JP4073104B2

JP4073104B2 - Control device

Info

Publication number: JP4073104B2
Application number: JP05006899A
Authority: JP
Inventors: 俊也白倉; 善克石川; 英明藤川
Original assignee: 株式会社ハーマンプロ
Priority date: 1999-02-26
Filing date: 1999-02-26
Publication date: 2008-04-09
Anticipated expiration: 2019-02-26
Also published as: JP2000250769A

Description

【０００１】
【発明の属する技術分野】
本発明は、不揮発性の書換え可能なメモリを備え、そのメモリに記憶されている運転用制御情報に基づいて運転を制御するマイクロコンピュータが設けられている制御装置に関する。
【０００２】
【従来の技術】
上記のような制御装置は、不揮発性の書換え可能なメモリとしてフラッシュメモリを使用して、そのフラッシュメモリに運転用制御プログラムが記憶され、マイクロコンピュータがフラッシュメモリに記憶されている運転用制御プログラムに基づいて運転を制御するものが知られている（例えば、特開平８−２２７３９号公報）。
そして、このような制御装置は、マイクロコンピュータを装置に装着したまま、フラッシュメモリに記憶されている運転用制御プログラムを繰り返し書換えることができるので、製造後などのプログラムの変更の必要性にも容易に対応することができるものであった。
【０００３】
【発明が解決しようとする課題】
しかしながら、従来のように、フラッシュメモリなどの不揮発性の書換え可能なメモリを用いるものでは、時間経過とともに記憶されている情報が消えていく、いわゆるビット欠けが生じるという問題がある。
そして、一般的には、メモリに情報を記憶させてから１０年経過すると、ビット欠けが発生するとされているが、その装置の使用環境および使用条件により、ビット欠けが早い段階で生じることがあり、その場合に、マイクロコンピュータが暴走して安全性が損なわれる虞があった。
【０００４】
本発明はかかる点に着目してなされたものであり、その目的は、時間経過とともにメモリに記憶されている情報が消えていく、いわゆるビット欠けの発生を検出して、マイクロコンピュータの暴走を防止して安全性を向上させることができる制御装置を提供する点にある。
【０００５】
【課題を解決するための手段】
この目的を達成するために、請求項１に記載の発明によれば、不揮発性の書換え可能なメモリを備え、そのメモリに記憶されている運転用制御情報に基づいて装置の運転を制御するマイクロコンピュータが設けられている制御装置において、メモリが、そのメモリに記憶されている運転用制御情報が正常か異常かを判別する制御情報判別処理を実行するための判別処理情報を記憶し、マイクロコンピュータが、メモリに記憶されている判別処理情報に基づいて制御情報判別処理を実行するように構成されている。
つまり、時間経過とともに記憶されている情報が消えていく、いわゆるビット欠けが発生すると、マイクロコンピュータのメモリに記憶されている運転用制御情報が異常となるので、判別処理情報に基づく制御情報判別処理を実行することにより運転用制御情報の異常を検出することができ、ビット欠けを検出することができる。
したがって、装置の使用環境や使用条件によりビット欠けが早い段階で発生しても、そのビット欠けの発生を検出することができるので、ビット欠けに対する処置を行うことができ、マイクロコンピュータの暴走を防止して安全性を向上させることができる。
又、請求項１に記載の発明によれば、前記マイクロコンピュータとの間で通信可能で、不揮発性の書換え可能なサブメモリを備えて、そのサブメモリに記憶されている記憶情報が正常か異常かを判別する記憶情報判別処理を実行するサブマイクロコンピュータが設けられ、前記マイクロコンピュータが、前記サブマイクロコンピュータに異常状態が発生すると、その異常発生情報を前記メモリに記憶し、かつ、前記サブメモリに異常発生情報が記憶されていると、前記制御情報判別処理を実行するように構成され、前記サブマイクロコンピュータが、前記マイクロコンピュータに異常状態が発生すると、前記サブメモリにその異常発生情報を記憶し、かつ、前記メモリに異常発生情報が記憶されていると、前記記憶情報判別処理を実行するように構成されている。
つまり、マイクロコンピュータに異常状態が発生すると、その異常発生情報がサブマイクロコンピュータのサブメモリに記憶され、サブメモリに異常発生情報が記憶されていると、メモリに記憶されている運転用制御情報が正常か異常かを判別するための制御情報判別処理が実行される。また、逆に、サブマイクロコンピュータに異常状態が発生すると、その異常発生情報がマイクロコンピュータのメモリに記憶され、メモリに異常発生情報が記憶されていると、サブメモリに記憶されている記憶情報が正常か異常かを判別するための記憶情報判別処理が実行される。
したがって、マイクロコンピュータおよびサブマイクロコンピュータのそれぞれが、異常発生情報を自己に記憶するのではなく、相手の異常発生情報を記憶させるとともに、その相手に記憶されている異常発生情報に基づいて自己のメモリに記憶されている情報が正常か異常かを判別する制御情報判別処理または記憶情報判別処理を実行するので、異常状態が発生したマイクロコンピュータまたはサブマイクロコンピュータが、確実に制御情報判別処理または記憶情報判別処理を実行することができ、ビット欠けの発生をより確実に検出することができ、安全性をより一層向上させることができる。
【０００６】
請求項２に記載の発明によれば、マイクロコンピュータが、電源投入および電源リセットのうち少なくとも一方が実行されると、制御情報判別処理を実行するように構成されている。
