JP2023034432A - 車両用制御装置 - Google Patents

Abstract

【課題】マイコンの異常監視装置そのものが正常に機能しているか否かを判定することにより、制御システムの信頼性を高める。【解決手段】車両用制御装置は、マイコンの起動がコールドスタートの場合は、電源が供給されている間は記憶内容を保持するバックアップＲＡＭ１１ａ２にキーワードを書き込んだ上でウォッチドックタイマ回路１２へのウォッチドックリセット信号の送信を中断する。そしてタイマカウンタの値がオーバーフローしてマイコン１１が再起動（ウォームスタート）した際に、バックアップＲＡＭ１１ａ２にキーワードが記憶されているか否かを判断し、キーワードが記憶されている場合はウォッチドックタイマ回路１２が正常に機能していると判断し、車両に関する制御プログラムに移行する。【選択図】図２

Description

本発明は、マイクロコンピュータの異常の監視機構を有する車両用制御装置に関する。

従来、車両の各種制御を司るマイクロコンピュータ（マイコン）には、異常を監視する異常監視装置が設けられる。例えば、特許文献１に記載の電子制御装置では、制御モードとして、起動している状態である高速モードと、停止している状態である低消費電力モードとを有するマイコンを備え、マイコンの暴走を監視する装置を、マイコンの外部に設けた暴走監視回路と、マイコンの内部に設けたウォッチドックタイマ回路で構成している。そして、マイコンの制御状態に応じて暴走監視回路とウォッチドックタイマ回路のいずれかでマイコンの暴走を検出することで、確実な検出を可能にしている。

特開２００８－１５２６７８号公報

特許文献１に記載の暴走監視装置では、マイコンの暴走を検出した際に、リセット信号をマイコンに送信し、当該信号を受信したマイコンがリセット処理を行うことで正常動作に復帰させるが、暴走監視装置のような安全機構そのものが故障する状況も考えられる。特許文献１に記載の電子制御装置では、暴走監視装置によるリセット処理が作動するのは、マイコンに異常が発生している時のみであるため、マイコンによる制御プログラムの作動前など、事前に暴走監視装置が正常に機能するか否かを判定することができない。そのため、暴走監視装置が備わっていても安全機構そのものが故障した場合はマイコンの異常状態を検出できず、システムを安全な状態に移行させることができない可能性がある。

本発明は、上記した課題を鑑みてなされたものであり、マイクロコンピュータの状態を監視する異常監視装置を備える車両用制御装置において、異常監視装置そのものが正常に機能しているか否かを判定することにより、制御システムの信頼性を高めることを目的とする。

前記の目的を達成するため、本発明にかかる車両用制御装置は、マイクロコンピュータと、前記マイクロコンピュータの動作を監視して当該マイクロコンピュータの動作が異常である場合に当該マイクロコンピュータの停止またはリセットを行う異常監視装置とを含む車両用制御装置において、車両のバッテリから電気が供給されている状態では記憶したデータを保持するメモリと、少なくともコールドスタートの場合は、前記メモリに前記データとして所定の識別情報を書き込む書込手段と、前記異常監視装置への異常検知用信号の送信を制御する送信制御手段と、予め定められた所定時間の間、前記異常監視装置が前記異常検知用信号を受信していない場合に前記マイクロコンピュータをリセットしてウォームスタートさせるリセット手段と、前記ウォームスタートの場合は、前記書込手段により前記メモリに書き込まれた前記所定の識別情報が前記メモリに記憶されているか否かを判断する判断手段とを備え、前記送信制御手段は、前記コールドスタートに基づいて前記書込手段が前記所定の識別情報の書き込みを行った後は、少なくとも前記所定時間を超えるまで前記異常検知用信号の送信を中断し、前記マイクロコンピュータは、前記送信制御手段が前記異常検知用信号の送信を中断した後において、前記ウォームスタートの際に前記判断手段により前記メモリに前記所定の識別情報が記憶されていると判断された場合は、前記異常監視装置が正常に機能していると判断することを特徴としている（請求項１）。

