JP2002149446A - 電子制御装置及びその設計方法 - Google Patents

Abstract

(57)【要約】 【課題】 マイコンのイニシャルルーチン又はメインル
ーチンでのプログラム暴走による制御対象へのダメージ
を、特別なハードウエアを追加せずに防止する。 【解決手段】 負荷への通電を制御するための制御信号
を出力するマイコンと、該マイコンからウォッチドッグ
クリア信号が出力されない継続時間が所定の異常判定時
間に達したことを検知するとマイコンをリセットする異
常監視回路とを備えた電子制御装置において、マイコン
がリセット解除後に１回実行するイニシャルルーチンで
は、上記制御信号の出力レベルを設定するための出力操
作命令が当該ルーチンの最後尾（Ｓ１３０）にだけ配置
されている。また、イニシャルルーチンには、当該ルー
チンの実行所要時間を故意に延長して、該イニシャルル
ーチンの後に実行されるメインルーチンで繰り返し暴走
が発生した場合のマイコンの不定出力時間率を下げるた
めに、遅延ルーチン（Ｓ１２０）が設けられている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、マイクロコンピュ
ータを備えた電子制御装置に関するものである。

【０００２】

【従来の技術】従来より、例えば自動車に搭載される電
子制御装置においては、図４に例示するように、マイク
ロコンピュータ（以下、マイコンという）３が、記憶媒
体に予め記憶されたプログラムに従い動作して、電磁弁
やヒータ等といった電気負荷５への通電及び非通電を制
御するための制御信号を出力ポートから出力し、その制
御信号に従って、駆動回路７が電気負荷５に電流を流す
ように構成されている。

【０００３】そして更に、この種の電子制御装置では、
マイコン３でのプログラム暴走による異常な動作を防止
するために、一般にウォッチドッグタイマ回路と呼ばれ
る異常監視回路９を設けると共に、マイコン３から所定
時間以内毎に正常動作信号としてのウォッチドッグクリ
ア信号Ｗ／Ｄが出力されるようにプログラムを設計する
ようにしている。

【０００４】そして、異常監視回路９は、マイコン３か
らの上記ウォッチドッグクリア信号Ｗ／Ｄを監視し、そ
の信号Ｗ／Ｄがマイコン３から出力されない継続時間が
上記所定時間よりも長く設定された異常判定時間Ｔｈに
達したことを検知する毎に、マイコン３へリセット信号
ＲＳＴを出力して、該マイコン３を初期状態から再起動
させ、これによりマイコン３を暴走状態から正常復帰さ
せる。

【０００５】尚、一般に、異常監視回路９は、マイコン
３からのウォッチドッグクリア信号Ｗ／Ｄによってカウ
ント値がクリアされるタイマ部９ａと、そのタイマ部９
ａのカウント値が上記異常判定時間Ｔｈに該当する規定
値に達すると、マイコン３へ一定の微小時間だけリセッ
ト信号ＲＳＴを出力する出力部９ｂとを、主要部として
構成される。そして、異常監視回路９での上記異常判定
時間Ｔｈは、マイコン３にてウォッチドッグクリア信号
Ｗ／Ｄを出力するために実行しなければならない処理の
負荷を低減するために、ある程度長めの時間（一般には
１００ｍｓ程度）に設定され、また、異常監視回路９が
リセット信号ＲＳＴを出力する時間（即ち、異常監視回
路９がマイコン３にリセットをかける継続時間であり、
以下、リセット時間という）は、マイコン３を速やかに
暴走状態から正常復帰させるために、上記異常判定時間
Ｔｈと比べて非常に短い時間（一般には数１０μｓ程
度）に設定されるのが一般的である。

【０００６】ところで、この種の電子制御装置におい
て、マイコン３でのプログラムは、リセットが解除され
てから最初に実行されるイニシャルルーチンと、該イニ
シャルルーチンの後に繰り返し実行されるメインルーチ
ンとを構成要素として作成されている。よって、マイコ
ン３は、リセットが解除されると、最初にイニシャルル
ーチンを１回実行し、その後、メインルーチンを繰り返
し実行する。

【０００７】そして、マイコン３が正常であれば、図５
（Ａ）に示すように、イニシャルルーチンとメインルー
チンとが順調に実行されるため、マイコン３の出力レベ
ル（詳しくは、出力ポートの論理レベル）は、プログラ
ムによって決まるハイとローとの何れかに確定されて、
不定出力時間率は０である。

