JP2005100029A - 車載電子制御装置 - Google Patents

Abstract

【課題】補助マイクロプロセッサを有する車載電子制御装置で、主たる制御を分担するマイクロプロセッサの外部診断を行い、信頼性の向上を図る。
【解決手段】制御プログラムが書き込まれる不揮発プログラムメモリ１１５ａを備えたマイクロプロセッサ１１０ａは、補助不揮発プログラムメモリ１２５を備えた補助マイクロプロセッサ１２０ａとシリアル接続され、協動して車載センサ群１０２ａ・１０２ｂやアナログセンサ群１０３ａからの入力信号に対応して車載電気負荷群１０４ａ・１０４ｂを制御する。不揮発プログラムメモリ１１５ａとマイクロプロセッサ１１０ａとは、ウォッチドッグタイマ１３０によって暴走監視されると共に、補助マイクロプロセッサ１２０ａによって外部で定期的にサムチェック診断が行われる。暴走監視・外部サムチェック・サムチェック間隔の異常が発生すると負荷電源リレー１０７ａによって一部の車載電気負荷の給電が停止される。
【選択図】図１

Description

この発明は車載電子制御装置に関し、例えば自動車用エンジンの燃料供給制御や給気用スロットル弁の制御等を行うマイクロプロセッサを内蔵した電子制御装置に関するものである。

上記のような車載電子制御装置において、プログラムメモリと協動するマイクロプロセッサの異常診断としては、ウォッチドッグタイマによるマイクロプロセッサの暴走監視やサムチェックによるプログラム異常監視が行われている。
また、上記マイクロプロセッサとシリアル接続され、互いに協動する補助マイクロプロセッサを備えた車載電子制御装置において、通信データのチェックを行うためにも送受信データに関するサムチェックが行われている。

従来の「車載電子制御装置」として、マイクロプロセッサの制御用プログラムの内容を該マイクロプロセッサによって自己チェックするのに当たり、制御用プログラムを複数に分割してサムチェックを行うことによって、マイクロプロセッサの処理負荷を軽減することを目的としたものが提案されている（例えば、特許文献１参照。）。
しかしながら、この文献によれば、疑わしいとするプログラムの異常診断を、疑わしいとするプログラムによって自らがチェックすることに対する信頼性の低下が問題であり、サムチェックが定期的に実行されている保証もない。

従来の「非同期２重系マイクロコンピュータシステムの故障検出装置」として、一対のマイクロコンピュータで相互に相手側のサムチェックを行い、異常検出時には夫々のウォッチドッグタイマに対するウォッチドッグ信号を停止して、制御出力を停止するようになっているものがある（例えば、特許文献２参照。）。
この文献によれば、サムチェック用データを相互に授受するために両マイクロコンピュータの入出力点数が増大する問題があると共に、サムチェックが定期的に実行されている保証もない。

また、従来の「２ＣＰＵの動作監視方法」として、メインＣＰＵとサブＣＰＵの二つのＣＰＵによって構成されたシステムにおいて、メインＣＰＵが暴走又は故障した場合は、外部に設けたウォッチドッグタイマ回路より出力されるリセット信号によって２ＣＰＵ共に初期化・再起動し、また、サブＣＰＵが暴走または故障した場合は、メインＣＰＵがこれを監視して、メインＣＰＵからサブＣＰＵへリセット信号を出力してサブＣＰＵを初期化・再起動することが述べられている（例えば、特許文献３参照。）。
この文献によれば、リセットパルスによってマイクロコンピュータが再起動すれば、車両の運転手はマイクロコンピュータの一時的な暴走発生を認知できないという問題点がある。

一方、従来の「デジタル処理装置」によれば、マイクロコンピュータに対するウォッチドッグタイマによる異常検出によってマイクロコンピュータを完全停止させ、これを回復するためにはマイクロコンピュータの動作電源の供給を一旦停止した後にこれを再度供給しなければならないように構成することが述べられている（例えば、特許文献４参照。）。
この場合、車両の運転手は電源スイッチを開閉しなければマイクロコンピュータが再起動しないので、マイクロコンピュータに異常があったことを認識することができる特徴がある。
しかしながら、ノイズによる一時的な誤動作に対しても、車両停止しなければならない不便がある。

また、関連した従来技術として、「入出力処理ＩＣ」（例えば、特許文献５参照。）や「データ通信装置」（例えば、特許文献６参照。）では、マイクロプロセッサに対してシリアル接続された入出力回路や従属マイクロプロセッサが示されており、シリアル通信データに関するサムチェックが論及されている。
また、従来の「車載用電子制御装置」として、シリアル通信が行われる一対のマイクロプロセッサに関し、通信データのサムチェック手段について記述されているものがある（例えば、特許文献７参照。）。
これらの文献はあくまでも通信データに関するサムチェックに関するものであり、プログラムメモリの内容に対するサムチェックに関するものではない。

特開２００１−２２７４０２号公報 特開平６−２５９２６７号公報 特開平５−８１２２２号公報 特開平８−３３９３０８号公報 特開平７−１３９１２号公報 特開平５−１２８０６５号公報 特開平７−２６９４０９号公報

上記のような従来技術は、いずれも、マイクロプロセッサとプログラムメモリに対する暴走監視とサムチェックの協調性と機能分担が十分でなく、個別的に機能しているために十分な信頼性が期待できないという問題点があった。

この発明は、かかる問題点を解決するためになされたものであり、シリアル接続された併用制御回路を有する車載電子制御装置で、主たる制御を分担するマイクロプロセッサの外部診断を行い、信頼性の向上を図る車載電子制御装置を得ることを目的とする。

この発明は、制御プログラムおよび制御定数を記憶する不揮発プログラムメモリと、該制御プログラムを実行するための第一の直並列変換器がバス接続されたマイクロプロセッサと、該マイクロプロセッサに対して第二の直並列変換器を介してシリアル接続された併用制御回路とを備え、車載センサ群からの入力信号と上記不揮発プログラムメモリの内容とに基づいて、上記マイクロプロセッサと上記併用制御回路とが協動して車載電気負荷群を制御する車載電子制御装置であって、上記マイクロプロセッサから出力される発生パルス列であるウォッチドッグ信号が入力され、該ウォッチドッグ信号のパルス幅が所定値以上である時にリセットパルスを発生して上記マイクロプロセッサを再起動させるウォッチドッグタイマと、上記併用制御回路に対してバス接続され、所定のサムチェック用外部照合データが予め格納された不揮発性の照合情報記憶手段と、上記マイクロプロセッサから該併用制御回路に送信される上記不揮発プログラムメモリ内のデータに関する現在サムデータと上記照合情報記憶手段に予め格納されているサムチェック用外部照合データとを比較して、比較の結果、それらが不一致の時に異常検出出力を発生する外部サムチェック手段と、上記外部サムチェック手段の実行時間間隔が所定時間を超過した時に異常検出出力を発生する間隔監視手段と、上記外部サムチェック手段および上記間隔監視手段のいずれか一方からの異常検出出力の動作に応動して上記車載電気負荷群の一部の駆動を停止する負荷群停止手段とを備えた車載電子制御装置である。

以上のように、本発明による車載電子制御装置によれば、不揮発プログラムメモリとバス接続されたマイクロプロセッサに対してシリアル接続された併用制御回路を有する車載電子制御装置であって、ウォッチドッグタイマと照合情報記憶手段と外部サムチェック手段と間隔監視手段とを備えるようにしたので、マイクロプロセッサ自身に関してウォッチドッグタイマ及び併用制御回路によって二重の外部暴走監視が行われると共に、マイクロプロセッサと協動する不揮発プログラムメモリに対する外部サムチェックと、該外部サムチェックと合せて併用制御回路に対して正常な通信が行われているかどうかの間接的な通信チェックもでき、マイクロプロセッサと不揮発プログラムメモリと併用制御回路に関する信頼性が向上する。

実施の形態１．
以下、この発明の実施の形態１に係る車載電子制御装置について図１に基づいて説明する。
図１は、この発明の車載電子制御装置の全体の構成を示したブロック図である。図１に示す車載電子制御装置１００ａは、一枚の電子基板で構成され密閉筐体に収納された車載電子制御装置である。
まずはじめに、上記車載電子制御装置１００ａの外部に接続されるものについて説明する。外部に接続されるものの１つとして、外部ツール１０１があり、該外部ツール１０１は製品出荷時又は保守点検時に上記車載電子制御装置１００ａに対して図示しない脱着コネクタを介して接続され、後述の不揮発プログラムメモリ１１５ａに制御プログラムや制御定数を転送書込みするものである。
また、ＯＮ／ＯＦＦ動作する第一の車載センサ群１０２ａおよび第二の車載センサ群１０２ｂも外部に接続されるものである。第一の車載センサ群１０２ａは例えばエンジン回転センサ・クランク角センサ・車速センサ等比較的高速・高頻度の動作を行い、後述のマイクロプロセッサに対して直接取込みする必要のあるセンサ群となっている。第二の車載センサ群１０２ｂは例えば変速レバー位置を検出するセレクタスイッチやエアコンスイッチなど比較的低頻度の動作を行い、信号取込みの遅れがあまり問題とならないようなセンサ群となっている。
車載アナログセンサ群１０３ａも外部に接続されるものであり、該車載アナログセンサ群１０３は例えばアクセルポジションセンサ・スロットルポジションセンサ、水温センサ、排気ガスの酸素濃度センサ、エヤフローセンサなどのアナログセンサ群となっている。

