JPH0370837A - 内燃機関の電子制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野］ 本発明は、内燃機関の電子制御装置に関し、さらに詳細
には内燃機関の少なくとも１つの制御可能な回路ユニッ
トや部材、例えばディーゼル噴射ポンプのアクチュエー
タにディジタル制御信号を出力する少なくとも１つの制
御出力端子を有する内燃機関の電子制御装置に関するも
のである。

［従来の技術１ 内燃機関の電子制御装置には２つのコンピュータが設け
られていることが多い。以下においては各コンピュータ
をそれぞれメインコンピュータとサブコンピュータとい
う。サブコンピュータは特にメインコンピュータの監視
を行い、メインコンピュータが故障した場合には非常機
能を遂行する。種々の制御装置の場合、サブコンピュー
タにはこの非常機能だけしか設けられていない。他の制
御装置においては、サブコンピュータは主に制御目的の
ために正常に駆動が行われている場合でもメインコンピ
ュータを支援する。この場合、２つのコンピュータのい
ずれも、他方のコンピュータが故障した場合には非常機
能を遂行することができる。

サブコンピュータは、２つのコンピュータ間でデータ線
を介して交換されるデータを用いてメインコンピュータ
の監視を行う。さらに２つのコンピュータは、両コンピ
ュータによって作動されるウォッチドッグ回路によって
監視される。少なくとも一方のコンピュータがウォッチ
ドッグ回路を作動させるトリガ信号を出力している間は
、ウォッチドッグ回路は制御出力端子の前段に設けられ
たアンド回路に通過信号を出力する。ウォッチドッグ回
路からアンド回路に信号が出力されなくなると、アンド
回路は論理レベル「ゼロ」を出力する。このレベルは安
全電位に相当し、内燃機関の作動される部材を所定位置
へ移動させて、制御装置の故障がその内燃機関を搭載し
た自動車の搭乗者に危険を及ぼさないようにする。

サブコンピュータはメインコンピュータの故障を検出す
ると、信号出力手段に以後サブコンピュータからの出力
信号を制御出力端子に出力すべきことを示す切り替え信
号を出力する。そこで問題になるのは、サブコンピュー
タが誤機能によって切り替え信号を出力する可能性があ
ることである。その場合にはメインコンピュータからの
信号は制御出力端子に出力されず、サブコンピュータが
誤機能しているにも関わらず、サブコンピュータからの
信号に切り替えられてしまう。

［発明が解決しようとする課題１ 本発明の課題は、意図しない出力信号が出力されないよ
うに可能な限り確実に監視できるように構成された。メ
インコンピュータとサブコンピュータを有する内燃機関
の電子制御装置を提供することである。

［課題を解決するための手段］ 上記の課題は本発明によれば、請求の範囲第１項あるい
は第３項に記載の特徴によって解決される。

［作用１ 本発明は、特に高い信頼性を有する電子制御装置の種々
の実施例に関するものである。本発明のすべての制御装
置は次のような構成、すなわち。

メインコンピュータと、 メインコンピュータを監視し、メインコンピュータが故
障の場合には非常機能を遂行するサブコンピュータと。

コンピュータを監視するウォッチドッグ回路と、 少なくとも１つの制御出力端子に２つのレベルを有する
信号を出力する信号出力手段とを備え、前記２つのレベ
ルの一方のレベルは安全電位であり、その電位が印加さ
れている間は内燃機関が安全駆動状態に維持される構成
を有する。

このような構成において、ウォッチドッグ回路を２つ設
け、第１のウォッチドッグ回路によりメインコンピュー
タの機能を監視し、第２のウォッチドッグ回路によりサ
ブコンピュータの機能を監視するようにすると、特に有
利である。この場合、信号出力手段は、少なくともサブ
コンピュータから切り替え信号が出力され、同時にサブ
コンピュータの機能が正常であることが第２のウォッチ
ドッグ回路により検出されているという条件が満たされ
た場合に、サブコンピュータの出力信号をそれぞれの制
御出力端子に出力し、一方、前記第１と第２のウォッチ
ドッグ回路が監視しているそれぞれのコンピュータの故
障を検出した場合には各制御出力端子に安全電位を出力
するように構成されている。

