JPH07293320A - 電子制御装置 - Google Patents

Abstract

(57)【要約】 【目的】この発明は、２ＣＰＵで構成した場合に、その
ＣＰＵの一方が異常となったときの制御手段を改良し、
例えばエンジン制御においてリンプホーム可能な制御を
可能とする電子制御装置を提供することを目的とする。 【構成】マスタＣＰＵ12とスレーブＣＰＵ13を備え、ス
レーブＣＰＵ13はマスタＣＰＵ12で監視してその異常時
にマスタＣＰＵ12でリセットされる。ＣＰＵ暴走監視回
路18でマスタＣＰＵを監視してその異常時に切り換え信
号を出力し、スレーブＣＰＵ13に異常時処理指令を与え
ると共にアンドゲート21、22、24のゲートを閉じ、第
１、第２のスイッチ19、20を切り換える。マスタＣＰＵ
12からのコンペア出力は、正常時にスイッチ19を介して
アンドゲート23から出力され、その異常時にはスレーブ
ＣＰＵ13の異常時処理されたコンペア出力が、スイッチ
20、19を介してアンドゲート23からリンプホーム可能に
する信号として出力される。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、例えば車両に搭載さ
れてエンジンの電子制御装置をＣＰＵによって構成する
に際して、特にＣＰＵフェイル時におけるフォールトト
レラントシステムを備え電子制御装置に関する。

【０００２】

【従来の技術】車両用エンジンの電子制御装置において
は、エンジンの運転状態を検出する各種検出信号に基づ
いて、燃料噴射制御や点火制御等と共にノックコントロ
ール、スロットルコントロール、燃料ポンプ制御、ＥＧ
Ｒ制御、燃料噴射制御等の各種制御が行われており、そ
の制御対象が大幅に拡大される傾向にある。このため、
この様な電子制御装置にあっては、従来は１個のＣＰＵ
によって構成されていたものが、複数のＣＰＵによって
構成されたマルチＣＰＵ構成の電子制御装置に移行して
いる。特に、２個のＣＰＵを用いる２ＣＰＵ構成の電子
制御装置が広く使用されるようになっている。

【０００３】この様なマルチＣＰＵ構成の電子制御装置
では、それぞれのＣＰＵにおいて別個の制御を行うよう
にしている。したがって、この複数のＣＰＵの中で１つ
でもＣＰＵがフェイルしたときには、そのＣＰＵが行っ
ている制御が実行できなくなり、このため重大な障害の
発生となる。

【０００４】この様な問題点に対処するため、特公表６
３−５０１３０３号公報には、２ＣＰＵ構成の電子制御
装置において、その一方のＣＰＵがフェイルした場合の
対策が開示されている。この例では、一方のＣＰＵがフ
ェイルしたときに、他方のＣＰＵによりバックアップす
るようにしている。ここで使用されている２個のＣＰＵ
においては、演算負荷を両ＣＰＵに対して均一に分配
し、特に重要な信号はプログラムとして両ＣＰＵにそれ
ぞれ用意されている。すなわち、全ての処理を一方のＣ
ＰＵにおいて行わせるようにすると処理負荷が大きくな
るので、この処理を両ＣＰＵに分配することで処理能力
の向上を図っている。

【０００５】具体的には、エンジン制御で必要なアクチ
ュエータを制御するために、その指令位置を演算する処
理と、その目標指令位置にアクチュエータを駆動する処
理とに分け、一方のＣＰＵで目標位置を演算し、他方の
ＣＰＵでサーボ処理を行わせる。この２つのＣＰＵにお
いてはそれぞれ異常監視回路を備えており、各ＣＰＵに
設けた異常監視回路において検出された異常状態に応じ
て各ＣＰＵのフェイルを検出し、そのＣＰＵのフェイル
時には他方のＣＰＵにおいて一方のＣＰＵの処理も併せ
て実行されるようにしている。

【０００６】したがって、この様に構成される電子制御
装置にあっては、この電子制御装置を構成する複数のＣ
ＰＵそれぞれに対して異常検出回路を設けるようにして
いるものであるため、必然的に部品点数の増加を招き、
この電子制御装置の部品実装密度の上昇と共に、コスト
アップの問題を有する。

【０００７】

【発明が解決しようとする課題】この発明は上記のよう
な点に鑑みなされたもので、複数のＣＰＵを含むマルチ
ＣＰＵ構成とした場合において、各ＣＰＵの異常の監視
が１つの異常監視回路および１つのＣＰＵによって行わ
れるようにして、充分簡易化した部品構成が実現できて
信頼性の確保も容易ととされるようにした電子制御装置
を提供しようとするものである。

【０００８】

【課題を解決するための手段】この発明に係る電子制御
装置に関する第１の発明は、図６で示すように第１の制
御対象51への制御信号を出力する第１のＣＰＵ52と、第
２の制御対象53への制御信号を出力する第２のＣＰＵ54
とを備えた電子制御ユニットにおいて、前記第１のＣＰ
Ｕ52に設定された第１の異常監視手段521 で第２のＣＰ
Ｕ54の異常を監視してその異常時に第２のＣＰＵ54をリ
セットし、第２の異常監視手段55で第１のＣＰＵ52の異
常を監視してその異常時に第１のＣＰＵ52をリセットす
る。また第１のＣＰＵの異常検出に応じて切り換え手段
56を制御し、第１の制御対象51への制御信号を前記第１
のＣＰＵ52から第２のＣＰＵ54に切り換えるもので、第
２のＣＰＵ54には異常時制御信号出力手段541 を設定
し、切り換え手段56の切り換えに対応して前記第１の制
御対象51へ制御信号を出力する。

【０００９】また第２の発明は、図７で示すように図６
と同様に第１および第２のＣＰＵ52および54、さらに第
１および第２の異常監視手段521 、55、切り換え手段56
を備え、この切り換え手段56による制御信号の切り換え
に対応して、前記第２の異常監視手段55に第２のＣＰＵ
54から出力される作動信号に切り換えて供給する作動信
号切り換え手段60を備えるもので、第２のＣＰＵには切
り換え手段60で制御信号が切り換えられたときに第１の
制御対象51への制御信号を異常時制御信号出力手段542
で出力させる。

