WO2017169058A1 - 電子制御装置 - Google Patents

電子制御装置 Download PDF

Info

Publication number
WO2017169058A1
WO2017169058A1 PCT/JP2017/003084 JP2017003084W WO2017169058A1 WO 2017169058 A1 WO2017169058 A1 WO 2017169058A1 JP 2017003084 W JP2017003084 W JP 2017003084W WO 2017169058 A1 WO2017169058 A1 WO 2017169058A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
reset
microcomputer
path
control device
Prior art date
Application number
PCT/JP2017/003084
Other languages
English (en)
French (fr)
Inventor
泰志 杉山
良介 石田
裕史 栗本
堅一 星野
駿太 戸松
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to DE112017000868.9T priority Critical patent/DE112017000868B4/de
Priority to JP2018508464A priority patent/JP6457149B2/ja
Publication of WO2017169058A1 publication Critical patent/WO2017169058A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing

Definitions

  • the present invention relates to an electronic control device.
  • a monitoring module has been installed that monitors the abnormal operation of the main microcomputer that controls the input / output of the ECU (Electronic Control Unit). When abnormal operation occurs, the vehicle is put into a safe state. A configuration for transition is adopted.
  • the program abnormal operation of the main microcomputer is monitored using a watchdog timer function provided in the monitoring module. Further, as a second example, the main microcomputer operation function is monitored by performing an example question from the monitoring module and comparing the answer with the answer of the main microcomputer.
  • a predetermined fail-safe operation is executed.
  • the vehicle cannot be shifted to a safe state when a failure mode in which the fail-safe operation cannot be performed occurs, such as disconnection of a path (a signal line between the main microcomputer and the monitoring module) for executing the fail-safe operation.
  • the vehicle driver must confirm that the predetermined fail-safe operation can be executed at least once in the period from turning on the ignition key switch to turning off the ignition key switch and stopping the ECU. is required.
  • the ECU may be stopped by dropping the / RES terminal of the main microcomputer to L (Low).
  • L Low
  • the purpose of this is to set the / RES terminal to H (High) again and return the ECU early, or stop the ECU to prevent abnormal operation and shift the vehicle to a safe state. It is said.
  • a failure mode for stopping the ECU by dropping the / RES terminal to L for fail-safe operation is required.
  • Patent Document 1 As in the technique disclosed in Patent Document 1, if the state of the monitoring function is controlled by the operation state of the main microcomputer, a hardware reset is not generated, so that the path of fail-safe operation can be confirmed. However, it is assumed that the main microcomputer can control the monitoring module, and the circuit configuration of Patent Document 1 cannot be applied when it is desired to constantly monitor the main microcomputer during operation. Patent Document 1 does not have an idea of confirming a plurality of reset paths.
  • An object of the present invention is to provide an in-vehicle control device capable of improving the reliability of diagnosis for a path between a microcomputer and a monitoring device.
  • the present invention is an in-vehicle control device having a microcomputer and a monitoring device for monitoring the microcomputer, and the microcomputer is configured to generate an internal error when an ignition switch is on, An abnormal signal indicating that an internal error has occurred is input to the monitoring device via a first path, and the abnormal signal is monitored via the first path for testing during a period when the ignition switch is off.
  • An internal error detection unit that inputs to the device, and the internal error detection unit inputs the abnormal signal to the monitoring device, and then the first error based on the signal level of the second route branched from the first route
  • a diagnostic unit for diagnosing the route for diagnosing the route.
  • FIG. 1 is a block diagram showing a schematic configuration example of an ECU as an electronic control device according to a first embodiment of the present invention.
  • FIG. 5 is a block diagram showing a schematic configuration example of an ECU as an electronic control device according to a second embodiment of the present invention.
  • FIG. 10 is a block diagram showing a schematic configuration example of an ECU as an electronic control unit according to a third embodiment of the present invention.
  • FIG. 10 is a block diagram showing a modification of the ECU as the electronic control unit according to the third embodiment of FIG.
  • FIG. 5 is a sequence diagram showing a failure notification path confirmation method according to a modification of FIG.
  • FIG. 1 is a block diagram showing a schematic configuration example of an ECU as an electronic control device (vehicle-mounted control device) according to the first embodiment of the present invention.
  • the ECU has a main microcomputer 1, a monitoring module 2 (monitoring device) responsible for monitoring the main microcomputer 1, and a plurality of resets that request resetting of the main microcomputer when a failure occurs in the main microcomputer 1.
  • the path P1a, P1b, P1c of the generation request signals 3, 4, 5 and the path P1a, P1b, P1c of the plurality of reset generation request signals 3, 4, 5 are mounted inside the monitoring module 2.
  • the main microcomputer 1 is notified of the state of the NOR circuit 6 (logic circuit), / RES7 of the main microcomputer 1 connected to the output of the NOR circuit 6, and the reset generation request signals 3, 4, and 5.
  • the path P2a, P2b, P2c of the abnormality notification output signals 8, 9, 10 and the path of the diagnostic control signal 11 for enabling / disabling the output of the NOR circuit 6 are configured.
  • the main microcomputer 1 includes hardware such as a CPU as a processor, RAM and ROM as storage devices, and an input / output port as an input / output device.
  • the main microcomputer 1 realizes various functions through cooperation of these hardware.
  • the main microcomputer 1 functions as the internal error abnormality detection units 17a, 17b, 17c and the diagnosis unit 21.
  • the internal error abnormality detection unit 17a (internal error detection unit) is an error signal (reset indicating that an internal error has occurred, for example, when an internal error occurs while the ignition switch is on (diagnostic control signal 11: H)).
  • Generation request signal 3: H is input to monitoring module 2 (monitoring device) via path P1a (first path), and an abnormality occurs due to a test during the period when the ignition switch is off (diagnostic control signal 11: L)
  • a signal (reset generation request signal 3: H) is input to the monitoring module 2 via the path P1a.
  • the internal error abnormality detection units 17b and 17c function in the same manner.
