JP2002091802A

JP2002091802A - 電子制御システムの暴走監視装置

Info

Publication number: JP2002091802A
Application number: JP2000279174A
Authority: JP
Inventors: Takayoshi Honda; 隆芳本多
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2000-09-14
Filing date: 2000-09-14
Publication date: 2002-03-29
Anticipated expiration: 2020-09-14
Also published as: JP3714141B2

Abstract

(57)【要約】【課題】構成の簡素化を図りつつ、演算プロセッサの暴
走を正しく監視すること。【解決手段】マイコン１０は、エンジン制御を行う第１
ＣＰＵ１１と、トランスミッション制御を行う第２ＣＰ
Ｕ１２とをはじめ、ＲＡＭ１３、ＲＯＭ１４、フリーラ
ンタイマ１５、Ｉ／Ｏ部１６を備える。ＷＤＣ監視部１
８は、Ｉ／Ｏ部１６から出力されるＷＤＣ信号を監視
し、同ＷＤＣ信号の周期性が崩れると、各ＣＰＵ１１，
１２で異常発生したと判断し、リセット信号を出力す
る。この場合特に、フリーランタイマ１５は、各ＣＰＵ
１１，１２に対して一定周期でタイミングを通知し、各
ＣＰＵ１１，１２は、同タイマ１５から通知されるタイ
ミングに従い、互いに異なるタイミングでそれぞれＷＤ
Ｃ用Ｉ／ＯポートをＨ又はＬに操作する。これにより、
ＷＤＣ用Ｉ／ＯポートからＷＤＣ監視部１８に対して一
定周期のＷＤＣ信号が出力される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、並行して動作する
少なくとも２つの演算プロセッサを備え、演算プロセッ
サからの周期的な出力に基づくウォッチドッグクリア信
号（ＷＤＣ信号）により演算プロセッサの暴走を監視す
る電子制御システムの暴走監視装置に関するものであ
る。

【０００２】

【従来の技術】従来より、ウォッチドッグクリア（ＷＤ
Ｃ）信号として出力されるパルスの周期性に基づいてマ
イクロコンピュータ（マイコン）の暴走を監視する装置
が提案されている。また近年では、マイコン処理の複雑
化、高速化、小型化の要求に伴い、通常のマイコンを２
個用いたり、１つのパッケージに２つのＣＰＵを搭載し
たデュアルコア（デュアルＣＰＵ）のマイコンが使用さ
れるようになり、２つのマイコン（ＣＰＵ）へ処理を分
散させるようになっている。

【０００３】２つのマイコンを用いる制御システムの場
合、暴走監視を行うには図７に示す２つの手法が考えら
れる。すなわち、図７（ａ）では、２つのマイコンＡ，
Ｂ毎に監視部が設けられ、各マイコンＡ，Ｂから出力さ
れるＷＤＣ信号がそれぞれ別個の監視部に入力される構
成となっている。また、図７（ｂ）では、マイコンＢの
動作がマイコンＡにより監視され、マイコンＢが正常で
あり且つマイコンＡ自身も同様に正常である場合、マイ
コンＡから監視部に対してＷＤＣ信号が出力される構成
となっている。

【０００４】しかしながら、上記図７（ａ）の手法で
は、マイコン毎に監視部が必要になる上に、監視部への
通信線が２本必要になり、コストアップとなる。また、
上記図７（ｂ）の手法では、監視部は１つに集約できる
ものの、マイコンＢのＷＤＣ信号をマイコンＡで監視し
なければならないため、マイコンＡ側の処理が複雑化
し、処理負荷が増える。

【０００５】一方、アンチスキッド制御など安全性が求
められる制御では、２つのマイコンにて同一又は同一相
当の演算処理（同じ周期で同じ処理時間の演算を行う処
理）を行う、いわゆるデュアルマイクロコンピュータシ
ステムが提案されており、当該システムに有用なマイコ
ンの暴走監視装置として、特許第２５５６１５６号公報
がある。この公報の装置では、２つのマイコンが所定の
周期毎に異なるタイミングでＷＤＣ信号を出力し、各マ
イコンのＷＤＣ信号によりフリップフロップの出力を反
転させる。そして、フリップフロップの出力周期が予め
定められた範囲内になければ異常と判定するようにして
いた。