また、前記判断手段により前記メモリに前記所定の識別情報が記憶されていると判定された後は、前記所定の識別情報がクリアされ、前記書込手段は、前記所定の情報がクリアされた後の前記マイクロコンピュータの再起動がウォームスタートとなった際、前記判断手段により前記メモリに前記所定の識別情報が記憶されていないと判定された場合は、前記メモリに前記所定の識別情報を書き込み、当該書き込みに基づいて前記送信制御手段による前記異常検知用信号の送信が、少なくとも前記所定時間を超えるまで中断されるようにしてもよい（請求項２）。

また、前記マイクロコンピュータは、前記異常監視装置が正常に機能していると判断した場合に車両制御に関するプログラムの実行を開始するようにしてもよい（請求項３）。

請求項１の発明によれば、マイクロコンピュータがコールドスタートした場合は、所定の識別情報がメモリに書き込まれた上で、少なくとも前記所定時間を超えるまで異常監視装置への異常検知用信号の送信が中断される。そのため、異常監視装置が正常に機能している場合は、コールドスタート後の前記所定時間が経過後にマイクロコンピュータがリセットされてウォームスタートとなる。ウォームスタートの場合は、バッテリから電気が供給された状態での起動となるため、メモリの書き込まれた所定の識別情報が保持される。そのため、判断手段により所定の識別情報が記憶されていると判断された場合は、コールドスタート後の異常検知用信号の送信の中断に基づいて、リセット手段によるリセットが行われたことになり、異常監視装置が正常に機能していると判断できる。このように、マイクロコンピュータが、異常監視装置が正常に機能しているか否かを判断可能に構成されているため、制御システムの信頼性を高めることができる。

請求項２の発明によれば、次回起動時がウォームスタートであっても、異常監視装置が正常に機能しているか否かを確認することができ、これにより、マイクロコンピュータがリセットされるたびに異常監視装置が正常に機能しているか否かを確認することができる。

請求項３の発明によれば、前記異常監視装置が正常に機能しているとマイクロコンピュータが判断しなければ、車両制御に関するプログラムが開始しないため、制御システムの信頼性がさらに向上する。

本発明の一実施形態に係る車両用制御装置が搭載された車両の要部の構成を示すブロック図である。 マイコン起動時のスタートアップ処理の流れを示すフローチャートである。

本発明の一実施形態にかかる車両用制御装置について、図１および図２を参照して説明する。なお、図１は本発明の一実施形態の車両用制御装置のブロック図、図２はスタートアップ処理の流れを示すフローチャートである。

＜車両の電気的構成＞
本発明にかかる一実施形態の車両用制御装置２は、自車両１内に設けられ、各種の車両制御を行うものであり、バッテリ３と、イグニッションスイッチ４と、ＥＣＵ５と、アクチュエータ６と、ＥＣＵ５とは異なる他のＥＣＵ（Ａ）、ＥＣＵ（Ｂ）、ＥＣＵ（Ｃ）とを備える。

ＥＣＵ５と他のＥＣＵ８、９、１０とは、ＣＡＮ７（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して相互に通信可能に構成されている。

ＥＣＵ５は、アクチュエータ６の作動制御などの車両に関する制御を実行するものであり、マイクロコンピュータ１１（以下、マイコン１１と言う場合もある。）と、ウォッチドックタイマ回路１２（本発明の「異常監視装置」に相当）とを有する。アクチュエータ６は、例えば、ウォーターポンプやブレーキ装置などの各種車内装置に配設されるモータやソレノイドで構成される。

マイコン１１は、制御プログラムや制御に必要な各種データを記憶するメモリ１１ａ（メインＲＡＭ１１ａ１、バックアップＲＡＭ１１ａ２、ＲＯＭ１１ａ３）と、各種の演算と制御を行うＣＰＵ１１ｂと、後述するウォッチドックタイマ回路１２を含むマイコン１１の外部と接続させるためのＩ／Ｏポート１１ｃとを有する。Ｉ／Ｏポート１１ｃは、外部端子または入出力回路で構成される。

