JP3616367B2 - 電子制御装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、例えば自動車用エンジンの制御等に用いられるＣＰＵ（マイクロプロセッサ）内蔵の電子制御装置に関し、特に、そのＣＰＵの暴走監視制御に関するものである。
【０００２】
【従来の技術】
一般にＣＰＵの暴走監視回路はＣＰＵと同一プリント基板上で、ＣＰＵの至近位置に設けられ、１個のＣＰＵに対して１個の暴走監視回路が接続されている。ただし、特開平５−８１２２２号公報「２ＣＰＵの動作監視方法」（引例１）で示されるように、２個のＣＰＵに対して１個の暴走監視回路（ウォッチドッグタイマ）が設けられる場合もある。
一方、暴走監視回路はＣＰＵが正常であれば永久に動作しないものであるのに対し、若しものことがあった時だけ必ず動作しなければ重大な危険を伴うものであるだけにその信頼性は非常に重要であり、製品出荷試験で厳重な検査が行われることは当然のこととして、実用運転中においても自己診断を行うことが望ましい。
【０００３】
従来のこの種自己診断機能付き暴走監視制御回路としては、例えば特開２０００−１０４６２２号公報「電子制御装置」（引例２）に示されたものがある。
引例２のものは、通常はＣＰＵのリセット端子に接続されるウォッチドッグタイマのリセット信号出力を、診断監視用の入力端子に切換えた上で意図的にウォッチドッグタイマに供給されるウォッチドッグクリア信号の周期を変更して、ウォッチドッグタイマが動作するかどうかをＣＰＵ自らが診断するものである。
また、特開平６−１４９６０４号公報「多重化システム」（引例３）によれば、それぞれにウォッチドッグタイマが接続されている一対のＣＰＵによって二重系の制御が行われ、一方のウォッチドッグタイマの動作診断を行う時には非診断側ＣＰＵの制御出力のみによる一重系の制御に切換えて運転することによって、診断側ＣＰＵが停止しても制御が継続できるように構成されている。
【０００４】
【発明が解決しようとする課題】
（１）従来技術の課題の説明
上記のような従来技術において、単にＣＰＵに対して暴走監視用のウォッチドッグタイマを接続しただけの引例１のようなものにおいては次のような安全性に問題がある。
即ち、ウォッチドッグタイマの動作にはＣＰＵが正常動作している時にはＣＰＵをリセットしない所謂「正常不動作」、ＣＰＵが異常である時にＣＰＵをリセットする所謂「正常動作」、ＣＰＵが正常動作しているにも拘わらずＣＰＵをリセットしようとする「動作側異常」、ＣＰＵが異常であるにも拘わらずそのリセットが行えない「不動作側異常」があるが、ここで、引例１で問題となることは、ウォッチドッグタイマの不動作側異常に対する危険性（暴走監視機能の喪失）と動作側異常による不用意なＣＰＵのリセットの両面である。つまり、ウォッチドッグタイマの異常に対しては無防備であり、ウォッチドッグタイマの異常時には、ＣＰＵの健全な運転を保証できない欠点がある。
これに対し、ウォッチドッグタイマの診断を行う概念による引例２のものであっても、ＣＰＵのリセット信号出力の切換回路に異常があればＣＰＵをリセットすることができない事態となる危険性があると共に、ウォッチドッグタイマを診断している間はウォッチドッグタイマはＣＰＵに接続されていないので、ウォッチドッグタイマを診断している間にＣＰＵが暴走しても、ウォッチドッグタイマでＣＰＵをリセットすることができないと言う欠点がある。
また、完全二重系システムによる引例３のものは安全性は高いが、一対のＣＰＵの出力信号の比較回路や切換回路等の追加回路の自己診断による信頼性対策も必要となって益々複雑・高価なものとなる欠点がある。
【０００５】
（２）発明の目的の説明
この発明は上述のような実情に鑑みて成されたもので、
その第一の目的は、ＣＰＵ（マイクロプロセッサ）の運転中であっても安全・安価に、ウォッチドッグタイマの自己診断を行うことができる電子制御装置を提供することにある。
この発明の第二の目的は、必要な時にＣＰＵ（マイクロプロセッサ）をリセットできなくなるような不動作側異常が発生し難いようにすると共に、不用意にウォッチドッグタイマが動作して妄りにＣＰＵ（マイクロプロセッサ）を停止させる動作側異常が生じ難いように改善された電子制御装置を提供することにある。
この発明の第三の目的は、ＣＰＵ（マイクロプロセッサ）が例えばノイズ等によって一時的に誤動作したような場合に、ＣＰＵ（マイクロプロセッサ）をリセットして速やかに正常動作に自動復帰させ、極力ＣＰＵ（マイクロプロセッサ）の運転状態を維持するように配慮された電子制御装置を提供することにある。
【０００６】
【課題を解決するための手段】
（１）この発明の請求項１に係る電子制御装置は、マイクロプロセッサ（ＣＰＵ）と第一のウォッチドッグタイマと第二のウォッチドッグタイマと論理結合回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると実効リセット信号を出力して上記マイクロプロセッサをリセットする回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置である。
【０００７】
（２）この発明の請求項２に係る電子制御装置は、マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段と論理結合回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生してサブマイクロプロセッサをリセットする手段であり、
上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると上記マイクロプロセッサの異常と判定して実効リセット信号を出力して上記マイクロプロセッサおよびサブマイクロプロセッサをリセットする回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置である。
【０００８】
（３）この発明の請求項３に係る電子制御装置は、請求項１または請求項２に記載の電子制御装置において、
第一の異常処理回路と第二の異常処理回路とを備え、
上記マイクロプロセッサは、上記異常診断手段により上記第一または第二のウォッチドッ グタイマが異常と判定すると、第一または第二のエラ−信号を発生するマイクロプロセッサであり、
上記第一・第二の異常処理回路は、上記第一または第二のエラー信号の動作に応動し、第一または第二のウォッチドッグタイマのリセット信号を強制的にリセット有効側に作動させる回路であり、強制的にリセットされない側のウォッチドッグタイマからのリセット信号に応じて実効リセット信号を発生して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサとをリセットし、上記第一または第二のウォッチドッグタイマがリセット不能側の異常であっても上記実効リセット信号出力の発生が可能であることを特徴とする電子制御装置である。
【０００９】
（４）この発明の請求項４に係る電子制御装置は、請求項３に記載の電子制御装置において、
上記異常診断手段は、上記異常処理回路の正常動作を確認するために、上記マイクロプロセッサから第一または第二のエラ−出力を発生させて上記異常処理回路に入力し、上記この入力に対応する第一または第二のモニタ信号の応答状態を確認する第一・第二の確認手段を包むことを特徴とする電子制御装置である。
【００１０】
（５）この発明の請求項５に係る電子制御装置は、請求項１または請求項２に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両リセット信号を所定時間強制的にリセット有効側に作動させ実効リセット信号を発生する第一・第二の起動処理回路を備え、
上記電源投入時に上記第一・第二のウォッチドッグタイマのいずれかが異常で不動作の状態であっても上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置である。
【００１１】
（６）この発明の請求項６に係る電子制御装置は、請求項１または請求項２に記載の電子制御装置において、
上記論理結合回路を複数個並列にして多重系の論理結合回路で構成したことを特徴とする電子制御装置である。
【００１２】
（７）この発明の請求項７に係る電子制御装置は、マイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマとゲート回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記マイクロプロセッサからの第二のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力するゲート回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上 記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記第二のウォッチドッグタイマに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置である。
【００１３】
（８）この発明の請求項８に係る電子制御装置は、マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段とゲート回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生して上記サブマイクロプロセッサをリセットする手段であり、
上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力し上記マイクロプロセッサおよびサブマイクロプロセッサをリセットするゲート回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記サブマイクロプロセッサに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置である。
【００１４】
（９）この発明の請求項９に係る電子制御装置は、請求項７または請求項８に記載の電子制御装置において、
上記異常診断手段による異常診断結果で上記第一または第二のウォッチドッグタイマが異常であると判定されると、上記マイクロプロセッサは異常側の上記テスト信号を継続的に発生して、異常動作による実効リセット信号が発生しないようにする手段と、
上記マイクロプロセッサからの上記第一・第二のテスト信号が誤って共に発生すると、実効リセット信号を出力して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサを強制的にリセットする異常処理手段とを備えていることを特徴とする電子制御装置である。
【００１５】
（１０）この発明の請求項１０に係る電子制御装置は、請求項７または請求項８に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両方のリセット信号を所定期間強制的にリセット有効側に作動させて実効リセット信号を発生する第一・第二の起動処理回路を備え、
上記電源投入時に上記第一・第二のウォッチドッグタイマが共に動作不能であっても上記実効リセット信号で上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置である。
【００１６】
（１１）この発明の請求項１１に係る電子制御装置は、請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
上記第一・第二のウォッチドッグタイマは、それぞれ自己リセット機能を有していることを特徴とする電子制御装置である。
【００１７】
（１２）この発明の請求項１２に係る電子制御装置は、請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記記憶したエラー信号または上記実効リセット信号を通報信号として出力する通報手段とを設け、
上記通報信号で音声・表示器などで通報可能としたことを特徴とする電子制御装置である。
【００１８】
（１３）この発明の請求項１３に係る電子制御装置は、請求項１または請求項７に記載の電子制御装置において、
上記マイクロプロセッサに従属し全体制御の一部を分担するサブマイクロプロセッサを備えていると共に、
上記マイクロプロセッサは、上記サブマイクロプロセッサが発生するウォッチドッグタイマクリア信号を監視して，異常があるとリセット信号を供給して上記サブマイクロプロセッサをリセットする上記サブマイクロプロセッサの暴走を監視する暴走監視手段を備え、
上記第一・第二のウォッチドッグタイマから供給される実効リセット信号は、上記マイクロプロセッサおよび上記サブマイクロプロセッサをリセットすることを特徴とする電子制御装置である。
【００１９】
（１４）この発明の請求項１４に係る電子制御装置は、請求項１または請求項７に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記電気負荷に電源供給している場合に、上記負荷電源と上記電気負荷間をオン・オフする開閉手段を設け、
上記供給電源投入時または上記マイクロプロセッサをリセットするための上記実効リセット信号出力時に上記開閉手段で上記オフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段で上記オンとすることを特徴とする電子制御装置である。
【００２０】
（１５）この発明の請求項１５に係る電子制御装置は、請求項１または請求項７に記載の電子制御装置において、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号とを記憶し、上記供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置である。
【００２１】
（１６）この発明の請求項１６に係る電子制御装置は、請求項２，８，及び１３の何れか一に記載の電子制御装置において、
上記サブマイクロプロセッサが上記マイクロプロセッサの電気負荷とは別の電気負荷を制御し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記マイクロプロセッサおよび上記サブマイクロプロセッサの上記各電気負荷に電源を供給し、
上記負荷電源と上記各電気負荷との間を、上記電源投入時または上記実効リセット信号出力時に開閉手段でオフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段でオンとすることを特徴とする電子制御装置である。
【００２２】
（１７）この発明の請求項１７に係る電子制御装置は、請求項２，８，及び１３の何れか一に記載の電子制御装置において、
上記サブマイクロプロセッサを、上記マイクロプロセッサの電気負荷とは別の電気負荷を制御するサブマイクロプロセッサとし、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一つが異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷および上記サブマイクロプロセッサの少なくとも一つの電気負荷の内、少なくとも一方の電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置である。
【００２３】
（１８）この発明の請求項１８に係る電子制御装置は、請求項２または請求項８に記載の電子制御装置において、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のモニタ信号の反応をチェックして、上記第一のウォッチドッグタイマの動作確認を行い、上記第二のウォッチドッグタイマの異常診断は上記暴走監視手段で行うことを特徴とする電子制御装置である。
【００２４】
（１９）この発明の請求項１９に係る電子制御装置は、請求項１８に記載の電子制御装置において、
上記サブマイクロプロセッサは、上記マイクロプロセッサからテスト時にテストモ−ド信号の供給を受けるようにし、上記テストモード信号を受けると強制的に上記第二のリセット信号を発生して上記ゲート回路に供給する強制出力手段を含み、
上記サブマイクロプロセッサから強制的に発生した上記第二のリセット信号に対する上記マイクロプロセッサに供給される第二のモニタ信号の反応をチェックして、上記サブマイクロプロセッサから発生した上記第二のリセット信号が上記ゲート回路に達しているか否かの診断を可能としたことを特徴とする電子制御装置である。
【００２５】
（２０）この発明の請求項２０に係る電子制御装置は、請求項２に記載の電子制御装置において、
上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を有効にするデフォルト回路を設けたことを特徴とする電子制御装置である。
【００２６】
（２１）この発明の請求項２１に係る電子制御装置は、請求項８に記載の電子制御装置において、
上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を無効にするデフォルト回路を設けたことを特徴とする電子制御装置である。
【００２７】
【発明の実施の形態】
実施の形態１．
（１）実施の形態１の構成の詳細な説明
以下この発明の実施の形態１を、ＣＰＵの暴走監視制御回路を備えた電子制御装置をブロック図で示す図１により説明する。
図１において、１００は自動車用エンジン制御装置等の電子機器であり、該電子機器には例えば車載バテッリ等の電源１が直接接続されたり、電源スイッチ２を介して給電されたりするようになっている。