さらに、外部に接続されるものとして、ＯＮ／ＯＦＦ動作する第一の車載電気負荷群１０４ａおよび第二の車載電気負荷群１０４ｂがある。
第一の車載電気負荷群１０４ａは例えばエンジンの点火コイル駆動出力や燃料噴射制御用電磁弁駆動用出力、給気スロットルの弁開度制御用モータなど比較的高頻度の動作を行い、遅滞なく駆動出力を発生する必要のあるＯＮ／ＯＦＦ動作の電気負荷群となっている。
第二の車載電気負荷群１０４ｂは例えばエアコン用電磁クラッチ駆動出力や表示警報出力など比較的低頻度の動作を行い、駆動出力の応答遅れがあまり問題とならないＯＮ／ＯＦＦ動作の電気負荷群となっている。

さらに、外部に接続するものとして、車載バッテリ１０５ａ、イグニションスイッチ等の電源スイッチ１０５ｂ、出力接点１０６ｂ・１０６ｃ・１０６ｄを有する電源リレー１０６ａ、出力接点１０７ｂ・１０７ｃを有する負荷電源リレー１０７ａがある。
上記電源リレー１０６ａは上記車載バッテリ１０５ａから上記電源スイッチ１０５ｂを介して付勢され、出力接点１０６ｂ・１０６ｃによって上記第一および第二の車載電気負荷群１０４ａおよび１０４ｂに対する電源回路を閉成すると共に、出力接点１０６ｄによって上記車載バッテリ１０５ａから車載電子制御装置１００ａに対する給電回路を閉成するようになっている。
なお、上記車載バッテリ１０５ａと車載電子制御装置１００ａとは、上記電源スイッチ１０５ｂが開路している時にもスリープ給電されるよう直接接続回路も備えている。
また、上記第一および第二の車載電気負荷群１０４ａおよび１０４ｂの一部は上記負荷電源リレー１０７ａの出力接点１０７ｂおよび１０７ｃを介して電源回路が閉成されるようになっている。
さらに、異常警報・表示器１０８も外部に接続されるものであり、上記車載電子制御装置１００ａから駆動されるとともに、運転手（ドライバ）が視認しやすい位置に取付けられている。

次に、上記車載電子制御装置１００ａの内部の構成について説明する。該内部の構成として、例えば３２ビットのマイクロプロセッサから構成されるマイクロプロセッサ１１０ａ、上記外部ツール１０１とシリアル接続されるツール用の直並列変換器１１１、上記第一の車載センサ群１０２ａと並列接続された直接入力信号用インタフェース回路１１２ａ、上記車載アナログセンサ群１０３ａと接続された多チャンネルＡＤ変換器１１３、上記第一の車載電気負荷群１０４ａに対して並列接続された直接出力信号用インタフェース回路１１４ａ、フラッシュメモリ等の不揮発プログラムメモリ１１５ａ、演算処理用のＲＡＭメモリ１１６、第一の直並列変換器１１７、および、データバス１１８がある。上記直並列変換器１１１および１１７、ＡＤ変換器１１３、入出力信号用インタフェース回路１１２ａおよび１１４ａ、及び、メモリ１１５ａおよび１１６とマイクロプロセッサ１１０ａとは、上記データバス１１８によって互いに接続され、図示しないアドレスバス又はチップセレクト回路によって指定されたものが上記マイクロプロセッサ１１０ａと交信するようになっている。

さらなる上記車載電子制御装置１００ａの内部の構成として、併用制御回路を構成する例えば８ビットのマイクロプロセッサから構成される補助マイクロプロセッサ１２０ａ、第二の車載センサ群１０２ｂと並列接続された間接入力信号用インタフェース回路１２２ｂ、上記第二の車載電気負荷群１０４ｂに対して並列接続された間接出力信号用インタフェース回路１２４ｂ、マスクＲＯＭ等の不揮発プログラムメモリ１２５、演算処理用の補助ＲＡＭメモリ１２６、上記第一の直並列変換器１１７に対してシリアル接続された第二の直並列変換器１２７、データバス１２８がある。上記直並列変換器１２７、入出力信号用インタフェース回路１２２ｂおよび１２４ｂ、及び、メモリ１２５・１２６と補助マイクロプロセッサ１２０ａとは上記データバス１２８によって互いに接続され、図示しないアドレスバス又はチップセレクト回路によって指定されたものが上記補助マイクロプロセッサ１２０ａと交信するようになっている。

また、ウォッチドッグタイマ１３０（第一の暴走監視手段）が内部に設けられており、該ウォッチドッグタイマ１３０は上記マイクロプロセッサ１１０ａが発生するパルス列であるウォッチドッグ信号ＷＤ１を監視して、該ウォッチドッグ信号のパルス幅が所定値を超過した時にリセットパルスＲＳＴ１を発生して上記マイクロプロセッサ１１０ａを再起動させるようになっている。
なお、上記マイクロプロセッサ１１０ａは上記補助マイクロプロセッサ１２０ａが発生するパルス列であるウォッチドッグ信号ＷＤ２を監視して、該ウォッチドッグ信号のパルス幅が所定値を超過した時にリセットパルスＲＳＴ２を発生して上記補助マイクロプロセッサ１２０ａを再起動させると共に、後述する第一の異常検出出力ＥＲ１を発生するようになっている。
また、上記補助マイクロプロセッサ１２０ａは後述する第二の異常検出出力ＥＲ２や上記電源リレー１０６ａに対する駆動出力ＤＲ１や上記負荷電源リレー１０７ａに対する駆動出力ＤＲ２を発生するようになっている。

また、計数入力ＣＮＴとリセット入力ＲＳＴを備えたカウンタ１３１ａが設けられており、該カウンタ１３１ａは上記計数入力ＣＮＴの論理レベルが「Ｈ」→「Ｌ」に変化した回数が所定値以上となった時に異常記憶出力を発生して上記異常警報・表示器１０８を駆動するようになっている。
さらに、ゲート素子１３２ａ、否定論理和素子１３３が設けられている。上記否定論理和素子１３３は上記リセットパルスＲＳＴ１およびＲＳＴ２や、第一および第二のエラー出力ＥＲ１およびＥＲ２のいずれが動作しても論理レベル「Ｌ」の合成出力を発生し、該合成出力は上記カウンタ１３１ａの計数入力となると共に、上記ゲート素子１３２ａの出力論理を「Ｌ」にするよう接続されている。
また、電源ユニット１３４は上記車載バッテリ１０５ａから直接給電されたり、上記電源リレー１０６ａの出力接点１０６ｄを介して給電され、上記車載電子制御装置１００ａ内で使用される安定化制御電源出力を発生するようになっている。
電源検出回路１３５は、上記電源スイッチ１０５ｂが閉路したことを検出して、上記カウンタ１３１ａのリセット入力ＲＳＴにパルス出力を供給して該カウンタ１３１ａの計数現在値を０に初期化すると共に、異常記憶出力をクリアするようになっている。

また、インタフェース素子１３６は上記補助マイクロプロセッサ１２０ａが発生する駆動出力ＤＲ１によって上記電源リレー１０６ａを駆動し、上記電源スイッチ１０５ｂが開路しても、上記駆動出力ＤＲ１が出力停止するまでは電源リレー１０６ａの動作を継続保持するようになっている。
また、否定論理素子１３７は上記補助マイクロプロセッサ１２０ａが発生する駆動出力ＤＲ２によって上記負荷電源リレー１０７ａを駆動するようになっている。
なお、上記電源リレー１０６ａが消勢されると上記負荷電源リレー１０７ａも消勢されるのに対し、電源リレー１０６ａが付勢されていても負荷電源リレー１０７ａのみを消勢して、一部の車載電気負荷に対する給電を停止することができるよう構成されている（負荷群停止手段）。

図１の構成における主要メモリマップを図２に示す。なお、図２（ａ）は上記補助不揮発プログラムメモリ１２５の主要メモリマップ、図２（ｂ）は上記不揮発プログラムメモリ１１５ａの主要メモリマップである。
図２（ａ）は、アドレスＡ０からアドレスＡｍに対応したデータＤ０からデータＤｍを有する前述の補助不揮発プログラムメモリ１２５の全体構成２００を示したものであり、上記各データは最下位ビットｂ_０から最上位ビットｂ_＊までの２進数値の組合わせで構成されている。
最終アドレスＡｍ内のデータＤｍは内部サムチェック用照合データとなっており、該照合データとしては例えば上記データＤ０〜Ｄｍ−１に関して各桁別にバイナリ加算して、加算結果の最下位ビット値を該当桁のサム値としたものであり、このような各桁別の加算操作をサム操作と呼ぶ。
上記補助不揮発プログラムメモリ１２５に書込まれた時点のサムチェック照合用データは原始照合データと呼び、サムチェックのために新たに同上のサム操作を行った結果として得られるデータは現在サムデータと呼ぶと共に、上記原始照合データは何等かの原因で変化している可能性があるので現在時点でアドレスＡｍに格納されているデータを現在照合データと呼ぶことにする。
また、サムチェックとはサム操作を行って現在サムデータを算出することと、得られた現在サムデータと現在照合データとを比較する比較操作によって成り立っている。
なお、上記のようなルールでサム操作を行った場合には、データＤ０〜Ｄｍに対する全加算サム操作を行うと、その全加算結果はデータＤ０〜Ｄｍ−１までの加算結果の２倍の値となるので、全てのビットが０になる。
従って、上記のような比較操作を行う代りに全加算データが０になるかどうかを判定することもでき、このような方法を簡易サムチェックと呼ぶ。

