JP4437812B2

JP4437812B2 - 電子制御装置

Info

Publication number: JP4437812B2
Application number: JP2006341980A
Authority: JP
Inventors: 尚幸高石; 和弘小松; 知秀笠目; 雅憲赤座; 伸一郎高冨; 一陽山口; 朋子里見; めぐみ福田; 貴志松井
Original assignee: Denso Ten Ltd
Current assignee: Denso Ten Ltd
Priority date: 2006-12-19
Filing date: 2006-12-19
Publication date: 2010-03-24
Anticipated expiration: 2026-12-19
Also published as: EP1953644A2; US20080148107A1; JP2008152678A; EP1953644A3; US8042009B2

Description

本発明は、ウォッチドッグタイマ回路を有するマイクロコンピュータ（以下、マイコンと記す）などの演算装置を含む電子制御装置に関し、より詳細には、マイコンの異常を監視する技術に関する。

従来、低消費電力化のために、マイコンは、通常動作時は高速のクロックで動作するモード（高速モード）と、高速クロックよりも遅いクロックで動作するか又は動作を停止するモード（低消費電力モード）とを備えている。このようなマイコンの異常を監視する技術としては、例えば特許文献１に記載がある。特許文献１に記載の異常監視装置は、マイコンの通常動作中の異常を検出するウォッチドッグタイマ監視部と、マイコンのスタンバイ動作中の異常を検出するスタンバイ監視部とを、マイコンの外部に設けた構成である。いずれの監視部も、マイコンが出力するウォッチドッグパルスを監視している。マイコンの通常動作中、ウォッチドッグパルスは一定の周期性を示すが、異常時にはこの周期性が破壊される。また、マイコンのスタンバイ動作時、正常であればウォッチドッグパルスは出力されないが、異常時にはウォッチドッグパルスが出力される場合がある。よって、ウォッチドッグパルスを監視することで、通常動作時及びスタンバイ動作時での異常を検出することができる。
特開２００４−３２６６２９号公報

しかしながら、上記異常監視装置は、マイコンの外部に２つの異なる監視部を設ける構成のため、装置が大型化し、コストアップの要因となる。

本発明は、上記課題を解決するためになされたものであり、小型かつ低コストで実現できる監視機能を備えた電子制御装置を提供することを目的とする。

本発明は、ＣＰＵと、該ＣＰＵのソフトウェア処理によるタイマ動作許可の書き込みによりカウント動作を開始後、ソフトウェア処理によりカウンタ値がリセットされるとともに、前記カウンタ値がリセットされずに第１の所定値を超えてオーバフローした場合には内部リセット信号を生成するウォッチドッグタイマ回路とを有する演算装置と、該演算装置の外部に設けられ、前記演算装置が正常動作時に出力し暴走時に出力しないパルスを入力して前記演算装置の異常動作を監視するものであり、前記演算装置の動作状態を示す指示信号が第１のレベルにある場合にカウント動作を行い、カウンタ値が第２の所定値を超えるとオーバーフローするとともに、前記演算装置からの前記パルスによってリセットされるタイマカウンタと、該タイマカウンタがリセットされずにオーバフローした場合には、前記演算装置をリセットするリセット信号を出力するリセット出力回路とを有する暴走監視回路とを備えた電子制御装置であって、前記指示信号は、前記演算装置が電源に接続され、前記演算装置によって、低消費電力モードであることを示す第２のレベルに設定されていない状態にあるときは、前記第１のレベルに設定され、前記演算装置が電源に接続され、前記指示信号が前記第１のレベルに設定された後であって、前記ソフトウェア処理により前記タイマ動作許可が前記ウォッチドッグタイマ回路に書き込まれる前に前記演算装置が暴走した場合は、暴走しなかった場合に行われる前記演算装置による前記指示信号を前記第２のレベルに設定する動作と、前記パルスを出力する動作とが行われないので、前記暴走監視回路の前記リセット出力回路は前記リセット信号を前記演算装置に出力して当該演算装置をリセットすることを特徴とする電子制御装置である。。
また、本発明は、ＣＰＵと、該ＣＰＵのソフトウェア処理によるタイマ動作許可の書き込みによりカウント動作を開始後、ソフトウェア処理によりカウンタ値がリセットされるとともに、前記カウンタ値がリセットされずに第１の所定値を超えてオーバフローした場合には内部リセット信号を生成するウォッチドッグタイマ回路とを有する演算装置と、該演算装置の外部に設けられ、前記演算装置が正常動作時に出力し暴走時に出力しないパルスを入力して前記演算装置の異常動作を監視するものであり、前記演算装置の動作状態を示す指示信号が第１のレベルにある場合にカウント動作を行い、カウンタ値が第２の所定値を超えるとオーバーフローするとともに、前記演算装置からの前記パルスによってリセットされるタイマカウンタと、該タイマカウンタがリセットされずにオーバフローした場合には、前記演算装置をリセットするリセット信号を出力するリセット出力回路とを有する暴走監視回路とを備えた電子制御装置における制御方法において、前記指示信号は、前記演算装置が電源に接続され、前記演算装置によって、低消費電力モードであることを示す第２のレベルに設定されていない状態にあるときは、前記第１のレベルに設定され、前記演算装置が電源に接続され、前記指示信号が前記第１のレベルに設定された後であって、前記ソフトウェア処理により前記タイマ動作許可が前記ウォッチドッグタイマ回路に書き込まれる前に前記演算装置が暴走した場合は、暴走しなかった場合に行われる前記演算装置による前記指示信号を前記第２のレベルに設定する動作と、前記パルスを出力する動作とが行われないので、前記暴走監視回路の前記リセット出力回路は前記リセット信号を前記演算装置に出力して当該演算装置をリセットするステップを有することを特徴とする電子制御装置の制御方法である。

