請求項６に記載の電子制御装置で
は、システム監視手段が、所謂ウォッチドックタイマ回
路であり、そのウォッチドックタイマ用のカウンタのカ
ウント動作を停止させることで、両マイクロコンピュー
タへリセット信号が出力されるのを禁止するようにして
いる。そして、この電子制御装置によれば、両マイクロ
コンピュータがリセットされてしまうことを、簡単な構
成で防止することができる。

【００２９】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を用いて説明する。尚、本発明の実施の形態は、
下記のものに何ら限定されることなく、本発明の技術的
範囲に属する限り、種々の形態を採り得ることは言うま
でもない。

【００３０】［第１実施形態］まず図１は、自動車に搭
載されて内燃機関型エンジン及び自動変速機の制御を行
う電子制御装置（以下、ＥＣＵという）２と、ＥＣＵ２
に内蔵されたエンジン制御用及び自動変速機制御用の制
御プログラムや制御データを書き換える際、或いは新規
に書き込む際にＥＣＵ２に接続されるメモリ書込装置４
とからなる、第１実施形態の電子制御装置のメモリ書換
システムの全体構成を表すブロック図である。

【００３１】図１に示すように、ＥＣＵ２は、エンジン
の回転状態に応じたパルス信号やオン／オフ信号を出力
する種々のセンサ８からの信号を入力して波形整形する
波形整形回路１０と、エンジンの吸入空気量やスロット
ル開度などに応じたアナログ信号を出力する種々のアナ
ログセンサ１２からの信号を入力してノイズ除去を行う
入力回路１４と、入力回路１４からのアナログ信号をデ
ジタル信号に変換して出力するＡ／Ｄ変換器（ＡＤＣ）
１６と、波形整形回路１０及びＡ／Ｄ変換器１６からの
信号に基づきエンジンに対する燃料噴射量や点火時期な
どの制御量を演算し、その演算結果に基づき制御信号を
出力するエンジン制御用のシングルチップマイクロコン
ピュータ（以下、メインマイコン或いは単にマイコンと
いう）１８と、メインマイコン１８からの制御信号を受
けて、エンジンに取付けられたインジェクタやイグナイ
タなどのアクチュエータ２２ａを駆動する出力回路２０
ａとを備えている。

【００３２】そして更に、ＥＣＵ２は、メインマイコン
１８との間でＤＭＡ（Direct Memory Access）通信ライ
ン２４を介してスロットル開度やトルク制御信号といっ
た制御情報の授受を行うと共に、自動変速機の変速タイ
ミングなどを演算して制御信号を出力する自動変速機制
御用のシングルチップマイクロコンピュータ（以下、サ
ブマイコン或いは単にマイコンという）２６と、サブマ
イコン２６からの制御信号を受けて、自動変速機に取付
けられた変速用リニアソレノイドなどのアクチュエータ
２２ｂを駆動する出力回路２０ｂとを備えている。

【００３３】また、ＥＣＵ２は、メインマイコン１８と
サブマイコン２６の夫々が外部装置としてのメモリ書込
装置４との間でシリアルデータ通信を行うための通信回
路２８を備えており、この通信回路２８は、メモリ書込
装置４に図示しないコネクタを介して接続されるシリア
ル通信ライン３０と、当該ＥＣＵ２内にて両マイコン１
８，２６に共通して接続されたシリアル通信ライン３２
との間に設けられている。尚、シリアル通信ライン３２
は、通信回路２８から両マイコン１８，２６に至る経路
の途中で、通信回路２８とメインマイコン１８を結ぶシ
リアル通信ライン３２ａと、通信回路２８とサブマイコ
ン２６を結ぶシリアル通信ライン３２ｂとに分岐してい
る。

【００３４】そして、通信回路２８は、メモリ書込装置
４からシリアル通信ライン３０を介して送信されて来る
データを、シリアル通信ライン３２を介して両マイコン
１８，２６に送り、両マイコン１８，２６からシリアル
通信ライン３２を介して受けたデータを、シリアル通信
ライン３０を介してメモリ書込装置４に送信するように
構成されている。

【００３５】また更に、ＥＣＵ２は、車両に搭載された
バッテリＢＴから直接供給される電圧（以下、バッテリ
電圧という）ＶB と、バッテリＢＴから車両のイグニッ
ションスイッチＩＧＳを介して供給される電圧（以下、
ＩＧ電圧という）ＶIGとを受けて、後述するように、上
記両マイコン１８，２６とその周辺回路（Ａ／Ｄ変換器
１６や出力回路２０ａ，２０ｂなど）に様々な種類の電
圧を供給する電源回路３４も備えている。

【００３６】尚、電源回路３４には、メインマイコン１
８から後述するように出力される、モニタ信号としての
ウォッチドックタイマクリア信号（以下、ＷＤＣ信号と
いう）Ｗ１が入力されている。そして、電源回路３４
は、メインマイコン１８からのＷＤＣ信号Ｗ１が予め設
定された時間以内にレベル反転しない場合に、メインマ
イコン１８又はサブマイコン２６の何れかに異常が発生
したと判断して、両マイコン１８，２６へ、それらをリ
セットするためのリセット信号Ｒ１を出力するウォッチ
ドックタイマ機能を有している。

【００３７】次に、ＥＣＵ２に搭載されたメインマイコ
ン１８とサブマイコン２６の内部構成について、図２を
用いて説明する。図２に示すように、両マイコン１８，
２６の各々は、プログラムに従い動作する周知のＣＰＵ
４０と、ＣＰＵ４０を動作させるのに必要なプログラム
及びデータを格納する不揮発性のフラッシュメモリ４２
及びマスクＲＯＭ４４と、ＣＰＵ４０の演算結果などを
一時記憶するためのＲＡＭ４６と、信号の入出力を行う
ためのＩ／Ｏ（図示省略）とを備えている。

【００３８】ここで、フラッシュメモリ４２は、所定の
書込電圧（本実施形態では７．５Ｖ）ＶPPが印加された
状態でデータの書き換え（詳しくは、データの消去及び
書き込み）が可能な不揮発性ＲＯＭである。そして、両
マイコン１８，２６のフラッシュメモリ４２には、ＥＣ
Ｕ２の製造工程において両マイコン１８，２６がＥＣＵ
２へ実装された後に、ＣＰＵ４０により実行されるエン
ジン制御用または自動変速機制御用の制御プログラム及
びその実行時に参照される制御データが新規に書き込ま
れる。詳しくは、メインマイコン１８のフラッシュメモ
リ４２には、エンジン制御用の制御プログラム及び制御
データを構成するデータが新規に書き込まれ、サブマイ
コン２６のフラッシュメモリ４２には、自動変速機制御
用の制御プログラム及び制御データを構成するデータが
新規に書き込まれる。

【００３９】また、メインマイコン１８のフラッシュメ
モリ４２に書き込まれるエンジン制御用の制御プログラ
ムには、所定時間ＴS1（本実施形態では４ｍｓ）毎に信
号レベルが反転するＷＤＣ信号Ｗ１を電源回路３４へ出
力するための信号出力用プログラムと、サブマイコン２
６の動作を監視するための監視処理用プログラムとが含
まれており、サブマイコン２６のフラッシュメモリ４２
に書き込まれる自動変速機制御用の制御プログラムに
は、所定時間ＴS2（本実施形態では上記時間ＴS1と同じ
４ｍｓ）毎に信号レベルが反転するＷＤＣ信号Ｗ２を図
１の如くメインマイコン１８へ出力するための信号出力
用プログラムが含まれている。

【００４０】尚、以下の説明において、フラッシュメモ
リ４２に制御プログラムなどを新規に書き込む旨の記載
が特に無い場合には、両マイコン１８，２６のフラッシ
ュメモリ４２には、各マイコン１８，２６の役割に夫々
対応する上記制御プログラム及び制御データが既に書き
込まれているものとする。

【００４１】一方、マスクＲＯＭ４４は、データの書き
換えが不能な不揮発性ＲＯＭであり、このマスクＲＯＭ
４４には、マイコン１８，２６のリセット（初期化）解
除の直後に実行されるブートプログラムが、両マイコン
１８，２６のＥＣＵ２への実装前に予め格納されてい
る。