【０００８】尚、不定出力時間率とは、ある一定時間Ｔ
内において出力レベルが不定となる時間Ｔｆを、上記一
定時間Ｔで割った値（＝Ｔｆ／Ｔ）である。また、マイ
コンの出力レベルは、該マイコンがリセットされている
最中は、マイコン内部のハードウエア仕様で決まるハイ
又はローの初期値（以下、ハード仕様の初期値という）
に確定される。そして、ある出力ポートに着目したなら
ば、その出力ポートの出力レベルは、リセットが解除さ
れてから該出力ポートの出力レベルを設定するための出
力操作命令が最初に実行されるまでは、上記ハード仕様
の初期値のままとなり、その後は、プログラムの内容に
応じたマイコンでの計算値（マイコン計算値）に確定さ
れることとなる。

【０００９】一方、図５（Ｂ）に示すように、マイコン
３でのプログラム暴走のうち、イニシャルルーチンが暴
走した場合（即ち、イニシャルルーチンでプログラム暴
走が発生した場合）には、実際の暴走発生時ｔａから、
少なくとも異常監視回路９での異常判定時間Ｔｈが経過
するまでに、その異常監視回路９からマイコン３にリセ
ットがかけられて、マイコン３は、再びイニシャルルー
チンを最初から実行することとなる。

【００１０】そして、ハード的な故障等により、イニシ
ャルルーチンが再度暴走してしまう場合には、異常監視
回路９からマイコン３へ再びリセットがかけられること
となるが、この場合においては、リセットが解除されて
からイニシャルルーチンで暴走が発生するまでの間だけ
マイコン３の出力が確定され、その暴走発生時からマイ
コン３が再度リセットされるまでの間はマイコン３の出
力が不定になる、といった状態が繰り返されることとな
り、前述の不定出力時間率（＝Ｔｆ／Ｔ）が所定値より
も大きくなると、問題を引き起こすこととなる。

【００１１】つまり、図５（Ｂ）の如くイニシャルルー
チンで繰り返しプログラム暴走が発生する場合に、マイ
コン３の不定出力時間率が、通電対象の電気負荷５に固
有の許容通電時間率よりも大きくなると、その電気負荷
５に許容量以上の電流が供給されて、電気負荷５自身あ
るいは該電気負荷５によって制御される対象物（以下、
この対象物と電気負荷５とを総称して制御対象という）
にダメージを与えてしまう可能性が生じる。尚、許容通
電時間率とは、ある単位時間Ｔｕ内に許容される電気負
荷への最大通電時間Ｔｍを上記単位時間Ｔｕで割った値
（＝Ｔｍ／Ｔｕ）である。

【００１２】また、図５（Ｃ）に示すように、マイコン
３でのプログラム暴走のうち、メインルーチンが暴走し
た場合（即ち、メインルーチンでプログラム暴走が発生
した場合）にも、実際の暴走発生時ｔｂから、少なくと
も異常監視回路９での異常判定時間Ｔｈが経過するまで
に、その異常監視回路９からマイコン３にリセットがか
けられて、マイコン３は、再びイニシャルルーチンから
プログラムの実行を開始することとなる。

【００１３】そして、ハード的な故障等により、メイン
ルーチンが再度暴走してしまう場合には、異常監視回路
９からマイコン３へ再びリセットがかけられることとな
るが、この場合においても、リセットが解除されてから
メインルーチンで暴走が発生するまでの間だけマイコン
３の出力が確定され、その暴走発生時からマイコン３が
再度リセットされるまでの間はマイコン３の出力が不定
になる、といった状態が繰り返されることとなる。この
ため、図５（Ｃ）の如くメインルーチンで繰り返しプロ
グラム暴走が発生する場合においても、前述の不定出力
時間率（＝Ｔｆ／Ｔ）が通電対象の電気負荷５に固有の
許容通電時間率よりも大きくなると、制御対象にダメー
ジを与えてしまう可能性が生じる。

【００１４】そこで、例えば特開平１−２６６６３１号
公報には、マイコンの内部にハード構成のタイマ回路を
設け、リセット復帰後（リセットが解除されてから）一
定時間はマイコンの出力ポートの論理をハード的に強制
固定することにより、マイコンが暴走を繰り返しても不
定な出力が全く生じないようにすることが提案されてい
る。

