JP5392058B2 - 処理装置及び制御方法 - Google Patents

Description

本発明は、ＣＰＵ（Central Processing Unit）を用いる処理装置に関し、特に、ＣＰＵの動作状態に異常が発生した場合に外部へ出力する信号を制御することができる処理装置及び制御方法に関する。

内蔵する記憶部に記憶されたプログラムを実行させて多様な動作を実現させることができるマイクロコンピュータ（以下、マイコンという）を用いて、機器を制御する制御装置が多用されている。特に車両の分野では、マイコンを用いるＥＣＵ（Electronic Control Unit）が複数接続される制御システムを利用し、相互に連携してアクチュエータを電気的に制御する構成へ移行しつつある。例えば、パワーウインドの開閉制御、盗難防止のためのハンドルロックの制御などは、モータ及びリレーを組み合わせ、モータの回転制御にて行なわれており、ＣＰＵがモータ及びリレーの制御を行なっている。

マイコンを用いた処理では、処理が予期していない状況となった場合、又は異常な信号がマイコンに入力された場合などに、マイコンが正常な動作を維持することができなくなる場合がある。車両の分野では、異常な動作が継続することは安全のためにもできるだけ回避できなければならない。このため、マイコンから周期的にウォッチドッグパルス（以下、ＷＤ（Watch Dog）パルス）が出力されるようにし、マイコンの動作を監視する監視装置にて当該ウォッチドッグパルスを監視し、ＷＤパルスの出力状態に基づいてマイコンの動作が正常であるか否かを判断するようにした構成が一般的となりつつある。

また、特許文献１には、メインマイコン及びサブマイコンを用い、サブマイコンがメインマイコンからのＷＤパルスにてメインマイコンの動作を監視し、メインマイコンの動作に異常が生じた場合に、サブマイコンによる制御に切り替える技術が提案されている。

特許第３８１７８５５号公報

しかしながら、特許文献１に開示されている技術では、メインマイコンの動作に異常が生じ、メインマイコンによる制御からサブマイコンによる制御に切り替わる際に、サブマイコンは予め設定されたフェイルセーフ値を制御対象に出力する構成である。即ち、サブマイコンは、メインマイコンの動作に異常が生じる直前におけるメインマイコンの動作状態を考慮せずに予め設定されたフェイルセーフ値を出力するので、メインマイコンに異常が生じた状況に応じた出力値を出力させることはできない。従って、メインマイコンに異常が生じる直前のメインマイコンからの出力値とフェイルセーフ値とが相異する場合、メインマイコンによる制御からサブマイコンによる制御への切り替えをシームレスに行なえない状況が生じる。また、フェイルセーフ値を出力しておくことが必ずしも好ましいとは限らない。できれば異常が発生した時点の直前での制御状態が維持されることが望ましい場合がある。しかしながら、特許文献１に開示されている技術では、サブマイコンがフェイルセーフ値に基づいて制御対象を制御するので、適切な制御を行なえない可能性がある。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、メインで動作する処理部の動作に異常が発生した場合に、安全性を確保しつつ、異なる処理部による制御対象の制御への切り替えをシームレスに行なうことができる処理装置及び制御方法を提供することにある。

本発明に係る処理装置は、信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置において、前記一の処理部が信号処理を実行することによって出力する信号を保持する保持部と、前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させる出力停止部とを備え、他の処理部は、前記出力停止部が前記一の処理部からの信号の出力を停止させた場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に前記保持部が保持していた信号を外部へ出力するようにしてあることを特徴とする。

本発明に係る処理装置は、前記保持部は、前記一の処理部から出力される信号を所定時間に亘って蓄積するようにしてあり、前記他の処理部は、前記異常検出部が前記一の処理部の動作の異常を検出する前の所定時間に亘って前記保持部が蓄積した信号に基づく信号を外部へ出力するようにしてあることを特徴とする。

本発明に係る処理装置は、複数の制御状態のそれぞれに応じた信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置において、前記一の処理部が実行中の信号処理の制御状態を保持する保持部と、前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させる出力停止部とを備え、他の処理部は、前記出力停止部が前記一の処理部からの信号の出力を停止させた場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に前記保持部が保持していた制御状態に応じた信号処理を実行するようにしてあることを特徴とする。

本発明に係る処理装置は、前記保持部は、前記一の処理部が実行中の信号処理の制御状態を所定時間に亘って蓄積するようにしてあり、前記他の処理部は、前記異常検出部が前記一の処理部の動作の異常を検出する前の所定時間に亘って前記保持部が蓄積した制御状態に基づく制御状態に応じた信号処理を実行するようにしてあることを特徴とする。

