JP6081239B2 - 制御装置の異常監視装置および異常監視方法 - Google Patents

Description

本発明は、マイクロコンピュータを有する制御装置の異常監視方法及びその構成に関する。

自動車の電子化が進むに伴い、マイクロコンピュータ（以下、マイコンと称することもある）の採用が増加する傾向にある。特に、ハイブリッド自動車や電気自動車においてはモータ駆動制御のためにインバータが必要であり、このインバータにはマイコンが搭載される。

自動車には、急加減速、感電、出火などの故障時における措置に対して厳しい安全基準が要求されるが、マイクロコンピュータに関しては、マイクロコンピュータの異常を起因とした安全侵害に至ることを防ぐためにその健全性を監視するための措置、つまり監視機能が必要である。

マイコンを用いたシステムにおいては、マイコンを監視するための監視機能として、メインマイクロコンピュータ（以下、メインマイコンと称することもある）の他にサブマイクロコンピュータ（以下、サブマイコンと称することもある）が備えられた２つのマイコンを有する構成がある。

メインマイコンの暴走が生じたときにサブマイコンはリセット信号を出力し、メインマイコンをリセットしてその作動を停止する方法や、メインマイコンの他にウォッチドッグタイマが備えられ、ウォッチドッグタイマはメインマイコンから出力されるプログラムラン信号の周期が正常範囲外となった場合にウォッチドッグタイマはリセット信号を出力し、メインマイコンをリセットしてその動作を停止する方法がある。

２つのマイコンを有する制御装置におけるマイコンの監視方法として、例えば特許文献１、２に記載の方法が存在する。

特許文献１では、２つのマイコンを平行して作動させ、メインマイコンはサブマイコンから出力される信号の周期を計測し、サブマイコンの発振回路に異常が発生して信号の周期が正常範囲外となった場合にウォッチドッグタイマへ出力している信号を停止してウォッチドッグタイマからリセット信号を出力させてメインマイコン及びサブマイコンをリセットして動作を停止する。あるいは、メインマイコンは自身の発振回路に異常が発生して動作が異常となった場合、サブマイコンから出力される信号を計測して算定した周期が正常範囲外となることを使用して、ウォッチドッグタイマへ出力している信号を停止してウォッチドッグタイマからリセット信号を出力させてメインマイコン及びサブマイコンをリセットして動作を停止する。このように、各マイコンにより計時処理を行う計時装置における各マイコンの動作サイクルの異常検知を行う方法が開示されている。

また特許文献２では、メインマイコンとサブマイコンそれぞれに暴走監視回路を備え、メインマイコンから出力するプログラムラン信号の周期が異常時、暴走監視回路はリセット信号を出力して、メインマイコンとサブマイコンをリセットして動作を停止する方法や、サブマイコンから出力するプログラムラン信号の周期が異常時、暴走監視回路はリセット信号を出力して、サブマイコンをリセットして動作を停止するとともに、メインマイコンはリセット信号が出力されたことを検知してサブマイコンとの通信を停止する方法が開示されている。

特許第４２４８９６３号公報 特公平８−１０４３９号公報

しかしながら、特許文献１に開示された方法は、発振回路に供給される電源電圧の異常や、発振回路自体の不良を考慮したものであって、メインマイコン自身及びサブマイコン自身の異常は考慮されておらず、上記発振回路に供給される電源電圧の異常や、発振回路自体の不良が検出できるかどうか不明である。また、メインマイコンの発振回路の異常は、サブマイコンから出力される信号を使用して間接的に診断しており、確実に異常を検出できるかどうかは不明である。

また、特許文献２に開示された方法では、メインマイコン及びサブマイコンはそれぞれに備えている暴走監視回路により監視される。しかしながら、監視機能は１重であるため安全の観点から措置としては十分とは言えない。また、暴走監視回路がマイコンの数だけ必要な構成となっており、コストもアップしてしまう。