つまり、電源投入または電源リセットのうちのいずれかが実行されると、制御情報判別処理を実行するので、マイクロコンピュータによる運転制御を実行する前に必ず運転用制御情報が正常か異常か判別されることになる。
したがって、マイクロコンピュータによる運転制御を実行する前にビット欠けを検出することができるので、ビット欠けを発生したままマイクロコンピュータによる運転制御が実行されるのを防止することができ、安全性をより向上させることができる。
【００１０】
【発明の実施の形態】
本発明にかかる制御装置を給湯装置に適応した例を図面に基づいて説明する。この給湯装置は、図１に示すように、供給される水を加熱して出湯栓７に給湯する給湯部Ｋ、この給湯部Ｋの運転を制御するマイクロコンピュータとしてメインマイコンＭ、このメインマイコンＭに動作情報を指令するサブマイクロコンピュータを備えたリモコンＲなどから構成されている。
【００１１】
前記給湯部Ｋは、燃焼室１内に設けられている水加熱用の熱交換器２、この熱交換器２を加熱するガス燃焼式のバーナ３などから構成され、このバーナ３の上流側から燃焼用空気を通風するとともに、その通風量を変更調整自在な空気量調節手段としてのファン４も設けられ、ファン４の回転数を検出する回転数センサ４ａも設けられている。
【００１２】
そして、熱交換器２には、例えば家庭用の水道などから水が供給される入水路５、加熱後の湯水を手動式の給湯栓７に出湯する出湯路６がそれぞれ接続されている。
前記入水路５には、熱交換器２への通水量を検出する通水量センサ８、入水路５を通して供給される水の温度を検出する入水温サーミスタ９がそれぞれ備えられている。また、出湯路６には、出湯栓７から出湯される湯水の温度を検出する出湯温サーミスタ１０が設けられている。
【００１３】
バーナ３に対する燃料供給路１１には、燃料供給を断続する電磁操作式の断続弁１２、燃料供給量（バーナ３の燃焼量）を変更調節自在な電磁操作式の燃料調節手段としてのガス量調節弁１３が備えられ、バーナ３の近くには、バーナ３に対する点火動作を実行するイグナイタ１４と、バーナ３が着火されているか否かを検出するフレームロッド１５とがそれぞれ備えられている。
【００１４】
前記リモコンＲは、メインマイコンＭと通信可能なサブマイクロコンピュータとしてのサブマイコンＳを備えて、給湯部Ｋの運転の開始・停止を指令する運転スイッチ１６、出湯用目標温度を変更設定自在な温度設定スイッチ１７、出湯温度や出湯用目標温度などを表示する表示部１８、運転状態であることを表示する運転ランプ１９、バーナ３が燃焼状態であることを表示する燃焼ランプ２０などからなる操作部Ｂから構成されている。
【００１５】
前記メインマイコンＭは、図２に示すように、不揮発性の書換え可能なメモリとしてのメイン用フラッシュメモリ２１と、メイン用フラッシュメモリ２１に記憶されている記憶情報に基づいた動作を実行するメイン用ＣＰＵ２２と、外部との制御情報の送受信を可能とするメイン用インターフェース２３、情報伝達の管理をするとともに、メイン用ＣＰＵ２２の作動異常を監視するウォッチドッグ回路２４とから構成され、メイン用フラッシュメモリ２１、メイン用ＣＰＵ２２、メイン用インターフェース２３、および、ウォッチドッグ回路２４のそれぞれがメイン用制御基板２５に備えられている。
【００１６】
そして、メイン用フラッシュメモリ２１には、運転用制御情報としての運転用制御プログラムや、メイン用フラッシュメモリ２１に記憶されている運転用制御プログラムが正常か異常かを判別する制御情報判別処理を実行するための判別処理情報としての判別処理プログラムなどが記憶され、メイン用ＣＰＵ２２が、メイン用フラッシュメモリ２１に記憶されている運転用制御プログラムに基づいて給湯装置の運転を制御するとともに、メイン用フラッシュメモリ２１に記憶されている判別処理プログラムに基づいて制御情報判別処理を実行するように構成されている。
【００１７】
また、リモコンＲに備えられているサブマイコンＳは、不揮発性の書換え可能なサブメモリとしてのサブ用フラッシュメモリ２６、サブ用フラッシュメモリ２６に記憶されている記憶情報に基づいた動作を実行するサブ用ＣＰＵ２７と、外部との制御情報の送受信を可能とするサブ用インターフェース２８とから構成され、サブ用フラッシュメモリ２６、サブ用ＣＰＵ２７、および、メイン用インターフェース２８のそれぞれがサブ用制御基板２９に備えられている。
そして、サブ用フラッシュメモリ２６には、サブ用フラッシュメモリ２６に記憶されている記憶情報が正常か異常かを判別するための記憶情報判別処理情報としての記憶情報判別処理プログラムなどが記憶されている。
【００１８】
メインマイコンＭおよびサブマイコンＳについて説明を加えると、メインマイコンＭは、運転状態であるときに、サブマイコンＳからの制御指令により、メイン用フラッシュメモリ２１に記憶されている運転用制御プログラムに基づいて、バーナ３の点火・消火を含む燃焼状態を制御する運転制御としての燃焼制御処理を実行する。
また、メインマイコンＭは、サブマイコンＳに異常状態が発生すると、その異常発生情報をメイン用フラッシュメモリ２１に記憶させ、逆に、サブマイコンＳは、メインマイコンＭに異常状態が発生すると、その異常発生情報をサブ用フラッシュメモリ２６に記憶させるようにしている。
なお、メインマイコンＭの異常状態の発生は、ウォッチドッグ回路２４にて検出され、サブマイコンＳの異常状態の発生は、メインマイコンＭにて検出するように構成されている。
【００１９】
そして、メインマイコンＭは、サブ用フラッシュメモリ２６にメインマイコンＭの異常発生情報が記憶されていると、メイン用フラッシュメモリ２１に記憶されている判別処理プログラムに基づいて制御情報判別処理を実行するように構成され、サブマイコンＳは、メイン用フラッシュメモリ２１にサブマイコンＳの異常発生情報が記憶されていると、サブ用フラッシュメモリ２６に記憶されている記憶情報判別処理プログラムに基づいて記憶情報判別処理を実行するように構成されている。
