JP5683191B2 - 監視装置、及び電子制御システム - Google Patents

Description

本発明は、負荷を制御する制御処理装置の状態を監視する監視装置、及び該監視装置と制御処理装置とを有した電子制御システムに関する。

従来、負荷（例えば、モータ）を制御する制御処理装置と、その制御処理装置の状態を監視した結果、異常が生じていれば、制御処理装置の動作を禁止する監視装置とを備えた電子制御システムが知られている（例えば、特許文献１参照）。この種の電子制御システムでは、監視装置と制御処理装置との間で実行した情報通信に基づいて、制御処理装置の状態、即ち、制御処理装置における異常の有無を監視する。

具体的には、制御処理装置は、監視装置からの宿題番号を取得する毎に、その取得した宿題番号に対応する演算を実行し、その演算を実行した結果を表す情報である回答番号を出力する。

一方、監視装置は、制御処理装置からの回答番号が、当該監視装置からの宿題番号に対応する正しい回答（即ち、正答）であれば、予め規定された順序に沿って更新した新たな宿題番号を制御処理装置へと出力し、回答番号が誤答であれば、宿題番号を維持して同一の宿題番号を制御処理装置へと再度出力する。そして、制御処理装置からの回答番号が、規定回数連続して誤答であれば、制御処理装置に異常が生じている可能性があるもの（以下、推定異常状態とする）と判定して、リセット信号を出力し、電子制御システムを再起動する。このような処理を繰り返し実行した結果、設定回数連続して、同一の宿題番号に対して推定異常状態であれば、制御処理装置に異常が生じているもの（以下、異常確定とする）と判定して、制御処理装置へのリセット信号の出力を保持することで、制御処理装置が動作することを禁止する。

特開２００４−２５９１３７号公報

ところで、制御処理装置において、特定の宿題番号（以下、起因宿題番号と称す）の演算を実行する部位が故障している場合には、起因宿題番号に対応する回答番号は規定回数連続して誤答となり、特許文献１に記載の監視装置は、上述したリセット信号を出力する。このとき、再起動後の監視装置では、宿題番号を初期値から再出力するため、再び推定異常状態と判定するまで、ひいては、異常確定と判定するまでに、制御処理装置からの回答番号が正答となる宿題番号及びその宿題番号に対する回答番号を、繰り返し送受信するという問題がある。

具体的には、特許文献１に記載の監視装置と制御処理装置との間での宿題番号、回答番号の送受信、及び回答番号の正誤が遷移した様子を、図７（Ａ）に例示すると、監視装置では、初期値である宿題番号Ｑ₁から宿題番号Ｑ₃までの各宿題番号Ｑ_iに対する回答番号Ａ_iは、正答であると判定する。しかし、起因宿題番号Ｑ_M（ここでは、Ｍ＝４）に対する回答番号Ａ_#は、規定回数（図中は、規定回数＝３）連続して誤答であるため、推定異常状態であるものと判定して、リセット信号を出力する。その後、再起動された電子制御システムにおいては、初期値である宿題番号Ｑ₁から宿題番号Ｑ₃までの各宿題番号Ｑ_iに対する回答番号Ａ_iを正答と判定した後、宿題番号Ｑ_Mに対する回答番号Ａ_#が規定回数連続して誤答となり、設定回数（図中は、設定回数＝２）連続して推定異常状態となるため、異常確定と判定する。

したがって、特許文献１に記載の監視装置では、再起動された後に、宿題番号Ｑを初期値から順に再出力するため、推定異常状態と再度判定されるまでに要する処理量が多く、推定異常状態と再度判定するまでに要する時間長が長くなるという問題がある。

そこで、本発明は、電子制御システム及び監視装置において、推定異常状態と再度判定するまでに要する処理量を低減することを目的とする。

上記目的を達成するためになされた本発明は、制御処理装置との間で送受信した宿題番号及び回答番号に基づき制御処理装置の状態を監視する監視装置に関する。ただし、制御処理装置は、演算内容が予め対応付けられた宿題番号を取得すると、その取得した宿題番号に対応する演算を実行する演算実行手順、及び演算実行手順での演算結果を表す回答番号を生成して出力する回答出力手順とを実行するものである。

そして、本発明の監視装置では、宿題出力手段が、設定された宿題番号を出力し、その宿題番号に対する制御処理装置からの回答番号を取得すると、正誤判定手段が、宿題出力手段で出力した宿題番号に対して用意された答えに基づいて、回答番号の正誤を判定する。その判定の結果、回答番号が正答であれば、宿題更新手段が、宿題番号を、先に出力したものとは異なる宿題番号へと、予め規定された順序に従って変更して設定し、回答番号が誤答であれば、宿題番号を、先に出力した宿題番号に維持して設定する。

ただし、回答番号に対する正誤の判定の結果、同一の宿題番号に対する回答番号が、予め規定された規定回数連続して誤答である推定異常状態であれば、リセット手段が、該誤答に対応する宿題番号を、再起動されても記憶内容を保持する記憶部に格納すると共に、制御処理装置及び当該監視装置を再起動するリセット信号を出力する。このリセット信号の出力により、制御処理装置及び当該監視装置が再起動されると、番号再設定手段が、記憶部に格納されている宿題番号を設定して、宿題出力手段に出力させる。