図２（ａ）についてさらに説明する。
コマンドデータ２０１は、マイクロプロセッサ１１０ａに対する内部サムチェック指令のためのコマンドデータである。
コマンドデータ２０２は、マイクロプロセッサ１１０ａに対する試行演算指令のためのコマンドデータである。
試行演算算式データ２０３は例えば「被加数１０Ｈと加数２０Ｈを加算せよ」と言った内容のものであり、該試行演算算式データ２０３は上記コマンドデータ２０２に続いてマイクロプロセッサ１１０ａに送信されるようになっている。
正解データ２０４は上記試行演算算式データ２０３に対する正解データであり、演算比較プログラム２０５はマイクロプロセッサ１１０ａから返信された試行演算結果と上記正解データ２０４とを比較して異常判定を行うプログラムとなっている。
また、コマンドデータ２０６はマイクロプロセッサ１１０ａに対する外部サムチェック指令のためのコマンドデータであり、外部照合データ２０７は外部サムチェック用の外部照合データ（非公開暗号数値）であり、比較操作プログラム２０８は外部サムチェック用の比較操作プログラムである。上記比較操作プログラム２０８はマイクロプロセッサ１１０ａから返信された不揮発プログラムメモリ１１５ａに関する現在サムデータと上記外部照合データ２０７とを比較して異常判定を行うプログラムとなっている。
なお、上記外部照合データ２０８は後述の要領による固定の暗号数値となっている。
一般的プログラム２０９は、その他の入出力処理プログラム、送受信プログラム、出力制御プログラム等の一般的なプログラムであり、原始照合データ２１０はデータＤ０〜Ｄｍ−１までのサム操作によって得られた原始照合データである。

図２（ｂ）は、アドレスＡ０からアドレスＡｎに対応したデータＤ０からデータＤｎを有する前述の不揮発プログラムメモリ１１５ａの全体構成２２０を示したものである。
内部サムチェック用プログラム２２１（内部サムチェック手段）は、マイクロプロセッサ１２０ａにより実行され、不揮発プログラムメモリ１１５ａに対するサム操作と比較操作又は簡易サムチェックのための全加算サム操作と０判定を行うものである。
試行演算実行プログラム２２２は補助マイクロプロセッサ１２０ａから送信された試行演算指令に対する試行演算実行プログラムである。外部サムチェック用プログラム２２３であり、該プログラム２２３は不揮発プログラムメモリ１１５ａに関するサム操作を行って、現在サムデータを生成するためのプログラムとなっている。
関数変換プログラム２２４は後述する関数変換用のプログラムであり、暴走監視プログラム２２５は補助マイクロプロセッサ１２０ａが発生するウォッチドッグ信号ＷＤ２を監視して、異常時にリセットパルスＲＳＴ２を発生する暴走監視プログラムである。一般的なプログラム２２６は、入出力処置プログラム・送受信プログラム・出力制御プログラム等の一般的なプログラムであり、補正データ２２７は上記関数変換プログラム２２４に基づいて、暗号数値Ｃから不揮発プログラムメモリ１１５ａのデータＤ０〜Ｄｎ−２までのサム操作を行って得られる中間サムデータＳ１を減じて得られる補正データである。

また、内部サムチェック用原始照合データＳ２（符号２２８）は、不揮発プログラムメモリ１１５ａのデータＤ０〜Ｄｎ−１に関するサム操作によって得られるデータであり、次式で明らかなとおり該原始照合データＳ２（符号２２８）は暗号数値Ｃに等しいものである。

Ｓ２＝ΣＤ（０〜ｎ−１）
＝ΣＤ（０〜ｎ−２）＋Ｄｎ−１
＝Ｓ１＋（Ｃ−Ｓ１）＝Ｃ

補助不揮発プログラムメモリ１２５として、電気的に書込みができないマスクＲＯＭを使用した場合には、制御装置の運転中に該マスクＲＯＭの内容が変化する可能性は少ないので、運転開始時に一度だけ補助マイクロプロセッサ１２０ａによって補助不揮発プログラムメモリ１２５に関する内部サムチェックを行っておけば良い特長がある。
しかしながら、不揮発プログラムメモリ１１５ａの内容を変更した時に、補助不揮発プログラムメモリ１２５に格納されているサムチェック用外部照合データを変更することができない問題が発生してしまうので、本実施の形態における上記補正データ２２７はこの問題に対処するためのものであり、不揮発プログラムメモリ１１５ａのプログラム内容を変更しても、外部照合データは常に暗号数値Ｃとなるように固定化されている。

次に、動作について説明する。
図１のとおり構成されたこの発明の実施の形態１に係る車載電子制御装置において、先ず図３に示した診断動作のフローチャートを基に説明する。
図３はマイクロプロセッサ１１０ａの診断動作に関して主導権を持っている補助マイクロプロセッサ１２０ａの動作を示した流れ図である。
図３に示すように、まずはじめに、ステップ３００の動作開始工程において、繰返して活性化される補助マイクロプロセッサ１２０ａの動作を開始する。
次に、該ステップ３００に続いて、ステップ３０１において、図示しないフラグメモリの内容によってマイクロプロセッサ１１０ａから補助マイクロプロセッサ１２０ａに対して診断動作の開始許可が予め送信されているかどうかを判定する。ＮＯの場合にはステップ３０２に進み、ＹＥＳの場合にはステップ３０４に進む。
ステップ３０２において（該ステップ３０１がＮＯであった時に作用）、制御装置に対する電源投入後で所定時間を超過しているかどうかを判定する。なお、ステップ３０３は上記ステップ３０１とステップ３０２によって構成された動作開始確認手段である。

ステップ３０４において（上記ステップ３０１がＹＥＳの判定であった時に作用）、マイクロプロセッサ１１０ａからの再送要求あるかどうかを判定する。
ステップ３０５は、該ステップ３０４が再送要求無しの判定である時に作用するもので、マイクロプロセッサ１１０ａに送信するコマンドを選択する工程であり、該選択工程では図２（ａ）で説明した内部サムチェック指令２０１又は試行演算指令２０２又は外部サムチェック指令２０６のどれか一つが例えば順次交替して選択される。
ステップ３０６は、上記ステップ３０４がＹＥＳの判定であった時又は上記ステップ３０５に続いて作用し、上記ステップ３０５で選択されたコマンドを送信する工程であるが、再送要求の場合は前回送信されたコマンドが再度送信されることになる。
次に、ステップ３０７は、上記ステップ３０６に続いて作用し、送信されたコマンドが内部サムチェク指令２０１であったかどうかを判定する工程である。

ステップ３１０は、上記ステップ３０７がＮＯの判定であった時に作用し、ステップ３０６で送信された試行演算指令２０２又は外部サムチェック指令２０６に対応したマイクロプロセッサ１１０ａからの返信データに関するサムチェックを行って、返信データを正常受信したかどうかを判定する工程である。
ステップ３１１は、該ステップＳ３１０がＮＯであった時に作用し、上記ステップ３０６でコマンド送信されてからの経過時間が所定時間を超過しているかどうかを判定する工程であり、該ステップ３１１が所定時間を超過していない時には上記ステップ３１０へ復帰するようになっている。
なお、ステップ３１２は、上記ステップ３１０とステップ３１１によって構成された併用制御回路１２０ａにより実行される下り通信チェック手段となっており、ステップ３１０は、下り通信情報のサムチェック工程であるのに対し、ステップ３１１は応答タイムアウトのチェック工程となっている。

また、ステップ３１３は、上記ステップ３１１がタイムアウトの判定であった時に作用し、このタイムアウトが初回のものであったかどうかを判定する工程となっている。

ステップ３１４は、上記ステップ３１０に続いて作用し、マイクロプロセッサ１１０ａからの返信データと図２（ａ）における正解データ２０４又は外部照合データ２０７とを照合比較する工程である。該工程において、比較対象は上記ステップ３０６で送信されたコマンドが試行演算指令であったか外部サムチェック指令であったかによって選択されるようになっている。
ステップ３１５は、上記ステップ３１４に続いて作用し、照合比較結果が一致であれば正常、不一致であれば異常の判定を行う工程である。
ステップ３１６は、上記ステップ３１４とステップ３１５によって構成された試行演算チェック手段又は外部サムチェック手段であり、併用制御回路１２０ａにより実行される。

