JP3915411B2

JP3915411B2 - Electronic control device for vehicle

Info

Publication number: JP3915411B2
Application number: JP2001032625A
Authority: JP
Inventors: 浩生國部
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2001-02-08
Filing date: 2001-02-08
Publication date: 2007-05-16
Anticipated expiration: 2021-02-08
Also published as: JP2002236503A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のＣＰＵを具備する車両用電子制御装置に関する。
【０００２】
【従来の技術】
複数のＣＰＵで構成された車両用電子制御装置において、自動車の運転終了時に所定の終了処理を実施し、その終了処理でＲＡＭの故障診断を実施したり、故障診断情報等を不揮発性メモリに格納したりするものがある。この場合、装置全体の電源オフを制御するメインＣＰＵは、自身とサブＣＰＵとの双方でこれらの終了処理が完了したことを確認する必要がある。そのため、従来装置では、専用ポートやシリアル通信を用い、サブＣＰＵの終了処理の完了をメインＣＰＵに通知していた。
【０００３】
上記従来技術において専用ポートを使用する場合の構成を図６に示す。また、図６の構成を用いた場合における電源オフ動作を図７に示す。図６では、メインＣＰＵ３０とサブＣＰＵ４０とが設けられ、各ＣＰＵ３０，４０は互いの専用ポートを介して接続されている。この場合、電源遮断時には、サブＣＰＵ４０は専用ポートを介してメインＣＰＵ３０に終了処理の完了（電源遮断しても良い旨）を通知する。
【０００４】
より具体的には、図７に示すように、イグニッションスイッチのＯＦＦ後に冷却ファンの制御や電子スロットルの故障診断等々のアフターラン制御が各ＣＰＵ３０，４０で実施され（ｔ２１〜ｔ２２）、それに引き続き、各ＣＰＵ３０，４０では、ＲＡＭ故障診断や不揮発性メモリへのデータ格納などの終了処理が実施される。そして、サブＣＰＵ４０の終了処理が完了する時刻ｔ２３では、その旨が専用ポートを介してメインＣＰＵ３０に通知される。この場合、メインＣＰＵ３０では、所定周期でサブＣＰＵ４０の専用ポートレベルをモニタ（ポーリング）しており、時刻ｔ２４では、メインＣＰＵ３０により電源リレー制御端子が操作されて電源が遮断（ＯＦＦ）される。
【０００５】
しかしながら上記構成は、各ＣＰＵ３０，４０においてポートの数に余裕がないと専用ポートを設けることができず適用できない。また、図６に示すように本来未使用のポート（空き端子）を使用する場合には、位相保証用抵抗Ｒ１を付加しなくてはならない分、コストアップを招くという問題がある。
【０００６】
次に、シリアル通信を用いる場合の構成を図８に示す。また、図８の構成を用いた場合における電源オフ動作を図９に示す。図８では、メインＣＰＵ３０とサブＣＰＵ４０とがシリアル通信ポートを介して相互に通信可能に接続されている。
【０００７】
この場合、図９に示すように、イグニッションスイッチのＯＦＦ後にアフターラン制御、各ＣＰＵ３０，４０での終了処理が順次実施される（ｔ３１以降）。またこのとき、時刻ｔ３２では、それまで実施されていた割り込み処理によるシリアル通信が停止される。その後、サブＣＰＵ４０の終了処理が完了する時刻ｔ３３では、シリアル通信が一時的に許可され、メインＣＰＵ３０は、サブＣＰＵ４０での終了処理完了を表すデータを当該サブＣＰＵ４０より受信する。そして、時刻ｔ３４では、メインＣＰＵ３０により電源リレー制御端子が操作されて電源が遮断（ＯＦＦ）される。
【０００８】
しかしながら上記構成では、図１０に示すように、通常動作時の時刻ｔ４１においてノイズ等に起因してサブＣＰＵ４０が誤って終了処理に突入した場合に、以下の不都合を生じる。すなわち、時刻ｔ４１では、シリアル通信が一時的に停止され、ＲＡＭ故障診断が実施される。この場合、一般にＲＡＭ故障診断では、制御用ＲＡＭにテストデータが書き込まれ、その書き込まれたデータ（ＲＡＭ値）と本来のテストデータとが照合されて故障診断が行われる。従って、ＲＡＭ故障診断後には、制御データとは異なるデータ（テストデータ）がＲＡＭに記憶され、そのデータがサブＣＰＵ４０がリセットされるまで残ることとなる。それ故に、時刻ｔ４２でシリアル通信が再開されると、メインＣＰＵ３０ではＲＡＭ故障診断で書き換えられたデータをサブＣＰＵ４０より受信し、その誤ったデータを用いることで制御性が悪化するという問題が生じる。
【０００９】
【発明が解決しようとする課題】