このような手段によって、サブコンピュータの機能が正
常である確率が非常に高い場合にだけ、サブコンピュー
タの信号が少なくとも１つの制御出力端子に出力される
ようになる。サブコンピュータの機能が正常であること
は、第２のウォッチドッグ回路に所定の信号が出力され
ることによって検出することができる。

このような制御装置では、サブコンピュータのみがメイ
ンコンピュータの故障を検出し、一方ウオッチドッグ回
路により相変わらずメインコンピュータが正常であるこ
ｈ出されている場合にも、サブコンピュータの出力信号
を制御出力端子に出力する。この場合、第１のウォッチ
ドッグ回路がメインコンピュータの故障を検出している
という条件が満たされた場合にだけ、サブコンピュータ
の出力信号をそれぞれの制御出力端子にが、サブコンピ
ュータがメインコンピュータの故障を検出している場合
にも、各制御出力端子に安全電位を出力するように構成
することができる。

このように構成すると、サブコンピュータのみがメイン
コンピュータの故障を検出したときには安全電位を制御
出力端子に出力させることが可能になる（第２図構成）
。

また、第２のウォッチドッグ回路によりサブコンピュー
タの機能が正常であることが検出されかつ第１のウォッ
チドッグ回路によりメインコンピュータの故障が検出さ
れた場合、あるいは２つのウォッチドッグ回路によりコ
ンピュータの機能が正常であることが検出されているが
、サブコンピュータによりメインコンピュータの故障が
検出されていて制御出力端子に出力される両コンピュー
タの出力信号が一致している場合にも、サブコンピュー
タの出力信号をそれぞれの制御出力端子に出力し、一方
、両ウォッチドッグ回路により監視しているコンピュー
タの故障が検出された場合には各制御出力端子に安全電
位を出力するように構成することもできる（第３図構成
）。

このような構成の制御装置によれば、両ウォッチドッグ
回路はそれぞれのコンピュータの機能が正常であること
を検出しているが、サブコンピュータはメインコンピュ
ータが故障であると判断している場合についても、本課
題を解決することができる。この制御装置においては、
サブコンピュータによりメインコンピュータの故障が検
出されている場合、制御出力端子に安全電位を出力する
のではなく、制御出力端子にコンビュータカらの出力信
号を出力させることができるが、それは２つのコンピュ
ータの出力信号が一致している場合だけである。

上記の説明から明らかなように、制御装置全体の機能を
左右するものはウォッチドッグ回路の機能である。そこ
で、好ましくは、コンピュータにより監視信号をウォッ
チドッグ回路に出力し、監視信号の出力後にウォッチド
ッグ回路の出力信号を試験するように構成する（第４図
）。試験の結果、ウォッチドッグ回路が正常に機能して
いないことが明らかになった場合に、信号出力手段から
制御出力端子に安全電位が出力される。ウォッチドッグ
回路は、従来技術の場合と同様に両コンピュータを監視
する共通のウォッチドッグ回路から構成することもでき
るが、個々のウォッチドッグ回路とすることも可能であ
る。

コンピュータの機能が正常であると判断されている場合
でも、誤った出力信号が出力される危険は常に存在する
。このような危険に基づく誤機能を排除するために、制
御出力端子に出力される信号が少なくとも一方のコンピ
ュータによって試験され、試験された信号の値が予測さ
れる値と一致しないことが検出された場合には、安全制
御が行われる。制御出力端子に出力される信号の代わり
に、制御出力端子の信号によって作動される出力段の出
力信号を試験することも可能である。

