JP5983588B2

JP5983588B2 - 車両用マイコンの異常判定装置

Info

Publication number: JP5983588B2
Application number: JP2013254970A
Authority: JP
Inventors: 宏紀岡田
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2013-12-10
Filing date: 2013-12-10
Publication date: 2016-08-31
Anticipated expiration: 2033-12-10
Also published as: JP2015113742A; DE102014225302A1

Description

本発明は、車載機器を制御するマイクロコンピュータの機能を監視する異常判定装置に関する。

例えば車載アクチュエータを駆動制御すると共に、その制御機能が適正に機能しているか否かを監視する機能を備えたマイクロコンピュータ（以下、マイコンと称す）について、上記マイコンの監視機能が適正に機能しているか否かをモニタモジュールによって監視する構成が、特許文献１に開示されている。この特許文献１では、更に、上記モニタモジュールが適正に機能しているか否かをマイコン側から監視するため、マイコン側にモジュール監視部を配置して信頼性を向上させている。

特開２００７−２７６０号公報

ところで、特許文献１のようなモニタモジュールの機能は、システムの仕様に応じて様々に構成されることが考えられ、それに伴い、モニタモジュールの機能を監視するための構成も様々になる。例えば、モニタモジュールが複数の異常判定回路を備えており、それらの１つの判定結果出力が、その他の異常判定回路の入力として設定されている構成では、前記異常判定回路の入力側に、信号を切り替えるための選択回路（マルチプレクサ）が必要になる。すると、その選択回路の切替えが正常に行われたか否かも確認する必要があり、各機能を確認するための構成や手順が複雑になってしまうと想定される。

本発明は上記事情に鑑みてなされたものであり、その目的は、異常判定回路が複数ある場合でも、それらの機能確認を効率的に行うことができる車両用マイコンの異常判定装置を提供することにある。

請求項１記載の車両用マイコンの異常判定装置によれば、複数の異常判定回路を備え、各異常判定回路は、マイコンより入力されるテストデータのパターンが予め定められている所定のパターンに一致しなければ異常判定信号を外部に出力する。自己診断回路は、前記テストデータと同じパターンの自己診断データを各異常判定回路のそれぞれに対して出力することで、それらの機能を監視する。各異常判定回路に対するテストデータと自己診断データと入力切替えは、それぞれ対応するデータ選択回路によって行われる。

また、第１異常判定回路は、マイコンからのテストデータが入力された際に、第２異常判定回路が出力する異常判定信号の状態も併せて異常判定を行う構成となっている。そのため、第１異常判定回路には、第２異常判定回路が出力する異常判定信号が、データ／信号選択回路を介して入力されている。
比較回路は、自己診断回路がデータ選択回路及びデータ／信号選択回路を制御して、複数の異常判定回路に自己診断データを出力した際に、各異常判定回路が出力すべきデータの期待値と、実際に各異常判定回路が出力したデータとを比較するが、第２異常判定回路に対応する比較回路には、データ／信号選択回路を介して出力されるデータが入力されている。

このように構成すれば、自己診断回路が第２異常判定回路に対して自己診断データを出力した際に、第２異常判定回路より出力される判定信号は、データ／信号選択回路を介して対応する比較回路に入力される。したがって、前記比較回路の比較結果を参照すれば、第２異常判定回路の機能が正常か否かに加えて、データ／信号選択回路の機能が正常か否かも併せて認定することが可能になる。これにより、異常判定装置の構成が簡単になると共に、自己診断をより短い時間で完了させることができる。

参考例であり、モニタリングモジュールの構成を示す機能ブロック図ＢＩＳＴ動作の手順を説明する図１相当図マイコン側の処理手順を説明する図１相当図（その１）マイコン側の処理手順を説明する図１相当図（その２）マイコン側の処理手順を説明する図１相当図（その３）マイコン側の処理手順を説明する図１相当図（その４）マイコン側の処理手順を説明する図１相当図（その５）マイコン側の処理手順を説明する図１相当図（その６）ＢＩＳＴ動作の手順を示すフローチャートマイコン側の手順を示すフローチャート第１実施形態を示す図１相当図図９相当図図１０相当図動作タイミングチャート第２実施形態を示す図１４相当図図９相当図第３実施形態を示す図１４相当図図９相当図