本発明は、このような問題を解決するためになされたものであり、その目的は、メインマイコンおよびサブマイコンの監視機能を、コストを抑制しながら実現することができる制御装置の異常監視装置および異常監視方法を提供することにある。

本発明による制御装置の異常監視装置は、トリガ信号を出力する機能を有したサブマイクロコンピュータと、前記トリガ信号をトリガとして特定の演算処理を実施し、その演算結果を前記サブマイクロコンピュータに送信するメインマイクロコンピュータと、前記トリガ信号が入力されるコンピュータ監視手段とを備えた制御装置において、前記サブマイクロコンピュータが出力したトリガ信号に基づいて、前記サブマイクロコンピュータは、前記メインマイクロコンピュータを監視し、前記コンピュータ監視手段は、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かによって前記サブマイクロコンピュータの状態を診断し、前記メインマイクロコンピュータは、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かを診断し、前記トリガ信号の周期が正常範囲内でない場合に自身の動作を停止することを特徴とする。
本発明による制御装置の異常監視方法は、サブマイクロコンピュータと、メインマイクロコンピュータと、コンピュータ監視手段とを備えた制御装置において、前記サブマイクロコンピュータがトリガ信号を出力するステップと、前記サブマイクロコンピュータが、前記トリガ信号に基づいて前記メインマイクロコンピュータを監視するステップと、前記コンピュータ監視手段が、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かによって前記サブマイクロコンピュータの状態を診断するステップと、前記メインマイクロコンピュータが、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かを診断し、前記トリガ信号の周期が正常範囲内でない場合に自身の動作を停止するステップとを備えたことを特徴とする。

本発明によれば、トリガ信号を基にして、サブマイコンはメインマイコンを監視し、コンピュータ監視手段はサブマイコンを監視する構成が可能となり、コストを抑制しつつ安全措置の効果を向上することができる。

上記した以外の構成及び効果は以下の実施形態の説明により明らかにされる。

本発明の実施形態に従うマイコン監視のための代表例として示される構成図である。 本発明の実施形態に従う実施例１を表し、（ａ）はサブマイコンによるメインマイコン監視のための構成図、（ｂ）はサブマイコンによるメインマイコン監視手段を説明するフローチャートである。 本発明の実施形態に従う実施例２を表し、（ａ）はウォッチドッグタイマによるサブマイコン監視のための構成を説明する図、（ｂ）はウォッチドッグタイマによるサブマイコン監視手段を説明するフローチャートである。 本発明の実施形態に従う実施例３を表し（ａ）はウォッチドッグタイマによるサブマイコン監視、メインマイコンによるサブマイコン状態監視及びメインマイコン停止のための構成図、（ｂ）はウォッチドッグタイマによるサブマイコン監視、メインマイコンによるサブマイコン状態監視及びメインマイコン停止手段を説明するフローチャートである。 本発明の実施形態に従う実施例４を表し、（ａ）はウォッチドッグタイマによるサブマイコン監視、サブマイコン異常時のサブマイコン及びメインマイコンの停止のための構成図、（ｂ）はウォッチドッグタイマによるサブマイコン監視、サブマイコン異常時のサブマイコン及びメインマイコンの停止手段を説明するフローチャートである。

以下、図面を参照しながら本発明の実施形態について説明するが、本発明は下記の実施形態例に限定されるものではない。図１は、本発明の実施形態に従うマイコン監視のための代表例として示される構成を説明する図である。

本実施形態による制御装置の異常監視装置は、メインマイコンＭＣ１、サブマイコンＭＣ２、コンピュータ監視手段、例えばウォッチドッグタイマＷＤＴ１より構成される。サブマイコンＭＣ２はトリガ信号ＴＲＧを出力する機能を有する。トリガ信号ＴＲＧはメインマイコンＭＣ１及びウォッチドッグタイマＷＤＴ１の両方に送信される。