３は上記電子機器１００の制御入力となる入力センサ群、４は電子機器１００によって制御出力が供給される電気負荷群、５は電子機器１００によって制御される警報・表示器であり、以下電子機器１００の内部の構成について説明する。
【００２８】
１０１は演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ１０３を備えたマイクロプロセッサ、１０４は上記入力センサ群３に対する入力インタフェ−ス回路、１０５は上記電気負荷群４に対する出力インタフェ−ス回路であり、上記ＲＡＭメモリ１０２、プログラムメモリ１０３、入力インタフェ−ス回路１０４、出力インタフェ−ス回路１０５は上記マイクロプロセッサ１０１に対してバス接続されている。
１０６は上記電気負荷群４の内に一部の制御出力回路に設けられた駆動停止用ゲ−ト素子であり、該ゲ−ト素子は後述のインタロック信号ＩＴＬによって制御されるようになっている。
１１０は上記電源１に接続された第一電源線、１１１は上記電源スイッチ２を介して電源１に接続された第二電源線、１１２は上記第一・第二の電源線１１０・１１１から給電され、上記電子機器１００内で使用される安定化制御電源を供給する電源ユニット、１１３は出力接点１１４を有する負荷電源リレ−、１１５は上記第一電源線１１０から上記出力接点１１４を介して接続され、上記多数の電気負荷４に給電する第三電源線である。
【００２９】
１２０ａ・１２０ｂは図２によって後述する第一・第二のウォッチドッグタイマであり、該タイマは上記マイクロプロセッサ１０１が発生するパルス列である第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２の供給を受け、該クリア信号のパルス幅が所定値を超過すると第一・第二のリセット信号を発生して、これを第一・第二のモニタ信号ＭＮ１・ＭＮ２として上記マイクロプロセッサ１０１に供給するよう構成されている。
１２１ａ、１２１ｂは図４によって後述する第一・第二のエラ−出力ＥＲ１・ＥＲ２の動作に応動して上記第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂのリセット信号出力回路を強制的にリセット有効側に作動させる第一・第二の異常処理回路、１２２は上記第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂが共に動作した時に作用して、上記マイクロプロセッサ１０１に対して実効リセット信号出力（ＲＳＴ）を供給する論理結合回路であり、この実施の形態においては論理レベルが「Ｌ」の時にマイクロプロセッサ１０１がリセットされるよう構成されている。
【００３０】
また、上記第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂが発生する第一・第二のリセット信号も、上記第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２が異常である時に論理レベル「Ｌ」となるように構成されている。
更に、上記第一・第二のエラ−出力ＥＲ１・ＥＲ２はエラ−発生時に論理レベル「Ｈ」となるように構成されている。
従って上記論理結合回路１２２は論理和素子によって構成されていると共に、第一・第二の異常処理回路１２１ａ・１２１ｂは反転論理素子によって構成され、例えば第一のウォッチドッグタイマ１２０ａが論理レベル「Ｈ」側に破損異常となったような場合、第一のエラ−出力ＥＲ１と第一の異常処理回路１２１ａによって論理和素子である論理結合回路１２２の入力を強制的に論理レベル「Ｌ」に駆動して、第二のウォッチドッグタイマ１２０ｂの動作によって実効リセット信号出力（ＲＳＴ）が発生できるようになっている。
【００３１】
１２３は上記マイクロプロセッサ１０１のリセット入力端子の直近位置に接続された反転論理素子１２４を介して駆動され、実効リセット信号出力（ＲＳＴ）が動作（論理レベル「Ｌ」）してから所定時間Ｔ１後に所定時間ｔ３のワンショットパルスであるウォッチドッグタイマリセット信号ＷＤＲを発生するワンショットタイマであり、該信号ＷＤＲによって上記第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂが発生記憶した第一・第二のリセット信号がリセットされるようになっている。
１２５はフリップフロップ回路からなるリセット完了記憶素子、１２５ａ・１２５ｂは該記憶素子のリセット出力に接続され上記論理結合回路１２２の各入力を駆動する第一・第二の起動処理回路、１２６は電源スイッチ２が閉路した時に所定時間ｔ１の初期化パルスＩＰＳを発生する電源立上がりパルス発生回路、１２７は上記反転論理素子１２４の出力が論理レベル「Ｌ」から「Ｈ」に変化した時に所定時間ｔ２のパルス出力を発生し、上記リセット完了記憶素子１２５をリセットする立上がりパルス発生回路であり、上記リセット完了記憶素子１２５は電源投入時や実効リセット信号出力（ＲＳＴ）発生時にリセットされ、実行リセット信号出力（ＲＳＴ）が解除された時に上記ワンショットタイマ１２３の出力によってセットされて上記マイクロプロセッサ１０１に対するリセットが完了したことを記憶するようになっている。
【００３２】
１２８は上記負荷電源リレ−１１３の駆動回路に設けられた負荷電源停止用ゲ−ト素子であり、該ゲ−ト素子は上記マイクロプロセッサ１０１に対する実効リセット信号出力（ＲＳＴ）が解除されてから所定時間Ｔ２後にマイクロプロセッサ１０１が発生する出力許可信号出力ＯＵＴＥとほぼ同時刻にマイクロプロセッサ１０１が発生する制御出力ＤＲと上記リセット完了記憶素子１２５のセット出力ＦＳＲとを結合する論理積素子となっている。
なお、上記出力許可信号出力ＯＵＴＥはマイクロプロセッサ１０１が初期化処理を終えて正常動作を行っている間は常時出力されているものであるが、制御出力ＤＲはマイクロプロセッサ１０１の制御プログラムによって制御され、何等かの理由で負荷電源を遮断したいときには制御出力ＤＲを論理レベル「Ｌ」にすることができる。
また、上記出力許可信号出力ＯＵＴＥは上記出力インタフェ−ス回路１０５に作用して、マイクロプロセッサ１０１が出力許可信号出力ＯＵＴＥを発生するまでは全ての電気負荷４に対する制御出力を遮断するよう構成されている。
【００３３】
１２９はフリップフロップ回路からなる異常発生記憶素子であり、該記憶素子はマイクロプロセッサ１０１が発生する第一・第二のエラ−出力ＥＲ１・ＥＲ２の論理和に相当するエラ−出力ＥＲ（詳細は図４によって説明）と上記立上がりパルス発生回路１２７の出力によってセットされ、上記電源立上がりパルス発生回路１２６による初期化パルスＩＰＳによってリセットされると共に、セット出力によって警報・表示器５が駆動されたり、リセット出力によって上記駆動停止用ゲ−ト素子１０６を制御したりするように構成されている。
なお、上記マイクロプロセッサ１０１は後述の要領で第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂを交互に診断した後、意図的に発生記憶させた第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂの第一・第二のリセット信号を解除するためのモニタリセット信号出力ＭＮＲを発生するようになっている。
１３０は上記制御出力ＤＲ、第一・第二のエラ−出力ＥＲ１・ＥＲ２、実効リセット信号出力（ＲＳＴ）が供給されるリセット端子、モニタリセット信号出力ＭＮＲ、エラ−出力ＥＲ、出力許可信号出力ＯＵＴＥの各端子に接続されたプルダウン抵抗であり、該プルダウン抵抗はマイクロプロセッサ１０１が停止されている時の各端子の論理レベルを安全側の「Ｌ」に確定しておくためのものとなっている。
【００３４】
図２は図１におけるウォッチドッグタイマの詳細回路図を示したものである。
図２において、１２０は前述の第一・第二のウォッチドッグタイマ１２０ａまたは１２０ｂを代表するウォッチドッグタイマ、ＷＤｎは前述の第一・第二のウォッチドッグクリア信号ＷＤ１又はＷＤ２を代表するウォッチドッグクリア信号、ＭＮｎは前述の第一・第二のリセット信号（第一・第二のモニタ信号）ＭＮ１又はＭＮ２を代表するリセット信号（モニタ信号）、ＷＤＲはウォッチドッグタイマリセット信号である。
２００は比較器、２０１ａ・２０１ｂは正負の制御電源線、２０２ａはコンデンサ２０２ｂを充電する充電抵抗、２０３ａ・２０３ｂは分圧抵抗であり、上記充電抵抗２０２ａとコンデンサ２０２ｂや分圧抵抗２０３ａ・２０３ｂは互いに直列接続されて上記電源線２０１ａ・２０１ｂ間に接続されている。
また、上記比較器２００の非反転入力は上記充電抵抗２０２ａとコンデンサ２０２ｂの接続点に接続され、反転入力は分圧抵抗２０３ａ・２０３ｂの接続点に接続され、コンデンサ２０２ｂの充電電圧が分圧抵抗２０３ａ・２０３ｂによる分圧電圧を超過した時にフリップフロップ素子２０８をリセットするように構成されている。
【００３５】
２０５ａは微分用コンデンサ、２０６ａは該コンデンサに直列接続された立上がり検出抵抗であり、上記ウォッチドッグクリア信号ＷＤｎが論理レベル「Ｌ」から「Ｈ」に変化した時に上記検出抵抗２０６ａに電圧が発生し、出力反転素子２０４ａを介して上記コンデンサ２０２ｂの充電電荷を放電させるよう構成されている。
２０５ｂは反転論理素子２０７の出力に接続された微分用コンデンサ、２０６ｂは該コンデンサに直列接続された立上がり検出抵抗であり、上記ウォッチドッグクリア信号ＷＤｎが論理レベル「Ｈ」から「Ｌ」に変化した時に上記検出抵抗２０６ｂに電圧が発生し、出力反転素子２０４ｂを介して上記コンデンサ２０２ｂの充電電荷を放電させるよう構成されている。
従って、ウォッチドッグクリア信号ＷＤｎの立上がりまたは立下がりエッジ時点でコンデンサ２０２ｂは放電し、エッジ間では充電抵抗２０２ａによって充電されるので、ウォッチドッグクリア信号ＷＤｎのパルス幅が大きくなるとコンデンサ２０２ｂの最大充電電圧が高くなり、パルス幅が所定時間を超過すると比較器２００を介してフリップフロップ素子２０８がリセットされるものである。
【００３６】
なお、上記フリップフロップ素子２０８はコンデンサ２０９ａと抵抗２０９ｂによって電源投入時にもリセットされ、上記ウォッチドッグタイマリセット信号ＷＤＲによってセットされるよう構成されており、フリップフロップ素子２０８のセット出力がリセット信号（モニタ信号）ＭＮｎとしてマイクロプロセッサ１０１に入力されるようになっている。
また、２１０は上記フリップフロップ素子２０８のリセット出力に接続された反転論理素子であり、該反転論理素子の出力は上記コンデンサ２０２ｂと並列接続されていて、フリップフロップ素子２０８がリセットされている間は上記コンデンサ２０２ｂに対する充電が行われないように構成されている。
従って、ウォッチドッグクリア信号ＷＤｎのパルス幅が所定時間幅を超過するとフリップフロップ素子２０８がリセットされて、そのセット出力は論理レベル「Ｌ」となるが、ウォッチドッグタイマリセット信号ＷＤＲが論理レベル「Ｈ」になると、フリップフロップ素子２０８はセットされ、そのセット出力ＭＮｎの論理レベルは「Ｈ」となってマイクロプロセッサ１０１に対するリセット信号が解除されることになるものである。
【００３７】
（２）実施の形態１の作用・動作の詳細な説明
図３は図１のものにおける動作説明用タイムチャ−ト、特に暴走監視回路が正常に動作している時の各部の動作を示したものである。
図３において、チャ−ト（ａ）において電源スイッチ２がＯＮするとチャ−ト（ｂ）で示すように電源立上がりパルス発生回路１２６によって初期化パルスＩＰＳがｔ１時間だけ発生し、リセット完了記憶素子１２５や異常発生記憶素子１２９がリセット状態に初期化され、第一・第二の起動処理回路１２５ａ・１２５ｂと論理結合回路１２２を介してマイクロプロセッサ１０１のリセット入力（ＲＳＴ）には実行リセット信号出力が供給されることになる。
その結果、反転論理素子１２４を介してワンショットタイマ１２３が活性化され、チャ−ト（ｈ）に示すとおり所定時間Ｔ１を置いて時間幅ｔ３のウォッチドッグタイマリセット信号ＷＤＲを発生する。
【００３８】
これに伴って、チャ−ト（ｃ）（ｄ）（ｅ）に示すようにリセット完了記憶素子１２５のセット出力ＦＳＲが発生して第一・第二の起動処理回路１２５ａ・１２５ｂの出力が論理レベル「Ｈ」となったり、第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂのリセット信号（モニタ信号ＭＮ１・ＭＮ２）が論理レベル「Ｈ」となったりすることにより、チャ−ト（ｆ）で示すようにマイクロプロセッサ１０１のリセット動作が解除される。
マイクロプロセッサ１０１のリセット動作が解除されると、マイクロプロセッサ１０１は初期化プログラムを実行し、続いて制御プロイグラムの実行を開始する。
これらのプログラムの実行開始に伴い、チャ−ト（ｉ）（ｊ）に示すとおり第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２が発生し、プログラム実行開始Ｔ２時間後にはチャ−ト（ｍ）（ｎ）に示すとおり出力許可信号ＯＵＴＥや制御出力ＤＲが発生し、負荷電源リレ−１１３が動作するようになる。
【００３９】
以上のようにしてマイクロプロセッサ１０１は正常に制御プログラムを実行し、電気負荷４を制御するが、ここで時刻Ｔｘにおいてマイクロプロセッサ１０１にノイズ誤動作等による一時的な異常が発生して、第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２が途絶えるか、発生パルス幅が所定値を超過した場合を説明すると、先ずチャ−ト（ｄ）（ｅ）に示すとおり第一・第二のリセット信号（モニタ信号ＭＮ１・ＭＮ２）が論理レベル「Ｌ」となり、その結果チャ−ト（ｆ）に示すとおり論理結合回路１２２を介して実効リセット信号出力（ＲＳＴ）が論理レベル「Ｌ」となる。
これに伴い、チャ−ト（ｇ）に示すとおり立上がりパルス発生回路１２７が時間幅ｔ２のパルスＰＬＳを発生し、チャ−ト（ｃ）に示すとおりリセット完了記憶素子１２５がリセットされてそのセット出力は論理レベル「Ｌ」となり、負荷電源リレ−１１３が消勢される。
【００４０】
同様に、上記パルスＰＬＳによってチャ−ト（ｌ）に示すとおり異常発生記憶素子１２９がセットされて、そのリセット出力であるインタ−ロック信号ＩＴＬは論理レベル「Ｌ」となって駆動停止用ゲ−ト素子１０６を閉鎖すると共に、セット出力で警報・表示器５が作動する。
一方、実効リセット信号出力（ＲＳＴ）が論理レベル「Ｌ」となってマイクロプロセッサ１０１がリセットされたことにより、チャ−ト（ｎ）（ｍ）に示すとおり出力許可信号ＯＵＴＥや制御出力ＤＲも論理レベル「Ｌ」となる。
更に、実効リセット信号出力（ＲＳＴ）が論理レベル「Ｌ」となってマイクロプロセッサ１０１がリセットしてから所定時間Ｔ１後には、チャ−ト（ｈ）で示すとおりワンショットタイマ１２３が時間幅ｔ３のパルスを発生し、リセット完了記憶素子１２５をセットしたり、第一・第二のウォッチドッグタイマの動作を解除たりするので、マイクロプロセッサ１０１は再度正常動作を開始することになる。
ただし、異常発生記憶素子１２９はセット状態が継続しているので、チャ−ト（ｌ）に示すとおりインタ−ロック信号ＩＴＬは論理レベル「Ｌ」のままとなり、警報・表示器５も動作を継続している。
【００４１】
次に、時刻Ｔｙにおいてチャ−ト（ｉ）に示すとり第一のウォッチドッグクリア信号ＷＤ１を意図的に停止した場合や、パルス幅が所定値を超過した場合を説明すると、チャ−ト（ｄ）に示すとおり第一のウォッチドッグタイマ１２０ａのリセット信号（第一のモニタ信号ＭＮ１）は論理レベル「Ｌ」に変化するが、第二のリセット信号（モニタ信号ＭＮ２）が論理レベル「Ｈ」のままであるから、論理結合回路１２２の出力である実効リセット信号出力（ＲＳＴ）は論理レベル「Ｈ」のままであって、マイクロプロセッサ１０１がリセットされることは無い。
なお、マイクロプロセッサ１０１は以上の制御によって第一のウォッチドッグタイマ１２０ａの診断を行った後、チャ−ト（ｋ）に示すとおりモニタリセット信号出力ＭＮＲを発生し、第一のウォッチドッグタイマ１２０ａをリセットすることにより第一のリセット信号（モニタ信号ＭＮ１）はチャ−ト（ｄ）に示すとおり論理レベル「Ｈ」に復帰し、第一のウォッチドッグクリア信号ＷＤ１も正常パルスを発生するようになる。
【００４２】
図４は図１のものにおける異常診断手段の動作説明用フロ−チャ−トを示したものである。
図４において、４００は診断開始工程、４０１は該工程に続いて作用し第二のモニタ信号ＭＮ２の論理レベルが「Ｌ」であるかどうかを判定する工程、４０２は該判定工程がＮＯである時に作用し第一のエラ−出力ＥＲ１を発生（論理レベル「Ｈ］）する工程、４０３は該工程に続いて作用し第一のモニタ信号ＭＮ１が第一の異常処理回路１２１ａによって論理レベル「Ｌ」になったかどうかを判定する工程、４０４は該判定工程がＹＥＳである時に作用し、上記工程４０２で発生した第一のエラ−出力ＥＲ１を解除する工程であり、上記判定工程４０１ではもしもモニタ信号ＭＮ２が論理レベル「Ｌ」になっている時には第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂの診断を行わないよう後述の工程４４０へ移行するようになっている。
【００４３】
