JP6224545B2 - 電子制御装置 - Google Patents

Description

本発明は、マイクロコンピュータ（マイコン）と、シリアル多線バス（マイクロセカンドバス）を介して駆動される周辺構成素子とを備える電子制御装置において、周辺構成素子の暴走を監視する監視装置に関するものである。

従来技術から、とりわけ自動車領域において簡単に組立てされ、安価な制御装置が公知である。この制御装置は、内燃機関等の機能の制御および調整に用いられる。この公知の制御装置は２つの集積回路を有する。すなわち、２つの集積回路とは、計算装置またはマイコンに対する構成素子と、マイコンからの指令により動作する周辺構成素子または周辺チップである。周辺構成素子には、電圧供給部と、１つまたは複数の入出力段と、および制御装置のインタフェース構成素子とが収納される。

マイコンおよび周辺構成素子は、従来技術により、いわゆるマイクロセカンドバスを介して相互に通信する。これは３〜４線のシリアルバスである。このバスは、ＳＰＩ（Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ）バスとの類似性を有する。マイクロセカンドバスを介してとりわけ安全性通信（例えば、問い合わせ−応答通信）がマイコンと周辺構成素子との間で行われる。さらにマイコンと周辺構成素子との間には、例えばマイコンに電圧供給するための別の線路が設けられている。

従来より、ウォッチドッグクリア信号（ＷＤＣ信号）信号に基づいてマイコンの暴走を監視する装置が提案されている。特許文献１は、ＷＤＣ信号として出力されるパルスの周期性に基づいてマイコンの暴走を監視する装置が提案されている。

特開２００２−９１８０２号公報

従来では、マイコンと周辺構成素子との間で上述の安全性通信が行われていたが、マイコン及び周辺構成素子以外の構成要素（以下で説明する「監視部」）によって、周辺構成素子の入出力が監視されていなかった。したがって、監視部によって、マイコンだけでなく、周辺構成素子の通信、及び、入出力機能を監視し、マイコン及び周辺構成素子の暴走を監視する構成が求められる。

本発明の目的は、マイコンで使用している監視部によって周辺構成素子の入出力を監視し、周辺構成素子の通信、及び、入出力機能を監視することができる電子制御装置を提供することである。

本発明において、マイコンと、入出力機能を備える周辺構成素子とは、シリアル通信（マイクロセカンドバス）にて接続しており、マイコンが、シリアル通信介した送信データにより、周辺構成素子の入出力を操作する。監視部は、マイコン及び周辺構成素子の少なくとも一方から出力されるＷＤＣ信号の周期性が崩れると、マイコン及び周辺構成素子の異常発生を判定する。

上記課題を解決する為に、例えば特許請求の範囲に記載の構成を採用する。本願は上記課題を解決する手段を複数含んでいるが、その一例をあげるならば、少なくも１つのマイクロコンピュータと、前記マイクロコンピュータとシリアル多線バスを介して接続され、前記マイクロコンピュータによって制御される入出力機能を備える少なくとも１つの周辺構成素子と、前記マイクロコンピュータ及び前記周辺構成素子の少なくとも一方から出力されるウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視する少なくとも１つの監視部と、を備え、前記監視部は、前記周期性が崩れたときに、前記マイクロコンピュータ及び前記周辺構成素子に対してリセット信号を出力する、電子制御装置が提供される。

本発明によれば、マイコンで使用している監視部によって周辺構成素子の入出力を監視し、周辺構成素子の通信、及び、入出力機能を監視することができる。
本発明に関連する更なる特徴は、本明細書の記述、添付図面から明らかになるものである。また、上記した以外の、課題、構成及び効果は、以下の実施例の説明により明らかにされる。

第１実施例における車両制御装置の概要を示す構成図である。 第１実施例における暴走監視動作を示すタイムチャートである。 フリーランタイマの動作を示す図である。 第２実施例における車両制御装置の概要を示す構成図である。 第２実施例における暴走監視動作を示すタイムチャートである。 第３実施例における車両制御装置の概要を示す構成図である。 第３実施例における暴走監視動作を示すタイムチャートである。 第４実施例における車両制御装置の概要を示す構成図である。 第４実施例における暴走監視動作を示すタイムチャートである。 第５実施例における車両制御装置の概要を示す構成図である。 第５実施例における暴走監視動作を示すタイムチャートである。 第６実施例における車両制御装置の概要を示す構成図である。

以下、添付図面を参照して本発明の実施例について説明する。なお、添付図面は本発明の原理に則った具体的な実施例を示しているが、これらは本発明の理解のためのものであり、決して本発明を限定的に解釈するために用いられるものではない。また、各図において共通の構成については同一の参照番号が付されている。

以下で説明する本発明に係る電子制御装置は、少なくとも１つの計算装置またはマイコン（以下では、単に「マイコン」と呼ぶ）と、マイコンからの指令により動作する少なくとも１つの周辺構成素子または周辺チップ（以下では、単に「周辺構成素子」と呼ぶ）とを備える。マイコンと周辺構成素子は、シリアル多線バス（マイクロセカンドバス）を介して接続されている。周辺構成素子は、シリアル多線バスを介してマイコンによって制御される入出力機能を備える。以下で説明する実施例の特徴として、電子制御装置は、マイコンと周辺構成素子の少なくとも一方からのウォッチドッグクリア信号（ＷＤＣ信号）の周期性に基づいて、マイコン及び周辺構成素子の異常発生（例えば、暴走）を監視する少なくとも１つの監視部を備える。