本発明に係る制御方法は、信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記一の処理部が信号処理を実行することによって出力される信号を外部へ出力する際の制御方法において、前記一の処理部が信号処理を実行することによって出力される信号を保持するステップと、前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させるステップと、他の処理部が、前記一の処理部からの信号の出力が停止された場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に保持していた信号を外部へ出力するステップとを含むことを特徴とする。

本発明に係る制御方法は、複数の制御状態のそれぞれに応じた信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記一の処理部が信号処理を実行することによって出力される信号を外部へ出力する際の制御方法において、前記一の処理部が実行中の信号処理の制御状態を保持するステップと、前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させるステップと、他の処理部が、前記一の処理部からの信号の出力を停止された場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に保持していた制御状態に応じた信号処理を実行するステップとを含むことを特徴とする。

本発明によれば、信号処理を実行する処理部を複数備え、メインで動作する一の処理部が信号処理を実行することによって出力される信号を保持部が保持しておく。そして、一の処理部の動作に異常が生じた場合に、一の処理部からの信号の出力を停止させ、他の処理部が、一の処理部の動作に異常が生じる前に保持部が保持していた信号を出力する。よって、メインで動作する一の処理部の動作に異常が発生した場合に、異常が発生する前の指令状態（一の処理部からの出力信号）が維持されたまま、異なる処理部による制御にシームレスに移行できる。

本発明によれば、保持部が、メインで動作する一の処理部から出力される信号を所定時間に亘って蓄積し、一の処理部の動作に異常が発生した場合に、異常が発生する前の所定時間に亘って保持部が蓄積した信号に基づく信号を外部へ出力する。よって、メインで動作する一の処理部の動作に異常が発生した場合に、異常が発生する前に所定時間継続していた指令状態（一の処理部からの出力信号）に基づいて制御対象が制御されるので、安全性を確保しつつ制御対象を制御できる。

本発明によれば、複数の制御状態のそれぞれに応じた信号処理を実行する処理部を複数備え、メインで動作する一の処理部が実行中の信号処理の制御状態を保持部が保持しておく。そして、一の処理部の動作に異常が生じた場合に、一の処理部からの信号の出力を停止させ、他の処理部が、一の処理部の動作に異常が生じる前に保持部が保持していた制御状態に応じた信号処理を実行する。よって、メインで動作する一の処理部の動作に異常が発生した場合に、異常が発生する前の一の処理部の制御状態が保持され、同一の制御状態に基づいて信号処理が行なわれるので、異なる処理部による制御をシームレスに移行できる。

本発明によれば、保持部が、メインで動作する一の処理部が実行中の信号処理の制御状態を所定時間に亘って蓄積し、一の処理部の動作に異常が発生した場合に、異常が発生する前の所定時間に亘って保持部が蓄積した制御状態に基づく制御状態に応じた信号処理を実行する。よって、メインで動作する一の処理部の動作に異常が発生した場合に、異常が発生する前に所定時間継続していた制御状態に応じた信号処理によって制御対象が制御されるので、安全性を確保しつつ制御対象を制御できる。

本発明では、メインで動作する一の処理部の動作に異常が発生した場合に、異常が発生する前の指令状態（一の処理部からの出力信号）によって制御対象が制御されるので、安全性を確保しつつ、異なる処理部による制御をシームレスに移行できる。

実施の形態１におけるＥＣＵの構成を示す構成図である。 ＥＣＵの動作を説明するためのタイムチャートである。 実施の形態１におけるＥＣＵのサブマイコンが行なう処理の手順を示すフローチャートである。 実施の形態２におけるＥＣＵの構成を示す構成図である。 制御仕様テーブルの格納内容を示す模式図である。 実施の形態２のＥＣＵの動作を説明するためのタイムチャートである。 実施の形態２におけるＥＣＵのサブマイコンが行なう処理の手順を示すフローチャートである。

以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。以下に示す実施の形態では、本発明に係る処理装置を車両に搭載されるＥＣＵに適用する場合を例に説明する。

（実施の形態１）
図１は、実施の形態１におけるＥＣＵの構成を示す構成図である。ＥＣＵ１は、例えば車両に搭載される車載機器への電源分配、又はバッテリ及びオルタネータにおける充放電の制御処理などを含む信号処理を行なう電源マネージメントＥＣＵである。ＥＣＵ１は、自身に接続されるセンサ、又は各種スイッチなどの機器から取得される測定値、又は計算値、制御値などの各種物理量に基づき、オルタネータなどの制御対象へ制御信号を出力する処理装置である。