メインマイコンＭＣ１は受信したトリガ信号ＴＲＧをトリガとして、所定の演算処理、例えばプログラムにおける特定の演算処理を実施する機能を有する。ここで、所定の演算処理は割り込み処理でもよい。前記演算結果（データ）はサブマイコンＭＣ２へ送信される。

サブマイコンＭＣ２は、前記送信された演算結果を用いてメインマイコンＭＣ１を監視する機能を有し、その演算結果が異常である場合、リセット信号Ｒｅｓ１を出力し、メインマイコンＭＣ１をリセットすることが可能である。

メインマイコンＭＣ１はサブマイコンＭＣ２から出力されたトリガ信号ＴＲＧの周期を監視する機能を有し、トリガ信号ＴＲＧの周期が正常範囲内でない場合にはメインマイコンＭＣ１自身の動作を停止する機能を有する。ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧを受信して、タイマカウンタをクリアする機能を有する。ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧが所定期間受信できずタイマカウンタがクリアされない場合、リセット信号Ｒｅｓ２を出力する機能を有する。リセット信号Ｒｅｓ２はサブマイコンＭＣ２へ送信される。

以上のように、本実施形態（図１）の構成によれば、メインマイコンとサブマイコンとウォッチドッグタイマを備え、サブマイコンから出力されるトリガ信号をもとに、サブマイコンはメインマイコンを監視し、さらには、ウォッチドッグタイマはサブマイコンを監視することができるため、従来の構成から大きな変更をすることなく、サブマイコンから出力するトリガ信号の信号ラインを設けることで監視機能を監視するといった安全措置がコストを抑制しながら実現できる。

図２（ａ）は、本発明の実施形態に従う実施例１の、サブマイコンＭＣ２によるメインマイコンＭＣ１監視のための構成を説明する図である。実施例１は、メインマイコンＭＣ１、サブマイコンＭＣ２、ウォッチドッグタイマＷＤＴ１より構成される。

サブマイコンＭＣ２はトリガ信号ＴＲＧを出力する機能を有する。トリガ信号ＴＲＧはメインマイコンＭＣ１及びウォッチドッグタイマＷＤＴ１の両方に送信される。

メインマイコンＭＣ１は受信したトリガ信号ＴＲＧをトリガとして、所定の演算処理、例えばプログラムにおける特定の演算処理を実施する機能を有する。ここで、所定の演算処理は割り込み処理でもよい。前記演算結果（データ）はサブマイコンＭＣ２へ送信される。

サブマイコンＭＣ２は、前記送信された演算結果を用いてメインマイコンＭＣ１を監視する機能を有し、その演算結果が異常である場合、リセット信号Ｒｅｓ１を出力し、メインマイコンＭＣ１をリセットすることが可能である。

ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧを受信して、タイマカウンタをクリアする機能を有する。

図２（ｂ）は、本発明の実施例１のサブマイコンＭＣ２によるメインマイコンＭＣ１監視手段を説明するフローチャートである。図２（ｂ）において、ＳＴＥＰ２１にてサブマイコンＭＣ２はトリガ信号ＴＲＧを出力する。

ＳＴＥＰ２２にてメインマイコンＭＣ１はサブマイコンＭＣ２から出力されるトリガ信号ＴＲＧをトリガとして所定の演算処理を実施し、サブマイコンＭＣ２へ演算結果を送信する。

ＳＴＥＰ２３にてサブマイコンＭＣ２はメインマイコンＭＣ１から受信した演算結果と期待値を照合する。

ＳＴＥＰ２４にて、サブマイコンＭＣ２は前記照合した結果が正常の場合、処理を終了する。照合した結果が異常の場合、ＳＴＥＰ２５に進む。

ＳＴＥＰ２５にてサブマイコンＭＣ２はリセット信号Ｒｅｓ１を出力する。

ＳＴＥＰ２６にてメインマイコンＭＣ１はリセットされて動作が停止する。

上記のように実施例１によれば、サブマイコンＭＣ２がメインマイコンＭＣ１の演算結果と期待値を照合することで、メインマイコンＭＣ１の健全性を診断することができる。

図３（ａ）は、本発明の実施形態に従う実施例２の、ウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視のための構成を説明する図である。実施例２は、メインマイコンＭＣ１、サブマイコンＭＣ２、ウォッチドッグタイマＷＤＴ１より構成される。