  • diagnosis unit 21 is configured so that the internal error abnormality detection unit 17a (internal error detection unit) inputs an abnormality signal (reset generation request signal 3: H) to the monitoring module 2 (monitoring device), and then the path P1a (first The path P1a (first path) is diagnosed based on the signal level of the path P2a (second path) branched from the path). Similarly, the diagnosis unit 21 diagnoses the routes P1b and P1c (first route).
  • the diagnosis unit 21 is configured such that after the internal error abnormality detection unit 17a (internal error detection unit) inputs an abnormality signal (reset generation request signal 3: H) to the monitoring module 2 (monitoring device), the path When an abnormal signal (abnormality notification output signal 8: H) is not input to the main microcomputer 1 (microcomputer) via P2a (second path), it is diagnosed that the path P1a (first path) is not in communication.
  • an abnormal signal abnormality notification output signal 8: H
  • P2a second path
  • diagnosis unit 21 detects an abnormality via the path P2a (second path) after the internal error abnormality detection unit 17a inputs the abnormality signal (reset generation request signal 3: H) to the monitoring module 2 (monitoring device).
  • a signal abnormality notification output signal 8: H
  • the internal error abnormality detection unit 17a is operating normally and the path P1a (first path) is communicated. Diagnose that.
  • the diagnosis unit 21 similarly diagnoses the routes P1b and P1c (first route).
  • the NOR circuit 6 (first reset unit) of the monitoring module 2 (monitoring device) has an ignition switch ON (diagnostic control signal 11: H) and an abnormal signal (reset generation request signal 3, 4, When at least one of 5: H) is input to the monitoring module 2 (monitoring device), a reset signal (/ RES7: L) for resetting the main microcomputer 1 (microcomputer) is input to the main microcomputer 1.
  • the NOR circuit 6 (first reset unit) has an ignition switch OFF (diagnostic control signal 11: L) and an abnormal signal (at least one of the reset generation request signals 3, 4, and 5: H) is monitored.
  • OFF diagnostic control signal 11: L
  • an abnormal signal at least one of the reset generation request signals 3, 4, and 5: H
  • reset signal (/ RES7: L) is not input to main microcomputer 1.
  • the same operation may be realized by software.
  • the paths P2a, P2b, and P2c of the abnormality notification output signals 8, 9, and 10 are connected to the main microcomputer 1 as wiring on the printed circuit board, in addition to the main communication mode such as SPI communication. A method of notifying the microcomputer 1 of the state may be used.
  • diagnostic control signal 11 is L
  • / RES7 is not dropped to L because NOR circuit 6 is disabled for output even if any of reset generation request signals 3, 4, and 5 is H .
  • the present embodiment it is possible to improve the reliability of diagnosis for the path between the main microcomputer 1 and the monitoring module 2.
  • the paths P1a, P1b, and P1c are each diagnosed based on the signal levels of the paths P2a, P2b, and P2c, the paths P1a, P1b, and P1c can be reliably diagnosed.
  • FIG. 2 is a block diagram showing a schematic configuration example of an ECU as an electronic control device according to the second embodiment of the present invention.
  • NAND circuit 12 (logic circuit) is added to the circuit configuration of FIG.
  • the NAND circuit 12 (second reset unit) of the monitoring module 2 (monitoring device) receives error signals (reset generation request signals 3, 4, 4) from all internal error abnormality detection units 17 a, 17 b, 17 c (internal error detection units).
  • a reset signal (/ RES7: L) is input to the main microcomputer 1 (microcomputer).
  • the / RES7 is lowered to the L level through the NOR circuit 6.
  • the main microcomputer 1 is stopped.
  • the diagnostic control signal 11 is in the L state and one of the reset generation request signals 3, 4, and 5 is in the H state
  • the NOR circuit 6 is in the output prohibited state, so / RES7 falls to L Absent.
  • the NAND circuit 12 operates and / RES7 is lowered to L.
  • the diagnosis control signal 11 when the diagnosis control signal 11 is set to L, for example, when the reset generation request signals 3, 4, and 5 are set to the H state, the main microcomputer 1 reads the status of the abnormality notification output signals 8, 9, and 10 Each route can be confirmed. Finally, by setting all of the reset generation request signals 3, 4, and 5 to the H state, the NAND circuit 12 operates and drops / RES7 to L. With this configuration, the / RES7 path can be confirmed. If any one of the reset generation request signals 3, 4, and 5 becomes H, / RES 7 does not fall to L, and the main microcomputer 1 does not stop so that all path abnormalities can be confirmed.
  • the NAND circuit 12 can reset the main microcomputer 1 during a period when the ignition switch is off (diagnosis control signal 11: L).
  • FIG. 3 is a block diagram showing a schematic configuration example of an ECU as an electronic control unit according to the third embodiment of the present invention.
  • AND circuits 13, 14, 15 (logic circuits) for inputting reset generation request signals 3, 4, 5 and diagnosis control signal 11 are mounted.
  • the main microcomputer 1 (microcomputer) further functions as a reset request unit 22 that inputs a reset request (reset generation request signal 16: H) to the monitoring module 2 (monitoring device).
  • the AND circuits 13, 14, 15 and the NOR circuit 6 of the present embodiment correspond to the first reset unit (the NOR circuit 6 of FIG. 1) of the first embodiment.
  • the NOR circuit 6 shown in FIG. 3 receives the reset signal (/ RES7: L) when the reset request (reset generation request signal 16: H) is input from the main microcomputer 1 (microcomputer) to the monitoring module 2 (monitoring device). Input to microcomputer 1.
  • the reset request unit 22 can reset the main microcomputer 1 while the ignition switch is off (diagnosis control signal 11: L).
  • FIG. 4 is a block diagram showing a modification of the ECU as the electronic control unit according to the third embodiment of FIG.
  • the internal error error detection unit 17 internal error detection unit
  • the internal error error detection signal 18 to be notified to the outside of the main microcomputer 1 and the main microcomputer 1
  • the P-RUN signal 19 path and the WDT20 (watchdog timer) that clears the watchdog timer counter with the P-RUN signal 19 are provided, and when an abnormality in the internal error abnormality detection unit 17 is detected, and When WDT20 judges that there is an abnormality, the specification is to drop / RES7 to L.
  • the diagnosis control signal 11 is an ignition key switch signal 11a.
