JP7304731B2 - ウォッチドッグタイマ - Google Patents

Description

本明細書中に開示されている発明は、監視装置（特にこれに用いられるウォッチドッグタイマ）に関する。

近年、各種の電圧やクロック信号などを監視してそれらの異常検出を行う監視装置（いわゆる監視ＩＣ）が様々なアプリケーションで用いられている。

なお、上記に関連する従来技術の一例としては、特許文献１を挙げることができる。

国際公開第２０１３／０８４２７７号

しかしながら、上記従来の監視装置では、ウォッチドッグタイマの周波数異常検出動作について、さらなる改善の余地があった。

特に、近年では、車載用ＩＣに対して、ＩＳＯ２６２６２（自動車の電気／電子に関する機能安全についての国際規格）を順守することが求められており、車載用の監視ＩＣについても、フェイルセーフを念頭に置いた信頼性設計が重要となっている。

本明細書中に開示されている発明は、本願の発明者により見出された上記課題に鑑み、適切に周波数異常を検出することのできるウォッチドッグタイマ、及び、これを用いた監視装置を提供することを目的とする。

本明細書中に開示されているウォッチドッグタイマは、トリガ型の第１周波数異常検出部と、通信断絶検知型の第２周波数異常検出部と、Ｑ＆Ａ型の第３周波数異常検出部と、を有し、各周波数異常検出部が選択的に用いられる構成（第１の構成）とされている。

なお、上記第１の構成から成るウォッチドッグタイマは、システムの状態に応じて各周波数異常検出部が切り替えられる構成（第２の構成）にするとよい。

例えば、上記第２の構成から成るウォッチドッグタイマは、前記システムが第１状態であるときには前記第１周波数異常検出部が優先され、前記システムが前記第１状態よりも軽負荷の第２状態であるときには前記第２周波数異常検出部が優先され、前記システムが前記第２状態よりもさらに軽負荷の第３状態であるときには前記第３周波数異常検出部が優先される構成（第３の構成）にするとよい。

また、上記第１の構成から成るウォッチドッグタイマは、ユーザ設定に応じて各周波数異常検出部が切り替えられる構成（第４の構成）としてもよい。

なお、上記第１～第４いずれかの構成から成るウォッチドッグタイマにおいて、前記第１周波数異常検出部は、例えば、周期的なパルスエッジを監視して周波数異常を検出する構成（第５の構成）にするとよい。

また、上記第１～第５いずれかの構成から成るウォッチドッグタイマにおいて、前記第２周波数異常検出部は、例えば、周期的な通信アクセスを監視して周波数異常を検出する構成（第６の構成）にするとよい。

また、上記第１～第６いずれかの構成から成るウォッチドッグタイマにおいて、前記第３周波数異常検出部は、例えば、周期的なＱ＆Ａイベントを監視して周波数異常を検出する構成（第７の構成）にするとよい。

また、本明細書中に開示されている監視装置は、上記第１～第７いずれかの構成から成るウォッチドッグタイマを有する構成（第８の構成）とされている。

また、本明細書中に開示されている電子機器は、上記第８の構成から成る監視装置を有する構成（第９の構成）とされている。

また、本明細書中に開示されている車両は、上記第９の構成から成る電子機器を有する構成（第１０の構成）とされている。

本明細書中に開示されている発明によれば、適切に周波数異常を検出することのできるウォッチドッグタイマ、及び、これを用いた監視装置を提供することが可能となる。

電子機器の全体構成を示す図 監視ＩＣのパッケージ外観を示す図 監視ＩＣのピン配置を示す図 監視ＩＣの第１実施形態を示す図 監視ＩＣの第２実施形態（ウォッチドッグタイマの詳細）を示す図 周波数異常検出動作の動的切替制御の一例を示すタイミングチャート トリガ型ＷＤＴ動作の一例を示すタイミングチャート 通信断絶検知型ＷＤＴ動作の一例を示すタイミングチャート Ｑ＆Ａ型ＷＤＴ動作の一例を示すタイミングチャート Ｑ＆Ａ型ＷＤＴ動作の一例を示すフローチャート 第３周波数異常検出部の一構成例を示す図 クエスチョン信号生成部の一構成例を示す図 アンサー信号生成部の一構成例を示す図 車両の外観図

＜電子機器＞
図１は、電子機器の全体構成を示す図である。本構成例の電子機器１は、監視ＩＣ１００と、パワーマネジメントＩＣ２００と、マイコン３００と、を有する。また、電子機器１は、上記の半導体装置１００～３００に外付けされるディスクリート部品として、抵抗Ｒ１～Ｒ１０及びＲ１２～Ｒ１６と、キャパシタＣ１及びＣ２と、を有する。

監視ＩＣ１００は、パワーマネジメントＩＣ２００から電源電圧ＶＤＤ（＝出力電圧ＶＯ１）の供給を受けて動作する半導体集積回路装置であり、パワーマネジメントＩＣ２００の各種出力電圧とマイコン３００の出力周波数をそれぞれ監視してそれらの異常検出を行う。なお、監視ＩＣ１００は、ＩＣ外部との電気的な接続を確立する手段として、複数の外部端子（ＶＤＤピン、ＧＮＤピン、ＣＴピン、ＭＩＳＯピン、ＭＯＳＩピン、ＳＣＬＫピン、ＸＳＣＳピン、ＷＤＩＮピン、ＤＩＮ１～ＤＩＮ４ピン、ＰＧ１～ＰＧ４ピン、ＸＲＳＴＩＮピン、及び、ＸＲＳＴＯＵＴピン）を備えている。

パワーマネジメントＩＣ２００は、バッテリ電圧ＶＢＡＴの供給を受けて動作する半導体集積回路装置であり、複数の出力電圧ＶＯ１～ＶＯ５を生成して電子機器１の各部に供給する。なお、多出力のパワーマネジメントＩＣ２００に代えて、単出力のＤＣ／ＤＣコンバータやＬＤＯ［low drop-out］レギュレータなどを複数用いることも可能である。

マイコン３００は、パワーマネジメントＩＣ２００から電源電圧ＶＤＤ（＝出力電圧ＶＯ１）の供給を受けて動作する半導体集積回路装置であり、監視ＩＣ１００やパワーマネジメントＩＣ２００を含む電子機器１全体の動作を統括的に制御する。

なお、マイコン３００は、監視ＩＣ１００から入力されるリセット出力信号ＸＲＳＴＯＵＴによってリセットされる。より具体的に述べると、マイコン３００は、リセット出力信号ＸＲＳＴＯＵＴがローレベルであるときにリセット状態（＝ディセーブル状態）となり、リセット出力信号ＸＲＳＴＯＵＴがハイレベルであるときにリセット解除状態（＝イネーブル状態）となる。

また、マイコン３００は、監視ＩＣ１００から入力されるパワーグッド信号ＰＧｘ（ただしｘ＝１，２，３，４であり、以下も同様）の論理レベルに応じて、パワーマネジメントＩＣ２００の出力電圧ＶＯｘが正常であるか否かを判定する機能を備えている。より具体的に述べると、マイコン３００は、パワーグッド信号ＰＧｘがハイレベルであるときに出力電圧ＶＯｘが正常であると判定し、パワーグッド信号ＰＧｘがローレベルであるときに出力電圧ＶＯｘが異常（例えば過電圧異常または低電圧異常）であると判定する。

また、マイコン３００は、監視ＩＣ１００のＷＤＩＮピンに対して、ウォッチドッグ入力信号ＷＤＩＮ（＝数十Ｈｚのリセットパルス信号）を出力する機能を備えている。

また、監視ＩＣ１００とマイコン３００は、それぞれ、マイコン３００をマスタとし、監視ＩＣ１００をスレーブとして、ＳＰＩ［serial peripheral interface］バスを介した双方向通信を行う機能を備えている。例えば、マイコン３００は、ＳＰＩ通信による監視ＩＣ１００のレジスタ制御により、オシレータの発振周波数制御やウォッチドッグタイマのイネーブル制御を行う機能を備えている。また、マイコン３００は、ウォッチドッグイネーブルレジスタについて、自らが書き込みを命じた設定値と監視ＩＣ１００から読み出した格納値との一致判定を行う機能も備えている。

抵抗Ｒ１及びＲ２は、出力電圧ＶＯ１の出力端と接地端との間に直列接続されており、出力電圧ＶＯ１の分圧回路として機能する。なお、抵抗Ｒ１及びＲ２相互間の接続ノード（＝分圧回路の出力端）は、監視ＩＣ１００のＸＲＳＴＩＮピンに接続されている。

抵抗Ｒ３及びＲ４は、出力電圧ＶＯ２の出力端と接地端との間に直列接続されており、出力電圧ＶＯ２の分圧回路として機能する。なお、抵抗Ｒ３及びＲ４相互間の接続ノード（＝分圧回路の出力端）は、監視ＩＣ１００のＤＩＮ１ピンに接続されている。

抵抗Ｒ５及びＲ６は、出力電圧ＶＯ３の出力端と接地端との間に直列接続されており、出力電圧ＶＯ３の分圧回路として機能する。なお、抵抗Ｒ５及びＲ６相互間の接続ノード（＝分圧回路の出力端）は、監視ＩＣ１００のＤＩＮ２ピンに接続されている。

抵抗Ｒ７及びＲ８は、出力電圧ＶＯ４の出力端と接地端との間に直列接続されており、出力電圧ＶＯ４の分圧回路として機能する。なお、抵抗Ｒ７及びＲ８相互間の接続ノード（＝分圧回路の出力端）は、監視ＩＣ１００のＤＩＮ３ピンに接続されている。

