JP5383590B2

JP5383590B2 - 異常検出方法および車両制御装置

Info

Publication number: JP5383590B2
Application number: JP2010117476A
Authority: JP
Inventors: 透城所; 徹登根; 新一蔦野
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2010-05-21
Filing date: 2010-05-21
Publication date: 2014-01-08
Anticipated expiration: 2030-05-21
Also published as: JP2011248390A

Description

本発明は、車両制御装置に関する。

一般的に、図９に示すように、車両１、２には車両用制御装置３、４が搭載されており、車両用制御装置３，４はブレーキ５の制御を行っている。車両用制御装置３、４は、ブレーキ５へブレーキ指令を出し、そのブレーキ指令を受け取ったブレーキは車両１、２に取り付けられている車輪６、７へブレーキ指令を実行する。このような車両用制御装置３、４には、複数のＣＰＵを用いて構成されるシステムが内蔵されている。システム内では、ＣＰＵ相互間で情報の受け渡しを行い、その情報のやり取りによってブレーキが制御されている。

特開平５−８１２２２号公報特開平５−２１６８５５号公報

しかしながら、システムに内蔵される複数のＣＰＵのいずれかが正常に動作しなくなった場合でも、正常に動作しているＣＰＵは、異常となったＣＰＵからの情報を正常な情報であるかのように受け取り、使用する場合がある。上記のような状況になった場合、鉄道ではブレーキが制御不能になる恐れがあり、安全な走行が維持できない可能性もある。

本発明は、上記問題点を解決するためになされたもので、システムに内蔵される複数のＣＰＵを監視し、システムの正常動作を維持し、制御性能を向上させることができる車両制御装置を提供することを目的とする。

上記の課題を解決するために、本発明による異常検出方法は、第１のプロセッサと第２のプロセッサとを備えたシステムにおける、プロセッサの異常検出方法であって、前記第１のプロセッサは、前記第２のプロセッサへ送信した第１のデータと、前記第２のプロセッサから受信した第２のデータと、を比較し、この比較の結果が一致を示す場合に前記第２のプロセッサが正常であると判定し、前記第２のプロセッサは、前記第１のプロセッサから受信した第１のデータと、前記第１のプロセッサから前回受信した前回の第１のデータと、を比較し、この比較の結果が不一致を示す場合に前記第１のプロセッサが正常であると判定する。さらに、前記第１のプロセッサから送信される第１のデータと前記第２のプロセッサから送信される第２のデータは、あらかじめ定められた順序で変化する値としている。

システムに内蔵される複数のＣＰＵのいずれかにおいて異常が発生した場合にその異常を検知することで、制御装置の安定動作を維持することが可能となる。

第１の実施形態のシステムブロック図。第１の実施形態の第１ＣＰＵのフローチャート。第１の実施形態の第２ＣＰＵのフローチャート。第１の実施形態の比較演算回数と異常検出値の関係図。第２の実施形態のシステムブロック図。第３の実施形態のシステムブロック図。第４の実施形態のシステムブロック図。第５の実施形態のシステムブロック図。一般的な車両用制御装置とブレーキの関係図。

以下、本発明の実施形態を図面を参照して説明する。

（第１の実施形態）
（構成）
図１を参照して、以下に本実施形態の構成を説明する。第１システム１００は第１ＣＰＵ１０１と第２ＣＰＵ１０７、第１共通エリア１１３、第２共通エリア１１４で構成される。第１ＣＰＵ１０１は、第１チェックデータ書込み部１０２、第１チェックデータ読込み部１０３、第１比較回路部１０４、第１積算部１０５、第２ＣＰＵ異常検出部１０６を有している。また、第２ＣＰＵ１０７は、第２チェックデータ読込み部１０８、第２比較回路部１０９、第２積算部１１０、第１ＣＰＵ異常検出部１１１、第２チェックデータ書込み部１１２を有している。

