JP7070206B2 - In-vehicle control device - Google Patents

In-vehicle control device Download PDF

Info

Publication number
JP7070206B2
JP7070206B2 JP2018142391A JP2018142391A JP7070206B2 JP 7070206 B2 JP7070206 B2 JP 7070206B2 JP 2018142391 A JP2018142391 A JP 2018142391A JP 2018142391 A JP2018142391 A JP 2018142391A JP 7070206 B2 JP7070206 B2 JP 7070206B2
Authority
JP
Japan
Prior art keywords
calculation unit
unit
request signal
arithmetic
reset request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018142391A
Other languages
Japanese (ja)
Other versions
JP2020021131A (en
Inventor
興太郎 安井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Denso Corp filed Critical Denso Corp
Priority to JP2018142391A priority Critical patent/JP7070206B2/en
Priority to DE102019210993.4A priority patent/DE102019210993A1/en
Publication of JP2020021131A publication Critical patent/JP2020021131A/en
Application granted granted Critical
Publication of JP7070206B2 publication Critical patent/JP7070206B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0721—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU]
    • G06F11/0724—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU] in a multiprocessor or a multi-core unit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Safety Devices In Control Systems (AREA)

Description

本開示は、車載制御装置に関する。 The present disclosure relates to an in-vehicle control device.

車載制御装置において、制御の安全性を高めるための構成としては、制御を実施する演算部の動作を監視する監視部が、演算部の異常を検出した場合に、演算部の異常出力を停止するために該演算部をリセットする、という構成がある。 In the in-vehicle control device, as a configuration for enhancing the safety of control, when the monitoring unit that monitors the operation of the arithmetic unit that performs control detects an abnormality in the arithmetic unit, the abnormality output of the arithmetic unit is stopped. Therefore, there is a configuration in which the arithmetic unit is reset.

また、下記の特許文献１には、制御装置の動作が２つの監視装置によって監視され、２つの監視装置の両方が制御装置の異常を検出した場合に、制御装置がリセットされる、という技術が開示されている。 Further, Patent Document 1 below describes a technique in which the operation of a control device is monitored by two monitoring devices, and the control device is reset when both of the two monitoring devices detect an abnormality in the control device. It has been disclosed.

特開平２－１４２２５５号公報Japanese Unexamined Patent Publication No. 2-142255

特許文献１の技術によれば、２つの監視装置の一方が異常になって、制御装置を誤ってリセットしようとしても、他方の監視装置が正常であれば、制御装置はリセットされない。このため、制御装置の誤リセットを抑制することができる。誤リセットとは、正常なものを誤ってリセットしてしまうことである。 According to the technique of Patent Document 1, even if one of the two monitoring devices becomes abnormal and an attempt is made to reset the control device by mistake, if the other monitoring device is normal, the control device is not reset. Therefore, it is possible to suppress an erroneous reset of the control device. An erroneous reset is an erroneous reset of a normal one.

しかし、発明者の詳細な検討の結果、特許文献１の技術では、下記の課題が見出された。特許文献１の技術は、制御装置の監視について単純に二重化した技術である。このため、２つの監視装置が、制御装置の制御動作を監視するための監視処理として、同じ処理を実施する必要がある。よって、監視処理の内容が複雑になるほど、２つの監視装置の両方の処理負荷が大きくなる。 However, as a result of detailed examination by the inventor, the following problems have been found in the technique of Patent Document 1. The technique of Patent Document 1 is a technique that simply duplicates the monitoring of the control device. Therefore, it is necessary for the two monitoring devices to perform the same processing as monitoring processing for monitoring the control operation of the control device. Therefore, as the content of the monitoring process becomes more complicated, the processing load of both of the two monitoring devices increases.

そこで、本開示の１つの局面は、制御を実施する演算部のリセットに関わる他の演算部の処理負荷を抑制しつつ、制御を実施する演算部の誤リセットを抑制することが可能な車載制御装置を提供する。 Therefore, one aspect of the present disclosure is an in-vehicle control capable of suppressing an erroneous reset of the arithmetic unit that performs control while suppressing the processing load of another arithmetic unit related to the reset of the arithmetic unit that executes control. Provide the device.

本開示の１つの態様による車載制御装置は、車両における制御対象の制御を実施する第１演算部（１）と、第１演算部の制御動作を監視する第２演算部（２）と、第３演算部（３）と、論理積部（４）と、を備える。 The vehicle-mounted control device according to one aspect of the present disclosure includes a first calculation unit (1) that controls a controlled object in a vehicle, a second calculation unit (2) that monitors the control operation of the first calculation unit, and a first unit. 3 A calculation unit (3) and a logical product unit (4) are provided.

論理積部は、第２演算部から第１演算部に対するリセット要求信号（Ｒ２１）が出力され、且つ、第３演算部から第１演算部に対するリセット要求信号（Ｒ３１）が出力された場合に、第１演算部をリセットする。 The AND unit outputs a reset request signal (R21) to the first calculation unit from the second calculation unit, and outputs a reset request signal (R31) to the first calculation unit from the third calculation unit. Reset the first arithmetic unit.

第２演算部は、第１演算部の異常を検出した場合に、第１演算部に対するリセット要求信号を論理積部に出力すると共に、当該第２演算部が第１演算部に対するリセット要求信号を出力したことを示す通知信号（Ｘ）を第３演算部に出力する。 When the second calculation unit detects an abnormality in the first calculation unit, the second calculation unit outputs a reset request signal for the first calculation unit to the logical product unit, and the second calculation unit outputs a reset request signal for the first calculation unit. A notification signal (X) indicating that it has been output is output to the third calculation unit.

第３演算部は、第２演算部からの通知信号が入力された場合に、第１演算部に対するリセット要求信号を論理積部に出力する。
このような構成によれば、第１演算部を監視する第２演算部に異常が生じて、第１演算部が正常なのに第２演算部から第１演算部に対するリセット要求信号が出力されても、通知信号が出力されなければ、第３演算部は第１演算部に対するリセット要求信号を出力しない。よって、第１演算部の誤リセットが回避される。また、第２演算部は第１演算部の制御動作を監視するが、第３演算部は、第２演算部と同様の監視を行わなくて良い。よって、制御を実施する第１演算部のリセットに関わる第２及び第３演算部のうち、第３演算部の処理負荷を抑制しつつ、第１演算部の誤リセットを抑制することができる。 When the notification signal from the second calculation unit is input, the third calculation unit outputs a reset request signal for the first calculation unit to the logical product unit.
According to such a configuration, even if an abnormality occurs in the second calculation unit that monitors the first calculation unit and the second calculation unit outputs a reset request signal to the first calculation unit even though the first calculation unit is normal. If the notification signal is not output, the third arithmetic unit does not output the reset request signal to the first arithmetic unit. Therefore, an erroneous reset of the first calculation unit is avoided. Further, the second calculation unit monitors the control operation of the first calculation unit, but the third calculation unit does not have to perform the same monitoring as the second calculation unit. Therefore, among the second and third calculation units related to the reset of the first calculation unit that performs control, it is possible to suppress the erroneous reset of the first calculation unit while suppressing the processing load of the third calculation unit.

また、本開示の他の１つの態様による車載制御装置も、車両における制御対象の制御を実施する第１演算部（１）と、第１演算部の制御動作を監視する第２演算部（２）と、第３演算部（３）と、論理積部（４）と、を備える。 Further, in the vehicle-mounted control device according to the other aspect of the present disclosure, the first calculation unit (1) for controlling the controlled object in the vehicle and the second calculation unit (2) for monitoring the control operation of the first calculation unit are also used. ), A third arithmetic unit (3), and a logical product unit (4).

そして、論理積部は、第２演算部から第１演算部に対するリセット要求信号（Ｒ２１）が出力され、且つ、第３演算部から第１演算部に対するリセット要求信号（Ｒ３１）が出力された場合に、第１演算部をリセットする。 When the AND unit outputs a reset request signal (R21) to the first arithmetic unit from the second arithmetic unit and outputs a reset request signal (R31) to the first arithmetic unit from the third arithmetic unit. In addition, the first arithmetic unit is reset.

第２演算部は、第１演算部の異常を検出した場合に、第１演算部に対するリセット要求信号を論理積部に出力する。また、第２演算部から出力されるリセット要求信号は、第３演算部にも入力されるように構成されている。 When the second calculation unit detects an abnormality in the first calculation unit, the second calculation unit outputs a reset request signal to the first calculation unit to the AND unit. Further, the reset request signal output from the second calculation unit is configured to be input to the third calculation unit as well.

第３演算部は、第２演算部の動作を監視する。そして、第３演算部は、第２演算部の異常を検出していない場合に限り、第２演算部からのリセット要求信号が入力されたことを条件にして、第１演算部に対するリセット要求信号を論理積部に出力する。 The third calculation unit monitors the operation of the second calculation unit. Then, only when the third calculation unit has not detected an abnormality in the second calculation unit, the reset request signal to the first calculation unit is provided on the condition that the reset request signal from the second calculation unit is input. Is output to the logical product section.

このような構成によれば、第１演算部を監視する第２演算部に異常が生じて、第１演算部が正常なのに第２演算部から第１演算部に対するリセット要求信号が出力された場合に、第３演算部は、第２演算部の異常を検出することで、第１演算部に対するリセット要求信号を出力しない。よって、第１演算部の誤リセットが回避される。また、第２演算部は第１演算部の制御動作を監視するが、第３演算部は、第２演算部による第１演算部の監視が働いていることさえ監視できれば良い。このため、第３演算部の処理内容は、第２演算部の処理内容よりも簡単なものにすることができる。よって、制御を実施する第１演算部のリセットに関わる第２及び第３演算部のうち、第３演算部の処理負荷を抑制しつつ、第１演算部の誤リセットを抑制することができる。 According to such a configuration, when an abnormality occurs in the second calculation unit that monitors the first calculation unit, and the second calculation unit outputs a reset request signal to the first calculation unit even though the first calculation unit is normal. In addition, the third calculation unit does not output a reset request signal to the first calculation unit by detecting an abnormality in the second calculation unit. Therefore, an erroneous reset of the first calculation unit is avoided. Further, the second arithmetic unit monitors the control operation of the first arithmetic unit, but the third arithmetic unit need only be able to monitor that the monitoring of the first arithmetic unit by the second arithmetic unit is working. Therefore, the processing content of the third arithmetic unit can be simpler than the processing content of the second arithmetic unit. Therefore, among the second and third calculation units related to the reset of the first calculation unit that performs control, it is possible to suppress the erroneous reset of the first calculation unit while suppressing the processing load of the third calculation unit.

尚、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。 In addition, the reference numerals in parentheses described in this column and the scope of claims indicate the correspondence with the specific means described in the embodiment described later as one embodiment, and the technical scope of the present disclosure is defined. It is not limited.

第１実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 1st Embodiment. 第１実施形態の演算部２が演算部１のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 2 of 1st Embodiment performs about the reset of the arithmetic unit 1. 第１実施形態の演算部３が演算部１のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 3 of 1st Embodiment performs about the reset of the arithmetic unit 1. 第２実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 2nd Embodiment. 第２実施形態の演算部３が演算部１のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 3 of 2nd Embodiment performs about the reset of the arithmetic unit 1. 第２実施形態において、演算部１に異常が生じた場合の動作例を表すタイムチャートである。In the second embodiment, it is a time chart showing an operation example when an abnormality occurs in the calculation unit 1. 第２実施形態において、演算部２に異常が生じた場合の動作例を表すタイムチャートである。In the second embodiment, it is a time chart showing an operation example when an abnormality occurs in the calculation unit 2. 第３実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 3rd Embodiment. 第３実施形態の演算部１が行うモード切替処理のフローチャートである。It is a flowchart of the mode switching process performed by the calculation unit 1 of the third embodiment. 第４実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 4th Embodiment. 第４実施形態の演算部１が演算部２のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 1 of 4th Embodiment performs about the reset of the arithmetic unit 2. 第４実施形態の演算部３が演算部２のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 3 of 4th Embodiment performs about the reset of the arithmetic unit 2. 第５実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 5th Embodiment. 第５実施形態の演算部３が演算部２のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 3 of 5th Embodiment performs about the reset of the arithmetic unit 2. 第６実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 6th Embodiment. 第６実施形態の演算部２が演算部１のリセットに関して行う信号出力処理のフローチャートである。6 is a flowchart of a signal output process performed by the calculation unit 2 of the sixth embodiment regarding the reset of the calculation unit 1. 第６実施形態の演算部３が演算部１のリセットに関して行う信号出力処理のフローチャートである。6 is a flowchart of a signal output process performed by the calculation unit 3 of the sixth embodiment regarding the reset of the calculation unit 1. 第７実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 7th Embodiment. 第８実施形態の車載制御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the vehicle-mounted control device of 8th Embodiment. 第８実施形態の演算部１が演算部２のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 1 of 8th Embodiment performs about the reset of the arithmetic unit 2. 第８実施形態の演算部３が演算部２のリセットに関して行う信号出力処理のフローチャートである。It is a flowchart of the signal output processing which the arithmetic unit 3 of 8th Embodiment performs about the reset of the arithmetic unit 2.