メモリ１１ａは、例えば、メインＲＡＭ１１ａ１と、バックアップＲＡＭ１１ａ２と、ＲＯＭ１１ａ３とを備える。この実施形態では、バックアップＲＡＭ１１ａ２（本発明の「メモリ」に相当）は、例えば、ＳＲＡＭやＤＲＡＭなどの揮発性メモリである。なお、この実施形態では、リセット処理において、ウォッチドックタイマ回路１２が正常に機能しているか否かの判断に用いられる定義値（キーワード：本発明の「所定の識別情報」に相当）がバックアップＲＡＭ１１ａ２に記憶される。定義値（キーワード）については後述する。

また、バックアップＲＡＭ１１ａ２については、後述の常時供給電源ライン４０ｂからバッテリ３による電圧が供給されている間は記憶内容を保持することから、ウォームスタートの場合は、記憶内容を保持する。一方、メインＲＡＭ１１ａ１については、コールドスタートおよびウォームスタートのいずれの場合も、記憶内容が不定となる。また、ＲＯＭ１１ａ３は、マイコン１１が制御する各種プログラム（スタートアップ処理のプログラム、車両に関する制御プログラム）を記憶する。

ＣＰＵ１１ｂは、各種の演算と制御を行うとともに、Ｉ／Ｏポート１１ｃを介してウォッチドックタイマ回路１２に送信するウォッチドックリセット信号の送信制御を行う。
また、ＣＰＵ１１ｂは、スタートアップ処理（リセット処理）の過程において、メモリ１１ａの初期化（クリア）を行う（図２のステップＳ２、Ｓ７）とともに、バックアップＲＡＭ１１ａ２のキーワード保存領域のデータの読み込みと書き込みが正常に行えるか否かのチェック（図２のステップＳ３）を行う。また、ＣＰＵ１１ｂは、当該キーワード保存領域の値が定義値（キーワード）となっているか否かを判定する（図２のステップＳ４）。とともに、当該キーワード保存領域の値が定義値（キーワード）になっていなかった場合は当該キーワード保存領域に定義値（キーワード）を書き込む（図２のステップＳ５）。

なお、キーワード保存領域は、バックアップＲＡＭ１１ａ２の所定のアドレスに設定されている。また、定義値は、予め定められた値（例えば、「ＡＡ５５ＡＡ５５」）であり、適宜変更可能である。ここで、ＣＰＵ１１ｂが、本発明の「書込手段」、「送信制御手段」、「リセット手段」、「判断手段」に相当する。

ＣＰＵ１１ｂの送信制御について具体的に説明すると、ＣＰＵ１１ｂは、マイコン１１にバッテリ３からの電圧が供給されている状態では、基本的に、ウォッチドックタイマ回路１２に対して周期的にウォッチドックリセット信号（本発明の「異常検知用信号」に相当）を送信する。当該周期は、ウォッチドックタイマ回路１２のタイマカウンタ１２ａのカウンタ値の閾値として定められた設定時間（オーバーフローしてマイコン１１に対するリセット信号が出力される閾値となる時間：本発明の「所定時間」に相当）よりも短い範囲で適宜設定可能である。

ただし、ＣＰＵ１１ｂは、マイコン１１にバッテリ３からの電圧が供給されている状態であっても、マイコン１１のリセット処理の過程で、バックアップＲＡＭ１１ａ２のキーワード保存領域にキーワードを書き込んだ後は、規定時間の間、ウォッチドックリセット信号の送信を中断する。当該規定時間は、ウォッチドックタイマ回路１２のタイマカウンタ１２ａに設定された設定時間よりも長い時間である。そのため、ウォッチドックタイマ回路１２が正常に機能している場合、バックアップＲＡＭ１１ａ２にキーワードが書き込まれた後は、ウォッチドックリセット信号の送信の中断に基づいて、マイコン１１がリセット（強制リセット）されることになる。

