JP4776610B2 - 監視制御回路を有する車載電子制御装置 - Google Patents

Description

この発明は、マイクロプロセッサを内蔵した車載電子制御装置、特に制御の安全性を向上するために当該マイクロプロセッサに対してシリアル接続された監視制御回路を有するエンジン制御装置などの車載電子制御装置の改良に関するものである。

マイクロプロセッサを搭載した車載電子制御装置に於いて、当該マイクロプロセッサが正常に動作しているかどうかを常時監視するために監視制御回路部を設けて、当該監視制御回路部が主制御回路部となるマイクロプロセッサに対して質問情報を送信し、マイクロプロセッサがこの質問情報に対する回答情報を返信し、監視制御回路部は予め提供されている正解情報と比較して正常な回答が得られたかどうかを確認する、所謂Ｑ＆Ａ方式の異常判定手段を用いることは公知である。

例えば、複数のデータ処理装置が正常に動作しているか否かを相互に監視するための方法であって、複数の質問用コードを予め用意しておき、第１のデータ処理装置から第２のデータ処理装置に前記複数の質問用コードのうちのいずれか１つを送り、前記第２のデータ処理装置に於いて受け取った受信質問用コードに対応して予め定められている所定の演算を実行し、得られた実演算結果を前記第１のデータ処理装置に送り返し、前記第１のデータ処理装置に於いて所定の回答期間内に該実演算結果を受け取ることができたか否かの結果及び該実演算結果の内容と前記受信質問用コードに対応して予め用意されている正解演算結果との比較結果に従って前記第１及び第２のデータ処理装置の動作の監視を行うことを特徴とする複数データ処理装置間相互監視方法は、従来既に提案されている（例えば、特許文献１参照）。

特許文献１に示された従来の方法に於いて、前記質問用コードは質問番号であり、第２のデータ処理装置で実行されるべき演算は、質問番号をｎとすると、[ｎ＋2⁵＋２⁷＋２⁹＋（ｎ＊２¹⁰）＋２¹⁴＋２¹⁵]と定められている。このように演算データとしてｎが含まれており、質問番号に対応した正解情報は予め第１のデータ処理装置に於いて既知情報として格納されている。前記実演算結果が前記所定の回答期間内に得られたか否か及び前記実演算結果が正解であったか否かに応じてエラーカウンタの値を増減させ、該エラーカウンタの値が所定の値を越えたときに所定の命令を出力するように構成されている。

又、別の従来の装置として、マイクロプロセッサを内蔵する電子制御装置に於いて、制御プログラムの一部を定期的に代替実行して運転中に動作点検を行うものであって、不揮発プログラムメモリの内容と入力センサ群の動作状態に応動して電気負荷群を制御するマイクロプロセッサに対して、監視制御回路部は照会パケットによって多数の質問事項を順次送信し、マイクロプロセッサからの応答内容と正解情報とを比較して異常判定を行い、マイクロプロセッサは照会パケットの受信間隔を診断して監視制御回路部の監視動作を逆監視するものが開示されている。（例えば、特許文献２参照）

特許文献２に示された従来の装置に於いて述べられたＱ＆Ａによる異常判定手段の概要は図１６に示すとおりである。図16に於いて、電子制御装置１はマイクロプロセッサ２aを包含した主制御回路部２と、この主制御回路部２に対してシリアル接続された監視制御回路部３によって構成されている。主制御回路部２は入力信号Ａ、Ｂ、Ｃを含むその他の多数の入力信号の動作状態に応動して、出力信号Ｙを含むその他の多数の出力信号を発生して電気負荷を駆動制御するように構成されていて、その制御仕様はマイクロプロセッサ２aと協働するプログラムメモリ２bの内容によって決定されるように構成されている。

監視対象プログラム２cは、一例として入力信号Ａ、Ｂ、Ｃとプログラムメモリ２bに予め格納されている制御定数Ｋを基にして、[出力信号Ｙ＝Ｋ×（Ａ−Ｂ）＋Ｃ]を算出するように構成されている。プログラムメモリ２bには模擬演算用データ２fが格納されていて、当該模擬演算用データ２fのデータテーブル１、２、・・ｎを代表するテーブルｎは制御定数Ｋと入力信号Ａ、Ｂ、Ｃに対応した模擬定数Ａn、Ｂn、Ｃnによって構成されているが、どのテーブル番号のものを模擬演算用として使用するのかは監視制御回路部３からの質問情報によってランダムに更新指定されるように構成されている。

入力情報選択切換え手段２dは監視対象プログラム２cに対して入力信号Ａ、Ｂ、Ｃに代わってデータテーブルｎを定期的に指定し、その演算結果である[Ｙn＝Ｋ×（Ａn−Ｂn）＋Ｃn]は、出力先の選択切換え手段２eを介して回答情報として監視制御回路部３へ定期的に送信されるように構成されている。監視制御回路部３には質問情報（模擬演算用のデータテーブル番号）に対応した正解情報が正解情報格納メモリ３bに予め格納されており、異常判定手段３aは主制御回路部２から得られた回答情報と当該正解情報とを比較して異常の有無を判定するように構成されている。尚、データテーブルを用いた模擬演算を行なうときの制御プログラムは、監視対象プログラム２cがそのまま使用されるか、又は当該監視対象プログラム２cをプログラムメモリ２bの異なるアドレス領域に書込んだコピープログラム２gを用いることもある。

又、更に別の従来の装置として、加減算集計手段を用いた通信異常の検出に関する技術が開示されている。この従来の電子制御装置によれば、シリアル通信回路を介して相互交信する第一、第二の制御回路部は、それぞれ第一、第二の加減算手段を備え、各制御回路部で受信エラーが発生すると受信側の加減算手段は変分値３が加算され、正常受信すると変分値１が減算されるように構成されている。加減算手段の初期値は９に設定され、現在値が１１を超過すると第一、第二の異常検出信号が発生して警報表示や初期化と相手制御回路部の初期化、再起動を行う。従って、正常通信継続状態で受信エラーが継続発生すると再送処理は３回まで行えるが、過去の状況が悪くて十分な減算処理が行われていない時は、１回の受信エラーであっても異常検出信号が発生するので、散発的な通信エラーの発生に対しては過敏な異常判定を回避すると共に、致命的、継続的な通信障害を速やかに検出する（例えば、特許文献３参照）。

特許文献３に示された第二の制御回路部は、第二の加減算手段で扱われる第一の変分値、第二の変分値、正常側限界値、異常側限界値、初期値等の各種制御定数の一部又は全部、あるいは上記第二の通信エラー判定手段に於いて使用される受信間隔時間の許容値等の各種制御定数の一部又は全部が格納される第二の設定データメモリを備え、上記各種制御定数の一部又は全部は、上記第一の制御回路部に設けられたプログラムメモリから定期送信手段によって送信書込みされるように構成されている。

特開２００１−３５０７３５号公報 特開２００５−０３１８６５号公報 特開２００５−０３１９９３号公報

特許文献１に示された従来の相互監視方法は、Ｑ＆Ａによる回答情報の異常と通信異常とが分離されておらず、通信異常であってもＱ＆Ａの回答異常として処理されるだけであるので、異常検出時の処理が適切に行なえない問題点がある。又、模擬演算される演算算式は入出力制御に関連したものではないので、入出力制御のタイミングと通信のタイミングに関する配慮が示されていない。

又、特許文献２に示された電子制御装置では、Ｑ＆Ａによる回答情報の異常と通信異常とが合成されてエラーカウンタに入力されているので、通信周期が質問周期よりも速い場合には通信異常に重点をおいた異常検出が行われる問題点がある。又、特許文献２に示された電子制御装置に於ける監視制御回路部との通信は、数バイト単位で送受信される調歩同期方式が採用されていて、入出力監視情報とＱ＆Ａ情報とは適時に分割して送受信されるように構成されている。従って、入出力監視情報の送受信の周期とＱ＆Ａ情報の送受信の周期は自由に変更することができるが、送受信データとしてはデータの格納先を指定するためのアドレス情報と送受信データの内容を識別するためのコマンド情報が必要となって、送受信データ量が増大し、高速通信には適さないという問題点がある。又、Ｑ＆Ａ通信に関する異常は検出されているが、入出力監視情報の通信については論及されていない。

更に、特許文献３に示された電子制御装置では、Ｑ＆Ａによる異常判定については論及されておらず、異常判定特性を決定する各種の定数が第一の制御回路部に格納されているので、運転開始時にこれ等の定数を第二の制御回路部へ送信する必要があり、初回動作に遅れが発生する問題がある。

この発明の目的は、質疑回答異常と通信異常を分離して検出することができて、しかも過敏な異常判定を回避するための異常判定特性を決定する各種の定数について、その多くを固定制御定数として監視制御回路部側に格納しておくことができるようにすると共に、適用車種に応じて手軽に異常判定特性を変更することができる車載電子制御装置を提供することである。

この発明による監視制御回路を有する車載電子制御装置は、
不揮発プログラムメモリと、演算処理用ＲＡＭメモリと、第一の入力センサ群が接続された第一の入力インタフェース回路と、第一の電気負荷群が接続された第一の出力インタフェース回路と、前記不揮発プログラムメモリに格納された制御プログラムの内容と前記第一の入力センサ群の動作状態に応動して、前記第一の電気負荷群を制御するマイクロプロセッサとを備えた主制御回路部と、
前記マイクロプロセッサに対してシリアル通信回路によって接続され、複数の質問情報を定期的に前記主制御回路部へ順次選択送信する質問情報生成手段と、前記質問情報に対する正解情報を格納する正解情報格納メモリと、前記質問情報に基づく前記主制御回路部からの回答情報と前記正解情報格納メモリに格納されている前記正解情報とを比較して前記主制御回路部の異常の有無を判定する異常判定手段と、前記回答情報を包含する前記主制御回路部からの下り通信により送信された下り通信情報に対する符号誤り検出手段とを有する監視制御回路部と、
を備えた車載電子制御装置であって、
前記監視制御回路部は、更に、
前記異常判定手段に応動する第一の加減算集計手段と、
前記異常判定手段に応動する第一の異常発生確定手段と、
前記異常判定手段に応動する第一の判定数値選択手段と、
前記第一の加減算集計手段と前記第一の異常発生確定手段とに適用される第一の設定定数集団と、
前記符号誤り検出手段に応動する第二の加減算集計手段と、
前記符号誤り検出手段に応動する第二の異常発生確定手段と、
前記符号誤り検出手段に応動する第二の判定数値選択手段と、
前記第二の加減算集計手段と前記第二の異常発生確定手段に適用される第二の設定定数集団と、
を備え、
前記第一の設定定数集団は、第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第四の変分値Δ４と、異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を車種に応じて選択可能に構成され、
前記第一の判定数値選択手段は、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第一の設定定数集団から選択適用し、
前記第一の加減算集計手段は、前記下り通信により送信された下り通信情報に通信異常が検出されていない状態に於いて、前記異常判定手段が前記回答情報と前記正解情報とが不一致であるとの異常判定をしたときには前記第四の変分値Δ４を加算又は減算すると共に、前記回答情報と前記正解情報とが一致するとの正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第一の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第一の異常発生確定手段は、前記第一の変分値Δ１及び前記第四の変分値Δ４の累積によって前記第一の加減算集計手段の現在値が異常側限界値に達したときに、第一の異常検出信号を発生し、
前記異常判定閾値Ｎjは、前記第一の加減算集計手段に於ける前記異常側限界値と前記
正常側限界値との差分値に相当し、
前記第一の異常発生確定手段による実際の連続異常検出時間は、質問更新周期Ｔqで順
次発生する前記質問情報に対する前記回答情報が全て前記正解情報とは異なる内容であったときに、前記第一の現在値メモリの値が前記第一の加減算集計手段に於ける前記正常側限界値にあった状態から前記第一の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎjを前記第四の変分値Δ４で除し
た値と、前記質問更新周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
された連続異常検出時間Ｔe以下の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎjが算出され、
前記第二の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第二の変分値Δ２と、異常判定閾値Ｎkと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
前記第二の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第二の設定定数集団から選択適用し、
前記第二の加減算集計手段は、前記符号誤り検出手段が前記下り通信に異常ありとの判定を行なったときには前記第二の変分値Δ２を加算又は減算すると共に、前記下り通信に異常なしとの判定を行なったときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第二の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第二の異常発生確定手段は、前記第一の変分値Δ１及び前記第二の変分値Δ２の累積によって前記第二の加減算集計手段の現在値が異常側限界値に達したときに、第二の異常検出信号を発生し、
前記異常判定閾値Ｎkは、前記第二の加減算集計手段に於ける前記異常側限界値と前記
第二の加減算集計手段に於ける前記正常側限界値との差分に相当し、
前記第二の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
生する前記下り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第二の現在値メモリの値が前記第二の加減算集計手段に於ける前記正常側限界値にあった状態から前記第二の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ
１、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcと
の積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下
の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
前記主制御回路部は、更に、
前記質問情報に対応した回答情報を生成する回答情報生成手段を備えるとともに、
前記監視制御回路部に関する異常判定手段となる逆監視情報監視手段と、前記質問情報と前記監視制御回路部に対する逆監視情報とを包含した前記監視制御回路部からの上り通信情報に対する符号誤り検出手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の判定数値選択手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の判定数値選択手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の加減算集計手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の加減算集計手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の異常発生確定手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の異常発生確定手段と、のうちの少なくとも一方と、
前記第三の加減算集計手段と第三の異常発生確定手段とに適用される第三の設定定数集団と、前記第四の加減算集計手段と前記第四の異常発生確定手段とに適用される第四の設定定数集団と、のうちの少なくとも一方と、
を備え、
前記第三の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第三の変分値Δ３と、異常判定閾値Ｎiと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
前記第三の判定数値選択手段は、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第三の設定定数集団から選択適用し、
前記第三の加減算集計手段は、前記監視制御回路部から前記主制御回路部に送信された上り通信情報に通信異常が検出されていない状態に於いて、前記逆監視情報監視手段が前記監視制御回路部の異常判定を行なったときには、前記第三の変分値Δ３を加算又は減算すると共に、正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第三の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第三の異常発生確定手段は、前記第一及び第三の変分値の累積によって前記第三の加減算集計手段の現在値が異常側限界値に達したときに、前記第三の異常検出信号を発生し、
前記異常判定閾値Ｎiは、前記第三の加減算集計手段に於ける前記異常側限界値と前記
第三の加減算集計手段に於ける前記正常側限界値との差分に相当し、
前記第三の異常発生確定手段による実際の連続異常検出時間は、前記誤答送信周期Ｔq
で順次発生する誤答情報に対する前記逆監視情報が全て異常であったときに、前記第三の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎiを前記第三の変分値Δ３で除し
た値と、前記誤答送信周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
された連続異常検出時間Ｔe以下の値となるように前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎiが算出され、
前記第四の設定定数集団は、前記第二の設定定数集団と同様に構成され、
前記第四の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第四の設定定数集団から選択適用し、
前記第四の加減算集計手段は、前記符号誤り検出手段が上り通信異常ありの判定を行なったときには第二の変分値Δ２を加算又は減算すると共に、上り通信異常なしの判定を行なったときには第一の変分値Δ１を減算又は加算して相互に減殺するように第四の現在値メモリに対する加減算補正を行い、異常なしの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第四の異常発生確定手段は、前記第一及び第二の変分値の累積によって前記第四の加減算集計手段の現在値が異常側限界値に達したときに、前記第四の異常検出信号を発生し、
前記第四の加減算集計手段に於ける前記異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎkとなり、
前記第四の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
生する前記上り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第四の現在値メモリの値が前記第四の加減算集計手段に於ける前記正常側限界値にあった状態から前記第四の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ
１、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcと
の積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下
の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
前記第一及び第二の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報を、前記シリアル通信回路を介して前記監視制御回路部の補助ＲＡＭメモリ又は不揮発データメモリに送信した選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定され、
前記第三及び第四の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定される
ことを特徴とするものである。