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．第１実施形態］
［１－１．構成］
図１に示す第１実施形態の車載制御装置１１は、３つの演算部１～３を備える。演算部１～３は、それぞれが電子制御装置であっても良いし、それぞれが異なる電子制御装置に搭載されても良いし、１つの電子制御装置に搭載されても良い。各演算部１～３が、電子制御装置であったり、異なる電子制御装置に搭載される場合、車載制御装置１１は、複数の電子制御装置を備えた車載制御システムであるとも言える。また、演算部１～３が１つの電子制御装置に搭載される場合、この１つの電子制御装置が車載制御装置１１であると言える。車載制御装置１１は、更に、論理積部としての論理積回路４を備える。 Hereinafter, embodiments of the present disclosure will be described with reference to the drawings.
[1. First Embodiment]
[1-1. Constitution]
The vehicle-mounted control device 11 of the first embodiment shown in FIG. 1 includes three calculation units 1 to 3. Each of the calculation units 1 to 3 may be an electronic control device, may be mounted on different electronic control devices, or may be mounted on one electronic control device. When each of the arithmetic units 1 to 3 is an electronic control device or is mounted on a different electronic control device, it can be said that the vehicle-mounted control device 11 is an in-vehicle control system including a plurality of electronic control devices. Further, when the arithmetic units 1 to 3 are mounted on one electronic control device, it can be said that this one electronic control device is the in-vehicle control device 11. The in-vehicle control device 11 further includes a logical AND circuit 4 as a logical product unit.

演算部１～３の各々は、ＣＰＵ１ａ，２ａ，３ａと、例えばＲＡＭ又はＲＯＭ等の半導体メモリ（以下、メモリ）１ｂ，２ｂ，３ｂと、を有するマイクロコンピュータを備える。演算部１～３の各機能は、ＣＰＵ１ａ，２ａ，３ａが非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、メモリ１ｂ，２ｂ，３ｂが、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。また、演算部１～３は、１つのマイクロコンピュータを備えても良いし、複数のマイクロコンピュータを備えても良い。 Each of the arithmetic units 1 to 3 includes a microcomputer having CPUs 1a, 2a, 3a and semiconductor memories (hereinafter, memory) 1b, 2b, 3b such as RAM or ROM. Each function of the arithmetic units 1 to 3 is realized by executing a program in which the CPUs 1a, 2a, and 3a are stored in the non-transitional substantive recording medium. In this example, the memories 1b, 2b, and 3b correspond to the non-transitional substantive recording medium in which the program is stored. In addition, when this program is executed, the method corresponding to the program is executed. Further, the arithmetic units 1 to 3 may be provided with one microcomputer or may be provided with a plurality of microcomputers.

演算部１は、車両における制御対象の制御を実施する機能を備える。制御対象は、例えば、エンジン、トランスミッション等のパワートレインに分類される装置であって良く、制動装置や操舵装置等でも良い。 The calculation unit 1 has a function of controlling a controlled object in the vehicle. The control target may be, for example, a device classified into a power train such as an engine or a transmission, or may be a braking device, a steering device, or the like.

演算部２は、演算部１に対する監視機能を備える。演算部１に対する監視機能は、演算部１の制御動作を監視する機能であり、演算部１の制御動作が異常になったことを検知できる機能であれば、どのような機能でも良い。 The calculation unit 2 has a monitoring function for the calculation unit 1. The monitoring function for the calculation unit 1 is a function for monitoring the control operation of the calculation unit 1, and may be any function as long as it can detect that the control operation of the calculation unit 1 has become abnormal.

例えば、演算部２は、演算部１に所定のテストデータを与えると共に、演算部１に、制御対象を制御するために行われる演算処理のうちの一部又は全部である特定の演算処理を、そのテストデータを入力値として実施させる。そして、演算部２は、演算部１から該演算部１による演算結果を入力し、その演算結果とテストデータに対応する期待値とを比較することにより、演算部１の制御動作が正常か否かを監視する。また例えば、演算部２は、演算部１にて行われる特定の演算処理と同じ演算処理を行い、演算部１による上記特定の演算処理の演算結果と当該演算部２による演算結果とを比較することで、演算部１の制御動作を監視しても良い。また例えば、演算部２は、演算部１から入力される所定の演算処理の演算結果が正常範囲内か否かを判定することにより、演算部１の制御動作を監視しても良い。 For example, the arithmetic unit 2 gives predetermined test data to the arithmetic unit 1, and gives the arithmetic unit 1 a specific arithmetic process that is a part or all of the arithmetic processes performed to control the controlled object. The test data is used as an input value. Then, the calculation unit 2 inputs the calculation result by the calculation unit 1 from the calculation unit 1, and compares the calculation result with the expected value corresponding to the test data to determine whether the control operation of the calculation unit 1 is normal or not. Monitor. Further, for example, the arithmetic unit 2 performs the same arithmetic processing as the specific arithmetic processing performed by the arithmetic unit 1, and compares the arithmetic result of the specific arithmetic processing by the arithmetic unit 1 with the arithmetic result by the arithmetic unit 2. Therefore, the control operation of the arithmetic unit 1 may be monitored. Further, for example, the calculation unit 2 may monitor the control operation of the calculation unit 1 by determining whether or not the calculation result of the predetermined calculation process input from the calculation unit 1 is within the normal range.

論理積回路４は、２つの入力信号の論理積信号を出力する回路である。
［１－２．信号］
演算部２から論理積回路４の一方の入力端子である第１入力端子には、演算部１に対するリセット要求信号Ｒ２１が出力される。また、演算部３から論理積回路４の他方の入力端子である第２入力端子には、演算部１に対するリセット要求信号Ｒ３１が出力される。尚、ｘを信号出力元の演算部の符号とし、ｙを信号出力先の演算部の符号とすると、リセット要求信号Ｒｘｙは、演算部ｘから演算部ｙへのリセット要求信号であることを意味する。 The AND circuit 4 is a circuit that outputs a AND signal of two input signals.
[1-2. signal]
A reset request signal R21 for the arithmetic unit 1 is output from the arithmetic unit 2 to the first input terminal which is one input terminal of the logical product circuit 4. Further, the reset request signal R31 for the arithmetic unit 1 is output from the arithmetic unit 3 to the second input terminal which is the other input terminal of the AND circuit 4. If x is the code of the calculation unit of the signal output source and y is the code of the calculation unit of the signal output destination, it means that the reset request signal Rxy is a reset request signal from the calculation unit x to the calculation unit y. do.

更に、演算部２から演算部３には、演算部２がリセット要求信号Ｒ２１を出力したことを示す通知信号Ｘが出力される。通知信号Ｘは、演算部２が演算部１の異常を検出したことを示す信号（即ち、異常情報）であるとも言える。 Further, a notification signal X indicating that the calculation unit 2 has output the reset request signal R21 is output from the calculation unit 2 to the calculation unit 3. It can also be said that the notification signal X is a signal (that is, abnormality information) indicating that the calculation unit 2 has detected an abnormality in the calculation unit 1.

論理積回路４は、演算部２からリセット要求信号Ｒ２１が出力され、且つ、演算部３からリセット要求信号Ｒ３１が出力された場合に、演算部１にリセット信号を出力する。つまり、論理積回路４の出力信号は、演算部１のリセット入力信号ＲＳＴ１になっている。 The AND circuit 4 outputs a reset signal to the calculation unit 1 when the reset request signal R21 is output from the calculation unit 2 and the reset request signal R31 is output from the calculation unit 3. That is, the output signal of the AND circuit 4 is the reset input signal RST1 of the arithmetic unit 1.

本実施形態において、信号を出力するとは、その信号をアクティブレベルにすることである。また、本実施形態において、信号のアクティブレベルはハイであるが、ローであっても良い。 In the present embodiment, outputting a signal means making the signal an active level. Further, in the present embodiment, the active level of the signal is high, but it may be low.

尚、以下の説明において、信号に関しての「ＯＮ」とは、その信号がアクティブレベルであること、即ち、その信号が出力されることである。また、信号に関しての「ＯＦＦ」とは、その信号が非アクティブレベルであること、即ち、その信号が出力されないことである。 In the following description, "ON" with respect to a signal means that the signal is at the active level, that is, the signal is output. Further, "OFF" with respect to a signal means that the signal is at an inactive level, that is, the signal is not output.

［１－３．処理］
［１－３－１．演算部２の処理］
演算部２は、演算部１のリセットに関して、図２の信号出力処理を、例えば所定時間毎に行う。 [1-3. process]
[1-3-1. Processing of arithmetic unit 2]
The calculation unit 2 performs the signal output process of FIG. 2 with respect to the reset of the calculation unit 1, for example, at predetermined time intervals.

図２に示すように、演算部２は、信号出力処理を開始すると、Ｓ１１０にて、演算部１に対する監視機能により演算部１の異常を検出したか否かを判定する。演算部２は、演算部１の異常を検出していない場合には、Ｓ１２０にて、論理積回路４へのリセット要求信号Ｒ２１をＯＦＦし、Ｓ１３０にて、演算部３への通知信号ＸをＯＦＦする。その後、演算部２は、当該信号出力処理を終了する。 As shown in FIG. 2, when the signal output process is started, the calculation unit 2 determines whether or not the abnormality of the calculation unit 1 is detected by the monitoring function for the calculation unit 1 in S110. If the arithmetic unit 2 has not detected an abnormality in the arithmetic unit 1, the arithmetic unit 2 turns off the reset request signal R21 to the AND circuit 4 in S120, and sends a notification signal X to the arithmetic unit 3 in S130. Turn off. After that, the calculation unit 2 ends the signal output processing.

また、演算部２は、上記Ｓ１１０にて、演算部１の異常を検出したと判定した場合には、Ｓ１４０にて、論理積回路４へのリセット要求信号Ｒ２１をＯＮし、Ｓ１５０にて、演算部３への通知信号ＸをＯＮする。その後、演算部２は、当該信号出力処理を終了する。 Further, when the calculation unit 2 determines that the abnormality of the calculation unit 1 is detected in the above S110, the calculation unit 2 turns on the reset request signal R21 to the AND circuit 4 in S140, and calculates in S150. The notification signal X to the unit 3 is turned on. After that, the calculation unit 2 ends the signal output processing.

つまり、演算部２は演算部１の異常を検出すると、リセット要求信号Ｒ２１をＯＮすると共に、通知信号ＸをＯＮする。
［１－３－２．演算部３の処理］
演算部３は、演算部１のリセットに関して、図３の信号出力処理を、例えば所定時間毎に行う。 That is, when the arithmetic unit 2 detects an abnormality in the arithmetic unit 1, it turns on the reset request signal R21 and turns on the notification signal X.
[1-3-2. Processing of arithmetic unit 3]
The calculation unit 3 performs the signal output process of FIG. 3 with respect to the reset of the calculation unit 1, for example, at predetermined time intervals.

図３に示すように、演算部３は、信号出力処理を開始すると、Ｓ２１０にて、演算部２からの通知信号ＸがＯＮであるか否かを判定し、通知信号ＸがＯＮでなければ、Ｓ２２０にて、論理積回路４へのリセット要求信号Ｒ３１をＯＦＦする。その後、演算部３は、当該信号出力処理を終了する。 As shown in FIG. 3, when the calculation unit 3 starts the signal output process, S210 determines whether or not the notification signal X from the calculation unit 2 is ON, and if the notification signal X is not ON, the calculation unit 3 determines whether or not the notification signal X is ON. , S220 turns off the reset request signal R31 to the AND circuit 4. After that, the calculation unit 3 ends the signal output process.

また、演算部３は、上記Ｓ２１０にて、通知信号ＸがＯＮであると判定した場合には、Ｓ２３０にて、論理積回路４へのリセット要求信号Ｒ３１をＯＮし、その後、当該信号出力処理を終了する。 Further, when the calculation unit 3 determines in S210 that the notification signal X is ON, the arithmetic unit 3 turns on the reset request signal R31 to the AND circuit 4 in S230, and then performs the signal output processing. To finish.