（参考例）
先ず、本願発明が対象とする、１つの異常検出回路の異常検出信号が他の異常検出回路に入力されることで、当該異常検出回の異常判定要因となっている構成の参考例について説明する。マイコン１は、例えばインバータ回路等の駆動回路を介して車載アクチュエータ，例えばモータ等を駆動制御するものである。

モニタリングモジュール２（監視ＩＣ）は、マイコン１と通信部３を介して例えばシリアル通信を行う。モニタリングモジュール２は、２つの異常判定回路４（１），４（２）を備えており、これらの異常判定回路４には、マイコン１から通信部３を介してテストデータが入力される。異常判定回路４は、入力されたテストデータのパターンが予め設定されているパターンに一致しなければ、マイコン１の機能に異常があることを示す異常判定信号（Error＿out1,2）を外部に出力する。

電源制御部５は、車両のバッテリより１４Ｖ程度の電源が供給されており、その電源電圧を例えば５Ｖに降圧してモニタリングモジュール２の動作用電源を生成する。また、電源制御部５は、図示しないイグニッションスイッチを介してバッテリ電源が供給された際に、マイコン１に対してパワーオンリセット（ＰＯＲ）信号を出力する。

ＢＩＳＴ（Built-In Self Test）制御部６は、異常判定回路４（１），４（２）の機能が正常か否かをモニタリングモジュール２の内部で判定するため、各部を制御する。ＢＩＳＴ部７（１，２）結果比較器８（１，２）（比較回路）及びセレクタ９（１，２）は、それぞれ異常判定回路４（１，２）に対応して設けられている。

セレクタ９（１，２）の入力側端子の一方は、通信部３の入出力端子にそれぞれ接続されており（In/Out＿signal1,2）、マイコン１より出力されるテストデータが前記入力側端子に与えられる。また、セレクタ９（１，２）の入力側端子の他方は、それぞれＢＩＳＴ部７（１，２）の出力端子に接続されており、セレクタ９（１，２）の入力側選択切替えは、それぞれＢＩＳＴ部７（１，２）によって行われる（SEL＿IN1,2）。そして、セレクタ９（１，２）の出力側端子は、それぞれ異常判定回路４（１，２）の入出力端子に接続されている。

ＢＩＳＴ部７（１，２）は、それぞれセレクタ９（１，２）を介して異常判定回路４（１，２）に自己診断データ（TEST＿IN1A,IN2）を出力する。また、ＢＩＳＴ部７（１）は、セレクタ１０（データ／信号選択回路）を介して異常判定回路４（１）に自己診断データ（TEST＿IN1B）を出力する。これらの自己診断データは、マイコン１より出力されるテストデータと同じものである。

モニタリングモジュール２が通常動作する場合は、異常判定回路４（１，２）が通信部３を介してマイコン１と通信し（In/Out＿signal1,2）、マイコン１の機能確認を行う。セレクタ１０の他方の入力端子は、異常判定回路４（２）の出力端子に接続されており、モニタリングモジュール２が通常動作する場合、異常判定回路４（１）は、異常判定回路４（２）の異常判定結果も加味して異常判定を行う。

異常判定回路４（１，２）の出力端子は、セレクタ１１（１，２）を介して外部に出力される（Error＿out1,2）と共に、結果比較器８（１，２）に入力されている（BIST＿out1,1）。ここで、上記の「外部」とは、例えば前述したように、マイコン１が制御対象とする車載アクチュエータを駆動制御するため制御信号を出力する駆動回路である。駆動回路は異常検出信号Error＿out1,2が入力されると、負荷の駆動を停止するなどの保護動作を行う。

セレクタ１１（１，２）の切り換え制御は、ＢＩＳＴ制御部６によって行われ（SEL＿IN3）、異常判定回路４（１，２）の出力側を選択しない場合は、内部に設定されている「固定値」が選択される。この「固定値」とは、上記の駆動回路に入力された際に、その動作が安全側となるように設定されているデータ値である。