本発明によれば、小型かつ低コストで実現できる監視機能を備えた電子制御装置を提供することができる。

以下、本発明の実施例につき図面を参照に説明する。
図１は、本発明の一実施例による車載用電子制御装置を示すブロック図である。同図において、車載用電子制御装置１００は、電子装置の一形態である汎用マイコン（以下、単にマイコンと称す）１０及びマイコン１０と外部との信号の授受を扱うインタフェース装置２０とを含む。インタフェース装置２０は例えば、後述する様々な信号を扱う１つのＩＣである。以下、インタフェース装置２０を統合ＩＣ２０と呼ぶ。電子制御装置１００には、バッテリ４１、イグニッションスイッチ（ＩＧＳＷ）４２、スタータスイッチ（ＳＴＳＷ）４３、スタータオン／オフ信号４４、エンジン回転信号４５、スタータリレー４６、アクセサリカットリレー４７及び通信バス４８が接続されている。これらの信号や構成部品は一例であって、電子制御装置１００は他の部品や信号に接続可能である。

統合ＩＣ２０内は、電源回路２１、入力回路２２、出力回路２３、通信ドライバ２４及び暴走監視回路２５を内部に有している。電源回路２１は、バッテリ４１の出力電圧を降圧し、生成した出力電圧ＶＯＭを汎用マイコン１０に出力する。入力回路２２は、イグニッションスイッチ４２、スタータスイッチ４３、スタータオン／オフ信号４４及びエンジン回転信号４５を入力し、マイコン１０が入力可能な信号に変換してマイコン１０に出力する。出力回路２３は、マイコン１０が出力する制御信号を受け取り、スタータリレー４６及びアクセサリカットリレー４７を駆動する信号を生成して、これらに出力する。スタータリレー４６が駆動されると、スタータオン／オフ信号がオフ状態のレベルからオン状態のレベルに変化する。通信ドライバ２４は、マイコン１０と通信バス４８に接続された図示しない装置との間で信号を授受する。暴走監視回路２５は、マイコン１０の異常動作（暴走）を監視する。暴走監視回路２５はWakeup信号及びＷＤＣ(ウォッチドッグタイマカウンタ)パルスを入力し、リセット信号ＩＮＩＴを出力する。暴走監視回路２５の詳細な構成と動作は後述する。