［第１実施例］
以下、本発明を具体化した第１実施例を図面に従って説明する。第１実施例に係る電子制御装置は、自動車等の車両において内燃機関等の機能の制御及び調整を行う車載制御装置である。図１は、第１実施例における車載制御装置を示す構成図である。車載制御装置は、マイコン１０と、周辺構成素子１７と、ＷＤＣ監視部２０とを備える。

マイコン１０は、コア（ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ））１１と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１３と、フリーランタイマ１４と、Ｉ／Ｏ部１５と、シリアル多線バス（マイクロセカンドバス）１６とを備える。図１に示すように、これらの構成要素は相互に接続されており、コア１１は、ＲＡＭ１２、ＲＯＭ１３、タイマ１４、Ｉ／Ｏ部１５、シリアル多線バス１６などを使用する。また、コア１１とフリーランタイマ１４には発振子１８が接続されている。

ここで、フリーランタイマ１４は、一定時間毎（例えば１μｓ毎）にカウントアップされる２バイト（１６ビット）のタイマカウンタにて構成される。すなわち、フリーランタイマ１４は「００００Ｈ」〜「ＦＦＦＦＨ」の間でカウント値を変化させるタイマとして機能する。

周辺構成素子１７は、マイコン１０からの指令により動作する。一例として、周辺構成素子１７は、電圧供給部と、１つまたは複数の入出力段と、インタフェース構成素子とを備える。マイコン１０と周辺構成素子１７は、シリアル多線バス１６を介して接続されている。周辺構成素子１７は、シリアル多線バス１６を介してマイコン１０によって制御される入出力機能を備える。

Ｉ／Ｏ部１５のＷＤＣ監視部用Ｉ／Ｏポートには、ＷＤＣ監視部２０が接続されている。ＷＤＣ監視部２０は、マイコン等により構成されており、したがって、コア（ＣＰＵ）、ＲＡＭ、ＲＯＭ、及び、Ｉ／Ｏ部などの構成要素を備える。ＷＤＣ監視部２０は、Ｉ／Ｏ部１５から出力されるＷＤＣ信号３１を監視する。ＷＤＣ監視部２０は、マイコン１０のリセット端子と周辺構成素子１７のリセット端子に接続されている。ＷＤＣ監視部２０は、ＷＤＣ信号３１の周期性が崩れた場合、マイコン１０または周辺構成素子１７で異常発生したと判定し、マイコン１０及び周辺構成素子１７の両方へリセット信号３２を出力する。

例えば、コア１１は、ＲＯＭ１３に格納されている所定の制御プログラムを実行することにより、制御演算を実行する。また、ＷＤＣ監視部２０のコアも、ＲＯＭに格納されている所定の制御プログラムを実行することにより、制御演算を実行する。マイコン１０及びＷＤＣ監視部２０の以下で説明する制御機能は、コアが実行するソフトウェアとして実装することもできるし、マイコンなどが備える回路デバイスなどのハードウェアとして実装することもできる。

次に、マイコン１０または周辺構成素子１７の暴走監視の動作を図２のタイムチャートを用いて説明する。図２は、フリーランタイマ１４の動作、マイコン１０のＷＤＣ出力処理タイミング、周辺構成素子１７からシリアル多線バス（マイクロセカンドバス）１６を介してマイコン１０が受信した入力データ（Ｈ／Ｌ）、並びに、リセット信号をそれぞれ示している。

フリーランタイマ１４は、一定速度でカウントアップ動作を継続し、その際のフリーランタイマ１４を構成する各ビットはそれぞれに同一の時間間隔で反転を繰り返す。一例として図３に示すように、フリーランタイマ１４の１１番目のビット（ｂｉｔ１１）は約２ｍｓ毎に反転を繰り返す。この場合、当該ｂｉｔ１１の反転のタイミングがコア１１に通知され、その際、割り込み要求が発生し、ＷＤＣ処理を実施する。すなわち、２ｍｓ毎に、コア１１は、フリーランタイマ１４のｂｉｔ１１が０→１に反転するタイミングで各々の制御を中断し、Ｉ／Ｏ部１５のＷＤＣ用Ｉ／Ｏポートを操作する。これにより、Ｉ／Ｏ部１５のＷＤＣ用Ｉ／ＯポートからＷＤＣ監視部２０に対して一定周期のＷＤＣ信号３１が出力される。

さらに、本実施例では、マイコン１０が、マイコン１０自身から出力されたＷＤＣ信号３１を周辺構成素子１７に入力し、周辺構成素子１７からそのＷＤＣ信号を受信する。マイコン１０は、周辺構成素子１７から受信したＷＤＣ信号と、マイコン１０自身が出力したＷＤＣ信号３１とを照合する。マイコン１０は、照合結果に基づいて、次の信号となるＷＤＣ信号３１を出力する。ＷＤＣ監視部２０は、Ｉ／Ｏ部１５から出力されるＷＤＣ信号３１を監視する。ＷＤＣ監視部２０は、ＷＤＣ信号３１の周期性が崩れた場合、マイコン１０または周辺構成素子１７で異常発生したと判定し、マイコン１０と周辺構成素子１７へリセット信号３２を出力する。

詳細には、図２の２ｍｓ毎に、マイコン１０において、コア１１がＷＤＣ用Ｉ／Ｏポートを操作する際、コア１１が、周辺構成素子１７からシリアル多線バス１６にて受信した入力データ（Ｈ／Ｌ）と、前回のＷＤＣ信号の出力データ（Ｈ／Ｌ）とを照合する。このとき、コア１１は、周辺構成素子１７から受信した入力データと、前回のＷＤＣ信号の出力データとが同じ場合は、Ｈ／Ｌを反転してＷＤＣ信号３１を出力する。一方、コア１１は、周辺構成素子１７から受信した入力データと、前回のＷＤＣ信号３１の出力データとが異なる場合は、前回と同値の（すなわち、Ｈ／Ｌを反転させずに）ＷＤＣ信号３１を出力する。以上の２つの処理を２ｍｓ毎に実行することで、ＷＤＣ用Ｉ／ＯポートからＷＤＣ監視部２０に対して２ｍｓの一定周期のＷＤＣ信号３１が出力される。