ウォッチドックリセット信号は、ウォッチドックタイマ回路１２のタイマカウンタ１２ａをリセットするための信号である。なお、ウォッチドックリセット信号の送信の中断（意図的な中断）は、後述のステップＳ６の後からスタートアップ処理に戻るとき（戻った時点）で解除される。また、スタートアップ処理内では、上述のようにバックアップＲＡＭ１１ａ２にキーワードを書き込む処理以外に、実行している処理が複数あり、実行時間のかかる処理ではタイマカウンタ１２aをクリアさせ、タイマカウンタ１２aがリセットされないようになっている。また、制御プログラムの実行中では一定周期でタイマカウンタ１２aをクリアさせ、上記意図的な中断によるリセット（強制リセット）されないようになっている。

ウォッチドックタイマ回路１２は、例えば、タイマカウンタ１２ａと、リセット信号出力回路１２ｂとを有する。タイマカウンタ１２ａは、予め定められた設定時間までの時間をカウント（カウントアップ）するもので、ウォッチドックタイマ回路１２は、マイコン１１から送信されるウォッチドックリセット信号を受信したときにタイマカウンタ１２ａのカウンタ値をクリアする。

リセット信号出力回路１２ｂは、タイマカウンタ１２ａのカウント値が設定値（設定時間）を超えた場合（オーバーフローした場合）は、マイコン１１にリセット信号を送信する。なお、マイコン１１のリセット処理の過程で、バックアップＲＡＭ１１ａ２にキーワードが書き込まれた後、前記設定時間よりも長い期間（前記規定時間）、ウォッチドックリセット信号の送信が中断されるため、ウォッチドックタイマ回路１２が正常に機能している場合は、リセット信号出力回路１２ｂからマイコン１１にリセット信号が出力され、マイコン１１が再度リセットされることになる。

イグニッションスイッチ４は、エンジンの始動や各種電気系統の制御を行うための装置であり、一端がバッテリ３に接続され、他端がマイコン１１に接続される。したがって、イグニッションスイッチ４がＯＮに設定された場合は、マイコン１１に電圧が供給される。このイグニッションスイッチ４を介する電源ライン（図１の電源ライン４０ａ）は、各装置の各種制御プログラムの実行などに用いられるメイン電源供給ラインである。一方、イグニッションスイッチ４を介さず、一端がバッテリ３に接続され、他端がマイコン１１に接続される電源ライン（図１の電源ライン４０ｂ）は、バックアップＲＡＭ１１ａ２に常時電源（電気）を供給し、バックアップＲＡＭ１１ａ２に記憶内容を保持させるための常時電源供給ラインである。このため、イグニッションスイッチ４がＯＦＦにされてもバックアップＲＡＭ１１ａ２に書き込まれたキーワードは保持可能となっている。

他のＥＣＵ８～１０は、それぞれＥＣＵ５とは異なるＥＣＵであり、ＥＣＵ５とＣＡＮ７を介して相互通信を行う。他のＥＣＵ８～１０は、例えば、エンジンスロットルの開度の制御やエンジンの停止制御などを行うエンジンＥＣＵ、ステレオカメラが撮影した画像に基づいて、先行車などの物標と車両との相対速度や、先行車との目標車間距離、先行車に追従しているときの目標加減速度などのデータの算出を行うカメラＥＣＵ、ブレーキに関する制御を行うＥＣＵ、エンジンの燃料噴射量、吸入空気量、点火時期などを制御するＥＦＩ－ＥＣＵなど、車両に関する各種制御を行うＥＣＵのいずれかで構成される。

また、ＥＣＵ５には、車速情報、シフトポジションなどのシフトに関する情報、温度センサなどの各種センサに関する情報、時刻情報などの情報が、直接またはＣＡＮ７を介して入力される。

＜スタートアップ処理の流れ＞
次に、ＥＣＵ５のスタートアップ処理の一例について、図２を参照して説明する。図２は、本実施形態のスタートアップ処理の一例を示すフローチャートである。