この発明による監視制御回路を有する車載電子制御装置は、主制御回路部と監視制御回路部間で質問情報と回答情報を定期交信し、監視制御回路部が正解情報と回答情報とを対比して主制御回路部の異常診断を行なうようにした車載電子制御装置に於いて、
前記監視制御回路部は、更に、
前記異常判定手段に応動する第一の加減算集計手段と、
前記異常判定手段に応動する第一の異常発生確定手段と、
前記異常判定手段に応動する第一の判定数値選択手段と、
前記第一の加減算集計手段と前記第一の異常発生確定手段とに適用される第一の設定定数集団と、
前記符号誤り検出手段に応動する第二の加減算集計手段と、
前記符号誤り検出手段に応動する第二の異常発生確定手段と、
前記符号誤り検出手段に応動する第二の判定数値選択手段と、
前記第二の加減算集計手段と前記第二の異常発生確定手段に適用される第二の設定定数集団と、
を備え、
前記第一の設定定数集団は、第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第四の変分値Δ４と、異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を車種に応じて選択可能に構成され、
前記第一の判定数値選択手段は、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第一の設定定数集団から選択適用し、
前記第一の加減算集計手段は、前記下り通信により送信された下り通信情報に通信異常が検出されていない状態に於いて、前記異常判定手段が前記回答情報と前記正解情報とが不一致であるとの異常判定をしたときには前記第四の変分値Δ４を加算又は減算すると共に、前記回答情報と前記正解情報とが一致するとの正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第一の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第一の異常発生確定手段は、前記第一の変分値Δ１及び前記第四の変分値Δ４の累積によって前記第一の加減算集計手段の現在値が異常側限界値に達したときに、第一の異常検出信号を発生し、
前記異常判定閾値Ｎjは、前記第一の加減算集計手段に於ける前記異常側限界値と前記
正常側限界値との差分値に相当し、
前記第一の異常発生確定手段による実際の連続異常検出時間は、質問更新周期Ｔqで順
次発生する前記質問情報に対する前記回答情報が全て前記正解情報とは異なる内容であったときに、前記第一の現在値メモリの値が前記第一の加減算集計手段に於ける前記正常側限界値にあった状態から前記第一の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎjを前記第四の変分値Δ４で除し
た値と、前記質問更新周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
された連続異常検出時間Ｔe以下の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎjが算出され、
前記第二の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第二の変分値Δ２と、異常判定閾値Ｎkと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
前記第二の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第二の設定定数集団から選択適用し、
前記第二の加減算集計手段は、前記符号誤り検出手段が前記下り通信に異常ありとの判定を行なったときには前記第二の変分値Δ２を加算又は減算すると共に、前記下り通信に異常なしとの判定を行なったときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第二の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第二の異常発生確定手段は、前記第一の変分値Δ１及び前記第二の変分値Δ２の累積によって前記第二の加減算集計手段の現在値が異常側限界値に達したときに、第二の異常検出信号を発生し、
前記異常判定閾値Ｎkは、前記第二の加減算集計手段に於ける前記異常側限界値と前記
第二の加減算集計手段に於ける前記正常側限界値との差分に相当し、
前記第二の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
生する前記下り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第二の現在値メモリの値が前記第二の加減算集計手段に於ける前記正常側限界値にあった状態から前記第二の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、 前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ１、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcとの積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
前記主制御回路部は、更に、
前記質問情報に対応した回答情報を生成する回答情報生成手段を備えるとともに、
前記監視制御回路部に関する異常判定手段となる逆監視情報監視手段と、前記質問情報と前記監視制御回路部に対する逆監視情報とを包含した前記監視制御回路部からの上り通信情報に対する符号誤り検出手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の判定数値選択手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の判定数値選択手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の加減算集計手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の加減算集計手段と、のうちの少なくとも一方と、
前記逆監視情報監視手段に応動する第三の異常発生確定手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の異常発生確定手段と、のうちの少なくとも一方と、
前記第三の加減算集計手段と第三の異常発生確定手段とに適用される第三の設定定数集団と、前記第四の加減算集計手段と前記第四の異常発生確定手段とに適用される第四の設定定数集団と、のうちの少なくとも一方と、
を備え、
前記第三の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第三の変分値Δ３と、異常判定閾値Ｎiと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
前記第三の判定数値選択手段は、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第三の設定定数集団から選択適用し、
前記第三の加減算集計手段は、前記監視制御回路部から前記主制御回路部に送信された上り通信情報に通信異常が検出されていない状態に於いて、前記逆監視情報監視手段が前記監視制御回路部の異常判定を行なったときには、前記第三の変分値Δ３を加算又は減算すると共に、正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第三の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第三の異常発生確定手段は、前記第一及び第三の変分値の累積によって前記第三の加減算集計手段の現在値が異常側限界値に達したときに、前記第三の異常検出信号を発生し、
前記異常判定閾値Ｎiは、前記第三の加減算集計手段に於ける前記異常側限界値と前記
第三の加減算集計手段に於ける前記正常側限界値との差分に相当し、
前記第三の異常発生確定手段による実際の連続異常検出時間は、前記誤答送信周期Ｔq
で順次発生する誤答情報に対する前記逆監視情報が全て異常であったときに、前記第三の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎiを前記第三の変分値Δ３で除し
た値と、前記誤答送信周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
された連続異常検出時間Ｔe以下の値となるように前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎiが算出され、
前記第四の設定定数集団は、前記第二の設定定数集団と同様に構成され、
前記第四の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第四の設定定数集団から選択適用し、
前記第四の加減算集計手段は、前記符号誤り検出手段が上り通信異常ありの判定を行なったときには第二の変分値Δ２を加算又は減算すると共に、上り通信異常なしの判定を行なったときには第一の変分値Δ１を減算又は加算して相互に減殺するように第四の現在値メモリに対する加減算補正を行い、異常なしの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
前記第四の異常発生確定手段は、前記第一及び第二の変分値の累積によって前記第四の加減算集計手段の現在値が異常側限界値に達したときに、前記第四の異常検出信号を発生し、
前記第四の加減算集計手段に於ける前記異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎkとなり、
前記第四の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
生する前記上り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第四の現在値メモリの値が前記第四の加減算集計手段に於ける前記正常側限界値にあった状態から前記第四の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ
１、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcと
の積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下
の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
前記第一及び第二の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報を、前記シリアル通信回路を介して前記監視制御回路部の補助ＲＡＭメモリ又は不揮発データメモリに送信した選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定され、
前記第三及び第四の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定される
ように構成されているので、ノイズ誤動作による散発的な異常動作については妄りに異常検出信号を発生しないように安定制御される一方で、ハードウエア故障によって発生する連続的異常動作に対しては速やかに異常検出信号を発生して安全制御が行なわれる効果があると共に、異常検出時間は適用車種対応で定められた制御仕様に基づいて可変設定することができて、車載電子制御装置の標準化による価格低減を図ることができる効果がある。特に、多様な各種の設定定数によって構成される第一の設定定数集団のうち、異常判定閾値又は連続異常検出時間のいずれかに注目して判定数値の選択を行なうことによって、可変設定定数の項目を削減し、多数の設定定数の多くを固定制御定数として簡単に記憶保存することができる効果がある。又、回答情報に対する異常判定は通信異常が検出されないときに行なわれるので、回答異常と通信異常とは分離して処理することができる効果がある。

実施の形態１．
（１）実施の形態１による車載電子制御装置の構成
以下、この発明の実施の形態１に係る車載電子制御装置の構成について詳細に説明する。図１は、この発明の実施の形態１に係る監視制御回路を有する車載電子制御装置の全体構成図である。図１に於いて、車載電子制御装置10Aは、マイクロプロセッサ20を主体として構成された主制御回路部20Aと、論理回路部30aを主体として構成された監視制御回路部30Aを備えており、車載バッテリである外部電源13から電源スイッチ14を介して給電されて動作するように構成されている。

先ず、電子制御装置10Aの外部に接続される第一の入力センサ群11aは、例えばエンジン回転センサやクランク角センサなどのエンジン回転と同期してＯＮ／ＯＦＦ動作する高速開閉信号や、アクセルペダルの踏込み度合を検出するアクセルポジションセンサ、吸気スロットルの弁開度を検出するスロットルポジションセンサ、エンジンに対する吸気量を検出するエアフローセンサ、排気ガスの酸素濃度を検出する排気ガスセンサなどのエンジンの駆動制御を行なうためのアナログセンサによって構成されている。

電子制御装置10Aによって駆動される第一の電気負荷群12aは、例えば燃料噴射用電磁弁、点火コイル（ガソリンエンジンの場合）、吸気弁開度制御用モータなど、エンジン回転と連動して動作したり、エンジンの駆動に直接関連する電気負荷によって構成されている。第二の入力センサ群11bは、例えば変速機用シフトレバーの選択スイッチ、アクセルペダルスイッチ、ブレーキペダルスイッチなどの操作スイッチ、或いはエンジンの冷却水温センサ、油圧センサ、気圧センサなどのアナログセンサによって構成されている。

第二の電気負荷群12bは、負荷給電用の電源リレー、エアコン駆動用の電磁クラッチ、警報・表示機器などのエンジンの駆動とは直接的に関係しない補機類の電気負荷によって構成されている。第二の電気負荷群12bの一部である負荷電源リレー15は、第一の電気負荷群12aの中の吸気弁開度制御用モータに対する電源リレーとなっていて、負荷電源リレー15が消勢されているときには吸気弁開度は所定のデフォルト位置に復帰して、車両の退避運転が行えるように構成されている。

外部ツール19は、製品出荷時又は保守点検時に前記電子制御装置10Aに対して図示しない脱着コネクタを介して接続され、シリアルインタフェース回路29を介してマイクロプロセッサ20と交信することによって後述の不揮発プログラムメモリ25Aに制御プログラムや制御定数を転送書込みするためのものである。

次に、電子制御装置10Aの内部の構成として、主制御回路部20Aは、32ビットのマイクロプロセッサ20を主体として構成され、このマイクロプロセッサ20は、例えばフラッシュメモリである不揮発プログラムメモリ25Aと演算処理用のＲＡＭメモリ24と協働するように構成されている。更に、主制御回路部20Aは、第一の入力センサ群11aの中のアナログセンサに対する多チャンネルＡＤ変換器26を包含している。

第一の入力インタフェース回路21は、第一の入力センサ群11aとマイクロプロセッサ20の入力ポート間に接続され、信号電圧レベルの変換や信号ノイズを抑制するためのローパスフィルタによって構成されている。第一の出力インタフェース回路22は、第一の電気負荷群12aとマイクロプロセッサ20の出力ポート間に接続され、各種電気負荷を駆動するためのパワートランジスタによって構成されている。尚、不揮発プログラムメモリ25Aには通信制御プログラムや入出力制御プログラムに加えて、図４、図６、図９により後述する制御プログラムや制御定数が格納されている。

監視制御回路部30Aは、例えばゲートアレーによって構成された論理回路部30aを主体として構成されており、この論理回路部30aは、演算処理用の補助ＲＡＭメモリ34と、不揮発EPROMメモリ又は図５で後述するパターンメモリ等により構成されたデータメモリ35Aと、第二の入力センサ群11bの中のアナログセンサに対する多チャンネルＡＤ変換器36と協働するように構成されている。

第二の入力インタフェース回路31は、第二の入力センサ群11bと論理回路部30aの入力ポート間に接続され、信号電圧レベルの変換や信号ノイズを抑制するためのローパスフィルタにより構成されている。第二の出力インタフェース回路32は、第二の電気負荷群12bと論理回路部30aの出力ポートとの間に接続され、各種電気負荷を駆動するためのパワートランジスタによって構成されている。尚、論理回路部30aは、入出力信号や質問情報及び回答情報の通信制御に加えて、図７、図８により後述するフローチャートに対応した監視制御をハードウエアにより行なうものである。

電源回路33は、外部電源13から給電されて、ＤＣ５[Ｖ]、ＤＣ３．３[Ｖ]等の安定化電圧を生成し、主制御回路部20Aや監視制御回路部30A及び各入出力インタフェース回路に給電するように構成されている。

一対のシリアル通信回路によって構成されたシリアル通信回路27、37は、全二重ブロック通信回路を構成し、主制御回路部20Aから監視制御回路部30Aに対する下り通信情報DNDと、監視制御回路部30Aから主制御回路部20Aに対する上り通信情報UPDとを同時に送受信することができるように構成されている。主制御回路部20Aが発生する通信許可信号ALTと、監視制御回路部30Aが発生する通信同期信号CLKについては図２により後述する。

上り通信情報UPDは、主制御回路部20AのＲＡＭメモリ24に格納される通信情報データであり、図４の（Ｂ）により一覧表示したとおり、Ｑ＆Ａ用の質問データ（以下、質問情報と称する）、第二の入力センサ群11bから得られた入力データ（以下、入力信号情報と称する）、後述の設定済データ（以下、設定済情報と称する）、後述の第一の現在値メモリの現在値情報である現在値データ（以下、監視集計情報と称する）、第一のフラグ（以下、第一のフラグ情報と称する）、及び符号点検データ（以下、符号点検情報と称する）がある。

下り通信情報DNDは、監視制御回路部30Aの補助ＲＡＭメモリ34に格納される通信情報データであり、図４の（Ｅ）により一覧表示されたとおり、Ｑ＆Ａ用の回答データ（以下、回答情報と称する）、監視制御回路部30Aで必要とされる制御定数などの設定データ（以下、設定情報と称する）、第二の電気負荷群12bに対する出力データ（以下、出力信号情報と称する）、後述の第二のフラグ（以下、第二のフラグ情報と称する）、及び符号点検データ（以下、符号点検情報と称する）がある。

尚、主回路制御部20AのＲＡＭメモリ24に格納された上り通信情報UPDの中の設定済情報は、下り通信情報DNDとして補助ＲＡＭメモリ34に格納された設定情報と出力信号情報と同一の情報であり、この設定済情報によって、監視制御回路部30Aからの設定情報と出力信号情報が正しく送信されているかどうかを、主制御回路部20A側で確認することができるように構成されている。

又、監視制御回路30Aのデータメモリ35Aには、質問情報に対応した正解情報が製品出荷段階で予め格納されていて、論理回路部30aはランダムに質問情報を主制御回路部20Aに送信し、マイクロプロセッサ20から返信された回答情報と、予め格納されている正解情報とを比較することによって、主回路制御部20Aのマイクロプロセッサ20の動作状態を監視する。又、主制御回路部20Aのマイクロプロセッサ20は、意図的な誤答を監視制御回路部30Aへ回答してみて、監視制御回路部30Aが適正な監視制御を行なっているかどうかを逆監視するように構成されている。

前述の動作の結果、監視制御回路部30Aが主制御回路部20Aの異常を検出すると、リセット出力信号RST2によって主制御回路部20Aを初期化して再起動し、主制御回路部20Aが監視制御回路部30Aの異常を検出すると、リセット出力信号RST1によって監視制御回路部30Aを初期化して再起動するように構成されている。

印刷パターン42は、車載電子制御装置10Aを構成する図示しない印刷配線基板面に設けられ、複数の電極端子をジャンパ素子によって電源線又はグランド線に半田接続することによって後述の選択情報を生成し、この選択情報をパターンスイッチ情報としてデータセレクタを介して論理回路部30aに入力するように構成されている。

ウォッチドッグタイマ40は、主制御回路部20Aのマイクロプロセッサ20が発生するパルス列信号であるウォッチドッグ信号WDを監視して、そのパルス幅が所定値以上の値になるとリセット出力信号RST0を発生して、マイクロプロセッサ20と監視制御回路部30Aを初期化して再起動するように構成されている。尚、マイクロプロセッサ20は、例えばアクセルポジションセンサ、スロットルポジションセンサ、吸気弁開度制御用モータの断線及び短絡異常を検出して故障検出出力信号ERを発生するように構成されている。

出力禁止カウンタ41aは、パルス信号により構成されたリセット出力信号RST0の発生回数を計数し、出力禁止カウンタ41bは、パルス信号により構成されたリセット出力信号RST1の発生回数を計数し、出力禁止カウンタ41cは、パルス信号により構成されたリセット出力信号RST2の発生回数を計数し、出力禁止カウンタ41dは、パルス信号により構成された故障検出出力信号ERの発生回数を計数し、各計数信号の動作回数がそれぞれに定められた所定の禁止閾値に達すると禁止出力信号INHを発生するように構成されている。ゲート素子38は、監視制御回路部30Aが発生する負荷電源リレー駆動出力信号DRと負荷電源リレー15との間に接続され、出力禁止カウンタ41a〜41dのいずれかが禁止出力信号INHを発生しているときには、負荷電源リレー15の付勢が行えないように構成されている。電源検出回路39は、電源スイッチ14が投入されたときに、立上り検出パルス信号を発生して出力禁止カウンタ41a〜41dの現在値をゼロに初期化するように構成されている。

次に、図１に示すこの発明の実施の形態１に係る車載電子制御装置に於けるシリアル通信について説明する。図２は、そのシリアル通信を説明するタイムチャートである。図２の（Ａ）に示す通信許可信号ALTは、独立した制御信号線によって主制御回路部20Aから監視制御回路部30Aに対して定期送信され、主制御回路部20Aが全二重ブロック通信の開始を許可するための信号である。この実施の形態１に於ける通信許可信号ALTは、通信許可時点で論理レベルが変化する交番信号となっている。

従って、通信許可信号ALTの論理レベルが変化する都度、新たな通信ブロックの送信開始が許可される。通信許可信号ALTのパルス幅Ｔcは、通信許可周期（通信周期）に相当することになるが、一定論理レベルが維持されているときには所定ビット数の通信が完了すると今回の通信は完了し、所定ビット数の通信が完了する前に論理レベルが反転すると通信データの中断処理が行なわれるように構成されている。

図２の（Ｂ）に示す通信同期信号CLKは、独立した制御信号線によって監視制御回路部30Aから主制御回路部20Aに対して送信され、少なくとも通信情報のビット数に応じた数のパルスを発生するように構成されている。この通信同期信号CLKは、監視制御回路部30Aが通信許可信号ALTを受信してから所定の待機時間τの経過後に発生を開始して、シリアル通信信号が歩進移動するするパルス列信号である。

この通信同期信号CLKは、送受信ビット数に対応した所定量のパルス数を発生してからパルス発生を停止するか、又は所定量のパルスの発生を完了してもなおパルス発生を持続して、次回の通信許可信号ALTの発生に伴ってパルス発生を一旦停止して前記待機時間τを置いて再びパルス発生を開始するものであって、所定量のパルス発生が完了するまでに次回の通信許可信号ALTが早期に発生した場合には残りのパルスの発生を省略し、前記待機時間τを置いて再びパルス発生を開始するように構成されている。

図２の（Ｃ）に示す上り通信情報UPDは、監視制御回路部30Aに対する入力信号情報、或いは主制御回路部20Aから得られた設定定数又は制御出力の記憶情報である報告情報と、今回の質問情報と符号点検情報とを包含していて、データ長としては例えば５００ビットとなっている。

図２の（Ｄ）に示す下り通信情報DNDは、主制御回路部20Aから監視制御回路部30Aに送信されて、監視制御回路部30Aに於いて必要とされる設定定数或いは制御出力である指令情報と、前回の上り通信情報UPDで得られた質問情報に対する回答情報と符号点検情報とを包含していて、データ長としては例えば１００ビットとなっている。

従って、全データの送受信を行なうためには、通信同期信号CLKは少なくとも500個のパルスを発生する必要がある。尚、通信許可信号ALTの通信許可周期Ｔcは例えば５[msec]であるのに対して、５００ビットのデータを送受信するのに必要な時間は例えば０．５[msec]となっている。又、待機時間τは数１００[μsec]の時間であり、この待機時間τの間に多チャンネルＡＤ変換器36に対するＡＤ変換指令が発生し、全チャンネルのＡＤ変換が完了しているように構成されている。

次に、図１に示すこの発明の実施の形態１に係る車載電子制御装置に於ける、質問、回答情報について説明する。図３は、質問、回答情報の変遷を説明する説明図である。図３に於いて、上り通信情報UPDに含まれる質問情報Ｑn-1、Ｑn、Ｑ1、・・・は、通信許可信号ALTが複数回の通信許可を行なう延長周期（質問更新周期）Ｔq（例えば40[msec]）の間に於いて同一質問情報が送信されるように構成されている。

質問情報がＱn-1からＱn、ＱnからＱ1などに変化したときには、２ビット構成の第一のフラグｆが０→１→２→３→0に変化する。下り通信情報DNDに含まれる回答情報Ａn-2、Ａn-1、Ａn、・・・・は、質問情報が変化してから例えば通信許可周期Ｔcの２回目で同一番号の回答が得られるように図示されているが、実際には数回分の遅れを置いてから質問情報Ｑnに適合した回答情報Ａnが送信されるように構成されている。回答情報がＡn-2からＡn-1、Ａn-1からＡnなどに変化したときには、２ビット構成の第二のフラグＦが０→１→２→３→０に変化するように構成されている。

次に、図１に示すこの発明の実施の形態１に係る車載電子制御装置の各種メモリと論理ブロックの内容について説明する。図４は、各種メモリと論理ブロックの内容を示す一覧表である。

図４の（Ａ）は、不揮発プログラムメモリ25Aに格納されている制御プログラムと制御定数を一覧にした表であり、その詳細は図６、図９に示すフローチャートにより後述する。図４の（Ｂ）は、ＲＡＭメモリ24に格納される上り通信情報の一覧表であると共に、後述の第三、第四の加減算集計手段に於ける第三、第四の現在値メモリを包含している。図４の（Ｃ）は、ハードウエアによって構成されている論理回路部30aの論理ブロックを表にしたものであり、その詳細機能は図７、図８に示す動作説明用の等価フローチャートにより後述する。

図４の（Ｄ）は、監視制御回路部30Aに設けられたデータメモリ35Aの内容を示した表である。図４の（Ｅ）は、補助ＲＡＭメモリ34に格納される下り通信情報の表であると共に、後述の第一、第二の加減算集計手段に於ける第一、第二の現在値メモリを包含している。図４の（Ｆ）は、質問情報Ｑn（ｎ＝0、1、2、・・・F）に対応した正解情報Ｒnを示す表であり、質問情報Ｑnは１６個以下の入力テーブル番号ｎ＝1〜Fが指定され、各入力テーブルは図４の（Ａ）で示した不揮発プログラムメモリ25Aに格納されている。各正解情報Ｒnは例えば16ビット以下の数値データであり、この正解情報は図４の（Ｄ）で示したデータメモリ35Aに格納されている。