なお、ここで言う「再起動される」とは、監視装置に対しては、記憶部に格納された情報を除いて当該監視装置を初期状態へと戻すことでも良いし、当該監視装置を再度起動することでも良い。一方、制御処理装置に対する「再起動」とは、当該制御処理装置を再度起動することが好ましい。

例えば、本発明の監視装置と制御処理装置との間での宿題番号、回答番号の送受信、及びその回答番号の正誤が推移した様子を、図７（Ｂ）に例示する。この図７（Ｂ）に示すように、本発明の監視装置では、宿題番号Ｑ₃までの回答番号Ａ₁〜₃に対しては、正答であるものと判定する。しかし、起因宿題番号である宿題番号Ｑ₄に対する回答番号Ａ_#は、規定回数（図中は、規定回数＝３）連続して誤答であるため、宿題番号Ｑ₄を記憶部に記憶（即ち、推定異常状態と判定）して、制御処理装置及び監視装置を再起動する。その後、再起動された本発明の監視装置では、宿題番号Ｑの送信、及びその送信した宿題番号Ｑに対応する回答番号Ａの正誤についての判定を、起因宿題番号Ｑ₄から再開する。

したがって、本発明の監視装置によれば、本発明の監視装置及び制御処理装置を再起動した後に、初期値から起因宿題番号の一つ前までの宿題番号が再度出力されることを防止できる。この結果、本発明の監視装置によれば、推定異常状態と再度判定するまでに要する処理量を削減することができ、ひいては、推定異常状態と再度判定するまでに要する時間長を短縮することができる。

また、本発明におけるリセット手段は、宿題出力手段にて出力した宿題番号に対応する回答番号を、該宿題番号を出力してから、予め規定された規定時間以上未取得であれば、推定異常状態であるものとしても良い（請求項２）。

このような監視装置によれば、監視装置から出力した宿題番号に対して、制御出力装置から回答番号が出力されないような場合にも、再起動後の宿題番号の出力を、該宿題番号から再開できる。

さらに、本発明の監視装置においては、同一の宿題番号への各回答番号に対する正誤判定手段での判定の結果、予め設定された設定回数連続して推定異常状態となると、動作禁止手段が、リセット手段によるリセット信号の出力を継続させても良い（請求項３）。

このような本発明の監視装置であれば、異常確定状態であるか否かを判定することができ、異常確定状態であれば、制御処理装置の動作を不能とすることができる。しかも、本発明の監視装置によれば、制御処理装置及び監視装置が再起動されると、起因宿題番号から宿題番号を再出力するため、異常確定と判定するまでに要する処理量、ひいては、異常確定と判定するまでに要する時間を短縮することができる。

ところで、本発明は、請求項１から請求項３のいずれか一項に記載の監視装置に加えて、制御処理装置を備えた電子制御システムとしてなされていても良い（請求項４）。
本発明が、このような電子制御システムとしてなされていても、請求項１〜請求項３に係る監視装置と同様の効果を得ることができる。

さらに、本発明における制御処理装置、及び監視装置は、プログラムに定められた処理手順に従って処理を実行するコンピュータ、即ち、汎用のコンピュータ（マイクロコンピュータ）であっても良い（請求項５）。

このようにすれば、プログラムに処理手順を追加したり、プログラムに定められた処理手順を変更したりすることで、監視装置の構成を容易に変更することができる。
なお、本発明の電子制御システムにおける監視装置は、宿題出力手段、正誤判定手段、宿題更新手段、リセット手段、及び番号再設定手段が、それぞれ、少なくとも一つ以上の回路素子を組み合わせることによって構成された専用の電子装置によって実現されていても良い。

このように、一つの機能を実現することに特化した専用の回路として監視装置を構成すれば、汎用のコンピュータに比べて、当該監視装置の製造費用を抑制することができる。
また、本発明における制御処理装置、及び監視装置は、それぞれ、一つの中央演算処理装置に設けられた互いに異なるプロセッサコア、即ち、いわゆるマルチコアプロセッサにおける各プロセッサコアを、制御処理装置、及び監視装置として機能させても良い（請求項６）。

このようにすれば、プロセッサコアの状態を監視することができる。
さらに、本発明における制御処理装置及び監視装置は、それぞれ、自動車に搭載され、かつ自動車に設けられる機器を制御する電子制御ユニット（いわゆるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ））であっても良い（請求項７）。

このようにすれば、電子制御ユニットの状態を監視することができる。

本発明が適用された電子制御システムの概略構成を示すブロック図である。 第一実施形態における監視装置の概略構成を示すブロック図である。 第二実施形態における監視装置の概略構成を示すブロック図である。 第二実施形態の監視装置が実行する監視処理の処理手順を示すフローチャートである。 第二実施形態における電子制御システムの変形例を示すブロック図である。 第二実施形態における電子制御システムの変形例を示すブロック図である。 従来技術の課題及び本発明の効果を説明するための説明図である。

以下に本発明の実施形態を図面と共に説明する。
［第一実施形態］
〈電子制御システムの構成について〉
図１は、本発明が適用された電子制御システムの概略構成を示すブロック図である。

この電子制御システム１は、処理プログラムに従って各種処理を実行すると共に、負荷を制御する制御処理装置１０と、制御処理装置１０との間で送受信した信号に基づいて、制御処理装置１０の状態を監視する監視装置２０とを備えている。これら制御処理装置１０と監視装置２０とは、信号を送受信する専用のシリアスバスによって接続されており、電子制御システム１（制御処理装置１０と監視装置２０と）は、自動車に搭載して用いられる。