また、結果比較器８（１，２）には、ＢＩＳＴ部７（１，２）からの期待値データが入力されている。この「期待値」とは、ＢＩＳＴ部７（１，２）が異常判定回路４（１，２）に対して自己診断データ（TEST＿IN1,IN2）を出力した際に、異常判定回路４（１，２）の機能が正常であれば出力信号（Error＿out1,2）が示す値である。結果比較器８（１，２）は、入力される出力信号（Error＿out1,2）と対応する期待値とを比較して、異常判定回路４（１，２）の機能が正常か否かを判定する。上記の判定結果は、信号（BIST1,2＿Error＿out）として通信部３に出力され、通信部３の内部にあるＢＩＳＴ実行結果レジスタ１２（１，２）に格納される。

ＢＩＳＴ制御部６は、ＢＩＳＴ部７に対して実行指示を与えると共に、通信部３に対してマイコン１との通信を行うための実行指示を与え、セレクタ９（１）（データ選択回路）及び１０，９（２），１１に対して切替え制御信号を出力する（SEL＿IN1,2,3）。また、ＢＩＳＴ制御部６は、ＢＩＳＴ部７が実行するＢＩＳＴ動作が完了した際に、ＢＩＳＴ部７より実行完了を示す「完了フラグ」が入力される。

異常判定回路４（１）の内部には、２つのレジスタ１３（１，２）があり、異常判定回路４（２）の内部には、レジスタ１４，エラー判定部１５及びフェールカウンタ１６がある。エラー判定部１５は、異常判定回路４（２）に入力されるデータが適正か否かを判定する部分である。マイコン１が自身の機能確認を行う場合は、同一のテストデータパターンを複数回繰り返してモニタリングモジュール２に出力する。フェールカウンタ１６は、エラー判定部１５よりエラー判定された回数をカウントし、その回数が所定の閾値を超えると出力信号（Error＿out2）をアクティブにする。

レジスタ１３（１，２）及び１４には、異常判定回路４（１）及び４（２）がエラーを判定した場合の判定結果が格納される。そして、マイコン１は、通信部３を介してこれらのレジスタ１３及び１４にアクセスし、データの読み出しや書き込みが可能になっている。また、マイコン１は、フェールカウンタ１６にもアクセス可能であり、エラー判定用の閾値を書き込み設定することができる。尚、エラー判定部１５及びフェールカウンタ１６に相当する構成は、異常判定回路４（１）の内部にも存在するが、以下の作用説明には特段必要が無いので図示を省略している。また、以上において、ＢＩＳＴ制御部６及びＢＩＳＴ部７は、自己診断回路１７を構成している。

次に、上記構成の作用について説明する。図９に示すように、車両のイグニッションスイッチがオンされて電源制御部５にバッテリからの電源が供給されると（Ｓ１）、ＢＩＳＴ制御部６は、電源制御部５より出力される電源電圧が動作可能電圧に達したかを判定する（Ｓ２）。尚、この時点で電源制御部５はマイコン１をパワーオンリセットしている。上記判定が「ＯＫ」になると、ＢＩＳＴ制御部６は、セレクタ１１が固定値側を選択するように切り換える（Ｓ３）。それから、ＢＩＳＴ部７（１）にＢＩＳＴ実行指示を与える（Ｓ４）。

すると、ＢＩＳＴ部７（１）は、切替え制御信号（SEL＿IN1）をセレクタ９（１）及び１０に出力し、それらの入力を自己診断データ側に切り換えて、自己診断データ（TEST＿IN1A,B）を出力する。そして、異常判定回路４（１）は、上記データの入力に応じた信号（BIST_out1）を結果比較器８（１）に出力し、結果比較器８（１）は、前記信号を期待値と比較した結果（BIST1＿Error＿out）を通信部３に出力する。比較結果は、ＢＩＳＴ実行結果レジスタ１２（１）に格納される。それから、ＢＩＳＴ部７（１）は、ＢＩＳＴ制御部６に完了フラグを送信する（Ｓ５）。図１は、ここまでの実行状態に対応している。
尚、ＢＩＳＴ部７（１）によるＢＩＳＴ動作が完了した時点で、切替え制御信号（SEL＿IN1）により、セレクタ９（１）及び１０の入力は、通信部３側及び異常判定回路４（２）側にそれぞれ切り換えられる。