ＥＣＵ１は、メインマイコン２、サブマイコン３、駆動回路４などを含む。ＥＣＵ１のメインマイコン２は、ＥＣＵ１全体の制御処理を行なうＣＰＵ（コア）２０、電源マネージメントＥＣＵとしての動作を実現するためのプログラムが記憶されるメモリ２１などを備える。メインマイコン２のＣＰＵ２０は、メモリ２１に記憶されているプログラムを読み出して実行することにより、電源マネージメントＥＣＵとしての動作を実現する。ＣＰＵ２０は、メモリ２１に記憶されているプログラムを実行した場合、例えば外部のオルタネータ（制御対象）などに出力すべき信号を駆動回路４を介して出力する。

また、ＣＰＵ２０は、リセット（ＲＥＳＥＴ）信号が入力される端子を備え、リセット信号が入力された場合、電源マネージメントＥＣＵとして動作している際に信号を出力する出力端子を入力ポートに設定する。即ち、ＣＰＵ２０は、リセット信号が入力された場合、出力端子からの信号の出力を禁止する。更に、ＣＰＵ２０は、予め設定されたウォッチドッグ（ＷＤ）パルス出力周期を計測するウォッチドッグ（ＷＤ）タイマを内蔵し、自身の動作が正常であることを示すためのＷＤパルスをＷＤタイマが計測するＷＤパルス出力周期毎に生成してサブマイコン３へ出力するようにしてある。

メモリ２１は、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read Only Memory）、フラッシュメモリなどであり、電源マネージメントＥＣＵとしての動作を実現するためのプログラムと共に、制御用の情報を記憶している。

サブマイコン３は、メインマイコン２と同様に、ＥＣＵ１全体の制御処理を行なうＣＰＵ（コア）３０、電源マネージメントＥＣＵとしての動作を実現するためのプログラムが記憶されるメモリ３１を備え、更に、メインマイコン２（ＣＰＵ２０）の動作を監視する監視回路３２を備える。サブマイコン３のＣＰＵ３０も、メモリ３１に記憶されているプログラムを読み出して実行することにより、電源マネージメントＥＣＵとしての動作を実現し、例えば外部のオルタネータ（制御対象）に出力すべき信号を駆動回路４を介して出力する。なお、サブマイコン３のＣＰＵ３０は、後述するように監視回路３２がメインマイコン２の動作の異常を検出した場合に動作を開始する。サブマイコン３のＣＰＵ３０は、動作を開始した場合、自身の出力端子を入力ポートの設定から出力ポートの設定に切り替える。

監視回路３２は、メインマイコン２のＣＰＵ２０から周期的に出力されるＷＤパルスを監視する。具体的には、監視回路３２は、ＣＰＵ２０からのＷＤパルスの信号を受け付ける端子を有する回路を含み、当該回路にてＷＤパルスのエッジの立ち上がりを検出した場合に、ＷＤパルスとして検出する。監視回路３２は、ＣＰＵ２０から周期的に出力されるべきＷＤパルスを監視し、ＷＤパルスを直近で検出してからの経過時間を測定し、所定の周期（予め設定されているＷＤパルス出力周期）でＷＤパルスを受信している場合には、ＣＰＵ２０は正常と判断する。一方、監視回路３２は、ＷＤパルスを直近で検出してからの経過時間が、ＷＤパルス出力周期よりも長い経過時間となった場合には、ＣＰＵ２０は異常と判断する。

詳細には、監視回路３２は、ＷＤパルスを直近で検出してから、ＷＤパルス出力周期を経過してもＷＤパルスを受信できない場合に、ＣＰＵ２０にて異常が発生していると判断する。監視回路３２は、ＣＰＵ２０に異常が発生していると判断した場合、ＣＰＵ３０に動作を開始するように指示し、リセット信号をＣＰＵ２０へ出力する。このとき監視回路３２は、異常と判断する根拠の現象（例えばＷＤ監視時間が経過してもＷＤパルスを検出できないなど）を所定の複数回検出した場合に初めてＣＰＵ２０の動作を異常であると判断してもよい。また、ＷＤパルスを直近で検出してからの経過時間が、ＷＤパルス出力周期よりも短い経過時間となった場合にも、ＣＰＵ２０が異常であると判断してもよい。