  • the main microcomputer 1 (microcomputer) further functions as a pulse generator 23 that generates a pulse (P-RUN signal 19) at a predetermined period T and inputs the pulse (P-RUN signal 19) to the monitoring module 2 (monitoring device).
  • WDT20 and NOR circuit 6 function as the first reset unit that inputs the reset signal (/ RES7: L) to main microcomputer 1 if the pulse is not input to monitoring module 2 (monitoring device) even after period T has elapsed To do.
  • the internal error error detection signal 18 is sent to the AND circuit 13 in the monitoring module 2. Is connected (input) to the output section of the AND circuit 13 and the output section of the AND circuit 13 is switched to H, so that the output of the NOR circuit 6 is switched to L. Therefore, it is possible to drop / RES7 to L. If the P-RUN signal 19 is not output due to program runaway of the main microcomputer, the WDT 20 detects an abnormality and the output part of the NOR circuit 6 changes to L. Therefore, / RES7 can be dropped to L.
  • FIG. 5 shows an example of a route diagnosis method in the end sequence period.
  • the main microcomputer 1 reads the status of the error notification output signal 8 so that the internal error error detection unit 17 can detect the error, and whether there is a circuit disconnection or the like in the path of the internal error error detection signal 18. It can be confirmed. At the end of the end sequence, the main microcomputer 1 stops the output of the P-RUN signal 19 and drops / RES7 to L, so that the function diagnosis related to the WDT 20 can be realized.
  • the pulse generation unit 23 can reset the main microcomputer 1 during a period in which the ignition switch is off (ignition key switch signal 11a: L), for example.
  • the present invention is not limited to the above-described embodiment, and includes various modifications.
  • the above-described embodiment has been described in detail for easy understanding of the present invention, and is not necessarily limited to the one having all the configurations described.
  • a part of the configuration of an embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of an embodiment.
  • the diagnosis unit 21 when the diagnosis unit 21 diagnoses that the routes P1a, P1b, and P1c (first route) are not communicated, the diagnosis unit 21 notifies the external device (higher system, other ECU, etc.) of the information. You may do it. The external device may be informed (such as turning on a warning lamp) based on the notified information.
  • each of the above-described configurations, functions, and the like may be realized by hardware by designing a part or all of them with, for example, an integrated circuit.
  • Each of the above-described configurations, functions, and the like may be realized by software by interpreting and executing a program that realizes each function by the processor.
  • Information such as programs, tables, and files for realizing each function can be stored in a recording device such as a memory, a hard disk, or an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.
  • a vehicle control device that generates a plurality of types of reset generation request signals according to an abnormal state, the diagnostic unit diagnosing the generation operation of the plurality of reset generation request signals, and the plurality of reset generation request signals
  • the diagnosis unit performs an operation of generating the plurality of reset generation request signals input to the logic circuit.
  • the diagnosis control signal is a signal indicating the state of the ignition key switch, and the logic circuit receives the plurality of reset generation request signals while the signal indicating the ON state of the ignition key switch is input.
  • the vehicle control device according to (1) which operates when input.
  • diagnosis unit diagnoses the plurality of reset generation request signals when the diagnosis control signal changes from a state representing prohibition of diagnosis to a state representing permission of diagnosis.
  • the reset path can be confirmed by adding a new logic circuit that operates when all the reset generation request signals are input and generates a reset. Vehicle control device.
  • the reset generation request signal and the ignition key switch signal are connected to a logic circuit such as an AND circuit
  • the reset generation A reset generation request signal different from a request signal and the ignition key switch signal are connected to a logic circuit such as an AND circuit, and such a configuration is applied to a plurality of reset generation request signals, and the plurality of reset generations
  • a diagnosis unit for diagnosing generation operation of a request signal, and a plurality of outputs of a logic circuit such as the AND circuit are connected to a logic circuit such as a NOR circuit, and a reset generation different from the plurality of reset generation request signals
  • the diagnosis unit includes: Diagnose the operation of generating the multiple reset generation request signals that are input to the logic circuit, and output a reset generation request signal that is different from the multiple reset generation request signals, thereby generating
  • the abnormal state is a main microcomputer internal error abnormality and a WDT error
  • a reset generation request signal for each abnormal state is connected to the ignition key switch and an AND circuit.
  • the output of the AND circuit is input to the NOR circuit
  • one is directly input to the NOR circuit, and the output of the NOR circuit is connected to the reset, and the ignition key switch is in the H state when ON
  • the generation operation of the reset generation request signal connected to the AND circuit is diagnosed, and the direct NOR circuit is A reset is generated by generating a connected reset generation request signal, and a reset is generated by stopping the vehicle Identifiable vehicle control device path for.
  • a main microcomputer that controls an in-vehicle electronic control unit (hereinafter, ECU), a monitoring module that detects a main microcomputer abnormality with respect to the main microcomputer, and the main microcomputer and the monitoring module are connected, Notifying the monitoring module that an abnormality has occurred in the main microcomputer, a reset generation request signal for generating a reset, a plurality of reset generation request signals different from the reset generation request signal, and the plurality of resets
  • the request signals becomes H level
  • it plays the role of the logic circuit that stops the main microcomputer and the output of the logic circuit enable / disable signal, and the output enable / disable signal is L level
  • the diagnostic control signal that does not switch the output of the logic circuit, the reset generation request signal, and the logic circuit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Mechanical Engineering (AREA)
  • Debugging And Monitoring (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