次に、ＢＩＳＴ制御部６は、ＢＩＳＴ部７（２）にＢＩＳＴ実行指示を与える（Ｓ６）。すると、ＢＩＳＴ部７（２）は、切替え制御信号（SEL＿IN2）をセレクタ９（２）に出力し、入力を自己診断データ側に切り換えて自己診断データ（TEST＿IN2）を出力する。そして、異常判定回路４（２）は、上記データの入力に応じた信号（BIST_out2）を結果比較器８（２）に出力し、結果比較器８（２）は、前記信号を期待値と比較した結果（BIST2＿Error＿out）を通信部３に出力する。比較結果は、ＢＩＳＴ実行結果レジスタ１２（２）に格納される。それから、ＢＩＳＴ部７（２）は、ＢＩＳＴ制御部６に完了フラグを送信する（Ｓ７，図２参照）。

尚、この時点で図３に示すように、切替え制御信号（SEL＿IN2）により、セレクタ９（２）の入力は通信部３に切り換えられている。続いて、ＢＩＳＴ制御部６は、切替え制御信号（SEL＿IN3）によりセレクタ１１の入力を異常判定回路４側に戻す（Ｓ８）。それから、電源制御部５は、所定時間が経過した後、マイコン１のパワーオンリセットを解除する（Ｓ９，図３参照）。

次は、モニタリングモジュール２のセレクタ９及び１０の機能チェックするため、マイコン１によるソフトウェア処理に移行する。図１０に示すように、マイコン１は、初期チェックの完了後、モニタリングモジュール２の初期チェックを開始する（Ｓ１０）。先ず、通信部３及びセレクタ９（２）を介して、異常判定回路４（２）内のレジスタ１４にデータを書き込み、その直後にレジスタ１４のデータを読み出して、書き込んだデータが正しく読み出せるかチェックする（Ｓ１１，図４参照）。ここで、データが正しく読み出せれば、セレクタ９（２）は、切替え制御信号（SEL＿IN2）に応じて正常に切り替わっていることが確認できる。

次に、同様に異常判定回路４（１）内のレジスタ１３（１）にデータを書き込み、その直後に前記データを読み出して、書き込んだデータが正しく読み出せるかチェックする（Ｓ１２，図５参照）。ここで、データが正しく読み出せれば、上記と同様にセレクタ９（１）の機能が正常であることが確認できる。

次に、マイコン１は、異常判定回路４（２）にアクセスし、フェールカウンタ１６の閾値を低下させる。例えば、通常動作時の閾値が「３」であれば「１」に設定する（Ｓ１３）。そして、マイコン１は、異常判定回路４（２）がエラー判定するデータパターン（誤った情報，マイコン異常情報）を意図的に送信する（Ｓ１４，図６参照）。これにより、異常判定回路４（２）がエラー判定すると（Ｓ１５）、その判定結果はセレクタ１０を介して異常判定回路４（１）に入力され、判定結果がレジスタ１３（２）に格納される（Ｓ１６，図７参照）。
すると、マイコン１は、レジスタ１３（２）にアクセスしてデータを読み出し、所期通りの値が読み出せたか否かを判定する（Ｓ１７，図８参照）。ここで、所期通りのデータ値が読み出せれば、セレクタ１０の機能は正常であることが確認できる。

このような構成を想定すると、モニタリングモジュール２側のハードロジックが異常判定回路４（１，２）の機能をＢＩＳＴ動作により確認した後に（Ｓ１〜Ｓ９）、セレクタ９及び１０の入力選択機能が正常か否かを確認するため、マイコン１起動させてソフトウェアによりステップＳ１０〜Ｓ１７の処理を実行することになる。したがって、マイコン１のソフトウェア処理負担が重くなっている。また、モニタリングモジュール２の全ての機能を確認するのに時間がかかってしまう。

（第１実施形態）
以下、上記の構成を踏まえて、マイコン１のソフトウェア処理負担をより軽減できるように改良した構成を第１実施形態として示す。図１１に示すように、第１実施形態のモニタリングモジュール２１（異常判定装置）は、参考例のモニタリングモジュール２の構成を僅かに変更したものである。モニタリングモジュール２では、異常判定回路４（２）の出力端子を結果比較器８（２）の入力端子に直接接続していたが、モニタリングモジュール２１ではそれに替えて、セレクタ１０の出力端子を結果比較器８（２）の入力端子に接続している。