また、制御情報判別処理および記憶情報判別処理として、ある記憶領域のビット情報を加算した総和の特定ビット値が、予め付加されている検査合計と一致するか否かにより、その領域のビット異常を検出する、いわゆるチェックサム方式を利用するようにしている。
【００２０】
つまり、メインマイコンＭのメイン用ＣＰＵ２２は、サブマイコンＳのサブ用フラッシュメモリ２６にメインマイコンＭの異常発生情報としての暴走記録が記憶されていると、メイン用フラッシュメモリ２１に記憶されている運転用制御プログラムが正常か異常かを判別する。そして、サブマイコンＳのサブ用ＣＰＵ２７は、メインマイコンＭのメイン用フラッシュメモリ２１にサブマイコンＳの異常発生情報としての暴走記録が記憶されていると、サブ用フラッシュメモリ２６に記憶されている記憶情報が正常か異常かを判別する。
なお、メインマイコンＭとサブマイコンＳとの通信は、メイン用インターフェース２３とサブ用インターフェース２８とを介して行われるようにしている。
【００２１】
このようにして、時間経過とともに記憶されている情報が消えていく、いわゆるビット欠けが発生すると、マイクロコンピュータのメモリに記憶されている運転用制御情報が異常となるので、判別処理情報に基づく制御情報判別処理を実行することにより運転用制御情報の異常を検出することができ、ビット欠けを検出することができる。
したがって、装置の使用環境や使用条件によりビット欠けが早い段階で発生しても、そのビット欠けの発生を検出することができるので、ビット欠けに対する処置を行うことができ、マイクロコンピュータの暴走を防止して安全性を向上させることができる。
【００２２】
また、マイクロコンピュータおよびサブマイクロコンピュータのそれぞれが、異常発生情報を自己に記憶するのではなく、相手の異常発生情報を記憶させるとともに、その相手に記憶されている異常発生情報に基づいて自己のメモリに記憶されている情報が正常か異常かを判別する制御情報判別処理または記憶情報判別処理を実行するので、異常状態が発生したマイクロコンピュータまたはサブマイクロコンピュータが、確実に制御情報判別処理または記憶情報判別処理を実行することができ、ビット欠けの発生をより確実に検出することができ、安全性をより一層向上させることができる。
【００２３】
前記運転制御としての燃焼制御処理について説明を加えると、メインマイコンＭは、操作部Ｂによる制御指令をサブマイコンＳとの通信により受信して、熱交換器２への通水が開始されるに伴ってバーナ３の燃焼を開始して、熱交換器２への通水が停止されるに伴ってバーナ３の燃焼を停止するとともに、熱交換器２への通水が検出されているときに、給湯温度が目標温度になるようにバーナ３の燃焼量を調整するように構成されている。
具体的に説明すると、運転スイッチ１６のＯＮ操作に伴って出湯運転状態に設定された後に、給湯栓７の開操作に伴って通水量センサ８にて検出される通水量が設定水量を超えると、ファン４による通風作動を開始し、かつ、断続弁１２を開弁させてガス量調節弁１３を点火用ガス量になるように開弁調整するとともに、イグナイタ１４によってバーナ３へ着火し、フレームロッド１５によって確認する。
【００２４】
その後、入水温サーミスタ９、出湯温サーミスタ１０、通水量センサ８のそれぞれの検出情報、および、温度設定スイッチ１７にて設定されている目標温度の情報に基づいて、給湯温度を目標温度にするために必要なバーナ３の燃焼量を演算にて求める。そして、求められた燃焼量に対応するガス量になるようにガス量調節弁１３を調整制御するとともに、ファン４の通風量が調整ガス量に対して適正燃焼状態になるようにファン４の通風量を調整制御するフィードフォワード制御を実行し、さらに、出湯温サーミスタ１０の検出温度が目標温度になるように、ガス量調節弁１３の開度を微調整するフィードバック制御を実行する。
このようにして、給湯栓７から目標温度の湯水が出湯されることになる。
【００２５】
前記メインマイコンＭおよびサブマイコンＳの制御動作について、図３及び図４のフローチャートに基づいて説明する。
電源投入または電源リセットの少なくとも一方が実行されると、サブマイコンＳのサブ用フラッシュメモリ２６にメインマイコンＭの暴走記録が記憶されているか否かを判別し、メインマイコンＭの暴走記録が記憶されているときには、メイン用フラッシュメモリ２１に記憶されている判別処理プログラムに基づいて、メイン用フラッシュメモリ２１に記憶されている運転用制御情報が正常か異常かを判別する制御情報判別処理を実行する（ステップ１〜３）。
【００２６】
そして、その運転用制御情報が正常であると判別されると、メインマイコンＭの暴走記録が記憶されているときに、その暴走記録を消去する（ステップ４）。また、制御情報判別処理により運転用制御情報が異常であると判別されると、その後の全ての動作が停止されるインターロックがかかるようにしている（ステップ５）。
メインマイコンＭの暴走記録が記憶されていないときには、メインマイコンＭのメイン用フラッシュメモリ２１にサブマイコンＳの暴走記録が記憶されているか否かを判別し、サブマイコンＳの暴走記録が記憶されているときには、サブ用フラッシュメモリ２６に記憶されている記憶情報が正常か異常かを判別する記憶情報判別処理を実行する（ステップ６〜８）。
そして、その記憶情報が正常であると判別されると、サブマイコンＳの暴走記録が記憶されているときに、その暴走記録を消去する（ステップ９）。また、記憶情報判別処理により記憶情報が異常であると判別されると、その後の全ての動作が停止されるインターロックがかかるようにしている（ステップ５）。
【００２７】