【００４２】また、両マイコン１８，２６のマスクＲＯ
Ｍ４４には、メインマイコン１８とサブマイコン２６と
を識別可能な識別コードが予め格納されており、本実施
形態において、メインマイコン１８の識別コードは「０
００１」であり、サブマイコン２６の識別コードは「０
０１０」である。

【００４３】尚、両マイコン１８，２６のマスクＲＯＭ
４４に夫々格納されているブートプログラムの処理内容
は同一である。また、マスクＲＯＭ４４に代えて、フラ
ッシュメモリ４２と同様に電気的にデータの書き換えが
可能な不揮発性ＲＯＭを用いても、データの書き換えが
禁止されていれば良い。

【００４４】一方更に、両マイコン１８，２６の内部に
おいて、前述したシリアル通信ライン３２（詳しくは、
メインマイコン１８の場合にはシリアル通信ライン３２
ａであり、サブマイコン２６の場合にはシリアル通信ラ
イン３２ｂである）にシリアルデータを送信するための
電気的経路には、その経路をＣＰＵ４０からの指令に応
じて連通又は遮断するスイッチ素子ＳＷ１が設けられて
おり、同様に、シリアル通信ライン３２からシリアルデ
ータを受信するための電気的経路には、その経路をＣＰ
Ｕ４０からの指令に応じて連通又は遮断するスイッチ素
子ＳＷ２が設けられている。

【００４５】また、図１に示すように、メインマイコン
１８とサブマイコン２６には、電源回路３４から共通の
電源ライン３８を介して、フラッシュメモリ４２にデー
タを書き込む際に必要な上記書込電圧ＶPPが供給される
ようになっている。そして、図２に示すように、両マイ
コン１８，２６の内部において、上記電源ライン３８か
ら書込電圧ＶPPを受けるための電気的経路にも、その経
路をＣＰＵ４０からの指令に応じて連通又は遮断するス
イッチ素子ＳＷ３が設けられている。尚、上記スイッチ
素子ＳＷ１〜ＳＷ３の初期状態は全て連通状態である。

【００４６】このような両マイコン１８，２６におい
て、ＣＰＵ４０は、リセット解除の直後に、マスクＲＯ
Ｍ４４内のブートプログラムの実行を開始し、当該ＥＣ
Ｕ２にメモリ書込装置４が接続されていない通常時に
は、そのブートプログラムにてフラッシュメモリ４２内
の制御プログラム（メインマイコン１８であれば、エン
ジン制御用の制御プログラムであり、サブマイコン２６
であれば、自動変速機制御用の制御プログラム）をコー
ルして、その制御プログラムを実行することにより、エ
ンジン或いは自動変速機を制御するための制御処理を行
う。

【００４７】そして更に、サブマイコン２６は、上記自
動変速機制御用の制御プログラム（詳しくは、その中に
含まれた前述の信号出力用プログラム）の実行に伴い、
メインマイコン１８へ所定時間ＴS2毎に信号レベルが反
転するＷＤＣ信号Ｗ２を出力する。また、メインマイコ
ン１８は、上記エンジン制御用の制御プログラム（詳し
くは、その中に含まれた前述の信号出力用プログラム及
び監視処理用プログラム）の実行に伴い、電源回路３４
へ所定時間ＴS1毎に信号レベルが反転するＷＤＣ信号Ｗ
１を出力すると共に、サブマイコン２６からのＷＤＣ信
号Ｗ２を監視し、そのＷＤＣ信号Ｗ２が上記所定時間Ｔ
S2よりも長く設定された判定時間ＴH2（＞ＴS2）以内に
レベル反転しない場合には、サブマイコン２６における
制御プログラムの実行に異常が発生したと判断して、電
源回路３４への自己のＷＤＣ信号Ｗ１のレベル反転出力
を停止する。

【００４８】一方、両マイコン１８，２６のＣＰＵ４０
は、ブートプログラムの実行を開始した際に、後述する
ように書込モードであると判定すると、フラッシュメモ
リ４２内の制御プログラムを即座にコールすることなく
ブートプログラムの実行を続け、これにより、メモリ書
込装置４から送信されて来る書込データ（即ち、フラッ
シュメモリ４２に書き込むべき新たな制御プログラム及
び制御データを構成するデータ）をフラッシュメモリ４
２に更新して書き込むための書込処理を行う。そして、
この書込処理を終了した後、フラッシュメモリ４２に書
き込まれた新たな制御プログラムをコールして、前述の
通常時と同様の処理を行う。

【００４９】次に、ＥＣＵ２に設けられた電源回路３４
の構成及び機能について、図３を用いて説明する。図３
に示すように、電源回路３４は、定電圧出力用の２つの
ＰＮＰ型トランジスタＴｒ１，Ｔｒ２と、イグニッショ
ンスイッチＩＧＳのオン時に供給されるＩＧ電圧ＶIGを
受けて、トランジスタＴｒ１から両マイコン１８，２６
やＡ／Ｄ変換器１６などの各周辺回路へ、所定の動作電
圧（本実施形態では５Ｖ）ＶOMを供給させるメイン電源
作成部５０と、バッテリＢＴから常時供給されるバッテ
リ電圧ＶB を受けて、トランジスタＴｒ２から両マイコ
ン１８，２６へ、電源バックアップ用のバックアップ電
圧（本実施形態では上記動作電圧ＶOMと同じ５Ｖ）ＶOS
を常時供給させるサブ電源作成部５２とを備えている。

【００５０】尚、サブ電源作成部５２を設けて両マイコ
ン１８，２６にバックアップ電圧ＶOSを常時供給するよ
うにしているのは、本実施形態においては、両マイコン
１８，２６に内蔵されたＲＡＭ４６の一部の記憶領域
が、イグニッションスイッチＩＧＳのオフ時にも継続し
てデータを保持するスタンバイＲＡＭとして設定されて
いるためであり、このようなスタンバイＲＡＭが不要な
場合には、サブ電源作成部５２及びトランジスタＴｒ２
は省略することができる。

【００５１】そして、電源回路３４は、後述するように
メモリ書込装置４から択一的に出力される書込許可信号
Ｋ１，Ｋ２を２本の信号線３６ａ，３６ｂを介して入力
すると共に、その書込許可信号Ｋ１，Ｋ２のうちの何れ
か一方が入力され、且つ、イグニッションスイッチＩＧ
Ｓのオンに伴い上記動作電圧ＶOMが出力されている間、
バッテリ電圧ＶB 或いはＩＧ電圧ＶIGから前述した書込
電圧ＶPPを生成して、その書込電圧ＶPPを電源ライン３
８（延いては、両マイコン１８，２６）に出力する書込
電圧作成部５４を備えている。

【００５２】そして更に、電源回路３４は、メインマイ
コン１８からのＷＤＣ信号Ｗ１が前述した所定時間ＴS1
よりも長く設定された判定時間ＴH1（＞ＴS1）以内にレ
ベル反転したか否かを検出するためのウォッチドック検
出部５６と、このウォッチドック検出部５６によりＷＤ
Ｃ信号Ｗ１が上記判定時間ＴH1以内にレベル反転しなか
ったと検出された時、及び、イグニッションスイッチＩ
ＧＳがオンされて上記動作電圧ＶOMが立ち上がった時
に、メインマイコン１８とサブマイコン２６とにハイア
クティブのリセット信号Ｒ１を出力して両マイコン１
８，２６をリセットするリセット制御部５８とを備えて
いる。

【００５３】ここで、ウォッチドック検出部５６は、図
示されない発信回路からのクロック信号により一定周期
ＴC 毎にアップカウント動作を行うウォッチドックカウ
ンタ５６ａと、メインマイコン１８からのＷＤＣ信号Ｗ
１がレベル変化する毎に、ウォッチドックカウンタ５６
ａをリセット（即ち、ウォッチドックカウンタ５６ａの
カウント値をゼロクリア）するためのパルス信号を出力
するエッジ検出回路５６ｂと、このエッジ検出回路５６
ｂからのパルス信号と上記書込電圧作成部５４からの書
込電圧ＶPPとを入力し、書込電圧作成部５４から書込電
圧ＶPPが出力されていない時にはエッジ検出回路５６ｂ
から上記パルス信号が出力される毎にウォッチドックカ
ウンタ５６ａをリセットし、書込電圧作成部５４から書
込電圧ＶPPが出力されている時にはウォッチドックカウ
ンタ５６ａを継続してリセットし続けるオア回路５６ｃ
とから構成されている。