なお、本実施形態において、負荷とは、自動車に搭載された各種機器を駆動する動力源として機能するアクチュエータであり、例えば、プリクラッシュセーフティシステムにおいて、シートベルトを巻き取るモータや、電動パワーステアリングシステムにおいて、ステアリングの回動を補助するモータ等が相当する。

このうち、制御処理装置１０は、電源が切断されても内容を保持する必要のあるデータやプログラムを記憶するＲＯＭ１１と、処理途中で一時的に生じたデータを格納するＲＡＭ１２と、ＲＯＭ１１やＲＡＭ１２に記憶された処理プログラムを実行するＣＰＵ１５と、これらを接続するバス（図示略）とを少なくとも備えた周知のマイクロコンピュータを中心に構成されている。

さらに、ＣＰＵ１５は、ＲＯＭ１１やＲＡＭ１２からの処理プログラムを読み出して解読する制御部１６と、制御部１６で解読した処理プログラムに従って各種演算を行う演算部１７とを備えている。

そして、ＲＯＭ１１には、負荷を制御する処理プログラムや、監視装置２０からの信号に基づいて演算を実行する処理プログラムが格納されている。
つまり、電子制御システム１では、実行すべき演算内容を表す文字列（例えば、数字）である宿題番号Ｑ_iを含む宿題信号を、監視装置２０から制御処理装置１０へと出力する。すると、その宿題信号を取得した制御処理装置１０は、その取得した宿題番号Ｑ_iに対応する演算（本発明における演算実行手順に相当）を実行して、演算結果を表す文字列（例えば、数字）である回答番号Ａ_iを含む回答信号を生成して出力（本発明における回答出力手順に相当）する。これにより、回答信号を取得した監視装置２０は、回答信号に含まれる回答番号Ａ_iを、監視装置２０自身が出力した宿題番号Ｑ_iに基づいて予め用意した「答え」（以下、正答番号ａｎ_iと称す）に照合して、その回答番号Ａ_iの正誤を判定する。そして、監視装置２０は、正誤の判定の結果に基づいて、制御処理装置１０に故障が生じている可能性がある推定異常状態であるものと判定すると、電子制御システム１を再起動し、制御処理装置１０に故障が生じていることが確定的な異常確定状態であるものと判定すると、制御処理装置１０の動作を禁止する。

本実施形態における宿題信号は、宿題番号Ｑ_iに加えて、制御処理装置１０が宿題信号自体を識別するためのヘッダ部を備えている。そのヘッダ部には、今回の宿題番号Ｑ_iを、先に出力した宿題番号Ｑ_iから更新したか否かを表す宿題更新情報が少なくとも含まれている。一方、回答信号は、回答番号Ａ_iに加えて、監視装置２０が回答信号自体を識別するためのヘッダ部を備えている。そのヘッダ部には、今回の回答番号Ａ_iを、先に出力した回答番号Ａ_iから更新したか否かを表す回答更新情報が少なくとも含まれている。
〈監視装置の構成について〉
次に、監視装置２０の構成について、図２を用いて説明する。

この監視装置２０は、予め規定された条件を満たすと更新されるカウント値ｃｎを宿題番号Ｑ_iとして生成する宿題番号カウンタ３４と、宿題番号カウンタ３４にて生成された宿題番号Ｑ_iを含む宿題信号を生成して出力すると共に、その出力した宿題信号に対する制御処理装置１０からの回答信号を取得するシリアル通信部３１とを備えている。

さらに、監視装置２０は、シリアル通信部３１にて取得した回答信号を解析して、回答信号に含まれる回答番号Ａ_iを分離する回答信号解析部３２と、宿題番号カウンタ３４のカウント値ｃｎに基づいて宿題番号Ｑ_iに対応する正答番号ａｎ_iを生成する正答番号生成部３６と、その正答番号生成部３６にて生成された正答番号ａｎ_i、及び回答信号解析部３２にて分離された回答番号Ａ_iに基づいて、回答番号Ａ_iが正答であるか誤答であるかを判定する正誤判定部３３とを備えている。

これと共に、監視装置２０は、同一の宿題番号Ｑ_iに対する回答番号Ａ_iが、予め規定された規定回数連続して誤答であれば、推定異常状態であるものと判定する誤答回数カウンタ３７と、制御処理装置１０からの回答番号Ａ_iが更新されてからの経過時間を確認する更新計測タイマ３８と、電子制御システム１を再起動するリセット生成部３９とを備えている。

なお、「電子制御システム１を再起動」のうち、制御処理装置１０に対する「再起動」は、制御処理装置１０への電力供給を遮断した後に再度起動することが好ましい。一方、監視装置２０に対する「再起動」は、監視装置２０を初期状態へと戻すことでも良いし、監視装置２０への電力供給を遮断した後に再度起動することでも良い。

ただし、監視装置２０を構成するシリアル通信部３１、回答信号解析部３２、正誤判定部３３、宿題番号カウンタ３４、正答番号生成部３６、誤答回数カウンタ３７、更新計測タイマ３８、リセット生成部３９は、それぞれ、少なくとも一つの回路素子によって構成されている。