【００１５】

【発明が解決しようとする課題】しかしながら、上記公
報に記載の技術では、マイコンの内部に、出力ポートの
論理をハード的に固定するための回路やタイマ回路を別
途設けなければならず、大きなコストアップを招いてし
まう。

【００１６】また、例えば、通電対象の電気負荷が、所
定対象物の温度を調節するためのヒータであったり、油
圧系における油圧調節のためにデューティ制御される電
磁弁であるならば、必ずしもマイコンの出力を１００％
確定させなくても、マイコンの不定出力時間率を所定値
以内に抑えられれば、制御対象にダメージを与えること
がない場合も多い。

【００１７】そこで、本発明は、マイコンのイニシャル
ルーチン又はメインルーチンでのプログラム暴走による
制御対象へのダメージを、特別なハードウエアを追加す
ることなく防止できるようにすることを目的としてい
る。

【００１８】

【課題を解決するための手段及び発明の効果】上記目的
を達成するためになされた請求項１に記載の電子制御装
置では、マイコン（マイクロコンピュータ）が、イニシ
ャルルーチンとメインルーチンとを構成要素としたプロ
グラムに従い動作して、電気負荷への通電及び非通電を
制御するための制御信号を出力すると共に、自己が正常
に動作していることを示す正常動作信号を所定時間以内
毎に出力する。尚、イニシャルルーチンは、リセットが
解除されてから最初に実行されるルーチンであり、メイ
ンルーチンは、イニシャルルーチンの後に繰り返し実行
されるルーチンである。そして、異常監視手段が、マイ
コンからの上記正常動作信号を監視して、その正常動作
信号が出力されない継続時間が前記所定時間よりも長く
設定された異常判定時間に達したことを検知する毎に、
マイコンにリセットをかける。

【００１９】そして特に、請求項１の電子制御装置で
は、上記イニシャルルーチンを構成する各命令のうち、
上記電気負荷に対する制御信号の出力レベルを設定する
ための出力操作命令は、そのイニシャルルーチンの最後
尾にだけ配置されている。つまり、請求項１の電子制御
装置は、「イニシャルルーチンを構成する各命令のう
ち、制御信号の出力レベルを設定するための出力操作命
令は、該イニシャルルーチンの最後尾にだけ配置する」
という請求項２の設計方法によって設計されており、イ
ニシャルルーチンでは、そのルーチンの最後でのみ、制
御信号の出力を行うようにしている。

【００２０】このような請求項２の方法によって設計さ
れた請求項１の電子制御装置によれば、イニシャルルー
チンでプログラム暴走が発生した場合に、マイコンから
の制御信号の出力レベルが不定になってしまうことが防
止される。つまり、プログラムの実行ステップがイニシ
ャルルーチンにおける途中のステップで迷走しても、電
気負荷に対する制御信号の出力操作命令がむやみに実行
されてしまうことがなく、その制御信号の出力レベル
は、リセット時におけるマイコンのハード仕様の初期値
のままとなるからである。

【００２１】よって、この電子制御装置によれば、イニ
シャルルーチンでプログラム暴走が繰り返し発生して制
御対象（電気負荷及びそれが制御する対象物）へダメー
ジを与えてしまうことを、特別なハードウエアを追加す
ることなく防止することができる。

【００２２】次に、請求項３に記載の電子制御装置で
は、請求項１の電子制御装置と同様のマイコン及び異常
監視手段を備えているが、特に、イニシャルルーチン内
には、メインルーチンでプログラム暴走が発生してマイ
コンからの制御信号の出力レベルが不定となってしまう
時間Ｔｆの、一定時間Ｔに対する割合（即ち、制御信号
の不定出力時間率＝Ｔｆ／Ｔ）を小さくするために、当
該イニシャルルーチンの実行所要時間を故意に長くする
ための冗長処理が設けられている。

【００２３】つまり、請求項３の電子制御装置は、「メ
インルーチンでプログラム暴走が発生してマイコンから
の制御信号の出力レベルが不定となってしまう時間の一
定時間に対する割合を小さくするために、イニシャルル
ーチンの実行所要時間を故意に長く設定する」という請
求項６の設計方法によって設計されており、イニシャル
ルーチンの実行所要時間を故意に長くするために、イニ
シャルルーチン内に、本来は必要でない冗長処理を追加
するようにしている。