【００５４】そして、リセット制御部５８は、ウォッチ
ドックカウンタ５６ａのカウント値がオーバーフロー値
Ｍに達すると、メインマイコン１８からのＷＤＣ信号Ｗ
１が上記判定時間ＴH1以内にレベル反転しなかったと判
断して、両マイコン１８，２６にリセット信号Ｒ１を出
力する。尚、ウォッチドックカウンタ５６ａがアップカ
ウント動作を行う一定周期ＴC に、ウォッチドックカウ
ンタ５６ａのオーバーフロー値Ｍを乗じた時間（ＴC ×
Ｍ）が、上記判定時間ＴH1である。

【００５５】よって、書込電圧作成部５４から書込電圧
ＶPPが出力されていない場合には、メインマイコン１８
からのＷＤＣ信号Ｗ１が上記判定時間ＴH1以内にレベル
反転しなかった時に、両マイコン１８，２６がリセット
制御部５８によりリセットされるが、書込電圧作成部５
４から書込電圧ＶPPが出力されている場合には、オア回
路５６ｃによりウォッチドックカウンタ５６ａがリセッ
トされ続けて、そのアップカウント動作が強制的に停止
されるため、リセット制御部５８による両マイコン１
８，２６のリセットが阻止される。

【００５６】一方更に、電源回路３４は、ＩＧ電圧ＶIG
に基づきバッテリＢＴの出力電圧が低下したことを検出
する低電圧検出部６０も備えており、図１では示されて
いないが、バッテリＢＴの出力電圧が所定値以下になる
と、この低電圧検出部６０からメインマイコン１８及び
サブマイコン２６の少なくとも何れか一方に、報知信号
ＤＩが出力されるようになっている。次に、メモリ書込
装置４は、ＣＰＵ，ＲＯＭ，ＲＡＭなどを備えた周知の
マイクロコンピュータを主要部として構成されており、
図示しないコネクタを介してＥＣＵ２に接続される。そ
して、この接続時において、メモリ書込装置４は、図１
に示すように、ＥＣＵ２のシリアル通信ライン３０と、
電源回路３４（書込電圧作成部５４）から伸びた２本の
信号線３６ａ，３６ｂとに接続される。

【００５７】また、特に図示はされていないが、メモリ
書込装置４は、当該装置を作動させるための起動スイッ
チや、メインマイコン１８とサブマイコン２６のうちの
何れのフラッシュメモリ４２にデータを書き込むかを選
択するための選択スイッチに加えて、更に、その書き込
むデータであってＥＣＵ２へ送信する書込データ（新た
な制御プログラム及び制御データを構成するデータ）を
格納したＲＯＭやフロッピーディスクなどの記憶媒体
と、様々なメッセージを表示するための表示部とを備え
ている。

【００５８】そして、上記記憶媒体には、ＥＣＵ２へ送
信する書込データと共に、その書込データが書き込まれ
るべきマイコン（メインマイコン１８とサブマイコン２
６のうちの何れか）の識別コードが格納されている。ま
た、当然ではあるが、メインマイコン１８のフラッシュ
メモリ４２に書き込むべき書込データには、メインマイ
コン１８が電源回路３４へＷＤＣ信号Ｗ１を出力するた
めの信号出力用プログラムと、サブマイコン２６の動作
を監視するための監視処理用プログラムとが含まれてお
り、サブマイコン２６のフラッシュメモリ４２に書き込
むべき書込データには、サブマイコン２６がメインマイ
コン１８へＷＤＣ信号Ｗ２を出力するための信号出力用
プログラムが含まれている。

【００５９】次に、本第１実施形態のメモリ書換システ
ムにおいて、メモリ書込装置４で実行される処理と、Ｅ
ＣＵ２の両マイコン１８，２６で実行される処理につい
て、図４〜図６のフローチャートを用いて説明する。
尚、図４は、メモリ書込装置４で実行される処理を表す
フローチャートである。また、図５は、両マイコン１
８，２６の各々で実行される処理を表すフローチャート
であり、そのステップ（以下、単に「Ｓ」と記す）２０
０〜Ｓ２６０の処理が、マスクＲＯＭ４４内のブートプ
ログラムによって実行され、Ｓ２７０の処理が、フラッ
シュメモリ４２内の制御プログラムによって実行され
る。そして、図６は、メインマイコン１８にて、フラッ
シュメモリ４２内の制御プログラムに含まれた監視処理
用プログラムにより、サブマイコン２６の動作を監視す
るために実行されるサブマイコン監視処理を表すフロー
チャートである。

【００６０】まず、メモリ書込装置４では、作業者によ
りＥＣＵ２に接続された後に前述した起動スイッチがオ
ンされると、内部に備えたマイクロコンピュータが図４
に示す処理の実行を開始する。尚、メインマイコン１８
のフラッシュメモリ４２にデータを新規に書き込む場合
或いは既に格納されたデータを書き換える場合には、予
め、前記選択スイッチによりメインマイコン１８がデー
タの書き込み対象として選択されていると共に、前記記
憶媒体には、メインマイコン１８の識別コードとそのフ
ラッシュメモリ４２に書き込むべき書込データとが格納
されているものとする。また同様に、サブマイコン２６
のフラッシュメモリ４２にデータを新規に書き込む場合
或いは既に格納されたデータを書き換える場合には、予
め、前記選択スイッチによりサブマイコン２６がデータ
の書き込み対象として選択されていると共に、前記記憶
媒体には、サブマイコン２６の識別コードとそのフラッ
シュメモリ４２に書き込むべき書込データとが格納され
ているものとする。

【００６１】図４に示すように、メモリ書込装置４側で
処理の実行が開始されると、最初のＳ１００にて、前記
選択スイッチによりメインマイコン１８がデータの書き
込み対象として選択されている場合には、信号線３６ａ
にハイアクティブの書込許可信号Ｋ１を出力し、また、
サブマイコン２６がデータの書き込み対象として選択さ
れている場合には、信号線３６ｂにハイアクティブの書
込許可信号Ｋ２を出力する。尚、このようにメモリ書込
装置４からＥＣＵ２へ書込許可信号Ｋ１，Ｋ２の何れか
一方が出力されることにより、ＥＣＵ２側の電源回路３
４（書込電圧作成部５４）は、両マイコン１８，２６へ
書込電圧ＶPPを供給可能な状態となる。

【００６２】そして、続くＳ１１０にて、前記記憶媒体
に格納されている識別コードと書込データを読み出し
て、その読み出した識別コードと書込データとをＥＣＵ
２へシリアル通信ライン３０を介して順次送信する。
尚、この送信動作により、ＥＣＵ２へは、まず、識別コ
ードが送信され、次いで、書込データが送信される。

【００６３】すると、後述するように、上記Ｓ１１０で
送信された書込データは、ＥＣＵ２側の両マイコン１
８，２６のうち、データの書き込み対象である方のフラ
ッシュメモリ４２に更新して書き込まれ、その後、ＥＣ
Ｕ２側からその書き込まれたデータが読み出されて返送
されて来るため、続くＳ１２０にて、ＥＣＵ２からのデ
ータを受信し、更に続くＳ１３０にて、前記記憶媒体に
格納されている書込データと、上記Ｓ１２０で受信した
ＥＣＵ２からのデータとをベリファイ（比較）する。

【００６４】そして、続くＳ１４０にて、上記Ｓ１３０
のベリファイ結果を判定し、前記記憶媒体に格納されて
いる書込データとＥＣＵ２からのデータとが一致してい
たならば、データの書き込み対象であるマイコンのフラ
ッシュメモリ４２に、上記Ｓ１１０で送信した書込デー
タが正しく書き込まれたと判断して、Ｓ１５０に進む。
そして、このＳ１５０にて、上記Ｓ１１０で信号線３６
ａ，３６ｂの何れかに出力していた書込許可信号Ｋ１，
Ｋ２をロウレベルに戻し、その後、当該処理を終了す
る。

【００６５】一方、上記Ｓ１４０にて、前記記憶媒体に
格納されている書込データとＥＣＵ２からのデータとが
一致していないと判定した場合には、Ｓ１６０に移行し
て、データの書き込みに失敗したことを示す警告メッセ
ージを前述の表示部に表示し、その後、当該処理を終了
する。