このようにして、メインマイコンＭおよびサブマイコンＳによる暴走記録が消去された状態で、給湯栓７の開操作に伴って通水量センサ８にて検出される通水量が設定水量を超えると、ファン４による通風作動を開始し、かつ、断続弁１２を開弁させてガス量調節弁１３を点火用ガス量になるように開弁調整するとともに、イグナイタ１４によってバーナ３へ着火し、フレームロッド１５によって確認する点火処理を実行する（ステップ１０，１１）。また、電源がＯＦＦされなければ、給湯栓７の開操作に伴って通水量センサ８にて検出される通水量が設定水量を超えるまで待機状態となる（ステップ１２）。
そして、点火処理を実行しても、フレームロッド１５によりバーナ３の着火が確認されず不着火であると、表示部１８にエラー表示して、断続弁１２とガス量調節弁１３を閉弁して、その後ファン４の作動を停止させる異常停止を行う（ステップ１３，１５，１６）。
なお、点火処理を再び実行して、バーナ３への不着火が２回続くと、上述のエラー表示および異常停止を行うようにしてもよく、その回数は適宜設定可能にしている。
【００２８】
点火処理を実行してバーナ３へ着火されると、入水温サーミスタ９、出湯温サーミスタ１０、通水量センサ８のそれぞれの検出情報、および、温度設定スイッチ１７にて設定されている目標温度の情報に基づいて、給湯温度を目標温度にするために必要なバーナ３の燃焼量を演算にて求める。そして、求められた燃焼量に対応するガス量になるようにガス量調節弁１３を調整制御するとともに、ファン４の通風量が調整ガス量に対して適正燃焼状態になるようにファン４の通風量を調整制御するフィードフォワード制御を実行し、さらに、出湯温サーミスタ１０の検出温度が目標温度になるように、ガス量調節弁１３の開度を微調整するフィードバック制御を実行する（ステップ１４）。
【００２９】
そして、フィードフォワード制御およびフィードバック制御は、燃焼異常などのエラーが発生しなければ、給湯栓７の閉操作に伴って通水量センサ８にて検出される通水量が設定水量未満になるか、または、電源がＯＦＦされるまで実行される（ステップ１７〜１９）。つまり、水量センサ８にて検出される通水量が設定水量未満になるか、または、電源がＯＦＦされると、断続弁１２とガス量調節弁１３が閉弁され、設定時間経過した後ファン４の作動を停止させてバーナ３の燃焼を停止させ、電源がＯＦＦされていなければ、通水量センサ８にて検出される通水量が設定水量を越えるまで待機状態となる（ステップ２０，２１）。
【００３０】
また、フィードフォワード制御およびフィードバック制御中に、燃焼異常などのエラーが発生すると、ウォッチドッグ回路によりメインマイコンＭが暴走しているか否かを判別し、メインマイコンＭが暴走していると判別されると、その暴走記録をサブマイコンＳのサブ用フラッシュメモリ２６に記憶させ、断続弁１２とガス量調節弁１３を閉弁して、設定時間経過した後ファン４の作動を停止させて異常停止を行う（ステップ１７，２２，２３，２４）。
【００３１】
そして、メインマイコンＭが暴走していなければ、サブマイコンＳが暴走しているか否かを判別し、メインマイコンＭによりサブマイコンＳが暴走していると判別されると、その暴走記録をメインマイコンＭのメイン用フラッシュメモリ２１に記憶させ、断続弁１２とガス量調節弁１３を閉弁して、設定時間経過した後ファン４の作動を停止させて暴走停止を行う（ステップ２５，２６，２４）。
また、メインマイコンＭおよびサブマイコンＳの両方が暴走していないときには、表示部１８にエラー表示を行い、断続弁１２とガス量調節弁１３を閉弁して、設定時間経過した後ファン４の作動を停止させて異常停止を行う（ステップ２７，２８）。
【００３３】
〔別実施形態〕
（１）上記実施形態では、メインマイコンＭに異常状態が発生すると、その異常発生情報がサブ用フラッシュメモリ２６に記憶され、サブ用フラッシュメモリ２６に異常発生情報が記憶されていると、制御情報判別処理が実行され、逆に、サブマイコンＳに異常状態が発生すると、その異常発生情報がメイン用フラッシュメモリ２１に記憶され、メイン用フラッシュメモリ２１に異常発生情報が記憶されていると、記憶情報判別処理が実行されるようにしているが、次のように構成してもよい。
つまり、制御情報判別処理および記憶情報判別処理を実行するタイミングは上記実施形態のものに限られるものではなく、例えば、電源投入および電源リセットのどちらかの実行と運転制御中のエラーの発生との両方または一方があると、制御情報判別処理および記憶情報判別処理を実行するようにしてもよい。
【００３４】
（２）上記実施形態では、不揮発性の書換え可能なメモリおよびサブメモリとして、フラッシュメモリが用いられているが、メモリおよびサブメモリとしては、フラッシュメモリに限られるものではない。
【００３５】
（３）上記実施形態では、制御情報判別処理および記憶情報判別処理として、チェックサム方式を利用するようにしているが、これに限られるものではなく、例えば、パリティチェック方式を利用してもよい。
【００３６】
（４）上記実施形態では、本発明にかかる制御装置を給湯装置に適応した例を示しているが、その他各種の装置に適応可能である。
【図面の簡単な説明】
【図１】給湯装置の全体概略構成図
【図２】マイクロコンピュータとサブマイクロコンピュータの制御ブロック図
【図３】制御動作を示すフローチャート
【図４】制御動作を示すフローチャート
【符号の説明】
２１メモリ
２６サブメモリ
Ｍマイクロコンピュータ
Ｓサブマイクロコンピュータ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a control device including a nonvolatile rewritable memory and provided with a microcomputer that controls operation based on operation control information stored in the memory.
