JP5541246B2 - 電子制御ユニット - Google Patents

Description

本発明は、車両制御を行うマイコンを備えた電子制御ユニットに関する。

各種の制御を実現するため本願関連技術が提供されている（例えば、特許文献１、２参照）。特許文献１は、仮想ＣＰＵの構築技術を提供している。特に、車載装置に演算結果を提供する電子制御ユニットにおいて、実在するＣＰＵと、実在するＣＰＵから仮想的なＣＰＵを構築する仮想ＣＰＵ構築手段と、仮想的に構築された第１の仮想ＣＰＵ及び第２の仮想ＣＰＵと、を有し、演算結果を提供する第１の仮想ＣＰＵを第２の仮想ＣＰＵが監視する技術を提供している。また、特許文献２は、少なくとも２つの命令実行部と１つの比較ユニットを備え命令実行部の演算結果を比較ユニットで比較するロックステップ技術を提供している。

特開２０１１−２２９３４号公報 特表２００９−５０５１８３号公報

通常、車両制御用のＥＣＵには、制御マイコンと、その制御マイコンを監視する監視マイコンとが搭載されている。制御マイコンが制御する複数の制御システムのうち、電子スロットル制御など、より高い安全性が求められる制御に関しては、監視マイコンを用いて対象制御システムの監視を行っている。近年、車両制御技術分野において、更なる安全性向上のため、特許文献２記載のロックステップ処理を付加することが提案されている。

しかしながら、制御マイコンに対してロックステップ処理を追加した場合、制御電流が増大する懸念点がある。つまり、制御マイコンに対してロックステップ技術を適用した場合、監視を必要としない制御システムまでロックステップ処理を適用することとなるためである。

本発明は、上記事情に鑑みてなされたもので、消費電流を抑制しつつ、ロックステップ処理を用いて高い安全性を実現でき所望の車両制御を実現できるといった格別の効果を有する電子制御ユニットを提供することにある。

請求項１記載の発明によれば、第１マイコンは車両制御を行うが、第２マイコンはロックステップ処理によって命令実行部の演算結果を互いに比較する。第２マイコンは、仮想的なＣＰＵを構築する仮想ＣＰＵ構築手段と、仮想ＣＰＵ構築手段により構築された少なくとも第１仮想ＣＰＵ、第２仮想ＣＰＵとを備える。そして、第２マイコンの第１仮想ＣＰＵは、ロックステップ処理により少なくとも第１マイコンによる制御状態を監視し、第１マイコンの制御状態が正常でないと判断した場合、第１マイコンをリセットするため、当該リセット後には、第１マイコンが正常な車両制御を行うことができる。

したがって、監視マイコンとしての第２マイコンは、その内部に仮想的に構築された第１仮想ＣＰＵによってロックステップ処理し、制御マイコンとしての第１マイコンを監視するため、消費電流を抑制しつつロックステップ処理を用いて高い安全性を実現でき所望の車両制御を実現できるという格別の効果を有する。

請求項２記載の発明によれば、第３マイコンが第１マイコンによって行われる車両制御とは異なる種類の車両制御を行い、第２仮想ＣＰＵが第３マイコンによる制御状態を監視するように構成することで、新たに監視用のマイコンを追加することなく監視処理を行うことができ、更なる消費電流の抑制が図れるといった格別の効果を有する。

請求項３記載の発明によれば、第１マイコンは、第１仮想ＣＰＵの制御状態を監視し、第１仮想ＣＰＵが正常ではないと判断した場合、第１仮想ＣＰＵのみをリセットするため、第１マイコンおよび第１仮想ＣＰＵを相互に監視することができ、更なる安全性の向上を図ることができる。

請求項４記載の発明によれば、第１マイコンは第１仮想ＣＰＵの制御状態を監視し、当該第１仮想ＣＰＵが正常でないと判断した場合、第１仮想ＣＰＵが正常でない旨を第３マイコンに通知するため、第３マイコンは第１仮想ＣＰＵが正常動作していない旨を認識することができ第３マイコンによる制御システムへの悪影響を軽減できる。しかも、第１仮想ＣＰＵおよび第２仮想ＣＰＵをリセットするため、リセット後には、第１仮想ＣＰＵおよび第２仮想ＣＰＵによる第３マイコンの制御状態の監視処理を正常に実施できる。