【００１０】さらに第３の発明は、図８で示すようにこ
れまでと同様の電子制御ユニットにおいて、第１のＣＰ
Ｕ52に設定される異常監視手段521 で第２のＣＰＵ54を
監視し、第２のＣＰＵの異常の非検出状態で、第１の制
御信号演算手段523 で前記第１の制御対象51に対する制
御信号を演算し、異常監視手段521 での第２のＣＰＵ54
の異常の検出状態で、第２の制御信号演算手段524 で第
１の制御対象51に対する制御信号を演算させると共に、
前記第１および第２の制御信号演算演算手段543 、544
によって演算される演算信号の出力が切り換え手段525
によって切り換えられる。

【００１１】

【作用】この様に構成される電子制御装置によれば、電
子制御ユニットを構成する２個のＣＰＵ52および54の中
で、第２のＣＰＵ54が異常となったときには第１のＣＰ
Ｕ52においてこれを検出し、第２のＣＰＵ54がリセット
される。そして、第１のＣＰＵ52から出力される信号に
よって、リンプホーム可能な制御が実行される。また、
第１のＣＰＵ52に異常が生じたような場合には、これが
監視回路において検出されると共に、この第１のＣＰＵ
52にリセットが掛けられ、第２のＣＰＵ54において異常
時の処理が行われて、これまで第１のＣＰＵ52から出力
されていた噴射制御や点火制御の、リンプホームを可能
にする異常時処理が第２のＣＰＵ54において代行される
ようになって、第１のＣＰＵ52からの出力に代わって第
２のＣＰＵ54からの出力による制御が実行される。した
がって、例えばエンジンの制御装置において、このエン
ジン制御で最低限必要な点火制御と共に燃料噴射制御が
継続して行われ、電子制御装置のフェイルが避けられ
て、例えば修理工場までの運転が可能とされるようにな
る。

【００１２】

【実施例】以下、図面を参照してこの発明の一実施例を
説明する。図１は例えばガソリン筒内直噴エンジンの電
子制御ユニット11を構成した場合を示す。この電子制御
ユニット11は、点火時期や燃料噴射等を制御するマスタ
ＣＰＵ12と、その他のアクチュエータを制御するスレー
ブＣＰＵ13とを備えた２ＣＰＵで構成される。この電子
制御ユニット11に対する入力としては、エンジンの回転
に伴い発生される回転パルスNE、このエンジンの特定さ
れる基準回転角位置で発生される基準Ｇパルス、その他
エンジンの運転状態を検出したアナログ検出信号および
ディジタル検出信号が存在する。そして、エンジンに対
する点火信号および噴射信号と共に、その他のアクチュ
エータ制御信号が出力され、図では示されないエンジン
が回転速度や負荷状態等の運転状況に対応して運転制御
される。

【００１３】すなわち、NEパルスやＧパルスはそれぞれ
波形整形回路14および15に入力されて波形整形され、Ｃ
ＰＵ12および13に入力信号として供給される。また、ア
ナログ検出信号およびディジタル検出信号は、それぞれ
アナログバッファ16およびディジタルバッファ17を介し
て、ＣＰＵ12および13に必要な信号が入力されるもの
で、ＣＰＵ12および13においては、これらの入力信号に
基づいて演算処理が行われる。

【００１４】そして、マスタＣＰＵ12においては点火信
号および燃料噴射信号をコンペア出力端子より出力し、
この信号に基づいて点火プラグおよびインジェクタが制
御される。さらにスレーブＣＰＵ13においてはその他の
エンジン制御に必要なアクチュエータ駆動信号等がコン
ペア出力端子から出力され、アクチュエータが制御され
る。なお、これらのＣＰＵ12および13においては、他の
制御信号がコンペア出力端子の他にポート出力端子から
も出力されている。

【００１５】この様な電子制御ユニット11を構成するマ
スタＣＰＵ12およびスレーブＣＰＵ13は、それぞれ正常
に動作しているか否かが監視されている。すなわち、マ
スタＣＰＵ12およびスレーブＣＰＵ13は、それぞれ正常
動作時に所定周期で連続して発生されるウォッチドック
パルス（ＷＤ）を出力する。マスタＣＰＵ12からのウォ
ッチドックパルスはＣＰＵ暴走監視回路18に入力され
る。マスタＣＰＵ12が正常に動作しているか否かは、Ｃ
ＰＵ暴走検出回路18で監視されている。スレーブＣＰＵ
13からのウォッチドックパルスはマスタＣＰＵ12に入力
される。そして、このスレーブＣＰＵ13が正常に動作さ
れているか否かは、マスタＣＰＵ12において監視され
る。また、マスタＣＰＵ12の異常時には、スレーブＣＰ
Ｕ13から出力されるウォッドックパルスを、マスタＣＰ
Ｕ12からＣＰＵ暴走監視回路18に切り換え、スレーブＣ
ＰＵ13の異常が検出されるようにする。

【００１６】マスタＣＰＵ12はスレーブＣＰＵ13から出
力されるウッチドックパルスを監視して、このパルスが
所定時間以上反転しなくなったとき、スレーブＣＰＵ13
の異常と判断する。この異常判断に伴って第１のゲート
信号が出力されて、スレーブＣＰＵ13からのコンペア出
力とポート出力とを無効にする。さらに、スレーブＣＰ
Ｕ13をリセットしてその動作を停止する。

【００１７】ここで、マスタＣＰＵ12は通常では正常プ
ログラムが稼働していて、スレーブＣＰＵ13の異常時に
おいても、マスタＣＰＵ12としては正常プログラムを稼
働できて正常パルスを出力する。しかし、この状況では
電子制御ユニット11としては正常ではないので、このマ
スタＣＰＵ12から出力される点火信号および噴射信号
も、異常時用の異常制御用出力とされる。すなわち、ス
レーブＣＰＵ13が異常と判定されたときには、マスタＣ
ＰＵ12においても異常時用の別プログラムが起動され
る。

【００１８】ＣＰＵ暴走監視回路18においてマスタＣＰ
Ｕ12の異常が検出されたときには、切り換え信号が出力
される。具体的には、切り換え信号はＣＰＵ12および13
の正常時にはハイ（Ｈ）レベルであり、マスタＣＰＵ12
の異常が検出されたときにロー（Ｌ）レベルとされる。
この切り換え信号は第１および第２の切り換えスイッチ
19および20に切り換え指令として供給されると共に、ア
ンドゲート21、22および24それぞれにゲート信号として
供給される。また、マスタＣＰＵ12およびスレーブＣＰ
Ｕ13が共に異常となったときには、切り換え信号と共に
第２のゲート信号が出力される。すなわち、正常時には
Ｈレベルである第２のゲート信号がＬレベルとされるも
ので、この第２のゲート信号はアンドゲート23にゲート
信号として供給される。