[0002]
[Prior art]
The control device as described above uses a flash memory as a non-volatile rewritable memory, the operation control program is stored in the flash memory, and the microcomputer is stored in the operation control program stored in the flash memory. A device that controls operation based on the above is known (for example, Japanese Patent Application Laid-Open No. 8-22739).
Since such a control device can repeatedly rewrite the operation control program stored in the flash memory while the microcomputer is mounted on the device, it is necessary to change the program after manufacturing. It could be easily handled.
[0003]
[Problems to be solved by the invention]
However, in the conventional case using a nonvolatile rewritable memory such as a flash memory, there is a problem in that the stored information disappears as time passes, so-called bit missing occurs.
In general, bit loss occurs after 10 years since information is stored in the memory. However, bit loss may occur at an early stage depending on the use environment and usage conditions of the device. In that case, there is a possibility that the microcomputer may run away and the safety may be impaired.
[0004]
The present invention has been made paying attention to such a point, and its purpose is to detect the occurrence of so-called bit missing, in which the information stored in the memory disappears over time, and to prevent the microcomputer from running away. Thus, a control device that can improve safety is provided.
[0005]
[Means for Solving the Problems]
To achieve this object, according to the first aspect of the present invention, there is provided a non-volatile rewritable memory, and a micro that controls the operation of the apparatus based on the operation control information stored in the memory. In the control device provided with the computer, the memory stores determination processing information for executing control information determination processing for determining whether the control information for operation stored in the memory is normal or abnormal, and the microcomputer Is configured to execute the control information determination process based on the determination process information stored in the memory.
In other words, when the so-called bit missing occurs, the stored information disappears with the passage of time, the control information for operation stored in the memory of the microcomputer becomes abnormal, so the control information discrimination processing based on the discrimination processing information By executing this, it is possible to detect an abnormality in the control information for operation and to detect a missing bit.
Therefore, even if a bit chipping occurs at an early stage depending on the usage environment and usage conditions of the device, the occurrence of the bit chipping can be detected, so it is possible to take measures against the bit chipping and prevent the microcomputer from running out of control. And safety can be improved.
According to the first aspect of the present invention, there is provided a non-volatile rewritable sub memory that can communicate with the microcomputer, and the stored information stored in the sub memory is normal or abnormal. A sub-microcomputer that executes a storage information determination process for determining whether or not an abnormal state occurs in the sub-microcomputer, the abnormal-occurrence information is stored in the memory, and the sub-memory When the abnormality occurrence information is stored in the microcomputer, the control information determination process is executed. When the abnormal state occurs in the microcomputer, the abnormality information is stored in the sub memory. If the occurrence information of abnormality is stored in the memory, the stored information determination process is executed. It is configured.
That is, when an abnormal state occurs in the microcomputer, the abnormality occurrence information is stored in the sub memory of the sub microcomputer, and when the abnormality occurrence information is stored in the sub memory, the operation control information stored in the memory is stored in the memory. A control information determination process for determining whether it is normal or abnormal is executed. Conversely, when an abnormal state occurs in the sub-microcomputer, the abnormality occurrence information is stored in the memory of the microcomputer, and when the abnormality occurrence information is stored in the memory, the storage information stored in the sub-memory is A stored information discrimination process for discriminating between normal and abnormal is executed.
Therefore, each of the microcomputer and the sub-microcomputer does not store the abnormality occurrence information in itself, but stores the abnormality occurrence information of the other party and also stores its own memory based on the abnormality occurrence information stored in the other party. The control information determination process or the stored information determination process for determining whether the information stored in the memory is normal or abnormal is executed, so that the microcomputer or sub-microcomputer in which the abnormal state has occurred is surely controlled by the control information determination process or the stored information. The discrimination process can be executed, the occurrence of bit missing can be detected more reliably, and the safety can be further improved.
[0006]
According to the second aspect of the present invention, the microcomputer is configured to execute the control information determination process when at least one of the power-on and the power reset is executed.
In other words, since control information determination processing is executed when either power-on or power reset is executed, it is always determined whether the operation control information is normal or abnormal before executing the operation control by the microcomputer. It will be.
Therefore, since it is possible to detect a missing bit before the operation control by the microcomputer is executed, it is possible to prevent the operation control by the microcomputer from being executed while the bit is missing, thereby further improving safety. Can be made.