図２を用いて、さらに詳細に説明する。図２に示すように、コア１１は、周辺構成素子１７からシリアル多線バス１６を介して受信した入力データ２０１と、前回のＷＤＣ信号のデータ２０２とを照合する。ここでは、入力データ２０１とデータ２０２が同じであるため、コア１１は、Ｈ／Ｌを反転してＷＤＣ信号３１をＩ／Ｏ部１５のＷＤＣ用Ｉ／Ｏポートから出力する。なお、前回のＷＤＣ信号のデータ２０２については、マイコン１０内の所定の記憶部（例えば、コア１１のレジスタなど）に記憶しておくことで、コア１１が、周辺構成素子１７から受信した入力データ２０１と、前回のＷＤＣ信号のデータ２０２とを照合することができる。

例えば図２の（Ａ）期間では、上記の通りフリーランタイマ１４のｂｉｔ１１の反転に応じて、コア１１が、ＷＤＣ処理を実施する。（Ａ）期間では、マイコン１０及び周辺構成素子１７が正常に動作しているため、ＷＤＣ用Ｉ／ＯポートからＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１が、一定周期で反転を繰り返す。従って、ＷＤＣ監視部２０は、マイコン１０または周辺構成素子１７が、正常動作していると判定する。

次に、周辺構成素子１７が暴走した例を説明する。図２に示すように、コア１１は、周辺構成素子１７からシリアル多線バス１６を介して受信した入力データ２０３と、前回のＷＤＣ信号のデータ２０４とを照合する。ここでは、入力データ２０３とデータ２０４が異なるため、コア１１は、Ｈ／Ｌを反転させずにＷＤＣ信号３１をＩ／Ｏ部１５のＷＤＣ用Ｉ／Ｏポートから出力する。ここでは、コア１１は、前回と同じＨでＷＤＣ信号３１を出力する。コア１１は、Ｈ／Ｌを反転させずにＷＤＣ信号３１を出力した場合、マイコン１０内の所定の記憶部に記憶されている前回のＷＤＣ信号のデータ２０４を更新せずに保持する。したがって、以降の処理では、入力データ２０３とデータ２０４が異なり続けるため、ＷＤＣ用Ｉ／Ｏポートから出力されるＷＤＣ信号３１はＨに固定される。

上述のように、周辺構成素子１７が暴走すると、図２の（Ｂ）期間に示すように、ＷＤＣ用Ｉ／ＯポートがＬに立ち下げられず、ＷＤＣ用Ｉ／Ｏポートから出力されるＷＤＣ信号３１はＨに固定される。ＷＤＣ監視部２０は、ＷＤＣ信号３１の値（ＨまたはＬ）が所定の期間同じ状態であるか（すなわち、Ｈ／Ｌの反転がされず、連続して同じ値であるか）を判定する。ＷＤＣ信号３１の値が一定期間固定されて連続している場合、ＷＤＣ監視部２０は、マイコン１０及び周辺構成素子１７に対してリセット信号３２を出力する。これにより、マイコン１０及び周辺構成素子１７がリセットされる。図２の（Ｃ）期間では、リセット信号３２によって周辺構成素子１７が正常に復帰し、それ以降、再びＷＤＣ信号３１が一定周期で反転動作する。

以上詳述した第１実施例では、コア１１のＷＤＣ処理（割り込み要求発生）のタイミングをフリーランタイマ１４から通知し、その時に、マイコン１０が、マイコン１０自身が出力したＷＤＣ信号３１を周辺構成素子１７からシリアル多線バス１６を介して入力データとして読み取り、その入力データと前回のＷＤＣ信号３１のデータ（Ｈ／Ｌ）とを照合する。マイコン１０は、それらが同じ場合は、ＷＤＣ信号３１のＨ／Ｌを反転して出力し、それらが異なる場合は、ＷＤＣ信号３１のＨ／Ｌを前回と同値で出力する。これにより、ＷＤＣ監視部２０が、マイコン１０または周辺構成素子１７の暴走を判定し、リセット信号３２によりマイコン１０及び周辺構成素子１７の再起動が可能となる。

第１実施例によれば、１つのＷＤＣ監視部２０だけで、マイコン１０及び周辺構成素子１７の２つの構成要素を監視することができる。すなわち、監視対象の構成要素と同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。また更に、従来では、監視部で周辺構成素子を監視できていなかったが、上述した構成では、ＷＤＣ監視部２０が周辺構成素子１７の暴走を確実に監視することができる。ＷＤＣ監視部２０によって、マイコン１０だけでなく、周辺構成素子１７の通信、及び、入出力機能を監視し、マイコン１０及び周辺構成素子１７の暴走を監視することができる。

［第２実施例］
図４は、第２実施例における車両制御装置の概要を示す構成図である。上述の実施例と同じ構成要素については、同じ符号を付し、説明を省略する。以下では、上述の実施例と異なる部分のみを説明する。