マイコンと監視装置の間の経路についての診断の信頼性を向上することができる車載制御装置を提供する。 内部エラー異常検出部17aは、診断制御信号11がHの期間に内部エラーが発生した場合、リセット発生要求信号3をHとして経路P1aを介して監視モジュール2に入力し、診断制御信号11がLの期間にテストのためリセット発生要求信号3をHとして経路P1aを介して監視モジュール2に入力する。診断部21は、内部エラー異常検出部17aがリセット発生要求信号3をHとして監視モジュール2に入力した後、経路P1aから分岐した経路P2aの信号レベルに基づいて経路P1aを診断する。

Description

電子制御装置
　本発明は、電子制御装置に関する。
　従来から、ECU（Electronic Control Unit）の入出力制御を行うメインマイコンの異常動作を監視する役割を担った、監視モジュールが実装されており、異常動作となった場合に、車両を安全な状態へ移行させる構成が採用されている。
　具体的な監視の手法の第1の例として、監視モジュールに設けられたウォッチドックタイマ機能を用いて、メインマイコンのプログラム異常動作を監視している。また、第2の例として、監視モジュールから例題の出題を行い、それに対するメインマイコンの回答と、を照合することで、メインマイコン演算機能を監視している。
　さらに近年では、第3の例として、高い安全性レベルが求められるECUに対し、メインマイコン内部に搭載された2つのプロセッサコアで同じ処理を行い、演算結果比較を行い、同じ処理結果の場合のみ命令を実行する、ロックステップコアマイコンを採用している。ロックステップコア異常を監視モジュールで検出することで、車両を安全な状態に移行可能である。
　このように、ECUに実装されたメインマイコンの異常検出機能を、複数具備している場合がある。
　これら複数の異常検出機能（異常検出機構）に関して、異常を検出した場合、あらかじめ決められたフェールセーフ動作を実行する。しかし、例えばフェールセーフ動作を実行する経路（メインマイコンと監視モジュールの間の信号線）の断線といった、フェールセーフ動作を実行できない故障モードが発生している場合、車両を安全な状態に移行できない懸念がある。そのため、あらかじめ決められたフェールセーフ動作が実行できることを、車両運転手が、イグニッションキースイッチをONしてから、イグニッションキースイッチをオフしてECUが停止するまでの期間に、少なくとも1回確認することが必要である。
　ところで、これらの異常検出機能に対するフェールセーフ動作として、メインマイコンの/RES端子をL（Low）に落として、ECUを停止させる場合がある。これは、再度/RES端子をH（High）にして、ECUを早期復帰させることを目的としており、あるいは、ECUを停止させることで異常動作を防止し、車両を安全状態へ移行させることを目的としている。メインマイコンの異常検出機能を複数具備したECUの場合、フェールセーフ動作に/RES端子をLに落として、ECUを停止させる故障モードが、複数要求されることも考えられる。
　/RES端子をLに落とす経路が1種類の場合、車両運転手のイグニッションキースイッチOFF後に、故意にエラーを発生させ、異常検出機能を働かせることで、/RES端子をLに落とす。この動作でECUが停止するため、車両運転手が、イグニッションキースイッチをONしてから、イグニッションキースイッチをオフしてECUが停止するまでの期間に1回、フェールセーフ動作が働くか、診断を行うことが可能である。メインマイコンは、/RES端子がLに落ちない場合に異常検出機能の故障を検出していた。
　ところが、1回/RESがLとなるとECUが停止してしまうため、フェールセーフ動作が/RESをLに落とす故障モードが2種類以上ある場合、同手法で、/RESをLに落とす経路をすべて診断することができない。
　このような問題に対し、メインマイコンの通常モード、スタンバイモードの切り替えをトリガにして、監視機能の禁止/許可切り替えを実施した例がある（例えば、特許文献1参照）。
特開2008-276360号公報
　特許文献１で開示される技術のように、メインマイコンの動作状態で監視機能の状態を制御すれば、ハードウェアリセットを発生させないため、フェールセーフ動作の経路確認が可能である。ただし、メインマイコンが監視モジュールを制御可能な構成が前提であり、メインマイコン動作中、常に監視を実施したい場合、特許文献1の回路構成は適用できない。また、特許文献1には、複数のリセット経路を確認するような着想はない。
　そのため、従来、メインマイコン（マイコン）と監視モジュール（監視装置）の間の経路を診断できない場合があった。
　本発明の目的は、マイコンと監視装置の間の経路についての診断の信頼性を向上することができる車載制御装置を提供することにある。
　上記目的を達成するために、本発明は、マイコンと前記マイコンを監視する監視装置とを有する車載制御装置であって、前記マイコンは、イグニッションスイッチがオンの期間に内部エラーが発生した場合、前記内部エラーが発生したことを示す異常信号を第1の経路を介して前記監視装置に入力し、前記イグニッションスイッチがオフの期間にテストのため前記異常信号を前記第1の経路を介して前記監視装置に入力する内部エラー検出部と、前記内部エラー検出部が前記異常信号を前記監視装置に入力した後、前記第1の経路から分岐した第2の経路の信号レベルに基づいて前記第1の経路を診断する診断部と、を備える。
　本発明によれば、マイコンと監視装置の間の経路についての診断の信頼性を向上することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
本発明の第1の実施の形態による電子制御装置としてのECUの概略構成例を示すブロック図である。 本発明の第2の実施の形態による電子制御装置としてのECUの概略構成例を示すブロック図である。 本発明の第3の実施の形態による電子制御装置としてのECUの概略構成例を示すブロック図である。 図3の第3の実施の形態による電子制御装置としてのECUの変形例を示すブロック図である。 図4の変形例による故障通知経路の確認方法を示したシーケンス図である。
　以下、図面を用いて、本発明の第1～第3の実施の形態によるECUの構成及び動作について説明する。
　（第1の実施の形態）
　図1は、本発明の第1の実施の形態による電子制御装置（車載制御装置）としてのECUの概略構成例を示すブロック図である。ECUは、メインマイコン1と、前記メインマイコン1を監視する役割を担う監視モジュール2（監視装置）と、前記メインマイコン1の故障が発生した場合に、前記メインマイコンのリセットを要求する複数のリセット発生要求信号3,4,5の経路P1a,P1b,P1cと、前記監視モジュール2内部に実装されており、前記複数のリセット発生要求信号3,4,5の経路P1a,P1b,P1cを接続する、例えばNOR回路6（論理回路）と、前記NOR回路6の出力に接続されるメインマイコン1の/RES7と、前記リセット発生要求信号3,4,5の状態を、前記メインマイコン1に通知する異常通知出力信号8,9,10の経路P2a,P2b,P2cと、前記NOR回路6の出力許可/禁止を行う診断制御信号11の経路と、で構成されている。
　メインマイコン１は、例えば、プロセッサとしてのＣＰＵ、記憶装置としてのＲＡＭ及びＲＯＭ、入出力装置としての入出力ポートなどのハードウェアから構成される。メインマイコン１は、これらのハードウェアが協働することにより種々の機能を実現する。
　具体的には、メインマイコン１（マイコン）は、内部エラー異常検出部17a,17b,17c及び診断部21として機能する。
　内部エラー異常検出部17a（内部エラー検出部）は、例えば、イグニッションスイッチがオン（診断制御信号11：H）の期間に内部エラーが発生した場合、内部エラーが発生したことを示す異常信号（リセット発生要求信号3：H）を、経路P1a（第1の経路）を介して監視モジュール2（監視装置）に入力し、イグニッションスイッチがオフ（診断制御信号11：L）の期間にテストのため異常信号（リセット発生要求信号3：H）を、経路P1aを介して監視モジュール2に入力する。なお、内部エラー異常検出部17b,17cも同様に機能する。
