JP4254577B2

JP4254577B2 - 制御装置

Info

Publication number: JP4254577B2
Application number: JP2004060410A
Authority: JP
Inventors: 寿郎西村; 敏久山本; 雅志山▲崎▼
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2004-03-04
Filing date: 2004-03-04
Publication date: 2009-04-15
Anticipated expiration: 2024-03-04
Also published as: US7457988B2; KR100711850B1; CN1664788A; KR20060043374A; DE102005009813B4; US20050210326A1; JP2005250854A; CN100394396C; DE102005009813A1

Description

本発明は、マイクロコンピュータの異常を監視する異常監視装置を備えた制御装置に関する。

従来、車載用電子制御装置では、装置の誤動作を防ぐため、制御部をなすマイクロコンピュータ（以下、マイコンとも言う）が正常に動作しているかを監視するシステムが備えられ、車両の安全が確保されている。このようなマイコン用の監視システムは、例えば、マイコンからの入力クロックをカウントすることにより時間を計時し、その計時時間が異常監視時間に達したときに、リセット信号を発生することで、マイコンを再起動させるウォッチドッグタイマ方式や、予め定められた監視用の信号（宿題）をマイコンに入力し、その信号をマイコン内の回路で演算させた後に、その演算結果（解答）がマイコン正常動作時に得られるべき演算結果と同じであるか否かを判定し、異なる場合にはマイコンが異常状態にあると判断して、リセット信号を発生させて、マイコンを再起動させる宿題解答方式などが既に知られている。

特に、上記宿題解答方式に基づく監視システムでは、マイコンに出力する監視用のデータ（以下、宿題データと言う）を発信する宿題発信部と、マイコンがその信号を演算処理した演算結果データ（以下、解答データと言う）の入力を受け、演算結果が正しいか否かを判定する解答判定部とを備えて構成される。

この場合、監視システムに備えられたＲＡＭやＲＯＭ等の記憶部に記憶された宿題データ、またはカウンタ回路等を用いて作成された宿題データを宿題発信部がマイコンに発信し、宿題データの入力を受けたマイコンは、自身が有する演算回路によってその宿題データを演算処理する。その演算結果は解答データとして監視システムに備えられた解答判定部に入力され、解答データと正解データとの比較がなされ、両者が一致すればマイコンを正常、一致しなければマイコンを異常と判定する。また、宿題データの発信から解答データの受信までの時間をカウントし、所定時間が経過してなお解答データが得られない場合も、マイコンは異常と判定される。

このようなマイコンの正常／異常を監視する監視処理は、例えば車両用電子制御装置に備えられるマイコンの監視処理であれば、イグニッションＯＮ直後から宿題データの発信が始まり、マイコンの正常／異常判断処理が開始される。

ところが、近年の車両用電子制御装置では、イグニッション（以下、ＩＧとも言う）ＯＮ直後に、マイコンが正常であるにもかかわらず、監視システムがこれを異常と判定する可能性が高くなりつつある。この誤判定は、イグニッションＯＮ直後の車両用電子制御装置の起動時に、車両の各種制御対象の初期状態チェック用プログラムが走り、同時に制御対象の制御用プログラムの読み出しや書き込みがなされるため、該制御装置のマイコンへの負荷が極めて高く、監視システムから宿題信号が入力されても、所定の時間内に解答信号を出力できないために生じる。近年、こうした制御装置の制御対象は増加傾向にあるとともに、その制御用プログラムの容量も大きくなる傾向にあり、マイコンへの負荷はいっそう高くなることが予想され、上記のような問題がより発生しやすくなる。

また、こうしたマイコンの処理能力の不足による問題は、処理能力の高いマイコンを備えさせることで回避可能である。ところが、これは制御部の大型化につながり、配置スペースの問題を生じる可能性がある。また、搭載した車両の価格の高騰にもつながる。また、マイコンに高処理能力が要求されるのは、ＩＧＯＮ時などの通常制御以外の状態であるため、できるだけ通常制御に見合った処理能力を持つマイコンを選択することが、制御装置としての魅力向上となる。

従って、本発明は、上記課題に鑑みてなされたものであり、起動直後等、マイコンが負荷の高い状態にある時に、マイコンが監視システムにより異常であると誤判定しないように構成された制御装置の提供である。