請求項５記載の発明によれば、第１仮想ＣＰＵが第１マイコンの制御状態と第３マイコンの制御状態との双方の制御情報を用いて第１マイコンの監視処理を実施することで、制御システムの安全性を更に向上させることができる。

請求項６記載の発明によれば、第２マイコンは、第１仮想ＣＰＵで第１マイコンの制御状態を監視するとともに、第１仮想ＣＰＵとは異なる仮想ＣＰＵで第１マイコンとは異なるシステムの処理を実行することができる。

請求項７記載の発明によれば、第１マイコンは車両制御を行うが、第３マイコンは第１マイコンが行う車両制御とは異なる種類の車両制御を行う。また、第２マイコンは、少なくとも２つ以上の命令実行部および比較部を用いてロックステップ処理により命令実行部の演算結果を互いに比較する。第２マイコンは、ロックステップ処理により第１マイコンの制御状態を監視し第１マイコンの制御状態が正常でないと判断した場合に第１マイコンをリセットするとともに、第３マイコンの制御状態を監視し第３マイコンの制御状態が正常でないと判断した場合に第３マイコンをリセットするため、リセット後には、第１マイコン、第３マイコン共に正常な車両制御を行うことができる。

本発明の第１実施形態を概略的に示す電気的ブロック構成図 監視態様例を示す電気的ブロック構成図 ロックステップ処理の流れを示すタイミングチャート 本発明の第２実施形態を概略的に示す図１相当図

（第１実施形態）
以下、本発明の第１実施形態について図１ないし図３を参照しながら説明する。通常、車両には当該車両内の多数のアクチュエータの制御を行うため、エンジン制御ＥＣＵ（Electronic Control Unit）、ブレーキ制御ＥＣＵ、ボディ制御ＥＣＵ、メータ制御ＥＣＵなど数十以上の電子制御ユニットが搭載されており、これらのＥＣＵ間は所定の通信規格に応じて通信し、これにより車両全体の制御が行われている。近年、コスト抑制などを目的として、ＥＣＵの統合化が図られている。そこで本実施形態では、エンジン制御ＥＣＵ、ボディ制御ＥＣＵ、ブレーキ制御ＥＣＵの各機能が搭載された統合ＥＣＵ１について説明を行う。

図１は、本実施形態に係る統合ＥＣＵ内の電気的ブロック構成を概略的に示している。
統合ＥＣＵ１には、エンジン制御ＥＣＵ、ボディ制御ＥＣＵ、ブレーキ制御ＥＣＵの各機能が搭載されている。この統合ＥＣＵ１は、共通電源回路２から供給される電源によって動作する。共通電源回路２はバッテリから供給される常時電源の電圧を統合ＥＣＵ１内の各回路で使用する電圧に変換して供給する。

また、統合ＥＣＵ１は、第１メインマイコン３、第２メインマイコン４、第３メインマイコン５を備える。第１メインマイコン３は、特に電子スロットル制御などエンジン制御ＥＣＵの機能を主に備える。第２メインマイコン４は、特にブレーキ制御ＥＣＵの機能を主に備える。第３メインマイコン５は、特にボディ制御ＥＣＵの機能を主に備える。これらの第１〜第３メインマイコン３〜５は、それぞれ、ＣＰＵ３ａ〜５ａ、ＲＯＭ（図示せず）、ＲＡＭ（図示せず）、システムインタフェース（Ｉ／Ｆ）回路３ｂ〜５ｂなどを備える。なお、図中、第１〜第３メインマイコン３〜５の搭載ＣＰＵにはそれぞれ符号ａを追加して付し、システムインタフェース回路にはそれぞれ符号ｂを追加して付して示す。