マイコン１０は、内部にＣＰＵ、ＲＡＭ、ＲＯＭなどを備えた演算装置である。図１の例では、バッテリ４１、イグニッションスイッチ４２、スタータスイッチ４３、スタータオン／オフ信号４４及びエンジン回転信号４５を入力し、スタータリレー４６及びアクセサリカットリレー４７を制御するための制御を行う。スタータリレー４６やアクセサリカットリレー４７の具体的な制御シーケンスは本発明の本質ではないので、ここでの説明を省略する。また、マイコン１０は複数の動作モードを持っている。例えば、マイコン１０は高速モード（起動している状態）と、低消費電力モード（停止している状態）の、２つの動作状態とを有している。マイコン１０は、高速モードにおいて高速のクロックで動作し、低消費電力モードでは高速クロックよりも遅いクロックで動作するか又は動作を停止する。また、マイコン１０はウォッチドックタイマ回路（ＷＤＴ）１１を有する。ウォッチドックタイマ回路１１は、マイコン１０内部のＣＰＵによるソフトウェア処理によりリセットされ、内部リセット信号１２を生成する。

前述の暴走監視回路２５とウォッチドッグタイマ回路１１とで、異常監視装置３０が構成される。暴走監視回路２５は、電源が投入されると動作を開始し、マイコン１０が低消費電力モードになると動作を停止する。異常監視装置３０の暴走監視回路２５が後述するようにしてマイコン１０の暴走を検出すると、リセット信号ＩＮＩＴをマイコン１０に出力して、マイコン１０をリセットする。また、ウォッチドッグタイマ回路１１が後述するようにしてマイコン１０の暴走を検出すると、内部リセット信号１２を生成してマイコン１０をリセットする。マイコン１０が低消費電力モードのときには、ウォッチドッグタイマ回路１１はカウント動作を停止する。

図２（Ａ）は暴走監視回路２５の構成例を示すブロック図、図２（Ｂ）は暴走監視回路２５の動作タイミングチャートである。暴走監視回路２５は、タイマカウンタ２５１とリセット出力回路２５２とを有している。タイマカウンタ２５１は所定値をカウントするタイマで、リセット信号ＩＮＩＴがハイレベル（オフ）で、かつマイコン１０の動作状態を示す指示信号であるWakeup信号はハイレベル（オン）の状態のときにカウント動作を行うとともに、ＷＤＣパルスの立ち上がりエッジに同期してカウンタ値をクリアする。マイコン１０が高速モードにあるとき（通常動作時）に、マイコン１０はＷＤＣパルスを一定の周期で出力する。マイコン１０が低消費電力モードにあるときは、マイコン１０はＷＤＣパルスを出力しない。マイコン１０が暴走してＷＤＣパルスが停止すると、タイマカウンタ２５１が前記所定値を超えてオーバーフローし、オーバーフロー信号をリセット出力回路２５２に出力する。リセット出力回路２５２は、オーバーフロー信号を受けると、一定時間ローレベルのリセット信号ＩＮＩＴをマイコン１０に出力する。また、タイマカウンタ２５１はWakeup信号がローレベル（オフ）、又はリセット信号ＩＮＩＴがローレベル（オン）の時にはカウント動作を停止する。
Wakeup信号は、バッテリ４１が接続された後、図１に示すプルアップ抵抗Ｒの機能により、Ｖｃｃ（ハイレベル）に固定される。プルアップ抵抗Ｒの一端はバッテリ４１が出力する（又はこれを降圧した）電源電圧Ｖｃｃに接続され、他端はマイコン１０と暴走監視回路２５とを接続する配線（以下、Wakeup信号線という）に接続されている。後述するように、マイコン１０はWakeup信号線をフローティング状態とするか又はグランドに接続することにより、Wakeup信号を強制的にハイレベル又はローレベルに設定することができる。

図３（A）はウォッチドッグタイマ回路１１の構成例を示すブロック図、図３（B）はウォッチドッグタイマ回路１１の動作タイミングチャートである。ウォッチドッグタイマ回路１１は、ウォッチドッグタイマ１１１、リセット出力回路１１２及びウォッチドッグタイマ制御レジスタ１１３を有している。ウォッチドッグタイマ１１１は、所定値をカウントするタイマで、ウォッチドッグタイマ制御レジスタ１１３へのソフトウェア処理によるタイマ動作許可の書き込みによりカウント動作を開始し、マイコン１０の内部で生成されるクリアパルスの立ち上がりエッジに同期してカウンタ値をクリアする。マイコン１０が暴走してクリアパルスが停止すると、ウォッチドッグタイマ１１１が前記所定値を超えてオーバーフローし、オーバーフロー信号をリセット出力回路１１２に出力する。リセット出力回路１１２は、オーバーフロー信号を受けると、一定時間ローレベルの内部リセット信号１２をマイコン１０の内部で生成する。