【０００６】ところが、処理負荷を複数のマイコンに分
散し、各マイコンで互いに異なる処理を実施させるよう
にした電子制御システムの場合、エンジン制御やトラン
スミッション制御等、異なる処理がマイコン毎に割り当
てられ、各マイコンの演算タイミングや処理時間が異な
ることが原因でＷＤＣ信号の出力タイミングがずれてし
まう。それ故に、上記公報のように所定周期でマイコン
毎にＷＤＣ信号を出力させようとしても、ＷＤＣ信号の
出力周期がずれ、結果として誤った監視動作が行われて
しまう。例えば、エンジン制御用マイコンとトランスミ
ッション制御用マイコンとを有する制御システムでは、
前者のマイコンは、エンジン回転に応じたタイミングで
行う処理（角度同期処理）が多いのに対し、後者のマイ
コンは、一定時間毎に行う処理（時間同期処理）が多い
ため、２つのマイコンでタイミングの周期が合わせられ
ない。

【０００７】また、２つのマイコンにて、アンチスキッ
ド制御など、同一又は同一相当の演算処理を行う場合に
も、コスト等の関係上、２つのマイコンの動作周期が異
なるもの（一方が２０ＭＨｚ動作、他方が１６ＭＨｚ動
作）を使用することが考えられる。かかる場合にも、上
記公報の装置では、マイコン毎にタイミングの周期が合
わず、監視動作を正しく行わせることができなくなる。

【０００８】

【発明が解決しようとする課題】本発明は、上記問題に
着目してなされたものであって、その目的とするところ
は、構成の簡素化を図りつつ、演算プロセッサの暴走を
正しく監視することができる電子制御システムの暴走監
視装置を提供することである。

【０００９】

【課題を解決するための手段】請求項１に記載の発明に
おいて、監視部は、各々の演算プロセッサからの周期的
な出力に基づくウォッチドッグクリア（ＷＤＣ）信号を
入力し、ウォッチドッグクリア信号の周期性が崩れると
演算プロセッサの異常発生の旨を判定する。また、特に
本発明では、タイマ部は、各々の演算プロセッサに対し
て一定周期でタイミングを通知し、各演算プロセッサ
は、前記タイマ部から通知されるタイミングに従い、互
いに異なるタイミングでそれぞれ周期的な出力を行う。

【００１０】本構成によれば、複数の演算プロセッサに
対して同数の監視部が必要になることはなく、構成の簡
素化が可能となる。また、特定の演算プロセッサが他の
演算プロセッサの分まで監視を行う必要もなく、特定の
演算プロセッサにおいて処理が煩雑になる、処理負荷が
増大するといった不都合も生じない。更に、タイマ部か
ら通知されるタイミングに従い、各演算プロセッサが周
期的な出力を行うので、仮に各演算プロセッサが互いに
異なる処理を請け負っていても、ウォッチドッグクリア
信号の出力周期がずれることはない。従って、演算プロ
セッサの暴走を確実に監視することができる。

【００１１】この場合、互いに異なる処理を行う少なく
とも２つ以上の演算プロセッサを有する電子制御システ
ム（請求項３）や、互いに動作周期の異なる少なくとも
２つ以上の演算プロセッサを有する電子制御システム
（請求項４）にとって有益な構成が提供できる。

【００１２】また、請求項２に記載したように、異常が
所定時間継続した場合に各演算プロセッサをリセットす
ることにより、異常発生後において演算プロセッサの正
常復帰が可能となる。

【００１３】また実際には、請求項５に記載したよう
に、前記タイマ部からのタイミング通知により各々の演
算プロセッサで割り込み要求が発生し、ウォッチドッグ
クリア処理が実施されると良い。

【００１４】また本発明は、各演算プロセッサが同一パ
ッケージ内に設けられる場合にも好適に具体化できる
（請求項６）。かかる場合において、請求項７に記載の
発明では、第１及び第２の演算プロセッサは、タイマ部
により通知される演算プロセッサ毎のタイミングで出力
部の出力をＨ／Ｌ（ハイレベル／ローレベル）で反転さ
せる。そして、前記監視部は、出力部の出力が、予め定
められた周期にて反転しない場合に異常発生の旨を判定
する。本構成では、何れかの演算プロセッサが暴走した
場合には、出力部のＨ／Ｌ出力の周期性が崩れることか
ら、異常発生が容易に且つ確実に判定できる。