抵抗Ｒ９及びＲ１０は、出力電圧ＶＯ５の出力端と接地端の間に直列接続されており、出力電圧ＶＯ５の分圧回路として機能する。なお、抵抗Ｒ９及びＲ１０相互間の接続ノード（＝分圧回路の出力端）は、監視ＩＣ１００のＤＩＮ４ピンに接続されている。

抵抗Ｒ１２は、監視ＩＣ１００のＸＲＳＴＯＵＴピンと電源端の間に接続されており、監視ＩＣ１００からマイコン３００へのリセット出力信号ＸＲＳＴＯＵＴを電源電圧ＶＤＤに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ１３は、監視ＩＣ１００のＰＧ１ピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００へのパワーグッド信号ＰＧ１を電源電圧ＶＤＤに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ１４は、監視ＩＣ１００のＰＧ２ピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００へのパワーグッド信号ＰＧ２を電源電圧ＶＤＤに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ１５は、監視ＩＣ１００のＰＧ３ピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００へのパワーグッド信号ＰＧ３を電源電圧ＶＤＤに吊り上げるためのプルアップ抵抗として機能する。

抵抗Ｒ１６は、監視ＩＣ１００のＰＧ４ピンと電源端との間に接続されており、監視ＩＣ１００からマイコン３００へのパワーグッド信号ＰＧ４を電源電圧ＶＤＤに吊り上げるためのプルアップ抵抗として機能する。

キャパシタＣ１は、監視ＩＣ１００のＶＤＤピンと接地端との間に接続されており、出力電圧ＶＯ１（＝電源電圧ＶＤＤ）の平滑手段として機能する。

キャパシタＣ２は、監視ＩＣ１００のＣＴピンと接地端との間に接続されており、リセット時間設定素子として機能する。

＜監視ＩＣ（パッケージ）＞
図２は、監視ＩＣ１００のパッケージ外観（トップ面及びボトム面）を示す図である。本図で示すように、監視ＩＣ１００のパッケージとしては、例えばＶＱＦＮ［very thin quad flat Non-leaded］パッケージを採用するとよい。

より具体的に述べると、監視ＩＣ１００は、平面視矩形状の樹脂封止体１０１を持ち、そのボトム面には、樹脂封止体１０１から突出することなく、各辺５本ずつ計２０本の外部端子１０２が露出されている。このようなノンリードのＶＱＦＮパッケージであれば、リードを持つパッケージ（ＱＦＰ［quad flat package］など）と比べて、その実装面積を縮小することが可能となる。

なお、樹脂封止体１０１には、そのボトム面がトップ面よりも若干小さくなるように、側面からボトム面に向けたテーパが付けられている。また、外部端子１０２は、樹脂封止体１０１のボトム面から側面にかけて露出されている。このような構成であれば、プリント配線基板（不図示）への実装作業を容易かつ確実に実施することができる。

また、樹脂封止体１０１のボトム面には、監視ＩＣ１００の半導体チップ（不図示）を搭載するアイランドの裏面（＝チップ搭載面の裏側）が放熱パッド１０３として露出されている。このような構成であれば、監視ＩＣ１００の放熱性を高めることが可能となる。

なお、放熱パッド１０３の四隅のうち、少なくとも一つには、切欠部１０３ａを設けておくとよい。このような構成とすることにより、樹脂封止体１０１との密着性を高めて、放熱パッド１０３（＝アイランド）の脱落を防止することが可能となる。

＜監視ＩＣ（ピン配置）＞
図３は、監視ＩＣ１００のピン配置（２０ピンのＶＱＦＮ採用時）を示す図である。監視ＩＣ１００の第１辺（本図下辺）には、本図の左から右に向けて、５本の外部端子（１ピン～５ピン）が順に並べられている。１ピンは、電源端子（ＶＤＤピン）である。２ピンは、不使用端子（ＮＣ［non-connection］ピン）である。３ピンは、接地端子（ＧＮＤピン）である。４ピンは、不使用端子（ＮＣピン）である。５ピンは、リセット時間設定端子（ＣＴピン）である。

監視ＩＣ１００の第２辺（本図右辺）には、本図の下から上に向けて、５本の外部端子（６ピン～１０ピン）が順に並べられている。６ピンは、ＳＰＩデータ出力端子（ＭＩＭＯピン）である。７ピンは、ＳＰＩデータ入力端子（ＭＯＳＩピン）である。８ピンは、ＳＰＩクロック端子（ＳＣＬＫピン）である。９ピンは、ＳＰＩチップセレクト端子（ＸＳＣＳピン）である。１０ピンは、ウォッチドッグ入力端子（ＷＤＩＮピン）である。

監視ＩＣ１００の第３辺（本図上辺）には、本図の右から左に向けて、５本の外部端子（１１ピン～１５ピン）が順に並べられている。１１ピンは、第１監視入力ピン（ＤＩＮ１ピン）である。１２ピンは、第１パワーグッド出力端子（ＰＧ１ピン）である。１３ピンは、第２監視入力ピン（ＤＩＮ２ピン）である。１４ピンは、第２パワーグッド出力端子（ＰＧ２ピン）である。１５ピンは、第３監視入力ピン（ＤＩＮ３ピン）である。

監視ＩＣ１００の第４辺（本図左辺）には、本図の上から下に向けて、５本の外部端子（１６ピン～２０ピン）が順に並べられている。１６ピンは、第３パワーグッド出力端子（ＰＧ３ピン）である。１７ピンは、第４監視入力ピン（ＤＩＮ４ピン）である。１８ピンは、第４パワーグッド出力端子（ＰＧ４ピン）である。１９ピンは、リセット用監視入力ピン（ＸＲＳＴＩＮピン）である。２０ピンは、リセット出力端子（ＸＲＳＴＯＵＴピン）である。

＜監視ＩＣ（第１実施形態）＞
図４は、監視ＩＣ１００の第１実施形態（基本構成）を示す図である。本実施形態の監視ＩＣ１００は、基準電圧生成部１１１と、サブ基準電圧生成部１１２と、基準電圧検出部１２０と、ＵＶＬＯ［under voltage locked-out］部１３０と、閾値電圧生成部１４０～１４９と、コンパレータ１５０～１５９と、オシレータ１６１及び１６２と、デジタル処理部１７０と、Ｎチャネル型ＭＯＳ［metal oxide semiconductor］電界効果トランジスタ１８０～１８４と、ＳＰＩインタフェイス１９０と、を集積化して成る。

基準電圧生成部１１１は、ＶＤＤピンに入力される電源電圧ＶＤＤから所定の基準電圧ＶＲＥＦを生成する。

サブ基準電圧生成部１１２は、電源電圧ＶＤＤから所定のサブ基準電圧ＶＲＥＦ２を生成する。

基準電圧検出部１２０は、電源電圧ＶＤＤの供給を受けて動作し、基準電圧ＶＲＥＦ及びサブ基準電圧ＶＲＥＦ２が正常に立ち上がっているか否かを検出して基準電圧検出信号ＶＲＥＦ＿ＤＥＴを生成する。なお、基準電圧検出信号ＶＲＥＦ＿ＤＥＴは、基準電圧ＶＲＥＦとサブ基準電圧ＶＲＥＦ２の双方が正常に立ち上がっているときにローレベルとなり、少なくとも一方が正常に立ち上がっていないときにハイレベルとなる。また、基準電圧検出部１２０には、ＢＩＳＴ［built-in self test］イネーブル信号ＢＩＳＴ＿ＥＮが入力されている。すなわち、基準電圧検出部１２０は、監視ＩＣ１００の起動時に自己診断対象となる監視部（ないしはこれに含まれている複数の監視機構の一つ）に相当する。

ＵＶＬＯ部１３０は、電源電圧ＶＤＤの低電圧異常を検出して低電圧異常信号ＵＶＬＯを出力する。低電圧異常信号ＵＶＬＯは、電源電圧ＶＤＤが低電圧異常解除値ＵＶＬＯ＿ＯＦＦよりも高くなったときにハイレベルとなり、電源電圧ＶＤＤが低電圧異常検出値ＵＶＬＯ＿ＯＮよりも低くなったときにローレベルとなる。

閾値電圧生成部１４０及び１４１は、それぞれ、基準電圧ＶＲＥＦを分圧して上側閾値電圧Ｖｔｈ０Ｈ（例えば０．８８Ｖ）及び下側閾値電圧Ｖｔｈ０Ｌ（例えば０．７２Ｖ）を生成する。

閾値電圧生成部１４２及び１４３は、それぞれ、基準電圧ＶＲＥＦを分圧して上側閾値電圧Ｖｔｈ１Ｈ（例えば０．８８Ｖ）及び下側閾値電圧Ｖｔｈ１Ｌ（例えば０．７２Ｖ）を生成する。

閾値電圧生成部１４４及び１４５は、それぞれ、基準電圧ＶＲＥＦを分圧して上側閾値電圧Ｖｔｈ２Ｈ（例えば０．８８Ｖ）及び下側閾値電圧Ｖｔｈ２Ｌ（例えば０．７２Ｖ）を生成する。

閾値電圧生成部１４６及び１４７は、それぞれ、基準電圧ＶＲＥＦを分圧して上側閾値電圧Ｖｔｈ３Ｈ（例えば０．８８Ｖ）及び下側閾値電圧Ｖｔｈ３Ｌ（例えば０．７２Ｖ）を生成する。

閾値電圧生成部１４８及び１４９は、それぞれ、基準電圧ＶＲＥＦを分圧して上側閾値電圧Ｖｔｈ４Ｈ（例えば０．８８Ｖ）及び下側閾値電圧Ｖｔｈ４Ｌ（例えば０．７２Ｖ）を生成する。