図４は、図１に示す異常監視装置３０の動作を記述するフローチャートである。図４中、ステップＳ１４とＳ１５は暴走監視回路２５の動作を示し、残りのステップＳ１１〜Ｓ１３、Ｓ１６〜Ｓ１９はマイコン１０の動作を示す。ステップS１１のイニシャル処理で、マイコン１０はウォッチドッグタイマ回路１１をセットする。具体的には、マイコン１０内部のＣＰＵが図３（Ａ）に示すウォッチドッグタイマ制御レジスタ１１３にタイマ動作許可をソフトウェア処理により書き込む。次に、マイコン１０はステップＳ１２のイニシャル処理を行う。具体的には、ＣＰＵがマイコン１０内部のＲＡＭを初期化するとともに、各種ポートの設定を行う。各種ポートとは、例えば図１の要素４１〜４８が接続される電子制御装置１００の端子部分である。次に、マイコン１０はステップＳ１３で、イグニッションスイッチ４２の出力信号ＩＧＩＮがハイレベルかどうか（オンしているかどうか）をチェックする。ステップＳ１３の判断結果がＹＥＳの場合、つまりイグニッションスイッチ４２がオンしている場合には、ステップＳ１４及びＳ１５からなる暴走監視回路２５を選択し、ＮＯの場合、つまりイグニッションスイッチ４２がオフしている場合には、ステップＳ１７〜Ｓ１９からなるウォッチドッグタイマ回路１１を選択する。
イグニッションスイッチ４２がオンの場合、マイコン１０が暴走していなければWakeup信号はハイレベルにある。ステップＳ１４で、暴走監視回路２５はＷＤＣパルスに異常があるかどうかを監視する。異常があると、ステップＳ１５にて、暴走監視回路２５は図２（Ａ）、（Ｂ）を参照して説明したようにしてリセット信号ＩＮＩＴを一定期間出力する。マイコン１０はこのリセット信号ＩＮＩＴに応答してリセットされることで、ステップＳ１６にて正常に復帰する。ステップＳ１４の判断結果がＮＯの場合には、マイコン１０は正常である（ステップＳ１６）。
イグニッションスイッチ４２がオフの場合、ステップS１７で、マイコン１０はWakeup信号がハイレベル（オン）にあるかどうかをチェックする。ステップS１７の判断結果がＹＥＳの場合には、ステップＳ１４に進む。ステップＳ１７の判断結果がＮＯの場合には、マイコン１０はステップＳ１８で、ウォッチドッグタイマ回路１１のウォッチドッグタイマ１１１（図３（Ａ））のカウンタ値がオーバーフローしたかどうかを判断する。ステップＳ１８の判断結果がＮＯであれば、マイコン１０は正常である（ステップＳ１６）。ＹＥＳならば、ステップＳ１９で、マイコン１０のウォッチドッグタイマ回路１１は内部リセット信号１２を出力する。マイコン１０はこの内部リセット信号に応答してリセットされることで、ステップＳ１６にて正常に復帰する。

次に、異常監視装置３０の動作の具体例について説明する。以下の具体例は、イグニッションスイッチ４２がオンされる前、及びイグニッションスイッチ４２がオフにされた後は、マイコン１０は低消費電力モードに移行することが求められている場合である。
図５は、図１に示すバッテリ４１を電子制御装置１００に接続した後、リセット信号ＩＮＩＴのパワーオンリセットが解除された直後であって、図４のステップＳ１１で行うウォッチドッグタイマ回路１１の初期設定前にマイコン１０が暴走した場合のタイミング図である。バッテリ４１が電子制御装置１００に接続されると、電源電圧Ｖｃｃにプルアップされた抵抗Ｒで生成されるWakeup信号はＶｃｃに立ち上がる（ハードウェアでプルアップされる）。図２（Ａ）に示すリセット出力回路２５２は、タイマカウンタ２５１がオーバーフローした場合以外にも、パワーオンリセット機能を持つ。つまり、図５に示すように、リセット信号ＩＮＩＴはバッテリ電圧ＶＯＭが立ち上がった後一定期間リセット信号ＩＮＩＴをローレベルに保ち、その後ハイレベルに立ち上がる（リセット解除）。図５の黒丸のタイミングでマイコン１０は暴走したので、マイコン１０はＷＤＣパルスを生成しない。よって、図２（Ａ）に示すタイマカウンタ２５１はオーバーフローし、リセット出力回路２５２はリセット信号ＩＮＩＴをハイレベルからローレベルに立ち下げ、一定時間保持する。このように、マイコン１０は統合ＩＣ２０でリセットされるので、バッテリ４１を電子制御装置１００に接続した後、リセット信号ＩＮＩＴのパワーオンリセットが解除された直後であって、図４のステップＳ１１で行うウォッチドッグタイマ回路１１の設定前にマイコン１０が暴走しても、マイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