サブマイコンＭＣ２はトリガ信号ＴＲＧを出力する機能を有する。トリガ信号ＴＲＧはメインマイコンＭＣ１及びウォッチドッグタイマＷＤＴ１の両方に送信される。

メインマイコンＭＣ１は受信したトリガ信号ＴＲＧをトリガとして、所定の演算処理、例えばプログラムにおける特定の演算処理を実施する機能を有する。ここで、所定の演算処理は割り込み処理でもよい。前記演算結果（データ）はサブマイコンＭＣ２へ送信される。サブマイコンＭＣ２は前記送信された演算結果を用いてメインマイコンＭＣ１を監視する機能を有する。

ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧを受信して、タイマカウンタをクリアする機能を有する。ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧが所定期間受信できずタイマカウンタがクリアされない場合、リセット信号Ｒｅｓ２を出力する機能を有する。リセット信号Ｒｅｓ２はサブマイコンＭＣ２へ送信される。

図３（ｂ）は、本発明の実施例２のウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視手段を説明するフローチャートである。尚、実施例２において、サブマイコンＭＣ２がトリガ信号ＴＲＧを出力するステップは図２（ｂ）のＳＴＥＰ２１と同様であり、メインマイコンＭＣ１が所定演算処理を行うステップは図２（ｂ）のＳＴＥＰ２２と同様である。

まず、ＳＴＥＰ３１にてウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧを受信する。

ＳＴＥＰ３２にてトリガ信号ＴＲＧの周期が正常範囲内の場合、ＳＴＥＰ３３に進む。トリガ信号ＴＲＧの周期が正常範囲外の場合、ＳＴＥＰ３４に進む。

ＳＴＥＰ３３に進んだ場合、ウォッチドッグタイマＷＤＴ１のタイマカウンタはクリアされ、処理は終了する。

ＳＴＥＰ３４に進んだ場合、ウォッチドッグタイマＷＤＴ１のタイマカウンタはインクリメントされる。

ＳＴＥＰ３５にてウォッチドッグタイマＷＤＴ１のタイマカウンタはオーバフローしてしまい、ウォッチドッグタイマＷＤＴ１はリセット信号Ｒｅｓ２を出力する。

ＳＴＥＰ３６にてサブマイコンＭＣ２はリセットされて動作が停止する。

ここで、前記所定期間、トリガ信号ＴＲＧを受信することができずオーバフローとなる場合に限らず、正常であっても、所定期間より短い周期で受信した場合もサブマイコンＭＣ２に何らかの異常が発生していることが考えられる。この場合にも対処できるように、ウォッチドッグタイマＷＤＴ１はウィンドウを持つタイプであればさらに良い。すなわちトリガ信号ＴＲＧが周期的に動作していることが担保されることが望ましい。

以上のように実施例２によれば、サブマイコンＭＣ２がメインマイコンＭＣ１を監視し、ウォッチドッグタイマＷＤＴ１がサブマイコンＭＣ２を監視することができ、コストを抑制しつつ安全措置の効果を向上することができる。

図４（ａ）は、本発明の実施形態に従う実施例３の、ウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視、メインマイコンＭＣ１によるサブマイコンＭＣ２状態監視及びメインマイコンＭＣ１停止のための構成を説明する図である。

図４（ａ）において、実施例２の図３（ａ）と同一部分は同一符号をもって示している。図４（ａ）において図３（ａ）と異なるのは、メインマイコンＭＣ１がサブマイコンＭＣ２を監視している機能を有する点であり、その他の部分は図３（ａ）と同一に構成されている。