また、統合ＥＣＵ１内には、これらの第１〜第３メインマイコン３〜５とは別にサブマイコン６が搭載されている。サブマイコン６は、その内部に複数の命令実行部（第１命令実行部６ａ、第２命令実行部６ｂ）、コンパレータからなる比較ユニット６ｃ、および、システムインタフェース回路６ｄを備え、第１命令実行部６ａ、第２命令実行部６ｂのそれぞれに仮想的なＣＰＵ（後述の仮想ＣＰＵ（Ａ）（第１仮想ＣＰＵに相当）、仮想ＣＰＵ（Ｂ）（第２仮想ＣＰＵに相当）など）を構築し、これらの第１命令実行部６ａ、第２命令実行部６ｂおよび比較ユニット６ｃによってロックステップを行う。このサブマイコン６によるロックステップ処理の概要は後述する。

システムインタフェース回路３ｂ〜５ｂ、６ｄは、アナログ入力信号をデジタル変換して自らのマイコンに出力するＡ／Ｄコンバータ（ＡＤＣ）、および、デジタル入力信号を入力して自らのマイコンに出力する入力バッファなどを備えた入力Ｉ／Ｆ（インタフェース）、アクチュエータ駆動信号を出力する出力Ｉ／Ｆ（インタフェース）、他のマイコンとの間の通信処理を行う通信Ｉ／Ｆ（インタフェース）をそれぞれ備えている。図示しないが、この統合ＥＣＵ１には、前述説明した共通電源回路２、第１〜第３メインマイコン３〜５、サブマイコン６と共に、ＥＥＰＲＯＭなどのメモリ等の各種周辺回路が搭載されている。

図２は、サブマイコン６による第１メインマイコン３の動作状態の監視態様の具体例を示している。
第１メインマイコン３は、システムインタフェース回路３ｂの入力Ｉ／Ｆ（ＡＤＣ）を通じてアクセル開度信号を入力する。サブマイコン６も同様に、システムインタフェース回路６ｄの入力Ｉ／Ｆ（ＡＤＣ）を通じてアクセル開度信号を入力する。第１メインマイコン３は、アクセル開度信号を入力するとスロットル開度の操作量を決定する。

また、スロットルの開度信号はシステムインタフェース回路３ｂの入力Ｉ／Ｆを通じて第１メインマイコン３に入力される。このスロットル開度信号は、サブマイコン６にもシステムインタフェース回路６ｄの入力Ｉ／Ｆを通じて入力される。また、第１メインマイコン３で取得したアクセル開度信号やスロットル開度信号を監視用のサブマイコン６に送信しても良い。

第１メインマイコン３のＣＰＵ３ａは、スロットル開度の操作量とスロットルの開度信号と比較して開度偏差を求め、電子スロットルＳの制御用モータで必要となる制御量を求め、制御量をデューティ比に変換し当該信号に応じた電流をモータに通電することでスロットル弁Ｓａの開度を制御する（スロットル開度制御）。

サブマイコン６は、システムインタフェース回路６ｄを介してスロットル開度制御の状態を監視するが、この監視結果が異常な場合には、モータ駆動を停止したり電源遮断制御（電源カット）したりする。この方法としては、第１メインマイコン３のシステムインタフェース回路３ｂの出力Ｉ／Ｆと、システムインタフェース回路６ｄの出力Ｉ／Ｆの論理和を求めることで、電源通電やモータ駆動信号の有効／無効を切換える方法がある。

またその他の方法としては、第１メインマイコン３のシステムインタフェース回路３ｂの通信Ｉ／Ｆとサブマイコン６のシステムインタフェース回路６ｄの通信Ｉ／Ｆとの間で通信処理を行い、第１メインマイコン３のシステムインタフェース回路３ｂに搭載される選択機能付き出力Ｉ／Ｆの選択指令をサブマイコン６から行い、当該サブマイコン６が電子スロットルＳを直接制御する方法がある。