【００６６】次に、ＥＣＵ２側では、イグニッションス
イッチＩＧＳがオンされると、両マイコン１８，２６の
各々が、前述した電源回路３４のリセット制御部５８の
働きによりリセット状態から動作を開始して、図５に示
す処理を実行する。即ち、両マイコン１８，２６の各Ｃ
ＰＵ４０は、最初に、マスクＲＯＭ４４に格納されたブ
ートプログラムの実行を開始し、まずＳ２００にて、電
源回路３４から電源ライン３８を介して書込電圧ＶPPが
供給されているか否かを判定する。

【００６７】ここで、イグニッションスイッチＩＧＳが
オンされた時点で、当該ＥＣＵ２にメモリ書込装置４が
接続されており、しかも、前述した図４におけるＳ１０
０の処理によりメモリ書込装置４から書込許可信号Ｋ
１，Ｋ２の何れかが出力されていれば、電源回路３４の
書込電圧作成部５４から電源ライン３８を介して両マイ
コン１８，２６に書込電圧ＶPPが供給されるため、上記
Ｓ２００にて肯定判定される（書込電圧ＶPPが供給され
ていると判定される）。

【００６８】そこで、Ｓ２００で肯定判定された場合に
は、次のＳ２１０に進んで、前述した図４におけるＳ１
１０の処理によりメモリ書込装置４からシリアル通信ラ
イン３０を介して送信されて来る識別コードを受信し、
続くＳ２２０にて、その受信した識別コードと、マスク
ＲＯＭ４４に格納されている自分の識別コードとが一致
しているか否かを判定する。

【００６９】そして、上記Ｓ２２０にて、両識別コード
が一致していると判定した場合には、通常動作モードで
はない書込モードであると判断して、次のＳ２３０に進
む。そして、このＳ２３０にて、前述したようにメモリ
書込装置４から上記識別コードに続いて送信されて来る
書込データ（制御プログラムや制御データを構成するデ
ータ）を受信し、その受信した書込データをフラッシュ
メモリ４２内に更新して書き込む。そして更に、続くＳ
２４０にて、上記Ｓ２３０でフラッシュメモリ４２に書
き込んだ全てのデータを読み出して、メモリ書込装置４
へ送信する。

【００７０】すると、このＳ２４０でメモリ書込装置４
へ送信されるデータは、前述したように、メモリ書込装
置４側にて、前記記憶媒体に格納されている書込データ
と比較され、両データが一致していれば、ＥＣＵ２側で
のデータ書き込みが無事終了したと判断されて、当該Ｅ
ＣＵ２へ出力されていた書込許可信号Ｋ１，Ｋ２がロウ
レベルに戻る。そして、これに伴い、当該ＥＣＵ２側で
は、電源回路３４の書込電圧作成部５４が書込電圧ＶPP
の供給を停止する。

【００７１】そこで、続くＳ２５０にて、電源回路３４
からの書込電圧ＶPPの供給が停止されるまで待機し、書
込電圧ＶPPの供給が停止したと判定すると、フラッシュ
メモリ４２にメモリ書込装置４からの書込データを正し
く書き込むことができたと判断して、次のＳ２６０に進
む。

【００７２】そして、このＳ２６０にて、フラッシュメ
モリ４２内の制御プログラムへジャンプし、上記Ｓ２３
０の処理でフラッシュメモリ４２に書き込まれた制御プ
ログラムの実行を開始する。これにより、通常時の動作
に移行して、図５のＳ２７０に示すように、メインマイ
コン１８の場合であれば、エンジンを制御するための制
御処理を行い、また、サブマイコン２６の場合であれ
ば、自動変速機を制御するための制御処理を行う。

【００７３】一方、上記Ｓ２００にて、書込電圧ＶPPが
供給されていないと判定した場合には、通常動作モード
であると判断して、上記Ｓ２１０〜Ｓ２５０の処理を実
行することなくＳ２６０に進む。つまり、メモリ書込装
置４から当該ＥＣＵ２へ書込許可信号Ｋ１，Ｋ２が出力
されていない通常時には、フラッシュメモリ４２に既に
書き込まれている制御プログラムの実行を即座に開始す
るのである。

【００７４】また、上記Ｓ２００にて書込電圧ＶPPが供
給されていると判定しても、上記Ｓ２２０にて、メモリ
書込装置４からの識別コードと、マスクＲＯＭ４４に格
納されている自分の識別コードとが一致してないと判定
した場合には、データの書き込み対象であるマイコンが
自分ではない（換言すれば、自分以外のマイコンがデー
タの書き込み対象である）と判断して、Ｓ２８０に移行
する。そして、このＳ２８０にて、図２に示した３つの
スイッチ素子ＳＷ１〜ＳＷ３を全て遮断状態（オフ状
態）にし、その後、Ｓ２６０に進む。

【００７５】つまり、本実施形態のＥＣＵ２では、２つ
のマイコン１８，２６が、１つのシリアル通信ライン３
０，３２を共用してメモリ書込装置４との間でシリアル
データ通信を行うように構成されているため、自分以外
のマイコンがデータの書き込み中であると判断した場合
には、スイッチ素子ＳＷ１，ＳＷ２によりシリアル通信
ライン３２との電気的接続を自ら遮断して、自己のシリ
アル通信ライン３２への通信を強制的に禁止し、その
後、フラッシュメモリ４２に既に書き込まれている制御
プログラムの実行を開始するのである。そして、これに
より、データの書き込み中である方のマイコンの受信デ
ータが他方のマイコンの送信データによって破壊されて
しまうことを確実に防止するようにしている。また、ス
イッチ素子ＳＷ３により電源ライン３８との接続も遮断
するようにしているのは、データの書き込み対象でない
マイコンのフラッシュメモリ４２に、誤ってデータが書
き込まれてしまうことを確実に防止するためである。

【００７６】ここで、サブマイコン２６にて、フラッシ
ュメモリ４２に格納された制御プログラムの実行が開始
されると、その後は、前述した信号出力用プログラムが
所定時間ＴS2（４ｍｓ）毎に実行されて、当該サブマイ
コン２６からメインマイコン１８へ、その時間ＴS2毎に
信号レベルが反転するＷＤＣ信号Ｗ２が出力される。

【００７７】また、メインマイコン１８においても、フ
ラッシュメモリ４２に格納された制御プログラムの実行
が開始されると、その後は、信号出力用プログラムが所
定時間ＴS1（４ｍｓ）毎に実行されて、当該メインマイ
コン１８から電源回路３４のウォッチドック検出部５６
へ、その時間ＴS1毎に信号レベルが反転するＷＤＣ信号
Ｗ１が出力されるのであるが、更に、メインマイコン１
８では、上記信号出力用プログラムと交互に、サブマイ
コン２６の動作を監視するための監視処理用プログラム
が実行され、これにより、図６に示すサブマイコン監視
処理が４ｍｓ毎に行われる。

【００７８】即ち、図６に示すように、このサブマイコ
ン監視処理では、まずＳ３１０にて、サブマイコン２６
からのＷＤＣ信号Ｗ２の信号レベルがハイレベル（５
Ｖ）とロウレベル（０Ｖ）の何れであるかを検出し、今
回検出した信号レベルと前回の当該処理で検出した信号
レベルとが一致しているか否かを判定する。

【００７９】ここで、前述したように、サブマイコン２
６からのＷＤＣ信号Ｗ２は４ｍｓ毎にレベル反転するよ
うになっており、また、当該サブマイコン監視処理も４
ｍｓ毎に実行されるため、サブマイコン２６にて制御プ
ログラムが正常に実行されていれば、今回検出される信
号レベルは前回検出した信号レベルと異なるはずであ
る。

【００８０】このため、上記Ｓ３１０にて、今回検出し
た信号レベルと前回検出した信号レベルとが一致してい
ないと判定した場合には、サブマイコン２６が正常に動
作していると判断して、Ｓ３２０に進み、ＲＡＭ４６の
所定領域に設定されたカウンタ用メモリ（以下、単にカ
ウンタという）の値をクリアする。

【００８１】これに対し、上記Ｓ３１０にて、今回検出
した信号レベルと前回検出した信号レベルとが一致して
いると判定した場合には、サブマイコン２６に異常が発
生している可能性があると判断して、Ｓ３３０に移行
し、上記カウンタの値をインクリメントする。