図４に示すように、車載制御装置は、ＯＲ回路２１を備える。周辺構成素子１７の出力端子とマイコン１０のＩ／Ｏ部１５とをＯＲ回路２１で結合し、ＯＲ回路２１の出力端子をＷＤＣ監視部２０に結合する。マイコン１０からのＷＤＣ信号３１Ａと周辺構成素子１７からのＷＤＣ信号３１ＢとをＯＲ回路２１によってＯＲ演算し、ＯＲ演算結果であるＷＤＣ信号３１ＣをＯＲ回路２１からＷＤＣ監視部２０に出力する。ＷＤＣ監視部２０は、マイコン１０のリセット端子と周辺構成素子１７のリセット端子に接続されている。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｃの周期性が崩れた場合、マイコン１０または周辺構成素子１７で異常発生したと判定し、マイコン１０と周辺構成素子１７の両方へリセット信号３２を出力する。

図５は、第２実施例における暴走監視動作を示すタイムチャートである。図５に示すように、本実施例では、マイコン１０は、マイコン１０と周辺構成素子１７が一定周期毎に交互にＷＤＣ信号３１Ａ、３１Ｂを出力するように制御する。周辺構成素子１７からのＷＤＣ信号３１Ｂの出力は、マイコン１０により制御される。マイコン１０が、シリアル多線バス１６を介して送信したＷＤＣ信号が周辺構成素子１７からＷＤＣ信号３１Ｂとして出力される。

マイコン１０からのＷＤＣ信号３１Ａの出力（周期的なＨ／Ｌの反転出力）の時間間隔と、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力（周期的なＨ／Ｌの反転出力）の時間間隔は、ＷＤＣ監視部２０で暴走の判定を行うための期間よりも長く設定される。したがって、ＷＤＣ監視部２０が、ＷＤＣ信号３１Ｃの周期性を判定することにより、マイコン１０または周辺構成素子１７で異常発生したことを判定できる。

図５の（Ａ）期間では、最初に、マイコン１０からＷＤＣ信号３１Ａの出力（周期的なＨ／Ｌの反転出力）が行われ、その後、周辺構成素子１７からＷＤＣ信号３１Ｂの出力（周期的なＨ／Ｌの反転出力）に切替えられる。（Ａ）期間では、マイコン１０及び周辺構成素子１７が正常に動作しているため、ＯＲ回路２１からＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１Ｃが、一定周期で反転を繰り返す。従って、ＷＤＣ監視部２０は、マイコン１０または周辺構成素子１７が、正常動作していると判定する。なお、マイコン１０から周辺構成素子１７へＷＤＣ信号の出力を切替えるときに、若干周期性が崩れる場合があり得るが、この期間は、ＷＤＣ監視部２０で暴走の判定を行うための期間に比べて非常に短いので問題ない。

図５の（Ｂ）の期間では、周辺構成素子１７が暴走し、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力がＨで固定される。したがって、ＯＲ回路２１からＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１Ｃの出力がＨで固定される。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｃの値（ＨまたはＬ）が所定の期間同じ状態であるかを判定する。ＷＤＣ信号３１Ｃの値が一定期間固定されて連続している場合、ＷＤＣ監視部２０は、マイコン１０及び周辺構成素子１７に対してリセット信号３２を出力する。図５の（Ｃ）期間では、リセット信号３２によって周辺構成素子１７が正常に復帰し、それ以降、再びＷＤＣ信号３１Ｃが一定周期で反転動作する。

以上詳述した第２実施例では、マイコン１０と周辺構成素子１７が一定周期毎に交互にＷＤＣ信号３１Ａ、３１Ｂを切替えて出力することで、ＷＤＣ監視部２０がマイコン１０と周辺構成素子１７の暴走を監視する。マイコン１０または周辺構成素子１７からのＷＤＣ信号の周期性が崩れた場合は、ＷＤＣ監視部２０がマイコン１０または周辺構成素子１７の暴走を判定することができ、リセット信号３２により再起動できる。

第２実施例によれば、マイコン１０が、自身からＷＤＣ信号３１Ａを出力する処理と、周辺構成素子１７を制御して周辺構成素子１７からＷＤＣ信号３１Ｂを出力させる処理を切替えて、２つのＷＤＣ信号３１Ａ、３１ＢをＯＲ演算して１つのＷＤＣ監視部２０に入力する。したがって、１つのＷＤＣ監視部２０だけで、マイコン１０及び周辺構成素子１７の２つの構成要素を監視することができる。すなわち、監視対象の構成要素と同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。また、ＷＤＣ監視部２０によって、マイコン１０だけでなく、周辺構成素子１７の通信、及び、入出力機能を監視することができる。

［第３実施例］
図６は、第３実施例における車両制御装置の概要を示す構成図である。上述の実施例と同じ構成要素については、同じ符号を付し、説明を省略する。以下では、上述の実施例と異なる部分のみを説明する。

図６に示すように、車載制御装置は、ＡＮＤ回路２２を備える。周辺構成素子１７の出力端子とマイコン１０のＩ／Ｏ部１５とをＡＮＤ回路２２で結合し、ＡＮＤ回路２２の出力端子をＷＤＣ監視部２０に結合する。マイコン１０からのＷＤＣ信号３１Ａと周辺構成素子１７からのＷＤＣ信号３１ＢとをＡＮＤ回路２２によってＡＮＤ演算し、ＡＮＤ演算結果であるＷＤＣ信号３１ＤをＡＮＤ回路２２からＷＤＣ監視部２０に出力する。ＷＤＣ監視部２０は、マイコン１０のリセット端子と周辺構成素子１７のリセット端子に接続されている。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｄの周期性が崩れた場合、マイコン１０または周辺構成素子１７で異常発生したと判定し、マイコン１０と周辺構成素子１７の両方へリセット信号３２を出力する。

