JP3518262B2 - 車輌制御用コンピュータの異常処理方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、車輌に関する制御
を実行する主中央処理装置と副中央処理装置とを備えた
車輌制御用コンピュータの異常処理方法に関する。

【０００２】

【従来の技術】近年、自動車における各種制御をコンピ
ュータを用いて行うようにした電子制御システムが広く
採用されるようになってきている。この電子制御システ
ムにおいては、例えば、燃料噴射制御や点火時期制御を
実行する中央処理装置やトランスミッション制御を実行
する中央処理装置といった複数の中央処理装置（以下、
「ＣＰＵ」と略記する）を備えたコンピュータが用いら
れている。

【０００３】ところで、上記のような自動車の制御に用
いられるコンピュータにあっては、極めて電気的ノイズ
レベルの高い環境下において使用されるため、ノイズに
よってＣＰＵのプログラム実行処理が暴走してしまい、
正常な処理が実行できなくなる状況が発生することがあ
る。

【０００４】そこで、上記のような、ＣＰＵの異常に備
えて、各ＣＰＵからウオッチドッグ信号（異常監視信
号）をウオッチドッグ回路に定期的に出力させておき、
この信号が出力されなくなったときには異常が発生した
ものとして、ウオッチドッグ回路からＣＰＵに対してリ
セット信号を出力することにより、同ＣＰＵを正常な状
態に復帰させる方法が従来より採用されている。

【０００５】この種の技術として、例えば、特開平２−
１８７８５６号公報に記載された「マルチ中央演算ユニ
ットシステムのリセット方法」を挙げることができる。
このリセット方法では、メインとなるＣＰＵ以外のＣＰ
Ｕ（サブＣＰＵ）に異常が発生した場合に、全てのＣＰ
Ｕに対してリセット信号を出力するのではなく、異常が
発生したＣＰＵのみにリセット信号を出力することによ
り、その他の正常なＣＰＵは継続して処理が行えるよう
にしている。

【０００６】一方、上記リセット方法において、メイン
ＣＰＵに異常が発生した場合には、全てのＣＰＵに対し
てリセット信号が出力される。通常、メインＣＰＵは、
その他の各サブＣＰＵを統括する機能を有しているた
め、このメインＣＰＵに異常が発生した場合には、仮に
同ＣＰＵのみを正常な状態に復帰させても、その他のサ
ブＣＰＵによる正常な処理が実行できないおそれがある
からである。

【０００７】

【発明が解決しようとする課題】ところで、自動車の制
御システムにあっては、制御システムに異常が検出され
た場合、即ち、上記のようなＣＰＵや、同ＣＰＵにより
制御されるアクチュエータ等の異常が検出された場合、
例えば、エンジン出力を強制的に低下させる等の異常時
に対応した制御、即ちフェールセーフ制御が実行され
る。また、このようなフェールセーフ制御は、エンジン
が一旦停止状態となるまで継続させることが望ましい。
エンジンの運転中にフェールセーフ制御から通常の制御
に移行すると、エンジン出力の増加等によって運転者に
違和感を与えるおそれがあるからである。

【０００８】ここで、前述したリセット方法を、上記の
ような制御システムの異常時に対応したフェールセーフ
制御を実行するコンピュータに適用することを考える。
例えば、メインＣＰＵ以外のＣＰＵに異常が発生した場
合には、同ＣＰＵに対してのみリセット信号が出力され
る。従って、メインＣＰＵにはリセット処理が行われな
いため、同ＣＰＵによってそれまでに実行されていたフ
ェールセーフ制御や今回のＣＰＵの異常に対応したフェ
ールセーフ制御を継続して実行することができる。

【０００９】これに対して、メインＣＰＵに異常が発生
した場合には、全てのＣＰＵに対してリセット信号が出
力される。従って、メインＣＰＵを含む全てのＣＰＵに
対してリセット処理が行われるため、その後はリセット
処理前にメインＣＰＵに異常が発生していた旨を示す情
報が保持されないこととなる。その結果、それまでに実
行されていたフェールセーフ制御や今回のＣＰＵの異常
に対応したフェールセーフ制御をリセット処理後に継続
して実行することができないという問題があった。

【００１０】この発明は上記実情に鑑みてなされたもの
であり、その目的は、主中央処理装置（メインＣＰＵ）
に異常が発生して、同主中央処理装置及び副中央処理装
置（サブＣＰＵ）の双方に対してリセット処理がなされ
た場合でも、フェールセーフ制御を継続することができ
る車輌制御用コンピュータの異常処理方法を提供するこ
とにある。

【００１１】

【課題を解決するための手段】上記目的を達成するため
に、請求項１に記載した発明は、少なくとも主中央処理
装置と副中央処理装置とを備え、主中央処理装置の異常
が検出された場合に、車輌の制御モードを異常時対応モ
ードに変更するとともに、主中央処理装置及び副中央処
理装置に対してリセット処理を実行するようにした車輌
制御用コンピュータの異常処理方法であって、リセット
処理前に主中央処理装置の異常を判断するための情報を
同リセット処理が実行されても記憶内容が保持されるメ
モリに記憶するにあたって、主中央処理装置或いは副中
央処理装置により、イグニッションスイッチのオン・オ
フ状態を主中央処理装置の異常を判断するための情報と
してメモリに記憶し、リセット処理後にメモリにイグニ
ッションスイッチのオン・オフ状態がオン状態として記
憶されている場合には車輌のイグニッションスイッチが
オフ状態となるまで車輌の制御モードを異常時対応モー
ドのまま保持することをその趣旨とするものである。