【００２４】そして、このような請求項６の方法によっ
て設計された請求項３の電子制御装置によれば、前述し
た図５（Ｃ）の如くメインルーチンで繰り返しプログラ
ム暴走が発生する場合に、マイコンがリセットされてか
らプログラム暴走が発生するまでの期間であって、マイ
コンからの制御信号の出力レベルが不定にならない期間
が長くなり、その結果、制御信号の不定出力時間率を小
さくすることができる。よって、メインルーチンでプロ
グラム暴走が繰り返し発生して制御対象（電気負荷及び
それが制御する対象物）へダメージを与えてしまうこと
を、特別なハードウエアを追加することなく防止するこ
とができる。

【００２５】次に、請求項４に記載の電子制御装置で
は、上記請求項３の電子制御装置において、前記冗長処
理は、イニシャルルーチンの実行所要時間Ｔｉと異常監
視手段での異常判定時間Ｔｈとを加算した時間に対する
異常判定時間Ｔｈの割合（＝Ｔｈ／（Ｔｉ＋Ｔｈ））
が、電気負荷の許容通電時間率（即ち、所定の単位時間
Ｔｕ内に許容される電気負荷への最大通電時間Ｔｍを前
記単位時間Ｔｕで割った値（＝Ｔｍ／Ｔｕ））よりも小
さくなるように、設けられている。

【００２６】つまり、請求項４の電子制御装置は、「請
求項６の設計方法において、イニシャルルーチンの実行
所要時間Ｔｉは、該実行所要時間Ｔｉと異常監視手段で
の異常判定時間Ｔｈとを加算した時間に対する異常判定
時間Ｔｈの割合（＝Ｔｈ／（Ｔｉ＋Ｔｈ））が、電気負
荷の許容通電時間率よりも小さくなるように設定する」
という請求項７の設計方法によって設計されている。

【００２７】そして、このような請求項６の方法によっ
て設計された請求項３の電子制御装置によれば、仮に、
メインルーチンに入った直後毎にプログラム暴走が発生
し、且つ、その暴走状態が異常判定時間Ｔｈの分だけ目
一杯継続する、といった最悪条件の場合でも、電気負荷
に対する制御信号の不定出力時間率を、その電気負荷の
許容通電時間率よりも小さく抑えることができる。よっ
て、メインルーチンでプログラム暴走が繰り返し発生し
て制御対象へダメージを与えてしまうことを、より確実
に防止することができる。

【００２８】次に、請求項５に記載の電子制御装置で
は、上記請求項３，４の電子制御装置において、請求項
１の装置と同様に、イニシャルルーチンを構成する各命
令のうち、電気負荷に対する制御信号の出力レベルを設
定するための出力操作命令は、そのイニシャルルーチン
の最後尾にだけ配置されている。

【００２９】つまり、請求項５の電子制御装置は、「請
求項６，７の設計方法において、イニシャルルーチンを
構成する各命令のうち、制御信号の出力レベルを設定す
るための出力操作命令は、該イニシャルルーチンの最後
尾にだけ配置する」という請求項８の設計方法によって
設計されており、イニシャルルーチンでは、そのルーチ
ンの最後でのみ、制御信号の出力を行うようにしてい
る。

【００３０】そして、このような請求項８の方法によっ
て設計された請求項５の電子制御装置によれば、請求項
１の電子制御装置と同様に、イニシャルルーチンでプロ
グラム暴走が発生した場合には、マイコンからの制御信
号の出力レベルが不定になってしまうことが防止される
ため、イニシャルルーチンとメインルーチンとの何れで
プログラム暴走が繰り返し発生しても、制御対象へダメ
ージを与えてしまうことを確実に防止することができ
る。

【００３１】

【発明の実施の形態】以下、本発明が適用された実施形
態の電子制御装置について、図面を用いて説明する。
尚、本実施形態の電子制御装置は、ハードウエア面につ
いては、前述した図４の電子制御装置と全く同じである
ため、詳しい説明は省略する。そして、以下の説明にお
いて、本電子制御装置の各構成要素、信号、及び時間の
各符号としては、前述したものと同じものを用いる。ま
た、本実施形態では、異常監視回路９が異常監視手段に
相当している。