図７は、第３実施例における暴走監視動作を示すタイムチャートである。本実施例では、マイコン１０と周辺構成素子１７は、同じ波形のＷＤＣ信号３１Ａ、３１Ｂを出力する。なお、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力は、上述した実施例と同様に、マイコン１０により制御される。ＷＤＣ監視部２０が、ＷＤＣ信号３１Ｄの周期性を判定することにより、マイコン１０または周辺構成素子１７で異常発生したことを判定する。

図７の（Ａ）期間では、マイコン１０及び周辺構成素子１７が正常に動作しているため、ＡＮＤ回路２２からＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１Ｄが、一定周期で反転を繰り返す。従って、ＷＤＣ監視部２０は、マイコン１０または周辺構成素子１７が、正常動作していると判定する。

図７の（Ｂ）の期間では、周辺構成素子１７が暴走し、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力がＬで固定される。したがって、ＡＮＤ回路２２からＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１Ｄの出力がＬで固定される。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｄの値が所定の期間同じ状態であるかを判定する。ＷＤＣ信号３１Ｄの値が一定期間固定されて連続している場合、ＷＤＣ監視部２０は、マイコン１０及び周辺構成素子１７に対してリセット信号３２を出力する。図７の（Ｃ）期間では、リセット信号３２によって周辺構成素子１７が正常に復帰し、それ以降、再びＷＤＣ信号３１Ｄが一定周期で反転動作する。

以上詳述した第３実施例では、マイコン１０と周辺構成素子１７が同じＷＤＣ信号３１Ａ、３１Ｂを出力し、それらをＡＮＤ演算することで、ＷＤＣ監視部２０がマイコン１０と周辺構成素子１７の暴走を監視する。マイコン１０または周辺構成素子１７からのＷＤＣ信号の周期性が崩れた場合は、ＷＤＣ監視部２０がマイコン１０または周辺構成素子１７の暴走を判定することができ、リセット信号３２により再起動できる。

第３実施例によれば、マイコン１０が、自身からＷＤＣ信号３１Ａを出力するとともに、周辺構成素子１７を制御して周辺構成素子１７からＷＤＣ信号３１Ｂを出力させ、これら２つのＷＤＣ信号３１Ａ、３１ＢをＡＮＤ演算して１つのＷＤＣ監視部２０に入力する。したがって、１つのＷＤＣ監視部２０だけで、マイコン１０及び周辺構成素子１７の２つの構成要素を監視することができる。すなわち、監視対象の構成要素と同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。

また、ＷＤＣ監視部２０によって、マイコン１０だけでなく、周辺構成素子１７の通信、及び、入出力機能を監視することができる。なお、図７では、マイコン１０と周辺構成素子１７のＷＤＣ信号３１Ａ、３１Ｂが同期した状態で表現されているが、これら２つのＷＤＣ信号３１Ａ、３１Ｂが完全に同期する必要はなく、ＷＤＣ監視部２０が暴走を判定できる程度に、ＷＤＣ信号３１Ａ、３１Ｂが重なればよい。

［第４実施例］
図８は、第４実施例における車両制御装置の概要を示す構成図である。上述の実施例と同じ構成要素については、同じ符号を付し、説明を省略する。以下では、上述の実施例と異なる部分のみを説明する。

図８に示すように、車載制御装置は、フリップフロップ回路２３を備える。周辺構成素子１７の出力端子とマイコン１０のＩ／Ｏ部１５とをフリップフロップ回路２３で結合し、フリップフロップ回路２３の出力端子をＷＤＣ監視部２０に結合する。マイコン１０からのＷＤＣ信号３１Ａはフリップフロップ回路２３のＳ端子に入力され、周辺構成素子１７からのＷＤＣ信号３１Ｂはフリップフロップ回路２３のＲ端子に入力される。これにより、ＷＤＣ信号３１Ｅが、フリップフロップ回路２３からＷＤＣ監視部２０に出力される。ＷＤＣ監視部２０は、マイコン１０のリセット端子と周辺構成素子１７のリセット端子に接続されている。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｅの周期性が崩れた場合、マイコン１０または周辺構成素子１７で異常発生したと判定し、マイコン１０と周辺構成素子１７の両方へリセット信号３２を出力する。

図９は、第４実施例における暴走監視動作を示すタイムチャートである。本実施例では、マイコン１０と周辺構成素子１７は、出力周期の半分（約２ｍｓ）をずらして波形を出力する。マイコン１０は、自身からＷＤＣ信号３１Ａを出力するとともに、ＷＤＣ信号３１Ａとは半周期ずらしたＷＤＣ信号３１Ｂが周辺構成素子１７から出力されるように制御する。ＷＤＣ監視部２０が、ＷＤＣ信号３１Ｅの周期性を判定することにより、マイコン１０または周辺構成素子１７で異常発生したことを判定する。

図９の（Ａ）期間では、マイコン１０及び周辺構成素子１７が正常に動作しているため、フリップフロップ回路２３からＷＤＣ監視部２０に対して出力されるＷＤＣ信号３１Ｅが、一定周期で反転を繰り返す。従って、ＷＤＣ監視部２０は、マイコン１０または周辺構成素子１７が、正常動作していると判定する。