【００１９】マスタＣＰＵ12から出力された第１のゲー
ト信号は、アンドゲート22および24にゲート信号として
供給されるもので、このゲート信号は正常時にはＨレベ
ルであり異常検出時にＬレベルとされる。アンドゲート
24には、さらにＣＰＵ暴走監視回路18からの切り換え信
号がゲート信号として供給されている。

【００２０】マスタＣＰＵ12からのコンペア出力は、第
１の切り換えスイッチ19の常閉の接点に入力され、スレ
ーブＣＰＵ13のコンペア出力が第２の切り換えスイッチ
20の可動接点に供給されて、この切り換えスイッチ20の
常開側接点からの出力が第１の切り換えスイッチ19の常
開側接点に入力される。そして、第１の切り換えスイッ
チ19の可動接点からの出力がアンドゲート23に入力さ
れ、第２の切り換えスイッチ20の常閉側接点からの出力
がアンドゲート24に入力される。そして、これらの第１
および第２の切り換えスイッチ19および20は、切り換え
信号のＨレベルの状態で図の状態に設定される。

【００２１】すなわち、マスタＣＰＵ12およびスレーブ
ＣＰＵ13が共に正常動作している状態では、第１および
第２のゲート信号、さらに切り換え信号が全てＨレベル
であり、したがって第１および第２の切り換えスイッチ
19および20が図の状態に設定されると共に、アンドゲー
ト21〜24には全てＨレベルのゲート信号が供給されてい
る。

【００２２】したがって、マスタＣＰＵ12のコンペア出
力は、第１の切り換えスイッチ19およびアンドゲート23
を介して点火信号および噴射信号として出力されると共
に、このマスタＣＰＵ12のポート出力はアンドゲート21
を介してその他の出力として取り出される。また、スレ
ーブＣＰＵ13のコンペア出力は、第２の切り換えスイッ
チ20およびアンドゲート24を介してアクチュエータ制御
信号として出力され、さらにポート出力はアンドゲート
22を介してその他の出力として取り出される。そして、
これらアンドゲート21〜24それぞれからの出力信号に基
づいて、エンジンが正常に電子制御されるようになる。

【００２３】スレーブＣＰＵ13に異常が発生したときに
は、マスタＣＰＵ12から出力される第１のゲート信号が
Ｌレベルとなって、アンドゲート22および24からの出力
が禁止される安全側に落とされる制御が実行される。そ
して、異常を発生したスレーブＣＰＵ13からのコンペア
出力およびポート出力が禁止される。

【００２４】また、マスタＣＰＵ12に異常が発生した場
合には、ＣＰＵ暴走監視回路18からの切り換え信号がＬ
レベルとなってアンドゲート21、22、および24のゲート
が閉じられると共に、このＣＰＵ監視回路18からの指令
でマスタＣＰＵ12がリセットされる。そして、切り換え
信号によって第１および第２の切り換えスイッチ19およ
び20が図の状態から切り換えられて、スレーブＣＰＵ13
のコンペア出力が切り換えスイッチ20および19、さらに
アンドゲート23を介して出力される。

【００２５】すなわち、マスタＣＰＵ12が異常となった
場合には、このＣＰＵ12のコンペア出力である点火信号
および噴射信号が出力されなくなるものであるが、第１
および第２の切り換えスイッチ19および20の切り換え
て、正常であるスレーブＣＰＵ13のコンペア出力を用い
て、リンプホームに必要な点火信号および噴射信号が、
アンドゲート23を介して出力されるようにする。ここ
で、スレーブＣＰＵ13においては、切り換え信号を監視
していて、切り換え信号がＬレベルとされたときには異
常時プログラム（スレーブＣＰＵ13のアクチュエータ制
御用の信号コンペア出力を、リンプホーム可能な点火信
号および噴射信号とするプログラム）を起動する。

【００２６】マスタＣＰＵ12およびスレーブＣＰＵ13の
両方が異常となった場合には、ＣＰＵ暴走監視回路18か
らの切り換え信号と共に、第２のゲート信号がＬレベル
とされる。したがって、アンドゲート21〜24の全てのゲ
ートが閉じられて、この電子制御ユニット11の全ての出
力が安全側に落とされる。

【００２７】図２の（Ａ）はマスタＣＰＵ12における処
理の流れを示しているもので、まずステップ201 におい
てスレーブＣＰＵ13を、このＣＰＵ13からのウォッチド
ックパルスによって異常であるか否かを判定する。スレ
ーブＣＰＵ13が異常でなく正常であると判定されたなら
ば、ステップ202 に進んでマスタＣＰＵ12において正常
時の点火信号処理を行う。そして、その後ステップ203
に進んで正常時の噴射信号処理を行う。さらにステップ
204 に進んで正常時のその他の処理を行う。この様な正
常時の処理を行いながら、常にスレーブＣＰＵ13のチェ
ックが行われている。

【００２８】ステップ201 においてスレーブＣＰＵ13の
異常が判定されたならば、ステップ205 に進む。このス
テップ205 では第１のゲート信号の出力処理を行うもの
で、この第１のゲート信号がアンドゲート22および24を
安全側に落とす。この様にして出力のゲート処理が終了
されたならば、スレーブＣＰＵ13の異常に伴う異常時処
理が実行される。ステップ206 で異常時の点火信号処理
を行うと共に、ステップ207 で異常時の噴射信号処理を
行う。さらにステップ208 で異常時のその他の処理が行
われるようにする。すなわち、リンプホーム可能な信号
処理が行われ、この異常時処理に伴うマスタＣＰＵ12か
らのコンペア出力が、アンドゲート23を介して点火信号
および噴射信号として取り出される。

【００２９】この図２の（Ａ）で示して処理にあって
は、ステップ208 における異常時の処理が終了された後
はステップ206 に戻り、異常時の処理が繰り返し実行さ
れて、一旦異常と判定された後は正常時に戻ることのな
い不可逆性の判定処理を行っている。しかし、システム
によっては正常に戻った場合に正常時に対応した処理を
行わせる可逆性のある処理を実行させるようにしてもよ
い。