【００１２】尚、上記車輌制御には、燃料噴射制御、点
火時期制御、吸気量制御（スロットル制御）、トランス
ミッション制御、トラクション制御等の各種制御が含ま
れる。

【００１３】上記各方法によれば、主中央処理装置に異
常が発生した場合に、リセット処理前に主中央処理装置
の異常を判断するための情報がメモリに記憶される。こ
のメモリはリセット処理が実行されても記憶内容を保持
しているため、リセット処理後であっても、このメモリ
に記憶された情報に基づいて、リセット処理前に主中央
処理装置に異常が発生していたことが判断できる。従っ
て、主中央処理装置に異常が発生していた場合には、車
輌のイグニッションスイッチがオフ状態となるまで、車
輌の制御モードを異常時対応モードのまま保持すること
ができる。

【００１４】

【００１５】

【００１６】

【００１７】また上記方法では、主中央処理装置或いは
副中央処理装置により、イグニッションスイッチのオン
・オフ状態が、リセット処理が実行されても記憶内容を
保持するメモリに記憶される。

【００１８】ここで、主中央処理装置が正常に機能して
おり、イグニッションスイッチがオフ状態にされた後
に、同主中央処理装置及び副中央処理装置への電源供給
が遮断された場合、メモリには、イグニッションスイッ
チのオン・オフ状態は「オフ」状態として記憶されるこ
とになる。

【００１９】これに対して、主中央処理装置の異常発生
に伴い主中央処理装置及び副中央処理装置に対してリセ
ット処理がなされた場合、メモリにはイグニッションス
イッチのオン・オフ状態が「オン」状態として記憶され
ていることになる。従って、このメモリに記憶された情
報に基づいて、リセット処理の実行が、主中央処理装置
及び副中央処理装置への電源供給が遮断されたことによ
るものか、或いは主中央処理装置に異常が発生したこと
によるものかを判断することができる。

【００２０】従って、上記方法によれば、主中央処理装
置に異常が発生してリセット処理がなされた場合には、
車輌のイグニッションスイッチがオフ状態となるまで、
車輌の制御モードを異常時対応モードのまま保持するこ
とができる。

【００２１】更に、上記方法によれば、主中央処理装置
に異常が発生した場合、その異常を異常発生時からリセ
ット処理が実行されるまでの比較的短時間の間に判断す
る必要がなくなる。

【００２２】上記目的を達成するために、請求項２に記
載した発明は、少なくとも主中央処理装置と副中央処理
装置とを備え、主中央処理装置の異常が検出された場合
に、車輌の制御モードを異常時対応モードに変更すると
ともに、主中央処理装置及び副中央処理装置に対してリ
セット処理を実行するようにした車輌制御用コンピュー
タの異常処理方法であって、リセット処理前に前記主中
央処理装置の異常を判断するための情報を同リセット処
理が実行されても記憶内容が保持されるメモリに記憶す
るにあたって、主中央処理装置或いは副中央処理装置に
より、イグニッションスイッチのオン・オフ状態を主中
央処理装置の異常を判断するための情報としてメモリに
記憶する一方、副中央処理装置により、主中央処理装置
の異常を同主中央処理装置から入力される信号に基づい
て判断するとともにその判断結果を主中央処理装置の異
常を判断するための情報としてメモリに記憶し、リセッ
ト処理後に、メモリにイグニッションスイッチのオン・
オフ状態がオン状態として記憶されており、且つ、メモ
リに主中央処理装置に異常が発生した旨の情報が記憶さ
れている場合には車輌のイグニッションスイッチがオフ
状態となるまで車輌の制御モードを異常時対応モードの
まま保持することをその趣旨とするものである。

【００２３】上記方法では、前記メモリに、イグニッシ
ョンスイッチのオン・オフ状態がオン状態として記憶さ
れており、且つ、主中央処理装置に異常が発生した旨の
情報が記憶されている場合にのみ、車輌の制御モードが
異常時対応モードに保持されることになる。従って、上
記方法によれば、例えば、ノイズ等の影響により偶発的
にリセット処理が行われたような場合に、車輌の制御モ
ードが異常時対応モードに保持されてしまうことがな
い。

【００２４】

【発明の実施の形態】

［第１の実施形態］以下、本発明を車輌のエンジン制御
等を行うコンピュータにおける異常処理方法として具体
化した第１の実施形態について説明する。

【００２５】図１は、多気筒ガソリンエンジン（以下、
「エンジン」と略記する）１１及び同エンジン１１の制
御等を行うコンピュータ（以下、「ＥＣＵ」と略記す
る）１２の概略構成を示している。

【００２６】同図に示すように、エンジン１１は４つの
シリンダ１３を有しており、同シリンダ１３内にはそれ
ぞれ燃焼室１４が形成されている。また、エンジン１１
には吸気管１５及び排気管１６がそれぞれ接続されてお
り、各管１５，１６の内部は燃焼室１４に連通されてい
る。

【００２７】吸気管１５の内部にはバタフライ弁式のス
ロットルバルブ１７が回転可能に設けられている。この
スロットルバルブ１７の回転軸１７ａはモータ１８に駆
動連結されており、同軸１７ａがモータ１８によって回
転されることにより、スロットルバルブ１７の開度（ス
ロットル開度）が変更される。吸気管１５の内部を通じ
て燃焼室１４に導入される吸入空気の量（吸気量）は、
このスロットルバルブ１７の開度に応じて調節される。