【００３２】本実施形態の電子制御装置においても、マ
イコン３でのプログラムは、リセットが解除されてから
最初に１回実行されるイニシャルルーチンと、該イニシ
ャルルーチンの後に繰り返し実行されるメインルーチン
とを構成要素として作成されているが、本実施形態の電
子制御装置では、図４，５を用いて説明した従来の電子
制御装置と比較して、下記の（１）及び（２）の対策が
施されている。

【００３３】（１）：まず、イニシャルルーチンで繰り
返しプログラム暴走が発生してしまう場合の対策とし
て、イニシャルルーチンを構成する各命令のうち、通電
対象の電気負荷５に対する制御信号の出力レベルを設定
するための出力操作命令は、図２のステップ（以下、単
に「Ｓ」と記す）１３０に示すように、そのイニシャル
ルーチンの最後尾にだけ配置するようにしている。換言
すれば、イニシャルルーチンでは、そのルーチンの最後
でのみ、制御信号の出力を行うようにしている。

【００３４】尚、図２は、本実施形態のマイコン３で実
行されるイニシャルルーチンを表すフローチャートであ
る。そして、本イニシャルルーチンにおいては、最初の
ステップ（以下、単に「Ｓ」と記す）１１０で、電気負
荷５の制御量を算出し、次にＳ１２０で、後述する遅延
ルーチンを実行した後、当該イニシャルルーチンにおけ
る最後のＳ１３０にて、上記Ｓ１１０で算出した制御量
に応じた値の制御信号（即ち、マイコン３で計算された
値の制御信号）を出力ポートから駆動回路７へ出力す
る。また、上記Ｓ１３０で実行される出力操作命令は、
実際には、該当する出力ポートの出力レベルを決定する
内部レジスタに、マイコン３で計算された値をセット
（ストア）する処理である。

【００３５】（２）：次に、メインルーチンで繰り返し
プログラム暴走が発生してしまう場合の制御信号の不定
出力時間率（前述した「Ｔｆ／Ｔ」の値）を小さくする
ために、イニシャルルーチンの実行所要時間を故意に長
く設定している。つまり、図２のＳ１３０に至るまでの
Ｓ１２０に、本来は必要でない冗長処理としての遅延ル
ーチンを設けることにより、イニシャルルーチンの実行
所要時間を故意に長くしている。尚、この遅延ルーチン
は、例えば、実質的な処理が何も行われない命令（いわ
ゆるノンオペレーション（ＮＯＰ）命令）を複数個配置
したものである。

【００３６】そして特に、本実施形態において、上記遅
延ルーチンでの遅延時間は、イニシャルルーチン全体の
実行所要時間Ｔｉが、下記の式１を満たすように設定さ
れている。尚、式１において、「Ｔｈ」は、前述した異
常監視回路９での異常判定時間であり、「電気負荷５の
許容通電時間率」は、前述したように、所定の単位時間
Ｔｕ内に許容される電気負荷５への最大通電時間Ｔｍを
前記単位時間Ｔｕで割った値（＝Ｔｍ／Ｔｕ）である。

【００３７】 （Ｔｈ／（Ｔｉ＋Ｔｈ））＜電気負荷５の許容通電時間率 …式１ 例えば、異常判定時間Ｔｈが１００ｍｓであり、電気負
荷５の許容通電時間率が０．８（＝８０％）であるとす
ると、イニシャルルーチンの実行所要時間Ｔｉは、上記
式１から、２５ｍｓ以上必要となるため、遅延ルーチン
での遅延時間は、余裕をみて、イニシャルルーチンの実
行所要時間Ｔｉが２５ｍｓよりも若干長い時間（例えば
３０ｍｓ）となるように設定すれば良い。

【００３８】以上のような本実施形態の電子制御装置に
おいて、マイコン３が正常であれば、図１（Ａ）に示す
ように、イニシャルルーチンとメインルーチンとが順調
に実行されるため、マイコン３の出力レベル（出力ポー
トの論理レベル）は、ハイとローとの何れかに確定され
て、不定出力時間率は０である。

【００３９】そして、本実施形態では、上記（１）の対
策が施されているため、正常時において、マイコン３か
らの制御信号の出力レベルは、マイコン３がリセットさ
れてからイニシャルルーチンが終了する直前まで（即
ち、図２のＳ１３０が実行されるまで）、ハード仕様の
初期値のままとなり、イニシャルルーチンが終了する直
前から、それ以降は、プログラムの内容に応じたマイコ
ン３での計算値（マイコン計算値）に確定されることと
なる。