【００１５】また、上記の如く出力部の出力を一定周期
でＨ／Ｌ反転させる構成として、請求項８に記載したよ
うに、第１及び第２の演算プロセッサにおいて、前記タ
イマ部からのタイミング通知に従い出力部の出力を周期
的に各々Ｈ又はＬに操作するよう構成すると良い。

【００１６】更に、請求項９に記載の発明では、フリッ
プフロップ回路は、第１の演算プロセッサからの周期的
な出力によりセットされると共に、第２の演算プロセッ
サからの周期的な出力によりリセットされる。前記監視
部は、フリップフロップ回路の出力が、予め定められた
周期にて反転しない場合に異常発生の旨を判定する。本
構成では、何れかの演算プロセッサが暴走した場合に
は、フリップフロップ回路のＨ／Ｌ出力の周期性が崩れ
ることから、異常発生が容易に且つ確実に判定できる。

【００１７】また、上記の如くフリップフロップ回路の
出力を一定周期で反転させる構成として、請求項１０に
記載したように、第１及び第２の演算プロセッサにおい
て、前記タイマ部からのタイミング通知に従いフリップ
フロップ回路のセット端子及びリセット端子に周期的に
各々ワンショットパルスを出力するよう構成すると良
い。

【００１８】請求項１１に記載の発明では、異常発生時
には、前記監視部に対する出力がＨ又はＬの何れの状態
で固定されるかに応じて異常発生の演算プロセッサを特
定し、その異常発生の演算プロセッサをリセットする。
本構成によれば、暴走した演算プロセッサだけを選択的
にリセットすることができる。

【００１９】また、請求項１２に記載の発明では、前記
タイマ部は、所定数のビットで構成されるフリーランタ
イマであり、該フリーランタイマの特定ビットの反転に
伴い前記演算プロセッサに対してタイミングを通知す
る。この場合、フリーランタイマの各ビットは所定の時
間周期で反転し、この反転のタイミングによれば、所望
とする一定周期でタイミング通知を行わせることができ
るようになる。

【００２０】

【発明の実施の形態】（第１の実施の形態）以下、この
発明を具体化した第１の実施の形態を図面に従って説明
する。本実施の形態の電子制御システムでは、処理速度
の向上を図るべく、同一パッケージ内に２つのＣＰＵ
（コア）を収容した、いわゆるデュアルコアマイコンを
用いており、各ＣＰＵは、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ、タ
イマなどを共通に使用する。

【００２１】図１は、本実施の形態における車載制御装
置を示す構成図である。図１において、マイコン１０
は、エンジン制御を行う第１ＣＰＵ１１と、トランスミ
ッション制御を行う第２ＣＰＵ１２とをはじめ、ＲＡＭ
１３、ＲＯＭ１４、フリーランタイマ１５、Ｉ／Ｏ部１
６を備える。この場合、第１ＣＰＵ１１は、主として回
転同期のエンジン制御を行い、第２ＣＰＵ１２は、主と
して時間同期のトランスミッション制御を行う。第１及
び第２ＣＰＵ１１，１２とフリーランタイマ１５には発
振子１７が接続されている。ここで、フリーランタイマ
１５は、一定時間毎（例えば１μｓ毎）にカウントアッ
プされる２バイト（１６ビット）のタイマカウンタにて
構成される。すなわち、フリーランタイマ１５は「００
００Ｈ」〜「ＦＦＦＦＨ」の間でカウント値を変化させ
るタイマとして機能する。

【００２２】また、Ｉ／Ｏ部１６のＷＤＣ用Ｉ／Ｏポー
トには、マイコン等により構成されるＷＤＣ監視部１８
が接続されている。ＷＤＣ監視部１８は、Ｉ／Ｏ部１６
から出力されるＷＤＣ信号を監視し、同ＷＤＣ信号の周
期性が崩れると、各ＣＰＵ１１，１２で異常発生したと
判断し、リセット信号（／ＲＳＴ）を出力する。なお、
本実施の形態では、第１及び第２ＣＰＵ１１，１２が
「演算プロセッサ」に、フリーランタイマ１５が「タイ
マ部」に、Ｉ／Ｏ部１６が「出力部」にそれぞれ相当す
る。