つまり、演算部３は、演算部２からの通知信号Ｘが入力された場合に、リセット要求信号Ｒ３１をＯＮする。そして、演算部２からのリセット要求信号Ｒ２１と、演算部３からのリセット要求信号Ｒ３１とが、両方ともＯＮになると、論理積回路４から演算部１へのリセット入力信号ＲＳＴ１がＯＮして、演算部１がリセットされる。 That is, the calculation unit 3 turns on the reset request signal R31 when the notification signal X from the calculation unit 2 is input. Then, when both the reset request signal R21 from the arithmetic unit 2 and the reset request signal R31 from the arithmetic unit 3 are turned ON, the reset input signal RST1 from the AND circuit 4 to the arithmetic unit 1 is turned ON. The arithmetic unit 1 is reset.

［１－４．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）演算部１を監視する演算部２に異常が生じて、演算部１が正常なのに演算部２から演算部１に対するリセット要求信号Ｒ２１が出力されても、通知信号Ｘが出力されなければ、演算部３は演算部１に対するリセット要求信号Ｒ３１を出力しない。よって、演算部１の誤リセットが回避される。例えば、演算部２において、リセット要求信号Ｒ２１を出力するための信号出力部が故障して、リセット要求信号Ｒ２１が誤って出力されても、通知信号Ｘが出力されなければ、演算部１はリセットされない。また、演算部２は演算部１の制御動作を監視するが、演算部３は、演算部２と同様の制御動作の監視は行わなくて良い。よって、制御を実施する演算部１のリセットに関わる演算部２，３のうち、演算部３の処理負荷を抑制しつつ、演算部１の誤リセットを抑制することができる。 [1-4. effect]
According to the first embodiment described in detail above, the following effects are obtained.
(1a) An abnormality occurs in the arithmetic unit 2 that monitors the arithmetic unit 1, and even if the arithmetic unit 1 outputs a reset request signal R21 to the arithmetic unit 1 even though the arithmetic unit 1 is normal, the notification signal X must be output. , The arithmetic unit 3 does not output the reset request signal R31 for the arithmetic unit 1. Therefore, an erroneous reset of the calculation unit 1 is avoided. For example, in the calculation unit 2, even if the signal output unit for outputting the reset request signal R21 fails and the reset request signal R21 is erroneously output, if the notification signal X is not output, the calculation unit 1 resets. Not done. Further, the arithmetic unit 2 monitors the control operation of the arithmetic unit 1, but the arithmetic unit 3 does not have to monitor the same control operation as the arithmetic unit 2. Therefore, among the calculation units 2 and 3 related to the reset of the calculation unit 1 that performs control, it is possible to suppress the erroneous reset of the calculation unit 1 while suppressing the processing load of the calculation unit 3.

尚、本実施形態では、演算部１が第１演算部に相当し、演算部２が第２演算部に相当し、演算部３が第３演算部に相当する。
一方、演算部３は、追加して設けられて良いが、演算部１，２とは別の機能を担う既存の演算部に、上記演算部３の機能を持たせても良い。 In this embodiment, the calculation unit 1 corresponds to the first calculation unit, the calculation unit 2 corresponds to the second calculation unit, and the calculation unit 3 corresponds to the third calculation unit.
On the other hand, although the arithmetic unit 3 may be additionally provided, the existing arithmetic unit having a function different from the arithmetic units 1 and 2 may be provided with the function of the arithmetic unit 3.

［２．第２実施形態］
［２－１．第１実施形態との相違点］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、第１実施形態との相違点について以下に説明する。尚、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 [2. Second Embodiment]
[2-1. Differences from the first embodiment]
Since the basic configuration of the second embodiment is the same as that of the first embodiment, the differences from the first embodiment will be described below. It should be noted that the same reference numerals as those in the first embodiment indicate the same configuration, and the preceding description will be referred to.

図４に示す第２実施形態の車載制御装置１１は、第１実施形態と比較すると、演算部３が、演算部２に対する監視機能を更に備える。演算部２に対する監視機能は、演算部２の動作を監視する機能であり、演算部２の動作が異常になったことを検知できる機能であれば、どのような機能でも良い。ここで言う演算部２の動作とは、演算部１を監視する動作である。 In the vehicle-mounted control device 11 of the second embodiment shown in FIG. 4, as compared with the first embodiment, the calculation unit 3 further includes a monitoring function for the calculation unit 2. The monitoring function for the calculation unit 2 is a function for monitoring the operation of the calculation unit 2, and may be any function as long as it can detect that the operation of the calculation unit 2 has become abnormal. The operation of the arithmetic unit 2 referred to here is an operation of monitoring the arithmetic unit 1.

演算部２に対する監視は、演算部２による演算部１の監視が働いていることさえ監視できれば良く、いわば監視の監視であるため、演算部２による演算部１の監視よりも簡単な手法で良い。例えば、演算部３は、演算部２が所定プログラムの定期的な実行により出力するウォッチドッグパルスの出力間隔を監視したり、演算部２が所定プログラムの定期的な実行によりカウントアップして出力するカウンタ値の変化状態を監視したりすることにより、演算部２の動作を監視して良い。 The monitoring of the arithmetic unit 2 may be performed by a simpler method than the monitoring of the arithmetic unit 1 by the arithmetic unit 2 because the monitoring of the arithmetic unit 2 only needs to be able to monitor that the monitoring of the arithmetic unit 1 is working. .. For example, the calculation unit 3 monitors the output interval of the watch dog pulse output by the calculation unit 2 by the periodic execution of the predetermined program, or the calculation unit 2 counts up and outputs the output by the periodic execution of the predetermined program. The operation of the arithmetic unit 2 may be monitored by monitoring the change state of the counter value.

更に、演算部３は、図３の信号出力処理に代えて、図５の信号出力処理を行う。
図５の信号出力処理では、図３の信号出力処理と比較すると、Ｓ２１０に代えて、Ｓ２００，Ｓ２１５の処理が行われる。 Further, the arithmetic unit 3 performs the signal output processing of FIG. 5 instead of the signal output processing of FIG.
In the signal output process of FIG. 5, as compared with the signal output process of FIG. 3, the processes of S200 and S215 are performed instead of S210.

［２－２．演算部３の処理］
図５に示すように、演算部３は、信号出力処理を開始すると、Ｓ２００にて、演算部２に対する監視機能により演算部２の異常を検出したか否かを判定し、演算部２の異常を検出した場合には、Ｓ２２０にて、論理積回路４へのリセット要求信号Ｒ３１をＯＦＦする。その後、演算部３は、当該信号出力処理を終了する。 [2-2. Processing of arithmetic unit 3]
As shown in FIG. 5, when the signal output process is started, the arithmetic unit 3 determines whether or not the abnormality of the arithmetic unit 2 is detected by the monitoring function for the arithmetic unit 2 in S200, and the abnormality of the arithmetic unit 2 is determined. Is detected, the reset request signal R31 to the AND circuit 4 is turned off in S220. After that, the calculation unit 3 ends the signal output process.

また、演算部３は、上記Ｓ２００にて、演算部２の異常を検出していないと判定した場合には、Ｓ２１５にて、演算部２からの通知信号ＸのＯＮが一定時間以上継続しているか否かを判定する。つまり、演算部３は、演算部２からの通知信号Ｘが入力され続けた時間が一定時間以上になったか否かを判定する。この一定時間は、演算部３が演算部２の異常を検出するのに要する設計上の時間よりも長い時間に設定されている。 Further, when the calculation unit 3 determines that the abnormality of the calculation unit 2 has not been detected in the above S200, the notification signal X from the calculation unit 2 is continuously turned on for a certain period of time or longer in S215. Judge whether or not. That is, the calculation unit 3 determines whether or not the time during which the notification signal X from the calculation unit 2 has been continuously input has exceeded a certain period of time. This fixed time is set to be longer than the design time required for the calculation unit 3 to detect the abnormality of the calculation unit 2.

演算部３は、上記Ｓ２１５にて、通知信号ＸのＯＮが一定時間以上継続していないと判定した場合には、Ｓ２２０に進み、リセット要求信号Ｒ３１をＯＦＦする。また、演算部３は、上記Ｓ２１５にて、通知信号ＸのＯＮが一定時間以上継続したと判定した場合には、正常な演算部２が通知信号ＸをＯＮしたと判断して、Ｓ２３０に進む。そして、演算部３は、Ｓ２３０にて、リセット要求信号Ｒ３１をＯＮし、その後、当該信号出力処理を終了する。 When the calculation unit 3 determines in S215 that the notification signal X has not been turned on for a certain period of time or longer, the calculation unit 3 proceeds to S220 and turns off the reset request signal R31. Further, when the calculation unit 3 determines in S215 that the notification signal X has been turned on for a certain period of time or longer, the calculation unit 3 determines that the normal calculation unit 2 has turned on the notification signal X, and proceeds to S230. .. Then, the calculation unit 3 turns on the reset request signal R31 in S230, and then ends the signal output process.

このように、演算部３は、演算部２の異常を検出していない場合に限り、演算部２からの通知信号Ｘが入力されたことを条件にして、リセット要求信号Ｒ３１を論理積回路４に出力するようになっている。 As described above, the arithmetic unit 3 sets the reset request signal R31 to the AND circuit 4 on condition that the notification signal X from the arithmetic unit 2 is input only when the abnormality of the arithmetic unit 2 is not detected. It is designed to output to.

［２－３．動作例］
演算部１に異常が生じた場合の動作例を、図６を用い説明する。また、演算部２に異常が生じた場合の動作例を、図７を用い説明する。尚、図６及び図７において、Ｓ１は、演算部１の状態であり、Ｓ２は、演算部２の状態である。また、Ｗ２１は、演算部２による演算部１についての監視結果であり、Ｗ３２は、演算部３による演算部２についての監視結果である。そして、Ｗ２１とＷ３２の各々は、ハイレベルが、異常を検出したことを表している。 [2-3. Operation example]
An operation example when an abnormality occurs in the calculation unit 1 will be described with reference to FIG. Further, an operation example when an abnormality occurs in the calculation unit 2 will be described with reference to FIG. 7. In FIGS. 6 and 7, S1 is the state of the calculation unit 1, and S2 is the state of the calculation unit 2. Further, W21 is a monitoring result of the calculation unit 1 by the calculation unit 2, and W32 is a monitoring result of the calculation unit 2 by the calculation unit 3. And each of W21 and W32 indicates that the high level detected the abnormality.

図６に示すように、時刻ｔ０で演算部１が異常になったとする。この場合、演算部２が、時刻ｔ１にて、演算部１の異常を検出し、図２のＳ１４０，Ｓ１５０を実行することにより、リセット要求信号Ｒ２１と通知信号ＸをＯＮする。その後、演算部３が、図５のＳ２１５にて通知信号ＸのＯＮが一定時間以上継続したと判定し、時刻ｔ２にて、図５のＳ２３０を実行することにより、リセット要求信号Ｒ３１をＯＮする。すると、論理積回路４から演算部１へのリセット入力信号ＲＳＴ１がＯＮして、演算部１がリセットされる。このように、演算部１の異常時には、演算部２，３の動作により、演算部１が正しくリセットされる。 As shown in FIG. 6, it is assumed that the arithmetic unit 1 becomes abnormal at time t0. In this case, the arithmetic unit 2 detects an abnormality in the arithmetic unit 1 at time t1 and executes S140 and S150 in FIG. 2 to turn on the reset request signal R21 and the notification signal X. After that, the arithmetic unit 3 determines that the notification signal X has been turned on for a certain period of time or longer in S215 of FIG. 5, and turns on the reset request signal R31 by executing S230 of FIG. 5 at time t2. .. Then, the reset input signal RST1 from the AND circuit 4 to the arithmetic unit 1 is turned ON, and the arithmetic unit 1 is reset. In this way, when the calculation unit 1 is abnormal, the calculation unit 1 is correctly reset by the operations of the calculation units 2 and 3.

一方、図７に示すように、時刻ｔ３で演算部２が異常になったとする。この場合、演算部２からのリセット要求信号Ｒ２１と通知信号Ｘは不定になる。その後、演算部３が、時刻ｔ４にて、演算部２の異常を検出する。演算部２が異常になってから、演算部３により演算部２の異常が検出されるまでの時間は、前述の一定時間よりも短い。よって、演算部３は、異常になった演算部２からの通知信号ＸがＯＮになったとしても、図５のＳ２３０を実行せず、リセット要求信号Ｒ３１をＯＦＦのままにする。従って、演算部１は、演算部２の異常により誤リセットされることがなく、動作し続ける。 On the other hand, as shown in FIG. 7, it is assumed that the arithmetic unit 2 becomes abnormal at time t3. In this case, the reset request signal R21 and the notification signal X from the calculation unit 2 are undefined. After that, the calculation unit 3 detects an abnormality in the calculation unit 2 at time t4. The time from when the calculation unit 2 becomes abnormal until the calculation unit 3 detects the abnormality in the calculation unit 2 is shorter than the above-mentioned fixed time. Therefore, even if the notification signal X from the abnormal calculation unit 2 is turned on, the calculation unit 3 does not execute S230 in FIG. 5 and leaves the reset request signal R31 OFF. Therefore, the calculation unit 1 continues to operate without being erroneously reset due to an abnormality in the calculation unit 2.