コンパレータ１５０は、電源電圧ＶＤＤの供給を受けて動作し、ＸＲＳＴＩＮピンから非反転入力端（＋）に入力されている入力電圧Ｖ０と、閾値電圧生成部１４０から反転入力端（－）に入力されている上側閾値電圧Ｖｔｈ０Ｈとを比較することにより、比較信号ＲＳＴＯＶＤを生成する。比較信号ＲＳＴＯＶＤは、Ｖ０＞Ｖｔｈ０Ｈであるときにハイレベルとなり、Ｖ０＜Ｖｔｈ０Ｈであるときにローレベルとなる。

コンパレータ１５１は、電源電圧ＶＤＤの供給を受けて動作し、ＸＲＳＴＩＮピンから反転入力端（－）に入力されている入力電圧Ｖ０と、閾値電圧生成部１４１から非反転入力端（－）に入力されている下側閾値電圧Ｖｔｈ０Ｌとを比較することにより、比較信号ＲＳＴＵＶＤを生成する。比較信号ＲＳＴＵＶＤは、Ｖ０＞Ｖｔｈ０Ｌであるときにローレベルとなり、Ｖ０＜Ｖｔｈ０Ｌであるときにハイレベルとなる。

コンパレータ１５２は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ１ピンから非反転入力端（＋）に入力されている入力電圧Ｖ１と、閾値電圧生成部１４２から反転入力端（－）に入力されている上側閾値電圧Ｖｔｈ１Ｈとを比較することにより、比較信号ＤＩＮ１ＯＶＤを生成する。比較信号ＤＩＮ１ＯＶＤは、Ｖ１＞Ｖｔｈ１Ｈであるときにハイレベルとなり、Ｖ１＜Ｖｔｈ１Ｈであるときにローレベルとなる。

コンパレータ１５３は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ１ピンから反転入力端（－）に入力されている入力電圧Ｖ１と、閾値電圧生成部１４３から非反転入力端（－）に入力される下側閾値電圧Ｖｔｈ１Ｌとを比較することにより、比較信号ＤＩＮ１ＵＶＤを生成する。比較信号ＤＩＮ１ＵＶＤは、Ｖ１＞Ｖｔｈ１Ｌであるときにローレベルとなり、Ｖ１＜Ｖｔｈ１Ｌであるときにハイレベルとなる。

コンパレータ１５４は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ２ピンから非反転入力端（＋）に入力されている入力電圧Ｖ２と、閾値電圧生成部１４４から反転入力端（－）に入力されている上側閾値電圧Ｖｔｈ２Ｈとを比較することにより、比較信号ＤＩＮ２ＯＶＤを生成する。比較信号ＤＩＮ２ＯＶＤは、Ｖ２＞Ｖｔｈ２Ｈであるときにハイレベルとなり、Ｖ２＜Ｖｔｈ２Ｈであるときにローレベルとなる。

コンパレータ１５５は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ２ピンから反転入力端（－）に入力されている入力電圧Ｖ２と、閾値電圧生成部１４５から非反転入力端（－）に入力される下側閾値電圧Ｖｔｈ２Ｌとを比較することにより、比較信号ＤＩＮ２ＵＶＤを生成する。比較信号ＤＩＮ２ＵＶＤは、Ｖ２＞Ｖｔｈ２Ｌであるときにローレベルとなり、Ｖ２＜Ｖｔｈ２Ｌであるときにハイレベルとなる。

コンパレータ１５６は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ３ピンから非反転入力端（＋）に入力されている入力電圧Ｖ３と、閾値電圧生成部１４６から反転入力端（－）に入力されている上側閾値電圧Ｖｔｈ３Ｈとを比較することにより、比較信号ＤＩＮ３ＯＶＤを生成する。比較信号ＤＩＮ３ＯＶＤは、Ｖ３＞Ｖｔｈ３Ｈであるときにハイレベルとなり、Ｖ３＜Ｖｔｈ３Ｈであるときにローレベルとなる。

コンパレータ１５７は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ３ピンから反転入力端（－）に入力されている入力電圧Ｖ３と、閾値電圧生成部１４７から非反転入力端（－）に入力される下側閾値電圧Ｖｔｈ３Ｌとを比較することにより、比較信号ＤＩＮ３ＵＶＤを生成する。比較信号ＤＩＮ３ＵＶＤは、Ｖ３＞Ｖｔｈ３Ｌであるときにローレベルとなり、Ｖ３＜Ｖｔｈ３Ｌであるときにハイレベルとなる。

コンパレータ１５８は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ４ピンから非反転入力端（＋）に入力されている入力電圧Ｖ４と、閾値電圧生成部１４８から反転入力端（－）に入力されている上側閾値電圧Ｖｔｈ４Ｈとを比較することにより、比較信号ＤＩＮ４ＯＶＤを生成する。比較信号ＤＩＮ４ＯＶＤは、Ｖ４＞Ｖｔｈ４Ｈであるときにハイレベルとなり、Ｖ４＜Ｖｔｈ４Ｈであるときにローレベルとなる。

コンパレータ１５９は、電源電圧ＶＤＤの供給を受けて動作し、ＤＩＮ４ピンから反転入力端（－）に入力されている入力電圧Ｖ４と、閾値電圧生成部１４９から非反転入力端（－）に入力される下側閾値電圧Ｖｔｈ４Ｌとを比較することにより、比較信号ＤＩＮ４ＵＶＤを生成する。比較信号ＤＩＮ４ＵＶＤは、Ｖ４＞Ｖｔｈ４Ｌであるときにローレベルとなり、Ｖ４＜Ｖｔｈ４Ｌであるときにハイレベルとなる。

なお、上記のコンパレータ１５１～１５９には、それぞれ、ＢＩＳＴイネーブル信号ＢＩＳＴ＿ＥＮが入力されている。すなわち、コンパレータ１５１～１５９は、それぞれ、監視ＩＣ１００の起動時に自己診断対象となる監視部（ないしはこれに含まれている複数の監視機構の一つ）に相当する。

オシレータ１６１は、電源電圧ＶＤＤと基準電圧ＶＲＥＦの供給を受けて動作し、デジタル処理部１７０で用いられる発振周波数ｆ１（例えばｆ１＝２．２ＭＨｚ）のクロック信号ＣＬＫ１を生成する。

オシレータ１６２は、電源電圧ＶＤＤと基準電圧ＶＲＥＦの供給を受けて動作し、デジタル処理部１７０（特にウォッチドッグタイマ１７３）で用いられる発振周波数ｆ２（例えばｆ２＝５００ｋＨｚ）のクロック信号ＣＬＫ２を生成する。なお、クロック信号ＣＬＫ２の発振周波数ｆ２は、ＳＰＩ通信により任意に調整することが可能である。

また、上記のオシレータ１６１及び１６２は、それぞれ、低電圧異常信号ＵＶＬＯによりリセットされる。より具体的に述べると、オシレータ１６１及び１６２は、それぞれ、低電圧異常信号ＵＶＬＯがローレベルであるときにリセット状態（＝ディセーブル状態）となり、低電圧異常信号ＵＶＬＯがハイレベルであるときにリセット解除状態（＝イネーブル状態）となる。

デジタル処理部１７０は、電源電圧ＶＤＤの供給を受けて動作し、各種入力信号の監視処理や各種出力信号の生成処理を行う。また、デジタル処理部１７０は、低電圧異常信号ＵＶＬＯによりリセットされる。より具体的に述べると、デジタル処理部１７０は、低電圧異常信号ＵＶＬＯがローレベルであるときにリセット状態（＝ディセーブル状態）となり、低電圧異常信号ＵＶＬＯがハイレベルであるときにリセット解除状態（＝イネーブル状態）となる。なお、デジタル処理部１７０の内部構成及び動作については後述する。

トランジスタ１８０は、ＸＲＳＴＯＵＴピン（＝リセット出力信号ＸＲＳＴＯＵＴの出力端子）と接地端との間に接続されており、デジタル処理部１７０から入力されるゲート信号Ｇ０に応じてオン／オフされる。リセット出力信号ＸＲＳＴＯＵＴは、トランジスタ１８１がオンしているときにローレベル（＝リセット時の論理レベル）となり、トランジスタ１８１がオフしているときにハイレベル（＝リセット解除時の論理レベル）となる。

トランジスタ１８１は、ＰＧ１ピン（＝パワーグッド信号ＰＧ１の出力端子）と接地端との間に接続されており、デジタル処理部１７０から入力されるゲート信号Ｇ１に応じてオン／オフされる。パワーグッド信号ＰＧ１は、トランジスタ１８１がオンしているときにはローレベル（＝異常時の論理レベル）となり、トランジスタ１８１がオフしているときにはハイレベル（＝正常時の論理レベル）となる。

トランジスタ１８２は、ＰＧ２ピン（＝パワーグッド信号ＰＧ２の出力端子）と接地端との間に接続されており、デジタル処理部１７０から入力されるゲート信号Ｇ２に応じてオン／オフされる。パワーグッド信号ＰＧ２は、トランジスタ１８２がオンしているときにはローレベル（＝異常時の論理レベル）となり、トランジスタ１８２がオフしているときにはハイレベル（＝正常時の論理レベル）となる。

トランジスタ１８３は、ＰＧ３ピン（＝パワーグッド信号ＰＧ３の出力端子）と接地端との間に接続されており、デジタル処理部１７０から入力されるゲート信号Ｇ３に応じてオン／オフされる。パワーグッド信号ＰＧ３は、トランジスタ１８３がオンしているときにはローレベル（＝異常時の論理レベル）となり、トランジスタ１８３がオフしているときにはハイレベル（＝正常時の論理レベル）となる。