図４の（Ｇ）は、図４の（Ｄ）で示したデータメモリ35Aに格納される第一の設定定数集団TBL1の項目を示した表であり、この第一の設定定数集団TBL1の内容は、後述する連続異常検出時間Ｔe又は異常判定閾値Ｎjが複数種類の可変定数として扱われているのに対し、第一、第四、第五の変分値Δ１、Δ４、Δ５と質問更新周期Ｔqの代表値とが固定定数として扱われ、初期設定値Ｎsjは、例えば[Ｎj−Δ４]として算出される可変定数として扱われている。

尚、複数種類の値を選択使用することができる連続異常検出時間Ｔe又は異常判定閾値Ｎjは、どちらか一方を指定すれば、他方は所定算式によって算出されるものであり、例えば連続異常検出時間Ｔeを基準にして第一の設定定数集団TBL1が編成され、印刷パターン42によって生成された選択情報によって連続異常検出時間Ｔeの実際の値が選択されるように構成されている。

図４の（Ｈ）は、図４の（Ｄ）で示したデータメモリ35Aに格納される第二の設定定数集団TBL2の項目を示した表であり、この第二の設定定数集団TBL2の内容は後述する連続異常検出時間Ｔe又は異常判定閾値Ｎkが複数種類の可変定数として扱われているのに対し、第一、第二の変分値Δ１、Δ２と通信周期Ｔcの代表値と、初期設定値Ｎ0が固定定数として扱われている。

尚、複数種類の値を選択使用することができる連続異常検出時間Ｔe又は異常判定閾値Ｎkはどちらか一方を指定すれば、他方は所定算式によって算出されるものであり、例えば連続異常検出時間Ｔeを基準にして第二の設定定数集団TBL2が編成され、印刷パターン42によって生成された選択情報によって連続異常検出時間Ｔeの実際の値が選択されるように構成されている。又、設定初期値Ｎ0は実態としてはゼロの値となっている。

図４の（Ｊ）は、図４の（Ａ）で示した不揮発プログラムメモリ25Aに格納される第三の設定定数集団TBL3の項目を示した表であり、この第三の設定定数集団TBL3の内容は、後述する連続異常検出時間Ｔe又は異常判定閾値Ｎｉが複数種類の可変定数として扱われているのに対し、第一、第三の変分値Δ１、Δ３と質問更新周期Ｔqの代表値とが固定数値として扱われ、初期設定値Ｎsiは例えば[Ｎi−Δ３]として算出される可変定数として扱われている。

尚、複数種類の値を選択使用することができる連続異常検出時間Ｔe又は異常判定閾値Ｎｉはどちらか一方を指定すれば、他方は所定算式によって算出されるものであり、例えば連続異常検出時間Ｔeを基準にして第三の設定定数集団TBL3が編成され、不揮発プログラムメモリ25Aに格納された判定数値選択情報によって連続異常検出時間Ｔeの実際の値が選択されるように構成されている。

図４の（Ｋ）は、図４の（Ａ）で示した不揮発プログラムメモリ25Aに格納される第四の設定定数集団TBL4の項目を示した表であり、この第四の設定定数集団TBL4の内容は、後述する連続異常検出時間Ｔe又は異常判定閾値Ｎkが複数種類の可変定数として扱われているのに対し、第一、第二の変分値Δ１、Δ２と通信周期Ｔcの代表値と、初期設定値Ｎ0が固定定数として扱われている。

尚、複数種類の値を選択使用することができる連続異常検出時間Ｔe又は異常判定閾値Ｎkはどちらか一方を指定すれば、他方は所定算式によって算出されるものであり、例えば連続異常検出時間Ｔeを基準にして第四の設定定数集団TBL4が編成され、不揮発プログラムメモリ25Aに格納された判定数値選択情報によって連続異常検出時間Ｔeの実際の値が選択されるように構成されている。又、設定初期値Ｎ0は実態としてはゼロの値となっている。

以上の説明では、データメモリ35Aは不揮発性のＥＥＰＲＯＭメモリとして説明したが、実態としては集積回路素子内の配線パターンに基づく固定メモリが使用されている。

次に、図１に示すこの発明の実施の形態１に係る車載電子制御装置のパターンメモリについて説明する。図５は、そのパターンメモリの概念図である。図５に於いて、論理回路部30aは、データセレクタを介して選択線CS0〜CSmのどれか一つの論理レベルを「Ｈ」にする。論理回路部30aの信号入力線b0〜b15の中の一部の信号入力線は、選択線CS0〜CSmのどれかに対してダイオード結合されていて、論理レベルが「Ｈ」となった選択線CS0〜CSmのどれか一つから「Ｈ」レベルの論理信号が入力される。選択線CS0〜CSmは、正解情報Ｒ0〜ＲF、第一、第二、第四、第五の変分値Δ１、Δ２、Δ４、Δ５、設定初期値Ｎsj、Ｎ0、質問更新周期Ｔq、通信周期Ｔc、各種の連続異常検出時間Ｔe1〜Ｔe4に割り付けられている。

従って、論理回路部30aは、選択線CS0〜CSmを順次選択して、各設定定数の値を補助ＲＡＭメモリ34に取り込むことができる。選択線CS0〜CSmと信号入力線ｂ0〜ｂ15の交差位置に選択接続されたダイオードの集団によって、固定メモリとなるデータメモリ35Aが構成される。

尚、連続異常検出時間Ｔe1〜Ｔe4のどれを選択するのかは、印刷パターン42による選択情報によって決定される。又、設定初期値Ｎsjは削除してもよいし、逆に異常判定閾値Ｎjを追加して於いてもよい。

（２）実施の形態１による車載電子制御装置の動作
次に、この発明の実施の形態１に係る車載電子制御装置の動作について詳細に説明する。図１に於いて、電源スイッチ14を介して電子制御装置10Aに対して外部電源13が接続されると、マイクロプロセッサ20は、第一、第二の入力センサ群11a、11bの動作状態と不揮発プログラムメモリ25A内の制御プログラムの内容に応動して第一、第二の電気負荷群12a、12bの駆動制御を行なう。

車両の運転中にウォッチドッグタイマ40が主制御回路部20Aのウォッチドッグ信号の異常を検出すると、ウォッチドッグタイマ40はリセット出力信号RST0を発生して主制御回路部20Aと監視制御回路部30Aとを初期化し、再起動させる。又、車両の運転中に監視制御回路部30Aが主制御回路部20Aの異常を検出すると、監視制御回路部30Aはリセット出力信号RST2を発生して主制御回路部20Aを初期化し、再起動させる。

車両の運転中に主制御回路部20Aが監視制御回路部30Aの異常を検出すると、主制御回路部20Aはリセット出力信号RST1を発生して監視制御回路部30Aを初期化し、再起動させる。リセット出力信号RST0、RST1、RST2の発生回数や主制御回路部20Aが発生する故障検出出力信号ERの発生回数は、出力禁止カウンタ41a〜41dで計数され、計数値が所定閾値以上になると出力禁止信号INHを発生して負荷電源リレー15が消勢され、固定スロットル弁開度による退避運転が行われるように構成されている。

次に、図１に示す主制御回路部20Aの送信動作を説明する。図６は、主制御回路部20Aの送信動作を説明するフローチャートである。図６に於いて、ステップ600は、マイクロプロセッサ20が監視制御回路部30Aに対する送信動作を開始するステップである。続くステップ601aでは、後述のステップ919a、919b（図９参照）に於いて第三、第四の異常検出信号ER3、ER4が発生したかどうかを判定し、検出信号が発生しておればYESとなってステップ601bへ移行し、第三、第四の異常検出信号ER3、ER4が発生していなければNOとなってステップ602aへ移行する。

ステップ601bでは、リセット出力信号RST1を発生して監視制御回路部30Aを初期化して再起動し、続くステップ601cでは、後述の第三、第四の加減算集計手段917d、914d（図９参照）による逆監視異常集計結果をリセットすることによって、第三、第四の異常検出信号ER3、ER4とリセット出力信号RST1を停止してからステップ602aへ移行する。

第三、第四の判定数値選択手段となるステップ602aでは、不揮発プログラムメモリ25Aに格納されている第三、第四の判定数値選択情報を読み出し、続くステップ602bでは、ステップ602aで読み出された第三、第四の判定数値選択情報に基づいて第三、第四の設定定数集団TBL3、TBL4の値を決定する。続くステップ603aでは、意図的な誤答送信のタイミングであるかどうかを判定し、誤答送信を行なうときにはYESとなってステップ603bへ移行し、誤答送信を行なわないときにはNOとなってステップ603cへ移行する。

尚、ステップ603aは、複数回の更新質問情報当たりで１回のYESの判定を行なうが、後述のステップ717e（図７参照）による監視異常集計結果が第一の異常検出信号ER1を発生する直前状態にあるときには、NOとなって、誤答送信によりリセットパルスRST2の発生が生じないように構成されている。又、後述のステップ917a（図９参照）が誤答処理異常を検出したときには、引き続いてYESとなって意図的な誤答送信を行なうように構成されている。

誤答情報生成手段となるステップ603bでは、今回の回答情報として意図的な誤答を選択決定し、回答情報生成手段となるステップ603cでは、既に受信している質問情報に対する回答情報の生成を継続する。ステップ604では、ステップ603b、603cに続いて実行され、ステップ603cによる回答生成が完了しているかどうか、或いはステップ603bによる誤答選択が決定されているかどうかを判定して、回答生成、誤答選択が完了しておればYESとなってステップ605aへ移行し、回答生成、誤答選択が未完了であればNOとなってステップ605bへ移行する。

更新回答生成手段となるステップ605aでは、今回の回答情報を決定すると共に、第二のフラグ情報Ｆの内容を更新する。ステップ605bでは、今回の回答情報として前回の回答情報をそのまま援用し、第二のフラグ情報Ｆは更新しないように決定する。

ステップ610aは、ステップ605a又はステップ605bに続いて実行され、通信許可信号である交番信号ALTの論理反転を行なう時期であるかどうかを判定し、反転時期であればYESとなってステップ610bへ移行し、反転時期でなければNOとなってステップ610aへ復帰する待機ステップとなっている。尚、ステップ610aは、例えば約５[msec]の周期で反転動作を行うが、マイクロプロセッサ20が入出力制御のための割込み制御動作を行うことによって、その周期は例えば３〜５[msec]の間で変動するように構成されている。

ステップ610bでは、通信許可信号ALTの論理レベルを反転させてからステップ611aへ移行する。ステップ611aでは、監視制御回路部30Aが発生する通信同期信号CLKを受信したかどうかを判定し、未受信であればNOとなってステップ611bへ移行し、受信すればYESとなってステップ612へ移行する。ステップ611bでは、監視制御回路部30Aへ送信する設定データや出力信号データを編集し、図２の待機時間τ以内にステップ611aへ復帰するように構成されている。

ステップ612では、例えば８ビット単位で下り通信情報DNDの送信データをＲＡＭメモリ24からシリアル通信回路であるシリアル通信回路27へ順次転送する。続くステップ613では、図示しないクロックカウンタによって通信同期信号CLKの発生回数を計数して所定ビット数の送信が完了したかどうかを判定し、送信が未完了であればNOとなってステップ612へ復帰し、送信が完了していればYESとなって動作終了ステップ620へ移行する。

尚、ステップ612では、送信された全データに関して、ＣＲＣチェック又はサムチェックで代表される符合点検手段を用いて受信側に於いてビット情報の混入（論理「０」が誤って論理「１」に変化）又は欠落（論理「１」が誤って論理「０」に変化）の発生を検出するための符合点検情報が、最終情報として送信データに付加される。動作終了ステップ620では、他の制御動作を実行し、所定時間内には再度動作開始ステップ600へ循環移行するように構成されている。

次に、図１に示す監視制御回路部30Aの受信動作について説明する。図７は、監視制御回路部30Aの受信動作について説明するフロ−チャ−トである。図７に於いて、ステップ700は、監視制御回路部30Aの論理回路部30aの受信論理動作をフローチャートで代替表現した場合の動作開始ステップである。続くステップ701aでは、後述のステップ719a、719bに於いて第一、第二の異常検出信号ER1、ER2が発生したかどうかを判定し、検出信号が発生しておればYESとなってステップ701bへ移行し、第一、第二の異常検出信号ER1、ER2が発生していなければNOとなってステップ710へ移行する。

ステップ701bでは、リセット出力信号RST2を発生してマイクロプロセッサ20を初期化して再起動し、続くステップ701cでは、後述の第一、第二の加減算集計手段717e、714dによる監視異常集計結果をリセットすることによって第一、第二の異常検出信号ER1、ER2とリセット出力信号RST2を停止してからステップ710へ移行するように構成されている。

ステップ710は、主制御回路部20Aから送信された交番信号である通信許可信号ALTが論理反転したかどうかを判定し、論理反転すればYESとなってステップ711へ移行し、論理反転していなければNOとなってステップ710へ復帰する待機ステップである。ステップ711は、後述のステップ811c（図８参照）による通信同期信号CLKが発生開始したかどうかを判定し、発生開始すればYESとなってステップ712へ移行し、発生開始していなければNOとなってステップ711へ復帰する待機ステップとなっている。

ステップ712では、例えば８ビット単位で下り通信情報DNDの受信データをシリアル通信回路37からＲＡＭメモリ34へ順次転送して仮格納する。続くステップ713では、図示しないクロックカウンタによって通信同期信号CLKの発生回数を計数して所定ビット数の受信が完了したかどうかを判定し、受信未完了であればＮＯとなってステップ712へ復帰移行し、受信完了であればYESとなってステップ714aへ移行する。

下り通信情報DNDの符号誤り検出手段となるステップ714aでは、前述のステップ612によって付加された符号点検情報を用いて、受信した下り通信情報DNDの中にビット情報の混入、欠落の異常が発生していないかどうかをサムチェック又はＣＲＣチェックによって点検し、異常であればYESとなってステップ714cへ移行し、異常が発見できなければNOとなってステップ714bへ移行する。

ステップ714bでは、第二の現在値メモリから第一の変分値Δ１（例えば１）を減算し、第二の現在値メモリの値が正常側限界値であるゼロにまで下降しておればそれ以降の減算処理を停止する。ステップ714cでは、第二の現在値メモリに対して第二の変分値Δ２（例えば２）を加算し、第二の現在値メモリの値が異常側限界値である17まで上昇していればそれ以降の加減算処理を停止する。ステップ714bとステップ714cで構成されたステップブロック714dは、第二の加減算集計手段となるものであり、第二の加減算集計手段714dの第二の現在値メモリは、下り通信情報の異常監視集計値を示すものとなっている。

ステップ714bに続くステップ715aでは、ステップ712で仮格納された受信データを有効データとして格納し、設定情報、出力信号情報として転送してからステップ716へ移行する。ステップ714cに続くステップ715bでは、ステップ712で仮格納された受信データを無効データとして消去し、前回に受信した設定情報、出力信号情報を保持したままでステップ718bへ移行する。応答遅延判定手段となるステップ716では、後述のステップ805a（図８参照）に於いて質問情報が更新生成されてから、所定時間以内に当該質問情報に対応した回答情報がステップ715aで受信格納されたかどうか、つまり回答情報が遅延して受信格納されたかどうかを判定し、回答情報が遅延して受信格納されていればYESとなってステップ717dへ移行し、回答情報が遅延して受信格納されていなければNOとなってステップ717aへ移行する。

回答情報の異常判定手段となるステップ717aでは、ステップ715aに格納された回答情報Ａnが、予めデータメモリ35Aに格納されている正解情報Ｒnと合致しているかどうかを判定し、不一致であればYESとなってステップ717cへ移行し、一致しておればNOとなってステップ717bへ移行する。ステップ717bでは、第一の現在値メモリから第一の変分値Δ１（例えば１）を減算し、第一の現在値メモリの値が正常側限界値であるゼロにまで下降していればそれ以降の減算処理を停止する。

ステップ717cでは、第一の現在値メモリに対して第四の変分値Δ４（例えば４）を加算し、第一の現在値メモリの値が異常側限界値である16まで上昇していればそれ以降の加減算処理を停止する。ステップ717dでは、第一の現在値メモリに対して第五の変分値Δ５（例えば５）を加算し、第一の現在値メモリの値が異常側限界値である16まで上昇していればそれ以降の加減算処理を停止する。

ステップ717b、717c、717dにより構成されたステップブロック717eは、第一の加減算集計手段となるものであり、第一の加減算集計手段717eの第一の現在値メモリは、回答情報の異常監視集計値を示すものとなっている。ステップ717c又はステップ717dに続くステップ718aは、第一の現在値メモリの値が判定閾値Ｎj（＝１６）に達したかどうかを判定し、判定閾値Ｎj以上であればYESとなってステップ719aへ移行し、判定閾値Ｎj未満であればNOとなって動作終了ステップ720へ移行する。ステップ718aは、第一の異常発生確定手段となるものである。

ステップ715bに続くステップ718bでは、第二の現在値メモリの値が[判定閾値Ｎk＝１７]に達したかどうかを判定し、判定閾値Ｎk以上であればYESとなってステップ719bへ移行し、判定閾値Ｎk未満であればNOとなって動作終了ステップ720へ移行する。ステップ718bは、第二の異常発生確定手段となるものである。第一の初期化手段となるステップ719aでは、第一の異常検出信号ER1が発生し、第二の初期化手段となるステップ719bでは、第二の異常検出信号ER2が発生し、ステップ717b、719a、719bに続いて動作終了ステップ720へ移行する。動作終了ステップ720では、他の制御動作を実行し、所定時間内には再度動作開始ステップ700へ循環移行するように構成されている。

尚、ステップ719aによって第一の異常検出信号ER1が発生したときは、ステップ701b、801bにてリセット出力信号RST2が発生してマイクロプロセッサ20が初期化されて再起動されると共に、出力禁止カウンタ41cが加算動作を行い、ステップ701c、801cに於いて第一の現在値メモリが初期化されて設定初期値Ｎsj（＝１２）が格納され、第一の異常検出信号ER1とリセット出力信号RST2が解除されるように構成されている。

又、ステップ719bによって第二の異常検出信号ER2が発生したときは、ステップ701b、801bでリセット出力信号RST2が発生してマイクロプロセッサ20が初期化されて再起動されると共に、出力禁止カウンタ41cが加算動作を行い、ステップ701c、801cに於いて第一の現在値メモリと第二の現在値メモリとが初期化されて、設定初期値Ｎsj（＝１２）、Ｎ0（＝０）が格納され、第一の異常検出信号ER2とリセット出力信号RST2が解除されるように構成されている。