サブマイコン３のメモリ３１も、ＥＥＰＲＯＭ、フラッシュメモリなどであり、電源マネージメントＥＣＵとしての動作を実現するためのプログラムと共に、制御用の情報を記憶している。また、サブマイコン３のメモリ３１は、メインマイコン２のＣＰＵ２０から出力されて駆動回路４に入力された信号を、駆動回路４から出力される際に記憶する。

駆動回路４には、メインマイコン２（ＣＰＵ２０）又はサブマイコン３（ＣＰＵ３０）から出力された信号が入力され、所定のタイミングで外部の制御対象へ出力する。なお、駆動回路４には、メインマイコン２（ＣＰＵ２０）が正常に動作している場合にはメインマイコン２のＣＰＵ２０からの信号が、メインマイコン２（ＣＰＵ２０）に異常が発生している場合にはサブマイコン３のＣＰＵ３０からの信号が入力される。

本実施の形態１のＥＣＵ１では、サブマイコン３の監視回路３２が、メインマイコン２のＣＰＵ２０からのＷＤパルスに基づいてＣＰＵ２０が正常に動作しているか否かを判断する。そして、ＣＰＵ２０に異常が発生していると判断した場合、監視回路３２は、ＣＰＵ３０に電源マネージメントＥＣＵの動作を開始させるように指示すると共に、リセット信号をＣＰＵ２０へ出力する。電源マネージメントＥＣＵの動作の開始を指示されたＣＰＵ３０は、メモリ３１に記憶してあるプログラムを実行して電源マネージメントＥＣＵとしての動作を開始する。

このときサブマイコン３のＣＰＵ３０は、電源マネージメントＥＣＵとして動作している際に信号を出力する出力端子を出力ポートに設定し、メインマイコン２のＣＰＵ２０は、サブマイコン３の監視回路３２からリセット信号を受信した場合、自身の出力端子を入力ポートに設定する。これにより、駆動回路４に入力される信号が、メインマイコン２からの信号から、サブマイコン３からの信号に切り替えられる。

サブマイコン３のＣＰＵ３０は、監視回路３２がＣＰＵ２０の異常を検出する直前に、メモリ３１が駆動回路４から取得して格納したＣＰＵ２０からの出力値を読み出し、自身の出力信号として駆動回路４へ出力する。これにより、メインマイコン２に異常が発生した場合に、異常が発生する直前のメインマイコン２からの出力信号が、サブマイコン３から駆動回路４を介して制御対象へ出力される。従って、メインマイコン２に異常が発生する前の指令状態が維持されるので、安全性を確保しつつ、メインマイコン２による制御からサブマイコン３による制御へシームレスに移行できる。

図２はＥＣＵ２の動作を説明するためのタイムチャートである。図２には、横軸を時間軸として上から順に、メインマイコン２から出力される出力１，出力２、サブマイコン３から出力される出力１，出力２を示している。なお、図２に示したタイムチャートは、メインマイコン２及びサブマイコン３からそれぞれ２つの出力値が出力される例を示す。

本実施の形態１のＥＣＵ１において、メインマイコン２のＣＰＵ２０は、メインマイコン２に異常が発生するまでの間は、メモリ２１に記憶されたプログラムを実行した結果の出力信号を適宜出力する。そして、メインマイコン２に異常が発生した後は、メインマイコン２のＣＰＵ２０の出力端子は入力ポートに設定されるので、ＣＰＵ２０は出力信号を出力しない。

一方、サブマイコン３のＣＰＵ３０の出力端子は、メインマイコン２に異常が発生するまでの間は入力ポートに設定されているので、ＣＰＵ３０は出力信号を出力しない。そして、メインマイコン２に異常が発生した後は、サブマイコン３のＣＰＵ３０は、メインマイコン２に異常が発生する直前のＣＰＵ２０の出力信号を出力する。具体的には、メインマイコン２に異常が発生する直前において、メインマイコン２は、出力１としてＯＦＦ（０）の値の信号を出力し、出力２としてＯＮ（１）の値の信号を出力していた。従って、メインマイコン２に異常が発生した以降において、サブマイコン３は、出力１としてＯＦＦ（０）の値の信号を出力し、出力２としてＯＮ（１）の値の信号を出力する。

上述したように、メインマイコン２に異常が発生した場合に、その直前にメインマイコン２から駆動回路４へ出力されていた信号が、サブマイコン３から駆動回路４へ出力されるので、メインマイコン２に異常が発生する前の制御対象の制御状態を維持できる。よって、安全性を確保しつつ、メインマイコン２による制御からサブマイコン３による制御へシームレスに移行できる。