トランジスタ１８４は、ＰＧ４ピン（＝パワーグッド信号ＰＧ４の出力端子）と接地端との間に接続されており、デジタル処理部１７０から入力されるゲート信号Ｇ４に応じてオン／オフされる。パワーグッド信号ＰＧ４は、トランジスタ１８４がオンしているときにはローレベル（＝異常時の論理レベル）となり、トランジスタ１８４がオフしているときにはハイレベル（＝正常時の論理レベル）となる。

ＳＰＩインタフェイス１９０は、ＸＳＣＳピン、ＳＣＬＫピン、ＭＯＳＩピン、及びＭＩＳＯピンに接続されており、監視ＩＣ１００（特にデジタル処理部１７０）とマイコン３００との間で、ＳＰＩバスを介した双方向通信を行う。

＜デジタル処理部＞
引き続き、図４を参照しながら、デジタル処理部１７０の内部構成について説明する。本構成例のデジタル処理部１７０は、自己診断部１７１と、クロック検出部１７２と、ウォッチドッグタイマ１７３と、フィルタＦＬＴ０～ＦＬＴ４と、カウンタＣＮＴ０～ＣＮＴ４と、論理和ゲートＯＲ０～ＯＲ４及びＯＲ１０～ＯＲ１４と、を含む。

自己診断部１７１は、監視ＩＣ１００の起動時において、基準電圧検出信号ＶＲＥＦ＿ＤＥＴと比較信号（ＲＳＴＯＶＤ、ＲＳＴＵＶＤ、ＤＩＮｘＯＶＤ、ＤＩＮｘＵＶＤ）をそれぞれチェックすることにより、基準電圧検出部１２０とコンパレータ１５０～１５９がそれぞれ正常に機能しているか否かの自己診断動作（以下ではＢＩＳＴと略称する）を行い、ＢＩＳＴエラー信号ＢＩＳＴ＿ＥＲＲＯＲを生成する。なお、ＢＩＳＴエラー信号ＢＩＳＴ＿ＥＲＲＯＲは、基準電圧検出部１２０とコンパレータ１５０～１５９のいずれかで異常が検出されたときにハイレベルとなる。

また、自己診断部１７１は、ＢＩＳＴイネーブル信号ＢＩＳＴ＿ＥＮを生成して、基準電圧検出部１２０とコンパレータ１５０～１５９にそれぞれ送出する。なお、ＢＩＳＴイネーブル信号ＢＩＳＴ＿ＥＮは、ＢＩＳＴの実行中にハイレベルとなる。

クロック検出部１７２は、クロック信号ＣＬＫ１及びＣＬＫ２の周波数異常を検出してクロック検出信号ＣＬＫ＿ＤＥＴを生成する。クロック検出信号ＣＬＫ＿ＤＥＴは、クロック信号ＣＬＫ１またはＣＬＫ２の周波数異常が検出されたときにハイレベルとなる。

ウォッチドッグタイマ１７３は、マイコン３００の周波数異常（ＳＬＯＷ異常及びＦＡＳＴ異常）を検出してウォッチドッグ検出信号ＷＤＴ＿ＤＥＴを生成する。ウォッチドッグ検出信号ＷＤＴ＿ＤＥＴは、マイコン３０の周波数異常が検出されたときにハイレベルとなる。なお、ＷＤＩＮピンは、監視ＩＣ１００の内部でプルダウンされている。

論理和ゲートＯＲ０は、比較信号ＲＳＴＯＶＤ及びＲＳＴＵＶＤの論理和演算を行う。従って、論理和ゲートＯＲ０の出力信号は、比較信号ＲＳＴＯＶＤ及びＲＳＴＵＶＤの少なくとも一方がハイレベルであるときにハイレベルとなり、比較信号ＲＳＴＯＶＤ及びＲＳＴＵＶＤがいずれもローレベルであるときにローレベルとなる。

論理和ゲートＯＲ１は、比較信号ＤＩＮ１ＯＶＤ及びＤＩＮ１ＵＶＤの論理和演算を行う。従って、論理和ゲートＯＲ１の出力信号は、比較信号ＤＩＮ１ＯＶＤ及びＤＩＮ１ＵＶＤの少なくとも一方がハイレベルであるときにハイレベルとなり、比較信号ＤＩＮ１ＯＶＤ及びＤＩＮ１ＵＶＤがいずれもローレベルであるときにローレベルとなる。

論理和ゲートＯＲ２は、比較信号ＤＩＮ２ＯＶＤ及びＤＩＮ２ＵＶＤの論理和演算を行う。従って、論理和ゲートＯＲ２の出力信号は、比較信号ＤＩＮ２ＯＶＤ及びＤＩＮ２ＵＶＤの少なくとも一方がハイレベルであるときにハイレベルとなり、比較信号ＤＩＮ２ＯＶＤ及びＤＩＮ２ＵＶＤがいずれもローレベルであるときにローレベルとなる。

論理和ゲートＯＲ３は、比較信号ＤＩＮ３ＯＶＤ及びＤＩＮ３ＵＶＤの論理和演算を行う。従って、論理和ゲートＯＲ３の出力信号は、比較信号ＤＩＮ３ＯＶＤ及びＤＩＮ３ＵＶＤの少なくとも一方がハイレベルであるときにハイレベルとなり、比較信号ＤＩＮ３ＯＶＤ及びＤＩＮ３ＵＶＤがいずれもローレベルであるときにローレベルとなる。

論理和ゲートＯＲ４は、比較信号ＤＩＮ４ＯＶＤ及びＤＩＮ４ＵＶＤの論理和演算を行う。従って、論理和ゲートＯＲ４の出力信号は、比較信号ＤＩＮ４ＯＶＤ及びＤＩＮ４ＵＶＤの少なくとも一方がハイレベルであるときにハイレベルとなり、比較信号ＤＩＮ４ＯＶＤ及びＤＩＮ４ＵＶＤがいずれもローレベルであるときにローレベルとなる。

フィルタＦＬＴ０～ＦＬＴ４は、それぞれ、論理和ゲートＯＲ０～ＯＲ４の出力信号に所定のフィルタリング処理を施して後段に出力する。ただし、フィルタＦＬＴ０～ＦＬＴ４は必須の構成要素ではなく、ノイズなどの懸念がない場合には、フィルタＦＬＴ０～ＦＬＴ４を割愛して、論理和ゲートＯＲ０～ＯＲ４の出力信号を後段にスルーしてもよい。

カウンタＣＮＴ０～ＣＮＴ４は、それぞれ、フィルタＦＬＴ０～ＦＬＴ４の出力信号に所定のカウンタ処理を施して後段に出力する。なお、カウンタＣＮＴ０の出力信号は、リセット入力検出信号ＲＳＴＩＮ＿ＤＥＴとして論理和ゲートＯＲ１０に出力されている。ただし、カウンタＣＮＴ０～ＣＮＴ４は必須の構成要素ではなく、ノイズなどの懸念がない場合には、カウンタＣＮＴ０～ＣＮＴ４を割愛して、論理和ゲートＯＲ０～ＯＲ４の出力信号（またはフィルタＦＬＴ０～ＦＬＴ４の出力信号）を後段にスルーしてもよい。

論理和ゲートＯＲ１０は、基準電圧検出信号ＶＲＥＦ＿ＤＥＴ、リセット入力検出信号ＲＳＴＩＮ＿ＤＥＴ、ＢＩＳＴエラー信号ＢＩＳＴ＿ＥＲＲＯＲ、ウォッチドッグ検出信号ＷＤＴ＿ＤＥＴ、及び、クロック検出信号ＣＬＫ＿ＤＥＴの論理和演算を行うことにより、リセット出力検出信号ＲＳＴＯＵＴ＿ＤＥＴを生成する。従って、リセット出力検出信号ＲＳＴＯＵＴ＿ＤＥＴは、複数の入力信号のうち、いずれか一つでもハイレベルであるときにハイレベルとなり、それら全てがローレベルであるときにローレベルとなる。なお、リセット出力検出信号ＲＳＴＯＵＴ＿ＤＥＴは、先述のゲート信号Ｇ０として、トランジスタ１８０のゲートに出力されている。

論理和ゲートＯＲ１１～ＯＲ１４は、それぞれ、カウンタＣＮＴ１～ＣＮＴ４の出力信号と基準電圧検出信号ＶＲＥＦ＿ＤＥＴとの論理和演算を行うことにより、パワーグッド検出信号ＰＧ１＿ＤＥＴ～ＰＧ４＿ＤＥＴを生成する。従って、基準電圧検出信号ＶＲＥＦ＿ＤＥＴがローレベルであるときには、カウンタＣＮＴ１～ＣＮＴ４の出力信号がパワーグッド検出信号ＰＧ１＿ＤＥＴ～ＰＧ４＿ＤＥＴとしてそのままスルー出力される。一方、基準電圧検出信号ＶＲＥＦ＿ＤＥＴがハイレベルであるときには、カウンタＣＮＴ１～ＣＮＴ４の出力信号に依ることなく、パワーグッド検出信号ＰＧ１＿ＤＥＴ～ＰＧ４＿ＤＥＴがいずれもハイレベルに固定される。なお、パワーグッド検出信号ＰＧ１＿ＤＥＴ～ＰＧ４＿ＤＥＴは、先述のゲート信号Ｇ１～Ｇ４として、トランジスタ１８１～１８４それぞれのゲートに出力されている。

＜監視ＩＣ（第２実施形態）＞
図５は、監視ＩＣ１００の第２実施形態（特にウォッチドッグタイマ１７３の詳細）を示す図である。本実施形態の監視ＩＣ１００において、ウォッチドッグタイマ１７３は、トリガ型の第１周波数異常検出部１７３ａと、通信断絶検知型の第２周波数異常検出部１７３ｂと、Ｑ＆Ａ型の第３周波数異常検出部１７３ｃと、を有する。