[0010]
DETAILED DESCRIPTION OF THE INVENTION
The example which applied the control apparatus concerning this invention to the hot-water supply apparatus is demonstrated based on drawing. As shown in FIG. 1, the hot water supply apparatus includes a hot water supply section K that heats supplied water and supplies hot water to the tap tap 7, a main microcomputer M as a microcomputer that controls the operation of the hot water supply section K, and the main microcomputer M. The remote controller R includes a sub-microcomputer for instructing operation information.
[0011]
The hot water supply section K is composed of a water heat exchanger 2 provided in the combustion chamber 1, a gas combustion burner 3 for heating the heat exchanger 2, and the like, and from the upstream side of the burner 3. While the combustion air is ventilated, a fan 4 is also provided as an air amount adjusting means capable of changing and adjusting the air flow rate, and a rotation speed sensor 4 a for detecting the rotation speed of the fan 4 is also provided.
[0012]
The heat exchanger 2 is connected to a water inlet 5 through which water is supplied from, for example, a domestic water supply, and a hot water outlet 6 through which hot water is heated to a manual hot water tap 7.
The water intake channel 5 is provided with a water flow rate sensor 8 for detecting the water flow rate to the heat exchanger 2 and a water temperature thermistor 9 for detecting the temperature of water supplied through the water intake channel 5. In addition, a tap temperature thermistor 10 that detects the temperature of hot water discharged from the tap tap 7 is provided in the tap channel 6.
[0013]
The fuel supply passage 11 for the burner 3 has an electromagnetically operated intermittent valve 12 for intermittently supplying fuel, and a gas amount adjustment as an electromagnetically operated fuel adjusting means capable of changing and adjusting the fuel supply amount (burning amount of the burner 3). A valve 13 is provided, and an igniter 14 that performs an ignition operation on the burner 3 and a frame rod 15 that detects whether or not the burner 3 is ignited are provided near the burner 3.
[0014]
The remote control R includes a sub microcomputer S as a sub microcomputer communicable with the main microcomputer M, an operation switch 16 for instructing start / stop of operation of the hot water supply section K, and a temperature at which the target temperature for hot water can be changed and set freely. An operation unit comprising a setting switch 17, a display unit 18 for displaying the temperature of the hot water and the target temperature for hot water, an operation lamp 19 for indicating that the operation is in progress, and a combustion lamp 20 for indicating that the burner 3 is in the combustion state. B.
[0015]
As shown in FIG. 2, the main microcomputer M is a main flash memory 21 as a non-volatile rewritable memory, and a main microcomputer M that performs an operation based on stored information stored in the main flash memory 21. The main flash memory 21 includes a CPU 22, a main interface 23 that enables transmission / reception of control information to / from the outside, a watchdog circuit 24 that manages information transmission and monitors an operation abnormality of the main CPU 22. The main CPU 22, the main interface 23, and the watchdog circuit 24 are provided on the main control board 25.
[0016]
The main flash memory 21 executes a control information determination process for determining whether the operation control program as the operation control information or the operation control program stored in the main flash memory 21 is normal or abnormal. The main CPU 22 controls the operation of the hot water supply apparatus based on the operation control program stored in the main flash memory 21 and the main flash. The control information discrimination process is executed based on the discrimination process program stored in the memory 21.
[0017]
Further, the sub-microcomputer S provided in the remote controller R includes a sub flash memory 26 as a non-volatile rewritable sub memory, and a sub that executes an operation based on the stored information stored in the sub flash memory 26. The sub CPU 27 and a sub interface 28 that enables transmission / reception of control information to / from the outside. The sub flash memory 26, the sub CPU 27, and the main interface 28 are provided in the sub control board 29, respectively. It has been.
The sub flash memory 26 stores a storage information determination processing program as storage information determination processing information for determining whether the storage information stored in the sub flash memory 26 is normal or abnormal. .
[0018]
The main microcomputer M and the sub-microcomputer S will be described. The main microcomputer M is based on an operation control program stored in the main flash memory 21 in response to a control command from the sub-microcomputer S when it is in an operating state. Thus, a combustion control process is performed as operation control for controlling the combustion state including ignition and extinguishing of the burner 3.
Further, when an abnormal state occurs in the sub-microcomputer S, the main microcomputer M stores the abnormality occurrence information in the main flash memory 21, and conversely, when the sub-microcomputer S generates an abnormal state, The abnormality occurrence information is stored in the sub flash memory 26.
The occurrence of an abnormal state of the main microcomputer M is detected by the watchdog circuit 24, and the occurrence of an abnormal state of the sub-microcomputer S is detected by the main microcomputer M.
[0019]
Then, when the abnormality information of the main microcomputer M is stored in the sub flash memory 26, the main microcomputer M executes control information determination processing based on the determination processing program stored in the main flash memory 21. The sub-microcomputer S stores the storage information based on the storage information determination processing program stored in the sub-flash memory 26 when the abnormality information of the sub-microcomputer S is stored in the main flash memory 21. It is configured to execute a discrimination process.
Also, as the control information discrimination process and the storage information discrimination process, depending on whether or not the specific bit value of the sum obtained by adding the bit information of a certain storage area matches the check sum added in advance, the bit abnormality of that area is determined. A so-called checksum method for detection is used.
[0020]
That is, the main CPU 22 of the main microcomputer M stores the operation stored in the main flash memory 21 when the runaway record as the abnormality occurrence information of the main microcomputer M is stored in the sub flash memory 26 of the sub microcomputer S. The control program is normal or abnormal. Then, the sub CPU 27 of the sub microcomputer S stores the memory stored in the sub flash memory 26 when the runaway record as the abnormality occurrence information of the sub microcomputer S is stored in the main flash memory 21 of the main microcomputer M. Determine whether the information is normal or abnormal.