次に、図１に示す監視制御回路部30Aの送信動作について説明する。図８は、監視制御回路部30Aの送信動作について説明するフロ−チャ−トである。図８に於いて、ステップ800は、監視制御回路部30Aの論理回路部30aの送信論理動作をフローチャートで代替表現した場合の動作開始ステップである。続くステップ801aでは、前述のステップ719a、719bに於いて第一、第二の異常検出信号ER1、ER2が発生したかどうかを判定し、第一、第二の異常検出信号ER1、ER2が発生していればYESとなってステップ801bへ移行し、第一、第二の異常検出信号ER1、ER2が発生していなければNOとなってステップ802aへ移行する。

ステップ801bでは、リセット出力信号RST2を発生してマイクロプロセッサ20を初期化して再起動し、続くステップ801cでは、前述の第一、第二の加減算集計手段717e、714dによる監視異常集計結果をリセットすることによって第一、第二の異常検出信号ER1、ER2とリセット出力信号RST2を停止してからステップ802aへ移行するようになっている。第一、第二の判定数値選択手段となるステップ802aでは、印刷パターン42で生成された第一、第二の判定数値選択情報を読み出す。続くステップ802bでは、ステップ802aで読み出された第一、第二の判定数値選択情報に基づいて第一、第二の設定定数集団TBL1、TBL2の値を決定する。

ステップ803では、前述のステップ712による前回の受信が完了しているかどうかを判定し、受信が完了していなければNOとなってステップ803へ移行し、受信が完了していればYESとなってステップ804へ移行する。質問情報更新手段となるステップ804では、質問情報の内容を更新する時期であるかどうかを判定し、更新時期であればYESとなってステップ805aへ移行し、更新時期でなければNOとなってステップ805bへ移行する。当該ステップ804は、例えば質問更新周期Ｔqとして約４０[msec]毎に１回のYESの判定を行なうように構成されている。

質問情報生成手段となるステップ805aでは、今回の送信情報として前述のステップ715aで確定格納された設定情報や出力信号情報などの記憶情報と、今回の更新された質問情報Ｑnと、前述の第一の加減算集計手段717eによって集計された監視異常集計値（第一の現在値メモリの現在値）と、前回とは異なる値に変更された第一のフラグ情報の内容を定められた送信順序に編集する。

ステップ805bでは、今回の送信情報として前述のステップ715aで確定格納された設定情報や出力信号情報などの記憶情報と、前回の質問情報Ｑn-1と、第一の現在値メモリの現在値と、前回と同じ第一のフラグ情報の内容を定められた送信順序に編集する。

ステップ805a又はステップ805bに続いて実行されるステップ810では、通信許可信号ALT
が論理反転したかどうかを判定し、論理反転していないときにはNOとなってステップ810へ復帰して送信待機し、論理反転した場合にはYESとなってステップ811aへ移行する。ステップ811aでは、通信同期信号CLKの発生時期であるかどうかを判定し、ステップ810で通信許可信号ALTの論理が反転してから所定の待機時間τを経過していなければNOとなってステップ811bへ移行し、待機時間τを経過していればYESとなってステップ811cへ移行する。

ステップ811bでは、多チャンネルＡＤ変換器36に対してＡＤ変換指令を発生し、得られた最新のＡＤ変換情報を主制御回路部20Aへ送信する入力データとして編集開始し、図２の待機時間τ以内にステップ811aへ復帰する。尚、多チャンネルＡＤ変換器36からＡＤ変換完了信号を受信したこと、又は全チャンネルのＡＤ変換所要時間を経過したこと、又はＡＤ変換された入力信号を送信開始するまでにはＡＤ変換が完了している頃合の遅延時間を於いて待機時間τが完了して、ステップ811cへ移行して監視制御回路部30Aが通信同期信号CLKの発生を開始する。

ステップ811cでは、通信同期信号CLKの発生を開始し、続くステップ812では、上り通信情報UPDの送信データを補助ＲＡＭメモリ34からシリアル通信回路37へ順次転送する。続くステップ813では、図示しないクロックカウンタによって通信同期信号CLKの発生回数を計数して所定ビット数の送信が完了したかどうかを判定し、送信未完了であればNOとなってステップ811cへ復帰移行し、送信完了であればYESとなって動作終了ステップ820へ移行する。

尚、ステップ812では、送信された全データに関して、ＣＲＣチェック又はサムチェックで代表される符合点検手段を用いて、受信側に於いてビット情報の混入（論理「０」が誤って論理「１」に変化）又は欠落（論理「１」が誤って論理「０」に変化）の発生を検出するための符合点検情報が最終情報として付加される。動作終了ステップ820では、他の制御動作を実行し、所定時間内には再度動作開始ステップ800へ循環移行するように構成されている。

次に、図１に示す主制御回路部20Aの受信動作について説明する。図９は、主制御回路部20Aの受信動作を説明するためのフロ−チャ−トである。図９に於いて、ステップ900は、マイクロプロセッサ20が監視制御回路部30Aからの受信動作を開始するステップである。続くステップ901aでは、後述のステップ919a、919bに於いて第三、第四の異常検出信号ER3、ER4が発生したかどうかを判定し、第三、第四の異常検出信号ER3、ER4が発生していればYESとなってステップ901bへ移行し、第三、第四の異常検出信号ER3、ER4が発生していなければNOとなってステップ910へ移行する。

ステップ901bでは、リセット出力信号RST1を発生して監視制御回路部30Aを初期化して再起動し、続くステップ901cでは、後述の第三、第四の加減算集計手段917d、914dによる逆監視異常集計結果をリセットすることによって、第三、第四の異常検出信号ER3、ER4とリセット出力信号RST1を停止してからステップ910へ移行する。ステップ910は待機ステップであって、前述のステップ610bによって交番信号ALTが論理反転したかどうかを判定し、論理反転すればYESとなってステップ911へ移行し、論理反転していなければNOとなってステップ910へ復帰する。

ステップ911は、前述のステップ811cによる通信同期信号CLKが発生を開始したかどうかを判定し、発生を開始すればYESとなってステップ912へ移行し、発生が開始していなければNOとなってステップ911へ復帰する待機ステップとなっている。ステップ912では、例えば８ビット単位で上り通信情報UPDの受信データをシリアル通信回路27からＲＡＭメモリ24へ順次転送仮格納する。続くステップ913では、図示しないクロックカウンタによって通信同期信号CLKの発生回数を計数して所定ビット数の受信が完了したかどうかを判定し、受信が未完了であればNOとなってステップ912移行し、受信が完了していればYESとなってステップ914aへ移行する。

符号誤り検出手段となるステップ914aでは、前述のステップ812によって付加された符号点検情報を用いて、受信した上り通信情報UPDの中にビット情報の混入、欠落異常が発生していないかどうかをサムチェック又はＣＲＣチェックによって点検し、異常であればYESとなってステップ914cへ移行し、異常が発見できなければNOとなってステップ914bへ移行する。ステップ914bでは、第四の現在値メモリから第一の変分値Δ１（例えば「１」）を減算し、第四の現在値メモリの値が正常側限界値であるゼロにまで下降していればそれ以降の減算処理を停止する。

ステップ914cでは、第四の現在値メモリに対して第二の変分値Δ２（例えば「２「）を加算し、第四の現在値メモリの値が異常側限界値である17まで上昇していればそれ以降の加減算処理を停止する。ステップ914bとステップ914cで構成されたステップブロック914dは第四の加減算集計手段となるものであり、第四の加減算集計手段914dの第四の現在値メモリは上り通信情報の異常監視集計値を示すものとなっている。

ステップ914bに続くステップ915aでは、ステップ912で仮格納された受信データを有効データとして確定格納してから、ステップ917aへ移行する。ステップ914cに続くステップ915bでは、ステップ912で仮格納された受信データを無効データとして消去し、前回に受信した入力情報を保持したままでステップ918bへ移行する。現在値情報監視手段となるステップ917aでは、ステップ915aに格納された第一の現在値メモリの値がステップ603bに基づく意図的な誤答送信に対応して適切に変化したかどうかを判定し、正常変化であればNOとなってステップ917bへ移行し、異常変化であればYESとなってステップ917cへ移行する。

ステップ917bでは、第三の現在値メモリから第一の変分値Δ１（例えば「１」）を減算し、第三の現在値メモリの値が正常側限界値であるゼロにまで下降していればそれ以降の減算処理を停止する。ステップ917cでは、第三の現在値メモリに対して第三の変分値Δ３（例えば「５」）を加算し、第三の現在値メモリの値が異常側限界値である20まで上昇していればそれ以降の加減算処理を停止する。ステップ917b、917cで構成されたステップブロック917dは、第三の加減算集計手段となるものであり、第三の加減算集計手段917dの第三の現在値メモリは回答情報の逆監視集計値を示すものとなっている。

ステップ917cに続くステップ918aは、第三の現在値メモリの値が判定閾値Ｎｉ＝２０に達したかどうかを判定し、判定閾値Ｎｉ以上であればYESとなってステップ919aへ移行し、判定閾値Ｎｉ未満であればNOとなって動作終了ステップ920へ移行するステップであり第三の異常発生確定手段となるものである。ステップ915bに続くステップ918bでは、第四の現在値メモリの値が判定閾値Ｎk＝17に達したかどうかを判定し、判定閾値Ｎk以上であればYESと判定っしてステップ919bへ移行し、判定閾値Ｎk未満であればNOとなって動作終了ステップ920へ移行する。ステップ918bは第四の異常発生確定手段となるものである。

第三の初期化手段となるステップ919aでは、第三の異常検出信号ER3が発生し、第四の初期化手段となるステップ919bでは、第四の異常検出信号ER4が発生し、ステップ917b、919a、919bに続いて動作終了ステップ920へ移行する。動作終了ステップ920では、他の制御動作を実行し、所定時間内には再度動作開始ステップ900へ循環移行するように構成されている。

尚、ステップ919aによって第三の異常検出信号ER3が発生したときは、ステップ601b、901bによりリセット出力信号RST1が発生して監視制御回路部30Aが初期化され再起動されると共に、出力禁止カウンタ41bが加算動作を行い、ステップ601c、901cに於いて第三の現在値メモリが初期化されて設定初期値Ｎsi（＝１５）が格納され、第三の異常検出信号ER3とリセット出力信号RST1が解除されるように構成されている。

又、ステップ919bによって第四の異常検出信号ER4が発生したときは、ステップ601b、901bによりリセット出力信号RST1が発生して監視制御回路部30Aが初期化され再起動されると共に、出力禁止カウンタ41bが加算動作を行い、ステップ601c、901cに於いて第三の現在値メモリと第四の現在値メモリとが初期化されて、設定初期値Ｎsi（＝１５）、Ｎ0（＝０）が格納され、第四の異常検出信号ER4とリセット出力信号RST1が解除されるように構成されている。

次に、図７に示す第一の加減算集計手段717eの動作について説明する。図１０は、第一の加減算集計手段717eの動作を説明する特性線図である。図１０に於いて、縦軸は第一の加減算集計手段717eに於ける第一の現在値メモリの現在値を示し、横軸は質問更新周期Ｔq（＝４０[msec]）を最小単位とする時間軸である。第一の現在値メモリの正常側限界値は「０」、異常側限界値は「１６」に設定されており、その差分値である異常判定閾値Ｎjは「１６」となっている。

第一の現在値メモリの初期設定値Ｎsjは「１２」に設定されており、回答情報と正解情報とが一致していれば第一の変分値Δ１（＝１）が順次減算され、やがて正常側限界値「０」に達してこれを維持するように構成されている。回答情報と正解情報とが不一致であれば第四の変分値Δ４＝４が順次加算され、この異常状態が連続すると、｛（Ｎj／Δ４）×Ｔq＝（１６／４）×４０＝１６０[msec]｝の後に第一の異常検出信号ER1を発生する。

前記１６０[msec]が連続異常検出時間Ｔeに相当するものであるが、回答情報と正解情報が一致したり、不一致であったり混在していると、異常検出時間は１６０[msec]を越えた時間となる。又、回答情報の遅延異常が発生した場合には第五の変分値Δ５（＝５）が加算されるので、第一の現在値メモリの現在値の上昇率は高くなる。

次に、図７及び図９に示す第二、第四の加減算集計手段714d、914dの動作について説明する。図１１は、第二、第四の加減算集計手段714d、914dの動作を説明するための特性線図である。図１１に於いて、縦軸は、第二の加減算集計手段714dに於ける第二の現在値メモリの現在値、又は第四の加減算集計手段914dに於ける第四の現在値メモリの現在値を示し、横軸は通信周期Ｔc＝５[msec]を最小単位とする時間軸である。

第二、第四の現在値メモリの正常側限界値は「０」、異常側限界値は「１７」に設定されており、その差分値である異常判定閾値Ｎkは「１７」となっている。第二、第四の現在値メモリの初期設定値N0は「０」となっていて、通信異常があれば第二の変分値Δ２（＝２）が加算され、正常通信であれば第一の変分値Δ１（＝１）が減算される。

図１１に示す実線特性は、通信異常と正常通信が交互に反復した場合、つまり通信誤り率５０[％]の場合の現在値の変化特性を示しており、この通信誤り率５０[％]に於ける連続異常検出時間Ｔeは、目標時間である１６０[msec]以下の１５５[msec]になっており、この時間に達した時点で第二、第四の異常検出信号ER2、ER4が発生する。図１１に示す点線特性は、通信異常が連続した場合、つまり通信誤率１００[％]の場合の現在値の変化特性を示しており、この通信誤率１００[％]に於ける連続異常検出時間Ｔeは大幅に短縮されて４５[msec]になっており、この時間に達した時点で第二、第四の異常検出信号ER2、ER4が発生する。

次に、図９に示す第三の加減算集計手段917dの動作について説明する。図１２は、第三の加減算集計手段917dの動作を説明するための特性線図である。図１２に於いて、縦軸は、第三の加減算集計手段917dに於ける第三の現在値メモリの現在値を示し、横軸は、質問更新周期Ｔq（＝４０[msec]）を最小単位とする時間軸である。第三の現在値メモリの正常側限界値は「０」、異常側限界値は「２０」に設定されており、その差分値である異常判定閾値Ｎｉは「２０」となっている。

第三の現在値メモリの初期設定値Ｎsiは「１５」となっており、意図的な誤答送信に対応した逆監視情報である第一の現在値メモリの挙動が正常であれば第一の変分値Δ１（＝１）が順次減算され、やがて正常側限界値「０」に達してその値を維持するようになっている。逆監視情報の挙動が異常であれば第三の変分値Δ３（＝５）が順次加算され、連続異常検出時間Ｔeとなる１６０[msec]後に第三の異常検出信号ER3を発生する。但し、逆監視情報が正常であったり、異常であったりと混在していると、異常検出時間は１６０[msec]を越えた時間となる。

以上の説明に於いて、符号誤り検出手段714aによる下り通信異常の第二の変分値Δ２に関しては、通信遅延異常が含まれていないことになるが、実際には通信異常遅延が発生すれば回答情報の応答遅延異常が発生することになる。従って、回答情報の応答遅延異常に対する第五の変分値Δ５は、回答情報と正解情報が不一致であったことによる回答異常に対する第四の変分値Δ４に比べて大きな値となっており、Δ４＜Δ５≦Δ４＋Δ２の配分にするのが適当である。

同様に、符号誤り検出手段914aによる上り通信異常の第二の変分値Δ２に関しても、通信遅延異常が含まれていないことになるが、実際には通信異常遅延が発生すれば意図的な誤答情報に対する逆監視情報の挙動異常が発生することになる。従って、第三の変分値Δ３についても、Δ４＜Δ３≦Δ４＋Δ２の配分にしておくのが適当である。

又、第一、第三の現在値メモリに対する初期設定値Ｎsj、Ｎsiは、異常側限界値に接近した値が使用されていて、リセット処理後に引き続いて異常が発生すると直ちに第一、第三の異常検出信号ER1、ER3が発生するように安全側に設定されている。これに対し、第二、第四の現在値メモリに対する初期設定値Ｎ0は正常側限界値に接近した値が使用されているが、これは通信周期Ｔcが質問更新周期Ｔqよりも小さな値であって、しかも通信誤り率が１００[％]であれば急速に現在値が上昇して第二、第四の異常検出信号ER2、ER4が発生するようになっているためである。

更に、第二、第四の異常検出信号が発生したときには、第二、第四の現在値メモリが初期化されるだけでなく、第一、第三の現在値メモリも初期化されていることによって安全性が維持されているものである。

一方、判定閾値Ｎj（＝１６）と第四の変分値Δ４（＝４）との比率Ｎj／Δ４（＝４）の値は、第二の変分値Δ４と第一の変分値Δ１との比率Δ４／Δ１（＝４）と等しくなっている。判定閾値Ｎjの値を変更した場合であっても、比率Δ４／Δ1の平均値は比率Ｎj／Δ４の最小値と最大値との間の値となるのが理想的である。若しも、比率Δ４／Δ１と比率Ｎj／Δ４が一致しておれば、１回の異常発生があった後に正常状態が持続して正常側限界値に到達する判定回数と、異常発生が連続して正常側限界値から異常側限界値に達する判定回数が一致するので、バランスのよい増減特性が得られることになる。

尚、以上の説明では、各加減算集計手段に於ける正常側限界値は「０」として、異常が検出されたときには第二から第五の変分値Δ２〜Δ５のどれかが加算されるように構成されているが、異常検出時に現在値メモリに対する減算処理を行い、正常時に加算処理を行うようにすることもできる。又、正常側限界値も「０」以外の値を適用し、異常側限界値と正常側限界値との差分値の絶対値を判定閾値として扱うことが可能である。

（３）実施の形態１による車載電子制御装置の要点と特徴
以上の説明で明らかなとおり、この発明の実施の形態１による車載電子制御装置10Aは、不揮発プログラムメモリ25Aと、演算処理用ＲＡＭメモリ24と、第一の入力センサ群11aが接続された第一の入力インタフェース回路21と、第一の電気負荷群12aが接続された第一の出力インタフェース回路22と、前記不揮発プログラムメモリ25Aに格納された制御プログラムの内容と前記第一の入力センサ群11aの動作状態に応動して前記第一の電気負荷群12aを制御するマイクロプロセッサ20とを備えた主制御回路部20Aと、
前記マイクロプロセッサ20に対してシリアル通信回路27、37によって接続され、複数の質問情報Ｑnを定期的に順次選択送信する質問情報生成手段805aと、前記質問情報に対する正解情報を格納する正解情報格納メモリ35Aと、前記質問情報Ｑnに基づく前記主制御回路部20Aからの回答情報Ａnと前記正解情報格納メモリ35Aに格納されている正解情報Ｒnとを比較して異常の有無を判定する異常判定手段717aとを有する監視制御回路部30Aとを備えた車載電子制御装置10Aであって、
前記監視制御回路部30Aは、更に、第一の加減算集計手段717eと第一の異常発生確定手段718aと第一の判定数値選択手段802aを備えている。

前記第一の加減算集計手段717eは、前記主制御回路部20Aから監視制御回路部30Aに送信された下り通信情報DNDに通信異常が検出されていない状態に於いて、前記異常判定手段717aが前記回答情報Ａnと正解情報Ｑnとが不一致であると判定したときには第四の変分値Δ４を加算又は減算すると共に、一致判定をしたときには前記第四の変分値Δ４よりも小さな値である第一の変分値Δ１を減算又は加算して相互に減殺するように第一の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止するように構成されている。