図３は、サブマイコン６のロックステップによる監視処理の流れを示している。図３に示すように、サブマイコン６は、第１命令実行部６ａおよび第２命令実行部６ｂを用いた仮想ＣＰＵ（Ａ）（ＶＣＰＵ処理１）によって第１メインマイコン３を互いに同一の動作クロックにより監視処理する。この場合、サブマイコン６は、コンパレータからなる比較ユニット６ｃを用いて、第１命令実行部６ａおよび第２命令実行部６ｂの監視演算結果を比較し、同一の演算結果であるか否かを判定する。そして、サブマイコン６は監視処理の比較結果が同一であるときには監視演算結果が正常であると判定する。

続いて、サブマイコン６は、第１命令実行部６ａおよび第２命令実行部６ｂを用いた仮想ＣＰＵ（Ｂ）（ＶＣＰＵ処理２）によって第２メインマイコン４を互いに同一の動作クロックにより監視処理する。この場合、サブマイコン６は、コンパレータによる比較ユニット６ｃを用いて、第１命令実行部６ａおよび第２命令実行部６ｂの監視演算結果を比較し、これらの監視演算結果が同一の演算結果であるか否かを判定する。

そして、サブマイコン６は監視処理の比較結果が同一であると判定したときには監視演算結果が正常であると判定する。続いて、サブマイコン６は、ＶＣＰＵ処理３の処理によってその他の処理（例えばメータ制御など）を行う。このようにしてサブマイコン６は監視処理を続ける。以下、監視方法の態様例を挙げる。
＜サブマイコン６による第１〜第３メインマイコン３〜５の監視方法の態様＞
以下、監視マイコンとなるサブマイコン６が制御マイコンとなる第１、第２メインマイコン３、４を監視する監視態様例を挙げる。尚、例としては、第１メインマイコン３の監視について示すが、第２メインマイコン４に関しても同様である。
＜例１＞
第１メインマイコン３は、ウォッチドックカウンタ信号（Ｈ／Ｌのパルス信号）を出力し、サブマイコン６がこのウォッチドック信号を監視する。ウォッチドック信号がなくなれば第１メインマイコン３が異常動作していることを検出できる。
＜例２＞
サブマイコン６が第１メインマイコン３に宿題情報を通信出力し、第１メインマイコン３が当該宿題情報を処理して監視側となるサブマイコン６に送信する。監視側のサブマイコン６は、その回答の正誤に応じて第１メインマイコン３が正常に動作しているか否かをチェックし、回答に誤りがあれば第１メインマイコン３が異常動作していることを検出できる。
＜例３＞
監視側のサブマイコン６は、第１メインマイコン３の入力データと出力データを取得し、監視側のサブマイコン６は、入力データを用いて第１メインマイコン３で実施する処理とは異なる簡易計算処理を行い、第１メインマイコン３の出力データとの差をチェックし、所定範囲から大きく異なる場合には第１メインマイコン３が異常動作していると判断する。

サブマイコン６は、このような監視態様によって第１メインマイコン３を監視し、監視結果が異常な場合には、電源遮断制御したり、モータ駆動を停止し、第１メインマイコン３をリセットする。また、サブマイコン６は監視結果が異常と判断した場合には、前述したように各システムインタフェース回路３ｂおよび６ｄの通信Ｉ／Ｆを通じて第１メインマイコン３の出力を制御し、その後、第１メインマイコン３をリセットするようにしても良い。

従来、第１、第２メインマイコン３、４に監視機能をそれぞれ付加すると、第１、第２メインマイコン３、４はそれぞれ３２ビット（実動作）＋３２ビット（監視処理）で動作させる必要が生じてしまい全体の動作ビット数が増加してしまい全体の消費電力が増加する。本実施形態によれば、例えば、第１、第２メインマイコン３、４の各ＣＰＵ３ａ、４ａを３２ビットで動作させると共に、サブマイコン６の第１命令実行部６ａ、第２命令実行部６ｂをそれぞれ３２ビットで動作させることで、監視機能を第１、第２メインマイコン３、４にそれぞれ付加しつつ合計の実動作ビット数を低減できるため消費電力を低減できる。これにより、消費電流を抑制しつつロックステップ処理を用いて高い安全性を実現でき所望の車両制御を実現できる。