また、上記判定工程４０３で第一のモニタ信号ＭＮ１が論理レベル「Ｌ」にならない場合には第一の異常処理回路１２１ａの不良であって、後述の工程４１２によってエラ−出力ＥＲと第一のエラ−出力ＥＲ１の動作が記憶され、この記憶状態は電源を遮断するまで保持されるようになっている。
なお、上記工程４０２、４０３、４０４によって構成された工程ブロック４１４は、第一の異常処理回路１２１ａの動作を確認するための第一の確認手段となっている。
４０５は上記工程４０４に続いて作用し、第一のウォッチドッグクリア信号ＷＤ１を意図的に停止するか、パルス時間幅を所定値超過にする工程であり、該工程では第二のウォッチドッグクリア信号ＷＤ２は正常パルス列を発生し続けるようになっている。
【００４４】
４０６は上記工程４０５に続いて作用し、判定タイマを駆動するする工程であり、該判定タイマはウォッチドッグクリア信号ＷＤ１やＷＤ２のパルス幅の許容最大値よりも若干長い目の時間Ｔ０が経過するとタイムアップするようにソフトウエア上でプログラムされているものである。
４０７は上記工程４０６に続いて作用し、上記判定タイマがタイムアップしたかどうかを判定する工程、４０８は該判定工程がまだタイムアップしていないと判定した時に作用し、第一のモニタ信号ＭＮ１の論理レベルが「Ｌ」になったかどうかを判定する工程であり、該判定工程がＮＯであれば上記工程４０５に移行して工程４０５から工程４０８の動作を繰り返すようになっている。
【００４５】
この繰返し動作の過程で、若しも上記工程４０７がタイムアップを判定した場合には工程４１２に移行してエラ−出力ＥＲや第一のエラ−出力ＥＲ１を発生記憶する。
また、上記工程４０７がタイムアップしない時間内に工程４０８がＹＥＳの判定を行った場合には工程４０９へ移行し、該工程では上記工程４０６で駆動された判定タイマの駆動を解除するようになっている。
４１０は上記工程４０９に続いて作用し、上記工程４０５で意図的に異常にした第一のウォッチドッグクリア信号ＷＤ１を正常化すると共に、モニタリセット信号ＭＮＲを発生する工程、４１１は該工程に続いて作用し、第一のモニタ信号ＭＮ１が論理レベル「Ｈ」に復帰したかどうかを判定する工程であり、該判定工程がＮＯの時には工程４１２へ移行して、エラ−出力ＥＲや第一のエラ−出力ＥＲ１を発生記憶する。
４１３は工程４０１から工程４１２で構成される工程ブロックであり、該工程ブロックによって第一のウォッチドッグタイマ１２０ａを診断するための第一の異常診断手段が構成されている。
【００４６】
４２１は上記判定工程４１１がＹＥＳである時に作用し第一のモニタ信号ＭＮ１の論理レベルが「Ｌ」であるかどうかを判定する工程、４２２は該判定工程がＮＯである時に作用し第二のエラ−出力ＥＲ２を発生（論理レベル「Ｈ］）する工程、４２３は該工程に続いて作用し第二のモニタ信号ＭＮ２が第二の異常処理回路１２１ｂによって論理レベル「Ｌ」になったかどうかを判定する工程、４２４は該判定工程がＹＥＳである時に作用し、上記工程４２２で発生した第二のエラ−出力ＥＲ２を解除する工程であり、上記判定工程４２１ではもしもモニタ信号ＭＮ１が論理レベル「Ｌ」になっている時には第二のウォッチドッグタイマ１２０ｂの診断を行わないよう後述の工程４４０へ移行するようになっている。
【００４７】
また、上記判定工程４２３で第二のモニタ信号ＭＮ２が論理レベル「Ｌ」にならない場合には第二の異常処理回路１２１ｂの不良であって、後述の工程４３２によってエラ−出力ＥＲと第二のエラ−出力ＥＲ２の動作が記憶され、この記憶状態は電源を遮断するまで保持されるようになっている。
なお、上記工程４２２、４２３、４２４によって構成された工程ブロック４３４は、第二の異常処理回路１２１ｂの動作を確認するための第二の確認手段となっている。
４２５は上記工程４２４に続いて作用し、第二のウォッチドッグクリア信号ＷＤ２を意図的に停止するか、パルス時間幅を所定値超過にする工程であり、該工程では第一のウォッチドッグクリア信号ＷＤ１は正常パルス列を発生し続けるようになっている。
【００４８】
４２６は上記工程４２５に続いて作用し、判定タイマを駆動するする工程であり、該判定タイマはウォッチドッグクリア信号ＷＤ１やＷＤ２のパルス幅の許容最大値よりも若干長い目の時間Ｔ０が経過するとタイムアップするようにソフトウエア上でプログラムされているものである。
４２７は上記工程４２６に続いて作用し、上記判定タイマがタイムアップしたかどうかを判定する工程、４２８は該判定工程がまだタイムアップしていないと判定した時に作用し、第二のモニタ信号ＭＮ２の論理レベルが「Ｌ」になったかどうかを判定する工程であり、該判定工程がＮＯであれば上記工程４２５に移行して工程４２５から工程４２８の動作を繰り返すようになっている。
【００４９】
この繰返し動作の過程で、若しも上記工程４２７がタイムアップを判定した場合には工程４３２に移行してエラ−出力ＥＲや第二のエラ−出力ＥＲ２を発生記憶する。
また、上記工程４２７がタイムアップしない時間内に工程４２８がＹＥＳの判定をおこなった場合には工程４２９へ移行し、該工程では上記工程４２６で駆動された判定タイマの駆動を解除するようになっている。
４３０は上記工程４２９に続いて作用し、上記工程４２５で意図的に異常にした第二のウォッチドッグクリア信号ＷＤ２を正常化すると共に、モニタリセット信号ＭＮＲを発生する工程、４３１は該工程に続いて作用し、第二のモニタ信号ＭＮ２が論理レベル「Ｈ」に復帰したかどうかを判定する工程であり、該判定工程がＮＯの時には工程４３２へ移行して、エラ−出力ＥＲや第二のエラ−出力ＥＲ２を発生記憶する。
４３３は工程４２１から工程４３２で構成される工程ブロックであり、該工程ブロックによって第二のウォッチドッグタイマ１２０ｂを診断するための第二の異常診断手段が構成されている。
【００５０】
４４０は上記判定工程４０１と４２１や４３１がＹＥＳの時、あるいは工程４１２・４３２に続いて作用し、第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２を正常出力に戻す工程、４４１は該工程に続く診断終了工程であり、以上のようにして第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂの異常診断が完了すると適宜の時間をおいて再度診断開始工程４００へ移行するようになっている。
【００５１】
以下に、図３・図４による動作説明を踏まえた上で、図１のものの主要部の動作について再度総論的に説明する。
マイクロプロセッサ１０１が発生する一対のウォッチドッグクリア信号ＷＤ１・ＷＤ２のパルス幅を監視する一対のウォッチドッグタイマ１２０ａ・１２０ｂは、パルス幅が所定値を超過すると第一・第二のリセット信号を発生し、このリセット信号は第一・第二のモニタ信号ＭＮ１・ＭＮ２としてマイクロプロセッサ１０１に取込まれている。
また、上記一対のリセット信号は論理結合回路１２２を介してマイクロプロセッサ１０１のリセット入力端子（ＲＳＴ）に接続されていて、一対のリセット信号が共に論理レベル「Ｌ」である時にマイクロプロセッサ１０１に実効リセット信号出力を供給してマイクロプロセッサ１０１をリセットすると共に、この実効リセット信号出力はワンショットタイマ１２３によって自動的に解除されることになる。
【００５２】
従って、診断目的で一方のウォッチドッグタイマのリセット信号を発生させても、他方のウォッチドッグタイマがリセット信号を発生しない限り実効リセット信号出力を発生することが無いので、一対のウォッチドッグタイマの交互診断が行えるものである。
診断結果として一方のウォッチドッグタイマが不動作側異常（本来リセット信号を発生しなければならないにもかかわらずリセット信号が発生しない状態）であれば、このままでは永久に実効リセット信号出力が発生できない状態となるので、リセット異常処理回路１２１ａ又は１２１ｂによって強制的に論理レベル「Ｌ」にされ、その結果他方のウォッチドッグタイマによるリセット信号が有効となるよう配慮されている。
【００５３】
一方、論理結合回路１２２に関しては、運転中に診断動作を行うことができないので電源投入後の起動時に動作確認が行われる。
一対の起動処理回路１２５ａ・１２５ｂは万一一対のウォッチドッグタイマ１２０ａ・１２０ｂのいずれかが不動作側異常（論理レベル「Ｈ」）となっている時に、論理結合回路１２２を介してマイクロプロセッサ１０１をリセットするものであるが、若しも論理結合回路１２２が破損していてその出力が論理レベル「Ｌ」にならない時にはワンショットタイマ１２３が活性化されず、リセット完了記憶素子１２５がセットされないことになる。
その結果、負荷電源リレ−１１３が動作しないので安全が確保されると共に、異常状態であることが容易に判断できることになる。
【００５４】
次に正常運転中のマイクロプロセッサ１０１がノイズ誤動作等によって一時的に異常となった場合を想定すると、第一および第二のウォッチドッグタイマ１２０ａ・１２０ｂがリセット信号を発生してマイクロプロセッサ１０１は停止するが、ワンショットタイマ１２３によって直ちにリセット信号が解除される。
リセット完了記憶素子１２５は、マイクロプロセッサ１０１がリセットされた時に立上がりパルス発生回路１２７によって一時的にリセットされるが、リセット完了に伴ってワンショットタイマ１２３によって再びセットされるので、電源リレ−１１３も動作可能となる。
従って、自動車用エンジン制御装置の場合にあっては、多くの場合に運転手が気づかない内に正常運転に復帰することになる。
【００５５】
しかし、異常発生記憶素子１２９は一度でも実効リセット信号出力が発生すれば立上がりパルス発生回路１２７によってセットされるほか、エラ−出力ＥＲの発生によってもセットされるので、これに伴って警報・表示器５が作動すると共に、インタ−ロック信号ＩＴＬによって特定の電気負荷の駆動が停止され、この状態は電源スイッチ２を再度投入するまで維持されて運転手に異常を伝えることができるものである。
なお、ここで言う特定の電気負荷とは、例えば電子スロットル制御による自動車の定速走行制御装置とか走行用前方・側方監視装置などの安全に関わる便利機能を有効にするためのモ−ド切換信号出力あるいはアクチェ−タであって、これが機能しなくても自動車の運転には困らないものである。
これに対し、点火制御や燃料噴射制御等のエンジンの回転制御に関わる基本機能は退避・帰宅運転を行うためになるべく継続制御することが必要となるので、たとえ一方のウォッチドッグタイマが異常であっても運転が可能となるよう配慮した実施の形態を示している。
【００５６】
実施の形態２．
（１）実施の形態２の構成の詳細な説明
以下この発明の実施の形態２の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図５に示し、図１のものとの相違点を中心にして説明する。
図５において、５００は自動車用エンジン制御装置等の電子機器であり、該電子機器にはサブマイクロプロセッサ５０７から出力インタフェ−ス回路５０５を介して制御される第二の電気負荷群７が接続されていて、該第二の電気負荷群の一部のものには第二の駆動停止用ゲ−ト素子５０６が接続されている。
また、上記サブマイクロプロセッサ５０７には入力インタフェ−ス回路５０４を介して第二の入力センサ群６が接続されている。
なお、上記サブマイクロプロセッサ５０７はメインとなるマイクロプロセッサ５０１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【００５７】
５０１は演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ５０３を備えたメインとなるマイクロプロセッサであり、該マイクロプロセッサ５０１は上記サブマイクロプロセッサ５０７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ５０７を再起動するようになっている。
また、上記サブマイクロプロセッサ５０７は第一・第二の論理結合回路５２２ａ・５２２ｂの出力によって、メインとなるマイクロプロセッサ５０１のリセットと同時にリセットされるようになっている。
５０８は上記リセット信号出力（ＲＳＴＳ）が論理レベル「Ｈ」から「Ｌ」に変化した時に短時間パルスを発生する立下がりパルス発生回路、５０９は該パルス発生回路の発生パルスと上記マイクロプロセッサ５０１が発生するエラ−出力ＥＲを論理和する論理結合素子であり、該論理結合素子が発生する合成エラ−出力ＥＲ０によって異常発生記憶素子１２９がセットされるよう構成されている。
【００５８】
５２０ａ・５２０ｂは第一・第二のウォッチドッグタイマであり、図６で詳述するとおりこれらのウォッチドッグタイマは自己リセット回路６３０を内蔵しているので、図１におけるワンショットタイマ１２３やモニタリセット信号ＭＮＲが不要となり、リセット完了記憶素子１２５も上記第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂが発生する第一・第二のウォッチドッグタイマリセット信号ＷＤＲ１・ＷＤＲ２によってセットされるようになっている。
また、図１における論理結合回路１２２に代わって、論理和素子である一対の論理結合回路５２２ａと５２２ｂを並列接続して構成された二重化された論理結合回路が用いられている。
【００５９】
図６は図５におけるウォッチドッグタイマの詳細回路図を示したものである。
図６において、５２０は前述の第一・第二のウォッチドッグタイマ５２０ａまたは５２０ｂを代表するウォッチドッグタイマ、ＷＤｎは前述の第一・第二のウォッチドッグクリア信号ＷＤ１又はＷＤ２を代表するウォッチドッグクリア信号、ＭＮｎは前述の第一・第二のリセット信号（第一・第二のモニタ信号）ＭＮ１又はＭＮ２を代表するリセット信号（モニタ信号）、ＷＤＲｎは第一・第二のウォッチドッグタイマリセット信号ＷＤＲ１・ＷＤＲ２を代表するものであり、上記ウォッチドッグタイマ５２０は図２におけるウォッチドッグタイマ１２０とほぼ同等のタイマ回路部１２０ｃと自己リセット回路６３０によって構成されている。
上記タイマ回路部１２０ｃは図２のものと比べてフリップフロップ素子２０８（６０８）のセット入力信号が自己リセット回路６３０から供給されている相違点があるがその他は全く同一内容となっている。
【００６０】
自己リセット回路６３０において、６３１は上記ウォッチドッグタイマリセット信号ＷＤＲｎを発生して、上記フリップフロップ素子２０８に相当するフリップフロップ素子６０８や図５におけるリセット完了記憶素子１２５をセットする比較器、２０１ａ・２０１ｂは正負の制御電源線、６３２ａはコンデンサ６３２ｂを充電する充電抵抗、６３３ａ・６３３ｂは分圧抵抗であり、上記充電抵抗６３２ａとコンデンサ６３２ｂや分圧抵抗６３３ａ・６３３ｂは互いに直列接続されて上記電源線２０１ａ・２０１ｂ間に接続されている。
また、上記比較器６３１の非反転入力は上記充電抵抗６３２ａとコンデンサ６３２ｂの接続点に接続され、反転入力は分圧抵抗６３３ａ・６３３ｂの接続点に接続され、コンデンサ６３２ｂの充電電圧が分圧抵抗６３３ａ・６３３ｂによる分圧電圧を超過した時にフリップフロップ素子６０８をセットするように構成されている。
【００６１】
６３４は上記コンデンサ６３２ｂの充電電荷を放電するための出力反転素子、６３５は並列ダイオ−ド６３６を備え、コンデンサ６３７を充電する充電抵抗であり、上記フリップフロップ素子６０８のセット出力が論理レベル「Ｈ」になると充電抵抗６３５を介してコンデンサ６３７が充電され、その充電電圧が所定値を超過すると上記出力反転素子６３４の出力が論理レベル「Ｌ」となって、コンデンサ６３２ｂの充電電荷を放電すると共に、比較器６３１の出力は論理レベル「Ｌ」となるよう構成されている。
一方、フリップフロップ素子６０８のセット出力が論理レベル「Ｌ」になった時には、コンデンサ６３７の充電電荷は並列ダイオ−ド６３６を介して速やかに放電し、出力反転素子６３４の出力が論理レベル「Ｈ」となってコンデンサ６３２ｂの充電が開始するようになっている。
【００６２】
ウォッチドッグタイマ５２０の全体構成を再度整理すると、フリップフロップ素子６０８は電源投入時にはコンデンサ２０９ａによってリセットされ、運転中においてはウォッチドッグクリア信号ＷＤｎが異常になると比較器２００によってリセットされ、そのセット出力が論理レベル「Ｌ」となってこれがモニタ信号ＭＮｎとなるものである。
フリップフロプ素子６０８のセット出力ＭＮｎが論理レベル「Ｌ」となれば、直ちにコンデンサ６３２ｂの充電が開始し、所定時間Ｔ１後には比較器６３１の出力ＷＤＲｎによってフリップフロップ素子６０８はセットされ、モニタ信号ＭＮｎの論理レベルは「Ｈ」に復帰する。
フリップフロプ素子６０８のセット出力が論理レベル「Ｈ」となればコンデンサ６３７の充電が開始し、所定時間ｔ３後には出力反転素子６３４の出力が論理レベル「Ｌ」となって比較器６３１の出力ＷＤＲｎは論理レベル「Ｌ」となり、フリップフロップ素子６０８のセット入力は解除されるよう構成されている。
以上に述べたタイミング関係は図３（ｈ）のタイムチャ−トに示すとおりとなっている。
【００６３】
（２）実施の形態２の作用・動作の詳細な説明
以上のとおり構成された図５のものにおいて、一対のウォッチドッグタイマ５２０ａ・５２０ｂや論理結合回路５２２ａ・５２２ｂによる暴走監視回路そのものの動作は、結果的には図１のものと同一である。
ただし、図１におけるワンショットタイマ１２３がウォッチドッグタイマ５２０ａ・５２０ｂに夫々内蔵されているので、二重化回路部分が多くなり信頼性が向上する。
即ち、図１のものではワンショットタイマ１２３が異常になると、ウォッチドッグタイマ１２０ａ・１２０ｂが共にリセットされないかリセットされたままになるという問題がある。