上述したように構成されるＥＣＵ１において、監視回路３が行なう動作についてフローチャートを参照して説明する。図３は、実施の形態１におけるＥＣＵ１のサブマイコン３が行なう処理の手順を示すフローチャートである。

サブマイコン３のＣＰＵ３０は、メインマイコン２のＣＰＵ２０からの出力信号を駆動回路４を介して取得する都度、メモリ３１に格納する（Ｓ１）。一方、サブマイコン３の監視回路３２は、メインマイコン２のＣＰＵ２０から受信するＷＤパルス出力周期のデータ（ＷＤパルス）を受信する都度、ＷＤパルスの受信状態を監視する（Ｓ２）。ここでは、監視回路３２は、ＣＰＵ２０からＷＤパルスを受信する間隔を監視する。

監視回路３２は、ＣＰＵ２０からのＷＤパルスの受信間隔に基づいて、メインマイコン２（ＣＰＵ２０）が異常であるか否かを判断する（Ｓ３）。なお、監視回路３２は、ＣＰＵ２０からのＷＤパルスの受信間隔が、予め設定されたＷＤパルス出力周期よりも所定時間以上短い場合又は所定時間以上長い場合に、ＣＰＵ２０（メインマイコン２）が異常であると判断する。

監視回路３２によってメインマイコン２が正常であると判断された場合（Ｓ３：ＮＯ）、サブマイコン３は、ステップＳ１に処理を戻し、メインマイコン２のＣＰＵ２０からの出力信号のメモリ３１への格納と、メインマイコン２のＣＰＵ２０からのＷＤパルスの受信状態の監視とを継続する。監視回路３２によってメインマイコン２が異常であると判断された場合（Ｓ３：ＹＥＳ）、監視回路３２は、リセット信号をＣＰＵ２０へ出力する（Ｓ４）。

また、監視回路３２は、ＣＰＵ３０に、電源マネージメントＥＣＵの動作を開始するように指示し、ＣＰＵ３０は、自身の出力端子を出力ポートに設定する（Ｓ５）。なお、メインマイコン２のＣＰＵ２０は、サブマイコン３の監視回路３２からリセット信号を取得した場合、出力端子を入力ポートに設定する。ＣＰＵ３０は、メモリ３１に格納してある出力値、即ち、監視回路２３がメインマイコン２の異常を検出する直前にＣＰＵ２０から出力された出力値を読み出し、駆動回路４へ出力し（Ｓ６）、処理を終了する。

これにより、ＥＣＵ１は、メインマイコン２に異常が発生した場合であっても、その直前にメインマイコン２が制御対象へ出力していた出力値を、サブマイコン３によって出力できる。従って、メインマイコン２に異常が発生した場合であっても、メインマイコン２による制御からサブマイコン３による制御へシームレスに処理を移行できると共に、制御対象を安全に制御できる。

本実施の形態１のＥＣＵ１では、メインマイコン２に異常が生じ、メインマイコン２による制御対象の制御からサブマイコン３による制御対象の制御に切り替わった後は、異常が発生する直前のメインマイコン２からの出力値に固定される。従って、上述した構成に更に、メインマイコン２に異常が発生した後にサブマイコン３から出力される出力値を、サブマイコン３のメモリ３１に格納してある出力値とするのか、例えば、ドライバによる入力操作によって入力された値とするのかを切り替える構成を備えてもよい。

本実施の形態１のＥＣＵ１では、メインマイコン２に異常が生じた場合に、サブマイコン３のＣＰＵ３０が、サブマイコン３のメモリ３１に格納してある、異常が発生する直前のメインマイコン２からの出力値のみに基づいて制御対象を制御していた。このほかに、例えば、サブマイコン３のメモリ３１に、メインマイコン２（ＣＰＵ２０）からの出力信号を所定時間に亘って蓄積しておき、メインマイコン２に異常が生じた場合に、メモリ３１に蓄積された信号に基づいて、サブマイコン３のＣＰＵ３０が制御対象へ出力する信号を決定してもよい。

例えば、メインマイコン２に異常が生じる直前の１０分間において、ＣＰＵ２０が、出力１としてＯＦＦ（０）の値の信号を出力し、出力２としてＯＮ（１）の値の信号を出力していたとする。この場合、サブマイコン３のＣＰＵ３０は、出力１としてＯＦＦ（０）の値の信号を出力し、出力２としてＯＮ（１）の値の信号を出力すればよい。このように、メインマイコン２に異常が生じる直前のＣＰＵ２０からの出力値だけでなく、長期的（所定期間）にＣＰＵ２０から出力されていた出力値に基づいて、サブマイコン３が制御対象へ出力する信号を決定することにより、より安全性を確保して制御対象を制御できる。