【００３０】マスタＣＰＵ12の監視はＣＰＵ暴走監視回
路18において行われる。このマスタＣＰＵ12が異常とな
ったときのスレーブＣＰＵ13における処理の流れを、図
２の（Ｂ）によって説明する。まずステップ211 におい
てＣＰＵ暴走監視回路18から切り換え信号がＨレベル
（正常）もしくはＬレベル（異常）であるか否かを判定
する。切り換え信号がOFF の状態、すなわちＨレベルで
マスタＣＰＵ12が正常と判定されたときは、ステップ21
2 に進んで点火系および噴射系以外のこのスレーブＣＰ
Ｕ13で受け持たされた正常時における処理、すなわち正
常時のアクチュエータ処理が行われる。その後、ステッ
プ213 に進んでその他の処理を行った後ステップ211 に
戻る。

【００３１】ステップ211 においてマスタＣＰＵ12が異
常であると判定されたならば、ステップ214 に進む。こ
のステップ214 においては、それまでこのスレーブＣＰ
Ｕ13において行われていたアクチュエータ処理等を行わ
ずに、異常時の点火信号処理を行い、さらにステップ21
5 において異常時の噴射信号処理を実行する。すなわ
ち、このステップ214 および215 における処理によっ
て、スレーブＣＰＵ13のコンペア出力から、リンプホー
ムを可能にする点火信号および噴射信号が出力されるよ
うになり、切り換え信号によって切り換えられた切り換
えスイッチ20および19を介して、このスレーブＣＰＵ13
のコンペア出力である点火信号および噴射信号が、アン
ドゲート23から出力されるようになる。

【００３２】そして、この電子制御ユニット11を構成す
る２つのＣＰＵ12および13が、共に異常となった場合に
は、これがＣＰＵ暴走監視回路18において検出され、こ
の監視回路18から切り換え信号と共に第２のゲート信号
が出力される。すなわち、切り換え信号および第２のゲ
ート信号が共にＬレベルとされ、アンドゲート21〜24の
全てのゲートが閉じられて、この電子制御ユニット11か
らの全ての出力が安全側に落とされる。

【００３３】したがって、この様に構成される電子制御
ユニットによれば、２ＣＰＵ構成の一方が異常となった
場合においてリンプホーム可能なバックアップ機能が設
定される。この場合、このバックアップ機能はバックア
ップＩＣ等のように固定出力を得るものではないもので
あるため、点火タイミングや噴射タイミングの制御を確
実に行うことの要求されるガソリン筒内直噴エンジンの
制御等が有効に実行される。

【００３４】２ＣＰＵ構成の電子制御ユニットにおい
て、ウォッチドック監視回路においてＣＰＵの異常発生
を監視し、異常検出に伴いＣＰＵに対してリセットを掛
けるようにした場合、ＣＰＵに対して何度もリセットを
掛けてもこのＣＰＵが正常に復帰しない場合、出力を安
全側に落とす暴走検出手段が必要とされる。この場合、
単に出力を安全側に落とすのみではなく、いずれのＣＰ
Ｕがフェイルしたかを判定して、その判定結果に基づい
てバックアップ制御が行われるようにする必要がある。

【００３５】図３は第２の実施例を示すもので、電子制
御ユニット11は第１の実施例と同様にマスタＣＰＵ12お
よびスレーブＣＰＵ13の２ＣＰＵ構成とされる。そし
て、図１で示した実施例と同様の入力信号がこれらマス
タＣＰＵ12およびスレーブＣＰＵ13に入力される。マス
タＣＰＵ12およびスレーブＣＰＵ13では、それぞれ第１
の実施例と同様に入力信号に基づく演算が実行され、こ
れらのＣＰＵ12および13のコンペア出力は、図１の場合
と同様に第１および第２の切り換えスイッチ19および20
に供給されている。

【００３６】そして、これら切り換えスイッチ19および
20からそれぞれ出力される信号がアンドゲート23および
24に供給され、アンドゲート23からは点火信号および噴
射信号が、アンドゲート24からはリレー制御信号が出力
される。またマスタＣＰＵ12のポート出力はアンドゲー
ト21に供給され、スレーブＣＰＵ13のポート出力はアン
ドゲート22に供給されて、それぞれ燃料ポンプ制御出力
およびステップモータ制御、ＥＧＲバルブ制御、ＬＳＣ
その他の制御等のための信号が出力され、図示されない
エンジンが電子的に制御される。

【００３７】マスタＣＰＵ12から出力されるウォッチド
ックパルスは、第３の切り換えスイッチ31を介してウォ
ッチドック（Ｗ／Ｄ）監視回路32に入力され、監視され
ている。このＷ／Ｄ監視回路32は暴走検出回路33によっ
て監視されているもので、このＷ／Ｄ監視回路32にあっ
ては、正常時に一定周期でオン・オフを繰り返すウォッ
チドックパルスを監視して、このパルスが一定期間内で
反転されない状態が検出されたときには、このウォッチ
ドックパルスを出力するＣＰＵが異常と判定して、リセ
ット信号が出力される。そして、このリセット信号はマ
スタＣＰＵ12に対してリセット指令として供給する。

【００３８】暴走検出回路33にあってはＷ／Ｄ監視回路
32からのリセット信号を監視しているもので、ＣＰＵが
フェイルしてリセットが頻繁に行われたと判断すると、
そのＣＰＵがフェイルになって数回リセットしても正常
に復帰しないと判断し、この暴走検出回路33からフェイ
ル検出信号が出力されるようにする。

【００３９】この暴走検出回路33からのフェイル検出信
号は、ラッチ回路35および36にそれぞれクロックCLK と
して入力されるもので、ラッチ回路35のＤ入力には接地
電位が設定され、ラッチ回路35のＱ出力がラッチ回路36
のＤ入力とされる。

【００４０】ラッチ回路35からは第１のフェイル信号が
出力され、この第１のフェイル信号は第１の切り換え信
号として第３の切り換えスイッチ31に供給される。そし
て、正常時には図のようなマスタＣＰＵ12からのウォッ
チドックパルスがＷ／Ｄ監視回路32に入力する状態が、
第１のフェイル信号によって切り換えられることによ
り、スレーブＣＰＵ12からのウォッチドックパルスがＷ
／Ｄ監視回路31に供給されるようにする。ここで、この
第１の切り換え信号とされる第１のフェイル信号は、マ
スタＣＰＵ12が正常時にＨレベルに設定され、フェイル
を判定してリセット指令を出力する状態でＬレベルとさ
れる。