第１周波数異常検出部１７３ａは、マイコン３００から入力されるウォッチドッグ入力信号ＷＤＩＮの周期的なパルスエッジを監視して、マイコン３００の周波数異常を検出する。以下、第１周波数異常検出部１７３ａの周波数異常検出動作を「トリガ型ＷＤＴ動作（詳細は後述）」と呼ぶ。

第２周波数異常検出部１７３ｂは、マイコン３００からの周期的なＳＰＩ通信アクセス（＝所定レジスタへのデータ書き込み）を監視して、マイコン３００の周波数異常を検出する。以下、第２周波数異常検出部１７３ｂの周波数異常検出動作を「通信断絶検知型ＷＤＴ動作（詳細は後述）」と呼ぶ。

第３周波数異常検出部１７３ｃは、マイコン３００とのＳＰＩ通信による周期的なＱ＆Ａイベントを監視して、マイコン３００の周波数異常を検出する。以下、第３周波数異常検出部１７３ｃの周波数異常検出動作を「Ｑ＆Ａ型ＷＤＴ動作（詳細は後述）」と呼ぶ。

また、ウォッチドッグタイマ１７３では、ユーザ設定（レジスタ設定）に応じて、若しくは、監視ＩＣ１００が搭載されるシステムの状態（例えばＳＰＩ通信負荷の大きさ）に応じて、各周波数異常検出部１７３ａ～１７３ｃが選択的に用いられる。

このように、複合型のウォッチドッグタイマ１７３であれば、各周波数異常検出部１７３ａ～１７３ｃそれぞれの特性を鑑みて、周波数異常検出動作を切り替えることにより、適切に周波数異常を検出することが可能となる。

＜動的切替制御＞
図６は、周波数異常検出動作の動的切替制御の一例を示すタイミングチャートであり、上から順番に、システム起動状態（＝電源電圧ＶＤＤ）、ウォッチドッグ入力信号ＷＤＩＮ、ＳＰＩ通信アクセス、システム平均負荷（例えばＳＰＩ通信負荷）、異常検出感度、及び、優先ＷＤＴ動作が描写されている。

まず、システム平均負荷が最も重い第１状態（時刻ｔ１～ｔ２）では、第１周波数異常検出部１７３ａのトリガ型ＷＤＴ動作を優先するとよい。その結果、異常検出感度（延いてはリスク低減度合い）は多少犠牲になるが、ＳＰＩ通信を要さずにマイコン３００の周波数異常を検出することが可能となる。なお、第１状態としては、システム起動時やコンフィグレーション変更時などを挙げることができる。

一方、第１状態よりも軽負荷の第２状態（時刻ｔ２～ｔ３）では、第２周波数異常検出部１７３ｂの通信断絶検知型ＷＤＴ動作を優先するとよい。その結果、第１状態よりも異常検出感度を高めることが可能となる。

また、第２状態よりもさらに軽負荷の第３状態（時刻ｔ３～ｔ４）では、第３周波数異常検出部１７３ｃのＱ＆Ａ型ＷＤＴ動作を優先するとよい。その結果、ＳＰＩ通信負荷は重くなるが、異常検出感度を最大限に高めることが可能となる。

このように、負荷に応じて各周波数異常検出部１７３ａ～１７３ｃが動的に切り替えられる構成であれば、異常検出感度と負荷とのバランスを取りながら、適切に周波数異常を検出することが可能となる。

なお、上記した周波数異常検出動作の動的切替制御は、監視ＩＣ１００の内部で実施するとよい。また、負荷検出手法としては、例えば、単位時間当たり（ウォッチドッグ周期或いはそのｎ逓倍を１単位とする期間）に送受信されるＳＰＩ通信のデータ量に応じて、ＳＰＩ通信負荷を判断するとよい。

ＳＰＩ通信のデータ量については、例えば、ＳＰＩチップセレクト信号ＸＳＣＳの論理レベル（延いては監視ＩＣ１００が受信可能状態であるか否か）に依ることなく、ＳＰＩクロック信号ＳＣＬＫのエッジをカウントするとよい。なぜなら、監視ＩＣ１００に対して送信されたデータでなくとも、ＳＰＩバスにデータが流れていれば、ＳＰＩ通信負荷が重いであろうことが推定されるためである。

＜トリガ型ＷＤＴ動作＞
図７は、トリガ型ＷＤＴ動作の一例を示すタイミングチャートであり、上から順に、内部カウント値ＣＮＴ、ウォッチドッグ入力信号ＩＮ、フェイルカウント値ＷＤ＿ＦＣ、トリガ型ＷＤＴイネーブル信号ＷＤＴＲＧＥＮ、及び、リセット出力信号ＸＲＳＴＯＵＴが描写されている。

トリガ型ＷＤＴイネーブル信号ＷＤＴＲＧＥＮは、トリガ型ＷＤＴ動作のイネーブル制御レジスタ値であり、イネーブル時には”１（ハイレベル）”となり、ディセーブル時には”０（ローレベル）”となる。トリガ型ＷＤＴイネーブル信号ＷＤＴＲＧＥＮは、例えば、ＳＰＩ通信により任意に書き換えることができる。

内部カウント値ＣＮＴは、トリガ型ＷＤＴイネーブル信号ＷＤＴＲＧＥＮのハイレベル期間（時刻ｔ１０～ｔ１５、及び、時刻ｔ１８以降）において、所定のクロック周期でインクリメントされる一方、ウォッチドッグ入力信号ＷＤＩＮのパルスエッジ（立上りエッジ及び立下りエッジ）をトリガとしてゼロ値にリセットされる（時刻ｔ１１、ｔ１２、ｔ１３、ｔ１４、ｔ１９を参照）。

ここで、リセット直前の内部カウント値ＣＮＴが下側閾値ＣＮＴＬ（＝ＦａｓｔＮＧ検出閾値）よりも大きく、かつ、上側閾値ＣＮＴＨ（＝ＳｌｏｗＮＧ検出閾値）よりも小さいときには、ウォッチドッグ入力信号ＩＮのハイレベル期間及びローレベル期間がいずれも正常範囲内に収まっている状態（ＯＫ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが１つデクリメントされる（時刻ｔ１１、ｔ１３を参照）。

一方、内部カウント値ＣＮＴがリセットされたものの、リセット直前の内部カウント値ＣＮＴが上側閾値ＣＮＴＨよりも大きいときには、ウォッチドッグ入力信号ＩＮのハイレベル期間またはローレベル期間が異常に長い状態（ＳｌｏｗＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ１２を参照）。このとき、ステータスレジスタＷＤＴ＿ＳＬＯＷには”１”がセットされる。

また、内部カウント値ＣＮＴがリセットされたものの、リセット直前の内部カウント値ＣＮＴが下側閾値ＣＮＴＬよりも小さいときには、ウォッチドッグ入力信号ＩＮのハイレベル期間またはローレベル期間が異常に短い状態（ＦａｓｔＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ１４、ｔ１９を参照）。このとき、ステータスレジスタＷＤＴ＿ＦＡＳＴには”１”がセットされる。

上記一連のインクリメント／デクリメントが繰り返されることにより、フェイルカウント値ＷＤ＿ＦＣが所定の閾値（例えば”６”）以上になると、リセット出力信号ＸＲＳＴＯＵＴがリセット保持時間ｔＲＳＴＬ（例えば１０ｍｓ）に亘ってローレベル（＝リセット時の論理レベル）に立ち下げられる（時刻ｔ１５～ｔ１７を参照）。このとき、トリガ型ＷＤＴエラーレジスタＷＤ＿ＴＲＧ＿ＥＲＲＯＲを”１”にセットして、マイコン３００への異常通知を行うとよい。

また、フェイルカウント値ＷＤ＿ＦＣが所定の閾値以上になると、トリガ型ＷＤＴイネーブル信号ＷＤＴＲＧＥＮもローレベル（＝ディセーブル時の論理レベル）に立ち下げられる（時刻ｔ１５を参照）。なお、ＷＤＴＲＧＥＮ＝Ｌである間、ウォッチドッグ入力信号ＷＤＩＮのパルスエッジは無視される。

以上のように、トリガ型ＷＤＴ動作では、先の上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬで設定されるウィンドウ区間内に、ウォッチドッグ入力信号ＷＤＩＮのパルスエッジが到来するか否かを監視することにより、マイコン３００の周波数異常が検出される。なお、上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬは、それぞれ、ウィンドウ区間設定レジスタＷＤ＿ｄｅｔｅｃｔ＿ｔｉｍｅ（例えば２ビット）に応じた可変値とすることが望ましい。

＜通信断絶検知型ＷＤＴ動作＞
図８は、通信断絶検知型ＷＤＴ動作の一例を示すタイミングチャートであり、上から順に、内部カウント値ＣＮＴ、ＳＰＩ通信アクセス状態、フェイルカウント値ＷＤ＿ＦＣ、通信断絶検知型ＷＤＴイネーブル信号ＷＤＳＰＩＥＮ、及び、リセット出力信号ＸＲＳＴＯＵＴが描写されている。

通信断絶検知型ＷＤＴイネーブル信号ＷＤＳＰＩＥＮは、通信断絶検知型ＷＤＴ動作のイネーブル制御レジスタ値であり、イネーブル時には”１（ハイレベル）”となり、ディセーブル時には”０（ローレベル）”となる。通信断絶検知型ＷＤＴイネーブル信号ＷＤＳＰＩＥＮは、例えば、ＳＰＩ通信により任意に書き換えることができる。