【００２３】次に、第１及び第２ＣＰＵ１１，１２の暴
走監視の動作を図２のタイムチャートを用いて説明す
る。図２には、フリーランタイマ１５の動作、各ＣＰＵ
１１，１２のＷＤＣ処理タイミング、ＷＤＣ用Ｉ／Ｏポ
ートの出力（ＷＤＣ信号）、リセット信号をそれぞれ示
している。

【００２４】フリーランタイマ１５は、一定速度でカウ
ントアップ動作を継続し、その際、フリーランタイマ１
５を構成する各ビットはそれぞれに同一の時間間隔で反
転を繰り返す。一例として図３に示すように、フリーラ
ンタイマ１５の１２番目のビット（ｂｉｔ１２）は約４
ｍｓ毎に反転を繰り返す。この場合、当該ｂｉｔ１２の
反転のタイミングが第１及び第２ＣＰＵ１１，１２に通
知され、その際、各ＣＰＵ１１，１２では割り込み要求
が発生し、ＷＤＣ処理を実施する。すなわち、第１ＣＰ
Ｕ１１は、フリーランタイマ１５のｂｉｔ１２が０→１
に反転するタイミングでエンジン制御を中断し、ＷＤＣ
処理によりＷＤＣ用Ｉ／ＯポートをＨに操作する。ま
た、第２ＣＰＵ１２は、フリーランタイマ１５のｂｉｔ
１２が１→０に反転するタイミングでトランスミッショ
ン制御を中断し、ＷＤＣ処理によりＷＤＣ用Ｉ／Ｏポー
トをＬに操作する。これにより、ＷＤＣ用Ｉ／Ｏポート
からＷＤＣ監視部１８に対して一定周期のＷＤＣ信号が
出力される。なおこのとき、Ｉ／Ｏ部１６は各ＣＰＵ共
通で使用されるが、各ＣＰＵ１１，１２は、一定の時間
間隔が経過する度にＩ／Ｏ部１６に対して交互に出力を
行う。そのため、Ｉ／Ｏ部１６に対して同時に出力が行
われるといった不都合はない。

【００２５】例えば図２の（Ａ）期間では、上記の通り
フリーランタイマ１５のｂｉｔ１２の反転に応じてＷＤ
Ｃ用Ｉ／Ｏポートの出力が一定周期で反転を繰り返す。
従って、両ＣＰＵ１１，１２共に、正常動作していると
判断できる。

【００２６】これに対して、例えば第２ＣＰＵ１２が暴
走すると、第２ＣＰＵ１２でＷＤＣ処理が実施できなく
なる。このとき、図２の（Ｂ）期間に示すように、ＷＤ
Ｃ用Ｉ／ＯポートがＬに立ち下げられず、ＷＤＣ用Ｉ／
Ｏポート出力はＨ固定となる。これがＷＤＣ監視部１８
でチェックされ、その状態がある一定時間連続すると、
ＣＰＵ１１，１２がリセットされる。このリセットによ
り、図２の（Ｃ）期間のように正常復帰が可能となり、
それ以降、再びＷＤＣ信号が一定周期で反転動作する。

【００２７】以上詳述した本実施の形態によれば、以下
に示す効果が得られる。第１及び第２ＣＰＵ１１，１２
のＷＤＣ処理（割り込み要求発生）のタイミングをフリ
ーランタイマ１５から交互に通知し、その時生成される
ＷＤＣ信号の周期性により各ＣＰＵ１１，１２の暴走を
監視した。かかる構成では、各ＣＰＵ１１，１２に対し
て同数のＷＤＣ監視部が必要になることはなく、構成の
簡素化が可能となる。また、特定のＣＰＵが他のＣＰＵ
の分まで監視を行う必要もなく、特定のＣＰＵの処理が
煩雑になる、処理負荷が増大するといった不都合も生じ
ない。また更に、各ＣＰＵ１１，１２の互いに異なる処
理を行っていても、ＷＤＣ信号の出力周期がずれること
はない。従って、ＣＰＵ１１，１２の暴走を確実に監視
することができる。

【００２８】フリーランタイマ１５の特定ビットの反転
に伴い各ＣＰＵ１１，１２に対してタイミングを通知す
るようにしたので、所望とする一定周期でタイミング通
知を行わせることができるようになる。なお、ＷＤＣ処
理の周期を変更するには、各ＣＰＵ１１，１２へタイミ
ングを通知するｂｉｔを変更すれば良い。