なお、両コンピュータを監視する機能と出力信号が正確
であることを試験する機能は個々に用いても、あるいは
−緒に用いてもよい。安全性を高めるのに寄与するすべ
ての手段を一緒に用いると、非常に効果的である。

［実施例］ 以下、図面に示す実施例を用いて本発明の詳細な説明す
る６ 第１図〜第４図のすべてに示す制御装置には、メインコ
ンピュータ１０、メインコンピュータを監視する第１の
ウォッチドッグ回路１１、サブコンピュータ１２、サブ
コンピュータを監視する第２のウォッチドッグ回路１３
並びにそれぞれ異なる機能を実施する回路群を有する信
号出力手段１４．１が設けられている。この信号出力手
段１４．１は一点鎖線で示されている。それぞれの制御
装置は内燃機関の少なくとも１つの回路ユニットを駆動
するものである。第１図では、２つの回路１５．１と１
５．２が設けられている。各回路ユニットには、少なく
とも１つの制御出力端子１６から制御信号が入力される
。第１図に示す制御装置には２つの制御出力端子１６．
１と１６．２が設けられている。上記回路ユニットは１
例えばアクチュエータを駆動する駆動回路あるいは制御
器である。前者の場合すなわちアクチュエータの駆動回
路である場合には、出力される制御信号は操作信号であ
って、後者の場合すなわち制御器である場合には目標値
信号である。異なる制御出力端子に異なる制御信号を出
力させることができる。しかし制御信号はディジタル信
号であって、従って２つのレベルを有する信号である。

各回路ユニット１５は、一方のレベルの信号が連続して
出力されたときには、その内燃機関を搭載した自動車を
安全駆動状態に維持できる状態にすることができるよう
に構成されている。安全状態が生じるレベルの電位を、
以下においては安全電位という、この電位は、それぞれ
駆動される回路ユニットＩ５の構成に従って、ローレベ
ルあるいはハイレベルとすることができる。

第１図に示す制御装置の信号出力手段１４．１にはオア
ゲート１７、アンドゲート１８、切り替え装置１９及び
２つの遮断アンドゲート２０．１と２０．２が設けられ
ている。オアゲート１７には第１のウォッチドッグ回路
１１と第２のウォッチドッグ回路１３からの信号が入力
される。オアゲート１７の出力は遮断アンドゲート２０
．１と２０．２の第１の入力信号となる。第１の遮断ア
ンドゲート２０．１の第２の入力信号はメインコンピュ
ータの第１の出力信号ＨＡ５．１である。

第２の遮断アンドゲート２０．２の第２の入力信号はメ
インコンピュータ１０の第２の出力信号ＲＡＳ、２であ
る。第１の遮断アンドゲート２０、ｌの出力信号は第１
の制御出力端子１６、】に導かれる。同様に第２の遮断
アンドゲート２０．２の出力信号は第２の制御出力端子
１６．２に出力される。

しかし、遮断アンドゲート２０．ｌと２０．２にはメイ
ンコンピュータ１０が正常に機能している場合にのみそ
の出力信号ＨＡＳ．ＨＡＳ、２が入力される。メインコ
ンピュータ１０の機能が正常でない場合には、切り替え
装置１９が切り替わり、それによって遮断アンドゲート
２０．１と２０．２にサブコンピュータ１２の出力信号
ＮＡＳ、１ないしＮＡＳ、２が入力される。この切り替
えは、アントゲ−１−１８から出力信号が出力された場
合に行われる。アンドゲート１８の一方の入力端子には
第２のウォッチドッグ回路１３の出力信号が入力され、
他方の入力端子には切り替え信号ＵＳが入力される。２
つの信号がハイレベルになると、切り替えが行われる。