【００２８】スロットルバルブ１７とモータ１８との間
には電磁クラッチ１９が設けられており、同電磁クラッ
チ１９により両者１７，１８の連結を遮断することがで
きる。また、スロットルバルブ１７は、図示しないスプ
リングにより閉弁方向に回動付勢されている。従って、
電磁クラッチ１９によってスロットルバルブ１７とモー
タ１８との連結が遮断されると、前記スプリングの付勢
力によってスロットルバルブ１７は略全閉状態となり、
吸気量はアイドリング運転が可能な最小量にまで減少す
るようになっている。

【００２９】車輌Ｃの運転室（図示略）には、運転者に
より踏込操作されるアクセルペダル２０が設けられてい
る。車輌Ｃにはこのアクセルペダル２０が最大踏込量ち
かくまで踏み込まれたときにのみ、同ペダル２０とスロ
ットルバルブ１７とを機械的に連結して同バルブ１７を
所定開度だけ開弁させるリンク機構Ｌが設けられてい
る。従って、スロットルバルブ１７とモータ１８との連
結が遮断された場合でも、このリンク機構Ｌによるスロ
ットルバルブ１７の開弁操作により車輌Ｃは退避走行が
可能である。

【００３０】前記スロットルバルブ１７の近傍にはスロ
ットルセンサ２２が設けられており、同センサ２２から
はスロットルバルブ１７の開度、即ちスロットル開度に
応じた信号が出力される。

【００３１】アクセルペダル２０の近傍にはアクセルセ
ンサ２３が設けられており、同センサ２３からはアクセ
ルペダル２０の踏込量、即ちアクセル開度に応じた信号
が出力される。

【００３２】また、前記運転室には運転者により操作さ
れるイグニッションスイッチ２４が設けられており、こ
のイグニッションスイッチ２４は「ＬＯＣＫ位置」、
「ＡＣＣ位置」、「ＯＮ位置」、及び「ＳＴＡＲＴ位
置」の各位置に操作可能である。イグニッションスイッ
チ２４の位置が「ＯＮ位置」にある場合には、通常、エ
ンジン１１は運転状態にあり、また、同位置が「ＬＯＣ
Ｋ位置」或いは「ＡＣＣ位置」（以下、このイグニッシ
ョンの各位置を「ＯＦＦ位置」という）にある場合に
は、エンジン１１は常に停止状態にあって、通常、車輌
は停止している。

【００３３】次に、ＥＣＵ１２の構成について説明す
る。ＥＣＵ１２は、燃焼噴射制御、点火時期制御等のエ
ンジン制御を主に実行するメインＣＰＵ２６、トランス
ミッション制御及び前記スロットルバルブ１７の開度制
御（スロットル制御）を実行するサブＣＰＵ２７、ウオ
ッチドッグ回路２８、メインＣＰＵ２６用のＲＯＭ２９
ａ及びＲＡＭ２９ｂ並びにスタンバイＲＡＭ２９ｃによ
り構成されるメモリ２９、サブＣＰＵ２７用のＲＯＭ３
０ａ及びＲＡＭ３０ｂ並びにスタンバイＲＡＭ３０ｃに
より構成されるメモリ３０、入力回路３３、処理回路３
４、Ａ／Ｄ変換器３５、電磁クラッチ駆動回路３７、及
びモータ駆動回路３８等により構成されている。

【００３４】スロットルセンサ２２及びアクセルセンサ
２３は入力回路３３及びＡ／Ｄ変換器３５を介してメイ
ンＣＰＵ２６に接続されている。また、サブＣＰＵ２７
はメインＣＰＵ２６との間でＤＭＡ（ダイレクト・メモ
リ・アクセス）による双方向通信を行っており、同メイ
ンＣＰＵ２６からの信号に基づいてスロットル制御を実
行する。即ち、サブＣＰＵ２７は電磁クラッチ駆動回路
３７を介して電磁クラッチ１９を制御することにより、
スロットルバルブ１７とモータ１８とを連結する。そし
て、サブＣＰＵ２７は、アクセルセンサ２３により検出
されるアクセル開度等に応じてスロットル開度に係る目
標開度を算出し、スロットルセンサ２２により検出され
る実際のスロットル開度とこの算出された目標開度とが
一致するようにモータ１８を制御する。

【００３５】イグニッションスイッチ２４は処理回路３
４に接続されている。メインＣＰＵ２６及びサブＣＰＵ
２７はこの処理回路３４からの信号に基づいて、同イグ
ニッションスイッチ２４の操作位置を判断することがで
きる。また、イグニッションスイッチ２４が「ＯＮ位
置」から「ＯＦＦ位置」へと操作されて、エンジン１１
の運転が停止された場合でも、ＥＣＵ１２には所定時間
の間は電力が供給されるようなっている。従って、メイ
ンＣＰＵ２６及びサブＣＰＵ２７によって必要な情報が
各スタンバイＲＡＭ２９ｃ，３０ｃに書き込まれた後に
ＥＣＵ１２の各部に対する電力供給が停止されることに
なる。

【００３６】各スタンバイＲＡＭ２９ｃ，３０ｃは、そ
れぞれのＣＰＵ２６，２７に対してリセット処理、即
ち、現在実行中の処理が強制的に中断されるとともに、
それまでの処理経過内容が初期化される処理が実行され
たり、或いは、前述したようにＥＣＵ１２に対する電力
供給が停止された場合でも記録内容を保持している。