以上のようにしてマイコン１０がリセットされるとマイコン１０は正常動作に復帰し、ＷＤＣパルスを生成する。図５の例では、１発のＷＤＣパルスを生成した後、マイコン１０は正常動作にあるので、イグニッションスイッチ信号ＩＧＩＮがオフ状態であることを検出すると、図１に示すWakeup信号線をローレベルに設定した後、低消費電力モード（図５ではＳＴＯＰと表示）に移行する。その後、イグニッションスイッチ信号ＩＧＩＮがオンとなり、このタイミングでリセット出力回路２５２はリセット信号ＩＮＩＴを所定時間だけオンする（ローレベルに設定）。また、上記タイミングで、ウォッチドッグタイマ回路１１はカウント動作を開始し、ＷＤＣパルスが生成される毎にリセットされる。図５以降のタイミング図では、ウォッチドッグタイマ１１１は所定のカウント値をデクリメントし、カウント値が０を超えた場合にオーバーフローとなる。
なお、図５のマイコンのモードを示す部分においてＯＣＯとあるのはOn-Chip-Oscillatorの意味であって、マイコン１０内部に設けられた図示しない発振器がリセット期間中に動作してクロックを生成する期間を示している。

図６は、バッテリ４１を電子制御装置１００に接続した後、パワーオンリセット処理完了後（ウォッチドッグタイマ回路１１の設定後）にマイコン１０が暴走した場合であって、暴走したマイコン１０がWakeup信号をソフトウェア処理によりハイレベルに保持してしまった場合のタイミング図である。リセット信号ＩＮＩＴによるリセットが解除された後、ウォッチドッグタイマ回路１１はカウント動作を開始する。その後、マイコン１０が暴走した場合、ＷＤＣパルスは生成されないので、暴走監視回路２５がリセット信号ＩＮＩＴをローレベルに設定して、マイコン１０をリセットする。このように、図６に示すような暴走が起こっても、暴走監視回路２５の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図７は、バッテリ４１を電子制御装置１００に接続した後、パワーオンリセット処理完了後（ウォッチドッグタイマ回路１１の設定後）にマイコン１０が暴走した場合であって、暴走したマイコン１０がWakeup信号をソフトウェア処理によりローレベルに保持してしまった場合のタイミング図である。暴走によりWakeup信号がローレベルに保持されている間は、暴走監視回路２５は動作を停止している。また、WDC信号も生成されない。よって、ウォッチドッグタイマ回路１１は図３に示すクリアパルスが生成されないのでリセットされず、カウント値をデクリメントしていく。その後、ウォッチドッグタイマ回路１１はオーバーフローし、内部リセット信号１２を出力する。これにより、マイコン１０はリセットされる。このように、図７に示すような暴走が起こっても、マイコン１０のウォッチドッグタイマ機能により、マイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１８、Ｓ１９及びＳ１６の処理により実行される。

ここで、マイコン１０がWakeup信号をローレベルに設定することで定義される低消費電力モード（ＳＴＯＰ）の時には、ウォッチドッグタイマ回路１１はカウント動作を停止するので、このモードに移行する直前のカウント値が保持される。これに対し、マイコン１０の暴走でWakeup信号がローレベルに設定された場合には、ウォッチドッグタイマ回路１１のカウント動作は停止せず、オーバーフローする。よって、ウォッチドッグタイマ回路１１のリセット動作があるかどうかに応じて、マイコン１０が低消費電力モードに移行したかどうかを確実に検知することができる。