【００４１】この第１のフェイル検出信号は、さらにス
レーブＣＰＵ13にリセット指令として供給されると共
に、第４の切り換えスイッチ34に切り換え指令として供
給される。この切り換えスイッチ34は、通常においては
マスタＣＰＵ12からのリセット指令信号をスレーブＣＰ
Ｕ13に入力しているもので、切り換え指令によって切り
換えることにより、Ｗ／Ｄ監視回路32からのリセット出
力がスレーブＣＰＵ13に入力されるようにしている。そ
して、アンドゲート21、22、24に対してこの切り換え信
号がゲート信号として供給されている。

【００４２】ラッチ回路36からの出力は、マスタおよび
スレーブの両ＣＰＵ12および13が共に異常と判定される
状態でＬレベルの異常信号を出力するもので、アンドゲ
ート23に対してゲート信号として供給する。

【００４３】この様に構成される電子制御ユニット11に
おいて、一連の動作をマスタＣＰＵ12およびスレーブＣ
ＰＵ13において行われると、この両ＣＰＵ12および13の
状況に応じて、次のような４つのモードに分けられる。 (1) 正常時からマスタＣＰＵ12がフェイルする場合 (2) 正常時からスレーブＣＰＵ13がフェイルする場合 (3) (1) の状態からさらにスレーブＣＰＵ13がフェイル
する場合 (4) (2) の状態からさらにマスタＣＰＵ12がフェイルす
る場合 以下に、この４つのモードそれぞれに対応してその動作
を説明する。

【００４４】まず(1) のモードにおいて両ＣＰＵ12およ
び13が正常状態にある正常時にあっては、マスタＣＰＵ
12からのウォッチドックパルスが正常の状態にあって、
Ｗ／Ｄ監視回路32において異常が検出されていない。し
たがって、このＷ／Ｄ監視回路32からの出力であるリセ
ット信号は正常を表すＨレベルにあり、当然暴走検出回
路33において暴走が検出されていないものであるため、
第１ないし第４の切り換えスイッチ19、20、31、34はそ
れぞれ図の状態に設定されている。そして、Ｗ／Ｄ監視
回路32にはマスタＣＰＵ12からのウォッチドックパルス
が入力され、マスタＣＰＵ12の異常発生を監視してい
る。

【００４５】このＷ／Ｄ監視回路32にあっては、入力さ
れるウォッチドックパルスが一定期間反転しない状態を
検出し、この検出に対応して一旦Ｌレベルにした後Ｈレ
ベルとするリセット信号を出力する。このリセット信号
がＬレベルとされることによりマスタＣＰＵ12が一旦リ
セットを掛けられ、このリセット信号が解除されるもの
であるが、このリセット動作によってマスタＣＰＵ12が
正常に戻った場合は、再びこのＣＰＵ12からのウォッチ
ドックパルスがオン・オフを繰り返し、Ｗ／Ｄ監視回路
32はフェイル判定を行わずに、その出力であるリセット
信号がＨレベルとされて正常動作状態に復帰される。

【００４６】しかし、マスタＣＰＵ12がフェイルしてし
まい、Ｗ／Ｄ監視回路32からのリセット信号がＨレベル
に戻ってもこのマスタＣＰＵ12が正常に戻らないと、こ
のマスタＣＰＵ12からのウォッチドックパルスが正常状
態に復帰しないため、Ｗ／Ｄ監視回路32から出力される
リセット信号は、ＨおよびＬレベルの繰り返しが継続さ
れる。

【００４７】暴走検出回路33にあっては、このＷ／Ｄ監
視回路32からのリセット信号を監視していて、このＷ／
Ｄ監視回路32からのリセット信号が特定される周波数以
上である期間でオン・オフ（Ｈレベル・Ｌレベル）を繰
り返すと、マスタＣＰＵ12がフェイルであると判定し
て、フェイル信号をＬレベルからＨレベルに反転する。
実際には、この暴走検出回路33はポンピンク回路によっ
て構成されている。

【００４８】暴走検出回路33からのフェイル信号がＨレ
ベルからＬレベルに反転されると、ラッチ回路35におい
て、イニシャル状態でＨレベルのＱ出力がＬレベルに反
転する。このラッチ回路35からのＱ出力は、第１の切り
換え信号として用いられるようになるもので、この第１
の切り換え信号はアンドゲート21、22および24のゲート
を閉じて安全側に落とすようになり、さらにこの第１の
切り換え信号は暴走検出回路33のリセットに用いられ
る。

【００４９】この暴走検出回路33は、ポンピンク回路に
よって構成されているものであるため、１度フェイルを
検出した後においては、直ちにその検出前の状態に戻し
て次のＣＰＵフェイルの判定に備えなければならない。
そのため、第１の切り換え信号をリセット指令として暴
走検出回路33に入力し、この信号によってポンピンク回
路のコンデンサの電荷を抜いて、フェイル検出信号をＬ
レベルに設定し、切り換え指令が出されない状態とす
る。

【００５０】第３の切り換えスイッチ31は、Ｗ／Ｄ監視
回路32に供給されるウォッチドックパルスを、マスタＣ
ＰＵ12からのものにするか、あるいはスレーブＣＰＵ13
からのものにするかを切り換え選択する。この電子制御
ユニット11が正常に作動している状態では、マスタＣＰ
Ｕ12からのウォッチドックパルスがＷ／Ｄ監視回路32に
入力されるように設定されている。そして、ラッチ回路
35からの第１の切り換え信号が、マスタＣＰＵ12のフェ
イル検出に伴いＬレベルとされると図の状態から切り換
えられ、スレーブＣＰＵ13からのウォッチドックパルス
がＷ／Ｄ監視回路32に入力されて、スレーブＣＰＵ12が
Ｗ／Ｄ監視回路32で監視されるようになる。