前記第一の異常発生確定手段718aは、前記第一、第四の変分値Δ１、Δ４の累積によって前記第一の加減算集計手段717eの現在値が異常側限界値に達したときに、第一の異常検出信号ER1を発生し、当該異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎjとなっている。前記第一の判定数値選択手段802aは、前記第一及び第四の変分値Δ１、Δ４と、前記異常判定閾値Ｎj又は連続異常検出時間Ｔeの一方を含む第一の設定定数集団TBL1（Δ１、Δ４、Ｎj又はＴe）に於いて、少なくとも前記異常判定閾値Ｎj又は連続異常検出時間Ｔeの値が異なる複数の設定定数集団のいずれか一つを選択適用するものである。

前記連続異常検出時間Ｔeは、質問更新周期Ｔqで順次発生する前記質問情報Ｑnに対する回答情報Ａnが全て前記正解情報Ｒnとは異なる内容であったときに、前記第一の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間である。前記異常判定閾値Ｎjを前記第四の変分値Δ４で割った連続異常発生回数と前記質問更新周期Ｔqとの積は、前記連続異常検出時間Ｔe以下の値となるように連続異常検出時間Ｔeに関連して設定され、前記第一の設定定数集団TBL1の中の一部の設定定数（Ｎj又はＴe）は、適用される車種に対応して異なる値が選択適用され、異常判定が連続したときに発生する前記第一の異常検出信号ER1の発生時間は選択適用された設定定数に基づいて可変設定される。

前記質問情報Ｑnは、前記不揮発プログラムメモリ25Aに包含された一部の演算命令に対応した制御プログラム、又は当該演算命令の少なくとも一部を包含した内容の代替プログラムであって、同じ不揮発プログラムメモリ25Aの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムに於いて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は前記不揮発プログラムメモリ25Aに格納されている。前記主制御回路部20Aは回答情報生成手段603cを備え、当該回答情報生成手段603cは、前記質問情報Ｑnによって指定された被試験プログラムと入力定数とに基づいて回答情報Ａnを生成して前記監視制御回路部30Aへ送信する。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、質問情報は、所定の被試験プログラムに対する入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は不揮発プログラムメモリに格納されている。従って、短い質問情報によって複雑な試験動作を行わせることができると共に、入力定数テーブルには監視制御回路部側の正解情報と合致した回答情報となるように逆算された実数値を外部ツールから書込んでおくことによって、被試験プログラムが変更されても正解情報を変更する必要がないので、監視制御回路部側の正解情報格納メモリを固定メモリにして於いても自由度を損なうことがない特徴がある。

前記監視制御回路部30Aは、更に第一の初期化手段719aを備え、前記第一の初期化手段719aは、前記第一の異常検出信号ER1の発生に伴って前記マイクロプロセッサ20を初期化し再起動すると共に、前記第一の現在値メモリの値を初期設定値Ｎsjに設定する手段である。前記第一の設定定数集団TBL1は、更に、当該初期設定値Ｎsjを包含するものであって、当該初期設定値Ｎsjの値は前記異常判定値Ｎjに接近した値であり、前記マイクロプロセッサ20の初期化及び再起動回数は出力禁止カウンタ41cによって計数され、当該出力禁止カウンタ41cの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタ41cの現在値はリセットされるものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、監視制御回路部30Aは、第一の異常検出信号の発生に伴って、マイクロプロセッサを初期化及び再起動すると共に、第一の現在値メモリに初期設定値を書込む第一の初期化手段を備え、初期化及び再起動回数が過大になると退避運転モードに移行するように構成されている。従って、散発的なノイズ誤動作が偶然に集中したような場合には、マイクロプロセッサを初期化及び再起動して正常運転を続行することができると共に、ノイズ誤動作が続発していた場合には、初期設定値を異常判定値に接近させておくことによって再度第一の異常検出信号が発生し、速やかに退避運転モードに移行することができる特徴がある。

前記第一の設定定数集団TBL1に於ける異常判定閾値Ｎjと第四の変分値Δ４との比率Ｎj／Δ４の平均値は、前記第二の変分値Δ４と第一の変分値Δ１との比率Δ４／Δ１の平均値と略等しくなっていて、少なくとも前記比率Δ４／Δ1の平均値は前記比率Ｎj／Δ４の最小値と最大値との間の値となっている。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、（異常判定閾値／第四の変分値）の比率と（第四の変分値／第一の変分値）の比率とがかけ離れた値とならないような異常判定閾値が適用されるように構成されている。従って、異常判定が継続した場合に第一の現在値メモリの値が正常側限界値から異常側限界値に達する連続異常検出時間と、異常判定が１度だけ発生して正常判定が持続した場合に第一の現在値メモリの値が第四の変分値に対応した値から正常側限界値に達するまでの浄化処理時間とのバランスが保たれて、加減算処理による異常判定効果を損なわない特徴がある。

前記監視制御回路部30Aは、更に、符号誤り検出手段714aと第二の加減算集計手段714dと第二の異常発生確定手段718bと第二の判定数値選択手段802aを備えている。前記符号誤り検出手段714aは、前記主制御回路部20Aから監視制御回路部30Aに送信された下り通信情報DNDの受信データに関して、サムチェック又はＣＲＣチェックで代表される符号点検手段によってビット情報の混入又は欠落の有無を検出する。

前記第二の加減算集計手段714dは、前記符号誤り検出手段714aが下り通信に異常ありとの判定を行なったときには第二の変分値Δ２を加算又は減算すると共に、下り通信に異常なしとの判定を行なったときには第一の変分値Δ１を減算又は加算して相互に減殺するように第二の現在値メモリに対する加減算補正を行い、異常なしの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止する。

前記第二の異常発生確定手段718bは、前記第一、第二の変分値Δ１、Δ２の累積によって前記第二の加減算集計手段714dの現在値が異常側限界値に達したときに、第二の異常検出信号ER2を発生し、当該異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎkとなる。前記第二の判定数値選択手段802aは、前記第一及び第二の変分値Δ１、Δ２と、前記異常判定閾値Ｎk又は連続異常検出時間Ｔeの一方を含む第二の設定定数集団TBL2（Δ１、Δ２、Ｎk又はＴe）に於いて、少なくとも前記異常判定閾値Ｎk又は連続異常検出時間Ｔeの値が異なる複数の設定定数集団のいずれか一つを選択適用する。

前記連続異常検出時間Ｔeは、通信周期Ｔcで順次発生する下り通信データの通信誤り率が所定値以上である状態が持続したときに、前記第二の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間である。前記異常判定閾値Ｎkは、前記第一、第二の変分値Δ１、Δ２と前記通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcとの積が、前記連続異常検出時間Ｔe以下の値となるように、連続異常検出時間Ｔeに関連して設定される。前記第二の設定定数集団TBL2の中の一部の設定定数（Ｔe又はＮk）は、適用される車種に対応して異なる値が選択適用され、所定の通信誤り率が連続したときに発生する前記第二の異常検出信号ER2の発生時間は選択適用された設定定数に基づいて可変設定されるうに構成されている。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、監視制御回路部30Aは、更に、第二の設定定数集団で設定された定数に基づいて通信異常判定経過を集計する第二の加減算集計手段と、当該第二の加減算集計手段の異常集計結果に応動して第二の異常検出信号を発生する第二の異常発生確定手段を備え、第二の設定定数集団の中の一部の設定定数は、第二の判定数値選択手段によって適用される車種に対応して異なる値が選択適用されるようになっている。従って、ノイズに基づく誤動作による散発的な通信異常動作については、妄りに異常検出信号を発生しないように安定制御される一方で、ハードウエア故障によって発生する連続的異常動作に対しては速やかに異常検出信号を発生して安全制御が行なわれる特徴があると共に、異常検出時間は適用車種対応で定められた制御仕様に基づいて可変設定することができて、車載電子制御装置の標準化による価格低減を図ることができる特徴がある。特に、多様な各種の設定定数によって構成される第二の設定定数集団のうち、異常判定閾値又は連続異常検出時間のいずれかに注目して判定数値の選択を行なうことによって、可変設定定数の項目を削減し、多数の設定定数の多くを固定制御定数として簡単に記憶保存することができる特徴がある。又、連続異常検出時間に注目して判定数値の選択を行なうようにすれば、第一、第二の判定数値選択手段は共通の選択手段を適用することができる特徴がある。

前記監視制御回路部30Aは、前記シリアル通信回路27、37を介して前記マイクロプロセッサ20に対する一部の入出力信号となる第二の入力センサ群11bと第二の電気負荷群12bとの入出力信号の交信を行なう。前記主制御回路部20Aから監視制御回路部30Aに対して送信される下り通信情報DNDは、当該監視制御回路部30Aに於いて必要とされる設定定数又は制御出力と、前回の上り通信情報で得られた前記質問情報Ｑnに対する回答情報Ａnと第二のフラグ情報Ｆと符号点検情報とを包含している。

前記監視制御回路部30Aから主制御回路部20Aに対して送信される上り通信情報UPDは、当該監視制御回路部30Aに対する入力信号情報、或いは前記主制御回路部20Aから得られた前記設定定数又は前記制御出力の記憶情報と、今回の質問情報Ｑnと第一のフラグ情報ｆと符号点検情報とを包含している。前記第一のフラグ情報ｆは、前記監視制御回路部30Aに於いて前記質問情報Ｑnの内容が更新変更された時点に於いて変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものである。前記第二のフラグ情報Ｆは、前記質問情報Ｑnの内容が更新変更されたことに伴って、前記主制御回路部20Aが前記回答情報Ａnの内容を更新させた時点に於いて変化して、回答情報Ａnの更新を通報する１ビット又は複数ビットの識別信号となるものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、質問情報の変化、又は回答情報の変化を知らせるための第一、第二のフラグ情報が送信されるように構成されている。従って、質問情報を受信した主制御回路部、又は回答情報を受信した監視制御回路部は、前回の質問情報や回答情報と今回の質問情報や回答情報を比較して変化を検出する必要がないので、フラグ変化のない質問情報や回答情報は無視することができる特徴がある。

前記監視制御回路部30Aは、更に、質問情報更新手段804と応答遅延判定手段716を備えている。前記質問情報更新手段804は、前記上り通信情報UPDに包含される質問情報Ｑn-1が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間Ｔq以上の送信を行なってから新たな質問情報Ｑnに更新する。前記応答遅延判定手段716は、前記監視制御回路部30Aが前記第一のフラグ情報ｆの内容を変化させてから、第二のフラグ情報Ｆの受信データが変化するまでの時間が所定時間Ｔqを超過していたときに前記主制御回路部20Aの異常であると判定する手段である。前記第一の加減算手段717eは、前記応答遅延判定手段716が異常判定を行なったときに、前記第四の変分値Δ４よりも大きな値である第五の変分値Δ５による加減算補正を行なうものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、同一質問情報を反復送信することができる質問情報更新手段と、質問情報の内容変化に対応した回答情報の内容変化の応答遅れを監視するように構成されている。従って、主制御回路部20Aと監視制御回路部30Aとの間の入出力信号の交信周期に比べて、質問情報の更新周期を延長して、主制御回路部20Aが主機回答情報を生成するための所要時間を確保して、主制御回路部の制御負担を軽減することができる特徴がある。

前記監視制御回路部30Aは、更に第二の初期化手段719bを備えている。前記第二の初期化手段719bは、前記第二の異常検出信号ER2の発生に伴って前記マイクロプロセッサ20を初期化、及び再起動を行うと共に、前記第一、第二の現在値メモリの値を所定の初期設定値Ｎsj、N0に設定する手段である。前記第二の設定定数集団TBL2は、更に、前記第二の現在値メモリに対する初期設定値N0を包含するものであって、当該初期設定値N0の値は前記第二の加減算集計手段714dに於ける正常側限界値に接近した値である。前記マイクロプロセッサ20の初期化、再起動の回数は、出力禁止カウンタ41cによって計数され、当該出力禁止カウンタ41cの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタ41cの現在値はリセットされるものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、第二の異常検出信号の発生に伴って、マイクロプロセッサを初期化して再起動すると共に、第一、第二の現在値メモリに初期設定値を書込む第二の初期化手段を備え、初期化及び再起動回数が過大になると退避運転モードに移行するように構成されている。従って、散発的ノイズによる通信異常が偶然に集中したような場合には、マイクロプロセッサを初期化し再起動して正常運転を続行することができると共に、通信異常に付随して質問、回答情報に異常が発生していることを想定して第一、第二の現在値メモリが初期化されているので、ノイズ誤動作が続発していた場合には、再度第一又は第二の異常検出信号が発生し、速やかに退避運転モードに移行することができる特徴がある。

前記不揮発プログラムメモリ25Aは、更に、誤答情報生成手段603bと現在値情報監視手段917aと第三の加減算集計手段917dと第三の異常発生確定手段918aと第三の判定数値選択手段602aとなる制御プログラムを備えると共に、前記上り通信情報UPDには前記監視制御回路部30Aに於ける第一の現在値メモリの値である現在値情報が包含されている。前記誤答情報生成手段603bは、前記質問情報Ｑnに対して意図的に不正解情報を回答情報として送信する手段である。当該誤答情報生成手段603bによって意図的に誤答送信するタイミングは、前記第一の加減算集計手段717eによる異常監視の集計値に余裕があって、１回の誤答回答によっては前記第一の異常発生確定手段718aが前記第一の異常検出信号ER1を発生しない時点に設定されている。

前記現在値情報監視手段917aは、前記上り通信情報UPDである現在値情報を監視することによって監視制御回路部30Aが正常に動作していることを主制御回路部20Aによって逆監視して、監視制御回路部30Aの異常の有無を判定する手段であり、前記誤答情報生成手段603bは、誤答送信したにも関わらず前記現在値情報監視手段917aが前記第一の現在値レジスタの変化を確認できないときに引き続いて誤答送信を行う。

前記第三の加減算集計手段917dは、前記監視制御回路部30Aから主制御回路部20Aに送信された上り通信情報UPDに通信異常が検出されていない状態に於いて、前記現在値情報監視手段917aが監視制御回路部30Aの異常判定を行なったときには第三の変分値Δ３を加算又は減算すると共に、正常判定をしたときには当該第三の変分値Δ３よりも小さな値である第一の変分値Δ１を減算又は加算して相互に減殺するように第三の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止する。

前記第三の異常発生確定手段918aは、前記第一、第三の変分値Δ１、Δ３の累積によって前記第三の加減算集計手段917dの現在値が異常側限界値に達したときに、第三の異常検出信号ER3を発生し、当該異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎiとなっている。前記第三の判定数値選択手段602aは、前記第一及び第三の変分値Δ１、Δ３と、前記異常判定閾値Ｎi又は連続異常検出時間Ｔeの一方を含む第三の設定定数集団TBL3（Δ１、Δ３、Ｎi又はＴe）に於いて、少なくとも前記異常判定閾値Ｎi又は連続異常検出時間Ｔeの値が異なる複数の設定定数集団のいずれか一つを選択適用する。

前記連続異常検出時間Ｔeは、誤答送信周期Ｔqで順次発生する誤答情報に対する前記逆監視情報が全て異常であったときに、前記第三の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間である。前記異常判定閾値Ｎiは、前記第三の変分値Δ３で割った連続異常発生回数と前記誤答送信周期Ｔqとの積が前記連続異常検出時間Ｔe以下の値となるように、連続異常検出時間Ｔeと関連して設定される。前記第三の設定定数集団TBL3の中の一部の設定定数（Ｎi又はＴe）は、適用される車種に対応して異なる値が選択適用され、異常判定が連続したときに発生する前記第三の異常検出信号ER3の発生時間は選択適用された設定定数に基づいて可変設定される。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、不揮発プログラムメモリは更に、誤答情報生成手段と現在値情報監視手段と、第三の設定定数集団で設定された定数に基づいて異常判定経過を集計する第三の加減算集計手段と、当該第三の加減算集計手段の異常集計結果に応動して第三の異常検出信号を発生する第三の異常発生確定手段と、第三の判定数値選択手段となる制御プログラムを備えると共に、上り通信情報には監視制御回路部に於ける第一の現在値メモリの値である現在値情報が包含されていて、第三の設定定数集団の中の一部の設定定数は、第三の判定数値選択手段によって適用される車種に対応して異なる値が選択適用されるように構成されている。従って、意図的な誤答送信によって監視制御回路部の挙動を逆監視することができると共に、この誤答送信によって監視制御回路部が第三の異常検出信号を発生して主制御回路部が初期化されることがない特徴がある。

又、ノイズに基づく誤動作による散発的な異常動作については、妄りに異常検出信号を発生しないように安定制御される一方で、ハードウエア故障によって発生する連続的異常動作に対しては速やかに異常検出信号を発生して安全制御が行なわれる特徴があると共に、異常検出時間は適用車種対応で定められた制御仕様に基づいて可変設定することができて、車載電子制御装置の標準化による価格低減を図ることができる特徴がある。特に、多様な各種の設定定数によって構成される第三の設定定数集団のうち、異常判定閾値又は連続異常検出時間のいずれかに注目して判定数値の選択を行なうことによって、可変設定定数の項目を削減し、多数の設定定数の多くを固定制御定数として簡単に記憶保存することができる特徴がある。又、意図的な誤答情報に対する挙動判定は通信異常が検出されないときに行なわれるので、質疑回答異常と通信異常とは分離して処理することができる特徴がある。

前記不揮発プログラムメモリ25Aは、更に第三の初期化手段919aを備えている。前記第三の初期化手段919aは、前記第三の異常検出信号ER3の発生に伴って前記監視制御回路部30Aを初期化、再起動すると共に、前記第三の現在値メモリの値を初期設定値Ｎsiに設定する手段である。前記第三の設定定数集団TBL3は、更に、当該初期設定値Ｎsiを包含するものであって、当該初期設定値Ｎsiの値は前記異常判定値Ｎiに接近した値である。前記監視制御回路部30Aの初期化及び再起動回数は、出力禁止カウンタ41bによって計数され、当該出力禁止カウンタ41bの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタ41bの現在値はリセットされるものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、第三の異常検出信号の発生に伴って、監視制御回路部を初期化、再起動すると共に、第三の現在値メモリに初期設定値を書込む第三の初期化手段を備え、初期化及び再起動回数が過大になると退避運転モードに移行するように構成されている。従って、散発的なノイズ誤動作が偶然に集中したような場合には、監視制御回路部を初期化し再起動して正常運転を続行することができると共に、ノイズ誤動作が続発していた場合には、初期設定値を異常判定値に接近させておくことによって再度第三の異常検出信号が発生し、速やかに退避運転モードに移行することができる特徴がある。

前記不揮発プログラムメモリ25Aは、更に、上り通信情報の符号誤り検出手段914aと第四の加減算集計手段914dと第四の異常発生確定手段918bと第四の判定数値選択手段602aなる制御プログラムを包含している。前記符号誤り検出手段914aは、前記監視制御回路部30Aから主制御回路部20Aに送信された上り通信情報UPDの受信データに関して、サムチェック又はＣＲＣチェックで代表される符号点検手段によってビット情報の混入又は欠落の有無を検出する。