本実施形態によれば、次のような特徴を有する。サブマイコン６はロックステップ処理によって第１命令実行部６ａおよび第２命令実行部６ｂの演算結果を互いに比較する。サブマイコン６は、仮想ＣＰＵによるロックステップ処理によって第１メインマイコン３の制御状態を監視し、第１メインマイコン３の制御状態が正常でないと判断した場合、第１メインマイコン３をリセットするため、このリセット後には、第１メインマイコン３が正常な車両制御を行うことができる。

したがって、サブマイコン６は、その内部に仮想的に構築された仮想ＣＰＵ（Ａ）によってロックステップ処理して第１メインマイコン３を監視できるため、消費電流を抑制しつつロックステップ処理を用いて高い安全性を実現でき所望の車両制御を実現できる。つまり、電子スロットル制御やその他のエンジン制御など複雑な制御を行う第１メインマイコン３でなく、電子スロットルの監視など比較的処理の軽いサブマイコン６によってロックステップ処理することで、消費電流を抑制できる。

また、第１メインマイコン３、第２メインマイコン４は互いに異なる種類の車両制御を行うが、この場合、第１メインマイコン３の監視処理を行う仮想ＣＰＵ（Ａ）（ＶＣＰＵ処理１）とは異なる仮想ＣＰＵ（Ｂ）（ＶＣＰＵ処理２）によって第２メインマイコン４の監視処理が行われるため、新たに監視用のマイコンを追加することなく監視処理を行うことができ、更なる消費電流の抑制を図ることができる。

また、サブマイコン６の処理負荷に余裕がある場合、仮想ＣＰＵ（Ｃ）を構築し、その他の処理を実施させてもよい。
（第１実施形態の変形例）
第１実施形態では、サブマイコン６が第１メインマイコン３の制御状態を個別に監視処理した形態を示したが、本変形例では、サブマイコン６が、仮想ＣＰＵ（Ａ）により、第１メインマイコン３の制御状態と、第２メインマイコン４の制御状態との双方の制御情報を用いて第１メインマイコン３の監視処理を実施する。これは、関連した制御情報を考慮に入れてある一つの第１メインマイコン３の監視処理を実施することがより望ましいためであり、例えば、以下のような場合が挙げられる。

例えば、サブマイコン６が、
（１）第１メインマイコン３、第２メインマイコン４からウォッチドッグカウンタ信号情報を共に正常に受信
（２）ブレーキ制御用の第２メインマイコン４からブレーキ制御による減速制御情報を取得
（３）第１メインマイコン３が電子スロットルＳのスロットル開度を増加、または、一定以上の高い開度を所定時間以上維持
という、（１）〜（３）の全条件を満たすような制御信号を受信している場合、第１メインマイコン３が異常動作していると判断し、サブマイコン６は第１メインマイコン３をリセット指示してリセットする。このように関連した制御情報を組み合わせて第１メインマイコン３の動作を監視処理することで制御システムの安全性をさらに向上させることができる。

（第２実施形態）
図４は、本発明の第２実施形態を示すもので、統合ＥＣＵではなく機能の異なるＥＣＵを別基板に搭載して構成したところを特徴としている。前述実施形態では、統合ＥＣＵ１について説明したが、１枚または、２枚以上の基板を用いて構成しても良い。

例えば、図４に示すように、エンジン制御ＥＣＵ７、ブレーキ制御ＥＣＵ８、ボディ制御ＥＣＵ９、監視制御用のＥＣＵ１０をそれぞれ別基板に構成し、例えばエンジン制御ＥＣＵ７、ブレーキ制御ＥＣＵ８、ボディ制御ＥＣＵ９、および、監視制御用のＥＣＵ１０間で相互通信することで車両制御を実現するようにしても良い。