上述の機能の論理処理は、次のような手順で行われる。

２つのウォッチドッグ回路１１と１３のうち少なくとも
一方により、２つのコンピュータの一方が正常に機能し
ていることが示されている場合には、オアゲート１７か
らハイレベルの信号が出力され、それによって２つの遮
断アンドゲート２０、ｌと２０６２は導通状態に切り替
えられる。従って遮断アンドゲートの出力には、同遮断
アンドゲートのそれぞれ第２の入力端子に印加される信
号が出力される。この信号はメインコンピュータが正常
に機能している場合には、それぞれの出力信号ＨＡＳ、
ｌないしＨＡＳ、２である。しかしサブコンピュータ１
２にデータ交換線２１を介してエラー信号が入力された
り、あるいはサブコンピュータに信号が入力されなくな
って、メインコンピュータ１０が故障したとサブコンピ
ュータが判断すると、サブコンピュータ１２の出力信号
ＮＡＳ、ｌないしＮＡＳ、２への切り替えが行われる。

上述の回路にアンドゲート１８が設けられていることに
よって、サブコンピュータ１２から切り替え信号が出力
され、同時に第２のウォッチドッグ回路１３によりサブ
コンピユータ１２が正常に機能していることが検出され
た場合にのみ、切り替え信号によって切り替えが行われ
る。従来の公知の制御装置においては、サブコンピュー
タが誤動作によりメインコンピュータの機能が正常でな
いと誤認し、その後切り替えが行なわれてサブコンピュ
ータからエラーのある出力信号が出力されてしまうこと
があった。この欠点は第１図に示す制御装置においては
解決されている。

上記の欠点は、以下に第２図を用いて説明するような原
理を使用すれば、さらに改善することができる。すなわ
ち、第２図ではサブコンピュータに設けられているウォ
ッチドッグ回路がサブコンピュータの故障を示したとき
に、サブコンピュータからの信号の出力が防止されるだ
けでなく、メインコンピュータ１０に設けられているウ
ォッチドッグ回路１１はメインコンピュータの機能が正
常であることを示しているにもかかわらず、サブコンピ
ュータ１２がメインコンピュータ１０の故障を示した場
合にも、サブコンピュータからの信号の出力は防止され
る。

上記の原理を実現するために、第２図に示す制御装置の
信号出力手段１４．２には、第１図に示す信号出力手段
１４．１における機能に加えて、さらに第２のアンドゲ
ート２２が設けられている。この第２のアンドゲート２
２に、そしてこの第２のアンドゲート２２だけに、オア
ゲート１７とアンドゲート１８の出力信号が入力される
。この場合、アンドゲート１８の信号は反転されて入力
される。なお、オアゲート１７とアンドゲート１８の入
力信号は、第１図で説明した信号である。

単純化するために、第２図においては、また第３図と第
４図においても、それぞれ制御出力端子１６は１つしか
示されていない。制御出力端子にはその信号によって作
動される回路ユニット１５が接続されている。同様にメ
インコンピュータｌＯは１つの出力信号ＲＡＳのみを出
力し、サブコンピュータ１２も唯一の出力信号ＮＡＳを
出力するものとして図示されている。しかし、各コンピ
ュータから多数の制御出力端子に多数の制御信号を出力
する場合でも、制御装置の原理には変わりはない。

上述の制御出力端子１６には遮断アンドゲート２０の出
力信号が入力される。遮断アンドゲート２０には２つの
入力信号、特に第２のアンドゲート２２の出力信号と切
り替え装置１９の出力信号が入力される６第２図に示す
実施例においては、この切り替え装置１９は、サブコン
ピュータ１２から出力される切り替え信号ＵＳによって
切り替えられるのではなく、第１のウォッチドッグ回路
・１１の出力信号によって切り替えられる。この信号が
ローレベルに下がると、切り替え装置１９はメインコン
ピュータエ０の出力信号ＲＡＳからサブコンピュータ１
２の出力信号ＮＡＳへの切り替えを行う。