課題を解決するための手段および発明の効果

上記課題を解決するために、本発明の制御装置は、記憶手段に記憶された制御プログラムとに基づいて、制御対象を制御するための制御信号を演算によって生成するマイクロコンピュータと、前記マイクロコンピュータに所定の監視信号を出力して該監視信号を演算処理させ、その演算結果と演算処理時間とに基づいて演算が正常になされたか否かを判定する演算結果判定処理を行うことで、前記マイクロコンピュータが異常であるか否かを監視する異常監視処理を行う監視手段とを備えた制御装置であって、前記マイクロコンピュータが自身への起動要求を受けた直後及び自身の記憶部へのプログラムの書き換え時のいずれかである通常制御以外の状態にあるときに、前記マイクロコンピュータに対し前記記憶手段に記憶された所定の高負荷プログラムの処理を要求する高負荷プログラム処理要求信号を出力する高負荷プログラム処理要求手段と、前記高負荷プログラム処理要求信号の入力に基づいて、前記マイクロコンピュータの制御信号が前記制御対象に伝達されることを遮断することで、前記制御対象を安全側で停止させる制御禁止手段と、前記制御対象が停止された場合に、前記高負荷プログラム処理要求信号の入力に基づいて、前記監視手段に前記異常監視処理を停止させる監視停止手段と、を備え、前記高負荷プログラム処理要求手段によって、前記マイクロコンピュータに前記高負荷プログラムの処理要求がなされた時には、前記制御禁止手段が、前記マイクロコンピュータによる前記制御対象への制御を禁止し、前記監視停止手段が、前記監視手段による前記異常監視処理を停止した上で、前記マイクロコンピュータは前記高負荷プログラム処理を行い、前記高負荷プログラムの処理が終了した時には、前記監視手段による前記マイクロコンピュータの前記異常監視処理が復帰して、前記マイクロコンピュータの正常動作が確認されたのち、前記制御禁止手段が前記マイクロコンピュータによる前記制御対象の制御禁止を解除して、その制御を再開することを特徴とする。

本発明においては、監視手段がマイクロコンピュータに監視信号を入力し、その演算結果と演算処理時間に基づいて、マイクロコンピュータの異常を監視するとともに、高負荷プログラム処理要求信号が入力されたときには、マイクロコンピュータによる制御を禁止した後、その監視を停止させることを特徴としている。このとき、高負荷プログラムとは、通常制御以外の状態にあるときに、処理要求されるプログラムのことである。高負荷プログラム処理中は、マイクロコンピュータが正しく動作していても、演算処理に時間がかかり、監視手段がマイクロコンピュータを異常と誤判定する可能性がある。通常、マイクロコンピュータが異常と判定されると、マイクロコンピュータはリセットされ、これまでの演算処理は初期化される。場合によっては再度、演算処理が開始される場合もあるが、マイクロコンピュータはリセット前と同様の高負荷状態となっているため、再度リセットされ、演算処理を終えることができなくなる可能性がある。ところが、本発明においては、上記でも述べたように、高負荷プログラム処理時には異常監視処理がされないため、誤判定によるマイクロコンピュータのリセットが行われることはない。従って、マイクロコンピュータは、高負荷状態にあっても処理中のプログラム処理を完了するまで継続して実行することができる。また、マイクロコンピュータの異常監視処理がされていない時には、マイクロコンピュータからの制御対象への制御が禁止されているため、もしこの異常監視停止中にマイクロコンピュータが異常となった場合にも、車両の安全が確保される。

ここで、マイクロコンピュータの予め定められた通常制御以外の状態とは、特にマイクロコンピュータが起動要求を受けた直後や、制御装置開発段階等におけるマイクロコンピュータの記憶部へのプログラムの書き換え時のことを指す。例えば、本発明の制御装置が車両用制御装置である場合は、車両のイグニッションＯＮ時や、車両メーカーにて車載用マイクロコンピュータの記憶部に記憶されたプログラムを書き換える時等である。車両のイグニッションＯＮ直後は、マイクロコンピュータは、制御対象を制御するための制御プログラムの読み出しや、制御対象の初期状態を確認するためのシステムチェック、制御対象の初期設定などの各処理を並列して行っている。また、マイクロコンピュータの記憶部に記憶された車両制御用プログラムの書き換え時にも、外部からの通信により多量のプログラムデータが入力され、記憶部への書き込みがなされている。こうした状況下では、マイクロコンピュータにかかる負荷は極めて高く、その処理速度が遅くなり、上記のような誤判定がなされる可能性がある。本発明では、これらの状況下において処理すべきプログラムを予め定めておき、そのプログラムの処理要求のあった場合には異常監視処理を停止させることができるため、上記のような誤判定を防ぐことができる。なお、本発明に適用できる高負荷プログラムとは、上記のようなマイクロコンピュータの起動直後やプログラム書き換え時などのような、予め予測されうるマイクロコンピュータの高負荷状態において、その際に必ず処理されるプログラムであれば良く、上記以外の場合においても適用可能である。

