JP4525762B2 - 車両用電子制御装置 - Google Patents

Description

本発明は、車両に搭載される電子制御装置に関する。

自動車（車両）においては、機能の複雑化に伴い、搭載される電子制御装置の数が増加の一途を辿っている。そこで、従来では複数の機能毎の電子制御装置として別々に設けていたものを、１つの装置として統合化することで、電子制御装置の数を減らすことが考えられている。

また、そのように統合化した電子制御装置では、複数の機能毎にマイコンを搭載することが考えられる。１つマイコンだけでは、複数の機能を実現するための各処理を十分に行うことが困難なためである。

そして、複数のマイコンを備えた電子制御装置では、１つのマイコンが、車両の基本機能である走行機能（具体的には、走る、曲がる、止まるという機能）に関する制御を行い、他のマイコンが、走行機能以外の機能（例えば、他の装置への電源供給機能や、セキュリティー機能など）に関する制御を行う、というように構成されることが考えられる。

一方、従来より、マイコンを備えた電子制御装置では、マイコンが正常に動作しているか否かを監視して、異常と判断すると初期化などのフェイルセーフ処置を行う監視回路を設けるようにしている。そして、複数のマイコンを備えた電子制御装置では、その各マイコンについて、１つずつ監視回路を設けるようにしている（例えば、特許文献１参照）。
特開２００７−４１８２４号公報（図１）

ところで、複数のマイコンのうちの１つが車両の走行機能に関する制御を行い、他のマイコンが走行機能以外の機能に関する制御を行う電子制御装置において、上記特許文献１の技術を適用したならば、各マイコンについて１つずつ監視回路を設けることとなる。

しかし、その構成では、走行機能に関する制御を行うマイコンの監視回路に異常が生じた場合、もはや、車両において特に重要な走行機能に関する制御が正常に行われているか否か監視することができない。

そこで、本発明は、回路の増加を抑えつつも車両の信頼性を向上させることのできる車両用電子制御装置の提供を目的としている。

請求項１の車両用電子制御装置は、まず、下記の第１の特徴を有している。
［第１の特徴］
少なくとも２つのマイコンが備えられており、その２つのマイコンのうちの一方である第１マイコンが、車両の走行機能に関する制御を行うようになっている。尚、車両の走行機能に関する制御とは、例えば、エンジンや電気モータなどの走行用動力源の制御、動力源から車輪への動力伝達機構（変速機やトルク配分装置など）の制御、車輪操舵の制御、ブレーキの制御などであり、第１マイコンは、それらの制御の少なくとも１つを行う。

そして、上記２つのマイコンとは別に設けられている監視手段が、第１マイコンが正常に動作しているか否かを監視するようになっており、更に、上記２つのマイコンのうちの他方である第２マイコンも、第１マイコンが正常に動作しているか否かを監視するようになっている。つまり、第１マイコンは、その第１マイコンに対して設けられた監視手段だけでなく、第２マイコンによっても監視されるようになっている。以上が第１の特徴である。

このため、第１マイコンは、監視手段に異常が生じても、第２マイコンによって監視され、逆に、第２マイコンに異常が生じても、監視手段によって監視される。
このような請求項１の車両用電子制御装置によれば、車両において重要な走行機能に関する制御を行う第１マイコンに対して、マイコンとは別の回路からなる監視手段を２つ設けることなく、監視系を２重にすることができる。よって、回路の増加を抑えつつも車両の信頼性を向上させることができる。
そして、請求項１の車両用電子制御装置は、下記の第２〜第４の特徴も有している。
［第２の特徴］
第１マイコンを監視するための構成として、第１マイコンは、第２マイコン及び監視手段によって監視されるために、その第２マイコン及び監視手段へ、一定時間以内毎に監視対象信号を出力し、第２マイコン及び監視手段の各々は、第１マイコンからの監視対象信号が所定の監視時間以上入力されないと、第１マイコンへリセット信号を出力する、という構成を有している。
そして、この特徴によれば、第１マイコンにプログラム暴走が生じて監視対象信号が出力されなくなった場合に、その第１マイコンにリセット信号を与えて正常復帰を試みることができる。
［第３の特徴］
第２マイコンにおける前記監視時間と、監視手段における前記監視時間は、それぞれ異なる値である。
このため、第１マイコンにプログラム暴走が生じて監視対象信号が出力されなくなった場合に、まず、第２マイコン及び監視手段のうち、監視時間が短い方からリセット信号が出力され、それでも第１マイコンが正常復帰しなければ、第２マイコン及び監視手段のうち、監視時間が長い方からリセット信号が出力されるようになる。つまり、第２マイコンと監視手段とが、同時ではなく、時間を空けてリセット信号を出力することができ、第１マイコンを正常復帰させる機会を増やせる。
［第４の特徴］
更に、監視手段における監視時間の方が、第２マイコンにおける監視時間よりも長い時間に設定されている。
マイコンとは別の監視手段は、ハードウェア回路によって構成できるため、プログラムに従い動作する第２マイコンよりも異常の発生確率が低く信頼性が高いと考えられるからであり、もし信頼性の低い方が異常になっても信頼性の高い方がバックアップする、という思想を実現するのに好ましい。

次に、請求項２の車両用電子制御装置は、請求項１の車両用電子制御装置において、下記の第５の特徴を有している。
［第５の特徴］
第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段は、電源制御信号を受けると、第１マイコンに電源電圧を供給するようになっている。そして、第２マイコンが、第１マイコンを作動させるか否かを判断して、その判断結果に基づき前記給電手段への電源制御信号の出力と非出力とを切り替えることにより、第１マイコンへの電源供給を制御するようになっている。

このような請求項２の車両用電子制御装置では、第１マイコンを監視する第２マイコンが、その第１マイコンへの電源供給を制御することとなる。このため、第１マイコンに電源電圧が供給されている場合にだけ第２マイコンが第１マイコンの動作監視を実施する、という構成を簡単に実現することができる。具体的には、第２マイコンは、給電手段へ電源制御信号を出力している場合にだけ第１マイコンの動作監視を実施するように構成すれば良い。よって、第２マイコンが、第１マイコンに電源電圧が供給されていない時に、その第１マイコンの動作監視をして異常と誤判断してしまう、という不都合を簡単に防止することができる。

次に、請求項３の車両用電子制御装置は、請求項１，２の車両用電子制御装置において、下記の第６の特徴を有している。
［第６の特徴］
第１マイコンは、自己が動作中であることを示す起動信号を監視手段へ出力するようになっている。そして、監視手段は、第１マイコンからの起動信号を受けている場合に、その第１マイコンの動作監視を実施する。

この特徴によれば、第１マイコンが元々動作していないときに、監視手段が第１マイコンの動作監視を実施して異常と誤判断してしまう、という不都合を防止することができる。また、第１マイコンが動作を停止しているときには、監視手段の動作も停止させることができるため、その監視手段での余分な消費電流を低減することができる。

次に、請求項４の車両用電子制御装置は、請求項１〜３の車両用電子制御装置において、下記の第７の特徴を有している。
［第７の特徴］
第２マイコン及び監視手段の少なくとも一方は、第１マイコンがリセット信号を与えても正常復帰しない正常復帰不能状態になったと判断した場合には、第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させる。

この特徴によれば、異常状態の第１マイコンが車両の走行機能に関する制御を行ってしまうことを、確実に防止することができ、延いては、車両の信頼性を一層向上させることができる。

次に、請求項５の車両用電子制御装置は、請求項１〜４の車両用電子制御装置において、下記の第８の特徴を有している。
［第８の特徴］
第１マイコンは、第２マイコンが正常に動作しているか否かを監視するようになっている。

この特徴によれば、第１マイコンは、自分が第２マイコンによって正常に監視されているか否かを確認することができる。つまり、第２マイコンが正常に動作していれば、その第２マイコンによって自分が正常に監視されているということになる。そして、第１マイコンは、第２マイコンが正常に動作していなければ、第２マイコンをリセットするなどの何らかのフェイルセーフ処置を行うことができるため、当該電子制御装置の信頼性を向上させることができる。