このうち、回答信号解析部３２は、シリアル通信部３１からの回答信号が、前回の信号とは異なるものであれば、信号状態がアクティブな状態に変化する回答更新信号ｒｎを出力する。この回答更新信号ｒｎがアクティブな状態に変化とは、前回の信号とは異なる新たな回答信号が取得される毎に、１クロックだけパルス状に変化することである。

正誤判定部３３は、回答更新信号ｒｎの信号状態がアクティブな状態に変化すると、回答番号Ａ_iと、正答番号ａｎ_iとを比較照合することにより、回答番号Ａ_iが正答であるか誤答であるかを判定する。そして、正誤判定部３３は、判定の結果、回答番号Ａ_iが正答であれば、正答信号ｒｓの信号状態をアクティブな状態とし、回答番号Ａ_iが誤答であれば、誤答信号ｅｓの信号状態をアクティブな状態とする。つまり、正誤判定部３３から出力される正答信号ｒｓまたは誤答信号ｅｓの信号状態は、いずれか一方のみがアクティブ状態となる。

誤答回数カウンタ３７は、誤答信号ｅｓの信号状態がアクティブな状態に切り替わると、当該誤答回数カウンタ３７のカウント値Ｔｃを一つインクリメントし、正答信号ｒｓの信号状態がアクティブな状態に切り替わると、カウント値Ｔｃを初期値（ここでは、「０」）へと戻す。そして、誤答回数カウンタ３７は、カウント値Ｔｃが、規定回数に相当する値として予め規定された規定値Ｔｈｃ（本実施形態では、規定値Ｔｈｃを「３」とする）以上となると、推定異常状態であるものと判定して、異常信号ｇｓの信号状態をアクティブ状態とする。ただし、誤答回数カウンタ３７からの異常信号ｇｓの信号状態は、カウント値Ｔｃが規定値Ｔｈｃ未満であれば、パッシブな状態である。

更新計測タイマ３８は、回答更新信号ｒｎの信号状態がアクティブな状態に変化するまでの時間長、即ち、信号状態がパッシブである時間長を計測し、その時間長が規定時間以上であれば、無更新信号ｕｒの信号状態をアクティブ状態とする。

リセット生成部３９は、異常信号ｇｓまたは無更新信号ｕｒの信号状態がアクティブ状態であれば、更新計測タイマ３８にて計測している時間長、及び誤答回数カウンタ３７のカウント値Ｔｃを初期値（即ち、時間長は、「０［ｓｅｃ］」、カウント値Ｔｃは、「０」）へと戻す初期化信号ｉｎを出力する。これと共に、リセット生成部３９は、異常信号ｇｓまたは無更新信号ｕｒの信号状態がアクティブ状態であれば、電子制御システム１を再起動するリセット信号ｒｅを出力する。

ただし、リセット生成部３９は、同一の宿題番号Ｑ_iに対する回答番号Ａ_iが、予め設定された設定回数（設定回数＞規定値Ｔｈｃ）連続して誤答であれば、異常確定状態であるものと判定して、リセット信号ｒｅの出力を維持する。これにより、制御処理装置１０は、動作することを禁止された状態となる。

宿題番号カウンタ３４は、正答信号ｒｓの信号状態がアクティブ状態となると、当該宿題番号カウンタ３４のカウント値ｃｎ（即ち、次に出力する宿題番号Ｑ_i）を一つインクリメントし、誤答信号ｅｓの信号状態がアクティブ状態であれば、現時点でのカウント値ｃｎを維持する。

さらに、宿題番号カウンタ３４は、情報を記憶する記憶領域３５を備えている。
本実施形態の記憶領域３５は、異常信号ｇｓまたは無更新信号ｕｒの信号状態がアクティブ状態に切り替わると、その切り替わった時点でのカウント値ｃｎが格納される。

この記憶領域３５は、揮発性のメモリでも良いし、不揮発性のメモリでも良い。記憶領域３５が揮発性のメモリとして構成されている場合、カウント値ｃｎが記憶された記憶領域３５には、監視装置２０が再起動されても（または初期状態へと戻されても）記憶内容を保持する保持処理が実行される。

よって、リセット生成部３９からリセット信号ｒｅが出力されて、電子制御システム１が再起動されると、記憶領域３５に記憶されている値を、宿題番号カウンタ３４のカウント値ｃｎとして設定する。

なお、宿題番号カウンタ３４は、記憶領域３５を備えていなくとも良い。この場合、監視装置２０が再起動される（または初期状態へと戻される）際に、カウント値ｃｎが保持されるように、宿題番号カウンタ３４に対して保持処理が実行される必要がある。

以上説明したように、電子制御システム１の監視装置２０は、宿題番号Ｑ_iに対する制御処理装置１０からの回答番号Ａ_iが正答であれば、誤答回数カウンタ３７のカウント値Ｔｃをインクリメントすること無く維持し、誤答であれば、カウント値Ｔｃをインクリメントする。そして、同一の宿題番号Ｑ_iに対する回答番号Ａ_iが連続して誤答となり、カウント値Ｔｃが予め規定された規定値Ｔｈｃ以上となると、推定異常状態であるものと判定して、電子制御システム１を再起動する。