［２－４．効果］
以上詳述した第２実施形態によれば、第１実施形態について述べた効果（１ａ）と同様の効果を奏し、更に、以下の効果も奏する。 [2-4. effect]
According to the second embodiment described in detail above, the same effect as the effect (1a) described for the first embodiment is obtained, and the following effects are also obtained.

（２ａ）演算部３は、演算部２の動作を監視し、演算部２の異常を検出していない場合に限り、演算部２からの通知信号Ｘが入力されたことを条件にして、リセット要求信号Ｒ３１を論理積回路４に出力する。このため、演算部２が異常になってリセット要求信号Ｒ２１と通知信号Ｘの両方が出力されても、演算部３はリセット要求信号Ｒ３１を出力せず、演算部１の誤リセットが回避される。また、図５のＳ２１５の判定が行われることで、誤リセット回避の確実性が高まる。そして、前述したように、演算部３による演算部２の監視は、演算部２による演算部１の監視よりも簡単な手法で良い。よって、演算部３の処理内容は、演算部２の処理内容よりも簡単なものにすることができる。このため、やはり、演算部３の処理負荷を抑制しつつ、演算部１の誤リセットを抑制することができる。 (2a) The arithmetic unit 3 monitors the operation of the arithmetic unit 2 and resets only when the abnormality of the arithmetic unit 2 is not detected, on condition that the notification signal X from the arithmetic unit 2 is input. The request signal R31 is output to the AND circuit 4. Therefore, even if the arithmetic unit 2 becomes abnormal and both the reset request signal R21 and the notification signal X are output, the arithmetic unit 3 does not output the reset request signal R31, and the erroneous reset of the arithmetic unit 1 is avoided. .. Further, by making the determination of S215 in FIG. 5, the certainty of avoiding an erroneous reset is increased. Then, as described above, the monitoring of the calculation unit 2 by the calculation unit 3 may be a simpler method than the monitoring of the calculation unit 1 by the calculation unit 2. Therefore, the processing content of the calculation unit 3 can be simpler than the processing content of the calculation unit 2. Therefore, it is possible to suppress the erroneous reset of the calculation unit 1 while suppressing the processing load of the calculation unit 3.

［３．第３実施形態］
［３－１．第２実施形態との相違点］
第３実施形態は、基本的な構成は第２実施形態と同様であるため、第２実施形態との相違点について以下に説明する。尚、第２実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 [3. Third Embodiment]
[3-1. Differences from the second embodiment]
Since the basic configuration of the third embodiment is the same as that of the second embodiment, the differences from the second embodiment will be described below. It should be noted that the same reference numerals as those of the second embodiment indicate the same configuration, and the preceding description will be referred to.

図８に示す第３実施形態の車載制御装置１１は、第２実施形態と比較すると、演算部１が、演算部２に対する監視機能を備える。つまり、演算部１と演算部２は相互に監視する関係にある。 In the vehicle-mounted control device 11 of the third embodiment shown in FIG. 8, the calculation unit 1 has a monitoring function for the calculation unit 2 as compared with the second embodiment. That is, the arithmetic unit 1 and the arithmetic unit 2 are in a relationship of mutually monitoring.

前述したように、演算部２に対する監視機能は、演算部２による演算部１の監視が働いていることさえ監視できれば良いため、演算部２による演算部１の監視よりも簡単な手法で良い。このため、演算部１は、例えば、第２実施形態の演算部３が演算部２に対して行う監視と同様の手法、即ち、ウォッチドッグパルスの出力間隔やカウンタ値の変化状態等の監視により、演算部２の動作を監視する。 As described above, the monitoring function for the arithmetic unit 2 may be a simpler method than the monitoring of the arithmetic unit 1 by the arithmetic unit 2 because it is sufficient that the arithmetic unit 2 can monitor the arithmetic unit 1 as long as it is working. Therefore, the arithmetic unit 1 is, for example, by a method similar to the monitoring performed by the arithmetic unit 3 of the second embodiment on the arithmetic unit 2, that is, by monitoring the output interval of the watchdog pulse, the change state of the counter value, and the like. , Monitor the operation of the arithmetic unit 2.

更に、演算部１は、図９のモード切替処理を、例えば所定時間毎に行う。
［３－２．演算部１のモード切替処理］
図９に示すように、演算部１は、モード切替処理を開始すると、Ｓ３１０にて、演算部２に対する監視機能により演算部２の異常を検出したか否かを判定する。 Further, the calculation unit 1 performs the mode switching process of FIG. 9, for example, at predetermined time intervals.
[3-2. Mode switching process of arithmetic unit 1]
As shown in FIG. 9, when the mode switching process is started, the calculation unit 1 determines whether or not an abnormality in the calculation unit 2 is detected by the monitoring function for the calculation unit 2 in S310.

演算部１は、上記Ｓ３１０にて、演算部２の異常を検出していないと判定した場合には、Ｓ３３０にて、制御対象の通常の制御（即ち、通常制御）を行うモードとなり、その後、当該モード切替処理を終了する。尚、演算部１の起動時からの動作モード（即ち、基本モード）は、通常制御を行うモードであるため、Ｓ３３０はなくても良い。 When the calculation unit 1 determines that the abnormality of the calculation unit 2 has not been detected in the above S310, the calculation unit 1 is set to the mode in which the normal control (that is, normal control) of the controlled object is performed in the S330, and then the mode is set. The mode switching process is terminated. Since the operation mode (that is, the basic mode) from the start of the arithmetic unit 1 is a mode for performing normal control, S330 may not be necessary.

また、演算部１は、上記Ｓ３１０にて、演算部２の異常を検出したと判定した場合には、Ｓ３２０にて、通常制御に代えてフェールセーフ処置を行うモード（即ち、フェールセーフモード）に切り替わり、その後、当該モード切替処理を終了する。 Further, when the calculation unit 1 determines in S310 that an abnormality in the calculation unit 2 is detected, the calculation unit 1 switches to a mode (that is, a fail-safe mode) in which fail-safe measures are performed instead of normal control in S320. After that, the mode switching process is terminated.

演算部１は、フェールセーフモードでは、フェールセーフ処置として、車両を安全な状態にするための制御を実施する。例えば、演算部１は、エンジンの吸入空気量を調節する電子スロットルを制御するのであれば、フェールセーフモードでは、電子スロットルへの駆動信号又は駆動電力を強制カットする処置を行って、吸入空気量をエンジンの運転に最小限必要な量にする。また例えば、演算部１は、エンジンの燃料噴射を制御するのであれば、フェールセーフモードでは、インジェクタへの駆動信号又は駆動電力を強制カットする処置を行って、エンジンを停止させる。 In the fail-safe mode, the calculation unit 1 implements control for putting the vehicle in a safe state as a fail-safe measure. For example, if the calculation unit 1 controls the electronic throttle that adjusts the intake air amount of the engine, in the fail-safe mode, the calculation unit 1 performs a procedure for forcibly cutting the drive signal or the drive power to the electronic throttle to reduce the intake air amount. Minimize the amount required to run the engine. Further, for example, if the calculation unit 1 controls the fuel injection of the engine, in the fail-safe mode, the calculation unit 1 performs a measure of forcibly cutting the drive signal or the drive power to the injector to stop the engine.

［３－３．効果］
演算部１は、演算部２の動作を監視し、演算部２の異常を検出した場合には、フェールセーフ処置を実施するモードに切り替わる。このため、演算部２が故障してから演算部１が故障して、監視されていない演算部１の予期しない動作により車両が予期しない状態になってしまう、という可能性を、抑制することができる。 [3-3. effect]
The arithmetic unit 1 monitors the operation of the arithmetic unit 2, and when an abnormality in the arithmetic unit 2 is detected, the operation unit 1 switches to a mode in which a fail-safe measure is executed. Therefore, it is possible to suppress the possibility that the arithmetic unit 1 fails after the arithmetic unit 2 fails and the vehicle goes into an unexpected state due to an unexpected operation of the unmonitored arithmetic unit 1. can.

尚、第３実施形態の事項は、第１実施形態の車載制御装置１１に適用されても良い。
［４．第４実施形態］
［４－１．第３実施形態との相違点］
第４実施形態は、基本的な構成は第３実施形態と同様であるため、第３実施形態との相違点について以下に説明する。尚、第３実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 The matter of the third embodiment may be applied to the in-vehicle control device 11 of the first embodiment.
[4. Fourth Embodiment]
[4-1. Differences from the third embodiment]
Since the basic configuration of the fourth embodiment is the same as that of the third embodiment, the differences from the third embodiment will be described below. It should be noted that the same reference numerals as those in the third embodiment indicate the same configuration, and the preceding description will be referred to.

図１０に示す第４実施形態の車載制御装置１１は、第３実施形態と比較すると、下記〈４－１ａ〉～〈４－１ｃ〉の点が異なる。
〈４－１ａ〉論理積回路５を更に備える。論理積回路５は、論理積回路４と同様に、２つの入力信号の論理積信号を出力する回路である。 The in-vehicle control device 11 of the fourth embodiment shown in FIG. 10 is different from the third embodiment in the following points <4-1a> to <4-1c>.
<4-1a> A logical product circuit 5 is further provided. The AND circuit 5 is a circuit that outputs a AND signal of two input signals, similarly to the AND circuit 4.

そして、演算部１から論理積回路５の一方の入力端子である第１入力端子には、演算部２に対するリセット要求信号Ｒ１２が出力される。また、演算部３から論理積回路５の他方の入力端子である第２入力端子には、演算部２に対するリセット要求信号Ｒ３２が出力される。 Then, the reset request signal R12 for the arithmetic unit 2 is output from the arithmetic unit 1 to the first input terminal which is one input terminal of the logical product circuit 5. Further, the reset request signal R32 for the arithmetic unit 2 is output from the arithmetic unit 3 to the second input terminal which is the other input terminal of the AND circuit 5.

更に、演算部１から演算部３には、演算部１がリセット要求信号Ｒ１２を出力したことを示す通知信号Ｙが出力される。通知信号Ｙは、演算部１が演算部２の異常を検出したことを示す信号（即ち、異常情報）であるとも言える。 Further, a notification signal Y indicating that the calculation unit 1 has output the reset request signal R12 is output from the calculation unit 1 to the calculation unit 3. It can also be said that the notification signal Y is a signal (that is, abnormality information) indicating that the calculation unit 1 has detected an abnormality in the calculation unit 2.

論理積回路５は、演算部１からリセット要求信号Ｒ１２が出力され、且つ、演算部３からリセット要求信号Ｒ３２が出力された場合に、演算部２にリセット信号を出力する。つまり、論理積回路５の出力信号は、演算部２のリセット入力信号ＲＳＴ２になっている。 The AND circuit 5 outputs a reset signal to the calculation unit 2 when the reset request signal R12 is output from the calculation unit 1 and the reset request signal R32 is output from the calculation unit 3. That is, the output signal of the AND circuit 5 is the reset input signal RST2 of the arithmetic unit 2.

〈４－１ｂ〉演算部１は、演算部２のリセットに関して、図１１の信号出力処理を、例えば所定時間毎に行う。尚、図１１の信号出力処理は、図２の信号出力処理と同様の処理である。 <4-1b> The calculation unit 1 performs the signal output processing of FIG. 11 with respect to the reset of the calculation unit 2, for example, at predetermined time intervals. The signal output process of FIG. 11 is the same process as the signal output process of FIG.

図１１に示すように、演算部１は、信号出力処理を開始すると、Ｓ４１０にて、演算部２に対する監視機能により演算部２の異常を検出したか否かを判定する。演算部１は、演算部２の異常を検出していない場合には、Ｓ４２０にて、論理積回路５へのリセット要求信号Ｒ１２をＯＦＦし、Ｓ４３０にて、演算部３への通知信号ＹをＯＦＦする。その後、演算部１は、当該信号出力処理を終了する。 As shown in FIG. 11, when the signal output process is started, the arithmetic unit 1 determines whether or not an abnormality in the arithmetic unit 2 is detected by the monitoring function for the arithmetic unit 2 in S410. If the arithmetic unit 1 has not detected an abnormality in the arithmetic unit 2, the arithmetic unit 1 turns off the reset request signal R12 to the AND circuit 5 in S420, and sends a notification signal Y to the arithmetic unit 3 in S430. Turn off. After that, the arithmetic unit 1 ends the signal output processing.