請求項６の車両用電子制御装置は、請求項５の車両用電子制御装置において、下記の第９の特徴を有している。
［第９の特徴］
第１マイコンが第２マイコンを監視するための構成として、第２マイコンは、第１マイコンによって監視されるために、その第１マイコンへ、一定時間以内毎に監視対象信号を出力し、第１マイコンは、第２マイコンからの監視対象信号が所定の監視時間以上入力されないと、第２マイコンへリセット信号を出力する、という構成を有している。
そして、この特徴によれば、第２マイコンにプログラム暴走が生じて第１マイコンへの監視対象信号が出力されなくなった場合に、その第２マイコンにリセット信号を与えて正常復帰を試みることができる。

次に、請求項７の車両用電子制御装置は、請求項１〜６の車両用電子制御装置において、下記の第１０の特徴を有している。
［第１０の特徴］
監視機能監視手段が備えられている。そして、その監視機能監視手段は、第２マイコン及び監視手段の各々が正常に動作しているか否かを監視し、第２マイコン及び監視手段の両方が異常状態になったと判断すると、第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させる。

つまり、請求項７の車両用電子制御装置では、第２マイコン及び監視手段の両方が異常状態になって、第１マイコンが監視されない状態になると、第１マイコンへの電源供給を停止するようになっている。このため、異常な第１マイコンが走行機能に関する制御を行ってしまうことを、未然に防止することができ、延いては、車両の信頼性を一層向上させることができる。
一方、請求項８の車両用電子制御装置は、前述した各特徴のうち、第１の特徴と、第２の特徴と、第７の特徴とを有したものである。そして、請求項９の車両用電子制御装置は、請求項８の車両用電子制御装置において、前述した第５の特徴を有したものであり、請求項１０の車両用電子制御装置は、請求項８，９の車両用電子制御装置において、前述した第６の特徴を有したものであり、請求項１１の車両用電子制御装置は、請求項８〜１０の車両用電子制御装置において、前述した第３の特徴を有したものであり、請求項１２の車両用電子制御装置は、請求項１１の車両用電子制御装置において、前述した第４の特徴を有したものであり、請求項１３の車両用電子制御装置は、請求項８〜１２の車両用電子制御装置において、前述した第８の特徴を有したものであり、請求項１４の車両用電子制御装置は、請求項１３の車両用電子制御装置において、前述した第９の特徴を有したものであり、請求項１５の車両用電子制御装置は、請求項８〜１４の車両用電子制御装置において、前述した第１０の特徴を有したものである。
それらの各車両用電子制御装置によれば、前述した各特徴による効果が得られる。
また、請求項１６の車両用電子制御装置は、前述した各特徴のうち、第１の特徴と、第１０の特徴とを有したものである。そして、請求項１７の車両用電子制御装置は、請求項１６の車両用電子制御装置において、前述した第５の特徴を有したものであり、請求項１８の車両用電子制御装置は、請求項１６，１７の車両用電子制御装置において、前述した第６の特徴を有したものであり、請求項１９の車両用電子制御装置は、請求項１６〜１８の車両用電子制御装置において、前述した第２の特徴を有したものであり、請求項２０の車両用電子制御装置は、請求項１９の車両用電子制御装置において、前述した第３の特徴を有したものであり、請求項２１の車両用電子制御装置は、請求項２０の車両用電子制御装置において、前述した第４の特徴を有したものであり、請求項２２の車両用電子制御装置は、請求項１９〜２１の車両用電子制御装置において、前述した第７の特徴を有したものであり、請求項２３の車両用電子制御装置は、請求項１６〜２２の車両用電子制御装置において、前述した第８の特徴を有したものであり、請求項２４の車両用電子制御装置は、請求項２３の車両用電子制御装置において、前述した第９の特徴を有したものである。
それらの各車両用電子制御装置によれば、前述した各特徴による効果が得られる。

本発明が適用された実施形態の車両用電子制御装置（以下、ＥＣＵという）について説明する。
［第１実施形態］
まず図１は、第１実施形態のＥＣＵ１の構成を表す構成図である。

第１実施形態のＥＣＵ１は、車載バッテリの電圧（バッテリ電圧）Ｖ１を受けて動作するものであり、メータＥＣＵ２、エアコンＥＣＵ３、ナビＥＣＵ４といった表示系（詳しくは表示機能系）ＥＣＵへイグニッション系の電源電圧ＶＩＧを供給する機能と、エンジンＥＣＵ５、モータＥＣＵ６、電池ＥＣＵ７といった走行系（詳しくは走行機能系）ＥＣＵへ電源電圧Ｖ２を供給する機能と、それら走行系ＥＣＵ５〜７を通信により制御することで車両の動力源を制御する機能とを少なくとも有している。

尚、メータＥＣＵ２は車両のメータを制御するＥＣＵであり、エアコンＥＣＵ３は車両のエアコンを制御するＥＣＵであり、ナビＥＣＵ４は車両のナビゲーションシステムを制御するＥＣＵである。そして、それら表示系ＥＣＵ２〜４へは、ＥＣＵ１によりオン駆動されるＩＧリレー１１を介してバッテリ電圧Ｖ１が電源電圧ＶＩＧとして供給されるようになっている。また、エンジンＥＣＵ５は車両の内燃機関型エンジンを制御するＥＣＵであり、モータＥＣＵ６はエンジンと共に車両の動力を発生する電気モータを制御するＥＣＵであり、電池ＥＣＵ７は上記電気モータのエネルギー源であり車両全体の電源でもあるバッテリの充電を制御するＥＣＵである。そして、それら走行系ＥＣＵ５〜７へは、ＥＣＵ１によりオン駆動されるメインリレー１２を介してバッテリ電圧Ｖ１が電源電圧Ｖ２として供給されるようになっている。そして、それら走行系ＥＣＵ５〜７は、ＥＣＵ１からの指令や制御目標値に基づいて各自の制御対象を制御する。

また、ＥＣＵ１は、セキュリティーＥＣＵ８、リモートＥＣＵ９、ドアＥＣＵ１０といった操作入力系ＥＣＵと通信することにより、車両に対する人の操作情報を取得するようになっている。更に、ＥＣＵ１には、ドライバがイグニッション系電源のオンオフやエンジンの始動を指示するために操作するプッシュ式スタートスイッチのオンオフ状態を示すスタートスイッチ信号や、ドライバによるアクセルやブレーキの操作状態を示す信号（ドライバ運転操作信号）が入力されるようになっている。

尚、セキュリティーＥＣＵ８は車両盗難防止のための制御を行うＥＣＵであり、リモートＥＣＵ９はドライバに携帯されるリモートキーが車両に接近した際に該リモートキーと通信するＥＣＵであり、ドアＥＣＵ１０は車両のドアの開閉を検出したりドアロックアクチュエータやパワーウィンドウモータ等を制御するＥＣＵである。そして、それら操作入力系ＥＣＵ８〜１０からＥＣＵ１へ、ドアが開かれたことを示す情報や、リモートキーと通信したことを示す情報や、そのリモートキーから送られてきた照合用データ等が送信される。

そして、ＥＣＵ１は、主マイコン２１と、副マイコン２２と、その各マイコン２１，２２に一定の作動用電源電圧Ｖ３，Ｖ４を供給する電源回路２３とを備えている。尚、電源回路２３はＩＣ化されている。また、各マイコン２１，２２には、例えばＥＥＰＲＯＭからなる不揮発性の外部記憶装置２４，２５がそれぞれ接続されている。

主マイコン２１は、イグニッションオフの状態でも動作する必要があるマイコンであり、主に表示系ＥＣＵ２〜４及び走行系ＥＣＵ５〜７への電源供給と、副マイコン２２への電源供給とを制御する。