メインマイコンＭＣ１はサブマイコンＭＣ２から出力されたトリガ信号ＴＲＧの周期を監視する機能を有し、トリガ信号ＴＲＧの周期が正常範囲内でない場合にはメインマイコンＭＣ１自身の動作を停止する機能を有する。

図４（ｂ）は、本発明の実施例３のウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視、メインマイコンＭＣ１によるサブマイコンＭＣ２状態監視及びメインマイコンＭＣ１停止手段を説明するフローチャートである。

尚、実施例３において、サブマイコンＭＣ２がトリガ信号ＴＲＧを出力するステップは図２（ｂ）のＳＴＥＰ２１と同様であり、メインマイコンＭＣ１が所定演算処理を行うステップは図２（ｂ）のＳＴＥＰ２２と同様である。

また図４（ｂ）において、ウォッチドッグタイマによるサブマイコン監視の処理を示すＳＴＥＰ４１〜ＳＴＥＰ４６は、図３（ｂ）のＳＴＥＰ３１〜ＳＴＥＰ３６と同一の処理が行われるものである。

次にＳＴＥＰ４７では、前記ＳＴＥＰ４１にてウォッチドッグタイマＷＤＴ１がサブマイコンＭＣ２から出力されたトリガ信号ＴＲＧを受信するのと同様に、メインマイコンＭＣ１はサブマイコンＭＣ２から出力されたトリガ信号ＴＲＧを受信する。

次にＳＴＥＰ４８にて、メインマイコンＭＣ１はトリガ信号ＴＲＧの周期が正常範囲内か否かを診断する。トリガ信号ＴＲＧの周期が正常範囲内の場合、処理は終了する。トリガ信号ＴＲＧの周期が正常範囲外の場合、ＳＴＥＰ４９に進む。

ＳＴＥＰ４９にて、メインマイコンＭＣ１は、サブマイコンＭＣ２が異常であると判定し、メインマイコンＭＣ１自身の動作を停止する。

前記トリガ信号ＴＲＧの周期の異常によって、メインマイコンＭＣ１がサブマイコンＭＣ２の異常を判定してメインマイコンＭＣ１自身の動作を停止する機能を備える場合、サブマイコンＭＣ２が異常な状態にあってメインマイコンＭＣ１が動作を停止したことが検出できずに異常時の措置が取れない場合を考慮して、メインマイコンＭＣ１が動作を停止してしまってもサブマイコンＭＣ２はウォッチドッグタイマＷＤＴ１によりリセットされて動作が停止するように、ウォッチドッグタイマＷＤＴ１のタイマカウンタをクリアする条件とメインマイコンＭＣ１がサブマイコンＭＣ２の異常を判定する条件を適切に設定しておくことが望ましい。

上記のように実施例３によれば、サブマイコンＭＣ２が出力するトリガ信号に基づいて、メインマイコンＭＣ１がサブマイコンＭＣ２の異常を監視し、メインマイコンＭＣ１自身の動作を停止することができる。

図５（ａ）は、本発明の実施例４の、ウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視、サブマイコンＭＣ２異常時のサブマイコンＭＣ２及びメインマイコンＭＣ１の停止のための構成を説明する図である。

実施例４は、メインマイコンＭＣ１、サブマイコンＭＣ２、ウォッチドッグタイマＷＤＴ１およびＯＲ回路ＯＲ１より構成される。図５（ａ）において、図２（ａ）、図３（ａ）と同一部分は同一符号をもって示している。

図５（ａ）において図２（ａ）と異なるのは、ウォッチドッグタイマＷＤＴ１がリセット信号Ｒｅｓ２を出力して、サブマイコンＭＣ２及びメインマイコンＭＣ１をリセットしてそれぞれの動作を停止する機能を有する点であり、以下に説明する。