第１ＣＰＵ１０１において、第１チェックデータ書込み部１０２は、第１比較回路部１０４と第１積算部１０５と接続され、第１チェックデータ読込み部１０３、第１比較回路部１０４と接続され、第１比較回路部１０４は、第１チェックデータ書込み部１０２と第１積算部１０５と接続され、第１積算部は、第２ＣＰＵ異常検出部１０６と接続されている。

第２ＣＰＵ１０７において、第２チェックデータ読込み部１０８は、第２比較回路部１０９と接続され、第２比較回路部１０９は、第２積算部１１０と第２チェックデータ書込み部１１２と接続され、第２積算部１１０は、第１ＣＰＵ異常検出部１１１と第２チェックデータ書込み部１１２と接続され、第２チェックデータ書込み部１１２は、第２比較回路部１０９と第２積算部１１０と接続される。

また、第１共通エリア１１３は、第１チェックデータ書込み部１０２と第２チェックデータ読込み部１０８と接続される。また、第２共通エリア１１４は、第１チェックデータ読込み部１０３と第２チェックデータ書込み部１１２と接続される。

（作用）
次に、図２及び図３を参照して、以下に本実施形態の作用を説明する。図２に示すように、第１ＣＰＵ１０１では第１の異常検出手段を実行する。第１ＣＰＵ１０１は、第１共通エリア１１３に第１チェックデータ値を書き込む（Ｓ１００１）。ここで述べたチェックデータ値とは第１ＣＰＵ１０１と第２ＣＰＵ１０７で同値で発生する制御サンプリング信号である。例えば、１から１００までの数値が順番に第１チェックデータ書込み部１０２及び第２チェックデータ書込み部１１２で第１チェックデータ値と第２チェックデータ値として発生する。次に、第２共通エリア１１４へ入力された第２チェックデータ値が、第１チェックデータ読込み部１０３に出力される（Ｓ１００２）。このとき、Ｓ１００１とＳ１００２の実行順序は本実施形態に限定されず、Ｓ１００２からＳ１００１の順番で実効することや同時に実行することも可能である。次に、第１共通エリア１１３に書き込んだ第１チェックデータ値と第２共通エリア１１４から読み込んだ第２チェックデータ値が第１比較回路部１０４に入力される。第１比較回路部１０４では、第１チェックデータ値＝第２チェックデータ値（第１比較回路演算式）が成立するかどうか判定する（Ｓ１００３）。第１比較回路演算式が成立する場合、第１比較回路１０４は、第１チェックデータ書込み部１０２に“正常”信号を出力する（Ｓ１００４）。“正常”信号を受け取った第１チェックデータ書込み部１０２は、再度、第１の異常検出手段を実行する。

また、第１比較演算式が成立しない場合、第１比較回路部１０４から第１積算部１０５へ第１比較演算式を行った結果を出力する。第１積算部１０５では行った比較演算回数を積算する（Ｓ１００５）。第１積算部１０５では、“第２ＣＰＵ異常”と判定するため、所定の比較演算を行った回数の積算値（＝第１異常検出値）が設定されている。図４の（ア）のように、第１異常検出値まで第１比較演算式が成立しない場合（第１異常検出値≦比較演算回数）は、第２ＣＰＵ１０７に異常があるとして“第２ＣＰＵ異常”の結果を検出する。また、図４の（イ）のように、第１積算部１０５において、第１異常検出値に到達する前に第１比較演算式が成立した場合（第１異常検出値＞比較演算回数）は、積算した比較演算回数の値をゼロに戻し（Ｓ１００８）、第１積算部１０５より第１チェックデータ書込み部１０２へ“正常”信号を出力する。“正常”信号が入力された第１チェックデータ書込み部１０２は、第１の異常検出手段を再度実行する。