切り替え装置Ｉ９を上述のように作動させることによっ
て、第１のウォッチドッグ回路１１がメインコンピュー
タ１０の機能が正常であることを検出している場合には
サブコンピュータ１２の出力信号が制御出力端子１６へ
出力されることはない。しかし、同時にサブコンピュー
タ１２がメインコンピュータの機能の異常を検出し、従
って切り替え信号ＵＳがアンドゲート１８に出力される
と、上述の回路において第２のアンドゲート２２から遮
断アンドゲート２０に出力される信号がローレベルに低
下し、それによって遮断アンドゲート２０は制御出力端
子１６にローレベルを有する信号を出力する。これは、
切り替え信号ＵＳがアンドゲート１８においてウォッチ
ドッグ回路Ｉ３からの信号と結合されて、その反転信号
が第２のアンドゲートの第２の入力端子に入力されるこ
とによって行われる。

従って第２図に示す回路においては、２つのウォッチド
ッグ回路１１と１３がらの信号がな（なるか（第２のア
ンドゲート２２の一方の入力がローレベルになる）、あ
るいはサブコンピュータ】２が切り替え信号ＵＳを出力
し、かつそのウォッチドッグ回路１３がサブコンピュー
タ１２の機能が正常であることを検出している場合に（
第２のアンドゲート２２の他方の入力がローレベルにな
る）、アンドゲート２０が遮断され、制御出力端子１６
に安全電位が出力される。

第３図に示す制御装置は、第２図に示す制御装置の変形
例である。第３図の場合、サブコンピュータ１２が故障
し、第１のウォッチドッグ回路１１からメイ・シコンピ
ユータ１０の機能が正常であることが示される場合に、
必ずしも制御出力端子に安全電位が継続的に出力される
のではなく、さらにメインコンピュータＩＯの出力信号
ＨＡＳとサブコンピュータ１２の出力信号ＮＡＳが一致
した場合にはディジタル信号によって制御が行われる。

さらに、本実施例は第２図の実施例とは異なり、切り替
え装置１９は設けられておらず、多数の論理回路によっ
て、メインコンピュータ１０の出力信号ＨＡＳかあるい
はサブコンピュータ１２の出力信号ＮＡＳが制御出力端
子１６に供給され、あるいは前の段落に示す条件のもと
では両方の信号が制御出力端子に供給される。

第３図に示す信号出力手段１４．３には、メインのアン
ドゲート２４．１とサブのアンドゲート２４．２及び信
号オアゲート２５．１と遮断オアゲート２５．２（及び
第２のアンドゲート２２）が設けられている。第２のア
ンドゲート２２には入力信号としてオアゲート２５．１
及び２５．２の出力信号が入力される。信号オアゲート
２５．１には上述の２つのアンドゲート２４．１と２４
．２の出力信号が入力信号として入力される。遮断オア
グー１−２５．２には両ウォッチドッグ回路１１と１３
の出力信号が入力信号として入力される。さらに第１の
ウォッチドッグ回路１１の出力信号はメインのアンドゲ
ート２４．ｌに入力信号として入力される。同様にサブ
のアンドゲート２４．２には第２のウォッチドッグ回路
１３の出力信号が入力信号として人力される。メインの
アンドゲート２４．ｌの第２の入力信号はメインコンピ
ュータ１０の出力信号ＨＡＳであって、サブのアンドゲ
ート２４，２の第２の入力信号はサブコンピュータ１２
の出力信号ＮＡＳである。