従って、上述したように、本発明の制御装置は、車両用制御装置であり、前記通常制御以外の状態とは、車両のイグニッションスタート直後に前記マイクロコンピュータによって行われる初期制御状態であることを特徴とするものであっても良く、また、本発明の制御装置は、車両用制御装置であり、前記高負荷プログラムは、車両停止時において前記マイクロコンピュータの記憶部に記憶されたプログラムの書き換えを行う制御状態であることを特徴するものであっても良い。

また、本発明の制御装置は、監視手段がマイクロコンピュータに監視用の信号（監視信号）を入力し、その演算結果と演算処理時間とに基づいてマイクロコンピュータの異常監視を行う。ここで、マイクロコンピュータの演算結果とは、マイクロコンピュータにより監視信号を演算処理して得られた演算結果データである。また演算処理時間とは、監視手段がマイクロコンピュータに監視信号を入力し、その演算結果データを監視手段が得るまでにかかった時間を反映するものである。このとき、この監視処理時間を長くすることで上記誤判定を防ぐことも可能ではあるが、車両を安全に制御する観点を考慮し、上記演算処理時間は、通常制御状態の演算処理時間をベースとして設けることが望ましい。本発明では、異常監視停止状態を例外状態として通常制御状態とは別に定めておくことで、通常制御状態における異常監視条件を緩めることなく設定することができる。

また、本発明では、マイクロコンピュータが上記のような通常制御以外の状態にあり、かつ高負荷プログラムの処理要求がある場合には、マイクロコンピュータの異常監視を停止し、さらにマイクロコンピュータによる制御対象の制御を禁止することを特徴としている。マイクロコンピュータが上記のような高負荷プログラム処理状態にある場合、本発明では異常監視を行わない。これによって、処理負荷が高いことに起因する誤判定を防ぐことができることは既に述べたが、こうした異常監視が行われていない状態では、マイクロコンピュータが正常に動作しているかを把握する手段がなく、マイクロコンピュータが正しく機能していることを保証することができない。従って、異常監視を行っていない場合には、マイクロコンピュータによる各種の制御対象の制御を禁止することで、制御対象に誤った信号を入力させないようにすることができる。

また、本発明の制御装置において、前記監視手段は、前記高負荷プログラム処理要求信号の入力に基づいて、前記演算結果判定処理を停止させることを特徴とするものであっても良い。また、前記高負荷プログラム処理要求信号の入力に基づいて前記監視信号の出力を停止させることを特徴とするものであっても良く、両者を同時に実行するものであっても良い。これにより、監視手段を停止することができる。監視停止時における監視手段内での信号処理は不要であり、従って、監視信号の出力の停止や、演算結果判定処理の停止はマイクロコンピュータに余計な負荷を与えることが無いため有効である。また、これらの監視停止処理は、例えば、図１のような監視手段（監視ブロック）に備えられた監視処理を行うための構成ブロック３，５，６に対し、リセット信号を入力することで停止させることもでき、簡易に行うことが可能である。

また、本発明の制御装置において、前記高負荷プログラム処理要求手段は、前記マイクロコンピュータの外部から前記マイクロコンピュータに対して、前記高負荷プログラムを処理させるための処理要求信号が出力されたことに基づいて、前記高負荷プログラム処理要求信号を出力することを特徴とするものであっても良い。高負荷プログラム処理要求手段は、高負荷プログラム処理要求信号をマイクロコンピュータ及び制御禁止手段に出力できればよいため、マイクロコンピュータの内部または外部のいずれに設けられていても良く、例えば、車両用制御装置におけるＩＧＯＮによる監視手段の停止を行う場合であれば、監視手段及び制御禁止手段がイグニッションからのＯＮ信号を直接入力できるように構成されていても良い。このとき監視手段及び制御禁止手段は、このＯＮ信号の入力に基づいて、マイクロコンピュータの所定の高負荷プログラムの処理が開始したと推定し、マイクロコンピュータからの制御対象への制御を禁止したり、異常監視処理を停止することができる。