第２ＣＰＵでは、図３に示すような第２の異常検出手段が実行される。図３に示すように、第２チェックデータ読込み部１０８は、第１共通エリア１１３から第１チェックデータ値を読み込む（Ｓ１０１１）。第２チェックデータ読込み部１０８は、読込んだ第１チェックデータ値を第２比較回路１０９へ出力する。第２比較回路１０９では、その時に読み込んだ第１チェックデータ値（“今回第１チェックデータ値”とする）と、その前に読込んだ第１チェックデータ値（“前回第１チェックデータ値”とする）を使用して、第２比較演算式（今回第１チェックデータ値≠前回第１チェックデータ値）が成立するかどうかを判定する（Ｓ１０１２）。第２比較演算式が成立する場合、第２比較回路１０９は、第２チェックデータ書込み部１１２に“正常”信号を出力する。“正常”信号が入力された第２チェックデータ書込み部１１２は、新たなチェックデータ値を第２共通エリア１１４に出力し、再度、第２の異常検出手段が実行されることになる。

また、第２比較演算式が成立しない場合、第２積算部１１０では、第２比較演算を行った回数を積算する（Ｓ１０１４）。第２比較回路１０９から第２積算部１１０へ第２比較演算式を行った結果を出力する。第２積算部１１０では、“第１ＣＰＵ異常”と判定するための所定の比較演算回数を積算した値（第２異常検出値）が設定されている。第２積算部１１０は、第２異常検出値に到達するまでに、第２比較演算式が成立するかどうかを判定する（Ｓ１０１５）。第２異常検出値まで第２比較演算式が成立しない場合（第２異常検出値≦比較演算回数値）は、“第１ＣＰＵ異常”の結果を検出する。また、第２異常検出値までに第２比較演算が成立する場合（第２異常検出値＞比較演算回数値）は、積算した比較演算回数値をゼロに戻し（Ｓ１０１６）、第２積算部１１０から第２チェックデータ書込み部１１２へ“正常”信号が出力され、第２の異常検出手段を再度実行することになる。

システム１００は上記の第１の異常検出手段と第２の異常検出手段を合わせたシステム異常検出手段を有している。

第１共通エリア１１３及び、第２共通エリア１１４は、例えばデュアルポートＲＡＭなど複数方向からの書込み、読込み可能なものであれば本実施形態への適応が可能である。また、第１ＣＰＵ１０１と第２ＣＰＵ１０７間のやりとりを可能とする通信回線等を本実施形態の適用することが可能である。

（効果）
このような構成の本実施形態の車両用制御装置は、第１ＣＰＵと第２ＣＰＵを用いて構成するシステムにおいて、第１ＣＰＵと第２ＣＰＵのいずれかが正常に動作しなくなった場合に、第１ＣＰＵと第２ＣＰＵ間の相互監視において第１ＣＰＵまたは第２ＣＰＵに異常が発生したかを検出することが可能となる。そのため、異常を検出するための部品等を設けることがないため、異常を発見するための部品が破損することにより安全性が損なわれることがなく、部品点数を削減することが可能である。また、複数ＣＰＵを外部回路にて監視するようなシステムにおいては、外部回路やその接続部品に異常が発生した場合にＣＰＵの監視が不可能となり、ＣＰＵの異常検知ができない状態に陥る危険性も考えられるが、ＣＰＵ同士の相互監視であればどちらかのＣＰＵまたはその接続部品に異常が発生した場合に異常検知が可能であり、ＣＰＵの異常検知ができない状態に陥る危険性は低い。以上のことから、制御装置の安定動作を維持し、車両の安全な走行を確保することが可能となる。

（第２の実施形態）
第２の実施形態について図を参照し、詳細に説明する。図５は、第２の実施形態の制御ブロック図である。尚、図１乃至４と同一の構成をとるものについては、同符号を付して説明を省略する。