【００３７】本実施形態におけるＥＣＵ１２にあって
は、メインＣＰＵ２６及びサブＣＰＵ２７の双方が、ス
ロットルセンサ２２やアクセルセンサ２３といったセン
サの異常や、モータ１８や電磁クラッチ１９といったア
クチュエータの異常を検出する。そして、メインＣＰＵ
２６及びサブＣＰＵ２７の双方は、これらに異常が検出
された場合に、エンジン１１の出力を低下させるフェー
ルセーフ制御を実行する。また、メインＣＰＵ２６或い
はサブＣＰＵ２７に異常が発生した場合のリセット処理
及びフェールセーフ制御を実行するために、メインＣＰ
Ｕ２６からは、その異常を検出するための異常監視信号
（ウオッチドッグ信号ＷＤＰ）がウオッチドッグ回路２
８及びサブＣＰＵ２７に対して出力されている。また、
サブＣＰＵ２７からはメインＣＰＵ２６に対してウオッ
チドッグ信号ＷＤＰが出力されている。

【００３８】図２は、各ＣＰＵ２６，２７から出力され
るウオッチドッグ信号ＷＤＰを示すタイムチャートであ
る。同図に示すように、ウオッチドッグ信号ＷＤＰはＬ
レベルとＨレベルとが一定の周期で繰り返される矩形波
である。ウオッチドッグ回路２８或いはメインＣＰＵ２
６は、同図に示す期間Ａや期間Ｂのように、ウオッチド
ッグ信号ＷＤＰが所定時間経過してもＬレベルやＨレベ
ルのまま保持されて反転しない場合、そのウオッチドッ
グ信号ＷＤＰを出力しているＣＰＵにおいてプログラム
処理の暴走（以下、単に「ＣＰＵの異常」という）が発
生していると判断する。そして、ウオッチドッグ回路２
８或いはメインＣＰＵ２６は、その異常の発生したＣＰ
Ｕに対してリセット信号ＲＳＰを出力することによりリ
セット処理を行う。このリセット処理を実行することに
より異常の発生したＣＰＵを正常な状態に復帰させるこ
とができる。

【００３９】また、本実施形態におけるＥＣＵ１２にあ
っては、サブＣＰＵ２７に異常が発生した場合には、メ
インＣＰＵ２６によりサブＣＰＵ２７に対してのみリセ
ット処理が行われる。これに対して、メインＣＰＵ２６
に異常が発生した場合には、ウオッチドッグ回路２８に
よりメインＣＰＵ２６及びサブＣＰＵ２７の双方に対し
てリセット処理が行われるようになっている。

【００４０】次に、各ＣＰＵ２６，２７に異常が発生し
た場合の処理方法について説明する。 ［１］サブＣＰＵ２７に異常が発生した場合 メインＣＰＵ２６はサブＣＰＵ２７から入力されるウオ
ッチドッグ信号ＷＤＰが所定時間反転しない場合、即
ち、同信号ＷＤＰがＬレベルからＨレベルに、或いはＨ
レベルからＬレベルに変化しない場合、サブＣＰＵ２７
に異常が発生したと判断する。そして、メインＣＰＵ２
６はサブＣＰＵ２７に対してリセット信号ＲＳＰを出力
してリセット処理を行う。

【００４１】更に、メインＣＰＵ２６は、このリセット
処理を行うとともに、各駆動回路３７，３８を介して電
磁クラッチ１９及びモータ１８を制御することにより、
スロットルバルブ１７とモータ１８との連結を遮断する
とともに、モータ１８の回転を停止させる。従って、Ｅ
ＣＵ１２によるスロットル開度の変更は行われなくな
り、スロットルバルブ１７の開度は略全閉状態にまで減
少する。その結果、エンジン１１の回転数は減少し、そ
の出力は最小出力ちかくにまで強制的に抑えられる。即
ち、メインＣＰＵ２６によってスロットル制御に関する
フェールセーフ制御が実行される。そして、メインＣＰ
Ｕ２６はこのフェールセーフ制御をイグニッションスイ
ッチ２４が「ＯＦＦ位置」に切り替えられてエンジン１
１が停止するまで継続する。

【００４２】［２］メインＣＰＵ２６に異常が発生した
場合 上記のように、サブＣＰＵ２７に異常が発生した場合に
は、同ＣＰＵ２７に対してのみリセット処理が行われる
ことから、そのリセット処理後であっても、メインＣＰ
Ｕ２６によりフェールセーフ制御を実行することができ
る。

【００４３】これに対して、メインＣＰＵ２６に異常が
発生した場合には、前記各ＣＰＵ２６，２７の双方に対
してリセット処理がなされることから、以下に説明する
処理手順に従いフェールセーフ処理を実行するようにし
ている。

【００４４】図４は、メインＣＰＵ２６の異常を検出す
るための「異常検出ルーチン」の各処理を示すフローチ
ャートである。この「異常検出ルーチン」は、イグニッ
ションスイッチ２４が「ＯＮ位置」に操作され、ＥＣＵ
１２の各部に対する電力供給が開始された後に、サブＣ
ＰＵ２７によって実行されるメインルーチンに含まれる
処理である。

【００４５】同図に示すステップ１００において、サブ
ＣＰＵ２７はメインＣＰＵ２６から入力されるウオッチ
ドッグ信号ＷＤＰが反転しているか否かを判断する。こ
こで否定判定された場合、サブＣＰＵ２７は処理をステ
ップ１０２に移行する。

【００４６】ステップ１０２において、サブＣＰＵ２７
は異常検出用カウンタ値ＣＦＡＩＬを「１」だけインク
リメントする。この異常検出用カウンタ値ＣＦＡＩＬは
ウオッチドッグ信号ＷＤＰの反転が停止してＨレベル或
いはＬレベルのままの状態になってからの経過時間に相
当するものである。