また本発明の制御装置において、前記制御禁止手段は、前記マイクロコンピュータによる前記制御対象の制御を禁止させるために、前記マイクロコンピュータおよび前記制御対象と電気的に接続される出力制御部に設けられた回路であることを特徴とするものであっても良い。本発明を構成する制御禁止手段は、回路として構成することができる。

以下、本発明の制御装置を図面を用いて説明する。図１は、本発明の制御装置のブロック図であり、車両用電子制御装置のブロック図を概略的に示している。図１の制御装置は、各種車載機器４０の制御信号を出力する周知のマイクロコンピュータ（マイコン）２０とそのマイコン２０の動作を監視する監視ブロック（監視手段）１とマイコン２０からの制御信号を受け、各種車載機器（制御対象）４０を実際に制御する出力制御ブロック（出力ドライバ）２４とからなる。マイコン２０は、図示しないＣＰＵ、ＲＡＭ、ＲＯＭ、Ｉ／Ｏポート等を備え、ＲＡＭやＲＯＭ等の記憶部に記憶された各種プログラムに基づいて、車載機器（制御対象）４０の制御信号を出力ドライバ２４に出力するものである。なお、このとき車載機器４０を制御する制御信号は、マイコン２０が有する所定の演算回路によって生成される。

マイコン２０は、イグニッションスイッチ（以下、ＩＧスイッチともいう）３０のＯＮにより起動し、起動と同時に、ＩＧスイッチＯＮの信号を受けた高負荷プログラム処理要求部３１がマイコン２０に処理要求信号（本発明の高負荷プログラム処理要求信号）を出力するため、上記記憶部から起動用プログラムが読み出され、実行される。これにより、マイコン２０は車載機器４０等を制御するための各種制御プログラムの読み出がなされ、車載機器４０に対して制御を開始する。この起動用プログラムの実行時には、初期状態確認のためのシステムチェックや各制御対象の制御のための初期設定等の処理がなされ、これらの処理が完了したことに基づいて起動用プログラムは終了し、通常走行状態における制御が開始される。本発明では、このマイコン２０の起動処理時には、マイコン２０（監視停止手段を兼ねる）から監視ブロック１の監視処理を停止させる宿題解答禁止信号（本発明のマイコン２０が高負荷プログラム処理要求部３１からの信号に基づいて出力する）が監視ブロック１に出力される。この場合、監視ブロック１は、上記のようにマイコン２０から宿題解答禁止信号の入力を受けるように構成されるが、本発明はこれに限られるものではない。宿題解答禁止信号の入力は、他の構成機器、この場合で言えばイグニッションスイッチ３０等からマイコン２０を介することなく、直接入力を受けるものであっても良い。

以下、図１に示すの車両用電子制御装置の監視ブロック１について、その構成と動作の説明を行う。監視ブロック１は、マイコン２０に対しシリアル通信部２を介してシリアル通信可能に接続されており、マイコン２０の動作を監視するための監視信号として所定ビットの宿題データをマイコン２０に送信し、マイコン２０の演算回路にて演算処理させるとともに、その演算結果を解答データとして受信し、その解答データが正しいか否かを判定し、マイコン２０が異常状態にあるか否かを監視している。なお、このような宿題解答方式のマイコン監視と並列して、上記で述べたウォッチドックタイマ方式のマイコン監視が同時に行われていても問題はない。

また、宿題データ選択部３は、監視ブロック1が有するカウンタ回路（図示なし）を利用し宿題データとし、マイコン２０にこれを送信する。このとき宿題データは、マイコン２０のシステム・クロックに同期して読み出しを行い、読み出した宿題データはシリアル通信部２を介することで、シリアル通信によって順次マイコン２０に送信される。マイコン２０は、この宿題データを自身が備える演算回路にて演算処理し、その演算結果を解答データとして、シリアル通信により比較判定部４に送信する。この演算回路をマイコン２０が異常では演算できないような複雑な処理とすることで、今回の実施例のように該宿題データはカウンタ回路を利用した簡単な回路にて実現されている。