（実施の形態２）
図４は、実施の形態２におけるＥＣＵの構成を示す構成図である。本実施の形態２のＥＣＵ１は、上述した実施の形態１のＥＣＵ１と同様の構成を有するので、同様の構成については同一の符号を付して説明を省略する。

本実施の形態２のＥＣＵ１は、図１に示した構成のほかに、サブマイコン３のメモリ３１に、図５に示すような制御仕様テーブル３３を予め記憶している。図５は制御仕様テーブル３３の格納内容を示す模式図である。制御仕様テーブル３３には、ＥＣＵ１が所定の制御対象を制御する際の制御状態（制御モード）毎に、出力値（ＯＮ＝１、ＯＦＦ＝０）が格納されている。

なお、図５に示した制御仕様テーブル３３では、制御状態として、通常状態、電源カット状態１、電源カット状態２の３つの制御状態が登録されている。しかし、このような構成に限らず、ＥＣＵ１が行なうべき処理内容に応じた数の制御状態毎に出力値が格納されればよい。また、図５に示した制御仕様テーブル３３では、出力値として２つの出力値（出力１、出力２）が格納されているが、ＥＣＵ１が行なうべき処理内容に応じた数の出力値が格納されることになる。

本実施の形態２のＥＣＵ１において、メインマイコン２のＣＰＵ２０は、車両の動作状態及び他のＥＣＵの動作状態に基づいて現在の制御状態を把握している。そして、ＣＰＵ２０は、現在の制御状態に対応するプログラムをメモリ２１から読み出して実行することにより、外部のオルタネータ（制御対象）に対して現在の制御状態に応じた制御処理を行なう。また、ＣＰＵ２０は、現在の制御状態が変更される都度、現在の制御状態をサブマイコン３に通知し、サブマイコン３のメモリ３１に格納させる。即ち、上述した実施の形態１では、サブマイコン３のメモリ３１には、メインマイコン２のＣＰＵ２０からの出力信号が逐次格納されていたが、本実施の形態２では、ＥＣＵ１における現在の制御状態が逐次格納される。

また、本実施の形態２のＥＣＵ１において、サブマイコン３のＣＰＵ３０は、監視回路３２がＣＰＵ２０の異常を検出した場合、監視回路３２がＣＰＵ２０の異常を検出する直前に、メモリ３１がメインマイコン２から取得して格納した制御状態を読み出す。そして、ＣＰＵ３０は、メモリ３１から読み出した制御状態に対応する出力値を制御仕様テーブル３３から読み出し、自身の出力信号として駆動回路４へ出力する。

これにより、メインマイコン２に異常が発生した場合に、異常が発生する直前のメインマイコン２における制御状態が保持され、この制御状態に応じた出力値によってサブマイコン３が制御対象を制御する。従って、メインマイコン２に異常が発生する前の指令状態が維持されるので、安全性を確保しつつ、メインマイコン２による制御からサブマイコン３による制御へシームレスに移行できる。

図６は実施の形態２のＥＣＵ２の動作を説明するためのタイムチャートである。図６には、横軸を時間軸として上から順に、メインマイコン２の状態（制御状態）、メインマイコン２から出力される出力１，出力２、サブマイコン３の状態（制御状態）、サブマイコン３から出力される出力１，出力２を示している。なお、図６に示したタイムチャートは、メインマイコン２及びサブマイコン３からそれぞれ２つの出力値が出力される例を示す。

本実施の形態２のＥＣＵ１において、メインマイコン２のＣＰＵ２０は、メインマイコン２に異常が発生するまでの間は、適宜変更される制御状態に応じて、メモリ２１に記憶されたプログラムを実行し、その結果の出力信号を適宜出力する。図６に示した例では、通常状態から電源カット状態１に制御状態が切り替えられており、ＣＰＵ２０は、そのときどきの制御状態に応じた処理を行なって出力１，２としての出力信号を出力する。なお、メインマイコン２に異常が発生するまでの間、サブマイコン３はメインマイコン２からのＷＤパルスに基づくメインマイコン２の監視状態となっており、サブマイコン３のＣＰＵ３０の出力端子は入力ポートに設定されている。

一方、メインマイコン２に異常が発生した後は、メインマイコン２のＣＰＵ２０の出力端子は入力ポートに設定され、サブマイコン３における制御状態として、メインマイコン２に異常が発生する直前のメインマイコン２における制御状態（図６では電源カット状態１）が引き継がれる。そして、サブマイコン３のＣＰＵ３０は、電源カット状態１に対応する出力値を制御仕様テーブル３３から読み出し、出力１としてＯＦＦ（０）の値の信号を出力し、出力２としてＯＮ（１）の値の信号を出力する。