前記第四の加減算集計手段914dは、前記符号誤り検出手段914aが上り通信異常ありの判定を行なったときには第二の変分値Δ２を加算又は減算すると共に、上り通信異常なしの判定を行なったときには第一の変分値Δ１を減算又は加算して相互に減殺するように第四の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止する。前記第四の異常発生確定手段918bは、前記第一、第二の変分値Δ１、Δ２の累積によって前記第四の加減算集計手段914dの現在値が異常側限界値に達したときに、第四の異常検出信号ER4を発生し、当該異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎkとなっている。

前記第四の判定数値選択手段602aは、前記第一及び第二の変分値Δ１、Δ２と、前記異常判定閾値Ｎk又は連続異常検出時間Ｔeの一方を含む第四の設定定数集団TBL4（Δ１、Δ２・Ｎk又はＴe）に於いて、少なくとも前記異常判定閾値Ｎk又は連続異常検出時間Ｔeの値が異なる複数の設定定数集団のいずれか一つを選択適用する。前記連続異常検出時間Ｔeは、通信周期Ｔcで順次発生する上り通信データの通信誤り率が所定値以上である状態が持続したときに、前記第四の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間である。前記異常判定閾値Ｎkは、前記第一、第二の変分値Δ１、Δ２と前記通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcとの積が前記連続異常検出時間Ｔe以下の値となるように、連続異常検出時間Ｔeに関連して設定される。前記第四の設定定数集団TBL4の中の一部の設定定数（Ｎk又はＴe）は、適用される車種に対応して異なる値が選択適用され、所定の通信誤り率が連続したときに発生する前記第四の異常検出信号ER4の発生時間は選択適用された設定定数に基づいて可変設定される。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、不揮発プログラムメモリは、更に、第四の設定定数集団で設定された定数に基づいて通信異常判定経過を集計する第四の加減算集計手段と、当該第四の加減算集計手段の異常集計結果に応動して第四の異常検出信号を発生する第四の異常発生確定手段を備え、第四の設定定数集団の中の一部の設定定数は、第四の判定数値選択手段によって適用される車種に対応して異なる値が選択適用されるように構成されている。

従って、ノイズ誤動作による散発的な通信異常動作については妄りに異常検出信号を発生しないように安定制御される一方で、ハードウエア故障によって発生する連続的異常動作に対しては速やかに異常検出信号を発生して安全制御が行なわれる特徴があると共に、異常検出時間は適用車種対応で定められた制御仕様に基づいて可変設定することができて、車載電子制御装置の標準化による価格低減を図ることができる特徴がある。特に、多様な各種の設定定数によって構成される第四の設定定数集団のうち、異常判定閾値又は連続異常検出時間のいずれかに注目して判定数値の選択を行なうことによって、可変設定定数の項目を削減し、多数の設定定数の多くを固定制御定数として簡単に記憶保存することができる特徴がある。又、連続異常検出時間に注目して判定数値の選択を行なうようにすれば、第三、第四の判定数値選択手段は共通の選択手段を適用することができる特徴がある。

前記不揮発プログラムメモリ25Aは、更に第四の初期化手段919bを備えている。前記第四の初期化手段919bは、前記第四の異常検出信号ER4の発生に伴って前記監視制御回路部30Aを初期化、再起動すると共に、前記第三、第四の現在値メモリの値を所定の初期設定値ＮsiをN0に設定する手段である。前記第四の設定定数集団TBL4は更に、前記第四の現在値メモリに対する初期設定値N0を包含するものであって、当該初期設定値N0の値は前記第四の加減算集計手段914dに於ける正常側限界値に接近した値である。

前記監視制御回路部30Aの初期化、再起動回数は、出力禁止カウンタ41bによって計数され、当該出力禁止カウンタ41bの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタ41bの現在値はリセットされるものである。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、第四の異常検出信号の発生に伴って、監視制御回路部を初期化・再起動すると共に、第三、第四の現在値メモリに初期設定値を書込む第四の初期化手段を備え、初期化及び再起動回数が過大になると退避運転モードに移行するように構成されている。従って、散発的ノイズによる通信異常が偶然に集中したような場合には、監視制御回路部を初期化し再起動して正常運転を続行することができると共に、通信異常に付随して質問、回答情報に異常が発生していることを想定して第三、第四の現在値メモリが初期化されているので、ノイズ誤動作が続発していた場合には、再度第三又は第四の異常検出信号が発生し、速やかに退避運転モードに移行することができる特徴がある。

前記監視制御回路部30Aは、マイクロプロセッサを持たない論理回路部30aと補助ＲＡＭメモリ34によって構成されている。前記論理回路部30aは、前記質問情報生成手段805a、質問情報更新手段804、異常判定手段717a、応答遅延判定手段716、下り通信情報DNDに対する符号誤り検出手段714a、第一、第二の加減算集計手段717e、714d、第一、第二の異常発生確定手段718a、718b、第一、第二の初期化手段719a、719bの中の複数の手段に対応した論理回路を包含する。

前記第一、第二の判定数値選択手段802aは、前記主制御回路部20Aの不揮発プログラムメモリ25Aに格納された選択情報を前記シリアル通信回路27、37を介して前記監視制御回路部30Aの補助ＲＡＭメモリ34に送信するか、若しくは前記車載電子制御装置10Aを構成する電子回路基板の印刷パターン42によって構成されたパターンスイッチ情報であるか、又は前記監視制御回路部30Aに設けられた不揮発データメモリ35Aに格納された選択情報に基づいて前記第一の設定定数集団TBL1のいずれか一つと、前記第二の設定定数集団TBL2のいずれか一つと、を選択する。

前記第一、第二の設定定数集団TBL1、TBL2に於ける前記第一の変分値Δ１、第二の変分値Δ２、第四の変分値Δ４、第五の変分値Δ５、初期設定値N0、通信周期Ｔc、質問情報Ｑnの更新周期Ｔqと、前記質問情報Ｑnに対する正解情報Ｒnは、固定の制御定数として前記監視制御回路部30Aに設けられた不揮発データメモリ35Aに格納されるか、若しくは前記論理回路部30aを構成する集積回路素子内の配線パターンによって論理回路の中に組み込まれている。前記第一、第二の判定数値選択手段802aは、前記連続異常検出時間Ｔeの値に接近した代表時間を統一して選択指定する共通の選択手段である。前記補助ＲＡＭメモリ34は、前記第一、第二の現在値メモリを包含する。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、監視制御回路部は各種制御手段に対応してハードウエアで構成された論理回路部と、第一、第二の現在値メモリを包含する補助ＲＡＭメモリによって構成されている。又、第一、第二の設定定数集団を構成する固定定数は、監視制御回路部に設けられた不揮発データメモリ又は集積回路素子内の配線パターンに内蔵されている。更に、第一、第二の判定数値選択手段は、電子回路基板の印刷配線パターンによるか、監視制御回路部に設けられた不揮発データメモリによるか、若しくは主制御回路部側の不揮発プログラムメモリに格納された選択情報を補助ＲＡＭメモリに転送するように構成されている。従って、固定制御定数は監視制御回路部に予め格納されており、可変要素となる判定数値の選択情報は電子回路基板の製造・組立段階で確定させることができる特徴がある。

前記主制御回路部20Aに包含された不揮発プログラムメモリ25Aは、前記回答情報生成手段603c、誤答情報生成手段603b、現在値情報監視手段917a、上り通信情報UPDに対する符号誤り判定手段914a、第三、第四の加減算集計手段917d、914d、第三、第四の異常発生確定手段918a、918b、第三、第四の初期化手段919a、919bの中の複数の手段に対応した制御プログラムを包含すると共に、当該不揮発プログラムメモリ25Aは、更に、前記第三、第四の設定定数集団TBL3、TBL4を構成する前記第一の変分値Δ１、第二の変分値Δ２、第三の変分値Δ３、初期設定値N0、通信周期Ｔc、質問情報Ｑnの更新周期Ｔqと、前記質問情報Ｑnに対する入力データテーブルが格納されている。

前記第三、第四の判定数値選択手段602aは、前記不揮発プログラムメモリ25Aに格納された選択情報に基づいて、前記連続異常検出時間Ｔeの値に接近した代表時間を統一して選択指定する共通の選択手段である。前記ＲＡＭメモリ24は、前記第三、第四の現在値メモリを包含する。

以上のとおり、この発明の実施の形態１に係る車載電子制御装置によれば、主制御回路部はマイクロプロセッサと、各種制御手段に対応して制御プログラムを包含した不揮発プログラムメモリと、第三、第四の現在値メモリを包含するＲＡＭメモリによって構成されている。又、第三、第四の設定定数集団を構成する固定定数は、主制御回路部に設けられた不揮発プログラムメモリに格納されている。更に、第三、第四の判定数値選択手段は電子回路基板の印刷配線パターンによるか、又は前記不揮発プログラムメモリに格納された選択情報を使用するように構成されている。従って、主制御回路部側で必要とされる固定制御定数は不揮発プログラムメモリに予め格納されており、可変要素となる判定数値の選択情報と共に電子回路基板の製造、組立段階で確定させることができる特徴がある。

実施の形態２．
（１）実施の形態２による車載電子制御装置の構成
以下、この発明の実施の形態２に係る監視制御回路を有する車載電子制御装置の構成について説明する。図１３は、実施の形態２による監視制御回路を有する車載電子制御装置の構成を示す全体構成図、図１４は、その各種メモリ情報の内容を示す一覧表である。以下、実施の形態１に於ける図１、図４との相違点を中心にして説明する。尚、実施の形態２に於いて、実施の形態１に於ける各図の符号と同一の符号は、実施の形態１と夫々同一又は相当部分を示している。

図１３に於いて、車載電子制御装置10Bは、不揮発プログラムメモリ25Bと協働するマイクロプロセッサ20を主体として構成された主制御回路部20Bと、補助不揮発プログラムメモリ35Bと協働する補助マイクロプロセッサ30bを主体として構成された監視制御回路部30Bを備えていて、車載バッテリである外部電源13から電源スイッチ14を介して給電されて動作するように構成されている。

電子制御装置10Bの外部には、実施の形態１に於ける図１と同様に、第一、第二の入力センサ群11a、11b、第一、第二の電気負荷群12a、12b、負荷電源リレー15、外部ツール19が接続されている。電子制御装置10Bの内部には、図１と同様に、第一、第二の入力インタフェース回路21、31、第一、第二の出力インタフェース回路22、32、シリアル通信回路27、37、ツールインタフェース回路29、電源回路33、ゲート素子38、電源検出回路39、ウォッチドッグタイマ40、出力禁止カウンタ41a〜41d、選択情報を生成するための印刷パターン42が接続されていいる。

一対のシリアル通信回路によって構成されたシリアル通信回路27、37は、全二重ブロック通信回路を構成し、主制御回路部20Bから監視制御回路部30Bに対する下り通信情報DNDと、監視制御回路部30Bから主制御回路部20Bに対する上り通信情報UPDとを同時に送受信することができるように構成されている。主制御回路部20Bが発生する通信許可信号ALTと、監視制御回路部30Bが発生する通信同期信号CLKについては実施の形態１に於ける図２で前述したとおりである。

尚、車載電子制御装置10Bの組立ステップに於いて、外部ツール19から制御プログラムと制御定数とが転送書込みされる不揮発プログラムメモリ25Bは、不揮発性のフラッシュメモリによって構成されている。不揮発プログラムメモリ25Bには通信制御プログラムと入出力制御プログラムに加えて、実施の形態1に於ける図６、図９で前述した各種の制御プログラムが格納されていると共に、図１４の（Ａ）で示すとおりＱ＆Ａのための入力データテーブル、判定数値選択情報、図１４の（Ｊ）、（Ｋ）でも示された第三、第四の設定定数集団TBL3、TBL4となる制御定数が格納されている。

又、ＲＡＭメモリ24には図１４の（Ｂ）で示すように上り通信情報UPDとなるＱ＆Ａ用の質問情報、第二の入力センサ群11bから得られた入力信号情報、設定済情報、逆監視集計情報（第一の現在値メモリの現在値情報）、第一のフラグ情報、符号点検情報が格納されると共に、第三、第四の現在値メモリを包含している。

例えば、マスクＲＯＭメモリである補助不揮発プログラムメモリ35Bには通信制御プログラムと入出力処理プログラムに加えて、実施の形態１に於ける図７、図８で前述した各種の制御プログラムが格納されていると共に、図１４の（Ｃ）で示すとおりＱ＆Ａ診断のための正解情報Ｒnや第一、第二の設定定数集団TBL1、TBL2となる制御定数が格納されていて、その詳細は図１４の（Ｆ）、（Ｇ）、（Ｈ）に示すとおりである。

又、補助ＲＡＭメモリ34には、図１４の（Ｅ）で示すように下り通信情報DNDとなるＱ＆Ａ用の回答情報、監視制御回路部30Aで必要とされる制御定数などの設定情報、第二の電気負荷群12bに対する出力信号情報、第二のフラグ情報、符号点検情報が格納されると共に、第一、第二の現在値メモリを包含している。

尚、選択情報となる印刷パターン42を設けない場合には、不揮発プログラムメモリ25Bに格納されている判定数値選択情報が下り通信情報DNDによって補助ＲＡＭメモリ34へ送信されるようになっている。又、監視制御回路部30Bが不揮発性のEEPROMメモリであるデータメモリ35Aを備えている場合には、選択情報はこのデータメモリ35Aに格納することもできる。

（２）実施の形態２による車載電子制御装置の動作
次に、この発明の実施の形態２に係る車載電子制御装置の動作について、実施の形態1に於ける図１との相違点を中心として説明する。先ず、図１３に於いて、電源スイッチ14を介して車載電子制御装置10Bに対して外部電源13が接続されると、マイクロプロセッサ20は、第一、第二の入力センサ群11a、11bの動作状態と不揮発プログラムメモリ25B内の制御プログラムの内容に応動して第一、第二の電気負荷群12a、12bの駆動制御を行なう。

特に、第一の入力センサ群11aや第一の電気負荷群12aは、エンジン回転と同期して開閉、断続動作を行うものであって、例えば４気筒・４サイクルのガソリンエンジンが６０００[rpm]で回転していると、５[msec]周期で点火制御や燃料噴射制御を行なうことになるが、エンジン回転速度が６００[rpm]であれば５０[msec]周期でこれ等の制御を行なえばよいことになる。一方、第二の入力センサ群11bや第二の電気負荷群12bは、エンジン回転と同期した動作を行なうものではないので、高頻度な動作は行わないが、動作状態が変化すると速やかに信号交信を行なう必要があるので、エンジン回転速度とは無関係に比較的高頻度に一定周期の交信を行なうのが望ましいものとなっている。

補助不揮発プログラムメモリ35Bには質問情報に対応した正解情報が製品出荷段階で予め格納されていて、補助マイクロプロセッサ30bはランダムに質問情報を送信し、マイクロプロセッサ20から返信された回答情報と正解情報とを比較することによってマイクロプロセッサ20の動作状態を監視すると共に、マイクロプロセッサ20は意図的な誤答を回答してみて、監視制御回路部30Bが適正な監視制御を行なっているかどうかを逆監視するように構成されている。

その結果として、監視制御回路部30Bが主制御回路部20Bの異常を検出するとリセット出力信号RST2によって主制御回路部20Bを初期化・再起動し、主制御回路部20Bが監視制御回路部30Bの異常を検出するとリセット出力信号RST1によって監視制御回路部30Bを初期化し再起動するように構成されている。

主制御回路部20Bの送信動作は図６のフロ−チャ−トで前述したとおりであり、受信動作は実施の形態１に於ける図９のフロ−チャ−トで前述したとおりである。監視御回路部30Bの受信動作は、同様に図７のフロ−チャ−トで前述したとおりであり、送信動作は、図８のフロ−チャ−トで前述したとおりである。

次に、各種設定定数の一例を示した一覧表である図１５について説明する。図１５に於いて、基本パラメータとなる連続異常検出時間Ｔeは、印刷パターン42によって生成された選択情報によって、Ａ、Ｂ、Ｃ、Ｄの４種類の値を選択することができるようになっていて、具体的には１６０[msec]、２００[msec]、２８０[msec]、４８０[msec]のいずれかの時間が選択できるように構成されている。

この連続異常検出時間Ｔeは、第一〜第四の設定定数集団TBL1〜TBL4に対して共用されるデータであるが、連続異常検出時間Ｔeに代わって後述の異常判定閾値Ｎj、Ｎi、Ｎkを設定することも可能である。通信周期Ｔcは、シリアル通信回路27、37による上りの通信周期の代表値であり、この代表値としては変動する通信周期の平均値又は最大値を使用するのが適当である。図１５のとしては最大値を代表値としてＴc＝５[sec]固定数値となっている。

質問更新周期Ｔqも同様であり、変動する質問更新周期の平均値又は最大値を使用するのが適当であり、図１５の例では最大値を代表値としてＴq＝４０[msec]の固定数値となている。第一から第五の変分値Δ１〜Δ５についても固定数値「１」、「２」、「５」、「４」、「５」が使用されているが、[Δ４＜Δ３≒Δ５≦Δ４＋Δ２]の関係を保つようになっている。異常判定閾値Ｎjは、次式（１）によって算出されるように構成されている。
Ｎj＝［Ｔe／Ｔq］×Δ４ ・・・・（１）
例えば選択条件Ａの場合であれば、[Ｔe／Ｔq＝１６０／４０＝４]であるから、異常判定閾値Ｎjを「１６」にしておけば第四の変分値Δ４＝４が４回加算されることによって「１６」に到達し、第一の異常検出信号ER1を発生することになる。若しも、連続異常検出時間Ｔeが１５０[mec]になっておれば、［Ｔe／Ｔq＝１５０／４０＝３．７５≒３］（小数点以下は切捨て）となるので、異常判定閾値Ｎjは12となり、連続異常検出時間は１２０[msec]に短縮されることになる。

異常判定閾値Ｎiも同様であり、次式（２）によって算出される。
Ｎｉ＝［Ｔe／Ｔq］×Δ３ ・・・・（２）
異常判定閾値Ｎkの場合には，通信誤り率５０[％]が継続した場合に、第二、第四の現在値メモリの値が正常側限界値から異常側限界値に到達するものとして、次式（３）によって算出されるように構成されている。
Ｎｋ＝［Ｔe／Ｔc］×（Δ２−Δ１）／２＋１ ・・・（３）
例えば選択条件Ａの場合であれば、［Ｔe／Ｔc＝１６０／５＝３２］であるから、異常判定閾値Ｎkを１７にしておけば第二の変分値Δ２（＝２）の加算と第一の変分値Δ１（＝１）の減算を交互に繰返した場合に、実際の連続異常検出時間として１５５[msec]が得られることになる。（図１１参照）