【００２９】またこの場合、マイコン１０から出力され
るＷＤＣ信号は、周期的にＨ／Ｌ反転動作する従前通り
のものであり、ＷＤＣ監視部１８としての機能は何ら変
更はない。それ故に、監視対象のマイコンの形態が変わ
っても、ＷＤＣ監視部１８（監視機能）としての互換性
は保たれる。つまり、監視対象のマイコンが、図１の如
く同一パッケージに設けられるデュアルコアマイコンで
ある他に、別個のパッケージに設けられるマイコンであ
っても、同じＷＤＣ監視部１８（監視機能）が適用でき
る。

【００３０】なお因みに、図１の構成では、第１及び第
２ＣＰＵ１１，１２の何れかが暴走した場合、各ＣＰＵ
１１，１２を同時にリセットしたが、暴走したＣＰＵを
特定し、暴走側のＣＰＵのみをリセットするようにして
も良い。例えば、ＷＤＣ用ポート出力がＨ固定かＬ固定
かに応じて異常発生側のＣＰＵを特定し、その特定した
ＣＰＵに対してリセットをかけるようにする。

【００３１】（第２の実施の形態）次に、本発明におけ
る第２の実施の形態について、第１の実施の形態との相
違点を中心に説明する。本実施の形態では、別個にパッ
ケージングされた２つのマイコンを用い、各々のマイコ
ンが互いに異なる処理を行う構成としている。

【００３２】図４は、本実施の形態における車両制御装
置を示す構成図である。図４において、本制御装置は、
エンジン制御を司る第１マイコン２１と、トランスミッ
ション制御を司る第２マイコン２２とを備え、両マイコ
ン２１，２２はシリアル通信にて相互に通信可能に接続
されている。また、これらマイコン２１，２２にはタイ
マ２３が接続されており、タイマ２３は、発振子２４の
動作に従い各マイコン２１，２２に対して一定周期のパ
ルス信号を出力する。マイコン２１，２２はそれぞれ、
タイマ出力の立ち上がり又は立ち下がりのタイミングで
ワンショットパルスを出力する。

【００３３】ＳＲフリップフロップ２５のセット（Ｓ）
端子には、第１マイコン２１のＷＤＣ用Ｉ／Ｏポートが
接続され、リセット（Ｒ）端子には、第２マイコン２２
のＷＤＣ用Ｉ／Ｏポートが接続されている。また、フリ
ップフロップ２５の出力（Ｑ）端子には、マイコン等に
より構成されるＷＤＣ監視部２６が接続されている。こ
の場合、フリップフロップ２５は、第１マイコン２１の
ワンショットパルスによりセット、第２マイコン２２の
ワンショットパルスによりリセットされ、その出力であ
るＷＤＣ信号がＷＤＣ監視部２６に入力される。

【００３４】ＷＤＣ監視部２６は、第１マイコン２１の
リセット（／ＲＳＴ）端子に接続されていると共に、第
２マイコン２２のリセット（／ＲＳＴ）端子に接続され
ている。そして、ＷＤＣ監視部２６は、フリップフロッ
プ２５の出力Ｑが、予め定められた周期にて反転しない
場合に異常発生とみなし、各マイコン２１，２２の／Ｒ
ＳＴ端子にリセット信号を出力する。この場合、ＷＤＣ
監視部２６は、各マイコン２１，２２を別個にリセット
しても良いし、同時にリセットするようにしても良い。
なお、本実施の形態では、第１及び第２マイコン２１，
２２が「演算プロセッサ」に、タイマ２３が「タイマ
部」にそれぞれ相当する。

【００３５】次に、マイコン２１，２２の暴走監視の動
作を図５のタイムチャートを用いて説明する。図５中、
ａ〜ｅ２は、図１中に同じ符号を付した各部位の信号波
形を示している。

【００３６】図５において、タイマ２３は、一定時間毎
（例えば４ｍｓ毎）に反転出力を行う（図のａ信号）。
このタイマ出力の立ち上がり又は立ち下がりのタイミン
グでマイコン２１，２２で割り込み要求が発生し、ＷＤ
Ｃ処理が実施される。すなわち、第１マイコン２１は、
タイマ出力ａの立ち上がりのタイミングでエンジン制御
を中断し、フリップフロップ２５に対してワンショット
パルスを出力する（図のｂ信号）。また、第２マイコン
２２は、タイマ出力ａの立ち下がりのタイミングでトラ
ンスミッション制御を中断し、フリップフロップ２５に
対してワンショットパルスを出力する（図のｃ信号）。