【００４７】次に、ステップ１０４において、サブＣＰ
Ｕ２７は異常検出用カウンタ値ＣＦＡＩＬが判定カウン
タ値ＣＦＡＩＬＫより大きくなったか否かを判断する。
この判定カウンタ値ＣＦＡＩＬＫは、ウオッチドッグ信
号ＷＤＰの反転停止後の経過時間が所定時間を越えたか
否かを判断するためのものであり、例えば、「１００ｍ
ｓ」の時間に相当する大きさに設定されている。

【００４８】ステップ１０４において肯定判定された場
合、サブＣＰＵ２７はメインＣＰＵ２６に異常が発生し
たものとして、処理をステップ１０６に移行する。そし
て、ステップ１０６において、サブＣＰＵ２７はメイン
ＣＰＵ２６に異常が発生していることを示す異常判定フ
ラグＸＦＡＩＬを「１」に設定するとともに、その異常
判定フラグＸＦＡＩＬの内容を前記スタンバイＲＡＭ３
０ｃに書き込む。そして、サブＣＰＵ２７は処理をステ
ップ１１２に移行する。

【００４９】これに対して、ステップ１００において肯
定判定された場合、サブＣＰＵ２７はメインＣＰＵ２６
に異常が発生していないことから処理をステップ１０８
に移行する。ステップ１０８において、サブＣＰＵ２７
は異常検出用カウンタ値ＣＦＡＩＬを「０」に設定す
る。その後、サブＣＰＵ２７は処理をステップ１１２に
移行する。また、ステップ１０４において否定判定され
た場合も、ＥＣＵ１２は処理をステップ１１２に移行す
る。

【００５０】ステップ１１２において、サブＣＰＵ２７
は現在のイグニッションスイッチ２４が「ＯＮ位置」に
あるか否かを判断する。ここで肯定判定された場合、サ
ブＣＰＵ２７は処理をステップ１１４に移行する。

【００５１】ステップ１１４において、サブＣＰＵ２７
はイグニッションスイッチ２４の位置を判定する位置判
定フラグＸＩＧＯＮを「１」に設定し、その位置判定フ
ラグＸＩＧＯＮの内容をスタンバイＲＡＭ３０ｃに書き
込む。

【００５２】これに対して、ステップ１１２において否
定判定された場合、サブＣＰＵ２７は処理をステップ１
１６に移行し、位置判定フラグＸＩＧＯＮを「０」に設
定するとともに、その位置判定フラグＸＩＧＯＮの内容
をスタンバイＲＡＭ３０ｃに書き込む。更に、ステップ
１１７において、サブＣＰＵ２７は異常判定フラグＸＦ
ＡＩＬを「０」に設定するとともに、その異常判定フラ
グＸＦＡＩＬの内容をスタンバイＲＡＭ３０ｃに書き込
む。

【００５３】ここで、例えば、メインＣＰＵ２６に異常
が発生してウオッチドッグ回路２８によってサブＣＰＵ
２７に対しリセット処理が実行された場合、同サブＣＰ
Ｕ２７における処理が強制的に終了させられるため、リ
セット処理後、スタンバイＲＡＭ３０ｃには位置判定フ
ラグＸＩＧＯＮが「１」として記憶されていることにな
る。

【００５４】これに対して、運転者によりイグニッショ
ンスイッチ２４が「ＯＦＦ位置」に操作された場合に
は、サブＣＰＵ２７により位置判定フラグＸＩＧＯＮが
スタンバイＲＡＭ３０ｃに「０」として書き込まれた
後、ＥＣＵ１２に対する電力供給が停止される。従っ
て、リセット処理後、スタンバイＲＡＭ３０ｃには位置
判定フラグＸＩＧＯＮが「０」として記憶されているこ
とになる。

【００５５】その結果、リセット処理後においてスタン
バイＲＡＭ３０ｃに記憶されている位置判定フラグＸＩ
ＧＯＮの内容に基づいて、同リセット処理前にメインＣ
ＰＵ２６に異常が発生していたか否かを判断することが
できることになる。

【００５６】また、前記ステップ１０４においてメイン
ＣＰＵ２６の異常が判断されると略同時に、前記ウオッ
チドッグ回路２８においてもメインＣＰＵ２６の異常が
検出される。従って、前述したように、ウオッチドッグ
回路２８からはメインＣＰＵ２６及びサブＣＰＵ２７の
双方に対してリセット信号ＲＳＰが出力され、各ＣＰＵ
２６，２７に対してリセット処理が行われる。ここで、
本実施形態に係るＥＣＵ１２においては、サブＣＰＵ２
７のリセット処理がなされる前に、少なくともステップ
１０６の処理、即ち異常判定フラグＸＦＡＩＬのスタン
バイＲＡＭ３０ｃへの書き込みが完了するように、リセ
ット信号ＲＳＰが出力されるタイミングが調整されてい
る。

【００５７】ステップ１１４或いはステップ１１７の処
理を実行した後、サブＣＰＵ２７は再びステップ１００
以降の処理を実行する。次に、「異常処理ルーチン」の
各処理について図３に示すフローチャートを参照して説
明する。この「異常処理ルーチン」はイグニッションス
イッチ２４が「ＯＮ位置」に操作され、ＥＣＵ１２の各
部に対する電力供給が開始された後、或いはサブＣＰＵ
２７に対してリセット処理が行われた後において、同サ
ブＣＰＵ２７のメインルーチンの実行前に一回だけ実行
される処理（イニシャルルーチン）である。