ＥＣＵ５に電源を入れた直後または、リセットが行われた直後は、例えば、メモリ１１ａに設けられたＲＯＭ１１ａ３に保存されたスタートアップ処理用のプログラム（いわゆるリセットベクタ）が読みだされ、当該処理がマイコン１１のＣＰＵ１１ｂにより実行される。

まず、ＣＰＵ１１ｂは、ステップＳ１において、今回の起動がコールドスタートであるか否かを判定する。例えば、ＥＣＵ５に対して、バッテリ３からの電源が完全に遮断された後、最初にイグニッションスイッチ４がＯＮになってバッテリ３からの電源が再投入されたときのマイコン１１の起動は、コールドスタートとなる。一方、ウォッチドックタイマ回路１２から送信されたリセット信号に基づいて行われるマイコン１１の再起動は、マイコン１１にバッテリ３からの電源が供給された状態で再起動するウォームスタートとなる。

この実施形態において、コールドスタートの場合は、メインＲＡＭ１１ａ１とバックアップＲＡＭ１１ａ２の記憶内容は、いずれも不定となる。一方、ウォームスタートの場合は、メインＲＡＭ１１ａ１の記憶内容は不定となるが、バックアップＲＡＭ１１ａ２の記憶内容は再起動前のものが保持される。

そこで、今回の起動がコールドスタートの場合（ステップＳ１でＹＥＳ）、ＣＰＵ１１ｂは、メインＲＡＭ１１ａ１とバックアップＲＡＭ１１ａ２の両方の初期化（クリア）を行い、ステップＳ３に進む。

一方、今回の起動がウォームスタートの場合（ステップＳ１でＮＯ）、ＣＰＵ１１ｂは、再起動前の記憶内容が保持されているバックアップＲＡＭ１１ａ２以外のＲＡＭ（メインＲＡＭ１１ａ１）の初期化（クリア）を行い（ステップＳ７）、ステップＳ３に進む。

ステップＳ３において、ＣＰＵ１１ｂは、バックアップＲＡＭ１１ａ２の所定のアドレスに設定されたキーワード保存領域の読み込みと書き込みが正常に行えるか否かをチェックする。

次に、ＣＰＵ１１ｂは、バックアップＲＡＭ１１ａ２のキーワード保存領域の値が定義値（キーワード）になっているか否かを判定する（ステップＳ４）。ここで、バックアップＲＡＭ１１ａ２のキーワード記憶領域の値が定義値になっていないと判定した場合（ステップＳ４でＮＯ）、ＣＰＵ１１ｂは、バックアップＲＡＭ１１ａ２のキーワード保存領域に定義値を書き込み、ステップＳ６に進む。

一方、バックアップＲＡＭ１１ａ２のキーワード記憶領域の値が定義値になっていると判定した場合（ステップＳ４でＹＥＳ）、ＣＰＵ１１ｂは、バックアップＲＡＭ１１ａ２のキーワード保存領域の値をクリアした上で（ステップＳ８）、車両に関する制御プログラムに移行する（スタートアップ処理を終了して通常の車両制御プログラムを開始する）。

ステップＳ６において、ＣＰＵ１１ｂは、ウォッチドックタイマ回路１２へのウォッチドックリセット信号の送信を中断する。したがって、ウォッチドックタイマ回路１２が正常に機能していると、ステップＳ６のウォッチドックリセット信号の送信の中断により、タイマカウンタ１２ａのカウント値が設定時間を超え（オーバーフロー）、リセット信号出力回路１２ｂからマイコン１１に向けてリセット信号が送信される。リセット信号を受信したマイコン１１では、スタートアップ処理（再起動）を行われる。このときの再起動は、ウォームスタートとなる。