本発明は、上記問題に着目してなされたものであって、その目的とするところは、構成の簡素化を図りつつ、電源遮断時におけるＣＰＵの終了確認を適正に実施することができる車両用電子制御装置を提供することである。
【００１０】
【課題を解決するための手段】
請求項１に記載の発明では、メインＣＰＵは、周期的にオン／オフするウオッチドッグ出力をサブＣＰＵから取り込み、そのウオッチドッグ出力によりサブＣＰＵの動作を監視する。また、各ＣＰＵはそれぞれ、電源遮断直前に所定の終了処理を実施する。特にメインＣＰＵは、電源遮断の指令に伴い終了処理を実施し、該終了処理が完了した後に前記ウオッチドッグ出力に基づきサブＣＰＵの終了処理が完了したかどうかを判断し、サブＣＰＵの終了処理が完了したと判断した後に電源を遮断する。本発明によれば、マルチＣＰＵシステムにおいて一般に具備されるウオッチドッグ機能を用い、各ＣＰＵでの終了処理完了を確認するので、終了処理完了を確認するための別のハード構成（例えば、従来技術の専用ポート等）を要することはない。かかる場合、構成の簡素化を図りつつ、電源遮断時におけるＣＰＵの終了確認を適正に実施することができる。
【００１１】
また、請求項２に記載したように、各ＣＰＵにおいて、前記終了処理の実施期間にシリアル通信を禁止し、該終了処理としてＲＡＭにテストデータを書き込んでそのデータを照合するＲＡＭ故障診断を実施する場合、運転途中でサブＣＰＵが誤って終了処理に突入すると、メインＣＰＵでの制御性が悪化するが、本発明によればその不都合が回避できる。つまり、サブＣＰＵが誤って終了処理に突入した場合、終了処理が完了した時点で該サブＣＰＵからのウオッチドッグ出力が停止される。そして、ウオッチドッグ出力の停止に伴い当該サブＣＰＵがリセットされる。なおこれは、ウオッチドッグ機能として周知事項である。従って、終了処理に際してＲＡＭにテストデータが書き込まれたとしても、そのテストデータがメインＣＰＵに送信されて制御に使用されることはない。故に、制御性の低下が防止できる。
【００１２】
また、請求項３に記載の発明では、メインＣＰＵは、サブＣＰＵからのウオッチドッグ出力のエッジの有無を判別し、エッジ無しとなった時点でサブＣＰＵの終了処理が完了したと判断する。これにより、サブＣＰＵでの終了処理完了を正確に且つ簡易的に判断できる。
【００１３】
【発明の実施の形態】
以下、この発明を具体化した一実施の形態を図面に従って説明する。
図１は、車両用電子制御装置においてＣＰＵ間通信にかかる構成を示す図面である。図１において、メインＣＰＵ１０及びサブＣＰＵ２０は、ＲＡＭ、不揮発性メモリ（ＥＥＰＲＯＭ）等を備える周知の論理演算回路であり、例えば、メインＣＰＵ１０は、燃料噴射や点火等の制御を実施するためのエンジン制御用ＣＰＵ、サブＣＰＵ２０は、スロットルアクチュエータを電子制御するためのスロットル制御用ＣＰＵとして各々設けられている。なおメインＣＰＵ１０には、本電子制御装置の電源を制御する電源管理機能が付与されている。
【００１４】
サブＣＰＵ２０は、周期的にＯＮ／ＯＦＦを繰り返すウオッチドッグ信号を出力し、メインＣＰＵ１０では、サブＣＰＵ２０からのウオッチドッグ出力をモニタする。これは、複数のＣＰＵからなるマルチＣＰＵシステムでは一般的に用いられる構成であり、このウオッチドッグ出力をモニタすることによりサブＣＰＵ２０の暴走が監視される。そして、ウオッチドッグ出力に基づきサブＣＰＵ２０が暴走したとみなされると、メインＣＰＵ１０は、サブＣＰＵ２０に対してリセット信号を出力する。
【００１５】
次に、本実施の形態における電源オフ動作について図２を用いて説明する。図２において、時刻ｔ１では、イグニッションスイッチがＯＮからＯＦＦに操作され、それ以降アフターラン制御が開始される。このとき、アフターラン制御の一例として、メインＣＰＵ１０では冷却ファンの制御が行われ、サブＣＰＵ２０では電子スロットルの故障診断が実施される。その後、各ＣＰＵ１０，２０でのアフターラン制御が共に完了する時刻ｔ２では、それに引き続き各ＣＰＵ１０，２０の終了処理が開始される。またこのとき、それまで実施されていたシリアル通信が停止される。この終了処理では、ＲＡＭ故障診断や不揮発性メモリへのデータ格納等が実施される。
【００１６】
メインＣＰＵ１０では、サブＣＰＵ２０よりウオッチドッグ出力が常時取り込まれるが、そのウオッチドッグ出力はサブＣＰＵ２０の終了処理が完了した時点で停止される（時刻ｔ３）。
【００１７】
また、メインＣＰＵ１０では、自身の終了処理が完了した後、一定周期にてサブＣＰＵ２０からのウオッチドッグ出力のエッジ入力の有無が確認される。このエッジ入力が有る場合は、サブＣＰＵ２０の終了処理は完了していないと判断され、エッジ入力が検出されなくなるまで電源ＯＮとしたまま待機される。そして、エッジ入力がなくなると電源リレー制御端子がＯＦＦされ、電源が遮断される（時刻ｔ４）。
【００１８】