【００３７】このとき、図のｄに示すように、第１マイ
コン２１からのワンショットパルスｂによりフリップフ
ロップ２５がセットされ、出力ＱがＨに操作される。ま
た、第２マイコン２２からのワンショットパルスｃによ
りフリップフロップ２５がリセットされ、出力ＱがＬに
操作される。これにより、フリップフロップ２５は、タ
イマ出力（ａ信号）と同じ一定周期で反転を繰り返すこ
ととなる。

【００３８】例えば図５の（Ａ）期間では、上記の通り
タイマ出力ａの各立ち上がり及び立ち下がりに応じて各
マイコン２１，２２から周期的にワンショットパルス
ｂ，ｃが出力され、それに伴いフリップフロップ２５が
一定周期で反転出力を繰り返す。従って、両マイコン２
１，２２共に、正常動作していると判断できる。

【００３９】これに対して、例えば第２マイコン２２が
暴走すると、図５の（Ｂ）期間に示すように、タイマ出
力の立ち下がりタイミングでも第２マイコン２２でＷＤ
Ｃ処理が実施できなくなる。このとき、第２マイコン２
２からワンショットパルスが出力されないためにフリッ
プフロップ２５がリセットされず、フリップフロップ２
５の出力ＱがＨ固定になる。これがＷＤＣ監視部２６で
チェックされ、その状態がある一定時間連続すると、第
２マイコン２２がリセットされる（ｅ２）。このリセッ
トにより、図５の（Ｃ）期間のように正常復帰が可能と
なり、それ以降、再びＷＤＣ信号が一定周期で反転動作
する。

【００４０】以上第２の実施の形態によれば、上記第１
の実施の形態と同様に、構成の簡素化を図りつつ、第１
及び第２マイコン２１，２２の暴走を正しく監視するこ
とができる。

【００４１】なお本発明は、上記以外に次の形態にて具
体化できる。上記第２の実施の形態では、第１及び第２
マイコン２１，２２とは別個にタイマ２３を設け、その
タイマ２３から各マイコン２１，２２へＷＤＣ処理のタ
イミングを通知したが、その構成を図６のように変更す
る。図６では、第１マイコン２１内のタイマ２８を用
い、このタイマ出力により、第１マイコン２１内でＷＤ
Ｃ処理のタイミングを発生させると共に、第２マイコン
２２に対してＷＤＣ処理のタイミングを通知する。例え
ば、タイマ２８は、第１マイコン２１内蔵のフリーラン
タイマで実現される。

【００４２】また、各演算プロセッサが互いに異なる処
理を行う場合でなくとも、各演算プロセッサの動作周期
が異なる場合にも本発明は有効となる。すなわち、アン
チスキッド制御など、同一又は同一相当の演算処理を２
つの演算プロセッサで行う場合において、各演算プロセ
ッサの動作周期が相違しても各演算プロセッサでＷＤＣ
処理の周期がずれることはなく、監視動作を正しく行わ
せることができる。

【００４３】上記各実施の形態では、演算プロセッサの
暴走時にリセットをかけるよう構成したが、これを変更
する。例えば、ＷＤＣ監視部が、暴走した演算プロセッ
サの機能を補うべくフェイルセーフ処理を実施するよう
にしても良い。また、演算プロセッサのリセットを複数
回試みてもリセットできない場合に、同様にＷＤＣ監視
部がフェイルセーフ処理を実施するようにしても良い。

【００４４】上記各実施の形態では、電子制御システム
として、２つのＣＰＵ（又はマイコン）を持つ構成を例
示したが、３つ以上のＣＰＵ（又はマイコン）を持つ構
成で具体化しても良い。

【図面の簡単な説明】

【図１】発明の実施の形態における車載制御装置の概要
を示す構成図。

【図２】各ＣＰＵの暴走監視動作を示すタイムチャー
ト。

【図３】フリーランタイマの動作を示す図。

【図４】第２の実施の形態において車載制御装置の概要
を示す構成図。

【図５】各マイコンの暴走監視動作を示すタイムチャー
ト。

【図６】別の形態における車載制御装置を示す構成図。

【図７】従来技術を説明するための構成図。

【符号の説明】

１０…マイコン、１１…第１ＣＰＵ、１２…第２ＣＰ
Ｕ、１５…フリーランタイマ、１６…Ｉ／Ｏ部、１８…
ＷＤＣ監視部、２１…第１マイコン、２２…第２マイコ
ン、２３…タイマ、２５…フリップフロップ、２６…Ｗ
ＤＣ監視部。