そして、主マイコン２１は、プログラムを実行するＣＰＵ３１、そのプログラムが格納されたＲＯＭ３２、ＣＰＵ３１による演算結果が記憶されるＲＡＭ３３、Ｉ／Ｏポート３４、内部タイマ３５、Ａ／Ｄコンバータ（ＡＤＣ）３６といった周知の構成に加えて、自マイコンが正常に動作しているか否かを監視する主マイコン動作監視部３７も備えている。尚、Ｉ／Ｏポート３４は、スタートスイッチ信号等の外部からの各種スイッチ信号を入力する機能の他に、操作入力系ＥＣＵ８〜１０から通信線を介して信号が送られてきたことを検知する機能も有している。また、図示は省略しているが、主マイコン２１には、操作入力系ＥＣＵ８〜１０と通信するための通信制御回路も備えられている。

また、主マイコン２１のＣＰＵ３１は、ＲＯＭ３２内のプログラムを実行することにより、上記他のＥＣＵ２〜７及び副マイコン２２への電源供給を制御する電源制御部３１ａと、副マイコン２２が正常に動作しているか否かを監視する副マイコン動作監視部３１ｂとのそれぞれとして機能する。尚、図１では、その副マイコン動作監視部３１ｂのことを、第１の副マイコン動作監視部３１ｂと記載している。

一方、副マイコン２２は、主マイコン２１と内部通信線を介して情報の授受を行うと共に、走行系ＥＣＵ５〜７と通信して、それら各ＥＣＵ５〜７を制御することにより、エンジン及び電気モータの制御とバッテリの充電制御とを行う。そして、副マイコン２２は、プログラムを実行するＣＰＵ４１、そのプログラムが格納されたＲＯＭ４２、ＣＰＵ４１による演算結果が記憶されるＲＡＭ４３、Ｉ／Ｏポート４４といった周知の構成に加えて、主マイコン２１からのリセット信号Ｃ３ａと電源回路２３からのリセット信号Ｃ３ｂとの少なくとも一方がアクティブレベルとしてのローになると出力がローになるアンド回路４６と、そのアンド回路４６の出力がハイからローになると当該副マイコン２２をリセットするリセット回路４５とを備えている。つまり、副マイコン２２は、主マイコン２１からのローアクティブのリセット信号Ｃ３ａと、電源回路２３からのローアクティブのリセット信号Ｃ３ｂとの、論理和によってリセットされるようになっている。尚、図示は省略しているが、副マイコン２２には、走行系ＥＣＵ５〜７と通信するための通信制御回路も備えられている。

また、副マイコン２２は、主マイコン２１と電源回路２３へ一定時間以内毎に監視対象信号としてのウォッチドッグクリア信号ＷＤＣを出力するようになっている。そのウォッチドッグクリア信号ＷＤＣは、副マイコン２２のＣＰＵ４１がプログラム中の特定の命令を定期的に実行することで出力され、本実施形態では、図３の３段目に示すように、一定のパルス幅時間Ｔｗｄｃ（本実施形態では１ｍｓ）毎に出力レベルが反転される信号である。

一方また、電源回路２３は、バッテリから常時供給されるバッテリ電圧Ｖ１を降圧して、主マイコン２１を作動させるための一定の作動用電源電圧（本実施形態では５Ｖであり、以下、主マイコン電源電圧、或いは単に電源電圧という）Ｖ３と、副マイコン２２を作動させるための一定の作動用電源電圧（本実施形態では５Ｖであり、以下、副マイコン電源電圧、或いは単に電源電圧という）Ｖ４とを生成して出力するレギュレータ５１を備えている。

そのレギュレータ５１は、主マイコン２１が電源回路２３へ主マイコン用電源制御信号Ｃ１を出力していない場合には、上記２系統の電源電圧Ｖ３，Ｖ４のうち、主マイコン電源電圧Ｖ３のみ出力するが、その電源電圧Ｖ３を出力するための動作モードが、出力電力量（換言すれば、出力可能な電流）が小さい小電力出力モードとなり、その電源電圧Ｖ３の出力電力量は、主マイコン２１内のＩ／Ｏポート３４と内部タイマ３５が作動可能な最小限の電力量に制限される。そして、レギュレータ５１は、主マイコン２１が主マイコン用電源制御信号Ｃ１を出力している場合には、上記２系統の電源電圧Ｖ３，Ｖ４を出力すると共に、主マイコン電源電圧Ｖ３を出力するための動作モードが、出力電力量の大きい大電力出力モードとなる。つまり、大電力出力モードでは、主マイコン電源電圧Ｖ３の出力電力量が、主マイコン２１内の全ての部分を作動させることが可能な電力量となる。

また、電源回路２３は、スイッチ５２を備えており、そのスイッチ５２は、主マイコン２１から電源回路２３へ副マイコン用電源制御信号Ｃ２が出力されている場合にオンして、レギュレータ５１が出力する副マイコン電源電圧Ｖ４を副マイコン２２に供給する。

尚、スイッチ５２が、レギュレータ５１から出力される電源電圧Ｖ３を、副マイコン電源電圧Ｖ４として副マイコン２２に供給する、という構成でも良い。この場合、レギュレータ５１の大電力出力モードでの電源電圧Ｖ３の出力電力量を、主マイコン２１と副マイコン２２内の全ての部分を作動させることが可能な電力量に設定しておけば良い。

また、電源回路２３は、主マイコン２１から電源リレー駆動指令Ｃ５が出力されるとＩＧリレー１１をオンするＩＧ駆動回路５３と、上記電源リレー駆動指令Ｃ５と副マイコン２２から出力されるメインリレー駆動指令Ｃ６との論理和信号を出力するオア回路５４と、そのオア回路５４の出力がアクティブレベルになっている場合（即ち、主マイコン２１から電源リレー駆動指令Ｃ５が出力されるか副マイコン２２からメインリレー駆動指令Ｃ６が出力されている場合）に、メインリレー１２をオンするメインリレー駆動回路５５とを備えている。

そして更に、電源回路２３には、副マイコン２２が正常に動作しているか否かを監視するための回路であって、副マイコン２２からのウォッチドッグクリア信号ＷＤＣが入力される副マイコン動作監視部５７が備えられている。

その副マイコン動作監視部５７は、予め設定された監視時間Ｔｗ２以内毎に副マイコン２２からのウォッチドッグクリア信号ＷＤＣによってタイマ値がリセットされないと（換言すれば、副マイコン２２からのウォッチドッグクリア信号ＷＤＣが監視時間Ｔｗ２以上入力されないと）、副マイコン２２へ所定時間幅のリセット信号Ｃ３ｂを出力する所謂ウォッチドッグタイマ回路である。そして、その副マイコン動作監視部５７は、副マイコン２２から出力される後述の起動信号ＩＮＩＴを受けている場合にだけ動作するようになっている。

尚、図１では、この副マイコン動作監視部５７のことを、第２の副マイコン動作監視部５７と記載している。また、本実施形態において、副マイコン動作監視部５７のタイマは、ウォッチドッグクリア信号ＷＤＣの立ち下がりエッジでリセットされるようになっている。また、上記監視時間Ｔｗ２は、例えば２０ｍｓに設定されている。

一方更に、ＥＣＵ１において、副マイコン２２は、電源回路２３からの電源電圧Ｖ４を受けて起動すると、その時点から自己が動作を停止しても良い状態になったと判断するまでの間、或いは電源電圧Ｖ４の供給が遮断されるまでの間、電源回路２３（詳しくは、副マイコン動作監視部５７）へ起動信号ＩＮＩＴを出力するようになっている。つまり、起動信号ＩＮＩＴは、副マイコン２２が動作中であることを示す信号であり、本実施形態ではハイアクティブの信号である。