ステップ３１７は、上記ステップ３１５が正常判定であった時に作用し、前回の正常判定から今回の正常判定までの経過時間が所定時間を超過していないかどうかを判定し、超過していたときに異常検出出力を発生する工程であり、該ステップ３１７は間隔監視手段（第２の暴走監視手段）となっている。

ステップ３１８は、上記ステップ３０２が始動時間超過の判定であった時、又は、上記ステップ３１３が初回タイムアウト異常ではないと判定した時、又は、上記ステップ３１５が照合異常であった時、又は、上記ステップ３１７が間隔時間超過の判定であった時に作用し、第二の異常検出出力（エラー出力）ＥＲ２を発生する。
ステップ３１９は上記ステップ３１７が間隔時間超過でなかった時に作用し、第二の異常検出出力（エラー出力）ＥＲ２をリセットする。
ステップ３２０は、上記ステップ３１８又はステップ３１９に続いて作用し、マイクロプロセッサ１１０ａに対して第二の異常検出出力の発生又はリセット状況を送信する。
ステップ３２１は、上記ステップ３１３が初回異常であった時に作用し、コマンドを再度送信するようマイクロプロセッサ１１０ａに対して再送要求する。
ステップ３２２は、上記ステップ３０２が始動時間未超過であった時、又は、上記ステップ３０７が内部サムチェック指示の判定であった時、又は、上記ステップ３２０、ステップ３２１に続いて作用する動作終了工程であり、該動作終了工程では他の制御動作が終了するのを待って再度上記動作開始工程ステップ３００へ移行するようになっている。

図１のとおり構成されたこの発明の実施の形態１に係る車載電子制御装置において、図４に示した診断動作のフローチャートについて説明する。
図４はマイクロプロセッサ１１０ａの診断動作に関して、主導権を持たないマイクロプロセッサ１１０ａ自身の診断動作に関するフローチャートを示したものである。
図４において、ステップ４００の動作開始工程において、繰返して活性化されるマイクロプロセッサ１１０ａの動作を開始する。
該ステップ４００に続いて、次に、ステップ４０１において、図示しないフラグメモリの内容に基づいて、上記補助マイクロプロセッサ１２０ａから送信されたコマンドを受信しているかどうかを判定する。受信していた場合にはステップ４０２に進み、受信していない場合には、ステップ４２６に進み、動作を終了させる。
該ステップ４０２では、受信したコマンドを含む通信データのサムチェックを行って受信データが正常であったかどうかを判定する。正常であればステップ４１０に進み、異常であればステップ４０３に進む。
該ステップ４０３では、異常発生が初回であったかどうかを判定する。初回であった場合には、ステップ４０４に進み、初回でなかった場合には、ステップ４２４に進む。
該ステップ４０４では、補助マイクロプロセッサ１２０ａに対して再送要求を行う。

ステップ４１０は、上記ステップ４０２が正常受信であった時に作用する工程で、受信したコマンドの内容が内部サムチェック指示用のコマンドであったかどうかを判定する。そうであった場合にはステップ４１１に進み、そうでなかった場合にはステップ４１３に進む。
該ステップ４１１は、該ステップ４１０が内部サムチェック指示コマンドであった時に作用する工程で、不揮発プログラムメモリ１１５ａ内のデータに関してサム操作を行って現在サムデータを算出する。
次に、ステップ４１２で、該ステップ４１１による算出データと図２（ｂ）のアドレスＡｎに格納されている照合データとを照合比較することにより、内部チェックが正常であるか否かを判定する。なお、ステップ４１１ではアドレスＡ０からＡｎまでの全データの加算を行い、ステップ４１２では該加算値が０となっているかどうかを判定するようにしても良い。
なお、ステップ４１５は、上記ステップ４１１と上記ステップ４１２によって構成された内部サムチェック手段である。

ステップ４１３は、上記ステップ４１０が内部サムチェック用コマンドで無いと判定した時に作用し、補助マイクロプロセッサ１２０ａから送信されたその他のコマンドを実行する。
ステップ４１４は、上記ステップ４１３によって実行された結果として、試行演算の結果データ又は外部サムチェック用の現在サムデータを送信する工程であり、ここで送信される現在サムデータは不揮発プログラムメモリ１１５ａの内容が変化していなければアドレスＡｎに格納されているデータＳ２＝Ｃと等しくなっている。

ステップ４２０は、上記ステップ４１４に続いて作用し、図３のステップ３２０で補助マイクロプロセッサ１２０ａから送信されたデータが正常に受信されたかどうかをサムチェックする。正常の場合にはステップ４２５に進み、異常の場合はステップ４２１に進む。
該ステップ４２１は、上記ステップ４１４で実行結果を送信してからの経過時間が所定値を超過していないかどうかを判定する工程であり、該工程がタイムアウトでない時には上記ステップ４２０に復帰するようになっている。タイムアウトの場合には、ステップ４２３に進む。
なお、ステップ４２２は、上記ステップ４２０とステップ４２１によって構成されたマイクロプロセッサ１１０ａにより実行される上り通信チェック手段となっている。
該ステップ４２３は、上記ステップ４２１がタイムアウトであった時に作用し、初回異常であるかどうかを判定する工程であり、該工程が初回異常判定であった時には上記ステップ４１４へ復帰して実行結果を再送するようになっている。初回異常判定でなかった時にはステップ４２４に進む。

該ステップ４２４は、上記ステップ４０３が初回異常では無かった時、又は上記ステップ４１２が内部サムチェック異常であった時、又は上記工程４２３が初回異常ではなかった時に作用し、第一の異常検出出力ＥＲ１を発生する工程である。
ステップ４２５は、上記ステップ４１２や工程４２０が正常判定であった時に作用し、第一の異常検出出力ＥＲ１をリセットする工程である。
ステップ４２６は、上記工程４０１が未受信であった時、又は上記工程４０４、工程４２４、工程４２５に続いて作用する動作終了工程である。
該動作終了工程では他の制御動作が終了するのを待って再度上記動作開始ステップ４００へ移行するようになっている。

以上の診断動作用フローチャートの説明を踏まえて、図１について概括的に動作を説明する。
図１において、マイクロプロセッサ１１０ａは第一および第二の車載センサ群１０２ａおよび１０２ｂと車載アナログセンサ１０３ａを入力信号とし、不揮発プログラムメモリ１１５ａに格納された制御プログラムや制御定数に基づいて、第一および第二の車載電気負荷１０４ａおよび１０４ｂを制御するが、上記第二の車載センサ群１０２ｂと第二の車載電気負荷１０４ｂは併用制御回路である補助マイクロプロセッサ１２０ａと第一および第二の直並列変換器１１７および１２７を介して信号交信されている。

但し、上記車載アナログセンサ１０３ａの内、水温センサや気圧センサ等の緩慢動作を行うアナログ信号については併用制御回路側に接続しても良い。
また、図１で示した実施の形態では、アナログ出力が取扱われていないが、必要に応じてメータ表示用のＤＡ変換器を間接出力として搭載することもできる。
なお、このようなアナログ出力やＯＮ／ＯＦＦ動作の低速出力点数はあまり多くはない実態であることから、出力に関してはシリアル通信に依存することなく、全てマイクロ
プロセッサ１１０ａ側から直接出力するようにしても良い。
更に、たとえ低速動作の入力信号であっても、エンジンの回転を維持するのに必要な最低限度の入力情報はシリアル通信に依存しないようにして、マイクロプロセッサ１１０ａに直接入力しておくことが望ましい。

否定論理和素子１３３は、第一及び第二の異常検出出力ＥＲ１及びＥＲ２とリセットパルスＲＳＴ１及びＲＳＴ２の論理和を否定したものとなっているが、これらの入力が同時発生した場合にはカウンタ１３１ａは１カウントしか計数されないようになっている。
これは、同時刻に発生した異常は同一原因によるものと解釈した処置となっているためであり、必要とあれば分離して計数加算することもできる。
また、図３の工程３１９や図４の工程４２５は、異常発生がノイズ誤動作等による一時的なものであれば、第一および第二の異常検出出力をリセットするようにしたものであるが、もしも継続的に異常発生している場合には、カウンタ１３１ａがカウントアップしていなくても、否定論理和素子１３３の出力によってゲート素子１３２ａが駆動出力ＤＲ２を遮断して、負荷電源リレー１０７ａを消勢するようになっている。

負荷電源リレー１０７ａによって給電停止される電気負荷としては、例えば給気用スロットルの弁開度制御用モータがある。
また、電源遮断までは行わないとしても駆動停止を行うことが望ましい電気負荷としては、車両の側方監視制御や自動操縦制御等の安全に関る便利機能などがある。
しかしながら、エンジンの点火制御や燃料噴射制御は可能なかぎり運転継続するのが車両の安全走行や退避走行のために重要である。
従って、ノイズ誤動作によってマイクロプロセッサ１１０ａが暴走したような場合でも、リセットパルスＲＳＴ１によって自動的に再起動されている。
しかし、このような異常動作が繰り返すようであればカウンタ１３１ａによって上述のような一部の電気負荷が駆動停止されるようになっている。