内部カウント値ＣＮＴは、通信断絶検知型ＷＤＴイネーブル信号ＷＤＳＰＩＥＮのハイレベル期間（時刻ｔ２０～ｔ２５、及び、時刻ｔ２８以降）において、所定のクロック周期でインクリメントされる一方、通信断絶検知用リセットレジスタＳＰＩ＿ＤＩＳＣＯＮ＿ＲＳＴに対するＳＰＩ通信アクセス（＝データ値”１”の書き込み）が完了したこと、若しくは、内部カウント値ＣＮＴが上側閾値ＣＮＴＨに到達したことをトリガとしてゼロ値にリセットされる（時刻ｔ２１、ｔ２２、ｔ２３、ｔ２４、ｔ２９を参照）。

ここで、リセット直前の内部カウント値ＣＮＴが下側閾値ＣＮＴＬ（＝ＦａｓｔＮＧ検出閾値）よりも大きく、かつ、上側閾値ＣＮＴＨ（＝ＳｌｏｗＮＧ検出閾値）よりも小さいときには、ＳＰＩ通信アクセスの周期が正常範囲内に収まっている状態（ＯＫ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが１つデクリメントされる（時刻ｔ２１、ｔ２３を参照）。

一方、内部カウント値ＣＮＴがリセットされずに上側閾値ＣＮＴＨに達したときには、ＳＰＩ通信アクセスが遅延又は断絶している状態（ＳｌｏｗＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ２２を参照）。このとき、ステータスレジスタＷＤＴ＿ＳＬＯＷには”１”がセットされる。

また、内部カウント値ＣＮＴがリセットされたものの、リセット直前の内部カウント値ＣＮＴが下側閾値ＣＮＴＬよりも小さいときには、ＳＰＩ通信アクセスが異常に速い状態（ＦａｓｔＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ２４、ｔ２９を参照）。このとき、ステータスレジスタＷＤＴ＿ＦＡＳＴには”１”がセットされる。

上記一連のインクリメント／デクリメントが繰り返されることにより、フェイルカウント値ＷＤ＿ＦＣが所定の閾値（例えば”６”）以上になると、リセット出力信号ＸＲＳＴＯＵＴがリセット保持時間ｔＲＳＴＬ（例えば１０ｍｓ）に亘ってローレベル（＝リセット時の論理レベル）に立ち下げられる（時刻ｔ２５～ｔ２７を参照）。このとき、通信遮断ＷＤＴエラーレジスタＷＤ＿ＳＰＩ＿ＥＲＲＯＲを”１”にセットして、マイコン３００への異常通知を行うとよい。

また、フェイルカウント値ＷＤ＿ＦＣが所定の閾値以上になると、通信断絶検知型ＷＤＴイネーブル信号ＷＤＳＰＩＥＮもローレベル（＝ディセーブル時の論理レベル）に立ち下げられる（時刻ｔ２５を参照）。

以上のように、通信断絶検知型ＷＤＴ動作では、先の上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬで設定されるウィンドウ区間内に、ＳＰＩ通信アクセスが完了するか否かを監視することにより、マイコン３００の周波数異常が検出される。なお、上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬは、先にも述べたように、それぞれ、ウィンドウ区間設定レジスタＷＤ＿ｄｅｔｅｃｔ＿ｔｉｍｅ（例えば２ビット）に応じた可変値とすることが望ましい。

＜Ｑ＆Ａ型ＷＤＴ動作＞
図９は、Ｑ＆Ａ型ＷＤＴ動作の一例を示すタイミングチャートであり、上から順に、内部カウント値ＣＮＴ、ＳＰＩ通信アクセス状態、フェイルカウント値ＷＤ＿ＦＣ、Ｑ＆Ａ型ＷＤＴイネーブル信号ＷＤＱＡＥＮ、及び、リセット出力信号ＸＲＳＴＯＵＴが描写されている。

Ｑ＆Ａ型ＷＤＴイネーブル信号ＷＤＱＡＥＮは、Ｑ＆Ａ型ＷＤＴ動作のイネーブル制御レジスタ値であり、イネーブル時には”１（ハイレベル）”となり、ディセーブル時には”０（ローレベル）”となる。Ｑ＆Ａ型ＷＤＴイネーブル信号ＷＤＱＡＥＮは、例えば、ＳＰＩ通信により任意に書き換えることができる。

内部カウント値ＣＮＴは、Ｑ＆Ａ型ＷＤＴイネーブル信号ＷＤＱＡＥＮのハイレベル期間（時刻ｔ３０～ｔ３５、及び、時刻ｔ３８以降）において、所定のクロック周期でインクリメントされる一方、ＳＰＩ通信によるＱ＆Ａイベント（＝クエスチョン信号の問い合わせ及び返信、並びに、アンサー信号の生成及び答え合わせなど、詳細は後述）が完了したこと、若しくは、内部カウント値ＣＮＴが上側閾値ＣＮＴＨに到達したことをトリガとしてゼロ値にリセットされる（時刻ｔ３１、ｔ３２、ｔ３４、ｔ３９を参照）。

ここで、マイコン３００から書き込まれたアンサー信号が正答であり、かつ、リセット直前の内部カウント値ＣＮＴがＣＮＴＬ＜ＣＮＴ＜ＣＮＴＨを満たしているときには、グッドイベント（ＯＫ状態）と判定されて、フェイルカウント値ＷＤ＿ＦＣが１つデクリメントされる（時刻ｔ３１を参照）。

一方、Ｑ＆Ａイベントが完了せず、内部カウント値ＣＮＴがリセットされないまま上側閾値ＣＮＴＨに達したときには、バッドイベント（ＳｌｏｗＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ３２を参照）。このとき、ステータスレジスタＷＤＴ＿ＳＬＯＷには”１”がセットされる。

また、マイコン３００から書き込まれたアンサー信号が誤答であるときには、リセット直前の内部カウント値ＣＮＴがＣＮＴＬ＜ＣＮＴ＜ＣＮＴＨを満たしていたとしても、バッドイベント（誤答ＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ３４を参照）。

若しくは、マイコン３００から書き込まれたアンサー信号が正答であっても、リセット直前の内部カウント値ＣＮＴが下側閾値ＣＮＴＬよりも小さいときには、バッドイベント（ＦａｓｔＮＧ状態）であると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる（時刻ｔ３９を参照）。このとき、ステータスレジスタＷＤＴ＿ＦＡＳＴには”１”がセットされる。

なお、上記以外にも、バッドイベントの類型としては、（１）所定時間内にクエスチョン信号の問い合わせがない場合、（２）アンサー信号が正答であっても所定時間内に書き込まれない場合、（３）多バイトのアンサー信号が正しいバイト順序で書き込まれない場合などを挙げることができる。これらの場合には、バッドイベントであると判定されて、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる。

上記一連のインクリメント／デクリメントが繰り返されることにより、フェイルカウント値ＷＤ＿ＦＣが所定の閾値（例えば”６”）以上になると、リセット出力信号ＸＲＳＴＯＵＴがリセット保持時間ｔＲＳＴＬ（例えば１０ｍｓ）に亘ってローレベル（＝リセット時の論理レベル）に立ち下げられる（時刻ｔ３５～ｔ３７を参照）。このとき、Ｑ＆Ａ型ＷＤＴエラーレジスタＷＤ＿ＱＡ＿ＥＲＲＯＲを”１”にセットして、マイコン３００への異常通知を行うとよい。

また、フェイルカウント値ＷＤ＿ＦＣが所定の閾値以上になると、Ｑ＆Ａ型ＷＤＴイネーブル信号ＷＤＱＡＥＮもローレベル（＝ディセーブル時の論理レベル）に立ち下げられる（時刻ｔ３５を参照）。

以上のように、Ｑ＆Ａ型ＷＤＴ動作では、先の上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬで設定されるウィンドウ区間内に、正しいアンサー信号が書き込まれたか否かを監視することにより、マイコン３００の周波数異常が検出される。なお、上側閾値ＣＮＴＨ及び下側閾値ＣＮＴＬは、先にも述べたように、それぞれ、ウィンドウ区間設定レジスタＷＤ＿ｄｅｔｅｃｔ＿ｔｉｍｅ（例えば２ビット）に応じた可変値とすることが望ましい。

図１０は、Ｑ＆Ａ型ＷＤＴ動作の一例を示すフローチャートである。なお、本図中において、１００番台のステップ「Ｓ１＊＊」は、監視ＩＣ１００（特にＱ＆Ａ型の第３周波数監視部１７３ｃ）を動作主体とするステップである。一方、３００番台のステップ「Ｓ３＊＊」は、マイコン３００を動作主体とするステップである。また、監視ＩＣ１００とマイコン３００との間における双方向通信は、いずれもＳＰＩ通信により実施される。

まず、マイコン３００は、ステップＳ３１０において、監視ＩＣ１００にクエスチョン信号（Ｑｕｅｓｔｉｏｎ（ｔｏｋｅｎ））の問い合わせコマンドを発行する。問い合わせコマンドを受け付けた監視ＩＣ１００は、ステップＳ１１０において、クエスチョン信号をマイコン３００に返信する。なお、クエスチョン信号の返信は、所定レジスタ（ＷＤ＿Ｑｕｅｓｔｉｏｎ）にクエスチョン信号の値を書き込み、これをマイコン３００から読み出すことにより実施される。

クエスチョン信号の返信を受け付けたマイコン３００は、ステップＳ３２０において、クエスチョン信号に対応するアンサー信号（Ａｎｓｗｅｒ（ｒｅｓｐｏｎｓｅ（ｓ））を生成し、続くステップＳ３３０において、そのアンサー信号を監視ＩＣ１００の所定レジスタ（ＷＤ＿Ａｎｓｗｅｒ）に書き込む。