また、演算部１は、上記Ｓ４１０にて、演算部２の異常を検出したと判定した場合には、Ｓ４４０にて、論理積回路５へのリセット要求信号Ｒ１２をＯＮし、Ｓ４５０にて、演算部３への通知信号ＹをＯＮする。その後、演算部１は、当該信号出力処理を終了する。 Further, when the calculation unit 1 determines that the abnormality of the calculation unit 2 is detected in the above S410, the calculation unit 1 turns on the reset request signal R12 to the AND circuit 5 in S440, and calculates in S450. The notification signal Y to the unit 3 is turned on. After that, the arithmetic unit 1 ends the signal output processing.

つまり、演算部１は演算部２の異常を検出すると、リセット要求信号Ｒ１２をＯＮすると共に、通知信号ＹをＯＮする。
〈４－１ｃ〉演算部３は、演算部２のリセットに関して、図１２の信号出力処理を、例えば所定時間毎に行う。尚、図１２の信号出力処理は、図３の信号出力処理と同様の処理である。 That is, when the arithmetic unit 1 detects an abnormality in the arithmetic unit 2, it turns on the reset request signal R12 and turns on the notification signal Y.
<4-1c> The calculation unit 3 performs the signal output processing of FIG. 12 with respect to the reset of the calculation unit 2, for example, at predetermined time intervals. The signal output process of FIG. 12 is the same process as the signal output process of FIG.

図１２に示すように、演算部３は、信号出力処理を開始すると、Ｓ５１０にて、演算部１からの通知信号ＹがＯＮであるか否かを判定し、通知信号ＹがＯＮでなければ、Ｓ５２０にて、論理積回路５へのリセット要求信号Ｒ３２をＯＦＦする。その後、演算部３は、当該信号出力処理を終了する。 As shown in FIG. 12, when the calculation unit 3 starts the signal output process, S510 determines whether or not the notification signal Y from the calculation unit 1 is ON, and if the notification signal Y is not ON, the calculation unit 3 determines whether or not the notification signal Y is ON. , S520 turns off the reset request signal R32 to the AND circuit 5. After that, the calculation unit 3 ends the signal output process.

また、演算部３は、上記Ｓ５１０にて、通知信号ＹがＯＮであると判定した場合には、Ｓ５３０にて、論理積回路５へのリセット要求信号Ｒ２１をＯＮし、その後、当該信号出力処理を終了する。 Further, when the calculation unit 3 determines in S510 that the notification signal Y is ON, the arithmetic unit 3 turns on the reset request signal R21 to the AND circuit 5 in S530, and then performs the signal output processing. To finish.

つまり、演算部３は、演算部１からの通知信号Ｙが入力された場合に、リセット要求信号Ｒ３２をＯＮする。そして、演算部１からのリセット要求信号Ｒ１２と、演算部３からのリセット要求信号Ｒ３２とが、両方ともＯＮになると、論理積回路５から演算部２へのリセット入力信号ＲＳＴ２がＯＮして、演算部２がリセットされる。 That is, the calculation unit 3 turns on the reset request signal R32 when the notification signal Y from the calculation unit 1 is input. Then, when both the reset request signal R12 from the arithmetic unit 1 and the reset request signal R32 from the arithmetic unit 3 are turned ON, the reset input signal RST2 from the AND circuit 5 to the arithmetic unit 2 is turned ON. The arithmetic unit 2 is reset.

［４－２．効果］
第４実施形態では、演算部１により演算部２の異常が検出された場合に、演算部２がリセットされるようにしている。このため、演算部２が異常になった場合に、演算部２の異常出力がリセットによって阻止されると共に、演算部１が前述のフェールセーフ処置を行うこととなる。 [4-2. effect]
In the fourth embodiment, when the calculation unit 1 detects an abnormality in the calculation unit 2, the calculation unit 2 is reset. Therefore, when the arithmetic unit 2 becomes abnormal, the abnormal output of the arithmetic unit 2 is blocked by the reset, and the arithmetic unit 1 performs the above-mentioned fail-safe measure.

そして、演算部２のリセットに関して、演算部１は、演算部１のリセットに関する第１実施形態の演算部２と同様の役割を果たす。
また、演算部２のリセットに関して、演算部３は、演算部１のリセットに関する第１実施形態の演算部３と同様の役割を果たす。 Then, regarding the reset of the calculation unit 2, the calculation unit 1 plays the same role as the calculation unit 2 of the first embodiment regarding the reset of the calculation unit 1.
Further, regarding the reset of the calculation unit 2, the calculation unit 3 plays the same role as the calculation unit 3 of the first embodiment regarding the reset of the calculation unit 1.

更に、演算部２のリセットに関して、論理積回路５は、演算部１のリセットに関する論理積回路４と同様の役割を果たす。
このため、演算部２のリセットに関しても、第１実施形態について述べた効果（１ａ）と同様の効果を奏する。つまり、演算部２が正常なのに演算部１から演算部２に対するリセット要求信号Ｒ１２が出力されても、通知信号Ｙが出力されなければ、演算部３は演算部２に対するリセット要求信号Ｒ３２を出力しないため、演算部２の誤リセットが回避される。 Further, regarding the reset of the arithmetic unit 2, the AND circuit 5 plays the same role as the logical product circuit 4 regarding the reset of the arithmetic unit 1.
Therefore, the reset of the calculation unit 2 has the same effect as the effect (1a) described in the first embodiment. That is, even if the calculation unit 2 is normal but the calculation unit 1 outputs the reset request signal R12 to the calculation unit 2, if the notification signal Y is not output, the calculation unit 3 does not output the reset request signal R32 to the calculation unit 2. Therefore, an erroneous reset of the calculation unit 2 is avoided.

尚、論理積回路４は、第１論理積部に相当し、論理積回路５は、第２論理積部に相当する。通知信号Ｘは、第１通知信号に相当し、通知信号Ｙは、第２通知信号に相当する。
［５．第５実施形態］
［５－１．第４実施形態との相違点］
第５実施形態は、基本的な構成は第４実施形態と同様であるため、第４実施形態との相違点について以下に説明する。尚、第４実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 The logical product circuit 4 corresponds to the first logical product unit, and the logical product circuit 5 corresponds to the second logical product unit. The notification signal X corresponds to the first notification signal, and the notification signal Y corresponds to the second notification signal.
[5. Fifth Embodiment]
[5-1. Differences from the fourth embodiment]
Since the basic configuration of the fifth embodiment is the same as that of the fourth embodiment, the differences from the fourth embodiment will be described below. It should be noted that the same reference numerals as those in the fourth embodiment indicate the same configuration, and the preceding description will be referred to.

図１３に示す第５実施形態の車載制御装置１１は、第４実施形態と比較すると、下記〈５－１ａ〉，〈５－１ｂ〉の点が異なる。
〈５－１ａ〉演算部３は、演算部１に対する監視機能を更に備える。但し、演算部３が備える演算部１に対する監視機能は、演算部２が備える演算部１に対する監視機能とは異なり、演算部１の演算部２に対する監視動作を監視する機能である。つまり、演算部３による演算部１に対する監視は、演算部１による演算部２の監視が働いていることを監視できれば良く、演算部２による演算部１の監視よりも簡単な手法で良い。このため、演算部３は、例えば、第２実施形態の演算部３が演算部２に対して行う監視と同様の手法、即ち、ウォッチドッグパルスの出力間隔やカウンタ値の変化状態等の監視により、演算部１の動作を監視する。 The in-vehicle control device 11 of the fifth embodiment shown in FIG. 13 differs from the fourth embodiment in the following points <5-1a> and <5-1b>.
<5-1a> The arithmetic unit 3 further includes a monitoring function for the arithmetic unit 1. However, the monitoring function for the calculation unit 1 included in the calculation unit 3 is different from the monitoring function for the calculation unit 1 provided in the calculation unit 2, and is a function for monitoring the monitoring operation for the calculation unit 2 of the calculation unit 1. That is, the monitoring of the calculation unit 1 by the calculation unit 3 may be performed by a simpler method than the monitoring of the calculation unit 1 by the calculation unit 2 as long as the monitoring of the calculation unit 2 by the calculation unit 1 can be monitored. Therefore, the arithmetic unit 3 is, for example, by a method similar to the monitoring performed by the arithmetic unit 3 of the second embodiment on the arithmetic unit 2, that is, by monitoring the output interval of the watchdog pulse, the change state of the counter value, and the like. , Monitor the operation of the arithmetic unit 1.

〈５－１ｂ〉演算部３は、図１２の信号出力処理に代えて、図１４の信号出力処理を行う。図１４の信号出力処理では、図１２の信号出力処理と比較すると、Ｓ５１０に代えて、Ｓ５００，Ｓ５１５の処理が行われる。尚、図１４の信号出力処理は、図５の信号出力処理と同様の処理である。 <5-1b> The arithmetic unit 3 performs the signal output processing of FIG. 14 instead of the signal output processing of FIG. In the signal output process of FIG. 14, as compared with the signal output process of FIG. 12, the processes of S500 and S515 are performed instead of S510. The signal output process of FIG. 14 is the same process as the signal output process of FIG.

図１４に示すように、演算部３は、信号出力処理を開始すると、Ｓ５００にて、演算部１に対する監視機能により演算部１の異常を検出したか否かを判定し、演算部１の異常を検出した場合には、Ｓ５２０にて、論理積回路５へのリセット要求信号Ｒ３２をＯＦＦする。その後、演算部３は、当該信号出力処理を終了する。 As shown in FIG. 14, when the signal output process is started, the arithmetic unit 3 determines whether or not the abnormality of the arithmetic unit 1 is detected by the monitoring function for the arithmetic unit 1 in S500, and the abnormality of the arithmetic unit 1 is determined. Is detected, the reset request signal R32 to the AND circuit 5 is turned off in S520. After that, the calculation unit 3 ends the signal output process.

また、演算部３は、上記Ｓ５００にて、演算部１の異常を検出していないと判定した場合には、Ｓ５１５にて、演算部１からの通知信号ＹのＯＮが一定時間以上継続しているか否かを判定する。つまり、演算部３は、演算部１からの通知信号Ｘが入力され続けた時間が一定時間以上になったか否かを判定する。この一定時間は、演算部３が演算部１の異常を検出するのに要する設計上の時間よりも長い時間に設定されている。 Further, when the calculation unit 3 determines that the abnormality of the calculation unit 1 has not been detected in the above S500, the notification signal Y from the calculation unit 1 is continuously turned on for a certain period of time or longer in S515. Judge whether or not. That is, the calculation unit 3 determines whether or not the time during which the notification signal X from the calculation unit 1 has been continuously input has exceeded a certain period of time. This fixed time is set to be longer than the design time required for the calculation unit 3 to detect the abnormality of the calculation unit 1.

演算部３は、上記Ｓ５１５にて、通知信号ＹのＯＮが一定時間以上継続していないと判定した場合には、Ｓ５２０に進み、リセット要求信号Ｒ３２をＯＦＦする。また、演算部３は、上記Ｓ５１５にて、通知信号ＹのＯＮが一定時間以上継続したと判定した場合には、正常な演算部１が通知信号ＹをＯＮしたと判断して、Ｓ５３０に進む。そして、演算部３は、Ｓ５３０にて、リセット要求信号Ｒ３２をＯＮし、その後、当該信号出力処理を終了する。 When the calculation unit 3 determines in S515 that the notification signal Y has not been turned on for a certain period of time or longer, the calculation unit 3 proceeds to S520 and turns off the reset request signal R32. If the calculation unit 3 determines in S515 that the notification signal Y has been turned on for a certain period of time or longer, the calculation unit 3 determines that the normal calculation unit 1 has turned on the notification signal Y, and proceeds to S530. .. Then, the arithmetic unit 3 turns on the reset request signal R32 in S530, and then ends the signal output process.

このように、演算部３は、演算部１の異常を検出していない場合に限り、演算部１からの通知信号Ｙが入力されたことを条件にして、リセット要求信号Ｒ３２を論理積回路５に出力するようになっている。 As described above, the arithmetic unit 3 sets the reset request signal R32 to the AND circuit 5 on condition that the notification signal Y from the arithmetic unit 1 is input only when the abnormality of the arithmetic unit 1 is not detected. It is designed to output to.