図９の（Ｂ）の期間では、周辺構成素子１７が暴走し、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力がＬで固定される。マイコン１０からのＷＤＣ信号３１ＡがＬで、かつ、周辺構成素子１７からのＷＤＣ信号３１ＢがＬとなると、フリップフロップ回路２３が前回の状態を保持するため、ＷＤＣ信号３１ＥはＨとなる。また、マイコン１０からのＷＤＣ信号３１ＡがＨで、かつ、周辺構成素子１７からのＷＤＣ信号３１ＢがＬである場合も、ＷＤＣ信号３１ＥはＨとなる。したがって、図９の（Ｂ）の期間では、フリップフロップ回路２３からのＷＤＣ信号３１ＥはＨに固定される。ＷＤＣ監視部２０は、ＷＤＣ信号３１Ｅの値が所定の期間同じ状態であるかを判定する。ＷＤＣ信号３１Ｄの値が一定期間固定されて連続している場合、ＷＤＣ監視部２０は、マイコン１０及び周辺構成素子１７に対してリセット信号３２を出力する。図９の（Ｃ）期間では、リセット信号３２によって周辺構成素子１７が正常に復帰し、それ以降、再びＷＤＣ信号３１Ｄが一定周期で反転動作する。

以上詳述した第４実施例では、マイコン１０と周辺構成素子１７が、出力周期の半分をずらして波形を出力し、それらをフリップフロップ回路２３に入力することで、ＷＤＣ監視部２０がマイコン１０と周辺構成素子１７の暴走を監視する。マイコン１０または周辺構成素子１７からのＷＤＣ信号の周期性が崩れた場合は、ＷＤＣ監視部２０がマイコン１０と周辺構成素子１７の暴走を判定することができ、リセット信号３２により再起動できる。

第４実施例によれば、マイコン１０が、自身からＷＤＣ信号３１Ａを出力するとともに、周辺構成素子１７を制御して周辺構成素子１７からＷＤＣ信号３１Ｂを出力させ、これら２つのＷＤＣ信号３１Ａ、３１Ｂをフリップフロップ回路２３を介して１つのＷＤＣ信号３１Ｅとして１つのＷＤＣ監視部２０に入力する。したがって、１つのＷＤＣ監視部２０だけで、マイコン１０及び周辺構成素子１７の２つの構成要素を監視することができる。すなわち、監視対象の構成要素と同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。また、ＷＤＣ監視部２０によって、マイコン１０だけでなく、周辺構成素子１７の通信、及び、入出力機能を監視することができる。

また、上記第２実施例〜第４実施例によれば、マイコン１０の指示で、周辺構成素子１７とＩ／Ｏ部１５とからＷＤＣ信号３１Ａ、３１Ｂを出力し、これらＷＤＣ信号３１Ａ、３１Ｂの周期性により、マイコン１０または周辺構成素子１７の暴走を監視する。かかる構成では、監視対象の構成要素と同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。また更に、ＷＤＣ監視部２０がマイコン１０と周辺構成素子１７の暴走を確実に監視することができる。

［第５実施例］
図１０は、第５実施例における車両制御装置の概要を示す構成図である。上述の実施例と同じ構成要素については、同じ符号を付し、説明を省略する。以下では、上述の実施例と異なる部分のみを説明する。

本実施例では、車載制御装置は、２つのＷＤＣ監視部２０Ａ、２０Ｂを備える。ＷＤＣ監視部２０Ａは、Ｉ／Ｏ部１５からのＷＤＣ信号３１Ａの周期性を監視し、ＷＤＣ監視部２０Ｂは、周辺構成素子１７からのＷＤＣ信号３１Ｂの周期性を監視する。ＷＤＣ監視部２０Ａは、マイコン１０のリセット端子に接続されており、ＷＤＣ監視部２０Ｂは、周辺構成素子１７のリセット端子に接続されている。したがって、ＷＤＣ監視部２０Ａ、２０Ｂは、マイコン１０と周辺構成素子１７について個別に異常監視とリセットを行うことができる。

図１１は、第５実施例における暴走監視動作を示すタイムチャートである。本実施例では、マイコン１０と周辺構成素子１７は、同じ波形のＷＤＣ信号３１Ａ、３１Ｂを出力する。なお、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力は、上述した実施例と同様に、マイコン１０により制御される。ＷＤＣ監視部２０Ａ、２０Ｂが、それぞれ、ＷＤＣ信号３１Ａ、３１Ｂの周期性を判定することにより、マイコン１０と周辺構成素子１７について個別に異常発生したことを判定できる。

なお、図１１では、マイコン１０と周辺構成素子１７は、同じ波形のＷＤＣ信号３１Ａ、３１Ｂを出力しているが、同じ波形である必要はない。同じ波形のＷＤＣ信号３１Ａ、３１Ｂを用いることにより、同じ構成のＷＤＣ監視部２０Ａ、２０Ｂを設ければよいため、構成の簡素化が可能となり、製造コストも削減できる。

図１１の（Ａ）期間では、マイコン１０及び周辺構成素子１７が正常に動作している。従って、ＷＤＣ監視部２０Ａ、２０Ｂは、それぞれ、マイコン１０と周辺構成素子１７が正常動作していると判定する。

図１１の（Ｂ）の期間では、周辺構成素子１７が暴走し、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力がＬで固定される。ＷＤＣ監視部２０Ｂは、ＷＤＣ信号３１Ｂの値が所定の期間同じ状態であるかを判定する。ＷＤＣ信号３１Ｂの値が一定期間固定されて連続している場合、ＷＤＣ監視部２０Ｂは、周辺構成素子１７に対してリセット信号３２Ｂを出力する。図１１の（Ｃ）期間では、リセット信号３２Ｂによって周辺構成素子１７が正常に復帰し、それ以降、再びＷＤＣ信号３１Ｂが一定周期で反転動作する。なお、同様に、ＷＤＣ監視部２０Ａは、ＷＤＣ信号３１Ａの値が所定の期間同じ状態であるかを判定し、マイコン１０に対してリセット信号３２Ａを出力することができる。