　また、診断部21は、内部エラー異常検出部17a（内部エラー検出部）が異常信号（リセット発生要求信号3：H）を監視モジュール2（監視装置）に入力した後、経路P1a（第1の経路）から分岐した経路P2a（第2の経路）の信号レベルに基づいて経路P1a（第1の経路）を診断する。なお、診断部21は、同様に、経路P1b,P1c（第1の経路）を診断する。
　具体的には、例えば、診断部21は、内部エラー異常検出部17a（内部エラー検出部）が異常信号（リセット発生要求信号3：H）を監視モジュール2（監視装置）に入力した後、経路P2a（第2の経路）を介して異常信号（異常通知出力信号8：H）がメインマイコン１（マイコン）に入力されない場合、経路P1a（第1の経路）は疎通していないと診断する。
　また、診断部21は、内部エラー異常検出部17aが異常信号（リセット発生要求信号3：H）を監視モジュール2（監視装置）に入力した後、経路P2a（第2の経路）を介して異常信号（異常通知出力信号8：H）がメインマイコン１（マイコン）に入力された場合、内部エラー異常検出部17aは正常に動作しており、かつ、経路P1a（第1の経路）は疎通していると診断する。
　診断部21は、同様に、経路P1b,P1c（第1の経路）を診断する。
　一方、監視モジュール2（監視装置）のNOR回路6（第1のリセット部）は、イグニッションスイッチがオン（診断制御信号11：H）であり、かつ、異常信号（リセット発生要求信号3,4,5の少なくとも１つ：H）が監視モジュール2（監視装置）に入力された場合、メインマイコン１（マイコン）をリセットさせるためのリセット信号（/RES7：L）をメインマイコン１に入力する。
　NOR回路6（第1のリセット部）は、イグニッションスイッチがオフ（診断制御信号11：L）であり、かつ、異常信号（リセット発生要求信号3,4,5の少なくとも１つ：H）が監視モジュール2（監視装置）に入力された場合、リセット信号（/RES7：L）をメインマイコン１に入力しない。
　これにより、イグニッションスイッチがオフの期間（診断制御信号11：L）に、マイコンはリセットされない。
　前記NOR回路6に関しては、同様の動作をソフトウェアで実現してもよい。また、異常通知出力信号8,9,10の経路P2a,P2b,P2cは、プリント基板上の配線としてメインマイコン1と結線する以外にも、SPI通信のような、一般的な通信形態によって、メインマイコン1に状態を通知する手法としてもよい。
　この回路構成によれば、診断制御信号11がHとなっている場合、リセット発生要求信号3,4,5のいずれか一つでもH状態となると、NOR回路6を通して、/RES7をLに落とすことで、メインマイコン1を停止させる。
　診断制御信号11がLとなっている場合、リセット発生要求信号3,4,5のいずれがHとなっても、NOR回路6が出力禁止状態となっているため、/RES7をLに落とさない。
　従って、診断制御信号11をLにした状態で、リセット発生要求信号3,4,5をLからHに切り替えて、異常通知出力信号8,9,10の情報をメインマイコン1で読み取ることで、経路の確認が実現可能である。
　以上説明したように、本実施形態によれば、メインマイコン1と監視モジュール2の間の経路についての診断の信頼性を向上することができる。特に、経路P2a,P2b,P2cの信号レベルに基づいて経路P1a,P1b,P1cをそれぞれ診断するので、経路P1a,P1b,P1cをそれぞれ確実に診断できる。
　（第2の実施の形態）
　図2は、本発明の第2の実施の形態による電子制御装置としてのECUの概略構成例を示すブロック図である。
　図1の回路構成に、例えばNAND回路12（論理回路）を追加した構成である。監視モジュール2（監視装置）のNAND回路12（第2のリセット部）は、すべての内部エラー異常検出部17a,17b,17c（内部エラー検出部）から異常信号（リセット発生要求信号3,4,5：H）が監視モジュール2（監視装置）に入力された場合、リセット信号（/RES7：L）をメインマイコン１（マイコン）に入力する。
　この回路構成によれば、診断制御信号11がHの状態で、リセット発生要求信号3,4,5のいずれか一つでもH状態となると、NOR回路6を通して、/RES7をLに落とすことで、メインマイコン1を停止させる。診断制御信号11がLの状態で、リセット発生要求信号3,4,5のいずれか一つがH状態となった場合、NOR回路6が出力禁止状態となっているため、/RES7はLに落ちない。ただし、リセット発生要求信号3,4,5の全てがH状態となった場合に、NAND回路12が動作して、/RES7をLに落とす。
　従って、診断制御信号11をLにした状態で、例えば、リセット発生要求信号3,4,5をH状態にした場合、異常通知出力信号8,9,10の状態をメインマイコン1で読み取ることで、各経路の確認が可能である。最後にリセット発生要求信号3,4,5を全てH状態とすることで、NAND回路12が動作して、/RES7をLに落とす。この構成によって、/RES7の経路を確認可能となる。リセット発生要求信号3,4,5のいずれかがHになっただけでは、/RES7がLに落ちず、メインマイコン1が停止しない事ですべての経路異常を確認可能となる。
　以上説明したように、本実施形態によれば、メインマイコン1と監視モジュール2の間の経路についての診断の信頼性を向上することができる。また、NAND回路12により、イグニッションスイッチがオフ（診断制御信号11：L）の期間にメインマイコン1をリセットすることができる。
　（第3の実施の形態）
　図3は、本発明の第3の実施の形態による電子制御装置としてのECUの概略構成例を示すブロック図である。リセット発生要求信号3,4,5と診断制御信号11を入力する、AND回路13,14,15（論理回路）を実装した構成である。
　本実施形態では、メインマイコン1（マイコン）は、リセット要求（リセット発生要求信号16：H）を監視モジュール2（監視装置）に入力するリセット要求部22としてさらに機能する。
　また、本実施形態のAND回路13,14,15及びNOR回路6は、第1の実施形態の第1のリセット部（図１のNOR回路6）に相当する。図3のNOR回路6は、メインマイコン1（マイコン）からリセット要求（リセット発生要求信号16：H）が監視モジュール2（監視装置）に入力された場合、リセット信号（/RES7：L）をメインマイコン1に入力する。
　この回路構成によれば、診断制御信号11がHの状態で、リセット発生要求信号3,4,5のいずれか一つでもH状態となると、NOR回路6を通して、/RES7をLに落とすことで、メインマイコン1を停止させる。
　診断制御信号11がLの状態で、リセット発生要求信号3,4,5のいずれかがH状態となった場合でも、論理回路13,14,15の出力がL状態で変化しないため、/RES7はLに落ちない。最後にリセット発生要求信号16をH状態とすることで、/RES7をLに落とす。この構成によって、/RES7の経路を確認可能となる。リセット発生要求信号3,4,5のいずれかがHになっただけでは、/RES7がLに落ちず、メインマイコン1が停止しない事ですべての経路異常を確認可能となる。
　以上説明したように、本実施形態によれば、メインマイコン1と監視モジュール2の間の経路についての診断の信頼性を向上することができる。また、リセット要求部22により、イグニッションスイッチがオフ（診断制御信号11：L）の期間にメインマイコン1をリセットすることができる。
　（変形例）
　図4は、図3の第3の実施の形態による電子制御装置としてのECUの変形例を示すブロック図である。メインマイコン1の内部エラー異常検出部17（内部エラー検出部）と、内部エラー異常検出部17で異常を検出した場合、メインマイコン1外部に通知する内部エラー異常検出信号18と、メインマイコン1のP-RUN信号19の経路と、P-RUN信号19でウォッチドックタイマカウンタをクリアするWDT20（ウォッチドックタイマ）と、が具備されており、内部エラー異常検出部17の異常を検出した場合、および、WDT20が異常を判断した場合に、/RES7をLに落とす仕様とする。また、診断制御信号11は、イグニッションキースイッチ信号11aとする。