ここで、上述のように構成された制御装置の機能を再度
簡単に説明する。第１のウォッチドッグ回路１１とサブ
コンピュータ１２からメインコンピュータ１０の機能が
正常であることが検出されると、メインコンピュータの
出力信号ＨＡＳが制御出力端子１６に出力される。第１
のウォッチドッグ回路１１とサブコンピュータ１２によ
りメインコンピュータ１０の故障が検出された場合には
、サブコンピュータ１２の出力信号ＮＡＳが制御出力端
子１６に出力される。両ウォッチドッグ回路１１と１３
がそれぞれのコンピュータ１０ないし１２の故障を検出
した場合には、制御出力端子１６に連続的に安全電位が
出力される。さらにサブコンピュータ１２はメインコン
ピュータＩＯの故障を検出し、それにもかかわらずウォ
ッチドッグ回路１１がメインコンピュータ１０の機能が
正常であることを検出した場合には、両コンピュータ１
０と１２の出力ＨＡＳとＮＡＳが一致した場合にだけ制
御出力端子にディジタルの出力信号が出力される。それ
以外の場合は安全電位が出力される。

上記の説明から明らかなように、所望の駆動安全性に関
しては、ウォッチドッグ回路１１と１３が正常に機能し
ているか否かが重要になる。

その機能が完璧であるかどうかを試験するために、第４
図に示す実施例の制御装置では、第１のウォッチドッグ
回路１１の出力信号がメインコンピュータｌＯにフィー
ドバックされ、第２のウォッチドッグ回路１３の出力信
号がサブコンピュータ１２にフィードバックされるよう
に構成されている。試験プログラムにおいては、メイン
コンピュータｌＯは第１のウォッチドッグ回路１１を作
動させるトリガ信号をストップし、その後ウォッチドッ
グ回路の出力信号が低いレベルに低下したかどうかを判
断する。低下しない場合には、第１のウォッチドッグ回
路１１の機能に誤りがあることを示すものであって、そ
の後メインコンピュータ１０は非常走行信号ＮＬＳ、Ｈ
を信号出力手段１４に出力する。この信号出力手段ｌ４
の構成は第４図には示されていない。第４図の信号出力
手段は好ましくは第１図から第３図に説明したいずれか
の原理に従って作動する。非常走行信号ＮＬＳ、Ｉ（を
出力するために、信号出力手段１４は制御出力端子に安
全電位を出力するか、あるいは走行駆動を著しく制限す
るディジタル信号を出力する。それによってその自動車
のドライバーに、修理工場へ行って制御装置の修理をさ
せるようにうながす。

メインコンピュータ１０が第１のウォッチドッグ回路１
１の試験をして第１のウォッチドッグ回路が故障してい
る場合に非常走行信号ＮＬＳ、Ｈを出力するのと同様に
、サブコンピュータ１２も第２のウォッチドッグ回路１
３の試験を行い、故障がある場合には非常走行信号ＮＬ
Ｓ、Ｎを出力する。

上述の試験は、異なる２つのウォッチドッグ回路が設け
られておらず、２つのコンピュータが共通のウォッチド
ッグ回路を作動させる場合に６、実施することができる
。その場合にはメインコンピュータｌＯはサブコンピュ
ータ１２にデータ交換線２１を介して、作動信号（トリ
ガー信号）を出力しないことを伝える。その後どちらか
のコンピュータがウォッチドッグ回路の出力信号がなく
なったかどうかを検出する。なくならない場合には、非
常走行手段を作動させる。

上記の説明から明らかなように、信号出力手段の種々の
実施例はすべて、どちらかのコンピュータが故障した場
合に確実な駆動を行わせるために用いられている。しか
し、信号出力手段自体の機能に誤りがあり、あるいは作
動される回路ユニット１５が入力された信号を誤って処
理した場合には、意図したのと異なった結果をもたらす
ことがある。この種のエラーに関しても駆動安全性を高
めるために、第４図に示す制御装置は、制御出力端子１
６の出力信号をメインコンピュータ１０にもサブコンピ
ュータ１２にもフィードバックさせるように構成されて
いる。その場合、各コンピュータは制御出力端子１６に
生じた信号が予測される信号と一致するかどうかを試験
する。そのために回路ユニット１５の出力信号を２つの
コンピュータにフィードバックして、予測される信号を
比較することができる。どちらかの比較から誤りが生じ
た場合には、メインコンピュータ１０ないしサブコンピ
ュータ１２から阻止信号ＳＰＳ、ＨないしＳＰＳ、Ｎが
出力される。この信号は回路ユニット１５の後段に接続
された安全スイッチ２６に入力され、安全スイッチはア
ース電位あるいはそれぞれの使用目的に応じた他の安全
電位を出力線に出力する。また、後段に接続された安全
スイッチ２６の変わりに、回路ユニット１５を有する出
力端子１６に並列に作用する第２の接続点（第４図には
不図示）を設けることによって、例えば第１図に示すよ
うに他の出力端子を介して安全状態を得ることも可能で
ある。