【００５１】第４の切り換えスイッチ34は、スレーブＣ
ＰＵ13に対するリセット指令がマスタＣＰＵ12から得ら
れるようにするか、あるいはＷ／Ｄ監視回路32からのリ
セット信号にするかを切り換えている。正常時において
は、スレーブＣＰＵ13はマスタＣＰＵ12によって監視さ
れている。したがってスレーブＣＰＵ13に対するリセッ
ト信号はマスタＣＰＵ12から与えられる。そして、この
マスタＣＰＵ12がフェイルと認定されて第１の切り換え
信号がＬレベルの状態で、この第４の切り換えスイッチ
34が切り換えられ、Ｗ／Ｄ監視回路32（この状態におい
てはスレーブＣＰＵ13からのウォッチドックパルスが入
力されている）によって、スレーブＣＰＵ13に対してリ
セットが掛けられるようにする。

【００５２】第１および第２の切り換えスイッチ19およ
び20は、図で示す正常の状態ではマスタＣＰＵ12のコン
ペア出力がアンドゲート23に供給され、このマスタＣＰ
Ｕ12で演算された点火信号および噴射信号が出力され
る。またスレーブＣＰＵ13のコンペア出力はアンドゲー
ト24を介して出力され、リレー制御信号等とされる。

【００５３】そして、マスタＣＰＵ12がフェイルと判定
され、暴走検出回路33からのフェイル信号の供給される
ラッチ回路35からの出力である第１の切り換え信号がＬ
レベルとされると、第１および第２の切り換えスイッチ
19および20が図の状態から切り換えられて、スレーブＣ
ＰＵ13のコンペア出力が第２の切り換えスイッチ20、さ
らに第１の切り換えスイッチ19を介してアンドゲート23
に供給され、スレーブＣＰＵ13で演算された異常時点火
信号および異常時噴射信号が出力される。

【００５４】次に(2) のモードの場合について説明す
る。スレーブＣＰＵ13からのウォッチドックパルスはマ
スタＣＰＵ12に入力され、正常時にスレーブＣＰＵ13が
マスタＣＰＵ12において監視されている。そして、スレ
ーブＣＰＵ13からのウォッチドックパルスが一定期間以
上反転されなくなると、マスタＣＰＵ12はスレーブＣＰ
Ｕ13の異常を判定して、スレーブＣＰＵ13に対してリセ
ットを掛ける。

【００５５】その後、スレーブＣＰＵ13が正常に戻って
ウォッチドックパルスが出力されるようになると、マス
タＣＰＵ12はスレーブＣＰＵ13に対してリセットを掛け
ることがなく、スレーブＣＰＵ13に正常動作状態が継続
される。しかし、スレーブＣＰＵ13がフェイルしてその
リセット動作によってウォッチドックパルスが復帰され
ないときには、マスタＣＰＵ12がスレーブＣＰＵ12のフ
ェイルを認知して、第２の切り換え信号をＬレベルとす
る。このため、アンドゲート22および24のゲートが閉じ
られ、スレーブＣＰＵ12からの出力が安全側に落とされ
る。

【００５６】(3) のモードの場合には、第１の段階とし
てマスタＣＰＵ12がフェイルしていて、ラッチ回路35か
らの第１の切り換え信号が異常時のＬレベルとされ、第
３および第４の切り換えスイッチ31および34が図の状態
から切り換えられている。そして、この状態ではスレー
ブＣＰＵ13がＷ／Ｄ監視回路32および暴走検出回路33で
監視されている。

【００５７】この様な状態でスレーブＣＰＵ13からのウ
ォッチドックパルスがなくなると、Ｗ／Ｄ監視回路32か
らのリセット信号が第４の切り換えスイッチ34を介して
スレーブＣＰＵ13に供給されて、このスレーブＣＰＵ13
にリセットが掛けられる。この様なリセット操作にもか
かわらずスレーブＰＵ13の正常動作が復帰されないとき
には、これが暴走検出回路33で検出されて、その出力フ
ェイル信号がＨレベルに反転されて、ラッチ回路35およ
び36にそれぞれクロックCLK が入力される。

【００５８】ここで、ラッチ回路35のＱ出力は、すでに
第１の段階のマスタＣＰＵ12のフェイルによってＬレベ
ルとされているものであるため、ラッチ回路36において
このＬレベルがラッチされる。すなわち、このラッチ回
路36のＱ出力は、イニシャルの状態でＨレベルであっ
て、マスタＣＰＵ12のフェイルが判定され、さらにその
後スレーブＣＰＵ13がフェイルと判定されると、Ｌレベ
ルに反転される。

【００５９】したがって、このラッチ回路36のＱ出力
は、マスタおよびスレーブの両ＣＰＵ12および13が共に
フェイルするとＬレベルとされて、両ＣＰＵ12および13
が共に異常であることを示すＬレベルとされ、すでに第
１の切り換え信号によってゲートを閉じられているアン
ドゲート21、22、24と共にアンドゲート23のゲートが閉
じられて安全側に設定される。すなわち、このアンドゲ
ート23はマスタＣＰＵ12のみがフェイルの状態ではゲー
トが閉じられないが、両ＣＰＵ12および13が共にフェイ
ルしたときにその出力が遮断される。

【００６０】最後の(4) のモードの場合には、第１の段
階でスレーブＣＰＵ13がフェイルしている状態で、マス
タＣＰＵ12がフェイルする。スレーブＣＰＵ13がフェイ
ルしたときには、(2) のモードで説明したように、アン
ドゲート22および24はマスタＣＰＵ12からの第２の切り
換え信号によって閉じられている。このマスタＣＰＵ12
の監視は、第３および第４の切り換えスイッチ31および
34が図の状態から切り換えられていないため、Ｗ／Ｄ監
視回路32および暴走検出回路33において行われる。

【００６１】したがって、この様な状態でマスタＣＰＵ
12がフェイルすると、暴走検出回路33からのフェイル信
号がＨレベルに反転される。この場合、ラッチ回路35に
おいてはまだラッチされていないためにそのＱ出力はＨ
レベルであるが、マスタＣＰＵ12のフェイルによって暴
走検出回路33からのフェイル信号がＨレベルに反転され
ると、ラッチ回路35のＱ出力はＬレベルにラッチされ、
第１の切り換え信号がＬレベルとされる。