【００８２】そして、Ｓ３２０でカウンタをクリアする
か、或いは、Ｓ３３０でカウンタをインクリメントした
後、Ｓ３４０に進んで、上記Ｓ３１０で今回検出したＷ
ＤＣ信号Ｗ２の信号レベルを、次回のＳ３１０で参照す
るためにＲＡＭ４６に記憶し、続くＳ３５０にて、上記
カウンタの値が所定値Ｎ（本実施形態では２２）以上で
あるか否かを判定する。尚、この所定値Ｎに当該サブマ
イコン監視処理の実行周期を乗じた時間（ＴS2×Ｎ＝４
ｍｓ×２２）が、前述の判定時間ＴH2である。

【００８３】ここで、カウンタの値が所定値Ｎ以上でな
ければ（Ｓ３５０：ＮＯ）、そのまま当該サブマイコン
監視処理を終了するが、カウンタの値が所定値Ｎ以上で
あれば（Ｓ３５０：ＹＥＳ）、サブマイコン２６に異常
が発生したと判断して、Ｓ３６０に進み、それ以後に信
号出力用プログラムが実行されるのを禁止して、電源回
路３４へ自己のＷＤＣ信号Ｗ１がレベル反転して出力さ
れるのを停止する。そして、続くＳ３７０にて、カウン
タの値をクリアした後、当該サブマイコン監視処理を終
了する。

【００８４】このような本第１実施形態のＥＣＵ２にお
いて、両マイコン１８，２６のフラッシュメモリ４２に
格納された制御プログラムが正常に実行されている場合
には、図７（Ａ）に示すように、サブマイコン２６から
メインマイコン１８へ所定時間ＴS2（４ｍｓ）毎にレベ
ル反転するＷＤＣ信号Ｗ２が出力され、また、このＷＤ
Ｃ信号Ｗ２と同様に、メインマイコン１８から電源回路
３４へ所定時間ＴS1（４ｍｓ）毎にレベル反転するＷＤ
Ｃ信号Ｗ１が出力される。

【００８５】そして、ＷＤＣ信号Ｗ１がレベル反転する
毎に、電源回路３４のウォッチドック検出部５６にて、
ウォッチドックカウンタ５６ａがエッジ検出回路５６ｂ
からのパルス信号によりリセットされ、このような動作
が繰り返されることにより、電源回路３４のリセット制
御部５８から両マイコン１８，２６へリセット信号Ｒ１
が出力されない状態が継続する。

【００８６】これに対し、サブマイコン２６に異常が発
生して、図７（Ｂ）に示すように、サブマイコン２６か
らメインマイコン１８へのＷＤＣ信号Ｗ２のレベル反転
が停止した場合には、メインマイコン１８で実行されて
いるサブマイコン監視処理のＳ３５０により、所定の判
定時間ＴH2（＝ＴS2×Ｎ＝４ｍｓ×２２）の経過後に肯
定判定されて、同処理のＳ３６０により、メインマイコ
ン１８から電源回路３４へのＷＤＣ信号Ｗ１のレベル反
転が停止する。すると、電源回路３４中のウォッチドッ
クカウンタ５６ａのカウント値がオーバーフローして、
リセット制御部５８から両マイコン１８，２６へリセッ
ト信号Ｒ１が出力される。

【００８７】また、メインマイコン１８自体に異常が発
生して、メインマイコン１８から電源回路３４へのＷＤ
Ｃ信号Ｗ１のレベル反転が停止した場合にも、上記ウォ
ッチドックカウンタ５６ａのカウント値がオーバーフロ
ーして、リセット制御部５８から両マイコン１８，２６
へリセット信号Ｒ１が出力される。

【００８８】このため、両マイコン１８，２６の何れか
でプログラム暴走が発生したとしても、両マイコン１
８，２６は速やかにリセットされて初期状態から動作を
再開することとなり、制御の安全性が確保される。次
に、各マイコン１８，２６のフラッシュメモリ４２に制
御プログラム及び制御データを新規に書き込んだり、或
いは、既に書き込まれている制御プログラム及び制御デ
ータを書き換える場合の動作について、メインマイコン
１８のフラッシュメモリ４２にエンジン制御用の制御プ
ログラム及び制御データが既に書き込まれている状況下
で、サブマイコン２６のフラッシュメモリ４２に自動変
速機制御用の制御プログラム及び制御データを新規に書
き込む場合を例に挙げて説明する。

【００８９】この場合、作業者は、まず、メモリ書込装
置４の記憶媒体に、サブマイコン２６に対応する「００
１０」の識別コードと、サブマイコン２６のフラッシュ
メモリ４２に書き込むべき書込データとを格納してお
く。そして、メモリ書込装置４をＥＣＵ２に接続して、
メモリ書込装置４の選択スイッチにより、サブマイコン
２６をデータの書き込み対象として選択し、その後、メ
モリ書込装置４の起動スイッチをオンし、更に車両のイ
グニッションスイッチＩＧＳをオンしてＥＣＵ２を初期
状態から作動させる。

【００９０】すると、メモリ書込装置４からＥＣＵ２へ
信号線３６ｂを介して書込許可信号Ｋ２が出力されるた
め（Ｓ１００）、イグニッションスイッチＩＧＳのオン
に伴い、ＥＣＵ２側では、電源回路３４の書込電圧作成
部５４から両マイコン１８，２６へ電源ライン３８を介
して書込電圧ＶPPが供給される。また、上記書込電圧作
成部５４から書込電圧ＶPPが出力されている間は、電源
回路３４のウォッチドック検出部５６にて、ウォッチド
ックカウンタ５６ａがオア回路５６ｃにより継続してリ
セットされるため、ウォッチドック検出部５６及びリセ
ット制御部５８の働きによる両マイコン１８，２６のリ
セットが阻止される。

【００９１】そして、メモリ書込装置４からＥＣＵ２
へ、上記記憶媒体に格納された識別コードと書込データ
とが順次送信され（Ｓ１１０）、ＥＣＵ２側では、両マ
イコン１８，２６の各々が、マスクＲＯＭ４４に格納さ
れたブートプログラムの実行により、メモリ書込装置４
からの識別コードを、シリアル通信ライン３０、通信回
路２８、及びシリアル通信ライン３２を介して受信して
（Ｓ２００：ＹＥＳ，Ｓ２１０）、その受信した識別コ
ードと自分のマスクＲＯＭ４４に格納されている識別コ
ードとを比較する（Ｓ２２０）。

【００９２】すると、メインマイコン１８においては、
両識別コードが不一致となり（Ｓ２２０：ＮＯ）、スイ
ッチ素子ＳＷ１〜ＳＷ３が全て遮断状態となって、メイ
ンマイコン１８とシリアル通信ライン３２及び電源ライ
ン３８との電気的接続が遮断され（Ｓ２８０）、その
後、フラッシュメモリ４２内の制御プログラムが実行さ
れる（Ｓ２６０）。

【００９３】これに対して、サブマイコン２６において
は、両識別コードが一致するため（Ｓ２２０：ＹＥ
Ｓ）、このサブマイコン２６だけが、メモリ書込装置４
からの書込データを受信して、その受信した書込データ
をフラッシュメモリ４２に更新して書き込むこととなる
（Ｓ２３０）。

【００９４】その後は、サブマイコン２６からメモリ書
込装置４へ、シリアル通信ライン３２、通信回路２８、
及びシリアル通信ライン３０を介して、フラッシュメモ
リ４２に書き込まれたデータが送信され（Ｓ２４０）、
メモリ書込装置４において、記憶媒体に格納されたマス
ターの書込データとサブマイコン２６からのデータとが
ベリファイされる（Ｓ１３０）。そして、そのベリファ
イの結果が良好ならば（Ｓ１４０：ＹＥＳ）、メモリ書
込装置４から出力されていた書込許可信号Ｋ２がロウレ
ベルに戻り（Ｓ１５０）、これに伴い、ＥＣＵ２側で
は、電源回路３４から両マイコン１８，２６への書込電
圧ＶPPの供給が停止する。