比較判定部４は、マイコン２０の所定クロック周期に応じて受信する解答データと、その解答データに対する正解データとを比較演算し、両者が一致すればこれを正解と判定し、異なる場合を不正解（ＮＧ）と判定する。不正解と判定された場合は、ＮＧ判定部５に論理ハイレベル信号（以下、Ｈ信号と略す）を出力する。正解と判定された場合は、ＮＧ判定部５への論理ローレベル信号（以下、Ｌ信号と略す）を出力する。なお、これらの宿題データ、解答データ、および正解データは、所定ビット数のデジタルデータからなるものである。

また、比較判定部４からＮＧ判定部５にＨ信号が出力されると、宿題データ選択部３はインバータ１０を介してＬ信号の入力を受ける。宿題データ選択部３はカウンタ回路で構成されており、入力信号のＨ信号（宿題更新信号）の回数をカウントしている。宿題データ選択部３は、前記カウンタのカウント数の増加によって、マイコン２０に送信する宿題データが変更されて、これまでとは異なる宿題データ（前回の宿題データに1を加えたデータ）がマイコン２０に送信される。なお、本発明は上記実施形態のようにＮＧ判定が所定の回数（今回の実施例では、３回）行われるまでは、宿題データを更新しないものであってもよいが、ＮＧ判定が行われるごとに、宿題データを更新するものであってもよい。

ＮＧ判定部５は、比較判定部４において判定結果がＮＧであった場合にＨ信号の入力を受ける。比較判定処理は繰り返し行われるが、ＮＧ判定部は比較判定処理による結果が所定回数連続でＮＧとなった場合（例えば３回連続でＮＧでとなった場合）、マイコン２０をＮＧ状態（異常状態）と判定し、ＮＧ判定部５がリセット信号の入力を受けるまでＨ信号をオア回路１１に出力し続ける。なお、ＯＫ時にはＬ信号を出力している。

また、解答更新確認部６は、カウンタ・タイマを備えて構成されており、比較判定部４が解答データを受信した後、次の解答データが受信されるまで時間（マイコンの演算処理時間を含んでいる）を計測している。この更新時間が所定の時間（例えば３０ｍｓ）を超えた場合は、マイコン２０をＮＧ状態（異常状態）と判定し、ＮＧ判定部５がリセット信号の入力を受けるまでＨ信号を出力し続ける。なお、ＯＫ時にはＬ信号を出力している。

ＮＧ判定部５および解答更新確認部６からの出力信号は、オア回路１１に入力され、いずれか一方からＮＧ信号、すなわちＨ信号が入力されると、オア回路１１はＨ信号をリセットパルス発生回路７に出力する。リセットパルス発生回路７は、入力されたＨ信号を所定幅のパルス信号に変換し、これをオア回路１２とインバータ１３に出力する。なお、ＮＧ判定部５および解答更新確認部６のいずれもがＬ信号を出力していた場合、すなわち双方がＯＫ判定を行っている場合は、リセットパルス発生回路７ではパルス信号は生成されない。

リセットパルス発生回路７においてパルス信号が生成された場合、オア回路１２にはパルス信号が入力される。このときオア回路１２は、マイコン２０が通常制御を行っている場合、マイコン２０からＬ信号の入力を受けている。したがって、オア回路１２の出力部からは、パルス信号が宿題データ選択部３、ＮＧ判定部５、および解答更新確認部６に出力される。これにより、これら３者はＨレベルのパルス信号の入力を受けてリセットされ、初期化される。また、リセットパルス発生回路７においてパルス信号が生成された場合、インバータ１３にも同様のパルス信号が入力される。インバータ１３は、このパルス信号を反転し、反転したパルス信号をマイコン２０に出力する。これによりマイコン２０は、反転したパルス信号によるＬレベルの信号を受けてリセットされ、初期化される。これにより、監視ブロックと異常発生したマイコン２０とはリセットされ、初期化される。