また、副マイコン２２は、自己が動作を停止しても良い状態になったと判断すると、主マイコン２１へ電源遮断許可信号Ｃ４を出力するようになっている。そして、本実施形態において、その電源遮断許可信号Ｃ４は、副マイコン２２の出力ポートから出力されるポート信号であり、その電源遮断許可信号Ｃ４を出力するための出力ポートから主マイコン２１へ至る信号ラインは、電源遮断を許可しないことを意味する非アクティブ側の電圧（本実施形態ではハイレベルの電圧であって、電源回路２３から副マイコン２２に出力される電源電圧Ｖ４）に抵抗６０を介して接続されている。つまり、電源遮断許可信号Ｃ４の信号ラインは、抵抗６０によりハイレベルに相当する副マイコン電源電圧Ｖ４にプルアップされている。

次に、ＥＣＵ１の動作について、図２を参照しつつ説明する。
まず、時刻ｔ１よりも前（左側）に示すように、ＥＣＵ１にバッテリ電圧Ｖ１が投入されただけの状態において、主マイコン２１は、内部のＩ／Ｏポート３４と内部タイマ３５のみが作動する待機モードとなる。そして、この待機モードにおいて、主マイコン２１は、主マイコン用電源制御信号Ｃ１と副マイコン用電源制御信号Ｃ２を出力しない。尚、本実施形態において、その各電源制御信号Ｃ１，Ｃ２はハイアクティブの信号であるため、待機モードにおいて、各電源制御信号Ｃ１，Ｃ２はローとなる。

このため、電源回路２３から副マイコン２２へは電源電圧Ｖ４が供給されず（即ち、Ｖ４＝０Ｖとなり）、また、電源回路２３から主マイコン２１へは電源電圧Ｖ３が供給されるものの、その電源電圧Ｖ３を出力する電源回路２３のレギュレータ５１の動作モードは、前述した小電力出力モード（図２では「低電流モード」と記載）となる。よって、副マイコン２２は電力を全く消費せずに作動を停止し、また、主マイコン２１においても、起動条件の成立を検知するためのＩ／Ｏポート３４と内部タイマ３５のみが作動するだけで消費電力が最小限に抑えられ、更に、レギュレータ５１での消費電力も最小限に低減される。そして、この状態がＥＣＵ１の待機状態であり、図２の最下段に例示するように、この状態でのＥＣＵ１全体での消費電流（いわゆる暗電流）は、約２ｍＡである。

次に、時刻ｔ１に示すように、ＥＣＵ１へ操作入力系ＥＣＵ８〜１０から信号が送信されてきたり、ＥＣＵ１に入力されるスタートスイッチ信号等の何らかのスイッチ信号がアクティブレベルに変化したりして、起動条件が成立し、そのことがＩ／Ｏポート３４により検知されると、主マイコン２１は電源回路２３へ主マイコン用電源制御信号Ｃ１を出力する。

すると、電源回路２３のレギュレータ５１の動作モードが、小電力出力モードから大電力出力モード（図２では「通常電流モード」と記載）となり、また、主マイコン２１は待機モードから、内部の全てが作動する通常動作モードに遷移する。そして、主マイコン２１が通常動作モードになると、ＣＰＵ３１がプログラムを実行して当該主マイコン２１の動作を司ることとなる。このため、以下に説明する主マイコン２１の通常動作モードでの動作は、ＣＰＵ３１がプログラムを実行することで実現されるものである。

尚、この状態では、両マイコン２１，２２のうち、主マイコン２１だけが通常動作することとなり、図２の最下段に例示するように、ＥＣＵ１全体での消費電流は約１００ｍＡとなる。また、主マイコン２１が待機モードから起動する起動条件としては、操作入力系ＥＣＵ８〜１０からの通信信号やスイッチ信号が入力されたという条件の他に、例えば、内部タイマ３５によって休止時間の計時が完了した、という条件もある。

待機モードから起動して通常動作モードになった主マイコン２１は、ＣＰＵ３１が電源制御部３１ａとして機能することで以下のような処理を行う。
まず、主マイコン２１は、操作入力系ＥＣＵ８〜１０からの通信信号や外部からの各種スイッチ信号といった入力信号に基づいて、車両におけるイグニッション系電源をオンすべきイグニッションオン条件が成立したか否かを判断する。

例えば、スタートスイッチに対して特定の操作が行われたことをスタートスイッチ信号に基づき判定し、且つ、リモートＥＣＵ９から受信したリモートキーからの照合用データが正規ユーザのリモートキーを示すものであると認証できたならば、イグニッションオン条件が成立したと判断する。

そして、主マイコン２１は、イグニッションオン条件が成立していないと判断した場合には、その時々の入力信号に応じた処理を行った後、主マイコン用電源制御信号Ｃ１の出力を停止して、通常動作モードから待機モードに戻る。

一方、主マイコン２１は、イグニッションオン条件が成立したと判断した場合には、時刻ｔ２に示すように、電源回路２３へハイアクティブの電源リレー駆動指令Ｃ５を出力する。

すると、ＩＧ駆動回路５３によってＩＧリレー１１がオンされ、表示系ＥＣＵ２〜４に、イグニッション系電源である電源電圧ＶＩＧが供給される。また、主マイコン２１からの電源リレー駆動指令Ｃ５は、ＩＧ駆動回路５３及びオア回路５４を介してメインリレー駆動回路５５にも伝達され、メインリレー駆動回路５５がメインリレー１２をオンすることとなる。よって、副マイコン２２が制御する走行系ＥＣＵ５〜７にも電源電圧Ｖ２が供給される。

更に、主マイコン２１は、メインリレー１２から走行系ＥＣＵ５〜７に供給される電源電圧Ｖ２をＡ／Ｄコンバータ３６によりモニタし始める。そして、主マイコン２１は、走行系ＥＣＵ５〜７への電源電圧Ｖ２が閾値Ｖｔｈ１以上である状態が一定時間以上継続したなら（即ち、イグニッションオン条件が成立し且つ走行系ＥＣＵ５〜７に電源電圧Ｖ２が確実に供給されたならば）、副マイコン２２を作動させると判断して、時刻ｔ３に示すように、電源回路２３へ副マイコン用電源制御信号Ｃ２を出力する。

すると、電源回路２３から副マイコン２２へ電源電圧Ｖ４が供給されて、副マイコン２２が起動する。尚、上記閾値Ｖｔｈ１は、走行系ＥＣＵ５〜７が確実に作動可能になる電圧値に設定されている。

このように、走行系ＥＣＵ５〜７に電源電圧Ｖ２が投入されてから、副マイコン２２に電源電圧Ｖ４が投入されることとなる。この段階で、両方のマイコン２１，２２が作動した状態になり、図２の最下段に例示するように、ＥＣＵ１全体での消費電流は約３００ｍＡとなる。尚、副マイコン２２に電源電圧Ｖ４が供給されると、ＣＰＵ４１がプログラムを実行して当該副マイコン２２の動作を司ることとなるため、以下に説明する副マイコン２２の動作は、ＣＰＵ４１がプログラムを実行することで実現されるものである。

そして、副マイコン２２が動作を開始すると、時刻ｔ４に示すように、主マイコン２１への電源遮断許可信号Ｃ４を非アクティブ側（非許可側）のハイにすると共に、電源回路２３内の副マイコン動作監視部５７への起動信号ＩＮＩＴの出力を開始する。更に、副マイコン２２は、時刻ｔ５に示すように、電源回路２３へハイアクティブのメインリレー駆動指令Ｃ６を出力する。これは、もし主マイコン２１からの電源リレー駆動指令Ｃ５がローになっても、メインリレー１２のオン状態を維持するためである。

その後、副マイコン２２は、ＥＣＵ１外から入力されるドライバ運転操作信号に基づいて、アクセル操作やブレーキ操作の状態を検出し、その検出結果に基づいて、エンジンと電気モータの各々が出力すべきトルクの目標値やバッテリ充電量の目標値を算出し、それら目標値を各ＥＣＵ５〜７に送信する。そして、各ＥＣＵ５〜７は、副マイコン２２から送信される目標値に基づいて各自の制御対象（即ち、エンジン、電気モータ、バッテリの充電装置）を制御することとなる。このように、副マイコン２２は、走行系ＥＣＵ５〜７を介してエンジン及び電気モータの制御とバッテリの充電制御とを行う。