【００９５】すると、サブマイコン２６においても、フ
ラッシュメモリ４２に書き込まれた制御プログラムの実
行が開始され（Ｓ２５０：ＹＥＳ，Ｓ２６０）、また、
電源回路３４のウォッチドック検出部５６においては、
オア回路５６ｃによるウォッチドックカウンタ５６ａの
継続リセットが解除されて、当該ＥＣＵ２は、電源回路
３４のウォッチドック検出部５６及びリセット制御部５
８の働きにより両マイコン１８，２６をリセット可能な
状態、即ち各マイコン１８，２６の動作を監視可能な通
常状態に復帰する。

【００９６】そして、この状態で、サブマイコン２６に
対する制御プログラム及び制御データの新規書き込みが
終了する。尚、サブマイコン２６のフラッシュメモリ４
２に既に書き込まれている制御プログラム及び制御デー
タを書き換える場合についても、前述した新規書き込み
の場合と全く同様である。また、メインマイコン１８の
フラッシュメモリ４２に制御プログラム及び制御データ
を新規に書き込んだり、或いは、既に書き込まれている
制御プログラム及び制御データを書き換える場合には、
メモリ書込装置４の記憶媒体に、メインマイコン１８に
対応する「０００１」の識別コードと、メインマイコン
１８のフラッシュメモリ４２に書き込むべき書込データ
とを格納しておくと共に、メモリ書込装置４の選択スイ
ッチにより、メインマイコン１８をデータの書き込み対
象として選択すれば良い。

【００９７】一方、本第１実施形態では、メインマイコ
ン１８が第１のマイクロコンピュータに相当しており、
サブマイコン２６が第２のマイクロコンピュータに相当
している。そして、ウォッチドック検出部５６のオア回
路５６ｃが、監視動作阻止手段或いは阻止手段に相当し
ている。また、電源回路３４のウォッチドック検出部５
６とリセット制御部５８が、システム監視手段に相当し
ており、ウォッチドック検出部５６のウォッチドックカ
ウンタ５６ａが、カウンタに相当し、リセット制御部５
８が、リセット信号出力手段に相当している。

【００９８】以上詳述したように本第１実施形態のＥＣ
Ｕ２では、メインマイコン１８がフラッシュメモリ４２
内の制御プログラムを実行することで、サブマイコン２
６にてフラッシュメモリ４２内の制御プログラムが正常
に実行されているか否かを監視し、サブマイコン２６の
異常を検出すると、サブマイコン２６をリセットさせる
ために、自らが電源回路３４のウォッチドック検出部５
６へ出力しているＷＤＣ信号Ｗ１のレベル反転を停止さ
せるのであるが、特に、マイコン１８，２６に書込電圧
ＶPPが供給されている時には、ウォッチドック検出部５
６のオア回路５６ｃがウォッチドックカウンタ５６ａの
アップカウント動作を強制的に停止させて、マイコン１
８，２６にリセット信号Ｒ１が出力されないようにして
いる。

【００９９】このため、サブマイコン２６がフラッシュ
メモリ４２にデータを書き込むための書込処理を（Ｓ２
１０〜Ｓ２５０）を行っている間は、メインマイコン１
８の上記監視動作によってサブマイコン２６がリセット
されてしまうことが阻止される。

【０１００】よって、当該ＥＣＵ２の製造工程におい
て、各マイコン１８，２６を実装してから、最初に、メ
インマイコン１８のフラッシュメモリ４２に制御プログ
ラム及び制御データを新規に書き込み、その後に、監視
される側のサブマイコン２６のフラッシュメモリ４２に
制御プログラム及び制御データを新規に書き込む、とい
った書き込み順序を採った場合にも、書込処理を行って
いる最中のサブマイコン２６が、監視する側のメインマ
イコン１８の動作によってリセットされてしまうことが
防止される。

【０１０１】従って、本第１実施形態のＥＣＵ２によれ
ば、両マイコン１８，２６の各々について、如何なる順
序で制御プログラムなどを書き込むようにしても、その
書き込みを確実に行うことができ、監視される側のサブ
マイコン２６よりも先に、監視する側のメインマイコン
１８に制御プログラムを書き込まなければならない制約
があっても、監視される側のサブマイコン２６に制御プ
ログラム及び制御データを確実に書き込むことができ
る。この結果、メインマイコン１８がサブマイコン２６
の動作を監視することと、各マイコン１８，２６の各々
について制御プログラムのオンボード書き込みを可能に
することとを、確実に両立させることができる。

【０１０２】また、本第１実施形態のＥＣＵ２では、メ
インマイコン１８からのＷＤＣ信号Ｗ１のレベル反転が
停止すると、電源回路３４内のウォッチドック検出部５
６及びリセット制御部５８により、両マイコン１８，２
６へリセット信号Ｒ１が出力されるようになっている。

【０１０３】よって、両マイコン１８，２６の通常時に
おける異常を、ウォッチドック検出部５６及びリセット
制御部５８からなる１組のハードウェア回路によって検
出及び回避することができ、両マイコン１８，２６の動
作を監視することと、各マイコン１８，２６のフラッシ
ュメモリ４２に格納された制御プログラムや制御データ
を書き換えることとを、簡単な構成で確実に両立させる
ことができる。

【０１０４】尚、上記第１実施形態では、ウォッチドッ
クカウンタ５６ａのアップカウント動作を強制的に停止
させて両マイコン１８，２６がリセットされるのを阻止
するようにしたが、リセット制御部５８から両マイコン
１８，２６へ至るリセット信号Ｒ１の信号ラインに、ス
イッチング素子や論理回路素子を設け、その素子によっ
て、書込電圧作成部５４から書込電圧ＶPPが出力されて
いる時にその信号ラインを遮断したりロウレベル（パッ
シブレベル）に保持させるように構成しても良い。

【０１０５】［第２実施形態］次に、第２実施形態のメ
モリ書換システムでは、ＥＣＵが、前述した第１実施形
態のＥＣＵ２に対して、下記の（１），（２）の点で異
なっている。尚、メモリ書込装置４は、第１実施形態の
ものと同じである。また、本第２実施形態において、第
１実施形態のものと同じ部材については、同一の符号を
付しているため、詳しい説明は省略する。

【０１０６】（１）まず、図８に示すように、第２実施
形態のＥＣＵ６２では、メインマイコン１８が、サブマ
イコン２６からのＷＤＣ信号Ｗ２が前述した判定時間Ｔ
H2以内にレベル反転しない場合に、自己のＷＤＣ信号Ｗ
１のレベル反転出力を停止するのではなく、サブマイコ
ン２６をリセットするためのハイアクティブのリセット
信号Ｒ２ａを出力する。

【０１０７】このため、メインマイコン１８にて監視処
理用プログラムの実行により行われるサブマイコン監視
処理では、図１０に示すように、図６に示した処理に対
して、Ｓ３００とＳ３７５の処理が追加されていると共
に、図６のＳ３６０に代えてＳ３６５の処理が行われ
る。

【０１０８】即ち、第２実施形態のサブマイコン監視処
理では、まずＳ３００にて、サブマイコン２６をリセッ
トしている最中であるか否か、即ち上記リセット信号Ｒ
２ａを現在出力しているか否かを判定する。そして、リ
セット信号Ｒ２ａを出力していれば、Ｓ３７５に移行し
て、サブマイコン２６のリセットを解除するべく、リセ
ット信号Ｒ２ａの出力を停止して（ロウレベルに戻し
て）、その後、当該サブマイコン監視処理を終了する。

【０１０９】また、上記Ｓ３００でリセット信号Ｒ２ａ
を出力していないと判定した場合には、第１実施形態の
場合と同様にＳ３１０〜Ｓ３５０の処理を実行する。そ
して、Ｓ３５０にてカウンタの値が所定値Ｎ以上である
と判定した場合には、サブマイコン２６に異常が発生し
たと判断して、Ｓ３６５に進み、サブマイコン２６をリ
セットするべく上記リセット信号Ｒ２ａを出力し（ハイ
レベルにし）、続くＳ３７０でカウンタをクリアしてか
ら当該サブマイコン監視処理を終了する。

【０１１０】そして、メインマイコン１８は、このよう
なサブマイコン監視処理により、サブマイコン２６から
のＷＤＣ信号Ｗ２が判定時間ＴH2以内にレベル反転しな
かった場合に、当該処理の実行周期に相当する時間（４
ｍｓ）だけリセット信号Ｒ２ａをハイレベルで出力する
ようにしている。