［５－２．効果］
第５実施形態では、演算部２のリセットに関して、演算部３は、演算部１のリセットに関する第２実施形態の演算部３と同様の役割を果たす。 [5-2. effect]
In the fifth embodiment, regarding the reset of the calculation unit 2, the calculation unit 3 plays the same role as the calculation unit 3 of the second embodiment regarding the reset of the calculation unit 1.

このため、演算部２のリセットに関しても、第２実施形態について述べた効果（２ａ）と同様の効果を奏する。つまり、演算部１が異常になってリセット要求信号Ｒ１２と通知信号Ｙの両方が出力されても、演算部３はリセット要求信号Ｒ３２を出力せず、演算部２の誤リセットが回避される。また、図１４のＳ５１５の判定が行われることで、誤リセット回避の確実性が高まる。そして、前述したように、演算部３による演算部１の監視は、演算部２による演算部１の監視よりも簡単な手法で良い。 Therefore, the reset of the calculation unit 2 has the same effect as the effect (2a) described in the second embodiment. That is, even if the arithmetic unit 1 becomes abnormal and both the reset request signal R12 and the notification signal Y are output, the arithmetic unit 3 does not output the reset request signal R32, and the erroneous reset of the arithmetic unit 2 is avoided. Further, by making the determination of S515 in FIG. 14, the certainty of avoiding an erroneous reset is increased. Then, as described above, the monitoring of the calculation unit 1 by the calculation unit 3 may be a simpler method than the monitoring of the calculation unit 1 by the calculation unit 2.

［６．第６実施形態］
［６－１．第２実施形態との相違点］
第６実施形態は、基本的な構成は第２実施形態と同様であるため、第２実施形態との相違点について以下に説明する。尚、第２実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 [6. 6th Embodiment]
[6-1. Differences from the second embodiment]
Since the basic configuration of the sixth embodiment is the same as that of the second embodiment, the differences from the second embodiment will be described below. It should be noted that the same reference numerals as those of the second embodiment indicate the same configuration, and the preceding description will be referred to.

図１５に示す第６実施形態の車載制御装置１１は、第２実施形態と比較すると、下記〈６－１ａ〉～〈６－１ｃ〉の点が異なる。
〈６－１ａ〉演算部２は、演算部３への通知信号Ｘを出力しない。 The in-vehicle control device 11 of the sixth embodiment shown in FIG. 15 is different from the second embodiment in the following points <6-1a> to <6-1c>.
<6-1a> The calculation unit 2 does not output the notification signal X to the calculation unit 3.

このため、演算部２は、図２の信号出力処理に代えて、図１６の信号出力処理を行う。図１６の信号出力処理では、図２の信号出力処理と比較すると、通知信号Ｘの出力に関わるＳ１３０，Ｓ１５０の処理が削除されている。 Therefore, the arithmetic unit 2 performs the signal output processing of FIG. 16 instead of the signal output processing of FIG. In the signal output process of FIG. 16, as compared with the signal output process of FIG. 2, the processes of S130 and S150 related to the output of the notification signal X are deleted.

〈６－１ｂ〉図１５に示すように、演算部２から出力されるリセット要求信号Ｒ２１は、演算部３にも入力されるようになっている。
〈６－１ｃ〉演算部３は、図５の信号出力処理に代えて、図１７の信号出力処理を行う。図１７の信号出力処理では、図５の信号出力処理と比較すると、Ｓ２１５に代えて、Ｓ２１７の処理が行われる。 <6-1b> As shown in FIG. 15, the reset request signal R21 output from the calculation unit 2 is also input to the calculation unit 3.
<6-1c> The arithmetic unit 3 performs the signal output processing of FIG. 17 instead of the signal output processing of FIG. In the signal output process of FIG. 17, as compared with the signal output process of FIG. 5, the process of S217 is performed instead of S215.

図１７に示すように、演算部３は、Ｓ２００にて、演算部２の異常を検出していないと判定した場合には、Ｓ２１７に進む。そして、演算部３は、Ｓ２１７では、演算部２からのリセット要求信号Ｒ２１のＯＮが一定時間以上継続しているか否かを判定する。つまり、演算部３は、演算部２からのリセット要求信号Ｒ２１が入力され続けた時間が一定時間以上になったか否かを判定する。この一定時間も、演算部３が演算部２の異常を検出するのに要する設計上の時間よりも長い時間に設定されている。 As shown in FIG. 17, when the calculation unit 3 determines that the abnormality of the calculation unit 2 has not been detected in S200, the calculation unit 3 proceeds to S217. Then, in S217, the calculation unit 3 determines whether or not the reset request signal R21 from the calculation unit 2 has been turned on for a certain period of time or longer. That is, the calculation unit 3 determines whether or not the time during which the reset request signal R21 from the calculation unit 2 has been continuously input has exceeded a certain period of time. This fixed time is also set to be longer than the design time required for the arithmetic unit 3 to detect the abnormality of the arithmetic unit 2.

演算部３は、上記Ｓ２１７にて、リセット要求信号Ｒ２１のＯＮが一定時間以上継続していないと判定した場合には、Ｓ２００でＹＥＳと判定した場合と同様に、Ｓ２２０に進み、リセット要求信号Ｒ３１をＯＦＦする。また、演算部３は、上記Ｓ２１７にて、リセット要求信号Ｒ２１のＯＮが一定時間以上継続したと判定した場合には、正常な演算部２がリセット要求信号Ｒ２１をＯＮしたと判断して、Ｓ２３０に進み、リセット要求信号Ｒ３１をＯＮする。 When the calculation unit 3 determines in S217 that the reset request signal R21 has not been turned on for a certain period of time or longer, the calculation unit 3 proceeds to S220 and proceeds to S220, as in the case of determining YES in S200, and the reset request signal R31. Is turned off. Further, when the calculation unit 3 determines in S217 that the reset request signal R21 has been turned on for a certain period of time or longer, the calculation unit 3 determines that the normal calculation unit 2 has turned on the reset request signal R21, and determines that the reset request signal R21 has been turned on in S230. And turns on the reset request signal R31.

［６－２．効果］
図１７の信号出力処理により、演算部３は、演算部２の異常を検出していない場合に限り、演算部２からのリセット要求信号Ｒ２１が入力されたことを条件にして、リセット要求信号Ｒ３１を論理積回路４に出力する。 [6-2. effect]
By the signal output processing of FIG. 17, the calculation unit 3 only when the abnormality of the calculation unit 2 is not detected, on condition that the reset request signal R21 from the calculation unit 2 is input, the reset request signal R31 Is output to the AND circuit 4.

このため、第２実施形態について述べた効果（２ａ）と同様の効果を奏する。つまり、演算部２が異常になってリセット要求信号Ｒ２１が出力されても、演算部３はリセット要求信号Ｒ３１を出力せず、演算部１の誤リセットが回避される。また、図１７のＳ２１７の判定が行われることで、誤リセット回避の確実性が高まる。また、通知信号Ｘが不要なため、シンプルな構成にすることができる。 Therefore, the same effect as the effect (2a) described in the second embodiment is obtained. That is, even if the calculation unit 2 becomes abnormal and the reset request signal R21 is output, the calculation unit 3 does not output the reset request signal R31, and the erroneous reset of the calculation unit 1 is avoided. Further, by making the determination of S217 in FIG. 17, the certainty of avoiding an erroneous reset is increased. Further, since the notification signal X is not required, the configuration can be simple.

［７．第７実施形態］
［７－１．第６実施形態との相違点］
第７実施形態は、基本的な構成は第６実施形態と同様であるため、第６実施形態との相違点について以下に説明する。尚、第６実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 [7. Seventh Embodiment]
[7-1. Differences from the sixth embodiment]
Since the basic configuration of the seventh embodiment is the same as that of the sixth embodiment, the differences from the sixth embodiment will be described below. It should be noted that the same reference numerals as those in the sixth embodiment indicate the same configuration, and the preceding description will be referred to.

図１８に示す第７実施形態の車載制御装置１１は、第６実施形態と比較すると、演算部１が、第３実施形態と同様に、演算部２に対する監視機能を備える。
更に、演算部１は、第３実施形態と同様に、図９のモード切替処理を、例えば所定時間毎に行う。 In the vehicle-mounted control device 11 of the seventh embodiment shown in FIG. 18, as compared with the sixth embodiment, the calculation unit 1 has a monitoring function for the calculation unit 2 as in the third embodiment.
Further, the calculation unit 1 performs the mode switching process of FIG. 9 at predetermined time intervals, for example, as in the third embodiment.

［７－２．効果］
以上のような第７実施形態の車載制御装置１１によれば、第３実施形態について述べた効果と同様の効果を奏する。また、通知信号Ｘが不要なため、シンプルな構成にすることができる。 [7-2. effect]
According to the in-vehicle control device 11 of the seventh embodiment as described above, the same effect as that described for the third embodiment is obtained. Further, since the notification signal X is not required, the configuration can be simple.

［８．第８実施形態］
［８－１．第７実施形態との相違点］
第８実施形態は、基本的な構成は第７実施形態と同様であるため、第７実施形態との相違点について以下に説明する。尚、第７実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。 [8. Eighth Embodiment]
[8-1. Differences from the 7th embodiment]
Since the basic configuration of the eighth embodiment is the same as that of the seventh embodiment, the differences from the seventh embodiment will be described below. It should be noted that the same reference numerals as those in the seventh embodiment indicate the same configuration, and the preceding description will be referred to.

図１９に示す第８実施形態の車載制御装置１１は、第７実施形態と比較すると、下記〈８－１ａ〉～〈８－１ｅ〉の点が異なる。
〈８－１ａ〉第４，第５実施形態と同様の、論理積回路５を更に備える。第４，第５実施形態と同様に、演算部１から論理積回路５の第１入力端子には、演算部２に対するリセット要求信号Ｒ１２が出力され、演算部３から論理積回路５の第２入力端子には、演算部２に対するリセット要求信号Ｒ３２が出力される。そして、論理積回路５の出力信号は、演算部２のリセット入力信号ＲＳＴ２になっている。 The in-vehicle control device 11 of the eighth embodiment shown in FIG. 19 is different from the seventh embodiment in the following points <8-1a> to <8-1e>.
<8-1a> Further provided with the AND circuit 5 as in the fourth and fifth embodiments. Similar to the fourth and fifth embodiments, the reset request signal R12 for the arithmetic unit 2 is output from the arithmetic unit 1 to the first input terminal of the logical product circuit 5, and the arithmetic unit 3 outputs the second input terminal of the logical product circuit 5. A reset request signal R32 for the arithmetic unit 2 is output to the input terminal. The output signal of the AND circuit 5 is the reset input signal RST2 of the arithmetic unit 2.

〈８－１ｂ〉演算部１は、演算部２のリセットに関して、図２０の信号出力処理を、例えば所定時間毎に行う。尚、図２０の信号出力処理は、図１６の信号出力処理と同様の処理である。また、換言すると、図２０の信号出力処理は、第４，第５実施形態の演算部１が行う図１１の信号出力処理から、通知信号Ｙの出力に関わるＳ４３０，Ｓ４５０を削除した処理である。 <8-1b> The calculation unit 1 performs the signal output processing of FIG. 20 with respect to the reset of the calculation unit 2, for example, at predetermined time intervals. The signal output process of FIG. 20 is the same process as the signal output process of FIG. In other words, the signal output process of FIG. 20 is a process in which S430 and S450 related to the output of the notification signal Y are deleted from the signal output process of FIG. 11 performed by the calculation unit 1 of the fourth and fifth embodiments. ..

図２０に示すように、演算部１は、信号出力処理を開始すると、Ｓ４１０にて、演算部２に対する監視機能により演算部２の異常を検出したか否かを判定する。演算部１は、演算部２の異常を検出していない場合には、Ｓ４２０にて、リセット要求信号Ｒ１２をＯＦＦし、その後、当該信号出力処理を終了する。また、演算部１は、上記Ｓ４１０にて、演算部２の異常を検出したと判定した場合には、Ｓ４４０にて、リセット要求信号Ｒ１２をＯＮし、その後、当該信号出力処理を終了する。つまり、演算部１は演算部２の異常を検出すると、リセット要求信号Ｒ１２をＯＮする。 As shown in FIG. 20, when the signal output process is started, the arithmetic unit 1 determines whether or not an abnormality in the arithmetic unit 2 is detected by the monitoring function for the arithmetic unit 2 in S410. If the arithmetic unit 1 has not detected an abnormality in the arithmetic unit 2, the reset request signal R12 is turned off in S420, and then the signal output process is terminated. Further, when the calculation unit 1 determines that the abnormality of the calculation unit 2 is detected in the above S410, the calculation unit 1 turns on the reset request signal R12 in the S440, and then ends the signal output process. That is, when the arithmetic unit 1 detects an abnormality in the arithmetic unit 2, it turns on the reset request signal R12.