一方、監視ＩＣ１００は、ステップＳ１２０において、自らもクエスチョン信号に対応するアンサー信号（Ｒｉｇｈｔ＿Ａｎｓｗｅｒ）を生成するとともに、続くステップＳ１３０において、マイコン３００から書き込まれたアンサー信号と、自ら生成したアンサー信号との答え合わせを行う。

なお、上記一連のステップ（本図中の大破線で囲まれたステップ）は、先述のウィンドウ区間内に完了することが要求される。

続くステップＳ１４０では、上記一連のステップによるＱ＆Ａイベントが先述のグッドイベントであるか否かのパス判定が行われる。ここで、イエス判定が下された場合には、フローがステップＳ１５０に進められる。一方、ノー判定が下された場合には、フローがステップＳ１６０に進められる。

ステップＳ１５０では、所定のグッドイベント処理が実行される。より具体的に述べると、ステップＳ１５１において、フェイルカウント値ＷＤ＿ＦＣが１つデクリメントされるとともに、新しいクエスチョン信号の生成が行われる。その後、フローがステップＳ１１０に戻されると、監視ＩＣ１００は、マイコン３００からクエスチョン信号の問い合わせコマンドを待ち受ける状態となる。

一方、ステップＳ１６０では、所定のバッドイベント処理が実行される。より具体的に述べると、ステップＳ１６１において、フェイルカウント値ＷＤ＿ＦＣが２つインクリメントされる。その際、新たなクエスチョン信号は生成されず、従前の値が維持される。

なお、マイコン３００は、任意のタイミング（本図ではステップＳ３４０）において、フェイルカウント値ＷＤ＿ＦＣを参照することができる。

次に、ステップＳ１６２では、フェイルカウント値ＷＤ＿ＦＣが所定の閾値（ＷＤ＿ＦＣｓｅｔ）に達したか否かの判定が行われる。ここで、ノー判定が下された場合には、フローがステップＳ１１０に戻されるので、監視ＩＣ１００は、マイコン３００からクエスチョン信号の問い合わせコマンドを待ち受ける状態となる。

一方、イエス判定が下された場合には、フローがステップＳ１６３に進められて、所定の割り込み処理（＝Ｑ＆Ａ型ＷＤＴエラーレジスタＷＤ＿ＱＡ＿ＥＲＲＯＲへのデータ書き込み）が行われる。このような割り込み処理を受け付けたマイコン３００は、ステップＳ３５０において、システムリブートなどの対策を取ることができる。

＜第３周波数異常検出部（Ｑ＆Ａ型）＞
図１１は、第３周波数異常検出部１７３ｃの一構成例を示す図である。本構成例の第３周波数異常検出部１７３ｃは、クエスチョン信号生成部ｃ１００と、アンサー信号生成部ｃ２００と、イベント判定部ｃ３００と、フェイルカウンタｃ４００と、エラー出力部ｃ５００と、を含む。

まず、上記構成要素の説明に先立ち、本図中における各種レジスタ（ＷＤ＿ＳＥＥＤ、ＷＤ＿Ｑｃｆｇ、ＷＤ＿Ｑｕｅｓｔｉｏｎ、Ｒｉｇｈｔ＿Ａｎｓｗｅｒ、ＷＤ＿Ａｎｓｗｅｒ、ＷＤ＿ＦＣ、ＷＤ＿ＦＣｓｅｔ、ＷＤ＿ＱＡ＿ＥＲＲＯＲ）について、簡単に説明しておく。

レジスタＷＤ＿ＳＥＥＤは、クエスチョン信号生成部ｃ１００（特にその線形帰還シフトレジスタ）を初期化するために用意されたレジスタ（例えば５ビット）である。

レジスタＷＤ＿Ｑｃｆｇは、クエスチョン信号生成部ｃ１００（特にその論理演算部）を設定するために用意されたレジスタ（例えば４ビット）である。

レジスタＷＤ＿Ｑｕｅｓｔｉｏｎは、クエスチョン信号生成部ｃ１００の出力値を格納するために用意されたレジスタ（例えば４ビット）である。なお、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎは、マイコン３００からクエスチョン信号を読み出すことができれば足りるので、監視ＩＣ１００外部からのアクセスがリードオンリーに制限されている。

レジスタＲｉｇｈｔ＿Ａｎｓｗｅｒは、アンサー信号生成部ｃ２００の出力値を格納するために用意されたレジスタ（例えば８ビット）である。

レジスタＷＤ＿Ａｎｓｗｅｒは、マイコン３００からアンサー信号を書き込むために用意されたレジスタ（例えば８ビット）である。

レジスタＷＤ＿ＦＣは、フェイルカウンタｃ４００の出力値を格納するために用意されたレジスタ（例えば３ビット）である。

レジスタＷＤ＿ＦＣｓｅｔは、フェイルカウンタｃ４００の出力値と比較する閾値（例えば、６、４、２）を格納するために用意されたレジスタ（例えば２ビット）である。

レジスタＷＤ＿ＱＡ＿ＥＲＲＯＲは、エラー出力部ｃ５００の出力値を格納するために用意されたレジスタ（１ビット）である。なお、レジスタＷＤ＿ＱＡ＿ＥＲＲＯＲは、マイコン３００からＱ＆Ａ型ＷＤＴ動作の検出結果を読み出すことができれば足りるので、監視ＩＣ１００外部からのアクセスがリードオンリーに制限されている。

クエスチョン信号生成部ｃ１００は、レジスタＷＤ＿ＳＥＥＤ及びレジスタＷＤ＿Ｑｃｆｇそれぞれに格納されたデータ値に基づいてクエスチョン信号を生成し、これをレジスタＷＤ＿Ｑｕｅｓｔｉｏｎに書き込む（図１０のステップＳ１１０、Ｓ１５１を参照）。

アンサー信号生成部ｃ２００は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納されたデータ値（＝クエスチョン信号）に基づいてアンサー信号を生成し、これをレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒに書き込む（図１０のステップＳ１２０を参照）。

イベント判定部ｃ３００は、レジスタＲｉｇｈｔ＿Ａｎｓｗｅｒ及びレジスタＷＤ＿Ａｎｓｗｅｒそれぞれに格納されたデータ値を比較してＱ＆Ａイベントのパス判定（＝所定のウィンドウ区間内に正しいアンサー信号が返されたか否かの判定、図１０のステップＳ１３０及びＳ１４０を参照）を行い、フェイルカウンタｃ４００のインクリメント／デクリメントを行う。より具体的に述べると、イベント判定部ｃ３００は、バッド判定時にフェイルカウンタｃ４００を２つインクリメントする一方、グッド判定時にフェイルカウンタｃ４００を１つデクリメントする（図１０のステップＳ１５１及びＳ１６１を参照）。

フェイルカウンタｃ４００は、イベント判定部ｃ３００の判定結果に基づいてインクリメント／デクリメントされる出力値（＝フェイルカウント値）をレジスタＷＤ＿ＦＣに書き込む（図１０のステップＳ１５１及びＳ１６１を参照）。

エラー出力部ｃ５００は、レジスタＷＤ＿ＦＣ及びレジスタＷＤ＿ＦＣｓｅｔそれぞれに格納されたデータ値を比較して、ＷＤ＿ＦＣ≧ＷＤＦＣｓｅｔとなったときに、レジスタＷＤ＿ＱＡ＿ＥＲＲＯＲに”１”をセットする（図１０のステップＳ１６２及びＳ１６３を参照）。

図１２は、クエスチョン信号生成部ｃ１００の一構成例を示す図である。本構成例のクエスチョン信号生成部ｃ１００は、Ｄフリップフロップｃ１０１～ｃ１０５と、ＸＯＲゲートｃ１０６～ｃ１１０と、を含む。

Ｄフリップフロップｃ１０１のデータ入力端（Ｄ）は、ＸＯＲゲートｃ１０６の出力端に接続されている。Ｄフリップフロップｃ１０１の出力端（Ｑ）は、論理信号Ｘ１の出力端として、Ｄフリップフロップｃ１０２のデータ入力端（Ｄ）に接続されている。Ｄフリップフロップｃ１０２の出力端（Ｑ）は、論理信号Ｘ２の出力端として、Ｄフリップフロップｃ１０３のデータ入力端（Ｄ）に接続されている。Ｄフリップフロップｃ１０３の出力端（Ｑ）は、論理信号Ｘ３の出力端として、Ｄフリップフロップｃ１０４のデータ入力端（Ｄ）とＸＯＲゲートｃ１０６の第１入力端に接続されている。Ｄフリップフロップｃ１０４の出力端（Ｑ）は、論理信号Ｘ４の出力端として、Ｄフリップフロップｃ１０５のデータ入力端（Ｄ）に接続されている。Ｄフリップフロップｃ１０５の出力端（Ｑ）は、論理信号Ｘ５の出力端として、ＸＯＲゲートｃ１０６の第２入力端に接続されている。

このように接続されたＤフリップフロップｃ１０１～ｃ１０５及びＸＯＲゲートｃ１０６は、５ビットの線形帰還シフトレジスタとして機能し、クロック入力に同期して帰還多項式Ｘ^５＋Ｘ^３＋１（３１周期）で表される疑似乱数値（Ｘ１Ｘ２Ｘ３Ｘ４Ｘ５）を順次生成する。なお、レジスタＷＤ＿ＳＥＥＤに格納されたデータ値（５ビット）は、各桁の値がＤフリップフロップｃ１０１～ｃ１０５それぞれの初期出力値として用いられる。

ＸＯＲゲートｃ１０７は、論理信号Ｘ５とレジスタＷＤ＿Ｑｃｆｇに格納された第４桁目（最上位）のビット値［３］との排他的論理和演算を行い、その出力値をレジスタＷＤ＿Ｑｕｅｓｔｉｏｎの第４桁目に格納する。