ここで、サブＣＰＵ２０が誤って終了処理に突入した場合の動作を図３に示す。この場合、時刻ｔ１１でサブＣＰＵ２０の終了処理が開始されると、ＣＰＵ間のシリアル通信が停止される。その後、時刻ｔ１２ではサブＣＰＵ２０の終了処理が完了し、それに伴いウオッチドッグ出力が停止される。また、時刻ｔ１３では、ウオッチドッグ出力の停止に伴いサブＣＰＵ２０が異常であると判断され、メインＣＰＵ１０によりサブＣＰＵ２０がリセットされる（周知のウオッチドッグ機能）。サブＣＰＵ２０のリセット後には当該サブＣＰＵ２０が初期化され、時刻ｔ１４でシリアル通信が再開される。
【００１９】
図３の場合、サブＣＰＵ２０の終了処理（ｔ１１〜ｔ１２）においてＲＡＭ故障診断が実施され、ＲＡＭ値がテストデータに書き換えられたとしても、その後のサブＣＰＵ２０のリセット及び初期化処理が完了するまではシリアル通信が停止される。そして、初期化処理（ＲＡＭの初期化）が完了した時点でシリアル通信が再開される。従って、メインＣＰＵ１０がサブＣＰＵ２０よりテストデータを受信し、そのテストデータにより制御が実施されるといった不都合は生じない。
【００２０】
次に、各ＣＰＵ１０，２０による電源制御処理を図４及び図５を用いて説明する。ここで、図４は、サブＣＰＵ２０による電源制御処理を示すフローチャート、図５は、メインＣＰＵ１０による電源制御処理を示すフローチャートである。なお、メインＣＰＵ１０は、イグニッションＯＦＦ時のアフターラン制御が各ＣＰＵ１０，２０で完了したことを受けて図５の処理を起動する。また、サブＣＰＵ２０は、メインＣＰＵ１０からの指示に従い図４の処理を起動する。
【００２１】
さて図４において、サブＣＰＵ２０は、先ずステップ１０１でＲＡＭ故障診断等の終了処理を実施する。そして、その終了処理が完了するとステップ１０２に進み、ウオッチドッグ出力を停止して無限ループに入る。
【００２２】
一方、図５において、メインＣＰＵ１０は、先ずステップ２０１でＲＡＭ故障診断等の終了処理を実施する。そして、その終了処理が完了するとステップ２０２に進み、サブＣＰＵ２０の終了処理完了待ち状態に入る。すなわち、ステップ２０２では、サブＣＰＵ２０からのウオッチドッグ出力のエッジ有無を所定の時間間隔で判別する。なおこの時間間隔は、ウオッチドッグ出力周期に合わせたものであれば良い。そして、ウオッチドッグ出力のエッジが有れば、そのままステップ２０２で待ち、ウオッチドッグ出力のエッジが無ければステップ２０３に進み、電源リレー制御端子をＯＦＦする。
【００２３】
以上詳述した本実施の形態によれば、以下に示す効果が得られる。
マルチＣＰＵシステムにおいて一般に具備されるウオッチドッグ機能を用い、各ＣＰＵ１０，２０での終了処理完了を確認するので、終了処理完了を確認するための別のハード構成（例えば、従来技術の専用ポート等）を要することはない。従って、構成の簡素化を図りつつ、電源遮断時におけるＣＰＵの終了確認を適正に実施することができる。またこの場合、実質上のコストダウンが可能となる。
【００２４】
また、運転途中でサブＣＰＵ２０が誤って終了処理に突入しても、終了処理の完了時にウオッチドッグ出力の停止に伴い当該サブＣＰＵ２０がリセットされ、その後ＲＡＭが初期化される。従って、終了処理に際してＲＡＭに書き込まれたテストデータがメインＣＰＵ１０に送信されて制御に使用されるといった不都合は生じない。故に、制御性の低下が防止できる。
【００２５】
なお、上記実施の形態では、一例としてメインＣＰＵでエンジン制御を実施し、サブＣＰＵでスロットル制御を実施したが、勿論これ以外の構成であっても良い。要は、ウオッチドッグ出力を用いて監視対象となるサブＣＰＵとメインＣＰＵとの関係を有するマルチＣＰＵシステムにおいて本発明が任意に適用できる。
【図面の簡単な説明】
【図１】発明の実施の形態における車両用電子制御装置の概要を示す構成図。
【図２】電源遮断時の動作を示すタイムチャート。
【図３】終了処理が誤って実施される場合の動作を示すタイムチャート。
【図４】サブＣＰＵの電源制御処理を示すフローチャート。
【図５】メインＣＰＵの電源制御処理を示すフローチャート。
【図６】従来技術における車両用電子制御装置を示す構成図。
【図７】電源遮断時における動作を示すタイムチャート。
【図８】従来技術における車両用電子制御装置を示す構成図。
【図９】電源遮断時における動作を示すタイムチャート。
【図１０】終了処理が誤って実施される場合の動作を示すタイムチャート。
【符号の説明】
１０…メインＣＰＵ、２０…サブＣＰＵ。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a vehicle electronic control device including a plurality of CPUs.
[0002]
[Prior art]