【００５８】ステップ２００において、サブＣＰＵ２７
はスタンバイＲＡＭ３０ｃに記憶されている前記異常判
定フラグＸＦＡＩＬを読み込み、同フラグＸＦＡＩＬが
「１」であるか否かを判断する。ここで肯定判定された
場合、サブＣＰＵ２７は処理をステップ２０２に移行す
る。

【００５９】ステップ２０２において、サブＣＰＵ２７
はスタンバイＲＡＭ３０ｃに記憶されている前記位置判
定フラグＸＩＧＯＮを読み込み、同フラグＸＩＧＯＮが
「１」であるか否かを判断する。ここで肯定判定された
場合、サブＣＰＵ２７は処理をステップ２０４に移行す
る。

【００６０】ステップ２０４において、サブＣＰＵ２７
は異常判定フラグＸＦＡＩＬ及び位置判定フラグＸＩＧ
ＯＮがいずれも「１」に設定されていることから、リセ
ット処理が行われる前にメインＣＰＵ２６に異常が発生
していたと判断して、スロットル制御に関するフェール
セーフ制御を開始する。そして、サブＣＰＵ２７はこの
フェールセーフ制御をイグニッションスイッチ２４が
「ＯＦＦ位置」へと操作されてエンジン１１の運転が停
止するまで継続する。そして、ステップ２０４の処理を
実行した後、サブＣＰＵ２７は本ルーチンの処理を終了
する。

【００６１】一方、サブＣＰＵ２７は、ステップ２００
或いはステップ２０２において否定判定された場合には
いずれも本ルーチンの処理を終了する。このステップ２
００或いはステップ２０２において否定判定される場合
としては、例えば、エンジン１１の始動時においてＥＣ
Ｕ１２に対する電力供給が開始されて最初に本ルーチン
の処理が行われる場合や、ノイズ等により偶発的にメイ
ンＣＰＵ２６のリセット処理が行われた場合を挙げるこ
とができる。

【００６２】サブＣＰＵ２７は本ルーチンの処理を終了
した後、前述したメインルーチンに係る処理を開始す
る。以上説明したように、本実施形態では、メインＣＰ
Ｕ２６に異常が発生した場合、異常判定フラグＸＦＡＩ
Ｌ及び位置判定フラグＸＩＧＯＮが「１」としてスタン
バイＲＡＭ３０ｃに記憶された後、ウオッチドッグ回路
２８により各ＣＰＵ２６，２７に対してリセット処理が
行われる。従って、リセット処理後であっても、このス
タンバイＲＡＭ３０ｃに記憶された各フラグＸＦＡＩ
Ｌ，ＸＩＧＯＮの内容に基づいて、リセット処理前にメ
インＣＰＵ２６に異常が発生していたことを確実に判断
することができる。その結果、本実施形態によれば、メ
インＣＰＵ２６に異常が発生して同ＣＰＵ２６及びサブ
ＣＰＵ２７に対してリセット処理が行われても、同リセ
ット処理後、イグニッションスイッチ２４が「ＯＦＦ位
置」になるまで、これまで実行されていたフェールセー
フ制御やメインＣＰＵ２６の異常に対応したフェールセ
ーフ制御を継続して実行することができる。

【００６３】また、本実施形態では、リセット処理後
に、スタンバイＲＡＭ３０ｃに位置判定フラグＸＩＧＯ
Ｎ及び異常判定フラグＸＦＡＩＬがいずれも「１」とし
て記憶されているときにのみ、スロットル制御に関する
フェールセーフ制御を実行するようにしている。従っ
て、例えば、サブＣＰＵ２７に対して、メインＣＰＵ２
６の異常ではなくノイズ等に起因して偶発的にリセット
処理が行われたような場合には、前記異常判定フラグＸ
ＦＡＩＬが「０」であることから、フェールセーフ制御
は実行されない。即ち、本実施形態によれば、メインＣ
ＰＵ２６に異常が発生したことを確実に判断して、その
場合にのみ、フェールセーフ制御を行うことができる。

【００６４】［第２の実施形態］次に、第２の実施形態
について説明する。本実施形態に係るＥＣＵ１２の異常
処理方法は、前述した「異常処理ルーチン」での処理手
順が上記第１の実施形態と異なっている。

【００６５】図５は、本実施形態における「異常処理ル
ーチン」の各処理を示すフローチャートである。同図に
示すステップ３００において、サブＣＰＵ２７はスタン
バイＲＡＭ３０ｃに記憶されている異常判定フラグＸＦ
ＡＩＬを読み込み、同フラグＸＦＡＩＬが「１」である
か否かを判断する。ここで肯定判定された場合、サブＣ
ＰＵ２７は処理をステップ３０２に移行する。

【００６６】これに対して、ステップ３００において否
定判定された場合、サブＣＰＵ２７は処理をステップ３
０４に移行する。そして、ステップ３０４において、サ
ブＣＰＵ２７は位置判定フラグＸＩＧＯＮが「１」であ
るか否かを判定する。ここで、肯定判定された場合、サ
ブＣＰＵ２７は処理をステップ３０２に移行する。

【００６７】ステップ３０２において、サブＣＰＵ２７
は異常判定フラグＸＦＡＩＬか、或いは位置判定フラグ
ＸＩＧＯＮのいずれかが「１」に設定されていることか
ら、リセット処理が行われる前にメインＣＰＵ２６に異
常が発生していたと判断して、スロットル制御に関する
フェールセーフ制御を開始する。そして、サブＣＰＵ２
７はこのフェールセーフ制御をイグニッションスイッチ
２４が「ＯＦＦ位置」に切り替えられてエンジン１１が
停止するまで継続する。