初期設定値Ｎsjは、異常側限界値Ｎjに接近した値として[Ｎsj＝Ｎj−Δ４]で算出される値が適用されている。従って、第一の現在値メモリが初期設定されたのちに、応答異常が発生して第四の変分値Δ４が加算されると、直ちに第一の異常検出信号ER1が発生することになる。初期設定値Ｎsiは、異常側限界値Ｎiに接近した値として[Ｎsi＝Ｎi−Δ３]で算出される値が適用されている。従って、第三の現在値メモリが初期設定されたのちに、逆監視異常が発生して第三の変分値Δ３が加算されると、直ちに第三の異常検出信号ER3が発生することになる。初期設定値Ｎ0は正常側限界値＝０に接近した値として「０」が適用されている。

（３）実施形態２の要点と特徴
以上の説明で明らかなとおり、この発明の実施の形態２による車載電子制御装置10Bは、不揮発プログラムメモリ25Bと、演算処理用ＲＡＭメモリ24と、第一の入力センサ群11aが接続された第一の入力インタフェース回路21と、第一の電気負荷群12aが接続された第一の出力インタフェース回路22と、前記不揮発プログラムメモリ25Bに格納された制御プログラムの内容と前記第一の入力センサ群11aの動作状態に応動して、前記第一の電気負荷群12aを制御するマイクロプロセッサ20とを備えた主制御回路部20Bと、
前記マイクロプロセッサ20に対してシリアル通信回路27、37によって接続され、複数の質問情報Ｑnを定期的に順次選択送信する質問情報生成手段805aと、前記質問情報に対する正解情報格納メモリ35Bと、前記質問情報Ｑnに基づく前記主制御回路部20Bからの回答情報Ａnと前記正解情報格納メモリ35Bに格納されている正解情報Ｒnとを比較して異常の有無を判定する異常判定手段717aとを有する監視制御回路部30Bとを備えた車載電子制御装置10Bであって、
前記監視制御回路部30Bは、更に、第一の加減算集計手段717eと第一の異常発生確定手段718aと第一の判定数値選択手段802aを備えている。

前記第一の加減算集計手段717eは、前記主制御回路部20Bから監視制御回路部30Bに送信された下り通信情報DNDに通信異常が検出されていない状態に於いて、前記異常判定手段717aが前記回答情報Ａnと正解情報Ｑnとが不一致であった判定したときには第四の変分値Δ４を加算又は減算すると共に、一致判定をしたときには前記第四の変分値Δ４よりも小さな値である第一の変分値Δ１を減算又は加算して相互に減殺するように第一の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止する。

前記第一の異常発生確定手段718aは、前記第一、第四の変分値Δ１、Δ４の累積によって前記第一の加減算集計手段717eの現在値が異常側限界値に達したときに、第一の異常検出信号ER1を発生し、当該異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎjとなっている。前記第一の判定数値選択手段802aは、前記第一及び第四の変分値Δ１、Δ４と、前記異常判定閾値Ｎj又は連続異常検出時間Ｔeの一方を含む第一の設定定数集団TBL1（Δ１、Δ４、Ｎj又はＴe）に於いて、少なくとも前記異常判定閾値Ｎj又は連続異常検出時間Ｔeの値が異なる複数の設定定数集団のいずれか一つを選択適用する。

前記連続異常検出時間Ｔeは、質問更新周期Ｔqで順次発生する前記質問情報Ｑnに対する回答情報Ａnが全て前記正解情報Ｒnとは異なる内容であったときに、前記第一の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間である。前記異常判定閾値Ｎjは、前記第四の変分値Δ４で割った連続異常発生回数と前記質問更新周期Ｔqとの積が前記連続異常検出時間Ｔe以下の値となるように、連続異常検出時間Ｔeに関連して設定される。前記第一の設定定数集団TBL1の中の一部の設定定数（Ｎj又はＴe）は、適用される車種に対応して異なる値が選択適用され、異常判定が連続したときに発生する前記第一の異常検出信号ER1の発生時間は、選択適用された設定定数に基づいて可変設定される。

前記監視制御回路部30Bは、補助マイクロプロセッサ30bと、当該補助マイクロプロセッサ30bと協働する補助不揮発プログラムメモリ35Bと補助ＲＡＭメモリ34とを包含している。前記補助不揮発プログラムメモリ35Bは、前記質問情報生成手段805a、質問情報更新手段804、異常判定手段717a、応答遅延判定手段716、下り通信情報DNDに対する符号誤り検出手段714a、第一、第二の加減算集計手段717e、714d、第一、第二の異常発生確定手段718a、718b、第一、第二の初期化手段719a、719bの中の複数の手段に対応した制御プログラムを包含する。

前記第一、第二の判定数値選択手段802aは、前記主制御回路部20Bの不揮発プログラムメモリ25Bに格納された選択情報を前記シリアル通信回路27、37を介して前記監視制御回路部30Bの補助ＲＡＭメモリ34に送信するか、若しくは前記車載電子制御装置10Bを構成する電子回路基板の印刷パターン42によって構成されたパターンスイッチ情報であるか、又は前記監視制御回路部30Bに設けられた不揮発データメモリ35Aに格納された選択情報に基づいて前記第一の設定定数集団TBL1のいずれか一つと、前記第二の設定定数集団TBL2のいずれか一つと、を選択するように構成されている。

前記第一、第二の設定定数集団TBL1、TBL2に於ける前記第一の変分値Δ１、第二の変分値Δ２、第四の変分値Δ４、第五の変分値Δ５、初期設定値N0、通信周期Ｔc、質問情報Ｑnの更新周期Ｔqと、前記質問情報Ｑnに対する正解情報Ｒnは、固定の制御定数として前記補助不揮発プログラムメモリ35Bに格納されている。前記第一、第二の判定数値選択手段802aは、前記連続異常検出時間Ｔeの値に接近した代表時間を統一して選択指定する共通の選択手段である。前記補助ＲＡＭメモリ34は、前記第一・第二の現在値メモリを包含している。

以上のとおり、この発明の実施の形態２に係る車載電子制御装置によれば、監視制御回路部は補助マイクロプロセッサと、各種制御手段に対応して制御プログラムを包含した補助不揮発プログラムメモリと、第一、第二の現在値メモリを包含する補助ＲＡＭメモリによって構成されている。又、第一、第二の設定定数集団を構成する固定定数は、監視制御回路部に設けられた補助不揮発プログラムメモリに格納されている。更に、第一、第二の判定数値選択手段は、電子回路基板の印刷配線パターンによるか、監視制御回路部に設けられた不揮発データメモリによるか、若しくは主制御回路部側の不揮発プログラムメモリに格納された選択情報を補助ＲＡＭメモリに転送するように構成されている。従って、固定制御定数は、監視制御回路部に予め格納されており、可変要素となる判定数値の選択情報は電子回路基板の製造、組立段階で確定させることができる特徴がある。

又、この発明の実施の形態２に係る車載電子制御装置によれば、前記主制御回路部20Bに包含された不揮発プログラムメモリ25Bは、前記回答情報生成手段603c、誤答情報生成手段603b、現在値情報監視手段917a、上り通信情報UPDに対する符号誤り判定手段914a、第三、第四の加減算集計手段917d、914d、第三、第四の異常発生確定手段918a、918b、第三、第四の初期化手段919a、919bの中の複数の手段に対応した制御プログラムを包含すると共に、当該不揮発プログラムメモリ25Bは、更に、前記第三、第四の設定定数集団TBL3、TBL4を構成する前記第一の変分値Δ１、第二の変分値Δ２、第三の変分値Δ３、初期設定値Ｎ0、通信周期Ｔc、質問情報Ｑnの更新周期Ｔqと、前記質問情報Ｑnに対する入力データテーブルが格納されている。前記第三、第四の判定数値選択手段602aは、前記不揮発プログラムメモリ25Bに格納された選択情報に基づいて、前記連続異常検出時間Ｔeの値に接近した代表時間を統一して選択指定する共通の選択手段であり、前記ＲＡＭメモリ24は、前記第三、第四の現在値メモリを包含している。

実施の形態１、２の変形例
以上の説明で明らかなとおり、実施の形態１及び２では、連続異常検出時間Ｔeを除く他の制御定数は、固定定数であるか、又は所定の算式に基づいて算出される可変数値となっている。主制御回路部20A、20Bに於いて、第三、第四の設定定数集団TBL3、TBL4の中のどの連続異常検出時間Ｔeを選択するかを決定するための第三、第四の判定数値選択手段は、不揮発プログラムメモリ25A、25B内に選択情報を書込むか、選択された定数集団のみを格納しておけばよい。

しかし、監視制御回路部30A、30Bのに於いて、第一、第二の設定定数集団TBL1、TBL2の中のどの連続異常検出時間Ｔeを選択するかを決定する第一、第二の判定数値選択手段を具体化するには多様な方法がある。先ず、最も簡易な方法としては、主制御回路部20A、20B側の不揮発プログラムメモリ25A、25Bに格納された選択情報をシリアル通信回路27、37を介して補助ＲＡＭメモリ34へ転送し、この転送情報によって監視制御回路部30A、30B内で定数選択を行なうことができる。しかし、この場合には監視制御回路部30A、30Bの運転開始時の立上り応答遅れが発生する欠点がある。

第一、第二の設定定数集団TBL1、TBL2の中のどの連続異常検出時間Ｔeを選択するかを決定する第一、第二の判定数値選択手段を具体化する最も確実な方法は、印刷パターン42によって選択情報を生成し、このパターンスイッチ情報によって監視制御回路部30A、30B内で定数選択を行なうことである。又、監視制御回路部30A、30BがＥＥＰＲＯＭメモリによる不揮発データメモリを有する場合には、印刷パターン情報に代わってこのデータメモリに選択情報を格納することができる

更に、補助プログラムメモリ35Bがフラッシュメモリである場合には、このフラッシュメモリの一部領域を不揮発データメモリとして使用することも可能である。一方、連続異常検出時間Ｔeは、図１５で示したように４段階の数値を選択するのではなく、例えば１０[msec]単位で１００[msec]〜５００[msec]までの任意の時間設定を行うようにすることも可能である。このような任意の特定数値を指定する場合には、異常判定閾値Ｎj、Ｎi、Ｎkや、初期設定値Ｎsj、Ｎsiは所定算式によって演算算出して、算出結果をＲＡＭメモリ24や補助ＲＡＭメモリ34に格納するようにすればよい。

以上の説明に於いて、図１に示す実施の形態１では、監視制御回路部30Aとしてマイクロプロセッサを持たない論理回路部30aが使用されているのに対し、図１３に示す実施の形態２では、補助マイクロプロセッサ30bが使用されている。論理回路部を用いた場合には、監視制御回路部としての制御仕様の変更を行うことが困難となるが、補助マイクロプロセッサと補助プログラムメモリを使用しないで安価な集積回路素子を構成することができる特徴がある。一方、補助マイクロプロセッサを使用した場合には、補助プログラムメモリの内容を変更することによって、比較的容易に監視制御回路部の動作仕様を変更することができる特徴がある。

又、図１、図１３に示す実施の形態１、２に於いて、通信許可信号は交番信号ALTとし、通信同期信号CLKは監視制御回路部が発生するように構成されている。しかし、通信許可信号としては、図２の（Ａ）で示したような交番信号ALTに替わって、通信許可期間で論理レベルが「Ｈ」（又は「Ｌ」）となり、通信不許可期間で「Ｌ」（又は「Ｈ」）となる論理信号にすることも可能である。又、通信同期信号CLKは監視制御回路部が発生するのではなく、主制御回路部が発生するようにしてもよい。

更に、主制御回路部と監視制御回路部間の信号交信の方式として、図２で示したような同期信号を用いた一括ブロック通信方式によらないで、コマンド情報とアドレス情報と交信データによって構成された通信パケットを調歩同期方式で送信するような方式にすることも可能であって、この場合には入出力信号の交信周期に比べて、質問、回答情報の交信周期を自由に拡大延長することができるものである。

主制御回路部20A、20Bには、EEPROMメモリによる不揮発データメモリをシリアル接続するか、又は不揮発プログラムメモリ25A、25Bの一部領域をデータメモリとして使用することにより、異常発生履歴情報を保存することができる。この異常発生履歴情報には、第一から第四の異常検出信号ER1〜ER4の発生回数の累積値を個別に保存格納しておくことによって、保守点検作業に於いて外部ツール19によって異常発生状況を読み出して、主制御回路部20A、20Bの演算異常発生状況や、監視制御回路部30A、30Bの監視異常発生状況、シリアル通信回路27、37の通信異常の発生状況を分離して分析することができるものである。

又、以上の説明では監視制御回路部30A、30Bが主制御回路部20A、20Bの異常を検出すると、主制御回路部20A、20Bが初期化、再起動されるようになっているが、主制御回路部20A、20Bの初期化、再起動処理は行わないで出力禁止カウンタ41b、41cの計数を行なって、異常発生回数が所定閾値回数に達したときにスロットル弁開度制御用モータに対する電源リレーを消勢し、所定のデフォルト弁開度による退避運転モードへ移行するようにすることも可能である。ただし、ウォッチドッグタイマ40がリセット出力信号RST0を発生したときには、主制御回路部20A、20Bと監視制御回路部30A、30Bとの初期化、再起動が行なわれ、出力禁止カウンタ41aが異常発生回数を計数するものである。

この発明の実施の形態１に係る車載電子制御装置の全体構成図である。 この発明の実施の形態１に係る車載電子制御装置に於けるシリアル通信を説明するタイムチャートである。 この発明の実施の形態１に係る車載電子制御装置に於ける質問、回答情報の変遷を説明する説明図である。 この発明の実施の形態１に係る車載電子制御装置の各種メモリと論理ブロックの内容を示す一覧表である。 この発明の実施の形態１に係る車載電子制御装置のパターンメモリの概念図である。 この発明の実施の形態１に係る車載電子制御装置の主制御回路部の送信動作を説明するフローチャートである。 この発明の実施の形態１に係る車載電子制御装置の監視制御回路部の受信動作を説明するフロ−チャ−トである。 この発明の実施の形態１に係る車載電子制御装置の監視制御回路部の送信動作を説明するフロ−チャ−トである。 この発明の実施の形態１に係る車載電子制御装置の主制御回路部の受信動作を説明するフロ−チャ−トである。 この発明の実施の形態１に係る車載電子制御装置の第一の加減算集計手段の動作を説明する特性線図である。 この発明の実施の形態１に係る車載電子制御装置の第二、第四の加減算集計手段の動作を説明する特性線図である。 この発明の実施の形態１に係る車載電子制御装置の第三の加減算集計手段の動作を説明する特性線図である。 この発明の実施の形態２による車載電子制御装置の構成を示す全体構成図である。 この発明の実施の形態２による車載電子制御装置の各種メモリ情報の内容を示す一覧表である。 この発明の実施の形態２による車載電子制御装置の各種設定定数の一例を示した一覧表である。 従来の装置に於ける異常判定手段の概要を示す概念図である。

符号の説明

10A、10B 電子制御装置 11a 第一の入力センサ群
11b 第二の入力センサ群 12a 第一の電気負荷群
12b 第二の電気負荷群 13 外部電源
19 外部ツール 20 マイクロプロセッサ
21 第一の入力インタフェース回路 31 第二の入力インタフェース回路
22 第一の出力インタフェース回路 32 第二の出力インタフェース回路
24 ＲＡＭメモリ 25A、25B 不揮発プログラムメモリ
26、36 多チャンネルＡＤ変換器 20A、20B 主制御回路部
27、37 シリアル通信回路 30a 論理回路部
30b 補助マイクロプロセッサ 30A、30B 監視制御回路部
34 補助ＲＡＭメモリ 35A データメモリ
35B 補助不揮発プログラムメモリ 41a〜41d 出力禁止カウンタ
42 印刷パターン 602a 第三、第四の判定数値選択手段
603b 誤答情報生成手段 603c 回答情報生成手段
714a 符号誤り検出手段（下り通信） 714d 第二の加減算集計手段
716 応答遅延判定手段 717a 異常判定手段
717e 第一の加減算集計手段 718a 第一の異状発生確定手段
718b 第二の異状発生確定手段 719a 第一の初期化手段
719b 第二の初期化手段 802a 第一、第二の判定数値選択手段
804 質問情報更新手段 805a 質問情報生成手段
914a 符号誤り検出手段（上り通信） 914d 第四の加減算集計手段
917a 現在値情報監視手段 917d 第三の加減算集計手段
918a 第三の異状発生確定手段 918b 第四の異状発生確定手段
919a 第三の初期化手段 919b 第四の初期化手段
ER1 第一の異常検出信号 ER2 第二の異常検出信号
ER3 第三の異常検出信号 ER4 第四の異常検出信号
ALT 通信許可信号 CLK クロック信号（通信同期信号）
UPD 上り通信情報 DND 下り通信情報
Te 連続異常検出時間 Tc 通信許可周期（通信周期）
Tq 質問更新周期（質問周期） Δ１〜Δ５ 第一〜第五の変分値
TBL1 第一の設定定数集団 RST0、RST1、RST2 リセット出力信号
TBL2 第二の設定定数集団 TBL3 第三の設定定数集団
TBL4 第四の設定定数集団 Ni、Nj、Nk 異常判定閾値
Nsj、Nsi、N0 初期設定値

Claims (14)