In a vehicular electronic control unit composed of a plurality of CPUs, a predetermined end process is performed at the end of driving of a car, and a failure diagnosis of RAM is performed by the end process, or failure diagnosis information is stored in a nonvolatile memory. There is something to do. In this case, the main CPU that controls the power-off of the entire apparatus needs to confirm that the end processing has been completed by both itself and the sub CPU. Therefore, in the conventional apparatus, the completion of the sub CPU termination process is notified to the main CPU using a dedicated port or serial communication.
[0003]
FIG. 6 shows a configuration in the case where a dedicated port is used in the above prior art. FIG. 7 shows the power-off operation when the configuration of FIG. 6 is used. In FIG. 6, a main CPU 30 and a sub CPU 40 are provided, and the CPUs 30 and 40 are connected to each other through dedicated ports. In this case, when the power is shut off, the sub CPU 40 notifies the main CPU 30 of the completion of the termination process (that power can be shut off) via the dedicated port.
[0004]
More specifically, as shown in FIG. 7, after the ignition switch is turned off, after-run control such as cooling fan control and electronic throttle failure diagnosis is performed by each of the CPUs 30 and 40 (t21 to t22). In each of the CPUs 30 and 40, termination processing such as RAM failure diagnosis and data storage in a nonvolatile memory is performed. Then, at the time t23 when the termination process of the sub CPU 40 is completed, this is notified to the main CPU 30 via the dedicated port. In this case, the main CPU 30 monitors (polls) the dedicated port level of the sub CPU 40 at a predetermined cycle, and at time t24, the main CPU 30 operates the power relay control terminal to shut off (OFF) the power.
[0005]
However, the above-described configuration cannot be applied because a dedicated port cannot be provided unless there is a sufficient number of ports in each of the CPUs 30 and 40. Further, as shown in FIG. 6, when an originally unused port (empty terminal) is used, there is a problem that the cost is increased because the phase assurance resistor R1 must be added.