【００６８】そして、ステップ３０２の処理を実行した
後、サブＣＰＵ２７は本ルーチンの処理を終了する。ま
た、ステップ３０４において否定判定された場合も同様
に、サブＣＰＵ２７は本ルーチンの処理を終了する。そ
して、サブＣＰＵ２７は前述したメインルーチンに係る
処理を開始する。

【００６９】以上説明したように、本実施形態では上記
第１の実施形態と異なり、異常判定フラグＸＦＡＩＬが
「０」である場合でも、位置判定フラグＸＩＧＯＮが
「１」である場合には、リセット処理前にメインＣＰＵ
２６に異常が発生していたと判断して、リセット処理後
にフェールセーフ制御を実行するようにしている。

【００７０】メインＣＰＵ２６に異常が発生した場合、
サブＣＰＵ２７は、その異常発生時からリセット処理が
行われるまでの比較的短時間の間に、その異常を判断す
るとともに異常判定フラグＸＦＡＩＬを「１」としてス
タンバイＲＡＭ３０ｃに書き込む必要がある。従って、
サブＣＰＵ２７の負荷が増大しているときに、メインＣ
ＰＵ２６の異常が発生した場合には、その異常判断やス
タンバイＲＡＭ３０ｃの書き込みが遅れて、異常判定フ
ラグＸＦＡＩＬが「０」のまま、リセット処理が行われ
ているしまうことが懸念される。

【００７１】ここで、サブＣＰＵ２７による異常判断及
びスタンバイＲＡＭ３０ｃへの異常判定フラグＸＦＡＩ
Ｌの書き込みを確実に行うために、ウオッチドッグ回路
２８からサブＣＰＵ２７に対してリセット信号ＲＳＰが
出力されるタイミングを適宜遅らせることも可能であ
る。しかしながら、このようにメインＣＰＵ２６に異常
が発生しているのにも関わらず、リセット処理を遅らせ
ることは好ましい方法ではない。

【００７２】この点、位置判定フラグＸＩＧＯＮに関し
ては、上記のような場合にスタンバイＲＡＭ３０ｃへの
書込処理（図４のステップ１１４）が仮に実行されない
ままリセット処理が開始された場合であっても、同フラ
グＸＩＧＯＮは正常に書込処理が実行された場合と同
様、「１」に設定されており、誤判断のおそれがない。
従って、本実施形態によれば、上記のような場合であっ
ても、位置判定フラグＸＩＧＯＮに基づいてリセット処
理の前にメインＣＰＵ２６に異常が発生していたと判断
することができ、リセット処理後にフェールセーフ制御
を行うことができる。

【００７３】尚、上記各実施形態は以下のように構成を
変更して実施することもできる。このように構成を変更
しても各実施形態と略同等の作用効果を奏することがで
きる。

【００７４】・上記各実施形態では、メインＣＰＵ２６
からサブＣＰＵ２７に入力されるウオッチドッグ信号Ｗ
ＤＰに基づいてメインＣＰＵ２６の異常を判定するよう
にした。これに対して、メインＣＰＵ２６とサブＣＰＵ
２７とはＤＭＡによる相互通信を行っていることから、
この通信の状態をサブＣＰＵ２７により監視し、所定時
間以上、メインＣＰＵ２６からサブＣＰＵ２７に対して
送信信号が入力されない場合に、メインＣＰＵ２６に異
常が発生したと判断するようにしてもよい。

【００７５】・上記各実施形態では、異常判定フラグＸ
ＦＡＩＬ及び位置判定フラグＸＩＧＯＮの双方を用いて
メインＣＰＵ２６の異常を判断するようにした。これに
対して、異常判定フラグＸＦＡＩＬ或いは位置判定フラ
グＸＩＧＯＮのいずれか一方に基づいて、メインＣＰＵ
２６の異常を判定するようにしてもよい。

【００７６】・上記各実施形態では、サブＣＰＵ２７に
よりイグニッションスイッチ２４の位置判定を行うとと
もに、その内容をスタンバイＲＡＭ３０ｃに書き込み、
メインＣＰＵ２６の異常を判断するようにしたが、メイ
ンＣＰＵ２６によりイグニッションスイッチ２４の位置
判定を行うとともに、その内容をスタンバイＲＡＭ２９
ｃに書き込むようにしてもよい。

【００７７】・上記各実施形態では、メインＣＰＵ２６
により主にエンジン制御、サブＣＰＵ２７によりトラン
スミッション制御及びスロットル制御を実行するように
したが、これら各ＣＰＵ２６，２７は、これら制御を行
うものにに限定されず、その他の各種制御を実行するも
のであってもよい。

【００７８】・上記各実施形態において、ＥＣＵ１２
は、メインＣＰＵ２６及びサブＣＰＵ２７の二つの中央
処理装置を備えたものであったが、同ＥＣＵ１２は３つ
以上の中央処理装置を備えた構成であってもよい。

【００７９】・上記実施形態において、ＥＣＵ１２はメ
インＣＰＵ２６及びサブＣＰＵ２７にそれぞれ対応して
メモり２９，３０を有しているが、同ＥＣＵ１２は各Ｃ
ＰＵ２６，２７に対して１つのメモリを共有化した構成
であってもよい。