以上詳述した第５実施例では、マイコン１０と周辺構成素子１７のそれぞれから同じ波形のＷＤＣ信号３１Ａ、３１Ｂを個別に２つのＷＤＣ監視部２０Ａ、２０Ｂで受け取り、マイコン１０と周辺構成素子１７を個別に監視することができる。この構成は、特に、マイコン１０と周辺構成素子１７の一方だけで異常発生した場合に有益である。マイコン１０または周辺構成素子１７からのＷＤＣ信号の周期性が崩れた場合は、対応するＷＤＣ監視部２０Ａ、２０Ｂがマイコン１０または周辺構成素子１７の暴走を判定することができ、停止した素子を個別にリセット信号３２Ａ、３２Ｂにより再起動できる。

［第６実施例］
図１２は、第６実施例における車両制御装置の概要を示す構成図である。上述の実施例と同じ構成要素については、同じ符号を付し、説明を省略する。以下では、上述の実施例と異なる部分のみを説明する。

本実施例では、１つのＷＤＣ監視部２０が、２つのＷＤＣ信号３１Ａ、３１Ｂの入力を受け取り、各ＷＤＣ信号３１Ａ、３１Ｂの暴走監視をする。さらに、ＷＤＣ監視部２０が、個別に、マイコン１０に対してリセット信号３２Ａを出力し、周辺構成素子１７に対してリセット信号３２Ｂを出力することができる。

ＷＤＣ監視部２０は、マイコン１０からのＷＤＣ信号３１Ａを受け取るとともに、周辺構成素子１７からのＷＤＣ信号３１Ｂを受け取る。例えば、図１１と同様に、マイコン１０と周辺構成素子１７は、同じ波形のＷＤＣ信号３１Ａ、３１Ｂを出力する。なお、周辺構成素子１７からのＷＤＣ信号３１Ｂの出力は、上述した実施例と同様に、マイコン１０により制御される。ここで、ＷＤＣ信号３１Ａ、３１Ｂは、同じ波形である必要はない。本実施例のように同じ波形のＷＤＣ信号３１Ａ、３１Ｂを用いることにより、ＷＤＣ監視部２０での制御が複雑にならず、構成の簡素化が可能となる。

第６実施例における暴走監視動作は、図１１と同じである。第５実施例と異なるのは、１つのＷＤＣ監視部２０が、マイコン１０から出力されるＷＤＣ信号３１Ａの周期性と、周辺構成素子１７から出力されるＷＤＣ信号３１Ｂの周期性とを個別に監視することにより、マイコン１０及び周辺構成素子１７のうち異常発生したものに対して個別にリセット信号３２Ａ、３２Ｂを出力する点である。ＷＤＣ監視部２０は、マイコン１０と周辺構成素子１７のそれぞれが暴走していないかを監視し、マイコン１０または周辺構成素子１７のいずれかのＷＤＣ信号が停止した場合は、リセット信号３２Ａ、３２Ｂを停止した素子に対して出力することができる。

以上詳述した第６実施例では、マイコン１０と周辺構成素子１７が、それぞれ、同じ波形を出力し、１つのＷＤＣ監視部２０によって、マイコン１０と周辺構成素子１７を個別に監視することができる。すなわち、１つのＷＤＣ監視部２０だけで、マイコン１０及び周辺構成素子１７の２つの構成要素を監視し、停止対象となる素子を個別にリセットし、再起動できる。この構成は、特に、マイコン１０と周辺構成素子１７の一方だけで異常発生した場合に有益である。また、１つのＷＤＣ監視部２０だけで監視できるという利点がある。

以上の第５実施例〜第６実施例によれば、マイコン１０の指示で、周辺構成素子１７とＩ／Ｏ部１５とからＷＤＣ信号３１Ａ、３１Ｂを出力し、これらＷＤＣ信号３１Ａ、３１Ｂの周期性により、マイコン１０または周辺構成素子１７の暴走を個別に監視する。かかる構成では、ＷＤＣ監視部によって、マイコン１０と周辺構成素子１７の暴走を確実に監視することができ、暴走しているマイコン１０、周辺構成素子１７のどちらかをリセットすることが可能である。

さらに、第１実施例〜第５実施例では、マイコン１０から出力されるＷＤＣ信号は、周期的にＨ／Ｌ反転動作する従来通りのものであり、ＷＤＣ監視部２０としての機能は何ら変更がない。それ故に、監視対象のマイコン１０の形態が変わっても、ＷＤＣ監視部２０（監視機能）としての互換性は保たれる。

本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。上記実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることもできる。また、ある実施例の構成に他の実施例の構成を加えることもできる。また、各実施例の構成の一部について、他の構成を追加・削除・置換することもできる。

上記各構成、機能等は、それらの一部や全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム等の情報は、何らかの記録装置あるいは記録媒体に格納することができる。

１０ ：マイコン
１１ ：コア
１２ ：ＲＡＭ
１３ ：ＲＯＭ
１４ ：フリーランタイマ
１５ ：Ｉ／Ｏ部
１６ ：シリアル多線バス
１７ ：周辺構成素子
１８ ：発振子
２０、２０Ａ、２０Ｂ ：ＷＤＣ監視部
２１ ：ＯＲ回路
２２ ：ＡＮＤ回路
２３ ：フリップフロップ回路

Claims (7)