〈８－１ｃ〉図１９に示すように、演算部１から出力されるリセット要求信号Ｒ１２は、演算部３にも入力されるようになっている。
〈８－１ｄ〉演算部３は、第５実施形態と同様に、演算部１に対する監視機能を更に備える。 <8-1c> As shown in FIG. 19, the reset request signal R12 output from the calculation unit 1 is also input to the calculation unit 3.
<8-1d> The calculation unit 3 further includes a monitoring function for the calculation unit 1 as in the fifth embodiment.

〈８－１ｅ〉演算部３は、演算部２のリセットに関して、図２１の信号出力処理を、例えば所定時間毎に行う。尚、図２１の信号出力処理は、図１７の信号出力処理と同様の処理である。また、換言すると、図２１の信号出力処理では、第５実施形態の演算部３が行う図１４の信号出力処理と比較すると、Ｓ５１５に代えて、Ｓ５１７の処理が行われる。 <8-1e> The calculation unit 3 performs the signal output processing of FIG. 21 with respect to the reset of the calculation unit 2, for example, at predetermined time intervals. The signal output process of FIG. 21 is the same process as the signal output process of FIG. In other words, in the signal output process of FIG. 21, the process of S517 is performed instead of S515 as compared with the signal output process of FIG. 14 performed by the calculation unit 3 of the fifth embodiment.

図２１に示すように、演算部３は、信号出力処理を開始すると、Ｓ５００にて、演算部１に対する監視機能により演算部１の異常を検出したか否かを判定し、演算部１の異常を検出した場合には、Ｓ５２０にて、リセット要求信号Ｒ３２をＯＦＦする。その後、演算部３は、当該信号出力処理を終了する。 As shown in FIG. 21, when the signal output process is started, the arithmetic unit 3 determines whether or not the abnormality of the arithmetic unit 1 is detected by the monitoring function for the arithmetic unit 1 in S500, and the abnormality of the arithmetic unit 1 is determined. Is detected, the reset request signal R32 is turned off in S520. After that, the calculation unit 3 ends the signal output process.

また、演算部３は、上記Ｓ５００にて、演算部１の異常を検出していないと判定した場合には、Ｓ５１７にて、演算部１からのリセット要求信号Ｒ１２のＯＮが一定時間以上継続しているか否かを判定する。つまり、演算部３は、演算部１からのリセット要求信号Ｒ１２が入力され続けた時間が一定時間以上になったか否かを判定する。この一定時間は、第５実施形態と同様に、演算部３が演算部１の異常を検出するのに要する設計上の時間よりも長い時間に設定されている。 Further, when the calculation unit 3 determines that the abnormality of the calculation unit 1 has not been detected in the above S500, the reset request signal R12 from the calculation unit 1 continues to be turned on for a certain period of time or longer in S517. Determine if it is. That is, the calculation unit 3 determines whether or not the time during which the reset request signal R12 from the calculation unit 1 has been continuously input has exceeded a certain period of time. Similar to the fifth embodiment, this fixed time is set to be longer than the design time required for the arithmetic unit 3 to detect the abnormality of the arithmetic unit 1.

演算部３は、上記Ｓ５１７にて、リセット要求信号Ｒ１２のＯＮが一定時間以上継続していないと判定した場合には、Ｓ５２０に進み、リセット要求信号Ｒ３２をＯＦＦする。また、演算部３は、上記Ｓ５１７にて、リセット要求信号Ｒ１２のＯＮが一定時間以上継続したと判定した場合には、正常な演算部１がリセット要求信号Ｒ１２をＯＮしたと判断して、Ｓ５３０に進む。そして、演算部３は、Ｓ５３０にて、リセット要求信号Ｒ３２をＯＮし、その後、当該信号出力処理を終了する。 When the calculation unit 3 determines in S517 that the reset request signal R12 has not been turned on for a certain period of time or longer, the calculation unit 3 proceeds to S520 and turns off the reset request signal R32. Further, when the calculation unit 3 determines in S517 that the reset request signal R12 has been turned on for a certain period of time or longer, the calculation unit 3 determines that the normal calculation unit 1 has turned on the reset request signal R12, and determines that the reset request signal R12 has been turned on in S530. Proceed to. Then, the arithmetic unit 3 turns on the reset request signal R32 in S530, and then ends the signal output process.

このように、演算部３は、演算部１の異常を検出していない場合に限り、演算部１からのリセット要求信号Ｒ１２が入力されたことを条件にして、リセット要求信号Ｒ３２を論理積回路５に出力するようになっている。 As described above, the arithmetic unit 3 is ANDed with the reset request signal R32 on condition that the reset request signal R12 is input from the arithmetic unit 1 only when the abnormality of the arithmetic unit 1 is not detected. It is designed to output to 5.

［８－２．効果］
第８実施形態では、演算部１により演算部２の異常が検出された場合に、演算部２がリセットされるようにしている。このため、演算部２が異常になった場合に、演算部２の異常出力がリセットによって阻止されると共に、演算部１が前述のフェールセーフ処置を行うこととなる。 [8-2. effect]
In the eighth embodiment, when the calculation unit 1 detects an abnormality in the calculation unit 2, the calculation unit 2 is reset. Therefore, when the arithmetic unit 2 becomes abnormal, the abnormal output of the arithmetic unit 2 is blocked by the reset, and the arithmetic unit 1 performs the above-mentioned fail-safe measure.

そして、演算部２のリセットに関して、演算部１は、演算部１のリセットに関する第６実施形態の演算部２と同様の役割を果たす。
また、演算部２のリセットに関して、演算部３は、演算部１のリセットに関する第６実施形態の演算部３と同様の役割を果たす。 Then, regarding the reset of the calculation unit 2, the calculation unit 1 plays the same role as the calculation unit 2 of the sixth embodiment regarding the reset of the calculation unit 1.
Further, regarding the reset of the calculation unit 2, the calculation unit 3 plays the same role as the calculation unit 3 of the sixth embodiment regarding the reset of the calculation unit 1.

更に、演算部２のリセットに関して、論理積回路５は、演算部１のリセットに関する論理積回路４と同様の役割を果たす。
このため、演算部２のリセットに関しても、第６実施形態について述べた効果と同様の効果を奏する。つまり、演算部１が異常になってリセット要求信号Ｒ１２が出力されても、演算部３はリセット要求信号Ｒ３２を出力せず、演算部２の誤リセットが回避される。また、図２１のＳ５１７の判定が行われることで、誤リセット回避の確実性が高まる。また、通知信号Ｘ，Ｙが不要なため、シンプルな構成にすることができる。 Further, regarding the reset of the arithmetic unit 2, the AND circuit 5 plays the same role as the logical product circuit 4 regarding the reset of the arithmetic unit 1.
Therefore, the reset of the calculation unit 2 has the same effect as that described in the sixth embodiment. That is, even if the calculation unit 1 becomes abnormal and the reset request signal R12 is output, the calculation unit 3 does not output the reset request signal R32, and the erroneous reset of the calculation unit 2 is avoided. Further, by making the determination of S517 in FIG. 21, the certainty of avoiding an erroneous reset is increased. Further, since the notification signals X and Y are not required, the configuration can be simple.

尚、論理積回路４は、第１論理積部に相当し、論理積回路５は、第２論理積部に相当する。
［９．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。 The logical product circuit 4 corresponds to the first logical product unit, and the logical product circuit 5 corresponds to the second logical product unit.
[9. Other embodiments]
Although the embodiments of the present disclosure have been described above, the present disclosure is not limited to the above-described embodiments, and can be variously modified and implemented.

例えば、演算部１～３の各機能を実現する手法はソフトウェアに限らず、その一部又は全部の機能は、一つあるいは複数のハードウェアを用いて実現されても良い。例えば、上記機能がハードウェアである電子回路によって実現される場合、その電子回路は、デジタル回路、又はアナログ回路、あるいはこれらの組合せによって実現されても良い。 For example, the method for realizing each function of the arithmetic units 1 to 3 is not limited to software, and some or all of the functions may be realized by using one or a plurality of hardware. For example, when the above function is realized by an electronic circuit which is hardware, the electronic circuit may be realized by a digital circuit, an analog circuit, or a combination thereof.

また、上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしても良い。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしても良い。また、上記実施形態の構成の一部を省略しても良い。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換しても良い。尚、特許請求の範囲に記載した文言から特定される技術思想に含まれるあらゆる態様が本開示の実施形態である。 Further, a plurality of functions possessed by one component in the above embodiment may be realized by a plurality of components, or one function possessed by one component may be realized by a plurality of components. Further, a plurality of functions possessed by the plurality of components may be realized by one component, or one function realized by the plurality of components may be realized by one component. Further, a part of the configuration of the above embodiment may be omitted. Further, at least a part of the configuration of the above embodiment may be added or replaced with the configuration of the other above embodiment. It should be noted that all aspects included in the technical idea specified from the wording described in the claims are embodiments of the present disclosure.

また、上述した車載制御装置１１の他、当該車載制御装置１１を構成要素とするシステム、当該車載制御装置１１における演算部１～３の各々としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、リセット方法など、種々の形態で本開示を実現することもできる。 Further, in addition to the above-mentioned in-vehicle control device 11, a system having the in-vehicle control device 11 as a component, a program for operating a computer as each of the calculation units 1 to 3 in the in-vehicle control device 11, and this program are recorded. The present disclosure can also be realized in various forms such as a non-transitional actual recording medium such as a semiconductor memory and a reset method.

１～３…演算部、４，５…論理積回路、１１…車載制御装置 1 to 3 ... Arithmetic unit, 4, 5 ... AND circuit, 11 ... In-vehicle control device

Claims (12)