以上のように、本実施の形態による車載電子制御装置によれば、不揮発プログラムメモリとバス接続されたマイクロプロセッサに対してシリアル接続された併用制御回路を有する車載電子制御装置であって、ウォッチドッグタイマと照合情報記憶手段と外部サムチェック手段と間隔監視手段とを備えるようにしたので、マイクロプロセッサ自身に関してウォッチドッグタイマ及び併用制御回路によって二重の外部暴走監視が行われると共に、マイクロプロセッサと協動する不揮発プログラムメモリに対する外部サムチェックと、該外部サムチェックと合せて併用制御回路に対して正常な通信が行われているかどうかの間接的な通信チェックもでき、マイクロプロセッサと不揮発プログラムメモリと併用制御回路に関する信頼性が向上する。
また、動作開始確認手段を備えるようにしたので、外部サムチェックの動作開始に関してマイクロプロセッサが主導権を持つ場合であっても、マイクロプロセッサによる動作開始指令が遅れると異常検出されるので、全体として信頼性を向上する効果がある。
また、直接・間接の入力インタフェース回路と直接・間接の出力インタフェースと多チャンネルＡＤ変換器とを備えているので、併用制御回路が単にマイクロプロセッサに対する外部サムチェックを行うだけでなく、マイクロプロセッサの入出力ピン数を削減して小形・標準化することができる効果がある。
また、論理和回路と電源検出回路とカウンタと異常処理手段とを備えているので、ノイズ等による一時的な誤動作に対してマイクロプロセッサを自動的に再起動させると共に、一時的な誤動作が繰り返すような場合には安全上で問題のある電気負荷については動作を停止して、一旦電源スイッチを遮断・再投入すれば正常復帰できるようになっているので、信頼性と利便性が向上する効果がある。
また、不揮発プログラムメモリは内部サムチェック用照合データと内部サムチェック用プログラムとを備えているので、外部サムチェックと内部サムチェックによって不揮発プログラムメモリの内容は二重チェックされ、全体として信頼性が向上する効果がある。
また、外部サムチェック手段は、内部サムチェック手段が正常判定を行った後に実行されるようになっているので、内部サムチェック手段が異常判定を行った時には外部サムチェック手段は実行されないようにして全体としての処理時間を短縮することができる効果がある。
また、外部サムチェック手段と内部サムチェック手段はマイクロプロセッサの異なる演算サイクルにおいて実行されているので、外部サムチェック制御と内部サムチェック制御の間に他の制御を介在させることができるので、マイクロプロセッサの処理時間が過大になるのを防止することができる効果がある。
また、上り通信チェック手段と下り通信チェック手段とを備えているので、外部サムチェックを行うことで間接的に作用している通信チェック機能に加えて、二重の通信チェックが行えて信頼性が向上すると共に、異常要因を明確にすることができる効果がある。
また、併用制御回路は、補助不揮発プログラムメモリと補助マイクロプロセッサによって構成されると共に、上記マイクロプロセッサによって実行される暴走監視手段を備えているので、固定の制御プログラムではあっても、併用制御回路によって比較的複雑な出力制御等が行えるようになると共に、暴走監視手段によって併用制御回路に関する信頼性が向上し、外部サムチェック手段に対する間隔監視タイマを設けた場合には、併用制御回路に対して二重の外部暴走監視が行えて、更なる信頼性向上が行える効果がある。
また、照合情報記憶手段は補助不揮発プログラムメモリの一部領域が使用され、該一部領域に格納されたサムチェック用外部照合データは所定の非公開暗号数値とすると共に、上記不揮発プログラムメモリは関数変換プログラムを備えているので、車載電子制御装置の制御仕様の変更や制御定数の変更を行って、不揮発プログラムメモリの内容が変化しても、サムチェック用外部照合データは固定値にすることができるので、補助不揮発プログラムメモリは電気的に書込みができないマスクＲＯＭを使用することができ、この場合には不揮発プログラムメモリのサムチェックは一般には不要であるが、必要とあれば運転開始時のみチェックすれば十分な信頼性を確保できる効果がある。
また、照合情報記憶手段又は補助不揮発プログラムメモリはサムチェック用外部照合データに加えて、上記マイクロプロセッサに対する試行演算算式データと該試行演算算式に対する正解データを備えると共に、上記補助不揮発プログラムメモリは上記補助マイクロプロセッサによって実行される演算チェックプログラムを備えているので、マイクロプロセッサの外部診断として、暴走監視以外にたとえ限定された試行演算プログラムであっても、主要な制御ルーチンが動作しているかどうかの確認を行うことができると共に、補助マイクロプロセッサは試行演算実行プログラムが不要であり、複雑な試行演算プログラムによってマイクロプロセッサの動作を点検して、信頼性が更に向上する効果がある。

実施の形態２．
以下、この発明の実施の形態２に係る車載電子制御装置の全体ブロック回路図を示す図５に基づいて、図１のものとの相違点を中心として説明する。
図５において、車載電子制御装置１００ｂには、車載アナログセンサ群１０３ｂが接続されている。該車載アナログセンサ群１０３ｂは、多チャンネルＡＤ変換器ｌ１３でデジタル値に変換された後、対となる第三の直並列変換器１４０および１４１を介してマイクロプロセッサ１１０ｂのデータバスｌ１８に接続されている。
該マイクロプロセッサ１１０ｂは例えば３２ビットのマイクロプロセッサであり、不揮発プログラムメモリｌ１５ｂはフラッシュメモリ等の不揮発プログラムメモリである。該不揮発プログラムメモリｌ１５ｂは、図２（ｂ）における内部サムチェックプログラム２２１、外部サムチェックプログラム２２３、および、入出力処理プログラム・送受信プログラム・出力制御プログラム２２６を備えている。

通信制御回路１２０ｂは、前述の補助マイクロプロセッサ１２０ａの代替手段となる通信制御を主体とする併用制御回路である（以下、併用制御回路１２０ｂということがある。）。メモリ１２９は照合情報格納手段として用いられるＥＥ−ＰＲＯＭ等の不揮発性メモリである。該メモリ１２９は上記通信制御回路１２０ｂと共にデータバス１２８に接続されている。
異常記憶回路１３１ｂは前述のカウンタ１３１ａに代わる回路である。該異常記憶回路１３１ｂは、マイクロプロセッサ１１０ｂに対してウォッチドッグタイマ１３０が発生するリセットパルスＲＳＴｌや、マイクロプロセッサｌ１０ｂが発生する第一の異常検出出力ＥＲｌや、上記併用制御回路が発生する第二の異常検出出力ＥＲ２、及び、後述の監視タイマ１３８が発生する第三の異常検出出力ＥＲ３によってセットされて異常警報・表示器１０８を駆動すると共に、電源検出回路１３５の出力パルスによってリセットされるようになっている。
ゲート素子１３２ｂは、負荷電源リレー１０７ａの駆動出力ＤＲ２と否定論理素子１３７との間に接続されており、該ゲート素子１３２ｂは、上記異常記憶回路１３１ｂが異常記憶している時に出力の論理レベルを「Ｌ」にして、負荷電源リレー１０７ａの駆動を停止するようになっている。
なお、駆動出力ＤＲｌ・ＤＲ２は、電源リレー１０６ａや負荷電源リレー１０７ａに対する駆動出力であり、上記併用制御回路１２０ｂが発生する信号出力となっている。

上記併用制御回路１２０ｂは、マイクロプロセッサｌ１０ｂとデータ交信を行うためのバッファメモリや、マイクロプロセッサｌ１０ｂから送信されたデータに対するコマンドデコーダ、マイクロプロセッサｌ１０ｂに送信するためのコマンドテーブルであるコマンドキュー、送受信データに対するサムチェック用の比較回路や加算回路を備えていて、簡易なマイクロプロセッサと等価な動作を行うようになっている。
間隔監視タイマ１３８は、上記併用制御回路１２０ｂが周期的に発生するクリア信号ＣＬＲの時間間隔を監視して、該時間間隔が所定値を超過した時に第三の異常検出出力ＥＲ３を発生する。該間隔監視タイマ１３８は、電源投入時に電源検出回路１３５の出力パルスによってリセットされるようになっている。他の構成については、実施の形態１と同一であるため、ここではその説明を省略する。

次に、動作について説明する。
図５のように構成されたこの実施の形態に係る車載電子制御装置において、まず、図６に示した診断動作のフローチャートについて説明する。
図６はマイクロプロセッサ１１０ｂの診断動作に関して主導権を持つマイクロプロセッサ１１０ｂ自身の診断動作に関するフローチャートを示したものである。
図６に示すように、ステップ６００において、繰返して活性化されるマイクロプロセッサ１１０ｂの動作を開始する。
次に、ステップ６０１において、図示しないフラグメモリの内容によって併用制御回路１２０ｂからマイクロプロセッサ１１０ｂに対して再送要求が送信されているかどうかを判定する。再送要求があった場合には後述するステップ６１０に進み、再送要求が無かった場合には、ステップ６０２に進む。
該ステップ６０２においては、不揮発プログラムメモリ１１５ｂに関するサム操作を実行して、現在サムデータを得る。
ステップ６０３は、ステップ６０２に続いて作用し、図２（ｂ）の内部サムチェック用照合データ２２８と上記現在サムデータとを比較判定する工程である。しかしながら、上記ステップ６０２で図２（ｂ）の全データのサム操作を行った場合には、ステップ６０３では、全加算値が０になったかどうかを比較判定すれば良い。
なお、ステップ６０５は、上記ステップ６０２とステップ６０３によって構成された内部サムチェック手段である。