【００４０】このため、本実施形態の電子制御装置にお
いて、マイコン３でのプログラム暴走のうち、図１
（Ｂ）の如くイニシャルルーチンでプログラム暴走が発
生した場合には、マイコン３からの制御信号の出力レベ
ルが不定になってしまうことが防止される。

【００４１】つまり、図１（Ｂ）に示すように、イニシ
ャルルーチンの途中の時刻ｔｃでプログラム暴走が発生
して、プログラムの実行がイニシャルルーチンにおける
途中のステップで迷走しても、制御信号の出力操作命令
（図２のＳ１３０）がむやみに実行されてしまうことが
なく、その制御信号の出力レベルは、リセット時におけ
るマイコン３のハード仕様の初期値のままとなるからで
ある。

【００４２】よって、この電子制御装置によれば、イニ
シャルルーチンでプログラム暴走が繰り返し発生して制
御対象（電気負荷５及びそれが制御する対象物）へダメ
ージを与えてしまうことを、特別なハードウエアを追加
することなく防止することができる。

【００４３】また、本実施形態の電子制御装置では、上
記（２）の対策が施されており、イニシャルルーチンの
実行所要時間Ｔｉを故意に長く設定しているため、マイ
コン３において、メインルーチンで繰り返しプログラム
暴走が発生する場合には、図１（Ｃ）に示すように、マ
イコン３がリセットされてからプログラム暴走が発生す
る時刻ｔｄまでの期間であって、マイコン３からの制御
信号の出力レベルが不定にならない正常期間が長くな
り、その結果、制御信号の不定出力時間率が小さくな
る。よって、メインルーチンでプログラム暴走が繰り返
し発生して制御対象（電気負荷５及びそれが制御する対
象物）へダメージを与えてしまうことを、特別なハード
ウエアを追加することなく防止することができる。

【００４４】特に、本実施形態では、イニシャルルーチ
ンの実行所要時間Ｔｉを、上記式１を満たすように設定
しているため、仮に、メインルーチンに入った直後毎に
プログラム暴走が発生し、且つ、その暴走状態が異常監
視回路９での異常判定時間Ｔｈの分だけ目一杯継続す
る、といった最悪条件の場合でも、電気負荷５に対する
制御信号の不定出力時間率を、その電気負荷５の許容通
電時間率よりも小さく抑えることができる。このため、
メインルーチンでプログラム暴走が繰り返し発生して制
御対象へダメージを与えてしまうことを、より確実に防
止することができる。

【００４５】以上のように、本実施形態の電子制御装置
によれば、イニシャルルーチンとメインルーチンとの何
れでプログラム暴走が繰り返し発生しても、制御対象へ
ダメージを与えてしまうことを確実に防止でき、しか
も、その効果を、特別なハードウエアを追加することな
く達成することができる。

【００４６】特に、本実施形態の設計方法は、通電対象
の電気負荷５が所定対象物を所定温度にするためのヒー
タであるシステムや、通電対象の電気負荷５が油圧系に
おける油圧調節のためにデューティ制御される電磁弁で
あるシステムなど、マイコン３の不定出力時間率が所定
値以内であれば制御対象にダメージを与えることがない
システムの場合に、極めて有効である。

【００４７】以上、本発明の一実施形態について説明し
たが、本発明は、種々の形態を採り得ることは言うまで
もない。例えば、イニシャルルーチンに設ける冗長処理
としては、図２におけるＳ１２０のような遅延ルーチン
ではなく、図３に示すＳ１２５のようなループ処理でも
良い。つまり、図３に示すイニシャルルーチンでは、Ｓ
１１０で電気負荷５の制御量を算出した後、続くＳ１２
５にて、Ｓ１１０の処理をＮ回（但し、Ｎは２以上の整
数）だけ実行したか否かを判定し、Ｎ回実行したと判定
するまで、Ｓ１１０の処理を繰り返すようにして、当該
イニシャルルーチンの実行所要時間Ｔｉを延長するよう
にしている。そして、このようにしても、前述した効果
を得ることができる。

【００４８】また、以上の説明では、電気負荷５が１つ
であるものとして述べたが、電気負荷５が複数個存在す
ると共に、その電気負荷５の各々についてマイコン３が
制御信号を出力する場合でも、考え方は全く同様であ
る。そして、この場合、上記式１に適用する電気負荷５
の許容通電時間率は、各電気負荷５の許容通電時間率の
うちで、値が最も小さいもの（つまり、条件が最も厳し
いもの）を選べば良い。