また、ＣＰＵ１１ｂがウォッチドックリセット信号の送信を中断しても、ウォッチドックタイマ回路１２が正常に機能しない状態であった場合は、マイコン１１にリセット信号が送信されない。この場合は、ステップＳ６の処理が終了してもリセットベクタに戻ることはなく、制御プログラムに移行できない状態になる。この場合は、ＥＣＵ５が動作不能状態になるとともに、他のＥＣＵ８～１０との通信も行えない状態になり、車両制御システムのエラーとなる。

＜スタートアップ処理の具体例＞
図２に示すスタートアップ処理に基づいて、マイコン１１の起動時のより具体的な流れについて説明する。

（１回目のスタートアップ処理：コールドスタート）
マイコン１１に対するバッテリ３からの電源が遮断された後、バッテリ３との再接続がなされ、イグニッションスイッチ４がＯＮとなった場合、スタートアップ処理が行われる。このときの起動はコールドスタートになるため、図２のフローチャートでは、ステップＳ１をＹＥＳで通過する。そして、ステップ２において、メインＲＡＭ１１ａ１とバックアップＲＡＭ１１ａ２が初期化（クリア）される。

続いて、ステップＳ３でキーワード保存領域のチェックが行われ、問題がなければキーワード保存領域の値が定義値（キーワード）になっているか否かが判定される（ステップＳ４）。コールドスタートの場合はステップＳ２でバックアップＲＡＭ１１ａ２がクリアされているため、図２のステップＳ４ではＮＯで通過し、その後はバックアップＲＡＭ１１ａ２のキーワード保存領域に定義値（キーワード）が書き込まれた後（ステップＳ５）、ウォッチドックタイマ回路１２へのウォッチドックリセット信号の送信が中断される（ステップＳ６）。

ウォッチドックタイマ回路１２が正常に機能している場合、ウォッチドックリセット信号の送信の中断が設定時間を経過すると、タイマカウンタ１２ａの値がオーバーフローしてリセット信号出力回路１２ｂからマイコン１１にリセット信号が送信される。したがって、ウォッチドックタイマ回路１２が正常に機能している場合、コールドスタート時は、ウォッチドックタイマ回路１２のリセット信号に基づいて、再起動（リセット）が行われる（リセットベクタに戻る：２回目のスタートアップ処理）。このときの起動はウォームスタートとなる。

（２回目のスタートアップ処理：ウォームスタート）
リセット信号に基づく再起動（２回目のスタートアップ処理）では、ステップＳ１をＮＯで通過し、続くステップＳ７において、バックアップＲＡＭ１１ａ２を除いたＲＡＭ（メインＲＡＭ１１ａ１）がクリアされる。

なお、コールドスタート時（１回目のスタートアップ処理）のステップＳ５でバックアップＲＡＭ１１ａ２のキーワード保存領域に定義値（キーワード）が書き込まれており、ウォームスタートの場合はバックアップＲＡＭ１１ａ２の記憶内容は維持されている。そのため、ステップＳ７の段階でキーワード保存領域には定義値（キーワード）が記憶されており、続くステップＳ３のバックアップＲＡＭ１１ａ２のキーワード保存領域のチェックが終わった後の、ステップＳ４（２回目のスタートアップ処理のステップＳ４）をＹＥＳで通過する。その後、キーワード保存領域の値のクリア（ステップＳ８）を経て、車両に関する制御プログラムに移行する。

なお、１回目のスタートアップ処理のステップＳ６でウォッチドックリセット信号の送信が中断されても、ウォッチドックタイマ回路１２が正常に機能しない状態であった場合は、マイコン１１にリセット信号が送信されず、２回目のスタートアップ処理が実施されない。その結果、車両に関する制御プログラムに移行しないことになる。

つまり、コールドスタートの場合は、制御プログラムに移行する前にウォッチドックタイマ回路１２が正常に機能しているか否かが確認され、正常に機能している場合にのみ制御プログラムに移行するように構成されている。

（３回目のスタートアップ処理：ウォームスタート）
２回目のスタートアップ処理の後、車両に関する制御プログラムに移行し、次に、再起動（ウォームスタート）が発生した場合は、３回目のスタートアップ処理になる。３回目のスタートアップ処理がウォームスタートの場合、まずステップＳ１をＮＯで通過する。