Claims

【特許請求の範囲】

【請求項１】並行して動作する少なくとも２つの演算プ
ロセッサと、各々の演算プロセッサからの周期的な出力に基づくウォ
ッチドッグクリア信号を入力し、ウォッチドッグクリア
信号の周期性が崩れると前記演算プロセッサの異常発生
の旨を判定する監視部とを備える電子制御システムの暴
走監視装置であって、各々の演算プロセッサに対してタイマ部より一定周期で
タイミングを通知し、各演算プロセッサは、前記タイマ
部から通知されるタイミングに従い、互いに異なるタイ
ミングでそれぞれ周期的な出力を行うことを特徴とする
電子制御システムの暴走監視装置。
【請求項２】前記監視部は、異常が所定時間継続した場
合に各演算プロセッサをリセットするための信号を出力
する請求項１に記載の電子制御システムの暴走監視装
置。
【請求項３】互いに異なる処理を行う少なくとも２つ以
上の演算プロセッサを有する請求項１又は２に記載の電
子制御システムの暴走監視装置。
【請求項４】互いに動作周期の異なる少なくとも２つ以
上の演算プロセッサを有する請求項１又は２に記載の電
子制御システムの暴走監視装置。
【請求項５】前記タイマ部からのタイミング通知により
各々の演算プロセッサで割り込み要求が発生し、ウォッ
チドッグクリア処理が実施される請求項１〜４の何れか
に記載の電子制御システムの暴走監視装置。
【請求項６】前記した各々の演算プロセッサは、同一パ
ッケージ内に設けられる請求項１〜５の何れかに記載の
電子制御システムの暴走監視装置。
【請求項７】請求項６に記載の電子制御システムの暴走
監視装置において、第１及び第２の演算プロセッサと、これら演算プロセッ
サからの周期的な出力により自身の出力が操作される出
力部とを備え、第１及び第２の演算プロセッサは、前記
タイマ部により通知される演算プロセッサ毎のタイミン
グで前記出力部の出力をＨ／Ｌで反転させ、前記監視部
は、出力部の出力が、予め定められた周期にて反転しな
い場合に異常発生の旨を判定する電子制御システムの暴
走監視装置。
【請求項８】請求項７に記載の電子制御システムの暴走
監視装置において、前記第１の演算プロセッサは、前記タイマ部からのタイ
ミング通知に従い出力部の出力をＨに操作する一方、前
記第２の演算プロセッサは、前記タイマ部からのタイミ
ング通知に従い出力部の出力をＬに操作する電子制御シ
ステムの暴走監視装置。
【請求項９】第１及び第２の演算プロセッサと、第１の
演算プロセッサからの周期的な出力によりセットされる
と共に、第２の演算プロセッサからの周期的な出力によ
りリセットされるフリップフロップ回路とを備え、前記
監視部は、フリップフロップ回路の出力が、予め定めら
れた周期にて反転しない場合に異常発生の旨を判定する
請求項１〜５の何れかに記載の電子制御システムの暴走
監視装置。
【請求項１０】請求項９に記載の電子制御システムの暴
走監視装置において、前記第１の演算プロセッサは、前記タイマ部からのタイ
ミング通知に従いフリップフロップ回路のセット端子に
ワンショットパルスを出力する一方、前記第２の演算プ
ロセッサは、前記タイマ部からのタイミング通知に従い
フリップフロップ回路のリセット端子にワンショットパ
ルスを出力する電子制御システムの暴走監視装置。
【請求項１１】請求項７〜１０の何れかに記載の電子制
御システムの暴走監視装置において、異常発生時には、前記監視部に対する出力がＨ又はＬの
何れの状態で固定されるかに応じて異常発生の演算プロ
セッサを特定し、その異常発生の演算プロセッサをリセ
ットする電子制御システムの暴走監視装置。
【請求項１２】前記タイマ部は、所定数のビットで構成
されるフリーランタイマであり、該フリーランタイマの
特定ビットの反転に伴い前記演算プロセッサに対してタ
イミングを通知する請求項１〜１１の何れかに記載の電
子制御システムの暴走監視装置。