本実施形態は、第１の実施形態とは第１ＣＰＵ１０１と第２ＣＰＵ１０７の内部構成が異なっている。以下、その点について詳細に説明する。

（構成）
図５を参照して、本実施形態の構成を説明する。図５は、システム２００、第１ＣＰＵ２０１、第２ＣＰＵ２０２、第１共通エリア２０７、第２共通エリア２０８、第３共通リア２０９．第４共通エリア２１０で構成される。第１ＣＰＵ２０１は、第１処理タスク２０３と第３処理タスク２０４を有している。第２ＣＰＵは、第２処理タスク２０５と第４処理タスク２０６を有している。第１処理タスク２０３、第３処理タスク２０４は、第１の実施形態の第１ＣＰＵ１０１が内蔵している第１チェックデータ書込み部１０２、第１チェックデータ読込み部１０３、第１比較回路部１０４、第１積算部１０５、第２ＣＰＵ異常検出部１０６を有している。第３処理タスク２０５、第４処理タスク２０５は第１の実施形態の第２ＣＰＵ１０７が内蔵している第２チェックデータ書込み部１１２、第２チェックデータ読込み部１０８、第２比較回路部１０９、第２積算部１１０、第１ＣＰＵ異常検出部１１１を有している。

第１処理タスク２０３と第２処理タスク２０５は、第１共通エリア２０７と第２共通エリア２０８で接続されており、第２処理タスク２０４と第４処理タスク２０６は第３共通エリア２０９と第４共通エリア２１０で接続されている。

（作用）
第１ＣＰＵ２０１の第１処理タスク２０３では、制御サンプリングの抽出時間を、例えば２ｍｓｅｃとし、異常検知手段を実行する。また、第３処理タスク２０４の制御サンプリングの抽出時間は、例えば１０ｍｓｅｃとし、異常検知手段を実行する。

第２ＣＰＵ２０２の第２処理タスク２０５は、第１ＣＰＵの第１処理タスク２０３に対応した異常検知手段を実行する。第２ＣＰＵの第４処理タスク２０６は、第１ＣＰＵの第３処理タスクに対応した異常検知手段を実行する。

処理タスクの数は、本実施形態に限定されず、複数の処理タスクをＣＰＵ内に設けて実行することも可能である。

（効果）
このような構成の本実施形態の車両用制御装置は、１つのＣＰＵ内に複数の異常検出手段を実行することが可能である。そのため、ＣＰＵの異常検出の精度を向上させるとともに、例えばメインＣＰＵの１つの処理タスクに異常が発生して、それをサブＣＰＵが検知したらサブＣＰＵからメインＣＰＵに指令を出して、異常が発生したメインＣＰＵの処理タスクで行なっていた処理をメインＣＰＵの正常な処理タスクに移すことで制御動作の継続が可能となることから、制御装置の安定動作を確保することが可能となる。そのため、車両の安全な走行が可能となる。

（第３の実施形態）
第３の実施形態について図を参照し、詳細に説明する。図６は、第３の実施形態のブロック図である。尚、図１乃至５と同一の構成をとるものについては、同符号を付して説明を省略する。本実施形態は、システム内に複数のＣＰＵを内臓した場合の制御方法について説明する。

（構成）
図６は、システム３００、第１ＣＰＵ３０１、第２ＣＰＵ３０２、第３ＣＰＵ３０３、第１共通エリア３０４、第２共通エリア３０５、第３共通エリア３０６、第４共通エリア３０７、第５共通エリア３０８、第６共通エリア３０９で構成されている。第１ＣＰＵ３０１、第２ＣＰＵ３０２、第３ＣＰＵ３０３の内部構成として、第１の実施形態及び第２の実施形態のＣＰＵを適用させることが可能である。

第１ＣＰＵ３０１は、第１共通エリア３０４と第２共通エリア３０５、第５共通エリア３０８、第６共通エリア３０９と接続されている。第２ＣＰＵ３０２は、第１共通エリア３０４と第２共通エリア３０５、第３共通エリア３０６、第４共通エリア３０７と接続されている。第３ＣＰＵ３０３は、第３共通エリア３０６と、第４共通エリア３０７、第５共通エリア３０８、第６共通エリア３０９と接続されている。