これに対し、図５の構成であれば一方の自己リセット回路６３０が異常となっても他方のウォッチドッグタイマは有効に機能することになる。
また、論理結合回路５２２ａ・５２２ｂも二重化されているので、全体として回路部品は増加するが、図５のものは図１のものに比べて信頼度の高いものとして構成されている。
【００６４】
一方、ウォッチドッグタイマが自己リセット機能を内蔵したことに伴い、マイクロプロセッサ５０１はモニタリセット信号出力ＭＮＲを発生しない構成となっている。
マイクロプロセッサ５０１の作用動作を図４について説明すると、図４における工程４１０や工程４３０において、ＭＮＲ出力を発生する代わりに自己リセット回路６３０がウォッチドッグタイマ５２０ａ・５２０ｂを自己リセットするまでの時間待ちを行って次の工程に移行すれば良いことになる。
それ以外の動作フロ−は図４に示すとおりである。
【００６５】
メインとなるマイクロプロセッサ５０１と協動するサブマイクロプロセッサ５０７は図示しない制御プログラムによって第二の電気負荷群７を制御するが、そのウォッチドッグクリア信号ＷＤＳはマイクロプロセッサ５０１のプログラムメモリ５０３に内蔵された暴走監視手段によって監視され、サブマイクロプロセッサ５０７の単独異常の場合にはマイクロプロセッサ５０１によってリセットされる。
ただし、マイクロプロセッサ５０１が異常である時にはサブマイクロプロセッサ５０７が正常であっても第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂによってマイクロプロセッサ５０１及びサブマイクロプロセッサ５０７が共にリセットされる。
サブマイクロプロセッサ５０７の単独異常に対しては、異常発生記憶素子１２９によって記憶され、インタ−ロック信号ＩＴＬや警報・表示器５が作動するようになっている。
【００６６】
この異常発生記憶素子１２９はマイクロプロセッサ５０１の発生するエラ−出力ＥＲや、第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂによる実効リセット信号出力の作動も記憶するようになっており、異常記憶に伴うインタ−ロック信号ＩＴＬは電気負荷群４の一部電気負荷のみならず、第二の電気負荷群７の中の一部電気負荷の駆動停止を行うようになっている。
また、上記第二の電気負荷群７は負荷電源リレ−１１３の出力接点１１４を介して電源１から給電されるようになっている。
【００６７】
実施の形態３．
（１）実施の形態３の構成の詳細な説明
以下この発明の実施の形態３の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図７に示し、図１のものとの相違点を中心にして説明する。
図７において、７００は自動車用エンジン制御装置等の電子機器であり、該電子機器は演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ７０３を備えたマイクロプロセッサ７０１によって制御されている。図１のものと同様に上記マイクロプロセッサ７０１が発生する第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２は第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂによって監視され、該第一・第二のウォッチドッグタイマが発生する第一・第二のリセット信号は第一・第二のモニタ信号ＭＮ１・ＭＮ２としてマイクロプロセッサ７０１に入力されている。
【００６８】
７２１ａは上記第一のウォッチドッグタイマ１２０ａが発生する第一のリセット信号と、上記マイクロプロセッサ７０１が発生する第一のテスト出力ＴＳＴ１を論理和する第一のゲ−ト素子、７２１ｂは上記第二のウォッチドッグタイマ１２０ｂが発生する第二のリセット信号と、上記マイクロプロセッサ７０１が発生する第二のテスト出力ＴＳＴ２を論理和する第二のゲ−ト素子、７２２は上記第一・第二のテスト出力ＴＳＴ１・ＴＳＴ２に対する論理積の否定出力を発生する異常処理回路であり、上記第一・第二のゲ−ト素子７２１ａ・７２１ｂの出力と上記異常処理回路７２２の出力はワイア−ドＯＲ結合されて上記マイクロプロセッサ７０１のリセット入力（ＲＳＴ）に接続されている。
なお、上記第一・第二のゲ−ト素子７２１ａ・７２１ｂは、請求項７，８及び１９に記載の発明におけるゲ−ト回路に相当する。また、上記第一・第二のゲ−ト素子７２１ａ・７２１ｂや異常処理回路７２２の出力部分はプルアップ抵抗としてのコレクタ抵抗を備えたＮＰＮトランジスタで構成されていて、各出力を直接接続しても良い回路形式のものとされている。
【００６９】
７２５ａ・７２５ｂはリセット完了記憶素子１２５のリセット出力と上記第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂの出力間に接続された反転論理素子からなる第一・第二の起動処理回路であり、該起動処理回路は万一第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂが共に不動作側異常であっても、リセット完了記憶素子１２５がリセットされている起動時には上記第一又は第二のゲ−ト素子７２１ａ又は７２１ｂを介してマイクロプロセッサ７０１をリセットするように構成されている。
また、上記異常処理回路７２２は万一マイクロプロセッサ７０１の発生する第一・第二のテスト出力ＴＳＴ１・ＴＳＴ２が共に論理レベル「Ｈ」であれば、マイクロプロセッサ７０１をリセットするよう構成されている。
【００７０】
（２）実施の形態３の作用・動作の詳細な説明
図８は図７のものにおける異常診断手段の動作説明用フロ−チャ−トを示したものである。
図８において、８００は診断開始工程、８０１は該工程に続いて作用し後述の工程８２１において異常検出フラグがセットされたかどうかを判定する工程、８０２は該判定工程がＮＯである時に作用し第一のテスト出力ＴＳＴ１を発生すると共に、第一のウォッチドッグクリア信号ＷＤ１を意図的に停止するか、パルス時間幅を所定値超過にする工程であり、該工程では第二のウォッチドッグクリア信号ＷＤ２は正常パルス列を発生し続けるようになっている。
８０３は上記工程８０２に続いて作用し、判定タイマを駆動するする工程であり、該判定タイマはウォッチドッグクリア信号ＷＤ１やＷＤ２のパルス幅の許容最大値よりも若干長い目の時間Ｔ０が経過するとタイムアップするようにソフトウエア上でプログラムされているものである。
【００７１】
８０４は上記工程８０３に続いて作用し、上記判定タイマがタイムアップしたかどうかを判定する工程、８０５は該判定工程がまだタイムアップしていないと判定した時に作用し、第一のモニタ信号ＭＮ１の論理レベルが「Ｌ」になったかどうかを判定する工程であり、該判定工程がＮＯであれば上記工程８０２に移行して工程８０２から工程８０５の動作を繰り返すようになっている。
この繰返し動作の過程で、若しも上記工程８０４がタイムアップを判定した場合には工程８２１に移行してエラ−出力ＥＲやエラ−フラグＦＬＡＧを発生記憶する。
また、上記工程８０４がタイムアップしない時間内に工程８０５がＹＥＳの判定を行った場合には工程８０６へ移行し、該工程では上記工程８０３で駆動された判定タイマの駆動を解除すると共に、モニタリセット信号ＭＮＲを発生して第一のウォッチドッグタイマ１２０ａをリセットするようになっている。
【００７２】
なお、上記判定工程８０５がＹＥＳの判定を行うと言うことは、第一のウォッチドッグタイマ１２０ａが動作して、第一のリセット信号即ち第一のモニタ信号ＭＮ１が論理レベル「Ｌ」になると言うことであるが、この時点では上記第一のテスト出力ＴＳＴ１が論理レベル「Ｈ」になっているので、図７における第一のゲ−ト素子７２１ａの作用によって実効リセット信号出力（ＲＳＴ）は発生しないようにして、被テスト側ウォッチドッグタイマが切り離されている。
８０７は上記工程８０６に続いて作用し、第一のモニタ信号ＭＮ１が論理レベル「Ｈ」に復帰したかどうかを判定する工程であり、該判定工程がＮＯの時には上記工程８２１へ移行して、エラ−出力ＥＲやエラ−フラグＦＬＡＧを発生記憶する。
８０８は上記判定工程８０７がＹＥＳであった時に作用し、上記工程８０２で意図的に異常にされた第一のウォッチドッグクリア信号ＷＤ１を正常化すると共に、第一のテスト出力ＴＳＴ１を解除して論理レベル「Ｌ」にするようになっている。
８０９は上記工程８０２から工程８０８によって構成された工程ブロックであり、該工程ブロックは第一のウォッチドッグタイマ１２０ａを診断するための第一の異常診断手段を構成している。
【００７３】
８１２は上記工程８０８に続いて作用して第二のテスト出力ＴＳＴ２を発生すると共に、第二のウォッチドッグクリア信号ＷＤ２を意図的に停止するか、パルス時間幅を所定値超過にする工程であり、該工程では第一のウォッチドッグクリア信号ＷＤ１は正常パルス列を発生し続けるようになっている。
８１３は上記工程８１２に続いて作用して判定タイマを駆動する工程であり、該判定タイマはウォッチドッグクリア信号ＷＤ１やＷＤ２のパルス幅の許容最大値よりも若干長い目の時間Ｔ０が経過するとタイムアップするようにソフトウエア上でプログラムされているものである。
【００７４】
８１４は上記工程８１３に続いて作用し、上記判定タイマがタイムアップしたかどうかを判定する工程、８１５は該判定工程がまだタイムアップしていないと判定した時に作用し、第二のモニタ信号ＭＮ２の論理レベルが「Ｌ」になったかどうかを判定する工程であり、該判定工程がＮＯであれば上記工程８１２に移行して工程８１２から工程８１５の動作を繰り返すようになっている。
この繰返し動作の過程で、若しも上記工程８１４がタイムアップを判定した場合には工程８２１に移行してエラ−出力ＥＲやエラ−フラグＦＬＡＧを発生記憶する。
また、上記工程８１４がタイムアップしない時間内に工程８１５がＹＥＳの判定を行った場合には工程８１６へ移行し、該工程では上記工程８１３で駆動された判定タイマの駆動を解除すると共に、モニタリセット信号ＭＮＲを発生して第二のウォッチドッグタイマ１２０ｂをリセットするようになっている。
【００７５】
なお、上記判定工程８１５がＹＥＳの判定を行うと言うことは、第二のウォッチドッグタイマ１２０ｂが動作して、第二のリセット信号即ち第二のモニタ信号ＭＮ２が論理レベル「Ｌ」になると言うことであるが、この時点では上記第二のテスト出力ＴＳＴ２が論理レベル「Ｈ」になっているので、図７における第二のゲ−ト素子７２１ｂの作用によって実効リセット信号出力（ＲＳＴ）は発生しないようにして、被テスト側ウォッチドッグタイマが切り離されている。
８１７は上記工程８１６に続いて作用し、第二のモニタ信号ＭＮ２が論理レベル「Ｈ」に復帰したかどうかを判定する工程であり、該判定工程がＮＯの時には上記工程８２１へ移行して、エラ−出力ＥＲやエラ−フラグＦＬＡＧを発生記憶する。
８１８は上記判定工程８１７がＹＥＳであった時に作用し、上記工程８１２で意図的に異常にされた第二のウォッチドッグクリア信号ＷＤ２を正常化すると共に、第二のテスト出力ＴＳＴ２を解除して論理レベル「Ｌ」にするようになっている。
８１９は上記工程８１２から工程８１８によって構成された工程ブロックであり、該工程ブロックは第二のウォッチドッグタイマ１２０ｂを診断するための第二の異常診断手段を構成している。
【００７６】
８２１は上記判定工程８０４、８０７、８１４、８１７が異常判定であった時に作用して、エラ−出力ＥＲやエラ−フラグＦＬＡＧを発生記憶する工程、８２２は上記工程８０２や工程８１２において意図的に異常化された第一・第二のウォッチドッグクリア信号ＷＤ１・ＷＤ２を正常化する工程、８２３は上記判定工程８０１がＹＥＳであった時や工程８１８、８２２に続いて作用する診断終了工程であり、以上のようにして第一・第二のウォッチドッグタイマ１２０ａ・１２０ｂの異常診断が完了すると適宜の時間をおいて再度診断開始工程８００へ移行するようになっている。
なお、上記工程８０７又は工程８１７から工程８２１へ移行した場合にはテスト出力ＴＳＴ１またはＴＳＴ２は論理レベル「Ｈ」のままとなっていて、ウォッチドッグタイマ１２０ａ・１２０ｂの動作側異常に対して不要な実効リセット信号出力が発生しないようになっている。
【００７７】
以下に、図８による動作説明を踏まえた上で、図７のものの主要部の動作について再度総論的に説明する。
マイクロプロセッサ７０１が発生する一対のウォッチドッグクリア信号ＷＤ１・ＷＤ２のパルス幅を監視する一対のウォッチドッグタイマ１２０ａ・１２０ｂは、パルス幅が所定値を超過すると第一・第二のリセット信号を発生し、このリセット信号は第一・第二のモニタ信号ＭＮ１・ＭＮ２としてマイクロプロセッサ７０１に取込まれている。
また、上記一対のリセット信号は一対のゲ−ト素子７２１ａ・７２１ｂを介してマイクロプロセッサ７０１のリセット入力端子に接続されていて、一対のリセット信号のいずれか一方が論理レベル「Ｌ」である時にマイクロプロセッサ７０１に実効リセット信号出力を供給してマイクロプロセッサ７０１をリセットすると共に、この実効リセット信号出力はワンショットタイマ１２３によって自動的に解除されることになる。
【００７８】
ただし、第一・第二のテスト出力ＴＳＴ１・ＴＳＴ２が論理レベル「Ｈ」になっていると、第一・第二のゲ−ト素子７２１ａ・７２１ｂの作用によって実効リセット信号出力は発生しないようになっている。
従って、診断目的で一方のウォッチドッグタイマのリセット信号を発生させても、他方のウォッチドッグタイマがリセット信号を発生しない限り実効リセット信号出力を発生することが無いので、一対のウォッチドッグタイマの異常診断が行えるものである。
診断結果として一方のウォッチドッグタイマが不動作側異常（本来リセット信号を発生しなければならないにもかかわらずリセット信号が発生しない状態）であっても、他方のウォッチドッグタイマによるリセット信号が有効であるが、もしも診断動作中に動作側異常（本来リセット信号を発生してはならないにもかかわらずリセット信号が発生している状態）が発生すれば、テスト出力を解除しないでおくことにより、異常側のウォッチドッグタイマが切り離されるようになっている。
【００７９】
なお、異常処理回路７２２に関しては、マイクロプロセッサ７０１の異常等によって、第一・第二のテスト出力ＴＳＴ１・ＴＳＴ２が共に論理レベル「Ｈ」となった場合に実効リセット信号出力を発生してマイクロプロセッサ７０１をリセットするようになっている。
一対の起動処理回路７２５ａ・７２５ｂは万一一対のウォッチドッグタイマ１２０ａ・１２０ｂが共に不動作側異常（論理レベル「Ｈ」）となっている時に、第一・第二のゲ−ト素子７２１ａ・７２１ｂを介してマイクロプロセッサ７０１をリセットするものであるが、若しも第一・第二のゲ−ト素子が共に破損していてその出力が論理レベル「Ｌ」にならない時にはワンショットタイマ１２３が活性化されず、リセット完了記憶素子１２５がセットされないことになる。
その結果、負荷電源リレ−１１３が動作しないので安全が確保されると共に、異常状態であることが容易に判断できることになる。
【００８０】
次に正常運転中のマイクロプロセッサ７０１がノイズ誤動作等によって一時的に異常となった場合を想定すると、第一または第二または両方のウォッチドッグタイマ１２０ａ・１２０ｂがリセット信号を発生してマイクロプロセッサ７０１は停止するが、ワンショットタイマ１２３によって直ちにリセット信号が解除される。
リセット完了記憶素子１２５は、マイクロプロセッサ７０１がリセットされた時に立上がりパルス発生回路１２７によって一時的にリセットされるが、リセット完了に伴ってワンショットタイマ１２３によって再びセットされるので、電源リレ−１１３も動作可能となる。
従って、自動車用エンジン制御装置の場合にあっては、多くの場合に運転手が気づかない内に正常運転に復帰することになる。
【００８１】
しかし、異常発生記憶素子１２９は一度でも実効リセット信号出力が発生すれば立上がりパルス発生回路１２７によってセットされるほか、エラ−出力ＥＲの発生によってもセットされるので、これに伴って警報・表示器５が作動すると共に、インタ−ロック信号ＩＴＬによって特定の電気負荷の駆動が停止され、この状態は電源スイッチ２を再度投入するまで維持されて運転手に異常を伝えることができるものである。
なお、ここで言う特定の電気負荷とは、例えば電子スロットル制御による自動車の定速走行制御装置とか走行用前方・側方監視装置などの安全に関わる便利機能を有効にするためのモ−ド切換信号出力あるいはアクチェ−タであって、これが機能しなくても自動車の運転には困らないものである。
これに対し、点火制御や燃料噴射制御等のエンジンの回転制御に関わる基本機能は退避・帰宅運転を行うためになるべく継続制御することが必要となるので、一時的なＣＰＵ異常があっても運転が可能となるよう配慮した実施の形態を示している。
【００８２】
実施の形態４．
（１）実施の形態４の構成の詳細な説明
以下この発明の実施の形態４の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図９に示し、図７のものとの相違点を中心に説明する。
図９において、９００は自動車用エンジン制御装置等の電子機器であり、該電子機器には図示しない第二の電気負荷群や第二の入力センサ群が接続されるサブマイクロプロセッサ９０７が用いられている。
なお、上記サブマイクロプロセッサ９０７はメインとなるマイクロプロセッサ９０１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【００８３】