上述したように、メインマイコン２に異常が発生した場合に、その直前のメインマイコン２による制御対象の制御状態を維持できる。よって、安全性を確保しつつ、メインマイコン２による制御からサブマイコン３による制御へシームレスに移行できる。

上述したように構成されるＥＣＵ１において、監視回路３が行なう動作についてフローチャートを参照して説明する。図７は、実施の形態２におけるＥＣＵ１のサブマイコン３が行なう処理の手順を示すフローチャートである。

サブマイコン３のＣＰＵ３０は、メインマイコン２のＣＰＵ２０から、メインマイコン２における現在の制御状態を取得する都度、メモリ３１に格納する（Ｓ１１）。一方、サブマイコン３の監視回路３２は、メインマイコン２のＣＰＵ２０から受信するＷＤパルス出力周期のデータ（ＷＤパルス）を受信する都度、ＷＤパルスの受信状態を監視する（Ｓ１２）。ここでは、監視回路３２は、ＣＰＵ２０からＷＤパルスを受信する間隔を監視する。

監視回路３２は、ＣＰＵ２０からのＷＤパルスの受信間隔に基づいて、メインマイコン２（ＣＰＵ２０）が異常であるか否かを判断する（Ｓ１３）。なお、監視回路３２は、ＣＰＵ２０からのＷＤパルスの受信間隔が、予め設定されたＷＤパルス出力周期よりも所定時間以上短い場合又は所定時間以上長い場合に、ＣＰＵ２０（メインマイコン２）が異常であると判断する。

監視回路３２によってメインマイコン２が正常であると判断された場合（Ｓ１３：ＮＯ）、サブマイコン３は、ステップＳ１１に処理を戻し、メインマイコン２における現在の制御状態のメモリ３１への格納と、メインマイコン２のＣＰＵ２０からのＷＤパルスの受信状態の監視とを継続する。監視回路３２によってメインマイコン２が異常であると判断された場合（Ｓ１３：ＹＥＳ）、監視回路３２は、リセット信号をメインマイコン２のＣＰＵ２０へ出力する。（Ｓ１４）

また、監視回路３２は、ＣＰＵ３０に、電源マネージメントＥＣＵの動作の開始を指示し、ＣＰＵ３０は、自身の出力端子を出力ポートに設定する（Ｓ１５）。なお、メインマイコン２のＣＰＵ２０は、サブマイコン３の監視回路３２からリセット信号を取得した場合、出力端子を入力ポートに設定する。ＣＰＵ３０は、メモリ３１に格納してある制御状態、即ち、監視回路２３がメインマイコン２の異常を検出する直前の制御状態を読み出し（Ｓ１６）、読み出した制御状態に対応する出力値を制御仕様テーブル３３から読み出して駆動回路４へ出力し（Ｓ１７）、処理を終了する。

これにより、ＥＣＵ１は、メインマイコン２に異常が発生した場合であっても、サブマイコン３により、その直前のメインマイコン２における制御状態に基づく処理によって制御対象を制御できる。従って、メインマイコン２に異常が発生した場合であっても、メインマイコン２による制御からサブマイコン３による制御へシームレスに処理を移行できると共に、制御対象を安全に制御できる。

本実施の形態２のＥＣＵ１では、メインマイコン２に異常が生じ、メインマイコン２による制御対象の制御からサブマイコン３による制御対象の制御に切り替わった後は、異常が発生する直前のメインマイコン２の制御状態に対応する出力値に固定される。従って、上述した構成に更に、メインマイコン２に異常が発生した後にサブマイコン３から出力される出力値を、制御仕様テーブル３３で規定された出力値とするのか、例えば、ドライバによる入力操作によって入力された値とするのかを切り替える構成を備えてもよい。

本実施の形態２のＥＣＵ１では、メインマイコン２に異常が生じた場合に、サブマイコン３のＣＰＵ３０が、サブマイコン３のメモリ３１に格納してある、異常が発生する直前のメインマイコン２の制御状態のみに基づいて制御対象を制御していた。このほかに、例えば、サブマイコン３のメモリ３１に、メインマイコン２（ＣＰＵ２０）における制御状態を所定時間に亘って蓄積しておき、メインマイコン２に異常が生じた場合に、メモリ３１に蓄積された制御状態に基づいて、サブマイコン３のＣＰＵ３０が制御対象を制御する際の制御状態を決定してもよい。