The communication between the main microcomputer M and the sub microcomputer S is performed via the main interface 23 and the sub interface 28.
[0021]
In this way, when so-called bit missing occurs, the stored information disappears with the passage of time, so that the control information for operation stored in the memory of the microcomputer becomes abnormal, so control based on the discrimination processing information By executing the information determination process, it is possible to detect an abnormality in the control information for operation and to detect a bit defect.
Therefore, even if a bit chipping occurs at an early stage depending on the usage environment and usage conditions of the device, the occurrence of the bit chipping can be detected, so it is possible to take measures against the bit chipping and prevent the microcomputer from running out of control. And safety can be improved.
[0022]
In addition, each of the microcomputer and the sub-microcomputer does not store the abnormality occurrence information in itself, but stores the abnormality occurrence information of the other party and also stores its own memory based on the abnormality occurrence information stored in the other party. The control information determination process or the stored information determination process for determining whether the information stored in the memory is normal or abnormal is executed, so that the microcomputer or sub-microcomputer in which the abnormal state has occurred is surely controlled by the control information determination process or the stored information. The discrimination process can be executed, the occurrence of bit missing can be detected more reliably, and the safety can be further improved.
[0023]
When the combustion control process as the operation control is described, the main microcomputer M receives a control command from the operation unit B through communication with the sub-microcomputer S, and starts water flow to the heat exchanger 2. When combustion of the burner 3 is started and water flow to the heat exchanger 2 is stopped, combustion of the burner 3 is stopped and water flow to the heat exchanger 2 is detected. The combustion amount of the burner 3 is adjusted so that the hot water supply temperature becomes the target temperature.
More specifically, when the water flow amount detected by the water flow amount sensor 8 with the opening operation of the hot water tap 7 exceeds the set water amount after being set to the hot water discharge operation state with the ON operation of the operation switch 16. Then, the ventilation operation by the fan 4 is started, and the intermittent valve 12 is opened to adjust the opening of the gas amount adjusting valve 13 to the ignition gas amount, and the burner 3 is ignited by the igniter 14 to Confirm with the rod 15.
[0024]
Thereafter, the hot water supply temperature is set to the target temperature based on the detection information of the incoming water temperature thermistor 9, the outgoing water temperature thermistor 10, the water flow rate sensor 8, and the information on the target temperature set by the temperature setting switch 17. The combustion amount of the burner 3 necessary for the calculation is obtained by calculation. Then, the gas amount adjusting valve 13 is adjusted and controlled so that the amount of gas corresponding to the determined amount of combustion is obtained, and the air flow of the fan 4 is adjusted so that the air amount of the fan 4 is in an appropriate combustion state with respect to the adjusted gas amount. Feed forward control for adjusting the amount is executed, and further feedback control for finely adjusting the opening of the gas amount adjusting valve 13 is executed so that the detected temperature of the tapping temperature thermistor 10 becomes the target temperature.
In this way, hot water of the target temperature is discharged from the hot water tap 7.
[0025]
The control operation of the main microcomputer M and the sub microcomputer S will be described based on the flowcharts of FIGS.
When at least one of power on and power reset is executed, it is determined whether or not the runaway record of the main microcomputer M is stored in the sub flash memory 26 of the sub microcomputer S, and the runaway record of the main microcomputer M is stored. The control information determination process for determining whether the operation control information stored in the main flash memory 21 is normal or abnormal is executed based on the determination processing program stored in the main flash memory 21. (Steps 1-3).
[0026]
If it is determined that the operation control information is normal, the runaway record is erased when the runaway record of the main microcomputer M is stored (step 4). Further, when it is determined by the control information determination process that the driving control information is abnormal, an interlock is applied to stop all subsequent operations (step 5).
When the runaway record of the main microcomputer M is not stored, it is determined whether or not the runaway record of the sub microcomputer S is stored in the main flash memory 21 of the main microcomputer M, and the runaway record of the sub microcomputer S is stored. If the stored information is stored, the stored information determination process for determining whether the stored information stored in the sub flash memory 26 is normal or abnormal is executed (steps 6-8).
If it is determined that the stored information is normal, the runaway record is erased when the runaway record of the sub-microcomputer S is stored (step 9). Further, when it is determined that the stored information is abnormal by the stored information determining process, an interlock that stops all subsequent operations is applied (step 5).
[0027]
In this way, when the runaway record by the main microcomputer M and the sub-microcomputer S is erased, the water flow rate detected by the water flow rate sensor 8 with the opening operation of the hot-water tap 7 exceeds the set water volume. 4 and the intermittent valve 12 is opened to adjust the opening of the gas amount adjusting valve 13 so that the amount of gas for ignition is reached, and the burner 3 is ignited by the igniter 14, and the frame rod 15 Ignition processing to be confirmed is executed (steps 10 and 11). On the other hand, if the power is not turned off, a standby state is entered until the water flow detected by the water flow sensor 8 with the opening operation of the hot-water tap 7 exceeds the set water flow (step 12).
Even if the ignition process is executed, if the ignition of the burner 3 is not confirmed by the frame rod 15 and the ignition is not ignited, an error is displayed on the display unit 18 and the intermittent valve 12 and the gas amount adjusting valve 13 are closed. Then, an abnormal stop for stopping the operation of the fan 4 is performed (steps 13, 15, 16).