（効果）
このような構成の車両用制御装置は、複数のＣＰＵから構成されるシステムにおいて、ＣＰＵ間の相互監視機能を実行することが可能である。また、複数ＣＰＵを１つの共通エリアで集中して監視するようなシステムにおいては、共通エリアに異常が発生するとどのＣＰＵに異常が発生したか認識できなかったり、異常を誤認識する危険性もある。さらに、ＣＰＵに異常が発生したのか、共通エリアに異常が発生したのかが区別できないという問題もある。このような状況に陥った場合、不具合の原因を特定するための調査に膨大な時間を要することになりがちである。複数ＣＰＵにおいても、このＣＰＵ同士の相互監視を行なうことでどのＣＰＵとの間に異常が発生しているのかが個別に判断でき、例えばＣＰＵ１−ＣＰＵ２間、ＣＰＵ２−ＣＰＵ３間、ＣＰＵ３−ＣＰＵ１間の３つの相互監視が動作していた場合、ＣＰＵ１−ＣＰＵ２間でＣＰＵ１の異常が検知されても、ＣＰＵ３−ＣＰＵ１間の相互監視で異常が検知されていなければ、ＣＰＵ１は正常でＣＰＵ１−ＣＰＵ２間の共通エリアに異常が発生していると判断できる。ＣＰＵ３−ＣＰＵ１間でもＣＰＵ１の異常が検知されていればＣＰＵ１に異常が発生していると判断できる。そのため、不具合の原因特定に要する時間が短縮でき、問題の早期解決に貢献することができる。従って、複数ＣＰＵを設けての高速処理や大容量の処理能力を必要とするシステムにおいても、制御装置の安定動作を確保し、車両の安全な走行が可能となる。

（第４の実施形態）
第４の実施形態について図を参照し、詳細に説明する。図７は、第４の実施形態に基づく制御方法の説明図である。尚、図１乃至６と同一の構成をとるものについては、同符号を付して説明を省略する。

本実施形態は、異常検出手段により検出された“異常”結果の使用方法について説明する。

（構成）
図７に示すように、電力変換装置４００内にはシステム４０１及び切替回路４０２が内蔵されており、車両４０４と切替器４０３を介して接続されている。

（作用）
システム４０１で検出された“異常”信号は切替回路４０２に出力される。“異常”が入力された切替回路４０２は、切替器４０３に開放指令を出力する。開放指令により切替器４０３が開放されると、電力変換装置４００と車両４０４は電気的接続が遮断される。

このように電力変換装置４００と車両４０４の電気的接続が切れた状態において、システム４０１では以下のような動作を行うことが可能である。

“異常”検出を再起動信号に接続し、異常ＣＰＵの再起動を行うことで、異常ＣＰＵを可能な限り再動作するようにする。“異常”検出をシステム４０１全体のリセット信号と接続し、システム４０１のリセットを行うことで、可能な限りシステム４０１を動作できるようにする。“異常”検出結果を正常ＣＰＵ内の不揮発メモリと接続し、不揮発メモリに異常発生時間やチェックデータ値等、異常ＣＰＵ内の情報を保存することで、異常事象の発生原因の調査を行うことが可能となる。“異常”検出を表示信号と接続し、表示機器によって異常を表示することで、異常事態の発生を認識することが可能となる。また、上記の動作は組み合わせて実行することも可能である。また、複数の処理タスクに対応した複数の切替器０４３を設け、各々の処理タスクからの“異常”信号によって切替器４０３を開放することでＣＰＵ内の異常になった処理タスクのみを電気的に遮断する。そのため、異常でないＣＰＵの正常動作を維持することが可能となる。

（効果）
本実施形態においては、検出された“異常”信号に使用して、異常ＣＰＵの回復や、遮断、外部装置への表示をすることが可能となる。そのため、制御装置の安定動作を維持し、車両のより安全な走行を確保することが可能となる。