　本実施形態では、メインマイコン1（マイコン）は、所定の周期Tでパルス（P-RUN信号19）を生成して監視モジュール2（監視装置）に入力するパルス生成部23としてさらに機能する。WDT20及びNOR回路6は、周期Tを経過してもパルスが監視モジュール2（監視装置）に入力されない場合、リセット信号（/RES7：L）をメインマイコン1に入力する第1のリセット部として機能する。
　イグニッションキースイッチ信号11aがHの状態で、ECUが通常動作中に、内部エラー異常検出部17でメインマイコン1の異常を検出した場合、内部エラー異常検出信号18が監視モジュール2内部のAND回路13の入力部に接続（入力）され、AND回路13の出力部がHに切り替わるため、NOR回路6の出力がLに変わる。そのため、/RES7をLに落とすことが可能である。また、メインマイコンのプログラム暴走などが原因で、P-RUN信号19が出力しない場合、WDT20が異常を検出することで、NOR回路6の出力部がLに変わる。そのため、/RES7をLに落とすことが可能となる。
　イグニッションキースイッチ信号11aがHからLの状態に切り替わると、ECUは終了シーケンスに移行し、各種診断を実行する。図5に、終了シーケンス期間での経路診断手法の一例を示す。
　終了シーケンス中に内部エラー異常検出部17に擬似エラーを発生させて、内部エラー異常検出信号18を発生させる。AND回路13には、イグニッションキースイッチ信号11a（＝L）と内部エラー異常検出信号18（＝H）が入力されているため、出力は切り替わらない。
そのため、/RES7はLに落ちず、メインマイコン1は停止しない。
　メインマイコン1は異常通知出力信号8の状態を読み取ることで、内部エラー異常検出部17が異常を検出できること、および、内部エラー異常検出信号18の経路で、回路断線などが発生していないかを確認可能である。終了シーケンスの最後に、メインマイコン1がP-RUN信号19の出力を停止させて、/RES7をLに落とすことで、WDT20に関する機能診断が実現可能である。
　以上説明したように、本実施形態によれば、と監視モジュール2の間の経路についての診断の信頼性を向上することができる。また、パルス生成部23により、例えば、イグニッションスイッチがオフ（イグニッションキースイッチ信号11a：L）の期間にメインマイコン1をリセットすることができる。
　なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　例えば、診断部21が経路P1a,P1b,P1c（第1の経路）は疎通していないと診断した場合、診断部21は、その情報を外部装置（上位システム、他のECU等）へ通知するようにしても
よい。外部装置は、通知された情報に基づいて報知（警告灯を点灯等）するようにしてもよい。
　また、上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、ICカード、SDカード、DVD等の記録媒体に置くことができる。
　なお、本発明の実施形態は、以下の態様であってもよい。
　（1）異常状態に応じて複数種類のリセット発生要求信号を発生させる車両制御装置であって、前記複数のリセット発生要求信号の発生動作を診断する診断部と、前記複数のリセット発生要求信号を入力する、NOR回路のような論理回路と、前記論理回路の出力がリセットと接続された回路構成において、前記診断部は、前記論理回路に入力される前記複数のリセット発生要求信号の発生動作を診断する、車両制御装置。
　（2）前記診断制御信号は、イグニッションキースイッチの状態を表す信号であり、前記論理回路は、前記イグニッションキースイッチのON状態を表す信号が入力されている間、前記複数のリセット発生要求信号が入力されると作動する、（1）に記載の車両制御装置。
　（3）前記診断部は、前記診断制御信号が診断の禁止を表す状態から診断の許可を表す状態に変化した場合、前記複数のリセット発生要求信号を診断する（1）に記載の車両制御装置。
　（4）（1）に記載の車両制御装置において、複数のリセット発生要求信号が全て入力されると作動してリセットを発生させる、新たな論理回路を追加することで、リセット経路を確認可能な車両制御装置。
　（5）（1）に記載の車両制御装置とは別の実施形態において、前記リセット発生要求信号と、イグニッションキースイッチ信号を、AND回路のような論理回路に接続し、また一方で前記リセット発生要求信号とは別のリセット発生要求信号と、前記イグニッションキースイッチ信号を、AND回路のような論理回路に接続し、このような構成が複数のリセット発生要求信号に適用され、前記複数のリセット発生要求信号の発生動作を診断する診断部と、前記複数のAND回路のような論理回路の出力がNOR回路のような論理回路に複数接続され、前記複数のリセット発生要求信号とは別のリセット発生要求信号が前記NOR回路のような論理回路に接続され、前記NOR回路のような論理回路の出力が、リセットと接続された回路構成において、前記診断部は、前記論理回路に入力される前記複数のリセット発生要求信号の発生動作を診断し、前記複数のリセット発生要求信号とは別のリセット発生要求信号を出力させることで、リセットを発生させて経路を確認可能な車両制御装置。
　（6）（5）に記載の車両制御装置において、異常状態をメインマイコン内部エラー異常、WDTエラーとし、それぞれの異常状態に対するリセット発生要求信号が、一方は前記イグニッションキースイッチとAND回路で接続され、AND回路の出力がNOR回路に入力され、一方は直接前記NOR回路に入力され、前記NOR回路の出力がリセットと接続された回路構成において、イグニッションキースイッチがON時H状態である場合に、いずれのエラーが発生した場合でもリセットを発生させ、イグニッションキースイッチがOFF時L状態である場合に、前記AND回路に接続されているリセット発生要求信号の発生動作を診断し、前記直接NOR回路に接続されたリセット発生要求信号を発生させることで、リセットを発生させて、車両を停止させることで、リセットを発生させる経路を確認可能な車両制御装置。
　また、例えば、車載電子制御装置(以下、ECU)を制御するメインマイコンと、前記メインマイコンに対して、メインマイコン異常を検出する監視モジュールと、前記メインマイコンと前記監視モジュール間で接続される、前記メインマイコンで異常が発生した事を、前記監視モジュールに通知し、リセットを発生するリセット発生要求信号と、前記リセット発生要求信号とは別の、複数のリセット発生要求信号と、前記複数のリセット要求信号のうち、いずれか一つでもHレベルとなった場合に、メインマイコンを停止させる論理回路と、前記論理回路の出力を許可/禁止信号の役割を担い、出力許可/禁止信号がLレベルとなり禁止状態となると、前記論理回路の出力を切り替わらない診断制御信号と、前記リセット発生要求信号と前記論理回路との接続箇所において、前記論理回路入力部の論理状態を前記メインマイコンに通知する異常通知出力信号と、前記リセット発生要求信号とは別の、複数のリセット発生要求信号と前記論理回路との接続箇所において、前記論理回路入力部の論理状態を前記メインマイコンに通知する複数の異常通知出力信号と、を有するECUにおいて、複数のリセット発生要求信号が正常に動作することを、1回の終了シーケンスで確認可能であること、を特徴とする電子制御装置であってもよい。
1…メインマイコン
2…監視モジュール
3…リセット発生要求信号
4…リセット発生要求信号
5…リセット発生要求信号
6…NOR回路（論理回路）
7…/RES
8…異常通知出力信号
9…異常通知出力信号
10…異常通知出力信号
11…診断制御信号
11a…イグニッションキースイッチ信号
12…NAND回路（論理回路）
13…AND回路（論理回路）
14…AND回路（論理回路）
15…AND回路（論理回路）
16…リセット発生要求信号
17…内部エラー異常検出部
18…内部エラー異常検出信号
19…P-RUN信号
20…WDT
21…診断部
22…リセット要求部
23…パルス生成部