（他の実施形態）
本発明は、前述実施形態に限定されるものではなく、例えば、以下に示す変形または拡張が可能である。

前述の実施形態では、エンジン制御、ブレーキ制御、ボディ制御の機能を統合した統合ＥＣＵ１、または、これらの制御機能をそれぞれエンジン制御ＥＣＵ７、ブレーキ制御ＥＣＵ８、ボディ制御ＥＣＵ９として別基板に搭載した形態について説明している。

この中で、ロックステップの必要な重要度の比較的高い処理と、ロックステップ処理の不要な重要度の比較的低い処理を分けて監視処理を行っても良い。ロックステップを用いて監視すると良い制御は、例えば、電子スロットル制御、ブレーキ制御、電動パワーステアリング制御、エアバック制御などである。これらの制御処理は、安全性能に関わるため重要度が高くなり、ロックステップ機能を設けることで安全性を向上できる。

ロックステップ機能を用いても良いが省いても良い制御は、例えば、メータ、エアコン、タイヤ空気圧モニタ、車両周辺のソナーによる感知処理である。ロックステップ機能を設けることなく監視すれば余分な機能を省くことができる。このような場合、これらのロックステップ機能の要不要を分けて制御状態を監視することで、必要な制御のみロックステップを設けて制御状態を監視することができ、所望の車両制御を実現できる。

サブマイコン６が第１〜第３メインマイコン３〜５の動作を監視する実施形態を示したが、逆に、第１メインマイコン３が、サブマイコン６を監視する機能を設けても良い。以下、監視マイコンとなるサブマイコン６が制御マイコンとなる第１メインマイコン３を監視する監視方法の具体例を挙げる。
＜第１メインマイコン３によるサブマイコン６の監視方法の具体例＞
＜例４＞
第１メインマイコン３が、サブマイコン６による仮想ＣＰＵ（Ａ）のウォッチドックカウンタ信号をチェックし、第１メインマイコン３によりサブマイコン６が異常動作していると判断された場合、サブマイコン６の仮想ＣＰＵ（Ａ）をリセットすると共に第１メインマイコン３を自身でリセットする。
＜例５＞
前述実施例の＜例３＞で説明した、サブマイコン６の仮想ＣＰＵ（Ａ）によるロックステップで取得された簡易計算処理について第１メインマイコン３側でもチェックし、大きく異なる場合にはサブマイコン６の仮想ＣＰＵ（Ａ）をリセットすると共に第１メインマイコン３を自身でリセットする。

このような場合、第１メインマイコン３は仮想ＣＰＵ（Ａ）が正常動作していないと判断したときには、この旨を他の第２メインマイコン４、第３メインマイコン５に通知する。すると、第２メインマイコン４、第３メインマイコン５は仮想ＣＰＵ（Ａ）が正常動作していないことを認識できるため、第２メインマイコン４、第３メインマイコン５による制御システムへの悪影響を軽減できる。

このとき、第１メインマイコン３は、システムＩ／Ｆ３ｂを介してサブマイコン６の仮想ＣＰＵ（Ａ）、仮想ＣＰＵ（Ｂ）をリセット指示し、仮想ＣＰＵ（Ａ）、仮想ＣＰＵ（Ｂ）を共にリセットすると良い。すると、リセット後には、仮想ＣＰＵ（Ａ）および仮想ＣＰＵ（Ｂ）による第２メインマイコン４、第３メインマイコン５の制御状態の監視処理について正常に実施できる。

前述の＜例４＞、＜例５＞では、第１メインマイコン３によるサブマイコン６の監視例を挙げたが、第２メインマイコン４または第３メインマイコン５がサブマイコン６を監視する場合も同様である。

また、比較ユニット６ｃが第１命令実行部６ａおよび第２命令実行部６ｂの演算結果の不一致を検出した場合、第１命令実行部６ａおよび第２命令実行部６ｂがリセットされる構成にしてもよい。その場合、第１メインマイコン３、第２メインマイコン４へ事前通知しても良い。