[0006]
Next, FIG. 8 shows a configuration when serial communication is used. FIG. 9 shows the power-off operation when the configuration of FIG. 8 is used. In FIG. 8, the main CPU 30 and the sub CPU 40 are connected via a serial communication port so that they can communicate with each other.
[0007]
In this case, as shown in FIG. 9, after the ignition switch is turned off, after-run control and end processing in each of the CPUs 30 and 40 are sequentially performed (after t31). At this time, at time t32, the serial communication by the interrupt processing that has been performed so far is stopped. Thereafter, at time t33 when the termination process of the sub CPU 40 is completed, serial communication is temporarily permitted, and the main CPU 30 receives data indicating completion of the termination process in the sub CPU 40 from the sub CPU 40. At time t34, the power relay control terminal is operated by the main CPU 30 and the power is shut off (OFF).
[0008]
However, with the above configuration, as shown in FIG. 10, the following inconvenience occurs when the sub CPU 40 erroneously enters the termination process due to noise or the like at time t41 during normal operation. That is, at time t41, the serial communication is temporarily stopped and the RAM failure diagnosis is performed. In this case, generally, in RAM failure diagnosis, test data is written in the control RAM, and the written data (RAM value) is compared with the original test data to perform failure diagnosis. Therefore, after RAM failure diagnosis, data (test data) different from the control data is stored in the RAM, and the data remains until the sub CPU 40 is reset. Therefore, when the serial communication is resumed at time t42, the main CPU 30 receives the data rewritten by the RAM failure diagnosis from the sub CPU 40, and there arises a problem that the controllability is deteriorated by using the erroneous data.
[0009]
[Problems to be solved by the invention]
The present invention has been made paying attention to the above problems, and the object of the present invention is for a vehicle capable of appropriately checking the termination of the CPU at the time of power-off while simplifying the configuration. An electronic control device is provided.
[0010]
[Means for Solving the Problems]
In the first aspect of the present invention, the main CPU takes in a watchdog output that is periodically turned on / off from the sub CPU, and monitors the operation of the sub CPU based on the watch dog output. In addition, each CPU performs a predetermined end process immediately before power-off. Especially main CPU implemented termination process with the command of the power-off, it is determined whether the termination processing of the sub CPU based on the watchdog output after the end processing is completed is completed, the end of the sub-CPU cuts off the power after it is determined that the processing has been completed. According to the present invention, a watchdog function generally provided in a multi-CPU system is used to confirm completion of termination processing in each CPU, so that another hardware configuration for confirming completion of termination processing (for example, conventional technology) There is no need for dedicated ports. In such a case, it is possible to appropriately check the termination of the CPU at the time of power-off while simplifying the configuration.
[0011]
In addition, as described in claim 2, in each CPU, serial communication is prohibited during the execution period of the termination process, and as the termination process, RAM failure diagnosis is performed in which test data is written into the RAM and the data is collated. In this case, if the sub CPU erroneously enters the end process during the operation, the controllability of the main CPU deteriorates, but the inconvenience can be avoided according to the present invention. That is, when the sub CPU enters the end process by mistake, the watchdog output from the sub CPU is stopped when the end process is completed. Then, the sub CPU is reset as the watchdog output stops. This is a well-known matter as a watchdog function. Therefore, even if test data is written in the RAM during the termination process, the test data is not transmitted to the main CPU and used for control. Therefore, it is possible to prevent a decrease in controllability.
[0012]
According to the third aspect of the present invention, the main CPU determines the presence or absence of the edge of the watchdog output from the sub CPU, and determines that the termination processing of the sub CPU is completed when no edge is detected. As a result, it is possible to accurately and simply determine the completion of the end process in the sub CPU.
[0013]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, an embodiment of the present invention will be described with reference to the drawings.
FIG. 1 is a diagram showing a configuration related to communication between CPUs in a vehicle electronic control device. In FIG. 1, a main CPU 10 and a sub CPU 20 are well-known logical operation circuits including a RAM, a nonvolatile memory (EEPROM), and the like. For example, the main CPU 10 performs engine control for performing control such as fuel injection and ignition. The CPU and the sub CPU 20 are provided as throttle control CPUs for electronically controlling the throttle actuator. The main CPU 10 is provided with a power management function for controlling the power of the electronic control device.