第４図を用いて説明した安全手段は好ましくは一緒に使
用することができるが、個別に使用することもできる。

第４図を用いて説明した手段を。

第２図あるいは第３図を用いて説明した手段と一緒に使
用すると、きわめて効果的である。

［発明の効果］ 以上説明したように、本発明によれば、サブコンピュー
タの機能が正常である確率が非常に高い乏 場合にだけ、サブコンピュータの信号か少なくとも１つ
の制御出力端子に出力させることが可能になる。

【図面の簡単な説明】

第１図は、サブコンピュータに設けられているウォッチ
ドッグ回路によりサブコンピュータが正常に機能してい
ると判断された場合にのみ、サブコンピュータの出力信
号を制御出力端子に出力することができるように構成さ
れた電子制御装置のブロック回路図、 第２図は、サブコンピュータに設けられているウォッチ
ドッグ回路によりサブコンピュータが正常に機能してい
ると判断され、同時にメインコンピュータに設けられて
いるウォッチドッグ回路がメインコンピュータの故障を
示す場合にのみ、サブコンピュータの出力信号を制御出
力端子に出力することができるように構成された電子制
御装置のブロック回路図、 第３図は、サブコンピュータに設けられているつオツヂ
ドッグ回路によりサブコンピュータが正常に機能してい
ると判断され、かつメインコンピュータに設けられてい
るウォッチドッグ回路がメインコンピュータの故障を示
すか、あるいはメインコンピュータとサブコンピュータ
が同一の出力信号を出力する場合にのみ、サブコンピュ
ータの出力信号を制御出力端子に出力することができる
ように構成された電子制御装置のブロック回路図。 第４図は、出力信号を監視し、得られた出力信号が予想
される出力信号と一致しない場合に、制御装置の出力端
子に安全電位を印加する構成の電子制御装置のブロック
回路図である。 １０・・・メインコンピュータ １１・・・第１のウォッチドッグ回路 １２・−・サブコンピュータ １３・−・第２のウォッチドッグ回路 １４・・・信号出力手段 Ｉ５・・・回路ユニット １６・−・制御出力端子

Claims (1)