サブマイコン６が搭載する第１命令実行部６ａ、第２命令実行部６ｂはこれら２つに限られない。また、第１命令実行部６ａ、第２命令実行部６ｂで行われる仮想ＣＰＵの数も前述実施例で示された数に限られない。第１〜第３メインマイコン３〜５とサブマイコン６は、通信接続されても、１つの基板内に混在で構成され配線で接続されていても良い。また、第１〜第３メインマイコン３〜５にも、ロックステップ技術を適用してもよい。

図面中、１は統合ＥＣＵ（電子制御ユニット）、２は共通電源回路、３は第１メインマイコン（請求項でいう第１マイコン）、４は第２メインマイコン（請求項でいう第３マイコン）、５は第３メインマイコン、６はサブマイコン（請求項でいう第２マイコン）、６ａは第１命令実行部、６ｂは第２命令実行部、６ｃは比較ユニット（比較部）、６ｄはシステムインタフェース回路、７はエンジン制御ＥＣＵ、８はブレーキ制御ＥＣＵ、９はボディ制御ＥＣＵ、１０は監視用のＥＣＵを示す。

Claims (7)

1. 車両制御を行う第１マイコンと、
   少なくとも２つ以上の命令実行部および比較部を用いてロックステップ処理により前記命令実行部の演算結果を互いに比較する第２マイコンと、を備え、
   前記第２マイコンは、仮想的なＣＰＵを構築する仮想ＣＰＵ構築手段と、当該仮想ＣＰＵ構築手段により構築された少なくとも第１仮想ＣＰＵ、第２仮想ＣＰＵとを備え、
   前記第２マイコンの前記第１仮想ＣＰＵは、前記ロックステップ処理により少なくとも前記第１マイコンによる制御状態を監視し、前記第１マイコンの制御状態が正常でないと判断した場合、前記第１マイコンをリセットすることを特徴とする電子制御ユニット。
2. 前記第１マイコンが行う車両制御とは異なる種類の車両制御を行う第３マイコンとを備え、
   前記第２仮想ＣＰＵは、前記第３マイコンによる制御状態を監視することを特徴とする請求項１記載の電子制御ユニット。
3. 前記第１マイコンは、前記第１仮想ＣＰＵの制御状態を監視し、前記第１仮想ＣＰＵが正常ではないと判断した場合、前記第１仮想ＣＰＵのみをリセットすることを特徴とする請求項１または２記載の電子制御ユニット。
4. 前記第１マイコンは、前記第１仮想ＣＰＵの制御状態を監視し、前記第１仮想ＣＰＵが正常でないと判断した場合、当該第１仮想ＣＰＵが正常でない旨を前記第３マイコンに通知し、前記第１仮想ＣＰＵおよび前記第２仮想ＣＰＵをリセットすることを特徴とする請求項２記載の電子制御ユニット。
5. 前記第１仮想ＣＰＵは、前記第１マイコンの制御状態と前記第３マイコンの制御状態との双方の制御情報を用いることによって前記第１マイコンの監視処理を実施することを特徴とする請求項２または４記載の電子制御ユニット。
6. 前記第２マイコンは、前記第１仮想ＣＰＵで前記第１マイコンの制御状態を監視するとともに、前記第１仮想ＣＰＵとは異なる仮想ＣＰＵで前記第１マイコンとは異なるシステムの処理を実行することを特徴とする請求項１〜５の何れかに記載の電子制御ユニット。
7. 車両制御を行う第１マイコンと、
   前記第１マイコンが行う車両制御とは異なる種類の車両制御を行う第３マイコンと、
   少なくとも２つ以上の命令実行部および比較部を用いてロックステップ処理により前記命令実行部の演算結果を互いに比較する第２マイコンと、を備え、
   前記第２マイコンは、前記ロックステップ処理により前記第１マイコンの制御状態を監視し前記第１マイコンの制御状態が正常でないと判断した場合に前記第１マイコンをリセットするとともに、前記第３マイコンの制御状態を監視し前記第３マイコンの制御状態が正常でないと判断した場合に前記第３マイコンをリセットすることを特徴とする電子制御ユニット。

Images