Claims (9)

  1. 　マイコンと前記マイコンを監視する監視装置とを有する車載制御装置であって、
    　前記マイコンは、
    　イグニッションスイッチがオンの期間に内部エラーが発生した場合、前記内部エラーが発生したことを示す異常信号を第1の経路を介して前記監視装置に入力し、前記イグニッションスイッチがオフの期間にテストのため前記異常信号を前記第1の経路を介して前記監視装置に入力する内部エラー検出部と、
    　前記内部エラー検出部が前記異常信号を前記監視装置に入力した後、前記第1の経路から分岐した第2の経路の信号レベルに基づいて前記第1の経路を診断する診断部と、を備える
    　ことを特徴とする車載制御装置。
  2. 　請求項１に記載の車載制御装置であって、
    　前記監視装置は、
    　前記イグニッションスイッチがオンであり、かつ、前記異常信号が前記監視装置に入力された場合、前記マイコンをリセットさせるためのリセット信号を前記マイコンに入力する第1のリセット部を備える
    　ことを特徴とする車載制御装置。
  3. 　請求項２に記載の車載制御装置であって、
    　前記第1のリセット部は、
    　前記イグニッションスイッチがオフであり、かつ、前記異常信号が前記監視装置に入力された場合、前記リセット信号を前記マイコンに入力しない
    　ことを特徴とする車載制御装置。
  4. 　請求項２に記載の車載制御装置であって、
    　前記内部エラー検出部は、
    　複数あり、
    　前記第1の経路及び前記第2の経路は、
    　前記内部エラー検出部ごとに設けられ、
    　前記第1のリセット部は、
    　前記イグニッションスイッチがオンであり、かつ、少なくとも１つの前記内部エラー検出部から前記異常信号が前記監視装置に入力された場合、前記リセット信号を前記マイコンに入力する
    　ことを特徴とする車載制御装置。
  5. 　請求項４に記載の車載制御装置であって、
    　前記監視装置は、
    　すべての前記内部エラー検出部から前記異常信号が前記監視装置に入力された場合、前記リセット信号を前記マイコンに入力する第2のリセット部をさらに備える
    　ことを特徴とする車載制御装置。
  6. 　請求項４に記載の車載制御装置であって、
    　前記マイコンは、
    　リセット要求を前記監視装置に入力するリセット要求部をさらに備え、
    　前記第1のリセット部は、
    　前記マイコンからリセット要求が前記監視装置に入力された場合、前記リセット信号を前記マイコンに入力する
    　ことを特徴とする車載制御装置。
  7. 　請求項２に記載の車載制御装置であって、
    　前記マイコンは、
    　所定の周期でパルスを生成して前記監視装置に入力するパルス生成部をさらに備え、
    　前記第1のリセット部は、
    　前記周期を経過しても前記パルスが前記監視装置に入力されない場合、前記リセット信号を前記マイコンに入力する
    　ことを特徴とする車載制御装置。
  8. 　請求項１に記載の車載制御装置であって、
    　前記診断部は、
    　前記内部エラー検出部が前記異常信号を前記監視装置に入力した後、前記第2の経路を介して前記異常信号が前記マイコンに入力されない場合、前記第1の経路は疎通していないと診断する
    　ことを特徴とする車載制御装置。
  9. 　請求項８に記載の車載制御装置であって、
    　前記診断部は、
    　前記内部エラー検出部が前記異常信号を前記監視装置に入力した後、前記第2の経路を介して前記異常信号が前記マイコンに入力された場合、前記内部エラー検出部は正常に動作しており、かつ、前記第1の経路は疎通していると診断する
    　ことを特徴とする車載制御装置。
PCT/JP2017/003084 2016-03-28 2017-01-30 電子制御装置 WO2017169058A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
DE112017000868.9T DE112017000868B4 (de) 2016-03-28 2017-01-30 Elektronische Steuervorrichtung
JP2018508464A JP6457149B2 (ja) 2016-03-28 2017-01-30 電子制御装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016062972 2016-03-28
JP2016-062972 2016-03-28