ただし、マイコン２０はリセットによって必ずしも異常状態から正常状態に復帰するとは限らない。従って、本発明の制御装置では、異常監視手段によりマイコンの正常動作が確認できるまでは、制御禁止回路により、その制御対象への制御を禁止する。図１のマイコン２０の場合、マイコン２０は車両制御用のマイコンであるため、車載機器４０の制御を停止することとなる。例えば、図１のマイコン２０が、電動パワーステアリング装置のパワーアシストモータを制御対象として制御している場合は、そのモータ制御を停止することとなる。従って、運転者は、以降、モータによるアシストの無い状態でハンドル操作を行うこととなる。また、ＡＢＳ装置のブレーキ油圧コントロールを制御対象としている場合はブレーキ油圧コントロールが停止し、通常のブレーキ操作を行うこととなる。なお、これらの車両制御が停止されても、車両の走行に関して問題は無い。通常、こうした車両用制御部の異常の場合は、運転者に対して安全側に働くように構成されており（該実施例の出力ドライバも同様）、これらの技術に関しては既に周知となっている。

上記車両用電子制御装置が通常制御以外の状態、すなわちマイコン２０は正常状態にありつつも負荷が高い状態にある場合は、マイコン２０の処理能力が低くなり、上記監視処理における宿題データの受信から解答データの送信までの時間が長くなり、解答更新確認部６でＮＧ判定を受けてしまう。この場合、マイコン２０は正常に動作しているにも関わらず、リセットされ、該制御装置による車載機器４０の制御は以後行われなくなる。従って、本発明では、ＩＧスイッチ３０ＯＮ直後に関しては、監視ブロック１によるマイコン２０の異常監視処理を停止するとともに、監視機能が働いていない状態で車両機器４０の制御を行わないよう、マイコン２０による車両機器４０への出力を、制御禁止回路（本発明の制御禁止手段）により遮断可能なように構成されている。なお、このような制御対象の制御を禁止させるための制御禁止回路は、図１のように出力制御部に設けられていても良いが、出力制御部の外部に独立した回路として構成されていても良い。

以下、監視ブロック１によるマイコン２０の監視停止処理について、図１を用いて説明を行う。車両用電子制御装置に備えられるマイコン２０（本発明の監視停止手段を兼ねる）は、ＩＧスイッチ３０がＯＮされると、高負荷プログラム処理要求部３１により、マイコン２０に起動用プログラムの処理要求信号が出されるため、宿題解答禁止信号（本発明の監視停止信号）を監視ブロック１に送信する。宿題解答禁止信号は、Ｈ信号として、シリアル通信部を介してＯＲ回路１２に送信される。ＯＲ回路１２は、この宿題解答禁止信号であるＨ信号が入力されると、宿題データ選択部３、ＮＧ判定部５、解答更新確認部６に対してＨ信号を出力し、３者を絶えずリセットされた状態に保つ。これにより、監視ブロック１によるマイコン２０の監視は停止する。

なお、この場合、この３者すべてを停止する必要はない。例えば、ＮＧ判定部５と解答更新確認部６とを絶えずリセット状態にしておき、宿題データ選択部３が宿題データをマイコン２０に送っても、その解答データに対してＮＧ判定が行われないように回路が構成されていても良い。この場合、ＮＧ判定部と解答更新確認部とから出力される信号は絶えずＬ信号となり、従ってリセットパルス発生回路７でリセットパルス信号が発生することは無く、マイコン２０がリセットされることはない。この場合、回路ａ，ｂのみ必要となり、回路ｃは不要となる。このように図1に示す回路構成は、本発明を実施する一例に過ぎず、本発明は上記回路構成に限定されるものではない。

以下、上記した車両用電子制御装置の異常監視停止処理について、その処理を実行するためのフローを説明する。

図２は、ＩＧスイッチＯＮに基づくマイコン停止処理のフローチャートである。Ｓ１０１では、マイコン２０に対して起動要求があるか否かを判定する。高負荷プログラム処理要求部３１（本発明の高負荷プログラム処理要求手段）がＩＧスイッチのＯＮ信号を検出すると、マイコン２０に起動要求信号を出力するため、Ｓ１０２に進む。逆にＩＧスイッチがＯＦＦのままである場合は、起動要求が無いため、再びＳ１０１に戻る。

Ｓ１０２では、制御禁止回路２５により、マイコン２０による各種車両機器４０の制御を禁止する。具体的には、例えばスイッチ回路を用いて直接的に車両機器４０への制御信号を遮断する方法がある。Ｓ１０３では、監視ブロック１によるマイコンの異常監視処理を停止する。これにより、Ｓ１０３の監視停止処理によって異常監視されていない状況下にある場合に、マイコン２０により、車両機器４０が制御されることはない。Ｓ１０３のマイコン監視処理の停止は、マイコン２０から監視ブロック１のオア回路１２への宿題解答禁止信号の入力をトリガーとしてなされる。なお、宿題解答禁止信号は必ずしもマイコン２０から出力される必要は無い。この場合ならば、マイコン２０を介せず、ＩＧスイッチ３０から直接的なＨ信号の入力を受けるように構成されても良い。