When the ignition process is executed again and the non-ignition to the burner 3 continues twice, the above error display and abnormal stop may be performed, and the number of times can be set as appropriate.
[0028]
When the ignition process is executed and the burner 3 is ignited, the detection information of the incoming water temperature thermistor 9, the outgoing water temperature thermistor 10, the water flow rate sensor 8, and the information of the target temperature set by the temperature setting switch 17. Based on the above, the amount of combustion of the burner 3 necessary for setting the hot water supply temperature to the target temperature is obtained by calculation. Then, the gas amount adjusting valve 13 is adjusted and controlled so that the amount of gas corresponding to the determined amount of combustion is obtained, and the air flow of the fan 4 is adjusted so that the air amount of the fan 4 is in an appropriate combustion state with respect to the adjusted gas amount. The feedforward control for adjusting the amount is executed, and further, the feedback control for finely adjusting the opening of the gas amount adjusting valve 13 is executed so that the detected temperature of the tapping temperature thermistor 10 becomes the target temperature (step 14). .
[0029]
In the feedforward control and the feedback control, if an error such as a combustion abnormality does not occur, the water flow detected by the water flow sensor 8 with the operation of closing the hot water tap 7 becomes less than the set water flow, or This is executed until the power is turned off (steps 17 to 19). That is, when the amount of water detected by the water amount sensor 8 becomes less than the set amount of water or when the power is turned off, the intermittent valve 12 and the gas amount adjustment valve 13 are closed, and the fan 4 after the set time has elapsed. Is stopped and combustion of the burner 3 is stopped. If the power is not turned off, the flow of water detected by the water flow sensor 8 is on standby until the water flow exceeds the set water flow (steps 20 and 21).
[0030]
Further, when an error such as a combustion abnormality occurs during feedforward control and feedback control, the watchdog circuit determines whether or not the main microcomputer M is out of control, and determines that the main microcomputer M is out of control. Then, the runaway record is stored in the sub flash memory 26 of the sub microcomputer S, the intermittent valve 12 and the gas amount adjusting valve 13 are closed, and after the set time has elapsed, the operation of the fan 4 is stopped to stop the abnormal stop. Perform (Steps 17, 22, 23, 24).
[0031]
If the main microcomputer M is not running away, it is determined whether or not the sub microcomputer S is running away. If the main microcomputer M determines that the sub microcomputer S is running away, the runaway record is recorded on the main microcomputer M. M is stored in the main flash memory 21, the intermittent valve 12 and the gas amount adjusting valve 13 are closed, and after the set time has elapsed, the operation of the fan 4 is stopped to stop the runaway (steps 25, 26, 24). ).
When both the main microcomputer M and the sub-microcomputer S are not running out of control, an error is displayed on the display unit 18, the intermittent valve 12 and the gas amount control valve 13 are closed, and after the set time has elapsed, the fan 4 The operation is stopped and an abnormal stop is performed (steps 27 and 28).
[0033]
[Another embodiment]
(1) In the above embodiment, when an abnormal state occurs in the main microcomputer M, the abnormality occurrence information is stored in the sub flash memory 26, and when the abnormality occurrence information is stored in the sub flash memory 26, the control information When the determination process is executed and an abnormal state occurs in the sub-microcomputer S, the abnormality occurrence information is stored in the main flash memory 21, and the abnormality occurrence information is stored in the main flash memory 21. The information determination process is executed, but it may be configured as follows.
In other words, the timing for executing the control information determination process and the storage information determination process is not limited to that of the above embodiment. For example, the execution of either power-on or power-reset and the occurrence of an error during operation control If both or one of them is present, the control information determination process and the storage information determination process may be executed.
[0034]
(2) Although the flash memory is used as the non-volatile rewritable memory and sub memory in the above embodiment, the memory and sub memory are not limited to the flash memory.
[0035]
(3) In the above embodiment, the checksum method is used as the control information determination process and the storage information determination process. However, the present invention is not limited to this. For example, a parity check method may be used. .
[0036]
(4) In the above embodiment, an example in which the control device according to the present invention is applied to a hot water supply device is shown, but it can be applied to other various devices.
[Brief description of the drawings]
1 is an overall schematic configuration diagram of a hot water supply apparatus. FIG. 2 is a control block diagram of a microcomputer and a sub-microcomputer. FIG. 3 is a flowchart showing a control operation. FIG. 4 is a flowchart showing a control operation.
21 Memory 26 Sub-memory M Microcomputer S Sub-microcomputer

Claims

A control device comprising a nonvolatile rewritable memory and provided with a microcomputer for controlling the operation of the device based on the operation control information stored in the memory,
The memory stores determination processing information for executing control information determination processing for determining whether the operation control information stored in the memory is normal or abnormal,
The microcomputer is configured to execute control information determination processing based on determination processing information stored in the memory ,
A sub-microcomputer comprising a non-volatile rewritable sub-memory that is communicable with the microcomputer and executing a storage information discrimination process for discriminating whether the storage information stored in the sub-memory is normal or abnormal A computer is provided,
When an abnormal state occurs in the sub-microcomputer, the microcomputer stores the abnormality occurrence information in the memory, and executes the control information determination process when the abnormality occurrence information is stored in the sub-memory. Configured to
When an abnormal state occurs in the microcomputer, the sub-microcomputer stores the abnormality occurrence information in the sub-memory, and executes the stored information determination process when the abnormality occurrence information is stored in the memory. A control device that is configured to .

The control device according to claim 1 , wherein the microcomputer is configured to execute the control information determination process when at least one of power-on and power reset is executed.