1. 不揮発プログラムメモリと、演算処理用ＲＡＭメモリと、第一の入力センサ群が接続された第一の入力インタフェース回路と、第一の電気負荷群が接続された第一の出力インタフェース回路と、前記不揮発プログラムメモリに格納された制御プログラムの内容と前記第一の入力センサ群の動作状態に応動して、前記第一の電気負荷群を制御するマイクロプロセッサとを備えた主制御回路部と、
   前記マイクロプロセッサに対してシリアル通信回路によって接続され、複数の質問情報を定期的に前記主制御回路部へ順次選択送信する質問情報生成手段と、前記質問情報に対する正解情報を格納する正解情報格納メモリと、前記質問情報に基づく前記主制御回路部からの回答情報と前記正解情報格納メモリに格納されている前記正解情報とを比較して前記主制御回路部の異常の有無を判定する異常判定手段と、前記回答情報を包含する前記主制御回路部からの下り通信により送信された下り通信情報に対する符号誤り検出手段とを有する監視制御回路部と、
   を備えた車載電子制御装置であって、
   前記監視制御回路部は、更に、
   前記異常判定手段に応動する第一の加減算集計手段と、
   前記異常判定手段に応動する第一の異常発生確定手段と、
   前記異常判定手段に応動する第一の判定数値選択手段と、
   前記第一の加減算集計手段と前記第一の異常発生確定手段とに適用される第一の設定定数集団と、
   前記符号誤り検出手段に応動する第二の加減算集計手段と、
   前記符号誤り検出手段に応動する第二の異常発生確定手段と、
   前記符号誤り検出手段に応動する第二の判定数値選択手段と、
   前記第二の加減算集計手段と前記第二の異常発生確定手段に適用される第二の設定定数集団と、
   を備え、
   前記第一の設定定数集団は、第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第四の変分値Δ４と、異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を車種に応じて選択可能に構成され、
   前記第一の判定数値選択手段は、前記異常判定閾値Ｎjと連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第一の設定定数集団から選択適用し、
   前記第一の加減算集計手段は、前記下り通信により送信された下り通信情報に通信異常が検出されていない状態に於いて、前記異常判定手段が前記回答情報と前記正解情報とが不一致であるとの異常判定をしたときには前記第四の変分値Δ４を加算又は減算すると共に、前記回答情報と前記正解情報とが一致するとの正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第一の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
   前記第一の異常発生確定手段は、前記第一の変分値Δ１及び前記第四の変分値Δ４の累積によって前記第一の加減算集計手段の現在値が異常側限界値に達したときに、第一の異常検出信号を発生し、
   前記異常判定閾値Ｎjは、前記第一の加減算集計手段に於ける前記異常側限界値と前記
   正常側限界値との差分値に相当し、
   前記第一の異常発生確定手段による実際の連続異常検出時間は、質問更新周期Ｔqで順
   次発生する前記質問情報に対する前記回答情報が全て前記正解情報とは異なる内容であったときに、前記第一の現在値メモリの値が前記第一の加減算集計手段に於ける前記正常側限界値にあった状態から前記第一の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
   前記実際の連続異常検出時間は、前記異常判定閾値Ｎjを前記第四の変分値Δ４で除し
   た値と、前記質問更新周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
   された連続異常検出時間Ｔe以下の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎjが算出され、
   前記第二の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第二の変分値Δ２と、異常判定閾値Ｎkと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
   前記第二の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第二の設定定数集団から選択適用し、
   前記第二の加減算集計手段は、前記符号誤り検出手段が前記下り通信に異常ありとの判定を行なったときには前記第二の変分値Δ２を加算又は減算すると共に、前記下り通信に異常なしとの判定を行なったときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第二の現在値メモリに対する加減算補正を行い、前記異常なしとの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
   前記第二の異常発生確定手段は、前記第一の変分値Δ１及び前記第二の変分値Δ２の累積によって前記第二の加減算集計手段の現在値が異常側限界値に達したときに、第二の異常検出信号を発生し、
   前記異常判定閾値Ｎkは、前記第二の加減算集計手段に於ける前記異常側限界値と前記
   第二の加減算集計手段に於ける前記正常側限界値との差分に相当し、
   前記第二の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
   生する前記下り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第二の現在値メモリの値が前記第二の加減算集計手段に於ける前記正常側限界値にあった状態から前記第二の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、 前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ１、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcとの積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
   前記主制御回路部は、更に、
   前記質問情報に対応した回答情報を生成する回答情報生成手段を備えるとともに、
   前記監視制御回路部に関する異常判定手段となる逆監視情報監視手段と、前記質問情報と前記監視制御回路部に対する逆監視情報とを包含した前記監視制御回路部からの上り通信情報に対する符号誤り検出手段と、のうちの少なくとも一方と、
   前記逆監視情報監視手段に応動する第三の判定数値選択手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の判定数値選択手段と、のうちの少なくとも一方と、
   前記逆監視情報監視手段に応動する第三の加減算集計手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の加減算集計手段と、のうちの少なくとも一方と、
   前記逆監視情報監視手段に応動する第三の異常発生確定手段と、前記上り通信情報に対する符号誤り検出手段に応動する第四の異常発生確定手段と、のうちの少なくとも一方と、
   前記第三の加減算集計手段と第三の異常発生確定手段とに適用される第三の設定定数集団と、前記第四の加減算集計手段と前記第四の異常発生確定手段とに適用される第四の設定定数集団と、のうちの少なくとも一方と、
   を備え、
   前記第三の設定定数集団は、前記第一の変分値Δ１と、前記第一の変分値Δ１よりも大きな値である第三の変分値Δ３と、異常判定閾値Ｎiと連続異常検出時間Ｔeとのうちの少なくとも前記連続異常検出時間Ｔeを含み、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる複数の設定定数集団を前記車種に応じて選択可能に構成され、
   前記第三の判定数値選択手段は、前記異常判定閾値Ｎiと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第三の設定定数集団から選択適用し、
   前記第三の加減算集計手段は、前記監視制御回路部から前記主制御回路部に送信された上り通信情報に通信異常が検出されていない状態に於いて、前記逆監視情報監視手段が前記監視制御回路部の異常判定を行なったときには、前記第三の変分値Δ３を加算又は減算すると共に、正常判定をしたときには前記第一の変分値Δ１を減算又は加算して相互に減殺するように第三の現在値メモリに対する加減算補正を行い、異常なし判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
   前記第三の異常発生確定手段は、前記第一及び第三の変分値の累積によって前記第三の加減算集計手段の現在値が異常側限界値に達したときに、前記第三の異常検出信号を発生し、
   前記異常判定閾値Ｎiは、前記第三の加減算集計手段に於ける前記異常側限界値と前記
   第三の加減算集計手段に於ける前記正常側限界値との差分に相当し、
   前記第三の異常発生確定手段による実際の連続異常検出時間は、前記誤答送信周期Ｔq
   で順次発生する誤答情報に対する前記逆監視情報が全て異常であったときに、前記第三の現在値メモリの値が正常側限界値にあった状態から異常側限界値に達するまでの時間であって、
   前記実際の連続異常検出時間は、前記異常判定閾値Ｎiを前記第三の変分値Δ３で除し
   た値と、前記誤答送信周期Ｔqとの積に相当し、当該実際の連続異常検出時間は前記設定
   された連続異常検出時間Ｔe以下の値となるように前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎiが算出され、
   前記第四の設定定数集団は、前記第二の設定定数集団と同様に構成され、
   前記第四の判定数値選択手段は、前記異常判定閾値Ｎkと前記連続異常検出時間Ｔeとのうちの少なくとも一方の値が異なる前記複数の設定定数集団のうちの何れか一つを、前記車種に対応して前記第四の設定定数集団から選択適用し、
   前記第四の加減算集計手段は、前記符号誤り検出手段が上り通信異常ありの判定を行なったときには第二の変分値Δ２を加算又は減算すると共に、上り通信異常なしの判定を行なったときには第一の変分値Δ１を減算又は加算して相互に減殺するように第四の現在値メモリに対する加減算補正を行い、異常なしの判定が継続したときには所定の正常側限界値に於いて前記第一の変分値Δ１による加減算補正を停止し、
   前記第四の異常発生確定手段は、前記第一及び第二の変分値の累積によって前記第四の加減算集計手段の現在値が異常側限界値に達したときに、前記第四の異常検出信号を発生し、
   前記第四の加減算集計手段に於ける前記異常側限界値と前記正常側限界値との差分値は異常判定閾値Ｎkとなり、
   前記第四の異常発生確定手段による実際の連続異常検出時間は、通信周期Ｔcで順次発
   生する前記上り通信情報の通信誤り率が所定値以上である状態が持続したときに、前記第四の現在値メモリの値が前記第四の加減算集計手段に於ける前記正常側限界値にあった状態から前記第四の加減算集計手段に於ける前記異常側限界値に達するまでの時間であって、
   前記実際の連続異常検出時間は、前記異常判定閾値Ｎkと前記第一及び第二の変分値Δ
   １、Δ２と前記所定の通信誤り率とに関連して算出される交信回数と前記通信周期Ｔcと
   の積に相当し、当該実際の連続異常検出時間は前記設定された連続異常検出時間Ｔe以下
   の値となるように、前記設定された連続異常検出時間Ｔeに関連して前記異常判定閾値Ｎkが算出され、
   前記第一及び第二の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報を、前記シリアル通信回路を介して前記監視制御回路部の補助ＲＡＭメモリ又は不揮発データメモリに送信した選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定され、
   前記第三及び第四の設定定数集団は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて選択設定される
   ことを特徴とする監視制御回路を有する車載電子制御装置。
2. 前記質問情報は、前記不揮発プログラムメモリに包含された一部の演算命令に対応した制御プログラム、又は当該演算命令の少なくとも一部を包含した内容の代替プログラムであって、同じ不揮発プログラムメモリの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムに於いて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は前記不揮発プログラムメモリに格納されており、
   前記回答情報生成手段は、前記質問情報によって指定された被試験プログラムと入力定数に基づいて回答情報を生成して前記監視制御回路部へ送信する
   ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
3. 前記監視制御回路部は、第一の初期化手段を備え、
   前記第一の初期化手段は、前記第一の異常検出信号の発生に伴って前記マイクロプロセッサを初期化して再起動すると共に、前記第一の現在値メモリの値を初期設定値Ｎsjに設定する手段であり、
   前記第一の設定定数集団は、前記初期設定値Ｎsjを包含するものであって、前記初期設定値Ｎsjの値は前記異常判定値Ｎjに接近した値であり、
   前記マイクロプロセッサが初期化され再起動される回数は、出力禁止カウンタによって計数され、前記出力禁止カウンタの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタの前記計数現在値はリセットされるものである
   ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
4. 前記監視制御回路部における下り通信の符号誤り検出手段は、前記主制御回路部から前記監視制御回路部に送信された前記下り通信情報の受信データに関して、サムチェック又はＣＲＣチェックで代表される符号点検手段によってビット情報の混入又は欠落の有無を検出する、
   ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
5. 前記監視制御回路部は、前記シリアル通信回路を介して前記マイクロプロセッサに対する一部の入出力信号となる第二の入力センサ群と第二の電気負荷群との入出力信号の交信を行なうと共に、
   前記主制御回路部から前記監視制御回路部に対して送信される下り通信情報は、前記監視制御回路部に於いて必要とされる設定定数又は制御出力と、前記監視制御回路部から前記主制御回路部への上り通信により送信された前回の上り通信情報で得られた前記質問情報に対する回答情報と第二のフラグ情報と符号点検情報とを包含し、
   前記上り通信情報は、前記監視制御回路部に対する入力信号情報、若しくは前記主制御回路部から得られた前記設定定数、又は前記制御出力の記憶情報と、今回の質問情報と第一のフラグ情報と符号点検情報とを包含し、
   前記第一のフラグ情報は、前記監視制御回路部に於いて前記質問情報の内容が更新変更された時点に於いて変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものであり、
   前記第二のフラグ情報は、前記質問情報の内容が更新変更されたことに伴って、前記主制御回路部が前記回答情報の内容を更新させた時点に於いて変化して、回答情報の更新を通報する１ビット又は複数ビットの識別信号となるものであることを特徴とする請求項４に記載の監視制御回路を有する車載電子制御装置。
6. 前記監視制御回路部は、更に、質問情報更新手段と応答遅延判定手段を備えており、
   前記質問情報更新手段は、前記上り通信情報に包含される質問情報が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新し、
   前記応答遅延判定手段は、前記監視制御回路部が前記第一のフラグ情報の内容を変化させてから、第二のフラグ情報の受信データが変化するまでの時間が所定時間を超過していたときに前記主制御回路部の異常であると判定する手段であり、
   前記第一の加減算手段は、前記応答遅延判定手段が異常判定を行なったときに、前記第四の変分値Δ４よりも大きな値である第五の変分値Δ５による加減算補正を行なうものである
   ことを特徴とする請求項４に記載の監視制御回路を有する車載電子制御装置。
7. 前記監視制御回路部は、更に第二の初期化手段を備え、
   前記第二の初期化手段は、前記第二の異常検出信号の発生に伴って前記マイクロプロセッサを初期化して再起動すると共に、前記第一及び第二の現在値メモリの値を所定の初期設定値Ｎsj、Ｎ0に設定する手段であり、
   前記第二の設定定数集団は、更に、前記第二の現在値メモリに対する初期設定値Ｎ0を
   包含するものであって、前記初期設定値Ｎ0の値は前記第二の加減算集計手段に於ける正
   常側限界値に接近した値であり、
   前記マイクロプロセッサが初期化され再起動される回数は、出力禁止カウンタによって計数され、前記出力禁止カウンタの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタの現在値はリセットされるものである
   ことを特徴とする請求項５に記載の監視制御回路を有する車載電子制御装置。
8. 前記不揮発プログラムメモリは、更に、誤答情報生成手段と前記逆監視情報監視手段となる現在値情報監視手段となる制御プログラムを備え、
   前記上り通信情報は、前記監視制御回路部に於ける第一の現在値メモリの値である現在値情報を包含し、
   前記誤答情報生成手段は、前記質問情報に対して意図的に不正解情報を回答情報として送信する手段であって、前記誤答情報生成手段によって意図的に誤答送信するタイミングは前記第一の加減算集計手段による異常監視の集計値に余裕があって、１回の誤答回答によっては前記第一の異常発生確定手段が前記第一の異常検出信号を発生しない時点に於いて実行され、
   前記現在値情報監視手段は、前記上り通信情報である現在値情報を監視することによって監視制御回路部が正常に動作していることを前記主制御回路部によって逆監視して、前記監視制御回路部の異常の有無を判定する手段であり、
   前記誤答情報生成手段は、誤答送信したにも関わらず前記現在値情報監視手段が前記第一の現在値レジスタの変化を確認できないときに引き続いて誤答送信を行う、
   ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
9. 前記不揮発プログラムメモリは、更に、第三の初期化手段を備え、
   前記第三の初期化手段は、前記第三の異常検出信号の発生に伴って前記監視制御回路部を初期化して再起動すると共に、前記第三の現在値メモリの値を初期設定値Ｎsiに設定する手段であり、
   前記第三の設定定数集団は、更に、前記初期設定値Ｎsiを包含するものであって、前記初期設定値Ｎsiの値は前記異常判定値Ｎiに接近した値であり、
   前記監視制御回路部が初期化されて再起動する回数は、出力禁止カウンタによって計数され、当該出力禁止カウンタの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタの現在値はリセットされるものである
   ことを特徴とする請求項８に記載の監視制御回路を有する車載電子制御装置。
10. 前記上り通信情報の符号誤り検出手段は、前記監視制御回路部から主制御回路部に送信された上り通信情報の受信データに関して、サムチェック又はＣＲＣチェックで代表される符号点検手段によってビット情報の混入又は欠落の有無を検出する、
    ことを特徴とする請求項１又は請求項８に記載の監視制御回路を有する車載電子制御装置。
11. 前記不揮発プログラムメモリは、更に、第四の初期化手段を備え、
    前記第四の初期化手段は、前記第四の異常検出信号の発生に伴って前記監視制御回路部を初期化して再起動すると共に、前記第三及び第四の現在値メモリの値を所定の初期設定値Ｎsi、Ｎ0に設定する手段であり、
    前記第四の設定定数集団は、更に、前記第四の現在値メモリに対する初期設定値Ｎ0を
    包含するものであって、当該初期設定値Ｎ0の値は前記第四の加減算集計手段に於ける正
    常側限界値に接近した値であり、
    前記監視制御回路部が初期化されて再起動する回数は、出力禁止カウンタによって計数され、前記出力禁止カウンタの計数現在値が所定閾値に達すると特定電気負荷の駆動を停止した退避運転モードに移行し、電源スイッチが一旦遮断されて再投入されると前記出力禁止カウンタの現在値はリセットされるものである
    ことを特徴とする請求項１０に記載の監視制御回路を有する車載電子制御装置。
12. 前記監視制御回路部は、マイクロプロセッサを持たない論理回路部と補助ＲＡＭメモリによって構成されており、
    前記論理回路部は、前記質問情報生成手段と、質問情報更新手段と、異常判定手段と、応答遅延判定手段と、下り通信情報に対する符号誤り検出手段と、第一及び第二の加減算集計手段と、第一及び第二の異常発生確定手段とに対応した論理回路を包含し、
    前記第一及び第二の判定数値選択手段は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報を、前記シリアル通信回路を介して前記監視制御回路部の補助ＲＡＭメモリに送信した選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチ情報であるか、又は前記監視制御回路部に設けられた不揮発データメモリに格納された選択情報に基づいて前記第一の設定定数集団のいずれか一つと、前記第二の設定定数集団のいずれか一つとを選択し、
    前記第一及び第二の設定定数集団に於ける前記第一の変分値Δ１、第二の変分値Δ２、第四の変分値Δ４、第五の変分値Δ５、通信周期Ｔc、質問情報の更新
    周期Ｔqと、前記質問情報に対する正解情報は、固定の制御定数として前記監視
    制御回路部に設けられた不揮発データメモリに格納されるか、若しくは前記論理回路部を構成する集積回路素子内の配線パターンによって論理回路の中に組み込まれていて、
    前記補助ＲＡＭメモリは、前記第一及び第二の現在値メモリを包含する
    ことを特徴とする請求項６に記載の監視制御回路を有する車載電子制御装置。
13. 前記監視制御回路部は、補助マイクロプロセッサと、当該補助マイクロプロセッサと協働する補助不揮発プログラムメモリと補助ＲＡＭメモリ又は不揮発データメモリを包含し、
    前記補助不揮発プログラムメモリは、前記質問情報生成手段と、前記質問情報更新手段と、前記異常判定手段と、前記応答遅延判定手段と、前記下り通信情報に対する符号誤り検出手段と、前記第一及び第二の加減算集計手段と、前記第一及び第二の異常発生確定手段とのうちの複数の手段に対応した制御プログラムを包含すると共に、
    前記第一及び第二の判定数値選択手段は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報を、前記シリアル通信回路を介して前記監視制御回路部の補助ＲＡＭメモリ、又は不揮発データメモリに送信した選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて前記第一の設定定数集団のいずれか一つと、前記第二の設定定数集団のいずれか一つとを選択し、
    前記第一及び第二の設定定数集団に於ける前記第一の変分値Δ１、第二の変分値Δ２、第四の変分値Δ４、第五の変分値Δ５、通信周期Ｔc、質問情報の更新
    周期Ｔqと、前記質問情報に対する正解情報は、固定の制御定数として前記補助
    不揮発プログラムメモリに格納されており、
    前記補助ＲＡＭメモリは、前記第一及び第二の現在値メモリを包含する
    ことを特徴とする請求項６に記載の監視制御回路を有する車載電子制御装置。
14. 前記主制御回路部に包含された不揮発プログラムメモリは、前記回答情報生成手段と、前記誤答情報生成手段と、前記現在値情報監視手段と、前記上り通信情報に対する符号誤り判定手段と、前記第三及び第四の加減算集計手段と、前記第三及び第四の異常発生確定手段との中の複数の手段に対応した制御プログラムを包含すると共に、
    前記不揮発プログラムメモリは、更に、前記第三及び第四の設定定数集団を構成する前記第一の変分値Δ１、第二の変分値Δ２、第三の変分値Δ３、通信周期Ｔc、質問情報の
    更新周期Ｔqと、前記質問情報に対する入力データテーブルとが格納されており、
    前記第三及び第四の判定数値選択手段は、出荷調整時に外部ツールから前記不揮発プログラムメモリに格納された前記選択情報であるか、若しくは前記車載電子制御装置を構成する電子回路基板の印刷パターンによって構成されたパターンスイッチによる選択情報に基づいて、前記第三の設定定数集団の何れか一つと、前記第四設定定数集団の何れか一つとを選択し、
    前記ＲＡＭメモリは、前記第三及び第四の現在値メモリを包含する
    ことを特徴とする請求項１０に記載の監視制御回路を有する車載電子制御装置。

Images