Ｓ１０４では、Ｓ１０３でマイコン監視が停止したことを受けて、起動処理を開始する。Ｓ１０５では、その起動処理が完了したか否かを判定し、終了した場合はＳ１０６に進む。起動処理の終了により、マイコン２０には通常走行時の処理負担分の負荷がかかり、起動時ほどの負荷はかかっていない。Ｓ１０６では、マイコン２０が通常走行時の制御状態になったことを受けて、監視処理を開始する。Ｓ１０７では、マイコン２０が監視ブロック１による監視状態となったことを受けて、制御禁止回路２５を制御禁止状態を解除し、各種車載機器４０に対して制御を開始するとともに、本処理を終了する。

なお、本発明のマイコン監視停止処理は、車両のＩＧスイッチＯＮ直後のマイコン高負荷時においてのみ、適用されるものではない。例えば、車両メーカーにおいて、マイコン２０のＲＯＭ・ＲＡＭに記憶されたプログラムの書換が行われている際は、マイコン２０にはＩＧスイッチＯＮ時と同様、高い負荷がかかり処理速度が低下する。この場合、図３に示すフローチャートを基にしたマイコン監視停止処理を行うことができる。

図３のＳ２０１では、プログラムの書き込み要求（高負荷プログラム処理要求の一種）をマイコン２０が受けたか否かを判定する。書き込み要求は、例えば外部より高負荷プログラム要求部３１に、プログラム書換モードへの移行を促す信号を送り、該要求部３１よりマイコン２０に、プログラム書換処理要求信号（本発明の高負荷プログラム処理要求信号の一種）を入力することでプログラム書換プログラムの処理要求をすることができる。Ｓ２０１で書き込み要求があればＳ２０２からＳ２０３へと進み、無ければＳ２０７の直後まで進んで本処理を終了する。Ｓ２０２、Ｓ２０３では、図２のＳ１０２，１０３と同様に、マイコン２０による各種車載機器４０の制御を禁止し、その後にマイコン監視を停止する。これらの停止を確認した後、Ｓ２０４では、マイコン２０の記憶部へのプログラムの書き込み処理が開始する。書き込み処理が終了すると、Ｓ２０５からＳ２０６、Ｓ２０７に進み、Ｓ１０６，Ｓ１０７と同様に、マイコンの監視を開始するとともに、各種車載機器４０に対して制御を開始し、本プログラムを終了する。なお、本処理は、既にマイコン監視が開始している状態からでも行うことが可能であり、車両が通常走行時にないプログラム書換モードにあることを認識した上で行うものである。

また、図２のＩＧスイッチＯＮ直後に、図３のマイコンへのプログラム書き込み要求があるか否かを判定する処理であっても良い。この場合のフローチャートを図４に示す。図４のＳ３０１では、Ｓ１０１と同様にＩＧスイッチがＯＮに伴うマイコン２０の起動要求があったか否かを判定する。起動要求が有った場合は、Ｓ３０２〜Ｓ３０５までの処理を実行する。起動要求が無い場合はＳ３０６に進む。なお、Ｓ３０２〜Ｓ３０５までの処理は、図２のＳ１０２〜Ｓ１０５までと同様であるためここでの説明は省略する。Ｓ３０５にて起動処理が終了すると、Ｓ３０６に進む。Ｓ３０６では、マイコン２０へのプログラム書き込み要求があるか否かを判定し、あればＳ３０７〜Ｓ３１０までの処理を行う。無ければＳ３１１に進む。なお、Ｓ３０７〜Ｓ３１０間での処理は、図３のＳ２０２〜２０５までの処理と同様であるため説明は省略する。Ｓ３１０でマイコンへのプログラム書き込み処理が終了すると、Ｓ３１１にてマイコン監視が開始され、Ｓ３１２にてマイコン２０による各種車載機器の制御が開始される。

なお、これらのフローは、あくまで例示的に示すものであり、本発明はこれらの実施形態に限定されるものではない。本発明は、請求項の記載に基づく技術的範囲を逸脱しない限り、種々の変形ないし改良を付加することができる。