図８は、バッテリ４１を電子制御装置１００に接続した後、マイコン１０の暴走のためWakeup信号がハイレベルに保持されてしまい、この結果マイコン１０が低消費電力モードに移行できない場合のタイミング図である。前述した図６に示す動作と同様にして、暴走監視回路２５がリセット信号ＩＮＩＴをマイコン１０に出力する。これにより、マイコン１０は正常動作に復帰でき、その後Wakeup信号線をローレベルに設定することで、低消費電力モード（ＳＴＯＰ）に移行することができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図９は、バッテリ４１を電子制御装置１００に接続した後、マイコン１０の暴走のためWakeup信号がローレベルに保持されてしまい、この結果マイコン１０が低消費電力モードに移行できない場合のタイミング図である。前述した図７に示す動作と同様にして、ウォッチドッグタイマ回路１１が内部リセット信号１２を生成する。これにより、マイコン１０は正常動作に復帰でき、その後Wakeup信号線をローレベルに設定することで、低消費電力モード（ＳＴＯＰ）に移行することができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１８、Ｓ１９及びＳ１６の処理により実行される。

図１０は、イグニッションスイッチ４２をオンし、その後に行われるイニシャル処理が完了する前（ウォッチドッグタイマ回路１１の設定が完了する前）にマイコン１０が暴走した場合のタイミング図である。イグニッションスイッチ信号ＩＧＩＮがオンし、リセット信号ＩＮＩＴがローレベルに立ち下がることでマイコン１０がリセットされた後にマイコン１０が暴走すると、ウォッチドッグタイマ回路１１のカウント動作は行われず、またＷＤＣ信号も出力されない。Wakeup信号はプルアップ抵抗Ｒにより生成されるのでハイレベルに保持されており、よって暴走監視回路２５の動作が確保されている。そして、暴走監視回路２５がリセット信号ＩＮＩＴをマイコン１０に出力することで、マイコン１０はリセットされる。このように、図１０に示すような暴走が起こっても、暴走監視回路２５の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図１１は、イグニッションスイッチ４２をオンし、その後に行われるイニシャル処理が完了した後にマイコン１０が暴走して、Wakeup信号がハイレベルに保持されたままとなった場合のタイミング図である。イニシャル処理が完了しているので、ウォッチドッグタイマ回路１１はカウント動作を開始している。マイコン１０の暴走によりＷＤＣ信号は生成されないので、ウォッチドッグタイマ回路１１はリセットされない。しかし、Wakeup信号がハイレベルにあるので暴走監視回路２５が動作しており、タイマカウンタ２５１がオーバーフローした時点でリセット信号ＩＮＩＴがローレベルとなり、マイコン１０がリセットされる。このように、図１１に示すような暴走が起こっても、暴走監視回路２５の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図１２は、イグニッションスイッチ４２をオンし、その後に行われるイニシャル処理が完了した後にマイコン１０が暴走して、Wakeup信号がローレベルに保持されたままとなった場合のタイミング図である。イニシャル処理が完了しているので、ウォッチドッグタイマ回路１１はカウント動作を開始している。マイコン１０の暴走によりＷＤＣ信号は生成されないので、ウォッチドッグタイマ回路１１はリセットされない。他方、Wakeup信号がローレベルにあるので暴走監視回路２５は動作を停止している。その後、ウォッチドッグタイマ１１１はオーバーフローし、内部リセット信号１２が生成される。このように、図１１に示すような暴走が起こっても、ウォッチドッグタイマ回路１１の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１８、Ｓ１９及びＳ１６の処理により実行される。