次に、本実施形態の作用について説明する。図１２に示すモニタリングモジュール２１側の動作フローチャートは、基本的に図９に示したものと同じであり、対応するステップ番号を括弧書きで付している。ＢＩＳＴ制御部６（自己診断回路）に供給される電源電圧が動作可能電圧に達すると（Ｓ２１：ＹＥＳ）ＢＩＳＴモードに移行し（Ｓ２２）、セレクタ１１を固定値側に切り換える（Ｓ２３）。それから、ＢＩＳＴ部７（１）にＢＩＳＴ実行指示を与える（Ｓ２４）。また、図９の処理に示すステップ番号は、図１４に示すタイミングチャートにも付している。

ＢＩＳＴ部７（１）が、参考例で述べたようにＢＩＳＴ１動作（ＢＩＳＴ部７（１）によるＢＩＳＴ動作）を実行し、完了すると（Ｓ２５：ＹＥＳ）、ＢＩＳＴ１完了フラグをＯＮにしてＢＩＳＴ制御部６に送信し（Ｓ２６）、ＢＩＳＴ１の結果をレジスタ１３に格納する（Ｓ２７）。ここで、ＢＩＳＴ部７（１）がＢＩＳＴ１完了フラグをＯＮにするタイミングは、実質的に結果比較器８（１）が比較結果を通信部３に出力するタイミングと同じである。

次に、ＢＩＳＴ制御部６がＢＩＳＴ部７（２）にＢＩＳＴ実行指示を与えると（Ｓ２８）、ＢＩＳＴ部７（２）が参考例で述べたようにＢＩＳＴ２動作を実行する。但しこの時、異常判定回路４（２）に自己診断データ（TEST＿IN2）を入力した結果として出力する信号（BIST_out2）は、参考例のように直接ではなく、セレクタ１０を介して結果比較器８（２）に出力される。ＢＩＳＴ２動作が完了すると（Ｓ２９：ＹＥＳ）、ＢＩＳＴ２完了フラグをＯＮにしてＢＩＳＴ制御部６に送信し（Ｓ３０）、ＢＩＳＴ２の結果をレジスタ１４に格納する（Ｓ３１）。それから、セレクタ１１の入力を異常判定回路４側に戻し（Ｓ３２）、ＢＩＳＴモードを終了すると（Ｓ３３）マイコン１のパワーオンリセットを解除する。

ここで、結果比較器８（２）に入力されるＢＩＳＴ２動作の実行結果は、上述のようにセレクタ１０を介して入力されている。したがって、実行結果が期待値と一致していれば、セレクタ１０の機能も正常であると判定できる。

次に、マイコン１が図１３に示す処理を実行するが、ここで実行する処理（Ｓ４１〜Ｓ４７）は、参考例で図１０に示したステップＳ１０〜Ｓ１２までに対応したものである。すなわち、参考例においてマイコン１が実行したステップＳ１３〜Ｓ１７の処理は（図１３ではＳ４８〜Ｓ５４）、セレクタ１０の機能を判定するために実施したものである。これに対して本実施形態では、上述のように、モニタリングモジュール２１側の処理（Ｓ２９）でセレクタ１０の機能判定は既に行われている。したがって、マイコン１は、ステップＳ１３〜Ｓ１７の処理を実行する必要がなくなっている。

以上のように本実施形態によれば、モニタリングモジュール２１は、２つの異常判定回路４（１，２）を備え、各異常判定回路４（１，２）は、マイコン１より入力されるテストデータのパターンが予め定められている所定のパターンに一致しなければ異常判定信号（Error＿out1,2）を外部に出力する。自己診断回路１７は、テストデータと同じパターンの自己診断データを各異常判定回路４（１，２）に出力することで、それらの機能を監視する。
異常判定回路４（１）は、マイコン１からのテストデータが入力された際に、異常判定回路４（２）が出力する異常判定信号の状態も併せて異常判定を行うため、異常判定回路４（１）には、異常判定回路４（２）が出力する異常判定信号（BIST＿out2）が、セレクタ１０を介して入力されている。

結果比較回路８（１，２）は、自己診断回路１７が各セレクタ９及び１０を制御して、異常判定回路４（１，２）に自己診断データを出力した際に、各異常判定回路４（１，２）が出力すべきデータの期待値と、実際に各異常判定回路４（１，２）が出力したデータとを比較し、異常判定回路４（２）に対応する結果比較器８（２）には、セレクタ１０を介してデータを入力する構成とした。