９０１は演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ９０３を備えたメインとなるマイクロプロセッサであり、該マイクロプロセッサは上記サブマイクロプロセッサ９０７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ９０７を再起動するようになっている。
なお、上記プログラムメモリ９０３にはサブマイクロプロセッサ９０７のウォッチドッグクリア信号を監視するための暴走監視手段や第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂに対する第一・第二の異常診断手段が格納されている。
また、上記サブマイクロプロセッサ９０７は第一・第二のゲ−ト素子７２１ａ・７２１ｂの出力によって、メインとなるマイクロプロセッサ９０１のリセットと同時にリセットされるようになっている。
５０８は上記リセット信号出力（ＲＳＴＳ）が論理レベル「Ｈ」から「Ｌ」に変化した時に短時間パルスを発生する立下がりパルス発生回路、５０９は該パルス発生回路の発生パルスと上記マイクロプロセッサ９０１が発生するエラ−出力ＥＲを論理和する論理結合素子であり、該論理結合素子が発生する合成エラ−出力ＥＲ０によって異常発生記憶素子１２９がセットされるよう構成されている。
【００８４】
５２０ａ・５２０ｂは第一・第二のウォッチドッグタイマであり、図６で詳述したとおりこれらのウォッチドッグタイマは自己リセット回路６３０を内蔵しているので、図７におけるワンショットタイマ１２３やモニタリセット信号ＭＮＲが不要となり、リセット完了記憶素子１２５も上記第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂが発生する第一・第二のウォッチドッグタイマリセット信号ＷＤＲ１・ＷＤＲ２によってセットされるようになっている。
なお、上記サブマイクロプロセッサ９０７は図５と同様に図示しない第二の入力センサ群や第二の電気負荷群に接続され、第二の電気負荷群は負荷電源リレ−１１３の出力接点１１４を介して給電されたり、一部の電気負荷には必要に応じて駆動停止用ゲ−ト素子を設けたりしていて、上記異常発生記憶素子１２９が発生するインタ−ロック信号ＩＴＬによって制御されるようになっている。
【００８５】
（２）実施の形態４の作用・動作の詳細な説明
以上のとおり構成された図９のものにおいて、一対のウォッチドッグタイマ５２０ａ・５２０ｂや第一・第二のゲ−ト素子７２１ａ・７２１ｂによる暴走監視回路そのものの動作は、結果的には図７のものと同一である。
ただし、図７におけるワンショットタイマ１２３がウォッチドッグタイマ５２０ａ・５２０ｂに夫々内蔵されているので、二重化回路部分が多くなり信頼性が向上する。
即ち、図７のものではワンショットタイマ１２３が異常になると、ウォッチドッグタイマ１２０ａ・１２０ｂが共にリセットされないかリセットされたままになるという問題がある。
これに対し、図９の構成であれば一方の自己リセット回路６３０が異常となっても他方のウォッチドッグタイマは有効に機能することになる。
従って、全体としての回路部品は増加するが、図９のものは図７のものに比べて信頼度の高いものとして構成されている。
【００８６】
一方、ウォッチドッグタイマが自己リセット回路６３０を内蔵したことに伴い、マイクロプロセッサ９０１はモニタリセット信号出力ＭＮＲを発生しない構成となっている。
マイクロプロセッサ９０１の作用動作を図８について説明すると、図８における工程８０６や工程８１６において、ＭＮＲ出力を発生する代わりに自己リセット回路６３０がウォッチドッグタイマ５２０ａ・５２０ｂを自己リセットするまでの時間待ちを行って次の工程に移行すれば良いことになる。
それ以外の動作フロ−は図８に示すとおりである。
【００８７】
メインとなるマイクロプロセッサ９０１と協動するサブマイクロプロセッサ９０７は図示しない制御プログラムによって第二の電気負荷群を制御するが、そのウォッチドッグクリア信号ＷＤＳはマイクロプロセッサ９０１によって監視され、サブマイクロプロセッサ９０７の単独異常の場合にはマイクロプロセッサ９０１によってリセットされる。
ただし、マイクロプロセッサ９０１が異常である時にはサブマイクロプロセッサ９０７が正常であっても第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂによってマイクロプロセッサ９０１及びサブマイクロプロセッサ９０７が共にリセットされる。
サブマイクロプロセッサ９０７の単独異常に対しては、異常発生記憶素子１２９によって記憶され、インタ−ロック信号ＩＴＬや警報・表示器５が作動するようになっている。
【００８８】
この異常発生記憶素子１２９はマイクロプロセッサ９０１の発生するエラ−出力ＥＲや、第一・第二のウォッチドッグタイマ５２０ａ・５２０ｂによる実効リセット信号出力の作動も記憶するようになっており、異常記憶に伴うインタ−ロック信号ＩＴＬは電気負荷群４の一部電気負荷のみならず、図示しない第二の電気負荷群の中の一部電気負荷の駆動停止を行うようになっている。
【００８９】
実施の形態５．
以下この発明の実施の形態５の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図１０に示し、図５のものとの相違点を中心に説明する。
図１０において、１０００は自動車用エンジン制御装置等の電子機器であり、該電子機器には演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ１００３ａを備えたメインとなるマイクロプロセッサ１００１と、演算処理用ＲＡＭメモリ１００２やフラッシュメモリ等の不揮発性プログラムメモリ１００３ｂを備えたサブマイクロプロセッサ１００７が設けられており、該サブマイクロプロセッサは図５と同様に図示しない出力インタフェ−ス回路を介して制御される第二の電気負荷群や入力インタフェ−ス回路を介して第二の入力センサ群が接続されていて、該第二の電気負荷群の一部のものには図５と同様な第二の駆動停止用ゲ−ト素子が接続されている。
なお、上記サブマイクロプロセッサ１００７はメインとなるマイクロプロセッサ１００１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【００９０】
上記プログラムメモリ１００３ａは、電気負荷群４に対する制御プログラムに加えて、上記サブマイクロプロセッサ１００７に対する暴走監視手段としてのプログラムが格納されていて、マイクロプロセッサ１００１は上記サブマイクロプロセッサ１００７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ１００７を再起動するようになっている。
図１０のものと図５のものとの最も重要な相違点は、図１０における第二のウォッチドッグタイマ５２０ｂが上記サブマイクロプロセッサ１００７内のソフトウエアによって構成されていることである。
即ち、プログラムメモリ１００３ｂは第二の電気負荷群に対する制御プログラムの他に、ウォッチドッグ監視手段としてのプログラムが格納されていて、該ウォッチドッグ監視手段は図６で示したウォッチドッグタイマ５２０と同じ動作をソフトウエアで実現するためのものとなっている。
【００９１】
従って、マイクロプロセッサ１００１が発生する第二のウォッチドッグクリア信号ＷＤ２はサブマイクロプロセッサ１００７に供給され、サブマイクロプロセッサ１００７は第二のリセット信号ＲＳＴ２を発生して反転論理素子である外部接続回路１０４０を介して論理結合回路５２２ａ・５２２ｂに供給している。
また、サブマイクロプロセッサ１００７は第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生してリセット記憶完了素子１２５をセットするようになっている。
なお、１０４１はプルアップ抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１００７が起動されるまでの間に上記反転論理素子である外部接続回路１０４０の論理レベル「Ｌ」に強制するようになっている。
また、１０４２はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１００７が起動されるまでの間に上記リセット完了記憶素子１２５がセットされないようにするために第二のウォッチドッグタイマリセット信号ＷＤＲ２を論理レベル「Ｌ」に強制するようになっている。
【００９２】
以上の説明で明らかなとおり、図１０のものは一対のウォッチドッグタイマの一方をサブマイクロプロセッサで代替したものであって、代替されたソフトウエアとしてのウォッチドッグタイマ即ちプログラムメモリ１００３ｂに格納されたウォッチドッグ監視手段はプログラムメモリ１００３ａ内の第二の異常診断手段によって診断され、この場合にはサブマイクロプロセッサ１００７に供給されている第二のウォッチドッグクリア信号ＷＤ２はマイクロプロセッサ１００１によって意図的に停止されたり、パルス幅が所定値を超過したり、これに伴う第二のリセット信号ＲＳＴ２の反転出力が第二のモニタ信号ＭＮ２としてマイクロプロセッサ１００１で監視されるようになっている。
なお、上記サブマイクロプロセッサ１００７に内蔵されるウォッチドッグ監視手段は、図６における自己リセット機能付きのもので説明したが、これに代わって図２に示すようなウォッチドッグタイマであっても良く、この場合には図１に示すウォッチドッグタイマ１２０ｂをウォッチドッグ監視手段によって実現するようにすれば良い。
【００９３】
実施の形態６．
以下この発明の実施の形態６の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図１１に示し、図９のものとの相違点を中心にして説明する。
図１１において、１１００は自動車用エンジン制御装置等の電子機器であり、該電子機器には演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ１１０３ａを備えたメインとなるマイクロプロセッサ１１０１と、演算処理用ＲＡＭメモリ１１０２やフラッシュメモリ等の不揮発性プログラムメモリ１１０３ｂを備えたサブマイクロプロセッサ１１０７が設けられており、該サブマイクロプロセッサは図５と同様に図示しない出力インタフェ−ス回路を介して制御される第二の電気負荷群や入力インタフェ−ス回路を介して第二の入力センサ群が接続されていて、該第二の電気負荷群の一部のものには図５と同様な第二の駆動停止用ゲ−ト素子が接続されている。
なお、上記サブマイクロプロセッサ１１０７はメインとなるマイクロプロセッサ１１０１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【００９４】
上記プログラムメモリ１１０３ａは、電気負荷群４に対する制御プログラムに加えて、上記サブマイクロプロセッサ１１０７に対する暴走監視手段としてのプログラムが格納されていて、マイクロプロセッサ１１０１は上記サブマイクロプロセッサ１１０７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ１１０７を再起動するようになっている。
図１１のものと図９のものとの最も重要な相違点は、図９における第二のウォッチドッグタイマ５２０ｂが上記サブマイクロプロセッサ１１０７内のソフトウエアによって構成されていることである。
即ち、プログラムメモリ１１０３ｂは第二の電気負荷群に対する制御プログラムの他に、ウォッチドッグ監視手段としてのプログラムが格納されていて、該ウォッチドッグ監視手段は図６で示したウォッチドッグタイマ５２０と同じ動作をソフトウエアで実現するためのものとなっている。
【００９５】
従って、マイクロプロセッサ１１０１が発生する第二のウォッチドッグクリア信号ＷＤ２はサブマイクロプロセッサ１１０７に供給され、サブマイクロプロセッサ１１０７は第二のリセット信号ＲＳＴ２を発生して反転論理素子である外部接続回路１１４０を介して第二のゲ−ト素子７２１ｂに供給している。
また、サブマイクロプロセッサ１１０７は第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生してリセット記憶完了素子１２５をセットするようになっている。
なお、１１４１はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１１０７が起動されるまでの間に上記反転論理素子である外部接続回路１１４０の出力を論理レベル「Ｈ」に強制するようになっている。
また、１１４２はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１１０７が起動されるまでの間に上記リセット完了記憶素子１２５がセットされないようにするために第二のウォッチドッグタイマリセット信号ＷＤＲ２を論理レベル「Ｌ」に強制するようになっている。
【００９６】
以上の説明で明らかなとおり、図１１のものは一対のウォッチドッグタイマの一方をサブマイクロプロセッサで代替したものであって、代替されたソフトウエアとしてのウォッチドッグタイマ即ちプログラムメモリ１１０３ｂに格納されたウォッチドッグ監視手段はプログラムメモリ１１０３ａ内の第二の異常診断手段によって診断され、この場合にはサブマイクロプロセッサ１１０７に供給されている第二のウォッチドッグクリア信号ＷＤ２はマイクロプロセッサ１１０１によって意図的に停止されたり、パルス幅が所定値超過されたり、これに伴う第二のリセット信号ＲＳＴ２の反転出力が第二のモニタ信号ＭＮ２としてマイクロプロセッサ１１０１で監視されるようになっている。
なお、上記サブマイクロプロセッサ１１０７に内蔵されるウォッチドッグ監視手段は、図６における自己リセット機能付きのもので説明したが、これに代わって図２に示すようなウォッチドッグタイマであっても良く、この場合には図７に示すウォッチドッグタイマ１２０ｂをウォッチドッグ監視手段によって実現するようにすれば良い。
【００９７】
実施の形態７．
以下この発明の実施の形態７の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図１２に示し、図５のものとの相違点を中心にして説明する。
図１２において、１２００は自動車用エンジン制御装置等の電子機器であり、該電子機器には演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ１２０３ａを備えたメインとなるマイクロプロセッサ１２０１と、演算処理用ＲＡＭメモリ１２０２やフラッシュメモリ等の不揮発性プログラムメモリ１２０３ｂを備えたサブマイクロプロセッサ１２０７が設けられており、該サブマイクロプロセッサは図５と同様に図示しない出力インタフェ−ス回路を介して制御される第二の電気負荷群や入力インタフェ−ス回路を介して第二の入力センサ群が接続されていて、該第二の電気負荷群の一部のものには図５と同様な第二の駆動停止用ゲ−ト素子が接続されている。
なお、上記サブマイクロプロセッサ１２０７はメインとなるマイクロプロセッサ１２０１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【００９８】
上記プログラムメモリ１２０３ａは、電気負荷群４に対する制御プログラムに加えて、上記サブマイクロプロセッサ１２０７に対する暴走監視手段としてのプログラムが格納されていて、マイクロプロセッサ１２０１は上記サブマイクロプロセッサ１２０７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ１２０７を再起動するようになっている。
図１２のものと図５のものとの最も重要な相違点は、図１２における第二のウォッチドッグタイマ５２０ｂが上記サブマイクロプロセッサ１２０７内のソフトウエアによって構成されていることである。
即ち、プログラムメモリ１２０３ｂは第二の電気負荷群に対する制御プログラムの他に、ウォッチドッグ監視手段としてのプログラムが格納されていて、該ウォッチドッグ監視手段は図６で示したウォッチドッグタイマ５２０と同じ動作をソフトウエアで実現するためのものとなっている。
【００９９】
従って、マイクロプロセッサ１２０１が発生する第二のウォッチドッグクリア信号ＷＤ２はサブマイクロプロセッサ１２０７に供給され、サブマイクロプロセッサ１２０７は第二のリセット信号ＲＳＴ２を発生して反転論理素子である外部接続回路１２４０を介して論理結合回路５２２ａ・５２２ｂに供給している。
また、サブマイクロプロセッサ１２０７は第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生してリセット記憶完了素子１２５をセットするようになっている。
なお、１２４１はプルアップ抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１２０７が起動されるまでの間に上記反転論理素子である外部接続回路１２４０の出力を論理レベル「Ｌ」に強制するようになっている。
また、１２４２はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１２０７が起動されるまでの間に上記リセット完了記憶素子１２５がセットされないようにするために第二のウォッチドッグタイマリセット信号ＷＤＲ２を論理レベル「Ｌ」に強制するようになっている。
【０１００】
以上の説明で明らかなとおり、図１２のものは一対のウォッチドッグタイマの一方をサブマイクロプロセッサで代替したものであって、その点では図１０のものと同じである。