図１３は、イグニッションスイッチ４２をオフした後にマイコン１０が暴走して、Wakeup信号がハイレベルに保持されたままとなった場合のタイミング図である。マイコン１０が暴走するとＷＤＣパルスの出力を停止する。Wakeup信号がプルアップ抵抗Rの作用によりハイレベルに保持されているので、暴走監視回路２５は動作する。そして、ＷＤＣパルスが停止することでタイマカウンタ２５１がオーバーフローし、暴走監視回路２５はリセット信号ＩＮＩＴをマイコン１０に出力する。これによりマイコン１０はリセットされる。このように、図１３に示すような暴走が起こっても、暴走監視回路２５の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図１４は、イグニッションスイッチ４２をオフした後にマイコン１０が暴走して、Wakeup信号がローレベルに保持されたままとなった場合のタイミング図である。マイコン１０が暴走するとＷＤＣパルスの出力を停止する。暴走によりWakeup信号がローレベルに保持されているので、暴走監視回路２５は動作を停止する。そして、ＷＤＣパルスが停止することでウォッチドッグタイマ回路１１はオーバーフローし、内部リセット信号１２を出力する。これによりマイコン１０はリセットされる。このように、図１４に示すような暴走が起こっても、ウォッチドッグタイマ回路１１の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１８、Ｓ１９及びＳ１６の処理により実行される。

図１５は、イグニッションスイッチ４２をオフした後にマイコン１０の暴走によりWakeup信号がハイレベルに保持されてしまい、この結果マイコン１０が低消費電力モードに移行できない場合のタイミング図である。Wakeup信号がハイレベルの保持されるので暴走監視回路２５が動作し、リセット信号ＩＮＩＴをマイコン１０に出力する。これにより、マイコン１０は正常動作に復帰でき、その後Wakeup信号線をローレベルに設定することで、低消費電力モード（ＳＴＯＰ）に移行することができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１４、Ｓ１５及びＳ１６の処理により実行される。

図１６は、イグニッションスイッチ４２をオフした後にマイコン１０の暴走によりWakeup信号がローレベルに保持されてしまい、この結果マイコン１０が低消費電力モードに移行できない場合のタイミング図である。Wakeup信号がローレベルの保持されるので暴走監視回路２５は動作しない。そして、ＷＤＣパルスが停止することでウォッチドッグタイマ回路１１はオーバーフローし、内部リセット信号１２を出力する。これによりマイコン１０はリセットされる。このように、図１６に示すような暴走が起こっても、ウォッチドッグタイマ回路１１の働きによりマイコン１０を確実にリセットすることができる。
上記制御は図４のシーケンスにおいて、ステップＳ１３、Ｓ１７、Ｓ１８、Ｓ１９及びＳ１６の処理により実行される。

本発明の電子制御装置の構成によれば、マイコン外部に設けた１つの監視部とマイコン内の回路とにより異常を監視することができるため、装置を小型化することができ、また低コストで実現することができる。
また、上記構成とすることにより、正常に低消費電力モードに入ったことが確実に監視できるため、暗電流消費を抑えてマイコン監視をすることができ、車両における暗電流の消費を低減し、バッテリ上がりを防止することができる。
以上、本発明の実施例を説明した。本発明は上記実施例に限定されるものではない。

本発明の一実施例による電子制御装置の構成を示すブロック図である。図１に示す暴走監視回路２５の構成例及び動作タイミング図である。図１に示すウォッチドッグタイマ回路１１の構成例及び動作タイミング図を示す図である。図１に示す異常監視装置３０の動作を記述するフローチャートである。異常監視装置３０の第1の動作例を示すタイミング図である。異常監視装置３０の第２の動作例を示すタイミング図である。異常監視装置３０の第３の動作例を示すタイミング図である。異常監視装置３０の第４の動作例を示すタイミング図である。異常監視装置３０の第５の動作例を示すタイミング図である。異常監視装置３０の第６の動作例を示すタイミング図である。異常監視装置３０の第７の動作例を示すタイミング図である。異常監視装置３０の第８の動作例を示すタイミング図である。異常監視装置３０の第９の動作例を示すタイミング図である。異常監視装置３０の第１０の動作例を示すタイミング図である。異常監視装置３０の第１１の動作例を示すタイミング図である。異常監視装置３０の第１２の動作例を示すタイミング図である。

符号の説明

１０汎用マイコン
１１ウォッチドッグタイマ回路（ＷＤＴ）
１２内部リセット信号
２０統合ＩＣ
２１電源回路
２２入力回路
２３出力回路
２４通信ドライバ
２５暴走監視回路
３０暴走監視装置
１００電子制御装置