本発明の制御装置の一例を示すブロック図本発明のマイコン監視停止処理の第１実施形態を示すフローチャート本発明のマイコン監視停止処理の第２実施形態を示すフローチャート本発明のマイコン監視停止処理の第３実施形態を示すフローチャート

符号の説明

１監視ブロック（監視手段）
２シリアル通信部
３宿題データ選択部（カウンタ）
４比較判定部
５ＮＧ判定部
６解答更新確認部（カウンタ・タイマ）
７リセットパルス発生回路
８監視停止手段（宿題解答禁止信号）
２０マイクロコンピュータ（監視停止手段）
２４出力ドライバ（出力制御ブロック）
２５制御禁止回路（制御禁止手段）
３０イグニッションスイッチ
３１高負荷プログラム処理要求部（高負荷プログラム処理要求手段）
４０車載機器

Claims

記憶手段に記憶された制御プログラムに基づいて、制御対象を制御するための制御信号を演算によって生成するマイクロコンピュータと、前記マイクロコンピュータに所定の監視信号を出力して該監視信号を演算処理させ、その演算結果と演算処理時間とに基づいて演算が正常になされたか否かを判定する演算結果判定処理を行うことで、前記マイクロコンピュータが異常であるか否かを監視する異常監視処理を行う監視手段とを備えた制御装置であって、
前記マイクロコンピュータが自身への起動要求を受けた直後及び自身の記憶部へのプログラムの書き換え時のいずれかである通常制御以外の状態にあるときに、前記マイクロコンピュータに対して、前記記憶手段に記憶された所定の高負荷プログラムの処理を要求する高負荷プログラム処理要求信号を出力する高負荷プログラム処理要求手段と、前記高負荷プログラム処理要求信号の入力に基づいて、前記マイクロコンピュータの制御信号が前記制御対象に伝達されることを遮断することで、前記制御対象を安全側で停止させる制御禁止手段と、前記制御対象が停止された場合に、前記高負荷プログラム処理要求信号の入力に基づいて、前記監視手段に前記異常監視処理を停止させる監視停止手段と、を備え、
前記高負荷プログラム処理要求手段によって、前記マイクロコンピュータに前記高負荷プログラムの処理要求がなされた時には、前記制御禁止手段が、前記マイクロコンピュータによる前記制御対象への制御を禁止し、前記監視停止手段が、前記監視手段による前記異常監視処理を停止した上で、前記マイクロコンピュータは前記高負荷プログラム処理を行い、前記高負荷プログラムの処理が終了した時には、前記監視手段による前記マイクロコンピュータの前記異常監視処理が復帰して、前記マイクロコンピュータの正常動作が確認されたのち、前記制御禁止手段が前記マイクロコンピュータによる前記制御対象の制御禁止を解除して、その制御を再開することを特徴とする制御装置。
前記監視手段は、前記高負荷プログラム処理要求信号に基づいて、前記演算結果判定処理を停止させることを特徴とする請求項１に記載の制御装置。
前記監視手段は、前記高負荷プログラム処理要求信号の入力に基づいて、前記監視信号の出力を停止させることを特徴とする請求項２に記載の制御装置。
前記高負荷プログラム処理要求手段は、前記マイクロコンピュータの外部から前記マイクロコンピュータに対して、前記高負荷プログラムを処理させるための処理要求信号が出力されたことに基づいて、前記高負荷プログラム処理要求信号を出力することを特徴とする請求項１ないし３のいずれか１項に記載の制御装置。
前記制御禁止手段は、前記マイクロコンピュータによる前記制御対象の制御を禁止させるために、前記マイクロコンピュータおよび前記制御対象と電気的に接続される出力制御部に設けられた回路であることを特徴とする請求項１ないし４のいずれか１項に記載の制御装置。
前記制御装置は、車両用制御装置であり、
前記通常制御以外の状態は、車両のイグニッションスタート直後に前記マイクロコンピュータによって行われる初期制御状態であることを特徴とする請求項１ないし５のいずれか１項に記載の制御装置。
前記制御装置は、車両用制御装置であり、
前記高負荷プログラムは、車両停止時において前記マイクロコンピュータの記憶部に記憶されたプログラムの書き換えを行う制御状態であることを特徴とする請求項１ないし６のいずれか１項に記載の制御装置。