【００８０】・上記各実施形態では、フェールセーフ制
御として、スロットルバルブとモータとの連結を遮断す
るとともに、モータを停止させるようにしたが、同制御
として、例えば、スロットル開度を通常の開度よりも強
制的に減少させたり、或いは、燃料噴射量を減量したり
するようにしてもよい。

【００８１】

【発明の効果】請求項１又は２に記載した発明では、リ
セット処理前に、主中央処理装置の異常を判断するため
の情報がメモリに記憶される。このメモリは、リセット
処理が実行されても記憶内容を保持しているため、リセ
ット処理後であっても、このメモリに記憶された情報に
基づいて、リセット処理前に主中央処理装置に異常が発
生していたことが判断できる。その結果、主中央処理装
置に異常が発生して、同主中央処理装置及び副中央処理
装置の双方に対してリセット処理が実行されても、車輌
のイグニッションスイッチがオフ状態となるまで車輌の
制御モードを異常時対応モードのまま保持することがで
きる。

【００８２】特に、請求項１に記載した発明によれば、
主中央処理装置に異常が発生した場合に、その異常を異
常発生時からリセット処理が実行されるまでの比較的短
時間の間に判断する必要がないため、主中央処理装置に
異常に関して誤判断してしまうことを未然に防止するこ
とができる。

【００８３】更に、請求項２に記載した発明では、メモ
リに、イグニッションスイッチのオン・オフ状態がオン
状態として記憶されており、且つ、主中央処理装置に異
常が発生した旨の情報が記憶されている場合にのみ、車
輌の制御モードを異常時対応モードに保持するようにし
ている。従って、主中央処理装置に異常が発生していた
ことを確実に判断することができるようになり、例え
ば、ノイズ等の影響により偶発的にリセット処理が行わ
れたような場合に、誤って車輌の制御モードが異常時対
応モードに保持されてしまうことを防止することがで
き、主中央処理装置に異常が発生した後にのみ、車輌の
制御モードを異常時対応モードに保持することができ
る。

【図面の簡単な説明】

【図１】第１の実施形態におけるエンジン及びＥＣＵの
構成を示す概略構成図。

【図２】ウオッチドッグ信号の変化を示すタイムチャー
ト。

【図３】第１の実施形態における異常処理手順を示すフ
ローチャート。

【図４】第１の実施形態における異常検出手順を示すフ
ローチャート。

【図５】第２の実施形態における異常処理手順を示すフ
ローチャート。

【符号の説明】

１２…ＥＣＵ、２４…イグニッションスイッチ、２６…
メインＣＰＵ、２７…サブＣＰＵ、３０ｃ…スタンバイ
ＲＡＭ。

フロントページの続き (56)参考文献 特開 平８−303287（ＪＰ，Ａ) 特開 平２−187856（ＪＰ，Ａ) 特開 平４−69744（ＪＰ，Ａ) 特開 昭58−12004（ＪＰ，Ａ) 特開 昭58−14204（ＪＰ，Ａ) 特開 平９−63285（ＪＰ，Ａ) 特開 平９−91171（ＪＰ，Ａ) 特開 平９−140005（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) B60R 16/02 G06F 1/00 G06F 11/00 G06F 15/16

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 少なくとも主中央処理装置と副中央処理
   装置とを備え、前記主中央処理装置の異常が検出された
   場合に、車輌の制御モードを異常時対応モードに変更す
   るとともに、前記主中央処理装置及び副中央処理装置に
   対してリセット処理を実行するようにした車輌制御用コ
   ンピュータの異常処理方法であって、 前記リセット処理前に前記主中央処理装置の異常を判断
   するための情報を同リセット処理が実行されても記憶内
   容が保持されるメモリに記憶するにあたって、前記主中
   央処理装置或いは前記副中央処理装置により、前記イグ
   ニッションスイッチのオン・オフ状態を前記情報として
   前記メモリに記憶し、 前記リセット処理後に前記メモリに前記イグニッション
   スイッチのオン・オフ状態がオン状態として記憶されて
   いる場合には前記車輌のイグニッションスイッチがオフ
   状態となるまで車輌の制御モードを異常時対応モードの
   まま保持することを特徴とする車輌制御用コンピュータ
   の異常処理方法。
2. 【請求項２】 少なくとも主中央処理装置と副中央処理
   装置とを備え、前記主中央処理装置の異常が検出された
   場合に、車輌の制御モードを異常時対応モードに変更す
   るとともに、前記主中央処理装置及び副中央処理装置に
   対してリセット処理を実行するようにした車輌制御用コ
   ンピュータの異常処理方法であって、 前記リセット処理前に前記主中央処理装置の異常を判断
   するための情報を同リセット処理が実行されても記憶内
   容が保持されるメモリに記憶するにあたって、前記主中
   央処理装置或いは前記副中央処理装置により、前記イグ
   ニッションスイッチのオン・オフ状態を前記情報として
   前記メモリに記憶する一方、前記副中央処理装置によ
   り、前記主中央処理装置の異常を同主中央処理装置から
   入力される信号に基づいて判断するとともにその判断結
   果を前記情報として前記メモリに記憶し、 前記リセット処理後に、前記メモリに前記イグニッショ
   ンスイッチのオン・オフ状態がオン状態として記憶され
   ており、且つ、前記メモリに前記主中央処理装置に異常
   が発生した旨の情報が記憶されている場合には前記車輌
   のイグニッションスイッチがオフ状態となるまで前記車
   輌の制御モードを前記異常時対応モードのまま保持する
   ことを特徴とする車輌制御用コンピュータの異常処理方
   法。