ＸＯＲゲートｃ１０８は、論理信号Ｘ４とレジスタＷＤ＿Ｑｃｆｇに格納された第３桁目のビット値［２］との排他的論理和演算を行い、その出力値をレジスタＷＤ＿Ｑｕｅｓｔｉｏｎの第３桁目に格納する。

ＸＯＲゲートｃ１０９は、論理信号Ｘ３とレジスタＷＤ＿Ｑｃｆｇに格納された第２桁目のビット値［１］との排他的論理和演算を行い、その出力値をレジスタＷＤ＿Ｑｕｅｓｔｉｏｎの第２桁目に格納する。

ＸＯＲゲートｃ１１０は、論理信号Ｘ２とレジスタＷＤ＿Ｑｃｆｇに格納された第１桁目（最下位）のビット値［０］との排他的論理和演算を行い、その出力値をレジスタＷＤ＿Ｑｕｅｓｔｉｏｎの第１桁目に格納する。

このように、ＸＯＲゲートｃ１０７～ｃ１１０は、線形帰還シフトレジスタで生成される疑似乱数値とレジスタＷＤ＿Ｑｃｆｇの格納値に基づいて、クエスチョン信号を生成する論理演算部として機能する。

ただし、クエスチョン信号を生成するための論理演算処理については、何ら上記に限定されるものではなく、任意に変更することが可能である。

図１３は、アンサー信号生成部ｃ２００の一構成例を示す図である。本構成例のアンサー信号生成部ｃ２００は、ＸＯＲゲートｃ２０１～ｃ２０８と、ＩＮＶゲートｃ２０９とを含む。

ＸＯＲゲートｃ２０１は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第４桁目のビット値［３］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第８桁目に格納する。

ＸＯＲゲートｃ２０２は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第３桁目のビット値［２］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第７桁目に格納する。

ＸＯＲゲートｃ２０３は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第２桁目のビット値［１］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第６桁目に格納する。

ＸＯＲゲートｃ２０４は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第１桁目のビット値［０］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第５桁目に格納する。

ＸＯＲゲートｃ２０５は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第４桁目のビット値［３］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第４桁目に格納する。

ＸＯＲゲートｃ２０６は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第３桁目のビット値［２］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第３桁目に格納する。

ＸＯＲゲートｃ２０７は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第２桁目のビット値［１］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第２桁目に格納する。

ＸＯＲゲートｃ２０８は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納された任意桁目のビット値［ｘ］と第１桁目のビット値［０］との排他的論理和演算を行い、その出力値をＩＮＶゲートｃ２０９経由でレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒの第１桁目に格納する。

ＩＮＶゲート２０９は、ＸＯＲゲートｃ２０１～ｃ２０８それぞれの出力値を論理反転させてからレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒに書き込む。

このように、本構成例のアンサー信号生成部ｃ２００は、レジスタＷＤ＿Ｑｕｅｓｔｉｏｎに格納されたクエスチョン信号のビット組み合わせ処理により、アンサー信号を生成し、これをレジスタＲｉｇｈｔ＿Ａｎｓｗｅｒに格納する。

ただし、アンサー信号を生成するための論理演算処理については、何ら上記に限定されるものではなく、任意に変更することが可能である。

＜車両への適用＞
図１４は、車両Ｘの一構成例を示す外観図である。本構成例の車両Ｘは、バッテリから電力供給を受けて動作する種々の電子機器（車載機器）Ｘ１１～Ｘ１８を搭載している。なお、本図における電子機器Ｘ１１～Ｘ１８の搭載位置については、図示の便宜上、実際とは異なる場合がある。

電子機器Ｘ１１は、エンジンに関連する制御（インジェクション制御、電子スロットル制御、アイドリング制御、酸素センサヒータ制御、及び、オートクルーズ制御など）を行うエンジンコントロールユニットである。

電子機器Ｘ１２は、ＨＩＤ［high intensity discharged lamp］やＤＲＬ［daytime running lamp］などの点消灯制御を行うランプコントロールユニットである。

電子機器Ｘ１３は、トランスミッションに関連する制御を行うトランスミッションコントロールユニットである。

電子機器Ｘ１４は、車両Ｘの運動に関連する制御（ＡＢＳ［anti-lock brake system］制御、ＥＰＳ［electric power steering］制御、電子サスペンション制御など）を行う制動ユニットである。

電子機器Ｘ１５は、ドアロックや防犯アラームなどの駆動制御を行うセキュリティコントロールユニットである。

電子機器Ｘ１６は、ワイパー、電動ドアミラー、パワーウィンドウ、ダンパー（ショックアブソーバー）、電動サンルーフ、及び、電動シートなど、標準装備品やメーカーオプション品として、工場出荷段階で車両Ｘに組み込まれている電子機器である。

電子機器Ｘ１７は、車載Ａ／Ｖ［audio/visual］機器、カーナビゲーションシステム、及び、ＥＴＣ［electronic toll collection system］など、ユーザオプション品として任意で車両Ｘに装着される電子機器である。

電子機器Ｘ１８は、車載ブロア、オイルポンプ、ウォーターポンプ、バッテリ冷却ファンなど、高耐圧系モータを備えた電子機器である。

なお、先に説明した監視ＩＣ１００は、電子機器Ｘ１１～Ｘ１８のいずれにも組み込むことが可能である。

＜その他の変形例＞
なお、上記の実施形態では、車載機器に搭載される監視ＩＣを例に挙げたが、その適用対象はこれに限定されるものではなく、電子機器全般に広く適用することが可能である。

また、本明細書中に開示されている種々の技術的特徴は、上記実施形態のほか、その技術的創作の主旨を逸脱しない範囲で種々の変更を加えることが可能である。すなわち、上記実施形態は、全ての点で例示であって制限的なものではないと考えられるべきであり、本発明の技術的範囲は、上記実施形態に限定されるものではなく、特許請求の範囲と均等の意味及び範囲内に属する全ての変更が含まれると理解されるべきである。

本明細書中に開示されている発明は、例えば、機能安全が求められる電子機器全般（車載用のカメラ、レーダー、インフォテイメント、ランプ、クラスタ、パワートレイン、及び、センサフュージョンなど）に利用することが可能である。

１ 電子機器
１００ 監視ＩＣ（監視装置）
１０１ 樹脂封止体
１０２ 外部端子
１０３ 放熱パッド
１０３ａ 切欠部
１１１ 基準電圧生成部
１１２ サブ基準電圧生成部
１２０ 基準電圧検出部
１３０ ＵＶＬＯ部
１４０～１４９ 閾値電圧生成部
１５０～１５９ コンパレータ
１６１ オシレータ（デジタル処理用）
１６２ オシレータ（ウォッチドッグタイマ用）
１７０ デジタル処理部
１７１ 自己診断部
１７２ クロック検出部
１７３ ウォッチドッグタイマ
１７３ａ 第１周波数異常検出部（トリガ型）
１７３ｂ 第２周波数異常検出部（通信断絶検知型）
１７３ｃ 第３周波数異常検出部（Ｑ＆Ａ型）
１８０～１８４ Ｎチャネル型ＭＯＳ電界効果トランジスタ
１９０ ＳＰＩインタフェイス
２００ パワーマネジメントＩＣ（電源装置）
３００ マイコン
ｃ１００ クエスチョン信号生成部
ｃ１０１～ｃ１０５ Ｄフリップフロップ
ｃ１０６～ｃ１１０ ＸＯＲゲート
ｃ２００ アンサー信号生成部
ｃ２０１～ｃ２０８ ＸＯＲゲート
ｃ２０９ ＩＮＶゲート
ｃ３００ イベント判定部
ｃ４００ フェイルカウンタ
ｃ５００ エラー出力部
Ｃ１、Ｃ２ キャパシタ
ＣＮＴ０～ＣＮＴ４ カウンタ
ＦＬＴ０～ＦＬＴ４ フィルタ
ＯＲ０～ＯＲ４、ＯＲ１０～ＯＲ１４ 論理和ゲート
Ｒ１～Ｒ１０、Ｒ１２～Ｒ１６ 抵抗
Ｘ 車両
Ｘ１１～Ｘ１８ 電子機器

Claims (7)

1. トリガ型の第１周波数異常検出部と、
   通信断絶検知型の第２周波数異常検出部と、
   Ｑ＆Ａ型の第３周波数異常検出部と、
   を有し、
   各周波数異常検出部が選択的に用いられ、
   システムの状態に応じて各周波数異常検出部が切り替えられ、
   前記システムが第１状態であるときには前記第１周波数異常検出部が優先され、
   前記システムが前記第１状態よりも軽負荷の第２状態であるときには前記第２周波数異常検出部が優先され、
   前記システムが前記第２状態よりもさらに軽負荷の第３状態であるときには前記第３周波数異常検出部が優先される、ウォッチドッグタイマ。
2. 前記第１周波数異常検出部は、周期的なパルスエッジを監視して周波数異常を検出する、請求項１に記載のウォッチドッグタイマ。
3. 前記第２周波数異常検出部は、周期的な通信アクセスを監視して周波数異常を検出する、請求項１又は２に記載のウォッチドッグタイマ。
4. 前記第３周波数異常検出部は、周期的なＱ＆Ａイベントを監視して周波数異常を検出する、請求項１～３いずれか一項に記載のウォッチドッグタイマ。
5. 請求項１～４のいずれか一項に記載のウォッチドッグタイマを有する監視装置。
6. 請求項５に記載の監視装置を有する電子機器。
7. 請求項６に記載の電子機器を有する車両。

Images