このように推定異常状態であるものと判定されて再起動された（または初期状態へと戻された）後の監視装置２０は、宿題番号Ｑ_iの出力を、その再起動前に出力していた宿題番号Ｑ_iから再開する。そして、同一の宿題番号Ｑ_iに対する回答番号Ａ_iが設定回数連続して誤答であれば、異常確定状態であるものと判定して、リセット信号ｒｅの出力を維持する。
［第一実施形態の効果］
以上説明したように、本実施形態の電子制御システム１によれば、当該電子制御システム１を再起動した後に、再出力する宿題番号Ｑ_iを、前回、推定異常状態と判定される原因となった宿題番号（即ち、起因宿題番号）からとすることができる。

また、電子制御システム１によれば、監視装置２０から出力した宿題番号Ｑ_iに対して、制御処理装置１０からの回答番号Ａ_iが規定時間以上未返答である場合にも、推定異常状態であるものと判定している。したがって、電子制御システム１によれば、このような推定異常状態に起因して電子制御システム１が再起動された場合にも、宿題番号Ｑ_iの出力を、未返答となっている宿題番号Ｑ_iから再開できる。

これらにより、電子制御システム１によれば、再起動された後に、初期値から起因宿題番号の一つ前までの宿題番号Ｑ_iが再度出力されることを防止できる。よって、電子制御システム１によれば、推定異常状態と再度判定するまでに要する処理量を削減することができ、ひいては、推定異常状態と再度判定するまでに要する時間長を短縮することができる。さらに言えば、異常確定状態と判定するまでに要する処理量を削減することができる。

なお、本実施形態における監視装置２０は、制御処理装置１０の状態を監視することに特化した専用回路として構成されているため、汎用のコンピュータを用いて監視装置２０を構成する場合に比べて、当該監視装置２０の製造コストを抑制することができる。
［第一実施形態と特許請求の範囲との対応関係］
本実施形態で用いた用語と、特許請求の範囲にて用いた用語との対応関係を説明する。

本実施形態の監視装置２０におけるシリアル通信部３１が、本発明の宿題出力手段に相当し、監視装置２０における回答信号解析部３２，正答番号生成部３６，及び正誤判定部３３が、本発明の正誤判定手段に相当する。さらに、監視装置２０における宿題番号カウンタ３４が、本発明の宿題更新手段及び番号再設定手段に相当し、監視装置２０における更新計測タイマ３８，誤答回数カウンタ３７，及びリセット生成部３９が、本発明のリセット手段に相当する。なお、監視装置２０におけるリセット生成部３９は、本発明の動作禁止手段にも相当する。
［第二実施形態］
次に、本発明の第二実施形態について、第一実施形態と同様、図１を参照しつつ説明する。

本実施形態の電子制御システム５と、第一実施形態における電子制御システム１とでは、制御処理装置１０の構成は同様であるものの、監視装置４０の構成が異なる。このため、本実施形態においては、制御処理装置１０を構成する各部には、第一実施形態と同一符号を付して説明を省略し、第一実施形態とは異なる監視装置４０の構成を中心に説明する。

本実施形態の電子制御システム５は、制御処理装置１０と、制御処理装置１０との間で送受信した宿題信号及び回答信号に基づいて、制御処理装置１０の状態を監視する監視装置４０とを備えている。

本実施形態の監視装置４０は、図３に示すように、処理プログラムやデータを記憶する記憶部４２と、記憶部４２に記憶された処理プログラムを実行すると共に、その処理プログラムの実行途中に生じた情報を記憶するレジスタ４６を有した制御部４５と、これらを接続するバス（図示略）とを少なくとも備えた周知のマイクロコンピュータを中心に構成されている。本実施形態における記憶部４２は、記憶内容を書き換え可能な不揮発性の記憶装置として構成されていても良いし、記憶内容を書き換え可能な揮発性の記憶装置として構成されていても良い。

すなわち、監視装置４０は、宿題番号Ｑ_iを含む宿題信号を送信し、その送信した宿題信号に対する制御処理装置１０からの回答信号に含まれる回答番号Ａ_iの正誤を判定した結果に基づいて、制御処理装置１０の状態を監視する監視処理を、処理プログラムに従って実行する。
〈監視処理の処理内容について〉
次に、監視装置４０が実行する監視処理の処理手順について、図４に示すフローチャートを用いて説明する。

この監視処理は、電子制御システム５、即ち、監視装置４０に対して電力供給される（本実施形態では、イグニッションスイッチがオンされる）と起動されるものである。
そして、監視処理は、起動されると、図４に示すように、まず、電子制御システム１を構成する各部が正常であるか否かを確認し、確認の結果、異常があれば、電子制御システム１の動作を禁止するイニシャル処理を実行する（Ｓ１１０）。

続いて、監視装置４０が制御処理装置１０の状態を監視した結果の履歴を表す履歴情報に、推定異常状態となったことを表す異常情報が含まれているか否かを判定する（Ｓ１２０）。なお、本実施形態における履歴情報には、連続して推定異常状態となった回数を表す異常回数Ｔｃが少なくとも含まれている。そして、本実施形態のＳ１２０では、異常回数Ｔｃが規定値Ｔｈｃ（本実施形態では、規定値Ｔｈｃを「３」とする）以上であれば、異常情報が含まれているものと判定する。