ただし、代替されたソフトウエアとしてのウォッチドッグタイマ即ちプログラムメモリ１２０３ｂに格納されたウォッチドッグ監視手段はプログラムメモリ１２０３ａ内の暴走監視手段によって診断され、反転論理素子１２４０を含めた外部接続回路はプログラムメモリ１２０３ａ内の第二の異常診断手段によって診断される。
従って、サブマイクロプロセッサ１２０７に供給されている第二のウォッチドッグクリア信号ＷＤ２はマイクロプロセッサ１２０１によって意図的に停止されたり、パルス幅が所定値超過にされたりすることは無く、マイクロプロセッサ１２０１が正常である限り常に正常なウォッチドッグクリア信号が供給されている。
しかし、ウォッチドッグ監視手段に対する診断はサブマイクロプロセッサ１２０７が発生するウォッチドッグクリア信号ＷＤＳをマイクロプロセッサ１２０１が監視する暴走監視手段によって代行されている。
【０１０１】
また、マイクロプロセッサ１２０１は外部接続回路１２４０を診断する時には、サブマイクロプロセッサ１２０７に対してテストモ−ド信号ＴＳＴを供給し、テストモ−ド信号ＴＳＴを受けたサブマイクロプロセッサ１２０７は第二のリセット信号ＲＳＴ２を強制的に論理レベル「Ｈ」とし、所定時間後にこれを解除して第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生するようになっている。
このテストモ−ドにおいて、第二のモニタ信号ＭＮ２が論理レベル「Ｌ」となりやがて論理レベル「Ｈ」に回復すれば外部接続回路１２４０は正常であることになる。
従って、マイクロプロセッサ１２０１が発生する第二のエラ−出力ＥＲ２はリセット信号（ＲＳＴＳ）の論理反転値であるＲＳＴＳと外部接続回路１２４０に対する診断結果を論理和したものとなっている。
なお、上記サブマイクロプロセッサ１２０７に内蔵されるウォッチドッグ監視手段は、図６における自己リセット機能付きのもので説明したが、これに代わって図２に示すようなウォッチドッグタイマであっても良く、この場合には図１に示すウォッチドッグタイマ１２０ｂをウォッチドッグ監視手段によって実現するようにすれば良い。
【０１０２】
実施の形態８．
以下この発明の実施の形態８の、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図を図１３に示し、図９のものとの相違点を中心にして説明する。
図１３において、１３００は自動車用エンジン制御装置等の電子機器であり、該電子機器には演算処理用ＲＡＭメモリ１０２やフラッシュメモリ等の不揮発性プログラムメモリ１３０３ａを備えたメインとなるマイクロプロセッサ１３０１と、演算処理用ＲＡＭメモリ１３０２やフラッシュメモリ等の不揮発性プログラムメモリ１３０３ｂを備えたサブマイクロプロセッサ１３０７が設けられており、該サブマイクロプロセッサは図５と同様に図示しない出力インタフェ−ス回路を介して制御される第二の電気負荷群や入力インタフェ−ス回路を介して第二の入力センサ群が接続されていて、該第二の電気負荷群の一部のものには図５と同様な第二の駆動停止用ゲ−ト素子が接続されている。
なお、上記サブマイクロプロセッサ１３０７はメインとなるマイクロプロセッサ１３０１と協動し、補機の制御等を分担して、両者によって全体の制御を行うものであって、夫々の制御機能の一部を相互に監視すること等も行われるものである。
【０１０３】
上記プログラムメモリ１３０３ａには、電気負荷群４に対する制御プログラムに加えて、上記サブマイクロプロセッサ１３０７に対する暴走監視手段としてのプログラムが格納されていて、マイクロプロセッサ１３０１は上記サブマイクロプロセッサ１３０７の発生するウォッチドッグクリア信号ＷＤＳを監視して、該ウォッチドッグクリア信号ＷＤＳのパルス幅が所定値を超過した時には論理レベル「Ｌ」のリセット信号出力（ＲＳＴＳ）を発生してサブマイクロプロセッサ１３０７を再起動するようになっている。
図１３のものと図９のものとの最も重要な相違点は、図１３における第二のウォッチドッグタイマ５２０ｂが上記サブマイクロプロセッサ１３０７内のソフトウエアによって構成されていることである。
即ち、プログラムメモリ１３０３ｂは第二の電気負荷群に対する制御プログラムの他に、ウォッチドッグ監視手段としてのプログラムが格納されていて、該ウォッチドッグ監視手段は図６で示したウォッチドッグタイマ５２０と同じ動作をソフトウエアで実現するためのものとなっている。
【０１０４】
従って、マイクロプロセッサ１３０１が発生する第二のウォッチドッグクリア信号ＷＤ２はサブマイクロプロセッサ１３０７に供給され、サブマイクロプロセッサ１３０７は第二のリセット信号ＲＳＴ２を発生して反転論理素子である外部接続回路１３４０を介して第二のゲ−ト素子７２１ｂに供給している。
また、サブマイクロプロセッサ１３０７は第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生してリセット記憶完了素子１２５をセットするようになっている。
なお、１３４１はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１３０７が起動されるまでの間に上記反転論理素子である外部接続回路１３４０の出力を論理レベル「Ｈ」に強制するようになっている。
また、１３４２はプルダウン抵抗によって構成されたデフォルト回路であり、該デフォルト回路はサブマイクロプロセッサ１３０７が起動されるまでの間に上記リセット完了記憶素子１２５がセットされないようにするために第二のウォッチドッグタイマリセット信号ＷＤＲ２を論理レベル「Ｌ」に強制するようになっている。
【０１０５】
以上の説明で明らかなとおり、図１３のものは一対のウォッチドッグタイマの一方をサブマイクロプロセッサで代替したものであって、その点では図１１のものと同じである。
ただし、代替されたソフトウエアとしてのウォッチドッグタイマ即ちプログラムメモリ１３０３ｂに格納されたウォッチドッグ監視手段はプログラムメモリ１３０３ａ内の暴走監視手段によって診断され、反転論理素子１３４０を含めた外部接続回路はプログラムメモリ１３０３ａ内の第二の異常診断手段によって診断される。
従って、サブマイクロプロセッサ１３０７に供給されている第二のウォッチドッグクリア信号ＷＤ２はマイクロプロセッサ１３０１によって意図的に停止されたり、パルス幅が所定値以上に大きくされたりすることは無く、マイクロプロセッサ１３０１が正常である限り常に正常なウォッチドッグクリア信号が供給されている。
しかし、ウォッチドッグ監視手段に対する診断はサブマイクロプロセッサ１３０７が発生するウォッチドッグクリア信号ＷＤＳをマイクロプロセッサ１３０１が監視する暴走監視手段によって代行されている。
【０１０６】
また、マイクロプロセッサ１３０１は外部接続回路１３４０を診断する時には、サブマイクロプロセッサ１３０７に対してテストモ−ド信号ＴＳＴを供給し、テストモ−ド信号ＴＳＴを受けたサブマイクロプロセッサ１３０７は第二のリセット信号ＲＳＴ２を強制的に論理レベル「Ｈ」とし、所定時間後にこれを解除して第二のウォッチドッグタイマリセット信号ＷＤＲ２を発生するようになっている。
このテストモ−ドにおいて、第二のモニタ信号ＭＮ２が論理レベル「Ｌ」となりやがて論理レベル「Ｈ」に回復すれば外部接続回路１３４０は正常であることになる。
従って、マイクロプロセッサ１３０１が発生するエラ−出力ＥＲはリセット信号（ＲＳＴＳ）の論理反転値であるＲＳＴＳと外部接続回路１３４０に対する診断結果、及び第一のウォッチドッグタイマ５２０ａに対する診断結果を論理和したものとなるが、上記リセット信号（ＲＳＴＳ）は論理結合素子５０９によっても論理和されている。
なお、上記サブマイクロプロセッサ１３０７に内蔵されるウォッチドッグ監視手段は、図６における自己リセット機能付きのもので説明したが、これに代わって図２に示すようなウォッチドッグタイマであっても良く、この場合には図７に示すウォッチドッグタイマ１２０ｂをウォッチドッグ監視手段によって実現するようにすれば良い。
【０１０７】
実施の形態９．
以上に説明した各種実施の形態においては、一対のウォッチドッグタイマが発生する一対のリセット信号を論理積又は論理和して実効リセット信号出力とする第一・第二の方式を基本として、上記ウォッチドッグタイマが自己リセット機能を包含しないものと包含するもの、或いは協動するサブマイクロプロセッサの有無などに応じた変形形態を説明した。
いずれの場合も一方のウォッチドッグタイマでマイクロプロセッサを監視しながら、他方のウォッチドッグタイマを診断するものであるが、上記第一・第二方式の主な相違点は次のとおり要約される。
【０１０８】
即ち、第一方式のものは一対のウォッチドッグタイマが共に動作側異常でなければ運転可能であるのに対し、第二方式のものはどちらか一方のウォッチドッグタイマが動作側異常となれば運転ができないことになる。
また、第一・第二方式いずれの場合も、一対のウォッチドッグタイマが共に不動作側異常になっても、運転は可能であってウォッチドッグタイマが機能しない危険な運転状態となる。
ただし、常時診断されている一対のウォッチドッグタイマが共に不動作側異常となる確率が非常に小さいことや、警報表示が行われることが救いとなっている。
なお、上記動作側異常とは本来リセット信号を発生してはならない時にリセット信号を発生する異常であり、不動作側異常とは本来リセット信号を発生しなければならないのにリセット信号を発生しない異常である。
【０１０９】
もしもマイクロプロセッサを停止してしまうことが許される用途であれば、いずれか一方のウォッチドッグタイマが異常になった後はマイクロプロセッサが起動できないようにすることができる。
また、一対のウォッチドッグタイマが共に不動作側異常となった場合には、次の要領でこれを検出してマイクロプロセッサを停止したり、再起動したりすることができないようにすることもできる。
図１の例ではウォッチドッグタイマ１２０ａが不動作側異常であった時に、エラ−出力ＥＲ１を解除しておいてウォッチドッグタイマ１２０ｂの動作診断を行い、これも不動作側異常であれば両者不動作側異常として図示しない第二の異常発生記憶素子をセットする。
ウォッチドッグタイマ１２０ｂが正常であればエラ−出力ＥＲ１を発生してウォッチドッグタイマ１２０ａの切り離しを行うが、このような特別診断を定期的に実施して、危険状態を検出することができる。
【０１１０】
図７の例ではウォッチドッグタイマ１２０ａが不動作側異常であった時に、そのままウォッチドッグタイマ１２０ｂの動作診断を行い、これも不動作側異常であれば両者不動作側異常として図示しない第二の異常発生記憶素子をセットする。
該第二の異常発生記憶素子は電源１に直接接続された第一電源線１１０から給電されるスリ−プ電源によって、電源スイッチ２が解除されても記憶保持するようにしておけば電源投入時にマイクロプロセッサをリセット状態のままとして起動できないようにすることができる。
なお、警報・表示器５は異常の発生源や重要度合い等の内容別にメッセ−ジ表示することも可能である。
同様に、特定の電気負荷に対する駆動停止用ゲ−ト素子１０６や５０６についても、異常の要因等に応じて複数のインタロック信号を準備して、適宜使い分けることができる。
【０１１１】
【発明の効果】
本願の発明は以下の効果を有する。
請求項１に記載の発明は、前述のように、
マイクロプロセッサ（ＣＰＵ）と第一のウォッチドッグタイマと第二のウォッチドッグタイマと論理結合回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると実効リセット信号を出力して上記マイクロプロセッサをリセットする回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合 に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置であり、
従って、マイクロプロセッサ（ＣＰＵ）が、第１及び第２のウォッチドッグタイマの各々に対して、ウォッチドッグクリア信号を意図的に異常状態として各ウォッチドッグタイマを個別に診断でき、しかも当該診断を実施してもウォッチドッグタイマに異常が無い限りマイクロプロセッサ（ＣＰＵ）はリセットされない（つまり運転を継続する）ようにすることができ（以下効果１と記載する）、また、また、部分的二重系による安価な信頼性の高い構成で一方のウォッチドッグタイマが異常であってもＣＰＵの運転を継続できる上、一対のウォッチドッグタイマが共に動作側異常にならない限りマイクロプロセッサの動作を継続することができ（以下効果２と記載する）、という効果がある。
【０１１２】
請求項２に記載の発明は、前述のように、
マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段と論理結合回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生してサブマイクロプロセッサをリセットする手段であり、
上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると上記マイクロプロセッサの異常と判定して実効リセット信号を出力して上記マイクロプロセッサおよびサブマイクロプロセッサをリセットする回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置であり、
従って、上述の効果１、２に加え、メインマイクロプロセッサとサブマイクロプロセッサを備えメインマイクロプロセッサの動作を監視する一対のウォッチドッグタイマの一方をサブマイクロプロセッサ内のソフトウエアで構築するようにしたことから、より安価な二重系ウォッチドッグタイマを構成することができる効果がある。
【０１１３】
請求項３に記載の発明は、前述のように、
請求項１または請求項２に記載の電子制御装置において、
第一の異常処理回路と第二の異常処理回路とを備え、
上記マイクロプロセッサは、上記異常診断手段により上記第一または第二のウォッチドッグタイマが異常と判定すると、第一または第二のエラ−信号を発生するマイクロプロセッサであり、
上記第一・第二の異常処理回路は、上記第一または第二のエラー信号の動作に応動し、第一または第二のウォッチドッグタイマのリセット信号を強制的にリセット有効側に作動させる回路であり、強制的にリセットされない側のウォッチドッグタイマからのリセット信号に応じて実効リセット信号を発生して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサとをリセットし、上記第一または第二のウォッチドッグタイマがリセット不能側の異常であっても上記実効リセット信号出力の発生が可能であることを特徴とする電子制御装置であり、
従って、一対のウォッチドッグタイマの一方が不動作側異常となっても、第一・第二の異常処理回路によって強制動作するようにしたことから、請求項１または請求項２に記載の発明の効果に加え、他方のウォッチドッグタイマを用いてマイクロプロセッサの監視動作を継続することができる効果がある。
【０１１４】
請求項４に記載の発明は、前述のように、
請求項３に記載の電子制御装置において、
上記異常診断手段は、上記異常処理回路の正常動作を確認するために、上記マイクロプロセッサから第一または第二のエラ−出力を発生させて上記異常処理回路に入力し、上記この入力に対応する第一または第二のモニタ信号の応答状態を確認する第一・第二の確認手段を含むことを特徴とする電子制御装置であり、
従って、第一・第二の確認手段を設けて異常処理回路が正常か否かを診断するようにしたことから、請求項３に記載の発明の効果に加え、信頼度をより高めることができる効果がある。
【０１１５】
請求項５に記載の発明は、前述のように、
請求項１または請求項２に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両リセット信号を所定時間強制的にリセット有効側に作動させ実効リセット信号を発生する第一・第二の起動処理回路を備え、
上記電源投入時に上記第一・第二のウォッチドッグタイマのいずれかが異常で不動作の状態であっても上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置であり、
従って、請求項１または請求項２に記載の発明の効果に加え、供給電源投入時に一対のウォッチドッグタイマが共に異常であってもマイクロプロセッサのリセットを行って異常な起動が行われないようにすることができるとともに、マイクロプロセッサの動作中には診断が行えない論理結合回路を含めたリセット動作の実行確認を行うことができ、安全性を向上することができる効果がある。
【０１１６】
請求項６に記載の発明は、前述のように、
請求項１または請求項２に記載の電子制御装置において、
上記論理結合回路を複数個並列にして多重系の論理結合回路で構成したことを特徴とする電子制御装置であり、
従って、上記論理結合回路を複数個並列にして、多重系の論理結合回路としたことから、請求項１または請求項２に記載の発明の効果に加え、安全性を向上することができる効果がある。
【０１１７】
請求項７に記載の発明は、前述のように、
マイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマとゲート回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を 発生するタイマであり、