続くバックアップＲＡＭ１１ａ２を除いたＲＡＭ（メインＲＡＭ１１ａ１）のクリア（ステップＳ７）と、バックアップＲＡＭ１１ａ２のキーワード保存領域のチェック（ステップＳ３）が終わると、バックアップＲＡＭ１１ａ２のキーワード保存領域の値が定義値（キーワード）になっているか否かが判定される（ステップＳ４）。

このとき、２回目のスタートアップ処理のステップＳ８でバックアップＲＡＭ１１ａ２のキーワード保存領域の値がクリアされているため、３回目のスタートアップ処理のステップＳ４をＮＯで通過する。その後は、ステップＳ５とステップＳ６を通過して、ウォッチドックタイマ回路１２が正常に機能している場合は、４回目のスタートアップ処理（ウォームスタート）に移行する流れとなる。

この場合の起動はウォームスタートになるため、４回目のスタートアップ処理では、ステップＳ１をＮＯで通過する。その後、バックアップＲＡＭ１１ａ２を除いたＲＡＭ（メインＲＡＭ１１ａ１）のクリア（ステップＳ７）と、バックアップＲＡＭ１１ａ２のキーワード保存領域のチェック（ステップＳ３）が終わると、バックアップＲＡＭ１１ａ２のキーワード保存領域の値が定義値（キーワード）になっているか否かが判定される（ステップＳ４）。なお、４回目のスタートアップ処理は、ウォームスタートであるため、３回目のスタートアップ処理のステップＳ５で書き込まれたキーワード保存領域の定義値（キーワード）は、４回目のスタートアップ処理のステップＳ７の段階で依然保持されている。

したがって、４回目のスタートアップ処理のステップＳ４はＹＥＳで通過し、バックアップＲＡＭ１１ａ２のキーワード保存領域の値がクリアされた上で（ステップＳ８）、制御プログラムに移行する。

図２のスタートアップ処理によれば、コールドスタート後にウォッチドックタイマ回路１２が正常に機能しているか否かが確認された後、制御プログラムに移行し、その後に再起動（ウォームスタート）があった場合も、再びウォッチドックタイマ回路１２が正常に機能しているか否かが確認された後に制御プログラムに移行するように構成されている。

なお、スタートアップ処理のステップＳ８でバックアップＲＡＭ１１ａ２のキーワード保存領域の値がクリアされるため、５回目以降の再起動（ウォームスタート）の場合も、制御プログラムに移行する前に、ウォッチドックタイマ回路１２が正常に機能しているか否かの確認が行われる。

したがって、上記した実施形態によれば、コールドスタートの場合は、スタートアップ処理（１回目のスタートアップ処理）において、制御プログラムに移行する前にバックアップＲＡＭ１１ａ２のキーワード保存領域に定義値（キーワード）が書き込まれた上で、ウォッチドックリセット信号の送信が中断される。そのため、ウォッチドックタイマ回路１２が正常に機能している場合は、タイマカウンタ１２ａの値がオーバーフローした後にマイコン１１がリセットされてウォームスタートとなる。ウォームスタートの場合（２回目のスタートアップ処理）は、１回目のスタートアップ処理（コールドスタート時）のときにバックアップＲＡＭ１１ａ２に書き込まれた定義値（キーワード）は保持された状態となる。そのため、ＣＰＵ１１ｂは、２回目のスタートアップ処理のステップＳ４において、バックアップＲＡＭ１１ａ２のキーワード保存領域に定義値（キーワード）が記憶されている場合は、ウォッチドックリセット信号の送信に中断に基づいてリセットが行われたことになり、ウォッチドックタイマ回路１２が正常に機能していると判断できる。