Publications (1)

Publication Number Publication Date
WO2017169058A1 true WO2017169058A1 (ja) 2017-10-05

Family

ID=59963036

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/003084 WO2017169058A1 (ja) 2016-03-28 2017-01-30 電子制御装置

Country Status (3)

Country Link
JP (1) JP6457149B2 (ja)
DE (1) DE112017000868B4 (ja)
WO (1) WO2017169058A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63123138A (ja) * 1986-11-12 1988-05-26 Yamatake Honeywell Co Ltd マイコン暴走検知回路
JPH0675824A (ja) * 1992-08-27 1994-03-18 Fujitsu Ten Ltd Ｃｐｕの動作監視装置
JP2008152678A (ja) * 2006-12-19 2008-07-03 Fujitsu Ten Ltd 電子制御装置
JP2013037635A (ja) * 2011-08-10 2013-02-21 Renesas Electronics Corp ウォッチドッグタイマ回路
JP2015057016A (ja) * 2013-09-13 2015-03-23 株式会社オートネットワーク技術研究所 負荷制御装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS59211143A (ja) 1983-05-17 1984-11-29 Nissan Motor Co Ltd マイクロコンピユ−タを用いた車両用制御回路
JP2008276360A (ja) 2007-04-26 2008-11-13 Fujitsu Ten Ltd 電子制御装置
JP6172040B2 (ja) 2014-05-09 2017-08-02 株式会社デンソー 電子制御装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63123138A (ja) * 1986-11-12 1988-05-26 Yamatake Honeywell Co Ltd マイコン暴走検知回路
JPH0675824A (ja) * 1992-08-27 1994-03-18 Fujitsu Ten Ltd Ｃｐｕの動作監視装置
JP2008152678A (ja) * 2006-12-19 2008-07-03 Fujitsu Ten Ltd 電子制御装置
JP2013037635A (ja) * 2011-08-10 2013-02-21 Renesas Electronics Corp ウォッチドッグタイマ回路
JP2015057016A (ja) * 2013-09-13 2015-03-23 株式会社オートネットワーク技術研究所 負荷制御装置

Also Published As

Publication number Publication date
DE112017000868B4 (de) 2024-05-23
JPWO2017169058A1 (ja) 2018-07-05
JP6457149B2 (ja) 2019-01-23
DE112017000868T5 (de) 2018-11-15

Similar Documents

Publication Publication Date Title
US10579484B2 (en) Apparatus and method for enhancing reliability of watchdog circuit for controlling central processing device for vehicle
JP6599054B2 (ja) 異常判定装置、異常判定方法及び異常判定プログラム
JP3616367B2 (ja) 電子制御装置
JP5126393B2 (ja) 車載電子制御装置
US9372774B2 (en) Redundant computing architecture
US8996927B2 (en) Electronic control device with watchdog timer and processing unit to diagnose malfunction of watchdog timer
KR100296984B1 (ko) 전자제어장치용감시시스템
JP2011043957A (ja) 障害監視回路、半導体集積回路及び故障個所特定方法
US20180180672A1 (en) Semiconductor device and diagnostic test method
JP5094777B2 (ja) 車載用電子制御装置
US20120150492A1 (en) Method and Device for Monitoring a Device Equipped with a Microprocessor
US9678870B2 (en) Diagnostic apparatus, control unit, integrated circuit, vehicle and method of recording diagnostic data
JP6457149B2 (ja) 電子制御装置
JP2018163498A (ja) 監視回路
JP5459370B2 (ja) 車載電子制御装置
JP5875475B2 (ja) 保安装置
JP2018097442A (ja) 電子制御装置
CN114545829B (zh) 信号输出装置及信号输出控制方法、工程机械
WO2021111896A1 (ja) 車載電子制御装置
JP7329579B2 (ja) 制御装置
JP4613019B2 (ja) コンピュータシステム
KR102483013B1 (ko) 차량용 전원 불량 점검 장치 및 방법
JP6716429B2 (ja) 電子制御装置及びその診断方法
US6807514B2 (en) Apparatus for monitoring the proper operation of components of an electrical system carrying out the same or mutually corresponding actions
JP5561329B2 (ja) 車載電子制御装置

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018508464

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17773607

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 17773607

Country of ref document: EP

Kind code of ref document: A1