1. 少なくも１つのマイクロコンピュータと、
   前記マイクロコンピュータとシリアル多線バスを介して接続され、前記マイクロコンピュータによって制御される入出力機能を備える少なくとも１つの周辺構成素子と、
   前記マイクロコンピュータ及び前記周辺構成素子の少なくとも一方から出力されるウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視する少なくとも１つの監視部と、
   を備え、
   前記監視部は、前記周期性が崩れたときに、前記マイクロコンピュータ及び前記周辺構成素子に対してリセット信号を出力し、
   前記マイクロコンピュータは、
   第１のウォッチドッグクリア信号を前記周辺構成素子に入力し、前記シリアル多線バスを介して前記周辺構成素子から入力データとして受信し、
   前記周辺構成素子から受信した前記入力データと、前記マイクロコンピュータ自身が出力した前記第１のウォッチドッグクリア信号の出力データとの照合結果に基づいて、前記第１のウォッチドッグクリア信号の次の信号として第２のウォッチドッグクリア信号を出力し、
   前記マイクロコンピュータは、
   前記入力データと前記出力データとが同じ場合は、前記第１のウォッチドッグクリア信号の値を反転して前記第２のウォッチドッグクリア信号を出力し、
   前記入力データと前記出力データとが異なる場合は、前記第１のウォッチドッグクリア信号の値と同じ値で前記第２のウォッチドッグクリア信号を出力する
   ことを特徴とする電子制御装置。
2. 少なくも１つのマイクロコンピュータと、
   前記マイクロコンピュータとシリアル多線バスを介して接続され、前記マイクロコンピュータによって制御される入出力機能を備える少なくとも１つの周辺構成素子と、
   前記マイクロコンピュータ及び前記周辺構成素子の少なくとも一方から出力されるウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視する少なくとも１つの監視部と、
   を備え、
   前記監視部は、前記周期性が崩れたときに、前記マイクロコンピュータ及び前記周辺構成素子に対してリセット信号を出力し、
   前記監視部は、
   前記マイクロコンピュータから出力される第１のウォッチドッグクリア信号の周期性に基づいて前記マイクロコンピュータの異常発生を監視し、前記マイクロコンピュータに前記リセット信号を出力する第１の監視部と、
   前記周辺構成素子から出力される第２のウォッチドッグクリア信号の周期性に基づいて、前記周辺構成素子の異常発生を監視し、前記周辺構成素子に前記リセット信号を出力する第２の監視部と
   から構成され、
   前記マイクロコンピュータが、前記第１のウォッチドッグクリア信号の出力と前記第２のウォッチドッグクリア信号の出力とが同じ波形になるように制御する
   ことを特徴とする電子制御装置。
3. 少なくも１つのマイクロコンピュータと、
   前記マイクロコンピュータとシリアル多線バスを介して接続され、前記マイクロコンピュータによって制御される入出力機能を備える少なくとも１つの周辺構成素子と、
   前記マイクロコンピュータ及び前記周辺構成素子の少なくとも一方から出力されるウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視する少なくとも１つの監視部と、
   を備え、
   前記監視部は、前記周期性が崩れたときに、前記マイクロコンピュータ及び前記周辺構成素子に対してリセット信号を出力し、
   前記監視部は、１つの監視部から構成され、
   前記監視部は、
   前記マイクロコンピュータから出力される第１のウォッチドッグクリア信号の周期性と、前記周辺構成素子から出力される第２のウォッチドッグクリア信号の周期性とを個別に監視することにより、前記マイクロコンピュータ及び前記周辺構成素子のうち異常発生したものに対して個別に前記リセット信号を出力し、
   前記マイクロコンピュータが、前記第１のウォッチドッグクリア信号の出力と前記第２のウォッチドッグクリア信号の出力とが同じ波形になるように制御する
   ことを特徴とする電子制御装置。
4. 請求項１に記載の電子制御装置において、
   前記マイクロコンピュータからの第１のウォッチドッグクリア信号と、前記周辺構成素子からの第２のウォッチドッグクリア信号とをＯＲ演算した第３のウォッチドッグクリア信号を前記監視部に対して出力するＯＲ回路をさらに備え、
   前記マイクロコンピュータが、前記第１のウォッチドッグクリア信号の出力と前記第２のウォッチドッグクリア信号の出力を一定周期毎に切替えるように制御し、
   前記監視部が、前記第３のウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視することを特徴とする電子制御装置。
5. 請求項１に記載の電子制御装置において、
   前記マイクロコンピュータからの第１のウォッチドッグクリア信号と、前記周辺構成素子からの第２のウォッチドッグクリア信号とをＡＮＤ演算した第３のウォッチドッグクリア信号を前記監視部に対して出力するＡＮＤ回路をさらに備え、
   前記マイクロコンピュータが、前記第１のウォッチドッグクリア信号の出力と前記第２のウォッチドッグクリア信号の出力とが同じ波形になるように制御し、
   前記監視部が、前記第３のウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視することを特徴とする電子制御装置。
6. 請求項１に記載の電子制御装置において、
   前記マイクロコンピュータからの第１のウォッチドッグクリア信号と、前記周辺構成素子からの第２のウォッチドッグクリア信号とを入力信号として受け取り、第３のウォッチドッグクリア信号を前記監視部に出力するフリップフロップ回路をさらに備え、
   前記マイクロコンピュータが、前記第１のウォッチドッグクリア信号の出力と前記第２のウォッチドッグクリア信号の出力とが半周期ずれるように制御し、
   前記監視部が、前記第３のウォッチドッグクリア信号の周期性に基づいて、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視することを特徴とする電子制御装置。
7. 請求項１から３いずれか１項記載の電子制御装置において、
   前記監視部は、前記ウォッチドッグクリア信号の値が所定の期間同じであるかを判定することにより、前記マイクロコンピュータ及び前記周辺構成素子の異常発生を監視することを特徴とする電子制御装置。

Images