【０１１１】（２）次に、図８に示すように、本第２実
施形態のＥＣＵ６２では、第１実施形態の電源回路３４
に代わる電源回路７４を備えており、メインマイコン１
８から出力される上記リセット信号Ｒ２ａは、この電源
回路７４を経由して、リセット信号Ｒ２ｂとしてサブマ
イコン２６に入力されるようになっている。

【０１１２】そして、このことに伴い、電源回路７４
は、図９に示すように、第１実施形態の電源回路３４に
対して、サブマイコンリセット制御部７８を追加して備
えている。この追加されたサブマイコンリセット制御部
７８は、メインマイコン１８からのリセット信号Ｒ２ａ
と書込電圧作成部５４からの書込電圧ＶPPとを入力し
て、書込電圧作成部５４から書込電圧ＶPPが出力されて
いない時には上記リセット信号Ｒ２ａをそのままリセッ
ト信号Ｒ２ｂとしてサブマイコン２６に出力し、書込電
圧作成部５４から書込電圧ＶPPが出力されている時には
上記リセット信号Ｒ２ａの信号レベルに拘らずサブマイ
コン２６へのリセット信号Ｒ２ｂをロウレベル（パッシ
ブレベル）に保持するアンド回路７８ａによって構成さ
れている。

【０１１３】よって、書込電圧作成部５４から書込電圧
ＶPPが出力されていない場合には、メインマイコン１８
からハイレベルのリセット信号Ｒ２ａが出力された時
に、サブマイコン２６がリセット信号Ｒ２ｂによりリセ
ットされるが、書込電圧作成部５４から書込電圧ＶPPが
出力されている場合には、アンド回路７８ａによりサブ
マイコン２６へのリセット信号Ｒ２ｂがロウレベルに保
持されるため（換言すれば、メインマイコン１８から出
力されたリセット信号Ｒ２ａがサブマイコン２６に入力
されることが阻止されるため）、メインマイコン１８に
よるサブマイコン２６のリセットが阻止される。

【０１１４】尚、上記アンド回路７８ａは、リセット制
御部５８と同様に、イグニッションスイッチＩＧＳがオ
ンされてマイコン１８，２６の動作電圧ＶOMが立ち上が
った時に、サブマイコン２６へのリセット信号Ｒ２ｂを
ハイレベルにしてサブマイコン２６を初期状態から動作
させる機能も備えている。

【０１１５】つまり、本第２実施形態のＥＣＵ６２で
は、メインマイコン１８に異常が発生した場合には、電
源回路７４のウォッチドック検出部５６及びリセット制
御部５８によりメインマイコン１８だけがリセットさ
れ、サブマイコン２６に異常が発生した場合には、メイ
ンマイコン１８によりサブマイコン２６だけがリセット
されるようにしている。そして、サブマイコンリセット
制御部７８を成すアンド回路７８ａが、書込電圧作成部
５４から書込電圧ＶPPが出力されている時に、メインマ
イコン１８から出力されたリセット信号Ｒ２ａがサブマ
イコン２６に入力されるのを阻止する、監視動作阻止手
段としての役割を果たしている。

【０１１６】よって、このような本第２実施形態のＥＣ
Ｕ６２によっても、サブマイコン２６がフラッシュメモ
リ４２にデータを書き込むための書込処理を行っている
間は、メインマイコン１８の監視動作によってサブマイ
コン２６がリセットされてしまうことが阻止される。

【０１１７】従って、この第２実施形態のＥＣＵ６２に
よっても、各マイコン１８，２６を実装してから、最初
に、メインマイコン１８のフラッシュメモリ４２に制御
プログラム及び制御データを新規に書き込み、その後
に、監視される側のサブマイコン２６のフラッシュメモ
リ４２に制御プログラム及び制御データを新規に書き込
む、といった書き込み順序を採った場合に、書込処理を
行っている最中のサブマイコン２６が、監視する側のメ
インマイコン１８の動作によってリセットされてしまう
ことが無く、メインマイコン１８がサブマイコン２６の
動作を監視することと、各マイコン１８，２６の各々に
ついて制御プログラムのオンボード書き込みを可能にす
ることとを、確実に両立させることができる。

【０１１８】［第３実施形態］次に、第３実施形態のメ
モリ書換システムでは、ＥＣＵが、前述した第２実施形
態のＥＣＵ６２に対して、下記の点で異なっている。
尚、本第３実施形態において、第１及び第２実施形態の
ものと同じ部材については、同一の符号を付しているた
め、詳しい説明は省略する。

【０１１９】即ち、前述した第２実施形態のＥＣＵ６２
は、第１実施形態の電源回路３４にアンド回路７８ａを
追加した電源回路７４を備えていたが（換言すれば、ア
ンド回路７８ａが電源回路７４の内部に設けられていた
が）、図１１に示すように、本第３実施形態のＥＣＵ８
２では、アンド回路７８ａが電源回路３４の外部に設け
られている。

【０１２０】そして、この第３実施形態のＥＣＵ８２に
よっても、第２実施形態と全く同様の効果を得ることが
できる。また、このようなＥＣＵ８２によれば、仕様変
更や車種の違いなどによりマイクロコンピュータが３つ
以上になっても、アンド回路７８ａと同様の回路を追加
するだけで対応でき、電源回路３４を変更する必要がな
いという点で有利な面もある。

【０１２１】［その他］ところで、第２及び第３実施形
態では、メインマイコン１８から出力されたリセット信
号Ｒ２ａがサブマイコン２６に入力されるのを、アンド
回路７８ａによって阻止するようにしたが、メインマイ
コン１８が、サブマイコン２６にて書込処理が実行され
ていることを検出して、サブマイコン２６に対するリセ
ット信号の出力を止めるようにしても良い。

【０１２２】具体的には、図１２に示すように、メイン
マイコン１８は、ブートプログラムのＳ２２０で、メモ
リ書込装置４からの識別コードと自分の識別コードとが
一致してないと判定した場合には、Ｓ２８０でスイッチ
素子ＳＷ１〜ＳＷ３を遮断状態にした後、追加のＳ２９
０にて、サブマイコン２６がデータの書き込み中である
ことを示すフラグをセットし、そのフラグを図１０のサ
ブマイコン監視処理で参照して、該フラグがセットされ
ていたならば、サブマイコン２６に対するリセット信号
Ｒ２ａの出力を禁止するようにすれば良い。

【０１２３】尚、この出力禁止状態は、イグニッション
スイッチＩＧＳが再度オフからオンされて、当該メイン
マイコン１８が初期状態から動作を開始した時に解除さ
れるようにすれば良い。つまり、このようにすれば、サ
ブマイコン２６のデータ書き込みが完了した後にイグニ
ッションスイッチＩＧＳを再度オンすることで、サブマ
イコン２６の動作を監視可能な通常状態に復帰すること
ができる。

【０１２４】一方、上記各実施形態において、各マイコ
ン１８，２６は、電気的にデータの書き換えが可能な不
揮発性メモリとして、フラッシュメモリ（フラッシュＥ
ＥＰＲＯＭ）４２を有するものであったが、ＥＥＰＲＯ
Ｍや他のメモリを有するものでも良い。