上記第二のウォッチドッグタイマは、上記マイクロプロセッサからの第二のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力するゲート回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記第二のウォッチドッグタイマに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置であり、
従って、マイクロプロセッサ（ＣＰＵ）が、第１及び第２のウォッチドッグタイマの各々に対して、ウォッチドッグクリア信号を意図的に異常状態として各ウォッチドッグタイマを個別に診断でき、しかも当該診断を実施してもウォッチドッグタイマに異常が無い限りマイクロプロセッサ（ＣＰＵ）はリセットされない（つまり運転を継続する）ようにすることができ（上記効果１と同じ）、且つ、診断中であっても診断してない側のウォッチドッグタイマが動作すればマイクロプロセッサをリセットするようにしたことから、部分的二重系による安価・高信頼度のＣＰＵ暴走監視が行える（以下効果３と記載する）という効果がある。
【０１１８】
請求項８に記載の発明は、前述のように、
マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段とゲート回路と異常診断手段とを備え、
上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生して上記サブマイクロプロセッサをリセットする手段であり、
上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力し上記マイクロプロセッサおよびサブマイクロプロセッサをリセットするゲート回路であり、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号とし て上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記サブマイクロプロセッサに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置あり、
従って、メインマイクロプロセッサとサブマイクロプロセッサで構成し、メインマイクロプロセッサの動作を監視する一対のウォッチドッグタイマの一方をサブマイクロプロセッサ内のソフトウエアで構築するようにすると共に、マイクロプロセッサの動作中に一対のウォッチドッグタイマを交互に診断することができるようにして診断中であっても診断してない側のウォッチドッグタイマが動作すればマイクロプロセッサをリセットするようにしたことから、上述の効果１及び３に加え、より安価な二重系により安価・高信頼度の暴走監視が行える効果がある。
【０１１９】
請求項９に記載の発明は、前述のように、
請求項７または請求項８に記載の電子制御装置において、
上記異常診断手段による異常診断結果で上記第一または第二のウォッチドッグタイマが異常であると判定されると、上記マイクロプロセッサは異常側の上記テスト信号を継続的に発生して、異常動作による実効リセット信号が発生しないようにする手段と、
上記マイクロプロセッサからの上記第一・第二のテスト信号が誤って共に発生すると、実効リセット信号を出力して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサを強制的にリセットする異常処理手段とを備えていることを特徴とする電子制御装置であり、
従って、ウォッチドッグタイマの診断結果が異常であると判定した時に、異常側のテスト出力を継続的に発生して誤った実効リセット信号出力が発生しないようにしたことから、請求項７または請求項８に記載の発明の効果に加え、異常側ウォッチドッグタイマを切り離して運転を継続することができる。また、一対のテスト出力が誤って共に動作した時にマイクロプロセッサを停止するようにしたことから、安全性を向上することができる効果がある。
【０１２０】
請求項１０に記載の発明は、前述のように、
請求項７または請求項８に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両方のリセット信号を所定期間強制的にリセット有効側に作動させて実効リセット信号を発生する第一・第二の起動処理回路を備え、
上記電源投入時に上記第一・第二のウォッチドッグタイマが共に動作不能であっても上記実効リセット信号で上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置であり、
従って、請求項７または請求項８に記載の発明の効果に加え、電源スイッチの投入時に一対のウォッチドッグタイマが共に不動作側異常であってもマイクロプロセッサのリセットを行って異常な起動が行われないようにすることができるとともに、マイクロプロセッサの動作中には診断が行えない第一・第二のゲ−ト素子を含めたリセット動作の実行確認を行うようにしたので、信頼性、安全性を向上することができる効果がある。
【０１２１】
請求項１１に記載の発明は、前述のように、
請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
上記第一・第二のウォッチドッグタイマは、それぞれ自己リセット機能を有していることを特徴とする電子制御装置であり、
従って、請求項１，２，７，及び８の何れか一に記載の発明の効果に加え、常時診断が可 能な二重化回路部分を多くしたので、より信頼度の高い電子制御装置を提供できる効果がある。
【０１２２】
請求項１２に記載の発明は、前述のように、
請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記記憶したエラー信号または上記実効リセット信号を通報信号として出力する通報手段とを設け、
上記通報信号で音声・表示器などで通報可能としたことを特徴とする電子制御装置であり、
従って、ＣＰＵ異常発生やウォッチドッグタイマの診断異常を記憶して通報するようにしたことから、請求項１，２，７，及び８の何れか一に記載の発明の効果に加え、異常を認識した上で運転動作を継続することができる効果がある。
【０１２３】
請求項１３に記載の発明は、前述のように、
請求項１または請求項７に記載の電子制御装置において、
上記マイクロプロセッサに従属し全体制御の一部を分担するサブマイクロプロセッサを備えていると共に、
上記マイクロプロセッサは、上記サブマイクロプロセッサが発生するウォッチドッグタイマクリア信号を監視して，異常があるとリセット信号を供給して上記サブマイクロプロセッサをリセットする上記サブマイクロプロセッサの暴走を監視する暴走監視手段を備え、
上記第一・第二のウォッチドッグタイマから供給される実効リセット信号は、上記マイクロプロセッサおよび上記サブマイクロプロセッサをリセットすることを特徴とする電子制御装置であり、
従って、メインマイクロプロセッサとサブマイクロプロセッサで構成し、メインマイクロプロセッサはサブマイクロプロセッサの暴走監視を行ってサブマイクロプロセッサの異常時にはメインマイクロプロセッサによってサブマイクロプロセッサのリセットを行うと共に，メインマイクロプロセッサの異常時にはサブマイクロプロセッサもリセットするようにしたことから、請求項１または請求項７に記載の発明の効果に加え、暴走監視に特別な監視回路を必要としないという効果がある。
【０１２４】
請求項１４に記載の発明は、前述のように、
請求項１または請求項７に記載の電子制御装置において、
ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記電気負荷に電源供給している場合に、上記負荷電源と上記電気負荷間をオン・オフする開閉手段を設け、
上記供給電源投入時または上記マイクロプロセッサをリセットするための上記実効リセット信号出力時に上記開閉手段で上記オフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段で上記オンとすることを特徴とする電子制御装置であり、
従って、負荷電源をオンオフする開閉手段を設けたことから、請求項１または請求項７に記載の発明の効果に加え、論理結合回路または一対のゲ−ト素子等が正常に機能していなければ負荷電源が動作しないようにして安全性を向上する一方で、ＣＰＵ異常発生時に負荷電源を遮断して安全性を向上すると共に、ノイズ誤動作等による一時的なＣＰＵ異常であれば自動的に負荷電源が再投入されることによって運転続行できる効果がある。
【０１２５】
請求項１５に記載の発明は、前述のように、
請求項１または請求項７に記載の電子制御装置において、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号とを記憶し、上記供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置であり、
従って、駆動停止手段を設けたことから、請求項１または請求項７に記載の発明の効果に加え、ＣＰＵ異常発生やウォッチドッグタイマの診断異常に対して電気負荷の駆動停止が行え、運転動作の継続に対する安全性が向上する効果がある。
【０１２６】
請求項１６に記載の発明は、前述のように、
請求項２，８，及び１３の何れか一に記載の電子制御装置において、
上記サブマイクロプロセッサが上記マイクロプロセッサの電気負荷とは別の電気負荷を制御し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記マイクロプロセッサおよび上記サブマイクロプロセッサの上記各電気負荷に電源を供給し、
上記負荷電源と上記各電気負荷との間を、上記電源投入時または上記実効リセット信号出力時に開閉手段でオフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段でオンとすることを特徴とする電子制御装置であり、
従って、マイクロプロセッサとサブマイクロプロセッサにつながる負荷の電源をオンオフする開閉手段を設けたことから、請求項２，８，及び１３の何れか一に記載の発明の効果に加え、論理結合回路または一対のゲ−ト素子等が正常に機能していなければ負荷電源が動作しないようにして安全性を向上する一方で，ＣＰＵ異常発生時に負荷電源を遮断して安全性を向上すると共に，ノイズ誤動作等による一時的なＣＰＵ異常であれば自動的に負荷電源が再投入されることによって運転続行できる効果がある。
【０１２７】
請求項１７に記載の発明は、前述のように、
請求項２，８，及び１３の何れか一に記載の電子制御装置において、
上記サブマイクロプロセッサを、上記マイクロプロセッサの電気負荷とは別の電気負荷を制御するサブマイクロプロセッサとし、
上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一つが異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷および上記サブマイクロプロセッサの少なくとも一つの電気負荷の内、少なくとも一方の電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置であり、
従って、駆動停止手段を設けたことから、請求項２，８，及び１３の何れか一に記載の発明の効果に加え、ＣＰＵ異常発生やウォッチドッグタイマの診断異常に対して、マイクロプロセッサおよびサブマイクロプロセッサにつながる少なくともいずれかの電気負荷の駆動停止が行え、運転動作の継続に対する安全性が向上する効果がある。
【０１２８】
請求項１８に記載の発明は、前述のように、
請求項２または請求項８に記載の電子制御装置において、
上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のモニタ信号の反応をチェックして、上記第一のウォッチドッグタイマの動作確認を行い、上記第二のウォッチドッグタイマの異常診断は上記暴走監視手段で行うことを特徴とする電子制御装置であり、
従って、サブマイクロプロセッサの第二のウォッチドッグタイマの異常診断は暴走監視手段で代行するようにしたことから、請求項２または請求項８に記載の発明の効果に加え、メインとなるマイクロプロセッサが第二のウォッチドッグクリア信号を意図的に異常状態にする等の制御を行う必要がなく，マイクロプロセッサの負担を軽減することができる効果がある。
【０１２９】
請求項１９に記載の発明は、前述のように、
請求項１８に記載の電子制御装置において、
上記サブマイクロプロセッサは、上記マイクロプロセッサからテスト時にテストモ−ド信号の供給を受けるようにし、上記テストモード信号を受けると強制的に上記第二のリセット信号を発生して上記ゲート回路に供給する強制出力手段を含み、
上記サブマイクロプロセッサから強制的に発生した上記第二のリセット信号に対する上記マイクロプロセッサに供給される第二のモニタ信号の反応をチェックして、上記サブマイクロプロセッサから発生した上記第二のリセット信号が上記ゲート回路に達しているか否かの診断を可能としたことを特徴とする電子制御装置であり、
従って、強制出力手段を設けたことから、請求項１８に記載の発明の効果に加え、サブマイクロプロセッサが発生した第二リセット信号が論理結合回路またはゲート回路に達しているか否かチェックできる効果がある。
【０１３０】
請求項２０に記載の発明は、前述のように、
請求項２に記載の電子制御装置において、
上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を有効にするデフォルト回路を設けたことを特徴とする電子制御装置であり、
従って、サブマイクロプロセッサが正常起動するまでの間は他方のウォッチドッグタイマが発生するリセット信号を有効にするデフォルト回路を設けたことから、請求項２に記載の発明の効果に加え、メインマイクロプロセッサよりも、従属的に動作するサブマイクロプロセッサの立上がりが遅くなっても、メインとなるマイクロプロセッサを正常に起動することができる効果がある。
【０１３１】
請求項２１に記載の発明は、前述のように、
請求項８に記載の電子制御装置において、
上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を無効にするデフォルト回路を設けたことを特徴とする電子制御装置であり、
従って、サブマイクロプロセッサが正常起動するまでの間は他方のウォッチドッグタイマが発生するリセット信号を有効にするデフォルト回路を設けたことから、請求項８に記載の発明の効果に加え、メインマイクロプロセッサよりも、従属的に動作するサブマイクロプロセッサの立上がりが遅くなっても、メインとなるマイクロプロセッサを正常に起動することができる効果がある。
【図面の簡単な説明】
【図１】この発明の実施の形態１を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図２】この発明の実施の形態１を示す図で、図１におけるウォッチドッグタイマの回路図である。
【図３】この発明の実施の形態１を示す図で、ＣＰＵの暴走監視制御回路の動作説明用タイムチャ−トである。
【図４】この発明の実施の形態１を示す図で、ＣＰＵの暴走監視制御回路の動作説明用フロ−チャ−トである。
【図５】この発明の実施の形態２を示す図で、によるＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図６】この発明の実施の形態２を示す図で、図５におけるウォッチドッグタイマの回路図である。
【図７】この発明の実施の形態３を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図８】この発明の実施の形態３を示す図で、ＣＰＵの暴走監視制御回路の動作説明用フロ−チャ−トである。
【図９】この発明の実施の形態４を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図１０】この発明の実施の形態５を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図１１】この発明の実施の形態６を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図１２】この発明の実施の形態７を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【図１３】この発明の実施の形態８を示す図で、ＣＰＵの暴走監視制御回路を備えた電子制御装置のブロック図である。
【符号の説明】
２ 電源スイッチ、
４ 電気負荷群、
５ 警報・表示器、
７ 第二の電気負荷群、
１００，５００，７００，９００，１０００，１１００，１２００，１３００ 電子機器、
１０１，５０１，７０１，９０１，１００１，１１０１，１２０１，１３０１ マイクロプロセッサ（ＣＰＵ）、
１０３，５０３，７０３，９０３，１００３ａ，１１０３ａ，１２０３ａ，１３０３ａ プログラムメモリ（異常診断手段）、
１０６ 駆動停止用ゲ−ト素子、
１１３ 負荷電源リレ−（開閉手段）、
１２０ａ，５２０ａ 第一のウォッチドッグタイマ、
１２０ｂ，５２０ｂ 第二のウォッチドッグタイマ、
１２１ａ 第一の異常処理回路、
１２１ｂ 第二の異常処理回路、
１２２ 論理結合回路、
１２５ リセット完了記憶素子、
１２５ａ，７２５ａ 第一の起動処理回路、
１２５ｂ，７２５ｂ 第二の起動処理回路、
１２８ 負荷電源停止用ゲ−ト素子、
１２９ 異常発生記憶素子、
４１２ 第一のエラ−出力、
４１３，８０９ 第一の異常診断手段、
４１４ 第一の確認手段、
４３２ 第二のエラ−出力、