そのＳ１２０での判定の結果、履歴情報に異常情報が含まれていなければ（Ｓ１２０：ＮＯ）、次に出力する宿題番号Ｑ_iを初期値Ｑ₁に設定する（Ｓ１３０）。一方、履歴情報に異常情報が含まれていれば（Ｓ１２０：ＹＥＳ）、次に出力する宿題番号Ｑ_iを、監視装置４０から前回出力した宿題番号（以下、前回値とする）Ｑ_iに設定する（Ｓ１４０）。

続いて、異常回数Ｔｃをクリアして、初期値（ここでは、「０」）とする（Ｓ１５０）。そして、設定されている宿題番号Ｑ_iを含む宿題信号を生成して、その生成した宿題信号を、制御処理装置１０へと出力する（Ｓ１６０）。その出力した宿題信号に対する回答信号を取得したか否かを判定し（Ｓ１７０）、判定の結果、回答信号を取得していなければ（Ｓ１７０：ＮＯ）、回答信号を取得するまで待機する。そして、回答信号を取得すると（Ｓ１７０：ＹＥＳ）、取得した回答信号に含まれる回答番号Ａ_iを、予め用意した正答番号ａｎ_iに照合して、回答番号Ａ_iの正誤を判定する（Ｓ１８０）。

そのＳ１８０での判定の結果、回答番号Ａ_iが正答であれば（Ｓ１９０：ＹＥＳ）、次に出力する宿題番号Ｑ_iを、前回値から予め規定された規定順序に沿ってインクリメントした宿題番号Ｑ_iに設定する（Ｓ２００）。さらに、異常回数Ｔｃをクリアして初期値とし（Ｓ２１０）、その後、Ｓ１６０へと戻り、Ｓ２００で設定した宿題番号Ｑ_iを含む宿題信号を生成して出力する。つまり、監視処理では、制御処理装置１０に故障などの異常が生じていなければ、規定順序に沿って宿題番号Ｑ_iを順次更新した宿題信号を送信して、制御処理装置１０の監視を繰り返す。

一方、Ｓ１８０での判定の結果、回答番号Ａ_iが誤答であれば（Ｓ１９０：ＮＯ）、異常回数Ｔｃを一つインクリメントする（Ｓ２２０）。続いて、異常回数Ｔｃが規定値Ｔｈｃ以上であるか否かを判定する（Ｓ２３０）。その判定の結果、異常回数Ｔｃが規定値Ｔｈｃ未満であれば（Ｓ２３０：ＮＯ）、次に出力する宿題番号Ｑ_iを、今回出力した宿題番号Ｑ_i（即ち、出力値）に維持（設定）する（Ｓ２４０）。その後、Ｓ１６０へと戻り、Ｓ２４０で設定した宿題番号Ｑ_iを含む宿題信号を生成して出力する。

なお、Ｓ２３０での判定の結果、異常回数Ｔｃが規定値Ｔｈｃ以上であれば（Ｓ２３０：ＹＥＳ）、推定異常状態であるものと判定して、電子制御システム５の再起動に備えた準備を実行した後に、リセット信号ｒｅを出力して電子制御システム５を再起動する異常処理を実行する（Ｓ２５０）。

なお、本実施形態で言う「電子制御システム５の再起動」のうち、制御処理装置１０に対する「再起動」は、制御処理装置１０への電力供給を遮断した後に再度起動することである。一方、監視装置４０に対する「再起動」は、監視装置４０を初期状態へと戻すことでも良いし、監視装置４０への電力供給を遮断した後に再度起動することでも良い。

そして、本実施形態の異常処理では、再起動に備えた準備として、今サイクルのＳ１６０にて出力した宿題信号に含まれる宿題番号Ｑ_i及び異常回数Ｔｃが記憶されたレジスタ４６に対し、監視装置４０が再起動されても（または初期状態へと戻されても）記憶内容を保持する記憶保持処理が実行される。これにより、宿題番号Ｑ_i及び異常回数Ｔｃは、電子制御システム５への電力供給が遮断されても、その値が保持される。

その後、電子制御システム５が再起動されると、監視装置４０は、監視処理を起動して、Ｓ１１０からの各ステップを再度実行する。なお、監視装置４０に対する「再起動」が監視装置４０を初期状態へと戻すことである場合、監視処理を２回目以降に起動するタイミングは、監視装置４０が初期状態へと戻される毎であっても良い。

なお、本実施形態の異常処理では、同一の宿題番号Ｑ_iに対する回答番号Ａ_iに起因して推定異常状態であるものとの判定が、予め設定された設定回数連続していれば、異常確定状態であるものと判定して、リセット信号ｒｅの出力を保持し続ける（即ち、継続する）。これにより、制御処理装置１０が動作することを禁止する。

つまり、本実施形態の監視処理では、制御処理装置１０からの回答番号Ａ_iが正答であれば、異常回数Ｔｃをインクリメントすること無く維持し、回答番号Ａ_iが誤答であれば、異常回数Ｔｃをインクリメントする。そして、同一の宿題番号Ｑ_iに対する誤答が続き、異常回数Ｔｃが規定値Ｔｈｃ以上となると、推定異常状態と判定して、監視装置４０及び制御処理装置１０を含む電子制御システム１を再起動する。