（第５の実施形態）
第５の実施形態について図を参照し、詳細に説明する。図８は、第５の実施形態に基づく制御方法の説明図である。尚、図１乃至７と同一の構成をとるものについては、同符号を付して説明を省略する。

（構成）
図８に示すように、車体４０４には、電力変換装置４００、ブレーキ制御部４０５が搭載され、車体４０４の下部にはモータ等が付設される車輪部４０６が取り付けられている。電力変換装置４００は、システム４０１及び切替回路４０２が内蔵されており、ブレーキ制御部４０５と切替接点４０３を介して接続されている。

システム４０１は、車輪部４０６、切替回路４０２、ブレーキ制御部４０５と接続されている。切替回路４０２は、システム４０１、切替接点４０３と接続さている。ブレーキ制御部４０５は、システム４０１、切替回路４０２、車輪部４０６と接続されている。

（作用）
システム４０１では、第１の実施形態から第３の実施形態のいずれかの異常検出手段によって、“正常”または“異常”を検出する。検出された結果が“正常”（α´）の場合、“正常”（α´）をシステム４１から切替回路４０２に入力する。“正常”（α´）が入力された切替回路４０２は、切替接点４０３を投入し、“正常”（α´）の情報をブレーキ制御４０５に出力する。

ブレーキ制御部４０５には、切替回路４０２の“正常”（α´）の入力とともに、運転室からの運転操作の情報（α）が入力される。ブレーキ制御４０５では、“正常”（α´）の入力を認知している間は運転操作の情報（α）をシステム４０１に入力する。運転操作の情報（α）が入力されたシステム４０１は、その運転操作の情報（α）に従って、車輪部４０６へブレーキ制御を行う。

また、検出された結果が“異常”（β´）の場合、“異常”（β´）をシステム４０１から切替回路４０２に入力する。“異常”（β´）が入力された切替回路４０２は、切替接点４０３に開放指令を出力する。切替接点４０３が開放され、“正常”（α´）が入力されなくなったブレーキ制御部４０５は、システム４０１への運転操作の情報（α）の入力を停止し、空気ブレーキ、油圧ブレーキ等のブレーキ機器により直接ブレーキ制御を行う。

（効果）
本実施形態においては、検出された“正常”、“異常”信号に使用して、電気的なブレーキ制御とブレーキ機器による直接ブレーキ制御に切り替えを行うことが可能となる。そのため、ＣＰＵ異常のために電気ブレーキ制御を行えなくなった場合にも、必要なブレーキ力をブレーキ機器により補填をすることが可能となる。必要なブレーキ力を確保することで、車両のより安全な走行を確保することが可能となる。

１車両
２車両
３車両制御装置
４車両制御装置
５ブレーキ
６車輪
７車輪
１００システム
１０１第１ＣＰＵ
１０２第１チェックデータ書込み部
１０３第１チェックデータ読込み部
１０４第１比較回路部
１０５第１積算部
１０６第２ＣＰＵ異常検出部
１０７第２ＣＰＵ
１０８第２チェックデータ読込み部
１０９第２比較回路部
１１０第２積算部
１１１第１ＣＰＵ異常検出部
１１２第２チェックデータ書込み部
２００システム
２０１第１ＣＰＵ
２０２第２ＣＰＵ
２０３第１処理タスク
２０４第３処理タスク
２０５第２処理タスク
２０６第４処理タスク
２０７第１共通エリア
２０８第２共通エリア
２０９第３共通エリア
２１０第４共通エリア
３００システム
３０１第１ＣＰＵ
３０２第２ＣＰＵ
３０３第３ＣＰＵ
３０４第１共通エリア
３０５第２共通エリア
３０６第３共通エリア
３０７第４共通エリア
３０８第５共通エリア
３０９第６共通エリア
４００車両用制御装置
４０１システム
４０２切替回路
４０３切替接点
４０４車体
４０５ブレーキ制御部
４０６車輪部