また、副マイコン２２は、走行系ＥＣＵ５〜７を制御しなくても良い状態（即ち、車両の動力を停止しても良い状態）になったと判断すると、時刻ｔ７に示すように、メインリレー駆動指令Ｃ６の出力を停止する。

例えば、副マイコン２２は、主マイコン２１からの情報により、ドライバがスタートスイッチに対してイグニッション系電源のオフを指示する操作（例えば、所定時間内に２回押す操作）を行ったことを検知すると、各ＥＣＵ５〜７に制御動作の停止指令を送信し、各ＥＣＵ５〜７が全ての処理を完了したことを確認したなら、それらＥＣＵ５〜７を制御しなくても良い状態になったと判断する。

尚、主マイコン２１は、ドライバがスタートスイッチに対してイグニッション系電源のオフを指示する操作を行ったことを検知すると、その時点で電源リレー駆動指令Ｃ５の出力を止める。このため、時刻ｔ６に示すように、電源リレー駆動指令Ｃ５は、副マイコン２２がメインリレー駆動指令Ｃ６の出力を止める前にローとなる。よって、副マイコン２２がメインリレー駆動指令Ｃ６の出力を止めると、メインリレー１２がオフして、走行系ＥＣＵ５〜７への電源供給が遮断される。

その後、副マイコン２２は、動作停止中も継続して保存すべき学習値や故障診断結果等のデータを外部記憶装置２５に書き込み、そのデータ書き込みが完了したなら、自己が動作を行わなくても良い状態になったと判断して、時刻ｔ８に示すように、主マイコン２１へ電源遮断許可信号Ｃ４を出力する（つまり、電源遮断許可信号Ｃ４の出力レベルをアクティブ側のローにする）と共に、起動信号ＩＮＩＴの出力を停止する。

また、主マイコン２１は、Ａ／Ｄコンバータ３６によりモニタしている走行系ＥＣＵ５〜７への電源電圧Ｖ２が閾値Ｖｔｈ２以下になり、しかもその状態が一定時間以上継続したと判断し、且つ、副マイコン２２からの電源遮断許可信号Ｃ４がローになったことを検知したならば、時刻ｔ９に示すように、電源回路２３への副マイコン用電源制御信号Ｃ２の出力を停止する。尚、上記閾値Ｖｔｈ２は、走行系ＥＣＵ５〜７が作動不能になると考えられる電圧値に設定されている。

すると、電源回路２３から副マイコン２２への電源電圧Ｖ４が出力されなくなって、副マイコン２２が作動を停止し、その結果、両マイコン２１，２２のうち、主マイコン２１だけが動作する状態に戻ることとなる。

その後、主マイコン２１は、各種スイッチ信号が入力されず、他のＥＣＵ８〜１０からの通信信号もなく、且つ、学習値や故障診断結果等のデータを外部記憶装置２４に書き込む処理を完了したなら、自己が動作を行わなくても良い状態になったと判断する。すると、主マイコン２１は、時刻ｔ１０に示すように、電源回路２３への主マイコン用電源制御信号Ｃ１の出力を停止して、電源回路２３のレギュレータ５１の動作モードを大電力出力モードから小電力出力モードにさせ、自らの動作モードも通常動作モードから実質的に動作を停止する待機モードに移行させる。このため、ＥＣＵ１は、バッテリ電圧Ｖ１が投入された直後と同じ待機状態に戻ることとなる。

一方、ＥＣＵ１において、主マイコン２１内の主マイコン動作監視部３７は、予め設定された監視時間以内毎にＣＰＵ３１によってリセットされないと当該主マイコン２１をリセットする所謂ウォッチドッグタイマ回路であるが、その主マイコン動作監視部３７は、主マイコン２１から電源回路２３へ主マイコン用電源制御信号Ｃ１が出力されている場合にだけ動作する。このため、主マイコン２１が作動を停止している待機モードの時に、その主マイコン２１の動作監視をして異常と誤判断してしまうことがない。

また、主マイコン２１のＣＰＵ３１がプログラムを実行することで実現される副マイコン動作監視部３１ｂも、予め設定された監視時間Ｔｗ１以内毎に副マイコン２２からのウォッチドッグクリア信号ＷＤＣによってタイマ値がリセットされないと（換言すれば、副マイコン２２からのウォッチドッグクリア信号ＷＤＣが監視時間Ｔｗ１以上入力されないと）、副マイコン２２へ所定時間幅のリセット信号Ｃ３ａを出力する所謂ウォッチドッグタイマであるが、その副マイコン動作監視部３１ｂは、当該主マイコン２１から電源回路２３へ副マイコン用電源制御信号Ｃ２を出力している場合にだけ機能するようになっている。このため、副マイコン２２に電源電圧Ｖ４が供給されていない時（即ち、副マイコン２２が作動していない時）に、その副マイコン２２の動作監視をして異常と誤判断してしまうことがない。

尚、本実施形態においては、主マイコン２１における副マイコン動作監視部３１ｂのタイマも、電源回路２３内の副マイコン動作監視部５７と同様に、ウォッチドッグクリア信号ＷＤＣの立ち下がりエッジでリセットされるようになっている。また、主マイコン２１における上記監視時間Ｔｗ１は、副マイコン動作監視部５７における監視時間Ｔｗ２（＝２０ｍｓ）よりも短く、例えば１２ｍｓに設定されている。

以上のようなＥＣＵ１では、電源回路２３内に設けられた副マイコン動作監視部５７が副マイコン２２の動作状態を監視し、更に、主マイコン２１も副マイコン２２の動作状態を監視するようになっている。

このため、図３に例示するように、時刻ｔａで副マイコン２２が起動して、その後、時刻ｔｂで、副マイコン２２にプログラム暴走が起こり、その副マイコン２２からウォッチドッグクリア信号ＷＤＣが出力されなくなった（その信号ＷＤＣに立ち下がりエッジが生じなくなった）とすると、その時点から主マイコン２１における監視時間Ｔｗ１（＝１２ｍｓ）が経過した時刻ｔｃにて、主マイコン２１から副マイコン２２へローのリセット信号Ｃ３ａが出力され、副マイコン２２の正常復帰が試みられることとなる。

すると、副マイコン２２内では、そのローのリセット信号Ｃ３ａがアンド回路４６を介してリセット回路４５に入力される。そして、通常ならば、副マイコン２２がリセット（初期化）されて正常復帰し、再びウォッチドッグクリア信号ＷＤＣの出力を開始することとなる。尚、図３における時刻ｔｃから時刻ｔｄまでの時間は、リセット信号Ｃ３ａがローになっている時間である。

一方、もし主マイコン２１に何らかの異常が生じており、その主マイコン２１がリセット信号Ｃ３ａを出力しなかったとしても、ウォッチドッグクリア信号ＷＤＣの停止した時刻ｔｂから電源回路２３の副マイコン動作監視部５７における監視時間Ｔｗ２（＝２０ｍｓ）が経過した時に、その副マイコン動作監視部５７から副マイコン２２へローのリセット信号Ｃ３ｂが出力され、副マイコン２２の正常復帰が試みられることとなる。

また逆に、電源回路２３の副マイコン動作監視部５７に異常が生じた場合でも、副マイコン２２は主マイコン２１によって監視されることとなる。
このようなＥＣＵ１によれば、車両において重要な走行機能に関する制御を行う副マイコン２２に対して、副マイコン動作監視部５７のような回路を２つ設けることなく、監視系を２重にすることができる。よって、回路の増加を抑えつつも、異常状態の副マイコン２２が走行機能に関する制御を行ってしまうことを防止して車両の信頼性を向上させることができる。

更に、本実施形態では、主マイコン２１における監視時間Ｔｗ１と、電源回路２３の副マイコン動作監視部５７における監視時間Ｔｗ２とが、同じ時間ではなく、「Ｔｗ１＜Ｔｗ２」の関係となるように異なる値に設定されている。