ウォッチドッグタイマＷＤＴ１はトリガ信号ＴＲＧが所定期間受信できずタイマカウンタがクリアされない場合、リセット信号Ｒｅｓ２を出力する機能を有する。リセット信号Ｒｅｓ２はサブマイコンＭＣ２及びメインマイコンＭＣ１へ送信される。また、サブマイコンＭＣ２が出力するリセット信号Ｒｅｓ１と、ウォッチドッグタイマが出力するリセット信号Ｒｅｓ２はＯＲ回路ＯＲ１を通じてメインマイコンＭＣ１へ送信される。サブマイコンＭＣ２が出力するリセット信号Ｒｅｓ１と、ウォッチドッグタイマＷＤＴ１が出力するリセット信号Ｒｅｓ２をＯＲ回路ＯＲ１を通じてメインマイコンＭＣ１へ送信するのは、サブマイコンＭＣ２がメインマイコンＭＣ１の異常を検出した場合と、ウォッチドッグタイマＷＤＴ１がサブマイコンＭＣ２の異常を検出した場合のいずれにも対応できるようにするためである。

図５（ｂ）は、本発明の実施例４のウォッチドッグタイマＷＤＴ１によるサブマイコンＭＣ２監視、サブマイコンＭＣ２異常時のサブマイコンＭＣ２及びメインマイコンＭＣ１の停止手段を説明するフローチャートである。

図５（ｂ）において、サブマイコンによるメインマイコン監視の処理を示すＳＴＥＰ５１〜ＳＴＥＰ５６は、図２（ｂ）のＳＴＥＰ２１〜ＳＴＥＰ２６と同一の処理が行われるものである。

そして前記ＳＴＥＰ５１にて、サブマイコンＭＣ２から出力されたトリガ信号ＴＲＧは、メインマイコンＭＣ１への送信（ＳＴＥＰ５２）と同じようにウォッチドッグタイマＷＤＴ１（ＳＴＥＰ５７）へ送信される。

次にＳＴＥＰ５７にて、トリガ信号ＴＲＧの周期が正常範囲内の場合ＳＴＥＰ５８に進む。トリガ信号ＴＲＧの周期が正常範囲外の場合ＳＴＥＰ５９に進む。

ＳＴＥＰ５８に進んだ場合、ウォッチドッグタイマＷＤＴ１のタイマカウンタはクリアされ、処理は終了する。

ＳＴＥＰ５９に進んだ場合、ウォッチドッグタイマＷＤＴ１のタイマカウンタはインクリメントされる。

次にＳＴＥＰ６０にて、ウォッチドッグタイマＷＤＴ１のタイマカウンタはオーバフローしてしまい、ウォッチドッグタイマＷＤＴ１はリセット信号Ｒｅｓ２を出力する。

次にＳＴＥＰ６１にてサブマイコンＭＣ２はリセットされて動作が停止する。

また、ＳＴＥＰ６２にてメインマイコンＭＣ１はリセットされて動作が停止する。

上述したように、図５（ａ），（ｂ）の実施例４は、サブマイコンＭＣ２に異常が発生した場合にもメインマイコンＭＣ１の動作を停止してしまうものであるが、メインマイコンＭＣ１のみで動作を保持するように構成することも可能である。これは縮退運転制御などには有効である。

一方で、実施例４のように、サブマイコンＭＣ２に異常が発生した場合にもメインマイコンＭＣ１の動作を停止してしまう方法は、主機能側（メインマイコンＭＣ１側）を監視している監視機能（サブマイコンＭＣ２側）の健全性が確保されない状態を安全上容認できないようなシステムが対象である場合には有効である。

上述した実施例１〜実施例４では特に言及はしていないが、ウォッチドッグタイマＷＤＴ１の機能の健全性はサブマイコンＭＣ２から出力するトリガ信号ＴＲＧを停止した場合のウォッチドッグタイマＷＤＴ１の挙動をテストすることで診断可能である。