【００４９】一方、本来はメインルーチンに割り振られ
る処理のうち、イニシャルルーチンの実行所要時間Ｔｉ
を長くすることで制御性に影響が出る可能性がある処理
については、イニシャルルーチン内で先に実行するよう
に構成すれば良い。尚、このような処理としては、例え
ば、電子制御装置が車両のエンジンを制御するものであ
る場合、エンジンへの燃料噴射や点火のための処理が考
えられる。

【００５０】また、異常監視回路９によるリセット時間
（即ち、異常監視回路９がマイコン３にリセットをかけ
る継続時間）が、異常判定時間Ｔｈに比べて無視できな
い程度に大きい場合には、そのリセット時間を「Ｔｒ」
とすると、イニシャルルーチンの実行所要時間Ｔｉは、
下記の式２を満たすように設定することもできる。

【００５１】 （Ｔｈ／（Ｔｉ＋Ｔｈ＋Ｔｒ））＜電気負荷５の許容通電時間率 …式２ つまり、前述した式１の左辺における分母に、リセット
時間Ｔｒを加算して考えれば良い。但し、リセット時間
Ｔｒの大小に拘わらず、式１に従う方が、より安全方向
の設定となる。

【００５２】一方また、上記実施形態の設計方法は、電
気負荷５への通電／非通電がマイコン３の外部に設けら
れた駆動回路７を介して行われる構成の電子制御装置だ
けではなく、例えば、マイコン３の出力ポートが通電対
象の電気負荷に直接的に接続される構成の装置（つま
り、マイコン３の出力ポートから通電対象の電気負荷へ
電流を直接流し出したり、通電対象の電気負荷側からマ
イコン３の出力ポートへ電流を直接引き込んだりする構
成の装置）についても全く同様に適用することができ
る。

【図面の簡単な説明】

【図１】 実施形態の電子制御装置の特徴を説明するタ
イムチャートである。

【図２】 実施形態のマイコンが実行するイニシャルル
ーチンを説明するフローチャートである。

【図３】 実施形態のマイコンが実行するイニシャルル
ーチンの変形例を説明するフローチャートである。

【図４】 電子制御装置の一般的な構成例を表すブロッ
ク図である。

【図５】 従来技術を説明するタイムチャートである。

【符号の説明】

３…マイコン（マイクロコンピュータ） ５…電気負
荷 ７…駆動回路 ９…異常監視回路 ９ａ…タイマ部 ９ｂ…出力部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 長沢 四郎 愛知県刈谷市昭和町１丁目１番地 株式会 社デンソー内 Ｆターム(参考） 3G084 DA27 DA31 EB02 EB22 5B042 GA13 GB08 JJ13 JJ21 KK02 MC30

Claims (8)