したがって、結果比較器８（２）の比較結果を参照すれば、異常判定回路４（２）の機能が正常か否かに加えて、セレクタ１０の機能が正常か否かも併せて認定することが可能になる。これにより、モニタリングモジュール２１の構成が簡単になると共に、マイコン１側のソフトウェア処理負担を軽減し、自己診断をより短い時間で完了させることができる。

（第２実施形態）
第１実施形態のように、モニタリングモジュール２１がＢＩＳＴ動作を実行中に、モニタリングモジュール２１に供給されている動作用電源電圧が不安定になると、ＢＩＳＴ動作の結果について信頼性が低下することが懸念される。例えば、アイドリングストップ機能を備えた車両では、運転中に一時停止しているエンジンを再起動する際にセルモータを駆動すると、バッテリの電圧が一時的に低下するため、このような事象が発生する場合がある。

そこで、第２実施形態では、図１５（ａ，ｂ，ｅ）に示すように、ＢＩＳＴ動作の実行中に動作用電源電圧が低下したことを検出すると、その時点で得ていた実行結果データを破棄し、ＢＩＳＴ動作を最初から再実行する。図１６に示すように、ＢＩＳＴ制御部６（電圧異常検出手段）は、ステップＳ２４でＢＩＳＴ１動作を開始してからステップＳ２５でＢＩＳＴ１動作の完了を判断するまでの間と、ステップＳ２８でＢＩＳＴ２動作を開始してからステップＳ２９でＢＩＳＴ２動作の完了を判断するまでの間とについて、５Ｖの動作用電源について異常がないか否かを監視する（Ｓ３４，Ｓ３５）。

具体的には、モニタリングモジュール２１の動作可能電圧の下限を閾値として設定し、動作用電源が閾値を下回らないか否かを監視し、閾値を下回ると（Ｓ３４，Ｓ３５：ＮＯ）、その時点で得ていた実行結果データを破棄し、それぞれのケースでステップＳ２４，Ｓ２８に戻り、ＢＩＳＴ１，２動作を再実行する。

以上のように第２実施形態によれば、ＢＩＳＴ制御部６は、異常判定回路４（１，２）に対して自己診断データを出力している期間中に動作用電源電圧の異常を検出すると、自己診断データの出力を停止して、当該データの出力を最初から再実行する。したがって、動作用電源電圧が一時的に不安定になった場合でも、診断結果データの信頼性を維持することができる。

（第３実施形態）
例えばモニタリングモジュール２１においてクロックを供給する回路に例えばＣＲ発振回路等を使用していると、周囲温度の影響などによりクロック周波数が変動する場合があり、クロック周波数が低下するとＢＩＳＴ動作時間が長くなる。また、例えばＢＩＳＴ部７（１，２）の機能に異常がありＢＩＳＴ動作のシーケンスが途中で停止すれば、完了フラグＯＮに至らない。このような場合もＢＩＳＴ動作の結果について信頼性が低下することが懸念される。

そこで、第３実施形態では、ＢＩＳＴ制御部６がＢＩＳＴ動作の実行時間を監視する。この場合、少なくともＢＩＳＴ制御部６は、水晶発振子を用いた高精度の発振回路からクロック信号が供給されて動作しているものとする。尚、第３実施形態は、第２実施形態において示した機能も併せて実行する。

図１７（ｄ）に示すように、ＢＩＳＴ制御部６は、ＢＩＳＴ部７（１，２）がＢＩＳＴ動作の実行を開始すると、その実行時間をカウンタやタイマ等（自己診断期間計測回路）により計測する。第２実施形態のように、動作電源電圧が不安定になったことでＢＩＳＴ動作を再実行すると、実行時間を再実行の開始時点から新たに計測する。そして、実行時間について閾値Ｔ１（所定時間）を設定しておき、実行時間が閾値Ｔ１を超えると（タイムアウト）ＢＩＳＴ動作の結果を「異常」とする。