例えば、システムの起動時、サブマイコンＭＣ２から出力するトリガ信号ＴＲＧを停止した状態において、ウォッチドッグタイマＷＤＴ１からリセット信号Ｒｅｓ２が出力されるかどうかをテストすることが可能である。このウォッチドッグタイマＷＤＴ１の健全性の確認は、ウォッチドッグタイマＷＤＴ１の故障が直接的に安全を侵害するわけではないため、システムの起動時に診断するといった診断サイクルで問題ない。

メインマイコンＭＣ１、サブマイコンＭＣ２、ウォッチドッグタイマＷＤＴ１を有する構成において、上述した実施例を備えた制御装置は、従来の構成から大きな変更はないためコストを抑制でき、それ自身以外のいずれかによってその健全性が監視されている構成が実現されるため、安全措置としては非常に有効である。

ＭＣ１…メインマイクロコンピュータ
ＭＣ２…サブマイクロコンピュータ
ＷＤＴ１…ウォッチドッグタイマ
ＴＲＧ…トリガ信号
Ｄａｔａ…演算結果データ
Ｒｅｓ１、Ｒｅｓ２…リセット信号
ＯＲ１…ＯＲ回路

Claims (6)

1. トリガ信号を出力する機能を有したサブマイクロコンピュータと、前記トリガ信号をトリガとして特定の演算処理を実施し、その演算結果を前記サブマイクロコンピュータに送信するメインマイクロコンピュータと、前記トリガ信号が入力されるコンピュータ監視手段とを備えた制御装置において、
   前記サブマイクロコンピュータが出力したトリガ信号に基づいて、
   前記サブマイクロコンピュータは、前記メインマイクロコンピュータを監視し、
   前記コンピュータ監視手段は、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かによって前記サブマイクロコンピュータの状態を診断し、
   前記メインマイクロコンピュータは、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かを診断し、前記トリガ信号の周期が正常範囲内でない場合に自身の動作を停止する
   ことを特徴とする制御装置の異常監視装置。
2. 請求項１に記載の制御装置の異常監視装置において、
   前記サブマイクロコンピュータは、前記メインマイクロコンピュータから送信された演算結果と期待値を照合して前記メインマイクロコンピュータの状態を診断することを特徴とする制御装置の異常監視装置。
3. 請求項１又は２に記載の制御装置の異常監視装置において、
   前記コンピュータ監視手段は、前記サブマイクロコンピュータの状態を診断した結果、前記トリガ信号の周期が正常範囲内でない場合に前記サブマイクロコンピュータ及びメインマイクロコンピュータをリセットさせることを特徴とする制御装置の異常監視装置。
4. サブマイクロコンピュータと、メインマイクロコンピュータと、コンピュータ監視手段とを備えた制御装置において、
   前記サブマイクロコンピュータがトリガ信号を出力するステップと、
   前記サブマイクロコンピュータが、前記トリガ信号に基づいて前記メインマイクロコンピュータを監視するステップと、
   前記コンピュータ監視手段が、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かによって前記サブマイクロコンピュータの状態を診断するステップと、
   前記メインマイクロコンピュータが、前記サブマイクロコンピュータから入力された前記トリガ信号の周期が正常範囲内であるか否かを診断し、前記トリガ信号の周期が正常範囲内でない場合に自身の動作を停止するステップと
   を備えたことを特徴とする制御装置の異常監視方法。
5. 請求項４に記載の制御装置の異常監視方法において、
   前記メインマイクロコンピュータを監視するステップは、前記メインマイクロコンピュータから送信された演算結果と期待値を照合して前記メインマイクロコンピュータの状態を診断することを含んでいることを特徴とする制御装置の異常監視方法。
6. 請求項４又は５に記載の制御装置の異常監視方法において、
   前記サブマイクロコンピュータを監視するステップは、前記サブマイクロコンピュータの状態を診断した結果、前記トリガ信号の周期が正常範囲内でない場合に前記サブマイクロコンピュータ及びメインマイクロコンピュータをリセットさせるステップを含んでいることを特徴とする制御装置の異常監視方法。
   

Images