ステップ６０４は、上記ステップ６０３が正常判定であった時に作用し、不揮発プログラムメモリ１１５ｂに関するサム操作を実行して現在サムデータを得る。しかしながら、上記ステップ６０２で同じサム操作を行った場合にはその時点での現在サムデータをそのまま使用することができる。
ステップ６１０は、上記ステップ６０１が再送要求有りの時又は上記ステップ６０４に続いて作用し、上記ステップ６０４で作成された前回又は今回の現在サムデータを併用制御回路１２０ｂに送信する。
次に、ステップ６１１において、併用制御回路１２０ｂから正常返信があったかどうかを判定する。正常であった場合にはステップ６１５に進み、異常であった場合にはステップ６１２に進む。
ステップ６１２において、上記ステップ６１０で現在サムデータを送信した後で所定時間を経過したかどうか（タイムアウト）を判定する。該ステップ６１０が所定時間内であった場合は、上記ステップ６１１へ復帰する。
なお、ステップ６１６は、上記ステップ６１１とステップ６１２によって構成された上り通信チェック手段である。

上記ステップ６１２がタイムアウトであった時には、ステップ６１３に進み、該タイムアウトが初回のタイムアウト異常であったかどうかを判定する。
該ステップ６１２が初回異常判定であった時には上記ステップ６１０へ復帰して再度現在サムデータを送信する。
ステップ６１４は、上記ステップ６０３が内部サムチェック異常であった時、又は、上記ステップ６１３が初回異常では無かった時に第一の異常検出出力ＥＲｌを発生する。
ステップ６１５は、上記工程６１１が正常返信であった時、又は、上記ステップ６１４に続いて作用する動作終了工程である。該動作終了工程では他の制御動作が終了するのを待って再度上記動作開始工程６００へ移行するようになっている。

図５のとおり構成されたこの発明の実施の形態２の装置において、併用制御回路１２０ｂの制御動作を等価的に表現した図７に示す診断動作のフローチャートについて説明する。
図７において、まず、ステップ７００で、電源投入に伴って活性化される（初期工程）。次に、ステップ７０１で、図示しないフラグメモリの内容によってマイクロプロセッサｌ１０ｂから併用制御回路１２０ｂに対して診断動作の開始許可が予め送信されているかどうかを判定する。開始許可の送信があった場合には、ステップ７０４に進み、送信がなかった場合には、ステップ７０２に進む。
該ステップ７０２では、制御装置に対する電源投入後に所定時間を超過しているかどうかを判定する。
なお、図７において、ステップ７０３は、上記ステップ７０１とステップ７０２とによって構成された動作開始確認手段である。
上記ステップ７０２の判定結果が時間超過で無い時には、上記ステップ７０１へ復帰するようになっている。一方、時間超過の場合は、後述するステップ７１３に進む。

ステップ７０４は、ステップ７０１の判定の結果、許可信号有りと判定された場合に作用する工程で、マイクロプロセッサ１１０ｂから図６のステップ６１０によって送信された現在サムデータについて正常受信したかどうかを判定する。正常受信の場合はステップ７１０に進み、そうでない場合にはステップ７０５に進む。
該ステップ７０５では、後述のステップ７０８による再送要求を行ってからの経過時間が所定時間を経過したかどうかを判定する。所定時間を経過していない場合には、ステップ７０４に戻り、所定時間を経過していた場合には、ステップ７０７に進む。
なお、ステップ７０６は、上記ステップ７０４とステップ７０５によって構成された下り通信チェック手段である。
また、該ステップ７０７は、上記ステップ７０５がタイムアウトの判定であった時に作用し、このタイムアウトが初回のものであったかどうかを判定する。初回異常であった場合には、ステップ７０８に進み、そうでない場合にはステップ７１３に進む。
該ステップ７０８では、マイクロプロセッサ１１０ｂに対して現在サムデータの再送を要求する。

上述のステップ７１０は、上記ステップ７０４が正常受信判定であった時に作用し、マイクロプロセッサ１１０ｂから送信された現在サムデータと照合情報格納手段１２９に格納されている外部照合データとを比較する。
次に、ステップ７１１で、照合比較結果が一致であれば正常、不一致であれば異常の判定を行う。正常の場合には、ステップ７１４に進み、異常の場合には、ステップ７１３に進む。
なお、図７において、ステップ７１２は、上記ステップ７１０とステップ７１１によって構成された外部サムチェック手段となっている。
ステップ７１３は、上記ステップ７０２が始動時間超過の判定であった時、又は、上記ステップ７０７が初回タイムアウト異常ではないと判定した時、又は、上記ステップ７１１が照合異常であった時に作用し、第二の異常検出出力ＥＲ２を発生する。
一方、ステップ７１４は、上記ステップ７１１が正常判定であった時に作用し、図５で示した間隔監視タイマ１３８に対してクリア信号ＣＬＲを発生する。
ステップ７１５は、上記ステップ７１３又はステップ７１４に続いて作用し、異常検出の有無をマイクロプロセッサ１１０ｂに送信する。
なお、上記ステップ７０８又はステップ７１５は、上記ステップ７０４へ復帰するようになっている。

以上の診断動作用フローチャートの説明を踏まえて、図５について概括的に動作について説明する。
図５において、マイクロプロセッサ１１０ｂは、第一および第二の車載センサ群１０２ａおよびｌ０２ｂと車載アナログセンサ１０３ｂを入力信号とし、不揮発プログラムメモリ１１５ｂに格納された制御プログラムや制御定数に基づいて、第一および第二の車載電気負荷１０４ａおよび１０４ｂを制御するが、上記第二の車載センサ群１０２ｂと第二の車載電気負荷１０４ｂは、併用制御回路１２０ｂと、第一および第二の直並列変換器ｌ１７および１２７を介して、信号交信されている。
また、車載アナログセンサ群１０３ｂは、第三の直並列変換器１４０および１４１を介してマイクロプロセッサ１１０ｂに入力されるようになっている。

異常記憶回路１３１ｂは、第一および第二の異常検出出力ＥＲｌおよびＥＲ２とリセットパルスＲＳＴ１と間隔監視タイマ１３８の異常検出出力ＥＲ３とを論理和したものとなっていて、一度でもこれらの異常検出出力やリセットパルスが発生すると異常記憶動作を行うようになっている。
負荷電源リレーｌ０７ａによって給電停止される電気負荷としては、例えば給気用スロットルの弁開度制御用モータがある。
また、電源遮断までは行わないとしても駆動停止を行うことが望ましい電気負荷としては、車両の側方監視制御や自動操縦制御等の安全に関る便利機能などがある。
しかし、エンジンの点火制御や燃料噴射制御は可能なかぎり運転継続するのが車両の安全走行や退避走行のために重要である。
従って、ノイズ誤動作によってマイクロプロセッサ１１０ｂが暴走したような場合でも、リセットパルスＲＳＴ１によって自動的に再起動されている。
しかしながら、電源スイッチ１０５ｂを一旦遮断して再投入しなければ上記の異常記憶は回復しないので、運転手が認識できると共に、電源スイッチ１０５ｂを一旦遮断して再投入することによって異常状態を回復することができるようになっている。

以上のように、本実施の形態による車載電子制御装置によれば、実施の形態１と同様に、不揮発プログラムメモリとバス接続されたマイクロプロセッサに対してシリアル接続された併用制御回路を有する車載電子制御装置であって、ウォッチドッグタイマと照合情報記憶手段と外部サムチェック手段と間隔監視手段とを備えるようにしたので、マイクロプロセッサ自身に関してウォッチドッグタイマ及び併用制御回路によって二重の外部暴走監視が行われると共に、マイクロプロセッサと協動する不揮発プログラムメモリに対する外部サムチェックと、該外部サムチェックと合せて併用制御回路に対して正常な通信が行われているかどうかの間接的な通信チェックもでき、マイクロプロセッサと不揮発プログラムメモリと併用制御回路に関する信頼性が向上する。
また、間隔監視手段は電源検出回路と間隔監視タイマとを備えるようにしたので、併用制御回路に対する外部暴走監視も合せて実施できて、全体として信頼性を向上する効果がある。
また、動作開始確認手段を備えるようにしたので、外部サムチェックの動作開始に関してマイクロプロセッサが主導権を持つ場合であっても、マイクロプロセッサによる動作開始指令が遅れると異常検出されるので、全体として信頼性を向上する効果がある。
また、直接・間接の入力インタフェース回路と直接・間接の出力インタフェースと多チャンネルＡＤ変換器とを備えているので、併用制御回路が単にマイクロプロセッサに対する外部サムチェックを行うだけでなく、マイクロプロセッサの入出力ピン数を削減して小形・標準化することができる効果がある。
電源検出回路と異常記憶回路と異常処理手段とを備えているので、ノイズ等による一時的な誤動作に対してマイクロプロセッサを自動的に再起動させると共に、安全上で問題のある電気負荷については動作を停止して、一旦電源スイッチを遮断・再投入すれば正常復帰できるようになっているので、信頼性と利便性が向上する効果がある。
また、不揮発プログラムメモリは内部サムチェック用照合データと内部サムチェック用プログラムとを備えているので、外部サムチェックと内部サムチェックによって不揮発プログラムメモリの内容は二重チェックされ、全体として信頼性が向上する効果がある。
また、上り通信チェック手段と下り通信チェック手段とを備えているので、外部サムチェックを行うことで間接的に作用している通信チェック機能に加えて、二重の通信チェックが行えて信頼性が向上すると共に、異常要因を明確にすることができる効果がある。