このため、副マイコン２２にプログラム暴走が生じてウォッチドッグクリア信号ＷＤＣが出力されなくなった場合に、まず、監視時間が短い主マイコン２１からリセット信号Ｃ３ａが出力され、それでも副マイコン２２が正常復帰しなければ、監視時間が長い副マイコン動作監視部５７からリセット信号Ｃ３ｂが出力されるようになる。よって、主マイコン２１と副マイコン動作監視部５７との各々から、副マイコン２２へ時間を空けてリセット信号を与えることができ、副マイコン２２を正常復帰させる機会を増やすことができる。

また、「Ｔｗ１＜Ｔｗ２」となるように設定しているため、主マイコン２１に異常が生じた場合でも、それより異常の発生確率が低いと考えられるハードウェア回路の副マイコン動作監視部５７が、副マイコン２２を監視してリセットする役割を確実に果たす、という思想を実現することができる。

また更に、本実施形態のＥＣＵ１では、副マイコン２２を監視する主マイコン２１が、その副マイコン２２への電源供給を制御しているため、副マイコン２２に電源電圧Ｖ４が供給されていない時に、主マイコン２１が副マイコン２２の動作監視を行って異常と誤判断してしまう、という不都合を簡単に防止することができる。前述したように、主マイコン２１は、電源回路２３へ副マイコン用電源制御信号Ｃ２を出力している場合にだけ、副マイコン２２の動作監視を行うようにすれば良いからである。

また、電源回路２３の副マイコン動作監視部５７は、副マイコン２２からの起動信号ＩＮＩＴを受けている場合にだけ動作するようになっている。このため、副マイコン２２が元々動作していないときに、副マイコン動作監視部５７が副マイコン２２の動作監視を実施して異常と誤判断してしまう、という不都合も防止することができる。また、副マイコン２２が動作を停止しているときには、副マイコン動作監視部５７の動作も停止させることができるため、その副マイコン動作監視部５７での余分な消費電流を低減することができる。

ところで、未説明であったが、本実施形態のＥＣＵ１において、主マイコン２１は、上記副マイコン動作監視部３１ｂとしての機能によって、副マイコン２２へ規定時間以内にリセット信号Ｃ３ａを所定回数以上出力した場合（つまり、副マイコン２２からのウォッチドッグクリア信号ＷＤＣが監視時間Ｔｗ１の所定整数倍の時間以上入力されない場合）には、副マイコン２２がリセット信号を与えても正常復帰不能な異常状態になったと判断する。そして、その場合には、電源電圧Ｖ２と電源遮断許可信号Ｃ４とに拘わらず、副マイコン用電源制御信号Ｃ２の出力を停止する。

このため、副マイコン２２がリセットを繰り返しても正常復帰しない場合には、副マイコン２２への電源供給が遮断されて、その副マイコン２２が不定な動作をしてしまうことを完全に阻止することができる。このため、異常状態の副マイコン２２が車両の走行機能に関する制御を行ってしまうことを、確実に防止することができ、信頼性を一層向上させることができる。

尚、このように副マイコン２２への電源供給を強制遮断する機能は、電源回路２３の副マイコン動作監視部５７にも持たせたり、或いは、その副マイコン動作監視部５７にだけ持たせるようにしても良い。この場合、副マイコン動作監視部５７は、副マイコン２２からのウォッチドッグクリア信号ＷＤＣが監視時間Ｔｗ２の所定整数倍の時間以上入力されなければ、副マイコン２２が正常復帰不能な異常状態になったと判断して、電源回路２３内のスイッチ５２を強制的にオフさせるように構成すれば良い。

また、副マイコン動作監視部５７は、電源回路２３とは別に設けても良い。
一方、本実施形態では、副マイコン２２が第１マイコンに相当し、主マイコン２１が第２マイコンに相当し、副マイコン動作監視部５７が監視手段に相当している。そして、電源回路２３のレギュレータ５１及びスイッチ５２が、第１マイコンに対する給電手段に相当している。
［第２実施形態］
次に図４は、第２実施形態のＥＣＵ６３の構成を表す構成図である。尚、図４において、第１実施形態と同じものについては同一の符号を付しているため説明を省略する。

第２実施形態のＥＣＵ６３は、第１実施形態のＥＣＵ１と比較すると、下記の点が異なっている。
まず、副マイコン動作監視部５７が、電源回路２３とは別に設けられている。

そして、その副マイコン動作監視部５７は、副マイコン２２からの起動信号ＩＮＩＴを受けて動作している場合に、その副マイコン２２へ、一定時間以内毎に監視対象信号としてのウォッチドッグクリア信号ＷＤＣａを出力するようになっている。そのウォッチドッグクリア信号ＷＤＣａは、副マイコン動作監視部５７において、前述の監視時間Ｔｗ２を計測するためのタイマが一定時間（例えば１ｍｓ）をカウントする毎に出力レベルが反転する信号である。よって、そのタイマに異常が生じて監視時間Ｔｗ２の計測（延いては、副マイコン２２の動作監視）が不能になると、副マイコン２２へのウォッチドッグクリア信号ＷＤＣａの出力が停止することとなる。更に、副マイコン動作監視部５７は、副マイコン２２からのリセット信号Ｃ１０によってリセットされるようになっている。

また、主マイコン２１も、ＣＰＵ３１がプログラム中の特定の命令を定期的に実行することにより、副マイコン２２へ一定時間以内毎に監視対象信号としてのウォッチドッグクリア信号ＷＤＣｂを出力するようになっている。尚、そのウォッチドッグクリア信号ＷＤＣｂも、例えば１ｍｓ毎にレベル反転する信号である。更に、主マイコン２１では、副マイコン２２からのリセット信号Ｃ８を受けると、主マイコン動作監視部３７が当該主マイコン２１をリセットする。

そして、副マイコン２２は、主マイコン２１と副マイコン動作監視部５７との各々が正常に動作しているか否かを監視する監視機能監視部４１ａを備えている。尚、その監視機能監視部４１ａは、ＣＰＵ４１がプログラムを実行することで実現される機能手段である。

副マイコン２２の監視機能監視部４１ａは、主マイコン２１と副マイコン動作監視部５７との各々について、ウォッチドッグタイマの機能を有している。
即ち、監視機能監視部４１ａは、主マイコン２１については、その主マイコン２１からのウォッチドッグクリア信号ＷＤＣｂが所定の監視時間Ｔｗｂ（例えば１２ｍｓ）以上入力されないと（具体的には、例えば、ウォッチドッグクリア信号ＷＤＣｂに立ち下がりエッジが生じない時間が監視時間Ｔｗｂ以上になると）、主マイコン２１へ所定時間幅のリセット信号Ｃ８を出力する。同様に、監視機能監視部４１ａは、副マイコン動作監視部５７についても、その副マイコン動作監視部５７からのウォッチドッグクリア信号ＷＤＣａが所定の監視時間Ｔｗａ（例えば１２ｍｓ）以上入力されないと、副マイコン動作監視部５７へ所定時間幅のリセット信号Ｃ１０を出力する。

また、監視機能監視部４１ａは、主マイコン２１と副マイコン動作監視部５７との何れかの異常を検知した場合に、その異常を当該ＥＣＵ６３の外部（例えば他のＥＣＵ５〜７）に通知すると共に、異常が発生したことを外部記憶装置２５に履歴として記憶する。

更に、監視機能監視部４１ａは、主マイコン２１へ規定時間以内にリセット信号Ｃ８を所定回数以上出力した場合（即ち、主マイコン２１からのウォッチドッグクリア信号ＷＤＣｂが監視時間Ｔｗｂの所定整数倍の時間以上入力されない場合）には、主マイコン２１がリセットによっても正常復帰不能な異常状態になったと判断する。同様に、監視機能監視部４１ａは、副マイコン動作監視部５７へ規定時間以内にリセット信号Ｃ１０を所定回数以上出力した場合（即ち、副マイコン動作監視部５７からのウォッチドッグクリア信号ＷＤＣａが監視時間Ｔｗａの所定整数倍の時間以上入力されない場合）には、副マイコン動作監視部５７がリセットによっても正常復帰不能な異常状態になったと判断する。