なお、本実施形態の監視装置４０からの宿題番号Ｑ_iは、通常、初期値（ｉ＝１）から最高値（ｉ＝ｍａｘ）までを、予め規定された規定順序で変更しながら出力されるが、推定異常状態と判定されて再起動されると、前回値Ｑ_iから出力を再開する。そして、監視装置４０では、同一の宿題番号Ｑ_iに対する回答番号Ａ_iが設定回数連続して誤答であれば、異常確定状態であるものと判定して、リセット信号ｒｅの出力を保持する。
［第二実施形態の効果］
以上説明したように、本実施形態の電子制御システム５によれば、第一実施形態の電子制御システム１と同様、初期値から起因宿題番号の一つ前までの宿題番号Ｑ_iが再度出力されることを防止できる。これにより、電子制御システム５によれば、推定異常状態と再度判定するまでに要する処理量を削減することができ、ひいては、推定異常状態と再度判定するまでに要する時間長を短縮することができる。さらに言えば、異常確定状態と判定するまでに要する処理量を削減することができる。

特に、本実施形態の電子制御システム５では、監視装置４０が、汎用のマクロコンピュータによって構成されているため、プログラムに処理手順を追加したり、プログラムに定められた処理手順を変更したりすることで、監視装置４０の構成を容易に変更することができる。
［第二実施形態と特許請求の範囲との対応関係］
本実施形態で用いた用語と、特許請求の範囲にて用いた用語との対応関係を説明する。

本実施形態の監視処理におけるＳ１６０が、本発明の宿題出力手段に相当し、監視処理におけるＳ１８０が、本発明の正誤判定手段に相当し、監視処理におけるＳ１９０，Ｓ２００，及びＳ２４０が、本発明の宿題更新手段に相当する。さらに、監視処理におけるＳ２３０及びＳ２５０が、本発明のリセット手段に相当し、監視処理におけるＳ１４０が、本発明の番号再設定手段に相当する。なお、監視処理におけるＳ２５０は、本発明の動作禁止手段にも相当する。
［その他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において、様々な態様にて実施することが可能である。

例えば、第一実施形態の電子制御システム１の監視装置２０には、制御処理装置１０に対して宿題信号の出力を開始する前に、監視装置２０自身の動作状態を診断する自己診断部が設けられていても良い。このような自己診断部は、監視装置２０を構成する各部に対して、動作確認に必要な信号を出力するように構成されていることが好ましい。

第二実施形態の電子制御システム５の変形例として、図５に示す電子制御システム５０が考えられる。この電子制御システム５０は、例えば、少なくとも２つのプロセッサコア５５Ａ，Ｂを備えた中央演算処理装置として構成され、一方のプロセッサコア５５Ａが制御処理装置１０として機能し、他方のプロセッサコア５５Ｂが監視装置４０として機能するように構成されていることが好ましい。

ただし、このような電子制御システム５０におけるプロセッサコア５５Ａ，Ｂは、処理プログラムを記憶する記憶部５６Ａ，Ｂと、記憶部５６Ａ，Ｂに記憶された処理プログラムを読み出して解読する制御部５８Ａ，Ｂと、制御部５８Ａ，Ｂで解読した処理プログラムに従って各種演算を行う演算部５９Ａ，Ｂと、処理プログラムの実行途中に生じた情報を格納するレジスタ５７Ａ，Ｂとを少なくとも備えている必要がある。

さらに、プロセッサコア５５Ｂは、第二実施形態で説明した監視処理を実行する必要がある。この場合、プロセッサコア５５Ｂが実行する監視処理における異常処理では、宿題番号Ｑ_i及び異常回数Ｔｃが記憶されたレジスタ５７Ｂに対して、プロセッサコア５５Ｂが再起動されても（または初期状態へと戻されても）記憶内容を保持する記憶保持処理が実行される必要がある。

なお、電子制御システム５０においては、プロセッサコア５５Ａ，Ｂそれぞれに、記憶部５６Ａ，Ｂが設けられていなくとも良く、電子制御システム５０に１つの記憶部５６が設けられていても良い。

さらに、第二実施形態の電子制御システム５に関する他の変形例として、図６に示す電子制御システム８０が考えられる。この電子制御システム８０は、例えば、少なくとも２つの電子制御ユニット（いわゆるＥＣＵ（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ））６０，７０を備え、一方の電子制御ユニット６０が制御処理装置１０として機能し、他方の電子制御ユニット７０が監視装置４０として機能するように構成されていることが好ましい。

ただし、このような電子制御システム８０における電子制御ユニット６０，７０は、処理プログラムやデータを記憶する記憶部６２，７２と、記憶部６２，７２に記憶された処理プログラムに基づく処理を実行する処理部６５，７５と、これらを接続するバス（図示略）とを少なくとも備えている必要がある。そして、処理部６５，７５は、処理プログラムを読み出して解読する制御部６３，７３と、制御部６３，７３で解読した処理プログラムに従って各種演算を行う演算部６４，７４と、処理プログラムの実行途中に生じた情報を保持するレジスタ６６，７６とを有していることが好ましい。なお、記憶部６２，７２は、記憶内容を書き換え可能な不揮発性の記憶装置として構成されていても良いし、記憶内容を書き換え可能な揮発性の記憶装置として構成されていても良い。

さらに、処理部７５は、第二実施形態で説明した監視処理を実行する必要がある。この場合、処理部７５が実行する監視処理における異常処理では、宿題番号Ｑ_i及び異常回数Ｔｃが記憶されたレジスタ７６に対し、電子制御ユニット７０が再起動されても（または初期状態へと戻されても）記憶内容を保持する記憶保持処理を実行する必要がある。