Claims

ＣＰＵと、該ＣＰＵのソフトウェア処理によるタイマ動作許可の書き込みによりカウント動作を開始後、ソフトウェア処理によりカウンタ値がリセットされるとともに、前記カウンタ値がリセットされずに第１の所定値を超えてオーバフローした場合には内部リセット信号を生成するウォッチドッグタイマ回路とを有する演算装置と、
該演算装置の外部に設けられ、前記演算装置が正常動作時に出力し暴走時に出力しないパルスを入力して前記演算装置の異常動作を監視するものであり、前記演算装置の動作状態を示す指示信号が第１のレベルにある場合にカウント動作を行い、カウンタ値が第２の所定値を超えるとオーバーフローするとともに、前記演算装置からの前記パルスによってリセットされるタイマカウンタと、該タイマカウンタがリセットされずにオーバフローした場合には、前記演算装置をリセットするリセット信号を出力するリセット出力回路とを有する暴走監視回路と
を備えた電子制御装置であって、
前記指示信号は、前記演算装置が電源に接続され、前記演算装置によって、低消費電力モードであることを示す第２のレベルに設定されていない状態にあるときは、前記第１のレベルに設定され、
前記演算装置が電源に接続され、前記指示信号が前記第１のレベルに設定された後であって、前記ソフトウェア処理により前記タイマ動作許可が前記ウォッチドッグタイマ回路に書き込まれる前に前記演算装置が暴走した場合は、暴走しなかった場合に行われる前記演算装置による前記指示信号を前記第２のレベルに設定する動作と、前記パルスを出力する動作とが行われないので、前記暴走監視回路の前記リセット出力回路は前記リセット信号を前記演算装置に出力して当該演算装置をリセットすることを特徴とする電子制御装置。
前記電子制御装置は車載用電子制御装置であって、前記電源は、当該電子制御装置が設けられた車両に搭載されたバッテリが出力する電源電圧又は当該電源電圧を降下した電源電圧を有することを特徴とする請求項１記載の電子制御装置。
前記電子制御装置は車載用電子制御装置であり、前記演算装置が電源に接続された後であって、前記第１の所定値が前記ウォッチドッグタイマ回路に設定された後に、イグニッションスイッチがオンしているかオフしているかどうかを判断し、オンしている場合には前記暴走監視回路を選択し、オフしている場合には前記ウォッチドッグタイマ回路を選択する手段を有することを特徴とする請求項１に記載の電子制御装置。
前記指示信号を前記暴走監視回路に入力する信号線は、前記電源に接続されていることを特徴とする請求項１から３のいずれか一項に記載の電子制御装置。
ＣＰＵと、該ＣＰＵのソフトウェア処理によるタイマ動作許可の書き込みによりカウント動作を開始後、ソフトウェア処理によりカウンタ値がリセットされるとともに、前記カウンタ値がリセットされずに第１の所定値を超えてオーバフローした場合には内部リセット信号を生成するウォッチドッグタイマ回路とを有する演算装置と、
該演算装置の外部に設けられ、前記演算装置が正常動作時に出力し暴走時に出力しないパルスを入力して前記演算装置の異常動作を監視するものであり、前記演算装置の動作状態を示す指示信号が第１のレベルにある場合にカウント動作を行い、カウンタ値が第２の所定値を超えるとオーバーフローするとともに、前記演算装置からの前記パルスによってリセットされるタイマカウンタと、該タイマカウンタがリセットされずにオーバフローした場合には、前記演算装置をリセットするリセット信号を出力するリセット出力回路とを有する暴走監視回路と
を備えた電子制御装置における制御方法において、
前記指示信号は、前記演算装置が電源に接続され、前記演算装置によって、低消費電力モードであることを示す第２のレベルに設定されていない状態にあるときは、前記第１のレベルに設定され、
前記演算装置が電源に接続され、前記指示信号が前記第１のレベルに設定された後であって、前記ソフトウェア処理により前記タイマ動作許可が前記ウォッチドッグタイマ回路に書き込まれる前に前記演算装置が暴走した場合は、暴走しなかった場合に行われる前記演算装置による前記指示信号を前記第２のレベルに設定する動作と、前記パルスを出力する動作とが行われないので、前記暴走監視回路の前記リセット出力回路は前記リセット信号を前記演算装置に出力して当該演算装置をリセットするステップを有することを特徴とする電子制御装置の制御方法。