図１８に示すように、ＢＩＳＴ制御部６は、ステップＳ２５で「ＮＯ」と判断すると、ＢＩＳＴ１動作の実行時間（経過時間１）が閾値Ｔ１を超えたか否かを判断する（Ｓ３６）。ここで閾値Ｔ１を超えると（ＹＥＳ）、ステップＳ３２に移行してＢＩＳＴ動作を終了する。また、ステップＳ２９で「ＮＯ」と判断すると、ＢＩＳＴ１動作の実行時間ＮＩＢＩＳＴ２動作の実行時間（経過時間２）を加えた値が閾値Ｔ１を超えたか否かを判断し（Ｓ３７）、ここで閾値Ｔ１を超えた場合も（ＹＥＳ）同様にステップＳ３２に移行する。

以上のように第３実施形態によれば、ＢＩＳＴ制御部６は、異常判定回路４（１，２）に対して自己診断データの出力を開始した時点から経時を開始し、計時された時間が所定時間に達しても、異常判定回路４に対応する結果比較器８が比較完了通知を出力しなければ、その時点で自己診断を終了する。したがって、ＢＩＳＴ動作が正常に実行されていない場合の実行結果を排除して信頼性を維持することができる。

本発明は上記した、又は図面に記載した実施形態にのみ限定されるものではなく、以下のような変形又は拡張が可能である。
異常検出回路は、３つ以上あっても良い。また、特許請求の範囲における第１及び第２異常判定回路に相当する組が、２組以上存在しても良い。
第３実施形態について、第２実施形態の機能を削除しても良い。

図面中、１はマイクロコンピュータ、４は異常判定回路、８は結果比較器（比較回路）、９（１）及び１０はセレクタ（データ選択回路）、セレクタ９（２）はセレクタ（データ／信号選択回路）、１７は自己診断回路、２１はモニタリングモジュール（異常判定装置）を示す。

Claims

車載機器を制御するマイクロコンピュータ（以下、マイコンと称す）の機能を監視するため、前記マイコン（１）より入力されるテストデータのパターンが予め定められている所定のパターンに一致しなければ、異常判定信号を外部に出力する異常判定回路（４）を複数備えてなる異常判定装置において、
前記複数の異常判定回路の機能を監視するため、各異常判定回路に対して前記テストデータと同じパターンの自己診断データを出力する自己診断回路（１７）と、
前記複数の異常判定回路に対して、それぞれに対応する前記テストデータと、前記自己診断データとの何れか一方を選択して出力する複数のデータ選択回路（９（１），９（２））と、
前記複数の異常判定回路のうち少なくとも２つについて、一方を第１異常判定回路（４（１）），他方を第２異常判定回路（４（２））とすると、前記第２異常判定回路が出力する異常判定信号と、前記自己診断データとの何れか一方を選択して、前記第１異常判定回路に出力するデータ／信号選択回路（１０）と、
前記自己診断回路が、前記データ選択回路及び前記データ／信号選択回路を制御して、前記複数の異常判定回路に自己診断データを出力した際に、各異常判定回路が出力すべきデータの期待値と、実際に各異常判定回路が出力したデータとを比較する複数の比較回路（８）とを備え、
前記第２異常判定回路に対応する比較回路（８（２））には、前記データ／信号選択回路を介して出力されるデータが入力されていることを特徴とする車両用マイコンの異常判定装置。
動作用電源電圧の異常を検出する電圧異常検出手段（６）を備え、
前記自己診断回路は、前記異常判定回路に対して前記自己診断データを出力している期間中に、前記電圧異常検出手段が前記電圧の異常を検出すると、前記自己診断データの出力を停止して、当該データの出力を最初から再実行することを特徴とする請求項１記載の車両用マイコンの異常判定装置。
前記自己診断回路は、前記複数の異常判定回路のそれぞれに対して最初に前記自己診断データの出力を開始した時点から計時を開始する自己診断期間計測回路（６）を備え、
自己診断期間計測回路により計時された時間が所定時間に達しても、前記異常判定回路に対応する比較回路が比較完了通知を出力しなければ、その時点で自己診断を終了することを特徴とする請求項１又は２記載の車両用マイコンの異常判定装置。
前記自己診断回路は、前記自己診断データの出力を最初から再実行した時点から計時を開始する自己診断期間計測回路（６）を備え、
前記自己診断期間計測回路により計時された時間が所定時間に達しても、前記異常判定回路に対応する比較回路が比較完了通知を出力しなければ、その時点で自己診断を終了することを特徴とする請求項２記載の車両用マイコンの異常判定装置。