実施の形態３．
図１で示した実施の形態１の装置では、併用制御回路として補助マイクロプロセッサを使用したが、この併用制御回路が複雑な演算処理を行わないときには補助マイクロプロセッサを使用しないようにすることもできる。

逆に、図５で示した実施の形態２の装置では、併用制御回路としてマイクロプロセッサを使用していないが、この併用制御回路が複雑な演算処理を行うときには補助マイクロプロセッサを使用するようにしてもよい。

図１で示した実施の形態１では、異常診断に関して補助マイクロプロセッサが主導権を持ち、マイクロプロセッサが従動するようになっているが、これを反対にすることもできる。

逆に、図５で示した実施の形態２の装置では、異常診断に関してマイクロプロセッサが主導権を持ち、併用制御回路が従動するようになっているが、これを反対にすることもできる。
また、カウンタと異常記憶回路や、間隔監視タイマをハードウエアで構成するのか、ソフトウエアで実行するのか等の実施の形態も図１および図５のもので入替えて実施することができる。

更に、間隔監視タイマの設定時間をマイクロプロセッサから送信するようにしたり、ＥＥ−ＰＲＯＭメモリで構成された照合情報記憶手段の中に、間隔監視時間も格納しておいておくことなどができる。

また、照合情報記憶手段としては電子基板上の印刷パターンで構成された複数ビットのスイッチ手段に対して、ジャンパー線によって開路又は閉路させてサムチェック用外部照合データを記憶させておくこともできる。

必要に応じて補助不揮発メモリに対する内部サムチェックを補助マイクロプロセッサによって行うことができるが、補助不揮発プログラムメモリが電気的に書込み不可能なマスクＲＯＭである場合には、通常はサムチェックは不要であるが、運転開始時のみ内部サムチェックを行えば信頼性が向上する。

以上のように、本実施の形態においても、上述の実施の形態１および実施の形態２と同様の効果が得られる。

この発明の実施の形態１に係る車載電子制御装置の全体の構成を示したブロック図である。 図１に示した車載電子制御装置に設けられた補助不揮発プログラムメモリおよび不揮発プログラムメモリの主要メモリマップを示した説明図である。 図１に示した車載電子制御装置における補助マイクロプロセッサのマイクロプロセッサ診断動作の処理の流れを示した流れ図である。 図１に示した車載電子制御装置におけるマイクロプロセッサ自身のマイクロプロセッサ診断動作の処理の流れを示した流れ図である。 この発明の実施の形態２に係る車載電子制御装置の全体の構成を示したブロック図である。 図５に示した車載電子制御装置におけるマイクロプロセッサ自身のマイクロプロセッサ診断動作の処理の流れを示した流れ図である。 図５に示した車載電子制御装置における併用制御回路の制御動作を等価的に示した流れ図である。

符号の説明

１００ａ 車載電子制御装置、１００ｂ 車載電子制御装置、１０１ 外部ツール、１０２ａ 第一の車載センサ群、１０２ｂ 第二の車載センサ群、１０３ａ アナログセンサ群、１０３ｂ アナログセンサ群、１０４ａ 第一の車載電気負荷群、１０４ｂ 第二の車載電気負荷群、１０８ 異常警報・表示器（異常処理手段）、１１０ａ マイクロプロセッサ、ｌ１０ｂ マイクロプロセッサ、１１２ａ 直接入力信号用インタフェース回路、ｌ１３ ＡＤ変換器、１１４ａ 直接出力信号用インタフェース回路、１１５ａ 不揮発プログラムメモリ、１１５ｂ 不揮発プログラムメモリ、１１６ ＲＡＭメモリ、ｌ１７ 第一の直並列変換器、１１８ データバス、１２０ａ 補助マイクロプロセッサ、１２０ｂ 併用制御回路、１２２ｂ 間接入力信号用インタフェース回路、１２４ｂ 間接出力信号用インタフェース回路、１２５ 補助不揮発プログラムメモリ、１２６ 補助ＲＡＭメモリ、１２７ 第二の直並列変換器、１２８ データバス、１２９ 照合情報記憶手段、１３０ ウォッチドッグタイマ、１３１ａ カウンタ、１３１ｂ 異常記憶回路、１３２ａ ゲート素子、１３２ｂ ゲート素子、１３３ 否定論理和素子、１３５ 電源検出回路、１３８ 間隔監視タイマ（間隔監視手段）、１４０ 第三の直並列変換器、１４１ 第三の直並列変換器、２０３ 試行演算算式データ、２０４ 正解データ、２０５ 演算チェックプログラム、２０７ 外部照合データ（非公開暗号数値）、２０８ 外部サムチェック用プログラム、２２１ 内部サムチェック用プログラム、２２２ 試行演算実行プログラム、２２４ 関数変換プログラム、２２５ 暴走監視プログラム（暴走監視手段）、２２８ 内部サムチェック用照合データ、３０３ 動作開始確認手段、３１２ 下り通信チェック手段、３１６ 外部サムチェック手段、３１７ 間隔監視手段、３１８ 第二の異常検出出力、４１５ 内部サムチェック手段、４２２ 上り通信チェック手段、４２４ 第一の異常検出出力、６０５ 内部サムチェック手段、６１４ 第一の異常検出出力、６１６ 上り通信チェック手段、７０３ 動作開始確認手段、７０６ 下り通信チェック手段、７１２ 外部サムチェック手段、７１３ 第二の異常検出出力、７１４ 監視タイマクリア信号発生手段、ＲＳＴｌ リセットパルス、ＲＳＴ２ リセットパルス、ＷＤｌ ウォッチドッグ信号、ＷＤ２ ウォッチドッグ信号。

Claims (17)