【００６２】この第１の切り換え信号がＬレベルとされ
ると、第３および第４の切り換えスイッチ31および34が
図の状態から切り換えられ、Ｗ／Ｄ監視回路32および暴
走検出回路33はスレーブＣＰＵ13を監視するように切り
換えられるが、このモードの状態ではスレーブＣＰＵ13
がすでにフェイルであるため、暴走検出回路33からすぐ
に再フェイル信号が出力される。したがって、ラッチ回
路36からのＱ出力がＬレベルにラッチされ、両ＣＰＵ異
常信号が発生されて、第１の切り換え信号でゲートの閉
じられたアンドゲート21、22、24と共に、アンドゲート
23のゲートが閉じられて、安全側に設定される。

【００６３】以上説明したように、マスタＣＰＵ12がフ
ェイルしたときには第１の切り換え信号が出力され、ス
レーブＣＰＵ13がフェイルしたときには第２の切り換え
信号が出力され、さらに両ＣＰＵ12および13が共にフェ
イルしたときには、両ＣＰＵ異常信号が出力される。し
たがって、Ｗ／Ｄ監視回路32および暴走検出回路33の１
つの回路要素によって、マスタおよびスレーブの両ＣＰ
Ｕ12、13の監視、さらにいずれのＣＰＵがフェイルした
かの判定が可能とされる。

【００６４】この様に構成される電子制御ユニット11
を、例えばガソリン筒内直噴エンジンに制御装置として
使用した場合、アンドゲート23には最も冗長性がない出
力が割り当てられるもので、具体的には点火信号および
噴射信号が割り当てられる。ガソリン筒内直噴エンジン
の場合、フェイル時においてもポート噴射のような固定
噴射や固定点火タイミングではエンジンが始動できな
い。このため、常にＣＰＵからの制御が必要とされる。

【００６５】アンドゲート21、22、24からの出力は、制
御プログラムの負荷の具合等に基づいて割り当てられる
もので、具体的には図でも示すようにステップモータの
制御や燃料ポンプの制御、さらにＥＧＲバルブやＩＳＣ
バルブ、その他のリレー等の制御信号に割り当てる。

【００６６】図４はマスタＣＰＵ12のプログラム制御に
よる処理の流れを示す。まずステップ301 でスレーブＣ
ＰＵ13が正常動作状態にあると判定されたときは、ステ
ップ302 に進んでマスタＣＰＵ12において正常時の燃料
ポンプ制御を実行する。さらに、ステップ303 に進んで
正常時の噴射信号の処理を行い、ステップ304 に進んで
点火信号の処理を行い、ステップ305 に進んでその他の
信号処理を行う正常時の演算処理が実行されるようにす
る。そして、ステップ306 ではこのマスタＣＰＵ12の正
常動作を確認するウォッチドックパルスを出力する。

【００６７】ステップ301 でスレーブＣＰＵ13がフェイ
ルしていると判定されたときは、ステップ307 に進んで
第２の切り換え信号を出力するものであり、その後ステ
ップ308 〜310 に順次進んで、マスタＣＰＵ12において
スレーブＣＰＵ13の異常時に対応する噴射信号処理、点
火信号処理、さらにその他の信号の処理を行う制御を実
行する。そして、ステップ311 でこのマスタＣＰＵ12の
正常動作を確認させるウォッチドックパルスを出力す
る。

【００６８】このステップ308 〜310 における異常時の
処理は、正常時の処理を行うステップ302 〜305 の処理
とは異なり、異常時のプログラムによって実行される。
この異常時のプログラムはリンプホームが行える程度の
噴射信号および点火信号が出力されるようにするもの
で、容量的にも正常時のプログラムに比べて小さく、ま
た制御も機能ダウンされたものとされる。

【００６９】図５はスレーブＣＰＵ13における処理の流
れを示すもので、ステップ321 において第１の切り換え
信号を監視する。そして、マスタＣＰＵ12が正常に動作
していて第１の切り換え信号がＨレベルと判定されたと
きは、ステップ322 以降に進んで正常時の処理が実行さ
れるようにする。すなわち、ステップ322 ではスレーブ
ＣＰＵ13における正常時のステップモータの制御を実行
し、ステップ323 ではＥＧＲバルブの制御を、ステップ
324 ではＩＳＧバルブの制御を、さらにステップ325 で
はリレー制御をそれぞれ実行する。そして、ステップ32
6 でこのスレーブＣＰＵ13の正常状態を確認するウォッ
チドックパルスを出力する。

【００７０】ステップ231 において、マスタＣＰＵ12が
フェイルであって第１の切り換え信号がＬレベルである
と判定されたならば、ステップ327 に進む。このマスタ
ＣＰＵ12がフェイルの状態では、正常動作に伴う噴射信
号および点火信号が出力されないようになっているもの
であるため、異常時プログラムを実行する。

【００７１】すなわち、異常時プログラムにしたがっ
て、スレーブＣＰＵ13においてステップ327 〜329 にお
いて異常時処理が実行されるもので、ステップ327 にお
いては噴射信号処理が、ステップ328 においては点火信
号処理が、さらにステップ329においてはリレー制御が
それぞれ実行される。そして、スレーブＣＰＵ12のコン
ペア出力によってリンプホーム可能な程度のエンジン制
御を実行する。ステップ330 では、このスレーブＣＰＵ
13が正常に動作されていることを示すウォッチドックパ
ルスを出力し、ステップ327 に戻る。

【００７２】

【発明の効果】以上のようにこの発明に係る電子制御装
置によれば、特に２ＣＰＵを使用するようなマルチＣＰ
Ｕ構成とした場合に、メインＣＰＵとスレーブＣＰＵの
異常検出に際して、ＣＰＵの異常検出回路をＣＰＵ毎に
設けることなく、この電子制御装置を構成する複数のＣ
ＰＵの異常が検出される。すなわち、電子制御装置をマ
ルチＣＰＵ構成とした場合において、各ＣＰＵの異常の
監視が１つの異常監視回路および１つのＣＰＵによって
行われるようなり、充分簡易化した部品構成が実現でき
て信頼性も確実に確保され、２ＣＰＵの一方がフェイル
したような場合においても、特に処理系を２重にして用
意することなく必要最小限の制御動作が継続して実行さ
れる。例えば、この電子制御装置によってエンジン制御
を行う場合、特に重要な信号である点火制御および噴射
制御等の処理が残った正常なＣＰＵを用いて行われて、
リンプホームが可能とされるようにしたエンジン制御機
能が確保される。