車両における制御対象の制御を実施するように構成された第１演算部（１）と、
第１演算部の制御動作を監視するように構成された第２演算部（２）と、
第３演算部（３）と、
前記第２演算部から前記第１演算部に対するリセット要求信号（Ｒ２１）が出力され、且つ、前記第３演算部から前記第１演算部に対するリセット要求信号（Ｒ３１）が出力された場合に、前記第１演算部をリセットするように構成された論理積部（４）と、を備え、
前記第２演算部は、前記第１演算部の異常を検出した場合に、前記第１演算部に対するリセット要求信号を前記論理積部に出力すると共に、当該第２演算部が前記第１演算部に対するリセット要求信号を出力したことを示す通知信号（Ｘ）を前記第３演算部に出力するように構成され、
前記第３演算部は、前記第２演算部からの前記通知信号が入力された場合に、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成されている、
車載制御装置。 The first arithmetic unit (1) configured to control the controlled object in the vehicle, and
The second arithmetic unit (2) configured to monitor the control operation of the first arithmetic unit, and
The third arithmetic unit (3) and
When the reset request signal (R21) for the first calculation unit is output from the second calculation unit, and the reset request signal (R31) for the first calculation unit is output from the third calculation unit, the said. A logical product unit (4) configured to reset the first arithmetic unit is provided.
When the second calculation unit detects an abnormality in the first calculation unit, the second calculation unit outputs a reset request signal to the first calculation unit to the logical product unit, and the second calculation unit causes the first calculation unit to perform the first calculation unit. A notification signal (X) indicating that a reset request signal has been output is output to the third calculation unit.
The third calculation unit is configured to output a reset request signal to the first calculation unit to the AND unit when the notification signal from the second calculation unit is input.
In-vehicle control device. 請求項１に記載の車載制御装置であって、
前記第３演算部は、前記第２演算部の動作を監視するように構成されると共に、前記第２演算部の異常を検出していない場合に限り、前記第２演算部からの前記通知信号が入力されたことを条件にして、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成されている、
車載制御装置。 The in-vehicle control device according to claim 1.
The third calculation unit is configured to monitor the operation of the second calculation unit, and the notification signal from the second calculation unit is limited to the case where an abnormality in the second calculation unit is not detected. Is configured to output a reset request signal to the first arithmetic unit to the AND unit on condition that is input.
In-vehicle control device. 請求項２に記載の車載制御装置であって、
前記第３演算部は、前記第２演算部の異常を検出しておらず、且つ、前記第２演算部からの前記通知信号が入力され続けた時間が、前記第２演算部の異常を検出するのに要する時間よりも長い一定時間以上になったと判定した場合に、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成されている、
車載制御装置。 The in-vehicle control device according to claim 2.
The third calculation unit does not detect an abnormality in the second calculation unit, and the time during which the notification signal from the second calculation unit continues to be input detects an abnormality in the second calculation unit. It is configured to output a reset request signal to the first arithmetic unit to the AND unit when it is determined that the time required for the operation is longer than a certain time.
In-vehicle control device. 請求項１～請求項３の何れか１項に記載の車載制御装置であって、
前記第１演算部は、前記第２演算部の動作を監視するように構成されると共に、前記第２演算部の異常を検出した場合には、前記車両を安全な状態にするための制御を実施するモードに切り替わるように構成されている、
車載制御装置。 The vehicle-mounted control device according to any one of claims 1 to 3.
The first calculation unit is configured to monitor the operation of the second calculation unit, and when an abnormality in the second calculation unit is detected, control for putting the vehicle in a safe state is performed. It is configured to switch to the mode to be executed,
In-vehicle control device. 請求項４に記載の車載制御装置であって、
前記論理積部は、第１論理積部（４）であり、
前記通知信号は、第１通知信号（Ｘ）であり、
前記第１演算部から前記第２演算部に対するリセット要求信号（Ｒ１２）が出力され、且つ、前記第３演算部から前記第２演算部に対するリセット要求信号（Ｒ３２）が出力された場合に、前記第２演算部をリセットするように構成された第２論理積部（５）、を更に備え、
前記第１演算部は、前記第２演算部の異常を検出した場合に、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力すると共に、当該第１演算部が前記第２演算部に対するリセット要求信号を出力したことを示す第２通知信号（Ｙ）を前記第３演算部に出力するように構成され、
前記第３演算部は、前記第１演算部からの前記第２通知信号が入力された場合に、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成されている、
車載制御装置。 The in-vehicle control device according to claim 4.
The logical product unit is the first logical product unit (4).
The notification signal is the first notification signal (X), and is
The reset request signal (R12) for the second calculation unit is output from the first calculation unit, and the reset request signal (R32) for the second calculation unit is output from the third calculation unit. Further, a second logical product unit (5) configured to reset the second arithmetic unit is provided.
When the first calculation unit detects an abnormality in the second calculation unit, the first calculation unit outputs a reset request signal to the second calculation unit to the second logical product unit, and the first calculation unit performs the second calculation unit. The second notification signal (Y) indicating that the reset request signal for the arithmetic unit has been output is configured to be output to the third arithmetic unit.
The third arithmetic unit is configured to output a reset request signal to the second arithmetic unit to the second logical product unit when the second notification signal from the first arithmetic unit is input. Yes,
In-vehicle control device. 請求項５に記載の車載制御装置であって、
前記第３演算部は、前記第１演算部の前記第２演算部に対する監視動作を監視するように構成されると共に、前記第１演算部の異常を検出していない場合に限り、前記第１演算部からの前記第２通知信号が入力されたことを条件にして、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成されている、
車載制御装置。 The in-vehicle control device according to claim 5.
The third calculation unit is configured to monitor the monitoring operation of the first calculation unit with respect to the second calculation unit, and the first calculation unit is limited to the case where an abnormality in the first calculation unit is not detected. The reset request signal for the second arithmetic unit is output to the second AND unit on condition that the second notification signal from the arithmetic unit is input.
In-vehicle control device. 請求項６に記載の車載制御装置であって、
前記第３演算部は、前記第１演算部の異常を検出しておらず、且つ、前記第１演算部からの前記第２通知信号が入力され続けた時間が、前記第１演算部の異常を検出するのに要する時間よりも長い一定時間以上になったと判定した場合に、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成されている、
車載制御装置。 The vehicle-mounted control device according to claim 6.
The third calculation unit does not detect an abnormality in the first calculation unit, and the time during which the second notification signal from the first calculation unit continues to be input is an abnormality in the first calculation unit. Is configured to output a reset request signal for the second arithmetic unit to the second AND unit when it is determined that the time required for detecting the above is longer than a certain time.
In-vehicle control device. 車両における制御対象の制御を実施するように構成された第１演算部（１）と、
第１演算部の制御動作を監視するように構成された第２演算部（２）と、
第３演算部（３）と、
前記第２演算部から前記第１演算部に対するリセット要求信号（Ｒ２１）が出力され、且つ、前記第３演算部から前記第１演算部に対するリセット要求信号（Ｒ３１）が出力された場合に、前記第１演算部をリセットするように構成された論理積部（４）と、を備え、
前記第２演算部は、前記第１演算部の異常を検出した場合に、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成され、
前記第２演算部から出力される前記リセット要求信号は、前記第３演算部にも入力されるように構成され、
前記第３演算部は、前記第２演算部の動作を監視するように構成されると共に、前記第２演算部の異常を検出していない場合に限り、前記第２演算部からの前記リセット要求信号が入力されたことを条件にして、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成されている、
車載制御装置。 The first arithmetic unit (1) configured to control the controlled object in the vehicle, and
The second arithmetic unit (2) configured to monitor the control operation of the first arithmetic unit, and
The third arithmetic unit (3) and
When the reset request signal (R21) for the first calculation unit is output from the second calculation unit, and the reset request signal (R31) for the first calculation unit is output from the third calculation unit, the said. A logical product unit (4) configured to reset the first arithmetic unit is provided.
The second calculation unit is configured to output a reset request signal to the first calculation unit to the AND unit when an abnormality in the first calculation unit is detected.
The reset request signal output from the second calculation unit is configured to be input to the third calculation unit as well.
The third calculation unit is configured to monitor the operation of the second calculation unit, and the reset request from the second calculation unit is limited to the case where an abnormality in the second calculation unit is not detected. It is configured to output a reset request signal to the first arithmetic unit to the AND unit on condition that a signal is input.
In-vehicle control device. 請求項８に記載の車載制御装置であって、
前記第３演算部は、前記第２演算部の異常を検出しておらず、且つ、前記第２演算部からの前記リセット要求信号が入力され続けた時間が、前記第２演算部の異常を検出するのに要する時間よりも長い一定時間以上になったと判定した場合に、前記第１演算部に対するリセット要求信号を前記論理積部に出力するように構成されている、
車載制御装置。 The vehicle-mounted control device according to claim 8.
The third calculation unit does not detect the abnormality of the second calculation unit, and the time during which the reset request signal from the second calculation unit continues to be input causes the abnormality of the second calculation unit. It is configured to output a reset request signal to the first arithmetic unit to the AND unit when it is determined that the time required for detection is longer than a certain time.
In-vehicle control device. 請求項８又は請求項９に記載の車載制御装置であって、
前記第１演算部は、前記第２演算部の動作を監視するように構成されると共に、前記第２演算部の異常を検出した場合には、前記車両を安全な状態にするための制御を実施するモードに切り替わるように構成されている、
車載制御装置。 The vehicle-mounted control device according to claim 8 or 9.
The first calculation unit is configured to monitor the operation of the second calculation unit, and when an abnormality in the second calculation unit is detected, control for putting the vehicle in a safe state is performed. It is configured to switch to the mode to be executed,
In-vehicle control device. 請求項１０に記載の車載制御装置であって、
前記論理積部は、第１論理積部（４）であり、
前記第１演算部から前記第２演算部に対するリセット要求信号（Ｒ１２）が出力され、且つ、前記第３演算部から前記第２演算部に対するリセット要求信号（Ｒ３２）が出力された場合に、前記第２演算部をリセットするように構成された第２論理積部（５）、を更に備え、
前記第１演算部は、前記第２演算部の異常を検出した場合に、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成され、
前記第１演算部から出力される前記リセット要求信号は、前記第３演算部にも入力されるように構成され、
前記第３演算部は、前記第１演算部の前記第２演算部に対する監視動作を監視するように構成されると共に、前記第１演算部の異常を検出していない場合に限り、前記第１演算部からの前記リセット要求信号が入力されたことを条件にして、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成されている、
車載制御装置。 The vehicle-mounted control device according to claim 10.
The logical product unit is the first logical product unit (4) .
When the reset request signal (R12) for the second calculation unit is output from the first calculation unit, and the reset request signal (R32) for the second calculation unit is output from the third calculation unit. Further, a second logical product unit (5) configured to reset the second arithmetic unit is provided.
The first arithmetic unit is configured to output a reset request signal to the second arithmetic unit to the second logical product unit when an abnormality in the second arithmetic unit is detected.
The reset request signal output from the first calculation unit is configured to be input to the third calculation unit as well.
The third calculation unit is configured to monitor the monitoring operation of the first calculation unit with respect to the second calculation unit, and the first calculation unit is limited to the case where an abnormality in the first calculation unit is not detected. It is configured to output the reset request signal for the second arithmetic unit to the second logical product unit on condition that the reset request signal from the arithmetic unit is input.
In-vehicle control device. 請求項１１に記載の車載制御装置であって、
前記第３演算部は、前記第１演算部の異常を検出しておらず、且つ、前記第１演算部からの前記リセット要求信号が入力され続けた時間が、前記第１演算部の異常を検出するのに要する時間よりも長い一定時間以上になったと判定した場合に、前記第２演算部に対するリセット要求信号を前記第２論理積部に出力するように構成されている、
車載制御装置。 The vehicle-mounted control device according to claim 11.
The third calculation unit does not detect the abnormality of the first calculation unit, and the time during which the reset request signal from the first calculation unit continues to be input causes the abnormality of the first calculation unit. It is configured to output a reset request signal for the second arithmetic unit to the second AND unit when it is determined that the time required for detection is longer than a certain time.
In-vehicle control device.
JP2018142391A 2018-07-30 2018-07-30 In-vehicle control device Active JP7070206B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2018142391A JP7070206B2 (en) 2018-07-30 2018-07-30 In-vehicle control device
DE102019210993.4A DE102019210993A1 (en) 2018-07-30 2019-07-24 Vehicle control unit

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018142391A JP7070206B2 (en) 2018-07-30 2018-07-30 In-vehicle control device

Publications (2)

Publication Number Publication Date
JP2020021131A JP2020021131A (en) 2020-02-06
JP7070206B2 true JP7070206B2 (en) 2022-05-18

Family

ID=69149080

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018142391A Active JP7070206B2 (en) 2018-07-30 2018-07-30 In-vehicle control device

Country Status (2)

Country Link
JP (1) JP7070206B2 (en)
DE (1) DE102019210993A1 (en)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002351751A (en) 2001-05-29 2002-12-06 Matsushita Electric Ind Co Ltd Port control method
JP2012006535A (en) 2010-06-28 2012-01-12 Autonetworks Technologies Ltd In-vehicle electronic control device
JP2018116473A (en) 2017-01-18 2018-07-26 トヨタ自動車株式会社 Monitoring system

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002351751A (en) 2001-05-29 2002-12-06 Matsushita Electric Ind Co Ltd Port control method
JP2012006535A (en) 2010-06-28 2012-01-12 Autonetworks Technologies Ltd In-vehicle electronic control device
JP2018116473A (en) 2017-01-18 2018-07-26 トヨタ自動車株式会社 Monitoring system

Also Published As

Publication number Publication date
JP2020021131A (en) 2020-02-06
DE102019210993A1 (en) 2020-01-30

Similar Documents

Publication Publication Date Title
CN112004730B (en) vehicle control device
US20130246866A1 (en) System and method for verifying the integrity of a safety-critical vehicle control system
WO2017022476A1 (en) Vehicle control device
US11281547B2 (en) Redundant processor architecture
JP2007118701A (en) Abnormality detection processor and abnormality detecting and processing method
JPH11250029A (en) Monitoring method and device for computer device consisting of at least two processors
WO2015083251A1 (en) Monitoring device, control system, and monitoring program
WO2015045507A1 (en) Vehicular control device
KR100711850B1 (en) Electronic control system and method having microcomputer monitoring prohibiting function
JP2013143093A (en) Information processing apparatus and information processing system
JP7070206B2 (en) In-vehicle control device
JP2006259935A (en) Computation device with computation abnormality determination function
US20170199834A1 (en) Vehicle subsystem communication arbitration
JP4820679B2 (en) Electronic control device for vehicle
JP2003294129A (en) Electronic control device for vehicle
JPH06324721A (en) Method for detecting falling-off of connection unit
US20160011932A1 (en) Method for Monitoring Software in a Road Vehicle
JP6349444B2 (en) Vehicle control device
WO2013073009A1 (en) Microcomputer system and monitoring microcomputer
JP2014238661A (en) Controller
US20230398955A1 (en) In-vehicle use control system
JPH06305376A (en) Control device for vehicle
CN113459820B (en) Method for controlling vehicle start, system thereof, vehicle and medium
JP6090094B2 (en) Information processing device
JP2018097442A (en) Electronic controller

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210318

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20220114

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20220208

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220224

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220405

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220418

R151 Written notification of patent or utility model registration

Ref document number: 7070206

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151