そして、監視機能監視部４１ａは、主マイコン２１と副マイコン動作監視部５７との両方が正常復帰不能な異常状態になったと判断すると、電源停止信号Ｃ９を出力する。本実施形態において、その電源停止信号Ｃ９はハイアクティブの信号である。

また更に、ＥＣＵ６３には、主マイコン２１から電源回路２３への電源制御信号Ｃ１，Ｃ２の信号経路上に、２つの論理回路６４，６５が追加されている。
一方の論理回路６４は、主マイコン２１からの主マイコン用電源制御信号Ｃ１がローからハイになると、そのハイになった主マイコン用電源制御信号Ｃ１を電源回路２３に出力し、その後、主マイコン２１からの主マイコン用電源制御信号Ｃ１がローになるか、副マイコン２２からの上記電源停止信号Ｃ９がハイになると、電源回路２３への主マイコン用電源制御信号Ｃ１をハイからローにする。

同様に、他方の論理回路６５は、主マイコン２１からの副マイコン用電源制御信号Ｃ２がローからハイになると、そのハイになった副マイコン用電源制御信号Ｃ２を電源回路２３に出力し、その後、主マイコン２１からの副マイコン用電源制御信号Ｃ２がローになるか、副マイコン２２からの上記電源停止信号Ｃ９がハイになると、電源回路２３への副マイコン用電源制御信号Ｃ２をハイからローにする。

このため、主マイコン２１と副マイコン動作監視部５７との両方が異常になって副マイコン２２から電源停止信号Ｃ９が出力されると、両マイコン２１，２２への電源電圧Ｖ３，Ｖ４の供給が強制的に停止されることとなる。尚、電源電圧Ｖ３の方については、詳しくは、それの出力電力量が、主マイコン２１が通常動作不能な値にまで小さくなる。

以上のようなＥＣＵ６３によれば、副マイコン２２が、正常な主マイコン２１によって電源管理と動作監視が行われていることを確認することができ、同様に、正常な副マイコン動作監視部５７によって動作監視が行われていることを確認することができる。

そして、主マイコン２１と副マイコン動作監視部５７との何れかが異常になった場合には、その異常になった方に副マイコン２２からリセット信号Ｃ８，Ｃ１０を与えて正常復帰を試みることができるため、当該ＥＣＵ６３の信頼性を向上させることができる。

更に、主マイコン２１と副マイコン動作監視部５７との両方がリセットによっても正常復帰不能になってしまい、副マイコン２２が監視されない状態になると、両マイコン２１，２２への電源供給が強制的に停止されるため、異常な副マイコン２２が走行機能に関する制御を行ってしまうことを、未然に且つ確実に防止することができ、車両の信頼性を一層向上させることができる。

尚、本実施形態では、電源停止信号Ｃ９によって、両マイコン２１，２２への電源供給を遮断するようにしたが、論理回路６４を削除して、電源停止信号Ｃ９により、副マイコン２２への電源供給だけが遮断されるように構成しても良い。

また、本実施形態では、監視機能監視部４１ａが監視機能監視手段に相当しており、換言すれば、副マイコン２２が監視機能監視手段として機能するようにしたが、監視機能監視部４１ａと同じ役割を果たす回路を、副マイコン２２とは別に設けても良い。

以上、本発明の一実施形態について説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲において、種々なる態様で実施し得ることは勿論である。

例えば、主マイコン２１（第２マイコン）と副マイコン動作監視部５７（監視手段）とが副マイコン２２を監視する方法は、異なっていても良い。具体例を挙げると、副マイコン動作監視部５７は、前述のように副マイコン２２からのウォッチドッグクリア信号ＷＤＣに基づく監視を行い、一方、主マイコン２１は、副マイコン２２が行うのと同じ特定の処理を実行すると共に、副マイコン２２から上記特定の処理の結果を受け取り、その受け取った副マイコン２２による処理結果と自己の処理結果とを比較して、両結果が不一致ならば副マイコン２２が異常と判断する、といった別の方法の監視を行うようにしても良い。更に、主マイコン２１は、副マイコン２２からのウォッチドッグクリア信号ＷＤＣに基づく監視と、上記別の方法の監視との両方を実施するようにしても良い。

また、副マイコン２２が行う走行機能に関する制御は、車輪操舵やブレーキの制御など、他の制御でも良い。
また、マイコンは２つ以上あっても良い。

また、上記各実施形態では、主マイコン２１が待機モードにおいて起動条件の成立を検知するようになっており、換言すれば、主マイコン２１内に、起動条件の成立を検知して電源回路２３へ主マイコン用電源制御信号Ｃ１を出力すると共に主マイコン２１を起動させる起動手段を設けていたが、そのような起動手段としての回路を、主マイコン２１とは別に設けるようにしても良い。但し、上記各実施形態のように構成した方が装置を小型化することができ有利である。

第１実施形態のＥＣＵ（車両用電子制御装置）の構成を表す構成図である。 第１実施形態のＥＣＵの動作を説明するための、第１のタイムチャートである。 第１実施形態のＥＣＵの動作を説明するための、第２のタイムチャートである。 第２実施形態のＥＣＵの構成を表す構成図である。

符号の説明

１〜１０，６３…ＥＣＵ、１１…ＩＧリレー、１２…メインリレー、２１…主マイコン、２２…副マイコン、２３…電源回路、２４，２５…外部記憶装置、３１，４１…ＣＰＵ、３２，４２…ＲＯＭ、３３，４３…ＲＡＭ、３４，４４…Ｉ／Ｏポート、３５…内部タイマ、３６…Ａ／Ｄコンバータ、３７…主マイコン動作監視部、４５…リセット回路、４６…アンド回路、５１…レギュレータ、５２…スイッチ、５３…ＩＧ駆動回路、５４…オア回路、５５…メインリレー駆動回路、５７…副マイコン動作監視部、６０…抵抗、６４，６５…論理回路、４１ａ…監視機能監視部

Claims (24)