【図面の簡単な説明】

【図１】この発明の一実施例に係る電子制御装置を構成
する電子制御ユニットを説明するための構成図。

【図２】（Ａ）および（Ｂ）はそれぞれ上記電子制御ユ
ニットを構成するマスタＣＰＵおよびスレーブＣＰＵの
制御の流れを説明するフローチャート。

【図３】この発明の第２の実施例を説明するための構成
図。

【図４】この第２の実施例のマスタＣＰＵにおける制御
の流れを説明するフローチャート。

【図５】前記第２の実施例のスレーブＣＰＵにおける制
御の流れを説明するフローチャート。

【図６】第１の発明の概要を説明するための構成図。

【図７】第２の発明の概要を説明するための構成図。

【図８】第３の発明の概要を説明するための構成図。

【符号の説明】

11…電子制御ユニット、12…マスタＣＰＵ、13…スレー
ブＣＰＵ、18…ＣＰＵ暴走監視回路、19、20、31、34…
切り換えスイッチ、21〜24…アンドゲート、32…Ｗ／Ｄ
監視回路、33…暴走検出回路、35、36…ラッチ回路。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０５Ｂ 9/02 Ａ

Claims (5)

【特許請求の範囲】
1. 【請求項１】 第１の制御対象への制御信号を出力する
   第１のＣＰＵと、第２の制御対象への制御信号を出力す
   る第２のＣＰＵとを備えた電子制御ユニットにおいて、 前記第１のＣＰＵに設定され、前記第２のＣＰＵから出
   力される作動信号に基づいて前記第２のＣＰＵの異常を
   監視し、その異常検出時に前記第２のＣＰＵにリセット
   信号を出力する第１の異常監視手段と、 前記第１のＣＰＵから出力される作動信号に基づいて前
   記第１のＣＰＵの異常を監視し、その異常検出時に前記
   第１のＣＰＵにリセット信号を出力する第２の異常監視
   手段と、 前記第１のＣＰＵの異常検出に応じて、前記第１の制御
   対象への制御信号を前記第１のＣＰＵからの制御信号出
   力から前記第２のＣＰＵからの制御信号出力に切り換え
   る切り換え手段と、 前記第２のＣＰＵに設定され、前記切り換え手段によっ
   て制御信号出力が切り換えられることに対応して前記第
   １の制御対象への制御信号を出力する異常時制御信号出
   力手段と、 を具備したことを特徴とする電子制御装置。
2. 【請求項２】 前記電子制御ユニットはエンジンの制御
   装置を構成するもので、前記第１のＣＰＵではエンジン
   の点火信号および燃料噴射信号が制御信号として出力さ
   れるようにした請求項１記載の電子制御装置。
3. 【請求項３】 第１の制御対象への制御信号を出力する
   第１のＣＰＵと、第２の制御対象への制御信号を出力す
   る第２のＣＰＵとを備えた電子制御ユニットにおいて、 前記第１のＣＰＵに設定され、前記第２のＣＰＵから出
   力される作動信号に基づいて前記第２のＣＰＵの異常を
   監視してその異常検出時に前記第２のＣＰＵにリセット
   信号を出力する第１の異常監視手段と、 前記第１のＣＰＵから出力される作動信号に基づいて前
   記第１のＣＰＵの異常を監視してその異常検出時に前記
   第１のＣＰＵにリセット信号を出力する第２の異常監視
   手段と、 前記第１のＣＰＵの異常検出に応じて前記第１の制御対
   象への制御信号を、前記第１のＣＰＵからの制御信号出
   力から前記第２のＣＰＵからの制御信号出力に切り換え
   る切り換え手段と、 この切り換え手段によって制御信号の出力が切り換えら
   れた状態で、前記第２の異常監視手段に前記第１のＣＰ
   Ｕから出力される作動信号を前記第２のＣＰＵから出力
   される作動信号に切り換えて前記第２の異常監視手段に
   供給し、前記第２のＣＰＵの異常を監視させる作動信号
   切り換え手段と、 前記第２のＣＰＵに設定され、前記切り換え手段によっ
   て制御信号の出力が切り換えられたときには、前記第１
   の制御対象への制御信号を出力する異常時制御信号出力
   手段と、 を具備したことを特徴とする電子制御装置。
4. 【請求項４】 前記第２の異常監視手段は、通常は前記
   第１のＣＰＵからのウォッチドックパルスが作動信号と
   して入力され、前記作動信号切り換え手段によって作動
   信号が切り換えられたときには、前記第２のＣＰＵから
   のウォッチドックパルスが作動信号として入力されるウ
   ォッチドック監視回路と、このウォッチドック監視回路
   からの出力に基づき前記第１および第２のＣＰＵそれぞ
   れのフェイルを検出してそれぞれフェイル信号を出力す
   る暴走検出回路と、この暴走検出回路からの検出信号に
   基づき前記第１のＣＰＵのフェイルに対応する第１のフ
   ェイル信号、さらに前記第１および第２の両ＣＰＵのフ
   ェイルに対応する第２のフェイル信号を出力する第１お
   よび第２のフェイル検出手段とを含み構成され、前記第
   １のフェイル信号が前記作動信号切り換え手段の切り換
   え信号として用いられ、前記第２のフェイル信号に基づ
   いて全ての制御出力が禁止されるようにした請求項３記
   載の電子制御装置。
5. 【請求項５】 第１の制御対象への制御信号を出力する
   第１のＣＰＵと、第２の制御対象への制御信号を出力す
   る第２のＣＰＵとを備えた電子制御ユニットにおいて、 前記第１のＣＰＵに設定され、前記第２のＣＰＵから出
   力される作動信号に基づいて前記第２のＣＰＵの異常を
   監視してその異常検出時に前記第２のＣＰＵにリセット
   信号を出力する異常監視手段と、 この異常監視手段での前記第２のＣＰＵの異常の非検出
   状態で、前記第１の制御対象に対する制御信号を演算す
   る第１の制御信号演算手段と、 前記異常監視手段での前記第２のＣＰＵの異常の検出状
   態で、前記第１の制御対象に対する制御信号を演算する
   第２の制御信号演算手段と、 前記第１および第２の制御信号演算手段によって演算さ
   れる演算信号の出力を切り換える切り換え手段と、 を具備したことを特徴とする電子制御装置。