[0014]
The sub CPU 20 outputs a watch dog signal that periodically repeats ON / OFF, and the main CPU 10 monitors the watch dog output from the sub CPU 20. This is a configuration generally used in a multi-CPU system including a plurality of CPUs, and the runaway of the sub CPU 20 is monitored by monitoring the watchdog output. When the sub CPU 20 is deemed to have runaway based on the watchdog output, the main CPU 10 outputs a reset signal to the sub CPU 20.
[0015]
Next, the power-off operation in this embodiment will be described with reference to FIG. In FIG. 2, at time t1, the ignition switch is operated from ON to OFF, and thereafter after-run control is started. At this time, as an example of after-run control, the main CPU 10 controls the cooling fan, and the sub CPU 20 performs failure diagnosis of the electronic throttle. Thereafter, at the time t2 when the after-run control in each of the CPUs 10 and 20 is completed, the end processing of each of the CPUs 10 and 20 is started subsequently. At this time, the serial communication that has been performed is stopped. In this termination process, RAM failure diagnosis, data storage in a nonvolatile memory, and the like are performed.
[0016]
In the main CPU 10, the watchdog output is constantly taken in from the sub CPU 20, but the watch dog output is stopped when the termination processing of the sub CPU 20 is completed (time t3).
[0017]
In addition, the main CPU 10 confirms whether or not there is an edge input of the watchdog output from the sub CPU 20 at regular intervals after the end processing of itself is completed. If there is an edge input, it is determined that the termination processing of the sub CPU 20 has not been completed, and the apparatus is on standby with the power turned on until no edge input is detected. When there is no edge input, the power relay control terminal is turned off and the power is shut off (time t4).
[0018]
Here, FIG. 3 shows an operation performed when the sub CPU 20 erroneously enters the termination process. In this case, when the termination process of the sub CPU 20 is started at time t11, the serial communication between the CPUs is stopped. Thereafter, at time t12, the termination process of the sub CPU 20 is completed, and the watchdog output is stopped accordingly. At time t13, it is determined that the sub CPU 20 is abnormal as the watch dog output is stopped, and the main CPU 10 resets the sub CPU 20 (a well-known watch dog function). After the sub CPU 20 is reset, the sub CPU 20 is initialized, and serial communication is resumed at time t14.
[0019]
In the case of FIG. 3, even if the RAM failure diagnosis is performed in the termination process (t11 to t12) of the sub CPU 20 and the RAM value is rewritten to the test data, the subsequent reset and initialization processes of the sub CPU 20 are completed. Serial communication is stopped. The serial communication is resumed when the initialization process (RAM initialization) is completed. Accordingly, there is no inconvenience that the main CPU 10 receives the test data from the sub CPU 20 and the control is performed based on the test data.
[0020]
Next, power control processing by the CPUs 10 and 20 will be described with reference to FIGS. 4 is a flowchart showing the power control process by the sub CPU 20, and FIG. 5 is a flowchart showing the power control process by the main CPU 10. As shown in FIG. The main CPU 10 starts the processing of FIG. 5 in response to the completion of the after-run control at the time of ignition OFF in each of the CPUs 10 and 20. Further, the sub CPU 20 activates the process of FIG. 4 in accordance with an instruction from the main CPU 10.
[0021]
In FIG. 4, the sub CPU 20 first executes an end process such as a RAM failure diagnosis in step 101. When the termination process is completed, the process proceeds to step 102, the watchdog output is stopped, and an infinite loop is entered.
[0022]
On the other hand, in FIG. 5, the main CPU 10 first executes an end process such as a RAM failure diagnosis in step 201. Then, when the end process is completed, the process proceeds to step 202, and the sub CPU 20 enters an end process completion waiting state. That is, in step 202, the presence / absence of an edge of the watchdog output from the sub CPU 20 is determined at predetermined time intervals. This time interval may be any time interval that matches the watchdog output cycle. If there is an edge of the watchdog output, the process waits in step 202 as it is. If there is no edge of the watchdog output, the process proceeds to step 203, and the power relay control terminal is turned off.
[0023]
According to the embodiment described in detail above, the following effects can be obtained.