1. 【特許請求の範囲】 １）メインコンピュータ（１０）と、 メインコンピュータを監視し、メインコン ピュータが故障の場合には非常機能を遂行するサブコン
   ピュータ（１２）と、 コンピュータを監視するウォッチドッグ回路（１１、１
   ３）と、 少なくとも１つの制御出力端子（１６、 １６．１、１６．２）に２つのレベルを有する信号を出
   力する信号出力手段（１４、１４．１、１４．２、１４
   ．３）とを備え、 前記２つのレベルの一方のレベルは安全電位であり、そ
   の電位が印加されている間は内燃機関が安全駆動状態に
   維持される内燃機関の電子制御装置において、 メインコンピュータ（１０）の機能を監視する第１のウ
   ォッチドッグ回路（１１）が設けられ、サブコンピュー
   タ（１２）の機能を監視する第２のウォッチドッグ回路
   （１３）が設けられ、前記信号出力手段（１４．１）は
   、 少なくともサブコンピュータから切り替え信号が出力さ
   れ、同時にサブコンピュータの機能が正常であることが
   第２のウォッチドッグ回路により検出されているという
   条件が満たされた場合に、サブコンピュータの出力信号
   をそれぞれの制御出力端子（１６．１、１６．２）に出
   力し、 一方、前記第１と第２のウォッチドッグ回路が監視して
   いるそれぞれのコンピュータの故障を検出した場合には
   各制御出力端子に安全電位を出力することを特徴とする
   内燃機関の電子制御装置。 ２）前記信号出力手段（１４．２）はさらに、第１のウ
   ォッチドッグ回路（１１）がメインコンピュータ（１０
   ）の故障を検出しているという条件が満たされた場合に
   だけ、サブコンピュータ（１２）の出力信号をそれぞれ
   の制御出力端子（１６）に出力し、 ２つのウォッチドッグ回路（１１、１３）によりコンピ
   ュータの機能が正常であることが検出されているが、サ
   ブコンピュータがメインコンピュータの故障を検出して
   いる場合にも、各制御出力端子に安全電位を出力するこ
   とを特徴とする請求項第１項に記載の電子制御装置。 ３）メインコンピュータ（１０）と、 メインコンピュータを監視し、メインコン ピュータが故障の場合には非常機能を遂行するサブコン
   ピュータ（１２）と、 コンピュータを監視するウォッチドッグ回路（１１、１
   ３）と、 少なくとも１つの制御出力端子（１６、 １６．１、１６．２）に２つのレベルを有する信号を出
   力する信号出力手段（１４、１４．１、１４．２、１４
   ．３）とを備え、 前記２つのレベルの一方のレベルは安全電位を有し、そ
   の電位が印加されている間は内燃機関が安全駆動状態に
   維持される内燃機関の電子制御装置において、 メインコンピュータ（１０）の機能を監視する第１のウ
   ォッチドッグ回路（１１）が設けられ、サブコンピュー
   タ（１２）の機能を監視する第２のウォッチドッグ回路
   （１３）が設けられ、前記信号出力手段（１４．３）は
   、 第２のウォッチドッグ回路によりサブコン ピュータの機能が正常であることが検出されかつ第１の
   ウォッチドッグ回路によりメインコンピュータの故障が
   検出された場合、あるいは２つのウォッチドッグ回路に
   よりコンピュータの機能が正常であることが検出されて
   いるが、サブコンピュータによりメインコンピュータの
   故障が検出されていて制御出力端子に出力される両コン
   ピュータの出力信号が一致している場合にも、サブコン
   ピュータの出力信号をそれぞれの制御出力端子（１６）
   に出力し、 一方、両ウォッチドッグ回路によりそれぞれ監視してい
   るコンピュータの故障が検出された場合には各制御出力
   端子に安全電位を出力することを特徴とする内燃機関の
   電子制御装置。 ４）コンピュータ（１０、１２）から監視信号がウォッ
   チドッグ回路（１１、１３）に出力され、監視信号の出
   力後にウォッチドッグ回路が試験され、 試験の結果、それぞれのコンピュータに設けられている
   ウォッチドッグ回路が正常に機能していないことが明ら
   かになった場合に、メインコンピュータ（１０）あるは
   サブコンピュータ （１２）から安全電位が出力されることを特徴とする請
   求項第１項から第３項のいずれか１項に記載の電子制御
   装置。 ５）制御出力端子（１６）に印加される信号が、少なく
   とも一方のコンピュータによって試験され、 試験した信号の値が予測される値と一致しなかった場合
   には安全制御が行われることを特徴とする請求項第１項
   から第４項のいずれか１項に記載の電子制御装置。 ６）制御される回路ユニット（１５）の出力信号が少な
   くとも一方のコンピュータによって試験され、前記回路
   ユニットがそれぞれの制御出力端子（１６）に印加され
   る信号によって作動され、試験された信号の値が予測さ
   れる値と一致しない場合には、安全制御が行われること
   を特徴とする請求項第１項から第５項のいずれか１項に
   記載の電子制御装置。