1. 制御プログラムおよび制御定数を記憶する不揮発プログラムメモリと、該制御プログラムを実行するための第一の直並列変換器がバス接続されたマイクロプロセッサと、該マイクロプロセッサに対して第二の直並列変換器を介してシリアル接続された併用制御回路とを備え、車載センサ群からの入力信号と上記不揮発プログラムメモリの内容とに基づいて、上記マイクロプロセッサと上記併用制御回路とが協動して車載電気負荷群を制御する車載電子制御装置であって、
   上記マイクロプロセッサから出力される発生パルス列であるウォッチドッグ信号が入力され、該ウォッチドッグ信号のパルス幅が所定値以上である時にリセットパルスを発生して上記マイクロプロセッサを再起動させるウォッチドッグタイマと、
   上記併用制御回路に対してバス接続され、所定のサムチェック用外部照合データが予め格納された不揮発性の照合情報記憶手段と、
   上記マイクロプロセッサによって該併用制御回路に送信される上記不揮発プログラムメモリ内のデータに関する現在サムデータと上記照合情報記憶手段に予め格納されているサムチェック用外部照合データとを比較して、比較の結果、それらが不一致の時に異常検出出力を発生する外部サムチェック手段と、
   上記外部サムチェック手段の実行時間間隔が所定時間を超過した時に異常検出出力を発生する間隔監視手段と、
   上記外部サムチェック手段および上記間隔監視手段のいずれか一方からの上記異常検出出力に応動して上記車載電気負荷群の一部の駆動を停止する負荷群停止手段と
   を備えたことを特徴とする車載電子制御装置。
2. 上記間隔監視手段は、
   上記マイクロプロセッサ及び上記併用制御回路への電源の投入時にパルスを出力する電源検出回路と、
   上記併用制御回路から供給されるクリア信号の間隔が所定時間を超過したときに異常検出出力を発生し、上記電源検出回路の出力パルスによってリセットされる間隔監視タイマと
   を備えたことを特徴とする請求項１に記載の車載電子制御装置。
3. 上記併用制御回路が上記マイクロプロセッサから外部サムチェックの許可信号を受信した後に上記間隔監視手段を有効にすると共に、上記併用制御回路への電源投入後の所定時間を経過しても外部サムチェックの許可信号が受信できない場合には異常検出出力を発生する動作開始確認手段を
   さらに備えたことを特徴とする請求項１または２に記載の車載電子制御装置。
4. 上記車載センサ群は、上記マイクロプロセッサに接続される第一の車載センサ群と、上記併用制御回路に接続される第二の車載センサ群と、アナログ出力するアナログセンサ群とから構成されるものであるとともに、
   上記車載電気負荷群は、上記マイクロプロセッサに接続される第一の車載電気負荷群と、上記併用制御回路に接続される第二の車載電気負荷群とから構成されるものであって、
   上記第一の車載センサ群を上記マイクロプロセッサのデータバスに接続する直接入力インタフェース回路と、
   上記第二の車載センサ群を上記併用制御回路のデータバスに接続する間接入力インタフェース回路と、
   上記第一の車載電気負荷群を上記マイクロプロセッサのデータバスに接続する直接出力インタフェース回路と、
   上記第二の車載電気負荷群を上記併用制御回路のデータバスに接続する間接出力インタフェース回路と、
   上記マイクロプロセッサおよび上記併用制御回路の少なくともいずれか一方のデータバスに接続され、上記車載アナログセンサ群からのアナログ入力信号を順次デジタル変換する多チャンネルＡＤ変換器と
   を備え、
   上記マイクロプロセッサと上記併用制御回路は協動して上記第一および第二の車載センサ群及び上記車載アナログセンサ群の動作に応動して上記第一及び第二の車載電気負荷群を制御する
   ことを特徴とする請求項１ないし３のいずれか１項に記載の車載電子制御装置。
5. 上記マイクロプロセッサ及び上記併用制御回路に対する電源の投入時にパルスを出力する電源検出回路と、
   上記異常検出出力と上記ウォッチドッグタイマによるリセットパルスによってセットされ、上記電源検出回路の発生パルスによって初期状態にリセットされる異常記憶回路と、
   ゲート素子と異常警報・表示器によって構成され、上記異常記憶回路の動作に応動して車載電気負荷群の一部に対して駆動を停止させる異常処理手段と
   をさらに備えたことを特徴とする請求項１ないし４のいずれか１項に記載の車載電子制御装置。
6. 上記異常検出出力と上記ウォッチドッグタイマによるリセットパルスとの論理和を演算する論理和回路と、
   上記マイクロプロセッサ及び上記併用制御回路に対する電源の投入時にパルスを出力する電源検出回路と、
   上記論理和回路の出力回数が所定値に達すると異常記憶出力を発生し、上記電源検出回路の出力パルスによって初期状態にリセットされるカウンタと、
   ゲート素子と異常警報・表示器によって構成され、上記論理和素子の異常出力と上記カウンタの異常記憶出力とに応動して、上記車載電気負荷群の一部の駆動を停止する異常処理手段と
   をさらに備えていることを特徴とする請求項１ないし４のいずれか１項に記載の車載電子制御装置。
7. 上記不揮発プログラムメモリは、内部サムチェック用照合データと内部サムチェック手段とを備え、
   上記内部サムチェック用照合データは、上記不揮発プログラムメモリ内のデータに関する加算集計値および該加算集計値の関数値のいずれか一方とし、
   上記内部サムチェック手段は、上記不揮発プログラムメモリ内のデータに関する加算集計値と上記内部サムチェック用照合データとを相互比較することにより異常を検出するものであって、
   上記異常記憶回路は、上記内部サムチェック手段により異常を検出したときに該異常動作を記憶する
   ことを特徴とする請求項５に記載の車載電子制御装置。
8. 上記不揮発プログラムメモリは、内部サムチェック用照合データと内部サムチェック手段とを備え、
   上記内部サムチェック用照合データは、上記不揮発プログラムメモリ内のデータに関する加算集計値および該加算集計値の関数値のいずれか一方とし、
   上記内部サムチェック手段は、上記マイクロプロセッサによって実行され、上記不揮発プログラムメモリ内のデータに関する加算集計値と上記内部サムチェック用照合データとを相互比較することにより異常を検出するものであって、
   上記カウンタは、上記内部サムチェック手段により異常を検出したときに該異常動作を計数する
   ことを特徴とする請求項６に記載の車載電子制御装置。
9. 上記外部サムチェック手段は上記内部サムチェック手段が正常と判定した後に実行され、上記内部サムチェック手段が異常と判定した時には上記外部サムチェック手段は実行されない
   ことを特徴とする請求項７または８に記載の車載電子制御装置。
10. 上記外部サムチェック手段と上記内部サムチェック手段とは上記マイクロプロセッサの異なる演算サイクルにおいて実行されることを特徴とする請求項７ないし９のいずれか１項に記載の車載電子制御装置。
11. 上記併用制御回路によって上記マイクロプロセッサに送信される通信情報のサムチェック及び応答タイムアウトチェックを行って異常検出出力を発生する上り通信チェック手段と、
    上記マイクロプロセッサによって該併用制御回路に送信される通信情報のサムチェック及び応答タイムアウトチェックを行って異常検出出力を発生する下り通信チェック手段と
    をさらに備え、
    上記異常記憶回路は上記上り通信チェック手段および上記下り通信チェック手段のいずれか一方が異常を検出した時に該異常動作を記憶する
    ことを特徴とする請求項５、７、９、１０のいずれか１項に記載の車載電子制御装置。
12. 上記併用制御回路によって該マイクロプロセッサに送信される通信情報のサムチェック及び応答タイムアウトチェックを行って異常検出出力を発生する上り通信チェック手段と、
    上記マイクロプロセッサによって該併用制御回路に送信される通信情報のサムチェック及び応答タイムアウトチェックを行って異常検出出力を発生する下り通信チェック手段と
    をさらに備え、
    上記カウンタは上記上り通信チェック手段および上記下り通信チェック手段のいずれか一方が異常を検出した時にも該異常動作を計数する
    ことを特徴とする請求項６、８、９、１０のいずれか１項に記載の車載電子制御装置。
13. 上記併用制御回路は、補助不揮発プログラムメモリと該補助不揮発プログラムメモリの内容によって動作する補助マイクロプロセッサとから構成されるものであって、
    上記マイクロプロセッサに入力された上記補助マイクロプロセッサの発生パルス列であるウォッチドッグ信号を監視して、該ウォッチドッグ信号のパルス幅が所定値以上である時に上記マイクロプロセッサがリセットパルスを発生して、上記補助マイクロプロセッサを再起動させる暴走監視手段をさらに備え、
    上記異常記憶回路は上記暴走監視手段が発生するリセットパルスによって異常動作を記憶する
    ことを特徴とする請求項５、７、９、１０および１１のいずれか１項に記載の車載電子制御装置。
14. 上記併用制御回路は、補助不揮発プログラムメモリと該補助不揮発プログラムメモリの内容によって動作する補助マイクロプロセッサとから構成されるものであって、
    上記マイクロプロセッサに入力された上記補助マイクロプロセッサの発生パルス列であるウォッチドッグ信号を監視して、該ウォッチドッグ信号のパルス幅が所定値以上である時に上記マイクロプロセッサがリセットパルスを発生して、上記補助マイクロプロセッサを再起動させる暴走監視手段をさらに備え、
    上記カウンタは上記暴走監視手段が発生するリセットパルスによって異常動作を計数する
    ことを特徴とする請求項６、８、９、１０および１２のいずれか１項に記載の車載電子制御装置。
15. 上記照合情報記憶手段は、上記補助不揮発プログラムメモリの一部領域が使用され、
    上記サムチェック用外部照合データは、該一部領域に格納されるとともに、所定の非公開暗号数値であって、
    上記不揮発プログラムメモリは関数変換プログラムを備え、
    上記関数変換プログラムは、上記マイクロプロセッサから上記補助マイクロプロセッサに送信されるサムチェック用外部照合データが上記非公開暗号数値に合致するように、上記不揮発メモリ内のデータの加算集計値に対して関数変換を行うものであることを特徴とする請求項１３または１４に記載の車載電子制御装置。
16. 上記補助不揮発プログラムメモリは、上記マイクロプロセッサに対する試行演算算式データと該試行演算算式に対する正解データとを備えると共に、上記補助マイクロプロセッサによって実行される演算チェックプログラムを備え、
    上記不揮発プログラムメモリは、試行演算実行プログラムを備えていて、
    上記試行演算算式データは上記補助マイクロプロセッサから上記マイクロプロセッサに送信され、
    上記試行演算実行プログラムは上記マイクロプロセッサによって実行され、受信した上記試行演算算式データに基づく演算結果データを上記補助マイクロプロセッサに返信し、
    上記演算チェックプログラムは上記補助マイクロプロセッサによって実行され、返信された演算結果データと上記正解データとを比較判定して、比較不一致の時には異常検出出力を発生し、上記異常検出出力によって上記異常記憶回路が異常記憶する
    ことを特徴とする請求項１３に記載の車載電子制御装置。
17. 上記補助不揮発プログラムメモリは、上記マイクロプロセッサに対する試行演算算式データと該試行演算算式に対する正解データとを備えると共に、上記補助マイクロプロセッサによって実行される演算チェックプログラムを備え、
    上記不揮発プログラムメモリは、試行演算実行プログラムを備えていて、
    上記試行演算算式データは上記補助マイクロプロセッサから上記マイクロプロセッサに送信され、
    上記試行演算実行プログラムは上記マイクロプロセッサによって実行され、受信した上記試行演算算式データに基づく演算結果データを上記補助マイクロプロセッサに返信し、
    上記演算チェックプログラムは上記補助マイクロプロセッサによって実行され、返信された演算結果データと上記正解データとを比較判定して、比較不一致の時には異常検出出力を発生し、上記異常検出出力によって上記カウンタが計数動作する
    ことを特徴とする請求項１４に記載の車載電子制御装置。

Images