【図面の簡単な説明】

【図１】 第１実施形態の電子制御装置のメモリ書換シ
ステムの全体構成を表すブロック図である。

【図２】 図１のメインマイコン及びサブマイコンの内
部構成を表す概略構成図である。

【図３】 図１の電源回路の構成を表す概略構成図であ
る。

【図４】 第１実施形態のメモリ書込装置で実行される
処理を表すフローチャートである。

【図５】 第１実施形態のメインマイコン及びサブマイ
コンで実行される処理を表すフローチャートである。

【図６】 第１実施形態のメインマイコンで実行される
サブマイコン監視処理を表すフローチャートである。

【図７】 図６のサブマイコン監視処理の作用を説明す
るタイムチャートである。

【図８】 第２実施形態の電子制御装置のメモリ書換シ
ステムの全体構成を表すブロック図である。

【図９】 図８の電源回路の構成を表す概略構成図であ
る。

【図１０】 第２実施形態のメインマイコンで実行され
るサブマイコン監視処理を表すフローチャートである。

【図１１】 第３実施形態の電子制御装置のメモリ書換
システムの全体構成を表すブロック図である。

【図１２】 他の実施形態を説明するフローチャートで
ある。

【符号の説明】

２，６２，８２…電子制御装置（ＥＣＵ） ４…メモ
リ書込装置 ８…センサ １０…波形整形回路 １２…アナログ
センサ １４…入力回路 １６…Ａ／Ｄ変換器 １８…メイ
ンマイコン ２０ａ，２０ｂ…出力回路 ２２ａ，２２ｂ…アクチ
ュエータ ２４…ＤＭＡ通信ライン ２６…サブマイコン ２
８…通信回路 ３０，３２，３２ａ，３２ｂ…シリアル通信ライン ３４，７４…電源回路 ３６ａ，３６ｂ…信号線 ３８…電源ライン ４０…ＣＰＵ ４２…フラッシ
ュメモリ ４４…マスクＲＯＭ ４６…ＲＡＭ ＳＷ１〜ＳＷ
３…スイッチ素子 ５０…メイン電源作成部 ５２…サブ電源作成部
５４…書込電圧作成部 ５６…ウォッチドック検出部 ５６ａ…ウォッチドッ
クカウンタ ５６ｂ…エッジ検出回路 ５６ｃ…オア回路 ５８
…リセット制御部 ６０…低電圧検出部 ７８…サブマイコンリセット制
御部 ７８ａ…アンド回路 ＢＴ…バッテリ ＩＧＳ…イ
グニッションスイッチ

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 昭59−200357（ＪＰ，Ａ) 特開 平７−119537（ＪＰ，Ａ) 特開 平８−305611（ＪＰ，Ａ) 特開 昭62−286135（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/30 F02D 45/00 372 G06F 9/06 540

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】 電気的にデータの書き換えが可能な不揮
   発性メモリを有すると共に、通常時には、前記不揮発性
   メモリに格納されたデータにより構成される第１の制御
   プログラムを実行することで制御対象を制御し、予め定
   められた書き換え条件が成立した場合には、外部から送
   信されて来る書込データを前記不揮発性メモリに更新し
   て書き込むための書込処理を行う第１のマイクロコンピ
   ュータと、 電気的にデータの書き換えが可能な不揮発性メモリを有
   すると共に、通常時には、前記不揮発性メモリに格納さ
   れたデータにより構成される第２の制御プログラムを実
   行することで制御対象を制御し、予め定められた書き換
   え条件が成立した場合には、外部から送信されて来る書
   込データを前記不揮発性メモリに更新して書き込むため
   の書込処理を行う第２のマイクロコンピュータとを備
   え、 前記第１のマイクロコンピュータが、前記第１の制御プ
   ログラムの実行に伴い、前記第２のマイクロコンピュー
   タにて前記第２の制御プログラムが正常に実行されてい
   るか否かを監視して、該第２の制御プログラムの実行に
   異常が発生したと判断すると前記第２のマイクロコンピ
   ュータをリセットするための動作を行うように構成され
   た電子制御装置であって、 前記第２のマイクロコンピュータが前記書込処理を行っ
   ている間は、前記第１のマイクロコンピュータの動作に
   よって前記第２のマイクロコンピュータがリセットされ
   るのを阻止する監視動作阻止手段を備えると共に、 前記第２のマイクロコンピュータは、少なくとも所定の
   書込電圧が供給されることを条件として、前記書込処理
   を行うように構成されており、 更に、前記監視動作阻止手段は、前記第２のマイクロコ
   ンピュータに前記書込電圧が供給されているか否かを検
   出して、該書込電圧が供給されている時に、前記第１の
   マイクロコンピュータの動作によって前記第２のマイク
   ロコンピュータがリセットされるのを阻止すること、 を特徴とする電子制御装置。
2. 【請求項２】 請求項１に記載の電子制御装置におい
   て、前記第１のマイクロコンピュータは、前記第２の制御プ
   ログラムの実行に異常 が発生したと判断すると、前記第
   ２のマイクロコンピュータへ、該第２のマイクロコンピ
   ュータをリセットするためのリセット信号を出力し、 前記監視動作阻止手段は、前記第１のマイクロコンピュ
   ータから出力された前記リセット信号が前記第２のマイ
   クロコンピュータに入力されるのを阻止することで、前
   記第２のマイクロコンピュータがリセットされるのを阻
   止するように構成されていること、 を特徴とする電子制御装置。
3. 【請求項３】 請求項１又は請求項２に記載の電子制御
   装置において、前記第２のマイクロコンピュータの不揮発性メモリに前
   記第２の制御プログラムを構成するデータが新規に書き
   込まれる前に、前記第１のマイクロコンピュータの不揮
   発性メモリに前記第１の制御プログラムを構成するデー
   タが書き込まれること、 を特徴とする電子制御装置。
4. 【請求項４】 電気的にデータの書き換えが可能な不揮
   発性メモリを有すると共に、通常時には、前記不揮発性
   メモリに格納されたデータにより構成される第１の制御
   プログラムを実行することで制御対象を制御し、予め定
   められた書き換え条件が成立した場合には、外部から送
   信されて来る書込データを前記不揮発性メモリに更新し
   て書き込むための書込処理を行う第１のマイクロコンピ
   ュータと、 電気的にデータの書き換えが可能な不揮発性メモリを有
   すると共に、通常時には、前記不揮発性メモリに格納さ
   れたデータにより構成される第２の制御プログラムを実
   行することで制御対象を制御し、予め定められた書き換
   え条件が成立した場合には、外部から送信されて来る書
   込データを前記不揮発性メモリに更新して書き込むため
   の書込処理を行う第２のマイクロコンピュータとを備
   え、 前記第１のマイクロコンピュータは、前記第１の制御プ
   ログラムの実行に伴い、所定時間以内毎に自己が正常で
   あることを示すモニタ信号を出力すると共に、前記第２
   のマイクロコンピュータにて前記第２の制御プログラム
   が正常に実行されているか否かを監視して、該第２の制
   御プログラムの実行に異常が発生したと判断すると前記
   モニタ信号の出力を停止し、 更に、前記第１のマイクロコンピュータから出力される
   前記モニタ信号を監視して、該モニタ信号が前記所定時
   間よりも長く設定された時間以内に出力されない場合
   に、前記両マイクロコンピュータへ、該両マイクロコン
   ピュータをリセットするためのリセット信号を出力する
   システム監視手段を備えた電子制御装置であって、 前記両マイクロコンピュータの少なくとも何れか一方が
   前記書込処理を行っている間は、前記システム監視手段
   により前記両マイクロコンピュータがリセットされるの
   を阻止する阻止手段を備えると共に、 前記両マイクロコンピュータは、少なくとも所定の書込
   電圧が供給されることを条件として、前記書込処理を行
   うように構成されており、 更に、前記阻止手段は、前記両マイクロコンピュータの
   少なくとも何れか一方に前記書込電圧が供給されている
   か否かを検出して、該書込電圧が供給されている時に、
   前記システム監視手段により前記両マイクロコンピュー
   タがリセットされるのを阻止すること、 を特徴とする電子制御装置。
5. 【請求項５】 請求項４に記載の電子制御装置におい
   て、 前記阻止手段は、前記システム監視手段から出力された
   前記リセット信号が前記両マイクロコンピュータに入力
   されるのを阻止することで、前記両マイクロコンピュー
   タがリセットされるのを阻止するように構成されている
   こと、 を特徴とする電子制御装置。
6. 【請求項６】 請求項４に記載の電子制御装置におい
   て、 前記システム監視手段は、 一定周期毎にカウント動作を行うと共に、前記第１のマ
   イクロコンピュータから出力される前記モニタ信号によ
   りカウント値が初期化されるカウンタと、 該カウンタのカウント値が所定値に達すると、前記両マ
   イクロコンピュータへ前記リセット信号を出力するリセ
   ット信号出力手段とからなり、 前記第１のマイクロコンピュータは、前記第１の制御プ
   ログラムの実行に伴い、前記カウンタへ、該カウンタの
   カウント値が初期化されてから前記所定値に達するまで
   の時間よりも短い周期で前記モニタ信号を出力し、 前記阻止手段は、前記カウンタのカウント動作を強制的
   に停止させることで、前記両マイクロコンピュータがリ
   セットされるのを阻止するように構成されていること、 を特徴とする電子制御装置。