Since a watchdog function generally provided in a multi-CPU system is used to confirm completion of termination processing in each of the CPUs 10 and 20, another hardware configuration for confirming completion of termination processing (for example, a dedicated port of the prior art) Is not required. Therefore, it is possible to appropriately check the termination of the CPU when the power is shut off while simplifying the configuration. In this case, the cost can be substantially reduced.
[0024]
Even if the sub CPU 20 enters the end process by mistake during the operation, the sub CPU 20 is reset along with the stop of the watchdog output when the end process is completed, and then the RAM is initialized. Therefore, there is no inconvenience that the test data written in the RAM is transmitted to the main CPU 10 and used for control in the end process. Therefore, it is possible to prevent a decrease in controllability.
[0025]
In the above embodiment, the engine control is performed by the main CPU and the throttle control is performed by the sub CPU as an example, but other configurations may of course be used. In short, the present invention can be arbitrarily applied to a multi CPU system having a relationship between a sub CPU to be monitored and a main CPU using a watch dog output.
[Brief description of the drawings]
FIG. 1 is a configuration diagram showing an outline of a vehicle electronic control device according to an embodiment of the invention.
FIG. 2 is a time chart showing an operation at power-off.
FIG. 3 is a time chart showing an operation when an end process is erroneously performed.
FIG. 4 is a flowchart showing power control processing of a sub CPU.
FIG. 5 is a flowchart showing power control processing of the main CPU.
FIG. 6 is a configuration diagram showing a vehicular electronic control device in the prior art.
FIG. 7 is a time chart showing the operation when the power is shut off.
FIG. 8 is a configuration diagram showing a vehicular electronic control device in the prior art.
FIG. 9 is a time chart showing the operation when the power is shut off.
FIG. 10 is a time chart showing an operation when the end process is erroneously performed.
[Explanation of symbols]
10 ... main CPU, 20 ... sub CPU.

Claims

装置全体の電源管理機能を担うメインＣＰＵとそれ以外のサブＣＰＵとを具備し、これら各ＣＰＵはそれぞれ、電源遮断直前に所定の終了処理を実施する一方、メインＣＰＵは周期的にオン／オフするウオッチドッグ出力をサブＣＰＵから取り込み、そのウオッチドッグ出力によりサブＣＰＵの動作を監視する車両用電子制御装置において、
メインＣＰＵは、電源遮断の指令に伴い終了処理を実施し、該終了処理が完了した後に前記ウオッチドッグ出力に基づきサブＣＰＵの終了処理が完了したかどうかを判断する手段と、サブＣＰＵの終了処理が完了したと判断した後に電源を遮断する手段と、を備えることを特徴とする車両用電子制御装置。A main CPU responsible for the power management function of the entire apparatus and other sub CPUs are provided, and each of these CPUs performs a predetermined termination process immediately before power-off, while the main CPU is periodically turned on / off. In the vehicle electronic control device that takes in the watchdog output from the sub CPU and monitors the operation of the sub CPU by the watchdog output.
The main CPU is performed a termination process with the command of the power-off, and means for determining whether an exit process of the sub CPU based on the watchdog output after the end processing is completed is completed, the sub CPU end processing vehicle electronic control device, characterized in that it comprises, means for cutting off the power after it is determined that has been completed.

メインＣＰＵとサブＣＰＵとの間でシリアル通信が行われる車両用電子制御装置において、
前記各ＣＰＵは、前記終了処理の実施期間にシリアル通信を禁止し、該終了処理として、一時記憶メモリであるＲＡＭにテストデータを書き込んでそのデータを照合するＲＡＭ故障診断を実施する請求項１に記載の車両用電子制御装置。In the vehicle electronic control device in which serial communication is performed between the main CPU and the sub CPU,
2. The CPU according to claim 1, wherein each CPU prohibits serial communication during the execution period of the termination process, and performs RAM failure diagnosis in which test data is written in a RAM that is a temporary storage memory and the data is collated as the termination process. The electronic control apparatus for vehicles as described.

メインＣＰＵは、サブＣＰＵからのウオッチドッグ出力のエッジの有無を判別し、エッジ無しとなった時点でサブＣＰＵの終了処理が完了したと判断する請求項１又は２に記載の車両用電子制御装置。The vehicular electronic control device according to claim 1 or 2, wherein the main CPU determines the presence or absence of an edge of the watchdog output from the sub CPU, and determines that the sub CPU termination processing is completed when no edge is present. .