このように監視処理を実行する電子制御ユニット６０，７０は、動作状態を監視するモードを備えており、そのモードに切り替えられた後に、処理部７５が監視処理を実行することが好ましい。

ところで、上記第二実施形態では、推定異常状態と判定された後に、監視装置４０が再出力する宿題番号Ｑを前回値Ｑ_iとするために、推定異常状態となると、宿題番号Ｑ_i及び異常回数Ｔｃが記憶されたレジスタ４６に対して記憶保持処理を実行していた。しかしながら、推定異常状態と判定された後に、監視装置４０が再出力する宿題番号Ｑを前回値Ｑ_iとする方法は、これに限るものではなく、例えば、推定異常状態となると、宿題番号Ｑ_i及び異常回数Ｔｃを、記憶部４２に記憶しても良い。

なお、第二実施形態における監視処理では、同一の宿題番号Ｑ_iに対する制御処理装置１０からの回答番号Ａ_iが、規定値Ｔｈｃ以上連続して誤答であることを、異常処理（即ち、Ｓ２５０）を実行する条件としていたが、異常処理を実行する条件は、これに限るものではない。例えば、宿題番号Ｑ_iに対して、制御処理装置１０からの回答番号Ａ_iが規定時間以上未返答であることを、異常処理を実行する条件としても良い。

１，５，５０，８０…電子制御システム １０…制御処理装置 １１…ＲＯＭ １２…ＲＡＭ １５…ＣＰＵ １６…制御部 １７…演算部 ２０…監視装置 ３１…シリアル通信部 ３２…回答信号解析部 ３３…正誤判定部 ３４…宿題番号カウンタ ３５…記憶領域 ３６…正答番号生成部 ３７…誤答回数カウンタ ３８…更新計測タイマ ３９…リセット生成部 ４０…監視装置 ４２…記憶部 ４５…制御部 ４６…レジスタ ５５Ａ，Ｂ…プロセッサコア ５６Ａ，Ｂ…記憶部 ５７Ａ，Ｂ…レジスタ ５８Ａ，Ｂ…制御部 ５９Ａ，Ｂ…演算部 ６０，７０…電子制御ユニット ６２，７２…記憶部 ６３，７３…制御部 ６４，７４…演算部 ６５，７５…処理部 ６６，７６…レジスタ

Claims (7)

1. 演算内容が予め対応付けられた宿題番号を取得すると、その取得した宿題番号に対応する演算を実行する演算実行手順、及び前記演算実行手順での演算結果を表す回答番号を生成して出力する回答出力手順とを実行する制御処理装置との間で送受信した前記宿題番号及び前記回答番号に基づき前記制御処理装置の状態を監視する監視装置であって、
   設定された前記宿題番号を出力する宿題出力手段と、
   前記宿題出力手段で出力した宿題番号に対して用意された答えに基づいて、前記制御処理装置からの回答番号の正誤を判定する正誤判定手段と、
   前記正誤判定手段での判定の結果、前記回答番号が正答であれば、前記宿題番号を、先に出力したものとは異なる宿題番号へと、予め規定された順序に従って変更して設定し、前記回答番号が誤答であれば、前記宿題番号を、先に出力した宿題番号に維持して設定する宿題更新手段と、
   前記正誤判定手段での判定の結果、同一の宿題番号に対する回答番号が、予め規定された規定回数連続して誤答である推定異常状態であれば、該誤答に対応する宿題番号を、再起動されても記憶内容を保持する記憶部に格納すると共に、前記制御処理装置及び当該監視装置を再起動するリセット信号を出力するリセット手段と、
   前記リセット手段にてリセット信号が出力され、前記制御処理装置及び当該監視装置が再起動されると、前記記憶部に格納された宿題番号を設定して、前記宿題出力手段に出力させる番号再設定手段と
   を備えることを特徴とする監視装置。
2. 前記リセット手段は、
   前記宿題出力手段にて出力した宿題番号に対応する回答番号を、該宿題番号を出力してから、予め規定された規定時間以上未取得であれば、前記推定異常状態であるものとすることを特徴とする請求項１に記載の監視装置。
3. 同一の宿題番号への各回答番号に対する前記正誤判定手段での判定の結果、予め設定された設定回数連続して前記推定異常状態となると、前記リセット手段による前記リセット信号の出力を継続させる動作禁止手段
   を備えることを特徴とする請求項１または請求項２に記載の監視装置。
4. 請求項１から請求項３のいずれか一項に記載の監視装置と、
   前記制御処理装置と
   を備えることを特徴とする電子制御システム。
5. 前記制御処理装置、及び前記監視装置は、それぞれ、
   プログラムに定められた処理手順に従って処理を実行するコンピュータであることを特徴とする請求項４に記載の電子制御システム。
6. 前記制御処理装置、及び前記監視装置は、それぞれ、
   一つの中央演算処理装置に設けられた互いに異なるプロセッサコアであることを特徴とする請求項４に記載の電子制御システム。
7. 前記制御処理装置、及び前記監視装置は、それぞれ、
   自動車に搭載され、かつ自動車に設けられる機器を制御する電子制御ユニットであることを特徴とする請求項４に記載の電子制御システム。

Images