1. 少なくとも２つのマイコンを備えると共に、その２つのマイコンのうちの一方である第１マイコンが、車両の走行機能に関する制御を行うようになっている車両用電子制御装置であって、
   前記２つのマイコンとは別に、前記第１マイコンが正常に動作しているか否かを監視する監視手段を備えており、
   更に、前記２つのマイコンのうちの他方である第２マイコンが、前記第１マイコンが正常に動作しているか否かを監視するようになっており、
   前記第１マイコンは、前記第２マイコン及び前記監視手段によって監視されるために、前記第２マイコン及び前記監視手段へ、一定時間以内毎に監視対象信号を出力するようになっており、
   前記第２マイコン及び前記監視手段の各々は、前記第１マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第１マイコンへリセット信号を出力し、
   前記第２マイコンにおける前記監視時間と、前記監視手段における前記監視時間は、それぞれ異なる値であり、前記監視手段における前記監視時間は、前記第２マイコンにおける前記監視時間よりも長い時間に設定されていること、
   を特徴とする車両用電子制御装置。
2. 請求項１に記載の車両用電子制御装置において、
   前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段は、電源制御信号を受けると、前記第１マイコンに前記電源電圧を供給するようになっており、
   前記第２マイコンが、前記第１マイコンを作動させるか否かを判断して、その判断結果に基づき前記給電手段への前記電源制御信号の出力と非出力とを切り替えることにより、前記第１マイコンへの電源供給を制御するようになっていること、
   を特徴とする車両用電子制御装置。
3. 請求項１又は請求項２に記載の車両用電子制御装置において、
   前記第１マイコンは、自己が動作中であることを示す起動信号を前記監視手段へ出力するようになっており、
   前記監視手段は、前記起動信号を受けている場合に、前記第１マイコンの動作監視を実施すること、
   を特徴とする車両用電子制御装置。
4. 請求項１ないし請求項３の何れか１項に記載の車両用電子制御装置において、
   前記第２マイコン及び前記監視手段の少なくとも一方は、前記第１マイコンが前記リセット信号を与えても正常復帰しない正常復帰不能状態になったと判断した場合には、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させること、
   を特徴とする車両用電子制御装置。
5. 請求項１ないし請求項４の何れか１項に記載の車両用電子制御装置において、
   前記第１マイコンは、前記第２マイコンが正常に動作しているか否かを監視するようになっていること、
   を特徴とする車両用電子制御装置。
6. 請求項５に記載の車両用電子制御装置において、
   前記第２マイコンは、前記第１マイコンによって監視されるために、前記第１マイコンへ、一定時間以内毎に監視対象信号を出力するようになっており、
   前記第１マイコンは、前記第２マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第２マイコンへリセット信号を出力すること、
   を特徴とする車両用電子制御装置。
7. 請求項１ないし請求項６の何れか１項に記載の車両用電子制御装置において、
   前記第２マイコン及び前記監視手段の各々が正常に動作しているか否かを監視し、前記第２マイコン及び前記監視手段の両方が異常状態になったと判断すると、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させる監視機能監視手段を備えていること、
   を特徴とする車両用電子制御装置。
8. 少なくとも２つのマイコンを備えると共に、その２つのマイコンのうちの一方である第１マイコンが、車両の走行機能に関する制御を行うようになっている車両用電子制御装置であって、
   前記２つのマイコンとは別に、前記第１マイコンが正常に動作しているか否かを監視する監視手段を備えており、
   更に、前記２つのマイコンのうちの他方である第２マイコンが、前記第１マイコンが正常に動作しているか否かを監視するようになっており、
   前記第１マイコンは、前記第２マイコン及び前記監視手段によって監視されるために、前記第２マイコン及び前記監視手段へ、一定時間以内毎に監視対象信号を出力するようになっており、
   前記第２マイコン及び前記監視手段の各々は、前記第１マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第１マイコンへリセット信号を出力し、
   前記第２マイコン及び前記監視手段の少なくとも一方は、前記第１マイコンが前記リセット信号を与えても正常復帰しない正常復帰不能状態になったと判断した場合には、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させること、
   を特徴とする車両用電子制御装置。
9. 請求項８に記載の車両用電子制御装置において、
   前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段は、電源制御信号を受けると、前記第１マイコンに前記電源電圧を供給するようになっており、
   前記第２マイコンが、前記第１マイコンを作動させるか否かを判断して、その判断結果に基づき前記給電手段への前記電源制御信号の出力と非出力とを切り替えることにより、前記第１マイコンへの電源供給を制御するようになっていること、
   を特徴とする車両用電子制御装置。
10. 請求項８又は請求項９に記載の車両用電子制御装置において、
    前記第１マイコンは、自己が動作中であることを示す起動信号を前記監視手段へ出力するようになっており、
    前記監視手段は、前記起動信号を受けている場合に、前記第１マイコンの動作監視を実施すること、
    を特徴とする車両用電子制御装置。
11. 請求項８ないし請求項１０の何れか１項に記載の車両用電子制御装置において、
    前記第２マイコンにおける前記監視時間と、前記監視手段における前記監視時間は、それぞれ異なる値に設定されていること、
    を特徴とする車両用電子制御装置。
12. 請求項１１に記載の車両用電子制御装置において、
    前記監視手段における前記監視時間は、前記第２マイコンにおける前記監視時間よりも長い時間に設定されていること、
    を特徴とする車両用電子制御装置。
13. 請求項８ないし請求項１２の何れか１項に記載の車両用電子制御装置において、
    前記第１マイコンは、前記第２マイコンが正常に動作しているか否かを監視するようになっていること、
    を特徴とする車両用電子制御装置。
14. 請求項１３に記載の車両用電子制御装置において、
    前記第２マイコンは、前記第１マイコンによって監視されるために、前記第１マイコンへ、一定時間以内毎に監視対象信号を出力するようになっており、
    前記第１マイコンは、前記第２マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第２マイコンへリセット信号を出力すること、
    を特徴とする車両用電子制御装置。
15. 請求項８ないし請求項１４の何れか１項に記載の車両用電子制御装置において、
    前記第２マイコン及び前記監視手段の各々が正常に動作しているか否かを監視し、前記第２マイコン及び前記監視手段の両方が異常状態になったと判断すると、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させる監視機能監視手段を備えていること、
    を特徴とする車両用電子制御装置。
16. 少なくとも２つのマイコンを備えると共に、その２つのマイコンのうちの一方である第１マイコンが、車両の走行機能に関する制御を行うようになっている車両用電子制御装置であって、
    前記２つのマイコンとは別に、前記第１マイコンが正常に動作しているか否かを監視する監視手段を備えており、
    前記２つのマイコンのうちの他方である第２マイコンが、前記第１マイコンが正常に動作しているか否かを監視するようになっており、
    更に、前記第２マイコン及び前記監視手段の各々が正常に動作しているか否かを監視し、前記第２マイコン及び前記監視手段の両方が異常状態になったと判断すると、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させる監視機能監視手段を備えていること、
    を特徴とする車両用電子制御装置。
17. 請求項１６に記載の車両用電子制御装置において、
    前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段は、電源制御信号を受けると、前記第１マイコンに前記電源電圧を供給するようになっており、
    前記第２マイコンが、前記第１マイコンを作動させるか否かを判断して、その判断結果に基づき前記給電手段への前記電源制御信号の出力と非出力とを切り替えることにより、前記第１マイコンへの電源供給を制御するようになっていること、
    を特徴とする車両用電子制御装置。
18. 請求項１６又は請求項１７に記載の車両用電子制御装置において、
    前記第１マイコンは、自己が動作中であることを示す起動信号を前記監視手段へ出力するようになっており、
    前記監視手段は、前記起動信号を受けている場合に、前記第１マイコンの動作監視を実施すること、
    を特徴とする車両用電子制御装置。
19. 請求項１６ないし請求項１８の何れか１項に記載の車両用電子制御装置において、
    前記第１マイコンは、前記第２マイコン及び前記監視手段によって監視されるために、前記第２マイコン及び前記監視手段へ、一定時間以内毎に監視対象信号を出力するようになっており、
    前記第２マイコン及び前記監視手段の各々は、前記第１マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第１マイコンへリセット信号を出力すること、
    を特徴とする車両用電子制御装置。
20. 請求項１９に記載の車両用電子制御装置において、
    前記第２マイコンにおける前記監視時間と、前記監視手段における前記監視時間は、それぞれ異なる値に設定されていること、
    を特徴とする車両用電子制御装置。
21. 請求項２０に記載の車両用電子制御装置において、
    前記監視手段における前記監視時間は、前記第２マイコンにおける前記監視時間よりも長い時間に設定されていること、
    を特徴とする車両用電子制御装置。
22. 請求項１９ないし請求項２１の何れか１項に記載の車両用電子制御装置において、
    前記第２マイコン及び前記監視手段の少なくとも一方は、前記第１マイコンが前記リセット信号を与えても正常復帰しない正常復帰不能状態になったと判断した場合には、前記第１マイコンに対して該第１マイコンを作動させるための電源電圧を供給する給電手段に、その電源電圧の供給を停止させること、
    を特徴とする車両用電子制御装置。
23. 請求項１６ないし請求項２２の何れか１項に記載の車両用電子制御装置において、
    前記第１マイコンは、前記第２マイコンが正常に動作しているか否かを監視するようになっていること、
    を特徴とする車両用電子制御装置。
24. 請求項２３に記載の車両用電子制御装置において、
    前記第２マイコンは、前記第１マイコンによって監視されるために、前記第１マイコンへ、一定時間以内毎に監視対象信号を出力するようになっており、
    前記第１マイコンは、前記第２マイコンからの監視対象信号が所定の監視時間以上入力されないと、前記第２マイコンへリセット信号を出力すること、
    を特徴とする車両用電子制御装置。