例えば、メインマイコン２に異常が生じる直前の１０分間において、メインマイコン２における制御状態が通常状態であった場合、メインマイコン２に異常が生じた後も通常状態に基づく処理によって制御対象を制御することが好ましい場合が多い。従って、この場合、サブマイコン３のＣＰＵ３０は、通常状態に対応する出力値を出力すればよい。このように、メインマイコン２に異常が生じる直前のメインマイコン２における制御状態だけでなく、長期的（所定期間）に継続した制御状態に基づいて、サブマイコン３が制御対象を制御することにより、より安全性を確保して制御対象を制御できる。

上述した実施の形態１，２では、ＣＰＵ２０からの出力信号又はメインマイコン２における制御状態をサブマイコン３のメモリ３１に格納させる構成であった。このほかに、例えば、サブマイコン３とは別途にＥＥＰＲＯＭなどのメモリを設け、ＣＰＵ２０からの出力信号又はメインマイコン２における制御状態をこのメモリに格納させる構成としてもよい。この場合、サブマイコン３のＣＰＵ３０は、監視回路３２によってメインマイコン２の異常が検出された場合に、外部のメモリからＣＰＵ２０からの出力信号又はメインマイコン２における制御状態を読み取ればよい。

上述した実施の形態１，２では、ＥＣＵ１が２つのマイコン２，３を備える構成であった。しかし、本願の処理装置は、このような構成に限定されず、ＥＣＵ１に３つ以上のマイコンを搭載することによって、より安定した処理が可能となる。

なお、開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ ＥＣＵ（処理装置）
２ メインマイコン
２０ ＣＰＵ（処理部）
３ サブマイコン
３０ ＣＰＵ（処理部）
３１ メモリ（保持部）
３２ 監視回路（異常検出部、出力停止部）

Claims (6)

1. 信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置において、
   前記一の処理部が信号処理を実行することによって出力する信号を保持する保持部と、
   前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させる出力停止部とを備え、
   他の処理部は、前記出力停止部が前記一の処理部からの信号の出力を停止させた場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に前記保持部が保持していた信号を外部へ出力するようにしてあることを特徴とする処理装置。
2. 前記保持部は、前記一の処理部から出力される信号を所定時間に亘って蓄積するようにしてあり、
   前記他の処理部は、前記異常検出部が前記一の処理部の動作の異常を検出する前の所定時間に亘って前記保持部が蓄積した信号に基づく信号を外部へ出力するようにしてあることを特徴とする請求項１に記載の処理装置。
3. 複数の制御状態のそれぞれに応じた信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置において、
   前記一の処理部が実行中の信号処理の制御状態を保持する保持部と、
   前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させる出力停止部とを備え、
   他の処理部は、前記出力停止部が前記一の処理部からの信号の出力を停止させた場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に前記保持部が保持していた制御状態に応じた信号処理を実行するようにしてあることを特徴とする処理装置。
4. 前記保持部は、前記一の処理部が実行中の信号処理の制御状態を所定時間に亘って蓄積するようにしてあり、
   前記他の処理部は、前記異常検出部が前記一の処理部の動作の異常を検出する前の所定時間に亘って前記保持部が蓄積した制御状態に基づく制御状態に応じた信号処理を実行するようにしてあることを特徴とする請求項３に記載の処理装置。
5. 信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記一の処理部が信号処理を実行することによって出力される信号を外部へ出力する際の制御方法において、
   前記一の処理部が信号処理を実行することによって出力される信号を保持するステップと、
   前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させるステップと、
   他の処理部が、前記一の処理部からの信号の出力が停止された場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に保持していた信号を外部へ出力するステップと
   を含むことを特徴とする制御方法。
6. 複数の制御状態のそれぞれに応じた信号処理を実行する複数の処理部と、一の処理部から周期的に出力される信号に基づいて前記一の処理部の動作の異常を検出する異常検出部とを備える処理装置で、前記一の処理部が信号処理を実行することによって出力される信号を外部へ出力する際の制御方法において、
   前記一の処理部が実行中の信号処理の制御状態を保持するステップと、
   前記異常検出部が前記一の処理部の動作の異常を検出した場合に、前記一の処理部が信号処理を実行することによる信号の出力を停止させるステップと、
   他の処理部が、前記一の処理部からの信号の出力を停止された場合に、前記異常検出部が前記一の処理部の動作の異常を検出する前に保持していた制御状態に応じた信号処理を実行するステップと
   を含むことを特徴とする制御方法。

Images