【特許請求の範囲】
1. 【請求項１】 リセットが解除されてから最初に実行さ
   れるイニシャルルーチンと、該イニシャルルーチンの後
   に繰り返し実行されるメインルーチンとを構成要素とし
   たプログラムに従い動作して、電気負荷への通電及び非
   通電を制御するための制御信号を出力すると共に、所定
   時間以内毎に正常動作信号を出力するマイクロコンピュ
   ータと、 該マイクロコンピュータからの前記正常動作信号を監視
   して、該正常動作信号が出力されない継続時間が前記所
   定時間よりも長く設定された異常判定時間に達したこと
   を検知する毎に、前記マイクロコンピュータにリセット
   をかける異常監視手段と、 を備えた電子制御装置において、 前記イニシャルルーチンを構成する各命令のうち、前記
   制御信号の出力レベルを設定するための出力操作命令
   は、該イニシャルルーチンの最後尾にだけ配置されてい
   ること、 を特徴とする電子制御装置。
2. 【請求項２】 リセットが解除されてから最初に実行さ
   れるイニシャルルーチンと、該イニシャルルーチンの後
   に繰り返し実行されるメインルーチンとを構成要素とし
   たプログラムに従い動作して、電気負荷への通電及び非
   通電を制御するための制御信号を出力すると共に、所定
   時間以内毎に正常動作信号を出力するマイクロコンピュ
   ータと、 該マイクロコンピュータからの前記正常動作信号を監視
   して、該正常動作信号が出力されない継続時間が前記所
   定時間よりも長く設定された異常判定時間に達したこと
   を検知する毎に、前記マイクロコンピュータにリセット
   をかける異常監視手段と、 を備えた電子制御装置の設計方法であって、 前記イニシャルルーチンを構成する各命令のうち、前記
   制御信号の出力レベルを設定するための出力操作命令
   は、該イニシャルルーチンの最後尾にだけ配置するこ
   と、 を特徴とする電子制御装置の設計方法。
3. 【請求項３】 リセットが解除されてから最初に実行さ
   れるイニシャルルーチンと、該イニシャルルーチンの後
   に繰り返し実行されるメインルーチンとを構成要素とし
   たプログラムに従い動作して、電気負荷への通電及び非
   通電を制御するための制御信号を出力すると共に、所定
   時間以内毎に正常動作信号を出力するマイクロコンピュ
   ータと、 該マイクロコンピュータからの前記正常動作信号を監視
   して、該正常動作信号が出力されない継続時間が前記所
   定時間よりも長く設定された異常判定時間に達したこと
   を検知する毎に、前記マイクロコンピュータにリセット
   をかける異常監視手段と、 を備えた電子制御装置において、 前記イニシャルルーチン内には、 前記メインルーチンでプログラム暴走が発生して前記マ
   イクロコンピュータからの制御信号の出力レベルが不定
   となってしまう時間の一定時間に対する割合を小さくす
   るために、当該イニシャルルーチンの実行所要時間を故
   意に長くするための冗長処理が設けられていること、 を特徴とする電子制御装置。
4. 【請求項４】 請求項３に記載の電子制御装置におい
   て、 前記冗長処理は、 前記イニシャルルーチンの実行所要時間と前記異常監視
   手段での異常判定時間とを加算した時間に対する前記異
   常判定時間の割合が、所定の単位時間内に許容される前
   記電気負荷への最大通電時間を前記単位時間で割った値
   である前記電気負荷の許容通電時間率よりも小さくなる
   ように、設けられていること、 を特徴とする電子制御装置。
5. 【請求項５】 請求項３又は請求項４に記載の電子制御
   装置において、 前記イニシャルルーチンを構成する各命令のうち、前記
   制御信号の出力レベルを設定するための出力操作命令
   は、該イニシャルルーチンの最後尾にだけ配置されてい
   ること、 を特徴とする電子制御装置。
6. 【請求項６】 リセットが解除されてから最初に実行さ
   れるイニシャルルーチンと、該イニシャルルーチンの後
   に繰り返し実行されるメインルーチンとを構成要素とし
   たプログラムに従い動作して、電気負荷への通電及び非
   通電を制御するための制御信号を出力すると共に、所定
   時間以内毎に正常動作信号を出力するマイクロコンピュ
   ータと、 該マイクロコンピュータからの前記正常動作信号を監視
   して、該正常動作信号が出力されない継続時間が前記所
   定時間よりも長く設定された異常判定時間に達したこと
   を検知する毎に、前記マイクロコンピュータにリセット
   をかける異常監視手段と、 を備えた電子制御装置の設計方法であって、 前記メインルーチンでプログラム暴走が発生して前記マ
   イクロコンピュータからの制御信号の出力レベルが不定
   となってしまう時間の一定時間に対する割合を小さくす
   るために、前記イニシャルルーチンの実行所要時間を故
   意に長く設定すること、 を特徴とする電子制御装置の設計方法。
7. 【請求項７】 請求項６に記載の電子制御装置の設計方
   法において、 前記イニシャルルーチンの実行所要時間は、 該実行所要時間と前記異常監視手段での異常判定時間と
   を加算した時間に対する前記異常判定時間の割合が、所
   定の単位時間内に許容される前記電気負荷への最大通電
   時間を前記単位時間で割った値である前記電気負荷の許
   容通電時間率よりも小さくなるように設定すること、 を特徴とする電子制御装置の設計方法。
8. 【請求項８】 請求項６又は請求項７に記載の電子制御
   装置の設計方法において、 前記イニシャルルーチンを構成する各命令のうち、前記
   制御信号の出力レベルを設定するための出力操作命令
   は、該イニシャルルーチンの最後尾にだけ配置するこ
   と、 を特徴とする電子制御装置の設計方法。