４３３，８１９ 第二の異常診断手段、
４３４ 第二の確認手段、
５０６ 第二の駆動停止用ゲ−ト素子、
５０７，９０７，１００７，１１０７，１２０７，１３０７ サブマイクロプロセッサ、
５２２ａ 第一の論理結合回路、
５２２ｂ 第二の論理結合回路、
６３０ 自己リセット回路、
７２１ａ 第一のゲ−ト素子、
７２１ｂ 第二のゲ−ト素子、
７２２ 異常処理回路、
８２１ エラ−出力、
１００３ｂ，１１０３ｂ，１２０３ｂ，１３０３ｂ プログラムメモリ（ウォッチドッグ監視手段）、
１２４０，１３４０ 反転論理素子（外部接続回路）、
１０４１，１１４１，１２４１，１３４１ デフォルト回路、
１０４２，１１４２，１２４２，１３４２ デフォルト回路、
ＤＲ 制御出力、
ＥＲ エラ−出力、
ＥＲ１ 第一のエラ−出力、
ＥＲ２ 第二のエラ−出力、
ＭＮ１ 第一のリセット信号（第一のモニタ信号）、
ＭＮ２ 第二のリセット信号（第二のモニタ信号）、
ＲＳＴＳ リセット信号出力（サブ）、
ＲＳＴ 実効リセット信号出力、
ＴＳＴ テストモ−ド信号 、
ＴＳＴ１ 第一のテスト出力、
ＴＳＴ２ 第二のテスト出力、
ＷＤ１ 第一のウォッチドッグクリア信号、
ＷＤ２ 第二のウォッチドッグクリア信号、
ＷＤＳ ウォッチドッグクリア信号（サブ）。

Claims (21)

1. マイクロプロセッサ（ＣＰＵ）と第一のウォッチドッグタイマと第二のウォッチドッグタイマと論理結合回路と異常診断手段とを備え、
   上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
   上記第一のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
   上記第二のウォッチドッグタイマは、上記マイクロプロセッサからのウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
   上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると実効リセット信号を出力して上記マイクロプロセッサをリセットする回路であり、
   上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置。
2. マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段と論理結合回路と異常診断手段とを備え、
   上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
   上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
   上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
   上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
   上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生してサブマイクロプロセッサをリセットする手段であり、
   上記論理結合回路は、上記第一・第二の各リセット信号が共に発生すると上記マイクロプロセッサの異常と判定して実効リセット信号を出力して上記マイクロプロセッサおよびサブマイクロプロセッサをリセットする回路であり、
   上記異常診断手段は、上記第一のリセット信号の状態を第一モニタ信号として上記マイクロプロセッサに入力すると共に、上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一及び第二のウォッチドッグタイマのうちの一方のウォッチドッグタイマのモニタ信号が正常である場合に他方のウォッチドッグタイマに対するウォッチドッグクリア信号を意図的に異常状態にし当該異常状態にしたウォッチドッグクリア信号に対応する上記他方のウォッチドッグタイマのモニタ信号の反応をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置。
3. 請求項１または請求項２に記載の電子制御装置において、
   第一の異常処理回路と第二の異常処理回路とを備え、
   上記マイクロプロセッサは、上記異常診断手段により上記第一または第二のウォッチドッグタイマが異常と判定すると、第一または第二のエラ−信号を発生するマイクロプロセッサであり、
   上記第一・第二の異常処理回路は、上記第一または第二のエラー信号の動作に応動し、第一または第二のウォッチドッグタイマのリセット信号を強制的にリセット有効側に作動させる回路であり、強制的にリセットされない側のウォッチドッグタイマからのリセット信号に応じて実効リセット信号を発生して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサとをリセットし、上記第一または第二のウォッチドッグタイマがリセット不能側の異常であっても上記実効リセット信号出力の発生が可能であることを特徴とする電子制御装置。
4. 請求項３に記載の電子制御装置において、
   上記異常診断手段は、上記異常処理回路の正常動作を確認するために、上記マイクロプロセッサから第一または第二のエラ−出力を発生させて上記異常処理回路に入力し、上記この入力に対応する第一または第二のモニタ信号の応答状態を確認する第一・第二の確認手段を包むことを特徴とする電子制御装置。
5. 請求項１または請求項２に記載の電子制御装置において、
   ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両リセット信号を所定時間強制的にリセット有効側に作動させ実効リセット信号を発生する第一・第二の起動処理回路を備え、
   上記電源投入時に上記第一・第二のウォッチドッグタイマのいずれかが異常で不動作の状態であっても上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置。
6. 請求項１または請求項２に記載の電子制御装置において、
   上記論理結合回路を複数個並列にして多重系の論理結合回路で構成したことを特徴とする電子制御装置。
7. マイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマとゲート回路と異常診断手段とを備え、
   上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
   上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
   上記第二のウォッチドッグタイマは、上記マイクロプロセッサからの第二のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第二のリセット信号を発生するタイマであり、
   上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力するゲート回路であり、
   上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記第二のウォッチドッグタイマに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置。
8. マイクロプロセッサとサブマイクロプロセッサと第一のウォッチドッグタイマと第二のウォッチドッグタイマと暴走監視手段とゲート回路と異常診断手段とを備え、
   上記マイクロプロセッサは、電気負荷を制御する制御用マイクロプロセッサであり、
   上記サブマイクロプロセッサは、上記マイクロプロセッサと協動するサブマイクロプロセッサであり、
   上記第一のウォッチドッグタイマは、上記マイクロプロセッサからの第一のウォッチドッグクリア信号に異常があると上記マイクロプロセッサの異常として第一のリセット信号を発生するタイマであり、
   上記第二のウォッチドッグタイマは、上記サブマイクロプロセッサに内蔵され、上記マイクロプロセッサから上記サブマイクロプロセッサに供給される第二のウォッチドッグクリア信号に異常があると第二のリセット信号を発生するタイマであり、
   上記暴走監視手段は、上記マイクロプロセッサに内蔵され、上記サブマイクロプロセッサが発生する第三のウォッチドッグクリア信号を監視して、異常があると第三のリセット信号を発生して上記サブマイクロプロセッサをリセットする手段であり、
   上記ゲート回路は、上記マイクロプロセッサによって生成される第一または第二のテスト信号で制御され、テスト信号での制御中は上記第一または第二の各リセット信号の発生の有無に拘わらず上記マイクロプロセッサへの実効リセット信号の出力を停止し、上記第一または第二のテスト信号での制御がされていない場合は、上記第一または第二のリセット信号の発生に応じて上記実効リセット信号を出力し上記マイクロプロセッサおよびサブマイクロプロセッサをリセットするゲート回路であり、
   上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力すると共に上記第二のリセット信号の状態を第二のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで、上記第一のテスト信号を発生した状態で上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のウォッチドッグタイマに入力し上記第一のリセット信号の出力状態をチェックし、上記第二のテスト信号を発生した状態で上記第二のウォッチドッグクリア信号を意図的に異常状態にして上記サブマイクロプロセッサに入力し上記第二のリセット信号の出力状態をチェックすることにより上記第一及び第二のウォッチドッグタイマの各々の動作確認を行う異常診断手段であることを特徴とする電子制御装置。
9. 請求項７または請求項８に記載の電子制御装置において、
   上記異常診断手段による異常診断結果で上記第一または第二のウォッチドッグタイマが異常であると判定されると、上記マイクロプロセッサは異常側の上記テスト信号を継続的に発生して、異常動作による実効リセット信号が発生しないようにする手段と、
   上記マイクロプロセッサからの上記第一・第二のテスト信号が誤って共に発生すると、実効リセット信号を出力して上記マイクロプロセッサまたは上記マイクロプロセッサとサブマイクロプロセッサを強制的にリセットする異常処理手段とを備えていることを特徴とする電子制御装置。
10. 請求項７または請求項８に記載の電子制御装置において、
    ＣＰＵの暴走監視制御回路の各回路への供給電源を投入すると、上記第一・第二のウォッチドッグタイマの両方のリセット信号を所定期間強制的にリセット有効側に作動させて実効リセット信号を発生する第一・第二の起動処理回路を備え、
    上記電源投入時に上記第一・第二のウォッチドッグタイマが共に動作不能であっても上記実効リセット信号で上記マイクロプロセッサのリセットが可能であることを特徴とする電子制御装置。
11. 請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
    上記第一・第二のウォッチドッグタイマは、それぞれ自己リセット機能を有していることを特徴とする電子制御装置。
12. 請求項１，２，７，及び８の何れか一に記載の電子制御装置において、
    上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
    上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
    上記記憶したエラー信号または上記実効リセット信号を通報信号として出力する通報手段とを設け、
    上記通報信号で音声・表示器などで通報可能としたことを特徴とする電子制御装置。
13. 請求項１または請求項７に記載の電子制御装置において、
    上記マイクロプロセッサに従属し全体制御の一部を分担するサブマイクロプロセッサを備えていると共に、
    上記マイクロプロセッサは、上記サブマイクロプロセッサが発生するウォッチドッグタイマクリア信号を監視して，異常があるとリセット信号を供給して上記サブマイクロプロセッサをリセットする上記サブマイクロプロセッサの暴走を監視する暴走監視手段を備え、
    上記第一・第二のウォッチドッグタイマから供給される実効リセット信号は、上記マイクロプロセッサおよび上記サブマイクロプロセッサをリセットすることを特徴とする電子制御装置。
14. 請求項１または請求項７に記載の電子制御装置において、
    ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記電気負荷に電源供給している場合に、上記負荷電源と上記電気負荷間をオン・オフする開閉手段を設け、
    上記供給電源投入時または上記マイクロプロセッサをリセットするための上記実効リセット信号出力時に上記開閉手段で上記オフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段で上記オンとすることを特徴とする電子制御装置。
15. 請求項１または請求項７に記載の電子制御装置において、
    上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一方が異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
    上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号とを記憶し、上記供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
    上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置。
16. 請求項２，８，及び１３の何れか一に記載の電子制御装置において、
    上記サブマイクロプロセッサが上記マイクロプロセッサの電気負荷とは別の電気負荷を制御し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を負荷電源として上記マイクロプロセッサおよび上記サブマイクロプロセッサの上記各電気負荷に電源を供給し、
    上記負荷電源と上記各電気負荷との間を、上記電源投入時または上記実効リセット信号出力時に開閉手段でオフとし、上記実効リセット信号出力が解除されたとき、上記開閉手段でオンとすることを特徴とする電子制御装置。
17. 請求項２，８，及び１３の何れか一に記載の電子制御装置において、
    上記サブマイクロプロセッサを、上記マイクロプロセッサの電気負荷とは別の電気負荷を制御するサブマイクロプロセッサとし、
    上記マイクロプロセッサを、上記異常診断手段により上記第一・第二のウォッチドッグタイマの少なくとも一つが異常であると判定したときにエラ−信号を発生するマイクロプロセッサとし、
    上記エラー信号または上記マイクロプロセッサをリセットするための実効リセット信号を記憶し、ＣＰＵの暴走監視制御回路の各回路へ電源を供給する供給電源を投入すると上記記憶したエラー信号または上記実効リセット信号をクリアして記憶可能の状態にリセットする異常発生記憶手段と、
    上記異常発生記憶手段が上記エラー信号または上記実効リセット信号を記憶しているときに、上記マイクロプロセッサの少なくとも一つの電気負荷および上記サブマイクロプロセッサの少なくとも一つの電気負荷の内、少なくとも一方の電気負荷の出力発生を停止する駆動停止用手段とを設けたことを特徴とする電子制御装置。
18. 請求項２または請求項８に記載の電子制御装置において、
    上記異常診断手段は、上記第一のリセット信号の状態を第一のモニタ信号として上記マイクロプロセッサに入力し、上記マイクロプロセッサで上記第一のウォッチドッグクリア信号を意図的に異常状態にして上記第一のモニタ信号の反応をチェックして、上記第一のウォッチドッグタイマの動作確認を行い、上記第二のウォッチドッグタイマの異常診断は上記暴走監視手段で行うことを特徴とする電子制御装置。
19. 請求項１８に記載の電子制御装置において、
    上記サブマイクロプロセッサは、上記マイクロプロセッサからテスト時にテストモ−ド信号の供給を受けるようにし、上記テストモード信号を受けると強制的に上記第二のリセット信号を発生して上記ゲート回路に供給する強制出力手段を含み、
    上記サブマイクロプロセッサから強制的に発生した上記第二のリセット信号に対する上記マイクロプロセッサに供給される第二のモニタ信号の反応をチェックして、上記サブマイクロプロセッサから発生した上記第二のリセット信号が上記ゲート回路に達しているか否かの診断を可能としたことを特徴とする電子制御装置。
20. 請求項２に記載の電子制御装置において、
    上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を有効にするデフォルト回路を設けたことを特徴とする電子制御装置。
21. 請求項８に記載の電子制御装置において、
    上記サブマイクロプロセッサが起動して正常に作動するまでの間、ウォッチドッグタイマが発生する上記第一のリセット信号に応じて上記実効リセット信号が発生されるように、上記第二のリセット信号を無効にするデフォルト回路を設けたことを特徴とする電子制御装置。

Images