したがって、２回目のスタートアップ処理のステップＳ４で、バックアップＲＡＭ１１ａ２のキーワード保存領域の値が定義値（キーワード）になっている場合は、ウォッチドックタイマ回路１２が正常に機能していると判断して、車両に関する制御プログラムに移行する。このように、マイコン１１が起動する際、制御プログラムに移行する前に、ＣＰＵ１１ｂにおいてウォッチドックタイマ回路１２が正常に機能しているか否かを判定するため、制御システムの信頼性を高めることができる。

また、図２のスタートアップ処理のステップＳ８において、バックアップＲＡＭ１１ａ２のキーワード保存領域の値がクリアされるため、コールドスタートから制御プログラムに移行した後、マイコン１１の再起動（ウォームスタート）が発生した場合も、ウォッチドックタイマ回路１２が正常に機能しているか否かを確認することができ、これにより、マイコン１１がリセット（再起動）されるたびにウォッチドックタイマ回路１２が正常に機能しているか否かを確認できる。

なお、本発明は上記した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない限りにおいて種々の変更が可能である。

例えば、上記した実施形態では、コールドスタートの場合のみならず、ウォームスタートの場合も制御プログラムに移行する前にウォッチドックタイマ回路１２が正常に機能しているか否かを確認できるようにしたが、コールドスタートの場合はウォッチドックタイマ回路１２の確認を行うが、ウォームスタートの場合は確認しないようにしてもよい。この場合は、図２のステップＳ８でバックアップＲＡＭ１１ａ２のキーワード保存領域の値をクリアする処理を省略するとよい。

また、上記した実施形態は、ガソリン車に限らず、電気自動車、ハイブリッド車、自動運転車にも適用することができる。

１：車両
１１ｂ：ＣＰＵ（書込手段、送信制御手段、リセット手段、判断手段）
１２：ウォッチドックタイマ回路（異常監視装置）

Claims (3)

1. マイクロコンピュータと、前記マイクロコンピュータの動作を監視して当該マイクロコンピュータの動作が異常である場合に当該マイクロコンピュータの停止またはリセットを行う異常監視装置とを含む車両用制御装置において、
   車両のバッテリから電気が供給されている状態では記憶したデータを保持するメモリと、
   少なくともコールドスタートの場合は、前記メモリに前記データとして所定の識別情報を書き込む書込手段と、
   前記異常監視装置への異常検知用信号の送信を制御する送信制御手段と、
   予め定められた所定時間の間、前記異常監視装置が前記異常検知用信号を受信していない場合に前記マイクロコンピュータをリセットしてウォームスタートさせるリセット手段と、
   前記ウォームスタートの場合は、前記書込手段により前記メモリに書き込まれた前記所定の識別情報が前記メモリに記憶されているか否かを判断する判断手段と、
   を備え、
   前記送信制御手段は、前記コールドスタートに基づいて前記書込手段が前記所定の識別情報の書き込みを行った後は、少なくとも前記所定時間を超えるまで前記異常検知用信号の送信を中断し、
   前記マイクロコンピュータは、前記送信制御手段が前記異常検知用信号の送信を中断した後において、前記ウォームスタートの際に前記判断手段により前記メモリに前記所定の識別情報が記憶されていると判断された場合は、前記異常監視装置が正常に機能していると判断する
   ことを特徴とする車両用制御装置。
2. 前記判断手段により前記メモリに前記所定の識別情報が記憶されていると判定された後は、前記所定の識別情報がクリアされ、
   前記書込手段は、前記所定の情報がクリアされた後の前記マイクロコンピュータの再起動がウォームスタートとなった際、前記判断手段により前記メモリに前記所定の識別情報が記憶されていないと判定された場合は、前記メモリに前記所定の識別情報を書き込み、当該書き込みに基づいて前記送信制御手段による前記異常検知用信号の送信が、少なくとも前記所定時間を超えるまで中断されることを特徴とする請求項１に記載の車両用制御装置。
3. 前記マイクロコンピュータは、前記異常監視装置が正常に機能していると判断した場合に車両制御に関するプログラムの実行を開始することを特徴とする請求項１または２に記載の車両用制御装置。
   
   
   

Images