Claims

第１のプロセッサと第２のプロセッサとを備えたシステムにおける、プロセッサの異常検出方法であって、
前記第１のプロセッサは、前記第２のプロセッサへ送信した第１のデータと、前記第２のプロセッサから受信した第２のデータと、を比較し、この比較の結果が一致を示す場合に前記第２のプロセッサが正常であると判定し、
前記第２のプロセッサは、前記第１のプロセッサから受信した第１のデータと、前記第１のプロセッサから前回受信した前回の第１のデータと、を比較し、この比較の結果が不一致を示す場合に前記第１のプロセッサが正常であると判定し、
前記第１のプロセッサから送信される第１のデータおよび前記第２のプロセッサから送信される第２のデータは、あらかじめ定められた順序で変化する値であることを特徴とする異常検出方法。
前記第１のプロセッサは、前記第１のデータと第２のデータとを比較した結果が不一致を示すと、この不一致を示した回数をカウントし、カウントした第１のカウント値が予め定めた第１の値に達した場合に前記第２のプロセッサが異常であると判定し、
前記第２のプロセッサは、前記第１のデータと前記前回の第１のデータとを比較した結果が一致を示すと、この一致を示した回数をカウントし、カウントした第２のカウント値を予め定めた第２の値に達した場合に前記第１のプロセッサが異常であると判定する
ことを特徴とする請求項１に記載の異常検出方法。
前記第１のプロセッサは、前記第１のデータと第２のデータとを比較した結果が一致を示すと前記第１のカウント値をリセットし、前記第２のプロセッサは、前記第１のデータと前記前回の第１のデータとを比較した結果が不一致を示すと前記第２のカウント値をリセットすることを特徴とする請求項２に記載の異常検出方法。
第１のプロセッサと第２のプロセッサと、これら第１のプロセッサと第２のプロセッサに接続され前記第１のプロセッサから第１のチェックデータが書き込まれる第１のメモリ及び前記第２のプロセッサから第２のチェックデータが書き込まれる第２のメモリとを備え、
前記第１のプロセッサは、
前記第１のメモリに書き込んだ第１のチェックデータと前記第２のメモリから読み出した第２のチェックデータとを比較し、この比較の結果が一致を示す場合に前記第２のプロセッサが正常であると判定し、
前記第２のプロセッサは、
前記第１のメモリから読み出した第１のチェックデータと、前記第１のメモリから前回読み出した前回の第１のチェックデータとを比較し、この比較の結果が不一致を示す場合に前記第１のプロセッサが正常であると判定し、
前記第１のプロセッサが第１のメモリに書き込む第１のチェックデータおよび前記第２のプロセッサが第２のメモリに書き込む第２のチェックデータは、あらかじめ定められた順序で変化する値であることを特徴とする車両制御装置。
前記第１のプロセッサは、前記第１のチェックデータと前記第２のチェックデータとを比較した結果が不一致を示すと、この不一致を示した回数をカウントし、カウントした第１のカウント値が予め定めた第１の値に達した場合に前記第２のプロセッサが異常であると判定し、前記第２のプロセッサは、前記第１のチェックデータと前記前回の第１のチェックデータとを比較した結果が一致を示すと、この一致を示した回数をカウントし、カウントした第２のカウント値が予め定めた第２の値に達した場合に前記第１のプロセッサが異常であると判定することを特徴とする請求項４に記載の車両制御装置。
前記第１のプロセッサは、前記第１のチェックデータと第２のチェックデータとを比較した結果が一致を示すと前記第１のカウント値をリセットし、前記第２のプロセッサは、前記第１のチェックデータと前記前回の第１のチェックデータとを比較した結果が不一致を示すと前記第２のカウント値をリセットすることを特徴とする請求項５に記載の車両制御装置。